JP2012133214A - 暗号処理システム、鍵生成装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム - Google Patents

Abstract

【課題】多くの暗号機能を有する安全な関数型暗号方式を提供することを目的とする。
【解決手段】スパンプログラムに属性ベクトルの内積を適用することにより、アクセスストラクチャを構成した。このアクセスストラクチャは、スパンプログラムの設計と、属性ベクトルの設計とに自由度があり、アクセス制御の設計に大きな自由度を有する。このアクセスストラクチャを、暗号文と復号鍵とのそれぞれに持たせて関数型暗号処理を実現した。
【選択図】図５

Description

この発明は、関数型暗号（Ｆｕｎｃｔｉｏｎａｌ Ｅｎｃｒｙｐｔｉｏｎ，ＦＥ）方式に関するものである。

非特許文献３−６，１０，１２，１３，１５，１８には、関数型暗号方式の１つのクラスであるＩＤベース暗号（Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ，ＩＢＥ）方式についての記載がある。

Ｂｅｉｍｅｌ， Ａ．， Ｓｅｃｕｒｅ ｓｃｈｅｍｅｓ ｆｏｒ ｓｅｃｒｅｔ ｓｈａｒｉｎｇ ａｎｄ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ． ＰｈＤ Ｔｈｅｓｉｓ， Ｉｓｒａｅｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ， Ｔｅｃｈｎｉｏｎ， Ｈａｉｆａ， Ｉｓｒａｅｌ， １９９６ Ｂｅｔｈｅｎｃｏｕｒｔ， Ｊ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ｃｉｐｈｅｒｔｅｘｔｐｏｌｉｃｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ： ２００７ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ， ｐｐ． ３２１・３４． ＩＥＥＥ Ｐｒｅｓｓ （２００７） Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．： Ｅｆｆｉｃｉｅｎｔ ｓｅｌｅｃｔｉｖｅ−ＩＤ ｓｅｃｕｒｅ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ． Ｉｎ：Ｃａｃｈｉｎ， Ｃ．， Ｃａｍｅｎｉｓｃｈ， Ｊ． （ｅｄｓ．） ＥＵＲＯＣＲＹＰＴ ２００４． ＬＮＣＳ， ｖｏｌ． ３０２７， ｐｐ． ２２３・３８． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００４） Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．： Ｓｅｃｕｒｅ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ． Ｉｎ： Ｆｒａｎｋｌｉｎ， Ｍ．Ｋ． （ｅｄ．）ＣＲＹＰＴＯ ２００４． ＬＮＣＳ， ｖｏｌ． ３１５２， ｐｐ． ４４３・５９． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００４） Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．， Ｇｏｈ， Ｅ．： Ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｃｏｎｓｔａｎｔ ｓｉｚｅ ｃｉｐｈｅｒｔｅｘｔ． Ｉｎ：Ｃｒａｍｅｒ， Ｒ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００５． ＬＮＣＳ， ｖｏｌ． ３４９４， ｐｐ． ４４０・５６． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００５） Ｂｏｎｅｈ， Ｄ．， Ｆｒａｎｋｌｉｎ， Ｍ．： Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ ｔｈｅ Ｗｅｉｌ ｐａｉｒｉｎｇ． Ｉｎ： Ｋｉｌｉａｎ， Ｊ． （ｅｄ．） ＣＲＹＰＴＯ２００１． ＬＮＣＳ， ｖｏｌ． ２１３９， ｐｐ． ２１３・２９． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００１） Ｂｏｎｅｈ， Ｄ．， Ｈａｍｂｕｒｇ， Ｍ．： Ｇｅｎｅｒａｌｉｚｅｄ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ａｎｄ ｂｒｏａｄｃａｓｔ ｅｎｃｒｙｐｔｉｏｎ ｓｃｈｅｍｅ． Ｉｎ： Ｐｉｅｐｒｚｙｋ， Ｊ．（ｅｄ．） ＡＳＩＡＣＲＹＰＴ ２００８． ＬＮＣＳ， ｖｏｌ． ５３５０， ｐｐ． ４５５・７０． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００８） Ｂｏｎｅｈ， Ｄ．， Ｋａｔｚ， Ｊ．， Ｉｍｐｒｏｖｅｄ ｅｆｆｉｃｉｅｎｃｙ ｆｏｒ ＣＣＡ−ｓｅｃｕｒｅ ｃｒｙｐｔｏｓｙｓｔｅｍｓ ｂｕｉｌｔ ｕｓｉｎｇ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． ＲＳＡ−ＣＴ ２００５， ＬＮＣＳ， Ｓｐｒｉｎｇｅｒ Ｖｅｒｌａｇ （２００５） Ｂｏｎｅｈ， Ｄ．， Ｗａｔｅｒｓ， Ｂ．： Ｃｏｎｊｕｎｃｔｉｖｅ， ｓｕｂｓｅｔ， ａｎｄ ｒａｎｇｅ ｑｕｅｒｉｅｓ ｏｎ ｅｎｃｒｙｐｔｅｄ ｄａｔａ． Ｉｎ： Ｖａｄｈａｎ， Ｓ．Ｐ． （ｅｄ．）ＴＣＣ ２００７． ＬＮＣＳ， ｖｏｌ． ４３９２， ｐｐ． ５３５・５４． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００７） Ｂｏｙｅｎ， Ｘ．， Ｗａｔｅｒｓ， Ｂ．： Ａｎｏｎｙｍｏｕｓ ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ （ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ）． Ｉｎ：Ｄｗｏｒｋ， Ｃ． （ｅｄ．） ＣＲＹＰＴＯ ２００６． ＬＮＣＳ， ｖｏｌ． ４１１７， ｐｐ． ２９０・０７． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００６） Ｃａｎｅｔｔｉ， Ｒ．， Ｈａｌｅｖｉ Ｓ．， Ｋａｔｚ Ｊ．， Ｃｈｏｓｅｎ−ｃｉｐｈｅｒｔｅｘｔ ｓｅｃｕｒｉｔｙ ｆｒｏｍ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． ＥＵＲＯＣＲＹＰＴ２００４， ＬＮＣＳ， Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ （２００４） Ｃｏｃｋｓ， Ｃ．： Ａｎ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｓｃｈｅｍｅ ｂａｓｅｄ ｏｎ ｑｕａｄｒａｔｉｃ ｒｅｓｉｄｕｅｓ． Ｉｎ： Ｈｏｎａｒｙ， Ｂ． （ｅｄ．） ＩＭＡＩｎｔ． Ｃｏｎｆ． ＬＮＣＳ， ｖｏｌ． ２２６０， ｐｐ． ３６０・６３． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００１） Ｇｅｎｔｒｙ， Ｃ．： Ｐｒａｃｔｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ． Ｉｎ： Ｖａｕｄｅｎａｙ， Ｓ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００６． ＬＮＣＳ， ｖｏｌ． ４００４， ｐｐ． ４４５・６４． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００６） Ｇｅｎｔｒｙ， Ｃ．， Ｈａｌｅｖｉ， Ｓ．： Ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｐｏｌｙｎｏｍｉａｌｌｙ ｍａｎｙ ｌｅｖｅｌｓ． Ｉｎ： Ｒｅｉｎｇｏｌｄ，Ｏ． （ｅｄ．） ＴＣＣ ２００９． ＬＮＣＳ， ｖｏｌ． ５４４４， ｐｐ． ４３７・５６． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００９） Ｇｅｎｔｒｙ， Ｃ．， Ｓｉｌｖｅｒｂｅｒｇ， Ａ．： Ｈｉｅｒａｒｃｈｉｃａｌ ＩＤ−ｂａｓｅｄ ｃｒｙｐｔｏｇｒａｐｈｙ． Ｉｎ： Ｚｈｅｎｇ， Ｙ． （ｅｄ．） ＡＳＩＡＣＲＹＰＴ ２００２．ＬＮＣＳ， ｖｏｌ． ２５０１， ｐｐ． ５４８・６６． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００２） Ｇｏｙａｌ， Ｖ．， Ｐａｎｄｅｙ， Ｏ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｆｏｒ ｆｉｎｅ−ｇｒａｉｎｅｄ ａｃｃｅｓｓ ｃｏｎｔｒｏｌｏｆ ｅｎｃｒｙｐｔｅｄ ｄａｔａ． Ｉｎ： ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ２００６， ｐｐ． ８９・８， ＡＣＭ（２００６） Ｇｒｏｔｈ， Ｊ．， Ｓａｈａｉ， Ａ．： Ｅｆｆｉｃｉｅｎｔ ｎｏｎ−ｉｎｔｅｒａｃｔｉｖｅ ｐｒｏｏｆ ｓｙｓｔｅｍｓ ｆｏｒ ｂｉｌｉｎｅａｒ ｇｒｏｕｐｓ． Ｉｎ： Ｓｍａｒｔ， Ｎ．Ｐ． （ｅｄ．）ＥＵＲＯＣＲＹＰＴ ２００８． ＬＮＣＳ， ｖｏｌ． ４９６５， ｐｐ． ４１５・３２． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００８） Ｈｏｒｗｉｔｚ， Ｊ．， Ｌｙｎｎ， Ｂ．： Ｔｏｗａｒｄｓ ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ： Ｋｎｕｄｓｅｎ， Ｌ．Ｒ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００２． ＬＮＣＳ， ｖｏｌ． ２３３２， ｐｐ． ４６６・８１． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００２） Ｋａｔｚ， Ｊ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ ｓｕｐｐｏｒｔｉｎｇ ｄｉｓｊｕｎｃｔｉｏｎｓ， ｐｏｌｙｎｏｍｉａｌ ｅｑｕａｔｉｏｎｓ， ａｎｄｉｎｎｅｒ ｐｒｏｄｕｃｔｓ． Ｉｎ： Ｓｍａｒｔ， Ｎ．Ｐ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００８． ＬＮＣＳ， ｖｏｌ． ４９６５， ｐｐ． １４６・６２． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００８） Ｌｅｗｋｏ， Ａ．， Ｏｋａｍｏｔｏ， Ｔ．， Ｓａｈａｉ， Ａ．， Ｔａｋａｓｈｉｍａ， Ｋ．， Ｗａｔｅｒｓ， Ｂ．： Ｆｕｌｌｙ ｓｅｃｕｒｅ ｆｕｎｃｔｉｏｎａｌ ｅｎｃｒｙｐｔｉｏｎ： Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ａｎｄ （ｈｉｅｒａｒｃｈｉｃａｌ） ｉｎｎｅｒ ｐｒｏｄｕｃｔ ｅｎｃｒｙｐｔｉｏｎ， Ｉｎ： Ｇｉｌｂｅｒｔ， Ｈ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２０１０． ＬＮＣＳ， ｖｏｌ． ６１１０， ｐｐ． ６２−９１． Ｓｐｒｉｎｇｅｒ， Ｈｅｉｄｅｌｂｅｒｇ （２０１０） Ｌｅｗｋｏ， Ａ．Ｂ．， Ｗａｔｅｒｓ， Ｂ．： Ｆｕｌｌｙ ｓｅｃｕｒｅ ＨＩＢＥ ｗｉｔｈ ｓｈｏｒｔ ｃｉｐｈｅｒｔｅｘｔｓ． ｅＰｒｉｎｔ， ＩＡＣＲ， ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００９／４８２ Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ａｎｄ ｓｉｇｎａｔｕｒｅｓ ｆｒｏｍ ｖｅｃｔｏｒ ｄｅｃｏｍｐｏｓｉｔｉｏｎ． Ｉｎ：Ｇａｌｂｒａｉｔｈ， Ｓ．Ｄ．， Ｐａｔｅｒｓｏｎ， Ｋ．Ｇ． （ｅｄｓ．） Ｐａｉｒｉｎｇ ２００８． ＬＮＣＳ， ｖｏｌ． ５２０９， ｐｐ． ５７・４． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００８） Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ｈｉｅｒａｒｃｈｉｃａｌ ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ ｆｏｒ Ｉｎｎｅｒ−Ｐｒｏｄｕｃｔｓ， Ｉｎ： ＡＳＩＡＣＲＹＰＴ ２００９，Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００９） Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ｆｕｌｌｙ Ｓｅｃｕｒｅ Ｆｕｎｃｔｉｏｎａｌ Ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ Ｇｅｎｅｒａｌ Ｒｅｌａｔｉｏｎｓ ｆｒｏｍ ｔｈｅ Ｄｅｃｉｓｉｏｎａｌ Ｌｉｎｅａｒ Ａｓｓｕｍｐｔｉｏｎ， Ｉｎ： ＣＲＹＰＴＯ ２０１０， ＬＮＣＳ ｖｏｌ． ６２２３， ｐｐ． １９１−２０８． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１０） Ｏｓｔｒｏｖｓｋｙ， Ｒ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｎｏｎ−ｍｏｎｏｔｏｎｉｃ ａｃｃｅｓｓ ｓｔｒｕｃｔｕｒｅｓ．Ｉｎ： ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ２００７， ｐｐ． １９５・０３， ＡＣＭ （２００７） Ｐｉｒｒｅｔｔｉ， Ｍ．， Ｔｒａｙｎｏｒ， Ｐ．， ＭｃＤａｎｉｅｌ， Ｐ．， Ｗａｔｅｒｓ， Ｂ．： Ｓｅｃｕｒｅ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｓｙｓｔｅｍｓ． Ｉｎ： ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ２００６， ｐｐ． ９９・１２， ＡＣＭ， （２００６） Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ｆｕｚｚｙ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ： Ｃｒａｍｅｒ， Ｒ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００５． ＬＮＣＳ，ｖｏｌ． ３４９４， ｐｐ． ４５７・７３． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００５） Ｓｈｉ， Ｅ．， Ｗａｔｅｒｓ， Ｂ．： Ｄｅｌｅｇａｔｉｎｇ ｃａｐａｂｉｌｉｔｙ ｉｎ ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ ｓｙｓｔｅｍｓ． Ｉｎ： Ａｃｅｔｏ， Ｌ．， Ｄａｍｇａｒｄ， Ｉ．，Ｇｏｌｄｂｅｒｇ， Ｌ．Ａ．， Ｈａｌｌｄｏｓｓｏｎ， Ｍ．Ｍ．， Ｉｎｇｏｆｓｄｏｔｉｒ， Ａ．， Ｗａｌｕｋｉｅｗｉｃｚ， Ｉ． （ｅｄｓ．） ＩＣＡＬＰ （２） ２００８． ＬＮＣＳ， ｖｏｌ．５１２６， ｐｐ． ５６０・７８． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００８） Ｗａｔｅｒｓ， Ｂ．： Ｅｆｆｉｃｉｅｎｔ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ． Ｅｕｒｏｃｒｙｐｔ ２００５， ＬＮＣＳ Ｎｏ． ３１５２，ｐｐ．４４３・５９．Ｓｐｒｉｎｇｅｒ Ｖｅｒｌａｇ， ２００５． Ｗａｔｅｒｓ， Ｂ．： Ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ： ａｎ ｅｘｐｒｅｓｓｉｖｅ， ｅｆｆｉｃｉｅｎｔ， ａｎｄ ｐｒｏｖａｂｌｙ ｓｅｃｕｒｅｒｅａｌｉｚａｔｉｏｎ． ｅＰｒｉｎｔ， ＩＡＣＲ， ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００８／２９０ Ｗａｔｅｒｓ， Ｂ．： Ｄｕａｌ ｓｙｓｔｅｍ ｅｎｃｒｙｐｔｉｏｎ： Ｒｅａｌｉｚｉｎｇ ｆｕｌｌｙ ｓｅｃｕｒｅ ＩＢＥ ａｎｄ ＨＩＢＥ ｕｎｄｅｒ ｓｉｍｐｌｅ ａｓｓｕｍｐｔｉｏｎｓ． Ｉｎ：Ｈａｌｅｖｉ， Ｓ． （ｅｄ．） ＣＲＹＰＴＯ ２００９． ＬＮＣＳ， ｖｏｌ． ５６７７， ｐｐ． ６１９・３６． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００９）

