KR20120101506A

KR20120101506A - 대리 계산 시스템, 방법, 의뢰 장치, 프로그램 및 그 기록 매체

Info

Publication number: KR20120101506A
Application number: KR1020127017347A
Authority: KR
Inventors: 고 야마모토; 테츠타로 코바야시
Original assignee: 니뽄 덴신 덴와 가부시키가이샤
Priority date: 2010-01-12
Filing date: 2011-01-11
Publication date: 2012-09-13
Also published as: CN102687184B; CN102687184A; EP2525341A1; KR101344352B1; JPWO2011086992A1; EP2525341A4; EP2525341B1; WO2011086992A1; US9037623B2; US20120323981A1; JP5379869B2; EP2808860A1

Abstract

올바른 계산을 행할 확률이 낮은 계산 장치를 사용하여 함수 f(x)의 계산을 한다. G, H를 순회군, f를 군 H의 원소 x를 군 G에 그리는 함수, X₁, X₂를 군 G에 값을 가지는 확률변수, 확률변수 X₁의 실현값을 x₁, 확률변수 X₂의 실현값을 x₂로 하여, 정수 계산부가 서로 소인 2개의 자연수 a, b를 사용하여, a'a+b'b=1의 관계를 만족하는 정수 a',b'를 계산한다. 제1 난수화 가능 표본기는 f(x)^bx₁을 계산 가능하며, 그 계산 결과를 u로 한다. 제1 멱승 계산부는 u'=u^a를 계산한다. 제2 난수화 가능 표본기는 f(x)^ax₂를 계산 가능하며, 그 계산 결과를 v로 한다. 제2 멱승 계산부는 v'=v^b를 계산한다. 판정부는 u'=v'인지 판정한다. 최종 계산부는 u'=v'라고 판정된 경우에는 u^b'v^a'를 계산한다.

Description

대리 계산 시스템, 방법, 의뢰 장치, 프로그램 및 그 기록 매체{REPRESENTATIVE CALCULATION SYSTEM, METHOD, REQUEST DEVICE, PROGRAM AND RECORDING MEDIUM}

본 발명은 컴퓨터에 의한 계산 기술에 관한 것이다. 특히, 다른 계산기에 행하게 한 계산 결과를 사용하여 계산을 행하는 기술에 관한 것이다.

올바른 계산을 한다고는 한정할 수 없는 계산 장치에 의뢰한 계산의 결과를 사용하여 의뢰 장치가 함수 f의 계산을 행하는 기술이 비특허문헌 1에 기재되어 있다. 비특허문헌 1에 기재된 자기 정정기는 계산 장치에 계산을 복수회 의뢰하여 그 계산 결과의 다수결을 채용함으로써 함수 f의 계산을 행한다(예를 들면, 비특허문헌 1 참조.).

M. Blum, M. Luby, and R. Rubinfeld, "Self-Testing/Correcting with Applications to Numerical Problems", STOC 1990, pp. 73-83.

그러나, 비특허문헌 1의 자기 정정기가 정상적으로 동작하기 위해서는, 계산 장치는 일정 이상의 확률로 올바른 계산을 할 필요가 있고, 올바른 계산을 행할 확률이 낮은 계산 장치를 사용하여 함수 f의 계산을 하는 기술은 알려져 있지 않다는 과제가 있다.

본 발명의 제1 태양인 대리 계산 시스템은 G, H를 순회군, f를 군 H의 원소 x를 군 G에 그리는 함수, X₁, X₂를 군 G에 값을 가지는 확률변수, 확률변수 X₁의 실현값을 x₁, 확률변수 X₂의 실현값을 x₂로 하여, 서로 소인 2개의 자연수 a, b를 사용하여, a'a+b'b=1의 관계를 만족시키는 정수 a',b'를 계산하는 정수 계산부와, f(x)^bx₁을 계산 가능하며, 그 계산 결과를 u로 하는 제1 난수화 가능 표본기와, u'=u^a를 계산하는 제1 멱승 계산부와, f(x)^ax₂를 계산 가능하며, 그 계산 결과를 v로 하는 제2 난수화 가능 표본기와, v'=v^b를 계산하는 제2 멱승 계산부와, u'=v'인지 판정하는 판정부와, u'=v'라고 판정된 경우에는 u^b'v^a'를 계산하는 최종 계산부를 포함한다.

본 발명의 제2 태양인 대리 계산 시스템은 G, H 및 F를 순회군으로 하고, 사상 θ:G×H→F를 쌍준동형사상으로 하고, g를 군 G의 원소로 하고, h를 군 H의 원소로 하고, K_G를 군 G의 위수로 하고, K_H를 군 H의 위수로 하고, μ_g를 군 G의 생성원으로 하고, μ_h를 군 H의 생성원으로 하고, ν=θ(μ_g, μ_g)으로 하고, k를 자연수의 세큐리티 파라미터로 하고, K=2^k로 하여, 의뢰 장치는 0 이상 K_G 미만의 정수의 난수 r₁을 생성하는 제1 난수 생성부와, 0 이상 K_H 미만의 정수의 난수 r₂를 생성하는 제2 난수 생성부와, 제1 입력 정보 g₁=μ_g ^r1g를 계산하는 제1 입력 정보 계산부와, 제2 입력 정보 h₁=μ_h ^r2를 계산하는 제2 입력 정보 계산부와, 계산 장치로부터 수신한 z₁∈F를 사용하여, z₁ν^-r1r2를 계산하는 제1 리스트 정보 계산부와, 난수 r₂와 계산된 z₁ν^-r1r2로 구성되는 정보의 세트(r₂,z₁ν^-r1r2)가 기억되는 제1 리스트 기억부와, 0 이상 K 미만의 정수의 일양난수인 d₁을 생성하는 제3 난수 생성부와, 0 이상 K_G 미만의 정수의 일양난수인 r₄를 생성하는 제4 난수 생성부와, 0 이상 K_H 미만의 정수의 일양난수인 r₅를 생성하는 제5 난수 생성부와, 제3 입력 정보 g₂=μ_g ^r4g^d1을 계산하는 제3 입력 정보 계산부와, 제4 입력 정보 h₂=μ_h ^r5를 계산하는 제4 입력 정보 계산부와, 계산 장치로부터 수신한 z₂∈F를 사용하여, z₂ν^-r4r5를 계산하는 제2 리스트 정보 계산부와, d₁과 r₅와 계산된 z₂ν^-r4r5로 구성되는 정보의 세트(d₁,r₅,z₂ν^-r4r5)가 기억되는 제2 리스트 기억부와, 제1 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 s₁로 하고, 제2 성분을 w₁로 하고, 제2 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 t₂로 하고, 제2 성분을 s₂로 하고, 제3 성분을 w₂로 하여, 이들의 정보의 세트가 (w₁)^(t₂s₂s₁ ^-1)=w₂의 관계를 만족하는지를 판정하고, 그 관계를 만족하는 경우에는 s₁을 σ에 대입하고, w₁을 ν'에 대입하는 제1 판정부와, 0 이상 K_G 미만의 정수의 일양난수인 r₆를 생성하는 제6 난수 생성부와, 0 이상 K_H 미만의 정수의 일양난수인 r₇을 생성하는 제7 난수 생성부와, 제5 입력 정보 g₃=g^r6를 계산하는 제5 입력 정보 계산부와, 제6 입력 정보 h₃=μ_h ^r7σh를 계산하는 제6 입력 정보 계산부와, 계산 장치로부터 수신한 z₃∈F를 사용하여, z₃ν'^-r6r7을 계산하는 제3 리스트 정보 계산부와, r₆와 계산된 z₃ν'^-r6r7로 구성되는 정보의 세트(r₆,z₃ν'^-r6r7)가 기억되는 제3 리스트 기억부와, 0 이상 K 미만의 정수의 일양난수인 d₂를 생성하는 제8 난수 생성부와, 0 이상 K_G 미만의 정수의 일양난수인 r₉을 생성하는 제9 난수 생성부와, 0 이상 K_H 미만의 정수의 일양난수인 r₁₀을 생성하는 제10 난수 생성부와, 제7 입력 정보 g₄=μ_g ^r9을 계산하는 제7 입력 정보 계산부와, 제8 입력 정보 h₄=μ_h ^r10σh^d2를 계산하는 제8 입력 정보 계산부와, 계산 장치로부터 수신한 z₄∈F를 사용하여, z₄ν'^-r9r10을 계산하는 제4 리스트 정보 계산부와, d₂와 r₉과 계산된 z₄ν'^-r9r10로 구성되는 정보의 세트(d₂,r₉,z₄ν'^-r9r10)가 기억되는 제4 리스트 기억부와, 제3 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 s₃로 하고, 제2 성분을 w₃로 하고, 제4 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 t₄로 하고, 제2 성분을 s₄로 하고, 제3 성분을 w₄로 하여, 이들의 정보의 세트가 (w₃)^(t₄s₄s₃ ^-1)=w₄의 관계를 만족하는지를 판정하고, 그 관계를 만족하는 경우에는 (w₃)^(s₃ ^-1)을 출력하는 제2 판정부를 포함한다. 계산 장치는 의뢰 장치로부터 수신한 g₁ 및 h₁을 사용하여 θ(g₁,h₁)를 계산 가능하며, 그 계산 결과를 z₁으로서 출력하는 제1 출력 정보 계산부와, 의뢰 장치로부터 수신한 g₂ 및 h₂를 사용하여 θ(g₂,h₂)를 계산 가능하며, 그 계산 결과를 z₂로서 출력하는 제2 출력 정보 계산부와, 의뢰 장치로부터 수신한 g₃ 및 h₃를 사용하여 θ(g₃,h₃)를 계산 가능하며, 그 계산 결과를 z₃로서 출력하는 제3 출력 정보 계산부와, 의뢰 장치로부터 수신한 g₄ 및 h₄를 사용하여 θ(g₄,h₄)를 계산 가능하며, 그 계산 결과를 z₄로서 출력하는 제4 출력 정보 계산부를 포함한다.

올바른 계산을 행할 확률이 낮은 계산 장치를 사용하여 함수 f의 계산을 할 수 있다.

도 1은 제1 실시형태 내지 제3 실시형태의 대리 계산 시스템의 예의 기능 블록도.
도 2는 제1 실시형태 내지 제3 실시형태의 의뢰 장치 및 계산 장치의 예의 기능 블록도.
도 3은 제1 실시형태 내지 제3 실시형태의 표본기의 예의 기능 블록도.
도 4는 제1 실시형태 내지 제3 실시형태의 제1 난수화 가능 표본기 및 제2 난수화 가능 표본기의 예의 기능 블록도.
도 5는 제1 실시형태 내지 제3 실시형태의 제1 난수화 가능 표본기 및 제2 난수화 가능 표본기의 다른 예의 기능 블록도.
도 6은 제1 실시형태 내지 제3 실시형태의 대리 계산 방법의 예의 흐름도.
도 7은 스텝 S3의 예를 나타내는 흐름도.
도 8은 스텝 S6의 예를 나타내는 흐름도.
도 9는 스텝 S3의 다른 예를 나타내는 흐름도.
도 10은 스텝 S6의 다른 예를 나타내는 흐름도.
도 11은 제4 실시형태 내지 제10 실시형태의 대리 계산 시스템의 예의 기능 블록도.
도 12는 제4 실시형태 내지 제10 실시형태의 의뢰 장치의 예의 기능 블록도.
도 13은 제4 실시형태 내지 제10 실시형태의 의뢰 장치의 예의 기능 블록도.
도 14는 제4 실시형태 내지 제10 실시형태의 계산 장치의 예의 기능 블록도.
도 15는 제4 실시형태 내지 제10 실시형태의 대리 계산 방법의 예의 흐름도.
도 16은 제4 실시형태 내지 제10 실시형태의 대리 계산 방법의 예의 흐름도.
도 17은 대리 계산 시스템의 변형예의 기능 블록도.

이하, 본 발명에 의한 대리 계산 시스템, 대리 계산 방법의 실시형태를 상세하게 설명한다.

제1 실시형태 내지 제2 실시형태는 의뢰 장치(1)가 계산 장치(2)에 의뢰한 계산의 결과를 사용하여 f(x)를 계산하는 것이다.

[제1 실시형태]

제1 실시형태의 대리 계산 시스템은 도 1에 예시하는 바와 같이 의뢰 장치(1) 및 계산 장치(2)를 포함하고, 의뢰 장치(1)가 계산 장치(2)에 의뢰한 계산의 결과를 사용하여 f(x)를 계산한다.

의뢰 장치(1)는 도 2에 나타내는 바와 같이 자연수 기억부(11), 정수 계산부(12), 제1 멱승 계산부(13), 제1 리스트 기억부(14), 판정부(15), 제2 멱승 계산부(16), 제2 리스트 기억부(17), 제어부(18) 및 최종 계산부(19)를 예를 들면 포함한다. 계산 장치(2)는 제1 난수화 가능 표본기(21) 및 제2 난수화 가능 표본기(22)를 예를 들면 포함한다. 제1 실시형태에 있어서는 제1 난수화 가능 표본기(21) 및 제2 난수화 가능 표본기(22)가 계산 장치(2)에 대응한다.

G, H를 순회군, 함수 f:H→G를 군 H의 원소 x를 군 G에 그리는 함수, 군 G, H의 생성원을 각각 μ_g, μ_h, X₁, X₂를 군 G에 값을 가지는 확률변수, 확률변수 X₁의 실현값을 x₁, 확률변수 X₂의 실현값을 x₂로 한다.

자연수 기억부(11)에는 서로 소인 2개의 자연수 a, b의 세트(a, b)가 복수 기억되어 있는 것으로 한다. I를 군 G의 위수 미만의 2개의 자연수의 세트이며 서로 소인 것의 집합으로 하면, 자연수 기억부(11)에는 I의 부분집합 S에 대응하는 자연수 a, b의 세트(a, b)가 기억되어 있다고 생각할 수 있다.

정수 계산부(12)는 자연수 기억부(11)에 기억된 복수의 자연수의 세트(a, b)로부터, 1개의 자연수의 세트(a, b)를 랜덤으로 읽어들이고, 그 읽어들인 자연수의 세트(a, b)를 사용하여, a'a+b'b=1의 관계를 만족하는 정수 a',b'를 계산한다(스텝 S1). 자연수 a, b는 서로 소이기 때문에, a'a+b'b=1의 관계를 만족하는 정수 a',b'는 반드시 존재한다. 자연수의 세트(a, b)에 대한 정보는 제1 멱승 계산부(13), 제2 멱승 계산부(16), 제1 난수화 가능 표본기(21) 및 제2 난수화 가능 표본기(22)에 보내진다. 정수의 세트(a',b')에 대한 정보는 최종 계산부(19)에 보내진다.

제어부(18)는 t=1로 한다(스텝 S2).

제1 난수화 가능 표본기(21)는 f(x)^bx₁을 계산 가능하며, x 및 b를 사용하여 계산을 행하고, 그 계산 결과를 u로 한다(스텝 S3). 계산 결과 u는 제1 멱승 계산부(13)에 보내진다.

본 출원에 있어서, 계산 가능은 무시할 수 없는 확률 이상의 확률로 계산할 수 있는 것을 의미한다. 무시할 수 없는 확률은 세큐리티 파라미터 k에 대한 광의단조함수인 다항식을 다항식 F(k)로 하여, 1/F(k) 이상의 확률이다.

여기서, f(x)^bx₁을 계산하는 것은 f(x)^bx₁으로 정의되는 식의 값을 계산하는 것이다. 식 f(x)^bx₁의 값을 최종적으로 계산할 수 있으면, 도중의 계산 방법은 상관없다. 이것은 본 출원에서 등장하는 다른 식의 계산에 대해서도 마찬가지이다.

제1 멱승 계산부(13)는 u'=u^a를 계산한다(스텝 S4). 계산 결과 u와 그 계산 결과에 기초하여 계산된 u'의 세트(u, u')는 제1 리스트 기억부(14)에 기억된다.

