JP2012163917A

JP2012163917A - 暗号処理システム、鍵生成装置、暗号化装置、復号装置、鍵委譲装置、暗号処理方法及び暗号処理プログラム

Info

Publication number: JP2012163917A
Application number: JP2011026216A
Authority: JP
Inventors: Katsuyuki Takashima; 克幸高島; Tatsuaki Okamoto; 龍明岡本
Original assignee: Mitsubishi Electric Corp; Nippon Telegraph and Telephone Corp
Current assignee: Mitsubishi Electric Corp; Nippon Telegraph and Telephone Corp
Priority date: 2011-02-09
Filing date: 2011-02-09
Publication date: 2012-08-30
Anticipated expiration: 2031-02-09
Also published as: EP2675107B1; KR20130122678A; US9385867B2; US20130336474A1; CN103354984A; WO2012108100A1; JP5606351B2; EP2675107A4; EP2675107A1; CN103354984B; KR101432462B1; ES2699535T3

Abstract

【課題】演算等の効率をよくした階層的内積述語暗号を提供することを目的とする。
【解決手段】暗号処理システム１０は、鍵生成装置１００と暗号化装置２００と復号装置３００とを備える。鍵生成装置１００は、ｔ＝１，．．．，Ｌの各整数ｔについての基底Ｂ^＊ _ｔの基底ベクトルに述語情報ｖ^→ _ｔを埋め込んだベクトルを復号鍵ｓｋ_Ｌとして生成する。暗号化装置２００は、ｔ＝１，．．．，Ｌのうち少なくとも一部の整数ｔについての基底Ｂ_ｔの基底ベクトルに属性情報ｘ^→ _ｔを埋め込んだベクトルを暗号化データｃｔとして生成する。復号装置３００は、鍵生成装置１００が生成した復号鍵ｓｋ_Ｌと暗号化装置２００が生成した暗号化データｃｔとについてペアリング演算を行い、暗号化データｃｔを復号する。
【選択図】図７

Description

この発明は、階層的述語暗号（ＨｉｅｒａｒｃｈｉｃａｌＰｒｅｄｉｃａｔｅＥｎｃｒｙｐｔｉｏｎ）に関するものである。

非特許文献２１には、階層的内積述語暗号（ＨｉｅｒａｒｃｈｉｃａｌＰｒｅｄｉｃａｔｅＥｎｃｒｙｐｔｉｏｎｆｏｒＩｎｎｅｒＰｒｏｄｕｃｔｓ）についての記載がある。また、非特許文献１８には、関数型暗号（ＦｕｎｃｔｉｏｎａｌＥｎｃｒｙｐｔｉｏｎ）についての記載がある。

Ｂｅｉｍｅｌ，Ａ．，Ｓｅｃｕｒｅｓｃｈｅｍｅｓｆｏｒｓｅｃｒｅｔｓｈａｒｉｎｇａｎｄｋｅｙｄｉｓｔｒｉｂｕｔｉｏｎ．ＰｈＤＴｈｅｓｉｓ，ＩｓｒａｅｌＩｎｓｔｉｔｕｔｅｏｆＴｅｃｈｎｏｌｏｇｙ，Ｔｅｃｈｎｉｏｎ，Ｈａｉｆａ，Ｉｓｒａｅｌ，１９９６．Ｂｅｔｈｅｎｃｏｕｒｔ，Ｊ．，Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ．Ｉｎ：２００７ＩＥＥＥＳｙｍｐｏｓｉｕｍｏｎＳｅｃｕｒｉｔｙａｎｄＰｒｉｖａｃｙ，ｐｐ．３２１・３４．ＩＥＥＥＰｒｅｓｓ（２００７）Ｂｏｎｅｈ，Ｄ．，Ｂｏｙｅｎ，Ｘ．：Ｅｆｆｉｃｉｅｎｔｓｅｌｅｃｔｉｖｅ−ＩＤｓｅｃｕｒｅｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ．Ｉｎ：Ｃａｃｈｉｎ，Ｃ．，Ｃａｍｅｎｉｓｃｈ，Ｊ．（ｅｄｓ．）ＥＵＲＯＣＲＹＰＴ２００４．ＬＮＣＳ，ｖｏｌ．３０２７，ｐｐ．２２３・３８．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００４）Ｂｏｎｅｈ，Ｄ．，Ｂｏｙｅｎ，Ｘ．：Ｓｅｃｕｒｅｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ．Ｉｎ：Ｆｒａｎｋｌｉｎ，Ｍ．Ｋ．（ｅｄ．）ＣＲＹＰＴＯ２００４．ＬＮＣＳ，ｖｏｌ．３１５２，ｐｐ．４４３・５９．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００４）Ｂｏｎｅｈ，Ｄ．，Ｂｏｙｅｎ，Ｘ．，Ｇｏｈ，Ｅ．：Ｈｉｅｒａｒｃｈｉｃａｌｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｃｏｎｓｔａｎｔｓｉｚｅｃｉｐｈｅｒｔｅｘｔ．Ｉｎ：Ｃｒａｍｅｒ，Ｒ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００５．ＬＮＣＳ，ｖｏｌ．３４９４，ｐｐ．４４０・５６．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００５）Ｂｏｎｅｈ，Ｄ．，Ｆｒａｎｋｌｉｎ，Ｍ．：Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｆｒｏｍｔｈｅＷｅｉｌｐａｉｒｉｎｇ．Ｉｎ：Ｋｉｌｉａｎ，Ｊ．（ｅｄ．）ＣＲＹＰＴＯ２００１．ＬＮＣＳ，ｖｏｌ．２１３９，ｐｐ．２１３・２９．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００１）Ｂｏｎｅｈ，Ｄ．，Ｈａｍｂｕｒｇ，Ｍ．：Ｇｅｎｅｒａｌｉｚｅｄｉｄｅｎｔｉｔｙｂａｓｅｄａｎｄｂｒｏａｄｃａｓｔｅｎｃｒｙｐｔｉｏｎｓｃｈｅｍｅ．Ｉｎ：Ｐｉｅｐｒｚｙｋ，Ｊ．（ｅｄ．）ＡＳＩＡＣＲＹＰＴ２００８．ＬＮＣＳ，ｖｏｌ．５３５０，ｐｐ．４５５・７０．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｂｏｎｅｈ，Ｄ．，Ｋａｔｚ，Ｊ．，ＩｍｐｒｏｖｅｄｅｆｆｉｃｉｅｎｃｙｆｏｒＣＣＡ−ｓｅｃｕｒｅｃｒｙｐｔｏｓｙｓｔｅｍｓｂｕｉｌｔｕｓｉｎｇｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ．ＲＳＡ−ＣＴ２００５，ＬＮＣＳ，ＳｐｒｉｎｇｅｒＶｅｒｌａｇ（２００５）Ｂｏｎｅｈ，Ｄ．，Ｗａｔｅｒｓ，Ｂ．：Ｃｏｎｊｕｎｃｔｉｖｅ，ｓｕｂｓｅｔ，ａｎｄｒａｎｇｅｑｕｅｒｉｅｓｏｎｅｎｃｒｙｐｔｅｄｄａｔａ．Ｉｎ：Ｖａｄｈａｎ，Ｓ．Ｐ．（ｅｄ．）ＴＣＣ２００７．ＬＮＣＳ，ｖｏｌ．４３９２，ｐｐ．５３５・５４．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００７）Ｂｏｙｅｎ，Ｘ．，Ｗａｔｅｒｓ，Ｂ．：Ａｎｏｎｙｍｏｕｓｈｉｅｒａｒｃｈｉｃａｌｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ（ｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ）．Ｉｎ：Ｄｗｏｒｋ，Ｃ．（ｅｄ．）ＣＲＹＰＴＯ２００６．ＬＮＣＳ，ｖｏｌ．４１１７，ｐｐ．２９０・０７．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００６）Ｃａｎｅｔｔｉ，Ｒ．，ＨａｌｅｖｉＳ．，ＫａｔｚＪ．：Ｃｈｏｓｅｎ−ｃｉｐｈｅｒｔｅｘｔｓｅｃｕｒｉｔｙｆｒｏｍｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ．ＥＵＲＯＣＲＹＰＴ２００４，ＬＮＣＳ，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ（２００４）Ｃｏｃｋｓ，Ｃ．：Ａｎｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｓｃｈｅｍｅｂａｓｅｄｏｎｑｕａｄｒａｔｉｃｒｅｓｉｄｕｅｓ．Ｉｎ：Ｈｏｎａｒｙ，Ｂ．（ｅｄ．）ＩＭＡＩｎｔ．Ｃｏｎｆ．ＬＮＣＳ，ｖｏｌ．２２６０，ｐｐ．３６０・６３．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００１）Ｇｅｎｔｒｙ，Ｃ．：Ｐｒａｃｔｉｃａｌｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ．Ｉｎ：Ｖａｕｄｅｎａｙ，Ｓ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００６．ＬＮＣＳ，ｖｏｌ．４００４，ｐｐ．４４５・６４．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００６）Ｇｅｎｔｒｙ，Ｃ．，Ｈａｌｅｖｉ，Ｓ．：Ｈｉｅｒａｒｃｈｉｃａｌｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｐｏｌｙｎｏｍｉａｌｌｙｍａｎｙｌｅｖｅｌｓ．Ｉｎ：Ｒｅｉｎｇｏｌｄ，Ｏ．（ｅｄ．）ＴＣＣ２００９．ＬＮＣＳ，ｖｏｌ．５４４４，ｐｐ．４３７・５６．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００９）Ｇｅｎｔｒｙ，Ｃ．，Ｓｉｌｖｅｒｂｅｒｇ，Ａ．：ＨｉｅｒａｒｃｈｉｃａｌＩＤ−ｂａｓｅｄｃｒｙｐｔｏｇｒａｐｈｙ．Ｉｎ：Ｚｈｅｎｇ，Ｙ．（ｅｄ．）ＡＳＩＡＣＲＹＰＴ２００２．ＬＮＣＳ，ｖｏｌ．２５０１，ｐｐ．５４８・６６．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００２）Ｇｏｙａｌ，Ｖ．，Ｐａｎｄｅｙ，Ｏ．，Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｆｏｒｆｉｎｅ−ｇｒａｉｎｅｄａｃｃｅｓｓｃｏｎｔｒｏｌｏｆｅｎｃｒｙｐｔｅｄｄａｔａ．Ｉｎ：ＡＣＭＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔｅｒａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎＳｅｃｕｒｉｔｙ２００６，ｐｐ．８９・８，ＡＣＭ（２００６）Ｋａｔｚ，Ｊ．，Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ｐｒｅｄｉｃａｔｅｅｎｃｒｙｐｔｉｏｎｓｕｐｐｏｒｔｉｎｇｄｉｓｊｕｎｃｔｉｏｎｓ，ｐｏｌｙｎｏｍｉａｌｅｑｕａｔｉｏｎｓ，ａｎｄｉｎｎｅｒｐｒｏｄｕｃｔｓ．Ｉｎ：Ｓｍａｒｔ，Ｎ．Ｐ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００８．ＬＮＣＳ，ｖｏｌ．４９６５，ｐｐ．１４６・６２．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｌｅｗｋｏ，Ａ．，Ｏｋａｍｏｔｏ，Ｔ．，Ｓａｈａｉ，Ａ．，Ｔａｋａｓｈｉｍａ，Ｋ．，Ｗａｔｅｒｓ，Ｂ．：Ｆｕｌｌｙｓｅｃｕｒｅｆｕｎｃｔｉｏｎａｌｅｎｃｒｙｐｔｉｏｎ：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎａｎｄ（ｈｉｅｒａｒｃｈｉｃａｌ）ｉｎｎｅｒｐｒｏｄｕｃｔｅｎｃｒｙｐｔｉｏｎ，ＥＵＲＯＣＲＹＰＴ２０１０．ＬＮＣＳ，ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２０１０）Ｌｅｗｋｏ，Ａ．Ｂ．，Ｗａｔｅｒｓ，Ｂ．：ＮｅｗｔｅｃｈｎｉｑｕｅｓｆｏｒｄｕａｌｓｙｓｔｅｍｅｎｃｒｙｐｔｉｏｎａｎｄｆｕｌｌｙｓｅｃｕｒｅＨＩＢＥｗｉｔｈｓｈｏｒｔｃｉｐｈｅｒｔｅｘｔｓ．Ｉｎ：Ｍｉｃｃｉａｎｃｉｏ，Ｄ．（ｅｄ．）ＴＣＣ２０１０．ＬＮＣＳ，ｖｏｌ．５９７８，ｐｐ．４５５・７９．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２０１０）Ｏｋａｍｏｔｏ，Ｔ．，Ｔａｋａｓｈｉｍａ，Ｋ．：Ｈｏｍｏｍｏｒｐｈｉｃｅｎｃｒｙｐｔｉｏｎａｎｄｓｉｇｎａｔｕｒｅｓｆｒｏｍｖｅｃｔｏｒｄｅｃｏｍｐｏｓｉｔｉｏｎ．Ｉｎ：Ｇａｌｂｒａｉｔｈ，Ｓ．Ｄ．，Ｐａｔｅｒｓｏｎ，Ｋ．Ｇ．（ｅｄｓ．）Ｐａｉｒｉｎｇ２００８．ＬＮＣＳ，ｖｏｌ．５２０９，ｐｐ．５７・４．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｏｋａｍｏｔｏ，Ｔ．，Ｔａｋａｓｈｉｍａ，Ｋ．：Ｈｉｅｒａｒｃｈｉｃａｌｐｒｅｄｉｃａｔｅｅｎｃｒｙｐｔｉｏｎｆｏｒｉｎｎｅｒ−ｐｒｏｄｕｃｔｓ，Ｉｎ：ＡＳＩＡＣＲＹＰＴ２００９，ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００９）Ｏｓｔｒｏｖｓｋｙ，Ｒ．，Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｎｏｎ−ｍｏｎｏｔｏｎｉｃａｃｃｅｓｓｓｔｒｕｃｔｕｒｅｓ．Ｉｎ：ＡＣＭＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔｅｒａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎＳｅｃｕｒｉｔｙ２００７，ｐｐ．１９５・０３，ＡＣＭ（２００７）Ｐｉｒｒｅｔｔｉ，Ｍ．，Ｔｒａｙｎｏｒ，Ｐ．，ＭｃＤａｎｉｅｌ，Ｐ．，Ｗａｔｅｒｓ，Ｂ．：Ｓｅｃｕｒｅａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｓｙｓｔｅｍｓ．Ｉｎ：ＡＣＭＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔｅｒａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎＳｅｃｕｒｉｔｙ２００６，ｐｐ．９９・１２，ＡＣＭ，（２００６）Ｓａｈａｉ，Ａ．，Ｗａｔｅｒｓ，Ｂ．：Ｆｕｚｚｙｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ．Ｉｎ：Ｃｒａｍｅｒ，Ｒ．（ｅｄ．）ＥＵＲＯＣＲＹＰＴ２００５．ＬＮＣＳ，ｖｏｌ．３４９４，ｐｐ．４５７・７３．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００５）Ｓｈｉ，Ｅ．，Ｗａｔｅｒｓ，Ｂ．：Ｄｅｌｅｇａｔｉｎｇｃａｐａｂｉｌｉｔｙｉｎｐｒｅｄｉｃａｔｅｅｎｃｒｙｐｔｉｏｎｓｙｓｔｅｍｓ．Ｉｎ：Ａｃｅｔｏ，Ｌ．，Ｄａｍｇ「ェａｒｄ，Ｉ．，Ｇｏｌｄｂｅｒｇ，Ｌ．Ａ．，Ｈａｌｌｄゥェｒｓｓｏｎ，Ｍ．Ｍ．，Ｉｎｇゥェｌｆｓｄゥェｔｔｉｒ，Ａ．，Ｗａｌｕｋｉｅｗｉｃｚ，Ｉ．（ｅｄｓ．）ＩＣＡＬＰ（２）２００８．ＬＮＣＳ，ｖｏｌ．５１２６，ｐｐ．５６０．５７８．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００８）Ｗａｔｅｒｓ，Ｂ．：Ｅｆｆｉｃｉｅｎｔｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｏｕｔｒａｎｄｏｍｏｒａｃｌｅｓ．Ｅｕｒｏｃｒｙｐｔ２００５，ＬＮＣＳ，ｖｏｌ．３１５２，ｐｐ．４４３・５９．ＳｐｒｉｎｇｅｒＶｅｒｌａｇ，（２００５）Ｗａｔｅｒｓ，Ｂ．：Ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙａｔｔｒｉｂｕｔｅ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ：ａｎｅｘｐｒｅｓｓｉｖｅ，ｅｆｆｉｃｉｅｎｔ，ａｎｄｐｒｏｖａｂｌｙｓｅｃｕｒｅｒｅａｌｉｚａｔｉｏｎ．ｅＰｒｉｎｔ，ＩＡＣＲ，ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００８／２９０Ｗａｔｅｒｓ，Ｂ．：Ｄｕａｌｓｙｓｔｅｍｅｎｃｒｙｐｔｉｏｎ：ｒｅａｌｉｚｉｎｇｆｕｌｌｙｓｅｃｕｒｅＩＢＥａｎｄＨＩＢＥｕｎｄｅｒｓｉｍｐｌｅａｓｓｕｍｐｔｉｏｎｓ．Ｉｎ：Ｈａｌｅｖｉ，Ｓ．（ｅｄ．）ＣＲＹＰＴＯ２００９．ＬＮＣＳ，ｖｏｌ．５６７７，ｐｐ．６１９・３６．ＳｐｒｉｎｇｅｒＨｅｉｄｅｌｂｅｒｇ（２００９）

非特許文献２１に記載された階層的内積述語暗号方式では、１つの大きな空間を使って暗号処理を構築していた。そのため、この階層的内積述語暗号方式を実装した場合、鍵のサイズが大きくなり、演算等の効率が悪くなる虞がある。
この発明は、演算等の効率をよくした階層的内積述語暗号を提供することを目的とする。

この発明に係る暗号処理システムは、
ｔ＝１，．．．，Ｌ＋１（Ｌは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を行う暗号処理システムであり、
ｔ＝１，．．．，Ｌのうち少なくとも一部の整数ｔについての基底Ｂ_ｔの基底ベクトルに属性情報ｘ^→ _ｔを埋め込んだベクトルを暗号化データｃｔとして生成する暗号化装置と、
ｔ＝１，．．．，Ｌの各整数ｔについての基底Ｂ^＊ _ｔの基底ベクトルに述語情報ｖ^→ _ｔを埋め込んだベクトルを復号鍵ｓｋ_Ｌとして、前記暗号化装置が生成した暗号化データｃｔと前記復号鍵ｓｋ_Ｌとについてペアリング演算を行い前記暗号化データｃｔを復号する復号装置と、
基底Ｂ^＊ _Ｌ＋１の基底ベクトルに述語情報を埋め込んだベクトルと、前記復号装置が使用した復号鍵ｓｋ_Ｌとに基づき、前記復号鍵ｓｋ_Ｌの下位の復号鍵ｓｋ_Ｌ＋１を生成する鍵委譲装置と
を備えることを特徴とする。

この発明に係る暗号処理システムでは、複数の空間を用いて階層構造を構築している。そのため、鍵のサイズを小さくでき、演算効率がよくなる。

「権限委譲（階層的な権限委譲）」という概念を説明するための図。階層を飛ばした権限委譲を説明するための図。属性情報と述語情報との階層構造を示す図。階層的ＩＤベース暗号の例を示す図。基底と基底ベクトルとを説明するための図。ベクトル空間における階層構造の実現方法の一例を説明するための図。階層的内積述語暗号方式のアルゴリズムを実行する暗号処理システム１０の構成図。鍵生成装置１００の機能を示す機能ブロック図。暗号化装置２００の機能を示す機能ブロック図。復号装置３００の機能を示す機能ブロック図。鍵委譲装置４００の機能を示す機能ブロック図。Ｓｅｔｕｐアルゴリズムの処理を示すフローチャート。ＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。Ｅｎｃアルゴリズムの処理を示すフローチャート。Ｄｅｃアルゴリズムの処理を示すフローチャート。Ｄｅｌｅｇａｔｅ_Ｌアルゴリズムの処理を示すフローチャート。ＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。Ｄｅｃアルゴリズムの処理を示すフローチャート。Ｄｅｌｅｇａｔｅ_Ｌアルゴリズムの処理を示すフローチャート。鍵生成装置１００、暗号化装置２００、復号装置３００のハードウェア構成の一例を示す図。

