JP2010054875A - 演算装置、復号装置、暗号化装置、情報共有システム、２ｄｎｆ演算システム、署名生成装置、署名検証装置、署名処理システム、署名検証システム、演算方法及び演算プログラム - Google Patents

Abstract

【課題】豊かな数学的構造を応用した暗号処理、署名処理を提供することを目的とする。
【解決手段】ディストーション固有ベクトル空間において、ベクトル分解問題を利用して暗号処理、署名処理を構成する。ここで、ディストーション固有ベクトル空間とは、ディストーション写像と双線形ペアリング演算とを有する奇数位数ｒの有限体Ｆ_ｒについての高次元のベクトル空間である。また、ベクトル分解問題とは、入力ベクトルが与えられた場合に、所定の基底における入力ベクトルの成分ベクトルを計算する問題である。
【選択図】図２

Description

この発明は、暗号処理、署名処理に関するものである。

ベクトル分解問題（ＶＤＰ，Ｖｅｃｔｏｒ Ｄｅｃｏｍｐｏｓｉｔｉｏｎ Ｐｒｏｂｌｅｍ）に関する提案がされている（非特許文献６，７，１１，２０，２１等）。また、暗号処理、署名処理の実現に有用な数学的構造についての提案がされている（非特許文献８，９等）。
Ｂｅｌｌａｒｅ， Ｍ．， Ｎａｍｐｒｅｍｐｒｅ， Ｃ．， Ｐｏｉｎｔｃｈｅｖａｌ， Ｄ．， Ｓｅｍａｎｋｏ， Ｍ．： Ｔｈｅ ｏｎｅ−ｍｏｒｅ−ＲＳＡｉｎｖｅｒｓｉｏｎ ｐｒｏｂｌｅｍｓ ａｎｄ ｔｈｅ ｓｅｃｕｒｉｔｙ ｏｆ Ｃｈａｕｍ’ｓ ｂｌｉｎｄ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ． Ｊｏｕｒｎａｌ ｏｆ Ｃｒｙｐｔｏｌｏｇｙ １６（３）， １８５-２１５ （２００３） Ｂｅｌｌａｒｅ， Ｍ．， Ｒｏｇａｗａｙ， Ｐ．： Ｔｈｅ ｅｘａｃｔ ｓｅｃｕｒｉｔｙ ｏｆ ｄｉｇｉｔａｌ ｓｉｇｎａｔｕｒｅｓ-ｈｏｗ ｔｏ ｓｉｇｎ ｗｉｔｈ ＲＳＡ ａｎｄ Ｒａｂｉｎ． Ｉｎ： Ｍａｕｒｅｒ， Ｕ．Ｍ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ １９９６． ＬＮＣＳ， ｖｏｌ． １０７０， ｐｐ．３９９-４１６． Ｓｐｒｉｎｇｅｒ， Ｈｅｉｄｅｌｂｅｒｇ （１９９６） Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．， Ｓｈａｃｈａｍ， Ｈ．： Ｓｈｏｒｔ ｇｒｏｕｐ ｓｉｇｎａｔｕｒｅｓ． Ｉｎ： Ｆｒａｎｋｌｉｎ， Ｍ． （ｅｄ．）ＣＲＹＰＴＯ ２００４． ＬＮＣＳ， ｖｏｌ． ３１５２， ｐｐ． ４１-５５． Ｓｐｒｉｎｇｅｒ， Ｈｅｉｄｅｌｂｅｒｇ （２００４） Ｂｏｎｅｈ， Ｄ．， Ｇｏｈ， Ｅ．−Ｊ．， Ｎｉｓｓｉｍ， Ｋ．： Ｅｖａｌｕａｔｉｎｇ ２−ＤＮＦ ｆｏｒｍｕｌａｓ ｏｎ ｃｉｐｈｅｒｔｅｘｔｓ． Ｉｎ：Ｋｉｌｉａｎ， Ｊ． （ｅｄ．） ＴＣＣ ２００５． ＬＮＣＳ， ｖｏｌ． ３３７８， ｐｐ． ３２５-３４１． Ｓｐｒｉｎｇｅｒ， Ｈｅｉｄｅｌｂｅｒｇ（２００５） Ｃｏｒｏｎ， Ｊ．Ｓ．： Ｏｎ ｔｈｅ ｅｘａｃｔ ｓｅｃｕｒｉｔｙ ｏｆ ｆｕｌｌ ｄｏｍａｉｎ ｈａｓｈ． Ｉｎ： Ｂｅｌｌａｒｅ， Ｍ． （ｅｄ．）ＣＲＹＰＴＯ ２０００． ＬＮＣＳ， ｖｏｌ． １８８０， ｐｐ． ２２９-２３５． Ｓｐｒｉｎｇｅｒ， Ｈｅｉｄｅｌｂｅｒｇ （２０００） Ｄｕｕｒｓｍａ， Ｉ．， Ｋｉｙａｖａｓｈ， Ｎ．： Ｔｈｅ ｖｅｃｔｏｒ ｄｅｃｏｍｐｏｓｉｔｉｏｎ ｐｒｏｂｌｅｍ ｆｏｒ ｅｌｌｉｐｔｉｃ ａｎｄ Ｈｙｐｅｒｅｌｌｉｐｔｉｃ Ｃｕｒｖｅｓ． Ｊ． Ｒａｍａｎｕｊａｎ Ｍａｔｈ． Ｓｏｃ． ２０（１）， ５９-７６ （２００５） Ｄｕｕｒｓｍａ， Ｉ．， Ｐａｒｋ， Ｓ．： ＥｌＧａｍａｌ ｔｙｐｅ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅｓ ｆｏｒ ｎ−ｄｉｍｅｎｓｉｏｎａｌ ｖｅｃｔｏｒ ｓｐａｃｅｓ， ａｖａｉｌａｂｌｅ ａｔ ＩＡＣＲ ｅＰｒｉｎｔ Ａｒｃｈｉｖｅ， ２００６／３１２ （２００６） Ｆｒｅｅｍａｎ， Ｄ．： Ｃｏｎｓｔｒｕｃｔｉｎｇ ｐａｉｒｉｎｇ−ｆｒｉｅｎｄｌｙ ｇｅｎｕｓ ２ ｃｕｒｖｅｓ ｗｉｔｈ ｏｒｄｉｎａｒｙ Ｊａｃｏｂｉａｎｓ．Ｉｎ： Ｔａｋａｇｉ， Ｔ．， Ｏｋａｍｏｔｏ， Ｔ．， Ｏｋａｍｏｔｏ， Ｅ．， Ｏｋａｍｏｔｏ， Ｔ． （ｅｄｓ．） Ｐａｉｒｉｎｇ ２００７． ＬＮＣＳ，ｖｏｌ． ４５７５， ｐｐ． １５２-１７６． Ｓｐｒｉｎｇｅｒ， Ｈｅｉｄｅｌｂｅｒｇ （２００７） Ｇａｌｂｒａｉｔｈ， Ｓ．Ｄ．， Ｈｅｓｓ， Ｆ．， Ｖｅｒｃａｕｔｅｒｅｎ， Ｆ．： Ｈｙｐｅｒｅｌｌｉｐｔｉｃ ｐａｉｒｉｎｇｓ． Ｉｎ： Ｔａｋａｇｉ， Ｔ．，Ｏｋａｍｏｔｏ， Ｔ．， Ｏｋａｍｏｔｏ， Ｅ．， Ｏｋａｍｏｔｏ， Ｔ． （ｅｄｓ．） Ｐａｉｒｉｎｇ ２００７． ＬＮＣＳ， ｖｏｌ． ４５７５， ｐｐ．１０８-１３１． Ｓｐｒｉｎｇｅｒ， Ｈｅｉｄｅｌｂｅｒｇ （２００７） Ｇａｌｂｒａｉｔｈ， Ｓ．Ｄ．， Ｐｕｊｏｌ｀ａｓ， Ｊ．， Ｒｉｔｚｅｎｔｈａｌｅｒ， Ｃ．， Ｓｍｉｔｈ， Ｂ．： Ｄｉｓｔｏｒｔｉｏｎ ｍａｐｓ ｆｏｒ ｇｅｎｕｓ ｔｗｏ ｃｕｒｖｅｓ， ａｖａｉｌａｂｌｅ ａｔ ａｒｘｉｖ ｍａｔｈ．ＮＴ／０６１１４７１ （２００６） Ｇａｌｂｒａｉｔｈ， Ｓ．Ｄ．， Ｖｅｒｈｅｕｌ， Ｅ．： Ａｎ ａｎａｌｙｓｉｓ ｏｆ ｔｈｅ ｖｅｃｔｏｒ ｄｅｃｏｍｐｏｓｉｔｉｏｎ ｐｒｏｂｌｅｍ． Ｉｎ：Ｃｒａｍｅｒ， Ｒ． （ｅｄ．） ＰＫＣ ２００８． ＬＮＣＳ， ｖｏｌ． ４９３９， ｐｐ． ３０８-３２７． Ｓｐｒｉｎｇｅｒ， Ｈｅｉｄｅｌｂｅｒｇ（２００８） Ｇｒｏｔｈ， Ｊ．， Ｏｓｔｒｏｖｓｋｙ， Ｒ．， Ｓａｈａｉ， Ａ．： Ｐｅｒｆｅｃｔ ｎｏｎ−ｉｎｔｅｒａｃｔｉｖｅ ｚｅｒｏ−ｋｎｏｗｌｅｄｇｅ ｆｏｒ ＮＰ．Ｉｎ： Ｖａｕｄｅｎａｙ， Ｓ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００６． ＬＮＣＳ， ｖｏｌ． ４００４， ｐｐ． ３３８-３５９． Ｓｐｒｉｎｇｅｒ，Ｈｅｉｄｅｌｂｅｒｇ （２００６） Ｈｏｆｈｅｉｎｚ， Ｄ．， Ｋｉｌｔｚ， Ｅ．： Ｓｅｃｕｒｅ ｈｙｂｒｉｄ ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ ｗｅａｋｅｎｅｄ ｋｅｙ ｅｎｃａｐｓｕｌａｔｉｏｎ．Ｉｎ： Ｍｅｎｅｚｅｓ， Ａ． （ｅｄ．） ＣＲＹＰＴＯ ２００７． ＬＮＣＳ， ｖｏｌ． ４６２２， ｐｐ． ５５３-５７１． Ｓｐｒｉｎｇｅｒ，Ｈｅｉｄｅｌｂｅｒｇ （２００７） Ｈｕａｎｇ， Ｘ．， Ｍｕ， Ｙ．， Ｓｕｓｉｌｏ， Ｗ．， Ｗｕ， Ｗ．： Ｐｒｏｖａｂｌｙ ｓｅｃｕｒｅ ｐａｉｒｉｎｇ−ｂａｓｅｄ ｃｏｎｖｅｒｔｉｂｌｅ ｕｎｄｅｎｉａｂｌｅ ｓｉｇｎａｔｕｒｅ ｗｉｔｈ ｓｈｏｒｔ ｓｉｇｎａｔｕｒｅ ｌｅｎｇｔｈ． Ｉｎ： Ｔａｋａｇｉ， Ｔ．， Ｏｋａｍｏｔｏ， Ｔ．，Ｏｋａｍｏｔｏ， Ｅ．， Ｏｋａｍｏｔｏ， Ｔ． （ｅｄｓ．） Ｐａｉｒｉｎｇ ２００７． ＬＮＣＳ， ｖｏｌ． ４５７５， ｐｐ． ３６７-３９１．Ｓｐｒｉｎｇｅｒ， Ｈｅｉｄｅｌｂｅｒｇ （２００７） Ｏｋａｍｏｔｏ， Ｔ．， Ｓａｋｕｒａｉ， Ｋ．： Ｅｆｆｉｃｉｅｎｔ ａｌｇｏｒｉｔｈｍｓ ｆｏｒ ｔｈｅ ｃｏｎｓｔｒｕｃｔｉｏｎ ｏｆ ｈｙｐｅｒｅｌｌｉｐｔｉｃ ｃｒｙｐｔｏｓｙｓｔｅｍｓ． Ｉｎ： Ｆｅｉｇｅｎｂａｕｍ， Ｊ． （ｅｄ．） ＣＲＹＰＴＯ １９９１． ＬＮＣＳ， ｖｏｌ． ５７６， ｐｐ． ２６７-２７８． Ｓｐｒｉｎｇｅｒ， Ｈｅｉｄｅｌｂｅｒｇ （１９９２） Ｐａｉｌｌｉｅｒ， Ｐ．： Ａ ｔｒａｐｄｏｏｒ ｐｅｒｍｕｔａｔｉｏｎ ｅｑｕｉｖａｌｅｎｔ ｔｏ ｆａｃｔｏｒｉｎｇ． Ｉｎ： Ｉｍａｉ， Ｈ．， Ｚｈｅｎｇ，Ｙ． （ｅｄｓ．） ＰＫＣ １９９９． ＬＮＣＳ， ｖｏｌ． １５６０， ｐｐ． ２１９-２２２． Ｓｐｒｉｎｇｅｒ， Ｈｅｉｄｅｌｂｅｒｇ （１９９９） Ｓｈａｃｈａｍ， Ｈ．： Ａ Ｃｒａｍｅｒ−Ｓｈｏｕｐ ｅｎｃｒｙｐｔｉｏｎ ｓｃｈｅｍｅ ｆｒｏｍ ｔｈｅ ｌｉｎｅａｒ ａｓｓｕｍｐｔｉｏｎ ａｎｄ ｆｒｏｍ ｐｒｏｇｒｅｓｓｉｖｅｌｙ ｗｅａｋｅｒ ｌｉｎｅａｒ ｖａｒｉａｎｔｓ， ａｖａｉｌａｂｌｅ ａｔ ＩＡＣＲ ｅＰｒｉｎｔ Ａｒｃｈｉｖｅ，２００７／０７４ （２００７） Ｔａｋａｓｈｉｍａ， Ｋ．： Ｅｆｆｉｃｉｅｎｔｌｙ ｃｏｍｐｕｔａｂｌｅ ｄｉｓｔｏｒｔｉｏｎ ｍａｐｓ ｆｏｒ ｓｕｐｅｒｓｉｎｇｕｌａｒ ｃｕｒｖｅｓ．Ｉｎ： ｖａｎ ｄｅｒ Ｐｏｏｒｔｅｎ， Ａ．Ｊ．， Ｓｔｅｉｎ， Ａ． （ｅｄｓ．） ＡＮＴＳ−ＶＩＩＩ ２００８． ＬＮＣＳ， ｖｏｌ． ５０１１， ｐｐ．８８-１０１． Ｓｐｒｉｎｇｅｒ， Ｈｅｉｄｅｌｂｅｒｇ （２００８） Ｗｉｌｌｉａｍｓ， Ｈ．Ｃ．： Ｓｏｍｅ ｐｕｂｌｉｃ−ｋｅｙ ｃｒｙｐｔｏ−ｆｕｎｃｔｉｏｎｓ ａｓ ｉｎｔｒａｃｔａｂｌｅ ａｓ ｆａｃｔｏｒｉｚａｔｉｏｎ．Ｃｒｙｐｔｏｌｏｇｉａ ９， ２２３-２３７ （１９８５） Ｙｏｓｈｉｄａ， Ｍ．， Ｍｉｔｓｕｎａｒｉ， Ｓ．， Ｆｕｊｉｗａｒａ， Ｔ．： Ｖｅｃｔｏｒ ｄｅｃｏｍｐｏｓｉｔｉｏｎ ｐｒｏｂｌｅｍ ａｎｄ ｔｈｅ ｔｒａｐｄｏｏｒ ｉｎｓｅｐａｒａｂｌｅ ｍｕｌｔｉｐｌｅｘ ｔｒａｎｓｍｉｓｓｉｏｎ ｓｃｈｅｍｅ ｂａｓｅｄ ｔｈｅ ｐｒｏｂｌｅｍ． Ｉｎ：Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２００３ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ（ＳＣＩＳ）， ７Ｂ−１ （２００３） Ｙｏｓｈｉｄａ， Ｍ．： Ｉｎｓｅｐａｒａｂｌｅ ｍｕｌｔｉｐｌｅｘ ｔｒａｎｓｍｉｓｓｉｏｎ ｕｓｉｎｇ ｔｈｅ ｐａｉｒｉｎｇ ｏｎ ｅｌｌｉｐｔｉｃ ｃｕｒｖｅｓ ａｎｄ ｉｔｓ ａｐｐｌｉｃａｔｉｏｎ ｔｏ ｗａｔｅｒｍａｒｋｉｎｇ． Ｉｎ： Ｆｉｆｔｈ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ａｌｇｅｂｒａｉｃ Ｇｅｏｍｅｔｒｙ，Ｎｕｍｂｅｒ Ｔｈｅｏｒｙ， Ｃｏｄｉｎｇ Ｔｈｅｏｒｙ ａｎｄ Ｃｒｙｐｔｏｇｒａｐｈｙ， Ｕｎｉｖ． ｏｆ Ｔｏｋｙｏ （２００３）

数学的（または代数的）に豊かな構造は、様々な種類の暗号プリミティブおよび暗号プロトコルの実現において有用である。これまでは、暗号化には、単純で基本的な数学的構造（巡回群（種数１）、種数１の曲線におけるペアリングなど）が用いられてきた。暗号への応用を目的として、種数の大きな曲線が調べられているが、用いられているのは巡回群およびペアリングによる二重巡回群のみである。より豊かな代数構造を暗号に応用することも提案されているが、ＥｌＧａｍａｌタイプの署名法以外では、具体的な結果は得られていない。
この発明は、例えば、豊かな数学的構造を応用した暗号処理、署名処理を提供することを目的とする。

この発明に係る演算装置は、例えば、暗号処理又は署名処理に関する演算をする演算装置であり、
所定のベクトル空間における入力ベクトルを入力するベクトル入力部と、
前記ベクトル空間の所定の基底Ａにおける第１の基底ベクトルから第２の基底ベクトルへの写像であるディストーション写像を用いて、前記ベクトル空間の前記基底Ａとは異なる所定の基底Ｂの所定の基底ベクトルにおける前記ベクトル入力部が入力した入力ベクトルの成分ベクトルを計算する成分計算部と
を備えることを特徴とする。

前記成分計算部は、
前記基底Ａから前記基底Ｂへの基底変換情報と、前記ディストーション写像とを用いて、基底Ａの所定の基底ベクトルにおける前記入力ベクトルの成分ベクトルから前記基底Ｂの前記所定の基底ベクトルにおける前記入力ベクトルの成分ベクトルを計算する
ことを特徴とする。

前記成分計算部は、
数１に基づき、前記基底Ｂのｌ_２個の基底ベクトルの各基底ベクトルにおける前記入力ベクトルｖの成分ベクトルｕ_ｊを計算する
ことを特徴とする。

この発明に係る復号装置は、例えば、前記演算装置を備える復号装置であり、
前記ベクトル空間におけるベクトルであって、前記基底Ｂの前記所定の基底ベクトルに対する係数として平文情報が設定されたベクトルを暗号情報ベクトルとして入力する暗号情報入力部と、
前記演算装置により、前記暗号情報入力部が入力した暗号情報ベクトルを前記入力ベクトルとして、前記基底Ｂの前記所定の基底ベクトルにおける入力ベクトルの成分ベクトルを計算して、前記所定の基底ベクトルにおける入力ベクトルの成分ベクトルを取得する成分取得部と、
前記成分取得部が取得した前記成分ベクトルについて、前記所定の基底ベクトルを底として離散対数問題を解き平文情報を計算する離散対数計算部と
を備えることを特徴とする。

前記暗号情報入力部は、ｌ_１次元のベクトル空間の前記基底Ｂのｌ_２個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）に対する係数として平文情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）が設定された暗号情報ベクトルを入力し、
前記成分取得部は、前記暗号情報ベクトルを前記入力ベクトルとして、前記基底Ｂの前記ｌ_２個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）を計算し、
前記離散対数計算部は、前記成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）について、対応する基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）を底として離散対数問題を解き、平文情報ｍ_ｉ（ｉ＝０．．．，ｌ_２−１）を計算する
ことを特徴とする。

この発明に係る暗号化装置は、例えば、所定のベクトル空間の所定の基底Ｂにおける所定の基底ベクトルに対する係数として平文情報を設定したベクトルを平文ベクトルとして生成する平文情報設定部と、
前記基底Ｂにおける基底ベクトルであって、前記平文情報設定部が平文情報を設定した前記所定の基底ベクトル以外の基底ベクトルに対する係数として所定の値を設定したベクトルを、前記平文情報設定部が生成した平文ベクトルに加えて暗号情報ベクトルを生成する暗号情報生成部と
を備えることを特徴とする。

前記平文情報設定部は、ｌ_１次元のベクトル空間の前記基底Ｂのｌ_２個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）に対する係数として平文情報ｍ_ｉ（ｉ＝０．．．，ｌ_２−１）を設定し、
前記暗号情報生成部は、前記基底Ｂにおける残りのｌ_１−ｌ_２個の基底ベクトルｂ_ｉ（ｉ＝ｌ_２．．．，ｌ_１−１）に対する係数として所定の値ｒ_ｉ（ｉ＝ｌ_２．．．，ｌ_１−１）を設定して、暗号情報ベクトルを生成する
ことを特徴とする。

この発明に係る情報共有システムは、例えば、送信装置と、請求項１から３までのいずれかに記載の演算装置を有する受信装置とを備える情報共有システムであり、
前記送信装置は、
前記基底Ｂの前記所定の基底ベクトルにおける成分ベクトルとして前記受信装置へ送信する所定の情報を設定したベクトルを共有ベクトルとして生成する共有情報設定部と、
前記基底Ｂにおける基底ベクトルであって、前記共有情報設定部が前記所定の情報を設定した前記所定の基底ベクトル以外の基底ベクトルにおける成分ベクトルとして所定の値を設定したベクトルを、前記共有情報設定部が生成した共有ベクトルに加えて、暗号情報ベクトルを生成する暗号情報生成部と、
前記暗号情報生成部が生成した暗号情報ベクトルを前記受信装置へ送信する暗号情報送信部とを備え、
前記受信装置は、
前記暗号情報送信部が送信した暗号情報ベクトルを受信する暗号情報受信部と、
前記演算装置により、前記暗号情報受信部が受信した暗号情報ベクトルを前記入力ベクトルとして、前記基底Ｂの前記所定の情報が設定された基底ベクトルにおける入力ベクトルの成分ベクトルを計算して、前記所定の情報を取得する成分取得部と
を備えることを特徴とする。

