JPH11145951A - 紛失通信方法 - Google Patents

Abstract

(57)【要約】 【課題】 計算量及び通信量を削減する。 【解決手段】 送信装置１００で送信したい情報の組ｍ
_i （ｉ＝０，…，ｋ−１）を暗号化して（１１０）、暗
号文ｃ_i を受信装置２００へ送る。装置２００は受信し
たｃ_i から受信したいｊ個のｃ_ij（ｊ＝０，…，ｆ−
１）（１＜ｆ＜ｋ）を選択し（２１０）、これらを、生
成した乱数ｒ_j で撹乱して質問情報ｘ_j として装置１０
０へ送る。装置１００ではｘ_j を復号して回答情報ｙ_j
として装置２００へ送る（１２０）。装置２００ではｙ
_j からｒ_j を除去してｍ_ijを得る（２４０）。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、同時契約，配達
証明等で必要となる段階的秘密交換法に必要な１−ｏｕ
ｔ−ｏｆ−２紛失通信方法に関して、安全性を保証しつ
つ、同時に通信量を削減できる、効率のよい通信方法を
提案するものである。

【０００２】

【従来の技術】１−ｏｕｔ−ｏｆ−２紛失通信方法の代
表的な例として、ＥＧＬ法（Even,S.etal. “A Randomi
zed Protocol for Signing Contracts ”，Communicati
ons of the ACM,Vol.28,No.6,pp.637-647,(1985))を利
用したものがある。１−ｏｕｔ−ｏｆ−２紛失通信と
は、送信者が二つの情報ｍ₀ ，ｍ₁ を受信者に送信する
際に、受信者にはｍ₀ ，ｍ₁ の一方しか受信されず、も
う一方は通信路にて紛失してしまうものであり、送信情
報の同時受信不能性と送達確認不能性を備えるものであ
る。ここで、同時受信不能性とは、受信者が、送信され
た情報ｍ₀ ，ｍ₁ の両方を受信できないことであり、送
達確認不能性とは、送信者が、送信する情報ｍ₀ ，ｍ₁
のどちらが受信者に送信されたかを確認することができ
ないことである。

【０００３】ＥＧＬ法は、以下の通りである。まず前提
として、送信者は、公開鍵暗号方式を利用し、自分の公
開鍵暗号の鍵をＰ、対応する秘密鍵をＳとしているもの
とする。このとき、暗号化関数、復号化関数をそれぞれ
Ｅ_P ，Ｄ_S とすると、Ｄ_S （Ｅ_P （ｍ））＝ｍとなる。
ここでは、簡単のため、Ｅ_P ：Ｚ_N →Ｚ_M （Ｚ_N ，Ｚ_M
は整数環）とする。つまりＥ_Pは集合Ｚ_N の要素を集合
Ｚ_M の要素に変換する。

【０００４】Ｓｔｅｐ１ 送信装置は、乱数ｒ₀ とｒ₁
（ｒ₀ ，ｒ₁ ∈Ｚ_M ）を選び、これを受信装置に送る。 Ｓｔｅｐ２ 受信装置は、ランダムにｂ∈｛０，１｝を
選び、さらに乱数ｘ∈Ｚ_N を生成する。受信装置は、 ｑ＝Ｅ_P （ｘ）＋ｒ_b mod Ｍ を送信装置に送る。ここで、ａmod ｂは、ａをｂで割っ
たときの余りを表す。

【０００５】Ｓｔｅｐ３送信装置は、 ｙ₀ ＝Ｄ_S （ｑ−ｒ₀ mod Ｍ） ｙ₁ ＝Ｄ_S （ｑ−ｒ₁ mod Ｍ） を計算する。送信装置は、 ｃ₀ ＝ｍ₀ ＋ｙ₀ mod Ｎ ｃ₁ ＝ｍ₁ ＋ｙ₁ mod Ｎ を計算し、ｃ₀ とｃ₁ を受信装置に送る。