以下、図に基づき、発明の実施の形態を説明する。
以下の説明において、処理装置は後述するＣＰＵ９１１等である。記憶装置は後述するＲＯＭ９１３、ＲＡＭ９１４、磁気ディスク９２０等である。通信装置は後述する通信ボード９１５等である。入力装置は後述するキーボード９０２、通信ボード９１５等である。出力装置は後述するＲＡＭ９１４、磁気ディスク９２０、通信ボード９１５、ＬＣＤ９０１等である。つまり、処理装置、記憶装置、通信装置、入力装置、出力装置はハードウェアである。

以下の説明における記法について説明する。
Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。

Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。

数１０３は、ｙがｚにより定義された集合であること、又はｙがｚを代入された集合であることを表す。

ａが定数であるとき、数１０４は、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。

数１０５、つまりＦ_ｑは、位数ｑの有限体を示す。

ベクトル表記は、有限体Ｆ_ｑにおけるベクトル表示を表す。つまり、数１０６である。

数１０７は、数１０８に示す２つのベクトルｘ^→とｖ^→との数１０９に示す内積を表す。

Ｘ^Ｔは、行列Ｘの転置行列を表す。
数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。

ｅ^→ _ｔ，ｊは、数１１２に示す正規基底ベクトルを示す。

また、数１１３から数１１７である。

また、数１１８である場合に、数１１９である。

また、以下の説明において、Ｆ_ｑ ^ｎｔにおけるｎｔはｎ_ｔのことである。
同様に、秘密鍵ｓｋ_{（ｖ→１，．．．，ｖ→Ｌ）}における（ｖ→１，．．．，ｖ→Ｌ）は（ｖ^→ _１，．．．，ｖ^→ _Ｌ）のことであり、秘密鍵ｓｋ_{（ｖ→１，．．．，ｖ→Ｌ＋１）}における（ｖ→１，．．．，ｖ→Ｌ＋１）は（ｖ^→ _１，．．．，ｖ^→ _Ｌ＋１）のことである。
同様に、“δｉ，ｊ”が上付きで示されている場合、このδｉ，ｊは、δ_ｉ，ｊを意味する。
また、ベクトルを意味する“→”が下付き文字又は上付き文字に付されている場合、この“→”は下付き文字又は上付き文字に上付きで付されていることを意味する。

また、以下の説明において、暗号処理とは、暗号化処理、復号処理、鍵生成処理、鍵委譲処理を含むものである。

実施の形態１．
この実施の形態では、「階層的内積述語暗号」を実現する基礎となる概念と、「階層的内積述語暗号」の構成について説明する。
第１に、階層的内積述語暗号の概念について説明する。階層的内積述語暗号という概念を説明するに当たり、まず「権限委譲」という概念を説明する。また、併せて、「階層的（Ｈｉｅｒａｒｃｈｉａｌ）な権限委譲」という概念を説明する。次に、「内積述語暗号」を説明する。そして、階層的な権限委譲という概念を内積述語暗号に加えた「階層的内積述語暗号」を説明する。さらに、階層的内積述語暗号の理解を深めるため、階層的内積述語暗号の応用例を説明する。
第２に、ベクトル空間における階層的内積述語暗号を説明する。この実施の形態及び以下の実施の形態では、階層的述語暗号と階層的述語鍵秘匿方式とをベクトル空間において実現する。ここでは、まず、「基底」と「基底ベクトル」について説明する。次に、「ベクトル空間における内積述語暗号」について説明する。そして、「ベクトル空間における階層構造の実現方法」について説明する。さらに、理解を深めるため、階層構造の実現例を説明する。
第３に、階層的内積述語暗号を実現するための空間である「双対ペアリングベクトル空間（ＤｕａｌＰａｉｒｉｎｇＶｅｃｔｏｒＳｐａｃｅｓ，ＤＰＶＳ）」という豊かな数学的構造を有する空間を説明する。
第４に、この実施の形態に係る「階層的内積述語暗号方式」の基本構成を説明する。次に、階層的述語暗号を実行する「暗号処理システム１０」の基本構成を説明する。そして、この実施の形態に係る階層的述語暗号方式及び暗号処理システム１０について詳細に説明する。

＜第１．階層的内積述語暗号＞
＜第１−１．権限委譲（階層的な権限委譲）という概念＞
図１は、「権限委譲（階層的な権限委譲）」という概念を説明するための図である。
権限委譲とは、上位の鍵を有する利用者が、その鍵（上位の鍵）よりも機能が制限された下位の鍵を生成することである。
図１では、Ｒｏｏｔ（鍵生成装置）は、マスター秘密鍵を用いて、第１層目（Ｌｅｖｅｌ−１）の利用者へ秘密鍵を生成する。つまり、Ｒｏｏｔは、第１層目の利用者１，２，３それぞれへ鍵１，２，３を生成する。そして、例えば、利用者１であれば、鍵１を用いて、利用者１の下位（第２層目）の利用者である利用者１１，１２，１３それぞれへ鍵１１，１２，１３を生成することができる。ここで、利用者１が有する鍵１よりも、利用者１１，１２，１３が有する鍵１１，１２，１３は機能が制限されている。機能が制限されているとは、その秘密鍵によって復号できる暗号文が限定されているということである。つまり、上位の秘密鍵で復号できる暗号文の一部の暗号文のみ下位の秘密鍵で復号できることを意味する。すなわち、利用者１が有する鍵１で復号できる暗号文のうち、一部の暗号文のみ利用者１１，１２，１３が有する鍵１１，１２，１３で復号することができる。また、通常は、鍵１１と鍵１２と鍵１３とが復号できる暗号文は異なる。一方、鍵１１と鍵１２と鍵１３が復号できる暗号文は、鍵１で復号することができる。
また、図１に示すように、各秘密鍵が階層（レベル）分けされていることを「階層的」という。つまり、図１に示すように、階層的に下位の鍵を生成することを「階層的な権限委譲」と呼ぶ。

なお、図１では、Ｒｏｏｔが第１層目の利用者へ秘密鍵を生成し、第１層目の利用者が第２層目の利用者へ秘密鍵を生成し、第２層目の利用者が第３層目の利用者へ秘密鍵を生成すると説明した。しかし、図２に示すように、Ｒｏｏｔは、第１層目の利用者へ秘密鍵を生成するだけでなく、第２層目以下の層の利用者へ秘密鍵を生成することもできる。同様に、第１層目の利用者は、第２層目の利用者へ秘密鍵を生成するだけでなく、第３層目以下の層の利用者へ秘密鍵を生成することもできる。つまり、Ｒｏｏｔや利用者は、自分が持つ秘密鍵よりも下位の層の秘密鍵を生成することができる。

＜第１−２．内積述語暗号＞
次に、「内積述語暗号」について説明する。
まず、述語暗号とは、述語情報ｆ_ｖに属性情報ｘを入力した場合に１（Ｔｒｕｅ）となる場合（ｆ_ｖ（ｘ）＝１となる場合）に、暗号文を復号できる暗号方式である。通常、暗号文に属性情報ｘが埋め込まれ、秘密鍵に述語情報ｆ_ｖが埋め込まれる。つまり、述語暗号では、属性情報ｘに基づき暗号化された暗号文ｃを、述語情報ｆ_ｖに基づき生成された秘密鍵ＳＫ_ｆにより復号する。述語暗号は、例えば、述語情報ｆ_ｖが条件式であり、属性情報ｘがその条件式への入力情報であり、入力情報（属性情報ｘ）が条件式（述語情報ｆ_ｖ）を満たせば（ｆ_ｖ（ｘ）＝１）、暗号文を復号できる暗号方式であるとも言える。
なお、述語暗号について詳しくは非特許文献１７に記載されている。

内積述語暗号とは、属性情報ｘと述語情報ｆ_ｖとの内積が所定の値の場合に、ｆ_ｖ（ｘ）＝１となる述語暗号である。つまり、属性情報ｘと述語情報ｆ_ｖとの内積が所定の値の場合にのみ、属性情報ｘにより暗号化された暗号文ｃを、述語情報ｆ_ｖに基づき生成された秘密鍵ＳＫ_ｆにより復号することができる。
実施の形態１では、原則として、属性情報ｘと述語情報ｆ_ｖとの内積が０の場合に、ｆ_ｖ（ｘ）＝１となるものとする。

＜第１−３．階層的内積述語暗号＞
階層的内積述語暗号（階層的内積述語鍵秘匿方式）とは、上述した「階層的な権限委譲」という概念を有する「内積述語暗号」である。

階層的内積述語暗号は、内積述語暗号に階層的な権限委譲システムを持たせるため、属性情報と述語情報とに階層構造を持たせる。
図３は、属性情報と述語情報との階層構造を示す図である。
図３において、符号が対応する属性情報と述語情報とは対応する（つまり、内積が０となる）ものとする。つまり、属性１と述語１との内積は０となり、属性１１と述語１１との内積は０となり、属性１２と述語１２との内積は０となり、属性１３と述語１３との内積は０となるとする。すなわち、属性１により暗号化された暗号文ｃ１は、述語１に基づき生成された秘密鍵ｋ１であれば復号できる。また、属性１１により暗号化された暗号文ｃ１１は、述語１１に基づき生成された秘密鍵ｋ１１であれば復号できる。属性１２と述語１２、属性１３と述語１３についても同様のことが言える。
上記の通り、階層的内積述語暗号は階層的な権限委譲システムを有する。そのため、述語１に基づき生成された秘密鍵ｋ１と、述語１１とに基づき、秘密鍵ｋ１１を生成することができる。つまり、上位の秘密鍵ｋ１を有する利用者は、その秘密鍵ｋ１と下位の述語１１とから、秘密鍵ｋ１の下位の秘密鍵ｋ１１を生成することができる。同様に、秘密鍵ｋ１と述語１２とから秘密鍵ｋ１２を生成でき、秘密鍵ｋ１と述語１３とから秘密鍵ｋ１３を生成できる。
また、下位の秘密鍵に対応する鍵（公開鍵）で暗号化された暗号文を上位の秘密鍵で復号できる。一方、上位の秘密鍵に対応する鍵（公開鍵）で暗号化された暗号文は、下位の秘密鍵で復号できない。つまり、属性１１、属性１２、属性１３により暗号化された暗号文ｃ１１、ｃ１２、ｃ１３は、述語１に基づき生成された秘密鍵ｋ１であれば復号できる。一方、属性１により暗号化された暗号文ｃ１は、述語１１、述語１２、述語１３に基づき生成された秘密鍵ｋ１１、ｋ１２、ｋ１３では復号できない。すなわち、属性１１、属性１２、属性１３と述語１との内積は０となる。一方、属性１と述語１１、述語１２、述語１３との内積は０とならない。

＜第１−４．階層的内積述語暗号の応用例＞
図４は、後述する階層的内積述語暗号の応用例である階層的ＩＤベース暗号（ＨｉｅｒａｒｃｈｉａｌＩｄｅｎｔｉｆｉｅｒＢａｓｅｄＥｎｃｒｙｐｔｉｏｎ，ＨＩＢＥ）の例を示す図である。なお、階層的ＩＤベース暗号とは、ＩＤベース暗号が階層的になった暗号処理である。ＩＤベース暗号は、述語暗号の一種であり、暗号文に含まれるＩＤと秘密鍵に含まれるＩＤとが一致する場合に暗号文を復号できるマッチング述語暗号である。
図４に示す例では、Ｒｏｏｔ（鍵生成装置）は、マスター秘密鍵ｓｋとＡ会社のＩＤである「Ａ」とに基づき、ＩＤ「Ａ」に対応する秘密鍵（鍵Ａ）を生成する。例えば、Ａ会社のセキュリティ担当者は、鍵Ａと各部門のＩＤとに基づき、そのＩＤに対応する秘密鍵を生成する。例えば、セキュリティ担当者は、営業部門のＩＤである「Ａ−１」に対応する秘密鍵（鍵１）を生成する。次に、例えば、各部門の管理者は、その部門の秘密鍵とその部門に属する各課のＩＤとに基づき、そのＩＤに対応する秘密鍵を生成する。例えば、営業部門の管理者は、営業１課のＩＤである「Ａ−１１」に対応する秘密鍵（鍵１１）を生成する。
ここで、営業１課のＩＤ「Ａ−１１」に対応する秘密鍵である鍵１１により、営業１課のＩＤ「Ａ−１１」で暗号化された暗号文を復号することができる。しかし、鍵１１により、営業２課や営業３課のＩＤで暗号化された暗号文は復号することはできない。また、鍵１１により、営業部門のＩＤで暗号化された暗号文は復号することができない。
営業部門のＩＤ「Ａ−１」に対応する秘密鍵である鍵１により、営業部門のＩＤ「Ａ−１」で暗号化された暗号文を復号することができる。また、鍵１により、営業部門に属する課のＩＤで暗号化された暗号文を復号することができる。つまり、鍵１により、営業１課、営業２課、営業３課のＩＤで暗号化された暗号文を復号することができる。しかし、鍵１により、製造部門（ＩＤ：Ａ−２）やスタッフ部門（ＩＤ：Ａ−３）のＩＤで暗号化された暗号文は復号することができない。また、鍵１により、Ａ会社のＩＤで暗号化された暗号文は復号することができない。
Ａ会社のＩＤ「Ａ」に対応する秘密鍵である鍵Ａにより、Ａ会社のＩＤ「Ａ」で暗号化された暗号文を復号することができる。また、Ａ会社に属する各部門や、その部門に属する課のＩＤで暗号化された暗号文を復号することができる。

階層的内積述語暗号は、ＩＤベース暗号以外へも様々な応用が可能である。特に、以下に説明する暗号処理は、等号関係テストのクラスに限定されたものではないため、非常に多くの応用が可能である。例えば、内積述語暗号の一種である検索可能暗号等についても、階層毎に検索可能な範囲をＡＮＤ条件やＯＲ条件等の条件式を用いて限定する等、従来の権限委譲システムを有する述語暗号では実現できなかった応用が可能である。
つまり、後の実施の形態で説明する階層的述語鍵秘匿方式と階層的述語暗号とは、ＩＤベース暗号や検索可能暗号等へ幅広い応用が可能である。

＜第２．ベクトル空間における階層的内積述語暗号＞
階層的述語鍵秘匿方式と階層的述語暗号とは、後述する双対ペアリングベクトル空間という高次元ベクトル空間において実現される。そこで、ベクトル空間における階層的内積述語暗号を説明する。

＜第２−１．基底と基底ベクトル＞
まず、ベクトル空間の説明において使用する「基底」と「基底ベクトル」とについて簡単に説明する。
図５は、基底と基底ベクトルとを説明するための図である。
図５は、２次元ベクトル空間におけるベクトルｖを示す。ベクトルｖは、ｃ_１ａ_１＋ｃ_２ａ_２である。また、ベクトルｖは、ｙ_１ｂ_１＋ｙ_２ｂ_２である。ここで、ａ_１，ａ_２を基底Ａにおける基底ベクトルといい、基底Ａ：＝（ａ_１，ａ_２）と表す。また、ｂ_１，ｂ_２を基底Ｂにおける基底ベクトルといい、基底Ｂ：＝（ｂ_１，ｂ_２）と表す。また、ｃ_１，ｃ_２，ｙ_１，ｙ_２は、各基底ベクトルに対する係数である。図５では、２次元ベクトル空間であったため、各基底における基底ベクトルは２個であった。しかし、Ｎ次元ベクトル空間であれば、各基底における基底ベクトルはＮ個である。

＜第２−２．ベクトル空間における内積述語暗号＞
次に、ベクトル空間における内積述語暗号を説明する。
上記の通り、内積述語暗号とは、属性情報ｘと述語情報ｆ_ｖとの内積が所定の値（ここでは、０）の場合に、ｆ_ｖ（ｘ）＝１となる述語暗号である。属性情報ｘと述語情報ｆ_ｖとがベクトルであった場合、つまり属性ベクトルｘ^→と述語ベクトルｖ^→とであった場合、内積述語は数１２０のように定義される。

つまり、属性ベクトルｘ^→と述語ベクトルｖ^→との内積、つまり要素毎の内積の和が０である場合に、述語情報ｆ_ｖに属性情報ｘを入力した結果が１（Ｔｒｕｅ）となる。また、属性ベクトルｘ^→と述語ベクトルｖ^→との内積が０でない場合に、述語情報ｆ_ｖに属性情報ｘを入力した結果が０（Ｆａｌｓｅ）となる述語暗号である。

＜第２−３．ベクトル空間における階層構造の実現方法＞
次に、ベクトル空間における階層構造の実現方法を説明する。
図６は、ベクトル空間における階層構造の実現方法の一例を説明するための図である。
ここではｄ個（ｄは１以上の整数）のベクトル空間を扱う。各ベクトル空間は、高次元（Ｎ_ｔ次元（ｔ＝１，．．．，ｄ））ベクトル空間である。つまり、各ベクトル空間における所定の基底Ｃ_ｔ（ｔ＝１，．．．，ｄ）には、基底ベクトルｃ_ｉ（ｉ＝１，．．．，Ｎ_ｔ）のＮ_ｔ個の基底ベクトルが存在する。
そして、基底Ｃ_１を第１層目の属性情報や述語情報を設定するための空間とする。また、基底Ｃ_２を第２層目の属性情報や述語情報を設定するための空間とする。以下同様に、基底Ｃ_Ｌを第Ｌ層目の属性情報や述語情報を設定するための空間とする。したがって、ここでは、ｄ層の階層を表すことができる。
ここで、第Ｌ層目の秘密鍵は、基底Ｃ_Ｌを用いて第Ｌ層目の述語情報を設定するだけでなく、基底Ｃ_１から基底Ｃ_Ｌ−１を用いて第１層目から第Ｌ−１層目の述語情報を設定して生成される。つまり、下位の層の秘密鍵には、上位の層の秘密鍵に設定される述語情報も設定される。これにより、述語情報に階層構造を持たせる。そして、この述語情報に持たせた階層構造を利用して、内積述語暗号における権限委譲システムを構成する。

なお、以下の説明においては、ベクトル空間における階層的構造を示すために、階層情報ｎ^→：＝（ｄ；Ｎ_１，．．．，Ｎ_ｄ）を用いる。ここで、ｄは、上述した階層の深さを表す値である。Ｎ_ｉ（ｉ＝１，．．．，ｄ）は、各層ｉに割り当てられた空間の次元数、つまり基底ベクトルの数を表す値である。

