JP2006086568A

JP2006086568A - 情報処理方法、復号処理方法、および情報処理装置、並びにコンピュータ・プログラム

Info

Publication number: JP2006086568A
Application number: JP2004266477A
Authority: JP
Inventors: Tomoyuki Asano; 智之浅野
Original assignee: Sony Corp
Current assignee: Sony Corp
Priority date: 2004-09-14
Filing date: 2004-09-14
Publication date: 2006-03-30
Also published as: US20060059179A1; US7340054B2; CN1753356A

Abstract

【課題】木構造を適用し、ＳＤ／ＬＳＤ方式に基づく暗号文提供構成において、暗号文復号を行なう機器に格納すべき情報量、および計算量の削減を可能とした構成を提供する。
【解決手段】階層木を構成する各ノードに対応してノード対応値を設定した一方向木としてのＲａｂｉｎＴｒｅｅを生成し、ノード対応値ＮＶ_ａを、少なくとも１つの下位ノードに対応して設定されたノード対応値ＮＶ_ｂとノード付加変数ｓａｌｔ_ｂに基づく関数ｆの適用によって算出可能に設定し、これをＳＤ方式当のラベル算出に適用する中間ラベルとした。本構成により、受信機において保持する情報量が削減され、また、サブセットキー算出に必要な計算量が削減される。
【選択図】図２６

Description

本発明は、情報処理方法、復号処理方法、および情報処理装置、並びにコンピュータ・プログラムに関する。さらに、詳細には、階層木構造を適用したブロードキャストエンクリプション方式において現在知られているＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式、およびＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＬＳＤ）方式を、ＲａｂｉｎＴｒｅｅを用いて改良し、受信機が安全に保持する必要のあるラベルなどの秘密情報量を削減し、さらに受信機において必要な計算量の削減を実現し、効率的でセキュアな情報配信を実現する情報処理方法、復号処理方法、および情報処理装置、並びにコンピュータ・プログラムに関する。

昨今、音楽等のオーディオデータ、映画等の画像データ、ゲームプログラム、各種アプリケーションプログラム等、様々なソフトウエアデータ（以下、これらをコンテンツ（Content）と呼ぶ）が、インターネット等のネットワークを介して、あるいはＣＤ(Compact Disc)、ＤＶＤ(Digital Versatile Disk)、ＭＤ(Mini Disk)等の情報記録媒体（メディア）を介して流通している。これらの流通コンテンツは、ユーザの所有するＰＣ（Personal Computer）やプレーヤ、あるいはゲーム機器等、様々な情報処理装置において再生され利用される。

音楽データ、画像データ等、多くのコンテンツは、一般的にその作成者あるいは販売者に頒布権等が保有されている。従って、これらのコンテンツの配布に際しては、一定の利用制限、すなわち、正規なユーザに対してのみ、コンテンツの利用を許諾し、許可のない複製等が行われないようにする構成をとるのが一般的となっている。

特に、近年においては、情報をデジタル的に記録する記録装置や記憶媒体が普及しつつある。このようなデジタル記録装置および記憶媒体によれば、例えば画像や音声を劣化させることなく記録、再生を繰り返すことが可能であり、不正コピーコンテンツのインターネットを介した配信や、ＣＤ−Ｒ等の記録媒体に対する不正コピーという問題が発生している。

このようなコンテンツの不正利用を防止する１つの方式として、コンテンツあるいは暗号化コンテンツを復号するための鍵を暗号化して配布し、特定の正規ユーザまたは正規デバイスにおいてのみ配布データの復号を可能としたシステムがある。例えばブロードキャストエンクリプション（Broadcast Encryption）方式の一態様である階層型木構造を適用した構成が知られている。

階層型木構造を適用した暗号鍵等の暗号データ提供処理について、図を参照して説明する。

図１に示す階層型木構造は２分木構造を用いており、その最下層がリーフ（葉）と呼ばれ、頂点、各分岐部およびリーフを含む部分をノードと称する。なお、頂点をルート、あるいはルートノードと呼ぶ。図１に示す２分木階層型木構造において、リーフは８〜１５、ノードは１〜１５、ルートは１である。

この２分木階層型木構造におけるリーフ８〜１５にコンテンツの利用機器としての再生機、受信機等の情報処理装置を１つずつ割り当てる。

また、木の各ノード（リーフを含む）１〜１５にそれぞれノードキーを１つずつ割り当てる。リーフ８〜１５に割り当てるノードキーはリーフキーと呼ばれる場合もある。

リーフに対応する各情報処理装置には、対応するリーフからルートまでの経路にあるノードに割り当てられたノードキーが与えられる。図１の構成では、リーフ８から１５までに割り当てられた８台の情報処理装置があり、ノード１から１５までにそれぞれノードキーが割り当てられており、リーフ８に対応する情報処理装置１０１には、ノード１，２，４，８に割り当てられた４個のノードキーが与えられる。また、リーフ１２に対応する情報処理装置１０２には、ノード１，３，６，１２に割り当てられた４個のノードキーが与えられる。各情報処理装置は、これらのノードキーを安全に保管する。

このノードキーの配布処理を伴うセッティングを用いて、選択した情報処理装置のみが取得可能な情報を送信する方法を図２を参照して説明する。たとえば、特定の音楽、画像データ等のコンテンツを暗号化した暗号化コンテンツをブロードキャスト配信、あるいはＤＶＤ等の記録媒体に格納して誰でも取得可能な状態で流通させ、その暗号化コンテンツを復号するための鍵（コンテンツキーＫｃ）を特定のユーザ、すなわち正規なコンテンツ利用権を持つユーザまたは情報処理装置にのみ提供する構成を想定する。

図２に示すリーフ１４に割り当てられた情報処理装置を不正な機器として、排除（リボーク）し、それ以外の情報処理装置が正規な情報処理装置であるとする。この場合、リーフ１４に割り当てられた情報処理装置ではコンテンツキーＫｃを取得できないが、他の情報処理装置ではコンテンツキーＫｃを取得できる暗号文を生成して、その暗号文をネットワークを介してあるいは記録媒体に格納して配布する。

この場合、リボーク（排除）される情報処理装置が持つノードキー（図２では×印で表現）以外のノードキーのうち、できるだけ多数の情報処理装置に共有されているもの、すなわち木の上部にあるものをいくつか用いて、コンテンツキーを暗号化して送信すればよい。

図２に示す例では、ノード２，６，１５のノードキーを用いて、コンテンツキーＫｃを暗号化した暗号文のセットを生成して提供する。すなわち、
Ｅ（ＮＫ_２，Ｋｃ），Ｅ（ＮＫ_６，Ｋｃ），Ｅ（ＮＫ_１５，Ｋｃ）
の暗号文を生成して、ネットワーク配信あるいは記録媒体に格納して提供する。なお、Ｅ（Ａ，Ｂ）はデータＢを鍵Ａで暗号化したデータを意味する。またＮＫｎは、図に示す第ｎ番のノードキーを意味する。従って、上記式は、
コンテンツキーＫｃをノードキーＮＫ_２で暗号化した暗号化データＥ（ＮＫ_２，Ｋｃ）と、コンテンツキーＫｃをノードキーＮＫ_６で暗号化した暗号化データＥ（ＮＫ_６，Ｋｃ）と、コンテンツキーＫｃをノードキーＮＫ_１５で暗号化した暗号化データＥ（ＮＫ_１５，Ｋｃ）と、を含む３つの暗号文のセットであることを意味している。

上記３つの暗号文を作り、例えば同報通信路を用いて全情報処理装置に送信すれば、リボーク対象でない情報処理装置（図２示すリーフ８〜１３および１５に対応する情報処理装置）はいずれかの暗号文を自分が持つノードキーで復号することが可能であり、コンテンツキーＫｃを得ることができる。しかし、リボーク（排除）されたリーフ１４に対応する情報処理装置は、上記の３つの暗号文に適用された３つのノードキーＮＫ_２、ＮＫ_６、ＮＫ_１５のいずれも保有していないので、この暗号文を受領しても、復号処理を行うことができずコンテンツキーＫｃを得ることはできない。

これまでに学会等で公開されているブロードキャストエンクリプション（Broadcast Encryption）方式としては例えば非特許文献１に記載の方式がある。上述のブロードキャストエンクリプション（Broadcast Encryption）方式は、非特許文献１に記載されている名称によれば、ＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ方式（ＣＳ方式）と呼ばれる。

しかし、このような木構造を用いて情報配信を行なう場合、リーフに対応する情報処理装置（ユーザ機器）が増大すると同報送信すべきメッセージが増大し、また各情報処理装置（ユーザ機器）において安全に格納すべきノードキーなどの鍵情報も増大してしまうという問題がある。

例えば、上述のＣＳ方式では、システムの全受信機（受信者）数をＮとし、そのうち排除（リボーク）される、即ち、同報通信される秘密情報を受け取ることができない受信機の数をｒとしたときに、同報通信すべきメッセージ（暗号文）の数がｒｌｏｇ（Ｎ／ｒ）であり、各受信機が安全なメモリに保持すべき鍵の数が、ｌｏｇＮ＋１となる。なお、本明細書においては、特に断りのない限りｌｏｇの底は２である。

受信機の製造コストを削減するために、この鍵の数を減らすことが課題である。鍵数削減に対する提案としては、例えば、２００４年１月に行われた学会において発表された論文として、野島らの著した論文「一方向性関数による木構造鍵管理方式の効率化」（非特許文献２）や、尾形らの著した論文「ＲＳＡ暗号を利用した効率的な木構造鍵管理方式」（非特許文献３）がある。

これらの論文で提案された方式は、ＲＳＡ暗号を用いてＣＳ方式の各受信機が持つ鍵の数を１つに削減する方式である。しかし、ＲＳＡ暗号を用いるための計算量が大きいという問題があり、計算量を減らすことが課題である。

このような問題を解決する手法として、これまでに提案されている方式として、ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式、および、その改良版であるＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＬＳＤ）方式がある。ＳＤ方式については、例えば非特許文献１に記載され、ＬＳＤ方式については、例えば非特許文献４に記載されている。

いずれの方式も、ブロードキャストエンクリプションシステムの全受信機（受信者）数をＮとし、そのうち排除（リボーク）される、即ち、同報通信される秘密情報を受け取ることができない受信機の数をｒとしたときに、同報通信すべきメッセージ（暗号文）の数がＯ（ｒ）であり、これは上述したＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ方式などの他方式に比べて小さく、優れている。

しかし、各受信機が安全なメモリに保持すべき鍵（ラベル）の数が、ＳＤ方式ではＯ（ｌｏｇ^２Ｎ）、ＬＳＤ方式では、Ｏ（ｌｏｇ^１＋εＮ）となる。ここでεは任意の正の数である。この鍵の数は、ＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ方式などの他方式に比べて多く、これを減らすことが課題となっている。

このように、木構造を用いた情報配信構成では、リーフに対応する情報処理装置（ユーザ機器）の増大に伴う配信メッセージの増大や、各情報処理装置（ユーザ機器）において安全に格納すべきノードキーなどの鍵情報の増大という問題が存在し、さらに、受信機における鍵算出に必要とする計算量の負荷の問題が存在する。例えば、受信機において格納すべき情報量を増大させ、また必要な計算負荷を増加させてしまうと、ユーザ機器のセキュアメモリ領域の増加、演算処理能力の増加などの処置が必要となりユーザ機器の製造コストが増大するという問題が発生する。また、計算量の増大に伴う処理遅延という問題も発生する。
ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｇｒａｐｈｙ−Ｃｒｙｐｔｏ２００１，ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ２１３９，Ｓｐｒｉｎｇｅｒ，２００１ｐｐ．４１−６２「Ｄ．Ｎａｏｒ，Ｍ．ＮａｏｒａｎｄＪ．Ｌｏｔｓｐｉｅｃｈ著"ＲｅｖｏｃａｔｉｏｎａｎｄＴｒａｃｉｎｇＳｃｈｅｍｅｓｆｏｒＳｔａｔｅｌｅｓｓＲｅｃｅｉｖｅｒｓ"」２００４年暗号と情報セキュリティシンポジウム予稿集、ｐｐ．１８９−１９４２００４年暗号と情報セキュリティシンポジウム予稿集、ｐｐ．１９５−１９９ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｇｒａｐｈｙ−Ｃｒｙｐｔｏ２００２，ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ２４４２，Ｓｐｒｉｎｇｅｒ，２００２，ｐｐ４７−６０「Ｄ．ＨａｌｅｖｙａｎｄＡ．Ｓｈａｍｉｒ著"ＴｈｅＬＳＤＢｒｏａｄｃａｓｔＥｎｃｒｙｐｔｉｏｎＳｃｈｅｍｅ"」

本発明は、このような状況に鑑みてなされたものであり、ブロードキャストエンクリプション（Broadcast Encryption）方式の一態様である階層型木構造を適用した情報配信構成において比較的に効率的な構成であるとされているＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式、およびＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＬＳＤ）方式に対して、以下において説明するＲａｂｉｎＴｒｅｅを用いて改良し、さらに効率化を図ることで、ＲＳＡ暗号方式を用いた既存の方式より、必要な計算量を削減し、また安全に管理すべきデータ量を削減した効率的でセキュアな情報配信を実現する情報処理方法、復号処理方法、および情報処理装置、並びにコンピュータ・プログラムを提供することを目的とする。

さらに、具体的には、本発明では、ＳＤ、ＬＳＤ方式に対し、Ｒａｂｉｎ暗号に基づくＲａｂｉｎＴｒｅｅを適用することにより、それぞれの方式において各受信機が安全に保持すべき鍵の数を減少させるとともに、ラベル算出などにおける各受信機の必要とかる計算量を著しく小さくすることを可能とした情報処理方法、復号処理方法、および情報処理装置、並びにコンピュータ・プログラムを提供することを目的とする。

本発明の第１の側面は、
階層木構成に基づくブロードキャストエンクリプション方式により特定選択機器のみの復号を可能とした暗号文の提供処理に適用する階層木を生成する情報処理方法であり、
階層木を構成する各ノードに対応するノード対応値ＮＶ_ａを、少なくとも１つの下位ノードに対応して設定されたノード対応値ＮＶ_ｂとノード付加変数ｓａｌｔ_ｂに基づく関数ｆの適用によって算出可能に設定したノード対応値を各ノードに設定した一方向木を生成する一方向木生成ステップと、
階層木を適用したＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルの値を演算処理により算出可能な値として設定した中間ラベル（ＩＬ）を、前記ノード対応値として設定する中間ラベル生成ステップと、
前記中間ラベルに基づく演算処理により、前記特別サブセット対応のラベルを生成し、さらに該生成ラベルに基づく演算により特別サブセット非対応のラベルを生成するラベル生成ステップと、
前記階層木の末端ノード対応の受信機に対する提供ラベルを決定するステップであり、
前記特別サブセットに対応しない特別サブセット非対応ラベルと、
前記一方向木の末端ノード対応の受信機に提供する情報として、受信機対応ノードから最上位ノードとしてのルートに至るパスに含まれるノードのノード対応値を算出するために必要となる最小限の中間ラベルとしてのノード対応値とノード付加変数を選択する提供情報決定ステップと、
を有することを特徴とする情報処理方法にある。

さらに、本発明の情報処理方法の一実施態様において、前記一方向木生成ステップは、下位ノードのノード対応値に基づくＲａｂｉｎ暗号を適用した暗号化処理（順方向演算）によって上位ノードのノード対応値が算出可能であり、上位ノードのノード対応値に基づくＲａｂｉｎ暗号を適用した復号処理（逆方向演算）によって下位ノードのノード対応値が算出可能な設定を有する一方向木を生成することを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記情報処理方法は、さらに、前記ラベル生成ステップにおいて生成したサブセット対応の各ラベルから導出されるサブセットキーを選択的に適用して暗号化処理を実行して暗号文を生成し、前記受信機に提供する暗号文生成ステップを有することを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記一方向木生成ステップは、末端ノード数Ｎの２分木構成を持つ階層木において、２分木において上位ノードから幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で付与したノード番号ｌ（エル）の設定された各ノードｌ（エル）のノード対応値ＮＶ_ｌ（ｌ＝２，３，・・・，２Ｎ−１）が、下式、

ただし、Ｍは２つの大きな素数の積、Ｈは、Ｚ_Ｍの要素を出力するマッピング関数である、
の関係を満たす一方向木を生成することを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記一方向木生成ステップは、末端ノード数Ｎの２分木構成を持つ階層木において、末端ノード数としての葉数：Ｎと、法Ｍのサイズ：｜Ｍ｜を入力とし、
ステップ１：サイズ｜Ｍ｜／２の２つの大きな素数を定め、その積Ｍを計算する、
ステップ２：Ｚ_Ｍの要素を出力するマッピング関数：Ｈを定める、
ステップ３：前記２分木の最上位ノードであるルートノードのノード対応値ＮＶ_１をＮＶ_１∈Ｚ^＊ _Ｍを満足する値としてランダムに選択する、
ステップ４：ｌ（エル）をカウンタとして２から２Ｎ−１ずつ増加させながら下記ａ，ｂの処理を行う、
ａ．下記式、

上記式において、Ｍを法とする平方剰余になるような最小の正整数ｓａｌｔ_ｌを見つける、
ｂ．ｔｍｐ_ｌ ^１／２ｍｏｄＭを求め、４つの解のうちのいずれかを、ノードｌ（エル）のノード対応値ＮＶ_ｌと定める、
ステップ５：
２Ｎ−１個の｜Ｍ｜ビットの数（ノード対応値）：ＮＶ_１，ＮＶ_２，・・・，ＮＶ_２Ｎ−１と、
２Ｎ−２個の数（ノード付加変数）：ｓａｌｔ_２，ｓａｌｔ_３，・・・，ｓａｌｔ_２Ｎ−１を出力し、これらを２分木の各ノードｌ（ｌ＝１〜２Ｎ−１）のノード対応値およびノード付加変数とする、
上記ステップによって一方向木を生成することを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記ラベル生成ステップは、中間ラベルに相当するノード対応値ＮＶを入力とし、関数Ｈｃを適用した演算処理により、特別サブセットに対応するラベルの値を算出するステップを含むことを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記ラベル生成ステップは、特別サブセットに対応するラベルの値に対する擬似乱数生成処理により、他のラベルを生成するステップを含むことを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記中間ラベル生成ステップにおいて選択する特別サブセットは、階層木において、ノードｉを頂点とする部分木からノードｉより下層のノードｊを頂点とする部分木を除く集合として定義されたサブセットＳ_ｉ，ｊ中、ノードｉおよびノードｊが階層木において直結された親子関係にある第１特別サブセットと、階層木のすべてのリーフを含むルートを頂点とする全体木の集合として定義されたサブセットＳ_１，φである第２特別サブセットと、の少なくともいずれかであることを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記提供ラベル決定ステップは、前記階層木の末端ノード対応の受信機に提供する１つの中間ラベルを前記第１特別サブセットを構成するサブセットＳ_ｉ，ｊ中、最下層のサブセットに対応する中間ラベルに対応するノード対応値とするステップであることを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記中間ラベル生成ステップは、階層木中に設定した１つの特別レベルによって分離したレイヤ別のサブセット管理構成を持つベーシックＬＳＤ（ＢａｓｉｃＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に従って設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルを、該特別サブセット対応の中間ラベル（ＩＬ）から算出可能な値として設定するステップであることを特徴とする。

さらに、本発明の情報処理方法の一実施態様において、前記中間ラベル生成ステップは、階層木中に設定した複数の特別レベルによって分離したレイヤ別のサブセット管理構成を持つ一般化ＬＳＤ（ＧｅｎｅｒａｌＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に従って設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルを、該特別サブセット対応の中間ラベル（ＩＬ）から算出可能な値として設定するステップであることを特徴とする。

さらに、本発明の第２の側面は、
階層木構成に基づくブロードキャストエンクリプション方式であるＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するサブセットキーによって暗号化された暗号文の復号処理を実行する復号処理方法であり、
前記暗号文から、自己の保持するラベル、または自己の保持する中間ラベルとしてのノード対応値ＮＶとノード付加変数ｓａｌｔに基づいて算出可能なラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーを適用して生成した暗号文を選択する暗号文選択ステップと、
暗号文の適用サブセットキーが、保持ラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーでない場合に、前記ノード対応値ＮＶとノード付加変数ｓａｌｔとに基づく演算処理を実行して特別サブセット対応のラベルを算出するラベル算出ステップと、
保持ラベルまたは算出ラベルに基づく擬似乱数生成処理によってサブセットキーを生成するステップと、
生成サブセットキーを適用して暗号文の復号処理を実行する復号ステップと、
を有することを特徴とする復号処理方法にある。

さらに、本発明の復号処理方法の一実施態様において、前記暗号文選択ステップは、階層木の最上位ノードとしてのルートを１とし、幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で各ノードにノード番号を付与した階層木において、暗号化に使われたノードキーのノード番号の中から、受信機からルートに至るパス上のノードに含まれるノード番号と一致するものを見つけるステップであることを特徴とする。

さらに、本発明の復号処理方法の一実施態様において、前記ラベル算出ステップは、２分木において上位ノードから幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で付与したノード番号ｌ（エル）の設定された各ノードｌ（エル）のノード対応値ＮＶ_ｌ（ｌ＝２，３，・・・，２Ｎ−１）中、自己ノードから最上位ノードであるルートに至るパス上のノード対応値を、自己の保持するノード対応値ＮＶとノード付加変数ｓａｌｔに基づいて、下式、

ただし、Ｍは２つの大きな素数の積、Ｈは、Ｚ_Ｍの要素を出力するマッピング関数である、
を適用して算出するステップを含むことを特徴とする。

さらに、本発明の復号処理方法の一実施態様において、前記ラベル算出ステップは、自己の保持するノード対応値としての中間ラベルまたは、該ノード対応値に基づいて算出した自己ノードから最上位ノードであるルートに至るパス上のノード対応値としての中間ラベルに基づいて、下記式、
ＬＡＢＥＬ＝Ｈｃ（ＩＬ）
ただし、ＬＡＢＥＬ：ラベル、ＩＬ：中間ラベル、Ｈｃ：マッピング関数、
に基づいて算出するステップを含むことを特徴とする。

さらに、本発明の復号処理方法の一実施態様において、前記ラベル算出ステップは、暗号文の適用サブセットキーが、階層木においてノードｉを頂点とする部分木からノードｉより下層のノードｊを頂点とする部分木を除く集合として定義されたサブセットＳ_ｉ，ｊ中、ノードｉおよびノードｊが階層木において直結された親子関係にある第１特別サブセット、または、階層木のすべてのリーフを含むルートを頂点とする全体木の集合として定義されたサブセットＳ_１，φである第２特別サブセット、のいずれかの特別サブセット対応のラベルに基づく擬似乱数生成処理により算出可能なサブセットキーであり、前記特別サブセット対応のラベルを保持していない場合に、自己の保持する中間ラベルとしてのノード対応値ＮＶとノード付加変数ｓａｌｔに基づく演算処理を実行し、新たな中間ラベルとしてのノード対応値の算出を実行するステップを含むことを特徴とする。

さらに、本発明の第３の側面は、
階層木構成に基づくブロードキャストエンクリプション方式により特定選択機器のみの復号を可能とした暗号文の提供処理に適用する階層木を生成する情報処理装置であり、
階層木を構成する各ノードに対応するノード対応値ＮＶ_ａを、少なくとも１つの下位ノードに対応して設定されたノード対応値ＮＶ_ｂとノード付加変数ｓａｌｔ_ｂに基づく関数ｆの適用によって算出可能に設定したノード対応値を各ノードに設定した一方向木を生成する一方向木生成手段と、
階層木を適用したＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルの値を演算処理により算出可能な値として設定した中間ラベル（ＩＬ）を、前記ノード対応値として設定する中間ラベル生成手段と、
前記中間ラベルに基づく演算処理により、前記特別サブセット対応のラベルを生成し、さらに該生成ラベルに基づく演算により特別サブセット非対応のラベルを生成するラベル生成手段と、
前記階層木の末端ノード対応の受信機に対する提供ラベルを決定するステップであり、
前記特別サブセットに対応しない特別サブセット非対応ラベルと、
前記一方向木の末端ノード対応の受信機に提供する情報として、受信機対応ノードから最上位ノードとしてのルートに至るパスに含まれるノードのノード対応値を算出するために必要となる最小限の中間ラベルとしてのノード対応値とノード付加変数を選択する提供情報決定手段と、
を有することを特徴とする情報処理装置にある。

さらに、本発明の情報処理装置の一実施態様において、前記一方向木生成手段は、下位ノードのノード対応値に基づくＲａｂｉｎ暗号を適用した暗号化処理（順方向演算）によって上位ノードのノード対応値が算出可能であり、上位ノードのノード対応値に基づくＲａｂｉｎ暗号を適用した復号処理（逆方向演算）によって下位ノードのノード対応値が算出可能な設定を有する一方向木を生成する構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記情報処理装置は、さらに、前記ラベル生成手段において生成したサブセット対応の各ラベルから導出されるサブセットキーを選択的に適用して暗号化処理を実行して暗号文を生成し、前記受信機に提供する暗号文生成手段を有することを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記一方向木生成手段は、末端ノード数Ｎの２分木構成を持つ階層木において、２分木において上位ノードから幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で付与したノード番号ｌ（エル）の設定された各ノードｌ（エル）のノード対応値ＮＶ_ｌ（ｌ＝２，３，・・・，２Ｎ−１）が、下式、

ただし、Ｍは２つの大きな素数の積、Ｈは、Ｚ_Ｍの要素を出力するマッピング関数である、
の関係を満たす一方向木を生成する構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記一方向木生成手段は、末端ノード数Ｎの２分木構成を持つ階層木において、末端ノード数としての葉数：Ｎと、法Ｍのサイズ：｜Ｍ｜を入力とし、
ステップ１：サイズ｜Ｍ｜／２の２つの大きな素数を定め、その積Ｍを計算する、
ステップ２：Ｚ_Ｍの要素を出力するマッピング関数：Ｈを定める、
ステップ３：前記２分木の最上位ノードであるルートノードのノード対応値ＮＶ_１をＮＶ_１∈Ｚ^＊ _Ｍを満足する値としてランダムに選択する、
ステップ４：ｌ（エル）をカウンタとして２から２Ｎ−１ずつ増加させながら下記ａ，ｂの処理を行う、
ａ．下記式、

上記式において、Ｍを法とする平方剰余になるような最小の正整数ｓａｌｔ_ｌを見つける、
ｂ．ｔｍｐ_ｌ ^１／２ｍｏｄＭを求め、４つの解のうちのいずれかを、ノードｌ（エル）のノード対応値ＮＶ_ｌと定める、
ステップ５：
２Ｎ−１個の｜Ｍ｜ビットの数（ノード対応値）：ＮＶ_１，ＮＶ_２，・・・，ＮＶ_２Ｎ−１と、
２Ｎ−２個の数（ノード付加変数）：ｓａｌｔ_２，ｓａｌｔ_３，・・・，ｓａｌｔ_２Ｎ−１を出力し、これらを２分木の各ノードｌ（ｌ＝１〜２Ｎ−１）のノード対応値およびノード付加変数とする、
上記ステップによって一方向木を生成する構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記ラベル生成手段は、中間ラベルに相当するノード対応値ＮＶを入力とし、関数Ｈｃを適用した演算処理により、特別サブセットに対応するラベルの値を算出する構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記ラベル生成手段は、特別サブセットに対応するラベルの値に対する擬似乱数生成処理により、他のラベルを生成する構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記中間ラベル生成手段において選択する特別サブセットは、階層木において、ノードｉを頂点とする部分木からノードｉより下層のノードｊを頂点とする部分木を除く集合として定義されたサブセットＳ_ｉ，ｊ中、ノードｉおよびノードｊが階層木において直結された親子関係にある第１特別サブセットと、階層木のすべてのリーフを含むルートを頂点とする全体木の集合として定義されたサブセットＳ_１，φである第２特別サブセットとの少なくともいずれかであることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記提供ラベル決定手段は、前記階層木の末端ノード対応の受信機に提供する１つの中間ラベルを、前記第１特別サブセットを構成するサブセットＳ_ｉ，ｊ中、最下層のサブセットに対応する中間ラベルに対応するノード対応値とする構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記中間ラベル生成手段は、階層木中に設定した１つの特別レベルによって分離したレイヤ別のサブセット管理構成を持つベーシックＬＳＤ（ＢａｓｉｃＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に従って設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルを、該特別サブセット対応の中間ラベル（ＩＬ）から算出可能な値として設定する構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記中間ラベル生成手段は、階層木中に設定した複数の特別レベルによって分離したレイヤ別のサブセット管理構成を持つ一般化ＬＳＤ（ＧｅｎｅｒａｌＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に従って設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルを、該特別サブセット対応の中間ラベル（ＩＬ）から算出可能な値として設定する構成であることを特徴とする。

さらに、本発明の第４の側面は、
階層木構成に基づくブロードキャストエンクリプション方式であるＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するサブセットキーによって暗号化された暗号文の復号処理を実行する情報処理装置であり、
前記暗号文から、自己の保持するラベル、または自己の保持する中間ラベルとしてのノード対応値ＮＶとノード付加変数ｓａｌｔに基づいて算出可能なラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーを適用して生成した暗号文を選択する暗号文選択手段と、
暗号文の適用サブセットキーが、保持ラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーでない場合に、前記ノード対応値ＮＶとノード付加変数ｓａｌｔとに基づく演算処理を実行して特別サブセット対応のラベルを算出するラベル算出手段と、
保持ラベルまたは算出ラベルに基づく擬似乱数生成処理によってサブセットキーを生成するサブセットキー生成手段と、
生成サブセットキーを適用して暗号文の復号処理を実行する復号手段と、
を有することを特徴とする情報処理装置にある。