【０００６】Ｓｔｅｐ４ 受信装置は、 ｍ_b ＝ｃ_b −ｘmod Ｎ を得る。つまりランダムに選んだｂ＝０又はｂ＝１と対
応してｍ₀ ＝ｃ₀ −ｘmod Ｎ又はｍ₁ ＝ｃ₁ −ｘmod Ｎ
の何れかを得る。この方法が同時受信不能性を満たすこ
とは、以下のように示される。

【０００７】まず、明らかに、受信装置は所望の情報ｍ
_b を得ることができる。一方、選択された以外の情報ｍ
_d （ｄはｂ＝０の場合は１、ｂ＝１の場合は０、つまり
ｂと１との排他的論理和）を求めることは Ｄ_S （ｑ−ｒ_d mod Ｍ）＝Ｄ_S （Ｅ_P （ｘ）＋ｒ_b −ｒ
_d mod Ｍ） を求めることと等価である。したがって、Ｅ_P （ｘ）が
ランダムな値をとると仮定すると、この公開鍵暗号が安
全であればｍ_d を求めることは困難となる。

【０００８】次に、送達確認不能性は、送信装置にとっ
ては乱数ｘを予測できないために、受信装置が選択した
値（ｂ）を送られてきたｑから推定することは難しく、
よって、どちらのｍ_i を受信したかを判定するのは困難
であることから導かれる。このＥＧＬ法を１−ｏｕｔ−
ｏｆ−ｋ紛失通信（ｋ＞２）に拡張することは容易に行
なえる。すなわち、Ｓｔｅｐ１で送る乱数の数をｋ個に
拡張（ｒ_i （ｉ＝０，…，ｋ−１））し、Ｓｔｅｐ３で
そのすべての乱数についてｙ_i （ｉ＝０，…，ｋ−１）
を求め、 ｙ_i ＝Ｄ_S （ｑ−ｒ_i mod Ｍ）（ｉ＝０，…，ｋ−１） このｙ_i から同様にｃ_i （ｉ＝０，…，ｋ−１）を ｃ_i ＝ｍ_i ＋ｙ_i mod Ｎ（ｉ＝０，…，ｋ−１） と計算して送信すれば、受信装置は、ｋ個の情報ｍ
_i （ｉ＝０，…，ｋ−１）の中から所望の情報ｍ_j （０
＜ｊ＜ｋ）を得ることができる。

【０００９】また、さらにｆ−ｏｕｔ−ｏｆ−ｋ紛失通
信（ｋ＞２，１＜ｆ＜ｋ）に拡張するには、先と同様に
Ｓｔｅｐ１で送る乱数の数をｋ個に拡張し、Ｓｔｅｐ２
では、ｆ個の乱数ｘ_j （ｊ＝０，…，ｆ−１）より、ｑ
_j （ｊ＝０，…，ｆ−１）を ｑ_j ＝Ｅ_P （ｘ_j ）＋ｒ_j mod Ｍ と計算して、送信装置に送り、Ｓｔｅｐ３にて、ｑ
_j （ｊ＝０，…，ｆ−１）と送信装置が生成した乱数ｒ
_i （ｉ＝０，…，ｋ−１）からｙ_ij（ｉ＝０，…，ｋ−
１，ｊ＝０，…，ｆ−１）を ｙ_ij＝Ｄ_S （ｑ_j −ｒ_i mod Ｍ）（ｉ＝０，…，ｋ−
１，ｊ＝０，…，ｆ−１） として、さらに、ｃ_ij（ｉ＝０，…，ｋ−１，ｊ＝０，
…，ｆ−１）を ｃ_ij＝ｍ_i ＋ｙ_ij modＮ（ｉ＝０，…，ｋ−１，ｊ＝
０，…，ｆ−１） と求めて送信すれば、受信装置は、ｋ個の情報ｍ_i （ｉ
＝０，…，ｋ−１）の中から所望の情報ｍ_ij（ｊ＝０，
…，ｆ−１）を得ることができる。