この発明は、多機能な暗号機能を有する安全な関数型暗号方式を提供することを目的とする。

この発明に係る暗号処理システムは、
鍵生成装置と暗号化装置と復号装置とを備え、基底Ｂ_０及び基底Ｂ_０ ^＊と、ｔ＝１，．．．，ｄ^ＫＰ（ｄ^ＫＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＫＰ及び基底Ｂ^＊ _ｔ ^ＫＰと、ｔ＝１，．．．，ｄ^ＣＰ（ｄ^ＣＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＣＰ及び基底Ｂ^＊ _ｔ ^ＣＰとを用いて暗号処理を実行する暗号処理システムであり、
前記鍵生成装置は、
ｉ＝１，．．．，Ｌ^ＫＰ（Ｌ^ＫＰは１以上の整数）の各整数ｉについての変数ρ^ＫＰ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄ^ＫＰのいずれかの整数）と、属性ベクトルｖ^→ _ｉ ^ＫＰ：＝（ｖ_ｉ，ｉ’ ^ＫＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＫＰ，ｎ_ｔ ^ＫＰは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）のいずれかである変数ρ^ＫＰ（ｉ）と、Ｌ^ＫＰ行ｒ^ＫＰ列（ｒ^ＫＰは１以上の整数）の所定の行列Ｍ^ＫＰとを入力する第１ＫＰ情報入力部と、
ｔ＝１，．．．，ｄ^ＣＰの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ ^ＣＰ：＝（ｘ_ｔ，ｉ’ ^ＣＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ，ｎ_ｔ ^ＣＰは１以上の整数）とを有する属性集合Γ^ＣＰを入力する第１ＣＰ情報入力部と、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として値−ｓ_０ ^ＫＰ（ｓ_０ ^ＫＰ：＝ｈ^→ＫＰ・（ｆ^→ＫＰ）^Ｔ，ｈ^→ＫＰ及びｆ^→ＫＰはｒ^ＫＰ個の要素を有するベクトル）を設定し、基底ベクトルｂ^＊ _０，ｐ’（ｐ’は前記ｐとは異なる所定の値）の係数として乱数δ^ＣＰを設定し、基底ベクトルｂ^＊ _０，ｑ（ｑは前記ｐ及び前記ｐ’とは異なる所定の値）の係数として所定の値κを設定して要素ｋ^＊ _０を生成する主復号鍵生成部と、
前記ｆ^→ＫＰと、前記第１ＫＰ情報入力部が入力した行列Ｍ^ＫＰに基づき生成される列ベクトル（ｓ^→ＫＰ）^Ｔ：＝（ｓ_１ ^ＫＰ，．．．，ｓ_ｉ ^ＫＰ）^Ｔ：＝Ｍ^ＫＰ・（ｆ^→ＫＰ）^Ｔ（ｉ＝Ｌ^ＫＰ）と、乱数θ_ｉ ^ＫＰ（ｉ＝１，．．．，Ｌ^ＫＰ）とに基づき、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについての要素ｋ^＊ _ｉ ^ＫＰを生成するＫＰ復号鍵生成部であって、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについて、変数ρ^ＫＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、その組の識別情報ｔが示す基底Ｂ^＊ _ｔ ^ＫＰの基底ベクトルｂ^＊ _ｔ，１ ^ＫＰの係数としてｓ_ｉ ^ＫＰ＋θ_ｉ ^ＫＰｖ_ｉ，１ ^ＫＰを設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔ ^ＫＰの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＫＰの係数としてθ_ｉ ^ＫＰｖ_ｉ，ｉ’ ^ＫＰを設定して要素ｋ^＊ _ｉ ^ＫＰを生成し、変数ρ^ＫＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔ ^ＫＰの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＫＰの係数としてｓ_ｉ ^ＫＰｖ_ｉ，ｉ’ ^ＫＰを設定して要素ｋ^＊ _ｉ ^ＫＰを生成するＫＰ復号鍵生成部と、
前記第１ＣＰ情報入力部が入力した属性集合Γ^ＣＰに含まれる各識別情報ｔについての要素ｋ^＊ _ｔ ^ＣＰを生成するＣＰ復号鍵生成部であって、基底Ｂ^＊ _ｔ ^ＣＰの基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＣＰ（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ）の係数として前記乱数δ^ＣＰ倍したｘ_ｔ，ｉ’ ^ＣＰを設定して要素ｋ^＊ _ｔ ^ＣＰを生成するＣＰ復号鍵生成部と
を備え、
前記暗号化装置は、
ｔ＝１，．．．，ｄ^ＫＰの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ ^ＫＰ：＝（ｘ_ｔ，ｉ’ ^ＫＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＫＰ）とを有する属性集合Γ^ＫＰを入力する第２ＫＰ情報入力部と、
ｉ＝１，．．．，Ｌ^ＣＰ（Ｌ^ＣＰは１以上の整数）の各整数ｉについての変数ρ^ＣＰ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄ^ＣＰのいずれかの整数）と、属性ベクトルｖ^→ _ｉ ^ＣＰ：＝（ｖ_ｉ，ｉ’ ^ＣＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ）との肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）のいずれかである変数ρ^ＣＰ（ｉ）と、Ｌ^ＣＰ行ｒ^ＣＰ列（ｒ^ＣＰは１以上の整数）の所定の行列Ｍ^ＣＰとを入力する第２ＣＰ情報入力部と、
基底Ｂ_０の基底ベクトルｂ_０，ｐの係数として乱数ω^ＫＰを設定し、基底ベクトルｂ_０，ｐ’の係数として値−ｓ_０ ^ＣＰ（ｓ_０ ^ＣＰ：＝ｈ^→ＣＰ・（ｆ^→ＣＰ）^Ｔ，ｈ^→ＣＰ及びｆ^→ＣＰはｒ^ＣＰ個の要素を有するベクトル）を設定し、基底ベクトルｂ_０，ｑの係数として乱数ζを設定して要素ｃ_０を生成する主暗号化データ生成部と、
前記第２ＫＰ情報入力部が入力した属性集合Γ^ＫＰに含まれる各識別情報ｔについての要素ｃ_ｔ ^ＫＰを生成するＫＰ暗号化データ生成部であって、基底Ｂ_ｔ ^ＫＰの基底ベクトルｂ_ｔ，ｉ’ ^ＫＰ（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数ω^ＫＰ倍したｘ_ｔ，ｉ’ ^ＫＰを設定して要素ｃ_ｔ ^ＫＰを生成するＫＰ暗号化データ生成部と、
前記ｆ^→ＣＰと、前記第２ＣＰ情報入力部が入力した行列Ｍ^ＣＰとに基づき生成される列ベクトル（ｓ^→ＣＰ）^Ｔ：＝（ｓ_１ ^ＣＰ，．．．，ｓ_ｉ ^ＣＰ）^Ｔ：＝Ｍ^ＣＰ・（ｆ^→ＣＰ）^Ｔ（ｉ＝Ｌ^ＣＰ）と、乱数θ_ｉ ^ＣＰ（ｉ＝１，．．．，Ｌ^ＣＰ）とに基づき、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについての要素ｃ_ｉ ^ＣＰを生成するＣＰ暗号化データ生成部であって、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについて、変数ρ^ＣＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔ ^ＣＰの基底ベクトルｂ_ｔ，１ ^ＣＰの係数としてｓ_ｉ ^ＣＰ＋θ_ｉ ^ＣＰｖ_ｉ，１ ^ＣＰを設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔ ^ＣＰの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’ ^ＣＰの係数としてθ_ｉ ^ＣＰｖ_ｉ，ｉ’ ^ＣＰを設定して要素ｃ_ｉ ^ＣＰを生成し、変数ρ^ＣＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔ ^ＣＰの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’ ^ＣＰの係数としてｓ_ｉ ^ＣＰｖ_ｉ，ｉ’ ^ＣＰを設定して要素ｃ_ｉ ^ＣＰを生成するＣＰ暗号化データ生成部と
を備え、
前記復号装置は、
前記主暗号化データ生成部が生成した要素ｃ_０と、前記ＫＰ暗号化データ生成部が生成した要素ｃ_ｔ ^ＫＰと、前記ＣＰ暗号化データ生成部が生成した要素ｃ_ｉ ^ＣＰと、前記属性集合Γ^ＫＰと、前記変数ρ^ＣＰ（ｉ）とを含む暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を取得するデータ取得部と、
前記主復号鍵生成部が生成した要素ｋ^＊ _０と、前記ＫＰ復号鍵生成部が生成した要素ｋ^＊ _ｉ ^ＫＰと、前記ＣＰ復号鍵生成部が生成した要素ｋ^＊ _ｔ ^ＣＰと、前記変数ρ^ＫＰ（ｉ）と、前記属性集合Γ^ＣＰとを含む復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}を取得する復号鍵取得部と、
前記データ取得部が取得した暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれる属性集合Γ^ＫＰと、前記復号鍵取得部が取得した復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる変数ρ^ＫＰ（ｉ）とに基づき、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉのうち、変数ρ^ＫＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）であり、かつ、その組のｖ^→ _ｉ ^ＫＰと、その組の識別情報ｔが示すΓ^ＫＰに含まれるｘ^→ _ｔ ^ＫＰとの内積が０となるｉと、変数ρ^ＫＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）であり、かつ、その組のｖ^→ _ｉ ^ＫＰと、その組の識別情報ｔが示すΓ^ＫＰに含まれるｘ^→ _ｔ ^ＫＰとの内積が０とならないｉとの集合Ｉ^ＫＰを特定するとともに、特定した集合Ｉ^ＫＰに含まれるｉについて、α_ｉ ^ＫＰＭ_ｉ ^ＫＰを合計した場合に前記ｈ→^ＫＰとなる補完係数α_ｉ ^ＫＰを計算するＫＰ補完係数計算部と、
前記暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれるｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについての変数ρ^ＣＰ（ｉ）と、前記復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる属性集合Γ^ＣＰとに基づき、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉのうち、変数ρ^ＣＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）であり、かつ、その組のｖ^→ _ｉ ^ＣＰと、その組の識別情報ｔが示すΓ^ＣＰに含まれるｘ^→ _ｔ ^ＣＰとの内積が０となるｉと、変数ρ^ＣＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）であり、かつ、その組のｖ^→ _ｉ ^ＣＰと、その組の識別情報ｔが示すΓ^ＣＰに含まれるｘ^→ _ｔ ^ＣＰとの内積が０とならないｉとの集合Ｉ^ＣＰを特定するとともに、特定した集合Ｉ^ＣＰに含まれるｉについて、α_ｉ ^ＣＰＭ_ｉ ^ＣＰを合計した場合に前記ｈ→^ＣＰとなる補完係数α_ｉ ^ＣＰを計算するＣＰ補完係数計算部と、
前記暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれる要素ｃ_０と要素ｃ_ｔ ^ＫＰと要素ｃ_ｉ ^ＣＰと、前記復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる要素ｋ^＊ _０と要素ｋ^＊ _ｉ ^ＫＰと要素ｋ^＊ _ｔ ^ＣＰとについて、前記ＫＰ補完係数計算部が特定した集合Ｉ^ＫＰと、前記ＫＰ補完係数計算部が計算した補完係数α_ｉ ^ＫＰと、前記ＣＰ補完係数計算部が特定した集合Ｉ^ＣＰと、前記ＣＰ補完係数計算部が計算した補完係数α_ｉ ^ＣＰとに基づき、数１に示すペアリング演算を行い値Ｋを計算するペアリング演算部と
を備えることを特徴とする。

この発明に係る暗号処理システムは、復号鍵と暗号文との両方にアクセスストラクチャが埋め込まれており、多機能な暗号機能を実現している。

行列Ｍ＾の説明図。 行列Ｍ_δの説明図。 ｓ_０の説明図。 ｓ^→Ｔの説明図。 Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号方式を実行する暗号処理システム１０の構成図。 鍵生成装置１００の機能を示す機能ブロック図。 暗号化装置２００の機能を示す機能ブロック図。 復号装置３００の機能を示す機能ブロック図。 Ｓｅｔｕｐアルゴリズムの処理を示すフローチャート。 ＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 Ｅｎｃアルゴリズムの処理を示すフローチャート。 Ｄｅｃアルゴリズムの処理を示すフローチャート。 鍵生成装置１００、暗号化装置２００、復号装置３００のハードウェア構成の一例を示す図。

以下、図に基づき、発明の実施の形態を説明する。
以下の説明において、処理装置は後述するＣＰＵ９１１等である。記憶装置は後述するＲＯＭ９１３、ＲＡＭ９１４、磁気ディスク９２０等である。通信装置は後述する通信ボード９１５等である。入力装置は後述するキーボード９０２、通信ボード９１５等である。つまり、処理装置、記憶装置、通信装置、入力装置はハードウェアである。

以下の説明における記法について説明する。
Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。

Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。

数１０３は、ｙがｚにより定義された集合であること、又はｙがｚを代入された集合であることを表す。

ａが定数であるとき、数１０４は、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。

数１０５、つまりＦ_ｑは、位数ｑの有限体を示す。

ベクトル表記は、有限体Ｆ_ｑにおけるベクトル表示を表す。つまり、数１０６である。

数１０７は、数１０８に示す２つのベクトルｘ^→とｖ^→との数１０９に示す内積を表す。

Ｘ^Ｔは、行列Ｘの転置行列を表す。
数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。

ｅ^→ _ｔ，ｊ ^ＫＰ，ｅ^→ _ｔ，ｊ ^ＣＰは、それぞれ数１１２に示す正規基底ベクトルを示す。

また、以下の説明において、Ｆ_ｑ ^ｎｔＣＰにおけるｎｔＣＰはｎ_ｔ ^ＣＰのことである。
同様に、復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}におけるＳＫＰはＳ^ＫＰのことであり、ΓＣＰはΓ^ＣＰのことである。暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}におけるΓＫＰはΓ^ＫＰのことであり、ＳＣＰはＳ^ＣＰのことである。
同様に、ｐａｒａｍ_Ｖ０におけるＶ０はＶ_０のことである。ｐａｒａｍ_ＶｔＫＰにおけるＶｔＫＰはＶ_ｔ ^ＫＰのことである。ｐａｒａｍ_ＶｔＣＰにおけるＶｔＣＰはＶ_ｔ ^ＣＰのことである。
同様に、“δｉ，ｊ”が上付きで示されている場合、このδｉ，ｊは、δ_ｉ，ｊを意味する。
また、ベクトルを意味する“→”が下付き文字又は上付き文字に付されている場合、この“→”は下付き文字又は上付き文字に上付きで付されていることを意味する。

また、以下の説明において、暗号処理とは、鍵生成処理、暗号化処理、復号処理を含むものである。

実施の形態１．
この実施の形態では、「関数型暗号（Ｆｕｎｃｔｉｏｎａｌ Ｅｎｃｒｙｐｔｉｏｎ）方式」を実現する基礎となる概念と、関数型暗号の構成について説明する。
第１に、関数型暗号について簡単に説明する。
第２に、関数型暗号を実現するための空間である「双対ペアリングベクトル空間（Ｄｕａｌ Ｐａｉｒｉｎｇ Ｖｅｃｔｏｒ Ｓｐａｃｅｓ，ＤＰＶＳ）」という豊かな数学的構造を有する空間を説明する。
第３に、関数型暗号を実現するための概念を説明する。ここでは、「スパンプログラム（Ｓｐａｎ Ｐｒｏｇｒａｍ）」、「属性ベクトルの内積とアクセスストラクチャ」、「秘密分散方式（秘密共有方式）」について説明する。
第４に、この実施の形態に係る「関数型暗号方式」を説明する。この実施の形態では、「Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号（Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ Ｆｕｎｃｔｉｏｎａｌ Ｅｎｃｒｙｐｔｉｏｎ，ＵＰ−ＦＥ）方式」について説明する。そこで、まず、「Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号方式」の基本構成について説明する。次に、この「Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号方式」を実現する「暗号処理システム１０」の基本構成について説明する。そして、この実施の形態に係る「Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号方式」及び「暗号処理システム１０」について詳細に説明する。

＜第１．関数型暗号方式＞
関数型暗号方式は、暗号化鍵（ｅｎｃｒｙｐｔｉｏｎ−ｋｅｙ，ｅｋ）と、復号鍵（ｄｅｃｒｙｐｔｉｏｎ−ｋｅｙ，ｄｋ）との間の関係をより高度化し、より柔軟にした暗号方式である。
関数型暗号方式において、暗号化鍵と復号鍵とは、それぞれ、属性ｘと属性ｖとが設定されている。そして、関係Ｒに対してＲ（ｘ，ｖ）が成立する場合に限り、復号鍵ｄｋ_ｖ：＝（ｄｋ，ｖ）は暗号化鍵ｅｋ_ｘ：＝（ｅｋ，ｘ）で暗号化された暗号文を復号することができる。
関数型暗号方式には、データベースのアクセスコントロール、メールサービス、コンテンツ配布等の様々なアプリケーションが存在する（非特許文献２，７，９，１６，１９，２５−２８，３０参照）。

Ｒが等号関係である場合、つまり、ｘ＝ｖである場合に限りＲ（ｘ，ｖ）が成立する場合、関数型暗号方式はＩＤベース暗号方式である。

ＩＤベース暗号方式よりも一般化された関数型暗号方式として、属性ベース暗号方式がある。
属性ベース暗号方式では、暗号化鍵と復号鍵とに設定される属性が属性の組である。例えば、暗号化鍵と復号鍵とに設定される属性が、それぞれ、Ｘ：＝（ｘ_１，．．．，ｘ_ｄ）と、Ｖ：＝（ｖ_１，．．．，ｖ_ｄ）とである。
そして、属性のコンポーネントについて、コンポーネント毎の等号関係（例えば、{ｘ_ｔ＝ｖ_ｔ}_{ｔ∈{１，．．．，ｄ}}）がアクセスストラクチャＳに入力される。そして、アクセスストラクチャＳが入力を受理した場合にのみ、Ｒ（Ｘ，Ｖ）が成立する。つまり、暗号化鍵で暗号化された暗号文を復号鍵で復号することができる。
アクセスストラクチャＳが復号鍵ｄｋ_Ｖに埋め込まれている場合、属性ベース暗号（ＡＢＥ）方式は、Ｋｅｙ−Ｐｏｌｉｃｙ ＡＢＥ（ＫＰ−ＡＢＥ）と呼ばれる。一方、アクセスストラクチャＳが暗号文に埋め込まれている場合、属性ベース暗号（ＡＢＥ）方式は、Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ ＡＢＥ（ＣＰ−ＡＢＥ）と呼ばれる。そして、アクセスストラクチャＳが復号鍵ｄｋ_Ｖと暗号文との両方に埋め込まれている場合、属性ベース暗号（ＡＢＥ）方式は、Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ ＡＢＥ（ＵＰ−ＡＢＥ）と呼ばれる。

非特許文献１９に記載された内積述語暗号（Ｉｎｎｅｒ−Ｐｒｏｄｕｃｔ Ｅｎｃｒｙｐｔｉｏｎ，ＩＰＥ）も関数型暗号の１つのクラスである。ここでは、暗号化鍵と復号鍵とに設定される属性がぞれぞれ体又は環上のベクトルである。例えば、ｘ^→：＝（ｘ_１，．．．，ｘ_ｎ）∈Ｆ_ｑ ^ｎとｖ^→：＝（ｖ_１，．．．，ｖ_ｎ）∈Ｆ_ｑ ^ｎとがそれぞれ暗号化鍵と復号鍵とに設定される。そして、ｘ^→・ｖ^→＝０である場合に限り、Ｒ（ｘ^→，ｖ^→）が成立する。

＜第２．双対ペアリングベクトル空間＞
まず、対称双線形ペアリング群（Ｓｙｍｍｅｔｒｉｃ Ｂｉｌｉｎｅａｒ Ｐａｉｒｉｎｇ Ｇｒｏｕｐｓ）について説明する。
対称双線形ペアリング群（ｑ，Ｇ，Ｇ^Ｔ，ｇ，ｅ）は、素数ｑと、位数ｑの巡回加法群Ｇと、位数ｑの巡回乗法群Ｇ^Ｔと、ｇ≠０∈Ｇと、多項式時間で計算可能な非退化双線形ペアリング（Ｎｏｎｄｅｇｅｎｅｒａｔｅ Ｂｉｌｉｎｅａｒ Ｐａｉｒｉｎｇ）ｅ：Ｇ×Ｇ→Ｇ_Ｔとの組である。非退化双線形ペアリングは、ｅ（ｓｇ，ｔｇ）＝ｅ（ｇ，ｇ）^ｓｔであり、ｅ（ｇ，ｇ）≠１である。
以下の説明において、数１１３を、１^λを入力として、セキュリティパラメータをλとする双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を出力するアルゴリズムとする。

次に、双対ペアリングベクトル空間について説明する。
双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、対称双線形ペアリング群（ｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ））の直積によって構成することができる。双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、素数ｑ、数１１４に示すＦ_ｑ上のＮ次元ベクトル空間Ｖ、位数ｑの巡回群Ｇ_Ｔ、空間Ｖの標準基底Ａ：＝（ａ_１，．．．，ａ_Ｎ）の組であり、以下の演算（１）（２）を有する。ここで、ａ_ｉは、数１１５に示す通りである。

演算（１）：非退化双線形ペアリング
空間Ｖにおけるペアリングは、数１１６によって定義される。

これは、非退化双線形である。つまり、ｅ（ｓｘ，ｔｙ）＝ｅ（ｘ，ｙ）^ｓｔであり、全てのｙ∈Ｖに対して、ｅ（ｘ，ｙ）＝１の場合、ｘ＝０である。また、全てのｉとｊとに対して、ｅ（ａ_ｉ，ａ_ｊ）＝ｅ（ｇ，ｇ）^δｉ，ｊである。ここで、ｉ＝ｊであれば、δ_ｉ，ｊ＝１であり、ｉ≠ｊであれば、δ_ｉ，ｊ＝０である。また、ｅ（ｇ，ｇ）≠１∈Ｇ_Ｔである。

演算（２）：ディストーション写像
数１１７に示す空間Ｖにおける線形変換φ_ｉ，ｊは、数１１８を行うことができる。

ここで、線形変換φ_ｉ，ｊをディストーション写像と呼ぶ。

以下の説明において、数１１９を、１^λ（λ∈自然数）、Ｎ∈自然数、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を入力として、セキュリティパラメータがλであり、Ｎ次元の空間Ｖとする双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ：＝（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）の値を出力するアルゴリズムとする。

なお、ここでは、上述した対称双線形ペアリング群により、双対ペアリングベクトル空間を構成した場合について説明する。なお、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成することも可能である。以下の説明を、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成した場合に応用することは容易である。

＜第３．関数型暗号を実現するための概念＞
＜第３−１．スパンプログラム＞
図１は、行列Ｍ＾の説明図である。
｛ｐ_１，．．．，ｐ_ｎ｝を変数の集合とする。Ｍ＾：＝（Ｍ，ρ）は、ラベル付けされた行列である。ここで、行列Ｍは、Ｆ_ｑ上の（Ｌ行×ｒ列）の行列である。また、ρは、行列Ｍの各列に付されたラベルであり、｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝のいずれか１つのリテラルへ対応付けられる。なお、Ｍの全ての行に付されたラベルρ_i（ｉ＝１，．．．，Ｌ）がいずれか１つのリテラルへ対応付けられる。つまり、ρ：｛１，．．．，Ｌ｝→｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝である。

全ての入力列δ∈｛０，１｝^ｎに対して、行列Ｍの部分行列Ｍ_δは定義される。行列Ｍ_δは、入力列δによってラベルρに値“１”が対応付けられた行列Ｍの行から構成される部分行列である。つまり、行列Ｍ_δは、δ_ｉ＝１であるようなｐ_ｉに対応付けられた行列Ｍの行と、δ_ｉ＝０であるような¬ｐ_ｉに対応付けられた行列Ｍの行とからなる部分行列である。
図２は、行列Ｍ_δの説明図である。なお、図２では、ｎ＝７，Ｌ＝６，ｒ＝５としている。つまり、変数の集合は、｛ｐ_１，．．．，ｐ_７｝であり、行列Ｍは（６行×５列）の行列である。また、図２において、ラベルρは、ρ_１が¬ｐ_２に、ρ_２がｐ_１に、ρ_３がｐ_４に、ρ_４が¬ｐ_５に、ρ_５が¬ｐ_３に、ρ_６がｐ_５にそれぞれ対応付けられているとする。
ここで、入力列δ∈｛０，１｝^７が、δ_１＝１，δ_２＝０，δ_３＝１，δ_４＝０，δ_５＝０，δ_６＝１，δ_７＝１であるとする。この場合、破線で囲んだリテラル（ｐ_１，ｐ_３，ｐ_６，ｐ_７，¬ｐ_２，¬ｐ_４，¬ｐ_５）に対応付けられている行列Ｍの行からなる部分行列が行列Ｍ_δである。つまり、行列Ｍの１行目（Ｍ_１），２行目（Ｍ_２），４行目（Ｍ_４）からなる部分行列が行列Ｍ_δである。

言い替えると、写像γ：｛１，．．．，Ｌ｝→｛０，１｝が、［ρ（ｊ）＝ｐ_ｉ］∧［δ_ｉ＝１］又は［ρ（ｊ）＝¬ｐ_ｉ］∧［δ_ｉ＝０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０であるとする。この場合に、Ｍ_δ：＝（Ｍ_ｊ）_{γ（ｊ）＝１}である。ここで、Ｍ_ｊは、行列Ｍのｊ番目の行である。
つまり、図２では、写像γ（ｊ）＝１（ｊ＝１，２，４）であり、写像γ（ｊ）＝０（ｊ＝３，５，６）である。したがって、（Ｍ_ｊ）_{γ（ｊ）＝１}は、Ｍ_１，Ｍ_２，Ｍ_４であり、行列Ｍ_δである。
すなわち、写像γ（ｊ）の値が“０”であるか“１”であるかによって、行列Ｍのｊ番目の行が行列Ｍ_δに含まれるか否かが決定される。

