JP2011146895A - 情報処理システム及び管理装置及びサーバ装置及び情報処理装置 - Google Patents

Abstract

【課題】情報処理装置からサーバ装置へのトラップドア送信数を削減し、ユーザからの検索要求に対して当該ユーザに許可された範囲内でデータ検索を行う。
【解決手段】グループ管理装置４０１は、情報処理装置３０１のユーザごとに許可世代範囲が設定されている鍵を更新しながら発行し、情報処理装置は、ユーザに発行された鍵の世代値と暗号化データをサーバ装置２０１に登録し、また、ユーザに発行された鍵を用いて当該ユーザの許可世代範囲が反映されるｎ（ｎ≧１）世代分のトラップドアを集約する集約トラップドアを生成してサーバ装置に送信し、サーバ装置では集約トラップドアからｎ個のトラップドアを導出し、各トラップドアを解析し、暗号化データの検索範囲を当該ユーザの許可世代範囲に限定して暗号化データの検索を行う。情報処理装置はｎ世代分のトラップドアを集約した集約トラップドアを送信するので、サーバ装置との間の通信量を削減できる。
【選択図】図１

Description

本発明は、複数の情報処理装置とサーバ装置とが含まれる情報処理システムに関し、特に、情報処理装置が、検索のためのキーワードをサーバ装置に秘匿した状態でサーバ装置に蓄積されているデータを検索する秘匿検索システムに関する。

サーバ装置（以下、単にサーバともいう）に保存されたデータを、検索者がキーワードを指定して検索でき、かつその際にデータ・キーワードをサーバに対して秘匿する秘匿検索システムがある。
このような秘匿検索システムは、機密データ管理のアウトソーシングや、メールサーバにおける暗号化メールのフィルタリングへの応用が期待されており、種々の安全性要件を達成するための技術や、サーバや検索者のストレージ・通信オーバーヘッド・演算オーバーヘッドを削減するための様々な技術が提案されている。

さらに、複数のユーザによる検索を可能とする場合には、ユーザの加入・脱退に柔軟に対処するための技術が必要とされる。
非特許文献１では、ユーザが保持する秘密情報をハッシュチェーンで管理し、ユーザの加入・脱退に伴って世代が更新されるたびに新しい秘密情報を正当ユーザに配布し、正当ユーザは最新の秘密情報から過去の秘密情報を導出できるようにし、ユーザに必要なストレージを抑えつつ、世代更新に対応した秘匿検索を達成する方式が開示されている。
また、特許文献１では、時刻と役職に基づいた、二次元的な鍵管理を行う方式が開示されている。

特開２０００−２４４４７４号公報

Ｈ．Ｐａｒｋ， Ｊ．Ｗ．Ｂｙｕｎ， ａｎｄ Ｄ．Ｈ．Ｌｅｅ， "Ｓｅｃｕｒｅ Ｉｎｄｅｘ Ｓｅａｒｃｈ ｆｏｒ Ｇｒｏｕｐｓ，" ＴｒｕｓｔＢｕｓ ２００５， ＬＮＣＳ ３５９２， ｐｐ．１２８−１４０， ２００５．

世代更新を伴う秘匿検索システムでは、正当ユーザが、過去の世代で登録された情報を検索できるようにしたいという要求がある。
これを実現するために、非特許文献１にて開示されている方式では、検索者が最新の秘密情報から過去全ての世代の秘密情報を導出し、これらとキーワードからトラップドア（検索用の情報）を世代数分計算し、全てのトラップドアをサーバに送信し、トラップドアを受け取ったサーバが検索処理を行っている。
このため、検索者にとって計算量・通信量が世代数に比例して増大するという課題がある。
また、非特許文献１の方式では、加入ユーザが加入前の情報を全て検索することができ、これを防ぐことができないという課題がある。

一方、脱退ユーザに関しては、脱退後の情報を検索できないことは当然として、脱退前の情報を検索できるか否かについては実際のシステムに依存する。
例えば、ある会社に属していたユーザが退職した場合、退職前にはアクセスできた情報にもアクセスできなくするというケースが考えられる。
これに対し、ある部署に属していたユーザが異動した場合、業務の関係上、異動前にアクセスできた情報には引き続きアクセスしたいというケースを考えることができる。
脱退ユーザを上記のような「退職ユーザ」「異動ユーザ」に分けた場合、これらの一方のみに対応することは、非特許文献１の方式を始めとする、既存の方式で可能である。
しかし、脱退ユーザとして「退職ユーザ」「異動ユーザ」の両方が混在するシステムの場合、既存方式ではこれに対応できないという課題がある。

本発明は上記の課題を解決することを主な目的の一つとしており、検索者が送信すべきトラップドアの数を削減して、結果として検索者の計算量・通信量を削減することを主な目的とする。
また、ユーザごとに検索が許可されるデータの範囲を設定し、ユーザからの検索要求に対して当該ユーザに許可された範囲内でデータの検索を行うことを主な目的とする。

本発明に係る情報処理システムは、
複数のユーザに利用される複数の情報処理装置と、
ユーザの要求に基づいて暗号化データを記憶し、ユーザの要求に基づいて記憶している暗号化データの検索を行うサーバ装置と、
前記サーバ装置に対して秘密にしている鍵を更新イベントの発生時に新たな世代値を設けて更新し、更新イベント発生時を含む所定の鍵発行タイミングにおいてユーザに鍵を発行する管理装置を有し、
前記管理装置は、
利用が許可される世代範囲が許可世代範囲として設定される鍵を生成し、
ユーザごとに鍵の利用が許可される最も前の世代を利用開始世代として指定し、
鍵発行タイミングにおいて、ユーザごとに、最新世代の鍵であって、ユーザに指定されている利用開始世代から当該最新世代までが許可世代範囲として設定されている鍵を発行し、
各情報処理装置は、
最新世代の鍵を受領する度に、受領した最新世代の鍵を記憶し、
ユーザから暗号化データの格納指示があった際に、暗号化データの検索に用いられるインデックス情報と、前記ユーザの格納指示時点での最新世代の鍵の世代値と、暗号化データとを対応付けて格納するよう前記サーバ装置に要求し、
ユーザから暗号化データの検索指示があった際に、前記ユーザの検索指示時点での最新世代の鍵を用いて、許可世代範囲である利用開始世代から当該最新世代までのｎ（ｎ≧１）世代の各世代値が暗号化されているｎ個の暗号化世代情報が集約されている集約情報を生成し、生成した集約情報を含む検索要求を前記サーバ装置に送信し、
前記サーバ装置は、
情報処理装置からの格納要求を受領した場合に、インデックス情報と、鍵の世代値と、暗号化データとを対応付けて記憶し、
情報処理装置からの検索要求を受信した場合に、受信した検索要求に含まれる前記集約情報に対して所定の演算を行い、前記集約情報からｎ個の暗号化世代情報を抽出し、暗号化世代情報ごとに、暗号化世代情報が対象としている世代値と共通する世代値を対象としているインデックス情報に対応付けられている暗号化データであって所定の条件を満たす暗号化データを抽出することを特徴とする。

本発明によれば、情報処理装置はｎ個の暗号化世代情報を集約した集約情報を送信するので、情報処理装置とサーバ装置との間の通信量を削減することができる。
また、管理装置において、ユーザごとに許可世代範囲が設定されている鍵を発行し、検索要求元のユーザの鍵を用いて生成された当該ユーザの許可世代範囲が反映される暗号化世代情報をサーバ装置で解析し、暗号化データの検索範囲をユーザの許可世代範囲に限定することができる。

実施の形態１に係るシステム構成例を示す図。 実施の形態１に係るサーバ装置の構成例を示す図。 実施の形態１に係る情報処理装置の構成例を示す図。 実施の形態１に係るグループ管理装置の構成例を示す図。 実施の形態１に係る暗号化キーワード記憶領域における記憶内容の例を示す図。 実施の形態１に係る暗号化データ記憶領域における記憶内容の例を示す図。 実施の形態１に係る暗号鍵記憶領域における記憶内容の例を示す図。 実施の形態１に係る暗号鍵記憶領域における記憶内容の例を示す図。 実施の形態２に係るサーバ装置の構成例を示す図。 実施の形態２に係る情報処理装置の構成例を示す図。 実施の形態２に係る暗号鍵記憶領域における記憶内容の例を示す図。 実施の形態２に係る暗号鍵記憶領域における記憶内容の例を示す図。 実施の形態２に係る暗号鍵記憶領域における記憶内容の例を示す図。 実施の形態３に係るサーバ装置の構成例を示す図。 実施の形態３に係る暗号化キーワード記憶領域における記憶内容の例を示す図。 実施の形態３に係る世代遷移記憶領域における記憶内容の例を示す図。 実施の形態３に係る暗号鍵記憶領域における記憶内容の例を示す図。 実施の形態３に係る暗号鍵記憶領域における記憶内容の例を示す図。 実施の形態３に係る暗号化キーワード記憶領域における記憶内容の例を示す図。 実施の形態３に係る世代遷移記憶領域における記憶内容の例を示す図。 実施の形態１に係る鍵生成手順を説明する図。 実施の形態２に係る鍵生成手順を説明する図。 実施の形態２に係るデータ検索手順を説明する図。 実施の形態３に係る鍵生成手順を説明する図。 実施の形態３に係る鍵更新手順を説明する図。 実施の形態１に係るグループ管理装置の鍵生成動作の概要を示すフローチャート図。 実施の形態１に係るグループ管理装置の鍵発行動作の概要を示すフローチャート図。 実施の形態１に係るグループ管理装置の鍵更新動作の概要を示すフローチャート図。 実施の形態１に係る情報処理装置の暗号化データの格納要求時における動作の概要を示すフローチャート図。 実施の形態１に係るサーバ装置の暗号化データの格納動作の概要を示すフローチャート図。 実施の形態１に係る情報処理装置の暗号化データの検索要求時における動作の概要を示すフローチャート図。 実施の形態１に係るサーバ装置の暗号化データの検索動作の概要を示すフローチャート図。 実施の形態２に係るグループ管理装置の鍵生成動作の概要を示すフローチャート図。 実施の形態２に係るグループ管理装置の鍵発行動作の概要を示すフローチャート図。 実施の形態２に係るグループ管理装置の鍵更新動作の概要を示すフローチャート図。 実施の形態２に係る情報処理装置の暗号化データの検索要求時における動作の概要を示すフローチャート図。 実施の形態２に係るサーバ装置の暗号化データの検索動作の概要を示すフローチャート図。 実施の形態３に係るグループ管理装置の鍵生成動作の概要を示すフローチャート図。 実施の形態３に係るグループ管理装置の異動ユーザ発生時の動作の概要を示すフローチャート図。 実施の形態３に係るグループ管理装置の退職ユーザ発生時の動作の概要を示すフローチャート図。 実施の形態３に係るサーバ装置の暗号化データの検索動作の概要を示すフローチャート図。 実施の形態１〜３に係るサーバ装置等のハードウェア構成例を示す図。

以下の実施の形態１〜３では、秘密情報やトラップドアの導出方法を工夫することで、サーバが最新のトラップドアから過去のトラップドアを導出できるようにし、検索者が送信すべきトラップドアの数を削減して、結果として検索者の計算量・通信量を削減することができる秘匿検索システム（情報処理システム）を説明する。
また、新たにグループに加入した加入ユーザに加入前の情報を検索させない、脱退ユーザとして退職・異動ユーザの混在を許すなど、ユーザの加入・脱退に柔軟に対応することができる秘匿検索システム（情報処理システム）を説明する。

実施の形態１．
図１は、サーバ装置に保存されたデータを、複数のユーザがキーワードを指定して検索でき、かつその際にデータ・キーワードをサーバ装置に対して秘匿する秘匿検索システムの構成例である。
図１に示すように、複数の情報処理装置３０１が、ネットワーク１０１を介してサーバ装置２０１とグループ管理装置４０１に接続している。
なお、グループ管理装置４０１は管理装置の例である。
各装置の詳細は後述するが、ここで、各装置の概要を説明する。

各情報処理装置３０１を利用するユーザは企業における部署等の所定のグループに属しており、グループ内でデータを共用することができる。例えば、情報処理装置３０１を利用するユーザの属性（帰属組織、職務等）により、情報処理装置３０１のグループの分類が行われる。
同じグループの情報処理装置３０１は、暗号鍵（以下、単に鍵ともいう）を共有するとともに、例えば、新規ユーザの追加、既存ユーザの脱退といった更新イベントの発生に伴って暗号鍵が更新されていく。
なお、グループに所属しているユーザを所属ユーザともいう。また、グループに新規に加入する者を加入ユーザともいう。また、グループから脱退した者を脱退ユーザともいう。
暗号鍵は、サーバ装置２０１に対しては秘密にされている。
暗号鍵は、グループ管理装置４０１により更新イベントの発生の度に更新され、また、更新イベント発生時を含む鍵発行タイミングにおいて同じグループに属するユーザの情報処理装置３０１に暗号鍵が配布される。
各情報処理装置３０１では、グループ管理装置４０１から新たな暗号鍵が配布される度に過去の暗号鍵に上書きして保存する。
なお、暗号鍵は世代数により管理される（更新により世代数の値が１つ増える）。

本実施の形態では、暗号化データを各情報処理装置３０１からサーバ装置２０１に格納し、また、各情報処理装置３０１はサーバ装置２０１に暗号化データの検索を要求する。
各ユーザには、グループへの加入時期や、グループに引き続き所属しているか脱退しているか等により、検索が許可される暗号化データの範囲が決められている。
この検索が許可される暗号化データの範囲は、暗号鍵の世代によって定義される。
より具体的には、グループ管理装置４０１は、ユーザごとに鍵の利用が許可される最も前の世代を利用開始世代として指定する。
そして、鍵発行タイミングにおいて、ユーザごとに（情報処理装置３０１ごとに）、最新世代の鍵であって、ユーザに指定されている利用開始世代から当該最新世代までが許可世代範囲として設定されている鍵を発行する。
許可世代範囲とは、鍵の利用が許可される世代範囲であり、ユーザごとに異なっている。
鍵が更新される度に最新世代が改められるので、許可世代範囲は鍵の更新とともに拡大していく。
ユーザに検索が許可される暗号化データの範囲は、当該ユーザに発行された鍵に設定されている許可世代範囲に一致する。
後述するように、ユーザが暗号化データをサーバ装置２０１に格納する際に当該ユーザのその時点での最新世代の鍵の世代値と暗号化データが対応付けられて登録される。
また、暗号化データの検索の際に、ユーザは、その時点での当該ユーザの許可世代範囲が反映される情報（トラップドア）をその時点での最新世代の鍵を用いて生成し、情報処理装置３０１からサーバ装置２０１に送信する。
サーバ装置２０１では、検索要求に含まれる情報（トラップドア）を解析して、検索要求元ユーザの許可世代範囲に合致する世代値と対応付けられている暗号化データのみを検索の対象とする。

暗号化データの登録段階では、各情報処理装置３０１は、ユーザから暗号化データの格納を指示する格納指示を入力した際に、データ格納指示時点の最新世代の鍵を用いて、暗号化データとともに登録するキーワード（平文）（検索条件）に対して暗号化を行ってトラップドアを生成し、更に、暗号化データのＩＤ（識別子）を用いてトラップドアを再暗号化して暗号化キーワードを生成する。暗号化キーワードは、サーバ装置２０１に対してキーワードの内容を秘匿化できる。
暗号化キーワードは、暗号化データとともにサーバ装置２０１で登録され、暗号化データの検索に用いられる。暗号化キーワードは、インデックス情報の例である。
なお、後述するように、暗号化キーワードではなく、トラップドア自体を暗号化データに対応付けて登録することも可能である。この場合は、トラップドアがインデックス情報の例となる。

トラップドアは、データ検索段階で、データ検索要求元のユーザの許可世代範囲をサーバ装置２０１において導出可能にする情報であり、また、検索対象のキーワードの内容を秘匿化したままサーバ装置２０１において検索対象のキーワードを特定可能にするためのデータである。

情報処理装置３０１は、登録対象の暗号化データと、当該暗号化データのデータＩＤ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）、暗号化キーワード、当該暗号化キーワードの生成に用いた鍵の世代値をサーバ装置２０１に送信し、サーバ装置２０１では、これらを関連付けて記憶する。

そして、情報処理装置３０１では、ユーザから暗号化データの検索指示を入力した際に、データ検索指示の入力時点で最新世代の暗号鍵を用いて当該ユーザの許可世代範囲と検索キーワードが暗号化されたトラップドアを生成する。
より具体的には、情報処理装置３０１は、集約トラップドア（集約情報）を生成し、集約トラップドアをサーバ装置２０１に送信する。
集約トラップドアは、ユーザの許可世代範囲である利用開始世代から当該最新世代までのｎ（ｎ≧１）世代の各世代値と検索キーワードが暗号化されているｎ個のトラップドア（暗号化世代情報）が集約されている情報である。

サーバ装置２０１では、集約トラップドアを受信し、集約トラップドアからｎ個のトラップドアを導出する。
また、導出したトラップドアごとに、トラップドアが対象としている世代値と共通する世代値を対象とする暗号化キーワードであってトラップドアにおいて暗号化されている検索キーワードに合致する暗号化キーワードを検索する。
そして、検索した暗号化キーワードに対応付けられている暗号化データを抽出する。

以上が、各装置の概要である。
次に、図２〜図４を用いて、サーバ装置２０１、情報処理装置３０１及びグループ管理装置４０１の構成例を説明する。

図２は、本秘匿検索システム（図１）において、データ・キーワードを保持し、検索を行うサーバ装置２０１の構成例を表すブロック図である。

図２において、暗号化キーワード記憶領域２１１は、暗号化されたキーワードを、対応するデータＩＤ、および世代値と関連付けて記憶するデータ記憶手段である。
図５は暗号化キーワード記憶領域２１１が記憶するデータの一例を表す。
前述のように、暗号化キーワードは、インデックス情報の例である。

暗号化データ記憶領域２１２は、暗号化されたデータを、対応するデータＩＤと関連付けて記憶するデータ記憶手段である。
図６は暗号化データ記憶領域２１２が記憶するデータの一例を表す。

トラップドア生成部２２１は、情報処理装置３０１から受信したトラップドア（集約トラップドア）から、ｎ世代分のトラップドアを順次生成する手段である。

比較部２２２は、トラップドア生成部２２１が生成したｎ世代分のトラップドアと、暗号化キーワード記憶領域２１１に記憶されているデータを比較し、情報処理装置３０１の指定したキーワードに合致するデータを暗号化キーワード記憶領域２１１から検索する手段である。

通信部２３１は、情報処理装置３０１やグループ管理装置４０１と通信を行う手段である。

図３は、本秘匿検索システム（図１）において、サーバ装置２０１への暗号化データの登録・サーバ装置２０１からの暗号化データの検索を行う情報処理装置３０１の構成例を表すブロック図である。

図３において、暗号鍵記憶領域３１１は、データの暗号化・検索に用いる秘密情報を記憶するデータ記憶手段である。
図７は暗号鍵記憶領域３１１が記憶するデータの一例を表す。
図７の例において、暗号鍵ｋ_１，３は、１世代目から３世代目までの秘密情報を検索可能であることを意味する。
換言すれば、暗号鍵ｋ_１，３は、ユーザの利用開始世代が第１代目であり、また、許可世代範囲が第１世代目から第３世代目までであることを意味する。

トラップドア生成部３２１は、暗号鍵とキーワードから、対応するトラップドアを生成する手段である。
前述したように、トラップドア生成部３２１は、ｎ（ｎ≧１）世代分のトラップドアが集約されている集約トラップドアを生成する。
図７の暗号鍵ｋ_１，３を用いる場合は、第１世代から第３世代までの３世代分の３つのトラップドアが１つのトラップドアに集約されている集約トラップドアを生成する。

暗号化キーワード生成部３２２は、あるキーワードに対応したトラップドアとデータＩＤから、暗号化キーワードを生成する手段である。

通信部３３１は、サーバ装置２０１やグループ管理装置４０１と通信を行う手段である。

図４は、本秘匿検索システム（図１）において、初期設定や、情報処理装置３０１が保持する暗号鍵の生成・管理などを行うグループ管理装置４０１の構成例を表すブロック図である。

図４において、暗号鍵記憶領域４１１は、情報処理装置３０１が利用する暗号鍵を記憶するデータ記憶手段である。
図８は暗号鍵記憶領域４１１が記憶するデータの一例を表す。
図８の例において、暗号鍵ｋ_ｉ，ｊは、ｉ世代目からｊ世代目までの秘密情報を検索可能であることを意味する。

暗号鍵生成部４２１は、情報処理装置３０１が利用する暗号鍵を生成する手段である。

通信部４３１は、サーバ装置２０１や情報処理装置３０１と通信を行う手段である。

世代範囲記憶領域４４１は、ユーザごとに許可開始世代を記憶するデータ記憶手段である。

暗号鍵配布処理部４５１は、ユーザに配布する暗号鍵を暗号鍵記憶領域４１１から抽出する。

本秘匿検索システムにおける手続きは、（１）グループ管理装置４０１が初期設定を行う部分、（２）グループ管理装置４０１が、加入した情報処理装置３０１に暗号鍵を配布する部分、（３）グループ管理装置４０１が情報処理装置３０１が保持する暗号鍵の世代更新を行う部分、（４）情報処理装置３０１が暗号化データをサーバ装置２０１に送信・格納する部分、（５）情報処理装置３０１が暗号化データをサーバ装置２０１から検索・取得する部分に大別される。
以下、それぞれの手続きについて説明する。