【００１０】ここで用いられたような公開鍵暗号方式の
代表的な例として、ＲＳＡ暗号法（Rivest,R.L. etal.
“A Method for Obtaining Digital Signatures and Pu
blic-Key Cryptosystems”，Communications of the AC
M,Vol.21,No.2,pp.120-126,(1978) ）があげられる。Ｒ
ＳＡ暗号法は、以下の通りである。利用者は、復号用鍵
Ｐ（ｄ，Ｎの組）と暗号用鍵Ｓ（ｅ，Ｎの組）を Ｎ＝ｐ×ｑ ｅ×ｄ≡１（mod Ｌ） ただし、Ｌ＝ＬＣＭ｛（ｐ−１），（ｑ−１）｝をみた
すように生成し、暗号用鍵Ｐを公開し、暗号用鍵Ｓを秘
密に管理する。ここで、ｐとｑは相異なる２つの大きな
素数とし、ＬＣＭ｛ａ，ｂ｝は整数ａとｂの最小公倍数
を示している。また、ａ≡ｂ（mod Ｌ）は、ａ−ｂがＬ
の倍数であることを表す。

【００１１】暗号化関数Ｅ_P と復号化関数Ｄ_S を Ｅ_P （ｍ）＝ｍ^e mod Ｎ Ｄ_S （ｃ）＝ｃ^d mod Ｎ で定義すると、ｍ∈Ｚ_N となる整数ｍに対して Ｄ_S （Ｅ_P （ｍ））＝ｍ となる。

【００１２】このように、ＲＳＡ暗号法を利用した場
合、Ｅ_P ：Ｚ_N →Ｚ_N となるため、Ｍ＝Ｎとして、紛失
通信方法を実現することとなる。

【００１３】

【発明が解決しようとする課題】前述のＥＧＬ法では、
送信装置が（Ｓｔｅｐ３において）受信装置から送られ
てきたｑと送信装置自らが生成した乱数ｒ_i を組合せ
て、ｃ_i を計算しなくてはならず、しかも、その計算は
受信装置が選択した情報ｍ_j には依存していなかった。
そのため、１−ｏｕｔ−ｏｆ−２紛失通信をｆ−ｏｕｔ
−ｏｆ−ｋ紛失通信に拡張した際には、送信装置は、送
信される情報の個数がｆであるにもかかわらず、すべて
の情報の個数ｋに依存した形で（ｋ×ｆ個の）送信デー
タを作成しなくてはならなかった。

【００１４】紛失通信が応用される同時契約，配達証明
などでは、実際に送られる通信量や送受信装置の計算量
を削減したいという要求があり、そのためＥＧＬ法では
非常に非効率である。この発明の目的は、送受信装置の
計算量と通信量を削減した効率のよい紛失通信方法を実
現することにある。

【００１５】

【課題を解決するための手段】そこで、送信装置が送信
すべきデータ量を削減することから、このデータが受信
装置が選択した情報のみに依存するように方式を設計す
ればよい。ＲＳＡ暗号法の鍵を先と同様に、暗号化鍵
（ｅ，Ｎ），復号化鍵（ｄ，Ｎ）とし、暗号化関数Ｅ_P
と復号化関数Ｄ_S を Ｅ_P （ｍ）＝ｍ^e mod Ｎ Ｄ_S （ｃ）＝ｃ^d mod Ｎ とする。今、平文ｍを暗号化した暗号文をｃとした時
に、このｃに対して乱数ｒ（ｒ∈Ｚ_N ）を用いて、 ｘ＝ｃｒ^e mod Ｎ と撹乱したとする。このとき、このｘはｘ≡（ｍｒ）^e
（mod Ｎ）なる関係を満たすため、ｘ＝Ｅ_P （ｍｒ）と
して考えることができる。よって、このｘを復号したも
のをｙ（＝Ｄ_S （ｘ））とすると、 ｙ≡ｘｒ（mod Ｎ) となり、このｙより乱数成分ｒを除去する（この場合は
ｒで法Ｎ上の除算を行なう）ことにより、ｍを求めるこ
とができる。乱数ｒをランダムに選んだ場合に、情報ｘ
からｃを推定することは不可能である。

