JP4565628B2 - 秘密計算方法及びシステム、並びにプログラム - Google Patents

Description

本発明は、情報セキュリテイの技術分野に関し、特に暗号情報を応用し、関数への入力値を知ることなく、当該関数の計算および出力結果の取得を可能とする技術に関する。

従来、関数への入力値を知ることなく、当該関数の計算および出力結果の取得を可能とする手段としては、例えば、非特許文献１で提案されている技術（以降これをＣＤＮ００と略記する）がある。ＣＤＮ００を用いれば、公開鍵暗号によって暗号化された数値の組を入力として、分散された秘密情報を保有する複数の装置が計算に協力することで、当該数値を漏らすことなく関数の出力結果を得ることができる。更に出力結果の正当性、すなわち各装置が正しい処理を行ったかどうかを検証することもできる。以降、関数への入力値を知ることなく、当該関数の計算および出力結果の取得が可能な方法を便宜上、秘密計算方法と呼ぶことにする。

ＣＤＮ００では、ａ,ｂの暗号文Ｅ（ａ）,Ｅ（ｂ）が与えられれば、分散された秘密情報を保有する複数の装置が計算に協力することで、ａ,ｂを知らなくともａ＋ｂの暗号文Ｅ（ａ＋ｂ）、およびａ×ｂの暗号文Ｅ（ａｂ）を求めることができる。また、例えば非特許文献２で提案されている分散復号技術を用いることで、一定数以上の装置が復号計算に協力した暗号文（例えばＥ（ａ＋ｂ）やＥ（ａｂ））に限り復号できる。

Ｒ.Ｃramer,Ｉ.Ｄamgard and Ｊ.Ｂ.Ｎielsen,"Ｍultiparty computation from threshold homomorphic encryption,"Ｂasic Ｒesearch in Ｃomputer Ｓcience（ＢＲＩＣＳ）ＲＳ−００−１４,Ｊun.２０００. Ｔ.Ｒ.Ｐedersen,"Ａ threshold cryptosystem without a trusted party,"Ａdvances in Ｃrytology−ＥＵＲＯＣＲＹＰＴ ’91,ＬＮＣＳ ５４７,pp.５２２−５２６,Ｓpringer−Ｖerlag,１９９１.

０または１からなる入力の数値が暗号化された状態のまま、当該数値の加算および乗算の結果（の暗号文）を求めることができれば、当該数値の論理和（ＯＲ）および論理積（ＡＮＤ）の結果（の暗号文）を求めることができる。すなわち、理論的には、入力の数値が暗号化された状態のまま多くの関数を計算できることになる。

しかし、ＣＤＮ００では、関数に表れる乗算の回数に比例して入力の数値に適用する暗号方式の復号処理が必要となるため、対象となる関数によっては、実時間内で秘密計算方法を実行することが困難になる場合がある。したがってＣＤＮ００は処理時間の削減が大きな課題であるといえる。

一方ＣＤＮ００で用いる暗号方式は公開鍵暗号に限定されるが、ＣＤＮ００のプロトコルの性質上、現状では当該暗号方式は楕円曲線暗号とすることができない。楕円曲線暗号は高速処理可能な公開鍵暗号系として知られ、楕円曲線暗号がＣＤＮ００に適用可能であれば、秘密計算方法の高速化が期待できる。

そこで本発明では、ＣＤＮ００による秘密計算方法に対して楕円曲線暗号が適用可能となるように改良することで、秘密計算方法の処理時間を削減し、これにより秘密計算方法を適用できる関数の範囲を広げることを目的としている。

Ｇをある有限体上で定義された楕円曲線の有理点からなる群とし、ＰをＧの元とする。Ｇの位数をｐとする。そして、秘密鍵ｘ∈｛１,…,ｐ｝に対してＱ＝ｘＰとし、（Ｇ,ｐ,Ｐ,Ｑ）を公開鍵とする。
このとき、平文ａ∈｛０,１｝を暗号化する暗号関数Ｅを次のように定義する。
Ｅ（ａ,ｒ）＝（Ａ,Ｂ）＝（ｒＰ,（ｒ＋ａ）Ｑ）
ここでｒは１以上ｐ以下の乱数である。

復号処理はｘＡを計算すれば良く、これにより

が成り立つことから、秘密鍵ｘを用いることで容易にＥ（ａ,ｒ）を復号できる。するとａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）,Ｅ（ｂ,ｓ）からａ＋ｂの暗号文を求めることは容易である。すなわち、Ｅ（ａ,ｒ）＋Ｅ（ｂ,ｓ）＝（（ｒ＋ｓ）Ｐ,（ｒ＋ａ＋ｓ＋ｂ）Ｑ）が成り立つことから、この操作によりａ＋ｂの暗号文Ｅ（ａ＋ｂ,ｒ＋ｓ）＝Ｅ（ａ,ｒ）＋Ｅ（ｂ,ｓ）が得られる。

次に、Ｅ（ａ,ｒ）,Ｅ（ｂ,ｓ）からａ×ｂの暗号文を求める方法の概略を説明する。これが本発明の主要部分となる。
先ず、暗号文変換装置が制御装置より（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を入力として以下の処理を行う。
１.ランダムビットｅおよび１以上ｐ以下の乱数ｔを生成する。
２．以下に従って（Ａ′,Ｂ′）を求め、それを複数の復号装置に送信する。

次に、複数の復号装置が（Ａ′,Ｂ′）入力として分散復号を行い、制御装置に送信することで、制御装置は（Ａ′,Ｂ′）の復号結果ｃを得る（このときｃ＝ａ＋ｅ（排他的論理和）が成り立つ）。

制御装置は、当該復号結果ｃ∈｛０,１｝について以下の処理を行う。
１.１以上ｐ以下の乱数ｗを生成する。
２.以下に従って（Ｃ′,Ｄ′）を求め、当該暗号文を暗号文変換装置に送信する。

暗号文変換装置は（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））,（Ｃ,Ｄ）を入力として、以下の処理を行う。
１.１以上ｐ以下の乱数ｕを生成する。
２．以下に従って（Ｃ′,Ｄ′）を求め、それを制御装置に送信する。

（Ｃ′,Ｄ′）の復号結果ｃ′は、ｃ′＝ａｂが成り立つことから、上記の操作により制御装置はａ×ｂの暗号文、すなわち（Ｃ′,Ｄ′）を得ることができる。

本発明の秘密計算方法によれば、秘密計算方法の処理が従来よりも高速になることが期待できる。その理由は、従来では秘密計算方法に適用する公開鍵暗号方式はＰaillier暗号など比較的処理時間のかかるものでなければならなかったが、本発明により改良された秘密計算方法では高速処理が可能なことで知られる楕円曲線暗号の適用が可能になったためである。なおここでいう秘密計算方法とは、関数への入力値を知ることなく、先で述べたとおり、当該関数の計算および出力結果の取得が可能な方法のことをさす。

以下、本発明の実施の形態について図面を用いて詳細に説明する。

［第１の実施の形態］
第１の実施の形態におけるシステム構成は、図１に示すように、同一のネットワーク１００で結ばれた、１０の暗号文生成装置１,…,Ｎ（Ｎは適当な自然数）、制御装置２０、暗号文変換装置３０、および４０の復号装置１,２からなる。ここで復号装置を複数に設定しているのは、復号装置が単一であれば、当該復号装置は入力の数値の暗号文も復号できる権限を持つことになり、明らかに本発明が取り上げている課題を解決できないが、本実施の形態のように復号装置を複数に設定すれば、分散復号技術を用いて、それら復号装置が結託しない限りは入力の数値を知ることが困難とできるためである。なお、本実施の形態では、簡単に復号装置の数は２としたが、一般に２以上いくつでもよい。

はじめに本発明で用いる暗号方式について、図２の処理シーケンス図を参照して説明する。
制御装置２０は、有限体および楕円曲線を生成するためのパラメータを与えることで有限体および楕円曲線をそれぞれ一つずつ決定し（Ｓ１０１）、更に当該有限体上で定義された当該楕円曲線の有理点からなる群Ｇを決定する（Ｓ１０２）。次に、Ｇの位数ｐを計算する（Ｓ１０３）。また、Ｇの元を一つ選び、これをＰとする（Ｓ１０４）。そして、（Ｇ,ｐ,Ｐ）の組を復号装置４０（ｉ）（ｉ＝１,２）に送信する。

復号装置４０（ｉ）は、（Ｇ,ｐ,Ｐ）を入力として、１以上ｐ以下の乱数ｘ_iを生成後、Ｑ_i＝ｘ_iＰを計算し、Ｑ_iを制御装置２０に送信する（Ｓ１０５〜Ｓ１０８）。ここでは、復号装置４０（１）は乱数ｘ₁を生成し（Ｓ１０５）、Ｑ₁＝ｘ₁Ｐを計算して（Ｓ１０６）、当該Ｑ₁を制御装置２０に送信し、また、復号装置４０（２）は乱数ｘ₂を生成し（Ｓ１０７）、Ｑ₂＝ｘ₂Ｐを計算して（Ｓ１０８）、Ｑ_２を制御装置２０に送信する。

制御装置２０は、Ｑ＝Ｑ₁＋Ｑ₂を計算し（Ｓ１０９）、（Ｇ,ｐ,Ｐ,Ｑ）を公開する（Ｓ１１０）。

以上の準備の下、先ず本発明で用いる暗号化処理について説明する。
平文ａ∈｛０,１｝を暗号化する暗号関数Ｅを
Ｅ（ａ,ｒ）＝（Ａ,Ｂ）＝（ｒＰ,（ｒ＋ａ）Ｑ）
と定義する。ここでｒは１以上ｐ以下の乱数である。

次に復号処理について説明する。
いま、ｘ＝ｘ₁＋ｘ₂とおくと、ｘＡを計算すればＥ（ａ,ｒ）を復号できる。すなわち、

が成り立つことから、ｘＡ＝Ｂであれば復号結果を“０”とし、ｘＡ＝Ｂ−Ｑであれば“１”とする。なお当該計算に関わる装置が全て正しい処理を行えばｘＡ＝ＢまたはｘＡ＝Ｂ−Ｑの何れかが成り立つことは明らかである。したがって秘密鍵ｘを用いることで容易にＥ（ａ,ｒ）を復号できる。ただし実際の復号手順としては、復号装置ｉ（ｉ＝１,２）がｘ_iＡを計算、公開し、その後、制御装置がｘＡ＝ｘ₁Ａ＋ｘ₂Ａを求め、復号結果を得ることになる。

次に具体的な秘密計算方法として、基本論理ゲート（ＮＯＴ,ＡＮＤ,ＯＲ,ＮＡＮＤ,ＮＯＲ）に対する秘密計算方法の手順について説明する。ここで基本論理ゲートヘの入力となるａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）,Ｅ（ｂ,ｓ）は、上記の暗号化処理方法を用いて暗号文生成装置１０（１）,…,（Ｎ）の何れかによって生成されたものであり、当該暗号文は制御装置２０へ事前に与えられていると仮定する。なおここではどの暗号文生成装置１０がＥ（ａ,ｒ）,Ｅ（ｂ,ｓ）を生成したかについては言及しないが、実際、当該二つの暗号文は同一の装置によって生成される必要はなく、一般に用途によって異なると考えられる。

基本論理ゲート（ＮＯＴ、ＡＮＤ,ＯＲ、ＮＡＮＤ,ＮＯＲ）を表す論理関数はそれぞれ以下とできる。

先ずＮＯＴの処理について説明する。この処理は単純で、制御装置２０は,Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を入力とし、１−ａの暗号文（Ａ′,Ｂ′）＝（−Ａ,−Ｂ＋Ｑ）を計算し、当該暗号文を取得すれば良い。ここで

であるから、（Ａ′,Ｂ′）＝Ｅ（１−ａ，−ｒ）が成り立ち、（Ａ′,Ｂ′）は１−ａの暗号文、すなわちＦ_NOT（ａ）の暗号文となることが分かる。したがって制御装置は、ａの暗号文Ｅ（ａ,ｒ）から、ａを知ることなくＦ_NOT（ａ）の暗号文を計算することができ、更には当該暗号文を取得することができる。

