JP5612494B2 - 関数暗号を用いた時限暗号システム、時限暗号方法、装置、プログラム - Google Patents

Description

本発明は時限暗号技術に関する。

時限暗号は、Mayによって１９９３年に提案された特殊な暗号で、正規の受信者でも送信者が指定した時刻になるまで復号できないような暗号である。Blakeらが２００４年にpairing関数を用いた構成手法を提案して以来、時刻サーバがユーザと対話をしない時刻トークンブロードキャスト型時限暗号が盛んに研究されている。このタイプの時限暗号が復号が可能となる時刻より前の時刻において受信者に対して秘匿を実現する仕組みは、概ね、時刻をＩＤとしたＩＤベース暗号によって実現されていると言ってよい。

ＩＤベース暗号は、下記の４つのアルゴリズム(Setup,KeyGen,Enc,Dec)を枠組みとする暗号である。プロトコルの概略は下記のとおりである。
《プロトコルIBE》
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
・Setup(1^λ)→(pk,sk)：セットアップアルゴリズム
セキュリティパラメータ1^λを入力とし、公開パラメータpkとマスター秘密鍵skを出力する確率的多項式時間アルゴリズム
・KeyGen(sk,i)→sk_i：鍵生成アルゴリズム
マスター秘密鍵skと鍵識別子iを入力とし、当該鍵識別子iに対応する秘密鍵sk_iを出力する確率的多項式時間アルゴリズム
・Enc(pk,j,x)→c_j：暗号化アルゴリズム
公開パラメータpkと受信者識別子jと暗号化対象の情報（平文）xを入力とし、暗号文c_jを出力する確率的多項式時間アルゴリズム
・Dec(pk,sk_i,c_j)→y：復号アルゴリズム
公開パラメータpkと秘密鍵sk_iと暗号文c_jを入力とし、平文yを出力する確率的多項式時間アルゴリズム
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

あらゆる識別子i∈{0,1}^poly(λ)およびあらゆる平文x∈{0,1}^poly(λ)に対して式（１）で表される確率Prがλに関して圧倒的（１との差が無視しうる）とき、そのＩＤベース暗号は正当であると云い、この性質を正当性と呼ぶ。なお、poly(λ)はλで決まる多項式長を表している。

このＩＤベース暗号を用いて時限暗号は例えば次のように構成される。プロトコルの概略は下記のとおりである。
《プロトコルTRC-IBE》
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
・まず、時刻サーバ装置は、上記セットアップアルゴリズムSetup(1^λ)を実行して公開パラメータpkとマスター秘密鍵skを生成し、公開パラメータpkを公開する。
・時刻サーバ装置は、定期あるいは不定期に、上記鍵生成アルゴリズムKeyGen(sk,t)を実行して時刻トークンsk_tを生成し、時刻トークンsk_tをブロードキャストする。ただし、tはKeyGen(sk,t)を実行するときの時刻である。
・送信者装置は、復号時刻をt'、平文をmとして、上記暗号化アルゴリズムEnc(pk,t',m)を実行して暗号文c_t'を生成し、暗号文c_t'を受信者装置に送信する。
・受信者装置は、時刻サーバ装置から時刻t'の時刻トークンsk_t'を取得して、上記復号アルゴリズムDec(pk,sk_t',c_t')を実行して平文mを得る。
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

A. C-F. Chan and I. F. Blake, "Scalable, Server-Passive, User Anonymous Timed Release Cryptography", in the proceeding of the 25th IEEE International Conference on Distributed Computing Systems (ICDCS 2005), p.504-513, June 2005.

従来の上記構成では、時刻サーバ装置がブロードキャストした時刻トークンsk_t'を受信者装置が取りこぼした場合、受信者装置が上記復号アルゴリズムDec(pk,sk_t',c_t')を実行できないという問題がある。

そこで本発明は、指定された復号基準時刻以降に生成された時刻トークンを用いて暗号文を復号できる時限暗号技術を提供することを目的とする。

本発明の時限暗号技術は、次のとおりである。公開パラメータpkとマスター秘密鍵skが定められた暗号(KeyGen,Enc,Dec)が、KeyGen(sk,i)→sk_i：鍵生成アルゴリズム（マスター秘密鍵skと情報iを入力とし、当該情報iに対応する秘密鍵sk_iを出力する確率的多項式時間アルゴリズム）と、Enc(pk,j,x)→c_j：暗号化アルゴリズム（公開パラメータpkと情報jと暗号化対象の情報（以下、平文という）xを入力とし、暗号文c_jを出力する確率的多項式時間アルゴリズム）と、Dec(pk,sk_i,c_j)→y：復号アルゴリズム（公開パラメータpkと秘密鍵sk_iと暗号文c_jを入力とし、情報yを出力する確率的多項式時間アルゴリズム）とを含み、情報iと情報jが予め定められた関係Ｒを満たすときに情報yとして平文xが得られるように構成されている。時限暗号システムを構成する時刻サーバ装置では、定期あるいは不定期に、情報iを時刻tを含む情報として、暗号の鍵生成アルゴリズムKeyGen(sk,i)を実行して時刻トークンsk_t←KeyGen(sk,i)を生成する[時刻トークン生成処理]。時限暗号システムを構成する送信者成装置では、情報jを復号アルゴリズムの実行の時的制限に係る予め定められた時間に関する情報t'（時的制限情報t'）を含む情報とし、平文xを平文mとして、暗号の暗号化アルゴリズムEnc(pk,j,m)を実行して暗号文c_t'←Enc(pk,j,m)を生成する[暗号文生成処理]。時限暗号システムを構成する受信者装置では、秘密鍵sk_iを時刻トークンsk_tとし、暗号文c_jを暗号文c_t'として、暗号の復号アルゴリズムDec(pk,sk_t,c_t')を実行する[復号処理]。

本発明に拠れば、暗号を利用して時限暗号を構成するので、指定された復号基準時刻以降に生成された時刻トークンを用いて暗号文を復号できる。従って、例えば復号基準時刻として指定された時刻にブロードキャストされた時刻トークンを受信者装置が取得できなかったとしても、受信者装置は、当該復号基準時刻以降に生成された時刻トークンを用いて当該暗号文を復号することができる。

実施形態の時限暗号システムを示す図。 実施形態における時限暗号の処理手順を示す図。 各実施例に関わる時限暗号システムの構成要素である時刻サーバ装置、送信者装置、受信者装置の機能構成を示す図。 ビット表現された整数変数tと定数t'とを比較する述語の構成方法（t＞t'）。 ビット表現された整数変数tと定数t'とを比較する述語の構成方法（t≧t'）。 命題変数PRO(1),PRO(2)と命題変数PRO(3)の否定¬PRO(3)と論理記号∧，∨とを含む標準形論理式PRO(1)∧PRO(2)∨¬PRO(3)を表現する木構造データを例示する図。 命題変数PRO(1),PRO(2),PRO(3),PRO(6),PRO(7)と命題変数PRO(4),PRO(5)の否定¬PRO(4),¬PRO(5)と論理記号∧，∨とを含む標準形論理式PRO(1)∧PRO(2)∨PRO(2)∧PRO(3)∨PRO(1)∧PRO(3)∨¬PRO(4)∨(¬PRO(5)∧PRO(6))∧PRO(7)を表現する木構造データを例示する図。

《原理》
本発明の時限暗号は関数暗号を利用して実現される。そこでまず関数暗号について説明する。

＜関数暗号＞
近年、関数暗号と呼ばれるＩＤベース暗号の拡張暗号が話題となっている。関数暗号とＩＤベース暗号には構文の違いは全く無い。即ち、関数暗号も下記の４つのアルゴリズム(Setup,KeyGen,Enc,Dec)から構成される。プロトコルの概略は下記のとおりである。
《プロトコルFE》
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
・Setup(1^λ)→(pk,sk)：セットアップアルゴリズム
セキュリティパラメータ1^λを入力とし、公開パラメータpkとマスター秘密鍵skを出力する確率的多項式時間アルゴリズム
・KeyGen(sk,i)→sk_i：鍵生成アルゴリズム
マスター秘密鍵skと鍵識別子iを入力とし、当該鍵識別子iに対応する秘密鍵sk_iを出力する確率的多項式時間アルゴリズム
・Enc(pk,j,x)→c_j：暗号化アルゴリズム
公開パラメータpkと受信者識別子jと暗号化対象の情報（平文）xを入力とし、暗号文c_jを出力する確率的多項式時間アルゴリズム
・Dec(pk,sk_i,c_j)→y：復号アルゴリズム
公開パラメータpkと秘密鍵sk_iと暗号文c_jを入力とし、平文yを出力する確率的多項式時間アルゴリズム
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

関数暗号では、ＩＤベース暗号の正当性が拡張されており、暗号文の受信者は鍵識別子iを持つ秘密鍵と受信者識別子jを持つ暗号文から平文xに関する何らかの関数f_i,j(x)を評価することができるようになっている。即ち、或る関数f_i,j(x)が存在し∀i，∀j，∀x∈{0,1}^poly(λ)に対して式（２）で表される確率Prがλに関して圧倒的であるとき、その関数暗号(Setup,KeyGen,Enc,Dec)は正当であると云う。

特に、或る関係Ｒ(・,・)が存在し、式（３）で表されるタイプの関数f_i,j(x)を持つ関数暗号は様々な暗号を包含している（⊥は正常に復号できなかったことを表す記号である）。

例えばＩＤベース暗号は式（４）で表される関数f_i,j(x)を持つ関数暗号と定義することができる。

より高度な関係Ｒ(・,・)を持つ様々な関数暗号が研究されている。このタイプの関数暗号のうち最も汎用性の高いものは属性ベース暗号(attribute-based encryption, ABE)あるいは述語暗号(predicate encryption, PE)等と呼ばれ、よく研究されている。2010年に岡本龍明らは多項式サイズの述語および述語変数の集合に対応し、標準的な暗号学的仮定の下で適応的識別子攻撃に対してＣＣＡ安全が証明できる比較的実用的なこのタイプの関数暗号を提案した（参考文献１参照）。
（参考文献１）Tatsuaki Okamoto and Katsuyuki Takashima, "Fully Secure Functional Encryption with General Relations from the Decisional Linear Assumption," International Cryptology Conference CRYPTO, pp.191-208, November 2010.

鍵識別子iを述語、受信者識別子jを述語変数のインスタンスとして式（５）で表される関係Ｒ(・,・)を持つ関数暗号は鍵ポリシー属性ベース暗号(key-policy attribute-based encryption, KP-ABE)と呼ばれる。

鍵識別子iを述語変数、受信者識別子jを述語のインスタンスとして式（６）で表される関係Ｒ(・,・)を持つ関数暗号は暗号文ポリシー属性ベース暗号(ciphertext-policy attribute-based encryption, CP-ABE)と呼ばれる。

＜関数暗号を用いた時限暗号＞
ＩＤベース暗号と関数暗号の構文（アルゴリズムの入出力インターフェイス）は完全に一致している。従って、同じような安全性を持つならば時限暗号に関してＩＤベース暗号の代わりに関数暗号を利用できる。

mを平文、tを時刻サーバ装置が時刻トークンを生成した時刻、t'を送信者装置が暗号文に設定した時的制限情報（復号アルゴリズムの実行の時的制限に係る予め定められた時間に関する情報である。以下、時的制限情報を特に断りのない限り復号基準時刻と呼ぶことにする）として、式（７）で表される関数f_t,t'(m)を持つ関数暗号を利用できるならば受信者装置が時刻トークンを取得できなかった場合の上記問題を克服できる。

式（７）で表される関数f_t,t'(m)によると、時刻tが時刻t'より小さい時（早い時）は復号時に⊥が出力され、時刻tが時刻t'以上の時（時刻tが時刻t'以降の時）は平文mが出力される。t≧t'あるいはその否定であるt＜t'は関係Ｒによって表現できるところ、このような関数暗号を属性ベース暗号に基づいて構成する方法は２通り存在する。

一つは鍵ポリシー属性ベース暗号を用いる方法である。この場合、時刻サーバ装置はtを現在時刻、t'を述語変数としてt≧t'なる述語（鍵識別子）に関して時刻トークンsk_tを生成して、時刻トークンsk_tをブロードキャストする。送信者装置は目的の復号基準時刻t'を属性に持つ暗号文c_t'を生成し、当該暗号文c_t'を受信者装置に送信する。

もう一つは暗号文ポリシー属性ベース暗号を用いる方法である。この場合、時刻サーバ装置は、現在時刻tを属性に持つ時刻トークンsk_tを生成して、時刻トークンsk_tをブロードキャストする。送信者装置はtを述語変数、t'を目的の復号基準時刻としてt≧t'なる述語(受信者識別子)に関して暗号文c_t'を生成し、当該暗号文c_t'を受信者装置に送信する。

いずれの場合であっても時刻トークンsk_tおよび暗号文c_t'を持つ受信者装置はt≧t'なる時に暗号文c_t'を復号できる。

述語変数（現在時刻が代入される）と復号基準時刻をビット表現された整数と見做せば、現在時刻と復号基準時刻との大小判定を、述語変数を用いた述語として表現できる。従って、述語の充足によって復号可能か否かが決まる関数暗号があれば、ビット表現された整数の大小判定の結果によって復号可能か否かが決定される関数暗号を構成することができる。例えば、図４と図５に示すように比較する定数のビットイメージに対応して論理積andや論理和orで述語変数を合成することによって述語を決定できる。図４では整数変数tと定数t'との間におけるt＞t'の関係を記述する述語を示してある。なお、t≦t'の関係を記述する述語は、t＞t'の関係を記述する述語の否定（¬(t＞t')）によって表される。図５では整数変数tと定数t'との間におけるt≧t'の関係を記述する述語を示してある。なお、t＜t'の関係を記述する述語は、t≧t'の関係を記述する述語の否定（¬(t≧t')）によって表される。

＜公開検証可能関数暗号＞
関数暗号のうち暗号文に対してKeyGenアルゴリズムから得られる如何なる鍵を持たなくとも、その暗号文が正しく作られていることが納得できるものを公開検証可能関数暗号と呼ぶ。暗号化手続きが正しく行われたことを証明する非対話零知識証明を暗号文に付加すれば、そのような暗号を構成することができる（参考文献２参照）。非対話零知識証明を用いることによって、暗号文に対して復号可能な如何なる鍵を使っても同じ結果が得られることを納得できる。
（参考文献２）Jens Groth and Amit Sahai, "Efficient Non-interactive Proof Systems for Bilinear Groups," Advances in Cryptology - EUROCRYPT 2008, LNCS 4965, pp.415-432, March 2010.

《実施形態》
［時限暗号システム］
実施形態の時限暗号システム１は、図１に示すように、時刻サーバ装置１００と、送信者装置２００と、受信者装置３００とを少なくとも含んで構成される。これらの各装置は、例えばインターネットなどの通信網５を経由して、相互に通信可能とされている。

本発明の時限暗号システムは、ユーザの数に応じて一つまたは複数の送信者装置２００と一つまたは複数の受信者装置３００を含みえるが、本発明の理解を容易にするため、後述の実施形態では、時限暗号システム１は、１個の時刻サーバ装置１００と１個の送信者装置２００とＮ個の受信者装置３００−１，・・・，３００−ｉ，・・・，３００−Ｎを含むとする。ただし、Ｎは１以上の整数とする。

時限暗号システム１における時限暗号処理を、図２を参照しながら叙述する。各装置の機能構成については、図３を参照されたい。なお、Ｎ個の受信者装置３００−１，・・・，３００−ｉ，・・・，３００−Ｎのうちのどの受信者装置についても同じ情報処理となるから、この説明では、任意性を考慮してｉ番目の受信者装置３００−ｉにおける情報処理を想定する。

[[実施例１]]
tを鍵識別子、t'を受信者識別子として、上記式（７）で表される関数f_t,t'(m)を持つ関数暗号(Setup,KeyGen,Enc,Dec)を利用する。プロトコルの概略は下記のとおりである。なお、このような関数暗号であれば何ら限定はないので、ここでは一般的な説明をするに留めるが、実用の局面ではSetup,KeyGen,Enc,Decの各アルゴリズムが具体的に決まっているから、当然、当該各アルゴリズムを実行することになる。
《プロトコルTRC-FE》
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
・まず、時刻サーバ装置は、《プロトコルFE》で説明したセットアップアルゴリズムSetup(1^λ)を実行して公開パラメータpkとマスター秘密鍵skを生成し、公開パラメータpkを公開する。
・時刻サーバ装置は、定期あるいは不定期に、《プロトコルFE》で説明した鍵生成アルゴリズムKeyGen(sk,t)を実行して時刻トークンsk_tを生成し、時刻トークンsk_tをブロードキャストする。ただし、tはKeyGen(sk,t)を実行するときの時刻である。
・送信者装置は、復号基準時刻をt'、平文をmとして、《プロトコルFE》で説明した暗号化アルゴリズムEnc(pk,t',m)を実行して暗号文c_t'を生成し、暗号文c_t'を受信者装置に送信する。
・受信者装置は、時刻サーバ装置から時刻tの時刻トークンsk_tを取得して、《プロトコルFE》で説明した復号アルゴリズムDec(pk,sk_t,c_t')を実行して、t≧t'を満たす場合に平文mを得る。
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

まず、時刻サーバ装置１００の初期設定部１０１が、《プロトコルFE》で説明したセットアップアルゴリズムSetup(1^λ)を実行して公開パラメータpkとマスター秘密鍵skを生成し（ステップＳ１）、公開パラメータpkを公開する（ステップＳ１ａ）。公開パラメータpkの公開は、例えば、送信者装置２００や受信者装置３００−ｉから時刻サーバ装置１００にアクセスがあった場合に時刻サーバ装置１００の送信部１０８が時刻サーバ装置１００の記憶部（図示せず）に記憶されている公開パラメータpkを送信者装置２００や受信者装置３００−ｉに対して送信する手順や、送信者装置２００や受信者装置３００−ｉからのアクセスを問わず、時刻サーバ装置１００の送信部１０８が時刻サーバ装置１００の記憶部（図示せず）に記憶されている公開パラメータpkを送信者装置２００や受信者装置３００−ｉに対して送信する手順によって達成される。

そして、時刻サーバ装置１００の時刻トークン生成部１０２は、定期あるいは不定期に、《プロトコルFE》で説明した鍵生成アルゴリズムKeyGen(sk,t)を実行して時刻トークンsk_tを生成する（ステップＳ２）。ただし、tはKeyGen(sk,t)を実行するときの時刻である。この時刻tは時刻サーバ装置１００の内部時計から取得した時刻であってもよいし、外部から供給される協定世界時（UTC - Universal Time, Coordinated）や日本標準時（JST - Japan Standard Time）などであってもよい。

