JP2013186181A - 暗号システム、暗号方法及び暗号プログラム - Google Patents

Abstract

【課題】公開パラメータの再発行をすることなく、属性カテゴリの追加を可能とすることを目的とする。
【解決手段】暗号システム１０は、双対ペアリングベクトル空間における双対システム暗号において、、インデックス付けの技法を用いる。具体的には、暗号システム１０は、インデックスｊについての送信側ベクトルｔ_ｊについては、所定の基底ベクトルの係数としてインデックスｊに予め割り当てられた情報Ｊを設定し、インデックスｊに対応するインデックスｊ’の受信側ベクトルｒ_ｊ’については、前記所定の基底ベクトルに対応する基底ベクトルの係数として情報Ｊとの内積が０になる情報Ｊ’を設定する。
【選択図】図５

Description

この発明は、公開パラメータの再発行をすることなく、属性カテゴリの追加が可能な暗号システムに関するものである。

非特許文献２９には、関数型暗号方式についての記載がある。

Ｂｅｉｍｅｌ， Ａ．， Ｓｅｃｕｒｅ ｓｃｈｅｍｅｓ ｆｏｒ ｓｅｃｒｅｔ ｓｈａｒｉｎｇ ａｎｄ ｋｅｙ ｄｉｓｔｒｉｂｕｔｉｏｎ． ＰｈＤ Ｔｈｅｓｉｓ， Ｉｓｒａｅｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ，Ｔｅｃｈｎｉｏｎ， Ｈａｉｆａ， Ｉｓｒａｅｌ， １９９６． Ｂｅｔｈｅｎｃｏｕｒｔ， Ｊ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ： ２００７ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ， ｐｐ． ３２１−３３４． ＩＥＥＥ Ｐｒｅｓｓ （２００７） Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．： Ｅｆｆｉｃｉｅｎｔ ｓｅｌｅｃｔｉｖｅ−ＩＤ ｓｅｃｕｒｅ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ． Ｉｎ： Ｃａｃｈｉｎ，Ｃ．， Ｃａｍｅｎｉｓｃｈ， Ｊ． （ｅｄｓ．） ＥＵＲＯＣＲＹＰＴ ２００４． ＬＮＣＳ， ｖｏｌ． ３０２７， ｐｐ． ２２３−２３８． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００４） Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．： Ｓｅｃｕｒｅ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ． Ｉｎ： Ｆｒａｎｋｌｉｎ， Ｍ．Ｋ． （ｅｄ．） ＣＲＹＰＴＯ ２００４． ＬＮＣＳ， ｖｏｌ． ３１５２， ｐｐ． ４４３−４５９． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００４） Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．， Ｇｏｈ， Ｅ．： Ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｃｏｎｓｔａｎｔ ｓｉｚｅ ｃｉｐｈｅｒｔｅｘｔ． Ｉｎ： Ｃｒａｍｅｒ，Ｒ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００５． ＬＮＣＳ， ｖｏｌ． ３４９４， ｐｐ． ４４０−４５６． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００５） Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．， Ｓｈａｃｈａｍ， Ｈ．： Ｓｈｏｒｔ ｇｒｏｕｐ ｓｉｇｎａｔｕｒｅｓ． Ｉｎ： Ｆｒａｎｋｌｉｎ， Ｍ． （ｅｄ．） ＣＲＹＰＴＯ ２００４． ＬＮＣＳ， ｖｏｌ．３１５２， ｐｐ． ４１−５５． Ｓｐｒｉｎｇｅｒ， Ｈｅｉｄｅｌｂｅｒｇ （２００４） Ｂｏｎｅｈ， Ｄ．， Ｆｒａｎｋｌｉｎ， Ｍ．： Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ ｔｈｅ Ｗｅｉｌ ｐａｉｒｉｎｇ． Ｉｎ： Ｋｉｌｉａｎ， Ｊ． （ｅｄ．） ＣＲＹＰＴＯ ２００１．ＬＮＣＳ， ｖｏｌ． ２１３９， ｐｐ． ２１３−２２９． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００１） Ｂｏｎｅｈ， Ｄ．， Ｈａｍｂｕｒｇ， Ｍ．： Ｇｅｎｅｒａｌｉｚｅｄ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ａｎｄ ｂｒｏａｄｃａｓｔ ｅｎｃｒｙｐｔｉｏｎ ｓｃｈｅｍｅ． Ｉｎ： Ｐｉｅｐｒｚｙｋ， Ｊ． （ｅｄ．） ＡＳＩＡＣＲＹＰＴ ２００８． ＬＮＣＳ， ｖｏｌ． ５３５０， ｐｐ． ４５５−４７０． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００８） Ｂｏｎｅｈ， Ｄ．， Ｋａｔｚ， Ｊ．， Ｉｍｐｒｏｖｅｄ ｅｆｆｉｃｉｅｎｃｙ ｆｏｒ ＣＣＡ−ｓｅｃｕｒｅ ｃｒｙｐｔｏｓｙｓｔｅｍｓ ｂｕｉｌｔ ｕｓｉｎｇ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． ＲＳＡ−ＣＴ ２００５， ＬＮＣＳ， Ｓｐｒｉｎｇｅｒ Ｖｅｒｌａｇ （２００５） Ｂｏｎｅｈ， Ｄ．， Ｗａｔｅｒｓ， Ｂ．： Ｃｏｎｊｕｎｃｔｉｖｅ， ｓｕｂｓｅｔ， ａｎｄ ｒａｎｇｅ ｑｕｅｒｉｅｓ ｏｎ ｅｎｃｒｙｐｔｅｄ ｄａｔａ． Ｉｎ： Ｖａｄｈａｎ， Ｓ．Ｐ． （ｅｄ．） ＴＣＣ ２００７． ＬＮＣＳ， ｖｏｌ． ４３９２， ｐｐ． ５３５−５５４． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００７） Ｂｏｙｅｎ， Ｘ．， Ｗａｔｅｒｓ， Ｂ．： Ａｎｏｎｙｍｏｕｓ ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ （ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ）． Ｉｎ： Ｄｗｏｒｋ， Ｃ． （ｅｄ．） ＣＲＹＰＴＯ ２００６． ＬＮＣＳ， ｖｏｌ． ４１１７， ｐｐ． ２９０−３０７． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００６） Ｃａｎｅｔｔｉ， Ｒ．， Ｈａｌｅｖｉ Ｓ．， Ｋａｔｚ Ｊ．： Ｃｈｏｓｅｎ−ｃｉｐｈｅｒｔｅｘｔ ｓｅｃｕｒｉｔｙ ｆｒｏｍ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． ＥＵＲＯＣＲＹＰＴ ２００４， ＬＮＣＳ， Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００４） Ｃｈａｓｅ， Ｍ．： Ｍｕｌｔｉ−ａｕｔｈｏｒｉｔｙ ａｔｔｒｉｂｕｔｅ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． ＴＣＣ， ＬＮＣＳ， ｐｐ． ５１５−５３４， Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００７）． Ｃｈａｓｅ， Ｍ． ａｎｄ Ｃｈｏｗ， Ｓ．： Ｉｍｐｒｏｖｉｎｇ ｐｒｉｖａｃｙ ａｎｄ ｓｅｃｕｒｉｔｙ ｉｎ ｍｕｌｔｉ−ａｕｔｈｏｒｉｔｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ， ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｅｃｕｒｉｔｙ， ｐｐ． １２１−１３０， ＡＣＭ （２００９）． Ｃｏｃｋｓ， Ｃ．： Ａｎ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｓｃｈｅｍｅ ｂａｓｅｄ ｏｎ ｑｕａｄｒａｔｉｃ ｒｅｓｉｄｕｅｓ． Ｉｎ： Ｈｏｎａｒｙ， Ｂ． （ｅｄ．） ＩＭＡ Ｉｎｔ． Ｃｏｎｆ． ＬＮＣＳ， ｖｏｌ． ２２６０， ｐｐ． ３６０−３６３． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００１） Ｇｅｎｔｒｙ， Ｃ．： Ｐｒａｃｔｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ． Ｉｎ： Ｖａｕｄｅｎａｙ， Ｓ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００６． ＬＮＣＳ， ｖｏｌ． ４００４， ｐｐ． ４４５−４６４． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００６） Ｇｅｎｔｒｙ， Ｃ．， Ｈａｌｅｖｉ， Ｓ．： Ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｐｏｌｙｎｏｍｉａｌｌｙ ｍａｎｙ ｌｅｖｅｌｓ． Ｉｎ： Ｒｅｉｎｇｏｌｄ， Ｏ． （ｅｄ．） ＴＣＣ ２００９． ＬＮＣＳ， ｖｏｌ． ５４４４， ｐｐ． ４３７−４５６． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００９） Ｇｅｎｔｒｙ， Ｃ．， Ｓｉｌｖｅｒｂｅｒｇ， Ａ．： Ｈｉｅｒａｒｃｈｉｃａｌ ＩＤ−ｂａｓｅｄ ｃｒｙｐｔｏｇｒａｐｈｙ． Ｉｎ： Ｚｈｅｎｇ， Ｙ． （ｅｄ．） ＡＳＩＡＣＲＹＰＴ ２００２． ＬＮＣＳ，ｖｏｌ． ２５０１， ｐｐ． ５４８−５６６． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００２） Ｇｏｙａｌ， Ｖ．， Ｐａｎｄｅｙ， Ｏ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｆｏｒ ｆｉｎｅ−ｇｒａｉｎｅｄ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ ｏｆ ｅｎｃｒｙｐｔｅｄ ｄａｔａ． Ｉｎ： ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ２００６， ｐｐ． ８９−９８， ＡＣＭ （２００６） Ｋａｔｚ， Ｊ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ ｓｕｐｐｏｒｔｉｎｇ ｄｉｓｊｕｎｃｔｉｏｎｓ， ｐｏｌｙｎｏｍｉａｌ ｅｑｕａｔｉｏｎｓ， ａｎｄ ｉｎｎｅｒ ｐｒｏｄｕｃｔｓ． Ｉｎ： Ｓｍａｒｔ， Ｎ．Ｐ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００８． ＬＮＣＳ， ｖｏｌ． ４９６５， ｐｐ． １４６−１６２． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００８） Ｌｅｗｋｏ， Ａ．， Ｏｋａｍｏｔｏ， Ｔ．， Ｓａｈａｉ， Ａ．， Ｔａｋａｓｈｉｍａ， Ｋ．， Ｗａｔｅｒｓ， Ｂ．： Ｆｕｌｌｙ ｓｅｃｕｒｅ ｆｕｎｃｔｉｏｎａｌ ｅｎｃｒｙｐｔｉｏｎ： Ａｔｔｒｉｂｕｔｅｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ａｎｄ （ｈｉｅｒａｒｃｈｉｃａｌ） ｉｎｎｅｒ ｐｒｏｄｕｃｔ ｅｎｃｒｙｐｔｉｏｎ， ＥＵＲＯＣＲＹＰＴ ２０１０． ＬＮＣＳ， Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１０） Ｌｅｗｋｏ， Ａ．Ｂ．，Ｗａｔｅｒｓ， Ｂ．： Ｎｅｗ ｔｅｃｈｎｉｑｕｅｓ ｆｏｒ ｄｕａｌ ｓｙｓｔｅｍ ｅｎｃｒｙｐｔｉｏｎ ａｎｄ ｆｕｌｌｙ ｓｅｃｕｒｅ ＨＩＢＥ ｗｉｔｈ ｓｈｏｒｔ ｃｉｐｈｅｒｔｅｘｔｓ． Ｉｎ： Ｍｉｃｃｉａｎｃｉｏ， Ｄ． （ｅｄ．） ＴＣＣ ２０１０． ＬＮＣＳ， ｖｏｌ． ５９７８， ｐｐ． ４５５−４７９． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１０） Ｌｅｗｋｏ， Ａ．Ｂ．， Ｗａｔｅｒｓ， Ｂ．： Ｄｅｃｅｎｔｒａｌｉｚｉｎｇ Ａｔｔｒｉｂｕｔｅ−Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ， ｔｈｅ ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ Ｅｕｒｏｃｒｙｐｔ ２０１１， ＬＮＣＳ， Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１１）． Ｌｅｗｋｏ， Ａ．Ｂ．， Ｗａｔｅｒｓ， Ｂ．： Ｕｎｂｏｕｎｄｅｄ ＨＩＢＥ ａｎｄ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ， ｔｈｅ ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ Ｅｕｒｏｃｒｙｐｔ ２０１１， ＬＮＣＳ， Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１１）． Ｈ． Ｌｉｎ， Ｚ． Ｃａｏ， Ｘ． Ｌｉａｎｇ， ａｎｄ Ｊ． Ｓｈａｏ．： Ｓｅｃｕｒｅ ｔｈｒｅｓｈｏｌｄ ｍｕｌｔｉ ａｕｔｈｏｒｉｔｙ ａｔｔｒｉｂｕｔｅ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ａ ｃｅｎｔｒａｌ ａｕｔｈｏｒｉｔｙ， ＩＮＤＯＣＲＹＰＴ， ＬＮＣＳ， ｖｏｌ． ５３６５， ｐｐ． ４２６−４３６， Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００８）． Ｓ． Ｍ¨ｕｌｌｅｒ， Ｓ． Ｋａｔｚｅｎｂｅｉｓｓｅｒ， ａｎｄ Ｃ． Ｅｃｋｅｒｔ．； Ｏｎ ｍｕｌｔｉ−ａｕｔｈｏｒｉｔｙ ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ， Ｂｕｌｌ． Ｋｏｒｅａｎ Ｍａｔｈ Ｓｏｃ． ４６， Ｎｏ．４， ｐｐ． ８０３−８１９ （２００９）． Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ａｎｄ ｓｉｇｎａｔｕｒｅｓ ｆｒｏｍ ｖｅｃｔｏｒ ｄｅｃｏｍｐｏｓｉｔｉｏｎ． Ｉｎ： Ｇａｌｂｒａｉｔｈ， Ｓ．Ｄ．， Ｐａｔｅｒｓｏｎ， Ｋ．Ｇ． （ｅｄｓ．） Ｐａｉｒｉｎｇ ２００８． ＬＮＣＳ， ｖｏｌ． ５２０９， ｐｐ． ５７−７４， Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００８） Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ｈｉｅｒａｒｃｈｉｃａｌ ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ ｆｏｒ ｉｎｎｅｒ−ｐｒｏｄｕｃｔｓ， Ｉｎ： ＡＳＩＡＣＲＹＰＴ ２００９， Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００９） Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ｆｕｌｌｙ ｓｅｃｕｒｅ ｆｕｎｃｔｉｏｎａｌ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｇｅｎｅｒａｌ ｒｅｌａｔｉｏｎｓ ｆｒｏｍ ｔｈｅ ｄｅｃｉｓｉｏｎａｌ ｌｉｎｅａｒ ａｓｓｕｍｐｔｉｏｎ． Ｉｎ： Ｒａｂｉｎ， Ｔ． （ｅｄ．） ＣＲＹＰＴＯ ２０１０． ＬＮＣＳ， ｖｏｌ． ６２２３， ｐｐ． １９１−２０８． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１０）． Ｆｕｌｌ ｖｅｒｓｉｏｎ ｉｓ ａｖａｉｌａｂｌｅ ａｔ ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１０／５６３ Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ｅｆｆｉｃｉｅｎｔ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｓｉｇｎａｔｕｒｅｓ ｆｏｒ ｎｏｎ−ｍｏｎｏｔｏｎｅ ｐｒｅｄｉｃａｔｅｓ ｉｎ ｔｈｅ ｓｔａｎｄａｒｄ ｍｏｄｅｌ， Ｉｎ： ＰＫＣ ２０１１， Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１１） Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．：Ｄｅｃｅｎｔｒａｌｉｚｅｄ Ａｔｔｒｉｂｕｔｅ−Ｂａｓｅｄ Ｓｉｇｎａｔｕｒｅｓ ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１１／７０１ Ｏｓｔｒｏｖｓｋｙ， Ｒ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｎｏｎ−ｍｏｎｏｔｏｎｉｃ ａｃｃｅｓｓ ｓｔｒｕｃｔｕｒｅｓ． Ｉｎ： ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ２００７， ｐｐ． １９５−２０３， ＡＣＭ （２００７） Ｐｉｒｒｅｔｔｉ， Ｍ．， Ｔｒａｙｎｏｒ， Ｐ．， ＭｃＤａｎｉｅｌ， Ｐ．， Ｗａｔｅｒｓ， Ｂ．： Ｓｅｃｕｒｅ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｓｙｓｔｅｍｓ． Ｉｎ： ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ２００６， ｐｐ． ９９−１１２， ＡＣＭ， （２００６） Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ｆｕｚｚｙ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ： Ｃｒａｍｅｒ， Ｒ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００５． ＬＮＣＳ， ｖｏｌ． ３４９４， ｐｐ． ４５７−４７３． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００５） Ｓｈｉ， Ｅ．， Ｗａｔｅｒｓ， Ｂ．： Ｄｅｌｅｇａｔｉｎｇ ｃａｐａｂｉｌｉｔｙ ｉｎ ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ ｓｙｓｔｅｍｓ． Ｉｎ： Ａｃｅｔｏ， Ｌ．， Ｄａｍｇ「ェａｒｄ， Ｉ．， Ｇｏｌｄｂｅｒｇ， Ｌ．Ａ．， Ｈａｌｌｄゥェｒｓｓｏｎ， Ｍ．Ｍ．， Ｉｎｇゥェｌｆｓｄゥェｔｔｉｒ， Ａ．， Ｗａｌｕｋｉｅｗｉｃｚ， Ｉ． （ｅｄｓ．） ＩＣＡＬＰ （２） ２００８． ＬＮＣＳ， ｖｏｌ． ５１２６， ｐｐ． ５６０−５７８． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００８） Ｗａｔｅｒｓ， Ｂ．： Ｅｆｆｉｃｉｅｎｔ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ． Ｅｕｒｏｃｒｙｐｔ ２００５， ＬＮＣＳ， ｖｏｌ． ３１５２， ｐｐ．４４３−４５９． Ｓｐｒｉｎｇｅｒ Ｖｅｒｌａｇ， （２００５） Ｗａｔｅｒｓ， Ｂ．： Ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ： ａｎ ｅｘｐｒｅｓｓｉｖｅ， ｅｆｆｉｃｉｅｎｔ， ａｎｄ ｐｒｏｖａｂｌｙ ｓｅｃｕｒｅ ｒｅａｌｉｚａｔｉｏｎ．ｅＰｒｉｎｔ， ＩＡＣＲ， ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００８／２９０ Ｗａｔｅｒｓ， Ｂ．： Ｄｕａｌ ｓｙｓｔｅｍ ｅｎｃｒｙｐｔｉｏｎ： ｒｅａｌｉｚｉｎｇ ｆｕｌｌｙ ｓｅｃｕｒｅ ＩＢＥ ａｎｄ ＨＩＢＥ ｕｎｄｅｒ ｓｉｍｐｌｅ ａｓｓｕｍｐｔｉｏｎｓ． Ｉｎ： Ｈａｌｅｖｉ， Ｓ． （ｅｄ．） ＣＲＹＰＴＯ ２００９． ＬＮＣＳ， ｖｏｌ． ５６７７， ｐｐ． ６１９−６３６． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００９）