さらに、本発明の情報処理装置の一実施態様において、前記暗号文選択手段は、階層木の最上位ノードとしてのルートを１とし、幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で各ノードにノード番号を付与した階層木において、暗号化に使われたノードキーのノード番号の中から、受信機からルートに至るパス上のノードに含まれるノード番号と一致するものを見つける構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記ラベル算出手段は、２分木において上位ノードから幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で付与したノード番号ｌ（エル）の設定された各ノードｌ（エル）のノード対応値ＮＶ_ｌ（ｌ＝２，３，・・・，２Ｎ−１）中、自己ノードから最上位ノードであるルートに至るパス上のノード対応値を、自己の保持するノード対応値ＮＶとノード付加変数ｓａｌｔに基づいて、下式、

ただし、Ｍは２つの大きな素数の積、Ｈは、Ｚ_Ｍの要素を出力するマッピング関数である、
を適用して算出する構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記ラベル算出手段は、自己の保持するノード対応値としての中間ラベルまたは、該ノード対応値に基づいて算出した自己ノードから最上位ノードであるルートに至るパス上のノード対応値としての中間ラベルに基づいて、下記式、
ＬＡＢＥＬ＝Ｈｃ（ＩＬ）
ただし、ＬＡＢＥＬ：ラベル、ＩＬ：中間ラベル、Ｈｃ：マッピング関数、
に基づいて算出する構成であることを特徴とする。

さらに、本発明の情報処理装置の一実施態様において、前記ラベル算出手段は、暗号文の適用サブセットキーが、階層木においてノードｉを頂点とする部分木からノードｉより下層のノードｊを頂点とする部分木を除く集合として定義されたサブセットＳ_ｉ，ｊ中、ノードｉおよびノードｊが階層木において直結された親子関係にある第１特別サブセット、または、階層木のすべてのリーフを含むルートを頂点とする全体木の集合として定義されたサブセットＳ_１，φである第２特別サブセット、のいずれかの特別サブセット対応のラベルに基づく擬似乱数生成処理により算出可能なサブセットキーであり、前記特別サブセット対応のラベルを保持していない場合に、自己の保持する中間ラベルとしてのノード対応値ＮＶとノード付加変数ｓａｌｔに基づく演算処理を実行し、新たな中間ラベルとしてのノード対応値の算出を実行する構成であることを特徴とする。

さらに、本発明の第５の側面は、
階層木構成に基づくブロードキャストエンクリプション方式により特定選択機器のみの復号を可能とした暗号文の提供処理に適用する階層木を生成する処理を実行するコンピュータ・プログラムであり、
階層木を構成する各ノードに対応するノード対応値ＮＶ_ａを、少なくとも１つの下位ノードに対応して設定されたノード対応値ＮＶ_ｂとノード付加変数ｓａｌｔ_ｂに基づく関数ｆの適用によって算出可能に設定したノード対応値を各ノードに設定した一方向木を生成する一方向木生成ステップと、
階層木を適用したＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルの値を演算処理により算出可能な値として設定した中間ラベル（ＩＬ）を、前記ノード対応値として設定する中間ラベル生成ステップと、
前記中間ラベルに基づく演算処理により、前記特別サブセット対応のラベルを生成し、さらに該生成ラベルに基づく演算により特別サブセット非対応のラベルを生成するラベル生成ステップと、
前記階層木の末端ノード対応の受信機に対する提供ラベルを決定するステップであり、
前記特別サブセットに対応しない特別サブセット非対応ラベルと、
前記一方向木の末端ノード対応の受信機に提供する情報として、受信機対応ノードから最上位ノードとしてのルートに至るパスに含まれるノードのノード対応値を算出するために必要となる最小限の中間ラベルとしてのノード対応値とノード付加変数を選択する提供情報決定ステップと、
を有することを特徴とするコンピュータ・プログラムにある。

さらに、本発明の第６の側面は、
階層木構成に基づくブロードキャストエンクリプション方式であるＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するサブセットキーによって暗号化された暗号文の復号処理を実行するコンピュータ・プログラムであり、
前記暗号文から、自己の保持するラベル、または自己の保持する中間ラベルとしてのノード対応値ＮＶとノード付加変数ｓａｌｔに基づいて算出可能なラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーを適用して生成した暗号文を選択する暗号文選択ステップと、
暗号文の適用サブセットキーが、保持ラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーでない場合に、前記ノード対応値ＮＶとノード付加変数ｓａｌｔとに基づく演算処理を実行して特別サブセット対応のラベルを算出するラベル算出ステップと、
保持ラベルまたは算出ラベルに基づく擬似乱数生成処理によってサブセットキーを生成するステップと、
生成サブセットキーを適用して暗号文の復号処理を実行する復号ステップと、
を有することを特徴とするコンピュータ・プログラムにある。

なお、本発明のコンピュータ・プログラムは、例えば、様々なプログラム・コードを実行可能なコンピュータ・システムに対して、コンピュータ可読な形式で提供する記憶媒体、通信媒体、例えば、ＣＤやＦＤ、ＭＯなどの記録媒体、あるいは、ネットワークなどの通信媒体によって提供可能なコンピュータ・プログラムである。このようなプログラムをコンピュータ可読な形式で提供することにより、コンピュータ・システム上でプログラムに応じた処理が実現される。

本発明のさらに他の目的、特徴や利点は、後述する本発明の実施例や添付する図面に基づくより詳細な説明によって明らかになるであろう。なお、本明細書においてシステムとは、複数の装置の論理的集合構成であり、各構成の装置が同一筐体内にあるものには限らない。

本発明の構成によれば、ブロードキャストエンクリプション（Broadcast Encryption）方式の一態様である階層型木構造を適用した情報配信構成において比較的に効率的な構成であるとされているＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式、およびＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＬＳＤ）方式において、階層木を構成する各ノードに対応してノード対応値を設定した一方向木として以下の構成を持つＲａｂｉｎＴｒｅｅを適用し、受信機において安全に保持することが要求される情報量を削減し、さらにサブセットキー算出に要する計算量を削減した。

すなわち、本発明においては、ノード対応値ＮＶ_ａを、少なくとも１つの下位ノードに対応して設定されたノード対応値ＮＶ_ｂとノード付加変数ｓａｌｔ_ｂに基づく関数ｆの適用によって算出可能に設定し、このノード対応値をＳＤ方式に基づいて設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルの値を演算処理により算出可能な値として設定した中間ラベル（ＩＬ）とした。受信機が安全に保持することが必要となる情報は、中間ラベルからの算出がてきる特別サブセットに対応しない特別サブセット非対応ラベルと、中間ラベルに相当する１つのノード対応値ＮＶとノード付加変数ｓａｌｔのみとなり、各受信機が安全に保持しなければならない情報量を削減することができる。なお、ノード付加変数ｓａｌｔは安全に保持する必要がなく、ノード付加変数ｓａｌｔは平均２ビットという小さなサイズとすることが可能であるので、受信機において安全に保持することが要求される情報量が大幅に削減可能となる。さらに、ＲＳＡ暗号を利用した方式と比較した場合、本発明の方式では、受信機に必要とされる計算量として大きな負荷であるべき乗剰余演算が自乗算１回で行える構成であり、ＲＳＡ暗号を利用した方式と比較すると約１／１７と非常に小さくすることができる。このように、本発明の構成を適用することにより、受信機において安全に保持することが要求される情報量が削減され、また、受信機においてサブセットキー算出のために必要とされる計算量を削減することが可能となり、効率的な暗号文、配信、復号処理構成が実現される。

以下、図面を参照しながら本発明の情報処理方法、復号処理方法、および情報処理装置、並びにコンピュータ・プログラムの詳細について説明する。

なお、説明は、以下の項目に従って行なう。
１．ＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ（ＣＳ）方式の概要
２．ＲａｂｉｎＴｒｅｅを適用したＣＳ方式の構成
３．ＣＳ方式にＲａｂｉｎＴｒｅｅを適用した暗号文配信、復号処理
４．ＲａｂｉｎＴｒｅｅを適用したＣＳ方式の暗号文配信構成における計算量の削減についての考察
５．ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式の概要
６．ＳＤ方式のラベル数削減構成
７．ＲａｂｉｎＴｒｅｅを用いたＳＤ方式のラベル数削減構成
８．ＳＤ方式にＲａｂｉｎＴｒｅｅを適用した暗号文配信、復号処理
９．ＢａｓｉｃＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ベーシックＬＳＤ）方式の概要
１０．ＲａｂｉｎＴｒｅｅを用いたベーシックＬＳＤ方式のラベル数削減構成
１１．ＧｅｎｅｒａｌＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（一般化ＬＳＤ）方式の概要
１２．ＲａｂｉｎＴｒｅｅを用いた一般化ＬＳＤ方式のラベル数削減構成
１３．ＲａｂｉｎＴｒｅｅを適用したＳＤ方式の暗号文配信構成における計算量の削減についての考察

［１．ＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ（ＣＳ）方式の概要］
まず既存の階層型木構造を適用したブロードキャストエンクリプション（Broadcast Encryption）方式として知られているＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ（ＣＳ）方式の概要について説明する。

なお、以下の説明においては、簡単のために、階層型木構造のリーフに対応して設定される情報処理装置（受信機）の総数Ｎは２のべき乗の数であるとする。また、以下の説明において、関数ｌｏｇの底はすべて２である。なお、階層型木構造のリーフに対応する機器は、以下に説明する秘密情報の復号処理を実行可能であれば、様々な機器、例えばＰＣ、携帯端末など、様々な情報処理装置の設定が可能である。ここでは、これらを総称して受信機として説明する。また、本発明における暗号文配信処理とは、通信ネットワークを介した通信による提供処理のみならず、記録媒体に格納した暗号文の提供処理も含むものである。

（１．１）ＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ（ＣＳ）方式の概要
図３以下を参照して、ＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ（ＣＳ）方式の概要について説明する。

前述の非特許文献１［ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｇｒａｐｈｙ−Ｃｒｙｐｔｏ２００１，ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ２１３９，Ｓｐｒｉｎｇｅｒ，２００１ｐｐ．４１−６２「Ｄ．Ｎａｏｒ，Ｍ．ＮａｏｒａｎｄＪ．Ｌｏｔｓｐｉｅｃｈ著"ＲｅｖｏｃａｔｉｏｎａｎｄＴｒａｃｉｎｇＳｃｈｅｍｅｓｆｏｒＳｔａｔｅｌｅｓｓＲｅｃｅｉｖｅｒｓ"」］に記載されたＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ（ＣＳ）方式では、図３に示すように、階層型木構造として各ノードが２つに分岐する形を持つ２分木を用いる。図３は、受信機数Ｎ＝１６の例である。この２分木の各リーフ（葉）に各受信機を割り当てる（図３におけるｕ１〜ｕ１６）。また、木の各ノード（節）を用いて、「そのノードを頂点とする部分木のリーフ（葉）に割り当てられた受信機からなる集合」を表す。図３におけるノードｉ２０１は、受信機ｕ５とｕ６からなる集合を表す。

そして、図３に示す２分木の各構成ノードに鍵（ノードキー）が定義される。各受信機には、各受信機が割り当てられているリーフ（葉）から木のルート（頂点）に至るパス上のノードに割り当てられたノードキーが与えられ、受信機はこれらのノードキーを安全なメモリに保持する。木の定義やノードキーの定義、受信機の割り当てやノードキーの配布などは、ＴｒｕｓｔｅｄＣｅｎｔｅｒ（ＴＣ）と呼ばれる信頼される管理センタが行なう。

図４に示すように、階層木には１６台の受信機ｕ１〜ｕ１６が割り当てられ、ノードは１〜３１の３１個、存在する。受信機ｕ４には、ノード１，２，４，９，１９に割り当てられた５個のノードキーが与えられる。すなわち、全受信機数をＮとした場合には、各受信機はｌｏｇＮ＋１個のノードキーを保持することになる。

図５を用いて、このセッティングを用いて秘密情報（たとえば、暗号化されたコンテンツを復号するためのコンテンツキー）をどのようにリボークされない受信機に送信するかについて説明する。ここでは、管理センタ（ＴＣ）が秘密情報の送信者になるとする。いま、受信機ｕ２，ｕ１１，ｕ１２がリボークされる受信機とする。すなわち、受信機ｕ２，ｕ１１，ｕ１２を不正な機器として排除（リボーク）し、それ以外の受信機においてのみ安全に情報を受領、すなわち同報配信される暗号文に基づく復号を行なうことを可能とする。

管理センタ（ＴＣ）が秘密情報の送信を行なう場合、リボーク受信機ｕ２，ｕ１１，ｕ１２が割り当てられているリーフ（葉）から木のルートに至るパス上のノードに割り当てられたノードキーを暗号鍵として使用せず、暗号文のセットを生成して同報送信する。

リボーク受信機ｕ２，ｕ１１，ｕ１２が割り当てられているリーフ（葉）から木のルートに至るパス上のリーフまたはノードに割り当てられたノードキーを使用すると、これらは、リボークすべき受信機が持つキーであるため、リボーク機器において秘密情報を入手できてしまう。従って、これらのキーを用いずに暗号文のセットを生成して同報送信する。

リボーク受信機ｕ２，ｕ１１，ｕ１２が割り当てられているリーフ（葉）から木のルートに至るパス上のノードおよびパスを木から除外すると、１つ以上の部分木が残る。例えば、ノード５を頂点とする部分木、あるいはノード１２を頂点とする部分木などである。

秘密情報の送信者は、それぞれの部分木の頂点に最も近いノード、すなわち、図５に示す例では、ノード５，７，９，１２，１６に割り当てられたノードキーを用いて秘密情報を暗号化した暗号文のセットを送信する。例えば送信秘密情報を暗号化コンテンツの復号に適用するコンテンツキーＫｃであるとし、ノード５，７，９，１２，１６に割り当てられたノードキーをＮＫ５，ＮＫ７，ＮＫ９，ＮＫ１２，ＮＫ１６とすると、秘密情報の送信者は、
Ｅ（ＮＫ５，Ｋｃ），Ｅ（ＮＫ７，Ｋｃ），Ｅ（ＮＫ９，Ｋｃ），Ｅ（ＮＫ１２，Ｋｃ），Ｅ（ＮＫ１６，Ｋｃ）
の暗号文セットを生成して、ネットワーク配信あるいは記録媒体に格納して提供する。なお、Ｅ（Ａ，Ｂ）はデータＢを鍵Ａで暗号化したデータを意味する。

上記暗号文セットは、リボーク受信機ｕ２，ｕ１１，ｕ１２のみが復号することができず、その他の受信機では復号可能である。このような暗号文セットを生成し送信することで、効率的で安全な秘密情報の伝送が行える。

受信機は、伝送された暗号文のうち、自分が復号できるもの、すなわち、自身が割り当てられたリーフ（葉）からルートに至るまでのパス上のノードに対応するノードキーを用いて暗号化されたものを復号して秘密情報を得ることができる。上記の例では、受信機ｕ４はノード９のノードキーを保持しているので、これを用いて暗号化された暗号文Ｅ（ＮＫ９，Ｋｃ）を復号することができる。このように、リボークされていない受信機が復号できる暗号文は受信した暗号文セット中に必ずひとつ存在する。

（１．２）ＣＳ方式における鍵数の削減
上述したＣＳ方式を観察すると、以下のことがわかる。すなわち、ＣＳ方式において、あるノードを頂点とする部分木の葉（リーフ）は、そのノードの先祖ノードを頂点とする部分木の葉でもある。

例えば、図６に示すように、ノードｊ２３２を頂点とする部分木Ｐ２３５の葉（リーフ）としてのｕ５，ｕ６は、そのノードｊ２３２の先祖ノード、例えばノードｉを頂点とする部分木Ａ２３０の葉でもある。

このため、あるノードのノードキーを保持している受信機は、その先祖ノードのノードキーも保持する。たとえば図６に示すように、ノードｉ２３１がノードｊ２３２の先祖であるとき、ノードｊ２３２のノードキーを持つ受信機（ｕ５，ｕ６）は必ずノードｉ２３１のノードキーも持つ。ただし、この逆は必ずしも成り立たない。

このような特性を有しているため、例えば、木の各ノードに設定するノードキーからその先祖のノードのノードキーを計算で導出できるように各ノードキーを設定すれば、独立に複数のノードキーを持つよりも鍵数、すなわち受信機のメモリを削減することが可能となる。

ただし、上位のノードのノードキーからその子孫ノードのノードキーを導出できないようにする必要がある。これは、例えば図６において、ノードｉ２３１がノードｊ２３２の先祖であるとき、ノードｊ２３２のノードキーを持つ受信機（ｕ５，ｕ６）は必ずノードｉ２３１のノードキーも持つが、一方、ノードｉ２３１のノードキーを持つ受信機（ｕ１〜ｕ８）が必ずノードｊ２３２のノードキーも持つとは限らないからである。図６の構成において、受信機：ｕ１〜ｕ８中、ノードｊ２３２のノードキーを持つことが許容されている受信機はｕ５，ｕ６のみであり、他の受信機ｕ１〜ｕ４，ｕ７〜ｕ８は、ノードｊ２３２のノードキーを持つことが許容されていないノードであり、これらの受信機において、ノードｉ２３１のノードキーからノードｊ２３２のノードキーを導出できるようにすることは許容できないからである。

このため本発明では、ｘからｙを計算するのは簡単だが、その逆計算は困難であるような関数、すなわち一方向性関数：ｙ＝Ｆ（ｘ）を用いて各ノードのノードキーを設定した木構造を構成する。

（１．３）ＲＳＡ暗号を用いた鍵数の削減
前述の非特許文献２「２００４年暗号と情報セキュリティシンポジウム予稿集、ｐｐ．１８９−１９４」、非特許文献３「２００４年暗号と情報セキュリティシンポジウム予稿集、ｐｐ．１９５−１９９」において、野島らおよび尾形らが提案した、ＲＳＡ暗号を用いた方式を説明する。この方式では、図７に示すように、ＲＳＡ暗号の順方向置換（ｆ）と逆方向置換（ｆ^−１）を用いる。ＲＳＡ暗号の法をＭ、公開指数をｅ、秘密指数をｄとすると、法：Ｍと、公開指数：ｅとを知っていれば行えるのが順方向置換（ｆ）、秘密指数：ｄを知らないと実行困難であるのが逆方向置換（ｆ^−１）である。

ＲＳＡ暗号についての詳細は、たとえば、Ａ．Ｊ．Ｍｅｎｅｚｅｓ，Ｐ．Ｃ．ｖａｎＯｏｒｓｃｈｏｔａｎｄＳ．Ａ．Ｖａｎｓｔｏｎｅ著，"ＨａｎｄｂｏｏｋｏｆＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙ，"ＣＲＣＰｒｅｓｓ，１９９６に紹介されている。

ＲＳＡ暗号を用いた方式では、管理センタのみが秘密指数：ｄを秘密に保持し、法：Ｍと、公開指数：ｅとは各受信機に公開する。管理センタは、
秘密の値：Ｋ∈Ｚ^＊ _Ｍ
を定め、これをルートの鍵ＮＫ_１とする。すなわち、
ＮＫ_１＝Ｋとする。なお、Ｋ∈Ｚ^＊ _Ｍは、Ｋが、群Ｚ^＊ _Ｍ（すなわち，群Ｚ_Ｍ＝｛０，１，...，Ｍ−１｝の要素中，逆元を持つものからなる群）の元であることを意味する。

ルート以外のノードｌ（エル）の鍵は、その親ノードの鍵、

と、そのノードの番号ｌから、下式、

に従って算出する。
上記式において、Ｈは任意のサイズの入力をＺ_Ｍの要素にマッピングする公開関数である。

このように、親ノードの鍵から子ノードの鍵を求めることは、秘密指数：ｄを知る管理センタのみが行えるが、逆に子ノードの鍵ＮＫ_ｌを知っている受信機は、公開されている法：Ｍと、公開指数：ｅと公開関数：Ｈとを用いて、下式、

により親ノードの鍵（ノードキー）、

を導出することができる。

［２．ＲａｂｉｎＴｒｅｅを適用したＣＳ方式の構成］
（２．１）ＲａｂｉｎＴｒｅｅの構成方法例
本発明では、一方向木として設定されるＲａｂｉｎＴｒｅｅを用いる。なお、「ＲａｂｉｎＴｒｅｅ」とは、一般的な用語ではなく本発明の説明のために用いる言葉である。Ｎ個の葉を持つ完全２分木に対し、ルートを１、それ以降のノードを上位、左から２，３，...，２Ｎ−１と幅優先で番号付けし、下記の手順に従って、ＲａｂｉｎＴｒｅｅを構成する。

ＲＳＡ暗号と同様、２つの大きな素数の積Ｍを管理センタが定め、公開する。管理センタは、
秘密の値：Ｙ∈Ｚ^＊ _Ｍ
を定め、これを頂点（ノード１）に対応する値ＮＶ_１とする。なお、Ｙ∈Ｚ^＊ _Ｍは、Ｙが、群Ｚ^＊ _Ｍの元であることを意味する。

頂点以外のノードｌ（エル）（ｌ＝２，３，・・・，２Ｎ−１）に対応する値ＮＶ_ｌは、そのノードの番号ｌと親ノードに対応するノード対応値、

を用いてを求める。

まず、下式によって、ｔｍｐ_ｌを定義する。

上記式によって定義される値ｔｍｐ_ｌが、前述した２つの大きな素数の積Ｍを法とする平方剰余になるような最小の正整数ｓａｌｔ_ｌを見つける。ｓａｌｔ_ｌは、ノードｌ（エル）に対応して設定されるノード付加変数である。

なお、上記式において、ｌ‖ｓａｌｔ_ｌは、ｌとｓａｌｔ_ｌとの連結を表し、Ｈは、任意のサイズの入力を前述した２つの大きな素数の積Ｍにより定まる群Ｚ_Ｍにマッピングする公開関数である。このような関数の例として、任意の長さの入力に対し１６０ビットの出力を出す縮約関数としてのＳＨＡ−１ハッシュ関数を用いて、｜Ｍ｜−１６０ビットの０と、ＳＨＡ−１にｌ‖ｓａｌｔ_ｌを入力したときの出力をビット連結した｜Ｍ｜ビットの値をＨ（ｌ‖ｓａｌｔ_ｌ）として用いることが挙げられる。なお、縮約関数としてのＳＨＡ−１については、例えば、Ａ．Ｊ．Ｍｅｎｅｚｅｓ，Ｐ．Ｃ．ｖａｎＯｏｒｓｃｈｏｔａｎｄＳ．Ａ．Ｖａｎｓｔｏｎｅ著，"ＨａｎｄｂｏｏｋｏｆＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙ，"ＣＲＣＰｒｅｓｓ，１９９６に紹介されている。

ここで、ある数ＫがＭを法とする平方剰余であるということは、下式、
ａ^２≡Ｋ（ｍｏｄＭ）
が成立する数ａが存在することをいい、これを、
Ｋ∈ＱＲ_Ｍ
として表す。ある数ＫがＫ∈ＱＲ_Ｍを満たすかどうかは、Ｍの素因数ｐ，ｑを知っていれば、下式、

上記両式を満たすかどうかにより判別できる。なお、上記式において、（ａ／ｐ）はルジャンドル（Ｌｅｇｅｎｄｒｅ）記号である。
すなわち、上記両式を満たした場合、またその場合のみ、ＫがＫ∈ＱＲ_Ｍを満たす。

さらに、Ｍの素因数ｐ，ｑを知っているものは、
ａ^２≡Ｋ（ｍｏｄＭ）
なる数ａを求めることもできる。その方法は、たとえば、岡本龍明、山本博資著、「現代暗号」、産業図書の１１４ページに記されている。
Ｋ∈ＱＲ_Ｍであるとき、
ａ^２≡Ｋ（ｍｏｄＭ）
なる数ａは４つある。

逆に、
Ｋ∈ＱＲ_Ｍであるとき、
ａ^２≡Ｋ（ｍｏｄＭ）
なる数ａを求めることは、Ｍの素因数ｐ，ｑを知らないものには困難となる。実際、これはＭを素因数分解することと等価であることが証明されている。

上記のようにして、
ｔｍｐ_ｌ∈ＱＲ_Ｍ
となる最小の正整数ｓａｌｔ_ｌを見つけたら、
ｔｍｐ_ｌ ^１／２ｍｏｄＭ
を計算し、この解として得られる４つの数のうちのいずれかを、ノードｌ（エル）に対応する値、すなわち、ノードｌ（エル）のノード対応値ＮＶ_ｌとする。

このようにして、ルートの値ＮＶ_１から、その子ノード２，３のノード対応値ＮＶ_２，ＮＶ_３を定め、これを繰り返してＮＶ_２Ｎ−１まですべてのノードの値（ノード対応値）を決定する。

このようにして定められた各ノードｌ（エル）のノード対応値ＮＶ_ｌ（ｌ＝２，３，・・・，２Ｎ−１）は、下式、

・・・（数式１）
の関係を満たす。すなわち、あるノードの値であるノード対応値ＮＶ_ｌとノード付加変数ｓａｌｔ_ｌからその親ノードのノード対応値、

を求めることは、関数：Ｈおよび、法：Ｍが公開されているため容易である。

葉がＮ個である２分木のＲａｂｉｎＴｒｅｅを構成するアルゴリズムの例を下記に示す。このアルゴリズムの入力は、
［入力］
２分木を構成する葉（リーフ）の数：Ｎと、
法Ｍのサイズ：｜Ｍ｜
であり、このアルゴリズムの出力は、
［出力］
Ｍと，
Ｚ_Ｍの要素を出力するマッピング関数：Ｈと、
２Ｎ−１個の｜Ｍ｜ビットの数（ノード対応値）：ＮＶ_１，ＮＶ_２，・・・，ＮＶ_２Ｎ−１と、
２Ｎ−２個の数（ノード付加変数）：ｓａｌｔ_２，ｓａｌｔ_３，・・・，ｓａｌｔ_２Ｎ−１である。

上記の［入力］に基づいて、上記の［出力］を得るアルゴリズムは以下のようになる。
１．サイズ｜Ｍ｜／２の２つの大きな素数を定め、その積Ｍを計算する。
２．任意のサイズの入力をZ_Mの要素にマッピングする関数Ｈを決定する。
３．ルートノードのノード対応値としての値ＮＶ_１∈Ｚ^＊ _Ｍをランダムに選択する。
４．ｌ（エル）をカウンタとして２から２Ｎ−１ずつ増加させながら下記ａ，ｂの処理を行う。
ａ．下記式、

・・・（数式２）
が、Ｍを法とする平方剰余になるような最小の正整数ｓａｌｔ_ｌを見つける。
ｂ．ｔｍｐ_ｌ ^１／２ｍｏｄＭを求め、４つの解のうちのいずれかを、ノードｌ（エル）のノード対応値ＮＶ_ｌと定める。
５．Ｍと、Ｈと、２Ｎ−１個の｜Ｍ｜ビットの数（ノード対応値）：ＮＶ_１，ＮＶ_２，・・・，ＮＶ_２Ｎ−１と、２Ｎ−２個の数（ノード付加変数）：ｓａｌｔ_２，ｓａｌｔ_３，・・・，ｓａｌｔ_２Ｎ−１
を出力して終了する。

出力値ＮＶ_ｌがＲａｂｉｎＴｒｅｅのノードｌ（エル）のノード対応値となる。なお、葉（リーフ）の数がＮの完全２分木のノード総数は２Ｎ−１であり、上記出力によって、すべてのノードのノード対応値が出力される。

図８に、上記アルゴリズムのフローを示す。フローの各ステップについて説明する。ステップＳ１０１において、２分木を構成する葉（リーフ）の数Ｎと、法Ｍのサイズ｜Ｍ｜を入力する。

ステップＳ１０２において、法Ｍとマッピング関数Ｈを定めた後に,ルートノードのノード対応値としての値ＮＶ_１∈Ｚ^＊ _Ｍをランダムに選択する。ステップＳ１０３において、値：ｌの初期設定として、ｌ＝２とする設定を行なう。

ステップＳ１０４において、上記した数式２において定義されるｔｍｐ_ｌがＭを法とする平方剰余になるような最小の正整数ｓａｌｔ_ｌを見つける。これをノード付加変数とする。
ステップＳ１０５において、ｔｍｐ_ｌ ^１／２ｍｏｄＭを求め、４つの解のうちのいずれかを、ノードｌ（エル）のノード対応値ＮＶ_ｌと定める。

ステップＳ１０６において、ｌ＝２Ｎ−１であるか否かを判定し、ｌ＝２Ｎ−１でない場合は、ステップＳ１０７に進み、ｌを１つインクリメントして、ステップＳ１０４，Ｓ１０５の処理を実行する。ステップＳ１０７において、ｌ＝２Ｎ−１と判定されるまで、ステップＳ１０４，Ｓ１０５を繰り返し実行して、ステップＳ１０７において、ｌ＝２Ｎ−１と判定されると、ステップＳ１０８において、法Ｍとマッピング関数Ｈと，２Ｎ−１個の｜Ｍ｜ビットの数（ノード対応値）：ＮＶ_１，ＮＶ_２，・・・，ＮＶ_２Ｎ−１と、２Ｎ−２個の数（ノード付加変数）：ｓａｌｔ_２，ｓａｌｔ_３，・・・，ｓａｌｔ_２Ｎ−１を出力して終了する。

上記処理によって各ノードのノード対応値ＮＶ_ｌを定めたＲａｂｉｎＴｒｅｅの構成を図９に示す。上記の処理によって定めたノード対応値ＮＶ_ｌにより構成された木は、あるノードのノード対応値ＮＶ_ｌおよびノード付加変数ｓａｌｔ_ｌからその親ノードのノード対応値、

