JP2012155088A5

JP2012155088A5 -

Info

Publication number: JP2012155088A5
Application number: JP2011013281A
Authority: JP
Filing date: 2011-01-25
Publication date: 2014-01-09
Anticipated expiration: 2031-01-25

Claims

鍵生成装置と署名装置と検証装置とを備え、ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムであり、
前記鍵生成装置は、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを含む属性集合Γを入力する第１情報入力部と、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数として所定の値δを設定した鍵要素ｋ^＊ _０を生成する鍵要素０生成部と、
前記第１情報入力部が入力した属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数として属性情報ｘ^→ _ｔに前記所定の値δを乗じたδｘ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した鍵要素ｋ^＊ _ｔを生成する鍵要素ｔ生成部と、
基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，１}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，１}と、基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，２}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，２}とを生成する鍵要素ｄ＋１生成部と、
前記鍵要素０生成部が生成した鍵要素ｋ^＊ _０と、前記鍵要素ｔ生成部が生成した前記属性集合Γに含まれる各識別情報ｔについての鍵要素ｋ^＊ _ｔと、前記鍵要素ｄ＋１生成部が生成した鍵要素ｋ^＊ _{ｄ＋１，１}及び鍵要素ｋ^＊ _{ｄ＋１，２}と、前記属性集合Γとを含む署名鍵ｓｋ_Γを前記署名装置へ送信する署名鍵送信部と
を備え、
前記署名装置は、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
前記署名鍵送信部が送信した署名鍵ｓｋ_Γを取得する署名鍵取得部と、
前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｓｋ_Γに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算部と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _０を含む署名要素ｓ^＊ _０を生成する署名要素０生成部と、
ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _ｔに前記値γ_ｉを乗じたγ_ｉｋ^＊ _ｔを含む署名要素ｓ^＊ _ｉを生成する署名要素ｉ生成部と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _{ｄ＋１，１}と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ^＊ _{ｄ＋１，２}に乗じたｍ’・ｋ^＊ _{ｄ＋１，２}との和を含む署名要素ｓ^＊ _Ｌ＋１を生成する署名要素Ｌ＋１生成部と、
前記署名要素０生成部が生成した署名要素ｓ^＊ _０と、前記署名要素ｉ生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記署名要素Ｌ＋１生成部が生成した署名要素ｓ^＊ _Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信部と
を備え、
前記検証装置は、
前記署名データ送信部が送信した署名データσを取得するデータ取得部と、
ｒ個の要素を有するベクトルｆ^→と前記ベクトルｈ^→ とを用いて生成される値ｓ_０：＝ｈ^→・ｆ^→Ｔと、所定の値ｓ_Ｌ＋１とから計算される−ｓ_０−ｓ_Ｌ＋１を、基底Ｂ_０の基底ベクトルｂ_０，１の係数として設定して検証要素ｃ_０を生成する検証要素０生成部と、
前記ベクトルｆ^→と前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定し、基底ベクトルｂ_ｔ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）の係数としてθ_ｉｖ_ｉ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数としてｓ_ｉｖ_ｉ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成する検証要素ｉ生成部と、
基底Ｂ_ｄ＋１の基底ベクトルｂ_{ｄ＋１，１}の係数として、前記所定の値ｓ_Ｌ＋１と前記値ｍ’と所定の値θ_Ｌ＋１とから計算されるｓ_Ｌ＋１−θ_Ｌ＋１ｍ’を設定し、基底ベクトルｂ_{ｄ＋１，２}の係数として前記所定の値θ_Ｌ＋１を設定して検証要素ｃ_Ｌ＋１を生成する検証要素Ｌ＋１生成部と、
