JP2012155088A

JP2012155088A - 署名処理システム、鍵生成装置、署名装置、検証装置、署名処理方法及び署名処理プログラム

Info

Publication number: JP2012155088A
Application number: JP2011013281A
Authority: JP
Inventors: Katsuyuki Takashima; 克幸高島; Tatsuaki Okamoto; 龍明岡本
Original assignee: Mitsubishi Electric Corp; Nippon Telegraph and Telephone Corp
Current assignee: Mitsubishi Electric Corp; Nippon Telegraph and Telephone Corp
Priority date: 2011-01-25
Filing date: 2011-01-25
Publication date: 2012-08-16
Anticipated expiration: 2031-01-25
Also published as: US9106408B2; ES2684945T3; WO2012101913A1; EP2670081B1; CN103348624B; US20130322627A1; CN103348624A; KR101431412B1; JP5606344B2; EP2670081A4; EP2670081A1; KR20130130810A

Abstract

【課題】設計の自由度の高いノンモノトーン述語をサポートした属性ベース署名方式を提供することを目的とする。
【解決手段】ノンモノトーンスパンプログラムに属性ベクトルの内積を適用することによりアクセスストラクチャを構成した。このアクセスストラクチャは、スパンプログラムの設計と、属性ベクトルの設計とに自由度があり、アクセス制御の設計に大きな自由度を有する。そして、このアクセスストラクチャに対して秘密分散の概念を用いることで、ノンモノトーン述語をサポートした属性ベース署名方式を実現した。
【選択図】図５

Description

この発明は、属性ベース署名（Ａｔｔｒｉｂｕｔｅ−ＢａｓｅｄＳｉｇｎａｔｕｒｅｓ，ＡＢＳ）方式に関するものである。

非特許文献２６，２９，３０，３４−３７，４５，５１には、属性ベース署名方式に関する記載がある。特に、非特許文献３６，３７には、モノトーン述語をサポートした属性ベース署名方式についての記載がある。

Ｂｅｉｍｅｌ，Ａ．，Ｓｅｃｕｒｅｓｃｈｅｍｅｓｆｏｒｓｅｃｒｅｔｓｈａｒｉｎｇａｎｄｋｅｙｄｉｓｔｒｉｂｕｔｉｏｎ．ＰｈＤＴｈｅｓｉｓ，ＩｓｒａｅｌＩｎｓｔｉｔｕｔｅｏｆＴｅｃｈ−ｎｏｌｏｇｙ，Ｔｅｃｈｎｉｏｎ，Ｈａｉｆａ，Ｉｓｒａｅｌ，１９９６．Ｂｅｌｅｎｋｉｙ，Ｍ．，Ｃａｍｅｎｉｓｃｈ，Ｊ．，Ｃｈａｓｅ，Ｍ．，Ｋｏｈｌｗｅｉｓｓ，Ｍ．，Ｌｙｓｙａｎｓｋａｙａ，Ａ．ａｎｄＳｈａｃｈａｍ，Ｈ．：Ｒａｎｄｏｍｉｚａｂｌｅｐｒｏｏｆｓａｎｄｄｅｌｅｇａｔａｂｌｅａｎｏｎｙｍｏｕｓｃｒｅｄｅｎｔｉａｌｓ．ＣＲＹＰＴＯ２００９．ＬＮＣＳ，ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００９）Ｂｅｌｅｎｋｉｙ，Ｍ．，Ｃｈａｓｅ，Ｍ．，Ｋｏｈｌｗｅｉｓｓ，Ｍ．ａｎｄＬｙｓｙａｎｓｋａｙａ，Ａ．：Ｐ−ｓｉｇｎａｔｕｒｅｓａｎｄｎｏｎｉｎｔｅｒａｃｔｉｖｅａｎｏｎｙｍｏｕｓｃｒｅｄｅｎｔｉａｌｓ．ＴＣＣ２００８，ＬＮＣＳ，ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｂｅｔｈｅｎｃｏｕｒｔ，Ｊ．，Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ．Ｉｎ：２００７ＩＥＥＥＳｙｍ−ｐｏｓｉｕｍｏｎＳｅｃｕｒｉｔｙａｎｄＰｒｉｖａｃｙ，ｐｐ．３２１．３３４．ＩＥＥＥＰｒｅｓｓ（２００７）Ｂｏｎｅｈ，Ｄ．，Ｂｏｙｅｎ，Ｘ．：Ｅｆｆｉｃｉｅｎｔｓｅｌｅｃｔｉｖｅ−ＩＤｓｅｃｕｒｅｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ．Ｉｎ：Ｃａｃｈｉｎ，Ｃ．，Ｃａｍｅｎｉｓｃｈ，Ｊ．（ｅｄｓ．）ＥＵＲＯＣＲＹＰＴ２００４．ＬＮＣＳ，ｖｏｌ．３０２７，ｐｐ．２２３．２３８．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００４）Ｂｏｎｅｈ，Ｄ．，Ｂｏｙｅｎ，Ｘ．：Ｓｅｃｕｒｅｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ．Ｉｎ：Ｆｒａｎｋｌｉｎ，Ｍ．Ｋ．（ｅｄ．）ＣＲＹＰＴＯ２００４．ＬＮＣＳ，ｖｏｌ．３１５２，ｐｐ．４４３．４５９．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００４）Ｂｏｎｅｈ，Ｄ．，Ｂｏｙｅｎ，Ｘ．，Ｇｏｈ，Ｅ．：Ｈｉｅｒａｒｃｈｉｃａｌｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｃｏｎｓｔａｎｔｓｉｚｅｃｉｐｈｅｒｔｅｘｔ．Ｉｎ：Ｃｒａｍｅｒ，Ｒ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００５．ＬＮＣＳ，ｖｏｌ．３４９４，ｐｐ．４４０．４５６．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００５）Ｂｏｎｅｈ，Ｄ．，Ｆｒａｎｋｌｉｎ，Ｍ．：Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｆｒｏｍｔｈｅＷｅｉｌｐａｉｒｉｎｇ．Ｉｎ：Ｋｉｌｉａｎ，Ｊ．（ｅｄ．）ＣＲＹＰＴＯ２００１．ＬＮＣＳ，ｖｏｌ．２１３９，ｐｐ．２１３．２２９．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００１）Ｂｏｎｅｈ，Ｄ．，Ｈａｍｂｕｒｇ，Ｍ．：Ｇｅｎｅｒａｌｉｚｅｄｉｄｅｎｔｉｔｙｂａｓｅｄａｎｄｂｒｏａｄｃａｓｔｅｎｃｒｙｐｔｉｏｎｓｃｈｅｍｅ．Ｉｎ：Ｐｉｅｐｒｚｙｋ，Ｊ．（ｅｄ．）ＡＳＩＡＣＲＹＰＴ２００８．ＬＮＣＳ，ｖｏｌ．５３５０，ｐｐ．４５５．４７０．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｂｏｎｅｈ，Ｄ．，Ｋａｔｚ，Ｊ．，ＩｍｐｒｏｖｅｄｅｆｆｉｃｉｅｎｃｙｆｏｒＣＣＡ−ｓｅｃｕｒｅｃｒｙｐｔｏｓｙｓｔｅｍｓｂｕｉｌｔｕｓｉｎｇｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐ−ｔｉｏｎ．ＲＳＡ−ＣＴ２００５，ＬＮＣＳ，ＳｐｒｉｎｇｅｒＶｅｒｌａｇ（２００５）Ｂｏｎｅｈ，Ｄ．，Ｗａｔｅｒｓ，Ｂ．：Ｃｏｎｊｕｎｃｔｉｖｅ，ｓｕｂｓｅｔ，ａｎｄｒａｎｇｅｑｕｅｒｉｅｓｏｎｅｎｃｒｙｐｔｅｄｄａｔａ．Ｉｎ：Ｖａｄｈａｎ，Ｓ．Ｐ．（ｅｄ．）ＴＣＣ２００７．ＬＮＣＳ，ｖｏｌ．４３９２，ｐｐ．５３５．５５４．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００７）Ｘ．Ｂｏｙｅｎ：Ｍｅｓｈｓｉｇｎａｔｕｒｅｓ．ＥＵＲＯＣＲＹＰＴ，ＬＮＣＳ，ｖｏｌ．４５１５，ｐｐ．２１０．２２７．Ｓｐｒｉｎｇｅｒ（２００７）．Ｂｏｙｅｎ，Ｘ．，Ｗａｔｅｒｓ，Ｂ．：Ａｎｏｎｙｍｏｕｓｈｉｅｒａｒｃｈｉｃａｌｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ（ｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ）．Ｉｎ：Ｄｗｏｒｋ，Ｃ．（ｅｄ．）ＣＲＹＰＴＯ２００６．ＬＮＣＳ，ｖｏｌ．４１１７，ｐｐ．２９０．３０７．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００６）Ｃａｍｅｎｉｓｃｈ，Ｊ．ａｎｄＧｒｏｓｓ，Ｔ．：Ｅｆｆｉｃｉｅｎｔａｔｔｒｉｂｕｔｅｓｆｏｒａｎｏｎｙｍｏｕｓｃｒｅｄｅｎｔｉａｌｓ．ＣＣＳ２００８．Ｃａｍｅｎｉｓｃｈ，Ｊ．ａｎｄＬｙｓｙａｎｓｋａｙａ，Ａ．：Ａｎｅｆｆｉｃｉｅｎｔｓｙｓｔｅｍｆｏｒｎｏｎ−ｔｒａｎｓｆｅｒａｂｌｅａｎｏｎｙｍｏｕｓｃｒｅｄｅｎｔｉａｌｓｗｉｔｈｏｐｔｉｎａｌａｎｏｎｙｍｉｔｙｒｅｖｏｃａｔｉｏｎ．Ｅｕｒｏｃｒｙｐｔ２００１．Ｃａｍｅｎｉｓｃｈ，Ｊ．ａｎｄＬｙｓｙａｎｓｋａｙａ，Ａ．：Ｓｉｇｎａｔｕｒｅｓｃｈｅｍｅｓａｎｄａｎｏｎｙｍｏｕｓｃｒｅｄｅｎｔｉａｌｓｆｒｏｍｂｉｌｉｎｅａｒｍａｐｓ．Ｃｒｙｐｔｏ２００４．Ｃａｎｅｔｔｉ，Ｒ．，ＨａｌｅｖｉＳ．，ＫａｔｚＪ．，Ｃｈｏｓｅｎ−ｃｉｐｈｅｒｔｅｘｔｓｅｃｕｒｉｔｙｆｒｏｍｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ．ＥＵＲＯＣＲＹＰＴ２００４，ＬＮＣＳ，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ（２００４）Ｃｈａｕｍ，Ｄ．：Ｓｅｃｕｒｉｔｙｗｉｔｈｏｕｔｉｄｅｎｔｉｆｉｃａｔｉｏｎ：Ｔｒａｎｓａｃｔｉｏｎｓｙｓｔｅｍｓｔｏｍａｋｅｂｉｇｂｒｏｔｈｅｒｏｂｓｏｌｅｔｅ．ＣＡＣＭ（１９８５）．Ｄ．ＣｈａｕｍａｎｄＥ．ｖａｎＨｅｙｓｔ：Ｇｒｏｕｐｓｉｇｎａｔｕｒｅｓ．ＩｎｐｒｏｃｅｅｄｉｎｇｓｏｆＥＵＲＯＣＲＹＰＴ’９１，ＬＮＣＳ，ｖｏｌ．５４７，ｐｐ．２５７．２６５（１９９１）．Ｃｏｃｋｓ，Ｃ．：Ａｎｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｓｃｈｅｍｅｂａｓｅｄｏｎｑｕａｄｒａｔｉｃｒｅｓｉｄｕｅｓ．Ｉｎ：Ｈｏｎａｒｙ，Ｂ．（ｅｄ．）ＩＭＡＩｎｔ．Ｃｏｎｆ．ＬＮＣＳ，ｖｏｌ．２２６０，ｐｐ．３６０．３６３．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００１）Ｇｅｎｔｒｙ，Ｃ．：Ｐｒａｃｔｉｃａｌｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ．Ｉｎ：Ｖａｕｄｅｎａｙ，Ｓ．（ｅｄ．）ＥＵＲＯ−ＣＲＹＰＴ２００６．ＬＮＣＳ，ｖｏｌ．４００４，ｐｐ．４４５．４６４．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００６）Ｇｅｎｔｒｙ，Ｃ．，Ｈａｌｅｖｉ，Ｓ．：Ｈｉｅｒａｒｃｈｉｃａｌｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｐｏｌｙｎｏｍｉａｌｌｙｍａｎｙｌｅｖｅｌｓ．Ｉｎ：Ｒｅｉｎｇｏｌｄ，Ｏ．（ｅｄ．）ＴＣＣ２００９．ＬＮＣＳ，ｖｏｌ．５４４４，ｐｐ．４３７．４５６．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００９）Ｇｅｎｔｒｙ，Ｃ．，Ｓｉｌｖｅｒｂｅｒｇ，Ａ．：ＨｉｅｒａｒｃｈｉｃａｌＩＤ−ｂａｓｅｄｃｒｙｐｔｏｇｒａｐｈｙ．Ｉｎ：Ｚｈｅｎｇ，Ｙ．（ｅｄ．）ＡＳＩＡＣＲＹＰＴ２００２．ＬＮＣＳ，ｖｏｌ．２５０１，ｐｐ．５４８．５６６．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００２）Ｇｏｙａｌ，Ｖ．，Ｐａｎｄｅｙ，Ｏ．，Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｆｏｒｆｉｎｅ−ｇｒａｉｎｅｄａｃｃｅｓｓｃｏｎｔｒｏｌｏｆｅｎｃｒｙｐｔｅｄｄａｔａ．Ｉｎ：ＡＣＭＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔｅｒａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎＳｅｃｕｒｉｔｙ２００６，ｐｐ．８９．９８，ＡＣＭ（２００６）Ｇｒｏｔｈ，Ｊ．，Ｓａｈａｉ，Ａ．：Ｅｆｆｉｃｉｅｎｔｎｏｎ−ｉｎｔｅｒａｃｔｉｖｅｐｒｏｏｆｓｙｓｔｅｍｓｆｏｒｂｉｌｉｎｅａｒｇｒｏｕｐｓ．Ｉｎ：Ｓｍａｒｔ，Ｎ．Ｐ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００８．ＬＮＣＳ，ｖｏｌ．４９６５，ｐｐ．４１５．４３２．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｓ．ＧｕｏａｎｄＹ．Ｚｅｎｇ：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄＳｉｇｎａｔｕｒｅＳｃｈｅｍｅ，ＩｎＩＳＡ’０８，ｐｐ．５０９．５１１（２００８）．Ｈｏｒｗｉｔｚ，Ｊ．，Ｌｙｎｎ，Ｂ．：Ｔｏｗａｒｄｓｈｉｅｒａｒｃｈｉｃａｌｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ．Ｉｎ：Ｋｎｕｄｓｅｎ，Ｌ．Ｒ．（ｅｄ．）ＥＵＲＯ−ＣＲＹＰＴ２００２．ＬＮＣＳ，ｖｏｌ．２３３２，ｐｐ．４６６．４８１．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００２）Ｋａｔｚ，Ｊ．，Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ｐｒｅｄｉｃａｔｅｅｎｃｒｙｐｔｉｏｎｓｕｐｐｏｒｔｉｎｇｄｉｓｊｕｎｃｔｉｏｎｓ，ｐｏｌｙｎｏｍｉａｌｅｑｕａｔｉｏｎｓ，ａｎｄｉｎｎｅｒｐｒｏｄｕｃｔｓ．Ｉｎ：Ｓｍａｒｔ，Ｎ．Ｐ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００８．ＬＮＣＳ，ｖｏｌ．４９６５，ｐｐ．１４６．１６２．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌ−ｂｅｒｇ（２００８）Ｄ．Ｋｈａｄｅｒ：ＡｔｔｒｉｂｕｔｅＢａｓｅｄＧｒｏｕｐＳｉｇｎａｔｕｒｅｓ，ＣｒｙｐｔｏｌｏｇｙｅＰｒｉｎｔＡｒｃｈｉｖｅ，Ｒｅｐｏｒｔ２００７／１５９（２００７）．ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００７／１５９．Ｄ．Ｋｈａｄｅｒ：ＡｔｔｒｉｂｕｔｅＢａｓｅｄＧｒｏｕｐＳｉｇｎａｔｕｒｅｗｉｔｈＲｅｖｏｃａｔｉｏｎ．ＣｒｙｐｔｏｌｏｇｙｅＰｒｉｎｔＡｒｃｈｉｖｅ，Ｒｅｐｏｒｔ２００７／２４１，（２００７）．ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００７／２４１．Ｌｅｗｋｏ，Ａ．，Ｏｋａｍｏｔｏ，Ｔ．，Ｓａｈａｉ，Ａ．，Ｔａｋａｓｈｉｍａ，Ｋ．ａｎｄＷａｔｅｒｓ，Ｂ．：ＦｕｌｌｙＳｅｃｕｒｅＦｕｎｃｔｉｏｎａｌＥｎｃｒｙｐｔｉｏｎ：Ａｔｔｒｉｂｕｔｅ−ＢａｓｅｄＥｎｃｒｙｐｔｉｏｎａｎｄ（Ｈｉｅｒａｒｃｈｉｃａｌ）ＩｎｎｅｒＰｒｏｄｕｃｔＥｎｃｒｙｐｔｉｏｎ，ＥＵＲＯＣＲＹＰＴ２０１０．ＬＮＣＳ，ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２０１０）Ｌｅｗｋｏ，Ａ．Ｂ．，Ｗａｔｅｒｓ，Ｂ．：ＦｕｌｌｙｓｅｃｕｒｅＨＩＢＥｗｉｔｈｓｈｏｒｔｃｉｐｈｅｒｔｅｘｔｓ．ｅＰｒｉｎｔ，ＩＡＣＲ，ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００９／４８２Ｌｅｗｋｏ，Ａ．Ｂ．，Ｗａｔｅｒｓ，Ｂ．：ＤｅｃｅｎｔｒａｌｉｚｉｎｇＡｔｔｒｉｂｕｔｅ−ＢａｓｅｄＥｎｃｒｙｐｔｉｏｎ，ｅＰｒｉｎｔ，ＩＡＣＲ，ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１０／３５１．ＪｉｎＬｉ，ＭａｎＨｏＡｕ，ＷｉｌｌｙＳｕｓｉｌｏ，ＤｏｎｇｑｉｎｇＸｉｅ，ＫｕｉＲｅｎ：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄＳｉｇｎａｔｕｒｅａｎｄｉｔｓＡｐｐｌｉｃａｔｉｏｎ，ＡＳＩＡＣＣＳ’ ２０１０，ＡＣＭ（２０１０）Ｊ．ＬｉａｎｄＫ．Ｋｉｍ：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｒｉｎｇｓｉｇｎａｔｕｒｅｓ．２００８．Ａｖａｉｌａｂｌｅａｔｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００８／３９４．ＴｏａｐｐｅａｒｉｎＪｏｕｒｎａｌｏｆＩｎｆｏｒｍａｔｉｏｎＳｃｉｅｎｃｅｓ．Ｍａｊｉ，Ｈ．，Ｐｒａｂｈａｋａｒａｎ，Ｍ．，Ｒｏｓｕｌｅｋ，Ｍ．：Ａｔｔｒｉｂｕｔｅ−ＢａｓｅｄＳｉｇｎａｔｕｒｅｓ：ＡｃｈｉｅｖｉｎｇＡｔｔｒｉｂｕｔｅ−ＰｒｉｖａｃｙａｎｄＣｏｌｌｕｓｉｏｎ−Ｒｅｓｉｓｔａｎｃｅ．ｅＰｒｉｎｔ，ＩＡＣＲ，ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００８／３２８Ｍａｊｉ，Ｈ．，Ｐｒａｂｈａｋａｒａｎ，Ｍ．，Ｒｏｓｕｌｅｋ，Ｍ．：Ａｔｔｒｉｂｕｔｅ−ＢａｓｅｄＳｉｇｎａｔｕｒｅｓ．ｈｔｔｐ：／／ｗｗｗ．ｃｓ．ｕｉｕｃ．ｅｄｕ／ｍｍｐ／ｒｅｓｅａｒｃｈ．ｈｔｍｌＯｋａｍｏｔｏ，Ｔ．，Ｔａｋａｓｈｉｍａ，Ｋ．：Ｈｏｍｏｍｏｒｐｈｉｃｅｎｃｒｙｐｔｉｏｎａｎｄｓｉｇｎａｔｕｒｅｓｆｒｏｍｖｅｃｔｏｒｄｅｃｏｍｐｏｓｉｔｉｏｎ．Ｉｎ：Ｇａｌｂｒａｉｔｈ，Ｓ．Ｄ．，Ｐａｔｅｒｓｏｎ，Ｋ．Ｇ．（ｅｄｓ．）Ｐａｉｒｉｎｇ２００８．ＬＮＣＳ，ｖｏｌ．５２０９，ｐｐ．５７．７４．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｏｋａｍｏｔｏ，Ｔ．，Ｔａｋａｓｈｉｍａ，Ｋ．：ＨｉｅｒａｒｃｈｉｃａｌｐｒｅｄｉｃａｔｅｅｎｃｒｙｐｔｉｏｎｆｏｒＩｎｎｅｒ−Ｐｒｏｄｕｃｔｓ，Ｉｎ：ＡＳＩＡＣＲＹＰＴ２００９，ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００９）Ｏｋａｍｏｔｏ，Ｔ．，Ｔａｋａｓｈｉｍａ，Ｋ．：ＦｕｌｌｙＳｅｃｕｒｅＦｕｎｃｔｉｏｎａｌＥｎｃｒｙｐｔｉｏｎｗｉｔｈＧｅｎｅｒａｌＲｅｌａｔｉｏｎｓｆｒｏｍｔｈｅＤｅｃｉ−ｓｉｏｎａｌＬｉｎｅａｒＡｓｓｕｍｐｔｉｏｎ，Ｉｎ：ＣＲＹＰＴＯ２０１０，ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２０１０）Ｏｓｔｒｏｖｓｋｙ，Ｒ．，Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｎｏｎ−ｍｏｎｏｔｏｎｉｃａｃｃｅｓｓｓｔｒｕｃｔｕｒｅｓ．Ｉｎ：ＡＣＭＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔｅｒａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎＳｅｃｕｒｉｔｙ２００７，ｐｐ．１９５．２０３，ＡＣＭ（２００７）Ｐｉｒｒｅｔｔｉ，Ｍ．，Ｔｒａｙｎｏｒ，Ｐ．，ＭｃＤａｎｉｅｌ，Ｐ．，Ｗａｔｅｒｓ，Ｂ．：Ｓｅｃｕｒｅａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｓｙｓｔｅｍｓ．Ｉｎ：ＡＣＭＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔｅｒａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎＳｅｃｕｒｉｔｙ２００６，ｐｐ．９９．１１２，ＡＣＭ，（２００６）Ｐｉｒｒｅｔｔｉ，Ｍ．，Ｔｒａｙｎｏｒ，Ｐ．，ＭｃＤａｎｉｅｌ，Ｐ．，Ｗａｔｅｒｓ，Ｂ．：Ｓｅｃｕｒｅａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｓｙｓｔｅｍｓ．Ｉｎ：ＡＣＭＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔｅｒａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎＳｅｃｕｒｉｔｙ２００６，ｐｐ．９９．１１２，ＡＣＭ，（２００６）Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ｆｕｚｚｙｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ．Ｉｎ：Ｃｒａｍｅｒ，Ｒ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００５．ＬＮＣＳ，ｖｏｌ．３４９４，ｐｐ．４５７．４７３．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００５）Ｓ．Ｆ．ＳｈａｈａｎｄａｓｈｔｉａｎｄＲ．Ｓａｆａｖｉ−Ｎａｉｎｉ：Ｔｈｒｅｓｈｏｌｄａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｓｉｇｎａｔｕｒｅｓａｎｄｔｈｅｉｒａｐｐｌｉｃａｔｉｏｎｔｏａｎｏｎｙｍｏｕｓｃｒｅｄｅｎｔｉａｌｓｙｓｔｅｍｓ．ＩｎＡＦＲＩＣＡＣＲＹＰＴ’０９，ｐｐ．１９８．２１６（２００９）．Ａ．Ｓｈａｍｉｒ：Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄｃｒｙｐｔｏｓｙｓｔｅｍｓａｎｄｓｉｇｎａｔｕｒｅｓｃｈｅｍｅｓ．ＩｎＣＲＹＰＴＯ’８４，ｐｐ．４７．５３（１９８４）．Ｓｈｉ，Ｅ．，Ｗａｔｅｒｓ，Ｂ．：Ｄｅｌｅｇａｔｉｎｇｃａｐａｂｉｌｉｔｙｉｎｐｒｅｄｉｃａｔｅｅｎｃｒｙｐｔｉｏｎｓｙｓｔｅｍｓ．Ｉｎ：Ａｃｅｔｏ，Ｌ．，Ｄａｍｇ°ａｒｄ，Ｉ．，Ｇｏｌｄｂｅｒｇ，Ｌ．Ａ．，Ｈａｌｌｄｏｒｓｓｏｎ，Ｍ．Ｍ．，Ｉｎｇｏｌｆｓｄｏｔｔｉｒ，Ａ．，Ｗａｌｕｋｉｅｗｉｃｚ，Ｉ．（ｅｄｓ．）ＩＣＡＬＰ（２）２００８．ＬＮＣＳ，ｖｏｌ．５１２６，ｐｐ．５６０．５７８．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｓｈｉ，Ｅ．，Ｗａｔｅｒｓ，Ｂ．：Ｄｅｌｅｇａｔｉｎｇｃａｐａｂｉｌｉｔｙｉｎｐｒｅｄｉｃａｔｅｅｎｃｒｙｐｔｉｏｎｓｙｓｔｅｍｓ．Ｉｎ：Ａｃｅｔｏ，Ｌ．，Ｄａｍｇ°ａｒｄ，Ｉ．，Ｇｏｌｄｂｅｒｇ，Ｌ．Ａ．，Ｈａｌｌｄｏｒｓｓｏｎ，Ｍ．Ｍ．，Ｉｎｇｏｌｆｓｄｏｔｔｉｒ，Ａ．，Ｗａｌｕｋｉｅｗｉｃｚ，Ｉ．（ｅｄｓ．）ＩＣＡＬＰ（２）２００８．ＬＮＣＳ，ｖｏｌ．５１２６，ｐｐ．５６０．５７８．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｗａｔｅｒｓ，Ｂ．：Ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ：ａｎｅｘｐｒｅｓｓｉｖｅ，ｅｆｆｉｃｉｅｎｔ，ａｎｄｐｒｏｖａｂｌｙｓｅｃｕｒｅｒｅａｌｉｚａｔｉｏｎ．ｅＰｒｉｎｔ，ＩＡＣＲ，ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００８／２９０Ｗａｔｅｒｓ，Ｂ．：Ｄｕａｌｓｙｓｔｅｍｅｎｃｒｙｐｔｉｏｎ：ＲｅａｌｉｚｉｎｇｆｕｌｌｙｓｅｃｕｒｅＩＢＥａｎｄＨＩＢＥｕｎｄｅｒｓｉｍｐｌｅａｓｓｕｍｐｔｉｏｎｓ．Ｉｎ：Ｈａｌｅｖｉ，Ｓ．（ｅｄ．）ＣＲＹＰＴＯ２００９．ＬＮＣＳ，ｖｏｌ．５６７７，ｐｐ．６１９．６３６．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００９）Ｗａｔｅｒｓ，Ｂ．：Ｄｕａｌｓｙｓｔｅｍｅｎｃｒｙｐｔｉｏｎ：ＲｅａｌｉｚｉｎｇｆｕｌｌｙｓｅｃｕｒｅＩＢＥａｎｄＨＩＢＥｕｎｄｅｒｓｉｍｐｌｅａｓｓｕｍｐｔｉｏｎｓ．Ｉｎ：Ｈａｌｅｖｉ，Ｓ．（ｅｄ．）ＣＲＹＰＴＯ２００９．ＬＮＣＳ，ｖｏｌ．５６７７，ｐｐ．６１９．６３６．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００９）