この発明に係る２ＤＮＦ（Ｄｉｓｊｕｎｃｔｉｖｅ Ｎｏｒｍａｌ Ｆｏｒｍ）演算システムは、例えば、２ＤＮＦ式を有する式保持装置と、請求項１から３までのいずれかに記載の演算装置を有し、前記２ＤＮＦ式への入力情報である秘密情報を有する情報保持装置とを備える２ＤＮＦ演算システムであり、
前記情報保持装置は、
前記秘密情報を前記ベクトル空間の前記基底Ｂの所定の基底ベクトルに対する係数として設定して暗号化し、暗号化した秘密情報を前記式保持装置へ送信する情報暗号化部を備え、
前記式保持装置は、
前記情報保持装置の暗号化部が暗号化した秘密情報を前記２ＤＮＦ式へ代入する代入部と、
前記暗号化した秘密情報を代入した前記２ＤＮＦ式のクローズの２つの変数をそれぞれ前記ベクトル空間の前記基底Ｂの所定の基底ベクトルに対する係数として設定して暗号化したｃ_１とｃ_２とを計算するとともに、
計算したｃ_１とｃ_２とのそれぞれに所定の情報を加えたパラメータｃ_１ ^＊とｃ_２ ^＊と、ｃ_１ ^＊とｃ_２ ^＊との積に含まれる情報のうちｃ_１とｃ_２との積以外の情報を含むパラメータＥ_ｋとを計算して、計算したパラメータｃ_１ ^＊とｃ_２ ^＊と、Ｅ_ｋとを前記情報保持装置へ送信する式暗号化部とを備え、
前記情報保持装置は、さらに、
前記式暗号化部が送信したパラメータｃ_１ ^＊とｃ_２ ^＊と、Ｅ_ｋとに基づき、前記演算装置を用いて前記情報暗号化部と前記式暗号化部とによる暗号化を復号するとともに、ペアリング演算を用いて前記ｃ_１とｃ_２との積を計算する結果計算部
を備えることを特徴とする。

前記式保持装置は、数２に示す２ＤＮＦ式を有し、
前記情報保持装置は、数３に示す秘密情報を有し、
前記情報暗号化部は、数３に示す前記秘密情報の各ｍ^→ _ｉ（ｉ＝１，．．．，ｎ）をそれぞれｌ_１次元のベクトル空間の基底Ｂのｌ_２個の基底ベクトルに対する係数として設定して暗号化し、暗号化した秘密情報を前記式保持装置へ送信し、
前記代入部は、数４に示すように、前記情報保持装置の暗号化部が暗号化した秘密情報を数２に示す前記２ＤＮＦ式を算術化した式Ψへ代入し、
前記式暗号化部は、数４に示す暗号化した秘密情報を代入した式Ψのλ_{ｉ，１，ｊ}とλ_{ｉ，２，ｊ}（ｉ＝１，．．．ｈ；０，．．．，ｌ_２−１）とをそれぞれ前記ベクトル空間の前記基底Ｂのｌ_２個の基底ベクトルに対する係数として設定して暗号化したｃ_ｉ，１とｃ_ｉ，２とを計算するとともに、
数５に示すように、計算したｃ_ｉ，１とｃ_ｉ，２とのそれぞれに基づき、パラメータｃ_ｉ，１ ^＊とｃ_ｉ，２ ^＊と、Ｅ_ｋとを計算して、計算したパラメータｃ_ｉ，１ ^＊とｃ_ｉ，２ ^＊と、Ｅ_ｋとを前記情報保持装置へ送信し、
前記結果計算部は、前記演算装置を用いて数６に示す演算を行い数７を得るとともに、数７に示すｗ_ｋを計算して前記秘密情報を前記２ＤＮＦ式に代入した結果を計算する
ことを特徴とする。

この発明に係る署名生成装置は、例えば、前記演算装置を備える署名生成装置であり、
前記ベクトル空間のベクトルに送信情報を変換して送信情報ベクトルを生成するベクトル生成部と、
前記演算装置により、前記ベクトル生成部が生成した送信情報ベクトルを前記入力ベクトルとして、前記基底Ｂの前記所定の基底ベクトルにおける入力ベクトルの成分ベクトルを計算して、前記所定の基底ベクトルにおける入力ベクトルの成分ベクトルを取得する成分取得部と、
前記成分取得部が取得した前記成分ベクトルを、前記送信情報の署名情報とする署名生成部と
を備えることを特徴とする。

前記ベクトル生成部は、ｌ_１次元のベクトル空間のベクトルに前記送信情報を変換して送信情報ベクトルを生成し、
前記成分取得部は、前記ベクトル生成部が生成した送信情報ベクトルを前記入力ベクトルとして、前記基底Ｂのｌ_１−１個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を取得し、
前記署名生成部は、前記成分取得部が取得した成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を、前記送信情報の署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）とする
ことを特徴とする。

この発明に係る署名検証装置は、例えば、送信情報と、前記送信情報を所定のベクトル空間のベクトルに変換した送信情報ベクトルの成分ベクトルであって、前記ベクトル空間の所定の基底Ｂの所定の基底ベクトルにおける成分ベクトルである署名情報とを受信する受信部と、
前記受信部が受信した送信情報を前記ベクトル空間のベクトルに変換して送信情報ベクトルを生成するベクトル生成部と、
前記受信部が受信した署名情報が前記ベクトル生成部が生成した送信情報ベクトルの前記基底Ｂの前記所定の基底ベクトルにおける成分ベクトルであるか否かを判定して署名を検証する署名検証部と
を備えることを特徴とする。

前記受信部は、送信情報と、前記基底Ｂの複数の基底ベクトルの各基底ベクトルにおける成分ベクトルである署名情報とを受信し、
前記署名検証部は、前記署名情報に含まれる前記各基底ベクトルにおける成分ベクトルが示す方向と、前記各基底ベクトルが示す方向とがそれぞれ同一の方向であるか否かを判定するとともに、
前記署名情報である前記各基底ベクトルにおける成分ベクトルを合計したベクトルの大きさと、前記ベクトル生成部が生成した送信情報ベクトルの大きさとが同一であるか否かを判定して署名を検証する
ことを特徴とする。

前記受信部は、送信情報と、前記送信情報を所定のｌ_１次元のベクトル空間のベクトルに変換した送信情報ベクトルの成分ベクトルであって、前記ベクトル空間の前記基底Ｂのｌ_１−１個の基底ベクトルにおけるｌ_１−１個の成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）である署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）とを受信し、
前記ベクトル生成部は、前記受信部が受信した送信情報を前記ｌ_１次元のベクトル空間のベクトルに変換して送信情報ベクトルを生成し、
前記署名検証部は、前記署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）が示す方向と、前記基底Ｂのｌ_１−１個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）が示す方向とがそれぞれ同一の方向であるか否かを判定するとともに、
前記ベクトル生成部が生成した送信情報ベクトルから前記署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）を除いたベクトルが示す方向と、前記基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_１−１）が示す方向とが同一であるか否かを判定して署名を検証する
ことを特徴とする。

この発明に係る署名処理システムは、例えば、前記演算装置を備える署名生成装置と、前記署名生成装置に署名を依頼する署名依頼装置とを備える署名処理システムであり、
前記署名依頼装置は、
前記ベクトル空間のベクトルに送信情報を変換して送信情報ベクトルを生成するベクトル生成部と、
前記ベクトル生成部が生成した送信情報ベクトルにブラインド情報を付加することにより、前記ベクトル情報をブラインドしてブラインドベクトルを生成するブラインド部と、
前記ブラインド部が生成したブラインドベクトルを前記署名生成装置へ送信して署名を依頼する署名依頼部とを備え、
前記署名生成装置は、
前記演算装置により、前記署名依頼部が送信したブラインドベクトルを前記入力ベクトルとして、入力ベクトルの前記基底Ｂの前記所定の基底ベクトルにおける入力ベクトルの成分ベクトルを計算して、前記基底Ｂの前記所定の基底ベクトルにおける入力ベクトルの成分ベクトルを取得する成分取得部と、
前記成分取得部が取得した前記成分ベクトルを、前記ブラインドベクトルの署名情報として前記署名依頼装置へ送信する署名生成部とを備え、
前記署名依頼装置は、さらに、
前記署名生成部が送信した前記ブラインドベクトルの署名情報から前記ブラインド情報を除去して、前記送信情報についての署名情報を生成するアンブラインド部
を備えることを特徴とする。

前記ベクトル生成部は、ｌ_１次元のベクトル空間のベクトルに送信情報を変換して送信情報ベクトルを生成し、
前記ブラインド部は、前記ベクトル生成部が生成した送信情報ベクトルに、前記基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）に対する係数として所定の値γ_ｉ（ｉ＝０，．．．，ｌ_１−１）を設定したブラインド情報γ_ｉｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）を加えることにより、前記送信情報ベクトルをブラインドしてブラインドベクトルを生成し、
前記成分取得部は、前記署名依頼部が送信したブラインドベクトルを前記入力ベクトルとして、入力ベクトルの基底Ｂのｌ_１−１個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を計算し、
前記署名生成部は、前記成分取得部が取得した成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を、前記ブラインドベクトルの署名情報ｔ_ｉ（ｉ＝０，．．．，ｌ_１−２）として前記署名依頼装置へ送信し、
前記アンブラインド部は、前記署名生成部が送信した前記ブラインドベクトルの署名情報である成分ベクトルｔ_ｉ（ｉ＝０，．．．，ｌ_１−２）から対応する基底ベクトルにおける前記ブラインド情報γ_ｉｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）を除去して、前記送信情報についての署名情報を生成する
ことを特徴とする。

この発明に係る署名生成装置は、例えば、前記演算装置を備える署名生成装置であり、
ｌ_１次元のベクトル空間のベクトルに送信情報を変換して送信情報ベクトルを生成するベクトル生成部と、
前記演算装置により、前記ベクトル生成部が生成した送信情報ベクトルを前記入力ベクトルとして、入力ベクトルの前記基底Ｂのｌ_１個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）における入力ベクトルのｌ_１個の成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）を計算して、前記ｌ_１個の成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）を取得する成分取得部と、
前記成分取得部が取得したｌ_１個の成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）のうちｌ_２個の成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）（ｌ_１−１＞ｌ_２）を、前記送信情報の署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）とする署名生成部と
を備えることを特徴とする。

この発明に係る署名検証システムは、例えば、前記署名生成装置と、前記署名生成装置が生成した署名情報を検証する署名検証装置とを備える署名検証システムであり、
前記署名検証装置は、
署名情報に含まれる送信情報ベクトルのｌ_２個の成分ベクトルｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）が示す方向と、前記基底Ｂのｌ_２個の基底ベクトルが示す方向とがそれぞれ同一の方向であるか否かを判定する署名検証部を備え、
前記署名生成装置は、さらに、
それぞれ同一の方向であると前記署名検証装置の署名検証部が判定した場合、署名情報に含まれない送信情報ベクトルの（ｌ_１−ｌ_２）個の成分ベクトルｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を有することを、送信情報ベクトルの（ｌ_１−ｌ_２）個の成分ベクトルｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を前記署名検証装置に知られることなく証明することにより、前記署名情報が署名生成装置により生成されたものであることを証明する証明部
を備えることを特徴とする。

前記署名生成装置の証明部は、それぞれ同一の方向であると前記署名検証装置の署名検証部が判定した場合、数８に示すｕ_ｉを生成し、生成したｕ_ｉを前記署名検証装置へ送信し、
前記署名検証装置の署名検証部は、数９が成立するか否かを判定し、
前記署名生成装置の署名確認部は、数９が成立すると判定した場合、前記署名検証装置に対して、数１０を満たすγ_ｉを有することをγ_ｉを前記署名検証装置に知られることなく証明することにより、前記署名情報が署名生成装置により生成されたものであることを証明する
ことを特徴とする。

この発明に係る署名検証システムは、例えば、前記署名生成装置と、前記署名生成装置が生成した署名情報を検証する署名検証装置とを備える署名検証システムであり、
署名情報に含まれる送信情報ベクトルのｌ_２個の成分ベクトルｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）が示す方向と、前記基底Ｂのｌ_２個の基底ベクトルが示す方向とがそれぞれ同一の方向であるか否かを判定するとともに、それぞれ同一の方向を示すと判定した場合、前記署名生成装置へ前記署名情報を送信する署名検証部を備え、
前記署名生成装置は、さらに、
前記署名検証装置の署名検証部から前記署名情報を受信した場合、受信した署名情報が送信情報ベクトルを分解したものでないことを、送信情報ベクトルのｌ_１個の成分ベクトルｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を前記署名検証装置に知られることなく証明する証明部
を備えることを特徴とする。

前記証明部は、前記署名検証装置の署名検証部から前記署名情報を受信した場合、数１１に示すｕ_ｉと数１２に示すｗとを生成し、生成したｕ_ｉとｗとを前記署名検証装置へ送信し、
前記署名検証装置の署名検証部は、数１３と数１４とが成立するか否かを判定し、
前記証明部は、数１３と数１４とが成立すると前記署名検証装置の署名検証部が判定した場合、数１５を満たすγ_ｉ（ｉ＝０，．．．，ｌ_２−１）とδと、数１６を満たすγ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）とδとを有することをγ_ｉ（ｉ＝０，．．．，ｌ_１−１）とδとを前記署名検証装置に知られることなく証明することにより、受信した署名情報が送信情報ベクトルを分解したものでないことを証明する
ことを特徴とする。

前記署名生成装置は、さらに、
前記成分取得部が取得したｌ_１個の成分ベクトルｓ_ｉ（ｉ＝０，．．．，ｌ_１−１）のうち、署名情報としなかった（ｌ_１−ｌ_２）個の成分ベクトルｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）に含まれる成分ベクトルｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−２）を前記署名情報を検証する署名検証装置へ送信して、前記署名検証装置が前記署名情報を検証可能とする署名選択変更部
を備えることを特徴とする。

前記署名生成装置は、さらに、
前記成分取得部が前記送信情報ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）を計算する場合に使用した前記基底変換情報のうち、送信情報ベクトルの成分ベクトルｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−２）を計算するために必要な部分を公開することにより、前記署名情報を検証可能とする署名一括変更部
を備えることを特徴とする。

前記署名一括変更部は、基底変換行列Ｘの成分ｘ_ｊｋ（ｊ＝ｌ_２，．．．，ｌ_１−１；ｋ＝０，．．．，ｌ_１−１）と、数１７に示すｔ_ｉｊ（ｉ＝０，．．．，ｌ_１−１；ｊ＝ｌ_２，．．．，ｌ_１−１）とを公開することにより、前記署名情報を検証可能とする
ことを特徴とする。

この発明に係る演算方法は、例えば、暗号処理又は署名処理に関する演算方法であり、
入力装置が、所定のベクトル空間における入力ベクトルを入力するベクトル入力ステップと、
処理装置が、前記ベクトル空間の所定の基底Ａにおける第１の基底ベクトルから第２の基底ベクトルへの写像であるディストーション写像を用いて、前記ベクトル空間の前記基底Ａとは異なる所定の基底Ｂの所定の基底ベクトルにおける前記ベクトル入力ステップで入力した入力ベクトルの成分ベクトルを計算する成分計算ステップと
を備えることを特徴とする。

この発明に係る演算プログラムは、例えば、暗号処理又は署名処理に関する演算をする演算プログラムであり、
所定のベクトル空間における入力ベクトルを入力するベクトル入力処理と、
前記ベクトル空間の所定の基底Ａにおける第１の基底ベクトルから第２の基底ベクトルへの写像であるディストーション写像を用いて、前記ベクトル空間の前記基底Ａとは異なる所定の基底Ｂの所定の基底ベクトルにおける前記ベクトル入力処理で入力した入力ベクトルの成分ベクトルを計算する成分計算処理と
をコンピュータに実行させることを特徴とする。

本発明に係る演算装置によれば、豊かな数学的構造を暗号処理、署名処理に応用することが可能である。その結果、安全性の高い暗号処理、署名処理等を実現可能である。

以下、図に基づき、発明の実施の形態を説明する。
以下の説明において、処理装置は後述するＣＰＵ１９１１等である。記憶装置は後述するＲＯＭ１９１３、ＲＡＭ１９１４、磁気ディスク１９２０等である。通信装置は後述する通信ボード１９１５等である。入力装置は後述するキーボード１９０２、通信ボード１９１５等である。出力装置は後述するＲＡＭ１９１４、磁気ディスク１９２０、通信ボード１９１５、ＬＣＤ１９０１等である。つまり、処理装置、記憶装置、通信装置、入力装置、出力装置はハードウェアである。

以下の説明における記法について説明する。
Ａがランダムな変数または分布であるとき、数１８は、その分布にしたがって、Ａからｙをランダムに選択することを表す。

Ａが集合であるとき、数１９は、Ａからｙを一様に選択することを表す。

数２０は、ｙがＡにより指定、定義されること、またはｙにＡが代入されることを表す。

数２１は、ａが定数であり、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。

また、以下の説明において、暗号処理とは、暗号化処理と復号処理との両方を含むものである。同様に、署名処理とは、署名生成処理と署名検証処理との両方を含むものである。なお、署名生成処理には、署名生成依頼処理も含むものである。

実施の形態１．
この実施の形態では、暗号処理、署名処理等の基礎となる演算を行う演算装置１００（ベクトル分解装置）について説明する。そして、後の実施の形態において、この実施の形態で説明する演算装置１００を用いた暗号処理、署名処理等の例について説明する。
まず、この実施の形態では、「ディストーション固有ベクトル空間」という豊かな数学的構造を有する空間について説明する。次に、ディストーション固有ベクトル空間を暗号処理、署名処理への応用するための計算問題として、「計算ベクトル分解問題（ＣＶＤＰ，Ｃｏｍｐｕｔａｔｉｏｎａｌ Ｖｅｃｔｏｒ Ｄｅｃｏｍｐｏｓｉｔｉｏｎ Ｐｒｏｂｌｅｍ）」について説明する。そして、「ディストーション固有ベクトル空間における計算ベクトル分解問題の解法」について説明する。計算ベクトル分解問題は、解くことが困難である（解くために多くの時間を要する）と考えられている問題である。しかし、以下に説明する「トラップドア」を与えた場合には計算ベクトル分解問題を効率的に解くことができる。ディストーション固有ベクトル空間における計算ベクトル分解問題を解く演算が、後の実施の形態で説明する暗号処理、署名処理等の基礎となる演算であり、演算装置１００が実行する演算である。
また、ディストーション固有ベクトル空間における計算ベクトル分解問題を暗号処理、署名処理に応用するための概念として、計算ベクトル分解問題についての「トラップドア全単射関数」について説明する。

＜ディストーション固有ベクトル空間＞
ディストーション固有ベクトル空間について説明する。
ディストーション固有ベクトル空間Ｖは、（１）ディストーション写像（ｄｉｓｔｏｒｔｉｏｎ ｍａｐｓ）と、（２）双線形ペアリング演算（ｂｉｌｉｎｅａｒ ｐａｉｒｉｎｇ ｏｐｅｒａｔｉｏｎｓ）とを有する奇数位数ｒの有限体Ｆ_ｒについての（高次元の）ベクトル空間である。

正確には、ディストーション固有ベクトル空間Ｖは、次の条件１から条件３を満たす有限体Ｆ_ｒ上のｌ次元ベクトル空間である。ここで、ｌは、２以上の整数である。

（条件１）
Ａ←（ａ_ｉ（ｉ＝０，．．．，ｌ−１））をベクトル空間Ｖの基底とする。写像Ｆをベクトル空間Ｖの多項式時間計算可能自己同型（ｐｏｌｙｎｏｍｉａｌ−ｔｉｍｅ ｃｏｍｐｕｔａｂｌｅ ａｕｔｏｍｏｒｐｈｉｓｍ）とする。ここで、基底Ａの基底ベクトルａ_ｉ（ｉ＝０，．．．，ｌ−１）が自己同型Ｆの固有ベクトルであり、基底ベクトルａ_ｉ（ｉ＝０，．．．，ｌ−１）の固有値が互いに異なり、φ_ｉ，ｊ（ａ_ｊ）＝ａ_ｉとなるようなベクトル空間Ｖの多項式時間計算可能自己準同型（ｐｏｌｙｎｏｍｉａｌ−ｔｉｍｅ ｃｏｍｐｕｔａｂｌｅ ｅｎｄｏｍｏｒｐｈｉｓｍｓ）φ_ｉ，ｊが存在する場合には、基底Ａを自己同型Ｆについてのディストーション固有ベクトル基底と呼ぶ。また、多項式時間計算可能自己準同型φ_ｉ，ｊをディストーション写像と呼ぶ。つまり、ディストーション写像φ_ｉ，ｊは、ディストーション固有ベクトル基底Ａにおける所定の基底ベクトルａ_ｊから他の基底ベクトルａ_ｉへの写像である。
この場合に、「ベクトル空間Ｖに、ディストーション固有ベクトル基底Ａ、自己同型Ｆ、ディストーション写像φ_ｉ，ｊ（ｉ，ｊ＝０，．．．，ｌ−１）が存在すること」が条件１である。

（条件２）
「歪対称非縮退双線形ペアリング（ｓｋｅｗ−ｓｙｍｍｅｔｒｉｃ ｎｏｎｄｅｇｅｎｅｒａｔｅ ｂｉｌｉｎｅａｒ ｐａｉｒｉｎｇ）「ｅ：Ｖ×Ｖ→μ_ｒ」が存在すること」が条件２である。ここで、Ｖは、ベクトル空間であり、μ_ｒは位数ｒの乗法巡回群である。
つまり、全てのｕ，ｖ∈Ｖ（Ｖはベクトル空間）、及び全てのγ，δ∈Ｆ（Ｆは自己同型）について、ｅ（γｕ，δｖ）＝ｅ（ｕ，ｖ）^γδである。また、ｅ（ｕ，ｕ）＝１である。さらに、すべてのｖ∈Ｖ（Ｖはベクトル空間）について、ｅ（ｕ，ｖ）＝１であるなら、ｕ＝０である。

（条件３）
「数２２内のある二次超曲面上のｖ以外の任意のｖについて、ｅ（ｖ，ρ（ｖ））≠１であるような、ベクトル空間Ｖ上の多項式時間計算可能自己同型ρが存在すること」が条件３である。

つまり、上述したように、ディストーション固有ベクトル空間においては、（１）ディストーション写像が存在することと、（２）双線形ペアリング演算が存在することとが特徴である。

