JP5596616B2 - Information providing system, mediating apparatus, mediating method, information providing method, and program - Google Patents

Information providing system, mediating apparatus, mediating method, information providing method, and program Download PDF

Info

Publication number
JP5596616B2
JP5596616B2 JP2011107076A JP2011107076A JP5596616B2 JP 5596616 B2 JP5596616 B2 JP 5596616B2 JP 2011107076 A JP2011107076 A JP 2011107076A JP 2011107076 A JP2011107076 A JP 2011107076A JP 5596616 B2 JP5596616 B2 JP 5596616B2
Authority
JP
Japan
Prior art keywords
phi
information
ciphertext
input information
group
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2011107076A
Other languages
Japanese (ja)
Other versions
JP2012237881A (en
Inventor
剛 山本
鉄太郎 小林
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP2011107076A priority Critical patent/JP5596616B2/en
Publication of JP2012237881A publication Critical patent/JP2012237881A/en
Application granted granted Critical
Publication of JP5596616B2 publication Critical patent/JP5596616B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Description

本発明は、暗号化された情報を提供する技術に関し、特に、複数の装置間で情報提供を行う技術に関する。   The present invention relates to a technique for providing encrypted information, and particularly to a technique for providing information between a plurality of devices.

暗号文を格納した複数の情報提供装置が、当該暗号文を相手側の情報提供装置で復号可能な暗号文に再暗号化して提供する状況を想定する。このような情報提供方法には様々なものが想定できる。しかしながら、互いを信頼できない情報提供装置間でこのような処理を公平に行うことは容易ではない。相手から暗号文の提供を受けた情報提供装置が自らは情報の提供を行わず、先に情報を提供した情報提供装置が不利益を被る可能性があるからである（持ち逃げ問題）。   A situation is assumed in which a plurality of information providing apparatuses storing ciphertexts provide the ciphertexts by re-encrypting them into ciphertexts that can be decrypted by the information providing apparatus on the other side. Various information providing methods can be assumed. However, it is not easy to perform such processing fairly between information providing apparatuses that cannot trust each other. This is because the information providing apparatus that has received the ciphertext from the other party does not provide the information itself, and the information providing apparatus that previously provided the information may suffer disadvantage (carrying away problem).

持ち逃げ問題を抑制する手法として、同時交換プロトコルと呼ばれる手法が知られている（例えば、非特許文献１参照）。同時交換プロトコルの一つであるGradual Release of Secretでは、一方の情報提供装置が情報の一部を他方の情報提供装置に提供してから、当該他方の情報提供装置が情報の一部を当該一方の情報提供装置に提供するといった処理を繰り返す。   As a technique for suppressing the carry-away problem, a technique called a simultaneous exchange protocol is known (for example, see Non-Patent Document 1). In Gradual Release of Secret, which is one of the simultaneous exchange protocols, one information providing device provides a part of information to the other information providing device, and then the other information providing device sends a part of the information to the one The process of providing information to the information providing apparatus is repeated.

I. Damgard (Ed.), "Signing Contracts and Paying Electronically," Lectures on Data Security, Lecture Notes in Computer Science 1561I. Damgard (Ed.), "Signing Contracts and Paying Electronically," Lectures on Data Security, Lecture Notes in Computer Science 1561

しかしながら、Gradual Release of Secretの場合でも、情報を提供された情報提供装置が自らの情報を提供しない可能性があり、やはり先に情報を提供した情報提供装置が不利益を被る可能性がある。   However, even in the case of the Gradual Release of Secret, there is a possibility that the information providing apparatus provided with the information does not provide its own information, and the information providing apparatus that provided the information earlier may suffer a disadvantage.

また、情報提供装置間が互いに暗号文を提供した場合であっても、一方の情報提供装置が不正な暗号文を他方の情報提供装置に提供し、当該他方の情報提供装置が不利益を被る可能性もある。   Further, even when information providing apparatuses provide ciphertexts to each other, one information providing apparatus provides an illegal ciphertext to the other information providing apparatus, and the other information providing apparatus suffers a disadvantage. There is a possibility.

このような問題は、暗号文を格納した二つの情報提供装置が当該暗号文を相手側の情報提供装置で復号可能な暗号文に再暗号化して提供する場合に限定されたものではなく、複数の情報提供装置が当該暗号文を相手側の情報提供装置で復号可能な暗号文に再暗号化して提供する場合に共通する問題である。   Such a problem is not limited to the case where the two information providing devices storing the ciphertext provide the ciphertext by re-encrypting the ciphertext into a ciphertext that can be decrypted by the other information providing device. This is a common problem when the information providing apparatus re-encrypts the ciphertext into a ciphertext that can be decrypted by the information providing apparatus on the other side.

本発明はこのような点に鑑みてなされたものであり、暗号文を格納した複数の情報提供装置が、当該暗号文を相手側の情報提供装置で復号可能な暗号文に再暗号化して提供する場合の持ち逃げ問題を抑制できる技術を提供することを目的とする。   The present invention has been made in view of such a point, and a plurality of information providing apparatuses storing ciphertexts provide re-encrypted ciphertexts that can be decrypted by the information providing apparatus on the other side. It is an object to provide a technology capable of suppressing the problem of carrying away when carrying out.

本発明では、φ＝１，…，Φ、σ（φ）＝１，…，Φ、σ（φ）≠φ、Φが２以上の整数、Ｇφ，Ｈφが有限可換群、ｆφが第一暗号化方式ＥＮＣφ，１に則って平文ｍφを第一暗号化鍵ｙ（φ，１）で暗号化して得られた群Ｈφの元である第一暗号文Ｃφ，１が与えられたとき、当該第一暗号文Ｃφ，１を、第二暗号化方式ＥＮＣφ，２に則って平文ｍφを第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる群Ｇφの元である第二暗号文ｆφ（Ｃφ，１）＝Ｃφ，２に変換するための関数、ａ（φ），ｂ（φ）が互いに素である自然数、平文Ｍφを第二暗号化方式ＥＮＣφ，２に則って第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる可能性がある暗号文を要素とする集合が、当該暗号文が属する暗号文の類、Ｘφ，１，Ｘφ，２が群Ｇφに値を持つ確率変数、ｘφ，１が確率変数Ｘφ，１の実現値、ｘφ，２が確率変数Ｘφ，２の実現値であり、仲介装置とΦ個の情報提供装置φとが次の処理を行う。 In the present invention, φ = 1,..., Φ, σ (φ) = 1,..., Φ, σ (φ) ≠ φ, Φ is an integer greater than or equal to 2, G φ and H φ are finite commutative groups, f φ There first encryption method ENC phi, the plaintext m phi in accordance with the 1 first encryption key y (phi, 1) the first ciphertext C phi is an encryption-obtained original group H phi, the 1 when given, the first ciphertext C phi, a 1, the second encryption method ENC phi, the plaintext m phi in accordance with the 2 second encryption key y (σ (φ), 2 ) in encrypted A function for converting to the second ciphertext f φ (C φ, 1 ) = C φ, 2 that is an element of the group G φ obtained in this way, a natural number in which a (φ) and b (φ) are relatively prime, plaintext M phi second encryption scheme ENC phi, in accordance with the 2 second encryption key y (σ (φ), 2 ) set to the ciphertext elements that may be obtained by encrypting with the, the The type of ciphertext to which the ciphertext belongs, X φ, 1 , X φ, 2 is the group G random variable with values in phi, x phi, 1 the random variable X phi, 1 of realizations, x phi, 2 is the random variable X phi, a second realization, the mediating apparatus and Φ pieces of the information providing apparatus phi And do the following:

仲介装置で、情報提供装置φそれぞれの第一暗号文Ｃφ，１に対応する群Ｈφの元である第一入力情報τφ，１及び第二入力情報τφ，２を出力する。情報提供装置φのそれぞれで、第一入力情報τφ，１を用い、或る確率より大きな確率でｆφ（τφ，１）を正しく計算し、得られた演算結果を第一出力情報ｚφ，１とし、第二入力情報τφ，２を用い、或る確率より大きな確率でｆφ（τφ，２）を正しく計算し、得られた演算結果を第二出力情報ｚφ，２とする。仲介装置で、第一出力情報ｚφ，１から演算結果ｕφ＝ｆφ（Ｃφ，１）ｂ（φ）ｘφ，１を生成し、第二出力情報ｚφ，２から演算結果ｖφ＝ｆφ（Ｃφ，１）ａ（φ）ｘφ，２を生成し、演算結果ｕφに対する値ｕφ ａ（φ）と演算結果ｖφに対する値ｖφ ｂ（φ）とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属する場合の演算結果ｕφ及び演算結果ｖφと、ａ’（φ）ａ（φ）＋ｂ’（φ）ｂ（φ）＝１を満たす整数ａ’（φ），ｂ’（φ）とに対する、値ｕφ ｂ’（φ）ｖφ ａ’（φ）を得、すべてのφ＝１，…，Φについて値ｕφ ｂ’（φ）ｖφ ａ’（φ）が得られた後に、値ｕφ ｂ’（φ）ｖφ ａ’（φ）（φ＝１，…，Φ）を出力する。 The intermediary device outputs the first input information τ φ, 1 and the second input information τ φ, 2 which are elements of the group H φ corresponding to the first cipher text C φ, 1 of each information providing device φ. In each information providing device φ, the first input information τ φ, 1 is used to correctly calculate f φ (τ φ, 1 ) with a probability larger than a certain probability, and the obtained calculation result is used as the first output information z. Using φ 2 , φ 2, second input information τ φ 2 , f φ (τ φ, 2 ) is correctly calculated with a probability greater than a certain probability, and the obtained operation result is obtained as second output information z φ 2 And In the intermediary device, the first output information z phi, 1 from the operation result u φ = f φ (C φ , 1) b (φ) x φ, to generate a 1, the second output information z phi, 2 from the calculation result v φ = f φ (C φ, 1) a (φ) x φ, generates two operation result u values for φ u φ a (φ) and the operation result v values for φ v φ b (φ) and to each other An integer satisfying the calculation result u φ and the calculation result v φ and a ′ (φ) a (φ) + b ′ (φ) b (φ) = 1 when belonging to the same ciphertext class CL φ (M φ ) a '(φ), b' (φ) and for the value u φ b '(φ) v φ a' (φ) give all phi = 1, ..., the value for Φ u φ b '(φ) v phi a 'after is obtained (phi), the value u φ b' (= 1 φ , ..., Φ) (φ) v φ a '(φ) and outputs a.

仲介装置で得られた各値ｕφ ｂ’（φ）ｖφ ａ’（φ）は、それぞれ高い確率で第二暗号化鍵ｙ（σ（φ），２）に対応する復号鍵で復号可能な第二暗号文Ｃφ，２となる。そのため仲介装置は、すべての情報提供装置φ（φ＝１，…，Φ）にそれぞれ対応する正しい第二暗号文Ｃφ，２を取得した後に、各第二暗号文Ｃφ，２を出力しているとみなせる。これにより、第二暗号文Ｃφ，２を提供すべき情報提供装置が正しい第二暗号文Ｃφ，２を提供することなく、他の情報提供装置から提供された第二暗号文を取得するといった持ち逃げ問題を抑制できる。すなわち本発明では、暗号文を格納した複数の情報提供装置が、当該暗号文を相手側の情報提供装置で復号可能な暗号文に再暗号化して提供する場合の持ち逃げ問題を抑制できる。 Mediation device values u phi b obtained in '(φ) v φ a' (φ) is respectively high probability second encryption key y (σ (φ), 2 ) to be decrypted by the decoding key corresponding Second ciphertext C φ, 2 . Therefore, the intermediary device obtains the correct second cipher text C φ, 2 corresponding to all the information providing devices φ (φ = 1,..., Φ), and then outputs each second cipher text C φ, 2. It can be regarded as. Thus, the second ciphertext C phi, 2 information providing device should provide a correct secondary ciphertext C phi, without providing 2 to obtain a second ciphertext provided by another information providing apparatus Can be avoided. That is, according to the present invention, it is possible to suppress a problem of carry-away when a plurality of information providing apparatuses storing ciphertexts provide the ciphertexts by re-encrypting the ciphertexts into ciphertexts that can be decrypted by the counterpart information providing apparatus.

実施形態の情報提供システムの構成を説明するためのブロック図。The block diagram for demonstrating the structure of the information provision system of embodiment. 実施形態の仲介装置の構成を説明するためのブロック図。The block diagram for demonstrating the structure of the mediation apparatus of embodiment. 実施形態の情報提供装置の構成を説明するためのブロック図。The block diagram for demonstrating the structure of the information provision apparatus of embodiment. 実施形態の入力情報提供部の構成を説明するためのブロック図。The block diagram for demonstrating the structure of the input information provision part of embodiment. 実施形態の入力情報提供部の構成を説明するためのブロック図。The block diagram for demonstrating the structure of the input information provision part of embodiment. 実施形態の仲介装置の処理を説明するためのフローチャート。The flowchart for demonstrating the process of the mediation apparatus of embodiment. 実施形態の自己訂正処理を説明するためのフローチャート。The flowchart for demonstrating the self-correction process of embodiment. 実施形態の情報提供装置の処理を説明するためのフローチャート。The flowchart for demonstrating the process of the information provision apparatus of embodiment. ステップＳ２１０３（Ｓ３１０３）の処理を説明するためのフローチャート。The flowchart for demonstrating the process of step S2103 (S3103). ステップＳ４１０３の処理を説明するためのフローチャート。The flowchart for demonstrating the process of step S4103. 実施形態の仲介装置の構成を説明するためのブロック図。The block diagram for demonstrating the structure of the mediation apparatus of embodiment. 実施形態の仲介装置の処理を説明するためのフローチャート。The flowchart for demonstrating the process of the mediation apparatus of embodiment. 実施形態の情報提供システムの構成を説明するためのブロック図。The block diagram for demonstrating the structure of the information provision system of embodiment.

以下、図面を参照して本発明の実施形態を説明する。   Hereinafter, embodiments of the present invention will be described with reference to the drawings.

［第一実施形態］
まず、本発明の第一実施形態を説明する。本形態では、２個の情報提供装置が仲介装置を介し、これらが互いに暗号文の提供を行う例を説明する。すなわち、本発明はφ＝１，…，Φ、σ（φ）＝１，…，Φ、σ（φ）≠φ、Φが２以上の整数である場合に適用可能であるが、以下ではΦ＝２、σ（１）＝２、σ（２）＝１の例を説明する。ただし、この例は本発明を限定するものではない。 [First embodiment]
First, a first embodiment of the present invention will be described. In this embodiment, an example will be described in which two information providing apparatuses provide ciphertexts to each other via an intermediary apparatus. That is, the present invention is applicable when φ = 1,..., Φ, σ (φ) = 1,..., Φ, σ (φ) ≠ φ, and Φ is an integer of 2 or more. = 2, σ (1) = 2, and σ (2) = 1 will be described. However, this example does not limit the present invention.

＜構成＞
図１に例示するように、第一実施形態の情報提供システム１は、例えば、仲介装置１１と２個の情報提供装置１２−１，１２−２とを有する。各装置は情報のやり取りが可能なように構成される。例えば、各装置は伝送線やネットワークや可搬型記録媒体などを経由した情報のやり取りが可能とされている。 <Configuration>
As illustrated in FIG. 1, the information providing system 1 according to the first embodiment includes, for example, an intermediary device 11 and two information providing devices 12-1 and 12-2. Each device is configured to be able to exchange information. For example, each device can exchange information via a transmission line, a network, a portable recording medium, or the like.

本形態では、情報提供装置１２−１が、第一暗号化方式ＥＮＣ１，１に則って平文ｍ１を第一暗号化鍵ｙ（１，１）で暗号化して得られた第一暗号文Ｃ１，１を、第二暗号化方式ＥＮＣ１，２に則って平文ｍ１を第二暗号化鍵ｙ（２，２）で暗号化して得られる第二暗号文Ｃ１，２に再暗号化する能力を仲介装置１１に与える。また、情報提供装置１２−２が、第一暗号化方式ＥＮＣ２，１に則って平文ｍ２を第一暗号化鍵ｙ（２，１）で暗号化した第一暗号文Ｃ２，１を、第二暗号化方式ＥＮＣ２，２に則って平文ｍ２を第二暗号化鍵ｙ（１，２）で暗号化した第二暗号文Ｃ２，２に再暗号化する能力を仲介装置１１に与える。仲介装置１１は、提供された能力を用い、情報提供装置１２−１の第一暗号文Ｃ１，１を第二暗号文Ｃ１，２に再暗号化し、情報提供装置１２−２の第一暗号文Ｃ２，１を第二暗号文Ｃ２，２に再暗号化する。その後、仲介装置１１は、第二暗号文Ｃ１，２を情報提供装置１２−２に出力し、第二暗号文Ｃ２，２を情報提供装置１２−１に出力する。情報提供装置１２−１は、第二復号鍵ｓ（１，２）を用いて第二暗号文Ｃ２，２を復号して平文ｍ２を取得可能である。情報提供装置１２−２は、第二復号鍵ｓ（１，１）を用いて第二暗号文Ｃ１，２を復号して平文ｍ１を取得可能である。 In this embodiment, the information providing device 12-1, first ciphertext plaintext m 1 in accordance with the first encryption method ENC 1, 1 obtained by encrypting the first encryption key y (1, 1) C 1,1 is re-encrypted into second cipher text C 1,2 obtained by encrypting plain text m 1 with second encryption key y (2,2) according to second encryption scheme ENC 1,2. Is given to the intermediary device 11. Further, the information providing apparatus 12-2 obtains the first ciphertext C 2,1 obtained by encrypting the plaintext m 2 with the first encryption key y (2,1) in accordance with the first encryption scheme ENC 2,1. The intermediary device 11 has the ability to re-encrypt the plaintext m 2 into the second ciphertext C 2,2 encrypted with the second encryption key y (1,2) in accordance with the second encryption scheme ENC 2,2. To give. The intermediary device 11 re-encrypts the first ciphertext C 1,1 of the information providing device 12-1 into the second ciphertext C 1,2 using the provided capability, and the first of the information providing device 12-2. The ciphertext C 2,1 is re-encrypted into the second ciphertext C 2,2 . Thereafter, the intermediary device 11 outputs the second ciphertexts C 1 and 2 to the information providing device 12-2, and outputs the second ciphertexts C 2 and 2 to the information providing device 12-1. Information providing device 12 is capable of obtaining the plaintext m 2 decrypts the second ciphertext C 2, 2 by using the second decryption key s (1, 2). Information providing device 12-2 can acquire plaintext m 1 decrypts the second ciphertext C 1, 2 by using the second decryption key s (1, 1).

図２に例示するように、第一実施形態の仲介装置１１は、例えば、自然数記憶部１１０１と自然数選択部１１０２と整数計算部１１０３と入力情報提供部１１０４と第一計算部１１０５と第一べき乗計算部１１０６と第一リスト記憶部１１０７と第二計算部１１０８と第二べき乗計算部１１０９と第二リスト記憶部１１１０と判定部１１１１と処理部１１１２と最終出力部１１１３と制御部１１１４とを有する。仲介装置１１は、制御部１１１４の制御のもとで各処理を実行する。仲介装置１１の例は、特別なプログラムが読み込まれたＣＰＵ（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ）やＲＡＭ（ｒａｎｄｏｍ−ａｃｃｅｓｓ ｍｅｍｏｒｙ）を備えた公知又は専用のコンピュータや、サーバ装置やゲートウェイ装置やカードリーダライタ装置や携帯電話などの計算機能と記憶機能とを備えた機器などである。   As illustrated in FIG. 2, the mediation apparatus 11 according to the first embodiment includes, for example, a natural number storage unit 1101, a natural number selection unit 1102, an integer calculation unit 1103, an input information providing unit 1104, a first calculation unit 1105, and a first power. A calculation unit 1106, a first list storage unit 1107, a second calculation unit 1108, a second power calculation unit 1109, a second list storage unit 1110, a determination unit 1111, a processing unit 1112, a final output unit 1113, and a control unit 1114 . The mediation apparatus 11 executes each process under the control of the control unit 1114. Examples of the intermediary device 11 include a known or dedicated computer, a server device, a gateway device, a card reader / writer device, a portable device having a CPU (central processing unit) and a RAM (random-access memory) loaded with a special program. A device having a calculation function and a storage function such as a telephone.

図３に例示するように、第一実施形態の情報提供装置１２−φ（φ＝１，２）は、例えば、それぞれ、第一出力情報計算部１２０１−φと第二出力情報計算部１２０２−φと鍵記憶部１２０４−φと暗号文記憶部１２０５−φと出力部１２０６−φと復号部１２０７−φと制御部１２０８−φとを有する。情報提供装置１２−φは、制御部１２０８−φの制御のもとで各処理を実行する。情報提供装置１２−φの例は、特別なプログラムが読み込まれたＣＰＵやＲＡＭを備えた公知又は専用のコンピュータや、携帯電話などの計算機能と記憶機能とを備えた機器や、ＩＣカードやＩＣチップなどの耐タンパ性モジュールなどである。   As illustrated in FIG. 3, the information providing apparatus 12-φ (φ = 1, 2) of the first embodiment, for example, includes a first output information calculation unit 1201-φ and a second output information calculation unit 1202-, respectively. φ, key storage unit 1204-φ, ciphertext storage unit 1205-φ, output unit 1206-φ, decryption unit 1207-φ, and control unit 1208-φ. The information providing apparatus 12-φ executes each process under the control of the control unit 1208-φ. Examples of the information providing apparatus 12-φ include a known or dedicated computer having a CPU and RAM loaded with a special program, a device having a calculation function and a storage function such as a mobile phone, an IC card, an IC A tamper resistant module such as a chip.

＜処理の前提＞
Ｇφ，Ｈφが巡回群などの有限可換群であり、Ｘφ，１，Ｘφ，２が群Ｇφに値を持つ確率変数であり、ｘφ，１が確率変数Ｘφ，１の実現値であり、ｘφ，２が確率変数Ｘφ，２の実現値であり、ｆφが群Ｈφの元である第一暗号文Ｃφ，１を群Ｇφの元である第二暗号文ｆφ（Ｃφ，１）＝Ｃφ，２に変換するための関数であるとする。ここで、第一暗号文Ｃφ，１は第一暗号化方式ＥＮＣφ，１に則って平文ｍφを第一暗号化鍵ｙ（φ，１）で暗号化して得られた暗号文であり、第二暗号文Ｃφ，２は第二暗号化方式ＥＮＣφ，２に則って平文ｍφを第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる暗号文である。第一暗号化方式ＥＮＣφ，１や第二暗号化方式ＥＮＣφ，２は、公開鍵暗号方式であってもよいし、共通鍵暗号方式であってもよい。また、第一暗号化方式ＥＮＣφ，１や第二暗号化方式ＥＮＣφ，２は、確率暗号方式であってもよいし、確定暗号方式であってもよい。第一暗号化方式ＥＮＣφ，１と第二暗号化方式ＥＮＣφ，２とが同一の暗号化方式であってもよいし、これらが異なる暗号化方式であってもよい。また、すべての第一暗号化方式ＥＮＣφ，１（φ＝１，…，Φ）が互いに同一の暗号化方式であってもよいし、少なくとも一部のφ’≠φに対する第一暗号化方式ＥＮＣφ’，１が他の第一暗号化方式ＥＮＣφ，１と相違してもよい。また、すべての第二暗号化方式ＥＮＣφ，２（φ＝１，…，Φ）が互いに同一の暗号化方式であってもよいし、少なくとも一部のφ’≠φに対する第二暗号化方式ＥＮＣφ’，２が他の第二暗号化方式ＥＮＣφ，２と相違してもよい。第一暗号化方式ＥＮＣφ，１や第二暗号化方式ＥＮＣφ，２の例は、準同型関数を暗号化関数及び復号関数とする暗号化方式である。そのような例は、ＥｌＧａｍａｌ暗号方式（参考文献１：Taher Elgamal, "A Public-Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms," IEEE Transactions on Information Theory, v. IT-31, n. 4, 1985, pp. 469-472 or CRYPTO 84, pp. 10-18, Springer-Verlag.）や、ＲＳＡ暗号方式（参考文献２：R.L.Rivest,A.Shamir,and L.Adelman, "A Method for Obtaining Digital Signature and Public-key Cryptsystems," MIT Laboratory for Computer Science, Thechnical Memo LCS/TM82, April 4,1977(Revised December 12,1977)）などの公開鍵暗号方式などである。また、Ｇφ＝Ｈφであってもよいし、Ｇφ≠Ｈφであってもよい。すべての群Ｇφ（φ＝１，…，Φ）が互いに同一であってもよいし、少なくとも一部のφ’≠φに対する群Ｇφ’が他の群Ｇφと相違してもよい。また、すべての群Ｈφ（φ＝１，…，Φ）が互いに同一であってもよいし、少なくとも一部のφ’≠φに対する群Ｈφ’が他の群Ｈφと相違してもよい。また、以下では群Ｇφ，Ｈφ上の演算を乗法的に表現する。 <Processing premise>
G φ and H φ are finite commutative groups such as cyclic groups, X φ, 1 , X φ, 2 are random variables having values in the group G φ , and x φ, 1 are random variables X φ, 1 a realization value, x phi, 2 is the random variable X phi, a second realization, f phi is first ciphertext C phi, which is the original group H phi, the is the original group G phi 1 It is assumed that the two ciphertexts f φ (C φ, 1 ) = C φ, 2 are functions for conversion. Here, the first ciphertext C φ, 1 is a ciphertext obtained by encrypting the plaintext m φ with the first encryption key y (φ, 1) in accordance with the first encryption scheme ENC φ, 1 . The second ciphertext C φ, 2 is a ciphertext obtained by encrypting the plaintext m φ with the second encryption key y (σ (φ), 2) in accordance with the second encryption scheme ENC φ, 2. . The first encryption method ENC φ, 1 and the second encryption method ENC φ, 2 may be a public key encryption method or a common key encryption method. Further, the first encryption method ENC φ, 1 and the second encryption method ENC φ, 2 may be a probability encryption method or a definite encryption method. The first encryption method ENC φ, 1 and the second encryption method ENC φ, 2 may be the same encryption method, or they may be different encryption methods. Also, all the first encryption schemes ENC φ, 1 (φ = 1,..., Φ) may be the same encryption scheme, or the first encryption scheme for at least some φ ′ ≠ φ. ENC φ ′, 1 may be different from other first encryption methods ENC φ, 1 . All the second encryption schemes ENC φ, 2 (φ = 1,..., Φ) may be the same encryption scheme, or the second encryption scheme for at least a part of φ ′ ≠ φ. ENC φ ′, 2 may be different from other second encryption methods ENC φ, 2 . Examples of the first encryption scheme ENC φ, 1 and the second encryption scheme ENC φ, 2 are encryption schemes using a homomorphic function as an encryption function and a decryption function. An example of this is the ElGamal cryptosystem (reference 1: Taher Elgamal, “A Public-Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms,” IEEE Transactions on Information Theory, v. IT-31, n. 4, 1985. , 469-472 or CRYPTO 84, pp. 10-18, Springer-Verlag.) and RSA cryptosystem (Reference 2: RLRivest, A. Shamir, and L. Adelman, "A Method for Obtaining Digital Signature and Public-key cryptosystems, "MIT Laboratory for Computer Science, Technical Memo LCS / TM82, April 4,1977 (Revised December 12,1977)). Further, G φ = H φ or G φ ≠ H φ may be sufficient. All the groups G φ (φ = 1,..., Φ) may be the same, or the group G φ ′ for at least some φ ′ ≠ φ may be different from other groups G φ . Further, all the groups H φ (φ = 1,..., Φ) may be the same, or even if the group H φ ′ for at least some φ ′ ≠ φ is different from other groups H φ. Good. In the following, operations on the groups G φ and H φ are expressed in a multiplicative manner.

第一暗号化鍵ｙ（φ，１）には第一復号鍵ｓ（φ，１）が対応し、第二暗号化鍵ｙ（σ（φ），２）には第二復号鍵ｓ（σ（φ），２）が対応する。第一暗号化方式ＥＮＣφ，１が公開鍵暗号方式である場合、第一暗号化鍵ｙ（φ，１）は公開鍵であり、第一復号鍵ｓ（φ，１）は秘密鍵である。一方、第一暗号化方式ＥＮＣφ，１が共通鍵暗号方式である場合、第一暗号化鍵ｙ（φ，１）及び第一復号鍵は共通鍵である。第二暗号化方式ＥＮＣφ，２が公開鍵暗号方式である場合、第二暗号化鍵ｙ（σ（φ），２）は公開鍵であり、第二復号鍵ｓ（σ（φ），２）は秘密鍵である。一方、第二暗号化方式ＥＮＣφ，２が共通鍵暗号方式である場合、第二暗号化鍵ｙ（σ（φ），２）及び第二復号鍵ｓ（σ（φ），２）は共通鍵である。ｙ（φ，１）＝ｙ（φ，２）であってもよいし、ｙ（φ，１）≠ｙ（φ，２）であってもよい。ｓ（φ，１）＝ｓ（φ，２）であってもよいし、ｓ（φ，１）≠ｓ（φ，２）であってもよい。 The first encryption key y (φ, 1) corresponds to the first decryption key s (φ, 1), and the second encryption key y (σ (φ), 2) corresponds to the second decryption key s (σ (Φ), 2) correspond. When the first encryption scheme ENC φ, 1 is a public key cryptosystem, the first encryption key y (φ, 1) is a public key and the first decryption key s (φ, 1) is a secret key. . On the other hand, when the first encryption method ENC φ, 1 is a common key encryption method, the first encryption key y (φ, 1) and the first decryption key are common keys. When the second encryption scheme ENC φ, 2 is a public key cryptosystem, the second encryption key y (σ (φ), 2) is a public key and the second decryption key s (σ (φ), 2 ) Is a secret key. On the other hand, when the second encryption method ENC φ, 2 is a common key encryption method, the second encryption key y (σ (φ), 2) and the second decryption key s (σ (φ), 2) are common. Is the key. y (φ, 1) = y (φ, 2) may be satisfied, or y (φ, 1) ≠ y (φ, 2) may be satisfied. It may be s (φ, 1) = s (φ, 2), or s (φ, 1) ≠ s (φ, 2).

また、平文Ｍφを第二暗号化方式ＥＮＣφ，２に則って第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる可能性がある暗号文を要素とする集合を「当該暗号文が属する暗号文の類ＣＬφ（Ｍφ）」と呼ぶ。ここでａ（φ），ｂ（φ）は互いに素な自然数であり、「自然数」とは０以上の整数を表す。ＣＬφ（Ｍφ）とＣＬφ’（Ｍφ’）（φ’≠φ）とは互いに異なる類である。同一の暗号文の類ＣＬφ（Ｍφ）には、同一の平文Ｍφを第二暗号化鍵ｙ（σ（φ），２）でそれぞれ暗号化して得られる可能性がある各暗号文が属する。例えば、第二暗号化方式ＥＮＣφ，２がＥｌＧａｍａｌ暗号方式のような確率暗号方式である場合、同一の平文Ｍφと暗号化鍵ｙ（σ（φ），２）との組に対して複数の暗号文Ｃφ，２が対応するため、同一の暗号文の類ＣＬφ（Ｍφ）にはａ（φ），ｂ（φ）の組みごとに複数の要素が属する。一方、例えば、第二暗号化方式ＥＮＣφ，２がＲＳＡ暗号方式のような確定暗号方式である場合、同一の平文Ｍφと暗号化鍵ｙ（σ（φ），２）との組に対して暗号文Ｃφ，２が一義的に定まるため、同一の暗号文の類ＣＬφ（Ｍφ）にはａ（φ），ｂ（φ）の組みごとに一つの要素のみが属する。ａ（φ），ｂ（φ）の組みごとに同一の暗号文の類ＣＬφ（Ｍφ）に一つの要素のみが属する場合、二つの値が同一の暗号文の類ＣＬφ（Ｍφ）に属することと当該二つの値が等しいこととが等価となる。すなわち、第二暗号化方式が確定暗号方式である場合、二つの値が同一の暗号文の類ＣＬφ（Ｍφ）に属するかの判定は当該二つの値が等しいかを判定することで行うことができる。 A set of ciphertext elements that may be obtained by encrypting the plaintext M φ with the second encryption key y (σ (φ), 2) according to the second encryption scheme ENC φ, 2 The ciphertext class CL φ (M φ ) to which the ciphertext belongs is called. Here, a (φ) and b (φ) are relatively prime natural numbers, and “natural number” represents an integer of 0 or more. CL φ (M φ ) and CL φ ′ (M φ ′ ) (φ ′ ≠ φ) are different from each other. In the same ciphertext class CL φ (M φ ), each ciphertext that can be obtained by encrypting the same plaintext M φ with the second encryption key y (σ (φ), 2) is stored. Belongs. For example, when the second encryption method ENC φ, 2 is a stochastic encryption method such as the ElGamal encryption method, a plurality of combinations of the same plaintext M φ and the encryption key y (σ (φ), 2) are used. Therefore, the same ciphertext class CL φ (M φ ) includes a plurality of elements for each set of a (φ) and b (φ). On the other hand, for example, when the second encryption method ENC φ, 2 is a deterministic encryption method such as the RSA encryption method, for the same set of plaintext M φ and encryption key y (σ (φ), 2) Since the ciphertext C φ, 2 is uniquely determined, only one element belongs to the same ciphertext class CL φ (M φ ) for each combination of a (φ) and b (φ). a (phi), if only the class CL φ (M φ) to one element of the same ciphertext each set of b (phi) belongs, class two values are the same ciphertext CL φ (M φ) Is equivalent to the fact that the two values are equal. That is, when the second encryption method is a definite encryption method, whether two values belong to the same ciphertext class CL φ (M φ ) is determined by determining whether the two values are equal. be able to.

また、仲介装置１１（図２）の自然数記憶部１１０１に、互いに素である２つの自然数ａ（φ），ｂ（φ）の組（ａ（φ），ｂ（φ））が複数種類記憶されているものとする。Ｉφを群Ｇφの位数未満の２つの自然数の組で互いに素なものの集合とすると、自然数記憶部１１０１にはＩφの部分集合Ｓφに対応する自然数ａ（φ），ｂ（φ）の組（ａ（φ），ｂ（φ））が記憶されていると考えることができる。また、第一復号鍵ｓ（φ，１）、第二復号鍵ｓ（φ，２）、及び第二暗号化鍵ｙ（σ（φ），２）が情報提供装置１２−φ（図３）の鍵記憶部１２０４−φに格納され、第一暗号文Ｃφ，１∈Ｈφが情報提供装置１２−φの暗号文記憶部１２０５−φに格納されているものとする。 In the natural number storage unit 1101 of the intermediary device 11 (FIG. 2), a plurality of types of sets (a (φ), b (φ)) of two natural numbers a (φ) and b (φ) that are mutually prime are stored. It shall be. When the set of disjoint things I phi of two natural numbers of sets of positions than the number of the group G phi, the natural number storage unit 1101 is a natural number corresponding to the subset S phi of I φ a (φ), b (φ ) Group (a (φ), b (φ)) can be considered stored. Further, the first decryption key s (φ, 1), the second decryption key s (φ, 2), and the second encryption key y (σ (φ), 2) are the information providing device 12-φ (FIG. 3). It is assumed that the first ciphertext C φ, 1 ∈H φ is stored in the ciphertext storage unit 1205-φ of the information providing device 12-φ.

＜処理＞
図６に例示するように、まず、仲介装置１１（図２）の制御部１１１４がφ＝１とする（ステップＳ１１１）。 <Processing>
As illustrated in FIG. 6, first, the control unit 1114 of the mediation apparatus 11 (FIG. 2) sets φ = 1 (step S111).

次に、仲介装置１１は情報提供装置１２−φとの間でφについての自己訂正処理を実行する（ステップＳ１１２）。以下にφについての自己訂正処理を説明する。   Next, the intermediary device 11 executes self-correction processing for φ with the information providing device 12-φ (step S112). The self correction process for φ will be described below.

［φについての自己訂正処理］
まず、情報提供装置１２−φ（図３）の出力部１２０６−φが、暗号文記憶部１２０５−φから読み出された第一暗号文Ｃφ，１を出力する。第一暗号文Ｃφ，１は仲介装置１１（図２）の入力情報提供部１１０４に入力される。第一暗号文Ｃφ，１は、例えば、情報提供装置１２−σ（φ）によって選択されたものである。また、この処理は複数の第一暗号文Ｃφ，１について実行されてもよいし、既に第一暗号文Ｃφ，１が入力情報提供部１１０４に入力されている場合にはこの処理が省略されてもよい。 [Self-correction processing for φ]
First, the output unit 1206-φ of the information providing device 12-φ (FIG. 3) outputs the first ciphertext Cφ, 1 read from the ciphertext storage unit 1205-φ. The first ciphertext C φ, 1 is input to the input information providing unit 1104 of the intermediary device 11 (FIG. 2). The first ciphertext Cφ, 1 is selected by the information providing device 12-σ (φ), for example. This process may be executed for a plurality of first ciphertexts C φ, 1 , and when the first ciphertext C φ, 1 has already been input to the input information providing unit 1104, this process is omitted. May be.