판정부(15)는 제1 리스트 기억부(14)에 기억된 세트(u, u') 및 제2 리스트 기억부(17)에 기억된 세트(v, v') 중에서, u'=v'가 되는 것이 있는지 판정한다(스텝 S5). 만약 제2 리스트 기억부(17)에 세트(v, v')가 기억되어 있지 않은 경우에는 이 스텝 S5의 처리를 행하지 않고, 다음 스텝 S6의 처리를 행한다. u'=v'가 되는 것이 있었던 경우에는 스텝 S12에 진행한다. u'=v'가 되는 것이 없었던 경우에는 스텝 S6으로 진행한다.

제2 난수화 가능 표본기(22)는 f(x)^ax₂를 계산 가능하며, x 및 a를 사용하여 계산을 행하고, 그 계산 결과를 v로 한다(스텝 S6). 계산 결과 v는 제2 멱승 계산부(16)에 보내진다.

제2 멱승 계산부(16)는 v'=v^b를 계산한다(스텝 S7). 계산 결과 v와 그 계산 결과에 기초하여 계산된 v'의 세트(v, v')는 제2 리스트 기억부(17)에 기억된다.

판정부(15)는 제1 리스트 기억부(14)에 기억된 세트(u, u') 및 제2 리스트 기억부(17)에 기억된 세트(v, v') 중에서, u'=v'가 되는 것이 있는지 판정한다(스텝 S8). u'=v'가 되는 것이 있었던 경우에는 스텝 S12에 진행한다. u'=v'가 되는 것이 없었던 경우에는 스텝 S9에 진행한다.

제어부(18)는 t=T인지 판정한다(스텝 S9). T는 미리 정해진 자연수이다. t=T이면 계산을 할 수 없었던 취지의 정보, 예를 들면 기호「⊥」를 출력하여(스텝 S11) 처리를 끝낸다. t=T가 아닌 경우에는 제어부(18)는 t를 1만큼 인크리먼트, 즉 t=t+1로 하여(스텝 S10) 스텝 S3에 되돌아간다.

계산을 할 수 없었던 취지의 정보(이 예에서는 기호「⊥」)는 계산 장치(2)가 올바르게 계산을 행하는 신뢰성이 T로 정해지는 기준을 밑돈다는 것을 의미한다. 바꾸어 말하면, T회의 반복으로 올바른 연산을 행할 수 없었다는 것을 의미한다.

최종 계산부(19)는 u'=v'라고 판정된 경우에는, 그 u' 및 v'에 대응하는 u 및 v를 사용하여 u^b'v^a'를 계산하고 출력한다(스텝 S12). 계산된 u^b'v^a'=f(x)가 된다. u^b'v^a'=f(x)가 되는 이유에 대해서는 후술한다.

≪u^b'v^a'=f(x)가 되는 이유에 대해서≫

X를 군 G에 값을 가지는 확률변수로 한다. w∈G에 대해서, 어떠한 계산 장치에서 요구를 받을 때마다 확률변수 R에 따라 표본 x'를 추출하여 wx'를 반신하는 것을 w에 대해서 오차 X를 가지는 표본기(sampler)라고 한다.

w∈G에 대해서, 어떠한 계산 장치에서 자연수 a의 입력을 받을 때마다 확률변수 X에 따라 표본 x'를 추출하여 w^ax'를 반신하는 것을 w에 대해서 오차 X를 가지는 난수화 가능 표본기(randomizable sampler)라고 한다. 난수화 가능 표본기는 a=1으로 하여 사용되면 표본기로서 기능한다.

상기 실시형태의 대리 계산 시스템은 x를 입력으로 하여 f(x)를 출력하는 대리 계산 시스템을 구성함에 있어서, f(x)에 대해서 오차 X₁을 가지는 제1 난수화 가능 표본기(21), f(x)에 대해서 오차 X₂를 가지는 제2 난수화 가능 표본기(22)를 사용하고 있다.

u'=v'가 성립하는 것은 즉 u^a=v^b가 성립하는 것은 제1 난수화 가능 표본기(21)가 u=f(x)^bx₁을 올바르게 계산하고 있고, 제2 난수화 가능 표본기(22)가 v=f(x)^ax₂를 올바르게 계산하고 있으며, 또한 x₁ 및 x₂가 군 G의 단위원 e_g일 가능성이 매우 높은 것을 발명자는 알아냈다. 여기서는 그 증명은 생략한다.

제1 난수화 가능 표본기(21)가 u=f(x)^bx₁을 올바르게 계산하고 있고, 제2 난수화 가능 표본기(22)가 v=f(x)^ax₂를 올바르게 계산하고 있으며, x₁ 및 x₂가 군 G의 단위원 e_g일 때, u^b'v^a'=(f(x)^bx₁)^b'(f(x)^ax₂)^a'=(f(x)^be_g)^b'(f(x)^ae_g)^a'=f(x)^bb'e_g ^b'f(x)^aa'e_g ^a'=f(x)^(bb'+aa')=f(x)가 된다.

(q₁,q₂)∈I에 대해서, i=1,2의 각각에 대해서 함수 π_i를 π_i(q₁,q₂)=q_i로 정의한다. 또, L=min(＃π₁(S),＃π₂(S))로 한다. ＃·는 집합·의 위수이다. 군 G가 순회군이나 위수의 계산이 곤란한 군일 때에는, 상기 대리 계산 시스템이 「⊥」 이외를 출력할 때의 출력이 f(x)가 아닐 확률은 무시할 수 있을 정도의 오차의 범위에서 고작해야 T²L/＃S정도라고 기대할 수 있다. 만약 L/＃S가 무시할 수 있는 양이며 T가 다항식 오더 정도의 양이면, 상기 대리 계산 시스템은 압도적인 확률로 f(x)를 출력한다.

L/＃S가 무시할 수 있는 양이 되는 것 같은 S의 예에는, 예를 들면 S={(1,d)|d∈[2,|G|-1]}이 있다.

또한, 도 2에 파선으로 나타내는 바와 같이, 계산 장치(2)에 표본기(23)를 설치해도 된다. 표본기(23)는 X₃를 군 G에 값을 가지는 확률변수, 확률변수 X₃의 실현값을 x₃로 하여, f(x)x₃를 계산 가능하며, a=1이면 제2 난수화 가능 표본기(22)를 대신하여 그 계산 결과를 상기 v로 하고, b=1이면 제1 난수화 가능 표본기(21)를 대신하여 그 계산 결과를 상기 u로 한다.

일반적으로 난수화 가능 표본기보다 표본기의 계산량은 작다. a=1, b=1일 때에 제1 난수화 가능 표본기(21), 제2 난수화 가능 표본기(22)에 대신하여, 표본기(23)가 계산을 행함으로써, 계산 장치(2)의 계산량을 작게 할 수 있다.

[제2 실시형태]

제2 실시형태의 대리 계산 시스템은 제1 난수화 가능 표본기(21) 및 제2 난수화 가능 표본기(22)의 일례, 바꾸어 말하면 스텝 S3 및 스텝 S6의 일례를 구체화한 것이다. 이하, 제1 실시형태와 상이한 부분을 중심으로 설명하고, 공통되는 부분에 대해서는 중복 설명을 생략한다.

제2 실시형태의 제1 난수화 가능 표본기(21)는 도 3에 나타내는 바와 같이 제1 난수 생성부(110), 제1 입력 정보 계산부(111), 제1 출력 정보 계산부(24) 및 제1 계산부(112)를 예를 들면 포함한다. 또, 제2 실시형태의 제2 난수화 가능 표본기(22)는 도 3에 나타내는 바와 같이 제2 난수 생성부(113), 제2 입력 정보 계산부(114), 제2 출력 정보 계산부(25) 및 제2 계산부(115)를 예를 들면 포함한다.

제2 실시형태에 있어서는, 제1 난수 생성부(110), 제1 입력 정보 계산부(111), 제1 계산부(112), 제2 난수 생성부(113), 제2 입력 정보 계산부(114) 및 제2 계산부(115)는 의뢰 장치(1)에 포함된다. 또, 제1 출력 정보 계산부(24) 및 제2 출력 정보 계산부(25)는 계산 장치(2)에 포함된다. 제2 실시형태에 있어서는, 제1 출력 정보 계산부(24) 및 제2 출력 정보 계산부(25)가 계산 장치(2)에 대응한다.

제2 실시형태의 함수 f는 준동형사상인 것으로 한다. 또, 군 H의 생성원을 μ_h, 군 H의 위수를 K_H, ν=f(μ_h)로 한다.

스텝 S3은 도 7에 예시하는 스텝 S31 내지 스텝 S34로 구성된다.

제1 난수 생성부(110)는 0 이상 K_H 미만의 정수의 일양난수 r₁을 생성한다(스텝 S31). 생성된 난수 r₁은 제1 입력 정보 계산부(111)에 보내진다.

제1 입력 정보 계산부(111)는 제1 입력 정보 μ_h ^r1x^b를 계산한다(스텝 S32). 계산된 제1 입력 정보 μ_h ^r1x^b는 제1 출력 정보 계산부(24)에 보내진다.

제1 출력 정보 계산부(24)는 제1 입력 정보 μ_h ^r1x^b를 사용하여 계산을 행하고, 그 계산 결과를 제1 출력 정보 z₁으로 한다(스텝 S33). 계산된 제1 출력 정보 z₁은 제1 계산부(112)에 보내진다.

제1 출력 정보 계산부(24)는 f(μ_h ^r1x^b)를 계산 가능하다. 제1 출력 정보 계산부(24)에 의한 계산의 결과가 f(μ_h ^r1x^b)인 것도 있고, f(μ_h ^r1x^b)가 아닌 것도 있다.

여기서 μ_h의 우측 상단의 r1은 r₁이다. 이와 같이, 본 출원에 있어서, α를 제1 문자, β를 제2 문자, γ를 숫자로 하여, α^βγ라고 표기한 경우에는, 그 βγ는 β_γ, 즉 β의 아래첨자 γ를 의미한다.

제1 계산부(112)는 z₁ν^-r1을 계산하여 그 계산 결과를 u로 한다(스텝 S34). 계산 결과 u는 제1 멱승 계산부(13)에 보내진다. 여기서, u=z₁ν^-r1=f(x)^bx₁이 된다. 즉, z₁ν^-r1은 f(x)에 대해서 오차 X₁을 가지는 난수화 가능 표본기가 된다. 그 이유에 대해서는 후술한다.

스텝 S6은 도 8에 예시하는 스텝 S61 내지 스텝 S64로 구성된다.

제2 난수 생성부(113)는 0 이상 K_H 미만의 정수의 일양난수 r₂를 생성한다(스텝 S61). 생성된 난수 r₂는 제2 입력 정보 계산부(114)에 보내진다.

제2 입력 정보 계산부(114)는 제2 입력 정보 μ_h ^r2x^a를 계산한다(스텝 S62). 계산된 제2 입력 정보 μ_h ^r2x^a는 제2 출력 정보 계산부(25)에 보내진다.

제2 출력 정보 계산부(25)는 제2 입력 정보 μ_h ^r2x^a를 사용하여 계산을 행하고, 그 계산 결과를 제2 출력 정보 z₂로 한다(스텝 S63). 계산된 제2 출력 정보 z₂는 제2 계산부(115)에 보내진다.

제2 출력 정보 계산부(25)는 f(μ_h ^r2x^a)를 계산 가능하다. 제2 출력 정보 계산부(25)에 의한 계산의 결과가 f(μ_h ^r2x^a)인 것도 있고, f(μ_h ^r2x^a)이 아닌 것도 있다.

제2 계산부(115)는 z₂ν^-r2를 계산하여 그 계산 결과를 v로 한다(스텝 S64). 계산 결과 v는 제2 멱승 계산부(16)에 보내진다. 여기서, v=z₂ν^-r2=f(x)^ax₂가 된다. 즉, z₂ν^-r2는 f(x)에 대해서 오차 X₂를 가지는 난수화 가능 표본기가 된다. 그 이유에 대해서는 후술한다.

제2 실시형태에 있어서도, a=1, b=1일 때는, 제1 난수화 가능 표본기(21) 또는 제2 난수화 가능 표본기(22)에 대신하여, 표본기(23)가 u 또는 v의 값을 계산함으로써 계산량을 삭감해도 된다.

제2 실시형태의 표본기(23)는 도 4에 나타내는 바와 같이 제3 난수 생성부(116), 제3 입력 정보 계산부(117), 제3 출력 정보 계산부(26), 제3 계산부(118)를 예를 들면 포함한다. 제3 난수 생성부(116), 제3 입력 정보 계산부(117) 및 제3 계산부(118)는 의뢰 장치(1)에 포함된다. 제3 출력 정보 계산부(26)는 계산 장치(2)에 포함된다.

a=1, b=1이면 제1 난수화 가능 표본기(21), 제2 난수화 가능 표본기(22)에 대신하여 표본기(23)의 각 부는 이하의 처리를 행한다.

제3 난수 생성부(116)는 0 이상 K_H 미만의 정수의 난수 r₃를 생성한다. 생성된 난수 r₃는 제3 입력 정보 계산부(117)에 보내진다.

제3 입력 정보 계산부(117)는 제3 입력 정보 x^r3를 계산한다. 계산된 제3 입력 정보 x^r3는 제3 출력 정보 계산부(26)에 보내진다.

제3 출력 정보 계산부(26)는 제3 입력 정보 x^r3를 사용하여 계산을 행하고, 그 계산 결과를 제3 출력 정보 z₃로 한다. 계산된 제3 출력 정보 z₃는 제3 계산부(118)에 보내진다.

제3 출력 정보 계산부(26)는 f(x^r3)를 계산 가능하다. 제3 출력 정보 계산부(26)에 의한 계산의 결과가 f(x^r3)인 것도 있고, f(x^r3)가 아닌 것도 있다.

제3 계산부(118)는 z₃ ^1/r3를 계산하여 그 계산 결과를 a=1이면 v로 하고, b=1이면 u로 한다. 계산 결과 v는 제2 멱승 계산부(16)에 보내진다. 계산 결과 u는 제1 멱승 계산부(13)에 보내진다. 여기서, u=v=z₃ ^1/r3=f(x)x₃가 된다. 즉, z₃ ^1/r3는 f(x)에 대해서 오차 X₃를 가지는 표본기가 된다. 그 이유에 대해서는 후술한다.

z₃ ^1/r3의 계산, 즉 z₃의 멱승근의 계산이 곤란한 경우에는 다음과 같이 하여 u 및/또는 v를 계산해도 된다. 제3 계산부(118)는 난수 r₃와 그 난수 r₃에 기초하여 계산된 z₃의 세트를 순차(α₁,β₁), (α₂,β₂), …, (α_m, β_m), …로서 도시하지 않는 기억부에 기억한다. m은 자연수이다. 제3 계산부(118)는 α₁,α₂,…, α_m의 최소공배수가 1이 되면 γ₁,γ₂,…, γ_m을 정수로 하여 γ₁α₁+γ₂α₂+…+γ_mα_m=1이 되는 γ₁,γ₂,…, γ_m을 계산하여, 그 γ, γ₂,…, γ_m을 사용하여 Π_i=1 ^mβ_i ^γi=β₁ ^γ1β₂ ^γ2…β_m ^γm을 계산하고, 그 계산 결과를 u 및/또는 v로 해도 된다.

이와 같이, 난수 r₁,r₂,r₃를 사용하여 x를 교란한 정보를 계산 장치(2)에 보냄으로써, 함수 f의 값의 계산의 대상이 되는 x∈H를 의뢰 장치(1)와 계산 장치(2) 사이의 통신을 방수(傍受)하는 제삼자, 및 계산 장치(2)에 대하여 비닉화할 수 있다.

≪z₁ν^-r1,z₂ν^-r2가 f(x)에 대해서 각각 오차 X₁,X₂를 가지는 난수화 가능 표본기가 되는 이유에 대해서≫

c를 자연수, R 및 R'를 난수로 하여, 계산 장치(2)가 μ_h ^Rx^c를 사용하여 행하는 계산의 계산 결과를 B(μ_h ^Rx^c)(즉, 계산 장치(2)가 의뢰 장치(1)에 되돌리는 계산 결과를 z로 하면, z=B(μ_h ^Rx^c)이다.)로 하고, 군 G에 값을 가지는 확률변수 X를 X=B(μ_h ^R')f(μ_h ^R')^-1로 정의한다.

