JP2011232475A

JP2011232475A - 暗号処理システム、鍵生成装置、暗号化装置、復号装置、署名処理システム、署名装置及び検証装置

Info

Publication number: JP2011232475A
Application number: JP2010101657A
Authority: JP
Inventors: Katsuyuki Takashima; 克幸高島; Tatsuaki Okamoto; 龍明岡本
Original assignee: Mitsubishi Electric Corp; Nippon Telegraph and Telephone Corp
Current assignee: Mitsubishi Electric Corp; Nippon Telegraph and Telephone Corp
Priority date: 2010-04-27
Filing date: 2010-04-27
Publication date: 2011-11-17
Anticipated expiration: 2030-04-27
Also published as: EP2565862A4; US20130028415A1; KR20120139753A; EP2565862A1; KR101386294B1; JP5424974B2; ES2693146T3; WO2011135895A1; US8913742B2; CN102859571B; EP2565862B1; CN102859571A

Abstract

【課題】多くの暗号機能を有する安全な関数型暗号方式を提供することを目的とする。
【解決手段】スパンプログラムに属性ベクトルの内積を適用することにより、アクセスストラクチャを構成した。このアクセスストラクチャは、スパンプログラムの設計と、属性ベクトルの設計とに自由度があり、アクセス制御の設計に大きな自由度を有する。そして、このアクセスストラクチャに対して秘密分散の概念を用いることで、関数型暗号処理を実現した。
【選択図】図６

Description

この発明は、関数型暗号（ＦｕｎｃｔｉｏｎａｌＥｎｃｒｙｐｔｉｏｎ，ＦＥ）方式に関するものである。

非特許文献３−６，１０，１２，１３，１５，１８には、関数型暗号方式の１つのクラスであるＩＤベース暗号（Ｉｄｅｎｔｉｔｙ−ＢａｓｅｄＥｎｃｒｙｐｔｉｏｎ，ＩＢＥ）方式についての記載がある。また、非特許文献２，７，９，１６，１９，２３−２６，２８には、関数型暗号方式の１つのクラスである属性ベース暗号（Ａｔｔｒｉｂｕｔｅ−ＢａｓｅｄＥｎｃｒｙｐｔｉｏｎ，ＡＢＥ）方式についての記載がある。

Ｂｅｉｍｅｌ，Ａ．，Ｓｅｃｕｒｅｓｃｈｅｍｅｓｆｏｒｓｅｃｒｅｔｓｈａｒｉｎｇａｎｄｋｅｙｄｉｓｔｒｉｂｕｔｉｏｎ．ＰｈＤＴｈｅｓｉｓ，ＩｓｒａｅｌＩｎｓｔｉｔｕｔｅｏｆＴｅｃｈｎｏｌｏｇｙ，Ｔｅｃｈｎｉｏｎ，Ｈａｉｆａ，Ｉｓｒａｅｌ，１９９６Ｂｅｔｈｅｎｃｏｕｒｔ，Ｊ．，Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ｃｉｐｈｅｒｔｅｘｔｐｏｌｉｃｙａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ．Ｉｎ：２００７ＩＥＥＥＳｙｍｐｏｓｉｕｍｏｎＳｅｃｕｒｉｔｙａｎｄＰｒｉｖａｃｙ，ｐｐ．３２１・３４．ＩＥＥＥＰｒｅｓｓ（２００７）Ｂｏｎｅｈ，Ｄ．，Ｂｏｙｅｎ，Ｘ．：Ｅｆｆｉｃｉｅｎｔｓｅｌｅｃｔｉｖｅ−ＩＤｓｅｃｕｒｅｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ．Ｉｎ：Ｃａｃｈｉｎ，Ｃ．，Ｃａｍｅｎｉｓｃｈ，Ｊ．（ｅｄｓ．）ＥＵＲＯＣＲＹＰＴ２００４．ＬＮＣＳ，ｖｏｌ．３０２７，ｐｐ．２２３・３８．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００４）Ｂｏｎｅｈ，Ｄ．，Ｂｏｙｅｎ，Ｘ．：Ｓｅｃｕｒｅｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ．Ｉｎ：Ｆｒａｎｋｌｉｎ，Ｍ．Ｋ．（ｅｄ．）ＣＲＹＰＴＯ２００４．ＬＮＣＳ，ｖｏｌ．３１５２，ｐｐ．４４３・５９．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００４）Ｂｏｎｅｈ，Ｄ．，Ｂｏｙｅｎ，Ｘ．，Ｇｏｈ，Ｅ．：Ｈｉｅｒａｒｃｈｉｃａｌｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｃｏｎｓｔａｎｔｓｉｚｅｃｉｐｈｅｒｔｅｘｔ．Ｉｎ：Ｃｒａｍｅｒ，Ｒ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００５．ＬＮＣＳ，ｖｏｌ．３４９４，ｐｐ．４４０・５６．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００５）Ｂｏｎｅｈ，Ｄ．，Ｆｒａｎｋｌｉｎ，Ｍ．：Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｆｒｏｍｔｈｅＷｅｉｌｐａｉｒｉｎｇ．Ｉｎ：Ｋｉｌｉａｎ，Ｊ．（ｅｄ．）ＣＲＹＰＴＯ２００１．ＬＮＣＳ，ｖｏｌ．２１３９，ｐｐ．２１３・２９．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００１）Ｂｏｎｅｈ，Ｄ．，Ｈａｍｂｕｒｇ，Ｍ．：Ｇｅｎｅｒａｌｉｚｅｄｉｄｅｎｔｉｔｙｂａｓｅｄａｎｄｂｒｏａｄｃａｓｔｅｎｃｒｙｐｔｉｏｎｓｃｈｅｍｅ．Ｉｎ：Ｐｉｅｐｒｚｙｋ，Ｊ．（ｅｄ．）ＡＳＩＡＣＲＹＰＴ２００８．ＬＮＣＳ，ｖｏｌ．５３５０，ｐｐ．４５５・７０．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｂｏｎｅｈ，Ｄ．，Ｋａｔｚ，Ｊ．，ＩｍｐｒｏｖｅｄｅｆｆｉｃｉｅｎｃｙｆｏｒＣＣＡ−ｓｅｃｕｒｅｃｒｙｐｔｏｓｙｓｔｅｍｓｂｕｉｌｔｕｓｉｎｇｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ．ＲＳＡ−ＣＴ２００５，ＬＮＣＳ，ＳｐｒｉｎｇｅｒＶｅｒｌａｇ（２００５）Ｂｏｎｅｈ，Ｄ．，Ｗａｔｅｒｓ，Ｂ．：Ｃｏｎｊｕｎｃｔｉｖｅ，ｓｕｂｓｅｔ，ａｎｄｒａｎｇｅｑｕｅｒｉｅｓｏｎｅｎｃｒｙｐｔｅｄｄａｔａ．Ｉｎ：Ｖａｄｈａｎ，Ｓ．Ｐ．（ｅｄ．）ＴＣＣ２００７．ＬＮＣＳ，ｖｏｌ．４３９２，ｐｐ．５３５・５４．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００７）Ｂｏｙｅｎ，Ｘ．，Ｗａｔｅｒｓ，Ｂ．：Ａｎｏｎｙｍｏｕｓｈｉｅｒａｒｃｈｉｃａｌｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ（ｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ）．Ｉｎ：Ｄｗｏｒｋ，Ｃ．（ｅｄ．）ＣＲＹＰＴＯ２００６．ＬＮＣＳ，ｖｏｌ．４１１７，ｐｐ．２９０・０７．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００６）Ｃａｎｅｔｔｉ，Ｒ．，ＨａｌｅｖｉＳ．，ＫａｔｚＪ．，Ｃｈｏｓｅｎ−ｃｉｐｈｅｒｔｅｘｔｓｅｃｕｒｉｔｙｆｒｏｍｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ．ＥＵＲＯＣＲＹＰＴ２００４，ＬＮＣＳ，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ（２００４）Ｃｏｃｋｓ，Ｃ．：Ａｎｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｓｃｈｅｍｅｂａｓｅｄｏｎｑｕａｄｒａｔｉｃｒｅｓｉｄｕｅｓ．Ｉｎ：Ｈｏｎａｒｙ，Ｂ．（ｅｄ．）ＩＭＡＩｎｔ．Ｃｏｎｆ．ＬＮＣＳ，ｖｏｌ．２２６０，ｐｐ．３６０・６３．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００１）Ｇｅｎｔｒｙ，Ｃ．：Ｐｒａｃｔｉｃａｌｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ．Ｉｎ：Ｖａｕｄｅｎａｙ，Ｓ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００６．ＬＮＣＳ，ｖｏｌ．４００４，ｐｐ．４４５・６４．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００６）Ｇｅｎｔｒｙ，Ｃ．，Ｈａｌｅｖｉ，Ｓ．：Ｈｉｅｒａｒｃｈｉｃａｌｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｐｏｌｙｎｏｍｉａｌｌｙｍａｎｙｌｅｖｅｌｓ．Ｉｎ：Ｒｅｉｎｇｏｌｄ，Ｏ．（ｅｄ．）ＴＣＣ２００９．ＬＮＣＳ，ｖｏｌ．５４４４，ｐｐ．４３７・５６．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００９）Ｇｅｎｔｒｙ，Ｃ．，Ｓｉｌｖｅｒｂｅｒｇ，Ａ．：ＨｉｅｒａｒｃｈｉｃａｌＩＤ−ｂａｓｅｄｃｒｙｐｔｏｇｒａｐｈｙ．Ｉｎ：Ｚｈｅｎｇ，Ｙ．（ｅｄ．）ＡＳＩＡＣＲＹＰＴ２００２．ＬＮＣＳ，ｖｏｌ．２５０１，ｐｐ．５４８・６６．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００２）Ｇｏｙａｌ，Ｖ．，Ｐａｎｄｅｙ，Ｏ．，Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｆｏｒｆｉｎｅ−ｇｒａｉｎｅｄａｃｃｅｓｓｃｏｎｔｒｏｌｏｆｅｎｃｒｙｐｔｅｄｄａｔａ．Ｉｎ：ＡＣＭＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔｅｒａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎＳｅｃｕｒｉｔｙ２００６，ｐｐ．８９・８，ＡＣＭ（２００６）Ｇｒｏｔｈ，Ｊ．，Ｓａｈａｉ，Ａ．：Ｅｆｆｉｃｉｅｎｔｎｏｎ−ｉｎｔｅｒａｃｔｉｖｅｐｒｏｏｆｓｙｓｔｅｍｓｆｏｒｂｉｌｉｎｅａｒｇｒｏｕｐｓ．Ｉｎ：Ｓｍａｒｔ，Ｎ．Ｐ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００８．ＬＮＣＳ，ｖｏｌ．４９６５，ｐｐ．４１５・３２．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｈｏｒｗｉｔｚ，Ｊ．，Ｌｙｎｎ，Ｂ．：Ｔｏｗａｒｄｓｈｉｅｒａｒｃｈｉｃａｌｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ．Ｉｎ：Ｋｎｕｄｓｅｎ，Ｌ．Ｒ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００２．ＬＮＣＳ，ｖｏｌ．２３３２，ｐｐ．４６６・８１．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００２）Ｋａｔｚ，Ｊ．，Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ｐｒｅｄｉｃａｔｅｅｎｃｒｙｐｔｉｏｎｓｕｐｐｏｒｔｉｎｇｄｉｓｊｕｎｃｔｉｏｎｓ，ｐｏｌｙｎｏｍｉａｌｅｑｕａｔｉｏｎｓ，ａｎｄｉｎｎｅｒｐｒｏｄｕｃｔｓ．Ｉｎ：Ｓｍａｒｔ，Ｎ．Ｐ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００８．ＬＮＣＳ，ｖｏｌ．４９６５，ｐｐ．１４６・６２．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｌｅｗｋｏ，Ａ．Ｂ．，Ｗａｔｅｒｓ，Ｂ．：ＦｕｌｌｙｓｅｃｕｒｅＨＩＢＥｗｉｔｈｓｈｏｒｔｃｉｐｈｅｒｔｅｘｔｓ．ｅＰｒｉｎｔ，ＩＡＣＲ，ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００９／４８２Ｏｋａｍｏｔｏ，Ｔ．，Ｔａｋａｓｈｉｍａ，Ｋ．：Ｈｏｍｏｍｏｒｐｈｉｃｅｎｃｒｙｐｔｉｏｎａｎｄｓｉｇｎａｔｕｒｅｓｆｒｏｍｖｅｃｔｏｒｄｅｃｏｍｐｏｓｉｔｉｏｎ．Ｉｎ：Ｇａｌｂｒａｉｔｈ，Ｓ．Ｄ．，Ｐａｔｅｒｓｏｎ，Ｋ．Ｇ．（ｅｄｓ．）Ｐａｉｒｉｎｇ２００８．ＬＮＣＳ，ｖｏｌ．５２０９，ｐｐ．５７・４．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｏｋａｍｏｔｏ，Ｔ．，Ｔａｋａｓｈｉｍａ，Ｋ．：ＨｉｅｒａｒｃｈｉｃａｌｐｒｅｄｉｃａｔｅｅｎｃｒｙｐｔｉｏｎｆｏｒＩｎｎｅｒ−Ｐｒｏｄｕｃｔｓ，Ｉｎ：ＡＳＩＡＣＲＹＰＴ２００９，ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００９）Ｏｓｔｒｏｖｓｋｙ，Ｒ．，Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｎｏｎ−ｍｏｎｏｔｏｎｉｃａｃｃｅｓｓｓｔｒｕｃｔｕｒｅｓ．Ｉｎ：ＡＣＭＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔｅｒａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎＳｅｃｕｒｉｔｙ２００７，ｐｐ．１９５・０３，ＡＣＭ（２００７）Ｐｉｒｒｅｔｔｉ，Ｍ．，Ｔｒａｙｎｏｒ，Ｐ．，ＭｃＤａｎｉｅｌ，Ｐ．，Ｗａｔｅｒｓ，Ｂ．：Ｓｅｃｕｒｅａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｓｙｓｔｅｍｓ．Ｉｎ：ＡＣＭＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔｅｒａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎＳｅｃｕｒｉｔｙ２００６，ｐｐ．９９・１２，ＡＣＭ，（２００６）Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ｆｕｚｚｙｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ．Ｉｎ：Ｃｒａｍｅｒ，Ｒ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００５．ＬＮＣＳ，ｖｏｌ．３４９４，ｐｐ．４５７・７３．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００５）Ｓｈｉ，Ｅ．，Ｗａｔｅｒｓ，Ｂ．：Ｄｅｌｅｇａｔｉｎｇｃａｐａｂｉｌｉｔｙｉｎｐｒｅｄｉｃａｔｅｅｎｃｒｙｐｔｉｏｎｓｙｓｔｅｍｓ．Ｉｎ：Ａｃｅｔｏ，Ｌ．，Ｄａｍｇａｒｄ，Ｉ．，Ｇｏｌｄｂｅｒｇ，Ｌ．Ａ．，Ｈａｌｌｄｏｓｓｏｎ，Ｍ．Ｍ．，Ｉｎｇｏｆｓｄｏｔｉｒ，Ａ．，Ｗａｌｕｋｉｅｗｉｃｚ，Ｉ．（ｅｄｓ．）ＩＣＡＬＰ（２）２００８．ＬＮＣＳ，ｖｏｌ．５１２６，ｐｐ．５６０・７８．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｗａｔｅｒｓ，Ｂ．：Ｅｆｆｉｃｉｅｎｔｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ．Ｅｕｒｏｃｒｙｐｔ２００５，ＬＮＣＳＮｏ．３１５２，ｐｐ．４４３・５９．ＳｐｒｉｎｇｅｒＶｅｒｌａｇ，２００５．Ｗａｔｅｒｓ，Ｂ．：Ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ：ａｎｅｘｐｒｅｓｓｉｖｅ，ｅｆｆｉｃｉｅｎｔ，ａｎｄｐｒｏｖａｂｌｙｓｅｃｕｒｅｒｅａｌｉｚａｔｉｏｎ．ｅＰｒｉｎｔ，ＩＡＣＲ，ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００８／２９０Ｗａｔｅｒｓ，Ｂ．：Ｄｕａｌｓｙｓｔｅｍｅｎｃｒｙｐｔｉｏｎ：ＲｅａｌｉｚｉｎｇｆｕｌｌｙｓｅｃｕｒｅＩＢＥａｎｄＨＩＢＥｕｎｄｅｒｓｉｍｐｌｅａｓｓｕｍｐｔｉｏｎｓ．Ｉｎ：Ｈａｌｅｖｉ，Ｓ．（ｅｄ．）ＣＲＹＰＴＯ２００９．ＬＮＣＳ，ｖｏｌ．５６７７，ｐｐ．６１９・３６．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００９）

この発明は、多機能な暗号機能を有する安全な関数型暗号方式を提供することを目的とする。

この発明に係る暗号処理システムは、
鍵生成装置と暗号化装置と復号装置とを備え、ｔ＝０，．．．，ｄ（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を実行する暗号処理システムであり、
前記鍵生成装置は、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性ベクトルｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍとを入力する第１情報入力部と、
ｒ個の要素を有するベクトルｆ^→及びｗ^→と、前記第１情報入力部が入力した行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、値ｓ_０：＝ｗ^→・ｆ^→Ｔと、所定の値θ_ｉ（ｉ＝１，．．．，Ｌ）とに基づき、要素ｋ^＊ _０と、ｉ＝１，．．．，Ｌの各整数ｉについての要素ｋ^＊ _ｉとを生成する復号鍵生成部であって、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として前記値−ｓ_０を設定し、基底ベクトルｂ^＊ _０，ｑ（ｑは前記ｐとは異なる所定の値）の係数として所定の値κを設定して要素ｋ^＊ _０を生成し、
ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’の係数としてθ_ｉｖ_ｉ，ｉ’を設定して要素ｋ^＊ _ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’の係数としてｓ_ｉｖ_ｉ，ｉ’を設定して要素ｋ^＊ _ｉを生成する復号鍵生成部と
を備え、
前記暗号化装置は、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ：＝（ｘ_ｔ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを有する属性集合Γを入力する第２情報入力部と、
前記第２情報入力部が入力した属性集合Γに基づき、要素ｃ_０と、前記属性集合Γに含まれる各識別情報ｔについてについての要素ｃ_ｔとを生成する暗号化データ生成部であって、
基底Ｂ_０の基底ベクトルｂ_０，ｐ（ｐは前記ｐ）の係数として乱数値δを設定するとともに、基底ベクトルｂ_０，ｑ（ｑは前記ｑ）の係数として所定の値ζを設定した要素ｃ_０を生成し、
前記属性集合Γに含まれる各識別情報ｔについて、基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数値δ倍したｘ_ｔ，ｉ’を設定した要素ｃ_ｔとを生成する暗号化データ生成部と
を備え、
前記復号装置は、
前記暗号化データ生成部が生成した要素ｃ_０及び要素ｃ_ｔと、前記属性集合Γとを含む暗号化データｃを取得するデータ取得部と、
前記復号鍵生成部が生成した要素ｋ^＊ _０及び要素ｋ^＊ _ｉと、前記変数ρ（ｉ）とを含む復号鍵ｓｋ_Ｓを取得する復号鍵取得部と、
前記データ取得部が取得した暗号化データｃに含まれる属性集合Γと、前記復号鍵取得部が取得した復号鍵ｓｋ_Ｓに含まれる変数ρ（ｉ）とに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、α_ｉｓ_ｉを合計した場合にｓ_０となる補完係数α_ｉを計算する補完係数計算部と、
前記暗号化データｃに含まれる要素ｃ_０，要素ｃ_ｔと、前記復号鍵ｓｋ_Ｓに含まれる要素ｋ^＊ _０，要素ｋ^＊ _ｉとについて、前記補完係数計算部が特定した集合Ｉと、前記補完係数計算部が計算した補完係数α_ｉとに基づき、数１に示すペアリング演算を行い値Ｋ＝ｇ_Ｔ ^ζκを計算するペアリング演算部と
を備えることを特徴とする。