図７に例示するように、第一暗号文Ｃφ，１が入力情報提供部１１０４に入力された仲介装置１１の自然数選択部１１０２は、自然数記憶部１１０１に記憶された複数の自然数の組（ａ（φ），ｂ（φ））から１つの自然数の組（ａ（φ），ｂ（φ））をランダムに読み込む。読み込まれた自然数の組（ａ（φ），ｂ（φ））少なくとも一部の情報は、整数計算部１１０３、入力情報提供部１１０４、第一べき乗計算部１１０６及び第二べき乗計算部１１０９に送られる（ステップＳ１１００）。 As illustrated in FIG. 7, the natural number selection unit 1102 of the mediation apparatus 11 in which the first ciphertext C φ, 1 is input to the input information providing unit 1104 has a plurality of sets of natural numbers stored in the natural number storage unit 1101 ( One natural number pair (a (φ), b (φ)) is randomly read from a (φ), b (φ)). At least a part of the read natural number set (a (φ), b (φ)) is sent to the integer calculation unit 1103, the input information providing unit 1104, the first power calculation unit 1106, and the second power calculation unit 1109. (Step S1100).

整数計算部１１０３は、送られた自然数の組（ａ（φ），ｂ（φ））を用いて、ａ’（φ）ａ（φ）＋ｂ’（φ）ｂ（φ）＝１の関係を満たす整数ａ’（φ），ｂ’（φ）を計算する。自然数ａ（φ），ｂ（φ）は互いに素であるため、ａ’（φ）ａ（φ）＋ｂ’（φ）ｂ（φ）＝１の関係を満たす整数ａ’（φ），ｂ’（φ）をEuclidの互除法などの公知のアルゴリズムによって計算することができる。自然数の組（ａ’（φ），ｂ’（φ））の情報は、処理部１１１２に送られる（ステップＳ１１０１）。   The integer calculation unit 1103 uses the set of sent natural numbers (a (φ), b (φ)) to obtain a relationship of a ′ (φ) a (φ) + b ′ (φ) b (φ) = 1. The integers a ′ (φ) and b ′ (φ) that satisfy the conditions are calculated. Since the natural numbers a (φ) and b (φ) are relatively prime, integers a ′ (φ) and b ′ satisfying the relationship of a ′ (φ) a (φ) + b ′ (φ) b (φ) = 1. (Φ) can be calculated by a known algorithm such as Euclid mutual division. Information on the natural number pair (a ′ (φ), b ′ (φ)) is sent to the processing unit 1112 (step S1101).

制御部１１１４は、ｔ＝１とする（ステップＳ１１０２）。   The control unit 1114 sets t = 1 (step S1102).

入力情報提供部１１０４は、入力された第一暗号文Ｃφ，１にそれぞれ対応する群Ｈφの元である第一入力情報τφ，１及び第二入力情報τφ，２を生成して出力する。好ましくは、第一入力情報τφ，１及び第二入力情報τφ，２はそれぞれ第一暗号文Ｃφ，１との関係をかく乱させた情報である。これにより、仲介装置１１は、第一暗号文Ｃφ，１を情報提供装置１２−φに対して隠蔽できる。例えば、情報提供装置１２−φが複数種類の第一暗号文Ｃφ，１を出力していた場合、仲介装置１１は、どの第一暗号文Ｃφ，１に関する処理を行っているのかを情報提供装置１２−φに対して隠蔽できる。また、好ましくは、本形態の第一入力情報τφ，１は自然数選択部１１０２で選択された自然数ｂ（φ）にさらに対応し、第二入力情報τφ，２は自然数選択部１１０２で選択された自然数ａ（φ）にさらに対応する。これにより、情報提供装置１２−φから提供された再暗号化能力を仲介装置１１が高い精度で評価することができる（ステップＳ１１０３）。 The input information providing unit 1104 generates first input information τ φ, 1 and second input information τ φ, 2 that are elements of the group H φ corresponding to the input first ciphertext C φ, 1 respectively. Output. Preferably, the first input information τ φ, 1 and the second input information τ φ, 2 are information in which the relationship with the first ciphertext C φ, 1 is disturbed, respectively. Thereby, the intermediary device 11 can conceal the first ciphertext Cφ, 1 from the information providing device 12-φ. For example, when the information providing device 12-φ outputs a plurality of types of first ciphertext Cφ, 1 , the mediating device 11 is informed of which first ciphertext Cφ, 1 is being processed. The providing device 12-φ can be concealed. Preferably, the first input information τ φ, 1 of this embodiment further corresponds to the natural number b (φ) selected by the natural number selection unit 1102, and the second input information τ φ, 2 is selected by the natural number selection unit 1102. It further corresponds to the natural number a (φ). Thereby, the mediation apparatus 11 can evaluate the re-encryption capability provided from the information providing apparatus 12-φ with high accuracy (step S1103).

図８に例示するように、第一入力情報τφ，１は情報提供装置１２−φ（図３）の第一出力情報計算部１２０１−φに入力され、第二入力情報τφ，２は第二出力情報計算部１２０２−φに入力される（ステップＳ１２００）。 As illustrated in FIG. 8, the first input information τ φ, 1 is input to the first output information calculation unit 1201-φ of the information providing device 12-φ (FIG. 3), and the second input information τ φ, 2 is It is input to the second output information calculation unit 1202-φ (step S1200).

第一出力情報計算部１２０１−φは、第一入力情報τφ，１と鍵記憶部１２０４−φに格納された第一復号鍵ｓ（φ，１）及び第二暗号化鍵ｙ（σ（φ），２）とを用い、或る確率より大きな確率でｆφ（τφ，１）を正しく計算し、得られた計算結果を第一出力情報ｚφ，１とする（ステップＳ１２０１）。第二出力情報計算部１２０２−φは、第二入力情報τφ，２と鍵記憶部１２０４−φに格納された第一復号鍵ｓ（φ，１）及び第二暗号化鍵ｙ（σ（φ），２）を用い、或る確率より大きな確率でｆφ（τφ，２）を正しく計算し、得られた演算結果を第二出力情報ｚφ，２とする（ステップＳ１２０２）。なお、関数ｆφの例は、第一暗号化方式ＥＮＣφ，１に則って第一復号鍵ｓ（φ，１）で暗号文を復号して得られる値を、第二暗号化方式ＥＮＣφ，２に則って第二暗号化鍵ｙ（σ（φ），２）で暗号化するための準同型関数である。また、「或る確率」は１００％未満の確率である。「或る確率」の例は無視することができない確率であり、「無視することができない確率」の例は、セキュリティパラメータｋについての広義単調増加関数である多項式を多項式ψ（ｋ）とした場合の１／ψ（ｋ）以上の確率である。すなわち、第一出力情報計算部１２０１−φや第二出力情報計算部１２０２−φは、意図的又は意図的ではない誤差を含んだ計算結果を出力し得る。言い換えると、第一出力情報計算部１２０１−φでの計算結果がｆφ（τφ，１）の場合もあればｆφ（τφ，１）でない場合もあり、第二出力情報計算部１２０２−φでの計算結果がｆφ（τφ，２）の場合もあればｆφ（τφ，２）でない場合もある。第一出力情報計算部１２０１−φは第一出力情報ｚφ，１を出力し、第二出力情報計算部１２０２−φは第二出力情報ｚφ，２を出力する（ステップＳ１２０３）。 The first output information calculation unit 1201-φ has the first input information τ φ, 1 and the first decryption key s (φ, 1) and the second encryption key y (σ ( φ) and 2) are used to correctly calculate f φ (τ φ, 1 ) with a probability larger than a certain probability, and the obtained calculation result is set as first output information z φ, 1 (step S1201). The second output information calculation unit 1202-φ receives the second input information τ φ, 2 and the first decryption key s (φ, 1) and the second encryption key y (σ ( Using φ), 2), f φ (τ φ, 2 ) is correctly calculated with a probability larger than a certain probability, and the obtained calculation result is set as second output information z φ, 2 (step S1202). The example of the function f phi, the first encryption method ENC phi, first decryption key s (phi, 1) in accordance with the 1 values obtained by decoding the ciphertext, the second encryption method ENC phi , 2 is a homomorphic function for encryption with the second encryption key y (σ (φ), 2). The “certain probability” is a probability of less than 100%. The example of “certain probability” is a probability that cannot be ignored, and the example of “probability that cannot be ignored” is a case where a polynomial ψ (k) is a polynomial that is a broad monotone increasing function for the security parameter k. Of 1 / ψ (k) or more. That is, the first output information calculation unit 1201-φ and the second output information calculation unit 1202-φ can output a calculation result including an intentional or unintentional error. In other words, the first output information calculation unit 1201-phi calculation results for the f φ (τ φ, 1) if the case also f φ (τ φ, 1) may not be the second output information calculation unit 1202 calculation results for -φ is f φ (τ φ, 2) in some cases the f φ (τ φ, 2) may not be. The first output information calculation unit 1201-φ outputs the first output information z φ, 1 , and the second output information calculation unit 1202-φ outputs the second output information z φ, 2 (step S1203).

図７に戻り、第一出力情報ｚφ，１は仲介装置１１（図２）の第一計算部１１０５に入力され、第二出力情報ｚφ，２は第二計算部１１０８に入力される。これらの第一出力情報ｚφ，１及び第二出力情報ｚφ，２が、情報提供装置１２−φから仲介装置１１に与えられた再暗号化能力に相当する（ステップＳ１１０４）。 Returning to FIG. 7, the first output information z φ, 1 is input to the first calculation unit 1105 of the mediation apparatus 11 (FIG. 2), and the second output information z φ, 2 is input to the second calculation unit 1108. The first output information z φ, 1 and the second output information z φ, 2 correspond to the re-encryption capability given to the mediation device 11 from the information providing device 12-φ (step S1104).

第一計算部１１０５は、第一出力情報ｚφ，１から演算結果ｕφ＝ｆφ（Ｃφ，１）ｂ（φ）ｘφ，１を生成する。ここで、ｆφ（Ｃφ，１）ｂ（φ）ｘφ，１を生成（計算）するとは、ｆφ（Ｃφ，１）ｂ（φ）ｘφ，１と定義される式の値を計算することである。式ｆφ（Ｃφ，１）ｂ（φ）ｘφ，１の値を最終的に計算することができれば、途中の計算方法は問わない。これは、この出願で登場する他の式の計算についても同様である。演算結果ｕφは第一べき乗計算部１１０６に送られる（ステップＳ１１０５）。 The first calculation unit 1105 generates an operation result u φ = f φ (C φ, 1 ) b (φ) x φ, 1 from the first output information z φ, 1 . Here, f φ (C φ, 1 ) b (φ) x φ, 1 is generated (calculated) is the value of an expression defined as f φ (C φ, 1 ) b (φ) x φ, 1 Is to calculate As long as the value of the expression f φ (C φ, 1 ) b (φ) x φ, 1 can be finally calculated, the calculation method is not limited. The same applies to the calculation of other equations appearing in this application. Operation result u phi is sent to the first power calculating unit 1106 (step S1105).

第一べき乗計算部１１０６はｕφ’＝ｕφ ａ（φ）を計算する。計算結果ｕφとその計算結果に基づいて計算されたｕφ’との組（ｕφ，ｕφ’）は、第一リスト記憶部１１０７に記憶される（ステップＳ１１０６）。 The first power calculating unit 1106 calculates the u φ '= u φ a ( φ). A set (u φ , u φ ′) of the calculation result u φ and u φ ′ calculated based on the calculation result is stored in the first list storage unit 1107 (step S1106).

判定部１１１１は、第一リスト記憶部１１０７に記憶された組（ｕφ，ｕφ’）及び第二リスト記憶部１１１０に記憶された組（ｖφ，ｖφ’）の中で、ｕφ’とｖφ’とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属するものがあるかを判定する。必ずしもＭφを計算できる必要はなく、またＭφ＝ｍφであることまでは判定できなくてもよい（以下同様）。言い換えると、判定部１１１１は、同一の暗号文の類ＣＬφ（Ｍφ）に属するｕφ’とｖφ’との組があるか判定する。例えば、第二暗号化方式ＥＮＣφ，２が確定暗号方式の場合、判定部１１１１は、ｕφ’＝ｖφ’であるかを判定する（ステップＳ１１０７）。もし、第二リスト記憶部１１１０に組（ｖφ，ｖφ’）が記憶されていない場合には、このステップＳ１１０７の処理を行わずに、次のステップＳ１１０８の処理を行う。同一の暗号文の類ＣＬφ（Ｍφ）に属するｕφ’とｖφ’との組があった場合には、ステップＳ１１１４に進む。同一の暗号文の類ＣＬφ（Ｍφ）に属するｕφ’とｖφ’との組がなかった場合には、ステップＳ１１０８に進む。 Judging unit 1111, among the pairs stored in the first list storage unit 1107 (u φ, u φ ' ) and the set stored in the second list storage unit 1110 (v φ, v φ' ), u φ It is determined whether “and v φ ” belong to the same ciphertext class CL φ (M φ ). It is not always necessary to calculate M φ, and it may not be possible to determine that M φ = m φ (the same applies hereinafter). In other words, the determination unit 1111 determines whether there is a set of classes CL of the same ciphertext phi 'and v φ' (M φ) u φ belonging to the. For example, when the second encryption method ENC φ, 2 is a definite encryption method, the determination unit 1111 determines whether u φ ′ = v φ ′ (step S1107). If the set (v φ , v φ ′) is not stored in the second list storage unit 1110, the process of the next step S1108 is performed without performing the process of step S1107. If there is a set of u φ ′ and v φ ′ belonging to the same ciphertext class CL φ (M φ ), the process proceeds to step S1114. If there is no pair of u φ ′ and v φ ′ belonging to the same ciphertext class CL φ (M φ ), the process proceeds to step S1108.

ステップＳ１１０８では、第二計算部１１０８が、第二出力情報ｚφ，２から演算結果ｖφ＝ｆφ（Ｃφ，１）ａ（φ）ｘφ，２を生成する。演算結果ｖφは第二べき乗計算部１１０９に送られる（ステップＳ１１０８）。 In step S < b > 1108, the second calculation unit 1108 generates an operation result v φ = f φ (C φ, 1 ) a (φ) x φ, 2 from the second output information z φ, 2 . Operation result v phi is fed into a second power calculating unit 1109 (step S1108).

第二べき乗計算部１１０９はｖφ’＝ｖφ ｂ（φ）を計算する。計算結果ｖφとその計算結果に基づいて計算されたｖφ’との組（ｖφ，ｖφ’）は、第二リスト記憶部１１１０に記憶される（ステップＳ１１０９）。 The second power calculation section 1109 v φ '= v calculating the φ b (φ). A set ( vφ , vφ ′) of the calculation result vφ and vφ ′ calculated based on the calculation result is stored in the second list storage unit 1110 (step S1109).

判定部１１１１は、第一リスト記憶部１１０７に記憶された組（ｕφ，ｕφ’）及び第二リスト記憶部１１１０に記憶された組（ｖφ，ｖφ’）の中で、ｕφ’とｖφ’とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属するものがあるかを判定する。例えば、第二暗号化方式ＥＮＣφ，２が確定暗号方式の場合、判定部１１１１は、ｕφ’＝ｖφ’であるかを判定する（ステップＳ１１１０）。同一の暗号文の類ＣＬφ（Ｍφ）に属するｕφ’とｖφ’との組があった場合には、ステップＳ１１１４に進む。同一の暗号文の類ＣＬφ（Ｍφ）に属するｕφ’とｖφ’との組がなかった場合には、ステップＳ１１１１に進む。 Judging unit 1111, among the pairs stored in the first list storage unit 1107 (u φ, u φ ' ) and the set stored in the second list storage unit 1110 (v φ, v φ' ), u φ It is determined whether “and v φ ” belong to the same ciphertext class CL φ (M φ ). For example, when the second encryption method ENC φ, 2 is a definite encryption method, the determination unit 1111 determines whether u φ ′ = v φ ′ (step S1110). If there is a set of u φ ′ and v φ ′ belonging to the same ciphertext class CL φ (M φ ), the process proceeds to step S1114. If there is no set of u φ ′ and v φ ′ belonging to the same ciphertext class CL φ (M φ ), the process proceeds to step S1111.

ステップＳ１１１１では、制御部１１１４がｔ＝Ｔであるか判定する（ステップＳ１１１１）。Ｔは予め定められた自然数である。Ｔはすべてのφについて同一値であってもよいし、φについての自己訂正処理でのＴの値と、φ’（σ’≠σ，σ’＝１，…，Φ）についての自己訂正処理でのＴの値が相違する場合があってもよい。ｔ＝Ｔであれば、処理部１１１２が、計算をすることができなかった旨の情報、例えば記号「⊥」を出力して（ステップＳ１１１３）、処理を終える。ｔ＝Ｔでない場合には、制御部１１１４は、ｔを１だけインクリメント、すなわちｔ＝ｔ＋１（ｔ＋１を新たなｔ）として（ステップＳ１１１２）、ステップＳ１１０３に戻る。   In step S1111, the control unit 1114 determines whether t = T (step S1111). T is a predetermined natural number. T may be the same value for all φ, or the value of T in the self-correction processing for φ and the self-correction processing for φ ′ (σ ′ ≠ σ, σ ′ = 1,..., Φ) There may be a case where the values of T in are different. If t = T, the processing unit 1112 outputs information indicating that the calculation could not be performed, for example, the symbol “⊥” (step S1113), and ends the process. If not t = T, the control unit 1114 increments t by 1, that is, sets t = t + 1 (t + 1 is a new t) (step S1112), and returns to step S1103.

計算をすることができなかった旨の情報（この例では記号「⊥」）は、情報提供装置１２−φが正しく計算を行う信頼性がＴで定められる基準を下回るということを意味する。言い換えれば、Ｔ回の繰り返しで正しい演算を行うことができなかったということを意味する。   Information indicating that the calculation could not be performed (in this example, the symbol “⊥”) means that the reliability with which the information providing apparatus 12-φ correctly performs the calculation is lower than the standard defined by T. In other words, it means that a correct operation could not be performed by repeating T times.

ステップＳ１１１４では、処理部１１１２が、同一の暗号文の類ＣＬφ（Ｍφ）に属すると判定されたｕφ’とｖφ’との組に対応するｕφ及びｖφを用いてｕφ ｂ’（φ）ｖφ ａ’（φ）を計算して、出力して処理を終える（ステップＳ１１１４）。このように計算されたｕφ ｂ’（φ）ｖφ ａ’（φ）は、高い確率で第二暗号文ｆφ（Ｃφ，１）＝Ｃφ，２∈Ｇφとなる（高い確率でｕφ ｂ’（φ）ｖφ ａ’（φ）＝ｆφ（Ｃφ，１）となる理由については後述する）。よって、少なくともφについての自己訂正処理を複数回繰り返し、ステップＳ１１１４で得られた値のうち最も頻度の高いｕφ ｂ’（φ）ｖφ ａ’（φ）を選択すれば、選択されたｕφ ｂ’（φ）ｖφ ａ’（φ）が第２暗号文Ｃφ，２であることの信頼度（確率など）は所定値以上となる。たとえば、セキュリティパラメータをｋとするとき、ｋ回の自己訂正処理を繰り返せば、無視できる確率をのぞいて正しい計算を行うことができる。また、後述するように、設定によっては圧倒的な確率でｕφ ｂ’（φ）ｖφ ａ’（φ）＝ｆφ（Ｃφ，１）となる。その場合にはステップＳ１１１４で得られたｕφ ｂ’（φ）ｖφ ａ’（φ）が第２暗号文Ｃφ，２であることの信頼度は必ず所定値以上となる（［φについての自己訂正処理］についての説明終わり）。 In step S1114, the processing unit 1112 uses u φ and v φ corresponding to a set of u φ ′ and v φ ′ determined to belong to the same ciphertext class CL φ (M φ ), and u φ. b ′ (φ) v φa ′ (φ) is calculated and output to finish the processing (step S1114). Thus calculated u φ b '(φ) v φ a' (φ) , the second ciphertext f phi with a high probability (C φ, 1) = C φ, a 2 ∈G phi (high probability in u φ b '(φ) v φ a' (φ) = f φ (C φ, 1) will be described later why the). Therefore, if at least self-correction processing for φ is repeated a plurality of times and u φ b ′ (φ) v φ a ′ (φ) having the highest frequency is selected from the values obtained in step S1114, the selected u The reliability (probability, etc.) that φ b ′ (φ) v φ a ′ (φ) is the second ciphertext C φ, 2 is a predetermined value or more. For example, when the security parameter is k, if k self-correction processes are repeated, correct calculation can be performed except for negligible probabilities. Further, as will be described later, depending on the setting, u φ b ′ (φ) v φ a ′ (φ) = f φ (C φ, 1 ) with an overwhelming probability. In that case, the reliability that u φ b ′ (φ) v φ a ′ (φ) obtained in step S1114 is the second ciphertext C φ, 2 is always greater than or equal to a predetermined value ([About φ End of explanation of self-correction processing].

図６に戻り、仲介装置１１（図２）の処理部１１１２は、φについての自己訂正処理で得られたｕφ ｂ’（φ）ｖφ ａ’（φ）が第２暗号文Ｃφ，２であることの信頼度が所定値以上であるかを判定する（ステップＳ１１３）。 Returning to FIG. 6, the processing unit 1112 of the intermediary device 11 (FIG. 2) determines that u φ b ′ (φ) v φ a ′ (φ) obtained by the self-correction processing for φ is the second ciphertext C φ, It is determined whether or not the reliability of 2 is equal to or greater than a predetermined value (step S113).

ここで得られたｕφ ｂ’（φ）ｖφ ａ’（φ）が第２暗号文Ｃφ，２であることの信頼度が所定値以上でなかったと判定された場合、φを更新することなくステップＳ１１２に戻ってステップＳ１１２の処理が再び実行される。例えば、ステップＳ１１１３で計算をすることができなかった旨の情報が出力された場合には、信頼度が所定値以上でなかったと判定される。また、ステップＳ１１１４でｕφ ｂ’（φ）ｖφ ａ’（φ）が得られたとしても、φについての自己訂正処理を複数回繰り繰り返さなくてはｕφ ｂ’（φ）ｖφ ａ’（φ）の信頼度を評価できない場合には、信頼度を評価できる所定の回数だけφについての自己訂正処理が繰り返されるまで、信頼度が所定値以上でなかったと判定される。 When it is determined that the reliability of the obtained u φ b ′ (φ) v φ a ′ (φ) being the second ciphertext C φ, 2 is not greater than or equal to a predetermined value, φ is updated. Without returning to step S112, the process of step S112 is executed again. For example, if information indicating that the calculation could not be performed is output in step S1113, it is determined that the reliability is not greater than or equal to a predetermined value. Further, in step S1114 u φ b '(φ) v φ a' as (phi) is obtained, is not repeated repeated several times its own correction for φ u φ b '(φ) v φ a If the reliability of '(φ) cannot be evaluated, it is determined that the reliability is not greater than or equal to a predetermined value until the self-correction processing for φ is repeated a predetermined number of times that the reliability can be evaluated.

一方、得られたｕφ ｂ’（φ）ｖφ ａ’（φ）が第２暗号文Ｃφ，２であることの信頼度が所定値以上であったと判定された場合、処理部１１１２は、信頼度が所定値以上のｕφ ｂ’（φ）ｖφ ａ’（φ）を出力し、それが最終出力部１１１３に入力される。例えば、ステップＳ１１１４でｕφ ｂ’（φ）ｖφ ａ’（φ）が得られた場合にその信頼度が必ず所定値以上となる設定の場合には、ステップＳ１１１４でｕφ ｂ’（φ）ｖφ ａ’（φ）が最終出力部１１１３に入力される。また、φについての自己訂正処理を複数回繰り繰り返さなくてはｕφ ｂ’（φ）ｖφ ａ’（φ）の信頼度を評価できない場合であって、かつ、信頼度を評価できる所定の回数だけφについての自己訂正処理が繰り返された場合には、それらの自己訂正処理で得られたｕφ ｂ’（φ）ｖφ ａ’（φ）のうち最も頻度の高いものが最終出力部１１１３に入力される。最終出力部１１１３に入力されたｕφ ｂ’（φ）ｖφ ａ’（φ）は図示していない最終出力部１１１３内の記憶部に格納され、ステップＳ１１４に進む。 On the other hand, if it is determined that the reliability of the obtained u φ b ′ (φ) v φ a ′ (φ) is the second ciphertext C φ, 2 , the processing unit 1112 , U φ b ′ (φ) v φ a ′ (φ) having a reliability greater than or equal to a predetermined value is output and input to the final output unit 1113. For example, when u φ b ′ (φ) v φ a ′ (φ) is obtained in step S1114, if the reliability is always set to a predetermined value or more, u φ b ′ (φ is set in step S1114. ) V φ a ′ (φ) is input to the final output unit 1113. Further, it is a case where the reliability of u φ b ′ (φ) v φ a ′ (φ) cannot be evaluated without repeating the self-correction processing for φ a plurality of times, and the reliability can be evaluated. When self correction processing for φ is repeated a number of times, the most frequent one of u φ b ′ (φ) v φ a ′ (φ) obtained by the self correction processing is the final output unit. 1113 is input. U φ b ′ (φ) v φa ′ (φ) input to the final output unit 1113 is stored in a storage unit in the final output unit 1113 (not shown ) , and the process proceeds to step S114.

ステップＳ１１４では、制御部１１１４がφ＝Φであるかを判定する（ステップＳ１１４）。ここでφ＝Φでなければ、制御部１１１４はφを１だけインクリメント、すなわちφ＝φ＋１（φ＋１を新たなφ）として（ステップＳ１１５）、ステップＳ１１２に戻って［φについての自己訂正処理］が実行される。一方、φ＝Φであれば、最終出力部１１１３は、最終出力部１１１３内の記憶部（図示せず）に格納されたすべての値ｕφ ｂ’（φ）ｖφ ａ’（φ）（φ＝１，…，Φ）を出力する。すなわち、最終出力部１１１３は、上述のようにすべてのφ＝１，…，Φについて値ｕφ ｂ’（φ）ｖφ ａ’（φ）が計算された後に、各ｕφ ｂ’（φ）ｖφ ａ’（φ）（φ＝１，…，Φ）を出力する。これにより、情報提供装置１２−１及び１２−２による持ち逃げ問題を抑制できる。また、仲介装置１１が第一復号鍵ｓ（φ，１）や第二復号鍵ｓ（φ，２）を利用可能でない場合、仲介装置１１に平文ｍφの情報が知られることはない（ステップＳ１１６）。 In step S114, the control unit 1114 determines whether φ = Φ (step S114). If φ = φ is not satisfied, the control unit 1114 increments φ by 1, that is, φ = φ + 1 (φ + 1 is a new φ) (step S115), and returns to step S112 to [self correction processing for φ]. Executed. On the other hand, if φ = Φ, the final output unit 1113 displays all values u φ b ′ (φ) v φ a ′ (φ) ( φ) stored in a storage unit (not shown) in the final output unit 1113. φ = 1,..., Φ) are output. That is, the final output section 1113, all of phi = 1 as described above, ..., the value for Φ u φ b '(φ) v φ a' (φ) after is calculated, the u φ b '(φ ) V φ a ′ (φ) (φ = 1,..., Φ) is output. Thereby, the problem of being carried away by the information providing apparatuses 12-1 and 12-2 can be suppressed. If the mediation device 11 cannot use the first decryption key s (φ, 1) or the second decryption key s (φ, 2), the mediation device 11 does not know the plaintext mφ information (step). S116).

各ｕφ ｂ’（φ）ｖφ ａ’（φ）は、それぞれ第２暗号文Ｃφ，２として情報提供装置１２−σ（φ）に入力される。本形態では、ｕσ（φ） ｂ’（σ（φ））ｖσ（φ） ａ’（σ（φ））が第二暗号文Ｃσ（φ），２として情報提供装置１２−φ（図３）の復号部１２０７−φに入力される。復号部１２０７−φは、鍵記憶部１２０４−φから第二復号鍵ｓ（φ，２）を読み出し、それを用いて第２暗号文Ｃσ（φ），２を復号し、得られた復号結果を出力する。 Each u φ b '(φ) v φ a' (φ) , the second ciphertext C phi, respectively, are input to the 2 as an information providing apparatus 12-σ (φ). In this embodiment, u σ (φ) b ′ (σ (φ)) v σ (φ) a ′ (σ (φ)) is the second ciphertext C σ (φ), 2 and the information providing device 12-φ ( It is input to the decoding unit 1207-φ in FIG. The decryption unit 1207-φ reads the second decryption key s (φ, 2) from the key storage unit 1204-φ, decrypts the second ciphertext C σ (φ), 2 using it, and obtains the decryption obtained Output the result.

≪高い確率でｕφ ｂ’（φ）ｖφ ａ’（φ）＝ｆφ（Ｃφ，１）となる理由について≫
Ｘφを群Ｇφに値を持つ確率変数とする。ｗφ∈Ｇφについて、要求を受けるたびに確率変数Ｘφに従った標本ｘφ’に対応するｗφｘφ’を返すものを、ｗφについて誤差Ｘφを持つ標本器（ｓａｍｐｌｅｒ）と呼ぶ。 «U φ b with a high probability '(φ) v φ a' (φ) = f φ (C φ, 1) to become a reason for»
Let Xφ be a random variable having a value in the group Gφ . For w φ ∈G φ , a sampler having an error X φ for w φ that returns w φ x φ 'corresponding to the sample x φ ' according to the random variable X φ every time a request is received. Call.

ｗφ∈Ｇφについて、自然数ａ（φ）が与えられるたびに確率変数Ｘφに従った標本ｘφ’に対応するｗφ ａ（φ）ｘφ’を返すものを、ｗφについて誤差Ｘφを持つ乱数化可能標本器（ｒａｎｄｏｍｉｚａｂｌｅ ｓａｍｐｌｅｒ）と呼ぶ。乱数化可能標本器はａ（φ）＝１として用いられれば標本器として機能する。 For w φ ∈G φ , every time a natural number a (φ) is given, the one that returns w φ a (φ) x φ ′ corresponding to the sample x φ ′ according to the random variable X φ is the error X for w φ This is called a randomizable sampler having φ . A randomizable sampler functions as a sampler when a (φ) = 1 is used.

本実施形態の入力情報提供部１１０４と第一出力情報計算部１２０１−φと第一計算部１１０５との組み合わせが、ｆφ（Ｃφ，１）について誤差Ｘφ，１を持つ乱数化可能標本器（「第一乱数化可能標本器」と呼ぶ）であり、入力情報提供部１１０４と第二出力情報計算部１２０２−φと第二計算部１１０８との組み合わせが、ｆφ（Ｃφ，１）について誤差Ｘφ，２を持つ乱数化可能標本器（「第二乱数化可能標本器」と呼ぶ）である。 The combination of the input information providing unit 1104, the first output information calculating unit 1201-φ, and the first calculating unit 1105 of the present embodiment is a randomizable sample having an error X φ, 1 with respect to f φ (C φ, 1 ). A combination of the input information providing unit 1104, the second output information calculating unit 1202-φ, and the second calculating unit 1108 is f φ (C φ, 1 ) Is a randomizable sampler having an error X φ, 2 (referred to as “second randomizable sampler”).

ｕφ’とｖφ’とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属するのは、第一乱数化可能標本器がｕφ＝ｆφ（Ｃφ，１）ｂ（φ）を正しく計算しており、第二乱数化可能標本器がｖφ＝ｆφ（Ｃφ，１）ａ（φ）を正しく計算している（ｘφ，１及びｘφ，２が群Ｇφの単位元ｅφ，ｇである）可能性が高いことを発明者は見出した。説明の簡略化の観点から、この証明は第五実施形態で行う。 u φ 'and v φ ' belong to the same ciphertext class CL φ (M φ ) because the first randomizable sampler is u φ = f φ (C φ, 1 ) b (φ) And the second randomizable sampler correctly calculates v φ = f φ (C φ, 1 ) a (φ) (x φ, 1 and x φ, 2 are group G φ The inventor has found that there is a high possibility that the unit element e φ, g of From the viewpoint of simplifying the explanation, this proof is performed in the fifth embodiment.

第一乱数化可能標本器がｕφ＝ｆφ（Ｃφ，１）ｂ（φ）を正しく計算しており、第二乱数化可能標本器がｖφ＝ｆφ（Ｃφ，１）ａ（φ）を正しく計算しているとき（ｘφ，１及びｘφ，２が群Ｇφの単位元ｅφ，ｇであるとき）、ｕφ ｂ’（φ）＝（ｆφ（Ｃφ，１）ｂ（φ）ｘφ，１）ｂ’（φ）＝（ｆφ（Ｃφ，１）ｂ（φ）ｅφ，ｇ）ｂ’（φ）＝ｆφ（Ｃφ，１）ｂ（φ）ｂ’（φ）となり、ｖφ ａ’（φ）＝（ｆφ（Ｃφ，１）ａ（φ）ｘφ，２）ａ’（φ）＝（ｆφ（Ｃφ，１）ａ（φ）ｅφ，ｇ）ａ’（φ）＝ｆφ（Ｃφ，１）ａ（φ）ａ’（φ）となる。そのため、第二暗号化方式が確定暗号方式なのであればｕφ ｂ’（φ）ｖφ ａ’（φ）＝ｆφ（Ｃφ，１）（ｂ（φ）ｂ’（φ）＋ａ（φ）ａ’（φ））＝ｆφ（Ｃφ，１）となる。一方、第二暗号化方式が確率暗号方式であったとしてもｆφ（Ｃφ，１）が準同型関数なのであれば、ｕφ ｂ’（φ）ｖφ ａ’（φ）＝ｆφ（Ｃφ，１ （ｂ（φ）ｂ’（φ）＋ａ（φ）ａ’（φ）））＝ｆφ（Ｃφ，１）となる。 The first randomization can sampler is u φ = f φ (C φ , 1) b (φ) has been correctly calculated, the second random number of possible sampler is v φ = f φ (C φ , 1) a When (φ) is correctly calculated (when x φ, 1 and x φ, 2 are unit elements e φ, g of group G φ ), u φ b ′ (φ) = (f φ (C φ , 1 ) b (φ) x φ, 1 ) b ′ (φ) = (f φ (C φ, 1 ) b (φ) e φ, g ) b ′ (φ) = f φ (C φ, 1 ) b (φ) b ′ (φ) and vφa ′ (φ) = ( fφ ( Cφ, 1 ) a (φ) xφ, 2 ) a ′ (φ) = ( fφ ( Cφ, 1 ) a (φ) e φ, g ) a ′ (φ) = f φ (C φ, 1 ) a (φ) a ′ (φ) Therefore, if the second encryption method is a definite encryption method, u φ b ′ (φ) v φ a ′ (φ) = f φ (C φ, 1 ) (b (φ) b ′ (φ) + a (φ ) A ′ (φ)) = f φ (C φ, 1 ). On the other hand, even if the second encryption method is a stochastic encryption method, if f φ (C φ, 1 ) is a homomorphic function, u φ b ′ (φ) v φa ′ (φ) = f φ ( C φ, 1 (b (φ) b ′ (φ) + a (φ) a ′ (φ)) ) = f φ (C φ, 1 ).

また、（ｑ１，ｑ２）∈Ｉについて、ｉ＝１，２の各々について関数πｉをπｉ（ｑ１，ｑ２）＝ｑｉで定義する。さらに、Ｌ＝ｍｉｎ（♯π１（Ｓ），♯π２（Ｓ））とする。♯・は、集合・の位数である。群Ｇφが巡回群などの有限可換群や位数の計算が困難な群であるときには、仲介装置１１が「⊥」以外を出力するときの出力がｆφ（Ｃφ，１）ではない確率は、無視できる程度の誤差の範囲で高々Ｔ２Ｌ／♯Ｓ程度と期待することができる。もしＬ／♯Ｓが無視できる量でＴが多項式オーダー程度の量であれば、仲介装置１１は圧倒的な確率で正しいｆφ（Ｃφ，１）を出力する。Ｌ／♯Ｓが無視できる量になるようなＳの例には、例えばＳ＝｛（１，ｄ）｜ｄ∈［２，｜Ｇφ｜−１］｝がある。 For (q 1 , q 2 ) ∈I, a function π i is defined as π i (q 1 , q 2 ) = q i for each of i = 1 and 2 . Further, L = min (# π 1 (S), # π 2 (S)). # · Is the order of the set. When the group G φ is a finite commutative group such as a cyclic group or a group whose order is difficult to calculate, the output when the mediating device 11 outputs something other than “⊥” is not f φ (C φ, 1 ). The probability can be expected to be at most about T 2 L / # S within a negligible error range. If L / # S is a negligible amount and T is an amount on the order of polynomials, the intermediary device 11 outputs the correct f φ (C φ, 1 ) with an overwhelming probability. For example, S = {(1, d) | dε [2, | G φ | −1]} is an example of S in which L / # S becomes a negligible amount.