이 때, zν^-R=B(μ_h ^Rx^c)f(μ_h)^-R=Xf(μ_h ^Rx^c)f(μ_h)^-R=Xf(μ_h)^Rf(x)^cf(μ_h)^-R=f(x)^cX가 된다. 즉, zν^-R은 f(x)에 대해서 오차 X를 가지는 난수화 가능 표본기가 된다.

상기 식 전개에 있어서, X=B(μ_h ^R')f(μ_h ^R')^-1=B(μ_h ^Rx^c)f(μ_h ^Rx^c)^-1이며, B(μ_h ^Rx^c)=Xf(μ_h ^Rx^c)라는 성질을 사용하고 있다. 이 성질은 함수 f가 준동형사상이며, R 및 R'가 난수인 것에 기초한다.

따라서, a, b가 자연수, r₁,r₂가 난수인 것을 고려하면, 마찬가지로 z₁ν^-r1,z₂ν^-r2가 f(x)에 대해서 각각 오차 X₁,X₂를 가지는 난수화 가능 표본기가 되는 것이다.

≪z₃ ^1/r3가 f(x)에 대해서 오차 X₃를 가지는 표본기가 되는 이유에 대해서≫

R 및 R'를 난수로 하여, 계산 장치(2)가 x^R을 사용하여 행하는 계산의 계산 결과를 B(x^R)(즉, 계산 장치(2)가 의뢰 장치(1)에 되돌리는 계산 결과를 z로 하면, z=B(x^R)이다.)로 하고, 군 G에 값을 가지는 확률변수 X를 X=B(x^R)^1/Rf(x)^-1로 정의한다.

이 때, z^1/R=B(x^R)^1/R=Xf(x)=f(x)X가 된다. 즉, z^1/R은 f(x)에 대해서 오차 X를 가지는 표본기가 된다.

상기 식 전개에 있어서, X=B(x^R)^1/Rf(x^R)^-1이며, B(x^R)^1/R=Xf(x^R)이라는 성질을 사용하고 있다. 이 성질은 R 및 R'가 난수인 것에 기초한다.

따라서, r₃가 난수인 것을 고려하면, z^1/R이 f(x)에 대해서 오차 X₃를 가지는 난수화 가능 표본기가 되는 것이다.

[제3 실시형태]

제3 실시형태의 대리 계산 시스템은 제1 난수화 가능 표본기(21) 및 제2 난수화 가능 표본기(22)의 다른 예, 바꾸어 말하면 스텝 S3 및 스텝 S6의 다른 예를 구체화한 것이다. 구체적으로는 H=G×G이며, 함수 f가 ElGamal 암호의 복호함수, 즉 비밀 키 s 및 암호문(c₁,c₂)에 대하여 f(c₁,c₂)=c₁c₂ ^-s인 경우의 제1 난수화 가능 표본기(21) 및 제2 난수화 가능 표본기(22)의 예를 구체화한 것이다. 이하, 제1 실시형태와 상이한 부분을 중심으로 설명하고, 공통되는 부분에 대해서는 중복 설명을 생략한다.

제3 실시형태의 제1 난수화 가능 표본기(21)는 도 5에 나타내는 바와 같이 제4 난수 생성부(119), 제5 난수 생성부(120), 제4 입력 정보 계산부(121), 제5 입력 정보 계산부(122), 제4 출력 정보 계산부(27) 및 제4 계산부(123)를 예를 들면 포함한다. 제2 난수화 가능 표본기(22)는 도 5에 나타내는 바와 같이 제6 난수 생성부(124), 제7 난수 생성부(125), 제6 입력 정보 계산부(126), 제7 입력 정보 계산부(127), 제5 출력 정보 계산부(28) 및 제5 계산부(128)를 예를 들면 포함한다.

제4 난수 생성부(119), 제5 난수 생성부(120), 제4 입력 정보 계산부(121), 제5 입력 정보 계산부(122), 제4 계산부(123), 제6 난수 생성부(124), 제7 난수 생성부(125), 제6 입력 정보 계산부(126), 제7 입력 정보 계산부(127) 및 제5 계산부(128)는 의뢰 장치(1)에 포함된다. 제4 출력 정보 계산부(27) 및 제5 출력 정보 계산부(28)는 계산 장치(2)에 포함된다. 제3 실시형태에서는, 제4 출력 정보 계산부(27) 및 제5 출력 정보 계산부(28)가 계산 장치(2)에 대응한다.

제3 실시형태에서는 x=(c₁,c₂)이며, f(c₁,c₂)는 직적군 G×G로부터 G로의 준동형사상이며, 군 G의 생성원을 μ_g로 하고, 군 G의 위수를 K_G로 하고, 동일한 비밀 키 s에 대한 암호문(V,W)∈H와 그 암호문을 복호한 복호문 f(V,W)=Y∈G를 의뢰 장치(1)과 계산 장치(2)는 사전에 알고 있는 것으로 한다.

제3 실시형태의 스텝 S3는 도 9에 예시하는 스텝 S31' 내지 스텝 S36'로 구성된다.

제4 난수 생성부(119)는 0 이상 K_G 미만의 정수의 일양난수 r₄를 생성한다(스텝 S31'). 생성된 난수 r₄는 제4 입력 정보 계산부(121), 제5 입력 정보 계산부(122) 및 제4 계산부(123)에 보내진다.

제5 난수 생성부(120)는 0 이상 K_G 미만의 정수의 일양난수 r₅를 생성한다(스텝 S32'). 생성된 난수 r₅는 제4 입력 정보 계산부(121) 및 제4 계산부(123)에 보내진다.

제4 입력 정보 계산부(121)는 제4 입력 정보 c₁ ^bV^r4μ_g ^r5를 계산한다(스텝 S33'). 계산된 제4 입력 정보 c₁ ^bV^r4μ_g ^r5는 제4 출력 정보 계산부(27)에 보내진다.

제5 입력 정보 계산부(122)는 제5 입력 정보 c₂ ^bW^r4를 계산한다(스텝 S34'). 계산된 제5 입력 정보 c₂ ^bW^r4는 제4 출력 정보 계산부(27)에 보내진다.

제4 출력 정보 계산부(27)는 제4 입력 정보 c₁ ^bV^r4μ_g ^r5 및 제5 입력 정보 c₂ ^bW^r4를 사용하여 계산을 행하고, 그 계산 결과를 제4 출력 정보 z₄로 한다(스텝 S35').

제4 출력 정보 계산부(27)는 f(c₁ ^bV^r4μ_g ^r5,c₂ ^bW^r4)를 계산 가능하다. 제4 출력 정보 계산부(27)에 의한 계산의 결과가 f(c₁ ^bV^r4μ_g ^r5,c₂ ^bW^r4)인 것도 있고, f(c₁ ^bV^r4μ_g ^r5,c₂ ^bW^r4)이 아닌 것도 있다.

제4 계산부(123)는 z₄Y^-r4μ_g ^-r5를 계산하여 그 계산 결과를 u로 한다(스텝 S36'). 계산 결과 u는 제1 멱승 계산부(13)에 보내진다. 여기서, u=z₄Y^-r4μ_g ^-r5=f(c₁,c₂)^bx₁이 된다. 즉, z₄Y^-r4μ_g ^-r5는 f(c₁,c₂)에 대해서 오차 X₁을 가지는 난수화 가능 표본기가 된다. 그 이유에 대해서는 후술한다.

제3 실시형태의 스텝 S6은 도 10에 예시하는 스텝 S61' 내지 스텝 S66'로 구성된다.

제6 난수 생성부(124)는 0 이상 K_G 미만의 정수의 일양난수 r₆를 생성한다(스텝 S61'). 생성된 난수 r₆는 제6 입력 정보 계산부(126), 제7 입력 정보 계산부(127) 및 제5 계산부(128)에 보내진다.

제7 난수 생성부(125)는 0 이상 K_G 미만의 정수의 일양난수 r₇을 생성한다(스텝 S62'). 생성된 난수 r₇은 제6 입력 정보 계산부(126) 및 제5 계산부(128)에 보내진다.

제6 입력 정보 계산부(126)는 제6 입력 정보 c₁ ^aV^r6μ_g ^r7을 계산한다(스텝 S63'). 계산된 제6 입력 정보 c₁ ^aV^r6μ_g ^r7은 제5 출력 정보 계산부(28)에 보내진다.

제7 입력 정보 계산부(127)는 제7 입력 정보 c₂ ^aW^r6를 계산한다(스텝 S64'). 계산된 제7 입력 정보 c₂ ^aW^r6는 제5 출력 정보 계산부(28)에 보내진다.

제5 출력 정보 계산부(28)는 상기 제6 입력 정보 c₁ ^aV^r6μ_g ^r7 및 상기 제7 입력 정보 c₂ ^aW^r6를 사용하여 계산을 행하고, 그 계산 결과를 제5 출력 정보 z₅로 한다(스텝 S65'). 계산된 제5 출력 정보 z₅는 제5 계산부(128)에 보내진다.

제5 출력 정보 계산부(28)는 f(c₁ ^aV^r6μ_g ^r7,c₂ ^aW^r6)를 계산 가능하다. 제5 출력 정보 계산부(28)에 의한 계산의 결과가 f(c₁ ^aV^r6μ_g ^r7,c₂ ^aW^r6)인 것도 있고, f(c₁ ^aV^r6μ_g ^r7,c₂ ^aW^r6)가 아닌 것도 있다.

제5 계산부(128)는 z₅Y^-r6μ_g ^-r7을 계산하여 그 계산 결과를 v로 한다(스텝 S66'). 계산 결과 v는 제2 멱승 계산부(16)에 보내진다. 여기서, v=z₅Y^-r6μ_g ^-r7=f(c₁,c₂)^ax₂가 된다. 즉, z₅Y^-r6μ_g ^-r7은 f(c₁,c₂)에 대해서 오차 X₂를 가지는 난수화 가능 표본기가 된다. 그 이유에 대해서는 후술한다.

≪z₄Y^-r4μ_g ^-r5,z₅Y^-r6μ_g ^-r7이 f(c₁,c₂)에 대해서 각각 오차 X₁,X₂를 가지는 난수화 가능 표본기가 되는 이유에 대해서≫

c를 자연수, R₁, R₂, R₁' 및 R₂'를 난수로 하여, 계산 장치(2)가 c₁ ^cV^R1μ_g ^R2 및 c₂ ^cW^R1을 사용하여 행하는 계산의 계산 결과를 B(c₁ ^cV^R1μ_g ^R2,c₂ ^cW^R1)(즉, 계산 장치(2)가 의뢰 장치(1)에 되돌리는 계산 결과를 z로 하면, z=B(c₁ ^cV^R1μ_g ^R2,c₂ ^cW^R1)이다.)로 하고, 군 G에 값을 가지는 확률변수 X를 X=B(V^R1'μ_g ^R2',W^R1')f(V^R1'μ_g ^R2',W^R1')^-1로 정의한다.

이 때, zY^-R1μ_g ^-R2=B(c₁ ^cV^R1μ_g ^R2,c₂ ^cW^R1)Y^-R1μ_g ^-R2=Xf(c₁ ^cV^R1μ_g ^R2,c₂ ^cW^R1)Y^-R1μ_g ^-R2=Xf(c₁,c₂)^cf(V,W)^R1f(μ_g,e_g)^R2Y^-R1μ_g ^-R2=Xf(c₁,c₂)^cY^R1μ_g ^R2Y^-R1μ_g ^-R2=f(c₁,c₂)^cX가 된다. 즉, zY^-R1μ_g ^-R2는 f(x)에 대해서 오차 X를 가지는 난수화 가능 표본기가 된다. 또한, e_g는 군 G의 단위원이다.

상기 식 전개에 있어서, X=B(V^R1'μ_g ^R2',W^R1')f(V^R1'μ_g ^R2',W^R1')^-1=B(c₁ ^cV^R1μ_g ^R2,c₂ ^cW^R1)f(c₁ ^cV^R1μ_g ^R2,c₂ ^cW^R1)이며, B(c₁ ^cV^R1μ_g ^R2,c₂ ^cW^R1)=Xf(c₁ ^cV^R1μ_g ^R2,c₂ ^cW^R1)라는 성질을 사용하고 있다. 이 성질은 R₁, R₂, R₁' 및 R₂'가 난수인 것에 기초한다.

따라서, a, b가 자연수, r₄,r₅,r₆ 및 r₇이 난수인 것을 고려하면, 마찬가지로 z₄Y^-r4μ_g ^-r5,z₅Y^-r6μ_g ^-r7이 f(c₁,c₂)에 대해서 각각 오차 X₁,X₂를 가지는 난수화 가능 표본기가 되는 것이다.

[제1 실시형태 내지 제3 실시형태의 변형예 등]

확률변수 X₁, X₂ 및 X₃는 동일해도 되고 상이해도 된다.

제1 난수 생성부(110), 제2 난수 생성부(113), 제3 난수 생성부(116), 제4 난수 생성부(119), 제5 난수 생성부(120), 제6 난수 생성부(124) 및 제7 난수 생성부(125)의 각각은 일양난수를 생성함으로써, 대리 계산 시스템의 안전성이 가장 높아진다. 그러나, 요구하는 안전성의 레벨이 그다지 높지 않은 경우에는, 제1 난수 생성부(110), 제2 난수 생성부(113), 제3 난수 생성부(116), 제4 난수 생성부(119), 제5 난수 생성부(120), 제6 난수 생성부(124) 및 제7 난수 생성부(125)의 각각은 일양난수가 아닌 난수를 생성해도 된다.

상기한 예에서는 제1 난수화 가능 표본기(21), 제2 난수화 가능 표본기(22)를 1회씩 호출하고 있지만, 의뢰 장치(1)와 계산 장치(2) 사이의 통신 횟수를 줄이기 위해서, 동일한 a, b에 대하여 제1 난수화 가능 표본기(21), 제2 난수화 가능 표본기(22)를 복수회 호출하여, 의뢰 장치(1)가 1회의 통신으로 복수의 u, v를 취득할 수 있도록 해도 된다.

제1 난수화 가능 표본기(21), 제2 난수화 가능 표본기(22) 및 표본기(23)의 각 부는 의뢰 장치(1)에 배치해도 되고, 계산 장치(2)에 배치해도 된다. 즉, 제1 실시형태와 같이 각 부의 전부를 계산 장치(2)에 배치해도 되고, 예를 들면 제2 실시형태 및 제3 실시형태와 같이 의뢰 장치(1) 및 계산 장치(2)에 나누어서 배치해도 된다.

의뢰 장치(1)의 각 부 사이의 데이터의 교환은 직접 행해져도 되고, 도시하지 않는 기억부를 통하여 행해져도 된다. 마찬가지로 계산 장치(2)의 각 부 사이의 데이터의 교환은 직접 행해져도 되고, 도시하지 않는 기억부를 통하여 행해져도 된다.

의뢰 장치(1) 및 계산 장치(2)의 각각은 컴퓨터에 의해 실현할 수 있다. 이 경우, 이 장치가 가져야 할 각 기능의 처리 내용은 프로그램에 의해 기술된다. 그리고, 이 프로그램을 컴퓨터로 실행함으로써, 이 장치에 있어서의 각 처리 기능이 컴퓨터상에서 실현된다.

이 처리 내용을 기술한 프로그램은 컴퓨터로 판독 가능한 기록 매체에 기록해 둘 수 있다. 또, 이 형태에서는, 컴퓨터상에서 소정의 프로그램을 실행시킴으로써, 이들 장치를 구성하는 것으로 했지만, 이들 처리 내용의 적어도 일부를 하드웨어적으로 실현하는 것으로 해도 된다.

[제4 실시형태]

제4 실시형태 내지 제10 실시형태는 의뢰 장치(1')가 계산 장치(2')에 의뢰한 계산의 결과를 사용하여 θ(g, h)를 계산하는 것이다.