前記検証要素０生成部が生成した検証要素ｃ_０と、前記検証要素ｉ生成部が生成した検証要素ｃ_ｉと、前記検証要素Ｌ＋１生成部が生成した検証要素ｃ_Ｌ＋１と、前記署名データσに含まれる署名要素ｓ^＊ _０，ｓ^＊ _ｉ，ｓ^＊ _Ｌ＋１とについて、ペアリング演算Π_ｉ＝０ ^Ｌ＋１ｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
を備えることを特徴とする署名処理システム。
ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データσを生成する署名装置であり、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを含む属性集合Γと、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数として所定の値δが設定された鍵要素ｋ^＊ _０と、
前記属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数として属性情報ｘ^→ _ｔに前記所定の値δを乗じたδｘ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）が設定された鍵要素ｋ^＊ _ｔと、
基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，１}の係数として前記所定の値δが設定された鍵要素ｋ^＊ _{ｄ＋１，１}と、
基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，２}の係数として前記所定の値δが設定された鍵要素ｋ^＊ _{ｄ＋１，２}と
を署名鍵ｓｋ_Γとして取得する署名鍵取得部と、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｓｋ_Γに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算部と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _０を含む署名要素ｓ^＊ _０を生成する署名要素０生成部と、
ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _ｔに前記値γ_ｉを乗じたγ_ｉｋ^＊ _ｔを含む署名要素ｓ^＊ _ｉを生成する署名要素ｉ生成部と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _{ｄ＋１，１}と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ^＊ _{ｄ＋１，２}に乗じたｍ’・ｋ^＊ _{ｄ＋１，２}との和を含む署名要素ｓ^＊ _Ｌ＋１を生成する署名要素Ｌ＋１生成部と、
前記署名要素０生成部が生成した署名要素ｓ^＊ _０と、前記署名要素ｉ生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記署名要素Ｌ＋１生成部が生成した署名要素ｓ^＊ _Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを検証装置へ送信する署名データ送信部とを備えることを特徴とする署名装置。
ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データσを検証する検証装置であり、
署名要素ｓ^＊ _０と、ｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、署名要素ｓ^＊ _Ｌ＋１と、メッセージｍと、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍとを含む署名データσを取得するデータ取得部と、
ｒ個の要素を有するベクトルｆ^→とｒ個の要素を有するベクトルｈ^→ とを用いて生成される値ｓ_０：＝ｈ^→・ｆ^→Ｔと、所定の値ｓ_Ｌ＋１とから計算される−ｓ_０−ｓ_Ｌ＋１を、基底Ｂ_０の基底ベクトルｂ_０，１の係数として設定して検証要素ｃ_０を生成する検証要素０生成部と、
前記ベクトルｆ^→と前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定し、基底ベクトルｂ_ｔ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）の係数としてθ_ｉｖ_ｉ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数としてｓ_ｉｖ_ｉ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成する検証要素ｉ生成部と、
基底Ｂ_ｄ＋１の基底ベクトルｂ_{ｄ＋１，１}の係数として、前記所定の値ｓ_Ｌ＋１と前記メーセージｍから計算される値ｍ’と所定の値θ_Ｌ＋１とから計算されるｓ_Ｌ＋１−θ_Ｌ＋１ｍ’を設定し、基底ベクトルｂ_{ｄ＋１，２}の係数として前記所定の値θ_Ｌ＋１を設定して検証要素ｃ_Ｌ＋１を生成する検証要素Ｌ＋１生成部と、