［第二実施形態］
第二実施形態の情報提供システムは、上述した第一乱数化可能標本器及び第二乱数化可能標本器を具体化した例である。以下、第一実施形態と異なる部分を中心に説明し、共通する部分については重複説明を省略する。以下の説明において、同一の参照番号が付された部分は同一の機能を持つものとし、同一の参照番号が付されたステップは同一の処理を表すものとする。 [Second Embodiment]
The information providing system of the second embodiment is an example in which the first randomizable sampler and the second randomizable sampler described above are embodied. Hereinafter, the description will focus on the parts that are different from the first embodiment, and overlapping description will be omitted for common parts. In the following description, parts denoted by the same reference numbers have the same function, and steps denoted by the same reference numbers represent the same processing.

＜構成＞
図１に例示するように、第二実施形態の情報提供システム２は、仲介装置１１が仲介装置２１に置換され、情報提供装置１２−φが情報提供装置２２−φに置換されたものである。 <Configuration>
As illustrated in FIG. 1, the information providing system 2 according to the second embodiment is one in which the mediating device 11 is replaced with a mediating device 21 and the information providing device 12 -φ is replaced with an information providing device 22 -φ. .

図２に例示するように、第二実施形態の仲介装置２１は、例えば、自然数記憶部１１０１と自然数選択部１１０２と整数計算部１１０３と入力情報提供部２１０４と第一計算部２１０５と第一べき乗計算部１１０６と第一リスト記憶部１１０７と第二計算部２１０８と第二べき乗計算部１１０９と第二リスト記憶部１１１０と判定部１１１１と処理部１１１２と最終出力部１１１３と制御部１１１４とを有する。図４に例示するように、本形態の入力情報提供部２１０４は、例えば、第一乱数生成部２１０４ａと第一入力情報計算部２１０４ｂと第二乱数生成部２１０４ｃと第二入力情報計算部２１０４ｄとを有する。   As illustrated in FIG. 2, the intermediary device 21 of the second embodiment includes, for example, a natural number storage unit 1101, a natural number selection unit 1102, an integer calculation unit 1103, an input information provision unit 2104, a first calculation unit 2105, and a first power. A calculation unit 1106, a first list storage unit 1107, a second calculation unit 2108, a second power calculation unit 1109, a second list storage unit 1110, a determination unit 1111, a processing unit 1112, a final output unit 1113, and a control unit 1114 . As illustrated in FIG. 4, the input information providing unit 2104 of this embodiment includes, for example, a first random number generation unit 2104 a, a first input information calculation unit 2104 b, a second random number generation unit 2104 c, and a second input information calculation unit 2104 d. Have

図３に例示するように、第二実施形態の情報提供装置２２−φ（φ＝１，２）は、例えば、それぞれ、第一出力情報計算部２２０１−φと第二出力情報計算部２２０２−φと鍵記憶部１２０４−φと暗号文記憶部１２０５−φと出力部１２０６−φと復号部１２０７−φと制御部１２０８−φとを有する。   As illustrated in FIG. 3, the information providing apparatus 22-φ (φ = 1, 2) of the second embodiment, for example, includes a first output information calculation unit 2201-φ and a second output information calculation unit 2202-, respectively. φ, key storage unit 1204-φ, ciphertext storage unit 1205-φ, output unit 1206-φ, decryption unit 1207-φ, and control unit 1208-φ.

＜処理の前提＞
第二実施形態では、関数ｆφを準同型関数とし、群Ｈφの生成元をμφ，ｈ、群Ｈφの位数をＫφ，Ｈ、νφ＝ｆφ（μφ，ｈ）とする。その他の前提は、仲介装置１１が仲介装置２１に置換され、情報提供装置１２−φが情報提供装置２２−φに置換されている以外、第一実施形態と同一である。 <Processing premise>
In the second embodiment, the function f φ is a homomorphic function, the generation source of the group H φ is μ φ, h , the order of the group H φ is K φ, H , and ν φ = f φ (μ φ, h ). And Other preconditions are the same as those in the first embodiment except that the mediating device 11 is replaced with the mediating device 21 and the information providing device 12-φ is replaced with the information providing device 22-φ.

＜処理＞
図６〜図８に例示するように、第二実施形態の処理は第一実施形態のステップＳ１１３のステップＳ１１０３〜Ｓ１１０５，Ｓ１１０８，Ｓ１２００〜Ｓ１２０３が、それぞれ、ステップＳ２１３のステップＳ２１０３〜Ｓ２１０５，Ｓ２１０８，Ｓ２２００〜Ｓ２２０３に置換されたものである。以下ではステップＳ２１３のステップＳ２１０３〜Ｓ２１０５，Ｓ２１０８，Ｓ２２００〜Ｓ２２０３の処理のみを説明する。 <Processing>
As illustrated in FIGS. 6 to 8, in the processing of the second embodiment, steps S <b> 1103 to S <b> 1105, S <b> 1108, and S <b> 1200 to S <b> 1203 of step S <b> 113 are steps S <b> 2103 to S <b> 2105, S <b> 2108, respectively. It has been replaced with S2200 to S2203. Only the processing of steps S2103 to S2105, S2108, and S2200 to S2203 of step S213 will be described below.

《ステップＳ２１０３の処理》
仲介装置２１（図２）の入力情報提供部２１０４は、入力された第一暗号文Ｃφ，１にそれぞれ対応する第一入力情報τφ，１及び第二入力情報τφ，２を生成して出力する（図７／ステップＳ２１０３）。以下、図９を用いて本形態のステップＳ２１０３の処理を説明する。 << Processing in Step S2103 >>
The input information providing unit 2104 of the intermediary device 21 (FIG. 2) generates first input information τ φ, 1 and second input information τ φ, 2 corresponding to the input first ciphertext C φ, 1 respectively. (FIG. 7 / step S2103). Hereinafter, the processing in step S2103 of this embodiment will be described with reference to FIG.

第一乱数生成部２１０４ａ（図４）は、０以上Ｋφ，Ｈ未満の自然数の一様乱数ｒ（φ，１）を生成する。生成された乱数ｒ（φ，１）は、第一入力情報計算部２１０４ｂ及び第一計算部２１０５に送られる（ステップＳ２１０３ａ）。第一入力情報計算部２１０４ｂは、入力された乱数ｒ（φ，１）と第一暗号文Ｃφ，１と自然数ｂ（φ）とを用いて第一入力情報τφ，１＝μφ，ｈ ｒ（φ，１）Ｃφ，１ ｂ（φ）を計算する（ステップＳ２１０３ｂ）。 The first random number generator 2104a (FIG. 4) generates a natural random number r (φ, 1) that is a natural number of 0 or more and less than K φ, H. The generated random number r (φ, 1) is sent to the first input information calculation unit 2104b and the first calculation unit 2105 (step S2103a). The first input information calculation unit 2104b uses the input random number r (φ, 1), the first ciphertext C φ, 1 and the natural number b (φ) to input the first input information τ φ, 1 = μ φ, h r (φ, 1) C φ, 1 b (φ) is calculated (step S2103b).

第二乱数生成部２１０４ｃは、０以上Ｋφ，Ｈ未満の自然数の一様乱数ｒ（φ，２）を生成する。生成された乱数ｒ（φ，２）は、第二入力情報計算部２１０４ｄ及び第二計算部２１０８に送られる（ステップＳ２１０３ｃ）。第二入力情報計算部２１０４ｄは、入力された乱数ｒ（φ，２）と第一暗号文Ｃφ，１と自然数ａ（φ）とを用いて第二入力情報τφ，２＝μφ，ｈ ｒ（φ，２）Ｃφ，１ ａ（φ）を計算する（ステップＳ２１０３ｄ）。 The second random number generation unit 2104c generates a natural random number r (φ, 2) that is a natural number of 0 or more and less than K φ, H. The generated random number r (φ, 2) is sent to the second input information calculation unit 2104d and the second calculation unit 2108 (step S2103c). The second input information calculation unit 2104d uses the input random number r (φ, 2), the first ciphertext C φ, 1 and the natural number a (φ) to input the second input information τ φ, 2 = μ φ, hr (φ, 2) C φ, 1 a (φ) is calculated (step S2103d).

第一入力情報計算部２１０４ｂ及び第二入力情報計算部２１０４ｄは、以上のように生成した第一入力情報τφ，１及び第二入力情報τφ，２を出力する（ステップＳ２１０３ｅ）。なお、本形態の第一入力情報τφ，１及び第二入力情報τφ，２は、それぞれ、乱数ｒ（φ，１），ｒ（φ，２）によって第一暗号文Ｃφ，１との関係をかく乱させた情報である。これにより、仲介装置２２は、第一暗号文Ｃφ，１を情報提供装置２２−φに対して隠蔽できる。また、本形態の第一入力情報τφ，１は自然数選択部１１０２で選択された自然数ｂ（φ）にさらに対応し、第二入力情報τφ，２は自然数選択部１１０２で選択された自然数ａ（φ）にさらに対応する。これにより、情報提供装置２２−φから提供された再暗号化能力を仲介装置２１が高い精度で評価することができる。 The first input information calculation unit 2104b and the second input information calculation unit 2104d output the first input information τ φ, 1 and the second input information τ φ, 2 generated as described above (step S2103e). Note that the first input information τ φ, 1 and the second input information τ φ, 2 in this embodiment are the first ciphertext C φ, 1 and the random number r (φ, 1) and r (φ, 2), respectively. It is information that disturbed the relationship. Thereby, the mediation device 22 can conceal the first ciphertext Cφ, 1 from the information providing device 22-φ. In addition, the first input information τ φ, 1 of this embodiment further corresponds to the natural number b (φ) selected by the natural number selection unit 1102, and the second input information τ φ, 2 is the natural number selected by the natural number selection unit 1102. Further corresponds to a (φ). Thereby, the intermediary device 21 can evaluate the re-encryption capability provided from the information providing device 22-φ with high accuracy.

《ステップＳ２２００〜Ｓ２２０３の処理》
図８に例示するように、まず、第一入力情報τφ，１＝μφ，ｈ ｒ（φ，１）Ｃφ，１ ｂ（φ）が情報提供装置２２−φ（図３）の第一出力情報計算部２２０１−φに入力され、第二入力情報τφ，２＝μφ，ｈ ｒ（φ，２）Ｃφ，１ ａ（φ）が第二出力情報計算部２２０２−φに入力される（ステップＳ２２００）。 << Processes in Steps S2200 to S2203 >>
As illustrated in FIG. 8, first, the first input information τ φ, 1 = μ φ, hr (φ, 1) C φ, 1 b (φ) is the first information of the information providing device 22-φ (FIG. 3). The second input information τ φ, 2 = μ φ, hr (φ, 2) C φ, 1 a (φ) is input to the first output information calculation unit 2201-φ, and the second output information calculation unit 2202-φ. Input (step S2200).

第一出力情報計算部２２０１−φは、第一入力情報τφ，１＝μφ，ｈ ｒ（φ，１）Ｃφ，１ ｂ（φ）と鍵記憶部１２０４−φに格納された第一復号鍵ｓ（φ，１）及び第二暗号化鍵ｙ（σ（φ），２）とを用い、或る確率より大きな確率でｆφ（μφ，ｈ ｒ（φ，１）Ｃφ，１ ｂ（φ））を正しく計算し、得られた計算結果を第一出力情報ｚφ，１とする。この計算結果は正しい場合もあれば正しくない場合もある。すなわち、第一出力情報計算部２２０１−φでの計算結果がｆφ（μφ，ｈ ｒ（φ，１）Ｃφ，１ ｂ（φ））となる場合もあれば、ｆφ（μφ，ｈ ｒ（φ，１）Ｃφ，１ ｂ（φ））とならない場合もある。なお、関数ｆφの例は、第一暗号化方式ＥＮＣφ，１に則って第一復号鍵ｓ（φ，１）で暗号文を復号して得られる値を、第二暗号化方式ＥＮＣφ，２に則って第二暗号化鍵ｙ（σ（φ），２）で暗号化するための準同型関数である。このような関数ｆφに対応する第一暗号化方式ＥＮＣφ，１や第二暗号化方式ＥＮＣφ，２の例はＲＳＡ暗号方式である（ステップＳ２２０１）。 The first output information calculation unit 2201-φ receives the first input information τ φ, 1 = μ φ, hr (φ, 1) C φ, 1 b (φ) and the first storage stored in the key storage unit 1204-φ. Using one decryption key s (φ, 1) and the second encryption key y (σ (φ), 2), f φ (μ φ, hr (φ, 1) C φ is greater than a certain probability. , 1 b (φ) ) is calculated correctly, and the obtained calculation result is defined as first output information z φ, 1 . This calculation result may or may not be correct. That is, the calculation result in the first output information calculation unit 2201-φ may be f φ (μ φ, hr (φ, 1) C φ, 1 b (φ) ), or f φ (μ φ , Hr (φ, 1) C φ, 1 b (φ) ). The example of the function f phi, the first encryption method ENC phi, first decryption key s (phi, 1) in accordance with the 1 values obtained by decoding the ciphertext, the second encryption method ENC phi , 2 is a homomorphic function for encryption with the second encryption key y (σ (φ), 2). Examples of the first encryption method ENC φ, 1 and the second encryption method ENC φ, 2 corresponding to such a function f φ are RSA encryption methods (step S2201).

第二出力情報計算部２２０２−φは、第二入力情報τφ，２＝μφ，ｈ ｒ（φ，２）Ｃφ，１ ａ（φ）と鍵記憶部１２０４−φに格納された第一復号鍵ｓ（φ，１）及び第二暗号化鍵ｙ（σ（φ），２）とを用い、或る確率より大きな確率でｆφ（μφ，ｈ ｒ（φ，２）Ｃφ，１ ａ（φ））を正しく計算し、得られた計算結果を第二出力情報ｚφ，２とする。この計算結果は正しい場合もあれば正しくない場合もある。すなわち、第二出力情報計算部２２０２−φでの計算結果がｆφ（μφ，ｈ ｒ（φ，２）Ｃφ，１ ａ（φ））となる場合もあれば、ｆφ（μφ，ｈ ｒ（φ，２）Ｃφ，１ ａ（φ））とならない場合もある（ステップＳ２２０２）。 The second output information calculation unit 2202-φ receives the second input information τ φ, 2 = μ φ, hr (φ, 2) C φ, 1 a (φ) and the first storage stored in the key storage unit 1204-φ. Using one decryption key s (φ, 1) and the second encryption key y (σ (φ), 2), f φ (μ φ, hr (φ, 2) C φ is greater than a certain probability. , 1 a (φ) ) is correctly calculated, and the obtained calculation result is set as second output information z φ, 2 . This calculation result may or may not be correct. That is, the calculation result in the second output information calculation unit 2202-φ may be f φ (μ φ, hr (φ, 2) C φ, 1 a (φ) ), or f φ (μ φ , Hr (φ, 2) C φ, 1 a (φ) ) may not be satisfied (step S2202).

第一出力情報計算部２２０１−φは第一出力情報ｚφ，１を出力し、第二出力情報計算部２２０２−φは第二出力情報ｚφ，２を出力する（ステップＳ２２０３）。 The first output information calculation unit 2201-φ outputs the first output information z φ, 1 , and the second output information calculation unit 2202-φ outputs the second output information z φ, 2 (step S2203).

《ステップＳ２１０４及びＳ２１０５の処理》
図７に戻り、第一出力情報ｚφ，１は仲介装置２１（図２）の第一計算部２１０５に入力され、第二出力情報ｚφ，２は第二計算部２１０８に入力される。これらの第一出力情報ｚφ，１及び第二出力情報ｚφ，２が、情報提供装置２２−φから仲介装置２１に与えられた再暗号化能力に相当する（ステップＳ２１０４）。 << Processing in Steps S2104 and S2105 >>
Returning to FIG. 7, the first output information z φ, 1 is input to the first calculation unit 2105 of the intermediary device 21 (FIG. 2), and the second output information z φ, 2 is input to the second calculation unit 2108. The first output information z φ, 1 and the second output information z φ, 2 correspond to the re-encryption capability given to the mediation device 21 from the information providing device 22-φ (step S2104).

第一計算部２１０５は、入力された乱数ｒ（φ，１）及び第一出力情報ｚφ，１を用いてｚφ，１νφ −ｒ（φ，１）を計算してその計算結果をｕφとする。計算結果ｕφは、第一べき乗計算部１１０６に送られる。ここで、ｕφ＝ｚφ，１νφ −ｒ（φ，１）＝ｆφ（Ｃφ，１）ｂ（φ）ｘφ，１となる。すなわち、ｚφ，１νφ −ｒ（φ，１）は、ｆφ（Ｃφ，１）について誤差Ｘφ，１を持つ乱数化可能標本器の出力となる。その理由については後述する（ステップＳ２１０５）。 The first calculation unit 2105 calculates z φ, 1 ν φ −r (φ, 1) using the input random number r (φ, 1) and the first output information z φ, 1 and calculates the calculation result. Let u φ . The calculation result u φ is sent to the first power calculation unit 1106. Here, u φ = z φ, 1 ν φ -r (φ, 1) = f φ (C φ, 1) b (φ) x φ, a 1. That is, z φ, 1 ν φ −r (φ, 1) is the output of a randomizable sampler having an error X φ, 1 with respect to f φ (C φ, 1 ). The reason will be described later (step S2105).

《ステップＳ２１０８の処理》
第二計算部２１０８は、入力された乱数ｒ（φ，２）及び第二出力情報ｚφ，２を用いてｚφ，２νφ −ｒ（φ，２）を計算してその計算結果をｖφとする。計算結果ｖφは、第二べき乗計算部１１０９に送られる。ここで、ｖφ＝ｚφ，２νφ −ｒ（φ，２）＝ｆφ（Ｃφ，１）ａ（φ）ｘφ，２となる。すなわち、ｚφ，２νφ −ｒ（φ，２）は、ｆφ（Ｃφ，１）について誤差Ｘφ，２を持つ乱数化可能標本器の出力となる。その理由については後述する（ステップＳ２１０８）。 << Processing in Step S2108 >>
The second calculation unit 2108, a random number r (φ, 2) input and the second output information z phi, 2 with z φ, 2 ν φ -r ( φ, 2) the calculation result by calculating the v φ . Calculation result v phi is fed to the second power calculating unit 1109. Here, v φ = z φ, 2 ν φ -r (φ, 2) = f φ (C φ, 1) a (φ) x φ, two. That is, z φ, 2 ν φ −r (φ, 2) is the output of a randomizable sampler having an error X φ, 2 with respect to f φ (C φ, 1 ). The reason will be described later (step S2108).

≪ｚφ，１νφ −ｒ（φ，１），ｚφ，２νφ −ｒ（φ，２）がｆφ（Ｃφ，１）についてそれぞれ誤差Ｘφ，１，Ｘφ，２を持つ乱数化可能標本器の出力となる理由について≫
ｃを自然数、Ｒ及びＲ’を乱数として、情報提供装置２２−φがμφ，ｈ ＲＣφ，１ ｃを用いて行う計算の計算結果をＢ（μφ，ｈ ＲＣφ，１ ｃ）とする。すなわち、第一出力情報計算部２２０１−φや第二出力情報計算部２２０２−φが仲介装置２１に返す計算結果をｚφ＝Ｂ（μφ，ｈ ＲＣφ，１ ｃ）とする。さらに、群Ｇφに値を持つ確率変数ＸφをＸφ＝Ｂ（μφ，ｈ Ｒ’）ｆφ（μφ，ｈ Ｒ’）−１と定義する。 ≪z φ, 1 ν φ −r (φ, 1) , z φ, 2 ν φ −r (φ, 2) respectively give errors X φ, 1 , X φ, 2 for f φ (C φ, 1 ). Reasons for the output of a randomizable sampler
The c is a natural number, as a random number R and R ', the information providing apparatus 22-phi is mu phi, h R C phi, the calculation results of the calculations carried out using 1 c B (μ φ, h R C φ, 1 c ). That is, the calculation result returned from the first output information calculation unit 2201-φ and the second output information calculation unit 2202-φ to the mediating device 21 is set to z φ = B (μ φ, h R C φ, 1 c ). Further, a random variable X φ having a value in the group G φ is defined as X φ = B (μ φ, h R ′ ) f φ (μ φ, h R ′ ) −1 .

このとき、ｚφνφ −Ｒ＝Ｂ（μφ，ｈ ＲＣφ，１ ｃ）ｆ（μφ，ｈ）−Ｒ＝Ｘφｆφ（μφ，ｈ ＲＣφ，１ ｃ）ｆφ（μφ，ｈ）−Ｒ＝Ｘφｆφ（μφ，ｈ）Ｒｆφ（Ｃφ，１）ｃｆφ（μφ，ｈ）−Ｒ＝ｆφ（Ｃφ，１）ｃＸφとなる。すなわち、ｚφνφ −Ｒは、ｆφ（Ｃφ，１）について誤差Ｘφを持つ乱数化可能標本器の出力となる。 In this case, z φ ν φ -R = B (μ φ, h R C φ, 1 c) f (μ φ, h) -R = X φ f φ (μ φ, h R C φ, 1 c) f φ (μ φ, h) -R = X φ f φ (μ φ, h) R f φ (C φ, 1) c f φ (μ φ, h) -R = f φ (C φ, 1) c X φ . That is, z φ ν φ −R is an output of a randomizable sampler having an error X φ with respect to f φ (C φ, 1 ).

上記式展開において、Ｘφ＝Ｂ（μφ，ｈ Ｒ’）ｆφ（μφ，ｈ Ｒ’）−１＝Ｂ（μφ，ｈ ＲＣφ，１ ｃ）ｆφ（μφ，ｈ ＲＣφ，１ ｃ）−１であり、Ｂ（μφ，ｈ ＲＣφ，１ ｃ）＝Ｘφｆφ（μφ，ｈ ＲＣφ，１ ｃ）であるという性質を用いている。この性質は、関数ｆφが準同型関数であり、Ｒ及びＲ’が乱数であることに基づく。 In the above formula deployment, X φ = B (μ φ , h R ') f φ (μ φ, h R') -1 = B (μ φ, h R C φ, 1 c) f φ (μ φ, h R C φ, 1 c ) −1 and B (μ φ, h R C φ, 1 c ) = X φ f φ (μ φ, h R C φ, 1 c ) are used. . This property is based on the fact that the function fφ is a homomorphic function, and R and R ′ are random numbers.

したがって、ａ（φ），ｂ（φ）が自然数、ｒ（φ，１），ｒ（φ，２）が乱数であることを考慮すると、同様に、ｚφ，１ν−ｒ（φ，１），ｚφ，２ν−ｒ（φ，２）がｆφ（Ｃφ，１）についてそれぞれ誤差Ｘφ，１，Ｘφ，２を持つ乱数化可能標本器の出力となるのである。 Therefore, considering that a (φ) and b (φ) are natural numbers and r (φ, 1) and r (φ, 2) are random numbers, similarly, z φ, 1 v −r (φ, 1 ) , Zφ, 2ν− r (φ, 2) is the output of a randomizable sampler having errors X φ, 1 , X φ, 2 for f φ (C φ, 1 ), respectively.

［第三実施形態］
第三実施形態は第二実施形態の変形例であり、ａ（φ）＝１やｂ（φ）＝１のときに前述した標本器によってｕφ又はｖφの値を計算する。一般に乱数化可能標本器よりも標本器の計算量は小さい。ａ（φ）＝１やｂ（φ）＝１のときに乱数化可能標本器に代わり、標本器が計算を行うことで、情報提供システムの計算量を小さくすることができる。以下、第一実施形態及び第二実施形態と異なる部分を中心に説明し、共通する部分については重複説明を省略する。 [Third embodiment]
The third embodiment is a modification of the second embodiment. When a (φ) = 1 or b (φ) = 1, the value of uφ or vφ is calculated by the sampler described above. In general, the amount of calculation of a sampler is smaller than that of a randomizable sampler. When a (φ) = 1 or b (φ) = 1, the sampler performs the calculation instead of the randomizable sampler, so that the calculation amount of the information providing system can be reduced. Hereinafter, the description will focus on the parts that are different from the first embodiment and the second embodiment, and overlapping description will be omitted for the common parts.

＜構成＞
図１に例示するように、第三実施形態の情報提供システム３は、仲介装置２１が仲介装置３１に置換され、情報提供装置２２−φが情報提供装置３２−φに置換されたものである。 <Configuration>
As illustrated in FIG. 1, the information providing system 3 according to the third embodiment is one in which the mediating device 21 is replaced with a mediating device 31 and the information providing device 22 -φ is replaced with an information providing device 32 -φ. .

図２に例示するように、第三実施形態の仲介装置３１は、例えば、自然数記憶部１１０１と自然数選択部１１０２と整数計算部１１０３と入力情報提供部２１０４と第一計算部２１０５と第一べき乗計算部１１０６と第一リスト記憶部１１０７と第二計算部２１０８と第二べき乗計算部１１０９と第二リスト記憶部１１１０と判定部１１１１と処理部１１１２と最終出力部１１１３と制御部１１１４と第三計算部３１０９とを有する。   As illustrated in FIG. 2, the intermediary device 31 of the third embodiment includes, for example, a natural number storage unit 1101, a natural number selection unit 1102, an integer calculation unit 1103, an input information providing unit 2104, a first calculation unit 2105, and a first power. Calculation unit 1106, first list storage unit 1107, second calculation unit 2108, second power calculation unit 1109, second list storage unit 1110, determination unit 1111, processing unit 1112, final output unit 1113, control unit 1114, and third And a calculation unit 3109.

図３に例示するように、第三実施形態の情報提供装置３２−φは、例えば、第一出力情報計算部２２０１−φと第二出力情報計算部２２０２−φと鍵記憶部１２０４−φと暗号文記憶部１２０５−φと出力部１２０６−φと復号部１２０７−φと制御部１２０８−φと第三出力情報計算部３２０３−φとを有する。   As illustrated in FIG. 3, the information providing apparatus 32-φ of the third embodiment includes, for example, a first output information calculation unit 2201-φ, a second output information calculation unit 2202-φ, and a key storage unit 1204-φ. A ciphertext storage unit 1205-φ, an output unit 1206-φ, a decryption unit 1207-φ, a control unit 1208-φ, and a third output information calculation unit 3203-φ are included.

＜処理＞
次に本形態の処理を説明する。第二実施形態との相違点を説明する。 <Processing>
Next, the processing of this embodiment will be described. Differences from the second embodiment will be described.

図６〜図８に例示するように、第三実施形態の処理は第二実施形態のステップＳ２１３のステップＳ２１０３〜Ｓ２１０５，Ｓ２１０８，Ｓ２２００〜Ｓ２２０３が、それぞれ、ステップＳ３１３のステップＳ３１０３〜Ｓ３１０５，Ｓ３１０８，Ｓ２２００〜Ｓ２２０３及びＳ３２０５〜Ｓ３２０９に置換されたものである。以下ではステップＳ３１３のステップＳ３１０３〜Ｓ３１０５，Ｓ３１０８，Ｓ２２００〜Ｓ２２０３及びＳ３２０５〜Ｓ３２０９の処理を中心に説明する。   As illustrated in FIG. 6 to FIG. 8, the processing of the third embodiment includes steps S2103 to S2105, S2108, and S2200 to S2203 of step S213 of the second embodiment, and steps S3103 to S3105 and S3108 of step S313, respectively. It is replaced with S2200 to S2203 and S3205 to S3209. Below, it demonstrates centering on the process of step S3103-S3105, S3108, S2200-S2203 of step S313, and S3205-S3209.

《ステップＳ３１０３の処理》
仲介装置３１（図２）の入力情報提供部３１０４は、入力された第一暗号文Ｃφ，１にそれぞれ対応する第一入力情報τφ，１及び第二入力情報τφ，２を生成して出力する（図７／ステップＳ３１０３）。 << Processing in Step S3103 >>
The input information providing unit 3104 of the intermediary device 31 (FIG. 2) generates first input information τ φ, 1 and second input information τ φ, 2 corresponding to the input first ciphertext C φ, 1 respectively. (FIG. 7 / step S3103).

以下、図９を用いて本形態のステップＳ３１０３の処理を説明する。   Hereinafter, the processing in step S3103 of this embodiment will be described with reference to FIG.

制御部１１１４（図２）は、自然数選択部１１０２で選択された自然数（ａ（φ），ｂ（φ））に応じて入力情報提供部３１０４を制御する。   The control unit 1114 (FIG. 2) controls the input information providing unit 3104 according to the natural numbers (a (φ), b (φ)) selected by the natural number selection unit 1102.

制御部１１１４でｂ（φ）が１であるかが判定され（ステップＳ３１０３ａ）、ｂ（φ）≠１であると判定された場合、前述のステップＳ２１０３ａ及びＳ２１０３ｂの処理が実行され、ステップＳ３１０３ｇに進む。   Whether or not b (φ) is 1 is determined by the control unit 1114 (step S3103a), and if it is determined that b (φ) ≠ 1, the processing of steps S2103a and S2103b described above is executed, and step S3103g is executed. move on.

一方、ステップＳ３１０３ａでｂ（φ）＝１であると判定された場合、第三乱数生成部３１０４ｅが、０以上Ｋφ，Ｈ未満の自然数の乱数ｒ（φ，３）を生成する。生成された乱数ｒ（φ，３）は第三入力情報計算部３１０４ｆ及び第三計算部３１０９に送られる（ステップＳ３１０３ｂ）。第三入力情報計算部３１０４ｆは、入力された乱数ｒ（φ，３）と第一暗号文Ｃφ，１とを用いてＣφ，１ ｒ（φ，３）を計算し、これを第一入力情報τφ，１とする（ステップＳ３１０３ｃ）。その後、ステップＳ３１０３ｇに進む。 On the other hand, if it is determined in step S3103a that b (φ) = 1, the third random number generation unit 3104e generates a random number r (φ, 3) that is a natural number between 0 and less than K φ and H. The generated random number r (φ, 3) is sent to the third input information calculation unit 3104f and the third calculation unit 3109 (step S3103b). Third input information calculating unit 3104f generates a random number r (phi, 3) which is input to the first cipher text C phi, 1 and C phi with, 1 r (φ, 3) is calculated, and this first Input information τ φ, 1 is set (step S3103c). Thereafter, the process proceeds to step S3103g.

ステップＳ３１０３ｇでは、制御部１１１４でａ（φ）が１であるかが判定され（ステップＳ３１０３ｇ）、ａ（φ）≠１であると判定された場合、前述のステップＳ２１０３ｃ及びステップＳ２１０３ｄの処理が実行される。   In step S3103g, whether or not a (φ) is 1 is determined by the control unit 1114 (step S3103g), and if it is determined that a (φ) ≠ 1, the processes in steps S2103c and S2103d described above are executed. Is done.

一方、ステップＳ３１０３ｇでａ（φ）＝１であると判定された場合、第三乱数生成部３１０４ｅが、０以上Ｋφ，Ｈ未満の自然数の乱数ｒ（φ，３）を生成する。生成された乱数ｒ（φ，３）は第三入力情報計算部３１０４ｆに送られる（ステップＳ３１０３ｈ）。第三入力情報計算部３１０４ｆは、入力された乱数ｒ（φ，３）と第一暗号文Ｃφ，１とを用いてＣφ，１ ｒ（φ，３）を計算し、これを第二入力情報τφ，２とする（ステップＳ３１０３ｉ）。 On the other hand, if it is determined in step S3103g that a (φ) = 1, the third random number generation unit 3104e generates a random number r (φ, 3) that is a natural number greater than or equal to 0 and less than K φ and H. The generated random number r (φ, 3) is sent to the third input information calculation unit 3104f (step S3103h). Third input information calculating unit 3104f generates a random number r (phi, 3) which is input to the first cipher text C phi, 1 and C phi with, 1 r (φ, 3) is calculated, and this second Input information τ φ, 2 is set (step S3103i).

第一入力情報計算部２１０４ｂ、第二入力情報計算部２１０４ｄ、第三入力情報計算部３１０４ｆは、以上のように生成した第一入力情報τφ，１及び第二入力情報τφ，２を対応する自然数（ａ（φ），ｂ（φ））の情報とともに出力する（ステップＳ３１０３ｅ）。なお、本形態の第一入力情報τφ，１及び第二入力情報τφ，２は、それぞれ、乱数ｒ（φ，１），ｒ（φ，２），ｒ（φ，３）によって第一暗号文Ｃφ，１との関係をかく乱させた情報である。これにより、仲介装置３１は、第一暗号文Ｃφ，１を情報提供装置３２−φに対して隠蔽できる。 The first input information calculation unit 2104b, the second input information calculation unit 2104d, and the third input information calculation unit 3104f correspond to the first input information τ φ, 1 and the second input information τ φ, 2 generated as described above. Are output together with information on natural numbers (a (φ), b (φ)) to be performed (step S3103e). Note that the first input information τ φ, 1 and the second input information τ φ, 2 of the present embodiment are respectively expressed by random numbers r (φ, 1), r (φ, 2), r (φ, 3). This is information that disturbs the relationship with the ciphertext C φ, 1 . Thereby, the intermediary device 31 can conceal the first ciphertext Cφ, 1 from the information providing device 32-φ.

《Ｓ２２００〜Ｓ２２０３及びＳ３２０５〜Ｓ３２０９の処理》
以下、図８を用いて本形態のＳ２２００〜Ｓ２２０３及びＳ３２０５〜Ｓ３２０９の処理を説明する。 << Processing of S2200 to S2203 and S3205 to S3209 >>
Hereinafter, the processing of S2200 to S2203 and S3205 to S3209 of this embodiment will be described with reference to FIG.

制御部１２０８−φ（図３）は、入力された自然数（ａ（φ），ｂ（φ））に応じ、第一出力情報計算部２２０１−φ、第二出力情報計算部２２０２−φ、及び第三出力情報計算部３２０３−φを制御する。   The control unit 1208-φ (FIG. 3), depending on the input natural numbers (a (φ), b (φ)), the first output information calculation unit 2201-φ, the second output information calculation unit 2202-φ, and The third output information calculation unit 3203-φ is controlled.

制御部１２０８−φの制御に基づき、ｂ（φ）≠１の場合の第一入力情報τφ，１＝μφ，ｈ ｒ（φ，１）Ｃφ，１ ｂ（φ）は情報提供装置３２−φ（図３）の第一出力情報計算部２２０１−φに入力され、ａ（φ）≠１の場合の第二入力情報τφ，２＝μφ，ｈ ｒ（φ，２）Ｃφ，１ ａ（φ）は第二出力情報計算部２２０２−φに入力される。また、ｂ（φ）＝１の場合の第一入力情報τφ，１＝Ｃφ，１ ｒ（φ，３）やａ（φ）＝１の場合の第二入力情報τφ，２＝Ｃφ，１ ｒ（φ，３）は第三出力情報計算部３２０３−φに入力される（ステップＳ３２００）。 Based on the control of the control unit 1208-φ, the first input information τ φ, 1 = μ φ, hr (φ, 1) C φ, 1 b (φ) when b (φ) ≠ 1 is an information providing device The second input information τ φ, 2 = μ φ, hr (φ, 2) C when it is input to the first output information calculation unit 2201-φ of 32-φ (FIG. 3) and a (φ) ≠ 1 φ, 1a (φ) is input to the second output information calculation unit 2202-φ. Also, the first input information τ φ, 1 = C φ, 1 r (φ, 3) when b (φ) = 1, and the second input information τ φ, 2 = C when a (φ) = 1. φ, 1r (φ, 3) is input to the third output information calculation unit 3203-φ (step S3200).

制御部１１１４でｂ（φ）が１であるかが判定され（ステップＳ３２０５）、ｂ（φ）≠１であると判定された場合、前述のステップＳ２２０１の処理が実行される。その後、制御部１１１４でａ（φ）が１であるかが判定され（ステップＳ３２０８）、ａ（φ）≠１であると判定された場合、前述したステップＳ２２０２の処理が実行されてステップＳ３２０３に進む。   The controller 1114 determines whether b (φ) is 1 (step S3205), and if it is determined that b (φ) ≠ 1, the process of step S2201 described above is executed. Thereafter, the control unit 1114 determines whether a (φ) is 1 (step S3208). If it is determined that a (φ) ≠ 1, the process of step S2202 described above is executed, and the process proceeds to step S3203. move on.

一方、ステップＳ３２０８でａ（φ）＝１であると判定された場合、第三出力情報計算部３２０３−φは、第二入力情報τφ，２＝Ｃφ，１ ｒ（φ，３）と鍵記憶部１２０４−φに格納された第一復号鍵ｓ（φ，１）及び第二暗号化鍵ｙ（σ（φ），２）とを用い、或る確率より大きな確率でｆφ（Ｃφ，１ ｒ（φ，３））を正しく計算し、得られた計算結果を第三出力情報ｚφ，３とする。この計算結果は正しい場合もあれば正しくない場合もある。すなわち、第三出力情報計算部３２０３−φでの計算結果がｆφ（Ｃφ，１ ｒ（φ，３））となる場合もあれば、ｆφ（Ｃφ，１ ｒ（φ，３））とならない場合もある（ステップＳ３２０９）。その後、ステップＳ３２０３に進む。 On the other hand, if it is determined in step S3208 that a (φ) = 1, the third output information calculation unit 3203-φ outputs the second input information τ φ, 2 = C φ, 1 r (φ, 3) . Using the first decryption key s (φ, 1) and the second encryption key y (σ (φ), 2) stored in the key storage unit 1204-φ, f φ (C φ, 1 r (φ, 3) ) is correctly calculated, and the obtained calculation result is set as third output information z φ, 3 . This calculation result may or may not be correct. That is, the calculation result in the third output information calculation unit 3203-φ may be f φ (C φ, 1 r (φ, 3) ), or f φ (C φ, 1 r (φ, 3) ) May not be satisfied (step S3209). Thereafter, the process proceeds to step S3203.