제4 실시형태의 대리 계산 시스템은 도 11에 예시하는 바와 같이 의뢰 장치(1') 및 계산 장치(2')를 포함하고, 의뢰 장치(1')가 계산 장치(2')에 의뢰한 계산의 결과를 사용하여 쌍준동형사상 θ(g, h)를 계산한다.

여기서, G, H 및 F를 순회군으로 하고, 사상 θ:G×H→F를 쌍준동형사상으로 하고, g를 군 G의 원소로 하고, h를 군 H의 원소로 하고, K_G를 군 G의 위수로 하고, K_H를 군 H의 위수로 하고, μ_g를 군 G의 생성원으로 하고, μ_h를 군 H의 생성원으로 하고, ν=θ(μ_g, μ_g)로 하고, k를 1 이상의 정수의 세큐리티 파라미터로 하고, K=2^k로 한다.

쌍준동형사상은 2개의 입력의 각각에 대하여 준동형인 사상을 의미한다. 이 예에서는, 사상 θ(g, h)는 군 G의 원소 g에 대하여 준동형이며, 또한 군 H의 원소 h에 대하여 준동형이다.

의뢰 장치(1')와 계산 장치(2') 사이에는 통신로가 확립되어 있고, 의뢰 장치(1') 및 계산 장치(2')는 쌍방향으로 통신 가능하다. 이 통신로는 비밀로 유지되어 있을 필요는 없고, 제삼자가 이 통신로를 흐르는 정보를 방수할 수 있어도 된다.

의뢰 장치(1')는 신뢰할 수 없는 계산 장치(2')에 난수에 의해 교란한 정보를 송신하고, 계산 장치(2')는 그 교란된 정보를 사용하여 일정한 알고리즘에 따라서 계산을 행하고, 그 계산 결과를 의뢰 장치(1')에 반신한다. 이 계산 장치(2')로의 정보의 송수신을 반복함으로써, 의뢰 장치(1')는 최종적으로 θ(g, h)를 계산한다.

의뢰 장치(1')는 우선 스텝 S11' 내지 스텝 S125'(도 15)의 처리에 의해 θ(g, μh)와 동등한 정보(σ, ν')를 계산하고, 그 θ(g, μ_h)와 동등한 정보(σ, ν')를 사용하여 스텝 S21' 내지 스텝 S225'의 처리에 의해 θ(g, μ)를 계산한다.

의뢰 장치(1')는 도 12 및 도 13에 예시하는, 제1 난수 생성부(11'), 제2 난수 생성부(12'), 제1 입력 정보 계산부(13'), 제2 입력 정보 계산부(14'), 제1 리스트 정보 계산부(15'), 제1 리스트 기억부(16'), 수신부(17'), 송신부(18'), 제4 난수 생성부(21'), 제5 난수 생성부(22'), 제3 입력 정보 계산부(23'), 제4 입력 정보 계산부(24'), 제2 리스트 정보 계산부(25'), 제2 리스트 기억부(26'), 제3 난수 생성부(27'), 제1 판정부(28'), 제6 난수 생성부(31'), 제7 난수 생성부(32'), 제5 입력 정보 계산부(33'), 제6 입력 정보 계산부(34'), 제3 리스트 정보 계산부(35'), 제3 리스트 기억부(36'), 제9 난수 생성부(41'), 제10 난수 생성부(42'), 제7 입력 정보 계산부(43'), 제8 입력 정보 계산부(44'), 제4 리스트 정보 계산부(45'), 제4 리스트 계산부(46'), 제8 난수 생성부(47') 및 제2 판정부(48')를 예를 들면 포함한다.

계산 장치(2')는 도 14에 예시하는 바와 같이 수신부(51'), 송신부(52'), 제1 출력 정보 계산부(53'), 제2 출력 정보 계산부(54'), 제3 출력 정보 계산부(55') 및 제4 출력 정보 계산부(56')를 예를 들면 포함한다.

<스텝 S11'(도 15)>

제1 난수 생성부(11')는 0 이상 K_G 미만의 정수의 일양난수인 r₁을 생성한다(스텝 S11'). 생성된 난수 r₁은 제1 입력 정보 계산부(13') 및 제1 리스트 정보 계산부(15')에 보내진다.

<스텝 S12'>

제2 난수 생성부(12')는 0 이상 K_H 미만의 정수의 일양난수인 r₂를 생성한다(스텝 S12'). 생성된 난수 r₂는 제2 입력 정보 계산부(14'), 제1 리스트 정보 계산부(15') 및 제1 리스트 기억부(16')에 보내진다.

<스텝 S13'>

제1 입력 정보 계산부(13')는 제1 입력 정보 g₁=μ_g ^r1g를 계산한다(스텝 S13'). 계산된 g₁은 송신부(18')에 보내진다.

여기서, μ_g의 우측 상단의 r1은 r₁이다. 이와 같이, 본 출원에 있어서, α를 제1 문자, β를 제2 문자, γ를 숫자로 하여, α^βγ로 표기한 경우에는 그 βγ는 β_γ, 즉 β의 아래첨자 γ를 의미한다.

또, g₁=μ_g ^r1g를 계산하는 것은 μ_g ^r1g라는 식으로 정의되는 g₁의 값을 계산하는 것이다. 식 μ_g ^r1g의 값을 최종적으로 계산할 수 있으면, 도중의 계산 방법은 상관없다. 이것은 본 출원에서 등장하는 다른 식의 계산에 대해서도 마찬가지이다.

<스텝 S14'>

제2 입력 정보 계산부(14')는 제2 입력 정보 h₁=μ_h ^r2를 계산한다(스텝 S14'). 계산된 h₁은 송신부(18')에 보내진다.

<스텝 S15'>

송신부(18')는 제1 입력 정보 g₁ 및 제2 입력 정보 h₁을 계산 장치(2')에 송신한다(스텝 S15').

<스텝 S16'>

계산 장치(2')의 수신부(51')(도 14)는 제1 입력 정보 g₁ 및 제2 입력 정보 h₁을 수신한다(스텝 S16').

<스텝 S17'>

제1 출력 정보 계산부(53')는 제1 입력 정보 g₁ 및 제2 입력 정보 h₁을 사용하여 계산을 행하고, 그 계산 결과를 제1 출력 정보 z₁로 한다(스텝 S17'). z₁은 송신부(52')에 보내진다.

제1 출력 정보 계산부(53')는 θ(g₁,h₁)를 계산 가능하다. 제1 출력 정보 계산부(53')에 의한 계산의 결과가 θ(g₁,h₁)인 것도 있고, θ(g₁,h₁)가 아닌 것도 있다.

본 출원에 있어서, 계산 가능하다는 것은 무시할 수 없는 확률로 계산할 수 있는 것을 의미한다. 무시할 수 없는 확률은 세큐리티 파라미터 k에 대한 광의단조증가함수인 다항식을 다항식 f(k)로 하여 1/f(k) 이상의 확률이다.

<스텝 S18'>

송신부(52')는 제1 출력 정보 z₁을 의뢰 장치(1')에 송신한다(스텝 S18').

<스텝 S19'>

의뢰 장치(1')의 수신부(17')(도 12)는 제1 출력 정보 z₁을 수신한다(스텝 S19'). 수신한 제1 출력 정보 z₁은 제1 리스트 정보 계산부(15')에 보내진다. 여기서는 제1 출력 정보 z₁은 군 F의 원소인 것으로 한다.

<스텝 S110'>

제1 리스트 정보 계산부(15')는 난수 r₁, 난수 r₂ 및 제1 출력 정보 z₁을 사용하여, z₁ν^-r1r2를 계산한다(스텝 S110'). 계산된 z₁ν^-r1r2는 제1 리스트 기억부(16')에 보내진다.

<스텝 S111'>

난수 r₂와, z₁ν^-r1r2로 구성되는 정보의 세트(r₂,z₁ν^-r1r2)가 리스트 L₁에 추가된다. 이 예에서는 제1 리스트 기억부(16')에 정보의 세트(r₂,z₁ν^-r1r2)가 기억된다(스텝 S111').

<스텝 S112'>

제3 난수 생성부(27')는 0 이상 K 미만의 정수의 일양난수인 d₁을 생성한다(스텝 S112'). 생성된 난수 d₁은 제3 입력 정보 계산부(23') 및 제2 리스트 기억부(26')에 보내진다.

<스텝 S113'>

제4 난수 생성부(21')는 0 이상 K_G 미만의 정수의 일양난수인 r₄를 생성한다(스텝 S113'). 생성된 난수 r₄는 제3 입력 정보 계산부(23') 및 제2 리스트 정보 계산부(25')에 보내진다.

<스텝 S114'>

제5 난수 생성부(22')는 0 이상 K_H 미만의 정수의 일양난수인 r₅를 생성한다(스텝 S114'). 생성된 난수 r₅는 제4 입력 정보 계산부(24'), 제2 리스트 정보 계산부(25') 및 제2 리스트 기억부(26')에 보내진다.

<스텝 S115'>

제3 입력 정보 계산부(23')는 제3 입력 정보 g₂=μ_g ^r4g^d1을 계산한다(스텝 S115'). 계산된 제3 입력 정보 g₂는 송신부(18')에 보내진다.

<스텝 S116'>

제4 입력 정보 계산부(24')는 제4 입력 정보 h₂=μ_h ^r5를 계산한다(스텝 S116'). 계산된 제4 입력 정보 h₂는 송신부(18')에 보내진다.

<스텝 S117'>

송신부(18')는 제3 입력 정보 g₂ 및 제4 입력 정보 h₂를 계산 장치(2')에 송신한다(스텝 S117').

<스텝 S118'>

계산 장치(2')의 수신부(51')(도 14)는 제3 입력 정보 g₂ 및 제4 입력 정보 h₂를 수신한다(스텝 S118').

<스텝 S119'>

제2 출력 정보 계산부(54')는 제3 입력 정보 g₂ 및 제4 입력 정보 h₂를 사용하여 계산을 행하고, 그 계산 결과를 제2 출력 정보 z₂로 한다(스텝 S119'). z₂는 송신부(52')에 보내진다.

제2 출력 정보 계산부(54')는 θ(g₂,h₂)를 계산 가능하다. 제2 출력 정보 계산부(54')에 의한 계산의 결과가 θ(g₂,h₂)인 것도 있고, θ(g₂,h₂)가 아닌 것도 있다.

<스텝 S120'>

송신부(52')는 제2 출력 정보 z₂를 의뢰 장치(1')에 송신한다(스텝 S120').

<스텝 S121'>

의뢰 장치(1')의 수신부(17')(도 12)는 제2 출력 정보 z₂를 수신한다(스텝 S121'). 수신한 제2 출력 정보 z₂는 제2 리스트 정보 계산부(25')에 보내진다. 여기서는 제2 출력 정보 z₂는 군 F의 원소인 것으로 한다.

<스텝 S122'>

제2 리스트 정보 계산부(25')는 난수 r₄, 난수 r₅ 및 제2 출력 정보 z₂를 사용하여, z₂ν^-r4r5를 계산한다(스텝 S122'). 계산된 z₂ν^-r4r5는 제2 리스트 기억부(26')에 보내진다.

<스텝 S123'>

난수 d₁과, 난수 r₅와, z₂ν^-r4r5로 구성되는 정보의 세트(d₁,r₅,z₂ν^-r4r5)가 리스트 L₂에 추가된다. 이 예에서는 제2 리스트 기억부(26')에는 정보의 세트(d₁,r₅,z₂ν^-r4r5)가 기억된다(스텝 S123').

<스텝 S124'>

제1 판정부(28')는 제1 리스트 기억부(16')로부터 읽어들인 정보의 세트의 제1 성분을 s₁으로 하고, 제2 성분을 w₁으로 하고, 제2 리스트 기억부(26')로부터 읽어들인 정보의 세트의 제1 성분을 t₂로 하고, 제2 성분을 s₂로 하고, 제3 성분을 w₂로 하여, 이들의 정보의 세트가 (w₁)^(t₂s₂s₁ ^-1)=w₂의 관계를 만족시키는지를 판정한다(스텝 S124').

제1 판정부(28')는 제1 리스트 기억부(16') 및 제2 리스트 기억부(26')에 복수의 정보의 세트가 기억되어 있는 경우에는, 제1 리스트 기억부(16')에 기억된 정보의 세트(r₂,z₁ν^-r1r2)와, 제2 리스트 기억부(26')에 기억된 정보의 세트(d₁,r₅,z₂ν^-r4r5)로 구성되는 모든 정보의 페어에 대해서, 상기 관계를 만족하는지 여부를 판정한다. 물론, 이미 상기 관계를 만족하는지 여부를 판정한 정보의 페어에 대해서는 그 판정 처리를 생략해도 된다.

<스텝 S125'>

제1 판정부(28')는 상기한 관계를 만족하는 경우에는 s₁을 σ에 대입하고, w₁을 ν'에 대입한다(스텝 S125'). 여기서, ν'^1/σ=w₁ ^1/σ=θ(g, μ_h)가 된다. ν'^1/σ=θ(g, μ_h)가 되는 이유에 대해서는 후술한다.

상기한 관계를 만족하지 않는 경우에는 스텝 S11'로 되돌아간다.

<스텝 S21'(도 16)>

제6 난수 생성부(31')는 0 이상 K_G 미만의 정수의 일양난수인 r₆를 생성한다(스텝 S21'). 생성된 난수 r₆는 제5 입력 정보 계산부(33'), 제3 리스트 정보 계산부(35') 및 제3 리스트 기억부(36')에 보내진다.

<스텝 S22'>

제7 난수 생성부(32')는 0 이상 K_H 미만의 정수의 일양난수인 r₇을 생성한다(스텝 S22'). 생성된 난수 r₇은 제6 입력 정보 계산부(34') 및 제3 리스트 정보 계산부(35')에 보내진다.

<스텝 S23'>

제5 입력 정보 계산부(33')는 제5 입력 정보 g₃=μ_g ^r6를 계산한다(스텝 S23'). 계산된 g₃는 송신부(18')에 보내진다.

<스텝 S24'>

제6 입력 정보 계산부(34')는 제6 입력 정보 h₃=μ_h ^r7σh를 계산한다(스텝 S24'). 계산된 h₃는 송신부(18')에 보내진다.

<스텝 S25'>

송신부(18')는 제5 입력 정보 g₃ 및 제6 입력 정보 h₃를 계산 장치(2')에 송신한다(스텝 S25').

<스텝 S26'>

계산 장치(2')의 수신부(51')(도 14)는 제5 입력 정보 g₃ 및 제6 입력 정보 h₃를 수신한다(스텝 S26').

<스텝 S27'>

제3 출력 정보 계산부(55')는 제5 입력 정보 g₃ 및 제6 입력 정보 h₃를 사용하여 계산을 행하고, 그 계산 결과를 제3 출력 정보 z₃로 한다(스텝 S27'). z₃는 송신부(52')에 보내진다.

제3 출력 정보 계산부(55')는 θ(g₃,h₃)를 계산 가능하다. 제3 출력 정보 계산부(55')에 의한 계산의 결과가 θ(g₃,h₃)인 것도 있고, θ(g₃,h₃)가 아닌 것도 있다.

<스텝 S28'>

송신부(52')는 제3 출력 정보 z₃를 의뢰 장치(1')에 송신한다(스텝 S28').

<스텝 S29'>

의뢰 장치(1')의 수신부(17')(도 13)는 제3 출력 정보 z₃를 수신한다(스텝 S29'). 수신한 제3 출력 정보 z₃는 제3 리스트 정보 계산부(35')에 보내진다. 여기서는 제3 출력 정보 z₃는 군 F의 원소인 것으로 한다.

<스텝 S210'>

제3 리스트 정보 계산부(35')는 난수 r₆, 난수 r₇ 및 제3 출력 정보 z₃를 사용하여, z₃ν'^-r6r7을 계산한다(스텝 S210'). 계산된 z₃ν'^-r6r7은 제3 리스트 기억부(36')에 보내진다.

<스텝 S211'>

난수 r₆와, z₃ν'^-r6r7로 구성되는 정보의 세트(r₆,z₃ν'^-r6r7)가 리스트 L₃에 추가된다. 이 예에서는 제3 리스트 기억부(36')에 정보의 세트(r₆,z₃ν'^-r6r7)가 기억된다(스텝 S211').