この発明に係る暗号処理システムは、スパンプログラム（ＳｐａｎＰｒｏｇｒａｍ）と内積述語とを用いて関数型暗号を実現しており、多機能な暗号機能を実現している。また、従来の関数型暗号方式に比べ、安全性が高い。

行列Ｍ＾の説明図。行列Ｍ_δの説明図。ｓ_０の説明図。ｓ^→Ｔの説明図。Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式を実行する暗号処理システム１０の構成図。Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式を実行する暗号処理システム１０の機能を示す機能ブロック図。Ｓｅｔｕｐアルゴリズムの処理を示すフローチャート。ＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。Ｅｎｃアルゴリズムの処理を示すフローチャート。Ｄｅｃアルゴリズムの処理を示すフローチャート。Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式のアルゴリズムを実行する暗号処理システム１０の構成図。Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式を実行する暗号処理システム１０の機能を示す機能ブロック図。ＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。Ｅｎｃアルゴリズムの処理を示すフローチャート。Ｄｅｃアルゴリズムの処理を示すフローチャート。署名処理システム２０の構成図。署名処理システム２０の機能を示す機能ブロック図。Ｓｅｔｕｐアルゴリズムの処理を示すフローチャート。ＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。Ｅｎｃアルゴリズムの処理を示すフローチャート。Ｄｅｃアルゴリズムの処理を示すフローチャート。鍵生成装置１００、暗号化装置２００、復号装置３００、署名装置４００、検証装置５００のハードウェア構成の一例を示す図。

以下、図に基づき、発明の実施の形態を説明する。
以下の説明において、処理装置は後述するＣＰＵ９１１等である。記憶装置は後述するＲＯＭ９１３、ＲＡＭ９１４、磁気ディスク９２０等である。通信装置は後述する通信ボード９１５等である。入力装置は後述するキーボード９０２、通信ボード９１５等である。つまり、処理装置、記憶装置、通信装置、入力装置はハードウェアである。

以下の説明における記法について説明する。
Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。

Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。

数１０３は、ｙがｚにより定義された集合であること、又はｙがｚを代入された集合であることを表す。

ａが定数であるとき、数１０４は、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。

数１０５、つまりＦ_ｑは、位数ｑの有限体を示す。

ベクトル表記は、有限体Ｆ_ｑにおけるベクトル表示を表す。つまり、数１０６である。

数１０７は、数１０８に示す２つのベクトルｘ^→とｖ^→との数１０９に示す内積を表す。

Ｘ^Ｔは、行列Ｘの転置行列を表す。
ｂ_ｉ（ｉ＝１，．．．，ｎ）が空間Ｖのベクトルの要素であるとき、つまり、数１１０であるとき、数１１１は、数１１２によって生成される部分空間を表す。

数１１３に示す基底Ｂと基底Ｂ^＊とに対して、数１１４である。

また、以下の説明において、“ｎｔ”が下付き又は上付きで示されている場合、このｎｔはｎ_ｔを意味する。同様に、“Ｖｔ”が下付き又は上付きで示されている場合、このＶｔはＶ_ｔを意味する。同様に、“δｉ，ｊ”が上付きで示されている場合、このδｉ，ｊは、δ_ｉ，ｊを意味する。
また、ベクトルを意味する“→”が下付き文字又は上付き文字に付されている場合、この“→”は下付き文字又は上付き文字に上付きで付されていることを意味する。
また、基底を表すＢ０，Ｂｄ＋１が下付きで示されている場合、このＢ０，Ｂｄ＋１はそれぞれＢ_０，Ｂ_ｄ＋１を表す。同様に、基底を表すＢ＊０，Ｂ＊ｄ＋１が下付きで示されている場合、このＢ＊０，Ｂ＊ｄ＋１はそれぞれＢ^＊ _０，Ｂ^＊ _ｄ＋１を表す。

また、以下の説明において、暗号処理とは、鍵生成処理、暗号化処理、復号処理を含むものであり、署名処理とは、鍵生成処理、署名処理、検証処理を含むものである。

実施の形態１．
この実施の形態では、後の実施の形態で説明する「関数型暗号（ＦｕｎｃｔｉｏｎａｌＥｎｃｒｙｐｔｉｏｎ）方式」を実現する基礎となる概念と、関数型暗号の１つの構成について説明する。
第１に、関数型暗号について簡単に説明する。
第２に、関数型暗号を実現するための空間である「双対ペアリングベクトル空間（ＤｕａｌＰａｉｒｉｎｇＶｅｃｔｏｒＳｐａｃｅｓ，ＤＰＶＳ）」という豊かな数学的構造を有する空間を説明する。
第３に、関数型暗号を実現するための概念を説明する。ここでは、「スパンプログラム（ＳｐａｎＰｒｏｇｒａｍ）」、「属性ベクトルの内積とアクセスストラクチャ」、「秘密分散方式（秘密共有方式）」について説明する。
第４に、この実施の形態に係る「関数型暗号方式」を説明する。この実施の形態では、「Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号（Ｋｅｙ−ＰｏｌｉｃｙＦｕｎｃｔｉｏｎａｌＥｎｃｒｙｐｔｉｏｎ，ＫＰ−ＦＥ）方式」について説明する。そこで、まず、「Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式」の基本構成について説明する。次に、この「Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式」を実現する「暗号処理システム１０」の基本構成について説明する。そして、この実施の形態に係る「Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式」及び「暗号処理システム１０」について詳細に説明する。

＜第１．関数型暗号方式＞
関数型暗号方式は、暗号化鍵（ｅｎｃｒｙｐｔｉｏｎ−ｋｅｙ，ｅｋ）と、復号鍵（ｄｅｃｒｙｐｔｉｏｎ−ｋｅｙ，ｄｋ）との間の関係をより高度化し、より柔軟にした暗号方式である。
関数型暗号方式において、暗号化鍵と復号鍵とは、それぞれ、属性ｘと属性ｖとが設定されている。そして、関係Ｒに対してＲ（ｘ，ｖ）が成立する場合に限り、復号鍵ｄｋ_ｖ：＝（ｄｋ，ｖ）は暗号化鍵ｅｋ_ｘ：＝（ｅｋ，ｘ）で暗号化された暗号文を復号することができる。
関数型暗号方式には、データベースのアクセスコントロール、メールサービス、コンテンツ配布等の様々なアプリケーションが存在する（非特許文献２，７，９，１６，１９，２３−２６，２８参照）。

Ｒが等号関係である場合、つまり、ｘ＝ｖである場合に限りＲ（ｘ，ｖ）が成立する場合、関数型暗号方式はＩＤベース暗号方式である。

ＩＤベース暗号方式よりも一般化された関数型暗号方式として、属性ベース暗号方式がある。
属性ベース暗号方式では、暗号化鍵と復号鍵とに設定される属性が属性の組である。例えば、暗号化鍵と復号鍵とに設定される属性が、それぞれ、Ｘ：＝（ｘ_１，．．．，ｘ_ｄ）と、Ｖ：＝（ｖ_１，．．．，ｖ_ｄ）とである。
そして、属性のコンポーネントについて、コンポーネント毎の等号関係（例えば、{ｘ_ｔ＝ｖ_ｔ}_{ｔ∈{１，．．．，ｄ}}）がアクセスストラクチャＳに入力される。そして、アクセスストラクチャＳが入力を受理した場合にのみ、Ｒ（Ｘ，Ｖ）が成立する。つまり、暗号化鍵で暗号化された暗号文を復号鍵で復号することができる。
アクセスストラクチャＳが復号鍵ｄｋ_Ｖに埋め込まれている場合、属性ベース暗号（ＡＢＥ）方式は、Ｋｅｙ−ＰｏｌｉｃｙＡＢＥ（ＫＰ−ＡＢＥ）と呼ばれる。一方、アクセスストラクチャＳが暗号文に埋め込まれている場合、属性ベース暗号（ＡＢＥ）方式は、Ｃｉｐｈｅｒｔｅｘｔ−ＰｏｌｉｃｙＡＢＥ（ＣＰ−ＡＢＥ）と呼ばれる。

非特許文献１９に記載された内積述語暗号（Ｉｎｎｅｒ−ＰｒｏｄｕｃｔＥｎｃｒｙｐｔｉｏｎ，ＩＰＥ）も関数型暗号の１つのクラスである。ここでは、暗号化鍵と復号鍵とに設定される属性がぞれぞれ体又は環上のベクトルである。例えば、ｘ^→：＝（ｘ_１，．．．，ｘ_ｎ）∈Ｆ_ｑ ^ｎとｖ^→：＝（ｖ_１，．．．，ｖ_ｎ）∈Ｆ_ｑ ^ｎとがそれぞれ暗号化鍵と復号鍵とに設定される。そして、ｘ^→・ｖ^→＝０である場合に限り、Ｒ（ｘ^→，ｖ^→）が成立する。

＜第２．双対ペアリングベクトル空間＞
まず、対象双線形ペアリング群（ＳｙｍｍｅｔｒｉｃＢｉｌｉｎｅａｒＰａｉｒｉｎｇＧｒｏｕｐｓ）について説明する。
対象双線形ペアリング群（ｑ，Ｇ，Ｇ^Ｔ，ｇ，ｅ）は、素数ｑ、位数ｑの巡回加法群Ｇと位数ｑの巡回乗法群Ｇ^Ｔと、ｇ≠０∈Ｇと、多項式時間で計算可能な非退化双線形ペアリング（ＮｏｎｄｅｇｅｎｅｒａｔｅＢｉｌｉｎｅａｒＰａｉｒｉｎｇ）ｅ：Ｇ×Ｇ→Ｇ_Ｔとの組である。非退化双線形ペアリングは、ｅ（ｓｇ，ｔｇ）＝ｅ（ｇ，ｇ）^ｓｔであり、ｅ（ｇ，ｇ）≠１である。
以下の説明において、数１１５を、１^λを入力として、セキュリティパラメータをλとする双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を出力するアルゴリズムとする。

次に、双対ペアリングベクトル空間について説明する。
双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、対象双線形ペアリング群（ｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ^Ｔ，ｇ，ｅ））の直積によって構成することができる。双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、素数ｑ、数１１６に示すＦ_ｑ上のＮ次元ベクトル空間Ｖ、位数ｑの巡回群Ｇ_Ｔ、空間Ｖの標準基底Ａ：＝（ａ_１，．．．，ａ_Ｎ）の組であり、以下の演算（１）（２）を有する。ここで、ａ_ｉは、数１１７に示す通りである。

演算（１）：非退化双線形ペアリング
空間Ｖにおけるペアリングは、数１１８によって定義される。

これは、非退化双線形である。つまり、ｅ（ｓｘ，ｔｙ）＝ｅ（ｘ，ｙ）^ｓｔであり、全てのｙ∈Ｖに対して、ｅ（ｘ，ｙ）＝１の場合、ｘ＝０である。また、全てのｉとｊとに対して、ｅ（ａ_ｉ，ａ_ｊ）＝ｅ（ｇ，ｇ）^δｉ，ｊである。ここで、ｉ＝ｊであれば、δ_ｉ，ｊ＝１であり、ｉ≠ｊであれば、δ_ｉ，ｊ＝０である。また、ｅ（ｇ，ｇ）≠１∈Ｇ_Ｔである。

演算（２）：ディストーション写像
数１１９に示す空間Ｖにおける線形変換φ_ｉ，ｊは、数１２０を行うことができる。

ここで、線形変換φ_ｉ，ｊをディストーション写像と呼ぶ。

以下の説明において、数１２１を、１^λ（λ∈自然数）、Ｎ∈自然数、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を入力として、セキュリティパラメータがλであり、Ｎ次元の空間Ｖとする双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ：＝（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）の値を出力するアルゴリズムとする。

なお、ここでは、上述した対象双線形ペアリング群により、双対ペアリングベクトル空間を構成した場合について説明する。なお、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成することも可能である。以下の説明を、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成した場合に応用することは容易である。

＜第３．関数型暗号を実現するための概念＞
＜第３−１．スパンプログラム＞
図１は、行列Ｍ＾の説明図である。
｛ｐ_１，．．．，ｐ_ｎ｝を変数の集合とする。Ｍ＾：＝（Ｍ，ρ）は、ラベル付けされた行列である。ここで、行列Ｍは、Ｆ_ｑ上の（Ｌ行×ｒ列）の行列である。また、ρは、行列Ｍの各列に付されたラベルであり、｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝のいずれか１つのリテラルへ対応付けられる。なお、Ｍの全ての行に付されたラベルρ_i（ｉ＝１，．．．，Ｌ）がいずれか１つのリテラルへ対応付けられる。つまり、ρ：｛１，．．．，Ｌ｝→｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝である。

全ての入力列δ∈｛０，１｝^ｎに対して、行列Ｍの部分行列Ｍ_δは定義される。行列Ｍ_δは、入力列δによってラベルρに値“１”が対応付けられた行列Ｍの行から構成される部分行列である。つまり、行列Ｍ_δは、δ_ｉ＝１であるようなｐ_ｉに対応付けられた行列Ｍの行と、δ_ｉ＝０であるような¬ｐ_ｉに対応付けられた行列Ｍの行とからなる部分行列である。
図２は、行列Ｍ_δの説明図である。なお、図２では、ｎ＝７，Ｌ＝６，ｒ＝５としている。つまり、変数の集合は、｛ｐ_１，．．．，ｐ_７｝であり、行列Ｍは（６行×５列）の行列である。また、図２において、ラベルρは、ρ_１が¬ｐ_２に、ρ_２がｐ_１に、ρ_３がｐ_４に、ρ_４が¬ｐ_５に、ρ_５が¬ｐ_３に、ρ_６がｐ_５にそれぞれ対応付けられているとする。
ここで、入力列δ∈｛０，１｝^７が、δ_１＝１，δ_２＝０，δ_３＝１，δ_４＝０，δ_５＝０，δ_６＝１，δ_７＝１であるとする。この場合、破線で囲んだリテラル（ｐ_１，ｐ_３，ｐ_６，ｐ_７，¬ｐ_２，¬ｐ_４，¬ｐ_５）に対応付けられている行列Ｍの行からなる部分行列が行列Ｍ_δである。つまり、行列Ｍの１行目（Ｍ_１），２行目（Ｍ_２），４行目（Ｍ_４）からなる部分行列が行列Ｍ_δである。

言い替えると、写像γ：｛１，．．．，Ｌ｝→｛０，１｝が、［ρ（ｊ）＝ｐ_ｉ］∧［δ_ｉ＝１］又は［ρ（ｊ）＝¬ｐ_ｉ］∧［δ_ｉ＝０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０であるとする。この場合に、Ｍ_δ：＝（Ｍ_ｊ）_{γ（ｊ）＝１}である。ここで、Ｍ_ｊは、行列Ｍのｊ番目の行である。
つまり、図２では、写像γ（ｊ）＝１（ｊ＝１，２，４）であり、写像γ（ｊ）＝０（ｊ＝３，５，６）である。したがって、（Ｍ_ｊ）_{γ（ｊ）＝１}は、Ｍ_１，Ｍ_２，Ｍ_４であり、行列Ｍ_δである。
すなわち、写像γ（ｊ）の値が“０”であるか“１”であるかによって、行列Ｍのｊ番目の行が行列Ｍ_δに含まれるか否かが決定される。

１^→∈ｓｐａｎ＜Ｍ_δ＞である場合に限り、スパンプログラムＭ＾は入力列δを受理し、他の場合には入力列δを拒絶する。つまり、入力列δによって行列Ｍ＾から得られる行列Ｍ_δの行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。なお、１^→とは、各要素が値“１”である行ベクトルである。
例えば、図２の例であれば、行列Ｍの１，２，４行目からなる行列Ｍ_δの各行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理する。

ここで、ラベルρが正のリテラル｛ｐ_１，．．．，ｐ_ｎ｝にのみ対応付けられている場合、スパンプログラムはモノトーンと呼ばれる。一方、ラベルρがリテラル｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝に対応付けられている場合、スパンプログラムはノンモノトーンと呼ばれる。ここでは、スパンプログラムはノンモノトーンとする。そして、ノンモノトーンスパンプログラムを用いて、アクセスストラクチャ（ノンモノトーンアクセスストラクチャ）を構成する。アクセスストラクチャとは、簡単に言うと暗号へのアクセス制御を行うものである。つまり、暗号文を復号できるか否かの制御を行うものである。
詳しくは後述するが、スパンプログラムがモノトーンではなく、ノンモノトーンであることにより、スパンプログラムを利用して構成する関数型暗号方式の利用範囲が広がる。

＜第３−２．属性ベクトルの内積とアクセスストラクチャ＞
ここでは、属性ベクトルの内積を用いて上述した写像γ（ｊ）を計算する。つまり、属性ベクトルの内積を用いて、行列Ｍのどの行を行列Ｍ_δに含めるかを決定する。

Ｕ_ｔ（ｔ＝１，．．．，ｄでありＵ_ｔ⊂｛０，１｝^＊）は、部分全集合（ｓｕｂ−ｕｎｉｖｅｒｓｅ）であり、属性の集合である。そして、Ｕ_ｔは、それぞれ部分全集合の識別情報（ｔ）と、ｎ_ｔ次元ベクトル（ｖ^→）とを含む。つまり、Ｕ_ｔは、（ｔ，ｖ^→）である。ここで、ｔ∈｛１，．．．，ｄ｝であり、ｖ^→∈Ｆ_ｑ ^ｎｔである。

Ｕ_ｔ：＝（ｔ，ｖ^→）をスパンプログラムＭ＾：＝（Ｍ，ρ）における変数ｐとする。つまり、ｐ：＝（ｔ，ｖ^→）である。そして、変数（ｐ：＝（ｔ，ｖ^→），（ｔ’，ｖ’^→），．．．）としたスパンプログラムＭ＾：＝（Ｍ，ρ）をアクセスストラクチャＳとする。
つまり、アクセスストラクチャＳ：＝（Ｍ，ρ）であり、ρ：｛１，．．．，Ｌ｝→｛（ｔ，ｖ^→），（ｔ’，ｖ’^→）｝，．．．，¬（ｔ，ｖ^→），¬（ｔ’，ｖ’^→），．．．｝である。