また、ステップＳ３２０５でｂ（φ）＝１であると判定された場合、第三出力情報計算部３２０３−φは、第二入力情報τφ，１＝Ｃφ，１ ｒ（φ，３）と鍵記憶部１２０４−φに格納された第一復号鍵ｓ（φ，１）及び第二暗号化鍵ｙ（σ（φ），２）とを用い、或る確率より大きな確率でｆφ（Ｃφ，１ ｒ（φ，３））を正しく計算し、得られた計算結果を第三出力情報ｚφ，３とする。この計算結果は正しい場合もあれば正しくない場合もある。すなわち、第三出力情報計算部３２０３−φでの計算結果がｆφ（Ｃφ，１ ｒ（φ，３））となる場合もあれば、ｆφ（Ｃφ，１ ｒ（φ，３））とならない場合もある（ステップＳ３２０６）。 If it is determined in step S3205 that b (φ) = 1, the third output information calculation unit 3203-φ outputs the second input information τ φ, 1 = C φ, 1 r (φ, 3) . Using the first decryption key s (φ, 1) and the second encryption key y (σ (φ), 2) stored in the key storage unit 1204-φ, f φ (C φ, 1 r (φ, 3) ) is correctly calculated, and the obtained calculation result is set as third output information z φ, 3 . This calculation result may or may not be correct. That is, the calculation result in the third output information calculation unit 3203-φ may be f φ (C φ, 1 r (φ, 3) ), or f φ (C φ, 1 r (φ, 3) ) May not be satisfied (step S3206).

その後、制御部１１１４でａ（φ）が１であるかが判定され（ステップＳ３２０７）、ａ（φ）＝１であると判定された場合にはステップＳ３２０３に進み、ａ（φ）≠１であると判定された場合にはステップＳ２２０２に進む。   Thereafter, the control unit 1114 determines whether a (φ) is 1 (step S3207). If it is determined that a (φ) = 1, the process proceeds to step S3203, where a (φ) ≠ 1. If it is determined that there is, the process proceeds to step S2202.

ステップＳ３２０３では、第一出力情報ｚφ，１を生成した第一出力情報計算部２２０１−φは第一出力情報ｚφ，１を出力し、第二出力情報ｚφ，２を生成した第二出力情報計算部２２０２−φは第二出力情報ｚφ，２を出力し、第三出力情報ｚφ，３を生成した第三出力情報計算部３２０２は第三出力情報ｚφ，３を出力する（ステップＳ３２０３）。 In step S3203, the first output information z phi, the first output information calculation unit 2201-phi that generated a first output information z phi, and outputs a 1, the second generating the second output information z phi, 2 output information calculation unit 2202-phi second output information z phi, 2 outputs, the third output information z phi, third output information calculation unit 3202 that generated the 3 outputs a third output information z phi, 3 (Step S3203).

《ステップＳ３１０４及びＳ３１０５の処理》
図７に戻り、制御部１１１４の制御のもと、第一出力情報ｚφ，１は仲介装置３１（図２）の第一計算部２１０５に入力され、第二出力情報ｚφ，２は第二計算部２１０８に入力され、第三出力情報ｚφ，３は第三計算部３１０９に入力される（ステップＳ３１０４）。 << Processing in Steps S3104 and S3105 >>
Returning to FIG. 7, under the control of the control unit 1114, the first output information z φ, 1 is input to the first calculation unit 2105 of the mediating device 31 (FIG. 2), and the second output information z φ, 2 The second calculation unit 2108 inputs the third output information z φ, 3 to the third calculation unit 3109 (step S3104).

ｂ（φ）≠１であれば、第一計算部２１０５が、前述のステップＳ２１０５の処理によってｕφを生成し、ｂ（φ）＝１であれば、第三計算部３１０９が、ｚφ，３ １／ｒ（φ，３）を計算してその計算結果をｕφとする。計算結果ｕφは第一べき乗計算部１１０６に送られる。ここで、ｂ（φ）＝１の場合、ｕφ＝ｚφ，３ １／ｒ（φ，３）＝ｆφ（Ｃφ，１）ｘφ，３となる。すなわち、ｚφ，３ １／ｒ（φ，３）は、ｆφ（Ｃφ，１）について誤差Ｘφ，３を持つ標本器となる。その理由については後述する（ステップＳ３１０５）。 If b (φ) ≠ 1, the first calculation unit 2105 generates u φ by the processing in step S2105 described above. If b (φ) = 1, the third calculation unit 3109 determines that z φ, 3 1 / r (φ, 3) is calculated, and the calculation result is u φ . The calculation result u φ is sent to the first power calculation unit 1106. Here, when b (φ) = 1, u φ = z φ, 3 1 / r (φ, 3) = f φ (C φ, 1 ) xφ, 3 . That is, z φ, 3 1 / r (φ, 3) becomes a sampler having an error X φ, 3 with respect to f φ (C φ, 1 ). The reason will be described later (step S3105).

《ステップＳ３１０８の処理》
ａ（φ）≠１であれば、第二計算部２１０８が、前述のステップＳ２１０８の処理によってｖφを生成し、ａ（φ）＝１であれば、第三計算部３１０９が、ｚφ，３ １／ｒ（φ，３）を計算してその計算結果をｖφとする。計算結果ｖφは第二べき乗計算部１１０９に送られる。ここで、ａ（φ）＝１の場合、ｖφ＝ｚφ，３ １／ｒ（φ，３）＝ｆφ（Ｃφ，１）ｘφ，３となる。すなわち、ｚφ，３ １／ｒ（φ，３）は、ｆφ（Ｃφ，１）について誤差Ｘφ，３を持つ標本器となる。その理由については後述する（ステップＳ３１０８）。 << Process of Step S3108 >>
If a (φ) ≠ 1, the second calculation unit 2108 generates v φ by the process of step S2108 described above. If a (φ) = 1, the third calculation unit 3109 sets z φ, 3 1 / r (φ, 3) is calculated, and the calculation result is defined as v φ . Calculation result v phi is fed into a second power calculating unit 1109. Here, when a (φ) = 1, v φ = z φ, 3 1 / r (φ, 3) = f φ (C φ, 1 ) xφ, 3 . That is, z φ, 3 1 / r (φ, 3) becomes a sampler having an error X φ, 3 with respect to f φ (C φ, 1 ). The reason will be described later (step S3108).

なお、ｚφ，３ １／ｒ（φ，３）の計算、すなわちｚφ，３のべき乗根の計算が困難な場合には、次のようにしてｕφ及び／又はｖφを計算してもよい。第三計算部３１０９は、乱数ｒ（φ，３）とその乱数ｒ（φ，３）に基づいて計算されたｚφ，３の組を順次（α１，β１），（α２，β２），…，（αｍ，βｍ），…として図示していない記憶部に記憶する。ｍは自然数である。第三計算部３１０９は、α１，α２，…，αｍの最小公倍数が１になれば、γ１，γ２，…，γｍを整数としてγ１α１＋γ２α２＋…＋γｍαｍ＝１となるγ１，γ２，…，γｍを計算して、そのγ，γ２，…，γｍを用いてΠｉ＝１ ｍβｉ γｉ＝β１ γ１β２ γ２…βｍ γｍを計算して、その計算結果をｕφ及び／又はｖφとしてもよい。 If it is difficult to calculate z φ, 3 1 / r (φ, 3) , that is, calculation of the power root of z φ, 3 , u φ and / or v φ are calculated as follows. Also good. The third calculation unit 3109 sequentially generates a set of (α 1 , β 1 ), (α 2 , β) for a set of z φ, 3 calculated based on the random number r (φ, 3) and the random number r (φ, 3). 2 ),..., (Α m , β m ),. m is a natural number. When the least common multiple of α 1 , α 2 ,..., Α m becomes 1, the third calculation unit 3109 sets γ 1 , γ 2 ,..., Γ m as integers to γ 1 α 1 + γ 2 α 2 +. m α m = 1 and becomes γ 1, γ 2, ..., γ m is calculated to the gamma, gamma 2, ..., gamma using m Π i = 1 m β i γi = β 1 γ1 β 2 γ2 ... Β m γm may be calculated and the calculation result may be u φ and / or v φ .

≪ｚφ，３ １／ｒ（φ，３）がｆφ（Ｃφ，１）について誤差Ｘφ，３を持つ標本器となる理由について≫
Ｒを乱数として、情報提供装置３２−φがＣφ，１ Ｒを用いて行う計算の計算結果をＢ（Ｃφ，１ Ｒ）とする。すなわち、第一出力情報計算部２２０１−φや第二出力情報計算部２２０２−φや第三出力情報計算部３２０３−φが仲介装置３１に返す計算結果をｚφ＝Ｂ（Ｃφ，１ Ｒ）とする。さらに、群Ｇφに値を持つ確率変数ＸφをＸφ＝Ｂ（Ｃφ，１ Ｒ）１／Ｒｆφ（Ｃφ，１）−１と定義する。 << Reasons why z φ, 3 1 / r (φ, 3) becomes a sampler having an error X φ, 3 for f φ (C φ, 1 ) >>
The R as a random number, the information providing apparatus 32-phi is C phi, 1 the calculation result of the calculation performed using the R B (C φ, 1 R ) to. That is, the calculation results returned from the first output information calculation unit 2201-φ, the second output information calculation unit 2202-φ, and the third output information calculation unit 3203-φ to the mediating device 31 are expressed as z φ = B (C φ, 1 R ). Further, a random variable X φ having a value in the group G φ is defined as X φ = B (C φ, 1 R ) 1 / R f φ (C φ, 1 ) −1 .

このとき、ｚφ １／Ｒ＝Ｂ（Ｃφ，１ Ｒ）１／Ｒ＝Ｘφｆφ（Ｃφ，１）＝ｆφ（Ｃφ，１）Ｘφとなる。すなわち、ｚφ １／Ｒは、ｆφ（Ｃφ，１）について誤差Ｘφを持つ標本器となる。 In this case, z φ 1 / R = B (C φ, 1 R) 1 / R = X φ f φ (C φ, 1) = f φ (C φ, 1) a X phi. That is, z φ 1 / R becomes a sampler having an error X φ with respect to f φ (C φ, 1 ).

上記式展開において、Ｘφ＝Ｂ（Ｃφ，１ Ｒ）１／Ｒｆφ（Ｃφ，１ Ｒ）−１であり、Ｂ（Ｃφ，１ Ｒ）１／Ｒ＝Ｘφｆφ（Ｃφ，１ Ｒ）であるという性質を用いている。この性質は、Ｒが乱数であることに基づく。 In the above formula expansion, X φ = B (C φ, 1 R ) 1 / R f φ (C φ, 1 R ) −1 and B (C φ, 1 R ) 1 / R = X φ f φ ( C φ, 1 R ). This property is based on the fact that R is a random number.

したがって、ｒ（φ，３）が乱数であることを考慮すると、同様に、ｚφ １／Ｒがｆφ（Ｃφ，１）について誤差Ｘφ，３を持つ標本器となるのである。 Therefore, considering that r (φ, 3) is a random number, similarly, z φ 1 / R becomes a sampler having an error X φ, 3 with respect to f φ (C φ, 1 ).

［第四実施形態］
第四実施形態の情報提供システムは、上述した第一乱数化可能標本器及び第二乱数化可能標本器を具体化した他の例である。具体的には、第二暗号化方式ＥＮＣφ，２がＥｌＧａｍａｌ暗号方式であり、関数ｆφが準同型関数である例を示す。なお、第一暗号化方式ＥＮＣφ，１には特に限定はなく、第一暗号化方式ＥＮＣφ，１はＥｌＧａｍａｌ暗号方式のような確率暗号方式であってもよいし、ＲＳＡ暗号方式のような確定暗号方式であってもよい。 [Fourth embodiment]
The information providing system according to the fourth embodiment is another example in which the first randomizable sampler and the second randomizable sampler described above are embodied. Specifically, an example is shown in which the second encryption method ENC φ, 2 is an ElGamal encryption method and the function f φ is a homomorphic function. The first encryption method ENC φ, 1 is not particularly limited, and the first encryption method ENC φ, 1 may be a stochastic encryption method such as an ElGamal encryption method or a RSA encryption method. A definite encryption method may be used.

以下、第一実施形態と異なる部分を中心に説明し、共通する部分については重複説明を省略する。   Hereinafter, the description will focus on the parts that are different from the first embodiment, and overlapping descriptions will be omitted for the common parts.

図１に例示するように、第四実施形態の情報提供システム４は、仲介装置１１が仲介装置４１に置換され、情報提供装置１２−φが情報提供装置４２−φに置換されたものである。   As illustrated in FIG. 1, the information providing system 4 of the fourth embodiment is one in which the mediating device 11 is replaced with a mediating device 41 and the information providing device 12 -φ is replaced with an information providing device 42 -φ. .

図２に例示するように、第四実施形態の仲介装置４１は、例えば、自然数記憶部１１０１と自然数選択部１１０２と整数計算部１１０３と入力情報提供部４１０４と第一計算部４１０５と第一べき乗計算部１１０６と第一リスト記憶部１１０７と第二計算部４１０８と第二べき乗計算部１１０９と第二リスト記憶部１１１０と判定部４１１１と処理部１１１２と最終出力部１１１３と制御部１１１４とを有する。図５に例示するように、本形態の入力情報提供部４１０４は、例えば、第一乱数生成部４１０４ａと第一入力情報計算部４１０４ｂと第二乱数生成部４１０４ｃと第二入力情報計算部４１０４ｄと鍵記憶部４１０４ｅとを有する。   As illustrated in FIG. 2, the intermediary device 41 of the fourth embodiment includes, for example, a natural number storage unit 1101, a natural number selection unit 1102, an integer calculation unit 1103, an input information provision unit 4104, a first calculation unit 4105, and a first power. A calculation unit 1106, a first list storage unit 1107, a second calculation unit 4108, a second power calculation unit 1109, a second list storage unit 1110, a determination unit 4111, a processing unit 1112, a final output unit 1113, and a control unit 1114; . As illustrated in FIG. 5, the input information providing unit 4104 of the present embodiment includes, for example, a first random number generation unit 4104a, a first input information calculation unit 4104b, a second random number generation unit 4104c, and a second input information calculation unit 4104d. A key storage unit 4104e.

図３に例示するように、第四実施形態の情報提供装置４２−φは、例えば、第一出力情報計算部４２０１−φと第二出力情報計算部４２０２−φと鍵記憶部１２０４−φと暗号文記憶部１２０５−φと出力部１２０６−φと復号部１２０７−φと制御部１２０８−φとを有する。   As illustrated in FIG. 3, the information providing apparatus 42-φ of the fourth embodiment includes, for example, a first output information calculation unit 4201-φ, a second output information calculation unit 4202-φ, and a key storage unit 1204-φ. A ciphertext storage unit 1205-φ, an output unit 1206-φ, a decryption unit 1207-φ, and a control unit 1208-φ are included.

＜処理の前提＞
第四実施形態では、群Ｇφが巡回群などの有限可換群Ｇφ，１，Ｇφ，２の直積Ｇφ，１×Ｇφ，２、μφ，ｇ１が群Ｇφ，１の生成元、μφ，ｇ２が群Ｇφ，２の生成元、第二暗号化鍵ｙ（σ（φ），２）がμφ，ｇ２ ｓ（σ（φ），２）、第二暗号文Ｃφ，２が（μφ，ｇ１ ｒ（φ），ｍφｙ（σ（φ），２）ｒ（φ））∈Ｇφ，１×Ｇφ，２、ｒ（φ）が整数の乱数、値ｕφ ａ（φ）が（ｃφ，１ｕ，ｃφ，２ｕ）∈Ｇφ，１×Ｇφ，２、値ｖφ ｂ（φ）が（ｃφ，１ｖ，ｃφ，２ｖ）∈Ｇφ，１×Ｇφ，２である。Ｇφ，１＝Ｇφ，２であってもよいし、Ｇφ，１≠Ｇφ，２であってもよい。また、前述のように第一暗号化方式ＥＮＣφ，１には限定はないが、例えば第一暗号化方式ＥＮＣφ，１がＥｌＧａｍａｌ暗号方式である場合には、群Ｈφが巡回群などの有限可換群Ｈφ，１，Ｈφ，２の直積Ｈφ，１×Ｈφ，２、ｒ’（φ）が整数の乱数、μφ，ｈ１が群Ｈφ，１の生成元、μφ，ｈ２が群Ｈφ，２の生成元、第一暗号化鍵ｙ（φ，１）がμφ，ｈ２ ｓ（φ，１）、第一暗号文Ｃφ，１が（μφ，ｈ１ ｒ’（φ），ｍφｙ（φ，１）ｒ’（φ））∈Ｈφ，１×Ｈφ，２となる。Ｈφ，１＝Ｈφ，２であってもよいし、Ｈφ，１≠Ｈφ，２であってもよい。 <Processing premise>
In a fourth embodiment, the finite-friendly換群G phi such group G phi is a cyclic group, 1, G phi, 2 direct product G φ, 1 × G φ, 2, μ φ, g1 is the group G phi, 1 of The generator, μ φ, g2 is the generator of the group G φ, 2 , the second encryption key y (σ (φ), 2) is μ φ, g2 s (σ (φ), 2) , the second ciphertext C φ, 2 is (μ φ, g1 r (φ) , m φ y (σ (φ), 2) r (φ) ) ∈G φ, 1 × G φ, 2 , r (φ) is an integer random number , the value u φ a (φ) is (c φ, 1u, c φ , 2u) ∈G φ, 1 × G φ, 2, the value v φ b (φ) is (c φ, 1v, c φ , 2v) ∈G φ, 1 × G φ, is 2. G φ, 1 = G φ, 2 may be used, or G φ, 1 ≠ G φ, 2 may be used. As described above, the first encryption scheme ENC φ, 1 is not limited. For example, when the first encryption scheme ENC φ, 1 is an ElGamal encryption scheme, the group H φ is a cyclic group or the like. The direct product H φ, 1 × H φ, 2 of the finite commutative group H φ, 1 , H φ, 2 , r ′ (φ) is an integer random number, μ φ, h1 is the generator of the group H φ, 1 , μ φ and h2 are the generators of the group H φ, 2 , the first encryption key y (φ, 1) is μ φ, h2 s (φ, 1) , and the first ciphertext C φ, 1 is (μ φ, h1 r ′ (φ) , mφy (φ, 1) r ′ (φ) ) ∈Hφ , 1 × Hφ , 2 . H φ, 1 = H φ, 2 may be used, or H φ, 1 ≠ H φ, 2 may be used.

なお、Α＝（α１，α２）∈Ｇφ，１×Ｇφ，２，Β＝（β１，β２）∈Ｇφ，１×Ｇφ，２，及びεが自然数である場合、Αεは（α１ ε，α２ ε）を表し、Α−εは（α１ −ε，α２ −ε）を表し、ΑΒは（α１β１，α２β２）を表す。同様に、εが自然数、Α＝（α１，α２）∈Ｈφ，１×Ｈφ，２，Β＝（β１，β２）∈Ｈφ，１×Ｈφ，２である場合、Αεは（α１ ε，α２ ε）を表し、Α−εは（α１ −ε，α２ −ε）を表し、ΑΒは（α１β１，α２β２）を表す。また、ｅφ（α，β）を（α，β）∈Ｇφ，１×Ｇφ，２に対して巡回群などの有限可換群Ｇφ，Ｔの元を与える双線形写像とする。双線形写像の例は、WeilペアリングやTateペアリングなどのペアリング演算を行うための関数やアルゴリズムである（参考文献３：Alfred. J. Menezes，"ELLIPTIC CURVE PUBLIC KEY CRYPTOSYSTEMS，" KLUWER ACADEMIC PUBLISHERS， ISBN0-7923-9368-6，pp. 61-81や、参考文献４：RFC 5091, "Identity-Based Cryptography Standard (IBCS) #1," Supersingular Curve Implementations of the BF and BB1 Cryptosystems等参照）。また、第一暗号化鍵ｙ（φ，１）及び第二暗号化鍵ｙ（σ（φ），２）が、仲介装置１１の入力情報提供部４１０４が含む鍵記憶部４１０４ｅに格納されているものとする。 If Α = (α 1 , α 2 ) ∈G φ, 1 × G φ, 2 , Β = (β 1 , β 2 ) ∈G φ, 1 × G φ, 2 , and ε are natural numbers, Α ε represents (α 1 ε , α 2 ε ), Α -ε represents (α 1 -ε , α 2 -ε ), and ΑΒ represents (α 1 β 1 , α 2 β 2 ). Similarly, if ε is a natural number, Α = (α 1 , α 2 ) ∈H φ, 1 × H φ, 2 , Β = (β 1 , β 2 ) ∈H φ, 1 × H φ, 2 , Α ε represents (α 1 ε , α 2 ε ), Α -ε represents (α 1 -ε , α 2 -ε ), and ΑΒ represents (α 1 β 1 , α 2 β 2 ). Also, let e φ (α, β) be a bilinear map that gives an element of a finite commutative group G φ, T such as a cyclic group for (α, β) εG φ, 1 × G φ, 2 . Bilinear mapping examples are functions and algorithms for performing pairing operations such as Weil pairing and Tate pairing (Reference 3: Alfred. J. Menezes, "ELLIPTIC CURVE PUBLIC KEY CRYPTOSYSTEMS," KLUWER ACADEMIC PUBLISHERS , ISBN0-7923-9368-6, pp. 61-81, and Reference 4: RFC 5091, "Identity-Based Cryptography Standard (IBCS) # 1," Supersingular Curve Implementations of the BF and BB1 Cryptosystems etc.). Further, the first encryption key y (φ, 1) and the second encryption key y (σ (φ), 2) are stored in the key storage unit 4104e included in the input information providing unit 4104 of the mediating apparatus 11. Shall.

＜処理＞
図６〜図８に例示するように、第四実施形態の処理は第一実施形態のステップＳ１１３のステップＳ１１０３〜Ｓ１１０５，Ｓ１１０７，Ｓ１１０８，Ｓ１１１０，Ｓ１２００〜Ｓ１２０３が、それぞれ、ステップＳ４１３のステップＳ４１０３〜Ｓ４１０５，Ｓ４１０７，Ｓ４１０８，Ｓ４１１０，Ｓ４２００〜Ｓ４２０３に置換されたものである。以下ではステップＳ４１３のステップＳ４１０３〜Ｓ４１０５，Ｓ４１０７，Ｓ４１０８，Ｓ４１１０，Ｓ４２００〜Ｓ４２０３の処理のみを説明する。 <Processing>
As illustrated in FIG. 6 to FIG. 8, the process of the fourth embodiment includes steps S1103 to S1105, S1107, S1108, S1110, and S1200 to S1203 of step S113 of the first embodiment, respectively, step S4103 of step S413. S4105, S4107, S4108, S4110, S4200 to S4203 are replaced. Hereinafter, only the processes of steps S4103 to S4105, S4107, S4108, S4110, and S4200 to S4203 of step S413 will be described.

《ステップＳ４１０３の処理》
仲介装置４１（図２）の入力情報提供部４１０４は、入力された第一暗号文Ｃφ，１に対応する第一入力情報τφ，１及び第二入力情報τφ，２を生成して出力する（図７／ステップＳ４１０３）。以下、図１０を用いて本形態のステップＳ４１０３の処理を説明する。 << Process of Step S4103 >>
The input information providing unit 4104 of the intermediary device 41 (FIG. 2) generates first input information τ φ, 1 and second input information τ φ, 2 corresponding to the input first ciphertext C φ, 1 It outputs (FIG. 7 / step S4103). Hereinafter, the processing in step S4103 of this embodiment will be described with reference to FIG.

第一乱数生成部４１０４ａ（図５）は、群Ｈφの任意の元ｈｒφ，１∈Ｈφを生成する。本形態では群Ｈφからランダムかつ一様に元ｈｒφ，１が選択される（一様乱数）。生成された元ｈｒφ，１は、第一入力情報計算部４１０４ｂ、及び第一計算部４１０５に送られる（ステップＳ４１０３ａ）。 The first random number generation unit 4104a (FIG. 5) generates an arbitrary element h r φ, 1 ∈H φ of the group H φ . In this embodiment, the element h r φ, 1 is selected randomly and uniformly from the group H φ (uniform random number). The generated element h r φ, 1 is sent to the first input information calculation unit 4104b and the first calculation unit 4105 (step S4103a).

第一入力情報計算部４１０４ｂは、自然数選択部１１０２で選択された自然数ｂ（φ）、第一暗号文Ｃφ，１、元ｈｒφ，１、及び鍵記憶部４１０４ｅから抽出した第一暗号化鍵ｙ（φ，１）を用い、第一入力情報τφ，１としてＣφ，１ ｂ（φ）Ｃφ，１’を計算する（ステップＳ４１０３ｂ）。なお、Ｃφ，１’は、第一暗号化方式ＥＮＣφ，１に則って元ｈｒφ，１を第一暗号化鍵ｙ（φ，１）で暗号化して得られた群Ｈφの元である。 The first input information calculation unit 4104b extracts the natural number b (φ) selected by the natural number selection unit 1102, the first ciphertext C φ, 1 , the element h r φ, 1 , and the first cipher extracted from the key storage unit 4104e. Using the encryption key y (φ, 1), C φ, 1 b (φ) C φ, 1 ′ is calculated as the first input information τ φ, 1 (step S4103b). Note that C φ, 1 ′ is a group H φ obtained by encrypting the element h r φ, 1 with the first encryption key y (φ, 1) in accordance with the first encryption scheme ENC φ, 1 . Is original.

第二乱数生成部４１０４ｃは、群Ｈφの任意の元ｈｒφ，２∈Ｈφを生成する。本形態では群Ｈφからランダムかつ一様に元ｈｒφ，２が選択される（一様乱数）。生成された元ｈｒφ，２は、第二入力情報計算部４１０４ｄ、及び第二計算部４１０８に送られる（ステップＳ４１０３ｃ）。 Second random number generation unit 4104c includes any source h r phi group H phi, to produce a 2 ∈H φ. In this embodiment, the element h r φ, 2 is selected randomly and uniformly from the group H φ (uniform random number). The generated element h r φ, 2 is sent to the second input information calculation unit 4104d and the second calculation unit 4108 (step S4103c).

第二入力情報計算部４１０４ｂは、自然数選択部１１０２で選択された自然数ａ（φ）、第一暗号文Ｃφ，１、元ｈｒφ，２、及び鍵記憶部４１０４ｅから抽出した第一暗号化鍵ｙ（φ，１）を用い、第二入力情報τφ，２としてＣφ，１ ａ（φ）Ｃφ，１”を計算する（ステップＳ４１０３ｄ）。なお、Ｃφ，１”は、第一暗号化方式ＥＮＣφ，１に則って元ｈｒφ，２を第一暗号化鍵ｙ（φ，１）で暗号化して得られた群Ｈφの元である。 The second input information calculation unit 4104b extracts the natural number a (φ) selected by the natural number selection unit 1102, the first ciphertext C φ, 1 , the element h r φ, 2 , and the first cipher extracted from the key storage unit 4104e. key y (phi, 1) using the second input information τ φ, C φ, 1 a (φ) as a 2 C phi, 1 "to calculate the (step S4103d). Incidentally, C phi, 1" is This is an element of the group H φ obtained by encrypting the element h r φ, 2 with the first encryption key y (φ, 1) according to the first encryption scheme ENC φ, 1 .

第一入力情報計算部４１０４ｂは、以上のように生成した第一入力情報τφ，１＝Ｃφ，１ ｂ（φ）Ｃφ，１’を出力する。第二入力情報計算部４１０４ｄは、以上のように生成した第二入力情報τφ，２＝Ｃφ，１ ａ（φ）Ｃφ，１”を出力する（ステップＳ４１０３ｅ）。 The first input information calculation unit 4104b outputs the first input information τ φ, 1 = C φ, 1 b (φ) C φ, 1 ′ generated as described above. The second input information calculation unit 4104d outputs the second input information τ φ, 2 = C φ, 1 a (φ) C φ, 1 ″ generated as described above (step S4103e).

《ステップＳ４２００〜Ｓ４２０３の処理》
図８に例示するように、まず、第一入力情報τφ，１＝Ｃφ，１ ｂ（φ）Ｃφ，１’が情報提供装置４２−φ（図３）の第一出力情報計算部４２０１−φに入力され、第二入力情報τφ，２＝Ｃφ，１ ａ（φ）Ｃφ，１”が第二出力情報計算部４２０２−φに入力される（ステップＳ４２００）。 << Steps S4200 to S4203 >>
As illustrated in FIG. 8, first, the first input information τ φ, 1 = C φ, 1 b (φ) C φ, 1 ′ is the first output information calculation unit of the information providing device 42 -φ (FIG. 3). The second input information τ φ, 2 = C φ, 1 a (φ) C φ, 1 ″ is input to the second output information calculation unit 4202-φ (step S4200).

第一出力情報計算部４２０１−φは、第一入力情報τφ，１＝Ｃφ，１ ｂ（φ）Ｃφ，１’と鍵記憶部１２０４−φに格納された第一復号鍵ｓ（φ，１）及び第二暗号化鍵ｙ（σ（φ），２）とを用い、或る確率より大きな確率でｆφ（Ｃφ，１ ｂ（φ）Ｃφ，１’）を正しく計算し、計算結果を第一出力情報ｚφ，１とする。この計算結果は正しい場合もあれば正しくない場合もある。すなわち、第一出力情報計算部４２０１−φでの計算結果がｆφ（Ｃφ，１ ｂ（φ）Ｃφ，１’）となる場合もあれば、ｆφ（Ｃφ，１ ｂ（φ）Ｃφ，１’）とならない場合もある（ステップＳ４２０１）。 The first output information calculation unit 4201-φ receives the first input information τ φ, 1 = C φ, 1 b (φ) C φ, 1 ′ and the first decryption key s ( Using φ, 1) and the second encryption key y (σ (φ), 2), f φ (C φ, 1 b (φ) C φ, 1 ′) is correctly calculated with a probability greater than a certain probability. The calculation result is first output information z φ, 1 . This calculation result may or may not be correct. That is, the calculation result in the first output information calculation unit 4201-φ may be f φ (C φ, 1 b (φ) C φ, 1 ′), or f φ (C φ, 1 b (φ ) C φ, 1 ′) may not be satisfied (step S4201).

なお、本形態の関数ｆφは、第一暗号化方式ＥＮＣφ，１に則って第一復号鍵ｓ（φ，１）で暗号文を復号して得られる値をＥｌＧａｍａｌ暗号方式に則って第二暗号化鍵ｙ（σ（φ），２）で暗号化するための準同型関数である。例えば、第一暗号化方式ＥＮＣφ，１も第二暗号化方式ＥＮＣφ，２もＥｌＧａｍａｌ暗号方式で或る場合、関数ｆφは、ＥｌＧａｍａｌ暗号方式に則って第一復号鍵ｓ（φ，１）で暗号文を復号して得られる値を、ＥｌＧａｍａｌ暗号方式に則って第二暗号化鍵ｙ（σ（φ），２）で暗号化するための準同型関数である。 Note that the function f phi of the present embodiment, first in line first encryption method ENC phi, first decryption key s (phi, 1) in accordance with the 1 values obtained by decoding the ciphertext to ElGamal cryptosystem This is a homomorphic function for encrypting with two encryption keys y (σ (φ), 2). For example, if both the first encryption scheme ENC φ, 1 and the second encryption scheme ENC φ, 2 are ElGamal encryption schemes, the function f φ is the first decryption key s (φ, 1 ) Is a homomorphic function for encrypting the value obtained by decrypting the ciphertext with the second encryption key y (σ (φ), 2) in accordance with the ElGamal cryptosystem.

第二出力情報計算部４２０２−φは、第二入力情報τφ，２＝Ｃφ，１ ａ（φ）Ｃφ，１”と鍵記憶部１２０４−φに格納された第一復号鍵ｓ（φ，１）及び第二暗号化鍵ｙ（σ（φ），２）とを用い、或る確率より大きな確率でｆφ（Ｃφ，１ ａ（φ）Ｃφ，１”）を正しく計算可能であり、得られた計算結果を第二出力情報ｚφ，２とする。この計算結果は正しい場合もあれば正しくない場合もある。すなわち、第二出力情報計算部４２０２−φでの計算結果がｆφ（Ｃφ，１ ａ（φ）Ｃφ，１”）となる場合もあれば、ｆφ（Ｃφ，１ ａ（φ）Ｃφ，１”）とならない場合もある（ステップＳ４２０２）。 The second output information calculation unit 4202-φ receives the second input information τ φ, 2 = C φ, 1 a (φ) C φ, 1 ″ and the first decryption key s ( Using φ, 1) and the second encryption key y (σ (φ), 2), f φ (C φ, 1 a (φ) C φ, 1 ″) is correctly calculated with a probability greater than a certain probability. The obtained calculation result is set as second output information z φ, 2 . This calculation result may or may not be correct. That is, the calculation result of the second output information calculation unit 4202-φ may be f φ (C φ, 1 a (φ) C φ, 1 ″), or f φ (C φ, 1 a (φ ) C φ, 1 ″) may not be satisfied (step S4202).

第一出力情報計算部４２０１−φは第一出力情報ｚφ，１を出力し、第二出力情報計算部４２０２−φは第二出力情報ｚφ，２を出力する（ステップＳ４２０３）。 The first output information calculation unit 4201-φ outputs the first output information z φ, 1 , and the second output information calculation unit 4202-φ outputs the second output information z φ, 2 (step S4203).

《ステップＳ４１０４及びＳ４１０５の処理》
図７に戻り、第一出力情報ｚφ，１は仲介装置４１（図２）の第一計算部４１０５に入力され、第二出力情報ｚφ，２は第二計算部４１０８に入力される（ステップＳ４１０４）。 << Processing in Steps S4104 and S4105 >>
Returning to FIG. 7, the first output information z φ, 1 is input to the first calculation unit 4105 of the mediation device 41 (FIG. 2), and the second output information z φ, 2 is input to the second calculation unit 4108 ( Step S4104).

第一計算部４１０５は、入力された第一出力情報ｚφ，１、元ｈｒφ，１、及び鍵記憶部４１０４ｅ（図５）から読み出した第二暗号化鍵ｙ（σ（φ），２）を用い、ｚφ，１（Ｃφ，２’）−１を計算してその計算結果をｕφとする（ステップＳ４１０５）。なお、Ｃφ，２’は、第二暗号化方式ＥＮＣφ，２に則って元ｈｒφ，１を第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる群Ｇφの元である。計算結果ｕφは、第一べき乗計算部１１０６に送られる。ここで、ｕφ＝ｚφ，１（Ｃφ，２’）−１＝ｆφ（Ｃφ，１）ｂ（φ）ｘφ，１となる。すなわち、ｚφ，１（Ｃφ，２’）−１は、ｆφ（Ｃφ，１）について誤差Ｘφ，１を持つ乱数化可能標本器の出力となる。その理由については後述する。 The first calculation unit 4105 receives the input first output information z φ, 1 , element h r φ, 1 , and the second encryption key y (σ (φ), 2), z φ, 1 (C φ, 2 ′) −1 is calculated, and the calculation result is set as u φ (step S4105). C φ, 2 ′ is a group G obtained by encrypting the element h r φ, 1 with the second encryption key y (σ (φ), 2) in accordance with the second encryption scheme ENC φ, 2. It is the origin of φ . The calculation result u φ is sent to the first power calculation unit 1106. Here, u φ = z φ, 1 (C φ, 2 ′) −1 = f φ (C φ, 1 ) b (φ) x φ, 1 . That is, z φ, 1 (C φ, 2 ′) −1 is the output of a randomizable sampler having an error X φ, 1 with respect to f φ (C φ, 1 ). The reason will be described later.

