CN103221988B - 代理计算系统、计算装置、能力提供装置、代理计算方法、能力提供方法 - Google Patents

Abstract

将Ｇ、Ｈ设为群，将ｆ（ｘ）设为对于ｘ∈Ｈ得到群Ｇ的元的函数，将Ｘ₁、Ｘ₂设为在群Ｇ中取值的概率变量，将ｘ₁设为概率变量Ｘ₁的实现值，将ｘ₂设为概率变量Ｘ₂的实现值，计算装置输出与密码文ｘ对应的τ₁和τ₂，能力提供装置使用τ₁以大于某一概率的概率准确地计算ｆ（τ₁），将计算结果设为ｚ₁，使用τ₂以大于某一概率的概率准确地计算ｆ（τ₂），将计算结果设为ｚ₂，计算装置根据ｚ₁生成计算结果ｕ＝ｆ（ｘ）^bｘ₁，并根据ｚ₂生成计算结果ｖ＝ｆ（ｘ）^aｘ₂，在计算结果ｕ和ｖ满足特定的关系的情况下输出ｕ^b’ｖ^a’。

Description

代理计算系统、计算装置、能力提供装置、代理计算方法、能力提供方法

技术领域

本发明涉及使用在其他的装置中进行的计算结果来进行计算的技术。

背景技术

为了对通过公开密钥密码方式和共同密钥密码方式等密码方式加密的密码文进行解码，需要特定的解码密钥(例如，参照非专利文献1)。用于由没有保持解码密钥的第一装置获得密码文的解码结果的以往方法的一种是如下方法：由保持解码密钥的第二装置对第一装置提供解码密钥，第一装置使用该解码密钥来进行密码文的解码。用于由第一装置获得密码文的解码结果的其他的以往方法是如下方法：第一装置对第二装置提供密码文，第二装置对密码文进行解码并将该解码结果提供给第一装置。

现有技术文献

非专利文献

非专利文献1：TaherElgamal,APublic-KeyCryptosystemandaSignatureSchemeBasedonDiscreteLogarithms,IEEETransactionsonInformationTheory,v.IT-31,n.4,1985,pp.469-472orCRYPTO84,pp.10-18,Springer-Verlag.

发明内容

发明要解决的课题

但是，在第二装置对第一装置提供解码密钥的方法中，需要将解码密钥取出到第二装置的外部，存在安全上的问题。另一方面，在第一装置对第二装置提供密码文，第二装置解码密码文的方法中，第一装置无法验证第二装置的解码处理的正当性。这样的课题在解码处理之外能够一般化。即，没有存在如下的技术：第二装置不泄露秘密信息地仅将计算能力提供给第一装置，第一装置使用该计算能力来准确地进行计算。

用于解决课题的手段

在本发明中，将Ｇ、Ｈ设为群，将ｆ（ｘ）设为用于将作为群H的元的密码文x通过特定解码密钥解码而得到群G的元的解码函数，将Ｘ₁、Ｘ₂设为在群G中取值的概率变量，将ｘ₁设为概率变量Ｘ₁的实现值，将ｘ₂设为概率变量Ｘ₂的实现值，将a、b设为互质的自然数，计算装置输出与密码文x对应的作为群H的元的第一输入信息τ₁和第二输入信息τ₂，能力提供装置使用第一输入信息τ₁以大于某一概率的概率准确计算ｆ（τ₁），将计算结果设为第一输出信息ｚ₁，使用第二输入信息τ₂以大于某一概率的概率准确计算ｆ（τ₂），将计算结果设为第二输出信息ｚ₂，计算装置根据第一输出信息ｚ₁生成计算结果ｕ＝ｆ（ｘ）^bｘ₁，根据第二输出信息ｚ₂生成ｖ＝ｆ（ｘ）^aｘ₂，在计算结果ｕ和ｖ满足ｕ^a＝ｖ^b的情况下，输出关于满足ａ’ａ＋ｂ’ｂ＝1的整数ａ’、ｂ’的ｕ^b’ｖ^a’。

发明的效果

在本发明中，能力提供装置不泄露秘密信息地仅将计算能力提供给计算装置，计算装置使用该计算能力来准确地进行计算。

附图说明

图1是用于说明实施方式的代理计算系统的结构的方框图。

图2是用于说明实施方式的计算装置的结构的方框图。

图3是用于说明实施方式的能力提供装置的结构的方框图。

图4是用于说明实施方式的输入信息提供部的结构的方框图。

图5是用于说明实施方式的输入信息提供部的结构的方框图。

图6是用于说明实施方式的计算装置的处理的流程图。

图7是用于说明实施方式的能力提供装置的处理的流程图。

图8是用于说明步骤S2103（S3103）的处理的流程图。

图9是用于说明步骤S4103的处理的流程图。

图10是用于说明实施方式的计算装置的结构的方框图。

图11是用于说明实施方式的计算装置的处理的流程图。

图12是用于说明实施方式的计算装置的结构的方框图。

图13是用于说明实施方式的能力提供装置的结构的方框图。

图14是用于说明实施方式的输入信息提供部的结构的方框图。

图15是用于说明实施方式的计算装置的处理的流程图。

图16是用于例示步骤S6103的处理的流程图。

图17是用于说明实施方式的能力提供装置的处理的流程图。

图18是用于说明实施方式的代理计算系统的结构的方框图。

图19是用于说明实施方式的计算装置的结构的方框图。

图20是用于说明实施方式的能力提供装置的结构的方框图。

图21是用于说明实施方式的解码控制装置的结构的方框图。

图22是用于说明实施方式的输入信息提供部的结构的方框图。

图23是用于说明实施方式的输入信息提供部的结构的方框图。

图24是用于说明实施方式的加密处理的流程图。

图25是用于说明实施方式的解码处理的流程图。

图26是用于说明实施方式的解码能力提供处理的流程图。

图27是用于说明步骤S12103（S13103）的处理的流程图。

图28是用于说明步骤S14103的处理的流程图。

图29是用于说明实施方式的计算装置的结构的方框图。

图30是用于说明实施方式的解码处理的流程图。

图31是用于说明实施方式的代理计算系统的结构的方框图。

图32是用于说明实施方式的计算装置的结构的方框图。

图33是用于说明实施方式的能力提供装置的结构的方框图。

图34是用于说明实施方式的输入信息提供部的结构的方框图。

图35是用于说明实施方式的输入信息提供部的结构的方框图。

图36是用于说明实施方式的输入信息提供部的结构的方框图。

图37是用于说明实施方式的计算装置的处理的流程图。

图38是用于说明实施方式的能力提供装置的处理的流程图。

图39是用于说明步骤S22103（S23103）的处理的流程图。

图40是用于说明步骤S24103的处理的流程图。

图41是用于说明步骤S25103的处理的流程图。

图42是用于说明实施方式的输入信息提供部的结构的方框图。

图43是用于说明步骤S27103的处理的流程图。

图44是用于说明实施方式的计算装置的结构的方框图。

图45是用于说明实施方式的计算装置的处理的流程图。

具体实施方式

以下，参照附图来说明本发明的实施方式。

【第一实施方式】

说明本发明的第一实施方式。

＜结构＞

如图1所例示，第一实施方式的代理计算系统1例如具有没有保持解码密钥的计算装置11和保持解码密钥的能力提供装置12，计算装置11对能力提供装置12委托密码文的解码能力的提供，使用从能力提供装置12提供的解码能力来对密码文进行解码。计算装置11与能力提供装置12构成为能够进行信息的交换。例如，计算装置11与能力提供装置能够进行经由了传输线或网络或可移动型记录介质等的信息的交换。

如图2所例示，第一实施方式的计算装置11例如具有：自然数存储部1101、自然数选择部1102、整数计算部1103、输入信息提供部1104、第一计算部1105、第一幂乘计算部1106、第一列表存储部1107、第二计算部1108、第二幂乘计算部1109、第二列表存储部1110、判定部1111、最终输出部1112和控制部1113。计算装置11的例子是，卡读写装置、移动电话等的具备计算功能和存储功能的设备、读入了特别的程序的具备CPU（中央处理单元）和RAM（随机存取存储器）的公知或专用的计算机等。

如图3所例示，第一实施方式的能力提供装置12例如具有第一输出信息计算部1201、第二输出信息计算部1202、密钥存储部1204和控制部1205。能力提供装置12的例子是，IC卡或IC芯片等耐篡改性模块、移动电话等的具备计算功能和存储功能的设备、读入了特别的程序的具备CPU和RAM的公知或专用的计算机等。

＜处理＞

下面，说明本方式的处理。作为处理的前提，将Ｇ、Ｈ设为群（例如为可交换群），将ｆ（ｘ）设为用于将作为群H的元的密码文x通过特定的解码密钥s解码而得到群G的元的解码函数，将群G、H的生成元分别设为μ_g、μ_h，将Ｘ₁、Ｘ₂设为在群G中取值的概率变量，将概率变量Ｘ₁的实现值设为ｘ₁，将概率变量Ｘ₂的实现值设为ｘ₂。计算装置11的自然数存储部1101中存储有多个种类的互质的2个自然数a、b的组（a、b）。“自然数”意味着0以上的整数。如果将I设为在群G的位数未满的2个自然数的组中互质的组的集合，则能够认为在自然数存储部1101中存储有与I的部分集合对应的自然数a、b的组（a、b）。在能力提供装置12的密钥存储部1204中安全地存储有特定的解码密钥s。计算装置11的各处理在控制部1113的控制下执行，能力提供装置12的各处理在控制部1205的控制下执行。

如图6所例示，首先，计算装置11（图2）的自然数选择部1102随机地从在自然数存储部1101中存储的多个自然数的组（a、b）读入1个自然数的组（a、b）。所读入的自然数的组（a、b）的至少一部分信息被发送到整数计算部1103、输入信息提供部1104、第一幂乘计算部1106和第二幂乘计算部1109（步骤S1100）。

整数计算部1103使用所发送的自然数的组（a、b），计算满足ａ’ａ＋ｂ’ｂ＝1的关系的整数ａ’、ｂ’。由于自然数a、b互质，因此必然存在满足ａ’ａ＋ｂ’ｂ＝1的关系的整数ａ’、ｂ’。自然数的组（ａ’、ｂ’）的信息被发送到最终输出部1112（步骤S1101）。

控制部1113设为t=1（步骤S1102）。

输入信息提供部1104生成并输出与所输入的密码文x分别对应的作为群H的元的第一输入信息τ₁和第二输入信息τ₂。优选为，第一输入信息τ₁和第二输入信息τ₂为分别将与密码文x的关系搅乱的信息。由此，计算装置11能够对能力提供装置12隐蔽密码文x。优选为，本方式的第一输入信息τ₁进而对应于在自然数选择部1102中选择的自然数b，第二输入信息τ₂进而对应于在自然数选择部1102中选择的自然数a。由此，计算装置11能够以高精度评价从能力提供装置12提供的解码能力（步骤S1103）。

如图7所例示，第一输入信息τ₁输入到能力提供装置12（图3）的第一输出信息计算部1201，第二输入信息τ₂输入到第二输出信息计算部1202（步骤S1200）。

第一输出信息计算部1201使用第一输入信息τ₁和在密钥存储部1204中存储的解码密钥s，以大于某一概率的概率准确地计算ｆ（τ₁），将得到的计算结果设为第一输出信息ｚ₁（步骤S1201）。第二输出信息计算部1202使用第二输入信息τ₂和在密钥存储部1204中存储的解码密钥s，以大于某一概率的概率准确地计算ｆ（τ₂），将得到的计算结果设为第二输出信息ｚ₂（步骤S1202）。另外，“某一概率”是小于100%的概率。“某一概率”的例子是无法忽略的概率，“无法忽略的概率”的例子是，将作为安全参数k的广义单调增加函数的多项式设为多项式ψ（ｋ）时的1／ψ（ｋ）以上的概率。即，第一输出信息计算部1201和第二输出信息计算部1202输出包含有意的或无意的误差的计算结果。换言之，第一输出信息计算部1201的计算结果既有是ｆ（τ₁）的情况也有不是ｆ（τ₁）的情况，第二输出信息计算部1202的计算结果既有是ｆ（τ₂）的情况也有不是ｆ（τ₂）的情况。

第一输出信息计算部1201输出第一输出信息z₁，第二输出信息计算部1202输出第二输出信息z₂（步骤S1203）。

返回到图6，第一输出信息z₁输入到计算装置11（图2）的第一计算部1105，第二输出信息z₂输入到第二计算部1108。这些第一输出信息ｚ₁和第二输出信息ｚ₂相当于从能力提供装置12对计算装置11提供的解码能力（步骤S1104）。

第一计算部1105根据第一输出信息ｚ₁生成计算结果ｕ＝ｆ（ｘ）^bｘ₁。这里，生成（计算）ｆ（ｘ）^bｘ₁的处理是计算定义为ｆ（ｘ）^bｘ₁的式的值的处理。如果最终能够计算式ｆ（ｘ）^bｘ₁的值，则与中间的计算方法无关。这对于在本申请中出现的其他式的计算也是相同的。在第一实施方式中，将在群中定义的运算以乘法表现。即，对于α∈Ｇ的「α^b」意味着对α作用b次在群G中定义的运算，对于α₁、α₂∈Ｇ的「α₁α₂」意味着将α₁和α₂作为被运算子进行在群Ｇ中定义的运算（后述的第二至第五实施方式也同样）。计算结果u发送到第一幂乘计算部1106（步骤S1105）。

第一幂乘计算部1106计算ｕ’＝ｕ^a。计算结果ｕ和基于该计算结果计算出的ｕ’的组（ｕ，ｕ’）被存储到第一列表存储部1107（步骤S1106）。

判定部1111在存储于第一列表存储部1107的组（ｕ，ｕ’）和存储于第二列表存储部1110的组（ｖ，ｖ’）中，判定是否有成为ｕ’＝ｖ’的组（步骤S1107）。如果在第二列表存储部1110中没有存储组（ｖ，ｖ’）的情况下，不进行该步骤S1107的处理，进行下一个步骤S1108的处理。在有成为ｕ’＝ｖ’的组的情况下，进至步骤S1114。在没有成为ｕ’＝ｖ’的组的情况下，进至步骤S1108。

在步骤S1108中，第二计算部1108根据第二输出信息ｚ₂生成计算结果v＝ｆ（ｘ）^aｘ₂。计算结果v发送到第二幂乘计算部1109（步骤S1108）。

第二幂乘计算部1109计算v’＝v^b。计算结果v和基于该计算结果计算出的v’的组（v，v’）被存储到第二列表存储部1110（步骤S1109）。

判定部1111在存储于第一列表存储部1107的组（ｕ，ｕ’）和存储于第二列表存储部1110的组（ｖ，ｖ’）中，判定是否有成为ｕ’＝ｖ’的组（步骤S1110）。在有成为ｕ’＝ｖ’的组的情况下，进至步骤S1114。在没有成为ｕ’＝ｖ’的组的情况下，进至步骤S1111。

在步骤S1111中，控制部1113判定是否为t=T_max（步骤S1111）。Ｔ_max是预先决定的自然数。如果是ｔ＝Ｔ_max，则控制部1113输出无法进行计算的意旨的信息例如为符号“⊥”（步骤S1113），并结束处理。如果不是ｔ＝Ｔ_max，则控制部1113将t增加1，即设为ｔ＝ｔ＋1（步骤S1112），返回到步骤S1103。

无法进行计算的意旨的信息（在该例子中为符号“⊥”）意味着能力提供装置12准确地进行计算的可靠度小于由T_max决定的基准。换言之，意味着在T_max次的重复中无法进行准确的运算。

在步骤S1114中，最终输出部1112使用与判定为ｕ’＝ｖ’的ｕ’和ｖ’对应的u和v来计算ｕ^b’ｖ^a’，并进行输出（步骤S1114）。如此计算出的ｕ^b’ｖ^a’以高的概率成为通过特定的解码密钥s对密码文x进行了解码后的解码结果ｆ（ｘ）（在后面叙述以高的概率成为ｕ^b’ｖ^a’＝ｆ（ｘ）的理由）。因此，将上述的处理重复多次，将在步骤S1114中得到的值中频度最高的值设为解码结果即可。如后所述，根据设定，以绝对的概率成为ｕ^b’ｖ^a’＝ｆ（ｘ）。在该情况下，可以将在步骤S1114中得到的值直接设为解码结果。

《关于以高的概率成为ｕ^b’ｖ^a’＝ｆ（ｘ）的理由》

将X设为在群G中取值的概率变量。将关于ｗ∈Ｇ在每次接受请求时返回与按照概率变量X的样本ｘ’对应的ｗｘ’的装置，称为关于w具有误差X的样本器（sampler）。

将关于ｗ∈Ｇ在每次提供自然数a时返回与按照概率变量X的样本ｘ’对应的ｗ^aｘ’的装置，称为关于w具有误差X的可随机化样本器（randomizablesampler）。可随机化样本器如果设为a=1而使用，则作为样本器发挥作用。

本实施方式的输入信息提供部1104和第一输出信息计算部1201和第一计算部1105的组合是关于f(x)具有误差X₁的可随机化样本器（称为“第一可随机化样本器”），输入信息提供部1104和第二输出信息计算部1202和第二计算部1108的组合是关于f(x)具有误差X₂的可随机化样本器（称为“第二可随机化样本器”）。

发明人发现了如下情况：如果成立ｕ’＝ｖ’即成立ｕ^a＝ｖ^b，则第一可随机化样本器准确地计算了ｕ＝ｆ（ｘ）^b并且第二可随机化样本器准确地计算了ｖ＝ｆ（ｘ）^a（ｘ₁和ｘ₂是群Ｇ的单位元ｅ_g）的可能性高。从简化说明的观点出发，通过五个实施方式进行该证明。

在第一可随机化样本器准确地计算了ｕ＝ｆ（ｘ）^b并且第二可随机化样本器准确地计算了ｖ＝ｆ（ｘ）^a时（ｘ₁和ｘ₂为群G的单位元ｅ_g时），成为ｕ^b’ｖ^a’＝（ｆ（ｘ）^bｘ₁）^b’（ｆ（ｘ）^aｘ₂）^a’＝（ｆ（ｘ）^bｅ_g）^b’（ｆ（ｘ）^aｅ_g）^a’＝ｆ（ｘ）^bb’ｅ_g ^b’ｆ（ｘ）^aa’ｅ_g ^a’＝ｆ（ｘ）^(bb’^+aa’⁾＝ｆ（ｘ）。

关于（ｑ₁，ｑ₂）∈Ｉ，将对于ｉ＝1、2的各个的函数π_i定义为π_i（ｑ₁，ｑ₂）＝ｑ_i。设为Ｌ＝ｍｉｎ（#π₁（S），#π₂（S））。#·是集合·的位数。在群G为巡回群或者难以计算位数的群时，计算装置11输出“⊥”以外时的输出不是ｆ（ｘ）的概率能够期待为在能够忽略的程度的误差的范围内至多Ｔ_max ²Ｌ／#S左右。如果Ｌ／#S为能够忽略的量且Ｔ_max为多项式量级程度的量，则计算装置11以绝对的概率输出准确的ｆ（ｘ）。在Ｌ／#S成为能够忽略的量的S的例子中，例如有S＝｛（1，ｄ）｜ｄ∈［2，｜Ｇ｜－1］｝。

【第二实施方式】

第二实施方式的代理计算系统是将上述的第一可随机化样本器和第二可随机化样本器具体化的例子。以下，以与第一实施方式不同的部分为中心进行说明，对于共同的部分省略重复说明。在以下的说明中，设为附加了相同的参考标号的部分具有相同的功能，附加了相同的参考标号的步骤表示相同的处理。

＜结构＞

如图1所例示，在第二实施方式的代理计算系统2中，计算装置11被置换为计算装置21，能力提供装置12被置换为能力提供装置22。

如图2所例示，第二实施方式的计算装置21例如具有：自然数存储部1101、自然数选择部1102、整数计算部1103、输入信息提供部2104、第一计算部2105、第一幂乘计算部1106、第一列表存储部1107、第二计算部2108、第二幂乘计算部1109、第二列表存储部1110、判定部1111、最终输出部1112和控制部1113。如图4所例示，本方式的输入信息提供部2104例如具有第一随机数生成部2104a、第一输入信息计算部2104b、第二随机数生成部2104c和第二输入信息计算部2104d。

如图3所例示，第二实施方式的能力提供装置22例如具有第一输出信息计算部2201、第二输出信息计算部2202、密钥存储部1204和控制部1205。

＜处理＞

下面，说明本方式的处理。在第二实施方式中，将解码函数ｆ（ｘ）设为准同型函数，将群H设为巡回群，将群H的生成元设为μ_h，将群H的位数设为Ｋ_H并且设为ν＝ｆ（μ_h）。其他的前提，除了计算装置11被置换为计算装置21、能力提供装置12被置换为能力提供装置22以外，与第一实施方式相同。

如图6和图7所例示，在第二实施方式的处理中，第一实施方式的步骤S1103～S1105、S1108、S1200～S1203分别被置换为步骤S2103～S2105、S2108、S2200～S2203。在以下，仅说明步骤S2103～S2105，S2108，S2200～S2203的处理。

《步骤S2103的处理》

计算装置21（图2）的输入信息提供部2104生成并输出与所输入的密码文x分别对应的作为群H的元的第一输入信息τ₁和第二输入信息τ₂（图6/步骤S2103）。以下，使用图8来说明本方式的步骤S2103的处理。

第一随机数生成部2104a（图4）生成0以上且小于K_H的自然数的普通随机数r₁。所生成的随机数r₁被发送到第一输入信息计算部2104b和第一计算部2105（步骤S2103a）。第一输入信息计算部2104b使用所输入的随机数ｒ₁和密码文ｘ和自然数ｂ，计算第一输入信息τ₁＝μ_h ^r1ｘ^b（步骤S2103ｂ）。这里，μ_h的上标的ｒ1表示ｒ₁。如此，在本申请中，将α设为第一字符，将β设为第二字符，将γ设为数字，在表述为α^βγ的情况下，该βγ意味着β_γ即β的下标γ。

第二随机数生成部2104c生成0以上且小于K_H的自然数的普通随机数r₂。所生成的随机数r₂被发送到第二输入信息计算部2104d和第二计算部2108（步骤S2103c）。第二输入信息计算部2104d使用所输入的随机数ｒ₂和密码文ｘ和自然数a，计算第二输入信息τ₂＝μ_h ^r2ｘ^a（步骤S2103d）。

第一输入信息计算部2104b和第二输入信息计算部2104d输出如上所述生成的第一输入信息τ₁和第二输入信息τ₂（步骤S2103e）。另外，本方式的第一输入信息τ₁和第二输入信息τ₂为分别通过随机数ｒ₁、ｒ₂将与密码文x的关系搅乱的信息。由此，计算装置21能够对能力提供装置22隐蔽密码文x。本方式的第一输入信息τ₁进而对应于在自然数选择部1102中选择的自然数b，第二输入信息τ₂进而对应于在自然数选择部1102中选择的自然数a。由此，计算装置21能够以高精度评价从能力提供装置22提供的解码能力。

《步骤S2200～S2203的处理》

如图7所例示，首先，第一输入信息τ₁＝μ_h ^r1ｘ^b输入到能力提供装置22（图3）的第一输出信息计算部2201，第二输入信息τ₂=μ_h ^r2ｘ^a输入到第二输出信息计算部2202（步骤S2200）。

第一输出信息计算部2201使用第一输入信息τ₁=μ_h ^r1ｘ^b和在密钥存储部1204中存储的解码密钥s，以大于某一概率的概率准确地计算ｆ（μ_h ^r1ｘ^b），将得到的计算结果设为第一输出信息ｚ₁。该计算结果既存在准确的情况也存在不准确的情况。即，第一输出信息计算部2201中的计算结果既存在成为ｆ（μ_h ^r1ｘ^b）的情况，也存在没有成为ｆ（μ_h ^r1ｘ^b）的情况（步骤S2201）。

第二输出信息计算部2202使用第二输入信息τ₂=μ_h ^r2ｘ^a和在密钥存储部1204中存储的解码密钥s，以大于某一概率的概率准确地计算ｆ（μ_h ^r2ｘ^a），将得到的计算结果设为第一输出信息ｚ₂。该计算结果既存在准确的情况也存在不准确的情况。即，第二输出信息计算部2202中的计算结果既存在成为ｆ（μ_h ^r2ｘ^a）的情况，也存在没有成为ｆ（μ_h ^r2ｘ_a）的情况（步骤S2202）。第一输出信息计算部2201输出第一输出信息z₁，第二输出信息计算部2202输出第二输出信息z₂（步骤S2203）。

《步骤S2104和S2105的处理》

返回到图6，第一输出信息z₁输入到计算装置21（图2）的第一计算部2105，第二输出信息z₂输入到第二计算部2108。这些第一输出信息ｚ₁和第二输出信息ｚ₂相当于从能力提供装置22对计算装置21提供的解码能力（步骤S2104）。

第一计算部2105使用所输入的随机数ｒ₁和第一输出信息ｚ₁，计算ｚ₁ν^-r1并将该计算结果设为ｕ。计算结果u发送到第一幂乘计算部1106。这里，成为ｕ＝ｚ₁ν^-r1＝ｆ（ｘ）^bｘ₁。即，ｚ₁ν^-r1成为关于ｆ（ｘ）具有误差Ｘ₁的可随机化样本器的输出。在后面叙述其理由（步骤S2105）。

《步骤S2108的处理》

第二计算部2108使用所输入的随机数ｒ₂和第二输出信息ｚ₂，计算ｚ₂ν^-r2并将该计算结果设为ｖ。计算结果v发送到第二幂乘计算部1109。这里，成为ｖ＝ｚ₂ν^-r2＝ｆ（ｘ）^aｘ₂。即，ｚ₂ν^-r2成为关于ｆ（ｘ）具有误差Ｘ₂的可随机化样本器的输出。在后面叙述其理由（步骤S2108）。

《ｚ₁ν^-r1、ｚ₂ν^-r2成为关于ｆ（ｘ）分别具有误差Ｘ₁、Ｘ₂的可随机化样本器的输出的理由》

将ｃ设为自然数，将Ｒ和Ｒ’设为随机数，将能力提供装置22使用μ_h ^Rｘ^c进行的计算的计算结果设为Ｂ（μ_h ^Rｘ^c）。即，将第一输出信息计算部2201和第二输出信息计算部2202返回给计算装置21的计算结果设为ｚ＝Ｂ（μ_h ^Rｘ^c）。进而，将在群G中取值的概率变量X定义为Ｘ＝Ｂ（μ_h ^R’）ｆ（μ_h ^R’）^-1。

这时，成为ｚν^-R＝Ｂ（μ_h ^Rｘ^c）ｆ（μ_h）^-R＝Ｘｆ（μ_h ^Rｘ^c）ｆ（μ_h）^-R＝Ｘｆ（μ_h）^Rｆ（ｘ）^cｆ（μ_h）^-R＝ｆ（ｘ）^cＸ。即，ｚν^-R成为关于ｆ（ｘ）具有误差Ｘ的可随机化样本器的输出。

在上述式展开中，使用Ｘ＝Ｂ（μ_h ^R’）ｆ（μ_h ^R’）^-1＝Ｂ（μ_h ^Rｘ^c）ｆ（μ_h ^Rｘ^c）^-1、Ｂ（μ_h ^Rｘ^c）＝Ｘｆ（μ_h ^Rｘ^c）的性质。该性质基于函数f(x)为准同型函数，R和R'为随机数。

因此，如果考虑a、b为自然数，ｒ₁、ｒ₂为随机数，则同样地，ｚ₁ν^-r1、ｚ₂ν^-r2成为关于ｆ（ｘ）分别具有误差Ｘ₁、Ｘ₂的可随机化样本器的输出。

【第三实施方式】

第三实施方式是第二实施方式的变形例，在a=1或b=1时，通过上述的样本器计算ｕ或ｖ的值。一般，样本器的计算量比可随机化样本器小。在a=1或b=1时，代替可随机化样本器而由样本器进行计算，从而能够减小代理计算系统的计算量。以下，以与第一实施方式和第二实施方式不同的部分为中心进行说明，对于共同的部分省略重复说明。

＜结构＞

如图1所例示，在第三实施方式的代理计算系统3中，计算装置21被置换为计算装置31，能力提供装置22被置换为能力提供装置32。

如图2所例示，第三实施方式的计算装置31例如具有：自然数存储部1101、自然数选择部1102、整数计算部1103、输入信息提供部3104、第一计算部2105、第一幂乘计算部1106、第一列表存储部1107、第二计算部2108、第二幂乘计算部1109、第二列表存储部1110、判定部1111、最终输出部1112、控制部1113和第三计算部3109。

如图3所例示，第三实施方式的能力提供装置32例如具有第一输出信息计算部2201、第二输出信息计算部2202、密钥存储部1204、控制部1205和第三输出信息计算部3203。

＜处理＞

下面，说明本方式的处理。说明与第二实施方式的不同点。

如图6和图7所例示，在第三实施方式的处理中，第二实施方式的步骤S2103～S2105、S2108、S2200～S2203分别被置换为步骤S3103～S3105、S3108、S3200～S3203和S3205～S3209。在以下，以步骤S3103～S3105，S3108，S3200～S4203和S3205～S3209的处理为中心进行说明。

《步骤S3103的处理》

计算装置31（图2）的输入信息提供部3104生成并输出与所输入的密码文x分别对应的作为群H的元的第一输入信息τ₁和第二输入信息τ₂（图6/步骤S3103）。

以下，使用图8来说明本方式的步骤S3103的处理。

控制部1113（图2）根据在自然数选择部1102中选择的自然数（a、b）来控制输入信息提供部3104。

在控制部1113中判定b是否为1（步骤S3103a），在判定为ｂ≠1的情况下，执行上述的步骤S2103a和S2103b的处理，进至步骤S3103g。

另一方面，在步骤S3103a中判定为b=1的情况下，第三随机数生成部3104e生成0以上且小于K_H的自然数的随机数r₃。所生成的随机数r₃被发送到第三输入信息计算部3104f和第三计算部3109（步骤S3103b）。第三输入信息计算部3104f使用所输入的随机数r₃和密码文x来计算x^r3，将其设为第一输入信息τ₁（步骤S3103c）。之后,进至步骤S3103g。

在步骤S3103g中，在控制部1113中判定a是否为1（步骤S3103g），在判定为a≠1的情况下，执行上述的步骤S2103c和步骤S2103d的处理。

另一方面，在步骤S3103g中判定为a=1的情况下，第三随机数生成部3104e生成0以上且小于K_H的自然数的随机数r₃。所生成的随机数r₃被发送到第三输入信息计算部3104f（步骤S3103h）。第三输入信息计算部3104f使用所输入的随机数r₃和密码文x来计算x^r3，将其设为第二输入信息τ₂（步骤S3103i）。

第一输入信息计算部2104b、第二输入信息计算部2104d和第三输入信息计算部3104f将如上所述生成的第一输入信息τ₁和第二输入信息τ₂与所对应的自然数（a、b）的信息一起输出（步骤S3103e）。另外，本方式的第一输入信息τ₁和第二输入信息τ₂为分别通过随机数ｒ₁、ｒ₂、r₃将与密码文x的关系搅乱的信息。由此，计算装置31能够对能力提供装置32隐蔽密码文x。

《S3200～S3203和S3205～S3209的处理》

以下，使用图7来说明本方式的S3200～S3203和S3205～S3209的处理。

控制部1205（图3）根据所输入的自然数（a、b），控制第一输出信息计算部2201、第二输出信息计算部2202、和第三输出信息计算部3203。

基于控制部1205的控制，ｂ≠1时的第一输入信息τ₁＝μ_h ^r1ｘ^b被输入到能力提供装置32（图3）的第一输出信息计算部2201，ａ≠1时的第二输入信息τ₂＝μ_h ^r2ｘ^a被输入到第二输出信息计算部2202。ｂ＝1时的第一输入信息τ₁＝ｘ^r3或ａ＝1时的第二输入信息τ₂＝ｘ^r3被输入到第三输出信息计算部3203（步骤S3200）。

在控制部1113中判定b是否为1（步骤S3205），在判定为ｂ≠1的情况下，执行上述的步骤S2201的处理。之后，在控制部1113中判定a是否为1（步骤S3208），在判定为a≠1的情况下，执行上述的步骤S2202的处理，进至步骤S3203。

另一方面，在步骤S3208中判定为ａ＝1的情况下，第三输出信息计算部3203使用第二输入信息τ₂＝ｘ^r3，以大于某一概率的概率准确计算ｆ（ｘ^r3），将得到的计算结果设为第三输出信息ｚ₃。该计算结果既存在准确的情况也存在不准确的情况。即，第三输出信息计算部3203中的计算结果既存在成为ｆ（ｘ^r3）的情况，也存在没有成为ｆ（ｘ^r3）的情况（步骤S3209）。之后,进至步骤S3203。

在步骤S3205中判定为b＝1的情况下，第三输出信息计算部3203使用第一输入信息τ₁＝ｘ^r3，以大于某一概率的概率准确计算ｆ（ｘ^r3），将得到的计算结果设为第三输出信息ｚ₃。该计算结果既存在准确的情况也存在不准确的情况。即，第三输出信息计算部3203中的计算结果既存在成为ｆ（ｘ^r3）的情况，也存在没有成为ｆ（ｘ^r3）的情况（步骤S3206）。

之后，在控制部1113中判定a是否为1（步骤S3207），在判定为a=1的情况下进至步骤S3203，在判定为a≠1的情况下进至步骤S2202。

在步骤S3203中，生成了第一输出信息z₁的第一输出信息计算部2201输出第一输出信息z₁，生成了第二输出信息z₂的第二输出信息计算部2202输出第二输出信息z₂，生成了第三输出信息z₃的第三输出信息计算部3202输出第三输出信息z₃（步骤S3203）。

《步骤S3104和S3105的处理》

返回到图6，在控制部1113的控制下，第一输出信息ｚ₁输入到计算装置31（图2）的第一计算部2105，第二输出信息ｚ₂输入到第二计算部2108，第三输出信息ｚ₃输入到第三计算部3109（步骤S3104）。

如果b≠1，则第一计算部2105通过上述的步骤S2105的处理生成u，如果b=1，则第三计算部3109计算z₃ ^1/r3，并将其计算结果设为u。计算结果u发送到第一幂乘计算部1106。这里，在ｂ＝1的情况下，成为ｕ＝ｚ₃ ^1/r3＝ｆ（ｘ）ｘ₃。即，ｚ₃ ^1/r3成为关于ｆ（ｘ）具有误差Ｘ₃的样本器。在后面叙述其理由（步骤S3105）。

《步骤S3108的处理》

如果a≠1，则第二计算部2108通过上述的步骤S2108的处理生成v，如果a=1，则第三计算部3109计算z₃ ^1/r3，并将其计算结果设为v。计算结果v发送到第二幂乘计算部1109。这里，在a＝1的情况下，成为v＝ｚ₃ ^1/r3＝ｆ（ｘ）ｘ₃。即，ｚ₃ ^1/r3成为关于ｆ（ｘ）具有误差Ｘ₃的样本器。在后面叙述其理由（步骤S3108）。

另外，在ｚ₃ ^1/r3的计算即ｚ₃的幂乘根的计算困难的情况下，也可以如下计算u和/或v。第三计算部3109将随机数ｒ₃和基于该随机数ｒ₃计算出的ｚ₃的组依次设为（α₁，β₁），（α₂，β₂），…，（α_ｍ，β_ｍ），…并存储到未图示的存储部。m是自然数。第三计算部3109也可以是，如果α₁，α₂，…，α_m的最小公倍数为1，则将γ₁，γ₂，…，γ_m设为整数并计算成为γ₁α₁＋γ₂α₂＋…＋γ_mα_m＝1的γ₁，γ₂，…，γ_m，并使用该γ₁，γ₂，…，γ_m来计算Π_i=1 ^mβ_i ^γi＝β₁ ^γ1β₂ ^γ2…β_m ^γm，将该计算结果设为ｕ和/或ｖ。

《ｚ₃ ^1/r3成为关于ｆ（ｘ）具有误差Ｘ₃的样本器的理由》

将Ｒ设为随机数，将能力提供装置32使用ｘ^R进行的计算的计算结果设为Ｂ（ｘ^R）。即，将第一输出信息计算部2201、第二输出信息计算部2202和第三输出信息计算部3203返回给计算装置31的计算结果设为ｚ＝Ｂ（x^R）。进而，将在群G中取值的概率变量X定义为Ｘ＝Ｂ（x^R）^1/Rｆ（x）^-1。

这时，成为ｚ^1/R＝Ｂ（ｘ^R）^1/R＝Ｘｆ（ｘ）＝ｆ（ｘ）Ｘ。即，ｚ^1/R成为关于ｆ（ｘ）具有误差Ｘ的样本器。

在上述式展开中，使用Ｘ＝Ｂ（ｘ^R）^1/Rｆ（ｘ^R）^-1、Ｂ（ｘ^R）^1/R＝Ｘｆ（ｘ^R）的性质。该性质基于R为随机数。

因此，如果考虑ｒ₃为随机数，则同样地ｚ^1/R成为关于ｆ（ｘ）具有误差Ｘ₃的样本器。

【第四实施方式】

第四实施方式的代理计算系统是将上述的第一可随机化样本器和第二可随机化样本器具体化的其他例子。具体地，对如下的例子进行了具体化：Ｈ＝Ｇ×Ｇ、解码函数ｆ（ｘ）为ＥｌＧａｍａｌ密码的解码函数，即对于解码密钥ｓ和密码文ｘ＝（ｃ₁，ｃ₂）为ｆ（ｃ₁，ｃ₂）＝ｃ₁ｃ₂ ^-s时的第一可随机化样本器和第二可随机化样本器的例子。以下，以与第一实施方式不同的部分为中心进行说明，对于共同的部分省略重复说明。

如图1所例示，在第四实施方式的代理计算系统4中，计算装置11被置换为计算装置41，能力提供装置12被置换为能力提供装置42。

如图2所例示，第四实施方式的计算装置41例如具有：自然数存储部1101、自然数选择部1102、整数计算部1103、输入信息提供部4104、第一计算部4105、第一幂乘计算部1106、第一列表存储部1107、第二计算部4108、第二幂乘计算部1109、第二列表存储部1110、判定部1111、最终输出部1112和控制部1113。如图5所例示，本方式的输入信息提供部4104例如具有第四随机数生成部4104a、第五随机数生成部4104b、第一输入信息计算部4104c、第六随机数生成部4104d、第七随机数生成部4104e和第二输入信息计算部4104f。第一输入信息计算部4104c例如具有第四输入信息计算部4104ca和第五输入信息计算部4104cb，第二输入信息计算部4104f具有第六输入信息计算部4104fa和第七输入信息计算部4104fb。

如图3所例示，第四实施方式的能力提供装置42例如具有第一输出信息计算部4201、第二输出信息计算部4202、密钥存储部1204和控制部1205。

＜处理＞

下面，说明本方式的处理。在第四实施方式中，群H为群Ｇ的直积群Ｇ×Ｇ,群G为巡回群，密码文ｘ＝（ｃ₁，ｃ₂）∈Ｈ，ｆ（ｃ₁，ｃ₂）为准同型函数，将群G的生成元设为μ_g，将群G的位数设为Ｋ_G，事先对计算装置41和能力提供装置42设定对于相同的解码密钥s的密码文（Ｖ，Ｗ）∈Ｈ和对该密码文解码后的解码文ｆ（Ｖ，Ｗ）＝Ｙ∈Ｇ的组，计算装置41和能力提供装置41能够利用该组。

如图6和图7所例示，在第四实施方式的处理中，第一实施方式的步骤S1103～S1105、S1108、S1200～S1203分别被置换为步骤S4103～S4105、S4108、S4200～S4203。在以下，仅说明步骤S4103～S4105，S4108，S4200～S4203的处理。

《步骤S4103的处理》

计算装置41（图2）的输入信息提供部4104生成并输出与所输入的密码文x=（ｃ₁，ｃ₂）对应的作为群H的元的第一输入信息τ₁和与密码文x=（ｃ₁，ｃ₂）对应的作为群H的元的第二输入信息τ₂（图6/步骤S4103）。以下，使用图9来说明本方式的步骤S4103的处理。

第四随机数生成部4104a（图5）生成0以上且小于K_G的自然数的普通随机数r₄。所生成的随机数r₄被发送到第四输入信息计算部4104ca、第五输入信息计算部4104cb和第一计算部4105（步骤S4103a）。第五随机数生成部4104b生成0以上且小于K_G的自然数的普通随机数r₅。所生成的随机数r₅被发送到第五输入信息计算部4104cb和第一计算部4105（步骤S4103b）。

第四输入信息计算部4104ca使用在自然数选择部1102中选择的自然数b、密码文x所包含的c₂和随机数r₄，计算第四输入信息ｃ₂ ^bＷ^r4（步骤S4103c）。第五输入信息计算部4104cb使用在自然数选择部1102中选择的自然数b、密码文x所包含的c₁和随机数r₄、r₅，计算第五输入信息ｃ₁ ^bＶ^r4μ_g ^r5（步骤S4103d）。

第六随机数生成部4104d生成0以上且小于K_G的自然数的普通随机数r₆。所生成的随机数r₆被发送到第六输入信息计算部4104fa、第七输入信息计算部4104fb和第二计算部4108（步骤S4103e）。第七随机数生成部4104e生成0以上且小于K_G的自然数的普通随机数r₇。所生成的随机数r₇被发送到第六输入信息计算部4104fa和第二计算部4108（步骤S4103f）。