また、ディストーション固有ベクトル空間は、次の特徴を有する。
ｌ次元のディストーション固有ベクトル空間Ｖにおけるベクトルｖが与えられた場合、ディストーション固有ベクトル基底Ａの基底ベクトルａ_ｉ（ｉ＝０，．．．，ｌ−１）におけるベクトルｖの成分ベクトルを多項式時間で計算することができる。
つまり、Ａ←（ａ_ｉ（ｉ＝０，．．．，ｌ−１））をディストーション固有ベクトル空間Ｖにおける自己同型Ｆのディストーション固有ベクトル基底とする。また、ａ_ｉ（ｉ＝０，．．．，ｌ−１）は、自己同型Ｆの成分ベクトルｖ_ｉ（ｉ＝０，．．．，ｌ−１）を持つとする。すると、自己同型Ｆの多項式（数２３）は、ディストーション固有ベクトル基底Ａについてのｊ番目の射影作用素を与える。

つまり、

後の実施の形態で、ディストーション固有ベクトル空間の例を示す。

＜計算ベクトル分解問題＞
計算ベクトル分解問題について説明する。
計算ベクトル分解問題とは、ベクトルが与えられたときに、そのベクトルを所定の基底における各基底ベクトルの成分ベクトルに分解する問題である。
まず、図を用いて、２次元のディストーション固有ベクトル空間における計算ベクトル分解問題を説明する。次に、一般化された式に基づき、ディストーション固有ベクトル空間における計算ベクトル分解問題について説明する。

図１は、２次元のディストーション固有ベクトル空間Ｖにおける計算ベクトル分解問題を説明するための図である。
図１において、基底Ａ←（ａ_０，ａ_１）は、ディストーション固有ベクトル空間Ｖにおけるディストーション固有ベクトル基底である。ａ_０，ａ_１は、基底Ａの基底ベクトルである。また、基底Ｂ←（ｂ_０，ｂ_１）は、ディストーション固有ベクトル空間Ｖのディストーション固有ベクトル基底でない基底である。ｂ_０，ｂ_１は、基底Ｂの基底ベクトルである。
ディストーション固有ベクトル空間Ｖのベクトルｖが与えられた場合に、ベクトルｖを基底Ｂの基底ベクトルｂ_０，ｂ_１の成分ベクトルに分解する問題をディストーション固有ベクトル空間Ｖにおける計算ベクトル分解問題という。つまり、図１において、ディストーション固有ベクトル空間Ｖにおける計算ベクトル分解問題とは、ベクトルｖが与えられた場合に、ベクトルｖをｙ_０ｂ_０とｙ_１ｂ_１との成分ベクトルに分解する問題である。
ディストーション固有ベクトル空間の説明において述べたように、ディストーション固有ベクトル空間では、ベクトルｖが与えられた場合に自己同型Ｆのディストーション固有ベクトル基底Ａの各成分ベクトルは多項式時間で計算可能である。しかし、ベクトルｖが与えられた場合に基底Ａとは異なる基底Ｂの各成分ベクトルは（後述するトラップドアＸを有していない場合には）多項式時間で計算できない。つまり、図１において、ベクトルｖをｃ_０ａ_０とｃ_１ａ_１とに分解することは容易であるが、ベクトルｖをｙ_０ｂ_０とｙ_１ｂ_１とに分解することは難しい。なお、ベクトルｖをｙ_０ｂ_０とｙ_１ｂ_１とに分解することの難しさ、つまり、計算ベクトル問題の難しさについては後述する。

また、ｌ_１次元のディストーション固有ベクトル空間Ｖにおいて、ベクトルｖが与えられた場合に、ベクトルｖのｌ_２次元分の各基底ベクトルの成分ベクトルを計算する問題を（ｌ_１，ｌ_２）計算ベクトル分解問題（ＣＶＤＰ（ｌ_１，ｌ_２））と呼ぶ。例えば、図１に示す２次元のディストーション固有ベクトル空間Ｖにおいて、ベクトルｖの基底ベクトルｂ_０の成分ベクトルのみを計算する問題は、（２，１）計算ベクトル分解問題である。
この問題も上述した計算ベクトル分解問題と同様に難しい。つまり、図１に示す２次元のディストーション固有ベクトル空間Ｖにおいて、ベクトルｖの基底ベクトルｂ_０の成分ベクトルのみを計算することも（後述するトラップドアＸを有していない場合には）多項式時間ではできない。

（ｌ_１，ｌ_２）計算ベクトル分解問題を一般化すると以下のようになる。

つまり、（ｌ_１，ｌ_２）計算ベクトル分解問題とは、ｌ_１次元のディストーション固有ベクトル空間Ｖと、基底Ｂ←ｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）と、入力ベクトルｖとが与えられた場合に、基底Ｂ←ｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）のうちのｌ_２個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）の成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）を計算する問題である。

＜計算ベクトル分解問題の解法＞
ディストーション固有ベクトル空間Ｖにおける計算ベクトル分解問題の解法について説明する。
上述したように、計算ベクトル分解問題を多項式時間で解くことができない。しかし、以下のトラップドアＸを有する場合には、計算ベクトル分解問題を多項式時間で解くことができる。
そこで、トラップドアＸを用いて計算ベクトル分解問題を解く方法について説明する。まず、図１に基づき、２次元のディストーション固有ベクトル空間における解法を説明する。次に、一般化された式に基づき、高次元のディストーション固有ベクトル空間における解法を説明する。

２次元のディストーション固有ベクトル空間において、入力ベクトルｖの各基底ベクトルにおける成分ベクトルを計算する方法を説明する。
上述したように、図１において、ベクトルｖが与えられた場合、ディストーション固有ベクトル基底Ａの各基底ベクトルにおけるベクトルｖの成分ベクトルを多項式時間で計算可能である。つまり、
ｖ＝ｃ_０ａ_０＋ｃ_１ａ_１（式１）
となるｃ_０ａ_０とｃ_１ａ_１とを多項式時間で計算することは可能である。
ｂ_０とｂ_１とをディストーション固有ベクトル基底Ａの各成分ベクトルを用いて、
ｂ_０＝ｘ_００ａ_０＋ｘ_０１ａ_１（式２）
ｂ_１＝ｘ_１０ａ_０＋ｘ_１１ａ_１（式３）
と表す。ここで、式２と式３とは数２６のように表せる。ここで、数２６に示すＸを基底変換行列（基底変換情報）と呼ぶ。

この基底変換行列Ｘがトラップドアである。つまり、この基底変換行列Ｘを有する場合には、計算ベクトル分解問題を多項式時間で解くことができる。すなわち、この基底変換行列Ｘを有する場合には、ベクトルｖが与えられた場合に、ベクトルｖを基底Ｂの各成分ベクトルｙ_０ｂ_０とｙ_１ｂ_１とに多項式時間で分解することができる。
ここで、基底変換行列Ｘの逆行列Ｘ^−１を数２７のように表す。

また、逆行列Ｘ^−１の各成分を使って、ａ_０とａ_１とを
ａ_０＝ｔ_００ｂ_０＋ｔ_０１ｂ_１（式４）
ａ_１＝ｔ_１０ｂ_０＋ｔ_１１ｂ_１（式５）
と表せる。
ここで、式４と式５とを式１のａ_０とａ_１とへ代入する。すると、
ｖ
＝ｃ_０（ｔ_００ｂ_０＋ｔ_０１ｂ_１）＋ｃ_１（ｔ_１０ｂ_０＋ｔ_１１ｂ_１）
＝ｃ_０ｔ_００ｂ_０＋ｃ_０ｔ_０１ｂ_１＋ｃ_１ｔ_１０ｂ_０＋ｃ_１ｔ_１１ｂ_１
＝ｃ_０ｔ_００ｂ_０＋ｃ_１ｔ_１０ｂ_０＋ｃ_０ｔ_０１ｂ_１＋ｃ_１ｔ_１１ｂ_１（式６）
となる。ここで、式６のｃ_０ｔ_００ｂ_０＋ｃ_１ｔ_１０ｂ_０がｖの基底ベクトルｂ_０の成分ベクトル（ｙ_０ｂ_０）であり、ｃ_０ｔ_０１ｂ_１＋ｃ_１ｔ_１１ｂ_１がｖの基底ベクトルｂ_１の成分ベクトル（ｙ_１ｂ_１）である。
さらに、式２を基底ベクトルｂ_０の成分ベクトルを示す式へ代入し、式３を基底ベクトルｂ_１の成分ベクトルを示す式へ代入する。すると、
基底ベクトルｂ_０の成分ベクトルｙ_０ｂ_０
＝ｃ_０ｔ_００（ｘ_００ａ_０＋ｘ_０１ａ_１）＋ｃ_１ｔ_１０（ｘ_００ａ_０＋ｘ_０１ａ_１）
＝ｃ_０ｔ_００ｘ_００ａ_０＋ｃ_０ｔ_００ｘ_０１ａ_１＋ｃ_１ｔ_１０ｘ_００ａ_０＋ｃ_１ｔ_１０ｘ_０１ａ_１
＝ｔ_００ｘ_００ｃ_０ａ_０＋ｔ_００ｘ_０１ｃ_０ａ_１＋ｔ_１０ｘ_００ｃ_１ａ_０＋ｔ_１０ｘ_０１ｃ_１ａ_１
基底ベクトルｂ_１の成分ベクトルｙ_１ｂ_１
＝ｃ_０ｔ_０１（ｘ_１０ａ_０＋ｘ_１１ａ_１）＋ｃ_１ｔ_１１（ｘ_１０ａ_０＋ｘ_１１ａ_１）
＝ｃ_０ｔ_０１ｘ_１０ａ_０＋ｃ_０ｔ_０１ｘ_１１ａ_１＋ｃ_１ｔ_１１ｘ_１０ａ_０＋ｃ_１ｔ_１１ｘ_１１ａ_１
＝ｔ_０１ｘ_１０ｃ_０ａ_０＋ｔ_０１ｘ_１１ｃ_０ａ_１＋ｔ_１１ｘ_１０ｃ_１ａ_０＋ｔ_１１ｘ_１１ｃ_１ａ_１
となる。ここで、基底変換行列Ｘ、逆行列Ｘ^−１、ｃ_０ａ_０、ｃ_１ａ_１の値は既に有している。したがって、ここで、値を有していないのは、ｃ_０ａ_１とｃ_１ａ_０とである。なお、ｃ_０ａ_０とｃ_１ａ_１とは既知であるが、ｃ_０とｃ_１とは既知でない。ｃ_０ａ_０とｃ_１ａ_１とから、ｃ_０とｃ_１とを計算するには、各基底ベクトルａ_０とａ_１と底として離散対数問題を解く必要があり、多項式時間で計算することはできない。
しかし、ｃ_０ａ_１とｃ_１ａ_０とをディストーション写像φ_ｉ，ｊを用いれば、
ｃ_０ａ_１＝ｃ_０（φ_１，０）ａ_０
ｃ_１ａ_０＝ｃ_１（φ_０，１）ａ_１
と表すことができる。ここで、ディストーション写像φ_ｉ，ｊは、ディストーション固有ベクトル空間の条件１のとおり、基底Ａに存在し、計算により求めることができる。つまり、ディストーション写像φ_ｉ，ｊを用いることで、ｃ_０ａ_１とｃ_１ａ_０とを既知の値へ変換することができる。したがって、基底ベクトルｂ_０の成分ベクトル（ｙ_０ｂ_０）と基底ベクトルｂ_１の成分ベクトル（ｙ_１ｂ_１）とをすべて既知の値で表すことができ、基底ベクトルｂ_０の成分ベクトル（ｙ_０ｂ_０）と基底ベクトルｂ_１の成分ベクトル（ｙ_１ｂ_１）とを計算することができる。

つまり、ディストーション固有ベクトル基底Ａに関しては、ベクトル分解が可能であるので、まず、入力されたベクトルをディストーション固有ベクトル基底Ａの成分ベクトルに分解する。そして、基底変換行列Ｘ、逆行列Ｘ^−１、ディストーション写像φ_ｉ，ｊを用いて、ディストーション固有ベクトル基底Ａの成分ベクトルを基底Ｂにおける成分ベクトルに変換する。これにより、入力されたベクトルの基底Ｂにおける成分ベクトルを計算することができる。言い替えると、基底変換行列Ｘ、逆行列Ｘ^−１、ディストーション写像φ_ｉ，ｊを用いて、基底Ｂのベクトル分解を基底Ａのベクトル分解に帰着させて解くことができる。
すなわち、ディストーション固有ベクトル空間には、ディストーション固有ベクトル基底Ａおいてディストーション写像が存在することと、ディストーション固有ベクトル基底Ａに関してはベクトル分解が可能であることとの特性により、ディストーション固有ベクトル空間では計算ベクトル問題を解くことができる。但し、その条件として、基底変換行列Ｘを有していることが必要である。

以上に説明した基底変換行列Ｘが与えられた場合の計算ベクトル分解問題（（ｌ_１，ｌ_２）計算ベクトル分解問題）の解法を一般化してまとめると次のようになる。なお、この解法をアルゴリズムＤｅｃｏと呼ぶ。
＜アルゴリズムＤｅｃｏ＞
（入力）
（１）分解対象のベクトルｖ（入力ベクトル）と、
（２）ベクトルｖの成分ベクトルを求める基底Ｂの部分空間ｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）と、
（３）基底変換行列Ｘ（トラップドア）と、
（４）基底Ｂ←ｂ_ｉ（ｉ＝０，．．．，ｌ_１−１））と
が入力となる。
ここで、ベクトルｖは、数２８で表すことができる。

（解法）
数２９により、基底Ｂのｌ_２個の基底ベクトルにおける入力ベクトルｖの成分ベクトルｕを計算する。

ここで、数３０により、基底Ｂの基底ベクトルｂ_ｊの入力ベクトルｖの成分ベクトルｕ_ｊを計算できる。ここで、成分ベクトルｕ_ｊとは、数２８におけるｙ_ｊｂ_ｊである。

以下に、アルゴリズムＤｅｃｏの出力ｕは、数３１に示すアルゴリズムＤｅｃｏの入力ベクトルｖの成分ベクトルの和（数３２）であることを示す。

つまり、アルゴリズムＤｅｃｏは、数３３であるような基底変換行列Ｘ←（ｘ_ｉ，ｊ）を用いて（ｌ_１，ｌ_２）計算ベクトル分解問題を解くことができることを示す。

行ベクトルｚ_ｉ（ｉ＝０，．．．，ｌ_１−１）をｙ_ｉ（ｉ＝０，．．．，ｌ_１−１）Ｘ（Ｘは基底変換行列）とする。すると、数３４及び数３５である。したがって、数３６を得る。

数３６と数３７とを用いて、数３８を得る。

したがって、アルゴリズムＤｅｃｏの出力ｕは、数３２である。

以上のように、高次元のディストーション固有ベクトル空間Ｖにおいて、基底変換行列Ｘが与えられた場合、計算ベクトル分解問題を多項式時間で解くことができる。一方、基底変換行列Ｘが与えられない場合、計算ベクトル分解問題を多項式時間で解くことはできない。
なお、基底変換行列Ｘは、基底Ｂが与えられた場合であっても多項式時間で計算することはできない。

演算装置１００について説明する。
図２、図３に基づき、演算装置１００の機能と動作とについて説明する。
図２は、演算装置１００の機能を示す機能ブロック図である。図３は、演算装置１００の動作を示すフローチャートである。
演算装置１００は、ディストーション固有ベクトル空間における計算ベクトル分解問題を解く演算を行う。つまり、演算装置１００は、上述したアルゴリズムＤｅｃｏを実行して、入力ベクトルｖの基底Ｂの所定の基底ベクトル（ここでは、基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）のｌ_２個の基底ベクトル）の成分ベクトルを計算する。
演算装置１００は、入力部１１０（ベクトル入力部）、逆行列計算部１２０、成分計算部１３０、成分出力部１４０を備える。

（Ｓ１０１：入力ステップ）
入力部１１０は、アルゴリズムＤｅｃｏへの入力情報である入力ベクトルｖ，部分空間ｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）、基底変換行列Ｘ←ｘ_ｉ，ｋ（ｉ，ｋ＝０，．．．，ｌ−１）、基底Ｂ←ｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）、射影作用素Ｐｒ_ｉ（ｉ＝０，．．．，ｌ−１）、ディストーション写像φ_ｋ，ｉ（ｋ，ｉ＝０，．．．，ｌ−１）を入力装置を介して入力して記憶装置に記憶する。

（Ｓ１０２：逆行列計算ステップ）
逆行列計算部１２０は、入力部１１０が入力した基底変換行列Ｘの逆行列ｔ_ｉ，ｋ←Ｘ^−１を処理装置により計算して記憶装置に記憶する。

（Ｓ１０３：成分計算ステップ）
成分計算部１３０は、入力部１１０が入力した基底変換行列Ｘと射影作用素Ｐｒ_ｉ（ｉ＝０，．．．，ｌ_１−１）と、逆行列計算部１２０が計算した逆行列Ｘ^−１とに基づき、入力部１１０が入力した入力ベクトルｖの部分空間ｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）の成分ベクトルｕ_ｊ（ｊ＝０，．．．，ｌ_２−１）を処理装置により計算する。
つまり、成分計算部１３０は、ｊ＝０，．．．，ｌ_２−１の各ｊについて、処理装置により数３０を計算して、部分空間の各基底ベクトルｂ_ｊにおける入力ベクトルｖの成分ベクトルｕ_ｊを計算する。
すなわち、成分計算部１３０は、ディストーション固有ベクトル基底Ａの各成分ベクトルＰｒ_ｉ（ｖ）（ｉ＝０，．．．，ｌ_１−１）を処理装置により計算する。そして、成分計算部１３０は、ｊ＝０，．．．，ｌ_２−１の各ｊについて、基底変換行列Ｘ、逆行列Ｘ^−１、ディストーション写像φ_ｉ，ｊを用いて、ディストーション固有ベクトル基底Ａの成分ベクトルＰｒ_ｉ（ｖ）（ｉ＝０，．．．，ｌ_１−１）から、ディストーション固有ベクトル基底Ａとは異なる基底Ｂの基底ベクトルｂ_ｊの成分ベクトルを計算する。つまり、成分計算部１３０は、（ｌ_１，ｌ_２）計算ベクトル分解問題を解く。

（Ｓ１０４：成分出力ステップ）
成分出力部１４０は、成分計算部１３０が計算したの各基底ベクトルｂ_ｊにおける入力ベクトルｖの成分ベクトルｕ_ｊ（ｊ＝０，．．．，ｌ_２−１）を出力装置へ出力する。

以上のように、この実施の形態に係る演算装置１００によれば、基底変換行列Ｘが与えられた場合、ディストーション固有ベクトル空間Ｖにおける計算ベクトル分解問題を解くことができる。つまり、この実施の形態に係る演算装置１００によれば、基底変換行列Ｘが与えられた場合、基底Ｂの各基底ベクトルにおける入力ベクトルｖの成分ベクトルを計算することができる。

＜トラップドア全単射関数（Ｔｒａｐｄｏｏｒ Ｂｉｊｅｃｔｉｖｅ Ｆｕｎｃｔｉｏｎｓ）＞
トラップドア全単射関数について説明する。
関数ｆが一方向関数であり、かつ全単射（一対一かつ全射、すなわち定義域と値域とが同型）であるなら、関数ｆをトラップドア全単射関数という。一般に、定義域の表現は値域とは異なる。定義域の表現が値域と同じであるなら、トラップドア全単射関数ｆをトラップドア置換関数（Ｔｒａｐｄｏｏｒ Ｐｅｒｍｕｔａｔｉｏｎ Ｆｕｎｃｔｉｏｎ）という。

数３９に示す計算ベクトル分解問題についての関数ｆはトラップドア全単射関数である。

ここで、数３９の第１式は、基底ベクトル＜ｂ_０＞×・・・×＜ｂ_ｌ−１＞（つまり、基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ−１））を有する基底をベクトル空間Ｖへ写像することを表す。また、数３９の第２式は、ｚ_ｉ（ｉ＝０，．．．，ｌ−１）からΣ_ｉ＝０ ^ｌ−１ｚ_ｉを演算することを表す。

つまり、関数ｆを効率的に評価するアルゴリズムは存在する。すなわち、基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ−１）の各成分ベクトルｚ_ｉ（ｉ＝０，．．．，ｌ−１）が与えられた場合に、数４０に示すベクトル空間Ｖのベクトルを計算するアルゴリズムが存在することは明らかである。

しかし、トラップドアＸ（基底変換行列）なしで、関数ｆ^−１を計算することはできない。すなわち、数４１であるようなベクトルｖが与えられた場合に、ｉ＝０，．．．，ｌ−１の各ｉについて、ｚ_ｉを計算することはできない。

つまり、関数ｆは、一方向関数である。但し、トラップドア（基底変換行列Ｘ）を有する場合には、関数ｆ^−１を効率的に計算するアルゴリズムＤｅｃｏが存在する。

また、

である。つまり、関数ｆの定義域は値域と同型である。つまり、関数ｆは、全単射関数である。

この一方向関数であるという特性と、全単射関数であるという特性とを暗号処理、署名処理に応用することができる。特に、一方向関数でありながら、トラップドア（基底変換行列Ｘ）を与えた場合、逆方向の計算も効率的にできるという特性を暗号処理、署名処理に応用することができる。
そこで、以下の実施の形態では、一方向関数であるという特性と、全単射関数であるという特性とを有するトラップドア全単射関数を応用した暗号処理、署名処理について説明する。ここで、トラップドア（基底変換行列Ｘ）を用いて逆方向の計算を行うのが演算装置１００である。

なお、この関数ｆは、整数の因数分解に基づいたＲＳＡ関数及びその変形（非特許文献１６参照）（以下、ＲＳＡ系関数）を除いて、初めてのトラップドア全単射関数である。但し、ＲＳＡ系関数は、トラップドア全単射関数であるとともに、トラップドア置換関数でもある。

実施の形態２．
この実施の形態では、実施の形態１で説明したトラップドア全単射関数を用いた暗号処理について説明する。ここで説明する暗号処理は、多変量準同型暗号処理（Ｍｕｌｔｉｖａｒｉａｔｅ Ｈｏｍｏｍｏｒｐｈｉｃ Ｅｎｃｒｙｐｔｉｏｎ）である。

図４から図７に基づき、暗号処理システムの機能と動作とについて説明する。
図４は、暗号処理システムの機能を示す機能ブロック図である。暗号処理システムは、鍵生成装置２００、暗号化装置３００、復号装置４００を備える。
図５は、鍵生成装置２００の動作を示すフローチャートである。図６は、暗号化装置３００の動作を示すフローチャートである。図７は、復号装置４００の動作を示すフローチャートである。
ここでは、ｌ_１次元のディストーション固有ベクトル空間Ｖを用いる。ｌ_１次元のうちｌ_２次元をメッセージ空間とする。ｌ_１次元のうち残りの（ｌ_１−ｌ_２）次元はランダム化のための空間とする。