を求めることは容易だが、その逆は困難なものとなる。

図９において、関数ｆに沿って示されている直線矢印は、下位ノードのノード対応値ＮＶ_ｌを入力として関数ｆを適用することで、上位ノードのノード対応値が求められることを示している。関数ｆは、順方向演算（ｍｏｄＭ上の２乗算）Ｆを用いた演算である。あるノード（子ノード）の親ノードのノード対応値は、子ノードのノード対応値ＮＶ_ｌおよびｓａｌｔ_ｌからその公開された関数：Ｈおよび、法：Ｍを適用して、前述の数式１に従って算出することができる。

図９において、関数ｆ^−１に沿って示されている直線矢印は、上位ノードのノード対応値を入力として関数ｆ^−１を摘用することで、下位ノードのノード対応値が求められることを示している。関数ｆ^−１は、逆方向演算（ｍｏｄＭ上の１／２乗算）Ｆ^−１を用いた演算である。上位ノードのノード対応値から子ノードのノード対応値を求めるには、秘密情報ｐ，ｑ（Ｍの素因数）を知ることが必要であり、管理センタのみが行える。

このようにノード対応値ＮＶは下位から上位の一方向については、公開された関数：Ｈおよび、法：Ｍを適用して、前述の数式１に従って算出することができるが、逆方向は困難である一方向木が生成される。このような設定を持つノード対応値ＮＶ_ｌにより構成された一方向木をＲａｂｉｎＴｒｅｅと呼ぶ。これはＲａｂｉｎ暗号が、暗号化（順方向演算）にｍｏｄＭ上の自乗算、復号（逆方向演算）にｍｏｄＭ上のルート（１／２乗）演算を用いているためである。

すなわち、一方向木としてのＲａｂｉｎＴｒｅｅのノードに設定されるノード対応値は以下のような設定を持つ。すなわち、下位ノードのノード対応値に基づくＲａｂｉｎ暗号を適用した暗号化処理（順方向演算）によって上位ノードのノード対応値が算出され、上位ノードのノード対応値に基づくＲａｂｉｎ暗号を適用した復号処理（逆方向演算）によって下位ノードのノード対応値が算出される構成である。本構成により、下位から上位のノード対応値の算出は公開された関数：Ｈおよび、法：Ｍを適用して、前述の数式１に従って算出することができるが、上位から下位のノード対応値の算出は公開された関数：Ｈおよび、法：Ｍのみでは算出が困難であり、秘密情報ｐ，ｑ（Ｍの素因数）を知る管理センタのみが算出できる。なお、Ｒａｂｉｎ暗号については、たとえば上述のＡ．Ｊ．Ｍｅｎｅｚｅｓ，Ｐ．Ｃ．ｖａｎＯｏｒｓｃｈｏｔａｎｄＳ．Ａ．Ｖａｎｓｔｏｎｅ著，"ＨａｎｄｂｏｏｋｏｆＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙ，"ＣＲＣＰｒｅｓｓ，１９９６のｐｐ．２９２−２９４に詳しい説明がある。ところで、（数式１）の加算「＋」と（数式２）の減算「−」は、排他的論理和演算「ＸＯＲ」で置き換えてもよい。

（２．２）ＲａｂｉｎＴｒｅｅを用いた鍵数の削減構成
上記のように構成したＲａｂｉｎＴｒｅｅにおいて、ＣＳ方式と同様に木の各ノードに対しノードキーＮＫ_ｌを定めるが、これは上記で定めたノード対応値ＮＶ_ｌを用いて算出可能な値とする。すなわち、ノードｌ（エル）のノードキーＮＫ_ｌは、
ＮＫ_ｌ＝Ｈｃ（ＮＶ_ｌ）
とする。なお、関数Ｈｃは、サイズ｜Ｍ｜の値を、サイズＣのランダムな値にマップするハッシュ関数である。たとえばＣが１６０ｂｉｔの場合、任意のサイズの入力に対し１６０ｂｉｔの値を出力する関数としては上記のＳＨＡ−１があり、また、Ｃが１２８ｂｉｔの場合、任意のサイズの入力に対し１２８ｂｉｔの値を出力する関数としては、ＭＤ５などが知られており、これらの関数を適用することができる。なお、ＭＤ５についても、上述のＡ．Ｊ．Ｍｅｎｅｚｅｓ，Ｐ．Ｃ．ｖａｎＯｏｒｓｃｈｏｔａｎｄＳ．Ａ．Ｖａｎｓｔｏｎｅ著，"ＨａｎｄｂｏｏｋｏｆＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙ，"ＣＲＣＰｒｅｓｓ，１９９６に詳しい説明がある。

ノードキーはセッションキーなど受信機に送信すべき情報の暗号化に用いられるため、このサイズＣの決め方は、そこに用いる暗号アルゴリズムの鍵のサイズとすればよい。たとえば暗号アルゴリズムとして１２８ｂｉｔ鍵のＡＥＳ（ＡｄｖａｎｃｅｄＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄＦＩＰＳ１９７）を用いる場合には、Ｃを１２８ｂｉｔとすればよい。また、暗号化関数に用いる鍵のサイズが｜Ｍ｜である場合, ＮＫ_ｌ＝ＮＶ_ｌとしてもよい。すなわち，Ｈｃとして無変換関数を用いてもよい。

また、このＲａｂｉｎＴｒｅｅのＮ個の葉を、それぞれ左からｌｅａｆ_１，ｌｅａｆ_２，・・・・，ｌｅａｆ_Ｎと番号づけ（つまり、左端のｌｅａｆ_１のノード番号はＮであるため、ｌｅａｆ_ｉのノード番号はＮ−１＋ｉとなる）、ｌｅａｆ_ｉに受信機ｕｉを割り当てる。受信機ｕｉには、ｌｅａｆ_ｉの葉（ノード）に対応する値ＮＶ_{Ｎ−１＋ｉ}と、ｌｅａｆ_ｉからルートへ至るパス上のノードのｌｏｇＮ個のノード付加変数ｓａｌｔ_ｌを与える。図１０に示したように受信機を割り当てた場合、葉であるノード１９に割り当てられた受信機ｕ４には、ノード１９のノード対応値ＮＶ_１９と、ノード１９からルートへのパス上のノードのノード付加変数であるｓａｌｔ_１９，ｓａｌｔ_９，ｓａｌｔ_４，ｓａｌｔ_２を与える。

このような設定とすることにより、受信機ｕ４は与えられたノード対応値：ＮＶ_１９と、ノード１９からルートへのパス上のノードのノード付加変数：ｓａｌｔ_１９，ｓａｌｔ_９，ｓａｌｔ_４，ｓａｌｔ_２を用いて、ノード１９からルートへのパス上の全てのノードの値、すなわちノード対応値ＮＶを求めることができる。またそれぞれのノードのノードキーＮＫ_ｌは、前述したように、ノード対応値ＮＶ_ｌから算出、すなわち、
ＮＫ_ｌ＝Ｈｃ（ＮＶ_ｌ）
によって算出することができる。

図１０に示す受信機割り当て構成において、葉であるノード１９に割り当てられた受信機ｕ４には、ノード１９のノード対応値ＮＶ_１９と、ノード１９からルートへのパス上のノードのノード付加変数であるｓａｌｔ_１９，ｓａｌｔ_９，ｓａｌｔ_４，ｓａｌｔ_２が与えられる。受信機ｕ４における上位ノード（ノード番号＝１，２，４，９）のノード対応値ＮＶの算出と、ノードキーＮＫの算出は、以下の処理手順で実行されることになる。

（ａ１）ノード１９のノード対応値ＮＶ_１９から上位ノード９のノード対応値ＮＶ_９の算出、
ＮＶ_９＝（（ＮＶ_１９）^２＋Ｈ（１９||ｓａｌｔ_１９））ｍｏｄＭ
（ａ２）ノード９のノード対応値ＮＶ_９から上位ノード４のノード対応値ＮＶ_４の算出、
ＮＶ_４＝（（ＮＶ_９）^２＋Ｈ（９||ｓａｌｔ_９））ｍｏｄＭ
（ａ３）ノード４のノード対応値ＮＶ_４から上位ノード２のノード対応値ＮＶ_２の算出、
ＮＶ_２＝（（ＮＶ_４）^２＋Ｈ（４||ｓａｌｔ_４））ｍｏｄＭ
（ａ４）ノード２のノード対応値ＮＶ_２から上位ノード１のノード対応値ＮＶ_１の算出、
ＮＶ_１＝（（ＮＶ_２）^２＋Ｈ（２||ｓａｌｔ_２））ｍｏｄＭ
上記式に基づく演算により、下位ノードのノード対応値から上位ノードのノード対応値を算出する。

さらに、各ノードのノード対応値からノードキーが以下の式によって算出できる。
（ｂ１）ノード１９のノード対応値ＮＶ_１９からノード１９のノードキーＮＫ_１９を算出、
ＮＫ_１９＝Ｈｃ（ＮＶ_１９）
（ｂ２）ノード９のノード対応値ＮＶ_９からノード９のノードキーＮＫ_９を算出、
ＮＫ_９＝Ｈｃ（ＮＶ_９）
（ｂ３）ノード４のノード対応値ＮＶ_４からノード４のノードキーＮＫ_４を算出、
ＮＫ_４＝Ｈｃ（ＮＶ_４）
（ｂ４）ノード２のノード対応値ＮＶ_２からノード２のノードキーＮＫ_２を算出、
ＮＫ_２＝Ｈｃ（ＮＶ_２）
（ｂ５）ノード１のノード対応値ＮＶ_１からノード１のノードキーＮＫ_１を算出、
ＮＫ_１＝Ｈｃ（ＮＶ_１）

ところで、受信機ｕ４は、ノード対応値ＮＶ_１９は秘密に保管しておく必要があるが、各ノード付加変数ｓａｌｔは秘密にしておく必要はない。このため，全受信機がすべてのｓａｌｔ_ｌを保持しておくような構成としてもよい.

ここで、各ノード付加変数ｓａｌｔのサイズを考える。ある数が法Ｍの下で平方剰余になる確率は約１／４であるため、ｓａｌｔ_ｌとして４つの値を試すと、ｔｍｐ_ｌが平方剰余となるようなものが平均１つはあると期待されるので、ノード付加変数ｓａｌｔ_ｌを表すのに必要なサイズは２ビットであると期待される。

一方、４つの値のいずれも平方剰余にならない場合もある。たとえばノード付加変数ｓａｌｔ_ｌとしてＬ個の値を試したとき、ｔｍｐ_ｌがいずれも平方剰余でない（平方非剰余である）確率は３^Ｌ／４^Ｌであるため、Ｌ＝４の場合には、３^４／４^４≒４２．２％の確率でいずれのｔｍｐ_ｌも平方剰余にならない。しかし、ノード付加変数ｓａｌｔ_ｌとして８ビットの値を考え、２５６個の数を試したとすれば、いずれのｔｍｐ_ｌも平方剰余にならない確率は３^２５６／４^２５６≒１．０×１０^−３２と非常に小さくなり、たとえ葉（リーフ）の数Ｎとして、２^３０≒１０^９や、２^４０≒１０^１２などの大きな数を考えたとしても、いずれかのノードにおいてｔｍｐ_ｌが平方剰余になるようなノード付加変数ｓａｌｔ_ｌが見つからない確率は無視できるほど小さいものとなる。

［３．ＣＳ方式にＲａｂｉｎＴｒｅｅを適用した暗号文配信、復号処理］
次に、上述した処理によって２分木の各ノードｌに対応するノード対応値ＮＶ_ｌを設定した木構造であるＲａｂｉｎＴｒｅｅを用いて、暗号文を配信する処理、および暗号文の復号処理について、説明する。なお、説明は、
（３−１）セットアップ処理
（３−２）情報配信処理
（３−３）情報受信および復号処理
の各処理毎に説明する。

（３−１）セットアップ処理
セットアップ処理は、システムの立ち上げ時に１度だけ行う。これ以降の情報配信および受信と復号の処理は、送信すべき情報が生じるたびに行なわれる。例えば、新しいコンテンツを格納したＤＶＤなどの情報記録媒体が配布される場合、あるいはネットワークを介して新しい情報が配信される場合など毎に実行される。なお、セットアップ処理は、実際に暗号文配信を実行するエンティテイとは独立した管理センタ（ＴＣ）によって実行してもよいし、また、暗号文配信を実行するエンティテイが実行してもよい。ここでは一例として、セットアップ処理を管理センタ（ＴＣ）が実行する例として説明する。

ａ．ステップ１
管理センタ（ＴＣ）は、２分木でありＮ個の葉を持つ木を定義する。木中の各ノードについてｋ（ｋ＝１，２，...，２Ｎ−１）と、ノード対応の番号を設定する。ただし２分木における最上位ノードであるルートを１とし、以降を幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で番号設定を行う。すなわち、図１０に示す１〜３１のようなノード対応番号の設定を行なう。この処理により２分木中の各ノードに１〜２Ｎ−１のノード番号が設定される。さらに、受信機ｕｍ（ｍ＝１，２，...，Ｎ）を木の各葉（リーフ）に割り当てる。

ｂ．ステップ２
管理センタ（ＴＣ）は、まず、法Ｍのサイズ｜Ｍ｜を定める。

次に、木構造の葉（リーフ）数Ｎ、法Ｍのサイズ｜Ｍ｜を入力として用い、図８のフローを参照して説明したアルゴリズムに従って、Ｎ個の葉を持つ２分木のＲａｂｉｎＴｒｅｅを作成する。まず、法Ｍと，任意サイズの値をランダムなＺ_Ｍの要素にマッピングするマッピング関数Ｈを定め，次にルートノードのノード対応値としての値ＮＶ_１∈Ｚ^＊ _Ｍをランダムに選択し、その後、ノード１からノード２Ｎ−１に対応するノード対応値、すなわち、２Ｎ−１個の｜Ｍ｜ビットの数（ノード対応値）：ＮＶ_１，ＮＶ_２，・・・，ＮＶ_２Ｎ−１と、ノード２からノード２Ｎ−１に対応する２Ｎ−２個の数（ノード付加変数）：ｓａｌｔ_２，ｓａｌｔ_３，・・・，ｓａｌｔ_２Ｎ−１を定める。ｓａｌｔは秘密ではないので、管理センタ（ＴＣ）がこれらの値を公開してもよい。また管理センタ（ＴＣ）は法Ｍとマッピング関数Ｈを公開する．また、サイズ｜Ｍ｜の値をサイズＣのランダムな値にマッピングする関数Ｈｃを定め、公開する。

上記処理によって各ノードのノード対応値ＮＶ_ｌを定めたＲａｂｉｎＴｒｅｅの構成が先に説明した図９の構成として設定される。上記の処理によって定めたノード対応値ＮＶ_ｌにより構成された木は、あるノードの値ＮＶ_ｌおよびｓａｌｔ_ｌからその親ノードのノード対応値を求めることは容易だが、その逆は困難なものとなる。

さらに、管理センタ（ＴＣ）は、木のノードｌ（エル）のノードキーＮＫ_ｌをノード対応値ＮＶ_ｌから算出、すなわち、
ＮＫ_ｌ＝Ｈｃ（ＮＶ_ｌ）
によって算出する。

ｃ．ステップ３
管理センタ（ＴＣ）は、木の末端ノードとしての葉（リーフ）に対応して設定される受信機ｕｍ（ｍ＝１，２，...，Ｎ）に対し、以下のルールに基づいてノードキーを与える。受信機は図１０に示すように木の葉（リーフ）、すなわちノード番号１６〜３１に割り当てられている。図１０に示す例では、受信機は、ノード番号１６〜３１に割り当てられたｕ１〜ｕ１６の１６個設定される。

なお、受信機ｕｍが割り当てられた葉からルートへのパスをパスｍ［ｐａｔｈ−ｍ］と表す。また、パスｍ［ｐａｔｈ−ｍ］上のノードの集合をパスノードｍ［ＰａｔｈＮｏｄｅｓ−ｍ］と表す。

図１０の例では、
ＰａｔｈＮｏｄｅｓ−１＝｛１，２，４，８，１６｝
ＰａｔｈＮｏｄｅｓ−４＝｛１，２，４，９，１９｝
ＰａｔｈＮｏｄｅｓ−１１＝｛１，３，６，１３，２６｝
となる。

図１０に示すノード１，２，４，８，１６を結ぶラインが、受信機ｕ１のパス１［ｐａｔｈ−１］であり、ＰａｔｈＮｏｄｅｓ−１＝｛１，２，４，８，１６｝によって構成される。受信機ｕ４のパス４［ｐａｔｈ−４］は、図１０に示すノード１，２，４，９，１９を結ぶラインであり、ＰａｔｈＮｏｄｅｓ−４＝｛１，２，４，９，１９｝によって構成される。

管理センタ（ＴＣ）は、各受信機ｕｍに対し、
（ａ）受信機ｕｍの割り当てられた葉ノード（リーフ）のノード対応値ＮＶ_ｌ
（ｂ）受信機ｕｍのパス上のルートを除くパスノード対応のｓａｌｔ値
を付与する。

図１０に示す構成において、葉であるノード１９に割り当てられた受信機ｕ４には、ノード１９のノード対応値ＮＶ_１９と、ノード１９からルートへのパス上のノードのノード付加変数であるｓａｌｔ_１９，ｓａｌｔ_９，ｓａｌｔ_４，ｓａｌｔ_２を与える。

すなわち、受信機ｕｉには、ｌｅａｆ_ｉの葉（ノード）に対応するノード対応値ＮＶ_{Ｎ−１＋ｉ}と、ｌｅａｆ_ｉからルートへ至るパス上のノードのｌｏｇＮ個のノード付加変数ｓａｌｔ_ｌを与える。

受信機は、ノード対応値を漏洩がないように、秘密に保管する。なお、ノード付加変数ｓａｌｔは公開値としてよい値であり、秘密に保持することは必要ではない。

上述したセットアップ処理のフローを図１１に示す。図１１のフローの各ステップについて説明する。

まず、ステップＳ２０１において、管理センタ（ＴＣ）は、Ｎ個の葉を持つ２分木を定義する。２分木における最上位ノードであるルートを１とし、以降を幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で番号設定を行う。すなわち、図９、１０に示すようなノード対応番号１〜３１の設定を行なう。さらに、受信機ｕｍ（ｍ＝１，２，...，Ｎ）を木の各葉（リーフ）に割り当てる。

次にステップＳ２０２において、管理センタ（ＴＣ）は、法Ｍのサイズ｜Ｍ｜を定める。さらに、木構造の葉（リーフ）数Ｎ、法Ｍのサイズ｜Ｍ｜を入力として用い、図８のフローを参照して説明したアルゴリズムに従って、法Ｍと任意サイズの値をランダムなＺ_Ｍの要素にマッピングする関数Ｈを定め、Ｎ個の葉を持つ２分木のＲａｂｉｎＴｒｅｅを作成する。まず、ルートノードのノード対応値としての値ＮＶ_１∈Ｚ^＊ _Ｍをランダムに選択し、その後、ノード１からノード２Ｎ−１に対応するノード対応値、すなわち、２Ｎ−１個の｜Ｍ｜ビットの数（ノード対応値）：ＮＶ_１，ＮＶ_２，・・・，ＮＶ_２Ｎ−１と、ノード２からノード２Ｎ−１に対応する２Ｎ−２個の数（ノード付加変数）：ｓａｌｔ_２，ｓａｌｔ_３，・・・，ｓａｌｔ_２Ｎ−１を定める。さらに法：Ｍと、マッピング関数：Ｈを公開する。また、サイズ｜Ｍ｜の値をサイズＣのランダムな値にマッピングする関数Ｈｃを定め、公開する。

さらに、管理センタ（ＴＣ）は、木のノードｌ（エル）のノードキーＮＫ_ｌをノード対応値ＮＶ_ｌから算出、すなわち、
ＮＫ_ｌ＝Ｈｃ（ＮＶ_ｌ）
によって算出し、各ノードｌのノードキーＮＫ_ｌを決定する。

ステップＳ２０３において、管理センタ（ＴＣ）は、木の末端ノードとしての葉（リーフ）に対応して設定される受信機ｕｍ（ｍ＝１，２，...，Ｎ）に対し、前述したデータ、すなわち、
（ａ）受信機ｕｍの割り当てられた葉ノード（リーフ）のノード対応値ＮＶ_ｌ
（ｂ）受信機ｕｍのパス上のルートを除くパスノード対応のｓａｌｔ値
を付与する。

（３−２）情報配信処理
情報配信、すなわち秘密情報の送信は、管理センタ（ＴＣ）が１つ以上の暗号文を同報送信することによってなされる。それぞれの暗号文は、秘密情報をノードキーの１つを用いて暗号化したものである。暗号化に使用するノードキーの選択方法は、ＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ方式（ＣＳ方式）と同様である。

たとえば図５に示した例では、５つの暗号文が送信される。図５に示す例では受信機ｕ２，ｕ１１，ｕ１２がリボークされる受信機である。すなわち、受信機ｕ２，ｕ１１，ｕ１２を不正な機器として排除（リボーク）し、それ以外の受信機においてのみ安全に情報を受領、すなわち同報配信される暗号文に基づく復号を行なうことを可能とする。

情報の送信を行なう場合、リボーク受信機ｕ２，ｕ１１，ｕ１２が割り当てられているリーフ（葉）から木のルートに至るパス上のノードに割り当てられたノードキーを暗号鍵として使用せず、暗号文セットを生成して同報送信する。リボーク受信機ｕ２，ｕ１１，ｕ１２が割り当てられているリーフ（葉）から木のルートに至るパス上のノードおよびパスを木から除外すると、１つ以上の部分木が残る。例えば、ノード５を頂点とする部分木、あるいはノード１２を頂点とする部分木などである。

秘密情報の送信者は、それぞれの部分木の頂点に最も近いノード、すなわち、図５に示す例では、ノード５，７，９，１２，１６に割り当てられたノードキーを用いて秘密情報を暗号化した暗号文のセットを送信する。例えば送信秘密情報を暗号化コンテンツの復号に適用するコンテンツキーＫｃであるとし、ノード５，７，９，１２，１６に割り当てられたノードキーをＮＫ_５，ＮＫ_７，ＮＫ_９，ＮＫ_１２，ＮＫ_１６とすると、秘密情報の送信者は、
Ｅ（ＮＫ_５，Ｋｃ），Ｅ（ＮＫ_７，Ｋｃ），Ｅ（ＮＫ_９，Ｋｃ），Ｅ（ＮＫ_１２，Ｋｃ），Ｅ（ＮＫ_１６，Ｋｃ）
の５つの暗号文セットを生成して、ネットワーク配信あるいは記録媒体に格納して提供する。なお、Ｅ（Ａ，Ｂ）はデータＢを鍵Ａで暗号化したデータを意味する。

この暗号化に使用するノードキーを見つけるための手法としては、ＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ方式（ＣＳ方式）と同様の手法、あるいは、表現木を適用した方法などが適用可能である。

情報配信処理の手順について、図１２のフローを参照して説明する。管理センタ（ＴＣ）は、ステップＳ３０１において、まずその情報配信においてリボーク（排除）する受信機を選択する。

さらに、ステップＳ３０２において、暗号文の生成、すなわち送信秘密情報の暗号化に適用するノードキーを選択し、ステップＳ３０３において、暗号文を受信する受信機において、復号可能な暗号文を選択するための索引データとしての使用ノードキー指定情報を生成する。これは、どのノードキーを選択したかを表すタグ情報や表現コードなどである。

ステップＳ３０４において、選択したノードキーで送信する秘密情報を暗号化し、ステップＳ３０５において、ノードキー指定情報とともに同報通信路を用いて送信する。あるいは情報記録媒体に格納して配布する。なお、上記の処理は、必ずしもこの順番である必要はない。

なお、暗号化に利用するノードキーは、管理センタ（ＴＣ）がセットアップフェイズにおいて作成して保管しておいたものを使用するようにしてもよいし、セットアップフェイズにおいては葉のノード対応値ＮＶ_ｌと各ノードのｓａｌｔ値のみを保管しておき、それらの値から導出してもよい。

なお、リボークする受信機がない場合には、ルートのノードキーＮＫ_１を秘密情報の暗号化に用いる。この場合は、すべての受信機において送信情報の復号が可能となる。

（３−３）情報受信および復号処理
次に、上述の暗号文の受信および復号処理について説明する。上述の暗号文は同報配信により受信機に提供される。あるいは情報記録媒体に格納されて受信機に提供される。こり暗号文は、リボークの有無に関わらず、すべての受信機が受領可能であるが、リボークされた受信機は暗号文の復号に適用するノードキーを得ることができないので受信情報の復号を行なうことができない。

リボークされていない受信機は、受領した暗号文のセットから自己が復号できる暗号文を選択する。受領した暗号文のセットに含まれる暗号文の暗号化に用いられているノードキーの中には、自身が直接保持しているノード対応値ＮＶ_ｌと、ｓａｌｔから導出できるノードキーが含まれる。

リボークされていない受信機は、ノード対応値ＮＶ_ｌと、ｓａｌｔから、暗号化に適用されたノードキーＮＫ_ｋに対応するノード対応値ＮＶ_ｋを導出し、ノード対応値ＮＶ_ｋからノードキーＮＫ_ｋを導出して、導出したノードキーを用いて暗号文を復号すれば秘密情報を得ることができる。受信機が復号すべき暗号文を見つけるためには、前述のノードキー指定情報を用いればよい。

この暗号文抽出処理において、受信機ｕｍは、暗号化に使われたノードキーのノード番号ｋを抽出し、受信機ｕｍに対応するパスノードｍ［ＰａｔｈＮｏｄｅｓ−ｍ］に含まれるノード番号と一致するものを見つける。

受信機ｕｍは、自身が割り当てられた葉ｌ（エル）のノード対応値ＮＶ_ｌを保持しているので、これと同様に保持しているノード付加変数ｓａｌｔ_ｌからｌの親ノードのノード対応値、

を、下式、

により求め、さらにこれを繰り返すことにより、自己ノードｌからルートまでのパス上の任意のノードｋのノード対応値ＮＶ_ｋを導出する。そして、ノードｋのノード対応値ＮＶ_ｋから、ノードｋのノードキーＮＫ_ｋを、
ＮＫ_ｋ＝Ｈｃ（ＮＶ_ｋ）
により導出する。導出したノードキーを適用して暗号文を復号する。

具体的な例について図１３を参照して説明する。今、受信機ｕ４（ノード番号＝１９）が、リボークされていないと仮定し、受信機ｕ４の処理について考察する。受信機ｕ４（ノード番号＝１９）が、リボークされていない場合、暗号化に使われたノードキーには、受信機ｕ４に対応するパスノード４［ＰａｔｈＮｏｄｅｓ−４］＝｛１，２，４，９，１９｝に含まれるノード番号と一致するものが必ず含まれる。

秘密情報を［Ｋｃ］とすると、Ｅ（ＮＫ_１，Ｋｃ），Ｅ（ＮＫ_２，Ｋｃ）、Ｅ（ＮＫ_４，Ｋｃ），Ｅ（ＮＫ_９，Ｋｃ），Ｅ（ＮＫ_１９，Ｋｃ）のいずれかを含む暗号文セットが、ネットワーク配信あるいは記録媒体に格納されて提供される。なお、Ｅ（Ａ，Ｂ）はデータＢを鍵Ａで暗号化したデータを意味する。受信機ｕ４は、受信暗号文セットから、この受信機ｕ４に対応するパスノード４［ＰａｔｈＮｏｄｅｓ−４］＝｛１，２，４，９，１９｝に含まれるノード番号と一致するものを検出する。

ノードキーＮＫ_１，ＮＫ_２，ＮＫ_４，ＮＫ_９，ＮＫ_１９のいずれが、暗号文の暗号化に適用されたノードキーであるかを判別した後、受信機ｕ４は、判別されたノードキーを算出するため、自己の保持するノード対応値ＮＶ_４と、ノード付加変数ｓａｌｔ_２、ｓａｌｔ_４、ｓａｌｔ_９、ｓａｌｔ_１９を適用して、上位ノードのノード対応値を算出して、さらに算出したノード対応値からノードキーを算出する。算出手法は、前述したように、
ＮＶ_９＝（（ＮＶ_１９）^２＋Ｈ（１９||ｓａｌｔ_１９））ｍｏｄＭ
ＮＶ_４＝（（ＮＶ_９）^２＋Ｈ（４||ｓａｌｔ_４））ｍｏｄＭ
ＮＶ_２＝（（ＮＶ_４）^２＋Ｈ（２||ｓａｌｔ_２））ｍｏｄＭ
ＮＶ_１＝（（ＮＶ_２）^２＋Ｈ（１||ｓａｌｔ_１））ｍｏｄＭ
上記式に基づく演算により、下位ノードのノード対応値から上位ノードのノード対応値を算出する。

さらに、各ノードのノード対応値からノードキーを、
ＮＫ_１９＝Ｈｃ（ＮＶ_１９）
ＮＫ_９＝Ｈｃ（ＮＶ_９）
ＮＫ_４＝Ｈｃ（ＮＶ_４）
ＮＫ_２＝Ｈｃ（ＮＶ_２）
ＮＫ_１＝Ｈｃ（ＮＶ_１）
の各式によって算出する。

受信機ｕ４は、パスノード４［ＰａｔｈＮｏｄｅｓ−４］＝｛１，２，４，９，１９｝に含まれるノードのノードキー：ＮＫ_１９，ＮＫ_９，ＮＫ_４，ＮＫ_２，ＮＫ_１のいずれかを適用して、暗号文セットに含まれる暗号文を復号して秘密情報［Ｋｃ］を得ることができる。

受信機ｕｍの処理について、図１４のフローを参照して説明する。まず、ステップＳ４０１において、暗号文セットを受領する。この暗号文は、ネットワークを介してあるいは情報記録媒体を介して受領する。