第六输入信息计算部4104fa使用在自然数选择部1102中选择的自然数a、密码文x所包含的c₂和随机数r₆，计算第六输入信息ｃ₂ ^aＷ^r6（步骤S4103g）。第七输入信息计算部4104fb使用在自然数选择部1102中选择的自然数a、密码文x所包含的c₁和随机数r₇，计算第七输入信息ｃ₁ ^aＶ^r6μ_g ^r7（步骤S4103h）。

第一输入信息计算部4104c将如上所述生成的第四输入信息ｃ₂ ^bＷ^r4和第五输入信息ｃ₁ ^bＶ^r4μ_g ^r5作为第一输入信息τ₁＝（ｃ₂ ^bＷ^r4，ｃ₁ ^bＶ^r4μ_g ^r5）而输出。第二输入信息计算部4104f将如上所述生成的第六输入信息ｃ₂ ^aＷ^r6和第七输入信息ｃ₁ ^aＶ^r6μ_g ^r7作为第二输入信息τ₂＝（ｃ₂ ^aＷ^r6，ｃ₁ ^aＶ^r6μ_g ^r7）而输出（步骤S4103ｉ）。

《步骤S4200～S4203的处理》

如图7所例示，首先，第一输入信息τ₁＝（ｃ₂ ^ｂＷ^r4，ｃ₁ ^bＶ^r4μ_g ^r5）输入到能力提供装置42（图3）的第一输出信息计算部4201，第二输入信息τ₂＝（ｃ₂ ^ａＷ^r6，ｃ₁ ^aＶ^r6μ_g ^r7）输入到第二输出信息计算部4202（步骤S4200）。

第一输出信息计算部4201使用第一输入信息τ₁＝（ｃ₂ ^bＷ^r4，ｃ₁ ^bＶ^r4μ_g ^r5）和在密钥存储部1204中存储的解码密钥s，以大于某一概率的概率准确地计算ｆ（ｃ₁ ^bＶ^r4μ_g ^r5，ｃ₂ ^bＷ^r4），将计算结果设为第一输出信息ｚ₁。该计算结果既存在准确的情况也存在不准确的情况。即，第一输出信息计算部4201的计算结果既有成为ｆ（ｃ₁ ^bＶ^r4μ_g ^r5，ｃ₂ ^bＷ^r4）的情况，也有不成为ｆ（ｃ₁ ^bＶ^r4μ_g ^r5，ｃ₂ ^bＷ^r4）的情况（步骤S4201）。

第二输出信息计算部4202能够使用第二输入信息τ₂＝（ｃ₂ ^aＷ^r6，ｃ₁ ^aＶ^r6μ_g ^r7）和在密钥存储部1204中存储的解码密钥s，以大于某一概率的概率准确地计算ｆ（ｃ₁ ^aＶ^r6μ_g ^r7，ｃ₂ ^aＷ^r6），将获得的计算结果设为第二输出信息ｚ₂。该计算结果既存在准确的情况也存在不准确的情况。即，第一输出信息计算部4202的计算结果既有成为ｆ（ｃ₁ ^aＶ^r6μ_g ^r7，ｃ₂ ^aＷ^r6）的情况，也有不成为ｆ（ｃ₁ ^aＶ^r6μ_g ^r7，ｃ₂ ^aＷ^r6）的情况（步骤S4202）。第一输出信息计算部4201输出第一输出信息z₁，第二输出信息计算部4202输出第二输出信息z₂（步骤S4203）。

《步骤S4104和S4105的处理》

返回到图6，第一输出信息z₁输入到计算装置41（图2）的第一计算部4105，第二输出信息z₂输入到第二计算部4108(步骤S4104)。

第一计算部4105使用所输入的第一输出信息ｚ₁和随机数ｒ₄、ｒ₅，计算ｚ₁Ｙ^-r4μ_g ^-r5并将该计算结果设为ｕ（步骤S4105）。计算结果u发送到第一幂乘计算部1106。这里，成为ｕ＝ｚ₁Ｙ^-r4μ_g ^-r5＝ｆ（ｃ₁，ｃ₂）^bｘ₁。即，ｚ₁Y^-r4μ_g ^-r5成为关于ｆ（c₁,c₂）具有误差Ｘ₁的可随机化样本器的输出。在后面叙述其理由。

《步骤S4108的处理》

第二计算部4108使用所输入的第二输出信息ｚ₂和随机数ｒ₆、ｒ₇，计算ｚ₂Ｙ^-r6μ_g ^-r7并将该计算结果设为v。计算结果v发送到第二幂乘计算部1109。这里，成为ｖ＝ｚ₂Ｙ^-r6μ_g ^-r7＝ｆ（ｃ₁，ｃ₂）^aｘ₂。即，ｚ₂Y^-r6μ_g ^-r7成为关于ｆ（c₁,c₂）具有误差Ｘ₂的可随机化样本器的输出。在后面叙述其理由。

《ｚ₁Ｙ^-r4μ_g ^-r5、ｚ₂Ｙ^-r6μ_g ^-r7分别成为关于ｆ（ｃ₁，ｃ₂）具有误差Ｘ₁、Ｘ₂的可随机化样本器的输出的理由》

将ｃ设为自然数，将Ｒ₁、Ｒ₂、Ｒ₁’和Ｒ₂’设为随机数，将能力提供装置42使用ｃ₁ ^cＶ^R1μ_g ^R2和ｃ₂ ^cＷ^R1进行的计算的计算结果设为Ｂ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）。即，将第一输出信息计算部4201和第二输出信息计算部4202返回给计算装置41的计算结果设为ｚ＝Ｂ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ^2cＷ^R1）。进而，将在群G中取值的概率变量X定义为Ｘ＝Ｂ（Ｖ^R1’μ_g ^R2’，Ｗ^R1’）ｆ（Ｖ^R1’μ_g ^R2’，Ｗ^R1’）^-1。

这时，成为ｚＹ^-R1μ_g ^-R2＝Ｂ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）Ｙ^-R1μ_g ^-R2＝Ｘｆ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）Ｙ^-R1μ_g ^-R2＝Ｘｆ（ｃ₁，ｃ₂）^cｆ（Ｖ，Ｗ）^R1ｆ（μ_g，ｅ_g）^R2Ｙ^-R1μ_g ^-R2＝Ｘｆ（ｃ₁，ｃ₂）^ｃＹ^R1μ_g ^R2Ｙ^-R1μ_g ^-R2＝ｆ（ｃ₁，ｃ₂）^cＸ。即，ｚＹ^-R1μ_g ^-R2成为关于ｆ（ｘ）具有误差Ｘ的可随机化样本器的输出。其中，ｅ_g是群G的单位元。

在上述式展开中，使用Ｘ＝Ｂ（Ｖ^R1’μ_g ^R2’，Ｗ^R1’）ｆ（Ｖ^R1’μ_g ^R2’，Ｗ^R1’）^-1＝Ｂ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）ｆ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）、Ｂ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）＝Ｘｆ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）的性质。该性质基于Ｒ₁、Ｒ₂、Ｒ₁’和Ｒ₂’是随机数。

因此，如果考虑a、b为自然数，ｒ₄、ｒ₅、r₆和r₇为随机数，则同样地，ｚ₁Ｙ^-r4μ_g ^-r5、ｚ₂Ｙ^-r6μ_g ^-r7成为关于ｆ（c₁,c₂）分别具有误差Ｘ¹、Ｘ₂的可随机化样本器的输出。

【第五实施方式】

在上述的各实施方式中，在计算装置的自然数存储部1101中存储多种互质的2个自然数a,b的组（a,b），使用这些组（a,b）来执行各处理。但是，a、b的一方也可以是常数。例如，可以将a固定为1，也可以将b固定为1。换而言之，第一可随机化样本器或第二可随机化样本器的一方可以置换为样本器。在a、b的一方为常数的情况下，不需要进行对设为常数的a或b进行选择的处理，各处理部无需被输入设为常数的a或b，能够将其作为常数进行计算。设为常数的a或b为1的情况下，无需使用ａ’和ｂ’，能够作为ｆ（ｘ）＝ｖ或ｆ（ｘ）＝ｕ得到ｆ（ｘ）＝ｕ^ｂ’ｖ^ａ’。

第五实施方式是这样的变形的一例，是将b固定为1、第二可随机化样本器被置换为样本器的方式。以下，以与第一实施方式的不同点为中心进行说明。第一可随机化样本器和样本器的具体例与在第二实施方式至第四实施方式中说明的相同，因此省略说明。

＜结构＞

如图1所例示，在第五实施方式的代理计算系统5中，第一实施方式的计算装置11被置换为计算装置51，能力提供装置12被置换为能力提供装置52。

如图10所例示，第五实施方式的计算装置51例如具有：自然数存储部5101、自然数选择部5102、输入信息提供部5104、第一计算部5105、第一幂乘计算部1106、第一列表存储部1107、第二计算部5108、第二列表存储部5110、判定部5111、最终输出部1112和控制部1113。

如图3所例示，第五实施方式的能力提供装置52例如具有第一输出信息计算部5201、第二输出信息计算部5202、密钥存储部1204和控制部1205。

＜处理＞

下面，说明本方式的处理。作为处理的前提，将Ｇ、Ｈ设为群（例如为可交换群），将ｆ（ｘ）设为用于将作为群H的元的密码文x通过特定的解码密钥s解码而得到群G的元的解码函数，将群G、H的生成元分别设为μ_g、μ_h，将Ｘ₁、Ｘ₂设为在群G中取值的概率变量，将概率变量Ｘ₁的实现值设为ｘ₁，将概率变量Ｘ₂的实现值设为ｘ₂。计算装置51的自然数存储部5101中存储有多个种类的自然数a。

如图11所例示，首先，计算装置51（图10）的自然数选择部5102随机地从在自然数存储部5101中存储的多个自然数a读入1个自然数a。所读入的自然数a的信息被发送到输入信息提供部5104和第一幂乘计算部1106（步骤S5100）。

控制部1113设为t=1（步骤S1102）。

输入信息提供部5104生成并输出与所输入的密码文x分别对应的作为群H的元的第一输入信息τ₁和第二输入信息τ₂。优选为，第一输入信息τ₁和第二输入信息τ₂为分别将与密码文x的关系搅乱的信息。由此，计算装置51能够对能力提供装置52隐蔽密码文x。优选为，本方式的第二输入信息τ₂进而对应于由自然数选择部5102选择的自然数a。由此，计算装置51能够以高精度评价从能力提供装置52提供的解码能力（步骤S5103）。第一输入信息τ₁和第二输入信息τ₂的组合的具体例子是，第二实施方式至第四实施方式的任何一个的设为b=1的第一输入信息τ₁和第二输入信息τ₂的组合。

如图7所例示，第一输入信息τ₁输入到能力提供装置52（图3）的第一输出信息计算部5201，第二输入信息τ₂输入到第二输出信息计算部5202（步骤S5200）。

第一输出信息计算部5201使用第一输入信息τ₁和在密钥存储部1204中存储的解码密钥s，以大于某一概率的概率准确地计算ｆ（τ₁），将得到的计算结果设为第一输出信息ｚ₁（步骤S5201）。第二输出信息计算部5202使用第二输入信息τ₂和在密钥存储部1204中存储的解码密钥s，以大于某一概率的概率准确地计算ｆ（τ₂），将得到的计算结果设为第二输出信息ｚ₂（步骤S5202）。即，第一输出信息计算部5201和第二输出信息计算部5202输出包含有意的或无意的误差的计算结果。换言之，第一输出信息计算部5201的计算结果既有是ｆ（τ₁）的情况也有不是ｆ（τ₁）的情况，第二输出信息计算部5202的计算结果既有是ｆ（τ₂）的情况也有不是ｆ（τ₂）的情况。第一输出信息z₁和第二输出信息z₂的组的具体例子是，第二实施方式至第四实施方式的任何一个的设为b=1的第一输出信息z₁和第二输出信息z₂的组。

第一输出信息计算部5201输出第一输出信息z₁，第二输出信息计算部5202输出第二输出信息z₂（步骤S5203）。

返回到图11，第一输出信息z₁输入到计算装置51（图10）的第一计算部5105，第二输出信息z₂输入到第二计算部5108。这些第一输出信息ｚ₁和第二输出信息ｚ₂相当于从能力提供装置52对计算装置51提供的解码能力（步骤S5104）。

第一计算部5105根据第一输出信息ｚ₁生成计算结果ｕ＝ｆ（ｘ）ｘ₁。计算结果u的具体例是，第二实施方式至第四实施方式的任何一个的设为b=1的计算结果u。计算结果u发送到第一幂乘计算部1106（步骤S5105）。

第一幂乘计算部1106计算ｕ’＝ｕ^a。计算结果ｕ和基于该计算结果计算出的ｕ’的组（ｕ，ｕ’）被存储到第一列表存储部1107（步骤S1106）。

第二计算部5108根据第二输出信息ｚ₂生成计算结果ｕ＝ｆ（ｘ）^aｘ₂。计算结果v的具体例是，第二实施方式至第四实施方式的任何一个的计算结果v。计算结果v被存储到第二列表存储部5110（步骤S5108）。

判定部5111在存储于第一列表存储部1107的组（ｕ，ｕ’）和存储于第二列表存储部5110的ｖ中，判定是否有成为ｕ’＝ｖ的组（步骤S5110）。在有成为ｕ’＝ｖ的组的情况下，进至步骤S5114。在没有成为ｕ’＝ｖ的组的情况下，进至步骤S1111。

在步骤S5111中，控制部1113判定是否为t=T_max（步骤S1111）。Ｔ_max是预先决定的自然数。如果是ｔ＝Ｔ_max，则控制部1113输出无法进行计算的意旨的信息例如为符号“⊥”（步骤S1113），并结束处理。如果不是ｔ＝Ｔ_max，则控制部1113将t增加1，即设为ｔ＝ｔ＋1（步骤S1112），返回到步骤S5103。

在步骤S1114中，最终输出部1112输出与判定为ｕ’＝ｖ的ｕ’对应的u（步骤S5114）。如此得到的u相当于在第一实施方式至第四实施方式中设为ｂ＝1时的ｕ^b’ｖ^a’。即，如此得到的u成为以高的概率对密码文x通过特定的解码密钥s进行了解码后的解码结果f(x)。因此，将上述的处理重复多次，将在步骤S5114中得到的值中频度最高的值设为解码结果即可。如后所述，根据设定，以绝对的概率成为ｕ＝ｆ（ｘ）。在该情况下，可以将在步骤S5114中得到的值直接设为解码结果。

《关于得到解码结果f(x)的理由》

下面，说明在本方式的计算装置51中得到解码结果f(x)的理由。首先，定义在说明中所需的事项。

黑盒子（black-box)：

ｆ（τ）的黑盒子Ｆ（τ）意味着，将τ∈Ｈ作为输入而输出ｚ∈Ｇ的处理部。在本方式中，第一输出信息计算部5201和第二输出信息计算部5202分别相当于解码函数ｆ（τ）的黑盒子F（τ）。将对于从群H中任意选择的元τ∈_UＨ和ｚ＝Ｆ（τ）满足ｚ＝ｆ（τ）的概率大于δ（0＜δ≦1）时、即满足Ｐｒ［ｚ＝ｆ（τ）｜τ∈_UＨ，ｚ＝Ｆ（τ）］＞δ…(1)

的ｆ（τ）的黑盒子Ｆ（τ）称为，可靠度δ（δ-reliable）的ｆ（τ）的黑盒子Ｆ（τ）。其中，δ是正的值，相当于上述的“某一概率”。

自身改正器（self-corrector）：

自身改正器Ｃ^F（ｘ）意味着，将ｘ∈Ｈ设为输入，使用ｆ（τ）的黑盒子Ｆ（τ）进行计算而输出ｊ∈Ｇ∪⊥的处理部。在本方式中，计算装置51相当于自身改正器Ｃ^F（ｘ）。

殆自身改正器（almostself-corrector）：

假定自身改正器Ｃ^F（ｘ）将ｘ∈Ｈ作为输入使用可靠度δ的ｆ（τ）的黑盒子Ｆ（τ）来输出准确的值ｊ＝ｆ（ｘ）的概率充分大于输出错误的值ｊ≠ｆ（ｘ）的概率的情况。即，假定满足式（2）的情况。

Ｐｒ［ｊ＝ｆ（ｘ）｜ｊ＝Ｃ^F（ｘ），ｊ≠⊥］

＞Ｐｒ［ｊ≠ｆ（ｘ）｜ｊ＝Ｃ^F（ｘ），ｊ≠⊥］＋Δ…(2)

另外，Δ是某一正的值（0＜Δ＜1）。在如此的情况下，自身改正器C^F(x)称为殆自身改正器。例如，对于某一正的值Δ’（0＜Δ’＜1），满足

Ｐｒ［ｊ＝ｆ（ｘ）｜ｊ＝Ｃ^F（ｘ）］＞（1／3）＋Δ’

Ｐｒ［ｊ＝⊥｜ｊ＝Ｃ^F（ｘ）］＜1／3

Ｐｒ［ｊ≠ｆ（ｘ）且ｊ≠⊥｜ｊ＝Ｃ^F（ｘ）］＜1／3

的情况下，自身改正器Ｃ^F（ｘ）是殆自身改正器。Δ’的例子是Δ’＝1／12或1／3。

强自身改正器（robustself-corrector）：

假定自身改正器Ｃ^F（ｘ）将ｘ∈Ｈ作为输入使用可靠度δ的ｆ（τ）的黑盒子Ｆ（τ）来输出准确的值ｊ＝ｆ（ｘ）或j=⊥的概率为绝对的情况。即，对于能够忽略的误差ξ（0≦ξ＜1），满足

Ｐｒ［ｊ＝ｆ（ｘ）或者ｊ＝⊥｜ｊ＝Ｃ^F（ｘ）］＞1－ξ…(3)

的情况。在如此的情况下，自身改正器C^F(x)称为强自身改正器。另外，能够忽略的误差ξ的例子是，安全参数ｋ的函数值ξ（ｋ）。函数值ξ（ｋ）的例子是，对于任意的多项式ｐ（ｋ）关于充分大的ｋ，｛ξ（ｋ）ｐ（ｋ）｝收敛于0的函数值。函数值ξ（ｋ）的具体例是，ξ（ｋ）＝2^-k或ξ（ｋ）＝2^-√k等。

能够从殆自身改正器构成强自身改正器。即，对于相同的x执行多次殆自身改正器，将除了⊥之外频度最高的输出值设为j，从而能够构成强自身改正器。例如，对于相同的x执行Ｏ（ｌｏｇ（1／ξ））次殆自身改正器，将频度最高的输出值设为j，从而能够构成强自身改正器。另外，Ｏ（·）表示O记法。

伪自由（pseudo-free）的作用：

关于群Ｇ、自然数的集合Ω＝｛0，．．．，Ｍ｝（Ｍ为1以上的自然数）、在群G中取值的概率变量Ｘ₁、Ｘ₂的各实现值α∈Ｘ₁（α≠ｅ_g），β∈Ｘ₂和ａ∈Ω，对于成为α^a＝β的概率

Ｐｒ［α^a＝β且α≠ｅ_g｜ａ∈_UΩ，α∈Ｘ₁，β∈Ｘ₂］…(4)

将对于所有可能的Ｘ₁，Ｘ₂的上限值称为组（Ｇ，Ω）的伪自由指标，将其表示为Ｐ（Ｇ，Ω）。在存在某一能够忽略的函数ζ（ｋ）,且

Ｐ（Ｇ，Ω）＜ζ（ｋ）…(5)

的情况下，通过组（Ｇ，Ω）定义的运算是伪自由的作用。另外，以乘法表现在第五实施方式中在群中定义的运算。即，对于α∈Ｇ的「α^a」意味着，对α作用a次在群Ｇ中定义的运算。能够忽略的函数ξ（ｋ）的例子是，对于任意的多项式ｐ（ｋ）关于充分大的ｋ，｛ξ（ｋ）ｐ（ｋ）｝收敛于0的函数。函数ξ（ｋ）的具体例是，ξ（ｋ）＝2^-k或ξ（ｋ）＝2^-√k等。例如，对于安全参数k，式（4）的概率小于Ｏ（2^-k）的情况下，通过组（Ｇ，Ω）定义的运算是伪自由的作用。例如，关于任意的α∈Ｇ且α≠ｅ_g，集合Ω·α＝｛ａ（α）｜ａ∈Ω｝的元素数｜Ω·α｜超过2^ｋ的情况下，通过组（Ｇ，Ω）定义的运算能够称为伪自由的作用。这样的具体例存在很多。例如，群G为将质数p作为法的剩余群Ｚ／ｐＺ，质数p为2^k的量级，集合Ω＝｛0，．．．，ｐ－2｝，ａ（α）为α^a∈Ｚ／ｐＺ且α≠ｅ_g的情况下，成为Ω·α＝｛α^a｜ａ＝0，．．．，ｐ－2｝＝｛ｅ_g，α¹，．．．，α^p-2｝，并且是｜Ω·α｜＝ｐ－1。由于质数p是2^k的量级，因此存在某一常数C，如果k充分大则满足｜Ω·α｜＞Ｃ2^k。这里，式（4）的概率小于Ｃ^-12^-k，通过这样的组（Ｇ，Ω）定义的运算是伪自由的作用。

可靠度δ^γ（δ^γ-reliable）的可随机化样本器：

是在每次提供自然数a时使用可靠度δ的ｆ（τ）的黑盒子Ｆ（τ），对于ｗ∈Ｇ返回与按照概率变量Ｘ的样本ｘ’对应的ｗ^aｘ’的可随机化样本器，将ｗ^aｘ’＝ｗ^a的概率大于δ^γ（γ为正常数）即满足

Ｐｒ［ｗ^aｘ’＝ｗ^a］＞δ^γ…(6)

的可随机化样本器称为可靠度δ^γ的可随机化样本器。本方式的输入信息提供部5104和第二输出信息计算部5202和第二计算部5108的组是关于w=f(x)可靠度为δ^γ的可随机化样本器。

下面，使用这些定义，说明在本方式的计算装置51中得到解码结果f(x)的理由。

在本方式的步骤S5110中，判定是否为ｕ’＝ｖ即ｕ^a＝ｖ。由于本方式的输入信息提供部5104和第二输出信息计算部5202和第二计算部5108的组是可靠度δ^γ的可随机化样本器（式（6）），如果将Ｔ_max设为大于根据ｋ、δ、γ决定的固定值的值，则产生渐进地以大的概率成立ｕ^a＝ｖ（在步骤S5110中成为“是”）的情况。例如，如果设为Ｔ_max≧4／δ^γ，则根据Ｍａｒｋｏｖ的不等式可知，成立ｕ^a＝ｖ（在步骤S5110中成为“是”）的概率大于1／2。

在本方式中，ｕ＝ｆ（ｘ）ｘ₁且ｖ＝ｆ（ｘ）^aｘ₂，因此在成立ｕ^a＝ｖ时成立ｘ₁ ^a＝ｘ₂。在成立ｘ₁ ^a＝ｘ₂的情况下，存在是ｘ₁＝ｘ₂＝ｅ_g的情况和是ｘ₁≠ｅ_g的情况。在ｘ₁＝ｘ₂＝ｅ_g的情况下，成为ｕ＝ｆ（ｘ），因此在步骤S5114中输出的u成为准确的解码结果ｆ（ｘ）。另一方面，在ｘ₁≠ｅ_g的情况下，成为ｕ≠ｆ（ｘ），因此在步骤S5114中输出的u不是准确的解码结果ｆ（ｘ）。

通过群G和自然数a所属的集合Ω的组（Ｇ，Ω）定义的运算为伪自由的作用、或者关于伪自由指标Ｐ（Ｇ，Ω），Ｔ_max ²Ｐ（Ｇ，Ω）渐近小的情况下，在ｕ^a＝ｖ时ｘ₁≠ｅ_g的概率（式（4））渐近小。因此，在ｕ^a＝ｖ时ｘ₁＝ｅ_g的概率渐近大。因此，通过组（Ｇ，Ω）定义的运算为伪自由的作用、或者Ｔ_max ²Ｐ（Ｇ，Ω）渐近小的情况下，在ｕ^a＝ｖ时输出错误的解码结果f(x)的概率比ｕ^a＝ｖ时输出准确的解码结果f（x）的概率充分小。这时的计算装置51也可以称为殆自身改正器（参考式（2））。因此，如上所述，从计算装置51能够构成强自身改正器，能够以绝对的概率得到准确的解码结果f(x)。在（Ｇ，Ω）中定义的运算是伪自由的作用的情况下，也能够忽略在ｕ^a＝ｖ时输出错误的解码结果ｆ（ｘ）的概率。这时的计算装置51以绝对的概率输出准确的解码结果f(x)或者⊥。

另外，对任意的常数ρ决定ｋ₀，对该ｋ₀关于满足ｋ₀＜ｋ’的任意的ｋ’的函数值η（ｋ’）小于ρ的情况下，称为「η（ｋ’）渐近小」。k'的例子是安全参数k。

对任意的常数ρ决定ｋ₀，对该ｋ₀关于满足ｋ₀＜ｋ’的任意的ｋ’的函数值1-η（ｋ’）小于ρ的情况下，称为「η（ｋ’）渐近大」。

《关于可靠度δ^γ的可随机化样本器和安全性》

假定如下的攻击。

·黑盒子Ｆ（τ）或者该部分有意地输出不准确的ｚ，或者从黑盒子Ｆ（τ）输出的值被改变为不准确的ｚ。

·从可随机化样本器输出与不准确的z对应的w^ax'。

·与在自身改正器Ｃ^F（ｘ）中成立ｕ^a＝ｖ（在步骤S5110中“是”）无关地，与不准确的ｚ对应的ｗ^aｘ’使自身改正器Ｃ^F（ｘ）输出错误的值的概率增加。

在对于所提供的自然数a从可随机化样本器输出的ｗ^aｘ’的误差的概率分布Ｄ_a＝ｗ^aｘ’ｗ^-a依赖于自然数a的情况下，这样的攻击成为可能。例如，在进行了从第二计算部5108输出的v成为ｆ（ｘ）^aｘ₁ ^a的不准确的情况下，与ｘ₁的值无关地，必然成立ｕ^a＝ｖ。因此，在可随机化样本器中，期望在对于所提供的自然数a从可随机化样本器输出的ｗ^aｘ’的误差的概率分布Ｄ_a＝ｗ^aｘ’ｗ^-a不依赖于该自然数a。

或者，期望是如下的可随机化样本器：对于集合Ω的任何元存在无法与ｗ^aｘ’的误差的概率分布Ｄ_a＝ｗ^aｘ’ｗ^-a区分的在群Ｇ中取值的概率分布Ｄ（概率分布Ｄ_a与概率分布Ｄ统计近似（statistically-close））。其中，概率分布D不依赖于自然数a。无法区分概率分布Ｄ_a与概率分布Ｄ意味着，无法通过多项式时间算法来区分概率分布Ｄ_a与概率分布Ｄ，例如对于可忽视的ζ（0≦ζ＜1）满足

Σ_ｇ∈G｜Ｐｒ［ｇ∈Ｄ］－Ｐｒ［ｇ∈Ｄ_a］｜＜ζ…(7)

，则无法通过多项式时间算法来区分概率分布Ｄ_a与概率分布Ｄ。能够忽略的ζ的例子是，安全参数ｋ的函数值ζ（ｋ）。函数值ζ（ｋ）的例子是，对于任意的多项式ｐ（ｋ）关于充分大的ｋ，｛ζ（ｋ）ｐ（ｋ）｝收敛于0的函数值。函数值ζ（ｋ）的具体例是，ζ（ｋ）＝2^-k或ζ（ｋ）＝2^-√k等。这些点对于使用自然数a和b的第一实施方式至第四实施方式也相同。

【第六实施方式】

在本方式中，将本发明应用到格子密码的一种即GHV加密方式（参照参考文献1「C.Genrty,S.HaleviandV.Vaikuntanathan,“ASimpleBGNTypeCryptosystemfromLWE,”AdvancesinCryptology-EUROCRYPT2010,LNCS6110,pp.506-522,Springer-Verlag,2010.」等）的解码处理。以下，以与上述的各实施方式的不同点为中心进行说明。

＜结构＞

如图1所例示，在第六实施方式的代理计算系统6中，第一实施方式的计算装置11被置换为计算装置61，能力提供装置12被置换为能力提供装置62。

如图12所例示，第六实施方式的计算装置61例如具有：矩阵存储部6101、矩阵选择部6102、输入信息提供部6104、第一计算部6105、矩阵积计算部6106、第一列表存储部6107、第二计算部6108、第二列表存储部6110、判定部6111、最终输出部6112和控制部1113。

如图14所例示，本方式的输入信息提供部6104例如具有第一随机矩阵选择部6104a、第二随机矩阵选择部6104b、第一加密部6104c、第二加密部6104d、第一输入信息计算部6104e、第三随机矩阵选择部6104f、第四随机矩阵选择部6104g、第三加密部6104h、第四加密部6104i、第二输入信息计算部6104j。

如图13所例示，第六实施方式的能力提供装置62例如具有第一输出信息计算部6201、第二输出信息计算部6202、密钥存储部6204和控制部1205。

＜处理＞

下面，说明本方式的处理。在本方式中，将Ｇ_M设为ι×ι矩阵的集合，将Ｈ_M设为ι×ι矩阵的集合，将_MＸ₁、_MＸ₂设为在集合Ｇ_M中取值的概率变量，将_Mｘ₁设为概率变量_MＸ₁的实现值，将_Mｘ₂设为概率变量_MＸ₂的实现值，将ａ_M设为集合Ｈ_M的元。在本方式中，将ＰＫ设为作为加密密钥（公开密钥）的ι×κ矩阵，将SＫ设为作为满足ＰＫ·SＫ＝0的ι×ι矩阵的解码密钥（秘密密钥），将ＣＭ设为κ×ι矩阵，将ＮＭ设为ι×ι矩阵，将ＵＭ设为ι×ι单位矩阵，将ＰＴ设为作为集合Ｇ_M的元的平文ＰＴ∈Ｇ_M，将ｘ_M设为作为集合Ｈ_Ｍ的元的密码文ｘ_M∈Ｈ_M，将ＥＮＣ_Ｍ设为用于将作为集合Ｇ_M的元的平文ＰＴ进行加密而得到密码文ｘ_M∈Ｈ_M的加密函数,将ｆ_M（ｘ_M）设为用于将密码文ｘ_M∈Ｈ_M通过特定的解码密钥SＫ进行解码而得到作为集合Ｇ_M的元的平文ＰＴ的解码函数。解码函数ｆ_M（ｘ_M）是准同型函数。例如，将Ｇ_M设为ι×ι矩阵（Ｚ／2Ｚ）^ι×ι的集合，将Ｈ_M设为ι×ι矩阵（Ｚ／ｑＺ）^ι×ι的集合，将加密密钥ＰＫ设为ι×κ矩阵（Ｚ／ｑＺ）^ι×κ，将解码密钥SＫ设为ι×ι矩阵（Ｚ／ｑＺ）^ι×ι，将ＣＭ设为随机选择的κ×ι矩阵（Ｚ／ｑＺ）^κ×ι，将ＮＭ设为按照高斯分布的ι×ι矩阵（Ｚ／ｑＺ）^ι×ι，将ＵＭ设为ι×ι单位矩阵（Ｚ／2Ｚ）^ι×ι，将加密函数ＥＮＣ_M（ＰＴ）设为ＰＫ·ＣＭ＋2·ＮＭ＋ＰＴ（ｍｏｄｑ），将解码函数ｆ_M（ｘ_M）设为SＫ^-1｛SＫ·ｘ_M·SＫ^T（ｍｏｄｑ）｝（SＫ^T）^-1（ｍｏｄ2）。其中，κ、ι、ｑ是正整数，·^T是·的转置矩阵，（Ｚ／ｑＺ）^κ×ι是以将ｑ作为法的剩余环Ｚ／ｑＺ作为元素的κ行ι列矩阵。在第六实施方式中，将矩阵α₁、α₂之间的积表示为α₁·α₂，将和表现为α₁＋α₂。将对矩阵α的各元素进行了自然数β倍后的矩阵表示为β·α。

作为本方式的处理的前提，假设在计算装置61（图12）的矩阵存储部6101中存储有多个种类的矩阵ａ_M∈Ｈ_M。在能力提供装置62（图13）的密钥存储部6204中安全地存储有解码密钥SK。如图15所例示，首先，计算装置61（图12）的矩阵选择部6102同样随机地从在矩阵存储部6101中存储的多个矩阵中选择并读入1个矩阵a_M。所读入的矩阵a_M的信息被发送到输入信息提供部6104和矩阵积计算部6106（步骤S6100）。

控制部1113设为t=1（步骤S1102）。

输入信息提供部6104生成并输出与所输入的密码文x_M分别对应的作为所对应的集合H_M的元的第一输入信息_Mτ₁和第二输入信息_Mτ₂。优选为，第一输入信息_Mτ₁和第二输入信息_Mτ₂为分别将与密码文x_M的关系搅乱的信息。由此，计算装置61能够对能力提供装置62隐蔽密码文x_M。第二输入信息_Mτ₂进而对应于元ａ_M。由此，计算装置61能够以高精度评价从能力提供装置62提供的解码能力（步骤S6103）。以下，使用图16来说明步骤S6103的具体例。

【步骤S6103的具体例】

输入信息提供部6104（图14）的第一随机矩阵选择部6104a同样随机地选择集合Ｇ_M的元Ｍ_R1（步骤S6103ａ）。所选择的Ｍ_R1被发送到第一加密部6104c和第一计算部6105（步骤S6103a）。第二随机矩阵选择部6104b选择κ×ι的同样随机的矩阵ＣＭ₁₁和ＣＭ₁₂∈（Ｚ／ｑＺ）^κ×ι。所选择的ＣＭ₁₁和ＣＭ₁₂被发送到第一输入信息计算部6104e（步骤S6103b）。第一加密部6104ｃ使用公开密钥ＰＫ，生成作为Ｍ_R1的密码文ＥＮＣ_M（Ｍ_R1）的第一密码文Ｃ_R1＝ＰＫ·ＣＭ＋2·NＭ＋Ｍ_R1（ｍｏｄｑ）。第一密码文Ｃ_R1被发送到第一输入信息计算部6104e（步骤S6103c）。第二加密部6104d使用公开密钥ＰＫ，生成作为单位矩阵UM的密码文ＮＣ_M（UM）的第二密码文Ｃ_UM＝ＰＫ·ＣＭ＋2·ＮＭ＋UM（ｍｏｄｑ）。第二密码文Ｃ_UM被发送到第一输入信息计算部6104e（步骤S6103d）。对第一输入信息计算部6104e进而输入密码文ｘ_M。第一输入信息计算部6104ｅ作为第一输入信息_Mτ₁，得到并输出（ｘ_M·Ｃ_UM＋Ｃ_R1）＋ＰＫ·ＣＭ₁₁＋2·ＮＭ＋ＣＭ₁₂ ^T·ＰＫ^T。另外，在矩阵的积的顺序中没有特别的必然性。即，第一输入信息计算部6104e可以计算设为Ｃ_Ｘ＝ｘ_M·Ｃ_UM＋Ｃ_R1的Ｒｅ（Ｃ_Ｘ）＝Ｃ_X＋ＰＫ·ＣＭ₁₁＋2·ＮＭ＋ＣＭ₁₂ ^T·ＰＫ^T而生成第一输入信息_Mτ₁，也可以计算设为Ｃ_X＝Ｃ_UM·ｘ_M＋Ｃ_R1的Ｒｅ（Ｃ_Ｘ）而生成第一输入信息_Mτ₁（步骤S6103ｅ）。

第三随机矩阵选择部6104f同样随机地选择集合G_M的元M_R2。所选择的Ｍ_R2被发送到第三加密部6104h和第二计算部6108（步骤S6103f）。第四随机矩阵选择部6104g选择κ×ι的随机的矩阵ＣＭ₂₁和ＣＭ₂₂∈（Ｚ／_ｑＺ）^κ×ι。所选择的ＣＭ₂₁和ＣＭ₂₂被发送到第二输入信息计算部6104j（步骤S6103g）。第三加密部6104h使用公开密钥ＰＫ，生成作为Ｍ_R2的密码文ＥＮＣ_M（Ｍ_R2）的第三密码文Ｃ_R2＝ＰＫ·ＣＭ＋2·ＮＭ＋Ｍ_R2（ｍｏｄｑ）。第三密码文Ｃ_R2被发送到第二输入信息计算部6104j（步骤S6103h）。对第四加密部6104i输入矩阵a_M。第四加密部6104i使用公开密钥ＰＫ，生成作为矩阵a_Ｍ的密码文ＥＮＣ_M（a_Ｍ）的第四密码文Ｃ_a＝ＰＫ·ＣＭ＋2·ＮＭ＋a_Ｍ（ｍｏｄｑ）。第四密码文Ｃ_a被发送到第二输入信息计算部6104j（步骤S6103i）。对第二输入信息计算部6104j进而输入密码文ｘ_M。第二输入信息计算部6104j作为第二输入信息_Mτ₂，得到并输出（ｘ_M·Ｃ_a＋Ｃ_R2）＋ＰＫ·ＣＭ₂₁＋2·ＮＭ＋ＣＭ₂₂ ^T·ＰＫ^T。第二输入信息计算部6104j可以计算设为Ｃ_X＝ｘ_M·Ｃ_a＋Ｃ_R2的Ｒｅ（Ｃ_Ｘ）而生成第二输入信息_Mτ₂，也可以计算设为Ｃ_X＝Ｃ_ａ·ｘ_M＋Ｃ_R2的Ｒｅ（Ｃ_Ｘ）而生成第二输入信息_Mτ₂（（步骤S6103ｊ）／［步骤S6103的具体例］的说明结束）。

如图17所例示，第一输入信息_Mτ₁输入到能力提供装置62（图13）的第一输出信息计算部6201，第二输入信息_Mτ₂输入到第二输出信息计算部6202（步骤S6200）。

第一输出信息计算部6201使用第一输入信息_Mτ₁和在密钥存储部6204中存储的解码密钥SＫ，以大于某一概率的概率准确计算ｆ_M（_Mτ₁）＝SＫ^-1｛SＫ·_Mτ₁·SＫ^T（ｍｏｄq）｝（SＫ^T）^-1（ｍｏｄ2），将得到的计算结果设为第一输出信息_Mｚ₁（步骤S6201）。第二输出信息计算部6202使用第二输入信息_Mτ₂和在密钥存储部6204中存储的解码密钥SＫ，以大于某一概率的概率准确计算ｆ_M（_Mτ₂）＝SＫ^-1｛SＫ·_Mτ₂·SＫ^T（ｍｏｄｑ）｝（SＫ^T）^-1（ｍｏｄ2），将得到的计算结果设为第二输出信息_Mｚ₂（步骤S6202）。即，第一输出信息计算部6201和第二输出信息计算部6202输出包含有意的或无意的误差的计算结果。换言之，第一输出信息计算部6201的计算结果既有是ｆ_M（_Mτ₁）的情况也有不是ｆ_M（_Mτ₁）的情况，第二输出信息计算部6202的计算结果既有是ｆ_M（_Mτ₂）的情况也有不是ｆ_M（_Mτ₂）的情况。

第一输出信息计算部6201输出第一输出信息_Mz₁，第二输出信息计算部6202输出第二输出信息_Mz₂（步骤S6203）。

返回到图15，第一输出信息_Mz₁输入到计算装置61（图12）的第一计算部6105，第二输出信息_Mz₂输入到第二计算部6108。这些第一输出信息_Mｚ₁和第二输出信息_Mｚ₂相当于从能力提供装置62对计算装置61提供的解码能力（步骤S6104）。

第一计算部5105使用第一输出信息_Mｚ₁计算_Mｚ₁－Ｍ_R1，并将该计算结果设为ｕ_M。计算结果u_M发送到矩阵积计算部6106。这里，成为ｕ_M＝_Mｚ₁－Ｍ_R1＝ｆ_M（ｘ_M）＋_Mｘ₁。即，ｕ_M成为关于ｆ_M（ｘ_M）具有误差_MＸ₁的样本器。在后面叙述其理由（步骤S6105）。

矩阵积计算部6106得到ｕ_M’＝ｕ_M·ａ_M。其中，矩阵积计算部6106可以通过ｕ_M·ａ_M的计算得到ｕ_M’，也可以通过ａ_M·ｕ_M的计算得到ｕ_M’。计算结果ｕ_M和基于该计算结果计算出的ｕ_M’的组（ｕ_M，ｕ_M’）被存储到第一列表存储部6107（步骤S6106）。

第二计算部6108使用第二输出信息_Mｚ₂计算_Mｚ₂－Ｍ_R2，并将该计算结果设为ｖ_M。计算结果v_M被存储到第二列表存储部6110。这里，成为ｖ_M＝_Mｚ₂－Ｍ_R2＝ｆ_M（ｘ_M）·ａ_M＋_Mｘ₂。即，ｖ_M成为关于ｆ_M（ｘ_M）具有误差_MＸ₂的可随机化样本器的输出。在后面叙述其理由（步骤S6108）。