＜第２−４．階層構造の実現例＞
ここで、簡単な例を用いて階層構造を説明する。ここでは、３つの階層を備え、各階層に割り当てられた空間が２次元で構成された例を用いて説明する。つまり、ｎ^→：＝（ｄ；Ｎ_１，．．．，Ｎ_ｄ）＝（３；２，２，２）である。
第１層目の述語ベクトルｖ^→ _１：＝（ｖ_１，ｖ_２）に基づき生成された第１層目の秘密鍵ｓｋ_１を有する利用者は、第１層目の秘密鍵ｓｋ_１と第２層目の述語ベクトルｖ^→ _２：＝（ｖ_３，ｖ_４）に基づき第２層目の秘密鍵ｓｋ_２を生成することができる。つまり、第２層目の秘密鍵ｓｋ_２は、述語ベクトル（ｖ^→ _１，ｖ^→ _２）に基づき生成される。同様に、第２層目の秘密鍵ｓｋ_２を有する利用者は、第２層目の秘密鍵ｓｋ_２と第３層目の述語ベクトルｖ^→ _３：＝（ｖ_５，ｖ_６）に基づき第３層目の秘密鍵ｓｋ_３を生成することができる。つまり、第３層目の秘密鍵ｓｋ_３は、述語ベクトル（ｖ^→ _１，ｖ^→ _２，ｖ^→ _３）に基づき生成される。
第１層目の述語ベクトルｖ^→ _１に基づき生成された第１層目の秘密鍵ｓｋ_１は、（ｖ^→ _１，（０，０），（０，０））により生成された秘密鍵である。そのため、第１層目の秘密鍵ｓｋ_１は、属性ベクトル（ｘ^→ _１，（＊，＊），（＊，＊））：＝（（ｘ_１，ｘ_２），（＊，＊），（＊，＊））により暗号化された暗号文を、ｖ^→ _１・ｘ^→ _１＝０である場合には復号できる。なぜなら、（＊，＊）・（０，０）＝０であるためである。ここで、“＊”は、任意の値を示す。
同様に、第２層目の述語ベクトル（ｖ^→ _１，ｖ^→ _２）に基づき生成された第２層目の秘密鍵ｓｋ_２は、（ｖ^→ _１，ｖ^→ _２，（０，０））により生成された秘密鍵である。そのため、第２層目の秘密鍵ｓｋ_２は、属性ベクトル（ｘ^→ _１，ｘ^→ _２，（＊，＊））：＝（（ｘ_１，ｘ_２），（ｘ_３，ｘ_４），（＊，＊））により暗号化された暗号文を、ｖ^→ _１・ｘ^→ _１＝０かつｖ^→ _２・ｘ^→ _２＝０である場合には復号できる。
しかし、第２層目の秘密鍵ｓｋ_２は、第１層目の属性ベクトルｘ^→ _１：＝（ｘ_１，ｘ_２）（つまり、（ｘ^→ _１，（＊，＊），（＊，＊））により暗号化された暗号文を復号することはできない。なぜなら、ｖ^→ _２＝（０，０）でなければ、（＊，＊）・ｖ^→ _２≠０であり、ｖ^→ _２・ｘ^→ _２≠０であるためである。そのため、第２層目の秘密鍵ｓｋ_２は、親である秘密鍵鍵ｓｋ_２よりも限定された能力のみを有していると言える。

＜第３．双対ペアリングベクトル空間＞
まず、対称双線形ペアリング群（ＳｙｍｍｅｔｒｉｃＢｉｌｉｎｅａｒＰａｉｒｉｎｇＧｒｏｕｐｓ）について説明する。
対称双線形ペアリング群（ｑ，Ｇ，Ｇ^Ｔ，ｇ，ｅ）は、素数ｑと、位数ｑの巡回加法群Ｇと、位数ｑの巡回乗法群Ｇ^Ｔと、ｇ≠０∈Ｇと、多項式時間で計算可能な非退化双線形ペアリング（ＮｏｎｄｅｇｅｎｅｒａｔｅＢｉｌｉｎｅａｒＰａｉｒｉｎｇ）ｅ：Ｇ×Ｇ→Ｇ_Ｔとの組である。非退化双線形ペアリングは、ｅ（ｓｇ，ｔｇ）＝ｅ（ｇ，ｇ）^ｓｔであり、ｅ（ｇ，ｇ）≠１である。
以下の説明において、数１２１を、１^λを入力として、セキュリティパラメータをλとする双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を出力するアルゴリズムとする。

次に、双対ペアリングベクトル空間について説明する。
双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、対称双線形ペアリング群（ｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ））の直積によって構成することができる。双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、素数ｑ、数１２２に示すＦ_ｑ上のＮ次元ベクトル空間Ｖ、位数ｑの巡回群Ｇ_Ｔ、空間Ｖの標準基底Ａ：＝（ａ_１，．．．，ａ_Ｎ）の組であり、以下の演算（１）（２）を有する。ここで、ａ_ｉは、数１２３に示す通りである。

演算（１）：非退化双線形ペアリング
空間Ｖにおけるペアリングは、数１２４によって定義される。

これは、非退化双線形である。つまり、ｅ（ｓｘ，ｔｙ）＝ｅ（ｘ，ｙ）^ｓｔであり、全てのｙ∈Ｖに対して、ｅ（ｘ，ｙ）＝１の場合、ｘ＝０である。また、全てのｉとｊとに対して、ｅ（ａ_ｉ，ａ_ｊ）＝ｅ（ｇ，ｇ）^δｉ，ｊである。ここで、ｉ＝ｊであれば、δ_ｉ，ｊ＝１であり、ｉ≠ｊであれば、δ_ｉ，ｊ＝０である。また、ｅ（ｇ，ｇ）≠１∈Ｇ_Ｔである。

演算（２）：ディストーション写像
数１２５に示す空間Ｖにおける線形変換φ_ｉ，ｊは、数１２６を行うことができる。

ここで、線形変換φ_ｉ，ｊをディストーション写像と呼ぶ。

以下の説明において、数１２７を、１^λ（λ∈自然数）、Ｎ∈自然数、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を入力として、セキュリティパラメータがλであり、Ｎ次元の空間Ｖとする双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ：＝（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）の値を出力するアルゴリズムとする。

なお、ここでは、上述した対称双線形ペアリング群により、双対ペアリングベクトル空間を構成した場合について説明する。なお、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成することも可能である。以下の説明を、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成した場合に応用することは容易である。

＜第４．階層的述語暗号の構成と暗号処理システム１０＞
＜第４−１．階層的内積述語暗号の基本構成＞
階層的内積述語暗号方式の構成を簡単に説明する。
階層的内積述語暗号方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｅｎｃ、Ｄｅｃ、Ｄｅｌｅｇａｔｅ_Ｌ（Ｌ＝１，．．．，ｄ−１）の５つの確率的多項式時間アルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムでは、セキュリティパラメータ１^λと階層情報ｎ^→：＝（ｄ；Ｎ_０，．．．，Ｎ_ｄ）とが入力され、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとが出力される。マスター秘密鍵ｓｋは最も上位の鍵である。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムでは、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと述語ベクトル（ｖ^→ _１，．．．，ｖ^→ _Ｌ）（１≦Ｌ≦ｄ）が入力され、第Ｌ層目の秘密鍵ｓｋ_{（ｖ→１，．．．，ｖ→Ｌ）}が出力される。
（Ｅｎｃ）
Ｅｎｃアルゴリズムでは、マスター公開鍵ｐｋと属性ベクトル（ｘ^→ _１，．．．，ｘ^→ _ｈ）（１≦ｈ≦ｄ）と平文情報ｍとが入力され、暗号化データｃｔ（暗号文）が出力される。つまり、Ｅｎｃアルゴリズムでは、平文情報ｍを埋め込み、属性ベクトル（ｘ^→ _１，．．．，ｘ^→ _ｈ）により暗号化された暗号化データｃｔが出力される。
（Ｄｅｃ）
Ｄｅｃアルゴリズムでは、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵ｓｋ_{（ｖ→１，．．．，ｖ→Ｌ）}と暗号化データｃｔとが入力され、平文情報ｍ又は識別情報⊥が出力される。識別情報⊥とは、復号に失敗したことを示す情報である。つまり、Ｄｅｃアルゴリズムでは、暗号化データｃｔを第Ｌ層目の秘密鍵で復号して、平文情報ｍを抽出する。また、復号に失敗した場合には識別情報⊥を出力する。
（Ｄｅｌｅｇａｔｅ_Ｌ）
Ｄｅｌｅｇａｔｅ_Ｌでは、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵ｓｋ_{（ｖ→１，．．．，ｖ→Ｌ）}と第Ｌ＋１層目の述語ベクトルｖ^→ _Ｌ＋１（Ｌ＋１≦ｄ）とが入力され、第Ｌ＋１層目の秘密鍵ｓｋ_{（ｖ→１，．．．，ｖ→Ｌ＋１）}が出力される。つまり、Ｄｅｌｅｇａｔｅ_Ｌアルゴリズムでは、下位の秘密鍵が出力される。

＜第４−２．暗号処理システム１０＞
階層的内積述語暗号方式のアルゴリズムを実行する暗号処理システム１０について説明する。
図７は、階層的内積述語暗号方式のアルゴリズムを実行する暗号処理システム１０の構成図である。
暗号処理システム１０は、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００を備える。なお、ここでは、復号装置３００が、鍵委譲装置４００を備えるものとして説明するが、鍵委譲装置４００は、復号装置３００とは別に設けられていてもよい。
鍵生成装置１００は、セキュリティパラメータλと、階層情報ｎ^→：＝（ｄ；Ｎ_０，．．．，Ｎ_ｄ）とを入力としてＳｅｔｕｐアルゴリズムを実行して、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成したマスター公開鍵ｐｋを公開する。また、鍵生成装置１００は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと述語ベクトル（ｖ^→ _１，．．．，ｖ^→ _Ｌ）（１≦Ｌ≦ｄ）とを入力としてＫｅｙＧｅｎアルゴリズムを実行して、第Ｌ層目の秘密鍵ｓｋ_{（ｖ→１，．．．，ｖ→Ｌ）}を生成して第Ｌ層目の復号装置３００へ秘密裡に配布する。
暗号化装置２００は、マスター公開鍵ｐｋと属性ベクトル（ｘ^→ _１，．．．，ｘ^→ _ｈ）（１≦ｈ≦ｄ）と平文情報ｍとを入力としてＥｎｃアルゴリズムを実行して、暗号化データｃｔを生成する。暗号化装置２００は、生成した暗号化データｃｔを復号装置３００へ送信する。
復号装置３００は、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵ｓｋ_{（ｖ→１，．．．，ｖ→Ｌ）}と暗号化データｃｔとを入力としてＤｅｃアルゴリズムを実行して、平文情報ｍ又は識別情報⊥を出力する。
鍵委譲装置４００は、スター公開鍵ｐｋと第Ｌ層目の秘密鍵ｓｋ_{（ｖ→１，．．．，ｖ→Ｌ）}と第Ｌ＋１層目の述語ベクトルｖ^→ _Ｌ＋１（Ｌ＋１≦ｄ）とを入力としてＤｅｌｅｇａｔｅ_Ｌアルゴリズムを実行して、第Ｌ＋１層目の秘密鍵ｓｋ_{（ｖ→１，．．．，ｖ→Ｌ＋１）}を生成して第Ｌ＋１層目の復号装置３００へ秘密裡に配布する。

＜第４−３．階層的内積述語暗号方式及び暗号処理システム１０の詳細＞
図８から図１６に基づき、実施の形態１に係る階層的内積述語暗号方式、及び、階層的内積述語暗号方式を実行する暗号処理システム１０の機能と動作とについて説明する。
図８は、鍵生成装置１００の機能を示す機能ブロック図である。図９は、暗号化装置２００の機能を示す機能ブロック図である。図１０は、復号装置３００の機能を示す機能ブロック図である。図１１は、鍵委譲装置４００の機能を示す機能ブロック図である。
図１２と図１３とは、鍵生成装置１００の動作を示すフローチャートである。なお、図１２はＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１３はＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図１４は、暗号化装置２００の動作を示すフローチャートであり、Ｅｎｃアルゴリズムの処理を示すフローチャートである。図１５は、復号装置３００の動作を示すフローチャートであり、Ｄｅｃアルゴリズムの処理を示すフローチャートである。図１６は、鍵委譲装置４００の動作を示すフローチャートであり、Ｄｅｌｅｇａｔｅ_Ｌアルゴリズムの処理を示すフローチャートである。

なお、以下の説明において、添え字の「ｄｅｃ」は「ｄｅｃｒｙｐｔｉｏｎ」の略であり、添え字に「ｄｅｃ」とあるものは、暗号化データの復号に用いられる復号要素である。また、添え字の「ｒａｎ」は「ｒａｎｄｏｍｉｚａｔｉｏｎ」の略であり、添え字に「ｒａｎ」とあるものは、下位の復号鍵の所定の基底ベクトルに対する係数をランダム化するためのランダム化要素である。また、添え字の「ｄｅｌ」は「ｄｅｌｅｇａｔｉｏｎ」の略であり、添え字に「ｄｅｌ」とあるものは、下位の復号鍵を生成するための委譲要素である。

鍵生成装置１００の機能と動作とについて説明する。
図８に示すように、鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０（第１情報入力部）、復号鍵生成部１４０、鍵配布部１５０（復号鍵送信部）を備える。
また、復号鍵生成部１４０は、乱数生成部１４１、復号要素生成部１４２、ランダム化要素生成部１４３、委譲要素生成部１４４を備える。

まず、図１２に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１：正規直交基底生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１２８を計算して、ｐａｒａｍ_ｎ→と、ｔ＝０，．．．，ｄの各整数ｔについて基底Ｂ_ｔ及び基底Ｂ^＊ _ｔとをランダムに生成する。

つまり、マスター鍵生成部１１０は以下の処理を実行する。
（１）マスター鍵生成部１１０は、入力装置により、セキュリティパラメータλ（１^λ）と、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ，ｕ_０，．．．，ｕ_ｄ，ｗ_０，．．．，ｗ_ｄ，ｚ_０，．．．，ｚ_ｄ）とを入力する。ここで、ｄは１以上の整数である。ｔ＝１，．．．，ｄの各整数ｔについてｎ_ｔは１以上の整数である。ｔ＝０，．．．，ｄまでの各整数ｔについてｕ_ｔ，ｗ_ｔ，ｚ_ｔは１以上の整数である。また、マスター鍵生成部１１０は、Ｎ_０：＝１＋ｕ_０＋１＋ｗ_０＋ｚ_０とし、ｔ＝１，．．．，ｄの各整数ｔについてＮ_ｔ：＝ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔとする。
（２）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλ（１^λ）を入力としてアルゴリズムＧ_ｂｐｇを実行して、ランダムに双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を生成する。
（３）マスター鍵生成部１１０は、処理装置により、乱数ψを生成する。

続いて、マスター鍵生成部１１０は、ｔ＝０，．．．，ｄの各整数ｔについて以下の（４）から（８）までの処理を実行する。
（４）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλ（１^λ）及びＮ_ｔと、（２）で生成したｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値とを入力としてアルゴリズムＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖｔ：＝（ｑ，Ｖ_ｔ，Ｇ_Ｔ，Ａ_ｔ，ｅ）の値を生成する。
（５）マスター鍵生成部１１０は、処理装置により、（３）で設定したＮ_ｔと、Ｆ_ｑとを入力として、線形変換Ｘ_ｔ：＝（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊをランダムに生成する。なお、ＧＬは、ＧｅｎｅｒａｌＬｉｎｅａｒの略である。つまり、ＧＬは、一般線形群であり、行列式が０でない正方行列の集合であり、乗法に関し群である。また、（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊは、行列χ_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，Ｎ_ｔである。
（６）マスター鍵生成部１１０は、処理装置により、乱数ψと線形変換Ｘ_ｔとに基づき、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊ：＝ψ・（Ｘ_ｔ ^Ｔ）^−１を生成する。なお、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊも（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊと同様に、行列ν_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，Ｎ_ｔである。
（７）マスター鍵生成部１１０は、処理装置により、（５）で生成した線形変換Ｘ_ｔに基づき、（４）で生成した標準基底Ａ_ｔから基底Ｂ_ｔを生成する。
（８）マスター鍵生成部１１０は、処理装置により、（６）で生成した（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊに基づき、（４）で生成した標準基底Ａ_ｔから基底Ｂ^＊ _ｔを生成する。
（９）マスター鍵生成部１１０は、処理装置により、ｇ_Ｔにｅ（ｇ，ｇ）^ψを設定する。また、マスター鍵生成部１１０は、ｐａｒａｍ_ｎ→に（４）で生成した｛ｐａｒａｍ_Ｖｔ｝_{ｔ＝０，．．．，ｄ}と、ｇ_Ｔとを設定する。なお、ｔ＝０，．．．，ｄとｉ＝１，．．．，Ｎ_ｔとの各整数ｔ，ｉについて、ｇ_Ｔ＝ｅ（ｂ_ｔ，ｉ，ｂ^＊ _ｔ，ｉ）である。

すなわち、（Ｓ１０１）で、マスター鍵生成部１１０は、数１２９に示すアルゴリズムＧ_ｏｂを実行して、ｐａｒａｍ_ｎ→と、ｔ＝０，．．．，ｄの各整数ｔについて基底Ｂ_ｔ及び基底Ｂ^＊ _ｔとを生成する。

（Ｓ１０２：マスター公開鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、基底Ｂ_０の部分基底Ｂ＾_０と、ｔ＝１，．．．，ｄの各整数ｔについて、基底Ｂ_ｔの部分基底Ｂ＾_ｔを数１３０に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾_０及び部分基底Ｂ＾_ｔと、（Ｓ１０１）で入力されたセキュリティパラメータλ（１^λ）と、（Ｓ１０１）で生成したｐａｒａｍ_ｎ→と、基底ベクトルｂ^＊ _{０，１＋ｕ０＋１＋１，．．．，}ｂ^＊ _{０，１＋ｕ０＋１＋ｗ０}（ここでｕ０、ｗ０は、ｕ_０，ｗ_０のことである）と、ｔ＝１，．．．，ｄの各整数ｔについて基底ベクトルｂ^＊ _{ｔ，ｎｔ＋ｕｔ＋１}，．．．，ｂ^＊ _{ｔ，ｎｔ＋ｕｔ＋ｗｔ}（ここでｎｔ，ｕｔ，ｗｔは、ｎ_ｔ，ｕ_ｔ，ｗ_ｔのことである）とを合わせて、マスター公開鍵ｐｋとする。

（Ｓ１０３：マスター秘密鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、基底Ｂ^＊ _０の部分基底Ｂ＾^＊ _０と、ｔ＝１，．．．，ｄの各整数ｔについて、基底Ｂ^＊ _ｔの部分基底Ｂ＾^＊ _ｔを数１３１に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾^＊ _０及び部分基底Ｂ＾^＊ _ｔとをマスター秘密鍵とする。

（Ｓ１０４：マスター鍵記憶ステップ）
マスター鍵記憶部１２０は、（Ｓ１０２）で生成したマスター公開鍵ｐｋを記憶装置に記憶する。また、マスター鍵記憶部１２０は、（Ｓ１０３）で生成したマスター秘密鍵ｓｋを記憶装置に記憶する。

つまり、（Ｓ１０１）から（Ｓ１０３）において、鍵生成装置１００は数１３２に示すＳｅｔｕｐアルゴリズムを実行して、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとを生成する。そして、（Ｓ１０４）で、鍵生成装置１００は生成された公開パラメータｐｋとマスター鍵ｓｋとを記憶装置に記憶する。
なお、マスター公開鍵ｐｋは、例えば、ネットワークを介して公開され、復号装置３００が取得可能な状態にされる。

次に、図１３に基づき、鍵生成装置１００が実行するＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ２０１：情報入力ステップ）
情報入力部１３０は、入力装置により、述語情報（ｖ^→ _１，．．．，ｖ^→ _Ｌ）：＝（（ｖ_１，ｉ（ｉ＝１，．．．，ｎ_１）），．．．，（ｖ_Ｌ，ｉ（ｉ＝１，．．．，ｎ_Ｌ）））を入力する。なお、述語情報としては、鍵を使用する者の属性が入力される。