<스텝 S212'>

제8 난수 생성부(47')는 0 이상 K 미만의 정수의 일양난수인 d₂를 생성한다(스텝 S212'). 생성된 난수 d₂는 제8 입력 정보 계산부(44') 및 제4 리스트 기억부(46')에 보내진다.

<스텝 S213'>

제9 난수 생성부(41')는 0 이상 K_G 미만의 정수의 일양난수인 r₉을 생성한다(스텝 S213'). 생성된 난수 r₉은 제7 입력 정보 계산부(43'), 제4 리스트 정보 계산부(45') 및 제4 리스트 기억부(46')에 보내진다.

<스텝 S214'>

제10 난수 생성부(42')는 0 이상 K_H 미만의 정수의 일양난수인 r₁₀을 생성한다(스텝 S214'). 생성된 난수 r₁₀은 제8 입력 정보 계산부(44'), 제4 리스트 정보 계산부(45') 및 제4 리스트 기억부(46')에 보내진다.

<스텝 S215'>

제7 입력 정보 계산부(43')는 제7 입력 정보 g₄=g^r9을 계산한다(스텝 S215'). 계산된 제7 입력 정보 g₄는 송신부(18')에 보내진다.

<스텝 S216'>

제8 입력 정보 계산부(44')는 제8 입력 정보 h₄=μ_h ^r10σh^d2를 계산한다(스텝 S216'). 계산된 제8 입력 정보 h₄는 송신부(18')에 보내진다.

<스텝 S217'>

송신부(18')는 제7 입력 정보 g₄ 및 제8 입력 정보 h₄를 계산 장치(2')에 송신한다(스텝 S217').

<스텝 S218'>

계산 장치(2')의 수신부(51')(도 14)는 제7 입력 정보 g₄ 및 제8 입력 정보 h₄를 수신한다(스텝 S218').

<스텝 S219'>

제4 출력 정보 계산부(56')는 제7 입력 정보 g₄ 및 제8 입력 정보 h₄를 사용하여 계산을 행하고, 그 계산 결과를 제4 출력 정보 z₄로 한다(스텝 S219'). z₄는 송신부(52')에 보내진다.

제4 출력 정보 계산부(56')는 θ(g₄,h₄)를 계산 가능하다. 제4 출력 정보 계산부(56')에 의한 계산의 결과가 θ(g₄,h₄)인 것도 있고, θ(g₄,h₄)가 아닌 것도 있다.

<스텝 S220'>

송신부(52')는 제4 출력 정보 z₄를 의뢰 장치(1')에 송신한다(스텝 S220').

<스텝 S221'>

의뢰 장치(1')의 수신부(17')(도 12)는 제4 출력 정보 z₄를 수신한다(스텝 S221'). 수신한 제4 출력 정보 z₄는 제4 리스트 정보 계산부(45')에 보내진다. 여기서는 제4 출력 정보 z₄는 군 F의 원소인 것으로 한다.

<스텝 S222'>

제4 리스트 정보 계산부(45')는 난수 r₉, 난수 r₁₀ 및 제4 출력 정보 z₄를 사용하여, z₄ν'^-r9r10을 계산한다(스텝 S222'). 계산된 z₄ν'^-r9r10은 제4 리스트 기억부(46')에 보내진다.

<스텝 S223'>

난수 d₂와, 난수 r₉과, z₄ν^-r9r10으로 구성되는 정보의 세트(d₂,r₉,z₄ν'^-r9r10)가 리스트 L₄에 추가된다. 이 예에서는 제4 리스트 기억부(46')에 정보의 세트(d₂,r₉,z₄ν'^-r9r10)가 기억된다(스텝 S223').

<스텝 S224'>

제2 판정부(48')는 제3 리스트 기억부(36')로부터 읽어들인 정보의 세트의 제1 성분을 s₃로 하고, 제2 성분을 w₃로 하고, 제4 리스트 기억부(46')로부터 읽어들인 정보의 세트의 제1 성분을 t₄로 하고, 제2 성분을 s₄로 하고, 제3 성분을 w₄로 하여, 이들의 정보의 세트가 (w₃)^(t₄s₄s₃ ^-1)=w₄의 관계를 만족시키는지를 판정한다(스텝 S224').

제2 판정부(48')는 제3 리스트 기억부(36') 및 제4 리스트 기억부(46')에 복수의 정보의 세트가 기억되어 있는 경우에는 제3 리스트 기억부(36')에 기억된 정보의 세트(r₆,z₃ν'^-r6r7)와, 제4 리스트 기억부(46')에 기억된 정보의 세트(d₂,r₉,z₄ν'^-r9r10)로 구성되는 모든 정보의 페어에 대해서, 상기 관계를 만족하는지 여부를 판정한다. 물론, 이미 상기 관계를 만족하는지 여부를 판정한 정보의 페어에 대해서는 그 판정 처리를 생략해도 된다.

<스텝 S225'>

제2 판정부(48')는 상기한 관계를 만족하는 경우에는 (w₃)^(s₃ ^-1)을 출력한다(스텝 S225'). 여기서, (w₃)^(s₃ ^-1)=θ(g, h)가 된다. (w₃)^(s₃ ^-1)=θ(g, h)가 되는 이유에 대해서는 후술한다.

상기한 관계를 만족하지 않는 경우에는 스텝 S21'로 되돌아간다.

(w₃)^(s₃ ^-1)의 계산, 즉 w₃의 멱승근의 계산이 곤란한 경우에는 다음과 같이 하여 θ(g, h)를 용이하게 계산할 수 있다. 제2 판정부(48')는 스텝 S21' 내지 스텝 S224'의 처리를 반복하여 (w₃)^(t₄s₄s₃ ^-1)=w₄의 관계를 만족하는 w₃와 s₃의 세트(w₃,s₃)를 순차(α₁,S₁), (α₂,S₂), …, (α_m, S_m), …로서 기억부(410')에 기억한다. m은 자연수이다. 제2 판정부(48')는 S₁과 서로 소가 되는 S_m이 발견되면, L₁과 L₂를 정수로 하여 L₁S₁+L₂S_m=1이 되는 L₁ 및 L₂를 계산하고, 그 L₁ 및 L₂를 사용하여 α₁ ^L1α_m ^L2를 계산한다. α₁ ^L1α_m ^L2=θ(g, h)^(L1S1+L2S2)=θ(g, h)가 된다. 또, 제2 판정부(48')는 S₁,S₂,…, S_m의 최소공배수가 1이 되면, L₁,L₂,…, L_m을 정수로 하여 L₁S₁+L₂S₂+…+L_mS_m=1이 되는 L₁,L₂,…, L_m을 계산하여, 그 L₁,L₂,…, L_m을 사용하여 α₁ ^L1α₂ ^L2…α_m ^Lm을 계산해도 된다. α₁ ^L1α₂ ^L2…α_m ^Lm=θ(g, h)^{(L1S1+L2S2+…+LmSm)}=θ(g, h)가 된다.

의뢰 장치(1')와 계산 장치(2') 사이의 통신을 방수할 수 있는 공격자 M이 있다고 해도, 의뢰 장치(1') 및 계산 장치(2') 사이에서 통신되는 정보를 의뢰 장치(1')만이 아는 난수(예를 들면, r₁,r₂)로 교란함으로써, 공격자 M으로부터 비닉할 수 있다.

또, 의뢰 장치(1') 및 계산 장치(2') 사이에서 통신되는 정보는 의뢰 장치(1')만이 아는 r₁,r₂ 등의 난수로 교란되어 있기 때문에, 계산 장치(2')는 의뢰 장치(1')가 최종적으로 계산하고자 하는 θ(g, h)는 물론 그 입력인 g 및 h도 알 수는 없다.

따라서, 계산 장치(2')는 신뢰할 수 있는 계산기일 필요는 없고, 쌍준동형사상을 계산하기 위한 시스템의 구성 요건을 완화할 수 있다. 또, 신뢰할 수 있는 계산기는 일반적으로 고가여서 운용에 비용을 필요로 하지만, 계산 장치(2')가 신뢰할 수 있는 계산기일 필요가 없기 때문에, 쌍준동형사상을 계산하기 위한 시스템의 구축 및 운용의 비용을 삭감할 수 있다.

≪ν'^1/σ=θ(g, μ_h)가 되는 이유에 대해서≫

우선, randomizable sampler라고 불리는 확률변수 S_X(d)에 대해서 설명한다. w∈F에 관한 오차 X의 randomizable sampler인 확률변수 S_X(d)는 S_X(d)=w^dX이다. d는 자연수이다.

여기서, R₁,R₂,R₁' 및 R₂'를 난수로 하여, 계산 장치가 g^dμ_g ^R1 및 μ_h ^R2를 사용하여 행하는 계산의 계산 결과를 B(g^dμ_g ^R1,μ_h ^R2)(계산 장치가 의뢰 장치에 되돌리는 계산 결과를 z로 하면, z=B(g^dμ_g ^R1,μ_h ^R2)이다.)로 하고, 군 F에 값을 가지는 확률변수 X를 X=B(μ_g ^R'1,μ_h ^R'2)^1/R'2θ(μ_g ^R'1,μ_h)^-1로 정의하면, S_X(d)=z^(1/R2)ν^-R1은 θ(g, μ_h)에 관한 오차 X의 randomizable sampler가 된다.

S_X(d)=z^(1/R2)ν^-R1=B(g^dμ_g ^R1,μ_h ^R2)^1/R2θ(μ_g, μ_h)^-R1=Xθ(g^dμ_g ^R1,μ_h)θ(μ_g ^R1,μ_h)^-1=Xθ(g^d, μ_h)θ(μ_g ^R1,μ_h)θ(μ_g ^R1,μ_h)^-1=θ(g, μ_h)^dX이기 때문이다.

상기 식 전개에 있어서, X=B(μ_g ^R'1,μ_h ^R'2)^1/R'2θ(μ_g ^R'1,μ_h)^-1=B(g^dμ_g ^R1,μ_h ^R2)^1/R2θ(g^dμ_g ^R1,μ_h)^-1이며, B(g^dμ_g ^R1,μ_h ^R2)^1/R2=Xθ(g^dμ_g ^R1,μ_h)라는 성질을 사용하고 있다. 이 성질은 R₁,R₂,R₁' 및 R₂'가 난수인 것에 기초한다.

여기서 S_X(1)의 실현값을 θ(g, μ_h)¹x₁로 표기하고, S_X(d)의 실현값을 θ(g, μ_h)^dx₂로 표기하는 것으로 하여, S_X(1)의 실현값의 d승=S_X(d)의 실현값, 즉 (θ(g, μ_h)¹x₁)^d=θ(g, μ_h)^dx₂가 되는 것은 x₁ 및 x₂가 군 F의 단위원 e_f일 때일 가능성이 매우 높은 것을 발명자는 알아냈다. 여기서는 그 증명은 생략한다. x₁이 군 F의 단위원 e_f일 때, S_X(1)의 실현값=θ(g, μ_h)¹x₁=θ(g, μ_h)가 된다.

상기 실시형태의 대리 계산 시스템은 이 randomizable sampler의 성질을 사용하고 있다.

스텝 S11' 내지 스텝 S111'의 처리가 S_X(1)의 실현값 θ(g, μ_h)¹x₁의 계산에 대응하고 있다. 실제로는 S_X(1)의 실현값 자체는 계산하고 있지 않지만, 동 처리에 의해 얻어지는 (r₂,z₁ν^-r1r2)을 사용하여, z₁ν^-r1r2를 1/r₂승하면, (z₁ν^-r1r2)^1/r2=z₁ ^1/r2ν^-r1이 되고, S_X(1)의 실현값 θ(g, μ_h)¹x₁이 된다. 마찬가지로 스텝 S112' 내지 스텝 S123'의 처리가 S_X(d₁)의 실현값 θ(g, μ_h)^d1x₂의 계산에 대응하고 있다.

또, 스텝 S124'의 처리가 S_X(1)의 실현값의 d₁승=S_X(d₁), 즉 (θ(g, μ_h)¹x₁)^d1=θ(g, μ_h)^d1x₂인지 여부의 판정에 대응하고 있다. 스텝 S124'에서 사용하는 판정 조건 (w₁)^(t₂s₂s₁ ^-1)은 (w₁)^(t₂s₂s₁ ^-1)=w₂⇔(w₁ ^1/s1)^t2=w₂ ^1/s2⇔(z₁ ^1/r2ν^-r1)^d1=z₂ ^1/r5ν^-r4⇔(θ(g, μ_h)¹x₁)^d1=θ(g, μ_h)^d1x₂⇔S_X(1)의 실현값의 d₁승=S_X(d₁)의 실현값이기 때문이다. 여기서, 정의로부터 s₁=r₂, w₁=z₁ν^-r1r2, t₂=d₁, s₂=r₅, w₂=z₂ν^-r4r5이다.

또한, 스텝 S125'에 있어서의 σ 및 ν'가 θ(g, μ_h)에 대응하고 있다. 상기한 바와 같이 S_X(1)의 실현값의 d₁승=S_X(d₁)의 실현값일 때, ν'^1/σ=w₁ ^1/s1=z₁ ^1/r2ν^-r1=θ(g, μ_h)¹x₁=θ(g, μ_h)이기 때문이다.

≪(w₃)^(s₃ ^-1)=θ(g, h)이 되는 이유에 대해서≫

R₁,R₂,R₁' 및 R₂'를 난수로 하여, 계산 장치가 g^R1 및 h^dμ_h ^R2를 사용하여 행하는 계산의 계산 결과를 B(g^R1,h^dμ_h ^R2)(계산 장치가 의뢰 장치에 되돌리는 계산 결과를 z로 하면, z=B(g^R1,h^dμ_h ^R2)이다.)로 하고, 군 F에 값을 가지는 확률변수 X를 X=B(g^R'1,μ_h ^R'2)^1/R'1θ(g, μ_h ^R'2)^-1이라고 정의하면, S_X(d)=z^(1/R1)ν'^-R2는 θ(g, h)에 관한 오차 X의 randomizable sampler가 된다.

S_X(d)=z^(1/R1)ν'^-R2=B(g^R1,h^dμ_h ^R2)^1/R1θ(g, μ_h)^-R2=Xθ(g, h^dμ_h ^R2)θ(g, μ_h ^R2)^-1=Xθ(g, h^d)θ(g, μ_h ^R2)θ(g, μ_h ^R2)^-1=θ(g, h)^dX이기 때문이다.

상기 식 전개에 있어서, X=B(g^R'1,μ_h ^R'2)^1/R'1θ(g, μ_h ^R'2)^-1=B(g^R1,μ_h ^R2)^1/R1θ(g, h^dμ_h ^R2)^-1이며, B(g^R1,h^dμ_h ^R2)^1/R1=Xθ(g, h^dμ_h ^R2)라는 성질을 사용하고 있다. 이 성질은 R₁,R₂,R₁' 및 R₂'가 난수인 것에 기초한다.

여기서 S_X(1)의 실현값을 S_X(1)=θ(g, h)¹x₁로 표기하고, S_X(d)의 실현값을 S_X(d)=θ(g, h)^dx₂라고 표기하는 것으로 하여, S_X(1)의 실현값의 d승=S_X(d), 즉 (θ(g, h)¹x₁)^d=θ(g, h)^dx₂가 되는 것은 x₁ 및 x₂가 군 F의 단위원 e_f일 때일 가능성이 매우 높은 것을 발명자는 알아냈다. 여기서는 그 증명은 생략한다. x₁이 군 F의 단위원 e_f일 때, S_X(1)의 실현값=θ(g, h)¹x₁=θ(g, h)가 된다.

스텝 S21' 내지 스텝 S211'의 처리가 S_X(1)의 실현값 θ(g, h)¹x₁의 계산에 대응하고 있다. 실제로는 S_X(1)의 실현값 자체는 계산하고 있지 않지만, 동 처리에 의해 얻어지는 (r₆,z₃ν'^-r6r7)을 사용하여, z₃ν'^-r6r7을 1/r₆승하면, (z₃ν'^-r6r7)^1/r6=z₃ ^1/r6ν'^-r7이 되고, S_X(1)의 실현값 θ(g, h)¹x₁이 된다. 마찬가지로, 스텝 S212' 내지 스텝 S223'의 처리가 S_X(d₂)의 실현값 θ(g, h)^d2x₂의 계산에 대응하고 있다.