鍵生成装置２００の機能と動作とについて説明する。鍵生成装置２００は、鍵生成部２１０、鍵配布部２２０を備える。

（Ｓ２０１：鍵生成ステップ）
鍵生成部２１０は、数４３に示すように、暗号化に使用する公開鍵ｐｋと復号に使用する秘密鍵ｓｋとを処理装置により生成して記憶装置に記憶する。

つまり、鍵生成部２１０は、ディストーション固有ベクトル基底Ａ←ａ_ｉ（ｉ＝０，．．．，ｌ_１−１）を有するｌ_１次元のディストーション固有ベクトル空間Ｖを処理装置により設定する。また、鍵生成部２１０は、一様に（又はランダムに）ｘ_ｉ，ｊ（ｉ，ｊ＝０，．．．，ｌ_１−１）を選択して基底変換行列Ｘ←ｘ_ｉ，ｊを生成する。鍵生成部２１０は、生成したｘ_ｉ，ｊ（ｉ，ｊ＝０，．．．，ｌ_１−１）とディストーション固有ベクトル基底Ａとを用いて、基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）を計算して、基底Ｂを処理装置により生成する。そして、鍵生成部２１０は、生成した基底変換行列Ｘを秘密鍵ｓｋとし、ディストーション固有ベクトル空間Ｖ、ディストーション固有ベクトル基底Ａ（基底ベクトルａ_ｉ（ｉ＝０，．．．，ｌ_１−１））、基底Ｂ（基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１））を公開鍵ｐｋとして記憶装置に記憶する。

（Ｓ２０２：鍵配布ステップ）
鍵配布部２２０は、鍵生成部２１０が生成した秘密鍵と公開鍵とを復号装置４００へ通信装置を介して送信するとともに、公開鍵を暗号化装置３００へ通信装置を介して送信する。ここで、秘密鍵は秘密裏に復号装置４００へ送信されるが、秘密鍵を秘密裏に復号装置４００へ送信する方法に関しては、どのような方法であっても構わない。例えば、従来の暗号処理を使用して送信してもよい。

鍵生成装置２００の動作をまとめると数４４のようになる。

暗号化装置３００の機能と動作とについて説明する。暗号化装置３００は、平文情報入力部３１０、乱数生成部３２０、平文情報設定部３３０、暗号情報生成部３４０、暗号情報出力部３５０を備える。

（Ｓ３０１：平文情報入力ステップ）
平文情報入力部３１０は、復号装置４００へ送信する多次元平文情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）と、鍵生成装置２００の鍵配布部２２０が配布した公開鍵ｐｋとを入力装置により入力する。
ここで入力する平文情報ｍ_ｉは、所定の小さな整数τよりも小さな数であるとする。つまり、０≦ｍ_ｉ＜τ（ｉ＝０，．．．，ｌ_２−１）である。すなわち、ｍ_ｉ∈｛０，．．．，τ−１｝^ｌ２（ｉ＝０，．．．，ｌ_２−１）である。なお、ｍ_ｉ∈｛０，．．．，τ−１｝^ｌ２のｌ２は、ｌ_２を示す。これは、後述するように、復号装置４００が平文情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）を計算する際、離散対数問題を解く必要があるためである。つまり、平文情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）を自由に設定できるようにしてしまうと、復号装置４００が平文情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）を計算するために多くの時間が必要になるためである。そこで、平文情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）を所定の小さな整数τよりも小さな数に制限することで、例えば、平文情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）がとり得る全ての値を全探索で調べたとしても、短時間で平文情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）を計算することができる。
このように、平文情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）を小さな値に制限した場合であっても、多くの応用が可能であることは一般に知られている。

（Ｓ３０２：乱数生成ステップ）
乱数生成部３２０は、（ｌ_１−ｌ_２）個の乱数ｒ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を処理装置により生成する。つまり、乱数生成部３２０は、数４５を処理装置により計算する。

（Ｓ３０３：平文情報埋め込みステップ、暗号情報生成ステップ）
平文情報設定部３３０は、平文情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）を公開鍵ｐｋに含まれる基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）に対する係数に設定して、処理装置により平文ベクトルｍｖとして生成する。つまり、平文情報設定部３３０は、数４６を処理装置により計算する。

暗号情報生成部３４０は、乱数生成部３２０が生成した乱数ｒ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）に対する係数に設定して、処理装置により乱数ベクトルｒｖとして生成する。つまり、数４７を処理装置により計算する。

暗号情報生成部３４０は、平文情報設定部３３０が生成した平文ベクトルｍｖに、乱数ベクトルｒｖを加えて、処理装置により暗号情報ベクトルｃとして生成する。つまり、暗号情報生成部３４０は、数４８を処理装置により計算する。

（Ｓ３０４：暗号情報出力ステップ）
暗号情報出力部３５０は、暗号情報生成部３４０が生成した暗号情報ベクトルｃを通信装置を介して復号装置４００へ送信する。

暗号化装置３００の動作をまとめると数４９のようになる。

復号装置４００の機能と動作とについて説明する。復号装置４００は、実施の形態１で説明した演算装置１００と、暗号情報入力部４１０、成分取得部４２０、離散対数計算部４３０、平文情報出力部４４０とを備える。

（Ｓ４０１：暗号情報入力ステップ）
暗号情報入力部４１０は、暗号情報出力部３５０が出力した暗号情報ベクトルｃと、鍵生成装置２００の鍵配布部２２０が配布した秘密鍵ｓｋ、公開鍵ｐｋと、ディストーション固有ベクトル空間Ｖの射影作用素Ｐｒ_ｉ（ｉ＝０，．．．，ｌ_１−１）とディストーション写像φ_ｉ，ｊ（ｉ，ｊ＝０，．．．，ｌ_１−１）とを入力装置により入力する。

（Ｓ４０２：成分取得ステップ）
成分取得部４２０は、暗号情報入力部４１０が入力した暗号情報ベクトルｃを演算装置１００の入力ベクトルとして、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）を演算装置１００に計算させる。そして、成分取得部４２０は、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）を取得する。つまり、成分取得部４２０は、演算装置１００に、数５０を計算させて、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）を取得する。

（Ｓ４０３：離散対数計算ステップ）
離散対数計算部４３０は、成分取得部４２０が取得した基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）について、処理装置により対応する基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）を底として離散対数問題を解き平文情報ｍ_ｉ’（ｉ＝０，．．．，ｌ_２−１）を計算する。対応する成分ベクトルｕ_ｉに対応する基底Ｂの基底ベクトルｂ_ｉとは、例えば、成分ベクトルｕ_０が基底ベクトルｂ_０の成分ベクトルであれば、成分ベクトルｕ_０に対応する基底ベクトルは基底ベクトルｂ_０である。つまり、離散対数計算部４３０は、数５１を処理装置により計算する。

ここで、上述したように、平文情報ｍ_ｉは、所定の小さな整数τよりも小さな数である。したがって、離散対数計算部４３０は、例えば、平文情報ｍ_ｉがとり得る値を全探索したとしても、上記離散対数問題を短時間に解くことができる。

（Ｓ４０４：平文情報出力ステップ）
平文情報出力部４４０は、離散対数計算部４３０が計算したｍ_ｉ’（ｉ＝０，．．．，ｌ_２−１）を出力装置へ出力する。
ここで、原則として、暗号化装置３００の平文情報入力部３１０が入力した平文情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）と、平文情報出力部４４０が出力したｍ_ｉ’（ｉ＝０，．．．，ｌ_２−１）とは同一となる。

復号装置４００の動作をまとめると数５２のようになる。

なお、上記説明では、鍵生成装置２００が秘密鍵と公開鍵とを生成して、暗号化装置３００と復号装置４００とへ配布した。しかし、復号装置４００が秘密鍵と公開鍵とを生成して暗号化装置３００へ公開鍵を配布するとしてもよい。この場合、暗号処理システムは、鍵生成装置２００を備える必要はない。

また、この実施の形態で説明した暗号処理は、Ｂｏｎｅｈ−Ｇｏｈ−Ｎｉｓｓｉｍ（以下、ＢＧＮ）の暗号処理と共通の性質をいくつか持っている。しかし、ＢＧＮの暗号処理では合成数位数部分群が必要になる。そのため、この実施の形態で説明した暗号処理の暗号文のサイズはＢＧＮの暗号処理の暗号文のサイズよりも小さくすることができる。
この実施の形態で説明した暗号処理の主な長所は、ＢＧＮの暗号処理よりも代数構造が豊富な点である。例えば、この実施の形態で説明した暗号処理はディストーション写像を持つ多変数準同型暗号化であると同時に、双線形ペアリングを有する。このような代数構造に基づいて、準同型の性質や後の実施の形態で説明する２ＤＮＦ式プロトコルとともに、高次元の秘密情報を用いて様々な暗号化プロトコルへの新しい応用を考えることができる。

以上のように、この実施の形態に係る暗号処理システムによれば、ディストーション固有ベクトル空間という豊かな数学的構造を利用して、暗号処理を実現できる。

実施の形態３．
この実施の形態では、２つの装置の間で、共通鍵暗号方式における共通鍵等の情報を共有する情報共有システム（鍵共有システム）について説明する。

実施の形態２で説明した暗号処理では、復号装置４００が平文情報を得るために離散対数問題を計算する必要があった。つまり、実施の形態２で説明した暗号処理では、計算ベクトル分解問題を解き平文情報が設定された基底ベクトルの成分ベクトルを計算した後、その成分ベクトルから基底ベクトルに対する係数を計算するため、離散対数問題を計算する必要があった。
実施の形態１で説明したトラップドア全単射関数を用いた暗号処理に基づき、離散対数問題を計算することなく２つの装置の間で共通鍵等の情報を共有することができる。
以下の説明では、２つの装置の間で所定の情報を共有する情報共有システムの一例として、２つの装置の間で鍵を共有する鍵共有システムを説明する。ここでは、共有する情報として鍵を用いて説明するが、共有する情報は鍵に限定するものではなく、他の情報であってもよい。

図８から図１０に基づき、実施の形態１で説明したトラップドア全単射関数を用いた暗号処理による鍵共有システムについて説明する。
図８は、鍵共有システムの機能を示す機能ブロック図である。鍵共有システムは、送信装置５００、受信装置６００を備える。図９は、送信装置５００の動作を示すフローチャートである。図１０は、受信装置６００の動作を示すフローチャートである。
なお、前提として、送信装置５００は、受信装置６００の秘密鍵と対をなす公開鍵を有しており、受信装置６００は秘密鍵と公開鍵とを有しているものとする。受信装置６００の秘密鍵と公開鍵とは、受信装置６００が生成したものであってもよいし、実施の形態２と同様に鍵生成装置２００が生成したものであってもよい。

送信装置５００の機能と動作とについて説明する。送信装置５００は、共有情報入力部５１０、乱数生成部５２０、共有情報設定部５３０、暗号情報生成部５４０、暗号情報出力部５５０、鍵生成部５６０を備える。

（Ｓ５０１：共有情報入力ステップ）
共有情報入力部５１０は、受信装置６００へ送信する鍵の元情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）と、公開鍵ｐｋとを入力装置により入力する。
ここで入力する鍵の元情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）は、実施の形態２に係る暗号化装置３００が入力した平文情報とは異なり、値に制限はない。つまり、実施の形態２に係る復号装置４００では、離散対数問題を解く必要があったため、平文情報を所定の小さな整数τよりも小さな数に制限したが、受信装置６００は離散対数問題を解く必要がないため、鍵の元情報として設定する値に制限はない。

（Ｓ５０２：乱数生成ステップ）は、（Ｓ３０２：乱数生成ステップ）と同一である。つまり、乱数生成部５２０は、乱数生成部３２０と同様に乱数ｒ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を処理装置により生成する。

（Ｓ５０３：共有情報設定ステップ、暗号情報生成ステップ）
共有情報設定部５３０は、鍵の元情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）を基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）に対する係数に設定して、処理装置により共有情報ｓとして生成する。つまり、共有情報設定部５３０は、数５３を処理装置により計算する。

暗号情報生成部５４０は、乱数生成部５２０が生成した乱数ｒ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）に対する係数に設定して、処理装置により乱数ベクトルｒｖとして生成する。つまり、暗号情報生成部５４０は、数５４を処理装置により計算する。

暗号情報生成部５４０は、共有情報設定部５３０が生成した共有情報ｓに、乱数ベクトルｒｖを加えて、処理装置により暗号情報ベクトルｃとして生成する。つまり、暗号情報生成部５４０は、数５５を処理装置により計算する。

（Ｓ５０４：暗号情報出力ステップ）
暗号情報出力部５５０は、暗号情報生成部５４０が生成した暗号情報ベクトルｃを通信装置を介して受信装置６００へ送信する。

（Ｓ５０５：鍵生成ステップ）
鍵生成部５６０は、共有情報設定部５３０が生成した共有情報ｓを所定の関数（ハッシュ関数）へ入力して鍵情報ｋｅｙを処理装置により生成する。つまり、鍵生成部５６０は、数５６を処理装置により計算する。

なお、鍵情報ｋｅｙを生成するために使用した関数は、予め受信装置６００との間で共有しているものとする。

送信装置５００の動作をまとめると数５７のようになる。

受信装置６００の機能と動作とについて説明する。受信装置６００は、実施の形態１で説明した演算装置１００と、暗号情報入力部６１０、成分取得部６２０、鍵生成部６３０、鍵出力部６４０とを備える。

（Ｓ６０１：暗号情報入力ステップ）
暗号情報入力部６１０は、暗号情報出力部５５０が出力した暗号情報ベクトルｃを入力する。また、秘密鍵ｓｋと公開鍵ｐｋと、ディストーション固有ベクトル空間Ｖの射影作用素Ｐｒ_ｉ（ｉ＝０，．．．，ｌ_１−１）とディストーション写像φ_ｉ，ｊ（ｉ，ｊ＝０，．．．，ｌ_１−１）とを入力装置により入力する。

（Ｓ６０２：成分取得ステップ）
成分取得部６２０は、暗号情報入力部６１０が入力した暗号情報ベクトルｃを演算装置１００の入力ベクトルとして、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）を演算装置１００に計算させる。そして、成分取得部６２０は、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）を取得する。つまり、成分取得部６２０は、共有情報ｓを取得する。すなわち、成分取得部６２０は、演算装置１００に、数５８を計算させて、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）を取得する。なお、ｕ_ｉ＝ｍ_ｉｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）であり、共有情報ｓは、ｍ_ｉｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）の和であるから、ｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）の和は、共有情報ｓである。つまり、成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）を取得することは、共有情報ｓを取得することと同じである。

（Ｓ６０３：鍵生成ステップ）
鍵生成部６３０は、成分取得部６２０が取得した共有情報ｓを送信装置５００が鍵情報を生成するために使用した所定の関数（ハッシュ関数）へ入力して鍵情報ｋｅｙを処理装置により生成する。つまり、鍵生成部６３０は、数５９を処理装置により計算する。

（Ｓ６０４：鍵出力ステップ）
鍵出力部６４０は、鍵生成部６３０が生成した鍵情報ｋｅｙを出力装置へ出力する。

受信装置６００の動作をまとめると数６０のようになる。

つまり、実施の形態２で説明した暗号処理システムでは、暗号化装置３００が基底Ｂの所定の基底ベクトルに対する係数として平文情報を設定したため、復号装置４００が平文情報を得るには離散対数問題を解く必要があった。しかし、鍵共有システムでは、送信装置５００が基底Ｂの所定の基底ベクトルにおける成分ベクトルとして共有情報ｓを設定するため、受信装置６００が離散対数問題を計算することなく共有情報ｓを得ることができる。その結果、受信装置６００が離散対数問題を計算することなく送信装置５００と受信装置６００とで、鍵情報を共有することができる。
また、この実施の形態に係る情報共有システムでは、送信装置５００から受信装置６００へ暗号情報ベクトルｃを送信するだけで、受信装置６００から送信装置５００へは情報の送信をする必要がない。したがって、送信装置５００は復号処理を行う必要がなく、秘密鍵と公開鍵のペアを生成する必要もない。つまり、送信装置５００と受信装置６００との間で、効率的に情報を共有することができる。

実施の形態４．
この実施の形態では、２者間における２ＤＮＦ式の安全な評価方法について説明する。

以下の説明において、ベクトル記号は、有限体Ｆ_ｒについてのベクトル表現を表す。例えば、数６１である。

また、次の記法を用いる。

２者間における２ＤＮＦ式の安全な評価方法とは、一方（式保持装置７００）が２ＤＮＦ式を有し、他方（情報保持装置８００）が２ＤＮＦ式への入力情報を有する場合に、式保持装置７００と情報保持装置８００とがそれぞれ有する情報（２ＤＮＦ式と入力情報）を相手に知られることなく、入力情報を２ＤＮＦ式で評価した結果を得ることである。
つまり、式保持装置７００と情報保持装置８００とは、実施の形態２で説明した暗号処理を用いることにより、それぞれの秘密（２ＤＮＦ式と入力情報）を秘密裡に保持しつつ、入力情報を２ＤＮＦ式で評価した結果を得ることができる。

図１１と図１２とに基づき、２ＤＮＦ式評価システムの機能と動作とについて説明する。
図１１は、２ＤＮＦ式評価システムの機能を示す機能ブロック図である。２ＤＮＦ式評価システムは、式保持装置７００、情報保持装置８００を備える。図１２は、２ＤＮＦ式評価システムの動作を示すフローチャートである。
なお、前提として、式保持装置７００は、情報保持装置８００の秘密鍵ｓｋと対をなす公開鍵ｐｋを有しており、情報保持装置８００は秘密鍵ｓｋと公開鍵ｐｋとを有しているものとする。情報保持装置８００の秘密鍵ｓｋと公開鍵ｐｋとは、情報保持装置８００が生成したものであってもよいし、実施の形態２と同様に鍵生成装置２００が生成したものであってもよい。

式保持装置７００は、式記憶部７１０、代入部７２０、式暗号化部７３０を備える。
情報保持装置８００は、実施の形態１で説明した演算装置１００と、入力情報記憶部８１０、情報暗号化部８２０、結果計算部８３０とを備える。

式保持装置７００の式記憶部７１０は、予め数６３に示す２ＤＮＦ式ψを記憶装置に記憶する。

情報保持装置８００の入力情報記憶部８１０は、予め数６４に示す２ＤＮＦ式ψへの入力情報ｍを記憶装置に記憶する。つまり、入力情報ｍは、ｎ×（ｌ_２−１）の行列である。

（Ｓ７０１：情報暗号化ステップ）
情報保持装置８００の情報暗号化部８２０は、入力情報記憶部８１０が記憶した入力情報ｍを処理装置により公開鍵ｐｋで暗号化する。情報暗号化部８２０は、実施の形態２で説明した暗号化装置３００が実行した方法により暗号化する。つまり、情報暗号化部８２０は、数６５を処理装置により計算する。

情報暗号化部８２０は、暗号化した入力情報Ｅｍを式保持装置７００へ通信装置を介して送信する。ここで、情報暗号化部８２０は、暗号化した入力情報Ｅｍを式保持装置７００へ送信しているため、式保持装置７００は入力情報ｍについて知ることはできない。

（Ｓ７０２：算術化ステップ）
式保持装置７００の代入部７２０は、式記憶部７１０が記憶した２ＤＮＦ式ψを算術化して評価式Ψを処理装置により生成する。代入部７２０は、２ＤＮＦ式ψの“∨”を“＋”へ、“∧”を“・”へ置き換えることにより、２ＤＮＦ式ψから数６６に示す評価式Ψを生成する。

また、代入部７２０は、情報保持装置８００から受信した入力情報Ｅｍを処理装置により算術化する。式保持装置７００は、数６７のように置き換えることにより、入力情報Ｅｍを算術化する。

（Ｓ７０３：代入ステップ）
式保持装置７００の代入部７２０は、生成した評価式Ψへ、算術化した入力情報Ｅｍ’を代入する。つまり、代入部７２０は、数６８を処理装置により生成する。

（Ｓ７０４：式暗号化ステップ）
式保持装置７００の式暗号化部７３０は、代入部７２０が入力情報Ｅｍ’を代入した評価式Ψの各クローズ（ｄｉｓｊｕｎｃｔｉｖｅ ｃｌａｕｓｅ）（（λ_{ｉ，１，０}・λ_{ｉ，２，０}），．．．，（λ_{ｉ，１，ｌ２−１}・λ_{ｉ，２，ｌ２−１}））（ｉ＝１，．．．，ｈ）を処理装置により公開鍵ｐｋで暗号化して、ｃ_ｉ，１（ｉ＝１，．．．，ｈ）とｃ_ｉ，２（ｉ＝１，．．．，ｈ）とを生成する。式暗号化部７３０は、実施の形態２で説明した暗号化装置３００が実行した方法により暗号化する。つまり、式暗号化部７３０は、数６９を処理装置により計算する。

また、式暗号化部７３０は、暗号化したｃ_ｉ，１（ｉ＝１，．．．，ｈ）とｃ_ｉ，２（ｉ＝１，．．．，ｈ）とから、数７０に示すｃ_ｉ，１ ^＊（ｉ＝１，．．．，ｈ）とｃ_ｉ，２ ^＊（ｉ＝１，．．．，ｈ）とＥ_ｋ（ｋ＝０，．．．，ｌ_２−１）とを処理装置により計算する。

式暗号化部７３０は、計算したｃ_ｉ，１ ^＊（ｉ＝１，．．．，ｈ）とｃ_ｉ，２ ^＊（ｉ＝１，．．．，ｈ）とＥ_ｋ（ｋ＝０，．．．，ｌ_２−１）とを情報保持装置８００へ通信装置を介して送信する。ここで、情報保持装置８００は、ｃ_ｉ，１（ｉ＝１，．．．，ｈ）とｃ_ｉ，２（ｉ＝１，．．．，ｈ）とを復号することはできる。しかし、ｃ_ｉ，１ ^＊（ｉ＝１，．．．，ｈ）とｃ_ｉ，２ ^＊（ｉ＝１，．．．，ｈ）とは、ｃ_ｉ，１（ｉ＝１，．．．，ｈ）とｃ_ｉ，２（ｉ＝１，．．．，ｈ）とに対して、基底Ｂの各基底ベクトルに乱数ｔ_{ｉ，ｊ，ｋ}（ｉ＝１，．．．，ｈ；ｊ＝１，２；ｋ＝０，．．．，ｌ_１−１）を加えて生成された。そのため、ｃ_ｉ，１ ^＊（ｉ＝１，．．．，ｈ）とｃ_ｉ，２ ^＊（ｉ＝１，．．．，ｈ）とを情報保持装置８００へ送信しても、情報保持装置８００は式保持装置７００の２ＤＮＦ式を知ることはできない。