非特許文献２９に記載された関数型暗号方式では、属性カテゴリ毎に基底Ｂ_ｔ及び基底Ｂ^＊ _ｔのペアが必要であり、属性カテゴリを追加する場合、新たな基底Ｂ_ｔ及び基底Ｂ^＊ _ｔのペアを生成する必要がある。そして、基底Ｂ_ｔは、公開パラメータに含まれているため、公開パラメータを再発行する必要がある。
この発明は、公開パラメータの再発行をすることなく、属性カテゴリの追加を可能とすることを目的とする。

この発明に係る暗号システムは、
所定の基底Ｂ及び所定の基底Ｂ^＊を用いて処理を行う暗号システムであり、
複数のインデックスｊのうちの１つ以上のインデックスｊについての送信側ベクトルｔ_ｊであって、前記基底Ｂにおける所定の基底ベクトルｂ_{ｉｎｄｅｘ}の係数に、インデックスｊに予め割り当てられた情報Ｊを設定し、前記基底Ｂにおける他の基底ベクトルｂ_ａｔｔの係数に、インデックスｊについてのパラメータΦ_ｊを設定した送信側ベクトルｔ_ｊを生成する送信装置と、
複数のインデックスｊ’のうちの１つ以上のインデックスｊ’についての受信側ベクトルｒ_ｊ’であって、前記基底ベクトルｂ_{ｉｎｄｅｘ}に対応する前記基底Ｂ^＊における基底ベクトルｂ^＊ _{ｉｎｄｅｘ}の係数に、インデックスｊ’に対応するインデックスｊに予め割り当てられた情報Ｊとの内積が０になる情報Ｊ’を設定し、前記基底ベクトルｂ_ａｔｔに対応する前記基底Ｂ^＊における基底ベクトルｂ^＊ _ａｔｔの係数に、インデックスｊ’についてのパラメータΨ_ｊ’を設定した受信側ベクトルｒ_ｊ’を用いて、インデックスｊについての前記送信側ベクトルｔ_ｊと前記インデックスｊに対応するインデックスｊ’についての前記受信側ベクトルｒ_ｊ’とに対して、対応する基底ベクトル毎のペアリング演算の積を計算する受信装置と
を備えることを特徴とする。

この発明に係る暗号システムでは、送信側ベクトルｔ_ｊにはインデックスｊに予め割り当てられた情報Ｊが設定され、受信側ベクトルｒ_ｊ’には、情報Ｊとの内積が０になる情報Ｊ’が設定される。これにより、安全性を維持したまま、全ての属性カテゴリに共通の基底Ｂ及び基底Ｂ^＊を用いることができ、属性カテゴリ毎に基底Ｂ_ｔ及び基底Ｂ^＊ _ｔを用いる必要がなくなる。その結果、属性カテゴリを追加する場合、新たな基底Ｂ_ｔ及び基底Ｂ^＊ _ｔを生成する必要がなく、公開パラメータの再発行をすることなく、属性カテゴリの追加を可能とすることができる。

行列Ｍ＾の説明図。 行列Ｍ_δの説明図。 ｓ_０の説明図。 ｓ^→Ｔの説明図。 実施の形態２に係るＫＰ−ＦＥ方式を実行する暗号システム１０の構成図。 実施の形態２に係る鍵生成装置１００の構成図。 実施の形態２に係る暗号化装置２００の構成図。 実施の形態２に係る復号装置３００の構成図。 実施の形態２に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャート。 実施の形態２に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態２に係るＥｎｃアルゴリズムの処理を示すフローチャート。 実施の形態２に係るＤｅｃアルゴリズムの処理を示すフローチャート。 実施の形態３に係るＣＰ−ＦＥ方式を実行する暗号システム１０の構成図。 実施の形態３に係る鍵生成装置１００の構成図。 実施の形態３に係る暗号化装置２００の構成図。 実施の形態３に係る復号装置３００の構成図。 実施の形態３に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態３に係るＥｎｃアルゴリズムの処理を示すフローチャート。 実施の形態３に係るＤｅｃアルゴリズムの処理を示すフローチャート。 実施の形態４に係るＨＩＰＥ方式を実行する暗号システム１０の構成図。 実施の形態４に係る鍵生成装置１００の構成図。 実施の形態４に係る暗号化装置２００の構成図。 実施の形態４に係る復号装置３００の構成図。 実施の形態４に係る鍵委譲装置４００の構成図。 実施の形態４に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャート。 実施の形態４に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態４に係るＥｎｃアルゴリズムの処理を示すフローチャート。 実施の形態４に係るＤｅｃアルゴリズムの処理を示すフローチャート。 実施の形態４に係るＤｅｌｅｇａｔｅ_Ｌアルゴリズムの処理を示すフローチャート。 実施の形態５に係る署名方式を実行する暗号システム１０の構成図。 実施の形態５に係る鍵生成装置１００の構成図。 実施の形態５に係る署名装置５００の構成図。 実施の形態５に係る検証装置６００の構成図。 実施の形態５に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャート。 実施の形態５に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態５に係るＳｉｇアルゴリズムの処理を示すフローチャート。 実施の形態５に係るＶｅｒアルゴリズムの処理を示すフローチャート。 多管理者の説明図。 多管理者の場合における属性カテゴリを追加可能な関数型暗号方式の説明図。 鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００、署名装置５００、検証装置６００のハードウェア構成の一例を示す図。

以下、図に基づき、発明の実施の形態を説明する。
以下の説明において、処理装置は後述するＣＰＵ９１１等である。記憶装置は後述するＲＯＭ９１３、ＲＡＭ９１４、磁気ディスク９２０等である。通信装置は後述する通信ボード９１５等である。入力装置は後述するキーボード９０２、通信ボード９１５等である。つまり、処理装置、記憶装置、通信装置、入力装置はハードウェアである。

以下の説明における記法について説明する。
Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。

Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。

数１０３は、ｙがｚにより定義された集合であること、又はｙがｚを代入された集合であることを表す。

ａが定数であるとき、数１０４は、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。

数１０５、つまりＦ_ｑは、位数ｑの有限体を示す。

ベクトル表記は、有限体Ｆ_ｑにおけるベクトル表示を表す。つまり、数１０６である。

数１０７は、数１０８に示す２つのベクトルｘ^→とｖ^→との数１０９に示す内積を表す。

Ｘ^Ｔは、行列Ｘの転置行列を表す。
ｂ_ｉ（ｉ＝１，．．．，ｎ）が空間Ｖのベクトルの要素であるとき、つまり、数１１０であるとき、数１１１は、数１１２によって生成される部分空間を表す。

数１１３に示す基底Ｂと基底Ｂ^＊とに対して、数１１４である。

ｅ^→ _ｊは、数１１５に示す正規基底ベクトルを示す。

また、以下の説明において、“Ｖｔ”が下付き又は上付きで示されている場合、このＶｔはＶ_ｔを意味する。同様に、“δｉ，ｊ”が上付きで示されている場合、このδｉ，ｊは、δ_ｉ，ｊを意味する。
また、ベクトルを意味する“→”が下付き文字又は上付き文字に付されている場合、この“→”は下付き文字又は上付き文字に上付きで付されていることを意味する。

また、以下の説明において、暗号プリミティブの処理は、情報を第三者から秘匿するための狭義の暗号処理だけでなく、署名処理をも含むものであり、鍵生成処理、暗号化処理、復号処理、鍵委譲処理、署名処理、検証処理を含む。

実施の形態１．
この実施の形態では、以下の実施の形態で説明する、公開パラメータを再発行することなく、属性カテゴリの追加が可能な暗号プリミティブの処理を実現する基礎となる概念をする。
第１に、属性カテゴリの追加について説明する。
第２に、関数型暗号方式と、関数型暗号方式の基本構成とについて簡単に説明する。
第３に、公開パラメータを再発行することなく、属性カテゴリの追加を可能とするキーテクニックについて説明する。
第４に、関数型暗号方式を実現するための空間である「双対ペアリングベクトル空間（Ｄｕａｌ Ｐａｉｒｉｎｇ Ｖｅｃｔｏｒ Ｓｐａｃｅｓ，ＤＰＶＳ）」という豊かな数学的構造を有する空間を説明する。
第５に、関数型暗号方式を実現するための概念を説明する。ここでは、スパンプログラム（Ｓｐａｎ Ｐｒｏｇｒａｍ）」、「属性情報の内積とアクセスストラクチャ」、「秘密分散方式（秘密共有方式）」について説明する。