（１）グループ管理装置の初期設定
グループ管理装置４０１は、パラメータｑ、および互いに可換な三つの関数Ｆ_１（ｘ），Ｆ_２（ｘ），Ｇ（ｘ、ｙ）を決定し、公開情報とする。
ここで、Ｆ_１およびＦ_２としては一方向性関数を選び、またＧとしては、関数の出力から実際の入力を推定することが困難である関数を選ぶ。
また、ＦとＧの可換性とは、例えばＦ_１（Ｇ（ｘ，ｙ））＝Ｇ（Ｆ_１（ｘ），ｙ）を意味するものとする。
ｑは世代数の最大値（最終世代）であり、世代の更新頻度やシステムの運用期間から適切に設定する。
さらに、適当な一方向性関数Ｈを選択し、公開情報とする。
本実施の形態では、Ｆ_１，Ｆ_２，Ｇの具体例として、以下に基づき決定したものを利用する。
ｐ_１，ｐ_２として十分大きな素数を選び、Ｎ＝ｐ_１×ｐ_２とする。
ｅ_１，ｅ_２としてＺ_Ｎ ^＊から、（ｐ_１−１）（ｐ_２−１）と互いに素な数をランダムに選択する。
Ｆ_１，Ｆ_２，Ｇを以下で定める。
Ｆ_１（ｘ）＝ｘ^ｅ１ ｍｏｄ Ｎ
Ｆ_２（ｘ）＝ｘ^ｅ２ ｍｏｄ Ｎ
Ｇ（ｘ，ｙ）＝ｘ^ｙ ｍｏｄ Ｎ
なお、ｍｏｄはモジュロ演算子を表し、Ｚ_Ｎ ^＊は０からＮ−１の整数の中でＮと互いに素である整数の集合を表す。
また、Ｆ_１（ｘ）は第１の関数の例であり、Ｆ_２（ｘ）は第２の関数の例である。

次に、暗号鍵生成部４２１による鍵生成動作の詳細を図２６のフローチャートを参照しながら説明する。
暗号鍵生成部４２１は、情報処理装置３０１が利用する暗号鍵ｋ_ｉ，ｊ（１≦ｉ≦ｊ≦ｑ）を生成する。
ここで、ｋ_ｉ，ｊは、ｉ世代目からｊ世代目までの秘密情報を検索可能な暗号鍵である。

まず、暗号鍵生成部４２１は、暗号鍵ｋ_１，ｑ（第１世代から最終世代までを許可世代範囲とする暗号鍵）を、Ｚ_Ｎ ^＊からランダムに選択する（Ｓ２６０１）。
そして、初期鍵である暗号鍵ｋ_１，ｑに対してＦ_１及びＦ_２を適用して新たな暗号鍵を生成し、以降、生成済みの鍵に対してＦ_１及びＦ_２を適用して新たな鍵を生成する動作を繰り返し、各鍵間に連続性を持たせながら、生成済みの鍵とは別の許可世代範囲が設定されている暗号鍵を生成する。
具体的には、暗号鍵ｋ_１，ｑ以外の暗号鍵ｋ_ｉ，ｊ（１≦ｉ≦ｊ≦ｑ）を、以下の式に従って順次計算する（暗号鍵の無矛盾性はＦ_１，Ｆ_２の可換性によって保証される）（Ｓ２６０２）。
ｋ_{ｉ，ｊ−１}＝Ｆ_１（ｋ_ｉ，ｊ）
ｋ_{ｉ＋１，ｊ}＝Ｆ_２（ｋ_ｉ，ｊ）

このように、暗号鍵生成部４２１は、初期鍵である暗号鍵ｋ_１，ｑに第１の関数（Ｆ_１）を適用して、許可世代範囲の開始世代が暗号鍵ｋ_１，ｑの開始世代と共通し終了世代が暗号鍵ｋ_１，ｑの終了世代の１つ前の世代となる新たな暗号鍵ｋ_{１，ｑ−１}を生成し、生成した暗号鍵ｋ_{１，ｑ−１}に第１の関数を適用して、許可世代範囲の開始世代が当該生成済みの暗号鍵ｋ_{１，ｑ−１}の開始世代と共通し終了世代が当該生成済みのｋ_{１，ｑ−１}の終了世代の１つ前の世代となる新たな暗号鍵ｋ_{１，ｑ−２}を生成する。
また、同様に、暗号鍵生成部４２１は、初期鍵である暗号鍵ｋ_１，ｑに第２の関数（Ｆ_２）を適用して、許可世代範囲の終了世代が暗号鍵ｋ_１，ｑの終了世代と共通し開始世代が暗号鍵ｋ_１，ｑの開始世代の１つ後の世代となる新たな暗号鍵ｋ_２，ｑを生成し、生成した暗号鍵ｋ_２，ｑに第２の関数を適用して、許可世代範囲の終了世代が当該生成済みの暗号鍵ｋ_２，ｑの終了世代と共通し開始世代が当該生成済みの暗号鍵ｋ_２，ｑの開始世代の１つ後の世代となる新たな暗号鍵ｋ_３，ｑを生成する。
更に、暗号鍵生成部４２１は、生成した鍵に第１の関数及び第２の関数のいずれかを適用して新たな鍵を生成する動作を繰り返して、許容世代範囲の全パターンに対応する複数の暗号鍵を生成する。

こうして得られた全ての暗号鍵ｋ_１，１〜ｋ_ｑ，ｑを、暗号鍵生成部４２１は、暗号鍵記憶領域４１１に格納する（Ｓ２６０３）。
最後に、暗号鍵配布処理部４５１が１世代目の暗号鍵ｋ_１，１を暗号鍵記憶領域４１１から取得し、通信部４３１が全ての正当な情報処理装置３０１（グループに所属しているユーザが利用している情報処理装置３０１）に、１世代目の暗号鍵ｋ_１，１を送信する（Ｓ２６０４）。
これは、暗号鍵の安全性が保たれる方式であれば、オフラインで行っても良いし、既存の鍵配送技術を用いてオンラインで行っても良い。
暗号鍵ｋ_１，１を受信した情報処理装置３０１は、この暗号鍵ｋ_１，１を、世代情報とともに暗号鍵記憶領域３１１に格納する。

（２）加入ユーザへの暗号鍵配布
ｔ世代目においてユーザの加入があった際、グループ管理装置４０１は、加入した情報処理装置３０１に対して暗号鍵を配布する。
加入ユーザに対して、ｔ世代目を含めた、ｓ世代目からｔ世代目まで（ｓ≦ｔ）の秘密情報の検索を許す場合、グループ管理装置４０１の通信部４３１が、加入した情報処理装置３０１に、暗号鍵ｋ_ｓ，ｔを送信する。
これは、暗号鍵の安全性が保たれる方式であれば、オフラインで行っても良いし、既存の鍵配送技術を用いてオンラインで行っても良い。
暗号鍵ｋ_ｓ，ｔを受信した情報処理装置３０１は、受信した暗号鍵ｋ_ｓ，ｔを、世代情報とともに暗号鍵記憶領域３１１に格納する。
この場合、次で述べる「（３）暗号鍵の世代更新」の処理は不要である（行っても良い）。
一方、加入ユーザに対して、ｔ世代目の秘密情報の検索を許さない場合、グループ管理装置４０１の通信部４３１が、加入した情報処理装置３０１に、暗号鍵ｋ_{ｔ＋１，ｔ＋１}を送信する。
これは、暗号鍵の安全性が保たれる方式であれば、オフラインで行っても良いし、既存の鍵配送技術を用いてオンラインで行っても良い。
暗号鍵ｋ_{ｔ＋１，ｔ＋１}を受信した情報処理装置３０１は、受信した暗号鍵ｋ_{ｔ＋１，ｔ＋１}を、世代情報とともに暗号鍵記憶領域３１１に格納する。
その後、ｔ世代目からｔ＋１世代目に更新するために、次で述べる「（３）暗号鍵の世代更新」の処理が実行される。

図２７は、以上の（２）加入ユーザへの暗号鍵配布における動作を示すフローチャートである。
暗号鍵配布処理部４５１は、例えば、グループ管理装置４０１のオペレータからの入力に基づき、新たに加入する加入ユーザに許容される世代範囲を判断する（Ｓ２７０１）。
加入ユーザにｓ世代〜ｔ世代が認められる場合は、暗号鍵配布処理部４５１は、暗号鍵ｋ_ｓ，ｔを暗号鍵記憶領域４１１から取得し、通信部４３１が当該ユーザの情報処理装置３０１に暗号鍵ｋ_ｓ，ｔを送信する（Ｓ２７０２）。
また、世代範囲記憶領域４４１が、当該加入ユーザの許可世代範囲（ｓ世代からｔ世代）を記憶する（Ｓ２７０３）。
一方、Ｓ２７０１の判断において、新規に加入するユーザにｔ世代が許可されない場合は、暗号鍵配布処理部４５１は、暗号鍵ｋ_{ｔ＋１，ｔ＋１}を暗号鍵記憶領域４１１から取得し、通信部４３１が当該ユーザの情報処理装置３０１に暗号鍵ｋ_{ｔ＋１，ｔ＋１}を送信する（Ｓ２７０４）。
また、世代範囲記憶領域４４１が、当該加入ユーザの許可世代範囲（ｔ＋１世代）を記憶する（Ｓ２７０５）。
また、この後、図２８に示す世代更新処理が行われる（Ｓ２７０６）。

（３）暗号鍵の世代更新
正当な情報処理装置３０１のグループに対し、ユーザの加入・脱退があった際に、暗号鍵の世代更新が必要となる場合がある。
このようなユーザの加入（上記のｔ世代目の秘密情報の検索を認めないユーザの加入）及びユーザの脱退が更新イベントとなる。
更新イベントが発生した場合には、以下のように世代更新を実施する。

ｔ世代目からｔ＋１世代目に更新する場合（ただしｔ＋１≦ｑ）、グループ管理装置４０１の通信部４３１が、（加入ユーザを除く）全ての正当な情報処理装置３０１（所属ユーザが利用している情報処理装置３０１）と通信を行い、各情報処理装置３０１が保持する暗号鍵ｋ_ｓ，ｔを、ｔ＋１世代目の検索も可能である暗号鍵ｋ_{ｓ，ｔ＋１}に更新する。
これは、暗号鍵の安全性が保たれる方式であれば、オフラインで行っても良いし、既存の鍵配送技術を用いてオンラインで行っても良い。
暗号鍵ｋ_{ｓ，ｔ＋１}を受信した情報処理装置３０１は、暗号鍵記憶領域３１１の内容を、新しい世代情報（検索開始世代ｓ，検索終了世代ｔ＋１）と暗号鍵ｋ_{ｓ，ｔ＋１}で置き換える。

なお、グループを脱退した者がいる場合には、当該脱退者には、更新後の最新世代の鍵が配布されない。
このため、脱退者は、脱退前にサーバ装置２０１に登録されている暗号化データには、保持している暗号鍵を用いてアクセスすることができるが、脱退後にサーバ装置２０１に登録された暗号化データには、更新後の暗号鍵を保有していないのでアクセスできない。
なお、以前の暗号化データを含め一切の暗号化データに脱退者がアクセスできないようにすることもできる。

図２８は、以上の（３）暗号鍵の世代更新における動作を説明するフローチャートである。
更新イベントが発生した場合、つまり、ユーザの脱退又は世代更新が必要なユーザの加入があった場合（Ｓ２８０１でＹＥＳ）、暗号鍵配布処理部４５１は、世代範囲記憶領域４４１から各所属ユーザの許可世代範囲を読み出す（Ｓ２８０２）。
そして、暗号鍵配布処理部４５１は、所属ユーザごとに、ｓ世代〜ｔ＋１世代に対応する暗号鍵ｋ_{ｓ，ｔ＋１}を暗号鍵記憶領域４１１から取得する（Ｓ２８０３）。
そして、通信部４３１が各所属ユーザの情報処理装置３０１に暗号鍵ｋ_{ｓ，ｔ＋１}を送信する（Ｓ２８０４）。
なお、Ｓ２８０２で、所属ユーザごとに許可世代範囲を読み出すのは、所属ユーザごとに利用開始世代が異なるからである。
つまり、例えば、あるユーザは、グループ初期から所属しているので１世代目が利用開始世代になっているが、別のユーザは途中からグループに加入したため、３世代目が利用開始世代となっているような場合が生じるからである。

（４）暗号化データの送信・格納
正当な情報処理装置３０１がデータをサーバ装置２０１に送信する場合、後に秘匿検索が行えるよう、キーワードとデータを別々に暗号化したものを送信する。
ｔ世代目における具体的な手順を図２９及び図３０を参照しながら以下に述べる。

まず、情報処理装置３０１は、データに対し、ユニークなデータＩＤを割り当てる（ｉｄ_ｘとする）。
さらに、情報処理装置３０１は、データの暗号化を行う（Ｓ２９０１）。
ここでは、正当な情報処理装置３０１だけが復号できるような、既存の暗号技術（グループ暗号技術）を利用する（暗号化データをｄ_ｘとする）。
暗号化データｄ_ｘに関連付けられる複数のキーワード（ｗ_ｘｊとする）をユーザから入力する（Ｓ２９０２）。
次に、トラップドア生成部３２１が、データに関連付けられた複数のキーワード（ｗ_ｘｊ）に対し、それぞれトラップドアを生成する（Ｓ２９０３）。
具体的には、暗号鍵記憶領域３１１に格納されている暗号鍵ｋ_ｓ，ｔを利用して、各キーワードｗ_ｘｊに対し、トラップドアｔｄ_ｘｊを以下のように計算する（Ｆ_２ ^ｔ−ｓはＦ_２をｔ−ｓ回適用することを表す。以下においても同様）。
ｋ_ｔ，ｔ＝Ｆ_２ ^ｔ−ｓ（ｋ_ｓ，ｔ）
ｔｄ_ｘｊ＝Ｇ（ｋ_ｔ，ｔ，ｗ_ｘｊ）
その後、暗号化キーワード生成部３２２が、各トラップドアｔｄ_ｘｊに対し、暗号化キーワードｃ_ｘｊを以下のように計算する（Ｓ２９０４）。
ｃ_ｘｊ＝Ｈ（ｉｄ_ｘ，ｔｄ_ｘｊ）
最後に、通信部３３１が、世代、データＩＤ、暗号化データ、暗号化キーワードの組（ｔ，ｉｄ_ｘ，ｄ_ｘ，ｃ_ｘ１，ｃ_ｘ２，．．．）を格納要求としてサーバ装置２０１に送信する（Ｓ２９０５）。

サーバ装置２０１では、通信部２３１が格納要求を受信し（Ｓ３００１）、暗号化データｄ_ｘをデータＩＤと関連付けて暗号化データ記憶領域２１２に格納し、各暗号化キーワードｃ_ｘｊを世代、データＩＤと関連付けて暗号化キーワード記憶領域２１１に格納する（Ｓ３００２）。

（５）暗号化データの検索・取得
正当な情報処理装置３０１は、現在もしくは過去の世代にサーバ装置２０１に格納されたデータに対し、キーワードを指定して秘匿検索を行うことができる。
暗号鍵ｋ_ｓ，ｔを持つ正当な情報処理装置３０１が、ｓ世代目からｔ世代目までの検索を行う具体的な手順を図３１及び図３２を参照しながら以下に述べる。

まず、情報処理装置３０１は、暗号化データの検索指示として、ユーザから検索対象のキーワードｗを入力する（Ｓ３１０１）。
次に、トラップドア生成部３２１が、検索したいキーワードｗに対応するトラップドアを生成する（Ｓ３１０２）。
具体的には、キーワードｗに対し、集約トラップドアｔｄ_ｓ，ｔ（ｓ世代目からｔ世代目までが検索可能なトラップドア）を以下のように計算する。なお、ｋ_ｓ，ｔは、ユーザの検索指示時点での最新世代の暗号鍵である。
ｔｄ_ｓ，ｔ＝Ｇ（ｋ_ｓ，ｔ，ｗ）
集約トラップドアｔｄ_ｓ，ｔ（集約情報）は、世代値ｓとキーワードｗが暗号化されているトラップドアｔｄ_ｓ，ｓから世代値ｔとキーワードｗが暗号化されているトラップドアｔｄ_ｔ，ｔまでのｎ個のトラップドアを集約している。また、各トラップドアｔｄ_ｓ，ｓ〜ｔｄ_ｔ，ｔは、暗号化世代情報に相当する。
次に、通信部３３１が、検索開始世代、検索終了世代、トラップドアの組（ｓ，ｔ，ｔｄ_ｓ，ｔ）を検索要求としてサーバ装置２０１に送信する（Ｓ３１０３）。

サーバ装置２０１では、通信部２３１が検索要求を受信し（Ｓ３２０１）、トラップドア生成部２２１が、ｓ世代目からｔ世代目までのそれぞれに対応するトラップドアｔｄ_ｓ，ｓ〜ｔｄ_ｔ，ｔを以下のように順次計算する（Ｓ３２０２）。
ｔｄ_ｉ，ｉ＝Ｆ_１ ^ｔ−ｉ（Ｆ_２ ^ｉ−ｓ（ｔｄ_ｓ，ｔ）） （ｓ≦ｉ≦ｔ）

その後、比較部２２２が、暗号化キーワード記憶領域２１１を参照し、トラップドアに対応する暗号化キーワードが存在するかを確認する（Ｓ３２０３）。
具体的には、暗号化キーワード記憶領域２１１の各行の世代、データＩＤ、暗号化キーワードの組（ｊ，ｉｄ，ｃ）に対し、以下の等式が成立するかを確認する。
ｃ＝Ｈ（ｉｄ，ｔｄ_ｊ，ｊ）
つまり、比較部２２２は、前述のＳ３２０２で生成されたトラップドアごとに、暗号化キーワード記憶領域２１１のデータＩＤのうち対応付けられている世代値ｊが当該トラップドアの世代値ｊと一致しているデータＩＤを抽出し、抽出したデータＩＤとトラップドアに一方向性関数Ｈを適用して暗号化キーワード候補（Ｈ（ｉｄ，ｔｄ_ｊ，ｊ））を算出し、算出した暗号化キーワード候補（Ｈ（ｉｄ，ｔｄ_ｊ，ｊ））が、暗号化キーワード記憶領域２１１の対応する行の暗号化キーワードｃに一致するか否かの照合を行う。

上記の等式が成立した場合はｃが指定されたキーワードｗに対応する暗号化キーワードとなるため、比較部２２２は、暗号化キーワード記憶領域２１１から対応するデータＩＤ（ｉｄ）を抽出し（Ｓ３２０４）、抽出したデータＩＤ（ｉｄ）をキーに暗号化データ記憶領域２１２を検索して暗号化データｄを取得する（Ｓ３２０５）。
最後に、通信部２３１が情報処理装置３０１に、キーワードｗに対応する暗号化データｄを送信する。
なお、上記の等式が複数成立した場合は全て送信するようにしても、一部を送信するようにしても良い。
上記の等式が暗号化キーワード記憶領域２１１のどの行においても不成立であった場合は、情報処理装置３０１にその旨を送信する。
なお、存在しないキーワードを指定した場合の他、データ検索の要求元が正当なアクセス権限を有しない場合（正しい暗号鍵を有しないので、適切なトラップドアを作成できない）に、上記の等式が暗号化キーワード記憶領域２１１のどの行においても不成立となると考えられる。

暗号化データｄを受信した情報処理装置３０１では、暗号化データｄの復号を行う。
ここでは、正当な情報処理装置３０１だけが復号できるような、既存の暗号技術（グループ暗号技術）を利用する。

ここで、図２１を参照して、具体例を用いて鍵生成手順及び各鍵とトラップドアの関係を説明する。

図２１の例では、０世代目が先頭世代であり、５世代目が最新世代である。
また、実線の矢印が関数Ｆ_１を示し、破線がＦ_２を示し、鎖線が関数Ｇを示している。

グループの初期からグループに所属している所属ユーザには、最新世代が５世代目であるときには、最新世代の暗号鍵として暗号鍵ｋ_０，５が配布されている。
暗号鍵ｋ_０，５からは、関数Ｆ_１及び関数Ｆ_２の実行により全世代の暗号鍵ｋ_０，０〜ｋ_５，５が導出可能であり、また、暗号鍵ｋ_０，０〜ｋ_５，５の各々から関数Ｇよりトラップドアｔｄ_０，０〜ｔｄ_５，５が導出可能である。
このため、グループの初期からグループに所属している所属ユーザの情報処理装置３０１では、暗号鍵ｋ_０，５からトラップドアｔｄ_０，０〜ｔｄ_５，５が集約されている集約トラップドアｔｄ_０，５を生成することができる。
また、サーバ装置２０１では、集約トラップドアｔｄ_０，５からトラップドアｔｄ_０，０〜ｔｄ_５，５の各々を導出することができ、検索要求元のユーザが暗号鍵ｋ_０，５を所持していることを検証することができる。
この結果、サーバ装置２０１では、暗号鍵に設定されている許可世代範囲である０世代目〜５世代目の範囲内で暗号化データを検索する。