従来の属性ベース署名方式では、ノンモノトーン述語をサポートしていなかった。
この発明は、ノンモノトーン述語をサポートした属性ベース署名方式を提供することを目的とする。

この発明に係る署名処理システムは、
鍵生成装置と署名装置と検証装置とを備え、ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムであり、
前記鍵生成装置は、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ_ｔとを含む属性集合Γを入力する第１情報入力部と、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数として所定の値δを設定した鍵要素ｋ^＊ _０を生成する鍵要素０生成部と、
前記第１情報入力部が入力した属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，１の係数として前記所定の値δを設定し、基底ベクトルｂ^＊ _ｔ，２の係数として属性情報ｘ_ｔに前記所定の値δを乗じたδｘ_ｔを設定した鍵要素ｋ^＊ _ｔを生成する鍵要素ｔ生成部と、
基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，１}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，１}と、基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，２}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，２}とを生成する鍵要素ｄ＋１生成部と、
前記鍵要素０生成部が生成した鍵要素ｋ^＊ _０と、前記鍵要素ｔ生成部が生成した前記属性集合Γに含まれる各識別情報ｔについての鍵要素ｋ^＊ _ｔと、前記鍵要素ｄ＋１生成部が生成した鍵要素ｋ^＊ _{ｄ＋１，１}及び鍵要素ｋ^＊ _{ｄ＋１，２}と、前記属性集合Γとを含む署名鍵ｓｋ_Γを前記署名装置へ送信する署名鍵送信部と
を備え、
前記署名装置は、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ_ｉとの肯定形の組（ｔ，ｖ_ｉ）又は否定形の組¬（ｔ，ｖ_ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
前記署名鍵送信部が送信した署名鍵ｓｋ_Γを取得する署名鍵取得部と、
前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｓｋ_Γに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ_ｉ）であり、かつ、その組のｖ_ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ_ｔとが等しいｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ_ｉ）であり、かつ、その組のｖ_ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ_ｔとが等しくないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算部と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _０を含む署名要素ｓ^＊ _０を生成する署名要素０生成部と、
ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ_ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ_ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ_ｉ−ｘ_ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _ｔに前記値γ_ｉを乗じたγ_ｉｋ^＊ _ｔを含む署名要素ｓ^＊ _ｉを生成する署名要素ｉ生成部と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _{ｄ＋１，１}と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ^＊ _{ｄ＋１，２}に乗じたｍ’・ｋ^＊ _{ｄ＋１，２}との和を含む署名要素ｓ^＊ _Ｌ＋１を生成する署名要素Ｌ＋１生成部と、
前記署名要素０生成部が生成した署名要素ｓ^＊ _０と、前記署名要素ｉ生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記署名要素Ｌ＋１生成部が生成した署名要素ｓ^＊ _Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信部と
を備え、
前記検証装置は、
前記署名データ送信部が送信した署名データσを取得するデータ取得部と、
ｒ個の要素を有するベクトルｆ^→と前記ベクトルｈ^→と用いて生成される値ｓ_０：＝ｈ^→・ｆ^→Ｔと、所定の値ｓ_Ｌ＋１とから計算される−ｓ_０−ｓ_Ｌ＋１を、基底Ｂ_０の基底ベクトルｂ_０，１の係数として設定して検証要素ｃ_０を生成する検証要素０生成部と、
前記ベクトルｆ^→と前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ_ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉを設定し、基底ベクトルｂ_ｔ，２の係数として−θ_ｉを設定して検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ_ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，１の係数としてｓ_ｉｖ_ｉを設定し、基底ベクトルｂ_ｔ，２の係数として−ｓ_ｉを設定して検証要素ｃ_ｉを生成する検証要素ｉ生成部と、
基底Ｂ_ｄ＋１の基底ベクトルｂ_{ｄ＋１，１}の係数として、前記所定の値ｓ_Ｌ＋１と前記値ｍ’と所定の値θ_Ｌ＋１とから計算されるｓ_Ｌ＋１−θ_Ｌ＋１ｍ’を設定し、基底ベクトルｂ_{ｄ＋１，２}の係数として前記所定の値θ_Ｌ＋１を設定して検証要素ｃ_Ｌ＋１を生成する検証要素Ｌ＋１生成部と、
前記検証要素０生成部が生成した検証要素ｃ_０と、前記検証要素ｉ生成部が生成した検証要素ｃ_ｉと、前記検証要素Ｌ＋１生成部が生成した検証要素ｃ_Ｌ＋１と、前記署名データσに含まれる署名要素ｓ^＊ _０，ｓ^＊ _ｉ，ｓ^＊ _Ｌ＋１とについて、ペアリング演算Π_ｉ＝０ ^Ｌ＋１ｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
を備えることを特徴とする。

この発明に係る属性ベース署名方式では、ノンモノトーン述語をサポートしている。そのため、利用範囲の広い属性ベース署名方式を実現している。

行列Ｍ＾の説明図。行列Ｍ_δの説明図。ｓ_０の説明図。ｓ^→Ｔの説明図。属性ベース署名方式を実行する署名処理システム１０の構成図。鍵生成装置１００の機能を示す機能ブロック図。署名装置２００の機能を示す機能ブロック図。検証装置３００の機能を示す機能ブロック図。Ｓｅｔｕｐアルゴリズムの処理を示すフローチャート。ＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。Ｓｉｇアルゴリズムの処理を示すフローチャート。Ｖｅｒアルゴリズムの処理を示すフローチャート。多管理者の説明図。分散多管理者属性ベース署名方式を実行する署名処理システム１０の構成図。各鍵生成装置１００の機能を示す機能ブロック図。署名装置２００の機能を示す機能ブロック図。検証装置３００の機能を示す機能ブロック図。ＧＳｅｔｕｐアルゴリズムの処理を示すフローチャート。ＡＳｅｔｕｐアルゴリズムの処理を示すフローチャート。ＡｔｔｒＧｅｎアルゴリズムの処理を示すフローチャート。Ｓｉｇアルゴリズムの処理を示すフローチャート。Ｖｅｒアルゴリズムの処理を示すフローチャート。鍵生成装置１００、署名装置２００、検証装置３００のハードウェア構成の一例を示す図。

以下、図に基づき、発明の実施の形態を説明する。
以下の説明において、処理装置は後述するＣＰＵ９１１等である。記憶装置は後述するＲＯＭ９１３、ＲＡＭ９１４、磁気ディスク９２０等である。通信装置は後述する通信ボード９１５等である。入力装置は後述するキーボード９０２、通信ボード９１５等である。つまり、処理装置、記憶装置、通信装置、入力装置はハードウェアである。

以下の説明における記法について説明する。
Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。

Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。

数１０３は、ｙがｚにより定義された集合であること、又はｙがｚを代入された集合であることを表す。

ａが定数であるとき、数１０４は、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。

数１０５、つまりＦ_ｑは、位数ｑの有限体を示す。

ベクトル表記は、有限体Ｆ_ｑにおけるベクトル表示を表す。つまり、数１０６である。

数１０７は、数１０８に示す２つのベクトルｘ^→とｖ^→との数１０９に示す内積を表す。

Ｘ^Ｔは、行列Ｘの転置行列を表す。
ｂ_ｉ（ｉ＝１，．．．，ｎ）が空間Ｖのベクトルの要素であるとき、つまり、数１１０であるとき、数１１１は、数１１２によって生成される部分空間を表す。

数１１３に示す基底Ｂと基底Ｂ^＊とに対して、数１１４である。

また、以下の説明において、ｐａｒａｍ_ＶｔにおけるＶｔはＶ_ｔのことである。
同様に、Ｆ_ｑ ^ｎｔにおけるｎｔはｎ_ｔのことである。
同様に、ｓｋ_{ｇｉｄ，（ｔ，ｘｔ）}におけるｘｔはｘ_ｔのことである。
同様に、“δｉ，ｊ”が上付きで示されている場合、このδｉ，ｊは、δ_ｉ，ｊを意味する。
また、ベクトルを意味する“→”が下付き文字又は上付き文字に付されている場合、この“→”は下付き文字又は上付き文字に上付きで付されていることを意味する。

また、以下の説明において、署名処理とは、鍵生成処理、署名処理、検証処理を含むものである。

実施の形態１．
この実施の形態では、「属性ベース署名方式」について説明する。
第１に、属性ベース署名について簡単に説明する。
第２に、属性ベース署名方式を実現するための空間である「双対ペアリングベクトル空間（ＤｕａｌＰａｉｒｉｎｇＶｅｃｔｏｒＳｐａｃｅｓ，ＤＰＶＳ）」という豊かな数学的構造を有する空間を説明する。
第３に、属性ベース署名方式を実現するための概念を説明する。ここでは、「スパンプログラム（ＳｐａｎＰｒｏｇｒａｍ）」、「属性ベクトルの内積とアクセスストラクチャ」、「秘密分散方式（秘密共有方式）」について説明する。また、「衝突困難ハッシュ関数（ＣｏｌｌｉｓｉｏｎＲｅｓｉｓｔａｎｔＨａｓｈＦｕｎｃｔｉｏｎｓ）」についても説明する。
第４に、この実施の形態に係る「属性ベース署名方式」を説明する。まず、「属性ベース署名方式」の基本構成について説明する。次に、「属性ベース署名方式」を実現する「署名処理システム１０」の基本構成について説明する。そして、この実施の形態に係る「属性ベース署名方式」及び「署名処理システム１０」について詳細に説明する。

＜第１．属性ベース署名＞
デジタル署名の概念は、ＤｉｆｆｉｅとＨｅｌｌｍａｎとによって１９７６年に論文で紹介された。そこでは、デジタル署名の概念は、秘密にされる署名鍵ｓｋと公開される検証鍵ｐｋとのペアが署名者に対して生成され、署名鍵ｓｋを用いて生成されたメッセージｍの署名σが、対応する検証鍵ｐｋによって検証されることとされた。つまり、署名鍵ｓｋを使って署名されたメッセージ（ｍ，σ）の署名者が、検証鍵ｐｋによって確認されることとされた。
これは、デジタル署名の要件の１つではある。しかし、署名鍵ｓｋと検証鍵ｐｋとの関係が密接なため、署名者と署名によって証明される内容との間の関係に柔軟性やプライバシーがない。

署名鍵と検証鍵との関係がより柔軟になり又は洗練されることで、用途が広く、プライバシーが向上したデジタル署名の改良型が研究されている。
署名のこのクラスでは、署名鍵と検証鍵とはそれぞれ、属性ｘと述語ｖとによってパラメータ化されている。そして、署名されたメッセージ（ｍ，σ）は、パラメータｘを伴う署名鍵ｓｋ_ｘによって生成され、公開された鍵ｐｋとパラメータｖとによって、述語ｖが属性ｘを受理する場合（ｖ（ｘ）が成立する場合）にのみ、正しいことが検証される。
署名のこのクラスにおける署名者のプライバシーとは、署名鍵ｓｋ_ｘによって生成された述語ｖに対する署名が、ｖ（ｘ）が成立することを除き属性ｘに関する情報を漏らさないことである。

述語ｖがパラメータｖとの等号関係である場合（つまり、ｘ＝ｖの場合にのみｖ（ｘ）が成立する場合）、この述語に対する署名のクラスはＩＤベース署名（Ｉｄｅｎｔｉｔｙ−ＢａｓｅｄＳｉｇｎａｔｕｒｅｓ，ＩＢＳ）である（非特許文献４６参照）。
なお、ＩＤベース署名では、ｘ＝ｖのように、署名者の秘密鍵であるｓｋ_ｘの属性ｘを述語ｖが一意に識別する。そのため、ＩＤベース署名にはプライバシーの余地はない。

グループ署名（ＧｒｏｕｐＳｉｇｎａｔｕｒｅｓ）は、署名のこのクラスに含まれる署名である（非特許文献１９参照）。グループ署名は、述語のパラメータｖがグループ識別子であり、属性ｘがグループｖのメンバーの識別子である（又はｐｋ_ｖがグループｖを識別する公開鍵であり、ｓｋ_ｘがグループｖのメンバーｘの秘密鍵である）場合にのみ、ｖ（ｘ）が成立するという述語ｖを伴う署名である。
プライバシーの要件に基づき、秘密鍵ｓｋ_ｘを使って生成された署名はｘがグループｖのメンバーであることを除き、識別子ｘに関する情報を漏らさない。

属性ベース署名は、署名のこのクラス含まれる署名であり、より洗練された述語を伴う署名である（非特許文献２６，２９，３０，３４−３６，４５，５１参照）。属性ベース署名は、署名鍵ｓｋ_ｘに対するｘが属性（ｘ_１，．．．，ｘ_ｉ）の組であり、検証のためのｖが閾値又はアクセスストラクチャの述語である。
存在する属性ベース署名方式における述語の最も広いクラスはモノトーンアクセスストラクチャである（非特許文献３６，３７参照）。モノトーンアクセスストラクチャでは、述語ｖは、属性（ｖ_１，．．．，ｖ_ｊ）の組を伴うモノトーンスパンプログラム（Ｍ，ρ）（ＭＳＰ（Ｍ，ρ））によって特定され、ＭＳＰ（Ｍ，ρ）が（Ｔ（ｘ_ｉ＿１＝ｖ_１），．．．，Ｔ（ｘ_ｉ＿ｊ＝ｖ_ｊ））の真の値のベクトルを受理する場合のみ、ｖ（ｘ）が成立する。ここで、φが真である場合、Ｔ（φ）：＝１であり、φが偽である場合、Ｔ（φ）：＝１である。例えば、ｘ＝ｖである場合、Ｔ（ｘ＝ｖ）：＝１であり、ｘ≠ｖである場合、Ｔ（ｘ＝ｖ）：＝０である。
このようなモノトーン述語は、ＡＮＤ、ＯＲ、閾値のゲートを表現することができる。