＜第１．属性カテゴリの追加＞
属性カテゴリとは、例えば、所属機関、所属部署、役職、年齢、性別等、各ユーザの属性の分類のことである。

以下の実施の形態で説明する暗号プリミティブの処理は、ユーザの属性に基づくアクセスコントロールを実現する。例えば、情報を第三者から秘匿するための狭義の暗号処理であれば、ユーザの属性に基づき、暗号文を復号できるか否かを制御する。
通常、アクセスコントロールに使用する属性カテゴリは、システム設計時に予め決定される。しかし、後にシステムの運用が変更され、アクセスコントロールに使用する属性カテゴリの追加が必要になる場合がある。
例えば、Ａ会社内のみで使用することを想定して暗号システムを構築したとする。この場合、使用する属性カテゴリとしては、所属部署、役職、個人のＩＤ等が想定される。しかし、後に、Ａ会社だけでなく、Ａ会社の関連会社でも暗号システムを使用するように運用が変更されたとする。この場合、使用する属性カテゴリとして、新たに所属会社を追加する必要がある。

アクセスコントロールに使用する属性カテゴリが、公開パラメータにより規定されている場合、後に属性カテゴリを追加するには、公開パラメータを再発行し、ユーザへ配布し直さなければならない。そのため、後に属性カテゴリを追加することは容易でなく、システム設計時に想定していなかった運用形態を柔軟に採用することができない。
そのため、公開パラメータを再発行することなく、属性カテゴリを追加できることは重要である。

＜第２．関数型暗号方式＞
関数型暗号方式は、暗号化鍵ｅｋと、復号鍵ｄｋとの間の関係をより高度化し、より柔軟にした暗号方式である。
関数型暗号方式において、暗号化鍵ｅｋと復号鍵ｄｋとには、それぞれ、パラメータΦとパラメータΨとが設定される。そして、関係Ｒ（Φ，Ψ）が成立する場合に限り、復号鍵ｄｋは暗号化鍵ｅｋで暗号化された暗号文を復号することができる。
関数型暗号方式には、属性ベース暗号方式やＩＤベース暗号方式が含まれる。

関数型暗号方式の構成を簡単に説明する。
関数型暗号方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｅｎｃ、Ｄｅｃの４つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、公開パラメータｐｋと、マスター鍵ｓｋとを出力するアルゴリズムである。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、公開パラメータｐｋと、マスター鍵ｓｋと、パラメータΨとを入力として、復号鍵ｓｋ_Ψを出力するアルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、公開パラメータｐｋと、パラメータΦと、メッセージｍとを入力として、暗号文ｃｔ_Φを出力するアルゴリズムである。
（Ｄｅｃ）
Ｄｅｃアルゴリズムは、公開パラメータｐｋと、復号鍵ｓｋ_Ψと、暗号文ｃｔ_Φとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。
なお、パラメータΨとパラメータΦとが関係Ｒを満たす場合（Ｒ（Φ，Ψ）が成立する場合）に限り、暗号文ｃｔ_Φを復号鍵ｓｋ_Ψで復号して、メッセージｍを得ることができる。

なお、Ｓｅｔｕｐアルゴリズムは、通常、システムのセットアップ時に１度だけ実行される。ＫｅｙＧｅｎアルゴリズムは、ユーザの復号鍵ｓｋ_Ψを生成する度に実行される。Ｅｎｃアルゴリズムは、メッセージｍを暗号化する度に実行される。Ｄｅｃアルゴリズムは、暗号文ｃｔ_Φを復号する度に実行される。

＜第３．キーテクニック＞
公開パラメータを再発行することなく、属性カテゴリの追加を可能とするキーテクニックは、双対ペアリングベクトル空間における双対システム暗号に、インデックス付けの技法を適用することである。

双対ペアリングベクトル空間における双対システム暗号では、双対基底である基底Ｂと基底Ｂ^＊とがランダムに生成される。そして、基底Ｂの一部（基底Ｂ＾）が公開パラメータとされる。

非特許文献２９に記載された関数型暗号方式では、基底Ｂ＾_１，．．．，基底Ｂ＾_ｄが公開パラメータとして生成される。そして、ｔ＝１，．．．，ｄの各整数ｔについての基底Ｂ＾_ｔに、１つの属性カテゴリが割り当てられる。つまり、ｄ個の属性カテゴリを扱うことができる。
ここで、基底Ｂ＾_１，．．．，基底Ｂ＾_ｄが公開パラメータであることから明らかなように、後に基底Ｂ＾を追加する場合、すなわちｄの値を増やす場合には、公開パラメータを再発行しなければならない。つまり、ｄの値は公開パラメータによって制限されている。

以下の実施の形態で説明する関数型暗号方式では、基底Ｂ＾が公開パラメータとして生成される。そして、ｔ＝１，．．．，ｄの各整数ｔについて、σ_ｔ（１，ｔ）とμ_ｉ（ｔ，−１）との２次元のインデックスベクトルが暗号文ｃと秘密鍵ｋ^＊とに設定され、各整数ｔに対して１つの属性カテゴリが割り当てられる。つまり、ｄ個の属性カテゴリを扱うことができる。
ここで、公開パラメータには、基底Ｂ＾は含まれているものの、インデックスベクトルは含まれていない。そのため、後にインデックスベクトルを追加し、ｄの値を増やす場合、公開パラメータを再発行する必要はない。つまり、ｄの値は公開パラメータによって制限されていない。

＜第４．双対ペアリングベクトル空間＞
まず、対称双線形ペアリング群について説明する。
対称双線形ペアリング群（ｑ，Ｇ，Ｇ^Ｔ，ｇ，ｅ）は、素数ｑと、位数ｑの巡回加法群Ｇと、位数ｑの巡回乗法群Ｇ^Ｔと、ｇ≠０∈Ｇと、多項式時間で計算可能な非退化双線形ペアリング（Ｎｏｎｄｅｇｅｎｅｒａｔｅ Ｂｉｌｉｎｅａｒ Ｐａｉｒｉｎｇ）ｅ：Ｇ×Ｇ→Ｇ_Ｔとの組である。非退化双線形ペアリングは、ｅ（ｓｇ，ｔｇ）＝ｅ（ｇ，ｇ）^ｓｔであり、ｅ（ｇ，ｇ）≠１である。
以下の説明において、Ｇ_ｂｐｇを、１^λを入力として、セキュリティパラメータをλとする双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を出力するアルゴリズムとする。

次に、双対ペアリングベクトル空間について説明する。
双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、対称双線形ペアリング群（ｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ））の直積によって構成することができる。双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、素数ｑ、数１１６に示すＦ_ｑ上のＮ次元ベクトル空間Ｖ、位数ｑの巡回群Ｇ_Ｔ、空間Ｖの標準基底Ａ：＝（ａ_１，．．．，ａ_Ｎ）の組であり、以下の演算（１）（２）を有する。ここで、ａ_ｉは、数１１７に示す通りである。

演算（１）：非退化双線形ペアリング
空間Ｖにおけるペアリングは、数１１８によって定義される。

これは、非退化双線形である。つまり、ｅ（ｓｘ，ｔｙ）＝ｅ（ｘ，ｙ）^ｓｔであり、全てのｙ∈Ｖに対して、ｅ（ｘ，ｙ）＝１の場合、ｘ＝０である。また、全てのｉとｊとに対して、ｅ（ａ_ｉ，ａ_ｊ）＝ｅ（ｇ，ｇ）^δｉ，ｊである。ここで、ｉ＝ｊであれば、δ_ｉ，ｊ＝１であり、ｉ≠ｊであれば、δ_ｉ，ｊ＝０である。また、ｅ（ｇ，ｇ）≠１∈Ｇ_Ｔである。

演算（２）：ディストーション写像
数１１９に示す空間Ｖにおける線形変換φ_ｉ，ｊは、数１２０を行うことができる。

ここで、線形変換φ_ｉ，ｊをディストーション写像と呼ぶ。

以下の説明において、Ｇ_ｄｐｖｓを、１^λ（λ∈自然数）、Ｎ∈自然数、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を入力として、セキュリティパラメータがλであり、Ｎ次元の空間Ｖとする双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ：＝（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）の値を出力するアルゴリズムとする。

なお、ここでは、上述した対称双線形ペアリング群により、双対ペアリングベクトル空間を構成した場合について説明する。なお、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成することも可能である。以下の説明を、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成した場合に応用することは容易である。

＜第５．関数型暗号を実現するための概念＞
＜第５−１．スパンプログラム＞
図１は、行列Ｍ＾の説明図である。
｛ｐ_１，．．．，ｐ_ｎ｝を変数の集合とする。Ｍ＾：＝（Ｍ，ρ）は、ラベル付けされた行列である。ここで、行列Ｍは、Ｆ_ｑ上の（Ｌ行×ｒ列）の行列である。また、ρは、行列Ｍの各列に付されたラベルであり、｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝のいずれか１つのリテラルへ対応付けられる。なお、Ｍの全ての行に付されたラベルρ_i（ｉ＝１，．．．，Ｌ）がいずれか１つのリテラルへ対応付けられる。つまり、ρ：｛１，．．．，Ｌ｝→｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝である。

全ての入力列δ∈｛０，１｝^ｎに対して、行列Ｍの部分行列Ｍ_δは定義される。行列Ｍ_δは、入力列δによってラベルρに値“１”が対応付けられた行列Ｍの行から構成される部分行列である。つまり、行列Ｍ_δは、δ_ｉ＝１であるようなｐ_ｉに対応付けられた行列Ｍの行と、δ_ｉ＝０であるような¬ｐ_ｉに対応付けられた行列Ｍの行とからなる部分行列である。
図２は、行列Ｍ_δの説明図である。なお、図２では、ｎ＝７，Ｌ＝６，ｒ＝５としている。つまり、変数の集合は、｛ｐ_１，．．．，ｐ_７｝であり、行列Ｍは（６行×５列）の行列である。また、図２において、ラベルρは、ρ_１が¬ｐ_２に、ρ_２がｐ_１に、ρ_３がｐ_４に、ρ_４が¬ｐ_５に、ρ_５が¬ｐ_３に、ρ_６がｐ_５にそれぞれ対応付けられているとする。
ここで、入力列δ∈｛０，１｝^７が、δ_１＝１，δ_２＝０，δ_３＝１，δ_４＝０，δ_５＝０，δ_６＝１，δ_７＝１であるとする。この場合、破線で囲んだリテラル（ｐ_１，ｐ_３，ｐ_６，ｐ_７，¬ｐ_２，¬ｐ_４，¬ｐ_５）に対応付けられている行列Ｍの行からなる部分行列が行列Ｍ_δである。つまり、行列Ｍの１行目（Ｍ_１），２行目（Ｍ_２），４行目（Ｍ_４）からなる部分行列が行列Ｍ_δである。

言い替えると、写像γ：｛１，．．．，Ｌ｝→｛０，１｝が、［ρ（ｊ）＝ｐ_ｉ］∧［δ_ｉ＝１］又は［ρ（ｊ）＝¬ｐ_ｉ］∧［δ_ｉ＝０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０であるとする。この場合に、Ｍ_δ：＝（Ｍ_ｊ）_{γ（ｊ）＝１}である。ここで、Ｍ_ｊは、行列Ｍのｊ番目の行である。
つまり、図２では、写像γ（ｊ）＝１（ｊ＝１，２，４）であり、写像γ（ｊ）＝０（ｊ＝３，５，６）である。したがって、（Ｍ_ｊ）_{γ（ｊ）＝１}は、Ｍ_１，Ｍ_２，Ｍ_４であり、行列Ｍ_δである。
すなわち、写像γ（ｊ）の値が“０”であるか“１”であるかによって、行列Ｍのｊ番目の行が行列Ｍ_δに含まれるか否かが決定される。

１^→∈ｓｐａｎ＜Ｍ_δ＞である場合に限り、スパンプログラムＭ＾は入力列δを受理し、他の場合には入力列δを拒絶する。つまり、入力列δによって行列Ｍ＾から得られる行列Ｍ_δの行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。なお、１^→とは、各要素が値“１”である行ベクトルである。
例えば、図２の例であれば、行列Ｍの１，２，４行目からなる行列Ｍ_δの各行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理する。

ここで、ラベルρが正のリテラル｛ｐ_１，．．．，ｐ_ｎ｝にのみ対応付けられている場合、スパンプログラムはモノトーンと呼ばれる。一方、ラベルρがリテラル｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝に対応付けられている場合、スパンプログラムはノンモノトーンと呼ばれる。ここでは、スパンプログラムはノンモノトーンとする。そして、ノンモノトーンスパンプログラムを用いて、アクセスストラクチャ（ノンモノトーンアクセスストラクチャ）を構成する。アクセスストラクチャとは、簡単に言うと暗号へのアクセス制御を行うものである。つまり、暗号文を復号できるか否かの制御を行うものである。
詳しくは後述するが、スパンプログラムがモノトーンではなく、ノンモノトーンであることにより、スパンプログラムを利用して構成する関数型暗号方式の利用範囲が広がる。

＜第５−２．属性情報の内積とアクセスストラクチャ＞
ここでは、属性情報の内積を用いて上述した写像γ（ｊ）を計算する。つまり、属性情報の内積を用いて、行列Ｍのどの行を行列Ｍ_δに含めるかを決定する。

Ｕ_ｔ（ｔ＝１，．．．，ｄでありＵ_ｔ⊂｛０，１｝^＊）は、部分全集合（ｓｕｂ−ｕｎｉｖｅｒｓｅ）であり、属性の集合である。そして、Ｕ_ｔは、それぞれ部分全集合の識別情報（ｔ）と、ｎ次元ベクトル（ｖ^→）とを含む。つまり、Ｕ_ｔは、（ｔ，ｖ^→）である。ここで、ｔ∈｛１，．．．，ｄ｝であり、ｖ^→∈Ｆ_ｑ ^ｎである。