次に、Γを属性の集合とする。つまり、Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆｑ^ｎｔ，１≦ｔ≦ｄ｝である。
アクセスストラクチャＳにΓが与えられた場合、スパンプログラムＭ＾：＝（Ｍ，ρ）に対する写像γ：｛１，．．．，Ｌ｝→｛０，１｝は、以下のように定義される。ｉ＝１，．．．，Ｌの各整数ｉについて、［ρ（ｉ）＝（ｔ，ｖ^→ _ｉ）］∧［（ｔ，ｘ^→ _ｔ）∈Γ］∧［ｖ^→ _ｉ・ｘ^→ _ｔ＝０］、又は、［ρ（ｉ）＝¬（ｔ，ｖ^→ _ｉ）］∧［（ｔ，ｘ^→ _ｔ）∈Γ］∧［ｖ^→ _ｉ・ｘ^→ _ｔ≠０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０とする。
つまり、属性ベクトルｖ^→とｘ^→との内積に基づき、写像γが計算される。そして、上述したように、写像γにより、行列Ｍのどの行を行列Ｍ_δに含めるかが決定される。すなわち、属性ベクトルｖ^→とｘ^→との内積により、行列Ｍのどの行を行列Ｍ_δに含めるかが決定され、１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合に限り、アクセスストラクチャＳ：＝（Ｍ，ρ）はΓを受理する。

＜第３−３．秘密分散方式＞
アクセスストラクチャＳ：＝（Ｍ，ρ）に対する秘密分散方式について説明する。
なお、秘密分散方式とは、秘密情報を分散させ、意味のない分散情報にすることである。例えば、秘密情報ｓを１０個に分散させ、１０個の分散情報を生成する。ここで、１０個の分散情報それぞれは、秘密情報ｓの情報を有していない。したがって、ある１個の分散情報を手に入れても秘密情報ｓに関して何ら情報を得ることはできない。一方、１０個の分散情報を全て手に入れれば、秘密情報ｓを復元できる。
また、１０個の分散情報を全て手に入れなくても、一部だけ（例えば、８個）手に入れれば秘密情報ｓを復元できる秘密分散方式もある。このように、１０個の分散情報のうち８個で秘密情報ｓを復元できる場合を、８−ｏｕｔ−ｏｆ−１０と呼ぶ。つまり、ｎ個の分散情報のうちｔ個で秘密情報ｓを復元できる場合を、ｔ−ｏｕｔ−ｏｆ−ｎと呼ぶ。このｔを閾値と呼ぶ。
また、ｄ_１，．．．，ｄ_１０の１０個の分散情報を生成した場合に、ｄ_１，．．．，ｄ_８までの８個の分散情報であれば秘密情報ｓを復元できるが、ｄ_３，．．．，ｄ_１０までの８個の分散情報であれば秘密情報ｓを復元できないというような秘密分散方式もある。つまり、手に入れた分散情報の数だけでなく、分散情報の組合せに応じて秘密情報ｓを復元できるか否かを制御する秘密分散方式もある。

図３は、ｓ_０の説明図である。図４は、ｓ^→Ｔの説明図である。
行列Ｍを（Ｌ行×ｒ列）の行列とする。ｆ^→Ｔを数１２２に示す列ベクトルとする。

数１２３に示すｓ_０を共有される秘密情報とする。

また、数１２４に示すｓ^→Ｔをｓ_０のＬ個の分散情報のベクトルとする。

そして、分散情報ｓ_ｉをρ（ｉ）に属するものとする。

アクセスストラクチャＳ：＝（Ｍ，ρ）がΓを受理する場合、つまりγ：｛１，．．．，Ｌ｝→｛０，１｝について１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合、Ｉ⊆｛ｉ∈｛１，．．．，Ｌ｝｜γ（ｉ）-＝１｝である定数｛α_ｉ∈Ｆ_ｑ｜ｉ∈Ｉ｝が存在する。
これは、図２の例で、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理すると説明したことからも明らかである。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理するのであれば、スパンプログラムＭ＾は入力列δを受理する場合には、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する。
そして、数１２５である。

なお、定数｛α_ｉ｝は、行列Ｍのサイズにおける多項式時間で計算可能である。

この実施の形態及び以下の実施の形態に係る関数型暗号方式は、上述したように、スパンプログラムに内積述語と秘密分散方式とを適用してアクセスストラクチャを構成する。そのため、スパンプログラムにおける行列Ｍや、内積述語における属性情報ｘ及び属性情報ｖ（述語情報）を設計するにより、アクセス制御を自由に設計することができる。つまり、非常に高い自由度でアクセス制御の設計を行うことができる。なお、行列Ｍの設計は、秘密分散方式の閾値等の条件設計に相当する。
例えば、上述した属性ベース暗号方式は、この実施の形態及び以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャにおいて、内積述語の設計をある条件に限定した場合に相当する。つまり、この実施の形態及び以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャに比べ、属性ベース暗号方式におけるアクセスストラクチャは、内積述語における属性情報ｘ及び属性情報ｖ（述語情報）を設計の自由度がない分、アクセス制御の設計の自由度が低い。なお、具体的には、属性ベース暗号方式は、属性情報｛ｘ^→ _ｔ｝_{ｔ∈｛１，．．．，ｄ｝}と｛ｖ^→ _ｔ｝_{ｔ∈｛１，．．．，ｄ｝}とを、等号関係に対する２次元ベクトル、例えばｘ^→ _ｔ：＝（１，ｘ_ｔ）とｖ^→ _ｔ：＝（ｖ_ｔ，−１）とに限定した場合に相当する。
また、上述した内積述語暗号方式は、この実施の形態及び以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャにおいて、スパンプログラムにおける行列Ｍの設計をある条件に限定した場合に相当する。つまり、この実施の形態及び以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャに比べ、内積述語暗号方式におけるアクセスストラクチャは、スパンプログラムにおける行列Ｍの設計の自由度がない分、アクセス制御の設計の自由度が低い。なお、具体的には、内積述語暗号方式は、秘密分散方式を１−ｏｕｔ−ｏｆ−１（あるいは、ｄ−ｏｕｔ−ｏｆ−ｄ）に限定した場合である。

特に、この実施の形態及び以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャは、ノンモノトーンスパンプログラムを用いたノンモノトーンアクセスストラクチャを構成する。そのため、アクセス制御の設計の自由度がより高くなる。
具体的には、ノンモノトーンスパンプログラムには、否定形のリテラル（¬ｐ）を含むため、否定形の条件を設定できる。例えば、第１会社には、Ａ部とＢ部とＣ部とＤ部との４つの部署があったとする。ここで、第１会社のＢ部以外の部署の属するユーザにのみアクセス可能（復号可能）というアクセス制御をしたいとする。この場合に、否定形の条件の設定ができないとすると、「第１会社のＡ部とＣ部とＤ部とのいずれかに属すること」という条件を設定する必要がある。一方、否定形の条件の設定ができるとすると、「第１会社の社員であって、Ｂ部以外に属すること」という条件を設定することができる。つまり、否定形の条件が設定できることで、自然な条件設定が可能となる。なお、ここでは部署の数が少ないが、部署の数が多い場合等は非常に有効であることが分かる。

＜第４．関数型暗号方式の基本構成＞
＜第４−１．Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式の基本構成＞
Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式の構成を簡単に説明する。なお、Ｋｅｙ−Ｐｏｌｉｃｙとは、復号鍵にＰｏｌｉｃｙが埋め込まれること、つまりアクセスストラクチャが埋め込まれることを意味する。
Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｅｎｃ、Ｄｅｃの４つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλと、属性のフォーマットμ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ）とが入力され、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、アクセスストラクチャＳ：＝（Ｍ，ρ）と、公開パラメータｐｋと、マスター鍵ｓｋとを入力として、復号鍵ｓｋ_Ｓを出力する確率的アルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、メッセージｍと、属性の集合であるΓ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎｔ，１≦ｔ≦ｄ｝と、公開パラメータｐｋとを入力として、暗号化データｃを出力する確率的アルゴリズムである。
（Ｄｅｃ）
Ｄｅｃアルゴリズムは、属性の集合であるΓの下で暗号化された暗号化データｃと、アクセスストラクチャＳに対する復号鍵ｓｋ_Ｓと、公開パラメータｐｋとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。

Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式は、全てのアクセスストラクチャＳと属性の集合Γと、正しく生成された公開パラメータｐｋとマスター鍵ｓｋと数１２６に示す暗号文ｃとに対して、アクセスストラクチャＳが属性の集合Γを受理する場合、ｍ＝Ｄｅｃ（ｐｋ，ｓｋ_Ｓ，ｃ）であり、アクセスストラクチャＳが属性の集合Γを拒絶する場合、ｍ＝Ｄｅｃ（ｐｋ，ｓｋ_Ｓ，ｃ）となる確率は無視し得る程度である。

＜第４−２．暗号処理システム１０＞
上述したＫｅｙ−Ｐｏｌｉｃｙ関数型暗号方式のアルゴリズムを実行する暗号処理システム１０について説明する。
図５は、Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式を実行する暗号処理システム１０の構成図である。
暗号処理システム１０は、鍵生成装置１００、暗号化装置２００、復号装置３００を備える。
鍵生成装置１００は、セキュリティパラメータλと、属性のフォーマットμ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ）とを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成した公開パラメータｐｋを公開する。また、鍵生成装置１００は、アクセスストラクチャＳを入力としてＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成して復号装置３００へ秘密裡に配布する。
暗号化装置２００は、メッセージｍと、属性の集合Γと、公開パラメータｐｋとを入力としてＥｎｃアルゴリズムを実行して、暗号化データｃを生成する。暗号化装置２００は、生成した暗号化データｃを復号装置３００へ送信する。
復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_Ｓと、暗号化データｃとを入力としてＤｅｃアルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

＜第４−３．Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式及び暗号処理システム１０の詳細＞
図６から図９に基づき、Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式、及び、Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式を実行する暗号処理システム１０の機能と動作とについて説明する。
図６は、Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式を実行する暗号処理システム１０の機能を示す機能ブロック図である。暗号処理システム１０は、上述したように、鍵生成装置１００、暗号化装置２００、復号装置３００を備える。
図７と図８とは、鍵生成装置１００の動作を示すフローチャートである。なお、図７はＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図８はＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図９は、暗号化装置２００の動作を示すフローチャートであり、Ｅｎｃアルゴリズムの処理を示すフローチャートである。図１０は、復号装置３００の動作を示すフローチャートであり、Ｄｅｃアルゴリズムの処理を示すフローチャートである。
なお、以下の説明では、ｘ_ｔ，１：＝１であるとする。

鍵生成装置１００の機能と動作とについて説明する。鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０（第１情報入力部）、復号鍵生成部１４０、鍵配布部１５０を備える。また、復号鍵生成部１４０は、ｆベクトル生成部１４１、ｓベクトル生成部１４２、乱数生成部１４３、鍵要素生成部１４４を備える。

まず、図７に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１：正規直交基底生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１２７を計算して、ｐａｒａｍ_μ→と、ｔ＝０，．．．，ｄの各整数ｔについて基底Ｂ_ｔ及び基底Ｂ^＊ _ｔとを生成する。

つまり、マスター鍵生成部１１０は以下の処理を実行する。
（１）マスター鍵生成部１１０は、入力装置により、セキュリティパラメータλ（１^λ）と、属性のフォーマットμ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ）とを入力する。ここで、ｄは１以上の整数であり、ｔ＝１，．．．，ｄまでの各整数ｔについてｎ_ｔは１以上の整数である。
（２）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλ（１^λ）を入力としてアルゴリズムＧ_ｂｐｇを実行して、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を生成する。
（３）マスター鍵生成部１１０は、処理装置により、乱数ψを生成するとともに、Ｎ_０に５を、ｔ＝１，．．．，ｄの各整数ｔについてＮ_ｔに４ｎ_ｔを設定する。

続いて、マスター鍵生成部１１０は、ｔ＝０，．．．，ｄの各整数ｔについて以下の（４）から（８）までの処理を実行する。
（４）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλ（１^λ）と、（３）で設定したＮ_ｔと、（２）で生成したｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値とを入力としてアルゴリズムＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖｔ：＝（ｑ，Ｖ_Ｔ，Ｇ_Ｔ，Ａ，ｅ）の値を生成する。
（５）マスター鍵生成部１１０は、処理装置により、（３）で設定したＮ_ｔと、Ｆ_ｑとを入力として、線形変換Ｘ_ｔ：＝（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊをランダムに生成する。なお、ＧＬは、ＧｅｎｅｒａｌＬｉｎｅａｒの略である。つまり、ＧＬは、一般線形群であり、行列式が０でない正方行列の集合であり、乗法に関し群である。また、（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊは、行列χ_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，ｎ_ｔである。
（６）マスター鍵生成部１１０は、処理装置により、乱数ψと線形変換Ｘ_ｔとに基づき、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊ：＝ψ・（Ｘ_ｔ ^Ｔ）^−１を生成する。なお、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊも（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊと同様に、行列ν_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，ｎ_ｔである。
（７）マスター鍵生成部１１０は、処理装置により、（５）で生成した線形変換Ｘ_ｔに基づき、（４）で生成した標準基底Ａ_ｔから基底Ｂ_ｔを生成する。
（８）マスター鍵生成部１１０は、処理装置により、（６）で生成した（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊに基づき、（４）で生成した標準基底Ａ_ｔから基底Ｂ^＊ _ｔを生成する。
（９）マスター鍵生成部１１０は、処理装置により、ｇ_Ｔにｅ（ｇ，ｇ）^ψを設定する。また、マスター鍵生成部１１０は、ｐａｒａｍ_μ→に（４）で生成した｛ｐａｒａｍ_Ｖｔ｝_{ｔ＝０，．．．，ｄ}と、ｇ_Ｔとを設定する。なお、ｔ＝０，．．．，ｄとｉ＝１，．．．，Ｎ_ｔとの各整数ｔ，ｉについて、ｇ_Ｔ＝ｅ（ｂ_ｔ，ｉ，ｂ^＊ _ｔ，ｉ）である。

すなわち、（Ｓ１０１）で、マスター鍵生成部１１０は、数１２８に示すアルゴリズムＧ_ｏｂを実行して、ｐａｒａｍ_μ→と、ｔ＝０，．．．，ｄの各整数ｔについて基底Ｂ_ｔ及び基底Ｂ^＊ _ｔとを生成する。

（Ｓ１０２：公開パラメータ生成ステップ）
マスター鍵生成部１１０は、処理装置により、（Ｓ１０１）で生成した基底Ｂ_ｔの部分基底Ｂ＾_０と、ｔ＝１，．．．，ｄの各整数ｔについて、部分基底Ｂ＾_ｔとを数１２９に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾_０及び部分基底Ｂ＾_ｔと、（Ｓ１０１）で入力されたセキュリティパラメータλ（１^λ）と、（Ｓ１０１）で生成したｐａｒａｍ_μ→とを合わせて、公開パラメータｐｋとする。

（Ｓ１０３：マスター鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、（Ｓ１０１）で生成した基底Ｂ^＊ _ｔの部分基底Ｂ＾^＊ _０と、ｔ＝１，．．．，ｄの各整数ｔについて、部分基底Ｂ＾^＊ _ｔとを数１３０に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾^＊ _０と部分基底Ｂ＾^＊ _ｔとをマスター鍵ｓｋとする。

（Ｓ１０４：マスター鍵記憶ステップ）
マスター鍵記憶部１２０は、（Ｓ１０２）でｔ＝０，．．．，ｄの各整数ｔについて生成した部分基底Ｂ＾^＊ _ｔを含む公開パラメータｐｋを記憶装置に記憶する。また、マスター鍵記憶部１２０は、（Ｓ１０３）でｔ＝０，．．．，ｄの各整数ｔについて生成した部分基底Ｂ＾^＊ _ｔを含むマスター鍵ｓｋを記憶装置に記憶する。

つまり、（Ｓ１０１）から（Ｓ１０３）において、マスター鍵生成部１１０は数１３１に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、（Ｓ１０４）で、マスター鍵記憶部１２０が生成された公開パラメータｐｋとマスター鍵ｓｋとを記憶装置に記憶する。
なお、公開パラメータは、例えば、ネットワークを介して公開され、暗号化装置２００や復号装置３００が取得可能な状態にされる。

次に、図８に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ２０１：情報入力ステップ）
情報入力部１３０は、入力装置により、上述したアクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、アクセスストラクチャＳの行列Ｍの設定については、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳのρは、例えば、復号鍵ｓｋ_Ｓの使用者の属性情報が設定されている。

（Ｓ２０２：ｆベクトル生成ステップ）
ｆベクトル生成部１４１は、処理装置により、ｒ個の要素を有するベクトルｆ^→を数１３２に示すようにランダムに生成する。

（Ｓ２０３：ｓベクトル生成ステップ）
ｓベクトル生成部１４２は、処理装置により、（Ｓ２０１）で入力したアクセスストラクチャＳに含まれる（Ｌ行×ｒ列）の行列Ｍと、（Ｓ２０２）で生成したベクトルｆ^→とに基づき、ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔを数１３３に示すように生成する。

また、ｓベクトル生成部１４２は、処理装置により、（Ｓ２０２）で生成したベクトルｆ^→に基づき、値ｓ_０を数１３４に示すように生成する。

（Ｓ２０４：乱数生成ステップ）
乱数生成部１４３は、処理装置により、乱数η_０と、ｉ＝１，．．．，Ｌの各整数ｉについて、乱数θ_ｉとを数１３５に示すように生成する。

（Ｓ２０５：鍵要素生成ステップ）
鍵要素生成部１４４は、処理装置により、復号鍵ｓｋ_Ｓの要素ｋ^＊ _０を数１３６に示すように生成する。

なお、上述したように、数１１３に基底Ｂと基底Ｂ^＊とに対して、数１１４である。したがって、数１３６は、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数として−ｓ_０を設定し、基底ベクトルｂ^＊ _０，２の係数として０を設定し、基底ベクトルｂ^＊ _０，３の係数として１を設定し、基底ベクトルｂ^＊ _０，４の係数としてη_０を設定し、基底ベクトルｂ^＊ _０，５の係数として０を設定することを意味する。
また、鍵要素生成部１４４は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、復号鍵ｓｋ_Ｓの要素ｋ^＊ _ｉを数１３７に示すように生成する。

つまり、数１３７は、数１３６と同様に、ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定し、基底ベクトルｂ^＊ _ｔ，２，．．．，ｂ^＊ _ｔ，ｎｔの係数としてθ_ｉｖ_ｉ，２，．．．，θ_ｉｖ_ｉ，ｎｔを設定し、基底ベクトルｂ^＊ _{ｔ，ｎｔ＋１}，．．．，ｂ^＊ _{ｔ，２ｎｔ}の係数として０を設定し、基底ベクトルｂ^＊ _{ｔ，２ｎｔ＋１}，．．．，ｂ^＊ _{ｔ，３ｎｔ}の係数としてη_ｉ，１，．．．，η_ｉ，ｎｔを設定し、基底ベクトルｂ^＊ _{ｔ，３ｎｔ＋１}，．．．，ｂ^＊ _{ｔ，４ｎｔ}の係数として０を設定することを意味する。
一方、ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，１，．．．，ｂ^＊ _ｔ，ｎｔの係数としてｓ_ｉｖ_ｉ，１，．．．，ｓ_ｉｖ_ｉ，ｎｔを設定し、基底ベクトルｂ^＊ _{ｔ，ｎｔ＋１}，．．．，ｂ^＊ _{ｔ，２ｎｔ}の係数として０を設定し、基底ベクトルｂ^＊ _{ｔ，２ｎｔ＋１}，．．．，ｂ^＊ _{ｔ，３ｎｔ}の係数としてη_ｉ，１，．．．，η_ｉ，ｎｔを設定し、基底ベクトルｂ^＊ _{ｔ，３ｎｔ＋１}，．．．，ｂ^＊ _{ｔ，４ｎｔ}の係数として０を設定することを意味する。