１^→∈ｓｐａｎ＜Ｍ_δ＞である場合に限り、スパンプログラムＭ＾は入力列δを受理し、他の場合には入力列δを拒絶する。つまり、入力列δによって行列Ｍ＾から得られる行列Ｍ_δの行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。なお、１^→とは、各要素が値“１”である行ベクトルである。
例えば、図２の例であれば、行列Ｍの１，２，４行目からなる行列Ｍ_δの各行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理する。

ここで、ラベルρが正のリテラル｛ｐ_１，．．．，ｐ_ｎ｝にのみ対応付けられている場合、スパンプログラムはモノトーンと呼ばれる。一方、ラベルρがリテラル｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝に対応付けられている場合、スパンプログラムはノンモノトーンと呼ばれる。ここでは、スパンプログラムはノンモノトーンとする。そして、ノンモノトーンスパンプログラムを用いて、アクセスストラクチャ（ノンモノトーンアクセスストラクチャ）を構成する。アクセスストラクチャとは、簡単に言うと暗号へのアクセス制御を行うものである。つまり、暗号文を復号できるか否かの制御を行うものである。
詳しくは後述するが、スパンプログラムがモノトーンではなく、ノンモノトーンであることにより、スパンプログラムを利用して構成する関数型暗号方式の利用範囲が広がる。

＜第３−２．属性ベクトルの内積とアクセスストラクチャ＞
ここでは、属性ベクトルの内積を用いて上述した写像γ（ｊ）を計算する。つまり、属性ベクトルの内積を用いて、行列Ｍのどの行を行列Ｍ_δに含めるかを決定する。

Ｕ_ｔ（ｔ＝１，．．．，ｄでありＵ_ｔ⊂｛０，１｝^＊）は、部分全集合（ｓｕｂ−ｕｎｉｖｅｒｓｅ）であり、属性の集合である。そして、Ｕ_ｔは、それぞれ部分全集合の識別情報（ｔ）と、ｎ_ｔ次元ベクトル（ｖ^→）とを含む。つまり、Ｕ_ｔは、（ｔ，ｖ^→）である。ここで、ｔ∈｛１，．．．，ｄ｝であり、ｖ^→∈Ｆ_ｑ ^ｎｔである。

Ｕ_ｔ：＝（ｔ，ｖ^→）をスパンプログラムＭ＾：＝（Ｍ，ρ）における変数ｐとする。つまり、ｐ：＝（ｔ，ｖ^→）である。そして、変数（ｐ：＝（ｔ，ｖ^→），（ｔ’，ｖ’^→），．．．）としたスパンプログラムＭ＾：＝（Ｍ，ρ）をアクセスストラクチャＳとする。
つまり、アクセスストラクチャＳ：＝（Ｍ，ρ）であり、ρ：｛１，．．．，Ｌ｝→｛（ｔ，ｖ^→），（ｔ’，ｖ’^→），．．．，¬（ｔ，ｖ^→），¬（ｔ’，ｖ’^→），．．．｝である。

次に、Γを属性の集合とする。つまり、Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆｑ^ｎｔ，１≦ｔ≦ｄ｝である。
アクセスストラクチャＳにΓが与えられた場合、スパンプログラムＭ＾：＝（Ｍ，ρ）に対する写像γ：｛１，．．．，Ｌ｝→｛０，１｝は、以下のように定義される。ｉ＝１，．．．，Ｌの各整数ｉについて、［ρ（ｉ）＝（ｔ，ｖ^→ _ｉ）］∧［（ｔ，ｘ^→ _ｔ）∈Γ］∧［ｖ^→ _ｉ・ｘ^→ _ｔ＝０］、又は、［ρ（ｉ）＝¬（ｔ，ｖ^→ _ｉ）］∧［（ｔ，ｘ^→ _ｔ）∈Γ］∧［ｖ^→ _ｉ・ｘ^→ _ｔ≠０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０とする。
つまり、属性ベクトルｖ^→とｘ^→との内積に基づき、写像γが計算される。そして、上述したように、写像γにより、行列Ｍのどの行を行列Ｍ_δに含めるかが決定される。すなわち、属性ベクトルｖ^→とｘ^→との内積により、行列Ｍのどの行を行列Ｍ_δに含めるかが決定され、１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合に限り、アクセスストラクチャＳ：＝（Ｍ，ρ）はΓを受理する。

＜第３−３．秘密分散方式＞
アクセスストラクチャＳ：＝（Ｍ，ρ）に対する秘密分散方式について説明する。
なお、秘密分散方式とは、秘密情報を分散させ、意味のない分散情報にすることである。例えば、秘密情報ｓを１０個に分散させ、１０個の分散情報を生成する。ここで、１０個の分散情報それぞれは、秘密情報ｓの情報を有していない。したがって、ある１個の分散情報を手に入れても秘密情報ｓに関して何ら情報を得ることはできない。一方、１０個の分散情報を全て手に入れれば、秘密情報ｓを復元できる。
また、１０個の分散情報を全て手に入れなくても、一部だけ（例えば、８個）手に入れれば秘密情報ｓを復元できる秘密分散方式もある。このように、１０個の分散情報のうち８個で秘密情報ｓを復元できる場合を、８−ｏｕｔ−ｏｆ−１０と呼ぶ。つまり、ｎ個の分散情報のうちｔ個で秘密情報ｓを復元できる場合を、ｔ−ｏｕｔ−ｏｆ−ｎと呼ぶ。このｔを閾値と呼ぶ。
また、ｄ_１，．．．，ｄ_１０の１０個の分散情報を生成した場合に、ｄ_１，．．．，ｄ_８までの８個の分散情報であれば秘密情報ｓを復元できるが、ｄ_３，．．．，ｄ_１０までの８個の分散情報であれば秘密情報ｓを復元できないというような秘密分散方式もある。つまり、手に入れた分散情報の数だけでなく、分散情報の組合せに応じて秘密情報ｓを復元できるか否かを制御する秘密分散方式もある。

図３は、ｓ_０の説明図である。図４は、ｓ^→Ｔの説明図である。
行列Ｍを（Ｌ行×ｒ列）の行列とする。ｆ^→Ｔを数１２０に示す列ベクトルとする。

数１２１に示すｓ_０を共有される秘密情報とする。

また、数１２２に示すｓ^→Ｔをｓ_０のＬ個の分散情報のベクトルとする。

そして、分散情報ｓ_ｉをρ（ｉ）に属するものとする。

アクセスストラクチャＳ：＝（Ｍ，ρ）がΓを受理する場合、つまりγ：｛１，．．．，Ｌ｝→｛０，１｝について１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合、Ｉ⊆｛ｉ∈｛１，．．．，Ｌ｝｜γ（ｉ）-＝１｝である定数｛α_ｉ∈Ｆ_ｑ｜ｉ∈Ｉ｝が存在する。
これは、図２の例で、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理すると説明したことからも明らかである。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾が入力列δを受理するのであれば、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する。
そして、数１２３である。

なお、定数｛α_ｉ｝は、行列Ｍのサイズにおける多項式時間で計算可能である。

この実施の形態及び以下の実施の形態に係る関数型暗号方式は、上述したように、スパンプログラムに内積述語と秘密分散方式とを適用してアクセスストラクチャを構成する。そのため、スパンプログラムにおける行列Ｍや、内積述語における属性情報ｘ及び属性情報ｖ（述語情報）を設計するにより、アクセス制御を自由に設計することができる。つまり、非常に高い自由度でアクセス制御の設計を行うことができる。なお、行列Ｍの設計は、秘密分散方式の閾値等の条件設計に相当する。
例えば、上述した属性ベース暗号方式は、この実施の形態及び以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャにおいて、内積述語の設計をある条件に限定した場合に相当する。つまり、この実施の形態及び以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャに比べ、属性ベース暗号方式におけるアクセスストラクチャは、内積述語における属性情報ｘ及び属性情報ｖ（述語情報）を設計の自由度がない分、アクセス制御の設計の自由度が低い。なお、具体的には、属性ベース暗号方式は、属性情報｛ｘ^→ _ｔ｝_{ｔ∈｛１，．．．，ｄ｝}と｛ｖ^→ _ｔ｝_{ｔ∈｛１，．．．，ｄ｝}とを、等号関係に対する２次元ベクトル、例えばｘ^→ _ｔ：＝（１，ｘ_ｔ）とｖ^→ _ｔ：＝（ｖ_ｔ，−１）とに限定した場合に相当する。
また、上述した内積述語暗号方式は、この実施の形態及び以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャにおいて、スパンプログラムにおける行列Ｍの設計をある条件に限定した場合に相当する。つまり、この実施の形態及び以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャに比べ、内積述語暗号方式におけるアクセスストラクチャは、スパンプログラムにおける行列Ｍの設計の自由度がない分、アクセス制御の設計の自由度が低い。なお、具体的には、内積述語暗号方式は、秘密分散方式を１−ｏｕｔ−ｏｆ−１（あるいは、ｄ−ｏｕｔ−ｏｆ−ｄ）に限定した場合である。

特に、この実施の形態及び以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャは、ノンモノトーンスパンプログラムを用いたノンモノトーンアクセスストラクチャを構成する。そのため、アクセス制御の設計の自由度がより高くなる。
具体的には、ノンモノトーンスパンプログラムには、否定形のリテラル（¬ｐ）を含むため、否定形の条件を設定できる。例えば、第１会社には、Ａ部とＢ部とＣ部とＤ部との４つの部署があったとする。ここで、第１会社のＢ部以外の部署の属するユーザにのみアクセス可能（復号可能）というアクセス制御をしたいとする。この場合に、否定形の条件の設定ができないとすると、「第１会社のＡ部とＣ部とＤ部とのいずれかに属すること」という条件を設定する必要がある。一方、否定形の条件の設定ができるとすると、「第１会社の社員であって、Ｂ部以外に属すること」という条件を設定することができる。つまり、否定形の条件が設定できることで、自然な条件設定が可能となる。なお、ここでは部署の数が少ないが、部署の数が多い場合等は非常に有効であることが分かる。

＜第４．関数型暗号方式の基本構成＞
＜第４−１．Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号方式の基本構成＞
Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号方式の構成を簡単に説明する。なお、Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙとは、復号鍵及び暗号文にＰｏｌｉｃｙが埋め込まれること、つまりアクセスストラクチャが埋め込まれることを意味する。
Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｅｎｃ、Ｄｅｃの４つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（（ｄ^ＫＰ；ｎ_ｔ ^ＫＰ，ｕ_ｔ ^ＫＰ，ｗ_ｔ ^ＫＰ，ｚ_ｔ ^ＫＰ（ｔ＝１，．．．，ｄ^ＫＰ）），（ｄ^ＣＰ；ｎ_ｔ ^ＣＰ，ｕ_ｔ ^ＣＰ，ｗ_ｔ ^ＣＰ，ｚ_ｔ ^ＣＰ（ｔ＝１，．．．，ｄ^ＣＰ）））とが入力され、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、アクセスストラクチャＳ^ＫＰ：＝（Ｍ^ＫＰ，ρ^ＫＰ）と、属性の集合であるΓ^ＣＰ：＝｛（ｔ，ｘ^→ _ｔ ^ＣＰ）｜ｘ^→ _ｔ ^ＣＰ∈Ｆ_ｑ ^ｎｔＣＰ＼{０^→}，１≦ｔ≦ｄ^ＣＰ｝と、公開パラメータｐｋと、マスター鍵ｓｋとを入力として、復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}を出力する確率的アルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、メッセージｍと、属性の集合であるΓ^ＫＰ：＝｛（ｔ，ｘ^→ _ｔ ^ＫＰ）｜ｘ^→ _ｔ ^ＫＰ∈Ｆ_ｑ ^ｎｔＫＰ＼{０^→}，１≦ｔ≦ｄ^ＫＰ｝と、アクセスストラクチャＳ^ＣＰ：＝（Ｍ^ＣＰ，ρ^ＣＰ）と、公開パラメータｐｋとを入力として、暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を出力する確率的アルゴリズムである。
（Ｄｅｃ）
Ｄｅｃアルゴリズムは、属性の集合及びアクセスストラクチャ（Γ^ＫＰ，Ｓ^ＣＰ）の下で暗号化された暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}と、アクセスストラクチャ及び属性の集合（Ｓ^ＫＰ，Γ^ＣＰ）に対する復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}と、公開パラメータｐｋとを入力として、メッセージｍ（平文情報）、又は、識別情報⊥を出力するアルゴリズムである。

Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号方式は、数１２４に示す全ての公開パラメータｐｋ及びマスター鍵ｓｋと、全てのアクセスストラクチャＳ^ＫＰと、全ての属性の集合Γ^ＣＰと、数１２５に示す全ての復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}と、全てのメッセージｍと、全ての属性の集合Γ^ＫＰと、全てのアクセスストラクチャＳ^ＣＰと、数１２６に示す全ての暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}とに対して、アクセスストラクチャＳ^ＫＰが属性の集合Γ^ＫＰを受理し、かつ、アクセスストラクチャＳ^ＣＰが属性の集合Γ^ＣＰを受理する場合、圧倒的な確率でｍ＝Ｄｅｃ（ｐｋ，ｓｋ_{（ＳＫＰ，ΓＣＰ）}，ｃｔ_{（ΓＫＰ，ＳＣＰ）}）である。つまり、公開パラメータｐｋと、復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}と、暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}とを入力としてＤｅｃアルゴリズムを実行することで、メッセージｍを得ることができる。

＜第４−２．暗号処理システム１０＞
上述したＵｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号方式のアルゴリズムを実行する暗号処理システム１０について説明する。
図５は、Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号方式を実行する暗号処理システム１０の構成図である。
暗号処理システム１０は、鍵生成装置１００、暗号化装置２００、復号装置３００を備える。
鍵生成装置１００は、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（（ｄ^ＫＰ；ｎ_ｔ ^ＫＰ，ｕ_ｔ ^ＫＰ，ｗ_ｔ ^ＫＰ，ｚ_ｔ ^ＫＰ（ｔ＝１，．．．，ｄ^ＫＰ）），（ｄ^ＣＰ；ｎ_ｔ ^ＣＰ，ｕ_ｔ ^ＣＰ，ｗ_ｔ ^ＣＰ，ｚ_ｔ ^ＣＰ（ｔ＝１，．．．，ｄ^ＣＰ）））とを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成した公開パラメータｐｋを公開する。また、鍵生成装置１００は、アクセスストラクチャＳ^ＫＰと、属性の集合Γ^ＣＰと、公開パラメータｐｋと、マスター鍵ｓｋとを入力としてＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}を生成して復号装置３００へ秘密裡に配布する。
暗号化装置２００は、メッセージｍと、属性の集合Γ^ＫＰと、アクセスストラクチャＳ^ＣＰと、公開パラメータｐｋとを入力としてＥｎｃアルゴリズムを実行して、暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を生成する。暗号化装置２００は、生成した暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を復号装置３００へ送信する。
復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}と、暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}とを入力としてＤｅｃアルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

＜第４−３．Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号方式及び暗号処理システム１０の詳細＞
図６から図１２に基づき、Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号方式、及び、Ｕｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号方式を実行する暗号処理システム１０の機能と動作とについて説明する。
図６は、鍵生成装置１００の機能を示す機能ブロック図である。図７は、暗号化装置２００の機能を示す機能ブロック図である。図８は、復号装置３００の機能を示す機能ブロック図である。
図９と図１０とは、鍵生成装置１００の動作を示すフローチャートである。なお、図９はＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１０はＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図１１は、暗号化装置２００の動作を示すフローチャートであり、Ｅｎｃアルゴリズムの処理を示すフローチャートである。図１２は、復号装置３００の動作を示すフローチャートであり、Ｄｅｃアルゴリズムの処理を示すフローチャートである。
なお、ここでは、ｘ_ｔ，１ ^ＫＰ：＝１，ｘ_ｔ，１ ^ＣＰ：＝１に正規化する。なお、ｘ_ｔ，１ ^ＫＰ及びｘ_ｔ，１ ^ＣＰが正規化されていない場合、（１／ｘ_ｔ，１ ^ＫＰ）・ｘ_ｔ，１ ^ＫＰ、及び、（１／ｘ_ｔ，１ ^ＣＰ）・ｘ_ｔ，１ ^ＣＰとして正規化すればよい。この場合、ｘ_ｔ，ｉ ^ＫＰ及びｘ_ｔ，ｉ ^ＣＰは０でないものとする。

鍵生成装置１００の機能と動作とについて説明する。
図６に示すように、鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０（第１情報入力部）、復号鍵生成部１４０、鍵配布部１５０を備える。
また、情報入力部１３０は、ＫＰ情報入力部１３１（第１ＫＰ情報入力部）、ＣＰ情報入力部１３２（第１ＣＰ情報入力部）を備える。また、復号鍵生成部１４０は、ｆベクトル生成部１４１、ｓベクトル生成部１４２、乱数生成部１４３、主復号鍵生成部１４４、ＫＰ復号鍵生成部１４５、ＣＰ復号鍵生成部１４６を備える。

まず、図９に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１：正規直交基底生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１２７を計算して、ｐａｒａｍ_ｎ→と、基底Ｂ_０及び基底Ｂ^＊ _０と、ｔ＝１，．．．，ｄ^ＫＰの各整数ｔについて基底Ｂ_ｔ ^ＫＰ及び基底Ｂ^＊ _ｔ ^ＫＰと、ｔ＝１，．．．，ｄ^ＣＰの各整数ｔについて基底Ｂ_ｔ ^ＣＰ及び基底Ｂ^＊ _ｔ ^ＣＰとをランダムに生成する。

つまり、マスター鍵生成部１１０は以下の処理を実行する。
まず、マスター鍵生成部１１０は、入力装置により、セキュリティパラメータλ（１^λ）と、属性のフォーマットｎ^→：＝（（ｄ^ＫＰ；ｎ_ｔ ^ＫＰ，ｕ_ｔ ^ＫＰ，ｗ_ｔ ^ＫＰ，ｚ_ｔ ^ＫＰ（ｔ＝１，．．．，ｄ^ＫＰ）），（ｄ^ＣＰ；ｎ_ｔ ^ＣＰ，ｕ_ｔ ^ＣＰ，ｗ_ｔ ^ＣＰ，ｚ_ｔ ^ＣＰ（ｔ＝１，．．．，ｄ^ＣＰ）））とを入力する。ここで、ｄ^ＫＰは１以上の整数であり、ｔ＝１，．．．，ｄ^ＫＰまでの各整数ｔについてｎ_ｔ ^ＫＰ，ｕ_ｔ ^ＫＰ，ｗ_ｔ ^ＫＰ，ｚ_ｔ ^ＫＰは１以上の整数である。また、ｄ^ＣＰは１以上の整数であり、ｔ＝１，．．．，ｄ^ＣＰまでの各整数ｔについてｎ_ｔ ^ＣＰ，ｕ_ｔ ^ＣＰ，ｗ_ｔ ^ＣＰ，ｚ_ｔ ^ＣＰは１以上の整数である。

次に、マスター鍵生成部１１０は、処理装置により、数１２８を計算する。

つまり、マスター鍵生成部１１０は、セキュリティパラメータλ（１^λ）を入力としてアルゴリズムＧ_ｂｐｇを実行して、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を生成する。

次に、マスター鍵生成部１１０は、処理装置により、数１２９を計算する。

つまり、マスター鍵生成部１１０は、乱数ψを生成する。また、マスター鍵生成部１１０は、Ｎ_０に２＋ｕ_０＋１＋ｗ_０＋ｚ_０を設定し、ｔ＝１，．．．，ｄ^ＫＰの各整数ｔについてＮ_ｔ ^ＫＰにｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰ＋ｚ_ｔ ^ＫＰを設定し、ｔ＝１，．．．，ｄ^ＣＰの各整数ｔについてＮ_ｔ ^ＣＰにｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰ＋ｚ_ｔ ^ＣＰを設定する。ここで、ｕ_０，ｗ_０，ｚ_０は１以上の整数である。

次に、マスター鍵生成部１１０は、処理装置により、数１３０を計算する。

つまり、マスター鍵生成部１１０は、入力したセキュリティパラメータλ（１^λ）と、設定したＮ_０と、生成したｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値とを入力としてアルゴリズムＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ０：＝（ｑ，Ｖ_０，Ｇ_Ｔ，Ａ_０，ｅ）の値を生成する。
また、マスター鍵生成部１１０は、設定したＮ_０と、Ｆ_ｑとを入力として、線形変換Ｘ_０：＝（χ_{０，ｉ，ｊ}）_ｉ，ｊをランダムに生成する。なお、ＧＬは、Ｇｅｎｅｒａｌ Ｌｉｎｅａｒの略である。つまり、ＧＬは、一般線形群であり、行列式が０でない正方行列の集合であり、乗法に関し群である。また、（χ_{０，ｉ，ｊ}）_ｉ，ｊは、行列χ_{０，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，Ｎ_０である。
また、マスター鍵生成部１１０は、乱数ψと線形変換Ｘ_０とに基づき、（ν_{０，ｉ，ｊ}）_ｉ，ｊ：＝ψ・（Ｘ_０ ^Ｔ）^−１を生成する。なお、（ν_{０，ｉ，ｊ}）_ｉ，ｊも（χ_{０，ｉ，ｊ}）_ｉ，ｊと同様に、行列ν_{０，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，Ｎ_０である。
そして、マスター鍵生成部１１０は、線形変換Ｘ_０に基づき、標準基底Ａ_０から基底Ｂ_０を生成する。同様に、マスター鍵生成部１１０は、（ν_{０，ｉ，ｊ}）_ｉ，ｊに基づき、標準基底Ａ_０から基底Ｂ^＊ _０を生成する。