Ｕ_ｔ：＝（ｔ，ｖ^→）をスパンプログラムＭ＾：＝（Ｍ，ρ）における変数ｐとする。つまり、ｐ：＝（ｔ，ｖ^→）である。そして、変数（ｐ：＝（ｔ，ｖ^→），（ｔ’，ｖ’^→），．．．）としたスパンプログラムＭ＾：＝（Ｍ，ρ）をアクセスストラクチャＳとする。
つまり、アクセスストラクチャＳ：＝（Ｍ，ρ）であり、ρ：｛１，．．．，Ｌ｝→｛（ｔ，ｖ^→），（ｔ’，ｖ’^→），．．．，¬（ｔ，ｖ^→），¬（ｔ’，ｖ’^→），．．．｝である。

次に、Γを属性の集合とする。つまり、Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆｑ^ｎ，１≦ｔ≦ｄ｝である。
アクセスストラクチャＳにΓが与えられた場合、スパンプログラムＭ＾：＝（Ｍ，ρ）に対する写像γ：｛１，．．．，Ｌ｝→｛０，１｝は、以下のように定義される。ｉ＝１，．．．，Ｌの各整数ｉについて、［ρ（ｉ）＝（ｔ，ｖ^→ _ｉ）］∧［（ｔ，ｘ^→ _ｔ）∈Γ］∧［ｖ^→ _ｉ・ｘ^→ _ｔ＝０］、又は、［ρ（ｉ）＝¬（ｔ，ｖ^→ _ｉ）］∧［（ｔ，ｘ^→ _ｔ）∈Γ］∧［ｖ^→ _ｉ・ｘ^→ _ｔ≠０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０とする。
つまり、属性情報ｖ^→とｘ^→との内積に基づき、写像γが計算される。そして、上述したように、写像γにより、行列Ｍのどの行を行列Ｍ_δに含めるかが決定される。すなわち、属性情報ｖ^→とｘ^→との内積により、行列Ｍのどの行を行列Ｍ_δに含めるかが決定され、１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合に限り、アクセスストラクチャＳ：＝（Ｍ，ρ）はΓを受理する。

＜第５−３．秘密分散方式＞
アクセスストラクチャＳ：＝（Ｍ，ρ）に対する秘密分散方式について説明する。
なお、秘密分散方式とは、秘密情報を分散させ、意味のない分散情報にすることである。例えば、秘密情報ｓを１０個に分散させ、１０個の分散情報を生成する。ここで、１０個の分散情報それぞれは、秘密情報ｓの情報を有していない。したがって、ある１個の分散情報を手に入れても秘密情報ｓに関して何ら情報を得ることはできない。一方、１０個の分散情報を全て手に入れれば、秘密情報ｓを復元できる。
また、１０個の分散情報を全て手に入れなくても、一部だけ（例えば、８個）手に入れれば秘密情報ｓを復元できる秘密分散方式もある。このように、１０個の分散情報のうち８個で秘密情報ｓを復元できる場合を、８−ｏｕｔ−ｏｆ−１０と呼ぶ。つまり、ｎ個の分散情報のうちｔ個で秘密情報ｓを復元できる場合を、ｔ−ｏｕｔ−ｏｆ−ｎと呼ぶ。このｔを閾値と呼ぶ。
また、ｄ_１，．．．，ｄ_１０の１０個の分散情報を生成した場合に、ｄ_１，．．．，ｄ_８までの８個の分散情報であれば秘密情報ｓを復元できるが、ｄ_３，．．．，ｄ_１０までの８個の分散情報であれば秘密情報ｓを復元できないというような秘密分散方式もある。つまり、手に入れた分散情報の数だけでなく、分散情報の組合せに応じて秘密情報ｓを復元できるか否かを制御する秘密分散方式もある。

図３は、ｓ_０の説明図である。図４は、ｓ^→Ｔの説明図である。
行列Ｍを（Ｌ行×ｒ列）の行列とする。ｆ^→Ｔを数１２１に示す列ベクトルとする。

数１２２に示すｓ_０を共有される秘密情報とする。

また、数１２３に示すｓ^→Ｔをｓ_０のＬ個の分散情報のベクトルとする。

そして、分散情報ｓ_ｉをρ（ｉ）に属するものとする。

アクセスストラクチャＳ：＝（Ｍ，ρ）がΓを受理する場合、つまりγ：｛１，．．．，Ｌ｝→｛０，１｝について１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合、Ｉ⊆｛ｉ∈｛１，．．．，Ｌ｝｜γ（ｉ）-＝１｝である定数｛α_ｉ∈Ｆ_ｑ｜ｉ∈Ｉ｝が存在する。
これは、図２の例で、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理すると説明したことからも明らかである。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾が入力列δを受理するのであれば、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する。
そして、数１２４である。

なお、定数｛α_ｉ｝は、行列Ｍのサイズにおける多項式時間で計算可能である。

以下の実施の形態に係る関数型暗号方式は、上述したように、スパンプログラムに内積述語と秘密分散方式とを適用してアクセスストラクチャを構成する。そのため、スパンプログラムにおける行列Ｍや、内積述語における属性情報ｘ及び属性情報ｖ（述語情報）を設計するにより、アクセス制御を自由に設計することができる。つまり、非常に高い自由度でアクセス制御の設計を行うことができる。なお、行列Ｍの設計は、秘密分散方式の閾値等の条件設計に相当する。
例えば、上述した属性ベース暗号方式は、以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャにおいて、内積述語の設計をある条件に限定した場合に相当する。つまり、以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャに比べ、属性ベース暗号方式におけるアクセスストラクチャは、内積述語における属性情報ｘ及び属性情報ｖ（述語情報）を設計の自由度がない分、アクセス制御の設計の自由度が低い。なお、具体的には、属性ベース暗号方式は、属性情報｛ｘ^→ _ｔ｝_{ｔ∈｛１，．．．，ｄ｝}と｛ｖ^→ _ｔ｝_{ｔ∈｛１，．．．，ｄ｝}とを、等号関係に対する２次元ベクトル、例えばｘ^→ _ｔ：＝（１，ｘ_ｔ）とｖ^→ _ｔ：＝（ｖ_ｔ，−１）とに限定した場合に相当する。
また、内積述語暗号方式は、以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャにおいて、スパンプログラムにおける行列Ｍの設計をある条件に限定した場合に相当する。つまり、以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャに比べ、内積述語暗号方式におけるアクセスストラクチャは、スパンプログラムにおける行列Ｍの設計の自由度がない分、アクセス制御の設計の自由度が低い。なお、具体的には、内積述語暗号方式は、秘密分散方式を１−ｏｕｔ−ｏｆ−１（あるいは、ｄ−ｏｕｔ−ｏｆ−ｄ）に限定した場合である。

特に、以下の実施の形態に係る関数型暗号方式におけるアクセスストラクチャは、ノンモノトーンスパンプログラムを用いたノンモノトーンアクセスストラクチャを構成する。そのため、アクセス制御の設計の自由度がより高くなる。
具体的には、ノンモノトーンスパンプログラムには、否定形のリテラル（¬ｐ）を含むため、否定形の条件を設定できる。例えば、第１会社には、Ａ部とＢ部とＣ部とＤ部との４つの部署があったとする。ここで、第１会社のＢ部以外の部署の属するユーザにのみアクセス可能（復号可能）というアクセス制御をしたいとする。この場合に、否定形の条件の設定ができないとすると、「第１会社のＡ部とＣ部とＤ部とのいずれかに属すること」という条件を設定する必要がある。一方、否定形の条件の設定ができるとすると、「第１会社の社員であって、Ｂ部以外に属すること」という条件を設定することができる。つまり、否定形の条件が設定できることで、自然な条件設定が可能となる。なお、ここでは部署の数が少ないが、部署の数が多い場合等は非常に有効であることが分かる。

実施の形態２．
この実施の形態では、狭義の暗号処理方式について説明する。特に、この実施の形態では、Ｋｅｙ−Ｐｏｌｉｃｙ関数型暗号（ＫＰ−ＦＥ）方式について説明する。
なお、Ｋｅｙ−Ｐｏｌｉｃｙとは、復号鍵にＰｏｌｉｃｙが埋め込まれること、つまりアクセスストラクチャが埋め込まれることを意味する。

第１に、ＫＰ−ＦＥ方式の構成について説明する。
第２に、ＫＰ−ＦＥ方式を実現する暗号システム１０の構成について説明する。
第３に、ＫＰ−ＦＥ方式について詳細に説明する。

＜第１．ＫＰ−ＦＥ方式の構成＞
ＫＰ−ＦＥ方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｅｎｃ、Ｄｅｃの４つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλが入力され、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、アクセスストラクチャＳ：＝（Ｍ，ρ）と、公開パラメータｐｋと、マスター鍵ｓｋとを入力として、復号鍵ｓｋ_Ｓを出力する確率的アルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、メッセージｍと、属性の集合であるΓ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎ，１≦ｔ≦ｄ｝と、公開パラメータｐｋとを入力として、暗号文ｃｔ_Γを出力する確率的アルゴリズムである。
（Ｄｅｃ）
Ｄｅｃアルゴリズムは、属性の集合であるΓの下で暗号化された暗号文ｃｔ_Γと、アクセスストラクチャＳに対する復号鍵ｓｋ_Ｓと、公開パラメータｐｋとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。

＜第２．ＫＰ−ＦＥ方式を実現する暗号システム１０の構成＞
図５は、実施の形態２に係るＫＰ−ＦＥ方式を実行する暗号システム１０の構成図である。
暗号システム１０は、鍵生成装置１００、暗号化装置２００、復号装置３００を備える。
鍵生成装置１００は、セキュリティパラメータλを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成した公開パラメータｐｋを公開する。また、鍵生成装置１００は、アクセスストラクチャＳを入力としてＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成して復号装置３００へ秘密裡に配布する。
暗号化装置２００は、メッセージｍと、属性の集合Γと、公開パラメータｐｋとを入力としてＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Γを生成する。暗号化装置２００は、生成した暗号文ｃｔ_Γを復号装置３００へ送信する。
復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_Ｓと、暗号文ｃｔ_Γとを入力としてＤｅｃアルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

＜第３．ＫＰ−ＦＥ方式の詳細＞
図６から図１２に基づき、ＫＰ−ＦＥ方式、及び、ＫＰ−ＦＥ方式を実行する暗号システム１０の機能と動作とについて説明する。
図６は、実施の形態２に係る鍵生成装置１００の構成図である。図７は、実施の形態２に係る暗号化装置２００の構成図である。図８は、実施の形態２に係る復号装置３００の構成図である。
図９と図１０とは、鍵生成装置１００の動作を示すフローチャートである。なお、図９はＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１０はＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図１１は、暗号化装置２００の動作を示すフローチャートであり、Ｅｎｃアルゴリズムの処理を示すフローチャートである。図１２は、復号装置３００の動作を示すフローチャートであり、Ｄｅｃアルゴリズムの処理を示すフローチャートである。
なお、以下の説明では、ｘ_ｔ，１：＝１であるとする。

鍵生成装置１００の機能と動作とについて説明する。
鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、復号鍵生成部１４０、鍵配布部１５０を備える。また、復号鍵生成部１４０は、ｆベクトル生成部１４１、ｓベクトル生成部１４２、乱数生成部１４３、鍵要素生成部１４４を備える。

まず、図９に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１：正規直交基底生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１２５を計算して、パラメータｐａｒａｍと、基底Ｂ_０及び基底Ｂ^＊ _０と、基底Ｂ_１（基底Ｂ）及び基底Ｂ^＊ _１（基底Ｂ^＊）とを生成する。

つまり、マスター鍵生成部１１０は以下の処理を実行する。
（１）マスター鍵生成部１１０は、入力装置により、セキュリティパラメータλ（１^λ）を入力する。
（２）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλ（１^λ）を入力としてアルゴリズムＧ_ｂｐｇを実行して、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を生成する。
（３）マスター鍵生成部１１０は、処理装置により、乱数ψを生成するとともに、Ｎ_０に１＋ｕ_０＋１＋ｗ_０＋ｚ_０を、Ｎ_１に２＋ｎ＋ｕ＋ｗ＋ｚを設定する。なお、ｎは１以上の整数であり、ｕ_０，ｗ_０，ｚ_０，ｕ，ｗ，ｚはそれぞれ０以上の整数である。

続いて、マスター鍵生成部１１０は、ｔ＝０，１の各ｔについて以下の（４）から（８）までの処理を実行する。
（４）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλ（１^λ）と、（３）で設定したＮ_ｔと、（２）で生成したｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値とを入力としてアルゴリズムＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖｔ：＝（ｑ，Ｖ_ｔ，Ｇ_Ｔ，Ａ_ｔ，ｅ）の値を生成する。
（５）マスター鍵生成部１１０は、処理装置により、（３）で設定したＮ_ｔと、Ｆ_ｑとを入力として、線形変換Ｘ_ｔ：＝（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊをランダムに生成する。なお、ＧＬは、Ｇｅｎｅｒａｌ Ｌｉｎｅａｒの略である。つまり、ＧＬは、一般線形群であり、行列式が０でない正方行列の集合であり、乗法に関し群である。また、（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊは、行列χ_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，Ｎ_ｔである。
（６）マスター鍵生成部１１０は、処理装置により、乱数ψと線形変換Ｘ_ｔとに基づき、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊ：＝ψ・（Ｘ_ｔ ^Ｔ）^−１を生成する。なお、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊも（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊと同様に、行列ν_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，Ｎ_ｔである。
（７）マスター鍵生成部１１０は、処理装置により、（５）で生成した線形変換Ｘ_ｔに基づき、（４）で生成した標準基底Ａ_ｔから基底Ｂ_ｔを生成する。なお、ｘ^→ _ｔ，ｉとは、線形変換Ｘ_ｔのｉ行目を示す。
（８）マスター鍵生成部１１０は、処理装置により、（６）で生成した（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊに基づき、（４）で生成した標準基底Ａ_ｔから基底Ｂ^＊ _ｔを生成する。なお、ｖ^→ _ｔ，ｉとは、線形変換Ｘ^＊ _ｔのｉ行目を示す。
（９）マスター鍵生成部１１０は、処理装置により、ｇ_Ｔにｅ（ｇ，ｇ）^ψを設定する。また、マスター鍵生成部１１０は、ｐａｒａｍに（４）で生成した｛ｐａｒａｍ_Ｖｔ｝_{ｔ＝０，１}と、ｇ_Ｔとを設定する。