（Ｓ２０２：乱数生成ステップ）
乱数生成部１４１は、処理装置により、ｊ＝１，．．．，２Ｌと，τ＝Ｌ＋１，．．．，ｄと，（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ）との各整数ｊ，τ，ιについて、乱数ψと、乱数ｓ_{ｄｅｃ，ｔ}，ｓ_{ｒａｎ，ｊ，ｔ}（ｔ＝１，．．．，Ｌ）と、乱数θ_{ｄｅｃ，ｔ}，θ_{ｒａｎ，ｊ，ｔ}，η^→ _{ｄｅｃ，ｔ}，η^→ _{ｒａｎ，ｊ，ｔ}（ｔ＝０，．．．，Ｌ）と、乱数ｓ_{ｒａｎ，（τ，ι），ｔ}，ｓ_{ｄｅｌ，（τ，ι），ｔ}（ｔ＝１，．．．，Ｌ＋１）と、乱数θ_{ｒａｎ，（τ，ι），ｔ}，θ_{ｄｅｌ，（τ，ι），ｔ}，η^→ _{ｒａｎ，（τ，ι），ｔ}，η^→ _{ｄｅｌ，（τ，ι），ｔ}（ｔ＝０，．．．，Ｌ＋１）とを数１３３に示すように生成する。

また、数１３４に示すようにｓ_{ｄｅｃ，０}と、ｓ_{ｒａｎ，ｊ，０}と、ｓ_{ｒａｎ，（τ，ι），０}と、ｓ_{ｄｅｌ，（τ，ι），０}とを設定する。

（Ｓ２０３：復号要素生成ステップ）
復号要素生成部１４２は、処理装置により、復号鍵ｓｋ_Ｌの要素である復号要素ｋ^＊ _{Ｌ，ｄｅｃ}を数１３５に示すように生成する。

なお、上述したように、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。したがって、数１３５は、以下のように、基底Ｂ^＊ _０及び基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトルの係数が設定され、復号要素ｋ^＊ _{Ｌ，ｄｅｃ}が生成されることを意味する。
まず、基底Ｂ^＊ _０の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _０，１，．．．，ｂ^＊ _０，３を意味する。
基底Ｂ^＊ _０の基底ベクトル１の係数として−ｓ_{ｄｅｃ，０}が設定される。基底ベクトル１＋１，．．．，１＋ｕ_０の係数として０が設定される。基底ベクトル１＋ｕ_０＋１の係数として１が設定される。基底ベクトル１＋ｕ_０＋１＋１，．．．，１＋ｕ_０＋１＋ｗ_０の係数としてη_{ｄｅｃ，０，１}，．．．，η_{ｄｅｃ，０，ｗｏ}（ここで、ｗ０はｗ_０のことである）が設定される。基底ベクトル１＋ｕ_０＋１＋ｗ_０＋１，．．．，１＋ｕ_０＋１＋ｗ_０＋ｚ_０の係数として０が設定される。
次に、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _ｔ，１，．．．，ｂ^＊ _ｔ，３を意味する。
基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１の係数としてｓ_{ｄｅｃ，ｔ}＋θ_{ｄｅｃ，ｔ}ｖ_ｔ，１が設定される。基底ベクトル２，．．．，ｎ_ｔの係数としてθ_{ｄｅｃ，ｔ}ｖ_ｔ，２，．．．，θ_{ｄｅｃ，ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｄｅｃ，ｔ，１}，．．．，η_{ｄｅｃ，ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。

（Ｓ２０４：第１ランダム化要素生成ステップ）
ランダム化要素生成部１４３は、処理装置により、ｊ＝１，．．．，２Ｌの各整数ｊについて、復号鍵ｓｋ_Ｌの要素である第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，ｊ}を数１３６に示すように生成する。

なお、上述したように、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。したがって、数１３６は、以下のように、基底Ｂ^＊ _０及び基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトルの係数が設定され、第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，ｊ}が生成されることを意味する。
まず、基底Ｂ^＊ _０の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _０，１，．．．，ｂ^＊ _０，３を意味する。
基底Ｂ^＊ _０の基底ベクトル１の係数として−ｓ_{ｒａｎ，ｊ，０}が設定される。基底ベクトル１＋１，．．．，１＋ｕ_０＋１の係数として０が設定される。基底ベクトル１＋ｕ_０＋１＋１，．．．，１＋ｕ_０＋１＋ｗ_０の係数としてη_{ｒａｎ，ｊ，０，１}，．．．，η_{ｒａｎ，ｊ，０，ｗｏ}（ここで、ｗ０はｗ_０のことである）が設定される。基底ベクトル１＋ｕ_０＋１＋ｗ_０＋１，．．．，１＋ｕ_０＋１＋ｗ_０＋ｚ_０の係数として０が設定される。
次に、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _ｔ，１，．．．，ｂ^＊ _ｔ，３を意味する。
基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１の係数としてｓ_{ｒａｎ，ｊ，ｔ}＋θ_{ｒａｎ，ｊ，ｔ}ｖ_ｔ，１が設定される。基底ベクトル２，．．．，ｎ_ｔの係数としてθ_{ｒａｎ，ｊ，ｔ}ｖ_ｔ，２，．．．，θ_{ｒａｎ，ｊ，ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｒａｎ，ｊ，ｔ，１}，．．．，η_{ｒａｎ，ｊ，ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。

（Ｓ２０５：第２ランダム化要素生成ステップ）
ランダム化要素生成部１４３は、処理装置により、τ＝Ｌ＋１，．．．，ｄの各整数τと、各整数τについてι＝１，．．．，ｎ_τの各整数ιとについて、復号鍵ｓｋ_Ｌの要素である第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，（τ，ι）}を数１３７に示すように生成する。

なお、上述したように、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。したがって、数１３７は、以下のように、基底Ｂ^＊ _０と基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）と基底Ｂ^＊ _τとの基底ベクトルの係数が設定され、第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，（τ，ι）}が生成されることを意味する。
まず、基底Ｂ^＊ _０の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _０，１，．．．，ｂ^＊ _０，３を意味する。
基底Ｂ^＊ _０の基底ベクトル１の係数として−ｓ_{ｒａｎ，（τ，ι），０}が設定される。基底ベクトル１＋１，．．．，１＋ｕ_０＋１の係数として０が設定される。基底ベクトル１＋ｕ_０＋１＋１，．．．，１＋ｕ_０＋１＋ｗ_０の係数としてη_{ｒａｎ，（τ，ι），０，１}，．．．，η_{ｒａｎ，（τ，ι），０，ｗｏ}（ここで、ｗ０はｗ_０のことである）が設定される。基底ベクトル１＋ｕ_０＋１＋ｗ_０＋１，．．．，１＋ｕ_０＋１＋ｗ_０＋ｚ_０の係数として０が設定される。
次に、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _ｔ，１，．．．，ｂ^＊ _ｔ，３を意味する。
基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１の係数としてｓ_{ｒａｎ，（τ，ι），ｔ}＋θ_{ｒａｎ，（τ，ι），ｔ}ｖ_ｔ，１が設定される。基底ベクトル２，．．．，ｎ_ｔの係数としてθ_{ｒａｎ，（τ，ι），ｔ}ｖ_ｔ，２，．．．，θ_{ｒａｎ，（τ，ι），ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｒａｎ，（τ，ι），ｔ，１}，．．．，η_{ｒａｎ，（τ，ι），ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。
次に、基底Ｂ^＊ _τの部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _τ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _τ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _τ，１，．．．，ｂ^＊ _τ，３を意味する。
基底Ｂ^＊ _τの基底ベクトル１の係数としてｓ_{ｒａｎ，（τ，ι），Ｌ＋１}が設定される。基底ベクトル２，．．．，ｎ_τ，．．．，ｎ_τ＋ｕ_τの係数として０が設定される。基底ベクトルｎ_τ＋ｕ_τ＋１，．．．，ｎ_τ＋ｕ_τ＋ｗ_τの係数としてη_{ｒａｎ，（τ，ι），Ｌ＋１，１}，．．．，η_{ｒａｎ，（τ，ι），Ｌ＋１，ｗτ}（ここで、ｗτはｗ_τのことである）が設定される。基底ベクトルｎ_τ＋ｕ_τ＋ｗ_τ＋１，．．．，ｎ_τ＋ｕ_τ＋ｗ_τ＋ｚ_τの係数として０が設定される。

（Ｓ２０６：委譲要素生成ステップ）
委譲要素生成部１４４は、処理装置により、τ＝Ｌ＋１，．．．，ｄの各整数τと、各整数τについてι＝１，．．．，ｎ_τの各整数ιとについて、復号鍵ｓｋ_Ｌの要素である委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι）}を数１３８に示すように生成する。

なお、上述したように、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。したがって、数１３８は、以下のように、基底Ｂ^＊ _０と基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）と基底Ｂ^＊ _τとの基底ベクトルの係数が設定され、委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι）}が生成されることを意味する。
まず、基底Ｂ^＊ _０の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _０，１，．．．，ｂ^＊ _０，３を意味する。
基底Ｂ^＊ _０の基底ベクトル１の係数として−ｓ_{ｄｅｌ，（τ，ι），０}が設定される。基底ベクトル１＋１，．．．，１＋ｕ_０＋１の係数として０が設定される。基底ベクトル１＋ｕ_０＋１＋１，．．．，１＋ｕ_０＋１＋ｗ_０の係数としてη_{ｄｅｌ，（τ，ι），０，１}，．．．，η_{ｄｅｌ，（τ，ι），０，ｗｏ}（ここで、ｗ０はｗ_０のことである）が設定される。基底ベクトル１＋ｕ_０＋１＋ｗ_０＋１，．．．，１＋ｕ_０＋１＋ｗ_０＋ｚ_０の係数として０が設定される。
次に、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _ｔ，１，．．．，ｂ^＊ _ｔ，３を意味する。
基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１の係数としてｓ_{ｄｅｌ，（τ，ι），ｔ}＋θ_{ｄｅｌ，（τ，ι），ｔ}ｖ_ｔ，１が設定される。基底ベクトル２，．．．，ｎ_ｔの係数としてθ_{ｄｅｌ，（τ，ι），ｔ}ｖ_ｔ，２，．．．，θ_{ｄｅｌ，（τ，ι），ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｄｅｌ，（τ，ι），ｔ，１}，．．．，η_{ｄｅｌ，（τ，ι），ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。
次に、基底Ｂ^＊ _τの部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _τ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _τ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _τ，１，．．．，ｂ^＊ _τ，３を意味する。
基底Ｂ^＊ _τの基底ベクトル１，．．．，ｎ_τの係数としてｓ_{ｄｅｌ，（τ，ι），Ｌ＋１}ｅ^→ _τ，１＋ψｅ^→ _τ，ιが設定される。基底ベクトルｎ_τ＋１，．．．，ｎ_τ＋ｕ_τの係数として０が設定される。基底ベクトルｎ_τ＋ｕ_τ＋１，．．．，ｎ_τ＋ｕ_τ＋ｗ_τの係数としてη_{ｄｅｌ，（τ，ι），Ｌ＋１，１}，．．．，η_{ｄｅｌ，（τ，ι），Ｌ＋１，ｗτ}（ここで、ｗτはｗ_τのことである）が設定される。基底ベクトルｎ_τ＋ｕ_τ＋ｗ_τ＋１，．．．，ｎ_τ＋ｕ_τ＋ｗ_τ＋ｚ_τの係数として０が設定される。

（Ｓ２０７：鍵配布ステップ）
鍵配布部１５０は、復号要素ｋ^＊ _{Ｌ，ｄｅｃ}と、第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，ｊ}（ｊ＝１，．．．，２Ｌ）と、第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，（τ，ι）}（τ＝Ｌ＋１，．．．，ｄ；（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ））と、委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι）}（τ＝Ｌ＋１，．．．，ｄ；（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ））とを要素とする復号鍵ｓｋ_Ｌを、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ配布する。もちろん、復号鍵ｓｋ_Ｌは、他の方法により復号装置３００へ配布されてもよい。

つまり、（Ｓ２０１）から（Ｓ２０６）において、鍵生成装置１００は数１３９、数１４０に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Ｌを生成する。そして、（Ｓ２０７）で、鍵生成装置１００は生成された復号鍵ｓｋ_Ｌを復号装置３００へ配布する。

暗号化装置２００の機能と動作とについて説明する。
図９に示すように、暗号化装置２００は、マスター公開鍵取得部２１０、情報入力部２２０（第２情報入力部）、暗号化データ生成部２３０、データ送信部２４０を備える。
また、情報入力部２２０は、属性情報入力部２２１、メッセージ入力部２２２を備える。また、暗号化データ生成部２３０は、乱数生成部２３１、暗号化データｃ１生成部２３２、暗号化データｃ２生成部２３３を備える。

図１４に基づき、暗号化装置２００が実行するＥｎｃアルゴリズムの処理について説明する。
（Ｓ３０１：マスター公開鍵取得ステップ）
マスター公開鍵取得部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成したマスター公開鍵ｐｋを取得する。

（Ｓ３０２：情報入力ステップ）
属性情報入力部２２１は、入力装置により、属性情報（ｘ^→ _１，．．．，ｘ^→ _Ｌ）：＝（（ｘ_１，ｉ（ｉ＝１，．．．，ｎ_１）），．．．，（ｘ_Ｌ，ｉ（ｉ＝１，．．．，ｎ_Ｌ）））を入力する。なお、属性情報としては、暗号化したメッセージを復号可能な者の属性が入力される。
また、メッセージ入力部２２２は、入力装置により、暗号化するメッセージｍを入力する。

（Ｓ３０３：乱数生成ステップ）
乱数生成部２３１は、処理装置により、乱数（ｘ^→ _Ｌ＋１，．．．，ｘ^→ _ｄ）：＝（（ｘ_{Ｌ＋１，ｉ}（ｉ＝１，．．．，ｎ_Ｌ＋１）），．．．，（ｘ_ｄ，ｉ（ｉ＝１，．．．，ｎ_ｄ）））と、乱数ω，ζ，φ^→ _ｔ（ｔ＝０，．．．，ｄ）とを数１４１に示すように生成する。

（Ｓ３０４：暗号化データｃ１生成ステップ）
暗号化データｃ１生成部２３２は、処理装置により、暗号化データｃｔの要素である暗号化データｃ_１を数１４２に示すように生成する。

なお、上述したように、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。したがって、数１４２は、以下のように、基底Ｂ_０及び基底Ｂ_ｔ（ｔ＝１，．．．，ｄ）の基底ベクトルの係数が設定され、暗号化データｃ_１が生成されることを意味する。
まず、基底Ｂ_０の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ_０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ_０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ_０，１，．．．，ｂ_０，３を意味する。
基底Ｂ_０の基底ベクトル１の係数としてωが設定される。基底ベクトル１＋１，．．．，１＋ｕ_０の係数として０が設定される。基底ベクトル１＋ｕ_０＋１の係数としてζが設定される。基底ベクトル１＋ｕ_０＋１＋１，．．．，１＋ｕ_０＋１＋ｗ_０の係数として０が設定される。基底ベクトル１＋ｕ_０＋１＋ｗ_０＋１，．．．，１＋ｕ_０＋１＋ｗ_０＋ｚ_０の係数としてφ_０，１，．．．，φ_０，ｚｏ（ここで、ｚ０はｚ_０のことである）が設定される。
次に、基底Ｂ_ｔ（ｔ＝１，．．．，ｄ）の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ_ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ_ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ_ｔ，１，．．．，ｂ_ｔ，３を意味する。
基底Ｂ_ｔ（ｔ＝１，．．．，ｄ）の基底ベクトル１，．．．，ｎ_ｔの係数としてωｘ_ｔ，１，．．．，ωｘ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数としてφ_ｔ，１，．．．，φ_ｔ，ｚｔ（ここで、ｚｔはｚ_ｔのことである）が設定される。

（Ｓ３０５：暗号化データｃ２生成ステップ）
暗号化データｃ２生成部２３３は、処理装置により、暗号化データｃｔの要素である暗号化データｃ_２を数１４３に示すように生成する。

（Ｓ３０６：データ送信ステップ）
データ送信部２４０は、暗号化データｃ_１と、暗号化データｃ_２とを含む暗号化データｃｔを、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号化データｃｔは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ３０１）から（Ｓ３０５）において、暗号化装置２００は数１４４に示すＥｎｃアルゴリズムを実行して、暗号化データｃｔを生成する。そして、（Ｓ３０６）で、暗号化装置２００は生成された暗号化データｃｔを復号装置３００へ送信する。

復号装置３００の機能と動作とについて説明する。
図１０に示すように、復号装置３００は、復号鍵取得部３１０、データ受信部３２０、ペアリング演算部３３０、メッセージ計算部３４０を備える。

図１５に基づき、復号装置３００が実行するＤｅｃアルゴリズムの処理について説明する。
（Ｓ４０１：復号鍵取得ステップ）
復号鍵取得部３１０は、例えば、通信装置によりネットワークを介して、復号鍵ｓｋ_Ｌを取得する。また、復号鍵取得部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ４０２：データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号化データｃｔを受信する。

（Ｓ４０３：ペアリング演算ステップ）
ペアリング演算部３３０は、処理装置により、数１４５に示すペアリング演算を行い、セッション鍵Ｋ＝ｇ_Ｔ ^ζを計算する。

なお、（ｖ^→ _１，．．．，ｖ^→ _Ｌ）と（ｘ^→ _１，．．．，ｘ^→ _Ｌ）との内積が０であれば、数１４５を計算することにより、セッション鍵Ｋが計算される。

（Ｓ４０４：メッセージ計算ステップ）
メッセージ計算部３４０は、処理装置により、暗号化データｃ２をセッション鍵Ｋで割ることにより、メッセージｍ’（＝ｍ）を計算する。

つまり、（Ｓ４０１）から（Ｓ４０４）において、復号装置３００は数１４６に示すＤｅｃアルゴリズムを実行して、メッセージｍ’（＝ｍ）を計算する。

鍵委譲装置４００の機能と動作とについて説明する。
図１１に示すように、鍵委譲装置４００は、復号鍵取得部４１０、情報入力部４２０（第３情報入力部）、委譲鍵生成部４３０、鍵配布部４４０（委譲鍵送信部）を備える。
また、委譲鍵生成部４３０は、乱数生成部４３１、下位復号要素生成部４３２、下位ランダム化要素生成部４３３、下位委譲要素生成部４３４を備える。

図１６に基づき、鍵委譲装置４００が実行するＤｅｌｅｇａｔｅ_Ｌアルゴリズムの処理について説明する。
（Ｓ５０１：復号鍵取得ステップ）
復号鍵取得部４１０は、例えば、通信装置によりネットワークを介して、復号鍵ｓｋ_Ｌを取得する。また、復号鍵取得部４１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ５０２：情報入力ステップ）
情報入力部４２０は、入力装置により、述語情報ｖ^→ _Ｌ＋１：＝（ｖ_{Ｌ＋１，ｉ}（ｉ＝１，．．．，ｎ_Ｌ＋１））を入力する。なお、述語情報としては、鍵を委譲される者の属性が入力される。

（Ｓ５０３：乱数生成ステップ）
乱数生成部４３１は、処理装置により、ｊ＝１，．．．，２Ｌと，ｊ’＝１，．．．，２（Ｌ＋１）と，τ＝Ｌ＋２，．．．，ｄと，（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ）と，ｔ＝０，．．．，Ｌ＋１，τと，（ｔ，ｉ）＝（ｔ，１），．．．，（ｔ，ｎ_ｔ）との各整数ｊ，ｊ’，τ，ι，ｔ，ｉについて、乱数α_{ｄｅｃ，ｊ}，σ_ｄｅｃ，α_{ｒａｎ，ｊ’，ｊ}，σ_{ｒａｎ，ｊ’}，α_{ｒａｎ，（τ，ι），ｊ}，σ_{ｒａｎ，（τ，ι）}，φ_{ｒａｎ，（τ，ι）}，α_{ｄｅｌ，（τ，ι），ｊ}，σ_{ｄｅｌ，（τ，ι）}，φ_{ｄｅｌ，（τ，ι）}，ψ’，η_{ｄｅｃ，（ｔ，ｉ）}，η_{ｒａｎ，ｊ’，（ｔ，ｉ）}，η_{ｒａｎ，（τ，ι），（ｔ，ｉ）}，η_{ｄｅｌ，（τ，ι），（ｔ，ｉ）}を数１４７に示すように生成する。