一方、暗号鍵が２度更新された後にグループに加入したユーザ（加入時に配布される暗号鍵が暗号鍵ｋ_２，２）には、最新世代が５世代目であるときには、最新世代の暗号鍵として暗号鍵ｋ_２，５が配布されている。
暗号鍵ｋ_２，５からは、関数Ｆ_１及び関数Ｆ_２の実行により暗号鍵ｋ_２，２〜ｋ_５，５のみ導出可能であり、また、暗号鍵ｋ_２，２〜ｋ_５，５の各々から関数Ｇよりトラップドア暗号鍵ｔｄ_２，２〜ｔｄ_５，５が導出可能である。
このため、途中からグループに加入した所属ユーザの情報処理装置３０１では、暗号鍵ｋ_２，５からトラップドアｔｄ_２，２〜ｔｄ_５，５が集約されている集約トラップドアｔｄ_２，５のみが生成可能である。
また、サーバ装置２０１では、集約トラップドアｔｄ_２，５からトラップドアｔｄ_２，２〜ｔｄ_５，５の各々を導出することができ、検索要求元のユーザが暗号鍵ｋ_２，５を所持していることを検証することができる。
この結果、サーバ装置２０１では、暗号鍵に設定されている許可世代範囲である２世代目〜５世代目の範囲内で暗号化データを検索する。

なお、サーバ装置２０１が受信したトラップドアｔｄ_ｓ，ｔから生成したｉ世代目のトラップドアｔｄ_ｉ，ｉと、情報処理装置３０１が暗号化データ送信の際に、暗号鍵ｋ_ｉ，ｉから生成したトラップドアが一致し、本秘匿検索システムが正常に機能することは、例えば以下のように確認される。
サーバ装置２０１がトラップドアｔｄ_ｓ，ｔから生成したｉ世代目のトラップドアｔｄ_ｉ，ｉは、
ｔｄ_ｉ，ｉ＝Ｆ_１ ^ｔ−ｉ（Ｆ_２ ^ｉ−ｓ（ｔｄ_ｓ，ｔ））
＝Ｆ_１ ^ｔ−ｉ（Ｆ_２ ^ｉ−ｓ（Ｇ（ｋ_ｓ，ｔ，ｗ）））
＝Ｆ_１ ^ｔ−ｉ（Ｇ（Ｆ_２ ^ｉ−ｓ（ｋ_ｓ，ｔ），ｗ））
＝Ｇ（Ｆ_１ ^ｔ−ｉ（Ｆ_２ ^ｉ−ｓ（ｋ_ｓ，ｔ）），ｗ）
＝Ｇ（ｋ_ｉ，ｉ，ｗ）
となり、これは情報処理装置３０１がｉ世代目に生成するトラップドアと一致する。

また、システムの安全性、すなわちサーバ装置２０１がトラップドアや暗号化キーワードからキーワードを類推できないことや、ある期間の暗号鍵を持つ情報処理装置３０１が期間外の暗号鍵を類推できず、検索も行えないことは、Ｆ_１，Ｆ_２，Ｈの一方向性、Ｇの入力推定困難性に基づいている。
特に、本実施の形態にて示した具体例においては、ＲＳＡ（登録商標）暗号の安全性に基づいている。

以上によって、情報処理装置３０１がデータ・キーワードをサーバ装置２０１に対して秘匿したまま検索できる秘匿検索システムが実現できる。
サーバ装置２０１が、受信したトラップドアから検索期間に対応する全てのトラップドアを生成できるため、検索時に情報処理装置３０１が送信すべきトラップドアが削減でき、情報処理装置３０１の計算量や通信量の削減を達成できる。
また、加入ユーザに対して検索可能期間を設定するという、柔軟性も達成している。

なお、本実施の形態では、キーワードｗをそのまま関数Ｇへの入力としているが、一方向性関数を適用するなどして、適当に変換したものを関数Ｇへの入力としても良い。

また、本実施の形態では、検索結果として暗号化データを返すために暗号化データ記憶領域２１２を利用しているが、暗号化データを返す必要がない場合、サーバ装置２０１が暗号化データ記憶領域２１２を持たなくても良い。
例えば、暗号化データは別の装置が保持し、そこへのアクセスを可能とするためにデータＩＤだけを返すようにしても良い。

また、本実施の形態では、異なるデータに関連付けられた同一のキーワードが別の暗号化キーワードとなるようにするため、暗号化キーワードをｃ＝Ｈ（ｉｄ，ｔｄ）のように生成しているが、この区別をつける必要がない場合、本処理を省略し、トラップドアを暗号化キーワードとして使うことも可能である。
この場合、検索時にサーバ装置２０１がｉｄごとにＨを適用する必要がなくなり、検索を高速化することができる。

また、本実施の形態では、グループ管理装置４０１が初期設定の際に、全ての暗号鍵ｋ_１，１〜ｋ_ｑ，ｑを生成し、暗号鍵記憶領域４１１に格納しているが、ｋ_１，ｑのみを格納し、その他の暗号鍵は必要なときに随時導出するようにしても良い。

また、本実施の形態では、グループ管理装置４０１が初期設定の際に、全ての暗号鍵ｋ_１，１〜ｋ_ｑ，ｑを生成し、暗号鍵記憶領域４１１に格納しているが、Ｎの素因数分解ｐ_１×ｐ_２を知るグループ管理装置４０１はＦ_１およびＦ_２の逆関数を計算できるため、暗号鍵記憶領域４１１には最新の暗号鍵（例えばｔ世代目ではｋ_１，ｔ）のみを格納し、世代更新のたびに次の暗号鍵（例えばｋ_{１，ｔ＋１}）を導出するようにしても良い。
この場合、世代数の最大値（ｑ）という制限を設けることなく秘匿検索システムを運用することが可能となる。
つまり、グループ管理装置４０１は、予め、第１世代のみを許可世代範囲とする鍵ｋ_１，１を初期鍵として生成し、鍵発行時に、ユーザごとに、利用開始世代から鍵発行時における最新世代までの世代範囲に対応させて暗号鍵を生成するようにしてもよい。
この場合は、初期鍵又は初期鍵から派生する鍵を生成元鍵とし、生成元鍵に関数Ｆ_１（第１の関数）を適用して許可世代範囲の開始世代が生成元鍵の開始世代と共通し終了世代が生成元鍵の終了世代の１つ後の世代となる新たな鍵を生成する。この場合は、生成元鍵は、終了世代が生成対象の鍵の１世代前の鍵である。
または、生成元鍵にＦ_２（第２の関数）を適用して許可世代範囲の終了世代が生成元鍵の終了世代と共通し開始世代が前記生成元鍵の開始世代の１つ後の世代となる新たな鍵を生成するようにしてもよい。この場合は、生成元鍵は、開始世代が生成対象の鍵の１世代前の鍵である。

また、本実施の形態では、情報処理装置３０１が暗号化データを送信する際に、トラップドアｔｄ_ｘｊを計算するためにｋ_ｔ，ｔを導出しているが、暗号鍵記憶領域３１１にｋ_ｓ，ｔだけでなくｋ_ｔ，ｔも格納しておくことで、暗号化ごとの計算量を削減することも可能である。

また、本実施の形態では、情報処理装置３０１が暗号化データを検索する際に、暗号鍵記憶領域３１１に格納されている暗号鍵ｋ_ｓ，ｔを利用してトラップドアを作成することで、ｓ世代目からｔ世代目までの検索を行っているが、情報処理装置３０１が検索期間の短い別の暗号鍵ｋ_ｉ，ｊ（ｓ≦ｉ≦ｊ≦ｔ）を導出してトラップドアを作成することで、ｉ世代目からｊ世代目までに限定した検索を行うことも可能である。

また、本実施の形態では、データに複数のキーワードが関連付けられている場合、各キーワードに対し暗号化キーワードを送信し、これらを暗号化キーワード記憶領域２１１の複数行に格納しているが、複数キーワードを効率的に処理するＢｌｏｏｍ Ｆｉｌｔｅｒなどの既存技術と組み合わせて、複数キーワードを１行でまとめて処理できるようにしても良い。

以上、本実施の形態では、
（１）サーバに保存されたデータを、ユーザがキーワードを指定して検索でき、かつその際にデータ・キーワードをサーバに対して秘匿する秘匿検索システムで、検索の際に利用する秘密情報を世代ごとに更新するシステムにおいて、データ保存・検索時にユーザがサーバに送信するトラップドアを、サーバが最新のトラップドアから過去のトラップドアを導出できるようなものにすることで、検索時にユーザが送信すべきトラップドアの数を削減し、結果として計算量や通信量を削減する方式を説明した。

また、本実施の形態では、
（２）上記（１）において、関数Ｆ_１，Ｆ_２，Ｇを利用することで、加入ユーザの検索権限を柔軟に設定できる方式を説明した。

また、本実施の形態では、
（３）上記（２）において、ＲＳＡ（登録商標）暗号の安全性をベースとする方式を説明した。

実施の形態２．
本実施の形態では、加入ユーザに加入前の情報を検索させないという目的を、実施の形態１で述べたものと異なる手段で達成する方式について述べる。

まず、本実施の形態に係る装置構成等の詳細を説明する前に、本実施の形態の動作概要を説明する。
図２２及び図２３は、本実施の形態の動作概要を説明する図である。

まず、図２２を用いて鍵の生成手順、更新手順及び暗号化データの格納手順を概説する。
図２２において、αはいずれのユーザ及び情報処理装置１００１（本実施の形態では、情報処理装置１００１と表記する）に対しても秘密にしている秘密パラメータである。
秘密パラメータαは、グループ管理装置４０１からサーバ装置９０１（本実施の形態では、サーバ装置９０１と表記する）に通知される。
ｗは、ユーザが指定するキーワードである。
関数Ｆは、ある世代の暗号鍵から１つ前の世代の暗号鍵又はある世代のトラップドアから１つ前の世代のトラップドアを生成するための関数である。
関数Ｇは、暗号鍵からトラップドアを生成するための関数である。

グループ管理装置４０１では、最終世代の鍵ｋ_Ｍを生成するとともに、当該鍵ｋ_Ｍに関数Ｆを適用して１世代前の鍵ｋ_Ｍ−１を生成し、以降、新たに生成された鍵に関数Ｆを適用し、先頭世代の鍵である鍵ｋ_０を生成する。なお、関数Ｆには、αべき乗の演算が含まれる。
グループ管理装置４０１は、まず、鍵ｋ_０をグループの初期からグループに所属している所属ユーザの情報処理装置１００１に送信する。
更新イベントが発生し、鍵ｋ_ｉから鍵の世代を更新する場合は、グループ管理装置４０１は、次の世代の鍵ｋ_ｉ＋１を送信する。
情報処理装置１００１では、鍵の更新がある度に、それまで保持している鍵に、新たな鍵を合成して合成鍵を生成する。具体的には、鍵の積算を行う。
例えば、新たな鍵として鍵ｋ_３が配布された場合は、情報処理装置１００１は、その時点での最新世代の鍵としてｋ_２を保持し、また、ｋ_０、ｋ_１、ｋ_２の積であるｋ_０ｋ_１ｋ_２を保持している。
このため、情報処理装置１００１は、最新世代の鍵をｋ_３に置換するとともに、保持している鍵の積に新たな鍵ｋ_３を加えて、鍵ｋ_０ｋ_１ｋ_２ｋ_３に更新する。
また、各世代の鍵ｋ_ｉに対して関数Ｇを適用すると、トラップドアｔｄ_ｉが生成できる。
なお、関数Ｇには、ｗべき乗の演算が含まれている。

暗号化データの格納の際には、情報処理装置１００１において、ユーザから格納指示があった時点での最新世代の鍵とキーワードｗに対して関数Ｇを適用してトラップドアを生成する。
更に、トラップドアと暗号化データのデータＩＤに対して一方向性演算を行って暗号化キーワードを生成する。
そして、情報処理装置１００１は、暗号化データ、暗号化キーワード、最新世代の鍵の世代値、データＩＤをサーバ装置９０１に送信し、サーバ装置９０１はこれらを対応付けて格納する。

次に、図２３を用いて、暗号化データの検索手順を説明する。
ここでは、最新世代の鍵ｋ_３を保有し、鍵の積ｋ_０ｋ_１ｋ_２ｋ_３を保有しているユーザが暗号化データを検索する場合を例にして説明する。
情報処理装置では、最新世代の鍵ｋ_３とキーワードｗに対して関数Ｇを適用してトラップドアｔｄ_３を生成する。
また、情報処理装置１００１は、鍵の積ｋ_０ｋ_１ｋ_２ｋ_３とキーワードｗに関数Ｇを適用して鍵の積に対応するトラップドアを生成する。ここでは、鍵ｋ_０〜ｋ_３に対応するトラップドアなのでｔｄ_０，３と表記する。
情報処理装置１００１は、２つのトラップドアｔｄ_３とｔｄ_０，３をサーバ装置９０１に送信する。
なお、トラップドアｔｄ_３は暗号化最新世代情報に相当し、トラップドアｔｄ_０，３は、トラップドアｔｄ_０〜ｔｄ_３を集約した情報であるため、集約情報に相当する。
また、トラップドアｔｄ_０，３は、サーバ装置９０１において、情報処理装置１００１が鍵ｋ_０〜ｋ_３の保持実績があるか否か、すなわち、第０世代〜第３世代に対応する暗号化データにアクセスする権限があるか否かを検証するためのトラップドアであり、検証用トラップドアという。

サーバ装置９０１では、トラップドアｔｄ_３に、秘密パラメータαが含まれる関数Ｆを用いて、トラップドアｔｄ_２を導出し、更に、トラップドアｔｄ_２に関数Ｆを適用してトラップドアｔｄ_１を導出し、最終的にトラップドアｔｄ_０〜ｔｄ_２を導出する。
更に、サーバ装置９０１は、導出したトラップドアｔｄ_０〜ｔｄ_２と情報処理装置１００１から受信したトラップドアｔｄ_３の積が_、トラップドアｔｄ_０，３と一致するか否かを検証する。
一致する場合は、サーバ装置９０１は、情報処理装置１００１が鍵ｋ_０〜ｋ_３の保持実績がある、すなわち、第０世代〜第３世代に対応する暗号化データにアクセスする権限があると判断し、第０世代〜第３世代の範囲で暗号化データの検索を行う。

本実施の形態に係る方式の概要は以上であり、以下では、本実施の形態に係る方式を詳細に説明する。

秘匿検索システムの構成例は実施の形態１で述べたものと同様である。

図９は、本秘匿検索システム（図１）において、データ・キーワードを保持し、検索を行うサーバ装置９０１の構成例を表すブロック図である。
図９において、暗号化キーワード記憶領域２１１、暗号化データ記憶領域２１２、トラップドア生成部２２１、比較部２２２、通信部２３１に関しては、実施の形態１にて記述したものと同様であるため、説明は省略する。
関数パラメータ記憶領域９１３は、過去のトラップドア導出に必要な秘密パラメータを記憶するデータ記憶手段である。
ここには、グループ管理装置４０１から受信した単一の値が格納される。
トラップドア検証部９２３は、情報処理装置１００１から受信したトラップドアが、正当な検索権限を持った情報処理装置１００１が生成したものであるかを検証する手段である。

図１０は、本秘匿検索システム（図１）において、サーバ装置９０１への暗号化データの登録・サーバ装置９０１からの暗号化データの検索を行う情報処理装置１００１の構成例を表すブロック図である。
図１０において、トラップドア生成部３２１、暗号化キーワード生成部３２２、通信部３３１に関しては、実施の形態１にて記述したものと同様であるため、説明は省略する。
暗号鍵記憶領域３１１は、データの暗号化・検索に用いる秘密情報を記憶するデータ記憶手段である。
図１１は暗号鍵記憶領域３１１が記憶するデータの一例を表す。
図１１の例において、検証用暗号鍵ｋ_１，３は、１世代目から３世代目までの秘密情報を検索する権限があることを、サーバ装置９０１に対して証明するための秘密情報である。
検証用トラップドア生成部１０２３は、情報処理装置１００１が、ある期間についての秘密情報を検索する権限があることを、サーバ装置９０１に対して証明するための検証用トラップドアを生成する手段である。

また、本実施の形態に係るグループ管理装置４０１の構成例は、実施の形態１で述べた図４から世代範囲記憶領域４４１を除いたものに相当する。
なお、本実施の形態に係るグループ管理装置４０１の構成例の図示は省略している。

図４において、暗号鍵生成部４２１、通信部４３１及び暗号鍵配布処理部４５１に関しては、実施の形態１にて記述したものと同様であるため、説明は省略する。
暗号鍵記憶領域４１１は、情報処理装置１００１が利用する暗号鍵を記憶するデータ記憶手段である。
図１３は暗号鍵記憶領域４１１が記憶するデータの一例を表す。

本実施の形態においても、本秘匿検索システムにおける手続きは、実施の形態１にて記述した五つの手続きに大別される。
以下、それぞれの手続きについて説明する。

（１）グループ管理装置の初期設定
グループ管理装置４０１は、パラメータｑ、および可換な二つの関数Ｆ（ｘ，ｙ），Ｇ（ｘ，ｙ）を決定し、公開情報とする。
ここで、ＦとしてはｘとＦ（ｘ，ｙ）からｙを推定することが困難な関数を選び、またＧとしては、関数の出力から実際の入力を推定することが困難であり、かつｘに関して準同型性を持つ関数を選ぶ。
また、ＦとＧの可換性とは、Ｆ（Ｇ（ｘ，ｙ），ｚ）＝Ｇ（Ｆ（ｘ，ｚ），ｙ）を意味するものとする。
ｑは世代数の最大値（最終世代）であり、世代の更新頻度やシステムの運用期間から適切に設定する。
また、関数Ｆのパラメータとなる秘密パラメータαを決定する。
さらに、適当な一方向性関数Ｈを選択し、公開情報とする。
本実施の形態では、Ｆ，Ｇの具体例として、以下に基づき決定したものを利用する。
ｐとして十分大きな素数を選び、Ｆ，Ｇを以下で定める。
Ｆ（ｘ，ｙ）＝ｘ^ｙ ｍｏｄ ｐ
Ｇ（ｘ，ｙ）＝ｘ^ｙ ｍｏｄ ｐ
このとき、Ｇは以下の準同型性を持つ。
Ｇ（ｘ_１ｘ_２，ｙ）＝Ｇ（ｘ_１，ｙ）Ｇ（ｘ_２，ｙ）
また、αを巡回群Ｚ_ｐ ^＊から、ｐ−１と互いに素となるようランダムに選択する。

次に、暗号鍵生成部４２１による鍵生成動作の詳細を図３３のフローチャートを参照しながら説明する。
暗号鍵生成部４２１は、情報処理装置１００１が利用する暗号鍵ｋ_ｉ（１≦ｉ≦ｑ）を生成する。

まず、暗号鍵生成部４２１は、暗号鍵ｋ_ｑ（最終世代の鍵）を、巡回群Ｚ_ｐ ^＊の生成元からランダムに選択する（Ｓ３３０１）。
そして、初期鍵である暗号鍵ｋ_ｑに対して所定の鍵生成関数を適用して、新たな暗号鍵を生成し、以降、生成済みの鍵に鍵生成関数を適用して、各鍵間に連続性を持たせながら、生成済みの鍵とは別の世代の鍵を生成する。
具体的には、暗号鍵ｋ_ｑ以外の暗号鍵ｋ_ｉ（１≦ｉ＜ｑ）を、以下の式に従って順次計算する（Ｓ３３０２）。
ｋ_ｉ−１＝Ｆ（ｋ_ｉ，α）

このように、暗号鍵生成部４２１は、初期鍵である暗号鍵ｋ_ｑと秘密パラメータαに対して鍵生成関数Ｆを適用して、最終世代の１つ前の世代の新たな暗号鍵ｋ_ｑ−１を生成し、生成した暗号鍵ｋ_ｑ−１と秘密パラメータαに対して鍵生成関数Ｆを適用して更に１つ前の世代の暗号鍵ｋ_ｑ−２を生成し、以降、新たに生成した鍵と秘密パラメータαに対して鍵生成関数Ｆを適用する動作を繰り返して、第１世代から最終世代の暗号鍵ｋ_１〜ｋ_ｑを生成する。

こうして得られた全ての暗号鍵ｋ_１〜ｋ_ｑを、暗号鍵生成部４２１は、暗号鍵記憶領域４１１に格納する（Ｓ３３０３）。
そして、暗号鍵配布処理部４５１が１世代目の暗号鍵ｋ_１を暗号鍵記憶領域４１１から取得し、通信部４３１が、全ての正当な情報処理装置１００１に、１世代目の暗号鍵ｋ_１を送信する（Ｓ３３０４）。
これは、暗号鍵の安全性が保たれる方式であれば、オフラインで行っても良いし、既存の鍵配送技術を用いてオンラインで行っても良い。
暗号鍵ｋ_１を受信した情報処理装置１００１は、この暗号鍵ｋ_１を、世代とともに暗号鍵記憶領域３１１に格納する。
また、検索開始世代（利用開始世代）として１を、検証用暗号鍵ｋ_１，１として暗号鍵ｋ_１と同じ値を格納する（図１２）。
最後に、通信部４３１が、サーバ装置９０１に、秘密パラメータαを送信する（Ｓ３３０５）。
これは、安全性が保たれる方式であれば、オフラインで行っても良いし、既存技術を用いてオンラインで行っても良い。
秘密パラメータαを受信したサーバ装置９０１は、この秘密パラメータαを、関数パラメータ記憶領域９１３に格納する。