すなわち、（Ｓ１０１）で、マスター鍵生成部１１０は、数１２６に示すアルゴリズムＧ_ｏｂを実行して、ｐａｒａｍと、基底Ｂ_０及び基底Ｂ^＊ _０と、基底Ｂ_１（基底Ｂ）及び基底Ｂ^＊ _１（基底Ｂ^＊）とを生成する。

なお、以下の説明では、簡単のため、基底Ｂ_１及び基底Ｂ^＊ _１を基底Ｂ及び基底Ｂ^＊とする。

（Ｓ１０２：公開パラメータ生成ステップ）
マスター鍵生成部１１０は、処理装置により、（Ｓ１０１）で生成した基底Ｂ_０の部分基底Ｂ＾_０と、基底Ｂの部分基底Ｂ＾とを数１２７に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾_０及び部分基底Ｂ＾と、（Ｓ１０１）で入力されたセキュリティパラメータλ（１^λ）と、（Ｓ１０１）で生成したｐａｒａｍとを合わせて、公開パラメータｐｋとする。

（Ｓ１０３：マスター鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、（Ｓ１０１）で生成した基底Ｂ^＊ _０の部分基底Ｂ＾^＊ _０と、基底Ｂ^＊の部分基底Ｂ＾^＊とを数１２８に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾^＊ _０と部分基底Ｂ＾^＊とをマスター鍵ｓｋとする。

（Ｓ１０４：マスター鍵記憶ステップ）
マスター鍵記憶部１２０は、（Ｓ１０２）で生成した公開パラメータｐｋを記憶装置に記憶する。また、マスター鍵記憶部１２０は、（Ｓ１０３）で生成したマスター鍵ｓｋを記憶装置に記憶する。

つまり、（Ｓ１０１）から（Ｓ１０３）において、鍵生成装置１００は、数１２９に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、（Ｓ１０４）で、鍵生成装置１００は、生成した公開パラメータｐｋとマスター鍵ｓｋとを記憶装置に記憶する。
なお、公開パラメータは、例えば、ネットワークを介して公開され、暗号化装置２００や復号装置３００が取得可能な状態にされる。

次に、図１０に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ２０１：情報入力ステップ）
情報入力部１３０は、入力装置により、上述したアクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、アクセスストラクチャＳの行列Ｍの設定については、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳのρは、例えば、復号鍵ｓｋ_Ｓの使用者の属性情報が設定されている。

（Ｓ２０２：ｆベクトル生成ステップ）
ｆベクトル生成部１４１は、処理装置により、ｒ個の要素を有するベクトルｆ^→を数１３０に示すようにランダムに生成する。

（Ｓ２０３：ｓベクトル生成ステップ）
ｓベクトル生成部１４２は、処理装置により、（Ｓ２０１）で入力したアクセスストラクチャＳに含まれる（Ｌ行×ｒ列）の行列Ｍと、（Ｓ２０２）で生成したベクトルｆ^→とに基づき、ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔを数１３１に示すように生成する。

また、ｓベクトル生成部１４２は、処理装置により、（Ｓ２０２）で生成したベクトルｆ^→に基づき、値ｓ_０を数１３２に示すように生成する。

（Ｓ２０４：乱数生成ステップ）
乱数生成部１４３は、処理装置により、乱数を数１３３に示すように生成する。

（Ｓ２０５：鍵要素生成ステップ）
鍵要素生成部１４４は、処理装置により、復号鍵ｓｋ_Ｓの要素ｋ^＊ _０を数１３４に示すように生成する。

なお、上述したように、数１１３に基底Ｂと基底Ｂ^＊とに対して、数１１４である。したがって、数１３４は、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数として−ｓ_０を設定し、基底ベクトルｂ^＊ _{０，１＋１}，．．．，ｂ^＊ _{０，１＋ｕ０}の係数として０を設定し、基底ベクトルｂ^＊ _{０，１＋ｕ０＋１}の係数として１を設定し、基底ベクトルｂ^＊ _{０，１＋ｕ０＋１＋１}，．．．，ｂ^＊ _{０，１＋ｕ０＋１＋ｗ０}の係数としてη_０，１，．．．，η_０，ｗ０を設定し、基底ベクトルｂ^＊ _{０，１＋ｕ０＋１＋ｗ０＋１}，．．．，ｂ^＊ _{０，１＋ｕ０＋１＋ｗ０＋ｚ０}の係数として０を設定することを意味する。ここで、ｕ０，ｗ０，ｚ０はそれぞれｕ_０，ｗ_０，ｚ_０のことである。
また、鍵要素生成部１４４は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、復号鍵ｓｋ_Ｓの要素ｋ^＊ _ｉを数１３５に示すように生成する。

つまり、数１３５は、数１３４と同様に、ρ（ｉ）が肯定形の組（ｔ，ｖ^→ _ｉ）である場合には、基底Ｂ^＊の基底ベクトルｂ^＊ _１の係数としてμ_ｉｔを設定し、基底ベクトルｂ^＊ _２の係数として−μ_ｉを設定し、基底ベクトルｂ^＊ _２＋１の係数としてｓ_ｉ＋θ_ｉｖ_ｉ，１を設定し、基底ベクトルｂ^＊ _２＋２，．．．，ｂ^＊ _２＋ｎの係数としてθ_ｉｖ_ｉ，２，．．．，θ_ｉｖ_ｉ，ｎを設定し、基底ベクトルｂ^＊ _{２＋ｎ＋１}，．．．，ｂ^＊ _{２＋ｎ＋ｕ}の係数として０を設定し、基底ベクトルｂ^＊ _{２＋ｎ＋ｕ＋１}，．．．，ｂ^＊ _{２＋ｎ＋ｕ＋ｗ}の係数としてη_ｉ，１，．．．，η_ｉ，ｗを設定し、基底ベクトルｂ^＊ _{２＋ｎ＋ｕ＋ｗ＋１}，．．．，ｂ^＊ _{２＋ｎ＋ｕ＋ｗ＋ｚ}の係数として０を設定することを意味する。
一方、ρ（ｉ）が否定形の組¬（ｔ，ｖ^→ _ｉ）である場合には、基底Ｂ^＊の基底ベクトルｂ^＊ _１，の係数としてμ_ｉｔを設定し、基底ベクトルｂ^＊ _２の係数として−μ_ｉを設定し、基底ベクトルｂ^＊ _２＋１，．．．，ｂ^＊ _２＋ｎの係数としてｓ_ｉｖ_ｉ，１，．．．，ｓ_ｉｖ_ｉ，ｎを設定し、基底ベクトルｂ^＊ _{２＋ｎ＋１}，．．．，ｂ^＊ _{２＋ｎ＋ｕ}の係数として０を設定し、基底ベクトルｂ^＊ _{２＋ｎ＋ｕ＋１}，．．．，ｂ^＊ _{２＋ｎ＋ｕ＋ｗ}の係数としてη_ｉ，１，．．．，η_ｉ，ｗを設定し、基底ベクトルｂ^＊ _{２＋ｎ＋ｕ＋ｗ＋１}，．．．，ｂ^＊ _{２＋ｎ＋ｕ＋ｗ＋ｚ}の係数として０を設定することを意味する。

（Ｓ２０６：鍵配布ステップ）
鍵配布部１５０は、（Ｓ２０１）で入力したアクセスストラクチャＳと、（Ｓ２０５）で生成されたｋ^＊ _０，ｋ^＊ _１，．．．，ｋ^＊ _Ｌとを要素とする復号鍵ｓｋ_Ｓを、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ配布する。もちろん、復号鍵ｓｋ_Ｓは、他の方法により復号装置３００へ配布されてもよい。

つまり、（Ｓ２０１）から（Ｓ２０５）において、鍵生成装置１００は、数１３６に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成する。そして、（Ｓ２０６）で、鍵生成装置１００は、生成した復号鍵ｓｋ_Ｓを復号装置３００へ配布する。

暗号化装置２００の機能と動作とについて説明する。
暗号化装置２００は、公開パラメータ取得部２１０、情報入力部２２０、暗号化データ生成部２３０、データ送信部２４０を備える。また、暗号化データ生成部２３０は、乱数生成部２３１、暗号要素生成部２３２を備える。

図１１に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ３０１：公開パラメータ取得ステップ）
公開パラメータ取得部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ３０２：情報入力ステップ）
情報入力部２２０は、入力装置により、復号装置３００へ送信するメッセージｍを入力する。また、情報入力部２２０は、入力装置により、属性の集合Γ：＝｛（ｔ，ｘ^→ _ｔ：＝（ｘ_ｔ，１，．．．，ｘ_ｔ，ｎ∈Ｆｑ^ｎ））｜１≦ｔ≦ｄ｝を入力する。なお、ｔは、１以上ｄ以下の全ての整数ではなく、１以上ｄ以下の少なくとも一部の整数であってもよい。また、属性の集合Γは、例えば、復号可能なユーザの属性情報が設定されている。

（Ｓ３０３：乱数生成ステップ）
乱数生成部２３１は、処理装置により、乱数を数１３７に示すように生成する。

（Ｓ３０４：暗号要素生成ステップ）
暗号要素生成部２３２は、処理装置により、暗号文ｃｔ_Γの要素ｃ_０を数１３８に示すように生成する。

また、暗号要素生成部２３２は、処理装置により、属性情報Γに含まれる各整数ｔについて、暗号文ｃｔ_Γの要素ｃ_ｔを数１３９に示すように生成する。

また、暗号要素生成部２３２は、処理装置により、暗号文ｃｔ_Γの要素ｃ_ｄ＋１を数１４０に示すように生成する。

（Ｓ３０５：データ送信ステップ）
データ送信部２４０は、（Ｓ３０２）で入力した属性の集合Γと、（Ｓ３０４）で生成されたｃ_０，ｃ_ｔ，ｃ_ｄ＋１とを要素とする暗号文ｃｔ_Γを、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号文ｃｔ_Γは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ３０１）から（Ｓ３０４）において、暗号化装置２００は、数１４１に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Γを生成する。そして、（Ｓ３０５）で、暗号化装置２００は生成した暗号文ｃｔ_Γを復号装置３００へ送信する。

復号装置３００の機能と動作とについて説明する。
復号装置３００は、復号鍵取得部３１０、データ受信部３２０、スパンプログラム計算部３３０、補完係数計算部３４０、ペアリング演算部３５０、メッセージ計算部３６０を備える。

図１２に基づき、Ｄｅｃアルゴリズムの処理について説明する。
（Ｓ４０１：復号鍵取得ステップ）
復号鍵取得部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から配布された復号鍵ｓｋ_Ｓ：＝（Ｓ，ｋ^＊ _０，ｋ^＊ _１，．．．，ｋ^＊ _Ｌ）を取得する。また、復号鍵取得部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ４０２：データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号文ｃｔ_Γを受信する。

（Ｓ４０３：スパンプログラム計算ステップ）
スパンプログラム計算部３３０は、処理装置により、（Ｓ４０１）で取得した復号鍵ｓｋ_Ｓに含まれるアクセスストラクチャＳが、（Ｓ４０２）で受信した暗号文ｃｔ_Γに含まれるΓを受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否かの判定方法は、「実施の形態１における第５．関数型暗号を実現するための概念」で説明した通りである。
スパンプログラム計算部３３０は、アクセスストラクチャＳがΓを受理する場合（Ｓ４０３で受理）、処理を（Ｓ４０４）へ進める。一方、アクセスストラクチャＳがΓを拒絶する場合（Ｓ４０３で拒絶）、暗号文ｃｔ_Γを復号鍵ｓｋ_Ｓで復号できないとして処理を終了する。

（Ｓ４０４：補完係数計算ステップ）
補完係数計算部３４０は、処理装置により、数１４２となるＩと、定数（補完係数）｛α_ｉ｝_ｉ∈Ｉとを計算する。

（Ｓ４０５：ペアリング演算ステップ）
ペアリング演算部３５０は、処理装置により、数１４３を計算して、セッション鍵Ｋ＝ｇ_Ｔ ^ζを生成する。

なお、数１４４に示すように、数１４３を計算することにより鍵Ｋ＝ｇ_Ｔ ^ζが得られる。

（Ｓ４０６：メッセージ計算ステップ）
メッセージ計算部３６０は、処理装置により、ｍ’＝ｃ_ｄ＋１／Ｋを計算して、メッセージｍ’（＝ｍ）を生成する。なお、ｃ_ｄ＋１は数１４２に示す通りｇ_Ｔ ^ζｍであり、Ｋはｇ_Ｔ ^ζであるから、ｍ’＝ｃ_ｄ＋１／Ｋを計算すればメッセージｍが得られる。

つまり、（Ｓ４０１）から（Ｓ４０６）において、復号装置３００は、数１４５に示すＤｅｃアルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