次にＡＮＤの処理について、図３の処理シーケンス図を参照して説明する。なお、これが本実施の形態の主要部分となる。
先ず、制御装置２０は、Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を暗号文変換装置３０に送信する。なお、各装置では、あらかじめ（Ｇ,ｐ,Ｐ,Ｑ）を保持しているとする。

暗号文変換装置３０は（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を入力とし、以下の処理を行う。
１．ランダムビットｅおよび１以上ｐ以下の乱数ｔを生成する（Ｓ１１１）。
２．以下に従って暗号文（Ａ′,Ｂ′）を計算する（Ｓ１１２）。

暗号文変換装置３０は、暗号文（Ａ′,Ｂ′）を復号装置４０（１）、復号装置４０（２）に送信する。

復号装置４０（１）は（Ａ′,Ｂ′）を入力とし、ｘ₁Ａ′を計算し、それを制御装置２０に送信する（Ｓ１１３）。同様に、復号装置４０（１）は（Ａ′,Ｂ′）を入力とし、ｘ₂Ａ′を計算し、それを制御装置２０に送信する（Ｓ１１４）。

制御装置２０はｘＡ′＝ｘ₁Ａ′＋ｘ₂Ａ′を計算する（Ｓ１１５）。そして、ｘＡ′＝Ｂ′であれば（Ａ′,Ｂ′）の復号結果ｃを“０”、それ以外（ｘＡ′＝Ｂ′−Ｑ）であれば“１”とする（Ｓ１１６〜Ｓ１１８）。その後、当該復号結果ｃ∈｛０,１｝について以下の処理を行う。
１．１以上ｐ以下の乱数ｗを生成する（Ｓ１１９）。
２．以下に従って暗号文（Ｃ,Ｄ）を計算する（Ｓ１２０）。

そして、制御装置２０は、Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ）,（Ｃ,Ｄ））を暗号文変換置装置３０に送信する。

なお、上記の（Ａ′,Ｂ′）から復号結果ｃを求める処理は分散復号とよばれる処理であるが、先の［非特許文献２］によれば、ｋ（＞２）台の復号装置が復号処理に協力した場合に限り復号が可能であり、また、より一般的にｎ台中、任意のｋ台の復号装置が復号処理に協力した場合に限り復号が可能とすることもできる（ここでｎ,ｋは任意数の設定が可能な値）。しかしここでは、その処理手順については［非特許文献２］からも明らかであるため説明を省略する。

ここで当該復号結果ｃについて、ｃ＝ａ＋ｅ（排他的論理和）が成り立つことを確認しておく。ｅ＝０であれば、（Ａ′,Ｂ′）＝（（ｒ＋ｔ）Ｐ,（ｒ＋ａ＋ｔ）Ｑ）であるから、（Ａ′,Ｂ′）＝Ｅ（ａ,ｒ＋ｔ）が成り立つ。すなわちｃ＝ａ＝ａ＋０（排他的論理和）が成り立つ。一方ｅ＝１であれば、（Ａ′,Ｂ′）＝（（−ｒ＋ｔ）Ｐ,（−ｒ−ａ＋ｔ＋１）Ｑ）＝（（ｔ−ｒ）Ｐ,（（ｔ−ｒ）＋（１−ａ））Ｑ）であるから、（Ａ′,Ｂ′）＝Ｅ（１−ａ,ｔ−ｒ）が成り立つ。すなわちｃ＝１−ａ＝ａ＋１（排他的論理和）が成り立つ。したがって、ｃ＝ａ＋ｅが成り立つことが分かる。そしてこれにより、（Ｃ,Ｄ）はｂｃの暗号文となることも分かる。すなわち、ｃ＝０であればｂｃ＝０であり、かつ（Ｃ,Ｄ）＝（Ｐ,Ｑ）＋（ｗＰ,ｗＱ）＝Ｅ（０,１＋ｗ）が成り立つ。一方、ｃ＝１であればｂｃ＝ｂであり、かつ（Ｃ,Ｄ）＝（Ｘ,Ｙ）＋（ｗＰ,ｗＱ）＝Ｅ（ｂ,ｓ＋ｗ）が成り立つ。したがって、（Ｃ,Ｄ）はｂｃの暗号文である。

次に暗号文変換装置３０は（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ｂ，ｓ）（＝Ｘ,Ｙ））,（Ｃ,Ｄ）を入力として、以下の処理を行う。
１．１以上ｐ以下の乱数ｕを生成する（Ｓ１２１）。
２．以下に従って暗号文（Ｃ′,Ｄ′）を計算する（Ｓ１２２）。

暗号文変換装置３０は、当該暗号文（Ｃ′,Ｄ′）を制御装置２０に送信する。

ここで、（Ｃ′,Ｄ′）の復号結果ｃ′は、ｃ′＝ａｂが成り立つことから、上記の処理により、制御装置２０はａ,ｂを知ることなく、ａ×ｂの暗号文、すなわち（Ｃ′,Ｄ′）を得ることができる。制御装置２０は、必要に応じ（Ｃ′,Ｄ′）を出力する（Ｓ１２３）。

ここで当該復号結果ｃ′について、ｃ′＝ａｂが成り立つことを確認しておく。ｅ＝０であれば、（Ｃ′,Ｄ′）＝（Ｃ＋ｕＰ,Ｄ＋ｕＱ）であるから、（Ｃ′,Ｄ′）の復号結果と（Ｃ,Ｄ）の復号結果は明らかに等しい。すなわちｃ′＝ｂｃ＝（ａ＋ｅ）ｂ＝ａｂが成り立つ。一方ｅ＝１であれば、（Ｃ′,Ｄ′）＝（−Ｃ＋ｕＰ＋Ｘ,−Ｄ＋ｕＱ＋Ｙ）であるから、ｃ＝０であれば、（Ｃ′,Ｄ′）＝（（−1−ｗ＋ｕ＋ｓ）Ｐ,（−1−ｗ＋ｕ＋ｓ＋ｂ）Ｑ）となり、ｃ′＝ｂを得る。これに対して、いまｃ＝０,ｅ＝１であるから、ａ＝１となり、ｃ′＝ｂ＝ａｂが成り立つ。また、ｃ＝１であれば（Ｃ′,Ｄ′）＝（（−ｓ−ｗ＋ｕ＋ｓ）Ｐ,（−ｓ−ｂ−ｗ＋ｕ＋ｓ＋ｂ）Ｑ）となり、ｃ′＝０を得る。これに対して、いまｃ＝ｅ＝１であるから、ａ＝０となり、ｃ′＝０＝ａｂが成り立つ。したがって（Ｃ′,Ｄ′）はａｂの暗号文、すなわちＦ_AND（ａ,ｂ）の暗号文となることが分かる。

以上より、制御装置２０は、暗号文変換装置３０および復号装置４０（１）,（２）の協力により、ａの暗号文Ｅ（ａ,ｒ）およびｂの暗号文Ｅ（ｂ,ｓ）から、ａ,ｂを知ることなくＦＡＮＤ（ａ,ｂ）、の暗号文を計算することができ、更には当該暗号文を取得することができる。

最後にＯＲ,ＮＡＮＤ、ＮＯＲの処理についてまとめて説明する。これらの処理はＡＮＤの処理を用いれば後は単純で、制御装置２０は（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））,Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））,（Ｃ′,Ｄ′）を入力とし（ここで（Ｃ′,Ｄ′）はａｂの暗号文）、それぞれ

を計算し、当該暗号文を取得すれば良い。ここで今までの説明からＥ_OR,Ｅ_NAND,Ｅ_NORはそれぞれＦ_OR（ａ,ｂ）,Ｆ_NAND（ａ,ｂ）,Ｆ_NOR（ａ,ｂ）の暗号文となることは明らかである。したがって制御装置２０は、暗号文変換装置３０および復号装置４０（１）,（２）の協力により、ａの暗号文Ｅ（ａ,ｒ）およびｂの暗号文Ｅ（ｂ,ｓ）から、ａ,ｂを知ることなく、Ｆ_OR（ａ,ｂ）,Ｆ_NAND（ａ,ｂ）,Ｆ_NOR（ａ,ｂ）の暗号文を計算することができ、更には当該暗号文を取得することができる。

以上、基本論理ゲートに対する秘密計算方法の手順について説明したが、各装置が、Ｅ（ａ,ｒ）,Ｅ（ｂ,ｓ）からａ,ｂを求めることが困難であれば、いずれかの装置の結託が無い限りは、基本論理ゲートに対する秘密計算方法を実行した場合においてもａ,ｂは保護できる。

［第２の実施の形態］
第１の実施の形態では、暗号文変換装置または復号装置が不正な処理を行うことで容易に結果を改ざんすることができてしまう。また、制御装置と暗号文変換装置が不正結託すれば、当該装置はａ,ｂを知り得てしまう（例えばｃ＝ａ＋ｅを知る制御装置とｅを知る暗号文変換装置が結託すれば、容易にａが求まることが分かる）。第２の実施の形態は、上記の問題点を解決する方法の一例を提案するものである。

第２の実施の形態におけるシステム構成は、図４に示すように、同一のネットワーク１００で結ばれた、１０の暗号文生成装置（１）,…,（Ｎ）、制御装置２０、３０の暗号文変換装置（１）,（２）、４０の復号装置（１）,（２）、および検証装置５０からなる。このように、第２の実施形態では不正結託による耐性を高めるために暗号文変換装置３０を複数に設定しており、更に暗号文変換装置３０および復号装置４０が不正処理をした場合にそれが検出できるように検証装置５０を必要とする。なお、暗号文変換装置は、その数を増加すればするほど、不正結託による耐性を高めることができるが、ここでは説明の簡単化のために２とする。

第１の実施の形態における基本論理ゲートに対する秘密計算方法では、乗算処理以外、すなわちａ,ｂの暗号文Ｅ（ａ,ｒ）、Ｅ（ｂ,ｓ）からａｂの暗号文（Ｃ′,Ｄ′）を求める処理以外は、秘密鍵や乱数などの秘密情報を必要とせず一意に結果が求まる。言い換えれば、乗算処理以外は任意の装置が同じ処理を再現することが可能であり、これにより特別な検証処理は不要となる。したがって、ここでは、第１の実施の形態で示した、乗算処理における、暗号文変換装置および復号装置の処理正当性を検証することが可能な秘密計算方法を説明する。

図５（Ａ）〜（Ｄ）に第２の実施の形態における処理シーケンス図を示す。ここでも、各装置は（Ｇ,ｐ,Ｐ,Ｑ）を保持しているとする。また、ａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））,Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））は、暗号文生成装置１０（ｉ）,（ｊ）から制御装置２０へ事前に与えられているとする。

先ず、制御装置２０は、Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を暗号文変換装置３０（１）へ送信する。

暗号文変換装置３０（１）は（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を入力とし、以下の処理を行う。
１．ランダムビットｅ₁および１以上ｐ以下の乱数ｔ₁を生成する（Ｓ２０１）。
２．以下の［数１２］に従って暗号文（Ａ′,Ｂ′）を求め、当該暗号文を暗号文変換装置３０（２）および検証装置５０に送信する（Ｓ２０２）。

３．（Ａ′,Ｂ′）が［数１２］の関係を満たしていることを検証装置５０にゼロ知識証明する（Ｓ２０３〜Ｓ２０５）。

ゼロ知識証明は、文献「Ｒ.Ｃramer,Ｉ.Ｄamgard and Ｂ.Ｓchoenmakers,“Ｐroofs of partialknowledge and Ｓimplified design of withss hiding protocols,”Ａcvances in Ｃryptology−ＣＲＹＰＴＯ ′９４」ＬＮＣＳ ８３９,pp．１７４−１８７,Ｓpringer−Ｖerlag,１９９４．」（以下、非特許文献３と称す）および文献「Ｄ.Ｌ.Ｃhaum and Ｔ.Ｐ.Ｐedersen“Ｗallet databases with observers,”Ａcvances in Ｃryptology−ＣＲＹＰＴＯ ’92,ＬＮＣＳ ７４０,pp.８０−１０５,Ｓpringer−Ｖerlag,１９９３」（以下、非特許文献４と称す）の方法を組み合わせて行うとする。