属性ベース署名に対するモノトーン述語ｖの例を説明する。
モノトーン述語ｖの例としては、（Ｉｎｓｔｉｔｕｔｅ＝Ｕｎｉｖ．Ａ）ＡＮＤ（ＴＨ２（（Ｄｅｐａｒｔｍｅｎｔ＝Ｂｉｏｌｏｇｙ），（Ｇｅｎｄｅｒ＝Ｆｅｍａｌｅ），（Ａｇｅ＝５０‘ｓ））ＯＲ（Ｐｏｓｉｔｉｏｎ＝Ｐｒｏｆｅｓｓｏｒ））である。ここで、ＴＨ２は閾値の値が２の閾値ゲート（つまり、２つ以上成立することを要求するゲート）を意味する。
アリスの属性ｘ_Ａが、（Ｉｎｓｔｉｔｕｔｅ＝Ｕｎｉｖ．Ａ），（Ｄｅｐａｒｔｍｅｎｔ＝Ｂｉｏｌｏｇｙ），（Ｐｏｓｉｔｉｏｎ＝Ｐｏｓｔｄｏｃ），（Ａｇｅ＝３０），（Ｇｅｎｄｅｒ＝Ｆｅｍａｌｅ）であり、ボブの属性ｘ_Ｂが、（Ｉｎｓｔｉｔｕｔｅ＝Ｕｎｉｖ．Ａ），（Ｄｅｐａｒｔｍｅｎｔ＝Ｍａｔｈｅｍａｔｉｃｓ），（Ｐｏｓｉｔｉｏｎ＝Ｐｒｏｆｅｓｓｏｒ），（Ａｇｅ＝４５），（Ｇｅｎｄｅｒ＝Ｍａｌｅ）であるとする。属性ｘ_Ａと属性ｘ_Ｂとは全く異なるが、ｖ（ｘ_Ａ）とｖ（ｘ_Ｂ）とがいずれも成立することは明らかである。また、述語ｖを満たす他の多くの属性があることは明らかである。
そのため、アリスとボブとは、この述語における署名を生成することができる。また、属性ベース署名のプライバシー要件に基づき、署名者の属性が述語ｖを満たすことを除き、述語ｖに対する署名は署名者、つまりアリスとボブ（又はその他）の属性に関して情報を漏らさない。

属性ベース署名には、属性ベースメッセージング（Ａｔｔｒｉｂｕｔｅｄ−ＢａｓｅｄＭａｓｓａｇｉｎｇ，ＡＢＭ）、属性ベース認証（Ａｔｔｒｉｂｕｔｅｄ−Ｂａｓｅｄａｕｔｈｅｎｔｉｃａｔｉｏｎ）、ｔｒｕｓｔ−ｎｅｇｏｔｉａｔｉｏｎ、ｌｅａｋｉｎｇｓｅｃｒｅｔｓ等の多くのアプリケーションが存在する（非特許文献３６，３７参照）。

しかし、ノンモノトーン述語に対する属性ベース署名方式は、弱い安全性のものであっても存在しなかった。ノンモノトーン述語は、ＡＮＤ、ＯＲ、閾値のゲートと同様に、ＮＯＴのゲートを表現することができる。
つまり、モノトーン述語では、（Ｉｎｓｔｉｔｕｔｅ＝Ｕｎｉｖ．Ａ）のように、肯定形の条件は設定できるが、（Ｉｎｓｔｉｔｕｔｅ≠Ｕｎｉｖ．Ａ）（つまり、Ｎｏｔ（Ｉｎｓｔｉｔｕｔｅ＝Ｕｎｉｖ．Ａ））のように否定形の条件は設定できない。これに対して、ノンモノトーン述語では、否定形の条件を設定できる。
大学がＵｎｉｖ．Ａ以外にも多数存在する場合、肯定形の条件のみを用いて、Ｕｎｉｖ．Ａ以外という否定形の条件を設定するのは困難である（記述が複雑になる）。このことからも、ノンモノトーン述語の有用性が分かる。

＜第２．双対ペアリングベクトル空間＞
まず、対称双線形ペアリング群（ＳｙｍｍｅｔｒｉｃＢｉｌｉｎｅａｒＰａｉｒｉｎｇＧｒｏｕｐｓ）について説明する。
対称双線形ペアリング群（ｑ，Ｇ，Ｇ^Ｔ，ｇ，ｅ）は、素数ｑと、位数ｑの巡回加法群Ｇと、位数ｑの巡回乗法群Ｇ^Ｔと、ｇ≠０∈Ｇと、多項式時間で計算可能な非退化双線形ペアリング（ＮｏｎｄｅｇｅｎｅｒａｔｅＢｉｌｉｎｅａｒＰａｉｒｉｎｇ）ｅ：Ｇ×Ｇ→Ｇ_Ｔとの組である。非退化双線形ペアリングは、ｅ（ｓｇ，ｔｇ）＝ｅ（ｇ，ｇ）^ｓｔであり、ｅ（ｇ，ｇ）≠１である。
以下の説明において、数１１５を、１^λを入力として、セキュリティパラメータをλとする双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を出力するアルゴリズムとする。

次に、双対ペアリングベクトル空間について説明する。
双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、対称双線形ペアリング群（ｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ））の直積によって構成することができる。双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、素数ｑ、数１１６に示すＦ_ｑ上のＮ次元ベクトル空間Ｖ、位数ｑの巡回群Ｇ_Ｔ、空間Ｖの標準基底Ａ：＝（ａ_１，．．．，ａ_Ｎ）の組であり、以下の演算（１）（２）を有する。ここで、ａ_ｉは、数１１７に示す通りである。

演算（１）：非退化双線形ペアリング
空間Ｖにおけるペアリングは、数１１８によって定義される。

これは、非退化双線形である。つまり、ｅ（ｓｘ，ｔｙ）＝ｅ（ｘ，ｙ）^ｓｔであり、全てのｙ∈Ｖに対して、ｅ（ｘ，ｙ）＝１の場合、ｘ＝０である。また、全てのｉとｊとに対して、ｅ（ａ_ｉ，ａ_ｊ）＝ｅ（ｇ，ｇ）^δｉ，ｊである。ここで、ｉ＝ｊであれば、δ_ｉ，ｊ＝１であり、ｉ≠ｊであれば、δ_ｉ，ｊ＝０である。また、ｅ（ｇ，ｇ）≠１∈Ｇ_Ｔである。

演算（２）：ディストーション写像
数１１９に示す空間Ｖにおける線形変換φ_ｉ，ｊは、数１２０を行うことができる。

ここで、線形変換φ_ｉ，ｊをディストーション写像と呼ぶ。

以下の説明において、数１２１を、１^λ（λ∈自然数）、Ｎ∈自然数、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を入力として、セキュリティパラメータがλであり、Ｎ次元の空間Ｖとする双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ：＝（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）の値を出力するアルゴリズムとする。

なお、ここでは、上述した対称双線形ペアリング群により、双対ペアリングベクトル空間を構成した場合について説明する。なお、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成することも可能である。以下の説明を、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成した場合に応用することは容易である。

＜第３．属性ベース署名方式を実現するための概念＞
＜第３−１．スパンプログラム＞
図１は、行列Ｍ＾の説明図である。
｛ｐ_１，．．．，ｐ_ｎ｝を変数の集合とする。Ｍ＾：＝（Ｍ，ρ）は、ラベル付けされた行列である。ここで、行列Ｍは、Ｆ_ｑ上の（Ｌ行×ｒ列）の行列である。また、ρは、行列Ｍの各列に付されたラベルであり、｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝のいずれか１つのリテラルへ対応付けられる。なお、Ｍの全ての行に付されたラベルρ_i（ｉ＝１，．．．，Ｌ）がいずれか１つのリテラルへ対応付けられる。つまり、ρ：｛１，．．．，Ｌ｝→｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝である。

全ての入力列δ∈｛０，１｝^ｎに対して、行列Ｍの部分行列Ｍ_δは定義される。行列Ｍ_δは、入力列δによってラベルρに値“１”が対応付けられた行列Ｍの行から構成される部分行列である。つまり、行列Ｍ_δは、δ_ｉ＝１であるようなｐ_ｉに対応付けられた行列Ｍの行と、δ_ｉ＝０であるような¬ｐ_ｉに対応付けられた行列Ｍの行とからなる部分行列である。
図２は、行列Ｍ_δの説明図である。なお、図２では、ｎ＝７，Ｌ＝６，ｒ＝５としている。つまり、変数の集合は、｛ｐ_１，．．．，ｐ_７｝であり、行列Ｍは（６行×５列）の行列である。また、図２において、ラベルρは、ρ_１が¬ｐ_２に、ρ_２がｐ_１に、ρ_３がｐ_４に、ρ_４が¬ｐ_５に、ρ_５が¬ｐ_３に、ρ_６がｐ_５にそれぞれ対応付けられているとする。
ここで、入力列δ∈｛０，１｝^７が、δ_１＝１，δ_２＝０，δ_３＝１，δ_４＝０，δ_５＝０，δ_６＝１，δ_７＝１であるとする。この場合、破線で囲んだリテラル（ｐ_１，ｐ_３，ｐ_６，ｐ_７，¬ｐ_２，¬ｐ_４，¬ｐ_５）に対応付けられている行列Ｍの行からなる部分行列が行列Ｍ_δである。つまり、行列Ｍの１行目（Ｍ_１），２行目（Ｍ_２），４行目（Ｍ_４）からなる部分行列が行列Ｍ_δである。

言い替えると、写像γ：｛１，．．．，Ｌ｝→｛０，１｝が、［ρ（ｊ）＝ｐ_ｉ］∧［δ_ｉ＝１］又は［ρ（ｊ）＝¬ｐ_ｉ］∧［δ_ｉ＝０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０であるとする。この場合に、Ｍ_δ：＝（Ｍ_ｊ）_{γ（ｊ）＝１}である。ここで、Ｍ_ｊは、行列Ｍのｊ番目の行である。
つまり、図２では、写像γ（ｊ）＝１（ｊ＝１，２，４）であり、写像γ（ｊ）＝０（ｊ＝３，５，６）である。したがって、（Ｍ_ｊ）_{γ（ｊ）＝１}は、Ｍ_１，Ｍ_２，Ｍ_４であり、行列Ｍ_δである。
すなわち、写像γ（ｊ）の値が“０”であるか“１”であるかによって、行列Ｍのｊ番目の行が行列Ｍ_δに含まれるか否かが決定される。

１^→∈ｓｐａｎ＜Ｍ_δ＞である場合に限り、スパンプログラムＭ＾は入力列δを受理し、他の場合には入力列δを拒絶する。つまり、入力列δによって行列Ｍ＾から得られる行列Ｍ_δの行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。なお、１^→とは、各要素が値“１”である行ベクトルである。
例えば、図２の例であれば、行列Ｍの１，２，４行目からなる行列Ｍ_δの各行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理する。

ここで、ラベルρが正のリテラル｛ｐ_１，．．．，ｐ_ｎ｝にのみ対応付けられている場合、スパンプログラムはモノトーンと呼ばれる。一方、ラベルρがリテラル｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝に対応付けられている場合、スパンプログラムはノンモノトーンと呼ばれる。ここでは、スパンプログラムはノンモノトーンとする。そして、ノンモノトーンスパンプログラムを用いて、アクセスストラクチャ（ノンモノトーンアクセスストラクチャ）を構成する。
上述したように、スパンプログラムがモノトーンではなく、ノンモノトーンであることにより、スパンプログラムを利用して構成する属性ベース署名方式の利用範囲が広がる。

＜第３−２．属性ベクトルの内積とアクセスストラクチャ＞
ここでは、属性ベクトルの内積を用いて上述した写像γ（ｊ）を計算する。つまり、属性ベクトルの内積を用いて、行列Ｍのどの行を行列Ｍ_δに含めるかを決定する。

Ｕ_ｔ（ｔ＝１，．．．，ｄでありＵ_ｔ⊂｛０，１｝^＊）は、部分全集合（ｓｕｂ−ｕｎｉｖｅｒｓｅ）であり、属性の集合である。そして、Ｕ_ｔは、それぞれ部分全集合の識別情報（ｔ）と、ｎ_ｔ次元ベクトル（ｖ^→）とを含む。つまり、Ｕ_ｔは、（ｔ，ｖ^→）である。ここで、ｔ∈｛１，．．．，ｄ｝であり、ｖ^→∈Ｆ_ｑ ^ｎｔである。

Ｕ_ｔ：＝（ｔ，ｖ^→）をスパンプログラムＭ＾：＝（Ｍ，ρ）における変数ｐとする。つまり、ｐ：＝（ｔ，ｖ^→）である。そして、変数（ｐ：＝（ｔ，ｖ^→），（ｔ’，ｖ’^→），．．．）としたスパンプログラムＭ＾：＝（Ｍ，ρ）をアクセスストラクチャＳとする。
つまり、アクセスストラクチャＳ：＝（Ｍ，ρ）であり、ρ：｛１，．．．，Ｌ｝→｛（ｔ，ｖ^→），（ｔ’，ｖ’^→），．．．，¬（ｔ，ｖ^→），¬（ｔ’，ｖ’^→），．．．｝である。

次に、Γを属性の集合とする。つまり、Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆｑ^ｎｔ，１≦ｔ≦ｄ｝である。
アクセスストラクチャＳにΓが与えられた場合、スパンプログラムＭ＾：＝（Ｍ，ρ）に対する写像γ：｛１，．．．，Ｌ｝→｛０，１｝は、以下のように定義される。ｉ＝１，．．．，Ｌの各整数ｉについて、［ρ（ｉ）＝（ｔ，ｖ^→ _ｉ）］∧［（ｔ，ｘ^→ _ｔ）∈Γ］∧［ｖ^→ _ｉ・ｘ^→ _ｔ＝０］、又は、［ρ（ｉ）＝¬（ｔ，ｖ^→ _ｉ）］∧［（ｔ，ｘ^→ _ｔ）∈Γ］∧［ｖ^→ _ｉ・ｘ^→ _ｔ≠０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０とする。
つまり、属性ベクトルｖ^→とｘ^→との内積に基づき、写像γが計算される。そして、上述したように、写像γにより、行列Ｍのどの行を行列Ｍ_δに含めるかが決定される。すなわち、属性ベクトルｖ^→とｘ^→との内積により、行列Ｍのどの行を行列Ｍ_δに含めるかが決定され、１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合に限り、アクセスストラクチャＳ：＝（Ｍ，ρ）はΓを受理する。

ｔ∈｛１，．．．，ｄ｝の全ての整数ｔについて、ｎ_ｔ＝２とし、ｘ^→：＝（１，ｘ）、ｖ^→：＝（ｖ，−１）とした場合、このアクセスストラクチャにおける内積述語の関係がより簡単な形式になる。
この場合、（ｔ，ｘ^→ _ｔ）：＝（ｔ，（１，ｘ）），（ｔ，ｖ^→ _ｉ）：＝（ｔ，（ｖ_ｉ，−１））である。しかし、これらを簡単化して（ｔ，ｘ_ｔ）、（ｔ，ｖ_ｉ）と表す。すると、アクセスストラクチャＳは、ρ：＝｛１，．．．，Ｌ｝→｛（ｔ，ｖ），（ｔ’、ｖ’），．．．，¬（ｔ，ｖ），¬（ｔ’，ｖ’），．．．｝（ｖ，ｖ’，．．．∈Ｆ_ｑ）であるＳ：＝（Ｍ，ρ）となる。また、属性の集合Γは、Γ：＝｛（ｔ，ｘ_ｔ）｜ｘ_ｔ∈Ｆ_ｑ，１≦ｔ≦ｄ｝となる。
そして、アクセスストラクチャＳにΓが与えられた場合、スパンプログラムＭ＾：＝（Ｍ，ρ）に対する写像γ：｛１，．．．，Ｌ｝→｛０，１｝は、以下のように定義される。ｉ＝１，．．．，Ｌの各整数ｉについて、［ρ（ｉ）＝（ｔ，ｖ_ｉ）］∧［（ｔ，ｘ_ｔ）∈Γ］∧［ｖ_ｉ＝ｘ_ｔ］、又は、［ρ（ｉ）＝¬（ｔ，ｖ_ｉ）］∧［（ｔ，ｘ_ｔ）∈Γ］∧［ｖ_ｉ≠ｘ_ｔ］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０とする。

＜第３−３．秘密分散方式＞
アクセスストラクチャＳ：＝（Ｍ，ρ）に対する秘密分散方式について説明する。
なお、秘密分散方式とは、秘密情報を分散させ、意味のない分散情報にすることである。例えば、秘密情報ｓを１０個に分散させ、１０個の分散情報を生成する。ここで、１０個の分散情報それぞれは、秘密情報ｓの情報を有していない。したがって、ある１個の分散情報を手に入れても秘密情報ｓに関して何ら情報を得ることはできない。一方、１０個の分散情報を全て手に入れれば、秘密情報ｓを復元できる。
また、１０個の分散情報を全て手に入れなくても、一部だけ（例えば、８個）手に入れれば秘密情報ｓを復元できる秘密分散方式もある。このように、１０個の分散情報のうち８個で秘密情報ｓを復元できる場合を、８−ｏｕｔ−ｏｆ−１０と呼ぶ。つまり、ｎ個の分散情報のうちｔ個で秘密情報ｓを復元できる場合を、ｔ−ｏｕｔ−ｏｆ−ｎと呼ぶ。このｔを閾値と呼ぶ。
また、ｄ_１，．．．，ｄ_１０の１０個の分散情報を生成した場合に、ｄ_１，．．．，ｄ_８までの８個の分散情報であれば秘密情報ｓを復元できるが、ｄ_３，．．．，ｄ_１０までの８個の分散情報であれば秘密情報ｓを復元できないというような秘密分散方式もある。つまり、手に入れた分散情報の数だけでなく、分散情報の組合せに応じて秘密情報ｓを復元できるか否かを制御する秘密分散方式もある。

図３は、ｓ_０の説明図である。図４は、ｓ^→Ｔの説明図である。
行列Ｍを（Ｌ行×ｒ列）の行列とする。ｆ^→Ｔを数１２２に示す列ベクトルとする。

数１２３に示すｓ_０を共有される秘密情報とする。

また、数１２４に示すｓ^→Ｔをｓ_０のＬ個の分散情報のベクトルとする。

そして、分散情報ｓ_ｉをρ（ｉ）に属するものとする。

アクセスストラクチャＳ：＝（Ｍ，ρ）がΓを受理する場合、つまりγ：｛１，．．．，Ｌ｝→｛０，１｝について１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合、Ｉ⊆｛ｉ∈｛１，．．．，Ｌ｝｜γ（ｉ）＝１｝である定数｛α_ｉ∈Ｆ_ｑ｜ｉ∈Ｉ｝が存在する。
これは、図２の例で、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理すると説明したことからも明らかである。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾が入力列δを受理するのであれば、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する。
そして、数１２５である。

なお、定数｛α_ｉ｝は、行列Ｍのサイズにおける多項式時間で計算可能である。

この実施の形態及び以下の実施の形態に係る属性ベース署名方式は、上述したように、スパンプログラムに内積述語と秘密分散方式とを適用してアクセスストラクチャを構成する。そのため、スパンプログラムにおける行列Ｍや、内積述語における属性情報ｘ及び属性情報ｖ（述語情報）を設計することにより、アクセス制御を自由に設計することができる。つまり、非常に高い自由度でアクセス制御の設計を行うことができる。なお、行列Ｍの設計は、秘密分散方式の閾値等の条件設計に相当する。

特に、この実施の形態及び以下の実施の形態に係る属性ベース署名方式におけるアクセスストラクチャは、ノンモノトーンスパンプログラムを用いたノンモノトーンアクセスストラクチャを構成する。つまり、この実施の形態及び以下の実施の形態に係る属性ベース署名方式は、ノンモノトーン述語を伴う署名方式である。そのため、アクセス制御の設計の自由度がより高くなる。

＜第３−４．衝突困難ハッシュ関数＞
衝突困難ハッシュ関数とは、出力が同じになる２つの入力を見つけることが困難なハッシュ関数である。

自然数λをセキュリティパラメータとする。アルゴリズムＧ_ｂｐｇに関する衝突困難ハッシュ関数系Ｈと、多項式ｐｏｌｙ（λ）とについて以下の２つのことが言える。
１．鍵空間系は、λによって索引付けされる。各鍵空間は、ＫＨ_λによって示されるビット列における確率空間である。１^λを入力とした場合の出力分布がＫＨ_λと等しい確率的多項式時間アルゴリズムが存在する。
２．ハッシュ関数系は、λと、ＫＨ_λからランダムに選択されたｈｋと、Ｄ：＝｛０，１｝^{ｐｏｌｙ（λ）}とによって索引付けされる。ここで、各関数Ｈ_ｈｋ ^λ，Ｄは、Ｄの要素からＦ_ｑ ^Ｘへの写像である。なお、ｑは、アルゴリズムＧ_ｂｐｇ（１^λ）の出力ｐａｒａｍ_Ｇの最初の要素である。１^λとｈｋとｄ∈Ｄとを入力として、Ｈ_ｈｋ ^λ，Ｄ（ｄ）を出力する決定的多項式時間アルゴリズムがある。