《ステップＳ４１０８の処理》
第二計算部４１０８は、入力された第二出力情報ｚφ，２、元ｈｒφ，２、及び鍵記憶部４１０４ｅ（図５）から読み出した第二暗号化鍵ｙ（σ（φ），２）を用い、ｚφ，２（Ｃφ，２”）−１を計算してその計算結果をｖφとする。なお、Ｃφ，２”は、第二暗号化方式ＥＮＣφ，２に則って元ｈｒφ，２を第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる群Ｇφの元である。計算結果ｖφは、第二べき乗計算部１１０９に送られる。ここで、ｖφ＝ｚφ，２（Ｃφ，２”）−１＝ｆφ（Ｃφ，１）ａ（φ）ｘφ，２となる。すなわち、ｚφ，２（Ｃφ，２”）−１は、ｆφ（Ｃφ，１）について誤差Ｘφ，２を持つ乱数化可能標本器の出力となる。その理由については後述する。 << Process of Step S4108 >>
The second calculation unit 4108 receives the input second output information z φ, 2 , the element h r φ, 2 , and the second encryption key y (σ (φ), 2), z φ, 2 (C φ, 2 ″) −1 is calculated and the calculation result is set to v φ . C φ, 2 ″ is the second encryption scheme ENC φ, 2 Accordingly, the element h r φ, 2 is an element of the group G φ obtained by encrypting the element h r φ, 2 with the second encryption key y (σ (φ), 2). Calculation result v phi is fed to the second power calculating unit 1109. Here, v φ = z φ, 2 (C φ, 2 ″) −1 = f φ (C φ, 1 ) a (φ) x φ, 2 That is, z φ, 2 (C φ, 2 ") -1 is an output of a randomizable sampler having an error Xφ, 2 with respect to fφ ( Cφ, 1 ). The reason will be described later.

《ステップＳ４１０７の処理》
判定部４１１１は、第一リスト記憶部１１０７に記憶された組（ｕφ，ｕφ’）及び第二リスト記憶部１１１０に記憶された組（ｖφ，ｖφ’）の中で、ｕφ’とｖφ’とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属するものがあるかを判定する。本形態の判定部４１１１は、ｕφ’＝（ｃφ，１ｕ，ｃφ，２ｕ）及びｖφ’＝（ｃφ，１ｖ，ｃφ，２ｖ）に対して、関係ｅφ（μφ，ｇ１，ｃφ，２ｕ）／ｅφ（ｃφ，１ｕ，ｙ（σ（φ），２））＝ｅφ（μφ，ｇ１，ｃφ，２ｖ）／ｅφ（ｃφ，１ｖ，ｙ（σ（φ），２））を満たすものがあるかを判定する（ステップＳ４１０７）。ｕφ’とｖφ’がこの関係を満たすかを判定することで、ｕφ’とｖφ’とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属することを判定できる理由については後述する。 << Process of Step S4107 >>
Judging unit 4111, among the stored set in the first list storage unit 1107 (u φ, u φ ' ) and the set stored in the second list storage unit 1110 (v φ, v φ' ), u φ It is determined whether “and v φ ” belong to the same ciphertext class CL φ (M φ ). Determination unit 4111 of the present embodiment, u φ '= (c φ , 1u, c φ, 2u) and v φ' = (c φ, 1v, c φ, 2v) relative to the relation e φ (μ φ, g1, c φ, 2u) / e φ (c φ, 1u, y (σ (φ), 2)) = e φ (μ φ, g1, c φ, 2v) / e φ (c φ, 1v, y It is determined whether there is any one that satisfies (σ (φ), 2)) (step S4107). The reason why it is possible to determine that u φ 'and v φ ' belong to the same ciphertext class CL φ (M φ ) by determining whether u φ 'and v φ ' satisfy this relationship. It will be described later.

もし、第二リスト記憶部１１１０に組（ｖφ，ｖφ’）が記憶されていない場合には、このステップＳ４１０７の処理を行わずに、次のステップＳ１１０８の処理を行う。同一の暗号文の類ＣＬφ（Ｍφ）に属するｕφ’とｖφ’との組があった場合（上記の関係を満たすｕφ’とｖφ’との組があった場合）には、ステップＳ１１１４に進む。同一の暗号文の類ＣＬφ（Ｍφ）に属するｕφ’とｖφ’との組がなかった場合には、ステップＳ４１０８に進む。 If the set (v φ , v φ ′) is not stored in the second list storage unit 1110, the process of the next step S1108 is performed without performing the process of step S4107. When there is a set of u φ 'and v φ ' belonging to the same ciphertext class CL φ (M φ ) (when there is a set of u φ 'and v φ ' satisfying the above relationship) Advances to step S1114. If there is no pair of u φ ′ and v φ ′ belonging to the same ciphertext class CL φ (M φ ), the process proceeds to step S4108.

《ステップＳ４１１０の処理》
判定部４１１１は、第一リスト記憶部１１０７に記憶された組（ｕφ，ｕφ’）及び第二リスト記憶部４１１０に記憶された組（ｖφ，ｖφ’）の中で、ｕφ’とｖφ’とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属するものがあるかを判定する。本形態の判定部４１１１は、ｕφ’＝（ｃφ，１ｕ，ｃφ，２ｕ）及びｖφ’＝（ｃφ，１ｖ，ｃφ，２ｖ）に対して、関係ｅφ（μφ，ｇ１，ｃφ，２ｕ）／ｅφ（ｃφ，１ｕ，ｙ（σ（φ），２））＝ｅφ（μφ，ｇ１，ｃφ，２ｖ）／ｅφ（ｃφ，１ｖ，ｙ（σ（φ），２））を満たすものがあるかを判定する（ステップＳ４１１０）。同一の暗号文の類ＣＬφ（Ｍφ）に属するｕφ’とｖφ’との組があった場合には、ステップＳ１１１４に進む。同一の暗号文の類ＣＬφ（Ｍφ）に属するｕφ’とｖφ’との組がなかった場合には、ステップＳ１１１１に進む。 << Processing in Step S4110 >>
Judging unit 4111, among the stored set in the first list storage unit 1107 (u φ, u φ ' ) and the set stored in the second list storage unit 4110 (v φ, v φ' ), u φ It is determined whether “and v φ ” belong to the same ciphertext class CL φ (M φ ). Determination unit 4111 of the present embodiment, u φ '= (c φ , 1u, c φ, 2u) and v φ' = (c φ, 1v, c φ, 2v) relative to the relation e φ (μ φ, g1, c φ, 2u) / e φ (c φ, 1u, y (σ (φ), 2)) = e φ (μ φ, g1, c φ, 2v) / e φ (c φ, 1v, y It is determined whether there is any one that satisfies (σ (φ), 2)) (step S4110). If there is a set of u φ ′ and v φ ′ belonging to the same ciphertext class CL φ (M φ ), the process proceeds to step S1114. If there is no set of u φ ′ and v φ ′ belonging to the same ciphertext class CL φ (M φ ), the process proceeds to step S1111.

なお、特殊な群Ｇφ，１，Ｇφ，２や双線形写像ｅφを用いた場合、ステップＳ４１０７及びＳ４１１０の処理を仲介装置４１に実行させることができる者を制限できる。この詳細については後述する。 Note that when the special groups G φ, 1 , G φ, 2 and the bilinear map e φ are used, the number of persons who can cause the mediating apparatus 41 to execute the processes of steps S4107 and S4110 can be limited. Details of this will be described later.

《ｚφ，１（Ｃφ，２’）−１，ｚφ，２（Ｃφ，２”）−１がｆφ（Ｃφ，１）についてそれぞれ誤差Ｘφ，１，Ｘφ，２を持つ乱数化可能標本器の出力となる理由について》
任意の元ｈｒφ，１を固定して考えると、第二暗号文Ｃφ，２＝（μφ，ｇ１ ｒ（φ），ｍφｙ（σ（φ），２）ｒ（φ））における乱数ｒ（φ）を確率空間とする確率分布について、以下の関係が成り立つ。ただし、Ｄφ，１（ｓ（φ，１），ｘφ）は、第一暗号化方式ＥＮＣφ，１に則って第一暗号文ｘφを第一復号鍵ｓ（φ，１）で復号するための関数を表す。ｒを乱数として、あるｒ２が存在して
ｆφ（ｘφ ａ（φ）Ｃφ，1”）（Ｃφ，２”）−１
＝（μφ，ｇ１ ｒ（φ），Ｄφ，１（ｓ（φ，１），ｘφ）ａ（φ） ｈｒφ，２ｙ（σ（φ），２）ｒ（φ））
×（μφ，ｇ１ ｒ２，ｈｒφ，２ｙ（σ（φ），２）ｒ２）−１
となるから、
ｆφ（ｘφ ａ（φ）Ｃφ，1”）（Ｃφ，２”）−１
＝（μφ，ｇ１ ｒ（φ）−ｒ２，Ｄφ，１（ｓ（φ，１），ｘφ）ａ（φ）ｙ（σ（φ），２）ｒ−ｒ２）
となる。したがって、確率分布ｆφ（ｘφ ａ（φ）Ｃφ，1”）（Ｃφ，２”）−１は確率分布ｆ（ｘφ）ａと等しい。 << z φ, 1 (C φ, 2 ′) −1 , z φ, 2 (C φ, 2 ″) −1 gives errors X φ, 1 , X φ, 2 for f φ (C φ, 1 ), respectively. Reasons for the output of a randomizable sampler
If an arbitrary element h r φ, 1 is fixed, the second ciphertext C φ, 2 = (μ φ, g1 r (φ) , m φ y (σ (φ), 2) r (φ) ) The following relation holds for the probability distribution with the random number r (φ) in the probability space. However, D φ, 1 (s (φ, 1), x φ ) decrypts the first ciphertext x φ with the first decryption key s (φ, 1) according to the first encryption scheme ENC φ, 1. Represents a function to do When r is a random number, there exists a certain r2 and f φ (x φ a (φ) C φ, 1 ″) (C φ, 2 ″) −1
= (Μ φ, g1 r ( φ), D φ, 1 (s (φ, 1), x φ) a (φ) h r φ, 2 y (σ (φ), 2) r (φ))
× ( μφ, g1 r2 , h r φ, 2 y (σ (φ), 2) r2 ) −1
So,
f φ (x φ a (φ) C φ, 1 ″) (C φ, 2 ″) −1
= (Μ φ, g1 r ( φ) -r2, D φ, 1 (s (φ, 1), x φ) a (φ) y (σ (φ), 2) r-r2)
It becomes. Therefore, the probability distribution fφ ( xφa (φ) Cφ, 1 ″) ( Cφ, 2 ″) − 1 is equal to the probability distribution f ( xφ ) a .

Ｃφ，1”を確率変数とみなして、群Ｇφに値を持つ確率変数Ｘφ，２＝ｚφ，２ｆφ（ｘφ ａ（φ）Ｃφ，1”）−１を考えると、
ｚφ，２（Ｃφ，２”）−１
＝ｚφ，２ｆφ（ｘφ ａ（φ）Ｃφ，1”）−１ｆφ（ｘφ ａ（φ）Ｃφ，1”）（Ｃφ，２”）−１
であるから、この確率分布はｘφ，２∈Ｘφ，２についてｘφ，２ｆφ（ｘφ）ａ（φ）の確率分布と等しい。同様に、ｚφ，１（Ｃφ，２’）−１の確率分布はｘφ，１∈Ｘφ，１についてｆφ（ｘφ）ｂ（φ）ｘφ，１の確率分布と等しい。 Considering C φ, 1 ″ as a random variable and considering a random variable X φ, 2 = z φ, 2 f φ (x φ a (φ) C φ, 1 ″) −1 having a value in the group G φ ,
z φ, 2 (C φ, 2 ″) −1
= Z φ, 2 f φ (x φ a (φ) C φ, 1 ″) − 1 f φ (x φ a (φ) C φ, 1 ″) (C φ, 2 ″) − 1
Therefore, this probability distribution is equal to the probability distribution of x φ, 2 f φ (x φ ) a (φ) for x φ, 2 ∈X φ, 2 . Similarly, the probability distribution of z φ, 1 (C φ, 2 ′) −1 is equal to the probability distribution of f φ (x φ ) b (φ) x φ, 1 for x φ, 1 ∈X φ, 1 .

Ｃφ，1”を確率変数とみなすとき、ｘφ ａ（φ）Ｃφ，1”の分布はＣφ，1”の分布と等しいから、確率変数Ｘφ，２の確率分布はa（φ）に依存しない。同様に、確率変数Ｘφ，１の確率分布はｂ（φ）に依存しない。したがって、ｚφ，１（Ｃφ，２’）−１，ｚφ，２（Ｃφ，２”）−１はｆφ（Ｃφ，１）についてそれぞれ誤差Ｘφ，１，Ｘφ，２を持つ乱数化可能標本器の出力となる。 When C φ, 1 ″ is regarded as a random variable, the distribution of x φ a (φ) C φ, 1 ″ is equal to the distribution of C φ, 1 ″ , so the probability distribution of random variable X φ, 2 is a (φ Similarly, the probability distribution of the random variable X φ, 1 does not depend on b (φ), and therefore z φ, 1 (C φ, 2 ′) −1 , z φ, 2 (C φ, 2 ″) −1 is the output of a randomizable sampler with errors X φ, 1 , X φ, 2 for f φ (C φ, 1 ), respectively.

《関係ｅφ（μφ，ｇ１，ｃφ，２ｕ）／ｅφ（ｃφ，１ｕ，ｙ（σ（φ），２））＝ｅφ（μφ，ｇ１，ｃφ，２ｖ）／ｅφ（ｃφ，１ｖ，ｙ（σ（φ），２））を満たすかを判定することで、ｕφ’とｖφ’とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属することを判定できる理由》
ｕφ’とｖφ’とが互いに平文Ｍφ＝ｍφに対応する同一の暗号文の類ＣＬφ（Ｍφ）に属すると仮定する。この場合には第一乱数化可能標本器がｕφ＝ｆφ（Ｃφ，１）ｂ（φ）を正しく計算しており、第二乱数化可能標本器がｖφ＝ｆφ（Ｃφ，１）ａ（φ）を正しく計算している（ｘφ，１及びｘφ，２が群Ｇφの単位元ｅφ，ｇである）可能性が高い。よって、ｕφ’＝（μφ，ｇ１ ｒ’’（φ），ｍφｙ（σ（φ），２）ｒ’’（φ））かつｖφ’＝（μφ，ｇ１ ｒ’’’（φ），ｍφｙ（σ（φ），２）ｒ’’’（φ））である可能性が高い。ただし、ｒ’’（φ）及びｒ’’’（φ）は、ＥｌＧａｍａｌ暗号方式の乱数成分と自然数選択部１１０２で選択された自然数の組とによって定まる値である。その場合、双線形写像ｅφの性質から、ｕφ’＝（ｃφ，１ｕ，ｃφ，２ｕ）に対して
ｅφ（μφ，ｇ１，ｃφ，２ｕ）／ｅφ（ｃφ，１ｕ，ｙ（σ（φ），２））
＝ｅφ（μφ，ｇ１，ｍφｙ（σ（φ），２）ｒ’’（φ））／ｅφ（μφｇ１ ｒ’’ （φ），ｙ（σ（φ），２））
＝ｅφ（μφ，ｇ１，ｍφｙ（σ（φ），２））ｒ’’（φ）／ｅφ（μφ，ｇ１，ｙ（σ（φ），２））ｒ’’（φ）
＝ｅφ（μφ，ｇ１，ｍφ）ｅφ（μφ，ｇ１，ｙ（σ（φ），２））／ｅφ（μφ，ｇ１，ｙ（σ（φ），２））
＝ｅφ（μφ，ｇ１，ｍφ）
を満たす可能性が高い。また、ｖφ’＝（ｃφ，１ｖ，ｃφ，２ｖ）に対して
ｅφ（μφ，ｇ１，ｃφ，２ｖ）／ｅφ（ｃφ，１ｖ，ｙ（σ（φ），２））
＝ｅφ（μφ，ｇ１，ｍφｙ（σ（φ），２）ｒ’’’（φ））／ｅφ（μφ，ｇ１ ｒ’’’（φ），ｙ（σ（φ），２））
＝ｅφ（μφ，ｇ１，ｍφｙ（σ（φ），２））ｒ’’’（φ）／ｅφ（μφ，ｇ１，ｙ（σ（φ），２））ｒ’’’（φ）
＝ｅφ（μφ，ｇ１，ｍφ）ｅφ（μφ，ｇ１，ｙ（σ（φ），２））／ｅφ（μφ，ｇ１，ｙ（σ（φ），２））
＝ｅφ（μφ，ｇ１，ｍφ）
を満たす可能性が高い。よって、ｕφ’とｖφ’とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属する場合、関係ｅφ（μφ，ｇ１，ｃφ，２ｕ）／ｅφ（ｃφ，１ｕ，ｙ（σ（φ），２））＝ｅφ（μφ，ｇ１，ｃφ，２ｖ）／ｅφ（ｃφ，１ｖ，ｙ（σ（φ），２））を満たす可能性が高い。 "Relationship e φ (μ φ, g1, c φ, 2u) / e φ (c φ, 1u, y (σ (φ), 2)) = e φ (μ φ, g1, c φ, 2v) / e By determining whether or not φ (c φ, 1v , y (σ (φ), 2)) is satisfied, u φ ′ and v φ ′ belong to the same ciphertext class CL φ (M φ ). Reasons for judging
Assume that u φ ′ and v φ ′ belong to the same ciphertext class CL φ (M φ ) corresponding to plaintext M φ = m φ . In this case, the first randomizable sampler correctly calculates uφ = fφ ( Cφ, 1 ) b (φ) , and the second randomizable sampler calculates vφ = fφ ( Cφ , 1 ) There is a high possibility that a (φ) is correctly calculated (x φ, 1 and x φ, 2 are unit elements e φ, g of the group G φ ). Therefore, uφ ′ = ( μφ, g1r ″ (φ) , mφy (σ (φ), 2) r ″ (φ) ) and vφ ′ = ( μφ, g1r ′ ″) (Φ) , m φ y (σ (φ), 2) r ′ ″ (φ) ) is highly likely. However, r ″ (φ) and r ′ ″ (φ) are values determined by the random number component of the ElGamal cryptosystem and the set of natural numbers selected by the natural number selection unit 1102. In that case, the nature of bilinear mapping e φ, u φ '= ( c φ, 1u, c φ, 2u) with respect to e φ (μ φ, g1, c φ, 2u) / e φ (c φ, 1u , y (σ (φ), 2))
= E φ (μ φ, g1 , m φ y (σ (φ), 2) r '' (φ)) / e φ (μ φg1 r '' (φ), y (σ (φ), 2))
= E φ (μ φ, g1 , m φ y (σ (φ), 2)) r '' (φ) / e φ (μ φ, g1, y (σ (φ), 2)) r '' ( φ)
= Eφ ( μφ, g1 , mφ ) eφ ( μφ, g1 , y (σ (φ), 2)) / eφ ( μφ, g1 , y (σ (φ), 2))
= E φ (μ φ, g1 , m φ )
There is a high possibility of satisfying. Further, e φ (μ φ, g 1 , c φ, 2 v ) / e φ (c φ, 1 v , y (σ (φ), 2) with respect to v φ ′ = (c φ, 1 v , c φ, 2 v ) ))
= E φ (μ φ, g1 , m φ y (σ (φ), 2) r '''(φ)) / e φ (μ φ, g1 r''' (φ), y (σ (φ) , 2))
= E φ (μ φ, g1 , m φ y (σ (φ), 2)) r '''(φ) / e φ (μ φ, g1, y (σ (φ), 2)) r'''(Φ)
= Eφ ( μφ, g1 , mφ ) eφ ( μφ, g1 , y (σ (φ), 2)) / eφ ( μφ, g1 , y (σ (φ), 2))
= E φ (μ φ, g1 , m φ )
There is a high possibility of satisfying. Therefore, if u φ ′ and v φ ′ belong to the same ciphertext class CL φ (M φ ), the relationship e φ (μ φ, g 1 , c φ, 2 u ) / e φ (c φ, 1 u , Y (σ (φ), 2)) = e φ (μ φ, g1 , c φ, 2v ) / e φ (c φ, 1v , y (σ (φ), 2)) .

次に、ｕφ’とｖφ’とが互いに異なる暗号文の類に属すると仮定する。すなわち、ｕφ’が平文ｍφ，ｕに対応する暗号文の類ＣＬφ（ｍφ，ｕ）に属し、ｖφ’が平文ｍφ，ｖ（ｍφ，ｖ≠ｍφ，ｕ）に対応する暗号文の類ＣＬφ（ｍφ，ｖ）に属すると仮定する。すると、ｕφ’＝（μφ，ｇ１ ｒ’’（φ），ｍφ，ｕｙ（σ（φ），２）ｒ’’（φ））ｘφ，１かつｖφ’＝（μφ，ｇ１ ｒ’’’（φ），ｍφ，ｖｙ（σ（φ），２）ｒ’’’（φ））ｘφ，２となる。そのため、ｕφ’＝（ｃφ，１ｕ，ｃφ，２ｕ）に対してｅφ，（μφ，ｇ１，ｃφ，２ｕ）／ｅφ（ｃφ，１ｕ，ｙ（σ（φ），２））＝ｅφ（μφ，ｇ１，ｍφ，ｕ）ｘφ，１を満たし、ｖφ’＝（ｃφ，１ｖ，ｃφ，２ｖ）に対してｅφ（μφ，ｇ１，ｃφ，２ｖ）／ｅφ（ｃφ，１ｖ，ｙ（σ（φ），２））＝ｅφ（μφ，ｇ１，ｍφ，ｖ）ｘφ，２を満たす。よって、ｕφ’とｖφ’とが互いに異なる暗号文の類に属する場合、関係ｅφ（μφ，ｇ１，ｃφ，２ｕ）／ｅφ（ｃφ，１ｕ，ｙ（σ（φ），２））≠ｅφ（μφ，ｇ１，ｃφ，２ｖ）／ｅφ（ｃφ，１ｖ，ｙ（σ（φ），２））となる可能性が高い。 Next, it is assumed that u φ ′ and v φ ′ belong to different ciphertext classes. That, u phi 'plaintext m phi, s CL φ (m φ, u) of the ciphertext corresponding to u belongs to, v phi' plaintext m φ, v (m φ, v ≠ m φ, u) in Assume that it belongs to the corresponding ciphertext class CL φ (m φ, v ). Then, uφ ′ = ( μφ, g1r ″ (φ) , mφ, uy (σ (φ), 2) r ″ (φ) ) xφ, 1, and vφ ′ = ( μφ , G1 r ′ ″ (φ) , m φ, vy (σ (φ), 2) r ′ ″ (φ) ) x φ, 2 . Therefore, u φ '= (c φ , 1u, c φ, 2u) with respect to e φ, (μ φ, g1 , c φ, 2u) / e φ (c φ, 1u, y (σ (φ), 2)) = e φ (μ φ, g1, m φ, u) x φ, satisfies the 1, v φ '= (c φ, 1v, c φ, 2v) against e φ (μ φ, g1, c φ, 2v) / e φ (c φ, 1v, y (σ (φ), 2)) = e φ (μ φ, g1, m φ, v) x φ, satisfy 2. Therefore, when u φ ′ and v φ ′ belong to different ciphertext classes, the relationship e φ (μ φ, g 1 , c φ, 2 u ) / e φ (c φ, 1 u , y (σ (φ)) , 2)) ≠ e φ ( μ φ, g1, c φ, 2v) / e φ (c φ, 1v, y (σ (φ), 2)) and is likely to become.

《特殊な群Ｇφ，１，Ｇφ，２や双線形写像ｅφ》
群Ｇφ，１，Ｇφ，２や双線形写像ｅφの構成を以下のように限定した場合、ステップＳ４１０７及びＳ４１１０の処理を仲介装置４１に実行させることができる者を制限することができる。以下にその詳細を述べる。 << Special Group G φ, 1 , G φ, 2 and Bilinear Map e φ >>
When the configurations of the groups G φ, 1 , G φ, 2 and the bilinear map e φ are limited as follows, it is possible to limit who can cause the mediation device 41 to execute the processes of steps S4107 and S4110. . Details are described below.

この特殊な例では、Ｎφが素数ωφと素数ιφの合成数、群Ｇφ，１，Ｇφ，２がそれぞれ合成数Ｎφを法とした剰余環Ｚ／ＮφＺ上で定義された第一楕円曲線Ｅφ，１上の点からなる部分群、Ｇφ，１ω，Ｇφ，２ωが素数ωφを法とした剰余体Ｚ／ωφＺ上で定義された第二楕円曲線Ｅφ，２上の点からなる部分群、Ｇφ，１ι，Ｇφ，２ιが素数ιφを法とした剰余体Ｚ／ιφＺ上で定義された第三楕円曲線Ｅφ，３上の点からなる部分群、ｅφ（α，β）が（α，β）∈Ｇφ，１×Ｇφ，２に対して巡回群などの有限可換群Ｇφ，Ｔの元を与える双線形写像、ｅφ，ω（αω，βω）が（αω，βω）∈Ｇφ，１ω×Ｇφ，２ωに対して巡回群などの有限可換群Ｇφ，Ｔωの元を与える第二双線形写像、ｅφ，ι（αι，βι）が（αι，βι）∈Ｇφ，１ι×Ｇφ，２ιに対して巡回群などの有限可換群Ｇφ，Ｔιの元を与える第三双線形写像、ＨＭφが第一楕円曲線Ｅφ，１上の点を第二楕円曲線Ｅφ，２上の点と第三楕円曲線Ｅφ，３上の点とに写す同型写像、ＨＭφ −１が同型写像ＨＭφの逆像である。 In this particular example, N φ is a composite number of prime number ω φ and prime number ι φ , and groups G φ, 1 , G φ, 2 are defined on the remainder ring Z / N φ Z modulo the composite number N φ. Sub- group consisting of points on the first elliptic curve E φ, 1 and the second ellipse defined on the remainder field Z / ω φ Z modulo the prime number ω φ by G φ, 1ω , G φ, 2ω Subgroup consisting of points on the curve E φ, 2 , G φ, 1ι , G φ, 2ι is the third elliptic curve E φ, 3 defined on the remainder field Z / ι φ Z modulo the prime ι φ A subgroup consisting of the above points, e φ (α, β) gives an element of a finite commutative group G φ, T such as a cyclic group for (α, β) ∈G φ, 1 × G φ, 2 bilinear mapping, e φ, ω (α ω , β ω) is (α ω, β ω) ∈G φ, 1ω × G φ, finite-friendly, such as the cyclic group against 2ω換群G φ, Tω of the original second bilinear mapping giving, e φ, ι (α ι , β ι) is (α ι, β ι ) ∈G φ, 1ι × G φ, 2ι is a third bilinear map that gives elements of finite commutative groups G φ, Tι such as cyclic groups, HM φ is on the first elliptic curve E φ, 1 HM φ −1 is a reverse image of the isomorphic map HM φ , in which a point is mapped to a point on the second elliptic curve E φ, 2 and a point on the third elliptic curve E φ, 3 .

この例の場合、双線形写像ｅφ（α，β）は剰余環Ｚ／ＮφＺ上で定義された第一楕円曲線Ｅφ，１上で定義される。しかしながら、剰余環上で定義された楕円曲線上で定義された双線形写像ｅφ（α，β）を多項式時間で計算する方法は知られておらず、多項式時間で計算可能な剰余環上で定義された楕円曲線上で定義された双線形写像ｅφ（α，β）の構成方法も知られていない（参考文献５：Alexander W. Dent and Steven D. Galbraith, "Hidden Pairings and Trapdoor DDH Groups," ANTS 2006, LNCS 4076, pp. 436-451, 2006.）。このような設定の場合、判定部４１１１は、双線形写像ｅφを剰余環Ｚ／ＮφＺ上で直接計算して関係ｅφ（μφ，ｇ１，ｃφ，２ｕ）／ｅφ（ｃφ，１ｕ，ｙ（σ（φ），２））＝ｅφ（μφ，ｇ１，ｃφ，２ｖ）／ｅφ（ｃφ，１ｖ，ｙ（σ（φ），２））を満たすか否かを判定することができない。 In this example, the bilinear map e φ (α, β) is defined on the first elliptic curve E φ, 1 defined on the remainder ring Z / N φ Z. However, there is no known method for calculating the bilinear map e φ (α, β) defined on the elliptic curve defined on the remainder ring in polynomial time, and on the remainder ring that can be computed in polynomial time. The construction method of the bilinear map e φ (α, β) defined on the defined elliptic curve is also not known (Reference 5: Alexander W. Dent and Steven D. Galbraith, “Hidden Pairings and Trapdoor DDH Groups , "ANTS 2006, LNCS 4076, pp. 436-451, 2006.). In such a setting, the determination unit 4111 directly calculates the bilinear map e φ on the remainder ring Z / N φ Z, and the relationship e φ (μ φ, g 1 , c φ, 2 u ) / e φ (c φ, 1u, y (σ ( φ), 2)) = or e φ (μ φ, g1, c φ, 2v) / e φ (c φ, 1v, y (σ (φ), 2)) satisfying the It cannot be determined whether or not.

一方、剰余体Ｚ／ωφＺ，Ｚ／ιφＺ上で定義された楕円曲線上で定義されたｅφ，ω（αω，βω）やｅφ，ι（αι，βι）としては、多項式時間で計算可能なWeilペアリングやTateペアリングなどが存在する（参考文献３，４等参照）。また、このようなｅφ，ω（αω，βω）やｅφ，ι（αι，βι）を多項式時間で行うアルゴリズムとしてMiller のアルゴリズム（参考文献６：V. S. Miller, “Short Programs for functions on Curves,”1986，インターネット＜http://crypto.stanford.edu/miller/miller.pdf＞」などがよく知られている。さらに、このようなｅφ，ω（αω，βω）やｅφ，ι（αι，βι）を効率的に行うための楕円曲線や巡回群などの有限可換群の構成方法もよく知られている（例えば、参考文献４、参考文献７：A. Miyaji, M. Nakabayashi, S.Takano, "New explicit conditions of elliptic curve Traces for FR-Reduction," IEICE Trans. Fundamentals, vol. E84-A, no05, pp. 1234-1243, May 2001」、参考文献８：P.S.L.M. Barreto, B. Lynn, M. Scott, "Constructing elliptic curves with prescribed embedding degrees," Proc. SCN '2002, LNCS 2576, pp.257-267, Springer-Verlag. 2003」、参考文献９：R. Dupont, A. Enge, F. Morain, "Building curves with arbitrary small MOV degree over finite prime fields," http://eprint.iacr.org/2002/094/等参照）。 On the other hand, e φ, ω (α ω , β ω ) and e φ, ι (α ι , β ι ) defined on the elliptic curve defined on the remainder fields Z / ω φ Z, Z / ι φ Z For example, there are Weil pairing and Tate pairing that can be calculated in polynomial time (see References 3, 4, etc.). Further, Miller's algorithm (reference 6: VS Miller, “Short Programs for” is used as an algorithm for performing such e φ, ω (α ω , β ω ) and e φ, ι (α ι , β ι ) in polynomial time. functions on Curves, “1986, Internet <http://crypto.stanford.edu/miller/miller.pdf>”, etc. Furthermore, such e φ, ω (α ω , β ω ) And a method of constructing a finite commutative group such as an elliptic curve or a cyclic group for efficiently carrying out and e φ, ι (α ι , β ι ) are well known (for example, Reference 4 and Reference 7: A. Miyaji, M. Nakabayashi, S. Takano, "New explicit conditions of elliptic curve Traces for FR-Reduction," IEICE Trans. Fundamentals, vol. E84-A, no05, pp. 1234-1243, May 2001, reference Reference 8: PSLM Barreto, B. Lynn, M. Scott, "Constructing elliptic curves with prescribed embedding degrees," Proc. SCN '2002, LNCS 2576, pp.257-267, Springer-Verlag. 2003 ", Reference 9: R. Dupont, A. Enge, F. Morain, "Building curves with arbitrary small MOV degree over finite prime fields," http://eprint.iacr.org/2002/094/ etc.).

また、中国人の剰余定理（Chinese remainder theorem）に基づき、合成数Ｎφ（Ｎφ＝ωφ・ιφ）を法とした剰余環Ｚ／ＮφＺから剰余体Ｚ／ωφＺと剰余体Ｚ／ιφＺとの直積に写す同型写像が存在すること、及び剰余体Ｚ／ωφＺと剰余体Ｚ／ιφＺとの直積から剰余環Ｚ／ＮφＺに写す同型写像が存在することがよく知られている（参考文献１０：ヨハネス ブーフマン，”暗号理論入門”，シュプリンガー・フェアラーク東京 (2001/07)， ISBN-10: 4431708669 ISBN-13，pp. 52-56）。すなわち、第一楕円曲線Ｅφ，１上の点を第二楕円曲線Ｅφ，２上の点と第三楕円曲線Ｅφ，３上の点とに写す同型写像ＨＭφ、及びその逆像ＨＭφ −１が存在する。一例を挙げると、剰余環Ｚ／ＮφＺの元κ ｍｏｄ Ｎφを剰余体Ｚ／ωφＺの元κ ｍｏｄ ωφと剰余体Ｚ／ιφＺの元κ ｍｏｄ ιφとに写す同型写像をＨＭφとし、剰余体Ｚ／ωφＺの元κω ｍｏｄ ωφと剰余体Ｚ／ιφＺの元κι ｍｏｄ ιφとを剰余環Ｚ／ＮφＺの元κωιφιφ’+κιωφωφ’ｍｏｄ Ｎφに写す写像をＨＭφ −１とすることができる。ただし、ωφ’及びιφ’はωφωφ’＋ιφιφ’＝１を満たす自然数である。このようなωφ’，ιφ’は拡張ユークリッドの互除法を用いて容易に生成できる。ωφωφ’＋ιφιφ’＝１の関係から、κωιφιφ’+κιωφωφ’ｍｏｄ ＮにＨＭφを作用させると
κωιφιφ’+κιωφωφ’ ｍｏｄ ωφ＝κωιφιφ’ｍｏｄ ωφ＝κω（１−ωφωφ’）ｍｏｄ ωφ＝κω ｍｏｄ ωφ∈Ｚ／ωφＺ
κωιφιφ’+κιωφωφ’ ｍｏｄιφ＝κιωφωφ’ ｍｏｄιφ＝κι（１−ιφιφ’） ｍｏｄιφ＝κι ｍｏｄιφ∈Ｚ／ιφＺ
となり、この一例での写像はＨＭφとＨＭφ −１との関係にあることが分かる。 Also, based on the Chinese remainder theorem, the remainder ring Z / N φ Z modulo the composite number N φ (N φ = ω φ · ι φ ) and the remainder field Z / ω φ Z and the remainder the isomorphic mapping which maps the Cartesian product of the body Z / iota phi Z is present, and isomorphic mapping which maps the Cartesian product of residue field Z / ω φ Z and remainder body Z / iota phi Z to residue ring Z / N φ Z is It is well known that it exists (Reference 10: Johannes Buchman, “Introduction to Cryptology”, Springer Fairlark Tokyo (2001/07), ISBN-10: 4431708669 ISBN-13, pp. 52-56). That is, an isomorphism HM φ that maps a point on the first elliptic curve E φ, 1 to a point on the second elliptic curve E φ, 2 and a point on the third elliptic curve E φ, 3 , and its inverse HM φ −1 exists. For example, the same type that maps the element κ mod N φ of the remainder ring Z / N φ Z to the element κ mod ω φ of the remainder field Z / ω φ Z and the element κ mod ι φ of the residue field Z / ι φ Z mapping the HM phi, residue field Z / ω φ Z of the original kappa omega mod omega phi and the original kappa iota mod iota phi of residue field Z / iota phi Z residue ring Z / N phi Z of the original kappa omega iota phi ι φ '+ κ ι ω φ ω φ ' mod N Φ can be mapped to HM φ −1 . However, ω φ 'and ι φ ' are natural numbers satisfying ω φ ω φ '+ ι φ ι φ ' = 1. Such ω φ 'and ι φ ' can be easily generated using the extended Euclidean algorithm. from ω φ ω φ '+ ι φ ι φ' = 1 relationship, when the action of HM phi in κ ω ι φ ι φ '+ κ ι ω φ ω φ' mod N κ ω ι φ ι φ '+ κ ι ω φ ω φ 'mod ω φ = κ ω ι φ ι φ ' mod ω φ = κ ω (1-ω φ ω φ ') mod ω φ = κ ω mod ω φ ∈Z / ω φ Z
κ ω ι φ ι φ '+ κ ι ω φ ω φ ' modι φ = κ ι ω φ ω φ 'modι φ = κ ι (1-ι φ ι φ ') modι φ = κ ι modι φ ∈Z / ι φZ
Thus, it can be seen that the mapping in this example has a relationship between HM φ and HM φ −1 .

そのため、合成数Ｎφを素因数分解した値、すなわち素数ωφと素数ιφとの値が与えられるのであれば、判定部４１１１は、以下のステップＡ〜Ｄの処理によって、剰余環Ｚ／ＮφＺ上で定義された第一楕円曲線Ｅφ，１上の双線形写像ｅφ（α，β）を計算することができる。 Therefore, if a value obtained by factoring the composite number N φ , that is, a value of the prime number ω φ and the prime number ι φ , is given, the determination unit 4111 performs the remainder ring Z / N by the processing of the following steps AD. phi first elliptic curve E phi defined on Z, bilinear map on 1 e φ (α, β) can be calculated.