（Ａ′,Ｂ′）が［数１２］の関係を満たすことを示すためには、実際には（Ａ′,Ｂ′）＝（Ａ＋ｔ₁Ｐ,Ｂ＋ｔ₁Ｑ）または（Ａ′,Ｂ′）＝（−Ａ＋ｔ₁Ｐ,−Ｂ＋（ｔ₁＋１）Ｑ）が成り立つことを示せば良い。ここではその方法、すなわち［非特許文献３］および［非特許文献４］の方法を組み合わせたゼロ知識証明について、以下で与える［プロトコル１］を用いて具体的に説明する。なお［プロトコル１］は、Ｐを底としたＰ₀の離散対数とＱを底としたＱ₀の離散対数が等しい、あるいは、Ｐを底としたＰ₁の離散対数とＱを底としたＱ₁の離散対数が等しいことを、ゼロ知識証明技術を用いて証明するプロトコルである。

［プロトコル１］
入力：（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ₀,Ｑ₀）,（Ｐ₁,Ｑ₁））
証明者の秘密情報：（ｅ,ｔ）
１．証明者は以下に従って（ｚ₀,ｚ₁,ｃ₀,ｃ₁）を求め、それを検証者に送信する。
（ａ）１以上ｐ以下の乱数ｒ,ｒ′,ｃ_1-eを生成する。ここで、ｅは１もしくは０である。
（ｂ）Ｒ_P,e＝ｒＰ,Ｒ_Q,e＝ｒＱ,Ｒ_P,1-e＝ｒ′Ｐ−ｃ_1-eＰ_1-e,Ｒ_Q,1-e＝ｒ′Ｑ−ｃ_1-eＱ_1-e,ｃ_e＝Ｈ（Ｒ_P,0‖Ｒ_Q,0‖Ｒ_P,1‖Ｒ_Q,1）−ｃ_1-e,ｚ_e＝ｒ＋ｃ_eｔ,ｚ_1-e＝ｒ′を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
２．検証者はｃ₀＋ｃ₁＝Ｈ（ｚ₀Ｐ−ｃ₀Ｐ₀‖ｚ₀Ｑ−ｃ₀Ｑ₀‖ｚ₁Ｐ−ｃ₁Ｐ₁‖ｚ₁Ｑ−ｃ₁Ｑ₁）が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。

すると、暗号文変換装置３０（１）は、［数１２］に（Ａ,Ｂ）を入力した結果が（Ａ′,Ｂ′）であることを［プロトコル１］を用いて証明することができる。すなわち［プロトコル１］において、（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ₀,Ｑ₀）,（Ｐ₁,Ｑ₁））←（（Ｇ,ｐ,Ｐ,Ｑ）,（Ａ′−Ａ,Ｂ′−Ｂ）,（Ａ′＋Ａ,Ｂ′＋Ｂ−Ｑ））,（ｅ,ｔ）←（ｅ₁,ｔ₁）と代入すれば良い。

ここでは、上記［プロトコル１］内の証明者、検証者はそれぞれ暗号文変換装置３０（１）、検証装置５０となる。暗号文変換装置３０（１）は処理Ｓ２０３、Ｓ２０４により（z₀,ｚ₁,ｃ₀,ｃ₁）を求めて、それを検証装置５０に送信する。検証装置５０はｃ₀＋ｃ₁＝Ｈ（ｚ₀Ｐ−ｃ₀Ｐ₀‖ｚ₀Ｑ−ｃ₀Ｑ₀‖ｚ₁Ｐ−ｃ₁Ｐ₁‖ｚ₁Ｑ−ｃ₁Ｑ₁）が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する（Ｓ２０５）。

ここでは、検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したとして話を進める。
検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したことを暗号文変換装置３０（２）に伝える。これを受けて暗号文変換装置３０（２）は（Ｇ,ｐ,Ｐ,Ｑ）,（Ａ′,Ｂ′）を入力とし、以下の処理を行う。
１．ランダムビットｅ₂および１以上Ｂ以下の乱数ｔ₂を生成する（Ｓ２０６）。
２．以下の［数１３］に従って暗号文（Ａ″,Ｂ″）を求め、当該暗号文を復号装置４０（１）,（２）および検証装置５０、さらに暗号文変換装置３０（１）に送信する（Ｓ２０７）。

３．（Ａ″,Ｂ″）が［数１３］の関係を満たしていることを検証装置５０にゼロ知識証明する（Ｓ２０８〜Ｓ２１０）。

ここで、当該ゼロ知識証明は、先の［プロトコル１］において、（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ₀,Ｑ₀）,（Ｐ₁,Ｑ₁））←（（Ｇ,ｐ,Ｐ,Ｑ）,（Ａ″−Ａ′,Ｂ″−Ｂ′）,（Ａ′＋Ａ″,Ｂ′＋Ｂ″−Ｑ））,（ｅ,ｔ）←（ｅ₂,ｔ₂）と代入すれば良い。

ここでは、検証装置５０は暗号文変換装置３０（２）の当該証明事項を受理したとして話を進める。
検証装置５０は暗号文変換装置３０（２）の当該証明事項を受理したことを復号装置４０（１）,（２）に伝える。これを受けて、復号装置４０（１）は（Ａ″,Ｂ″）を入力とし、ｘ₁Ａ″を計算し、それを制御装置２０に送信する（Ｓ２１１）。同様に、復号装置４０（２）は（Ａ″,Ｂ″）を入力とし、ｘ₂Ａ″を計算し、それを制御装置２０に送信する（Ｓ２１２）。

その後、復号装置４０（１）,（２）を証明者、検証装置５０を検証者として、当該送信情報ｘ₁Ａ″,ｘ₂Ａ″が正しい計算結果であることをゼロ知識非対話証明技術を用いて証明する（Ｓ２１３〜Ｓ２２２）。

当該証明方法は、具体的にはＰを底としたｘ_iＰの離散対数、およびＡ″を底としたｘ_iＡ″の離散対数が等しい（すなわち、ともにｘ_iとなる）ことを非対話で証明する方法であり、先のゼロ知識証明の基本的な技術により実現可能である。以下にプロトコル例（プトロコル２とする）を示す。

［プロトコル２］
入力：（ｐ,（Ｕ₀,Ｖ₀）＝（Ｐ,ｘ_iＰ），（Ｕ₁,Ｖ₁）＝（Ａ″,ｘ_iＡ″））
証明者の秘密情報：ｘ_i
１．証明者は以下に従って、（Ｒ ₀ ,Ｒ ₁ ,ｓ,ｚ）を求め、（Ｒ ₀ ,Ｒ ₁ ,ｚ）を検証者に送信する。
（ａ）１以上Ｂ以下の乱数ｒを生成する。
（ｂ）Ｒ₀＝ｒＵ₀,Ｒ₁＝ｒＵ₁を計算する。
（ｃ）ｓ＝Ｈ（Ｕ₀‖Ｖ₀‖Ｕ₁‖Ｖ₁‖Ｒ₀‖Ｒ₁）を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
（ｄ）ｚ＝ｒ＋ｓｘ_iを計算する。
２．検証者はｓ′＝Ｈ（Ｕ₀‖Ｖ₀‖Ｕ₁‖Ｖ₁‖Ｒ₀‖Ｒ₁）を計算後、ｚＵ₀＝Ｒ₀＋ｓ′Ｖ₀,ｚＵ₁＝Ｒ₁＋ｓ′Ｖ₁が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。

ここでは、復号装置４０（１）は処理Ｓ２１３〜Ｓ２１６により（Ｒ₀,Ｒ₁,ｚ）を求め、これを検証装置５０に送信し、検証装置５０が検証する（Ｓ２１７）。同様に、復号装置４０（２）は処理Ｓ２１８〜Ｓ２２１により（Ｒ₀,Ｒ₁,ｚ）を求め、これを検証装置５０に送信し、検証装置５０が検証する（Ｓ２２２）。

検証装置５０は復号装置４０（１）,（２）の当該証明事項を受理したとして話を進める。検証装置５０は、送信情報ｘ₁Ａ″,ｘ₂Ａ″が正しいことを制御装置２０に伝える。

制御装置２０は、ｘ₁Ａ″,ｘ₂Ａ″が共に正しい計算結果である場合、ｘＡ″＝ｘ₁Ａ″＋ｘ₂Ａ″を計算し（Ｓ２２３）、ｘＡ″＝Ｂ″であれば（Ａ″,Ｂ″）の復号結果ｃを“０”、それ以外（ｘＡ″＝Ｂ″−Ｑ）であれば“１”とする（Ｓ２２４〜Ｓ２２６）。その後、当該復号結果ｃ∈｛０,１｝について、［数１４］に従って暗号文（Ｃ,Ｄ）を求め（Ｓ２２７）、Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））,（Ｃ,Ｄ）を暗号文変換装置３０（２）と検証装置５０に送信する。

ここで当該復号結果ｃについて、ｃ＝ａ＋ｅ₁＋ｅ₂（排他的論理和）が成り立つ。このことは第１の実施の形態から明らかであり、ここではその説明を省略する。なお、処理が冗長になるが、第１の実施の形態と同様に、1以上ｐ以下の乱数ｗを生成し、［数３］に示す式を用いて（Ｃ,Ｄ）を計算してもよい。

暗号文変換装置３０（２）は（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））,（Ｃ,Ｄ），（Ａ′，Ｂ′），（Ａ″，Ｂ″），ｔ₂，ｅ₂を入力として、先ず以下の処理を行う。
１．１以上ｐ以下の乱数ｕ_２を生成する（Ｓ２２８）。
２．以下の［数１５］に従って暗号文（Ｃ′,Ｄ′）を求め（Ｓ２２９）、当該暗号文を暗号文変換装置３０（１）および検証装置５０に送信する。

３．（Ｃ′,Ｄ′）が［数１５］を満たしていることを検証装置５０にゼロ知識証明する（Ｓ２３０〜Ｓ２３２）。

ここで、上記ゼロ知識証明の具体的な方法を説明する。いま（Ｃ′,Ｄ′）が［数１５］の関係を満たしていることを示すためには、（Ｃ′,Ｄ′）＝（Ｃ＋ｕ₂Ｐ,Ｄ＋ｕ₂Ｑ）または（Ｃ′,Ｄ′）＝（−Ｃ＋ｕ₂Ｐ＋Ｘ,−Ｄ＋ｕ₂Ｑ＋Ｙ）が成り立つことを示すだけでは不十分であり、
「（Ａ″,Ｂ″）＝（Ａ′＋ｔ₂Ｐ,Ｂ′＋ｔ₂Ｑ）かつ（Ｃ′,Ｄ′）＝（Ｃ＋ｕ₂Ｐ,Ｄ＋ｕ₂Ｑ）」
または
「（Ａ″,Ｂ″）＝（−Ａ′＋ｔ₂Ｐ,−Ｂ′＋（ｔ₂＋１）Ｑ）かつ
（Ｃ′,Ｄ′）＝（−Ｃ＋ｕ₂Ｐ＋Ｘ,−Ｄ＋ｕ₂Ｑ＋Ｙ）」
であることを示さなければならない。これは
［証明１］
「（Ａ″,Ｂ″）＝（Ａ′＋ｔ₂Ｐ,Ｂ′＋ｔ₂Ｑ）または
（Ａ″,Ｂ″）＝（−Ａ′＋ｔ₂Ｐ,−Ｂ′＋（ｔ₂＋１）Ｑ）
かつ
［証明２］
「（Ａ″,Ｂ″）＝（Ａ′＋ｔ₂Ｐ,Ｂ′＋ｔ₂Ｑ）または
（Ｃ′,Ｄ′）＝（−Ｃ′＋ｕ₂Ｐ＋Ｘ,−Ｄ＋ｔ₂Ｑ＋Ｙ）」
かつ
［証明３］
「（Ａ″,Ｂ″）＝（−Ａ′＋ｔ₂Ｐ,−Ｂ′＋（ｔ₂＋１）Ｑ）または
（Ｃ′,Ｄ′）＝（Ｃ＋ｕ₂Ｐ,Ｄ＋ｕ₂Ｑ）」
かつ
［証明４］
「（Ｃ′,Ｄ′）＝（Ｃ＋ｕ₂Ｐ,Ｄ＋ｕ₂Ｑ）または
（Ｃ′,Ｄ′）＝（−Ｃ′＋ｕ₂Ｐ＋Ｘ,−Ｄ′＋ｕ₂Ｑ＋Ｙ）」
であることを示すのと等しい。