εを確率的多項式時間機械であるとする。全てのλに対して、数１２６を定義する。

どんな確率的多項式時間攻撃者εに対しても、Ａｄｖ_ε ^Ｈ，ＣＲ（λ）が無視し得る程度であるなら、Ｈは衝突困難ハッシュ関数系である。

＜第４．属性ベース署名方式の構成＞
＜第４−１．属性ベース署名方式の基本構成＞
属性ベース署名方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｓｉｇ、Ｖｅｒの４つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（（ｄ；ｎ_ｔ，ｕ_ｔ，ｗ_ｔ，ｚ_ｔ（ｔ＝１，．．．，ｄ））とを入力として、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、属性の集合であるΓ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎｔ＼{０^→}，１≦ｔ≦ｄ｝と、公開パラメータｐｋと、マスター鍵ｓｋとを入力として、署名鍵ｓｋ_Γを出力する確率的アルゴリズムである。
（Ｓｉｇ）
Ｓｉｇアルゴリズムは、メッセージｍと、属性の集合Γを受理するようなアクセスストラクチャＳ：＝（Ｍ，ρ）と、署名鍵ｓｋ_Γと、公開パラメータｐｋとを入力として、署名ｓ^→＊とメッセージｍとアクセスストラクチャＳとを含む署名データσを出力する確率的アルゴリズムである。
（Ｖｅｒ）
Ｖｅｒアルゴリズムは、署名データσと、公開パラメータｐｋとを入力として、ブール値１（受理）又は０（拒絶）を出力するアルゴリズムである。

属性ベース署名方式は、数１２７に示す全ての公開パラメータｐｋ及びマスター鍵ｓｋと、全てのメッセージｍと、全ての属性の集合Γと、数１２８に示す全ての署名鍵ｓｋ_Γと、属性の集合Γを受理する全てのアクセスストラクチャＳと、数１２９に示す全ての署名データσとに対して、確率１で１＝Ｖｅｒ（ｐｋ，ｍ，Ｓ，σ）が成立する。

＜第４−２．署名処理システム１０＞
上述した属性ベース署名方式のアルゴリズムを実行する署名処理システム１０について説明する。
図５は、属性ベース署名方式のアルゴリズムを実行する署名処理システム１０の構成図である。
署名処理システム１０は、鍵生成装置１００、署名装置２００、検証装置３００を備える。
鍵生成装置１００は、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（（ｄ；ｎ_ｔ，ｕ_ｔ，ｗ_ｔ，ｚ_ｔ（ｔ＝１，．．．，ｄ））とを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成した公開パラメータｐｋを公開する。また、鍵生成装置１００は、属性の集合であるΓ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎｔ＼{０^→}，１≦ｔ≦ｄ｝と、公開パラメータｐｋと、マスター鍵ｓｋとを入力としてＫｅｙＧｅｎアルゴリズムを実行して、署名鍵ｓｋ_Γを生成して署名装置２００へ秘密裡に配布する。
署名装置２００は、メッセージｍと、属性の集合Γを受理するようなアクセスストラクチャＳ：＝（Ｍ，ρ）と、署名鍵ｓｋ_Γと、公開パラメータｐｋとを入力としてＳｉｇアルゴリズムを実行して、署名ｓ^→＊とメッセージｍとアクセスストラクチャＳとを含む署名データσを生成する。署名装置２００は、生成した署名データσを検証装置３００へ送信する。
検証装置３００は、署名データσと、公開パラメータｐｋとを入力としてＶｅｒアルゴリズムを実行して、ブール値１（受理）又は０（拒絶）を出力する。

＜第４−３．属性ベース署名方式及び署名処理システム１０の詳細＞
図６から図１２に基づき、属性ベース署名方式、及び、属性ベース署名方式を実行する署名処理システム１０の機能と動作とについて説明する。
図６は、鍵生成装置１００の機能を示す機能ブロック図である。図７は、署名装置２００の機能を示す機能ブロック図である。図８は、検証装置３００の機能を示す機能ブロック図である。
図９と図１０とは、鍵生成装置１００の動作を示すフローチャートである。なお、図９はＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１０はＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図１１は、署名装置２００の動作を示すフローチャートであり、Ｓｉｇアルゴリズムの処理を示すフローチャートである。図１２は、検証装置３００の動作を示すフローチャートであり、Ｖｅｒアルゴリズムの処理を示すフローチャートである。

鍵生成装置１００の機能と動作とについて説明する。
図６に示すように、鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０（第１情報入力部）、署名鍵生成部１４０、鍵配布部１５０（署名鍵送信部）を備える。
また、署名鍵生成部１４０は、乱数生成部１４１、鍵要素０生成部１４２、鍵要素ｔ生成部１４３、鍵要素ｄ＋１生成部１４４を備える。

なお、以下の説明において、Ｈ：＝（ＫＨ_λ，Ｈ_ｈｋ ^λ，Ｄ）は、上述した衝突困難ハッシュ関数系である。

まず、図９に基づき、鍵生成装置１００が実行するＳｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１：正規直交基底生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１３０を計算して、ｐａｒａｍ_ｎ→と、ｔ＝０，．．．，ｄ＋１の各整数ｔについて基底Ｂ_ｔ及び基底Ｂ^＊ _ｔとをランダムに生成する。

つまり、マスター鍵生成部１１０は以下の処理を実行する。
（１）マスター鍵生成部１１０は、入力装置により、セキュリティパラメータλ（１^λ）と、属性のフォーマットｎ^→：＝（（ｄ；ｎ_ｔ，ｕ_ｔ，ｗ_ｔ，ｚ_ｔ（ｔ＝０，．．．，ｄ＋１））とを入力する。ここで、ｄは１以上の整数である。ｔ＝０についてのｎ_ｔは１であり、ｔ＝１，．．．，ｄまでの各整数ｔについてｎ_ｔは１以上の整数であり、ｔ＝ｄ＋１についてのｎ_ｔは２である。ｔ＝０，．．．，ｄ＋１までの各整数ｔについてｕ_ｔ，ｗ_ｔ，ｚ_ｔは１以上の整数である。
（２）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλ（１^λ）を入力としてアルゴリズムＧ_ｂｐｇを実行して、ランダムに双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を生成する。
（３）マスター鍵生成部１１０は、処理装置により、乱数ψを生成する。また、マスター鍵生成部１１０は、ｔ＝０，．．．，ｄ＋１の各整数ｔについてＮ_ｔにｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔを設定する。

続いて、マスター鍵生成部１１０は、ｔ＝０，．．．，ｄ＋１の各整数ｔについて以下の（４）から（８）までの処理を実行する。
（４）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλ（１^λ）と、（３）で設定したＮ_ｔと、（２）で生成したｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値とを入力としてアルゴリズムＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖｔ：＝（ｑ，Ｖ_ｔ，Ｇ_Ｔ，Ａ_ｔ，ｅ）の値を生成する。
（５）マスター鍵生成部１１０は、処理装置により、（３）で設定したＮ_ｔと、Ｆ_ｑとを入力として、線形変換Ｘ_ｔ：＝（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊをランダムに生成する。なお、ＧＬは、ＧｅｎｅｒａｌＬｉｎｅａｒの略である。つまり、ＧＬは、一般線形群であり、行列式が０でない正方行列の集合であり、乗法に関し群である。また、（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊは、行列χ_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，ｎ_ｔである。
（６）マスター鍵生成部１１０は、処理装置により、乱数ψと線形変換Ｘ_ｔとに基づき、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊ：＝ψ・（Ｘ_ｔ ^Ｔ）^−１を生成する。なお、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊも（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊと同様に、行列ν_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，ｎ_ｔである。
（７）マスター鍵生成部１１０は、処理装置により、（５）で生成した線形変換Ｘ_ｔに基づき、（４）で生成した標準基底Ａ_ｔから基底Ｂ_ｔを生成する。
（８）マスター鍵生成部１１０は、処理装置により、（６）で生成した（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊに基づき、（４）で生成した標準基底Ａ_ｔから基底Ｂ^＊ _ｔを生成する。
（９）マスター鍵生成部１１０は、処理装置により、ｇ_Ｔにｅ（ｇ，ｇ）^ψを設定する。また、マスター鍵生成部１１０は、ｐａｒａｍ_ｎ→に（４）で生成した｛ｐａｒａｍ_Ｖｔ｝_{ｔ＝０，．．．，ｄ＋１}と、ｇ_Ｔとを設定する。なお、ｔ＝０，．．．，ｄ＋１とｉ＝１，．．．，Ｎ_ｔとの各整数ｔ，ｉについて、ｇ_Ｔ＝ｅ（ｂ_ｔ，ｉ，ｂ^＊ _ｔ，ｉ）である。

すなわち、（Ｓ１０１）で、マスター鍵生成部１１０は、数１３１に示すアルゴリズムＧ_ｏｂを実行して、ｐａｒａｍ_ｎ→と、ｔ＝０，．．．，ｄ＋１の各整数ｔについて基底Ｂ_ｔ及び基底Ｂ^＊ _ｔとを生成する。

（Ｓ１０２：ハッシュキー生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１３２を計算して、ハッシュキーｈｋをランダムに生成する。

（Ｓ１０３：公開パラメータ生成ステップ）
マスター鍵生成部１１０は、処理装置により、基底Ｂ_０の部分基底Ｂ＾_０と、ｔ＝１，．．．，ｄの各整数ｔについて基底Ｂ_ｔの部分基底Ｂ＾_ｔと、基底Ｂ_ｄ＋１の部分基底Ｂ＾_ｄ＋１とを数１３３に示すように生成する。

また、マスター鍵生成部１１０は、処理装置により、ｔ＝１，．．．，ｄの各整数ｔについて基底Ｂ^＊ _ｔの部分基底Ｂ＾^＊ _ｔと、基底Ｂ_ｄ＋１の部分基底Ｂ＾^＊ _ｄ＋１とを数１３４に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾_ｔ（ｔ＝０，．．．，ｄ＋１）と部分基底Ｂ＾^＊ _ｔ（ｔ＝１，．．．，ｄ＋１）と、（Ｓ１０１）で入力されたセキュリティパラメータλ（１^λ）と、（Ｓ１０１）で生成したｐａｒａｍ_ｎ→と、（Ｓ１０２）で生成したハッシュキーｈｋと、基底ベクトルｂ^＊ _{０，１＋ｕ０＋１}，．．．，ｂ^＊ _{０，１＋ｕ０＋ｗ０}（ここでｕ０、ｗ０は、ｕ_０，ｗ_０のことである）とを合わせて、公開パラメータｐｋとする。

（Ｓ１０４：マスター鍵生成ステップ）
マスター鍵生成部１１０は、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１をマスター鍵ｓｋとする。

（Ｓ１０５：マスター鍵記憶ステップ）
マスター鍵記憶部１２０は、（Ｓ１０３）で生成した公開パラメータｐｋを記憶装置に記憶する。また、マスター鍵記憶部１２０は、（Ｓ１０４）で生成したマスター鍵ｓｋを記憶装置に記憶する。

つまり、（Ｓ１０１）から（Ｓ１０４）において、鍵生成装置１００は数１３５に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、（Ｓ１０５）で、鍵生成装置１００は生成された公開パラメータｐｋとマスター鍵ｓｋとを記憶装置に記憶する。
なお、公開パラメータは、例えば、ネットワークを介して公開され、署名装置２００や検証装置３００が取得可能な状態にされる。

次に、図１０に基づき、鍵生成装置１００が実行するＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ２０１：情報入力ステップ）
情報入力部１３０は、入力装置により、属性の集合Γ：＝｛（ｔ，ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ））｜１≦ｔ≦ｄ｝を入力する。ｔは、１以上ｄ以下の全ての整数ではなく、１以上ｄ以下の少なくとも一部の整数であってもよい。

（Ｓ２０２：乱数生成ステップ）
乱数生成部１４１は、処理装置により、乱数δと、乱数φ_０，φ_ｔ，ι，φ_{ｄ＋１，１，ι}，φ_{ｄ＋１，２，ι}（ｔ＝１，．．．，ｄ；ι＝１，．．．，ｗ_ｔ）とを数１３６に示すように生成する。

（Ｓ２０３：鍵要素０生成ステップ）
鍵要素０生成部１４２は、処理装置により、署名鍵ｓｋ_Γの要素である鍵要素ｋ^＊ _０を数１３７に示すように生成する。

なお、上述したように、数１１３に示す基底Ｂと基底Ｂ^＊とに対して、数１１４である。したがって、数１３７は、以下のように、基底Ｂ^＊ _０の基底ベクトルの係数が設定されることを意味する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _０，１，．．．，ｂ^＊ _０，３を意味する。
基底Ｂ^＊ _０の基底ベクトル１の係数として乱数δが設定される。基底ベクトル１＋１，．．．，１＋ｕ_０の係数として０が設定される。基底ベクトル１＋ｕ_０＋１，．．．，１＋ｕ_０＋ｗ_０の係数として乱数φ_０，１，．．．，φ_０，ｗｏ（ここで、ｗ０はｗ_０のことである）が設定される。基底ベクトル１＋ｕ_０＋ｗ_０＋１，．．．，１＋ｕ_０＋ｗ_０＋ｚ_０の係数として０が設定される。

（Ｓ２０４：鍵要素ｔ生成ステップ）
鍵要素ｔ生成部１４３は、処理装置により、属性の集合Γに含まれる（ｔ，ｘ^→ _ｔ）の各整数ｔについて、署名鍵ｓｋ_Γの要素である鍵要素ｋ^＊ _ｔを数１３８に示すように生成する。

つまり、数１３８は、数１３７と同様に、以下のように、基底Ｂ^＊ _ｔの基底ベクトルの係数が設定されることを意味する。なお、ここでは、表記を簡略化して、基底ベクトルｂ^＊ _ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _ｔ，１，．．．，ｂ^＊ _ｔ，３を意味する。
基底ベクトル１，．．．，ｎ_ｔの係数としてδｘ_ｔ，１，．．．，δｘ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数として乱数φ_ｔ，１，．．．，φ_ｔ，ｗｔ（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。

（Ｓ２０５：鍵要素ｄ＋１生成ステップ）
鍵要素ｄ＋１生成部１４４は、処理装置により、署名鍵ｓｋ_Γの要素である鍵要素ｋ^＊ _{ｄ＋１，１}と鍵要素ｋ^＊ _{ｄ＋１，２}とを数１３９に示すように生成する。

つまり、数１３９は、数１３７と同様に、以下のように、基底Ｂ^＊ _ｄ＋１の基底ベクトルの係数が設定されることを意味する。なお、ここでは、表記を簡略化して、基底ベクトルｂ^＊ _{ｄ＋１，ｉ}のうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _{ｄ＋１，１}を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _{ｄ＋１，１}，．．．，ｂ^＊ _{ｄ＋１，３}を意味する。
まず、鍵要素ｋ^＊ _{ｄ＋１，１}については、基底ベクトル１の係数として乱数δが設定される。基底ベクトル２の係数として０が設定される。基底ベクトル２＋１，．．．，２＋ｕ_ｄ＋１の係数として０が設定される。基底ベクトル２＋ｕ_ｄ＋１＋１，．．．，２＋ｕ_ｄ＋１＋ｗ_ｄ＋１の係数として乱数φ_{ｄ＋１，１，１}，．．．，φ_{ｄ＋１，１，ｗｄ＋１}（ここで、ｗｄ＋１はｗ_ｄ＋１のことである）が設定される。基底ベクトル２＋ｕ_ｄ＋１＋ｗ_ｄ＋１＋１，．．．，２＋ｕ_ｄ＋１＋ｗ_ｄ＋１＋ｚ_ｄ＋１の係数として０が設定される。
また、鍵要素ｋ^＊ _{ｄ＋１，２}については、基底ベクトル１の係数として０が設定される。基底ベクトル２の係数として乱数δが設定される。基底ベクトル２＋１，．．．，２＋ｕ_ｄ＋１の係数として０が設定される。基底ベクトル２＋ｕ_ｄ＋１＋１，．．．，２＋ｕ_ｄ＋１＋ｗ_ｄ＋１の係数として乱数φ_{ｄ＋１，２，１}，．．．，φ_{ｄ＋１，２，ｗｄ＋１}（ここで、ｗｄ＋１はｗ_ｄ＋１のことである）が設定される。基底ベクトル２＋ｕ_ｄ＋１＋ｗ_ｄ＋１＋１，．．．，２＋ｕ_ｄ＋１＋ｗ_ｄ＋１＋ｚ_ｄ＋１の係数として０が設定される。

（Ｓ２０６：鍵配布ステップ）
鍵配布部１５０は、属性の集合Γと、鍵要素ｋ^＊ _０と、鍵要素ｋ^＊ _ｔ（ｔは属性の集合Γに含まれる（ｔ，ｘ^→ _ｔ）におけるｔ）と、鍵要素ｋ^＊ _{ｄ＋１，１}及び鍵要素ｋ^＊ _{ｄ＋１，２}とを要素とする署名鍵ｓｋ_Γを、例えば通信装置によりネットワークを介して秘密裡に署名装置２００へ配布する。もちろん、署名鍵ｓｋ_Γは、他の方法により署名装置２００へ配布されてもよい。

つまり、（Ｓ２０１）から（Ｓ２０５）において、鍵生成装置１００は数１４０に示すＫｅｙＧｅｎアルゴリズムを実行して、署名鍵ｓｋ_Γを生成する。そして、（Ｓ２０６）で、鍵生成装置１００は生成された署名鍵ｓｋ_Γを署名装置２００へ配布する。

署名装置２００の機能と動作とについて説明する。
図７に示すように、署名装置２００は、署名鍵取得部２１０、情報入力部２２０（第２情報入力部）、スパンプログラム計算部２３０、補完係数計算部２４０、署名データ生成部２５０、署名データ送信部２６０（署名データ出力部）を備える。
また、情報入力部２２０は、述語情報入力部２２１、メッセージ入力部２２２を備える。また、署名データ生成部２５０は、乱数生成部２５１、署名要素０生成部２５２、署名要素ｉ生成部２５３、署名要素Ｌ＋１生成部２５４を備える。

図１１に基づき、署名装置２００が実行するＳｉｇアルゴリズムの処理について説明する。
（Ｓ３０１：署名鍵取得ステップ）
署名鍵取得部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した署名鍵ｓｋ_Γを取得する。また、署名鍵取得部２１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ３０２：情報入力ステップ）
述語情報入力部２２１は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、行列Ｍは、Ｌ行×ｒ列の行列である。Ｌ，ｒは、１以上の整数である。
また、メッセージ入力部２２２は、入力装置により、署名を付すメッセージｍを入力する。
なお、アクセスストラクチャＳの行列Ｍの設定については、実現したいシステムの条件に応じて設定されるものである。

（Ｓ３０３：スパンプログラム計算ステップ）
スパンプログラム計算部２３０は、処理装置により、（Ｓ３０２）で入力したアクセスストラクチャＳが、（Ｓ３０１）で取得した署名鍵ｓｋ_Γに含まれる属性の集合Γを受理するか否かを判定する。
なお、アクセスストラクチャが属性の集合を受理するか否かの判定方法は、「第３．関数型暗号を実現するための概念」で説明した通りである。
スパンプログラム計算部２３０は、アクセスストラクチャＳが属性の集合Γを受理する場合（Ｓ３０３で受理）、処理を（Ｓ３０４）へ進める。一方、アクセスストラクチャＳが属性の集合Γを拒絶する場合（Ｓ３０３で拒絶）、処理を終了する。

（Ｓ３０４：補完係数計算ステップ）
補完係数計算部４３０は、処理装置により、数１４１となるＩと、Ｉに含まれる各整数ｉについて定数（補完係数）α_ｉとを計算する。

なお、Ｍ_ｉとは、行列Ｍのｉ行目のことである。

（Ｓ３０５：乱数生成ステップ）
乱数生成部２５１は、処理装置により、乱数ξと、乱数β_ｉ（ｉ＝１，．．．，Ｌ）とを数１４２に示すように生成する。

（Ｓ３０６：署名要素０生成ステップ）
署名要素０生成部２５２は、処理装置により、署名データσの要素である署名要素ｓ^＊ _０を数１４３に示すように生成する。

ここで、ｒ^＊ _０は、数１４４（数１１０から数１１２及びこれらの数式の説明を参照）である。

（Ｓ３０７：署名要素ｉ生成ステップ）
署名要素ｉ生成部２５３は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、署名データσの要素である署名要素ｓ^＊ _ｉを数１４５に示すように生成する。

ここで、ｒ^＊ _ｉは、数１４６（数１１０から数１１２及びこれらの数式の説明を参照）である。

また、γ_ｉとｙ^→ _ｉ：＝（ｙ_ｉ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）とは、数１４７である。

（Ｓ３０８：署名要素Ｌ＋１生成ステップ）
署名要素Ｌ＋１生成部２５４は、処理装置により、署名データσの要素である署名要素ｓ^＊ _Ｌ＋１を数１４８に示すように生成する。

ここで、ｒ^＊ _Ｌ＋１は、数１４９（数１１０から数１１２及びこれらの数式の説明を参照）である。

（Ｓ３０９：データ送信ステップ）
署名データ送信部２６０は、署名要素ｓ^＊ _０と、署名要素ｓ^＊ _ｉ（ｉ＝１，．．．，Ｌ）と、署名要素ｓ^＊ _Ｌ＋１と、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを含む署名データσを、例えば通信装置によりネットワークを介して検証装置３００へ送信する。もちろん、署名データσは、他の方法により検証装置３００へ送信されてもよい。