判定部6111在存储于第一列表存储部6107的组（ｕ_M，ｕ_M’）和存储于第二列表存储部6110的组ｖ_M中，判定是否有成为ｕ_M’＝ｖ_M的组（步骤S6110）。在有成为ｕ_M’＝ｖ_M的组的情况下，进至步骤S6114。在没有成为ｕ_M’＝ｖ_M的组的情况下，进至步骤S1111。

在步骤S1111中，控制部1113判定是否为t=T_max（步骤S1111）。Ｔ_max是预先决定的自然数。如果是ｔ＝Ｔ_max，则控制部1113输出无法进行计算的意旨的信息例如为符号“⊥”（步骤S1113），并结束处理。如果不是ｔ＝Ｔ_max，则控制部1113将t增加1，即设为ｔ＝ｔ＋1（步骤S1112），返回到步骤S6103。

在步骤S6114中，最终输出部6112输出与判定为ｕ_M’＝ｖ_M的ｕ_M’对应的u_M（步骤S6114）。如此得到的ｕ_M以高的概率成为将密码文ｘ_M通过解码密钥SＫ解码后的解码结果ｆ_Ｍ（ｘ_M）（在后面叙述其理由）。因此，将上述的处理重复多次，将在步骤S6114中得到的值中频度最高的值设为解码结果即可。根据设定以绝对的概率成为ｕ_M＝ｆ_M（ｘ_M）。在该情况下，可以将在步骤S6114中得到的值直接设为解码结果。

《_Mｚ₁－Ｍ_R1、_Mｚ₂－Ｍ_R2成为关于ｆ_M（ｘ_M）分别具有误差_MＸ₁、_MＸ₂的样本器、可随机化样本器的输出的理由》

根据ｆ_M（ｘ_M）的准同型性，满足ｆ_M（ｘ_M·Ｃ_ａ＋Ｃ_R2）＝ｆ_M（ｘ_M）·ｆ_M（Ｃ_ａ）+ｆ_M（Ｃ_R2）＝ｆ_M（ｘ_Ｍ）·ａ_M+Ｍ_R2，且满足ｆ_M（ｘ_Ｍ）·ａ_M＝ｆ_M（ｘ_M·Ｃ_ａ＋Ｃ_R2）－Ｍ_R2＝ｆ_M（_Mτ₂）－Ｍ_R2，满足Ｍ_R2＝ｆ_M（_Mτ₂）－ｆ_M（ｘ_M）·ａ_M。因此，如果设为_Mｚ₂＝Ｆ_M（_Mτ₂），则满足_Mｚ₂－Ｍ_R2＝Ｆ_M（_Mτ₂）－ｆ_M（_Mτ₂）＋ｆ_M（ｘ_M）·ａ_M＝ｆ_M（ｘ_M）·ａ_M＋｛Ｆ_M（_Mτ₂）－ｆ_M（_Mτ₂）｝。根据与_Mτ₂对应的ＣＭ₂₁、ＣＭ₂₂、Ｍ_R2的同样随机性，_Mｚ₂－Ｍ_R2统计近似于ｆ_M（ｘ_M）·ａ_M＋_Mｘ₂。其中，_Mｘ₂是概率变量_MＸ₂＝Ｆ_M（ＥＮＣ_M（_MＵ₂））－_MＵ₂（_MＵ₂在Ｇ_M上同样随机地分布）的实现值。因此，_Mｚ₂－Ｍ_R2成为关于ｆ_M（ｘ_M）分别具有误差_MＸ₂的可随机化样本器的输出。

同样地，满足ｆ_M（ｘ_M·C_UM＋Ｃ_R1）＝ｆ_M（ｘ_M）·ｆ_M（Ｃ_UM）+ｆ_M（Ｃ_R1）＝ｆ_M（ｘ_M）·ＵＭ+Ｍ_R1，满足ｆ_M（ｘ_M）＝ｆ_M（ｘ_M·Ｃ_UM＋Ｃ_R1）－Ｍ_R1＝ｆ_M（_Mτ₁）－Ｍ_R1，且满足Ｍ_R1＝ｆ_M（_Mτ₁）－ｆ_M（ｘ_M）。因此，如果设为_Mｚ₁＝Ｆ_M（_Mτ₁），则满足_Mｚ₁－Ｍ_R1＝Ｆ_M（_Mτ₁）－ｆ_M（_Mτ₁）＋f_M（ｘ_M）＝ｆ_M（ｘ_M）＋｛Ｆ_M（_Mτ₁）－ｆ_M（_Mτ₁）｝。根据与_Mτ₁对应的ＣＭ₁₁、ＣＭ₁₂、Ｍ_R1的同样随机性，_Mｚ₁－Ｍ_R1统计近似于ｆ_M（ｘ_M）＋_Mｘ₁。其中，_Mｘ₁是概率变量_MＸ₁＝Ｆ_M（ＥＮＣ_M（_MＵ₁））－_MＵ₁（_MＵ₁在Ｇ_M上同样随机地分布）的实现值。因此，输出_Mｚ₁－Ｍ_R1的上述的结构成为关于ｆ_M（ｘ_M）分别具有误差_MＸ₁的样本器。

《关于能够得到解码结果f_M(x_M)的理由》

根据与在第五实施方式的《关于能够得到解码结果f(x)的理由》中说明的理由相同的理由，在本方式中，也能够得到准确的解码结果ｆ_M（ｘ_M）。但是，由于在本方式中对矩阵进行处理的关系，第五实施方式的《关于能够得到解码结果ｆ（ｘ）的理由》的Ｇ、Ｈ被置换为Ｇ_M、Ｈ_M，ｆ（ｘ）被置换为ｆ_M（ｘ_M），τ被置换为_Mτ，Ｆ（τ）被置换为Ｆ_M（_Mτ），ｚ被置换为_Mｚ，ｘ被置换为ｘ_M，Ｘ₁、Ｘ₂被置换为_MＸ₁、_MＸ₂，ｘ₁、ｘ₂被置换为_Mｘ₁、_Mｘ₂，ｅ_ｇ被置换为ι×ι的单位矩阵_Mｅ_g，乘法的表现被置换为加法的表现（例如，α^βγ被置换为α·β＋γ）。进而，在本方式中，如下定义“伪自由（pseudo-free）的作用”。

伪自由（pseudo-free）的作用：

关于Ｇ_M、矩阵的集合Ω_M＝｛0_M，．．．，Ｍ_M｝、Ｇ_M上的概率变量_MＸ₁、_MＸ₂的各实现值α_M∈_MＸ₁（α_M≠_Mｅ_ｇ），β_M∈_MＸ₂、和ａ_M∈Ω_M，对于成为α_M·ａ_M＝β_M的概率

Ｐｒ［α_M·ａ_M且α_M≠_Mｅ_ｇ｜ａ_M∈_UΩ_M，α_M∈_MＸ₁，β_M∈_MＸ₂］

，将关于所有可能的_MＸ₁，_MＸ₂的上限值称为组（Ｇ_M，Ω_M）的伪自由指标，将其表示为Ｐ（Ｇ_M，Ω_M）。在存在某一能够忽略的函数ζ（ｋ）,且

Ｐ（Ｇ_M，Ω_M）＜ζ（ｋ）

的情况下，通过组（Ｇ_M，Ω_M）定义的运算是伪自由的作用。

【第一实施方式至第六实施方式的变形例】

如上所述，在上述的各实施方式中，能力提供装置无需提供解码密钥，对计算装置提供第一输出信息z₁和第二输出信息z₂，计算装置输出ｕ^b’ｖ^a’。ｕ^b’ｖ^a’以高的概率成为密码文x的解码值。如此，能力提供装置能够对计算装置提供解码能力，而无需提供解码密钥。

另外，本发明不限定于上述的实施方式。例如，概率变量Ｘ₁、Ｘ₂和Ｘ₃可以相同也可以不同。同样，概率变量_MＸ₁和_MＸ₂可以相同也可以不同。

通过第一随机数生成部、第二随机数生成部、第三随机数生成部、第四随机数生成部、第五随机数生成部、第六随机数生成部和第七随机数生成部分别生成同样随机数，从而代理计算系统的安全性变得最高。但是，在所要求的安全性的等级没有那么高的情况下，第一随机数生成部、第二随机数生成部、第三随机数生成部、第四随机数生成部、第五随机数生成部、第六随机数生成部和第七随机数生成部的至少一个部也可以生成不是同样随机数的随机数。同样地，也可以在第六实施方式中，代替同样随机地选择矩阵，选择不是同样的随机的矩阵。从运算效率的观点出发，期望如上述的各实施方式那样选择作为0以上且小于Ｋ_H的自然数的随机数或作为0以上且小于Ｋ_G的自然数的随机数，但也可以取而代之选择Ｋ_H以上或Ｋ_G以上的自然数的随机数。

在计算装置对能力提供装置每次提供与相同的ａ、ｂ对应的作为群H的元的第一输入信息τ₁和第二输入信息τ₂时，能力提供装置的处理也可以执行多次。由此，在计算装置对能力提供装置每提供一次第一输入信息τ₁和第二输入信息τ₂时，计算装置能够得到多个第一输出信息ｚ₁和第二输出信息ｚ₂和第三输出信息ｚ₃。由此，能够减少计算装置与能力提供装置之间的交换次数和通信量。对于第六实施方式的第一输入信息_Mτ₁和第二输入信息_Mτ₂也是相同的。

也可以是，计算装置对能力提供装置汇总提供多种第一输入信息τ₁和第二输入信息τ₂，汇总得到多个所对应的第一输出信息ｚ₁和第二输出信息ｚ₂和第三输出信息ｚ₃。由此，能够减少计算装置与能力提供装置之间的交换次数。对于第六实施方式的第一输入信息_Mτ₁和第二输入信息_Mτ₂也是相同的。

也可以是，确认在第一实施方式至第五实施方式的第一计算部和第二计算部中得到的ｕ和ｖ是否为群Ｇ的元，在是群G的元的情况下，继续执行上述的处理，在ｕ或ｖ不是群Ｇ的元的情况下，输出无法进行计算的意旨的信息例如为符号“⊥”。同样地，也可以是，确认在第六实施方式的第一计算部和第二计算部中得到的ｕ_M和ｖ_M是否为群Ｇ_M的元，在是群G_M的元的情况下，继续执行上述的处理，在ｕ_M或ｖ_M不是群Ｇ_M的元的情况下，输出无法进行计算的意旨的信息例如为符号“⊥”。

计算装置的各部之间的数据的交换可以直接进行，也可以经由未图示的存储部进行。同样地，能力提供装置的各部之间的数据的交换可以直接进行，也可以经由未图示的存储部进行。

此外，例如，上述的各种处理不仅可以按照记载以时间序列执行，也可以根据执行处理的装置的处理能力或者根据需要并行地或单独地执行。此外，在不脱离本发明的宗旨的范围内能够进行适当变更是不言而喻的。

【第七实施方式】

说明本发明的第七实施方式。

＜结构＞

如图18所例示，第七实施方式的代理计算系统101例如具有：没有保持解码密钥的计算装置111、分别保持解码密钥ｓ₁，···，ｓ_Γ的能力提供装置112－1，···，112－Γ（Γ是2以上的整数）、控制计算装置111的解码能力的解码控制装置113。解码控制装置113控制从能力提供装置112－1，···，112－Γ提供给计算装置111的解码能力，计算装置111使用从能力提供装置112－1，···，112－Γ提供的解码能力对密码文进行解码。计算装置111和能力提供装置112－1，···，112－Γ和解码控制装置113构成为能够进行信息的交换。例如，计算装置111和能力提供装置112－1，···，112－Γ和解码控制装置113能够进行经由了传输线或网络或可移动型记录介质等的信息的交换。

如图19所例示，第七实施方式的计算装置111例如具有：自然数存储部11101、自然数选择部11102、整数计算部11103、输入信息提供部11104、第一计算部11105、第一幂乘计算部11106、第一列表存储部11107、第二计算部11108、第二幂乘计算部11109、第二列表存储部11110、判定部11111、最终输出部11112、复元部11100和控制部11113。计算装置111的例子是，卡读写装置、移动电话等的具备计算功能和存储功能的设备、读入了特别的程序的具备CPU（中央处理单元）和RAM（随机存取存储器）的公知或专用的计算机等。

如图20所例示，第七实施方式的能力提供装置112－ι（ι＝1，···，ω、ω是2以上Γ以下的整数）例如具有第一输出信息计算部11201－ι、第二输出信息计算部11202－ι、密钥存储部11204－ι和控制部11205－ι。能力提供装置112－ι的例子是，IC卡或IC芯片等耐篡改性模块、移动电话等的具备计算功能和存储功能的设备、读入了特别的程序的具备CPU和RAM的公知或专用的计算机等。如后所述，从能力提供装置112－1，···，112－Γ选择能力提供装置112－1，···，112－ω。在存在能力提供装置112－（ι＋1），···，112－Γ的情况下，这些结构与能力提供装置112－ι相同。

如图21所例示，第七实施方式的解码控制装置113例如具有密码文存储部11301、控制命令部11302、输出部11303、控制部11304、密钥存储部11305、加密部11306。解码控制装置113的例子是，移动电话等的具备计算功能和存储功能的设备、读入了特别的程序的具备CPU和RAM的公知或专用的计算机等。

＜处理＞

下面，说明本方式的处理。作为处理的前提，将Ｇ_ι、Ｈ_ι设为群（例如为可交换群），将ω设为2以上的整数，设为ι＝1，···，ω，将ｆ_ι（λ_ι）设为用于通过特定的解码密钥ｓ_ι对作为群Ｈ_ι的元的密码文λ_ι进行解码而得到群Ｇ_ι的元的解码函数，将群Ｇ_ι、Ｈ_ι的生成元分别设为μ_ι,g、μ_ι,h，将Ｘ_ι,1、Ｘ_ι,2设为在群Ｇ_ι中取值的概率变量，将概率变量Ｘ_ι,1的实现值设为ｘ_ι,1，将概率变量Ｘ_ι,2的实现值设为ｘ_ι,2。其中，本方式的ω是常数。计算装置111的自然数存储部11101中存储有多个种类的互质的2个自然数a（ι）、b（ι）的组（a（ι）、b（ι））。“自然数”意味着0以上的整数。如果将Ｉ_ι设为在群Ｇ_ι的位数未满的2个自然数的组中互质的组的集合，则能够认为在自然数存储部11101中存储有与Ｉ_ι的部分集合S_ι对应的自然数ａ（ι）、ｂ（ι）的组（ａ（ι），ｂ（ι））。在能力提供装置112－ι的密钥存储部12104中分别安全地存储有特定的解码密钥s_ι。在解码控制装置113的密钥存储部11305中存储有分别与解码密钥ｓ₁，···，ｓ_Γ对应的密码密钥ｐｋ₁，···，ｐｋ_Γ。解码密钥ｓ_ι和密码密钥ｐｋ_ι的一例是公开密钥密码方式的秘密密钥和公开密钥。另外，在控制部11113的控制下执行计算装置111的各处理，在控制部11205－ι的控制下执行能力提供装置112-ι的各处理，在控制部11304的控制下执行解码控制装置113的各处理。

＜加密处理＞

如图24所例示，首先，对解码控制装置113（图21）的加密部11306输入消息ｍｅｓ。加密部11306从密码密钥ｐｋ₁，···，ｐｋ_Γ中随机地选择ω个密码密钥ｐｋ₁，···，ｐｋ_ω（步骤S11301）。加密部11306根据消息ｍｅｓ生成ω个分散信息ｓｈａ₁，···，ｓｈａ_ω（步骤S11302）。以下，例示分散信息ｓｈａ₁，···，ｓｈａ_ω的生成方法。

《分散信息的例1》

以ω个分散信息ｓｈａ₁，···，ｓｈａ_ω的比特结合值ｓｈａ₁｜···｜ｓｈａ_ω成为消息ｍｅｓ的方式，生成分散信息ｓｈａ₁，···，ｓｈａ_ω。

《分散信息的例2》

以ω个分散信息ｓｈａ₁，···，ｓｈａ_ω的逻辑异或值成为消息ｍｅｓ的方式，生成分散信息ｓｈａ₁，···，ｓｈａ_ω。

《分散信息的例3》

通过如Shamir的秘密分散的秘密分散方式对消息ｍｅｓ进行秘密分散，从而生成分散信息ｓｈａ₁，···，ｓｈａ_ω（分散信息的生成方法的例示结束）。

接着，加密部11306关于各ι＝1，···，ω，使用密码密钥ｐｋ_ι对分散信息ｓｈａ_ι进行加密而生成密码文λ_ι。所生成的密码文λ₁，···，λ_ω被存储到密码文存储部11301（步骤S11303）。

之后，在密码文存储部11301中存储的密码文λ₁，···，λ_ω从输出部11301输出，并输入到计算装置111（图19）（步骤S11304）。密码文λ₁，···，λ_ω可以同时发送，也可以不同时发送。

＜解码处理＞

使用图25来说明本方式的密码文λ_ι的解码处理。对各ι＝1，···，ω，分别执行以下说明的处理。

首先，计算装置111（图19）的自然数选择部11102随机地从在自然数存储部11101中存储的多个自然数的组（a（ι）、b（ι））读入1个自然数的组（a（ι）、b（ι））。所读入的自然数的组（a（ι）、b（ι））的至少一部分信息被发送到整数计算部11103、输入信息提供部11104、第一幂乘计算部11106和第二幂乘计算部11109（步骤S11100）。

整数计算部11103使用所发送的自然数的组（a（ι）、b（ι）），计算满足ａ’（ι）ａ（ι）＋ｂ’（ι）ｂ（ι）＝1的关系的整数ａ’（ι）、ｂ’（ι）。自然数ａ（ι）、ｂ（ι）互质，因此必然存在满足ａ’（ι）ａ（ι）＋ｂ’（ι）ｂ（ι）＝1的关系的整数ａ’（ι）、ｂ’（ι），其计算方法也已知。例如，通过扩展互除法等已知的算法计算整数ａ’（ι）、ｂ’（ι），自然数的组（ａ’（ι），ｂ’（ι））的信息被发送到最终输出部11112（步骤S11101）。

控制部11113设为t_ι=1（步骤S11102）。

计算装置111的输入信息提供部11104生成并输出与所输入的密码文λ_ι分别对应的作为群H_ι的元的第一输入信息τ_ι,1和第二输入信息τ_ι,2。优选为，第一输入信息τ_ι,1和第二输入信息τ_ι,2为分别将与密码文λ_ι的关系搅乱的信息。由此，计算装置111能够对能力提供装置112－ι隐蔽密码文λ_ι。优选为，本方式的第一输入信息τ_ι,1进而对应于在自然数选择部11102中选择的自然数b（ι），第二输入信息τ_ι,2进而对应于在自然数选择部11102中选择的自然数a（ι）。由此，计算装置111能够以高精度评价从能力提供装置112－ι提供的解码能力（步骤S11103）。

如图26所例示，第一输入信息τ_ι,1输入到能力提供装置112－ι（图20）的第一输出信息计算部11201－ι，第二输入信息τ_ι,2输入到第二输出信息计算部11202－ι（步骤S11200）。

第一输出信息计算部11201使用第一输入信息τ_ι,1和在密钥存储部11204－ι中存储的解码密钥s_ι，以大于某一概率的概率准确地计算ｆ_ι（τ_ι,1），将得到的计算结果设为第一输出信息ｚ_ι,1（步骤S11201）。第二输出信息计算部11202－ι使用第二输入信息τ_ι,2和在密钥存储部11204－ι中存储的解码密钥s_ι，以大于某一概率的概率准确地计算ｆ_ι（τ_ι,2），将得到的运算结果设为第二输出信息ｚ_ι,2（步骤S11202）。另外，“某一概率”是小于100%的概率。“某一概率”的例子是无法忽略的概率，“无法忽略的概率”的例子是，将作为安全参数k的广义单调增加函数的多项式设为多项式ψ（ｋ）时的1／ψ（ｋ）以上的概率。即，第一输出信息计算部11201－ι和第二输出信息计算部11202－ι可能输出包含有意的或无意的误差的计算结果。换言之，第一输出信息计算部11201－ι的计算结果既有是ｆ_ι（τ_ι,1）的情况也有不是ｆ_ι（τ_ι,1）的情况，第二输出信息计算部11202－ι的计算结果既有是ｆ_ι（τ_ι,2）的情况也有不是ｆ_ι（τ_ι,2）的情况。第一输出信息计算部11201-ι输出第一输出信息z_ι,1，第二输出信息计算部11202-ι输出第二输出信息z_ι,2（步骤S11203）。

返回到图25，第一输出信息z_ι,1输入到计算装置111（图19）的第一计算部11105，第二输出信息z_ι,2输入到第二计算部11108。这些第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2相当于从能力提供装置112-ι对计算装置111提供的解码能力（步骤S11104）。

第一计算部11105根据第一输出信息ｚ_ι,1生成计算结果ｕ_ι＝ｆ_ι（λ_ι）^b(ι)ｘ_ι,1。这里,生成(计算)ｆ_ι（λ_ι）^b(ι)ｘ_ι,1的处理是,计算定义为ｆ_ι（λ_ι）^b(ι)ｘ_ι,1的式的值的处理。如果最终能够计算式ｆ_ι（λ_ι）^b(ι)ｘ_ι,1的值，则与中间的计算方法无关。这对于在本申请中出现的其他式的计算也是相同的。运算结果u_ι发送到第一幂乘计算部11106（步骤S11105）。

第一幂乘计算部11106计算ｕ_ι’＝ｕ_ι ^a(ι)。计算结果ｕ_ι和基于该计算结果计算出的ｕ_ι’的组（ｕ_ι，ｕ_ι’）被存储到第一列表存储部11107（步骤S11106）。

判定部11111在存储于第一列表存储部11107的组（ｕ_ι，ｕ_ι’）和存储于第二列表存储部11110的组（ｖ_ι，ｖ_ι’）中，判定是否有成为ｕ_ι’＝ｖ_ι’的组（步骤S11107）。如果在第二列表存储部11110中没有存储（ｖ_ι，ｖ_ι’）的情况下，不进行该步骤S11107的处理，进行下一个步骤S11108的处理。在有成为ｕ_ι’＝ｖ_ι’的组的情况下，进至步骤S11114。在没有成为ｕ_ι’＝ｖ_ι’的组的情况下，进至步骤S11108。

在步骤S11108中，第二计算部11108根据第二输出信息ｚ_ι,2生成计算结果ｖ_ι＝ｆ_ι（λ_ι）^a(ι)ｘ_ι,₂。运算结果ｖ_ι发送到第二幂乘计算部11109（步骤S11108）。

第二幂乘计算部11109计算ｖ_ι’＝ｖ_ι ^b(ι)。计算结果ｖ_ι和基于该计算结果计算出的ｖ_ι’的组（ｖ_ι，ｖ_ι’）被存储到第二列表存储部11110（步骤S11109）。

判定部11111在存储于第一列表存储部11107的组（ｕ_ι，ｕ_ι’）和存储于第二列表存储部11110的组（ｖ_ι，ｖ_ι’）中，判定是否有成为ｕ_ι’＝ｖ_ι’的组（步骤S11110）。在有成为ｕ_ι’＝ｖ_ι’的组的情况下，进至步骤S11114。在没有成为ｕ_ι’＝ｖ_ι’的组的情况下，进至步骤S11111。

在步骤S11111中，控制部11113判定是否为t_ι=T_ι（步骤S11111）。Ｔ_ι是预先决定的自然数。如果是ｔ_ι＝Ｔ_ι，则最终输出部11112输出无法进行计算的意旨的信息例如为符号“⊥”（步骤S11113），并结束处理。如果不是ｔ_ι＝Ｔ_ι，则控制部11113将t_ι增加1，即设为ｔ_ι＝ｔ_ι＋1（将t_ι+1设为新的t_ι）（步骤S11112），返回到步骤S11103。

无法进行计算的意旨的信息（在该例子中为符号“⊥”）意味着能力提供装置112-ι准确地进行计算的可靠度小于由T_ι决定的基准。换言之，意味着在T_ι次的重复中无法进行准确的运算。

在步骤S11114中，最终输出部11112使用与判定为ｕ_ι’＝ｖ_ι’的ｕ_ι’和ｖ_ι’对应的ｕ_ι和ｖ_ι，计算ｕ_ι ^b’^(ι)ｖ_ι ^a’^(ι)并进行输出（步骤S11114）。如此计算出的ｕ_ι ^b’^(ι)ｖ_ι ^a’^(ι)以高的概率成为通过特定的解码密钥ｓ_ι对密码文λ_ι进行了解码后的解码结果ｆ_ι（λ_ι）（在后面叙述以高的概率成为ｕ_ι ^b’^(ι)ｖ_ι ^a’^(ι)＝ｆ_ι（λ_ι）的理由）。因此，将上述的处理重复多次，将在步骤S11114中得到的值中频度最高的值设为解码结果ｆ_ι（λ_ι）即可。如后所述，根据设定以绝对的概率成为ｕ_ι ^b’^(ι)ｖ_ι ^a’^(ι)＝ｆ_ι（λ_ι）。在该情况下，可以将在步骤S11114中得到的值直接设为解码结果ｆ_ι（λ_ι）。

通过对各ι＝1，···，ω分别执行以上的处理从而得到的各解码结果ｆ_ι（λ_ι）被输入到复元部11100。复元部11100使用关于各ι＝1，···，ω的ｆ_ι（λ_ι）＝ｕ_ι ^b’^(ι)ｖ_ι ^a’^(ι)，进行仅在全部得到通过解码密钥ｓ_ι对关于各ι＝1，···，ω的密码文λ_ι进行解码而得到的解码值的情况下可复元的复元值的复元处理。例如，如果通过上述的《分散信息的例1》生成了分散信息，则复元部11100作为复元值ｍｅｓ’生成比特结合值ｆ₁（λ₁）｜···｜ｆ_ω（λ_ω）。例如，如果通过上述的《分散信息的例2》生成了分散信息，则复元部11100作为复元值ｍｅｓ’生成各解码结果ｆ₁（λ₁），···，ｆ_ω（λ_ω）的逻辑异或值。例如，如果通过上述的《分散信息的例3》生成了分散信息，则复元部11100使用与秘密分散方式对应的复元方法，根据各解码结果ｆ₁（λ₁），···，ｆ_ω（λ_ω）生成复元值ｍｅｓ’。

在解码结果ｆ₁（λ₁），···，ｆ_ω（λ_ω）全部准确的情况下，在复元部11100中得到的复元值ｍｅｓ’与消息ｍｅｓ相等。另一方面，在解码结果ｆ₁（λ₁），···，ｆ_ω（λ_ω）全部错误的情况下，在复元部11100中得到的复元值ｍｅｓ’与消息ｍｅｓ相等的概率小到能够忽略。

《以高的概率成为ｕ_ι ^b’^(ι)ｖ_ι ^a’^(ι)＝ｆ_ι（λ_ι）的理由》

在这里，为了表述的简略，省略ι而进行说明。

将X设为在群G中取值的概率变量。将关于ｗ∈Ｇ在每次接受请求时返回与按照概率变量X的样本ｘ’对应的ｗｘ’的装置，称为关于w具有误差X的样本器（sampler）。

将关于ｗ∈Ｇ在每次提供自然数a时返回与按照概率变量X的样本ｘ’对应的ｗ^aｘ’的装置，称为关于w具有误差X的可随机化样本器（randomizablesampler）。可随机化样本器如果设为a=1而使用，则作为样本器发挥作用。

本实施方式的输入信息提供部11104和第一输出信息计算部11201和第一计算部11105的组合是关于f(λ)具有误差X₁的可随机化样本器（称为“第一可随机化样本器”），输入信息提供部11104和第二输出信息计算部11202和第二计算部11108的组合是关于f(λ)具有误差X₂的可随机化样本器（称为“第二可随机化样本器”）。

发明人发现了如下情况：如果成立ｕ’＝ｖ’即成立ｕ^a＝ｖ^b，则第一可随机化样本器准确地计算了ｕ＝ｆ（λ）^b并且第二可随机化样本器准确地计算了ｖ＝ｆ（λ）^a（ｘ₁和ｘ₂是群Ｇ的单位元ｅ_g）的可能性高。从简化说明的观点出发，通过第十一实施方式进行该证明。

在第一可随机化样本器准确地计算了ｕ＝ｆ（λ）^b并且第二可随机化样本器准确地计算了ｖ＝ｆ（λ）^a时（ｘ₁和ｘ₂为群G的单位元ｅ_g时），成为ｕ^b’ｖ^a’＝（ｆ（λ）^bｘ₁）^b’（ｆ（λ）^aｘ₂）_a’＝（ｆ（λ）^bｅ_g）^b’（ｆ（λ）^aｅ_g）^a’＝ｆ（λ）^bb’ｅ_g ^b’ｆ（λ）^aa’ｅ_g ^a’＝ｆ（λ）^(bb’^+aa’⁾＝ｆ（λ）。

关于（ｑ₁，ｑ₂）∈Ｉ，将对于ｉ＝1、2的各个的函数π_i定义为π_i（ｑ₁，ｑ₂）＝ｑ_i。进而，设为Ｌ＝ｍｉｎ（#π₁（S），#π₂（S））。#·是集合·的位数。在群G为巡回群或者难以计算位数的群时，计算装置111输出“⊥”以外时的输出不是ｆ（λ）的概率能够期待为在能够忽略的程度的误差的范围内至多Ｔ²Ｌ／#S左右。如果Ｌ／#S为能够忽略的量且Ｔ为多项式量级程度的量，则计算装置111以绝对的概率输出准确的ｆ_ι（λ）。Ｌ／3S成为能够忽略的量的S的例子中，例如具有S＝｛（1，ｄ）｜ｄ∈［2，｜Ｇ｜－1］｝。

＜解码控制处理＞

下面，说明本方式的解码控制处理。

在解码控制装置113控制计算装置111的解码处理的情况下，解码控制装置113对所有的能力提供装置112-ι输出用于控制计算装置111的解码处理的解码控制命令。输入了解码控制命令的能力提供装置112－ι按照所输入的解码控制命令，控制第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的两方的输出的有无。如果没有提供第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2，则计算装置111无法对密码文λ_ι进行解码。因此，通过控制第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的两方的输出的有无，从而能够控制计算装置111的解码能力。以下，例示解码处理的控制方法。

《解码处理的控制方法的例1》

在解码处理的控制方法的例1中，解码控制命令包括用于限制计算装置111的解码能力的解码限制命令ｃｏｍ₁－ι。在解码限制命令ｃｏｍ₁－ι被输入到能力提供装置112－ι的控制部11205－ι的情况下，控制部11205－ι禁止第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的两方的输出。

在限制计算装置111的解码能力的情况下，解码控制装置113（图21）的控制命令部11302关于所有的ι输出解码限制命令ｃｏｍ₁－ι。解码限制命令ｃｏｍ₁－ι从输出部11303输出到能力提供装置112－ι。

能力提供装置112－ι（图20）的控制部11205－ι判断是否输入了解码限制命令ｃｏｍ₁－ι，在解码限制命令ｃｏｍ₁－ι没有输入到控制部11205－ι的情况下，不进行解码控制处理。另一方面，在解码限制命令ｃｏｍ₁－ι被输入到控制部11205－ι的情况下，控制部11205－ι进行禁止第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的两方的输出的控制（解码限制模式）。

在解码限制模式中，控制部11205－ι禁止第一输出信息计算部11201－ι的第一输出信息ｚ_ι,1的输出和第二输出信息计算部11202－ι的第二输出信息ｚ_ι,2的输出的两方。用于禁止第一输出信息ｚ_ι,1和/或第二输出信息ｚ_ι,2的输出的控制的一例是，虽然不禁止第一输出信息ｚ_ι,1和/或第二输出信息ｚ_ι,2的生成但禁止这些的输出的控制。用于禁止第一输出信息ｚ_ι,1和/或第二输出信息ｚ_ι,2的输出的控制的其他的例子是，代替第一输出信息ｚ_ι,1和/或第二输出信息ｚ_ι,2而输出模型（dummy）信息的控制。其中，模型信息的例子是，随机数即不依赖于其他的密码文λ_ι的信息。用于禁止第一输出信息ｚ_ι,1和/或第二输出信息ｚ_ι,2的输出的控制的其他的例子是，禁止第一输出信息ｚ_ι,1和/或第二输出信息ｚ_ι,₂的生成本身的控制。在进行禁止第一输出信息ｚ_ι,1和/或第二输出信息ｚ_ι,2的生成本身的控制的情况下，可以对第一输出信息ｚ_ι,1和/或第二输出信息ｚ_ι,2的生成所需的信息进行无效或者删除，也可以不进行。例如，可以对在密钥存储部11204－ι中存储的解码密钥ｓ_ι进行无效或删除，也可以不进行。

在禁止第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的两方的输出的情况下，能力提供装置112－ι在步骤S11203中不输出第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的两方。因此，计算装置111无法在步骤S11104中取得第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的两方，无法计算运算结果ｕ_ι和ｖ_ι，因此无法得到准确的解码结果ｆ_ι（λ）。在关于所有的ι没有得到准确的解码结果ｆ_ι（λ）的情况下，在复元部11100中得到的复元值ｍｅｓ’与消息ｍｅｓ相等的概率小到能够忽略。由此，能够限制计算装置111的解码能力。

《解码处理的控制方法的例2>

在解码处理的控制方法的例2中，解码控制命令包括用于开放计算装置111的解码能力的限制的解码开放命令ｃｏｍ₂－ι，在解码开放命令ｃｏｍ₂－ι输入到能力提供装置112－ι的控制部11205－ι的情况下，控制部11205－ι许可第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的至少一方的输出。例如，在通过解码处理的控制方法的例1禁止了第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的两方的输出之后，再次许可第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的输出的情况下，进行解码处理的控制方法的例2。这时，在无效或删除了第一输出信息ｚ_ι,1和/或第二输出信息ｚ_ι,2的生成所需的信息的情况下，也可以在解码开放命令ｃｏｍ₂－ι中包含该信息，将该信息重新设定到能力提供装置112－ι。此外，例如也可以在在初始状态下禁止了第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的两方的输出的情况下，许可第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的输出时，进行解码处理的控制方法的例2。

在开放计算装置111的解码能力的限制的情况下，解码控制装置113（图21）的控制命令部11302关于所有的ι输出解码开放命令ｃｏｍ₂－ι。解码开放命令ｃｏｍ₂－ι从输出部11303输出到能力提供装置112－ι。

能力提供装置112－ι（图20）的控制部11205－ι判断是否输入了解码开放命令ｃｏｍ₂－ι，在解码开放命令ｃｏｍ₂－ι没有输入到控制部11205－ι的情况下，不进行解码控制处理。另一方面，在解码开放命令ｃｏｍ₂－ι被输入到控制部11205－ι的情况下，控制部11205－ι进行许可第一输出信息ｚ_ι,1和第二输出信息ｚ_ι，2的两方的输出的控制（解码许可模式）。

在许可第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的两方的输出的情况下，能力提供装置112－ι在步骤S11203中输出第一输出信息ｚ_ι,1以及第二输出信息ｚ_ι,2的两方。因此，计算装置111能够在步骤S11104中取得第一输出信息ｚ_ι,1或第二输出信息ｚ_ι,2的两方，能够计算运算结果ｕ_ι以及ｖ_ι，因此能够以高的概率得到解码结果。由此，能够开放计算装置111的解码能力的限制。

《解码处理的控制方法的例3》

在解码处理的控制方法的例1，2中，各解码控制命令对应于其中一个ι（对应于解码函数ｆ_ι），能力提供装置112－ι的控制部11205－ι控制与解码控制命令对应的（对应于与解码控制命令对应的解码函数ｆ_ι）第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的全部的输出的有无。但是，也可以是，解码控制命令对应于多个ι，能力提供装置112－ι的控制部11205－ι控制与解码控制命令对应的第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的输出的有无。

【第八实施方式】

第八实施方式的代理计算系统是将上述的第一可随机化样本器和第二可随机化样本器具体化的例子。以下，以与第七实施方式不同的部分为中心进行说明，对于解码控制处理等共同的部分省略重复说明。在以下的说明中，设为附加了相同的参考标号的部分具有相同的功能，附加了相同的参考标号的步骤表示相同的处理。

＜结构＞

如图18所例示，在第八实施方式的代理计算系统102中，计算装置111被置换为计算装置121，能力提供装置112－1，···，112－Γ被置换为能力提供装置122－1，···，122－Γ。

如图19所例示，第八实施方式的计算装置121例如具有：自然数存储部11101、自然数选择部11102、整数计算部11103、输入信息提供部12104、第一计算部12105、第一幂乘计算部11106、第一列表存储部11107、第二计算部12108、第二幂乘计算部11109、第二列表存储部11110、判定部11111、最终输出部11112和控制部11113。如图22所例示，本方式的输入信息提供部12104例如具有第一随机数生成部12104a、第一输入信息计算部12104b、第二随机数生成部12104c和第二输入信息计算部12104d。

如图20所例示，第八实施方式的能力提供装置122－ι（ι＝1，···，ω、ω是2以上Γ以下的整数）例如具有第一输出信息计算部12201－ι、第二输出信息计算部12202－ι、密钥存储部11204－ι和控制部11205－ι。在存在能力提供装置122－（ι＋1），···，122－Γ的情况下，这些结构与能力提供装置122－ι相同。

＜解码处理＞

下面，说明本方式的解码处理。在第八实施方式中，将解码函数ｆ_ι设为准同型函数，将群H设为巡回群，将群H的生成元设为μ_ι,h，将群Ｈ的位数设为Ｋ_ι,H，并且设为ν_ι＝ｆ_ι（μ_ι,h）。解码函数ｆ_ι为准同型函数的例子是ＲSＡ密码等。其他的前提，除了计算装置111被置换为计算装置121、能力提供装置112－1，···，112－Γ被置换为能力提供装置122－1，···，122－Γ以外，与第七实施方式相同。

如图25和图26所例示，在第八实施方式的处理中，第七实施方式的步骤S11103～S11105、S11108、S11200～S11203分别被置换为步骤S12103～S12105、S12108、S12200～S12203。在以下，仅说明步骤S12103～S12105，S12108，S12200～S12203的处理。

《步骤S12103的处理》

计算装置121（图19）的输入信息提供部12104生成并输出与所输入的密码文λ_ι分别对应的第一输入信息τ_ι,1和第二输入信息τ_ι,2（图25/步骤S12103）。以下，使用图27来说明本方式的步骤S12103的处理。

第一随机数生成部12104a（图22）生成0以上且小于K_ι,H的自然数的普通随机数r（ι，1）。所生成的随机数r（ι，1）被发送到第一输入信息计算部12104b和第一计算部12105（步骤S12103a）。第一输入信息计算部12104b使用所输入的随机数ｒ（ι，1）和密码文λ_ι和自然数ｂ（ι），计算第一输入信息τ_ι,1＝μ_ι,h ^r(ι,1)λ_ι ^b(ι)（步骤S12103ｂ）。

第二随机数生成部12104c生成0以上且小于K_ι,H的自然数的普通随机数r（ι，2）。所生成的随机数r（ι，2）被发送到第二输入信息计算部12104d和第二计算部12108（步骤S12103c）。第二输入信息计算部12104d使用所输入的随机数ｒ（ι，2）和密码文λ_ι和自然数a（ι），计算第二输入信息τ_ι,2＝μ_ι,_h ^r(ι,2)λ_ι ^a(ι)（步骤S12103d）。

第一输入信息计算部12104b和第二输入信息计算部12104d输出如上所述生成的第一输入信息τ_ι,1和第二输入信息τ_ι,2（步骤S12103e）。另外，本方式的第一输入信息τ_ι,1和第二输入信息τ_ι,2为分别通过随机数ｒ（ι，1），ｒ（ι，2）将与密码文λ_ι的关系搅乱的信息。由此，计算装置121能够对能力提供装置122－ι隐蔽密码文λ_ι。本方式的第一输入信息τ_ι,1进而对应于在自然数选择部11102中选择的自然数b（ι），第二输入信息τ_ι,2进而对应于在自然数选择部11102中选择的自然数a（ι）。由此，计算装置121能够以高精度评价从能力提供装置122－ι提供的解码能力。

《步骤S12200～S12203的处理》

如图26所例示，首先，第一输入信息τ_ι,1＝μ_ι,h ^r(ι,1)λ_ι ^b(ι)输入到能力提供装置122－ι（图20）的第一输出信息计算部12201－ι，第二输入信息τ_ι,2＝μ_ι,h ^r(ι,2)λ_ι ^a(ι)输入到第二输出信息计算部12202－ι（步骤S12200）。

第一输出信息计算部12201－ι使用第一输入信息τ_ι,1＝μ_ι,h ^r(ι,1)λ_ι ^b(ι)和在密钥存储部11204－ι中存储的解码密钥ｓ_ι，以大于某一概率的概率准确计算ｆ_ι（μ_ι,h ^r(ι,1)λ_ι ^b(ι)）,将得到的计算结果设为第一输出信息ｚ_ι,1。该计算结果既存在准确的情况也存在不准确的情况。即，第一输出信息计算部12201－ι中的计算结果既存在成为ｆ_ι（μ_ι,h ^r(ι,1)λ_ι ^b(ι)）的情况，也存在没有成为ｆ_ι（μ_ι,h ^r(ι,1)λ_ι ^b(ι)）的情况（步骤S12201）。