ここで、［証明１］は既に証明済みであるため、残りの［証明２］、［証明３］、［証明４］を証明すれば良い。これは［プロトコル１］を３回実行することで実現可能であり、具体的には、［証明２］、［証明３］、［証明４］を証明するためにそれぞれ
（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ₀,Ｑ₀）,（Ｐ₁,Ｑ₁））←（（Ｇ,ｐ,Ｐ,Ｑ）,（Ａ″−Ａ′,Ｂ″−Ｂ′）,（Ｃ＋Ｃ′−Ｘ,Ｄ＋Ｄ′−Ｙ））,（ｅ,ｔ）←（ｅ₂,ｔ₂ or ｕ₂）,
（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ₀,Ｑ₀）,（Ｐ₁,Ｑ₁））←（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｃ′−Ｃ,Ｄ′−Ｄ）,（Ａ′＋Ａ″,Ｂ′＋Ｂ″−Ｑ））,（ｅ,ｔ）←（ｅ₂,ｔ₂ or ｕ₂）,
（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ₀,Ｑ₀）,（Ｐ₁,Ｑ₁））←（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｃ′−Ｃ,Ｄ′−Ｄ）,（Ｃ＋Ｃ′−Ｘ,Ｄ＋Ｄ′−Ｙ））,（ｅ,ｔ）←（ｅ ₂ ,ｕ ₂ ）,
と代入すれば良い。

暗号文変換装置３０（２）および検証装置５０は、処理Ｓ２３０〜Ｓ２３２を３回（ｉ＝１,２,３）実行して上記［証明２］、［証明３］、［証明４］を証明する。

ここでは、検証装置５０は暗号文変換装置３０（２）の当該証明事項を受理したとして話を進める。すると（Ｃ′,Ｄ′）の復号結果ｃ′について、ｃ′＝（ａ＋ｅ₁）ｂ（ａ＋ｅ₁は排他的論理和）が成り立つ。このことは第１の実施の形態から明らかであり、ここではその説明を省略する。

検証装置５０は暗号文変換装置３０（２）の当該証明事項を受理したことを暗号文変換装置３０（１）に伝える。これを受けて暗号文変換装置３０（１）は（Ｇ,ｐ,Ｐ,Ｑ）,（Ｃ′,Ｄ′），（Ａ′，Ｂ′），（Ａ″，Ｂ″），ｔ₁，ｅ₁を入力とし、先ず以下の処理を行う。
１．１以上ｐ以下の乱数ｕ₁を生成する（Ｓ２３３）。
２．以下の［数１６］に従って暗号文（Ｃ″,Ｄ″）を求め、当該暗号文を制御装置１１０および検証装置５０に送信する（Ｓ２３４）。

３．（Ｃ″,Ｄ″）が［数１６］の関係を満たしていることを検証装置５０にゼロ知識証明する（Ｓ２３５〜Ｓ２３７）。

ここで（Ｃ″,Ｄ″）が［数１６］の関係を満たしていることを示す方法は、前述の暗号文変換装置３０（２）での説明から明らかであるため省略する。

ここでは、検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したとして話を進める。すると（Ｃ″,Ｄ″）の復号結果ｃ″について、ｃ″＝ａｂが成り立つ。このことは第１の実施の形態から明らかであり、ここではその説明を省略する。

検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したことを制御装置２０に伝える。これを受けて制御装置２０は、暗号文変換装置３０（１）より先に受信した（Ｃ″,Ｄ″）をａ×ｂの暗号文として認め、必要に応じて出力する（Ｓ２３８）。

以上より、制御装置２０は、暗号文変換装置３０（１）,（２）、復号装置４０（１）,（２）、および検証装置５０の協力により、ａの暗号文Ｅ（ａ,ｒ）およびｂの暗号文Ｅ（ｂ,ｓ）から、ａ,ｂを知ることなくａ×ｂの暗号文を計算することができ、更には当該暗号文を取得することができる。ここでａ,ｂの秘匿性は、暗号文変換装置３０（１）,（２）の生成したランダムビットｅ₁,ｅ₂の秘匿性に依存する。すなわち本実施の形態で示したプロトコルからｅ₁およびｅ₂を知ることが困難であれば、少なくとも暗号文変換装置３０（１）,（２）の不正結託がない限りはａ,ｂを知ることが困難となる。

なお、図１に示した第１の実施の形態のシステム構成に検証装置５０を追加すれば、本第２の実施の形態同様に、暗号文変換装置３０や復号装置４０（１）,（２）の処理正当性を検出することが可能である。

また、本実施の形態では暗号文変換装置が２台の例を挙げたが、本プロトコルでは暗号文変換装置を３台以上に拡張することも容易である（ただしその方法は明らかであるため省略する）。そして当該拡張により暗号文変換装置の結託に対する耐性が高まる。これは言い換えればａ,ｂの秘匿性を効果的に高めることができる。

なお、上記説明では、暗号文変換装置３０（２）が（Ｃ′,Ｄ′）を計算し、暗号文変換装置３０（１）が（Ｃ″,Ｄ″）を計算するとしたが、（Ｃ′,Ｄ′）を暗号文変換装置３０（１）が計算し、（Ｃ″,Ｄ″）を暗号文変換装置３０（２）が計算しても結果は同等である。

［第３の実施の形態］
これは、第１の実施の形態における課題について、第２の実施の形態とは別の方法（プロトコル）で解決するものである。

第３の実施の形態におけるシステム構成は、第２の実施の形態と同様となる。すなわち、図４に示すように同一のネットワーク１００で結ばれた、暗号文生成装置１０（１）,…,（Ｎ）、制御装置２０、暗号文変換装置３０（１）,（２）、復号装置４０（１）,（２）、および検証装置５０からなる。

ここでは第２の実施の形態同様、乗算処理における、暗号文変換装置および復号装置の処理正当性を検証することが可能な方法を説明する。

先ず暗号文変換装置３０（１）は、（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を入力とし、第２の実施の形態同様、以下の処理を行う。
１．ランダムビットｅ₁および１以上ｐ以下の乱数ｔ₁を生成する。
２．以下の［数１７］に従って暗号文（Ａ′,Ｂ′）を求め、当該暗号文を暗号文変換装置３０（２）および検証装置５０に送信する。

３．（Ａ′,Ｂ′）が［数１７］の関係を満たしていることを検証装置にゼロ知識証明する。
当該ゼロ知識証明の方法は、第２の実施の形態と同様であるため、説明を省略する。

検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したとして話を進める。
検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したことを暗号文変換装置３０（２）に伝える。これを受けて暗号文変換装置３０（２）は（Ｇ,ｐ,Ｐ,Ｑ）,（Ａ′,Ｂ′）を入力とし、第２の実施の形態同様、以下の処理を行う。
１．ランダムビットｅ₂および１以上ｐ以下の乱数ｔ₂を生成する。
２．以下の［数１８］に従って暗号文（Ａ″,Ｂ″）を求め、当該暗号文を復号装置４０（１）,（２）および検証装置５０、さらに暗号文変換装置３０（１）に送信する。

３．（Ａ″,Ｂ″）が［数１８］の関係を満たしていることを検証装置５０にゼロ知識証明する。
当該ゼロ知識証明の方法は、第２の実施の形態と同様であるため、説明を省略する。

検証装置５０は暗号文変換装置３０（２）の当該証明事項を受理したとして話を進める。
検証装置５０は暗号文変換装置３０（２）の当該証明事項を受理したことを復号装置４０（１）,（２）に伝える。これを受けて復号装置４０（ｉ）（ｉ＝１,２）は（Ａ″,Ｂ″）を入力とし、ｘ_iＡ′を計算し、それを制御装置２０に送信する。また当該送信情報が正しい計算結果であることをゼロ知識非対話証明技術を用いて検証装置５０に証明する。当該証明方法は、第２の実施の形態と同様であるため、説明を省略する。

検証装置５０は復号装置４０（１）,（２）の当該証明事項を受理したとして話を進める。
制御装置５０はｘＡ″＝ｘ₁Ａ″＋ｘ₂Ａ″を計算し、ｘＡ″＝ｘＢ″であれば（Ａ″,Ｂ″）の復号結果ｃを“０”、それ以外（ｘＡ″＝Ｂ″−Ｑ）であれば“１”とする。その後、当該復号結果ｃ∈｛０,１｝について、第２の実施の形態と同様に、以下の［数１９］に従って暗号文（Ｃ,Ｄ）を求め、Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））,（Ｃ,Ｄ）を暗号文変換装置３０（２）に送信する。

ここで、当該復号結果ｃについて、ｃ＝ａ＋ｅ₁＋ｅ₂（排他的論理和）が成り立つ。このことは第１の実施の形態から明らかであり、ここではその説明を省略する。

暗号文変換装置３０（２）は（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））,（Ｃ,Ｄ）（Ａ′，Ｂ′），（Ａ″，Ｂ″），ｔ₂，ｅ₂を入力として、先ず第２の実施の形態同様、以下の処理を行う。
１．１以上ｐ以下の乱数ｕ₂を生成する。
２．以下の［数２０］に従って暗号文（Ｃ′,Ｄ′）を求め、当該暗号文を暗号文変換装置３０（１）および検証装置５０に送信する。

３．（Ｃ′,Ｄ′）が［数２０］を満たしていることを検証装置５０にゼロ知識証明する。

第２の実施の形態で説明したように、いま（Ｃ′,Ｄ′）が［数２０］の関係を満たしていることを示すためには、（Ｃ′,Ｄ′）＝（Ｃ＋ｕ₂Ｐ，Ｄ＋ｕ₂Ｑ）または（Ｃ′，Ｄ′）＝（−Ｃ＋ｕ₂Ｐ＋Ｘ,−Ｄ＋ｕ₂Ｑ＋Ｙ）が成り立つことを示すだけでは不十分であり、
「（Ａ″,Ｂ″）＝（Ａ′＋ｔ₂Ｐ,Ｂ′＋ｔ₂Ｑ）かつ
（Ｃ′,Ｄ′）＝（Ｃ＋ｕ₂Ｐ,Ｄ＋ｕ₂Ｑ）」
または
「（Ａ″,Ｂ″）＝（−Ａ′＋ｔ₂Ｐ,−Ｂ′＋（ｔ₂＋１）Ｑ）かつ
（Ｃ′,Ｄ′）＝（−Ｃ＋ｕ₂Ｐ＋Ｘ,−Ｄ＋ｕ₂Ｑ＋Ｙ）」
であることを示さなければならない。

これを示すために、本実施の形態では、第２の実施の形態で示した方法とは異なる方法を用いる。これについて、以下で与える［プロトコル３］を用いて具体的に説明する。なお、［プロトコル３］は、
１．Ｐを底としたＰ₀の離散対数とＱを底としたＱ₀の離散対数が等しい、かつ、Ｐを底としたＰ₀′の離敵対数とＱを底としたＱ₀′の離散対数が等しい、
または、
２．Ｐを底としたＰ₁の離散対数とＱを底としたＱ₁の離散対数が等しい、かつ、Ｐを底としたＰ₁′の離散対数とＱを底としたＱ₁′の離散対数が等しい、
ことをゼロ知識証明技術を用いて証明するプロトコルである。