（ステップＡ）判定部４１１１は、同型写像ＨＭφを用い、剰余環Ｚ／ＮφＺ上で定義された第一楕円曲線Ｅφ，１上の点α∈Ｇφ，１を、剰余体Ｚ／ωφＺ上で定義された第二楕円曲線Ｅφ，２上の点θω（α）∈Ｇφ，１ωと剰余体Ｚ／ιφＺ上で定義された第三楕円曲線Ｅφ，３上の点θι（α）∈Ｇφ，１ιとに写す。 (Step A) The determination unit 4111 uses the isomorphism HM φ to convert the point αεG φ, 1 on the first elliptic curve E φ, 1 defined on the remainder ring Z / N φ Z into a remainder field Z The second elliptic curve E φ defined on / ω φ Z, the point θ ω (α) ∈G φ, 1ω on the second and the third elliptic curve E φ defined on the remainder field Z / ι φ Z , Copy to the point θ ι (α) ∈G φ, 1ι on 3 .

（ステップＢ）判定部４１１１は、同型写像ＨＭφを用い、剰余環Ｚ／ＮφＺ上で定義された第一楕円曲線Ｅφ，１上の点β∈Ｇφ，２を、剰余体Ｚ／ωφＺ上で定義された第二楕円曲線Ｅφ，２上の点θω（β）∈Ｇφ，２ωと剰余体Ｚ／ιφＺ上で定義された第三楕円曲線Ｅφ，３上の点θι（β）∈Ｇφ，２ιとに写す。 (Step B) The determination unit 4111 uses the isomorphism HM φ to convert the point β∈G φ, 2 on the first elliptic curve E φ, 1 defined on the remainder ring Z / N φ Z to the remainder field Z / omega phi second elliptic curve E phi defined on Z, a point on the 2 θ ω (β) ∈G φ , third elliptic curve E phi defined over 2ω and residue field Z / iota phi Z, Copy to the point θ ι (β) ∈G φ, 2ι on 3 .

（ステップＣ）判定部４１１１は、第二楕円曲線Ｅφ，２及び第三楕円曲線Ｅφ，３でのｅφ，ω（θω（α），θω（β））及びｅφ，ι（θι（α），θι（β））を求める。 (Step C) The determination unit 4111 determines e φ, ω (θ ω (α), θ ω (β)) and e φ, ι in the second elliptic curve E φ, 2 and the third elliptic curve E φ, 3. Find (θ ι (α), θ ι (β)).

（ステップＤ）判定部４１１１は、得られた演算結果ｅφ，ω（θω（α），θω（β））及びｅφ，ι（θι（α），θι（β））に逆像ＨＭφ −１を作用させた値をｅφ（α，β）とする。 (Step D) The determination unit 4111 calculates the obtained calculation results e φ, ω (θ ω (α), θ ω (β)) and e φ, ι (θ ι (α), θ ι (β)). A value obtained by applying the inverse image HM φ −1 is defined as e φ (α, β).

よって素数ωφと素数ιφとの値が与えられるのであれば、判定部４１１１は、ステップＡ〜Ｄに従ってｅφ（μφ，ｇ１，ｃφ，２ｕ），ｅφ（ｃφ，１ｕ，ｙ（σ（φ），２）），ｅφ（μφ，ｇ１，ｃφ，２ｖ），ｅφ（ｃφ，１ｖ，ｙ（σ（φ），２））を計算し、関係ｅφ（μφ，ｇ１，ｃφ，２ｕ）／ｅφ（ｃφ，１ｕ，ｙ（σ（φ），２））＝ｅφ（μφ，ｇ１，ｃφ，２ｖ）／ｅφ（ｃφ，１ｖ，ｙ（σ（φ），２））を満たすか否かを判定することができる。 Therefore, if the values of the prime number ω φ and the prime number ι φ are given, the determination unit 4111 determines e φ (μ φ, g 1 , c φ, 2 u ), e φ (c φ, 1 u , y (σ (φ), 2)), e φ (μ φ, g1 , c φ, 2v ), e φ (c φ, 1v , y (σ (φ), 2)) are calculated and the relationship e φ (μ φ, g1, c φ , 2u) / e φ (c φ, 1u, y (σ (φ), 2)) = e φ (μ φ, g1, c φ, 2v) / e φ (c φ , 1v , y (σ (φ), 2)) can be determined.

一方、大きな合成数Ｎφの素因数分解を多項式時間で行う方法は知られていない。よって、この設定の場合、素数ωφ及び素数ιφの少なくとも一方が与えられていない判定部４１１１は、関係ｅφ（μφ，ｇ１，ｃφ，２ｕ）／ｅφ（ｃφ，１ｕ，ｙ（σ（φ），２））＝ｅφ（μφ，ｇ１，ｃφ，２ｖ）／ｅφ（ｃφ，１ｖ，ｙ（σ（φ），２））を満たすか否かを判定することができない。 Meanwhile, a method of performing factoring large synthetic number N phi in polynomial time is not known. Therefore, in this setting, the determination unit 4111 to which at least one of the prime number ω φ and the prime number ι φ is not given is the relationship e φ (μ φ, g 1 , c φ, 2 u ) / e φ (c φ, 1 u , y (σ (φ), 2 )) = e φ (μ φ, g1, c φ, 2v) / e φ (c φ, 1v, y (σ (φ), 2) determine whether meet) Can not do it.

以上のような特殊な群Ｇφ，１，Ｇφ，２や双線形写像ｅφを用いた場合、ステップＳ４１０７及びＳ４１１０の処理を仲介装置４１に実行させることができる者を素数ωφ及び素数ιφの少なくとも一方を知る者に制限することができる。 When the special groups G φ, 1 , G φ, 2 and the bilinear map e φ as described above are used, the prime number ω φ and the prime number are those who can cause the mediating device 41 to execute the processes of steps S4107 and S4110. ι Can be restricted to those who know at least one of φ .

［第五実施形態］
上述の各実施形態では、仲介装置の自然数記憶部１１０１に、互いに素である２つの自然数ａ（φ），ｂ（φ）の組（ａ（φ），ｂ（φ））が複数種類記憶され、これらの組（ａ（φ），ｂ（φ））を用いて各処理が実行されることとした。しかしながら、ａ（φ），ｂ（φ）の一方が定数であってもよい。例えば、ａ（φ）が１に固定されていてもよいし、ｂ（φ）が１に固定されていてもよい。言い換えると、第一乱数化可能標本器又は第二乱数化可能標本器の一方が標本器に置換されていてもよい。ａ（φ），ｂ（φ）の一方が定数である場合、定数とされたａ（φ）又はｂ（φ）を選択する処理が不要となり、各処理部は定数とされたａ（φ）又はｂ（φ）が入力されることなく、それを定数として扱って計算を行うことができる。また、定数とされたａ（φ）又はｂ（φ）が１である場合には、ａ’（φ）やｂ’（φ）を用いることなく、ｆφ（Ｃφ，１）＝ｕφ ｂ’（φ）ｖφ ａ’（φ）をｆφ（Ｃφ，１）＝ｖφ又はｆφ（Ｃφ，１）＝ｕφとして得ることができる。 [Fifth embodiment]
In each of the above-described embodiments, the natural number storage unit 1101 of the intermediary device stores a plurality of types of sets of two natural numbers a (φ) and b (φ) that are relatively prime (a (φ) and b (φ)). Each process is executed using these sets (a (φ), b (φ)). However, one of a (φ) and b (φ) may be a constant. For example, a (φ) may be fixed to 1, or b (φ) may be fixed to 1. In other words, one of the first randomizable sampler and the second randomizable sampler may be replaced with a sampler. When one of a (φ) and b (φ) is a constant, the processing for selecting a (φ) or b (φ) as a constant becomes unnecessary, and each processing unit has a (φ) as a constant. Alternatively, the calculation can be performed by treating b (φ) as a constant without being input. When a (φ) or b (φ) set as a constant is 1, f φ (C φ, 1 ) = u φ without using a ′ (φ) or b ′ (φ). b ′ (φ) v φa ′ (φ) can be obtained as f φ (C φ, 1 ) = v φ or f φ (C φ, 1 ) = u φ .

第五実施形態は、そのような変形の一例であり、ｂ（φ）が１に固定され、第二乱数化可能標本器が標本器に置換された形態である。以下では、第一実施形態との相違点を中心に説明する。また、第一乱数化可能標本器や標本器の具体例は、第二実施形態から第四実施形態で説明したのと同様であるため、説明を省略する。   The fifth embodiment is an example of such a modification, in which b (φ) is fixed to 1, and the second randomizable sampler is replaced with a sampler. Below, it demonstrates centering on difference with 1st embodiment. Further, specific examples of the first randomizable sampler and the sampler are the same as those described in the second to fourth embodiments, and thus the description thereof is omitted.

＜構成＞
図１に例示するように、第五実施形態の情報提供システム５は、第一実施形態の仲介装置１１が仲介装置５１に置換され、情報提供装置１２−φが情報提供装置５２−φに置換されたものである。 <Configuration>
As illustrated in FIG. 1, in the information providing system 5 of the fifth embodiment, the mediating device 11 of the first embodiment is replaced with the mediating device 51, and the information providing device 12 -φ is replaced with the information providing device 52 -φ. It has been done.

図１１に例示するように、第五実施形態の仲介装置５１は、例えば、自然数記憶部５１０１と自然数選択部５１０２と入力情報提供部５１０４と第一計算部５１０５と第一べき乗計算部１１０６と第一リスト記憶部１１０７と第二計算部５１０８と第二リスト記憶部５１１０と判定部５１１１と処理部１１１２と最終出力部１１１３と制御部１１１４とを有する。   As illustrated in FIG. 11, the intermediary device 51 of the fifth embodiment includes, for example, a natural number storage unit 5101, a natural number selection unit 5102, an input information providing unit 5104, a first calculation unit 5105, a first power calculation unit 1106, One list storage unit 1107, second calculation unit 5108, second list storage unit 5110, determination unit 5111, processing unit 1112, final output unit 1113, and control unit 1114 are provided.

図３に例示するように、第五実施形態の情報提供装置５２−φは、例えば、第一出力情報計算部５２０１−φと第二出力情報計算部５２０２−φと鍵記憶部１２０４−φと暗号文記憶部１２０５−φと出力部１２０６−φと復号部１２０７−φと制御部１２０８−φとを有する。   As illustrated in FIG. 3, the information providing apparatus 52 -φ of the fifth embodiment includes, for example, a first output information calculation unit 5201 -φ, a second output information calculation unit 5202 -φ, and a key storage unit 1204 -φ. A ciphertext storage unit 1205-φ, an output unit 1206-φ, a decryption unit 1207-φ, and a control unit 1208-φ are included.

＜処理の前提＞
仲介装置５１の自然数記憶部５１０１には自然数ｂ（φ）が記憶されておらず、自然数ａ（φ）のみが複数種類記憶されている。その他の前提は、上述の第一実施形態から第四実施形態の何れかと同様である。 <Processing premise>
The natural number storage unit 5101 of the intermediary device 51 does not store the natural number b (φ), but stores only a plurality of types of natural numbers a (φ). The other premise is the same as that in any of the first to fourth embodiments described above.

＜処理＞
図１２に例示するように、まず、仲介装置５１（図１１）の自然数選択部５１０２が、自然数記憶部５１０１に記憶された複数の自然数ａ（φ）から１つの自然数ａ（φ）をランダムに読み込む。読み込まれた自然数ａ（φ）の情報は、入力情報提供部５１０４及び第一べき乗計算部１１０６に送られる（ステップＳ５１００）。 <Processing>
As illustrated in FIG. 12, first, the natural number selection unit 5102 of the intermediary device 51 (FIG. 11) randomly selects one natural number a (φ) from a plurality of natural numbers a (φ) stored in the natural number storage unit 5101. Read. The read information on the natural number a (φ) is sent to the input information providing unit 5104 and the first power calculation unit 1106 (step S5100).

制御部１１１４は、ｔ＝１とする（ステップＳ１１０２）。   The control unit 1114 sets t = 1 (step S1102).

入力情報提供部５１０４は、入力された第一暗号文Ｃφ，１にそれぞれ対応する第一入力情報τφ，１及び第二入力情報τφ，２を生成して出力する。好ましくは、第一入力情報τφ，１及び第二入力情報τφ，２はそれぞれ第一暗号文Ｃφ，１との関係をかく乱させた情報である。これにより、仲介装置５１は、第一暗号文Ｃφ，１を情報提供装置５２−φに対して隠蔽できる。また、好ましくは、本形態の第二入力情報τφ，２は自然数選択部５１０２で選択された自然数ａ（φ）にさらに対応する。これにより、情報提供装置５２−φから提供された再暗号化能力を仲介装置５１が高い精度で評価することが可能となる（ステップＳ５１０３）。第一入力情報τφ，１及び第二入力情報τφ，２の組みの具体例は、第二実施形態から第四実施形態の何れかのｂ（φ）＝１とした第一入力情報τφ，１及び第二入力情報τφ，２の組みである。 The input information providing unit 5104 generates and outputs first input information τ φ, 1 and second input information τ φ, 2 respectively corresponding to the input first ciphertext C φ, 1 . Preferably, the first input information τ φ, 1 and the second input information τ φ, 2 are information in which the relationship with the first ciphertext C φ, 1 is disturbed, respectively. Thereby, the intermediary device 51 can conceal the first ciphertext Cφ, 1 from the information providing device 52-φ. Preferably, the second input information τ φ, 2 in this embodiment further corresponds to the natural number a (φ) selected by the natural number selection unit 5102. As a result, the mediation device 51 can evaluate the re-encryption capability provided from the information providing device 52-φ with high accuracy (step S5103). A specific example of the set of the first input information τ φ, 1 and the second input information τ φ, 2 is the first input information τ in which b (φ) = 1 in the second embodiment to the fourth embodiment. It is a set of φ, 1 and second input information τ φ, 2 .

図８に例示するように、第一入力情報τφ，１は情報提供装置５２−φ（図３）の第一出力情報計算部５２０１−φに入力され、第二入力情報τφ，２は第二出力情報計算部５２０２−φに入力される（ステップＳ５２００）。 As illustrated in FIG. 8, the first input information τ φ, 1 is input to the first output information calculation unit 5201-φ of the information providing device 52-φ (FIG. 3), and the second input information τ φ, 2 is The second output information calculation unit 5202-φ is input (step S5200).

第一出力情報計算部５２０１−φは、第一入力情報τφ，１と鍵記憶部１２０４−φに格納された第一復号鍵ｓ（φ，１）及び第二暗号化鍵ｙ（σ（φ），２）とを用い、或る確率より大きな確率でｆφ（τφ，１）を正しく計算し、得られた計算結果を第一出力情報ｚφ，１とする（ステップＳ５２０１）。第二出力情報計算部５２０２−φは、第二入力情報τφ，２と鍵記憶部１２０４−φに格納された第一復号鍵ｓ（φ，１）及び第二暗号化鍵ｙ（σ（φ），２）を用い、或る確率より大きな確率でｆφ（τφ，２）を正しく計算し、得られた演算結果を第二出力情報ｚφ，２とする（ステップＳ５２０２）。すなわち、第一出力情報計算部５２０１−φや第二出力情報計算部５２０２−φは、意図的又は意図的ではない誤差を含んだ計算結果を出力し得る。言い換えると、第一出力情報計算部５２０１−φでの計算結果がｆφ（τφ，１）の場合もあればｆφ（τφ，１）でない場合もあり、第二出力情報計算部５２０２−φでの計算結果がｆφ（τφ，２）の場合もあればｆφ（τφ，２）でない場合もある。第一出力情報ｚφ，１及び第二出力情報ｚφ，２の組の具体例は、第二実施形態から第四実施形態の何れかのｂ（φ）＝１とした第一出力情報ｚφ，１及び第二出力情報ｚφ，２の組である。 The first output information calculation unit 5201-φ includes the first input information τ φ, 1 and the first decryption key s (φ, 1) and the second encryption key y (σ ( φ) and 2) are used to correctly calculate f φ (τ φ, 1 ) with a probability larger than a certain probability, and the obtained calculation result is set as the first output information z φ, 1 (step S5201). The second output information calculation unit 5202-φ includes the second input information τ φ, 2 and the first decryption key s (φ, 1) and the second encryption key y (σ ( Using φ), 2), f φ (τ φ, 2 ) is correctly calculated with a probability larger than a certain probability, and the obtained calculation result is set as second output information z φ, 2 (step S5202). That is, the first output information calculation unit 5201-φ and the second output information calculation unit 5202-φ can output a calculation result including an intentional or unintentional error. In other words, the calculation result in the first output information calculation unit 5201-phi is f φ (τ φ, 1) if the case also f φ (τ φ, 1) may not be the second output information calculation unit 5202 calculation results for -φ is f φ (τ φ, 2) in some cases the f φ (τ φ, 2) may not be. A specific example of the set of the first output information z φ, 1 and the second output information z φ, 2 is the first output information z in which b (φ) = 1 in the second embodiment to the fourth embodiment. A set of φ, 1 and second output information z φ, 2 .

第一出力情報計算部５２０１−φは第一出力情報ｚφ，１を出力し、第二出力情報計算部５２０２−φは第二出力情報ｚφ，２を出力する（ステップＳ５２０３）。 The first output information calculation unit 5201-φ outputs the first output information z φ, 1 , and the second output information calculation unit 5202-φ outputs the second output information z φ, 2 (step S5203).

図１２に戻り、第一出力情報ｚφ，１は仲介装置５１（図１１）の第一計算部５１０５に入力され、第二出力情報ｚφ，２は第二計算部５１０８に入力される。これらの第一出力情報ｚφ，１及び第二出力情報ｚφ，２が、情報提供装置５２−φから仲介装置５１に与えられた再暗号化能力に相当する（ステップＳ５１０４）。 Returning to FIG. 12, the first output information z φ, 1 is input to the first calculation unit 5105 of the intermediary device 51 (FIG. 11), and the second output information z φ, 2 is input to the second calculation unit 5108. The first output information z φ, 1 and the second output information z φ, 2 correspond to the re-encryption capability given to the mediation device 51 from the information providing device 52-φ (step S5104).

第一計算部５１０５は、第一出力情報ｚφ，１から演算結果ｕφ＝ｆφ（Ｃφ，１）ｘφ，１を生成する。演算結果ｕφの具体例は、第二実施形態から第四実施形態の何れかのｂ（φ）＝１とした演算結果ｕφである。演算結果ｕφは第一べき乗計算部１１０６に送られる（ステップＳ５１０５）。 The first calculator 5105 generates the operation result u φ = f φ (C φ, 1 ) x φ, 1 from the first output information z φ, 1 . Specific examples of the operation result u phi is any b (φ) = 1 and the operation result u phi of the fourth embodiment from the second embodiment. Operation result u phi is sent to the first power calculating unit 1106 (step S5105).

第一べき乗計算部１１０６はｕφ’＝ｕφ ａ（φ）を計算する。計算結果ｕφとその計算結果に基づいて計算されたｕφ’との組（ｕφ，ｕφ’）は、第一リスト記憶部１１０７に記憶される（ステップＳ１１０６）。 The first power calculating unit 1106 calculates the u φ '= u φ a ( φ). A set (u φ , u φ ′) of the calculation result u φ and u φ ′ calculated based on the calculation result is stored in the first list storage unit 1107 (step S1106).

第二計算部５１０８は、第二出力情報ｚφ，２から演算結果ｖφ＝ｆφ（Ｃφ，１）ａ（φ）ｘφ，２を生成する。演算結果ｖφの具体例は、第二実施形態から第四実施形態の何れかの演算結果ｖφである。演算結果ｖφは第二リスト記憶部５１１０に記憶される（ステップＳ５１０８）。 The second calculation unit 5108 generates an operation result v φ = f φ (C φ, 1 ) a (φ) x φ, 2 from the second output information z φ, 2 . Specific examples of the calculation result v phi is any operation result v phi of the fourth embodiment from the second embodiment. Operation result v phi is stored in the second list storage unit 5110 (Step S5108).

判定部５１１１は、第一実施形態から第四実施形態の何れかと同様に、第一リスト記憶部１１０７に記憶された組（ｕφ，ｕφ’）及び第二リスト記憶部５１１０に記憶されたｖφの中で、ｕφ’とｖφとが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属するものがあるかを判定する（ステップＳ５１１０）。同一の暗号文の類ＣＬφ（Ｍφ）に属するｕφ’とｖφとの組があった場合には、ステップＳ５１１４に進む。同一の暗号文の類ＣＬφ（Ｍφ）に属するｕφ’とｖφとの組がなかった場合には、ステップＳ１１１１に進む。 The determination unit 5111 stores the set (u φ , u φ ′) stored in the first list storage unit 1107 and the second list storage unit 5110 in the same manner as in any of the first to fourth embodiments. In v φ , it is determined whether u φ ′ and v φ belong to the same ciphertext class CL φ (M φ ) (step S5110). If there is a set of u φ ′ and v φ belonging to the same ciphertext class CL φ (M φ ), the process proceeds to step S5114. If there is no set of u φ ′ and v φ belonging to the same ciphertext class CL φ (M φ ), the process proceeds to step S1111.

ステップＳ１１１１では、制御部１１１４がｔ＝Ｔであるか判定する（ステップＳ１１１１）。Ｔは予め定められた自然数である。ｔ＝Ｔであれば、処理部１１１２が、計算をすることができなかった旨の情報、例えば記号「⊥」を出力して（ステップＳ１１１３）、処理を終える。ｔ＝Ｔでない場合には、制御部１１１４は、ｔを１だけインクリメント、すなわちｔ＝ｔ＋１として（ステップＳ１１１２）、ステップＳ５１０３に戻る。   In step S1111, the control unit 1114 determines whether t = T (step S1111). T is a predetermined natural number. If t = T, the processing unit 1112 outputs information indicating that the calculation could not be performed, for example, the symbol “⊥” (step S1113), and ends the process. If not t = T, the control unit 1114 increments t by 1, that is, sets t = t + 1 (step S1112), and returns to step S5103.

ステップＳ５１１４では、処理部１１１２が、同一の暗号文の類ＣＬφ（Ｍφ）に属すると判定されたｕφ’とｖφとの組が含むｕφ’に対応するｕφを出力する（ステップＳ５１１４）。このように得られたｕφは、第一実施形態から第四実施形態でｂ（φ）＝１とした場合のｕφ ｂ’（φ）ｖφ ａ’（φ）に相当する。すなわち、このように得られたｕφは高い確率でｆφ（Ｃφ，１）となる。よって、少なくともφについての自己訂正処理を複数回繰り返し、ステップＳ５１１４で得られた値のうち最も頻度の高い値ｕφを選択すれば、選択されたｕφが第２暗号文Ｃφ，２であることの信頼度は所定値以上となる。また、後述するように、設定によっては圧倒的な確率でｕφ＝ｆφ（Ｃφ，１）となる。その場合にはステップＳ５１１４で得られた値ｕφが第２暗号文Ｃφ，２であることの信頼度は必ず所定値以上となる。 In step S5114, processing unit 1112 outputs a u phi corresponding to 'u phi a set contains a and v phi' identical to belong to the class of the ciphertext CL φ (M φ) the determined u phi ( Step S5114). The thus obtained u phi corresponds to b in the fourth embodiment from the first embodiment (phi) = 1 and u phi b in the case of '(φ) v φ a' (φ). That is, u φ obtained in this way becomes f φ (C φ, 1 ) with high probability. Therefore, if the self-correction process for at least φ is repeated a plurality of times and the most frequently used value u φ is selected from the values obtained in step S5114, the selected u φ becomes the second ciphertext C φ, 2 . The reliability of being is over a predetermined value. As will be described later, u φ = f φ (C φ, 1 ) with an overwhelming probability depending on the setting. In that case, the reliability that the value u φ obtained in step S5114 is the second ciphertext C φ, 2 is always greater than or equal to a predetermined value.

≪ｆφ（Ｃφ，１）が得られる理由について≫
次に、本形態の仲介装置５１で復号結果ｆφ（Ｃφ，１）が得られる理由を説明する。まず、説明に必要な事項を定義する。 ≪Reason for obtaining f φ (C φ, 1 ) ≫
Next, the reason why the decryption result f φ (C φ, 1 ) is obtained by the mediation device 51 of this embodiment will be described. First, the matters necessary for explanation are defined.

ブラックボックス（ｂｌａｃｋ−ｂｏｘ）：
ｆφ（τφ）のブラックボックスＦφ（τφ）とは、τφ∈Ｈφを入力としてｚφ∈Ｇφを出力する処理部を意味する。本形態では、第一出力情報計算部５２０１−φ及び第二出力情報計算部５２０２−φが、それぞれ関数ｆφ（τφ）のブラックボックスＦφ（τφ）に相当する。群Ｈφから任意に選択された元τφ∈ＵＨφ及びｚφ＝Ｆφ（τφ）に対してｚφ＝ｆφ（τφ）を満たす確率がδ（０＜δ≦１）よりも大きい場合、すなわち、
Ｐｒ［ｚφ＝ｆφ（τφ）｜τφ∈ＵＨφ，ｚφ＝Ｆφ（τφ）］＞δ …（１）
を満たすｆφ（τφ）のブラックボックスＦφ（τφ）のことを、信頼性δ（δ−ｒｅｌｉａｂｌｅ）のｆφ（τφ）のブラックボックスＦφ（τφ）という。なお、δは正の値であり、前述した「或る確率」に相当する。 Black-box:
f phi black box F phi of (τ φ) (τ φ) means a processing section for outputting z phi ∈G phi as input τ φ ∈H φ. In this embodiment, the first output information calculation unit 5201-φ and the second output information calculation unit 5202-φ correspond to the black box F φ (τ φ ) of the function f φ (τ φ ), respectively. The probability of satisfying z φ = f φ (τ φ ) for an element τ φ ∈ U H φ and z φ = F φ (τ φ ) arbitrarily selected from the group H φ is δ (0 <δ ≦ 1) Is greater than, i.e.
Pr [z φ = f φ (τ φ ) | τ φ ∈ U H φ , z φ = F φ (τ φ )]> δ (1)
That f phi of (tau phi) black box F phi of (tau phi) which satisfies the reliability δ (δ-reliable) of f φ (τ φ) black box F phi of (tau phi) of. Δ is a positive value and corresponds to the “certain probability” described above.

自己訂正器（ｓｅｌｆ−ｃｏｒｒｅｃｔｏｒ）：
自己訂正器ＣＦ（ｘφ）とは、ｘφ∈Ｈφを入力とし、ｆφ（τφ）のブラックボックスＦφ（τφ）を用いて計算を行い、ｊ∈Ｇ∪⊥を出力する処理部を意味する。本形態では、仲介装置５１が自己訂正器ＣＦ（ｘφ）に相当する。 Self-corrector:
The self-corrector C F (x φ ) takes x φ ∈H φ as input, performs calculation using the black box F φ (τ φ ) of f φ (τ φ ), and outputs j∈G∪⊥ Means a processing unit. In this embodiment, the intermediary device 51 corresponds to the self-corrector C F (x φ ).

オールモスト自己訂正器（ａｌｍｏｓｔ ｓｅｌｆ−ｃｏｒｒｅｃｔｏｒ）：
自己訂正器ＣＦ（ｘφ）が、ｘφ∈Ｈφを入力とし、δ−ｒｅｌｉａｂｌｅのｆφ（τφ）のブラックボックスＦφ（τφ）を用い、正しい値ｊ＝ｆφ（ｘφ）を出力する確率が、誤った値ｊ≠ｆφ（ｘφ）を出力する確率よりも十分大きい場合を想定する。すなわち、
Ｐｒ［ｊ＝ｆφ（ｘφ）｜ｊ＝ＣＦ（ｘφ），ｊ≠⊥］
＞Ｐｒ［ｊ≠ｆφ（ｘφ）｜ｊ＝ＣＦ（ｘφ），ｊ≠⊥］＋Δ …（２）
を満たす場合を想定する。なお、Δは或る正の値（０＜Δ＜１）である。このような場合、自己訂正器ＣＦ（ｘφ）はオールモスト自己訂正器であるという。例えば、或る正の値Δ’（０＜Δ’＜１）に対して
Ｐｒ［ｊ＝ｆφ（ｘφ）｜ｊ＝ＣＦ（ｘφ）］＞（１／３）＋Δ’
Ｐｒ［ｊ＝⊥｜ｊ＝ＣＦ（ｘφ）］＜１／３
Ｐｒ［ｊ≠ｆφ（ｘφ）かつｊ≠⊥｜ｊ＝ＣＦ（ｘφ）］＜１／３
を満たす場合、自己訂正器ＣＦ（ｘφ）はオールモスト自己訂正器である。Δ’の例はΔ’＝１／１２や１／３である。 Almost self-corrector:
The self-corrector C F (x φ ) receives x φ ∈H φ as input, uses the black box F φ (τ φ ) of δ-reliable f φ (τ φ ), and uses the correct value j = f φ (x probability that outputs phi) is, than the probability of outputting incorrect value j ≠ f phi a (x phi) assume a case large enough. That is,
Pr [j = fφ ( xφ ) | j = C F ( xφ ), j ≠ ⊥]
> Pr [j ≠ f φ (x φ ) | j = C F (x φ ), j ≠ ⊥] + Δ (2)
Assuming that Δ is a certain positive value (0 <Δ <1). In such a case, the self-corrector C F (x φ ) is said to be an all-most self-corrector. For example, Pr [j = fφ ( xφ ) | j = C F ( xφ )]> (1/3) + Δ ′ for a certain positive value Δ ′ (0 <Δ ′ <1)
Pr [j = ⊥ | j = C F (x φ )] <1/3
Pr [j ≠ f φ (x φ ) and j ≠ ⊥ | j = C F (x φ )] <1/3
If the condition is satisfied, the self-corrector C F (x φ ) is an all-most self-corrector. Examples of Δ ′ are Δ ′ = 1/12 and 1/3.

ローバスト自己訂正器（ｒｏｂｕｓｔ ｓｅｌｆ−ｃｏｒｒｅｃｔｏｒ）：
自己訂正器ＣＦ（ｘφ）が、ｘφ∈Ｈを入力とし、δ−ｒｅｌｉａｂｌｅのｆφ（τφ）のブラックボックスＦφ（τφ）を用い、正しい値ｊ＝ｆφ（ｘφ）又はｊ＝⊥を出力する確率が圧倒的である場合を想定する。すなわち、無視することができる誤差ξ（０≦ξ＜１）に対して
Ｐｒ［ｊ＝ｆφ（ｘφ）またはｊ＝⊥｜ｊ＝ＣＦ（ｘφ）］＞１−ξ …（３）
を満たす場合を想定する。このような場合、自己訂正器ＣＦ（ｘφ）はローバスト自己訂正器であるという。なお、無視することができる誤差ξの例は、セキュリティパラメータｋの関数値ξ（ｋ）である。関数値ξ（ｋ）の例は、任意の多項式ｐ（ｋ）について、十分大きいｋに対して｛ξ（ｋ）ｐ（ｋ）｝が０に収束するものである。関数値ξ（ｋ）の具体例は、ξ（ｋ）＝２−ｋやξ（ｋ）＝２−√ｋなどである。 Robust self-corrector:
The self-corrector C F (x φ ) receives x φ ∈H, uses the black box F φ (τ φ ) of δ-reliable f φ (τ φ ), and uses the correct value j = f φ (x φ ) Or j = ⊥ is assumed to be overwhelming. That is, Pr [j = fφ ( xφ ) or j = ⊥ | j = C F ( xφ )]> 1-ξ (3) for an error ξ (0 ≦ ξ <1) that can be ignored. )
Assuming that In such a case, the self-corrector C F (x φ ) is said to be a robust self-corrector. An example of the error ξ that can be ignored is the function value ξ (k) of the security parameter k. An example of the function value ξ (k) is such that {ξ (k) p (k)} converges to 0 for a sufficiently large k for an arbitrary polynomial p (k). Specific examples of the function value ξ (k) are ξ (k) = 2− k and ξ (k) = 2− √k .

また、オールモスト自己訂正器からローバスト自己訂正器を構成することができる。すなわち、同一のｘに対してオールモスト自己訂正器を複数回実行させ、⊥を除いて最も頻度が高い出力値をｊとすることで、ローバスト自己訂正器を構成できる。例えば、同一のｘに対してオールモスト自己訂正器をＯ（ｌｏｇ（１／ξ））回実行させ、最も頻度が高い出力値をｊとすることで、ローバスト自己訂正器を構成できる。なお、Ｏ（・）はオー記法を表す。   In addition, a robust self-corrector can be constructed from an all-most self-corrector. That is, a robust self-corrector can be configured by executing the all-most self-corrector a plurality of times for the same x and setting j as the most frequent output value excluding wrinkles. For example, a robust self-corrector can be constructed by executing an all-most self-corrector O (log (1 / ξ)) times for the same x and setting j as the most frequent output value. O (•) represents the O-notation.

擬似自由（ｐｓｅｕｄｏ−ｆｒｅｅ）な作用：
群Ｇφ、自然数の集合Ωφ＝｛０，．．．，Ｍφ｝（Ｍφは１以上の自然数）、群Ｇφに値を持つ確率変数Ｘφ，１，Ｘφ，２の各実現値αφ∈Ｘφ，１（αφ≠ｅφ，ｇ），βφ∈Ｘφ，２、及びａ（φ）∈Ωφについて、αφ ａ（φ）＝βφとなる確率
Ｐｒ［αφ ａ（φ）＝βφかつαφ≠ｅφ，ｇ｜ａ（φ）∈ＵΩ，αφ∈Ｘφ，１，βφ∈Ｘφ，２］ …（４）
について、あらゆる可能なＸφ，１，Ｘφ，２に関する上限値を、組（Ｇφ，Ωφ）の疑似自由指標とよび、これをＰ（Ｇφ，Ωφ）と表すことにする。ある無視することができる関数ζ（ｋ）が存在して、
Ｐ（Ｇφ，Ωφ）＜ζ（ｋ） …（５）
である場合、組（Ｇφ，Ωφ）によって定義される演算は擬似自由な作用であるという。なお、「αφ ａ（φ）」は、群Ｇφで定義された演算をαφに対してａ（φ）回作用させることを意味する。また、無視することができる関数ζ（ｋ）の例は、任意の多項式ｐ（ｋ）について、十分大きいｋに対して｛ζ（ｋ）ｐ（ｋ）｝が０に収束するものである。関数ζ（ｋ）の具体例は、ζ（ｋ）＝２−ｋやζ（ｋ）＝２−√ｋなどである。例えば、セキュリティパラメータｋとに対し、式（４）の確率がＯ（２−k）未満である場合、組（Ｇφ，Ωφ）によって定義される演算は擬似自由な作用である。また、例えば、任意のαφ∈Ｇφでαφ≠ｅφ，ｇであるものについて、集合Ωφ・αφ＝｛ａ（φ）（αφ）｜ａ（φ）∈Ωφ｝の要素数｜Ωφ・αφ｜が２ｋを超える場合、組（Ｇφ，Ωφ）によって定義される演算は擬似自由な作用といえる。なお、ａ（φ）（αφ）は、ａ（φ）とαφに所定の演算を作用させた結果を表す。このような具体例は数多く存在する。例えば、群Ｇφが素数ｐを法とする剰余群Ｚ／ｐＺであり、素数ｐが２ｋのオーダーであり、集合Ωφ＝｛０，．．．，ｐ−２｝であり、ａ（φ）（αφ）がαφ ａ（φ）∈Ｚ／ｐＺであり、αφ≠ｅφ，ｇである場合、Ωφ・αφ＝｛αφ ａ（φ）｜ａ（φ）＝０，．．．，ｐ−２｝＝｛ｅφ，ｇ，αφ １，．．．，αφ ｐ−２｝となり、｜Ωφ・αφ｜＝ｐ−１である。素数ｐが２ｋのオーダーであるため、ある定数Ｃが存在して、ｋが十分大きければ｜Ωφ・αφ｜＞Ｃ２ｋを満たす。ここで式（４）の確率はＣ−１２−ｋ未満であり、このような組（Ｇφ，Ωφ）によって定義される演算は擬似自由な作用である。 Pseudo-free action:
Group G φ , set of natural numbers Ω φ = {0,. . . , M φ } (M φ is a natural number greater than or equal to 1) , each real value of a random variable X φ, 1 , X φ, 2 having a value in the group G φ α φ ∈X φ, 1 (α φ ≠ e φ, g), β φ ∈X φ, 2, and for a (φ) ∈Ω φ, α φ a (φ) = β φ to become probability Pr [α φ a (φ) = β φ cutlet α φ ≠ e φ , g | a (φ) ∈ U Ω, α φ ∈X φ, 1, β φ ∈X φ, 2] ... (4)
For, all possible X φ, 1, X φ, the upper limit about 2, referred to as pseudo-free indicator of the set (G φ, Ω φ), which will be expressed as P (G φ, Ω φ) . There is a function ζ (k) that can be ignored,
P (G φ , Ω φ ) <ζ (k) (5)
The operation defined by the pair (G φ , Ω φ ) is a pseudo-free action. Note that “α φ a (φ) ” means that the operation defined by the group G φ is applied to α φ a (φ) times. An example of the function ζ (k) that can be ignored is that {ζ (k) p (k)} converges to 0 for a sufficiently large k for an arbitrary polynomial p (k). Specific examples of the function ζ (k) include ζ (k) = 2 −k and ζ (k) = 2 −√k . For example, when the probability of the expression (4) is less than O (2 −k ) with respect to the security parameter k, the operation defined by the pair (G φ , Ω φ ) is a pseudo-free action. For example, for an arbitrary α φ ∈G φ and α φ ≠ e φ, g , the set Ω φ · α φ = {a (φ) (α φ ) | a (φ) ∈Ω φ } When the number of elements | Ω φ · α φ | exceeds 2 k , the operation defined by the pair (G φ , Ω φ ) can be said to be a pseudo-free action. Note that a (φ) (α φ ) represents a result obtained by applying a predetermined calculation to a (φ) and αφ . There are many such examples. For example, the group G φ is a residue group Z / pZ modulo the prime p, the prime p is on the order of 2 k , and the set Ω φ = {0,. . . , P−2} and a (φ) (α φ ) is α φ a (φ) ∈Z / pZ and α φ ≠ e φ, g , Ω φ · α φ = {α φ a (φ) | a (φ) = 0,. . . , P−2} = {e φ, g , α φ 1 ,. . . , Α φ p−2 }, and | Ω φ · α φ | = p−1. Since prime p is of the order of 2 k, then there exists a constant C, if k is sufficiently large | Ω φ · α φ |> meet C2 k. Here, the probability of equation (4) is less than C - 12- k , and the operation defined by such a set (G [ phi] , [Omega] [ phi] ) is a pseudo-free action.