（Ｓ７０５：ペアリング演算ステップ）
情報保持装置８００の結果計算部８３０は、演算装置１００を用いて、受信したｃ_ｉ，１ ^＊（ｉ＝１，．．．，ｈ）とｃ_ｉ，２ ^＊（ｉ＝１，．．．，ｈ）とＥ_ｋ（ｋ＝０，．．．，ｌ_２−１）とに基づき、数７１に示す演算を処理装置により行う。すると、数７１を数７２に変形できる。なお、演算装置１００は、数７１に含まれるアルゴリズムＤｅｃｏの計算を行う。

（Ｓ７０６：結果計算ステップ）
情報保持装置８００の結果計算部８３０は、計算した数７２をｗ_ｋ（ｋ＝０，．．．，ｌ_２−１）について処理装置により解く。
ここで、結果計算部８３０が計算したｗ_ｋ（ｋ＝０，．．．，ｌ_２−１）は、式記憶部７１０が記憶した２ＤＮＦ式ψへ入力情報記憶部８１０が記憶した入力情報ｍを代入した結果となる。

数７３は、数７１の分子を示す。数７４は、数７１の分母を示す。数７３と数７４とから数７５が導ける。つまり、結果計算部８３０が計算したｗ_ｋは数７６のように表せる。したがって、ｗ_ｋ（ｋ＝０，．．．，ｌ_２−１）が２ＤＮＦ式ψへ入力情報ｍを代入した結果となる。

つまり、Ｅ_ｋ（ｋ＝０，．．．，ｌ_２−１）は、数７１に示すペアリング演算の比をとると、乱数ｔ_{ｉ，ｊ，ｋ}とｕ_ｋ，μとが打ち消されるように設定されている。そして、算術化された評価式Ψは２次式であるため、ペアリング演算を用いることで暗号文のまま一度平文の乗算が行えるという特徴を利用して、２ＤＮＦ式ψへ入力情報を代入した結果を得ている。

上述したように、情報保持装置８００は、暗号化した入力情報を式保持装置７００へ送信した。したがって、式保持装置７００は、情報保持装置８００から受信した入力情報の内容を知ることができない。一方、式保持装置７００は、暗号化された入力情報を代入した評価式Ψに対して、乱数を加えて暗号化した評価式Ψを情報保持装置８００へ送信した。したがって、情報保持装置８００は、評価式Ψの内容を知ることができない。つまり、上記処理を行った場合であっても、式保持装置７００と情報保持装置８００とは、それぞれの情報（２ＤＮＦ式と入力情報）を秘密裡に保持している。
つまり、この実施の形態に係る２ＤＮＦ評価システムによれば、式保持装置７００は２ＤＮＦ式を情報保持装置８００に知られることなく、情報保持装置８００は入力情報を式保持装置７００に知られることなく、入力情報を２ＤＮＦ式で評価した結果を得ることができる。

実施の形態５．
この実施の形態では、実施の形態１で説明したトラップドア全単射関数を用いた署名処理について説明する。

図１３から図１５に基づき、署名処理システムの機能と動作とについて説明する。
図１３は、署名処理システムの機能を示す機能ブロック図である。署名処理システムは、署名生成装置９００、署名検証装置１０００を備える。図１４は、署名生成装置９００の動作を示すフローチャートである。図１５は、署名検証装置１０００の動作を示すフローチャートである。
なお、前提として、署名生成装置９００は、秘密鍵ｓｋと公開鍵ｐｋとを有しており、署名検証装置１０００は、署名生成装置９００の秘密鍵ｓｋと対をなす公開鍵ｐｋを有しているものとする。署名生成装置９００の秘密鍵ｓｋと公開鍵ｐｋとは、署名生成装置９００が生成したものであってもよいし、実施の形態２と同様に鍵生成装置２００が生成したものであってもよい。

署名生成装置９００の機能と動作とについて説明する。署名生成装置９００は、実施の形態１で説明した演算装置１００と、送信情報入力部９１０、ハッシュ値計算部９２０（送信情報ベクトル生成部）、成分取得部９３０、署名生成部９４０、送信部９５０とを備える。

（Ｓ８０１：送信情報入力ステップ）
送信情報入力部９１０は、送信情報ｍと、秘密鍵ｓｋと、公開鍵ｐｋと、ディストーション固有ベクトル空間Ｖの射影作用素Ｐｒ_ｉ（ｉ＝０，．．．，ｌ_１−１）と、ディストーション写像φ_ｉ，ｊ（ｉ，ｊ＝０，．．．，ｌ_１−１）と、ハッシュ関数ｈとを入力装置により入力する。

（Ｓ８０２：ハッシュ値計算ステップ）
ハッシュ値計算部９２０は、送信情報入力部９１０が入力した送信情報ｍをディストーション固有ベクトル空間Ｖのベクトルに処理装置により変換して、送信情報ｍのハッシュ値ｈｈ（送信情報ベクトル）を処理装置により計算する。つまり、ハッシュ値計算部９２０は、数７７を処理装置により計算する。

送信情報ｍをディストーション固有ベクトル空間Ｖのベクトルに変換するとは、送信情報ｍをディストーション固有ベクトル空間Ｖに写像することであり、送信情報ｍをディストーション固有ベクトル空間Ｖに埋め込むことである。

（Ｓ８０３：成分取得ステップ）
成分取得部９３０は、ハッシュ値計算部９２０が計算したハッシュ値ｈｈを演算装置１００の入力ベクトルとして、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を演算装置１００に計算させる。そして、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を取得する。つまり、成分取得部９３０は、演算装置１００に、数７８を計算させて、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を取得する。

（Ｓ８０４：署名生成ステップ）
署名生成部９４０は、成分取得部９３０が取得した基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を処理装置により送信情報ｍの署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）とする。つまり、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）＝成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）である。

（Ｓ８０５：送信ステップ）
送信部９５０は、署名生成部９４０が生成した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）と、送信情報ｍとを署名検証装置１０００へ通信装置を介して送信する。

署名検証装置１０００の機能と動作とについて説明する。署名検証装置１０００は、受信部１０１０、ハッシュ値計算部１０２０（送信情報ベクトル生成部）、署名検証部１０３０を備える。

（Ｓ９０１：受信ステップ）
受信部１０１０は、署名生成装置９００の送信部９５０が送信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）と、送信情報ｍとを通信装置を介して受信する。また、受信部１０１０は、公開鍵ｐｋ、ハッシュ関数ｈを入力装置により入力する。

（Ｓ９０２：ハッシュ値計算ステップ）
ハッシュ値計算部１０２０は、送信情報入力部９１０が入力した送信情報ｍをディストーション固有ベクトル空間Ｖのベクトルに処理装置により変換して、送信情報ｍのハッシュ値ｈｈ（送信情報ベクトル）を計算する。つまり、ハッシュ値計算部９２０は、数７９を処理装置により計算する。

（Ｓ９０３：第１署名検証ステップ）
署名検証部１０３０は、受信部１０１０が受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）の正当性の検証を行う。
まず、署名検証部１０３０は、署名生成装置９００から受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）が示す方向が、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）が示す方向とそれぞれ同一か否かを処理装置により判定する。言い替えると、署名生成装置９００から受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）と基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）とがそれぞれ同一の一次元空間の要素であるか否かを処理装置により判定する。署名検証部１０３０は、数８０が成立するか否かを処理装置により判定することで、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）が示す方向と基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）が示す方向とがそれぞれ同一か否かを判定する。

ここで、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）のうち、１つでも基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）と異なる方向を示す場合には、署名検証部１０３０は、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）は不正であると判定する。一方、全ての署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）が基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）と同一の方向を示す場合には、署名検証部１０３０は次の検証を行う。

（Ｓ９０４：第２署名検証ステップ）
署名検証部１０３０は、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）と残りの基底ベクトルｂ_ｉ（ｉ＝ｌ_１−１）の成分ベクトルとの和が、送信情報ｍから計算したハッシュ値ｈｈと等しいか否かを処理装置により判定する。署名検証部１０３０は、数８１が成立するか否かを処理装置により判定することで、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）と残りの基底ベクトルｂ_ｉ（ｉ＝ｌ_１−１）の成分ベクトルとの和が、送信情報ｍから計算したハッシュ値ｈｈと等しいか否かを判定する。

ここで、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）と残りの基底ベクトルｂ_ｉ（ｉ＝ｌ_１−１）の成分ベクトルとの和と、ハッシュ値ｈｈと等しくない場合には、署名検証部１０３０は、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）は不正であると判定する。一方、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）と残りの基底ベクトルｂ_ｉ（ｉ＝ｌ_１−１）の成分ベクトルとの和と、ハッシュ値ｈｈと等しい場合には、署名検証部１０３０は署名情報は正当であると判定する。

つまり、署名検証部１０３０は、署名情報が示す方向と、基底Ｂの基底ベクトルが示す方向とがそれぞれ同一の方向であるか否かを判定するとともに、署名情報の大きさと、ハッシュ値ｈｈの大きさとが同一であるか否かを判定して署名を検証する。
なお、上記説明では、署名生成と署名検証を効率的に行うため、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）とした。つまり、基底ベクトルｂ_ｉ（ｉ＝ｌ_１−１）の成分ベクトルｕ_ｉ（ｉ＝ｌ_１−１）については署名情報に含めなかった。しかし、成分ベクトルｕ_ｉ（ｉ＝ｌ_１−１）を署名情報ｓ_ｉ（ｉ＝ｌ_１−１）として署名情報に含めるとしてもよい。この場合、署名検証装置１０００は、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−１）が示す方向が、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）が示す方向とそれぞれ同一か否かを処理装置により判定するとともに、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−１）の合計が、送信情報ｍから計算したハッシュ値ｈｈと等しいか否かを判定することにより、署名を検証する。

以上のように、この実施の形態に係る署名処理システムによれば、ディストーション固有ベクトル空間という豊かな数学的構造を利用して、署名処理を実現できる。特に、この実施の形態に係る署名処理システムは、ペアリング演算を用いることにより、署名の検証を効率的に行うことができる。

実施の形態６．
この実施の形態では、実施の形態５で説明した署名処理を応用したブラインド署名について説明する。

ブラインド署名とは、署名者（実施の形態５であれば署名生成装置９００）が署名を付す対象の内容を知ることができない状態で付す署名である。
実施の形態５で説明した署名処理のように、一般の署名処理であれば、署名者は署名を付す対象（実施の形態５では送信情報）に対して演算を行う。そのため、署名者は、署名を付す対象の内容を知ることができる。しかし、ブラインド署名では、署名者は、署名を付す対象の内容を知ることができない状態で署名を付す。

図１６と図１７とに基づき、ブラインド署名処理システムの機能と動作とについて説明する。
図１６は、ブラインド署名処理システムの機能を示す機能ブロック図である。署名処理システムは、署名依頼装置１１００、署名生成装置１２００、署名検証装置を備える。図１７は、署名依頼装置１１００と署名生成装置１２００との動作を示すフローチャートである。この実施の形態に係る署名検証装置の機能及び動作は、実施の形態５に係る署名検証装置１０００と同一であるため、ここでは説明を省略する。
なお、前提として、署名生成装置１２００は、秘密鍵ｓｋと公開鍵ｐｋとを有しており、署名依頼装置１１００は、署名生成装置１２００の秘密鍵ｓｋと対をなす公開鍵ｐｋを有しているものとする。署名生成装置１２００の秘密鍵ｓｋと公開鍵ｐｋとは、署名生成装置１２００が生成したものであってもよいし、実施の形態２と同様に鍵生成装置２００が生成したものであってもよい。

署名生成装置１２００と署名依頼装置１１００との機能と動作とについて説明する。
署名生成装置１２００は、実施の形態１で説明した演算装置１００と、ブラインド情報受信部１２１０、成分取得部１２２０、署名生成部１２３０を備える。
署名依頼装置１１００は、送信情報入力部１１１０、ハッシュ値計算部１１２０、ブラインド部１１３０、署名依頼部１１４０、アンブラインド部１１５０、送信部１１６０を備える。

（Ｓ１００１：送信情報入力ステップ）
送信情報入力部１１１０は、送信情報ｍと、公開鍵ｐｋと、ハッシュ関数ｈとを入力装置により入力する。

（Ｓ１００２：ハッシュ値計算ステップ）
ハッシュ値計算部１１２０は、送信情報入力部１１１０が入力した送信情報ｍをディストーション固有ベクトル空間Ｖのベクトルに処理装置により変換して、送信情報ｍのハッシュ値ｈｈ（送信情報ベクトル）を処理装置により計算する。つまり、ハッシュ値計算部１１２０は、数８２を処理装置により計算する。

（Ｓ１００３：ブラインドステップ）
ブラインド部１１３０は、ハッシュ値計算部１１２０が計算した送信情報ｍのハッシュ値ｈｈについて、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）の成分ベクトルにブラインド情報γ_ｉｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）を付加することにより、ハッシュ値ｈｈをブラインドしてブラインド送信情報ｄ（ブラインドベクトル）を処理装置により生成する。つまり、ブラインド部１１３０は、数８３を処理装置により計算して乱数γ_ｉ（ｉ＝０，．．．，ｌ_１−１）を生成する。そして、ブラインド部１１３０は、乱数γ_ｉ（ｉ＝０，．．．，ｌ_１−１）を基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）の各係数に設定したブラインド情報γ_ｉｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）をハッシュ値ｈｈに処理装置により加えてブラインド送信情報ｄを生成する。つまり、ブラインド部１１３０は、数８４を処理装置により計算してブラインド送信情報ｄを生成する。

（Ｓ１００４：ブラインド送信情報送信ステップ）
署名依頼部１１４０は、ブラインド部１１３０が生成したブラインド送信情報ｄを通信装置を介して署名生成装置１２００へ送信して、署名生成装置１２００に署名生成を依頼する。

（Ｓ１００５：ブラインド送信情報受信ステップ）
署名生成装置１２００のブラインド情報受信部１２１０は、署名依頼装置１１００の署名依頼部１１４０が送信したブラインド送信情報ｄを通信装置を介して受信する。また、ブラインド情報受信部１２１０は、秘密鍵ｓｋと、公開鍵ｐｋと、ディストーション固有ベクトル空間Ｖの射影作用素Ｐｒ_ｉ（ｉ＝０，．．．，ｌ_１−１）とディストーション写像φ_ｉ，ｊ（ｉ，ｊ＝０，．．．，ｌ_１−１）とを入力装置により入力する。
ここで、ブラインド送信情報ｄには、送信情報ｍのハッシュ値ｈｈにブラインド情報が付加されている。そのため、ブラインド送信情報ｄを受信した署名生成装置１２００は、送信情報ｍの内容を知ることができない。

（Ｓ１００６：成分取得ステップ）
成分取得部１２２０は、ブラインド送信情報ｄを演算装置１００の入力ベクトルとして、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を演算装置１００に計算させる。そして、成分取得部１２２０は、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を取得する。つまり、成分取得部１２２０は、演算装置１００に、数８５を計算させて、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を取得する。

（Ｓ１００７：署名生成ステップ）
署名生成部１２３０は、成分取得部１２２０が取得した基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を処理装置によりブラインド送信情報ｄの署名情報ｔ_ｉ（ｉ＝０，．．．，ｌ_１−２）とする。署名生成部１２３０は、ブラインド送信情報ｄの署名情報ｔ_ｉ（ｉ＝０，．．．，ｌ_１−２）を通信装置を介して署名依頼装置１１００へ送信する。

（Ｓ１００８：アンブラインドステップ）
アンブラインド部１１５０は、署名生成装置１２００の署名生成部１２３０が送信したブラインド送信情報ｄの署名情報ｔ_ｉ（ｉ＝０，．．．，ｌ_１−２）から、処理装置よりブラインド情報γ_ｉｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）を除去して送信情報ｍに対する署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）を生成する。つまり、アンブラインド部１１５０は、数８６を処理装置により計算する。

（Ｓ１００９：送信ステップ）
送信部１１６０は、アンブラインド部１１５０が生成した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）と、送信情報ｍとを署名検証装置へ通信装置を介して送信する。

上述したように、署名生成装置１２００は、ブラインド送信情報ｄのみを受信し、送信情報ｍは受信しない。また、ブラインド送信情報ｄから送信情報ｍの内容を知ることはできない。したがって、署名生成装置１２００は、送信情報ｍの内容を知ることができない状態でブラインド送信情報ｄに対する署名情報ｔ_ｉ（ｉ＝０，．．．，ｌ_１−２）を生成することになる。
一方、ブラインド情報を付加した署名依頼装置１１００は、ブラインド送信情報ｄに対する署名情報ｔ_ｉ（ｉ＝０，．．．，ｌ_１−２）から送信情報ｍに対する署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）を数８６により生成することができる。

なお、上述したように、送信情報ｍに対する署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）の検証処理は、実施の形態５で説明した処理と同一である。つまり、署名検証装置の処理に変更を加えることなく、通常の署名処理とブラインド署名処理とを実現することができる。

以上のように、この実施の形態に係る暗号処理システムによれば、ディストーション固有ベクトル空間という豊かな数学的構造を利用して、ブラインド署名を実現できる。

実施の形態７．
この実施の形態では、実施の形態５で説明した署名処理を応用した否認不可署名について説明する。

否認不可署名とは、署名検証者（実施の形態５であれば署名検証装置１０００）が署名の検証をする場合に、署名者（実施の形態５であれば署名生成装置９００）の協力が必要な署名である。
また、否認不可署名とは、署名検証者が有している署名が正当な署名である（署名者が付した署名である）場合には、署名者はその署名が正当なものであることを示すことができる署名である。また、逆に、否認不可署名とは、署名検証者が有している署名が不正なものである（署名者が付した署名でない）場合に、署名者はその署名が不正なものであることを示すことができる署名である。

以下の説明において、署名が正当なものであることを示す処理を「確認プロトコル」、署名が不正なものであることを示す処理を「否認プロトコル」と呼ぶ。
まず、否認不可署名を生成する方法を説明し、次に、確認プロトコルと否認プロトコルとを説明する。

図１８から図２１に基づき、否認不可署名処理システムの機能と動作とについて説明する。
図１８は、否認不可署名処理システムの機能を示す機能ブロック図である。否認不可署名処理システムは、署名生成装置１３００、署名検証装置１４００を備える。図１９は、署名生成装置１３００が否認不可署名を生成する動作を示すフローチャートである。図２０は、確認プロトコルの処理を示すフローチャートである。図２１は、否認プロトコルの処理を示すフローチャートである。

署名生成装置１３００は、実施の形態１で説明した演算装置１００と、送信情報入力部１３１０、ハッシュ値計算部１３２０、成分取得部１３３０、署名生成部１３４０、送信部１３５０、証明部１３６０とを備える。
署名検証装置１４００は、受信部１４１０、署名検証部１４２０を備える。

署名生成装置１３００が否認不可署名を生成する処理について説明する。
（Ｓ１１０１：送信情報入力ステップ）と（Ｓ１１０２：ハッシュ値計算ステップ）とは、実施の形態５に係る（Ｓ８０１：送信情報入力ステップ）と（Ｓ８０２：ハッシュ値計算ステップ）と同一である。
（Ｓ１１０３：成分取得ステップ）
成分取得部１３３０は、ハッシュ値計算部１３２０が入力したハッシュ値ｈｈを演算装置１００の入力ベクトルとして、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）を演算装置１００に計算させる。そして、成分取得部１３３０は、基底Ｂのｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）を取得する。つまり、成分取得部１３３０は、演算装置１００に、数８７を計算させて、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）を取得する。

（Ｓ１１０４：署名生成ステップ）
署名生成部１３４０は、成分取得部１３３０が取得した基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）のうち、基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）を処理装置により送信情報ｍの署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）とする。ここで、ｌ_１−１＞ｌ_２である。

（Ｓ１１０５：送信ステップ）
送信部１３５０は、署名生成部１３４０が生成した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と、送信情報ｍとを署名検証装置１４００へ通信装置を介して送信する。

つまり、署名生成装置１３００は、基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を署名検証装置１４００へ送信することなく、署名生成装置１３００の秘密情報として保持する。そのため、署名検証装置１４００は、署名生成装置１３００から受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と、送信情報ｍとだけでは、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）が正当な署名であるか否かを検証することができない。つまり、署名生成装置１３００から受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と、送信情報ｍとだけでは、署名検証装置１４００は、成分ベクトルｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）が基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）と同一の方向情報を有しているか否かを判定することと、成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）の和がハッシュ値ｈｈと等しいこととを確認することができない。したがって、署名検証装置１４００が署名の検証をするためには、署名生成装置１３００の協力が必要である。

確認プロトコルの処理について説明する。
前提として、署名検証装置１４００の受信部１４１０は、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と、送信情報ｍとを通信装置を介して受信しているものとする。

（Ｓ１２０１：署名検証ステップ）
署名検証装置１４００の署名検証部１４２０は、受信部１４１０が受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）の正当性の検証を行う。
署名検証部１４２０は、署名生成装置１３００から受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）が示す方向が、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）が示す方向とそれぞれ同一か否かを処理装置により判定する。言い替えると、署名生成装置１３００から受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）とがそれぞれ同一の一次元空間の要素であるか否かを処理装置により判定する。署名検証部１４２０は、数８８が成立するか否かを処理装置により判定することで、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）が示す方向と基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）が示す方向とがそれぞれ同一の方向を示すか否かを判定する。

ここで、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）のうち、１つでも基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）と異なる方向を示す場合には、署名検証部１４２０は、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）は不正であると判定する。一方、全ての署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）が基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）と同一の方向を示す場合には、署名検証部１４２０は第１の署名検証依頼を署名生成装置１３００へ通信装置を介して送信する。

（Ｓ１２０２：検証情報生成ステップ）
署名生成装置１３００の証明部１３６０は、署名検証装置１４００から第１の署名検証依頼を通信装置を介して受信する。すると、証明部１３６０は、ｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）をランダム化した検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を処理装置により生成する。つまり、証明部１３６０は、数８９を処理装置により計算して乱数γ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を生成する。そして、証明部１３６０は、数９０を処理装置により計算して検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を生成する。

証明部１３６０は、生成した検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を署名検証装置１４００へ通信装置を介して送信する。

（Ｓ１２０３：検証情報確認ステップ）
署名検証装置１４００の署名検証部１４２０は、署名生成装置１３００から検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を通信装置を介して受信する。
署名検証部１４２０は、受信した検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）が示す方向が、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）が示す方向とそれぞれ同一か否かを処理装置により判定する。言い替えると、受信した検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）と基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）とがそれぞれ同一の一次元空間の要素であるか否かを処理装置により判定する。署名検証部１４２０は、数９１が成立するか否かを処理装置により判定することで、検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）が示す方向と基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）が示す方向とがそれぞれ同一の方向を示すか否かを判定する。