［プロトコル３］
入力：（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ_0,Ｑ₀）,（Ｐ_1,Ｑ₁）,（Ｐ₀′_,Ｑ₀′）,（Ｐ₁′_,Ｑ₁′）
証明者の秘密情報：（ｅ,ｔ,ｔ′）
１．証明者は以下に従って（ｚ₀,ｚ₁,ｚ₀′,ｚ₁′,ｃ₀,ｃ₁）を求め、それを検証者に送信する。
（ａ）１以上ｐ以下の乱数ｒ,ｒ′,ｒ″,ｒ″′,ｃ_1-eを生成する。ここで、ｅは１もしくは０である。
（ｂ）Ｒ_p,e＝ｒＰ,Ｒ_Q,e＝ｒＱ,Ｒ_p,1-e＝ｒ′Ｐ−ｃ_1-eＰ_1-e,Ｒ_Q,1-e＝ｒ′Ｑ−ｃ_1-eＱ_1-e,Ｒ′_P,e＝ｒ″Ｐ,Ｒ′_Q,e＝ｒ″Ｑ,Ｒ′_P,1-e＝ｒ″′Ｐ−ｃ_1-e Ｐ′ _1-e ,Ｒ′_Q,1-e＝ｒ″′Ｑ−ｃ_1-eＱ′_1-e,
ｃ_e＝Ｈ（Ｒ_P,0‖Ｒ_Q,0‖Ｒ_P,1‖Ｒ_Q,1‖Ｒ′_P,0‖Ｒ′_Q,0‖Ｒ′_P,1‖Ｒ′_Q,1）−ｃ_1-e,ｚ_e＝ｒ＋ｃ_eｔ,ｚ_1-e＝ｒ′,ｚ′_e＝ｒ″＋ｃ_eｔ′,ｚ′_1-e＝ｒ″′
を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
２．検証者はｃ₀＋ｃ₁＝Ｈ（ｚ₀Ｐ−ｃ₀Ｐ₀‖ｚ₀Ｑ−ｃ₀Ｑ₀‖ｚ₁Ｐ−ｃ₁Ｐ₁‖ｚ₁Ｑ−ｃ₁Ｑ₁‖ｚ₀′Ｐ−ｃ₀Ｐ₀′‖ｚ₀′Ｑ−ｃ₀Ｑ₀′‖ｚ₁′Ｐ−ｃ₁Ｐ₁′‖ｚ₁′Ｑ−ｃ₁Ｑ′₁‖）が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。

すると、暗号文変換装置３０（２）は、［数２０］に（Ｃ，Ｄ）を入力した結果が（Ｃ′，Ｄ′）であることを［プロトコル３］を用いて証明することができる。すなわち、［プロトコル３］において、（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ₀,Ｑ₀），（Ｐ₁,Ｑ₁）,（Ｐ₀′,Ｑ₀′）,（Ｐ₁′,Ｑ₁′）,（ｅ,ｔ，ｔ′））←（（Ｇ,ｐ,Ｐ,Ｑ）,（Ａ″−Ａ′,Ｂ″−Ｂ′）,（Ａ′＋Ａ″,Ｂ′＋Ｂ″−Ｑ）,（Ｃ′−Ｃ,Ｄ′−Ｄ）,（Ｃ＋Ｃ′,Ｄ＋Ｄ′−Ｑ））,（ｅ₂,ｔ₂,ｕ₂）と代入すれば良い。

検証装置５０（検証者）は暗号文変換装置３０（２）（証明者）の当該証明事項を受理したとして話を進める。すると（Ｃ′,Ｄ′）の復号結果ｃ′について、ｃ′＝（ａ＋ｅ₁）ｂ（ａ＋ｅ₁は排他的論理和）が成り立つ。このことは第１の実施の形態から明らかであり、ここではその説明を省略する。

検証装置５０は暗号文変換装置３０（２）の当該証明事項を受理したことを暗号文変換装置３０（１）に伝える。これを受けて暗号文変換装置１は（Ｇ,ｐ,Ｐ,Ｑ）,（Ｃ′,Ｄ′）（Ａ′，Ｂ′）,（Ａ″，Ｂ″），ｔ₁，ｅ₁を入力とし、まず第２の実施の形態同様、以下の処理を行う。
１．１以上ｐ以下の乱数ｕ₁を生成する。
２．以下の［数２１］に従って暗号文（Ｃ″,Ｄ″）を求め、当該暗号文を制御装置２０および検証装置５０に送信する。

３．（Ｃ″,Ｄ″）が［数２１］の関係を満たしていることを検証装置にゼロ知識証明する。
ここで（Ｃ″,Ｄ″）が［数２１］の関係を満たしていることを示す方法は、前述の暗号文変換装置３０（２）での説明から明らかであるため省略する。

検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したとして話を進める。すると（Ｃ″,Ｄ″）の復号結果ｃ″について、ｃ″＝ａｂが成り立つ。このことは第１の実施の形態から明らかであり、ここではその説明を省略する。

検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したことを制御装置２０に伝える。これを受けて制御装置２０は、暗号文変換装置３０（１）より先に受信した（Ｃ″,Ｄ″）をａ×ｂの暗号文として認める。

以上より、制御装置２０は、暗号文変換装置３０（１）,（２）、復号装置４０（１）,（２）、および検証装置５０の協力により、ａの暗号文Ｅ（ａ．ｒ）およびあの暗号文Ｅ（ｂ,ｓ）から、ａ,ｂを知ることなくａ×ｂの暗号文を計算することができ、更には当該暗号文を取得することができた。ここでａ,ｂの秘匿性は、暗号文変換装置３０（１）,（２）の生成したランダムビットｅ_1，ｅ₂の秘匿性に依存する。すなわち本実施の形態で示したプロトコルからｅ₁およびｅ₂を知ることが困難であれば、少なくとも暗号文変換装置３０（１）,（２）の不正結託がない限りはａ,ｂを知ることが困難となる。また、本実施の形態では暗号文変換装置が２台の例を挙げたが、本プロトコルでは暗号文変換装置を３台以上に拡張することも容易である（ただしその方法は明らかであるため省略する）。そして当該拡張により暗号文変換装置の結託に対する耐性が高まる。これは言い換えればａ,ｂの秘匿性を効果的に高めることができる。

なお、図１に示した第１の実施の形態のシステム構成に検証装置５０を追加すれば、本第３の実施の形態同様に、暗号文変換装置３０や復号装置４０（１）,（２）の処理正当性を検出することが可能である。

［第４の実施の形態］
これは、第１の実施の形態における課題について、第２の実施の形態や第３の実施の形態とは更に別の方法（プロトコル）で解決するものである。

第４の実施の形態におけるシステム構成は、第２の実施の形態と同様となる。すなわち、図４に示すように同一のネットワーク１００で結ばれた、暗号文生成装置１０（１）,…,（Ｎ）、制御装置２０、暗号文変換装置３０（１）,（２）、復号装置４０（１）,（２）、および検証装置５０からなる。

ここでは第２の実施の形態や第３の実施の形態同様、乗算処理における、暗号文変換装置および復号装置の処理正当性を検証することが可能な方法を説明する。

先ず暗号文変換装置３０（１）は、（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を入力とし、第２の実施の形態同様、以下の処理を行う。
１．ランダムビットｅ₁および１以上ｐ以下の乱数ｔ₁を生成する。
２．以下の［数２２］に従って暗号文（Ａ′,Ｂ′）を求め、当該暗号文を暗号文変換装置３０（２）および検証装置５０に送信する。

３．（Ａ′,Ｂ′）が［数２２］の関係を満たしていることを検証装置５０にゼロ知識証明する。
当該ゼロ知識証明の方法は、第２の実施の形態と同様であるため、説明を省略する。

検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したとして話を進める。
検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したことを暗号文変換装置３０（２）に伝える。これを受けて暗号文変換装置３０（２）は（Ｇ,ｐ,Ｐ,Ｑ）,（Ａ′,Ｂ′）を入力とし、第２の実施の形態同様、以下の処理を行う。
１．ランダムビットｅ₂および１以上ｐ以下の乱数ｔ₂を生成する。
２．以下の［数２３］に従って暗号文（Ａ″,Ｂ″）を求め、当該暗号文を復号装置４０（１）,（２）および検証装置５０、さらに暗号文変換装置３０（１）に送信する。

３．（Ａ″,Ｂ″）が［数２３］の関係を満たしていることを検証装置５０にゼロ知識証明する。
当該ゼロ知識証明の方法は、第２の実施の形態と同様であるため、説明を省略する。

検証装置５０は暗号文変換装置３０（２）の当該証明事項を受理したとして話を進める。
検証装置５０は暗号文変換装置３０（２）の当該証明事項を受理したことを復号装置４０（１）,（２）に伝える。これを受けて復号装置４０（ｉ）（ｉ＝１,２）は（Ａ″,Ｂ″）を入力とし、ｘ_iＡ′を計算し、それを制御装置２０に送信する。また当該送信情報が正しい計算結果であることをゼロ知識非対話証明技術を用いて検証装置５０に証明する。当該証明方法は、第２の実施の形態と同様であるため、説明を省略する。

検証装置５０は復号装置４０（１）,（２）の当該証明事項を受理したとして話を進める。
制御装置５０はｘＡ″＝ｘ₁Ａ″＋ｘ₂Ａ″を計算し、ｘＡ″＝ｘＢ″であれば（Ａ″,Ｂ″）の復号結果ｃを“０”、それ以外（ｘＡ″＝Ｂ″−Ｑ）であれば“１”とする。その後、当該復号結果ｃ∈｛０,１｝について、第２の実施の形態と同様に、以下の［数２４］に従って暗号文（Ｃ,Ｄ）を求め、Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））,（Ｃ,Ｄ）を暗号文変換装置３０（２）に送信する。

ここで、当該復号結果ｃについて、ｃ＝ａ＋ｅ₁＋ｅ₂（排他的論理和）が成り立つ。このことは第１の実施の形態から明らかであり、ここではその説明を省略する。

暗号文変換装置３０（２）は（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））,（Ｃ,Ｄ），（Ａ′，Ｂ′），（Ａ″，Ｂ″），ｔ₂，ｅ₂を入力として、まず、第２の実施の形態同様、以下の処理を行う。
１．１以上ｐ以下の乱数ｕ₂を生成する。
２．以下の［数２５］に従って暗号文（Ｃ′,Ｄ′）を求め、当該暗号文を暗号文変換装置３０（１）および検証装置５０に送信する。

３．（Ｃ′,Ｄ′）が［数２５］を満たしていることを検証装置５０にゼロ知識証明する。

第２の実施の形態で説明したように、いま（Ｃ′,Ｄ′）が［数２５］の関係を満たしていることを示すためには、（Ｃ′,Ｄ′）＝（Ｃ＋ｕ₂Ｐ，Ｄ＋ｕ₂Ｑ）または（Ｃ′，Ｄ′）＝（−Ｃ＋ｕ₂Ｐ＋Ｘ,−Ｄ＋ｕ₂Ｑ＋Ｙ）が成り立つことを示すだけでは不十分であり、
「（Ａ″,Ｂ″）＝（Ａ′＋ｔ₂Ｐ,Ｂ′＋ｔ₂Ｑ）かつ
（Ｃ′,Ｄ′）＝（Ｃ＋ｕ₂Ｐ,Ｄ＋ｕ₂Ｑ）」
または
「（Ａ″,Ｂ″）＝（−Ａ′＋ｔ₂Ｐ,−Ｂ′＋（ｔ₂＋１）Ｑ）かつ
（Ｃ′,Ｄ′）＝（−Ｃ＋ｕ₂Ｐ＋Ｘ,−Ｄ＋ｕ₂Ｑ＋Ｙ）」
であることを示さなければならない。