（２）加入ユーザへの暗号鍵配布
ｔ世代目においてユーザの加入があった際、加入した情報処理装置１００１に対して暗号鍵を配布する。
加入ユーザに対して、ｔ世代目を含めた、ｓ世代目からｔ世代目まで（ｓ≦ｔ）の秘密情報の検索を許す場合、グループ管理装置４０１の通信部４３１が、加入した情報処理装置１００１に、暗号鍵ｋ_ｔ、以下で導出される検証用暗号鍵ｋ_ｓ，ｔ、および世代情報ｓ，ｔを送信する。なお、以下の式は、鍵の（巡回群における）積を表している。
ｋ_ｓ，ｔ＝ｋ_ｓｋ_ｓ＋１…ｋ_ｔ
これは、暗号鍵の安全性が保たれる方式であれば、オフラインで行っても良いし、既存の鍵配送技術を用いてオンラインで行っても良い。
これらを受信した情報処理装置１００１は、暗号鍵記憶領域３１１に、世代としてｔを、暗号鍵としてｋ_ｔを、検索開始世代としてｓを、検証用暗号鍵としてｋ_ｓ，ｔを格納する。
この場合、次で述べる「（３）暗号鍵の世代更新」の処理は不要である（行っても良い）。
一方、加入ユーザに対して、ｔ世代目の秘密情報の検索を許さない場合、グループ管理装置４０１の通信部４３１が、加入した情報処理装置１００１に、暗号鍵および検証用暗号鍵としてｋ_ｔ＋１を、世代および検索開始世代としてｔ＋１を送信する。
これは、暗号鍵の安全性が保たれる方式であれば、オフラインで行っても良いし、既存の鍵配送技術を用いてオンラインで行っても良い。
これらを受信した情報処理装置１００１は、暗号鍵記憶領域３１１に、世代としてｔ＋１を、暗号鍵としてｋ_ｔ＋１を、検索開始世代としてｔ＋１を、検証用暗号鍵ｋ_{ｔ＋１，ｔ＋１}としてｋ_ｔ＋１を格納する。
その後、ｔ世代目からｔ＋１世代目に更新するために、次で述べる「（３）暗号鍵の世代更新」の処理が実行される。

図３４は、以上の（２）加入ユーザへの暗号鍵配布における動作を示すフローチャートである。
暗号鍵配布処理部４５１は、例えば、グループ管理装置４０１のオペレータからの入力に基づき、新たに加入する加入ユーザに許容される世代範囲を判断する（Ｓ３４０１）。
加入ユーザにｓ世代〜ｔ世代が認められる場合は、暗号鍵配布処理部４５１は、暗号鍵ｋ_ｓ〜暗号鍵ｋ_ｔを暗号鍵記憶領域４１１から取得し、取得した暗号鍵ｋ_ｓ〜暗号鍵ｋ_ｔを積算して検証用暗号鍵ｋ_ｓ，ｔを生成し、暗号鍵ｋ_ｔ、検証用暗号鍵ｋ_ｓ，ｔ、世代情報（ｓ、ｔ）を通信部４３１が当該ユーザの情報処理装置３０１に送信する（Ｓ３４０２）。
一方、Ｓ３４０１の判断において、新規に加入するユーザにｔ世代が許可されない場合は、暗号鍵配布処理部４５１は、暗号鍵ｋ_ｔ＋１を暗号鍵記憶領域４１１から取得し、通信部４３１が当該ユーザの情報処理装置３０１に暗号鍵ｋ_ｔ＋１と世代情報（ｔ＋１）を送信する（Ｓ３４０３）。
また、この後、図３５に示す世代更新処理が行われる（Ｓ３４０４）。

（３）暗号鍵の世代更新
正当な情報処理装置１００１のグループに対し、ユーザの加入・脱退があった際に、暗号鍵の世代更新が必要となる場合がある。
このようなユーザの加入（上記のｔ世代目の秘密情報の検索を認めないユーザの加入）及びユーザの脱退が更新イベントとなる。
更新イベントが発生した場合には、以下のように世代更新を実施する。

ｔ世代目からｔ＋１世代目に更新する場合（ただしｔ＋１≦ｑ）、グループ管理装置４０１の通信部４３１が、（加入ユーザを除く）全ての正当な情報処理装置１００１（所属ユーザが利用している情報処理装置１００１）に、ｔ＋１世代目の暗号鍵ｋ_ｔ＋１を送信する。
これは、暗号鍵の安全性が保たれる方式であれば、オフラインで行っても良いし、既存の鍵配送技術を用いてオンラインで行っても良い。
暗号鍵ｋ_ｔ＋１を受信した情報処理装置１００１は、暗号鍵記憶領域３１１の内容のうち、世代をｔ＋１に、暗号鍵をｋ_ｔ＋１に、検証用暗号鍵ｋ_ｓ，ｔを以下で導出されるｋ_{ｓ，ｔ＋１}に置き換える。
ｋ_{ｓ，ｔ＋１}＝ｋ_ｓ，ｔｋ_ｔ＋１（＝ｋ_ｓｋ_ｓ＋１…ｋ_ｔｋ_ｔ＋１）

なお、グループを脱退した者がいる場合には、当該脱退者には、更新後の最新世代の鍵が配布されない。
このため、脱退者は、脱退前にサーバ装置９０１に登録されている暗号化データには、保持している暗号鍵を用いてアクセスすることができるが、脱退後にサーバ装置９０１に登録された暗号化データには、更新後の暗号鍵を保有していないのでアクセスできない。
なお、以前の暗号化データを含め一切の暗号化データに脱退者がアクセスできないようにすることもできる。

図３５は、以上の（３）暗号鍵の世代更新における動作を説明するフローチャートである。
更新イベントが発生した場合、つまり、ユーザの脱退又は世代更新が必要なユーザの加入があった場合（Ｓ３５０１でＹＥＳ）、暗号鍵配布処理部４５１は、ｔ＋１世代に対応する暗号鍵ｋ_ｔ＋１を暗号鍵記憶領域４１１から取得する（Ｓ３５０２）。
そして、通信部４３１が各所属ユーザの情報処理装置３０１に暗号鍵ｋ_ｔ＋１を送信する（Ｓ３５０３）。

（４）暗号化データの送信・格納
正当な情報処理装置１００１がデータをサーバ装置９０１に送信する場合、後に秘匿検索が行えるよう、キーワードとデータを別々に暗号化したものを送信する。
ｔ世代目における具体的な手順を以下に述べる。
なお、動作のフローチャートは、図２９及び図３０と同様である。

まず、情報処理装置１００１は、データに対し、ユニークなデータＩＤを割り当てる（ｉｄ_ｘとする）。
さらに、情報処理装置１００１は、データの暗号化を行う。
ここでは、正当な情報処理装置１００１だけが復号できるような、既存の暗号技術（グループ暗号技術）を利用する（暗号化データをｄ_ｘとする）。
次に、トラップドア生成部３２１が、データに関連付けられた複数のキーワード（ｗ_ｘｊとする）に対し、それぞれトラップドアを生成する。
具体的には、暗号鍵記憶領域３１１に格納されている暗号鍵ｋ_ｔを利用して、各キーワードｗ_ｘｊに対し、トラップドアｔｄ_ｘｊを以下のように計算する。
ｔｄ_ｘｊ＝Ｇ（ｋ_ｔ，ｗ_ｘｊ）
その後、暗号化キーワード生成部３２２が、各トラップドアｔｄ_ｘｊに対し、暗号化キーワードｃ_ｘｊを以下のように計算する。
ｃ_ｘｊ＝Ｈ（ｉｄ_ｘ，ｔｄ_ｘｊ）
最後に、通信部３３１が、世代、データＩＤ、暗号化データ、暗号化キーワードの組（ｔ，ｉｄ_ｘ，ｄ_ｘ，ｃ_ｘ１，ｃ_ｘ２，．．．）をサーバ装置９０１に送信する。

これらを受信したサーバ装置９０１は、暗号化データｄ_ｘをデータＩＤと関連付けて暗号化データ記憶領域２１２に格納し、各暗号化キーワードｃ_ｘｊを世代、データＩＤと関連付けて暗号化キーワード記憶領域２１１に格納する。

（５）暗号化データの検索・取得
正当な情報処理装置１００１は、現在もしくは過去の世代にサーバ装置９０１に格納されたデータに対し、キーワードを指定して秘匿検索を行うことができる。
暗号鍵ｋ_ｔ、検証用暗号鍵ｋ_ｓ，ｔを持つ正当な情報処理装置１００１が、ｓ世代目からｔ世代目までの検索を行う具体的な手順を図３６及び図３７を参照しながら以下に述べる。

まず、情報処理装置１００１は、暗号化データの検索指示として、ユーザから検索対象のキーワードｗを入力する（Ｓ３６０１）。
次に、トラップドア生成部３２１が、検索したいキーワードｗに対応するトラップドアを生成する（Ｓ３６０２）。
具体的には、キーワードｗに対し、トラップドアｔｄ_ｔを以下のように計算する。
なお、ｋ_ｔは、ユーザの検索指示時点での最新世代の暗号鍵である。
ｔｄ_ｔ＝Ｇ（ｋ_ｔ，ｗ）
このトラップドアｔｄ_ｔは、暗号化最新世代情報に相当する。
さらに、情報処理装置１００１の検証用トラップドア生成部１０２３が、ｓ世代目からｔ世代目までを検索する権限があることをサーバ装置９０１に対して証明するための検証用トラップドアｔｄ_ｓ，ｔを以下のように計算する（Ｓ３６０３）。
なお、ｋ_ｓ，ｔは、鍵ｋ_ｓ〜鍵ｋ_ｔの積である。
ｔｄ_ｓ，ｔ＝Ｇ（ｋ_ｓ，ｔ，ｗ）
次に、通信部３３１が、検索開始世代（ｓ）、検索終了世代（ｔ）、トラップドア、検証用トラップドアの組（ｓ，ｔ，ｔｄ_ｔ，ｔｄ_ｓ，ｔ）をサーバ装置９０１に送信する（Ｓ３６０４）。

サーバ装置９０１では、通信部２３１が検索要求を受信し（Ｓ３７０１）、トラップドア生成部２２１が、ｓ世代目からｔ−１世代目までのそれぞれに対応するトラップドアｔｄ_ｓ〜ｔｄ_ｔ−１を以下のように順次計算する（Ｓ３７０２）。
ｔｄ_ｉ−１＝Ｆ（ｔｄ_ｉ，α） （ｓ＜ｉ≦ｔ）
そして、トラップドア検証部９２３が、導出したトラップドアｔｄ_ｓ〜ｔｄ_ｔと、受信した検証用トラップドアｔｄ_ｓ，ｔの整合性を確認する（Ｓ３７０３）。
具体的には、以下の等式が成立するか否かを確認する。
ｔｄ_ｓｔｄ_ｓ＋１…ｔｄ_ｔ＝ｔｄ_ｓ，ｔ

この等式が成立しなかった場合（Ｓ３７０４でＮＯ）、情報処理装置１００１に正当な検索権限がないとみなし、処理を終了する。
等式が成立した場合（Ｓ３７０４でＹＥＳ）、実際の検索処理を実行する（Ｓ３７０５、Ｓ３７０６）。
すなわち、比較部２２２が、暗号化キーワード記憶領域２１１を参照し、トラップドアに対応する暗号化キーワードが存在するかを確認する。
具体的には、暗号化キーワード記憶領域２１１の各行の世代、データＩＤ、暗号化キーワードの組（ｊ，ｉｄ，ｃ）に対し、以下の等式が成立するかを確認する。
ｃ＝Ｈ（ｉｄ，ｔｄ_ｊ）
成立した場合はｃが指定されたキーワードｗに対応する暗号化キーワードとなるため、暗号化データ記憶領域２１２を参照してｉｄから暗号化データｄを取得する（Ｓ３７０７）。
そして、通信部２３１が情報処理装置１００１に、キーワードｗに対応する暗号化データｄを送信する（Ｓ３７０８）。
等式が複数成立した場合は全て送信するようにしても、一部を送信するようにしても良い。
上記の等式が暗号化キーワード記憶領域２１１のどの行においても不成立であった場合は、その旨を送信する。

暗号化データｄを受信した情報処理装置１００１は、ｄの復号を行う。
ここでは、正当な情報処理装置１００１だけが復号できるような、既存の暗号技術（グループ暗号技術）を利用する。

なお、サーバ装置９０１が受信したトラップドアｔｄ_ｔから生成したｉ世代目のトラップドアｔｄ_ｉと、情報処理装置１００１が暗号化データ送信の際に、暗号鍵ｋ_ｉから生成したトラップドアが一致し、本秘匿検索システムが正常に機能することは、例えば以下のように確認される。
サーバ装置９０１がトラップドアｔｄ_ｔから生成したｉ世代目のトラップドアｔｄ_ｉは、
ｔｄ_ｉ＝Ｆ^ｔ−ｉ（ｔｄ_ｔ，α）
＝Ｆ^ｔ−ｉ（Ｇ（ｋ_ｔ，ｗ），α）
＝Ｇ（Ｆ^ｔ−ｉ（ｋ_ｔ，α），ｗ）
＝Ｇ（ｋ_ｉ，ｗ）
となり、これは情報処理装置１００１がｉ世代目に生成するトラップドアと一致する
（ここで、例えばＦ^２（ｘ，ｙ）はＦ（Ｆ（ｘ，ｙ），ｙ）を表す。以下においても同様）。

さらに、サーバ装置９０１が受信したトラップドアｔｄ_ｔから導出したトラップドアｔｄ_ｓ〜ｔｄ_ｔと、受信した検証用トラップドアｔｄ_ｓ，ｔの間に整合性があり、検索権限の確認が正常に機能することは、例えば以下のように確認される。
ｔｄ_ｉ＝Ｇ（ｋ_ｉ，ｗ）
ｔｄ_ｓｔｄ_ｓ＋１…ｔｄ_ｔ＝Ｇ（ｋ_ｓ，ｗ）Ｇ（ｋ_ｓ＋１，ｗ）…Ｇ（ｋ_ｔ，ｗ）
＝Ｇ（ｋ_ｓｋ_ｓ＋１…ｋ_ｔ，ｗ）
＝Ｇ（ｋ_ｓ，ｔ，ｗ）
＝ｔｄ_ｓ，ｔ

また、システムの安全性、すなわちサーバ装置９０１がトラップドアや暗号化キーワードからキーワードを類推できないことや、ある期間の暗号鍵を持つ情報処理装置１００１が期間外の暗号鍵を類推できず、検索も行えないことは、Ｆ，Ｇの入力推定困難性、Ｈの一方向性に基づいている。
特に、本実施の形態にて示した具体例においては、離散対数問題の安全性に基づいている。

以上によって、情報処理装置１００１がデータ・キーワードをサーバ装置９０１に対して秘匿したまま検索できる秘匿検索システムが実現できる。
サーバ装置９０１が、受信したトラップドアから検索期間に対応する全てのトラップドアを生成できるため、検索時に情報処理装置１００１が送信すべきトラップドアが削減でき、情報処理装置１００１の計算量や通信量の削減を達成できる。また、加入ユーザに対して検索可能期間を設定するという、柔軟性も達成している。

なお、実施の形態１にて記述したバリエーションは、本実施の形態においても同様に適用可能である。
例えば、本実施の形態では、グループ管理装置４０１は、最終世代から第１世代の鍵に遡って全世代の鍵を生成し、全世代の鍵を記憶し、鍵更新タイミングにおいて、記憶している鍵の中から該当する鍵を抽出して、情報処理装置１００１に送信することとしている。
これに代えて、グループ管理装置４０１は、予め、第１世代の鍵を生成し、鍵発行時に、鍵発行時点での最新世代に対応させて、第１世代の鍵又は第１世代の鍵から派生する鍵を生成元鍵とし、生成元鍵と秘密パラメータαに対して鍵生成関数Ｆを適用して、生成元鍵の１つ後の世代の新たな鍵を最新世代の鍵として生成し、生成した最新世代の鍵をユーザに発行するようにしてもよい。

また、本実施の形態では、情報処理装置１００１の暗号鍵記憶領域３１１に記憶する秘密情報を削減するために、秘密情報としては最新世代の暗号鍵と検証用暗号鍵のみを格納しているが、全ての世代の暗号鍵を格納するようにしても良い。
この場合、情報処理装置１００１が検索期間の短い別の検証用暗号鍵ｋ_ｉ，ｊ（ｓ≦ｉ≦ｊ≦ｔ）を導出してトラップドアを作成することで、ｉ世代目からｊ世代目までに限定した検索を行うことも可能である。

以上、本実施の形態では、関数Ｆ，Ｇを利用することで、加入ユーザの検索権限を柔軟に設定できる方式を説明した。
更に、本実施の形態では、巡回群における離散対数問題の安全性をベースとする方式を説明した。

実施の形態３．
本実施の形態では、脱退ユーザとして「異動ユーザ」「退職ユーザ」の、検索権限の異なるユーザが混在する場合に、秘匿検索を実現するという目的を達成する方式について述べる。
なお、本実施の形態において、「異動ユーザ」「退職ユーザ」の用語は以下の意味で用いる。
異動ユーザ：
グループからは脱退し、脱退以降の情報は検索できなくなるが、脱退以前の情報に関しては脱退以前と同じように検索できるユーザ。
つまり、グループから脱退したが脱退前にサーバ装置１４０１（本実施の形態では、サーバ装置１４０１と表記する）に格納された暗号化データに対しては検索が許容されるユーザである。
異動ユーザは、限定ユーザの例である。
退職ユーザ：
グループから脱退し、脱退以前に検索できた情報も含めた全ての情報が検索できなくなる者。
つまり、グループから脱退しサーバ装置１４０１の暗号化データに対する検索が禁止される者である。
退職ユーザは、禁止ユーザの例である。

また、グループに所属しているユーザ（異動ユーザでも、退職ユーザでもないユーザ）は、所属ユーザという。
所属ユーザは、サーバ装置１４０１の暗号化データに対する検索が許容される。
このため、本実施の形態に係るグループ管理装置４０１では、所属ユーザ、異動ユーザ、退職ユーザの３つのユーザカテゴリーが設けられている。
なお、本実施の形態では、説明の簡明化のため、グループに途中から加入する者がない形態（更新イベントはグループからの脱退のみ）を前提に説明を行う。

まず、本実施の形態に係る装置構成等の詳細を説明する前に、本実施の形態の動作概要を説明する。
図２４及び図２５は、本実施の形態の動作概要を説明する図である。

まず、図２４を用いて鍵の生成手順を概説する。
本実施の形態では、暗号鍵はｋ_ｉ，ｊという表記を用いる。値ｉ及びｊは、鍵の世代値を示す。ｉは、退職ユーザが発生した際に値が更新される退職ユーザ対応値（禁止ユーザ対応値）であり、ｊは、異動ユーザが発生した際に値が更新される異動ユーザ対応値（限定ユーザ対応値）である。
例えば、鍵ｋ_２，２は、退職ユーザ対応値が第２世代であり、異動ユーザ対応値が第２世代であり、退職及び異動がそれぞれ２回ずつ発生したことを意味している。
各暗号鍵ｋ_ｉ，ｊには、サーバ装置１４０１においてトラップドアから退職ユーザ対応値ｉ及び異動ユーザ対応値ｊが導出可能なように、退職ユーザ対応値ｉ及び異動ユーザ対応値ｊが設定されている。
関数Ｆ_１は、ある世代の異動ユーザ対応値が設定されている暗号鍵から１つ前の世代の異動ユーザ対応値の暗号鍵又はある世代の異動ユーザ対応値が設定されているトラップドアからの１つ前の世代の異動ユーザ対応値のトラップドアを生成するための関数である。
関数Ｆ_２は、ある世代の退職ユーザ対応値が設定されている暗号鍵から１つ前の世代の退職ユーザ対応値の暗号鍵又はある世代の退職ユーザ対応値が設定されているトラップドアからの１つ前の世代の退職ユーザ対応値のトラップドアを生成するための関数である。
関数Ｆ_１は第１の関数に相当し、関数Ｆ_２は第２の関数に相当する。

グループ管理装置４０１では、最終世代の鍵ｋ_{ｑ１、ｑ２}を生成するとともに、当該鍵ｋ_{ｑ１、ｑ２}に関数Ｆ_１を適用して異動ユーザ対応値が１世代前の鍵ｋ_{ｑ１、ｑ２−１}を生成する。
また、最終世代の鍵ｋ_{ｑ１、ｑ２}に関数Ｆ_２を適用して退職ユーザ対応値が１世代前の鍵ｋ_{ｑ１−１、ｑ２}を生成する。
関数Ｆ１及びＦ２の適用を繰り返して、各鍵間に連続性を持たせながら、退職ユーザ対応値の全世代及び異動ユーザ対応値の全世代が含まれる全ての組み合わせパターンに対応する鍵ｋ_０、０〜ｋ_{ｑ１、ｑ２}を生成し、生成した鍵ｋ_０、０〜ｋ_{ｑ１、ｑ２}を記憶する。
また、グループに所属している所属ユーザの情報処理装置１００１に初回の鍵として鍵ｋ_０、０を送信する。
なお、この時点では、グループからの脱退は発生していない。

また、グループ管理装置４０１は、先頭世代の鍵である鍵ｋ_０、０と、いずれのユーザ及び情報処理装置１００１にも公開されている公開値である特別なキーワードｗ_０を用いて特別な暗号化キーワードｃ_０を生成し、サーバ装置１４０１に特別な暗号化キーワードｃ_０を送信する。サーバ装置１４０１では、特別な暗号化キーワードｃ_０を記憶する。
特別な暗号化キーワードｃ_０は、公開値である特別なキーワードｗ_０と鍵ｋ_０、０を用いているため、鍵ｋ_０、０を保有する正当な情報処理装置１００１であれば_、特別な暗号化キーワードｃ_０を導出可能なトラップドアを生成することができる。
なお、特別な暗号化キーワードｃ_０は、先頭世代暗号値に相当する。