なお、時刻サーバ装置１００の内部時計から取得した時刻を時刻tとする場合、少なくとも時刻サーバ装置１００と送信者装置２００との間で可能な限り（つまり、例えば数秒程度の誤差を許容するとしても）相互の時間を同期させておくことが望ましい。同期方法としては、例えば、時刻サーバ装置１００が通信網５を経由して送信者装置２００に、時刻サーバ装置１００の内部時計の時刻を常時提供するようにすればよい。時刻tとして協定世界時や日本標準時を利用する場合、送信者装置２００も協定世界時や日本標準時を受信できる構成としておくことが望ましい。なお、このことは、他の実施例でも同様である。

時刻サーバ装置１００の送信部１０８は、時刻トークン生成部１０２によって生成された時刻トークンsk_tをブロードキャストする（ステップＳ３）。ブロードキャストの対象に制限はないが、少なくとも受信者装置３００−ｉはブロードキャストされた時刻トークンsk_tを受信できるシステム構成であることが必須である（ただし、既述のように、受信者装置３００−ｉがブロードキャストされた時刻トークンsk_tを取りこぼしてしまう可能性は否定されない）。

送信者装置２００の暗号文生成部２０１は、復号基準時刻をt'、平文をmとして、送信者装置２００の受信部２０９が受信した公開パラメータpkを用いて、《プロトコルFE》で説明した暗号化アルゴリズムEnc(pk,t',m)を実行して暗号文c_t'を生成する（ステップＳ４）。当然であるが、復号基準時刻t'は、暗号文c_t'を生成した時刻よりも遅い時刻である。

送信者装置２００の送信部２０８は、暗号文生成部２０１によって生成された暗号文c_t'を受信者装置３００−ｉに対して送信する（ステップＳ５）。なお、暗号文の送信対象となる受信者装置は一つであっても複数であってもよい。

受信者装置３００−ｉの復号部３０１は、受信者装置３００−ｉの受信部３０９が受信した時刻トークンsk_t、公開パラメータpk、暗号文c_t'を用いて、《プロトコルFE》で説明した復号アルゴリズムDec(pk,sk_t,c_t')を実行する（ステップＳ６）。上記式（７）で表されるタイプの関数f_t,t'(m)を持つ関数暗号(Setup,KeyGen,Enc,Dec)によると、多くの場合、復号アルゴリズムDec(pk,sk_t,c_t')にて、関係Ｒ（ここではt≧t'である）の真偽を判定するための論理式やこれと等価な演算を通して当該関数f_t,t'(m)の出力が決せられる暗号構造が組み込まれており、当該関係Ｒが真となる場合、つまりt≧t'を満たす場合に復号部３０１は平文mを得ることができる。

[[実施例２]]
実施例２は、実施例１における関数暗号(Setup,KeyGen,Enc,Dec)として鍵ポリシー属性ベース暗号による場合の実施例である。実施例１を鍵ポリシー属性ベース暗号として具体化した事項について説明を加え、実施例１と同じ事項は説明を省略する。

実施例２では、実施例１のステップＳ２の処理にて、次のような処理を行う。時刻サーバ装置１００の時刻トークン生成部１０２が、定期あるいは不定期に、tを現在時刻（KeyGen(sk,t≧T)を実行するときの時刻）、Tを述語変数として、t≧Tなる述語に関して、《プロトコルFE》で説明した鍵生成アルゴリズムKeyGen(sk,t≧T)を実行して時刻トークンsk_t≧Tを生成する。現在時刻tは時刻サーバ装置１００の内部時計から取得した時刻であってもよいし、外部から供給される協定世界時（UTC - Universal Time, Coordinated）や日本標準時（JST - Japan Standard Time）などであってもよい。

実施例２では、実施例１のステップＳ６の処理にて、次のような処理を行う。受信者装置３００−ｉの復号部３０１は、受信者装置３００−ｉの受信部３０９が受信した時刻トークンsk_t≧T、公開パラメータpk、暗号文c_t'を用いて、《プロトコルFE》で説明した復号アルゴリズムDec(pk,sk_t≧T,c_t')を実行する。上記式（７）で表されるタイプの関数f_t,t'(m)を持つ関数暗号(Setup,KeyGen,Enc,Dec)によると、多くの場合、復号アルゴリズムDec(pk,sk_t≧T,c_t')にて、式（５）で表される関係Ｒ（ここではＲ(t≧T，T=t')である）の真偽を判定するための論理式やこれと等価な演算を通して当該関数f_t,t'(m)の出力が決せられる暗号構造が組み込まれており、当該関係ＲがTrueとなる場合、つまりt≧t'を満たす場合に復号部３０１は平文mを得ることができる。

ＩＤベース暗号を用いた時限暗号では、時刻トークン生成に用いられた時刻tが復号基準時刻t'に一致していないと復号ができない構成であった。これに対して、実施例２によると、一つの復号基準時刻t'が組み込まれた暗号文が、“指数的多数に及びうる「復号基準時刻t'以降の時刻t」”で生成された時刻トークンのいずれによっても復号可能となっている。ここで指数的多数に及びうる時刻tとは、「時刻tが例えばｎビットで表されるとすると２^ｎ通りの時刻tが考えられる」というように、多項式長で表される時刻tとして指数関数的な数の種類の時刻が考えられることを意味している。ＩＤベース暗号を用いた時限暗号は、指数関数的な数となる可能性のある処理対象に対して効率的な暗号処理が困難であるが、関数暗号を用いた時限暗号は、このような処理対象に対して効率的な暗号処理が可能である。

[[実施例３]]
実施例３は、実施例１における関数暗号(Setup,KeyGen,Enc,Dec)として暗号文ポリシー属性ベース暗号による場合の実施例である。実施例１を暗号文ポリシー属性ベース暗号として具体化した事項について説明を加え、実施例１と同じ事項は説明を省略する。

実施例３では、実施例１のステップＳ４の処理にて、次のような処理を行う。送信者装置２００の暗号文生成部２０１は、述語変数をT、復号基準時刻をt'、平文をmとして、T≧t'なる述語に関して、送信者装置２００の受信部２０９が受信した公開パラメータpkを用いて、《プロトコルFE》で説明した暗号化アルゴリズムEnc(pk,T≧t',m)を実行して暗号文c_T≧t'を生成する。

実施例３では、実施例１のステップＳ５の処理にて、次のような処理を行う。送信者装置２００の送信部２０８は、暗号文生成部２０１によって生成された暗号文c_T≧t'を受信者装置３００−ｉに対して送信する。なお、暗号文の送信対象となる受信者装置は一つであっても複数であってもよい。

実施例３では、実施例１のステップＳ６の処理にて、次のような処理を行う。受信者装置３００−ｉの復号部３０１は、受信者装置３００−ｉの受信部３０９が受信した時刻トークンsk_t、公開パラメータpk、暗号文c_T≧t'を用いて、《プロトコルFE》で説明した復号アルゴリズムDec(pk,sk_t,c_T≧t')を実行する。上記式（７）で表されるタイプの関数f_t,t'(m)を持つ関数暗号(Setup,KeyGen,Enc,Dec)によると、多くの場合、復号アルゴリズムDec(pk,sk_t,c_T≧t')にて、式（６）で表される関係Ｒ（ここではＲ(T≧t'，T=t)である）の真偽を判定するための論理式やこれと等価な演算を通して当該関数f_t,t'(m)の出力が決せられる暗号構造が組み込まれており、当該関係ＲがTrueとなる場合、つまりt≧t'を満たす場合に復号部３０１は平文mを得ることができる。

ＩＤベース暗号を用いた時限暗号では、時刻トークン生成に用いられた時刻tが復号基準時刻t'に一致していないと復号ができない構成であった。これに対して、実施例３によると、“指数的多数に及びうる「復号基準時刻t'以降の時刻」”が組み込まれた暗号文が、「復号基準時刻t'以降の時刻」を満たす時刻tで生成された時刻トークンによって復号可能となっている。ここで指数的多数に及びうる時刻とは、「時刻が例えばｎビットで表されるとすると２^ｎ通りの時刻が考えられる」というように、多項式長で表される時刻として指数関数的な数の種類の時刻が考えられることを意味している。ここで実施例３の有用性を理解するために、次のような事例を考える。送信者装置２００が、受信者装置３００−１に対しては、復号基準時刻をt'1とする述語に関する暗号化アルゴリズムEnc(pk,T≧t'1,m)を実行して暗号文c_T≧t'1を生成してこれを送信し、受信者装置３００−２に対しては、復号基準時刻をt'2とする述語に関する暗号化アルゴリズムEnc(pk,T≧t'2,m)を実行して暗号文c_T≧t'2を生成してこれを送信し、受信者装置３００−ｉに対しては、復号基準時刻をt'iとする述語に関する暗号化アルゴリズムEnc(pk,T≧t'i,m)を実行して暗号文c_T≧t'iを生成してこれを送信する、という事例を考える（ただし、t'1，t'2，t'iは互いに異なるとする。平文mは受信者装置ごとに異なってもよいが、ここでは全ての受信者装置について同じとした）。このような事例では、ＩＤベース暗号を用いた時限暗号によると、時刻サーバ装置１００は、各受信者装置で復号可能となるために、各時刻t'1，t'2，t'iに応じた３種類の時刻トークンを作成することが必須となる。つまり、時刻サーバ装置１００は、異なる３種類の時刻トークンを作成しこれらをブロードキャストするという、異なる３種類の時刻トークンに応じた「資源の消費」が避けられない。他方、関数暗号を用いた時限暗号によると、各時刻t'1，t'2，t'iのうち最も遅い時刻以降の時刻tにおいて時刻トークンを作成し、この一つの時刻トークンを各受信者装置にブロードキャストすることによって、どの受信者装置でも暗号文を復号することができるのである。よって、実施例３によると、さらに強く、“指数的多数に及びうる「復号基準時刻t'以降の時刻」”が組み込まれた暗号文の集合について、当該集合に含まれる暗号文ごとに復号基準時刻t'が異なるような場合においても、「これら異なる復号基準時刻t'のうち最も遅い時刻以降の時刻」を満たす時刻tで生成された一つの時刻トークンによって復号可能となっている、と云うことができる。

[[実施例４]]
実施例４は、実施例２の変形例である。実施例２では、時刻サーバ装置１００の時刻トークン生成部１０２が、tを現在時刻、Tを述語変数として、t≧Tなる述語に関して鍵生成アルゴリズムKeyGen(sk,t≧T)を実行して時刻トークンsk_t≧Tを生成していた。実施例４は、述語が拡張された例である。

実施例４では、t≧Tなる述語ではなく、時刻tが経過する任意の有限個の時間区間[b_i,e_i]（i=1,2,…,n）と復号基準時刻t'が代入されうる述語変数Tで構成される論理和∨_{i∈{1,2,…,n}}(b_i≦T≦e_i)=(b₁≦T≦e₁)∨(b₂≦T≦e₂)∨・・・∨(b_n≦T≦e_n)を述語とする。なお、n個の時間区間[b_i,e_i]（i=1,2,…,n）のうち少なくともいずれかにおいてb_i=e_iであってもよい。

従って、実施例４では、実施例１のステップＳ２の処理にて、次のような処理を行う。時刻サーバ装置１００の時刻トークン生成部１０２が、定期あるいは不定期に、tを現在時刻（KeyGen(sk,t≧T)を実行するときの時刻）、Tを復号基準時刻t'が代入されうる述語変数として、∨_{i∈{1,2,…,n}}(b_i≦T≦e_i)なる述語に関して、《プロトコルFE》で説明した鍵生成アルゴリズムKeyGen(sk,∨_{i∈{1,2,…,n}}(b_i≦T≦e_i))を実行して時刻トークンsk_t,Tを生成する。現在時刻tは時刻サーバ装置１００の内部時計から取得した時刻であってもよいし、外部から供給される協定世界時（UTC - Universal Time, Coordinated）や日本標準時（JST - Japan Standard Time）などであってもよい。

そして、実施例４では、実施例１のステップＳ６の処理にて、次のような処理を行う。受信者装置３００−ｉの復号部３０１は、受信者装置３００−ｉの受信部３０９が受信した時刻トークンsk_t,T、公開パラメータpk、暗号文c_t'を用いて、《プロトコルFE》で説明した復号アルゴリズムDec(pk,sk_t,T,c_t')を実行する。上記式（７）で表されるタイプの関数f_t,t'(m)を持つ関数暗号(Setup,KeyGen,Enc,Dec)によると、多くの場合、復号アルゴリズムDec(pk,sk_t,T,c_t')にて、式（５）で表される関係Ｒ（ここではＲ(∨_{i∈{1,2,…,n}}(b_i≦T≦e_i)，T=t')である）の真偽を判定するための論理式やこれと等価な演算を通して当該関数f_t,t'(m)の出力が決せられる暗号構造が組み込まれており、当該関係ＲがTrueとなる場合、つまりt≧t'を満たす場合に復号部３０１は平文mを得ることができる。

[[実施例５]]
実施例５は、実施例３の変形例である。実施例３では、送信者装置２００の暗号文生成部２０１が、述語変数をT、復号基準時刻をt'、平文をmとして、T≧t'なる述語に関して暗号化アルゴリズムEnc(pk,T≧t',m)を実行して暗号文c_T≧t'を生成していた。実施例５は、述語が拡張された例である。

実施例５では、T≧t'なる述語ではなく、時的制限情報t'としての任意の有限個の時間区間[b_i,e_i]（i=1,2,…,n）と時刻tが代入されうる述語変数Tで構成される論理和∨_{i∈{1,2,…,n}}(b_i≦T≦e_i)=(b₁≦T≦e₁)∨(b₂≦T≦e₂)∨・・・∨(b_n≦T≦e_n)を述語とする。なお、n個の時間区間[b_i,e_i]（i=1,2,…,n）のうち少なくともいずれかにおいてb_i=e_iであってもよい。

従って、実施例５では、実施例１のステップＳ４の処理にて、次のような処理を行う。送信者装置２００の暗号文生成部２０１は、時刻tが代入されうる述語変数をT、時的制限情報t'を有限個の時間区間[b_i,e_i]（i=1,2,…,n）、平文をmとして、∨_{i∈{1,2,…,n}}(b_i≦T≦e_i)なる述語に関して、送信者装置２００の受信部２０９が受信した公開パラメータpkを用いて、《プロトコルFE》で説明した暗号化アルゴリズムEnc(pk,∨_{i∈{1,2,…,n}}(b_i≦T≦e_i),m)を実行して暗号文c_T,t'を生成する。

実施例５では、実施例１のステップＳ５の処理にて、次のような処理を行う。送信者装置２００の送信部２０８は、暗号文生成部２０１によって生成された暗号文c_T,t'を受信者装置３００−ｉに対して送信する。なお、暗号文の送信対象となる受信者装置は一つであっても複数であってもよい。

実施例５では、実施例１のステップＳ６の処理にて、次のような処理を行う。受信者装置３００−ｉの復号部３０１は、受信者装置３００−ｉの受信部３０９が受信した時刻トークンsk_t、公開パラメータpk、暗号文c_T,t'を用いて、《プロトコルFE》で説明した復号アルゴリズムDec(pk,sk_t,c_T,t')を実行する。上記式（７）で表されるタイプの関数f_t,t'(m)を持つ関数暗号(Setup,KeyGen,Enc,Dec)によると、多くの場合、復号アルゴリズムDec(pk,sk_t,c_T,t')にて、式（６）で表される関係Ｒ（ここではＲ(∨_{i∈{1,2,…,n}}(b_i≦T≦e_i)，T=t)である）の真偽を判定するための論理式やこれと等価な演算を通して当該関数f_t,t'(m)の出力が決せられる暗号構造が組み込まれており、当該関係ＲがTrueとなる場合、つまりt≧t'を満たす場合に復号部３０１は平文mを得ることができる。

実施例４と実施例５は、例えば次のような事例において有用である。例えば、送信者装置２００を扱うユーザの意図として、受信者装置３００−ｉに時間(b₁≦T≦e₁)または(b₂≦T≦e₂)（ただし、b₁≦e₁＜b₂≦e₂とする）のみで復号可能とさせたいという意図がある場合に、受信者装置３００−ｉが時刻トークンを記憶可能な記憶部を持っているとすると、受信者装置３００−ｉは、時間(b₁≦T≦e₁)に時刻トークンを正しく受信し、ユーザが意図しない時間(e₁≦T≦b₂)に当該時刻トークンを用いて正しく復号するということができてしまう。そこで受信者装置３００−ｉに耐タンパー機能を持つ記憶部、つまり時刻トークンを記憶不能な記憶部を持たせることによって、送信者装置２００を扱うユーザが意図した時間帯∨_{i∈{1,2,…,n}}(b_i≦T≦e_i)のみで復号可能とすることができる。

[[実施例６]]
実施例６は、実施例１から実施例５までのそれぞれの変形例に対応する。実施例６では、送信者装置２００の暗号文生成部２０１が暗号文を正しく生成したことを証明する非対話零知識証明用の情報σが暗号文に添付される。これによって、受信者装置３００−ｉの検証部（図示しない）は、非対話零知識証明用の情報σを利用して、送信者装置２００から受信した暗号文が正しく生成されたものであるか否かを検証することができる。なお、非対話零知識証明用の情報σは関数暗号に応じてその実体アルゴリズムが決定され、例えばペアリングを用いて関数暗号が実装される場合、上記参考文献２に従って非対話零知識証明アルゴリズムを定めることができる。