これを示すために、本実施の形態では、第２の実施の形態や第３の実施の形態で示した方法とは異なる方法を用いる。これについて、以下で与える［プロトコル４］を用いて具体的に説明する。なお、［プロトコル４］は、
１.Ｐを底としたＰ₀の離散対数とＱを底としたＱ₀の離散対数が等しい、
あるいは、
２.Ｐを底としたＰ₁の離散対数とＱを底としたＱ₁の離散対数が等しい、
ことがゼロ知識証明されているとき（該離散対数をｓとする）、
１が真であるときに限り、Ｐを底としたＰ₀′の離散対数とＱを底としたＱ₀′の離散対数が等しい、
逆に２が真であるときに限り、Ｐを底としたＰ₁′の離散対数とＱを底としたＱ₁′の離散対数が等しい（ともに該離散対数をｔとする）、
ことをゼロ知識証明技術を用いて証明可能なプロトコルである。
［プロトコル４］
入力：（（Ｇ,ｐ,Ｐ,Ｑ），（Ｐ₀,Ｑ₀），（Ｐ₁,Ｑ₁），（Ｐ₀′,Ｑ₀′），（Ｐ₁′,Ｑ₁′））
証明者の秘密情報：（ｅ,ｓ,ｔ）
１．証明者は以下に従って（ｚ₀,ｚ₁,ｃ₀,ｃ₁）を求め、それを検証者に送信する。
（ａ）ｃ′＝Ｈ（Ｐ₀‖Ｑ₀‖Ｐ₁‖Ｑ₁‖Ｐ₀′‖Ｑ₀′‖Ｐ₁′‖Ｑ₁′‖）を計算する。
（ｂ）１以上ｐ以下の乱数ｒ,ｒ′,ｃ_1-eを生成する。ここで、ｅは１もしくは０である。
（ｃ）Ｒ_P,e＝ｒＰ,Ｒ_Q,e＝ｒＱ,Ｒ_P,1-e＝ｒ′Ｐ−ｃ_1-e（ｃ′Ｐ_1-e+Ｐ′_1-e）,Ｒ_Q,1-e＝ｒ′Ｑ−ｃ_1-e（ｃ′Ｑ_1-e+Ｑ′_1-e）,ｃ_e＝Ｈ（Ｒ_P,0‖Ｒ_Q,0‖Ｒ_P,1‖Ｒ_Q,1）−ｃ_1-e,ｚ_e＝ｒ＋ｃ_e（ｃ′ｓ+ｔ）,ｚ_1-e＝ｒ′を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
２．検証者はｃ′＝Ｈ（Ｐ₀‖Ｑ₀‖Ｐ₁‖Ｑ₁‖Ｐ₀′‖Ｑ₀′‖Ｐ₁′‖Ｑ₁′）を計算し、ｃ₀＋ｃ₁＝Ｈ（ｚ₀Ｐ−ｃ₀（ｃ′Ｐ₀+Ｐ₀′）‖ｚ₀Ｑ−ｃ₀（ｃ′Ｑ₀+Ｑ₀′）‖ｚ₁Ｐ−ｃ₁（ｃ′Ｐ₁+Ｐ₁′）‖ｚ₁Ｑ−ｃ₁（ｃ′Ｑ₁+Ｑ₁′））が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。

すると、暗号文変換装置３０（２）は、［数２５］を（Ｃ，Ｄ）を入力した結果が（Ｃ′，Ｄ′）であることを［プロトコル４］を用いて証明することができる。すなわち、［プロトコル４］において、（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ₀,Ｑ₀），（Ｐ₁,Ｑ₁）,（Ｐ₀′,Ｑ₀′）,（Ｐ₁′,Ｑ₁′）,（ｅ,ｓ，ｔ′））←（（Ｇ,ｐ,Ｐ,Ｑ）,（Ａ″−Ａ′,Ｂ″−Ｂ′）,（Ａ′＋Ａ″,Ｂ′＋Ｂ″−Ｑ）,（Ｃ′−Ｃ,Ｄ′−Ｄ）,（Ｃ＋Ｃ′,Ｄ＋Ｄ′−Ｑ））,（ｅ₂,ｔ₂,ｕ₂）と代入すれば良い。

検証装置５０（検証者）は暗号文変換装置３０（２）（証明者）の当該証明事項を受理したとして話を進める。すると（Ｃ′,Ｄ′）の復号結果ｃ′について、ｃ′＝（ａ＋ｅ₁）ｂ（ａ＋ｅ₁は排他的論理和）が成り立つ。このことは第１の実施の形態から明らかであり、ここではその説明を省略する。

検証装置５０は暗号文変換装置３０（２）の当該証明事項を受理したことを暗号文変換装置３０（１）に伝える。これを受けて暗号文変換装置３０（１）は（Ｇ,ｐ,Ｐ,Ｑ）,（Ｃ′,Ｄ′）（Ａ′，Ｂ′）（Ａ″，Ｂ″），ｔ₁，ｅ₁を入力とし、先ず、第２の実施の形態同様、以下の処理を行う。
１．１以上ｐ以下の乱数ｕ₁を生成する。
２．以下の［数２６］に従って暗号文（Ｃ″,Ｄ″）を求め、当該暗号文を制御装置２０および検証装置５０に送信する。

３．（Ｃ″,Ｄ″）が［数２６］の関係を満たしていることを検証装置５０にゼロ知識証明する。
ここで（Ｃ″,Ｄ″）が［数２６］の関係を満たしていることを示す方法は、前述の暗号文変換装置３０（２）での説明から明らかであるため省略する。

検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したとして話を進める。すると（Ｃ″,Ｄ″）の復号結果ｃ″について、ｃ″＝ａｂが成り立つ。このことは第１の実施の形態から明らかであり、ここではその説明を省略する。

検証装置５０は暗号文変換装置３０（１）の当該証明事項を受理したことを制御装置２０に伝える。これを受けて制御装置２０は、暗号文変換装置３０（１）より先に受信した（Ｃ″,Ｄ″）をａ×ｂの暗号文として認める。

以上より、制御装置２０は、暗号文変換装置３０（１）,（２）、復号装置４０（１）,（２）、および検証装置５０の協力により、ａの暗号文Ｅ（ａ．ｒ）およびｂの暗号文Ｅ（ｂ,ｓ）から、ａ,ｂを知ることなくａ×ｂの暗号文を計算することができ、更には当該暗号文を取得することができる。ここでａ,ｂの秘匿性は、暗号文変換装置３０（１）,（２）の生成したランダムビットｅ_1，ｅ₂の秘匿性に依存する。すなわち本実施の形態で示したプロトコルからｅ₁およびｅ₂を知ることが困難であれば、少なくとも暗号文変換装置３０（１）,（２）の不正結託がない限りはａ,ｂを知ることが困難となる。また、本実施の形態では暗号文変換装置が２台の例を挙げたが、本プロトコルでは暗号文変換装置を３台以上に拡張することも容易である（ただしその方法は明らかであるため省略する）。そして当該拡張により暗号文変換装置の結託に対する耐性が高まる。これは言い換えればａ,ｂの秘匿性を効果的に高めることができる。

なお、図１に示した第１の実施の形態のシステム構成に検証装置５０を追加すれば、本第４の実施の形態同様に、暗号文変換装置３０や復号装置４０（１）,（２）の処理正当性を検出することが可能である。

［第５の実施の形態］
第１の実施の形態では入力値を秘匿する秘密計算方法の例について示したが、単純な拡張により、当該方法を、関数を秘匿する方法とすることもできる。そこで、第５の実施の形態として、第１の実施の形態で示した方法の応用により関数を暗号化する方法、そして当該暗号化関数から当該関数の実行結果を得る方法について説明する。

第５の実施の形態におけるシステム構成は、図６に示すように、同一のネットワーク１００で結ばれた、関数暗号化装置６０、制御装置２０、暗号文変換装置３０、および復号装置４０（１）,（２）からなる。

いま対象とする関数は、第１の実施の形態で与えた基本論理ゲートのうち、ＮＯＴを除いたもの（すなわちＡＮＤ,ＯＲ,ＮＡＮＤ,ＮＯＲ）の組み合わせにより表現されているものとし、当該関数は関数暗号化装置６０が保持しているとする。実際、多くの関数は理論上はＡＮＤ,ＯＲ,ＮＡＮＤ,ＮＯＲの組み合わせで表現可能である。ここで関数を秘匿する方法を説明するために、第１の実施の形態で示したＡＮＤ,ＯＲ,ＮＡＮＤ,ＮＯＲ関数、

について、
１．実行可能
２．暗号化可能
３．どの関数が暗号化されているのか識別困難
という条件を全て満たすことができれば、どの論理ゲートが実行されているかを秘匿できるようになる。すなわちＡＮＤ,ＯＲ,ＮＡＮＤ,ＮＯＲの組み合わせにより表現された関数の個々の処理を秘匿できるようになる。

本実施の形態では、上記三つの条件を満たすための方法を具体的に説明する。
関数暗号化装置６０は、事前に保持している、基本論理ゲートＡＮＤ,ＯＲ,ＮＡＮＤ,ＮＯＲの組み合わせにより表現された関数から、基本論理ゲートＦ（ｘ,ｙ）を一つ選び、先ず暗号文の組（Ｅ（ａ₁,ｒ₁）,Ｅ（ａ₂,ｒ₂）,Ｅ（ａ₃,ｒ₃）,Ｅ（ａ₄,ｒ₄））を生成する。ここで

かつｒ_ｉ（ｉ＝１,２,３,４）は１以上ｐ以下の乱数とする。また、平文ａ∈｛−１,０１｝を暗号化する暗号関数Ｅは第１の実施の形態で説明したとおりであるが、復号処理は第１の実施の形態において

と拡張する。ここでｘは第１の実施の形態同様、秘密鍵である。

上記の準備に加え、ａ,ｂの暗号文α＝Ｅ（ａ,ｒ）,β＝Ｅ（ｂ．ｓ）から第１の実施の形態で示した方法でａ×ｂの暗号文（Ｃ′,Ｄ′）を得る関数（プロトコル）をＭ（α,β）で表す。またγ_i＝Ｅ（ａ_i,ｒ_i）とする。すると

はＦ（ａ,ｂ）の暗号文とみることができる。このことは、本発明の暗号方式の性質より、［数３０］がａ₁＋ａ₂ａ＋ａ₃ｂ＋ａ₄ａｂの暗号文を意味することから容易に確認できる。

以上の前提より、関数暗号化装置６０の処理について説明する。関数暗号化装置６０は、事前に保持している関数から、論理ゲート部分を個別に上記方法により（ａ₁,ａ₂,ａ₃,ａ₄）と変換したものを生成し、当該変換情報、および当該関数の演算順序を示す情報を制御装置２０に送信する。ここで当該変換情報は、暗号文の組（ａ₁,ａ₂,ａ₃,ａ₄）の集合からなり、当該演算順序を示す情報は、当該暗号文の組を用いる順序などの演算規則の情報である。

関数暗号化装置６０から当該変換情報および演算規則情報を受信した制御装置２０は、関数暗号化装置の保持する関数を知ることなく当該受信情報のみから、［数３０］にしたがって、第１の実施の形態で示した方法より当該関数の出力結果を得ることができる。ただしその方法は第１の実施の形態から明らかであるため、説明を省略する。

以上、暗号化された関数が与えられ、それを用いて当該関数の実行結果を得る方法について説明したが、制御装置２０は暗号文の組の集合｛（ａ₁,ａ₂,ａ₃,ａ₄）｝および演算規則情報しか得られないことから、制御装置２０が、関数暗号化装置６０の保持する、ＡＮＤ,ＯＲ,ＮＡＮＤ,ＮＯＲの組み合わせにより表現された関数を知ることは本発明で用いる暗号方式の強度に基づいて困難であるといえる。

なお、図１、図４、図６などで示したシステムにおける各部の一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明を実現することができること、あるいは、図２、図３、図５などで示した処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもない。また、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。

また、第１、第２、第３あるいは第４の実施の形態において、ａ_i,ｂ_i∈｛０,１｝（ｉ＝１,２,…,ｎ）の暗号文（Ａ_i,Ｂ_i）,（Ｘ_i,Ｙ_i）を時間をずらして順じ入力し、順次、各装置で所定の処理を実行することで、複数組のａ_i×ｂ_iの暗号文をパイプライン形式に計算することが可能である。