次に、マスター鍵生成部１１０は、処理装置により、数１３１を計算する。

つまり、マスター鍵生成部１１０は、ｔ＝１，．．．，ｄ^ＫＰの各整数ｔについて以下の処理を実行する。
マスター鍵生成部１１０は、入力したセキュリティパラメータλ（１^λ）と、設定したＮ_ｔ ^ＫＰと、生成したｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値とを入力としてアルゴリズムＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_ＶｔＫＰ：＝（ｑ，Ｖ_ｔ ^ＫＰ，Ｇ_Ｔ，Ａ_ｔ ^ＫＰ，ｅ）の値を生成する。
また、マスター鍵生成部１１０は、設定したＮ_ｔ ^ＫＰと、Ｆ_ｑとを入力として、線形変換Ｘ_ｔ ^ＫＰ：＝（χ_ｔ ^ＫＰ _，ｉ，ｊ）_ｉ，ｊをランダムに生成する。（χ_ｔ ^ＫＰ _，ｉ，ｊ）_ｉ，ｊは、行列χ_ｔ ^ＫＰ _，ｉ，ｊの添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，Ｎ_ｔ ^ＫＰである。
また、マスター鍵生成部１１０は、乱数ψと線形変換Ｘ_ｔ ^ＫＰとに基づき、（ν_ｔ ^ＫＰ _，ｉ，ｊ）_ｉ，ｊ：＝ψ・（（Ｘ_ｔ ^ＫＰ）^Ｔ）^−１を生成する。なお、（ν_ｔ ^ＫＰ _，ｉ，ｊ）_ｉ，ｊも（χ_ｔ ^ＫＰ _，ｉ，ｊ）_ｉ，ｊと同様に、行列ν_ｔ ^ＫＰ _，ｉ，ｊの添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，Ｎ_ｔ ^ＫＰである。
そして、マスター鍵生成部１１０は、線形変換Ｘ_ｔ ^ＫＰに基づき、標準基底Ａ_ｔ ^ＫＰから基底Ｂ_ｔ ^ＫＰを生成する。同様に、マスター鍵生成部１１０は、（ν_ｔ ^ＫＰ _，ｉ，ｊ）_ｉ，ｊに基づき、標準基底Ａ_ｔ ^ＫＰから基底Ｂ^＊ _ｔ ^ＫＰを生成する。

次に、マスター鍵生成部１１０は、処理装置により、数１３２を計算する。

つまり、マスター鍵生成部１１０は、ｔ＝１，．．．，ｄ^ＣＰの各整数ｔについて以下の処理を実行する。
マスター鍵生成部１１０は、入力したセキュリティパラメータλ（１^λ）と、設定したＮ_ｔ ^ＣＰと、生成したｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値とを入力としてアルゴリズムＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_ＶｔＣＰ：＝（ｑ，Ｖ_ｔ ^ＣＰ，Ｇ_Ｔ，Ａ_ｔ ^ＣＰ，ｅ）の値を生成する。
また、マスター鍵生成部１１０は、設定したＮ_ｔ ^ＣＰと、Ｆ_ｑとを入力として、線形変換Ｘ_ｔ ^ＣＰ：＝（χ_ｔ ^ＣＰ _，ｉ，ｊ）_ｉ，ｊをランダムに生成する。（χ_ｔ ^ＣＰ _，ｉ，ｊ）_ｉ，ｊは、行列χ_ｔ ^ＣＰ _，ｉ，ｊの添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，Ｎ_ｔ ^ＣＰである。
また、マスター鍵生成部１１０は、乱数ψと線形変換Ｘ_ｔ ^ＣＰとに基づき、（ν_ｔ ^ＣＰ _，ｉ，ｊ）_ｉ，ｊ：＝ψ・（（Ｘ_ｔ ^ＣＰ）^Ｔ）^−１を生成する。なお、（ν_ｔ ^ＣＰ _，ｉ，ｊ）_ｉ，ｊも（χ_ｔ ^ＣＰ _，ｉ，ｊ）_ｉ，ｊと同様に、行列ν_ｔ ^ＣＰ _，ｉ，ｊの添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，Ｎ_ｔ ^ＣＰである。
そして、マスター鍵生成部１１０は、線形変換Ｘ_ｔ ^ＣＰに基づき、標準基底Ａ_ｔ ^ＣＰから基底Ｂ_ｔ ^ＣＰを生成する。同様に、マスター鍵生成部１１０は、（ν_ｔ ^ＣＰ _，ｉ，ｊ）_ｉ，ｊに基づき、標準基底Ａ_ｔ ^ＣＰから基底Ｂ^＊ _ｔ ^ＣＰを生成する。

次に、マスター鍵生成部１１０は、処理装置により、数１３３を計算する。

つまり、マスター鍵生成部１１０は、ｇ_Ｔにｅ（ｇ，ｇ）^ψを設定する。
また、マスター鍵生成部１１０は、ｐａｒａｍ_ｎ→にｐａｒａｍ_Ｖ０と、ｔ＝１，．．．，ｄ^ＫＰの各整数ｔについてのｐａｒａｍ_ＶｔＫＰと、ｔ＝１，．．．，ｄ^ＣＰの各整数ｔについてのｐａｒａｍ_ＶｔＣＰと、ｇ_Ｔとを設定する。なお、ｉ＝１，．．．，Ｎ_０の各整数ｉについて、ｇ_Ｔ＝ｅ（ｂ_０，ｉ，ｂ^＊ _０，ｉ）である。また、ｔ＝１，．．．，ｄ^ＫＰとｉ＝１，．．．，Ｎ_ｔ ^ＫＰとの各整数ｔ，ｉについて、ｇ_Ｔ＝ｅ（ｂ_ｔ，ｉ，ｂ^＊ _ｔ，ｉ）である。また、ｔ＝１，．．．，ｄ^ＣＰとｉ＝１，．．．，Ｎ_ｔ ^ＣＰとの各整数ｔ，ｉについて、ｇ_Ｔ＝ｅ（ｂ_ｔ，ｉ，ｂ^＊ _ｔ，ｉ）である。

そして、マスター鍵生成部１１０は、ｐａｒａｍ_ｎ→と、{Ｂ_０、Ｂ^＊ _０}と、ｔ＝１，．．．，ｄ^ＫＰの各整数ｔについての{Ｂ_ｔ ^ＫＰ、Ｂ^＊ _ｔ ^ＫＰ}と、ｔ＝１，．．．，ｄ^ＣＰの各整数ｔについての{Ｂ_ｔ ^ＣＰ、Ｂ^＊ _ｔ ^ＣＰ}とを得る。

（Ｓ１０２：公開パラメータ生成ステップ）
マスター鍵生成部１１０は、処理装置により、基底Ｂ_０の部分基底Ｂ＾_０と、ｔ＝１，．．．，ｄ^ＫＰの各整数ｔについて、基底Ｂ_ｔ ^ＫＰの部分基底Ｂ＾_ｔ ^ＫＰと、ｔ＝１，．．．，ｄ^ＣＰの各整数ｔについて、基底Ｂ_ｔ ^ＣＰの部分基底Ｂ＾_ｔ ^ＣＰとを数１３４に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾_０，部分基底Ｂ＾_ｔ ^ＫＰ，部分基底Ｂ＾_ｔ ^ＣＰと、（Ｓ１０１）で入力されたセキュリティパラメータλ（１^λ）と、（Ｓ１０１）で生成したｐａｒａｍ_ｎ→とを合わせて、公開パラメータｐｋとする。

（Ｓ１０３：マスター鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、基底Ｂ^＊ _０の部分基底Ｂ＾^＊ _０と、ｔ＝１，．．．，ｄ^ＫＰの各整数ｔについて、基底Ｂ^＊ _ｔ ^ＫＰの部分基底Ｂ＾^＊ _ｔ ^ＫＰと、ｔ＝１，．．．，ｄ^ＣＰの各整数ｔについて、基底Ｂ^＊ _ｔ ^ＣＰの部分基底Ｂ＾^＊ _ｔ ^ＣＰとを数１３５に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾^＊ _０，部分基底Ｂ＾^＊ _ｔ ^ＫＰ，部分基底Ｂ＾^＊ _ｔ ^ＣＰをマスター鍵ｓｋとする。

（Ｓ１０４：マスター鍵記憶ステップ）
マスター鍵記憶部１２０は、（Ｓ１０２）で生成した公開パラメータｐｋを記憶装置に記憶する。また、マスター鍵記憶部１２０は、（Ｓ１０３）で生成したマスター鍵ｓｋを記憶装置に記憶する。

つまり、（Ｓ１０１）から（Ｓ１０３）において、鍵生成装置１００は数１３６に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、（Ｓ１０４）で、鍵生成装置１００は生成された公開パラメータｐｋとマスター鍵ｓｋとを記憶装置に記憶する。
なお、公開パラメータは、例えば、ネットワークを介して公開され、暗号化装置２００や復号装置３００が取得可能な状態にされる。

次に、図１０に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ２０１：情報入力ステップ）
第１ＫＰ情報入力部１３１は、入力装置により、アクセスストラクチャＳ^ＫＰ：＝（Ｍ^ＫＰ，ρ^ＫＰ）を入力する。なお、行列Ｍ^ＫＰは、Ｌ^ＫＰ行×ｒ^ＫＰ列の行列である。Ｌ^ＫＰ，ｒ^ＫＰは、１以上の整数である。
また、第１ＣＰ情報入力部１３２は、入力装置により、属性の集合Γ^ＣＰ：＝｛（ｔ，ｘ^→ _ｔ ^ＣＰ：＝（ｘ_ｔ，ｉ ^ＣＰ（ｉ＝１，．．．，ｎ_ｔ ^ＣＰ））∈Ｆ_ｑ ^ｎｔＣＰ＼{０^→}）｜１≦ｔ≦ｄ^ＣＰ｝を入力する。ｔは、１以上ｄ^ＣＰ以下の全ての整数ではなく、１以上ｄ^ＣＰ以下の少なくとも一部の整数であってもよい。
なお、アクセスストラクチャＳ^ＫＰの行列Ｍ^ＫＰの設定については、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳ^ＫＰのρ^ＫＰや属性の集合Γ^ＣＰは、例えば、復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}の使用者の属性情報が設定されている。

（Ｓ２０２：ｆベクトル生成ステップ）
ｆベクトル生成部１４１は、処理装置により、ｒ^ＫＰ個の要素を有するベクトルｆ^→ＫＰを数１３７に示すようにランダムに生成する。

（Ｓ２０３：ｓベクトル生成ステップ）
ｓベクトル生成部１４２は、処理装置により、（Ｓ２０１）で入力したアクセスストラクチャＳ^ＫＰに含まれる（Ｌ^ＫＰ行×ｒ^ＫＰ列）の行列Ｍ^ＫＰと、（Ｓ２０２）で生成したｒ^ＫＰ個の要素を有するベクトルｆ^→ＫＰとに基づき、ベクトル（ｓ^→ＫＰ）^Ｔを数１３８に示すように生成する。

また、ｓベクトル生成部１４２は、処理装置により、（Ｓ２０２）で生成したベクトルｆ^→ＫＰに基づき、値ｓ_０ ^ＫＰを数１３９に示すように生成する。なお、１^→は、全ての要素が値１のベクトルである。

（Ｓ２０４：乱数生成ステップ）
乱数生成部１４３は、処理装置により、乱数δ^ＣＰと、Γ^ＣＰに含まれる（ｔ，ｘ^→ _ｔ ^ＣＰ）の各整数ｔについて乱数η^→ _ｔ ^ＣＰと、乱数η^→ _０とを数１４０に示すように生成する。

（Ｓ２０５：主復号鍵生成ステップ）
主復号鍵生成部１４４は、処理装置により、復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}の要素である主復号鍵ｋ^＊ _０を数１４１に示すように生成する。

なお、上述したように、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。したがって、数１４１は、以下のように、基底Ｂ^＊ _０の基底ベクトルの係数が設定されることを意味する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _０，１，．．．，ｂ^＊ _０，３を意味する。
基底Ｂ^＊ _０の基底ベクトル１の係数として−ｓ_０ ^ＫＰが設定される。基底ベクトル２の係数として乱数δ^ＣＰが設定される。基底ベクトル２＋１，．．．，２＋ｕ_０の係数として０が設定される。基底ベクトル２＋ｕ_０＋１の係数として１が設定される。基底ベクトル２＋ｕ_０＋１＋１，．．．，２＋ｕ_０＋１＋ｗ_０の係数として乱数η_０，１，．．．，η_０，ｗ０（ここで、ｗ０はｗ_０のことである）が設定される。基底ベクトル２＋ｕ_０＋１＋ｗ_０＋１，．．．，２＋ｕ_０＋１＋ｗ_０＋ｚ_０の係数として０が設定される。

（Ｓ２０６：ＫＰ復号鍵生成ステップ）
ＫＰ復号鍵生成部１４５は、処理装置により、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについて、復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}の要素であるＫＰ復号鍵ｋ^＊ _ｉ ^ＫＰを数１４２に示すように生成する。

つまり、数１４２は、数１４１と同様に、以下のように、基底Ｂ^＊ _ｔ ^ＫＰの基底ベクトルの係数が設定されることを意味する。なお、ここでは、表記を簡略化して、基底ベクトルｂ^＊ _ｔ，ｉ ^ＫＰのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _ｔ，１ ^ＫＰを意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _ｔ，１ ^ＫＰ，．．．，ｂ^＊ _ｔ，３ ^ＫＰを意味する。
ρ^ＫＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、基底ベクトル１の係数としてｓ_ｉ ^ＫＰ＋θ_ｉ ^ＫＰｖ_ｉ，１ ^ＫＰが設定される。なお、上述したように、ｅ^→ _ｔ，ｊ ^ＫＰは、数１１２に示す正規基底ベクトルを示す。また、基底ベクトル２，．．．，ｎ_ｔ ^ＫＰの係数としてθ_ｉ ^ＫＰｖ_ｉ，２ ^ＫＰ，．．．，θ_ｉ ^ＫＰｖ_{ｉ，ｎｔＫＰ} ^ＫＰ（ここで、ｎｔＫＰはｎ_ｔ ^ＫＰのことである）が設定される。基底ベクトルｎ_ｔ ^ＫＰ＋１，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰの係数として０が設定される。基底ベクトルｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋１，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰの係数としてη_ｉ，１ ^ＫＰ，．．．，η_{ｉ，ｗｔＫＰ} ^ＫＰ（ここで、ｗｔＫＰはｗ_ｔ ^ＫＰのことである）が設定される。基底ベクトルｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰ＋１，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰ＋ｚ_ｔ ^ＫＰの係数として０が設定される。
一方、ρ^ＫＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、基底ベクトル１，．．．，ｎ_ｔ ^ＫＰの係数としてｓ_ｉ ^ＫＰｖ_ｉ，１ ^ＫＰ，．．．，ｓ_ｉ ^ＫＰｖ_{ｉ，ｎｔＫＰ} ^ＫＰ（ここで、ｎｔＫＰはｎ_ｔ ^ＫＰのことである）が設定される。基底ベクトルｎ_ｔ ^ＫＰ＋１，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰの係数として０が設定される。基底ベクトルｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋１，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰの係数としてη_ｉ，１ ^ＫＰ，．．．，η_{ｉ，ｗｔＫＰ} ^ＫＰ（ここで、ｗｔＫＰはｗ_ｔ ^ＫＰのことである）が設定される。基底ベクトルｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰ＋１，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰ＋ｚ_ｔ ^ＫＰの係数として０が設定される。
なお、θ_ｉ ^ＫＰ及びη^→ _ｉ ^ＫＰは乱数生成部１４３によって生成される乱数である。

（Ｓ２０７：ＣＰ復号鍵生成ステップ）
ＣＰ復号鍵生成部１４６は、処理装置により、Γ^ＣＰに含まれる（ｔ，ｘ^→ _ｔ ^ＣＰ）の各整数ｔについて、復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}の要素であるＣＰ復号鍵ｋ^＊ _ｔ ^ＣＰを数１４３に示すように生成する。

つまり、数１４３は、数１４１と同様に、以下のように、基底Ｂ^＊ _ｔ ^ＣＰの基底ベクトルの係数が設定されることを意味する。なお、ここでは、表記を簡略化して、基底ベクトルｂ^＊ _ｔ，ｉ ^ＣＰのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _ｔ，１ ^ＣＰを意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _ｔ，１ ^ＣＰ，．．．，ｂ^＊ _ｔ，３ ^ＣＰを意味する。
基底ベクトル１，．．．，ｎ_ｔ ^ＣＰの係数としてδ^ＣＰｘ_ｔ，１ ^ＣＰ，．．．，δ^ＣＰｘ_{ｔ，ｎｔＣＰ} ^ＣＰ（ここで、ｎｔＣＰはｎ_ｔ ^ＣＰのことである）が設定される。基底ベクトルｎ_ｔ ^ＣＰ＋１，．．．，ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰの係数として０が設定される。基底ベクトルｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋１，．．．，ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰの係数としてη_ｔ，１ ^ＣＰ，．．．，η_{ｔ，ｗｔＣＰ} ^ＣＰ（ここで、ｗｔＣＰはｗ_ｔ ^ＣＰのことである）が設定される。基底ベクトルｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰ＋１，．．．，ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰ＋ｚ_ｔ ^ＣＰの係数として０が設定される。

（Ｓ２０８：鍵配布ステップ）
鍵配布部１５０は、主復号鍵ｋ^＊ _０と、アクセスストラクチャＳ^ＫＰ及びＫＰ復号鍵ｋ^＊ _ｉ ^ＫＰ（ｉ＝１，．．．，Ｌ^ＫＰ）と、属性の集合Γ^ＣＰ及びＣＰ復号鍵ｋ^＊ _ｔ ^ＣＰ（ｔは属性の集合Γ^ＣＰに含まれる（ｔ，ｘ^→ _ｔ ^ＣＰ）におけるｔ）とを要素とする復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}を、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ配布する。もちろん、復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}は、他の方法により復号装置３００へ配布されてもよい。

つまり、（Ｓ２０１）から（Ｓ２０７）において、鍵生成装置１００は数１４４に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}を生成する。そして、（Ｓ２０８）で、鍵生成装置１００は生成された復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}を復号装置３００へ配布する。

暗号化装置２００の機能と動作とについて説明する。
図７に示すように、暗号化装置２００は、公開パラメータ取得部２１０、情報入力部２２０（第２情報入力部）、暗号化データ生成部２３０、データ送信部２４０（データ出力部）を備える。
また、情報入力部２２０は、ＫＰ情報入力部２２１（第２ＫＰ情報入力部）、ＣＰ情報入力部２２２（第２ＣＰ情報入力部）、メッセージ入力部２２３を備える。また、暗号化データ生成部２３０は、ｆベクトル生成部２３１、ｓベクトル生成部２３２、乱数生成部２３３、主暗号化データ生成部２３４、ＫＰ暗号化データ生成部２３５、ＣＰ暗号化データ生成部２３６、メッセージ暗号化データ生成部２３７を備える。

図１１に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ３０１：公開パラメータ取得ステップ）
公開パラメータ取得部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ３０２：情報入力ステップ）
ＫＰ情報入力部２２１は、入力装置により、属性の集合Γ^ＫＰ：＝｛（ｔ，ｘ^→ _ｔ ^ＫＰ：＝（ｘ_ｔ，ｉ ^ＫＰ（ｉ＝１，．．．，ｎ_ｔ ^ＫＰ））∈Ｆ_ｑ ^ｎｔＫＰ＼{０^→}）｜１≦ｔ≦ｄ^ＫＰ｝を入力する。ｔは、１以上ｄ^ＫＰ以下の全ての整数ではなく、１以上ｄ^ＫＰ以下の少なくとも一部の整数であってもよい。
また、ＣＰ情報入力部２２２は、入力装置により、アクセスストラクチャＳ^ＣＰ：＝（Ｍ^ＣＰ，ρ^ＣＰ）を入力する。なお、行列Ｍ^ＣＰは、Ｌ^ＣＰ行×ｒ^ＣＰ列の行列である。Ｌ^ＣＰ，ｒ^ＣＰは、１以上の整数である。
また、メッセージ入力部は、入力装置により、復号装置３００へ送信するメッセージｍを入力する。
なお、アクセスストラクチャＳ^ＣＰの行列Ｍ^ＣＰの設定については、実現したいシステムの条件に応じて設定されるものである。アクセスストラクチャＳ^ＣＰのρ^ＣＰや属性の集合Γ^ＫＰは、例えば、復号可能なユーザの属性情報が設定されている。