検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）は、ｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）をランダム化したものであるが、その方向成分は変更されていない。そのため、ｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を有しているのであれば、基底Ｂの基底ベクトルｂ_ｉ（ｌ_２，．．．，ｌ_１−１）と同一の方向成分を有する検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を生成できる。
署名検証部１４２０は、全ての検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）が基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）と同一の方向を示す場合には、署名生成装置１３００へ第２の署名検証依頼を通信装置を介して送信する。一方、検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）に基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）と異なる方向情報を有するものが含まれている場合には、不正な署名であると判定する。

（Ｓ１２０４：零知識証明ステップ）
署名生成装置１３００の証明部１３６０は、署名検証装置１４００から第２の署名検証依頼を通信装置を介して受信する。すると、証明部１３６０は、数９２を満たすγ_ｉ（ｌ_２，．．．，ｌ_１−１）を有することを署名検証装置１４００に対して零知識証明（例えば、Σプロトコル等）により処理装置により証明する。

つまり、署名検証装置１４００は、署名生成装置１３００が基底Ｂの基底ベクトルｂ_ｉ（ｌ_２，．．．，ｌ_１−１）と同一の方向情報を有する検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を有することは確認できた。しかし、検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）はｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）をランダム化したものであるから、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）との和は、ハッシュ値ｈｈと異なる。そこで、署名検証装置１４００は、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と、γ_ｉｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）との和がハッシュ値ｈｈと同一となるγ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を有することを証明することで、署名の検証に不足している成分ｓ_ｉ（ｌ_２，．．．，ｌ_１−１）を有していることを証明できる。しかし、γ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を単に署名検証装置１４００へ送信してしまうと、秘密にしているｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を署名検証装置１４００に知られてしまう。そこで、零知識証明により、γ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を署名検証装置１４００に知られることなく、γ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を有していることを証明する。

（Ｓ１２０５：証明確認ステップ）
署名検証装置１４００の署名検証部１４２０は、署名生成装置１３００がγ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を有することを処理装置により判定する。署名生成装置１３００がγ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を有する場合、署名検証部１４２０は正当な署名であるとして、処理を終了する。一方、署名生成装置１３００がγ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を有しない場合、署名検証部１４２０は不正な署名であるとして、処理を終了する。

つまり、署名生成装置１３００は、署名検証装置１４００から署名検証依頼を受信した場合、署名の検証に不足している成分ベクトルｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を有していることを、成分ベクトルｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を署名検証装置１４００に知られることなく証明する。これにより、署名検証装置１４００は、送信情報ｍに付された署名が正当であることを確認することができる。

否認プロトコルの処理について説明する。
前提として、署名検証装置１４００の受信部１４１０は、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と、送信情報ｍとを通信装置を介して受信しているものとする。

（Ｓ１３０１：署名検証ステップ）は、（Ｓ１２０１：署名検証ステップ）と同様である。但し、署名検証部１４２０は、全ての署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）が基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）と同一の方向情報を有している場合には、第１の署名検証依頼とともに署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）を署名生成装置１３００へ通信装置を介して送信する。

（Ｓ１３０２：パラメータ生成ステップ）
署名生成装置１３００の証明部１３６０は、署名検証装置１４００から受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）が、署名生成装置１３００の署名生成部１３４０が生成した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と同一であるかを確認するためのパラメータを生成する。ここでは、証明部１３６０は、数９３に示すｔを処理装置により計算して、計算したｔに基づき数９４に示すｖ_ｉ（ｉ＝０，．．．，ｌ_１−１）を処理装置により生成する。

（Ｓ１３０３：署名確認ステップ）
署名生成装置１３００の証明部１３６０は、生成したパラメータｖ_ｉ（ｉ＝０，．．．，ｌ_１−１）のうち、ｖ_ｉ（ｉ＝０，．．．，ｌ_２−１）が全て０であるか否かを判定する。
ここで、数９３に示すｔは、署名検証装置１４００から受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）をハッシュ値ｈｈから除いている。そのため、署名検証装置１４００から受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と署名生成部１３４０が生成した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と同一である場合には、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）におけるｔの成分ベクトル（パラメータｖ_ｉ（ｉ＝０，．．．，ｌ_２−１））は０である。つまり、署名検証装置１４００から受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と署名生成部１３４０が生成した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と同一である場合には、パラメータｖ_ｉ（ｉ＝０，．．．，ｌ_２−１）が全て０である。
そこで、パラメータｖ_ｉ（ｉ＝０，．．．，ｌ_２−１）に０以外の値が含まれる場合には、（Ｓ１３０４）へ進み、署名検証装置１４００から受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）が正当な署名でないことを署名検証装置１４００に証明する。

（Ｓ１３０４：検証情報生成ステップ）
証明部１３６０は、ｓ_ｉ（ｉ＝ｌ_０，．．．，ｌ_１−１）をランダム化した第１の検証情報ｕ_ｉ（ｉ＝ｌ_０，．．．，ｌ_１−１）を処理装置により生成する。つまり、証明部１３６０は、数９５を処理装置により計算して乱数γ_ｉ（ｉ＝０，．．．，ｌ_１−１）を生成する。そして、証明部１３６０は、数９６を処理装置により計算して第１の検証情報ｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）を生成する。

また、証明部１３６０は、パラメータｖ_ｉ（ｉ＝０，．．．，ｌ_２−１）に、ランダム化した基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２）を加えた第２の検証情報ｗを生成する。つまり、証明部１３６０は、数９７処理装置により計算して乱数δを生成する。そして、証明部１３６０は、数９８を処理装置により計算して第２の検証情報ｗを生成する。

証明部１３６０は、生成した第１の検証情報ｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）と第２の検証情報ｗとを署名検証装置１４００へ通信装置を介して送信する。

（Ｓ１３０５：検証情報確認ステップ）
署名検証装置１４００の署名検証部１４２０は、署名生成装置１３００から第１の検証情報ｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）と第２の検証情報ｗとを通信装置を介して受信する。
署名検証部１４２０は、署名生成装置１３００から受信した第１の検証情報ｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）が示す方向が、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）が示す方向とそれぞれ同一か否かを処理装置により判定する。言い替えると、署名生成装置１３００から受信した第１の検証情報ｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）と基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）とがそれぞれ同一の一次元空間の要素であるか否かを判定する。署名検証部１４２０は、数９９が成立するか否かを処理装置により判定することで、第１の検証情報ｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）が示す方向が、基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）が示す方向とそれぞれ同一か否かを判定する。

検証情報ｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）は、ｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）をランダム化したものであるが、その方向成分は変更されていない。そのため、ｓ_ｉ（ｉ＝０，．．．，ｌ_１−１）を有しているのであれば、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）と同一の方向成分を有する検証情報ｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）を生成できる。
また、第２の検証情報ｗが示す方向が、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２）が示す方向と同一か否かを処理装置により判定する。言い替えると、署名生成装置１３００から受信した第２の検証情報ｗと基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２）とが同一の一次元空間の要素であるか否かを判定する。署名検証部１４２０は、数１００が成立するか否かを処理装置により判定することで、第２の検証情報ｗが示す方向が、基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２）が示す方向と同一か否かを判定する。

第２の検証情報ｗは、パラメータｖ_ｉ（ｉ＝０，．．．，ｌ_２−１）に、ランダム化した基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２）の固有値を加えたものである。パラメータｖ_ｉ（ｉ＝０，．．．，ｌ_２−１）が全て０であれば、第２の検証情報ｗと基底Ｂの基底ベクトルｌ_２の固有値とが有する方向情報は同一である。しかし、上述したように、パラメータｖ_ｉ（ｉ＝０，．．．，ｌ_２−１）は０でない値を含む。そのため、第２の検証情報ｗと基底Ｂの基底ベクトルｌ_２の固有値とが有する方向情報は異なる。
署名検証部１４２０は、全ての第１の検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）が基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）と同一の方向情報を有しており、第２の検証情報ｗが基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２）と異なる方向情報を有している場合には、署名生成装置１３００へ第２の署名検証依頼を通信装置を介して送信する。一方、検証情報ｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）に基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）と異なる方向情報を有するものが含まれている場合、又は、第２の検証情報ｗが基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_２）と同一方向情報を有している場合には、否認は失敗となる。

（Ｓ１３０６：零知識証明ステップ）
署名生成装置１３００の証明部１３６０は、署名検証装置１４００から第２の署名検証依頼を通信装置を介して受信する。すると、証明部１３６０は、数１０１を満たすγ_ｉ（ｉ＝０，．．．，ｌ_２−１）とδとを有することを零知識証明（例えば、Σプロトコル等）により処理装置により証明する。

また、証明部１３６０は、数１０２を満たすγ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）とδとを有することを零知識証明（例えば、Σプロトコル等）により処理装置により証明する。

つまり、証明部１３６０は、数１０１が成立するようなγ_ｉ（ｉ＝０，．．．，ｌ_２−１）とδとを有することを証明することにより、数１０１の右辺第１項は、０でないことを証明できる。なぜなら、右辺第２項はについて数１０３が成立することは明らかであり、右辺第１項が０であると既に確認した数１００が成立しないためである。

また、証明部１３６０は、数１０２が成立するようなγ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）とδとを有することを証明することにより、受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）が送信情報ベクトルを分解したものでないことを証明できる。なぜなら、数１０２に数１０１を代入すれば、数１０４のように変換できる。

また、ｔは、数９３に示すように、ハッシュ値ｈｈから受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）を除いたものである。ハッシュ値ｈｈから正当な署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）を除いた場合には、基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）の成分ベクトルは０になる。しかし、数１０４に示すように、ハッシュ値ｈｈから受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）を除いたｔは、基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）の成分ベクトルと、基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）の成分ベクトルとの和で表される。ここで、数１０１が成立するようなγ_ｉ（ｉ＝０，．．．，ｌ_２−１）とδとを有することを証明することにより、基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）の成分ベクトルは、０でないことが証明されている。つまり、受信した署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）は、正当な署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）とは異なることが証明できる。

（Ｓ１３０７：証明確認ステップ）
署名検証装置１４００の署名検証部１４２０は、署名生成装置１３００が数１０１を満たすγ_ｉ（ｉ＝０，．．．，ｌ_２−１）とδとを有するか否かと、数１０２を満たすγ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）とδとを有するか否かとを処理装置により判定する。署名生成装置１３００がいずれも有する場合、署名検証部１４２０は署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）は否認は成功となる。一方、いずれか一方でも有しない場合、署名検証部１４２０は否認は失敗となる。

なお、以上の説明では、通常時には否認プロトコルは実行せず、悪意を持った攻撃者から攻撃を受けている場合などに否認プロトコルを実行することを想定した。つまり、通常時は、署名検証装置１４００が第１の署名検証依頼を送信する場合、署名検証装置１４００は正当な署名情報を有していることを前提としていた。そのため、確認プロトコルでは、署名生成装置１３００は、署名検証装置１４００から第１の署名検証依頼を受信した場合に、署名検証装置１４００が有する署名情報が正当な署名であるか否かを検証することなく、署名情報が正当であることを証明する処理を実行した。
しかし、確認プロトコルにおいても、否認プロトコルと同様に、署名生成装置１３００は、第１の署名検証依頼とともに署名検証装置１４００が有する署名情報を受信し、署名検証装置１４００が有する署名情報が正当な署名であるか否かを検証してもよい。つまり、第１の署名検証依頼とともに受信した署名情報が正当な署名情報であれば、確認プロトコルを実行し、不正な署名であれば否認プロトコルを実行するようにしてもよい。つまり、第１の署名検証依頼とともに受信した署名情報が正当な署名情報であるか否かにより、確認プロトコルと否認プロトコルとのどちらを実行するかを決定してもよい。
図２２は、第１の署名検証依頼とともに受信した署名情報が正当な署名情報であるか否かにより、確認プロトコルと否認プロトコルとのどちらを実行するかを決定する処理を示すフローチャートである。
（Ｓ１４０１：署名検証ステップ）から（Ｓ１４０３：署名確認ステップ）までは、（Ｓ１３０１：署名検証ステップ）から（Ｓ１３０３：署名確認ステップ）と同一である。ただし、（Ｓ１４０３：署名確認ステップ）では、ｖ_ｉ≠０となるｖ_ｉ（ｉ＝０，．．．，ｌ_２−１）が存在しない場合には、確認プロトコルの（Ｓ１２０２：検証情報生成ステップ）へ進み、ｖ_ｉ≠０となるｖ_ｉ（ｉ＝０，．．．，ｌ_２−１）が存在する場合には、否認プロトコルの（Ｓ１３０４：検証情報生成ステップ）へ進む。

以上のように、この実施の形態に係る否認不可署名システムによれば、ディストーション固有ベクトル空間という豊かな数学的構造を利用して、否認不可署名を実現できる。

実施の形態８．
この実施の形態では、実施の形態７で説明した否認不可署名を通常の署名に変更する方法について説明する。つまり、署名検証者（署名検証装置１４００）が署名者（署名生成装置１３００）の協力なしに検証可能な署名に否認不可署名を変更する方法について説明する。

否認不可署名を通常の署名に変更する方法としては、特定の否認不可署名を通常の署名に変更する「選択変更」と、全ての否認不可署名（同じ秘密鍵ｓｋにより生成された全ての否認不可署名）を通常の署名に変更する「普遍的変更」とがある。

図２３に基づき、選択変更について説明する。
図２３は、署名生成装置１３００の機能を示す機能ブロック図である。図２３に示す署名生成装置１３００は、実施の形態７に係る署名生成装置１３００の機能に加え、さらに署名選択変更部１３７０を備える。

署名選択変更部１３７０は、所定の送信情報ｍに付された否認不可署名ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）を通常の署名に変更する場合、基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−２）における送信情報ｍのハッシュ値ｈｈの成分ベクトルｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−２）を署名情報ｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−２）として署名検証装置１４００へ通信装置を介して送信する。
署名検証装置１４００は、既に署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）を有しているため、署名情報ｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−２）を受信すると、署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）を有することになる。つまり、署名検証装置１４００は、実施の形態５で説明した署名と同一の署名を有することになる。そのため、署名検証装置１４００は、署名生成装置１３００の協力なしに署名の検証をすることができる。
以上のように、ｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−２）を与えることで、特定の送信情報ｍに対して付された否認不可署名ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）を通常の署名に変更できる。しかし、ｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−２）を与えたとしても、送信情報ｍ以外の送信情報についての否認不可署名を通常の署名に変更することはできない。

図２４に基づき、普遍的変更について説明する。
図２４は、署名生成装置１３００の機能を示す機能ブロック図である。図２４に示す署名生成装置１３００は、実施の形態７に係る署名生成装置１３００の機能に加え、さらに署名一括変更部１３８０を備える。

署名一括変更部１３８０は、否認不可署名を通常の署名に変更する場合、秘密鍵ｓｋの一部を公開する。つまり、署名一括変更部１３８０は、秘密鍵ｓｋのうち、ｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−２）を計算するために必要な部分を通信装置を介して公開することにより、署名を検証可能とする。そこで、署名一括変更部１３８０は、数１０５に示す行列Ｙを処理装置により生成する。

署名一括変更部１３８０は、数１０６に示すように基底変換行列Ｘと生成したＹとから行列Ｚを処理装置により生成して、行列Ｚの逆行列ｔ_ｉ，ｊを処理装置により生成する。

つまり、行列Ｙ、行列Ｚは、図２５に示すような行列である。
そして、署名一括変更部１３８０は、基底変換行列Ｘの成分ｘ_ｊｋ（ｊ＝ｌ_２，．．．，ｌ_１−１；ｋ＝０，．．．，ｌ_１−１）とｔ_ｉｊ（ｉ＝０，．．．，ｌ_１−１；ｊ＝ｌ_２，．．．，ｌ_１−１）とを通信装置を介して公開する。

署名検証装置１４００は基底変換行列Ｘの成分ｘ_ｊｋ（ｊ＝ｌ_２，．．．，ｌ_１−１；ｋ＝０，．．．，ｌ_１−１）とｔ_ｉｊ（ｉ＝０，．．．，ｌ_１−１；ｊ＝ｌ_２，．．．，ｌ_１−１）とから、アルゴリズムＤｅｃｏにより、どの送信情報ｍの否認不可署名ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）についても不足部分ｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−２）を計算することができる。そのため、全ての否認不可署名を通常の署名に変更することができる。

普遍的変更では、秘密鍵ｓｋの一部を公開するため、安全性を考慮して公開する情報を少なく抑えることが望ましい。そこで、公開する情報をｌ_２次元分（ｄ_ｉ（ｉ＝０，．．．，ｌ_２−１））に限定する方法を説明する。
ｈｈ^＊，ｓ_ｉ ^＊をそれぞれｈｈ，ｓ_ｉをｌ_２次元分に限定したベクトルであるとする。ｌ_２次元分に限定したベクトルとは、基底ベクトルｂ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）の成分ベクトルを０埋めしたベクトルである（あるいは、ｌ_２次元に射影したベクトルと考えてもよい）。すると、

である。
そこで、署名一括変更部１３８０は、ｓ_ｉ ^＊（ｉ＝ｌ_２，．．．，ｌ_１−２）が計算できるだけの秘密鍵ｓｋを公開する。つまり、署名一括変更部１３８０は、基底変換行列Ｘの成分ｘ_ｊｋ（ｊ＝ｌ_２，．．．，ｌ_１−１；ｋ＝０，．．．，ｌ_２−１）とｔ_ｉｊ（ｉ＝０，．．．，ｌ_２−１；ｊ＝ｌ_２，．．．，ｌ_１−１）とを通信装置を介して公開する。

署名検証装置１４００は、基底変換行列Ｘの成分ｘ_ｊｋ（ｊ＝ｌ_２，．．．，ｌ_１−１；ｋ＝０，．．．，ｌ_２−１）とｔ_ｉｊ（ｉ＝０，．．．，ｌ_２−１；ｊ＝ｌ_２，．．．，ｌ_１−１）とから、アルゴリズムＤｅｃｏにより、ｓ_ｉ ^＊（ｉ＝ｌ_２，．．．，ｌ_１−２）を処理装置により計算することができる。また、署名検証装置１４００は、ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）から、ｓ_ｉ ^＊（ｉ＝０，．．．，ｌ_２−１）を処理装置により計算することができる。さらに、署名検証装置１４００は、送信情報ｍから計算したハッシュ値ｈｈからｈｈ^＊を処理装置により計算することができる。つまり、署名検証装置１４００は、基底変換行列Ｘの成分ｘ_ｊｋ（ｊ＝ｌ_２，．．．，ｌ_１−１；ｋ＝０，．．．，ｌ_２−１）とｔ_ｉｊ（ｉ＝０，．．．，ｌ_２−１；ｊ＝ｌ_２，．．．，ｌ_１−１）とを与えることで、ｌ_２次元に限定したｈｈ^＊と署名ｓ_ｉ ^＊（ｉ＝０，．．．，ｌ_１−２）とを得ることができる。したがって、ｘ_ｊｋ（ｊ＝ｌ_２，．．．，ｌ_１−１；ｋ＝０，．．．，ｌ_２−１）とｔ_ｉｊ（ｉ＝０，．．．，ｌ_２−１；ｊ＝ｌ_２，．．．，ｌ_１−１）とを与えることで、署名検証装置１４００は、ｌ_２次元に限定した署名ｓ_ｉ ^＊（ｉ＝０，．．．，ｌ_１−１）の検証をすることができる。

以上のように、この実施の形態に係る署名生成装置１３００によれば、否認不可署名を通常の署名に変更することができる。

実施の形態９．
この実施の形態では、実施の形態６で説明したブラインド署名と、実施の形態７，８で説明した否認不可署名との組合せ（ブラインド否認不可署名）について説明する。
つまり、ブラインド否認不可署名では、署名者は署名を付す対象の内容を知ることができない状態で否認不可署名を付す。

図２６と図２７とに基づき、ブラインド否認不可署名システムについて説明する。図２６は、ブラインド否認不可署名システムの機能を示す機能ブロック図である。図２７は、署名依頼装置１５００と署名生成装置１６００とがブラインド否認不可署名を生成する動作を示すフローチャートである。

署名依頼装置１５００は、送信情報入力部１５１０、ハッシュ値計算部１５２０、ブラインド部１５３０、署名依頼部１５４０、アンブラインド部１５５０、送信部１５６０、証明部１５７０、署名選択変更部１５８０を備える。
署名生成装置１６００は、実施の形態１で説明した演算装置１００と、ブラインド情報受信部１６１０、成分取得部１６２０、署名生成部１６３０、証明部１６４０、署名一括変更部１６５０とを備える。

署名依頼装置１５００と署名生成装置１６００とがブラインド否認不可署名を生成する処理について説明する。
（Ｓ１５０１：送信情報入力ステップ）から（Ｓ１５０８：アンブラインドステップ）までは、（Ｓ１００１：送信情報入力ステップ）から（Ｓ１００８：アンブラインドステップ）までと同一である。
（Ｓ１５０９：送信ステップ）
送信部１５６０は、アンブラインド部１５５０が生成した署名ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）のうち署名ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）と、送信情報ｍとを署名検証装置１７００へ通信装置を介して送信する。つまり、署名依頼装置１５００は、署名ｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）は署名検証装置１７００へ送信せず、署名依頼装置１５００の秘密情報とする。

確認プロトコルは、実施の形態７における署名生成装置１３００の証明部１３６０の動作を署名依頼装置１５００の証明部１５７０が行うことにより実現できる。同様に、選択変更は、実施の形態８における署名生成装置１３００の署名選択変更部１３７０の動作を署名依頼装置１５００の署名選択変更部１５８０が行うことにより実現できる。つまり、確認プロトコルと選択変更とは、署名依頼装置１５００と署名検証装置１７００とにより実現できる。
一方、否認プロトコルと普遍的変更は、署名依頼装置１５００では実行できない。そのため、署名生成装置１６００が署名依頼装置１５００に代わって実行する。つまり、否認プロトコルは、実施の形態７における署名生成装置１３００の証明部１３６０の動作を署名生成装置１６００の証明部１６４０が行うことにより実現できる。同様に、普遍的変更は、実施の形態８における署名生成装置１３００の署名一括変更部１３８０の動作を署名生成装置１６００の署名一括変更部１６５０が行うことにより実現できる。すなわち、否認プロトコルと普遍的変更は、署名依頼装置１５００から依頼を受けた署名生成装置１６００と、署名検証装置１７００とにより実現される。