第二输出信息计算部12202－ι使用第二输入信息τ_ι,2＝μ_ι,h ^r(ι,2)λ_ι ^a(ι)和在密钥存储部11204－ι中存储的解码密钥ｓ_ι，以大于某一概率的概率准确计算ｆ_ι（μ_ι,_h ^r(ι,2)λ_ι ^a(ι)）,将得到的计算结果设为第二输出信息ｚ_ι,2。该计算结果既存在准确的情况也存在不准确的情况。即，第二输出信息计算部12202－ι中的计算结果既存在成为ｆ_ι（μ_ι,h ^r(ι,2)λ_ι ^a(ι)）的情况，也存在没有成为ｆ_ι（μ_ι,h ^r(ι,2)λ_ι ^a(ι)）的情况（步骤S12202）。

第一输出信息计算部12201-ι输出第一输出信息z_ι,1，第二输出信息计算部12202-ι输出第二输出信息z_ι,2（步骤S12203）。

《步骤S12104和S12105的处理》

返回到图25，第一输出信息z_ι,1输入到计算装置121（图19）的第一计算部12105，第二输出信息z_ι,2输入到第二计算部12108。这些第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2相当于从能力提供装置122-ι对计算装置121提供的解码能力（步骤S12104）。

第一计算部12105使用所输入的随机数ｒ（ι，1）和第一输出信息ｚ_ι,1来计算ｚ_ι,1ν_ι ^-r(ι,1)，并且将该计算结果设为ｕ_ι。计算结果u_ι发送到第一幂乘计算部11106。这里，成为ｕ_ι＝ｚ_ι,1ν_ι ^-r(ι,1)＝ｆ_ι（λ_ι）^b(ι)ｘ_ι,1。即，ｚ_ι,1ν_ι ^-r(ι,1)成为关于ｆ_ι（λ_ι）具有误差Ｘ_ι,1的可随机化样本器的输出。在后面叙述其理由（步骤S12105）。

《步骤S12108的处理》

第二计算部12108使用所输入的随机数ｒ（ι，2）和第二输出信息ｚ_ι，2，计算ｚ_ι,2ν_ι ^-r(ι,2)并将该计算结果设为ｖ_ι。计算结果v_ι发送到第二幂乘计算部11109。这里，成为ｖ_ι＝ｚ_ι，2ν_ι ^-r(ι,2)＝ｆ_ι（λ_ι）^a(ι)ｘ_ι,2。即，ｚ_ι,2ν_ι ^-r(ι,2)成为关于ｆ_ι（λ_ι）具有误差Ｘ_ι,2的可随机化样本器的输出。在后面叙述其理由（步骤S12108）。

《ｚ_ι,1ν_ι ^-r(ι,1)、ｚ_ι,2ν_ι ^-r(ι,2)成为关于ｆ_ι（λ_ι）分别具有误差Ｘ_ι,1、Ｘ_ι,2的可随机化样本器的输出的理由》

将ｃ设为自然数，将Ｒ设为随机数，将能力提供装置122使用μ_h ^Rλ^c进行的计算的计算结果设为Ｂ（μ_h ^Rλ^c）。即，将第一输出信息计算部12201－ι和第二输出信息计算部12202－ι返回给计算装置121的计算结果设为ｚ＝Ｂ（μ_h ^Rλ^c）。进而，将在群G中取值的概率变量X定义为Ｘ＝Ｂ（μ_h ^R’）ｆ（μ_h ^R’）^-1。

这时，成为ｚν^-R＝Ｂ（μ_h ^Rλ^c）ｆ（μ_h）^-R＝Ｘｆ（μ_h ^Rλ^c）ｆ（μ_h）^-R＝Ｘｆ（μ_h）^Rｆ（λ）^cｆ（μ_h）^-R＝ｆ（λ）^cＸ。即，ｚν^-R成为关于ｆ（λ）具有误差Ｘ的可随机化样本器的输出。

在上述式展开中，使用Ｘ＝Ｂ（μ_h ^R’）ｆ（μ_h ^R’）^-1＝Ｂ（μ_h ^Rλ^c）ｆ（μ_h ^Rλ^c）^-1，Ｂ（μ_h ^Rλ^c）＝Ｘｆ（μ_h ^Rλ^c）的性质。该性质基于函数f_ι为准同型函数，R为随机数。

因此，如果考虑ａ（ι）、ｂ（ι）为自然数，ｒ（ι，1）、ｒ（ι，2）为随机数，则同样地，ｚ_ι,1ν_ι ^-r(ι,1)、ｚ_ι,2ν_ι ^-r(ι,2)成为关于ｆ_ι（λ_ι）分别具有误差Ｘ_ι,1、Ｘ_ι,2的可随机化样本器的输出。

【第九实施方式】

第九实施方式是第八实施方式的变形例，在a（ι）=1或b（ι）=1时，通过上述的样本器计算ｕ_ι或ｖ_ι的值。一般，样本器的计算量比可随机化样本器小。在a（ι）=1或b（ι）=1时，代替可随机化样本器而由样本器进行计算，从而能够减小代理计算系统的计算量。以下，以与第七实施方式和第八实施方式不同的部分为中心进行说明，对于解码控制处理等共同的部分省略重复说明。

＜结构＞

如图18所例示，在第九实施方式的代理计算系统103中，计算装置121被置换为计算装置131，能力提供装置122－1，···，122－Γ被置换为能力提供装置132－1，···，132－Γ。

如图19所例示，第九实施方式的计算装置131例如具有：自然数存储部11101、自然数选择部11102、整数计算部11103、输入信息提供部12104、第一计算部12105、第一幂乘计算部11106、第一列表存储部11107、第二计算部12108、第二幂乘计算部11109、第二列表存储部11110、判定部11111、最终输出部11112、控制部11113和第三计算部13109。

如图20所例示，第九实施方式的能力提供装置132－ι例如具有第一输出信息计算部12201－ι、第二输出信息计算部12202－ι、密钥存储部11204－ι、控制部11205－ι和第三输出信息计算部13203－ι。

＜解码处理＞

下面，说明本方式的解码处理。说明与第八实施方式的不同点。

如图25和图26所例示，在第九实施方式的处理中，第八实施方式的步骤S12103～S12105、S12108、S12200～S12203分别被置换为步骤S13103～S13105、S13108、S12200～S12203和S13205～S13209。在以下，以步骤S13103～S13105，S13108，S12200～S12203和S13205～S13209的处理为中心进行说明。

《步骤S13103的处理》

计算装置131（图19）的输入信息提供部13104生成并输出与所输入的密码文λ_ι分别对应的第一输入信息τ_ι,1和第二输入信息τ_ι,2（图25/步骤S13103）。

以下，使用图27来说明本方式的步骤S13103的处理。

控制部11113（图19）根据在自然数选择部11102中选择的自然数（ａ（ι），ｂ（ι））来控制输入信息提供部13104。

在控制部11113中判定b是否为1（步骤S13103a），在判定为ｂ≠1的情况下，执行上述的步骤S12103a和S12103b的处理，进至步骤S13103g。

另一方面，在步骤S13103a中判定为b（ι）=1的情况下，第三随机数生成部13104e生成0以上且小于K_ι,H的自然数的随机数r（ι，3）。所生成的随机数r（ι，3）被发送到第三输入信息计算部13104f和第三计算部13109（步骤S13103b）。第三输入信息计算部13104f使用所输入的随机数r（ι，3）和密码文λ_ι来计算λ_ι ^(ι,3)，将其设为第一输入信息τ_ι,1（步骤S13103c）。之后,进至步骤S13103g。

在步骤S13103g中，在控制部11113中判定a（ι）是否为1（步骤S13103g），在判定为a（ι）≠1的情况下，执行上述的步骤S12103c和S12103d的处理。

另一方面，在步骤S13103g中判定为a（ι）=1的情况下，第三随机数生成部13104e生成0以上且小于K_ι,H的自然数的随机数r（ι，3）。所生成的随机数r（ι，3）被发送到第三输入信息计算部13104f（步骤S13103h）。第三输入信息计算部13104f使用所输入的随机数r（ι，3）和密码文λ_ι来计算λ_ι ^(ι,3)，将其设为第二输入信息τ_ι,2（步骤S13103i）。

第一输入信息计算部12104b、第二输入信息计算部12104d和第三输入信息计算部13104f将如上所述生成的第一输入信息τ_ι,1和第二输入信息τ_ι,2与所对应的自然数（a（ι）、b（ι））的信息一起输出（步骤S13103e）。另外，本方式的第一输入信息τ_ι,1和第二输入信息τ_ι,2为分别通过随机数ｒ（ι，1）、ｒ（ι，2）、ｒ（ι，3）将与密码文λ_ι的关系搅乱的信息。由此，计算装置131能够对能力提供装置132－ι隐蔽密码文λ_ι。

《S12200～S12203和S13205～S13209的处理》

以下，使用图26来说明本方式的S12200～S12203和S13205～S13209的处理。

控制部11205－ι（图20）根据所输入的自然数（ａ（ι），ｂ（ι）），控制第一输出信息计算部12201－ι、第二输出信息计算部12202－ι、和第三输出信息计算部13203－ι。

基于控制部11205－ι的控制，ｂ（ι）≠1时的第一输入信息τ_ι,1＝μ_ι,h ^r(ι,1)λ_ι ^b(ι)输入到能力提供装置132－ι（图20）的第一输出信息计算部12201－ι，ａ（ι）≠1时的第二输入信息τ_ι,2＝μ_ι,h ^r(ι,2)λ_ι ^a(ι)输入到第二输出信息计算部12202－ι。在ｂ（ι）＝1时的第一输入信息τ_ι,1＝λ_ι ^r(ι,3)或ａ（ι）＝1时的第二输入信息τ_ι,2＝λ_ι ^r(ι,3)被输入到第三输出信息计算部13203－ι（步骤S13200）。

在控制部11113中判定b（ι）是否为1（步骤S13205），在判定为ｂ（ι）≠1的情况下，执行上述的步骤S12201的处理。之后，在控制部11113中判定a（ι）是否为1（步骤S13208），在判定为a（ι）≠1的情况下，执行上述的步骤S12202的处理，进至步骤S13203。

另一方面，在步骤S13208中判定为ａ（ι）＝1的情况下，第三输出信息计算部13203－ι使用第二输入信息τ_ι,2＝λ_ι ^r(ι,3)，以大于某一概率的概率准确地计算ｆ_ι（λ_ι ^r(ι,3)），将得到的计算结果设为第三输出信息ｚ_ι,3。该计算结果既存在准确的情况也存在不准确的情况。即，第三输出信息计算部13203－ι中的计算结果既存在成为ｆ_ι（λ_ι ^r(ι,3)）的情况，也存在没有成为ｆ_ι（λ_ι ^r(ι,3)）的情况（步骤S13209）。之后,进至步骤S13203。

在步骤S13205中判定为b（ι）＝1的情况下，第三输出信息计算部13203－ι使用第二输入信息τ_ι,1＝λ_ι ^r(ι,3)，以大于某一概率的概率准确地计算ｆ_ι（λ_ι ^r(ι,3)），将得到的计算结果设为第三输出信息ｚ_ι,3。该计算结果既存在准确的情况也存在不准确的情况。即，第三输出信息计算部13203－ι中的计算结果既存在成为ｆ_ι（λ_ι ^r(ι,3)）的情况，也存在没有成为ｆ_ι（λ_ι ^r(ι,3)）的情况（步骤S13206）。

之后，在控制部11113中判定a（ι）是否为1（步骤S13207），在判定为a（ι）=1的情况下进至步骤S13203，在判定为a（ι）≠1的情况下进至步骤S12202。

在步骤S13203中，生成了第一输出信息z_ι,1的第一输出信息计算部12201-ι输出第一输出信息z_ι,1，生成了第二输出信息z_ι,2的第二输出信息计算部12202-ι输出第二输出信息z_ι,₂，生成了第三输出信息z_ι,3的第三输出信息计算部13203-ι输出第三输出信息z_ι,3（步骤S13203）。

《步骤S13104和S13105的处理》

返回到图25，在控制部11113的控制下，第一输出信息ｚ_ι,1输入到计算装置131（图19）的第一计算部12105，第二输出信息ｚ_ι,2输入到第二计算部12108，第三输出信息ｚ_ι,3输入到第三计算部13109（步骤S13104）。

如果ｂ（ι）≠1，则第一计算部12105通过上述的步骤S12105的处理生成ｕ_ι，如果ｂ（ι）＝1，则第三计算部13109计算ｚ_ι,₃ ^1/r(ι,3)并将其计算结果设为ｕ_ι。计算结果u_ι发送到第一幂乘计算部11106。这里，在ｂ（ι）＝1的情况下，成为ｕ_ι＝ｚ_ι,3 ^1/r(ι,3)＝ｆ_ι（λ_ι）ｘ_ι,3。即，ｚ_ι,3 ^1/r(ι,3)成为关于ｆ_ι（λ_ι）具有误差Ｘ_ι,3的样本器。在后面叙述其理由（步骤S13105）。

《步骤S13108的处理》

如果a（ι）≠1，则第二计算部12108通过上述的步骤S12108的处理生成v_ι，如果a（ι）＝1，则第三计算部13109计算ｚ_ι,3 ^1/r(ι,3)并将其计算结果设为v_ι。计算结果v_ι发送到第二幂乘计算部11109。这里，在a（ι）＝1的情况下，成为v_ι＝ｚ_ι,3 ^1/r(ι,3)＝ｆ_ι（λ_ι）ｘ_ι,3。即，ｚ_ι,₃ ^1/r(ι,3)成为关于ｆ_ι（λ_ι）具有误差Ｘ_ι,3的样本器。在后面叙述其理由（步骤S13108）。

另外，在ｚ_ι,3 ^1/r(ι,3)的计算即ｚ_ι,3的幂乘根的计算困难的情况下，也可以如下计算ｕ_ι和/或ｖ_ι。第三计算部13109将随机数ｒ（ι，3）和基于该随机数ｒ（ι，3）计算出的ｚ_ι,3的组依次设为（α₁，β₁），（α₂，β₂），…，（α_ｍ（ι），β_ｍ（ι）），…并存储到未图示的存储部。ｍ（ι）是1以上的自然数。第三计算部13109也可以是，如果α₁，α₂，…，α_m(ι)的最小公倍数为1，则将γ₁，γ₂，…，γ_m(ι)设为整数并计算成为γ₁α₁＋γ₂α₂＋…＋γ_m(ι)α_m(ι)＝1的γ₁，γ₂，…，γ_m(ι)，并使用该γ₁，γ₂，…，γ_m(ι)来计算Π_i=1 ^m(ι)β_i ^γi＝β₁ ^γ1β₂ ^γ2…β_m(ι) ^γm(ι)，将该计算结果设为ｕ_ι和/或ｖ_ι。其中，在本申请中，将α设为第一字符，将β设为第二字符，将γ设为数字，在表述为α^βγ的情况下，该βγ意味着β_γ即β的下标γ。

《ｚ_ι,3 ^1/r(ι,3)成为关于ｆ_ι（λ_ι）具有误差Ｘ_ι,3的样本器的理由》

将Ｒ和Ｒ’设为随机数，将能力提供装置132－ι使用λ^R进行的计算的计算结果设为Ｂ（λ^R）。即，将第一输出信息计算部12201－ι、第二输出信息计算部12202－ι和第三输出信息计算部13203－ι返回给计算装置131的计算结果设为ｚ＝Ｂ（λ^R）。进而，将在群G中取值的概率变量X定义为Ｘ＝Ｂ（λ^R）^1/Rｆ（λ）^-1。

这时，成为ｚ^1/R＝Ｂ（λ^R）^1/R＝Ｘｆ（λ）＝ｆ（λ）Ｘ。即，ｚ^1/R成为关于ｆ（λ）具有误差Ｘ的样本器。

在上述式展开中，使用Ｘ＝Ｂ（λ^R）^1/Rｆ（λ^R）^-1、Ｂ（λ^R）^1/R＝Ｘｆ（λ^R）的性质。该性质基于Ｒ和Ｒ’是随机数。

因此，如果考虑ｒ（ι，3）为随机数，则同样地，ｚ_ι,3 ^1/r(ι,3)成为关于ｆ_ι（λ_ι）具备误差Ｘ_ι,3的样本器。

【第十实施方式】

第十实施方式的代理计算系统是将上述的第一可随机化样本器和第二可随机化样本器具体化的其他例子。具体地，对如下的例子进行了具体化：Ｈ_ι＝Ｇ_ι×Ｇ_ι、解码函数ｆ_ι为ＥｌＧａｍａｌ密码的解码函数，即对于解码密钥ｓ_ι和密码文λ_ι＝（ｃ_ι,1，ｃ_ι,2）为ｆ_ι（ｃ_ι,1，ｃ_ι,2）＝ｃ_ι,1·ｃ_ι,₂ ^-sι时的第一可随机化样本器和第二可随机化样本器的例子。以下，以与第七实施方式不同的部分为中心进行说明，对于解码控制处理等共同的部分省略重复说明。

如图18所例示，在第十实施方式的代理计算系统104中，计算装置111被置换为计算装置141，能力提供装置112－1，···，112－Γ被置换为能力提供装置142－1，···，142－Γ。

如图19所例示，第十实施方式的计算装置141例如具有：自然数存储部11101、自然数选择部11102、整数计算部11103、输入信息提供部14104、第一计算部14105、第一幂乘计算部11106、第一列表存储部11107、第二计算部14108、第二幂乘计算部11109、第二列表存储部11110、判定部11111、最终输出部11112和控制部11113。如图23所例示，本方式的输入信息提供部14104例如具有第四随机数生成部14104a、第五随机数生成部14104b、第一输入信息计算部14104c、第六随机数生成部14104d、第七随机数生成部14104e和第二输入信息计算部14104f。第一输入信息计算部14104c例如具有第四输入信息计算部14104ca和第五输入信息计算部14104cb，第二输入信息计算部14104f具有第六输入信息计算部14104fa和第七输入信息计算部14104fb。

如图20所例示，第十实施方式的能力提供装置142－ι例如具有第一输出信息计算部14201－ι、第二输出信息计算部14202－ι、密钥存储部11204－ι和控制部11205－ι。在存在能力提供装置142－（ι＋1），···，142－Γ的情况下，这些结构与能力提供装置142－ι相同。

＜解码处理＞

下面，说明本方式的解码处理。在第十实施方式中，群Ｈ_ι为群Ｇ_ι的直积群Ｇ_ι×Ｇ_ι，群Ｇ_ι为巡回群，密码文λ_ι＝（ｃ_ι,1，ｃ_ι,2）∈Ｈ_ι，ｆ_ι（ｃ_ι,1，ｃ_ι,2）为准同型函数，将群Ｇ_ι的生成元设为μ_ι,g，将群Ｇ_ι的位数设为Ｋ_ι，Ｇ，对计算装置141和能力提供装置142－ι事先设定对于相同的解码密钥ｓ_ι的密码文（Ｖ_ι，Ｗ_ι）∈Ｈ_ι和对该密码文进行了解码后的解码文ｆ_ι（Ｖ_ι，Ｗ_ι）＝Ｙ_ι∈Ｇ_ι的组，计算装置141和能力提供装置142－ι能够利用该组。

如图25和图26所例示，在第十实施方式的处理中，第七实施方式的步骤S11103～S11105、S11108、S11200～S11203分别被置换为步骤S14103～S14105、S14108、S14200～S14203。在以下，仅说明步骤S14103～S14105，S14108，S14200～S14203的处理。

《步骤S14103的处理》

计算装置141（图19）的输入信息提供部14104生成并输出与所输入的密码文λ_ι＝（ｃ_ι,1，ｃ_ι,2）对应的第一输入信息τ_ι,1和与密码文λ_ι＝（ｃ_ι,1，ｃ_ι,2）对应的第二输入信息（图25／步骤S14103）。以下，使用图28来说明本方式的步骤S14103的处理。

第四随机数生成部14104a（图23）生成0以上且小于K_ι,G的自然数的普通随机数r（ι，4）。所生成的随机数r（ι，4）被发送到第四输入信息计算部14104ca、第五输入信息计算部14104cb和第一计算部14105（步骤S14103a）。第五随机数生成部14104b生成0以上且小于K_ι，Ｇ的自然数的普通随机数r（ι，5）。所生成的随机数r（ι，5）被发送到第五输入信息计算部14104cb和第一计算部14105（步骤S14103b）。

第四输入信息计算部14104ｃａ使用在自然数选择部11102中选择的自然数ｂ（ι）、密码文λ_ι所包含的ｃ_ι,2、和随机数ｒ（ι，4），计算第四输入信息ｃ_ι,2 ^b(ι)Ｗ_ι ^r(ι,4)（步骤S14103ｃ）。第五输入信息计算部14104ｃb使用在自然数选择部11102中选择的自然数ｂ（ι）、密码文λ_ι所包含的ｃ_ι,1、和随机数ｒ（ι，4）、ｒ（ι，5），计算第五输入信息ｃ_ι,1 ^b(ι)Ｖ_ι ^r(ι,4)μ_ι,g ^r(ι,5)（步骤S14103d）。

第六随机数生成部14104d生成0以上且小于K_ι,G的自然数的普通随机数r（ι，6）。所生成的随机数r（ι，6）被发送到第六输入信息计算部14104fa、第七输入信息计算部14104fb和第二计算部14108（步骤S14103e）。第七随机数生成部14104e生成0以上且小于K_ι,G的自然数的普通随机数r（ι，7）。所生成的随机数r（ι，7）被发送到第七输入信息计算部14104fb和第二计算部14108（步骤S14103f）。

第六输入信息计算部14104fａ使用在自然数选择部11102中选择的自然数a（ι）、密码文λ_ι所包含的ｃ_ι,2、和随机数ｒ（ι，6），计算第六输入信息ｃ_ι,2 ^a(ι)Ｗ_ι ^r(ι,6)（步骤S14103g）。第七输入信息计算部14104fb使用在自然数选择部11102中选择的自然数a（ι）、密码文λ_ι所包含的ｃ_ι,1、和随机数ｒ（ι，6）、ｒ（ι，7），计算第七输入信息ｃ_ι,1 ^a(ι)Ｖ_ι ^r(ι,6)μ_ι,g ^r(ι,7)（步骤S14103h）。

第一输入信息计算部14104ｃ将如上生成的第四输入信息ｃ_ι,2 ^b(ι)Ｗ_ι ^r(ι,4)和第五输入信息ｃ_ι,1 ^b(ι)Ｖ_ι ^r(ι,4)μ_ι,g ^r(ι,5)，作为第一输入信息τ_ι,1＝（ｃ_ι,2 ^b(ι)Ｗ_ι ^r(ι,4)，ｃ_ι,1 ^b(ι)Ｖ_ι ^r(ι,4)μ_ι,g ^r(ι,5)）而进行输出。第二输入信息计算部14104ｆ将如上生成的第六输入信息ｃ_ι,2 ^a(ι)Ｗ_ι ^r(ι,6)和第七输入信息ｃ_ι,1 ^a(ι)Ｖ_ι ^r(ι,6)μ_ι,g ^r(ι,7)作为第二输入信息τ_ι,2＝（ｃ_ι,2 ^a(ι)Ｗ_ι ^r(ι,6)，ｃ_ι,1 ^a(ι)Ｖ_ι ^r(ι,6)μ_ι,g ^r(ι,7)）进行输出（步骤S14103ｉ）。

《步骤S14200～S14203的处理》

如图26所例示，首先，第一输入信息τ_ι,1＝（ｃ_ι,2 ^b(ι)Ｗ_ι ^r(ι,4)，ｃ_ι,1 ^b(ι)Ｖ_ι ^r(ι,4)μ_ι,g ^r(ι,5)）输入到能力提供装置142－ι（图20）的第一输出信息计算部14201－ι，第二输入信息τ_ι,2＝（ｃ_ι,2 ^a(ι)Ｗ_ι ^r(ι,6)，ｃ_ι,1 ^a(ι)Ｖ_ι ^r(ι,6)μ_ι,g ^r(ι,7))输入到第二输出信息计算部14202－ι（步骤S14200）。

第一输出信息计算部14201－ι使用第一输入信息τ_ι,1＝（ｃ_ι,2 ^b(ι)Ｗ_ι ^r(ι,4)，ｃ_ι,1 ^b(ι)Ｖ_ι ^r(ι,4)μ_ι,g ^r(ι,5)）和在密钥存储部11204－ι中存储的解码密钥ｓι，以大于某一概率的概率准确地计算ｆ_ι（ｃ_ι,1 ^b(ι)Ｖ_ι ^r(ι,4)μ_ι,g ^r(ι,5)，ｃ_ι,2 ^b(ι)Ｗ_ι ^r(ι,4)），并将计算结果设为第一输出信息ｚ_ι,1。该计算结果既存在准确的情况也存在不准确的情况。即，在第一输出信息计算部14201－ι中的计算结果既存在成为ｆ_ι（ｃ_ι,1 ^b(ι)Ｖ_ι ^r(ι,4)μ_ι,g ^r(ι,5)，ｃ_ι,2 ^b(ι)Ｗ_ι ^r(ι,4)）的情况，也存在没有成为ｆ_ι（ｃ_ι,1 ^b(ι)Ｖ_ι ^r(ι,4)μ_ι,g ^r(ι,5)，ｃ_ι,2 ^b(ι)Ｗ_ι ^r(ι,4)）的情况（步骤S14201）。

第二输出信息计算部14202－ι使用第二输入信息τ_ι,2＝（ｃ_ι,2 ^a(ι)Ｗ_ι ^r(ι,6)，ｃ_ι,1 ^a(ι)Ｖ_ι ^r(ι,6) _μι,g ^r(ι,7)）和在密钥存储部11204－ι中存储的解码密钥ｓ_ι，以大于某一概率的概率准确地计算ｆ_ι（ｃ_ι,1 ^a(ι)Ｖ_ι ^r(ι,6)μ_ι,g ^r(ι,7)，ｃ_ι,2 ^a(ι)Ｗ_ι ^r(ι,6)），并将得到的计算结果设为第二输出信息ｚ_ι,₂。该计算结果既存在准确的情况也存在不准确的情况。即，在第二输出信息计算部14202－ι中的计算结果既存在成为ｆ_ι（ｃ_ι,1 ^a(ι)Ｖ_ι ^r(ι,6)μ_ι,g ^r(ι,7)，ｃ_ι,2 ^a(ι)Ｗ_ι ^r(ι,6)）的情况，也存在没有成为ｆ_ι（ｃ_ι,1 ^a(ι)Ｖ_ι ^r(ι,6)μ_ι,g ^r(ι,7)，ｃ_ι,2 ^a(ι)Ｗ_ι ^r(ι,6)）的情况（步骤S14202）。

第一输出信息计算部14201-ι输出第一输出信息z_ι,1，第二输出信息计算部14202-ι输出第二输出信息z_ι,2（步骤S14203）。

《步骤S14104和S14105的处理》

返回到图25，第一输出信息z_ι,1输入到计算装置141（图19）的第一计算部14105，第二输出信息z_ι,2输入到第二计算部14108(步骤S14104)。

第一计算部14105使用所输入的第一输出信息ｚ_ι,1和随机数ｒ（ι，4）、ｒ（ι，5），计算ｚ_ι,1Ｙ_ι ^-r(ι,4)μ_ι,g ^-r(ι,5)并将该计算结果设为ｕ_ι（步骤S14105）。计算结果u_ι发送到第一幂乘计算部11106。这里，成为ｕ_ι＝ｚ_ι,1Ｙ_ι ^-r(ι,4)μ_ι,g ^-r(ι,5)＝ｆ_ι（ｃ_ι,1，ｃ^ι,2）b(ι)ｘ_ι,1。即，ｚ_ι,1Ｙ_ι ^-r(ι,4)μ_ι,g ^-r(ι,5)成为关于ｆ_ι（ｃ_ι,1，ｃ_ι,2）具有误差Ｘ_ι,1的可随机化样本器的输出。在后面叙述其理由。

《步骤S14108的处理》

第二计算部14108使用所输入的第二输出信息ｚ_ι,2和随机数ｒ（ι，6）、ｒ（ι，7），计算ｚ_ι,2Ｙ_ι ^-r(ι,6)μ_ι,g ^-r(ι,7)并将该计算结果设为ｖ_ι。计算结果v_ι发送到第二幂乘计算部11109。这里，成为ｖ_ι＝ｚ_ι,2Ｙ_ι ^-r(ι,6)μ_ι,g ^-r(ι,7)＝ｆ_ι（ｃ_ι,1，ｃ_ι,2）^a(ι)ｘ_ι，2。即，ｚ_ι,2Ｙ_ι ^-r(ι,6)μ_ι,g ^-r(ι,7)成为关于ｆ_ι（ｃ_ι,1，ｃ_ι,2）具有误差Ｘ_ι,2的可随机化样本器的输出。在后面叙述其理由。

《ｚ_ι,1Ｙ_ι ^-r(ι,4)μ_ι,g ^-r(ι,5)、ｚ_ι,2Ｙ_ι ^-r(ι,6)μ_ι,g ^-r(ι,7)成为关于ｆ_ι（ｃ_ι,1，ｃ_ι,2）分别具有误差Ｘ_ι,1、Ｘ_ι,2的可随机化样本器的输出的理由》

将ｃ设为自然数，将Ｒ₁、Ｒ₂、Ｒ₁’和Ｒ₂’设为随机数，将能力提供装置142－ι使用ｃ₁ ^cＶ^R1μ_g ^R2和ｃ₂ ^cＷ^R1进行的计算的计算结果设为Ｂ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）。即，将第一输出信息计算部14201－ι和第二输出信息计算部14202－ι返回给计算装置141的计算结果设为ｚ＝Ｂ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ^2cＷ^R1）。进而，将在群G中取值的概率变量X定义为Ｘ＝Ｂ（Ｖ^R1’μ_g ^R2’，Ｗ^R1’）ｆ（Ｖ^R1’μ_g ^R2’，Ｗ^R1’）^-1。

这时，成为ｚＹ^-R1μ_g ^-R2＝Ｂ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）Ｙ^-R1μ_g ^-R2＝Ｘｆ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）Ｙ^-R1μ_g ^-R2＝Ｘｆ（ｃ₁，ｃ₂）^cｆ（Ｖ，Ｗ）^R1ｆ（μ_g，ｅ_g）^R2Ｙ^-R1μ_g ^-R2＝Ｘｆ（ｃ₁，ｃ₂）^cＹ^R1μ_g ^R2Ｙ^-R1μ_g ^-R2＝ｆ（ｃ₁，ｃ₂）^cＸ。即，ｚＹ^-R1μ_g ^-R2成为关于ｆ（ｘ）具有误差Ｘ的可随机化样本器的输出。其中，ｅ_g是群G的单位元。

在上述式展开中，使用Ｘ＝Ｂ（Ｖ^R1’μ_g ^R2’，Ｗ^R1’）ｆ（Ｖ^R1’μ_g ^R2’，Ｗ^R1’）^-1＝Ｂ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）ｆ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）、Ｂ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）＝Ｘｆ（ｃ₁ ^cＶ^R1μ_g ^R2，ｃ₂ ^cＷ^R1）的性质。该性质基于Ｒ₁、Ｒ₂、Ｒ₁’和Ｒ₂’是随机数。

因此，如果考虑ａ（ι）、ｂ（ι）为自然数，ｒ（ι，4）、ｒ（ι，5）、ｒ（ι，6）和ｒ（ι，7）为随机数，则同样地，ｚ_ι,1Ｙ_ι ^-r(ι,4)μ_ι,g ^-r(ι,5)，ｚ_ι,2Ｙ_ι ^-r(ι,6)μ_ι,g ^-r(ι,7)成为关于ｆ_ι（ｃ_ι,1，ｃ_ι,₂）分别具有误差Ｘ_ι,1，Ｘ_ι,2的可随机化样本器的输出。

【第十一实施方式】

在上述的第七至第十实施方式中，在计算装置的自然数存储部11101中存储多种互质的2个自然数ａ（ι）、ｂ（ι）的组（ａ（ι），ｂ（ι）），使用这些组（ａ（ι），ｂ（ι））来执行各处理。但是，ａ（ι）、ｂ（ι）的一方也可以是常数。例如，可以将a（ι）固定为1，也可以将b（ι）固定为1。也可以是，按每个ι，自然数ａ（ι）、ｂ（ι）的不同的一方为常数。换而言之，第一可随机化样本器或第二可随机化样本器的一方可以置换为样本器。在a（ι）、b（ι）的一方为常数的情况下，不需要进行对设为常数的a（ι）或b（ι）进行选择的处理，各处理部无需被输入设为常数的a（ι）或b（ι），能够将其作为常数进行计算。在设为常数的ａ（ι）或ｂ（ι）为1的情况下，不使用ａ’（ι）或ｂ’（ι），能够将ｆ_ι（λ_ι）＝ｕ_ι ^b’^(ι)ｖ_ι ^a’^(ι)作为ｆ_ι（λ_ι）＝ｖ_ι或ｆ_ι（λ_ι）＝ｕ_ι而得到。

第十一实施方式是这样的变形的一例，是将b（ι）固定为1、第二可随机化样本器被置换为样本器的方式。以下，以与第七实施方式不同的部分为中心进行说明，对于解码控制处理等与第七实施方式共同的事项省略说明。第一可随机化样本器和样本器的具体例也与在第八实施方式至第十实施方式中说明的相同，因此省略说明。

＜结构＞

如图18所例示，在第十一实施方式的代理计算系统105中，第七实施方式的计算装置111被置换为计算装置151，能力提供装置112－1，···，112－Γ被置换为能力提供装置152－1，···，152－Γ。

如图29所例示，第十一实施方式的计算装置151例如具有：自然数存储部15101、自然数选择部15102、输入信息提供部15104、第一计算部15105、第一幂乘计算部11106、第一列表存储部11107、第二计算部15108、第二列表存储部15110、判定部15111、最终输出部15112和控制部11113。

如图20所例示，第十一实施方式的能力提供装置152－ι例如具有第一输出信息计算部15201－ι、第二输出信息计算部15202－ι、密钥存储部11204－ι和控制部11205－ι。在存在能力提供装置152－（ι＋1），···，52－Γ的情况下，这些结构与能力提供装置152－ι相同。

＜解码处理＞

下面，说明本方式的解码处理。作为解码处理的前提，将Ｇ_ι、Ｈ_ι设为群（例如为可交换群），将ｆ_ι（λ_ι）设为用于通过特定的解码密钥ｓ_ι对作为群Ｈ_ι的元的密码文λ_ι进行解码而得到群Ｇ_ι的元的解码函数，将群Ｇ_ι、Ｈ_ι的生成元分别设为μ_ι,g、μ_ι,h，将Ｘ_ι,1、Ｘ_ι,2设为在群Ｇ_ι中取值的概率变量，将概率变量Ｘ_ι,1的实现值设为ｘ_ι,1，将概率变量Ｘ_ι,2的实现值设为ｘ_ι,2。计算装置151的自然数存储部15101中存储有多个种类的自然数a（ι）。

如图30所例示，首先，计算装置151（图29）的自然数选择部15102随机地从在自然数存储部15101中存储的多个自然数a（ι）读入1个自然数a（ι）。所读入的自然数a（ι）的信息被发送到输入信息提供部15104和第一幂乘计算部11106（步骤S15100）。

控制部11113设为t_ι=1（步骤S11102）。

输入信息提供部15104生成并输出与所输入的密码文λ_ι分别对应的第一输入信息τ_ι,1和第二输入信息τ_ι,2。优选为，第一输入信息τ_ι,1和第二输入信息τ_ι,2为分别将与密码文λ_ι的关系搅乱的信息。由此，计算装置151能够对能力提供装置152－ι隐蔽密码文λ_ι。优选为，本方式的第二输入信息τ_ι,2进而对应于由自然数选择部15102选择的自然数a（ι）。由此，计算装置151能够以高精度评价从能力提供装置152－ι提供的解码能力（步骤S15103）。第一输入信息τ_ι,1和第二输入信息τ_ι,2的组合的具体例子是，第八实施方式至第十实施方式的任何一个的设为b（ι）=1的第一输入信息τ_ι，1和第二输入信息τ_ι,2的组合。

如图26所例示，第一输入信息τ_ι,1输入到能力提供装置152－ι（图20）的第一输出信息计算部15201－ι，第二输入信息τ_ι,2输入到第二输出信息计算部15202－ι（步骤S15200）。

第一输出信息计算部15201－ι使用第一输入信息τ_ι,1和在密钥存储部11204－ι中存储的解码密钥s_ι，以大于某一概率的概率准确地计算ｆ_ι（τ_ι,1），将得到的计算结果设为第一输出信息ｚ_ι,1（步骤S15201）。第二输出信息计算部15202－ι使用第二输入信息τ_ι,2和在密钥存储部11204－ι中存储的解码密钥s_ι，以大于某一概率的概率准确地计算ｆ_ι（τ_ι,2），将得到的运算结果设为第二输出信息ｚ_ι,2（步骤S15202）。即，第一输出信息计算部15201－ι和第二输出信息计算部15202－ι输出包含有意的或无意的误差的计算结果。换言之，第一输出信息计算部15201－ι的计算结果既有是ｆ_ι（τ_ι,1）的情况也有不是ｆ_ι（τ_ι,₁）的情况，第二输出信息计算部15202－ι的计算结果既有是ｆ_ι（τ_ι,2）的情况也有不是ｆ_ι（τ_ι,2）的情况。第一输出信息z_ι,1和第二输出信息z_ι,2的组的具体例子是，第八实施方式至第十实施方式的任何一个的设为b（ι）=1的第一输出信息z_ι,1和第二输出信息z_ι,2的组。

第一输出信息计算部15201-ι输出第一输出信息z_ι,1，第二输出信息计算部15202-ι输出第二输出信息z_ι,2（步骤S15203）。

返回到图30，第一输出信息z_ι,1输入到计算装置151（图29）的第一计算部15105，第二输出信息z_ι,2输入到第二计算部15108。这些第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2相当于从能力提供装置152-ι对计算装置151提供的解码能力（步骤S15104）。

第一计算部15105根据第一输出信息ｚ_ι,1生成运算结果ｕ_ι＝ｆ_ι（λ_ι）ｘ_ι,1。运算结果u_ι的具体例是，第八实施方式至第十实施方式的任何一个的设为b_ι=1的运算结果u_ι。运算结果u_ι发送到第一幂乘计算部11106（步骤S15105）。

第一幂乘计算部11106计算ｕ_ι’＝ｕ_ι ^a(ι)。计算结果ｕ_ι和基于该计算结果计算出的ｕ_ι’的组（ｕ_ι，ｕ_ι’）被存储到第一列表存储部11107（步骤S11106）。

第二计算部15108根据第二输出信息ｚ_ι,₂生成运算结果ｖ_ι＝ｆ_ι（λ_ι）^a(ι)ｘ_ι,2。运算结果ｖ_ι的具体例是，第八实施方式至第十实施方式的任何一个的运算结果ｖ_ι。运算结果ｖ_ι被存储到第二列表存储部15110（步骤S15108）。

判定部15111在存储于第一列表存储部11107的组（ｕ_ι，ｕ_ι’）和存储于第二列表存储部15110的组ｖ_ι中，判定是否有成为ｕ_ι’＝ｖ_ι的组（步骤S15110）。在有成为ｕ_ι’＝ｖ_ι的组的情况下，进至步骤S15114。在没有成为ｕ_ι’＝ｖ_ι的组的情况下，进至步骤S11111。

在步骤S11111中，控制部11113判定是否为t_ι=T_ι（步骤S11111）。Ｔ_ι是预先决定的自然数。如果是ｔ_ι＝Ｔ_ι，则最终输出部15112输出无法进行计算的意旨的信息例如为符号“⊥”（步骤S11113），并结束处理。如果不是ｔ_ι＝Ｔ_ι，则控制部11113将t_ι增加1，即设为ｔ_ι＝ｔ_ι＋1（步骤S11112），返回到步骤S15103。

在步骤S15114中，最终输出部15112输出与判定为ｕ_ι’＝ｖ_ι的ｕ_ι’对应的ｕ_ι（步骤S15114）。如此得到的ｕ_ι相当于在第七实施方式至第十实施方式中设为ｂ（ι）＝1时的ｕ_ι ^b’^(ι)ｖ_ι ^a’^(ι)。即，如此得到的ｕ_ι成为以高的概率对密码文λ_ι通过特定的解码密钥ｓ_ι进行了解码后的解码结果ｆ_ι（λ_ι）。因此，将上述的处理重复多次，将在步骤S15114中得到的值中频度最高的值设为解码结果ｆ_ι（λ_ι）即可。如后所述，根据设定以绝对的概率成为ｕ_ι＝ｆ_ι（λ_ι）。在该情况下，可以将在步骤S15114中得到的值直接设为解码结果ｆ_ι（λ_ι）。之后的处理，如在第七实施方式中说明的那样。

《关于得到解码结果ｆ_ι（λ_ι）的理由》

下面，说明在本方式的计算装置151中得到解码结果ｆ_ι（λ_ι）的理由。这里，为了表述的简略，省略ι而进行说明。首先，定义在说明中所需的事项。

黑盒子（black-box)：

ｆ（τ）的黑盒子Ｆ（τ）意味着，将τ∈Ｈ作为输入而输出ｚ∈Ｇ的处理部。在本方式中，第一输出信息计算部15201和第二输出信息计算部15202分别相当于解码函数ｆ（τ）的黑盒子F（τ）。将对于从群H中任意选择的元τ∈_UＨ和ｚ＝Ｆ（τ）满足ｚ＝ｆ（τ）的概率大于δ（0＜δ≦1）时、即满足Ｐｒ［ｚ＝ｆ（τ）｜τ∈_UＨ，ｚ＝Ｆ（τ）］＞δ…(8)