（Ｓ３０３：乱数生成ステップ）
乱数生成部２３３は、処理装置により、乱数ω^ＫＰと、乱数φ^→ _０と、Γ^ＫＰに含まれる（ｔ，ｘ^→ _ｔ ^ＫＰ）の各整数ｔについてφ^→ _ｔ ^ＫＰと、乱数ζとを数１４５に示すように生成する。

（Ｓ３０４：ｆベクトル生成ステップ）
ｆベクトル生成部２３１は、処理装置により、ｒ^ＣＰ個の要素を有するベクトルｆ^→ＣＰを数１４６に示すようにランダムに生成する。

（Ｓ３０５：ｓベクトル生成ステップ）
ｓベクトル生成部２３２は、処理装置により、（Ｓ３０２）で入力したアクセスストラクチャＳ^ＣＰに含まれる（Ｌ^ＣＰ行×ｒ^ＣＰ列）の行列Ｍ^ＣＰと、（Ｓ３０４）で生成したｒ^ＣＰ個の要素を有するベクトルｆ^→ＣＰとに基づき、ベクトル（ｓ^→ＣＰ）^Ｔを数１４７に示すように生成する。

また、ｓベクトル生成部１４２は、処理装置により、（Ｓ３０４）で生成したベクトルｆ^→ＣＰに基づき、値ｓ_０ ^ＣＰを数１４８に示すように生成する。なお、１^→は、全ての要素が値１のベクトルである。

（Ｓ３０６：主暗号化データ生成ステップ）
主暗号化データ生成部２３４は、処理装置により、暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}の要素である主暗号化データｃ_０を数１４９に示すように生成する。

なお、上述したように、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。したがって、数１４９は、以下のように、基底Ｂ_０の基底ベクトルの係数が設定されることを意味する。ここでは、表記を簡略化して、基底ベクトルｂ_０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ_０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ_０，１，．．．，ｂ_０，３を意味する。
基底Ｂ_０の基底ベクトル１の係数として乱数ω^ＫＰが設定される。基底ベクトル２の係数として−ｓ_０ ^ＣＰが設定される。基底ベクトル２＋１，．．．，２＋ｕ_０の係数として０が設定される。基底ベクトル２＋ｕ_０＋１の係数として乱数ζが設定される。基底ベクトル２＋ｕ_０＋１＋１，．．．，２＋ｕ_０＋１＋ｗ_０の係数として０が設定される。基底ベクトル２＋ｕ_０＋１＋ｗ_０＋１，．．．，２＋ｕ_０＋１＋ｗ_０＋ｚ_０の係数として乱数φ_０，１，．．．，φ_０，ｚ０（ここで、ｚ０はｚ_０のことである）が設定される。

（Ｓ３０７：ＫＰ暗号化データ生成ステップ）
ＫＰ暗号化データ生成部２３５は、処理装置により、Γ^ＫＰに含まれる（ｔ，ｘ^→ _ｔ ^ＫＰ）の各整数ｔについて、暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}の要素であるＫＰ暗号化データｃ_ｔ ^ＫＰを数１５０に示すように生成する。

つまり、数１５０は、数１４９と同様に、以下のように、基底Ｂ_ｔ ^ＫＰの基底ベクトルの係数が設定されることを意味する。なお、ここでは、表記を簡略化して、基底ベクトルｂ_ｔ，ｉ ^ＫＰのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ_ｔ，１ ^ＫＰを意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ_ｔ，１ ^ＫＰ，．．．，ｂ_ｔ，３ ^ＫＰを意味する。
基底ベクトル１，．．．，ｎ_ｔ ^ＫＰの係数としてω^ＫＰｘ_ｔ，１ ^ＫＰ，．．．，ω^ＫＰｘ_{ｔ，ｎｔＫＰ} ^ＫＰ（ここで、ｎｔＫＰはｎ_ｔ ^ＫＰのことである）が設定される。基底ベクトルｎ_ｔ ^ＫＰ＋１，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰの係数として０が設定される。基底ベクトルｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰ＋１，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰ＋ｚ_ｔ ^ＫＰの係数としてφ_ｔ，１ ^ＫＰ，．．．，φ_{ｔ，ｚｔＫＰ} ^ＫＰ（ここで、ｚｔＣＰはｚ_ｔ ^ＣＰのことである）が設定される。

（Ｓ３０８：ＣＰ暗号化データ生成ステップ）
ＣＰ暗号化データ生成部２３６は、処理装置により、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについて、暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}の要素であるＣＰ暗号化データｃ_ｉ ^ＣＰを数１５１に示すように生成する。

つまり、数１５１は、数１５０と同様に、以下のように、基底Ｂ_ｔ ^ＣＰの基底ベクトルの係数が設定されることを意味する。なお、ここでは、表記を簡略化して、基底ベクトルｂ_ｔ，ｉ ^ＣＰのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ_ｔ，１ ^ＣＰを意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ_ｔ，１ ^ＣＰ，．．．，ｂ_ｔ，３ ^ＣＰを意味する。
ρ^ＣＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、基底ベクトル１の係数としてｓ_ｉ ^ＣＰ＋θ_ｉ ^ＣＰｖ_ｉ，１ ^ＣＰが設定される。なお、上述したように、ｅ^→ _ｔ，ｊ ^ＣＰは、数１１２に示す正規基底ベクトルを示す。また、基底ベクトル２，．．．，ｎ_ｔ ^ＣＰの係数としてθ_ｉ ^ＣＰｖ_ｉ，２ ^ＣＰ，．．．，θ_ｉ ^ＣＰｖ_{ｉ，ｎｔＣＰ} ^ＣＰ（ここで、ｎｔＣＰはｎ_ｔ ^ＣＰのことである）が設定される。基底ベクトルｎ_ｔ ^ＣＰ＋１，．．．，ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰの係数として０が設定される。基底ベクトルｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰ＋１，．．．，ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰ＋ｚ_ｔ ^ＣＰの係数としてφ_ｉ，１ ^ＣＰ，．．．，φ_{ｉ，ｚｔＣＰ} ^ＣＰ（ここで、ｚｔＣＰはｚ_ｔ ^ＣＰのことである）が設定される。
一方、ρ^ＣＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、基底ベクトル１，．．．，ｎ_ｔ ^ＣＰの係数としてｓ_ｉ ^ＣＰｖ_ｉ，１ ^ＣＰ，．．．，ｓ_ｉ ^ＣＰｖ_{ｉ，ｎｔＣＰ} ^ＣＰ（ここで、ｎｔＣＰはｎ_ｔ ^ＣＰのことである）が設定される。基底ベクトルｎ_ｔ ^ＣＰ＋１，．．．，ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰの係数として０が設定される。基底ベクトルｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰ＋１，．．．，ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰ＋ｚ_ｔ ^ＣＰの係数としてφ_ｉ，１ ^ＣＰ，．．．，φ_{ｉ，ｚｔＣＰ} ^ＣＰ（ここで、ｚｔＣＰはｚ_ｔ ^ＣＰのことである）が設定される。
なお、θ_ｉ ^ＣＰ及びφ^→ _ｉ ^ＣＰは乱数生成部２３３によって生成される乱数である。

（Ｓ３０９：メッセージ暗号化データ生成ステップ）
メッセージ暗号化データ生成部２３７は、処理装置により、暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}の要素であるメッセージ暗号化データｃ_ｄ＋１を数１５２に示すように生成する。

なお、上述したように、数１５３である。

（Ｓ３１０：データ送信ステップ）
データ送信部２４０は、主暗号化データｃ_０と、属性の集合Γ^ＫＰ及びＫＰ暗号化データｃ_ｔ ^ＫＰと、アクセスストラクチャＳ^ＣＰ及びＣＰ暗号化データｃ_ｉ ^ＣＰと、メッセージ暗号化データｃ_ｄ＋１とを要素とする暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}は、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ３０１）から（Ｓ３０９）において、暗号化装置２００は、数１５４に示すＥｎｃアルゴリズムを実行して、暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を生成する。そして、（Ｓ３１０）で、暗号化装置２００は、生成された暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を復号装置３００へ送信する。

復号装置３００の機能と動作とについて説明する。
図８に示すように、復号装置３００は、復号鍵取得部３１０、データ受信部３２０（データ取得部）、スパンプログラム計算部３３０、補完係数計算部３４０、ペアリング演算部３５０、メッセージ計算部３６０を備える。
また、スパンプログラム計算部３３０は、ＫＰスパンプログラム計算部３３１、ＣＰスパンプログラム計算部３３２を備える。また、補完係数計算部３４０は、ＫＰ補完係数計算部３４１、ＣＰ補完係数計算部３４２を備える。

図１２に基づき、Ｄｅｃアルゴリズムの処理について説明する。
（Ｓ４０１：復号鍵取得ステップ）
復号鍵取得部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から配布された復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}を取得する。また、復号鍵取得部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ４０２：データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を受信する。

（Ｓ４０３：スパンプログラム計算ステップ）
ＫＰスパンプログラム計算部３３１は、処理装置により、（Ｓ４０１）で取得した復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれるアクセスストラクチャＳ^ＫＰが、（Ｓ４０２）で受信した暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれる属性の集合Γ^ＫＰを受理するか否かを判定する。
また、ＣＰスパンプログラム計算部３３２は、処理装置により、（Ｓ４０２）で受信した暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれるアクセスストラクチャＳ^ＣＰが、（Ｓ４０１）で取得した復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる属性の集合Γ^ＣＰを受理するか否かを判定する。
なお、アクセスストラクチャが属性の集合を受理するか否かの判定方法は、「第３．関数型暗号を実現するための概念」で説明した通りである。
スパンプログラム計算部３３０は、アクセスストラクチャＳ^ＫＰが属性の集合Γ^ＫＰを受理し、かつ、アクセスストラクチャＳ^ＣＰが属性の集合Γ^ＣＰを受理する場合（Ｓ４０３で受理）、処理を（Ｓ４０４）へ進める。一方、アクセスストラクチャＳ^ＫＰが属性の集合Γ^ＫＰを拒絶する場合と、アクセスストラクチャＳ^ＣＰが属性の集合Γ^ＣＰを拒絶する場合との少なくともいずれかの場合（Ｓ４０３で拒絶）、暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}で復号できないとして、識別情報⊥を出力して、処理を終了する。

（Ｓ４０４：補完係数計算ステップ）
ＫＰ補完係数計算部３４１は、処理装置により、数１５５となるＩ^ＫＰと、Ｉ^ＫＰに含まれる各整数ｉについて定数（補完係数）α_ｉ ^ＫＰとを計算する。

また、ＣＰ補完係数計算部３４２は、処理装置により、数１５６となるＩ^ＣＰと、Ｉ^ＣＰに含まれる各整数ｉについて定数（補完係数）α_ｉ ^ＣＰとを計算する。

（Ｓ４０５：ペアリング演算ステップ）
ペアリング演算部３５０は、処理装置により、数１５７を計算して、セッション鍵Ｋ＝ｇ_Ｔ ^ζを生成する。

なお、数１５８に示すように、数１５７を計算することにより鍵Ｋ＝ｇ_Ｔ ^ζが得られる。

（Ｓ４０６：メッセージ計算ステップ）
メッセージ計算部３６０は、処理装置により、ｍ’＝ｃ_ｄ＋１／Ｋを計算して、メッセージｍ’（＝ｍ）を生成する。なお、メッセージ暗号化データｃ_ｄ＋１は数１５２に示す通りｇ_Ｔ ^ζｍであり、Ｋはｇ_Ｔ ^ζであるから、ｍ’＝ｃ_ｄ＋１／Ｋを計算すればメッセージｍが得られる。

つまり、（Ｓ４０１）から（Ｓ４０６）において、復号装置３００は、数１５９に示すＤｅｃアルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

以上のように、暗号処理システム１０は、スパンプログラムと内積述語と秘密分散とを用いて構成したアクセスストラクチャＳ^ＫＰ及びＳ^ＣＰを用いて、暗号方式（関数型暗号方式）を実現する。したがって、暗号処理システム１０は、非常に高い自由度でアクセス制御の設計を行うことが可能な暗号方式を実現する。
特に、暗号処理システム１０は、アクセスストラクチャＳ^ＫＰを復号鍵に持たせ、アクセスストラクチャＳ^ＣＰを暗号化データに持たせている。したがって、暗号処理システム１０は、復号鍵と暗号化データとの両方でアクセスコントロールを行うことができる。

なお、上記説明において、ｕ_ｔ、ｗ_ｔ、ｚ_ｔ（ｔ＝０，．．．，ｄ＋１）の次元は、安全性を高めるために設けた次元である。したがって、安全性が低くなってしまうが、ｕ_ｔ、ｗ_ｔ、ｚ_ｔ（ｔ＝０，．．．，ｄ＋１）をそれぞれ０として、ｕ_ｔ、ｗ_ｔ、ｚ_ｔ（ｔ＝０，．．．，ｄ＋１）の次元を設けなくてもよい。

また、上記説明では、（Ｓ１０１）でＮ_０に２＋ｕ_０＋１＋ｗ_０＋ｚ_０を設定した。しかし、２＋ｕ_０＋１＋ｗ_０＋ｚ_０を２＋２＋１＋２＋１として、Ｎ_０に８を設定してもよい。
また、上記説明では、（Ｓ１０１）でＮ_ｔ ^ＫＰにｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰ＋ｚ_ｔ ^ＫＰを設定した。しかし、ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰ＋ｚ_ｔ ^ＫＰをｎ_ｔ ^ＫＰ＋ｎ_ｔ ^ＫＰ＋ｎ_ｔ ^ＫＰ＋１として、Ｎ_ｔ ^ＫＰに３ｎ_ｔ ^ＫＰ＋１を設定してもよい。
同様に、（Ｓ１０１）でＮ_ｔ ^ＣＰにｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰ＋ｚ_ｔ ^ＣＰを設定した。しかし、ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰ＋ｚ_ｔ ^ＣＰをｎ_ｔ ^ＣＰ＋ｎ_ｔ ^ＣＰ＋ｎ_ｔ ^ＣＰ＋１として、Ｎ_ｔ ^ＣＰに３ｎ_ｔ ^ＣＰ＋１を設定してもよい。
この場合、数１３６に示すＳｅｔｕｐアルゴリズムは、数１６０のように書き換えられる。なお、Ｇ_ｏｂ ^ＵＰは数１６１のように書き換えられる。

また、数１４４に示すＫｅｙＧｅｎアルゴリズムは、数１６２のように書き換えられる。

また、数１５４に示すＥｎｃアルゴリズムは、数１６３のように書き換えられる。

なお、数１５９に示すＤｅｃアルゴリズムには変更はない。

また、上記説明では、（Ｓ１０１）でＮ_０に８を設定した。しかし、Ｎ_０は８ではなく、３以上の整数であればよい。Ｎ_０が３であると、基底Ｂ_０と基底Ｂ^＊ _０とが２次元になる。Ｎ_０が３の場合、ＫｅｙＧｅｎアルゴリズムにおいて、ｋ^＊ _０：＝（−ｓ_０ ^ＫＰ，δ^ＣＰ，１））_Ｂ＊０とし、Ｅｎｃアルゴリズムにおいて、ｃ_０：＝（ω^ＫＰ，−ｓ_０ ^ＣＰ，ζ）_Ｂ０とすればよい。ここで、Ｂ＊０はＢ^＊ _０のことであり、Ｂ０はＢ_０のことである。

また、上記説明では、ＫｅｙＧｅｎアルゴリズムにおいて、ｋ^＊ _０：＝（−ｓ_０，δ^ＣＰ，０，０，１，η_０，１，η_０，２，０）_Ｂ＊０とした。しかし、暗号化装置２００が知りえる所定の値κを用いて、ｋ^＊ _０：＝（−ｓ_０，δ^ＣＰ，０，０，κ，η_０，１，η_０，２，０）_Ｂ＊０としてもよい。ここで、Ｂ＊０はＢ^＊ _０のことであり、Ｂ０はＢ_０のことである。この場合、Ｄｅｃアルゴリズムで計算されるＫ：＝ｇ^ζκ _Ｔとなるため、Ｅｎｃアルゴリズムにおいて、ｃ_ｄ＋１：＝ｇ^ζκ _Ｔｍとすればよい。

また、上記説明では、ｖ_{ｉ，ｎｔＣＰ} ^ＣＰ（ここでｎｔＣＰはｎ_ｔ ^ＣＰのことである）の値について特に限定しなかった。しかし、安全性の証明の観点から、ｖ_{ｉ，ｎｔＣＰ} ^ＣＰ：＝１である限定としてもよい。

また、安全性の証明の観点から、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについてのρ^ＫＰ（ｉ）は、それぞれ異なる識別情報ｔについての肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）であると限定してもよい。
言い替えると、ρ^ＫＰ（ｉ）＝（ｔ，ｖ^→ _ｉ ^ＫＰ）又はρ^ＫＰ（ｉ）＝¬（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合に、関数ρ^〜ＫＰを、ρ^〜ＫＰ（ｉ）＝ｔである｛１，．．．，Ｌ｝→｛１，．．，ｄ^ＫＰ｝の写像であるとする。この場合、ρ^〜ＫＰが単射であると限定してもよい。なお、ρ^ＫＰ（ｉ）は、上述したアクセスストラクチャＳ^ＫＰ：＝（Ｍ^ＫＰ，ρ^ＫＰ（ｉ））のρ^ＫＰ（ｉ）である。
同様に、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについてのρ^ＣＰ（ｉ）は、それぞれ異なる識別情報ｔについての肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）であると限定してもよい。
言い替えると、ρ^ＣＰ（ｉ）＝（ｔ，ｖ^→ _ｉ ^ＣＰ）又はρ^ＣＰ（ｉ）＝¬（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合に、関数ρ^〜ＣＰを、ρ^〜ＣＰ（ｉ）＝ｔである｛１，．．．，Ｌ｝→｛１，．．，ｄ^ＣＰ｝の写像であるとする。この場合、ρ^〜ＣＰが単射であると限定してもよい。なお、ρ^ＣＰ（ｉ）は、上述したアクセスストラクチャＳ^ＣＰ：＝（Ｍ^ＣＰ，ρ^ＣＰ（ｉ））のρ^ＣＰ（ｉ）である。

また、Ｓｅｔｕｐアルゴリズムは、暗号処理システム１０のセットアップ時に一度実行すればよく、復号鍵を生成する度に実行する必要はない。また、上記説明では、ＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとを鍵生成装置１００が実行するとしたが、ＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとをそれぞれ異なる装置が実行するとしてもよい。

また、上記説明では、スパンプログラムＭ＾は、入力列δによって行列Ｍ＾から得られる行列Ｍ_δの行を線形結合して１^→が得られる場合に限り、入力列δを受理するとした。しかし、スパンプログラムＭ＾は、１^→ではなく、他のベクトルｈ^→が得られる場合に限り、入力列δを受理するとしてもよい。
この場合、ＫｅｙＧｅｎアルゴリズムにおいて、ｓ_０ ^ＫＰ：＝１^→・（ｆ^→ＫＰ）^Ｔではなく、ｓ_０：＝ｈ^→ＫＰ・（ｆ^→ＫＰ）^Ｔとすればよい。同様に、Ｅｎｃアルゴリズムにおいて、ｓ_０ ^ＣＰ：＝１^→・（ｆ^→ＣＰ）^Ｔではなく、ｓ_０：＝ｈ^→ＣＰ・（ｆ^→ＣＰ）^Ｔとすればよい。

実施の形態２．
以上の実施の形態では、双対ベクトル空間において暗号処理を実現する方法について説明した。この実施の形態では、双対加群において暗号処理を実現する方法について説明する。

つまり、以上の実施の形態では、素数位数ｑの巡回群において暗号処理を実現した。しかし、合成数Ｍを用いて数１６４のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した暗号処理を適用することができる。

例えば、実施の形態１で説明したＵｎｉｆｉｅｄ−Ｐｏｌｉｃｙ関数型暗号を、環Ｒを係数とする加群において実現すると数１６５から数１６９のようになる。

また、上記説明における暗号処理は、権限の委譲を行うことも可能である。権限の委譲とは、復号鍵を有する者がその復号鍵よりも権限の弱い下位の復号鍵を生成することである。ここで、権限が弱いとは、復号できる暗号化データが限定されるという意味である。
例えば、第１階層目（最上位）においては、ｔ＝１の基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用い、第２階層目においては、ｔ＝１，２の基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用い、・・・、第ｋ階層目においては、ｔ−１，．．．，ｋの基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いる。用いる基底Ｂ_ｔと基底Ｂ^＊ _ｔとが増える分、属性情報が多く設定されることになる。したがって、より復号鍵の権限が限定されることになる。

次に、実施の形態における暗号処理システム１０（鍵生成装置１００、暗号化装置２００、復号装置３００）のハードウェア構成について説明する。
図１３は、鍵生成装置１００、暗号化装置２００、復号装置３００のハードウェア構成の一例を示す図である。
図１３に示すように、鍵生成装置１００、暗号化装置２００、復号装置３００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０（固定ディスク装置）の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。磁気ディスク装置９２０は、所定の固定ディスクインタフェースを介して接続される。

ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４と磁気ディスク装置９２０とは、記憶装置（メモリ）の一例である。また、キーボード９０２、通信ボード９１５は、入力装置の一例である。また、通信ボード９１５は、通信装置の一例である。さらに、ＬＣＤ９０１は、表示装置の一例である。

磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

プログラム群９２３には、上記の説明において「マスター鍵生成部１１０」、「情報入力部１３０」、「復号鍵生成部１４０」、「鍵配布部１５０」、「公開パラメータ取得部２１０」、「情報入力部２２０」、「暗号化データ生成部２３０」、「データ送信部２４０」、「復号鍵取得部３１０」、「データ受信部３２０」、「スパンプログラム計算部３３０」、「補完係数計算部３４０」、「ペアリング演算部３５０」、「メッセージ計算部３６０」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、上記の説明において「公開パラメータｐｋ」、「マスター鍵ｓｋ」、「暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}」、「復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}」、「アクセスストラクチャＳ^ＫＰ，Ｓ^ＣＰ」、「属性の集合Γ^ＫＰ，Γ^ＣＰ」、「メッセージｍ」等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。

また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
また、上記の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜装置」として説明するものは、「〜回路」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。さらに、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「〜部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「〜部」の手順や方法をコンピュータ等に実行させるものである。

１０ 暗号処理システム、１００ 鍵生成装置、１１０ マスター鍵生成部、１２０ マスター鍵記憶部、１３０ 情報入力部、１３１ ＫＰ情報入力部、１３２ ＣＰ情報入力部、１４０ 復号鍵生成部、１４１ ｆベクトル生成部、１４２ ｓベクトル生成部、１４３ 乱数生成部、１４４ 主復号鍵生成部、１４５ ＫＰ復号鍵生成部、１４６ ＣＰ復号鍵生成部、１５０ 鍵配布部、２００ 暗号化装置、２１０ 公開パラメータ取得部、２２０ 情報入力部、２２１ ＫＰ情報入力部、２２２ ＣＰ情報入力部、２２３ メッセージ入力部、２３０ 暗号化データ生成部、２３１ ｆベクトル生成部、２３２ ｓベクトル生成部、２３３ 乱数生成部、２３４ 主暗号化データ生成部、２３５ ＫＰ暗号化データ生成部、２３６ ＣＰ暗号化データ生成部、２３７ メッセージ暗号化データ生成部、２４０ データ送信部、３００ 復号装置、３１０ 復号鍵取得部、３２０ データ受信部、３３０ スパンプログラム計算部、３３１ ＫＰスパンプログラム計算部、３３２ ＣＰスパンプログラム計算部、３４０ 補完係数計算部、３４１ ＫＰ補完係数計算部、３４２ ＣＰ補完係数計算部、３５０ ペアリング演算部、３６０ メッセージ計算部。

Claims (8)

1. 鍵生成装置と暗号化装置と復号装置とを備え、基底Ｂ_０及び基底Ｂ_０ ^＊と、ｔ＝１，．．．，ｄ^ＫＰ（ｄ^ＫＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＫＰ及び基底Ｂ^＊ _ｔ ^ＫＰと、ｔ＝１，．．．，ｄ^ＣＰ（ｄ^ＣＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＣＰ及び基底Ｂ^＊ _ｔ ^ＣＰとを用いて暗号処理を実行する暗号処理システムであり、
   前記鍵生成装置は、
   ｉ＝１，．．．，Ｌ^ＫＰ（Ｌ^ＫＰは１以上の整数）の各整数ｉについての変数ρ^ＫＰ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄ^ＫＰのいずれかの整数）と、属性ベクトルｖ^→ _ｉ ^ＫＰ：＝（ｖ_ｉ，ｉ’ ^ＫＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＫＰ，ｎ_ｔ ^ＫＰは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）のいずれかである変数ρ^ＫＰ（ｉ）と、Ｌ^ＫＰ行ｒ^ＫＰ列（ｒ^ＫＰは１以上の整数）の所定の行列Ｍ^ＫＰとを入力する第１ＫＰ情報入力部と、
   ｔ＝１，．．．，ｄ^ＣＰの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ ^ＣＰ：＝（ｘ_ｔ，ｉ’ ^ＣＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ，ｎ_ｔ ^ＣＰは１以上の整数）とを有する属性集合Γ^ＣＰを入力する第１ＣＰ情報入力部と、
   基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として値−ｓ_０ ^ＫＰ（ｓ_０ ^ＫＰ：＝ｈ^→ＫＰ・（ｆ^→ＫＰ）^Ｔ，ｈ^→ＫＰ及びｆ^→ＫＰはｒ^ＫＰ個の要素を有するベクトル）を設定し、基底ベクトルｂ^＊ _０，ｐ’（ｐ’は前記ｐとは異なる所定の値）の係数として乱数δ^ＣＰを設定し、基底ベクトルｂ^＊ _０，ｑ（ｑは前記ｐ及び前記ｐ’とは異なる所定の値）の係数として所定の値κを設定して要素ｋ^＊ _０を生成する主復号鍵生成部と、
   前記ｆ^→ＫＰと、前記第１ＫＰ情報入力部が入力した行列Ｍ^ＫＰに基づき生成される列ベクトル（ｓ^→ＫＰ）^Ｔ：＝（ｓ_１ ^ＫＰ，．．．，ｓ_ｉ ^ＫＰ）^Ｔ：＝Ｍ^ＫＰ・（ｆ^→ＫＰ）^Ｔ（ｉ＝Ｌ^ＫＰ）と、乱数θ_ｉ ^ＫＰ（ｉ＝１，．．．，Ｌ^ＫＰ）とに基づき、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについての要素ｋ^＊ _ｉ ^ＫＰを生成するＫＰ復号鍵生成部であって、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについて、変数ρ^ＫＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、その組の識別情報ｔが示す基底Ｂ^＊ _ｔ ^ＫＰの基底ベクトルｂ^＊ _ｔ，１ ^ＫＰの係数としてｓ_ｉ ^ＫＰ＋θ_ｉ ^ＫＰｖ_ｉ，１ ^ＫＰを設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔ ^ＫＰの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＫＰの係数としてθ_ｉ ^ＫＰｖ_ｉ，ｉ’ ^ＫＰを設定して要素ｋ^＊ _ｉ ^ＫＰを生成し、変数ρ^ＫＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔ ^ＫＰの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＫＰの係数としてｓ_ｉ ^ＫＰｖ_ｉ，ｉ’ ^ＫＰを設定して要素ｋ^＊ _ｉ ^ＫＰを生成するＫＰ復号鍵生成部と、
   前記第１ＣＰ情報入力部が入力した属性集合Γ^ＣＰに含まれる各識別情報ｔについての要素ｋ^＊ _ｔ ^ＣＰを生成するＣＰ復号鍵生成部であって、基底Ｂ^＊ _ｔ ^ＣＰの基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＣＰ（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ）の係数として前記乱数δ^ＣＰ倍したｘ_ｔ，ｉ’ ^ＣＰを設定して要素ｋ^＊ _ｔ ^ＣＰを生成するＣＰ復号鍵生成部と
   を備え、
   前記暗号化装置は、
   ｔ＝１，．．．，ｄ^ＫＰの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ ^ＫＰ：＝（ｘ_ｔ，ｉ’ ^ＫＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＫＰ）とを有する属性集合Γ^ＫＰを入力する第２ＫＰ情報入力部と、
   ｉ＝１，．．．，Ｌ^ＣＰ（Ｌ^ＣＰは１以上の整数）の各整数ｉについての変数ρ^ＣＰ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄ^ＣＰのいずれかの整数）と、属性ベクトルｖ^→ _ｉ ^ＣＰ：＝（ｖ_ｉ，ｉ’ ^ＣＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ）との肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）のいずれかである変数ρ^ＣＰ（ｉ）と、Ｌ^ＣＰ行ｒ^ＣＰ列（ｒ^ＣＰは１以上の整数）の所定の行列Ｍ^ＣＰとを入力する第２ＣＰ情報入力部と、
   基底Ｂ_０の基底ベクトルｂ_０，ｐの係数として乱数ω^ＫＰを設定し、基底ベクトルｂ_０，ｐ’の係数として値−ｓ_０ ^ＣＰ（ｓ_０ ^ＣＰ：＝ｈ^→ＣＰ・（ｆ^→ＣＰ）^Ｔ，ｈ^→ＣＰ及びｆ^→ＣＰはｒ^ＣＰ個の要素を有するベクトル）を設定し、基底ベクトルｂ_０，ｑの係数として乱数ζを設定して要素ｃ_０を生成する主暗号化データ生成部と、
   前記第２ＫＰ情報入力部が入力した属性集合Γ^ＫＰに含まれる各識別情報ｔについての要素ｃ_ｔ ^ＫＰを生成するＫＰ暗号化データ生成部であって、基底Ｂ_ｔ ^ＫＰの基底ベクトルｂ_ｔ，ｉ’ ^ＫＰ（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数ω^ＫＰ倍したｘ_ｔ，ｉ’ ^ＫＰを設定して要素ｃ_ｔ ^ＫＰを生成するＫＰ暗号化データ生成部と、
   前記ｆ^→ＣＰと、前記第２ＣＰ情報入力部が入力した行列Ｍ^ＣＰとに基づき生成される列ベクトル（ｓ^→ＣＰ）^Ｔ：＝（ｓ_１ ^ＣＰ，．．．，ｓ_ｉ ^ＣＰ）^Ｔ：＝Ｍ^ＣＰ・（ｆ^→ＣＰ）^Ｔ（ｉ＝Ｌ^ＣＰ）と、乱数θ_ｉ ^ＣＰ（ｉ＝１，．．．，Ｌ^ＣＰ）とに基づき、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについての要素ｃ_ｉ ^ＣＰを生成するＣＰ暗号化データ生成部であって、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについて、変数ρ^ＣＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔ ^ＣＰの基底ベクトルｂ_ｔ，１ ^ＣＰの係数としてｓ_ｉ ^ＣＰ＋θ_ｉ ^ＣＰｖ_ｉ，１ ^ＣＰを設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔ ^ＣＰの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’ ^ＣＰの係数としてθ_ｉ ^ＣＰｖ_ｉ，ｉ’ ^ＣＰを設定して要素ｃ_ｉ ^ＣＰを生成し、変数ρ^ＣＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔ ^ＣＰの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’ ^ＣＰの係数としてｓ_ｉ ^ＣＰｖ_ｉ，ｉ’ ^ＣＰを設定して要素ｃ_ｉ ^ＣＰを生成するＣＰ暗号化データ生成部と
   を備え、
   前記復号装置は、
   前記主暗号化データ生成部が生成した要素ｃ_０と、前記ＫＰ暗号化データ生成部が生成した要素ｃ_ｔ ^ＫＰと、前記ＣＰ暗号化データ生成部が生成した要素ｃ_ｉ ^ＣＰと、前記属性集合Γ^ＫＰと、前記変数ρ^ＣＰ（ｉ）とを含む暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を取得するデータ取得部と、
   前記主復号鍵生成部が生成した要素ｋ^＊ _０と、前記ＫＰ復号鍵生成部が生成した要素ｋ^＊ _ｉ ^ＫＰと、前記ＣＰ復号鍵生成部が生成した要素ｋ^＊ _ｔ ^ＣＰと、前記変数ρ^ＫＰ（ｉ）と、前記属性集合Γ^ＣＰとを含む復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}を取得する復号鍵取得部と、
   前記データ取得部が取得した暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれる属性集合Γ^ＫＰと、前記復号鍵取得部が取得した復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる変数ρ^ＫＰ（ｉ）とに基づき、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉのうち、変数ρ^ＫＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）であり、かつ、その組のｖ^→ _ｉ ^ＫＰと、その組の識別情報ｔが示すΓ^ＫＰに含まれるｘ^→ _ｔ ^ＫＰとの内積が０となるｉと、変数ρ^ＫＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）であり、かつ、その組のｖ^→ _ｉ ^ＫＰと、その組の識別情報ｔが示すΓ^ＫＰに含まれるｘ^→ _ｔ ^ＫＰとの内積が０とならないｉとの集合Ｉ^ＫＰを特定するとともに、特定した集合Ｉ^ＫＰに含まれるｉについて、α_ｉ ^ＫＰＭ_ｉ ^ＫＰを合計した場合に前記ｈ→^ＫＰとなる補完係数α_ｉ ^ＫＰを計算するＫＰ補完係数計算部と、
   前記暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれるｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについての変数ρ^ＣＰ（ｉ）と、前記復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる属性集合Γ^ＣＰとに基づき、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉのうち、変数ρ^ＣＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）であり、かつ、その組のｖ^→ _ｉ ^ＣＰと、その組の識別情報ｔが示すΓ^ＣＰに含まれるｘ^→ _ｔ ^ＣＰとの内積が０となるｉと、変数ρ^ＣＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）であり、かつ、その組のｖ^→ _ｉ ^ＣＰと、その組の識別情報ｔが示すΓ^ＣＰに含まれるｘ^→ _ｔ ^ＣＰとの内積が０とならないｉとの集合Ｉ^ＣＰを特定するとともに、特定した集合Ｉ^ＣＰに含まれるｉについて、α_ｉ ^ＣＰＭ_ｉ ^ＣＰを合計した場合に前記ｈ→^ＣＰとなる補完係数α_ｉ ^ＣＰを計算するＣＰ補完係数計算部と、
   前記暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれる要素ｃ_０と要素ｃ_ｔ ^ＫＰと要素ｃ_ｉ ^ＣＰと、前記復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる要素ｋ^＊ _０と要素ｋ^＊ _ｉ ^ＫＰと要素ｋ^＊ _ｔ ^ＣＰとについて、前記ＫＰ補完係数計算部が特定した集合Ｉ^ＫＰと、前記ＫＰ補完係数計算部が計算した補完係数α_ｉ ^ＫＰと、前記ＣＰ補完係数計算部が特定した集合Ｉ^ＣＰと、前記ＣＰ補完係数計算部が計算した補完係数α_ｉ ^ＣＰとに基づき、数１に示すペアリング演算を行い値Ｋを計算するペアリング演算部と
   を備えることを特徴とする暗号処理システム。
   

   
2. 前記暗号処理システムは、
   少なくとも基底ベクトルｂ_０，ｉ（ｉ＝１，２，．．．，２＋ｕ_０，２＋ｕ_０＋１，．．．，２＋ｕ_０＋１＋ｗ_０，．．．，２＋ｕ_０＋１＋ｚ_０）を有する基底Ｂ_０と、
   少なくとも基底ベクトルｂ^＊ _０，ｉ（ｉ＝１，２，．．．，２＋ｕ_０，２＋ｕ_０＋１，．．．，２＋ｕ_０＋１＋ｗ_０，．．．，２＋ｕ_０＋１＋ｚ_０）を有する基底Ｂ^＊ _０と、
   少なくとも基底ベクトルｂ_ｔ，ｉ ^ＫＰ（ｉ＝１，．．．，ｎ_ｔ ^ＫＰ，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰ，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰ＋ｚ_ｔ ^ＫＰ）（ｕ_ｔ ^ＫＰ，ｗ_ｔ ^ＫＰ，ｚ_ｔ ^ＫＰは１以上の整数、）を有する基底Ｂ_ｔ ^ＫＰ（ｔ＝１，．．．，ｄ）と、
   少なくとも基底ベクトルｂ^＊ _ｔ，ｉ ^ＫＰ（ｉ＝１，．．．，ｎ_ｔ ^ＫＰ，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰ，．．．，ｎ_ｔ ^ＫＰ＋ｕ_ｔ ^ＫＰ＋ｗ_ｔ ^ＫＰ＋ｚ_ｔ ^ＫＰ）を有する基底Ｂ^＊ _ｔ ^ＫＰ（ｔ＝１，．．．，ｄ^ＫＰ）と、
   少なくとも基底ベクトルｂ_ｔ，ｉ ^ＣＰ（ｉ＝１，．．．，ｎ_ｔ ^ＣＰ，．．．，ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ，．．．，ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰ，．．．，ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰ＋ｚ_ｔ ^ＣＰ）（ｕ_ｔ ^ＣＰ，ｗ_ｔ ^ＣＰ，ｚ_ｔ ^ＣＰは１以上の整数、）を有する基底Ｂ_ｔ ^ＣＰ（ｔ＝１，．．．，ｄ）と、
   少なくとも基底ベクトルｂ^＊ _ｔ，ｉ ^ＣＰ（ｉ＝１，．．．，ｎ_ｔ ^ＣＰ，．．．，ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ，．．．，ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰ，．．．，ｎ_ｔ ^ＣＰ＋ｕ_ｔ ^ＣＰ＋ｗ_ｔ ^ＣＰ＋ｚ_ｔ ^ＣＰ）を有する基底Ｂ^＊ _ｔ ^ＣＰ（ｔ＝１，．．．，ｄ^ＣＰ）と
   を用いて暗号処理を実行し、
   前記鍵生成装置では、
   前記主復号鍵生成部は、乱数δ^ＣＰ，η_０，ｉ（ｉ＝１，．．．，ｗ_０）と所定の値κとに基づき数２に示す要素ｋ^＊ _０を生成し、
   前記ＫＰ復号鍵生成部は、前記変数ρ^ＫＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、乱数θ_ｉ ^ＫＰ，η_ｉ，ｉ’ ^ＫＰ（ｉ＝１，．．．，Ｌ^ＫＰ，ｉ’＝１，．．．，ｗ_ｔ ^ＫＰ）に基づき数３に示す要素ｋ^＊ _ｉ ^ＫＰを生成し、変数ρ^ＫＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、乱数η_ｉ，ｉ’ ^ＫＰ（ｉ＝１，．．．，Ｌ^ＫＰ，ｉ’＝１，．．．，ｗ_ｔ ^ＫＰ）に基づき数４に示す要素ｋ^＊ _ｉ ^ＫＰを生成し、
   前記ＣＰ復号鍵生成部は、前記乱数δ^ＣＰと乱数η_ｔ，ｉ ^ＣＰ（ｉ＝１，．．．，ｗ_ｔ ^ＣＰ）に基づき数５に示す要素ｋ^＊ _ｔ ^ＣＰとを生成し、
   前記暗号化装置では、
   前記主暗号化データ生成部は、前記乱数ω^ＫＰと乱数ζ，φ_０，ｉ（ｉ＝１，．．．，ｚ_０）とに基づき数６に示す要素ｃ_０を生成し、
   前記ＫＰ暗号化データ生成部は、前記乱数ω^ＫＰと乱数φ_ｔ，ｉ ^ＫＰ（ｉ＝１，．．．，ｚ_ｔ ^ＫＰ）に基づき数７に示す要素ｃ_ｔ ^ＫＰとを生成し、
   前記ＣＰ暗号化データ生成部は、前記変数ρ^ＣＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、乱数θ_ｉ ^ＣＰ，φ_ｉ，ｉ’ ^ＣＰ（ｉ＝１，．．．，Ｌ^ＣＰ，ｉ’＝１，．．．，ｚ_ｔ ^ＣＰ）に基づき数８に示す要素ｃ_ｉ ^ＣＰを生成し、変数ρ^ＣＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、乱数φ_ｉ，ｉ’ ^ＣＰ（ｉ＝１，．．．，Ｌ^ＣＰ，ｉ’＝１，．．．，ｚ_ｔ ^ＣＰ）に基づき数９に示す要素ｃ_ｉ ^ＣＰを生成する
   ことを特徴とする請求項１に記載の暗号処理システム。
   

   

   

   

   

   

   

   