（Ｓ５０４：下位復号要素生成ステップ）
下位復号要素生成部４３２は、処理装置により、委譲鍵ｓｋ_Ｌ＋１の要素である下位復号要素ｋ^＊ _{Ｌ＋１，ｄｅｃ}を数１４８に示すように生成する。

（Ｓ５０５：第１下位ランダム化要素生成ステップ）
下位ランダム化要素生成部４３３は、処理装置により、ｊ’＝１，．．．，２（Ｌ＋１）の各整数ｊ’について、委譲鍵ｓｋ_Ｌ＋１の要素である第１下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，ｊ’}を数１４９に示すように生成する。

（Ｓ５０６：第２下位ランダム化要素生成ステップ）
下位ランダム化要素生成部４３３は、処理装置により、τ＝Ｌ＋２，．．．，ｄの各整数τと、各整数τに関してι＝１，．．．，ｎ_τの各整数ιとについて、委譲鍵ｓｋ_Ｌ＋１の要素である第２下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，（τ，ι）}を数１５０に示すように生成する。

（Ｓ５０７：下位委譲要素生成ステップ）
下位委譲要素生成部４３４は、処理装置により、τ＝Ｌ＋２，．．．，ｄの各整数τと、各整数τについてι＝１，．．．，ｎ_τの各整数ιとについて、委譲鍵ｓｋ_Ｌ＋１の要素である下位委譲要素ｋ^＊ _{Ｌ＋１，ｄｅｌ，（τ，ι）}を数１５１に示すように生成する。

（Ｓ５０８：鍵配布ステップ）
鍵配布部１５０は、下位復号要素ｋ^＊ _{Ｌ＋１，ｄｅｃ}と、第１下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，ｊ’}（ｊ’＝１，．．．，２（Ｌ＋１））と、第２下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，（τ，ι）}（τ＝Ｌ＋２，．．．，ｄ；（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ））と、下位委譲要素ｋ^＊ _{Ｌ＋１，ｄｅｌ，（τ，ι）}（τ＝Ｌ＋２，．．．，ｄ；（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ））とを要素とする委譲鍵ｓｋ_Ｌ＋１（下位の復号鍵）を、例えば通信装置によりネットワークを介して秘密裡に下位の復号装置３００へ配布する。もちろん、委譲鍵ｓｋ_Ｌ＋１は、他の方法により下位の復号装置３００へ配布されてもよい。

つまり、（Ｓ５０１）から（Ｓ５０７）において、鍵委譲装置４００は数１５２、１５３に示すＤｅｌｅｇａｔｅ_Ｌアルゴリズムを実行して、委譲鍵ｓｋ_Ｌ＋１を生成する。そして、（Ｓ５０８）で、鍵委譲装置４００は生成された委譲鍵ｓｋ_Ｌ＋１を下位の復号装置３００へ配布する。

なお、下位の復号装置３００が、委譲鍵ｓｋ_Ｌ＋１を用いてＤｅｃアルゴリズムを実行した場合、図１５の（Ｓ４０３）では、（ｖ^→ _１，．．．，ｖ^→ _Ｌ＋１）と（ｘ^→ _１，．．．，ｘ^→ _Ｌ＋１）との内積が０であれば、数１４５を計算することにより、セッション鍵Ｋが計算される。

以上のように、実施の形態１に係る暗号処理システム１０は、ｄ＋１個のＮ_ｔ（ｔ＝０，．．．，ｄ）次元空間を用いて、ｄ階層の階層的内積述語暗号方式を実現する。ここで、第Ｌ層目（１≦Ｌ≦ｄ）の暗号処理に必要な空間は、Ｌ＋１個のＮ_ｔ（ｔ＝０，．．．，Ｌ）次元空間である。したがって、鍵のサイズを小さくでき、演算等の効率をよくすることができる。また、鍵を記録するメモリやレジスタ等の領域も小さくなる。

なお、上記説明において、ｕ_ｔ、ｗ_ｔ、ｚ_ｔ（ｔ＝０，．．．，ｄ）の次元は、安全性を高めるために設けた次元である。したがって、安全性が低くなってしまうが、ｕ_ｔ、ｗ_ｔ、ｚ_ｔ（ｔ＝０，．．．，ｄ）をそれぞれ０として、ｕ_ｔ、ｗ_ｔ、ｚ_ｔ（ｔ＝０，．．．，ｄ）の次元を設けなくてもよい。

また、上記説明では、Ｎ_０に１＋ｕ_０＋１＋ｗ_０＋ｚ_０を設定し、Ｎ_ｔにｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔを設定した。しかし、１＋ｕ_０＋１＋ｗ_０＋ｚ_０を１＋１＋１＋１＋１としてＮ_０に５を設定し、ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔをｎ_ｔ＋ｎ_ｔ＋ｎ_ｔ＋１としてＮ_ｔに３ｎ_ｔ＋１を設定してもよい。
この場合、数１３２に示すＳｅｔｕｐアルゴリズムは、数１５４のように書き換えられる。なお、Ｇ_ｏｂは数１５５のように書き換えられる。

また、数１３９、数１４０に示すＫｅｙＧｅｎアルゴリズムは、数１５６、数１５７のように書き換えられる。

また、数１４４に示すＥｎｃアルゴリズムは、数１５８のように書き換えられる。

また、数１５２、数１５３に示すＤｅｌｅｇａｔｅ_Ｌアルゴリズムは、数１５９、数１６０のように書き換えられる。

なお、数１４６に示すＤｅｃアルゴリズムに変更はない。

また、Ｓｅｔｕｐアルゴリズムは、暗号処理システム１０のセットアップ時に一度実行すればよく、復号鍵を生成する度に実行する必要はない。また、上記説明では、ＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとを鍵生成装置１００が実行するとしたが、ＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとをそれぞれ異なる装置が実行するとしてもよい。

実施の形態２．
この実施の形態では、実施の形態１で説明した方式を一般化した階層的内積述語暗号方式について説明する。

実施の形態１で説明した階層的内積述語暗号方式では、原則として暗号化データｃｔに設定された属性情報と、復号鍵に設定された述語情報との内積が０の場合に、暗号化データｃｔを復号鍵で復号可能であった。
しかし、実施の形態２で説明する階層的内積述語暗号方式では、暗号化データｃｔに設定された属性情報と、復号鍵に設定された述語情報との内積が０とならない場合であっても復号可能となるように設定できる。
具体的には、以下の説明において、ρ_ｔ（ｔ＝１，．．．，ｄ）の値が０である整数ｔについては、属性情報ｘ^→ _ｔと述語情報ｖ^→ _ｔとの内積が０となり、ρ_ｔ（ｔ＝１，．．．，ｄ）の値が１である整数ｔについては、属性情報ｘ^→ _ｔと述語情報ｖ^→ _ｔとの内積が０とならない場合に、復号可能となる。
これにより、例えば、ρ_ｔ（ｔ＝１，．．．，ｄ）の値の設定に応じて、肯定形の条件式（例えば、属性情報＝述語情報）と否定形の条件式（属性情報≠述語情報）との設定をすることができる。

図１７から図１９に基づき、実施の形態２に係る階層的内積述語暗号方式、及び、階層的内積述語暗号方式を実行する暗号処理システム１０の機能と動作とについて説明する。
なお、実施の形態２に係る暗号処理システム１０の機能構成については、図８から図１１に示す実施の形態１に係る暗号処理システム１０の機能構成と同一である。
図１７は、鍵生成装置１００の動作を示すフローチャートであり、ＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図１８は、復号装置３００の動作を示すフローチャートであり、Ｄｅｃアルゴリズムの処理を示すフローチャートである。図１９は、鍵委譲装置４００の動作を示すフローチャートであり、Ｄｅｌｅｇａｔｅ_Ｌアルゴリズムの処理を示すフローチャートである。
なお、実施の形態２に係るＳｅｔｕｐアルゴリズムとＥｎｃアルゴリズムとの処理は、実施の形態１に係るＳｅｔｕｐアルゴリズムとＥｎｃアルゴリズムとの処理と同一であるため、説明を省略する。但し、Ｅｎｃアルゴリズムでは、暗号化データｃｔに、暗号化データｃ_１，ｃ_２だけでなく、属性情報ｘ^→ _ｉ（ｉ＝１，．．．，Ｌ）も含めて、復号装置３００へ送信する。

図１７に基づき、鍵生成装置１００が実行するＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ６０１：情報入力ステップ）
情報入力部１３０は、入力装置により、述語情報（（ｖ^→ _１，ρ_１），．．．，（ｖ^→ _Ｌ，ρ_Ｌ））：＝（（ｖ_１，ｉ（ｉ＝１，．．．，ｎ_１），ρ_１∈｛０，１｝），．．．，（ｖ_Ｌ，ｉ（ｉ＝１，．．．，ｎ_Ｌ），ρ_Ｌ∈｛０，１｝））を入力する。なお、述語情報としては、鍵を使用する者の属性が入力される。

（Ｓ６０２：乱数生成ステップ）
乱数生成部１４１は、処理装置により、ｊ＝１，．．．，２Ｌと、τ＝Ｌ＋１，．．．，ｄと、（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ）との各整数ｊ，τ，ιについて、乱数ψと、乱数ｓ_{ｄｅｃ，ｔ}，ｓ_{ｒａｎ，ｊ，ｔ}（ｔ＝１，．．．，Ｌ）と、乱数θ_{ｄｅｃ，ｔ}，θ_{ｒａｎ，ｊ，ｔ}，η^→ _{ｄｅｃ，ｔ}，η^→ _{ｒａｎ，ｊ，ｔ}，η^→ _{ｒａｎ，０，ｔ}，η^→ _{ｄｅｌ，０，ｔ}，η^→ _{ｄｅｌ，１，ｔ}（ｔ＝０，．．．，Ｌ）と、乱数ｓ_{ｒａｎ，０，ｔ}，ｓ_{ｄｅｌ，０，ｔ}，ｓ_{ｄｅｌ，１，ｔ}（ｔ＝０，．．．，Ｌ＋１）と、乱数θ_{ｒａｎ，０，ｔ}，θ_{ｄｅｌ，０，ｔ}，θ_{ｄｅｌ，１，ｔ}（ｔ＝０，．．．，Ｌ＋１）と、乱数η^→ _{ｒａｎ，（τ，ι）}，η^→ _{ｄｅｌ，０，（τ，ι）}，η^→ _{ｄｅｌ，１，（τ，ι）}とを数１６１に示すように生成する。

また、数１６２に示すようにｓ_{ｄｅｃ，０}と、ｓ_{ｒａｎ，ｊ，０}と、ｓ_{ｒａｎ，０，０}と、ｓ_{ｄｅｌ，０，０}と、ｓ_{ｄｅｌ，１，０}とを設定する。

（Ｓ６０３：復号要素生成ステップ）
復号要素生成部１４２は、処理装置により、復号鍵ｓｋ_Ｌの要素である復号要素ｋ^＊ _{Ｌ，ｄｅｃ}を数１６３に示すように生成する。

なお、上述したように、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。したがって、数１６３は、以下のように、基底Ｂ^＊ _０及び基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトルの係数が設定され、復号要素ｋ^＊ _{Ｌ，ｄｅｃ}が生成されることを意味する。
まず、基底Ｂ^＊ _０の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _０，１，．．．，ｂ^＊ _０，３を意味する。
基底Ｂ^＊ _０の基底ベクトル１の係数として−ｓ_{ｄｅｃ，０}が設定される。基底ベクトル１＋１，．．．，１＋ｕ_０の係数として０が設定される。基底ベクトル１＋ｕ_０＋１の係数として１が設定される。基底ベクトル１＋ｕ_０＋１＋１，．．．，１＋ｕ_０＋１＋ｗ_０の係数としてη_{ｄｅｃ，０，１}，．．．，η_{ｄｅｃ，０，ｗｏ}（ここで、ｗ０はｗ_０のことである）が設定される。基底ベクトル１＋ｕ_０＋１＋ｗ_０＋１，．．．，１＋ｕ_０＋１＋ｗ_０＋ｚ_０の係数として０が設定される。
次に、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _ｔ，１，．．．，ｂ^＊ _ｔ，３を意味する。また、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）については、ρ_ｔの値が０であるか、１であるかによって場合分けされる。
ρ_ｔの値が０の場合、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１の係数としてｓ_{ｄｅｃ，ｔ}＋θ_{ｄｅｃ，ｔ}ｖ_ｔ，１が設定される。基底ベクトル２，．．．，ｎ_ｔの係数としてθ_{ｄｅｃ，ｔ}ｖ_ｔ，２，．．．，θ_{ｄｅｃ，ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｄｅｃ，ｔ，１}，．．．，η_{ｄｅｃ，ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。
一方、ρ_ｔの値が１の場合、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１，．．．，ｎ_ｔの係数としてｓ_{ｄｅｃ，ｔ}ｖ_ｔ，１，．．．，ｓ_{ｄｅｃ，ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｄｅｃ，ｔ，１}，．．．，η_{ｄｅｃ，ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。

（Ｓ６０４：第１ランダム化要素生成ステップ）
ランダム化要素生成部１４３は、処理装置により、ｊ＝１，．．．，２Ｌの各整数ｊについて、復号鍵ｓｋ_Ｌの要素である第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，ｊ}を数１６４に示すように生成する。

なお、上述したように、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。したがって、数１６４は、以下のように、基底Ｂ^＊ _０及び基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトルの係数が設定され、第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，ｊ}が生成されることを意味する。
まず、基底Ｂ^＊ _０の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _０，１，．．．，ｂ^＊ _０，３を意味する。
基底Ｂ^＊ _０の基底ベクトル１の係数として−ｓ_{ｒａｎ，ｊ，０}が設定される。基底ベクトル１＋１，．．．，１＋ｕ_０＋１の係数として０が設定される。基底ベクトル１＋ｕ_０＋１＋１，．．．，１＋ｕ_０＋１＋ｗ_０の係数としてη_{ｒａｎ，ｊ，０，１}，．．．，η_{ｒａｎ，ｊ，０，ｗｏ}（ここで、ｗ０はｗ_０のことである）が設定される。基底ベクトル１＋ｕ_０＋１＋ｗ_０＋１，．．．，１＋ｕ_０＋１＋ｗ_０＋ｚ_０の係数として０が設定される。
次に、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _ｔ，１，．．．，ｂ^＊ _ｔ，３を意味する。また、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）については、ρ_ｔの値が０であるか、１であるかによって場合分けされる。
ρ_ｔの値が０の場合、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１の係数としてｓ_{ｒａｎ，ｊ，ｔ}＋θ_{ｒａｎ，ｊ，ｔ}ｖ_ｔ，１が設定される。基底ベクトル２，．．．，ｎ_ｔの係数としてθ_{ｒａｎ，ｊ，ｔ}ｖ_ｔ，２，．．．，θ_{ｒａｎ，ｊ，ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｒａｎ，ｊ，ｔ，１}，．．．，η_{ｒａｎ，ｊ，ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。
一方、ρ_ｔの値が１の場合、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１，．．．，ｎ_ｔの係数としてｓ_{ｒａｎ，ｊ，ｔ}ｖ_ｔ，１，．．．，ｓ_{ｒａｎ，ｊ，ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｒａｎ，ｊ，ｔ，１}，．．．，η_{ｒａｎ，ｊ，ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。

（Ｓ６０５：第２ランダム化要素生成ステップ）
ランダム化要素生成部１４３は、処理装置により、τ＝Ｌ＋１，．．．，ｄの各整数τと、各整数τに関してι＝１，．．．，ｎ_τの各整数ιとについて、復号鍵ｓｋ_Ｌの要素である第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，（τ，ι，０）}を数１６５に示すように生成する。

なお、上述したように、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。したがって、数１６５は、以下のように、基底Ｂ^＊ _０と基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）と基底Ｂ^＊ _τとの基底ベクトルの係数が設定され、第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，（τ，ι，０）}が生成されることを意味する。
まず、基底Ｂ^＊ _０の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _０，１，．．．，ｂ^＊ _０，３を意味する。
基底Ｂ^＊ _０の基底ベクトル１の係数として−ｓ_{ｒａｎ，０，０}が設定される。基底ベクトル１＋１，．．．，１＋ｕ_０＋１の係数として０が設定される。基底ベクトル１＋ｕ_０＋１＋１，．．．，１＋ｕ_０＋１＋ｗ_０の係数としてη_{ｒａｎ，０，０，１}，．．．，η_{ｒａｎ，０，０，ｗｏ}（ここで、ｗ０はｗ_０のことである）が設定される。基底ベクトル１＋ｕ_０＋１＋ｗ_０＋１，．．．，１＋ｕ_０＋１＋ｗ_０＋ｚ_０の係数として０が設定される。
次に、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _ｔ，１，．．．，ｂ^＊ _ｔ，３を意味する。また、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）については、ρ_ｔの値が０であるか、１であるかによって場合分けされる。
ρ_ｔの値が０の場合、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１の係数としてｓ_{ｒａｎ，０，ｔ}＋θ_{ｒａｎ，０，ｔ}ｖ_ｔ，１が設定される。基底ベクトル２，．．．，ｎ_ｔの係数としてθ_{ｒａｎ，０，ｔ}ｖ_ｔ，２，．．．，θ_{ｒａｎ，０，ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｒａｎ，０，ｔ，１}，．．．，η_{ｒａｎ，０，ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。
一方、ρ_ｔの値が１の場合、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１，．．．，ｎ_ｔの係数としてｓ_{ｒａｎ，０，ｔ}ｖ_ｔ，１，．．．，ｓ_{ｒａｎ，０，ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｒａｎ，０，ｔ，１}，．．．，η_{ｒａｎ，０，ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。
次に、基底Ｂ^＊ _τの部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _τ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _τ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _τ，１，．．．，ｂ^＊ _τ，３を意味する。
基底Ｂ^＊ _τの基底ベクトル１の係数としてｓ_{ｒａｎ，０，Ｌ＋１}が設定される。基底ベクトル２，．．．，ｎ_τ，．．．，ｎ_τ＋ｕ_τの係数として０が設定される。基底ベクトルｎ_τ＋ｕ_τ＋１，．．．，ｎ_τ＋ｕ_τ＋ｗ_τの係数としてη_{ｒａｎ，０，（τ，ι），１}，．．．，η_{ｒａｎ，０，（τ，ι）ｓ，ｗτ}（ここで、ｗτはｗ_τのことである）が設定される。基底ベクトルｎ_τ＋ｕ_τ＋ｗ_τ＋１，．．．，ｎ_τ＋ｕ_τ＋ｗ_τ＋ｚ_τの係数として０が設定される。

（Ｓ６０６：第１委譲要素生成ステップ）
委譲要素生成部１４４は、処理装置により、τ＝Ｌ＋１，．．．，ｄの各整数τと、各整数τに関してι＝１，．．．，ｎ_τの各整数ιとについて、復号鍵ｓｋ_Ｌの要素である第１委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，０）}を数１６６に示すように生成する。