的ｆ（τ）的黑盒子Ｆ（τ）称为，可靠度δ（δ-reliable）的ｆ（τ）的黑盒子Ｆ（τ）。其中，δ是正的值，相当于上述的“某一概率”。

自身改正器（self-corrector）：

自身改正器Ｃ^F（λ）意味着，将λ∈Ｈ设为输入，使用ｆ（τ）的黑盒子Ｆ（τ）进行计算而输出ｊ∈Ｇ∪⊥的处理部。在本方式中，计算装置151相当于自身改正器Ｃ^F（λ）。

殆自身改正器（almostself-corrector）：

假定自身改正器Ｃ^F（λ）将λ∈Ｈ作为输入且使用可靠度δ的ｆ（τ）的黑盒子Ｆ（τ）来输出准确的值ｊ＝ｆ（λ）的概率充分大于输出错误的ｊ≠ｆ（λ）的概率的情况。即，假定满足式（9）的情况。

Ｐｒ［ｊ＝ｆ（λ）｜ｊ＝Ｃ^F（λ），ｊ≠⊥］

＞Ｐｒ［ｊ≠ｆ（λ）｜ｊ＝Ｃ^F（λ），ｊ≠⊥］＋Δ…(2)另外，Δ是某一正的值（0＜Δ＜1）。在如此的情况下，自身改正器C^F(λ)称为殆自身改正器。例如，对于某一正的值Δ’（0＜Δ’＜1），满足

Ｐｒ［ｊ＝ｆ（λ）｜ｊ＝Ｃ^F（λ）］＞（1／3）＋Δ’

Ｐｒ［ｊ＝⊥｜ｊ＝Ｃ^F（λ）］＜1／3

Ｐｒ［ｊ≠ｆ（λ）且ｊ≠⊥｜ｊ＝Ｃ^F（λ）］＜1／3

的情况下，自身改正器Ｃ^F（λ）是殆自身改正器。Δ’的例子是Δ’＝1／12或1／3。

强自身改正器（robustself-corrector）：

假定自身改正器Ｃ^F（λ）将λ∈Ｈ作为输入且使用可靠度δ的ｆ（τ）的黑盒子Ｆ（τ）来输出准确的值ｊ＝ｆ（λ）或j=⊥的概率为绝对的情况。即，对于能够忽略的误差ξ（0≦ξ＜1），满足

Ｐｒ［ｊ＝ｆ（λ）或者ｊ＝⊥｜ｊ＝Ｃ^F（λ）］＞1－ξ…(10)

的情况。在如此的情况下，自身改正器C^F(λ)称为强自身改正器。另外，能够忽略的误差ξ的例子是，安全参数ｋ的函数值ξ（ｋ）。函数值ξ（ｋ）的例子是，对于任意的多项式p（ｋ）关于充分大的ｋ，｛ξ（ｋ）ｐ（ｋ）｝收敛于0的函数值。函数值ξ（ｋ）的具体例是，ξ（ｋ）＝2^-k或ξ（ｋ）＝2^-√k等。

能够从殆自身改正器构成强自身改正器。即，对于相同的λ执行多次殆自身改正器，将除了⊥之外频度最高的输出值设为j，从而能够构成强自身改正器。即，对于相同的λ执行Ｏ（ｌｏｇ（1／ξ））次殆自身改正器，将频度最高的输出值设为j，从而能够构成强自身改正器。另外，Ｏ（·）表示O记法。

伪自由的（pseudo-free）的作用：

关于群Ｇ、自然数的集合Ω＝｛0，．．．，Ｍ｝（Ｍ为1以上的自然数）、在群G中取值的概率变量Ｘ₁、Ｘ₂的各实现值α∈Ｘ₁（α≠ｅ_g），β∈Ｘ₂和ａ∈Ω，对于成为α^a＝β的概率

Ｐｒ［α^a＝β且α≠ｅ_g｜ａ∈_UΩ，α∈Ｘ₁，β∈Ｘ₂］…(11)

将对于所有可能的Ｘ₁、Ｘ₂的上限值称为组（Ｇ，Ω）的伪自由指标，将其表示为Ｐ（Ｇ，Ω）。在存在某一能够忽略的函数ζ（ｋ）,且

Ｐ（Ｇ，Ω）＜ζ（ｋ）…(12)

的情况下，通过组（Ｇ，Ω）定义的运算是伪自由的作用。其中，「α^a」意味着，对α作用a次在群Ｇ中定义的运算。能够忽略的函数ξ（ｋ）的例子是，对于任意的多项式ｐ（ｋ）关于充分大的ｋ，｛ξ（ｋ）ｐ（ｋ）｝收敛于0的函数。函数ξ（ｋ）的具体例是，ξ（ｋ）＝2^-k或ξ（ｋ）＝2^-√k等。例如，对于安全参数k，式（11）的概率小于Ｏ（2^-k）的情况下，通过组（Ｇ，Ω）定义的运算是伪自由的作用。例如，关于任意的且α≠ｅ_g，集合Ω·α＝｛ａ（α）｜ａ∈Ω｝的元素数｜Ω·α｜超过2^ｋ的情况下，通过组（Ｇ，Ω）定义的运算能够称为伪自由的作用。其中，ａ（α）表示对ａ和α作用规定的运算的结果。这样的具体例存在很多。例如，群G为将质数ｐ作为法的剩余群Ｚ／ｐＺ，质数p为2^k的量级，集合Ω＝｛0，．．．，ｐ－2｝，ａ（α）为α^a∈Ｚ／ｐＺ且α≠ｅ_g的情况下，成为Ω·α＝｛α^ａ｜ａ＝0，．．．，ｐ－2｝＝｛ｅ_g，α¹，．．．，α^p-2｝，并且是｜Ω·α｜＝ｐ－1。由于质数p是2^k的量级，因此存在某一常数C，如果k充分大则满足｜Ω·α｜＞Ｃ2^k。这里，式（11）的概率小于Ｃ^-12^-k，通过这样的组（Ｇ，Ω）定义的运算是伪自由的作用。

可靠度δ^γ（δ^γ-reliable）的可随机化样本器：

是在每次提供自然数a时使用可靠度δ的ｆ（τ）的黑盒子Ｆ（τ），对于ｗ∈Ｇ返回与按照概率变量Ｘ的样本ｘ’对应的ｗ^aｘ’的可随机化样本器，将ｗ^aｘ’＝ｗ^a的概率大于δ^γ（γ为正常数）即满足

Ｐｒ［ｗ^aｘ’＝ｗ^a］＞δ^γ…(13)

的可随机化样本器称为可靠度δγ的可随机化样本器。本方式的输入信息提供部15104和第二输出信息计算部15202和第二计算部15108的组是关于w=f(λ)可靠度为δ^γ的可随机化样本器。

下面，使用这些定义，说明在本方式的计算装置151中得到解码结果f(λ)的理由。

在本方式的步骤S15110中，判定是否为ｕ’＝ｖ即ｕ^a＝ｖ。本方式的输入信息提供部15104和第二输出信息计算部15202和第二计算部15108的组是可靠度δ^γ的可随机化样本器（式（13）），如果将Ｔ设为大于根据ｋ、δ、γ决定的固定值的值，则产生渐进地以大的概率成立ｕ^a＝ｖ（在步骤S15110中成为“是”）的情况。例如，如果设为Ｔ≧4／δ^γ，则根据Ｍａｒｋｏｖ的不等式可知，成立ｕ^a＝ｖ（在步骤S15110中成为“是”）的概率大于1／2。

在本方式中，ｕ＝ｆ（λ）ｘ₁且ｖ＝ｆ（λ）^aｘ₂，因此在成立ｕ^a＝ｖ时成立ｘ₁ ^a＝ｘ₂。在成立ｘ₁ ^a＝ｘ₂的情况下，存在是ｘ₁＝ｘ₂＝ｅ_g的情况和是ｘ₁≠ｅ_g的情况。在ｘ₁＝ｘ₂＝ｅ_g的情况下，成为ｕ＝ｆ（λ），因此在步骤S15114中输出的u成为准确的解码结果ｆ（λ）。另一方面，在ｘ₁≠ｅ_g的情况下，成为ｕ≠ｆ（λ），因此在步骤S15114中输出的u不是准确的解码结果ｆ（λ）。

通过群G和自然数a所属的集合Ω的组（Ｇ，Ω）定义的运算为伪自由的作用、或者关于伪自由指标Ｐ（Ｇ，Ω），Ｔ²Ｐ（Ｇ，Ω）渐近小的情况下，在ｕ^a＝ｖ时ｘ₁≠ｅ_g的概率（式（11））渐近小。因此，在ｕ^a＝ｖ时ｘ₁＝ｅ_g的概率渐近大。因此，通过组（Ｇ，Ω）定义的运算为伪自由的作用、或者Ｔ²Ｐ（Ｇ，Ω）渐近小的情况下，在ｕ^a＝ｖ时输出错误的解码结果f(λ)的概率比ｕ^a＝ｖ时输出准确的解码结果f（λ）的概率充分小。这时的计算装置151也可以称为殆自身改正器（参考式（9））。因此，如上所述，从计算装置151能够构成强自身改正器，能够以绝对的概率得到准确的解码结果f(λ)。在（Ｇ，Ω）中定义的运算是伪自由的作用的情况下，能够忽略在ｕ^a＝ｖ时输出错误的解码结果ｆ（λ）的概率。这时的计算装置151以绝对的概率输出准确的解码结果f(λ)或者⊥。

另外，对任意的常数ρ决定ｋ₀，对该ｋ₀关于满足ｋ₀＜ｋ’的任意的ｋ’的函数值η（ｋ’）小于ρ的情况下，称为「η（ｋ’）渐近小」。k'的例子是安全参数k。

对任意的常数ρ决定k₀，对该ｋ₀关于满足ｋ₀＜ｋ’的任意的ｋ’的函数值1-η（ｋ’）小于ρ的情况下，称为「η（ｋ’）渐近大」。

其中，若将ａ置换为ａ／ｂ则可知，上述的证明也成为在第七实施方式中叙述的「ｕ’＝ｖ’成立，则第一可随机化样本器准确地计算ｕ＝ｆ（λ）^b，且第二可随机化样本器准确地计算ｖ＝ｆ（λ）^a（ｘ₁和ｘ₂为群Ｇ的单位元ｅ_g）的可能性高」的证明。

《关于可靠度δ^γ的可随机化样本器和安全性》

假定如下的攻击。

·黑盒子Ｆ（τ）或者该部分有意地输出不准确的ｚ，或者从黑盒子Ｆ（τ）输出的值被改变为不准确的ｚ。

·从可随机化样本器输出与不准确的z对应的w^ax'。

·与在自身改正器Ｃ^F（λ）中成立ｕ^a＝ｖ（在步骤S15110中“是”）无关地，与不准确的ｚ对应的ｗ^aｘ’使自身改正器Ｃ^F（λ）输出错误的值的概率增加。

在对于所提供的自然数a从可随机化样本器输出的ｗ^aｘ’的误差的概率分布Ｄ_a＝ｗ^aｘ’ｗ^-a依赖于自然数a的情况下，这样的攻击成为可能。例如，在进行了从第二计算部15108输出的v成为ｆ（λ）^aｘ₁ ^a的不准确的情况下，与ｘ₁的值无关地，必然成立ｕ^a＝ｖ。因此，期望在对于所提供的自然数a从可随机化样本器输出的ｗ^aｘ’的误差的概率分布Ｄ_a＝ｗ^aｘ’ｗ^-a不依赖于该自然数a。

或者，期望是如下的可随机化样本器：对于集合Ω的任何元存在无法与ｗ^aｘ’的误差的概率分布Ｄ_a＝ｗ^aｘ’ｗ^-a区分的在群Ｇ中取值的概率分布Ｄ（概率分布Ｄ_a与概率分布Ｄ统计近似（statistically-close））。其中，概率分布D不依赖于自然数a。无法区分概率分布Ｄ_a与概率分布Ｄ意味着，无法通过多项式时间算法来区分概率分布Ｄ_a与概率分布Ｄ，例如对于可忽视的ζ（0≦ζ＜1）满足

Σ_ｇ∈G｜Ｐｒ［ｇ∈Ｄ］－Ｐｒ［ｇ∈Ｄ_a］｜＜ζ…(14)

，则无法通过多项式时间算法来区分概率分布Ｄ_a与概率分布Ｄ。能够忽略的误差ζ的例子是，安全参数ｋ的函数值ζ（ｋ）。函数值ζ（ｋ）的例子是，对于任意的多项式ｐ（ｋ）关于充分大的ｋ，｛ζ（ｋ）ｐ（ｋ）｝收敛于0的函数值。函数值ζ（ｋ）的具体例是，ζ（ｋ）＝2^-k或ζ（ｋ）＝2^-√k等。这些点对于使用自然数a和b的第七实施方式至第十实施方式也相同。

【第七实施方式至第十一实施方式的变形例】

在第七实施方式至第十一实施方式中，对计算装置提供第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的情况下，计算装置能够以某一概率输出ｕ_ι ^b’^(ι)ｖ_ι ^a’^(ι)。ｕ_ι ^b’^(ι)ｖ_ι ^a’^(ι)以高的概率成为密码文λ_ι的解码值。另一方面，在没有对计算装置提供第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的两方的情况下，计算装置无法得到密码文λ_ι的解码值。

在第七实施方式至第十一实施方式中，通过控制由能力提供装置的第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2的双方的输出的有无，从而能够控制计算装置的密码文的解码能力，而不对计算装置提供解码密钥。

本发明不限定于上述的实施方式。例如，在上述的各实施方式中，设为ω是2以上的整数，但是ω也可以是1。即，也可以是仅存在一个能力提供装置的结构。这时的计算装置也可以不包括复元部，可以直接输出来自最终输出部的输出值。例如，也可以是，上述的第一实施方式至第五实施方式的任何一个的系统还具有解码控制装置，解码控制装置对能力提供装置输出用于控制计算装置的解码处理的解码控制命令，能力提供装置按照解码控制命令，控制是否从第一输出信息计算部和所述第二输出信息计算部输出第一输出信息z₁和第二输出信息z₂的两方。例如，也可以是，上述的第六实施方式的系统还具有解码控制装置，解码控制装置对能力提供装置输出用于控制计算装置的解码处理的解码控制命令，能力提供装置按照解码控制命令，控制是否从第一输出信息计算部和第二输出信息计算部输出第一输出信息_Mz₁和第二输出信息_Mz₂的两方。

概率变量Ｘ_ι,1、Ｘ_ι,2和Ｘ_ι,3可以相同也可以不同。

通过第一随机数生成部、第二随机数生成部、第三随机数生成部、第四随机数生成部、第五随机数生成部、第六随机数生成部和第七随机数生成部分别生成同样随机数，从而能够提高代理计算系统的安全性。但是，在所要求的安全性的等级没有那么高的情况下，第一随机数生成部、第二随机数生成部、第三随机数生成部、第四随机数生成部、第五随机数生成部、第六随机数生成部和第七随机数生成部的至少一个部也可以生成不是同样随机数的随机数。从运算效率的观点出发，期望如上述的各实施方式那样选择作为0以上且小于Ｋ_ι,H的自然数的随机数或作为0以上且小于Ｋ_ι,G的自然数的随机数，但也可以取而代之选择Ｋ_ι,H以上或Ｋ_ι,G以上的自然数的随机数。

在计算装置对能力提供装置每次提供与相同的ａ（ι）、ｂ（ι）对应的第一输入信息τ_ι,1和第二输入信息τ_ι,2时，能力提供装置的处理也可以执行多次。由此，在计算装置对能力提供装置每提供一次第一输入信息τ_ι,1和第二输入信息τ_ι,2时，计算装置能够得到多个第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2和第三输出信息ｚ_ι,3。由此，能够减少计算装置与能力提供装置之间的交换次数和通信量。

也可以是，计算装置对能力提供装置汇总提供多种第一输入信息τ_ι,1和第二输入信息τ_ι,2，汇总得到多个所对应的第一输出信息ｚ_ι,1和第二输出信息ｚ_ι,2和第三输出信息ｚ_ι,3。由此，能够减少计算装置与能力提供装置之间的交换次数。

在各实施方式中，设为ω是常数，但是如果能够在代理计算系统中共享ω的值，则ω也可以是变量。

计算装置的各部之间的数据的交换可以直接进行，也可以经由未图示的存储部进行。同样地，能力提供装置的各部之间的数据的交换可以直接进行，也可以经由未图示的存储部进行。

确认在各实施方式的第一计算部和第二计算部中得到的ｕ_ι和ｖ_ι是否为群Ｇ_ι的元，在是群G_ι的元的情况下，继续执行上述的处理，在ｕ_ι或ｖ_ι不是群Ｇ_ι的元的情况下，输出无法进行计算的意旨的信息例如为符号“⊥”。

此外，例如，上述的各种处理不仅可以按照记载以时间序列执行，也可以根据执行处理的装置的处理能力或者根据需要并行地或单独地执行。也可以在一个装置内构成多个能力提供装置。此外，在不脱离本发明的宗旨的范围内能够进行适当变更是不言而喻的。

【第十二实施方式】

说明本发明的第十二实施方式。在本方式中，说明如下的例子：Φ个（Φ为2以上的整数）计算装置共享一个能力提供装置而进行计算，能力提供装置从计算装置接受其代价。但是，这并非用于限定本发明，也可以由Φ个计算装置共享多个能力提供装置而进行计算。

＜结构＞

如图31所例示，第十二实施方式的代理计算系统201例如具有Φ个计算装置和一个能力提供装置212。各装置构成为能够进行信息的交换。例如，各装置能够进行经由了传输线或网络或可移动型记录介质等的信息的交换。

在本方式中，能力提供装置212对各计算装置提供计算将群的元映射到群的元的函数的能力（计算能力）。各计算装置将对应于该能力的代价支付给能力提供装置212。各计算装置使用所提供的能力，计算对于群的元的群的元

如图32所例示，第十二实施方式的计算装置例如具有：自然数存储部自然数选择部整数计算部输入信息提供部第一计算部第一幂乘计算部第一列表存储部第二计算部第二幂乘计算部第二列表存储部判定部最终输出部和控制部计算装置在控制部的控制下执行各种处理。计算装置的例子是，读入了特别的程序的具备ＣＰＵ（中央处理单元）和ＲＡＭ（随机存取存储器）的公知或专用的计算机、服务器装置或网关装置或卡读写装置或移动电话等的具备了计算功能和存储功能的设备等。

如图33所例示，第十二实施方式的能力提供装置212例如分别具有第一输出信息计算部21201、第二输出信息计算部21202和控制部21205。能力提供装置212在控制部21205的控制下执行各种处理。能力提供装置212的例子是，读入了特别的程序的具备ＣＰＵ和ＲＡＭ的公知或专用的计算机、移动电话等的具备了计算功能和存储功能的设备、IC卡或IC芯片等耐篡改性模块等。

＜处理的前提＞

设为是群（例如为可交换群），是在群中取值的概率变量，是概率变量的实现值，是概率变量的实现值，是将群的元映射到群的元的函数， 是互质的自然数。的具体例是，加密函数、解码函数、再加密函数、图像处理用的函数、语音处理用的函数等。既可以是也可以是所有的群 可以互相相同，也可以是，对于至少一部分的群与其他的群不同。所有的群可以互相相同，也可以是，对于至少一部分的群与其他的群不同。以下，以乘法表现群 上的运算。是互质的自然数，“自然数”表示0以上的整数。以对于群的元的群的元作为元素的集合，被称为「对于元的类Ｃ这里，Ｃ与Ｃ 是互相不同的类。在函数为对于元的单映射函数的情况下，关于的组，对于相同的元的类Ｃ仅包括一个元素。在每个的组中，对于相同的元的类Ｃ 仅包括一个元素的情况下，两个值属于对于相同的元的类Ｃ 与该两个值相等是等价的。即，在函数为对于元的单映射函数的情况下，能够通过判定两个值是否相等，从而进行两个值是否属于对于相同的元的类Ｃ的判定。另一方面，在函数不是对于元的单映射函数的情况下（例如，函数为如ＥｌＧａｍａｌ密码方式的概率密码方式的加密函数的情况），对于平文和加密密钥的组对应有多个密码文，因此关于的组，对于相同的元的类Ｃ包括多个元素。

在各计算装置（图32）的自然数存储部中存储有多个种类的互质的2个自然数的组如果将设为在群的位数未满的2个自然数的组中互质的组的集合，则能够认为在自然数存储部中存储有与的部分集合对应的自然数 的组

＜处理＞

说明计算装置利用能力提供装置212进行的处理。这些处理，可以由进行处理的任何一个计算装置在占有能力提供装置212某一时间的状态下执行，也可以由进行处理的多个计算装置接入到能力提供装置212而并行执行。

群的元输入到计算装置（图32）的输入信息提供部21104在元已经输入到输入信息提供部的情况下，也可以省略该处理。

如图37所例示，元输入到输入信息提供部的计算装置211的自然数选择部随机地从在自然数存储部中存储的多个自然数的组读取一个自然数的组所读入的自然数的组的至少一部分信息被发送到整数计算部输入信息提供部第一幂乘计算部和第二幂乘计算部（步骤S21100）。

整数计算部使用所发送的自然数的组计算满足的关系的整数 自然数互质，因此必然存在满足 的关系的整数其计算方法也已知。例如，通过扩展互除法等已知的算法计算整数自然数的组的信息被发送到最终输出部（步骤S21101）。

控制部设为t=1（步骤S21102）。

输入信息提供部生成并输出与所输入的元分别对应的第一输入信息和第二输入信息优选为，第一输入信息和第二输入信息为分别将与元的关系搅乱的信息。由此，计算装置能够对能力提供装置212隐蔽元优选为，本方式的第一输入信息进而对应于在自然数选择部中选择的自然数第二输入信息进而对应于在自然数选择部中选择的自然数由此，计算装置能够以高精度评价从能力提供装置212提供的计算能力（步骤S21103）。

如图38所例示，第一输入信息输入到能力提供装置212（图33）的第一输出信息计算部21201，第二输入信息输入到第二输出信息计算部21202（步骤S21200）。

第一输出信息计算部21201使用第一输入信息以大于某一概率的概率准确地计算将得到的计算结果设为第一输出信息（步骤S21201）。第二输出信息计算部21202使用第二输入信息以大于某一概率的概率准确地计算将得到的计算结果设为第二输出信息（步骤S21202）。另外，“某一概率”是小于100%的概率。“某一概率”的例子是无法忽略的概率，“无法忽略的概率”的例子是，将作为安全参数k的广义单调增加函数的多项式设为多项式ψ（ｋ）时的1／ψ（ｋ）以上的概率。即，第一输出信息计算部21201和第二输出信息计算部21202能够输出包含有意的或无意的误差的计算结果。换言之，第一输出信息计算部21201的计算结果既有是的情况也有不是的情况，第二输出信息计算部21202的计算结果既有是的情况也有不是的情况。第一输出信息计算部21201输出第一输出信息第二输出信息计算部21202输出第二输出信息（步骤S21203）。

返回到图37，第一输出信息输入到计算装置（图32）的第一计算部第二输出信息输入到第二计算部这些第一输出信息和第二输出信息相当于从能力提供装置212对计算装置提供的计算能力（步骤S21104）。被提供计算能力的计算装置的利用者对能力提供装置212支付其代价。代价的支付方法例如通过公知的电子结算处理等进行即可。

第一计算部根据第一输出信息生成运算结果 这里，生成（计算）的处理是，计算定义为 的式的值的处理。如果最终能够计算式的值，则与中间的计算方法无关。这对于在本申请中出现的其他式的计算也是相同的。运算结果发送到第一幂乘计算部（步骤S21105）。

第一幂乘计算部计算计算结果和基于该计算结果计算出的的组被存储到第一列表存储部（步骤S21106）。

判定部在第一列表存储部中存储的组和在第二列表存储部中存储的组中，判定是否存在 和属于对于互相相同的元的类Ｃ的组。也可以无法判定至是的情况（以下相同）。换而言之，判定部判定是否存在属于对于相同的元的类Ｃ的和的组。例如，在函数 为对于元的单映射函数的情况下，判定部判定是否为 （步骤S21107）。如果在第二列表存储部中没有存储组 的情况下，不进行该步骤S21107的处理，进行下一个步骤S21108的处理。在存在属于对于相同的元的类Ｃ的和的组的情况下，进至步骤S21114。在不存在属于对于相同的元的类Ｃ的 和的组的情况下，进至步骤S21108。

在步骤S21108中，第二计算部根据第二输出信息生成运算结果运算结果发送到第二幂乘计算部（步骤S21108）。

第二幂乘计算部计算计算结果和基于该计算结果计算出的的组被存储到第二列表存储部（步骤S21109）。

判定部在第一列表存储部中存储的组和在第二列表存储部中存储的组中，判定是否存在 和属于对于互相相同的元的类Ｃ的组。例如，在函数 为对于元的单映射函数的情况下，判定部判定是否为 （步骤S21110）。在存在属于对于相同的元的类Ｃ的 和的组的情况下，进至步骤S21114。在不存在属于对于相同的元的类Ｃ的和的组的情况下，进至步骤S21111。

在步骤S21111中，控制部判定是否为t=T（步骤S21111）。Ｔ是预先决定的自然数。Ｔ可以是对于所有的相同的值，也可以存在对于的自身改正处理中的T的值与对于的自身改正处理中的T的值不同的情况。如果是ｔ＝Ｔ，则最终输出部输出无法进行计算的意旨的信息例如为符号“⊥”（步骤S21113），并结束处理。如果不是ｔ＝Ｔ，则控制部将t增加1，即设为ｔ＝ｔ＋1（将t+1设为新的t）（步骤S21112），返回到步骤S21103。

无法进行计算的意旨的信息（在该例子中为符号“⊥”）意味着能力提供装置212准确地进行计算的可靠度小于由T决定的基准。换言之，意味着在T次的重复中无法进行准确的运算。

在步骤S21114中，最终输出部使用与判定为属于对于相同的元的类Ｃ的和的组对应的和来计算并进行输出而结束处理（步骤S21114）。

如以上那样计算出的以高的概率成为（在后面叙述以高的概率成为的理由）。因此，至少重复多次关于的上述处理，并选择在步骤S21114中得到的值中频度最高的 则的可靠度（概率等）成为规定值以上。如后所述，根据设定以绝对的概率成为在不限定于能力提供装置212必然进行准确的返回的情况下，上述情况也成立，因此计算装置无需进行用于确认能力提供装置212的正当性的认证处理。即使其他的计算装置和能力提供装置212的处理内容对计算装置和能力提供装置212之间的处理内容产生了影响，只要能力提供装置212以大于某一概率的概率进行准确的返回，则计算装置能够得到准确的计算结果

《关于以高的概率成为的理由》

将设为在群中取值的概率变量。将关于在每次接受请求时返回与按照概率变量的样本对应的的装置，称为关于具有误差的样本器（sampler）。

将关于在每次被提供自然数时返回与按照概率变量的样本对应的的装置，称为关于具有误差的可随机化样本器（randomizablesampler）。可随机化样本器如果设为而使用，则作为样本器发挥作用。

本实施方式的输入信息提供部和第一输出信息计算部21201和第一计算部的组合是关于具有误差的可随机化样本器（称为“第一可随机化样本器”），输入信息提供部和第二输出信息计算部21202和第二计算部的组合是关于具有误差的可随机化样本器（称为“第二可随机化样本器”）。

发明人发现了如下情况：如果和属于对于互相相同的元的类Ｃ则第一可随机化样本器准确地计算且第二可随机化样本器准确地计算和是群的单位元的可能性高。从简化说明的观点出发，通过第十八实施方式进行该证明。

在第一可随机化样本器准确地计算且第二可随机化样本器准确地计算时和为群的单位元时）,成为 并且成为 因此,在函数为对于元的单映射函数的情况下,成为另一方面,如果函数不是对于元的单映射函数而是准同型函数,则成为

关于（ｑ₁，ｑ₂）∈Ｉ，将对于ｉ＝1、2的各个的函数π_i定义为π_i（ｑ₁，ｑ₂）＝ｑ_i。进而，设为Ｌ＝ｍｉｎ（#π₁（S），#π₂（S））。#·是集合·的位数。在群为巡回群或者难以计算位数的群时，计算装置输出“⊥”以外时的输出不是的概率能够期待为在能够忽略的程度的误差的范围内至多Ｔ²Ｌ／#S左右。如果Ｌ／#S为能够忽略的量且Ｔ为多项式量级程度的量，则计算装置以绝对的概率输出准确的Ｌ／#S成为能够忽略的量的S的例子中，例如具有

【第十三实施方式】

第十三实施方式的代理计算系统是将上述的第一可随机化样本器和第二可随机化样本器具体化的例子。以下，以与第十二实施方式不同的部分为中心进行说明，对于共同的部分省略重复说明。在以下的说明中，设为附加了相同的参考标号的部分具有相同的功能，附加了相同的参考标号的步骤表示相同的处理。

＜结构＞

如图31所例示，在第十三实施方式的代理计算系统202中，计算装置被置换为计算装置能力提供装置212被置换为能力提供装置222。

如图32所例示，第十三实施方式的计算装置例如具有：自然数存储部自然数选择部整数计算部输入信息提供部第一计算部第一幂乘计算部第一列表存储部第二计算部第二幂乘计算部第二列表存储部判定部最终输出部和控制部如图34所例示，本方式的输入信息提供部例如具有第一随机数生成部第一输入信息计算部第二随机数生成部和第二输入信息计算部

如图33所例示，第十三实施方式的能力提供装置222例如分别具有第一输出信息计算部22201、第二输出信息计算部22202和控制部21205。

＜处理的前提＞

在第十三实施方式中，将函数设为准同型函数，将群设为巡回群，将群的生成元设为将群的位数设为设为其他的前提，除了计算装置被置换为计算装置能力提供装置212被置换为能力提供装置222以外，与第十二实施方式相同。

<处理>

如图37和图38所例示，在第十三实施方式的处理中，第十二实施方式的步骤S21103～S21105、S21108、S21200～S21203分别被置换为步骤S22103～S22105、S22108、S22200～S22203。在以下，仅说明步骤S22103～S22105，S22108，S22200～S22203的处理。

《步骤S22103的处理》

计算装置（图32）的输入信息提供部生成并输出与所输入的元分别对应的第一输入信息和第二输入信息（图37/步骤S22103）。以下，使用图39来说明本方式的步骤S22103的处理。

第一随机数生成部（图34）生成0以上且小于的自然数的普通随机数所生成的随机数被发送到第一输入信息计算部和第一计算部（步骤S22103a）。第一输入信息计算部使用所输入的随机数和元和自然数计算第一输入信息（步骤S22103ｂ）。

第二随机数生成部生成0以上且小于的自然数的普通随机数所生成的随机数被发送到第二输入信息计算部和第二计算部（步骤S22103c）。第二输入信息计算部使用所输入的随机数和元和自然数计算第二输入信息 （步骤S22103d）。

第一输入信息计算部和第二输入信息计算部输出如上所述生成的第一输入信息和第二输入信息（步骤S22103e）。另外，本方式的第一输入信息和第二输入信息为分别通过随机数 将与元的关系搅乱的信息。由此，计算装置能够对能力提供装置222隐蔽元本方式的第一输入信息进而对应于在自然数选择部中选择的自然数第二输入信息进而对应于在自然数选择部中选择的自然数由此，计算装置能够以高精度评价从能力提供装置222提供的计算能力。

《步骤S22200～S22203的处理》

如图38所例示，首先，第一输入信息输入到能力提供装置222（图33）的第一输出信息计算部22201，第二输入信息输入到第二输出信息计算部22202（步骤S22200）。

第一输出信息计算部22201使用第一输入信息以大于某一概率的概率准确地计算将得到的计算结果设为第一输出信息该计算结果即存在准确的情况也存在不准确的情况。即，第一输出信息计算部22201中的计算结果既存在成为的情况，也存在没有成为的情况（步骤S22201）。

第二输出信息计算部22202使用第二输入信息以大于某一概率的概率准确地计算将得到的计算结果设为第二输出信息该计算结果即存在准确的情况也存在不准确的情况。即，第二输出信息计算部22202中的计算结果既存在成为的情况，也存在没有成为的情况（步骤S22202）。

第一输出信息计算部22201输出第一输出信息第二输出信息计算部22202输出第二输出信息（步骤S22203）。

《步骤S22104和S22105的处理》

返回到图37，第一输出信息输入到计算装置（图32）的第一计算部第二输出信息输入到第二计算部这些第一输出信息和第二输出信息相当于从能力提供装置222对计算装置提供的计算能力（步骤S22104）。

第一计算部使用所输入的随机数和第一输出信息 来计算并将该计算结果设为计算结果发送到第一幂乘计算部这里，成为即，成为关于具有误差的可随机化样本器的输出。在后面叙述其理由（步骤S22105）。

《步骤S22108的处理》

第二计算部使用所输入的随机数和第二输出信息计算并将该计算结果设为计算结果发送到第二幂乘计算部这里，成为即，成为关于具有误差的可随机化样本器的输出。在后面叙述其理由（步骤S22108）。

《成为关于分别具有误差的可随机化样本器的输出的理由》

将ｃ设为自然数，将Ｒ和Ｒ’设为随机数，将能力提供装置222使用 进行的计算的计算结果设为即，将第一输出信息计算部22201和第二输出信息计算部22202返回给计算装置的计算结果设为 进而，将在群中取值的概率变量定义为

这时，成为 即， 成为关于具有误差的可随机化样本器的输出。

在上述式展开中，使用 并且的性质。该性质基于函数为准同型函数，R和R'为随机数。

因此，如果考虑为自然数，为随机数，则同样地，成为关于分别具有误差的可随机化样本器的输出。

【第十四实施方式】

第十四实施方式是第十三实施方式的变形例，在或时，通过上述的样本器计算或的值。一般，样本器的计算量比可随机化样本器小。在或时，代替可随机化样本器而由样本器进行计算，从而能够减小代理计算系统的计算量。以下，以与第十二实施方式和第十三实施方式不同的部分为中心进行说明，对于共同的部分省略重复说明。

＜结构＞

如图31所例示，在第十四实施方式的代理计算系统203中，计算装置被置换为计算装置能力提供装置222被置换为能力提供装置232。

如图32所例示，第十四实施方式的计算装置例如具有：自然数存储部自然数选择部整数计算部输入信息提供部第一计算部第一幂乘计算部第一列表存储部第二计算部第二幂乘计算部第二列表存储部判定部最终输出部控制部和第三计算部

如图33所例示，第十四实施方式的能力提供装置232例如具有第一输出信息计算部22201、第二输出信息计算部2202、控制部21205和第三输出信息计算部23203。

＜处理＞

下面，说明本方式的处理。说明与第十三实施方式的不同点。

如图37和图38所例示，在第十四实施方式的处理中，第十三实施方式的步骤S22103～S22105、S22108、S22200～S22203分别被置换为步骤S23103～S23105、S23108、S22200～S22203和S23205～S23209。在以下，以步骤S23103～S23105、S23108、S22200～S22203和S23205～S23209的处理为中心进行说明。

《步骤S23103的处理》

计算装置（图32）的输入信息提供部生成并输出与所输入的元分别对应的第一输入信息和第二输入信息（图37/步骤S23103）。

以下，使用图39来说明本方式的步骤S23103的处理。

控制部（图32）根据在自然数选择部中选择的自然数 来控制输入信息提供部

在控制部中判定是否为1（步骤S23103a），在判定为 的情况下，执行上述的步骤S22103a和S22103b的处理，进至步骤S23103g。

另一方面，在步骤S23103a中判定为的情况下，第三随机数生成部生成0以上且小于的自然数的随机数所生成的随机数被发送到第三输入信息计算部和第三计算部（步骤S23103b）。第三输入信息计算部使用所输入的随机数 和元来计算将其设为第一输入信息（步骤S23103c）。之后,进至步骤S23103g。

在步骤S23103g中，在控制部中判定是否为1（步骤S23103g），在判定为的情况下，执行上述的步骤S22103c和步骤S22103d的处理。

另一方面，在步骤S23103g中判定为的情况下，第三随机数生成部生成0以上且小于的自然数的随机数所生成的随机数被发送到第三输入信息计算部（步骤S23103h）。第三输入信息计算部使用所输入的随机数和元来计算将其设为第二输入信息（步骤S23103i）。

第一输入信息计算部第二输入信息计算部和第三输入信息计算部将如上所述生成的第一输入信息和第二输入信息与所对应的自然数的信息一起输出（步骤S23103e）。另外，本方式的第一输入信息和第二输入信息为分别通过随机数 将与元的关系搅乱的信息。由此，计算装置能够对能力提供装置232隐蔽元

《S22200～S22203和S23205～S23209的处理》

以下，使用图38来说明本方式的S22200～S22203和S23205～S23209的处理。

控制部21205（图33）根据所输入的自然数控制第一输出信息计算部22201、第二输出信息计算部22202、和第三输出信息计算部23203。

基于控制部21205的控制，时的第一输入信息 输入到能力提供装置232（图33）的第一输出信息计算部22201，并且 时的第二输入信息输入到第二输出信息计算部22202。时的第一输入信息或时的第二输入信息输入到第三输出信息计算部23203（步骤S23200）。

在控制部中判定是否为1（步骤S23205），在判定为 的情况下，执行上述的步骤S22201的处理。之后，在控制部中判定是否为1（步骤S23208），在判定为的情况下，执行上述的步骤S22202的处理，进至步骤S23203。

另一方面，在步骤S23208判定为的情况下，第三输出信息计算部23203使用第二输入信息以大于某一概率的概率准确地计算将得到的计算结果设为第三输出信息该计算结果即存在准确的情况也存在不准确的情况。即，第三输出信息计算部23203中的计算结果既存在成为的情况，也存在没有成为的情况（步骤S23209）。之后,进至步骤S23203。

在步骤S23205判定为的情况下，第三输出信息计算部23203使用第二输入信息以大于某一概率的概率准确地计算 将得到的计算结果设为第三输出信息该计算结果即存在准确的情况也存在不准确的情况。即，第三输出信息计算部23203中的计算结果既存在成为的情况，也存在没有成为的情况（步骤S23206）。

之后，在控制部中判定是否为1（步骤S23207），在判定为的情况下进至步骤S23203，在判定为的情况下进至步骤S22202。

在步骤S23203中，生成了第一输出信息的第一输出信息计算部22201输出第一输出信息生成了第二输出信息的第二输出信息计算部22202输出第二输出信息生成了第三输出信息的第三输出信息计算部23202输出第三输出信息（步骤S23203）。

《步骤S23104和S23105的处理》

返回到图37，在控制部的控制下，第一输出信息输入到计算装置（图32）的第一计算部第二输出信息输入到第二计算部第三输出信息输入到第三计算部（步骤S23104）。

如果则第一计算部通过上述的步骤S22105的处理生成如果则第三计算部计算并将其计算结果设为计算结果发送到第一幂乘计算部这里，在 时成为即，成为关于具有误差的样本器。在后面叙述其理由（步骤S23105）。

《步骤S23108的处理》

如果则第二计算部通过上述的步骤S22108的处理生成如果则第三计算部计算并将其计算结果设为计算结果发送到第二幂乘计算部这里，在 的情况下，成为即，成为关于 具有误差的样本器。在后面叙述其理由（步骤S23108）。

另外，在的计算即的幂乘根的计算困难的情况下，也可以如下计算和/或第三计算部将随机数和基于该随机数计算出的的组依次设为（α₁，β₁），（α₂，β₂），…，（α_ｍ，β_ｍ），…并存储到未图示的存储部。m是自然数。第三计算部也可以是，如果α₁，α₂，…，α_m的最小公倍数为1，则将γ₁，γ₂，…，γ_m设为整数并计算成为γ₁α₁＋γ₂α₂＋…＋γ_mα_m＝1的γ₁，γ₂，…，γ_m，并使用该γ₁，γ₂，…，γ_m来计算 ${{\mathrm{\&Pi;}}_{i=1}}^m{{\mathrm{\&beta;}}_i}^{\mathrm{\&gamma;}1}{{\mathrm{\&beta;}}_2}^{\mathrm{\&gamma;}2}...{{\mathrm{\&beta;}}_m}^{\mathrm{\&gamma;m}},$ 将该计算结果设为和/或

《成为关于具备误差的样本器的理由》

将Ｒ设为随机数，将能力提供装置232使用进行的计算的计算结果设为即，将第一输出信息计算部22201、第二输出信息计算部22202和第三输出信息计算部23203返回给计算装置的计算结果设为 进而，将在群中取值的概率变量定义为