本発明の第１の実施の形態のシステム構成例を示す図。 第１の実施の形態において公開鍵（Ｇ,ｐ,Ｐ,Ｑ）を生成する処理シーケンス例を示す図。 第１の実施の形態においてａ,ｂの暗号文からａ×ｂの暗号文を求める処理シーケンス例を示す図。 本発明の第２の実施の形態、第３の実施の形態および第４の実施の形態のシステム構成例を示す図。 第２の実施の形態においてａ,ｂの暗号文からａ×ｂの暗号文を求める処理シーケンス例を示す図。 同じく第２の実施の形態においてａ,ｂの暗号文からａ×ｂの暗号文を求める処理シーケンス例を示す図。 同じく第２の実施の形態においてａ,ｂの暗号文からａ×ｂの暗号文を求める処理シーケンス例を示す図。 同じく第２の実施の形態においてａ,ｂの暗号文からａ×ｂの暗号文を求める処理シーケンス例を示す図。 本発明の第５の実施の形態のシステム構成例を示す図。

符号の説明

１０ 暗号文生成装置
２０ 制御装置
３０ 暗号文変換装置
４０ 復号装置
５０ 検証装置
６０ 関数暗号化装置
１００ ネットワーク

Claims (11)

1. ある有限体上で定義された楕円曲線の有理点からなる群をＧとし、ＰをＧの元とし、Ｇの位数をｐとし、秘密鍵ｘ∈｛１,…,ｐ｝に対してＱ＝ｘＰとし、（Ｇ,ｐ,Ｐ,Ｑ）を公開鍵とし、
   平文ａ∈｛０,１｝を暗号化する暗号関数Ｅが
   Ｅ（ａ,ｒ）＝（Ａ,Ｂ）＝（ｒｐ,（ｒ＋ａ）Ｑ）
   と定義され（ｒは１以上ｐ以下の乱数）、
   ａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））、Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））から、ａ,ｂを知ることなく、ａ×ｂの暗号文を計算する秘密計算方法であって、
   ネットワークで結ばれた、一つあるいは複数の暗号文生成装置、制御装置、暗号文変換装置および複数の復号装置を備え、
   制御装置は、ａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））、Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））を暗号文生成装置から入力して、まず、Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を暗号文変換装置に送信し、
   暗号文変換装置は、（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を入力として、ランダムビットｅおよび１以上ｐ以下の乱数ｔを生成し、暗号文（Ａ′,Ｂ′）を
   

   

   により計算して、該暗号文（Ａ′,Ｂ′）を各復号装置ｉ（ｉ＝１,２,…）に送信し、
   各復号装置ｉ（ｉ＝１,２,…）は、（Ａ′,Ｂ′）を入力とし、ｘ_iＡ′（ｘ_iは乱数）を計算して、それを制御装置に送信し、
   制御装置は、ｘＡ′＝ｘ₁Ａ′＋ｘ₂Ａ′＋…を計算し、ｘＡ′＝Ｂ′であれば（Ａ′,Ｂ′）の復号結果ｃを“０”、それ以外（ｘＡ′＝Ｂ′−Ｑ）であれば“１”として、該復号結果ｃ∈｛０,１｝について、暗号文（Ｃ,Ｄ）を、
   

   

   により計算して（ｗは１以上ｐ以下の乱数）、該暗号文（Ｃ,Ｄ）,Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））を暗号文変換装置に送信し、
   暗号文変換装置は、（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））,（Ｃ,Ｄ）を入力として、１以上ｐ以下の乱数ｕを生成し、暗号文（Ｃ′,Ｄ′）を
   

   

   により計算して、該暗号文（Ｃ′,Ｄ′）を制御装置に送信し、
   制御装置は、（Ｃ′,Ｄ′）をａ×ｂの暗号文として出力することを特徴とする秘密計算方法。
2. ある有限体上で定義された楕円曲線の有理点からなる群をＧとし、ＰをＧの元とし、Ｇの位数をｐとし、秘密鍵ｘ∈｛１,…,ｐ｝に対してＱ＝ｘＰとし、（Ｇ,ｐ,Ｐ,Ｑ）を公開鍵とし、
   平文ａ∈｛０,１｝を暗号化する暗号関数Ｅが
   Ｅ（ａ,ｒ）＝（Ａ,Ｂ）＝（ｒｐ,（ｒ＋ａ）Ｑ
   と定義され（ｒは１以上ｐ以下の乱数）、
   ａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））、Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））から、ａ,ｂを知ることなく、ａ×ｂの暗号文を計算する秘密計算方法であって、
   ネットワークで結ばれた、一つあるいは複数の暗号文生成装置、制御装置、複数の暗号文変換装置、複数の復号装置および検証装置を備え、
   制御装置は、ａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））、Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））を暗号文生成装置から入力して、まず、Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を第１の暗号文変換装置に送信し、
   第１の暗号文変換装置は、（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を入力として、ランダムビットｅ₁および１以上ｐ以下の乱数ｔ₁を生成し、暗号文（Ａ′,Ｂ′）を
   

   

   により計算して、該暗号文（Ａ′,Ｂ′）を第２の暗号文変換装置および検証装置に送信し、
   検証装置は、第１の暗号文変換装置の処理正当性を検証して、その結果を第２の暗号文変換装置に通知し、
   第２の暗号文変換装置は、検証装置から第１の暗号文変換装置の処理正当の通知を受けると、ランダムビットｅ₂および１以上ｐ以下の乱数ｔ₂を生成し、暗号文（Ａ″,Ｂ″）を、
   

   

   により計算して、該暗号文（Ａ″,Ｂ″）を各復号装置ｉ（ｉ＝１,２,…）および検証装置に送信し、
   検証装置は、第２の暗号文変換装置の処理正当性を検証して、その結果を各復号装置に通知し、
   各復号装置ｉ（ｉ＝１,２,…）は、検証装置から第２の暗号文変換装置の処理正当の通知を受けると、（Ａ″,Ｂ″）を入力とし、ｘ_iＡ″（ｘ_iは乱数）を計算して、それを制御装置に送信し、
   検証装置は、各復号装置の処理正当性を検証して、その結果を制御装置に通知し、
   制御装置は、検証装置から全ての復号装置の処理正当の通知を受けると、ｘＡ″＝ｘ₁Ａ″＋ｘ₂Ａ″＋…を計算し、ｘＡ″＝Ｂ″であれば（Ａ″,Ｂ″）の復号結果ｃを“０”、それ以外（ｘＡ″＝Ｂ″−Ｑ）であれば“１”として、該復号結果ｃ∈｛０,１｝について、暗号文（Ｃ,Ｄ）を、
   

   

   により計算して、該暗号文（Ｃ,Ｄ）,Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））を第１（あるいは第２の暗号文変換装置に送信し、
   第１（あるいは第２）の暗号文変換装置は、（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））,（Ｃ,Ｄ）を入力として、１以上ｐ以下の乱数ｕ₂を生成し、暗号文（Ｃ′,Ｄ′）を
   

   

   により計算して、該暗号文（Ｃ′,Ｄ′）を第２（あるいは第１）の暗号文変換装置および検証装置に送信し、
   検証装置は、第１（あるいは第２）の暗号文変換装置の処理正当性を検証して、その結果を第２（あるいは第１）の暗号文変換装置に通知し、
   第２（あるいは第１）の暗号文変換装置は、検証装置から第１（あるいは第２）の暗号文変換装置の処理正当の通知を受けると、（Ｇ,ｐ,Ｐ,Ｑ）,（Ｃ′,Ｄ′）を入力として、１以上ｐ以下の乱数ｕ_１を生成し、暗号文（Ｃ″,Ｄ″）を
   

   