ステップＳ４０２において、受領した暗号文のセットに含まれる暗号文の暗号化に用いられているノードキーの中から、自身が直接保持しているノード対応値ＮＶ、ノード付加変数ｓａｌｔから導出可能なノード対応値に基づいて算出可能なノードキーによって暗号化された暗号文を抽出する。これは、受信機ｕｍが、受信暗号文セットから、この受信機ｕｍに対応するパスノードｍ［ＰａｔｈＮｏｄｅｓ−ｍ］に含まれるノード番号と一致するものを検出する処理に相当する。なお、ここで、受信機が復号すべき暗号を決定できないということは、その受信機がリボークされていることを意味している。

さらに、ステップＳ４０３において、暗号化に使用されたノードキーを、自己が保持するノード対応値ＮＶと、ノード付加変数ｓａｌｔを適用して算出する。この算出は、前述の（数式１）によって上位ノード対応値を算出し、算出したノード対応値に基づいて、下式、
ＮＫ_ｋ＝Ｈｃ（ＮＶ_ｋ）
に従って、必要なノードキーＮＫ_ｋを求める処理として実行される。

暗号化に使われたノードキーが算出されると、ステップＳ４０４に進み、算出したノードキーを適用して暗号文を復号し、秘密情報を取得する。

なお、秘密情報はたとえばテレビ放送システムの暗号化コンテンツを復号するためのコンテンツキーなどが想定される。この場合には受信機は暗号化コンテンツを受信し、コンテンツキーを用いて復号して出力する。なお、上記の処理は、必ずしもこの順番である必要はない。

次に、図１５、図１６を参照して暗号文を提供する情報処理装置と、暗号文を受信して復号する情報処理装置の機能構成について説明する。暗号文を提供する情報処理装置は、暗号文の生成に適用するノードキーの決定処理、暗号文の生成処理を実行する。暗号文の復号処理を実行する受信機は、ノードキーの生成、生成したノードキーによる暗号文の復号処理を実行する。

まず、図１５を参照して暗号文を提供する情報処理装置の構成について説明する。情報処理装置４１０は、一方向木（ＲａｂｉｎＴｒｅｅ）生成手段４１１、ノードキー生成手段４１２、提供情報（ノード対応値：ＮＶ、ノード付加変数：ｓａｌｔ）決定手段４１３、暗号文生成手段４１４、暗号文提供手段４１５を有する。

情報処理装置４１０は、階層木構成に基づくブロードキャストエンクリプション方式を適用し、排除（リボーク）機器を除く特定の選択機器にのみ復号可能な暗号文を提供する処理を実行する情報処理装置であり、一方向木（ＲａｂｉｎＴｒｅｅ）生成手段４１１は、階層木を構成する各ノードに対応するノード対応値ＮＶを、少なくとも１つの下位ノードのノード対応値ＮＶと、ノード付加変数ｓａｌｔを適用して算出可能（数式１参照）とした一方向木としてのＲａｂｉｎＴｒｅｅを生成する。

ノードキー生成手段４１２は、ノード対応値ＮＶに基づいて、
ＮＫ＝Ｈｃ（ＮＶ）
により、各ノードのノードキーＮＫを算出する。

提供情報決定手段４１３は、階層木の末端ノード対応の受信機に、受信機対応のノードのノード対応値ＮＶ_ｌと、受信機対応ノードから最上位ノードとしてのルートに至るパスに含まれるノードのノード付加変数：ｓａｌｔを提供する。

暗号文生成手段４１４は、一方向木（ＲａｂｉｎＴｒｅｅ）生成手段４１１の生成したＲａｂｉｎＴｒｅｅの各ノードに対応付けられたノード対応値ＮＶに基づいてノードキー生成手段４１２が生成したノードキーＮＫを選択的に適用して暗号化処理を実行して暗号文を生成する。暗号文提供手段４１５は、このようにして生成された暗号文をネットワークまたは媒体に格納して提供する。

次に、図１６を参照して暗号文の復号処理を実行する受信機としての情報処理装置の機能構成について説明する。

暗号文の復号処理を実行する受信機としての情報処理装置４２０は、暗号文選択手段４２１、ノードキー算出手段４２２、復号手段４２３、メモリ４２４を有する。

暗号文選択手段４２１は、処理対象とする暗号文から、自己のメモリ４２４に保持するノード対応値ＮＶ_ｌとノード対応付加変数ｓａｌｔから算出可能な上位ノードキーを適用して生成した暗号文を選択する処理を実行する。具体的には、上述したように、暗号化に使用されたノードキーを、自己が保持するノード対応値ＮＶと、ノード付加変数ｓａｌｔを適用して前述の（数式１）によって上位ノード対応値を算出し、算出したノード対応値に基づいて、下式、
ＮＫ_ｋ＝Ｈｃ（ＮＶ_ｋ）
に従って、必要なノードキーＮＫ_ｋを求める処理を実行する。

復号手段４２３は、ノードキー算出手段４２２において算出した算出ノードキーに基づいて、暗号文の復号処理を実行する。

［４．ＲａｂｉｎＴｒｅｅを適用したＣＳ方式の暗号文配信構成における計算量の削減についての考察］

前述したＲＳＡ暗号に基づくＣＳ方式の鍵削減方法に対し、上述したＲａｂｉｎＴｒｅｅを用いた本発明によるＣＳ方式の暗号文配信構成は受信機が必要とする計算量が小さいという利点を持つ。これについて説明する。

ＲＳＡ暗号を利用したＣＳ方式の鍵削減方法においては、受信機があるノードの鍵ＮＫ_ｌからその親ノードの鍵、

を導出するために、下記式、

の計算を行う。

ここで、排他論理和演算やハッシュ関数Ｈの演算はべき乗剰余演算に比べて非常に計算量が小さいため、上記で支配的なのは、
ＮＫ_ｌ ^ｅｍｏｄＭ
のべき乗剰余演算となる。

ＲＳＡ暗号を利用したシステムにおいては、計算量の削減のため、公開指数ｅをなるべく小さく、しかもｅのハミング重みがなるべく小さいものを使うことが望まれる。しかし、例えば、ｅ＝３という小さい値では安全性に問題があることが指摘されているため、
ｅ＝２^１６＋１
という値が広く推奨されている。

公開指数ｅとして２^１６＋１という値を用いたとき、ある数ｘのｅ乗を計算方法はいくつかあるが、「自乗と乗算のアルゴリズム」（前述のＡ．Ｊ．Ｍｅｎｅｚｅｓ，Ｐ．Ｃ．ｖａｎＯｏｒｓｃｈｏｔａｎｄＳ．Ａ．Ｖａｎｓｔｏｎｅ著，"ＨａｎｄｂｏｏｋｏｆＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙ，"ＣＲＣＰｒｅｓｓ，１９９６，ｐ６１４参照）を用いた場合、１６回の自乗算と１回の乗算が必要となる。ここで、自乗算は乗算の特殊な場合であり、これを利用して計算量は乗算に比べて小さくできるため、上記の計算量は自乗算１７回分よりも大きくなる。また、もしＲＳＡ暗号を用いた方式において、公開指数ｅとして３という値を用いた場合でも、ＮＫ_ｌ ^ｅｍｏｄＭの演算には１回の乗算と１回の自乗算が必要であり、本発明の計算量は１／２より小さくなる。

これに対し、上述した本発明のＲａｂｉｎＴｒｅｅを適用したＣＳ方式による暗号文配信構成では、受信機は、自己の保有するノード対応値ＮＶｌと、ノード付加変数ｓａｌｔに基づいて、前述の（数式１）に基づく演算、すなわち、

の計算を行う。この中で支配的なのはやはりべき乗剰余演算であるが、上記式において、べき乗剰余演算は、
ＮＶ_ｌ ^２ｍｏｄＭ
であり、自乗算１回で行える。よって、本発明は、ＲＳＡ暗号を用いた方式に対して、計算量を１／１７程度に小さくすることができる。

このように、従来のＣＳ方式では各受信機はｌｏｇＮ＋１個のノードキーを安全に保持する必要があったが、上述した本発明を適用したＲａｂｉｎＴｒｅｅを適用したＣＳ方式による暗号文配信構成では、各受信機が安全に保持しなければならない鍵の個数を１つ（葉ノードのノード対応値ＮＶ）に削減することができる。ＣＳ方式のノードキーとは異なり、本発明の構成においては、ノード付加変数ｓａｌｔは安全に保持する必要はない。またＣＳ方式のノードキーは暗号鍵として使われるため、個々のサイズが数十ビットから数百ビットになるが、ノード付加変数ｓａｌｔは平均２ビットという小さなサイズである。

さらに、本発明と同様に、受信機が安全に保持すべき鍵数を１つに削減した、ＲＳＡ暗号を利用した方式と比較した場合、本方式では、受信機に必要とされる計算量として大きな負荷であるべき乗剰余演算が自乗算１回で行える構成であり、ＲＳＡ暗号を利用した方式と比較すると約１／１７と非常に小さくすることができる。

このように、本発明の構成を適用することにより、受信機において安全に保持することが要求される情報量が削減され、また、受信機においてノードキー算出のために必要とされる計算量を削減することが可能となり、効率的な暗号文、配信、復号処理構成が実現される。

［５．ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式］
上述した処理例は、ＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ（ＣＳ）方式にＲａｂｉｎＴｒｅｅを適用した処理例であったが、次に、ＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ（ＣＳ）方式と異なるＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式に対してＲａｂｉｎＴｒｅｅを適用した処理例について説明する。

上記のように、ＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ（ＣＳ）方式においては、階層木の各ノード（節）を用いて、「そのノードを頂点とする部分木のリーフ（葉）に割り当てられた受信機からなる集合」を表していた。これに対し、ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式においては、階層木の２つのノードｉ，ｊ（ただしｉはｊの先祖であるノード）を用いて、「（ノードｉを頂点とする部分木のリーフ（葉）からなる集合）から（ノードｊを頂点とする部分木のリーフ（葉）からなる集合）を引いた集合」を表す。

なお、以下の説明においては、下記の記号を用いて説明する。
Ｐ（ｉ）：ノードｉの親ノードおよびそのノード番号
Ｓ（ｉ）：ノードｉの兄弟（ｓｉｂｌｉｎｇ）であるノード（すなわち、ｉと異なるノードで、ｉと同じ親を持つノード）およびそのノード番号
ＬＣ（ｉ）：ノードｉの左側の子ノードおよびそのノード番号
ＲＣ（ｉ）：ノードｉの右側の子ノードおよびそのノード番号

たとえば図１７のノードｉ５３１，とノードｊ５３２で定義される集合Ｓ_ｉ，ｊは、受信機ｕ１〜ｕ８の集合からｕ５，ｕ６を除いたものであり、すなわち、Ｓ_ｉ，ｊ＝｛ｕ１，ｕ２，ｕ３，ｕ４，ｕ７，ｕ８｝である。ノードｉがノードｊの先祖である（すなわち、ノードｊはノードｉと同一ではなく、ノードｊからルートへのパス上にノードｉが存在する）すべてのノードの組についてこのような集合を定義する。

サブセットＳ_ｉ，ｊに対応する鍵としてサブセットキーＳＫ_ｉ，ｊが設定される。サブセットキーＳＫ_ｉ，ｊは、ｕ１〜ｕ８の集合からｕ５，ｕ６を除いたサブセットＳ_ｉ，ｊ＝｛ｕ１，ｕ２，ｕ３，ｕ４，ｕ７，ｕ８｝が共通に保有する鍵として設定され、サブセットキーＳＫ_ｉ，ｊを暗号鍵として秘密情報を暗号化した情報を送信することにより、サブセットＳ_ｉ，ｊ＝｛ｕ１，ｕ２，ｕ３，ｕ４，ｕ７，ｕ８｝においてのみ復号可能となり、ｕ５，ｕ６をリボーク（排除）することができる。

このようなセッティングでは、ひとつの受信機が所属する集合の個数は、下式によって示される数Ｏ（Ｎ）となる。

従って、それぞれの集合（サブセット）に鍵（サブセットキー）を独立に割り当てたのでは、各受信機がＯ（Ｎ）個のサブセットキーを安全に保持する必要がある。しかし、これは、総受信機数Ｎの増大に伴い飛躍的に増大し、これらの大量の情報を各機器に安全に保管させることは現実的に困難である。

このため、ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式では以下に述べる工夫を用いている。前述したＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ（ＣＳ）方式と同様に、管理センタ（ＴＣ）が階層木の定義やサブセットの定義、鍵の定義、配布などを行うものとする。

まず、図１８（Ａ）に示すように、管理センタ（ＴＣ）は、ある内部ノード（すなわち、リーフ（葉）でないノード）ｉに注目し、そのノードｉのラベルをＬＡＢＥＬｉとしてＣビットの値Ｓをランダムに選択する。

次に、図１８（Ｂ）の図に示すように、ＬＡＢＥＬｉ＝Ｓを、Ｃビット入力、３Ｃビット出力の擬似乱数生成器Ｇに入力する。この出力を左から（最上位ビット側から）Ｃビットずつに区切り、それぞれＧ_Ｌ（Ｓ），Ｇ_Ｍ（Ｓ），Ｇ_Ｒ（Ｓ）とする。そして、Ｇ_Ｌ（Ｓ）を、図１８（Ａ）に示すノードｉの左側の子ノードｋのラベルとし、またＧ_Ｒ（Ｓ）をノードｉの右側の子ノードのラベルとする。

いま、この処理により、図１８においてノードｉの左側の子であるノードｋについて、ノードｉを始点にした場合のノードｋのラベルＬＡＢＥＬ_ｉ，ｋは、ＬＡＢＥＬ_ｉ，ｋ＝Ｇ_Ｌ（Ｓ）となった。これをＴとおく。次に、今度はノードｋのラベルＬＡＢＥＬ_ｉ，ｋ＝Ｇ_Ｌ（Ｓ）＝Ｔを、図１８（Ｂ）に示す擬似乱数生成器Ｇに入力し、その出力を左からＣビットずつに区切った、Ｇ_Ｌ（Ｔ），Ｇ_Ｍ（Ｔ），Ｇ_Ｒ（Ｔ）を、それぞれ以下のように設定する。
Ｇ_Ｌ（Ｔ）＝ノードｉを始点にした場合のノードｋの左側の子ノードＬＣ（ｋ）のラベルＬＡＢＥＬ_{ｉ，ＬＣ（ｋ）}
Ｇ_Ｍ（Ｔ）＝ノードｉを始点にした場合のノードｋの鍵（これを集合Ｓ_ｉ，ｋに対応するサブセットキーＳＫ_ｉ，ｋとする）
Ｇ_Ｒ（Ｔ）＝ノードｉを始点にした場合のノードｋの右側の子ノードＲＣ（ｋ）のラベルＬＡＢＥＬ_{ｉ，ＲＣ（ｋ）}

この処理を繰り返すことにより、ノードｉを始点とした場合の、その子孫となるすべてのノードに対応するラベルを作り出す。なお、上記の定義によれば集合Ｓ_ｉ，ｉは空集合であり、ノードｉを始点とした場合に、ノードｉの鍵というものは不要であるため、ＬＡＢＥＬ_ｉを擬似乱数生成器Ｇに入力した出力の中央部分であるＧ_Ｍ（Ｓ）は使われないことに注意されたい。

図１８（Ａ）の例で示すと、始点であるノードｉのラベルＳが定められ、Ｇ_Ｒ（Ｓ）がノードｉを始点とした場合のｉの右の子ノードのラベルとなり、さらにそれを擬似乱数生成器Ｇに入力して得られたＧ_Ｌ（Ｇ_Ｒ（Ｓ））が、ノードｉを始点とした場合のノードｊのラベルＬＡＢＥＬ_ｉ，ｊとなる。ノードｉを始点とした場合の、その子孫となるすべてのノードに対応するラベルを作り出す処理を、すべての内部ノードｉに対して行う。

これらの処理はシステムのセットアップ時に、管理センタ（ＴＣ）によって行われるが、擬似乱数生成器（あるいは擬似乱数生成関数）Ｇは、管理センタ（ＴＣ）によって定められ公開されており、これを用いることによって、ＬＡＢＥＬ_ｉ，ｊを与えられた受信機は、ノードｉを始点とした場合の、ノードｊの子孫となるすべてのノードｎのラベルＬＡＢＥＬ_ｉ，ｎを計算することおよび、ノードｉを始点とした場合の、ノードｊおよびその子孫ノードｎのサブセットキーＳＫ_ｉ，ｎを計算することが可能となる。

このような設定により、図１９（Ａ）に示すように、ある受信機ｕは、それが割り当てられたリーフ（葉）から木の頂点へのパス上のそれぞれの内部ノードｉについて、ノードｉを始点として、このリーフ（葉）ｕからｉへのパスから直接枝分かれしているノードであるノードａ，ｂ，ｃのラベルのみを保持しておけばよいことになる。

これらのノードａ，ｂ，ｃおよびその子孫となるノードの、ノードｉを始点としたサブセットキーを作り出すことが可能となる。図１９（Ａ）では、ノードｉに注目したときに、ｕからｉへのパスから直接枝分かれしているノードはａ，ｂ，ｃの３つであり、受信機ｕはこれら３つのラベルをシステムのセットアップ時に、管理センタ（ＴＣ）から与えられて保持する。

リーフｕは、ノードａのラベルＬＡＢＥＬ_ｉ，ａに基づく擬似乱数生成器Ｇの処理によって、サブセットＳ_ｉ，ａに対応するサブセットキーＳＫ_ｉ，ａを求ることができる。すなわち、
Ｇ_Ｍ（ＬＡＢＥＬ_ｉ，ａ）＝ＳＫ_ｉ，ａとなる。
サブセットＳ_ｉ，ａは、図１９（ａ）に示すように、ノードａを頂点とした部分木のリーフをリボーク機器として設定したサブセットであり、ノードｉを頂点とした部分木のリーフのうちノードａを頂点とした部分木のリーフ以外のリーフのみを情報配信対象として設定されるサブセットである。

また、リーフｕは、ノードｂのラベルＬＡＢＥＬ_ｉ，ｂに基づく擬似乱数生成器Ｇの処理によって、サブセットＳ_ｉ，ｂに対応するサブセットキーＳＫ_ｉ，ｂを求めることができる。すなわち、
Ｇ_Ｍ（ＬＡＢＥＬ_ｉ，ｂ）＝ＳＫ_ｉ，ｂとなる。
サブセットＳ_ｉ，ｂは、図１９（ｂ）に示すように、ノードｂを頂点とした部分木のリーフをリボーク機器として設定したサブセットであり、ノードｉを頂点とした部分木のリーフのうちノードｂを頂点とした部分木のリーフ以外のリーフのみを情報配信対象として設定されるサブセットである。

また、リーフｕは、ノードｃのラベルＬＡＢＥＬ_ｉ，ｃに基づく擬似乱数生成器Ｇの処理によって、サブセットＳ_ｉ，ｃに対応するサブセットキーＳＫ_ｉ，ｃを求ることができる。すなわち、
Ｇ_Ｍ（ＬＡＢＥＬ_ｉ，ｃ）＝ＳＫ_ｉ，ｃとなる。
サブセットＳ_ｉ，ｃは、図１９（ｃ）に示すように、ノードｃ（リーフｃ）をリボーク機器として設定したサブセットであり、ノードｉを頂点とした部分木のリーフのうちリーフｃ以外のリーフのみを情報配信対象として設定されるサブセットである。

ｉを始点とする階層木において、リーフｕ以外のリーフをリボークする構成は、これら３つ以外にも様々設定可能である。例えば図１９（ａ）のリーフｄ２５１のみをリボーク対象とする場合は、サブセットＳ_ｉ，ｄを設定し、サブセットキーＳＫ_ｉ，ｄを適用することが必要である。しかし、各ノード、リーフに対応する鍵、すなわちサブセットキーは、上位のラベルに基づく擬似乱数生成処理により生成可能である。従って、リーフｕは、リーフｄ２５１のリボークに対応するサブセットキーＳＫ_ｉ，ｄを、リーフｕが保有するノードａのラベルＬＡＢＥＬ_ｉ，ａに基づいて生成可能となる。

その他のサブセット構成についても同様であり、図１９（Ａ）に示すように、ある受信機ｕは、それが割り当てられたリーフ（葉）から木の頂点へのパス上のそれぞれの内部ノードｉについて、ノードｉを始点として、このリーフ（葉）ｕからｉへのパスから直接枝分かれしているノードであるノードａ，ｂ，ｃのラベルのみを保持しておけばよいことになる。

図２０は全受信機数Ｎ＝１６の設定の場合に各受信機が保持すべきラベルを示す図である。いま、受信機ｕ４を考えると、それが割り当てられたリーフ（葉）であるノード１９から頂点１へのパス上の内部ノード１，２，４，９が始点（ノードｉ）となる。ノード１を始点とすると、ノード１９からノード１へのパスから直接枝分かれしているノードは３，５，８，１８の４つであるため、受信機ｕ４は４つのラベル、すなわち、
ＬＡＢＥＬ_１，３，
ＬＡＢＥＬ_１，５，
ＬＡＢＥＬ_１，８，
ＬＡＢＥＬ_１，１８，
を保持する。

同様に、ノード２を始点とした場合には、
ＬＡＢＥＬ_２，５，
ＬＡＢＥＬ_２，８，
ＬＡＢＥＬ_２，１８，
の３つのラベルを保持する。

ノード４を始点とした場合には、
ＬＡＢＥＬ_４，８，
ＬＡＢＥＬ_４，１８，
の２つのラベルを保持する。

ノード９を始点とした場合には、
ＬＡＢＥＬ_９，１８，
の１つのラベルを保持する。

また、リボークすべき受信機がないという特別な場合に使用する全受信機を含む集合（これをサブセットＳ_１，φと表すことにする）に対応するラベル
ＬＡＢＥＬ_１，φ，
を１つ保持する。

すなわち、図２０の構成においてｕ４が持つＬＡＢＥＬをまとめると、図２０にも記載しているように、
ｉ＝１に対してｊ＝３，５，８，１８の４つのラベル
ｉ＝２に対してｊ＝５，８，１８の３つのラベル
ｉ＝４に対してｊ＝８，１８の２つのラベル
ｉ＝９に対してｊ＝１８の１つのラベル
リボークなしの場合用のＬＡＢＥＬを１つ
の計１１個のラベルとなる。

ただし、ここでは説明を統一するため、サブセットＳ_１，φに対応するラベルとしているが、ラベルではなくサブセットＳ_１，φに対応するに対応するサブセットキーを直接保持してもよい。

上記のように、各受信機は、リーフ（葉）からルートへのパス上の各内部ノードについて、その内部ノードの高さ分だけのラベルと特別な１つのラベルを保持する必要があるから、送受信機数をＮとした場合に各受信機が保持するラベル数は、下記式によって算出される数となる。

各受信機は、上記式によって示される数のラベルを保持し、公開されている擬似乱数生成関数Ｇを用いることにより必要とするサブセットキーを作り出すことができる。受信機はこれらのラベルを安全に保持する必要がある。

［６．ＳＤ方式のラベル数削減構成］
ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式のラベル数の削減構成について説明する。上述したＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式を観察すると、以下のことがわかる。

すなわち、ラベルＬＡＢＥＬ_ｉ，ｊは、
（Ａ）受信機に直接、管理センタ（ＴＣ）から与えられる場合と、
（Ｂ）受信機がそれ以外のラベルから擬似乱数生成器Ｇを用いて導出する場合と、
があるが、
ノードｉとノードｊが親子の関係（距離１、すなわち連続する階層にある）であるラベルについては、上記の（Ｂ）の場合は存在せず、すべて、（Ａ）受信機に直接、管理センタ（ＴＣ）から与えられる場合しかありえない。

これは、ある受信機がＬＡＢＥＬ_ｉ，ｊを擬似乱数生成器Ｇを用いて作り出すためには、ノードｊの先祖となるノードｋを用いたＬＡＢＥＬ_ｉ，ｋを知る必要があるが、ノードｉ，ｊが親子関係であるため、ノードｊの先祖であり、ノードｉの子孫となるようなノードｋは存在せず、また、ＬＡＢＥＬ_ｉはどの受信機にも与えられていないためである。

図２１の構成例を参照して説明する。ＬＡＢＥＬ_２，８は、受信機ｕ４には直接、管理センタ（ＴＣ）から与えられるが、受信機ｕ５には直接は与えられず、受信機ｕ５は、管理センタ（ＴＣ）から与えられたＬＡＢＥＬ_２，４から擬似乱数生成器Ｇを用いてＧ_Ｌ（ＬＡＢＥＬ_２，４）を計算することによりＬＡＢＥＬ_２，８を導出する。

これに対し、図２２に示すように、ノード２とノード５が親子関係になるＬＡＢＥＬ_２，５は、サブセットＳ_２，５に属している受信機ｕ１，ｕ２，ｕ３，ｕ４には直接与えられ、これ以外の受信機はその集合に属していないため、計算で導出することもできない。すなわち、このようなラベルは受信機に対し直接、管理センタ（ＴＳ）から与えられるだけで、擬似乱数生成器Ｇを用いて導出されることはない。

また、ＳＤ方式において、あるノードｉが異なる２つのノードｊ，ｋの親ノードであり、ノードｊがそれらとは別のノードｎの親ノードであるとき、サブセットＳ_ｊ，ｎに属する受信機は必ずサブセットＳ_ｉ，ｋにも所属することがわかる。

たとえば図２３に示すように、サブセットＳ_９，１８に属している受信機Ｕ４は、サブセットＳ_４，８、サブセットＳ_２，５、サブセットＳ_１，３のいずれにも属している。すなわち、
Ｓ_９，１８＝｛ｕ４｝
Ｓ_４，８＝｛ｕ３，ｕ４｝
Ｓ_２，５＝｛ｕ１，ｕ２，ｕ３，ｕ４｝
Ｓ_１，３＝｛ｕ１，ｕ２，ｕ３，ｕ４，ｕ５，ｕ６，ｕ７，ｕ８｝
である。

またサブセットＳ_４，８に属する受信機ｕ４以外の受信機である受信機ｕ３も、サブセットＳ_２，５、サブセットＳ_１，３のいずれにも属している。

本発明では、ノードｉとノードｊが親子関係になるラベルＬＡＢＥＬ_ｉ，ｊと、リボークすべき受信機がないという特別な場合に使用する全受信機を含む集合であるサブセットＳ_１，φに対応するラベルであるＬＡＢＥＬ_１，φに対して、ＲａｂｉｎＴｒｅｅを適用することにより受信機が保持するラベル数を削減する。

上述したＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式においては各受信機は、ノードｉとノードｊが親子関係になるラベルＬＡＢＥＬ_ｉ，ｊを、受信機が割り当てられたリーフ（葉）から木の頂点へのパス上の内部ノード１つにつき１つずつ、合計ｌｏｇＮ個保持している。本発明では、これらのラベルと、リボークすべき受信機がないという特別な場合に使用する全受信機を含む集合であるサブセットＳ_１，φに対応するラベルであるＬＡＢＥＬ_１，φの合計ｌｏｇＮ＋１個のラベルを１つの値から導出可能な設定とすることで、受信機の保持すべきラベル数を削減する。

なお、ＲａｂｉｎＴｒｅｅを応用することにより、ｘからｙを計算するの（順方向の計算）は簡単だが、その逆計算は、ある秘密（落とし戸）を知っているものだけが簡単にでき、その他のものにとっては困難であるような関係である順方向変換ｙ＝Ｆ（ｘ）および逆方向変換ｘ＝Ｆ^−１（ｙ）を構成することが可能になる。

オリジナルのＳＤ方式では、図２０を参照して説明したように、受信機ｕ４は計１１個のラベル、すなわち、
ｉ＝１に対してｊ＝３，５，８，１８の４つのラベル
ＬＡＢＥＬ_１，３，
ＬＡＢＥＬ_１，５，
ＬＡＢＥＬ_１，８，
ＬＡＢＥＬ_１，１８，
ｉ＝２に対してｊ＝５，８，１８の３つのラベル
ＬＡＢＥＬ_２，５，
ＬＡＢＥＬ_２，８，
ＬＡＢＥＬ_２，１８，
ｉ＝４に対してｊ＝８，１８の２つのラベル
ＬＡＢＥＬ_４，８，
ＬＡＢＥＬ_４，１８，
ｉ＝９に対してｊ＝１８の１つのラベル
ＬＡＢＥＬ_９，１８，
リボークなしの場合用のＬＡＢＥＬを１つ
ＬＡＢＥＬ_１，φ，
計１１のラベルを安全に保持する必要があったが、本発明の構成を適用することにより、ノードｉ，ｊが親子関係になるラベル、すなわち、
ＬＡＢＥＬ_１，３，
ＬＡＢＥＬ_２，５，
ＬＡＢＥＬ_４，８，
ＬＡＢＥＬ_９，１８，
さらに、リボークなしの場合用のＬＡＢＥＬである
ＬＡＢＥＬ_１，φ，
これらのラベルを、受信機は保持することが必要であるが、本発明では、ＲａｂｉｎＴｒｅｅを適用することにより、これらのラベルと、リボークすべき受信機がないという特別な場合に使用する全受信機を含む集合であるサブセットＳ_１，φに対応するラベルであるＬＡＢＥＬ_１，φの合計ｌｏｇＮ＋１個のラベルを１つの値から導出可能な設定とすることで、受信機の保持すべきラベル数を削減する。

［７．ＲａｂｉｎＴｒｅｅを用いたＳＤ方式のラベル数削減構成］
以下、ＲａｂｉｎＴｒｅｅを用いたＳＤ方式のラベル数削減構成について、詳細に説明する。なお、ここで適用するＲａｂｉｎＴｒｅｅは、前述のＣＳ方式において適用したＲａｂｉｎＴｒｅｅ、すなわち、［２．ＲａｂｉｎＴｒｅｅを適用したＣＳ方式の構成］の項目（２．１）ＲａｂｉｎＴｒｅｅの構成方法例において、図８のフローを参照して説明したアルゴリズムに従って生成されるＲａｂｉｎＴｒｅｅである。