実施の形態１０．
この実施の形態では、実施の形態１から９で用いられるディストーション固有ベクトル空間の具体的な例を２つ示す。

＜例１：種数ｇ≧１の超曲線のヤコビ多様体（Ｊａｃｏｂｉａｎ Ｖａｒｉｅｔｙ ｏｆ ａ Ｓｕｐｅｒｓｉｎｇｕｌａｒ Ｃｕｒｖｅ ｏｆ Ｇｅｎｕｓ ｇ ≧ １）＞
以下のように、種数ｇ≧１の超曲線のヤコビ多様体によりディストーション固有ベクトル空間を実現することができる。ここで、ｗ←２ｇ＋１は素数である。

数１０８であるような素数の組（ｐ，ｒ）とする。

数１０９に示す超曲線Ｃを用いると、曲線Ｃについて数１１０である。

ここで、数１１１と同型であり、数１１２に含まれるＦ_ｒのベクトル空間Ｖを数１１３と定義する。

ディストーション固有ベクトルの基底は、数１１３に示すヤコビアンの上で効率的に構成される。典型的な暗号処理のようにｒ＞ｗであるとき、そのようなヤコビアン上のディストーション固有ベクトルの基底は非特許文献１８により与えられている。ヤコビアンは、数１１４に示す曲線から導出される自己同型写像ρを持っている。

数１１５をヤコビアンの非零の点とする。すなわち、ａ^＊≠０である。

数１１６上の演算（数１１７）を用いる。また、数１１８とする。

すると、ｐ乗のフロベニウス自己準同型Ｆ（ｐ−ｐｏｗｅｒ Ｆｒｏｂｅｎｉｕｓ ｅｎｄｏｍｏｒｐｈｉｓｍ Ｆ）についてのディストーション固有ベクトル基底Ａ←ａ_ｊ（ｊ＝０，．．．，２ｇ−１）を得る。フロベニウス自己準同型Ｆのディストーション固有ベクトル基底ａ_ｊ（ｊ＝０，．．．，２ｇ−１）の固有値は、ｐ^−ｊである。ディストーション写像φ_ｉ，ｊは、数１１９で与えられる。

Ｗｅｉｌペアリングｅを用いる。非特許文献１８の結論２（Ｃｏｒｏｌｌａｒｙ２）は、ｅ（ａ^＊，ρ（ａ^＊））≠１を示した。そのため、数１２０の２次超曲面におけるｖ以外の任意のｖについて、ｅ（ｖ，ρ（ｖ））≠１であることはわかっている。超楕円曲線についてのＷｅｉｌペアリングの計算については非特許文献１５に記載がある。

与えられたセキュリティパラメータｋと種数ｇについて、上述した条件とセキュリティパラメータｋにより決まるセキュリティレベルを満たす素数の組（ｐ，ｒ）を見つけることにより、ディストーション固有ベクトル空間Ｖを求めることができる。ここで、セキュリティパラメータｋは、例えば、数１２１である。

＜例２：超楕円曲線の積（Ｐｒｏｄｕｃｔ ｏｆ Ｓｕｐｅｒｓｉｎｇｕｌａｒ Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅｓ）＞
非特許文献１１の第５節にある非巡回群のうち、数１２２に示す超楕円曲線の積をディストーション固有ベクトル空間として用いることができる。

（ｐ，ｒ）を素数の組とし、ｄを数１２３であるような正の整数とする。

すると、数１２４は、ディストーション固有ベクトル空間になる。

ベクトル空間Ｖの自己同型Ｆは、数１２５についての数１２６のｄｉａｇｏｎａｌ ａｃｔｉｏｎとして定義される。

ここで、（ａ_ｋ，ａ_ｋ＋１）がＦ_ｋについてのＥ_ｋ［ｒ］のディストーション固有ベクトル基底であるとき、（ａ_０，．．．，ａ_２ｄ−１）は自己同型Ｆについての数１２７のディストーション固有ベクトル基底である。

ディストーション固有ベクトル空間Ｖについてのディストーション写像は、Ｅ_ｋについてのすべてのディストーション写像から次のようにして構成される。
Ｅ_ｋについての射影作用素を用いると、任意のベクトルｖ∈Ｖ（Ｖはベクトル空間）を数１２８のように分解できる。

そのため、ディストーション写像φ_ｉ，ｊを効率的に計算できる。つまり、成分ｖ_ｉ’の変更により計算できる。
上述したように、自己同型写像ρは、Ｅ_ｋの自己同型写像ρ_ｋの直積であり、ペアリング演算ｅは成分により定義することができる。言い替えると、数１２９に示す２つのベクトルｕ，ｖについて、ｅ（ｕ，ｖ）は、数１３０により定義される。

実施の形態１１．
この実施の形態では、先に述べた計算ベクトル分解問題（（ｌ_１，ｌ_２）計算ベクトル分解問題（以下、（ｌ_１，ｌ_２）ＣＶＤＰ））の難しさについて説明する。ここでは、計算ベクトル分解問題が他の難しいと信じられている問題と比較しても難しいことを示すことにより、計算ベクトル分解問題の難しさを説明する。
なお、計算ベクトル分解問題の難しさは、暗号処理、署名処理の安全性に関連する。

以下の説明において、次の記法を用いる。
ＰおよびＱが計算問題であるとき、Ｐ≦_ｐＱは、確率的多項式時間アルゴリズムにより、ＰがＱに帰着されることを表し、Ｐ＝_ｐＱは、Ｐ≦_ｐＱかつＱ≦_ｐＰを表す。

定義（（ｌ_１，ｌ_２）ＣＶＤＰ）
ｋをセキュリティパラメータとする。Ｇ_Ｖをセキュリティパラメータｋとｌ_１＞ｌ_２とについてのｌ_１次元Ｆ_ｒベクトル空間Ｖの記述を出力するアルゴリズムとする。また、アドバーサリーＡを確率的多項式時間機械（アルゴリズム）とする。このとき、全てのｋ∈Ｎについて、アドバーサリーＡの（ｌ_１，ｌ_２）ＣＶＤＰの有利性（ａｄｖａｎｔａｇｅ）を数１３１のように定義する。

（（ｌ_１，ｌ_２）ＣＶＤＰの仮定）
任意の確率的多項式時間機械Ａに対してでも、数１３１は無視できる。

以下、（ｌ_１，ｌ_２）ＣＶＤＰの仮定が成り立つことを、（ｌ_１，ｌ_２）計算ベクトル分解問題と他の問題との関係から説明する。

ＣＶＤＰと一般化されたＤＨ問題（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ問題）との関係について説明する。
ｌ_２＝Ｏ（１）であるなら、（ｌ_１，１）ＣＶＤＰは、（ｌ_１，ｌ_２）ＣＶＤＰに帰着できる（及びその逆）ことを示す。また、ＣＤＨ（計算Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ問題）を高次元空間に一般化した新しい問題（ｌ_１，ｌ_２）ｇＣＤＨを導入し、ＣＶＤＰとの関係を示す。

定義（（ｌ_１，ｌ_２）ｇＣＤＨ，一般化された計算Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ問題）
ｋをセキュリティパラメータとする。Ｇ_Ｖをセキュリティパラメータｋとｌ_１＞ｌ_２とについてのｌ_１次元Ｆ_ｒベクトル空間Ｖの記述を出力するアルゴリズムとする。また、アドバーサリーＡを確率的多項式時間機械とする。このとき、全てのｋ∈Ｎについて、アドバーサリーＡの（ｌ_１，ｌ_２）ｇＣＤＨの有利性を数１３２のように定義する。

（（ｌ_１，ｌ_２）ｇＣＤＨの仮定）
任意の確率的多項式時間機械Ａに対してでも、数１３２は無視できる。

ここで、数１３３が言える。

なぜなら、以下が成立するためである。数１３４であるような数１３５についてのアドバーサリーＢがある時かつその時に限り（ｉｆ ａｎｄ ｏｎｌｙ ｉｆ）、数１３６についてのアドバーサリーＡが存在する。

また、数１３７についてのアドバーサリーＡが存在するなら、数１３８であるような数１３９についてのアドバーサリーＢが存在する。

また、数１４０についてのアドバーサリーＢが存在するなら、数１４１であるような数１４２についてのアドバーサリーＡが存在する。

次に、（ｌ_１，ｌ_２）ＶＤＰに関する判定問題及び相互の関係を説明する。
以下に説明するＤＬＮｓの仮定が真であるなら、（ｌ_１，ｌ_１−ｓ）ＤＳＰの仮定は真である。ここで、ＤＬＮ２_２（判定線形）の仮定は広く用いられており、調べられている。（ｌ_１，ｌ_１−ｓ）ＤＳＰの仮定を採用し、（ｌ_１，ｌ_２）計算ベクトル分解問題の難しさと、上記実施の形態で説明した暗号処理、署名処理の安全性を証明する。

定義（（ｌ_１，ｌ_２）ＤＶＤＰ：（ｌ_１，ｌ_２）判定ベクトル分解問題）
ｋをセキュリティパラメータとする。Ｇ_Ｖをセキュリティパラメータｋとｌ_１＞ｌ_２＋１とについてのｌ_１次元Ｆ_ｒベクトル空間Ｖの記述を出力するアルゴリズムとする。このとき、全てのｋ∈Ｎについて、２つの分布Ｄ_１とＲ_１とを数１４３のように定義する。

アドバーサリーＡを確率的多項式時間機械とする。このとき、全てのｋ∈Ｎについて、アドバーサリーＡの（ｌ_１，ｌ_２）ＤＶＤＰの有利性を数１４４のように定義する。

（（ｌ_１，ｌ_２）ＤＶＤＰの仮定）
任意の確率的多項式時間機械Ａに対してでも、ｋにおいて数１４４は無視できる。

定義（（ｌ_１，ｌ_２）ＤＰＳ：（ｌ_１，ｌ_２）判定部分空間問題）
ｋをセキュリティパラメータとする。Ｇ_Ｖをセキュリティパラメータｋとｌ_１＞ｌ_２＋１とについてのｌ_１次元Ｆ_ｒベクトル空間Ｖの記述を出力するアルゴリズムとする。このとき、全てのｋ∈Ｎについて、２つの分布Ｄ_２とＲ_２とを数１４５のように定義する。

（ｌ_１，ｌ_２）ＤＰＳの有利性と（ｌ_１，ｌ_２）ＤＰＳの仮定とは、（ｌ_１，ｌ_２）ＤＶＤＰの有利性と（ｌ_１，ｌ_２）ＤＶＤＰの仮定と同様に定義する。

定義（（ｌ_１，ｌ_２）ｇＤＤＨ：（ｌ_１，ｌ_２）一般化判定Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ問題）
ｋをセキュリティパラメータとする。Ｇ_Ｖをセキュリティパラメータｋとｌ_１＞ｌ_２＋１とについてのｌ_１次元Ｆ_ｒベクトル空間Ｖの記述を出力するアルゴリズムとする。このとき、全てのｋ∈Ｎについて、２つの分布Ｄ_３とＲ_３とを数１４６のように定義する。

（ｌ_１，ｌ_２）ｇＤＤＨの有利性と（ｌ_１，ｌ_２）ｇＤＤＨの仮定とは、（ｌ_１，ｌ_２）ＤＶＤＰの有利性と（ｌ_１，ｌ_２）ＤＶＤＰの仮定と同様に定義する。

定義（ＤＬＮ_ｓ：ｓ判定線形問題）
ｋをセキュリティパラメータとする。Ｇ_Ｖをセキュリティパラメータｋとｌ_１＞ｌ_２＋１とについてのｌ_１次元Ｆ_ｒベクトル空間Ｖの記述を出力するアルゴリズムとする。このとき、全てのｋ∈Ｎについて、２つの分布Ｄ_４とＲ_４とを数１４７のように定義する。

ＤＬＮ_ｓの有利性とＤＬＮ_ｓの仮定とは、（ｌ_１，ｌ_２）ＤＶＤＰの有利性と（ｌ_１，ｌ_２）ＤＶＤＰの仮定と同様に定義する。

ここで、数１４８が言える。

なぜなら、以下が成立するためである。数１４９であるような数１５０についてのアドバーサリーＢがある時かつその時に限り（ｉｆ ａｎｄ ｏｎｌｙ ｉｆ）、数１５１についてのアドバーサリーＡが存在する。

また、数１５２についてのアドバーサリーＡが存在するなら、数１５３であるような数１５４についてのアドバーサリーＢが存在する。

ここで、ｌ_１≧ｓ＋１であると仮定する。数１５５についてのアドバーサリーＢが存在するなら、数１５６であるような数１５７についてのアドバーサリーＡが存在する。

以上のように、一般に難しいと信じられている他の問題との関係から（ｌ_１，ｌ_２）ＣＶＤＰが難しいことが示された。

また、実施の形態２で説明した暗号処理と実施の形態３で説明した情報共有処理とは、（ｌ_１，ｌ_２）ＤＳＰ仮定の下で安全（ｓｅｍａｎｔｉｃａｌｌｙ ｓｅｃｕｒｅ，ＩＮＤ−ＣＰＡ ｓｅｃｕｒｅ）である。

さらに、実施の形態４で説明した２ＤＮＦ式評価処理も同様に、（ｌ_１，ｌ_２）ＤＳＰ仮定の下で安全である。ここで、安全性の定義は、非特許文献４に従う。但し、２ＤＮＦ式ψのｄｉｓｊｕｎｃｔｉｖｅ ｃｌａｕｓｅの個数ｈは開示することができる。
なお、式保持装置７００は、ｃ_ｉ，ｊ←Ｅｎｃ（ｐｋ，（０，．．．，０））について、ｐｏｌｙ（ｋ）組のダミー（ｃ^＊ _ｉ，１，ｃ^＊ _ｉ，２）（ｉ=ｈ＋１，．．．，ｈ＋ｐｏｌｙ（ｋ））を追加で情報保持装置８００へ送信することにより、２ＤＮＦ式ψのｄｉｓｊｕｎｃｔｉｖｅ ｃｌａｕｓｅの個数ｈの開示を回避することができる。

また、さらに、実施の形態５で説明した署名処理（及び実施の形態６で説明したブラインド署名）の安全性は、ハッシュ値ｈ（ｍ）によりメッセージｍをベクトル空間Ｖに埋め込み、ｈをランダムオラクルモデルとしてモデル化する場合、全領域ハッシュＲＳＡ署名（非特許文献２，５参照）の場合と同様にして、ＣＶＤＰの仮定の下での安全性を証明することができる。ここで、署名処理の安全性とは、選択したメッセージへの攻撃に対する偽造不可能性（ｕｎｆｏｒｇｅａｂｉｌｉｔｙ ａｇａｉｎｓｔ ｃｈｏｓｅｎ ｍｅｓｓａｇｅ ａｔｔａｃｋｓ）である。

また、実施の形態７，８で説明した否認不可署名は、ランダムオラクルモデルにおけるＣＶＤＰの仮定の下で偽造不可能（ｕｎｆｏｒｇｅａｂｌｅ）である。また、ＤＶＤＰの仮定の変形の元では不可視（ｉｎｖｉｓｉｂｌｅ）である。つまり、数１５８を数１５９から区別するのは難しい。

ここで、

である。
検証プロトコルは完全に零知識であり、否認プロトコルはＤＶＤＰの仮定の下で計算上零知識である。

以上のことから、上記実施の形態で説明した暗号処理、署名処理は安全であると言うことができる。

実施の形態１２．
以上の実施の形態をまとめると、次のようになる。

実施の形態１３．
この実施の形態では、上記実施の形態における各装置のハードウェア資源について説明する。
図２８は、上記実施の形態における演算装置１００、鍵生成装置２００、暗号化装置３００、復号装置４００、送信装置５００、受信装置６００、式保持装置７００、情報保持装置８００、署名生成装置９００、署名検証装置１０００、署名依頼装置１１００、署名生成装置１２００、署名生成装置１３００、署名検証装置１４００、署名依頼装置１５００、署名生成装置１６００、署名検証装置１７００のハードウェア資源の一例を示す図である。
図２８において、演算装置１００、鍵生成装置２００、暗号化装置３００、復号装置４００、送信装置５００、受信装置６００、式保持装置７００、情報保持装置８００、署名生成装置９００、署名検証装置１０００、署名依頼装置１１００、署名生成装置１２００、署名生成装置１３００、署名検証装置１４００、署名依頼装置１５００、署名生成装置１６００、署名検証装置１７００は、プログラムを実行するＣＰＵ１９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ１９１１は、バス１９１２を介してＲＯＭ１９１３、ＲＡＭ１９１４、ＬＣＤ１９０１（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、キーボード１９０２（Ｋ／Ｂ）、通信ボード１９１５、磁気ディスク装置１９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置１９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。

磁気ディスク装置１９２０又はＲＯＭ１９１３などには、オペレーティングシステム１９２１（ＯＳ）、ウィンドウシステム１９２２、プログラム群１９２３、ファイル群１９２４が記憶されている。プログラム群１９２３のプログラムは、ＣＰＵ１９１１、オペレーティングシステム１９２１、ウィンドウシステム１９２２により実行される。

プログラム群１９２３には、上記実施の形態において説明した各装置の機能（例えば、「〜部」、「〜関数」、「〜写像」、「〜作用素」、「〜演算」等として説明した各機能）を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ１９１１により読み出され実行される。
ファイル群１９２４には、上記実施の形態において説明した情報やデータや信号値や変数値やパラメータ（例えば、「〜情報」、「〜ベクトル」、「〜値」、「〜鍵」等として説明した情報等）が、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ１９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ１９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ１９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ１９１４のメモリ、その他光ディスク等の記録媒体に記録される。また、データや信号は、バス１９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

また、上記の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜装置」として説明するものは、「〜方法」、「〜プログラム」、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。さらに、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ１９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ１９１３等の記録媒体に記憶される。プログラムはＣＰＵ１９１１により読み出され、ＣＰＵ１９１１により実行される。すなわち、プログラムは、上記で述べた「〜部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「〜部」の手順や方法をコンピュータ等に実行させるものである。
つまり、演算装置１００、鍵生成装置２００、暗号化装置３００、復号装置４００、送信装置５００、受信装置６００、式保持装置７００、情報保持装置８００、署名生成装置９００、署名検証装置１０００、署名依頼装置１１００、署名生成装置１２００、署名生成装置１３００、署名検証装置１４００、署名依頼装置１５００、署名生成装置１６００、署名検証装置１７００の「〜装置」は、「〜方法」、「〜プログラム」と読み替えることができる。また、各装置が備える「〜部」は、「〜ステップ」、「〜処理」と読み替えることができる。

計算ベクトル分解問題の説明図。 演算装置１００の機能を示す機能ブロック図。 演算装置１００の動作を示すフローチャート。 暗号処理システムの機能を示す機能ブロック図。 鍵生成装置２００の動作を示すフローチャート。 暗号化装置３００の動作を示すフローチャート。 復号装置４００の動作を示すフローチャート。 鍵共有システムの機能を示す機能ブロック図。 送信装置５００の動作を示すフローチャート。 受信装置６００の動作を示すフローチャート。 ２ＤＮＦ式評価システムの機能を示す機能ブロック図。 ２ＤＮＦ式評価システムの動作を示すフローチャート。 署名処理システムの機能を示す機能ブロック図。 署名生成装置９００の動作を示すフローチャート。 署名検証装置１０００の動作を示すフローチャート。 ブラインド署名処理システムの機能を示す機能ブロック図。 署名依頼装置１１００と署名生成装置１２００とがブラインド署名を生成する動作を示すフローチャート。 否認不可署名処理システムの機能を示す機能ブロック図。 署名生成装置１３００が否認不可署名を生成する動作を示すフローチャート。 確認プロトコルの処理を示すフローチャート。 否認プロトコルの処理を示すフローチャート。 確認プロトコルと否認プロトコルとのどちらを実行するかを決定する処理を示すフローチャート。 選択変更を行う署名生成装置１３００の機能を示す機能ブロック図。 普遍的変更を行う署名生成装置１３００の機能を示す機能ブロック図。 行列Ｙ、行列Ｚを示す図。 ブラインド否認不可署名システムの機能を示す機能ブロック図。 署名依頼装置１５００と署名生成装置１６００とがブラインド否認不可署名を生成する動作を示すフローチャート。 演算装置１００、鍵生成装置２００、暗号化装置３００、復号装置４００、送信装置５００、受信装置６００、式保持装置７００、情報保持装置８００、署名生成装置９００、署名検証装置１０００、署名依頼装置１１００、署名生成装置１２００、署名生成装置１３００、署名検証装置１４００、署名依頼装置１５００、署名生成装置１６００、署名検証装置１７００のハードウェア資源の一例を示す図。

符号の説明

１００ 演算装置、１１０ 入力部、１２０ 逆行列計算部、１３０ 成分計算部、１４０ 成分出力部、２００ 鍵生成装置、２１０ 鍵生成部、２２０ 鍵配布部、３００ 暗号化装置、３１０ 平文情報入力部、３２０ 乱数生成部、３３０ 平文情報設定部、３４０ 暗号情報生成部、３５０ 暗号情報出力部、４００ 復号装置、４１０ 暗号情報入力部、４２０ 成分取得部、４３０ 離散対数計算部、４４０ 平文情報出力部、５００ 送信装置、５１０ 共有情報入力部、５２０ 乱数生成部、５３０ 共有情報設定部、５４０ 暗号情報生成部、５５０ 暗号情報出力部、５６０ 鍵生成部、６００ 受信装置、６１０ 暗号情報入力部、６２０ 成分取得部、６３０ 鍵生成部、６４０ 鍵出力部、７００ 式保持装置、７１０ 式記憶部、７２０ 代入部、７３０ 式暗号化部、８００ 情報保持装置、８１０ 入力情報記憶部、８２０ 情報暗号化部、８３０ 結果計算部、９００ 署名生成装置、９１０ 送信情報入力部、９２０ ハッシュ値計算部、９３０ 成分取得部、９４０ 署名生成部、９５０ 送信部、１０００ 署名検証装置、１０１０ 受信部、１０２０ ハッシュ値計算部、１０３０ 署名検証部、１１００ 署名依頼装置、１１１０ 送信情報入力部、１１２０ ハッシュ値計算部、１１３０ ブラインド部、１１４０ 署名依頼部、１１５０ アンブラインド部、１１６０ 送信部、１２００ 署名生成装置、１２１０ ブラインド情報受信部、１２２０ 成分取得部、１２３０ 署名生成部、１３００ 署名生成装置、１３１０ 送信情報入力部、１３２０ ハッシュ値計算部、１３３０ 成分取得部、１３４０ 署名生成部、１３５０ 送信部、１３６０ 証明部、１３７０ 署名選択変更部、１３８０ 署名一括変更部、１４００ 署名検証装置、１４１０ 受信部、１４２０ 署名検証部、１５００ 署名依頼装置、１５１０ 送信情報入力部、１５２０ ハッシュ値計算部、１５３０ ブラインド部、１５４０ 署名依頼部、１５５０ アンブラインド部、１５６０ 送信部、１５７０ 証明部、１５８０ 署名選択変更部、１６００ 署名生成装置、１６１０ ブラインド情報受信部、１６２０ 成分取得部、１６３０ 署名生成部、１６４０ 証明部、１６５０ 署名一括変更部、１７００ 署名検証装置、１７１０ 受信部、１７２０ 署名検証部。