つまり、（Ｓ３０１）から（Ｓ３０８）において、署名装置２００は数１５０に示すＳｉｇアルゴリズムを実行して、署名データσを生成する。そして、（Ｓ３０９）で、署名装置２００は生成された署名データσを検証装置３００へ配布する。

検証装置３００の機能と動作とについて説明する。
図８に示すように、検証装置３００は、公開パラメータ取得部３１０、データ受信部３２０、検証鍵生成部３３０、ペアリング演算部３４０を備える。
また、検証鍵生成部３３０は、乱数生成部３３１、ｆベクトル生成部３３２、ｓベクトル生成部３３３、検証要素０生成部３３４、検証要素ｉ生成部３３５、検証要素Ｌ＋１生成部３３６を備える。

図１２に基づき、検証装置３００が実行するＶｅｒアルゴリズムの処理について説明する。
（Ｓ４０１：公開パラメータ取得ステップ）
公開パラメータ取得部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ４０２：署名データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、署名装置２００が送信した署名データσを受信する。

（Ｓ４０３：ｆベクトル生成ステップ）
ｆベクトル生成部３３２は、処理装置により、ｒ個の要素を有するベクトルｆ^→を数１５１に示すようにランダムに生成する。

（Ｓ４０４：ｓベクトル生成ステップ）
ｓベクトル生成部３３３は、処理装置により、（Ｓ４０２）で受信した署名データσに含まれるアクセスストラクチャＳの（Ｌ行×ｒ列）の行列Ｍと、（Ｓ４０３）で生成したｒ個の要素を有するベクトルｆ^→とに基づき、ベクトルｓ^→Ｔを数１５２に示すように生成する。

また、ｓベクトル生成部３３３は、処理装置により、（Ｓ４０３）で生成したベクトルｆ^→に基づき、値ｓ_０を数１５３に示すように生成する。なお、１^→は、全ての要素が値１のベクトルである。

（Ｓ４０５：乱数生成ステップ）
乱数生成部３３１は、処理装置により、ｉ＝１，．．．，ｚ₀の各整数ｉについて乱数η_０，ｉと、ｉ＝１，．．．，ｚ_ｄ＋１の各整数ｉについて乱数η_{Ｌ＋１，ｉ}と、乱数θ_Ｌ＋１と、乱数ｓ_Ｌ＋１とを数１５４に示すように生成する。

（Ｓ４０６：検証要素０生成ステップ）
検証要素０生成部３３４は、処理装置により、検証鍵の要素である検証要素ｃ_０を数１５５に示すように生成する。

なお、上述したように、数１１３に示す基底Ｂと基底Ｂ^＊とに対して、数１１４である。したがって、数１５５は、以下のように、基底Ｂ_０の基底ベクトルの係数が設定されることを意味する。こでは、表記を簡略化して、基底ベクトルｂ_０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ_０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ_０，１，．．．，ｂ_０，３を意味する。
基底Ｂ_０の基底ベクトル１の係数として−ｓ_０−ｓ_Ｌ＋１が設定される。基底ベクトル１＋１，．．．，１＋ｕ_０＋ｗ_０の係数として０が設定される。基底ベクトル１＋ｕ_０＋ｗ_０＋１，．．．，１＋ｕ_０＋ｗ_０＋ｚ_０の係数として乱数η_０，１，．．．，η_０，ｚ０（ここで、ｚ０はｚ_０のことである）が設定される。

（Ｓ４０７：検証要素ｉ生成ステップ）
検証要素ｉ生成部３３５は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、検証鍵の要素である検証要素ｃ_ｉを数１５６に示すように生成する。

つまり、数１５６は、数１５５と同様に、以下のように、基底Ｂ_ｔの基底ベクトルの係数が設定されることを意味する。なお、ここでは、表記を簡略化して、基底ベクトルｂ_ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ_ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ_ｔ，１，．．．，ｂ_ｔ，３を意味する。
ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、基底ベクトル１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１が設定される。基底ベクトル２，．．．，ｎ_ｔの係数としてθ_ｉｖ_ｉ，２，．．．，θ_ｉｖ_ｉ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数としてη_ｉ，１，．．．，η_ｉ，ｚｔ（ここで、ｚｔはｚ_ｔのことである）が設定される。
一方、ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、基底ベクトル１，．．．，ｎ_ｔの係数としてｓ_ｉｖ_ｉ，１，．．．，θ_ｉｖ_ｉ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトル２の係数として−ｓ_ｉが設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数としてη_ｉ，１，．．．，η_ｉ，ｚｔ（ここで、ｚｔはｚ_ｔのことである）が設定される。
なお、θ_ｉ及びη_ｉ，ｉ’（ｉ’＝１，．．．，ｚ_ｔ）は乱数生成部２３３によって生成される一様乱数である。

（Ｓ４０８：署名要素Ｌ＋１生成ステップ）
検証要素Ｌ＋１生成部３３６は、処理装置により、検証鍵の要素である検証要素ｃ_Ｌ＋１を数１５７に示すように生成する。

つまり、数１５７は、数１５５と同様に、以下のように、基底Ｂ_ｄ＋１の基底ベクトルの係数が設定されることを意味する。なお、ここでは、表記を簡略化して、基底ベクトルｂ_{ｄ＋１，ｉ}のうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ_{ｄ＋１，１}を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ_{ｄ＋１，１}，．．．，ｂ_{ｄ＋１，３}を意味する。
基底ベクトル１の係数としてｓ_Ｌ＋１−θ_Ｌ＋１・Ｈ_ｈｋ ^λ，Ｄ（ｍ｜｜Ｓ）が設定される。基底ベクトル２の係数としてθ_Ｌ＋１が設定される。基底ベクトル２＋１，．．．，２＋ｕ_ｄ＋１＋ｗ_ｄ＋１の係数として０が設定される。基底ベクトル２＋ｕ_ｄ＋１＋ｗ_ｄ＋１＋１，．．．，２＋ｕ_ｄ＋１＋ｗ_ｄ＋１＋ｚ_ｄ＋１の係数として乱数η_{Ｌ＋１，１}，．．．，η_{Ｌ＋１，ｚｄ＋１}（ここで、ｚｄ＋１はｚ_ｄ＋１のことである）が設定される。

（Ｓ４０９：第１ペアリング演算ステップ）
ペアリング演算部３４０は、処理装置により、ペアリング演算ｅ（ｂ_０，１，ｓ^＊ _０）を計算する。
ペアリング演算ｅ（ｂ_０，１，ｓ^＊ _０）を計算した結果が値１であれば、ペアリング演算部３４０は、署名の検証に失敗したことを示す値０を出力して、処理を終了する。一方、ペアリング演算ｅ（ｂ_０，１，ｓ^＊ _０）を計算した結果が値１でなければ、ペアリング演算部３４０は、処理をＳ４１０へ進める。

（Ｓ４１０：第２ペアリング演算ステップ）
ペアリング演算部３４０は、処理装置により、数１５８に示すペアリング演算を計算する。

数１５８に示すペアリング演算を計算した結果が値１であれば、ペアリング演算部３４０は、署名の検証に成功したことを示す値１を出力する。一方、その他の値であれば、ペアリング演算部３４０は、署名の検証に失敗したことを示す値０を出力する。
なお、数１５９に示すように、数１５８を計算することにより、署名データσが正当なものであれば、値１が得られる。

つまり、（Ｓ４０１）から（Ｓ４１０）において、検証装置３００は、数１６０に示すＶｅｒアルゴリズムを実行して、署名データσを検証する。

以上のように、実施の形態１に係る署名処理システム１０は、スパンプログラムと内積述語と秘密分散とを用いて構成したアクセスストラクチャＳを用いて、属性ベース署名方式を実現する。特に、実施の形態１に係る署名処理システム１０は、ノンモノトーンスパンプログラムを用いるため、ノンモノトーン述語を伴う属性ベース署名方式を実現する。

実施の形態１に係る署名処理システム１０が実現する属性ベース署名方式は、安全性が高く、プライバシー要件を満たしている。なお、安全性が高いとは、署名を他人に偽造される可能性が低いということである。

なお、（Ｓ４０９）でペアリング演算ｅ（ｂ_０，１，ｓ^＊ _０）を行うのは、署名データσが、秘密である（マスター鍵ｓｋである）基底ベクトルｂ^＊ _０，１を用いることなく生成された署名データでないことを確認するためである。
ペアリング演算ｅ（ｂ_０，１，ｓ^＊ _０）は、署名要素ｓ^＊ _０に基底ベクトルｂ^＊ _０，１が含まれているか、つまり基底ベクトルｂ^＊ _０，１の係数として０以外の値が設定されているかを確認する演算である。ペアリング演算ｅ（ｂ_０，１，ｓ^＊ _０）＝１であれば、署名要素ｓ^＊ _０では基底ベクトルｂ^＊ _０，１の係数として０が設定されており、署名データσは、基底ベクトルｂ^＊ _０，１を用いることなく生成された署名データであるということになる。したがって、この場合、署名データσは不正なものであると認められる。

なお、上記説明において、ｕ_ｔ、ｗ_ｔ、ｚ_ｔ（ｔ＝０，．．．，ｄ＋１）の次元は、安全性を高めるために設けた次元である。したがって、安全性が低くなってしまうが、ｕ_ｔ、ｗ_ｔ、ｚ_ｔ（ｔ＝０，．．．，ｄ＋１）をそれぞれ０として、ｕ_ｔ、ｗ_ｔ、ｚ_ｔ（ｔ＝０，．．．，ｄ＋１）の次元を設けなくてもよい。

また、上記説明では、（Ｓ１０１）でＮ_ｔにｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔを設定した。しかし、ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔをｎ_ｔ＋ｎ_ｔ＋ｎ_ｔ＋１として、Ｎ_ｔに３ｎ_ｔ＋１を設定してもよい。ここで、ｎ_０は１であり、ｎ_ｔ（ｔ＝１，．．．，ｄ＋１）は２である。
この場合、数１３５に示すＳｅｔｕｐアルゴリズムは、数１６１のように書き換えられる。なお、Ｇ_ｏｂは数１６２のように書き換えられる。

また、数１４０に示すＫｅｙＧｅｎアルゴリズムは、数１６３のように書き換えられる。

また、数１５０に示すＳｉｇアルゴリズムは、数１６４のように書き換えられる。

また、数１５９に示すＶｅｒアルゴリズムは、数１６５のように書き換えられる。

また、Ｓｅｔｕｐアルゴリズムは、署名処理システム１０のセットアップ時に一度実行すればよく、署名鍵を生成する度に実行する必要はない。また、上記説明では、ＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとを鍵生成装置１００が実行するとしたが、ＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとをそれぞれ異なる装置が実行するとしてもよい。

実施の形態２．
この実施の形態では、「分散多管理者属性ベース署名方式」について説明する。
第１に、「分散多管理者（ＤｅｃｅｎｔｒａｌｉｚｅｄＭｕｌｔｉ−Ａｕｔｈｏｒｉｔｙ）」という概念について説明する。
第２に、この実施の形態に係る「分散多管理者属性ベース署名方式」を説明する。まず、「分散多管理者属性ベース署名方式」の基本構成について説明する。次に、「分散多管理者属性ベース署名方式」を実現する「署名処理システム１０」の基本構成について説明する。そして、この実施の形態に係る「分散多管理者属性ベース署名方式」及び「署名処理システム１０」について詳細に説明する。

＜第１．分散多管理者という概念＞
まず、「多管理者」について説明する。多管理者とは、署名鍵を生成する管理者が複数存在するという意味である。
一般的な署名処理システムでは、システム全体のセキュリティはある１つの機関（管理者）に依存している。例えば、実施の形態１で説明した署名処理システム１０であれば、システム全体のセキュリティは、マスター鍵ｓｋを生成する鍵生成装置１００に依存している。鍵生成装置１００のセキュリティが破られたり、マスター鍵ｓｋが漏洩した場合、署名処理システム１０は全体が機能しなくなる。
しかし、多管理者とすることで、一部の管理者のセキュリティが破られたり、一部の管理者の秘密鍵（マスター鍵）が漏洩した場合であっても、署名処理システムの一部だけが機能しなくなるだけであり、他の部分については正常に機能する状態とすることができる。

図１３は、多管理者の説明図である。
図１３では、役所が、住所、電話番号、年齢等の属性について管理する。また、警察が、運転免許の種別等の属性について管理する。また、会社Ａが、会社Ａにおける役職、会社Ａにおける所属等の属性について管理する。そして、役所が管理する属性を示すための署名鍵１は役所が発行し、警察が管理する属性を示すための署名鍵２は警察が発行し、会社Ａが管理する属性を示すための署名鍵３は会社Ａが発行する。
署名をする署名者は、役所、警察、会社Ａ等の各管理者が発行した署名鍵１，２，３を合わせた署名鍵用い、署名データを生成する。つまり、署名者から見た場合、各管理者から発行された署名鍵を合わせたものが、自分に発行された１つの署名鍵となる。
例えば、会社Ａのマスター鍵が漏洩した場合、署名処理システムは、会社Ａの属性に関しては機能しなくなるが、他の管理者が管理する属性に関しては機能する。つまり、署名データの検証ができた場合、会社Ａが管理する属性については信頼できないが、他の属性については信頼することができる。

また、図１３の例からも分かるように、属性ベース署名では、複数の管理者が存在し、各管理者が属性におけるあるカテゴリー（部分空間）又は定義域を管理し、そのカテゴリーにおけるユーザの属性についての署名鍵（の一片）を発行することが自然である。

次に、「分散（Ｄｅｃｅｎｔｒａｌｉｚｅｄ）」について説明する。分散とは、どの機関も管理者となることができ、他の機関とやりとりすることなく、署名鍵（の一片）を発行することができ、各ユーザが他の機関とやりとりすることなく、管理者から署名鍵（の一片）を取得できることである。
例えば、中央管理者がいる場合、分散とは言えない。中央管理者とは、他の管理者よりも上位の管理者である。中央管理者のセキュリティが破られた場合、全ての管理者のセキュリティが破られてしまう。

＜第２．分散多管理者属性ベース署名方式の構成＞
＜第２−１．分散多管理者属性ベース署名方式の基本構成＞
分散多管理者属性ベース署名方式は、ＧＳｅｔｕｐ、ＡＳｅｔｕｐ、ＡｔｔｒＧｅｎ、Ｓｉｇ、Ｖｅｒの４つのアルゴリズムを備える。
（ＧＳｅｔｕｐ）
ＧＳｅｔｕｐアルゴリズムは、セキュリティパラメータλが入力され、公開パラメータｇｐａｒａｍを出力する確率的アルゴリズムである。
（ＡＳｅｔｕｐ）
ＡＳｅｔｕｐアルゴリズムは、公開パラメータｇｐａｒａｍと、管理者の識別情報ｔとを入力として、管理者秘密鍵ａｓｋ_ｔと、管理者公開パラメータａｐｋ_ｔとを出力する確率的アルゴリズムである。
（ＡｔｔｒＧｅｎ）
ＡｔｔｒＧｅｎアルゴリズムは、公開パラメータｇｐａｒａｍと、管理者の識別情報ｔと、管理者秘密鍵ａｓｋ_ｔと、ユーザの識別情報ｇｉｄと、属性ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）∈Ｆ_ｑとを入力として、署名鍵ｕｓｋ_{ｇｉｄ，（ｔ，ｘｔ）}を出力する確率的アルゴリズムである。
（Ｓｉｇ）
Ｓｉｇアルゴリズムは、公開パラメータｇｐａｒａｍと、署名鍵ｕｓｋ_{ｇｉｄ，（ｔ，ｘｔ）}と、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを入力として、署名ｓ^→＊とメッセージｍとアクセスストラクチャＳとを含む署名データσを出力する確率的アルゴリズムである。
（Ｖｅｒ）
Ｖｅｒアルゴリズムは、署名データσと、公開パラメータｇｐａｒａｍと、管理者公開パラメータａｐｋ_ｔとを入力として、ブール値１（受理）又は０（拒絶）を出力するアルゴリズムである。

＜第２−２．署名処理システム１０＞
上述した分散多管理者属性ベース署名方式のアルゴリズムを実行する署名処理システム１０について説明する。
図１４は、分散多管理者属性ベース署名方式のアルゴリズムを実行する署名処理システム１０の構成図である。
署名処理システム１０は、複数の鍵生成装置１００、署名装置２００、検証装置３００を備える。
いずれか（１つ）の鍵生成装置１００は、セキュリティパラメータλを入力としてＧＳｅｔｕｐアルゴリズムを実行して、公開パラメータｇｐａｒａｍを生成する。そして、その鍵生成装置１００は、生成した公開パラメータｇｐａｒａｍを公開する。
各鍵生成装置１００は、公開パラメータｇｐａｒａｍと、その鍵生成装置１００に割り当てられた識別情報ｔとを入力としてＡＳｅｔｕｐアルゴリズムを実行して、管理者秘密鍵ａｓｋ_ｔと、管理者公開パラメータａｐｋ_ｔとを生成する。そして、各鍵生成装置１００は、公開パラメータｇｐａｒａｍと、その鍵生成装置１００に割り当てられた識別情報ｔと、管理者秘密鍵ａｓｋ_ｔと、ユーザの識別情報ｇｉｄと、属性ｘ_ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）∈Ｆ_ｑとを入力としてＡｔｔｒＧｅｎアルゴリズムを実行して、署名鍵ｕｓｋ_{ｇｉｄ，（ｔ，ｘｔ）}を生成して署名装置２００へ秘密裡に配布する。
署名装置２００は、公開パラメータｇｐａｒａｍと、署名鍵ｕｓｋ_{ｇｉｄ，（ｔ，ｘｔ）}と、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを入力としてＳｉｇアルゴリズムを実行して、署名ｓ^→＊とメッセージｍとアクセスストラクチャＳとを含む署名データσを生成する。署名装置２００は、生成した署名データσを検証装置３００へ送信する。
検証装置３００は、署名データσと、公開パラメータｇｐａｒａｍと、管理者公開パラメータａｐｋ_ｔとを入力としてＶｅｒアルゴリズムを実行して、ブール値１（受理）又は０（拒絶）を出力する。

＜第２−３．分散多管理者属性ベース署名方式及び署名処理システム１０の詳細＞
図１５から図２２に基づき、分散多管理者属性ベース署名方式、及び、分散多管理者属性ベース署名方式を実行する署名処理システム１０の機能と動作とについて説明する。
図１５は、各鍵生成装置１００の機能を示す機能ブロック図である。図１６は、署名装置２００の機能を示す機能ブロック図である。図１７は、検証装置３００の機能を示す機能ブロック図である。
図１８から図２０は、鍵生成装置１００の動作を示すフローチャートである。なお、図１８はＧＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１９はＡＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図２０はＡｔｔｒＧｅｎアルゴリズムの処理を示すフローチャートである。図２１は、署名装置２００の動作を示すフローチャートであり、Ｓｉｇアルゴリズムの処理を示すフローチャートである。図２２は、検証装置３００の動作を示すフローチャートであり、Ｖｅｒアルゴリズムの処理を示すフローチャートである。

鍵生成装置１００の機能と動作とについて説明する。
図１５に示すように、鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０（第１情報入力部）、署名鍵生成部１４０、鍵配布部１５０（署名鍵送信部）を備える。
また、マスター鍵生成部１１０は、グローバルパラメータ生成部１１１、管理者秘密鍵生成部１１２を備える。署名鍵生成部１４０は、乱数生成部１４１、鍵要素生成部１４５を備える。

まず、図１８に基づき、鍵生成装置１００が実行するＧＳｅｔｕｐアルゴリズムの処理について説明する。なお、上述したように、ＧＳｅｔｕｐアルゴリズムは、複数の鍵生成装置１００のうち１つの鍵生成装置１００が実行すればよい。
（Ｓ５０１：セキュリティパラメータ入力ステップ）
グローバルパラメータ生成部１１１は、入力装置により、セキュリティパラメータλ（１^λ）を入力する。

（Ｓ５０２：双線形ペアリング群生成ステップ）
グローバルパラメータ生成部１１１は、処理装置により、Ｓ５０１で入力したセキュリティパラメータλ（１^λ）を入力としてアルゴリズムＧ_ｂｐｇを実行して、ランダムに双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を生成する。

（Ｓ５０３：パラメータ生成ステップ）
ハッシュ関数Ｈ_１とＨ_２とを、数１６６に示すハッシュ関数とする。

グローバルパラメータ生成部１１１は、処理装置により、数１６７に示すグローバルパラメータｇｐａｒａｍの要素Ｇ_０，Ｇ_１，Ｇ_２，Ｇ_３，Ｇ_４を生成する。

また、グローバルパラメータ生成部１１１は、ｇ_ｔ：＝ｅ（Ｇ_０，Ｇ_１）、ｇ_４：＝ｅ（Ｇ_０，Ｇ_４）とする。

（Ｓ５０４：パラメータ記憶ステップ）
マスター鍵記憶部１２０は、（Ｓ５０２）で生成したｐａｒａｍ_Ｇと、（Ｓ５０３）でグローバルパラメータ生成部１１１が設定したハッシュ関数Ｈ_１，Ｈ_２と、生成した要素Ｇ_０，Ｇ_１，Ｇ_２，Ｇ_３，Ｇ_４と、設定した値ｇ_ｔ，ｇ_４とを、グローバルパラメータｇｐａｒａｍとして記憶装置に記憶する。