次に、図２５を用いて鍵の更新手順及び暗号化データの検索手順を概説する。
最新世代の鍵が鍵ｋ_０、０であるときに、異動１が発生すると、所属ユーザには、異動ユーザ対応値が更新された新たな鍵ｋ_０、１が配布される。一方、異動１で異動した異動ユーザ１には、新たな鍵は配布されない。
次に、最新世代の鍵が鍵ｋ_０、１であるときに、退職１が発生すると、所属ユーザには、所属ユーザ向け鍵ｋ_１、１が配布される。所属ユーザ向け鍵ｋ_１、１は、退職ユーザ対応値が更新された値となっている。
また、異動１で異動した異動ユーザ１には、異動ユーザ向け鍵ｋ_１、０が配布される。異動ユーザ向け鍵ｋ_１、０は、退職ユーザ対応値が更新された値（１）となり異動ユーザ対応値は当該異動ユーザの異動前の値（０）のままである。
同様に、最新世代の鍵が鍵ｋ_１、１であるときに、異動２が発生すると、所属ユーザには、異動ユーザ対応値が更新された新たな鍵ｋ_１、２が配布される。
異動２で異動した異動ユーザ２には、新たな鍵は配布されない（鍵ｋ_１、１のまま）。
また、異動１で異動した異動ユーザ１にも新たな鍵は配布されない（鍵ｋ_１、０のまま）。
最新世代の鍵が鍵ｋ_１、２であるときに、退職２が発生すると、所属ユーザには、所属ユーザ向け鍵ｋ_２、２が配布される。
鍵ｋ_１、０を保持している異動ユーザ１には異動ユーザ鍵ｋ_２、０が配布され、鍵ｋ_１、１を保持している異動ユーザ２には異動ユーザ鍵ｋ_２、１が配布される。

なお、鍵の更新がある度に、グループ管理装置４０１からサーバ装置１４０１に最新世代の鍵の世代値が通知される。
この例では、異動１の際に、最新世代の世代値として（０，１）が通知され、退職１の際に（１，１）が通知され、異動２の際に（２，１）が通知され、退職２の際に（２，２）が通知される。
サーバ装置１４０１は、都度、通知された世代値を記憶する。

また、暗号化データの格納手順は、実施の形態１と同様であり、情報処理装置１００１は、保持している最新世代の鍵とキーワードに所定の関数Ｇを適用してトラップドアを生成し、また、トラップドアとデータＩＤに所定の関数Ｈを適用して、暗号化キーワードを生成する。
また、情報処理装置１００１は、暗号化データ、データＩＤ、暗号化キーワード、鍵の世代値をサーバ装置１４０１に送信し、サーバ装置１４０１では、これらを対応付けて記憶する。
なお、本実施の形態では、鍵の世代値は、（ｉ，ｊ）のようになる。
ｉは退職ユーザ対応値であり、ｊは異動ユーザ対応値である。

ここで、所属ユーザが鍵ｋ_２、２を保持し、異動ユーザ１が鍵ｋ_２、０を保持し、異動ユーザ２が鍵ｋ_２、１を保持している状況での暗号化データの検索手順を説明する。
所属ユーザが利用している情報処理装置１００１は、最新世代の鍵ｋ_２、２とキーワードｗに対して所定の関数Ｇを適用してトラップドアを生成する。
このトラップドアは、実施の形態１と同様に、鍵ｋ_０、０〜鍵ｋ_２、２に含まれる鍵ｋ_０、０、ｋ_０、１、ｋ_０、２、ｋ_１、０、ｋ_１、１、ｋ_１、２、ｋ_２、０、ｋ_２、１、ｋ_２、２に対応するトラップドアｔｄ_０、０、ｔｄ_０、１、ｔｄ_０、２、ｔｄ_１、０、ｔｄ_１、１、ｔｄ_１、２、ｔｄ_２、０、ｔｄ_２、１、ｔｄ_２、２が集約されている集約トラップドアである。ここでは、集約トラップドアｔｄ_{（２、２）}と表記する。
また、所属ユーザが利用している情報処理装置１００１は、最新世代の鍵ｋ_２、２と特別なキーワードｗ_０に対して所定の関数Ｇを適用して検証用トラップドアｔｄ_ｖを生成する。
検証用トラップドアｔｄ_ｖは、照合用情報に相当する。
また、所属ユーザが利用している情報処理装置１００１は、集約トラップドアｔｄ_{（２、２）}と検証用トラップドアｔｄ_ｖをサーバ装置１４０１に送信する。
サーバ装置１４０１では、検証用トラップドアｔｄ_ｖに対して関数Ｆ_１及びＦ_２を適用して、鍵ｋ_０、０に対応するトラップドアｔｄ_０、０を導出し、導出したトラップドアｔｄ_０、０に対して特別なＩＤであるｉｄ_０を適用し、暗号化キーワードｃ_０が得られるか否かを検証し、検証に成功した場合に、集約トラップドアｔｄ_{（２、２）}を用いた暗号化データの検索を行う。
具体的には、実施の形態１と同様に、集約トラップドアｔｄ_{（２、２）}に関数Ｆ_１及びＦ_２を適用して、トラップドアｔｄ_０、０、ｔｄ_０、１、ｔｄ_０、２、ｔｄ_１、０、ｔｄ_１、１、ｔｄ_１、２、ｔｄ_２、０、ｔｄ_２、１、ｔｄ_２、２を導出し、各トラップドアとインデックス情報との照合により当該ユーザに許可されている（０，０）〜（２，２）の世代範囲内で暗号化データを検索する。

異動ユーザ１が利用している情報処理装置１００１は、保持している鍵ｋ_２、０とキーワードｗに対して所定の関数Ｇを適用してトラップドアを生成する。
このトラップドアは、実施の形態１と同様に、鍵ｋ_０、０〜鍵ｋ_２、０に含まれる鍵ｋ_０、０、ｋ_１、０、ｋ_２、０に対応するトラップドアｔｄ_０、０、ｔｄ_１、０、ｔｄ_２、０が集約されている集約トラップドアである。ここでは、集約トラップドアｔｄ_{（２、０）}と表記する。
また、異動ユーザ１が利用している情報処理装置１００１は、最新世代の鍵ｋ_２、０と特別なキーワードｗ_０に対して所定の関数Ｇを適用して検証用トラップドアｔｄ_ｖを生成する。
また、異動ユーザ１が利用している情報処理装置１００１は、集約トラップドア_{（２、０）}と検証用トラップドアｔｄ_ｖをサーバ装置１４０１に送信する。
サーバ装置１４０１では、検証用トラップドアｔｄ_ｖに対して関数Ｆ_１及びＦ_２を適用して、鍵ｋ_０、０に対応するトラップドアｔｄ_０、０を導出し、導出したトラップドアｔｄ_０、０に対して特別なＩＤであるｉｄ_０を適用し、暗号化キーワードｃ_０が得られるか否かを検証し、検証に成功した場合に、集約トラップドアｔｄ_{（２、０）}を用いた暗号化データの検索を行う。
具体的には、実施の形態１と同様に、集約トラップドアｔｄ_{（２、０）}に関数Ｆ_１及びＦ_２を適用して、トラップドアｔｄ_０、０、ｔｄ_１、０、ｔｄ_２、０を導出し、各トラップドアとインデックス情報との照合により当該ユーザに許可されている（０，０）、（１，０）、（２，０）の世代範囲内で暗号化データを検索する。
また、異動ユーザ２の場合も、使用する鍵の世代、トラップドアの種類・個数が異なるのみであり、異動ユーザ１の場合と同様である。
異動ユーザ２の場合は、（０，０）、（１，０）、（２，０）、（０，１）、（１，１）、（２，１）の世代範囲内で暗号化データが検索される。

このように、本実施の形態では、鍵ｋ_ｉ，ｊに関して、最新の鍵ｋ_２，ｊを持つユーザのみが、ｊの範囲内でｉ＝０〜２の世代範囲に合致する暗号化データの検索が可能である。

本実施の形態に係る方式の概要は以上であり、以下では、本実施の形態に係る方式を詳細に説明する。

秘匿検索システムの構成例は実施の形態１で述べたものと同様である。

図１４は、本秘匿検索システム（図１）において、データ・キーワードを保持し、検索を行うサーバ装置１４０１の構成例を表すブロック図である。
図１４において、暗号化データ記憶領域２１２、トラップドア生成部２２１、比較部２２２、トラップドア検証部９２３、通信部２３１に関しては、実施の形態１および２にて記述したものと同様であるため、説明は省略する。
暗号化キーワード記憶領域２１１は、暗号化されたキーワードを、対応するデータＩＤ、および世代と関連付けて記憶するデータ記憶手段である。
図１５は暗号化キーワード記憶領域２１１が記憶するデータの一例を表す。
図１５において、データＩＤ、および暗号化キーワードｉｄ_０，ｃ_０は、情報処理装置１００１の検索権限を検証するための特別な情報である。
世代遷移記憶領域１４１３は、二次元で管理された世代情報の遷移を記憶するデータ記憶手段である。
図１６は世代遷移記憶領域１４１３が記憶するデータの一例を表す。

情報処理装置の構成例は実施の形態２で述べたものと同様（図１０）である。
図１０において、トラップドア生成部３２１、暗号化キーワード生成部３２２、検証用トラップドア生成部１０２３、通信部３３１に関しては、実施の形態２にて記述したものと同様であるため、説明は省略する。
暗号鍵記憶領域３１１は、データの暗号化・検索に用いる秘密情報を記憶するデータ記憶手段である。
図１７は暗号鍵記憶領域３１１が記憶するデータの一例を表す。

グループ管理装置の構成例は実施の形態１で述べたものと同様（図４）である。
図４において、暗号鍵生成部４２１、通信部４３１に関しては、実施の形態１にて記述したものと同様であるため、説明は省略する。
暗号鍵記憶領域４１１は、情報処理装置１００１が利用する暗号鍵を記憶するデータ記憶手段である。
図１８は暗号鍵記憶領域４１１が記憶するデータの一例を表す。

本実施の形態においては、本秘匿検索システムにおける手続きは、（１）グループ管理装置４０１が初期設定を行う部分、（２）異動ユーザの発生に伴い、グループ管理装置４０１が、情報処理装置１００１が保持する暗号鍵の世代更新を行う部分、（３）退職ユーザの発生に伴い、グループ管理装置４０１が、情報処理装置１００１が保持する暗号鍵の世代更新を行う部分、（４）情報処理装置１００１が暗号化データをサーバ装置１４０１に送信・格納する部分、（５）情報処理装置１００１が暗号化データをサーバ装置１４０１から検索・取得する部分に大別される。
以下、それぞれの手続きについて説明する。

（１）グループ管理装置の初期設定
グループ管理装置４０１は、パラメータｑ_１，ｑ_２、および互いに可換な三つの関数Ｆ_１（ｘ），Ｆ_２（ｘ），Ｇ（ｘ、ｙ）を決定し、公開情報とする。
ここで、Ｆ_１およびＦ_２としては一方向性関数を選び、またＧとしては、関数の出力から実際の入力を推定することが困難である関数を選ぶ。
また、ＦとＧの可換性とは、例えばＦ_１（Ｇ（ｘ，ｙ））＝Ｇ（Ｆ_１（ｘ），ｙ）を意味するものとする。
ｑ_１，ｑ_２は世代数の最大値（最終世代）であり、それぞれ退職ユーザ、異動ユーザの発生に伴う鍵更新の上限を表す。
これらは世代の更新頻度やシステムの運用期間から適切に設定する。
さらに、検索権限を検証するための特別なキーワードｗ_０、および適当な一方向性関数Ｈを選択し、公開情報とする。
本実施の形態では、Ｆ_１，Ｆ_２，Ｇの具体例として、以下に基づき決定したものを利用する。
ｐ_１，ｐ_２として十分大きな素数を選び、Ｎ＝ｐ_１×ｐ_２とする。
ｅ_１，ｅ_２としてＺ_Ｎ ^＊から、（ｐ_１−１）（ｐ_２−１）と互いに素な数をランダムに選択する。Ｆ_１，Ｆ_２，Ｇを以下で定める。
Ｆ_１（ｘ）＝ｘ^ｅ１ ｍｏｄ Ｎ
Ｆ_２（ｘ）＝ｘ^ｅ２ ｍｏｄ Ｎ
Ｇ（ｘ，ｙ）＝ｘ^ｙ ｍｏｄ Ｎ
なお、ｍｏｄはモジュロ演算子を表し、Ｚ_Ｎ ^＊は０からＮ−１の整数の中でＮと互いに素である整数の集合を表す。
また、Ｆ_１（ｘ）は第１の関数の例であり、Ｆ_２（ｘ）は第２の関数の例である。

次に、暗号鍵生成部４２１による鍵生成動作の詳細を図３８のフローチャートを参照しながら説明する。
暗号鍵生成部４２１は、情報処理装置１００１が利用する暗号鍵ｋ_ｉ，ｊ（１≦ｉ≦ｑ_１，１≦ｊ≦ｑ_２）を生成する。
ここで、ｋ_ｉ，ｊは、（ｉ，ｊ）世代目で利用する暗号鍵であり、退職ユーザ発生に伴う鍵更新がｉ−１回、異動ユーザ発生に伴う鍵更新がｊ−１回行われたものを意味する。

まず、暗号鍵生成部４２１は、暗号鍵ｋ_{ｑ１，ｑ２}（退職ユーザ対応値及び異動ユーザ対応値のいずれもが最終値である暗号鍵）を、Ｚ_Ｎ ^＊からランダムに選択する（Ｓ３８０１）。
そして、初期鍵である暗号鍵ｋ_{ｑ１，ｑ２}に対してＦ_１（ｘ）及びＦ_２（ｘ）を適用して新たな暗号鍵を生成し、以降、生成済みの鍵に対してＦ_１（ｘ）及びＦ_２（ｘ）を適用して新たな鍵を生成する動作を繰り返し、各鍵間に連続性を持たせながら、生成済みの鍵とは別の退職ユーザ対応値又は異動ユーザ対応値が設定されている暗号鍵を生成する。
具体的には、暗号鍵ｋ_{ｑ１，ｑ２}以外の暗号鍵ｋ_ｉ，ｊ（１≦ｉ≦ｑ_１，１≦ｊ≦ｑ_２）を、以下の式に従って順次計算する（暗号鍵の無矛盾性はＦ_１，Ｆ_２の可換性によって保証される）（Ｓ３８０２）。
ｋ_{ｉ，ｊ−１}＝Ｆ_１（ｋ_ｉ，ｊ）
ｋ_{ｉ−１，ｊ}＝Ｆ_２（ｋ_ｉ，ｊ）

このように、暗号鍵生成部４２１は、初期鍵である暗号鍵ｋ_{ｑ１，ｑ２}に第１の関数（Ｆ_１）を適用して、退職ユーザ対応値が暗号鍵ｋ_{ｑ１，ｑ２}の退職ユーザ対応値と共通し異動ユーザ対応値が暗号鍵ｋ_{ｑ１，ｑ２}の異動ユーザ対応値の１つ前の世代の値となる新たな暗号鍵ｋ_{ｑ１，ｑ２−１}を生成する。また、生成した暗号鍵ｋ_{ｑ１，ｑ２−１}に第１の関数を適用して、退職ユーザ対応値が暗号鍵ｋ_{ｑ１，ｑ２−１}の退職ユーザ対応値と共通し異動ユーザ対応値が暗号鍵ｋ_{ｑ１，ｑ２−１}の異動ユーザ対応値の１つ前の世代の値となる暗号鍵ｋ_{ｑ１，ｑ２−２}を生成する。
また、暗号鍵生成部４２１は、初期鍵である暗号鍵ｋ_{ｑ１，ｑ２}に第２の関数（Ｆ_２）を適用して、異動ユーザ対応値が暗号鍵ｋ_{ｑ１，ｑ２}の異動ユーザ対応値と共通し退職ユーザ対応値が暗号鍵ｋ_{ｑ１，ｑ２}の退職ユーザ対応値の１つ前の世代の値となる新たな暗号鍵ｋ_{ｑ１−１，ｑ２}を生成する。また、生成した暗号鍵ｋ_{ｑ１−１，ｑ２}に第２の関数を適用して、異動ユーザ対応値が暗号鍵ｋ_{ｑ１−１，ｑ２}の異動ユーザ対応値と共通し退職ユーザ対応値が暗号鍵ｋ_{ｑ１−１，ｑ２}の退職ユーザ対応値の１つ前の世代の値となる新たな暗号鍵ｋ_{ｑ１−２，ｑ２}を生成する。
このように、暗号鍵生成部４２１は、生成した鍵に第１の関数及び第２の関数のいずれかを適用して新たな鍵を生成する動作を繰り返して、異動ユーザ対応値及び退職ユーザ対応値の組み合わせの全パターンに対応する複数の鍵を生成する。

こうして得られた全ての暗号鍵ｋ_１，１〜ｋ_{ｑ１，ｑ２}を、暗号鍵生成部４２１は、暗号鍵記憶領域４１１に格納する（Ｓ３８０３）。
そして、暗号鍵配布処理部４５１が（１，１）世代目の暗号鍵ｋ_１，１を暗号鍵記憶領域４１１から取得し、通信部４３１が、全ての正当な情報処理装置１００１に、（１，１）世代目の暗号鍵ｋ_１，１を送信する（Ｓ３８０４）。
これは、暗号鍵の安全性が保たれる方式であれば、オフラインで行っても良いし、既存の鍵配送技術を用いてオンラインで行っても良い。
暗号鍵ｋ_１，１を受信した情報処理装置１００１は、この暗号鍵ｋ_１，１を、世代情報とともに暗号鍵記憶領域３１１に格納する。

その後、グループ管理装置４０１は、特別なＩＤとしてｉｄ_０を適当に選択し、特別な暗号化キーワードｃ_０を以下のように計算する（Ｓ３８０５）。
ｃ_０＝Ｈ（ｉｄ_０，Ｇ（ｋ_１，１，ｗ_０））
通信部４３１は、データＩＤ、暗号化キーワードの組（ｉｄ_０，ｃ_０）をサーバ装置１４０１に送信する（Ｓ３８０６）。
これらを受信したサーバ装置１４０１は、暗号化キーワード記憶領域２１１に、世代、データＩＤ、暗号化キーワードをそれぞれ（１，１），ｉｄ_０，ｃ_０としたデータを格納する（図１９）。
また、世代遷移記憶領域１４１３に、世代情報（１，１）を格納する（図２０）。

（２）異動ユーザの発生に伴う暗号鍵の世代更新
正当な情報処理装置１００１のグループに対し、異動ユーザが発生した場合、以下のように世代更新を実施する。
以下、図３９のフローチャートを参照して、説明する。

異動ユーザが発生した場合（Ｓ３９０１でＹＥＳ）、世代は（ｓ，ｔ）から（ｓ，ｔ＋１）に更新される（ただしｔ＋１≦ｑ_２）。
具体的には、グループ管理装置４０１の暗号鍵配布処理部４５１が、所属ユーザ用に（ｓ，ｔ＋１）世代目の暗号鍵ｋ_{ｓ，ｔ＋１}を暗号鍵記憶領域４１１から取得する（Ｓ３９０２）。
また、通信部４３１が、全ての正当な情報処理装置１００１（所属ユーザが利用している情報処理装置１００１）に、（ｓ，ｔ＋１）世代目の暗号鍵ｋ_{ｓ，ｔ＋１}を送信する（Ｓ３９０３）。
これは、暗号鍵の安全性が保たれる方式であれば、オフラインで行っても良いし、既存の鍵配送技術を用いてオンラインで行っても良い。
暗号鍵ｋ_{ｓ，ｔ＋１}を受信した情報処理装置１００１は、暗号鍵記憶領域３１１の内容のうち、世代を（ｓ，ｔ＋１）に、暗号鍵をｋ_{ｓ，ｔ＋１}に置き換える。
また、グループ管理装置４０１の暗号鍵配布処理部４５１は、鍵更新の原因となった異動ユーザの許容世代範囲の情報を世代範囲記憶領域４４１に書き込む。具体的には、異動ユーザのユーザＩＤに対して、許容世代範囲として（ｓ、ｔ）世代と書き込む。

更に、グループ管理装置４０１の通信部４３１は、最新の世代情報（ｓ，ｔ＋１）をサーバ装置１４０１に送信する（Ｓ３９０４）。
これを受信したサーバ装置１４０１は、世代遷移記憶領域１４１３に、最新の世代情報（ｓ，ｔ＋１）を追記する。

（３）退職ユーザの発生に伴う暗号鍵の世代更新
正当な情報処理装置１００１のグループに対し、退職ユーザが発生した場合、以下のように世代更新を実施する。
以下、図４０のフローチャートを参照して、説明する。