前記検証要素０生成部が生成した検証要素ｃ_０と、前記検証要素ｉ生成部が生成した検証要素ｃ_ｉと、前記検証要素Ｌ＋１生成部が生成した検証要素ｃ_Ｌ＋１と、前記署名データσに含まれる署名要素ｓ^＊ _０，ｓ^＊ _ｉ，ｓ^＊ _Ｌ＋１とについて、ペアリング演算Π_ｉ＝０ ^Ｌ＋１ｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
を備えることを特徴とする検証装置。
ｄ個（ｄは１以上の整数）の鍵生成装置と、署名装置と、検証装置とを備え、ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムであり、
前記ｄ個の鍵生成装置の各鍵生成装置は、
ｔ＝１，．．．，ｄのうち鍵生成装置毎に予め定められた整数ｔについての属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）を入力する第１情報入力部と、
前記整数ｔと、ｊ＝１，２の各整数ｊについて、前記第１情報入力部が入力した属性情報ｘ^→ _ｔと、所定の値δ_ｊと、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ）とに基づき、数１０に示すベクトルを含む鍵要素ｋ^＊ _ｔ，ｊを生成する鍵要素生成部と、
前記鍵要素生成部が生成した鍵要素ｋ^＊ _ｔ，ｊと、前記属性情報ｘ^→ _ｔとを含む署名鍵ｕｓｋを前記署名装置へ送信する署名鍵送信部とを備え、
前記署名装置は、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
前記ｄ個の鍵生成装置のうち、少なくとも１つ以上の鍵生成装置の署名鍵送信部が送信した署名鍵ｕｓｋを取得する署名鍵取得部と、
前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｕｓｋに含まれる属性情報ｘ ^→ _ｔとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得部が取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得部が取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算部と、
前記署名鍵ｕｓｋに含まれる鍵要素ｋ^＊ _ｔ，１及び鍵要素ｋ^＊ _ｔ，２と、所定の値ξ_１，Ε，μと、前記メッセージｍから計算される値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ_ｉ・ｘ_ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝２ｎ_ｔ＋１，２ｎ_ｔ＋２）を用いて、数１１に示すベクトルを含む署名要素ｓ^＊ _ｉを生成する署名要素生成部と、
前記署名要素生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信部と
を備え、
前記検証装置は、
前記署名データ送信部が送信した署名データσを取得するデータ取得部と、
ｒ個の要素を有するベクトルｆ^→と、前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔを生成するとともに、ｓ_０：＝ｈ^→・ｆ^→Ｔとして、ｓ_０＝ｈ^→・（ｆ^→’）^Ｔであるｒ個の要素を有するベクトルｆ^→’と、前記行列Ｍとに基づき列ベクトル（ｓ^→’）^Ｔ：＝（ｓ_１’，．．．，ｓ_Ｌ’）^Ｔ：＝Ｍ・（ｆ^→’）^Ｔを生成するベクトル生成部と、
前記ベクトル生成部が生成した列ベクトルｓ^→Ｔ及び列ベクトル（ｓ^→’）^Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉ，θ_ｉ’，θ_ｉ’’，σ_ｉとに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，２ｎ_ｔ＋２）を用いて、数１２に示すベクトルを含む検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ＋２）を用いて、数１３に示すベクトルを含む検証要素ｃ_ｉを生成する検証要素生成部と、
前記検証要素生成部が生成した検証要素ｃ_ｉと、前記署名データσに含まれる署名要素ｓ^＊ _ｉとについて、ペアリング演算Π_ｉ＝１ ^Ｌｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
を備えることを特徴とする署名処理システム。
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名鍵ｕｓｋを生成する鍵生成装置であり、
ｔ＝１，．．．，ｄのうち所定の整数ｔについて、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）を入力する第１情報入力部と、
前記整数ｔと、ｊ＝１，２の各整数ｊについて、前記第１情報入力部が入力した属性情報ｘ^→ _ｔと、所定の値δ_ｊと、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ）とに基づき、数１９に示すベクトルを含む鍵要素ｋ^＊ _ｔ，ｊを生成する鍵要素生成部と、
前記鍵要素生成部が生成した鍵要素ｋ^＊ _ｔ，ｊと、前記属性情報ｘ^→ _ｔとを含む署名鍵ｕｓｋを署名装置へ送信する署名鍵送信部と