以下、関数暗号について概説する。説明に先立ち記号等を定義する。
〔定義〕
行列：「行列」とは演算が定義された集合の元を矩形に並べたものを表す。環の元を要素とするものだけではなく、群の元を要素とするものも「行列」と表現する。
(・)^T：(・)^Tは・の転置行列を表す。
(・)^-1：(・)^-1は・の逆行列を表す。
∧：∧は論理積（ＡＮＤ）を表す論理記号である。
∨：∨は論理和（ＯＲ）を表す論理記号である。
¬：¬は否定（ＮＯＴ）を表す論理記号である。
命題変数：命題変数は命題の「真」,「偽」（"false","true"）を要素とする集合｛真，偽｝上の変数である。命題変数及び命題変数の否定を総称してリテラル（literal）と呼ぶ。
論理式：論理式とは数理論理学における命題を表す形式的文法を有する式を意味する。具体的には「真」及び「偽」は論理式であり、命題変数は論理式であり、論理式の否定は論理式であり、論理式と論理式との論理積は論理式であり、論理式と論理式との論理和は論理式である。
Ｚ：Ｚは整数集合を表す。
sec：secはセキュリティパラメータ（sec∈Z, sec>0）を表す。
0^*：0^*は*個の0からなる列を表す。
1^*：1^*は*個の１からなる列を表す。
F_q：F_qは位数qの有限体を表す。位数qは１以上の整数であり、例えば、素数や素数のべき乗値を位数qとする。すなわち、有限体F_qの例は素体やそれを基礎体とした拡大体である。なお、有限体F_qが素体である場合の演算は、例えば、位数qを法とする剰余演算によって容易に構成できる。また、有限体F_qが拡大体である場合の演算は、例えば、既約多項式を法とする剰余演算によって容易に構成できる。有限体F_qの具体的な構成方法は、例えば、参考文献１「ISO/IEC 18033-2: Information technology - Security techniques - Encryption algorithms - Part 2: Asymmetric ciphers」に開示されている。
0_F：0_Fは有限体F_qの加法単位元を表す。
1_F：1_Fは有限体F_qの乗法単位元を表す。
δ(i,j)：δ(i,j)はクロネッカーのデルタ関数を表す。i=jの場合にδ(i,j)=1_Fを満たし、i≠jの場合にδ(i,j)=0 _Fを満たす。
E：Eは有限体F_q上で定義された楕円曲線を表す。Eはアフィン（affine）座標版のWeierstrass方程式
y²+a₁・x・y+a₃・y=x³+a₂・x²+a₄・x+a₆
（ただし、a₁,a₂,a₃,a₄,a₆∈F_q）を満たすx,y∈F_qからなる点(x,y)の集合に無限遠点と呼ばれる特別な点Ｏを付加したもので定義される。楕円曲線Ｅ上の任意の２点に対して楕円加算と呼ばれる二項演算＋及び楕円曲線E上の任意の１点に対して楕円逆元と呼ばれる単項演算−がそれぞれ定義できる。また、楕円曲線E上の有理点からなる有限集合が楕円加算に関して群をなすこと、楕円加算を用いて楕円スカラー倍算と呼ばれる演算が定義できること、及びコンピュータ上での楕円加算などの楕円演算の具体的な演算方法はよく知られている（例えば、参考文献１、参考文献２「RFC 5091: Identity-Based Cryptography Standard (IBCS) #1: Supersingular Curve Implementations of the BF and BB1 Cryptosystems」、参考文献３「イアン・Ｆ・ブラケ、ガディエル・セロッシ、ナイジェル・Ｐ・スマート＝著、「楕円曲線暗号」、出版＝ピアソン・エデュケーション、ISBN4-89471-431-0」等参照）。
また、楕円曲線E上の有理点からなる有限集合は位数p(p≧1)の部分群を持つ。例えば、楕円曲線E上の有理点からなる有限集合の要素数を＃Eとし、pを＃Eを割り切る大きい素数とした場合、楕円曲線Eのp等分点からなる有限集合E[p]は、楕円曲線E上の有理点からなる有限集合の部分群を構成する。なお、楕円曲線Eのp等分点とは、楕円曲線E上の点Aのうち、楕円曲線E上での楕円スカラー倍算値p・Aがp・A＝Ｏを満たす点を意味する。
G₁, G₂, G_T：G₁, G₂,G_Tは位数qの巡回群を表す。巡回群G₁, G₂の具体例は、楕円曲線Eのp等分点からなる有限集合E[p]やその部分群である。G₁=G₂であってもよいしG₁≠G₂であってもよい。また、巡回群G_Tの具体例は、有限体F_qを基礎体とする拡大体を構成する有限集合である。その一例は、有限体F_qの代数閉包における１のｐ乗根からなる有限集合である。巡回群G₁, G₂,G_Tの位数と有限体F_qの位数とを同一とすることで安全性が向上する。
なお、本形態では、巡回群G₁, G₂上で定義された演算を加法的に表現し、巡回群G_T上で定義された演算を乗法的に表現する。すなわち、χ∈F_q及びΩ∈G₁に対するχ・Ω∈G₁は、Ω∈G₁に対して巡回群G₁で定義された演算をχ回施すことを意味し、Ω₁, Ω₂∈G₁に対するΩ₁+Ω₂∈G₁は、Ω₁∈G₁とΩ₂∈G₁とを被演算子として巡回群G₁で定義された演算を行うことを意味する。同様に、χ∈F_q及びΩ∈G₂に対するχ・Ω∈G₂は、Ω∈G₂に対して巡回群G₂で定義された演算をχ回施すことを意味し、Ω₁, Ω₂∈G₂に対するΩ₁+Ω₂∈G₂は、Ω₁∈G₂とΩ₂∈G₂とを被演算子として巡回群G₂で定義された演算を行うことを意味する。一方、χ∈F_q及びΩ∈G_Tに対するΩ^χ∈G_Tは、Ω∈G_Tに対して巡回群G_Tで定義された演算をχ回施すことを意味し、Ω₁,Ω₂∈G_Tに対するΩ₁・Ω₂∈G_Tは、Ω₁∈G_TとΩ₂∈G_Tとを被演算子として巡回群G_Tで定義された演算を行うことを意味する。
Ψ：Ψは1以上の整数を表す。
ψ：ψは0以上Ψ以下の整数ψ=0,...,Ψを表す。
λ：λは1以上Ψ以下の整数λ=1,...,Ψを表す。
n(ψ)：n(ψ)は1以上の整数を表す。
ζ(ψ)：ζ(ψ)は0以上の整数を表す。
G₁ ^n(ψ)+ζ(ψ)：G₁ ^n(ψ)+ζ(ψ)はn(ψ)+ζ(ψ)個の巡回群G₁の直積を表す。
G₂ ^n(ψ)+ζ(ψ)：G₂ ^n(ψ)+ζ(ψ)はn(ψ)+ζ(ψ)個の巡回群G₂の直積を表す。
g₁, g₂,g_T：g₁, g₂, g_Tは巡回群G, G₁, G₂, G_Tの生成元を表す。
V(ψ)：V(ψ)はn(ψ)+ζ(ψ)個の巡回群G₁の直積からなるn(ψ)+ζ(ψ)次元のベクトル空間を表す。
V^*(ψ)：V^*(ψ)はn(ψ)+ζ(ψ)個の巡回群G₂の直積からなるn(ψ)+ζ(ψ)次元のベクトル空間を表す。
e_ψ：e_ψは直積G₁ ^n(ψ)+ζ(ψ)と直積G₂ ^n(ψ)+ζ(ψ)との直積G₁ ^n(ψ)+ζ(ψ)×G₂ ^n(ψ)+ζ(ψ)を巡回群G_Tに写す非退化な双線形写像（bilinear map）を表す。双線形写像e_ψは、巡回群G₁のn(ψ)+ζ(ψ)個の元γ_β(β=1,...,n(ψ)+ζ(ψ))と巡回群G₂のn(ψ)+ζ(ψ)個の元γ_β ^*(β=1,...,n(ψ)+ζ(ψ))とを入力とし、巡回群G_Tの１個の元を出力する。
e_ψ：G₁ ^n(ψ)+ζ(ψ)×G₂ ^n(ψ)+ζ(ψ)→G_T …(1)
双線形写像e_ψは以下の性質を満たす。
［双線形性］すべてのΓ₁∈G₁ ^n(ψ)+ζ(ψ)，Γ₂∈G₂ ^n(ψ)+ζ(ψ)及びν，κ∈F_qについて以下の関係を満たす。
e_ψ(ν・Γ₁,κ・Γ₂)=e_ψ(Γ₁,Γ₂)^ν・κ …(2)
［非退化性］すべてのΓ₁∈G₁ ^n(ψ)+ζ(ψ)，Γ₂∈G₂ ^n(ψ)+ζ(ψ)を巡回群G_Tの単位元に写す写像ではない。
［計算可能性］あらゆる
Γ₁∈G₁ ^n(ψ)+ζ(ψ)，Γ₂∈G₂ ^n(ψ)+ζ(ψ) …(3)
についてe_ψ(Γ₁,Γ₂)を効率的に計算するアルゴリズムが存在する。
本形態では、巡回群G₁と巡回群G₂との直積G₁×G₂を巡回群G_Tに写す非退化な双線形写像
Pair:G₁×G₂→G_T …(4)
を用いて双線形写像e_ψを構成する。本形態の双線形写像e_ψは、巡回群G₁のn(ψ)+ζ(ψ)個の元γ_β (β=1,...,n(ψ)+ζ(ψ))からなるn(ψ)+ζ(ψ)次元ベクトル(γ₁,...,γ_n(ψ)+ζ(ψ))と、巡回群G₂のn(ψ)+ζ(ψ)個の元γ_β ^*(β=1,...,n(ψ)+ζ(ψ))からなるn(ψ)+ζ(ψ)次元ベクトル(γ₁ ^*,...,γ_n(ψ)+ζ(ψ) ^*)との入力に対し、巡回群G_Tの１個の元を出力する。
e_ψ：Π_β=1 ^n(ψ)+ζ(ψ)Pair(γ_β, γ_β ^*) …(5)
なお、双線形写像Pairは、巡回群G₁の１個の元と巡回群G₂の１個の元との組を入力とし、巡回群G_Tの１個の元を出力する。双線形写像Pairは、以下の性質を満たす。
［双線形性］すべてのΩ₁∈G₁，Ω₂∈G₂及びν，κ∈F_qについて以下の関係を満たす。
Pair(ν・Ω₁,κ・Ω₂)=Pair(Ω₁,Ω₂)^ν・κ …(6)
［非退化性］すべての
Ω₁∈G₁，Ω₂∈G₂ …(7)
を巡回群G_Tの単位元に写す写像ではない。
［計算可能性］あらゆるΩ₁∈G₁，Ω₂∈G₂についてPair(Ω₁,Ω₂)を効率的に計算するアルゴリズムが存在する。
双線形写像Pairの具体例は、WeilペアリングやTateペアリングなどのペアリング演算を行うための関数である（例えば、参考文献４「Alfred. J. Menezes，ELLIPTIC CURVE PUBLIC KEY CRYPTOSYSTEMS， KLUWER ACADEMIC PUBLISHERS，ISBN0-7923-9368-6，pp. 61-81」等参照）。また、楕円曲線Eの種類に応じ、Tateペアリングなどのペアリング演算を行うための関数と所定の関数phiを組み合わせた変更ペアリング関数e(Ω₁,phi(Ω₂))（Ω₁∈G₁，Ω₂∈G₂）を双線形写像Pairとして用いてもよい（例えば、参考文献２等参照）。また、ペアリング演算をコンピュータ上で行うためのアルゴリズムとしては、周知のMiller のアルゴリズム（参考文献５「V. S. Miller, “Short Programs for functions on Curves,”1986，インターネット＜http://crypto.stanford.edu/miller/miller.pdf＞」などが存在する。また、ペアリング演算を効率的に行うための楕円曲線や巡回群の構成方法はよく知られている（例えば、参考文献２、参考文献６「A. Miyaji, M. Nakabayashi, S.Takano, "New explicit conditions of elliptic curve Traces for FR-Reduction," IEICE Trans. Fundamentals, vol. E84-A, no05, pp. 1234-1243, May 2001」、参考文献７「P.S.L.M. Barreto, B. Lynn, M. Scott, "Constructing elliptic curves with prescribed embedding degrees," Proc. SCN '2002, LNCS 2576, pp.257-267, Springer-Verlag. 2003」、参考文献８「R. Dupont, A. Enge, F. Morain, "Building curves with arbitrary small MOV degree over finite prime fields," http://eprint.iacr.org/2002/094/」等参照）。
a_i(ψ)(i=1,...,n(ψ)+ζ(ψ))：a_i(ψ)は巡回群G₁のn(ψ)+ζ(ψ)個の元を要素とするn(ψ)+ζ(ψ)次元の基底ベクトルを表す。基底ベクトルa_i(ψ)の一例は、κ₁・g₁∈G₁をi次元目の要素とし、残りのn(ψ)+ζ(ψ)-1個の要素を巡回群G₁の単位元（加法的に「0」と表現）とするn(ψ)+ζ(ψ)次元の基底ベクトルである。この場合、n(ψ)+ζ(ψ)次元の基底ベクトルa_i(ψ)(i=1,...,n(ψ)+ζ(ψ))の各要素をそれぞれ列挙して表現すると、以下のようになる。
a₁(ψ)=(κ₁・g₁,0,0,...,0)
a₂(ψ)=(0,κ₁・g₁,0,...,0) …(8)
...
a_n(ψ)+ζ(ψ)(ψ)=(0,0,0,...,κ₁・g₁)
ここで、κ₁は加法単位元0_F以外の有限体F_qの元からなる定数であり、κ₁∈F_qの具体例はκ₁=1_Fである。基底ベクトルa_i(ψ)は直交基底であり、巡回群G₁のn(ψ)+ζ(ψ)個の元を要素とするすべてのn(ψ)+ζ(ψ)次元ベクトルは、n(ψ)+ζ(ψ)次元の基底ベクトルa_i(ψ)(i=1,...,n(ψ)+ζ(ψ))の線形和によって表される。すなわち、n(ψ)+ζ(ψ)次元の基底ベクトルa_i(ψ)は前述のベクトル空間V(ψ)を張る。
a_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))：巡回群G₂のn(ψ)+ζ(ψ)個の元を要素とするn(ψ)+ζ(ψ)次元の基底ベクトルを表す。基底ベクトルa_i ^*(ψ)の一例は、κ₂・g₂∈G₂をi次元目の要素とし、残りのn(ψ)+ζ(ψ)-1個の要素を巡回群G₂の単位元（加法的に「0」と表現）とするn(ψ)+ζ(ψ)次元の基底ベクトルである。この場合、基底ベクトルa_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))の各要素をそれぞれ列挙して表現すると、以下のようになる。
a₁ ^*(ψ)=(κ₂・g₂,0,0,...,0)
a₂ ^*(ψ)=(0,κ₂・g₂,0,...,0) …(9)
...
a_n(ψ)+ζ(ψ) ^*(ψ)=(0,0,0,...,κ₂・g₂)
ここで、κ₂は加法単位元0_F以外の有限体F_qの元からなる定数であり、κ₂∈F_qの具体例はκ₂=1_Fである。基底ベクトルa_i ^*(ψ)は直交基底であり、巡回群G₂のn(ψ)+ζ(ψ)個の元を要素とするすべてのn(ψ)+ζ(ψ)次元ベクトルは、n(ψ)+ζ(ψ)次元の基底ベクトルa_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))の線形和によって表される。すなわち、n(ψ)+ζ(ψ)次元の基底ベクトルa_i ^*(ψ)は前述のベクトル空間V^*(ψ)を張る。
なお、基底ベクトルa_i(ψ)と基底ベクトルa_i ^*(ψ)とは、0_Fを除く有限体F_qの元τ=κ₁・κ₂について
e_ψ(a_i(ψ), a_j ^*(ψ))=g_T ^τ・δ(i,j) …(10)
を満たす。すなわち、i=jの場合には、式(5)(6)の関係から、
e_ψ(a_i(ψ), a_j ^*(ψ))= Pair(κ₁・g₁,κ₂・g₂)・Pair(0, 0)・...・Pair(0, 0)
= Pair(g₁, g₂)^κ1・κ2・Pair(g₁, g₂)^0・0・...・Pair(g₁, g₂)^0・0
= Pair(g₁, g₂)^κ1・κ2=g_T ^τ
を満たす。なお、上付き添え字κ1，κ2はそれぞれκ₁，κ₂を表す。一方、i≠jの場合には、e_ψ(a_i(ψ), a_j ^*(ψ))=Π_i=1 ^n(ψ)+ζ(ψ) Pair(a_i(ψ), a_j ^*(ψ))の右辺は、Pair(κ₁・g₁,κ₂・g₂)を含まず、Pair(κ₁・g₁,0)と Pair(0,κ₂・g₂)とPair(0,0)との積になる。さらに、式(6)の関係からPair(g₁, 0)=Pair(0, g₂)=Pair(g₁, g₂)⁰を満たす。そのため、i≠jの場合には、
e_ψ(a_i(ψ), a_j ^*(ψ))=e_ψ(g₁, g₂)⁰=g_T ⁰
を満たす。
特に、τ=κ₁・κ₂=1_Fである場合（例えば、κ₁=κ₂=1_Fの場合）、
e(a_i(ψ), a_j ^*(ψ))=g_T ^δ(i,j) …(11)
を満たす。ここで、g_T ⁰=1は巡回群G_Tの単位元であり、g_T ¹=g_Tは巡回群G_Tの生成元である。この場合、基底ベクトルa_i(ψ)と基底ベクトルa_i ^*(ψ)とは双対正規直交基底であり、ベクトル空間V(ψ)とベクトル空間V^*(ψ)とは、双線形写像を構成可能な双対ベクトル空間〔双対ペアリングベクトル空間（DPVS:Dual Paring Vector space)〕である。
A(ψ)：基底ベクトルa_i(ψ)(i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列を表す。例えば、基底ベクトルa_i(ψ)(i=1,...,n(ψ)+ζ(ψ))が式(8)によって表現される場合、行列A(ψ)は、

となる。
A^*(ψ)：基底ベクトルa_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列を表す。例えば、基底ベクトルa_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))が式(9)によって表現される場合、行列A^*(ψ)は、

となる。
X(ψ)：X(ψ)は有限体F_qの元を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列を表す。行列X(ψ)は基底ベクトルa_i(ψ)の座標変換に用いられる。行列X(ψ)のi行j列(i=1,...,n(ψ)+ζ(ψ),j=1,...,n(ψ)+ζ(ψ))の要素をχ_i,j(ψ)∈F_qとすると、行列X(ψ)は、

となる。なお、行列X(ψ)の各要素χ_i,j(ψ)を変換係数と呼ぶ。
X ^*(ψ)：X ^*(ψ)と行列X(ψ)とはX^*(ψ)=τ'・(X(ψ)^-1)^Tの関係を満たす。ただし、τ'∈F_qは有限体F_qに属する任意の定数であり、例えば、τ'=1_Fである。X^*(ψ)は基底ベクトルa_i ^*(ψ)の座標変換に用いられる。行列X^*(ψ)のi行j列の要素をχ_i,j ^*(ψ)∈F_qとすると、行列Ｘ^*(ψ)は、

となる。なお、行列Ｘ^*(ψ)の各要素χ_i,j ^*(ψ)を変換係数と呼ぶ。
この場合、n(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の単位行列をI(ψ)とするとX(ψ)・(X^*(ψ))^T=τ'・I(ψ)を満たす。すなわち、単位行列