【００１６】このような性質は、例えば、ランダム自己
帰着性を満たす暗号方式に備わっているものである（す
なわち、ＲＳＡ暗号法もランダム自己帰着性を満たす暗
号方式である）。以下、暗号文ｃを乱数ｒで撹乱する関
数をＸ_P （ｃ，ｒ）と表記し、撹乱されたｙから乱数ｒ
による影響を除去する関数をδ_P （ｙ，ｒ）で表すもの
とする。この関数Ｘ_P （ｃ，ｒ），δ_P （ｙ，ｒ）が例
えばランダム自己帰着性を有する場合は、次のように定
義することができる。

【００１７】まず、いくつかの集合｛ ｝を定義する。
ｎを可算無限集合とする。Ｎ∈ｎに対して、｜Ｎ｜をＮ
の適切な表現の長さとし、また、Ｎ∈ｎに対して、
Ｘ_N ，Ｙ _N を有限集合とし、Ｒ_N ⊆Ｘ_N ×Ｙ_N 、つまり
集合Ｘ_N ×Ｙ_N のなかの部分集合をＲ_N とする。このと
き、Ｒ_N の定義域dom Ｒ_N を、 dom Ｒ_N ＝｛ｘ∈Ｘ_N ｜あるｙ∈Ｙ_N に対して（ｘ，
ｙ）∈Ｒ_N ｝ とする。つまり集合の要素ｘ∈Ｘ_N が、集合Ｙ_N 中のｙ
に対して（ｘ，ｙ）が集合Ｒ_N の要素であるという条件
を満たす集合である。また、ｘ∈Ｘ_N の値域Ｒ_N（ｘ）
は Ｒ_N （ｘ）＝｛ｙ｜（ｘ，ｙ）∈Ｒ_N ｝ とし、Ｒ_N （Ｘ_N ）の値域は Ｒ_N （Ｘ_N ）＝｛ｙ｜（ｘ，ｙ）∈Ｒ_N ，ｘ∈Ｘ_N ｝ とする。今Ｒを以下の集合で定義される関係とするとき
に ｛（（Ｎ，ｘ），ｙ）｜Ｎ∈ｎかつ（ｘ，ｙ）∈Ｒ_N ｝ Ｒがランダム自己帰着性を満たすとは、入力Ｎ∈ｎ，ｘ
∈dom Ｒ_N ，ｒ∈無限の｛０，１｝の系列に対して、以
下の三条件を満たすｘ′＝Ａ（Ｎ，ｘ，ｒ）∈dom Ｒ_N
を出力する（｜Ｎ｜に関する）多項式時間アルゴリズム
Ａが存在することをいう。

【００１８】Ｒ１．もし、ｒのビットがランダム、一様
かつ独立だったならば、ｘ′はdomＲ_N 上を一様に分布
する。つまりＡ（Ｎ，ｘ，ｒ）はＸ_P （ｃ，ｒ）と対応
し、ｘをｒで撹乱した場合にdom Ｒ_N 上で一様に分布す
ることを意味している。Ｒ２．与えられたＮ，ｘ，ｒ′
および、すべてのｙ′∈Ｒ_N （ｘ′）に対して、ｙ∈Ｒ
_N （ｘ）を出力する（｜Ｎ｜に関する）多項式時間アル
ゴリズムが存在する。ここで、ｒ′はＡ（Ｎ，ｘ，ｒ）
の計算に消費されるｒの有限プレフィックスである。

【００１９】つまり無限のｒの先頭から順に１回ごとに
ｒ′だけ使用し、１回使用したものは２度と使用しない
とする。この条件はδ_P （ｙ，ｒ）でｘを復号したｙ、
つまりｙ′∈Ｒ_N （ｘ′）から乱数ｒを除去できること
を意味している。Ｒ３．与えられたＮ，ｘ，ｒ、およ
び、すべてのｙ∈Ｒ_N （ｘ）に対して、あるｙ′∈Ｒ_N
（ｘ′）を出力する（｜Ｎ｜に関する）多項式時間アル
ゴリズムが存在する。加えて、もし、ｒのビットがラン
ダム、一様かつ独立であったならば、ｙ′はＲ
_N （ｘ′）上を一様に分布する。