退職ユーザが発生した場合（Ｓ４００１でＹＥＳ）、世代は（ｓ，ｔ）から（ｓ＋１，ｔ）に更新される（ただしｓ＋１≦ｑ_１）。
具体的には、グループ管理装置４０１の暗号鍵配布処理部４５１が、所属ユーザ用に（ｓ＋１，ｔ）世代目の暗号鍵ｋ_{ｓ＋１，ｔ}を暗号鍵記憶領域４１１から取得する（Ｓ４００２）。
また、通信部４３１が、全ての正当な情報処理装置１００１（所属ユーザが利用している情報処理装置１００１）に、（ｓ＋１，ｔ）世代目の暗号鍵ｋ_{ｓ＋１，ｔ}を送信する（Ｓ４００３）。
さらに、暗号鍵配布処理部４５１は、全ての（退職ユーザでない）異動ユーザの各々について、世代範囲記憶領域４４１から世代範囲情報を読み出す（Ｓ４００４）。
次に、暗号鍵配布処理部４５１は、現在の暗号鍵ｋ_ｓ，ｊ（ｊ＜ｔ）を有している異動ユーザに対して、（ｓ＋１，ｊ）世代目の検索が可能である暗号鍵ｋ_{ｓ＋１，ｊ}を取得する（Ｓ４００５）。Ｓ４００５の処理は、異動ユーザごとに行われる。
そして、通信部４３１が、異動ユーザが利用している情報処理装置１００１に、対応する暗号鍵ｋ_{ｓ＋１，ｊ}を送信する（Ｓ４００６）。
通信部４３１による暗号鍵の送信は、暗号鍵の安全性が保たれる方式であれば、オフラインで行っても良いし、既存の鍵配送技術を用いてオンラインで行っても良い。
暗号鍵を受信した情報処理装置１００１は、暗号鍵記憶領域３１１の世代および暗号鍵を、受信した内容で置き換える。
また、グループ管理装置４０１の暗号鍵配布処理部４５１は、Ｓ４００６で新たな暗号鍵を送信した異動ユーザの新たな許容世代範囲の情報を世代範囲記憶領域４４１に書き込む。具体的には、異動ユーザのユーザＩＤに対して、許容世代範囲として（ｓ＋１、ｊ）世代と書き込む。

更に、グループ管理装置４０１の通信部４３１は、最新の世代情報（ｓ＋１，ｔ）をサーバ装置１４０１に送信する（Ｓ４００７）。
これを受信したサーバ装置１４０１は、世代遷移記憶領域１４１３に、最新の世代情報（ｓ＋１，ｔ）を追記する。

（４）暗号化データの送信・格納
正当な情報処理装置１００１がデータをサーバ装置１４０１に送信する場合、後に秘匿検索が行えるよう、キーワードとデータを別々に暗号化したものを送信する。
（ｓ，ｔ）世代目における具体的な手順を以下に述べる。
なお、動作のフローチャートは、図２９及び図３０と同様である。

まず、情報処理装置１００１は、データに対し、ユニークなデータＩＤを割り当てる（ｉｄ_ｘとする）。
さらに、情報処理装置１００１は、データの暗号化を行う。
ここでは、正当な情報処理装置１００１だけが復号できるような、既存の暗号技術（グループ暗号技術）を利用する（暗号化データをｄ_ｘとする）。
次に、トラップドア生成部３２１が、データに関連付けられた複数のキーワード（ｗ_ｘｊとする）に対し、それぞれトラップドアを生成する。
具体的には、暗号鍵記憶領域３１１に格納されている暗号鍵ｋ_ｓ，ｔを利用して、各キーワードｗ_ｘｊに対し、トラップドアｔｄ_ｘｊを以下のように計算する。
ｔｄ_ｘｊ＝Ｇ（ｋ_ｓ，ｔ，ｗ_ｘｊ）
その後、暗号化キーワード生成部３２２が、各トラップドアｔｄ_ｘｊに対し、暗号化キーワードｃ_ｘｊを以下のように計算する。
ｃ_ｘｊ＝Ｈ（ｉｄ_ｘ，ｔｄ_ｘｊ）
最後に、通信部３３１が、世代、データＩＤ、暗号化データ、暗号化キーワードの組（ｓ，ｔ，ｉｄ_ｘ，ｄ_ｘ，ｃ_ｘ１，ｃ_ｘ２，．．．）をサーバ装置１４０１に送信する。

これらを受信したサーバ装置１４０１は、暗号化データｄ_ｘをデータＩＤと関連付けて暗号化データ記憶領域２１２に格納し、各暗号化キーワードｃ_ｘｊを世代、データＩＤと関連付けて暗号化キーワード記憶領域２１１に格納する。

（５）暗号化データの検索・取得
正当な情報処理装置１００１、もしくは（退職ユーザでない）異動ユーザに対応する情報処理装置１００１は、現在もしくは過去の世代にサーバ装置１４０１に格納されたデータに対し、キーワードを指定して秘匿検索を行うことができる。
暗号鍵ｋ_ｓ，ｔを持つ情報処理装置１００１が、（ｓ，ｔ）世代目までの検索を行う具体的な手順を以下に述べる。
なお、情報処理装置１００１の動作のフローチャートは図３６と同様である。
サーバ装置１４０１の動作のフローチャートは図４１に示す通りである。

まず、情報処理装置１００１のトラップドア生成部３２１が、検索したいキーワードに対応するトラップドアを生成する。具体的には、キーワードｗに対し、トラップドアｔｄ_ｓ，ｔを以下のように計算する。
ｔｄ_ｓ，ｔ＝Ｇ（ｋ_ｓ，ｔ，ｗ）
さらに、情報処理装置１００１の検証用トラップドア生成部１０２３が、検索する権限があることをサーバ装置１４０１に対して証明するための検証用トラップドアｔｄ_ｖを以下のように計算する。
ｔｄ_ｖ＝Ｇ（ｋ_ｓ，ｔ，ｗ_０）
次に、通信部３３１が、世代情報（退職ユーザ対応値（ｓ）、異動ユーザ対応値（ｔ））、トラップドア、検証用トラップドアの組（ｓ，ｔ，ｔｄ_ｓ，ｔ，ｔｄ_ｖ）を検索要求としてサーバ装置１４０１に送信する。

サーバ装置１４０１では、通信部２３１が検索要求を受信する（Ｓ４１０１）。
そして、比較部２２２が、まず、検索要求中の世代（ｓ，ｔ）と、世代遷移記憶領域１４１３に格納されている最新の世代について、第一要素（退職ユーザ対応値）が一致していることを確認する（Ｓ４１０２）。
一致しない場合、情報処理装置１００１に正当な検索権限がないとみなし、処理を終了する。
次に、トラップドア検証部９２３が、受信した検証用トラップドアｔｄ_ｖと、暗号化キーワード記憶領域２１１に格納されている一行目の要素（１，１），ｉｄ_０，ｃ_０について、キーワードが一致すると判定されること、つまり、検証用トラップドアｔｄ_ｖから特別な暗号化キーワードｃ_０が抽出できることを確認する（Ｓ４１０３）。
なお、特別なキーワードｗ_０は公開値であり、検証用トラップドアｔｄ_ｖの生成は、ユーザが指定する検索キーワードｗの代わりに、特別なキーワードｗ_０を用いて通常のトラップドアを生成することに相当する。換言すれば、検証用トラップドアｔｄ_ｖにおいて特別なキーワードｗ_０と対応付けられているレコードの検索を要求していることと同視できる。このため、確認方法は後述する検索処理と同様なので省略する。
Ｓ４１０３においてキーワードが一致しない場合、情報処理装置１００１に正当な検索権限がないとみなし、処理を終了する。
Ｓ４１０３においてキーワードが一致した場合、実際の検索処理を実行する。

サーバ装置１４０１のトラップドア生成部２２１は、受信したトラップドアｔｄ_ｓ，ｔを用い、世代遷移記憶領域１４１３に格納されている世代（ｉ，ｊ）のうちｊ≦ｔを満たすもの全てについて、対応するトラップドアｔｄ_ｉ，ｊを以下のように順次計算する（Ｓ４１０４）。
ｔｄ_{ｉ，ｊ−１}＝Ｆ_１（ｔｄ_ｉ，ｊ）
ｔｄ_{ｉ−１，ｊ}＝Ｆ_２（ｔｄ_ｉ，ｊ）
その後、比較部２２２が、暗号化キーワード記憶領域２１１を参照し、トラップドアに対応する暗号化キーワードが存在するかを確認する（Ｓ４１０５、４１０６）。
具体的には、暗号化キーワード記憶領域２１１の各行の世代、データＩＤ、暗号化キーワードの組（ｉ，ｊ，ｉｄ，ｃ）に対し、以下の等式が成立するかを確認する。
ｃ＝Ｈ（ｉｄ，ｔｄ_ｉ，ｊ）
成立した場合はｃが指定されたキーワードｗに対応する暗号化キーワードとなるため、暗号化データ記憶領域２１２を参照してｉｄから暗号化データｄを取得する（Ｓ４１０７）。
そして、通信部２３１が情報処理装置１００１に、キーワードｗに対応する暗号化データｄを送信する（Ｓ４１０８）。
等式が複数成立した場合は全て送信するようにしても、一部を送信するようにしても良い。
上記の等式が暗号化キーワード記憶領域２１１のどの行においても不成立であった場合は、その旨を送信する。

暗号化データｄを受信した情報処理装置１００１は、ｄの復号を行う。
ここでは、正当な情報処理装置１００１だけが復号できるような、既存の暗号技術（グループ暗号技術）を利用する。

なお、サーバ装置１４０１が受信したトラップドアｔｄ_ｓ，ｔから生成した（ｉ，ｊ）世代目のトラップドアｔｄ_ｉ，ｊと、情報処理装置１００１が暗号化データ送信の際に、暗号鍵ｋ_ｉ，ｊから生成したトラップドアが一致し、本秘匿検索システムが正常に機能することは、例えば以下のように確認される。
サーバ装置１４０１がトラップドアｔｄ_ｓ，ｔから生成した（ｉ，ｊ）世代目のトラップドアｔｄ_ｉ，ｊは、
ｔｄ_ｉ，ｊ＝Ｆ_１ ^ｔ−ｊ（Ｆ_２ ^ｓ−ｉ（ｔｄ_ｓ，ｔ））
＝Ｆ_１ ^ｔ−ｊ（Ｆ_２ ^ｓ−ｉ（Ｇ（ｋ_ｓ，ｔ，ｗ）））
＝Ｆ_１ ^ｔ−ｊ（Ｇ（Ｆ_２ ^ｓ−ｉ（ｋ_ｓ，ｔ），ｗ））
＝Ｇ（Ｆ_１ ^ｔ−ｊ（Ｆ_２ ^ｓ−ｉ（ｋ_ｓ，ｔ）），ｗ）
＝Ｇ（ｋ_ｉ，ｊ，ｗ）
となり、これは情報処理装置１００１が（ｉ，ｊ）世代目に生成するトラップドアと一致する。

また、システムの安全性、すなわちサーバ装置１４０１がトラップドアや暗号化キーワードからキーワードを類推できないことや、ある期間の暗号鍵を持つ情報処理装置１００１が期間外の暗号鍵を類推できず、検索も行えないことは、Ｆ_１，Ｆ_２，Ｈの一方向性、Ｇの入力推定困難性に基づいている。
特に、本実施の形態にて示した具体例においては、ＲＳＡ（登録商標）暗号の安全性に基づいている。

以上によって、情報処理装置１００１がデータ・キーワードをサーバ装置１４０１に対して秘匿したまま検索できる秘匿検索システムが実現できる。
サーバ装置１４０１が、受信したトラップドアから検索期間に対応する全てのトラップドアを生成できるため、検索時に情報処理装置１００１が送信すべきトラップドアが削減でき、情報処理装置１００１の計算量や通信量の削減を達成できる。また、脱退ユーザとして、異動ユーザ、退職ユーザが混在できるという、柔軟性も達成している。

なお、実施の形態１にて記述したバリエーションは、本実施の形態においても同様に適用可能である。
例えば、以下のようなバリエーションも可能である。
グループ管理装置４０１は、予め、異動ユーザ対応値及び退職ユーザ対応値のいずれもが先頭値となっている先頭世代の鍵ｋ_０，０を初期鍵として生成する。
そして、鍵発行時に、所属ユーザ又は異動ユーザごとに、対応する異動ユーザ対応値及び退職ユーザ対応値の組み合わせに基づき、初期鍵又は初期鍵から派生する鍵を生成元鍵とし、生成元鍵に第１の関数（Ｆ_１）を適用して退職ユーザ対応値が生成元鍵の退職ユーザ対応値と共通し異動ユーザ対応値が生成元鍵の異動ユーザ対応値の１つ後の世代の値となる新たな鍵を生成する。
または、生成元鍵に第２の関数（Ｆ_２）を適用して異動ユーザ対応値が生成元鍵の異動ユーザ対応値と共通し退職ユーザ対応値が生成元鍵の退職ユーザ対応値の１つ後の世代の値となる新たな鍵を生成する。
そして、生成した鍵を所属ユーザ又は異動ユーザに発行する。

また、本実施の形態に記述した内容と、実施の形態１、２にて記述した内容を組み合わせることで、加入ユーザの検索権限を柔軟に設定することも可能である。

また、本実施の形態では、特別なキーワードｗ_０に対する暗号化キーワードｃ_０を利用して検索権限の検証を行っているが、トラップドアＧ（ｋ_１，１，ｗ_０）を利用して検証を行っても良い。
この場合、サーバ装置１４０１は、ｃ_０のかわりに別途Ｇ（ｋ_１，１，ｗ_０）を検証用情報として記憶することになる。
また、退職ユーザの発生に伴う鍵更新が進むにつれて、サーバ装置１４０１はＧ（ｋ_ｉ，１，ｗ_０）の値を得ることができるので、この値をキャッシュすることで、以降の検証を効率化することも可能である。
つまり、上記の説明では、検証用トラップドアｔｄ_ｖからトラップドアｔｄ_１，１（＝Ｇ（ｋ_１，１，ｗ_０））まで遡って、特別な暗号化キーワードｃ_ｏとの整合性を確認しているが、キャッシュしている値で代用することで検証作業を短縮することができる。

例えば、図２５に示す鍵ｋ_２，２に基づく検証用トラップドアｔｄ_{ｖ（２，２）}に対する検証処理において、鍵ｋ_０，０に対応するトラップドアｔｄ_０，０（＝Ｇ（ｋ_０，０，ｗ_０））（上記のｔｄ_１，１（＝Ｇ（ｋ_１，１，ｗ_０））に相当）を導出するためには、鍵ｋ_２，１に対応するトラップドアｔｄ_２，１（＝Ｇ（ｋ_２，１，ｗ_０））を導出する必要がある。
このため、このトラップドアｔｄ_２，１（＝Ｇ（ｋ_２，１，ｗ_０））をキャッシュすることにより、次回の検証用トラップドアｔｄ_ｖに対する検証処理では、キャッシュ値まで遡って検証を行うのみで済む。

以上、本実施の形態では、関数Ｆ_１，Ｆ_２，Ｇを利用することで、脱退ユーザの検索権限を柔軟に設定できる方式を説明した。
また、本実施の形態では、ＲＳＡ（登録商標）暗号の安全性をベースとする方式を説明した。

最後に、実施の形態１〜３に示したサーバ装置２０１、情報処理装置３０１及びグループ管理装置４０１（以下、三者をまとめてサーバ装置２０１等と表記する）のハードウェア構成例について説明する。
図４２は、実施の形態１〜３に示すサーバ装置２０１等のハードウェア資源の一例を示す図である。
なお、図４２の構成は、あくまでもサーバ装置２０１等のハードウェア構成の一例を示すものであり、サーバ装置２０１等のハードウェア構成は図４２に記載の構成に限らず、他の構成であってもよい。

図４２において、サーバ装置２０１等は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７と接続していてもよい。また、磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。
実施の形態１〜３で説明した「〜記憶領域」は、ＲＡＭ９１４、磁気ディスク装置９２０等により実現される。
通信ボード９１５、キーボード９０２、マウス９０３、スキャナ装置９０７、ＦＤＤ９０４などは、入力装置の一例である。
また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力装置の一例である。

通信ボード９１５は、図１に示すように、ネットワークに接続されている。例えば、通信ボード９１５は、ＬＡＮ（ローカルエリアネットワーク）、インターネット、ＷＡＮ（ワイドエリアネットワーク）、ＳＡＮ（ストレージエリアネットワーク）などに接続されていても構わない。

磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。

また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。

また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
サーバ装置２０１等の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。

上記プログラム群９２３には、実施の形態１〜３の説明において「〜部」として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。

ファイル群９２４には、実施の形態１〜３の説明において、「〜の判断」、「〜の判定」、「〜の計算」、「〜の演算」、「〜の生成」、「〜の比較」、「〜の照合」、「〜の更新」、「〜の設定」、「〜の登録」、「〜の選択」、「〜の格納」、「〜の検索」、「〜の検証」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。
「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、実施の形態１〜３で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

また、実施の形態１〜３の説明において「〜部」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」、として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、実施の形態１〜３の「〜部」としてコンピュータを機能させるものである。あるいは、実施の形態１〜３の「〜部」の手順や方法をコンピュータに実行させるものである。

このように、実施の形態１〜３に示すサーバ装置２０１等は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータであり、上記したように「〜部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。

１０１ ネットワーク、２０１ サーバ装置、２１１ 暗号化キーワード記憶領域、２１２ 暗号化データ記憶領域、２２１ トラップドア生成部、２２２ 比較部、２３１ 通信部、３０１ 情報処理装置、３１１ 暗号鍵記憶領域、３２１ トラップドア生成部、３２２ 暗号化キーワード生成部、３３１ 通信部、４０１ グループ管理装置、４１１ 暗号鍵記憶領域、４２１ 暗号鍵生成部、４３１ 通信部、４４１ 世代範囲記憶領域、４５１ 暗号鍵配布処理部、９１３ 関数パラメータ記憶領域、９２３ トラップドア検証部、１０２３ 検証用トラップドア生成部、１４１３ 世代遷移記憶領域。

Claims (36)