に対し、

を満たす。ここで、n(ψ)+ζ(ψ)次元ベクトル
χ_i ^→(ψ)=(χ_i,1(ψ),...,χ_{i,n(ψ)+ζ(ψ)}(ψ)) …(18)
χ_j ^→*(ψ)=(χ_j,1 ^*(ψ),...,χ_{j,n(ψ)+ζ(ψ)} ^*(ψ)) …(19)
を定義する。すると、式(17)の関係から、n(ψ)+ζ(ψ)次元ベクトルχ_i ^→(ψ)とχ_j ^→*(ψ)との内積は、
χ_i ^→(ψ)・χ_j ^→*(ψ)=τ'・δ(i,j) …(20)
となる。
b_i(ψ)：b_i(ψ)は巡回群G₁のn(ψ)+ζ(ψ)個の元を要素とするn(ψ)+ζ(ψ)次元の基底ベクトルを表す。b_i(ψ)は行列X(ψ)を用いて基底ベクトルa_i(ψ) (i=1,...,n(ψ)+ζ(ψ))を座標変換することで得られる。具体的には、基底ベクトルb_i(ψ)は、
b_i(ψ)=Σ_j=1 ^n(ψ)+ζ(ψ)χ_i,j(ψ)・a_j(ψ) …(21)
の演算によって得られる。例えば、基底ベクトルa_j(ψ)(j=1,...,n(ψ)+ζ(ψ))が式(8)によって表現される場合、基底ベクトルb_i(ψ)の各要素をそれぞれ列挙して表現すると、以下のようになる。
b_i(ψ)=(χ_i,1(ψ)・κ₁・g₁,χ_i,2(ψ)・κ₁・g₁,
...,χ_{i,n(ψ)+ζ(ψ)}(ψ)・κ₁・g₁) …(22)
巡回群G₁のn(ψ)+ζ(ψ)個の元を要素とするすべてのn(ψ)+ζ(ψ)次元ベクトルは、n(ψ)+ζ(ψ)次元の基底ベクトルb_i(ψ)(i=1,...,n(ψ)+ζ(ψ))の線形和によって表される。すなわち、n(ψ)+ζ(ψ)次元の基底ベクトルb_i(ψ)は前述のベクトル空間V(ψ)を張る。
b_i ^*(ψ)：b_i ^*(ψ)は巡回群G₂のn(ψ)+ζ(ψ)個の元を要素とするn(ψ)+ζ(ψ)次元の基底ベクトルを表す。b_i ^*(ψ)は行列X^*(ψ)を用いて基底ベクトルa_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))を座標変換することで得られる。具体的には、基底ベクトルb_i ^*(ψ)は、
b_i ^*(ψ)=Σ_j=1 ^n(ψ)+ζ(ψ)χ_i,j ^*(ψ)・a_j ^*(ψ) …(23)
の演算によって得られる。例えば、基底ベクトルa_j ^*(ψ) (j=1,...,n(ψ)+ζ(ψ))が式(9)によって表現される場合、基底ベクトルb_i ^*(ψ)の各要素をそれぞれ列挙して表現すると、以下のようになる。
b_i ^*(ψ)=(χ_i,1 ^*(ψ)・κ₂・g₂ ,χ_i,2 ^*(ψ)・κ₂・g₂,
...,χ_{i,n(ψ)+ζ(ψ)} ^*(ψ)・κ₂・g₂) …(24)
となる。巡回群G₂のn(ψ)+ζ(ψ)個の元を要素とするすべてのn(ψ)+ζ(ψ)次元ベクトルは、n(ψ)+ζ(ψ)次元の基底ベクトルb_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))の線形和によって表される。すなわち、n(ψ)+ζ(ψ)次元の基底ベクトルb_i ^*(ψ)は前述のベクトル空間V^*(ψ)を張る。
なお、基底ベクトルb_i(ψ)と基底ベクトルb_i ^*(ψ)とは、0_Fを除く有限体F_qの元τ=κ₁・κ₂について
e_ψ(b_i(ψ), b_j ^*(ψ))=g_T ^{τ・τ'・δ(i,j)} …(25)
を満たす。すなわち、式(5)(20)(22)(24)の関係から、

を満たす。特にτ=κ₁・κ₂=1_F（例えば、κ₁=κ₂=1_F）及びτ'=1_Fである場合、
e_ψ(b_i(ψ), b_j ^*(ψ))=g_T ^δ(i,j) …(26)
を満たす。この場合、基底ベクトルb_i(ψ)と基底ベクトルb_i ^*(ψ)とは、双対ペアリングベクトル空間（ベクトル空間V(ψ)とベクトル空間V^*(ψ)）の双対正規直交基底である。
なお、式(25)の関係を満たすのであれば、式(8)(9)で例示したもの以外の基底ベクトルa_i(ψ)及びa_i ^*(ψ)や、式(21)(23)で例示したもの以外の基底ベクトルb_i(ψ)及びb_i ^*(ψ)を用いてもよい。
B(ψ)：B(ψ)は基底ベクトルb_i(ψ) (i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列である。B(ψ)=X(ψ)・A(ψ)を満たす。例えば、基底ベクトルb_i(ψ)が式(22)によって表現される場合、行列B(ψ)は、

となる。
B^*(ψ)：B^*(ψ)は基底ベクトルb_i ^*(ψ) (i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列を表す。B^*(ψ)=X^*(ψ)・A^*(ψ)を満たす。例えば、基底ベクトルb_i ^*(ψ) (i=1,...,n(ψ)+ζ(ψ))が式(24)によって表現される場合、行列B^*(ψ)は、

となる。
v(λ)^→：v(λ)^→は有限体F_qの元を要素とするn(λ)次元ベクトルを表す。
v(λ)^→=(v₁(λ)_,...,v_n(λ)(λ))∈F_q ^n(λ) …(29)
v_μ(λ)：v_μ(λ)はn(λ)次元ベクトルv(λ)^→のμ(μ=1,...,n(λ))番目の要素を表す。
w(λ)^→：w(λ)^→は有限体F_qの元を要素とするn(λ)次元ベクトルを表す。
w(λ)^→=(w₁(λ)_,...,w_n(λ)(λ))∈F_q ^n(λ) …(30)
w_μ(λ)：w_μ(λ)はn(λ)次元ベクトルw(λ)^→のμ(μ=1,...,n(λ))番目の要素を表す。
Enc：Encは共通鍵暗号方式の暗号化処理を示す共通鍵暗号関数を表す。
Enc_K(M)：Enc_K(M)は、共通鍵Kを用い、共通鍵暗号関数Encに従って平文Mを暗号化して得られた暗号文を表す。
Dec：Decは、共通鍵暗号方式の復号処理を示す共通鍵復号関数を表す。
Dec_K(C)：Dec_K(C)は、共通鍵Kを用い、共通鍵復号関数Decに従って暗号文Cを復号して得られた復号結果を表す。

〔関数暗号方式〕
次に、関数暗号方式の基本的な構成について説明する。
関数暗号方式とは、第１情報と第２情報との組み合わせによって定まる論理式の真理値が「真」となる場合に暗号文が復号される方式である。「第１情報」と「第２情報」の一方が暗号文に埋め込まれ、他方が鍵情報に埋め込まれる。例えば、「"Predicate Encryption Supporting Disjunctions, Polynomial Equations, and Inner Products," with Amit Sahai and Brent Waters One of 4 papers from Eurocrypt 2008 invited to the Journal of Cryptology」（参考文献９）に開示された述語暗号方式は関数暗号方式の一種である。
これ以外にも様々な公知の関数暗号方式が存在するが、以下では未公開の新たな関数暗号方式を説明する。以下に説明する新たな関数暗号方式では秘密情報に応じた値が所定の論理式に応じた態様で階層的に秘密分散される。所定の論理式は、第１情報と第２情報との組み合わせによって真理値が定まる命題変数を含み、必要に応じてさらに論理記号∧，∨，¬の何れか又はすべてを含む。そして、各命題変数の真理値が特定されることで定まる当該所定の論理式の真理値が「真」となる場合に秘密情報に応じた値が復元され、それに基づいて暗号文が復号される。

＜論理式と階層的な秘密分散との関係＞
上述した所定の論理式と階層的な秘密分散との関係を説明する。
秘密分散とは、しきい値K_t(K_t≧1)個以上のシェア情報が得られた場合にのみ秘密情報が復元されるように、秘密情報をN(N≧2)個のシェア情報に分散することである。K_t=Nを満たす秘密分散の方式（SSS: Secret Sharing Scheme）をN-out-of-N分散方式（或いは「N-out-of-Nしきい値分散方式」）といい、K_t＜Nを満たす秘密分散の方式をK_t-out-of-N分散方式（或いは「K_t-out-of-Nしきい値分散方式」）という（例えば、参考文献１０「黒沢馨、尾形わかは、“現代暗号の基礎数理 (電子情報通信レクチャーシリーズ)”、コロナ社 、２００４年３月、p.116-119」、参考文献１１「A. Shamir, "How to Share a Secret", Communications of the ACM, November 1979, Volume 22, Number 11, pp.612-613.」等参照）。
N-out-of-N分散方式は、すべてのシェア情報share(1),...,share(N)が与えられれば秘密情報SEを復元できるが、任意のN-1個のシェア情報share(φ₁),...,share(φ_N-1)が与えられても秘密情報SEの情報はまったく得られない方式である。以下に、その一例を示す。
・SH₁,...,SH_N-1をランダムに選択する。
・SH_N=SE-(SH₁+...+SH_N-1)の計算を行う。
・SH₁,...,SH_Nを各シェア情報share(1),...,share(N)とする。
・すべてのシェア情報share(1),...,share(N)が与えられれば、
SE=share(1)+...+share(N) …(31)
の復元処理によって秘密情報SEの復元が可能である。
K_t-out-of-N分散方式は、任意の相違なるK_t個のシェア情報share(φ₁),...,share(φ_Kt)が与えられれば秘密情報SEを復元できるが、任意のK_t-1個のシェア情報share(φ₁),...,share(φ_Kt-1)が与えられても秘密情報SEの情報はまったく得られない方式である。なお、添え字のKtはK_tを表す。以下にK_t-out-of-N分散方式の一例を示す。
・f(0)=SEを満たすK_t-1次の多項式f(x)=ξ₀+ξ₁・x+ξ₂・x²+...+ξ_Kt-1・x^Kt-1をランダムに選ぶ。すなわち、ξ₀=SEとし、ξ₁,..., ξ_Kt-1をランダムに選ぶ。シェア情報をshare(ρ)=(ρ, f(ρ))（ρ=1,...,N）とする。なお、(ρ, f(ρ))はρ及びf(ρ)の値をそれぞれ抽出可能な情報であり、例えばρとf(ρ)とのビット結合値である。
・任意の相違なるK_t個のシェア情報share(φ₁),...,share(φ_Kt)（(φ₁,...,φ_Kt)⊂(1,...,N)）が得られた場合、例えば、ラグランジェ(Lagrange)の補間公式を用い、以下のような復元処理によって秘密情報SEの復元が可能である。
SE=f(0)=LA₁・f(φ₁)+...+ LA_Kt・f(φ_Kt) …(32)

は先頭からρ番目の被演算子〔分母の要素(φρ-φρ)、分子の要素(x-φρ)〕が存在しないことを意味する。すなわち、式(33)の分母は、
(φ_ρ-φ₁)・...・(φ_ρ-φ_ρ-1)・(φ_ρ-φ_ρ+1)・...・(φ_ρ-φ_Kt)
であり、式(33)の分子は、
(x-φ₁)・...・(x-φ_ρ-1)・(x-φ_ρ+1)・...・(x-φ_Kt)
である。
上述した各秘密分散は体上でも実行可能である。また、これらを拡張して秘密情報SEに応じた値をシェア情報shareに秘密分散することもできる。秘密情報SEに応じた値とは秘密情報SEそのものや秘密情報SEの関数値であり、シェア情報shareに応じた値とはシェア情報shareそのものやシェア情報の関数値である。例えば、有限体F_qの元である秘密情報SE∈F_qに応じた巡回群G_Tの元g_T ^SE∈G_Tを秘密情報SEの各シェア情報share(1),share(2)に応じた巡回群G_Tの元g_T ^share(1),g_T ^share(2)∈G_Tに秘密分散することもできる。また、上述した秘密情報SEはシェア情報shareの線形結合となる（式(31)(32)）。このように秘密情報SEがシェア情報shareの線形結合となる秘密分散方式を線形秘密分散方式と呼ぶ。
上述した所定の論理式は、秘密情報を階層的に秘密分散して得られる木構造データによって表現できる。すなわち、ド・モルガンの法則により、上述した所定の論理式はリテラルからなる論理式、又は、論理記号∧，∨の少なくとも一部とリテラルとからなる論理式（これらを「標準形論理式」と呼ぶことにする）によって表現でき、この標準形論理式は秘密情報を階層的に秘密分散して得られる木構造データによって表現できる。
標準形論理式を表現する木構造データは複数のノードを含み、少なくとも一部のノードは１個以上の子ノードの親ノードとされ、親ノードの１つはルートノードとされ、子ノードの少なくとも一部は葉ノードとされる。ルートノードの親ノードや、葉ノードの子ノードは存在しない。ルートノードには秘密情報に応じた値が対応し、各親ノードの子ノードには当該親ノードに対応する値を秘密分散したシェア情報に応じた値が対応する。各ノードでの秘密分散形態（秘密分散方式やしきい値）は標準形論理式に応じて定まる。また、各葉ノードには標準形論理式を構成する各リテラルが対応し、当該各リテラルの真理値は第１情報と第２情報との組み合わせによって定まる。
ここで、真理値が真となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られるが、真理値が偽となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られないものとする。また、上述した秘密分散の性質により、親ノードに対応するシェア情報に応じた値（その親ノードがルートノードであれば秘密情報に応じた値）は、その子ノードに対応するシェア情報に応じた値が当該親ノードに対応するしきい値以上の個数だけ得られた場合にのみ復元される。そのため、どの葉ノードに対応するリテラルの真理値が真になったのかと木構造データの構成（各ノードでの秘密分散の形態を含む）とに応じ、最終的にルートノードに対応する秘密情報に応じた値が復元できるか否かが定まる。そして、各葉ノードに対応する各リテラルの真理値が標準形論理式の真理値を真にする場合にのみ最終的にルートノードに対応する秘密情報に応じた値が復元できるように木構造データが構成されている場合、このような木構造データは標準形論理式を表現する。このような標準形論理式を表現する木構造データは容易に設定できる。以下に具体例を示す。
図６は、命題変数PRO(1),PRO(2)と命題変数PRO(3)の否定¬PRO(3)と論理記号∧，∨とを含む標準形論理式PRO(1)∧PRO(2)∨¬PRO(3)を表現する木構造データを例示する図である。図６に例示する木構造データは複数のノードN₁,...,N₅を含む。ノードN₁はノードN₂,N₅の親ノードとされ、ノードN₂はノードN₃,N₄の親ノードとされ、親ノードの１つノードN₁がルートノードとされ、子ノードの一部であるノードN₃,N₄,N₅が葉ノードとされる。ノードN₁には秘密情報SEに応じた値が対応し、ノードN₁の子ノードN₂,N₅には、秘密情報SEに応じた値が1-out-of-2分散方式で秘密分散された各シェア情報SE,SEに応じた値がそれぞれ対応する。ノードN₂の子ノードN₃,N₄には、シェア情報SEに応じた値が2-out-of-2分散方式で秘密分散された各シェア情報SE-SH₁,SH₁に応じた値がそれぞれ対応する。すなわち、葉ノードN₃にはシェア情報share(1)=SE-SH₁に応じた値が対応し、葉ノードN₄にはシェア情報share(2)=SH₁に応じた値が対応し、葉ノードN₅にはシェア情報share(3)=SEに応じた値が対応する。また、葉ノードN₃,N₄,N₅には標準形論理式PRO(1)∧PRO(2)∨¬PRO(3)を構成する各リテラルPRO(1),PRO(2),¬PRO(3)がそれぞれ対応し、当該各リテラルPRO(1),PRO(2),¬PRO(3)の真理値は第１情報と第２情報との組み合わせによって定まる。ここで、真理値が真となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られるが、真理値が偽となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られない。この場合、第１情報と第２情報との組み合わせが標準形論理式PRO(1)∧PRO(2)∨¬PRO(3)の真理値を真にする場合にのみ秘密情報SEに応じた値が復元される。
図７は、命題変数PRO(1),PRO(2),PRO(3),PRO(6),PRO(7)と命題変数PRO(4),PRO(5)の否定¬PRO(4),¬PRO(5)と論理記号∧，∨とを含む標準形論理式PRO(1)∧PRO(2)∨PRO(2)∧PRO(3)∨PRO(1)∧PRO(3)∨¬PRO(4)∨(¬PRO(5)∧PRO(6))∧PRO(7)を表現する木構造データを例示する図である。
図７に例示する木構造データは複数のノードN₁,...,N₁₁を含む。ノードN₁はノードN₂,N₆,N₇の親ノードとされ、ノードN₂はノードN₃,N₄,N₅の親ノードとされ、ノードN₇はノードN₈,N₁₁の親ノードとされ、ノードN₈はノードN₉,N₁₀の親ノードとされ、親ノードの１つであるノードN₁がルートノードとされ、ノードN₃,N₄,N₅,N₆,N₉,N₁₀,N₁₁が葉ノードとされる。ノードN₁には秘密情報SEに応じた値が対応し、ノードN₁の子ノードN₂,N₆,N₇には、秘密情報SEに応じた値が1-out-of-3分散方式で秘密分散された各シェア情報SE,SE,SEに応じた値がそれぞれ対応する。ノードN₂の子ノードN₃,N₄,N₅には、シェア情報SEに応じた値が2-out-of-3分散方式で秘密分散された各シェア情報(1,f(1)),(2,f(2)),(3,f(3))に応じた値がそれぞれ対応する。ノードN₇の子ノードN₈,N₁₁には、シェア情報SEに応じた値が2-out-of-2分散方式で秘密分散された各シェア情報SH₄,SE-SH₄に応じた値がそれぞれ対応する。ノードN₈の子ノードN₉,N₁₀には、シェア情報SH₄に応じた値が1-out-of-2分散方式で秘密分散された各シェア情報SH₄,SH₄に応じた値がそれぞれ対応する。すなわち、葉ノードN₃にはシェア情報share(1)=(1,f(1))に応じた値が対応し、葉ノードN₄にはシェア情報share(2)=(2,f(2))に応じた値が対応し、葉ノードN₅にはシェア情報share(3)=(3,f(3))に応じた値が対応し、葉ノードN₆にはシェア情報share(4)=SEに応じた値が対応し、葉ノードN₉にはシェア情報share(5)=SH₄に応じた値が対応し、葉ノードN₁₀にはシェア情報share(6)=SH₄に応じた値が対応し、葉ノードN₁₁にはシェア情報share(7)=SE-SH₄に応じた値が対応する。また、葉ノードであるノードN₃,N₄,N₅,N₆,N₉,N₁₀,N₁₁には標準形論理式PRO(1)∧PRO(2)∨PRO(2)∧PRO(3)∨PRO(1)∧PRO(3)∨¬PRO(4)∨(¬PRO(5)∧PRO(6))∧PRO(7)を構成する各リテラルPRO(1),PRO(2),PRO(2),PRO(3),PRO(1),PRO(3),¬PRO(4),¬PRO(5),PRO(6),PRO(7)がそれぞれ対応し、各リテラルPRO(1),PRO(2),PRO(2),PRO(3),PRO(1),PRO(3),¬PRO(4),¬PRO(5),PRO(6),PRO(7)の真理値は第１情報と第２情報との組み合わせによって定まる。ここで、真理値が真となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られるが、真理値が偽となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られない。この場合、第１情報と第２情報との組み合わせが標準形論理式PRO(1)∧PRO(2)∨PRO(2)∧PRO(3)∨PRO(1)∧PRO(3)∨¬PRO(4)∨(¬PRO(5)∧PRO(6))∧PRO(7)の真理値を真にする場合にのみ秘密情報SEに応じた値が復元される。