【００２０】

【発明の実施の形態】以下、図面と共にこの発明の実施
例を詳細に説明する。図１はこの発明の原理を示す機能
構成図である。送信装置１００は、受信装置２００と通
信路３００を介して結合されているとする。また、送信
装置１００には、送信したい情報ｍ_i （ｉ＝０，…，ｋ
−１）が入力され、受信装置２００には、受信したいｍ
_ijに対応する情報の組ij（ｊ＝０，…，ｆ−１）が入力
されると、ｍ_ij（ｊ＝０，…，ｆ−１）が出力されるも
のとする。

【００２１】図２に、この発明の通信シーケンス例を、
図３Ａに送信装置１００の機能構成を、図３Ｂに受信装
置２００の機能構成を示す。この発明の第一の実施例の
紛失通信方法を説明する。Ｓｔｅｐ１ 送信装置１００
には外部より送信したい情報の組ｍ_i （ｉ＝０，…，ｋ
−１）が入力される。この情報を暗号器１１０により暗
号化を行ない、暗号文ｃ_i （ｉ＝０，…，ｋ−１）を受
信装置２００へ送信する。つまり従来技術のＳｔｅｐ３
に相当することを行っている。

【００２２】 ｃ_i ＝Ｅ_P （ｍ_i ）（ｉ＝０，…，ｋ−１） Ｓｔｅｐ２ 受信装置２００には、入力として、受信し
たい情報の識別情報の組ij（ｊ＝０，…，ｆ−１）が与
えられ、受信した暗号文ｃ_j （ｊ＝０，…，ｋ−１）か
ら選択回路２１０を用いて、暗号文の組ｃ_ij（ｊ＝０，
…，ｆ−１）を選択し、また乱数生成器２２０を用いて
乱数ｒ_j （ｊ＝０，…，ｆ−１）を生成して、撹乱器２
３０を用いてｃ_ijをｒ_j で撹乱して質問情報ｘ_j （ｊ＝
０，…，ｆ−１）を得て、送信装置１００に送信する。
つまり従来は受信装置が乱数ｑを送信し、これを受信し
て送信装置がｃ_i を送信したが、この実施例では受信装
置２００は受信したｍ_i に依存したｘ_j を送信してい
る。

【００２３】 ｘ_j ＝Ｘ_P （ｃ_ij，ｒ_j ）（ｊ＝０，…，ｆ−１） Ｓｔｅｐ３ 送信装置１００は、受信したｘ_j （ｊ＝
０，…，ｆ−１）を復号器１２０を用いて復号し、回答
情報ｙ_j （ｊ＝０，…，ｆ−１）として受信装置２００
へ送信する。 ｙ_j ＝Ｄ_S （ｘ_j ）（ｊ＝０，…，ｆ−１） Ｓｔｅｐ４ 受信装置２００は、受信したｙ_j （ｊ＝
０，…，ｆ−１）と撹乱器２３０で用いた乱数ｒ_j （ｊ
＝０，…，ｆ−１）とを乱数成分除去器２４０に入力
し、受信したい情報ｍ_ij（ｊ＝０，…，ｆ−１）を得
る。

【００２４】 ｍ_ij＝δ_P （ｙ_j ，ｒ_j ）（ｊ＝０，…，ｆ−１） 次に、図４に送信情報長を可変にした場合の送信装置４
００の機能構成を、図５に送信情報長を可変にした場合
の受信装置５００の機能構成を示す。つまり送信情報ｍ
_i のビット数が少ないと安全性に問題があるため、ｍ_i
に乱数を連結するようにする。

【００２５】以下、この発明の第二の実施例の紛失通信
方法を説明する。送信装置４００には外部より送信した
い情報の組ｍ_i （ｉ＝０，…，ｋ−１）が入力される。
この情報ｍ_i と乱数生成器４１０で生成した乱数ｔ
_i （ｉ＝０，…，ｋ−１）を連結器４２０で連結し、連
結された情報ｓ_i （ｉ＝０，…，ｋ−１）を暗号器４３
０により暗号化を行ない、その暗号文ｃ_i （ｉ＝０，
…，ｋ−１）を受信装置５００へ送信する。ｍ_i のビッ
ト数と、ｍ_i に対し、どのようにｔ_i を連結するかは送
信側と受信側とで予め決めてある。