（Ｓ２０６：鍵配布ステップ）
鍵配布部１５０は、（Ｓ２０１）で入力したアクセスストラクチャＳと、（Ｓ２０５）で生成されたｋ^＊ _０，ｋ^＊ _１，．．．，ｋ^＊ _Ｌとを要素とする復号鍵ｓｋ_Ｓを、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ配布する。もちろん、復号鍵ｓｋ_Ｓは、他の方法により復号装置３００へ配布されてもよい。

つまり、（Ｓ２０１）から（Ｓ２０５）において、情報入力部１３０と復号鍵生成部１４０とは数１３８に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成する。そして、（Ｓ２０６）で、鍵配布部１５０が生成された復号鍵ｓｋ_Ｓを復号装置３００へ配布する。

暗号化装置２００の機能と動作とについて説明する。暗号化装置２００は、公開パラメータ取得部２１０、情報入力部２２０（第２情報入力部）、暗号化データ生成部２３０、データ送信部２４０（データ出力部）を備える。また、暗号化データ生成部２３０は、乱数生成部２３１、暗号要素生成部２３２を備える。

図９に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ３０１：公開パラメータ取得ステップ）
公開パラメータ取得部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ３０２：情報入力ステップ）
情報入力部２２０は、入力装置により、復号装置３００へ送信するメッセージｍを入力する。また、情報入力部２２０は、入力装置により、属性の集合Γ：＝｛（ｔ，ｘ^→ _ｔ：＝（ｘ_ｔ，１，．．．，ｘ_ｔ，ｎｔ∈Ｆｑ^ｎｔ））｜１≦ｔ≦ｄ｝を入力する。なお、ｔは、１以上ｄ以下の全ての整数ではなく、１以上ｄ以下の少なくとも一部の整数であってもよい。また、属性の集合Γは、例えば、復号可能なユーザの属性情報が設定されている。

（Ｓ３０３：乱数生成ステップ）
乱数生成部２３１は、処理装置により、乱数δ、乱数φ_０，φ_ｔ，１，．．．，φ_ｔ，ｎｔ，ζを数１３９に示すように生成する。

（Ｓ３０４：ｃベクトル生成ステップ）
暗号要素生成部２３２は、処理装置により、暗号化データｃの要素ｃ_０を数１４０に示すように生成する。

また、暗号要素生成部２３２は、処理装置により、Γに含まれる（ｔ，ｘ^→ _ｔ）の各整数ｔについて、暗号化データｃの要素ｃ_ｔを数１４１に示すように生成する。

また、暗号要素生成部２３２は、処理装置により、暗号化データｃの要素ｃ_ｄ＋１を数１４２に示すように生成する。

（Ｓ３０５：データ送信ステップ）
データ送信部２４０は、（Ｓ３０２）で入力した属性の集合Γと、（Ｓ３０４）で生成されたｃ_０，ｃ_ｔ，ｃ_ｄ＋１とを要素とする暗号化データｃを、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号化データｃは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ３０１）から（Ｓ３０４）において、公開パラメータ取得部２１０、情報入力部２２０、暗号化データ生成部２３０は、数１４３に示すＥｎｃアルゴリズムを実行して、暗号化データｃを生成する。そして、（Ｓ３０５）で、データ送信部２４０が生成された暗号化データｃを復号装置３００へ送信する。

復号装置３００の機能と動作とについて説明する。復号装置３００は、復号鍵取得部３１０、データ受信部３２０（データ取得部）、スパンプログラム計算部３３０、補完係数計算部３４０、ペアリング演算部３５０、平文情報計算部３６０を備える。

図１０に基づき、Ｄｅｃアルゴリズムの処理について説明する。
（Ｓ４０１：復号鍵取得ステップ）
復号鍵取得部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から配布された復号鍵ｓｋ_Ｓ：＝（Ｓ，ｋ^＊ _０，ｋ^＊ _１，．．．，ｋ^＊ _Ｌ）を取得する。また、復号鍵取得部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ４０２：データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号化データｃを受信する。

（Ｓ４０３：スパンプログラム計算ステップ）
スパンプログラム計算部３３０は、処理装置により、（Ｓ４０１）で取得した復号鍵ｓｋ_Ｓに含まれるアクセスストラクチャＳが、（Ｓ４０２）で受信した暗号化データｃに含まれるΓを受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否かの判定方法は、「第３．関数型暗号を実現するための概念」で説明した通りである。
スパンプログラム計算部３３０は、アクセスストラクチャＳがΓを受理する場合（Ｓ４０３で受理）、処理を（Ｓ４０４）へ進める。一方、アクセスストラクチャＳがΓを拒絶する場合（Ｓ４０３で拒絶）、暗号化データｃを復号鍵ｓｋ_Ｓで復号できないとして処理を終了する。

（Ｓ４０４：補完係数計算ステップ）
補完係数計算部３４０は、処理装置により、数１４４となるＩと、定数（補完係数）｛α_ｉ｝_ｉ∈Ｉとを計算する。

（Ｓ４０５：ペアリング演算ステップ）
ペアリング演算部３５０は、処理装置により、数１４５を計算して、セッション鍵Ｋ＝ｇ_Ｔ ^ζを生成する。

なお、数１４６に示すように、数１４５を計算することにより鍵Ｋ＝ｇ_Ｔ ^ζが得られる。

（Ｓ４０６：平文情報計算ステップ）
平文情報計算部３６０は、処理装置により、ｍ’＝ｃ_ｄ＋１／Ｋを計算して、メッセージｍ’（＝ｍ）を生成する。なお、ｃ_ｄ＋１は数１４２に示す通りｇ_Ｔ ^ζｍであり、Ｋはｇ_Ｔ ^ζであるから、ｍ’＝ｃ_ｄ＋１／Ｋを計算すればメッセージｍが得られる。

つまり、（Ｓ４０１）から（Ｓ４０６）において、公開パラメータ取得部２１０、情報入力部２２０、暗号化データ生成部２３０は、数１４７に示すＤｅｃアルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

以上のように、暗号処理システム１０は、スパンプログラムと内積述語と秘密分散とを用いて構成したアクセスストラクチャＳを用いて、暗号方式（関数型暗号方式）を実現する。したがって、暗号処理システム１０は、非常に高い自由度でアクセス制御の設計を行うことが可能な暗号方式を実現する。
また、暗号処理システム１０が実現する暗号方式は、非常に安全性が高い。上述したように、関数型暗号方式の１つのクラス（最も限定したクラス）にＩＤベース暗号がある。既存の実用的なＩＤベース暗号と比較しても、暗号処理システム１０が実現する暗号方式はある意味において安全性が高い。

なお、上記説明では、（Ｓ１０１）の（３）でＮ_０を５に、Ｎ_ｔを４ｎ_ｔ（＝ｎ_ｔ＋ｎ_ｔ＋ｎ_ｔ＋ｎ_ｔ）に設定した。したがって、基底Ａ_ｔ、基底Ｂ_ｔ、基底Ｂ^＊ _ｔは、いずれも４ｎ_ｔ＋５次元である。
しかし、ｎ_ｔ＋ｎ_ｔ＋ｎ_ｔ＋ｎ_ｔをｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔにしてもよい。つまり、１つ目のｎ_ｔをそのままｎ_ｔとし、２つ目のｎ_ｔをｕ_ｔとし、３つ目のｎ_ｔをｗ_ｔとし、４つ目のｎ_ｔをｚ_ｔとしてもよい。すなわち、Ｎ_ｔをｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔに設定してもよい。ここで、ｎ_ｔ，ｕ_ｔ，ｗ_ｔ，ｚ_ｔは、それぞれ異なる値であってもよく、ｎ_ｔは上述したように１以上の整数であり、ｕ_ｔ，ｗ_ｔ，ｚ_ｔはいずれも０以上の整数である。
この場合、数１３１に示すＳｅｔｕｐアルゴリズムは、数１４８のように書き換えられる。つまり、基底Ｂ＾_ｔと基底Ｂ＾^＊ _ｔの基底ベクトルの添え字が変更される。

また、数１３８に示すＫｅｙＧｅｎアルゴリズムは、数１４９のように書き換えられる。

また、数１４３に示すＥｎｃアルゴリズムは、数１５０のように書き換えられる。

なお、数１４７に示すＤｅｃアルゴリズムには変更はない。

また、Ｎ_０は５ではなく、２以上の整数であればよい。Ｎ_０が２であると、基底Ｂ_０と基底Ｂ^＊ _０とが２次元になる。この場合、ＫｅｙＧｅｎアルゴリズムにおいて、ｋ^＊ _０：＝（−ｓ_０，１）_Ｂ＊０とし、Ｅｎｃアルゴリズムにおいて、ｃ_０：＝（δ，ζ）_Ｂ０とすればよい。

また、上記説明では、ＫｅｙＧｅｎアルゴリズムにおいて、ｋ^＊ _０：＝（−ｓ_０，０，１，η_０，０）_Ｂ＊０とした。しかし、所定の値κを用いて、ｋ^＊ _０：＝（−ｓ_０，０，κ，η_０，０）_Ｂ＊０としてもよい。この場合、Ｄｅｃアルゴリズムで計算されるＫ：＝ｇ^ζκ _Ｔとなるため、Ｅｎｃアルゴリズムにおいて、ｃ_ｄ＋１：＝ｇ^ζκ _Ｔｍとすればよい。

また、上記説明では、ｖ_ｉ，ｎｔの値について特に限定しなかった。しかし、安全性の証明の観点から、ｖ_ｉ，ｎｔ：＝１である限定としてもよい。

また、安全性の証明の観点から、ｉ＝１，．．．，Ｌの各整数ｉについてのρ（ｉ）は、それぞれ異なる識別情報ｔについての肯定形の組（ｔ，ｖ^→）又は否定形の組¬（ｔ，ｖ^→）であると限定してもよい。
言い替えると、ρ（ｉ）＝（ｔ，ｖ^→）又はρ（ｉ）＝¬（ｔ，ｖ^→）である場合に、関数ρ^〜を、ρ^〜（ｉ）＝ｔである｛１，．．．，Ｌ｝→｛１，．．．ｄ｝の写像であるとする。この場合、ρ^〜が単射であると限定してもよい。なお、ρ（ｉ）は、上述したアクセスストラクチャＳ：＝（Ｍ，ρ（ｉ））のρ（ｉ）である。

実施の形態２．
この実施の形態では、「Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号（Ｃｉｐｈｅｒｔｅｘｔ−ＰｏｌｉｃｙＦｕｎｃｔｉｏｎａｌＥｎｃｒｙｐｔｉｏｎ，ＣＰ−ＦＥ）方式」について説明する。なお、この実施の形態で説明する「Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式」も、実施の形態１で説明した概念に基づき構成される。
この実施の形態では、まず、「Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式」の基本構成について説明する。次に、この「Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式」を実現する「暗号処理システム１０」の基本構成について説明する。そして、この実施の形態に係る「Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式」及び「暗号処理システム１０」について詳細に説明する。

＜Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式の基本構成＞
Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式の構成を簡単に説明する。なお、Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙとは、暗号文にＰｏｌｉｃｙが埋め込まれること、つまりアクセスストラクチャが埋め込まれることを意味する。
Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式は、Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式と同様に、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｅｎｃ、Ｄｅｃの４つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλと、属性のフォーマットμ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ）とが入力され、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、属性の集合であるΓ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎｔ，１≦ｔ≦ｄ｝と、公開パラメータｐｋと、マスター鍵ｓｋとを入力として、復号鍵ｓｋ_Γを出力する確率的アルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）と、公開パラメータｐｋとを入力として、暗号化データｃを出力する確率的アルゴリズムである。
（Ｄｅｃ）
Ｄｅｃアルゴリズムは、アクセスストラクチャＳの下で暗号化された暗号化データｃと、属性の集合であるΓに対する復号鍵ｓｋ_Γと、公開パラメータｐｋとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。

Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式は、全てのアクセスストラクチャＳと属性の集合Γと、正しく生成された公開パラメータｐｋとマスター鍵ｓｋと数１５１に示す暗号文ｃとに対して、アクセスストラクチャＳが属性の集合Γを受理する場合、ｍ＝Ｄｅｃ（ｐｋ，ｓｋ_Γ，ｃ）であり、アクセスストラクチャＳが属性の集合Γを拒絶する場合、ｍ＝Ｄｅｃ（ｐｋ，ｓｋ_Γ，ｃ）となる確率は無視し得る程度である。

＜暗号処理システム１０＞
上述したＣｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式のアルゴリズムを実行する暗号処理システム１０について説明する。
図１１は、暗号処理システム１０の構成図である。
暗号処理システム１０は、鍵生成装置１００、暗号化装置２００、復号装置３００を備える。
鍵生成装置１００は、セキュリティパラメータλと、属性のフォーマットμ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ）とを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成した公開パラメータｐｋを公開する。また、鍵生成装置１００は、属性の集合Γを入力としてＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Γを生成して復号装置３００へ秘密裡に配布する。
暗号化装置２００は、メッセージｍと、アクセスストラクチャＳと、公開パラメータｐｋとを入力としてＥｎｃアルゴリズムを実行して、暗号化データｃを生成する。暗号化装置２００は、生成した暗号化データｃを復号装置３００へ送信する。
復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_Ｓと、暗号化データｃとを入力としてＤｅｃアルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

＜Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式及び暗号処理システム１０の詳細＞
図１２から図１５に基づき、Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式、及び、Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式を実行する暗号処理システム１０の機能と動作とについて説明する。
図１２は、Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式を実行する暗号処理システム１０の機能を示す機能ブロック図である。暗号処理システム１０は、上述したように、鍵生成装置１００、暗号化装置２００、復号装置３００を備える。
図１３は、鍵生成装置１００の動作を示すフローチャートであり、ＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。なお、Ｓｅｔｕｐアルゴリズムは、Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式の場合と同様であるため、ここのでは説明を省略する。図１４は、暗号化装置２００の動作を示すフローチャートであり、Ｅｎｃアルゴリズムの処理を示すフローチャートである。図１５は、復号装置３００の動作を示すフローチャートであり、Ｄｅｃアルゴリズムの処理を示すフローチャートである。
なお、以下の説明では、ｘ_ｔ，１：＝１であるとする。

鍵生成装置１００の機能と動作とについて説明する。鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０（第１情報入力部）、復号鍵生成部１４０、鍵配布部１５０を備える。また、復号鍵生成部１４０は、乱数生成部１４３、鍵要素生成部１４４を備える。

上述したように、Ｓｅｔｕｐアルゴリズムは、Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号方式の場合と同様であり、数１３１に示す通りである。

図１３に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ５０１：情報入力ステップ）
情報入力部１３０は、入力装置により、属性の集合Γ：＝｛（ｔ，ｘ^→ _ｔ：＝（ｘ_ｔ，１，．．．，ｘ_ｔ，ｎｔ∈Ｆ_ｑ ^ｎｔ））｜１≦ｔ≦ｄ｝を入力する。なお、属性の集合Γは、例えば、復号鍵ｓｋ_Γの使用者の属性情報が設定されている。

（Ｓ５０２：乱数生成ステップ）
乱数生成部１４３は、処理装置により、乱数δ、乱数φ_０，φ_ｔ，１，．．．，φ_ｔ，ｎｔを数１５２に示すように生成する。

（Ｓ５０３：鍵要素生成ステップ）
鍵要素生成部１４４は、処理装置により、復号鍵ｓｋ_Γの要素ｋ^＊ _０を数１５３に示すように生成する。

また、鍵要素生成部１４４は、処理装置により、Γに含まれる（ｔ，ｘ^→ _ｔ）の各整数ｔについて、復号鍵ｓｋ_Γの要素ｋ^＊ _ｔを数１５４に示すように生成する。

（Ｓ５０４：鍵配布ステップ）
鍵配布部１５０は、（Ｓ５０１）で入力した属性の集合Γと、（Ｓ５０３）で生成されたｋ^＊ _０，ｋ^＊ _ｔとを要素とする復号鍵ｓｋ_Γを、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ配布する。もちろん、復号鍵ｓｋ_Γは、他の方法により復号装置３００へ配布されてもよい。

つまり、（Ｓ５０１）から（Ｓ５０３）において、情報入力部１３０と復号鍵生成部１４０とは数１５５に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Γを生成する。そして、（Ｓ５０４）で、鍵配布部１５０が生成された復号鍵ｓｋ_Γを復号装置３００へ配布する。

暗号化装置２００の機能と動作とについて説明する。暗号化装置２００は、公開パラメータ取得部２１０、情報入力部２２０（第２情報入力部）、暗号化データ生成部２３０、データ送信部２４０（データ出力部）を備える。また、暗号化データ生成部２３０は、乱数生成部２３１、暗号要素生成部２３２、ｆベクトル生成部２３３、ｓベクトル生成部２３４を備える。

図１４に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ６０１：公開パラメータ取得ステップ）
公開パラメータ取得部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ６０２：情報入力ステップ）
情報入力部２２０は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、アクセスストラクチャＳの設定については、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳのρは、例えば、復号可能なユーザの属性情報が設定されている。
また、情報入力部２２０は、入力装置により、復号装置３００へ送信するメッセージｍを入力する。

（Ｓ６０３：ｆベクトル生成ステップ）
ｆベクトル生成部２３３は、処理装置により、ｒ個の要素を有するベクトルｆ^→を数１５６に示すようにランダムに生成する。

（Ｓ６０４：ｓベクトル生成ステップ）
ｓベクトル生成部２３４は、処理装置により、（Ｓ６０２）で入力したアクセスストラクチャＳに含まれる（Ｌ行×ｒ列）の行列Ｍと、（Ｓ６０３）で生成したベクトルｆ^→とに基づき、ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔを数１５７に示すように生成する。

また、ｓベクトル生成部２３４は、処理装置により、（Ｓ６０３）で生成したベクトルｆ^→に基づき、値ｓ_０を数１５８に示すように生成する。

（Ｓ６０５：乱数生成ステップ）
乱数生成部２３１は、処理装置により、乱数η_０と、ｉ＝１，．．．，Ｌの各整数ｉについて乱数θ_ｉと、乱数ζとを数１５９に示すように生成する。

（Ｓ６０６：暗号要素生成ステップ）
暗号要素生成部２３２は、処理装置により、暗号化データｃの要素ｃ_０を数１６０に示すように生成する。

また、暗号要素生成部２３２は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、暗号化データｃの要素ｃ_ｉを数１６１に示すように生成する。