を備えることを特徴とする鍵生成装置。
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データσを生成する署名装置であり、
ｔ＝１，．．．，ｄのうち少なくとも一部の整数ｔと、ｊ＝１，２の各整数ｊとについて、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）と、所定の値δ_ｊと、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ）とに基づき、数２０に示すベクトルを含むように生成された鍵要素ｋ^＊ _ｔ，ｊと、前記属性情報ｘ^→ _ｔとを含む署名鍵ｕｓｋを取得する署名鍵取得部と、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｕｓｋに含まれる属性情報ｘ^→ _ｔとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得部が取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得部が取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０とならないが等しくないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算部と、
前記署名鍵ｕｓｋに含まれる鍵要素ｋ^＊ _ｔ，１及び鍵要素ｋ^＊ _ｔ，２と、所定の値ξ_１，Ε，μと、前記メッセージｍから計算される値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝２ｎ_ｔ＋１，２ｎ_ｔ＋２）を用いて、数２１に示すベクトルを含む署名要素ｓ^＊ _ｉを生成する署名要素生成部と、
前記署名要素生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを検証装置へ送信する署名データ送信部と
を備えることを特徴とする署名装置。
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データσを検証する検証装置であり、
ｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、メッセージｍと、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍとを含む署名データσを取得するデータ取得部と、
ｒ個の要素を有するベクトルｆ^→と、前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔを生成するとともに、ｓ_０：＝ｈ^→・ｆ^→Ｔとして、ｓ_０＝ｈ^→・（ｆ^→’）^Ｔであるｒ個の要素を有するベクトルｆ^→’と、前記行列Ｍとに基づき列ベクトル（ｓ^→’）^Ｔ：＝（ｓ_１’，．．．，ｓ_Ｌ’）^Ｔ：＝Ｍ・（ｆ^→’）^Ｔを生成するベクトル生成部と、
前記ベクトル生成部が生成した列ベクトルｓ^→Ｔ及び列ベクトル（ｓ^→’）^Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉ，θ_ｉ’，θ_ｉ’’，σ_ｉとに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，２ｎ_ｔ＋２）を用いて、数２２に示すベクトルを含む検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ＋２）を用いて、数２３に示すベクトルを含む検証要素ｃ_ｉを生成する検証要素生成部と、
前記検証要素生成部が生成した検証要素ｃ_ｉと、前記署名データσに含まれる署名要素ｓ^＊ _ｉとについて、ペアリング演算Π_ｉ＝１ ^Ｌｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
を備えることを特徴とする検証装置。
ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理方法であり、
鍵生成装置が、ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを含む属性集合Γを入力する第１情報入力工程と、
前記鍵生成装置が、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数として所定の値δを設定した鍵要素ｋ^＊ _０を生成する鍵要素０生成工程と、
前記鍵生成装置が、前記第１情報入力工程で入力された属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数として属性情報ｘ^→ _ｔに前記所定の値δを乗じたδｘ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した鍵要素ｋ^＊ _ｔを生成する鍵要素ｔ生成工程と、
前記鍵生成装置が、基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，１}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，１}と、基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，２}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，２}とを生成する鍵要素ｄ＋１生成工程と、