＜アクセス構造＞
上述のように秘密情報を階層的に秘密分散して得られる木構造データによって所定の論理式を表現した場合、第１情報と第２情報との組み合わせに対して得られる葉ノードでのシェア情報に応じた値から秘密情報に応じた値を復元できるか否かによって、第１情報と第２情報との組み合わせによって定まる論理式の真理値が「真」となるか「偽」となるかを判定できる。以下、第１情報と第２情報との組み合わせによって定まる論理式の真理値が「真」となる場合に第１情報と第２情報との組み合わせを受け入れ、「偽」となる場合に第１情報と第２情報との組み合わせを拒絶する仕組みをアクセス構造と呼ぶ。
上述のように所定の論理式を表現した木構造データの葉ノードの総数をΨとし、各葉ノードに対応する識別子をλ=1,...,Ψとする。各葉ノードに対応するn(λ)次元ベクトルv(λ)^→の集合{v(λ)^→}_λ=1,...,Ψを第１情報とし、n(λ)次元ベクトルw(λ)^→の集合{w(λ)^→}_λ=1,...,Ψを第２情報とする。また、上述した木構造データをラベル付き行列LMT(MT,LAB)として実装する。
ラベル付き行列LMT(MT,LAB)は、Ψ行COL列（COL≧1）の行列

と、行列MTの各行λ=1,...,Ψに対応付けられたラベルLAB(λ)とを含む。
行列MTの各要素mt_λ,col（col=1,...,COL）は次の２つの要件を満たす。第１に、上述のように所定の論理式を表現した木構造データのルートノードに秘密情報SE∈F_qに応じた値が対応する場合、予め定められた有限体F_qの元を要素とするCOL次元ベクトル
GV^→=(gv₁,...,gv_COL)∈F_q ^COL …(35)
と、秘密情報SEに応じた有限体F_qの元を要素とするCOL次元ベクトル
CV^→=(cv₁,...,cv_COL)∈F_q ^COL …(36)
とに対して
SE=GV^→・(CV^→)^T …(37)
が成立する。COL次元ベクトルGV^→の具体例は、
GV^→=(1_F,...,1_F)∈F_q ^COL …(38)
であるが、GV^→=(1_F,0_F,...,0_F)∈F_q ^COLなどのその他のCOL次元ベクトルであってもよい。第２に、識別子λに対応する葉ノードにシェア情報share(λ)∈F_qに応じた値が対応する場合、
(share(1),...,share(Ψ))^T=MT・(CV^→)^T …(39)
が成立する。上述のように所定の論理式を表現した木構造データが定まれば、これら２つの要件を満たす行列MTを選択することは容易である。また、秘密情報SEやシェア情報share(λ)が変数であったとしても、これら２つの要件を満たす行列MTを選択することは容易である。すなわち、行列MTを定めた後で秘密情報SEやシェア情報share(λ)の値が定められてもよい。
また、行列MTの各行λ=1,...,Ψに対応付けられたラベルLAB(λ)は、識別子λに対応する葉ノードに対応するリテラル（PRO(λ)又は¬PRO(λ)）に対応する。ここで、命題変数PRO(λ)の真理値が「真」であることと第１情報VSET1={λ,v(λ)^→|λ=1,...,Ψ}が含むv(λ)^→と第２情報VSET2={λ,w(λ)^→|λ=1,...,Ψ}が含むw(λ)^→との内積v(λ)^→・w(λ)^→が０となることとが等価であると扱い、命題変数PRO(λ)の真理値が「偽」であることと内積v(λ)^→・w(λ)^→が０とならないこととが等価であると扱う。そして、PRO(λ)に対応するラベルLAB(λ)がv(λ)^→を表し、¬PRO(λ)に対応するラベルLAB(λ)が¬v(λ)^→を表すものとする。なお、¬v(λ)^→はv(λ)^→の否定を表す論理式であり、¬v(λ)^→からv(λ)^→の特定が可能である。また、LAB(λ)がv(λ)^→を表すことを「LAB(λ)=v(λ)^→」と表記し、LAB(λ)が¬v(λ)^→を表すことを「LAB(λ)=¬v(λ)^→」と表記する。また、LAB(λ)（λ=1,...,Ψ）の集合{LAB(λ)}_λ=1,...,ΨをLABと表記する。
さらに、Ψ次元ベクトル
TFV^→=(tfv(1),...,tfv(Ψ)) …(40)
を定義する。要素tfv(λ)は、内積v(λ)^→・w(λ)^→が０のときにtfv(λ)=１となり、０以外のときにtfv(λ)=0となる。
tfv(λ)=1 （PRO(λ)が真） if v(λ)^→・w(λ)^→=0 …(41)
tfv(λ)=0 （PRO(λ)が偽） if v(λ)^→・w(λ)^→≠0 …(42)
さらに、論理式
{(LAB(λ)=v(λ)^→)∧(tfv(λ)=1)}∨{(LAB(λ)=¬v(λ)^→)∧(tfv(λ)=0)} …(43)
の真理値が「真」になるときLIT(λ)=1と表記し「偽」になるときLIT(λ)=0と表記する。すなわち、識別子λに対応する葉ノードに対応するリテラルの真理値が「真」になるときLIT(λ)=1と表記し「偽」になるときLIT(λ)=0と表記する。すると、行列MTが含む行ベクトルのうちLIT(λ)=1となる行ベクトルmt_λ ^→=(mt_λ,1,...,mt_λ,COL)のみからなる部分行列MT_TFVは以下のように表記できる。
MT_TFV=(MT)_LIT(λ)=1 …(44)
上述した秘密分散方式が線形秘密分散方式である場合、識別子λに対応するシェア情報share(λ)に応じた値から秘密情報SEに応じた値が復元できることと、識別子λに対応する行ベクトルmt_λ ^→で張られるベクトル空間にCOL次元ベクトルGV^→が属することとは等価である。すなわち、識別子λに対応する行ベクトルmt_λ ^→で張られるベクトル空間にCOL次元ベクトルGV^→が属するか否かを判定することで、識別子λに対応するシェア情報share(λ)に応じた値から秘密情報SEに応じた値が復元できるか否かが判定できる。なお、行ベクトルmt_λ ^→で張られるベクトル空間とは、行ベクトルmt_λ ^→の線形結合で表すことができるベクトル空間を意味する。
ここで、上述の部分行列MT_TFVの各行ベクトルmt_λ ^→で張られるベクトル空間span<MT_TFV>にCOL次元ベクトルGV^→が属する場合に第１情報と第２情報との組み合わせが受け入れられ、そうでない場合に第１情報と第２情報との組み合わせが拒絶されることにする。これにより、上述のアクセス構造が具体化される。なお、上述したようにラベル付き行列LMT(MT,LAB)が第１情報に対応する場合、アクセス構造が第１情報と第２情報との組み合わせを受け入れることを「アクセス構造が第２情報を受け入れる」といい、アクセス構造が第１情報と第２情報との組み合わせを受け入れないことを「アクセス構造が第２情報を拒絶する」という。
受け入れ if GV^→∈span<MT_TFV>
拒絶 if ¬(GV^→∈span<MT_TFV>)
また、GV^→∈span<MT_TFV>の場合、
SE=Σ_μ∈SETconst(μ)・share(μ) …(45)
{const(μ)∈F_q|μ∈SET},SET⊆{1,...,λ|LIT(λ)=1}
を満たす係数const(μ)が存在し、このような係数const(μ)は行列MTのサイズの多項式時間で求めることができる。

＜アクセス構造を用いた関数暗号方式の基本構成＞
以下では、アクセス構造を用いた関数暗号方式によって鍵カプセル化メカニズムKEM (Key Encapsulation Mechanisms)を構成する場合の基本構成を例示する。この構成はSetup(1^sec，(Ψ;n(1),...,n(Ψ)))，GenKey(PK,MSK,LMT(MT,LAB))，Enc(PK,M,{λ,v(λ)^→|λ=1,...,Ψ})(v₁(λ)=1_F)，Dec(PK,SKS,C)を含む。また、第２情報VSET2={λ,w(λ)^→|λ=1,...,Ψ}の1番目の要素w₁(λ)が1_Fとされる。
［Setup(1^sec，(Ψ;n(1),...,n(Ψ)))：セットアップ］
−入力：1^sec，(Ψ;n(1),...,n(Ψ))
−出力：マスター鍵情報MSK，公開パラメータPK
Setupでは各ψ=0,...,Ψについて以下の処理が実行される。
(Setup-1) 1^secを入力としてセキュリティパラメータsecでの位数q、楕円曲線E、巡回群G₁, G₂, G_T、双線形写像e_ψ(ψ=0,...,Ψ)が生成される（param=(q, E, G₁, G₂, G_T, e_ψ)）。
(Setup-2) τ'∈F_qが選択され、X^*(ψ)=τ'・(X(ψ)^-1)^Tを満たす行列X(ψ)，X^*(ψ)が選択される。
(Setup-3) 基底ベクトルa_i(ψ) (i=1,...,n(ψ)+ζ(ψ))が式(21)に従って座標変換され、n(ψ)+ζ(ψ)次元の基底ベクトルb_i(ψ) (i=1,...,n(ψ)+ζ(ψ))が生成される。基底ベクトルb_i(ψ) (i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列B(ψ)が生成される。
(Setup-4) 基底ベクトルa_i ^*(ψ) (i=1,...,n(ψ)+ζ(ψ))が式(23)に従って座標変換され、n(ψ)+ζ(ψ)次元の基底ベクトルb_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))が生成される。基底ベクトルb_i ^*(ψ) (i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列B^*(ψ)が生成される。
(Setup-5) B^*(ψ)＾の集合{B^*(ψ)＾}_ψ=0,...,Ψをマスター鍵情報MSK={B^*(ψ)＾}_ψ=0,...,Ψとする。また、B(ψ)＾の集合{B(ψ)＾}_ψ=0,...,Ψと1^secとparamとを公開パラメータPKとする。ただし、B^*(ψ)＾は行列B^*(ψ)又はその部分行列であり、B(ψ)＾は行列B(ψ)又はその部分行列である。また、集合{B^*(ψ)＾}_ψ=0,...,Ψは、少なくとも、b₁ ^*(0),b₁ ^*(λ) …,b_n(λ) ^*(λ)（λ=1,...,Ψ）を含む。また、集合{B(ψ)＾}_ψ=0,...,Ψは、少なくとも、b₁(0),b₁(λ),…,b_n(λ)(λ)（λ=1,...,Ψ）を含む。以下に一例を示す。
・n(0)+ζ(0)≧5, ζ(λ)=3・n(λ)
・B(0)＾=(b₁(0) b₃(0) b₅(0))^T
・B(λ)＾=(b₁(λ) …b_n(λ)(λ) b_3・n(λ)+1(λ) … b_4・n(λ)(λ))^T（λ=1,...,Ψ）
・B^*(0)＾=(b₁ ^*(0) b₃ ^*(0) b₄ ^*(0))^T
・B^*(λ)＾=(b₁ ^*(λ) … b_n(λ) ^*(λ) b_2・n(λ)+1 ^*(λ) … b_3・n(λ) ^*(λ))^T（λ=1,...,Ψ）
［GenKey(PK,MSK,LMT(MT,LAB))：鍵情報生成］
−入力：公開パラメータPK，マスター鍵情報MSK，第１情報VSET1={λ,v(λ)^→|λ=1,...,Ψ}に対応するラベル付き行列LMT(MT,LAB)
−出力：鍵情報SKS
(GenKey-1) 式(35)-(39)を満たす秘密情報SEに対して以下の処理が実行される。
D^*(0)=-SE・b₁ ^*(0)+Σ_ι=2 ^Icoef_ι(0)・b_ι ^*(0) …(46)
ただし、Iは2以上n(0)+ζ(0)以下の定数である。coef_ι(0)∈F_qは定数又は乱数である。「乱数」とは真性乱数や擬似乱数を意味する。以下にD^*(0)の一例を示す。なお、式(47)のcoef₄(0)は乱数である。
D^*(0)=-SE・b₁ ^*(0)+b₃ ^*(0)+coef₄(0)・b₄ ^*(0) …(47)
(GenKey-2) 式(35)-(39)を満たすshare(λ)(λ=1,...,Ψ)に対して以下の処理が実行される。
LAB(λ)=v(λ)^→となるλに対して
D^*(λ)=(share(λ)+coef(λ)・v₁(λ))・b₁ ^*(λ)
+Σ_ι=2 ^n(λ)coef(λ)・v_ι(λ)・b_ι ^*(λ)
+Σ_ι=n(λ)+1 ^n(λ)+ζ(λ)coef_ι(λ)・b_ι ^*(λ) …(48)
が生成され、
LAB(λ)=¬v(λ)^→となるλに対して
D^*(λ)=share(λ)・Σ_ι=1 ^n(λ)v_ι(λ)・b_ι ^*(λ)
+Σ_ι=n(λ)+1 ^n(λ)+ζ(λ)coef_ι(λ)・b_ι ^*(λ) …(49)
が生成される。ただしcoef(λ),coef_ι(λ)∈F_qは定数又は乱数である。以下に一例を示す。
LAB(λ)=v(λ)^→となるλに対して
D^*(λ)=(share(λ)+coef(λ)・v₁(λ))・b₁ ^*(λ)
+Σ_ι=2 ^n(λ)coef(λ)・v_ι(λ)・b_ι ^*(λ)
+Σ_{ι=2・n(λ)+1} ^3・n(λ)coef_ι(λ)・b_ι ^*(λ) …(50)
が生成され、
LAB(λ)=¬v(λ)^→となるλに対して
D^*(λ)=share(λ)・Σ_ι=1 ^n(λ)v_ι(λ)・b_ι ^*(λ)
+Σ_{ι=2・n(λ)+1} ^3・n(λ)coef_ι(λ)・b_ι ^*(λ) …(51)
が生成される。なお、式(50)(51)のcoef(λ)及びcoef_ι(λ)は乱数である。
(GenKey-3) 鍵情報
SKS=(LMT(MT,LAB),D^*(0),D^*(1),...,D(Ψ)) …(52)
生成される。
［Enc(PK,M,VSET2)：暗号化］
−入力：公開パラメータPK，平文M，第２情報VSET2={λ,w(λ)^→|λ=1,...,Ψ}(w₁(λ)=1_F)
−出力：暗号文C
(Enc-1) 以下の処理によって共通鍵Kの暗号文C(ψ)(ψ=0,...,Ψ)が生成される。
C(0)=υ・b₁(0)+Σ_ι=2 ^Iυ_ι(0)・b_ι(0) …(53)
C(λ)=υ・Σ_ι=1 ^n(λ)w_ι(λ)・b_ι(λ)+Σ_ι=n(λ)+1 ^n(λ)+ζ(λ)υ_ι(λ)・b_ι(λ) …(54)
ただし、υ,υ_ι(ψ)∈F_q(ψ=0,...,Ψ)は定数又は乱数であり、
(coef₂(0),...,coef_I(0))・(υ₂(0),...,υ_I(0))=υ' …(55)
coef_ι(λ)・υ_ι(λ)=0_F (ι=n(λ)+1,...,n(λ)+ζ(λ)) …(56)
を満たす。υ'の例はυ₂(0),...,υ_I(0)の何れか１個である。例えば、υ,υ₃(0),υ₅(0),υ_3・n(λ)+1(λ),...,υ_4・n(λ)(λ)が乱数であり、ζ(λ)=3・n(λ)、I=5であり、
(υ₂(0),...,υ_I(0))=(0_F,υ₃(0),0_F,υ₅(0))
υ'=υ₃(0)
(υ_n(λ)+1(λ),...,υ_3・n(λ)(λ))=(0_F,...,0_F)
である。
(Enc-2) 共通鍵
K=g_T ^{τ・τ'・υ'}∈G_T …(57)
が生成される。例えば、τ=τ'=1_Fの場合、
K=g_T ^υ'∈G_T …(58)
である。
(Enc-3) 共通鍵Kを用いて平文Mの暗号文
C(Ψ+1)=Enc_K(M) …(59)
が生成される。なお、共通鍵暗号方式Encは、例えば共通鍵Kを用いて暗号化可能に構成されたカメリア（Camellia）（登録商標）やAESや共通鍵と平文との排他的論理和などでよいが、その他の簡単な例として以下のようにEnc_K(M)を生成してもよい。ただし、式(60)の例ではM∈G_Tとされる。
C(Ψ+1)=g_T ^υ'・M …(60)
(Enc-4) 暗号文
C=(VSET2,C(0),{C(λ)}_{(λ,w(λ)→)∈VSET2},C(Ψ+1)) …(61)
が生成される。ただし、下付き添え字の「w(λ)→」は「w(λ)^→」を表す。
［Dec(PK,SKS,C)：復号］
−入力：公開パラメータPK，鍵情報SKS，暗号文C
−出力：平文M'
(Dec-1) λ=1,...,Ψについて、鍵情報SKSが含むラベル付き行列LMT(MT,LAB)の各ラベルLAB(λ)であるn(λ)次元ベクトルv(λ)^→と暗号文CのVSET2が含むn(λ)次元ベクトルw(λ)^→との内積v(λ)^→・w(λ)^→が0となるか否かが判定され、これとLMT(MT,LAB)の各ラベルLAB(λ)とによってGV^→∈span<MT_TFV>であるか否かが判定される（式(40)-(45)）。GV^→∈span<MT_TFV>でなければ暗号文Cが拒絶され、GV^→∈span<MT_TFV>であれば暗号文Cが受け入れられる。
(Dec-2) 暗号文Cが受け入れられると、SET⊆{1,...,λ|LIT(λ)=1}と式(45)を満たす係数const(μ)(μ∈SET)とが計算される。
(Dec-3) 共通鍵