また、暗号要素生成部２３２は、処理装置により、暗号化データｃの要素ｃ_ｄ＋１を数１６２に示すように生成する。

（Ｓ６０７：データ送信ステップ）
データ送信部２４０は、（Ｓ６０２）で入力したアクセスストラクチャＳと、（Ｓ６０６）で生成されたｃ_０，ｃ_１，．．．，ｃ_Ｌ，ｃ_ｄ＋１とを要素とする暗号化データｃを、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号化データｃは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ６０１）から（Ｓ６０６）において、公開パラメータ取得部２１０、情報入力部２２０、暗号化データ生成部２３０は、数１６３に示すＥｎｃアルゴリズムを実行して、暗号化データｃを生成する。そして、（Ｓ６０７）で、データ送信部２４０が生成された暗号化データｃを復号装置３００へ送信する。

図１５に基づき、Ｄｅｃアルゴリズムの処理について説明する。
（Ｓ７０１：復号鍵取得ステップ）
復号鍵取得部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から配布された復号鍵ｓｋ_Γを取得する。また、復号鍵取得部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ７０２：データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号化データｃを受信する。

（Ｓ７０３：スパンプログラム計算ステップ）
スパンプログラム計算部３３０は、処理装置により、（Ｓ７０２）で取得した暗号化データｃに含まれるアクセスストラクチャＳが、（Ｓ７０１）で受信した復号鍵ｓｋ_Γに含まれるΓを受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否かの判定方法は、「第３．関数型暗号を実現するための概念」で説明した通りである。
スパンプログラム計算部３３０は、アクセスストラクチャＳがΓを受理する場合（Ｓ７０３で受理）、処理を（Ｓ７０４）へ進める。一方、アクセスストラクチャＳがΓを拒絶する場合（Ｓ７０３で拒絶）、暗号化データｃを復号鍵ｓｋ_Ｓで復号できないとして処理を終了する。

（Ｓ７０４）から（Ｓ７０６）とは、実施の形態１における図９に示す（Ｓ４０４）と（Ｓ４０６）と同様である。

つまり、（Ｓ７０１）から（Ｓ７０６）において、公開パラメータ取得部２１０、情報入力部２２０、暗号化データ生成部２３０は、数１６４に示すＤｅｃアルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

実施の形態２に係る暗号処理システム１０は、実施の形態１に係る暗号処理システム１０と同様に、非常に高い自由度でアクセス制御の設計を行うことが可能な暗号方式を実現する。また、実施の形態２に係る暗号処理システム１０は、実施の形態１に係る暗号処理システム１０と同様に、安全性が高い。

なお、実施の形態１と同様に、Ｎ_ｔ＝ｎ_ｔ＋ｎ_ｔ＋ｎ_ｔ＋ｎ_ｔをｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔにしてもよい。つまり、１つ目のｎ_ｔをそのままｎ_ｔとし、２つ目のｎ_ｔをｕ_ｔとし、３つ目のｎ_ｔをｗ_ｔとし、４つ目のｎ_ｔをｚ_ｔとしてもよい。すなわち、Ｎ_ｔをｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔに設定してもよい。ここで、ｎ_ｔ，ｕ_ｔ，ｗ_ｔ，ｚ_ｔは、それぞれ異なる値であってもよく、ｎ_ｔは上述したように１以上の整数であり、ｕ_ｔ，ｗ_ｔ，ｚ_ｔはいずれも０以上の整数である。
この場合、Ｓｅｔｕｐアルゴリズムは、実施の形態１と同様に数１４８のように書き換えられる。
また、数１５５に示すＫｅｙＧｅｎアルゴリズムは、数１６５のように書き換えられる。

また、数１６３に示すＥｎｃアルゴリズムは、数１６６のように書き換えられる。

なお、数１６４に示すＤｅｃアルゴリズムには変更はない。

また、Ｎ_０は５ではなく、２以上の整数であればよい。Ｎ_０が２であると、基底Ｂ_０と基底Ｂ^＊ _０とが２次元になる。この場合、ＫｅｙＧｅｎアルゴリズムにおいて、ｋ^＊ _０：＝（δ，１）_Ｂ＊０とし、Ｅｎｃアルゴリズムにおいて、ｃ_０：＝（−ｓ_０，ζ）_Ｂ０とすればよい。

また、上記説明では、ＫｅｙＧｅｎアルゴリズムにおいて、ｋ^＊ _０：＝（δ，０，１，φ_０，０）_Ｂ＊０とした。しかし、所定の値κを用いて、ｋ^＊ _０：＝（δ，０，κ，φ_０，０）_Ｂ＊０としてもよい。この場合、Ｄｅｃアルゴリズムで計算されるＫ：＝ｇ^ζκ _Ｔとなるため、Ｅｎｃアルゴリズムにおいて、ｃ_ｄ＋１：＝ｇ^ζκ _Ｔｍとすればよい。

また、安全性の証明の観点から、ｉ＝１，．．．，Ｌの各整数ｉについてのρ（ｉ）は、それぞれ異なる識別情報ｔについての肯定形の組（ｔ，ｖ^→）又は否定形の組¬（ｔ，ｖ^→）であると限定してもよい。
言い替えると、関数ρ^〜を、ρ（ｉ）＝（ｔ，ｖ^→）又はρ（ｉ）＝¬（ｔ，ｖ^→）である場合にρ^〜（ｉ）＝ｔである｛１，．．．，Ｌ｝→｛１，．．．ｄ｝の写像であるとする。この場合、ρ^〜が単射であると限定してもよい。なお、ρ（ｉ）は、上述したアクセスストラクチャＳ：＝（Ｍ，ρ（ｉ））のρ（ｉ）である。

また、実施の形態１では、アクセスストラクチャＳを復号鍵ｓｋ_Ｓに持たせ、属性集合Γを暗号化データｃに持たせたＫｅｙ−Ｐｏｌｉｃｙ関数型暗号について説明した。また、実施の形態２では、アクセスストラクチャＳを暗号化データｃに持たせ、属性集合Γを復号鍵ｓｋ_Γに持たせたＣｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号について説明した。
しかし、２つのアクセスストラクチャＳ_１とＳ_２とを用意し、一方のアクセスストラクチャＳ_１を復号鍵に持たせ、他方のアクセスストラクチャＳ_２を暗号化データｃに持たせるとともに、アクセスストラクチャＳ_２に対応する属性集合Γ_２を復号鍵に持たせ、アクセスストラクチャＳ_１に対応する属性集合Γ_１を暗号化データｃに持たせてもよい。そして、アクセスストラクチャＳ_１が属性集合Γ_１を受理し、かつ、アクセスストラクチャＳ_２が属性集合Γ_２を受理した場合にのみ、暗号化データｃを復号鍵で復号可能としてもよい。
つまり、Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号とＣｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号とを組み合わせた暗号方式としてもよい。

実施の形態３．
この実施の形態では、実施の形態２で説明した「Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式」を応用した署名方式について説明する。
この実施の形態では、まず、「Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式に基づく署名方式」の基本構成について説明する。次に、この「署名方式」を実現する「署名処理システム２０」の基本構成について説明する。そして、この実施の形態に係る「署名方式」及び「署名処理システム２０」について詳細に説明する。

＜Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式に基づく署名方式の基本構成＞
Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号方式に基づく署名方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｓｉｇ、Ｖｅｒの４つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλと、属性のフォーマットμ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ）とが入力され、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、属性の集合であるΓ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎｔ，１≦ｔ≦ｄ｝と、公開パラメータｐｋと、マスター鍵ｓｋとを入力として、署名鍵ｓｋ_Γを出力する確率的アルゴリズムである。
（Ｓｉｇ）
Ｓｉｇアルゴリズムは、メッセージｍと、署名鍵ｓｋ_Γと、アクセスストラクチャＳ：＝（Ｍ，ρ）と、公開パラメータｐｋとを入力として、署名データｓｉｇを出力する確率的アルゴリズムである。
（Ｖｅｒ）
Ｖｅｒアルゴリズムは、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）と、署名データｓｉｇと、公開パラメータｐｋとを入力として、署名の検証に成功したことを示す値“１”、又は、署名の検証に失敗したことを示す値“０”を出力するアルゴリズムである。

＜署名処理システム２０＞
上述した署名処理のアルゴリズムを実行する署名処理システム２０について説明する。
図１６は、署名処理システム２０の構成図である。
署名処理システム２０は、鍵生成装置１００、署名装置４００、検証装置５００を備える。
鍵生成装置１００は、セキュリティパラメータλと、属性のフォーマットμ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ）とを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成した公開パラメータｐｋを公開する。また、鍵生成装置１００は、属性の集合Γを入力としてＫｅｙＧｅｎアルゴリズムを実行して、署名鍵ｓｋ_Γを生成して署名装置４００へ秘密裡に配布する。
署名装置４００は、メッセージｍと、アクセスストラクチャＳと、公開パラメータｐｋと、署名鍵ｓｋ_Γとを入力としてＳｉｇアルゴリズムを実行して、署名ベクトルｓ^→＊を生成する。署名装置４００は、生成した署名ベクトルｓ^→＊と、メッセージｍと、アクセスストラクチャＳとを検証装置５００へ送信する。
検証装置５００は、署名ベクトルｓ^→＊と、メッセージｍと、アクセスストラクチャＳと、公開パラメータｐｋとを入力としてＶｅｒアルゴリズムを実行して、値“１”、又は、値“０”を出力する。

＜署名方式及び署名処理システム２０の詳細＞
図１７から図２１に基づき、署名方式、及び、署名処理システム２０の機能と動作とについて説明する。
図１７は、署名処理システム２０の機能を示す機能ブロック図である。署名処理システム２０は、上述したように、鍵生成装置１００、署名装置４００、検証装置５００を備える。
図１８と図１９とは、鍵生成装置１００の動作を示すフローチャートである。図１８はＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１９はＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図２０は、署名装置４００の動作を示すフローチャートであり、Ｓｉｇアルゴリズムの処理を示すフローチャートである。図２１は、検証装置５００の動作を示すフローチャートであり、Ｖｅｒアルゴリズムの処理を示すフローチャートである。
なお、以下の説明では、ｘ_ｔ，１：＝１であるとする。

鍵生成装置１００の機能と動作とについて説明する。鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０（第１情報入力部）、署名鍵生成部１６０、鍵配布部１５０を備える。また、署名鍵生成部１６０は、乱数生成部１６１、鍵要素生成部１６２、秘匿要素生成部１６３を備える。

まず、図１８に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ８０１：正規直交基底生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１６７を計算して、ｐａｒａｍ_μ→と、ｔ＝０，．．．，ｄ＋２の各整数ｔについて基底Ｂ_ｔ及び基底Ｂ^＊ _ｔとを生成する。

数１６７について、実施の形態１における（Ｓ１０１）に示す数１２７と異なる部分のみ説明する。まず、数１６７では、（３）でｎ_０，ｎ_ｄ＋１に１を設定し、ｎ_ｄ＋２に２を設定する。そして、ｔ＝０，．．．，ｄ＋２の各整数ｔについて、Ｎ_ｔに４ｎ_ｔを設定する。そして、（４）から（８）までの処理が、ｔ＝０，．．．，ｄ＋２の各整数ｔについて繰り返される。

すなわち、（Ｓ８０１）で、マスター鍵生成部１１０は、数１６８に示すアルゴリズムＧ_ｏｂを実行して、ｐａｒａｍ_μ→と、ｔ＝０，．．．，ｄ＋２の各整数ｔについて基底Ｂ_ｔ及び基底Ｂ^＊ _ｔとを生成する。

（Ｓ８０２：部分基底Ｂ＾_ｔ生成ステップ）
マスター鍵生成部１１０は、処理装置により、ｔ＝１，．．．，ｄ＋２の各整数ｔについて、部分基底Ｂ＾_ｔを数１６９に示すように生成する。

（Ｓ８０３：部分基底Ｂ＾^＊ _ｔ生成ステップ）
マスター鍵生成部１１０は、処理装置により、ｔ＝１，．．．，ｄ＋２の各整数ｔについて、部分基底Ｂ＾^＊ _ｔを数１７０に示すように生成する。

（Ｓ８０４：マスター鍵記憶ステップ）
マスター鍵生成部１１０は、ｔ＝０，．．．，ｄ＋２の各整数ｔについての部分基底Ｂ＾_ｔと、ｔ＝１，．．．，ｄ＋２の各整数ｔについての部分基底Ｂ＾^＊ _０と、基底ベクトルｂ^＊ _０，３と、（Ｓ１０１）で入力されたセキュリティパラメータλ（１^λ）と、（Ｓ１０１）で生成したｐａｒａｍ_μ→とを合わせて、公開パラメータｐｋとする。
また、マスター鍵生成部１１０は、基底ベクトルｂ^＊ _０，１をマスター鍵ｓｋとする。
そして、マスター鍵記憶部１２０は、公開パラメータｐｋとマスター鍵ｓｋとを記憶装置に記憶する。

つまり、（Ｓ８０１）から（Ｓ８０３）において、マスター鍵生成部１１０は数１７１に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、（Ｓ８０４）で、マスター鍵記憶部１２０が生成された公開パラメータｐｋとマスター鍵ｓｋとを記憶装置に記憶する。
なお、公開パラメータは、例えば、ネットワークを介して公開され、署名装置４００や検証装置５００が取得可能な状態にされる。

次に、図１９に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ９０１：情報入力ステップ）
情報入力部１３０は、入力装置により、属性の集合Γ：＝｛（ｔ，ｘ^→ _ｔ：＝（ｘ_ｔ，１，．．．，ｘ_ｔ，ｎｔ∈Ｆ_ｑ ^ｎｔ））｜１≦ｔ≦ｄ｝を入力する。なお、属性の集合Γは、例えば、署名鍵ｓｋ_Γの使用者の属性情報が設定されている。

（Ｓ９０２：乱数生成ステップ）
乱数生成部１６１は、処理装置により、ｔ＝１，．．．，ｄ、ι＝１，．．．，ｎ_ｔの各整数ｔとιとについて、乱数δ、乱数φ_０，φ_ｔ，ι，φ_{ｄ＋２，ι}，φ_{ｄ＋３，ι}を数１７２に示すように生成する。

（Ｓ９０３：鍵要素生成ステップ）
鍵要素生成部１６２は、処理装置により、署名鍵ｓｋ_Γの要素ｋ^＊ _０を数１７３に示すように生成する。

また、鍵要素生成部１６２は、処理装置により、Γに含まれる（ｔ，ｘ^→ _ｔ）の各整数ｔについて、署名鍵ｓｋ_Γの要素ｋ^＊ _ｔを数１７４に示すように生成する。

また、鍵要素生成部１６２は、処理装置により、署名鍵ｓｋ_Γの要素ｋ^＊ _ｄ＋２と要素ｋ^＊ _ｄ＋３とを数１７５に示すように生成する。

（Ｓ９０４：鍵配布ステップ）
鍵配布部１５０は、（Ｓ９０１）で入力した属性の集合Γと、（Ｓ９０３）で生成されたｋ^＊ _０，ｋ^＊ _ｔ，ｋ^＊ _ｄ＋２，ｋ^＊ _ｄ＋３とを要素とする署名鍵ｓｋ_Γを、例えば通信装置によりネットワークを介して秘密裡に署名装置４００へ配布する。もちろん、復号鍵ｓｋ_Γは、他の方法により署名装置４００へ配布されてもよい。

つまり、（Ｓ９０１）から（Ｓ９０３）において、情報入力部１３０と署名鍵生成部１６０とは数１７６に示すＫｅｙＧｅｎアルゴリズムを実行して、署名鍵ｓｋ_Γを生成する。そして、（Ｓ９０４）で、鍵配布部１５０が生成された署名鍵ｓｋ_Γを署名装置４００へ配布する。

署名装置４００の機能と動作について説明する。署名装置４００は、署名鍵取得部４１０、情報入力部４２０（第２情報入力部）、補完係数計算部４３０、行列生成部４４０、署名生成部４５０、データ送信部４６０（データ出力部）を備える。また、署名生成部４５０は、乱数生成部４５１、署名要素生成部４５２を備える。

図２０に基づき、Ｓｉｇアルゴリズムの処理について説明する。
（Ｓ１００１：署名鍵取得ステップ）
署名鍵取得部４１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から配布された署名鍵ｓｋ_Γ：＝（Γ，ｋ^＊ _０，ｋ^＊ _ｔ，ｋ^＊ _ｄ＋２，ｋ^＊ _ｄ＋３）を取得する。また、署名鍵取得部４１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ１００２：情報入力ステップ）
情報入力部４２０は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、ここで入力されるアクセスストラクチャＳは、（Ｓ１００１）で入力した署名鍵ｓｋ_Γに含まれる属性の集合Γを受理するものとする。
また、情報入力部２２０は、入力装置により、署名を付すメッセージｍを入力する。

（Ｓ１００３：補完係数計算ステップ）
補完係数計算部４３０は、処理装置により、数１７７となるＩと、定数（補完係数）｛α_ｉ｝_ｉ∈Ｉとを計算する。

なお、Ｍ_ｉとは、行列Ｍのｉ行目のことである。

（Ｓ１００４：行追加ステップ）
行列生成部４４０は、処理装置により、行列Ｍに追加するベクトルＭ_Ｌ＋１とそのラベルρ（Ｌ＋１）とを数１７８に示すように生成する。

ここでは、ｖ^→ _Ｌ＋１：＝（１）とする。

（Ｓ１００５：乱数生成ステップ）
乱数生成部４５１は、処理装置により、乱数ξを数１７９に示すように生成する。

（Ｓ１００６：署名要素生成ステップ）
署名要素生成部４５２は、処理装置により、署名ベクトルｓ^→＊の要素であるｓ^＊ _０を数１８０に示すように生成する。

また、署名要素生成部４５２は、処理装置により、ｉ＝１，．．．，Ｌ＋１の各整数ｉについて、署名ベクトルｓ^→＊の要素であるｓ^＊ _ｉを数１８１に示すように生成する。

また、署名要素生成部４５２は、処理装置により、署名ベクトルｓ^→＊の要素であるｓ^＊ _Ｌ＋２を数１８２に示すように生成する。

（Ｓ１００７：データ送信ステップ）
データ送信部４６０は、（Ｓ１００２）で入力したメッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）と、（Ｓ１００７）で生成されたｓ^＊→とを含む署名データｓｉｇを、例えば通信装置によりネットワークを介して検証装置５００へ送信する。もちろん、署名データｓｉｇは、他の方法により検証装置５００へ送信されてもよい。

つまり、（Ｓ１００１）から（Ｓ１００６）において、署名鍵取得部４１０、情報入力部４２０、補完係数計算部４３０、行列生成部４４０、署名生成部４５０は、数１８３に示すＳｉｇアルゴリズムを実行して、署名データｓｉｇを生成する。そして、（Ｓ１００７）で、データ送信部４６０が生成された署名データを検証装置５００へ送信する。

検証装置５００の機能と動作とについて説明する。検証装置５００は、公開パラメータ取得部５１０、データ受信部５２０（データ取得部）、暗号化データ生成部５３０、ペアリング演算部５４０を備える。暗号化データ生成部５３０は、乱数生成部５３１、暗号要素生成部５３２、ｆベクトル生成部５３３、ｓベクトル生成部５３４を備える。