すなわち、図８〜図１０を参照して説明したように、Ｎ個の葉（リーフ）を持つ２分木において、２Ｎ−１個の｜Ｍ｜ビットの数（ノード対応値）：ＮＶ_１，ＮＶ_２，・・・，ＮＶ_２Ｎ−１と、２Ｎ−２個の数（ノード付加変数）：ｓａｌｔ_２，ｓａｌｔ_３，・・・，ｓａｌｔ_２Ｎ−１を設定した木構造であり、あるノードのノード対応値ＮＶ_ｌおよびノード付加変数ｓａｌｔ_ｌからその親ノードのノード対応値を求めることは容易だが、その逆は困難な構成を持つ。図９において、関数ｆに沿って示されている直線矢印は、下位ノードのノード対応値ＮＶ_ｌを入力として関数ｆを適用することで、上位ノードのノード対応値が求められることを示している。関数ｆは、順方向演算（ｍｏｄＭ上の２乗算）Ｆを用いた演算である。あるノード（子ノード）の親ノードのノード対応値は、子ノードのノード対応値ＮＶ_ｌおよびｓａｌｔ_ｌからその公開された関数：Ｈおよび、法：Ｍを適用して、前述の数式１に従って算出することができる。

図９において、関数ｆ^−１に沿って示されている直線矢印は、上位ノードのノード対応値を入力として関数ｆ^−１を摘用することで、下位ノードのノード対応値が求められることを示している。関数ｆ^−１は、逆方向演算（ｍｏｄＭ上の１／２乗算）Ｆ^−１を用いた演算である。上位ノードのノード対応値から子ノードのノード対応値を求めるには、秘密情報：ｐ，ｑ（Ｍの素因数）を知ることが必要であり、管理センタのみが行える。

このような設定を持つノード対応値ＮＶ_ｌにより構成された木をＲａｂｉｎＴｒｅｅと呼ぶ。これはＲａｂｉｎ暗号が、暗号化（順方向演算）にｍｏｄＭ上の自乗算、復号（逆方向演算）にｍｏｄＭ上のルート（１／２乗）演算を用いているためである。なお、Ｒａｂｉｎ暗号については、たとえば上述のＡ．Ｊ．Ｍｅｎｅｚｅｓ，Ｐ．Ｃ．ｖａｎＯｏｒｓｃｈｏｔａｎｄＳ．Ａ．Ｖａｎｓｔｏｎｅ著，"ＨａｎｄｂｏｏｋｏｆＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙ，"ＣＲＣＰｒｅｓｓ，１９９６のｐｐ．２９２−２９４に詳しい説明がある。

以下、ＲａｂｉｎＴｒｅｅを用いたＳＤ方式のラベル数削減構成について、詳細に説明する。

本発明では、ノードｉとノードｊが親子関係（距離１、すなわち連続する階層にある）になるサブセット対応のラベルＬＡＢＥＬ_ｉ，ｊと、リボークすべき受信機がないという特別な場合に使用する全受信機を含む集合であるサブセットＳ_１，φに対応するラベルであるＬＡＢＥＬ_１，φに対して、ＲａｂｉｎＴｒｅｅを適用することにより受信機が保持するラベル数を削減する。

なお、階層木に定義されるすべてのサブセットＳ_ｉ，ｊの中で、ノードｉとノードｊが親子関係（距離１、すなわち連続する階層にある）になるサブセットを第１特別サブセット（スペシャルサブセット：ＳｐｅｃｉａｌＳｕｂｓｅｔ）ＳＳ_ｉ，ｊと定義するものとする。ここで、木のルートを除く各ノードは、それぞれ唯一の親ノードを持つので、ＳＳ_ｉ，ｊのｊには、ｊ＝２，３，・・・，２Ｎ−１なるｊがただ１度ずつ使用されることに注意されたい。さらに、階層木のすべてのリーフを含むルートを頂点とする全体木の集合として定義されたサブセットＳ_１，φを第２特別サブセットＳＳ_１，φと定義するものとする。

さらに、第１特別サブセットＳＳ_ｉ，ｊに対応するラベルＬＡＢＥＬ_ｉ，ｊ（ｊ＝２，３，・・・，２Ｎ−１）に対して、中間ラベル（ＩｎｔｅｒｍｅｄｉａｔｅＬａｂｅｌ，ＩＬ）ＩＬ_ｉ，ｊを定義し、第２特別サブセットＳＳ_１，φに対して、中間ラベルＩＬ_１，Φを定義する。

さらに、これらの中間ラベルを上述のＲａｂｉｎＴｒｅｅのノード対応値ＮＶ_ｊに対応付ける。すなわち、
第２特別サブセットＳＳ_１，φに対応する中間ラベルＩＬ_１，Φを、
ＩＬ_１，Φ＝ＮＶ_１
とし、
第１特別サブセットＳＳ_ｉ，ｊ（ｊ＝２，３，・・・，２Ｎ−１）に対応する中間ラベルＩＬ_ｉ，ｊを以下のように定義する。
ノード１から２Ｎ−１に対応するノード対応値として設定したＮＶ_ｊ（ｊ＝２，３，・・・，２Ｎ−１）をノードｊの兄弟ノードと親ノードで指定される第１特別なサブセットＳＳ_{Ｐ（ｊ），Ｓ（ｊ）}に対応する中間ラベルＩＬ_{Ｐ（ｊ），Ｓ（ｊ）}とする。すなわち、
ＩＬ_{Ｐ（ｊ），Ｓ（ｊ）}＝ＮＶ_ｊ
ただし、ｊ＝２，３，・・・，２Ｎ−１
とする。
なお、Ｐ（ｊ）はノードｊの親ノードであり、Ｓ（ｊ）はノードｊの兄弟ノードである。

上記の処理について、別の表現をすれば、ＲａｂｉｎＴｒｅｅのノード対応値ＮＶと中間ラベルＩＬとの対応を以下のように設定する。
ＩＬ_１，φ＝ＮＶ_１
の設定を行うとともに、ｊ＝１，２，・・・，Ｎ−１に対して、
ＩＬ_ｊ，２ｊ＝ＮＶ_２ｊ＋１
ＩＬ_{ｊ，２Ｊ＋１}＝ＮＶ_２ｊ
とする処理を行なう。

さらに、ラベルＬＡＢＥＬ_ｉ，ｊと中間ラベルＩＬ_ｉ，ｊとの関係を以下のように定める。
ＬＡＢＥＬ_ｉ，ｊ＝Ｈｃ（ＩＬ_ｉ，ｊ）
なお、関数Ｈｃは、サイズ｜Ｍ｜の値を、サイズＣのランダムな値にマップするハッシュ関数である。たとえばＣが１６０ｂｉｔの場合、任意のサイズの入力に対し１６０ｂｉｔの値を出力する関数としては上記のＳＨＡ−１があり、また、Ｃが１２８ｂｉｔの場合、任意のサイズの入力に対し１２８ｂｉｔの値を出力する関数としては、ＭＤ５などが知られており、これらの関数を適用することができる。なお、ＭＤ５についても、上述のＡ．Ｊ．Ｍｅｎｅｚｅｓ，Ｐ．Ｃ．ｖａｎＯｏｒｓｃｈｏｔａｎｄＳ．Ａ．Ｖａｎｓｔｏｎｅ著，"ＨａｎｄｂｏｏｋｏｆＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙ，"ＣＲＣＰｒｅｓｓ，１９９６に詳しい説明がある。

ノードキーはセッションキーなど受信機に送信すべき情報の暗号化に用いられるため、このサイズＣの決め方は、そこに用いる暗号アルゴリズムの鍵のサイズとすればよい。たとえば暗号アルゴリズムとして１２８ｂｉｔ鍵のＡＥＳ（ＡｄｖａｎｃｅｄＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄＦＩＰＳ１９７）を用いる場合には、Ｃを１２８ｂｉｔとすればよい。

図２４に具体的な例を示す。図２４において、ノードｊ５５１にはノード対応値としてのＮＶ_ｊが割り当てられる。

ノードｊ５５１の親ノードは、Ｐ（ｊ）５５２であり、兄弟ノードはＳ（ｊ）５５３である。ノードｊ５５１の兄弟ノードＳ（ｊ）５５３と親ノードＰ（ｊ）５５２で指定される第１の特別なサブセットＳＳ_{Ｐ（ｊ），Ｓ（ｊ）}は、図２４に示すサブセットＳＳ_{Ｐ（ｊ），Ｓ（ｊ）}５５０である。

このとき、サブセットＳＳ_{Ｐ（ｊ），Ｓ（ｊ）}５５０に対応するラベルは、ＬＡＢＥＬ_{Ｐ（ｊ），Ｓ（ｊ）}となるが、
ＬＡＢＥＬ_{Ｐ（ｊ），Ｓ（ｊ）}を、中間ラベルＩＬ_{Ｐ（ｊ），Ｓ（ｊ）}（これはノードｊ５５１のノード対応値ＮＶ_ｊに等しい）に基づいて算出される。すなわち、
ＬＡＢＥＬ_{Ｐ（ｊ），Ｓ（ｊ）}＝Ｈｃ（ＩＬ_{Ｐ（ｊ），Ｓ（ｊ）}）
である。
上記式は、
ＬＡＢＥＬ_{Ｐ（ｊ），Ｓ（ｊ）}＝Ｈｃ（ＮＶ_ｊ）
と等価である。

図２５に、（ａ）リボークする受信機がひとつもない場合に使用する全受信機を含む全体木に対応する第２の特別なサブセットＳＳ_１，φのラベルＬＡＢＥＬ_１，φと、（ｂ）ノードｉとノードｊが親子関係になっている第１の特別なサブセットＳＳ_ｉ，ｊ（ただし、上述のようにｊ＝２，３，・・・，２Ｎ−１である）に対応するラベルＬＡＢＥＬ_ｉ，ｊとの生成元データである中間ラベル（ＩＬ）としてのノード対応値ＮＶ_ｊの設定処理例を示す。

図２５において［ｉＮＶ_ｋｊ］は、
ＮＶ_ｋ＝ＩＬ_ｉ，ｊ
を示す。ただしｉはｊの先祖である。
例えば［１ＮＶ_３２］は、
ＮＶ_３＝ＩＬ_１，２
であることを示している。

このように、ノード対応値ＮＶ_ｊは、上述の第１の特別なサブセットＳＳ_ｉ，ｊと、第２の特別なサブセットＳＳ_１，φのラベルを算出可能な中間ラベルに対応する値として設定される。

また、図２５に示すＲａｂｉｎＴｒｅｅのＮ個の葉を、それぞれ左からｌｅａｆ_１，ｌｅａｆ_２，・・・・，ｌｅａｆ_Ｎと番号づけ（つまり、左端のｌｅａｆ_１のノード番号はＮであるため、ｌｅａｆ_ｉのノード番号はＮ−１＋ｉとなる）、ｌｅａｆ_ｉに受信機ｕｉを割り当てる。受信機ｕｉには、ｌｅａｆ_ｉの葉（ノード）に対応する値ＮＶ_{Ｎ−１＋ｉ}と、ｌｅａｆ_ｉからルートへ至るパス上のノードのｌｏｇＮ個のノード付加変数ｓａｌｔ_ｌを与える。なお、ノード対応値は中間ラベルに等しい。図２５に示したように受信機を割り当てた場合、葉であるノード１９に割り当てられた受信機ｕ４には、ノード１９のノード対応値ＮＶ_１９と、ノード１９からルートへのパス上のノードのノード付加変数であるｓａｌｔ_１９，ｓａｌｔ_９，ｓａｌｔ_４，ｓａｌｔ_２を与える。ノード対応値ＮＶ_１９は、中間ラベルＩＬ_９，１８に相当する。

このような設定とすることにより、受信機ｕ４は与えられたノード対応値：ＮＶ_１９（＝中間ラベルＩＬ_９，１８）と、ノード１９からルートへのパス上のノードのノード付加変数：ｓａｌｔ_１９，ｓａｌｔ_９，ｓａｌｔ_４，ｓａｌｔ_２を用いて、ノード１９からルートへのパス上の全てのノードの値、すなわちノード対応値ＮＶ（＝中間ラベルＩＬ）を求めることができる。ノード１９からルートへのパス上のノード対応値ＮＶと中間ラベルＩＬの対応は、以下のような設定である。
ＮＶ_１９＝ＩＬ_９，１８
ＮＶ_９＝ＩＬ_４，８
ＮＶ_４＝ＩＬ_２，５
ＮＶ_２＝ＩＬ_１，３
ＮＶ_１＝ＩＬ_１，Φ

受信機ｕ４における上位ノード（ノード番号＝１，２，４，９）のノード対応値ＮＶ（中間ラベル）の算出は、以下の処理手順で実行されることになる。

（ａ１）ノード１９のノード対応値ＮＶ_１９（＝中間ラベルＩＬ_９，１８）から上位ノード９のノード対応値ＮＶ_９（＝中間ラベルＩＬ_４，８）の算出、
ＮＶ_９（＝中間ラベルＩＬ_４，８）＝（（ＮＶ_１９）^２＋Ｈ（１９||ｓａｌｔ_１９））ｍｏｄＭ
（ａ２）ノード９のノード対応値ＮＶ_９（＝中間ラベルＩＬ_４，８）から上位ノード４のノード対応値ＮＶ_４（＝中間ラベルＩＬ_２，５）の算出、
ＮＶ_４（＝中間ラベルＩＬ_２，５）＝（（ＮＶ_９）^２＋Ｈ（９||ｓａｌｔ_９））ｍｏｄＭ
（ａ３）ノード４のノード対応値ＮＶ_４（＝中間ラベルＩＬ_２，５）から上位ノード２のノード対応値ＮＶ_２（＝中間ラベルＩＬ_１，３）の算出、
ＮＶ_２（＝中間ラベルＩＬ_１，３）＝（（ＮＶ_４）^２＋Ｈ（４||ｓａｌｔ_４））ｍｏｄＭ
（ａ４）ノード２のノード対応値ＮＶ_２（＝中間ラベルＩＬ_１，３）から上位ノード１のノード対応値ＮＶ_１（＝中間ラベルＩＬ_１，Φ）の算出、
ＮＶ_１（＝中間ラベルＩＬ_１，Φ）＝（（ＮＶ_２）^２＋Ｈ（２||ｓａｌｔ_２））ｍｏｄＭ
上記式に基づく演算により、下位ノードのノード対応値から上位ノードのノード対応値を算出する。

さらに、各ノードのノード対応値（中間ラベル）からラベル（ＬＡＢＥＬ）が以下の式によって算出できる。
（ｂ１）ノード１９のノード対応値ＮＶ_１９（＝中間ラベルＩＬ_９，１８）からノード１９のラベル（ＬＡＢＥＬ_９，１８）を算出、
ＬＡＢＥＬ_９，１８＝Ｈｃ（ＩＬ_９，１８）
（ｂ２）ノード９のノード対応値ＮＶ_９（＝中間ラベルＩＬ_４，８）からノード９のラベル（ＬＡＢＥＬ_４，８）を算出、
ＬＡＢＥＬ_４，８＝Ｈｃ（ＩＬ_４，８）
（ｂ３）ノード４のノード対応値ＮＶ_４（＝中間ラベルＩＬ_２，５）からノード４のラベル（ＬＡＢＥＬ_２，５）を算出、
ＬＡＢＥＬ_２，５＝Ｈｃ（ＩＬ_２，５）
（ｂ４）ノード２のノード対応値ＮＶ_２（＝中間ラベルＩＬ_１，３）からノード２のラベル（ＬＡＢＥＬ_１，３）を算出、
ＬＡＢＥＬ_１，３＝Ｈｃ（ＩＬ_１，３）
（ｂ５）ノード１のノード対応値ＮＶ_１（＝中間ラベルＩＬ_１，Φ）からノード１のラベル（ＬＡＢＥＬ_１，Φ）を算出、
ＬＡＢＥＬ_１，Φ＝Ｈｃ（ＩＬ_１，Φ）

ところで、受信機ｕ４は、ノード対応値ＮＶ_１９は秘密に保管しておく必要があるが、各ノード付加変数ｓａｌｔは秘密にしておく必要はない。

上述した構成とすることで、リーフ（葉）数＝Ｎの２分木構成において、各リーフ（葉）に対応して設定された各受信機は、従来のＳＤ方式において、本来、自身が保持すべきラベルＬＡＢＥＬ_ｉ，ｊのうち、ノードｉとノードｊが親子関係になるｌｏｇＮ個のラベルＬＡＢＥＬ_ｉ，ｊと、リボークすべき受信機がないという特別な場合に使用する全受信機を含む集合であるサブセットＳ_１，φに対応するラベルであるＬＡＢＥＬ_１，φを１つの中間ラベルに基づいて生成することが可能となる。結果として、各受信機が秘密に保持すべきラベルの個数をｌｏｇＮ個削減することができる。

［８．ＳＤ方式にＲａｂｉｎＴｒｅｅを適用した暗号文配信、復号処理］
次に、ＳＤ方式にＲａｂｉｎＴｒｅｅを適用した暗号文配信、復号処理例について説明する。以下、
（８−１）セットアップ処理
（８−２）情報配信処理
（８−３）受信および復号処理
の各処理について順次、説明する。

（８−１）セットアップ処理
セットアップ処理はシステムの立ち上げ時に１度だけ行う。これ以降の情報配信および受信と復号の処理は、送信すべき情報が生じる毎に実行する。たとえば新しいコンテンツを格納したＤＶＤディスクなどのコンテンツ格納記録媒体が作成され、ユーザに対して配布される毎、あるいはインターネットを介して暗号化コンテンツが配信される毎に繰り返し行う。

セットアップ処理は、以下のステップ１〜４の処理によって実行する。各ステップについて説明する。

ａ．ステップ１
まず、管理センタ（ＴＣ）は、２分木でありＮ個のリーフ（葉）を持つ階層木を定義する。なお、この階層木は、上述の一方向性置換木とは別である。階層木中の各ノードに対応する識別子として、ｋ（ｋ＝１，２，・・・，２Ｎ−１）を設定する。ただしルートを１とし、以下、下層ノードについて順次、幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で、識別子（番号）付与を行う。すなわち、図２３に示すようなノード番号（ｙ）の設定を行なう。この処理により２分木中の各ノードにｙ＝１〜２Ｎ−１のノード番号が設定される。

受信機ｕｍ（ｍ＝１，２，...，Ｎ）を木の各葉（リーフ）に割り当てる。図２３の例では、ノード番号ｙ＝１６〜３１に受信機ｕ１〜ｕ１６の１６台の受信機が割り当てられる。

次に、各内部ノードｉ（ｉ＝１，２，・・・，Ｎ−１）について、ノードｉの子孫であるノードｊに対応するサブセットＳ_ｉ，ｊを定義する。さらに、上で定義されたすべてのサブセットＳ_ｉ，ｊの中で、ノードｉとノードｊが親子関係になっているものを第１の特別なサブセット（スペシャルサブセット：ＳｐｅｃｉａｌＳｕｂｓｅｔ）ＳＳ_ｉ，ｊと表すことにする。ここで、木のルートを除く各ノードは、それぞれ唯一の親ノードを持つので、ＳＳ_ｉ，ｊのｊには、ｊ＝２，３，・・・，２Ｎ−１なるｊがただ１度ずつ使用されることに注意されたい。さらに、リボークする受信機がひとつもない場合に使用する、全受信機を含む第２の特別なサブセットＳＳ_１，φを定義する。

ｂ．ステップ２
管理センタ（ＴＣ）は、まず、法Ｍのサイズ｜Ｍ｜（例えば１０２４ｂｉｔ）を定める。

さらに、擬似乱数生成器Ｇを定めて公開する。擬似乱数生成器Ｇは、先に図１８を参照して説明した擬似乱数生成器Ｇであり、Ｃビット入力に対して３Ｃビットの擬似乱数を出力するものであり、前述のＳＤ方式において適用されているＮｏａｒらの論文において説明されている擬似乱数生成器と同様のものである。

次に、木構造の葉（リーフ）数Ｎ、法Ｍのサイズ｜Ｍ｜を入力として用い、図８のフローを参照して説明したアルゴリズムに従って、法：Ｍと，任意サイズの値をランダムなＺ_Ｍの要素を出力するにマッピングする関数Ｈを定め、Ｎ個の葉を持つ２分木のＲａｂｉｎＴｒｅｅを作成する。まず、ルートノードのノード対応値としての値ＮＶ_１∈Ｚ^＊ _Ｍをランダムに選択し、その後、ノード１からノード２Ｎ−１に対応するノード対応値、すなわち、２Ｎ−１個の｜Ｍ｜ビットの数（ノード対応値）：ＮＶ_１，ＮＶ_２，・・・，ＮＶ_２Ｎ−１と、ノード２からノード２Ｎ−１に対応する２Ｎ−２個の数（ノード付加変数）：ｓａｌｔ_２，ｓａｌｔ_３，・・・，ｓａｌｔ_２Ｎ−１を定める。ｓａｌｔは秘密ではないので、管理センタ（ＴＣ）がこれらの値を公開してもよい。また管理センタ（ＴＣ）は法：Ｍと、マッピング関数：Ｈを公開する。また、サイズ｜Ｍ｜の値をサイズＣのランダムな値にマッピングする関数Ｈｃを定め、公開する。

管理センタ（ＴＣ）は、上述の処理において定めたノード対応値ＮＶ_１を、リボークする受信機がひとつもない場合に使用する全受信機を含む第２の特別なサブセットＳＳ_１，φのラベルＬＡＢＥＬ_１，φの生成元データとしての中間ラベル（ＩｎｔｅｒｍｅｄｉａｔｅＬａｂｅｌ，ＩＬ）として設定する。すなわち、
ＩＬ_１，φ＝ＮＶ_１
とする。

さらに、第２の特別なサブセットＳＳ_１，φのラベルをＬＡＢＥＬ_１，φを、上記の中間ラベルＩＬ_１，φに対する演算（Ｈｃ）によって算出する値とする。すなわち、
ＬＡＢＥＬ_１，φ＝Ｈｃ（ＩＬ_１，φ）
である。

さらに、すべてのサブセットＳ_ｉ，ｊの中で、ノードｉとノードｊが親子関係になっている第１の特別なサブセットＳＳ_ｉ，ｊ（ただし、上述のようにｊ＝２，３，・・・，２Ｎ−１である）に対応するラベルの生成元データとしての中間ラベルＩＬ_ｉ，ｊを下記のように定める。すなわち、前述のＲａｂｉｎＴｒｅｅ生成処理（図８参照）によってノード１から２Ｎ−１に対応する値として設定したノード対応値ＮＶ_１からＮＶ_２Ｎ−１の中のルートのノード対応値ＮＶ_１を除くＮＶ_ｊ（ｊ＝２，３，・・・，２Ｎ−１）をノードｊの兄弟ノードと親ノードで指定される第１の特別なサブセットＳＳ_{Ｐ（ｊ），Ｓ（ｊ）}に対応する中間ラベルＩＬ_{Ｐ（ｊ），Ｓ（ｊ）}とする。すなわち、
ＮＶ_ｊ＝ＩＬ_{Ｐ（ｊ），Ｓ（ｊ）}
とする。
なお、Ｐ（ｊ）はノードｊの親ノードであり、Ｓ（ｊ）はノードｊの兄弟ノードである。

また、ＬＡＢＥＬ_{Ｐ（ｊ），Ｓ（ｊ）}を、中間ラベルＩＬ_{Ｐ（ｊ），Ｓ（ｊ）}（これはノードｊ５５１のノード対応値ＮＶ_ｊに等しい）に基づいて算出される値とする。すなわち、
ＬＡＢＥＬ_{Ｐ（ｊ），Ｓ（ｊ）}＝Ｈｃ（ＩＬ_{Ｐ（ｊ），Ｓ（ｊ）}）
である。
上記式は、
ＬＡＢＥＬ_{Ｐ（ｊ），Ｓ（ｊ）}＝Ｈｃ（ＮＶ_ｊ）
と等価である。

上記の処理について、別の表現をすれば、ＲａｂｉｎＴｒｅｅのノード対応値ＮＶと中間ラベルＩＬとの対応を以下のように設定する。
ＩＬ_１，φ＝ＮＶ_１
また、ｊ＝１，２，・・・，Ｎ−１に対して、
ＩＬ_ｊ，２ｊ＝ＮＶ_２ｊ＋１
ＩＬ_{ｊ，２ｊ＋１}＝ＮＶ_２ｊ
とする処理を行なうとともに、これらの特別サブセットに対応するラベルＬＡＢＥＬ_ｉ，ｊを中間ラベルＩＬ_ｉ，ｊから以下の式によって算出し、各特別サブセットに対応するラベルＬＡＢＥＬ_ｉ，ｊとして設定する。
ＬＡＢＥＬ_ｉ，ｊ＝Ｈｃ（ＩＬ_ｉ，ｊ）

ｃ．ステップ３
次に、管理センタ（ＴＣ）は、ノードｉとノードｊが親子関係になっている第１の特別なサブセットＳＳ_ｉ，ｊのラベルＬＡＢＥＬ_ｉ，ｊを擬似乱数生成器Ｇに入力し、ノードｉを始点とした、ノードｊの子ノードのラベルＬＡＢＥＬ_{ｉ，ＬＣ（ｊ）}と、ＬＡＢＥＬ_{ｉ，ＲＣ（ｊ）}を求める。

すなわち、ビット数ＣのＬＡＢＥＬ_ｉ，ｊを擬似乱数生成器Ｇに入力して得られる３Ｃビットの擬似乱数の上位ＣビットであるＧ_Ｌ（ＬＡＢＥＬ_ｉ，ｊ）を、ノードｉを始点とした、ノードｊの左の子ノードＬＣ（ｊ）に対応する（特別でない）サブセットＳ_{ｉ，ＬＣ（ｊ）}のラベルＬＡＢＥＬ_{ｉ，ＬＣ（ｊ）}として設定し、さらに、ビット数ＣのＬＡＢＥＬ_ｉ，ｊを擬似乱数生成器Ｇに入力して得られる３Ｃビットの擬似乱数の下位ＣビットであるＧ_Ｒ（ＬＡＢＥＬ_ｉ，ｊ）を、ノードｉを始点とした、ノードｊの右の子ノードＲＣ（ｊ）に対応する（特別でない）サブセットＳ_{ｉ，ＲＣ（ｊ）}のラベルＬＡＢＥＬ_{ｉ，ＲＣ（ｊ）}として設定する。すなわち、
ＬＡＢＥＬ_{ｉ，ＬＣ（ｊ）}＝Ｇ_Ｌ（ＬＡＢＥＬ_ｉ，ｊ）
ＬＡＢＥＬ_{ｉ，ＲＣ（ｊ）}＝Ｇ_Ｒ（ＬＡＢＥＬ_ｉ，ｊ）
として、各ラベルを設定する。

さらにこれらの出力（ラベル）を擬似乱数生成器Ｇに繰り返し入力することで、ノードｉを始点とした、ノードｊの子孫であるすべてのノードに対応するラベルを求める。これをすべての特別なサブセットＳＳ_ｉ，ｊのラベルに対して行い、ステップ１で定義したすべてのサブセットＳ_ｉ，ｊのラベルを求める。

ｄ．ステップ４
次に管理センタ（ＴＣ）は、受信機ｕｍに対して提供するラベル、すなわち、受信機ｕｍが保管すべきラベルを決定する。

まず、オリジナルのＳＤ方式において受信機ｕｍに対して与えるラベルを仮選択ラベルとして選択する。これは、受信機ｕｍが割り当てられたリーフ（葉）からルートに至るパスｍ（ｐａｔｈ−ｍ）上の内部ノードｉを始点とし、このリーフ（葉）からｉまでのパスから直接枝分かれしたノードｊに対応するサブセットＳ_ｉ，ｊのラベルＬＡＢＥＬ_ｉ，ｊと、上記の第２の特別なサブセットＳＳ'_１，φに対応するラベルＬＡＢＥＬ_１，φである。

図２６以下を参照して受信機に提供するラベルの決定処理について説明する。例えば、図２６のノード番号１９に対応する受信機ｕ４に対する仮選択ラベルとして、
ＬＡＢＥＬ_１，３、ＬＡＢＥＬ_１，５、ＬＡＢＥＬ_１，８、ＬＡＢＥＬ_１，１８、ＬＡＢＥＬ_２，５、ＬＡＢＥＬ_２，８、ＬＡＢＥＬ_２，１８、ＬＡＢＥＬ_４，８、ＬＡＢＥＬ_４，１８、ＬＡＢＥＬ_９，１８、ＬＡＢＥＬ_１，φの１１個のラベルが選択される。

管理センタ（ＴＣ）は、これらの仮選択ラベルの中から、受信機ｕｍに提供するラベルの再選択を行なう。なお、上記の１１個の仮選択ラベル中、ノードｉとノードｊが親子関係になっている第１の特別なサブセットＳＳ_ｉ，ｊのラベルは、ＬＡＢＥＬ_１，３、ＬＡＢＥＬ_２，５、ＬＡＢＥＬ_４，８、ＬＡＢＥＬ_９，１８の４つである。

管理センタ（ＴＣ）は、これらの仮選択ラベルのうち、前述した第１および第２の特別なサブセットに対応するものを除外したラベルを受信機ｕ４に対する最終選択ラベルすなわち提供ラベルとする。

さらに、管理センタ（ＴＣ）は、受信機に、その受信機が割り当てられているリーフ（葉）ｊの親ノードＰ（ｊ）を始点とし、ｊの兄弟ノードＳ（ｊ）に対応する特別なサブセットＳＳ_{Ｐ（ｊ），Ｓ（ｊ）}の中間ラベルＩＬ_{Ｐ（ｊ），Ｓ（ｊ）}（＝ノード対応値ＮＶ_ｊ）を与える。上記の例では、管理センタ（ＴＣ）は、受信機ｕ４に、ＩＬ_９，１８（＝ノード対応値ＮＶ_１９）を与える。受信機は与えられたラベルと中間ラベル（＝ノード対応値ＮＶ）を安全に保管する。

すなわち、まず、受信機ｕ４が持つ必要のあるラベル（ＬＡＢＥＬ）として、ＬＡＢＥＬ_ｉ，ｊのｉ，ｊの組を以下のものとしたラベルを仮選択ラベルとする。
ｉ＝１に対してｊ＝３，５，８，１８
ｉ＝２に対してｊ＝５，８，１８
ｉ＝４に対してｊ＝８，１８
ｉ＝９に対してｊ＝１８
リボークなしの場合用のＬＡＢＥＬを１つ

次に、上記の１１個の仮選択ラベルから、前述した第１および第２の特別なサブセットに対応するものを除外したラベルと、１つの中間ラベルを受信機ｕ４に対する最終選択ラベルすなわち提供ラベルとする。すなわち、ＬＡＢＥＬ_ｉ，ｊのｉ，ｊの組を以下のものとしたラベルを提供ラベルとする。
ｉ＝１に対してｊ＝５，８，１８
ｉ＝２に対してｊ＝８，１８
ｉ＝４に対してｊ＝１８
中間ラベルＩＬ_９，１８（＝ノード対応値ＮＶ_１９）
以上、６つのラベルと１つの中間ラベル（＝ノード対応値ＮＶ）を提供ラベルとする。

なお、上記例で示した受信機ｕ４以外の他の受信機ｕｍにおいても、与えられるラベルと中間ラベル（＝ノード対応値ＮＶ）の組み合わせは変わるものの、Ｎ＝１６の設定構成においては、各受信機ｕｍに対してそれぞれ６個のラベルと１個の中間ラベル（＝ノード対応値ＮＶ）が与えられる。

なお、受信機ｕｍに対する提供ラベルとして設定される１つの中間ラベル（＝ノード対応値ＮＶ）は、階層木において、受信機ｕｍに最も近い祖先によって定義される第１の特別なサブセット、すなわち、ノードｉとノードｊが親子関係になっている第１の特別なサブセットＳＳ_ｉ，ｊ（ただし、上述のようにｊ＝２，３，・・・，２Ｎ−１である）に対応する中間ラベルＩＬ_ｉ，ｊ（＝ノード対応値）となる。すなわち、階層木のリーフ（葉）対応の受信機に提供する１つの中間ラベルは、前述の第１特別サブセットを構成するサブセットＳ_ｉ，ｊ中、最下層の特別サブセットに対応する中間ラベルである。

図２７に、上記のセットアップで、管理センタ（ＴＣ）が行う処理のフローを示す。まず、ステップＳ５０１において、階層木の構成を定義する。ステップＳ５０２において、設定した階層木に対応してサブセットの定義を行なう。サブセット定義は、必ずしも全てのリーフを個別にリボーク可能とする設定に限らず、配信情報に応じて、例えば特定のリーフの集合をまとめてリボーク単位としたサブセットなど、任意の設定が可能である。

次に、ステップＳ５０３において、パラメータの設定、一方向性木の生成を行なう。ここでは、パラメータとして、葉（リーフ）の数＝Ｎ、パラメータである法Ｍのサイズ｜Ｍ｜を入力して、先に図８のフローを参照して説明したアルゴリズムに従って葉がＮ個である２分木のＲａｂｉｎＴｒｅｅを生成し、各ノードのノード対応値ＮＶ_ｊを算出する。なお、ここで、各ノードｊのノード対応値ＮＶ_ｊは、前述の式（数式１）を満足する。この過程で,法Ｍおよびマッピング関数Ｈを定める.またマッピング関数Ｈｃを定める.