が生成される。ここで、式(6)(25)(55)から、

を満たす。また、式(6)(25)(41)(48)(54)(56)及びw₁(λ)=1_Fから

を満たす。また、式(6)(25)(42)(49)(54)(56)から

を満たす。よって、式(45)(63)-(65)から

を満たす。例えば、τ=τ'=1_Fの場合、
K=g_T ^υ'∈G_T …(67)
を満たす。
(Dec-4) 共通鍵Kを用いて平文
M'=Dec_K(C(Ψ+1))=Dec_K(C(Ψ+1)) …(68)
が生成される。例えば、式(60)に例示した共通鍵暗号方式の場合、
M'=C(Ψ+1)/K …(69)
によって平文M'が生成される。
なお、g_TをG_Tの生成元とする代わりにg_T ^τやg_T ^τ'やg_T ^τ・τ'をG_Tの生成元と扱ってもよい。また、鍵情報SKSのλと暗号文のλとを対応関係を特定する写像を用いてC(λ)とD^*(λ)との組み合わせを特定し、［Dec(PK,SKS,C)：復号］の処理が実行されてもよい。また、第２情報VSET2={λ,w(λ)^→|λ=1,...,Ψ}の1番目の要素w₁(λ)が1_Fとされるだけではなく、第１情報VSET1={λ,v(λ)^→|λ=1,...,Ψ}のn(λ)番目の要素v_n(λ)(λ)が1_Fとされてもよい。また、要素w₁(λ)が1_Fでない場合にはw(λ)^→の代わりにw(λ)^→/w₁(λ)を用いてもよく、要素v_n(λ)(λ)が1_Fでない場合にはv(λ)^→の代わりにv(λ)^→/v_n(λ)(λ)を用いてもよい。また、第１情報VSET1={λ,v(λ)^→|λ=1,...,Ψ}の代わりに第２情報VSET2={λ,w(λ)^→|λ=1,...,Ψ}が用いられ、第２情報VSET2={λ,w(λ)^→|λ=1,...,Ψ}の代わりに第１情報VSET1={λ,v(λ)^→|λ=1,...,Ψ}が用いられてもよい。この場合には第１情報VSET1={λ,v(λ)^→|λ=1,...,Ψ}の1番目の要素v₁(λ)が1_Fとされる。

次に、関数暗号の一形態である述語暗号の一例として内積を用いた述語暗号について説明する。なお、数式の番号は本節で改めて付け直している。また、説明の都合、上述の説明で用いた文言や記号と同じ文言や記号であっても意味が異なる場合があるので注意されたい。述語暗号は1-out-of-1分散方式を用いた関数暗号に相当する。

〔定義〕
次に、以下の各実施形態で使用される用語や記号を定義する。
行列：「行列」とは演算が定義された集合の元を矩形に並べたものを表す。環の元を要素とするものだけではなく、群の元を要素とするものも「行列」と表現する。
(・)^T：(・)^Tは・の転置行列を表す。
(・)^-1：(・)^-1は・の逆行列を表す。
∧：∧は論理積を表す。
∨：∨は論理和を表す。
Ｚ：Ｚは整数集合を表す。
sec：secはセキュリティパラメータ（sec∈Z, sec>0）を表す。
F_q：F_qは位数qの有限体を表す。位数qは１以上の整数であり、例えば、素数や素数のべき乗値を位数qとする。すなわち、有限体F_qの例は素体やそれを基礎体とした拡大体である。
0_F：0_Fは有限体F_qの加法単位元（零元）を表す。一般化した加法単位元を0と表す。
1_F：1_Fは有限体F_qの乗法単位元を表す。一般化した乗法単位元を1と表す。
δ(i,j)：δ(i,j)はクロネッカーのデルタ関数を表す。i=jの場合にδ(i,j)=1_Fを満たし、i≠jの場合にδ(i,j)=0_Fを満たす。
E：Eは有限体F_q上で定義された楕円曲線を表す。
G₁, G₂,G_T：G₁, G₂, G_Tは位数qの巡回群を表す。巡回群G₁, G₂の具体例は、楕円曲線Eのp等分点からなる有限集合E[p]やその部分群である。G₁=G₂であってもよいしG₁≠G₂であってもよい。また、巡回群G_Tの具体例は、有限体F_qを基礎体とする拡大体を構成する有限集合である。その一例は、有限体F_qの代数閉包における１のｐ乗根からなる有限集合である。
なお、本形態では、巡回群G₁, G₂上で定義された演算を加法的に表現し、巡回群G_T上で定義された演算を乗法的に表現する。すなわち、χ∈F_q及びΩ∈G₁に対するχ・Ω∈G₁は、Ω∈G₁に対して巡回群G₁で定義された演算をχ回施すことを意味し、Ω₁, Ω₂∈G₁に対するΩ₁+Ω₂∈G₁は、Ω₁∈G₁とΩ₂∈G₁とを被演算子として巡回群G₁で定義された演算を行うことを意味する。同様に、χ∈F_q及びΩ∈G₂に対するχ・Ω∈G₂は、Ω∈G₂に対して巡回群G₂で定義された演算をχ回施すことを意味し、Ω₁, Ω₂∈G₂に対するΩ₁+Ω₂∈G₂は、Ω₁∈G₂とΩ₂∈G₂とを被演算子として巡回群G₂で定義された演算を行うことを意味する。一方、χ∈F_q及びΩ∈G_Tに対するΩ^χ∈G_Tは、Ω∈G_Tに対して巡回群G_Tで定義された演算をχ回施すことを意味し、Ω₁,Ω₂∈G_Tに対するΩ₁・Ω₂∈G_Tは、Ω₁∈G_TとΩ₂∈G_Tとを被演算子として巡回群G_Tで定義された演算を行うことを意味する。
n：nは1以上の整数を表す。
ζ：ζは1以上の整数を表す。ζの一例は２又は３である。
G₁ ^n+ζ：G₁ ^n+ζはn+ζ個の巡回群G₁の直積を表す。
G₂ ^n+ζ：G₂ ^n+ζはn+ζ個の巡回群G₂の直積を表す。
g₁, g₂,g_T：g₁, g₂, g_Tは巡回群G, G₁, G₂, G_Tの生成元を表す。
V：Vはn+ζ個の巡回群G₁の直積からなるn+ζ次元のベクトル空間を表す。
V^*：V^*はn+ζ個の巡回群G₂の直積からなるn+ζ次元のベクトル空間を表す。
e：eは直積G₁ ^n+ζと直積G₂ ^n+ζとの直積G₁ ^n+ζ×G₂ ^n+ζを巡回群G_Tに写す非退化な双線形写像（bilinear map）を表す。双線形写像eは、巡回群G₁のn+ζ個の元γ_β(β=1,...,n+ζ)と巡回群G₂のn+ζ個の元γ_β ^*(β=1,...,n+ζ)とを入力とし、巡回群G_Tの１個の元を出力する。
e：G₁ ^n+ζ×G₂ ^n+ζ→G_T …(1)
双線形写像eは以下の性質を満たす。
［双線形性］すべてのΓ₁∈G₁ ^n+ζ，Γ₂∈G₂ ^n+ζ及びν，κ∈F_qについて以下の関係を満たす。
e(ν・Γ₁,κ・Γ₂)=e(Γ₁,Γ₂)^ν・κ …(2)
［非退化性］すべてのΓ₁∈G₁ ^n+ζ，Γ₂∈G₂ ^n+ζを巡回群G_Tの単位元に写すものではない。
［計算可能性］あらゆる
Γ₁∈G₁ ^n+ζ，Γ₂∈G₂ ^n+ζ …(3)
についてe(Γ₁,Γ₂)を効率的に計算するアルゴリズムが存在する。
本形態では、巡回群G₁と巡回群G₂との直積G₁×G₂を巡回群G_Tに写す非退化な双線形写像を計算するための関数
Pair:G₁×G₂→G_T …(4)
を用いて双線形写像eを構成する。本形態の双線形写像eは、巡回群G₁のn+ζ個の元γ_β (β=1,...,n+ζ)からなるn+ζ次元ベクトル(γ₁,...,γ_n+ζ)と、巡回群G₂のn+ζ個の元γ_β ^*(β=1,...,n+ζ)からなるn+ζ次元ベクトル(γ₁ ^*,...,γ_n+ζ ^*)との入力に対し、巡回群G_Tの１個の元
e=Π_β=1 ^n+ζPair(γ_β, γ_β ^*) …(5)
を出力する。
なお、双線形写像Pairは、巡回群G₁の１個の元と巡回群G₂の１個の元との組を入力とし、巡回群G_Tの１個の元を出力するものであり、以下の性質を満たす。
［双線形性］すべてのΩ₁∈G₁，Ω₂∈G₂及びν，κ∈F_qについて以下の関係を満たす。
Pair(ν・Ω₁,κ・Ω₂)=Pair(Ω₁,Ω₂)^ν・κ …(6)
［非退化性］すべての
Ω₁∈G₁，Ω₂∈G₂ …(7)
を巡回群G_Tの単位元に写すものではない。
［計算可能性］あらゆるΩ₁∈G₁，Ω₂∈G₂についてPair(Ω₁,Ω₂)を効率的に計算するアルゴリズムが存在する。
なお、双線形写像Pairの具体例は、WeilペアリングやTateペアリングなどのペアリングである（例えば、参考文献１「Alfred. J. Menezes，ELLIPTIC CURVE PUBLIC KEY CRYPTOSYSTEMS， KLUWER ACADEMIC PUBLISHERS， ISBN0-7923-9368-6，pp. 61-81」、参考文献２「RFC 5091: Identity-Based Cryptography Standard (IBCS) #1: Supersingular Curve Implementations of the BF and BB1 Cryptosystems」等参照）。
a_i(i=1,...,n+ζ)：a_iは巡回群G₁のn+ζ個の元を要素とするn+ζ次元の基底ベクトルを表す。基底ベクトルa_iの一例は、κ₁・g₁∈G₁をi次元目の要素とし、残りのn個の要素を巡回群G₁の単位元（加法的に「0」と表現）とするn+ζ次元の基底ベクトルである。この場合、n+ζ次元の基底ベクトルa_i(i=1,...,n+ζ)の各要素をそれぞれ列挙して表現すると、以下のようになる。
a₁=(κ₁・g₁,0,0,...,0)
a₂=(0,κ₁・g₁,0,...,0) …(8)
...
a_n+ζ=(0,0,0,...,κ₁・g₁)
ここで、κ₁は加法単位元0_F以外の有限体F_qの元からなる定数であり、κ₁∈F_qの具体例はκ₁=1_Fである。基底ベクトルa_iは直交基底であり、巡回群G₁のn+ζ個の元を要素とするすべてのn+ζ次元ベクトルは、n+ζ次元の基底ベクトルa_i(i=1,...,n+ζ)の線形和によって表される。すなわち、n+ζ次元の基底ベクトルa_iはベクトル空間Vを張る。
a_i ^*(i=1,...,n+ζ)：巡回群G₂のn+ζ個の元を要素とするn+ζ次元の基底ベクトルを表す。基底ベクトルa_i ^*の一例は、κ₂・g₂∈G₂をi次元目の要素とし、残りのn個の要素を巡回群G₂の単位元（加法的に「0」と表現）とするn+ζ次元の基底ベクトルである。この場合、基底ベクトルa_i ^*(i=1,...,n+ζ)の各要素をそれぞれ列挙して表現すると、以下のようになる。
a₁ ^*=(κ₂・g₂,0,0,...,0)
a₂ ^*=(0,κ₂・g₂,0,...,0) …(9)
...
a_n+ζ ^*=(0,0,0,...,κ₂・g₂)
ここで、κ₂は加法単位元0_F以外の有限体F_qの元からなる定数であり、κ₂∈F_qの具体例はκ₂=1_Fである。基底ベクトルa_i ^*は直交基底であり、巡回群G₂のn+ζ個の元を要素とするすべてのn+ζ次元ベクトルは、n+ζ次元の基底ベクトルa_i ^*(i=1,...,n+ζ)の線形和によって表される。すなわち、n+ζ次元の基底ベクトルa_i ^*はベクトル空間V^*を張る。
なお、基底ベクトルa_iと基底ベクトルa_i ^*とは、0_Fを除く有限体F_qの元τ=κ₁・κ₂について
e(a_i, a_j ^*)=g_T ^τ・δ(i,j) …(10)
を満たす。すなわち、i=jの場合には、式(5)(6)の関係から、
e(a_i, a_j ^*)= Pair(κ₁・g₁,κ₂・g₂)・Pair(0, 0)・...・Pair(0, 0)
= Pair(g₁, g₂)^κ1・κ2・Pair(g₁, g₂)^0・0・...・Pair(g₁, g₂)^0・0
= Pair(g₁, g₂)^κ1・κ2=g_T ^τ
を満たす。一方、i≠jの場合には、e(a_i, a_j ^*)=Π_i=1 ^n+ζ Pair(a_i, a_j ^*)の右辺は、Pair(κ₁・g₁,κ₂・g₂)を含まず、Pair(κ₁・g₁,0)と Pair(0,κ₂・g₂)とPair(0,0)との積になる。さらに、式(6)の関係からPair(g₁, 0)=Pair(0, g₂)=Pair(g₁, g₂)⁰を満たす。そのため、i≠jの場合には、
e(a_i, a_j ^*)=e(g₁, g₂)⁰=g_T ⁰
を満たす。
特に、τ=κ₁・κ₂=1_Fである場合（例えば、κ₁=κ₂=1_Fの場合）、
e(a_i, a_j ^*)=g_T ^δ(i,j) …(11)
を満たす。ここで、g_T ⁰=1は巡回群G_Tの単位元であり、g_T ¹=g_Tは巡回群G_Tの生成元である。この場合、基底ベクトルa_iと基底ベクトルa_i ^*とは双対正規直交基底であり、ベクトル空間Vとベクトル空間V^*とは、双線形写像を構成可能な双対ベクトル空間〔双対ペアリングベクトル空間（DPVS:Dual Paring Vector space)〕である。
A：基底ベクトルa_i(i=1,...,n+ζ)を要素とするn+ζ行n+ζ列の行列を表す。例えば、基底ベクトルa_i(i=1,...,n+ζ)が式(8)によって表現される場合、行列Aは、

となる。
A^*：基底ベクトルa_i ^*(i=1,...,n+ζ)を要素とするn+ζ行n+ζ列の行列を表す。例えば、基底ベクトルa_i ^*(i=1,...,n+ζ)が式(9)によって表現される場合、行列A^*は、

となる。
X：有限体F_qの元を要素とするn+ζ行n+ζ列の行列を表す。基底ベクトルa_iの座標変換に用いられる。行列Ｘのi行j列(i=1,...,n+ζ,j=1,...,n+ζ)の要素をχ_i,j∈F_qとすると、行列Xは、

となる。なお、行列Ｘの各要素χ_i,jを変換係数と呼ぶ。
X ^*：X ^*は行列Xの逆行列の転置行列Ｘ^*=(Ｘ^-1)^Tを表す。基底ベクトルa_i ^*の座標変換に用いられる。行列X^*のi行j列の要素をχ_i,j ^*∈F_qとすると、行列Ｘ^*は、

となる。なお、行列Ｘ^*の各要素χ_i,j ^*を変換係数と呼ぶ。
この場合、n+ζ行n+ζ列の単位行列をIとするとＸ・(Ｘ^*)^T=Ｉを満たす。すなわち、単位行列

に対し、

を満たす。ここで、n+ζ次元ベクトル
χ_i ^→=(χ_i,1,...,χ_i,n+ζ) …(18)
χ_j ^→*=(χ_j,1 ^*,...,χ_j,n+ζ ^*) …(19)
を定義する。すると、式(17)の関係から、n+ζ次元ベクトルχ_i ^→とχ_j ^→*との内積は、
χ_i ^→・χ_j ^→*=δ(i,j) …(20)
となる。
b_i：b_iは巡回群G₁のn+ζ個の元を要素とするn+ζ次元の基底ベクトルを表す。行列Xを用いて基底ベクトルa_i(i=1,...,n+ζ)を座標変換することで得られる。具体的には、基底ベクトルb_iは、
b_i=Σ_j=1 ^n+ζχ_i,j・a_j …(21)
の演算によって得られる。例えば、基底ベクトルa_j(j=1,...,n+ζ)が式(8)によって表現される場合、基底ベクトルb_iの各要素をそれぞれ列挙して表現すると、以下のようになる。
b_i=(χ_i,1・κ₁・g₁ ,χ_i,2・κ₁・g₁ ,...,χ_i,n+ζ・κ₁・g₁) …(22)
巡回群G₁のn+ζ個の元を要素とするすべてのn+ζ次元ベクトルは、n+ζ次元の基底ベクトルb_i(i=1,...,n+ζ)の線形和によって表される。すなわち、n+ζ次元の基底ベクトルb_iは前述のベクトル空間Vを張る。
b_i ^*：b_i ^*は巡回群G₂のn+ζ個の元を要素とするn+ζ次元の基底ベクトルを表す。行列X^*を用いて基底ベクトルa_i ^*(i=1,...,n+ζ)を座標変換することで得られる。具体的には、基底ベクトルb_i ^*は、
b_i ^*=Σ_j=1 ^n+ζχ_i,j ^*・a_j ^* …(23)
の演算によって得られる。例えば、基底ベクトルa_j ^*(j=1,...,n+ζ)が式(9)によって表現される場合、基底ベクトルb_i ^*の各要素をそれぞれ列挙して表現すると、以下のようになる。
b_i ^*=(χ_i,1 ^*・κ₂・g₂ ,χ_i,2 ^*・κ₂・g₂ ,...,χ_i,n+ζ ^*・κ₂・g₂) …(24)
となる。巡回群G₂のn+ζ個の元を要素とするすべてのn+ζ次元ベクトルは、n+ζ次元の基底ベクトルb_i ^*(i=1,...,n+ζ)の線形和によって表される。すなわち、n+ζ次元の基底ベクトルb_i ^*は前述のベクトル空間V^*を張る。
なお、基底ベクトルb_iと基底ベクトルb_i ^*とは、0_Fを除く有限体F_qの元τ=κ₁・κ₂について
e(b_i, b_j ^*)=g_T ^τ・δ(i,j) …(25)
を満たす。すなわち、式(5)(20)(22)(24)の関係から、