   により計算して、該暗号文（Ｃ″,Ｄ″）を制御装置および検証装置に送信し、
   検証装置は、第２（あるいは第１）の暗号文変換装置の処理の正当性を検証して、その結果を制御装置に通知し、
   制御装置は、検証装置から第２（あるいは第１）の暗号文変換装置の処理の正当の通知を受けると、（Ｃ″,Ｄ″）をａ×ｂの暗号文として認識することを特徴とする秘密計算方法。
3. 請求項２記載の秘密計算方法において、
   検証装置は、第１あるいは第２の暗号文変換装置を証明者、当該検証装置を検証者として、下記プロトコル１を用いて、（Ａ′,Ｂ′）,（Ａ″,Ｂ″）,（Ｃ′,Ｄ′）（Ｃ″,Ｄ″）が［数４］、［数５］、［数７］、［数８］の関係を満たしていることをゼロ知識証明する、
   ［プロトコル１］
   Ｐを底としたＰ₀の離散対数とＱを底としたＱ₀の離散対数が等しい、あるいは、Ｐを底としたＰ₁の離散対数とＱを底としたＱ₁の離散対数が等しいことをゼロ知識証明するプロトコル
   入力：（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ₀,Ｑ₀）,（Ｐ₁,Ｑ₁））
   証明者の秘密情報：（ｅ,ｔ）
   １．証明者は以下に従って（ｚ₀,ｚ₁,ｃ₀,ｃ₁）を求め、それを検証者に送信する。
   （ａ）１以上ｐ以下の乱数ｒ,ｒ′,ｃ_1-eを生成する。ここで、ｅは１もしくは０である。
   （ｂ）Ｒ_P,e＝ｒＰ,Ｒ_Q,e＝ｒＱ,Ｒ_P,1-e＝ｒ′Ｐ-ｃ_1-eＰ_1-e,Ｒ_Q,1-e＝ｒ′Ｑ-ｃ_1-eＱ_1-e,ｃ_e＝Ｈ（Ｒ_P,0‖Ｒ_Q,0‖Ｒ_P,1‖Ｒ_Q,1）−ｃ_1-e,ｚ_e＝ｒ＋ｃ_eｔ,ｚ_1-e＝ｒ′を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
   ２．検証者はｃ₀＋ｃ₁＝Ｈ（ｚ₀Ｐ−ｃ₀Ｐ₀‖ｚ₀Ｑ−ｃ₀Ｑ₀‖ｚ₁Ｐ−ｃ₁Ｐ₁‖ｚ₁Ｑ−ｃ₁Ｑ₁）が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。
   ことを特徴とする秘密計算方法。
4. 請求項２記載の秘密計算方法において、
   検証装置は、復号装置を証明者、当該検証装置を検証者として、下記プロトコル２を用いて、ｘ_iＡ″が正しい計算結果であることをゼロ知識証明する、
   ［プロトコル２］
   Ｐを底としたｘ_iＰの離散対数、およびＡ″を底としたｘ_iＡ″の離散対数が等しい（すなわち、ともにｘ_iとなる）ことを非対話で証明するプロトコル、
   入力：（ｐ,（Ｕ₀,Ｖ₀）＝（Ｐ,ｘ_iＰ）,（Ｕ₁,Ｖ₁）＝（Ａ″,ｘ_iＡ″））
   証明者の秘密情報：ｘ_i
   １．証明者は以下に従って、（Ｒ ₀ ,Ｒ ₁ ,ｓ,ｚ）を求め、（Ｒ ₀ ,Ｒ ₁ ,ｚ）を検証者に送信する。
   （ａ）１以上Ｂ以下の乱数ｒを生成する。
   （ｂ）Ｒ₀＝ｒＵ₀,Ｒ₁＝ｒＵ₁を計算する。
   （ｃ）ｓ＝Ｈ（Ｕ₀‖Ｖ₀‖Ｕ₁‖Ｖ₁‖Ｒ₀‖Ｒ₁）を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
   （ｄ）ｚ＝ｒ＋ｓｘ_iを計算する。
   ２．検証者はｓ′＝Ｈ（Ｕ₀‖Ｖ₀‖Ｕ₁‖Ｖ₁‖Ｒ₀‖Ｒ₁）を計算後、ｚＵ₀＝Ｒ₀＋ｓ′Ｖ₀,ｚＵ₁＝Ｒ₁＋ｓ′Ｖ₁が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。
   ことを特徴とする秘密計算方法。
5. 請求項２記載の秘密計算方法において、
   検証装置は、第１あるいは第２の暗号文変換装置を証明者、当該検証装置を検証者として、下記プロトコル１を用いて、（Ａ′,Ｂ′）,（Ａ″,Ｂ″）が［数４］、［数５］の関係を満たしていることをゼロ知識証明し、
   ［プロトコル１］
   Ｐを底としたＰ₀の離散対数とＱを底としたＱ₀の離散対数が等しい、あるいは、Ｐを底としたＰ_１の離散対数とＱを底としたＱ₁の離散対数が等しいことをゼロ知識証明プロトコル
   入力：（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ₀,Ｑ₀）,（Ｐ₁,Ｑ₁））
   証明者の秘密情報：（ｅ,ｔ）
   １．証明者は以下に従って（ｚ₀,ｚ₁,ｃ₀,ｃ₁）を求め、それを検証者に送信する。
   （ａ）１以上ｐ以下の乱数ｒ,ｒ′,ｃ_1-eを生成する。ここで、ｅは１もしくは０である。
   （ｂ）Ｒ_P,e＝ｒＰ,Ｒ_Q,e＝ｒＱ,Ｒ_P,1-e＝ｒ′Ｐ−ｃ_1-eＰ_1-e,Ｒ_Q,1-e＝ｒ′Ｑ−ｃ_1-eＱ_1-e,ｃ_e＝Ｈ（Ｒ_P,0‖Ｒ_Q,0‖Ｒ_P,1‖Ｒ_Q,1）−ｃ_1-e,ｚ_e＝ｒ＋ｃ_eｔ,ｚ_1-e＝ｒ′を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
   ２．検証者はｃ₀＋ｃ₁＝Ｈ（ｚ₀Ｐ−ｃ₀Ｐ₀‖ｚ₀Ｑ−ｃ₀Ｑ₀‖ｚ₁Ｐ−ｃ₁Ｐ₁‖ｚ₁Ｑ−ｃ₁Ｑ₁）が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。
   さらに、検証装置は、第１あるいは第２の暗号文変換装置を証明者、当該検証装置を検証者として、下記プロトコル３を用いて、（Ｃ′,Ｄ′）（Ｃ″,Ｄ″）が［数７］、［数８］の関係を満たしていることをゼロ知識証明する、
   ［プロトコル３］
   １．Ｐを底としたＰ₀の離散対数とＱを底としたＱ₀の離散対数が等しい、かつ、Ｐを底としたＰ₀′の離敵対数とＱを底としたＱ₀′の離散対数が等しい、
   または、
   ２．Ｐを底としたＰ₁の離散対数とＱを底としたＱ₁の離散対数が等しい、かつ、Ｐを底としたＰ₁′の離散対数とＱを底としたＱ₁′の離散対数が等しい、
   ことをゼロ知識証明するプロトコル
   入力：（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ_0,Ｑ₀）,（Ｐ_1,Ｑ₁）,（Ｐ₀′_,Ｑ₀′）,（Ｐ₁′_,Ｑ₁′）
   証明者の秘密情報：（ｅ,ｔ,ｔ′）
   １．証明者は以下に従って（ｚ₀,ｚ₁,ｚ₀′,ｚ₁′,ｃ₀,ｃ₁）を求め、それを検証者に送信する。
   （ａ）１以上ｐ以下の乱数ｒ,ｒ′,ｒ″,ｒ″′,ｃ_1-eを生成する。ここで、ｅは１もしくは０である。
   （ｂ）Ｒ_p,e＝ｒＰ,Ｒ_Q,e＝ｒＱ,Ｒ_p,1-e＝ｒ′Ｐ−ｃ_1-eＰ_1-e,Ｒ_Q,1-e＝ｒ′Ｑ−ｃ_1-eＱ_1-e,Ｒ′_P,e＝ｒ″Ｐ,Ｒ′_Q,e＝ｒ″Ｑ,Ｒ′_P,1-e＝ｒ″′Ｐ−ｃ_1-e Ｐ′ _1-e ,Ｒ′_Q,1-e＝ｒ″′Ｑ−ｃ_1-eＱ_1-e,
   ｃ_e＝Ｈ（Ｒ_P,0‖Ｒ_Q,0‖Ｒ_P,1‖Ｒ_Q,1‖Ｒ′_P,0‖Ｒ′_Q,0‖Ｒ′_P,1‖Ｒ′_Q,1）−ｃ_1-e,
   ｚ_e＝ｒ＋ｃ_eｔ,ｚ_1-e＝ｒ′,ｚ′_e＝ｒ″＋ｃ_eｔ′,ｚ′_1-e＝ｒ″′
   を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
   ２．検証者はｃ₀＋ｃ₁＝Ｈ（ｚ₀Ｐ−ｃ₀Ｐ₀‖ｚ₀Ｑ−ｃ₀Ｑ₀‖ｚ₁Ｐ−ｃ₁Ｐ₁‖ｚ₁Ｑ−ｃ₁Ｑ₁‖ｚ₀′Ｐ−ｃ₀Ｐ₀′‖ｚ₀′Ｑ−ｃ₀Ｑ₀′‖ｚ₁′Ｐ−ｃ₁Ｐ₁′‖ｚ₁′Ｑ−ｃ₁Ｑ₁′）が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。
   ことを特徴とする秘密計算方法。
6. 請求項２記載の秘密計算方法において、
   検証装置は、第１あるいは第２の暗号文変換装置を証明者、当該検証装置を検証者として、下記プロトコル１を用いて、（Ａ′，Ｂ′），（Ａ″，Ｂ″）が［数４］、［数５］満たしていることをゼロ知識証明し、
   ［プロトコル１］
   Ｐを底としたＰ₀の離散対数とＱを底としたＱ₀の離散対数が等しい、あるいは、Ｐを底としたＰ_１の離散対数とＱを底としたＱ₁の離散対数が等しいことをゼロ知識証明プロトコル
   入力：（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ₀,Ｑ₀）,（Ｐ₁,Ｑ₁））
   証明者の秘密情報：（ｅ,ｔ）
   １．証明者は以下に従って（ｚ₀,ｚ₁,ｃ₀,ｃ₁）を求め、それを検証者に送信する。
   （ａ）１以上ｐ以下の乱数ｒ,ｒ′,ｃ_1-eを生成する。ここで、ｅは１もしくは０である。
   （ｂ）Ｒ_P,e＝ｒＰ,Ｒ_Q,e＝ｒＱ,Ｒ_P,1-e＝ｒ′Ｐ−ｃ_1-eＰ_1-e,Ｒ_Q,1-e＝ｒ′Ｑ−ｃ_1-eＱ_1-e,ｃ_e＝Ｈ（Ｒ_P,0‖Ｒ_Q,0‖Ｒ_P,1‖Ｒ_Q,1）−ｃ_1-e,ｚ_e＝ｒ＋ｃ_eｔ,ｚ_1-e＝ｒ′を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
   ２．検証者はｃ₀＋ｃ₁＝Ｈ（ｚ₀Ｐ−ｃ₀Ｐ₀‖ｚ₀Ｑ−ｃ₀Ｑ₀‖ｚ₁Ｐ−ｃ₁Ｐ₁‖ｚ₁Ｑ−ｃ₁Ｑ₁）が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。
   さらに、検証装置は、第１あるいは第２の暗号文変換装置を証明者、当該検証装置を検証者として、下記プロトコル４を用いて、（Ｃ′，Ｄ′），（Ｃ″，Ｄ″）が［数７］、［数８］の関係をみたしていることをゼロ知識証明する。
   ［プロトコル４］
   １.Ｐを底としたＰ₀の離散対数とＱを底としたＱ₀の離散対数が等しい、
   あるいは、
   ２.Ｐを底としたＰ₁の離散対数とＱを底としたＱ₁の離散対数が等しい、
   ことがゼロ知識証明されているとき（該離散対数をｓとする）、
   １が真であるときに限り、Ｐを底としたＰ₀′の離散対数とＱを底としたＱ₀′の離散対数が等しいことを証明し、
   逆に２が真であるときに限り、Ｐを底としたＰ₁′の離散対数とＱを底としたＱ₁′の離散対数が等しいことを証明する（ともに該離散対数をｔとする）、ことが可能なプロトコル
   入力：（（Ｇ,ｐ,Ｐ,Ｑ）,（Ｐ₀,Ｑ₀）,（Ｐ₁,Ｑ₁）,（Ｐ₀′,Ｑ₀′）,（Ｐ₁′,Ｑ₁′））
   証明者の秘密情報：（ｅ,ｓ,ｔ）
   １．証明者は以下に従って（ｚ₀,ｚ₁,ｃ₀,ｃ₁）を求め、それを検証者に送信する。
   （ａ）ｃ′＝Ｈ（Ｐ₀‖Ｑ₀‖Ｐ₁‖Ｑ₁‖Ｐ₀′‖Ｑ₀′‖Ｐ₁′‖Ｑ₁′）を計算する。
   （ｂ）１以上ｐ以下の乱数ｒ,ｒ′,ｃ_1-eを生成する。ここで、ｅは１もしくは０である。
   （ｃ）Ｒ_P,e＝ｒＰ,Ｒ_Q,e＝ｒＱ,Ｒ_P,1-e＝ｒ′Ｐ−ｃ_1-e（ｃ′Ｐ_1-e+Ｐ′_1-e）,Ｒ_Q,1-e＝ｒ′Ｑ−ｃ_1-e（ｃ′Ｑ_1-e+Ｑ′_1-e）,ｃ_e＝Ｈ（Ｒ_P,0‖Ｒ_Q,0‖Ｒ_P,1‖Ｒ_Q,1）−ｃ_1-e,ｚ_e＝ｒ＋ｃ_e（ｃ′ｓ+ｔ）,ｚ_1-e＝ｒ′を計算する。ここでＨは汎用一方向性ハッシュ関数とし、“‖”はデータの連結を意味する。
   ２．検証者はｃ′＝Ｈ（Ｐ₀‖Ｑ₀‖Ｐ₁‖Ｑ₁‖Ｐ₀′‖Ｑ₀′‖Ｐ₁′‖Ｑ₁′）を計算し、ｃ₀＋ｃ₁＝Ｈ（ｚ₀Ｐ−ｃ₀（ｃ′Ｐ₀′+Ｐ₀′）‖ｚ₀Ｑ−ｃ₀（ｃ′Ｑ₀′+Ｑ₀′）‖ｚ₁Ｐ−ｃ₁（ｃ′Ｐ₁+Ｐ₁′）‖ｚ₁Ｑ−ｃ₁（ｃ′Ｑ₁+Ｑ₁′））が成り立つかどうか検証し、成り立つときのみ当該証明事項を受理する。
   ことを特徴とする秘密計算方法。
7. 請求項１乃至６のいずれか１項に記載の秘密計算方法において、複数組の（Ａ_i,Ｂ_i）,（Ｘ_i,Ｙ_i）（ｉ＝１,２,…,ｎ）を順次入力して、複数組のａ_i×ｂ_iの暗号文をパイプライン形式に順次計算することを特徴とする秘密計算方法。
8. ネットワークで結ばれた、一つあるいは複数の暗号文生成装置、制御装置、暗号文変換装置および複数の復号装置を具備し、請求項１もしくは７に記載の秘密計算方法を実施することを特徴とする秘密計算システム。
9. ネットワークで結ばれた、一つあるいは複数の暗号文生成装置、制御装置、複数の暗号文変換装置、複数の復号装置および検証装置を具備し、請求項２乃至７のいずれか１項に記載の秘密計算方法を実施することを特徴とする秘密計算システム。
10. 請求項１記載の秘密計算方法をコンピュータに実行させるためのプログラム。
11. 請求項２乃至６に記載の秘密計算方法をコンピュータに実行させるためのプログラム。

Images