   
3. 前記暗号化装置は、さらに、
   所定の値ｉについてｇ_Ｔ＝ｅ（ｂ_０，ｉ，ｂ^＊ _０，ｉ）であり、ｔ＝１，．．．，ｄ^ＫＰの各整数ｔと所定の値ｉとについてｇ_Ｔ＝ｅ（ｂ_ｔ，ｉ，ｂ^＊ _ｔ，ｉ）であり、ｔ＝１，．．．，ｄ^ＣＰの各整数ｔと所定の値ｉとについてｇ_Ｔ＝ｅ（ｂ_ｔ，ｉ，ｂ^＊ _ｔ，ｉ）である値ｇ_Ｔを用いて、メッセージｍを埋め込んだ要素ｃ_ｄ＋１＝ｇ_Ｔ ^ζｍを生成するメッセージ暗号化データ生成部
   を備え、
   前記復号装置では、
   前記データ取得部は、さらに前記要素ｃ_ｄ＋１を含む暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を取得し、
   前記復号装置は、さらに、
   前記暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれる前記要素ｃ_ｄ＋１を、前記ペアリング演算部が計算した値Ｋで除して、前記メッセージｍを計算するメッセージ計算部
   を備えることを特徴とする請求項１又は２に記載の暗号処理システム。
4. 基底Ｂ_０及び基底Ｂ_０ ^＊と、ｔ＝１，．．．，ｄ^ＫＰ（ｄ^ＫＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＫＰ及び基底Ｂ^＊ _ｔ ^ＫＰと、ｔ＝１，．．．，ｄ^ＣＰ（ｄ^ＣＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＣＰ及び基底Ｂ^＊ _ｔ ^ＣＰとを用いて暗号処理を実行する暗号処理システムにおいて、復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}を生成する鍵生成装置であり、
   ｉ＝１，．．．，Ｌ^ＫＰ（Ｌ^ＫＰは１以上の整数）の各整数ｉについての変数ρ^ＫＰ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄ^ＫＰのいずれかの整数）と、属性ベクトルｖ^→ _ｉ ^ＫＰ：＝（ｖ_ｉ，ｉ’ ^ＫＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＫＰ，ｎ_ｔ ^ＫＰは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）のいずれかである変数ρ^ＫＰ（ｉ）と、Ｌ^ＫＰ行ｒ^ＫＰ列（ｒ^ＫＰは１以上の整数）の所定の行列Ｍ^ＫＰとを入力する第１ＫＰ情報入力部と、
   ｔ＝１，．．．，ｄ^ＣＰの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ ^ＣＰ：＝（ｘ_ｔ，ｉ’ ^ＣＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ，ｎ_ｔ ^ＣＰは１以上の整数）とを有する属性集合Γ^ＣＰを入力する第１ＣＰ情報入力部と、
   基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として値−ｓ_０ ^ＫＰ（ｓ_０ ^ＫＰ：＝ｈ^→ＫＰ・（ｆ^→ＫＰ）^Ｔ，ｈ^→ＫＰ及びｆ^→ＫＰはｒ^ＫＰ個の要素を有するベクトル）を設定し、基底ベクトルｂ^＊ _０，ｐ’（ｐ’は前記ｐとは異なる所定の値）の係数として乱数δ^ＣＰを設定し、基底ベクトルｂ^＊ _０，ｑ（ｑは前記ｐ及び前記ｐ’とは異なる所定の値）の係数として所定の値κを設定して復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}の要素ｋ^＊ _０を生成する主復号鍵生成部と、
   前記ｆ^→ＫＰと、前記第１ＫＰ情報入力部が入力した行列Ｍ^ＫＰに基づき生成される列ベクトル（ｓ^→ＫＰ）^Ｔ：＝（ｓ_１ ^ＫＰ，．．．，ｓ_ｉ ^ＫＰ）^Ｔ：＝Ｍ^ＫＰ・（ｆ^→ＫＰ）^Ｔ（ｉ＝Ｌ^ＫＰ）と、乱数θ_ｉ ^ＫＰ（ｉ＝１，．．．，Ｌ^ＫＰ）とに基づき、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについての要素ｋ^＊ _ｉ ^ＫＰを生成するＫＰ復号鍵生成部であって、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについて、変数ρ^ＫＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、その組の識別情報ｔが示す基底Ｂ^＊ _ｔ ^ＫＰの基底ベクトルｂ^＊ _ｔ，１ ^ＫＰの係数としてｓ_ｉ ^ＫＰ＋θ_ｉ ^ＫＰｖ_ｉ，１ ^ＫＰを設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔ ^ＫＰの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＫＰの係数としてθ_ｉ ^ＫＰｖ_ｉ，ｉ’ ^ＫＰを設定して復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}の要素ｋ^＊ _ｉ ^ＫＰを生成し、変数ρ^ＫＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔ ^ＫＰの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＫＰの係数としてｓ_ｉ ^ＫＰｖ_ｉ，ｉ’ ^ＫＰを設定して復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}の要素ｋ^＊ _ｉ ^ＫＰを生成するＫＰ復号鍵生成部と、
   前記第１ＣＰ情報入力部が入力した属性集合Γ^ＣＰに含まれる各識別情報ｔについての要素ｋ^＊ _ｔ ^ＣＰを生成するＣＰ復号鍵生成部であって、基底Ｂ^＊ _ｔ ^ＣＰの基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＣＰ（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ）の係数として前記乱数δ^ＣＰ倍したｘ_ｔ，ｉ’ ^ＣＰを設定して復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}の要素ｋ^＊ _ｔ ^ＣＰを生成するＣＰ復号鍵生成部と
   を備えることを特徴とする鍵生成装置。
5. 基底Ｂ_０及び基底Ｂ_０ ^＊と、ｔ＝１，．．．，ｄ^ＫＰ（ｄ^ＫＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＫＰ及び基底Ｂ^＊ _ｔ ^ＫＰと、ｔ＝１，．．．，ｄ^ＣＰ（ｄ^ＣＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＣＰ及び基底Ｂ^＊ _ｔ ^ＣＰとを用いて暗号処理を実行する暗号処理システムにおいて、暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を生成する暗号化装置であり、
   ｔ＝１，．．．，ｄ^ＫＰの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ ^ＫＰ：＝（ｘ_ｔ，ｉ’ ^ＫＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＫＰ）とを有する属性集合Γ^ＫＰを入力する第２ＫＰ情報入力部と、
   ｉ＝１，．．．，Ｌ^ＣＰ（Ｌ^ＣＰは１以上の整数）の各整数ｉについての変数ρ^ＣＰ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄ^ＣＰのいずれかの整数）と、属性ベクトルｖ^→ _ｉ ^ＣＰ：＝（ｖ_ｉ，ｉ’ ^ＣＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ）との肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）のいずれかである変数ρ^ＣＰ（ｉ）と、Ｌ^ＣＰ行ｒ^ＣＰ列（ｒ^ＣＰは１以上の整数）の所定の行列Ｍ^ＣＰとを入力する第２ＣＰ情報入力部と、
   基底Ｂ_０の基底ベクトルｂ_０，ｐの係数として乱数ω^ＫＰを設定し、基底ベクトルｂ_０，ｐ’の係数として値−ｓ_０ ^ＣＰ（ｓ_０ ^ＣＰ：＝ｈ^→ＣＰ・（ｆ^→ＣＰ）^Ｔ，ｈ^→ＣＰ及びｆ^→ＣＰはｒ^ＣＰ個の要素を有するベクトル）を設定し、基底ベクトルｂ_０，ｑの係数として乱数ζを設定して暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}の要素ｃ_０を生成する主暗号化データ生成部と、
   前記第２ＫＰ情報入力部が入力した属性集合Γ^ＫＰに含まれる各識別情報ｔについての要素ｃ_ｔ ^ＫＰを生成するＫＰ暗号化データ生成部であって、基底Ｂ_ｔ ^ＫＰの基底ベクトルｂ_ｔ，ｉ’ ^ＫＰ（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数ω^ＫＰ倍したｘ_ｔ，ｉ’ ^ＫＰを設定して暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}の要素ｃ_ｔ ^ＫＰを生成するＫＰ暗号化データ生成部と、
   前記ｆ^→ＣＰと、前記第２ＣＰ情報入力部が入力した行列Ｍ^ＣＰとに基づき生成される列ベクトル（ｓ^→ＣＰ）^Ｔ：＝（ｓ_１ ^ＣＰ，．．．，ｓ_ｉ ^ＣＰ）^Ｔ：＝Ｍ^ＣＰ・（ｆ^→ＣＰ）^Ｔ（ｉ＝Ｌ^ＣＰ）と、乱数θ_ｉ ^ＣＰ（ｉ＝１，．．．，Ｌ^ＣＰ）とに基づき、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについての要素ｃ_ｉ ^ＣＰを生成するＣＰ暗号化データ生成部であって、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについて、変数ρ^ＣＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔ ^ＣＰの基底ベクトルｂ_ｔ，１ ^ＣＰの係数としてｓ_ｉ ^ＣＰ＋θ_ｉ ^ＣＰｖ_ｉ，１ ^ＣＰを設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔ ^ＣＰの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’ ^ＣＰの係数としてθ_ｉ ^ＣＰｖ_ｉ，ｉ’ ^ＣＰを設定して暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}の要素ｃ_ｉ ^ＣＰを生成し、変数ρ^ＣＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔ ^ＣＰの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’ ^ＣＰの係数としてｓ_ｉ ^ＣＰｖ_ｉ，ｉ’ ^ＣＰを設定して暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}の要素ｃ_ｉ ^ＣＰを生成するＣＰ暗号化データ生成部と
   を備えることを特徴とする暗号化装置。
6. 基底Ｂ_０及び基底Ｂ_０ ^＊と、ｔ＝１，．．．，ｄ^ＫＰ（ｄ^ＫＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＫＰ及び基底Ｂ^＊ _ｔ ^ＫＰと、ｔ＝１，．．．，ｄ^ＣＰ（ｄ^ＣＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＣＰ及び基底Ｂ^＊ _ｔ ^ＣＰとを用いて暗号処理を実行する暗号処理システムにおいて、暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}で復号する復号装置であり、
   ｔ＝１，．．．，ｄ^ＫＰの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ ^ＫＰ：＝（ｘ_ｔ，ｉ’ ^ＫＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＫＰ，ｎ_ｔ ^ＫＰは１以上の整数）とを有する属性集合Γ^ＫＰと、
   ｉ＝１，．．．，Ｌ^ＣＰ（Ｌ^ＣＰは１以上の整数）の各整数ｉについての変数ρ^ＣＰ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄ^ＣＰのいずれかの整数）と、属性ベクトルｖ^→ _ｉ ^ＣＰ：＝（ｖ_ｉ，ｉ’ ^ＣＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ，ｎ_ｔ ^ＣＰは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）のいずれかである変数ρ^ＣＰ（ｉ）と、
   Ｌ^ＣＰ行ｒ^ＣＰ列（ｒ^ＣＰは１以上の整数）の所定の行列Ｍ^ＣＰと、
   基底Ｂ_０の基底ベクトルｂ_０，ｐの係数として乱数ω^ＫＰが設定され、基底ベクトルｂ_０，ｐ’の係数として値−ｓ_０ ^ＣＰ（ｓ_０ ^ＣＰ：＝ｈ^→ＣＰ・（ｆ^→ＣＰ）^Ｔ，ｈ^→ＣＰ及びｆ^→ＣＰはｒ^ＣＰ個の要素を有するベクトル）が設定され、基底ベクトルｂ_０，ｑの係数として乱数ζが設定された要素ｃ_０と、
   前記属性集合Γ^ＫＰに含まれる各識別情報ｔについて、基底Ｂ_ｔ ^ＫＰの基底ベクトルｂ_ｔ，ｉ’ ^ＫＰ（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数ω^ＫＰ倍したｘ_ｔ，ｉ’ ^ＫＰが設定された要素ｃ_ｔ ^ＫＰと、
   前記ｆ^→ＣＰと、前記行列Ｍ^ＣＰとに基づき生成される列ベクトル（ｓ^→ＣＰ）^Ｔ：＝（ｓ_１ ^ＣＰ，．．．，ｓ_ｉ ^ＣＰ）^Ｔ：＝Ｍ^ＣＰ・（ｆ^→ＣＰ）^Ｔ（ｉ＝Ｌ^ＣＰ）と、乱数θ_ｉ ^ＣＰ（ｉ＝１，．．．，Ｌ^ＣＰ）とに基づき、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについて生成された要素ｃ_ｉ ^ＣＰであって、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについて、変数ρ^ＣＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔ ^ＣＰの基底ベクトルｂ_ｔ，１ ^ＣＰの係数としてｓ_ｉ ^ＣＰ＋θ_ｉ ^ＣＰｖ_ｉ，１ ^ＣＰが設定されるとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔ ^ＣＰの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’ ^ＣＰの係数としてθ_ｉ ^ＣＰｖ_ｉ，ｉ’ ^ＣＰが設定され、変数ρ^ＣＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔ ^ＣＰの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’ ^ＣＰの係数としてｓ_ｉ ^ＣＰｖ_ｉ，ｉ’ ^ＣＰが設定された要素ｃ_ｉ ^ＣＰと
   を含む暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を取得するデータ取得部と、
   ｉ＝１，．．．，Ｌ^ＫＰ（Ｌ^ＫＰは１以上の整数）の各整数ｉについての変数ρ^ＫＰ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄ^ＫＰのいずれかの整数）と、属性ベクトルｖ^→ _ｉ ^ＫＰ：＝（ｖ_ｉ，ｉ’ ^ＫＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＫＰ）との肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）のいずれかである変数ρ^ＫＰ（ｉ）と、
   Ｌ^ＫＰ行ｒ^ＫＰ列（ｒ^ＫＰは１以上の整数）の所定の行列Ｍ^ＫＰと、
   ｔ＝１，．．．，ｄ^ＣＰの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ ^ＣＰ：＝（ｘ_ｔ，ｉ’ ^ＣＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ）とを有する属性集合Γ^ＣＰと
   基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として値−ｓ_０ ^ＫＰ（ｓ_０ ^ＫＰ：＝ｈ^→ＫＰ・（ｆ^→ＫＰ）^Ｔ，ｈ^→ＫＰ及びｆ^→ＫＰはｒ^ＫＰ個の要素を有するベクトル）が設定され、基底ベクトルｂ^＊ _０，ｐ’（ｐ’は前記ｐとは異なる所定の値）の係数として乱数δ^ＣＰが設定され、基底ベクトルｂ^＊ _０，ｑ（ｑは前記ｐ及び前記ｐ’とは異なる所定の値）の係数として所定の値κが設定された要素ｋ^＊ _０と、
   前記ｆ^→ＫＰと、前記第１ＫＰ情報入力部が入力した行列Ｍ^ＫＰに基づき生成される列ベクトル（ｓ^→ＫＰ）^Ｔ：＝（ｓ_１ ^ＫＰ，．．．，ｓ_ｉ ^ＫＰ）^Ｔ：＝Ｍ^ＫＰ・（ｆ^→ＫＰ）^Ｔ（ｉ＝Ｌ^ＫＰ）と、乱数θ_ｉ ^ＫＰ（ｉ＝１，．．．，Ｌ^ＫＰ）とに基づき、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについて生成された要素ｋ^＊ _ｉ ^ＫＰであって、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについて、変数ρ^ＫＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、その組の識別情報ｔが示す基底Ｂ^＊ _ｔ ^ＫＰの基底ベクトルｂ^＊ _ｔ，１ ^ＫＰの係数としてｓ_ｉ ^ＫＰ＋θ_ｉ ^ＫＰｖ_ｉ，１ ^ＫＰが設定されるとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔ ^ＫＰの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＫＰの係数としてθ_ｉ ^ＫＰｖ_ｉ，ｉ’ ^ＫＰが設定され、変数ρ^ＫＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔ ^ＫＰの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＫＰの係数としてｓ_ｉ ^ＫＰｖ_ｉ，ｉ’ ^ＫＰが設定された要素ｋ^＊ _ｉ ^ＫＰと、
   前記属性集合Γ^ＣＰに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔ ^ＣＰの基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＣＰ（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ）の係数として前記乱数δ^ＣＰ倍したｘ_ｔ，ｉ’ ^ＣＰが設定された要素ｋ^＊ _ｔ ^ＣＰと
   を含む復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}を取得する復号鍵取得部と、
   前記データ取得部が取得した暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれる属性集合Γ^ＫＰと、前記復号鍵取得部が取得した復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる変数ρ^ＫＰ（ｉ）とに基づき、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉのうち、変数ρ^ＫＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）であり、かつ、その組のｖ^→ _ｉ ^ＫＰと、その組の識別情報ｔが示すΓ^ＫＰに含まれるｘ^→ _ｔ ^ＫＰとの内積が０となるｉと、変数ρ^ＫＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）であり、かつ、その組のｖ^→ _ｉ ^ＫＰと、その組の識別情報ｔが示すΓ^ＫＰに含まれるｘ^→ _ｔ ^ＫＰとの内積が０とならないｉとの集合Ｉ^ＫＰを特定するとともに、特定した集合Ｉ^ＫＰに含まれるｉについて、α_ｉ ^ＫＰＭ_ｉ ^ＫＰを合計した場合に前記ｈ→^ＫＰとなる補完係数α_ｉ ^ＫＰを計算するＫＰ補完係数計算部と、
   前記暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれるｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについての変数ρ^ＣＰ（ｉ）と、前記復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる属性集合Γ^ＣＰとに基づき、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉのうち、変数ρ^ＣＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）であり、かつ、その組のｖ^→ _ｉ ^ＣＰと、その組の識別情報ｔが示すΓ^ＣＰに含まれるｘ^→ _ｔ ^ＣＰとの内積が０となるｉと、変数ρ^ＣＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）であり、かつ、その組のｖ^→ _ｉ ^ＣＰと、その組の識別情報ｔが示すΓ^ＣＰに含まれるｘ^→ _ｔ ^ＣＰとの内積が０とならないｉとの集合Ｉ^ＣＰを特定するとともに、特定した集合Ｉ^ＣＰに含まれるｉについて、α_ｉ ^ＣＰＭ_ｉ ^ＣＰを合計した場合に前記ｈ→^ＣＰとなる補完係数α_ｉ ^ＣＰを計算するＣＰ補完係数計算部と、
   前記暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれる要素ｃ_０と要素ｃ_ｔ ^ＫＰと要素ｃ_ｉ ^ＣＰと、前記復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる要素ｋ^＊ _０と要素ｋ^＊ _ｉ ^ＫＰと要素ｋ^＊ _ｔ ^ＣＰとについて、前記ＫＰ補完係数計算部が特定した集合Ｉ^ＫＰと、前記ＫＰ補完係数計算部が計算した補完係数α_ｉ ^ＫＰと、前記ＣＰ補完係数計算部が特定した集合Ｉ^ＣＰと、前記ＣＰ補完係数計算部が計算した補完係数α_ｉ ^ＣＰとに基づき、数１０に示すペアリング演算を行い値Ｋを計算するペアリング演算部と
   を備えることを特徴とする復号装置。
   