図２１に基づき、Ｖｅｒアルゴリズムの処理について説明する。
（Ｓ１１０１：公開パラメータ取得ステップ）
公開パラメータ取得部５１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ１１０２：データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、署名装置４００が送信した署名データｓｉｇを受信する。

（Ｓ１１０３：ｆベクトル生成ステップ）
ｆベクトル生成部５３３は、処理装置により、ｒ個の要素を有するベクトルｆ^→を数１８４に示すようにランダムに生成する。

（Ｓ１１０４：ｓベクトル生成ステップ）
ｓベクトル生成部５３４は、処理装置により、（Ｓ１１０２）で受信したアクセスストラクチャＳに含まれる（Ｌ行×ｒ列）の行列Ｍと、（Ｓ１１０３）で生成したベクトルｆ^→とに基づき、ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔを数１８５に示すように生成する。

また、ｓベクトル生成部５３４は、処理装置により、（Ｓ１１０３）で生成したベクトルｆ^→に基づき、値ｓ_０と値ｓ_Ｌ＋１とを数１８６に示すように生成する。

（Ｓ１１０５：乱数生成ステップ）
乱数生成部５３１は、処理装置により、ｉ＝１，．．．，Ｌ＋２の各整数ｉについて、乱数η_０，η_{Ｌ＋２、１}，η_{Ｌ＋２、２}，θ_ｉ，ｓ_Ｌ＋２を数１８７に示すように生成する。

（Ｓ１１０６：暗号要素生成ステップ）
暗号要素生成部５３２は、処理装置により、暗号化データｃの要素ｃ_０を数１８８に示すように生成する。

また、暗号要素生成部５３２は、処理装置により、ｉ＝１，．．．，Ｌ＋１の各整数ｉについて、暗号化データｃの要素ｃ_ｉを数１８９に示すように生成する。

また、暗号要素生成部５３２は、処理装置により、暗号化データｃの要素ｃ_Ｌ＋２を数１９０に示すように生成する。

（Ｓ１１０７：ペアリング演算ステップ）
ペアリング演算部５４０は、処理装置により、数１９１を計算する。

なお、ここでは、ρ（Ｌ＋１）：＝¬（ｄ＋１，ｖ^→ _Ｌ＋１：＝（１））であるとする。
ペアリング演算部５４０は、数１９１を計算した結果が値“１”であれば、値“１”を出力し、その他の値であれば値“０”を出力する。ここで、数１９１を計算した結果が値“１”であれば、署名が検証できたことを示し、その他の値であれば署名が検証できなかったことを示す。
なお、数１９２に示すように、署名データｓｉｇが正しいデータであれば、数１９１を計算することにより値“１”が得られる。

つまり、（Ｓ１１０１）から（Ｓ１１０７）において、公開パラメータ取得部５１０、データ受信部５２０、暗号化データ生成部５３０、ペアリング演算部５４０は、数１９３に示すＶｅｒアルゴリズムを実行して、署名データｓｉｇを検証する。

以上のように、署名処理システム２０は、スパンプログラムと内積述語と秘密分散とを用いて構成したアクセスストラクチャＳを用いて、署名方式を実現する。

なお、Ｓｉｇアルゴリズムにおいて、乱数ξや乱数ｒを用いて署名ベクトルｓ^→＊の要素を生成しているのは、署名ベクトルｓ^→＊の要素の生成元の情報である署名鍵ｓｋ_Γの要素ｋの変数δや変数φをランダム化するためである。署名鍵ｓｋ_Γの要素ｋの変数δや変数φをランダム化することにより、署名データの要素であるｓ^→＊からこれらの変数が読み取られることを防止することができる。つまり、署名データがどの署名鍵ｓｋ_Γに基づき生成されたものであるかを読み取られることを防止することができる。すなわち、リンクアビリティを高くすることができる。

また、上記説明では、（Ｓ８０１）のＮ_ｔを４ｎ_ｔ（＝ｎ_ｔ＋ｎ_ｔ＋ｎ_ｔ＋ｎ_ｔ）に設定した。
しかし、ｎ_ｔ＋ｎ_ｔ＋ｎ_ｔ＋ｎ_ｔをｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔにしてもよい。つまり、１つ目のｎ_ｔをそのままｎ_ｔとし、２つ目のｎ_ｔをｕ_ｔとし、３つ目のｎ_ｔをｗ_ｔとし、４つ目のｎ_ｔをｚ_ｔとしてもよい。すなわち、Ｎ_ｔをｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔに設定してもよい。ここで、ｎ_ｔ，ｕ_ｔ，ｗ_ｔ，ｚ_ｔは、それぞれ異なる値であってもよく、ｎ_ｔは上述したように１以上の整数であり、ｕ_ｔ，ｗ_ｔ，ｚ_ｔはいずれも０以上の整数である。
この場合、数１７１に示すＳｅｔｕｐアルゴリズムは、数１９４のように書き換えられる。つまり、基底Ｂ＾_ｔと基底Ｂ＾^＊ _ｔの基底ベクトルの添え字が変更される。

また、数１７６に示すＫｅｙＧｅｎアルゴリズムは、数１９５のように書き換えられる。

また、数１８３に示すＳｉｇアルゴリズムは、数１９６のように書き換えられる。

また、数１９３に示すＶｅｒアルゴリズムは、数１９７のように書き換えられる。

また、Ｎ_０やＮ_ｄ＋１は４ではなく、１以上の整数であればよい。Ｎ_０が１であると、基底Ｂ_０と基底Ｂ^＊ _０とが１次元になる。この場合、ＫｅｙＧｅｎアルゴリズムにおいて、ｋ^＊ _０，ｊ：＝（δ）_Ｂ＊０とし、Ｖｅｒアルゴリズムにおいて、ｃ_０：＝（−ｓ_０−ｓ_Ｌ＋２）_Ｂ０とすればよい。
また、Ｎ_ｄ＋２は８ではなく、２以上の整数であればよい。Ｎ_ｄ＋２が２であると、基底Ｂ_ｄ＋２と基底Ｂ^＊ _ｄ＋２とが２次元になる。この場合、ＫｅｙＧｅｎアルゴリズムにおいて、ｋ^＊ _ｄ＋２：＝（δ_ｊ（１，０））_{Ｂ＊ｄ＋２}、ｋ^＊ _ｄ＋３：＝（δ_ｊ（０，１））_{Ｂ＊ｄ＋２}とし、Ｖｅｒアルゴリズムにおいて、ｃ_０：＝（ｓ_Ｌ＋２−θ_Ｌ＋２ｍ，θ_Ｌ＋２）_Ｂｄ＋２とすればよい。

また、安全性の証明の観点から、ｉ＝１，．．．，Ｌの各整数ｉについてのρ（ｉ）は、それぞれ異なる識別情報ｔについての肯定形の組（ｔ，ｖ^→）又は否定形の組¬（ｔ，ｖ^→）であるとしてもよい。
言い替えると、関数ρ^〜を、ρ（ｉ）＝（ｔ，ｖ^→）又はρ（ｉ）＝¬（ｔ，ｖ^→）である場合にρ^〜（ｉ）＝ｔである｛１，．．．，Ｌ｝→｛１，．．．ｄ｝の写像であるとする。この場合、ρ^〜が単射であるとしてもよい。なお、ρ（ｉ）は、上述したアクセスストラクチャＳ：＝（Ｍ，ρ（ｉ））のρ（ｉ）である。

また、上記説明では、Ｓｉｇアルゴリズムにおいて、行追加ステップ（Ｓ１００４）で、行列ＭにＬ＋１行目として、ベクトルＭ_Ｌ＋１の１行を追加した。しかし、行列Ｍに追加する行は、１行以上であれば何行であっても構わない。また、追加したＭ_Ｌ＋１：＝１^→であるとした。しかし、追加する行は、１^→に限らず他のベクトルであってもよい。
また、上記説明では、追加したＬ＋１行目のラベルρ（Ｌ＋１）：＝¬（ｄ＋１，ｖ^→ _Ｌ＋１：＝（１））とした。しかし、追加する行のラベルの設定は、処理が成立するようになっていればよく、これに限るものではない。
つまり、追加する行や、追加する行のラベルは、Ｖｅｒアルゴリズムのペアリング演算ステップ（Ｓ１１０７）でペアリング演算をした場合に、追加した行の情報が０になるように設定されていればよい。
なお、追加した行が２行以上である場合には、追加した行数に応じて、ＳｉｇアルゴリズムやＶｅｒアルゴリズムにおける処理の繰り返し回数を変更する必要がある。

また、署名処理の安全性を高めるため、数１７１に示す署名アルゴリズムを数１９８のように変更し、数１８３に示すＳｉｇアルゴリズムを数１９９のように変更してもよい。

つまり、Ｓｅｔｕｐアルゴリズムにおいて乱数値が設定された秘匿ベクトルｐ^＊ _ｔ，ιを生成し、Ｓｉｇアルゴリズムでこの秘匿ベクトルｐ^＊ _ｔ，ιを用いて署名ベクトルｓ^→＊の要素ｓ^＊ _ｉを生成している点が変更されている。また、Ｓｅｔｕｐアルゴリズムにおいて、基底Ｂ＾^＊ _ｔを公開パラメータｐｋではなく、マスター鍵ｓｋに含め、秘密にしている点が変更されている。これにより、署名処理の安全性が高くなっている。
なお、このようにＳｅｔｕｐアルゴリズムと、Ｓｉｇアルゴリズムとを変更した場合であっても、数１９９に示すように、署名データｓｉｇが正しいデータであれば、アルゴリズムにおいて、ペアリング演算を計算することにより値“１”が得られる。

また、Ｖｅｒアルゴリズムにおいて、暗号要素生成ステップ（Ｓ１１０６）で、ｃ_０を生成することなく、ｃ_Ｌ＋２：＝（ｓ_０−θ_Ｌ＋２ｍ，θ_Ｌ＋２，０，０，０，０，η_{Ｌ＋２，１}，η_{Ｌ＋２，２}）としてもよい。そして、ペアリング演算ステップ（Ｓ１１０７）で、Π_ｉ＝１ ^Ｌ＋２ｅ（ｃ_ｉ，ｓ^＊ _ｉ）を計算するとしてもよい。
つまり、上記説明では、ｃ_０とｃ_Ｌ＋２とを乱数ｓ_Ｌ＋２で結びつけ、ペアリング演算を行った場合にｃ_０とｃ_Ｌ＋２との間でｓ_Ｌ＋２が打ち消されるようにしていた。しかし、予めｓ_Ｌ＋２を用いず、処理を簡略化してもよい。
この場合、ＫｅｙＧｅｎアルゴリズムにおいてｋ^＊ _０を生成する必要はない。同様に、Ｓｉｇアルゴリズムにおいて、ｓ^＊ _０を生成する必要はない。

実施の形態４．
実施の形態１では、安全性の証明の観点から、ｉ＝１，．．．，Ｌの各整数ｉについてのρ（ｉ）は、それぞれ異なる識別情報ｔについての肯定形の組（ｔ，ｖ^→）又は否定形の組¬（ｔ，ｖ^→）であるとしてもよいと説明した。つまり、ρ^〜が単射であるとしてもよいと説明した。しかし、ρ^〜が単射でなくてもよい。
この場合、安全性の証明の観点から、実施の形態１で説明したＫｅｙ−Ｐｏｌｉｃｙ関数型暗号のＳｅｔｕｐアルゴリズム、ＫｅｙＧｅｎアルゴリズム、Ｅｎｃアルゴリズムを以下のように変更してもよい。ここでは、実施の形態１で説明したＫｅｙ−Ｐｏｌｉｃｙ関数型暗号の各アルゴリズムについての変更部分のみを説明する。

この実施の形態において、φを数２０１に示す値であるとする。

Ｓｅｔｕｐアルゴリズムについては、（１^λ，μ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ））が入力された場合に、Ｓｅｔｕｐ（１^λ，μ’^→：＝（ｄ；ｎ_１’，．．．，ｎ_ｄ’））を実行する。ここで、ｔ＝１，．．．，ｄの各整数ｔについて、ｎ_ｔ’：＝ｎ_ｔ＋φである。

ＫｅｙＧｅｎアルゴリズムについては、ｋ^＊ _ｉの生成方法を数２０２のようにする。

Ｅｎｃアルゴリズムについては、ｃ_ｔの生成方法を数２０３のようにする。

ここでは、実施の形態１で説明したＫｅｙ−Ｐｏｌｉｃｙ関数型暗号についてのみ、ρ^〜が単射でない場合の処理の変更方法について説明した。しかし、同様の考え方に基づき、他の実施の形態で説明した暗号処理や署名処理を変更してもよい。

実施の形態５．
以上の実施の形態では、双対ベクトル空間において暗号処理及び署名処理を実現する方法について説明した。この実施の形態では、双対加群において暗号処理及び署名処理を実現する方法について説明する。

つまり、以上の実施の形態では、素数位数ｑの巡回群において暗号処理を実現した。しかし、合成数Ｍを用いて数２０４のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した暗号処理を適用することができる。

例えば、実施の形態１で説明したＫｅｙ−Ｐｏｌｉｃｙ関数型暗号を、環Ｒを係数とする加群において実現すると数２０５から数２０８のようになる。

ここでは、実施の形態１で説明したＫｅｙ−Ｐｏｌｉｃｙ関数型暗号についてのみ、環Ｒを係数とする加群において実現する方法を示した。しかし、原則として、以上の実施の形態で体Ｆ_ｑとして説明した処理を、環Ｒに置き換えることにより、以上の実施の形態で説明した他の暗号処理や署名処理についても、環Ｒを係数とする加群において実現できる。

なお、以上の実施の形態におけるＳｅｔｕｐアルゴリズムは、暗号処理システム１０あるいは署名処理システム２０のセットアップ時に一度実行すればよく、復号鍵を生成する度に実行する必要はない。また、上記説明では、ＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとを鍵生成装置１００が実行するとしたが、ＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとをそれぞれ異なる装置が実行するとしてもよい。

また、以上の実施の形態では、スパンプログラムＭ＾は、入力列δによって行列Ｍ＾から得られる行列Ｍ_δの行を線形結合して１^→が得られる場合に限り、入力列δを受理するとした。しかし、スパンプログラムＭ＾は、１^→ではなく、他のベクトルｖ^→が得られる場合に限り、入力列δを受理するとしてもよい。
この場合、ＫｅｙＧｅｎアルゴリズムにおいてｓ_０：＝１^→・ｆ^→Ｔではなく、ｓ_０：＝ｖ^→・ｆ^→Ｔとすればよい。同様に、Ｓｉｇアルゴリズムにおいてα_ｉを計算する際、Σ_ｉ∈Ｉα_ｉＭ_ｉ＝ｖ^→となるα_ｉを計算すればよい。

また、上記説明における暗号処理は、権限の委譲を行うことも可能である。権限の委譲とは、復号鍵を有する者がその復号鍵よりも権限の弱い下位の復号鍵を生成することである。ここで、権限が弱いとは、復号できる暗号化データが限定されるという意味である。
例えば、第１階層目（最上位）においては、ｔ＝１の基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用い、第２階層目においては、ｔ＝１，２の基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用い、・・・、第ｋ階層目においては、ｔ−１，．．．，ｋの基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いる。用いる基底Ｂ_ｔと基底Ｂ^＊ _ｔとが増える分、属性情報が多く設定されることになる。したがって、より復号鍵の権限が限定されることになる。

次に、実施の形態における暗号処理システム１０（鍵生成装置１００、暗号化装置２００、復号装置３００、）と、署名処理システム２０（鍵生成装置１００、署名装置４００、検証装置５００）のハードウェア構成について説明する。
図２２は、鍵生成装置１００、暗号化装置２００、復号装置３００、署名装置４００、検証装置５００のハードウェア構成の一例を示す図である。
図２２に示すように、鍵生成装置１００、暗号化装置２００、復号装置３００、署名装置４００、検証装置５００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（ＬｉｑｕｉｄＣｒｙｓｔａｌＤｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０（固定ディスク装置）の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。磁気ディスク装置９２０は、所定の固定ディスクインタフェースを介して接続される。

ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４と磁気ディスク装置９２０とは、記憶装置（メモリ）の一例である。また、キーボード９０２、通信ボード９１５は、入力装置の一例である。また、通信ボード９１５は、通信装置（ネットワークインタフェース）の一例である。さらに、ＬＣＤ９０１は、表示装置の一例である。

磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

プログラム群９２３には、上記の説明において「マスター鍵生成部１１０」、「マスター鍵記憶部１２０」、「情報入力部１３０」、「復号鍵生成部１４０」、「鍵配布部１５０」、「公開パラメータ取得部２１０」、「情報入力部２２０」、「暗号化データ生成部２３０」、「データ送信部２４０」、「復号鍵取得部３１０」、「データ受信部３２０」、「スパンプログラム計算部３３０」、「補完係数計算部３４０」、「ペアリング演算部３５０」、「平文情報計算部３６０」、「署名鍵取得部４１０」、「情報入力部４２０」、「補完係数計算部４３０」、「署名生成部４５０」、「データ送信部４６０」、「公開パラメータ取得部５１０」、「データ受信部５２０」、「暗号化データ生成部５３０」、「ペアリング演算部５４０」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、上記の説明において「公開パラメータｐｋ」、「マスター鍵ｓｋ」、「暗号化データｃ」、「復号鍵ｓｋ_Ｓ」、「復号鍵ｓｋ_Γ」、「アクセスストラクチャＳ」、「属性の集合Γ」、「メッセージｍ」、「署名データｓｉｇ」等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。

また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
また、上記の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜装置」として説明するものは、「〜回路」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。さらに、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「〜部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「〜部」の手順や方法をコンピュータ等に実行させるものである。

１０暗号処理システム、２０署名処理システム、１００鍵生成装置、１１０マスター鍵生成部、１２０マスター鍵記憶部、１３０情報入力部、１４０復号鍵生成部、１４１ｆベクトル生成部、１４２ｓベクトル生成部、１４３乱数生成部、１４４鍵要素生成部、１４５秘匿要素生成部、１５０鍵配布部、１６０署名鍵生成部、１６１乱数生成部、１６２鍵要素生成部、２００暗号化装置、２１０公開パラメータ取得部、２２０情報入力部、２３０暗号化データ生成部、２３１乱数生成部、２３２暗号要素生成部、２３３ｆベクトル生成部、２３４ｓベクトル生成部、２４０データ送信部、３００復号装置、３１０復号鍵取得部、３２０データ受信部、３３０スパンプログラム計算部、３４０補完係数計算部、３５０ペアリング演算部、３６０平文情報計算部、４００署名装置、４１０署名鍵取得部、４２０情報入力部、４３０補完係数計算部、４４０行列生成部、４５０署名生成部、４５１乱数生成部、４５２署名要素生成部、４６０データ送信部、５００検証装置、５１０公開パラメータ取得部、５２０データ受信部、５３０暗号化データ生成部、５４０ペアリング演算部、５３１乱数生成部、５３２暗号要素生成部、５３３ｆベクトル生成部、５３４ｓベクトル生成部。