なお、上述したように、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。したがって、数１６６は、以下のように、基底Ｂ^＊ _０と基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）と基底Ｂ^＊ _τとの基底ベクトルの係数が設定され、第１委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，０）}が生成されることを意味する。
まず、基底Ｂ^＊ _０の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _０，１，．．．，ｂ^＊ _０，３を意味する。
基底Ｂ^＊ _０の基底ベクトル１の係数として−ｓ_{ｄｅｌ，０，０}が設定される。基底ベクトル１＋１，．．．，１＋ｕ_０＋１の係数として０が設定される。基底ベクトル１＋ｕ_０＋１＋１，．．．，１＋ｕ_０＋１＋ｗ_０の係数としてη_{ｄｅｌ，０，０，１}，．．．，η_{ｄｅｌ，０，０，ｗｏ}（ここで、ｗ０はｗ_０のことである）が設定される。基底ベクトル１＋ｕ_０＋１＋ｗ_０＋１，．．．，１＋ｕ_０＋１＋ｗ_０＋ｚ_０の係数として０が設定される。
次に、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _ｔ，１，．．．，ｂ^＊ _ｔ，３を意味する。また、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）については、ρ_ｔの値が０であるか、１であるかによって場合分けされる。
ρ_ｔの値が０の場合、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１の係数としてｓ_{ｄｅｌ，０，ｔ}＋θ_{ｄｅｌ，０，ｔ}ｖ_ｔ，１が設定される。基底ベクトル２，．．．，ｎ_ｔの係数としてθ_{ｄｅｌ，０，ｔ}ｖ_ｔ，２，．．．，θ_{ｄｅｌ，０，ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｄｅｌ，０，ｔ，１}，．．．，η_{ｄｅｌ，０，ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。
一方、ρ_ｔの値が１の場合、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１，．．．，ｎ_ｔの係数としてｓ_{ｄｅｌ，０，ｔ}ｖ_ｔ，１，．．．，ｓ_{ｄｅｌ，０，ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｄｅｌ，０，ｔ，１}，．．．，η_{ｄｅｌ，０，ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。
次に、基底Ｂ^＊ _τの部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _τ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _τ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _τ，１，．．．，ｂ^＊ _τ，３を意味する。
基底Ｂ^＊ _τの基底ベクトル１，．．．，ｎ_τの係数としてｓ_{ｄｅｌ，０，Ｌ＋１}ｅ^→ _τ，１＋ψｅ^→ _τ，ιが設定される。基底ベクトルｎ_τ＋１，．．．，ｎ_τ＋ｕ_τの係数として０が設定される。基底ベクトルｎ_τ＋ｕ_τ＋１，．．．，ｎ_τ＋ｕ_τ＋ｗ_τの係数としてη_{ｄｅｌ，０，（τ，ι），１}，．．．，η_{ｄｅｌ，０，（τ，ι），ｗτ}（ここで、ｗτはｗ_τのことである）が設定される。基底ベクトルｎ_τ＋ｕ_τ＋ｗ_τ＋１，．．．，ｎ_τ＋ｕ_τ＋ｗ_τ＋ｚ_τの係数として０が設定される。

（Ｓ６０７：第２委譲要素生成ステップ）
委譲要素生成部１４４は、処理装置により、τ＝Ｌ＋１，．．．，ｄの各整数τと、各整数τに関してι＝１，．．．，ｎ_τの各整数ιとについて、復号鍵ｓｋ_Ｌの要素である第２委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，１）}を数１６７に示すように生成する。

なお、上述したように、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。したがって、数１６７は、以下のように、基底Ｂ^＊ _０と基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）と基底Ｂ^＊ _τとの基底ベクトルの係数が設定され、第２委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，１）}が生成されることを意味する。
まず、基底Ｂ^＊ _０の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _０，１，．．．，ｂ^＊ _０，３を意味する。
基底Ｂ^＊ _０の基底ベクトル１の係数として−ｓ_{ｄｅｌ，１，０}が設定される。基底ベクトル１＋１，．．．，１＋ｕ_０＋１の係数として０が設定される。基底ベクトル１＋ｕ_０＋１＋１，．．．，１＋ｕ_０＋１＋ｗ_０の係数としてη_{ｄｅｌ，１，０，１}，．．．，η_{ｄｅｌ，１，０，ｗｏ}（ここで、ｗ０はｗ_０のことである）が設定される。基底ベクトル１＋ｕ_０＋１＋ｗ_０＋１，．．．，１＋ｕ_０＋１＋ｗ_０＋ｚ_０の係数として０が設定される。
次に、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _ｔ，１，．．．，ｂ^＊ _ｔ，３を意味する。また、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）については、ρ_ｔの値が０であるか、１であるかによって場合分けされる。
ρ_ｔの値が０の場合、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１の係数としてｓ_{ｄｅｌ，１，ｔ}＋θ_{ｄｅｌ，１，ｔ}ｖ_ｔ，１が設定される。基底ベクトル２，．．．，ｎ_ｔの係数としてθ_{ｄｅｌ，１，ｔ}ｖ_ｔ，２，．．．，θ_{ｄｅｌ，１，ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｄｅｌ，１，ｔ，１}，．．．，η_{ｄｅｌ，１，ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。
一方、ρ_ｔの値が１の場合、基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ）の基底ベクトル１，．．．，ｎ_ｔの係数としてｓ_{ｄｅｌ，１，ｔ}ｖ_ｔ，１，．．．，ｓ_{ｄｅｌ，１，ｔ}ｖ_ｔ，ｎｔ（ここで、ｎｔはｎ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔの係数として０が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔの係数としてη_{ｄｅｌ，１，ｔ，１}，．．．，η_{ｄｅｌ，１，ｔ，ｗｔ}（ここで、ｗｔはｗ_ｔのことである）が設定される。基底ベクトルｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋１，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔの係数として０が設定される。
次に、基底Ｂ^＊ _τの部分について説明する。ここでは、表記を簡略化して、基底ベクトルｂ^＊ _τ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ^＊ _τ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ^＊ _τ，１，．．．，ｂ^＊ _τ，３を意味する。
基底Ｂ^＊ _τの基底ベクトル１，．．．，ｎ_τの係数としてｓ_{ｄｅｌ，１，Ｌ＋１}ｅ^→ _τ，ιが設定される。基底ベクトルｎ_τ＋１，．．．，ｎ_τ＋ｕ_τの係数として０が設定される。基底ベクトルｎ_τ＋ｕ_τ＋１，．．．，ｎ_τ＋ｕ_τ＋ｗ_τの係数としてη_{ｄｅｌ，１，（τ，ι），１}，．．．，η_{ｄｅｌ，１，（τ，ι），ｗτ}（ここで、ｗτはｗ_τのことである）が設定される。基底ベクトルｎ_τ＋ｕ_τ＋ｗ_τ＋１，．．．，ｎ_τ＋ｕ_τ＋ｗ_τ＋ｚ_τの係数として０が設定される。

（Ｓ６０８：鍵配布ステップ）
鍵配布部１５０は、復号要素ｋ^＊ _{Ｌ，ｄｅｃ}と、第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，ｊ}（ｊ＝１，．．．，２Ｌ）と、第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，（τ，ι，０）}（τ＝Ｌ＋１，．．．，ｄ；（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ））と、第１委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，０）}（τ＝Ｌ＋１，．．．，ｄ；（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ））と、第２委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，１）}（τ＝Ｌ＋１，．．．，ｄ；（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ））とを要素とする復号鍵ｓｋ_Ｌを、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ配布する。もちろん、復号鍵ｓｋ_Ｌは、他の方法により復号装置３００へ配布されてもよい。

つまり、（Ｓ６０１）から（Ｓ６０７）において、鍵生成装置１００は数１６８、数１６９に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Ｌを生成する。そして、（Ｓ６０８）で、鍵生成装置１００は生成された復号鍵ｓｋ_Ｌを復号装置３００へ配布する。

図１８に基づき、復号装置３００が実行するＤｅｃアルゴリズムの処理について説明する。
（Ｓ７０１：復号鍵取得ステップ）
復号鍵取得部３１０は、例えば、通信装置によりネットワークを介して、復号鍵ｓｋ_Ｌを取得する。また、復号鍵取得部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ７０２：データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号化データｃｔを受信する。

（Ｓ７０３：ペアリング演算ステップ）
ペアリング演算部３３０は、処理装置により、数１７０に示すペアリング演算を行い、セッション鍵Ｋ＝ｇ_Ｔ ^ζを計算する。

ここで、数１７１である。

なお、ｔ＝１，．．．，Ｌの各整数ｔに関して、ρ_ｔ＝０の整数ｔについてｖ^→ _ｔとｘ^→ _ｔとの内積が０であり、ρ_ｔ＝１の整数ｔについてｖ^→ _ｔとｘ^→ _ｔとの内積が０でなければ、数１７０を計算することにより、セッション鍵Ｋが計算される。

（Ｓ７０４：メッセージ計算ステップ）
メッセージ計算部３４０は、処理装置により、暗号化データｃ２をセッション鍵Ｋで割ることにより、メッセージｍ’（＝ｍ）を計算する。

つまり、（Ｓ７０１）から（Ｓ７０４）において、復号装置３００は数１７２に示すＤｅｃアルゴリズムを実行して、メッセージｍ’（＝ｍ）を計算する。

図１９に基づき、鍵委譲装置４００が実行するＤｅｌｅｇａｔｅ_Ｌアルゴリズムの処理について説明する。
（Ｓ８０１：復号鍵取得ステップ）
復号鍵取得部４１０は、例えば、通信装置によりネットワークを介して、復号鍵ｓｋ_Ｌを取得する。また、復号鍵取得部４１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ８０２：情報入力ステップ）
情報入力部４２０は、入力装置により、述語情報（ｖ^→ _Ｌ＋１，ρ_Ｌ＋１）：＝（ｖ_{Ｌ＋１，ｉ}（ｉ＝１，．．．，ｎ_Ｌ＋１），ρ_Ｌ＋１∈｛０，１｝）を入力する。なお、述語情報としては、鍵を委譲される者の属性が入力される。

（Ｓ８０３：乱数生成ステップ）
乱数生成部４３１は、処理装置により、ｊ＝１，．．．，２Ｌと，ｊ’＝１，．．．，２（Ｌ＋１）と，τ＝Ｌ＋２，．．．，ｄと，（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ）と，ｔ＝０，．．．，Ｌ＋１，τと，（ｔ，ｉ）＝（ｔ，１），．．．，（ｔ，ｎ_ｔ）との各整数ｊ，ｊ’，τ，ι，ｔ，ｉについて、乱数α_{ｄｅｃ，ｊ}，σ_ｄｅｃ，α_{ｒａｎ，ｊ’，ｊ}，σ_{ｒａｎ，ｊ’}，α_{ｒａｎ，（τ，ι，０），ｊ}，σ_{ｒａｎ，（τ，ι，０）}，φ_{ｒａｎ，（τ，ι，０）}，α_{ｄｅｌ，（τ，ι，０），ｊ}，σ_{ｄｅｌ，（τ，ι，０）}，φ_{ｄｅｌ，（τ，ι，０）}，α_{ｄｅｌ，（τ，ι，１），ｊ}，σ_{ｄｅｌ，（τ，ι，１）}，φ_{ｄｅｌ，（τ，ι，１）}，η_{ｄｅｃ，（ｔ，ｉ）}，η_{ｒａｎ，ｊ’，（ｔ，ｉ）}，η_{ｒａｎ，（τ，ι，０），（ｔ，ｉ）}，η_{ｄｅｌ，（τ，ι，０），（ｔ，ｉ）}，η_{ｄｅｌ，（τ，ι，１），（ｔ，ｉ）}，ψ_０，ψ_１を数１７３に示すように生成する。

（Ｓ８０４：下位復号要素生成ステップ）
下位復号要素生成部４３２は、処理装置により、委譲鍵ｓｋ_Ｌ＋１の要素である下位復号要素ｋ^＊ _{Ｌ＋１，ｄｅｃ}を数１７４に示すように生成する。

（Ｓ８０５：第１下位ランダム化要素生成ステップ）
下位ランダム化要素生成部４３３は、処理装置により、ｊ’＝１，．．．，２（Ｌ＋１）の各整数ｊ’について、委譲鍵ｓｋ_Ｌ＋１の要素である第１下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，ｊ’}を数１７５に示すように生成する。

（Ｓ８０６：第２下位ランダム化要素生成ステップ）
下位ランダム化要素生成部４３３は、処理装置により、τ＝Ｌ＋２，．．．，ｄの各整数τと、各整数τについてι＝１，．．．，ｎ_τの各整数ιとについて、委譲鍵ｓｋ_Ｌ＋１の要素である第２下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，（τ，ι）}を数１７６に示すように生成する。

（Ｓ８０７：第１下位委譲要素生成ステップ）
下位委譲要素生成部４３４は、処理装置により、τ＝Ｌ＋２，．．．，ｄの各整数τと、各整数τについてι＝１，．．．，ｎ_τの各整数ιとについて、委譲鍵ｓｋ_Ｌ＋１の要素である第１下位委譲要素ｋ^＊ _{Ｌ＋１，ｄｅｌ，（τ，ι，０）}を数１７７に示すように生成する。

（Ｓ８０８：第２下位委譲要素生成ステップ）
下位委譲要素生成部４３４は、処理装置により、τ＝Ｌ＋２，．．．，ｄの各整数τと、各整数τについてι＝１，．．．，ｎ_τの各整数ιとについて、委譲鍵ｓｋ_Ｌ＋１の要素である第２下位委譲要素ｋ^＊ _{Ｌ＋１，ｄｅｌ，（τ，ι，１）}を数１７８に示すように生成する。

（Ｓ８０９：鍵配布ステップ）
鍵配布部１５０は、下位復号要素ｋ^＊ _{Ｌ＋１，ｄｅｃ}と、第１下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，ｊ’}（ｊ’＝１，．．．，２（Ｌ＋１））と、第２下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，（τ，ι，０）}（τ＝Ｌ＋２，．．．，ｄ；（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ））と、第１下位委譲要素ｋ^＊ _{Ｌ＋２，ｄｅｌ，（τ，ι，０）}（τ＝Ｌ＋２，．．．，ｄ；（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ））と、第２下位委譲要素ｋ^＊ _{Ｌ＋２，ｄｅｌ，（τ，ι，１）}（τ＝Ｌ＋２，．．．，ｄ；（τ，ι）＝（τ，１），．．．，（τ，ｎ_τ））とを要素とする委譲鍵ｓｋ_Ｌ＋１を、例えば通信装置によりネットワークを介して秘密裡に下位の復号装置３００へ配布する。もちろん、委譲鍵ｓｋ_Ｌ＋１は、他の方法により下位の復号装置３００へ配布されてもよい。

つまり、（Ｓ５０１）から（Ｓ５０７）において、鍵委譲装置４００は数１７９、数１８０に示すＤｅｌｅｇａｔｅ_Ｌアルゴリズムを実行して、委譲鍵ｓｋ_Ｌ＋１を生成する。そして、（Ｓ５０８）で、鍵委譲装置４００は生成された委譲鍵ｓｋ_Ｌ＋１を下位の復号装置３００へ配布する。

なお、下位の復号装置３００が、委譲鍵ｓｋ_Ｌ＋１を用いてＤｅｃアルゴリズムを実行した場合、図１５の（Ｓ４０３）では、（ｖ^→ _１，．．．，ｖ^→ _Ｌ＋１）と（ｘ^→ _１，．．．，ｘ^→ _Ｌ＋１）との内積が０であれば、数１７０を計算することにより、セッション鍵Ｋが計算される。

以上のように、実施の形態２に係る暗号処理システム１０は、一部については属性情報と述語情報との内積が０となり、残りの部分については属性情報と述語情報との内積が０とならない場合に、復号可能な階層的内積述語暗号方式を実現する。そのため、例えば、肯定形と否定形との条件設定などが可能である。

また、上記説明では、Ｎ_０に１＋ｕ_０＋１＋ｗ_０＋ｚ_０を設定し、Ｎ_ｔにｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔを設定した。しかし、１＋ｕ_０＋１＋ｗ_０＋ｚ_０を１＋１＋１＋１＋１としてＮ_０に５を設定し、ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔをｎ_ｔ＋ｎ_ｔ＋ｎ_ｔ＋１としてＮ_ｔに３ｎ_ｔ＋１を設定してもよい。
この場合、数１６８、数１６９に示すＫｅｙＧｅｎアルゴリズムは、数１８１、数１８２のように書き換えられる。

また、数１７９、数１８０に示すＤｅｌｅｇａｔｅ_Ｌアルゴリズムは、数１８３、数１８４のように書き換えられる。

なお、数１７２に示すＤｅｃアルゴリズムに変更はない。

実施の形態３．
以上の実施の形態では、双対ベクトル空間において暗号処理を実現する方法について説明した。この実施の形態では、双対加群において暗号処理を実現する方法について説明する。

つまり、以上の実施の形態では、素数位数ｑの巡回群において暗号処理を実現した。しかし、合成数Ｍを用いて数１８５のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した暗号処理を適用することができる。

実施の形態１で説明した階層的述語暗号方式を、環Ｒを係数とする加群において実現すると数１８６から数１９３のようになる。

実施の形態２で説明した階層的述語暗号方式を、環Ｒを係数とする加群において実現すると数１９４から数１９９のようになる。なお、ＳｅｔｕｐアルゴリズムとＧ_ｏｂアルゴリズムとは、数１８６と数１８７とに示す通りである。

次に、実施の形態における暗号処理システム１０（鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００）のハードウェア構成について説明する。
図２０は、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００のハードウェア構成の一例を示す図である。
図２０に示すように、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（ＬｉｑｕｉｄＣｒｙｓｔａｌＤｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０（固定ディスク装置）の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。磁気ディスク装置９２０は、所定の固定ディスクインタフェースを介して接続される。

ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４と磁気ディスク装置９２０とは、記憶装置（メモリ）の一例である。また、キーボード９０２、通信ボード９１５は、入力装置の一例である。また、通信ボード９１５は、通信装置の一例である。さらに、ＬＣＤ９０１は、表示装置の一例である。

磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

プログラム群９２３には、上記の説明において「マスター鍵生成部１１０」、「マスター鍵記憶部１２０」、「情報入力部１３０」、「復号鍵生成部１４０」、「鍵配布部１５０」、「マスター公開鍵取得部２１０」、「情報入力部２２０」、「暗号化データ生成部２３０」、「データ送信部２４０」、「復号鍵取得部３１０」、「データ受信部３２０」、「ペアリング演算部３３０」、「メッセージ計算部３４０」、「復号鍵取得部４１０」、「情報入力部４２０」、「委譲鍵生成部４３０」、「鍵配布部４４０」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、上記の説明において「マスター公開鍵ｐｋ」、「マスター秘密鍵ｓｋ」、「復号鍵ｓｋ_Ｌ」、「委譲鍵ｓｋ_Ｌ＋１」、「暗号化データｃｔ」、「属性情報」、「述語情報」、「メッセージｍ」等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。

また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
また、上記の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜装置」として説明するものは、「〜回路」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。さらに、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「〜部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「〜部」の手順や方法をコンピュータ等に実行させるものである。

１０暗号処理システム、１００鍵生成装置、１１０マスター鍵生成部、１２０マスター鍵記憶部、１３０情報入力部、１４０復号鍵生成部、１４１乱数生成部、１４２復号要素生成部、１４３ランダム化要素生成部、１４４委譲要素生成部、１５０鍵配布部、２００暗号化装置、２１０マスター公開鍵取得部、２２０情報入力部、２２１属性情報入力部、２２２メッセージ入力部、２３０暗号化データ生成部、２３１乱数生成部、２３２暗号化データｃ１生成部、２３３暗号化データｃ２生成部、２４０データ送信部、３００復号装置、３１０復号鍵取得部、３２０データ受信部、３３０ペアリング演算部、３４０メッセージ計算部、４００鍵委譲装置、４１０復号鍵取得部、４２０情報入力部、４３０委譲鍵生成部、４３１乱数生成部、４３２下位復号要素生成部、４３３下位ランダム化要素生成部、４３４下位委譲要素生成部、４４０鍵配布部。