这时，成为即，成为关于具有误差的样本器。

在上述式展开中，使用并且 的性质。该性质基于R为随机数。

因此，如果考虑为随机数，则同样地，成为关于 具有误差的样本器。

【第十五实施方式】

第十五实施方式的代理计算系统是将上述的第一可随机化样本器和第二可随机化样本器具体化的其他例子。具体地，在本方式中，将设为用于将作为第一密码文的群的元变换为作为群的元的第二密码文的函数。其中，第一密码文是按照第一加密方式ＥＮ通过第一加密密钥对平文进行加密后的密码文，第二密码文 是按照第二加密方式ＥＮ通过第二加密密钥 对平文进行加密后的密码文。第二加密方式ＥＮ是ＥｌＧａｍａｌ密码方式，函数是准同型函数。另外，对第一加密方式ＥＮ没有特别限定，第一加密方式ＥＮ可以是如ＥｌＧａｍａｌ密码方式的概率密码方式，也可以是如ＲSＡ密码方式的确定密码方式。

以下，以与第十二实施方式不同的部分为中心进行说明，对于共同的部分省略重复说明。

如图31所例示，在第十五实施方式的代理计算系统204中，计算装置被置换为计算装置能力提供装置212被置换为能力提供装置242。

如图32所例示，第十五实施方式的计算装置例如具有：自然数存储部自然数选择部整数计算部输入信息提供部第一计算部第一幂乘计算部第一列表存储部第二计算部第二幂乘计算部第二列表存储部判定部最终输出部和控制部如图35所例示，本方式的输入信息提供部例如具有第一随机数生成部第一输入信息计算部第二随机数生成部和第二输入信息计算部

如图33所例示，第十五实施方式的能力提供装置242例如具有第一输出信息计算部24201、第二输出信息计算部24202和控制部21205。

＜处理的前提＞

在第十五实施方式中，群是巡回群的直积群是群的生成元，是群的生成元，第二加密密钥元为 为整数的随机数，值是值是既可以是也可以是如上所述，对第一加密方式ＥＮ没有限定，例如在第一加密方式ＥＮ为ＥｌＧａｍａｌ密码方式的情况下，群成为巡回群的直积群成为整数的随机数，成为群的生成元，成为群的生成元，第一加密密钥成为第一密码文 成为既可以是也可以是

另外，在并且ε为自然数的情况下，Α^ε表示（α₁ ^ε，α₂ ^ε），Α^-ε表示（α₁ ^-ε，α₂ ^-ε），ΑΒ表示（α₁β₁，α₂β₂)。同样地，在ε为自然数、 的情况下，Α^ε表示（α₁ ^ε，α₂ ^ε），Α^-ε表示（α₁ ^-ε，α₂ ^-ε），ΑΒ表示（α₁β₁，α₂β₂）。将设为对赋予巡回群的元的双线型映像。双线型映像的例子是，用于进行Weil配对、Tate配对等的配对运算的函数或算法（参照参考文献2：Alfred.J.Menezes，"ELLIPTICCURVEPUBLICKEYCRYPTOSYSTEMS，"KLUWERACADEMICPUBLISHERS，ISBN0-7923-9368-6，pp.61-81、参考文献3：RFC5091,"Identity-BasedCryptographyStandard(IBCS)#1,"SupersingularCurveImplementationsoftheBFandBB1Cryptosystems等）。

＜处理＞

如图37和图38所例示，在第十五实施方式的处理中，第十二实施方式的步骤S21103～S21105、S21107、S21108、S21110、S21200～S21203分别被置换为步骤S24103～S24105、S24107、S24108、S24110、S24200～S24203。在以下，仅说明步骤S24103～S24105，S24107，S24108，S24110，S24200～S24203的处理。

《步骤S24103的处理》

计算装置（图32）的输入信息提供部生成并输出与所输入的元对应的第一输入信息和第二输入信息（图37／步骤S24103）。以下，使用图40来说明本方式的步骤S24103的处理。

第一随机数生成部（图35）生成群的任意的元 在本方式中，从群随机且普通地选择元（普通随机数）。所生成的元被发送到第一输入信息计算部和第一计算部（步骤S24103a）。

第一输入信息计算部使用在自然数选择部中选择的自然数元元和第一加密密钥作为第一输入信息而计算（步骤S24103ｂ）。

第二随机数生成部生成群的任意的元在本方式中，从群随机且普通地选择元（普通随机数）。所生成的元被发送到第二输入信息计算部和第二计算部（步骤S24103c）。

第二输入信息计算部使用在自然数选择部中选择的自然数元元和第一加密密钥作为第二输入信息而计算（步骤S24103d）。

第一输入信息计算部输出如上生成的第一输入信息 第二输入信息计算部输出如上生成的第二输入信息（步骤S24103ｅ）。

《步骤S24200～S24203的处理》

如图38所例示，首先，第一输入信息 输入到能力提供装置242（图33）的第一输出信息计算部24201，第二输入信息输入到第二输出信息计算部24202（步骤S24200）。

第一输出信息计算部24201使用第一输入信息 和与第一加密密钥对应的第一解码密钥和第二加密密钥以大于某一概率的概率准确地计算 将计算结果设为第一输出信息该计算结果即存在准确的情况也存在不准确的情况。即，第一输出信息计算部24201中的计算结果既存在成为的情况，也存在没有成为的情况（步骤S24201）。

其中，本方式的函数是，用于将按照第一加密方式ＥＮ通过第一解码密钥对密码文进行解码而得到的值，按照ＥｌＧａｍａｌ密码方式通过第二加密密钥进行加密的准同型函数。例如，在第一加密方式ＥＮ和第二加密方式ＥＮ都是ＥｌＧａｍａｌ密码方式的情况下，函数是，用于将按照ＥｌＧａｍａｌ密码方式通过第一解码密钥对密码文进行解码而得到的值，按照ＥｌＧａｍａｌ密码方式通过第二加密密钥进行加密的准同型函数。

第二输出信息计算部24202能够使用第二输入信息 和第一解码密钥和第二加密密钥以大于某一概率的概率准确计算将得到的计算结果设为该计算结果即存在准确的情况也存在不准确的情况。即，第二输出信息计算部24202中的计算结果既存在成为 的情况，也存在没有成为 的情况（步骤S24202）。

第一输出信息计算部24201输出第一输出信息第二输出信息计算部24202输出第二输出信息（步骤S24203）。

《步骤S24104和S24105的处理》

返回到图37，第一输出信息输入到计算装置（图32）的第一计算部第二输出信息输入到第二计算部(步骤S24104)。

第一计算部使用所输入的第一输出信息元和第二加密密钥计算并将该计算结果设为（步骤S24105）。计算结果发送到第一幂乘计算部这里，成为即，成为关于具有误差的可随机化样本器的输出。在后面叙述其理由。

《步骤S24108的处理》

第二计算部使用所输入的第二输出信息元和第二加密密钥计算并将该计算结果设为计算结果发送到第二幂乘计算部这里，成为 即， 成为关于具有误差的可随机化样本器的输出。在后面叙述其理由。

《步骤S24107的处理》

判定部在第一列表存储部中存储的组和在第二列表存储部中存储的组中，判定是否存在 和属于对于互相相同的元的类Ｃ的组。本方式的判定部关于和判定是否存在满足关系 的组（步骤S24107）。通过判定和是否满足该关系，从而能够判定和是否属于对于互相相同的元的类Ｃ 对于其理由在后面叙述。

如果在第二列表存储部中没有存储组的情况下，不进行该步骤S24107的处理，进行下一个步骤S21108的处理。在存在属于对于相同的元的类Ｃ的和的组的情况下（存在满足上述的关系和的组的情况），进至步骤S21114。在不存在属于对于相同的元的类Ｃ的和的组的情况下，进至步骤S24108。

《步骤S24110的处理》

判定部在第一列表存储部中存储的组和在第二列表存储部中存储的组中，判定是否存在 和属于对于互相相同的元的类Ｃ的组。本方式的判定部关于和判定是否存在满足关系 的组（步骤S24110）。在存在属于对于相同的元的类Ｃ的和的组的情况下，进至步骤S21114。在不存在属于对于相同的元的类Ｃ的和的组的情况下，进至步骤S21111。

另外，在使用特殊的群或双线型映像的情况下，能够限制使计算装置执行步骤S24107和S24110的处理。在后面叙述其细节。

《 成为关于分别具有误差的可随机化样本器的输出的理由》

如果考虑固定任意的元则关于将元 中的随机数作为概率空间的概率分布成立以下的关系。其中，在以下的关系中，［Ψ₁］＝［Ψ₂］意味着，Ψ₁和Ψ₂作为将随机数ｒ设为概率空间的概率分布而相等。表示用于按照第一加密方式ＥＮ通过第一解码密钥对元进行解码的函数。设为

因此，如果考虑将随机数和群上的普通且随机的元的两方作为概率空间，在群中取值的概率变量为 则关于成立以下的关系。

同样，关于成立 的关系。因此， 成为关于分别具有误差的可随机化样本器的输出。

《通过判定是否满足关系 从而能够判定和属于对于互相相同的元的类Ｃ的理由》

假设和属于对于互相相同的元的类Ｃ在该情况下，第一可随机化样本器准确地计算并且第二可随机化样本器准确地计算和为群的单位元的可能性高。因此，并且 的可能性高。其中，和是根据ＥｌＧａｍａｌ密码方式的随机数成分和在自然数选择部中选择的自然数的组决定的值。在该情况下，根据双线型映像的性质，对于 满足如下的关系的可能性高。

对于满足以下的关系的可能性高。

因此，在和属于对于互相相同的元的类Ｃ的情况下，满足关系 的可能性高。

下面，假设和属于对于互相不同的元的类。即，假设属于对于元的类Ｃ属于对于元的类Ｃ则成为并且成为因此，对于 满足 对于满足 因此，在和属于对于互相不同的元的类的情况下，成为关系 的可能性高。

《特殊的群和双线型映像

在如下限定群和双线型映像的结构的情况下，能够限制使计算装置进行步骤S24107和S24110的处理。以下，叙述其细节。

在该特殊的例子中，为质数与质数的合成数，群分别为由在以合成数作为法的剩余环上定义的第一椭圆曲线上的点构成的部分群,为由在以质数作为法的剩余体 上定义的第二椭圆曲线上的点构成的部分群，为由在以质数作为法的剩余体上定义的第三椭圆曲线上的点构成的部分群，为对赋予巡回群的元的双线型映像，为对赋予巡回群的元的第二双线型映像，为对赋予巡回群的元的第三双线型映像，为将第一椭圆曲线上的点映射到第二椭圆曲线上的点和第三椭圆曲线上的点的同型映像，为同型映像的逆像。

在该例子的情况下，双线型映射定义于在剩余环上定义的第一椭圆曲线上。但是，以多项式时间计算在剩余环上定义的椭圆曲线上定义的双线型映像的方法不是已知的，能够以多项式时间计算的在剩余环上定义的椭圆曲线上定义的双线型映像的构成方法也没有已知（参考文献4：AlexanderW.DentandStevenD.Galbraith,"HiddenPairingsandTrapdoorDDHGroups,"ANTS2006,LNCS4076,pp.436-451,2006.）。在如此的设定的情况下，判定部24111无法在剩余环 上直接计算双线型映像而判定是否满足关系

另一方面，作为在剩余体上定义的椭圆曲线上定义的存在能够以多项式时间计算的Weil配对和Tate配对等（参照参考文献2，3等）。作为如此的以多项式时间进行 和的算法，已知Miller算法（参考文献5：V.S.Miller,“ShortProgramsforfunctionsonCurves,”1986，因特网＜http://crypto.stanford.edu/miller/miller.pdf＞」等。进而，也已知用于有效地进行如此的和的椭圆曲线和巡回群的构成方法（例如，参照参考文献3、参考文献6：A.Miyaji,M.Nakabayashi,S.Takano,"NewexplicitconditionsofellipticcurveTracesforFR-Reduction,"IEICETrans.Fundamentals,vol.E84-A,no05,pp.1234-1243,May2001」、参考文献7：P.S.L.M.Barreto,B.Lynn,M.Scott,"Constructingellipticcurveswithprescribedembeddingdegrees,"Proc.SCN'2002,LNCS2576,pp.257-267,Springer-Verlag.2003」、参考文献8：R.Dupont,A.Enge,F.Morain,"BuildingcurveswitharbitrarysmallMOVdegreeoverfiniteprimefields,"http://eprint.iacr.org/2002/094/等）。

基于中国人的剩余定理（Chineseremaindertheorem），已知存在从以合成数作为法的剩余环映射到剩余体和剩余体的直积的同型映像，并且存在从剩余体和剩余体 的直积映射到剩余环的同型映像（参考文献9：ヨハネスブーフマン，”暗号理論入門”，シュプリンガー·フェアラーク東京(2001/07)，ISBN-10:4431708669ISBN-13，pp.52-56）。即，存在将第一椭圆曲线上的点映射到第二椭圆曲线上的点和第三椭圆曲线上的点的同型映像及其逆像若举一例，能够将把剩余环Ｚ的元κｍｏｄ映射到剩余体的元κｍｏｄ和剩余体的元κｍｏｄ的同型映像设为将把剩余体的元κ_ωｍｏｄ和剩余体的元κ_ιｍｏｄ映射到剩余环的元ｍｏｄ的映像设为其中，和是满足的自然数。使用扩展欧几里得的互除法，能够容易地生成如此的根据 的关系，将作用到ｍｏｄＮ，则成为

ｍｏｄｍｏｄｍｏｄ ｍｏｄ

ｍｏｄｍｏｄｍｏｄｍｏｄ

，可知在该一例中的映像处于和的关系。

因此，若赋予将合成数质因素分解后的值即质数和质数的值，则判定部24111通过以下的步骤Ａ～Ｄ的处理，能够计算在剩余环上定义的第一椭圆曲线上的双线型映像

（步骤Ａ）判定部24111使用同型映像将在剩余环上定义的第一椭圆曲线上的点映射到在剩余体上定义的第二椭圆曲线上的点和在剩余体上定义的第三椭圆曲线上的点

（步骤B）判定部24111使用同型映像将在剩余环上定义的第一椭圆曲线上的点映射到在剩余体上定义的第二椭圆曲线上的点和在剩余体Ｚ上定义的第三椭圆曲线上的点

（步骤Ｃ）判定部24111求在第二椭圆曲线和第三椭圆曲线中的和

（步骤Ｄ）判定部24111将对所得到的运算结果和作用了逆像后的值设为

因此，如果赋予了质数和质数的值，则判定部24111能够按照步骤Ａ～Ｄ来计算 判定是否满足关系

另一方面，以多项式时间进行大的合成数的质因数分解的方法不是已知的。因此，在该设定的情况下，在没有赋予质数和质数的至少一方的判定部24111无法判定是否满足关系

在使用了如上的特殊的群和双线型映像的情况下，能够将使计算装置执行步骤S24107和S24110的处理者限制于知道质数和质数的至少一方者。

【第十六实施方式】

第十六实施方式的代理计算系统是将上述的第一可随机化样本器和第二可随机化样本器具体化的其他例子。具体地，对为群的直积群群为巡回群、函数为ＥｌＧａｍａｌ密码的解码函数即对于作为密码文的元和解码密钥为 的情况下的第一可随机化样本器和第二可随机化样本器的例子进行了具体化。以下，以与第十二实施方式不同的部分为中心进行说明，对于共同的部分省略重复说明。

如图31所例示，在第十六实施方式的代理计算系统205中，计算装置被置换为计算装置能力提供装置212被置换为能力提供装置252。

如图32所例示，第十六实施方式的计算装置例如具有：自然数存储部自然数选择部整数计算部输入信息提供部第一计算部第一幂乘计算部第一列表存储部第二计算部第二幂乘计算部第二列表存储部判定部最终输出部和控制部如图36所例示，本方式的输入信息提供部例如具有第四随机数生成部第五随机数生成部第一输入信息计算部第六随机数生成部第七随机数生成部 和第二输入信息计算部第一输入信息计算部例如具有第四输入信息计算部和第五输入信息计算部第二输入信息计算部具有第六输入信息计算部和第七输入信息计算部

如图33所例示，第十六实施方式的能力提供装置252例如具有第一输出信息计算部25201、第二输出信息计算部25202和控制部21205。

＜处理＞

下面，说明本方式的处理。在第十六实施方式中，群元 为准同型函数，将群的生成元设为将群的位数设为对计算装置和能力提供装置252事先设定对于相同的解码密钥的密码文和对该密码文进行了解码后的解码文的组，计算装置 和能力提供装置252能够利用该组。

如图37和38所例示，在第十六实施方式的处理中，第十二实施方式的步骤S21103～S21105、S21108、S21200～S21203分别被置换为步骤S25103～S25105、S25108、S25200～S25203。在以下，仅说明步骤S25103～S25105，S25108，S25200～S25203的处理。

《步骤S25103的处理》

计算装置（图32）的输入信息提供部生成并输出与所输入的元对应的第一输入信息和与元 对应的第二输入信息（图37／步骤S25103）。以下，使用图41来说明本方式的步骤S25103的处理。

第四随机数生成部（图36）生成0以上且小于的自然数的普通随机数所生成的随机数被发送到第四输入信息计算部第五输入信息计算部和第一计算部（步骤S25103a）。第五随机数生成部生成0以上且小于的自然数的普通随机数所生成的随机数被发送到第五输入信息计算部和第一计算部（步骤S25103b）。

第四输入信息计算部使用在自然数选择部中选择的自然数元所包含的和随机数计算第四输入信息（步骤S25103ｃ）。第五输入信息计算部使用在自然数选择部中选择的自然数元所包含的和随机数计算第五输入信息（步骤S25103d）。

第六随机数生成部生成0以上且小于的自然数的普通随机数所生成的随机数被发送到第六输入信息计算部第七输入信息计算部和第二计算部（步骤S25103e）。第七随机数生成部生成0以上且小于的自然数的普通随机数 所生成的随机数被发送到第七输入信息计算部和第二计算部（步骤S25103f）。

第六输入信息计算部使用在自然数选择部中选择的自然数元所包含的和随机数计算第六输入信息（步骤S25103g）。第七输入信息计算部使用在自然数选择部中选择的自然数元所包含的和随机数计算第七输入信息（步骤S25103h）。

第一输入信息计算部将如上生成的第四输入信息 和第五输入信息作为第一输入信息 而进行输出。第二输入信息计算部将如上生成的第六输入信息和第七输入信息作为第二输入信息而进行输出（步骤S25103ｉ）。

《步骤S25200～S25203的处理》

如图38所例示，首先，第一输入信息 输入到能力提供装置252（图33）的第一输出信息计算部25201，第二输入信息输入到第二输出信息计算部25202（步骤S25200）。

第一输出信息计算部25201使用第一输入信息 和解码密钥以大于某一概率的概率准确地计算并将计算结果设为第一输出信息该计算结果即存在准确的情况也存在不准确的情况。即，在第一输出信息计算部25201中的计算结果既存在成为 的情况，也存在没有成为的情况（步骤S25201）。

第二输出信息计算部25202使用第二输入信息 和解码密钥以大于某一概率的概率准确地计算并将得到的计算结果设为第二输出信息该计算结果即存在准确的情况也存在不准确的情况。即，在第二输出信息计算部25202中的计算结果既存在成为 的情况，也存在没有成为 的情况（步骤S25202）。

第一输出信息计算部25201输出第一输出信息第二输出信息计算部25202输出第二输出信息（步骤S25203）。

《步骤S25104和S25105的处理》

返回到图37，第一输出信息输入到计算装置（图32）的第一计算部第二输出信息输入到第二计算部(步骤S25104)。

第一计算部使用所输入的第一输出信息和随机数 计算并将该计算结果设为（步骤S25105）。计算结果发送到第一幂乘计算部这里，成为 即，成为关于 具有误差的可随机化样本器的输出。在后面叙述其理由。

《步骤S25108的处理》

第二计算部使用所输入的第二输出信息和随机数 计算并将该计算结果设为计算结果发送到第二幂乘计算部这里，成为 即，成为关于具有误差的可随机化样本器的输出。在后面叙述其理由。

《成为关于分别具有误差的可随机化样本器的输出的理由》

将ｃ设为自然数，将Ｒ₁、Ｒ₂、Ｒ₁’和Ｒ₂’设为随机数，将能力提供装置252使用和进行的计算的计算结果设为 即，将第一输出信息计算部25201和第二输出信息计算部25202返回给计算装置的计算结果设为 进而，将在群中取值的概率变量定义为

这时，成为 即，成为关于具有误差的可随机化样本器的输出。其中，是群的单位元。

在上述式展开中，使用 并且的性质。该性质基于Ｒ₁、Ｒ₂、Ｒ₁’和Ｒ₂’是随机数。

因此，如果考虑为自然数， 和为随机数，则同样地， 成为关于分别具有误差的可随机化样本器的输出。

【第十七实施方式】

第十七实施方式的代理计算系统是将上述的第一可随机化样本器和第二可随机化样本器具体化的其他例子。具体地，对在群为巡回群 的直积群巡回群的生成元为巡回群的生成元为 为将巡回群的元和巡回群的元的组映射到巡回群的元的双准同型映象（homomorphism）、巡回群的元为巡回群的元和巡回群的元的组、并且的情况下的第一可随机化样本器和第二可随机化样本器的例子进行了具体化。双准同型映象的例子，存在用于进行Weil配对和tate配对等的配对运算的函数和算法。以下，以与第十二实施方式不同的部分为中心进行说明，对于共同的部分省略重复说明。

如图31所例示，在第十七实施方式的代理计算系统207中，计算装置被置换为计算装置能力提供装置212被置换为能力提供装置272。

如图32所例示，第十七实施方式的计算装置例如具有：自然数存储部自然数选择部整数计算部输入信息提供部第一计算部第一幂乘计算部第一列表存储部第二计算部第二幂乘计算部第二列表存储部判定部最终输出部和控制部如图42所例示，本方式的输入信息提供部例如具有第一随机数生成部第二随机数生成部第一输入信息计算部和第二输入信息计算部

如图33所例示，第十七实施方式的能力提供装置272例如具有第一输出信息计算部27201、第二输出信息计算部27202和控制部21205。

＜处理＞

下面，说明本方式的处理。在第十七实施方式中，群为巡回群 的直积群巡回群的生成元为巡回群的生成元为 为将巡回群的元和巡回群的元的组映射到巡回群的元的双准同型映象、群的元为巡回群的元和巡回群的元的组，且例如，事先计算

如图37和38所例示，在第十七实施方式的处理中，第十二实施方式的步骤S21103～S21105、S21107、S21108、S21110、S21200～S21203分别被置换为步骤S27103～S27105、S27107、S27108、S27110、S27200～S27203。在以下，仅说明步骤S27103～S27105、S27107、S27108、S27110、S27200～S27203的处理。

《步骤S27103的处理》

计算装置（图32）的输入信息提供部生成并输出与所输入的巡回群的元和巡回群的元的组对应的第一输入信息和与对应的第二输入信息（图37／步骤S27103）。以下，使用图43来说明本方式的步骤S27103的处理。

第一随机数生成部（图42）生成0以上2^μ(k)+k以下的自然数的普通随机数 其中，μ（ｋ）表示安全参数ｋ的函数值。所生成的随机数 被发送到第一输入信息计算部和第一计算部（步骤S27103ａ）。

第一输入信息计算部使用在自然数选择部中选择的自然数所输入的值生成元和随机数 作为第一输入信息而计算 和（步骤S27103ｂ～S27103ｄ）。

第二随机数生成部（图42）生成0以上2^μ(k)+k以下的自然数的普通随机数 所生成的随机数 被发送到第二输入信息计算部27104d和第二计算部（步骤S27103e）。

第二输入信息计算部使用在自然数选择部中选择的自然数所输入的值生成元和随机数 作为第二输入信息而计算 和（步骤S27103ｆ～S27103ｈ）。

第一输入信息计算部作为第一输入信息输出 和 第二输入信息计算部作为第二输入信息输出和（步骤S27103i）。

《步骤S27200～S27203的处理》

如图38所例示，对能力提供装置272（图33）的第一输出信息计算部27201输入作为第一输入信息的 和对第二输出信息计算部27202输入作为第二输入信息的 和 (步骤S27200)。

第一输出信息计算部27201使用第一输入信息以大于某一概率的概率准确地计算 和将得到的运算结果 和设为第一输出信息这些计算结果既存在准确的情况也存在不准确的情况（步骤S27201）。

第二输出信息计算部27202使用第二输入信息以大于某一概率的概率准确地计算 和将得到的运算结果 和设为第二输出信息这些计算结果既存在准确的情况也存在不准确的情况（步骤S27202）。第一输出信息计算部27201输出第一输出信息第二输出信息计算部27202输出第二输出信息（步骤S27203）。

《步骤S27104和S27105的处理》

返回到图37，第一输出信息输入到计算装置（图32）的第一计算部第二输出信息输入到第二计算部(步骤S27104)。

第一计算部使用所输入的第一输出信息 和随机数 计算 而得到运算结果（步骤S27105）。计算结果发送到第一幂乘计算部这里，成为即， 成为关于具有误差的可随机化样本器的输出。在后面叙述其理由。

《步骤S27108的处理》

第二计算部使用所输入的第二输出信息 和随机数 计算 而得到运算结果计算结果发送到第二幂乘计算部这里，成为即， 成为关于具有误差的可随机化样本器的输出。在后面叙述其理由。

《步骤S27107、S27110的处理》

在步骤S27107、S27110中，判定部判定是否为如果在步骤S27107中判定为是则进至步骤S21114，否则进至步骤S27108。如果在步骤S27110中判定为是则进至步骤S21114，否则进至步骤S21111。

《 成为关于分别具有误差的可随机化样本器的输出的理由》

根据的双线型性，关于成立以下的关系。

其中，满足

和都统计性地接近不依赖于的概率分布。因此，形成的概率分布统计性地接近于不依赖于的概率分布因此，成为关于具有误差的可随机化样本器的输出。同样，成为关于具有误差的可随机化样本器的输出。

【第十八实施方式】

在上述的各实施方式中，在计算装置的自然数存储部中存储多种互质的2个自然数的组使用这些组来执行各处理。但是，的一方也可以是常数。例如，可以将固定为1，也可以将固定为1。换而言之，第一可随机化样本器或第二可随机化样本器的一方可以置换为样本器。在的一方为常数的情况下，不需要进行对设为常数的或进行选择的处理，各处理部无需被输入设为常数的或能够将其作为常数进行计算。在设为常数的或为1的情况下，能够不使用或作为或而得到

第十八实施方式是这样的变形的一例，是将固定为1、第二可随机化样本器被置换为样本器的方式。以下，以与第十二实施方式的不同点为中心进行说明。第一可随机化样本器和样本器的具体例与在第十三实施方式至第十七实施方式中说明的相同，因此省略说明。

＜结构＞

如图31所例示，在第十八实施方式的代理计算系统206中，第十二实施方式的计算装置被置换为计算装置能力提供装置212被置换为能力提供装置262。

如图44所例示，第十八实施方式的计算装置例如具有：自然数存储部自然数选择部输入信息提供部第一计算部第一幂乘计算部第一列表存储部第二计算部第二列表存储部判定部最终输出部和控制部

如图33所例示，第十八实施方式的能力提供装置262例如具有第一输出信息计算部26201、第二输出信息计算部26202和控制部21205。

＜处理的前提＞

在计算装置的自然数存储部没有存储自然数仅存储多种类的自然数其他的前提与上述的第十二实施方式至第十七实施方式的任何一个相同。

＜处理＞

如图45所例示，首先，计算装置（图44）的自然数选择部随机地从在自然数存储部中存储的多个自然数读入1个自然数所读入的自然数的信息被发送到输入信息提供部和第一幂乘计算部（步骤S26100）。

控制部设为t=1（步骤S21102）。

输入信息提供部生成并输出与所输入的元分别对应的第一输入信息和第二输入信息优选为，第一输入信息和第二输入信息为分别将与元的关系搅乱的信息。由此，计算装置能够对能力提供装置262隐蔽元优选为，本方式的第二输入信息进而对应于由自然数选择部选择的自然数由此，计算装置能够以高精度评价从能力提供装置262提供的计算能力（步骤S26103）。第一输入信息和第二输入信息的组合的具体例子是，第十三实施方式至第十七实施方式的任何一个的设为的第一输入信息和第二输入信息的组合。

如图38所例示，第一输入信息输入到能力提供装置262（图33）的第一输出信息计算部26201，第二输入信息输入到第二输出信息计算部26202（步骤S26200）。

第一输出信息计算部26201使用第一输入信息以大于某一概率的概率准确地计算将得到的计算结果设为第一输出信息（步骤S26201）。第二输出信息计算部26202使用第二输入信息以大于某一概率的概率准确地计算将得到的计算结果设为第二输出信息（步骤S26202）。即，第一输出信息计算部26201和第二输出信息计算部26202能够输出包含有意的或无意的误差的计算结果。换言之，第一输出信息计算部26201的计算结果既有是的情况也有不是的情况，第二输出信息计算部26202的计算结果既有是的情况也有不是的情况。第一输出信息和第二输出信息的组的具体例子是，第十三实施方式至第十七实施方式的任何一个的设为的第一输出信息第二输出信息的组。

第一输出信息计算部26201输出第一输出信息第二输出信息计算部26202输出第二输出信息（步骤S26203）。

返回到图45，第一输出信息输入到计算装置（图44）的第一计算部第二输出信息输入到第二计算部这些第一输出信息和第二输出信息相当于从能力提供装置262对计算装置提供的计算能力（步骤S26104）。

第一计算部根据第一输出信息生成运算结果 运算结果的具体例是，第十三实施方式至第十七实施方式的任何一个的设为的运算结果运算结果发送到第一幂乘计算部（步骤S26105）。

第一幂乘计算部计算计算结果和基于该计算结果计算出的的组被存储到第一列表存储部（步骤S21106）。

第二计算部根据第二输出信息生成运算结果 运算结果的具体例是，第十三实施方式至第十七实施方式的任何一个的运算结果运算结果被存储到第二列表存储部（步骤S26108）。

与第十二实施方式至第十七实施方式的任何一个相同地，判定部26111在第一列表存储部中存储的组和在第二列表存储部中存储的中，判定是否存在和属于对于互相相同的元的类Ｃ的组（步骤S26110）。在存在属于对于相同的元的类Ｃ的和的组的情况下，进至步骤S26114。在不存在属于对于相同的元的类Ｃ的和的组的情况下，进至步骤S21111。

在步骤S21111中，控制部判定是否为t=T（步骤S21111）。Ｔ是预先决定的自然数。如果是ｔ＝Ｔ，则控制部输出无法进行计算的意旨的信息例如为符号“⊥”（步骤S21113），并结束处理。如果不是ｔ＝Ｔ，则控制部将t增加1，即设为ｔ＝ｔ＋1（步骤S21112），返回到步骤S26103。

在步骤S26114中，最终输出部输出与判定为属于对于相同的元的类Ｃ的和的组所包含的对应的（步骤S26114）。如此得到的相当于在第十二实施方式至第十七实施方式中设为时的即，如此得到的以高的概率成为因此，至少重复多次上述的处理，并选择在步骤S26114中得到的值中频度最高的值 则所选择的为的可靠度成为规定值以上。如后所述，根据设定以绝对的概率成为

《关于得到的理由》

下面，说明在本方式的计算装置中得到解码结果的理由。首先，定义在说明中所需的事项。

黑盒子（black-box)：

的黑盒子意味着，将作为输入而输出 的处理部。在本方式中，第一输出信息计算部26201和第二输出信息计算部26202分别相当于函数的黑盒子在对于从群任意选择的元和满足的概率大于δ（0＜δ≦1）的情况下的,即满足

的的黑盒子被成为可靠度δ（δ-reliable）的的黑盒子其中，δ是正的值，相当于上述的“某一概率”。

自身改正器（self-corrector）：

自身改正器Ｃ^F 意味着，将设为输入，使用的黑盒子进行计算而输出ｊ∈Ｇ∪⊥的处理部。在本方式中，计算装置相当于自身改正器Ｃ^F

殆自身改正器（almostself-corrector）：

假定自身改正器Ｃ^F 将作为输入使用可靠度δ的的黑盒子来输出准确的值的概率充分大于输出错误的值的概率的情况。即,假定满足式(16)的情况。

其中，Δ是某一正的值（0＜Δ＜1）。在如此的情况下，自身改正器称为殆自身改正器。例如，对于某一正的值Δ’（0＜Δ’＜1），满足

且

的情况下，自身改正器Ｃ^F 是殆自身改正器。Δ’的例子是Δ’＝1／12或1／3。

强自身改正器（robustself-corrector）：

假定自身改正器Ｃ^F 将作为输入使用可靠度δ的的黑盒子来输出准确的值或ｊ＝⊥的概率为绝对的情况。即，对于能够忽略的误差ξ（0≦ξ＜1），满足

或者

的情况。在如此的情况下，自身改正器称为强自身改正器。另外，能够忽略的误差ξ的例子是，安全参数ｋ的函数值ξ（ｋ）。函数值ξ（ｋ）的例子是，对于任意的多项式ｐ（ｋ）关于充分大的ｋ，｛ξ（ｋ）ｐ（ｋ）｝收敛于0的函数值。函数值ξ（ｋ）的具体例是，ξ（ｋ）＝2^-k或ξ（ｋ）＝2^-√k等。

能够从殆自身改正器构成强自身改正器。即，对于相同的x执行多次殆自身改正器，将除了⊥之外频度最高的输出值设为j，从而能够构成强自身改正器。即，对于相同的x执行Ｏ（ｌｏｇ（1／ξ））次殆自身改正器，将频度最高的输出值设为j，从而能够构成强自身改正器。另外，Ｏ（·）表示O记法。

伪自由的（pseudo-free）的作用：

关于群自然数的集合（是1以上的自然数）、在群中取值的概率变量的各实现值 和对于成为的概率

,将关于所有可能的的上限值称为组的伪自由指标,将其表示为在存在某一能够忽略的函数ζ（ｋ）,且

的情况下,通过组定义的运算是伪自由的作用。其中,意味着,对作用次在群中定义的运算。能够忽略的函数ξ（ｋ）的例子是，对于任意的多项式ｐ（ｋ）关于充分大的ｋ，｛ξ（ｋ）ｐ（ｋ）｝收敛于0的函数。函数ξ（ｋ）的具体例是，ξ（ｋ）＝2^-k或ξ（ｋ）＝2^-√k等。例如，对于安全参数k，式（18）的概率小于Ｏ（2^-k）的情况下，通过组 定义的运算是伪自由的作用。例如,关于任意的集合的元素数超过2^ｋ的情况下，通过组定义的运算能够称为伪自由的作用。其中， 表示对和作用规定的运算的结果。这样的具体例存在很多。例如，在群为以质数ｐ作为法的剩余群质数p为2^k的量级，集合 为并且的情况下，成为 并且由于质数p是2^k的量级，因此存在某一常数C，如果k充分大则满足这里，式（18）的概率小于Ｃ^-12^-k，通过这样的组定义的运算是伪自由的作用。

可靠度δ^γ（δ^γ-reliable）的可随机化样本器：

是在每次提供自然数时使用可靠度δ的的黑盒子对于返回与按照概率变量的样本对应的的可随机化样本器，将的概率大于δ^γ（γ为正常数）即满足

的可随机化样本器成为可靠度δ^γ的可随机化样本器。本方式的输入信息提供部和第二输出信息计算部26202和第二计算部的组是关于可靠度为δ^γ的可随机化样本器。

下面，使用这些定义，说明在本方式的计算装置中得到的理由。

在本方式的步骤S26110中，判定是否存在属于对于相同的元的类的和的组，即判定是否存在属于对于相同的元的类的和的组。本方式的输入信息提供部和第二输出信息计算部26202和第二计算部的组是可靠度δ^γ的可随机化样本器（式（20）），如果将Ｔ设为大于根据ｋ、δ、γ决定的固定值的值，则产生渐进地以大的概率和属于对于相同的元的类Ｃ（在步骤S26110中成为“是”）的情况。例如，如果设为Ｔ≧4／δ^γ，则根据Ｍａｒｋｏｖ不等式可知，和属于对于相同的元的类（在步骤S26110中成为“是”）的概率大于1／2。

在本方式中，且因此如果函数是对于元的单映射函数，则在步骤S26110中判定为“是”的情况下满足成立即使函数不是对于元的单映射函数，如果是准同型函数，则在步骤S26110中判定为“是”的情况下成立

在成立时，存在的情况和的情况。在的情况下，成为因此在步骤S26114中输出的成为准确的另一方面，在的情况下，成为因此在步骤S26114中输出的不是准确的

通过群和自然数所属的集合的组定义的运算为伪自由的作用、或者关于伪自由指标而Ｔ² 渐近小的情况下，在时的概率（式（18））渐近小。因此，在时的概率渐近大。因此，通过组定义的运算为伪自由的作用、或者Ｔ² 渐近小的情况下，在和属于对于相同的元的类Ｃ时输出错误的的概率充分小于在和属于对于相同的元的类Ｃ时输出准确的的概率。这时的计算装置也可以称为殆自身改正器（参考式（16））。因此，如上所述，从计算装置能够构成强自身改正器，能够以绝对的概率得到准确的在中定义的运算为伪自由的作用的情况下，也能够忽略在和属于对于相同的元的类Ｃ时输出错误的的概率。这时的计算装置以绝对的概率输出准确的或者⊥。

另外，对任意的常数ρ决定ｋ₀，对该ｋ₀关于满足ｋ₀＜ｋ’的任意的ｋ’的函数值η（ｋ’）小于ρ的情况下，称为「η（ｋ’）渐近小」。k'的例子是安全参数k。对任意的常数ρ决定ｋ₀，对该ｋ₀关于满足ｋ₀＜ｋ’的任意的ｋ’的函数值1-η（ｋ’）小于ρ的情况下，称为「η（ｋ’）渐近大」。

如果将置换为则可知，上述的证明也成为在第十二实施方式中叙述的“如果和属于对于互相相同的元的类Ｃ则第一可随机化样本器准确地计算且第二可随机化样本器准确地计算和是群的单位元的可能性高”的证明。

《关于可靠度δ^γ的可随机化样本器和安全性》

假定如下的攻击。

·黑盒子或者该部分有意地输出不准确的或者从黑盒子 输出的值被改变为不准确的

·从可随机化样本器输出与不准确的对应的

·与不准确的对应的增加自身改正器Ｃ^Ｆ 输出错误的值的概率,而与在自身改正器Ｃ^Ｆ 中判定为和属于对于相同的元的类Ｃ（在步骤S26110中成为“是”）无关。

在对于所提供的自然数从可随机化样本器输出的的误差的概率分布依赖于自然数的情况下，这样的攻击成为可能。例如，在进行了如从第二计算部输出的成为 的不准确的情况下，与的值无关地，必然成立 并判定为和属于对于相同的元的类Ｃ因此，期望在对于所提供的自然数从可随机化样本器输出的的误差的概率分布不依赖于该自然数

或者，期望是如下的可随机化样本器：对于集合的任何元 存在无法与的误差的概率分布区分的在群中取值的概率分布D（概率分布Ｄ_a与概率分布Ｄ统计近似（statistically-close））。其中，概率分布D不依赖于自然数无法区分概率分布Ｄ_a与概率分布Ｄ意味着，无法通过多项式时间算法来区分概率分布Ｄ_a与概率分布Ｄ，例如对于可忽视的ζ（0≦ζ＜1）满足

Σ_ｇ∈G｜Ｐｒ［ｇ∈Ｄ］－Ｐｒ［ｇ∈Ｄ_a］｜＜ζ…(21)

，则无法通过多项式时间算法来区分概率分布Ｄ_a与概率分布Ｄ。能够忽略的ζ的例子是，安全参数ｋ的函数值ζ（ｋ）。函数值ζ（ｋ）的例子是，对于任意的多项式ｐ（ｋ）关于充分大的ｋ，｛ζ（ｋ）ｐ（ｋ）｝收敛于0的函数值。函数值ζ（ｋ）的具体例是，ζ（ｋ）＝2^-k或ζ（ｋ）＝2^-√k等。这些点对于使用自然数和的第十二实施方式至第十七实施方式也相同。

【第十二实施方式至第十八实施方式的变形例】

在第十二实施方式至第十八实施方式的变形例中，虽然没有保障能力提供装置总是进行正当的计算，但是如果能力提供装置以大于某一概率的概率准确地计算和则在各个计算装置中得到的值 以高的概率成为因此，各个计算装置能够不执行认证处理而使能力提供装置执行计算，使用该计算结果来得到正当的计算结果（例如为密码文的解码结果）。

本发明不限定于上述的实施方式。例如，概率变量和可以相同也可以不同。

各个随机数生成部生成普通随机数，从而代理计算系统的安全性变得最高。但是，所要求的安全性的等级没有那么高的情况下，随机数生成部的至少一部分也可以生成不是普通随机数的随机数。从运算效率的观点出发，期望如上述的各实施方式那样所选择的自然数的随机数为0以上小于的自然数或者0以上2^μ(k)+k以下的自然数，但也可以取而代之选择以上的自然数或大于2^μ(k)+k的自然数的随机数。在这里，μ是k的函数。例如，能够将μ设为作为群的元的比特列的长度。

在计算装置对能力提供装置每次提供与相同的对应的第一输入信息和第二输入信息时，能力提供装置的处理也可以执行多次。由此，在计算装置对能力提供装置每提供一次第一输入信息和第二输入信息时，计算装置能够得到多个第一输出信息和第二输出信息和第三输出信息由此，能够减少计算装置与能力提供装置之间的交换次数和通信量。

也可以是，计算装置对能力提供装置汇总提供多种第一输入信息和第二输入信息汇总得到多个所对应的第一输出信息和第二输出信息 和第三输出信息由此，能够减少计算装置与能力提供装置之间的交换次数。