前記鍵生成装置が、前記鍵要素０生成工程で生成された鍵要素ｋ^＊ _０と、前記鍵要素ｔ生成工程で生成された前記属性集合Γに含まれる各識別情報ｔについての鍵要素ｋ^＊ _ｔと、前記鍵要素ｄ＋１生成工程で生成された鍵要素ｋ^＊ _{ｄ＋１，１}及び鍵要素ｋ^＊ _{ｄ＋１，２}と、前記属性集合Γとを含む署名鍵ｓｋ_Γを署名装置へ送信する署名鍵送信工程と、
前記署名装置が、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力工程と、
前記署名装置が、前記署名鍵送信工程で送信された署名鍵ｓｋ_Γを取得する署名鍵取得工程と、
前記署名装置が、前記第２情報入力工程で入力された変数ρ（ｉ）と、前記署名鍵取得工程で取得された署名鍵ｓｋ_Γに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定された集合Ｉに含まれるｉについて、前記第２情報入力工程で入力された行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算工程と、
前記署名装置が、前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _０を含む署名要素ｓ^＊ _０を生成する署名要素０生成工程と、
前記署名装置が、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算工程で特定された集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _ｔに前記値γ_ｉを乗じたγ_ｉｋ^＊ _ｔを含む署名要素ｓ^＊ _ｉを生成する署名要素ｉ生成工程と、
前記署名装置が、前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _{ｄ＋１，１}と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ^＊ _{ｄ＋１，２}に乗じたｍ’・ｋ^＊ _{ｄ＋１，２}との和を含む署名要素ｓ^＊ _Ｌ＋１を生成する署名要素Ｌ＋１生成工程と、
前記署名装置が、前記署名要素０生成工程で生成された署名要素ｓ^＊ _０と、前記署名要素ｉ生成工程で生成されたｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記署名要素Ｌ＋１生成工程で生成された署名要素ｓ^＊ _Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを検証装置へ送信する署名データ送信工程と、
前記検証装置が、前記署名データ送信工程で送信された署名データσを取得するデータ
取得工程と、
前記検証装置が、ｒ個の要素を有するベクトルｆ^→と前記ベクトルｈ^→ とを用いて生成される値ｓ_０：＝ｈ^→・ｆ^→Ｔと、所定の値ｓ_Ｌ＋１とから計算される−ｓ_０−ｓ_Ｌ＋１を、基底Ｂ_０の基底ベクトルｂ_０，１の係数として設定して検証要素ｃ_０を生成する検証要素０生成工程と、
前記検証装置が、前記ベクトルｆ^→と前記データ取得工程で取得された署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定し、基底ベクトルｂ_ｔ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）の係数としてθ_ｉｖ_ｉ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数としてｓ_ｉｖ_ｉ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成する検証要素ｉ生成工程と、
前記検証装置が、基底Ｂ_ｄ＋１の基底ベクトルｂ_{ｄ＋１，１}の係数として、前記所定の値ｓ_Ｌ＋１と前記値ｍ’と所定の値θ_Ｌ＋１とから計算されるｓ_Ｌ＋１−θ_Ｌ＋１ｍ’を設定し、基底ベクトルｂ_{ｄ＋１，２}の係数として前記所定の値θ_Ｌ＋１を設定して検証要素ｃ_Ｌ＋１を生成する検証要素Ｌ＋１生成工程と、
前記検証装置が、前記検証要素０生成工程で生成された検証要素ｃ_０と、前記検証要素ｉ生成工程で生成された検証要素ｃ_ｉと、前記検証要素Ｌ＋１生成工程で生成された検証要素ｃ_Ｌ＋１と、前記署名データσに含まれる署名要素ｓ^＊ _０，ｓ^＊ _ｉ，ｓ^＊ _Ｌ＋１とについて、ペアリング演算Π_ｉ＝０ ^Ｌ＋１ｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算工程と
を備えることを特徴とする署名処理方法。
鍵生成装置で動作される鍵生成プログラムと署名装置で動作させる署名プログラムと検証装置で動作させる検証プログラムとを備え、ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理プログラムであり、
前記鍵生成プログラムは、
ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ，ｎ_ｔは１以上の整数）とを含む属性集合Γを入力する第１情報入力処理と、