Claims

鍵生成装置と暗号化装置と復号装置とを備え、ｔ＝０，．．．，ｄ（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を実行する暗号処理システムであり、
前記鍵生成装置は、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性ベクトルｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍとを入力する第１情報入力部と、
ｒ個の要素を有するベクトルｆ^→及びｗ^→と、前記第１情報入力部が入力した行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、値ｓ_０：＝ｗ^→・ｆ^→Ｔと、所定の値θ_ｉ（ｉ＝１，．．．，Ｌ）とに基づき、要素ｋ^＊ _０と、ｉ＝１，．．．，Ｌの各整数ｉについての要素ｋ^＊ _ｉとを生成する復号鍵生成部であって、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として前記値−ｓ_０を設定し、基底ベクトルｂ^＊ _０，ｑ（ｑは前記ｐとは異なる所定の値）の係数として所定の値κを設定して要素ｋ^＊ _０を生成し、
ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’の係数としてθ_ｉｖ_ｉ，ｉ’を設定して要素ｋ^＊ _ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’の係数としてｓ_ｉｖ_ｉ，ｉ’を設定して要素ｋ^＊ _ｉを生成する復号鍵生成部と
を備え、
前記暗号化装置は、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ：＝（ｘ_ｔ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを有する属性集合Γを入力する第２情報入力部と、
前記第２情報入力部が入力した属性集合Γに基づき、要素ｃ_０と、前記属性集合Γに含まれる各識別情報ｔについてについての要素ｃ_ｔとを生成する暗号化データ生成部であって、
基底Ｂ_０の基底ベクトルｂ_０，ｐ（ｐは前記ｐ）の係数として乱数値δを設定するとともに、基底ベクトルｂ_０，ｑ（ｑは前記ｑ）の係数として所定の値ζを設定した要素ｃ_０を生成し、
前記属性集合Γに含まれる各識別情報ｔについて、基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数値δ倍したｘ_ｔ，ｉ’を設定した要素ｃ_ｔとを生成する暗号化データ生成部と
を備え、
前記復号装置は、
前記暗号化データ生成部が生成した要素ｃ_０及び要素ｃ_ｔと、前記属性集合Γとを含む暗号化データｃを取得するデータ取得部と、
前記復号鍵生成部が生成した要素ｋ^＊ _０及び要素ｋ^＊ _ｉと、前記変数ρ（ｉ）とを含む復号鍵ｓｋ_Ｓを取得する復号鍵取得部と、
前記データ取得部が取得した暗号化データｃに含まれる属性集合Γと、前記復号鍵取得部が取得した復号鍵ｓｋ_Ｓに含まれる変数ρ（ｉ）とに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、α_ｉｓ_ｉを合計した場合にｓ_０となる補完係数α_ｉを計算する補完係数計算部と、
前記暗号化データｃに含まれる要素ｃ_０，要素ｃ_ｔと、前記復号鍵ｓｋ_Ｓに含まれる要素ｋ^＊ _０，要素ｋ^＊ _ｉとについて、前記補完係数計算部が特定した集合Ｉと、前記補完係数計算部が計算した補完係数α_ｉとに基づき、数１に示すペアリング演算を行い値Ｋ＝ｇ_Ｔ ^ζκを計算するペアリング演算部と
を備えることを特徴とする暗号処理システム。
前記暗号処理システムは、少なくとも基底ベクトルｂ_０，ｉ（ｉ＝１，．．．，５）を有する基底Ｂ_０と、少なくとも基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）（ｕ_ｔ，ｗ_ｔ，ｚ_ｔは１以上の整数、）を有する基底Ｂ_ｔ（ｔ＝１，．．．，ｄ）と、少なくとも基底ベクトルｂ^＊ _０，ｉ（ｉ＝１，．．．，５）を有する基底Ｂ^＊ _０と、少なくとも基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）を有する基底Ｂ^＊ _ｔ（ｔ＝１，．．．，ｄ）とを用いて暗号処理を実行し、
前記鍵生成装置の前記復号鍵生成部は、乱数値η_０と所定の値κとに基づき数２に示す要素ｋ^＊ _０を生成するとともに、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、乱数値θ_ｉ，η_ｉ，ｉ’（ｉ＝１，．．．，Ｌ，ｉ’＝１，．．．，ｗ_ｔ）とに基づき数３に示す要素ｋ^＊ _ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、乱数値η_ｉ，ｉ’（ｉ＝１，．．．，Ｌ，ｉ’＝１，．．．，ｗ_ｔ）とに基づき数４に示す要素ｋ^＊ _ｉを生成し、
前記暗号化装置の前記暗号化データ生成部は、乱数値δ，φ_０と所定の値ζとに基づき数５に示す要素ｃ_０を生成するとともに、前記乱数値δ，φ_ｔ，ｉ（ｉ＝１，．．．，ｚ_ｔ）に基づき数６に示す要素ｃ_ｔとを生成する
ことを特徴とする請求項１に記載の暗号処理システム。
ｔ＝０，．．．，ｄ（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を実行する暗号処理システムにおいて、復号鍵ｓｋ_Ｓを生成する鍵生成装置であり、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性ベクトルｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍとを入力する第１情報入力部と、
ｒ個の要素を有するベクトルｆ^→及びｗ^→と、前記第１情報入力部が入力した行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、値ｓ_０：＝ｗ^→・ｆ^→Ｔと、所定の値θ_ｉ（ｉ＝１，．．．，Ｌ）とに基づき、要素ｋ^＊ _０と、ｉ＝１，．．．，Ｌの各整数ｉについての要素ｋ^＊ _ｉとを生成する復号鍵生成部であって、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として前記値−ｓ_０を設定し、基底ベクトルｂ^＊ _０，ｑ（ｑは前記ｐとは異なる所定の値）の係数として所定の値κを設定して要素ｋ^＊ _０を生成し、
ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’の係数としてθ_ｉｖ_ｉ，ｉ’を設定して要素ｋ^＊ _ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’の係数としてｓ_ｉｖ_ｉ，ｉ’を設定して要素ｋ^＊ _ｉを生成する復号鍵生成部と、
前記第１情報入力部が入力した変数ρ（ｉ）と、前記復号鍵生成部が生成した要素ｋ^＊ _０及び要素ｋ^＊ _ｉとを含むデータを復号鍵ｓｋ_Ｓとして配布する鍵配布部と
を備えることを特徴とする鍵生成装置。
ｔ＝０，．．．，ｄ（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を実行する暗号処理システムにおいて、暗号化データｃを生成する暗号化装置であり、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ：＝（ｘ_ｔ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを有する属性集合Γを入力する第２情報入力部と、
前記第２情報入力部が入力した属性集合Γに基づき、要素ｃ_０と、前記属性集合Γに含まれる各識別情報ｔについての要素ｃ_ｔとを生成する暗号化データ生成部であって、
基底Ｂ_０の基底ベクトルｂ_０，ｐ（ｐは所定の値）の係数として乱数値δを設定するとともに、基底ベクトルｂ_０，ｑ（ｑは前記ｐとは異なる所定の値）の係数として所定の値ζを設定した要素ｃ_０を生成し、
前記属性集合Γに含まれる各識別情報ｔについて、基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数値δ倍したｘ_ｔ，ｉ’を設定した要素ｃ_ｔとを生成する暗号化データ生成部と、
前記第２情報入力部が入力した属性集合Γと、前記暗号化データ生成部が生成した要素ｃ_０及び要素ｃ_ｔとを暗号化データｃとして出力するデータ出力部と
を備えることを特徴とする暗号化装置。
ｔ＝０，．．．，ｄ（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を実行する暗号処理システムにおいて、暗号化データｃを復号鍵ｓｋ_Ｓで復号する復号装置であり、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ：＝（ｘ_ｔ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを有する属性集合Γに基づき生成された要素ｃ_０と、要素ｃ_ｔ（前記属性集合Γに含まれる各整数）とであって、
基底Ｂ_０の基底ベクトルｂ_０，ｐ（ｐは所定の値）の係数として乱数値δが設定されるとともに、基底ベクトルｂ_０，ｑ（ｑは前記ｐとは異なる所定の値）の係数として所定の値ζが設定された要素ｃ_０と、
前記属性集合Γに含まれる各識別情報ｔについて、基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数値δ倍したｘ_ｔ，ｉ’が設定された要素ｃ_ｔと
を前記属性集合Γとともに、暗号化データｃとして取得するデータ取得部と、
ｒ個（ｒは１以上の整数）の要素を有するベクトルｆ^→及びｗ^→とＬ行ｒ列の所定の行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔ及び値ｓ_０：＝ｗ^→・ｆ^→Ｔと、所定の値θ_ｉ（ｉ＝１，．．．，Ｌ）と、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）及び属性ベクトルｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）の肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）とに基づき生成された要素ｋ^＊ _０と、要素ｋ^＊ _ｉ（ｉ＝１，．．．，Ｌの各整数）とであって、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは前記ｐ）の係数として前記値−ｓ_０が設定され、基底ベクトルｂ^＊ _０，ｑ（ｑは前記ｑ）の係数として所定の値κが設定された要素ｋ^＊ _０と、
ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１が設定されるとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’の係数としてθ_ｉｖ_ｉ，ｉ’が設定された要素ｋ^＊ _ｉであって、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’の係数としてｓ_ｉｖ_ｉ，ｉ’が設定された要素ｋ^＊ _ｉと
を前記変数ρ（ｉ）とともに、復号鍵ｓｋ_Ｓとして取得する復号鍵取得部と、
前記データ取得部が取得した暗号化データｃに含まれる属性集合Γと、前記復号鍵取得部が取得した復号鍵ｓｋ_Ｓに含まれる変数ρ（ｉ）とに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、α_ｉｓ_ｉを合計した場合にｓ_０となる補完係数α_ｉを計算する補完係数計算部と、
前記暗号化データｃに含まれる要素ｃ_０，要素ｃ_ｔと、前記復号鍵ｓｋ_Ｓに含まれる要素ｋ^＊ _０，要素ｋ^＊ _ｉとについて、前記補完係数計算部が特定した集合Ｉと、前記補完係数計算部が計算した補完係数α_ｉとに基づき、数７に示すペアリング演算を行い値Ｋ＝ｇ_Ｔ ^ζκを計算するペアリング演算部と
を備えることを特徴とする復号装置。
鍵生成装置と暗号化装置と復号装置とを備え、ｔ＝０，．．．，ｄ（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を実行する暗号処理システムであり、
前記鍵生成装置は、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ：＝（ｘ_ｔ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを有する属性集合Γを入力する第１情報入力部と、
前記第１情報入力部が入力した属性集合Γに基づき、要素ｋ^＊ _０と、前記属性集合Γに含まれる各識別情報ｔについての要素ｋ^＊ _ｔとを生成する復号鍵生成部であって、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として乱数値δを設定するとともに、基底ベクトルｂ^＊ _０，ｑ（ｑは前記ｐとは異なる所定の値）の係数として所定の値κを設定した要素ｋ^＊ _０を生成し、
前記属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数値δ倍したｘ_ｔ，ｉ’を設定した要素ｋ^＊ _ｔとを生成する復号鍵生成部と
を備え、
前記暗号化装置は、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性ベクトルｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍとを入力する第２情報入力部と、
ｒ個の要素を有するベクトルｆ^→及びｗ^→と、前記第２情報入力部が入力した行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、値ｓ_０：＝ｗ^→・ｆ^→Ｔと、所定の値θ_ｉ（ｉ＝１，．．．，Ｌ）とに基づき、要素ｃ_０と、ｉ＝１，．．．，Ｌの各整数ｉについての要素ｃ_ｉとを生成する暗号化データ生成部であって、
基底Ｂ_０の基底ベクトルｂ_０，ｐ（ｐは前記ｐ）の係数として前記値−ｓ_０を設定し、基底ベクトルｂ_０，ｑ（ｑは前記ｑ）の係数として所定の値ζを設定して要素ｃ_０を生成し、
ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’の係数としてθ_ｉｖ_ｉ，ｉ’を設定して要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’の係数としてｓ_ｉｖ_ｉ，ｉ’を設定して要素ｃ_ｉを生成する暗号化データ生成部と
を備え、
前記復号装置は、
前記暗号化データ生成部が生成した要素ｃ_０及び要素ｃ_ｔと、前記変数ρ（ｉ）とを含む暗号化データｃを取得するデータ取得部と、
前記復号鍵生成部が生成した要素ｋ^＊ _０及び要素ｋ^＊ _ｉと、前記属性集合Γとを含む復号鍵ｓｋ_Γを取得する復号鍵取得部と、
前記データ取得部が取得した暗号化データｃに含まれるｉ＝１，．．．，Ｌの各整数ｉについての変数ρ（ｉ）と、前記復号鍵取得部が取得した復号鍵ｓｋ_Γに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、α_ｉｓ_ｉを合計した場合にｓ_０となる補完係数α_ｉを計算する補完係数計算部と、
前記暗号化データｃに含まれる要素ｃ_０，要素ｃ_ｔと、前記復号鍵ｓｋ_Γに含まれる要素ｋ^＊ _０，要素ｋ^＊ _ｉとについて、前記補完係数計算部が特定した集合Ｉと、前記補完係数計算部が計算した補完係数α_ｉとに基づき、数８に示すペアリング演算を行い値Ｋ＝ｇ_Ｔ ^ζκを計算するペアリング演算部と
を備えることを特徴とする暗号処理システム。
前記暗号処理システムは、少なくとも基底ベクトルｂ_０，ｉ（ｉ＝１，．．．，５）を有する基底Ｂ_０と、少なくとも基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ，．．．，ｎ_ｔ＋ｕ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）（ｕ_ｔ，ｗ_ｔ，ｚ_ｔは１以上の整数、）を有する基底Ｂ_ｔ（ｔ＝１，．．．，ｄ）と、少なくとも基底ベクトルｂ^＊ _０，ｉ（ｉ＝１，．．．，５）を有する基底Ｂ^＊ _０と、少なくとも基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ，．．．，ｎ_ｔ＋ｕ＋ｗ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）を有する基底Ｂ^＊ _ｔ（ｔ＝１，．．．，ｄ）とを用いて暗号処理を実行し、
前記鍵生成装置の前記復号鍵生成部は、乱数値δ，φ_０と所定の値κとに基づき数９に示す要素ｋ^＊ _０を生成するとともに、前記乱数値δ，φ_ｔ，ｉ（ｉ＝１，．．．，ｗ_ｔ）に基づき数１０に示す要素ｋ^＊ _ｔとを生成し、
前記暗号化装置の前記暗号化データ生成部は、乱数値η_０と所定の値ζとに基づき数１１に示す要素ｃ_０を生成するとともに、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、乱数値θ_ｉ，η_ｉ，ｉ’（ｉ＝１，．．．，Ｌ，ｉ’＝１，．．．，ｚ_ｔ）とに基づき数１２に示す要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、乱数値η_ｉ，ｉ’（ｉ＝１，．．．，Ｌ，ｉ’＝１，．．．，ｚ_ｔ）とに基づき数１３に示す要素ｃ_ｉを生成する
ことを特徴とする請求項６に記載の暗号処理システム。
ｔ＝０，．．．，ｄ（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を実行する暗号処理システムにおいて、復号鍵ｓｋ_Γを生成する鍵生成装置であり、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ：＝（ｘ_ｔ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを有する属性集合Γを入力する第１情報入力部と、
前記第１情報入力部が入力した属性集合Γに基づき、要素ｋ^＊ _０と、前記属性集合Γに含まれる各識別情報ｔについての要素ｋ^＊ _ｔとを生成する復号鍵生成部であって、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として乱数値δを設定するとともに、基底ベクトルｂ^＊ _０，ｑ（ｑは前記ｐとは異なる所定の値）の係数として所定の値κを設定した要素ｋ^＊ _０を生成し、
前記属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数値δ倍したｘ_ｔ，ｉ’を設定した要素ｋ^＊ _ｔとを生成する復号鍵生成部と、
前記第１情報入力部が入力した変数ρ（ｉ）と、前記復号鍵生成部が生成した要素ｋ^＊ _０及び要素ｋ^＊ _ｉとを含むデータを復号鍵ｓｋ_Γとして配布する鍵配布部と
を備えることを特徴とする鍵生成装置。
ｔ＝０，．．．，ｄ（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を実行する暗号処理システムにおいて、暗号化データｃを生成する暗号化装置であり、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性ベクトルｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍとを入力する第２情報入力部と、
ｒ個の要素を有するベクトルｆ^→及びｗ^→と、前記第２情報入力部が入力した行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、値ｓ_０：＝ｗ^→・ｆ^→Ｔと、所定の値θ_ｉ（ｉ＝１，．．．，Ｌ）とに基づき、要素ｃ_０と、ｉ＝１，．．．，Ｌの各整数ｉについての要素ｃ_ｉとを生成する暗号化データ生成部であって、
基底Ｂ_０の基底ベクトルｂ_０，ｐ（ｐは前記ｐ）の係数として前記値−ｓ_０を設定し、基底ベクトルｂ_０，ｑ（ｑは前記ｑ）の係数として所定の値ζを設定して要素ｃ_０を生成し、
ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’の係数としてθ_ｉｖ_ｉ，ｉ’を設定して要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’の係数としてｓ_ｉｖ_ｉ，ｉ’を設定して要素ｃ_ｉを生成する暗号化データ生成部と、
前記第２情報入力部が入力した属性集合Γと、前記暗号化データ生成部が生成した要素ｃ_０及び要素ｃ_ｔとを暗号化データｃとして出力するデータ出力部と
を備えることを特徴とする暗号化装置。
ｔ＝０，．．．，ｄ（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を実行する暗号処理システムにおいて、暗号化データｃを復号鍵ｓｋ_Γで復号する復号装置であり、