ステップＳ５０４において、ノード対応値ＮＶ_ｊを中間ラベルの値として設定し、中間ラベル（ＩＬ）に基づいて、特別サブセット対応のラベルを算出する。すなわち、
ＩＬ_１，φ＝ＮＶ_１
また、ｙ＝１，２，・・・，Ｎ−１に対して、
ＩＬ_ｊ，２ｊ＝ＮＶ_２ｊ＋１
ＩＬ_{ｊ，２ｊ＋１}＝ＮＶ_２ｊ
とする。

なお、ここで求める中間ラベルは、
（ａ）リボークする受信機がひとつもない場合に使用する全受信機を含む第２の特別なサブセットＳＳ_１，φと、
（ｂ）ノードｉとノードｊが親子関係になっている第１の特別なサブセットＳＳ_ｉ，ｊ（ただし、上述のようにｊ＝２，３，・・・，２Ｎ−１である）と、
に対応する中間ラベルである。
さらに、これらの中間ラベルに基づいて、特別サブセット対応のラベルを算出する。特別サブセット対応のラベルは、中間ラベルに基づいて算出される。すなわち、これらの特別サブセットに対応するラベルＬＡＢＥＬ_ｉ，ｊを中間ラベルＩＬ_ｉ，ｊから以下の式によって算出し、各特別サブセットに対応するラベルＬＡＢＥＬ_ｉ，ｊとして設定する。
ＬＡＢＥＬ_ｉ，ｊ＝Ｈｃ（ＩＬ_ｉ，ｊ）

次にステップＳ５０５において、特別サブセット対応のラベルに基づいて特別サブセット非対応のラベルを算出する。例えば、第１の特別なサブセットＳＳ_ｉ，ｊのラベルＬＡＢＥＬ_ｉ，ｊを擬似乱数生成器Ｇに入力し、ノードｉを始点とした、ノードｊの子ノードのラベルＬＡＢＥＬ_{ｉ，ＬＣ（ｊ）}と、ＬＡＢＥＬ_{ｉ，ＲＣ（ｊ）}を求め、これらの処理を繰り返し実行して、設定したサブセット対応のラベルを全て算出する。

次に、ステップＳ５０６においてパラメータを公開する。公開対象のパラメータは、例えば、法Ｍである。さらに、ステップＳ５０７において擬似乱数生成器関数Ｇと、任意サイズの値をランダムなＺ_Ｍの要素にマッピングする関数Ｈと、サイズ｜Ｍ｜の値をサイズＣのランダムな値にマッピングする関数Ｈｃを公開する。

ステップＳ５０８において、階層木のリーフに対応して設定される各受信機へ提供するラベルおよび中間ラベルを選択する。この処理は、前述したように仮選択ラベルの選択と提供ラベルの選択の２段階処理として実行される。

すなわち、まず、受信機ｕｍが持つ必要のあるラベル（ＬＡＢＥＬ）として，オリジナルのＳＤ方式において与えるラベル、すなわち受信機ｕｍが割り当てられたリーフ（葉）からルートに至るパスｍ（ｐａｔｈ−ｍ）上の内部ノードｉを始点とし、このリーフ（葉）からｉまでのパスから直接枝分かれしたノードｊに対応するサブセットＳ_ｉ，ｊのラベルＬＡＢＥＬ_ｉ，ｊと、上記の第２の特別なサブセットＳＳ'_１，φに対応するラベルＬＡＢＥＬ_１，φを仮選択ラベルとして選択する。その後、仮選択ラベルから、前述した第１および第２の特別なサブセットに対応するものを除外したラベルＬＡＢＥＬ_ｉ，ｊと、１つの中間ラベル（＝ノード対応値ＮＶ）が提供ラベルとして設定される。

なお、提供ラベルとして設定される１つの中間ラベルは、階層木において、受信機ｕｍが割り当てられた葉ｎの親ノードと兄弟ノードによって定義される第１の特別なサブセット、すなわち、ノードｉが葉ｎの親ノードであり，ノードｊが葉ｎの兄弟ノードであるような第１の特別なサブセットＳＳ_ｉ，ｊ（ただし、ｊは葉であるためｊ＝Ｎ，Ｎ＋１，・・・，２Ｎ−１である）に対応する中間ラベルＩＬ_ｉ，ｊ（＝ノード対応値ＮＶ）となる。例えば、図２６に示すノード番号１９の設定された受信機ｕ４に対して提供する中間ラベルは、中間ラベルＩＬ_９，１８（＝ノード対応値ＮＶ_１９）となる。

ステップＳ５０９において、ステップＳ５０８で決定した受信機に対する提供ラベルを受信機に提供し、処理を終了する。なお、ラベルの提供は、予め受信機の製造時に耐タンパ型のメモリに格納するか、あるいは、情報漏れの発生しないセキュアな通信路、あるいは媒体などの手段を適用して行なう。なお、図２７に示す処理フローの各ステップは、必ずしもこの順番である必要はない。

（８−２）情報配信処理
次に、上述のセットアップ処理後に実行する秘密情報の送信処理の詳細について説明する。情報配信、すなわち秘密情報の送信は、管理センタ（ＴＣ）が１つ以上の暗号文を同報送信することによってなされる。それぞれの暗号文は、秘密情報をサブセットキーの１つを用いて暗号化したものである。例えば、管理センタが送信する秘密情報は、同じ送信秘密情報を異なるサブセットキーを用いて暗号化した複数の暗号文のセットとして構成される。

例えば秘密情報を暗号化コンテンツの復号に適用する鍵：コンテンツキーＫｃとした場合、コンテンツキーＫｃを複数のサブセットキーで暗号化した暗号文のセットを生成して提供する。例えば、
Ｅ（ＳＫ_ａ，ｂ，Ｋｃ），Ｅ（ＳＫ_ｃ，ｄ，Ｋｃ），Ｅ（ＳＫ_ｅ，ｆ，Ｋｃ）
の暗号文を生成して、ネットワーク配信あるいは記録媒体に格納して提供する。なお、Ｅ（Ａ，Ｂ）はデータＢを鍵Ａで暗号化したデータを意味する。上記例は３つの異なるサブセットキーを適用して暗号化した３つの暗号文からなる暗号文セットである。

サブセットキーＳＫ_ａ，ｂ、サブセットキーＳＫ_ｃ，ｄ、サブセットキーＳＫ_ｅ，ｆのそれぞれは、特定の機器をリボーク機器として設定するために管理センタ（ＴＣ）において選択されたサブセットに対応するサブセットキーである。

リボーク対象以外の受信機が、暗号文の暗号化に適用されたサブセットキーのいずれかを、受信機の保有するラベル（ラベルおよび中間ラベル）に基づいて生成可能であり、リボーク機器以外の正当な選択された受信機のみが、
Ｅ（ＳＫ_ａ，ｂ，Ｋｃ），Ｅ（ＳＫ_ｃ，ｄ，Ｋｃ），Ｅ（ＳＫ_ｅ，ｆ，Ｋｃ）
に含まれるいずれかの暗号文の復号によってコンテンツキーＫｃを取得することができる。

図２８に総受信機数Ｎ＝１６に設定した階層木構成において、受信機ｕ５，ｕ１１，ｕ１２をリボークする際に用いるサブセットを示す。受信機ｕ５，ｕ１１，ｕ１２をリボークする際に用いるサブセットは、図２８に示す２つのサブセットＳ_２，２０とＳ_３，１３である。

リボークされない受信機は２つのサブセットＳ_２，２０とＳ_３，１３のいずれかに含まれ、リボークされる受信機ｕ５，ｕ１１，ｕ１２はそのいずれにも含まれないので、これらのサブセットに対応するサブセットキーＳＫ_２，２０とＳＫ_３，１３を用いて秘密情報を暗号化して送信すれば、リボークされない受信機のみが暗号文を復号して秘密情報を得ることができる。

情報配信処理の処理手順について、図２９に示すフローを参照して説明する。図２９に示すフロー中の各ステップについて説明する。

まず管理センタ（ＴＣ）は、ステップＳ６０１において、リボーク受信機、すなわち送信秘密情報の提供対象外とする排除機器を選択する。なお、すべての受信機は、階層木構成のリーフに対応して設定されている。

次にステップＳ６０２において、決定したリボーク受信機に対応する階層木のリーフ位置に基づいて、秘密情報の配信名の際に適用するサブセットを決定する。例えば図２８の例では、リボーク受信機として受信機ｕ５，ｕ１１，ｕ１２を選択しており、適用するサブセットは２つのサブセットＳ_２，２０とＳ_３,１３となる。

ステップＳ６０３において、決定したサブセットに対応するサブセットキーを選択する。管理センタ（ＴＣ）は、予めサブセットに対応するサブセットキーを保持している。例えば図２８の例では、２つのサブセットＳ_２，２０とＳ_３,１３とに対応する２つのサブセットキーＳＫ_２，２０とＳＫ_３,１３とが選択される。

次に、ステップＳ６０４において、ステップＳ６０３で選択したサブセットキーを用いて秘密情報を暗号化して暗号文セットを生成する。例えば図２８の例では、２つのサブセットキーＳＫ_２，２０とＳＫ_３,１３を用いて秘密情報を暗号化して暗号文セットを生成する。例えば図２８の例では、２つのサブセットキーＳＫ_２，２０とＳＫ_３,１３とを用いて秘密情報（例えばコンテンツキーＫｃ）を暗号化して、以下の暗号文セット、
Ｅ（ＳＫ_２，２０，Ｋｃ），Ｅ（ＳＫ_３，１３，Ｋｃ）
を生成する。

ステップＳ６０５では、ステップＳ６０４において生成した暗号文セットを受信機に向けて送信（同報送信）する。送信される暗号文セットは、リボーク機器以外の受信機においてのみ復号可能な暗号文のみから構成され、リボーク機器においては復号できず、安全な情報配信が可能となる。

なお、暗号文セットの送信に際しては、暗号文に含まれる各サブセット対応の暗号文の配列情報としてのサブセット指定情報を併せて送信してもよい。受信機は、この指定情報に基づいて、自装置で生成可能なサブセットキーを適用した暗号文を容易に抽出可能となる。この具体手な方式としては、例えば、特開２００１−３５２３２２号公報に示されている鍵指定コードを利用する構成が適用可能である。

なお、暗号化に利用するサブセットキーは、管理センタ（ＴＣ）がセットアップフェイズにおいて作成して保管しておいたものを使用するようにしてもよいし、セットアップフェイズにおいて作成して保管しておいた各サブセットごとのラベルから擬似乱数生成器Ｇを用いて導出してもよい。

なお、リボークする受信機がない場合には、前述の第２の特別なサブセットＳＳ_１，φのサブセットキーＳＫ_１，φ＝Ｇ_Ｍ（ＬＡＢＥＬ_１，Φ）＝Ｇ_Ｍ（Ｈｃ（ＩＬ_１，Φ））用いて秘密情報の暗号化に用いる。

（８−３）受信および復号処理
リボークされない受信機は、上記のサブセットのいずれかただ１つに属しているので、そのサブセットに対応するサブセットキーを用いて作られた暗号文を復号すれば秘密情報を得ることができる。受信機が復号すべき暗号文を見つけるためには、前述のサブセット指定情報を用いればよい。暗号文を特定した後、受信機は所有するラベルまたは中間ラベルからサブセットキーを導出し、これを用いて暗号文を復号する。サブセットキーを導出する方法を以下に述べる。

受信機ｕｍはまず、暗号文の復号処理に適用する求めるべきサブセットキーＳＫ_ｉ，ｊに対応するサブセットＳ_ｉ，ｊのノードｊが、下記（Ａ），（Ｂ）のいずれであるかを判定する。
（Ａ）受信機が直接ラベルＬＡＢＥＬ_ｉ，ｋを持つノードｋの子孫である（ただしｊ＝ｋの場合を含む）か、
（Ｂ）ノードｉの子ノードのうち、受信機が割り当てられたリーフ（葉）ｎからルートへのパス上にないほうのノード（つまり、パス上にあるノードｉの子ノードの兄弟であるノード）ｋと一致するかその子孫であるか、（すなわち、ノードｊが、ＳＤ方式において受信機ｕｍにラベルが与えられたサブセットのうち、第１の特別なサブセットＳＳ_ｉ，ｋを構成するノードｋの子孫であるか）を判断する。

なお、リボークする受信機がなく、第２の特別なサブセットＳＳ_１，φのサブセットキーＳＫ_１，φが秘密情報の暗号化に用いられている場合には（Ｂ）であるとみなす。

（Ｂ）の場合には、下記のように、受信機に与えられている中間ラベルＩＬ_{Ｐ（ｎ），Ｓ（ｎ）}から特別なサブセットＳＳ_ｉ，ｋの中間ラベルを導出する。

まず、ｉ＝Ｐ（ｎ），ｊ＝ｋ＝Ｓ（ｎ）である場合には、受信機はすでにこの中間ラベル（＝ノード対応値ＮＶ）を持っているので特に何もする必要はない。そうでない場合は、受信機は中間ラベルＩＬ_{Ｐ（ｎ），Ｓ（ｎ）}に対し公開されている関数Ｆ、すなわち前述の（数式１）によって、上位のサブセットに対応する中間ラベル（＝ノード対応値ＮＶ）を順次計算していく。受信機が持つ中間ラベルＩＬ_{Ｐ（ｎ），Ｓ（ｎ）}に対し、受信機が割り当てられたリーフ（葉）ｎの親ノードＰ（ｎ）のさらに親ノードＰ（Ｐ（ｎ））を始点とし、ノードＰ（ｎ）の兄弟ノードＳ（Ｐ（ｎ））に対応する特別なサブセットＳＳ_{Ｐ（Ｐ（ｎ）），Ｓ（Ｐ（ｎ））}の中間ラベルＩＬ_{Ｐ（Ｐ（ｎ）），Ｓ（Ｐ（ｎ））}は、前述の数式１のノード対応値ＮＶを中間ラベルに置き換えた下式、すなわち、

・・・（数式３）
によって求められる。

これは、上述した先に説明したＲａｂｉｎＴｒｅｅのノード対応値の関係式（数式１）に基づくものである。

さらに、上位ノードのノード対応値ＮＶ（中間ラベル）は、下位ノードのノード対応値ＮＶ（中間ラベル）に基づいて算出される。例えば、図２６に示す受信機ｕ４における上位ノード（ノード番号＝１，２，４，９）のノード対応値ＮＶ（中間ラベル）の算出は、以下の処理手順で実行されることになる。

（ａ１）ＮＶ_９（＝中間ラベルＩＬ_４，８）＝（（ＮＶ_１９）^２＋Ｈ（１９||ｓａｌｔ_１９））ｍｏｄＭ
（ａ２）ＮＶ_４（＝中間ラベルＩＬ_２，５）＝（（ＮＶ_９）^２＋Ｈ（９||ｓａｌｔ_９））ｍｏｄＭ
（ａ３）ＮＶ_２（＝中間ラベルＩＬ_１，３）＝（（ＮＶ_４）^２＋Ｈ（４||ｓａｌｔ_４））ｍｏｄＭ
（ａ４）ＮＶ_１（＝中間ラベルＩＬ_１，Φ）＝（（ＮＶ_２）^２＋Ｈ（２||ｓａｌｔ_２））ｍｏｄＭ
上記式に基づく演算により、下位ノードのノード対応値から上位ノードのノード対応値を算出し、さらに、各ノードのノード対応値（中間ラベル）からラベル（ＬＡＢＥＬ）が以下の式によって算出できる。
（ｂ１）ＬＡＢＥＬ_９，１８＝Ｈｃ（ＩＬ_９，１８）
（ｂ２）ＬＡＢＥＬ_４，８＝Ｈｃ（ＩＬ_４，８）
（ｂ３）ＬＡＢＥＬ_２，５＝Ｈｃ（ＩＬ_２，５）
（ｂ４）ＬＡＢＥＬ_１，３＝Ｈｃ（ＩＬ_１，３）
（ｂ５）ＬＡＢＥＬ_１，Φ＝Ｈｃ（ＩＬ_１，Φ）

このように、あるノードｙとその親ノードＰ（ｙがあるとき、ノードＰ（ｙ）の親ノードＰ（Ｐ（ｙ））を始点とし、ノードＰ（ｙ）の兄弟ノードＳ（Ｐ（ｙ））に対応する特別なサブセットＳＳ_{Ｐ（Ｐ（ｙ）），Ｓ（Ｐ（ｙ））}の中間ラベルＩＬ_{Ｐ（Ｐ（ｙ）），Ｓ（Ｐ（ｙ））}は、下式、

によって求められる。
なおここで、ノードｙは受信機が割り当てられたリーフ（葉）からルートへのパス上に存在するノードである。

また、中間ラベルＩＬ_１，２、または、中間ラベルＩＬ_１，３に対して、下式、
ＩＬ_１，φ＝（（ＩＬ_１，２）^２＋Ｈ（３||ｓａｌｔ_３））ｍｏｄＭ
ＩＬ_１，φ＝（（ＩＬ_１，３）^２＋Ｈ（２||ｓａｌｔ_２））ｍｏｄＭ
によって、第２の特別なサブセットＳＳ_１，φに対応する中間ラベルＩＬ_１，φ＝Ｋを求めることができる。

受信機によって実行する具体的な中間ラベル取得処理について、図２８を参照して説明する。リーフ（葉）１９に割り当てられた受信機ｕ４は中間ラベルＩＬ_９，１８を保持している。公開パラメータとして法Ｍ、公開指数ｅとノード番号を用いた演算により、ノード９の親ノード４と兄弟ノード８で決定されるサブセットＳ_４，８の中間ラベルＩＬ_４，８を、
ＩＬ_４，８＝（（ＩＬ_９，１８）^２＋（１９||ｓａｌｔ_１９））ｍｏｄＭ
として求めることができる。

同様に、ノード４の親ノード２と兄弟ノード５で決定されるサブセットＳ_２，５の中間ラベルＩＬ_２，５を、
ＩＬ_２，５＝（（ＩＬ_４，８）^２＋（９||ｓａｌｔ_９））ｍｏｄＭ
として求めることができる。

この処理を繰り返していくことにより、受信機ｕ４は、上位の中間ラベルＩＬ_１，３、およびＩＬ_１，φを求めることができる。

上記のようにして、サブセットＳ_ｉ，ｋに対応する中間ラベルＩＬ_ｉ，ｋを導出したら、受信機はラベルＬＡＢＥＬ_ｉ，ｋを、
ＬＡＢＥＬ_ｉ，ｋ＝Ｈｃ（ＩＬ_ｉ，ｋ）として求める。

それから、先に図１８を用いて説明したように、擬似乱数生成器Ｇを用いて必要なサブセットＳ_ｉ，ｊのラベルＬＡＢＥＬ_ｉ，ｊを求め、さらにそのサブセットのサブセットキーＳＫ_ｉ，ｊを
ＳＫ_ｉ，ｊ＝Ｇ_Ｍ（ＬＡＢＥＬ_ｉ，ｊ）
により求め、このサブセットキーＳＫ_ｉ，ｊを用いて暗号文を復号する。

具体的なサブセットキーの導出処理例について、図３０を参照して説明する。図３０に示すように、受信機ｕ２，ｕ１１，ｕ１２がリボークされ、サブセットＳ_２，１７およびサブセットＳ_３，１３に対応するサブセットキーで暗号化された暗号文が同報配信されたとする。

受信機ｕ４は、ＬＡＢＥＬ_１，５，ＬＡＢＥＬ_１，８，ＬＡＢＥＬ_１，１８，ＬＡＢＥＬ_２，８，ＬＡＢＥＬ_２，１８，ＬＡＢＥＬ_４，１８，の６個のラベルと、ＩＬ_１，φ，ＩＬ_１，３，ＩＬ_２，５，ＩＬ_４，８を導出できる中間ラベルＩＬ_９，１８（ノード対応値ＮＶ_１９）を保持している。受信機ｕ４は上記の（Ａ）である。すなわち、受信機ｕ４はサブセットＳ_２，１７に対し、ノード１７の先祖であるノード８を用いたラベルＬＡＢＥＬ_２，８を直接保持しているため、これに擬似乱数生成器Ｇを必要な回数だけ適用することでサブセットキーＳＫ_２，１７を得ることができる。

また、同じセッティングで、受信機ｕ５は、ＬＡＢＥＬ_１，４，ＬＡＢＥＬ_１，１１，ＬＡＢＥＬ_１，２１，ＬＡＢＥＬ_２，１１，ＬＡＢＥＬ_２，２１，ＬＡＢＥＬ_５，２１の６個のラベルと、ＩＬ_１，φ，ＩＬ_１，３，ＩＬ_２，４，ＩＬ_５，１１を導出できる中間ラベルＩＬ_{１０，２１}（ノード対応値ＮＶ_２０）を保持している。受信機ｕ５は上記の（Ｂ）である。すなわち、受信機ｕ５はサブセットＳ_２，１７に対し、ノード１７の先祖であるノードｋを用いたラベルＬＡＢＥＬ_２，ｋを直接保持していない。このため、保持している中間ラベルＩＬ_{１０，２１}（ノード対応値ＮＶ_２０）から、ノード１７の先祖であるノード４に対応した中間ラベルＩＬ_２，４（ノード対応値ＮＶ_５）を先に述べた手法でまず導出し、その後にラベルＬＡＢＥＬ_２，４を求め、これに擬似乱数生成器Ｇを必要な回数だけ適用することでサブセットキーＳＫ_２，１７を得ることができる。

もし、リボークすべき受信機が１台もなく、サブセットとして第２の特別なサブセットＳＳ'_１，φが使用されていた場合、受信機ｕｍは、上記の処理により中間ラベルＩＬ_１，φ（ノード対応値ＮＶ_１）を求め、これを用いてラベルＬＡＢＥＬ_１，φを、
ラベルＬＡＢＥＬ_１，φ＝Ｈｃ（ＩＬ_１，φ）として計算し、
それを擬似乱数生成器Ｇに入力して出力の中央部分のＣビットを求める、すなわち、
ＳＫ_１，φ＝Ｇ_Ｍ（ＬＡＢＥＬ_１，φ）
によりサブセットＳ_１，φに対応するサブセットキーＳＫ_１，φを求め、これを暗号文の復号に用いる。

受信機によって実行する暗号文受領からサブセットキーの取得、復号処理の手順を図３１のフローチャートを参照して説明する。

受信機は、ステップＳ７０１において暗号文を受信すると、ステップＳ７０２において、受信機は、複数の暗号文からなる暗号文セットの中で自身が復号するものを決定する。これは、自身が生成可能なサブセットキーによって暗号化された暗号文を抽出する処理である。ここで、受信機が復号すべき暗号を決定できないということは、その受信機がリボークされていることを意味している。この暗号文選択処理は、例えば暗号文とともに送付されるサブセット指定情報に基づいて実行される。

暗号文を決定したら、ステップＳ７０３において、受信機は、その暗号文の暗号化に用いられたサブセットキーを上記の手法で導出する。

サブセットキーの導出処理の詳細手順について、図３２を参照して説明する。ステップＳ８０１において、受信機はまず、暗号文の復号処理に適用する求めるべきサブセットキーＳＫ_ｉ，ｊに対応するサブセットＳ_ｉ，ｊのノードｊが、
（Ａ）受信機が直接ラベルＬＡＢＥＬ_ｉ，ｋを持つノードｋの子孫である（ただしｊ＝ｋの場合を含む）か、
（Ｂ）ノードｉの子ノードのうち、受信機が割り当てられたリーフ（葉）ｎからルートへのパス上にないほうのノード（つまり、パス上にあるノードｉの子ノードの兄弟であるノード）ｋと一致するかその子孫であるか（すなわち、ノードｊが、ＳＤ方式において受信機ｕｍにラベルが与えられたサブセットのうち、第１の特別なサブセットＳＳ_ｉ，ｋを構成するノードｋの子孫であるか）
を判断する。なお、リボークする受信機がなく、第２の特別なサブセットＳＳ'_１，φのサブセットキーＳＫ_１，φが秘密情報の暗号化に用いられている場合には、（Ｂ）であるとみなす。

（Ａ）の場合には、ステップＳ８０３に進み、受信機が持つラベルに基づいて擬似乱数生成器Ｇを必要な回数適用して必要なサブセットキーを求める。
（Ｂ）の場合には、ステップＳ８０４に進み、受信機に与えられている中間ラベルＩＬ_{Ｐ（ｎ），Ｓ（ｎ）}（＝ノード対応値ＮＶ_ｎ）に基づいて、前述した式（数式１（＝数式３））を適用して必要な特別サブセット対応の中間ラベルを算出する。さらに、ステップＳ８０５において、算出した中間ラベルにもとつく関数Ｈｃを適用した計算によって、そのサブセットに対応するラベルＬＡＢＥＬを算出し、ステップＳ８０６において算出ラベルＬＡＢＥＬに基づいて擬似乱数生成器Ｇを適用して必要なサブセットキーを求める。

図３１のフローに戻る。上記処理によってサブセットキーを導出した受信機は、ステップＳ７０４において、ステップＳ７０２で暗号文セットから選択した暗号文を、ステップＳ７０３で導出したサブセットキーを適用して復号し、送信された秘密情報を得る。秘密情報はたとえばテレビ放送システムの暗号化コンテンツを復号するためのコンテンツキーであり、この場合には受信機は暗号化コンテンツを受信し、コンテンツキーを用いて復号して出力する。

次に、図３３、図３４を参照してラベルの設定処理、暗号文の生成処理を実行する情報処理装置、および暗号文の復号処理を実行する受信機としての情報処理装置の機能構成について説明する。

まず、図３３を参照してラベルの設定処理、暗号文の生成処理を実行する情報処理装置の構成について説明する。情報処理装置７１０は、一方向木（ＲａｂｉｎＴｒｅｅ）生成手段７１１、中間ラベルおよびラベル生成手段７１２、提供ラベル決定手段７１３、暗号文生成手段７１４、暗号文提供手段７１５を有する。