【００２６】受信装置５００には、入力として、受信し
たい情報の識別情報の組ij（ｊ＝０，…，ｆ−１）が与
えられ、受信した暗号文ｃ_i （ｉ＝０，…，ｋ−１）か
ら選択回路５１０を用いて選択し、その選択した暗号文
の組ｃ_ij（ｊ＝０，…，ｆ−１）を求め、乱数生成器５
２０を用いて乱数ｒ_j （ｊ＝０，…，ｆ−１）を生成し
て乱数ｒ_i により撹乱器５３０を用いてｃ_ijを撹乱して
質問情報ｘ_j （ｊ＝０，…，ｆ−１）を生成し、送信装
置４００に送信する。

【００２７】送信装置４００は、受信したｘ_j （ｊ＝
０，…，ｆ−１）を復号器４４０を用いて復号して回答
情報ｙ_j （ｊ＝０，…，ｆ−１）として受信装置５００
へ送信する。受信装置５００は、受信したｙ_j （ｊ＝
０，…，ｆ−１）と、撹乱器５３０で用いた乱数ｒ
_j （ｊ＝０，…，ｆ−１）とを乱数成分除去器２４０に
入力しｓ_ij（ｊ＝０，…，ｆ−１）を得る。このｓ_ijを
乱数成分分離器５５０に入力することにより、例えば、
ｓ_ijから予め決めたビット数を取出して受信したい情報
ｍ_ij（ｊ＝０，…，ｆ−１）を得る。

【００２８】なおＸ_P （ｃ，ｒ），δ_P （ｙ，ｒ）とし
ては暗号文ｃを乱数ｒを撹乱し、その撹乱された質問情
報ｘを復号し、その復号情報ｙから乱数ｒを除去できる
ような撹乱であればどのような手法でもよい。

【００２９】

【発明の効果】ここでは、ｆ−ｏｕｔ−ｏｆ−ｋ紛失通
信として、通信量をＥＧＬ法と比較する。ともに公開鍵
暗号方式にＲＳＡ暗号法を利用とするものとする（Ｚ_M
＝Ｚ_N、すなわち、Ｍ＝Ｎ）。また、法Ｎ上での加算と
乗算に必要な計算量は、乱数生成や暗号・復号操作に必
要な計算量に比べて無視できるものとする。

【００３０】（１）送信装置の処理量 まず、ＥＧＬ法において、送信装置は、ｒ_i （ｉ＝０，
…，ｋ−１）の生成にｋ回の乱数生成、ｃ_ij（ｉ＝０，
…，ｋ−１，ｊ＝０，…，ｆ−１）の計算ｋｆ回の復号
操作を必要とする。 ｋ回：乱数生成 ｋ・ｆ回：復号操作 一方、この発明方法では、送信装置はｃ_i （ｉ＝０，
…，ｋ−１）の計算にｋ回の暗号操作、ｙ_j （ｊ＝０，
…，ｆ−１）の計算にｆ回の復号操作を必要としてい
る。

【００３１】ｋ回：暗号操作 ｆ回：復号操作 ＥＧＬ法は、ｋｆ回の暗号・復号操作が必要なのに対
し、この発明方法は、ｋ＋ｆ回の暗号・復号操作です
み、ｋ≫ｆの場合（ｆ＝１の場合を除く）に非常に効率
的であると言える。また、ｆ＝１の場合で比較しても、
暗号・復号操作の回数は一つしか違っていないので、送
信装置の処理量はほぼ同程度であると言える。

【００３２】また、ＥＧＬ法では、送信装置の乱数生成
が必要であるのに対して、この発明方法では一切必要と
していない。 （２）受信装置の処理量 まず、ＥＧＬ法において、受信装置は、ｑ_j （ｊ＝０，
…，ｆ−１）の生成にｆ回の乱数生成、ｆ回の暗号操作
を必要とする。

【００３３】ｆ回：乱数生成 ｆ回：暗号操作 一方、この発明方法では、受信装置はｘ_j （ｊ＝０，
…，ｆ−１）の計算にｆ回の乱数生成、ｆ回の暗号操作
を必要としている。 ｆ回：乱数生成 ｆ回：暗号操作 よって、受信装置の処理量は同程度であると言える。