信頼性δγ（δγ−ｒｅｌｉａｂｌｅ）の乱数化可能標本器：
自然数ａ（φ）が与えられるたびに、δ−ｒｅｌｉａｂｌｅのｆφ（τφ）のブラックボックスＦφ（τφ）を用い、ｗφ∈Ｇφについて、確率変数Ｘφに従った標本ｘφ’に対応するｗφ ａ（φ）ｘφ’を返す乱数化可能標本器であって、ｗφ ａ（φ）ｘφ’＝ｗφ ａ（φ）である確率がδγよりも大きい（γは正定数）、すなわち、
Ｐｒ［ｗφ ａ（φ）ｘφ’＝ｗφ ａ（φ）］＞δγ …（６）
を満たすものを、信頼性δγの乱数化可能標本器という。本形態の入力情報提供部５１０４と第二出力情報計算部５２０２−φと第二計算部５１０８との組は、ｗφ＝ｆφ（ｘφ）について、信頼性δγの乱数化可能標本器である。 A randomizable sampler with reliability δ γ (δ γ -reliable):
Each time a natural number a (φ) is given, a sample x φ according to a random variable X φ is used for w φ ∈G φ using a black box F φ (τ φ ) of δ-reliable f φ (τ φ ). a random number of possible sampler that returns' to w φ a (φ) x φ corresponding ', the probability that w φ a (φ) x φ ' = w φ a (φ) is greater than [delta] gamma ( γ is a positive constant)
Pr [w φ a (φ) x φ '= w φ a (φ)]> δ γ ... (6)
A sampler that satisfies the above condition is called a randomizable sampler with reliability δγ. The set of the input information providing unit 5104, the second output information calculating unit 5202-φ, and the second calculating unit 5108 according to this embodiment is a randomizable sampler with reliability δ γ for w φ = f φ (x φ ). It is.

次に、これらの定義を用い、本形態の仲介装置５１でｆφ（Ｃφ，１）が得られる理由を説明する。 Next, using these definitions, the reason why f φ (C φ, 1 ) can be obtained by the mediation device 51 of this embodiment will be described.

本形態のステップＳ５１１０では同一の暗号文の類ＣＬφ（Ｍφ）に属するｕφ’とｖφとの組があるか、すなわち、同一の暗号文の類ＣＬφ（Ｍφ）に属するｕφ ａ（φ）とｖφとの組があるかを判定している。本形態の入力情報提供部５１０４と第二出力情報計算部５２０２−φと第二計算部５１０８との組は信頼性δγの乱数化可能標本器であるため（式（６））、Ｔをｋ、δ、γから定まる一定値よりも大きい値とすれば、漸近的に大きい確率でｕφ ａ（φ）とｖφとが同一の暗号文の類ＣＬφ（Ｍφ）に属することになる（ステップＳ５１１０でｙｅｓとなる）場合が生じる。たとえば、Ｔ≧４／δγとすれば、ｕφ ａ（φ）とｖφとが同一の暗号文の類ＣＬφ（Ｍφ）に属する（ステップＳ５１１０でｙｅｓとなる）確率は１／２よりも大きいことがＭａｒｋｏｖの不等式によってわかる。 Or class CL in step S5110 the same ciphertext of this embodiment φ (M φ) u φ 'belonging to the v is the set of the phi, i.e., class CL identical ciphertext phi u belonging to (M phi) It is determined whether there is a set of φ a (φ) and v φ . For set of input information providing unit 5104 of the present embodiment and the second output information calculation unit 5202-phi and the second calculating unit 5108 is a random number of possible sampler reliability [delta] gamma (equation (6)), the T If the value is larger than a constant value determined from k, δ, and γ, u φ a (φ) and v φ are asymptotically large and belong to the same ciphertext class CL φ (M φ ). (Yes in step S5110). For example, if T ≧ 4 / δ γ, (a yes in step S5110) u φ a (φ) and v phi and is belonging to the same class of ciphertext CL φ (M φ) probability 1/2 Is greater by the Markov inequality.

また、本形態ではｕφ＝ｆφ（Ｃφ，１）ｘφ，１及びｖφ＝ｆφ（Ｃφ，１）ａ（φ）ｘφ，２なのであるから、ｕφ ａ（φ）とｖφとが同一の暗号文の類ＣＬφ（Ｍφ）に属する場合にはＤφ，２（ｓ（σ（φ），２），ｆφ（Ｃφ，１）ｘφ，１）＝Ｄφ，２（ｓ（σ（φ），２），ｆφ（Ｃφ，１）ｘφ，２ １／ａ（φ））が成立する。ただし、Ｄφ，２（ｓ（σ（φ），２），υ）は第二暗号化方式ＥＮＣφ，２に則ってυ∈Ｇφを第二復号鍵ｓ（σ（φ），２）で復号するための関数を表す。この場合、第２暗号化方式ＥＮＣφ，２が確定暗号方式なのであればｘφ，１ ａ（φ）＝ｘφ，２が成立する。また、第２暗号化方式ＥＮＣφ，２が確率暗号方式であったとしてもｆφ（Ｃφ，１）が準同型関数なのであればｘφ，１ ａ（φ）＝ｘφ，２が成立する。 In this embodiment, since u φ = f φ (C φ, 1 ) x φ, 1 and v φ = f φ (C φ, 1 ) a (φ) x φ, 2 , u φ a (φ) And v φ belong to the same ciphertext class CL φ (M φ ), D φ, 2 (s (σ (φ), 2), f φ (C φ, 1 ) x φ, 1 ) = Dφ, 2 (s (σ (φ), 2), fφ ( Cφ, 1 ) xφ, 2 1 / a (φ) ) holds. However, D φ, 2 (s (σ (φ), 2), υ) is νεG φ in accordance with the second encryption scheme ENC φ, 2 , and the second decryption key s (σ (φ), 2) Represents a function for decoding with. In this case, if the second encryption method ENC φ, 2 is a definite encryption method, x φ, 1 a (φ) = x φ, 2 is established. Even if the second encryption method ENC φ, 2 is a stochastic encryption method, if φ φ (C φ, 1 ) is a homomorphic function, x φ, 1 a (φ) = x φ, 2 is established. To do.

ｘφ，１ ａ（φ）＝ｘφ，２が成立する場合には、ｘφ，１＝ｘφ，２＝ｅφ，ｇである場合とｘφ，１≠ｅφ，ｇである場合とがある。ｘφ，１＝ｘφ，２＝ｅφ，ｇである場合には、ｕφ＝ｆφ（Ｃφ，１）となるのであるから、ステップＳ５１１４で出力されるｕφは正しいｆφ（Ｃφ，１）となる。一方、ｘφ，１≠ｅφ，ｇである場合には、ｕφ≠ｆφ（Ｃφ，１）となるのであるから、ステップＳ５１１４で出力されるｕφは正しいｆφ（Ｃφ，１）ではない。 When x φ, 1 a (φ) = x φ, 2 holds, x φ, 1 = x φ, 2 = e φ, g and x φ, 1 ≠ e φ, g There is. When x φ, 1 = x φ, 2 = e φ, g , u φ = f φ (C φ, 1 ), so u φ output in step S5114 is the correct f φ ( C φ, 1 ). On the other hand, if x φ, 1 ≠ e φ, g , u φ ≠ f φ (C φ, 1 ), the u φ output in step S5114 is the correct f φ (C φ, 1 ) Not.

群Ｇφと自然数ａ（φ）が属する集合Ωφとの組（Ｇφ，Ωφ）によって定義される演算が擬似自由な作用であるか、疑似自由指標Ｐ（Ｇφ，Ωφ）についてＴ２Ｐ（Ｇφ，Ωφ）が漸近的に小さい場合、ｘφ，１ ａ（φ）＝ｘφ，２の場合にｘφ，１≠ｅφ，ｇである確率（式（４））は漸近的に小さい。したがって、ｘφ，１ ａ（φ）＝ｘφ，２の場合にｘφ，１＝ｅφ，ｇである確率は漸近的に大きい。よって、組（Ｇφ，Ωφ）によって定義される演算が擬似自由な作用であるか、Ｔ２Ｐ（Ｇφ，Ωφ）が漸近的に小さい場合、ｕφ ａ（φ）とｖφとが同一の暗号文の類ＣＬφ（Ｍφ）に属する場合に誤ったｆφ（Ｃφ，１）が出力される確率は、ｕφ ａ（φ）とｖφとが同一の暗号文の類ＣＬφ（Ｍφ）に属する場合に正しいｆφ（Ｃφ，１）が出力される確率よりも十分小さい。この場合の仲介装置５１はオールモスト自己訂正器であるといえる（式（２）参照）。そのため、前述のように、仲介装置５１からローバスト自己訂正器を構成することが可能であり、圧倒的な確率で正しいｆφ（Ｃφ，１）を得ることができる。（Ｇφ，Ωφ）で定義される演算が疑似自由な作用である場合には、ｕφ ａ（φ）とｖφとが同一の暗号文の類ＣＬφ（Ｍφ）に属する場合に誤ったｆφ（Ｃφ，１）が出力される確率も無視できる。この場合の仲介装置５１は、圧倒的な確率で正しいｆφ（Ｃφ，１）または⊥を出力する。 Or operations group G phi and natural numbers a (phi) is defined by a set of a set Omega phi belonging (G φ, Ω φ) is a pseudo-free action, pseudo free indicator P (G φ, Ω φ) for When T 2 P (G φ , Ω φ ) is asymptotically small, the probability that x φ, 1 ≠ e φ, g when x φ, 1 a (φ) = x φ, 2 (formula (4) ) Is asymptotically small. Therefore, in the case of xφ, 1 a (φ) = xφ, 2 , the probability that xφ , 1 = eφ, g is asymptotically large. Therefore, if the operation defined by the pair (G φ , Ω φ ) is a pseudo-free action or if T 2 P (G φ , Ω φ ) is asymptotically small, u φ a (φ) and v φ DOO wrong f φ (C φ, 1) if it belongs to the same class of ciphertext CL φ (M φ) probability is output, u φ a (φ) and v phi and the same ciphertext This is sufficiently smaller than the probability that the correct f φ (C φ, 1 ) is output when it belongs to the class CL φ (M φ ). It can be said that the mediating device 51 in this case is an all-most self-correcting device (see equation (2)). Therefore, as described above, a robust self-corrector can be configured from the intermediary device 51, and correct f φ (C φ, 1 ) can be obtained with an overwhelming probability. If the operation defined by (G φ , Ω φ ) is a pseudo-free action, then u φ a (φ) and v φ belong to the same ciphertext class CL φ (M φ ). The probability that an erroneous f φ (C φ, 1 ) is output can be ignored. In this case, the mediating device 51 outputs the correct f φ (C φ, 1 ) or ⊥ with an overwhelming probability.

なお、任意の定数ρに対してｋ０が定まり、このｋ０に対してｋ０＜ｋ’を満たす任意のｋ’に対する関数値η（ｋ’）がρ未満となる場合「η（ｋ’）が漸近的に小さい」という。ｋ’の例はセキュリティパラメータｋである。また、任意の定数ρに対してｋ０が定まり、このｋ０に対してｋ０＜ｋ’を満たす任意のｋ’に対する関数値１−η（ｋ’）がρ未満となる場合「η（ｋ’）が漸近的に大きい」という。 If k 0 is determined for an arbitrary constant ρ, and the function value η (k ′) for an arbitrary k ′ that satisfies k 0 <k ′ for this k 0 is less than ρ, “η (k ′ ) Is asymptotically small. " An example of k ′ is a security parameter k. Further, Sadamari is k 0 for any constant [rho, for this k 0 k 0 <If function value for 'any k satisfying' k 1-eta of (k ') is less than [rho "eta ( k ′) is asymptotically large ”.

また、ａ（φ）をａ（φ）／ｂ（φ）に置換すれば分かるように、上述の証明は第一実施形態で述べた「ｕφ’とｖφ’とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属するのは、第一乱数化可能標本器がｕφ＝ｆφ（Ｃφ，１）ｂ（φ）を正しく計算しており、第二乱数化可能標本器がｖφ＝ｆφ（Ｃφ，１）ａ（φ）を正しく計算している（ｘφ，１及びｘφ，２が群Ｇφの単位元ｅφ，ｇである）可能性が高い」ことの証明ともなる。 As can be seen by replacing a (φ) with a (φ) / b (φ), the above proof is the ciphertext in which “u φ ′” and “v φ ′” described in the first embodiment are identical to each other. Belongs to the class CL φ (M φ ) because the first randomizable sampler correctly calculates u φ = f φ (C φ, 1 ) b (φ) , and the second randomizable sampler Is correctly calculating v φ = f φ (C φ, 1 ) a (φ) (x φ, 1 and x φ, 2 are unit elements e φ, g of group G φ ) It is also a proof of that.

《信頼性δγの乱数化可能標本器と安全性について》
以下のような攻撃を想定する。 《Reliable δγ randomizable sampler and safety》
Assume the following attacks.

・ブラックボックスＦφ（τφ）又はその部分が意図的に不正なｚφを出力する、又は、ブラックボックスＦφ（τφ）から出力された値が不正なｚφに改ざんされる。 The black box F φ (τ φ ) or its part intentionally outputs an illegal z φ , or the value output from the black box F φ (τ φ ) is altered to an illegal z φ .

・不正なｚφに対応するｗφ ａ（φ）ｘφ’が乱数化可能標本器から出力される。 • w φ a (φ) x φ ′ corresponding to an illegal z φ is output from a randomizable sampler.

・不正なｚφに対応するｗφ ａ（φ）ｘφ’は、自己訂正器ＣＦ（Ｃφ，１）にｕφ ａ（φ）とｖφとが同一の暗号文の類ＣＬφ（Ｍφ）に属すると判定させる（ステップＳ５１１０でｙｅｓなる）にもかかわらず、自己訂正器ＣＦ（Ｃφ，１）が誤った値を出力する確率を増加させる。 The w φ a (φ) x φ ′ corresponding to the illegal z φ is a ciphertext class CL φ in which u φ a (φ) and v φ are the same in the self-corrector C F (C φ, 1 ). The probability that the self-corrector C F (C φ, 1 ) outputs an incorrect value is increased, although it is determined that it belongs to (M φ ) (yes in step S5110).

このような攻撃は、与えられた自然数ａ（φ）に対して乱数化可能標本器から出力されたｗφ ａ（φ）ｘφ’の誤差の確率分布Ｄａ＝ｗφ ａ（φ）ｘφ’ｗφ −ａ（φ）が自然数ａ（φ）に依存する場合に可能となる。例えば、第二計算部５１０８から出力されるｖφがｆφ（Ｃφ，１）ａ（φ）ｘφ，１ ａ（φ）となるような不正が行われた場合、ｘφ，１の値にかかわらず、必ずｕφ ａ（φ）＝ｖφが成立してｕφ ａ（φ）とｖφとが同一の暗号文の類ＣＬφ（Ｍφ）に属すると判定されることになる。よって、与えられた自然数ａ（φ）に対して乱数化可能標本器から出力されたｗφ ａ（φ）ｘφ’の誤差の確率分布Ｄａ＝ｗφ ａ（φ）ｘφ’ｗφ −ａ（φ）が当該自然数ａ（φ）に依存しないことが望ましい。 Such an attack is caused by the probability distribution D a = w φ a (φ) x of the error of w φ a (φ) x φ ′ output from the randomizable sampler for a given natural number a (φ). φ 'w φ -a (φ) it is possible to be dependent on the natural number a (φ). For example, when an illegal operation is performed in which v φ output from the second calculation unit 5108 becomes f φ (C φ, 1 ) a (φ) x φ, 1 a (φ) , x φ, 1 Regardless of the value, u φ a (φ) = v φ is always established, and it is determined that u φ a (φ) and v φ belong to the same ciphertext class CL φ (M φ ). Become. Therefore, the probability distribution D a = w φ a (φ) x φ 'w φ of the error of w φ a (φ) x φ ' output from the randomizable sampler for a given natural number a (φ) It is desirable that −a (φ) does not depend on the natural number a (φ).

あるいは、集合Ωφのいかなる元ａ（φ）∈∀Ωφについても、ｗφ ａ（φ）ｘφ’の誤差の確率分布Ｄａ＝ｗφ ａ（φ）ｘφ’ｗφ −ａ（φ）と区別することができない群Ｇφに値を持つ確率分布Ｄが存在する（確率分布Ｄａと確率分布Ｄとが統計的に近似する（ｓｔａｔｉｓｔｉｃａｌｌｙ−ｃｌｏｓｅ））乱数化可能標本器であることが望ましい。なお、確率分布Ｄは自然数ａ（φ）に依存しない。また、確率分布Ｄａと確率分布Ｄとを区別することができないとは、多項式時間アルゴリズムによって確率分布Ｄａと確率分布Ｄとを区別することができないことを意味し、例えば、無視することができるζ（０≦ζ＜１）に対して
Σｇ∈Ｇ｜Ｐｒ［ｇ∈Ｄ］−Ｐｒ［ｇ∈Ｄａ］｜＜ζ …（７）
を満たすならば、多項式時間アルゴリズムによって確率分布Ｄａと確率分布Ｄとを区別することができない。無視することができるζの例は、セキュリティパラメータｋの関数値ζ（ｋ）である。関数値ζ（ｋ）の例は、任意の多項式ｐ（ｋ）について、十分大きなｋに対して｛ζ（ｋ）ｐ（ｋ）｝が０に収束するものである。関数値ζ（ｋ）の具体例は、ζ（ｋ）＝２−ｋやζ（ｋ）＝２−√ｋなどである。また、これらの点は自然数ａ（φ）及びｂ（φ）を使用する第一実施形態から第四実施形態についても同様である。 Alternatively, for any original a (φ) ∈ ∀ Ω φ of the set Ω φ, w φ a (φ ) ' probability distribution of the error D of a = w φ a (φ) x φ' x φ w φ -a ( There is a probability distribution D having a value in the group G φ that cannot be distinguished from ( φ) (the probability distribution D a and the probability distribution D are statistically approximated (statistically-close)). It is desirable. Note that the probability distribution D does not depend on the natural number a (φ). Further, the inability to distinguish between probability distributions D a probability distribution D, which means that it is impossible to distinguish between the probability distribution D a probability distribution D by a polynomial time algorithm, for example, be ignored For possible ζ (0 ≦ ζ <1), ΣgεG | Pr [gεD] −Pr [gεD a ] | <ζ (7)
If it satisfies, the probability distribution D a and the probability distribution D cannot be distinguished by the polynomial time algorithm. An example of ζ that can be ignored is the function value ζ (k) of the security parameter k. An example of the function value ζ (k) is such that {ζ (k) p (k)} converges to 0 for a sufficiently large k for an arbitrary polynomial p (k). Specific examples of the function value ζ (k) include ζ (k) = 2 −k and ζ (k) = 2 −√k . These points are the same in the first to fourth embodiments using the natural numbers a (φ) and b (φ).

［変形例等］
上記の各実施形態ではΦ＝２、σ（１）＝２、σ（２）＝１の場合を例示したが、その他のΦ，σ（φ）について本発明が実施されてもよい。図１３では、Φ＝３の場合の情報提供システム６を例示している。図１３の例の場合、例えば、Φ＝３、σ（１）＝２、σ（２）＝３、σ（３）＝１として上記の各実施形態の処理を実行すればよい。その他、Φ＝４の場合には、例えば、σ（１）＝２、σ（２）＝３、σ（３）＝４、σ（４）＝１としたり、σ（１）＝２、σ（２）＝１、σ（３）＝４、σ（４）＝３としたりしてもよい。 [Modifications, etc.]
In each of the above embodiments, the case of Φ = 2, σ (1) = 2, and σ (2) = 1 is exemplified, but the present invention may be implemented for other Φ and σ (φ). FIG. 13 illustrates the information providing system 6 when Φ = 3. In the case of the example in FIG. 13, for example, the processing of each of the above embodiments may be executed with Φ = 3, σ (1) = 2, σ (2) = 3, and σ (3) = 1. In addition, when Φ = 4, for example, σ (1) = 2, σ (2) = 3, σ (3) = 4, σ (4) = 1, or σ (1) = 2, σ (2) = 1, σ (3) = 4, and σ (4) = 3.

確率変数Ｘφ，１、Ｘφ，２及びＸφ，３は、同じでも異なっていてもよい。 The random variables X φ, 1 , X φ, 2 and X φ, 3 may be the same or different.

第一乱数生成部、第二乱数生成部、第三乱数生成部のそれぞれは、一様乱数を生成することにより、情報提供システムの安全性が最も高くなる。しかし、求める安全性のレベルがそれほど高くない場合には、第一乱数生成部、第二乱数生成部、第三乱数生成部の少なくとも一部が、一様乱数ではない乱数を生成してもよい。また、演算効率上からは、上述の各実施形態のように、選択される自然数の乱数は０以上Ｋφ，Ｈ未満の自然数であることが望ましいが、その代わりにＫφ，Ｈ以上の自然数の乱数が選択されてもよい。 Each of the first random number generation unit, the second random number generation unit, and the third random number generation unit generates the uniform random number, so that the security of the information providing system is maximized. However, if the required level of security is not so high, at least some of the first random number generator, the second random number generator, and the third random number generator may generate random numbers that are not uniform random numbers. . Further, from the viewpoint of calculation efficiency, it is desirable that the random number of the natural number to be selected is a natural number of 0 or more and less than Kφ, H as in the above embodiments, but instead, a natural number of Kφ, H or more. May be selected.

仲介装置が同一のａ（φ），ｂ（φ）に対応する第一入力情報τφ，１及び第二入力情報τφ，２を情報提供装置に提供するたびに、情報提供装置の処理が複数回実行させてもよい。これにより、仲介装置が第一入力情報τφ，１及び第二入力情報τφ，２を情報提供装置に一回提供するたびに、仲介装置は第一出力情報ｚφ，１や第二出力情報ｚφ，２や第三出力情報ｚφ，３を複数個得ることができる。これにより、仲介装置と情報提供装置との間のやり取り回数や通信量を減らすことができる。 Each time the intermediary device provides the first input information τ φ, 1 and the second input information τ φ, 2 corresponding to the same a (φ), b (φ) to the information providing device, the processing of the information providing device is performed. It may be executed multiple times. Thus, each time the mediation device provides the first input information τ φ, 1 and the second input information τ φ, 2 to the information providing device once, the mediation device can output the first output information z φ, 1 and the second output information. A plurality of pieces of information z φ, 2 and third output information z φ, 3 can be obtained. Thereby, the frequency | count and communication amount of communication between a mediation apparatus and an information provision apparatus can be reduced.

また、仲介装置が複数種類の第一入力情報τφ，１及び第二入力情報τφ，２を情報提供装置にまとめて提供し、対応する第一出力情報ｚφ，１や第二出力情報ｚφ，２や第三出力情報ｚφ，３を複数個まとめて取得してもよい。これにより、仲介装置と情報提供装置との間のやり取り回数を減らすことができる。 Further, the intermediary device collectively provides a plurality of types of first input information τ φ, 1 and second input information τ φ, 2 to the information providing device, and corresponding first output information z φ, 1 and second output information. A plurality of z φ, 2 and third output information z φ, 3 may be acquired together. Thereby, the frequency | count of exchange between a mediation apparatus and an information provision apparatus can be reduced.

仲介装置の各部間のデータのやり取りは直接行われてもよいし、図示していない記憶部を介して行われてもよい。同様に、情報提供装置の各部間のデータのやり取りは直接行われてもよいし、図示していない記憶部を介して行われてもよい。   Data exchange between each unit of the mediation apparatus may be performed directly or may be performed via a storage unit (not shown). Similarly, data exchange between the units of the information providing apparatus may be performed directly or via a storage unit (not shown).

また、各実施形態の第一計算部や第二計算部において得られたｕφやｖφが群Ｇφの元であるかを確認し、群Ｇφの元であった場合には上述した処理を続行し、ｕφ又はｖφが群Ｇφの元でなかった場合には、計算をすることができなかった旨の情報、例えば記号「⊥」が出力されてもよい。 Further, u phi and v phi obtained in the first calculation unit and the second calculation portion of the embodiment confirms whether the original group G phi, described above in the case were the original group G phi If the processing is continued and u φ or v φ is not an element of the group G φ , information indicating that the calculation could not be performed, for example, the symbol “⊥” may be output.

その他、本発明は上述の実施形態に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。   In addition, the present invention is not limited to the above-described embodiment. For example, the various processes described above are not only executed in time series according to the description, but may also be executed in parallel or individually as required by the processing capability of the apparatus that executes the processes. Needless to say, other modifications are possible without departing from the spirit of the present invention.

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。   Further, when the above-described configuration is realized by a computer, processing contents of functions that each device should have are described by a program. The processing functions are realized on the computer by executing the program on the computer.

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。   The program describing the processing contents can be recorded on a computer-readable recording medium. As the computer-readable recording medium, for example, any recording medium such as a magnetic recording device, an optical disk, a magneto-optical recording medium, and a semiconductor memory may be used.

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。   The program is distributed by selling, transferring, or lending a portable recording medium such as a DVD or CD-ROM in which the program is recorded. Furthermore, the program may be distributed by storing the program in a storage device of the server computer and transferring the program from the server computer to another computer via a network.

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。   A computer that executes such a program first stores, for example, a program recorded on a portable recording medium or a program transferred from a server computer in its own storage device. When executing the process, this computer reads the program stored in its own recording device and executes the process according to the read program. As another execution form of the program, the computer may directly read the program from a portable recording medium and execute processing according to the program, and the program is transferred from the server computer to the computer. Each time, the processing according to the received program may be executed sequentially. Also, the program is not transferred from the server computer to the computer, and the above-described processing is executed by a so-called ASP (Application Service Provider) type service that realizes the processing function only by the execution instruction and result acquisition. It is good. Note that the program in this embodiment includes information that is used for processing by an electronic computer and that conforms to the program (data that is not a direct command to the computer but has a property that defines the processing of the computer).

１〜６ 情報提供システム
１１〜５１ 仲介装置
１２−φ〜５２−φ 情報提供装置 1-6 Information Providing System 11-51 Intermediary Device 12-φ-52-φ Information Providing Device

Claims (13)