以上のように、実施の形態２に係る暗号システム１０は、復号鍵ｓｋ_Ｓの要素ｋ^＊ _ｉについて、基底ベクトルｂ^＊ _１，ｂ^＊ _２の係数として、μ_ｉｔと−μ_ｉとをそれぞれ設定した。また、暗号システム１０は、暗号文ｃｔ_Γの要素ｃ_ｔについて、基底ベクトルｂ_１，ｂ_２の係数として、σ_ｔとσ_ｔｔとをそれぞれ設定した。
そのため、対応するインデックスｔについての要素ｋ^＊ _ｉと要素ｃ_ｔとのペアリング演算を行うと、基底ベクトルｂ^＊ _１，ｂ^＊ _２と基底ベクトルｂ_１，ｂ_２との部分については、内積が０となり、キャンセルされる。つまり、対応するインデックスｔについての要素ｋ^＊ _ｉと要素ｃ_ｔとのペアリング演算を行うと、基底ベクトルの係数として設定したインデックス部（基底ベクトルｂ^＊ _１，ｂ^＊ _２と基底ベクトルｂ_１，ｂ_２との部分）はキャンセルされ、残りの部分についてのペアリング演算の結果が得られる。

実施の形態２に係る暗号システム１０は、インデックス部を設けることにより、各属性カテゴリで使用する基底を共通の基底（基底Ｂ及び基底Ｂ^＊）とすることができる。その結果、公開パラメータには、基底Ｂ及び基底Ｂ^＊だけを含めておけばよく、後に属性カテゴリを追加する場合に、公開パラメータを再発行する必要がない。

また、実施の形態２に係る暗号システム１０は、非特許文献２９に記載された関数型暗号方式と比べ、公開パラメータやマスター秘密鍵のサイズが小さい。そのため、公開パラメータやマスター秘密鍵を用いた各演算を効率的に行うことができる。

なお、インデックス部については、内積した結果が０となればよい。そのため、上記説明では、基底ベクトルｂ^＊ _１，ｂ^＊ _２と基底ベクトルｂ_１，ｂ_２との２次元をインデックス部としが、これに限らず、３次元以上をインデックス部としてもよい。また、インデックス部への値の割り当ても上記説明のものに限らず、他の割り当てであってもよい。

また、上記説明では、関数型暗号方式について説明した。しかし、数１４６から数１４９に示すように、上記関数型暗号方式を属性ベース暗号方式に変更することもできる。なお、数１４６から数１４９では、Ｎ_０を１＋１＋１＋１＋１＝５とし、Ｎ_１を２＋２＋８＋２＋２＝１６としている。つまり、ｕ_０＝１，ｗ_０＝１，ｚ_０＝１，ｎ＝２，ｕ＝８，ｗ＝２，ｚ＝２としている。この場合であっても、安全性を証明することが可能である。

実施の形態３．
この実施の形態では、実施の形態２と同様に、狭義の暗号処理方式について説明する。特に、この実施の形態では、Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ関数型暗号（ＣＰ−ＦＥ）方式について説明する。
なお、Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙとは、暗号文にＰｏｌｉｃｙが埋め込まれること、つまりアクセスストラクチャが埋め込まれることを意味する。

第１に、ＣＰ−ＦＥ方式の構成について説明する。
第２に、ＣＰ−ＦＥ方式を実現する暗号システム１０の構成について説明する。
第３に、ＣＰ−ＦＥ方式について詳細に説明する。

＜第１．ＣＰ−ＦＥ方式の構成＞
ＣＰ−ＦＥ方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｅｎｃ、Ｄｅｃの４つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλが入力され、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、属性の集合であるΓ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎ，１≦ｔ≦ｄ｝と、公開パラメータｐｋと、マスター鍵ｓｋとを入力として、復号鍵ｓｋ_Γを出力する確率的アルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）と、公開パラメータｐｋとを入力として、暗号文ｃｔ_Ｓを出力する確率的アルゴリズムである。
（Ｄｅｃ）
Ｄｅｃアルゴリズムは、アクセスストラクチャＳの下で暗号化された暗号文ｃｔ_Ｓと、属性の集合であるΓに対する復号鍵ｓｋ_Γと、公開パラメータｐｋとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。

＜第２．ＣＰ−ＦＥ方式を実現する暗号システム１０の構成＞
図１３は、実施の形態３に係るＣＰ−ＦＥ方式を実行する暗号システム１０の構成図である。
暗号システム１０は、鍵生成装置１００、暗号化装置２００、復号装置３００を備える。
鍵生成装置１００は、セキュリティパラメータλを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成した公開パラメータｐｋを公開する。また、鍵生成装置１００は、属性の集合Γを入力としてＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Γを生成して復号装置３００へ秘密裡に配布する。
暗号化装置２００は、メッセージｍと、アクセスストラクチャＳと、公開パラメータｐｋとを入力としてＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Ｓを生成する。暗号化装置２００は、生成した暗号文ｃｔ_Ｓを復号装置３００へ送信する。
復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_Ｓと、暗号文ｃｔ_Ｓとを入力としてＤｅｃアルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

＜第３．ＣＰ−ＦＥ方式の詳細＞
図１４から図１９に基づき、ＣＰ−ＦＥ方式、及び、ＣＰ−ＦＥ方式を実行する暗号システム１０の機能と動作とについて説明する。
図１４は、実施の形態３に係る鍵生成装置１００の構成図である。図１５は、実施の形態３に係る暗号化装置２００の構成図である。図１６は、実施の形態３に係る復号装置３００の構成図である。
図１７は、鍵生成装置１００の動作を示すフローチャートであり、ＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図１８は、暗号化装置２００の動作を示すフローチャートであり、Ｅｎｃアルゴリズムの処理を示すフローチャートである。図１９は、復号装置３００の動作を示すフローチャートであり、Ｄｅｃアルゴリズムの処理を示すフローチャートである。
なお、以下の説明では、ｘ_ｔ，１：＝１であるとする。

Ｓｅｔｕｐアルゴリズムの処理は、実施の形態２で説明した処理と同じであるため、説明を省略する。

鍵生成装置１００の機能と動作とについて説明する。
鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、復号鍵生成部１４０、鍵配布部１５０を備える。また、復号鍵生成部１４０は、乱数生成部１４３、鍵要素生成部１４４を備える。

図１７に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ５０１：情報入力ステップ）
情報入力部１３０は、入力装置により、属性の集合Γ：＝｛（ｔ，ｘ^→ _ｔ：＝（ｘ_ｔ，１，．．．，ｘ_ｔ，ｎ∈Ｆ_ｑ ^ｎ））｜１≦ｔ≦ｄ｝を入力する。なお、属性の集合Γは、例えば、復号鍵ｓｋ_Γの使用者の属性情報が設定されている。

（Ｓ５０２：乱数生成ステップ）
乱数生成部１４３は、処理装置により、乱数を数１５０に示すように生成する。

（Ｓ５０３：鍵要素生成ステップ）
鍵要素生成部１４４は、処理装置により、復号鍵ｓｋ_Γの要素ｋ^＊ _０を数１５１に示すように生成する。

また、鍵要素生成部１４４は、処理装置により、属性の集合Γに含まれる各整数ｔについて、復号鍵ｓｋ_Γの要素ｋ^＊ _ｔを数１５２に示すように生成する。

（Ｓ５０４：鍵配布ステップ）
鍵配布部１５０は、（Ｓ５０１）で入力した属性の集合Γと、（Ｓ５０３）で生成されたｋ^＊ _０，ｋ^＊ _ｔとを要素とする復号鍵ｓｋ_Γを、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ配布する。もちろん、復号鍵ｓｋ_Γは、他の方法により復号装置３００へ配布されてもよい。

つまり、（Ｓ５０１）から（Ｓ５０３）において、鍵生成装置１００は、数１５３に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Γを生成する。そして、（Ｓ５０４）で、鍵生成装置１００は、生成した復号鍵ｓｋ_Γを復号装置３００へ配布する。

暗号化装置２００の機能と動作とについて説明する。
暗号化装置２００は、公開パラメータ取得部２１０、情報入力部２２０、暗号化データ生成部２３０、データ送信部２４０を備える。また、暗号化データ生成部２３０は、乱数生成部２３１、暗号要素生成部２３２、ｆベクトル生成部２３３、ｓベクトル生成部２３４を備える。

図１８に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ６０１：公開パラメータ取得ステップ）
公開パラメータ取得部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ６０２：情報入力ステップ）
情報入力部２２０は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、アクセスストラクチャＳの設定については、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳのρは、例えば、復号可能なユーザの属性情報が設定されている。
また、情報入力部２２０は、入力装置により、復号装置３００へ送信するメッセージｍを入力する。

（Ｓ６０３：ｆベクトル生成ステップ）
ｆベクトル生成部２３３は、処理装置により、ｒ個の要素を有するベクトルｆ^→を数１５４に示すようにランダムに生成する。

（Ｓ６０４：ｓベクトル生成ステップ）
ｓベクトル生成部２３４は、処理装置により、（Ｓ６０２）で入力したアクセスストラクチャＳに含まれる（Ｌ行×ｒ列）の行列Ｍと、（Ｓ６０３）で生成したベクトルｆ^→とに基づき、ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔを数１５５に示すように生成する。

また、ｓベクトル生成部２３４は、処理装置により、（Ｓ６０３）で生成したベクトルｆ^→に基づき、値ｓ_０を数１５６に示すように生成する。

（Ｓ６０５：乱数生成ステップ）
乱数生成部２３１は、処理装置により、乱数を数１５７に示すように生成する。

（Ｓ６０６：暗号要素生成ステップ）
暗号要素生成部２３２は、処理装置により、暗号化データｃの要素ｃ_０を数１５８に示すように生成する。

また、暗号要素生成部２３２は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、暗号化データｃの要素ｃ_ｉを数１５９に示すように生成する。

また、暗号要素生成部２３２は、処理装置により、暗号化データｃの要素ｃ_ｄ＋１を数１６０に示すように生成する。

（Ｓ６０７：データ送信ステップ）
データ送信部２４０は、（Ｓ６０２）で入力したアクセスストラクチャＳと、（Ｓ６０６）で生成されたｃ_０，ｃ_１，．．．，ｃ_Ｌ，ｃ_ｄ＋１とを要素とする暗号文ｃｔ_Ｓを、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号文ｃｔ_Ｓは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ６０１）から（Ｓ６０６）において、暗号化装置２００は、数１６１に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Ｓを生成する。そして、（Ｓ６０７）で、暗号化装置２００は生成した暗号文ｃｔ_Ｓを復号装置３００へ送信する。

復号装置３００の機能と動作とについて説明する。
復号装置３００は、復号鍵取得部３１０、データ受信部３２０、スパンプログラム計算部３３０、補完係数計算部３４０、ペアリング演算部３５０、メッセージ計算部３６０を備える。

図１５に基づき、Ｄｅｃアルゴリズムの処理について説明する。
（Ｓ７０１：復号鍵取得ステップ）
復号鍵取得部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から配布された復号鍵ｓｋ_Γを取得する。また、復号鍵取得部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ７０２：データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号文ｃｔ_Ｓを受信する。

（Ｓ７０３：スパンプログラム計算ステップ）
スパンプログラム計算部３３０は、処理装置により、（Ｓ７０２）で取得した暗号文ｃｔ_Ｓに含まれるアクセスストラクチャＳが、（Ｓ７０１）で受信した復号鍵ｓｋ_Γに含まれるΓを受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否かの判定方法は、「実施の形態１における第５．関数型暗号を実現するための概念」で説明した通りである。
スパンプログラム計算部３３０は、アクセスストラクチャＳがΓを受理する場合（Ｓ７０３で受理）、処理を（Ｓ７０４）へ進める。一方、アクセスストラクチャＳがΓを拒絶する場合（Ｓ７０３で拒絶）、暗号文ｃｔ_Ｓを復号鍵ｓｋ_Γで復号できないとして処理を終了する。

（Ｓ７０４）から（Ｓ７０６）は、実施の形態２における図１２に示す（Ｓ４０４）と（Ｓ４０６）と同様である。

つまり、（Ｓ７０１）から（Ｓ７０６）において、暗号化装置２００は、数１６２に示すＤｅｃアルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

以上のように、実施の形態３に係る暗号システム１０は、実施の形態２に係る暗号システム１０と同様に、インデックス部を設けることにより、各属性カテゴリで使用する基底を共通の基底（基底Ｂ及び基底Ｂ^＊）とすることができる。その結果、公開パラメータには、基底Ｂ及び基底Ｂ^＊だけを含めておけばよく、後に属性カテゴリを追加する場合に、公開パラメータを再発行する必要がない。

なお、実施の形態２と同様に、インデックス部については、内積した結果が０となればよい。そのため、上記説明では、基底ベクトルｂ^＊ _１，ｂ^＊ _２と基底ベクトルｂ_１，ｂ_２との２次元をインデックス部としが、これに限らず、３次元以上をインデックス部としてもよい。また、インデックス部への値の割り当ても上記説明のものに限らず、他の割り当てであってもよい。

また、上記説明では、関数型暗号方式について説明した。しかし、数１６３から数１６７に示すように、上記関数型暗号方式を属性ベース暗号方式に変更することもできる。なお、数１６３から数１６７では、Ｎ_０を１＋１＋１＋１＋１＝５とし、Ｎ_１を２＋２＋８＋２＋２＝１６としている。つまり、ｕ_０＝１，ｗ_０＝１，ｚ_０＝１，ｎ＝２，ｕ＝８，ｗ＝２，ｚ＝２としている。この場合であっても、安全性を証明することが可能である。

また、実施の形態２ではＫＰ−ＦＥ方式について説明し、実施の形態３ではＣＰ−ＦＥ方式について説明した。これらと同様に、非特許文献３０に記載されたＵｎｉｆｉｅｄ−Ｐｏｌｉｃｙ ＦＥ（ＵＰ−ＦＥ）も、属性カテゴリを追加する場合に、公開パラメータを再発行する必要がない構成とすることができる。