【００３４】（３）システム内の通信量 まず、ＥＧＬ法では、送信装置からｒ_i （ｉ＝０，…，
ｋ−１）が、受信装置からｑ_j （ｊ＝０，…，ｆ−１）
が、さらに送信装置からｃ_ij（ｉ＝０，…，ｋ−１，ｊ
＝０，…，ｆ−１）がそれぞれ送られるため、その通信
量は （ｋ＋ｆ＋ｋｆ）×｜Ｎ｜bits で与えられる（ただし、｜Ｎ｜は法Ｎのビット長）。

【００３５】一方、この発明方法では、送信装置からｃ
_i （ｉ＝０，…，ｋ−１）が、受信装置からｘ_j （ｊ＝
０，…，ｆ−１）が、さらに送信装置からｙ_j （ｊ＝
０，…，ｆ−１）がそれぞれ送られるため、その通信量
は （ｋ＋２ｆ）×｜Ｎ｜bits で与えられる。

【００３６】よって、ｋ＝２，ｆ＝１のときには、約２
０％の通信量の削減が可能であり、ｋ≫ｆの場合により
顕著に通信量が削減されることになる。

【図面の簡単な説明】

【図１】この発明の原理の機能構成を示すブロック図。

【図２】この発明の紛失通信における送信装置と受信装
置の通信文の交信の様子を示す図。

【図３】Ａはこの発明の第１実施例における送信装置の
機能構成を示すブロック図、Ｂは受信装置の機能構成を
示すブロック図である。

【図４】送信情報長を可変にした実施例の送信装置の機
能構成を示すブロック図。

【図５】送信情報長を可変にした実施例の受信装置の機
能構成を示すブロック図。

Claims (2)

【特許請求の範囲】
1. 【請求項１】 送信装置がｋ個（ｋ＞２）の情報の中か
   らｆ個（１＜ｆ＜ｋ）を受信装置へ送信する通信方法に
   おいて、 送信装置は、複数の情報ｍ_i （ｉ＝０，…，ｋ−１）を
   暗号化し、その暗号文ｃ_i （ｉ＝０，…，ｋ−１）を受
   信装置に送信し、 受信装置は、受信した暗号文ｃ_i （ｉ＝０，…，ｋ−
   １）から受信したい情報に対応（ij（ｊ＝０，…，ｆ−
   １））するｆ個の暗号文を選択し、その選択された暗号
   文の組ｃ_ij（ｊ＝０，…，ｆ−１）を生成した乱数ｒ_j
   （ｊ＝０，…，ｆ−１）で撹乱して質問情報ｘ_j （ｊ＝
   ０，…，ｆ−１）を生成し、これを送信装置に送信し、 送信装置は、受信した質問情報ｘ_j を復号して回答情報
   ｙ_j （ｊ＝０，…，ｆ−１）を生成し、これを受信装置
   に送信し、 受信装置は、受信した回答情報ｙ_j （ｊ＝０，…，ｆ−
   １）から乱数成分を除去して、選択した情報ｍ_ij（ｊ＝
   ０，…，ｆ−１）を受信することを特徴とする紛失通信
   方法。
2. 【請求項２】 送信装置は、乱数ｔ_i （ｉ＝０，…，ｋ
   −１）を生成し、乱数ｔ_i を上記情報ｍ_i と連結し、そ
   の連結された情報ｓ_i （ｉ＝０，…，ｋ−１）を暗号化
   して上記暗号文ｃ_i （ｉ＝０，…，ｋ−１）とし、 受信装置は、受信した回答情報ｙ_j （ｊ＝０，…，ｆ−
   １）から乱数成分ｒ_iを除去して情報ｓ_ij（ｊ＝０，
   …，ｆ−１）を得、その情報ｓ_i から送信装置が連結し
   た乱数成分ｔ_ij（ｊ＝０，…，ｆ−１）を分離して選択
   した情報ｍ_ij（ｊ＝０，…，ｆ−１）を受信できること
   を特徴とする請求項１記載の紛失通信方法。