   
7. 基底Ｂ_０及び基底Ｂ_０ ^＊と、ｔ＝１，．．．，ｄ^ＫＰ（ｄ^ＫＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＫＰ及び基底Ｂ^＊ _ｔ ^ＫＰと、ｔ＝１，．．．，ｄ^ＣＰ（ｄ^ＣＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＣＰ及び基底Ｂ^＊ _ｔ ^ＣＰとを用いた暗号処理方法であり、
   鍵生成装置が、ｉ＝１，．．．，Ｌ^ＫＰ（Ｌ^ＫＰは１以上の整数）の各整数ｉについての変数ρ^ＫＰ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄ^ＫＰのいずれかの整数）と、属性ベクトルｖ^→ _ｉ ^ＫＰ：＝（ｖ_ｉ，ｉ’ ^ＫＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＫＰ，ｎ_ｔ ^ＫＰは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）のいずれかである変数ρ^ＫＰ（ｉ）と、Ｌ^ＫＰ行ｒ^ＫＰ列（ｒ^ＫＰは１以上の整数）の所定の行列Ｍ^ＫＰとを入力する第１ＫＰ情報入力工程と、
   前記鍵生成装置が、ｔ＝１，．．．，ｄ^ＣＰの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ ^ＣＰ：＝（ｘ_ｔ，ｉ’ ^ＣＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ，ｎ_ｔ ^ＣＰは１以上の整数）とを有する属性集合Γ^ＣＰを入力する第１ＣＰ情報入力工程と、
   前記鍵生成装置が、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として値−ｓ_０ ^ＫＰ（ｓ_０ ^ＫＰ：＝ｈ^→ＫＰ・（ｆ^→ＫＰ）^Ｔ，ｈ^→ＫＰ及びｆ^→ＫＰはｒ^ＫＰ個の要素を有するベクトル）を設定し、基底ベクトルｂ^＊ _０，ｐ’（ｐ’は前記ｐとは異なる所定の値）の係数として乱数δ^ＣＰを設定し、基底ベクトルｂ^＊ _０，ｑ（ｑは前記ｐ及び前記ｐ’とは異なる所定の値）の係数として所定の値κを設定して要素ｋ^＊ _０を生成する主復号鍵生成工程と、
   前記鍵生成装置が、前記ｆ^→ＫＰと、前記第１ＫＰ情報入力工程で入力した行列Ｍ^ＫＰに基づき生成される列ベクトル（ｓ^→ＫＰ）^Ｔ：＝（ｓ_１ ^ＫＰ，．．．，ｓ_ｉ ^ＫＰ）^Ｔ：＝Ｍ^ＫＰ・（ｆ^→ＫＰ）^Ｔ（ｉ＝Ｌ^ＫＰ）と、乱数θ_ｉ ^ＫＰ（ｉ＝１，．．．，Ｌ^ＫＰ）とに基づき、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについての要素ｋ^＊ _ｉ ^ＫＰを生成するＫＰ復号鍵生成工程であって、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについて、変数ρ^ＫＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、その組の識別情報ｔが示す基底Ｂ^＊ _ｔ ^ＫＰの基底ベクトルｂ^＊ _ｔ，１ ^ＫＰの係数としてｓ_ｉ ^ＫＰ＋θ_ｉ ^ＫＰｖ_ｉ，１ ^ＫＰを設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔ ^ＫＰの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＫＰの係数としてθ_ｉ ^ＫＰｖ_ｉ，ｉ’ ^ＫＰを設定して要素ｋ^＊ _ｉ ^ＫＰを生成し、変数ρ^ＫＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔ ^ＫＰの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＫＰの係数としてｓ_ｉ ^ＫＰｖ_ｉ，ｉ’ ^ＫＰを設定して要素ｋ^＊ _ｉ ^ＫＰを生成するＫＰ復号鍵生成工程と、
   前記鍵生成装置が、前記第１ＣＰ情報入力工程で入力した属性集合Γ^ＣＰに含まれる各識別情報ｔについての要素ｋ^＊ _ｔ ^ＣＰを生成するＣＰ復号鍵生成工程であって、基底Ｂ^＊ _ｔ ^ＣＰの基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＣＰ（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ）の係数として前記乱数δ^ＣＰ倍したｘ_ｔ，ｉ’ ^ＣＰを設定して要素ｋ^＊ _ｔ ^ＣＰを生成するＣＰ復号鍵生成工程と、
   暗号化装置が、ｔ＝１，．．．，ｄ^ＫＰの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ ^ＫＰ：＝（ｘ_ｔ，ｉ’ ^ＫＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＫＰ）とを有する属性集合Γ^ＫＰを入力する第２ＫＰ情報入力工程と、
   前記暗号化装置が、ｉ＝１，．．．，Ｌ^ＣＰ（Ｌ^ＣＰは１以上の整数）の各整数ｉについての変数ρ^ＣＰ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄ^ＣＰのいずれかの整数）と、属性ベクトルｖ^→ _ｉ ^ＣＰ：＝（ｖ_ｉ，ｉ’ ^ＣＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ）との肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）のいずれかである変数ρ^ＣＰ（ｉ）と、Ｌ^ＣＰ行ｒ^ＣＰ列（ｒ^ＣＰは１以上の整数）の所定の行列Ｍ^ＣＰとを入力する第２ＣＰ情報入力工程と、
   前記暗号化装置が、基底Ｂ_０の基底ベクトルｂ_０，ｐの係数として乱数ω^ＫＰを設定し、基底ベクトルｂ_０，ｐ’の係数として値−ｓ_０ ^ＣＰ（ｓ_０ ^ＣＰ：＝ｈ^→ＣＰ・（ｆ^→ＣＰ）^Ｔ，ｈ^→ＣＰ及びｆ^→ＣＰはｒ^ＣＰ個の要素を有するベクトル）を設定し、基底ベクトルｂ_０，ｑの係数として乱数ζを設定して要素ｃ_０を生成する主暗号化データ生成工程と、
   前記暗号化装置が、前記第２ＫＰ情報入力工程で入力した属性集合Γ^ＫＰに含まれる各識別情報ｔについての要素ｃ_ｔ ^ＫＰを生成するＫＰ暗号化データ生成工程であって、基底Ｂ_ｔ ^ＫＰの基底ベクトルｂ_ｔ，ｉ’ ^ＫＰ（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数ω^ＫＰ倍したｘ_ｔ，ｉ’ ^ＫＰを設定して要素ｃ_ｔ ^ＫＰを生成するＫＰ暗号化データ生成工程と、
   前記暗号化装置が、前記ｆ^→ＣＰと、前記第２ＣＰ情報入力工程で入力した行列Ｍ^ＣＰとに基づき生成される列ベクトル（ｓ^→ＣＰ）^Ｔ：＝（ｓ_１ ^ＣＰ，．．．，ｓ_ｉ ^ＣＰ）^Ｔ：＝Ｍ^ＣＰ・（ｆ^→ＣＰ）^Ｔ（ｉ＝Ｌ^ＣＰ）と、乱数θ_ｉ ^ＣＰ（ｉ＝１，．．．，Ｌ^ＣＰ）とに基づき、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについての要素ｃ_ｉ ^ＣＰを生成するＣＰ暗号化データ生成工程であって、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについて、変数ρ^ＣＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔ ^ＣＰの基底ベクトルｂ_ｔ，１ ^ＣＰの係数としてｓ_ｉ ^ＣＰ＋θ_ｉ ^ＣＰｖ_ｉ，１ ^ＣＰを設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔ ^ＣＰの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’ ^ＣＰの係数としてθ_ｉ ^ＣＰｖ_ｉ，ｉ’ ^ＣＰを設定して要素ｃ_ｉ ^ＣＰを生成し、変数ρ^ＣＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔ ^ＣＰの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’ ^ＣＰの係数としてｓ_ｉ ^ＣＰｖ_ｉ，ｉ’ ^ＣＰを設定して要素ｃ_ｉ ^ＣＰを生成するＣＰ暗号化データ生成工程と、
   復号装置が、前記主暗号化データ生成工程で生成した要素ｃ_０と、前記ＫＰ暗号化データ生成工程で生成した要素ｃ_ｔ ^ＫＰと、前記ＣＰ暗号化データ生成工程で生成した要素ｃ_ｉ ^ＣＰと、前記属性集合Γ^ＫＰと、前記変数ρ^ＣＰ（ｉ）とを含む暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を取得するデータ取得工程と、
   前記復号装置が、前記主復号鍵生成工程で生成した要素ｋ^＊ _０と、前記ＫＰ復号鍵生成工程で生成した要素ｋ^＊ _ｉ ^ＫＰと、前記ＣＰ復号鍵生成工程で生成した要素ｋ^＊ _ｔ ^ＣＰと、前記変数ρ^ＫＰ（ｉ）と、前記属性集合Γ^ＣＰとを含む復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}を取得する復号鍵取得工程と、
   前記復号装置が、前記データ取得工程で取得した暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれる属性集合Γ^ＫＰと、前記復号鍵取得工程で取得した復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる変数ρ^ＫＰ（ｉ）とに基づき、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉのうち、変数ρ^ＫＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）であり、かつ、その組のｖ^→ _ｉ ^ＫＰと、その組の識別情報ｔが示すΓ^ＫＰに含まれるｘ^→ _ｔ ^ＫＰとの内積が０となるｉと、変数ρ^ＫＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）であり、かつ、その組のｖ^→ _ｉ ^ＫＰと、その組の識別情報ｔが示すΓ^ＫＰに含まれるｘ^→ _ｔ ^ＫＰとの内積が０とならないｉとの集合Ｉ^ＫＰを特定するとともに、特定した集合Ｉ^ＫＰに含まれるｉについて、α_ｉ ^ＫＰＭ_ｉ ^ＫＰを合計した場合に前記ｈ→^ＫＰとなる補完係数α_ｉ ^ＫＰを計算するＫＰ補完係数計算工程と、
   前記復号装置が、前記暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれるｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについての変数ρ^ＣＰ（ｉ）と、前記復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる属性集合Γ^ＣＰとに基づき、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉのうち、変数ρ^ＣＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）であり、かつ、その組のｖ^→ _ｉ ^ＣＰと、その組の識別情報ｔが示すΓ^ＣＰに含まれるｘ^→ _ｔ ^ＣＰとの内積が０となるｉと、変数ρ^ＣＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）であり、かつ、その組のｖ^→ _ｉ ^ＣＰと、その組の識別情報ｔが示すΓ^ＣＰに含まれるｘ^→ _ｔ ^ＣＰとの内積が０とならないｉとの集合Ｉ^ＣＰを特定するとともに、特定した集合Ｉ^ＣＰに含まれるｉについて、α_ｉ ^ＣＰＭ_ｉ ^ＣＰを合計した場合に前記ｈ→^ＣＰとなる補完係数α_ｉ ^ＣＰを計算するＣＰ補完係数計算工程と、
   前記復号装置が、前記暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれる要素ｃ_０と要素ｃ_ｔ ^ＫＰと要素ｃ_ｉ ^ＣＰと、前記復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる要素ｋ^＊ _０と要素ｋ^＊ _ｉ ^ＫＰと要素ｋ^＊ _ｔ ^ＣＰとについて、前記ＫＰ補完係数計算工程で特定した集合Ｉ^ＫＰと、前記ＫＰ補完係数計算工程で計算した補完係数α_ｉ ^ＫＰと、前記ＣＰ補完係数計算工程で特定した集合Ｉ^ＣＰと、前記ＣＰ補完係数計算工程で計算した補完係数α_ｉ ^ＣＰとに基づき、数１に示すペアリング演算を行い値Ｋを計算するペアリング演算工程と
   を備えることを特徴とする暗号処理方法。
   

   
8. 鍵生成プログラムと暗号化プログラムと復号プログラムとを備え、基底Ｂ_０及び基底Ｂ_０ ^＊と、ｔ＝１，．．．，ｄ^ＫＰ（ｄ^ＫＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＫＰ及び基底Ｂ^＊ _ｔ ^ＫＰと、ｔ＝１，．．．，ｄ^ＣＰ（ｄ^ＣＰは１以上の整数）の各整数ｔについての基底Ｂ_ｔ ^ＣＰ及び基底Ｂ^＊ _ｔ ^ＣＰとを用いて暗号処理を実行する暗号処理プログラムであり、
   前記鍵生成プログラムは、
   ｉ＝１，．．．，Ｌ^ＫＰ（Ｌ^ＫＰは１以上の整数）の各整数ｉについての変数ρ^ＫＰ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄ^ＫＰのいずれかの整数）と、属性ベクトルｖ^→ _ｉ ^ＫＰ：＝（ｖ_ｉ，ｉ’ ^ＫＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＫＰ，ｎ_ｔ ^ＫＰは１以上の整数）との肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）のいずれかである変数ρ^ＫＰ（ｉ）と、Ｌ^ＫＰ行ｒ^ＫＰ列（ｒ^ＫＰは１以上の整数）の所定の行列Ｍ^ＫＰとを入力する第１ＫＰ情報入力処理と、
   ｔ＝１，．．．，ｄ^ＣＰの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ ^ＣＰ：＝（ｘ_ｔ，ｉ’ ^ＣＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ，ｎ_ｔ ^ＣＰは１以上の整数）とを有する属性集合Γ^ＣＰを入力する第１ＣＰ情報入力処理と、
   基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として値−ｓ_０ ^ＫＰ（ｓ_０ ^ＫＰ：＝ｈ^→ＫＰ・（ｆ^→ＫＰ）^Ｔ，ｈ^→ＫＰ及びｆ^→ＫＰはｒ^ＫＰ個の要素を有するベクトル）を設定し、基底ベクトルｂ^＊ _０，ｐ’（ｐ’は前記ｐとは異なる所定の値）の係数として乱数δ^ＣＰを設定し、基底ベクトルｂ^＊ _０，ｑ（ｑは前記ｐ及び前記ｐ’とは異なる所定の値）の係数として所定の値κを設定して要素ｋ^＊ _０を生成する主復号鍵生成処理と、
   前記ｆ^→ＫＰと、前記第１ＫＰ情報入力処理で入力した行列Ｍ^ＫＰに基づき生成される列ベクトル（ｓ^→ＫＰ）^Ｔ：＝（ｓ_１ ^ＫＰ，．．．，ｓ_ｉ ^ＫＰ）^Ｔ：＝Ｍ^ＫＰ・（ｆ^→ＫＰ）^Ｔ（ｉ＝Ｌ^ＫＰ）と、乱数θ_ｉ ^ＫＰ（ｉ＝１，．．．，Ｌ^ＫＰ）とに基づき、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについての要素ｋ^＊ _ｉ ^ＫＰを生成するＫＰ復号鍵生成処理であって、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉについて、変数ρ^ＫＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、その組の識別情報ｔが示す基底Ｂ^＊ _ｔ ^ＫＰの基底ベクトルｂ^＊ _ｔ，１ ^ＫＰの係数としてｓ_ｉ ^ＫＰ＋θ_ｉ ^ＫＰｖ_ｉ，１ ^ＫＰを設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔ ^ＫＰの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＫＰの係数としてθ_ｉ ^ＫＰｖ_ｉ，ｉ’ ^ＫＰを設定して要素ｋ^＊ _ｉ ^ＫＰを生成し、変数ρ^ＫＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔ ^ＫＰの各整数ｉ’とが示す基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＫＰの係数としてｓ_ｉ ^ＫＰｖ_ｉ，ｉ’ ^ＫＰを設定して要素ｋ^＊ _ｉ ^ＫＰを生成するＫＰ復号鍵生成処理と、
   前記第１ＣＰ情報入力処理で入力した属性集合Γ^ＣＰに含まれる各識別情報ｔについての要素ｋ^＊ _ｔ ^ＣＰを生成するＣＰ復号鍵生成処理であって、基底Ｂ^＊ _ｔ ^ＣＰの基底ベクトルｂ^＊ _ｔ，ｉ’ ^ＣＰ（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ）の係数として前記乱数δ^ＣＰ倍したｘ_ｔ，ｉ’ ^ＣＰを設定して要素ｋ^＊ _ｔ ^ＣＰを生成するＣＰ復号鍵生成処理と
   をコンピュータに実行させ、
   前記暗号化プログラムは、
   ｔ＝１，．．．，ｄ^ＫＰの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性ベクトルｘ^→ _ｔ ^ＫＰ：＝（ｘ_ｔ，ｉ’ ^ＫＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＫＰ）とを有する属性集合Γ^ＫＰを入力する第２ＫＰ情報入力処理と、
   ｉ＝１，．．．，Ｌ^ＣＰ（Ｌ^ＣＰは１以上の整数）の各整数ｉについての変数ρ^ＣＰ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄ^ＣＰのいずれかの整数）と、属性ベクトルｖ^→ _ｉ ^ＣＰ：＝（ｖ_ｉ，ｉ’ ^ＣＰ）（ｉ’＝１，．．．，ｎ_ｔ ^ＣＰ）との肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）又は否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）のいずれかである変数ρ^ＣＰ（ｉ）と、Ｌ^ＣＰ行ｒ^ＣＰ列（ｒ^ＣＰは１以上の整数）の所定の行列Ｍ^ＣＰとを入力する第２ＣＰ情報入力処理と、
   基底Ｂ_０の基底ベクトルｂ_０，ｐの係数として乱数ω^ＫＰを設定し、基底ベクトルｂ_０，ｐ’の係数として値−ｓ_０ ^ＣＰ（ｓ_０ ^ＣＰ：＝ｈ^→ＣＰ・（ｆ^→ＣＰ）^Ｔ，ｈ^→ＣＰ及びｆ^→ＣＰはｒ^ＣＰ個の要素を有するベクトル）を設定し、基底ベクトルｂ_０，ｑの係数として乱数ζを設定して要素ｃ_０を生成する主暗号化データ生成処理と、
   前記第２ＫＰ情報入力処理で入力した属性集合Γ^ＫＰに含まれる各識別情報ｔについての要素ｃ_ｔ ^ＫＰを生成するＫＰ暗号化データ生成処理であって、基底Ｂ_ｔ ^ＫＰの基底ベクトルｂ_ｔ，ｉ’ ^ＫＰ（ｉ’＝１，．．．，ｎ_ｔ）の係数として前記乱数ω^ＫＰ倍したｘ_ｔ，ｉ’ ^ＫＰを設定して要素ｃ_ｔ ^ＫＰを生成するＫＰ暗号化データ生成処理と、
   前記ｆ^→ＣＰと、前記第２ＣＰ情報入力処理で入力した行列Ｍ^ＣＰとに基づき生成される列ベクトル（ｓ^→ＣＰ）^Ｔ：＝（ｓ_１ ^ＣＰ，．．．，ｓ_ｉ ^ＣＰ）^Ｔ：＝Ｍ^ＣＰ・（ｆ^→ＣＰ）^Ｔ（ｉ＝Ｌ^ＣＰ）と、乱数θ_ｉ ^ＣＰ（ｉ＝１，．．．，Ｌ^ＣＰ）とに基づき、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについての要素ｃ_ｉ ^ＣＰを生成するＣＰ暗号化データ生成処理であって、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについて、変数ρ^ＣＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔ ^ＣＰの基底ベクトルｂ_ｔ，１ ^ＣＰの係数としてｓ_ｉ ^ＣＰ＋θ_ｉ ^ＣＰｖ_ｉ，１ ^ＣＰを設定するとともに、前記識別情報ｔとｉ’＝２，．．．，ｎ_ｔ ^ＣＰの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’ ^ＣＰの係数としてθ_ｉ ^ＣＰｖ_ｉ，ｉ’ ^ＣＰを設定して要素ｃ_ｉ ^ＣＰを生成し、変数ρ^ＣＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）である場合には、その組の識別情報ｔとｉ’＝１，．．．，ｎ_ｔ ^ＣＰの各整数ｉ’とが示す基底ベクトルｂ_ｔ，ｉ’ ^ＣＰの係数としてｓ_ｉ ^ＣＰｖ_ｉ，ｉ’ ^ＣＰを設定して要素ｃ_ｉ ^ＣＰを生成するＣＰ暗号化データ生成処理と
   をコンピュータに実行させ、
   前記復号プログラムは、
   前記主暗号化データ生成処理で生成した要素ｃ_０と、前記ＫＰ暗号化データ生成処理で生成した要素ｃ_ｔ ^ＫＰと、前記ＣＰ暗号化データ生成処理で生成した要素ｃ_ｉ ^ＣＰと、前記属性集合Γ^ＫＰと、前記変数ρ^ＣＰ（ｉ）とを含む暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}を取得するデータ取得処理と、
   前記主復号鍵生成処理で生成した要素ｋ^＊ _０と、前記ＫＰ復号鍵生成処理で生成した要素ｋ^＊ _ｉ ^ＫＰと、前記ＣＰ復号鍵生成処理で生成した要素ｋ^＊ _ｔ ^ＣＰと、前記変数ρ^ＫＰ（ｉ）と、前記属性集合Γ^ＣＰとを含む復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}を取得する復号鍵取得処理と、
   前記データ取得処理で取得した暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれる属性集合Γ^ＫＰと、前記復号鍵取得処理で取得した復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる変数ρ^ＫＰ（ｉ）とに基づき、ｉ＝１，．．．，Ｌ^ＫＰの各整数ｉのうち、変数ρ^ＫＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＫＰ）であり、かつ、その組のｖ^→ _ｉ ^ＫＰと、その組の識別情報ｔが示すΓ^ＫＰに含まれるｘ^→ _ｔ ^ＫＰとの内積が０となるｉと、変数ρ^ＫＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＫＰ）であり、かつ、その組のｖ^→ _ｉ ^ＫＰと、その組の識別情報ｔが示すΓ^ＫＰに含まれるｘ^→ _ｔ ^ＫＰとの内積が０とならないｉとの集合Ｉ^ＫＰを特定するとともに、特定した集合Ｉ^ＫＰに含まれるｉについて、α_ｉ ^ＫＰＭ_ｉ ^ＫＰを合計した場合に前記ｈ→^ＫＰとなる補完係数α_ｉ ^ＫＰを計算するＫＰ補完係数計算処理と、
   前記暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれるｉ＝１，．．．，Ｌ^ＣＰの各整数ｉについての変数ρ^ＣＰ（ｉ）と、前記復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる属性集合Γ^ＣＰとに基づき、ｉ＝１，．．．，Ｌ^ＣＰの各整数ｉのうち、変数ρ^ＣＰ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ ^ＣＰ）であり、かつ、その組のｖ^→ _ｉ ^ＣＰと、その組の識別情報ｔが示すΓ^ＣＰに含まれるｘ^→ _ｔ ^ＣＰとの内積が０となるｉと、変数ρ^ＣＰ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ ^ＣＰ）であり、かつ、その組のｖ^→ _ｉ ^ＣＰと、その組の識別情報ｔが示すΓ^ＣＰに含まれるｘ^→ _ｔ ^ＣＰとの内積が０とならないｉとの集合Ｉ^ＣＰを特定するとともに、特定した集合Ｉ^ＣＰに含まれるｉについて、α_ｉ ^ＣＰＭ_ｉ ^ＣＰを合計した場合に前記ｈ→^ＣＰとなる補完係数α_ｉ ^ＣＰを計算するＣＰ補完係数計算処理と、
   前記暗号化データｃｔ_{（ΓＫＰ，ＳＣＰ）}に含まれる要素ｃ_０と要素ｃ_ｔ ^ＫＰと要素ｃ_ｉ ^ＣＰと、前記復号鍵ｓｋ_{（ＳＫＰ，ΓＣＰ）}に含まれる要素ｋ^＊ _０と要素ｋ^＊ _ｉ ^ＫＰと要素ｋ^＊ _ｔ ^ＣＰとについて、前記ＫＰ補完係数計算処理で特定した集合Ｉ^ＫＰと、前記ＫＰ補完係数計算処理で計算した補完係数α_ｉ ^ＫＰと、前記ＣＰ補完係数計算処理で特定した集合Ｉ^ＣＰと、前記ＣＰ補完係数計算処理で計算した補完係数α_ｉ ^ＣＰとに基づき、数１に示すペアリング演算を行い値Ｋを計算するペアリング演算処理と
   をコンピュータに実行させることを特徴とする暗号処理プログラム。
   

   

Images