基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数として所定の値δを設定した鍵要素ｋ^＊ _０を生成する鍵要素０生成処理と、
前記第１情報入力処理で入力された属性集合Γに含まれる各識別情報ｔについて、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数として属性情報ｘ^→ _ｔに前記所定の値δを乗じたδｘ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した鍵要素ｋ^＊ _ｔを生成する鍵要素ｔ生成処理と、
基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，１}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，１}と、基底Ｂ^＊ _ｄ＋１の基底ベクトルｂ^＊ _{ｄ＋１，２}の係数として前記所定の値δを設定した鍵要素ｋ^＊ _{ｄ＋１，２}とを生成する鍵要素ｄ＋１生成処理と、
前記鍵要素０生成処理で生成された鍵要素ｋ^＊ _０と、前記鍵要素ｔ生成処理で生成された前記属性集合Γに含まれる各識別情報ｔについての鍵要素ｋ^＊ _ｔと、前記鍵要素ｄ＋１生成処理で生成された鍵要素ｋ^＊ _{ｄ＋１，１}及び鍵要素ｋ^＊ _{ｄ＋１，２}と、前記属性集合Γとを含む署名鍵ｓｋ_Γを前記署名装置へ送信する署名鍵送信処理と
をコンピュータに実行させ、
前記署名プログラムは、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，
_ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力処理と、
前記署名鍵送信処理で送信された署名鍵ｓｋ_Γを取得する署名鍵取得処理と、
前記第２情報入力処理で入力された変数ρ（ｉ）と、前記署名鍵取得処理で取得された署名鍵ｓｋ_Γに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定された集合Ｉに含まれるｉについて、前記第２情報入力処理で入力された行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算処理と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _０を含む署名要素ｓ^＊ _０を生成する署名要素０生成処理と、
ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算処理で特定された集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _ｔに前記値γ_ｉを乗じたγ_ｉｋ^＊ _ｔを含む署名要素ｓ^＊ _ｉを生成する署名要素ｉ生成処理と、
前記署名鍵ｓｋ_Γに含まれる鍵要素ｋ^＊ _{ｄ＋１，１}と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ^＊ _{ｄ＋１，２}に乗じたｍ’・ｋ^＊ _{ｄ＋１，２}との和を含む署名要素ｓ^＊ _Ｌ＋１を生成する署名要素Ｌ＋１生成処理と、
前記署名要素０生成処理で生成された署名要素ｓ^＊ _０と、前記署名要素ｉ生成処理で生成されたｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記署名要素Ｌ＋１生成処理で生成された署名要素ｓ^＊ _Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信処理と
をコンピュータに実行させ、
前記検証プログラムは、
前記署名データ送信処理で送信された署名データσを取得するデータ取得処理と、
ｒ個の要素を有するベクトルｆ^→と前記ベクトルｈ^→ とを用いて生成される値ｓ_０：＝ｈ^→・ｆ^→Ｔと、所定の値ｓ_Ｌ＋１とから計算される−ｓ_０−ｓ_Ｌ＋１を、基底Ｂ_０の基底ベクトルｂ_０，１の係数として設定して検証要素ｃ_０を生成する検証要素０生成処理と、
前記ベクトルｆ^→と前記データ取得処理で取得された署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定し、基底ベクトルｂ_ｔ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）の係数としてθ_ｉｖ_ｉ，ｉ’（ｉ’＝２，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）の係数としてｓ_ｉｖ_ｉ，ｉ’（ｉ’＝１，．．．，ｎ_ｔ）を設定して検証要素ｃ_ｉを生成する検証要素ｉ生成処理と、
基底Ｂ_ｄ＋１の基底ベクトルｂ_{ｄ＋１，１}の係数として、前記所定の値ｓ_Ｌ＋１と前記値ｍ’と所定の値θ_Ｌ＋１とから計算されるｓ_Ｌ＋１−θ_Ｌ＋１ｍ’を設定し、基底ベクトルｂ_{ｄ＋１，２}の係数として前記所定の値θ_Ｌ＋１を設定して検証要素ｃ_Ｌ＋１を生成する検証要素Ｌ＋１生成処理と、