1. 複数のユーザに利用される複数の情報処理装置と、
   ユーザの要求に基づいて暗号化データを記憶し、ユーザの要求に基づいて記憶している暗号化データの検索を行うサーバ装置と、
   前記サーバ装置に対して秘密にしている鍵を更新イベントの発生時に新たな世代値を設けて更新し、更新イベント発生時を含む所定の鍵発行タイミングにおいてユーザに鍵を発行する管理装置を有し、
   前記管理装置は、
   利用が許可される世代範囲が許可世代範囲として設定される鍵を生成し、
   ユーザごとに鍵の利用が許可される最も前の世代を利用開始世代として指定し、
   鍵発行タイミングにおいて、ユーザごとに、最新世代の鍵であって、ユーザに指定されている利用開始世代から当該最新世代までが許可世代範囲として設定されている鍵を発行し、
   各情報処理装置は、
   最新世代の鍵を受領する度に、受領した最新世代の鍵を記憶し、
   ユーザから暗号化データの格納指示があった際に、暗号化データの検索に用いられるインデックス情報と、前記ユーザの格納指示時点での最新世代の鍵の世代値と、暗号化データとを対応付けて格納するよう前記サーバ装置に要求し、
   ユーザから暗号化データの検索指示があった際に、前記ユーザの検索指示時点での最新世代の鍵を用いて、許可世代範囲である利用開始世代から当該最新世代までのｎ（ｎ≧１）世代の各世代値が暗号化されているｎ個の暗号化世代情報が集約されている集約情報を生成し、生成した集約情報を含む検索要求を前記サーバ装置に送信し、
   前記サーバ装置は、
   情報処理装置からの格納要求を受領した場合に、インデックス情報と、鍵の世代値と、暗号化データとを対応付けて記憶し、
   情報処理装置からの検索要求を受信した場合に、受信した検索要求に含まれる前記集約情報に対して所定の演算を行い、前記集約情報からｎ個の暗号化世代情報を抽出し、暗号化世代情報ごとに、暗号化世代情報が対象としている世代値と共通する世代値を対象としているインデックス情報に対応付けられている暗号化データであって所定の条件を満たす暗号化データを抽出することを特徴とする情報処理システム。
2. 各情報処理装置は、
   ユーザから暗号化データの格納指示があった際に、前記ユーザが指定する検索条件を入力するとともに、前記ユーザの格納指示時点での最新世代の鍵を用いて前記検索条件を暗号化し、暗号化により得られた値をインデックス情報とし、インデックス情報と、前記ユーザの格納指示時点での最新世代の鍵の世代値と、暗号化データとを対応付けて格納するよう前記サーバ装置に要求し、
   ユーザから暗号化データの検索指示があった際に、前記ユーザが指定する検索条件を入力するとともに、前記ユーザの検索指示時点での最新世代の鍵と前記検索条件を用いて、許可世代範囲である利用開始世代から当該最新世代までのｎ世代の各世代値と前記検索条件が暗号化されているｎ個の暗号化世代情報が集約されている集約情報を生成し、生成した集約情報を含む検索要求を前記サーバ装置に送信し、
   前記サーバ装置は、
   情報処理装置からの検索要求を受信した場合に、受信した検索要求に含まれる前記集約情報に対して所定の演算を行い、前記集約情報からｎ個の暗号化世代情報を抽出し、暗号化世代情報ごとに、暗号化世代情報が対象としている世代値と共通し、暗号化世代情報と共通する値のインデックス情報を選択し、選択したインデックス情報に対応付けられている暗号化データを抽出することを特徴とする請求項１に記載の情報処理システム。
3. 各情報処理装置は、
   ユーザから暗号化データの格納指示があった際に、前記ユーザが指定する検索条件と格納対象の暗号化データの識別子を入力し、前記ユーザの格納指示時点での最新世代の鍵を用いて前記検索条件を暗号化するとともに、暗号化された検索条件を前記暗号化データの識別子を用いて再暗号化し、再暗号化により得られた値をインデックス情報とし、インデックス情報と、前記ユーザの格納指示時点での最新世代の鍵の世代値と、暗号化データと、前記暗号化データの識別子とを対応付けて格納するよう前記サーバ装置に要求し、
   ユーザから暗号化データの検索指示があった際に、前記ユーザが指定する検索条件を入力するとともに、前記ユーザの検索指示時点での最新世代の鍵と前記検索条件を用いて、許可世代範囲である利用開始世代から当該最新世代までのｎ世代の各世代値と前記検索条件が暗号化されているｎ個の暗号化世代情報が集約されている集約情報を生成し、生成した集約情報を含む検索要求を前記サーバ装置に送信し、
   前記サーバ装置は、
   情報処理装置からの格納要求を受領した場合に、インデックス情報と、鍵の世代値と、暗号化データと、前記暗号化データの識別子とを対応付けて記憶し、
   情報処理装置からの検索要求を受信した場合に、受信した検索要求に含まれる前記集約情報に対して所定の演算を行い、前記集約情報からｎ個の暗号化世代情報を抽出し、暗号化世代情報ごとに、各インデックス情報に対応付けられている識別子を用いて所定の演算を行い、暗号化世代情報が対象としている世代値と共通し、演算により得られた値と共通する値のインデックス情報を選択し、選択したインデックス情報に対応付けられている暗号化データを抽出することを特徴とする請求項１に記載の情報処理システム。
4. 前記管理装置は、
   生成済みの鍵に対して第１の関数及び第２の関数のいずれかを適用して、各鍵間に連続性を持たせながら、前記生成済みの鍵とは別の許可世代範囲が設定されている鍵を生成し、
   前記サーバ装置は、
   情報処理装置からの検索要求を受信した場合に、受信した検索要求に含まれる前記集約情報に対して前記第１の関数と前記第２の関数を適用した所定の演算を行い、前記集約情報からｎ個の暗号化世代情報を抽出することを特徴とする請求項１〜３のいずれかに記載の情報処理システム。
5. 前記管理装置は、
   最終世代の世代値を決定し、第１世代から最終世代までを許可世代範囲とする鍵を初期鍵として生成し、
   前記初期鍵に前記第１の関数を適用して、許可世代範囲の開始世代が前記初期鍵の開始世代と共通し終了世代が前記初期鍵の終了世代の１つ前の世代となる新たな鍵を生成し、生成した鍵に前記第１の関数を適用して、許可世代範囲の開始世代が当該生成済みの鍵の開始世代と共通し終了世代が当該生成済みの鍵の終了世代の１つ前の世代となる新たな鍵を生成し、
   前記初期鍵に前記第２の関数を適用して、許可世代範囲の終了世代が前記初期鍵の終了世代と共通し開始世代が前記初期鍵の開始世代の１つ後の世代となる新たな鍵を生成し、生成した鍵に前記第２の関数を適用して、許可世代範囲の終了世代が当該生成済みの鍵の終了世代と共通し開始世代が当該生成済みの鍵の開始世代の１つ後の世代となる新たな鍵を生成し、
   生成した鍵に前記第１の関数及び前記第２の関数のいずれかを適用して新たな鍵を生成する動作を繰り返して、許容世代範囲の全パターンに対応する複数の鍵を生成し、生成した複数の鍵を記憶し、
   鍵発行時に、ユーザごとに、利用開始世代から鍵発行時における最新世代までの世代範囲に対応する鍵を、記憶している前記複数の鍵の中から抽出し、抽出した鍵を発行することを特徴とする請求項４に記載の情報処理システム。
6. 前記管理装置は、
   予め、第１世代のみを許可世代範囲とする鍵を初期鍵として生成し、
   鍵発行時に、ユーザごとに、利用開始世代から鍵発行時における最新世代までの世代範囲に対応させて、初期鍵又は前記初期鍵から派生する鍵を生成元鍵とし、前記生成元鍵に前記第１の関数を適用して許可世代範囲の開始世代が前記生成元鍵の開始世代と共通し終了世代が前記生成元鍵の終了世代の１つ後の世代となる新たな鍵を生成し、または、前記生成元鍵に前記第２の関数を適用して許可世代範囲の終了世代が前記生成元鍵の終了世代と共通し開始世代が前記生成元鍵の開始世代の１つ後の世代となる新たな鍵を生成し、生成した鍵をユーザに発行することを特徴とする請求項４に記載の情報処理システム。
7. 前記管理装置は、
   十分大きな素数であるｐ_１及びｐ_２を選び、Ｎ＝ｐ_１×ｐ_２とし、ｅ_１及びｅ_２としてＺ_Ｎ ^＊から（ｐ_１−１）（ｐ_２−１）と互いに素な数をランダムに選択した場合に、
   前記第１の関数を、Ｆ_１（ｘ）＝ｘ^ｅ１ ｍｏｄ Ｎ とし、
   前記第２の関数を、Ｆ_２（ｘ）＝ｘ^ｅ２ ｍｏｄ Ｎ とし、
   （ｍｏｄはモジュロ演算子を表し、Ｚ_Ｎ ^＊は０からＮ−１の整数の中でＮと互いに素である整数の集合を表す）（Ｆ_１（ｘ）とＦ_２（ｘ）は、互いに可換である）
   最終世代の世代値をｑとし、第１世代から最終世代までを許可世代範囲とする初期鍵をｋ_１，ｑとし、初期鍵ｋ_１，ｑをＺ_Ｎ ^＊からランダムに選択し、許可世代範囲の開始世代がｉ世代であり終了世代がｊ世代である鍵をｋ_ｉ，ｊとした場合に、
   ｋ_{ｉ，ｊ−１}＝Ｆ_１（ｋ_ｉ，ｊ）
   ｋ_{ｉ＋１，ｊ}＝Ｆ_２（ｋ_ｉ，ｊ）
   による演算を繰り返して、許容世代範囲の全パターンに対応する複数の鍵ｋ_１，１からｋ_ｑ，ｑを生成することを特徴とする請求項５に記載の情報処理システム。
8. 前記管理装置は、
   各情報処理装置において利用される関数を、
   Ｇ（ｘ，ｙ）＝ｘ^ｙ ｍｏｄ Ｎ とし、
   （Ｇ（ｘ，ｙ）は、Ｆ_１（ｘ）及びＦ_２（ｘ）と互いに可換である）
   各情報処理装置は、
   ユーザから暗号化データの格納指示があった際に、前記ユーザが指定する検索条件を入力し、
   入力した検索条件をｗとし、格納指示時点での最新世代の鍵であって利用開始世代がｓ世代であり当該最新世代がｔ世代である鍵をｋ_ｓ，ｔとし、当該最新世代のみを許可世代範囲とする鍵をｋ_ｔ，ｔとし、当該最新世代の鍵の世代値と前記検索条件の暗号値をｔｄとした場合に、
   ｋ_ｔ，ｔ＝Ｆ_２ ^ｔ−ｓ（ｋ_ｓ，ｔ）
   ｔｄ＝Ｇ（ｋ_ｔ，ｔ，ｗ）
   （Ｆ_２ ^ｔ−ｓはＦ_２をｔ−ｓ回適用することを表す。以下においても同様）
   により、暗号値ｔｄを生成し、
   ユーザから暗号化データの検索指示があった際に、前記ユーザが指定する検索条件を入力し、
   入力した検索条件をｗとし、検索指示時点での最新世代の鍵であって利用開始世代がｓ世代であり当該最新世代がｔ世代である鍵をｋ_ｓ，ｔとし、ｓ世代からｔ世代に対応する暗号化世代情報を集約する集約情報をｔｄ_ｓ，ｔとした場合に、
   ｔｄ_ｓ，ｔ＝Ｇ（ｋ_ｓ，ｔ，ｗ）
   により、集約情報ｔｄ_ｓ，ｔを生成し、
   前記サーバ装置は、
   ｔｄ_ｉ，ｉ＝Ｆ_１ ^ｔ−ｉ（Ｆ_２ ^ｉ−ｓ（ｔｄ_ｓ，ｔ）） （ｓ≦ｉ≦ｔ）
   により、集約情報ｔｄ_ｓ，ｔから、ｓ世代からｔ世代までの暗号化世代情報ｔｄ_ｓ，ｓからｔｄ_ｔ，ｔを抽出することを特徴とする請求項７に記載の情報処理システム。
9. 各情報処理装置は、
   ユーザから暗号化データの格納指示があった際に、前記ユーザが指定する検索条件とともに格納対象の暗号化データの識別子を入力し、
   入力した識別子をｉｄとし、Ｈ（ｘ，ｙ）を一方向性関数とし、ｃを暗号化値ｔｄの再暗号化値とした場合に、
   ｃ＝Ｈ（ｉｄ，ｔｄ）
   により、再暗号化値ｃを生成し、生成した再暗号化値ｃをインデックス情報とし、インデックス情報と、前記ユーザの格納指示時点での最新世代の鍵の世代値と、前記暗号化データと、前記暗号化データの識別子を対応付けて格納するよう前記サーバ装置に要求し、
   前記サーバ装置は、
   情報処理装置からの格納要求を受領した場合に、インデックス情報と、鍵の世代値と、暗号化データと、前記暗号化データの識別子とを対応付けて記憶し、
   情報処理装置からの検索要求を受信した際に、集約情報ｔｄ_ｓ，ｔからｓ世代からｔ世代に対応する暗号化世代情報ｔｄ_ｓ，ｓからｔｄ_ｔ，ｔを抽出し、
   各インデックス情報に対応付けられている識別子をｉｄとし、各暗号化世代情報をｔｄ_ｊ，ｊとした場合に、暗号化世代情報ｔｄ_ｊ，ｊごとに、
   ｃ＝Ｈ（ｉｄ，ｔｄ_ｊ，ｊ）
   を計算し、
   演算により得られた値ｃと共通する値のインデックス情報を選択し、選択したインデックス情報に対応付けられている暗号化データを抽出することを特徴とする請求項８に記載の情報処理システム。
10. 各情報処理装置は、
    所定のグループに属するユーザに利用され、
    前記管理装置は、
    前記グループからのユーザの脱退及び所定の条件に合致する新たなユーザの前記グループへの加入を更新イベントとし、
    ユーザの脱退又はユーザの加入により更新イベントが発生した場合に、前記グループに所属しているユーザごとに、現在利用されている鍵の次の世代の鍵であって、許可世代範囲を利用開始世代から当該次の世代までの範囲とする鍵を発行することを特徴とする請求項１〜９のいずれかに記載の情報処理システム。
11. 前記管理装置は、
    前記グループに新たに加入するユーザの利用開始世代が当該ユーザ加入後の最新世代である場合に、当該ユーザの加入を更新イベントとし、
    当該ユーザの加入により、前記グループに所属しているユーザごとに、現在利用されている鍵の次の世代の鍵であって、許可世代範囲を利用開始世代から当該次の世代までの範囲とする鍵を発行し、前記グループに新たに加入するユーザには、当該次の世代のみを許可世代範囲とする鍵を発行し、
    前記グループに新たに加入するユーザの利用開始世代が当該ユーザ加入後の最新世代よりも前の世代である場合は、当該ユーザの加入を更新イベントとせず、
    前記グループに所属しているユーザには新たな鍵の発行を行わず、前記グループに新たに加入するユーザに、当該ユーザに指定される利用開始世代から現在の最新世代までを許可世代範囲とする鍵を発行することを特徴とする請求項１０に記載の情報処理システム。
12. 複数のユーザに利用される複数の情報処理装置と、
    ユーザの要求に基づいて暗号化データを記憶し、ユーザの要求に基づいて記憶している暗号化データの検索を行うサーバ装置と、
    前記サーバ装置に対して秘密にしている鍵を更新イベントの発生時に新たな世代値を設けて更新し、更新イベント発生時を含む所定の鍵発行タイミングにおいてユーザに鍵を発行する管理装置とを有し、
    前記管理装置は、
    いずれのユーザ及び情報処理装置に対しても秘密にしている秘密パラメータを前記サーバ装置にのみ通知し、
    各世代の鍵を、前記秘密パラメータを用いて生成し、
    ユーザごとに鍵の利用が許可される最も前の世代を利用開始世代として指定し、
    ユーザごとに、
    初回の鍵発行時に、鍵発行時における最新世代の鍵と、利用開始世代から当該最新世代までの鍵を合成して生成した合成鍵を発行し、
    ２回目以降の鍵発行時は、各回時点での最新世代の鍵を発行し、
    各情報処理装置は、
    ユーザに対する初回の鍵発行時に、最新世代の鍵と合成鍵を受領し、受領した最新世代の鍵と合成鍵を記憶し、
    ユーザに対する２回以降の鍵発行では、鍵発行の度に、最新世代の鍵を受領し、受領した最新世代の鍵と記憶している合成鍵を合成して新たな合成鍵を生成し、受領した最新世代の鍵と生成した新たな合成鍵を記憶し、
    ユーザから暗号化データの格納指示があった際に、暗号化データの検索に用いられるインデックス情報と、前記ユーザの格納指示時点での最新世代の鍵の世代値と、暗号化データとを対応付けて格納するよう前記サーバ装置に要求し、
    ユーザから暗号化データの検索指示があった際に、前記ユーザの検索指示時点での最新世代の鍵を用いて、当該最新世代の世代値が暗号化されている暗号化最新世代情報を生成し、検索指示時点での合成鍵を用いて、前記ユーザに指定されている利用開始世代から検索指示時点での最新世代までのｎ（ｎ≧１）世代の各世代値が暗号化されているｎ個の暗号化世代情報が集約されている集約情報を生成し、生成した暗号化最新世代情報と集約情報を含む検索要求を前記サーバ装置に送信し、
    前記サーバ装置は、
    前記管理装置から通知された前記秘密パラメータを記憶し、
    情報処理装置からの格納要求を受領した場合に、インデックス情報と、鍵の世代値と、暗号化データとを対応付けて記憶し、
    情報処理装置から検索要求を受信した場合に、受信した検索要求に含まれる暗号化最新世代情報と前記秘密パラメータを用いて、１つ前の世代の世代値が暗号化されている暗号化世代情報を算出し、以降、算出された暗号化世代情報と前記秘密パラメータを用いて１つ前の世代値が暗号化されている暗号化世代情報を算出する処理を繰り返し、検索要求元ユーザの利用開始世代の世代値が暗号化されている暗号化世代情報を算出し、算出した利用開始世代から最新世代の１つ前の世代までの暗号化世代情報と前記暗号化最新世代情報と、前記集約情報において集約されているｎ個の暗号化世代情報が一致するか否かを判定し、暗号化世代情報が一致する場合に、暗号化世代情報ごとに、暗号化世代情報が対象としている世代値と共通する世代値を対象としているインデックス情報に対応付けられている暗号化データであって所定の条件を満たす暗号化データを抽出することを特徴とする情報処理システム。
13. 各情報処理装置は、
    ユーザから暗号化データの格納指示があった際に、前記ユーザが指定する検索条件を入力するとともに、前記ユーザの格納指示時点での最新世代の鍵を用いて前記検索条件を暗号化し、暗号化により得られた値をインデックス情報とし、インデックス情報と、前記ユーザの格納指示時点での最新世代の鍵と、暗号化データとを対応付けて格納するよう前記サーバ装置に要求し、
    ユーザから暗号化データの検索指示があった際に、前記ユーザが指定する検索条件を入力するとともに、前記ユーザの検索指示時点での最新世代の鍵と前記検索条件を用いて、当該最新世代の世代値と前記検索条件が暗号化されている暗号化最新世代情報を生成し、検索指示時点での合成鍵と前記検索条件を用いて、前記ユーザに指定されている利用開始世代から検索指示時点での最新世代までのｎ世代の各世代値と前記検索条件が暗号化されているｎ個の暗号化世代情報が集約されている集約情報を生成し、生成した暗号化最新世代情報と集約情報を含む検索要求を前記サーバ装置に送信し、
    前記サーバ装置は、
    暗号化世代情報が一致する場合に、暗号化世代情報ごとに、暗号化世代情報が対象としている世代値と共通する世代値を対象とし、暗号化世代情報と共通する値のインデックス情報を選択し、選択したインデックス情報に対応付けられている暗号化データを抽出することを特徴とする請求項１２に記載の情報処理システム。
14. 各情報処理装置は、
    ユーザから暗号化データの格納指示があった際に、前記ユーザが指定する検索条件と格納対象の暗号化データの識別子を入力し、前記ユーザの格納指示時点での最新世代の鍵を用いて前記検索条件を暗号化するとともに、暗号化された検索条件を前記暗号化データの識別子を用いて再暗号化し、再暗号化により得られた値をインデックス情報とし、インデックス情報と、前記ユーザの格納指示時点での最新世代の鍵と、暗号化データと、前記暗号化データの識別子を対応付けて格納するよう前記サーバ装置に要求し、
    ユーザから暗号化データの検索指示があった際に、前記ユーザが指定する検索条件を入力するとともに、前記ユーザの検索指示時点での最新世代の鍵と前記検索条件を用いて、当該最新世代の世代値と前記検索条件が暗号化されている暗号化最新世代情報を生成し、検索指示時点での合成鍵と前記検索条件を用いて、前記ユーザに指定されている利用開始世代から検索指示時点での最新世代までのｎ世代の各世代値と前記検索条件が暗号化されているｎ個の暗号化世代情報が集約されている集約情報を生成し、生成した暗号化最新世代情報と集約情報を含む検索要求を前記サーバ装置に送信し、
    前記サーバ装置は、
    情報処理装置からの格納要求を受領した場合に、インデックス情報と、鍵の世代値と、暗号化データと、前記暗号化データの識別子を対応付けて記憶し、
    暗号化世代情報が一致する場合に、暗号化世代情報ごとに、各インデックス情報に対応付けられている識別子を用いて所定の演算を行い、暗号化世代情報が対象としている世代値と共通する世代値を対象とし、演算により得られた値と共通する値のインデックス情報を選択し、選択したインデックス情報に対応付けられている暗号化データを抽出することを特徴とする請求項１２に記載の情報処理システム。
15. 前記管理装置は、
    ユーザに対する初回の鍵発行時に、利用開始世代から当該最新世代までの鍵の積を計算し、計算した鍵の積を合成鍵として発行し、
    各情報処理装置は、
    ユーザに対する２回以降の鍵発行では、鍵発行の度に、最新世代の鍵を受領し、受領した最新世代の鍵と記憶している合成鍵との積を計算し、計算した鍵の積を新たな合成鍵とすることを特徴とする請求項１２〜１４のいずれかに記載の情報処理システム。
16. 前記管理装置は、
    生成済みの鍵に対して所定の鍵生成関数を適用して、各鍵間に連続性を持たせながら、前記生成済みの鍵とは別の世代の鍵を生成し、
    前記サーバ装置は、