実施の形態４．
この実施の形態では、実施の形態２，３と同様に、狭義の暗号処理方式について説明する。特に、この実施の形態では、階層的内積述語暗号（ＨＩＰＥ）方式について説明する。
なお、ＨＩＰＥ方式とは、権限委譲可能な内積述語暗号方式である。権限委譲とは、上位の鍵を有する利用者が、その鍵（上位の鍵）よりも機能が制限された下位の鍵を生成することである。機能が制限されたとは、上位の鍵で復号可能な暗号文のうち、一部の暗号文のみ下位の鍵で復号可能であるという意味である。内積述語暗号方式は、実施の形態１で説明した通り、関数型暗号方式におけるアクセスストラクチャの設計を限定した場合に相当する。
ＨＩＰＥ方式には、効率的な第１方式と、効率は第１方式よりも劣るが、暗号文に設定された属性情報の秘匿性まで保証される第２方式とがある（非特許文献２９参照）。ここでは、一例として、第２方式について、公開パラメータを再発行することなく、属性カテゴリの追加を可能とした方式を説明する。しかし、非特許文献２９に記載されたアルゴリズムに対して同様の変更を加えることにより、第１方式についても、公開パラメータを再発行することなく、属性カテゴリの追加を可能とすることができる。

第１に、ＨＩＰＥ方式の構成について説明する。
第２に、ＨＩＰＥ方式を実現する暗号システム１０の構成について説明する。
第３に、ＨＩＰＥ方式について詳細に説明する。

＜第１．ＨＩＰＥ方式の構成＞
ＨＩＰＥ方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｅｎｃ、Ｄｅｃ、Ｄｅｌｅｇａｔｅ_Ｌの５つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータ１^λを入力として、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとを出力する確率的アルゴリズムである。マスター秘密鍵ｓｋは最も上位の鍵である。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと述語情報（ｖ^→ _１，．．．，ｖ^→ _Ｌ）（１≦Ｌ≦ｄ）とを入力として、第Ｌ層目の秘密鍵ｓｋ_Ｌを出力する確率的アルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、マスター公開鍵ｐｋと属性情報（ｘ^→ _１，．．．，ｘ^→ _ｈ）（１≦ｈ≦ｄ）とメッセージｍとを入力として、暗号文ｃｔを出力する確率的アルゴリズムである。
（Ｄｅｃ）
Ｄｅｃアルゴリズムは、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵ｓｋ_Ｌと暗号文ｃｔとを入力として、メッセージｍ又は識別情報⊥を出力する確率的アルゴリズムである。
（Ｄｅｌｅｇａｔｅ_Ｌ）
Ｄｅｌｅｇａｔｅ_Ｌは、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵ｓｋ_Ｌと第Ｌ＋１層目の述語情報ｖ^→ _Ｌ＋１（Ｌ＋１≦ｄ）とを入力として、第Ｌ＋１層目の秘密鍵ｓｋ_Ｌ＋１を出力する確率的アルゴリズムである。つまり、Ｄｅｌｅｇａｔｅ_Ｌアルゴリズムでは、下位の秘密鍵が出力される。

＜第２．ＨＩＰＥ方式を実現する暗号システム１０の構成＞
図２０は、実施の形態４に係るＨＩＰＥ方式を実行する暗号システム１０の構成図である。
暗号システム１０は、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００を備える。なお、ここでは、復号装置３００が、鍵委譲装置４００を備えるものとして説明するが、鍵委譲装置４００は、復号装置３００とは別に設けられていてもよい。
鍵生成装置１００は、セキュリティパラメータλを入力としてＳｅｔｕｐアルゴリズムを実行して、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成したマスター公開鍵ｐｋを公開する。また、鍵生成装置１００は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと述語情報（ｖ^→ _１，．．．，ｖ^→ _Ｌ）（１≦Ｌ≦ｄ）とを入力としてＫｅｙＧｅｎアルゴリズムを実行して、第Ｌ層目の秘密鍵ｓｋ_Ｌを生成して第Ｌ層目の復号装置３００へ秘密裡に配布する。
暗号化装置２００は、マスター公開鍵ｐｋと属性情報（ｘ^→ _１，．．．，ｘ^→ _ｈ）（１≦ｈ≦ｄ）とメッセージｍとを入力としてＥｎｃアルゴリズムを実行して、暗号文ｃｔを生成する。暗号化装置２００は、生成した暗号文ｃｔを復号装置３００へ送信する。
復号装置３００は、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵ｓｋ_Ｌと暗号文ｃｔとを入力としてＤｅｃアルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。
鍵委譲装置４００は、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵ｓｋ_Ｌと第Ｌ＋１層目の述語情報ｖ^→ _Ｌ＋１（Ｌ＋１≦ｄ）とを入力としてＤｅｌｅｇａｔｅ_Ｌアルゴリズムを実行して、第Ｌ＋１層目の秘密鍵ｓｋ_Ｌ＋１を生成して第Ｌ＋１層目の復号装置３００へ秘密裡に配布する。

＜第３．ＨＩＰＥ方式の詳細＞
図２１から図２９に基づき、実施の形態４に係るＨＩＰＥ方式、及び、ＨＩＰＥ方式を実行する暗号システム１０の機能と動作とについて説明する。
図２１は、実施の形態４に係る鍵生成装置１００の構成図である。図２２は、実施の形態４に係る暗号化装置２００の構成図である。図２３は、実施の形態４に係る復号装置３００の構成図である。図２４は、実施の形態４に係る鍵委譲装置４００の構成図である。
図２５と図２６とは、鍵生成装置１００の動作を示すフローチャートである。なお、図２５はＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図２６はＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図２７は、暗号化装置２００の動作を示すフローチャートであり、Ｅｎｃアルゴリズムの処理を示すフローチャートである。図２８は、復号装置３００の動作を示すフローチャートであり、Ｄｅｃアルゴリズムの処理を示すフローチャートである。図２９は、鍵委譲装置４００の動作を示すフローチャートであり、Ｄｅｌｅｇａｔｅ_Ｌアルゴリズムの処理を示すフローチャートである。

鍵生成装置１００の機能と動作とについて説明する。
鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、復号鍵生成部１４０、鍵配布部１５０を備える。また、復号鍵生成部１４０は、乱数生成部１４３、鍵要素生成部１４４、ランダム化要素生成部１４５、委譲要素生成部１４６を備える。

まず、図２５に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
Ｓ８０１は、実施の形態２における図９に示す（Ｓ１０１）と同様である。

（Ｓ８０２：公開パラメータ生成ステップ）
マスター鍵生成部１１０は、処理装置により、（Ｓ８０１）で生成した基底Ｂ_０の部分基底Ｂ＾_０と、基底Ｂの部分基底Ｂ＾と、基底Ｂ^＊ _０の部分基底Ｂ＾^＊ _０，ｐｋと、基底Ｂ^＊の部分基底Ｂ＾^＊ _ｐｋとを数１６７に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾_０と部分基底Ｂ＾と部分基底Ｂ＾^＊ _０，ｐｋと部分基底Ｂ＾^＊ _ｐｋと、（Ｓ８０１）で入力されたセキュリティパラメータλ（１^λ）と、（Ｓ８０１）で生成したｐａｒａｍとを合わせて、公開パラメータｐｋとする。

（Ｓ８０３：マスター鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、（Ｓ８０１）で生成した基底Ｂ^＊ _０の部分基底Ｂ＾^＊ _０，ｓｋと、基底Ｂ^＊の部分基底Ｂ＾^＊ _ｓｋとを数１６８に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾^＊ _０と部分基底Ｂ＾^＊とをマスター鍵ｓｋとする。

（Ｓ８０４：マスター鍵記憶ステップ）
マスター鍵記憶部１２０は、（Ｓ８０２）で生成した公開パラメータｐｋを記憶装置に記憶する。また、マスター鍵記憶部１２０は、（Ｓ８０３）で生成したマスター鍵ｓｋを記憶装置に記憶する。

つまり、（Ｓ８０１）から（Ｓ８０３）において、鍵生成装置１００は、数１６９に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、（Ｓ８０４）で、鍵生成装置１００は、生成した公開パラメータｐｋとマスター鍵ｓｋとを記憶装置に記憶する。
なお、公開パラメータは、例えば、ネットワークを介して公開され、暗号化装置２００や復号装置３００が取得可能な状態にされる。

次に、図２６に基づき、鍵生成装置１００が実行するＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ９０１：情報入力ステップ）
情報入力部１３０は、入力装置により、述語情報（ｖ^→ _１，．．．，ｖ^→ _Ｌ）を入力する。ｉ＝１，．．．，Ｌの各整数について、ｖ^→ _ｉ：＝ｖ_ｉ，１，．．．，ｖ_ｉ，ｎである。なお、述語情報としては、鍵を使用する者の属性が入力される。

（Ｓ９０２：乱数生成ステップ）
乱数生成部１４３は、処理装置により、乱数を数１７０に示すように生成する。

また、ｓ_{ｄｅｃ，０}と、ｓ_{ｒａｎ，１，ｊ，０}と、ｓ_{ｒａｎ，２，τ，０}と、ｓ_{ｄｅｌ，（τ，ι），０}とを数１７１に示すように設定する。

（Ｓ９０３：鍵要素生成ステップ）
鍵要素生成部１４４は、処理装置により、復号鍵ｓｋ_Ｌの要素である鍵要素ｋ^＊ _{Ｌ，ｄｅｃ}を数１７２に示すように生成する。

（Ｓ９０４：第１ランダム化要素生成ステップ）
ランダム化要素生成部１４５は、処理装置により、ｊ＝１，．．．，２Ｌの各整数ｊについて、復号鍵ｓｋ_Ｌの要素である第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，１，ｊ}を数１７３に示すように生成する。

（Ｓ９０５：第２ランダム化要素生成ステップ）
ランダム化要素生成部１４５は、処理装置により、τ＝Ｌ＋１，．．．，ｄの各整数τについて、復号鍵ｓｋ_Ｌの要素である第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，２，τ}を数１７４に示すように生成する。

（Ｓ９０６：委譲要素生成ステップ）
委譲要素生成部１４６は、処理装置により、τ＝Ｌ＋１，．．．，ｄの各整数τと、各整数τについてι＝１，２の各整数ιとについて、復号鍵ｓｋ_Ｌの要素である委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι）}を数１７５に示すように生成する。

（Ｓ９０７：鍵配布ステップ）
鍵配布部１５０は、鍵要素ｋ^＊ _{Ｌ，ｄｅｃ}と、第１ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，１，ｊ}と、第２ランダム化要素ｋ^＊ _{Ｌ，ｒａｎ，２，τ}と、委譲要素ｋ^＊ _{Ｌ，ｄｅｌ，（τ，ι）}とを要素とする復号鍵ｓｋ_Ｌを、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ配布する。もちろん、復号鍵ｓｋ_Ｌは、他の方法により復号装置３００へ配布されてもよい。

つまり、（Ｓ９０１）から（Ｓ９０６）において、鍵生成装置１００は、数１７６、数１７７に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Ｌを生成する。そして、（Ｓ９０７）で、鍵生成装置１００は、生成された復号鍵ｓｋ_Ｌを復号装置３００へ配布する。

暗号化装置２００の機能と動作とについて説明する。
暗号化装置２００は、公開パラメータ取得部２１０、情報入力部２２０、暗号化データ生成部２３０、データ送信部２４０を備える。また、暗号化データ生成部２３０は、乱数生成部２３１、暗号要素生成部２３２を備える。

図２７に基づき、暗号化装置２００が実行するＥｎｃアルゴリズムの処理について説明する。
（Ｓ１００１：マスター公開鍵取得ステップ）
公開パラメータ取得部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成したマスター公開鍵ｐｋを取得する。

（Ｓ１００２：情報入力ステップ）
情報入力部２２０は、入力装置により、属性情報（ｘ^→ _１，．．．，ｘ^→ _Ｌ）を入力する。ｉ＝１，．．．，Ｌの各整数について、ｘ^→ _ｉ：＝ｘ_ｉ，１，．．．，ｘ_ｉ，Ｌである。なお、属性情報としては、暗号化したメッセージを復号可能な者の属性が入力される。
また、情報入力部２２０は、入力装置により、暗号化するメッセージｍを入力する。

（Ｓ１００３：乱数生成ステップ）
乱数生成部２３１は、処理装置により、乱数を数１７８に示すように生成する。

（Ｓ１００４：暗号要素ｃ１生成ステップ）
暗号要素生成部２３２は、処理装置により、暗号文ｃｔの要素である暗号要素ｃ_１を数１７９に示すように生成する。

（Ｓ１００５：暗号要素ｃ２生成ステップ）
暗号要素生成部２３２は、処理装置により、暗号文ｃｔの要素である暗号要素ｃ_２を数１８０に示すように生成する。

（Ｓ１００６：データ送信ステップ）
データ送信部２４０は、暗号要素ｃ_１と、暗号要素ｃ_２とを含む暗号文ｃｔを、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号文ｃｔは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ１００１）から（Ｓ１００５）において、暗号化装置２００は、数１８１に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔを生成する。そして、（Ｓ１００６）で、暗号化装置２００は、生成された暗号文ｃｔを復号装置３００へ送信する。

復号装置３００の機能と動作とについて説明する。
復号装置３００は、復号鍵取得部３１０、データ受信部３２０、ペアリング演算部３５０、メッセージ計算部３６０を備える。

図２８に基づき、復号装置３００が実行するＤｅｃアルゴリズムの処理について説明する。
（Ｓ１１０１：復号鍵取得ステップ）
復号鍵取得部３１０は、例えば、通信装置によりネットワークを介して、復号鍵ｓｋ_Ｌを取得する。また、復号鍵取得部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ１１０２：データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号文ｃｔを受信する。