计算装置的各部之间的数据的交换可以直接进行，也可以经由未图示的存储部进行。同样地，能力提供装置的各部之间的数据的交换可以直接进行，也可以经由未图示的存储部进行。

也可以是，确认在各实施方式的第一计算部和第二计算部中得到的和是否为群的元，在是群的元的情况下，继续执行上述的处理，在或不是群的元的情况下，输出无法进行计算的意旨的信息例如为符号“⊥”。

此外，例如，上述的各种处理不仅可以按照记载以时间序列执行，也可以根据执行处理的装置的处理能力或者根据需要并行地或单独地执行。此外，在不脱离本发明的宗旨的范围内能够进行适当变更是不言而喻的。

在通过计算机实现上述的结构的情况下，通过程序来记述各装置应具有的功能的处理内容。然后，通过由计算机执行该程序，从而在计算机上实现上述处理功能。记述了该处理内容的程序能够存储到计算机可读取的存储介质。计算机可读取的存储介质的例子是，非临时的（non-transitory）的存储介质。这样的存储介质的例子是，磁存储装置、光盘、光磁存储介质、半导体存储器等。

该程序的流通例如通过对存储了该程序的ＤＶＤ、ＣＤ－ＲＯＭ等可移动性存储介质进行销售、转让、出借等来进行。进而，也可以将该程序存储到服务器计算机的存储装置，经由网络从服务器计算机将该程序转发到其他的计算机，从而使该程序流通。

执行如此的程序的计算机例如，首先将存储在可移动型存储介质的程序或者从服务器计算机转发的程序临时存储到自身的存储装置。然后，在执行处理时，该计算机读取在自身的存储装置中存储的程序，执行按照所读取的程序的处理。作为该程序的其他的执行方式，也可以由计算机直接从可移动型存储介质读取程序，执行按照该程序的处理，进而也可以每次从服务器计算机在对该计算机转发程序时，依次执行按照所接受的程序的处理。也可以是，不从服务器计算机对该计算机转发程序，根据通过仅获得该执行指示和结果取得而执行处理功能的所谓的ＡSＰ（ApplicationServiceProvider）型的服务，执行上述的处理。另外，在本方式的程序中，用于电子计算机的处理的信息且遵循程序的数据（虽然不是对于计算机的直接的指令但是具有规定计算机的处理的性质的数据等）。

在上述的实施方式中，通过在计算机上执行规定的程序从而构成了本装置，但也可以以硬件实现这些处理内容的至少一部分。

本申请要求基于日本专利申请号2010-239342，2011-5899，2011-88002，2011-77779的优先权，将所有的内容通过参考编入到这里（ThisapplicationisbaseduponandclaimspriorityofJapanesePatentApplicationNo.2010-239342，2011-5899，2011-88002，2011-77779,theentirecontentsofwhichareincorporatedbyreferenceherein.）

【产业上的可利用性】

如上所述，各实施方式的计算装置即使处于能力提供装置不一定执行准确的处理的情况，也能够使用从能力提供装置提供的计算能力来得到准确的计算结果。因此，计算装置无需执行用于确认能力提供装置的正当性的认证处理。此外，在多个计算装置共用能力提供装置的情况下，计算装置也能够得到准确的计算结果。

如此的代理计算系统例如能够利用于基于自愿的分散计算、基于Ｐ2Ｐ的计算服务、将对于广告的报酬作为代价的计算服务、作为网络服务或公共基础提供的计算服务、以程序库的方式提供许可的计算包向网络服务的置换等。

【标号说明】

1～5，101～105，201～207代理计算系统

11～61，111～151，211～271计算装置

12～62，112～152，212～272能力提供装置

Claims (114)

1.一种代理计算系统，具有计算装置和能力提供装置，其中，

G、H为群，f(x)为用于将作为所述群H的元的密码文x通过特定的解码密钥进行解码而得到所述群G的元的解码函数，X₁、X₂为在所述群G中取值的概率变量，x₁为概率变量X₁的实现值，x₂为概率变量X₂的实现值，a、b为互质的自然数，

所述计算装置包括：

输入信息提供部，输出与所述密码文x对应的作为所述群H的元的第一输入信息τ₁和第二输入信息τ₂，

所述能力提供装置包括：

第一输出信息计算部，使用所述第一输入信息τ₁，以大于某一概率的概率准确地计算f(τ₁)，将得到的计算结果设为第一输出信息z₁；以及

第二输出信息计算部，使用所述第二输入信息τ₂，以大于某一概率的概率准确地计算f(τ₂)，将得到的计算结果设为第二输出信息z₂，

所述计算装置还包括：

第一计算部，根据所述第一输出信息z₁来生成计算结果u＝f(x)^bx₁；

第二计算部，根据所述第二输出信息z₂来生成计算结果v＝f(x)^ax₂；以及

最终输出部，在所述计算结果u和v满足u^a＝v^b的情况下，输出关于满足a’a+b’b＝1的整数a’、b’的u^b’v^a’。

2.如权利要求1所述的代理计算系统，其中，

所述计算装置包括用于选择所述自然数a、b的至少一方的自然数选择部，

所述第一输入信息τ₁进而对应于所述自然数b，所述第二输入信息τ₂进而对应于所述自然数a。

3.如权利要求2所述的代理计算系统，其中，

所述输入信息提供部将搅乱了与所述密码文x的关系的信息设为所述第一输入信息τ₁和所述第二输入信息τ₂。

4.如权利要求1所述的代理计算系统，其中，

所述输入信息提供部将搅乱了与所述密码文x的关系的信息设为所述第一输入信息τ₁和所述第二输入信息τ₂。

5.如权利要求1至4的任一项所述的代理计算系统，

所述解码函数f(x)为准同型函数，所述群H为巡回群，所述巡回群H的生成元为μ_h，所述巡回群H的位数为K_H，且ν＝f(μ_h)，

所述输入信息提供部包括：

第一随机数生成部，生成0以上的自然数的随机数r₁；

第一输入信息计算部，作为所述第一输入信息τ₁计算μ_h ^r1x^b；

第二随机数生成部，生成0以上的自然数的随机数r₂；以及

第二输入信息计算部，作为所述第二输入信息τ₂计算μ_h ^r2x^a，

所述第一输出信息计算部使用所述第一输入信息μ_h ^r1x^b，以大于某一概率的概率准确地计算f(μ_h ^r1x^b)，将得到的计算结果设为所述第一输出信息z₁，

所述第二输出信息计算部使用所述第二输入信息μ_h ^r2x^a，以大于某一概率的概率准确地计算f(μ_h ^r2x^a)，将得到的计算结果设为第二输出信息z₂，

所述第一计算部计算z₁ν^-r1而得到所述计算结果u，

所述第二计算部计算z₂ν^-r2而得到所述计算结果v。

6.如权利要求5所述的代理计算系统，其中，

所述第一随机数生成部在b≠1时生成所述随机数r₁，

所述第一输入信息计算部在b≠1时作为所述第一输入信息τ₁计算所述μ_h ^r1x^b，

所述第一输出信息计算部将在b≠1时使用所述第一输入信息μ_h ^r1x^b而得到的所述计算结果设为所述第一输出信息z₁，

所述第一计算部在b≠1时计算z₁ν^-r1而得到所述计算结果u，

所述第二随机数生成部在a≠1时生成所述随机数r₂，

所述第二输入信息计算部在a≠1时作为所述第二输入信息τ₂计算μ_h ^r2x^a，

所述第二输出信息计算部将在a≠1时使用所述第二输入信息μ_h ^r2x^a而得到的所述计算结果设为第二输出信息z₂，

所述第二计算部在a≠1时计算z₂ν^-r2而得到所述计算结果v，

所述输入信息提供部包括：

第三随机数生成部，生成0以上的自然数的随机数r₃；

第三输入信息计算部，在b＝1时将x^r3设为所述第一输入信息τ₁，在a＝1时将x^r3设为所述第二输入信息τ₂，

所述能力提供装置包括：

第三输出信息计算部，使用所述x^r3，以大于某一概率的概率准确地计算f(x^r3)，并将得到的计算结果设为第三输出信息z₃，

所述能力提供装置包括：

第三计算部，在b＝1时将z₃ ^1/r3设为所述计算结果u，在a＝1时将z₃ ^1/r3设为所述计算结果v。

7.如权利要求1至4的任一项所述的代理计算系统，其中，

所述群H为所述群G的直积群G×G，所述解码函数f(x)为准同型函数，所述群G为巡回群，所述巡回群G的生成元为μ_g，所述巡回群G的位数为K_G，x＝(c₁，c₂)，(V，W)为所述群H的元，且f(V，W)＝Y，

所述输入信息提供部包括：

第四随机数生成部，生成0以上的自然数的随机数r₄；

第五随机数生成部，生成0以上的自然数的随机数r₅；

第一输入信息计算部，作为所述第一输入信息τ₁，计算c₂ ^bW^r4和c₁ ^bV^r4μ_g ^r5；

第六随机数生成部，生成0以上的自然数的随机数r₆；

第七随机数生成部，生成0以上的自然数的随机数r₇；以及

第二输入信息计算部，作为所述第二输入信息τ₂计算c₂ ^aW^r6和c₁ ^aV^r6μg^r7，

所述第一输出信息计算部使用所述第一输入信息c₁ ^bV^r4μ_g ^r5和c₂ ^bW^r4，以大于某一概率的概率准确地计算f(c₁ ^bV^r4μ_g ^r5，c₂ ^bW^r4)，将得到的计算结果设为所述第一输出信息z₁，

所述第二输出信息计算部使用所述第二输入信息c₁ ^aV^r6μ_g ^r7和c₂ ^aW^r6，以大于某一概率的概率准确地计算f(c₁ ^aV^r6μ_g ^r7，c₂ ^aW^r6)，将得到的计算结果设为所述第二输出信息z₂，

所述第一计算部计算z₁Y^-r4μ_g ^-r5而得到所述计算结果u，

所述第二计算部计算z₂Y^-r6μ_g ^-r7而得到所述计算结果v。

8.如权利要求1至4的任一项所述的代理计算系统，其中，

所述计算结果u对于f(x)^b的误差的概率分布不依赖于所述自然数b和/或所述计算结果v对于f(x)^a的误差的概率分布不依赖于所述自然数a，或者，存在无法与所述计算结果u对于f(x)^b的误差的概率分布区分的不依赖于所述自然数b的概率分布和/或存在无法与所述计算结果v对于f(x)^a的误差的概率分布区分的不依赖于所述自然数a的概率分布。

9.如权利要求5所述的代理计算系统，其中，

所述计算结果u对于f(x)^b的误差的概率分布不依赖于所述自然数b和/或所述计算结果v对于f(x)^a的误差的概率分布不依赖于所述自然数a，或者，存在无法与所述计算结果u对于f(x)^b的误差的概率分布区分的不依赖于所述自然数b的概率分布和/或存在无法与所述计算结果v对于f(x)^a的误差的概率分布区分的不依赖于所述自然数a的概率分布。

10.如权利要求7所述的代理计算系统，其中，

所述计算结果u对于f(x)^b的误差的概率分布不依赖于所述自然数b和/或所述计算结果v对于f(x)^a的误差的概率分布不依赖于所述自然数a，或者，存在无法与所述计算结果u对于f(x)^b的误差的概率分布区分的不依赖于所述自然数b的概率分布和/或存在无法与所述计算结果v对于f(x)^a的误差的概率分布区分的不依赖于所述自然数a的概率分布。

11.如权利要求1至4的任一项所述的代理计算系统，其中，

所述自然数a或所述自然数b是常数。

12.如权利要求5所述的代理计算系统，其中，

所述自然数a或所述自然数b是常数。

13.如权利要求7所述的代理计算系统，其中，

所述自然数a或所述自然数b是常数。

14.如权利要求1至4的任一项所述的代理计算系统，还具有：

解码控制装置，

所述解码控制装置包括输出部，该输出部对所述能力提供装置输出用于控制所述计算装置的解码处理的解码控制命令，

所述能力提供装置包括控制部，该控制部按照所述解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息z₁和所述第二输出信息z₂的两方。

15.如权利要求5所述的代理计算系统，还具有：

解码控制装置，

所述解码控制装置包括输出部，该输出部对所述能力提供装置输出用于控制所述计算装置的解码处理的解码控制命令，

所述能力提供装置包括控制部，该控制部按照所述解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息z₁和所述第二输出信息z₂的两方。

16.如权利要求7所述的代理计算系统，还具有：

解码控制装置，

所述解码控制装置包括输出部，该输出部对所述能力提供装置输出用于控制所述计算装置的解码处理的解码控制命令，

所述能力提供装置包括控制部，该控制部按照所述解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息z₁和所述第二输出信息z₂的两方。

17.如权利要求1所述的代理计算系统，还具有：

解码控制装置，

G_ι、H_ι为群，ω为2以上的整数，ι＝1，···，ω，f_ι(λ_ι)为用于将作为所述群H_ι的元的密码文λ_ι通过特定的解码密钥s_ι进行解码而得到所述群G_ι的元的解码函数，X_ι,1、X_ι,2为在所述群G_ι中取值的概率变量，x_ι,1为概率变量X_ι,1的实现值，x_ι,2为概率变量X_ι,2的实现值，a(ι)、b(ι)为互质的自然数，所述群G为群G₁，所述群H为群H₁，所述密码文x为密码文λ₁，所述解码函数f(x)为解码函数f₁(λ₁)，所述概率变量X₁为概率变量X_1,1，所述概率变量X₂为概率变量X_1,2，所述实现值x₁为实现值x_1,1，所述实现值x₂为实现值x_1,2，所述自然数a为自然数a(1)，所述自然数b为自然数b(1)，

所述计算装置包括：

输入信息提供部，输出与所述密码文λ_ι对应的作为所述群H_ι的元的第一输入信息τ_ι,1和第二输入信息τ_ι,2，

所述能力提供装置包括：

第一输出信息计算部，使用所述第一输入信息τ_ι,1，以大于某一概率的概率准确地计算f_ι(τ_ι,1)，将得到的计算结果作为第一输出信息z_ι,1而输出；以及

第二输出信息计算部，使用所述第二输入信息τ_ι,2，以大于某一概率的概率准确地计算f_ι(τ_ι,2)，将得到的计算结果作为第二输出信息z_ι,2而输出，

所述第一计算部根据所述第一输出信息z_ι,1来生成运算结果u_ι＝f_ι(λ_ι)^b(ι)x_ι,1，

所述第二计算部根据所述第二输出信息z_ι,2来生成运算结果v_ι＝f_ι(λ_ι)^a(ι)x_ι,2，

所述最终输出部在所述运算结果u_ι和v_ι满足u_ι ^a(ι)＝v_ι ^b(ι)的情况下，输出关于满足a’(ι)a(ι)+b’(ι)b(ι)＝1的整数a’(ι)、b’(ι)的u_ι ^b’(ι)v_ι ^a’(ι)，

所述解码控制装置包括输出部，该输出部对所述能力提供装置输出用于控制所述计算装置的解码处理的解码控制命令，

所述能力提供装置还包括控制部，该控制部按照所述解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息z_ι,1和所述第二输出信息z_ι,2的两方。

18.如权利要求17所述的代理计算系统，其中，

所述解码控制命令对应于其中一个所述解码函数f_ι，

所述控制部控制与对应于所述解码控制命令的所述解码函数f_ι对应的所述第一输出信息z_ι,1和所述第二输出信息z_ι,2的两方的输出的有无。

19.如权利要求17所述的代理计算系统，其中，

所述计算装置还包括：

复元部，使用从所述最终输出部输出的关于各ι＝1，···，ω的u_ι ^b’(ι)v_ι ^a’(ι)，进行用于生成仅在全部得到将关于各ι＝1，···，ω的所述密码文λ_ι通过所述解码密钥s_ι进行解码而得到的解码值的情况下能够复元的复元值。

20.如权利要求18所述的代理计算系统，其中，

所述计算装置还包括：

复元部，使用从所述最终输出部输出的关于各ι＝1，···，ω的u_ι ^b’(ι)v_ι ^a’(ι)，进行用于生成仅在全部得到将关于各ι＝1，···，ω的所述密码文λ_ι通过所述解码密钥s_ι进行解码而得到的解码值的情况下能够复元的复元值。

21.如权利要求17至20的任一项所述的代理计算系统，其中，

所述计算装置包括用于选择所述自然数a(ι)、b(ι)的至少一部分的自然数选择部，

所述第一输入信息τ_ι,1进而对应于所述自然数b(ι)，所述第二输入信息τ_ι,2进而对应于所述自然数a(ι)。

22.如权利要求21所述的代理计算系统，其中，

所述输入信息提供部将搅乱了与所述密码文λ_ι的关系的信息设为所述第一输入信息τ_ι,1和所述第二输入信息τ_ι,2。

23.如权利要求17至20的任一项所述的代理计算系统，其中，

所述输入信息提供部将搅乱了与所述密码文λ_ι的关系的信息设为所述第一输入信息τ_ι,1和所述第二输入信息τ_ι,2。

24.如权利要求17至20的任一项所述的代理计算系统，其中，

所述解码函数f_ι为准同型函数，所述群H_ι为巡回群，所述巡回群H_ι的生成元为μ_ι,h，所述巡回群H_ι的位数为K_ι,H，且ν_ι＝f_ι(μ_ι,h)，

所述输入信息提供部包括：

第一随机数生成部，生成0以上的自然数的随机数r(ι，1)；

第一输入信息计算部，作为所述第一输入信息τ_ι,1计算μ_ι,h ^r(ι _, ¹⁾λ_ι ^b(ι)；

第二随机数生成部，生成0以上的自然数的随机数r(ι，2)；以及

第二输入信息计算部，作为所述第二输入信息τ_ι,2计算μ_ι,h ^r(ι,2)λ_ι ^a(ι)，

所述第一输出信息计算部使用所述第一输入信息μ_ι,h ^r(ι _, ¹⁾λ_ι ^b(ι)，以大于某一概率的概率准确地计算f_ι(μ_ι,h ^r(ι,1)λ_ι ^b(ι))，将得到的计算结果设为所述第一输出信息z_ι,1，

所述第二输出信息计算部使用所述第二输入信息μ_ι,h ^r(ι,2)λ_ι ^a(ι)，以大于某一概率的概率准确地计算f_ι(μ_ι,h ^r(ι _, ²⁾λ_ι ^a(ι))，将得到的计算结果设为第二输出信息z_ι,2，

所述第一计算部计算z_ι,1ν_ι ^-r(ι _, ¹⁾而得到所述计算结果u_ι，

所述第二计算部计算z_ι,2ν_ι ^-r(ι _, ²⁾而得到所述计算结果v_ι。

25.如权利要求24所述的代理计算系统，其中，

所述第一随机数生成部在b(ι)≠1时生成所述随机数r(ι，1)，

所述第一输入信息计算部在b(ι)≠1时作为所述第一输入信息τ_ι,1计算所述μ_ι,h ^r(ι _, ¹⁾λ_ι ^b(ι)，

所述第一输出信息计算部将在b(ι)≠1时使用所述第一输入信息μ_ι,h ^r(ι _, ¹⁾λ_ι ^b(ι)而得到的所述计算结果设为所述第一输出信息z_ι,1，

所述第一计算部在b(ι)≠1时计算z_ι,1ν_ι ^-r(ι,1)而得到所述计算结果u_ι，

所述第二随机数生成部在a(ι)≠1时生成所述随机数r(ι，2)，

所述第二输入信息计算部在a(ι)≠1时作为所述第二输入信息τ_ι,2计算所述μ_ι,h ^r(ι,2)λ_ι ^a(ι)，

所述第二输出信息计算部将在a(ι)≠1时使用所述第二输入信息μ_ι,h ^r(ι,2)λ_ι ^a(ι)而得到的所述计算结果设为所述第二输出信息z_ι,2，

所述第二计算部在a(ι)≠1时计算z_ι,2ν_ι ^-r(ι _, ²⁾而得到所述计算结果v_ι，

所述输入信息提供部包括：

第三随机数生成部，生成0以上的自然数的随机数r(ι，3)；

第三输入信息计算部，在b(ι)＝1时将λ_ι ^r(ι _, ³⁾设为所述第一输入信息τ_ι,1，在a(ι)＝1时将λ_ι ^r(ι _, ³⁾设为所述第二输入信息τ_ι,2，

所述能力提供装置包括第三输出信息计算部，该第三输出信息计算部使用所述λ_ι ^r(ι,3)，以大于某一概率的概率准确地计算f_ι(λ_ι ^r(ι,3))，将得到的计算结果设为第三输出信息z_ι,3，

所述计算装置包括第三计算部，该第三计算部在

b(ι)＝1时将z_ι,3 ^1/r(ι _, ³⁾设为所述计算结果u_ι，在a(ι)＝1时将z_ι,3 ^1/r(ι _, ³⁾设为所述计算结果v_ι。

26.如权利要求21所述的代理计算系统，其中，

所述解码函数f_ι为准同型函数，所述群H_ι为巡回群，所述巡回群H_ι的生成元为μ_ι,h，所述巡回群H_ι的位数为K_ι,H，且ν_ι＝f_ι(μ_ι,h)，

所述输入信息提供部包括：

第一随机数生成部，生成0以上的自然数的随机数r(ι，1)；

第一输入信息计算部，作为所述第一输入信息τ_ι,1计算μ_ι,h ^r(ι,1)λ_ι ^b(ι)；

第二随机数生成部，生成0以上的自然数的随机数r(ι，2)；以及

第二输入信息计算部，作为所述第二输入信息τ_ι,2计算μ_ι,h ^r(ι _, ²⁾λ_ι ^a(ι)，

所述第一输出信息计算部使用所述第一输入信息μ_ι,h ^r(ι _, ¹⁾λ_ι ^b(ι)，以大于某一概率的概率准确地计算f_ι(μ_ι,h ^r(ι _, ¹⁾λ_ι ^b(ι))，将得到的计算结果设为所述第一输出信息z_ι,1，

所述第二输出信息计算部使用所述第二输入信息μ_ι,h ^r(ι _, ²⁾λ_ι ^a(ι)，以大于某一概率的概率准确地计算f_ι(μ_ι,h ^r(ι _, ²⁾λ_ι ^a(ι))，将得到的计算结果设为第二输出信息z_ι,2，

所述第一计算部计算z_ι,1ν_ι ^-r(ι,1)而得到所述计算结果u_ι，

所述第二计算部计算z_ι,2ν_ι ^-r(ι,2)而得到所述计算结果v_ι。

27.如权利要求26所述的代理计算系统，其中，

所述第一随机数生成部在b(ι)≠1时生成所述随机数r(ι，1)，

所述第一输入信息计算部在b(ι)≠1时作为所述第一输入信息τ_ι,1计算所述μ_ι,h ^r(ι _, ¹⁾λ_ι ^b(ι)，

所述第一输出信息计算部将在b(ι)≠1时使用所述第一输入信息μ_ι,h ^r(ι _, ¹⁾λ_ι ^b(ι)而得到的所述计算结果设为所述第一输出信息z_ι,1，

所述第一计算部在b(ι)≠1时计算z_ι,1ν_ι ^-r(ι,1)而得到所述计算结果u_ι，

所述第二随机数生成部在a(ι)≠1时生成所述随机数r(ι，2)，

所述第二输入信息计算部在a(ι)≠1时作为所述第二输入信息τ_ι,2计算μ_ι,h ^r(ι _, ²⁾λ_ι ^a(ι)，

所述第二输出信息计算部将在a(ι)≠1时使用所述第二输入信息μ_ι,h ^r(ι _, ²⁾λ_ι ^a(ι)而得到的所述计算结果设为第二输出信息z_ι,2，

所述第二计算部在a(ι)≠1时计算z_ι,2ν_ι ^-r(ι,2)而得到所述计算结果v_ι，

所述输入信息提供部包括：

第三随机数生成部，生成0以上的自然数的随机数r(ι，3)；

第三输入信息计算部，在b(ι)＝1时将λ_ι ^r(ι _, ³⁾设为所述第一输入信息τ_ι,1，在a(ι)＝1时将λ_ι ^r(ι _, ³⁾设为所述第二输入信息τ_ι,2，

所述能力提供装置包括第三输出信息计算部，该第三输出信息计算部使用所述λ_ι ^r(ι _, ³⁾，以大于某一概率的概率准确地计算f_ι(λ_ι ^r(ι _, ³⁾)，将得到的计算结果设为第三输出信息z_ι,3，

所述计算装置包括第三计算部，该第三计算部在

b(ι)＝1时将z_ι,3 ^1/r(ι,3)设为所述计算结果u_ι，在a(ι)＝1时将z_ι,3 ^1/r(ι,3)设为所述计算结果v_ι。

28.如权利要求17至20的任一项所述的代理计算系统，其中，

所述群H_ι为直积群G_ι×G_ι，所述解码函数f_ι为准同型函数，所述群G_ι为巡回群，所述巡回群G_ι的生成元为μ_ι,g，所述巡回群G_ι的位数为K_ι,G，λ_ι＝(c_ι,1，c_ι,2)，(V_ι，W_ι)为所述群H_ι的元，且f_ι(V_ι，W_ι)＝Y_ι，

所述输入信息提供部包括：

第四随机数生成部，生成0以上的自然数的随机数r(ι，4)；

第五随机数生成部，生成0以上的自然数的随机数r(ι，5)；

第一输入信息计算部，作为所述第一输入信息τ_ι,1，计算c_ι,2 ^b(ι)W_ι ^r(ι _, ⁴⁾和c_ι,1 ^b(ι)V_ι ^r(ι _, ⁴⁾μ_ι,g ^r(ι,5)；

第六随机数生成部，生成0以上的自然数的随机数r(ι，6)；

第七随机数生成部，生成0以上的自然数的随机数r(ι，7)；以及

第二输入信息计算部，作为所述第二输入信息τ_ι,2计算c_ι,2 ^a(ι)W_ι ^r(ι _, ⁶⁾和c_ι,1 ^a(ι)V_ι ^r(ι,6)μ_ι,g ^r(ι,7)，

所述第一输出信息计算部使用所述第一输入信息c_ι,1 ^b(ι)V_ι ^r(ι _, ⁴⁾μ_ι,g ^r(ι _, ⁵⁾和c_ι,2 ^b(ι)W_ι ^r(ι,4)，以大于某一概率的概率准确地计算f_ι(c_ι,1 ^b(ι)V_ι ^r(ι,4)μ_ι,g ^r(ι,5)，c_ι,2 ^b(ι)W_ι ^r(ι _, ⁴⁾)，将得到的计算结果设为所述第一输出信息z_ι,1，

所述第二输出信息计算部使用所述第二输入信息c_ι,1 ^a(ι)V_ι ^r(ι,6)μ_ι,g ^r(ι,7)和c_ι,2 ^a(ι)W_ι ^r(ι,6)，以大于某一概率的概率准确地计算f_ι(c_ι,1 ^a(ι)V_ι ^r(ι,6)μ_ι,g ^r(ι,7)，c_ι,2 ^a(ι)W_ι ^r(ι,6))，将得到的计算结果设为所述第二输出信息z_ι,2，

所述第一计算部计算z_ι,1Y_ι ^-r(ι,4)μ_ι,g ^-r(ι,5)而得到所述计算结果u_ι，

所述第二计算部计算z_ι,2Y_ι ^-r(ι,6)μ_ι,g ^-r(ι,7)而得到所述计算结果v_ι。

29.如权利要求21所述的代理计算系统，其中，

所述群H_ι为直积群G_ι×G_ι，所述解码函数f_ι为准同型函数，所述群G_ι为巡回群，所述巡回群G_ι的生成元为μ_ι,g，所述巡回群G_ι的位数为K_ι,G，λ_ι＝(c_ι,1，c_ι,2)，(V_ι，W_ι)为所述群H_ι的元，且f_ι(V_ι，W_ι)＝Y_ι，

所述输入信息提供部包括：

第四随机数生成部，生成0以上的自然数的随机数r(ι，4)；

第五随机数生成部，生成0以上的自然数的随机数r(ι，5)；

第一输入信息计算部，作为所述第一输入信息τ_ι,1，计算c_ι,2 ^b(ι)W_ι ^r(ι _, ⁴⁾和c_ι,1 ^b(ι)V_ι ^r(ι _, ⁴⁾μ_ι,g ^r(ι _, ⁵⁾；

第六随机数生成部，生成0以上的自然数的随机数r(ι，6)；

第七随机数生成部，生成0以上的自然数的随机数r(ι，7)；以及

第二输入信息计算部，作为所述第二输入信息τ_ι,2计算c_ι,2 ^a(ι)W_ι ^r(ι,6)和c_ι,1 ^a(ι)V_ι ^r(ι,6)μ_ι,g ^r(ι,7)，

所述第一输出信息计算部使用所述第一输入信息c_ι,1 ^b(ι)V_ι ^r(ι _, ⁴⁾μ_ι,g ^r(ι _, ⁵⁾和c_ι,2 ^b(ι)W_ι ^r(ι _, ⁴⁾，以大于某一概率的概率准确地计算f_ι(c_ι,1 ^b(ι)V_ι ^r(ι _, ⁴⁾μ_ι,g ^r(ι _, ⁵⁾，c_ι,2 ^b(ι)W_ι ^r(ι _, ⁴⁾)，将得到的计算结果设为所述第一输出信息z_ι,1，

所述第二输出信息计算部使用所述第二输入信息c_ι,1 ^a(ι)V_ι ^r(ι,6)μ_ι,g ^r(ι,7)和c_ι,2 ^a(ι)W_ι ^r(ι,6)，以大于某一概率的概率准确地计算f_ι(c_ι,1 ^a(ι)V_ι ^r(ι,6)μ_ι,g ^r(ι,7)，c_ι,2 ^a(ι)W_ι ^r(ι _, ⁶⁾)，将得到的计算结果设为所述第二输出信息z_ι,2，

所述第一计算部计算z_ι,1Y_ι ^-r(ι,4)μ_ι,g ^-r(ι,5)而得到所述计算结果u_ι，

所述第二计算部计算z_ι,2Y_ι ^-r(ι,6)μ_ι,g ^-r(ι,7)而得到所述计算结果v_ι。

30.如权利要求17至20的任一项所述的代理计算系统，其中，

所述运算结果u_ι对于f_ι(λ_ι)^b(ι)的误差的概率分布不依赖于所述自然数b(ι)和/或所述运算结果v_ι对于f_ι(λ_ι)^a(ι)的误差的概率分布不依赖于所述自然数a(ι)，或者，存在无法与所述运算结果u_ι对于f_ι(λ_ι)^b(ι)的误差的概率分布区分的不依赖于所述自然数b(ι)的概率分布和/或存在无法与所述运算结果v_ι对于f_ι(λ_ι)^a(ι)的误差的概率分布区分的不依赖于所述自然数a(ι)的概率分布。

31.如权利要求24所述的代理计算系统，其中，

所述运算结果u_ι对于f_ι(λ_ι)^b(ι)的误差的概率分布不依赖于所述自然数b(ι)和/或所述运算结果v_ι对于f_ι(λ_ι)^a(ι)的误差的概率分布不依赖于所述自然数a(ι)，或者，存在无法与所述运算结果u_ι对于f_ι(λ_ι)^b(ι)的误差的概率分布区分的不依赖于所述自然数b(ι)的概率分布和/或存在无法与所述运算结果v_ι对于f_ι(λ_ι)^a(ι)的误差的概率分布区分的不依赖于所述自然数a(ι)的概率分布。

32.如权利要求26所述的代理计算系统，其中，

所述运算结果u_ι对于f_ι(λ_ι)^b(ι)的误差的概率分布不依赖于所述自然数b(ι)和/或所述运算结果v_ι对于f_ι(λ_ι)^a(ι)的误差的概率分布不依赖于所述自然数a(ι)，或者，存在无法与所述运算结果u_ι对于f_ι(λ_ι)^b(ι)的误差的概率分布区分的不依赖于所述自然数b(ι)的概率分布和/或存在无法与所述运算结果v_ι对于f_ι(λ_ι)^a(ι)的误差的概率分布区分的不依赖于所述自然数a(ι)的概率分布。

33.如权利要求28所述的代理计算系统，其中，

所述运算结果u_ι对于f_ι(λ_ι)^b(ι)的误差的概率分布不依赖于所述自然数b(ι)和/或所述运算结果v_ι对于f_ι(λ_ι)^a(ι)的误差的概率分布不依赖于所述自然数a(ι)，或者，存在无法与所述运算结果u_ι对于f_ι(λ_ι)^b(ι)的误差的概率分布区分的不依赖于所述自然数b(ι)的概率分布和/或存在无法与所述运算结果v_ι对于f_ι(λ_ι)^a(ι)的误差的概率分布区分的不依赖于所述自然数a(ι)的概率分布。

34.如权利要求29所述的代理计算系统，其中，

所述运算结果u_ι对于f_ι(λ_ι)^b(ι)的误差的概率分布不依赖于所述自然数b(ι)和/或所述运算结果v_ι对于f_ι(λ_ι)^a(ι)的误差的概率分布不依赖于所述自然数a(ι)，或者，存在无法与所述运算结果u_ι对于f_ι(λ_ι)^b(ι)的误差的概率分布区分的不依赖于所述自然数b(ι)的概率分布和/或存在无法与所述运算结果v_ι对于f_ι(λ_ι)^a(ι)的误差的概率分布区分的不依赖于所述自然数a(ι)的概率分布。

35.如权利要求17至20的任一项所述的代理计算系统，其中，

所述自然数a(ι)或所述自然数b(ι)是常数。

36.如权利要求24所述的代理计算系统，其中，

所述自然数a(ι)或所述自然数b(ι)是常数。

37.如权利要求26所述的代理计算系统，其中，

所述自然数a(ι)或所述自然数b(ι)是常数。

38.如权利要求28所述的代理计算系统，其中，

所述自然数a(ι)或所述自然数b(ι)是常数。

39.如权利要求29所述的代理计算系统，其中，

所述自然数a(ι)或所述自然数b(ι)是常数。

40.一种代理计算系统，具有计算装置和能力提供装置，其中，

G_M、H_M为矩阵的集合，f_M(x_M)为用于将作为集合H_M的元的密码文x_M通过特定的解码密钥进行解码而得到集合G_M的元的解码函数，_MX₁、_MX₂为在集合G_M中取值的概率变量，_Mx₁为概率变量_MX₁的实现值，_Mx₂为概率变量_MX₂的实现值，a_M为集合H_M的元，

所述计算装置包括：

输入信息提供部，输出与所述密码文x_M对应的作为集合H_M的元的第一输入信息_Mτ₁和第二输入信息_Mτ₂，

所述能力提供装置包括：

第一输出信息计算部，使用所述第一输入信息_Mτ₁，以大于某一概率的概率准确地计算f_M(_Mτ₁)，将得到的计算结果设为第一输出信息_Mz₁；以及

第二输出信息计算部，使用所述第二输入信息_Mτ₂，以大于某一概率的概率准确地计算f_M(_Mτ₂)，将得到的计算结果设为第二输出信息_Mz₂，

所述计算装置还包括：

第一计算部，根据所述第一输出信息_Mz₁来生成计算结果u_M＝f_M(x_M)+_Mx₁；

第二计算部，根据所述第二输出信息_Mz₂来生成计算结果v_M＝f_M(x_M)a_M+_Mx₂；以及

最终输出部，在所述计算结果u_M和v_M满足u_M·a_M＝v_M的情况下输出u_M。

41.如权利要求40所述的代理计算系统，其中，

所述计算装置包括用于选择所述集合H_M的元a_M的矩阵选择部，

所述第二输入信息_Mτ₂进而对应于所述元a_M。

42.如权利要求41所述的代理计算系统，其中，

所述输入信息提供部将搅乱了与所述密码文x_M的关系的信息设为所述第一输入信息_Mτ₁和所述第二输入信息_Mτ₂。

43.如权利要求40所述的代理计算系统，其中，

所述输入信息提供部将搅乱了与所述密码文x_M的关系的信息设为所述第一输入信息_Mτ₁和所述第二输入信息_Mτ₂。

44.如权利要求40至43的任一项所述的代理计算系统，其中，

κ、ι、q为正整数，·^T为·的转置矩阵，G_M为ι×ι矩阵的集合，H_M为ι×ι矩阵的集合，PK为作为加密密钥的ι×κ矩阵，SK为作为满足PK·SK＝0的ι×ι矩阵的所述解码密钥，CM为κ×ι矩阵，NM为ι×ι矩阵，UM为ι×ι单位矩阵，所述解码函数f_M为SK^-1{SK·x_M·SK^T(modq)}(SK^T)^-1(mod2)，

所述输入信息提供部包括：

第一随机矩阵选择部，随机地选择所述集合G_M的元M_R1；

第二随机矩阵选择部，选择κ×ι的随机的矩阵CM₁₁和CM₁₂；

第一加密部，生成第一密码文C_R1＝PK·CM+2·NM+M_R1(modq)；

第二加密部，生成第二密码文C_UM＝PK·CM+2·NM+UM(modq)；

第一输入信息计算部，作为所述第一输入信息_Mτ₁得到(x_M·C_UM+C_R1)+PK·CM₁₁+2·NM+CM₁₂ ^T·PK^T；

第三随机矩阵选择部，随机地选择所述集合G_M的元M_R2；

第四随机矩阵选择部，选择κ×ι的随机的矩阵CM₂₁和CM₂₂；

第三加密部，生成第三密码文C_R2＝PK·CM+2·NM+M_R2(modq)；

第四加密部，生成第四密码文C_a＝PK·CM+2·NM+a_M(modq)；以及

第二输入信息计算部，作为所述第二输入信息_Mτ₂得到(x_M·C_a+C_R2)+PK·CM₂₁+2·NM+CM₂₂ ^T·PK^T，

所述第一计算部作为所述计算结果u_M生成_Mz₁－M_R1，

所述第二计算部作为所述计算结果v_M生成_Mz₂－M_R2。

45.如权利要求40至43的任一项所述的代理计算系统，还具有：

解码控制装置，

所述解码控制装置包括输出部，该输出部对所述能力提供装置输出用于控制所述计算装置的解码处理的解码控制命令，

所述能力提供装置包括控制部，该控制部按照所述解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息_Mz₁和所述第二输出信息_Mz₂的两方。

46.如权利要求44所述的代理计算系统，还具有：

解码控制装置，

所述解码控制装置包括输出部，该输出部对所述能力提供装置输出用于控制所述计算装置的解码处理的解码控制命令，

所述能力提供装置包括控制部，该控制部按照所述解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息_Mz₁和所述第二输出信息_Mz₂的两方。

47.一种计算装置，用于具有所述计算装置和能力提供装置的代理计算系统，

所述计算装置具有第一计算部、第二计算部和最终输出部，其中，

G、H为群，f(x)为用于将作为所述群H的元的密码文x通过特定的解码密钥进行解码而得到所述群G的元的解码函数，X₁、X₂为在所述群G中取值的概率变量，x₁为概率变量X₁的实现值，x₂为概率变量X₂的实现值，a、b为互质的自然数，τ₁和τ₂为与所述密码文x对应的、所述群H的元τ₁和τ₂，

所述第一计算部获得与由所述能力提供装置以大于某一概率的概率准确地计算f(τ₁)而得到的计算结果对应的计算结果u＝f(x)^bx₁，

所述第二计算部获得与由所述能力提供装置以大于某一概率的概率准确地计算f(τ₂)而得到的计算结果对应的计算结果v＝f(x)^ax₂，

所述最终输出部在所述计算结果u和v满足u^a＝v^b的情况下，输出关于满足a’a+b’b＝1的整数a’，b’的u^b’v^a’。

48.如权利要求47所述的计算装置，还具有：

输入信息提供部，输出与所述密码文x对应的作为所述群H的元的第一输入信息τ₁和第二输入信息τ₂，

所述第一计算部根据以大于某一概率的概率准确地计算f(τ₁)而得到的计算结果即第一输出信息z₁，生成所述计算结果u＝f(x)^bx₁，

所述第二计算部根据以大于某一概率的概率准确地计算f(τ₂)而得到的计算结果即第二输出信息z₂，生成所述计算结果v＝f(x)^ax₂。

49.如权利要求48所述的计算装置，还具有

自然数选择部，选择所述自然数a、b的至少一方，

所述第一输入信息τ₁进而对应于所述自然数b，所述第二输入信息τ₂进而对应于所述自然数a。

50.如权利要求49所述的计算装置，其中，

所述输入信息提供部将搅乱了与所述密码文x的关系的信息设为所述第一输入信息τ₁和所述第二输入信息τ₂。

51.如权利要求48所述的计算装置，其中，

所述输入信息提供部将搅乱了与所述密码文x的关系的信息设为所述第一输入信息τ₁和所述第二输入信息τ₂。

52.如权利要求48至51的任一项所述的计算装置，其中，

所述解码函数f(x)为准同型函数，所述群H为巡回群，所述巡回群H的生成元为μ_h，所述巡回群H的位数为K_H，且ν＝f(μ_h)，

所述输入信息提供部包括：

第一随机数生成部，生成0以上的自然数的随机数r₁；

第一输入信息计算部，作为所述第一输入信息τ₁计算μ_h ^r1x^b；

第二随机数生成部，生成0以上的自然数的随机数r₂；以及

第二输入信息计算部，作为所述第二输入信息τ₂计算μ_h ^r2x^a，

所述第一输出信息z₁是以大于某一概率的概率准确地计算f(μ_h ^r1x^b)而得到的计算结果，

所述第二输出信息z₂是以大于某一概率的概率准确地计算f(μ_h ^r2x^a)而得到的计算结果，

所述计算结果u是z₁ν^-r1，

所述计算结果v是z₂ν^-r2。

53.如权利要求48至51的任一项所述的计算装置，其中，

所述群H为直积群G×G，所述解码函数f(x)为准同型函数，所述群G为巡回群，所述巡回群G的生成元为μ_g，所述巡回群G的位数为K_G，x＝(c₁，c₂)，(V，W)为所述群H的元，且f(V，W)＝Y，