    情報処理装置からの検索要求を受信した場合に、前記暗号化最新世代情報と前記秘密パラメータに対して前記鍵生成関数を適用して、１つ前の世代の世代値が暗号化されている暗号化世代情報を算出し、以降、算出された暗号化世代情報と前記秘密パラメータに対して前記鍵生成関数を適用して１つ前の世代値が暗号化されている暗号化世代情報を算出する処理を繰り返すことを特徴とする請求項１２〜１５のいずれかに記載の情報処理システム。
17. 前記管理装置は、
    最終世代の世代値を決定し、最終世代の鍵を初期鍵として生成し、最終世代の鍵と前記秘密パラメータに対して前記鍵生成関数を適用して、最終世代の１つ前の世代の新たな鍵を生成し、生成した鍵と前記秘密パラメータに対して前記鍵生成関数を適用して更に１つ前の世代の鍵を生成し、以降、新たに生成した鍵と前記秘密パラメータに対して前記鍵生成関数を適用する動作を繰り返して、第１世代から最終世代の鍵を生成し、生成した第１世代から最終世代の鍵を記憶し、
    鍵発行時に、最新世代に該当する鍵を、記憶している鍵の中から抽出し、抽出した鍵を発行することを特徴とする請求項１６に記載の情報処理システム。
18. 前記管理装置は、
    予め、第１世代の鍵を生成し、
    鍵発行時に、鍵発行時点での最新世代に対応させて、前記第１世代の鍵又は前記第１世代の鍵から派生する鍵を生成元鍵とし、前記生成元鍵と前記秘密パラメータに対して前記鍵生成関数を適用して、前記生成元鍵の１つ後の世代の新たな鍵を最新世代の鍵として生成し、生成した最新世代の鍵をユーザに発行することを特徴とする請求項１６に記載の情報処理システム
19. 前記管理装置は、
    十分大きな素数であるｐを選んだ場合に、
    自装置及び前記サーバ装置が用いる関数を、Ｆ（ｘ，ｙ）＝ｘ^ｙ ｍｏｄ ｐ とし、
    各情報処理装置が用いる関数を、Ｇ（ｘ，ｙ）＝ｘ^ｙ ｍｏｄ ｐ とし、
    （ｍｏｄはモジュロ演算子を表す）（Ｆ_１（ｘ，ｙ）とＧ（ｘ，ｙ）は、互いに可換である）
    このとき、Ｇは以下の準同型性を持ち、
    Ｇ（ｘ_１ｘ_２，ｙ）＝Ｇ（ｘ_１，ｙ）Ｇ（ｘ_２，ｙ）という関係を持ち、
    秘密パラメータをαとし、秘密パラメータαを巡回群Ｚ_ｐ ^＊から、（ｐ−１）と互いに素となるようランダムに選択し、
    最終世代の世代値をｑとし、最終世代の鍵である初期鍵をｋ_ｑとし、初期鍵ｋ_ｑをＺ_ｐ ^＊の生成元からランダムに選択し、ｉ世代目の鍵をｋ_ｉとした場合に、
    ｋ_ｉ−１＝Ｆ（ｋ_ｉ，α） （１≦ｉ＜ｑ）
    による演算を繰り返して、第１世代から最終世代までの鍵ｋ_１からｋ_ｑを生成し、
    各情報処理装置は、
    ユーザから暗号化データの格納指示があった際に、前記ユーザが指定する検索条件を入力し、
    入力した検索条件をｗとし、格納指示時点での最新世代の鍵をｋ_ｔとし、当該最新世代の鍵の世代値と前記検索条件の暗号値をｔｄとした場合に、
    ｔｄ＝Ｇ（ｋ_ｔ，ｗ）
    により、暗号値ｔｄを生成し、
    ユーザから暗号化データの検索指示があった際に、前記ユーザが指定する検索条件を入力し、
    入力した検索条件をｗとし、検索指示時点での最新世代の鍵をｋ_ｔとし、ｓ世代目の鍵からｔ世代目の鍵までを合成した検索指示時点での合成鍵をｋ_ｓ，ｔとし、暗号化最新世代情報をｔｄ_ｔとし、集約情報をｔｄ_ｓ，ｔとした場合に、
    ｔｄ_ｔ＝Ｇ（ｋ_ｔ，ｗ）
    ｔｄ_ｓ，ｔ＝Ｇ（ｋ_ｓ，ｔ，ｗ）
    により、暗号化最新世代情報をｔｄ_ｔと集約情報ｔｄ_ｓ，ｔを生成し、
    前記サーバ装置は、
    ｔｄ_ｉ−１＝Ｆ（ｔｄ_ｉ，α）
    により、暗号化最新世代情報ｔｄ_ｔから、ｓ世代からｔ−１世代までを対象とする暗号化世代情報ｔｄ_ｓからｔｄ_ｔ−１を算出することを特徴とする請求項１７に記載の情報処理システム。
20. 各情報処理装置は、
    ユーザから暗号化データの格納指示があった際に、前記ユーザが指定する検索条件とともに格納対象の暗号化データの識別子を入力し、
    入力した識別子をｉｄとし、Ｈ（ｘ，ｙ）を一方向性関数とし、ｃを暗号化値ｔｄの再暗号化値とした場合に、
    ｃ＝Ｈ（ｉｄ，ｔｄ）
    により、再暗号化値ｃを生成し、生成した再暗号化値ｃをインデックス情報とし、インデックス情報と、前記ユーザの格納指示時点での最新世代の鍵の世代値と、前記暗号化データと、前記暗号化データの識別子とを対応付けて格納するよう前記サーバ装置に要求し、
    前記サーバ装置は、
    情報処理装置からの格納要求を受領した場合に、インデックス情報と、鍵の世代値と、暗号化データと、前記暗号化データの識別子とを対応付けて記憶し、
    情報処理装置からの検索要求を受信した際に、暗号化世代情報が一致する場合に、
    各インデックス情報に対応付けられている識別子をｉｄとし、各暗号化世代情報をｔｄ_ｊとした場合に、暗号化世代情報ｔｄ_ｊごとに、
    ｃ＝Ｈ（ｉｄ，ｔｄ_ｊ）
    を計算し、
    演算により得られた値ｃと共通する値のインデックス情報を選択し、選択したインデックス情報に対応付けられている暗号化データを抽出することを特徴とする請求項１９に記載の情報処理システム。
21. 各情報処理装置は、
    所定のグループに属するユーザに利用され、
    前記管理装置は、
    前記グループからのユーザの脱退及び所定の条件に合致する新たなユーザの前記グループへの加入を更新イベントとし、
    ユーザの脱退又はユーザの加入により更新イベントが発生した場合に、前記グループに所属しているユーザに、現在利用されている鍵の次の世代の鍵を最新世代の鍵として発行することを特徴とする請求項１２〜２０のいずれかに記載の情報処理システム。
22. 前記管理装置は、
    前記グループに新たに加入するユーザの利用開始世代が当該ユーザ加入後の最新世代である場合に、当該ユーザの加入を更新イベントとし、
    当該ユーザの加入により、前記グループに所属しているユーザに、現在利用されている鍵の次の世代の鍵を最新世代の鍵として発行し、前記グループに新たに加入するユーザには、当該次の世代の鍵を最新世代の鍵及び合成鍵として発行し、
    前記グループに新たに加入するユーザの利用開始世代が当該ユーザ加入後の最新世代よりも前の世代である場合は、当該ユーザの加入を更新イベントとせず、
    前記グループに所属しているユーザには新たな鍵の発行を行わず、前記グループに新たに加入するユーザに、現在の最新世代の鍵を発行するとともに、当該ユーザに指定される利用開始世代の鍵から現在の最新世代の鍵までを合成した合成鍵を発行することを特徴とする請求項２１に記載の情報処理システム。
23. 複数のユーザに利用される複数の情報処理装置と通信可能であり、ユーザの要求に基づいて暗号化データを記憶し、ユーザの要求に基づいて記憶している暗号化データの検索を行うサーバ装置と、
    前記サーバ装置に対して秘密にしている鍵を更新イベントの発生時に新たな世代値を設けて更新し、更新イベント発生時を含む所定の鍵発行タイミングにおいてユーザに鍵を発行する管理装置とを有し、
    前記管理装置は、
    ユーザのカテゴリーとして、所定のグループに所属し前記サーバ装置の暗号化データに対する検索が許容される所属ユーザと、前記グループから脱退し前記サーバ装置の暗号化データに対する検索が禁止される禁止ユーザと、前記グループから脱退したが脱退前に前記サーバ装置に格納された暗号化データに対しては検索が許容される限定ユーザが設けられ、
    前記グループからのユーザの脱退を前記更新イベントの一つとし、
    鍵の世代値は、前記禁止ユーザが発生した際に値が更新される禁止ユーザ対応値と前記限定ユーザが発生した際に値が更新される限定ユーザ対応値を構成要素とし、
    いずれかのユーザが前記グループから脱退し、脱退したユーザが前記禁止ユーザに該当する場合に、前記所属ユーザに対しては所属ユーザ向けの最新世代の鍵を発行し、前記脱退ユーザに対しては脱退ユーザ向けの最新世代の鍵を発行し、前記所属ユーザ向けの最新世代の鍵は、前記禁止ユーザ対応値が更新された値となり前記限定ユーザ対応値が当該脱退前の値のままである世代値が設定されている鍵であり、前記限定ユーザ向けの最新世代の鍵は、前記禁止ユーザ対応値が更新された値となり前記限定ユーザ対応値が当該限定ユーザの脱退時点の値のままである世代値が設定されている鍵であり、
    いずれかのユーザが前記グループから脱退し、脱退したユーザが前記限定ユーザに該当する場合に、前記所属ユーザに対して、前記限定ユーザ対応値が更新された値となり前記禁止ユーザ対応値が当該脱退前の値のままである世代値が設定されている最新世代の鍵を発行し、
    前記サーバ装置は、
    情報処理装置から、暗号化データの検索に用いられるインデックス情報と、前記情報処理装置のユーザの格納要求時点での最新世代の鍵に設定されている禁止ユーザ対応値及び限定ユーザ対応値と、暗号化データとが含まれる格納要求を受領した場合に、前記インデックス情報と、前記禁止ユーザ対応値及び限定ユーザ対応値と、前記暗号化データとを対応付けて記憶し、
    情報処理装置から、前記情報処理装置のユーザの検索要求時点での最新世代の鍵に設定されている禁止ユーザ対応値及び限定ユーザ対応値が暗号化されている暗号化世代情報を含む暗号化データの検索要求を受信した場合に、
    前記暗号化世代情報より抽出される禁止ユーザ対応値が実際の最新世代の禁止ユーザ対応値と一致しない場合は暗号化データの検索が行われず、前記暗号化世代情報より抽出される禁止ユーザ対応値が実際の最新世代の禁止ユーザ対応値と一致する場合は、前記暗号化世代情報から抽出される限定ユーザ対応値以前の限定ユーザ対応値のインデックス情報が対応付けられている暗号化データに限定した検索が行われることを特徴とする情報処理システム。
24. 前記管理装置は、
    所属ユーザごとに、鍵の利用が許可される最も前の禁止ユーザ対応値と最も前の限定ユーザ対応値の組み合わせを利用開始世代として指定し、
    鍵発行タイミングにおいて、所属ユーザ又は限定ユーザごとに、最新世代の鍵であって、ユーザに指定されている利用開始世代から当該最新世代までが許可世代範囲として設定されている鍵を発行し、
    前記サーバ装置は、
    情報処理装置から、前記情報処理装置のユーザの検索要求時点での最新世代の鍵を用いて生成され、前記ユーザの許可世代範囲である利用開始世代から当該最新世代までのｎ（ｎ≧１）世代の各世代における禁止ユーザ対応値及び限定ユーザ対応値が暗号化されているｎ個の暗号化世代情報が集約されている集約情報が含まれる検索要求を受信した場合に、
    前記集約情報に対して所定の演算を行い、前記集約情報からｎ個の暗号化世代情報を抽出し、
    抽出した暗号化世代情報ごとにインデックス情報との照合を行って暗号化データの検索を行うことを特徴とする請求項２３に記載の情報処理システム。
25. 前記サーバ装置は、
    情報処理装置から、前記ユーザにより指定された検索条件が暗号化されているインデックス情報が含まれる格納要求を受領した場合に、前記インデックス情報と、前記禁止ユーザ対応値及び限定ユーザ対応値と、前記暗号化データとを対応付けて記憶し、
    情報処理装置から、前記ｎ世代の各世代における禁止ユーザ対応値及び限定ユーザ対応値と前記ユーザにより指定された検索条件が暗号化されているｎ個の暗号化世代情報が集約されている集約情報が含まれる検索要求を受信した場合に、
    前記集約情報に対して所定の演算を行い、前記集約情報からｎ個の暗号化世代情報を抽出し、
    抽出した暗号化世代情報ごとにインデックス情報との照合を行い、暗号化世代情報と共通する値のインデックス情報を選択し、選択したインデックス情報に対応付けられている暗号化データを抽出することを特徴とする請求項２４に記載の情報処理システム。
26. 前記サーバ装置は、
    情報処理装置から、前記ユーザにより指定された検索条件と格納対象の暗号化データの識別子が暗号化されているインデックス情報と前記識別子が含まれる格納要求を受領した場合に、前記インデックス情報と、前記禁止ユーザ対応値及び限定ユーザ対応値と、前記暗号化データと、前記識別子とを対応付けて記憶し、
    情報処理装置から、前記ｎ世代の各世代における禁止ユーザ対応値及び限定ユーザ対応値と前記ユーザにより指定された検索条件が暗号化されているｎ個の暗号化世代情報が集約されている集約情報が含まれる検索要求を受信した場合に、
    前記集約情報に対して所定の演算を行い、前記集約情報からｎ個の暗号化世代情報を抽出し、
    抽出した暗号化世代情報ごとに、各インデックス情報に対応付けられている識別子を用いて所定の演算を行い、演算により得られた値と共通する値のインデックス情報を選択し、選択したインデックス情報に対応付けられている暗号化データを抽出することを特徴とする請求項２４に記載の情報処理システム。
27. 前記管理装置は、
    生成済みの鍵に対して第１の関数及び第２の関数のいずれかを適用して、各鍵間に連続性を持たせながら、前記生成済みの鍵とは別の禁止ユーザ対応値又は限定ユーザ対応値が設定されている鍵を生成し、
    前記サーバ装置は、
    情報処理装置からの検索要求を受信した場合に、受信した検索要求に含まれる前記集約情報に対して前記第１の関数と前記第２の関数を適用した所定の演算を行い、前記集約情報からｎ個の暗号化世代情報を抽出することを特徴とする請求項２４〜２６のいずれかに記載の情報処理システム。
28. 前記管理装置は、
    禁止ユーザ対応値及び限定ユーザ対応値のいずれもが先頭値となっている先頭世代の鍵と各世代の鍵との間に連続性を持たせるようにして第１の関数及び第２の関数を用いて各世代の鍵を生成し、
    前記先頭世代の鍵と、いずれのユーザ及び情報処理装置に対しても公開されている公開値とを用いて、先頭世代暗号値を生成し、生成した先頭世代暗号値を前記サーバ装置に通知し、
    前記サーバ装置は、
    情報処理装置から、前記先頭世代暗号値との照合に用いられる照合用情報が含まれる検索要求を受信した場合に、前記照合用情報に対して前記第１の関数と前記第２の関数を適用して、前記照合用情報から前記先頭世代暗号値に一致する値が検出できるか否かを判定し、前記照合用情報から前記先頭世代暗号値に一致する値が検出できない場合には暗号化データの検索を行わないことを特徴とする請求項２３〜２７のいずれかに記載の情報処理システム。
29. 前記管理装置は、
    限定ユーザ対応値の最終値及び禁止ユーザ対応値の最終値を決定し、限定ユーザ対応値が最終値となり禁止ユーザ対応値が最終値となる最終世代の鍵を初期鍵として生成し、
    前記初期鍵に第１の関数を適用して、禁止ユーザ対応値が前記初期鍵の禁止ユーザ対応値と共通し限定ユーザ対応値が前記初期鍵の限定ユーザ対応値の１つ前の世代の値となる新たな鍵を生成し、生成した鍵に前記第１の関数を適用して、禁止ユーザ対応値が当該生成済みの鍵の禁止ユーザ対応値と共通し限定ユーザ対応値が当該生成済みの鍵の限定ユーザ対応値の１つ前の世代の値となる新たな鍵を生成し、
    前記初期鍵に第２の関数を適用して、限定ユーザ対応値が前記初期鍵の限定ユーザ対応値と共通し禁止ユーザ対応値が前記初期鍵の禁止ユーザ対応値の１つ前の世代の値となる新たな鍵を生成し、生成した鍵に前記第２の関数を適用して、限定ユーザ対応値が当該生成済みの鍵の限定ユーザ対応値と共通し禁止ユーザ対応値が当該生成済みの鍵の禁止ユーザ対応値の１つ前の世代の値となる新たな鍵を生成し、
    生成した鍵に第１の関数及び第２の関数のいずれかを適用して新たな鍵を生成する動作を繰り返して、限定ユーザ対応値及び禁止ユーザ対応値の組み合わせの全パターンに対応する複数の鍵を生成し、生成した複数の鍵を記憶し、
    鍵発行時に、所属ユーザ又は限定ユーザごとに、対応する限定ユーザ対応値及び禁止ユーザ対応値の組み合わせの鍵を、記憶している前記複数の鍵の中から抽出し、抽出した鍵を発行することを特徴とする請求項２７に記載の情報処理システム。
30. 前記管理装置は、
    予め、限定ユーザ対応値及び禁止ユーザ対応値のいずれもが先頭値となっている先頭世代の鍵を初期鍵として生成し、
    鍵発行時に、所属ユーザ又は限定ユーザごとに、対応する限定ユーザ対応値及び禁止ユーザ対応値の組み合わせに基づき、初期鍵又は前記初期鍵から派生する鍵を生成元鍵とし、前記生成元鍵に前記第１の関数を適用して禁止ユーザ対応値が前記生成元鍵の禁止ユーザ対応値と共通し限定ユーザ対応値が前記生成元鍵の限定ユーザ対応値の１つ後の世代の値となる新たな鍵を生成し、または、前記生成元鍵に前記第２の関数を適用して限定ユーザ対応値が前記生成元鍵の限定ユーザ対応値と共通し禁止ユーザ対応値が前記生成元鍵の禁止ユーザ対応値の１つ後の世代の値となる新たな鍵を生成し、生成した鍵を所属ユーザ又は限定ユーザに発行することを特徴とする請求項２７に記載の情報処理システム。
31. 前記管理装置は、
    十分大きな素数であるｐ_１及びｐ_２を選び、Ｎ＝ｐ_１×ｐ_２とし、ｅ_１及びｅ_２としてＺ_Ｎ ^＊から（ｐ_１−１）（ｐ_２−１）と互いに素な数をランダムに選択した場合に、
    前記第１の関数を、Ｆ_１（ｘ）＝ｘ^ｅ１ ｍｏｄ Ｎ とし、
    前記第２の関数を、Ｆ_２（ｘ）＝ｘ^ｅ２ ｍｏｄ Ｎ とし、
    （ｍｏｄはモジュロ演算子を表し、Ｚ_Ｎ ^＊は０からＮ−１の整数の中でＮと互いに素である整数の集合を表す）（Ｆ_１（ｘ）とＦ_２（ｘ）は、互いに可換である）
    前記禁止ユーザ対応値の最終値をｑ_１とし、前記限定ユーザ対応値の最終値をｑ_２とし、前記禁止ユーザ対応値が最終値となり前記限定ユーザ対応値が最終値となる最終世代の鍵である初期鍵をｋ_{ｑ１，ｑ２}とし、初期鍵ｋ_{ｑ１，ｑ２}をＺ_Ｎ ^＊からランダムに選択し、前記禁止ユーザ対応値がｉ世代であり前記限定ユーザ対応値がｊ世代である鍵をｋ_ｉ，ｊとした場合に、
    ｋ_{ｉ，ｊ−１}＝Ｆ_１（ｋ_ｉ，ｊ）
    ｋ_{ｉ−１，ｊ}＝Ｆ_２（ｋ_ｉ，ｊ）
    による演算を繰り返して、前記禁止ユーザ対応値及び前記限定ユーザ対応値の組み合わせの全パターンに対応する複数の鍵ｋ_１，１からｋ_{ｑ１，ｑ２}を生成することを特徴とする請求項２９に記載の情報処理システム。
32. 前記管理装置は、
    各情報処理装置において利用される関数を、
    Ｇ（ｘ，ｙ）＝ｘ^ｙ ｍｏｄ Ｎ とし、
    （Ｇ（ｘ，ｙ）は、Ｆ_１（ｘ）及びＦ_２（ｘ）と互いに可換である）、
    前記サーバ装置は、
    情報処理装置から、前記情報処理装置のユーザの検索要求時点での最新世代の鍵に基づいて生成された、前記ｎ世代の各世代における禁止ユーザ対応値及び限定ユーザ対応値と前記情報処理装置のユーザにより指定された検索条件が暗号化されているｎ個の暗号化世代情報が集約されている集約情報であって、
    前記ユーザの検索要求時点での最新世代の鍵が、禁止ユーザ対応値がｓ世代であり限定ユーザ対応値がｔ世代である鍵ｋ_ｓ，ｔであり、前記検索条件がｗであり、
    ｔｄ_ｓ，ｔ＝Ｇ（ｋ_ｓ，ｔ，ｗ）
    により生成された集約情報ｔｄ_ｓ，ｔが含まれる検索要求を受信した場合に、
    ｔｄ_{ｉ，ｊ−１}＝Ｆ_１（ｔｄ_ｉ，ｊ）
    ｔｄ_{ｉ−１，ｊ}＝Ｆ_２（ｔｄ_ｉ，ｊ）
    により、集約情報ｔｄ_ｓ，ｔから、ｊ≦ｔを満たす範囲で暗号化世代情報ｔｄ_ｉ，ｊを抽出することを特徴とする請求項３１に記載の情報処理システム。
33. 前記サーバ装置は、
    情報処理装置から、前記検索条件と格納対象の暗号化データの識別子が暗号化されているインデックス情報であって、
    前記ユーザの格納要求時点での最新世代の鍵が、禁止ユーザ対応値がｓ世代であり限定ユーザ対応値がｔ世代である鍵ｋ_ｓ，ｔであり、前記検索条件がｗであり、前記識別子がｉｄであり、Ｈ（ｘ，ｙ）を一方向性関数であり、
    ｔｄ＝Ｇ（ｋ_ｓ，ｔ，ｗ）
    ｃ＝Ｈ（ｉｄ，ｔｄ）
    により生成された暗号値ｃであるインデックス情報と、前記情報処理装置のユーザの格納要求時点での最新世代の鍵に設定されている禁止ユーザ対応値及び限定ユーザ対応値と、格納対象の暗号化データと、前記識別子とを受領した場合に、
    前記インデックス情報と、前記禁止ユーザ対応値及び限定ユーザ対応値と、前記暗号化データと、前記識別子とを対応付けて記憶し、
    情報処理装置からの検索要求を受信した際に、集約情報ｔｄ_ｓ，ｔから暗号化世代情報ｔｄ_ｉ，ｊを抽出し、
    各インデックス情報に対応付けられている識別子をｉｄとした場合に、暗号化世代情報ｔｄ_ｉ，ｊごとに、
    ｃ＝Ｈ（ｉｄ，ｔｄ_ｉ，ｊ）
    を計算し、
    演算により得られた値ｃと共通する値のインデックス情報を選択し、選択したインデックス情報に対応付けられている暗号化データを抽出することを特徴とする請求項３２に記載の情報処理システム。
34. 請求項１〜３３のいずれかに記載の管理装置。
35. 請求項１〜３３のいずれかに記載のサーバ装置。
36. 請求項１〜２２のいずれかに記載の情報処理装置。

Images