또, 스텝 S224'의 처리가 S_X(1)의 실현값의 d₂승=S_X(d₂)의 실현값, 즉 (θ(g, h)¹x₁)^d2=θ(g, h)^d2x₂인지 여부의 판정에 대응하고 있다. 스텝 S224'에서 사용하는 판정 조건 (w₃)^(t₄s₄s₃ ^-1)=w₄는 (w₃)^(t₄s₄s₃ ^-1)=w₄⇔(w₃ ^1/s3)^t4=w₄ ^1/s4⇔(z₃ ^1/r6ν'^-r7)^d2=z₄ ^1/r9ν'^-r10⇔(θ(g, h)¹x₁)^d2=θ(g, h)^d2x₂⇔S_X(1)의 실현값의 d₂승=S_X(d₂)의 실현값이기 때문이다. 여기서 정의로부터 s₃=r₆, w₃=z₃ν'^-r6r7, t₄=d₂, s₄=r₉, w₄=z₄ν'^-r9r10이다.

또한, 스텝 S225'에 있어서의 (w₃)^(s₃ ^-1)이 θ(g, h)에 대응하고 있다. 상기한 바와 같이 S_X(1)의 실현값의 d₂승=S_X(d₂)의 실현값일 때, (w₃)^(s₃ ^-1)=(z₃ν'^-r6r7)^(r₆ ^-1)=z₃ ^1/r6ν'^-r7=θ(g, h)¹x₁=θ(g, h)이기 때문이다.

[제5 실시형태]

제5 실시형태의 대리 계산 시스템은 스텝 S13', 스텝 S110' 및 스텝 S111'가 제4 실시형태의 대리 계산 시스템과는 상이하고, 다른 부분에 대해서는 제4 실시형태의 대리 계산 시스템과 마찬가지이다. 이하, 제4 실시형태와 상이한 부분을 중심으로 설명한다.

제1 입력 정보 계산부(13')는 g₁=μ_g ^r1g가 아니라, g₁=g^r1로 정의되는 제1 입력 정보를 계산한다(스텝 S13').

제1 리스트 정보 계산부(15')는 z₁ν^-r1r2가 아니라, 난수 r₁ 및 난수 r₂를 사용하여 r₁r₂를 계산하여, 그 계산 결과를 제1 리스트 기억부(16')에 보낸다(스텝 S110').

제1 리스트 기억부(16')에는 정보의 세트(r₂,z₁ν^-r1r2)가 아니라, 계산된 r₁r₂와 계산 장치(2')로부터 수신한 z₁∈F로 구성되는 정보의 세트(r₁r₂,z₁)가 기억된다(스텝 S111').

제4 실시형태의 스텝 S110'에서는 z₁ν^-r1r2라는 군 F의 멱연산을 행할 필요가 있었지만, 제5 실시형태의 스텝 S110'에서는 r₁r₂의 계산을 행하고 있어 멱연산의 횟수가 1회 줄어들어 있다. 이와 같이 멱연산의 횟수를 줄임으로써 연산의 효율성을 더할 수 있다. 또, 군 G, 군 H에 있어서 비자명 멱근의 계산이 곤란하면, 제4 실시형태와 비교하여 안전성은 저하되지 않는다.

[제6 실시형태]

제6 실시형태의 대리 계산 시스템은 스텝 S24', 스텝 S210' 및 스텝 S211'가 제4 실시형태의 대리 계산 시스템과는 상이하고, 다른 부분에 대해서는 제4 실시형태의 대리 계산 시스템과 마찬가지이다. 이하, 제4 실시형태와 상이한 부분을 중심으로 설명한다.

제6 입력 정보 계산부(34')는 h₃=μ_h ^r7σh가 아니라, h₃=h^r7로 정의되는 제6 입력 정보 h₃를 계산한다(스텝 S24').

제3 리스트 정보 계산부(35')는 z₃ν'^-r6r7이 아니라, 난수 r₆ 및 난수 r₇을 사용하여 r₆r₇을 계산한다(스텝 S210').

제3 리스트 기억부(36')에는 정보의 세트(r₆,z₃ν'^-r6r7)가 아니라, 계산된 r₆r₇과 계산 장치(2')로부터 수신한 z₃∈F로 구성되는 정보의 세트(r₆r₇,z₃)가 기억된다(스텝 S211').

제4 실시형태의 스텝 S210'에서는 z₃ν'^-r6r7이라는 군 F의 멱연산을 행할 필요가 있었지만, 제6 실시형태의 스텝 S210'에서는 r₆r₇의 계산을 행하고 있어 멱연산의 횟수가 1회 줄어들어 있다. 이와 같이, 멱연산의 횟수를 줄임으로써 연산의 효율성을 더할 수 있다.

군 G, 군 H에 있어서 비자명 멱근의 계산이 곤란하면, 제4 실시형태와 비교하여 안전성은 저하되지 않는다.

[제7 실시형태]

제7 실시형태의 대리 계산 시스템은 스텝 S125' 및 스텝 S214'가 제4 실시형태의 대리 계산 시스템과는 상이하고, 다른 부분에 대해서는 제4 실시형태의 대리 계산 시스템과 마찬가지이다. 이하, 제4 실시형태와 상이한 부분을 중심으로 설명한다.

제1 판정부(28')는 상기한 관계를 만족하는 경우에는 t₁s₂를 σ에 대입하고, w₂를 ν'에 대입한다(스텝 S125').

제10 난수 생성부(42')는 난수 r₉를 사용하여 -r₉ ^-1을 계산하여 r₁₀으로 한다(스텝 S214').

이와 같이, ν'의 정의를 변경하여, σ를 계산 장치(2')에 있어서 추측이 곤란한 난수로 함으로써 안전성이 증가한다. 또, 난수 r₉을 사용하여 난수 r₁₀을 계산함으로써 난수를 생성하는 횟수를 줄일 수 있다. 난수 r₁₀이 난수 r₉에 의해 정해지기 때문에 제8 입력 정보 h₄=μ_h ^r10σh^d2의 난잡성이 저하되어 안전성이 손상된다고도 생각되지만, 제8 입력 정보 h₄=μ_h ^r10σh^d2는 난수 r₁₀ 뿐만아니라 또한 σ에 의해 교란되어 있기 때문에 안전성은 손상되지 않는다.

또한, 제7 실시형태에 있어서는 또한 스텝 S22' 및 스텝 S211'를 이하와 같이 변경해도 된다.

제7 난수 생성부(32')는 난수 r₆를 사용하여 -r₆ ^-1을 계산하여 r₇으로 한다(스텝 S22').

제3 리스트 기억부(36')에는 1과 상기 계산된 z₃ν'^-r6r7로 구성되는 정보의 세트(1,z₃ν'^-r6r7)가 기억된다(스텝 S211').

이와 같이, 난수 r₆를 사용하여 난수 r₇을 계산함으로써 난수를 생성하는 횟수를 줄일 수 있다.

[제8 실시형태]

제8 실시형태의 대리 계산 시스템은 스텝 S113'가 제4 실시형태의 대리 계산 시스템과는 상이하고, 다른 부분에 대해서는 제4 실시형태의 대리 계산 시스템과 마찬가지이다. 이하, 제4 실시형태와 상이한 부분을 중심으로 설명한다.

우선, 스텝 S113'에 앞서, 제5 난수 생성부(22')는 난수 r₅를 생성한다(스텝 S114').

제4 난수 생성부(21')는 난수 r₅를 사용하여 -r5^-1을 계산하여 r₄로 한다(스텝 S113').

이와 같이, 난수 r₅를 사용하여 난수 r₄를 계산함으로써 난수를 생성하는 횟수를 줄일 수 있다.

군 H의 임의의 원소 h에 대해서, g∈G이며 θ(g, h)=ν가 되는 것을 계산하는 것이 곤란하면, 제4 실시형태와 비교하여 안전성은 저하되지 않는다.

[제9 실시형태]

제9 실시형태의 대리 계산 시스템은 의뢰 장치(1')가 도 12에 파선으로 나타낸 사전 계산부(29')를 또한 포함하고, 스텝 S115'가 제4 실시형태의 대리 계산 시스템과는 상이하고, 다른 부분에 대해서는 제4 실시형태의 대리 계산 시스템과 마찬가지이다. 이하, 제4 실시형태와 상이한 부분을 중심으로 설명한다.

사전 계산부(29')는 제3 난수 생성부(27')가 생성한 d₁을 사용하여 g^d1을 계산한다. 이 처리는 스텝 S112'의 뒤, 스텝 S115' 앞에 행한다.

제3 입력 정보 계산부(23')는 사전 계산된 g^d1을 사용하여, g₂=μ_g ^r4g^d1의 계산을 행한다(스텝 S115').

스텝 S114'에서, 판정 조건을 만족하지 않는 경우에는 스텝 S11' 내지 스텝 S123'의 처리가 반복되는데, 이 반복의 처리에 있어서는 사전 계산된 g^d1을 재이용한다. 즉, 제3 난수 생성부(27')는 난수 d₁을 생성하지 않고, 제3 입력 정보 계산부(23')는 사전 계산된 g^d1을 사용하여, g₂=μ_g ^r4g^d1의 계산을 행한다. 이것에 의해, 난수 d₁을 생성하는 횟수를 줄일 수 있어, g₂=μ_g ^r4g^d1의 계산을 빠르게 행할 수 있다.

[제10 실시형태]

제10 실시형태의 대리 계산 시스템은 의뢰 장치(1')가 도 13에 파선으로 나타낸 사전 계산부(49')를 또한 포함하고, 스텝 S216'가 제4 실시형태의 대리 계산 시스템과는 상이하고, 다른 부분에 대해서는 제4 실시형태의 대리 계산 시스템과 마찬가지이다. 이하, 제4 실시형태와 상이한 부분을 중심으로 설명한다.

사전 계산부(49')는 제8 난수 생성부(47')가 생성한 d₂를 사용하여 h^d2를 계산한다. 이 처리는 스텝 S212'의 뒤, 스텝 S216' 앞에 행한다.

제8 입력 정보 계산부(44')는 사전 계산된 h^d2를 사용하여, 제8 입력 정보 h₄=μ_h ^r10σh^d2의 계산을 행한다(스텝 S216').

스텝 S214'에서, 판정 조건을 만족하지 않는 경우에는 스텝 S21' 내지 스텝 S223'의 처리가 반복되는데, 이 반복의 처리에 있어서는, 사전 계산된 h^d2를 재이용한다. 즉, 제8 난수 생성부(47')는 난수 d₂를 생성하지 않고, 제8 입력 정보 계산부(44')는 사전 계산된 h^d2를 사용하여, h₄=μ_h ^r10σh^d2의 계산을 행한다. 이것에 의해, 난수 d₂를 생성하는 횟수를 줄일 수 있어, h₄=μ_h ^r10σh^d2의 계산을 빠르게 행할 수 있다.

[제4 실시형태 내지 제10 실시형태의 변형예 등]

제1 난수 생성부(11'), 제2 난수 생성부(12'), 제3 난수 생성부(27'), 제4 난수 생성부(21'), 제5 난수 생성부(22'), 제6 난수 생성부(31'), 제7 난수 생성부(32'), 제8 난수 생성부(47'), 제9 난수 생성부(41') 및 제10 난수 생성부(42')의 각각은 일양난수를 생성함으로써 대리 계산 시스템의 안전성이 가장 높아진다. 그러나, 요구하는 안전성의 레벨이 그다지 높지 않은 경우에는, 제1 난수 생성부(11'), 제2 난수 생성부(12'), 제3 난수 생성부(27'), 제4 난수 생성부(21'), 제5 난수 생성부(22'), 제6 난수 생성부(31'), 제7 난수 생성부(32'), 제8 난수 생성부(47'), 제9 난수 생성부(41') 및 제10 난수 생성부(42')의 각각은 일양난수가 아닌 난수를 생성해도 된다.

리스트 L₁, 리스트 L₂에 정보의 세트가 추가될 때마다, 제1 판정부(28')의 처리를 행해도 된다. 예를 들면, 제2 리스트 기억부(26')에 정보의 세트(d₁,r₅,z₂ν^-r4r5)가 기억되어 있는 경우에는, 스텝 S111' 뒤에 스텝 S124'의 처리를 행해도 된다. 마찬가지로, 리스트 L₃, 리스트 L₄에 정보의 세트가 추가될 때마다, 제2 판정부(48')의 처리를 행해도 된다.

제4 실시형태 내지 제10 실시형태는 서로 조합할 수 있다.

의뢰 장치(1')의 각 부 사이의 데이터의 교환은 직접 행해져도 되고, 도시하고 있지 않은 기억부를 통하여 행해져도 된다. 마찬가지로, 계산 장치(2')의 각 부 사이의 데이터의 교환은 직접 행해져도 되고, 도시하고 있지 않은 기억부를 통하여 행해져도 된다.

의뢰 장치(1') 및 계산 장치(2')의 각각은 컴퓨터에 의해 실현할 수 있다. 이 경우, 이 장치가 가져야 할 각 기능의 처리 내용은 프로그램에 의해 기술된다. 그리고, 이 프로그램을 컴퓨터로 실행함으로써, 이 장치에 있어서의 각 처리 기능이 컴퓨터 상에서 실현된다.

이 처리 내용을 기술한 프로그램은 컴퓨터로 판독 가능한 기록 매체에 기록해 둘 수 있다. 또, 이 형태에서는 컴퓨터 상에서 소정의 프로그램을 실행시킴으로써 이들 장치를 구성하는 것으로 했지만, 이들의 처리 내용의 적어도 일부를 하드웨어적으로 실현하는 것으로 해도 된다.

또한, 제1 실시형태 내지 제3 실시형태와, 제4 실시형태 내지 제10 실시형태를 조합해도 된다. 예를 들면, 도 17에 예시하는 바와 같이, 제1 실시형태 내지 제3 실시형태의 계산 장치(2)가 제4 실시형태 내지 제10 실시형태의 의뢰 장치(1')를 구비하고 있고, 이 의뢰 장치(1')를 포함하는 계산 장치(2)가 제4 실시형태 내지 제10 실시형태에서 설명한 것과 마찬가지로 하여 계산 장치(2')를 사용하여, 함수 f의 계산을 행해도 된다.

구체적으로는 계산 장치(2)는 계산할 필요가 있는 함수 f(x)를 계산하기 위해서, 대응하는 사상 θ(g, h)의 값을 계산 장치(2')를 사용하여 계산한다. 함수 f(x)에 대응하는 사상 θ(g, h)는 주어진 함수 f 및 x에 대하여, 함수 f(x)와 값이 동일한 값을 출력하는 사상 θ(g, h)이다. 어떠한 원소 h∈H에 관하여, f(x)=θ(x, h)라는 관계가 있는 경우에는, f(x)에 대응하는 사상 θ가 θ(x, h)가 된다.

예를 들면, 참고 문헌 1에 기재된 Boneh-Franklin 방식의 ID 베이스 암호에 있어서, 어떠한 일정한 ID에 관한 복호함수를 f로 한다. 이 방식의 ID 베이스 암호에서는 타원 곡선의 점이 이루는 유한군 G, H와, 페어링 τ:G×H→F를 사용하여 구성된다. Q를 G의 원소로 한다. ID 베이스 암호의 키 발행 센터의 비밀 키를 s로 하여, 공개 키를 P=sQ로 한다. ID 베이스 암호의 퍼블릭 파라미터는 군 G, H의 기술과, 페어링 τ의 기술, Q 및 P이다.

〔참고문헌 1〕Dan Boneh, Matt Franklin, "Identity-Based Encryption from the Weil Pairing", CRYPTO 2001, LNCS 2139, pp. 213-229, 2001.