Claims

ｔ＝１，．．．，Ｌ＋１（Ｌは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を行う暗号処理システムであり、
ｔ＝１，．．．，Ｌのうち少なくとも一部の整数ｔについての基底Ｂ_ｔの基底ベクトルに属性情報ｘ^→ _ｔを埋め込んだベクトルを暗号化データｃｔとして生成する暗号化装置と、
ｔ＝１，．．．，Ｌの各整数ｔについての基底Ｂ^＊ _ｔの基底ベクトルに述語情報ｖ^→ _ｔを埋め込んだベクトルを復号鍵ｓｋ_Ｌとして、前記暗号化装置が生成した暗号化データｃｔと前記復号鍵ｓｋ_Ｌとについてペアリング演算を行い前記暗号化データｃｔを復号する復号装置と、
基底Ｂ^＊ _Ｌ＋１の基底ベクトルに述語情報ｖ^→ _Ｌ＋１を埋め込んだベクトルと、前記復号装置が使用した復号鍵ｓｋ_Ｌとに基づき、前記復号鍵ｓｋ_Ｌの下位の復号鍵ｓｋ_Ｌ＋１を生成する鍵委譲装置と
を備えることを特徴とする暗号処理システム。
前記暗号処理システムは、さらに、前記復号鍵ｓｋ_Ｌを生成する鍵生成装置を備え、
前記鍵生成装置は、
ｔ＝１，．．．，Ｌの各整数ｔについて述語情報ｖ^→ _ｔ：＝（ｖ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）を入力する第１情報入力部と、
前記第１情報入力部が入力した述語情報ｖ^→ _ｔと、所定の値Δと、ｔ＝１，．．．，Ｌの各整数ｔについての所定の値θ_{ｄｅｃ，ｔ}と、ｓ_{ｄｅｃ，０}＝Σ_ｔ＝１ ^Ｌｓ_{ｄｅｃ，ｔ}であるようなｔ＝０，．．．，Ｌの各整数ｔについての所定の値ｓ_{ｄｅｃ，ｔ}とを用いて、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として−ｓ_{ｄｅｃ，０}を設定し、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｑ（ｑは所定の値）の係数として前記Δを設定し、ｔ＝１，．．．，Ｌの各整数ｔについての基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数としてｓ_{ｄｅｃ，ｔ}ｅ^→ _ｔ，１＋θ_{ｄｅｃ，ｔ}ｖ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した復号要素ｋ^＊ _{Ｌ，ｄｅｃ}を生成する復号要素生成部と、
前記復号要素生成部が生成した復号要素ｋ^＊ _{Ｌ，ｄｅｃ}を含む復号鍵ｓｋ_Ｌを前記復号装置へ送信する復号鍵送信部と
を備え、
前記暗号化装置は、
ｔ＝１，．．．，Ｌの少なくとも一部の整数ｔについて属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）を入力する第２情報入力部と、
前記第２情報入力部が入力した属性情報ｘ^→ _ｔと、所定の値ω，ζとを用いて、基底Ｂ_０の基底ベクトルｂ_０，ｐの係数として前記ωを設定し、基底Ｂ_０の基底ベクトルｂ_０，ｑの係数として前記ζを設定し、前記少なくとも一部の整数ｔについての基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数としてωｘ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した暗号化データｃ_１を生成する暗号化データｃ１生成部と、
前記暗号化データｃ１生成部が生成した暗号化データｃ_１を含む暗号化データｃｔを前記復号装置へ送信するデータ送信部と
を備え、
前記復号装置は、
前記データ送信部が送信した暗号化データｃｔに含まれる暗号化データｃ_１と、前記復号鍵送信部が送信した前記復号鍵ｓｋ_Ｌに含まれる復号要素ｋ^＊ _{Ｌ，ｄｅｃ}とについて、ペアリング演算ｅ（ｃ_１，ｋ^＊ _{Ｌ，ｄｅｃ}）を行うペアリング演算部
を備えることを特徴とする請求項１に記載の暗号処理システム。
前記暗号化装置は、さらに、
値ｇ_Ｔ＝ｅ（ｂ_０，１，ｂ^＊ _０，１）と、前記Δと、前記ζとから得られるｇ_Ｔ ^Δζを、メッセージｍに乗じた暗号化データｃ_２を生成する暗号化データｃ２生成部
を備え、
前記データ送信部は、暗号化データｃ_１と、前記暗号化データｃ２生成部が生成した暗号化データｃ_２とを含む暗号化データｃｔを前記復号装置へ送信し、
前記ペアリング演算部は、前記ペアリング演算ｅ（ｃ_１，ｋ^＊ _{Ｌ，ｄｅｃ}）を行い、セッション鍵Ｋ：＝ｇ_Ｔ ^Δζを計算し、
前記復号装置は、さらに、
前記ペアリング演算部が計算したセッション鍵Ｋで、前記暗号化データｃ_２を除して、前記メッセージｍを計算するメッセージ計算部
を備えることを特徴とする請求項２に記載の暗号処理システム。
前記鍵生成装置は、さらに、
τ＝Ｌ＋１である整数τと、ι＝１，．．．，ｎ_τの各整数ιとについて委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι）}を生成する委譲要素生成部であって、ｔ＝１，．．．，Ｌの各整数ｔについての所定の値θ_{ｄｅｌ，（τ，ι），ｔ}と、所定の値ψと、ｓ_{ｄｅｌ，（τ，ι），０}＝Σ_ｔ＝１ ^Ｌ＋１ｓ_{ｄｅｌ，（τ，ι），ｔ}であるようなｔ＝０，．．．，Ｌ＋１の各整数ｔについての所定の値ｓ_{ｄｅｌ，（τ，ι），ｔ}とを用いて、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐの係数として−ｓ_{ｄｅｌ，（τ，ι），０}を設定し、ｔ＝１，．．．，Ｌの各整数ｔについての基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数としてｓ_{ｄｅｌ，（τ，ι），ｔ}ｅ^→ _ｔ，１＋θ_{ｄｅｌ，（τ，ι），ｔ}ｖ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定し、基底Ｂ^＊ _τの基底ベクトルｂ^＊ _τ，ｉ（ｉ＝１，．．．，ｎ_τ）の係数としてｓ_{ｄｅｌ，（τ，ι），Ｌ＋１}ｅ^→ _τ，１＋ψｅ^→ _τ，ι（ｉ＝１，．．．，ｎ_τ）を設定して委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι）}を生成する委譲要素生成部
を備え、
前記復号鍵送信部は、前記復号要素ｋ^＊ _{Ｌ，ｄｅｃ}と、前記委譲要素生成部が生成した委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι）}とを含む復号鍵ｓｋ_Ｌを前記委譲装置へ送信し、
前記鍵委譲装置は、
述語情報ｖ^→ _Ｌ＋１：＝（ｖ_{Ｌ＋１，ｉ}）（ｉ＝１，．．．，ｎ_Ｌ＋１）を入力する第３情報入力部と、
前記第３情報入力部が入力した述語情報ｖ^→ _Ｌ＋１と、前記復号鍵送信部が送信した復号鍵ｓｋ_Ｌとを用いて、数１に示すベクトルを含む下位復号要素ｋ^＊ _{Ｌ＋１，ｄｅｃ}を生成する下位復号要素生成部と、
前記下位復号要素生成部が生成した下位復号要素ｋ^＊ _{Ｌ＋１，ｄｅｃ}を含む下位の復号鍵ｓｋ_Ｌ＋１を下位の復号装置へ送信する委譲鍵送信部と
を備えることを特徴とする請求項２に記載の暗号処理システム。
前記暗号処理システムは、
少なくとも基底ベクトルｂ_０，ｉ（ｉ＝１，．．．，１＋ｎ_０，１＋ｎ_０＋１，．．．，１＋ｎ_０＋１＋ｕ_０，．．．，１＋ｎ_０＋１＋ｕ_０＋ｗ_０，．．．，１＋ｎ_０＋１＋ｕ_０＋ｗ_０＋ｚ_０）（ｎ_０，ｕ_０，ｗ_０，ｚ_０は１以上の整数）を有する基底Ｂ_０と、
少なくとも基底ベクトルｂ^＊ _０，ｉ（ｉ＝１，．．．，１＋ｎ_０，１＋ｎ_０＋１，．．．，１＋ｎ_０＋１＋ｕ_０，．．．，１＋ｎ_０＋１＋ｕ_０＋ｗ_０，．．．，１＋ｎ_０＋１＋ｕ_０＋ｗ_０＋ｚ_０）（ｎ_０，ｕ_０，ｗ_０，ｚ_０は１以上の整数）を有する基底Ｂ^＊ _０と、
少なくとも基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）（ｕ_ｔ，ｗ_ｔ，ｚ_ｔは１以上の整数）を有する基底Ｂ_ｔ（ｔ＝１，．．．，Ｌ＋１）と、
少なくとも基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）を有する基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ＋１）と
を用いて暗号処理を行い、
前記復号要素生成部は、ｔ＝０，．．．，Ｌの各整数ｔについての乱数η^→ _{ｄｅｃ，ｔ}：＝（η_{ｄｅｃ，ｔ，ｉ}）（ｉ＝１，．．．，ｗ_ｔ）に基づき、数２に示す復号要素をｋ^＊ _{Ｌ，ｄｅｃ}を生成し、
前記暗号化データｃ１生成部は、ｔ＝０，．．．，Ｌの各整数ｔについての乱数φ^→ _ｔ：＝（φ_ｔ，ｉ）（ｉ＝１，．．．，ｚ_ｔ）に基づき、数３に示す暗号化データｃ_１を生成する
ことを特徴とする請求項２に記載の暗号処理システム。
前記鍵生成装置は、さらに、
ｊ＝１，．．．，２Ｌの各整数ｊについて、第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，ｊ}を生成するとともに、τ＝Ｌ＋１，．．．，ｄ（ｄはＬ＋１以上の整数）の各整数τと、各整数τに関してι＝１，．．．，ｎ_τの各整数ιとについて、第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，（τ，ι）}を生成するランダム化要素生成部であって、
ｔ＝１，．．．，Ｌの各整数ｔについての所定の値θ_{ｒａｎ，ｊ，ｔ}と、ｓ_{ｒａｎ，ｊ，０}＝Σ_ｔ＝１ ^Ｌｓ_{ｒａｎ，ｊ，ｔ}であるようなｔ＝０，．．．，Ｌについての所定の値ｓ_{ｒａｎ，ｊ，ｔ}と、ｔ＝０，．．．，Ｌの各整数ｔについての乱数η^→ _{ｒａｎ，ｊ，ｔ}：＝（η_{ｒａｎ，ｊ，ｔ，ｉ}）（ｉ＝１，．．．，ｗ_ｔ）とに基づき、数４に示す第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，ｊ}を生成し、
ｔ＝１，．．．，Ｌの各整数ｔについての所定の値θ_{ｒａｎ，（τ，ι），ｔ}と、ｓ_{ｒａｎ，（τ，ι），０}＝Σ_ｔ＝１ ^Ｌ＋１ｓ_{ｒａｎ，（τ，ι），ｔ}であるようなｔ＝０，．．．，Ｌ＋１についての所定の値ｓ_{ｒａｎ，（τ，ι），ｔ}と、ｔ＝０，．．．，Ｌ＋１の各整数ｔについての乱数η^→ _{ｒａｎ，（τ，ι），ｔ}：＝（η_{ｒａｎ，（τ，ι），ｔ，ｉ}）（ｉ＝１，．．．，ｗ_ｔ）とに基づき、数５に示す第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，（τ，ι）}を生成するランダム化要素生成部
を備え、
前記委譲要素生成部は、τ＝Ｌ＋１，．．．，ｄの各整数τと、各整数τに関してι＝１，．．．，ｎ_τの各整数ιとについて、ｔ＝０，．．．，Ｌ＋１の各整数ｔについての乱数η^→ _{ｄｅｌ，（τ，ι），ｔ}：＝（η_{ｄｅｌ，（τ，ι），ｔ，ｉ}）（ｉ＝１，．．．，ｗ_ｔ）に基づき、数６に示す委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι）}を生成し、
前記復号鍵送信部は、前記復号要素ｋ^＊ _{Ｌ，ｄｅｃ}と、前記ランダム化要素生成部が生成した第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，ｊ}及び第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，（τ，ι）}と、前記委譲要素生成部が生成した委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι）}とを含む復号鍵ｓｋ_Ｌを前記委譲装置へ送信し、
前記下位復号要素生成部は、前記述語情報ｖ^→ _Ｌ＋１と、前記復号鍵送信部が送信した復号鍵ｓｋ_Ｌと、ｊ＝１，．．．，２Ｌの各整数ｊについての乱数α_{ｄｅｃ，ｊ}と、乱数σ_ｄｅｃと、ｔ＝０，．．．，Ｌ＋１の各整数ｔとｉ＝１，．．．，ｗ_ｔの各整数ｉとについての乱数η_{ｄｅｃ，（ｔ，ｉ）}とを用いて、数７に示す下位復号要素ｋ^＊ _{Ｌ＋１，ｄｅｃ}を生成する
ことを特徴とする請求項５に記載の暗号処理システム。
前記委譲装置は、さらに、
ｊ’＝１，．．．，２（Ｌ＋１）の各整数ｊ’について、第１下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，ｊ’}を生成するとともに、τ＝Ｌ＋２，．．．，ｄ（ｄはＬ＋２以上の整数）の各整数τと、各整数τに関してι＝１，．．．，ｎ_τの各整数ιについて、第２下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，（τ，ι）}を生成する下位ランダム化要素生成部であって、
前記述語情報ｖ^→ _Ｌ＋１と、前記復号鍵ｓｋ_Ｌと、ｊ＝１，．．．，２Ｌの各整数ｊとｊ’＝１，．．．，２（Ｌ＋１）の各整数ｊ’とについての乱数α_{ｒａｎ，ｊ’，ｊ}と、ｊ’＝１，．．．，２（Ｌ＋１）の各整数ｊ’についての乱数σ_{ｒａｎ，ｊ’}と、ｔ＝０，．．．，Ｌ＋１の各整数ｔとｉ＝１，．．．，ｗ_ｔの各整数ｉとについての乱数η_{ｒａｎ，ｊ’，（ｔ，ｉ）}とに基づき、数８に示す第１下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，ｊ’}を生成し、
前記述語情報ｖ^→ _Ｌ＋１と、前記復号鍵ｓｋ_Ｌと、ｊ＝１，．．．，２Ｌの各整数ｊについての乱数α_{ｒａｎ，（τ，ι），ｊ}と、乱数σ_{ｒａｎ，（τ，ι）}と、乱数φ_{ｒａｎ，（τ，ι）}と、ｔ＝０，．．．，Ｌ＋１，τの各整数ｔとｉ＝１，．．．，ｗ_ｔの各整数ｉとについてのη_{ｒａｎ，（τ，ι），（ｔ，ｉ）}とに基づき、数９に示す第２下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，（τ，ι）}を生成する下位ランダム化要素生成部と、
τ＝Ｌ＋２，．．．，ｄ（ｄはＬ＋２以上の整数）の各整数τと、各整数τに関してι＝１，．．．，ｎ_τの各整数ιについて、下位委譲要素ｋ^＊ _{Ｌ＋１，ｄｅｌ，（τ，ι）}を生成する下位委譲要素生成部であって、前記述語情報ｖ^→ _Ｌ＋１と、前記復号鍵ｓｋ_Ｌと、ｊ＝１，．．．，２Ｌの各整数ｊについての乱数α_{ｄｅｌ，（τ，ι），ｊ}と、乱数σ_{ｄｅｌ，（τ，ι）}と、乱数ψ’と、乱数φ_{ｄｅｌ，（τ，ι）}と、ｔ＝０，．．．，Ｌ＋１，τの各整数ｔとｉ＝１，．．．，ｗ_ｔの各整数ｉとについてのη_{ｄｅｌ，（τ，ι），（ｔ，ｉ）}とに基づき、数１０に示す下位委譲要素ｋ^＊ _{Ｌ＋１，ｄｅｌ，（τ，ι）}を生成する下位委譲要素生成部と
を備え、
前記委譲鍵送信部は、前記下位復号要素生成部が生成した下位復号要素ｋ^＊ _{Ｌ＋１，ｄｅｃ}と、前記下位ランダム化要素生成部が生成した第１下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，ｊ’}及び第２下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，（τ，ι）}と、前記下位委譲要素生成部が生成した下位委譲要素ｋ^＊ _{Ｌ＋１，ｄｅｌ，（τ，ι）}とを含む下位の復号鍵ｓｋ_Ｌ＋１を下位の委譲装置へ送信する
ことを特徴とする請求項６に記載の暗号処理システム。
前記第１情報入力部は、ｔ＝１，．．．，Ｌの各整数ｔについて述語情報（ｖ^→ _ｔ：＝（ｖ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ），ρ_ｔ∈｛０，１｝）を入力し、
前記復号要素生成部は、基底ベクトルｂ^＊ _０，ｐの係数として−ｓ_{ｄｅｃ，０}を設定し、基底ベクトルｂ^＊ _０，ｑの係数として前記Δを設定し、ｔ＝１，．．．，Ｌの各整数ｔについての基底ベクトルｂ^＊ _ｔ，ｉの係数として、ρ_ｔが０の場合にはｓ_{ｄｅｃ，ｔ}ｅ^→ _ｔ，１＋θ_{ｄｅｃ，ｔ}ｖ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定し、ρ_ｔが１の場合にはｓ_{ｄｅｃ，ｔ}ｖ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した復号要素ｋ^＊ _{Ｌ，ｄｅｃ}を生成する
ことを特徴とする請求項２に記載の暗号処理システム。
前記鍵生成装置は、さらに、
τ＝Ｌ＋１である整数τと、ι＝１，．．．，ｎ_τの各整数ιとについて第１委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，０）}と第２委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，１）}とを生成する委譲要素生成部であって、
ｔ＝１，．．．，Ｌの各整数ｔについての所定の値θ_{ｄｅｌ，０，ｔ}と、所定の値ψと、ｓ_{ｄｅｌ，０，０}＝Σ_ｔ＝１ ^Ｌ＋１ｓ_{ｄｅｌ，０，ｔ}であるようなｔ＝０，．．．，Ｌ＋１についての所定の値ｓ_{ｄｅｌ，０，ｔ}とを用いて、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐの係数として−ｓ_{ｄｅｌ，０，０}を設定し、ｔ＝１，．．．，Ｌの各整数ｔについての基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数として、ρ_ｔが０の場合にはｓ_{ｄｅｌ，０，ｔ}ｅ^→ _ｔ，１＋θ_{ｄｅｌ，０，ｔ}ｖ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定し、ρ_ｔが１の場合にはｓ_{ｄｅｌ，０，ｔ}ｖ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定し、基底Ｂ^＊ _τの基底ベクトルｂ^＊ _τ，ｉ（ｉ＝１，．．．，ｎ_τ）の係数としてｓ_{ｄｅｌ，０，Ｌ＋１}ｅ^→ _τ，１＋ψｅ^→ _τ，ι（ｉ＝１，．．．，ｎ_τ）を設定して第１委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，０）}を生成し、