ｒ個（ｒは１以上の整数）の要素を有するベクトルｆ^→及びｗ^→とＬ行ｒ列の所定の行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔ及び値ｓ_０：＝ｗ^→・ｆ^→Ｔと、所定の値θ_ｉ（ｉ＝１，．．．，Ｌ）と、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性ベクトルｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）とに基づき生成された要素ｃ_０と、要素ｃ_ｉ（ｉ＝１，．．．，Ｌの各整数）とであって、
基底Ｂ_０の基底ベクトルｂ_０，ｐ（ｐは所定の値）の係数として前記値−ｓ_０が設定され、基底ベクトルｂ_０，ｑ（ｑは前記ｐとは異なる所定の値）の係数として所定の値ζが設定された要素ｃ_０と、
ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１が設定されるとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’の係数としてθ_ｉｖ_ｉ，ｉ’が設定された要素ｃ_ｉであって、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’の係数としてｓ_ｉｖ_ｉ，ｉ’が設定された要素ｃ_ｉと
を前記変数ρ（ｉ）とともに、暗号化データｃとして取得するデータ取得部と、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ：＝（ｘ_ｔ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを有する属性集合Γに基づき生成された要素ｋ^＊ _０と、要素ｋ^＊ _ｔ（ｔは前記属性集合Γに含まれる各整数）とであって、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは前記ｐ）の係数として乱数値δが設定されるとともに、基底ベクトルｂ^＊ _０，ｑ（ｑは前記ｑ）の係数として所定の値κが設定された要素ｋ^＊ _０と、
前記属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数値δ倍したｘ_ｔ，ｉ’が設定された要素ｋ^＊ _ｔと
を前記属性集合Γとともに、復号鍵ｓｋ_Γとして取得する復号鍵取得部と、
前記データ取得部が取得した暗号化データｃに含まれる変数ρ（ｉ）と、前記復号鍵取得部が取得した復号鍵ｓｋ_Ｓに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、α_ｉｓ_ｉを合計した場合にｓ_０となる補完係数α_ｉを計算する補完係数計算部と、
前記暗号化データｃに含まれる要素ｃ_０，要素ｃ_ｔと、前記復号鍵ｓｋ_Ｓに含まれる要素ｋ^＊ _０，要素ｋ^＊ _ｉとについて、前記補完係数計算部が特定した集合Ｉと、前記補完係数計算部が計算した補完係数α_ｉとに基づき、数１４に示すペアリング演算を行い値Ｋ＝ｇ_Ｔ ^ζκを計算するペアリング演算部と
を備えることを特徴とする復号装置。
鍵生成装置と署名装置と検証装置とを備え、ｔ＝１，．．．，ｄ，ｄ＋２（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムであり、
前記鍵生成装置は、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ：＝（ｘ_ｔ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを有する属性集合Γを入力する第１情報入力部と、
前記第１情報入力部が入力した属性集合Γに基づき、前記属性集合Γに含まれる各識別情報ｔについての要素ｋ^＊ _ｔと、要素ｋ^＊ _ｄ＋２と、要素ｋ^＊ _ｄ＋３とを生成する署名鍵生成部であって、
前記属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数値δ倍したｘ_ｔ，ｉ’を設定した要素ｋ^＊ _ｔを生成し、
基底Ｂ^＊ _ｄ＋２の基底ベクトルｂ^＊ _{ｄ＋２，ｐ’}（ｐ’は所定の値）の係数として前記乱数値δを設定した要素ｋ^＊ _ｄ＋２を生成し、
基底Ｂ^＊ _ｄ＋２の基底ベクトルｂ^＊ _{ｄ＋２，ｑ’}（ｑ’は前記ｐ’とは異なる所定の値）の係数として前記乱数値δを設定した要素ｋ^＊ _ｄ＋３を生成する署名鍵生成部と
を備え、
前記署名装置は、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性ベクトルｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
前記署名鍵生成部が生成した要素ｋ^＊ _ｔと、要素ｋ^＊ _ｄ＋２と、要素ｋ^＊ _ｄ＋３と、前記属性集合Γとを署名鍵ｓｋ_Γとして取得する署名鍵取得部と、
ｉ＝１，．．．，Ｌの各整数ｉについての変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｓｋ_Γに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計したした場合に所定のベクトルｗ^→となる補完係数α_ｉを計算する補完係数計算部と、
前記変数ρ（ｉ）と、前記属性集合Γと、前記補完係数計算部が特定した集合Ｉと、前記補完係数計算部が計算した補完係数α_ｉとに基づき、ｉ＝１，．．．，Ｌの各整数ｉについてのｓ^＊ _ｉと、ｓ^＊ _Ｘとを生成する署名生成部であって、
β_ｉを、行列Ｍの各行番号を表す各整数ｉについて、β_ｉＭ_ｉを合計した場合に全ての要素が０となる値とし、
行列Ｍの各行番号を表す各整数ｉについて、
ｉ∈Ｉであって、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、値γ_ｉ：＝α_ｉとし、ベクトルｙ^→ _ｉ：＝（ｙ_ｉ，ι）（ι：＝１，．．．，ｎ_ｔ）をｙ^→ _ｉとｖ^→ _ｉとの内積が０で、ｙ_ｉ，１＝１であるベクトルとし、
ｉ∈Ｉであって、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、ベクトルｙ^→ _ｉ：＝（ｙ_ｉ，ι）（ι：＝１，．．．，ｎ_ｔ）をｙ^→ _ｉとｖ^→ _ｉとの内積が１であるベクトルとし、
ｉ∈Ｉでなく、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、値γ_ｉ：＝０とし、ベクトルｙ^→ _ｉ：＝（ｙ_ｉ，ι）（ι：＝１，．．．，ｎ_ｔ）をｙ^→ _ｉとｖ^→ _ｉとの内積が０で、ｙ_ｉ，１＝１であるベクトルとし、
ｉ∈Ｉでなく、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、値γ_ｉ：＝０とし、ベクトルｙ^→ _ｉ：＝（ｙ_ｉ，ι）（ι：＝１，．．．，ｎ_ｔ）をｙ^→ _ｉとｖ^→ _ｉとの内積が１であるベクトルとして、
数１５に示すように行列Ｍの各行番号を表す各整数ｉについてのｓ^＊ _ｉと、ｓ^＊ _Ｘとを生成する署名生成部と
を備え、
前記検証装置は、
前記署名生成部が生成したｓ^＊ _ｉ，ｓ^＊ _Ｘと、メッセージｍと、変数ρ（ｉ）と、行列Ｍとを含む署名データｓｉｇを取得するデータ取得部と、
ｒ個の要素を有するベクトルｆ^→と、前記ベクトルｗ^→と、前記データ取得部が取得した行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、値ｓ_０：＝ｗ^→・ｆ^→Ｔと、所定の値θ_ｉ（ｉは行列Ｍの各行番号とＸ）とに基づき、行列Ｍの各行番号を表す各整数ｉについての要素ｃ_ｉと、要素ｃ_Ｘとを生成する暗号化データ生成部であって、
前記行列Ｍの各行番号を表す各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’の係数としてθ_ｉｖ_ｉ，ｉ’を設定して要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’の係数としてｓ_ｉｖ_ｉ，ｉ’を設定して要素ｃ_ｉを生成し、
基底Ｂ_ｄ＋２の基底ベクトルｂ_{ｄ＋２，ｐ’}（ｐ’は前記ｐ’）にｓ_０−θ_Ｘｍを設定するとともに、基底ベクトルｂ_{ｄ＋２，ｑ’}（ｑ’は前記ｑ’）にθ_Ｘを設定して要素ｃ_Ｘを生成する暗号化データ生成部と、
行列Ｍの各行番号とＸとを示す各整数ｉについて、数１６に示すペアリング演算を行い、前記署名データｓｉｇの正当性を検証するペアリング演算部と
を備えることを特徴とする署名処理システム。
前記署名処理システムは、少なくとも基底ベクトルｂ_０，ｉ（ｉ＝１，．．．，４）を有する基底Ｂ_０と、少なくとも基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）（ｕ_ｔ，ｗ_ｔ，ｚ_ｔは１以上の整数、）を有する基底Ｂ_ｔ（ｔ＝１，．．．，ｄ）と、少なくとも基底ベクトルｂ_{ｄ＋１，ｉ}（ｉ＝１，．．．，４）を有する基底Ｂ_ｄ＋１と、少なくとも基底ベクトルｂ_{ｄ＋２，ｉ}（ｉ＝１，．．．，８）を有する基底Ｂ_ｄ＋２と、少なくとも基底ベクトルｂ^＊ _０，ｉ（ｉ＝１，．．．，４）を有する基底Ｂ^＊ _０と、少なくとも基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）を有する基底Ｂ^＊ _ｔ（ｔ＝１，．．．，ｄ）と、少なくとも基底ベクトルｂ^＊ _{ｄ＋１，ｉ}（ｉ＝１，．．．，４）を有する基底Ｂ^＊ _ｄ＋１と、少なくとも基底ベクトルｂ^＊ _{ｄ＋２，ｉ}（ｉ＝１，．．．，８）を有する基底Ｂ^＊ _ｄ＋２とを用いて署名処理を実行し、
前記鍵生成装置の前記署名鍵生成部は、
前記属性集合Γに含まれる各識別情報ｔと、ι＝１，．．．，ｗ_ｔの各整数ιとについて、要素ｋ^＊ _０と、要素ｋ^＊ _ｔと、要素ｋ^＊ _ｄ＋２と、要素ｋ^＊ _ｄ＋３とを、乱数値δ_ｊ，φ_０，φ_ｔ，ι，φ_{ｄ＋２，１}，φ_{ｄ＋２，２}，φ_{ｄ＋３，１}，φ_{ｄ＋３，２}に基づき、数１７に示すように生成し、
前記署名装置は、さらに、
前記行列ＭのＬ＋１行目に所定の行ベクトルＭ_Ｌ＋１を追加する行列生成部
を備え
前記署名装置の前記署名生成部は、
要素ｋ^＊ _０と、要素ｋ^＊ _ｔと、要素ｋ^＊ _ｄ＋２と、要素ｋ^＊ _ｄ＋３と、乱数値ξとに基づき、数１８に示すように、ｉ＝１，．．．，Ｌ＋１の各整数ｉについてのｓ^＊ _ｉと、ｓ^＊ _Ｘとしてｓ^＊ _０及びｓ^＊ _Ｌ＋２とを生成し、
前記検証装置の前記暗号化データ生成部は、
ｉ＝１，．．．，Ｌ＋１の各整数ｉと、ｉ‘＝１，．．．，ｚ_ｔの各整数ｉ’とについて、乱数値θ_ｉ，η_ｉ，ｉ’，η_{Ｌ＋２，１}，η_{Ｌ＋２，２}に基づき、数１９に示すように、要素ｃ_ｉと、要素ｃ_Ｘとして要素ｃ_０及び要素ｃ_Ｌ＋２とを生成し、
前記ペアリング演算部は、ｉ＝１，．．．，Ｌ＋２の各整数ｉについて、前記ペアリング演算を行う
ことを特徴とする請求項１１に記載の署名処理システム。
ｔ＝１，．．．，ｄ，ｄ＋２（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名鍵ｓｋ_Γを生成する鍵生成装置であり、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ：＝（ｘ_ｔ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを有する属性集合Γを入力する第１情報入力部と、
前記第１情報入力部が入力した属性集合Γに基づき、前記属性集合Γに含まれる各識別情報ｔについての要素ｋ^＊ _ｔと、要素ｋ^＊ _ｄ＋２と、要素ｋ^＊ _ｄ＋３とを生成する署名鍵生成部であって、
前記属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数値δ倍したｘ_ｔ，ｉ’を設定した要素ｋ^＊ _ｔを生成し、
基底Ｂ^＊ _ｄ＋２の基底ベクトルｂ^＊ _{ｄ＋２，ｐ’}（ｐ’は所定の値）の係数として前記乱数値δを設定した要素ｋ^＊ _ｄ＋２を生成し、
基底Ｂ^＊ _ｄ＋２の基底ベクトルｂ^＊ _{ｄ＋２，ｑ’}（ｑ’は前記ｐ’とは異なる所定の値）の係数として前記乱数値δを設定した要素ｋ^＊ _ｄ＋３を生成する署名鍵生成部と、
前記第１情報入力部が入力した属性集合Γと、前記署名鍵生成部が生成した要素ｋ^＊ _ｔと、要素ｋ^＊ _ｄ＋２と、要素ｋ^＊ _ｄ＋３とを含むデータを署名鍵ｓｋ_Γとして配布する鍵配布部と
を備えることを特徴とする鍵生成装置。
ｔ＝１，．．．，ｄ，ｄ＋２（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データｓｉｇを生成する署名装置であり、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性ベクトルｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ：＝（ｘ_ｔ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを有する属性集合Γに基づき生成された要素ｋ^＊ _ｔ（ｔは前記属性集合Γに含まれる各識別情報）と、要素ｋ^＊ _ｄ＋２と、要素ｋ^＊ _ｄ＋３とであって、
前記属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数値δ倍したｘ_ｔ，ｉ’が設定された要素ｋ^＊ _ｔと、
基底Ｂ^＊ _ｄ＋２の基底ベクトルｂ^＊ _{ｄ＋２，ｐ’}（ｐ’は所定の値）の係数として前記乱数値δが設定された要素ｋ^＊ _ｄ＋２と、
基底Ｂ^＊ _ｄ＋２の基底ベクトルｂ^＊ _{ｄ＋２，ｑ’}（ｑ’は前記ｐ’とは異なる所定の値）の係数として前記乱数値δが設定された要素ｋ^＊ _ｄ＋３と
を前記属性集合Γとともに、署名鍵ｓｋ_Γとして取得する署名鍵取得部と、
ｉ＝１，．．．，Ｌの各整数ｉについての変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｓｋ_Γに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｗ^→となる補完係数α_ｉを計算する補完係数計算部と、
前記変数ρ（ｉ）と、前記属性集合Γと、前記補完係数計算部が特定した集合Ｉと、前記補完係数計算部が計算した補完係数α_ｉとに基づき、行列Ｍの各行番号を表す各整数ｉについてのｓ^＊ _ｉと、ｓ^＊ _Ｘとを生成する署名生成部であって、
β_ｉを、行列Ｍの各行番号を表す各整数ｉについて、β_ｉＭ_ｉを合計した場合に全ての要素が０となる値とし、
行列Ｍの各行番号を表す各整数ｉについて、
ｉ∈Ｉであって、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、値γ_ｉ：＝α_ｉとし、ベクトルｙ^→ _ｉ：＝（ｙ_ｉ，ι）（ι：＝１，．．．，ｎ_ｔ）をｙ^→ _ｉとｖ^→ _ｉとの内積が０で、ｙ_ｉ，１＝１であるベクトルとし、
ｉ∈Ｉであって、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、ベクトルｙ^→ _ｉ：＝（ｙ_ｉ，ι）（ι：＝１，．．．，ｎ_ｔ）をｙ^→ _ｉとｖ^→ _ｉとの内積が１であるベクトルとし、
ｉ∈Ｉでなく、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、値γ_ｉ：＝０とし、ベクトルｙ^→ _ｉ：＝（ｙ_ｉ，ι）（ι：＝１，．．．，ｎ_ｔ）をｙ^→ _ｉとｖ^→ _ｉとの内積が０で、ｙ_ｉ，１＝１であるベクトルとし、
ｉ∈Ｉでなく、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、値γ_ｉ：＝０とし、ベクトルｙ^→ _ｉ：＝（ｙ_ｉ，ι）（ι：＝１，．．．，ｎ_ｔ）をｙ^→ _ｉとｖ^→ _ｉとの内積が１であるベクトルとして、
数２０に示すように行列Ｍの各行番号を表すの各整数ｉについてのｓ^＊ _ｉと、ｓ^＊ _Ｘとを生成する署名生成部と
前記第２情報入力部が入力した変数ρ（ｉ）と行列Ｍとメッセージｍと、前記署名生成部が生成したｓ^＊ _０とｓ^＊ _ｉとｓ^＊ _Ｘとを含むデータを署名データｓｉｇとして出力するデータ出力部と
を備えることを特徴とする署名装置。
ｔ＝１，．．．，ｄ，ｄ＋２（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データｓｉｇを検証する検証装置であり、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ：＝（ｘ_ｔ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを有する属性集合Γに基づき生成された要素ｋ^＊ _ｔ（ｔは前記属性集合Γに含まれる各識別情報）と、要素ｋ^＊ _ｄ＋２と、要素ｋ^＊ _ｄ＋３とであって、
前記属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数値δ倍したｘ_ｔ，ｉ’が設定された要素ｋ^＊ _ｔと、
基底Ｂ^＊ _ｄ＋２の基底ベクトルｂ^＊ _{ｄ＋２，ｐ’}（ｐ’は所定の値）の係数として前記乱数値δが設定された要素ｋ^＊ _ｄ＋２と、
基底Ｂ^＊ _ｄ＋２の基底ベクトルｂ^＊ _{ｄ＋２，ｑ’}（ｑ’は前記ｐ’とは異なる所定の値）の係数として前記乱数値δが設定された要素ｋ^＊ _ｄ＋３と、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性ベクトルｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、前記属性集合Γとに基づき計算された集合Ｉと補完係数α_ｉとであって、
ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示すΓに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉと、
集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｗ^→となる補完係数α_ｉと、
前記変数ρ（ｉ）と、前記属性集合Γと、前記集合Ｉと、前記補完係数α_ｉとに基づき生成されたｓ^＊ _ｉ（ｉ＝１，．．．，Ｌの各整数）と、ｓ^＊ _Ｘとであって、
β_ｉを、行列Ｍの各行番号を表す各整数ｉについて、β_ｉＭ_ｉを合計した場合に全ての要素が０となる値とし、
行列Ｍの各行番号を表す各整数ｉについて、
ｉ∈Ｉであって、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、値γ_ｉ：＝α_ｉとし、ベクトルｙ^→ _ｉ：＝（ｙ_ｉ，ι）（ι：＝１，．．．，ｎ_ｔ）をｙ^→ _ｉとｖ^→ _ｉとの内積が０で、ｙ_ｉ，１＝１であるベクトルとし、
ｉ∈Ｉであって、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、ベクトルｙ^→ _ｉ：＝（ｙ_ｉ，ι）（ι：＝１，．．．，ｎ_ｔ）をｙ^→ _ｉとｖ^→ _ｉとの内積が１であるベクトルとし、
ｉ∈Ｉでなく、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、値γ_ｉ：＝０とし、ベクトルｙ^→ _ｉ：＝（ｙ_ｉ，ι）（ι：＝１，．．．，ｎ_ｔ）をｙ^→ _ｉとｖ^→ _ｉとの内積が０で、ｙ_ｉ，１＝１であるベクトルとし、
ｉ∈Ｉでなく、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、値γ_ｉ：＝０とし、ベクトルｙ^→ _ｉ：＝（ｙ_ｉ，ι）（ι：＝１，．．．，ｎ_ｔ）をｙ^→ _ｉとｖ^→ _ｉとの内積が１であるベクトルとして、
数２１に示すように生成されたｓ^＊ _ｉと、ｓ^＊ _Ｘと
のうち、ｓ^＊ _ｉと、ｓ^＊ _Ｘとメッセージｍと、変数ρ（ｉ）と、行列Ｍとを含む署名データｓｉｇを取得するデータ取得部と、
ｒ個（ｒは１以上の整数）の要素を有するベクトルｆ^→と、前記ベクトルｗ^→と、前記第２情報入力部が入力した行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、値ｓ_０：＝ｗ^→・ｆ^→Ｔと、所定の値θ_ｉ（ｉは行列Ｍの各行番号とＸ）とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについての要素ｃ_ｉと、要素ｃ_Ｘとを生成する暗号化データ生成部であって、
行列Ｍの各行番号を表す各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’の係数としてθ_ｉｖ_ｉ，ｉ’を設定して要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’の係数としてｓ_ｉｖ_ｉ，ｉ’を設定して要素ｃ_ｉを生成し、
基底Ｂ_ｄ＋２の基底ベクトルｂ_{ｄ＋２，ｐ’}（ｐ’は前記ｐ’）にｓ_０−θ_Ｘｍを設定するとともに、基底ベクトルｂ_{ｄ＋２，ｑ’}（ｑ’は前記ｑ’）にθ_Ｘを設定して要素ｃ_Ｘを生成する暗号化データ生成部と、
行列Ｍの各行番号とＸとを示す各整数ｉについて、数２２に示すペアリング演算を行い、前記署名データｓｉｇの正当性を検証するペアリング演算部と
を備えることを特徴とする検証装置。