情報処理装置７１０は、階層木構成に基づくブロードキャストエンクリプション方式を適用し、排除（リボーク）機器を除く特定の選択機器にのみ復号可能とした暗号文の提供処理に適用する階層木を生成する情報処理装置であり、一方向木（ＲａｂｉｎＴｒｅｅ）生成手段７１１は、階層木を構成する各ノードに対応するノード対応値ＮＶを、少なくとも１つの下位ノードのノード対応値ＮＶと、ノード付加変数ｓａｌｔを適用して算出可能（数式１参照）とした一方向木としてのＲａｂｉｎＴｒｅｅを生成する。

中間ラベルおよびラベル生成手段７１２は、階層木を適用したＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、特別サブセットに対応するラベルの値を、中間ラベルに基づくマッピング関数Ｈｃによる算出値として設定する。

中間ラベルおよびラベル生成手段７１２において選択する特別サブセットは、
階層木において、ノードｉを頂点とする部分木からノードｉより下層のノードｊを頂点とする部分木を除く集合として定義されたサブセットＳ_ｉ，ｊ中、ノードｉおよびノードｊが階層木において直結された親子関係にある第１特別サブセットと、
階層木のすべてのリーフを含むルートを頂点とする全体木の集合として定義されたサブセットＳ_１，φである第２特別サブセットと、
の少なくともいずれかである。

中間ラベルおよびラベル生成手段７１２は、ＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、特別サブセットに対応するラベルに対応する中間ラベルをＲａｂｉｎＴｒｅｅのノード対応値ＮＶとして生成する。

具体的には、一方向木（ＲａｂｉｎＴｒｅｅ）生成手段７１１は、先に図８のフローを参照して説明したアルゴリズムに従ってノード対応値を設定したＲａｂｉｎＴｒｅｅを生成し、各ノード対応値を算出する。中間ラベルおよびラベル生成手段７１２は、このノード対応値を特別サブセット対応の中間ラベルとする。すなわち、上述の第１特別サブセットＳＳ_ｉ，と、第２特別サブセットＳＳ_１，φのラベルを算出可能な中間ラベルの値としてノード対応値を適用する。

さらに、中間ラベルに基づくマッピング関数Ｈｃにより特別サブセットのラベルを算出し、その後、これらの特別サブセット対応のラベルに対して擬似乱数生成器Ｇを適用した演算により、順次各サブセット対応のラベルを算出する。これらの処理は、先に、図１８を参照して説明した処理である。

提供ラベル決定手段７１３は、階層木の末端ノード対応の受信機に対する提供ラベルを決定する処理を実行する。提供ラベル決定手段７１３は、特別サブセットに対応しない特別サブセット非対応ラベルと、特別サブセットに対応するラベルを算出可能な中間ラベル（＝ノード対応値）とを受信機に対する提供ラベルとして決定する。

提供ラベル決定手段７１３の具体的処理は以下の通りである。まず、受信機ｕｍが割り当てられたリーフ（葉）からルートに至るパスｍ（ｐａｔｈ−ｍ）上の内部ノードｉを始点とし、このリーフ（葉）からｉまでのパスから直接枝分かれしたノードｊに対応するサブセットＳ_ｉ，ｊのラベルＬＡＢＥＬ_ｉ，ｊと、リボーク受信機がない場合に使用する全受信機を含む全体木に対応するサブセットＳＳ_１，φに対応するラベルＬＡＢＥＬ_１，φとを仮選択ラベルとし、この仮選択ラベルから特別サブセットに対応しない特別サブセット非対応ラベルを提供ラベルとし、さらに、特別サブセットに対応するラベルを算出可能な中間ラベル（＝ノード対応値）を選択して、これらを受信機ｕｍに対する最終提供ラベルとして決定する。

暗号文生成手段７１４は、中間ラベルおよびラベル生成手段７１２の生成したラベルから導出可能なサブセットキーを選択的に適用して暗号化処理を実行して暗号文を生成する。暗号文提供手段７１５は、このようにして生成された暗号文をネットワークまたは媒体に格納して提供する。

次に、図３４を参照して暗号文の復号処理を実行する受信機としての情報処理装置の機能構成について説明する。

暗号文の復号処理を実行する受信機としての情報処理装置７２０は、暗号文選択手段７２１、ラベル算出手段７２２、サブセットキー生成手段７２３、復号手段７２４、ラベルメモリ７２５を有する。

暗号文の復号処理を実行する受信機としての情報処理装置７２０は、階層木構成に基づくブロードキャストエンクリプション方式であるＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するサブセットキーによって暗号化された暗号文の復号処理を実行する情報処理装置７２０であり、暗号文選択手段７２１は、処理対象の暗号文から、自己のラベルメモリ７２５に保持するラベル、または自己の保持する中間ラベルから算出可能なラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーを適用して生成した暗号文を選択する。

ラベル算出手段７２２は、暗号文の適用サブセットキーが、保持ラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーでない場合に、受信機に与えられている中間ラベルＩＬ_{Ｐ（ｎ），Ｓ（ｎ）}（＝ノード対応値ＮＶ_ｎ）に基づく演算処理を実行して、必要な特別サブセット対応の中間ラベルを算出する。

具体的には、受信機に与えられ、メモリ７２５に格納されている中間ラベルＩＬ_{Ｐ（ｎ），Ｓ（ｎ）}（＝ノード対応値ＮＶ_ｎ）に基づいて、前述した式（数式３）を適用して必要な特別サブセット対応の中間ラベル（＝ノード対応値ＮＶ）を算出する。さらに、算出した中間ラベルに対してマッピング関数Ｈｃを適用した計算によって、そのサブセットに対応するラベルＬＡＢＥＬを算出する。

サブセットキー生成手段７２３は、メモリ７２５に格納されているラベル、あるいは、ラベル算出手段７２２において中間ラベルから算出されたラベルＬＡＢＥＬに基づいて擬似乱数生成器Ｇを適用して必要なサブセットキーを求める。

復号手段７２４は、サブセットキー生成手段７２３において算出したサブセットキーに基づいて、暗号文の復号処理を実行する。

図３５に、暗号文生成処理を実行する情報処理装置、および暗号文復号処理を実行する受信機としての情報処理装置８００のハードウェア構成例を示す。図中で点線で囲われたブロックは必ずしも備わっているわけではない。たとえばメディアインタフェース８０７は、受信機８００が光ディスクプレーヤ等である場合に装備する。入出力インタフェース８０３は、受信機８００が他の機器と情報のやりとりをしたり、アンテナからの信号を受信したりする場合に装備される。重要なのは、セキュア記憶部８０４であり、セットアップフェイズにおいて、管理センタ（ＴＣ）から与えられたデータ、例えばノードキー、またはノード対応値、またはラベルが安全に保管される。

情報処理装置８００は、図３５に示すように、コントローラ８０１、演算ユニット８０２、入出力インタフェース８０３、セキュア記憶部８０４、メイン記憶部８０５、ディスプレイ装置８０６、メディアインタフェース８０７を備える。

コントローラ８０１は、例えばコンピュータ・プログラムに従ったデータ処理を実行する制御部としての機能を有するＣＰＵによって構成される。演算ユニット８０２は、例えば暗号鍵の生成、乱数生成、及び暗号処理のための専用の演算部および暗号処理部として機能する。ラベルおよび中間ラベルの算出処理、ラベルに基づくサブセットキー算出処理を実行する。さらに、情報処理装置８００が受信機としての情報処理装置である場合、サブセットキーに基づく暗号文の復号処理を実行する。

入出力インタフェース８０３は、キーボード、マウス等の入力手段からのデータ入力や、外部出力装置に対するデータ出力、ネットワークを介したデータ送受信処理に対応するインタフェースである。

情報処理装置８００が暗号文生成処理を実行する情報処理装置である場合、セキュア記憶部８０４は、ＣＳ方式では、例えばセットアップフェイズにおいて生成するノードキー、各種ＩＤなど、安全にまたは秘密に保持すべきデータを保存する。ＳＤ方式では、サブセットから選択された特別サブセット対応のラベル（ＬＡＢＥＬ）を生成可能な中間ラベルと、特別サブセット非対応のラベル（ＬＡＢＥＬ）とを格納される。

なお、情報処理装置５００が受信機としての情報処理装置である場合、ＣＳ方式では、セキュア記憶部５０４に格納されるノードキーは、受信機ｕｍに対応するパスノードｍ［ＰａｔｈＮｏｄｅｓ−ｍ］に含まれるノードのノードキー中、一方向性関数Ｆに基づいて、保持するノードキーから算出できないノードキーのみとなる。またＳＤ方式では、管理センタ（ＴＣ）から与えられたノード対応値（中間ラベル）、ラベル、各種ＩＤなど、安全にまたは秘密に保持すべきデータが保存される。中間ラベルについては、サブセットから選択された特別サブセット対応のラベル（ＬＡＢＥＬ）を生成可能な中間ラベルと、特別サブセット非対応のラベル（ＬＡＢＥＬ）とが格納される。

情報処理装置８００が受信機としての情報処理装置であり、ＳＤ方式の対応を行なう構成である場合、セキュア記憶部８０４に格納される中間ラベルに基づいて生成されるラベルは、特別サブセット対応のラベル（ＬＡＢＥＬ）であり、具体的には、
（ａ）階層木において、ノードｉを頂点とする部分木からノードｉより下層のノードｊを頂点とする部分木を除く集合として定義されたサブセットＳ_ｉ，ｊ中、ノードｉおよびノードｊが階層木において直結された親子関係にある第１特別サブセット、
（ｂ）階層木のすべてのリーフを含むルートを頂点とする全体木の集合として定義されたサブセットＳ_１，φである第２特別サブセット、
上記（ａ），（ｂ）の特別サブセット対応のラベルである。

メイン記憶部８０５は、例えばコントローラ８０１において実行するデータ処理プログラム、その他、一時記憶処理パラメータ、プログラム実行のためのワーク領域等に使用されるメモリ領域である。セキュア記憶部８０４及びメイン記憶部８０５は、例えばＲＡＭ、ＲＯＭ等によって構成されるメモリである。ディスプレイ装置８０６は復号コンテンツの出力等に利用される。メディアインタフェース８０７は、ＣＤ、ＤＶＤ、ＭＤ等のメディアに対する読出／書込機能を提供する。

［９．ＢａｓｉｃＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ベーシックＬＳＤ）方式の概要］
次に、ＢａｓｉｃＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ベーシックＬＳＤ）方式の概要について説明する。

すでに公開されている文献［ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｇｒａｐｈｙ−Ｃｒｙｐｔｏ２００２，ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ２４４２，Ｓｐｒｉｎｇｅｒ，２００２，ｐｐ４７−６０「Ｄ．ＨａｌｅｖｙａｎｄＡ．Ｓｈａｍｉｒ著"ＴｈｅＬＳＤＢｒｏａｄｃａｓｔＥｎｃｒｙｐｔｉｏｎＳｃｈｅｍｅ"」］には、ＳＤ方式を改良したＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ方式が提案されている。ＬＳＤ方式には、Ｂａｓｉｃ（基本）方式と、その拡張であるＧｅｎｅｒａｌ（一般化）方式がある。ここではＢａｓｉｃ方式について説明する。

ＬＳＤ方式はＳＤ方式の拡張であり、レイヤという新たな概念を取り入れたものである。ＳＤ方式における木構造の中で、特定の高さを特別レベル（ＳｐｅｃｉａｌＬｅｖｅｌ）として定義する。ベーシックＬＳＤ方式においては特別レベルは、１種類だけであるが、一般化ＬＳＤ方式においては重要度の異なる複数の特別レベルを用いる。

いま、簡単のため、ｌｏｇ^１／２Ｎを整数であるとする。ベーシックＬＳＤ方式では、図３６に示すように、木のルートからリーフ（葉）に至るまでのそれぞれのレベル（階）のうち、ルートとリーフ（葉）のレベルを含むｌｏｇ^１／２Ｎごとのレベルを特別レベルであると決める。そして、隣り合う２つの特別レベルに挟まれた階層（両端の特別レベルを含む）を、レイヤと呼ぶ。図３６の例では、ルートのレベル、ノードｋを含むレベル、リーフ（葉）のレベルが特別レベルであり、ルートのレベルとノードｉを含むレベルとノードｋを含むレベルが１つのレイヤを構成する。またノードｋを含むレベルとノードｊを含むレベルとリーフ（葉）を含むレベルが別のレイヤを構成する。

ベーシックＬＳＤ方式においては、ＳＤ方式において定義されたサブセットＳ_ｉ，ｊのうち、（１）ノードｉとノードｊが同一レイヤにあるか、もしくは（２）ノードｉが特別レベルにあるか，少なくとも一方の条件を満たすものだけを定義する。このようにすると、ＳＤ方式において用いられたサブセットのうちのいくつかはベーシックＬＳＤ方式では定義されなくなってしまうが、このサブセットはベーシックＬＳＤ方式で定義されたサブセットの高々２つの和集合で表すことができる。たとえば図３６の例では、サブセットＳ_ｉ，ｊは、ベーシックＬＳＤ方式では定義されないが、ノードｉからノードｊへのパス上の、ノードｉに最も近い特別レベル上のノード（ノードｋ）を用いて、
Ｓ_ｉ，ｊ＝Ｓ_ｉ，ｋ∪Ｓ_ｋ，ｊ
と表すことができる。

つまり、ＳＤ方式においてはサブセットＳ_ｉ，ｋに対応するサブセットキーＳＫ_ｉ，ｋを用いて暗号化した１つの暗号文の代わりに、ベーシックＬＳＤ方式においてはサブセットＳ_ｉ，ｋとＳ_ｋ，ｊに対応するサブセットキーＳＫ_ｉ，ｋとＳＫ_ｋ，ｊを用いて暗号化した２つの暗号文を送信する。

この工夫により、送信される暗号文の数はＳＤ方式の高々２倍に増加するのみであり、一方、各受信機が保持するラベルの数は、上述したＳＤ方式よりも減らすことができる。

先に図２０を参照して、ＳＤ方式において各受信機が保持するラベルの数の説明を行なったが、同じセッティングの場合のベーシックＬＳＤ方式における各受信機が保持するラベルの数について、図３７を参照して説明する。図３７中の受信機ｕ４は、ｉ，ｊが同一レイヤにあるか、ｉが特別レベルにあるラベルＬＡＢＥＬ_ｉ，ｊのみ保持しておけばよい。すなわち、受信機ｕ４が保持するラベルは、ＬＡＢＥＬ_１，３，ＬＡＢＥＬ_１，５，ＬＡＢＥＬ_１，８，ＬＡＢＥＬ_１，１８，ＬＡＢＥＬ_２，５，ＬＡＢＥＬ_４，８，ＬＡＢＥＬ_４，１８，ＬＡＢＥＬ_９，１８となる。さらに、ＳＤ方式と同様に、リボークする受信機がない場合に用いる特別なラベルも保持する必要がある。

総受信機数をＮとしたときに、各受信機が保持しておくラベルの総数は下記のように求められる。まず、レイヤ１つあたりのラベル数は、ノードｉを決めるとラベル内でのｉの高さ分だけノードｊが存在するので、下式によって算出される数となる。

となる。

階層木にレイヤは、ｌｏｇ^１／２Ｎ個あるから、階層木全体のレイヤでのラベル数は下式によって算出される数となる。

である。

次にノードｉが特別レベルであるものを考えると、階層木全体におけるｉの高さ分だけノードｊが存在するので、ノードｉが特別レベルであるものを含む階層木全体のラベル数は下式によって算出される数となる。

である。

いま、ノードｉが特別レベルにあり、ノードｊが同一レイヤにあるものは重複して数えたので、その分を引く必要がある。この組み合わせは、１つのレイヤにつきｌｏｇ^１／２Ｎ個あるので全体ではｌｏｇＮ個である。これらと、リボークする受信機がない場合のための特別な１つを加えると、ベーシックＬＳＤ方式において各受信機が保持するラベルの総数は、下式によって与えられる数となる。

である。

［１０．ＲａｂｉｎＴｒｅｅを用いたベーシックＬＳＤ方式のラベル数削減構成］
次に、ＲａｂｉｎＴｒｅｅを用いたベーシックＬＳＤ方式のラベル数削減構成について説明する。前述のＳＤ方式を基にした本発明では、ノードｉがノードｊの親である場合のサブセットＳ_ｉ，ｊのラベルＬＡＢＥＬ_ｉ，ｊを求めるための中間ラベルＩＬ_ｉ，ｊを導出できる特定の中間ラベルをＲａｂｉｎＴｒｅｅにおけるノード対応値として設定して、この中間ラベル（＝ノード対応値）を１つだけ持つようにすることで、各受信機が持つラベルの数を減らした。この手法は、ベーシックＬＳＤ方式についても同様に適用することができる。

具体的な構成方法は、前述の本発明の実施例とほぼ同じである。ただ、セットアップ時に、管理センタ（ＴＣ）が擬似乱数生成器Ｇを用いてラベルＬＡＢＥＬ_ｉ，ｊを次々と作成していく際に、ノードｉが特別レベルにない場合、ｉの直下の特別レベルよりも下のノードをｊとするラベルは利用されないので、その特別レベルまででラベルの生成を止めることができる。また、作られたラベルを各受信機に配布する際も、上述の条件を満たす
ラベルのみが作成されているので、それだけを受信機に配布すればよい。

図３７を参照して説明したと同様のセッティングとして、一方向性置換木を用いたベーシックＬＳＤ方式のラベル数削減構成の具体例を図３８を参照して説明する。ベーシックＬＳＤ方式において、受信機ｕ４が保持するラベルは、図３７を参照して説明したように、ＬＡＢＥＬ_１，３，ＬＡＢＥＬ_１，５，ＬＡＢＥＬ_１，８，ＬＡＢＥＬ_１，１８，ＬＡＢＥＬ_２，５，ＬＡＢＥＬ_４，８，ＬＡＢＥＬ_４，１８，ＬＡＢＥＬ_９，１８と、さらに、ＳＤ方式と同様の、リボークする受信機がない場合に用いる特別なラベルの合計９個のラベルを保持しておく必要があった。これに対し、本発明のようにノードｉ，ｊが親子関係となるものと、リボークする受信機がない場合に使われる特別なサブセットに対応する中間ラベルＩＬ_ｉ，ｊおよびＩＬ_１，φを導出できる中間ラベルＩＬ_９，１８（ノード対応値ＮＶ_１９）を持つようにすると、４個のラベルＬＡＢＥＬ_１，５，ＬＡＢＥＬ_１，８，ＬＡＢＥＬ_１，１８，ＬＡＢＥＬ_４，１８と、１つの中間ラベルＩＬ_９，１８の合計５個を保持すればよい。

総受信機数をＮとした場合に本発明により削減できるラベルの個数を考える。本発明を適用しないベーシックＬＳＤ方式において、ノードｉ，ｊが親子関係になるようなラベルＬＡＢＥＬ_ｉ，ｊを各受信機がいくつ保持すべきかを考える。

ノードｉ，ｊが親子関係になっているときには、以下の３つの場合が考えられる。
（Ａ）ノードｉが特別レベルにある。
（Ｂ）ノードｊが特別レベルにある。
（Ｃ）ノードｉもｊも特別レベルにない。
これらのいずれの場合も、ノードｉ，ｊが親子関係にある（つまり、隣り合っている）場合には、ｉとｊは同一レイヤに存在する。すなわち、サブセットＳ_ｉ，ｊはベーシックＬＳＤ方式で定義されるための条件を満たしている。つまり、このようなサブセットはベーシックＬＳＤ方式で定義され使用されるため、受信機はそれに対応するＬＥＢＥＬ_ｉ，ｊを保持しておく必要がある。

ある受信機に対してこのようなノードｉ，ｊは、ｉの取り方が木の高さ分（すなわち、受信機が割り当てられたリーフ（葉）からルートへのパス上の、リーフ（葉）を除くノードすべて）あり、ｉを決めればｊがただ１つ決まる（ｉの子で、上記のパス上にないノード）ため、木の高さ分、すなわちｌｏｇＮ個だけ存在する。

本発明を用いて、これらのｌｏｇＮ個のラベルと１つの特別なラベルを、１つの中間ラベルから作り出すようにすることにより、受信機が保持するラベルの数を、
ｌｏｇＮ＋１−１＝ｌｏｇＮ
だけ削減することが可能となる。

上述のように、ベーシックＬＳＤ方式では受信機が保持するラベルの総数は、
ｌｏｇ^３／２Ｎ＋１
であったため、本発明を適用することによりこれを、
ｌｏｇ^３／２Ｎ−ｌｏｇＮ＋１
に削減することができる。

［１１．ＧｅｎｅｒａｌＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（一般化ＬＳＤ）方式の概要］
次に、ＧｅｎｅｒａｌＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（一般化ＬＳＤ）方式の概要について説明する。

ベーシックＬＳＤ方式では、１種類の特別レベルを用いていたが、ＧｅｎｅｒａｌＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（一般化ＬＳＤ）方式では、重要度の異なる複数の特別レベルを用いる。

ＬＳＤ方式を提案した論文と同様に、階層木において、ルートからノードｉを経てノードｊに至るパスを１本のグラフとして考える。木のルートとノードｊが端点となり、木のノードがグラフのノードとなり、端点以外のノードのひとつがノードｉとなっている。このグラフでは、各ノードはルートからの距離で表される。この距離は、ｄ桁のｂ進数（ただしｂ＝（ｌｏｇ^１／ｄＮ））で表される。たとえば、ルートは０...００と表され、その隣のノード（階層木構造で、ルートの子ノードであるノード）は０...０１と表される。

サブセットＳ_ｉ，ｊは、定義された変換（ノードからノードへの遷移）を組み合わせての、ノードｉからノードｊへの最終的な遷移であると考える。定義された変換は定義されたサブセットを表し、最終的な遷移に要する個々の遷移が、サブセットＳ_ｉ，ｊを分割して表すのに必要な定義されたサブセットを示す。もとの論文にあるように、ノードｉ，ｋ_１，ｋ_２，・・・，ｋ_ｄ−１，ｊがこの順で木のパス上に存在するときには、ＳＤ方式におけるサブセットＳ_ｉ，ｊは一般化ＬＳＤ方式においては、下式によって示される。

すなわち、ＳＤ方式におけるサブセットＳ_ｉ，ｊは一般化ＬＳＤ方式においては、高々ｄ個のサブセットの和集合で表される。

一般化ＬＳＤ方式では、ノードｉが上記のグラフで［ｘ］（→）ａ［０］（→）（ただしａは非ゼロの数字のうち一番右にある数字、［ｘ］（→）は任意の数字列、［０］（→）はゼロの列である）と表されるとき、［ｘ＋１］（→）０［０］（→）、もしくは、［ｘ］（→）ａ'［ｙ］（→）（ただしａ'＞ａであり、［ｙ］（→）は［０］（→）と同じ長さの任意の数字列）のいずれかで表されるノードｊへの遷移をすべて定義する。すなわち，そのようなｉ，ｊの組で表されるサブセットＳ_ｉ，ｊをすべて定義する．

このようにすると、ベーシックＬＳＤ方式は、一般化ＬＳＤ方式においてｄ＝２で、（一番右の）最終桁が０である２桁の数字で表されるレベルが特別レベルであるものと考えることができる。一般化ＬＳＤ方式では、ノードｉを表す数字における一番右のゼロの列の桁数が、そのレベルの重要度を表し、ノードｊはｉ＋１からｉよりも重要度の高い最初のノードまでのいずれのノード（両端のノードを含む）にもなる可能性がある。このようなセッティングで、たとえばｉ＝８２５９１７，ｊ＝８６４５６３とすると、ｉからｊへの遷移、すなわちＳＤ方式におけるサブセットＳ_ｉ，ｊは、
８２５９１７→８２５９２０→８２６０００→８３００００→８６４５６３
という一般化ＬＳＤ方式で定義された４つの遷移によって表すことができる。

すなわち、ｋ_１＝８２５９２０，ｋ_２＝８２６０００，ｋ_３＝８３００００とおけば、サブセットＳ_ｉ，ｊは下式によって示される。すなわち、

となる。

ＳＤ方式の上記のサブセットＳ_ｉ，ｊに属する受信機に秘密情報を伝送するためには、一般化ＬＳＤ方式においては、下式によって示されるサブセット、

に対応するサブセットキーで暗号化した４つの暗号文を送信する。

一般化ＬＳＤ方式で各受信機が保持すべきラベル数は、パラメータｄを大きくしていくことにより減少していき、最終的には、
Ｏ（ｌｏｇ^１＋εＮ）
を得る。ただしε＝１／ｄである。またこのとき、送信すべき暗号文数の上限は、
ｄ（２ｒ−１）
となる。詳細については上記の論文を参照されたい。

［１２．ＲａｂｉｎＴｒｅｅを用いた一般化ＬＳＤ方式のラベル数削減構成］
次に、ＲａｂｉｎＴｒｅｅを用いた一般化ＬＳＤ方式のラベル数削減構成について説明する。前述の、ベーシックＬＳＤ方式にＲａｂｉｎＴｒｅｅを用いて受信機が保持すべきラベル数を削減する手法は、一般化ＬＳＤ方式についても適用できる。具体的には、ベーシックＬＳＤ方式と一般化ＬＳＤ方式は定義されるサブセットが満たすべき条件が違うのみであり、ＲａｂｉｎＴｒｅｅを利用する部分に違いはない。

一般化ＬＳＤ方式においても、受信機ｕｍは、ＳＤ方式において定義され受信機ｕｍに与えられるラベルのうち、ノードｉ，ｊが親子関係になっているサブセットＳ_ｉ，ｊに対応するラベルＬＡＢＥＬ_ｉ，ｊをすべて保持しておく必要がある。これは、ノードｉとしてどんな値をとっても、その子ノードｊ（すなわちｉ＋１）への遷移は、上述の定義される遷移の条件に当てはまるためである。すなわち、ベーシックＬＳＤ方式と同様に、ある受信機にとって、保持すべきラベルのうちノードｉ，ｊが親子関係になっているものはｌｏｇＮ個ある。これらのラベルと特別なラベルを１つの中間ラベルから作り出すようにすることにより、ｌｏｇＮ個のラベルの削減が可能となる。もともと一般化ＬＳＤ方式で各受信機が保持しておくべきラベルの数は、
Ｏ（ｌｏｇ^１＋εＮ）
（ただしεは任意の正数）であったため、ここからｌｏｇＮ個のラベルを削減できることになる。

［１３．ＲａｂｉｎＴｒｅｅを適用したＳＤ方式の暗号文配信構成における計算量の削減についての考察］

従来のＳＤ方式の鍵削減方法に対し、上述したＲａｂｉｎＴｒｅｅを用いた本発明によるＳＤ方式の暗号文配信構成は受信機が必要とする計算量が小さいという利点を持つ。これについて説明する。ＲＳＡ暗号を利用したＳＤ方式との対比による考察を行う。

ＲＳＡ暗号を利用したＳＤおよびＬＳＤ方式においては、受信機があるノードの鍵ＮＫ_ｌからその親ノードの鍵、

を導出するために、下記式、

の計算を行う。

公開指数ｅとして２^１６＋１という値を用いたとき、ある数ｘのｅ乗を計算方法はいくつかあるが、「自乗と乗算のアルゴリズム」（前述のＡ．Ｊ．Ｍｅｎｅｚｅｓ，Ｐ．Ｃ．ｖａｎＯｏｒｓｃｈｏｔａｎｄＳ．Ａ．Ｖａｎｓｔｏｎｅ著，"ＨａｎｄｂｏｏｋｏｆＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙ，"ＣＲＣＰｒｅｓｓ，１９９６，ｐ６１４参照）を用いた場合、１６回の自乗算と１回の乗算が必要となる。ここで、自乗算は乗算の特殊な場合であり、これを利用して計算量は乗算に比べて小さくできるため、上記の計算量は自乗算１７回分よりも大きくなる。

これに対し、上述した本発明のＲａｂｉｎＴｒｅｅを適用したＳＤ方式による暗号文配信構成では、受信機は、自己の保有するノード対応値ＮＶｌと、ノード付加変数ｓａｌｔに基づいて、前述の（数式１）に基づく演算、すなわち、

上述したように、ＲＳＡ暗号を利用した方式と比較した場合、本方式では、受信機に必要とされる計算量として大きな負荷であるべき乗剰余演算が自乗算１回で行える構成であり、ＲＳＡ暗号を利用した方式と比較すると約１／１７と非常に小さくすることができる。また、もしＲＳＡ暗号を用いた方式において、公開指数ｅとして３という値を用いた場合でも、ＮＫ_ｌ ^ｅｍｏｄＭの演算には１回の乗算と１回の自乗算が必要であり、本発明の計算量は１／２より小さくなる。

さらに、従来型のＳＤ方式、基本ＬＳＤ（ＢａｓｉｃＬＳＤ）、一般化ＬＳＤ（ＧｅｎｅｒａｌＬＳＤ）の各方式では、各受信機は、上述したように、それぞれ、
ＳＤ方式：（１／２）ｌｏｇ^２Ｎ＋（１／２）ｌｏｇＮ＋１個
基本ＬＳＤ方式：ｌｏｇ^２／３Ｎ＋１個
一般化ＬＳＤ方式：Ｏ（ｌｏｇ^１＋εＮ）
ただし、Ｎは総受信機数、εは、ε＞０を満たす任意の数、
上記式の個数のラベルを安全に保持することが必要となっていた

これに対して、本発明のＲａｂｉｎＴｒｅｅを適用した構成では、受信機が安全に保持すべきラベル数の削減が可能となる。すなわち、前述したように、本発明では、ノードｉとノードｊが親子関係（距離１、すなわち連続する階層にある）になるサブセット対応のラベルＬＡＢＥＬ_ｉ，ｊと、リボークすべき受信機がないという特別な場合に使用する全受信機を含む集合であるサブセットＳ_１，φに対応するラベルであるＬＡＢＥＬ_１，φに対して、ＲａｂｉｎＴｒｅｅを適用したノード対応値に対応する中間ラベルを設定し、この中間ラベルに基づいて、上位の特別サブセット対応の中間ラベル（＝ノード対応値）を算出可能な構成としたことで、受信機が保持するラベル数の削減が達成される。