Claims (27)

1. 暗号処理又は署名処理に関する演算をする演算装置であり、
   所定のベクトル空間における入力ベクトルを入力するベクトル入力部と、
   前記ベクトル空間の所定の基底Ａにおける第１の基底ベクトルから第２の基底ベクトルへの写像であるディストーション写像を用いて、前記ベクトル空間の前記基底Ａとは異なる所定の基底Ｂの所定の基底ベクトルにおける前記ベクトル入力部が入力した入力ベクトルの成分ベクトルを計算する成分計算部と
   を備えることを特徴とする演算装置。
2. 前記成分計算部は、
   前記基底Ａから前記基底Ｂへの基底変換情報と、前記ディストーション写像とを用いて、基底Ａの所定の基底ベクトルにおける前記入力ベクトルの成分ベクトルから前記基底Ｂの前記所定の基底ベクトルにおける前記入力ベクトルの成分ベクトルを計算する
   ことを特徴とする請求項１に記載の演算装置。
3. 前記成分計算部は、
   数１に基づき、前記基底Ｂのｌ_２個の基底ベクトルの各基底ベクトルにおける前記入力ベクトルｖの成分ベクトルｕ_ｊを計算する
   ことを特徴とする請求項１又は２に記載の演算装置。
   

   
4. 請求項１から３までのいずれかに記載の演算装置を備える復号装置であり、
   前記ベクトル空間におけるベクトルであって、前記基底Ｂの前記所定の基底ベクトルに対する係数として平文情報が設定されたベクトルを暗号情報ベクトルとして入力する暗号情報入力部と、
   前記演算装置により、前記暗号情報入力部が入力した暗号情報ベクトルを前記入力ベクトルとして、前記基底Ｂの前記所定の基底ベクトルにおける入力ベクトルの成分ベクトルを計算して、前記所定の基底ベクトルにおける入力ベクトルの成分ベクトルを取得する成分取得部と、
   前記成分取得部が取得した前記成分ベクトルについて、前記所定の基底ベクトルを底として離散対数問題を解き平文情報を計算する離散対数計算部と
   を備えることを特徴とする復号装置。
5. 前記暗号情報入力部は、ｌ_１次元のベクトル空間の前記基底Ｂのｌ_２個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）に対する係数として平文情報ｍ_ｉ（ｉ＝０，．．．，ｌ_２−１）が設定された暗号情報ベクトルを入力し、
   前記成分取得部は、前記暗号情報ベクトルを前記入力ベクトルとして、前記基底Ｂの前記ｌ_２個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）を計算し、
   前記離散対数計算部は、前記成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）について、対応する基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）を底として離散対数問題を解き、平文情報ｍ_ｉ（ｉ＝０．．．，ｌ_２−１）を計算する
   ことを特徴とする請求項４に記載の復号装置。
6. 所定のベクトル空間の所定の基底Ｂにおける所定の基底ベクトルに対する係数として平文情報を設定したベクトルを平文ベクトルとして生成する平文情報設定部と、
   前記基底Ｂにおける基底ベクトルであって、前記平文情報設定部が平文情報を設定した前記所定の基底ベクトル以外の基底ベクトルに対する係数として所定の値を設定したベクトルを、前記平文情報設定部が生成した平文ベクトルに加えて暗号情報ベクトルを生成する暗号情報生成部と
   を備えることを特徴とする暗号化装置。
7. 前記平文情報設定部は、ｌ_１次元のベクトル空間の前記基底Ｂのｌ_２個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_２−１）に対する係数として平文情報ｍ_ｉ（ｉ＝０．．．，ｌ_２−１）を設定し、
   前記暗号情報生成部は、前記基底Ｂにおける残りのｌ_１−ｌ_２個の基底ベクトルｂ_ｉ（ｉ＝ｌ_２．．．，ｌ_１−１）に対する係数として所定の値ｒ_ｉ（ｉ＝ｌ_２．．．，ｌ_１−１）を設定して、暗号情報ベクトルを生成する
   ことを特徴とする請求項６に記載の暗号化装置。
8. 送信装置と、請求項１から３までのいずれかに記載の演算装置を有する受信装置とを備える情報共有システムであり、
   前記送信装置は、
   前記基底Ｂの前記所定の基底ベクトルにおける成分ベクトルとして前記受信装置へ送信する所定の情報を設定したベクトルを共有ベクトルとして生成する共有情報設定部と、
   前記基底Ｂにおける基底ベクトルであって、前記共有情報設定部が前記所定の情報を設定した前記所定の基底ベクトル以外の基底ベクトルにおける成分ベクトルとして所定の値を設定したベクトルを、前記共有情報設定部が生成した共有ベクトルに加えて、暗号情報ベクトルを生成する暗号情報生成部と、
   前記暗号情報生成部が生成した暗号情報ベクトルを前記受信装置へ送信する暗号情報送信部とを備え、
   前記受信装置は、
   前記暗号情報送信部が送信した暗号情報ベクトルを受信する暗号情報受信部と、
   前記演算装置により、前記暗号情報受信部が受信した暗号情報ベクトルを前記入力ベクトルとして、前記基底Ｂの前記所定の情報が設定された基底ベクトルにおける入力ベクトルの成分ベクトルを計算して、前記所定の情報を取得する成分取得部と
   を備えることを特徴とする情報共有システム。
9. ２ＤＮＦ（Ｄｉｓｊｕｎｃｔｉｖｅ Ｎｏｒｍａｌ Ｆｏｒｍ）式を有する式保持装置と、請求項１から３までのいずれかに記載の演算装置を有し、前記２ＤＮＦ式への入力情報である秘密情報を有する情報保持装置とを備える２ＤＮＦ演算システムであり、
   前記情報保持装置は、
   前記秘密情報を前記ベクトル空間の前記基底Ｂの所定の基底ベクトルに対する係数として設定して暗号化し、暗号化した秘密情報を前記式保持装置へ送信する情報暗号化部を備え、
   前記式保持装置は、
   前記情報保持装置の暗号化部が暗号化した秘密情報を前記２ＤＮＦ式へ代入する代入部と、
   前記暗号化した秘密情報を代入した前記２ＤＮＦ式のクローズの２つの変数をそれぞれ前記ベクトル空間の前記基底Ｂの所定の基底ベクトルに対する係数として設定して暗号化したｃ_１とｃ_２とを計算するとともに、
   計算したｃ_１とｃ_２とのそれぞれに所定の情報を加えたパラメータｃ_１ ^＊とｃ_２ ^＊と、ｃ_１ ^＊とｃ_２ ^＊との積に含まれる情報のうちｃ_１とｃ_２との積以外の情報を含むパラメータＥ_ｋとを計算して、計算したパラメータｃ_１ ^＊とｃ_２ ^＊と、Ｅ_ｋとを前記情報保持装置へ送信する式暗号化部とを備え、
   前記情報保持装置は、さらに、
   前記式暗号化部が送信したパラメータｃ_１ ^＊とｃ_２ ^＊と、Ｅ_ｋとに基づき、前記演算装置とペアリング演算とを用いて前記ｃ_１とｃ_２との積を計算するとともに、前記情報暗号化部と前記式暗号化部とによる暗号化を復号する結果計算部
   を備えることを特徴とする２ＤＮＦ演算システム。
10. 前記式保持装置は、数２に示す２ＤＮＦ式を有し、
    前記情報保持装置は、数３に示す秘密情報を有し、
    前記情報暗号化部は、数３に示す前記秘密情報の各ｍ^→ _ｉ（ｉ＝１，．．．，ｎ）をそれぞれｌ_１次元のベクトル空間の基底Ｂのｌ_２個の基底ベクトルに対する係数として設定して暗号化し、暗号化した秘密情報を前記式保持装置へ送信し、
    前記代入部は、数４に示すように、前記情報保持装置の暗号化部が暗号化した秘密情報を数２に示す前記２ＤＮＦ式を算術化した式Ψへ代入し、
    前記式暗号化部は、数４に示す暗号化した秘密情報を代入した式Ψのλ_{ｉ，１，ｊ}とλ_{ｉ，２，ｊ}（ｉ＝１，．．．ｈ；０，．．．，ｌ_２−１）とをそれぞれ前記ベクトル空間の前記基底Ｂのｌ_２個の基底ベクトルに対する係数として設定して暗号化したｃ_ｉ，１とｃ_ｉ，２とを計算するとともに、
    数５に示すように、計算したｃ_ｉ，１とｃ_ｉ，２とのそれぞれに基づき、パラメータｃ_ｉ，１ ^＊とｃ_ｉ，２ ^＊と、Ｅ_ｋとを計算して、計算したパラメータｃ_ｉ，１ ^＊とｃ_ｉ，２ ^＊と、Ｅ_ｋとを前記情報保持装置へ送信し、
    前記結果計算部は、前記演算装置を用いて数６に示す演算を行い数７を得るとともに、数７に示すｗ_ｋを計算して前記秘密情報を前記２ＤＮＦ式に代入した結果を計算する
    ことを特徴とする請求項９に記載の２ＤＮＦ演算システム。
    

    

    

    

    

    

    
11. 請求項１から３までのいずれかに記載の演算装置を備える署名生成装置であり、
    前記ベクトル空間のベクトルに送信情報を変換して送信情報ベクトルを生成するベクトル生成部と、
    前記演算装置により、前記ベクトル生成部が生成した送信情報ベクトルを前記入力ベクトルとして、前記基底Ｂの前記所定の基底ベクトルにおける入力ベクトルの成分ベクトルを計算して、前記所定の基底ベクトルにおける入力ベクトルの成分ベクトルを取得する成分取得部と、
    前記成分取得部が取得した前記成分ベクトルを、前記送信情報の署名情報とする署名生成部と
    を備えることを特徴とする署名生成装置。
12. 前記ベクトル生成部は、ｌ_１次元のベクトル空間のベクトルに前記送信情報を変換して送信情報ベクトルを生成し、
    前記成分取得部は、前記ベクトル生成部が生成した送信情報ベクトルを前記入力ベクトルとして、前記基底Ｂのｌ_１−１個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を取得し、
    前記署名生成部は、前記成分取得部が取得した成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を、前記送信情報の署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）とする
    ことを特徴とする請求項１１に記載の署名生成装置。
13. 送信情報と、前記送信情報を所定のベクトル空間のベクトルに変換した送信情報ベクトルの成分ベクトルであって、前記ベクトル空間の所定の基底Ｂの所定の基底ベクトルにおける成分ベクトルである署名情報とを受信する受信部と、
    前記受信部が受信した送信情報を前記ベクトル空間のベクトルに変換して送信情報ベクトルを生成するベクトル生成部と、
    前記受信部が受信した署名情報が前記ベクトル生成部が生成した送信情報ベクトルの前記基底Ｂの前記所定の基底ベクトルにおける成分ベクトルであるか否かを判定して署名を検証する署名検証部と
    を備えることを特徴とする署名検証装置。
14. 前記受信部は、送信情報と、前記基底Ｂの複数の基底ベクトルの各基底ベクトルにおける成分ベクトルである署名情報とを受信し、
    前記署名検証部は、前記署名情報に含まれる前記各基底ベクトルにおける成分ベクトルが示す方向と、前記各基底ベクトルが示す方向とがそれぞれ同一の方向であるか否かを判定するとともに、
    前記署名情報である前記各基底ベクトルにおける成分ベクトルを合計したベクトルの大きさと、前記ベクトル生成部が生成した送信情報ベクトルの大きさとが同一であるか否かを判定して署名を検証する
    ことを特徴とする請求項１３に記載の署名検証装置。
15. 前記受信部は、送信情報と、前記送信情報を所定のｌ_１次元のベクトル空間のベクトルに変換した送信情報ベクトルの成分ベクトルであって、前記ベクトル空間の前記基底Ｂのｌ_１−１個の基底ベクトルにおけるｌ_１−１個の成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）である署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）とを受信し、
    前記ベクトル生成部は、前記受信部が受信した送信情報を前記ｌ_１次元のベクトル空間のベクトルに変換して送信情報ベクトルを生成し、
    前記署名検証部は、前記署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）が示す方向と、前記基底Ｂのｌ_１−１個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）が示す方向とがそれぞれ同一の方向であるか否かを判定するとともに、
    前記ベクトル生成部が生成した送信情報ベクトルから前記署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_１−２）を除したベクトルが示す方向と、前記基底Ｂの基底ベクトルｂ_ｉ（ｉ＝ｌ_１−１）が示す方向とが同一であるか否かを判定して署名を検証する
    ことを特徴とする請求項１３又は１４に記載の署名検証装置。
16. 請求項１から３までのいずれかに記載の演算装置を備える署名生成装置と、前記署名生成装置に署名を依頼する署名依頼装置とを備える署名処理システムであり、
    前記署名依頼装置は、
    前記ベクトル空間のベクトルに送信情報を変換して送信情報ベクトルを生成するベクトル生成部と、
    前記ベクトル生成部が生成した送信情報ベクトルにブラインド情報を付加することにより、前記ベクトル情報をブラインドしてブラインドベクトルを生成するブラインド部と、
    前記ブラインド部が生成したブラインドベクトルを前記署名生成装置へ送信して署名を依頼する署名依頼部とを備え、
    前記署名生成装置は、
    前記演算装置により、前記署名依頼部が送信したブラインドベクトルを前記入力ベクトルとして、入力ベクトルの前記基底Ｂの前記所定の基底ベクトルにおける入力ベクトルの成分ベクトルを計算して、前記基底Ｂの前記所定の基底ベクトルにおける入力ベクトルの成分ベクトルを取得する成分取得部と、
    前記成分取得部が取得した前記成分ベクトルを、前記ブラインドベクトルの署名情報として前記署名依頼装置へ送信する署名生成部とを備え、
    前記署名依頼装置は、さらに、
    前記署名生成部が送信した前記ブラインドベクトルの署名情報から前記ブラインド情報を除去して、前記送信情報についての署名情報を生成するアンブラインド部
    を備えることを特徴とする署名処理システム。
17. 前記ベクトル生成部は、ｌ_１次元のベクトル空間のベクトルに送信情報を変換して送信情報ベクトルを生成し、
    前記ブラインド部は、前記ベクトル生成部が生成した送信情報ベクトルに、前記基底Ｂの基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）に対する係数として所定の値γ_ｉ（ｉ＝０，．．．，ｌ_１−１）を設定したブラインド情報γ_ｉｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）を加えることにより、前記送信情報ベクトルをブラインドしてブラインドベクトルを生成し、
    前記成分取得部は、前記署名依頼部が送信したブラインドベクトルを前記入力ベクトルとして、入力ベクトルの基底Ｂのｌ_１−１個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）における入力ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を計算し、
    前記署名生成部は、前記成分取得部が取得した成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−２）を、前記ブラインドベクトルの署名情報ｔ_ｉ（ｉ＝０，．．．，ｌ_１−２）として前記署名依頼装置へ送信し、
    前記アンブラインド部は、前記署名生成部が送信した前記ブラインドベクトルの署名情報である成分ベクトルｔ_ｉ（ｉ＝０，．．．，ｌ_１−２）から対応する基底ベクトルにおける前記ブラインド情報γ_ｉｂ_ｉ（ｉ＝０，．．．，ｌ_１−２）を除去して、前記送信情報についての署名情報を生成する
    ことを特徴とする請求項１６に記載の署名処理システム。
18. 請求項１から３までのいずれかに記載の演算装置を備える署名生成装置であり、
    ｌ_１次元のベクトル空間のベクトルに送信情報を変換して送信情報ベクトルを生成するベクトル生成部と、
    前記演算装置により、前記ベクトル生成部が生成した送信情報ベクトルを前記入力ベクトルとして、入力ベクトルの前記基底Ｂのｌ_１個の基底ベクトルｂ_ｉ（ｉ＝０，．．．，ｌ_１−１）における入力ベクトルのｌ_１個の成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）を計算して、前記ｌ_１個の成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）を取得する成分取得部と、
    前記成分取得部が取得したｌ_１個の成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）のうちｌ_２個の成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_２−１）（ｌ_１−１＞ｌ_２）を、前記送信情報の署名情報ｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）とする署名生成部と
    を備えることを特徴とする署名生成装置。
19. 請求項１８に記載の署名生成装置と、前記署名生成装置が生成した署名情報を検証する署名検証装置とを備える署名検証システムであり、
    前記署名検証装置は、
    署名情報に含まれる送信情報ベクトルのｌ_２個の成分ベクトルｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）が示す方向と、前記基底Ｂのｌ_２個の基底ベクトルが示す方向とがそれぞれ同一の方向であるか否かを判定する署名検証部を備え、
    前記署名生成装置は、さらに、
    それぞれ同一の方向であると前記署名検証装置の署名検証部が判定した場合、署名情報に含まれない送信情報ベクトルの（ｌ_１−ｌ_２）個の成分ベクトルｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を有することを、送信情報ベクトルの（ｌ_１−ｌ_２）個の成分ベクトルｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を前記署名検証装置に知られることなく証明することにより、前記署名情報が署名生成装置により生成されたものであることを証明する証明部
    を備えることを特徴とする署名検証システム。
20. 前記署名生成装置の証明部は、それぞれ同一の方向であると前記署名検証装置の署名検証部が判定した場合、数８に示すｕ_ｉを生成し、生成したｕ_ｉを前記署名検証装置へ送信し、
    前記署名検証装置の署名検証部は、数９が成立するか否かを判定し、
    前記署名生成装置の署名確認部は、数９が成立すると判定した場合、前記署名検証装置に対して、数１０を満たすγ_ｉを有することをγ_ｉを前記署名検証装置に知られることなく証明することにより、前記署名情報が署名生成装置により生成されたものであることを証明する
    ことを特徴とする請求項１９に記載の署名検証システム。
    

    

    

    
21. 請求項１８に記載の署名生成装置と、前記署名生成装置が生成した署名情報を検証する署名検証装置とを備える署名検証システムであり、
    署名情報に含まれる送信情報ベクトルのｌ_２個の成分ベクトルｓ_ｉ（ｉ＝０，．．．，ｌ_２−１）が示す方向と、前記基底Ｂのｌ_２個の基底ベクトルが示す方向とがそれぞれ同一の方向であるか否かを判定するとともに、それぞれ同一の方向を示すと判定した場合、前記署名生成装置へ前記署名情報を送信する署名検証部を備え、
    前記署名生成装置は、さらに、
    前記署名検証装置の署名検証部から前記署名情報を受信した場合、受信した署名情報が送信情報ベクトルを分解したものでないことを、送信情報ベクトルのｌ_１個の成分ベクトルｓ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）を前記署名検証装置に知られることなく証明する証明部
    を備えることを特徴とする署名検証システム。
22. 前記証明部は、前記署名検証装置の署名検証部から前記署名情報を受信した場合、数１１に示すｕ_ｉと数１２に示すｗとを生成し、生成したｕ_ｉとｗとを前記署名検証装置へ送信し、
    前記署名検証装置の署名検証部は、数１３と数１４とが成立するか否かを判定し、
    前記証明部は、数１３と数１４とが成立すると前記署名検証装置の署名検証部が判定した場合、数１５を満たすγ_ｉ（ｉ＝０，．．．，ｌ_２−１）とδと、数１６を満たすγ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）とδとを有することをγ_ｉ（ｉ＝０，．．．，ｌ_１−１）とδとを前記署名検証装置に知られることなく証明することにより、受信した署名情報が送信情報ベクトルを分解したものでないことを証明する
    ことを特徴とする請求項２１に記載の署名検証システム。
    

    

    

    

    

    

    
23. 前記署名生成装置は、さらに、
    前記成分取得部が取得したｌ_１個の成分ベクトルｓ_ｉ（ｉ＝０，．．．，ｌ_１−１）のうち、署名情報としなかった（ｌ_１−ｌ_２）個の成分ベクトルｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−１）に含まれる成分ベクトルｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−２）を前記署名情報を検証する署名検証装置へ送信して、前記署名検証装置が前記署名情報を検証可能とする署名選択変更部
    を備えることを特徴とする請求項１８に記載の署名生成装置。
24. 前記署名生成装置は、さらに、
    前記成分取得部が前記送信情報ベクトルの成分ベクトルｕ_ｉ（ｉ＝０，．．．，ｌ_１−１）を計算する場合に使用した前記基底変換情報のうち、送信情報ベクトルの成分ベクトルｕ_ｉ（ｉ＝ｌ_２，．．．，ｌ_１−２）を計算するために必要な部分を公開することにより、前記署名情報を検証可能とする署名一括変更部
    を備えることを特徴とする請求項１７に記載の署名生成装置。
25. 前記署名一括変更部は、基底変換行列Ｘの成分ｘ_ｊｋ（ｊ＝ｌ_２，．．．，ｌ_１−１；ｋ＝０，．．．，ｌ_１−１）と、数１７に示すｔ_ｉｊ（ｉ＝０，．．．，ｌ_１−１；ｊ＝ｌ_２，．．．，ｌ_１−１）とを公開することにより、前記署名情報を検証可能とする
    ことを特徴とする請求項２４に記載の署名生成装置。
    

    
26. 暗号処理又は署名処理に関する演算方法であり、
    入力装置が、所定のベクトル空間における入力ベクトルを入力するベクトル入力ステップと、
    処理装置が、前記ベクトル空間の所定の基底Ａにおける第１の基底ベクトルから第２の基底ベクトルへの写像であるディストーション写像を用いて、前記ベクトル空間の前記基底Ａとは異なる所定の基底Ｂの所定の基底ベクトルにおける前記ベクトル入力ステップで入力した入力ベクトルの成分ベクトルを計算する成分計算ステップと
    を備えることを特徴とする演算方法。
27. 暗号処理又は署名処理に関する演算をする演算プログラムであり、
    所定のベクトル空間における入力ベクトルを入力するベクトル入力処理と、
    前記ベクトル空間の所定の基底Ａにおける第１の基底ベクトルから第２の基底ベクトルへの写像であるディストーション写像を用いて、前記ベクトル空間の前記基底Ａとは異なる所定の基底Ｂの所定の基底ベクトルにおける前記ベクトル入力処理で入力した入力ベクトルの成分ベクトルを計算する成分計算処理と
    をコンピュータに実行させることを特徴とする演算プログラム。

Images