つまり、（Ｓ５０１）から（Ｓ５０３）において、鍵生成装置１００は数１６８に示すＧＳｅｔｕｐアルゴリズムを実行して、グローバルパラメータｇｐａｒａｍを生成する。そして、（Ｓ５０４）で、鍵生成装置１００は生成されたグローバルパラメータｇｐａｒａｍを記憶装置に記憶する。
なお、グローバルパラメータｇｐａｒａｍは、例えば、ネットワークを介して公開され、他の鍵生成装置１００や署名装置２００や検証装置３００が取得可能な状態にされる。

次に、図１９に基づき、鍵生成装置１００が実行するＡＳｅｔｕｐアルゴリズムの処理について説明する。なお、上述したように、ＡＳｅｔｕｐアルゴリズムは、複数の鍵生成装置１００全てが実行してもよいし、複数の鍵生成装置１００のうち一部の鍵生成装置１００だけが実行してもよい。
（Ｓ６０１：情報入力ステップ）
情報入力部１３０は、入力装置により、自己（その鍵生成装置１００）に割り当てられた識別情報ｔを入力する。なお、各鍵生成装置１００には、それぞれ異なる識別情報ｔが割り当てられている。
また、情報入力部１３０は、例えば、通信装置によりネットワークを介して、グローバルパラメータｇｐａｒａｍを取得する。なお、自己がグローバルパラメータｇｐａｒａｍを生成した鍵生成装置１００である場合には、グローバルパラメータｇｐａｒａｍをマスター鍵記憶部１２０から読み出せばよい。

（Ｓ６０２：空間生成ステップ）
管理者秘密鍵生成部１１２は、処理装置により、セキュリティパラメータλ（１^λ）と、Ｎ_ｔ＝２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔと、ｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値とを入力としてアルゴリズムＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖｔ：＝（ｑ，Ｖ_ｔ，Ｇ_Ｔ，Ａ_ｔ，ｅ）の値を生成する。
なお、ｎ_ｔ，ｕ_ｔ，ｗ_ｔ，ｚ_ｔは、１以上の整数である。

（Ｓ６０３：基底Ｕ生成ステップ）
管理者秘密鍵生成部１１２は、処理装置により、ｌ＝１，．．．，４の各整数ｌについて、基底Ｕ_ｌを数１６９に示すように生成する。

（Ｓ６０４：線形変換生成ステップ）
管理者秘密鍵生成部１１２は、処理装置により、ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔと、Ｆ_ｑとを入力として、線形変換Ｘ_ｔ：＝（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊを数１７０に示すようにランダムに生成する。

（Ｓ６０５：基底Ｂ生成ステップ）
管理者秘密鍵生成部１１２は、処理装置により、基底Ｂ_ｔ及び基底Ｂ^＊ _ｔを数１７１に示すように生成する。

また、管理者秘密鍵生成部１１２は、π，π’，μ∈Ｆ_ｑを、Ｇ_２＝πＧ_１，Ｇ_３＝π’Ｇ_１，Ｇ_３＝μＧ_１となる値とする。すると、数１７２となる。

（Ｓ６０６：基底Ｂ＾生成ステップ）
管理者秘密鍵生成部１１２は、処理装置により、基底Ｂ_ｔの部分基底Ｂ＾_ｔと、基底Ｂ^＊の部分基底Ｂ＾^＊ _ｔとを数１７３に示すように生成する。

（Ｓ６０７：マスター鍵記憶ステップ）
マスター鍵記憶部１２０は、（Ｓ６０２）で生成したパラメータｐａｒａｍ_Ｖｔと、（Ｓ６０６）で生成した部分基底Ｂ＾_ｔ及び部分基底Ｂ＾^＊ _ｔとを管理者公開パラメータａｐｋ_ｔとして記憶装置に記憶する。また、マスター鍵記憶部１２０は、（Ｓ６０４）で生成した線形変換Ｘ_ｔを管理者秘密鍵ａｓｋ_ｔとして記憶装置に記憶する。

つまり、（Ｓ６０１）から（Ｓ６０６）において、鍵生成装置１００は数１７４に示すＡＳｅｔｕｐアルゴリズムを実行して、管理者公開パラメータａｐｋ_ｔと管理者秘密鍵ａｓｋ_ｔとを生成する。そして、（Ｓ６０７）で、鍵生成装置１００は生成された管理者公開パラメータａｐｋ_ｔと管理者秘密鍵ａｓｋ_ｔとを記憶装置に記憶する。
なお、管理者公開パラメータａｐｋ_ｔは、例えば、ネットワークを介して公開され、署名装置２００や検証装置３００が取得可能な状態にされる。

次に、図２０に基づき、鍵生成装置１００が実行するＡｔｔｒＧｅｎアルゴリズムの処理について説明する。なお、上述したように、ＡｔｔｒＧｅｎアルゴリズムは、複数の鍵生成装置１００のうち、ＡＳｅｔｕｐアルゴリズムを実行した鍵生成装置１００が実行する。
（Ｓ７０１：情報入力ステップ）
情報入力部１３０は、入力装置により、自己（その鍵生成装置１００）に割り当てられた識別情報ｔと、署名鍵を発行するユーザの識別情報ｇｉｄと、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）とを入力する。
また、情報入力部１３０は、例えば、通信装置によりネットワークを介して、グローバルパラメータｇｐａｒａｍを取得する。なお、自己がグローバルパラメータｇｐａｒａｍを生成した鍵生成装置１００である場合には、グローバルパラメータｇｐａｒａｍをマスター鍵記憶部１２０から読み出せばよい。
また、情報入力部１３０は、マスター鍵記憶部１２０から管理者秘密鍵ａｓｋ_ｔを読み出す。

（Ｓ７０２：乱数生成ステップ）
乱数生成部１４１は、処理装置により、識別情報ｔとｊ＝１，２の各整数ｊとについて、乱数φ^→ _ｔ，ｊを数１７５に示すように生成する。

（Ｓ７０３：鍵要素生成ステップ）
数１７６であるとする。

鍵要素生成部１４５は、処理装置により、識別情報ｔとｊ＝１，２の各整数ｊとについて、署名鍵ｕｓｋ_{ｇｉｄ，（ｔ，ｘｔ）}の要素である鍵要素ｋ^＊ _ｔ，ｊを数１７７に示すように生成する。

なお、上述したように、数１１３に示す基底Ｂと基底Ｂ^＊とに対して、数１１４である。したがって、数１７７は、以下のように、基底Ｂ^＊ _ｔの基底ベクトルの係数が設定されることを意味する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _ｔ，１，．．．，ｂ^＊ _ｔ，３を意味する。
基底ベクトル１，．．．，ｎ_ｔの係数として（δ_ｊ＋１）ｘ_ｔ，１，．．．，（δ_ｊ＋１）ｘ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底_ｔクトルｎ_ｔ＋１，．．．，２ｎ_ｔの係数として−δ_ｊｘ_ｔ，１，．．．，−δ_ｊｘ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトル２ｎ_ｔ＋１，．．．，２ｎ_ｔ＋２＋ｕ_ｔの係数として０が設定される。基底ベクトル２ｎ_ｔ＋２＋ｕ_ｔ＋１，．．．，２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔの係数として乱数φ_{ｔ，ｊ、１}，．．．，φ_{ｔ，ｊ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトル２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。

（Ｓ７０４：鍵配布ステップ）
鍵配布部１５０は、ユーザの識別情報ｇｉｄと、識別情報ｔ及び属性情報ｘ^→ _ｔと、鍵要素ｋ^＊ _ｔ，ｊとを要素とする署名鍵ｕｓｋ_{ｇｉｄ，（ｔ，ｘｔ）}を、例えば通信装置によりネットワークを介して秘密裡に署名装置２００へ配布する。もちろん、署名鍵ｕｓｋ_{ｇｉｄ，（ｔ，ｘｔ）}は、他の方法により署名装置２００へ配布されてもよい。

つまり、（Ｓ７０１）から（Ｓ７０３）において、鍵生成装置１００は数１７８に示すＡｔｔｒＧｅｎアルゴリズムを実行して、署名鍵ｕｓｋ_{ｇｉｄ，（ｔ，ｘｔ）}を生成する。そして、（Ｓ７０４）で、鍵生成装置１００は生成された署名鍵ｕｓｋ_{ｇｉｄ，（ｔ，ｘｔ）}を署名装置２００へ配布する。

署名装置２００の機能と動作とについて説明する。
図１６に示すように、署名装置２００は、署名鍵取得部２１０、情報入力部２２０（第２情報入力部）、スパンプログラム計算部２３０、補完係数計算部２４０、署名データ生成部２５０、署名データ送信部２６０（署名データ出力部）を備える。
また、情報入力部２２０は、述語情報入力部２２１、メッセージ入力部２２２を備える。また、署名データ生成部２５０は、乱数生成部２５１、署名要素生成部２５５を備える。

図２１に基づき、署名装置２００が実行するＳｉｇアルゴリズムの処理について説明する。
（Ｓ８０１：署名鍵取得ステップ）
署名鍵取得部２１０は、例えば、通信装置によりネットワークを介して、各鍵生成装置１００が生成した署名鍵ｕｓｋ_{ｇｉｄ，（ｔ，ｘｔ）}を取得する。また、署名鍵取得部２１０は、鍵生成装置１００が生成したグローバルパラメータｇｐａｒａｍを取得する。

（Ｓ８０２：情報入力ステップ）
述語情報入力部２２１は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、行列Ｍは、Ｌ行×ｒ列の行列である。Ｌ，ｒは、１以上の整数である。
また、メッセージ入力部２２２は、入力装置により、署名を付すメッセージｍを入力する。
なお、アクセスストラクチャＳの行列Ｍの設定については、実現したいシステムの条件に応じて設定されるものである。

（Ｓ８０３：スパンプログラム計算ステップ）
スパンプログラム計算部２３０は、処理装置により、（Ｓ８０２）で入力したアクセスストラクチャＳが、（Ｓ８０１）で取得した署名鍵ｕｓｋ_{ｇｉｄ，（ｔ，ｘｔ）}に含まれる属性情報ｘ^→ _ｔの集合Γを受理するか否かを判定する。
なお、アクセスストラクチャが属性の集合を受理するか否かの判定方法は、実施の形態１における「第３．関数型暗号を実現するための概念」で説明した通りである。
スパンプログラム計算部２３０は、アクセスストラクチャＳが属性の集合Γを受理する場合（Ｓ８０３で受理）、処理を（Ｓ８０４）へ進める。一方、アクセスストラクチャＳが属性情報ｘ^→ _ｔの集合Γを拒絶する場合（Ｓ８０３で拒絶）、処理を終了する。

（Ｓ８０４：補完係数計算ステップ）
補完係数計算部４３０は、処理装置により、数１７９となるＩと、Ｉに含まれる各整数ｉについて定数（補完係数）α_ｉとを計算する。

なお、Ｍ_ｉとは、行列Ｍのｉ行目のことである。

（Ｓ８０５：乱数生成ステップ）
乱数生成部２５１は、処理装置により、乱数ξ_１，ξ_２と、乱数β_ｉ，β_ｉ’（ｉ＝１，．．．，Ｌ）とを数１８０に示すように生成する。

（Ｓ８０６：署名要素生成ステップ）
署名要素生成部２５５は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、署名データσの要素である署名要素ｓ^＊ _ｉを数１８１に示すように生成する。

ここで、ｒ^＊ _ｉは、数１８２（数１１０から数１１２及びこれらの数式の説明を参照）である。

また、γ_ｉとｙ^→ _ｉ：＝（ｙ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）とｙ’^→ _ｉ：＝（ｙ’_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）とは、数１８３である。

（Ｓ８０７：データ送信ステップ）
署名データ送信部２６０は、署名要素ｓ^＊ _ｉ（ｉ＝１，．．．，Ｌ）と、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）と、ｇ_０：＝ｇ_４ ^ξ２（ここで、ξ２はξ_２である）とを含む署名データσを、例えば通信装置によりネットワークを介して検証装置３００へ送信する。もちろん、署名データσは、他の方法により検証装置３００へ送信されてもよい。

つまり、（Ｓ８０１）から（Ｓ８０６）において、署名装置２００は数１８４に示すＳｉｇアルゴリズムを実行して、署名データσを生成する。そして、（Ｓ８０７）で、署名装置２００は生成された署名データσを検証装置３００へ配布する。

検証装置３００の機能と動作とについて説明する。
図１７に示すように、検証装置３００は、公開パラメータ取得部３１０、データ受信部３２０（データ取得部）、検証鍵生成部３３０、ペアリング演算部３４０を備える。
また、検証鍵生成部３３０は、乱数生成部３３１、ｆベクトル生成部３３２、ｓベクトル生成部３３３、検証要素生成部３３７を備える。

図２２に基づき、検証装置３００が実行するＶｅｒアルゴリズムの処理について説明する。
（Ｓ９０１：公開パラメータ取得ステップ）
公開パラメータ取得部３１０は、例えば、通信装置によりネットワークを介して、各鍵生成装置１００が生成したグローバルパラメータｇｐａｒａｍと、管理者公開パラメータａｐｋ_ｔとを取得する。

（Ｓ９０２：署名データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、署名装置２００が送信した署名データσを受信する。

（Ｓ９０３：ｆベクトル生成ステップ）
ｆベクトル生成部３３２は、処理装置により、ｒ個の要素を有するベクトルｆ^→を数１８５に示すようにランダムに生成する。

（Ｓ９０４：ｓベクトル生成ステップ）
ｓベクトル生成部３３３は、処理装置により、（Ｓ９０２）で受信した署名データσに含まれるアクセスストラクチャＳの（Ｌ行×ｒ列）の行列Ｍと、（Ｓ９０３）で生成したｒ個の要素を有するベクトルｆ^→とに基づき、ベクトルｓ^→Ｔを数１８６に示すように生成する。

また、ｓベクトル生成部３３３は、処理装置により、（Ｓ９０３）で生成したベクトルｆ^→に基づき、値ｓ_０を数１８７に示すように生成する。なお、１^→は、全ての要素が値１のベクトルである。

（Ｓ９０５：ｆ’ベクトル生成ステップ）
ｆベクトル生成部３３２は、処理装置により、ｒ個の要素を有するベクトルｆ^→’を数１８８に示すようにランダムに生成する。

（Ｓ９０６：ｓ’ベクトル生成ステップ）
ｓベクトル生成部３３３は、処理装置により、（Ｌ行×ｒ列）の行列Ｍと、ｒ個の要素を有するベクトルｆ^→’とに基づき、ベクトル（ｓ^→’）^Ｔを数１８９に示すように生成する。

（Ｓ９０７：乱数生成ステップ）
乱数生成部３３１は、処理装置により、乱数σ^→と値σ_０とを数１９０に示すように生成する。

（Ｓ９０８：検証要素生成ステップ）
検証要素生成部３３７は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、検証鍵の要素である検証要素ｃ_ｉを数１９１に示すように生成する。

なお、上述したように、数１１３に示す基底Ｂと基底Ｂ^＊とに対して、数１１４である。したがって、数１９１は、以下のように、基底Ｂ_ｔの基底ベクトルの係数が設定されることを意味する。ここでは、表記を簡略化して、基底ベクトルｂ_ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ_ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ_ｔ，１，．．．，ｂ_ｔ，３を意味する。
ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、基底ベクトル１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１が設定される。基底ベクトル２，．．．，ｎ_ｔの係数としてθ_ｉｖ_ｉ，２，．．．，θ_ｉｖ_ｉ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１の係数としてｓ_ｉ’＋θ_ｉ’ｖ_ｉ，１が設定される。基底ベクトルｎ_ｔ＋２，．．．，２ｎ_ｔの係数としてθ_ｉ’ｖ_ｉ，２，．．．，θ_ｉ’ｖ_ｉ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトル２ｎ_ｔ＋１の係数としてσ_ｉ−θ_ｉ’’Ｈ_２（ｍ，Ｓ）が設定される。なお、Ｈ_２（ｍ，Ｓ）とは、ハッシュ関数Ｈ_２の入力として、メッセージｍとアクセスストラクチャＳとが与えられることを意味する。例えば、Ｈ_２（ｍ｜｜Ｓ）としてもよい。基底ベクトル２ｎ_ｔ＋２の係数としてθ_ｉ’’が設定される。基底ベクトル２ｎ_ｔ＋２＋１，．．．，２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔの係数として０が設定される。基底ベクトル２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数としてη_ｉ，１，．．．，η_ｉ，ｚｔ（ここで、ｚｔはｚ_ｔのことである）が設定される。
一方、ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、基底ベクトル１，．．．，ｎ_ｔの係数としてｓ_ｉｖ_ｉ，１，．．．，ｓ_ｉｖ_ｉ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，２ｎ_ｔの係数としてｓ_ｉ’ｖ_ｉ，１，．．．，ｓ_ｉ’ｖ_ｉ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトル２ｎ_ｔ＋１の係数としてσ_ｉ−θ_ｉ’’Ｈ_２（ｍ，Ｓ）が設定される。基底ベクトル２ｎ_ｔ＋２の係数としてθ_ｉ’’が設定される。基底ベクトル２ｎ_ｔ＋２＋１，．．．，２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔの係数として０が設定される。基底ベクトル２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数としてη_ｉ，１，．．．，η_ｉ，ｚｔ（ここで、ｚｔはｚ_ｔのことである）が設定される。

（Ｓ９０９：ペアリング演算ステップ）
ペアリング演算部３４０は、処理装置により、数１９２に示すペアリング演算を計算する。

数１９２に示すペアリング演算を計算した結果が値ｇ_Ｔ ^ｓ０ｇ_０ ^σ０（ここでｓ０はｓ_０であり、σ０はσ_０である）であれば、ペアリング演算部３４０は、署名の検証に成功したことを示す値１を出力する。一方、その他の値であれば、ペアリング演算部３４０は、署名の検証に失敗したことを示す値０を出力する。
なお、数１９３に示すように、数１９２を計算することにより、署名データσが正当なものであれば、値１が得られる。

つまり、（Ｓ９０１）から（Ｓ９０９）において、検証装置３００は、数１９４に示すＶｅｒアルゴリズムを実行して、署名データσを検証する。

以上のように、実施の形態２に係る署名処理システム１０は、複数の鍵生成装置１００が署名鍵を生成する多管理者属性ベース署名方式を実現する。特に、署名処理システム１０が実現する署名方式は、中央管理者がいない分散多管理者属性ベース署名方式である。
なお、実施の形態２に係る署名処理システム１０は、実施の形態１に係る署名処理システム１０と同様に、ノンモノトーン述語を伴う属性ベース署名方式を実現する。

実施の形態２に係る署名処理システム１０が実現する属性ベース署名方式は、安全性が高く、プライバシー要件を満たしている。

なお、上記説明において、ｕ_ｔ、ｗ_ｔ、ｚ_ｔ（ｔ＝１，．．．，ｄ）の次元は、安全性を高めるために設けた次元である。したがって、安全性が低くなってしまうが、ｕ_ｔ、ｗ_ｔ、ｚ_ｔ（ｔ＝１，．．．，ｄ）をそれぞれ０として、ｕ_ｔ、ｗ_ｔ、ｚ_ｔ（ｔ＝１，．．．，ｄ）の次元を設けなくてもよい。

また、上記説明では、基底Ｂ_ｔ及び基底Ｂ^＊ _ｔの次元数を２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔに設定した。しかし、２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔを２＋２＋２＋６＋４＋１として、基底Ｂ_ｔ及び基底Ｂ^＊ _ｔの次元数を１７としてもよい。
この場合、数１６８に示すＧＳｅｔｕｐアルゴリズムは、数１９５のように書き換えられる。

また、数１７４に示すＡＳｅｔｕｐアルゴリズムは、数１９６のように書き換えられる。

また、数１７８に示すＡｔｔｒＧｅｎアルゴリズムは、数１９７のように書き換えられる。

また、数１８４に示すＳｉｇアルゴリズムは、数１９８のように書き換えられる。

また、数１９４に示すＶｅｒアルゴリズムは、数１９９のように書き換えられる。

また、ＧＳｅｔｕｐアルゴリズムは、署名処理システム１０のセットアップ時にいずれかの鍵生成装置１００が一度実行すればよく、署名鍵を生成する度に実行する必要はない。同様に、ＡＳｅｔｕｐアルゴリズムは、署名処理システム１０のセットアップ時に各鍵生成装置１００が一度実行すればよく、署名鍵を生成する度に実行する必要はない。
また、上記説明では、ＧＳｅｔｕｐアルゴリズムとＡＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとを鍵生成装置１００が実行するとしたが、ＧＳｅｔｕｐアルゴリズムとＡＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとをそれぞれ異なる装置が実行するとしてもよい。

実施の形態３．
以上の実施の形態では、双対ベクトル空間において署名処理を実現する方法について説明した。この実施の形態では、双対加群において署名処理を実現する方法について説明する。

つまり、以上の実施の形態では、素数位数ｑの巡回群において署名処理を実現した。しかし、合成数Ｍを用いて数２００のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した署名処理を適用することができる。