키의 발행은 이하와 같이 하여 행해진다. 키 발행 센터는 ID에 대응하여 정해지는 H의 원소 Q_ID에 대해서, P_ID=sQ_ID를 계산하여 ID의 유지자에 대하여 통지한다. P_ID는 ID의 유지자의 비밀 키이다. 이 때, 복호함수 f:G→F는 f(x)=τ(x, P_ID)로 정의된다.

암호문의 작성, 암호문의 복호는 이하와 같이 하여 행해진다. 평문 m을 어느 ID에 대해서 암호화하기 위해서는 난수 r을 생성하여 (Q^r, m(+)H(τ(P^r, Q_ID)))를 계산하고, 이것을 암호문(C₁,C₂)으로 한다. 복호하기 위해서는 암호문(C₁,C₂)에 대하여, C₂(+)H(f(C₁))을 계산함으로써 평문이 얻어진다. 단, 여기서 H는 해시함수, (+)은 배타적 논리합이다.

이러한 Boneh-Franklin 방식의 ID 베이스 암호에 있어서, 함수 f(x)에 대응하는 사상 θ는 예를 들면 페어링 τ를 사용하여 정의된다. 즉, f(x)=τ(x, P_ID)이다.

계산 장치(2)가 IC 카드나 휴대전화이며, 비밀정보의 추출이 곤란하지만, 계산 능력이 한정되어 있는 경우에, 이와 같이 의뢰 장치 및 계산 장치를 다중으로 하여 조합하는 것이 유익하다.

본 발명은 상기 서술한 실시형태에 한정되는 것은 아니며, 본 발명의 취지를 일탈하지 않는 범위에서 적당히 변경이 가능하다.