所述输入信息提供部包括：

第四随机数生成部，生成0以上的自然数的随机数r₄；

第五随机数生成部，生成0以上的自然数的随机数r₅；

第一输入信息计算部，作为所述第一输入信息τ₁，计算c₂ ^bW^r4和c₁ ^bV^r4μ_g ^r5；

第六随机数生成部，生成0以上的自然数的随机数r₆；

第七随机数生成部，生成0以上的自然数的随机数r₇；以及

第二输入信息计算部，作为所述第二输入信息τ₂计算c₂ ^aW^r6和c₁ ^aV^r6μ_g ^r7，

所述第一输出信息z₁是以大于某一概率的概率准确地计算f(c₁ ^bV^r4μ_g ^r5，c₂ ^bW^r4)而得到的计算结果，

所述第二输出信息z₂是以大于某一概率的概率准确地计算f(c₁ ^aV^r6μ_g ^r7，c₂ ^aW^r6)而得到的计算结果，

所述计算结果u是z₁Y^-r4μ_g ^-r5，

所述计算结果v是z₂Y^-r6μ_g ^-r7。

54.如权利要求48至51的任一项所述的计算装置，其中，

所述计算结果u对于f(x)^b的误差的概率分布不依赖于所述自然数b和/或所述计算结果v对于f(x)^a的误差的概率分布不依赖于所述自然数a，或者，存在无法与所述计算结果u对于f(x)^b的误差的概率分布区分的不依赖于所述自然数b的概率分布和/或存在无法与所述计算结果v对于f(x)^a的误差的概率分布区分的不依赖于所述自然数a的概率分布。

55.如权利要求52所述的计算装置，其中，

所述计算结果u对于f(x)^b的误差的概率分布不依赖于所述自然数b和/或所述计算结果v对于f(x)^a的误差的概率分布不依赖于所述自然数a，或者，存在无法与所述计算结果u对于f(x)^b的误差的概率分布区分的不依赖于所述自然数b的概率分布和/或存在无法与所述计算结果v对于f(x)^a的误差的概率分布区分的不依赖于所述自然数a的概率分布。

56.如权利要求53所述的计算装置，其中，

所述计算结果u对于f(x)^b的误差的概率分布不依赖于所述自然数b和/或所述计算结果v对于f(x)^a的误差的概率分布不依赖于所述自然数a，或者，存在无法与所述计算结果u对于f(x)^b的误差的概率分布区分的不依赖于所述自然数b的概率分布和/或存在无法与所述计算结果v对于f(x)^a的误差的概率分布区分的不依赖于所述自然数a的概率分布。

57.如权利要求48至51的任一项所述的计算装置，其中，

所述自然数a或所述自然数b是常数。

58.如权利要求52所述的计算装置，其中，

所述自然数a或所述自然数b是常数。

59.如权利要求53所述的计算装置，其中，

所述自然数a或所述自然数b是常数。

60.一种计算装置，用于具有所述计算装置和能力提供装置的代理计算系统，

所述计算装置具有第一计算部、第二计算部和最终输出部，其中，

G_M、H_M为矩阵的集合，f_M(x_M)为用于将作为集合H_M的元的密码文x_M通过特定的解码密钥进行解码而得到集合G_M的元的解码函数，_MX₁、_MX₂为在集合G_M中取值的概率变量，_Mx₁为概率变量_MX₁的实现值，_Mx₂为概率变量_MX₂的实现值，a_M为集合H_M的元，_Mτ₁和_Mτ₂为与所述密码文x_M对应的、群H_M的元_Mτ₁和_Mτ₂，

所述第一计算部获得与由所述能力提供装置以大于某一概率的概率准确地计算f_M(_Mτ₁)而得到的计算结果对应的计算结果u_M＝f_M(x_M)+_Mx₁，

所述第二计算部获得与由所述能力提供装置以大于某一概率的概率准确地计算f_M(_Mτ₂)而得到的计算结果对应的计算结果v_M＝f_M(x_M)a_M+_Mx₂，

所述最终输出部在所述计算结果u_M和v_M满足u_M·a_M＝v_M时输出u_M。

61.如权利要求60所述的计算装置，还包括：

输入信息提供部，输出与所述密码文x_M对应的作为集合H_M的元的第一输入信息_Mτ₁和第二输入信息_Mτ₂，

所述第一计算部根据以大于某一概率的概率准确地计算f_M(_Mτ₁)而得到的计算结果即第一输出信息_Mz₁，生成所述计算结果u_M＝f_M(x_M)+_Mx₁，

所述第二计算部根据以大于某一概率的概率准确地计算f_M(_Mτ₂)而得到的计算结果即第二输出信息_Mz₂，生成所述计算结果v_M＝f_M(x_M)a_M+_Mx₂。

62.如权利要求61所述的计算装置，还具有，

矩阵选择部，选择所述集合H_M的元a_M，

所述第二输入信息_Mτ₂进而对应于所述元a_M。

63.如权利要求62所述的计算装置，其中，

所述输入信息提供部将搅乱了与所述密码文x_M的关系的信息设为所述第一输入信息_Mτ₁和所述第二输入信息_Mτ₂。

64.如权利要求61所述的计算装置，其中，

所述输入信息提供部将搅乱了与所述密码文x_M的关系的信息设为所述第一输入信息_Mτ₁和所述第二输入信息_Mτ₂。

65.如权利要求61至64的任一项所述的计算装置，其中，

κ、ι、q为正整数，·^T为·的转置矩阵，G_M为ι×ι矩阵的集合，H_M为ι×ι矩阵的集合，PK为作为加密密钥的ι×κ矩阵，SK为作为满足PK·SK＝0的ι×ι矩阵的所述解码密钥，CM为κ×ι矩阵，NM为ι×ι矩阵，UM为ι×ι单位矩阵，所述解码函数f_M为SK^-1{SK·x_M·SK^T(modq)}(SK^T)^-1(mod2)，

所述输入信息提供部包括：

第一随机矩阵选择部，随机地选择所述集合G_M的元M_R1；

第二随机矩阵选择部，选择κ×ι的随机的矩阵CM₁₁和CM₁₂；

第一加密部，生成第一密码文C_R1＝PK·CM+2·NM+M_R1(modq)；

第二加密部，生成第二密码文C_UM＝PK·CM+2·NM+UM(modq)；

第一输入信息计算部，作为所述第一输入信息_Mτ₁得到(x_M·C_UM+C_R1)+PK·CM₁₁+2·NM+CM₁₂ ^T·PK^T；

第三随机矩阵选择部，随机地选择所述集合G_M的元M_R2；

第四随机矩阵选择部，选择κ×ι的随机的矩阵CM₂₁和CM₂₂；

第三加密部，生成第三密码文C_R2＝PK·CM+2·NM+M_R2(modq)；

第四加密部，生成第四密码文C_a＝PK·CM+2·NM+a_M(modq)；以及

第二输入信息计算部，作为所述第二输入信息_Mτ₂得到(x_M·C_a+C_R2)+PK·CM₂₁+2·NM+CM₂₂ ^T·PK^T，

所述第一计算部作为所述计算结果u_M生成_Mz₁－M_R1，

所述第二计算部作为所述计算结果v_M生成_Mz₂－M_R2。

66.一种能力提供装置，用于具有计算装置和所述能力提供装置的代理计算系统，所述能力提供装置具有第一输出信息计算部和第二输出信息计算部，其中，

G、H为群，f(x)为用于将作为所述群H的元的密码文x通过特定的解码密钥进行解码而得到所述群G的元的解码函数，X₁、X₂为在所述群G中取值的概率变量，x₁为概率变量X₁的实现值，x₂为概率变量X₂的实现值，a、b为互质的自然数，

所述第一输出信息计算部使用由所述计算装置提供的与所述密码文x对应的作为所述群H的元的第一输入信息τ₁，以大于某一概率的概率准确地计算f(τ₁)，将得到的计算结果设为第一输出信息z₁,并将其提供给所述计算装置，

所述第二输出信息计算部使用由所述计算装置提供的与所述密码文x对应的作为所述群H的元的第二输入信息τ₂，以大于某一概率的概率准确地计算f(τ₂)，将得到的计算结果设为第二输出信息z₂，并将其提供给所述计算装置。

67.如权利要求66所述的能力提供装置，其中，

所述解码函数f(x)为准同型函数，所述群H为巡回群，所述巡回群H的生成元为μ_h，所述巡回群H的位数为K_H，且ν＝f(μ_h)，r₁和r₂为0以上的自然数的随机数，

所述第一输出信息计算部使用所述第一输入信息μ_h ^r1x^b，以大于某一概率的概率准确地计算f(μ_h ^r1x^b)，将得到的计算结果设为所述第一输出信息z₁，

所述第二输出信息计算部使用所述第二输入信息μ_h ^r2x^a，以大于某一概率的概率准确地计算f(μ_h ^r2x^a)，将得到的计算结果设为第二输出信息z₂。

68.如权利要求66所述的能力提供装置，其中，

所述群H为直积群G×G，所述解码函数f(x)为准同型函数，所述群G为巡回群，所述巡回群G的生成元为μ_g，所述巡回群G的位数为K_G，x＝(c₁，c₂)，(V，W)为所述群H的元，且f(V，W)＝Y，r₄、r₅、r₆和r₇为0以上的自然数的随机数，

所述第一输出信息计算部使用所述第一输入信息c₁ ^bV^r4μ_g ^r5和c₂ ^bW^r4，以大于某一概率的概率准确地计算f(c₁ ^bV^r4μ_g ^r5，c₂ ^bW^r4)，将得到的计算结果设为所述第一输出信息z₁，

所述第二输出信息计算部使用所述第二输入信息c₁ ^aV^r6μ_g ^r7和c₂ ^aW^r6，以大于某一概率的概率准确地计算f(c₁ ^aV^r6μ_g ^r7，c₂ ^aW^r6)，将得到的计算结果设为所述第二输出信息z₂。

69.如权利要求66至68的任一项所述的能力提供装置，还具有：

控制部，按照所输入的解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息z₁和所述第二输出信息z₂的两方。

70.如权利要求66所述的能力提供装置，其中，

G_ι、H_ι为群，ω为2以上的整数，ι＝1，···，ω，f_ι(λ_ι)为用于将作为所述群H_ι的元的密码文λ_ι通过特定的解码密钥s_ι进行解码而得到所述群G_ι的元的解码函数，X_ι,1、X_ι,2为在所述群G_ι中取值的概率变量，x_ι,1为概率变量X_ι,1的实现值，x_ι,2为概率变量X_ι,2的实现值，a(ι)、b(ι)为互质的自然数，所述群G为群G₁，所述群H为群H₁，所述密码文x为密码文λ₁，所述解码函数f(x)为解码函数f₁(λ₁)，所述概率变量X₁为概率变量X_1,1，所述概率变量X₂为概率变量X_1,2，所述实现值x₁为实现值x_1,1，所述实现值x₂为实现值x_1,2，所述自然数a为自然数a(1)，所述自然数b为自然数b(1)，

所述第一输出信息计算部使用所述第一输入信息τ_ι,1，以大于某一概率的概率准确地计算f_ι(τ_ι,1)，将得到的计算结果作为第一输出信息z_ι,1而输出，

所述第二输出信息计算部使用所述第二输入信息τ_ι,2，以大于某一概率的概率准确地计算f_ι(τ_ι,2)，将得到的计算结果作为第二输出信息z_ι,2而输出，

该能力提供装置还具有控制部，该控制部按照所输入的解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息z_ι,1和所述第二输出信息z_ι,2的两方。

71.如权利要求70所述的能力提供装置，其中，

所述解码控制命令对应于其中一个所述解码函数f_ι，

所述控制部控制是否输出与对应于所述解码控制命令的所述解码函数f_ι对应的所述第一输出信息z_ι,1和所述第二输出信息z_ι,2的两方。

72.一种能力提供装置，用于具有计算装置和所述能力提供装置的代理计算系统，所述能力提供装置具有第一输出信息计算部和第二输出信息计算部，其中，

G_M、H_M为矩阵的集合，f_M(x_M)为用于将作为集合H_M的元的密码文x_M通过特定的解码密钥进行解码而得到集合G_M的元的解码函数，_MX₁、_MX₂为在集合G_M中取值的概率变量，_Mx₁为概率变量_MX₁的实现值，_Mx₂为概率变量_MX₂的实现值，a_M为集合H_M的元，

所述第一输出信息计算部使用由所述计算装置提供的与所述密码文x_M对应的第一输入信息_Mτ₁，以大于某一概率的概率准确地计算f_M(_Mτ₁)，将得到的计算结果设为第一输出信息_Mz₁,并将其提供给所述计算装置，

所述第二输出信息计算部使用由所述计算装置提供的与所述密码文x_M对应的第二输入信息_Mτ₂，以大于某一概率的概率准确地计算f_M(_Mτ₂)，将得到的计算结果设为第二输出信息_Mz₂，并将其提供给所述计算装置。

73.如权利要求72所述的能力提供装置，其中，

κ、ι、q为正整数，·^T为·的转置矩阵，G_M为ι×ι矩阵的集合，H_M为ι×ι矩阵的集合，PK为作为加密密钥的ι×κ矩阵，SK为作为满足PK·SK＝0的ι×ι矩阵的所述解码密钥，CM为κ×ι矩阵，NM为ι×ι矩阵，UM为ι×ι单位矩阵，所述解码函数f_M为SK^-1{SK·x_M·SK^T(modq)}(SK^T)^-1(mod2)。

74.如权利要求72或73所述的能力提供装置，包括：

控制部，按照所输入的解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息_Mz₁和所述第二输出信息_Mz₂的两方。

75.一种代理计算方法，具有：

在计算装置中，输出与密码文x对应的作为群H的元的第一输入信息τ₁和第二输入信息τ₂的步骤；

在能力提供装置中，使用所述第一输入信息τ₁，以大于某一概率的概率准确地计算f(τ₁)，将得到的计算结果设为第一输出信息z₁的步骤；

在所述能力提供装置中，使用所述第二输入信息τ₂，以大于某一概率的概率准确地计算f(τ₂)，将得到的计算结果设为第二输出信息z₂的步骤；

在所述计算装置中，根据所述第一输出信息z₁来生成计算结果u＝f(x)^bx₁的步骤；

在所述计算装置中，根据所述第二输出信息z₂来生成计算结果v＝f(x)^ax₂的步骤；以及

在所述计算装置中，在所述计算结果u和v满足u^a＝v^b的情况下，输出关于满足a’a+b’b＝1的整数a’，b’的u^b’v^a’的步骤，

其中，G为群，f(x)为用于将作为所述群H的元的密码文x通过特定的解码密钥进行解码而得到所述群G的元的解码函数，X₁、X₂为在所述群G中取值的概率变量，x₁为概率变量X₁的实现值，x₂为概率变量X₂的实现值，a、b为互质的自然数。

76.如权利要求75所述的代理计算方法，还具有：

解码控制装置对所述能力提供装置输出用于控制所述计算装置的解码处理的解码控制命令的步骤；以及

所述能力提供装置按照所述解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息z₁和所述第二输出信息z₂的两方的步骤。

77.如权利要求75所述的代理计算方法，其中，

G_ι、H_ι为群，ω为2以上的整数，ι＝1，···，ω，f_ι(λ_ι)为用于将作为所述群H_ι的元的密码文λ_ι通过特定的解码密钥s_ι进行解码而得到所述群G_ι的元的解码函数，X_ι,1、X_ι,2为在所述群G_ι中取值的概率变量，x_ι,1为概率变量X_ι,1的实现值，x_ι,2为概率变量X_ι,2的实现值，a(ι)、b(ι)为互质的自然数，所述群G为群G₁，所述群H为群H₁，所述密码文x为密码文λ₁，所述解码函数f(x)为解码函数f₁(λ₁)，所述概率变量X₁为概率变量X_1,1，所述概率变量X₂为概率变量X_1,2，所述实现值x₁为实现值x_1,1，所述实现值x₂为实现值x_1,2，所述自然数a为自然数a(1)，所述自然数b为自然数b(1)，

该代理计算方法具有：

(A)在所述计算装置中，输出与所述密码文λ_ι对应的作为所述群H_ι的元的第一输入信息τ_ι,1和第二输入信息τ_ι,2的步骤；

(B)在所述能力提供装置中，使用所述第一输入信息τ_ι,1，以大于某一概率的概率准确地计算f_ι(τ_ι,1)，将得到的运算结果作为第一输出信息z_ι,1而输出的步骤；

(C)在所述能力提供装置中，使用所述第二输入信息τ_ι,2，以大于某一概率的概率准确地计算f_ι(τ_ι,2)，将得到的计算结果作为第二输出信息z_ι,2而输出的步骤；

(D)在所述计算装置中，根据所述第一输出信息z_ι,1来生成运算结果u_ι＝f_ι(λ_ι)^b(ι)x_ι,1的步骤；

(E)在所述计算装置中，根据所述第二输出信息z_ι,2来生成运算结果v_ι＝f_ι(λ_ι)^a(ι)x_ι,2的步骤；以及

(F)在所述计算装置中，在所述运算结果u_ι和v_ι满足u_ι ^a(ι)＝v_ι ^b(ι)的情况下，输出关于满足a’(ι)a(ι)+b’(ι)b(ι)＝1的整数a’(ι)、b’(ι)的u_ι ^b’(ι)v_ι ^a’(ι)的步骤，

所述步骤(B)和所述步骤(C)是，

按照从解码控制装置输出的用于控制所述计算装置的解码处理的解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息z_ι,1和所述第二输出信息z_ι,2的两方的步骤。

78.一种代理计算方法，具有：

在计算装置中，输出与密码文x_M对应的作为集合H_M的元的第一输入信息_Mτ₁和第二输入信息_Mτ₂的步骤；

在能力提供装置中，使用所述第一输入信息_Mτ₁，以大于某一概率的概率准确地计算f_M(_Mτ₁)，将得到的计算结果设为第一输出信息_Mz₁的步骤；

在所述能力提供装置中，使用所述第二输入信息_Mτ₂，以大于某一概率的概率准确地计算f_M(_Mτ₂)，将得到的计算结果设为第二输出信息_Mz₂的步骤；

在所述计算装置中，根据所述第一输出信息_Mz₁来生成计算结果u_M＝f_M(x_M)+_Mx₁的步骤；

在所述计算装置中，根据所述第二输出信息_Mz₂来生成计算结果v_M＝f_M(x_M)a_M+_Mx₂的步骤；以及

在所述计算装置中，在所述计算结果u_M和v_M满足u_M·a_M＝v_M的情况下输出u_M的步骤，

其中，G_M、H_M为矩阵的集合，f_M(x_M)为用于将作为集合H_M的元的密码文x_M通过特定的解码密钥进行解码而得到集合G_M的元的解码函数，_MX₁、_MX₂为在集合G_M中取值的概率变量，_Mx₁为概率变量_MX₁的实现值，_Mx₂为概率变量_MX₂的实现值，a_M为集合H_M的元。

79.如权利要求78所述的代理计算方法，还具有：

解码控制装置对所述能力提供装置输出用于控制所述计算装置的解码处理的解码控制命令的步骤；以及

所述能力提供装置按照所述解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息_Mz₁和所述第二输出信息_Mz₂的两方的步骤。

80.一种计算方法，用于具有计算装置和能力提供装置的代理计算系统中的所述计算装置，

所述计算方法具有：

第一计算部获得与由所述能力提供装置以大于某一概率的概率准确地计算f(τ₁)而得到的计算结果对应的计算结果u＝f(x)^bx₁的步骤；

第二计算部获得与由所述能力提供装置以大于某一概率的概率准确地计算f(τ₂)而得到的计算结果对应的计算结果v＝f(x)^ax₂的步骤；以及

在最终输出部中，在所述计算结果u和v满足u^a＝v^b的情况下，输出关于满足a’a+b’b＝1的整数a’、b’的u^b’v^a’的步骤，

其中，G、H为群，f(x)为用于将作为所述群H的元的密码文x通过特定的解码密钥进行解码而得到所述群G的元的解码函数，X₁、X₂为在所述群G中取值的概率变量，x₁为概率变量X₁的实现值，x₂为概率变量X₂的实现值，a、b为互质的自然数，τ₁和τ₂为与所述密码文x对应的、所述群H的元τ₁和τ₂。

81.一种计算方法，用于具有计算装置和能力提供装置的代理计算系统中的所述计算装置，

所述计算方法具有：

第一计算部获得与由所述能力提供装置以大于某一概率的概率准确地计算f_M(_Mτ₁)而得到的计算结果对应的计算结果u_M＝f_M(x_M)+_Mx₁的步骤；

第二计算部获得与由所述能力提供装置以大于某一概率的概率准确地计算f_M(_Mτ₂)而得到的计算结果对应的计算结果v_M＝f_M(x_M)a_M+_Mx₂的步骤；以及

在最终输出部中，在所述计算结果u_M和v_M满足u_M·a_M＝v_M时输出u_M的步骤，

其中，G_M、H_M为矩阵的集合，f_M(x_M)为用于将作为集合H_M的元的密码文x_M通过特定的解码密钥进行解码而得到集合G_M的元的解码函数，_MX₁、_MX₂为在集合G_M中取值的概率变量，_Mx₁为概率变量_MX₁的实现值，_Mx₂为概率变量_MX₂的实现值，a_M为集合H_M的元，_Mτ₁和_Mτ₂为与所述密码文x_M对应的、群H_M的元_Mτ₁和_Mτ₂。

82.一种能力提供方法，用于具有计算装置与能力提供装置的代理计算系统中的所述能力提供装置，所述能力提供方法具有：

在第一输出信息计算部中，使用由所述计算装置提供的与密码文x对应的作为群H的元的第一输入信息τ₁，以大于某一概率的概率准确地计算f(τ₁)，将得到的计算结果设为第一输出信息z₁而提供给所述计算装置的步骤；以及

在第二输出信息计算部中，使用由所述计算装置提供的与所述密码文x对应的作为所述群H的元的第二输入信息τ₂，以大于某一概率的概率准确地计算f(τ₂)，将得到的计算结果设为第二输出信息z₂而提供给所述计算装置的步骤，

其中，G为群，f(x)为用于将作为所述群H的元的密码文x通过特定的解码密钥进行解码而得到所述群G的元的解码函数，X₁、X₂为在所述群G中取值的概率变量，x₁为概率变量X₁的实现值，x₂为概率变量X₂的实现值，a、b为互质的自然数。

83.如权利要求82所述的能力提供方法，包括：

按照所输入的解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息z₁和所述第二输出信息z₂的两方的步骤。

84.如权利要求82所述的能力提供方法，其中，

G_ι、H_ι为群，ω为2以上的整数，ι＝1，···，ω，f_ι(λ_ι)为用于将作为所述群H_ι的元的密码文λ_ι通过特定的解码密钥s_ι进行解码而得到所述群G_ι的元的解码函数，X_ι,1、X_ι,2为在所述群G_ι中取值的概率变量，x_ι,1为概率变量X_ι,1的实现值，x_ι,2为概率变量X_ι,2的实现值，a(ι)、b(ι)为互质的自然数，所述群G为群G₁，所述群H为群H₁，所述密码文x为密码文λ₁，所述解码函数f(x)为解码函数f₁(λ₁)，所述概率变量X₁为概率变量X_1,1，所述概率变量X₂为概率变量X_1,2，所述实现值x₁为实现值x_1,1，所述实现值x₂为实现值x_1,2，所述自然数a为自然数a(1)，所述自然数b为自然数b(1)，

该能力提供方法具有：

(A)在第一输出信息计算部中，使用与所述密码文λ_ι对应的第一输入信息τ_ι,1，以大于某一概率的概率准确地计算f_ι(τ_ι,1)，将得到的运算结果设为第一输出信息z_ι,1的步骤；以及

(B)在第二输出信息计算部中，使用与所述密码文λ_ι对应的第二输入信息τ_ι，2，以大于某一概率的概率准确地计算f_ι(τ_ι,2)，将得到的计算结果设为第二输出信息z_ι,2的步骤，

所述步骤(A)和所述步骤(B)包括：

按照所输入的解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息z_ι,1和所述第二输出信息z_ι,2的两方的步骤。

85.一种能力提供方法，用于具有计算装置与能力提供装置的代理计算系统中的所述能力提供装置，所述能力提供方法具有：

在第一输出信息计算部中，使用由所述计算装置提供的与密码文x_M对应的第一输入信息_Mτ₁，以大于某一概率的概率准确地计算f_M(_Mτ₁)，将得到的计算结果设为第一输出信息_Mz₁而提供给所述计算装置的步骤；以及

在第二输出信息计算部中，使用由所述计算装置提供的与所述密码文x_M对应的第二输入信息_Mτ₂，以大于某一概率的概率准确地计算f_M(_Mτ₂)，将得到的计算结果设为第二输出信息_Mz₂而提供给所述计算装置的步骤，

其中，G_M、H_M为矩阵的集合，f_M(x_M)为用于将作为集合H_M的元的密码文x_M通过特定的解码密钥进行解码而得到集合G_M的元的解码函数，_MX₁、_MX₂为在集合G_M中取值的概率变量，_Mx₁为概率变量_MX₁的实现值，_Mx₂为概率变量_MX₂的实现值，a_M为集合H_M的元。

86.如权利要求85所述的能力提供方法，包括：

按照所输入的解码控制命令，控制是否从所述第一输出信息计算部和所述第二输出信息计算部输出所述第一输出信息_Mz₁和所述第二输出信息_Mz₂的两方的步骤。

87.一种代理计算系统，具有能力提供装置和Φ个计算装置其中，

Φ为2以上的整数，为群，为将所述群的元映射到所述群的元的函数，为互质的自然数，对于所述群的元的类为以所述群的元作为元素的集合，为在所述群中取值的概率变量，为概率变量的实现值，为概率变量的实现值，

所述计算装置的各个包括输入信息提供部，该输入信息提供部输出与所述群的元对应的作为所述群的元的第一输入信息和第二输入信息

所述能力提供装置包括：

第一输出信息计算部，使用所述第一输入信息以大于某一概率的概率准确地计算将得到的运算结果设为第一输出信息以及

第二输出信息计算部，使用所述第二输入信息以大于某一概率的概率准确地计算将得到的计算结果设为第二输出信息

所述计算装置的各个还包括：

第一计算部，根据所述第一输出信息来生成运算结果

第二计算部，根据所述第二输出信息来生成运算结果 以及

最终输出部，输出关于对于所述运算结果的值和对于所述运算结果的值属于对于互相相同的元的类的情况下的所述运算结果和所述运算结果和满足 的整数的值

88.如权利要求87所述的代理计算系统，其中，

所有的所述群相同，所有的所述群 相同，所有的所述函数相同，

所述第一输出信息计算部对每个独立地，以大于某一概率的概率准确地计算

所述第二输出信息计算部对每个独立地，以大于某一概率的概率准确地计算

89.如权利要求88所述的代理计算系统，其中，

所述计算装置的各个包括用于选择所述自然数的至少一方的自然数选择部，

所述第一输入信息进而对应于所述自然数所述第二输入信息进而对应于所述自然数

90.如权利要求87所述的代理计算系统，其中，

所述计算装置的各个包括用于选择所述自然数的至少一方的自然数选择部，

所述第一输入信息进而对应于所述自然数所述第二输入信息进而对应于所述自然数

91.如权利要求87所述的代理计算系统，其中，

所述输入信息提供部将搅乱了与所述元的关系的信息设为所述第一输入信息和所述第二输入信息

92.如权利要求88所述的代理计算系统，其中，

所述输入信息提供部将搅乱了与所述元的关系的信息设为所述第一输入信息和所述第二输入信息

93.如权利要求89所述的代理计算系统，其中，

所述输入信息提供部将搅乱了与所述元的关系的信息设为所述第一输入信息和所述第二输入信息

94.如权利要求90所述的代理计算系统，其中，

所述输入信息提供部将搅乱了与所述元的关系的信息设为所述第一输入信息和所述第二输入信息

95.如权利要求87至94的任一项所述的代理计算系统，其中

所述函数是准同型函数。

96.如权利要求95所述的代理计算系统，其中，

所述函数为准同型函数，所述群为巡回群，为所述巡回群的生成元，为所述巡回群的位数，且

所述输入信息提供部包括：

第一随机数生成部，生成0以上的自然数的随机数

第一输入信息计算部，作为所述第一输入信息计算

第二随机数生成部，生成0以上的自然数的随机数以及

第二输入信息计算部，作为所述第二输入信息计算

所述第一输出信息计算部使用所述第一输入信息以大于某一概率的概率准确地计算将得到的计算结果设为所述第一输出信息

所述第二输出信息计算部使用所述第二输入信息以大于某一概率的概率准确地计算将得到的计算结果设为第二输出信息

所述第一计算部计算而得到所述运算结果

所述第二计算部计算而得到所述运算结果

97.如权利要求96所述的代理计算系统，其中，

所述第一随机数生成部在时生成所述随机数

所述第一输入信息计算部在时作为所述第一输入信息计算所述

所述第一输出信息计算部将在时使用所述第一输入信息 而得到的所述计算结果设为所述第一输出信息

所述第一计算部在时计算而得到所述运算结果

所述第二随机数生成部在时生成所述随机数

所述第二输入信息计算部在时作为所述第二输入信息计算

所述第二输出信息计算部将在时使用所述第二输入信息 而得到的所述计算结果设为所述第二输出信息

所述第二计算部在时计算而得到所述运算结果

所述输入信息提供部包括：

第三随机数生成部，生成0以上的自然数的随机数

第三输入信息计算部，在时将设为所述第一输入信息在时将设为所述第二输入信息

所述能力提供装置包括第三输出信息计算部，该第三输出信息计算部使用所述以大于某一概率的概率准确地计算将得到的计算结果设为

所述计算装置的各个包括第三计算部，该第三计算部在时将设为所述运算结果在时将设为所述运算结果

98.如权利要求87至94的任一项所述的代理计算系统，其中，

所述群为直积群所述函数为准同型函数，所述群为巡回群，所述巡回群的生成元为所述巡回群的位数为 为所述群的元，且

所述输入信息提供部包括：

第四随机数生成部，生成0以上的自然数的随机数

第五随机数生成部，生成0以上的自然数的随机数

第一输入信息计算部，作为所述第一输入信息计算及び

第六随机数生成部，生成0以上的自然数的随机数

第七随机数生成部，生成0以上的自然数的随机数以及

第二输入信息计算部，作为所述第二输入信息计算及び

所述第一输出信息计算部使用所述第一输入信息和以大于某一概率的概率准确地计算 将得到的计算结果设为所述第一输出信息

所述第二输出信息计算部使用所述第二输入信息和以大于某一概率的概率准确地计算 将得到的计算结果设为所述第二输出信息

所述第一计算部计算而得到所述运算结果u，

所述第二计算部计算而得到所述运算结果v。

99.如权利要求87至94的任一项所述的代理计算系统，其中，

所述函数为用于将作为所述群的元的所述元 变换为所述群的元的准同型函数，为按照第一加密方式将平文通过第一加密密钥加密后的密码文， 为按照第二加密方式将所述平文通过第二加密密钥加密后的密码文，

所述输入信息提供部包括：

第一随机数生成部，生成所述群的任意的元

第一输入信息计算部，作为所述第一输入信息计算

第二随机数生成部，生成所述群的任意的元以及

第二输入信息计算部，作为所述第二输入信息计算

所述第一输出信息计算部使用所述第一输入信息 以大于某一概率的概率准确地计算 将得到的计算结果设为所述第一输出信息

所述第二输出信息计算部使用所述第二输入信息 以大于某一概率的概率准确地计算 将得到的计算结果设为第二输出信息

所述第一计算部计算而得到所述运算结果

所述第二计算部计算而得到所述运算结果

100.如权利要求99所述的代理计算系统，其中，

所述群为巡回群的直积群为所述巡回群 的生成元，为所述巡回群的生成元，为与所述第二加密密钥对应的解码密钥，所述第二加密密钥为 为整数的随机数，所述元为 所述值为所述值为为对提供巡回群的元的双线型映像，

所述最终输出部输出在满足关系 时的所述值

101.如权利要求100所述的代理计算系统，其中，

为质数与质数的合成数，所述巡回群分别为由在以所述合成数作为法的剩余环上定义的第一椭圆曲线上的点构成的部分群，为由在以所述质数作为法的剩余体上定义的第二椭圆曲线上的点构成的部分群，为由在以所述质数作为法的剩余体上定义的第三椭圆曲线上的点构成的部分群，为对提供巡回群的元的第二双线型映像， 为对提供巡回群的元的第三双线型映像，H为将所述第一椭圆曲线上的点映射到所述第二椭圆曲线上的点和所述第三椭圆曲线上的点的同型映像，为所述同型映像的逆像，

所述计算装置的各个还包括：

判定部，使用所述同型映像将所述第一椭圆曲线上的点α映射到所述第二椭圆曲线上的点θ_ω(α)和所述第三椭圆曲线上的点θ_ι(α)，使用所述同型映像将所述第一椭圆曲线上的点β映射到所述第二椭圆曲线上的点θ_ω(β)和所述第三椭圆曲线上的点θ_ι(β)，并求出和并作为而求出对于和的所述逆像H并判定是否满足上述关系。

102.如权利要求87至94的任一项所述的代理计算系统，其中，

所述群为巡回群的直积群所述巡回群的生成元为所述巡回群的生成元为为将所述巡回群的元和所述巡回群的元的组映射到所述群的元的双准同型映象，所述群 的元为所述巡回群的元和所述巡回群的元的组，且

所述输入信息提供部包括：

第一随机数生成部，生成0以上的自然数的随机数

第一输入信息计算部，作为所述第一输入信息计算 和

第二随机数生成部，生成0以上的自然数的随机数 以及

第二输入信息计算部，作为所述第二输入信息计算 和

所述第一输出信息计算部使用所述第一输入信息以大于某一概率的概率准确地计算 和将得到的运算结果 和设为所述第一输出信息

所述第二输出信息计算部使用所述第二输入信息以大于某一概率的概率准确地计算 和将得到的运算结果 和设为所述第二输出信息

所述第一计算部计算 而得到所述运算结果

所述第二计算部计算 而得到所述运算结果

所述最终输出部在所述运算结果满足的情况下，输出关于满足的整数的值

103.如权利要求87至94的任一项所述的代理计算系统，其中，

所述运算结果对于的误差的概率分布不依赖于所述自然数和/或所述运算结果对于的误差的概率分布不依赖于所述自然数或者，存在无法与所述运算结果对于的误差的概率分布区分的不依赖于所述自然数的概率分布和/或存在无法与所述运算结果对于的误差的概率分布区分的不依赖于所述自然数的概率分布。

104.如权利要求87至94的任一项所述的代理计算系统，其中，

所述自然数或所述自然数是常数。

105.一种能力提供装置，是用于具有Φ个计算装置和能力提供装置的代理计算系统中的所述能力提供装置，所述能力提供装置具有第一输出信息计算部和第二输出信息计算部，其中，

Φ为2以上的整数，为群，为将所述群的元映射到所述群的元的函数，为互质的自然数，对于所述群的元的类为以所述群的元作为元素的集合，为在所述群中取值的概率变量，为概率变量的实现值，为概率变量的实现值，

所述第一输出信息计算部使用由所述Φ个计算装置各自提供的与所述巡回群的元对应的作为所述群的元的第一输入信息以大于某一概率的概率准确地计算将得到的运算结果作为第一输出信息分别提供给所述Φ个计算装置

所述第二输出信息计算部使用由所述Φ个计算装置分别提供的与所述群的元对应的作为所述群的元的第二输入信息以大于某一概率的概率准确地计算将得到的运算结果作为第二输出信息分别提供给所述Φ个计算装置

106.如权利要求105所述的能力提供装置，其中，

所有的所述群相同，所有的所述群 相同，所有的所述函数相同，

所述第一输出信息计算部对每个独立地，以大于某一概率的概率准确地计算

所述第二输出信息计算部对每个独立地，以大于某一概率的概率准确地计算

107.如权利要求105或106所述的能力提供装置，其中，

所述函数为准同型函数，所述群为巡回群，为所述巡回群的生成元，为所述巡回群的位数，且

所述第一输出信息计算部使用所述第一输入信息以大于某一概率的概率准确地计算将得到的计算结果设为所述第一输出信息

所述第二输出信息计算部使用所述第二输入信息以大于某一概率的概率准确地计算将得到的计算结果设为第二输出信息

108.如权利要求105或106所述的能力提供装置，其中，

所述群为直积群所述函数为准同型函数，所述群为巡回群，所述巡回群的生成元为所述巡回群的位数为 为所述群的元，且 和为0以上的自然数的随机数，

所述第一输出信息计算部使用所述第一输入信息和以大于某一概率的概率准确地计算 将得到的计算结果设为所述第一输出信息

所述第二输出信息计算部使用所述第二输入信息和以大于某一概率的概率准确地计算 将得到的计算结果设为所述第二输出信息

109.如权利要求105或106所述的能力提供装置，其中，

所述函数为用于将作为所述群的元的所述元 变换为所述群的元的准同型函数，为按照第一加密方式将平文通过第一加密密钥加密后的密码文， 为按照第二加密方式将所述平文通过第二加密密钥加密后的密码文，和为所述群的任意的元，

所述第一输出信息计算部使用所述第一输入信息 以大于某一概率的概率准确地计算 将得到的计算结果设为所述第一输出信息

所述第二输出信息计算部使用所述第二输入信息 以大于某一概率的概率准确地计算 将得到的计算结果设为第二输出信息

110.如权利要求105或106所述的能力提供装置，其中，

所述群为巡回群的直积群所述巡回群的生成元为所述巡回群的生成元为为将所述巡回群的元和所述巡回群的元的组映射到所述群的元的双准同型映象，所述群 的元为所述巡回群的元和所述巡回群的元的组，且 为0以上的自然数的随机数，所述第一输入信息为 和所述第二输入信息为和

所述第一输出信息计算部使用所述第一输入信息以大于某一概率的概率准确地计算 和将得到的运算结果 和设为所述第一输出信息

所述第二输出信息计算部使用所述第二输入信息以大于某一概率的概率准确地计算 和将得到的运算结果 和设为所述第二输出信息

111.一种代理计算方法，具有：

输入信息提供步骤，在Φ个计算装置的各个中，输出与群的元对应的作为所述群的元的第一输入信息和第二输入信息

第一输出信息生成步骤，在能力提供装置中，使用所述第一输入信息以大于某一概率的概率准确地计算将得到的运算结果设为第一输出信息

第二输出信息生成步骤，在所述能力提供装置中，使用所述第二输入信息以大于某一概率的概率准确地计算将得到的计算结果设为第二输出信息

第一计算步骤，在所述计算装置的各个中，根据所述第一输出信息来生成运算结果

第二计算步骤，在所述计算装置的各个中，根据所述第二输出信息来生成运算结果以及

最终输出步骤，在所述计算装置的各个中，输出关于对于所述运算结果的值和对于所述运算结果的值属于对于互相相同的元 的类的情况下的所述运算结果和所述运算结果和满足的整数的值

其中，Φ为2以上的整数，为群，为将所述群的元映射到所述群的元的函数，为互质的自然数，对于所述群的元的类为以所述群的元作为元素的集合，为在所述群中取值的概率变量，为概率变量的实现值，为概率变量的实现值。

112.如权利要求111所述的代理计算方法，其中，

所有的所述群相同，所有的所述群 相同，所有的所述函数相同，

在所述第一输出信息生成步骤，对每个独立地，以大于某一概率的概率准确地计算

在所述第二输出信息生成步骤，对每个独立地，以大于某一概率的概率准确地计算

113.一种能力提供方法，用于具有Φ个计算装置和能力提供装置的代理计算系统中的所述能力提供装置，所述能力提供方法具有：

第一输出信息计算部使用由所述Φ个计算装置各自提供的与群的元对应的作为所述群的元的第一输入信息以大于某一概率的概率准确地计算将得到的运算结果作为第一输出信息分别提供给所述Φ个计算装置的步骤；以及

第二输出信息计算部使用由所述Φ个计算装置各自提供的与所述群 的元对应的作为群的元的第二输入信息以大于某一概率的概率准确地计算将得到的运算结果作为第二输出信息分别提供给所述Φ个计算装置的步骤，

其中，Φ为2以上的整数，为群，为将所述群的元映射到所述群的元的函数，为互质的自然数，对于所述群的元的类为以所述群的元作为元素的集合，为在所述群中取值的概率变量，为概率变量的实现值，为概率变量的实现值。

114.如权利要求113所述的能力提供方法，其中，

所有的所述群相同，所有的所述群 相同，所有的所述函数相同，

在所述第一输出信息生成步骤，对每个独立地，以大于某一概率的概率准确地计算

在所述第二输出信息生成步骤，对每个独立地，以大于某一概率的概率准确地计算