実施の形態１で説明した属性ベース署名方式を、環Ｒを係数とする加群において実現すると数２０１から数２０５のようになる。

実施の形態２で説明した分散多管理者属性ベース署名方式を、環Ｒを係数とする加群において実現すると数２０６から数２１０のようになる。

なお、安全性の証明の観点から、以上の実施の形態において、ｉ＝１，．．．，Ｌの各整数ｉについてのρ（ｉ）は、それぞれ異なる識別情報ｔについての肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）であると限定してもよい。
言い替えると、ρ（ｉ）＝（ｔ，ｖ^→ _ｉ）又はρ（ｉ）＝¬（ｔ，ｖ^→ _ｉ）である場合に、関数ρ^〜を、ρ^〜（ｉ）＝ｔである｛１，．．．，Ｌ｝→｛１，．．，ｄ｝の写像であるとする。この場合、ρ^〜が単射であると限定してもよい。なお、ρ（ｉ）は、上述したアクセスストラクチャＳ：＝（Ｍ，ρ（ｉ））のρ（ｉ）である。

また、上記説明では、スパンプログラムＭ＾は、入力列δによって行列Ｍ＾から得られる行列Ｍ_δの行を線形結合して１^→が得られる場合に限り、入力列δを受理するとした。しかし、スパンプログラムＭ＾は、１^→ではなく、他のベクトルｈ^→が得られる場合に限り、入力列δを受理するとしてもよい。
この場合、ＫｅｙＧｅｎアルゴリズムにおいて、ｓ_０：＝１^→・ｆ^→Ｔではなく、ｓ_０：＝ｈ^→・ｆ^→Ｔとすればよい。

次に、実施の形態における署名処理システム１０（鍵生成装置１００、署名装置２００、検証装置３００）のハードウェア構成について説明する。
図２３は、鍵生成装置１００、署名装置２００、検証装置３００のハードウェア構成の一例を示す図である。
図２３に示すように、鍵生成装置１００、署名装置２００、検証装置３００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（ＬｉｑｕｉｄＣｒｙｓｔａｌＤｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０（固定ディスク装置）の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。磁気ディスク装置９２０は、所定の固定ディスクインタフェースを介して接続される。

ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４と磁気ディスク装置９２０とは、記憶装置（メモリ）の一例である。また、キーボード９０２、通信ボード９１５は、入力装置の一例である。また、通信ボード９１５は、通信装置の一例である。さらに、ＬＣＤ９０１は、表示装置の一例である。

磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

プログラム群９２３には、上記の説明において「マスター鍵生成部１１０」、「マスター鍵記憶部１２０」、「情報入力部１３０」、「署名鍵生成部１４０」、「鍵配布部１５０」、「署名鍵取得部２１０」、「情報入力部２２０」、「スパンプログラム計算部２３０」、「補完係数計算部２４０」、「署名データ生成部２５０」、「署名データ送信部２６０」、「公開パラメータ取得部３１０」、「データ受信部３２０」、「検証鍵生成部３３０」、「ペアリング演算部３４０」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、上記の説明において「公開パラメータ」、「マスター鍵」、「署名データσ」、「署名鍵」、「アクセスストラクチャＳ」、「属性情報」、「属性の集合Γ」、「メッセージｍ」等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。

また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
また、上記の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜装置」として説明するものは、「〜回路」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。さらに、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「〜部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「〜部」の手順や方法をコンピュータ等に実行させるものである。

１０署名処理システム、１００鍵生成装置、１１０マスター鍵生成部、１１１グローバルパラメータ生成部、１１２管理者秘密鍵生成部、１２０マスター鍵記憶部、１３０情報入力部、１４０署名鍵生成部、１４１乱数生成部、１４２鍵要素０生成部、１４３鍵要素ｔ生成部、１４４鍵要素ｄ＋１生成部、１４５鍵要素生成部、１５０鍵配布部、２００署名装置、２１０署名鍵取得部、２２０情報入力部、２２１述語情報入力部、２２２メッセージ入力部、２３０スパンプログラム計算部、２４０補完係数計算部、２５０署名データ生成部、２５１乱数生成部、２５２署名要素０生成部、２５３署名要素ｉ生成部、２５４署名要素Ｌ＋１生成部、２５５署名要素生成部、２６０署名データ送信部、３００検証装置、３１０公開パラメータ取得部、３２０データ受信部、３３０検証鍵生成部、３３１乱数生成部、３３２ｆベクトル生成部、３３３ｓベクトル生成部、３３４検証要素０生成部、３３５検証要素ｉ生成部、３３６検証要素Ｌ＋１生成部、３３７検証要素生成部、３４０ペアリング演算部。