を満たす。特に、τ=κ₁・κ₂=1_Fである場合（例えば、κ₁=κ₂=1_Fの場合）、
e(b_i, b_j ^*)=g_T ^δ(i,j) …(26)
を満たす。この場合、基底ベクトルb_iと基底ベクトルb_i ^*とは、双対ペアリングベクトル空間（ベクトル空間Vとベクトル空間V^*）の双対正規直交基底である。
なお、式(25)の関係を満たすのであれば、式(8)(9)で例示したもの以外の基底ベクトルa_i及びa_i ^*や、式(21)(23)で例示したもの以外の基底ベクトルb_i及びb_i ^*を用いてもよい。
B：Bは基底ベクトルb_i(i=1,...,n+ζ)を要素とするn+ζ行n+ζ列の行列。B=X・Aを満たす。例えば、基底ベクトルb_iが式(22)によって表現される場合、行列Bは、

となる。
B^*：B^*は基底ベクトルb_i ^*(i=1,...,n+ζ)を要素とするn+ζ行n+ζ列の行列を表す。B^*=X^*・A^*を満たす。例えば、基底ベクトルb_i ^*(i=1,...,n+ζ)が式(24)によって表現される場合、行列B^*は、

となる。

〔内積述語暗号方式〕
次に、内積述語暗号方式について説明する。内積述語暗号方式とは、暗号文に対応するベクトルと復号鍵に対応するベクトルとの内積が0となるときに当該暗号文が当該復号鍵で復号可能となる暗号方式である。内積述語暗号方式では、内積が0となることと論理式の真理値が真となることとが等価である。

［内積と論理式の真理値との関係］
内積述語暗号では、論理和や論理積からなる論理式を多項式で表現する。
まず、「x₁がη₁である」という命題１と「x₂がη₂である」という命題２との論理和 (x₁=η₁)∨(x₂=η₂)を
(x₁-η₁)・(x₂-η₂) …(29)
という多項式で表現する。すると、各真理値と式(29)の関数値との関係は以下のようになる。

[表1]から分かるように、論理和(x₁=η₁)∨(x₂=η₂)が真である場合、式(29)の関数値は0になり、論理和(x₁=η₁)∨(x₂=η₂)が偽である場合、式(29)の関数値は0以外の値となる。すなわち、論理和(x₁=η₁)∨(x₂=η₂)が真であることと、式(29)の関数値が0となることとは等価である。よって、論理和は式(29)で表現できる。
また、「x₁がη₁である」という命題１と「x₂がη₂である」という命題２との論理積 (x₁=η₁)∧(x₂=η₂)を
ι₁・(x₁-η₁)+ι₂・(x₂-η₂) …(30)
という多項式で表現する。ただし、ι₁及びι₂は乱数である。すると、真理値と式(30)の関数値とは以下の関係となる。

[表２]から分かるように、論理積 (x₁=η₁)∧(x₂=η₂)が真である場合、式(30)の関数値は0になり、論理積 (x₁=η₁)∧(x₂=η₂)が偽である場合、式(30)の関数値は0以外の値となる。すなわち、論理積 (x₁=η₁)∧(x₂=η₂)が真であることと、式(30)の関数値が0となることとは等価である。よって、論理積は式(30)で表現できる。
以上から、論理和や論理積からなる任意の論理式を多項式で表現できることが分かる。例えば、論理式{(x₁=η₁)∨(x₂=η₂)}∧(x₃=η₃)∧(x₄=η₄)は、多項式
ι₁・{(x₁-η₁)・(x₂-η₂)}+ι₂・(x₃-η₃)+ι₃・(x₄-η₄) …(31)
で表現できる。以下、このように論理式を表現する多項式のことを述語多項式と呼ぶ。
述語多項式は２つのベクトルの内積で表現できる。すなわち、述語多項式は、各項の不定元成分と１とを各要素とするベクトルと、各項の係数成分を各要素とするベクトルとの内積に等しい。例えば、式(31)の述語多項式は、各項の不定元成分と１を各要素とするベクトル(x₁・x₂, x₁, x₂, x₃, x₄, 1)と、各項の係数成分を各要素とするベクトル(ι₁, -ι₁・η₂, -ι₁・η₁, ι₂, -ι₂・η₃+ι₃, ι₁・η₁・η₂-ι₃・η₄)との内積に等しい。
そのため、述語多項式の値が0であるか否かと、述語多項式の各項の不定元成分と１とを各要素とするベクトルと各項の係数成分を各要素とするベクトルとの内積が0であるか否かとは等価である。言い換えると、論理式の真理値が真であるか否かと、当該論理式を示す述語多項式の各項の不定元成分と１とを各要素とするベクトルと各項の係数成分を各要素とするベクトルとの内積が0であるか否かとは等価である。
内積述語暗号方式では、上述の各項の不定元成分と１を各要素とするベクトル及び各項の係数成分を各要素とするベクトルの何れか一方のベクトルが暗号文に埋め込まれ、他方のベクトルが復号鍵に埋め込まれる。以下では、暗号文に埋め込まれるベクトルをw^→=(w_1,...,w_n)とし、復号鍵に埋め込まれるベクトルをv^→=(v_1,...,v_n)とする。

［内積述語暗号方式の基本構成］
内積述語暗号方式で鍵カプセル化メカニズムKEM (Key Encapsulation Mechanisms)を構成する例を示す。この構成はSetup，GenKey，Enc，Decを含む。
《Setup：セットアップ》
−入力：セキュリティパラメータsec
−出力：マスター鍵情報MSK，公開パラメータPK
Setupの一例では、まず、セキュリティパラメータsecをnとして、n+ζ次元の基底ベクトルa_i(i=1,...,n+ζ)を要素とするn+ζ行n+ζ列の行列Aと、基底ベクトルa_i ^*(i=1,...,n+ζ)を要素とするn+ζ行n+ζ列の行列A^*と、座標変換のためのn+ζ行n+ζ列の行列X，X^*とが選択される。次に、式(21)に従って座標変換されたn+ζ次元の基底ベクトルb_i(i=1,...,n+ζ)が算出され、式(23)に従って座標変換されたn+ζ次元の基底ベクトルb_i ^*(i=1,...,n+ζ)が算出される。そして、基底ベクトルb_i ^*(i=1,...,n+ζ)を要素とするn+ζ行n+ζ列の行列B^*がマスター鍵情報MSKとして出力され、ベクトル空間V, V^*、基底ベクトルb_i(i=1,...,n+ζ)を要素とするn+ζ行n+ζ列の行列B、セキュリティパラメータsec、有限体F_q、楕円曲線E、巡回群G₁, G₂, G_T、生成元g₁, g₂, g_T、双線形写像eなどが公開パラメータPKとして出力される。
《GenKey：復号鍵生成》
−入力：マスター鍵情報MSK，ベクトルv^→
−出力：ベクトルv^→に対応する復号鍵D^*
GenKeyの一例では、まず、有限体F_qから元σ,σ_ι-n∈F_qが選択される。そして、マスター鍵情報MSKである行列B^*を用い、ベクトルv^→に対応する復号鍵
D^*=σ・(Σ_μ=1 ⁿv_μ・b_μ ^*)+Σ_ι=n+1 ^n+ζ'σ_ι-n・b_ι ^*∈G₂ ^n+ζ' …(32)
が生成され、出力される。ただし、σ,σ_ι-nは乱数などの変数や定数などであり、ζ'≦ζである（例えばζ=3, ζ'=2）。またΣ_ι=n+1 ^n+ζ'σ_ι-nはシステムで共有される定数値とされる。以下では
Σ_ι=n+1 ^n+ζ'σ_ι-n=1_F …(33)
とされた例を説明する。これは本発明を限定しない。
《Enc：暗号化》
−入力：公開パラメータPK，ベクトルw^→，平文mes
−出力：暗号文(C₁，C₂)
Encの一例では、行列Bなどの公開パラメータPKと、有限体F_qの元である乱数υ₀,υ₁,...,υ_ζと、ベクトルw^→とを用い、暗号文
C₁=υ₀・(Σ_μ=1 ⁿw_μ・b_μ)+Σ_μ=n+1 ^n+ζυ_μ-ｎ・b_μ∈G₁ ^n+ζ …(34)
が生成される。ただし、
υ₁=...=υ_ζ' …(35)
を満たす（例えばζ'=2のときにはυ₁=υ₂）。また、g_T ^τ・υ1を共通鍵Kとし、所定の共通鍵暗号方式（第２暗号方式）に則って平文mesの暗号文C₂が生成される。暗号文C₂の一例は、
C₂=g_T ^τ・υ1・mes …(36)
である。添え字のυ1はυ₁を意味する。前述のように定数τの一例はτ=1_Fである。生成された暗号文(C₁，C₂)は出力される。
《Dec：復号》
−入力：ベクトルv^→に対応する復号鍵D^*，暗号文(C₁，C₂)
−出力：復号値mes'
Decの一例では、まず、暗号文C₁と復号鍵D^*とが式(1)の双線形写像eに入力され、その演算結果を共通鍵K=e(C₁,D^*)とし、以下のように復号値mes'が求められる。
mes'=C₂/e(C₁,D^*)∈G_T …(37)
ここで、式(2)(25)(33)(35)の性質から、

を満たす。
内積w^→・v^→=0であれば、式(38)は、

を満たす。式(36)(37)(39)から、内積w^→・v^→=0であればmes'=mesとなり、正しく復号されることがわかる。

［階層的内積述語暗号方式の基本構成］
階層的内積述語暗号方式は内積述語暗号方式の一種であり、暗号文に対応するベクトルと復号鍵に対応するベクトルとの内積が0となるときに当該暗号文が当該復号鍵で復号可能となる。さらに階層的内積述語暗号方式では階層的な処理によって復号鍵を生成できる。すなわち、階層的内積述語暗号方式では属性が階層化され、各階層までの属性に対応する鍵情報が存在するとともに、上位の階層に対応する鍵情報を用いて下位の階層に対応する鍵情報を生成できる。そして、このような階層的な処理によって生成された最終的な鍵情報が復号鍵となる。以下に階層的内積述語暗号方式の基本構成を例示する。以下では、階層的内積述語暗号方式を用いて鍵カプセル化メカニズムKEMを構成する場合の基本構成を例示する。ただし、これは本発明を限定するものではない。
《前提》
深さdの属性空間の階層フォーマットを以下の式によって定義する。ただし、dは1以上n以下の整数である。
ξ^→=(n,d;ξ₁,...,ξ_d) (0=ξ₀<ξ₁<...<ξ_d=n) …(40)
有限体F_qの元を要素とするξ_ω-ξ_ω-1(ω=1,...,d)次元のベクトル（零ベクトルを除く）を階層ωに対応するベクトル

とし、階層1から階層m（m≦d）までに対応するベクトルを(w₁ ^→,...,w_m ^→)とする。有限体F_qの元を要素とするξ_ω-ξ_ω-1次元（ω=1,...,d）のベクトル（零ベクトルを除く）を階層ωに対応するベクトル

とし、階層1から階層mまでに対応するベクトルを(v₁ ^→,...,v_m ^→)とする。
《Setup：セットアップ》
−入力：セキュリティパラメータsec
−出力：階層フォーマットξ^→，マスター秘密鍵MSK，公開パラメータmpk
Setupの一例では、セキュリティパラメータsecの単調増加関数値をnとし、階層フォーマットξ^→=(n,d;ξ₁,...,ξ_d)が定められる。また、この例ではζ=3とし、n+3次元の基底ベクトルa_i(i=1,...,n+3)を要素とするn+3行n+3列の行列Aと、基底ベクトルa_i ^*(i=1,...,n+3)を要素とするn+3行n+3列の行列A^*と、座標変換のためのn+3行n+3列の行列X，X^*とが選択される。次に、式(21)に従って座標変換されたn+3次元の基底ベクトルb_i(i=1,...,n+3)が算出され、式(23)に従って座標変換されたn+3次元の基底ベクトルb_i ^*(i=1,...,n+3)が算出される。
この例では、基底ベクトル(b₁ ^*,...,b_n ^*,b_n+1 ^*,b_n+2 ^*,b_n+3 ^*)と行列Xとがマスター秘密鍵MSKとして出力され、基底ベクトル(b₁,...,b_n,b_n+1+b_n+2,b_n+3)、ベクトル空間V, V^*、セキュリティパラメータsec、有限体F_q、楕円曲線E、巡回群G₁, G₂,G_T、生成元g₁, g₂, g_T、双線形写像eなどが公開パラメータmpkとして出力される。
《GenKey：鍵情報生成》
−入力：マスター秘密鍵MSK，公開パラメータmpk，ベクトル(v₁ ^→,...,v_m ^→)
−出力：ベクトル(v₁ ^→,...,v_m ^→)に対応する鍵情報k_m ^*
GenKeyの一例では、まず、有限体F_qから元σ_α，ω，Ψ，Φ_α∈F_q (α=0,...,m+1,ξ_m+1,...,n; ω=1,...,m)が任意に選択される。この例では、これらとマスター秘密鍵MSKである基底ベクトル(b₁ ^*,...,b_n ^*,b_n+1 ^*,b_n+2 ^*,b_n+3 ^*)とベクトル(v₁ ^→,...,v_m ^→)とを用い、ベクトル(v₁ ^→,...,v_m ^→)に対応する鍵情報

が生成されて出力される。ただし、

である。
《Delegate(m')：鍵情報生成委譲》
−入力：公開パラメータmpk，鍵情報k_m' ^*，ベクトルv_m'+1 ^→
−出力：ベクトル(v₁ ^→,...,v_m'+1 ^→)に対応する鍵情報k_m'+1 ^*
階層的内積述語暗号方式では、マスター秘密鍵MSKを用いることなく、公開パラメータmpk，鍵情報k_m' ^*，ベクトルv_m'+1 ^→からベクトル(v₁ ^→,...,v_m'+1 ^→)に対応する鍵情報k_m'+1 ^*を生成できる。ただし、m'=1,...,d-1である。
Delegate(m')の一例では、有限体F_qから元σ'_α，ω，Ψ'，Φ'_α∈F_q (α=0,...,m'+2,ξ_m'+1+1,...,n; ω=1,...,m'+1)が任意に選択される。この例では、これらと鍵情報k_m' ^*とベクトルv_m'+1 ^→と用い、ベクトル(v₁ ^→,...,v_m'+1 ^→)に対応する鍵情報

が生成されて出力される。ただし、

である。
《Enc：暗号化》
−入力：公開パラメータmpk，ベクトル(w₁ ^→,...,w_m ^→)，平文mes
−出力：暗号文(C₁，C₂)
Encの一例では、まず、有限体F_qから任意の元υ₁,...,υ_d,υ_n+3,υが選択される。そして、これらと公開パラメータmpkとベクトル(w₁ ^→,...,w_m ^→)とを用い、暗号文

が生成される。また、g_T ^τ・υを共通鍵Kとし、所定の共通鍵暗号方式（第２暗号方式）に則って平文mesの暗号文C₂が生成される。暗号文C₂の一例は、
C₂=g_T ^τ・υ・mes …(52)
である。なお、前述のように定数τの一例はτ=1_Fである。その後、以上のように生成された暗号文(C₁，C₂)が出力される。
《Dec：復号》
−入力：公開パラメータmpk，ベクトル(v₁ ^→,...,v_m ^→)に対応する鍵情報k_m ^*，暗号文(C₁，C₂)
−出力：復号値mes'
Decの一例では、
mes'=C₂/e(C₁,k_m,0 ^*) …(53)
によって復号値mes'を計算する。
暗号文C₁と鍵情報k_m ^*のk_m,0 ^*とが式(1)の双線形写像e（この例ではζ=3）に入力されると、式(2)(25)の性質から、

を満たす。なお、σ_ω及びσは有限体F_qの元である。Delegate(m')がなされることなく鍵情報k_m ^*が生成された場合にはσ_ω=σ_0，ωである。Delegate(m')が１回以上なされた場合には、GenKeyに使用された有限体F_qの元σ_α，ωやDelegate(m')時に使用された有限体F_qの元σ'_α，ωやΦ'_αに応じてσ_ωの値が定まる。ここで、すべてのω=1,...,mについて内積v_ω ^→・w_ω ^→=0_Fであれば、式(54)は、
e(C₁,k_m,0 ^*)=g_T ^τ・υ …(55)
と変形できる。式(52)(53)(55)より、すべてのω=1,...,mについて内積v_ω ^→・w_ω ^→=0_Fである場合にmes'=mesとなり、正しく復号がなされることがわかる。

＜補記＞
時限暗号システムに含まれるハードウェアエンティティ（時刻サーバ装置、送信者装置、受信者装置）は、キーボードなどが接続可能な入力部、液晶ディスプレイなどが接続可能な出力部、ハードウェアエンティティの外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部、ＣＰＵ（Central Processing Unit）〔キャッシュメモリやレジスタなどを備えていてもよい。〕、メモリであるＲＡＭやＲＯＭ、ハードディスクである外部記憶装置並びにこれらの入力部、出力部、通信部、ＣＰＵ、ＲＡＭ、ＲＯＭ、外部記憶装置の間のデータのやり取りが可能なように接続するバスを有している。また必要に応じて、ハードウェアエンティティに、ＣＤ−ＲＯＭなどの記録媒体を読み書きできる装置（ドライブ）などを設けるとしてもよい。このようなハードウェア資源を備えた物理的実体としては、汎用コンピュータなどがある。

ハードウェアエンティティの外部記憶装置には、上述の機能を実現するために必要となるプログラムおよびこのプログラムの処理において必要となるデータなどが記憶されている（外部記憶装置に限らず、例えばプログラムを読み出し専用記憶装置であるＲＯＭに記憶させておくなどでもよい。）。また、これらのプログラムの処理によって得られるデータなどは、ＲＡＭや外部記憶装置などに適宜に記憶される。上述の説明では、演算結果やその格納領域のアドレスなどを記憶するＲＡＭやレジスタなどの記憶装置を単に「記憶部」とした。

ハードウェアエンティティでは、外部記憶装置〔あるいはＲＯＭなど〕に記憶された各プログラムとこの各プログラムの処理に必要なデータが必要に応じてメモリに読み込まれて、適宜にＣＰＵで解釈実行・処理される。その結果、ＣＰＵが所定の機能（例えば、初期設定部、時刻トークン生成部、暗号文生成部、復号部など）を実現する。

各実施形態で説明したハードウェアエンティティの細部においては、数論における数値計算処理が必要となる場合があるが、数論における数値計算処理自体は、周知技術と同様にして達成されるので、その演算処理方法などの詳細な説明は省略した（この点の技術水準を示す数論における数値計算処理が可能なソフトウェアとしては、例えばＰＡＲＩ／ＧＰ、ＫＡＮＴ／ＫＡＳＨなどが挙げられる。ＰＡＲＩ／ＧＰについては、例えばインターネット〈URL: http://pari.math.u-bordeaux.fr/〉［平成23年1月13日検索］を参照のこと。ＫＡＮＴ／ＫＡＳＨについては、例えばインターネット〈URL: http://www.math.tu-berlin.de/algebra/やhttp://www.math.tu-berlin.de/~kant/kash.html〉［平成23年1月13日検索］を参照のこと。）。
また、この点に関する文献として、参考文献Ａを挙げることができる。
（参考文献Ａ）H. Cohen, "A Course in Computational Algebraic Number Theory", GTM 138, Springer-Verlag, 1993.