仲介装置とΦ個の情報提供装置φとを有し、
φ＝１，…，Φ、σ（φ）＝１，…，Φ、σ（φ）≠φ、Φが２以上の整数、Ｇφ，Ｈφが有限可換群、ｆφが第一暗号化方式ＥＮＣφ，１に則って平文ｍφを第一暗号化鍵ｙ（φ，１）で暗号化して得られた群Ｈφの元である第一暗号文Ｃφ，１が与えられたとき、当該第一暗号文Ｃφ，１を、第二暗号化方式ＥＮＣφ，２に則って前記平文ｍφを第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる群Ｇφの元である第二暗号文ｆφ（Ｃφ，１）＝Ｃφ，２に変換するための関数、ａ（φ），ｂ（φ）が互いに素である自然数、平文Ｍφを前記第二暗号化方式ＥＮＣφ，２に則って前記第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる可能性がある暗号文を要素とする集合が、当該暗号文が属する暗号文の類ＣＬφ（Ｍφ）、Ｘφ，１，Ｘφ，２が群Ｇφに値を持つ確率変数、ｘφ，１が確率変数Ｘφ，１の実現値、ｘφ，２が確率変数Ｘφ，２の実現値であり、
前記仲介装置が、
前記情報提供装置φそれぞれの前記第一暗号文Ｃφ，１に対応する群Ｈφの元である第一入力情報τφ，１及び第二入力情報τφ，２を出力する入力情報提供部を含み、
前記情報提供装置φのそれぞれが、
前記第一入力情報τφ，１を用い、或る確率より大きな確率でｆφ（τφ，１）を正しく計算し、得られた演算結果を第一出力情報ｚφ，１とする第一出力情報計算部と、
前記第二入力情報τφ，２を用い、或る確率より大きな確率でｆφ（τφ，２）を正しく計算し、得られた演算結果を第二出力情報ｚφ，２とする第二出力情報計算部と、を含み、
前記仲介装置が、さらに
前記第一出力情報ｚφ，１から演算結果ｕφ＝ｆφ（Ｃφ，１）ｂ（φ）ｘφ，１を生成する第一計算部と、
前記第二出力情報ｚφ，２から演算結果ｖφ＝ｆφ（Ｃφ，１）ａ（φ）ｘφ，２を生成する第二計算部と、
前記演算結果ｕφに対する値ｕφ ａ（φ）と前記演算結果ｖφに対する値ｖφ ｂ（φ）とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属する場合の前記演算結果ｕφ及び前記演算結果ｖφと、ａ’（φ）ａ（φ）＋ｂ’（φ）ｂ（φ）＝１を満たす整数ａ’（φ），ｂ’（φ）とに対する、値ｕφ ｂ’（φ）ｖφ ａ’（φ）を得る処理部と、
すべてのφ＝１，…，Φについて前記値ｕφ ｂ’（φ）ｖφ ａ’（φ）が得られた後に、前記値ｕφ ｂ’（φ）ｖφ ａ’（φ）（φ＝１，…，Φ）を出力する最終出力部とを含む、
情報提供システム。 Having an intermediary device and Φ information providing devices φ,
φ = 1, ..., Φ, σ (φ) = 1, ..., Φ, σ (φ) ≠ φ, Φ is an integer of 2 or more, G φ, H φ finite friendly換群, f phi is the first encryption The first ciphertext C φ, 1 which is the element of the group H φ obtained by encrypting the plaintext m φ with the first encryption key y (φ, 1) according to the encryption scheme ENC φ , 1 is given. Then, the first ciphertext C φ, 1 is obtained by encrypting the plaintext m φ with the second encryption key y (σ (φ), 2) in accordance with the second encryption scheme ENC φ, 2. A function for converting to the second ciphertext f φ (C φ, 1 ) = C φ, 2 that is an element of the group G φ , a natural number in which a (φ) and b (φ) are relatively prime, plaintext M φ Is a ciphertext element that may be obtained by encrypting the second encryption method ENC φ, 2 with the second encryption key y (σ (φ), 2). kind of cipher text that statement belongs CL φ (M φ), X φ, 1 X phi, random variable 2 has a value in the group G φ, x φ, 1 is the random variable X phi, 1 of realizations, x phi, 2 random variable X phi, a second actual values,
The intermediary device is
An input information providing unit that outputs first input information τ φ, 1 and second input information τ φ, 2 that are elements of the group H φ corresponding to the first ciphertext C φ, 1 of each of the information providing devices φ. Including
Each of the information providing devices φ
The first input information τ φ, 1 is used to correctly calculate f φ (τ φ, 1 ) with a probability greater than a certain probability, and the obtained calculation result is set as first output information z φ, 1 An output information calculator ,
The second input information τ φ, 2 is used to correctly calculate f φ (τ φ, 2 ) with a probability greater than a certain probability, and the obtained calculation result is set as second output information z φ, 2 An output information calculation unit,
The intermediary device further generates a calculation result u φ = f φ (C φ, 1 ) b (φ) x φ, 1 from the first output information z φ, 1 ;
A second calculation unit for generating an operation result v φ = f φ (C φ, 1 ) a (φ) x φ, 2 from the second output information z φ, 2 ;
The calculation result u when the value u φ a (φ) for the calculation result u φ and the value v φ b (φ) for the calculation result v φ belong to the same ciphertext class CL φ (M φ ). The value u φ b for φ and the calculation result v φ and integers a ′ (φ) and b ′ (φ) satisfying a ′ (φ) a (φ) + b ′ (φ) b (φ) = 1. A processing unit for obtaining '(φ) v φ a'(φ);
After the values u φ b ′ (φ) v φ a ′ (φ) are obtained for all φ = 1,..., Φ, the values u φ b ′ (φ) v φ a ′ (φ) (φ = 1,..., Φ)
Information provision system. 請求項１の情報提供システムであって、
前記仲介装置が、前記自然数ａ（φ），ｂ（φ）の少なくとも一方を選択する自然数選択部を含み、
前記第一入力情報τφ，１が前記自然数ｂ（φ）にさらに対応し、前記第二入力情報τφ，２が前記自然数ａ（φ）にさらに対応する、
情報提供システム。 The information providing system according to claim 1,
The intermediary device includes a natural number selection unit that selects at least one of the natural numbers a (φ) and b (φ),
The first input information τ φ, 1 further corresponds to the natural number b (φ), and the second input information τ φ, 2 further corresponds to the natural number a (φ).
Information provision system. 請求項１又は２の情報提供システムにおいて、
前記入力情報提供部が、前記第一暗号文Ｃφ，１との関係をかく乱させた情報を前記第一入力情報τφ，１及び前記第二入力情報τφ，２とする、
情報提供システム。 In the information provision system of Claim 1 or 2,
The input information providing unit sets the information that disturbs the relationship with the first ciphertext C φ, 1 as the first input information τ φ, 1 and the second input information τ φ, 2 .
Information provision system. 請求項１から３の何れかの情報提供システムであって、
前記関数ｆφが準同型関数であり、
前記入力情報提供部が、
群Ｈφの任意の元ｈｒφ，１を生成する第一乱数生成部と、
第一暗号化方式ＥＮＣφ，１に則って前記元ｈｒφ，１を前記第一暗号化鍵ｙ（φ，１）で暗号化して得られた群Ｈφの元Ｃφ，１’に対応するＣφ，１ ｂ（φ）Ｃφ，１’を前記第一入力情報τ φ，１として得る第一入力情報計算部と、
群Ｈφの任意の元ｈｒφ，２を生成する第二乱数生成部と、
第一暗号化方式ＥＮＣφ，１に則って前記元ｈｒφ，２を前記第一暗号化鍵ｙ（φ，１）で暗号化して得られた群Ｈφの元Ｃφ，１”に対応するＣφ，１ ａ（φ）Ｃφ，１”を前記第二入力情報τ φ，２として得る第二入力情報計算部と、を含み、
前記第一出力情報計算部は、前記第一入力情報Ｃφ，１ ｂ（φ）Ｃφ，１’を用い、或る確率より大きな確率でｆφ（Ｃφ，１ ｂ（φ）Ｃφ，１’）を正しく計算し、得られた計算結果を前記第一出力情報ｚφ，１とし、
前記第二出力情報計算部は、前記第二入力情報Ｃφ，１ ａ（φ）Ｃφ，１”を用い、或る確率より大きな確率でｆφ（Ｃφ，１ ａ（φ）Ｃφ，１”）を正しく計算し、得られた計算結果を第二出力情報ｚφ，２とし、
前記第一計算部は、前記第二暗号化方式ＥＮＣφ，２に則って前記元ｈｒφ，１を前記第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる群Ｇφの元Ｃφ，２’に対応するｚφ，１（Ｃφ，２’）−１を前記ｕφとし、
前記第二計算部は、前記第二暗号化方式ＥＮＣφ，２に則って前記元ｈｒφ，２を前記第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる群Ｇφの元Ｃφ，２”に対応するｚφ，２（Ｃφ，２”）−１を前記ｖφとする、
情報提供システム。 The information providing system according to any one of claims 1 to 3,
The function fφ is a homomorphic function;
The input information providing unit
A first random number generator for generating an arbitrary element h r φ, 1 of the group H φ ;
In accordance with the first encryption scheme ENC φ, 1 , the element h r φ, 1 is encrypted with the first encryption key y (φ, 1) to the element C φ, 1 ′ of the group H φ. A first input information calculation unit for obtaining corresponding C φ, 1 b (φ) C φ, 1 ′ as the first input information τ φ, 1 ;
A second random number generator for generating an arbitrary element h r φ, 2 of the group H φ ;
In accordance with the first encryption scheme ENC φ, 1 , the element h r φ, 2 is encrypted with the first encryption key y (φ, 1) to the element C φ, 1 ″ of the group H φ. A second input information calculation unit that obtains corresponding C φ, 1 a (φ) C φ, 1 ″ as the second input information τ φ, 2 ,
The first output information calculation unit uses the first input information C φ, 1 b (φ) C φ, 1 ′, and f φ (C φ, 1 b (φ) C φ with a probability larger than a certain probability. , 1 ′) is correctly calculated, and the obtained calculation result is the first output information z φ, 1 ,
The second output information calculation unit uses the second input information C φ, 1 a (φ) C φ, 1 ″, and f φ (C φ, 1 a (φ) C φ with a probability larger than a certain probability. , 1 ") is correctly calculated, and the obtained calculation result is set as the second output information zφ, 2 ,
The first calculation unit is a group obtained by encrypting the element h r φ, 1 with the second encryption key y (σ (φ), 2) in accordance with the second encryption scheme ENC φ, 2. Let z φ, 1 (C φ, 2 ′) −1 corresponding to element C φ, 2 ′ of G φ be u φ ,
The second calculation unit is a group obtained by encrypting the element h r φ, 2 with the second encryption key y (σ (φ), 2) in accordance with the second encryption scheme ENC φ, 2. Let z φ, 2 (C φ, 2 ″) −1 corresponding to element C φ, 2 ″ of G φ be v φ ,
Information provision system. 請求項１から４の何れかの情報提供システムにおいて、
前記関数ｆφが準同型関数、群Ｇφが群Ｇφ，１，Ｇφ，２の直積Ｇφ，１×Ｇφ，２、μφ，ｇ１が群Ｇφ，１の生成元、μφ，ｇ２が群Ｇφ，２の生成元、ｓ（σ（φ），２）が前記第二暗号化鍵ｙ（σ（φ），２）に対応する復号鍵、前記第二暗号化鍵ｙ（σ（φ），２）がμφ，ｇ２ ｓ（σ（φ），２）、ｒ（φ）が整数の乱数、前記第二暗号文Ｃφ，２が（μφ，ｇ１ ｒ（φ），ｍφｙ（σ（φ），２）ｒ（φ））、前記値ｕφ ａ（φ）が（ｃφ，１ｕ，ｃφ，２ｕ）∈Ｇφ，１×Ｇφ，２、前記値ｖφ ｂ（φ）が（ｃφ，１ｖ，ｃφ，２ｖ）∈Ｇφ，１×Ｇφ，２、ｅφ（α，β）が（α，β）∈Ｇφ，１×Ｇφ，２に対して有限可換群Ｇφ，Ｔの元を与える双線形写像であり、
前記処理部は、関係ｅφ（μφ，ｇ１，ｃφ，２ｕ）／ｅφ（ｃφ，１ｕ，ｙ（σ（φ），２））＝ｅφ（μφ，ｇ１，ｃφ，２ｖ）／ｅφ（ｃφ，１ｖ，ｙ（σ（φ），２））を満たす場合の前記値ｕφ ｂ’（φ）ｖφ ａ’（φ）を出力する、
情報提供システム。 In the information provision system in any one of Claim 1 to 4,
Wherein the function f phi is homomorphic function, the group G phi is the group G φ, 1, G φ, 2 direct product G φ, 1 × G φ, 2, μ φ, g1 is the group G phi, 1 of origin, mu φ, g2 is a generation source of the group G φ, 2 , s (σ (φ), 2) is a decryption key corresponding to the second encryption key y (σ (φ), 2), and the second encryption key y (σ (φ), 2) is μ φ, g2 s (σ (φ), 2) , r (φ) is an integer random number, and the second ciphertext C φ, 2 is (μ φ, g1 r ( φ) , m φ y (σ (φ), 2) r (φ) ), and the value u φ a (φ) is (c φ, 1u , c φ, 2u ) ∈G φ, 1 × G φ, 2 the value v φ b (φ) is (c φ, 1v, c φ , 2v) ∈G φ, 1 × G φ, 2, e φ (α, β) is (α, β) ∈G φ, 1 XG φ, 2 is a bilinear map giving elements of the finite commutative group G φ, T ,
Wherein the processing unit, the relationship e φ (μ φ, g1, c φ, 2u) / e φ (c φ, 1u, y (σ (φ), 2)) = e φ (μ φ, g1, c φ, 2v ) / e φ (c φ, 1v , y (σ (φ), 2)), the value u φ b ′ (φ) v φa ′ (φ) is output.
Information provision system. 請求項５の情報提供システムであって、
Ｎφが素数ωφと素数ιφの合成数、前記群Ｇφ，１，Ｇφ，２がそれぞれ前記合成数Ｎφを法とした剰余環上で定義された第一楕円曲線Ｅφ，１上の点からなる部分群、Ｇφ，１ω，Ｇφ，２ωが前記素数ωφを法とした剰余体上で定義された第二楕円曲線Ｅφ，２上の点からなる部分群、Ｇφ，１ι，Ｇφ，２ιが前記素数ιφを法とした剰余体上で定義された第三楕円曲線Ｅφ，３上の点からなる部分群、ｅφ，ω（αω，βω）が（αω，βω）∈Ｇφ，１ω×Ｇφ，２ωに対して有限可換群Ｇφ，Ｔωの元を与える第二双線形写像、ｅφ，ι（αι，βι）が（αι，βι）∈Ｇφ，１ι×Ｇφ，２ιに対して有限可換群Ｇφ，Ｔιの元を与える第三双線形写像、ＨＭφが前記第一楕円曲線Ｅφ，１上の点を前記第二楕円曲線Ｅφ，２上の点と前記第三楕円曲線Ｅφ，３上の点とに写す同型写像、ＨＭφ −１が前記同型写像ＨＭφの逆像であり、
前記仲介装置は、
前記同型写像ＨＭφを用いて前記第一楕円曲線Ｅφ，１上の点αを前記第二楕円曲線Ｅφ，２上の点θω（α）と前記第三楕円曲線Ｅφ，３上の点θι（α）とに写し、前記同型写像ＨＭφを用いて前記第一楕円曲線Ｅφ，１上の点βを前記第二楕円曲線Ｅφ，２上の点θω（β）と前記第三楕円曲線Ｅφ，３上の点θι（β）とに写し、ｅφ，ω（θω（α），θω（β））及びｅφ，ι（θι（α），θι（β））を求め、ｅφ，ω（θω（α），θω（β））及びｅφ，ι（θι（α），θι（β））に対する前記逆像ＨＭφ −１をｅφ（α，β）として求め、前記関係を満たすか否かを判定する判定部をさらに含む、
情報提供システム。 The information providing system according to claim 5,
N φ is a composite number of a prime number ω φ and a prime number ι φ , and the group G φ, 1 , G φ, 2 is a first elliptic curve E φ defined on a remainder ring modulo the composite number N φ , respectively . A subgroup consisting of points on 1 ; a subgroup consisting of points on a second elliptic curve E φ, 2 where G φ, 1ω , G φ, 2ω is defined on a remainder field modulo the prime number ω φ , G φ, 1ι , G φ, 2ι are subgroups consisting of points on the third elliptic curve E φ, 3 defined on the remainder field modulo the prime number ι φ , e φ, ω (α ω , β ω ) is a second bilinear map that gives an element of the finite commutative group G φ, Tω for (α ω , β ω ) ∈G φ, 1ω × G φ, 2ω , e φ, ι (α ι , β ι ) is a third bilinear map giving elements of the finite commutative group G φ, Tι for (α ι , β ι ) ∈G φ, 1ι × G φ, 2ι , and HM φ is the first elliptic curve E The point on φ, 1 is the second elliptic curve E on φ, 2 An isomorphism mapping HM φ −1 to a point and a point on the third elliptic curve E φ, 3 is an inverse image of the isomorphism HM φ ,
The intermediary device is:
Using the isomorphism HM φ , the point α on the first elliptic curve E φ, 1 is changed to the point θ ω (α) on the second elliptic curve E φ, 2 and the third elliptic curve E φ, 3 . a copy in the point theta iota and (alpha), the isomorphism HM using said phi first elliptic curve E phi, the points on 1 beta second elliptic curve E phi, point on 2 θ ω (β) And a point θ ι (β) on the third elliptic curve E φ, 3 , e φ, ω (θ ω (α), θ ω (β)) and e φ, ι (θ ι (α) , Θ ι (β)), and the inverse image HM for e φ, ω (θ ω (α), θ ω (β)) and e φ, ι (θ ι (α), θ ι (β)). a determination unit for determining φ −1 as e φ (α, β) and determining whether or not the relationship is satisfied;
Information provision system. 請求項１から３の何れかの情報提供システムにおいて、
前記関数ｆφが準同型関数、μφ，ｈが群Ｈの生成元、Ｋφ，Ｈが群Ｈφの位数、νφ＝ｆφ（μφ，ｈ）であり、
前記入力情報提供部は、
０以上の自然数の乱数ｒ（φ，１）を生成する第一乱数生成部と、
前記第一入力情報τφ，１としてμφ，ｈ ｒ（φ，１）Ｃφ，１ ｂ（φ）を計算する第一入力情報計算部と、
０以上の自然数の乱数ｒ（φ，２）を生成する第二乱数生成部と、
前記第二入力情報τφ，２としてμφ，ｈ ｒ（φ，２）Ｃφ，１ ａ（φ）を計算する第二入力情報計算部と、を含み、
前記第一出力情報計算部は、前記第一入力情報μφ，ｈ ｒ（φ，１）Ｃφ，１ ｂ（φ）を用い、或る確率より大きな確率でｆφ（μφ，ｈ ｒ（φ，１）Ｃφ，１ ｂ（φ））を正しく計算し、得られた計算結果を前記第一出力情報ｚφ，１とし、
前記第二出力情報計算部は、前記第二入力情報μφ，ｈ ｒ（φ，２）Ｃφ，１ ａ（φ）を用い、或る確率より大きな確率でｆφ（μφ，ｈ ｒ（φ，２）Ｃφ，１ ａ（φ））を正しく計算し、得られた計算結果を第二出力情報ｚφ，２とし、
前記第一計算部は、ｚφ，１νφ −ｒ（φ，１）を計算してその計算結果を前記ｕφとし、
前記第二計算部は、ｚφ，２νφ −ｒ（φ，２）を計算してその計算結果を前記ｖφとする、
情報提供システム。 In the information provision system in any one of Claim 1 to 3,
The function f φ is a homomorphic function, μ φ, h is a generator of the group H, K φ, H is the order of the group H φ , ν φ = f φ (μ φ, h ),
The input information providing unit
A first random number generator that generates a random number r (φ, 1) having a natural number of 0 or more;
A first input information calculation unit for calculating μ φ, hr (φ, 1) C φ, 1 b (φ) as the first input information τ φ, 1 ;
A second random number generator for generating a random number r (φ, 2) having a natural number of 0 or more;
A second input information calculation unit for calculating μ φ, hr (φ, 2) C φ, 1 a (φ) as the second input information τ φ, 2 .
The first output information calculation unit uses the first input information μ φ, hr (φ, 1) C φ, 1 b (φ) , and f φ (μ φ, h r with a probability larger than a certain probability. (Φ, 1) C φ, 1 b (φ) ) is correctly calculated, and the obtained calculation result is the first output information z φ, 1 ,
The second output information calculation unit uses the second input information μ φ, hr (φ, 2) C φ, 1 a (φ) , and f φ (μ φ, h r with a probability larger than a certain probability. (Φ, 2) C φ, 1 a (φ) ) is correctly calculated, and the obtained calculation result is set as the second output information z φ, 2 ,
The first calculation unit calculates z φ, 1 ν φ −r (φ, 1) and sets the calculation result as u φ ,
The second calculating unit, z φ, 2 ν φ -r (φ, 2) calculated by the to the calculation result and the v phi,
Information provision system. 請求項７の情報提供システムにおいて、
前記第一乱数生成部は、ｂ（φ）≠１のときに前記乱数ｒ（φ，１）を生成し、
前記第一入力情報計算部は、ｂ（φ）≠１のときに前記第一入力情報τφ，１として前記μφ，ｈ ｒ（φ，１）Ｃφ，１ ｂ（φ）を計算し、
前記第一出力情報計算部は、ｂ（φ）≠１のときに前記第一入力情報μφ，ｈ ｒ（φ，１）Ｃφ，１ ｂ（φ）を用いて得られた前記計算結果を前記第一出力情報ｚφ，１とし、
前記第一計算部が、ｂ（φ）≠１のときにｚφ，１νφ −ｒ（φ，１）を計算してその計算結果を前記ｕφとし、
前記第二乱数生成部が、ａ（φ）≠１のときに前記乱数ｒ（φ，２）を生成し、
前記第二入力情報計算部が、ａ（φ）≠１のときに前記第二入力情報τφ，２としてμφ，ｈ ｒ（φ，２）Ｃφ，１ ａ（φ）を計算し、
前記第二出力情報計算部が、ａ（φ）≠１のときに前記第二入力情報μφ，ｈ ｒ（φ，２）Ｃφ，１ ａ（φ）を用いて得られた前記計算結果を第二出力情報ｚφ，２とし、
前記第二計算部が、ａ（φ）≠１のときにｚφ，２νφ −ｒ（φ，２）を計算してその計算結果を前記ｖφとし、
前記入力情報提供部が、
０以上の自然数の乱数ｒ（φ，３）を生成する第三乱数生成部と、
ｂ（φ）＝１のときにＣφ，１ ｒ（φ，３）を前記第一入力情報τφ，１とし、ａ（φ）＝１のときにＣφ，１ ｒ（φ，３）を前記第二入力情報τφ，２とする第三入力情報計算部と、を含み、
前記情報提供装置が、
前記Ｃφ，１ ｒ（φ，３）を用い、或る確率より大きな確率でｆφ（Ｃφ，１ ｒ（φ，３））を正しく計算し、得られた計算結果を第三出力情報ｚφ，３とする第三出力情報計算部を含み、
前記仲介装置が、
ｂ（φ）＝１のときにｚφ，３ １／ｒ（φ，３）を前記ｕφとし、ａ（φ）＝１のときにｚφ，３ １／ｒ（φ，３）を前記ｖφとする第三計算部を含む、
情報提供システム。 In the information provision system of Claim 7,
The first random number generator generates the random number r (φ, 1) when b (φ) ≠ 1;
The first input information calculation unit calculates the μ φ, hr (φ, 1) C φ, 1 b (φ) as the first input information τ φ, 1 when b (φ) ≠ 1. ,
The first output information calculation unit obtains the calculation result obtained by using the first input information μφ, hr (φ, 1) C φ, 1 b (φ) when b (φ) ≠ 1. Is the first output information z φ, 1 ,
The first calculation unit calculates z φ, 1 v φ −r (φ, 1) when b (φ) ≠ 1, and sets the calculation result as u φ ,
The second random number generator generates the random number r (φ, 2) when a (φ) ≠ 1;
The second input information calculation unit calculates μ φ, hr (φ, 2) C φ, 1 a (φ) as the second input information τ φ, 2 when a (φ) ≠ 1;
The calculation result obtained by the second output information calculation unit using the second input information μφ, hr (φ, 2) C φ, 1 a (φ) when a (φ) ≠ 1 Is the second output information z φ, 2 ,
The second calculation unit calculates z φ, 2 ν φ −r (φ, 2) when a (φ) ≠ 1 and sets the calculation result as v φ ,
The input information providing unit
A third random number generator for generating a random number r (φ, 3) having a natural number of 0 or more;
When b (φ) = 1, C φ, 1 r (φ, 3) is the first input information τ φ, 1 , and when a (φ) = 1, C φ, 1 r (φ, 3) A third input information calculation unit that sets the second input information τ φ, 2 as
The information providing device is
Using C φ, 1 r (φ, 3) , f φ (C φ, 1 r (φ, 3) ) is correctly calculated with a probability larger than a certain probability, and the obtained calculation result is used as third output information. including a third output information calculator with z φ, 3 ,
The intermediary device is
When b (φ) = 1, z φ, 3 1 / r (φ, 3) is set as u φ , and when a (φ) = 1, z φ, 3 1 / r (φ, 3) is set as the above. including a third calculator with v φ
Information provision system. 請求項１から８の何れかの情報提供システムにおいて、
前記演算結果ｕφのｆφ（Ｃφ，１）ｂ（φ）に対する誤差の確率分布が前記自然数ｂ（φ）に依存しない、並びに／若しくは、前記演算結果ｖφのｆφ（Ｃφ，１）ａ（φ）に対する誤差の確率分布が前記自然数ａ（φ）に依存しない、又は、前記演算結果ｕφのｆφ（Ｃφ，１）ｂ（φ）に対する誤差の確率分布と区別することができない前記自然数ｂ（φ）に依存しない確率分布が存在する、並びに／若しくは、前記演算結果ｖφのｆφ（Ｃφ，１）ａ（φ）に対する誤差の確率分布と区別することができない前記自然数ａ（φ）に依存しない確率分布が存在する、
情報提供システム。 In the information provision system in any one of Claim 1 to 8,
The operation result u phi of f φ (C φ, 1) b (φ) error probability distribution for does not depend the natural number b (phi), and / or of the calculation result v φ f φ (C φ, distinguishing the 1) a (φ) probability distribution of errors with respect to not depend on the natural number a (phi), or, f φ (C φ of the operation result u φ, 1) b (φ ) with respect to the probability distribution of the error There is a probability distribution that does not depend on the natural number b (φ) that cannot be performed and / or can be distinguished from the error probability distribution of the calculation result v φ with respect to f φ (C φ, 1 ) a (φ) . There is a probability distribution that does not depend on the natural number a (φ),
Information provision system. φ＝１，…，Φ、σ（φ）＝１，…，Φ、σ（φ）≠φ、Φが２以上の整数、Ｇφ，Ｈφが有限可換群、ｆφが第一暗号化方式ＥＮＣφ，１に則って平文ｍφを第一暗号化鍵ｙ（φ，１）で暗号化して得られた群Ｈφの元である第一暗号文Ｃφ，１が与えられたとき、当該第一暗号文Ｃφ，１を、第二暗号化方式ＥＮＣφ，２に則って前記平文ｍφを第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる群Ｇφの元である第二暗号文ｆφ（Ｃφ，１）＝Ｃφ，２に変換するための関数、ａ（φ），ｂ（φ）が互いに素である自然数、平文Ｍφを前記第二暗号化方式ＥＮＣφ，２に則って前記第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる可能性がある暗号文を要素とする集合が、当該暗号文が属する暗号文の類ＣＬφ（Ｍφ）、Ｘφ，１，Ｘφ，２が群Ｇφに値を持つ確率変数、ｘφ，１が確率変数Ｘφ，１の実現値、ｘφ，２が確率変数Ｘφ，２の実現値であり、
演算結果ｕφ＝ｆφ（Ｃφ，１）ｂ（φ）ｘφ，１を生成する第一計算部と、
演算結果ｖφ＝ｆφ（Ｃφ，１）ａ（φ）ｘφ，２を生成する第二計算部と、
前記演算結果ｕφに対する値ｕφ ａ（φ）と前記演算結果ｖφに対する値ｖφ ｂ（φ）とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属する場合の前記演算結果ｕφ及び前記演算結果ｖφと、ａ’（φ）ａ（φ）＋ｂ’（φ）ｂ（φ）＝１を満たす整数ａ’（φ），ｂ’（φ）とに対する、値ｕφ ｂ’（φ）ｖφ ａ’（φ）を得る処理部と、
すべてのφ＝１，…，Φについて前記値ｕφ ｂ’（φ）ｖφ ａ’（φ）が得られた後に、前記値ｕφ ｂ’（φ）ｖφ ａ’（φ）（φ＝１，…，Φ）を出力する最終出力部と、
を有する仲介装置。 φ = 1, ..., Φ, σ (φ) = 1, ..., Φ, σ (φ) ≠ φ, Φ is an integer of 2 or more, G φ, H φ finite friendly換群, f phi is the first encryption The first ciphertext C φ, 1 which is the element of the group H φ obtained by encrypting the plaintext m φ with the first encryption key y (φ, 1) according to the encryption scheme ENC φ , 1 is given. Then, the first ciphertext C φ, 1 is obtained by encrypting the plaintext m φ with the second encryption key y (σ (φ), 2) in accordance with the second encryption scheme ENC φ, 2. A function for converting to the second ciphertext f φ (C φ, 1 ) = C φ, 2 that is an element of the group G φ , a natural number in which a (φ) and b (φ) are relatively prime, plaintext M φ Is a ciphertext element that may be obtained by encrypting the second encryption method ENC φ, 2 with the second encryption key y (σ (φ), 2). kind of cipher text that statement belongs CL φ (M φ), X φ, 1 X phi, random variable 2 has a value in the group G φ, x φ, 1 is the random variable X phi, 1 of realizations, x phi, 2 random variable X phi, a second actual values,
A first calculation unit for generating an operation result u φ = f φ (C φ, 1 ) b (φ) x φ, 1 ;
A second calculation unit for generating an operation result v φ = f φ (C φ, 1 ) a (φ) x φ, 2 ;
The calculation result u when the value u φ a (φ) for the calculation result u φ and the value v φ b (φ) for the calculation result v φ belong to the same ciphertext class CL φ (M φ ). The value u φ b for φ and the calculation result v φ and integers a ′ (φ) and b ′ (φ) satisfying a ′ (φ) a (φ) + b ′ (φ) b (φ) = 1. A processing unit for obtaining '(φ) v φ a'(φ);
After the values u φ b ′ (φ) v φ a ′ (φ) are obtained for all φ = 1,..., Φ, the values u φ b ′ (φ) v φ a ′ (φ) (φ = 1,..., Φ)
Having a mediating device. φ＝１，…，Φ、σ（φ）＝１，…，Φ、σ（φ）≠φ、Φは２以上の整数、Ｇφ，Ｈφが有限可換群、ｆφが第一暗号化方式ＥＮＣφ，１に則って平文ｍφを第一暗号化鍵ｙ（φ，１）で暗号化して得られた群Ｈφの元である第一暗号文Ｃφ，１が与えられたとき、当該第一暗号文Ｃφ，１を、第二暗号化方式ＥＮＣφ，２に則って前記平文ｍφを第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる群Ｇφの元である第二暗号文ｆφ（Ｃφ，１）＝Ｃφ，２に変換するための関数、ａ（φ），ｂ（φ）が互いに素である自然数、平文Ｍφを前記第二暗号化方式ＥＮＣφ，２に則って前記第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる可能性がある暗号文を要素とする集合が、当該暗号文が属する暗号文の類ＣＬφ（Ｍφ）、Ｘφ，１，Ｘφ，２が群Ｇφに値を持つ確率変数、ｘφ，１が確率変数Ｘφ，１の実現値、ｘφ，２が確率変数Ｘφ，２の実現値であり、
仲介装置で、前記情報提供装置φそれぞれの前記第一暗号文Ｃφ，１に対応する群Ｈφの元である第一入力情報τφ，１及び第二入力情報τφ，２を出力する入力情報提供ステップと、
情報提供装置φのそれぞれで、前記第一入力情報τφ，１を用い、或る確率より大きな確率でｆφ（τφ，１）を正しく計算し、得られた演算結果を第一出力情報ｚφ，１とする第一出力情報計算ステップと、
前記情報提供装置φのそれぞれで、前記第二入力情報τφ，２を用い、或る確率より大きな確率でｆφ（τφ，２）を正しく計算し、得られた演算結果を第二出力情報ｚφ，２とする第二出力情報計算ステップと、
前記仲介装置で、前記第一出力情報ｚφ，１から演算結果ｕφ＝ｆφ（Ｃφ，１）ｂ（φ）ｘφ，１を生成する第一計算ステップと、
前記仲介装置で、前記第二出力情報ｚφ，２から演算結果ｖφ＝ｆφ（Ｃφ，１）ａ（φ）ｘφ，２を生成する第二計算ステップと、
前記仲介装置で、前記演算結果ｕφに対する値ｕφ ａ（φ）と前記演算結果ｖφに対する値ｖφ ｂ（φ）とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属する場合の前記演算結果ｕφ及び前記演算結果ｖφと、ａ’（φ）ａ（φ）＋ｂ’（φ）ｂ（φ）＝１を満たす整数ａ’（φ），ｂ’（φ）とに対する、値ｕφ ｂ’（φ）ｖφ ａ’（φ）を得る処理ステップと、
前記仲介装置で、すべてのφ＝１，…，Φについて前記値ｕφ ｂ’（φ）ｖφ ａ’（φ）が得られた後に、前記値ｕφ ｂ’（φ）ｖφ ａ’（φ）（φ＝１，…，Φ）を出力する最終出力ステップと、
を有する情報提供方法。 φ = 1,..., Φ, σ (φ) = 1,..., Φ, σ (φ) ≠ φ, Φ is an integer of 2 or more, G φ , H φ are finite commutative groups, and f φ is the first cipher. The first ciphertext C φ, 1 which is the element of the group H φ obtained by encrypting the plaintext m φ with the first encryption key y (φ, 1) according to the encryption scheme ENC φ , 1 is given. Then, the first ciphertext C φ, 1 is obtained by encrypting the plaintext m φ with the second encryption key y (σ (φ), 2) in accordance with the second encryption scheme ENC φ, 2. A function for converting to the second ciphertext f φ (C φ, 1 ) = C φ, 2 that is an element of the group G φ , a natural number in which a (φ) and b (φ) are relatively prime, plaintext M φ Is a ciphertext element that may be obtained by encrypting the second encryption method ENC φ, 2 with the second encryption key y (σ (φ), 2). kind of cipher text that statement belongs CL φ (M φ), X φ, 1 X phi, random variable 2 has a value in the group G φ, x φ, 1 is the random variable X phi, 1 of realizations, x phi, 2 random variable X phi, a second actual values,
The intermediary device outputs first input information τ φ, 1 and second input information τ φ, 2 that are elements of the group H φ corresponding to the first cipher text C φ, 1 of each of the information providing devices φ. An input information providing step;
In each information providing device φ, the first input information τ φ, 1 is used to correctly calculate f φ (τ φ, 1 ) with a probability larger than a certain probability, and the obtained calculation result is the first output information. a first output information calculation step with z φ, 1 ,
Each of the information providing devices φ uses the second input information τ φ, 2 to correctly calculate f φ (τ φ, 2 ) with a probability larger than a certain probability, and outputs the obtained calculation result to the second output. A second output information calculation step with information z φ, 2 ,
A first calculation step of generating an operation result u φ = f φ (C φ, 1 ) b (φ) x φ, 1 from the first output information z φ, 1 in the intermediary device;
A second calculation step of generating an operation result v φ = f φ (C φ, 1 ) a (φ) x φ, 2 from the second output information z φ, 2 in the intermediary device;
In the intermediary device, the operation result if it belongs to the value for u φ u φ a (φ) and the calculation result v values for φ v φ b (φ) and the same kind of ciphertext CL phi each other (M phi) for the the operation result u phi and the calculation result v phi of, a '(φ) a ( φ) + b' (φ) b (φ) = 1 integers a satisfying '(φ), b' and (phi) Processing steps to obtain a value u φ b ′ (φ) v φ a ′ (φ) ;
In the intermediary device, all phi = 1, ..., the values for Φ u φ b '(φ) v φ a' after (phi) is obtained, the value u φ b '(φ) v φ a' (φ) (φ = 1, ..., Φ) and the final output step of outputting,
A method for providing information. φ＝１，…，Φ、σ（φ）＝１，…，Φ、σ（φ）≠φ、Φは２以上の整数、Ｇφ，Ｈφが有限可換群、ｆφが第一暗号化方式ＥＮＣφ，１に則って平文ｍφを第一暗号化鍵ｙ（φ，１）で暗号化して得られた群Ｈφの元である第一暗号文Ｃφ，１が与えられたとき、当該第一暗号文Ｃφ，１を、第二暗号化方式ＥＮＣφ，２に則って前記平文ｍφを第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる群Ｇφの元である第二暗号文ｆφ（Ｃφ，１）＝Ｃφ，２に変換するための関数、ａ（φ），ｂ（φ）が互いに素である自然数、平文Ｍφを前記第二暗号化方式ＥＮＣφ，２に則って前記第二暗号化鍵ｙ（σ（φ），２）で暗号化して得られる可能性がある暗号文を要素とする集合が、当該暗号文が属する暗号文の類ＣＬφ（Ｍφ）、Ｘφ，１，Ｘφ，２が群Ｇφに値を持つ確率変数、ｘφ，１が確率変数Ｘφ，１の実現値、ｘφ，２が確率変数Ｘφ，２の実現値であり、
第一計算部で、演算結果ｕφ＝ｆφ（Ｃφ，１）ｂ（φ）ｘφ，１を生成する第一計算ステップと、
第二計算部で、演算結果ｖφ＝ｆφ（Ｃφ，１）ａ（φ）ｘφ，２を生成する第二計算ステップと、
処理部で、前記演算結果ｕφに対する値ｕφ ａ（φ）と前記演算結果ｖφに対する値ｖφ ｂ（φ）とが互いに同一の暗号文の類ＣＬφ（Ｍφ）に属する場合の前記演算結果ｕφ及び前記演算結果ｖφと、ａ’（φ）ａ（φ）＋ｂ’（φ）ｂ（φ）＝１を満たす整数ａ’（φ），ｂ’（φ）とに対する、値ｕφ ｂ’（φ）ｖφ ａ’（φ）を得る処理ステップと、
最終出力部で、すべてのφ＝１，…，Φについて前記値ｕφ ｂ’（φ）ｖφ ａ’（φ）が得られた後に、前記値ｕφ ｂ’（φ）ｖφ ａ’（φ）（φ＝１，…，Φ）を出力する最終出力ステップと、
を有する仲介方法。 φ = 1,..., Φ, σ (φ) = 1,..., Φ, σ (φ) ≠ φ, Φ is an integer of 2 or more, G φ , H φ are finite commutative groups, and f φ is the first cipher. The first ciphertext C φ, 1 which is the element of the group H φ obtained by encrypting the plaintext m φ with the first encryption key y (φ, 1) according to the encryption scheme ENC φ , 1 is given. Then, the first ciphertext C φ, 1 is obtained by encrypting the plaintext m φ with the second encryption key y (σ (φ), 2) in accordance with the second encryption scheme ENC φ, 2. A function for converting to the second ciphertext f φ (C φ, 1 ) = C φ, 2 that is an element of the group G φ , a natural number in which a (φ) and b (φ) are relatively prime, plaintext M φ Is a ciphertext element that may be obtained by encrypting the second encryption method ENC φ, 2 with the second encryption key y (σ (φ), 2). kind of cipher text that statement belongs CL φ (M φ), X φ, 1 X phi, random variable 2 has a value in the group G φ, x φ, 1 is the random variable X phi, 1 of realizations, x phi, 2 random variable X phi, a second actual values,
A first calculation step for generating an operation result u φ = f φ (C φ, 1 ) b (φ) x φ, 1 in the first calculation unit;
A second calculation step of generating an operation result v φ = f φ (C φ, 1 ) a (φ) x φ, 2 in the second calculation unit;
When the value u φ a (φ) for the calculation result u φ and the value v φ b (φ) for the calculation result v φ belong to the same ciphertext class CL φ (M φ ) in the processing unit For the calculation result u φ and the calculation result v φ and integers a ′ (φ) and b ′ (φ) satisfying a ′ (φ) a (φ) + b ′ (φ) b (φ) = 1, Processing steps to obtain a value u φ b ′ (φ) v φ a ′ (φ) ;
In the final output portion, all of phi = 1, ..., the values for Φ u φ b '(φ) v φ a' after (phi) is obtained, the value u φ b '(φ) v φ a' A final output step for outputting (φ) (φ = 1,..., Φ);
Mediating method having. 請求項１０の仲介装置としてコンピュータを機能させるためのプログラム。   The program for functioning a computer as an intermediary device of Claim 10.
JP2011107076A 2011-05-12 2011-05-12 Information providing system, mediating apparatus, mediating method, information providing method, and program Active JP5596616B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2011107076A JP5596616B2 (en) 2011-05-12 2011-05-12 Information providing system, mediating apparatus, mediating method, information providing method, and program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2011107076A JP5596616B2 (en) 2011-05-12 2011-05-12 Information providing system, mediating apparatus, mediating method, information providing method, and program

Publications (2)

Publication Number Publication Date
JP2012237881A JP2012237881A (en) 2012-12-06
JP5596616B2 true JP5596616B2 (en) 2014-09-24

Family

ID=47460826

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2011107076A Active JP5596616B2 (en) 2011-05-12 2011-05-12 Information providing system, mediating apparatus, mediating method, information providing method, and program

Country Status (1)

Country Link
JP (1) JP5596616B2 (en)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6006809B2 (en) 2013-01-16 2016-10-12 日本電信電話株式会社 Decoding service providing apparatus, processing apparatus, safety evaluation apparatus, program, and recording medium
EP3010178B1 (en) 2013-07-18 2018-05-09 Nippon Telegraph And Telephone Corporation Calculation device, calculation method, and program for self-correction
JP6058514B2 (en) * 2013-10-04 2017-01-11 株式会社日立製作所 Cryptographic processing method, cryptographic system, and server
JP6273951B2 (en) * 2014-03-24 2018-02-07 富士通株式会社 ENCRYPTION DEVICE, ENCRYPTION METHOD, INFORMATION PROCESSING DEVICE, AND ENCRYPTION SYSTEM

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011088314A (en) * 2009-10-21 2011-05-06 Seiko Epson Corp Printing apparatus
EP2525341B1 (en) * 2010-01-12 2016-04-06 Nippon Telegraph And Telephone Corporation Proxy calculation system, proxy calculation method, proxy calculation requesting apparatus, and proxy calculation program and recording medium therefor
JP5562284B2 (en) * 2011-04-12 2014-07-30 日本電信電話株式会社 Re-encryption system, re-encryption device, capability providing device, re-encryption method, capability provision method, and program

Also Published As

Publication number Publication date
JP2012237881A (en) 2012-12-06

Similar Documents

Publication Publication Date Title
JP5491638B2 (en) Proxy calculation system, calculation device, capability providing device, proxy calculation method, capability providing method, program, and recording medium
JP5562284B2 (en) Re-encryption system, re-encryption device, capability providing device, re-encryption method, capability provision method, and program
JP5424974B2 (en) Cryptographic processing system, key generation device, encryption device, decryption device, signature processing system, signature device, and verification device
JP5618881B2 (en) Cryptographic processing system, key generation device, encryption device, decryption device, cryptographic processing method, and cryptographic processing program
JP5562475B2 (en) Secret sharing system, distributed device, distributed management device, acquisition device, processing method thereof, secret sharing method, program
JP5466763B2 (en) ENCRYPTION DEVICE, DECRYPTION DEVICE, ENCRYPTION METHOD, DECRYPTION METHOD, PROGRAM, AND RECORDING MEDIUM
US8938068B2 (en) Functional encryption applied system, information output apparatus, information processing apparatus, encryption protocol execution method, information output method, information processing method, program and recording medium
KR101866935B1 (en) Systems and methods for faster public key encryption using the associated private key portion
US9037623B2 (en) Proxy calculation system, proxy calculation method, proxy calculation requesting apparatus, and proxy calculation program and recording medium therefor
JPWO2012011565A1 (en) Secret sharing system, distributed device, distributed management device, acquisition device, secret sharing method, program, and recording medium
JP5596616B2 (en) Information providing system, mediating apparatus, mediating method, information providing method, and program
KR101423956B1 (en) System of attribute-based encryption and Method thereof
JP2010160235A (en) Retrieval system, terminal device, database device, retrieval method, and program
Zhou et al. Secure fine-grained access control of mobile user data through untrusted cloud
JP5097137B2 (en) Cryptographic communication system, terminal device, secret key generation method and program
JP5612494B2 (en) Timed cryptographic system, timed cryptographic method, apparatus, and program using function encryption
WO2017203743A1 (en) Cipher apparatus, decoding apparatus, and cipher system
Okunbor et al. Homomorphic encryption: A survey
JP2008064853A (en) Key management system, cipher processing method, and data creation method of granting decryption right
Purushothama et al. Provably secure public key cryptosystem with limited number of encryptions for authorised sharing of outsourced data
JP6000207B2 (en) ENCRYPTION SYSTEM, SYSTEM PARAMETER GENERATION DEVICE, ENCRYPTION DEVICE, DECRYPTION DEVICE, METHOD THEREOF, AND PROGRAM

Legal Events

Date Code Title Description
A621 Written request for application examination

Effective date: 20130718

Free format text: JAPANESE INTERMEDIATE CODE: A621

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20140416

A131 Notification of reasons for refusal

Effective date: 20140422

Free format text: JAPANESE INTERMEDIATE CODE: A131

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20140605

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Effective date: 20140805

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20140807

R150 Certificate of patent (=grant) or registration of utility model

Ref document number: 5596616

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150