ｔ＝１，．．．，Ｌの各整数ｔについての所定の値θ_{ｄｅｌ，１，ｔ}と、ｓ_{ｄｅｌ，１，０}＝Σ_ｔ＝１ ^Ｌ＋１ｓ_{ｄｅｌ，１，ｔ}であるようなｔ＝０，．．．，Ｌ＋１についての所定の値ｓ_{ｄｅｌ，１，ｔ}とを用いて、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐの係数として−ｓ_{ｄｅｌ，１，０}を設定し、ｔ＝１，．．．，Ｌの各整数ｔについての基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数として、ρ_ｔが０の場合にはｓ_{ｄｅｌ，１，ｔ}ｅ^→ _ｔ，１＋θ_{ｄｅｌ，１，ｔ}ｖ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定し、ρ_ｔが１の場合にはｓ_{ｄｅｌ，１，ｔ}ｖ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定し、基底Ｂ^＊ _τの基底ベクトルｂ^＊ _τ，ｉ（ｉ＝１，．．．，ｎ_τ）の係数としてｓ_{ｄｅｌ，１，Ｌ＋１}ｅ^→ _τ，１（ｉ＝１，．．．，ｎ_τ）を設定して第２委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，１）}を生成する委譲要素生成部
を備え、
前記復号鍵送信部は、前記復号要素ｋ^＊ _{Ｌ，ｄｅｃ}と、前記委譲要素生成部が生成した第１委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，０）}及び第２委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，１）}とを含む復号鍵ｓｋ_Ｌを前記委譲装置へ送信し、
前記鍵委譲装置は、
述語情報（ｖ^→ _Ｌ＋１：＝（ｖ_{Ｌ＋１，ｉ}）（ｉ＝１，．．．，ｎ_Ｌ＋１），ρ_Ｌ＋１∈｛０，１｝）を入力する第３情報入力部と、
前記第３情報入力部が入力した述語情報ｖ^→ _Ｌ＋１と、前記復号鍵送信部が送信した復号鍵ｓｋ_Ｌとを用いて、数１１に示すベクトルを含む下位復号要素ｋ^＊ _{Ｌ＋１，ｄｅｃ}を生成する下位復号要素生成部
を備えることを特徴とする請求項８に記載の暗号処理システム。
前記暗号処理システムは、
少なくとも基底ベクトルｂ_０，ｉ（ｉ＝１，．．．，１＋ｎ_０，１＋ｎ_０＋１，．．．，１＋ｎ_０＋１＋ｕ_０，．．．，１＋ｎ_０＋１＋ｕ_０＋ｗ_０，．．．，１＋ｎ_０＋１＋ｕ_０＋ｗ_０＋ｚ_０）（ｎ_０，ｕ_０，ｗ_０，ｚ_０は１以上の整数）を有する基底Ｂ_０と、
少なくとも基底ベクトルｂ^＊ _０，ｉ（ｉ＝１，．．．，１＋ｎ_０，１＋ｎ_０＋１，．．．，１＋ｎ_０＋１＋ｕ_０，．．．，１＋ｎ_０＋１＋ｕ_０＋ｗ_０，．．．，１＋ｎ_０＋１＋ｕ_０＋ｗ_０＋ｚ_０）（ｎ_０，ｕ_０，ｗ_０，ｚ_０は１以上の整数）を有する基底Ｂ^＊ _０と、
少なくとも基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）（ｕ_ｔ，ｗ_ｔ，ｚ_ｔは１以上の整数）を有する基底Ｂ_ｔ（ｔ＝１，．．．，Ｌ＋１）と、
少なくとも基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ，．．．，ｎ_ｔ＋ｕ_ｔ＋ｗ_ｔ＋ｚ_ｔ）を有する基底Ｂ^＊ _ｔ（ｔ＝１，．．．，Ｌ＋１）と
を用いて暗号処理を行い、
前記復号要素生成部は、ｔ＝０，．．．，Ｌの各整数ｔについての乱数η^→ _{ｄｅｃ，ｔ}：＝（η_{ｄｅｃ，ｔ，ｉ}）（ｉ＝１，．．．，ｗ_ｔ）に基づき、数１２に示す復号要素をｋ^＊ _{Ｌ，ｄｅｃ}を生成し、
前記暗号化データｃ１生成部は、ｔ＝０，．．．，Ｌの各整数ｔについての乱数φ^→ _ｔ：＝（φ_ｔ，ｉ）（ｉ＝１，．．．，ｚ_ｔ）に基づき、数１３に示す暗号化データｃ_１を生成する
ことを特徴とする請求項８に記載の暗号処理システム。
前記鍵生成装置は、さらに、
ｊ＝１，．．．，２Ｌの各整数ｊについて、第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，ｊ}を生成するとともに、τ＝Ｌ＋１，．．．，ｄ（ｄはＬ＋１以上の整数）の各整数τと、各整数τに関してι＝１，．．．，ｎ_τの各整数ιとについて、第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，（τ，ι，０）}を生成するランダム化要素生成部であって、
ｔ＝１，．．．，Ｌの各整数ｔについての所定の値θ_{ｒａｎ，ｊ，ｔ}と、ｓ_{ｒａｎ，ｊ，０}＝Σ_ｔ＝１ ^Ｌｓ_{ｒａｎ，ｊ，ｔ}であるようなｔ＝０，．．．，Ｌについての所定の値ｓ_{ｒａｎ，ｊ，ｔ}と、ｔ＝０，．．．，Ｌの各整数ｔについての乱数η^→ _{ｒａｎ，ｊ，ｔ}：＝（η_{ｒａｎ，ｊ，ｔ，ｉ}）（ｉ＝１，．．．，ｗ_ｔ）に基づき、数１４に示す第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，ｊ}を生成し、
ｔ＝１，．．．，Ｌの各整数ｔについての所定の値θ_{ｒａｎ，０，ｔ}と、ｓ_{ｒａｎ，０，０}＝Σ_ｔ＝１ ^Ｌ＋１ｓ_{ｒａｎ，０，ｔ}であるようなｔ＝０，．．．，Ｌ＋１についての所定の値ｓ_{ｒａｎ，０，ｔ}と、ｔ＝０，．．．，Ｌの各整数ｔについての乱数η^→ _{ｒａｎ，０，ｔ}：＝（η_{ｒａｎ，０，ｔ，ｉ}）（ｉ＝１，．．．，ｗ_ｔ）と、乱数η^→ _{ｒａｎ，０，（τ，ι）}：＝（η_{ｒａｎ，０，（τ，ι），ｉ}）（ｉ＝１，．．．，ｗ_ｔ）とに基づき、数１５に示す第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，（τ，ι，０）}を生成するランダム化要素生成部
を備え、
前記委譲要素生成部は、τ＝Ｌ＋１，．．．，ｄの各整数τと、各整数τに関してι＝１，．．．，ｎ_τの各整数ιとについて、ｔ＝０，．．．，Ｌの各整数ｔについての乱数η^→ _{ｄｅｌ，０，ｔ}：＝（η_{ｄｅｌ，０，ｔ，ｉ}）（ｉ＝１，．．．，ｗ_ｔ）と、乱数η^→ _{ｄｅｌ，０，（τ，ι）}：＝（η_{ｄｅｌ，０，（τ，ι），ｉ}）（ｉ＝１，．．．，ｗ_ｔ）とに基づき、数１６に示す第１委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，０）}を生成するとともに、τ＝Ｌ＋１，．．．，ｄの各整数τと、各整数τに関してι＝１，．．．，ｎ_τの各整数ιとについて、ｔ＝０，．．．，Ｌの各整数ｔについての乱数η^→ _{ｄｅｌ，１，ｔ}：＝（η_{ｄｅｌ，１，ｔ，ｉ}）（ｉ＝１，．．．，ｗ_ｔ）と、乱数η^→ _{ｄｅｌ，１，（τ，ι）}：＝（η_{ｄｅｌ，１，（τ，ι），ｉ}）（ｉ＝１，．．．，ｗ_ｔ）とに基づき、数１７に示す第２委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，１）}を生成し、
前記復号鍵送信部は、前記復号要素ｋ^＊ _{Ｌ，ｄｅｃ}と、前記ランダム化要素生成部が生成した第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，ｊ}及び第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，（τ，ι，０）}と、前記委譲要素生成部が生成した第１委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，０）}及び第２委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι，１）}とを含む復号鍵ｓｋ_Ｌを前記委譲装置へ送信し、
前記下位復号要素生成部は、前記述語情報ｖ^→ _Ｌ＋１と、前記復号鍵送信部が送信した復号鍵ｓｋ_Ｌと、ｊ＝１，．．．，２Ｌの各整数ｊについての乱数α_{ｄｅｃ，ｊ}と、乱数σ_ｄｅｃと、ｔ＝０，．．．，Ｌ＋１の各整数ｔとｉ＝１，．．．，ｗ_ｔの各整数ｉとについての乱数η_{ｄｅｃ，（ｔ，ｉ）}とを用いて、数１８に示す下位復号要素ｋ^＊ _{Ｌ＋１，ｄｅｃ}を生成する
ことを特徴とする請求項１０に記載の暗号処理システム。
前記委譲装置は、さらに、
ｊ’＝１，．．．，２（Ｌ＋１）の各整数ｊ’について、第１下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，ｊ’}を生成するとともに、τ＝Ｌ＋２，．．．，ｄ（ｄはＬ＋２以上の整数）の各整数τと、各整数τに関してι＝１，．．．，ｎ_τの各整数ιについて、第２下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，（τ，ι，０）}を生成する下位ランダム化要素生成部であって、
前記述語情報ｖ^→ _Ｌ＋１と、前記復号鍵ｓｋ_Ｌと、ｊ＝１，．．．，２Ｌの各整数ｊとｊ’＝１，．．．，２（Ｌ＋１）の各整数ｊ’とについての乱数α_{ｒａｎ，ｊ’，ｊ}と、ｊ’＝１，．．．，２（Ｌ＋１）の各整数ｊ’についての乱数σ_{ｒａｎ，ｊ’}と、ｔ＝０，．．．，Ｌ＋１の各整数ｔとｉ＝１，．．．，ｗ_ｔの各整数ｉとについての乱数η_{ｒａｎ，ｊ’，（ｔ，ｉ）}とに基づき、数１９に示す第１下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，ｊ’}を生成し、
前記述語情報ｖ^→ _Ｌ＋１と、前記復号鍵ｓｋ_Ｌと、ｊ＝１，．．．，２Ｌの各整数ｊについての乱数α_{ｒａｎ，（τ，ι），ｊ}と、乱数σ_{ｒａｎ，（τ，ι，０）}と、乱数φ_{ｒａｎ，（τ，ι，０）}と、ｔ＝０，．．．，Ｌ＋１の各整数ｔとｉ＝１，．．．，ｗ_ｔの各整数ｉとについてのη_{ｒａｎ，（τ，ι，０），（ｔ，ｉ）}とに基づき、数２０に示す第２下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，（τ，ι，０）}を生成する下位ランダム化要素生成部と、
τ＝Ｌ＋２，．．．，ｄ（ｄはＬ＋２以上の整数）の各整数τと、各整数τに関してι＝１，．．．，ｎ_τの各整数ιについて、第１下位委譲要素ｋ^＊ _{Ｌ＋１，ｄｅｌ，（τ，ι，０）}と第２下位委譲要素ｋ^＊ _{Ｌ＋１，ｄｅｌ，（τ，ι，１）}とを生成する下位委譲要素生成部であって、
前記述語情報ｖ^→ _Ｌ＋１と、前記復号鍵ｓｋ_Ｌと、ｊ＝１，．．．，２Ｌの各整数ｊについての乱数α_{ｄｅｌ，（τ，ι，０），ｊ}と、乱数σ_{ｄｅｌ，（τ，ι，０）}と、乱数ψ_０と、乱数φ_{ｄｅｌ，（τ，ι，０）}と、ｔ＝０，．．．，Ｌ＋１の各整数ｔとｉ＝１，．．．，ｗ_ｔの各整数ｉとについてのη_{ｄｅｌ，（τ，ι，０），（ｔ，ｉ）}とに基づき、数２１に示す第１下位委譲要素ｋ^＊ _{Ｌ＋１，ｄｅｌ，（τ，ι，０）}を生成し、
前記述語情報ｖ^→ _Ｌ＋１と、前記復号鍵ｓｋ_Ｌと、ｊ＝１，．．．，２Ｌの各整数ｊについての乱数α_{ｄｅｌ，（τ，ι，１），ｊ}と、乱数σ_{ｄｅｌ，（τ，ι，１）}と、乱数ψ_１と、乱数φ_{ｄｅｌ，（τ，ι，１）}と、ｔ＝０，．．．，Ｌ＋１の各整数ｔとｉ＝１，．．．，ｗ_ｔの各整数ｉとについてのη_{ｄｅｌ，（τ，ι，１），（ｔ，ｉ）}とに基づき、数２２に示す第２下位委譲要素ｋ^＊ _{Ｌ＋１，ｄｅｌ，（τ，ι，１）}を生成する下位委譲要素生成部と
を備える
ことを特徴とする請求項１１に記載の暗号処理システム。
ｔ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を行う暗号処理システムにおいて、復号鍵ｓｋ_Ｌを生成する鍵生成装置であり、
ｔ＝１，．．．，Ｌの各整数ｔについて述語情報ｖ^→ _ｔ：＝（ｖ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）を入力する第１情報入力部と、
前記第１情報入力部が入力した述語情報ｖ^→ _ｔと、所定の値Δと、ｔ＝１，．．．，Ｌの各整数ｔについての所定の値θ_{ｄｅｃ，ｔ}と、ｓ_{ｄｅｃ，０}＝Σ_ｔ＝１ ^Ｌｓ_{ｄｅｃ，ｔ}であるようなｔ＝０，．．．，Ｌの各整数ｔについての所定の値ｓ_{ｄｅｃ，ｔ}とを用いて、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として−ｓ_{ｄｅｃ，０}を設定し、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｑ（ｑは所定の値）の係数として前記Δを設定し、ｔ＝１，．．．，Ｌの各整数ｔについての基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数としてｓ_{ｄｅｃ，ｔ}ｅ^→ _ｔ，１＋θ_{ｄｅｃ，ｔ}ｖ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した復号要素ｋ^＊ _{Ｌ，ｄｅｃ}を生成する復号要素生成部と、
前記復号要素生成部が生成した復号要素ｋ^＊ _{Ｌ，ｄｅｃ}を含む復号鍵ｓｋ_Ｌを復号装置へ送信する復号鍵送信部と
を備えることを特徴とする鍵生成装置。
ｔ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を行う暗号処理システムにおいて、暗号化データｃｔを生成する暗号化装置であり、
ｔ＝１，．．．，Ｌの少なくとも一部の整数ｔについて属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）を入力する第２情報入力部と、
前記第２情報入力部が入力した属性情報ｘ^→ _ｔと、所定の値ω，ζとを用いて、基底Ｂ_０の基底ベクトルｂ_０，ｐ（ｐは所定の値）の係数として前記ωを設定し、基底Ｂ_０の基底ベクトルｂ_０，ｑ（ｑは所定の値）の係数として前記ζを設定し、前記少なくとも一部の整数ｔについての基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数としてωｘ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した暗号化データｃ_１を生成する暗号化データｃ１生成部と、
前記暗号化データｃ１生成部が生成した暗号化データｃ_１を含む暗号化データｃｔを復号装置へ送信するデータ送信部と
を備えることを特徴とする暗号化装置。
ｔ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を行う暗号処理システムにおいて、暗号化データｃ_１を復号鍵ｓｋ_Ｌにより復号する復号装置であり、
属性情報ｘ^→ _ｔ：＝（ｘ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）と、所定の値ω，ζとを用いて、基底Ｂ_０の基底ベクトルｂ_０，ｐ（ｐは所定の値）の係数として前記ωを設定し、基底Ｂ_０の基底ベクトルｂ_０，ｑ（ｑは所定の値）の係数として前記ζを設定し、前記少なくとも一部の整数ｔについての基底Ｂ_ｔの基底ベクトルｂ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数としてωｘ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した暗号化データｃ_１を暗号化装置から受信するデータ受信部と、
述語情報ｖ^→ _ｔ：＝（ｖ_ｔ，ｉ）（ｉ＝１，．．．，ｎ_ｔ）と、所定の値Δと、ｔ＝１，．．．，Ｌの各整数ｔについての所定の値θ_{ｄｅｃ，ｔ}と、ｓ_{ｄｅｃ，０}＝Σ_ｔ＝１ ^Ｌｓ_{ｄｅｃ，ｔ}であるようなｔ＝０，．．．，Ｌの各整数ｔについての所定の値ｓ_{ｄｅｃ，ｔ}とを用いて、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｐ（ｐは所定の値）の係数として−ｓ_{ｄｅｃ，０}を設定し、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，ｑ（ｑは所定の値）の係数として前記Δを設定し、ｔ＝１，．．．，Ｌの各整数ｔについての基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）の係数としてｓ_{ｄｅｃ，ｔ}ｅ^→ _ｔ，１＋θ_{ｄｅｃ，ｔ}ｖ_ｔ，ｉ（ｉ＝１，．．．，ｎ_ｔ）を設定した復号要素ｋ^＊ _{Ｌ，ｄｅｃ}を含む復号鍵ｓｋ_Ｌを鍵生成装置から取得する復号鍵取得部と、
前記データ受信部が受信した暗号化データｃ_１と、前記復号鍵取得部が取得した前記復号鍵ｓｋ_Ｌに含まれる復号要素ｋ^＊ _{Ｌ，ｄｅｃ}とについて、ペアリング演算ｅ（ｃ_１，ｋ^＊ _{Ｌ，ｄｅｃ}）を行い、前記暗号化データｃ_１を復号するペアリング演算部と
を備えることを特徴とする復号装置。
ｔ＝１，．．．，Ｌ＋１（Ｌは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を行う暗号処理システムにおいて、復号鍵ｓｋ_Ｌの下位の復号鍵ｓｋ_Ｌ＋１を生成する鍵委譲装置であり、
ｔ＝１，．．．，Ｌの各整数ｔについての基底Ｂ^＊ _ｔの基底ベクトルに述語情報ｖ^→ _ｔを埋め込んだベクトルを復号鍵ｓｋ_Ｌとして取得する復号鍵取得部と、
前記復号鍵取得部が取得した復号鍵ｓｋ_Ｌと、基底Ｂ^＊ _Ｌ＋１の基底ベクトルに述語情報ｖ^→ _Ｌ＋１を埋め込んだベクトルとに基づき、前記復号鍵ｓｋ_Ｌの下位の復号鍵ｓｋ_Ｌ＋１を生成する委譲鍵生成部と
を備えることを特徴とする鍵委譲装置。
ｔ＝１，．．．，Ｌ＋１（Ｌは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いた暗号処理方法であり、
暗号化装置が、ｔ＝１，．．．，Ｌのうち少なくとも一部の整数ｔについての基底Ｂ_ｔの基底ベクトルに属性情報ｘ^→ _ｔを埋め込んだベクトルを暗号化データｃｔとして生成する暗号化工程と、
復号装置が、ｔ＝１，．．．，Ｌの各整数ｔについての基底Ｂ^＊ _ｔの基底ベクトルに述語情報ｖ^→ _ｔを埋め込んだベクトルを復号鍵ｓｋ_Ｌとして、前記暗号化工程で生成した暗号化データｃｔと前記復号鍵ｓｋ_Ｌとについて、ペアリング演算を行い前記暗号化データｃｔを復号する復号工程と、
鍵委譲装置が、基底Ｂ^＊ _Ｌ＋１の基底ベクトルに述語情報を埋め込んだベクトルｖ^→ _Ｌ＋１と、前記復号工程で使用した復号鍵ｓｋ_Ｌとに基づき、前記復号鍵ｓｋ_Ｌの下位の復号鍵ｓｋ_Ｌ＋１を生成する鍵委譲工程と
を備えることを特徴とする暗号処理方法。
ｔ＝１，．．．，Ｌ＋１（Ｌは１以上の整数）の各整数ｔについての基底Ｂ_ｔと基底Ｂ^＊ _ｔとを用いて暗号処理を実行する暗号処理プログラムであり、
ｔ＝１，．．．，Ｌのうち少なくとも一部の整数ｔについての基底Ｂ_ｔの基底ベクトルに属性情報ｘ^→ _ｔを埋め込んだベクトルを暗号化データｃｔとして生成する暗号化処理と、
ｔ＝１，．．．，Ｌの各整数ｔについての基底Ｂ^＊ _ｔの基底ベクトルに述語情報ｖ^→ _ｔを埋め込んだベクトルを復号鍵ｓｋ_Ｌとして、前記暗号化装置が生成した暗号化データｃｔと前記復号鍵ｓｋ_Ｌとについて、ペアリング演算を行い前記暗号化データｃｔを復号する復号処理と、
基底Ｂ^＊ _Ｌ＋１の基底ベクトルに述語情報を埋め込んだベクトルｖ^→ _Ｌ＋１と、前記復号処理で使用した復号鍵ｓｋ_Ｌとに基づき、前記復号鍵ｓｋ_Ｌの下位の復号鍵ｓｋ_Ｌ＋１を生成する鍵委譲処理と
を備えることを特徴とする暗号処理プログラム。