本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記実施形態において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。

また、上記実施形態において説明したハードウェアエンティティにおける処理機能をコンピュータによって実現する場合、ハードウェアエンティティが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記ハードウェアエンティティにおける処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、ハードウェアエンティティを構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims (12)

1. 時刻サーバ装置と、送信者装置と、受信者装置とを含み、予め定められた時間において暗号文の復号が可能となる時限暗号システムであって、
   公開パラメータpkとマスター秘密鍵skが定められた暗号(KeyGen,Enc,Dec)が、
   KeyGen(sk,i)→sk _i ：鍵生成アルゴリズム（マスター秘密鍵skと情報iを入力とし、当該情報iに対応する秘密鍵sk _i を出力する確率的多項式時間アルゴリズム）と、
   Enc(pk,j,x)→c _j ：暗号化アルゴリズム（公開パラメータpkと情報jと暗号化対象の情報（以下、平文という）xを入力とし、暗号文c _j を出力する確率的多項式時間アルゴリズム）と、
   Dec(pk,sk _i ,c _j )→y：復号アルゴリズム（公開パラメータpkと秘密鍵sk _i と暗号文c _j を入力とし、情報yを出力する確率的多項式時間アルゴリズム）と
   を含み、
   上記時刻サーバ装置は、
   上記マスター秘密鍵skを入力とし、定期あるいは不定期に、時刻tを含む情報iを生成し、上記暗号の鍵生成アルゴリズムKeyGen(sk,i)を実行して時刻トークンsk _t ←KeyGen(sk,i)を生成する時刻トークン生成部を含み、
   上記送信者装置は、
   上記公開パラメータpkと平文mとを入力とし、上記復号アルゴリズムの実行の時的制限に係る予め定められた時間に関する情報t'（以下、時的制限情報t'という）を含む情報jを生成し、上記暗号の暗号化アルゴリズムEnc(pk,j,m)を実行して暗号文c _t' ←Enc(pk,j,m)を生成する暗号文生成部を含み、
   上記受信者装置は、
   上記公開パラメータpkと上記時刻トークンsk _t と上記暗号文c _t' とを入力とし、上記情報iに含まれる時刻tと上記情報jに含まれる時的制限情報t'とが予め定められた関係Ｒを満たすときに上記時刻トークンsk _t を用いて上記暗号文c _t' を復号するように構成された上記暗号の復号アルゴリズムDec(pk,sk _t ,c _t' )を実行して上記平文m←Dec(pk,sk _t ,c _t' )を得る復号部を含み、
   上記時的制限情報t'を時刻とし、
   上記関係Ｒは、上記時刻tに対してTを述語変数とするt≧Tなる述語と当該述語変数Tに代入されうる上記時的制限情報t'との関係であり、
   上記時刻トークン生成部は、上記情報iを上記述語t≧Tとして、上記鍵生成アルゴリズムKeyGen(sk,i)を実行して時刻トークンsk_t←KeyGen(sk,i)を生成する
   ことを特徴とする時限暗号システム。
2. 時刻サーバ装置と、送信者装置と、受信者装置とを含み、予め定められた時間において暗号文の復号が可能となる時限暗号システムであって、
   公開パラメータpkとマスター秘密鍵skが定められた暗号(KeyGen,Enc,Dec)が、
   KeyGen(sk,i)→sk _i ：鍵生成アルゴリズム（マスター秘密鍵skと情報iを入力とし、当該情報iに対応する秘密鍵sk _i を出力する確率的多項式時間アルゴリズム）と、
   Enc(pk,j,x)→c _j ：暗号化アルゴリズム（公開パラメータpkと情報jと暗号化対象の情報（以下、平文という）xを入力とし、暗号文c _j を出力する確率的多項式時間アルゴリズム）と、
   Dec(pk,sk _i ,c _j )→y：復号アルゴリズム（公開パラメータpkと秘密鍵sk _i と暗号文c _j を入力とし、情報yを出力する確率的多項式時間アルゴリズム）と
   を含み、
   上記時刻サーバ装置は、
   上記マスター秘密鍵skを入力とし、定期あるいは不定期に、時刻tを含む情報iを生成し、上記暗号の鍵生成アルゴリズムKeyGen(sk,i)を実行して時刻トークンsk _t ←KeyGen(sk,i)を生成する時刻トークン生成部を含み、
   上記送信者装置は、
   上記公開パラメータpkと平文mとを入力とし、上記復号アルゴリズムの実行の時的制限に係る予め定められた時間に関する情報t'（以下、時的制限情報t'という）を含む情報jを生成し、上記暗号の暗号化アルゴリズムEnc(pk,j,m)を実行して暗号文c _t' ←Enc(pk,j,m)を生成する暗号文生成部を含み、
   上記受信者装置は、
   上記公開パラメータpkと上記時刻トークンsk _t と上記暗号文c _t' とを入力とし、上記情報iに含まれる時刻tと上記情報jに含まれる時的制限情報t'とが予め定められた関係Ｒを満たすときに上記時刻トークンsk _t を用いて上記暗号文c _t' を復号するように構成された上記暗号の復号アルゴリズムDec(pk,sk _t ,c _t' )を実行して上記平文m←Dec(pk,sk _t ,c _t' )を得る復号部を含み、
   上記時的制限情報t'を時刻とし、
   上記関係Ｒは、上記時的制限情報t'に対してTを述語変数とするT≧t'なる述語と当該述語変数Tに代入されうる上記時刻tとの関係であり、
   上記暗号文生成部は、上記情報jを上記述語T≧t'として、上記暗号化アルゴリズムEnc(pk,j,m)を実行して暗号文c_t'←Enc(pk,j,m)を生成する
   ことを特徴とする時限暗号システム。
3. 時刻サーバ装置と、送信者装置と、受信者装置とを含み、予め定められた時間において暗号文の復号が可能となる時限暗号システムであって、
   公開パラメータpkとマスター秘密鍵skが定められた暗号(KeyGen,Enc,Dec)が、
   KeyGen(sk,i)→sk _i ：鍵生成アルゴリズム（マスター秘密鍵skと情報iを入力とし、当該情報iに対応する秘密鍵sk _i を出力する確率的多項式時間アルゴリズム）と、
   Enc(pk,j,x)→c _j ：暗号化アルゴリズム（公開パラメータpkと情報jと暗号化対象の情報（以下、平文という）xを入力とし、暗号文c _j を出力する確率的多項式時間アルゴリズム）と、
   Dec(pk,sk _i ,c _j )→y：復号アルゴリズム（公開パラメータpkと秘密鍵sk _i と暗号文c _j を入力とし、情報yを出力する確率的多項式時間アルゴリズム）と
   を含み、
   上記時刻サーバ装置は、
   上記マスター秘密鍵skを入力とし、定期あるいは不定期に、時刻tを含む情報iを生成し、上記暗号の鍵生成アルゴリズムKeyGen(sk,i)を実行して時刻トークンsk _t ←KeyGen(sk,i)を生成する時刻トークン生成部を含み、
   上記送信者装置は、
   上記公開パラメータpkと平文mとを入力とし、上記復号アルゴリズムの実行の時的制限に係る予め定められた時間に関する情報t'（以下、時的制限情報t'という）を含む情報jを生成し、上記暗号の暗号化アルゴリズムEnc(pk,j,m)を実行して暗号文c _t' ←Enc(pk,j,m)を生成する暗号文生成部を含み、
   上記受信者装置は、
   上記公開パラメータpkと上記時刻トークンsk _t と上記暗号文c _t' とを入力とし、上記情報iに含まれる時刻tと上記情報jに含まれる時的制限情報t'とが予め定められた関係Ｒを満たすときに上記時刻トークンsk _t を用いて上記暗号文c _t' を復号するように構成された上記暗号の復号アルゴリズムDec(pk,sk _t ,c _t' )を実行して上記平文m←Dec(pk,sk _t ,c _t' )を得る復号部を含み、
   上記時的制限情報t'を時刻とし、
   上記関係Ｒは、Tを上記時的制限情報t'が代入されうる述語変数として、上記時刻tが経過するｎ個の時間区間[b_i,e_i]（i=1,2,…,n）と述語変数Tとによる論理和(b₁≦T≦e₁)∨(b₂≦T≦e₂)∨・・・∨(b_n≦T≦e_n)で表される述語と上記時的制限情報t'との関係であり、
   上記時刻トークン生成部は、上記情報iを上記述語(b₁≦T≦e₁)∨(b₂≦T≦e₂)∨・・・∨(b_n≦T≦e_n)として、上記鍵生成アルゴリズムKeyGen(sk,i)を実行して時刻トークンsk_t←KeyGen(sk,i)を生成する
   ことを特徴とする時限暗号システム。
4. 時刻サーバ装置と、送信者装置と、受信者装置とを含み、予め定められた時間において暗号文の復号が可能となる時限暗号システムであって、
   公開パラメータpkとマスター秘密鍵skが定められた暗号(KeyGen,Enc,Dec)が、
   KeyGen(sk,i)→sk _i ：鍵生成アルゴリズム（マスター秘密鍵skと情報iを入力とし、当該情報iに対応する秘密鍵sk _i を出力する確率的多項式時間アルゴリズム）と、
   Enc(pk,j,x)→c _j ：暗号化アルゴリズム（公開パラメータpkと情報jと暗号化対象の情報（以下、平文という）xを入力とし、暗号文c _j を出力する確率的多項式時間アルゴリズム）と、
   Dec(pk,sk _i ,c _j )→y：復号アルゴリズム（公開パラメータpkと秘密鍵sk _i と暗号文c _j を入力とし、情報yを出力する確率的多項式時間アルゴリズム）と
   を含み、
   上記時刻サーバ装置は、
   上記マスター秘密鍵skを入力とし、定期あるいは不定期に、時刻tを含む情報iを生成し、上記暗号の鍵生成アルゴリズムKeyGen(sk,i)を実行して時刻トークンsk _t ←KeyGen(sk,i)を生成する時刻トークン生成部を含み、
   上記送信者成装置は、
   上記公開パラメータpkと平文mとを入力とし、上記復号アルゴリズムの実行の時的制限に係る予め定められた時間に関する情報t'（以下、時的制限情報t'という）を含む情報jを生成し、上記暗号の暗号化アルゴリズムEnc(pk,j,m)を実行して暗号文c _t' ←Enc(pk,j,m)を生成する暗号文生成部を含み、
   上記受信者装置は、
   上記公開パラメータpkと上記時刻トークンsk _t と上記暗号文c _t' とを入力とし、上記情報iに含まれる時刻tと上記情報jに含まれる時的制限情報t'とが予め定められた関係Ｒを満たすときに上記時刻トークンsk _t を用いて上記暗号文c _t' を復号するように構成された上記暗号の復号アルゴリズムDec(pk,sk _t ,c _t' )を実行して上記平文m←Dec(pk,sk _t ,c _t' )を得る復号部を含み、
   上記時的制限情報t'を時間とし、
   上記関係Ｒは、Tを上記時刻tが代入されうる述語変数として、上記時的制限情報t'としてのｎ個の時間区間[b_i,e_i]（i=1,2,…,n）と述語変数Tとによる論理和(b₁≦T≦e₁)∨(b₂≦T≦e₂)∨・・・∨(b_n≦T≦e_n)で表される述語と上記時刻tとの関係であり、
   上記暗号文生成部は、上記情報jを上記述語(b₁≦T≦e₁)∨(b₂≦T≦e₂)∨・・・∨(b_n≦T≦e_n)として、上記暗号化アルゴリズムEnc(pk,j,m)を実行して暗号文c_t'←Enc(pk,j,m)を生成する
   ことを特徴とする時限暗号システム。
5. 請求項１から請求項４のいずれかに記載の時限暗号システムにおいて、
   上記暗号文生成部は、上記暗号文c_t'が正しく生成されたことを証明可能な非対話零知識証明を上記暗号文c_t'に添付し、
   上記受信者装置は、上記非対話零知識証明によって上記暗号文c_t'が正しく生成されたものであるか否かを検証する検証部を含む
   ことを特徴とする時限暗号システム。
6. 時刻サーバ装置と、送信者装置と、受信者装置とを含み、予め定められた時間において暗号文の復号が可能となる時限暗号システムにおける時限暗号方法であって、
   公開パラメータpkとマスター秘密鍵skが定められた暗号(KeyGen,Enc,Dec)が、
   KeyGen(sk,i)→sk_i：鍵生成アルゴリズム（マスター秘密鍵skと情報iを入力とし、当該情報iに対応する秘密鍵sk_iを出力する確率的多項式時間アルゴリズム）と、
   Enc(pk,j,x)→c_j：暗号化アルゴリズム（公開パラメータpkと情報jと暗号化対象の情報（以下、平文という）xを入力とし、暗号文c_jを出力する確率的多項式時間アルゴリズム）と、
   Dec(pk,sk_i,c_j)→y：復号アルゴリズム（公開パラメータpkと秘密鍵sk_iと暗号文c_jを入力とし、情報yを出力する確率的多項式時間アルゴリズム）と
   を含み、
   上記時刻サーバ装置の時刻トークン生成部が、上記マスター秘密鍵skを入力とし、定期あるいは不定期に、時刻tを含む情報iを生成し、上記暗号の鍵生成アルゴリズムKeyGen(sk,i)を実行して時刻トークンsk_t←KeyGen(sk,i)を生成する時刻トークン生成ステップと、
   上記送信者成装置の暗号文生成部が、上記公開パラメータpkと平文mとを入力とし、上記復号アルゴリズムの実行の時的制限に係る予め定められた時間に関する情報t'（以下、時的制限情報t'という）を含む情報jを生成し、上記暗号の暗号化アルゴリズムEnc(pk,j,m)を実行して暗号文c_t'←Enc(pk,j,m)を生成する暗号文生成ステップと、
   上記受信者装置の復号部が、上記公開パラメータpkと上記時刻トークンsk_tと上記暗号文c_t'とを入力とし、上記情報iに含まれる時刻tと上記情報jに含まれる時的制限情報t'とが予め定められた関係Ｒを満たすときに上記時刻トークンsk_tを用いて上記暗号文c_t'を復号するように構成された上記暗号の復号アルゴリズムDec(pk,sk_t,c_t')を実行して上記平文m←Dec(pk,sk_t,c_t')を得る復号ステップとを有し、
   上記時的制限情報t'を時刻とし、
   上記関係Ｒは、上記時刻tに対してTを述語変数とするt≧Tなる述語と当該述語変数Tに代入されうる上記時的制限情報t'との関係であり、
   上記時刻トークン生成ステップは、上記情報iを上記述語t≧Tとして、上記鍵生成アルゴリズムKeyGen(sk,i)を実行して時刻トークンsk _t ←KeyGen(sk,i)を生成する
   ことを特徴とする時限暗号方法。
7. 時刻サーバ装置と、送信者装置と、受信者装置とを含み、予め定められた時間において暗号文の復号が可能となる時限暗号システムにおける時限暗号方法であって、
   公開パラメータpkとマスター秘密鍵skが定められた暗号(KeyGen,Enc,Dec)が、
   KeyGen(sk,i)→sk _i ：鍵生成アルゴリズム（マスター秘密鍵skと情報iを入力とし、当該情報iに対応する秘密鍵sk _i を出力する確率的多項式時間アルゴリズム）と、
   Enc(pk,j,x)→c _j ：暗号化アルゴリズム（公開パラメータpkと情報jと暗号化対象の情報（以下、平文という）xを入力とし、暗号文c _j を出力する確率的多項式時間アルゴリズム）と、
   Dec(pk,sk _i ,c _j )→y：復号アルゴリズム（公開パラメータpkと秘密鍵sk _i と暗号文c _j を入力とし、情報yを出力する確率的多項式時間アルゴリズム）と
   を含み、
   上記時刻サーバ装置の時刻トークン生成部が、上記マスター秘密鍵skを入力とし、定期あるいは不定期に、時刻tを含む情報iを生成し、上記暗号の鍵生成アルゴリズムKeyGen(sk,i)を実行して時刻トークンsk _t ←KeyGen(sk,i)を生成する時刻トークン生成ステップと、
   上記送信者成装置の暗号文生成部が、上記公開パラメータpkと平文mとを入力とし、上記復号アルゴリズムの実行の時的制限に係る予め定められた時間に関する情報t'（以下、時的制限情報t'という）を含む情報jを生成し、上記暗号の暗号化アルゴリズムEnc(pk,j,m)を実行して暗号文c _t' ←Enc(pk,j,m)を生成する暗号文生成ステップと、
   上記受信者装置の復号部が、上記公開パラメータpkと上記時刻トークンsk _t と上記暗号文c _t' とを入力とし、上記情報iに含まれる時刻tと上記情報jに含まれる時的制限情報t'とが予め定められた関係Ｒを満たすときに上記時刻トークンsk _t を用いて上記暗号文c _t' を復号するように構成された上記暗号の復号アルゴリズムDec(pk,sk _t ,c _t' )を実行して上記平文m←Dec(pk,sk _t ,c _t' )を得る復号ステップとを有し、
   上記時的制限情報t'を時刻とし、
   上記関係Ｒは、上記時的制限情報t'に対してTを述語変数とするT≧t'なる述語と当該述語変数Tに代入されうる上記時刻tとの関係であり、
   上記暗号文生成ステップは、上記情報jを上記述語T≧t'として、上記暗号化アルゴリズムEnc(pk,j,m)を実行して暗号文c _t' ←Enc(pk,j,m)を生成する
   ことを特徴とする時限暗号方法。
8. 請求項６または７に記載の時限暗号方法において、
   上記暗号文生成ステップは、上記暗号文c _t' が正しく生成されたことを証明可能な非対話零知識証明を上記暗号文c _t' に添付し、
   上記受信者装置の検証部が、上記非対話零知識証明によって上記暗号文c _t' が正しく生成されたものであるか否かを検証する検証ステップを有する
   ことを特徴とする時限暗号方法。
9. 請求項１または３に記載の時限暗号システムにおいて用いられる上記時刻サーバ装置。
10. 請求項２または４に記載の時限暗号システムにおいて用いられる上記送信者装置。
11. 請求項１から請求項５のいずれかに記載の時限暗号システムにおいて用いられる上記受信者装置。
12. 請求項９に記載の時刻サーバ装置、請求項１０に記載の送信者装置、請求項１１に記載の受信者装置のいずれかとしてコンピュータを機能させるプログラム。

Images