前記検証要素０生成処理で生成された検証要素ｃ_０と、前記検証要素ｉ生成処理で生成された検証要素ｃ_ｉと、前記検証要素Ｌ＋１生成処理で生成された検証要素ｃ_Ｌ＋１と、前記署名データσに含まれる署名要素ｓ^＊ _０，ｓ^＊ _ｉ，ｓ^＊ _Ｌ＋１とについて、ペアリング演算Π_ｉ＝０ ^Ｌ＋１ｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算処理と
をコンピュータに実行させることを特徴とする署名処理プログラム。
ｔ＝１，．．．，ｄ（ｄは１以上の整数）の少なくとも１つ以上の整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理方法であり、
ｄ個の鍵生成装置の少なくとも１個以上の鍵生成装置が、ｔ＝１，．．．，ｄのうち鍵生成装置毎に予め定められた整数ｔについての属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）を入力する第１情報入力工程と、
前記少なくとも１個以上の鍵生成装置が、前記整数ｔと、ｊ＝１，２の各整数ｊについて、前記第１情報入力工程で入力された属性情報ｘ^→ _ｔと、所定の値δ_ｊと、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ）とに基づき、数２４に示すベクトルを含む鍵要素ｋ^＊ _ｔ，ｊを生成する鍵要素生成工程と、
前記少なくとも１個以上の鍵生成装置が、前記鍵要素生成工程で生成された鍵要素ｋ^＊ _ｔ，ｊと、前記属性情報ｘ^→ _ｔとを含む署名鍵ｕｓｋを署名装置へ送信する署名鍵送信工程と、
前記署名装置が、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力工程と、
前記署名装置が、前記ｄ個の鍵生成装置のうち、少なくとも１つ以上の鍵生成装置の署名鍵送信工程で送信された署名鍵ｕｓｋを取得する署名鍵取得工程と、
前記署名装置が、前記第２情報入力工程で入力された変数ρ（ｉ）と、前記署名鍵取得工程で取得された署名鍵ｕｓｋに含まれる属性情報ｘ^→ _ｔとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得工程で取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得工程で取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定された集合Ｉに含まれるｉについて、前記第２情報入力工程で入力された行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算工程と、
前記署名装置が、前記署名鍵ｕｓｋに含まれる鍵要素ｋ^＊ _ｔ，１及び鍵要素ｋ^＊ _ｔ，２と、所定の値ξ_１，Ε，μと、前記メッセージｍから計算される値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算工程で特定された集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝２ｎ_ｔ＋１，２ｎ_ｔ＋２）を用いて、数２５に示すベクトルを含む署名要素ｓ^＊ _ｉを生成する署名要素生成工程と、
前記署名装置が、前記署名要素生成工程で生成されたｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを検証装置へ送信する署名データ送信工程と、
前記検証装置が、前記署名データ送信工程で送信された署名データσを取得するデータ取得工程と、
前記検証装置が、ｒ個の要素を有するベクトルｆ^→と、前記データ取得工程で取得された署名データσに含まれる行列Ｍとに基づき列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔを生成するとともに、ｓ_０：＝ｈ^→・ｆ^→Ｔとして、ｓ_０＝ｈ^→・（ｆ^→’）^Ｔであるｒ個の要素を有するベクトルｆ^→’と、前記行列Ｍとに基づき列ベクトル（ｓ^→’）^Ｔ：＝（ｓ_１’，．．．，ｓ_Ｌ’）^Ｔ：＝Ｍ・（ｆ^→’）^Ｔを生成するベクトル生成工程と、
前記検証装置が、前記ベクトル生成工程で生成された列ベクトルｓ^→Ｔ及び列ベクトル（ｓ^→’）^Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉ，θ_ｉ’，θ_ｉ’’，σ_ｉとに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，２ｎ_ｔ＋２）を用いて、数２６に示すベクトルを含む検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，１から基底ベクトルｂ_ｔ，ｉ（ｉ’＝１，．．．，２ｎ_ｔ＋２）を用いて、数２７に示すベクトルを含む検証要素ｃ_ｉを生成する検証要素生成工程と、
前記検証装置が、前記検証要素生成工程で生成された検証要素ｃ_ｉと、前記署名データσに含まれる署名要素ｓ^＊ _ｉとについて、ペアリング演算Π_ｉ＝１ ^Ｌｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算工程と
を備えることを特徴とする署名処理方法。
ｄ個（ｄは１以上の整数）の鍵生成装置で動作させる鍵生成プログラムと、署名装置で動作させる署名プログラムと、検証装置で動作させる検証プログラムとを備え、ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて署名処理を実行する署名処理プログラムであり、