なお、本発明の構成においては、ノード付加変数ｓａｌｔは安全に保持する必要はない。またノード付加変数ｓａｌｔは平均２ビットという小さなサイズであり、受信機におけるデータ保存の負担も少なくて済むというメリットがある。

以上、特定の実施例を参照しながら、本発明について詳解してきた。しかしながら、本発明の要旨を逸脱しない範囲で当業者が該実施例の修正や代用を成し得ることは自明である。すなわち、例示という形態で本発明を開示してきたのであり、限定的に解釈されるべきではない。本発明の要旨を判断するためには、冒頭に記載した特許請求の範囲の欄を参酌すべきである。

なお、明細書中において説明した一連の処理はハードウェア、またはソフトウェア、あるいは両者の複合構成によって実行することが可能である。ソフトウェアによる処理を実行する場合は、処理シーケンスを記録したプログラムを、専用のハードウェアに組み込まれたコンピュータ内のメモリにインストールして実行させるか、あるいは、各種処理が実行可能な汎用コンピュータにプログラムをインストールして実行させることが可能である。

例えば、プログラムは記録媒体としてのハードディスクやＲＯＭ（Read Only Memory)に予め記録しておくことができる。あるいは、プログラムはフレキシブルディスク、ＣＤ−ＲＯＭ(Compact Disc Read Only Memory)，ＭＯ(Magneto optical)ディスク，ＤＶＤ(Digital Versatile Disc)、磁気ディスク、半導体メモリなどのリムーバブル記録媒体に、一時的あるいは永続的に格納（記録）しておくことができる。このようなリムーバブル記録媒体は、いわゆるパッケージソフトウエアとして提供することができる。

なお、プログラムは、上述したようなリムーバブル記録媒体からコンピュータにインストールする他、ダウンロードサイトから、コンピュータに無線転送したり、ＬＡＮ(Local Area Network)、インターネットといったネットワークを介して、コンピュータに有線で転送し、コンピュータでは、そのようにして転送されてくるプログラムを受信し、内蔵するハードディスク等の記録媒体にインストールすることができる。

なお、明細書に記載された各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。また、本明細書においてシステムとは、複数の装置の論理的集合構成であり、各構成の装置が同一筐体内にあるものには限らない。

以上、説明したように、本発明の構成によれば、ブロードキャストエンクリプション（Broadcast Encryption）方式の一態様である階層型木構造を適用した情報配信構成において比較的に効率的な構成であるとされているＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式、およびＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＬＳＤ）方式において、階層木を構成する各ノードに対応してノード対応値を設定した一方向木として以下の構成を持つＲａｂｉｎＴｒｅｅを適用し、受信機において安全に保持することが要求される情報量を削減し、さらにサブセットキー算出に要する計算量を削減した。

２分木階層型木構造について説明する図である。２分木階層型木構造において、選択した情報処理装置のみが取得可能な情報を送信する方法を説明する図である。ＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ（ＣＳ）方式において適用するノードが２つに分岐する階層型木構造を説明する図である。ＣｏｍｐｌｅｔｅＳｕｂｔｒｅｅ（ＣＳ）方式においてリーフ対応の受信機の持つノードキーについて説明する図である。ＣＳ方式において秘密情報をリボークされない受信機のみに選択的に提供する構成について説明する図である。木構造における異なる部分木の対応について説明する図である。ＲＳＡ暗号の順方向置換および逆方向置換を用いて定義される木構造について説明する図である。本発明において適用する一方向置換木としてのＲａｂｉｎＴｒｅｅの生成処理、ノード対応値、ノード付加変数の算出手順を説明するフロー図である。本発明において適用する一方向置換木としてのＲａｂｉｎＴｒｅｅの木構造について説明する図である。ＲａｂｉｎＴｒｅｅを適用したＣＳ方式において、受信機に付与するデータを説明する図である。セットアップ処理のフローを示す図である。情報配信処理の手順について説明するフロー図である。ＲａｂｉｎＴｒｅｅを適用したＣＳ方式において、受信機に付与するデータを説明する図である。受信機における暗号文の復号処理手順を説明するフロー図である。ＣＳ方式におけるノードキーの決定処理、暗号文の生成処理を実行する情報処理装置の構成について説明する図である。ＣＳ方式における暗号文の復号処理を実行する受信機としての情報処理装置の機能構成について説明する図である。ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式におけるサブセットの定義について説明する図である。ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式におけるラベルの設定および構成について説明する図である。ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ（ＳＤ）方式におけるサブセットの設定について説明する図である。ＳＤ方式において、全受信機数Ｎ＝１６の設定の場合に各受信機が保持すべきラベルを示す図である。ＳＤ方式において、各受信機が保持すべきラベルの詳細について説明する図である。ＳＤ方式において、各受信機が保持すべきラベルの詳細について説明する図である。ＳＤ方式において、特定の受信機ｕ４が属するサブセットの詳細について説明する図である。ノードが親子関係になっている第１の特別なサブセットＳＳ_{Ｐ（ｙ），Ｓ（ｙ）}の構成例について説明する図である。特別なサブセット対応のラベルと、図８を参照して説明したアルゴリズムによって算出した２Ｎ−１個の中間ラベルとして利用されるノード対応値ＮＶ_１，ＮＶ_２，...，ＮＶ_２Ｎ−１との対応を示す図である。受信機に提供するラベルの決定処理について説明する図である。セットアップ処理のフローを示す図である。総受信機数Ｎ＝１６に設定した階層木構成において、受信機ｕ５，ｕ１１，ｕ１２をリボークする際に用いるサブセットを示す図である。情報配信処理の処理手順について説明するフローを示す図である。具体的なサブセットキーの導出処理例について説明する図である。受信機によって実行する暗号文受領からサブセットキーの取得、復号処理の手順を説明するフローチャートを示す図である。ＲａｂｉｎＴｒｅｅを適用したＳＤ方式において、受信機におけるサブセットキー導出処理の詳細手順について説明するフロー図である。ＳＤ方式において、ラベルの決定処理、暗号文の生成処理を実行する情報処理装置の構成について説明する図である。ＳＤ方式において、暗号文の復号処理を実行する受信機としての情報処理装置の機能構成について説明する図である。情報処理装置のハードウェア構成例としてのブロック図を示す図である。ベーシックＬＳＤ方式について説明する図である。ベーシックＬＳＤ方式における各受信機が保持するラベルの数について説明する図である。ＲａｂｉｎＴｒｅｅを用いたベーシックＬＳＤ方式のラベル数削減構成について説明する図である。

符号の説明

１０１情報処理装置
２０１ノード
２３０部分木
２３１，２３２ノード
２３５部分木
４１０情報処理装置
４１１一方向木（ＲａｂｉｎＴｒｅｅ）生成手段
４１２ノードキー生成手段
４１３提供情報決定手段
４１４暗号文生成手段
４１５暗号文提供手段
４２０情報処理装置
４２１暗号文選択手段
４２２ノードキー算出手段
４２３復号手段
４２４メモリ
５３１，５３２ノード
５５０サブセット
５５１ノード
５５２親ノードＰ（ｊ）
５５３兄弟ノードＳ（ｊ）
３１０サブセット
７１０情報処理装置
７１１一方向木（ＲａｂｉｎＴｒｅｅ）生成手段
７１２中間ラベルおよびラベル生成手段
７１３提供ラベル決定手段
７１４暗号文生成手段
７１５暗号文提供手段
７２０情報処理装置
７２１暗号文選択手段
７２２ラベル算出手段
７２３復号手段
７２４メモリ
８００情報処理装置
８０１コントローラ
８０２演算ユニット
８０３入出力インタフェース
８０４セキュア記憶部
８０５メイン記憶部
８０６ディスプレイ装置
８０７メディアインタフェース

Claims

階層木構成に基づくブロードキャストエンクリプション方式により特定選択機器のみの復号を可能とした暗号文の提供処理に適用する階層木を生成する情報処理方法であり、
階層木を構成する各ノードに対応するノード対応値ＮＶ_ａを、少なくとも１つの下位ノードに対応して設定されたノード対応値ＮＶ_ｂとノード付加変数ｓａｌｔ_ｂに基づく関数ｆの適用によって算出可能に設定したノード対応値を各ノードに設定した一方向木を生成する一方向木生成ステップと、
階層木を適用したＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルの値を演算処理により算出可能な値として設定した中間ラベル（ＩＬ）を、前記ノード対応値として設定する中間ラベル生成ステップと、
前記中間ラベルに基づく演算処理により、前記特別サブセット対応のラベルを生成し、さらに該生成ラベルに基づく演算により特別サブセット非対応のラベルを生成するラベル生成ステップと、
前記階層木の末端ノード対応の受信機に対する提供ラベルを決定するステップであり、
前記特別サブセットに対応しない特別サブセット非対応ラベルと、
前記一方向木の末端ノード対応の受信機に提供する情報として、受信機対応ノードから最上位ノードとしてのルートに至るパスに含まれるノードのノード対応値を算出するために必要となる最小限の中間ラベルとしてのノード対応値とノード付加変数を選択する提供情報決定ステップと、
を有することを特徴とする情報処理方法。
前記一方向木生成ステップは、
下位ノードのノード対応値に基づくＲａｂｉｎ暗号を適用した暗号化処理（順方向演算）によって上位ノードのノード対応値が算出可能であり、上位ノードのノード対応値に基づくＲａｂｉｎ暗号を適用した復号処理（逆方向演算）によって下位ノードのノード対応値が算出可能な設定を有する一方向木を生成することを特徴とする請求項１に記載の情報処理方法。
前記情報処理方法は、さらに、
前記ラベル生成ステップにおいて生成したサブセット対応の各ラベルから導出されるサブセットキーを選択的に適用して暗号化処理を実行して暗号文を生成し、前記受信機に提供する暗号文生成ステップを有することを特徴とする請求項１に記載の情報処理方法。
前記一方向木生成ステップは、
末端ノード数Ｎの２分木構成を持つ階層木において、２分木において上位ノードから幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で付与したノード番号ｌ（エル）の設定された各ノードｌ（エル）のノード対応値ＮＶ_ｌ（ｌ＝２，３，・・・，２Ｎ−１）が、下式、

ただし、Ｍは２つの大きな素数の積、Ｈは、Ｚ_Ｍの要素を出力するマッピング関数である、
の関係を満たす一方向木を生成することを特徴とする請求項１に記載の情報処理方法。
前記一方向木生成ステップは、
末端ノード数Ｎの２分木構成を持つ階層木において、
末端ノード数としての葉数：Ｎと、法Ｍのサイズ：｜Ｍ｜を入力とし、
ステップ１：サイズ｜Ｍ｜／２の２つの大きな素数を定め、その積Ｍを計算する、
ステップ２：Ｚ_Ｍの要素を出力するマッピング関数：Ｈを定める、
ステップ３：前記２分木の最上位ノードであるルートノードのノード対応値ＮＶ_１をＮＶ_１∈Ｚ^＊ _Ｍを満足する値としてランダムに選択する、
ステップ４：ｌ（エル）をカウンタとして２から２Ｎ−１ずつ増加させながら下記ａ，ｂの処理を行う、
ａ．下記式、

上記式において、Ｍを法とする平方剰余になるような最小の正整数ｓａｌｔ_ｌを見つける、
ｂ．ｔｍｐ_ｌ ^１／２ｍｏｄＭを求め、４つの解のうちのいずれかを、ノードｌ（エル）のノード対応値ＮＶ_ｌと定める、
ステップ５：
２Ｎ−１個の｜Ｍ｜ビットの数（ノード対応値）：ＮＶ_１，ＮＶ_２，・・・，ＮＶ_２Ｎ−１と、
２Ｎ−２個の数（ノード付加変数）：ｓａｌｔ_２，ｓａｌｔ_３，・・・，ｓａｌｔ_２Ｎ−１を出力し、これらを２分木の各ノードｌ（ｌ＝１〜２Ｎ−１）のノード対応値およびノード付加変数とする、
上記ステップによって一方向木を生成することを特徴とする請求項４に記載の情報処理方法。
前記ラベル生成ステップは、
中間ラベルに相当するノード対応値ＮＶを入力とし、関数Ｈｃを適用した演算処理により、特別サブセットに対応するラベルの値を算出するステップを含むことを特徴とする請求項１に記載の情報処理方法。
前記ラベル生成ステップは、
特別サブセットに対応するラベルの値に対する擬似乱数生成処理により、他のラベルを生成するステップを含むことを特徴とする請求項１に記載の情報処理方法。
前記中間ラベル生成ステップにおいて選択する特別サブセットは、
階層木において、ノードｉを頂点とする部分木からノードｉより下層のノードｊを頂点とする部分木を除く集合として定義されたサブセットＳ_ｉ，ｊ中、ノードｉおよびノードｊが階層木において直結された親子関係にある第１特別サブセットと、
階層木のすべてのリーフを含むルートを頂点とする全体木の集合として定義されたサブセットＳ_１，φである第２特別サブセットと、
の少なくともいずれかであることを特徴とする請求項１に記載の情報処理方法。
前記提供ラベル決定ステップは、
前記階層木の末端ノード対応の受信機に提供する１つの中間ラベルを前記第１特別サブセットを構成するサブセットＳ_ｉ，ｊ中、最下層のサブセットに対応する中間ラベルに対応するノード対応値とするステップであることを特徴とする請求項１に記載の情報処理方法。
前記中間ラベル生成ステップは、
階層木中に設定した１つの特別レベルによって分離したレイヤ別のサブセット管理構成を持つベーシックＬＳＤ（ＢａｓｉｃＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に従って設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルを、該特別サブセット対応の中間ラベル（ＩＬ）から算出可能な値として設定するステップであることを特徴とする請求項１乃至９いずれかに記載の情報処理方法。
前記中間ラベル生成ステップは、
階層木中に設定した複数の特別レベルによって分離したレイヤ別のサブセット管理構成を持つ一般化ＬＳＤ（ＧｅｎｅｒａｌＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に従って設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルを、該特別サブセット対応の中間ラベル（ＩＬ）から算出可能な値として設定するステップであることを特徴とする請求項１乃至９いずれかに記載の情報処理方法。
階層木構成に基づくブロードキャストエンクリプション方式であるＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するサブセットキーによって暗号化された暗号文の復号処理を実行する復号処理方法であり、
前記暗号文から、自己の保持するラベル、または自己の保持する中間ラベルとしてのノード対応値ＮＶとノード付加変数ｓａｌｔに基づいて算出可能なラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーを適用して生成した暗号文を選択する暗号文選択ステップと、
暗号文の適用サブセットキーが、保持ラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーでない場合に、前記ノード対応値ＮＶとノード付加変数ｓａｌｔとに基づく演算処理を実行して特別サブセット対応のラベルを算出するラベル算出ステップと、
保持ラベルまたは算出ラベルに基づく擬似乱数生成処理によってサブセットキーを生成するステップと、
生成サブセットキーを適用して暗号文の復号処理を実行する復号ステップと、
を有することを特徴とする復号処理方法。
前記暗号文選択ステップは、
階層木の最上位ノードとしてのルートを１とし、幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で各ノードにノード番号を付与した階層木において、暗号化に使われたノードキーのノード番号の中から、受信機からルートに至るパス上のノードに含まれるノード番号と一致するものを見つけるステップであることを特徴とする請求項１２に記載の復号処理方法。
前記ラベル算出ステップは、
２分木において上位ノードから幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で付与したノード番号ｌ（エル）の設定された各ノードｌ（エル）のノード対応値ＮＶ_ｌ（ｌ＝２，３，・・・，２Ｎ−１）中、自己ノードから最上位ノードであるルートに至るパス上のノード対応値を、自己の保持するノード対応値ＮＶとノード付加変数ｓａｌｔに基づいて、下式、

ただし、Ｍは２つの大きな素数の積、Ｈは、Ｚ_Ｍの要素を出力するマッピング関数である、
を適用して算出するステップを含むことを特徴とする請求項１２に記載の復号処理方法。
前記ラベル算出ステップは、
自己の保持するノード対応値としての中間ラベルまたは、該ノード対応値に基づいて算出した自己ノードから最上位ノードであるルートに至るパス上のノード対応値としての中間ラベルに基づいて、下記式、
ＬＡＢＥＬ＝Ｈｃ（ＩＬ）
ただし、ＬＡＢＥＬ：ラベル、ＩＬ：中間ラベル、Ｈｃ：マッピング関数、
に基づいて算出するステップを含むことを特徴とする請求項１２に記載の復号処理方法。
前記ラベル算出ステップは、
暗号文の適用サブセットキーが、
階層木においてノードｉを頂点とする部分木からノードｉより下層のノードｊを頂点とする部分木を除く集合として定義されたサブセットＳ_ｉ，ｊ中、ノードｉおよびノードｊが階層木において直結された親子関係にある第１特別サブセット、または、階層木のすべてのリーフを含むルートを頂点とする全体木の集合として定義されたサブセットＳ_１，φである第２特別サブセット、
のいずれかの特別サブセット対応のラベルに基づく擬似乱数生成処理により算出可能なサブセットキーであり、前記特別サブセット対応のラベルを保持していない場合に、
自己の保持する中間ラベルとしてのノード対応値ＮＶとノード付加変数ｓａｌｔに基づく演算処理を実行し、新たな中間ラベルとしてのノード対応値の算出を実行するステップを含むことを特徴とする請求項１２に記載の復号処理方法。
階層木構成に基づくブロードキャストエンクリプション方式により特定選択機器のみの復号を可能とした暗号文の提供処理に適用する階層木を生成する情報処理装置であり、
階層木を構成する各ノードに対応するノード対応値ＮＶ_ａを、少なくとも１つの下位ノードに対応して設定されたノード対応値ＮＶ_ｂとノード付加変数ｓａｌｔ_ｂに基づく関数ｆの適用によって算出可能に設定したノード対応値を各ノードに設定した一方向木を生成する一方向木生成手段と、
階層木を適用したＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルの値を演算処理により算出可能な値として設定した中間ラベル（ＩＬ）を、前記ノード対応値として設定する中間ラベル生成手段と、
前記中間ラベルに基づく演算処理により、前記特別サブセット対応のラベルを生成し、さらに該生成ラベルに基づく演算により特別サブセット非対応のラベルを生成するラベル生成手段と、
前記階層木の末端ノード対応の受信機に対する提供ラベルを決定するステップであり、
前記特別サブセットに対応しない特別サブセット非対応ラベルと、
前記一方向木の末端ノード対応の受信機に提供する情報として、受信機対応ノードから最上位ノードとしてのルートに至るパスに含まれるノードのノード対応値を算出するために必要となる最小限の中間ラベルとしてのノード対応値とノード付加変数を選択する提供情報決定手段と、
を有することを特徴とする情報処理装置。
前記一方向木生成手段は、
下位ノードのノード対応値に基づくＲａｂｉｎ暗号を適用した暗号化処理（順方向演算）によって上位ノードのノード対応値が算出可能であり、上位ノードのノード対応値に基づくＲａｂｉｎ暗号を適用した復号処理（逆方向演算）によって下位ノードのノード対応値が算出可能な設定を有する一方向木を生成する構成であることを特徴とする請求項１７に記載の情報処理装置。
前記情報処理装置は、さらに、
前記ラベル生成手段において生成したサブセット対応の各ラベルから導出されるサブセットキーを選択的に適用して暗号化処理を実行して暗号文を生成し、前記受信機に提供する暗号文生成手段を有することを特徴とする請求項１７に記載の情報処理装置。
前記一方向木生成手段は、
末端ノード数Ｎの２分木構成を持つ階層木において、２分木において上位ノードから幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で付与したノード番号ｌ（エル）の設定された各ノードｌ（エル）のノード対応値ＮＶ_ｌ（ｌ＝２，３，・・・，２Ｎ−１）が、下式、

ただし、Ｍは２つの大きな素数の積、Ｈは、Ｚ_Ｍの要素を出力するマッピング関数である、
の関係を満たす一方向木を生成する構成であることを特徴とする請求項１７に記載の情報処理装置。
前記一方向木生成手段は、
末端ノード数Ｎの２分木構成を持つ階層木において、
末端ノード数としての葉数：Ｎと、法Ｍのサイズ：｜Ｍ｜を入力とし、
ステップ１：サイズ｜Ｍ｜／２の２つの大きな素数を定め、その積Ｍを計算する、
ステップ２：Ｚ_Ｍの要素を出力するマッピング関数：Ｈを定める、
ステップ３：前記２分木の最上位ノードであるルートノードのノード対応値ＮＶ_１をＮＶ_１∈Ｚ^＊ _Ｍを満足する値としてランダムに選択する、
ステップ４：ｌ（エル）をカウンタとして２から２Ｎ−１ずつ増加させながら下記ａ，ｂの処理を行う、
ａ．下記式、

上記式において、Ｍを法とする平方剰余になるような最小の正整数ｓａｌｔ_ｌを見つける、
ｂ．ｔｍｐ_ｌ ^１／２ｍｏｄＭを求め、４つの解のうちのいずれかを、ノードｌ（エル）のノード対応値ＮＶ_ｌと定める、
ステップ５：
２Ｎ−１個の｜Ｍ｜ビットの数（ノード対応値）：ＮＶ_１，ＮＶ_２，・・・，ＮＶ_２Ｎ−１と、
２Ｎ−２個の数（ノード付加変数）：ｓａｌｔ_２，ｓａｌｔ_３，・・・，ｓａｌｔ_２Ｎ−１を出力し、これらを２分木の各ノードｌ（ｌ＝１〜２Ｎ−１）のノード対応値およびノード付加変数とする、
上記ステップによって一方向木を生成する構成であることを特徴とする請求項２０に記載の情報処理装置。
前記ラベル生成手段は、
中間ラベルに相当するノード対応値ＮＶを入力とし、関数Ｈｃを適用した演算処理により、特別サブセットに対応するラベルの値を算出する構成であることを特徴とする請求項１７に記載の情報処理装置。
前記ラベル生成手段は、
特別サブセットに対応するラベルの値に対する擬似乱数生成処理により、他のラベルを生成する構成であることを特徴とする請求項１７に記載の情報処理装置。
前記中間ラベル生成手段において選択する特別サブセットは、
階層木において、ノードｉを頂点とする部分木からノードｉより下層のノードｊを頂点とする部分木を除く集合として定義されたサブセットＳ_ｉ，ｊ中、ノードｉおよびノードｊが階層木において直結された親子関係にある第１特別サブセットと、
階層木のすべてのリーフを含むルートを頂点とする全体木の集合として定義されたサブセットＳ_１，φである第２特別サブセットと、
の少なくともいずれかであることを特徴とする請求項１７に記載の情報処理装置。
前記提供ラベル決定手段は、
前記階層木の末端ノード対応の受信機に提供する１つの中間ラベルを、前記第１特別サブセットを構成するサブセットＳ_ｉ，ｊ中、最下層のサブセットに対応する中間ラベルに対応するノード対応値とする構成であることを特徴とする請求項１７に記載の情報処理装置。
前記中間ラベル生成手段は、
階層木中に設定した１つの特別レベルによって分離したレイヤ別のサブセット管理構成を持つベーシックＬＳＤ（ＢａｓｉｃＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に従って設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルを、該特別サブセット対応の中間ラベル（ＩＬ）から算出可能な値として設定する構成であることを特徴とする請求項１７乃至２５いずれかに記載の情報処理装置。
前記中間ラベル生成手段は、
階層木中に設定した複数の特別レベルによって分離したレイヤ別のサブセット管理構成を持つ一般化ＬＳＤ（ＧｅｎｅｒａｌＬａｙｅｒｅｄＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に従って設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルを、該特別サブセット対応の中間ラベル（ＩＬ）から算出可能な値として設定する構成であることを特徴とする請求項１７乃至２５いずれかに記載の情報処理装置。
階層木構成に基づくブロードキャストエンクリプション方式であるＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するサブセットキーによって暗号化された暗号文の復号処理を実行する情報処理装置であり、
前記暗号文から、自己の保持するラベル、または自己の保持する中間ラベルとしてのノード対応値ＮＶとノード付加変数ｓａｌｔに基づいて算出可能なラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーを適用して生成した暗号文を選択する暗号文選択手段と、
暗号文の適用サブセットキーが、保持ラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーでない場合に、前記ノード対応値ＮＶとノード付加変数ｓａｌｔとに基づく演算処理を実行して特別サブセット対応のラベルを算出するラベル算出手段と、
保持ラベルまたは算出ラベルに基づく擬似乱数生成処理によってサブセットキーを生成するサブセットキー生成手段と、
生成サブセットキーを適用して暗号文の復号処理を実行する復号手段と、
を有することを特徴とする情報処理装置。
前記暗号文選択手段は、
階層木の最上位ノードとしてのルートを１とし、幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で各ノードにノード番号を付与した階層木において、暗号化に使われたノードキーのノード番号の中から、受信機からルートに至るパス上のノードに含まれるノード番号と一致するものを見つける構成であることを特徴とする請求項２８に記載の情報処理装置。
前記ラベル算出手段は、
２分木において上位ノードから幅優先（ｂｒｅａｄｔｈｆｉｒｓｔｏｒｄｅｒ）で付与したノード番号ｌ（エル）の設定された各ノードｌ（エル）のノード対応値ＮＶ_ｌ（ｌ＝２，３，・・・，２Ｎ−１）中、自己ノードから最上位ノードであるルートに至るパス上のノード対応値を、自己の保持するノード対応値ＮＶとノード付加変数ｓａｌｔに基づいて、下式、

ただし、Ｍは２つの大きな素数の積、Ｈは、Ｚ_Ｍの要素を出力するマッピング関数である、
を適用して算出する構成であることを特徴とする請求項２８に記載の情報処理装置。
前記ラベル算出手段は、
自己の保持するノード対応値としての中間ラベルまたは、該ノード対応値に基づいて算出した自己ノードから最上位ノードであるルートに至るパス上のノード対応値としての中間ラベルに基づいて、下記式、
ＬＡＢＥＬ＝Ｈｃ（ＩＬ）
ただし、ＬＡＢＥＬ：ラベル、ＩＬ：中間ラベル、Ｈｃ：マッピング関数、
に基づいて算出する構成であることを特徴とする請求項２８に記載の情報処理装置。
前記ラベル算出手段は、
暗号文の適用サブセットキーが、
階層木においてノードｉを頂点とする部分木からノードｉより下層のノードｊを頂点とする部分木を除く集合として定義されたサブセットＳ_ｉ，ｊ中、ノードｉおよびノードｊが階層木において直結された親子関係にある第１特別サブセット、または、階層木のすべてのリーフを含むルートを頂点とする全体木の集合として定義されたサブセットＳ_１，φである第２特別サブセット、
のいずれかの特別サブセット対応のラベルに基づく擬似乱数生成処理により算出可能なサブセットキーであり、前記特別サブセット対応のラベルを保持していない場合に、
自己の保持する中間ラベルとしてのノード対応値ＮＶとノード付加変数ｓａｌｔに基づく演算処理を実行し、新たな中間ラベルとしてのノード対応値の算出を実行する構成であることを特徴とする請求項２８に記載の情報処理装置。
階層木構成に基づくブロードキャストエンクリプション方式により特定選択機器のみの復号を可能とした暗号文の提供処理に適用する階層木を生成する処理を実行するコンピュータ・プログラムであり、
階層木を構成する各ノードに対応するノード対応値ＮＶ_ａを、少なくとも１つの下位ノードに対応して設定されたノード対応値ＮＶ_ｂとノード付加変数ｓａｌｔ_ｂに基づく関数ｆの適用によって算出可能に設定したノード対応値を各ノードに設定した一方向木を生成する一方向木生成ステップと、
階層木を適用したＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するラベル（ＬＡＢＥＬ）中、選択された一部の特別サブセットに対応するラベルの値を演算処理により算出可能な値として設定した中間ラベル（ＩＬ）を、前記ノード対応値として設定する中間ラベル生成ステップと、
前記中間ラベルに基づく演算処理により、前記特別サブセット対応のラベルを生成し、さらに該生成ラベルに基づく演算により特別サブセット非対応のラベルを生成するラベル生成ステップと、
前記階層木の末端ノード対応の受信機に対する提供ラベルを決定するステップであり、
前記特別サブセットに対応しない特別サブセット非対応ラベルと、
前記一方向木の末端ノード対応の受信機に提供する情報として、受信機対応ノードから最上位ノードとしてのルートに至るパスに含まれるノードのノード対応値を算出するために必要となる最小限の中間ラベルとしてのノード対応値とノード付加変数を選択する提供情報決定ステップと、
を有することを特徴とするコンピュータ・プログラム。
階層木構成に基づくブロードキャストエンクリプション方式であるＳＤ（ＳｕｂｓｅｔＤｉｆｆｅｒｅｎｃｅ）方式に基づいて設定するサブセット各々に対応するサブセットキーによって暗号化された暗号文の復号処理を実行するコンピュータ・プログラムであり、
前記暗号文から、自己の保持するラベル、または自己の保持する中間ラベルとしてのノード対応値ＮＶとノード付加変数ｓａｌｔに基づいて算出可能なラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーを適用して生成した暗号文を選択する暗号文選択ステップと、
暗号文の適用サブセットキーが、保持ラベルに基づく擬似乱数生成処理によって導出可能なサブセットキーでない場合に、前記ノード対応値ＮＶとノード付加変数ｓａｌｔとに基づく演算処理を実行して特別サブセット対応のラベルを算出するラベル算出ステップと、
保持ラベルまたは算出ラベルに基づく擬似乱数生成処理によってサブセットキーを生成するステップと、
生成サブセットキーを適用して暗号文の復号処理を実行する復号ステップと、
を有することを特徴とするコンピュータ・プログラム。