Claims

G, H를 순회군, f를 군 H의 원소 x를 군 G에 그리는 함수, X₁, X₂를 군 G에 값을 가지는 확률변수, 확률변수 X₁의 실현값을 x₁, 확률변수 X₂의 실현값을 x₂로 하여,
서로 소인 2개의 자연수 a, b를 사용하여, a'a+b'b=1의 관계를 만족하는 정수 a',b'를 계산하는 정수 계산부와,
f(x)^bx₁을 계산 가능하며, 그 계산 결과를 u로 하는 제1 난수화 가능 표본기와,
u'=u^a를 계산하는 제1 멱승 계산부와,
f(x)^ax₂를 계산 가능하며, 그 계산 결과를 v로 하는 제2 난수화 가능 표본기와,
v'=v^b를 계산하는 제2 멱승 계산부와,
u'=v'인지 판정하는 판정부와,
u'=v'라고 판정된 경우에는 u^b'v^a'를 계산하는 최종 계산부를 포함하는 것을 특징으로 하는 대리 계산 시스템.
제 1 항에 있어서,
X₃를 군 G에 값을 가지는 확률변수, 확률변수 X₃의 실현값을 x₃로 하여, f(x)x₃를 계산 가능하며, a=1이면 상기 제2 난수화 가능 표본기를 대신하여 그 계산 결과를 상기 v로 하고, b=1이면 상기 제1 난수화 가능 표본기를 대신하여 그 계산 결과를 상기 u로 하는 표본기를 더욱 포함하는 것을 특징으로 하는 대리 계산 시스템.
제 1 항에 있어서,
상기 f를 준동형사상, 군 H의 생성원을 μ_h, 군 H의 위수를 K_H, ν=f(μ_h)로 하여,
상기 제1 난수화 가능 표본기는 0 이상 K_H 미만의 정수의 난수 r₁을 생성하는 제1 난수 생성부와, 제1 입력 정보 μ_h ^r1x^b를 계산하는 제1 입력 정보 계산부와, 상기 제1 입력 정보 μ_h ^r1x^b를 사용하여 f(μ_h ^r1x^b)를 계산 가능하며 그 계산 결과를 제1 출력 정보 z₁으로 하는 제1 출력 정보 계산부와, z₁ν^-r1을 계산하여 그 계산 결과를 상기 u로 하는 제1 계산부를 포함하고,
상기 제2 난수화 가능 표본기는 0 이상 K_H 미만의 정수의 난수 r₂를 생성하는 제2 난수 생성부와, 제2 입력 정보 μ_h ^r2x^a를 계산하는 제2 입력 정보 계산부와, 상기 제2 입력 정보 μ_h ^r2x^a를 사용하여 f(μ_h ^r2x^a)를 계산 가능하며 그 계산 결과를 제2 출력 정보 z₂로 하는 제2 출력 정보 계산부와, z₂ν^-r2를 계산하여 그 계산 결과를 상기 v로 하는 제2 계산부를 포함하는 것을 특징으로 하는 대리 계산 시스템.
제 3 항에 있어서,
0 이상 K_H 미만의 정수의 난수 r₃를 생성하는 제3 난수 생성부와, 제3 입력 정보 x^r3를 계산하는 제3 입력 정보 계산부와, 상기 제3 입력 정보 x^r3를 사용하여 f(x^r3)를 계산 가능하며 그 계산 결과를 제3 출력 정보 z₃로 하는 제3 출력 정보 계산부와, z₃ ^1/r3를 계산하여 a=1이면 상기 제2 난수화 가능 표본기를 대신하여 그 계산 결과를 상기 v로 하고 b=1이면 상기 제1 난수화 가능 표본기를 대신하여 그 계산 결과를 상기 u로 하는 제3 계산부를 포함하는 표본기를 더욱 포함하는 것을 특징으로 하는 대리 계산 시스템.
제 1 항에 있어서,
군 H=G×G, 상기 f를 준동형사상, 군 G의 생성원을 μ_g, 군 G의 위수를 K_G, x=(c₁,c₂),(V,W)를 군 H의 원소, f(V,W)=Y로 하여,
상기 제1 난수화 가능 표본기는 0 이상 K_G 미만의 정수의 난수 r₄를 생성하는 제4 난수 생성부와, 0 이상 K_G 미만의 정수의 난수 r₅를 생성하는 제5 난수 생성부와, 제4 입력 정보 c₁ ^bV^r4μ_g ^r5를 계산하는 제4 입력 정보 계산부와, 제5 입력 정보 c₂ ^bW^r4를 계산하는 제5 입력 정보 계산부와, 상기 제4 입력 정보 c₁ ^bV^r4μ_g ^r5 및 상기 제5 입력 정보 c₂ ^bW^r4를 사용하여 f(c₁ ^bV^r4μ_g ^r5,c₂ ^bW^r4)를 계산 가능하며 그 계산 결과를 제4 출력 정보 z₄로 하는 제4 출력 정보 계산부와, z₄Y^-r4μ_g ^-r5를 계산하여 그 계산 결과를 상기 u로 하는 제4 계산부를 포함하고,
상기 제2 난수화 가능 표본기는 0 이상 K_G 미만의 정수의 난수 r₆를 생성하는 제6 난수 생성부와, 0 이상 K_G 미만의 정수의 난수 r₇을 생성하는 제7 난수 생성부와, 제6 입력 정보 c₁ ^aV^r6μ_g ^r7을 계산하는 제6 입력 정보 계산부와, 제7 입력 정보 c₂ ^aW^r6를 계산하는 제7 입력 정보 계산부와, 상기 제6 입력 정보 c₁ ^aV^r6μ_g ^r7 및 상기 제7 입력 정보 c₂ ^aW^r6를 사용하여 f(c₁ ^aV^r6μ_g ^r7,c₂ ^aW^r6)를 계산 가능하며 그 계산 결과를 제5 출력 정보 z₅로 하는 제5 출력 정보 계산부와, z₅Y^-r6μ_g ^-r7을 계산하여 그 계산 결과를 상기 v로 하는 제5 계산부를 포함하는 것을 특징으로 하는 대리 계산 시스템.
G, H를 순회군, f를 군 H의 원소 x를 군 G에 그리는 함수, X₁, X₂를 군 G에 값을 가지는 확률변수, 확률변수 X₁의 실현값을 x₁, 확률변수 X₂의 실현값을 x₂로 하여,
정수 계산부가 서로 소인 2개의 자연수 a, b를 사용하여, a'a+b'b=1의 관계를 만족하는 정수 a',b'를 계산하는 정수 계산 스텝과,
제1 난수화 가능 표본기가 f(x)^bx₁을 계산 가능하며, 그 계산 결과를 u로 하는 제1 난수화 가능 표본 추출 스텝과,
제1 멱승 계산부가 u'=u^a를 계산하는 제1 멱승 계산 스텝과,
제2 난수화 가능 표본기가 f(x)^ax₂를 계산 가능하며, 그 계산 결과를 v로 하는 제2 난수화 가능 표본 추출 스텝과,
제2 멱승 계산부가 v'=v^b를 계산하는 제2 멱승 계산 스텝과,
판정부가 u'=v'인지 판정하는 판정 스텝과,
최종 계산부가 u'=v'라고 판정된 경우에는 u^b'v^a'를 계산하는 최종 계산 스텝을 포함하는 것을 특징으로 하는 대리 계산 방법.
G, H를 순회군, f를 군 H의 원소 x를 군 G에 그리는 함수, X₁, X₂를 군 G에 값을 가지는 확률변수, 확률변수 X₁의 실현값을 x₁, 확률변수 X₂의 실현값을 x₂로 하여,
서로 소인 2개의 자연수 a, b를 사용하여, a'a+b'b=1의 관계를 만족하는 정수 a',b'를 계산하는 정수 계산부와,
f(x)^bx₁을 계산 가능한 제1 난수화 가능 표본기에 의한 계산 결과 u를 사용하여 u'=u^a를 계산하는 제1 멱승 계산부와,
f(x)^ax₂를 계산 가능한 제2 난수화 가능 표본기에 의한 계산 결과 v를 사용하여 v'=v^b를 계산하는 제2 멱승 계산부와,
u'=v'인지 판정하는 판정부와,
u'=v'라고 판정된 경우에는 u^b'v^a'를 계산하는 최종 계산부를 포함하는 것을 특징으로 하는 의뢰 장치.
의뢰 장치가 계산 장치에 의뢰한 계산의 결과를 사용하여 θ(g, h)를 계산하는 대리 계산 시스템에 있어서,
G, H 및 F를 순회군으로 하고, 사상 θ:G×H→F를 쌍준동형사상으로 하고, g를 군 G의 원소로 하고, h를 군 H의 원소로 하고, K_G를 군 G의 위수로 하고, K_H를 군 H의 위수로 하고, μ_g를 군 G의 생성원으로 하고, μ_h를 군 H의 생성원으로 하고, ν=θ(μ_g, μ_g)로 하고, k를 자연수의 세큐리티 파라미터로 하고, K=2^k로 하여,
상기 의뢰 장치는,
0 이상 K_G 미만의 정수의 난수 r₁을 생성하는 제1 난수 생성부와,
0 이상 K_H 미만의 정수의 난수 r₂를 생성하는 제2 난수 생성부와,
제1 입력 정보 g₁=μ_g ^r1g를 계산하는 제1 입력 정보 계산부와,
제2 입력 정보 h₁=μ_h ^r2를 계산하는 제2 입력 정보 계산부와,
상기 계산 장치로부터 수신한 z₁∈F를 사용하여, z₁ν^-r1r2를 계산하는 제1 리스트 정보 계산부와,
상기 난수 r₂와 상기 계산된 z₁ν^-r1r2로 구성되는 정보의 세트(r₂,z₁ν^-r1r2)가 기억되는 제1 리스트 기억부와,
0 이상 K 미만의 정수의 일양난수인 d₁을 생성하는 제3 난수 생성부와,
0 이상 K_G 미만의 정수의 일양난수인 r₄를 생성하는 제4 난수 생성부와,
0 이상 K_H 미만의 정수의 일양난수인 r₅를 생성하는 제5 난수 생성부와,
제3 입력 정보 g₂=μ_g ^r4g^d1을 계산하는 제3 입력 정보 계산부와,
제4 입력 정보 h₂=μ_h ^r5를 계산하는 제4 입력 정보 계산부와,
상기 계산 장치로부터 수신한 z₂∈F를 사용하여, z₂ν^-r4r5를 계산하는 제2 리스트 정보 계산부와,
상기 d₁과 상기 r₅와 상기 계산된 z₂ν^-r4r5로 구성되는 정보의 세트(d₁,r₅,z₂ν^-r4r5)가 기억되는 제2 리스트 기억부와,
상기 제1 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 s₁으로 하고, 제2 성분을 w₁으로 하고, 상기 제2 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 t₂로 하고, 제2 성분을 s₂로 하고, 제3 성분을 w₂로 하여, 이들의 정보의 세트가 (w₁)^(t₂s₂s₁ ^-1)=w₂의 관계를 만족하는지를 판정하고, 그 관계를 만족하는 경우에는, s₁을 σ에 대입하고, w₁을 ν'에 대입하는 제1 판정부와,
0 이상 K_G 미만의 정수의 일양난수인 r₆를 생성하는 제6 난수 생성부와,
0 이상 K_H 미만의 정수의 일양난수인 r₇을 생성하는 제7 난수 생성부와,
제5 입력 정보 g₃=g^r6를 계산하는 제5 입력 정보 계산부와,
제6 입력 정보 h₃=μ_h ^r7σh를 계산하는 제6 입력 정보 계산부와,
상기 계산 장치로부터 수신한 z₃∈F를 사용하여, z₃ν'^-r6r7을 계산하는 제3 리스트 정보 계산부와,
상기 r₆와 상기 계산된 z₃ν'^-r6r7로 구성되는 정보의 세트(r₆,z₃ν'^-r6r7)가 기억되는 제3 리스트 기억부와,
0 이상 K 미만의 정수의 일양난수인 d₂를 생성하는 제8 난수 생성부와,
0 이상 K_G 미만의 정수의 일양난수인 r₉을 생성하는 제9 난수 생성부와,
0 이상 K_H 미만의 정수의 일양난수인 r₁₀을 생성하는 제10 난수 생성부와,
제7 입력 정보 g₄=μ_g ^r9을 계산하는 제7 입력 정보 계산부와,
제8 입력 정보 h₄=μ_h ^r10σh^d2를 계산하는 제8 입력 정보 계산부와,
상기 계산 장치로부터 수신한 z₄∈F를 사용하여, z₄ν'^-r9r10을 계산하는 제4 리스트 정보 계산부와,
상기 d₂와 상기 r₉과 상기 계산된 z₄ν'^-r9r10으로 구성되는 정보의 세트(d₂,r₉,z₄ν'^-r9r10)가 기억되는 제4 리스트 기억부와,
상기 제3 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 s₃로 하고, 제2 성분을 w₃로 하고, 상기 제4 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 t₄로 하고, 제2 성분을 s₄로 하고, 제3 성분을 w₄로 하여, 이들의 정보의 세트가 (w₃)^(t₄s₄s₃ ^-1)=w₄의 관계를 만족하는지를 판정하고, 그 관계를 만족하는 경우에는 (w₃)^(s₃ ^-1)을 출력하는 제2 판정부를 포함하고,
상기 계산 장치는,
상기 의뢰 장치로부터 수신한 g₁ 및 h₁을 사용하여 θ(g₁,h₁)을 계산 가능하며, 그 계산 결과를 상기 z₁로서 출력하는 제1 출력 정보 계산부와,
상기 의뢰 장치로부터 수신한 g₂ 및 h₂를 사용하여 θ(g₂,h₂)를 계산 가능하며, 그 계산 결과를 상기 z₂로서 출력하는 제2 출력 정보 계산부와,
상기 의뢰 장치로부터 수신한 g₃ 및 h₃를 사용하여 θ(g₃,h₃)를 계산 가능하며, 그 계산 결과를 상기 z₃로서 출력하는 제3 출력 정보 계산부와,
상기 의뢰 장치로부터 수신한 g₄ 및 h₄를 사용하여 θ(g₄,h₄)를 계산 가능하며, 그 계산 결과를 상기 z₄로서 출력하는 제4 출력 정보 계산부를 포함하는 것을 특징으로 하는 대리 계산 시스템.
제 8 항에 있어서,
상기 제1 입력 정보 계산부는 제1 입력 정보 g₁=g^r1을 계산하고,
상기 제1 리스트 정보 계산부는 상기 r₁ 및 상기 r₂를 사용하여 r₁r₂를 계산하고,
상기 제1 리스트 기억부에는 상기 계산된 r₁r₂와 상기 계산 장치로부터 수신한 z₁∈F로 구성되는 정보의 세트(r₁r₂,z₁)가 기억되는 것을 특징으로 하는 대리 계산 시스템.
제 8 항 또는 제 9 항에 있어서,
상기 제6 입력 정보 계산부는 제6 입력 정보 h₃=h^r7을 계산하고,
상기 제3 리스트 정보 계산부는 상기 r₆ 및 상기 r₇을 사용하여 r₆r₇을 계산하고,
상기 제3 리스트 기억부에는 상기 계산된 r₆r₇과 상기 계산 장치로부터 수신한 z₃∈F로 구성되는 정보의 세트(r₆r₇,z₃)가 기억되는 것을 특징으로 하는 대리 계산 시스템.
제 8 항 내지 제 10 항 중 어느 한 항에 있어서,
상기 제1 판정부는 상기 관계를 만족하는 경우에는 t₁s₂를 σ에 대입하고, w₂를 ν'에 대입하고,
상기 제10 난수 생성부는 상기 r₉을 사용하여 -r₉ ^-1을 계산하여 r₁₀으로 하는 것을 특징으로 하는 대리 계산 시스템.
제 11 항에 있어서,
상기 제7 난수 생성부는 상기 r₆를 사용하여 -r₆ ^-1을 계산하여 r₇으로 하고,
상기 제3 리스트 기억부에는 1과 상기 계산된 z₃ν'^-r6r7로 구성되는 정보의 세트(1,z₃ν'^- ^r6r7)가 기억되는 것을 특징으로 하는 대리 계산 시스템.
제 8 항 내지 제 12 항 중 어느 한 항에 있어서,
상기 제4 난수 생성부는 상기 r₅를 사용하여 -r₅ ^-1을 계산하여 r₄로 하는 것을 특징으로 하는 대리 계산 시스템.
제 8 항 내지 제 13 항 중 어느 한 항에 있어서,
상기 d₁을 사용하여 g^d1을 계산하는 사전 계산부를 더욱 포함하고,
상기 제3 입력 정보 계산부는 상기 사전 계산된 g^d1을 사용하여, 상기 g₂의 계산을 행하는 것을 특징으로 하는 대리 계산 시스템.
제 8 항 내지 제 14 항 중 어느 한 항에 있어서,
상기 d₂를 사용하여 h^d2를 계산하는 사전 계산부를 더욱 포함하고,
상기 제8 입력 정보 계산부는 상기 사전 계산된 h^d2를 사용하여, 상기 h₄의 계산을 행하는 것을 특징으로 하는 대리 계산 시스템.
의뢰 장치가 계산 장치에 의뢰한 계산의 결과를 사용하여 θ(g, h)를 계산하는 대리 계산 방법에 있어서,
G, H 및 F를 순회군으로 하고, 사상 θ:G×H→F를 쌍준동형사상으로 하고, g를 군 G의 원소로 하고, h를 군 H의 원소로 하고, K_G를 군 G의 위수로 하고, K_H를 군 H의 위수로 하고, μ_g를 군 G의 생성원으로 하고, μ_h를 군 H의 생성원으로 하고, ν=θ(μ_g, μ_g)로 하고, k를 정수의 세큐리티 파라미터로 하고, K=2^k로 하여,
상기 의뢰 장치의 제1 난수 생성부가 0 이상 K_G 미만의 정수의 난수 r₁을 생성하는 제1 난수 생성 스텝과,
상기 의뢰 장치의 제2 난수 생성부가 0 이상 K_H 미만의 정수의 난수 r₂를 생성하는 제2 난수 생성 스텝과,
상기 의뢰 장치의 제1 입력 정보 계산부가 제1 입력 정보 g₁=μ_g ^r1g를 계산하는 제1 입력 정보 계산 스텝과,
상기 의뢰 장치의 제2 입력 정보 계산부가 제2 입력 정보 h₁=μ_h ^r2를 계산하는 제2 입력 정보 계산 스텝과,
상기 계산 장치의 제1 출력 정보 계산부가 상기 의뢰 장치로부터 수신한 g₁ 및 h₁을 사용하여 θ(g₁,h₁)를 계산 가능하며, 그 계산 결과를 상기 z₁로서 출력하는 제1 출력 정보 계산 스텝과,
상기 의뢰 장치의 제1 리스트 정보 계산부가 상기 계산 장치로부터 수신한 z₁∈F를 사용하여, z₁ν^-r1r2를 계산하는 제1 리스트 정보 계산 스텝과,
상기 의뢰 장치의 제1 리스트 기억부에 상기 난수 r₂와 상기 계산된 z₁ν^-r1r2로 구성되는 정보의 세트(r₂,z₁ν^-r1r2)가 기억되는 스텝과,
상기 의뢰 장치의 제3 난수 생성부가 0 이상 K 미만의 정수의 일양난수인 d₁을 생성하는 제3 난수 생성 스텝과,
상기 의뢰 장치의 제4 난수 생성부가 0 이상 K_G 미만의 정수의 일양난수인 r₄를 생성하는 제4 난수 생성 스텝과,
상기 의뢰 장치의 제5 난수 생성부가 0 이상 K_H 미만의 정수의 일양난수인 r₅를 생성하는 제5 난수 생성 스텝과,
상기 의뢰 장치의 제3 입력 정보 계산부가 제3 입력 정보 g₂=μ_g ^r4g^d1을 계산하는 제3 입력 정보 계산 스텝과,
상기 의뢰 장치의 제4 입력 정보 계산부가 제4 입력 정보 h₂=μ_h ^r5를 계산하는 제4 입력 정보 계산 스텝과,
상기 계산 장치의 제2 출력 정보 계산부가 상기 의뢰 장치로부터 수신한 g₂ 및 h₂를 사용하여 θ(g₂,h₂)를 계산 가능하며, 그 계산 결과를 상기 z₂로서 출력하는 제2 출력 정보 계산 스텝과,
상기 의뢰 장치의 제2 리스트 정보 계산부가 상기 계산 장치로부터 수신한 z₂∈F를 사용하여, z₂ν^-r4r5를 계산하는 제2 리스트 정보 계산 스텝과,
상기 의뢰 장치의 제2 리스트 기억부에 상기 d₁과 상기 r₅와 상기 계산된 z₂ν^-r4r5로 구성되는 정보의 세트(d₁,r₅,z₂ν^-r4r5)가 기억되는 스텝과,
상기 의뢰 장치의 제1 판정부가 상기 제1 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 s₁으로 하고, 제2 성분을 w₁으로 하고, 상기 제2 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 t₂로 하고, 제2 성분을 s₂로 하고, 제3 성분을 w₂로 하여, 이들의 정보의 세트가 (w₁)^(t₂s₂s₁ ^-1)=w₂의 관계를 만족하는지를 판정하고, 그 관계를 만족하는 경우에는 s₁을 σ에 대입하고, w₁을 ν'에 대입하는 제1 판정 스텝과,
상기 의뢰 장치의 제6 난수 생성부가 0 이상 K_G 미만의 정수의 일양난수인 r₆를 생성하는 제6 난수 생성 스텝과,
상기 의뢰 장치의 제7 난수 생성부가 0 이상 K_H 미만의 정수의 일양난수인 r₇을 생성하는 제7 난수 생성 스텝과,
상기 의뢰 장치의 제5 입력 정보 계산부가 제5 입력 정보 g₃=g^r6를 계산하는 제5 입력 정보 계산 스텝과,
상기 의뢰 장치의 제6 입력 정보 계산부가 제6 입력 정보 h₃=μ_h ^r7σh를 계산하는 제6 입력 정보 계산 스텝과,
상기 계산 장치의 제3 출력 정보 계산부가 상기 의뢰 장치로부터 수신한 g₃ 및 h₃를 사용하여 θ(g₃,h₃)를 계산 가능하며, 그 계산 결과를 상기 z₃로서 출력하는 제3 출력 정보 계산 스텝과,
상기 의뢰 장치의 제3 리스트 정보 계산부가 상기 계산 장치로부터 수신한 z₃∈F를 사용하여, z₃ν'^-r6r7을 계산하는 제3 리스트 정보 계산 스텝과,
상기 의뢰 장치의 제3 리스트 기억부에 상기 r₆와 상기 계산된 z₃ν'^-r6r7로 구성되는 정보의 세트(r₆,z₃ν'^-r6r7)가 기억되는 스텝과,
상기 의뢰 장치의 제8 난수 생성부가 0 이상 K 미만의 정수의 일양난수인 d₂를 생성하는 제8 난수 생성 스텝과,
상기 의뢰 장치의 제9 난수 생성부가 0 이상 K_G 미만의 정수의 일양난수인 r₉을 생성하는 제9 난수 생성 스텝과,
상기 의뢰 장치의 제10 난수 생성부가 0 이상 K_H 미만의 정수의 일양난수인 r₁₀을 생성하는 제10 난수 생성 스텝과,
상기 의뢰 장치의 제7 입력 정보 계산부가 제7 입력 정보 g₄=μ_g ^r9을 계산하는 제7 입력 정보 계산 스텝과,
상기 의뢰 장치의 제8 입력 정보 계산부가 제8 입력 정보 h₄=μ_h ^r10σh^d2를 계산하는 제8 입력 정보 계산 스텝과,
상기 계산 장치의 제4 출력 정보 계산부가 상기 의뢰 장치로부터 수신한 g₄ 및 h₄를 사용하여 θ(g₄,h₄)를 계산 가능하며, 그 계산 결과를 상기 z₄로서 출력하는 제4 출력 정보 계산 스텝과,
상기 의뢰 장치의 제4 리스트 정보 계산부가 상기 계산 장치로부터 수신한 z₄∈F를 사용하여, z₄ν'^-r9r10을 계산하는 제4 리스트 정보 계산 스텝과,
상기 의뢰 장치의 제4 리스트 기억부에 상기 d₂와 상기 r₉과 상기 계산된 z₄ν'^-r9r10로 구성되는 정보의 세트(d₂,r₉,z₄ν'^-r9r10)가 기억되는 스텝과,
상기 의뢰 장치의 제2 판정부가 상기 제3 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 s₃로 하고, 제2 성분을 w₃로 하고, 상기 제4 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 t₄로 하고, 제2 성분을 s₄로 하고, 제3 성분을 w₄로 하여, 이들의 정보의 세트가 (w₃)^(t₄s₄s₃ ^-1)=w₄의 관계를 만족하는지를 판정하고, 그 관계를 만족하는 경우에는 (w₃)^(s₃ ^-1)을 출력하는 제2 판정 스텝을 포함하는 것을 특징으로 하는 대리 계산 방법.
의뢰 장치가 계산 장치에 의뢰한 계산의 결과를 사용하여 θ(g, h)를 계산하는 대리 계산 시스템의 의뢰 장치에 있어서,
G, H 및 F를 순회군으로 하고, 사상 θ:G×H→F를 쌍준동형사상으로 하고, g를 군 G의 원소로 하고, h를 군 H의 원소로 하고, K_G를 군 G의 위수로 하고, K_H를 군 H의 위수로 하고, μ_g를 군 G의 생성원으로 하고, μ_h를 군 H의 생성원으로 하고, ν=θ(μ_g, μ_g)로 하고, k를 자연수의 세큐리티 파라미터로 하고, K=2^k로 하여,
0 이상 K_G 미만의 정수의 난수 r₁을 생성하는 제1 난수 생성부와,
0 이상 K_H 미만의 정수의 난수 r₂를 생성하는 제2 난수 생성부와,
제1 입력 정보 g₁=μ_g ^r1g를 계산하는 제1 입력 정보 계산부와,
제2 입력 정보 h₁=μ_h ^r2를 계산하는 제2 입력 정보 계산부와,
상기 계산 장치로부터 수신한 z₁∈F를 사용하여, z₁ν^-r1r2를 계산하는 제1 리스트 정보 계산부와,
상기 난수 r₂와 상기 계산된 z₁ν^-r1r2로 구성되는 정보의 세트(r₂,z₁ν^-r1r2)가 기억되는 제1 리스트 기억부와,
0 이상 K 미만의 정수의 일양난수인 d₁을 생성하는 제3 난수 생성부와,
0 이상 K_G 미만의 정수의 일양난수인 r₄를 생성하는 제4 난수 생성부와,
0 이상 K_H 미만의 정수의 일양난수인 r₅를 생성하는 제5 난수 생성부와,
제3 입력 정보 g₂=μ_g ^r4g^d1을 계산하는 제3 입력 정보 계산부와,
제4 입력 정보 h₂=μ_h ^r5를 계산하는 제4 입력 정보 계산부와,
상기 계산 장치로부터 수신한 z₂∈F를 사용하여, z₂ν^-r4r5를 계산하는 제2 리스트 정보 계산부와,
상기 d₁과 상기 r₅와 상기 계산된 z₂ν^-r4r5로 구성되는 정보의 세트(d₁,r₅,z₂ν^-r4r5)가 기억되는 제2 리스트 기억부와,
상기 제1 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 s₁으로 하고, 제2 성분을 w₁으로 하고, 상기 제2 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 t₂로 하고, 제2 성분을 s₂로 하고, 제3 성분을 w₂로 하여, 이들의 정보의 세트가 (w₁)^(t₂s₂s₁ ^-1)=w₂의 관계를 만족하는지를 판정하고, 그 관계를 만족하는 경우에는 s₁을 σ에 대입하고, w₁을 ν'에 대입하는 제1 판정부와,
0 이상 K_G 미만의 정수의 일양난수인 r₆를 생성하는 제6 난수 생성부와,
0 이상 K_H 미만의 정수의 일양난수인 r₇을 생성하는 제7 난수 생성부와,
제5 입력 정보 g₃=g^r6를 계산하는 제5 입력 정보 계산부와,
제6 입력 정보 h₃=μ_h ^r7σh를 계산하는 제6 입력 정보 계산부와,
상기 계산 장치로부터 수신한 z₃∈F를 사용하여, z₃ν'^-r6r7을 계산하는 제3 리스트 정보 계산부와,
상기 r₆와 상기 계산된 z₃ν'^-r6r7로 구성되는 정보의 세트(r₆,z₃ν'^-r6r7)가 기억되는 제3 리스트 기억부와,
0 이상 K 미만의 정수의 일양난수인 d₂를 생성하는 제8 난수 생성부와,
0 이상 K_G 미만의 정수의 일양난수인 r₉을 생성하는 제9 난수 생성부와,
0 이상 K_H 미만의 정수의 일양난수인 r₁₀을 생성하는 제10 난수 생성부와,
제7 입력 정보 g₄=μ_g ^r9을 계산하는 제7 입력 정보 계산부와,
제8 입력 정보 h₄=μ_h ^r10σh^d2를 계산하는 제8 입력 정보 계산부와,
상기 계산 장치로부터 수신한 z₄∈F를 사용하여, z₄ν'^-r9r10을 계산하는 제4 리스트 정보 계산부와,
상기 d₂와 상기 r₉과 상기 계산된 z₄ν'^-r9r10로 구성되는 정보의 세트(d₂,r₉,z₄ν'^-r9r10)가 기억되는 제4 리스트 기억부와,
상기 제3 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 s₃로 하고, 제2 성분을 w₃로 하고, 상기 제4 리스트 기억부로부터 읽어들인 정보의 세트의 제1 성분을 t₄로 하고, 제2 성분을 s₄로 하고, 제3 성분을 w₄로 하여, 이들의 정보의 세트가 (w₃)^(t₄s₄s₃ ^-1)=w₄의 관계를 만족하는지를 판정하고, 그 관계를 만족하는 경우에는 (w₃)^(s₃ ^-1)을 출력하는 제2 판정부를 포함하는 것을 특징으로 하는 의뢰 장치.
제 7 항 또는 제 17 항에 기재된 의뢰 장치의 각 부로서 컴퓨터를 기능시키기 위한 프로그램.
제 18 항에 기재된 프로그램이 기록된 컴퓨터 판독 가능한 기록 매체.