前記鍵生成プログラムは、
ｔ＝１，．．．，ｄのうち鍵生成装置毎に予め定められた整数ｔについての属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）を入力する第１情報入力処理と、
前記整数ｔと、ｊ＝１，２の各整数ｊについて、前記第１情報入力処理で入力された属性情報ｘ^→ _ｔと、所定の値δ_ｊと、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ）とに基づき、数２８に示すベクトルを含む鍵要素ｋ^＊ _ｔ，ｊを生成する鍵要素生成処理と、
前記鍵要素生成処理で生成された鍵要素ｋ^＊ _ｔ，ｊと、前記属性情報ｘ^→ _ｔとを含む署名鍵ｕｓｋを前記署名装置へ送信する署名鍵送信処理と
をコンピュータに実行させ、
前記署名プログラムは、
ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ^→ _ｉ：＝（ｖ_ｉ，ｉ’）（ｉ’＝１，．．．，ｎ_ｔ）との肯定形の組（ｔ，ｖ^→ _ｉ）又は否定形の組¬（ｔ，ｖ^→ _ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力処理と、
前記ｄ個の鍵生成装置のうち、少なくとも１つ以上の鍵生成装置の署名鍵送信処理で送信された署名鍵ｕｓｋを取得する署名鍵取得処理と、
前記第２情報入力処理で入力された変数ρ（ｉ）と、前記署名鍵取得処理で取得された署名鍵ｕｓｋに含まれる属性情報ｘ^→ _ｔとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得処理で取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）であり、かつ、その組の識別情報ｔが示すｘ^→ _ｔを含む署名鍵ｕｓｋを前記署名鍵取得処理で取得しており、かつ、その組のｖ^→ _ｉと、その組の識別情報ｔが示す属性情報ｘ^→ _ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定された集合Ｉに含まれるｉについて、前記第２情報入力処理で入力された行列Ｍのｉ行目の要素であるＭ_ｉに基づき、α_ｉＭ_ｉを合計した場合に所定のベクトルｈ^→となる補完係数α_ｉを計算する補完係数計算処理と、
前記署名鍵ｕｓｋに含まれる鍵要素ｋ^＊ _ｔ，１及び鍵要素ｋ^＊ _ｔ，２と、所定の値ξ_１，Ε，μと、前記メッセージｍから計算される値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算処理で特定された集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には値γ_ｉ：＝α_ｉ／（ｖ^→ _ｉ・ｘ^→ _ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γ_ｉ：＝０として、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝２ｎ_ｔ＋１，２ｎ_ｔ＋２）を用いて、数２９に示すベクトルを含む署名要素ｓ^＊ _ｉを生成する署名要素生成処理と、
前記署名要素生成処理で生成されたｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ^＊ _ｉと、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信処理と
をコンピュータに実行させ、
前記検証プログラムは、
前記署名データ送信処理で送信された署名データσを取得するデータ取得処理と、
ｒ個の要素を有するベクトルｆ^→と、前記データ取得処理で取得された署名データσに含まれる行列Ｍとに基づき列ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔ：＝Ｍ・ｆ^→Ｔを生成するとともに、ｓ_０：＝ｈ^→・ｆ^→Ｔとして、ｓ_０＝ｈ^→・（ｆ^→’）^Ｔであるｒ個の要素を有するベクトルｆ^→’と、前記行列Ｍとに基づき列ベクトル（ｓ^→’）^Ｔ：＝（ｓ_１’，．．．，ｓ_Ｌ’）^Ｔ：＝Ｍ・（ｆ^→’）^Ｔを生成するベクトル生成処理と、
前記ベクトル生成処理で生成された列ベクトルｓ^→Ｔ及び列ベクトル（ｓ^→’）^Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θ_ｉ，θ_ｉ’，θ_ｉ’’，σ_ｉとに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ’（ｉ’＝１，．．．，２ｎ_ｔ＋２）を用いて、数３０に示すベクトルを含む検証要素ｃ_ｉを生成し、変数ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，２ｎ_ｔ＋２）を用いて、数３１に示すベクトルを含む検証要素ｃ_ｉを生成する検証要素生成処理と、
前記検証要素生成処理で生成された検証要素ｃ_ｉと、前記署名データσに含まれる署名要素ｓ^＊ _ｉとについて、ペアリング演算Π_ｉ＝１ ^Ｌｅ（ｃ_ｉ，ｓ^＊ _ｉ）を行い、前記署名データσの正当性を検証するペアリング演算処理と
をコンピュータに実行させることを特徴とする署名処理プログラム。