Claims

鍵生成装置と署名装置と検証装置とを備え、ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムであり、
前記鍵生成装置は、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを含む属性集合Γを入力する第１情報入力部と、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数として所定の値δを設定した鍵要素ｋ^＊ _０を生成する鍵要素０生成部と、
前記第１情報入力部が入力した属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数として属性情報ｘ^→ _ｔに前記所定の値δを乗じたδｘ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した鍵要素ｋ^＊ _ｔを生成する鍵要素ｔ生成部と、
基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，１}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，１}と、基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，２}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，２}とを生成する鍵要素ｄ＋１生成部と、
前記鍵要素０生成部が生成した鍵要素ｋ^＊ _０と、前記鍵要素ｔ生成部が生成した前記属性集合Γに含まれる各識別情報ｔについての鍵要素ｋ^＊ _ｔと、前記鍵要素ｄ＋１生成部が生成した鍵要素ｋ^＊ _{ｄ＋１，１}及び鍵要素ｋ^＊ _{ｄ＋１，２}と、前記属性集合Γとを含む署名鍵ｓｋ_Γを前記署名装置へ送信する署名鍵送信部と
を備え、
前記署名装置は、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
前記署名鍵送信部が送信した署名鍵ｓｋ_Γを取得する署名鍵取得部と、
前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｓｋ_Γに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算部と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _０を含む署名要素ｓ^＊ _０を生成する署名要素０生成部と、
ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _ｔに前記値γ_ｉを乗じたγ_ｉｋ^＊ _ｔを含む署名要素ｓ^＊ _ｉを生成する署名要素ｉ生成部と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _{ｄ＋１，１}と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ^＊ _{ｄ＋１，２}に乗じたｍ’・ｋ^＊ _{ｄ＋１，２}との和を含む署名要素ｓ^＊ _Ｌ＋１を生成する署名要素Ｌ＋１生成部と、
前記署名要素０生成部が生成した署名要素ｓ^＊ _０と、前記署名要素ｉ生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記署名要素Ｌ＋１生成部が生成した署名要素ｓ^＊ _Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信部と
を備え、
前記検証装置は、
前記署名データ送信部が送信した署名データσを取得するデータ取得部と、
ｒ個の要素を有するベクトルｆ^→と前記ベクトルｈ^→と用いて生成される値ｓ_０：＝ｈ^→・ｆ^→Ｔと、所定の値ｓ_Ｌ＋１とから計算される−ｓ_０−ｓ_Ｌ＋１を、基底Ｂ_０の基底ベクトルｂ_０，１の係数として設定して検証要素ｃ_０を生成する検証要素０生成部と、
前記ベクトルｆ^→と前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定し、基底ベクトルｂ_ｔ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）の係数としてθ_ｉｖ_ｉ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数としてｓ_ｉｖ_ｉ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成する検証要素ｉ生成部と、
基底Ｂ_ｄ＋１の基底ベクトルｂ_{ｄ＋１，１}の係数として、前記所定の値ｓ_Ｌ＋１と前記値ｍ’と所定の値θ_Ｌ＋１とから計算されるｓ_Ｌ＋１−θ_Ｌ＋１ｍ’を設定し、基底ベクトルｂ_{ｄ＋１，２}の係数として前記所定の値θ_Ｌ＋１を設定して検証要素ｃ_Ｌ＋１を生成する検証要素Ｌ＋１生成部と、
前記検証要素０生成部が生成した検証要素ｃ_０と、前記検証要素ｉ生成部が生成した検証要素ｃ_ｉと、前記検証要素Ｌ＋１生成部が生成した検証要素ｃ_Ｌ＋１と、前記署名データσに含まれる署名要素ｓ^＊ _０，ｓ^＊ _ｉ，ｓ^＊ _Ｌ＋１とについて、ペアリング演算Π_ｉ＝０ ^Ｌ＋１ｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
を備えることを特徴とする署名処理システム。
前記署名処理システムは、
少なくとも基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，１＋ｕ_０，．．．，１＋ｕ_０＋ｗ_０，．．．，１＋ｕ_０＋ｗ_０＋ｚ_０）を有する基底Ｂ_０と、
少なくとも基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）（ｕ_ｔ，ｗ_ｔ，ｚ_ｔは１以上の整数）を有する基底Ｂ_ｔ（ｔ＝１，．．．，ｄ）と、
少なくとも基底ベクトルｂ_ｔ，ｉ（ｉ＝１，２，．．．，２＋ｕ_ｄ＋１，．．．，２＋ｕ_ｄ＋１＋ｗ_ｄ＋１，．．．，２＋ｕ_ｄ＋１＋ｗ_ｄ＋１＋ｚ_ｄ＋１）を有する基底Ｂ_ｄ＋１と、
少なくとも基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，１＋ｕ_０，．．．，１＋ｕ_０＋ｗ_０，．．．，１＋ｕ_０＋ｗ_０＋ｚ_０）を有する基底Ｂ^＊ _０と、
少なくとも基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）（ｕ_ｔ，ｗ_ｔ，ｚ_ｔは１以上の整数）を有する基底Ｂ^＊ _ｔ（ｔ＝１，．．．，ｄ）と、
少なくとも基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，２，．．．，２＋ｕ_ｄ＋１，．．．，２＋ｕ_ｄ＋１＋ｗ_ｄ＋１，．．．，２＋ｕ_ｄ＋１＋ｗ_ｄ＋１＋ｚ_ｄ＋１）を有する基底Ｂ^＊ _ｄ＋１と
を用いて署名処理を実行し、
前記鍵生成装置では、
前記鍵要素０生成部は、乱数δと乱数φ_０，ｉ（ｉ＝１，．．．，ｗ_０）とに基づき、数１に示す鍵要素ｋ^＊ _０を生成し、
前記鍵要素ｔ生成部は、前記乱数δと乱数φ_ｔ，ｉ（ｉ＝１，．．．，ｗ_ｔ）とに基づき、前記属性集合Γに含まれる各識別情報ｔについて、数２に示す鍵要素ｋ^＊ _ｔを生成し、
前記鍵要素ｄ＋１生成部は、前記乱数δと乱数φ_{ｄ＋１，１，ｉ}（ｉ＝１，．．．，ｗ_ｄ＋１）と乱数φ_{ｄ＋１，２，ｉ}（ｉ＝１，．．．，ｗ_ｄ＋１）とに基づき、数３に示す鍵要素ｋ^＊ _{ｄ＋１，１}と鍵要素ｋ^＊ _{ｄ＋１，２}とを生成し、
前記署名装置では、
前記署名要素０生成部は、乱数ξに基づき、数４に示す署名要素ｓ^＊ _０を生成し、
前記署名要素ｉ生成部は、ｉ＝１，．．．，Ｌの各整数ｉについて、前記乱数ξに基づき、数５に示す署名要素ｓ^＊ _ｉを生成し、
前記署名要素Ｌ＋１生成部は、前記乱数ξと前記値ｍ’とに基づき、数６に示す署名要素ｓ^＊ _Ｌ＋１を生成し、
前記検証装置では、
前記検証要素０生成部は、前記値ｓ_０と乱数ｓ_Ｌ＋１と乱数η_０，ｉ（ｉ＝１，．．．，ｚ_０）とに基づき、数７に示す検証要素ｃ_０を生成し、
前記検証要素ｉ生成部は、前記列ベクトルｓ^→Ｔと乱数θ_ｉと乱数η_ｉ，ｉ’（ｉ＝１，．．．，Ｌ；ｉ’＝１，．．．，ｚ_ｔ）とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、数８に示す検証要素ｃ_ｉを生成し、
前記検証要素Ｌ＋１生成部は、前記乱数ｓ_Ｌ＋１と乱数θ_Ｌ＋１と乱数η_{Ｌ＋１，ｉ’}（ｉ’＝１，．．．，ｚ_ｄ＋１）と前記値ｍ’とに基づき、数９に示す検証要素ｃ_Ｌ＋１を生成する
ことを特徴とする請求項１に記載の署名処理システム。
前記署名装置では、
前記署名要素Ｌ＋１生成部は、前記メッセージｍと、前記行列Ｍと、ｉ＝１，．．．，Ｌの各整数ｉについての前記変数ρ（ｉ）とを入力としたハッシュ値を前記値ｍ’として用いて、署名要素ｓ^＊ _Ｌ＋１を生成し、
前記検証装置では、
前記検証要素Ｌ＋１生成部は、前記ハッシュ値を前記値ｍ’として用いて、検証要素ｃ_Ｌ＋１を生成する
ことを特徴とする請求項１又は２に記載の署名処理システム。
ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名鍵ｓｋ_Γを生成する鍵生成装置であり、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを含む属性集合Γを入力する第１情報入力部と、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数として所定の値δを設定した鍵要素ｋ^＊ _０を生成する鍵要素０生成部と、
前記第１情報入力部が入力した属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数として属性情報ｘ^→ _ｔに前記所定の値δを乗じたδｘ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した鍵要素ｋ^＊ _ｔを生成する鍵要素ｔ生成部と、
基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，１}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，１}と、基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，２}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，２}とを生成する鍵要素ｄ＋１生成部と、
前記鍵要素０生成部が生成した鍵要素ｋ^＊ _０と、前記鍵要素ｔ生成部が生成した前記属性集合Γに含まれる各識別情報ｔについての鍵要素ｋ^＊ _ｔと、前記鍵要素ｄ＋１生成部が生成した鍵要素ｋ^＊ _{ｄ＋１，１}及び鍵要素ｋ^＊ _{ｄ＋１，２}と、前記属性集合Γとを含む署名鍵ｓｋ_Γを署名装置へ送信する署名鍵送信部と
を備えることを特徴とする鍵生成装置。
ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データσを生成する署名装置であり、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを含む属性集合Γと、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数として所定の値δが設定された鍵要素ｋ^＊ _０と、
前記第１情報入力部が入力した属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数として属性情報ｘ^→ _ｔに前記所定の値δを乗じたδｘ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）が設定された鍵要素ｋ^＊ _ｔと、
基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，１}の係数として前記所定の値δが設定された鍵要素ｋ^＊ _{ｄ＋１，１}と、
基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，２}の係数として前記所定の値δが設定された鍵要素ｋ^＊ _{ｄ＋１，２}と
を署名鍵ｓｋ_Γとして取得する署名鍵取得部と、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｓｋ_Γに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとがの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算部と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _０を含む署名要素ｓ^＊ _０を生成する署名要素０生成部と、
ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _ｔに前記値γ_ｉを乗じたγ_ｉｋ^＊ _ｔを含む署名要素ｓ^＊ _ｉを生成する署名要素ｉ生成部と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _{ｄ＋１，１}と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ^＊ _{ｄ＋１，２}に乗じたｍ’・ｋ^＊ _{ｄ＋１，２}との和を含む署名要素ｓ^＊ _Ｌ＋１を生成する署名要素Ｌ＋１生成部と、
前記署名要素０生成部が生成した署名要素ｓ^＊ _０と、前記署名要素ｉ生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記署名要素Ｌ＋１生成部が生成した署名要素ｓ^＊ _Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを検証装置へ送信する署名データ送信部と
を備えることを特徴とする署名装置。
ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データσを検証する検証装置であり、
署名要素ｓ^＊ _０と、ｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、署名要素ｓ^＊ _Ｌ＋１と、メッセージｍと、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍとを含む署名データσを取得するデータ取得部と、
ｒ個の要素を有するベクトルｆ^→とｒ個の要素を有するベクトルｈ^→と用いて生成される値ｓ_０：＝ｈ^→・ｆ^→Ｔと、所定の値ｓ_Ｌ＋１とから計算される−ｓ_０−ｓ_Ｌ＋１を、基底Ｂ_０の基底ベクトルｂ_０，１の係数として設定して検証要素ｃ_０を生成する検証要素０生成部と、
前記ベクトルｆ^→と前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定し、基底ベクトルｂ_ｔ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）の係数としてθ_ｉｖ_ｉ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数としてｓ_ｉｖ_ｉ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成する検証要素ｉ生成部と、
基底Ｂ_ｄ＋１の基底ベクトルｂ_{ｄ＋１，１}の係数として、前記所定の値ｓ_Ｌ＋１と前記値ｍ’と所定の値θ_Ｌ＋１とから計算されるｓ_Ｌ＋１−θ_Ｌ＋１ｍ’を設定し、基底ベクトルｂ_{ｄ＋１，２}の係数として前記所定の値θ_Ｌ＋１を設定して検証要素ｃ_Ｌ＋１を生成する検証要素Ｌ＋１生成部と、
前記検証要素０生成部が生成した検証要素ｃ_０と、前記検証要素ｉ生成部が生成した検証要素ｃ_ｉと、前記検証要素Ｌ＋１生成部が生成した検証要素ｃ_Ｌ＋１と、前記署名データσに含まれる署名要素ｓ^＊ _０，ｓ^＊ _ｉ，ｓ^＊ _Ｌ＋１とについて、ペアリング演算Π_ｉ＝０ ^Ｌ＋１ｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
を備えることを特徴とする検証装置。
ｄ個（ｄは１以上の整数）の鍵生成装置と、署名装置と、検証装置とを備え、ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムであり、
前記ｄ個の鍵生成装置の各鍵生成装置は、
ｔ＝１，．．．，ｄのうち鍵生成装置毎に予め定められた整数ｔについての属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）を入力する第１情報入力部と、
前記整数ｔと、ｊ＝１，２の各整数ｊについて、前記第１情報入力部が入力した属性情報ｘ^→ _ｔと、所定の値δ_ｊと、所定の値Δと、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ）とに基づき、数１０に示すベクトルを含む鍵要素ｋ^＊ _ｔ，ｊを生成する鍵要素生成部と、
前記鍵要素生成部が生成した鍵要素ｋ^＊ _ｔ，ｊと、前記属性情報ｘ^→ _ｔとを含む署名鍵ｕｓｋを前記署名装置へ送信する署名鍵送信部と
を備え、
前記署名装置は、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
前記ｄ個の鍵生成装置のうち、少なくとも１つ以上の鍵生成装置の署名鍵送信部が送信した署名鍵ｕｓｋを取得する署名鍵取得部と、
前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｕｓｋに含まれる属性情報ｘ_ｔとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ_ｔを含む署名鍵ｕｓｋを前記署名鍵取得部が取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得部が取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算部と、
前記署名鍵ｕｓｋに含まれる鍵要素ｋ^＊ _ｔ，１及び鍵要素ｋ^＊ _ｔ，２と、所定の値ξ_１，Ε，μと、前記メッセージｍから計算される値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ_ｉ・ｘ_ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝２ｎ_ｔ＋１，２ｎ_ｔ＋２）を用いて、数１１に示すベクトルを含む署名要素ｓ^＊ _ｉを生成する署名要素生成部と、
前記署名要素生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信部と
を備え、
前記検証装置は、
前記署名データ送信部が送信した署名データσを取得するデータ取得部と、
ｒ個の要素を有するベクトルｆ^→と、前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔを生成するとともに、ｓ_０：＝ｈ^→・ｆ^→Ｔとして、ｓ_０＝ｈ^→・（ｆ^→’）^Ｔであるｒ個の要素を有するベクトルｆ^→’と、前記行列Ｍとに基づき列ベクトル（ｓ^→’）^Ｔ：＝（ｓ_１’，．．．，ｓ_Ｌ’）^Ｔ：＝Ｍ・（ｆ^→’）^Ｔを生成するベクトル生成部と、
前記ベクトル生成部が生成した列ベクトルｓ^→Ｔ及び列ベクトル（ｓ^→’）^Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉ，θ_ｉ’，θ_ｉ’’，σ_ｉとに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，２ｎ_ｔ＋２）を用いて、数１２に示すベクトルを含む検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ（ｉ’＝１，．．．，２ｎ_ｔ＋２）を用いて、数１３に示すベクトルを含む検証要素ｃ_ｉを生成する検証要素生成部と、
前記検証要素生成部が生成した検証要素ｃ_ｉと、前記署名データσに含まれる署名要素ｓ^＊ _ｉとについて、ペアリング演算Π_ｉ＝１ ^Ｌｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
を備えることを特徴とする署名処理システム。
前記署名処理システムは、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、少なくとも基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ＋２，．．．，２ｎ_ｔ＋２＋ｕ_ｔ，．．．，２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔ，．．．，２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）（ｕ_ｔ，ｗ_ｔ，ｚ_ｔは１以上の整数）を有する基底Ｂ_ｔと、少なくとも基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ＋２，．．．，２ｎ_ｔ＋２＋ｕ_ｔ，．．．，２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔ，．．．，２ｎ_ｔ＋２＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）を有する基底Ｂ^＊ _ｔとを用いて署名処理を実行し、
前記鍵生成装置では、
前記属性情報ｘ^→ _ｔと前記所定の値δ_ｊ，Δと乱数φ_{ｔ，ｊ，ｉ}（ｊ＝１，２；ｉ＝１，．．．，ｗ_ｔ）とに基づき、前記整数ｔと、ｊ＝１，２の各整数ｊについて、数１４に示す鍵要素ｋ^＊ _ｔ，ｊを生成し、
前記署名装置では、
前記署名要素生成部は、前記鍵要素ｋ^＊ _ｔ，１及び前記鍵要素ｋ^＊ _ｔ，２と乱数ξ_１，ξ_２と所定の値Ε，π，π’，μと前記値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、数１５に示すｒ^＊ _ｉ，γ_ｉ，ｙ^→ _ｉ：＝（ｙ_ｉ，ｉ）（ｉ＝１，．．．，ｎ_ｔ），ｙ’^→ _ｉ：＝（ｙ’_ｉ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）を用いて、数１６に示す署名要素ｓ^＊ _ｉを生成し、
前記検証装置では、
前記検証要素生成部は、前記列ベクトルｓ^→Ｔ及び前記列ベクトル（ｓ^→’）^Ｔと乱数θ_ｉ，θ_ｉ’，θ_ｉ’’と前記所定の値σ_ｉと乱数η_ｉ，ｉ’（ｉ＝１，．．．，Ｌ；ｉ’＝１，．．．，ｚ_ｔ）とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、数１７に示す検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、数１８に示す検証要素ｃ_ｉを生成する
ことを特徴とする請求項７に記載の署名処理システム。
前記署名装置では、
前記署名要素生成部は、前記メッセージｍと、前記行列Ｍと、ｉ＝１，．．．，Ｌの各整数ｉについての前記変数ρ（ｉ）とを入力としたハッシュ値を前記値ｍ’として用いて、署名要素ｓ^＊ _ｉを生成し、
前記検証装置では、
前記検証要素生成部は、前記ハッシュ値を前記値ｍ’として用いて、検証要素ｃ_ｉを生成する
ことを特徴とする請求項７又は８に記載の署名処理システム。
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名鍵ｕｓｋを生成する鍵生成装置であり、
ｔ＝１，．．．，ｄのうち所定の整数ｔについて、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）を入力する第１情報入力部と、
前記整数ｔと、ｊ＝１，２の各整数ｊについて、前記第１情報入力部が入力した属性情報ｘ^→ _ｔと、所定の値δ_ｊと、所定の値Δと、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ）とに基づき、数１９に示すベクトルを含む鍵要素ｋ^＊ _ｔ，ｊを生成する鍵要素生成部と、
前記鍵要素生成部が生成した鍵要素ｋ^＊ _ｔ，ｊと、前記属性情報ｘ^→ _ｔとを含む署名鍵ｕｓｋを署名装置へ送信する署名鍵送信部と
を備えることを特徴とする鍵生成装置。
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データσを生成する署名装置であり、
ｔ＝１，．．．，ｄのうち少なくとも一部の整数ｔと、ｊ＝１，２の各整数ｊとについて、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）と、所定の値δ_ｊと、所定の値Δと、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ）とに基づき、数２０に示すベクトルを含むように生成された鍵要素ｋ^＊ _ｔ，ｊと、前記属性情報ｘ^→ _ｔとを含む署名鍵ｕｓｋを取得する署名鍵取得部と、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｕｓｋに含まれる属性情報ｘ^→ _ｔとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得部が取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得部が取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０とならないが等しくないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算部と、
前記署名鍵ｕｓｋに含まれる鍵要素ｋ^＊ _ｔ，１及び鍵要素ｋ^＊ _ｔ，２と、所定の値ξ_１，Ε，μと、前記メッセージｍから計算される値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝２ｎ_ｔ＋１，２ｎ_ｔ＋２）を用いて、数２１に示すベクトルを含む署名要素ｓ^＊ _ｉを生成する署名要素生成部と、
前記署名要素生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信部と
を備えることを特徴とする署名装置。
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データσを検証する検証装置であり、
ｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、メッセージｍと、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍとを含む署名データσを取得するデータ取得部と、
ｒ個の要素を有するベクトルｆ^→と、前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔを生成するとともに、ｓ_０：＝ｈ^→・ｆ^→Ｔとして、ｓ_０＝ｈ^→・（ｆ^→’）^Ｔであるｒ個の要素を有するベクトルｆ^→’と、前記行列Ｍとに基づき列ベクトル（ｓ^→’）^Ｔ：＝（ｓ_１’，．．．，ｓ_Ｌ’）^Ｔ：＝Ｍ・（ｆ^→’）^Ｔを生成するベクトル生成部と、
前記ベクトル生成部が生成した列ベクトルｓ^→Ｔ及び列ベクトル（ｓ^→’）^Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉ，θ_ｉ’，θ_ｉ’’，σ_ｉとに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，２ｎ_ｔ＋２）を用いて、数２２に示すベクトルを含む検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ（ｉ’＝１，．．．，２ｎ_ｔ＋２）を用いて、数２３に示すベクトルを含む検証要素ｃ_ｉを生成する検証要素生成部と、
前記検証要素生成部が生成した検証要素ｃ_ｉと、前記署名データσに含まれる署名要素ｓ^＊ _ｉとについて、ペアリング演算Π_ｉ＝１ ^Ｌｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
を備えることを特徴とする検証装置。
ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理方法であり、
鍵生成装置が、ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを含む属性集合Γを入力する第１情報入力工程と、
前記鍵生成装置が、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数として所定の値δを設定した鍵要素ｋ^＊ _０を生成する鍵要素０生成工程と、
前記鍵生成装置が、前記第１情報入力工程で入力された属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数として属性情報ｘ^→ _ｔに前記所定の値δを乗じたδｘ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した鍵要素ｋ^＊ _ｔを生成する鍵要素ｔ生成工程と、
前記鍵生成装置が、基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，１}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，１}と、基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，２}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，２}とを生成する鍵要素ｄ＋１生成工程と、
前記鍵生成装置が、前記鍵要素０生成工程で生成された鍵要素ｋ^＊ _０と、前記鍵要素ｔ生成工程で生成された前記属性集合Γに含まれる各識別情報ｔについての鍵要素ｋ^＊ _ｔと、前記鍵要素ｄ＋１生成工程で生成された鍵要素ｋ^＊ _{ｄ＋１，１}及び鍵要素ｋ^＊ _{ｄ＋１，２}と、前記属性集合Γとを含む署名鍵ｓｋ_Γを署名装置へ送信する署名鍵送信工程と、
前記署名装置が、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力工程と、
前記署名装置が、前記署名鍵送信工程で送信された署名鍵ｓｋ_Γを取得する署名鍵取得工程と、
前記署名装置が、前記第２情報入力工程で入力された変数ρ（ｉ）と、前記署名鍵取得工程で取得された署名鍵ｓｋ_Γに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定された集合Ｉに含まれるｉについて、前記第２情報入力工程で入力された行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算工程と、
前記署名装置が、前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _０を含む署名要素ｓ^＊ _０を生成する署名要素０生成工程と、
前記署名装置が、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算工程で特定された集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _ｔに前記値γ_ｉを乗じたγ_ｉｋ^＊ _ｔを含む署名要素ｓ^＊ _ｉを生成する署名要素ｉ生成工程と、
前記署名装置が、前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _{ｄ＋１，１}と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ^＊ _{ｄ＋１，２}に乗じたｍ’・ｋ^＊ _{ｄ＋１，２}との和を含む署名要素ｓ^＊ _Ｌ＋１を生成する署名要素Ｌ＋１生成工程と、
前記署名装置が、前記署名要素０生成工程で生成された署名要素ｓ^＊ _０と、前記署名要素ｉ生成工程で生成されたｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記署名要素Ｌ＋１生成工程で生成された署名要素ｓ^＊ _Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを検証装置へ送信する署名データ送信工程と、
前記検証装置が、前記署名データ送信工程で送信された署名データσを取得するデータ取得工程と、
前記検証装置が、ｒ個の要素を有するベクトルｆ^→と前記ベクトルｈ^→と用いて生成される値ｓ_０：＝ｈ^→・ｆ^→Ｔと、所定の値ｓ_Ｌ＋１とから計算される−ｓ_０−ｓ_Ｌ＋１を、基底Ｂ_０の基底ベクトルｂ_０，１の係数として設定して検証要素ｃ_０を生成する検証要素０生成工程と、
前記検証装置が、前記ベクトルｆ^→と前記データ取得工程で取得された署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定し、基底ベクトルｂ_ｔ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）の係数としてθ_ｉｖ_ｉ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数としてｓ_ｉｖ_ｉ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成する検証要素ｉ生成工程と、
前記検証装置が、基底Ｂ_ｄ＋１の基底ベクトルｂ_{ｄ＋１，１}の係数として、前記所定の値ｓ_Ｌ＋１と前記値ｍ’と所定の値θ_Ｌ＋１とから計算されるｓ_Ｌ＋１−θ_Ｌ＋１ｍ’を設定し、基底ベクトルｂ_{ｄ＋１，２}の係数として前記所定の値θ_Ｌ＋１を設定して検証要素ｃ_Ｌ＋１を生成する検証要素Ｌ＋１生成工程と、
前記検証装置が、前記検証要素０生成工程で生成された検証要素ｃ_０と、前記検証要素ｉ生成工程で生成された検証要素ｃ_ｉと、前記検証要素Ｌ＋１生成工程で生成された検証要素ｃ_Ｌ＋１と、前記署名データσに含まれる署名要素ｓ^＊ _０，ｓ^＊ _ｉ，ｓ^＊ _Ｌ＋１とについて、ペアリング演算Π_ｉ＝０ ^Ｌ＋１ｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算工程と
を備えることを特徴とする署名処理方法。
鍵生成プログラムと署名プログラムと検証プログラムとを備え、ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理プログラムであり、
前記鍵生成プログラムは、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを含む属性集合Γを入力する第１情報入力処理と、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数として所定の値δを設定した鍵要素ｋ^＊ _０を生成する鍵要素０生成処理と、
前記第１情報入力処理で入力された属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数として属性情報ｘ^→ _ｔに前記所定の値δを乗じたδｘ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した鍵要素ｋ^＊ _ｔを生成する鍵要素ｔ生成処理と、
基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，１}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，１}と、基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，２}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，２}とを生成する鍵要素ｄ＋１生成処理と、
前記鍵要素０生成処理で生成された鍵要素ｋ^＊ _０と、前記鍵要素ｔ生成処理で生成された前記属性集合Γに含まれる各識別情報ｔについての鍵要素ｋ^＊ _ｔと、前記鍵要素ｄ＋１生成処理で生成された鍵要素ｋ^＊ _{ｄ＋１，１}及び鍵要素ｋ^＊ _{ｄ＋１，２}と、前記属性集合Γとを含む署名鍵ｓｋ_Γを前記署名装置へ送信する署名鍵送信処理と
をコンピュータに実行させ、
前記署名プログラムは、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力処理と、
前記署名鍵送信処理で送信された署名鍵ｓｋ_Γを取得する署名鍵取得処理と、
前記第２情報入力処理で入力された変数ρ（ｉ）と、前記署名鍵取得処理で取得された署名鍵ｓｋ_Γに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定された集合Ｉに含まれるｉについて、前記第２情報入力処理で入力された行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算処理と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _０を含む署名要素ｓ^＊ _０を生成する署名要素０生成処理と、
ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算処理で特定された集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _ｔに前記値γ_ｉを乗じたγ_ｉｋ^＊ _ｔを含む署名要素ｓ^＊ _ｉを生成する署名要素ｉ生成処理と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _{ｄ＋１，１}と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ^＊ _{ｄ＋１，２}に乗じたｍ’・ｋ^＊ _{ｄ＋１，２}との和を含む署名要素ｓ^＊ _Ｌ＋１を生成する署名要素Ｌ＋１生成処理と、
前記署名要素０生成処理で生成された署名要素ｓ^＊ _０と、前記署名要素ｉ生成処理で生成されたｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記署名要素Ｌ＋１生成処理で生成された署名要素ｓ^＊ _Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信処理と
をコンピュータに実行させ、
前記検証プログラムは、
前記署名データ送信処理で送信された署名データσを取得するデータ取得処理と、
ｒ個の要素を有するベクトルｆ^→と前記ベクトルｈ^→と用いて生成される値ｓ_０：＝ｈ^→・ｆ^→Ｔと、所定の値ｓ_Ｌ＋１とから計算される−ｓ_０−ｓ_Ｌ＋１を、基底Ｂ_０の基底ベクトルｂ_０，１の係数として設定して検証要素ｃ_０を生成する検証要素０生成処理と、
前記ベクトルｆ^→と前記データ取得処理で取得された署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定し、基底ベクトルｂ_ｔ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）の係数としてθ_ｉｖ_ｉ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数としてｓ_ｉｖ_ｉ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成する検証要素ｉ生成処理と、
基底Ｂ_ｄ＋１の基底ベクトルｂ_{ｄ＋１，１}の係数として、前記所定の値ｓ_Ｌ＋１と前記値ｍ’と所定の値θ_Ｌ＋１とから計算されるｓ_Ｌ＋１−θ_Ｌ＋１ｍ’を設定し、基底ベクトルｂ_{ｄ＋１，２}の係数として前記所定の値θ_Ｌ＋１を設定して検証要素ｃ_Ｌ＋１を生成する検証要素Ｌ＋１生成処理と、
前記検証要素０生成処理で生成された検証要素ｃ_０と、前記検証要素ｉ生成処理で生成された検証要素ｃ_ｉと、前記検証要素Ｌ＋１生成処理で生成された検証要素ｃ_Ｌ＋１と、前記署名データσに含まれる署名要素ｓ^＊ _０，ｓ^＊ _ｉ，ｓ^＊ _Ｌ＋１とについて、ペアリング演算Π_ｉ＝０ ^Ｌ＋１ｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算処理と
をコンピュータに実行させることを特徴とする署名処理プログラム。
ｔ＝１，．．．，ｄ（ｄは１以上の整数）の少なくとも１つ以上の整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理方法であり、
ｄ個の鍵生成装置の少なくとも１個以上の鍵生成装置が、ｔ＝１，．．．，ｄのうち鍵生成装置毎に予め定められた整数ｔについての属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）を入力する第１情報入力工程と、
前記少なくとも１個以上の鍵生成装置が、前記整数ｔと、ｊ＝１，２の各整数ｊについて、前記第１情報入力工程で入力された属性情報ｘ^→ _ｔと、所定の値δ_ｊと、所定の値Δと、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ）とに基づき、数２４に示すベクトルを含む鍵要素ｋ^＊ _ｔ，ｊを生成する鍵要素生成工程と、
前記少なくとも１個以上の鍵生成装置が、前記鍵要素生成工程で生成された鍵要素ｋ^＊ _ｔ，ｊと、前記属性情報ｘ^→ _ｔとを含む署名鍵ｕｓｋを署名装置へ送信する署名鍵送信工程と、
前記署名装置が、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力工程と、
前記署名装置が、前記ｄ個の鍵生成装置のうち、少なくとも１つ以上の鍵生成装置の署名鍵送信工程で送信された署名鍵ｕｓｋを取得する署名鍵取得工程と、
前記署名装置が、前記第２情報入力工程で入力された変数ρ（ｉ）と、前記署名鍵取得工程で取得された署名鍵ｕｓｋに含まれる属性情報ｘ^→ _ｔとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得工程で取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得工程で取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定された集合Ｉに含まれるｉについて、前記第２情報入力工程で入力された行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算工程と、
前記署名装置が、前記署名鍵ｕｓｋに含まれる鍵要素ｋ^＊ _ｔ，１及び鍵要素ｋ^＊ _ｔ，２と、所定の値ξ_１，Ε，μと、前記メッセージｍから計算される値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算工程で特定された集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝２ｎ_ｔ＋１，２ｎ_ｔ＋２）を用いて、数２５に示すベクトルを含む署名要素ｓ^＊ _ｉを生成する署名要素生成工程と、
前記署名装置が、前記署名要素生成工程で生成されたｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを検証装置へ送信する署名データ送信工程と、
前記検証装置が、前記署名データ送信工程が送信された署名データσを取得するデータ取得工程と、
前記検証装置が、ｒ個の要素を有するベクトルｆ^→と、前記データ取得工程で取得された署名データσに含まれる行列Ｍとに基づき列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔを生成するとともに、ｓ_０：＝ｈ^→・ｆ^→Ｔとして、ｓ_０＝ｈ^→・（ｆ^→’）^Ｔであるｒ個の要素を有するベクトルｆ^→’と、前記行列Ｍとに基づき列ベクトル（ｓ^→’）^Ｔ：＝（ｓ_１’，．．．，ｓ_Ｌ’）^Ｔ：＝Ｍ・（ｆ^→’）^Ｔを生成するベクトル生成工程と、
前記検証装置が、前記ベクトル生成工程で生成された列ベクトルｓ^→Ｔ及び列ベクトル（ｓ^→’）^Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉ，θ_ｉ’，θ_ｉ’’，σ_ｉとに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，２ｎ_ｔ＋２）を用いて、数２６に示すベクトルを含む検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，１から基底ベクトルｂ_ｔ，ｉ（ｉ’＝１，．．．，２ｎ_ｔ＋２）を用いて、数２７に示すベクトルを含む検証要素ｃ_ｉを生成する検証要素生成工程と、
前記検証装置が、前記検証要素生成工程で生成された検証要素ｃ_ｉと、前記署名データσに含まれる署名要素ｓ^＊ _ｉとについて、ペアリング演算Π_ｉ＝１ ^Ｌｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算工程と
を備えることを特徴とする署名処理方法。
ｄ個（ｄは１以上の整数）の鍵生成装置で動作させる鍵生成プログラムと、署名装置で動作させる署名プログラムと、検証装置で動作させる検証プログラムとを備え、ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理プログラムであり、
前記鍵生成プログラムは、
ｔ＝１，．．．，ｄのうち鍵生成装置毎に予め定められた整数ｔについての属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）を入力する第１情報入力処理と、
前記整数ｔと、ｊ＝１，２の各整数ｊについて、前記第１情報入力処理で入力された属性情報ｘ^→ _ｔと、所定の値δ_ｊと、所定の値Δと、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ）とに基づき、数２８に示すベクトルを含む鍵要素ｋ^＊ _ｔ，ｊを生成する鍵要素生成処理と、
前記鍵要素生成処理で生成された鍵要素ｋ^＊ _ｔ，ｊと、前記属性情報ｘ^→ _ｔとを含む署名鍵ｕｓｋを前記署名装置へ送信する署名鍵送信処理と
をコンピュータに実行させ、
前記署名プログラムは、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力処理と、
前記ｄ個の鍵生成装置のうち、少なくとも１つ以上の鍵生成装置の署名鍵送信処理で送信された署名鍵ｕｓｋを取得する署名鍵取得処理と、
前記第２情報入力処理で入力された変数ρ（ｉ）と、前記署名鍵取得処理で取得された署名鍵ｕｓｋに含まれる属性情報ｘ^→ _ｔとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得処理で取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得処理で取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定された集合Ｉに含まれるｉについて、前記第２情報入力処理で入力された行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算処理と、
前記署名鍵ｕｓｋに含まれる鍵要素ｋ^＊ _ｔ，１及び鍵要素ｋ^＊ _ｔ，２と、所定の値ξ_１，Ε，μと、前記メッセージｍから計算される値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算処理で特定された集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝２ｎ_ｔ＋１，２ｎ_ｔ＋２）を用いて、数２９に示すベクトルを含む署名要素ｓ^＊ _ｉを生成する署名要素生成処理と、
前記署名要素生成処理で生成されたｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信処理と
をコンピュータに実行させ、
前記検証プログラムは、
前記署名データ送信処理で送信された署名データσを取得するデータ取得処理と、
ｒ個の要素を有するベクトルｆ^→と、前記データ取得処理で取得された署名データσに含まれる行列Ｍとに基づき列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔを生成するとともに、ｓ_０：＝ｈ^→・ｆ^→Ｔとして、ｓ_０＝ｈ^→・（ｆ^→’）^Ｔであるｒ個の要素を有するベクトルｆ^→’と、前記行列Ｍとに基づき列ベクトル（ｓ^→’）^Ｔ：＝（ｓ_１’，．．．，ｓ_Ｌ’）^Ｔ：＝Ｍ・（ｆ^→’）^Ｔを生成するベクトル生成処理と、
前記ベクトル生成処理で生成された列ベクトルｓ^→Ｔ及び列ベクトル（ｓ^→’）^Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉ，θ_ｉ’，θ_ｉ’’，σ_ｉとに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，２ｎ_ｔ＋２）を用いて、数３０に示すベクトルを含む検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ（ｉ’＝１，．．．，２ｎ_ｔ＋２）を用いて、数３１に示すベクトルを含む検証要素ｃ_ｉを生成する検証要素生成処理と、
前記検証要素生成処理で生成された検証要素ｃ_ｉと、前記署名データσに含まれる署名要素ｓ^＊ _ｉとについて、ペアリング演算Π_ｉ＝１ ^Ｌｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算処理と
をコンピュータに実行させることを特徴とする署名処理プログラム。