（Ｓ１１０３：ペアリング演算ステップ）
ペアリング演算部３５０は、処理装置により、数１８２に示すペアリング演算を行い、セッション鍵Ｋ＝ｇ_Ｔ ^ζを計算する。

（Ｓ１１０４：メッセージ計算ステップ）
メッセージ計算部３６０は、処理装置により、暗号要素ｃ２をセッション鍵Ｋで割ることにより、メッセージｍ’（＝ｍ）を計算する。

つまり、（Ｓ１１０１）から（Ｓ１１０４）において、復号装置３００は、数１８３に示すＤｅｃアルゴリズムを実行して、メッセージｍ’（＝ｍ）を計算する。

鍵委譲装置４００の機能と動作とについて説明する。
鍵委譲装置４００は、復号鍵取得部４１０、情報入力部４２０、委譲鍵生成部４３０、鍵配布部４４０を備える。また、委譲鍵生成部４３０は、乱数生成部４３１、下位鍵要素生成部４３２、下位ランダム化要素生成部４３３、下位委譲要素生成部４３４を備える。

図２９に基づき、鍵委譲装置４００が実行するＤｅｌｅｇａｔｅ_Ｌアルゴリズムの処理について説明する。
（Ｓ１２０１：復号鍵取得ステップ）
復号鍵取得部４１０は、例えば、通信装置によりネットワークを介して、復号鍵ｓｋ_Ｌを取得する。また、復号鍵取得部４１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ１２０２：情報入力ステップ）
情報入力部４２０は、入力装置により、述語情報ｖ^→ _Ｌ＋１：＝（ｖ_{Ｌ＋１，ｉ}（ｉ＝１，．．．，ｎ_Ｌ＋１））を入力する。なお、述語情報としては、鍵を委譲される者の属性が入力される。

（Ｓ１２０３：乱数生成ステップ）
乱数生成部４３１は、処理装置により、乱数を数１８４に示すように生成する。

（Ｓ１２０４：下位鍵要素生成ステップ）
下位鍵要素生成部４３２は、処理装置により、委譲鍵ｓｋ_Ｌ＋１の要素である下位鍵要素ｋ^＊ _{Ｌ＋１，ｄｅｃ}を数１８５に示すように生成する。

（Ｓ１２０５：第１下位ランダム化要素生成ステップ）
下位ランダム化要素生成部４３３は、処理装置により、ｊ’＝１，．．．，２（Ｌ＋１）の各整数ｊ’について、委譲鍵ｓｋ_Ｌ＋１の要素である第１下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，１，ｊ’}を数１８６に示すように生成する。

（Ｓ１２０６：第２下位ランダム化要素生成ステップ）
下位ランダム化要素生成部４３３は、処理装置により、τ＝Ｌ＋２，．．．，ｄの各整数τについて、委譲鍵ｓｋ_Ｌ＋１の要素である第２下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，２，τ}を数１８７に示すように生成する。

（Ｓ１２０７：下位委譲要素生成ステップ）
下位委譲要素生成部４３４は、処理装置により、τ＝Ｌ＋２，．．．，ｄの各整数τと、各整数τについてι＝１，．．．，ｎの各整数ιとについて、委譲鍵ｓｋ_Ｌ＋１の要素である下位委譲要素ｋ^＊ _{Ｌ＋１，ｄｅｌ，（τ，ι）}を数１８８に示すように生成する。

（Ｓ１２０８：鍵配布ステップ）
鍵配布部１５０は、下位鍵要素ｋ^＊ _{Ｌ＋１，ｄｅｃ}と、第１下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，１，ｊ’}と、第２下位ランダム化要素ｋ^＊ _{Ｌ＋１，ｒａｎ，２，τ}と、下位委譲要素ｋ^＊ _{Ｌ＋１，ｄｅｌ，（τ，ι）}とを要素とする委譲鍵ｓｋ_Ｌ＋１（下位の復号鍵）を、例えば通信装置によりネットワークを介して秘密裡に下位の復号装置３００へ配布する。もちろん、委譲鍵ｓｋ_Ｌ＋１は、他の方法により下位の復号装置３００へ配布されてもよい。

つまり、（Ｓ１２０１）から（Ｓ１２０７）において、鍵委譲装置４００は、数１８９に示すＤｅｌｅｇａｔｅ_Ｌアルゴリズムを実行して、委譲鍵ｓｋ_Ｌ＋１を生成する。そして、（Ｓ１２０８）で、鍵委譲装置４００は、生成された委譲鍵ｓｋ_Ｌ＋１を下位の復号装置３００へ配布する。

以上のように、実施の形態４に係る暗号システム１０は、実施の形態２，３に係る暗号システム１０と同様に、インデックス部を設けることにより、各属性カテゴリで使用する基底を共通の基底（基底Ｂ及び基底Ｂ^＊）とすることができる。その結果、公開パラメータには、基底Ｂ及び基底Ｂ^＊だけを含めておけばよく、後に属性カテゴリを追加する場合に、公開パラメータを再発行する必要がない。

なお、実施の形態２，３と同様に、インデックス部については、内積した結果が０となればよい。そのため、上記説明では、基底ベクトルｂ^＊ _１，ｂ^＊ _２と基底ベクトルｂ_１，ｂ_２との２次元をインデックス部としが、これに限らず、３次元以上をインデックス部としてもよい。また、インデックス部への値の割り当ても上記説明のものに限らず、他の割り当てであってもよい。

また、上記説明では、関数型暗号方式を元にしたＨＩＰＥ方式について説明した。しかし、数１９０から数１９５に示すように、属性ベース暗号方式を元にしたＨＩＰＥ方式に変更することもできる。なお、数１９０から数１９５では、Ｎ_０を１＋１＋１＋１＋１＝５とし、Ｎ_１を２＋２＋８＋２＋２＝１６としている。つまり、ｕ_０＝１，ｗ_０＝１，ｚ_０＝１，ｎ＝２，ｕ＝８，ｗ＝２，ｚ＝２としている。この場合であっても、安全性を証明することが可能である。

実施の形態５．
この実施の形態では、署名方式について説明する。特に、この実施の形態では、実施の形態３で説明したＣＰ−ＦＥ方式に基づく、署名方式について説明する。

第１に、署名方式の構成について説明する。
第２に、署名方式を実現する暗号システム１０の構成について説明する。
第３に、署名方式について詳細に説明する。

＜第１．署名方式の構成＞
署名方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｓｉｇ、Ｖｅｒの４つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλが入力され、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、属性の集合であるΓ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎ，１≦ｔ≦ｄ｝と、公開パラメータｐｋと、マスター鍵ｓｋとを入力として、署名鍵ｓｋ_Γを出力する確率的アルゴリズムである。
（Ｓｉｇ）
Ｓｉｇアルゴリズムは、メッセージｍと、署名鍵ｓｋ_Γと、アクセスストラクチャＳ：＝（Ｍ，ρ）と、公開パラメータｐｋとを入力として、署名データｓｉｇを出力する確率的アルゴリズムである。
（Ｖｅｒ）
Ｖｅｒアルゴリズムは、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）と、署名データｓｉｇと、公開パラメータｐｋとを入力として、署名の検証に成功したことを示す値“１”、又は、署名の検証に失敗したことを示す値“０”を出力するアルゴリズムである。

＜第２．署名方式を実現する暗号システム１０の構成＞
図３０は、実施の形態５に係る署名方式を実行する暗号システム１０の構成図である。
暗号システム１０は、鍵生成装置１００、署名装置５００、検証装置６００を備える。
鍵生成装置１００は、セキュリティパラメータλを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成した公開パラメータｐｋを公開する。また、鍵生成装置１００は、属性の集合Γを入力としてＫｅｙＧｅｎアルゴリズムを実行して、署名鍵ｓｋ_Γを生成して署名装置５００へ秘密裡に配布する。
署名装置５００は、メッセージｍと、アクセスストラクチャＳと、公開パラメータｐｋと、署名鍵ｓｋ_Γとを入力としてＳｉｇアルゴリズムを実行して、署名情報ｓ^→＊を生成する。署名装置５００は、生成した署名情報ｓ^→＊と、メッセージｍと、アクセスストラクチャＳとを検証装置６００へ送信する。
検証装置６００は、署名情報ｓ^→＊と、メッセージｍと、アクセスストラクチャＳと、公開パラメータｐｋとを入力としてＶｅｒアルゴリズムを実行して、値“１”、又は、値“０”を出力する。

＜第３．署名方式の詳細＞
図３１から図３７に基づき、署名方式、及び、署名方式を実行する暗号システム１０の機能と動作とについて説明する。
図３１は、実施の形態５に係る鍵生成装置１００の構成図である。図３２は、実施の形態５に係る署名装置５００の構成図である。図３３は、実施の形態５に係る検証装置６００の構成図である。
図３４と図３５とは、鍵生成装置１００の動作を示すフローチャートである。なお、図３４はＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図３５はＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図３６は、署名装置５００の動作を示すフローチャートであり、Ｓｉｇアルゴリズムの処理を示すフローチャートである。図３７は、検証装置６００の動作を示すフローチャートであり、Ｖｅｒアルゴリズムの処理を示すフローチャートである。

なお、以下の説明において、Ｈ：＝（ＫＨ_λ，Ｈ_ｈｋ ^λ，Ｄ）は、衝突困難ハッシュ関数である（非特許文献３０参照）。衝突困難ハッシュ関数とは、出力が同じになる２つの入力を見つけることが困難なハッシュ関数である。
具体的には、アルゴリズムＧ_ｂｐｇに関する衝突困難ハッシュ関数系Ｈと、多項式ｐｏｌｙ（λ）とについて以下の２つのことが言える。
１．鍵空間系は、λによって索引付けされる。各鍵空間は、ＫＨ_λによって示されるビット列における確率空間である。１^λを入力とした場合の出力分布がＫＨ_λと等しい確率的多項式時間アルゴリズムが存在する。
２．ハッシュ関数系は、λと、ＫＨ_λからランダムに選択されたｈｋと、Ｄ：＝｛０，１｝^{ｐｏｌｙ（λ）}とによって索引付けされる。ここで、各関数Ｈ_ｈｋ ^λ，Ｄは、Ｄの要素からＦ_ｑ ^Ｘへの写像である。なお、ｑは、アルゴリズムＧ_ｂｐｇ（１^λ）の出力ｐａｒａｍ_Ｇの最初の要素である。１^λとｈｋとｄ∈Ｄとを入力として、Ｈ_ｈｋ ^λ，Ｄ（ｄ）を出力する決定的多項式時間アルゴリズムがある。

鍵生成装置１００の機能と動作とについて説明する。
鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、復号鍵生成部１４０、鍵配布部１５０を備える。また、復号鍵生成部１４０は、乱数生成部１４３、鍵要素生成部１４４を備える。

まず、図３４に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１３０１）は、実施の形態２における図９に示す（Ｓ１０１）と原則として同様である。但し、ｔ＝０，１，ｄ＋１について、（４）から（８）までの処理を実行する点と、Ｎ_０が１＋ｕ_０＋ｗ_０＋ｚ_０である点とが異なる。なお、Ｎ_ｄ＋１は、２＋ｕ_ｄ＋１＋ｗ_ｄ＋１＋ｚ_ｄ＋１であり、ｕ_ｄ＋１，ｗ_ｄ＋１，ｚ_ｄ＋１はそれぞれ１以上の整数である。

（Ｓ１３０２：ハッシュキー生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１９６を計算して、ハッシュキーｈｋをランダムに生成する。

（Ｓ１３０３：公開パラメータ生成ステップ）
マスター鍵生成部１１０は、処理装置により、（Ｓ１３０１）で生成した基底Ｂ_０の部分基底Ｂ＾_０と、基底Ｂの部分基底Ｂ＾と、基底Ｂ_ｄ＋１の部分基底Ｂ＾_ｄ＋１と、基底Ｂ^＊ _０の部分基底Ｂ＾^＊ _０と、基底Ｂ^＊の部分基底Ｂ＾^＊と、基底Ｂ^＊ _ｄ＋１の部分基底Ｂ＾^＊ _ｄ＋１とを数１９７に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾_０と部分基底Ｂ＾と部分基底Ｂ＾_ｄ＋１と部分基底Ｂ＾^＊ _０と部分基底Ｂ＾^＊と部分基底Ｂ＾^＊ _ｄ＋１と、（Ｓ１３０１）で入力されたセキュリティパラメータλ（１^λ）と、（Ｓ１３０１）で生成したｐａｒａｍと、（Ｓ１３０２）で生成したハッシュキーｈｋとを合わせて、公開パラメータｐｋとする。

（Ｓ１３０４：マスター鍵生成ステップ）
マスター鍵生成部１１０は、基底Ｂ＾^＊ _０の基底ベクトルｂ^＊ _０，１をマスター鍵ｓｋとする。

（Ｓ１３０５：マスター鍵記憶ステップ）
マスター鍵記憶部１２０は、（Ｓ１３０３）で生成した公開パラメータｐｋを記憶装置に記憶する。また、マスター鍵記憶部１２０は、（Ｓ１３０４）で生成したマスター鍵ｓｋを記憶装置に記憶する。

つまり、（Ｓ１３０１）から（Ｓ１３０４）において、鍵生成装置１００は、数１９８に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、（Ｓ１３０５）で、鍵生成装置１００は、生成した公開パラメータｐｋとマスター鍵ｓｋとを記憶装置に記憶する。
なお、公開パラメータは、例えば、ネットワークを介して公開され、署名装置５００や検証装置６００が取得可能な状態にされる。

図３５に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ１４０１：情報入力ステップ）
情報入力部１３０は、入力装置により、属性の集合Γ：＝｛（ｔ，ｘ^→ _ｔ：＝（ｘ_ｔ，１，．．．，ｘ_ｔ，ｎ∈Ｆ_ｑ ^ｎ））｜１≦ｔ≦ｄ｝を入力する。なお、属性の集合Γは、例えば、署名鍵ｓｋ_Γの使用者の属性情報が設定されている。

（Ｓ１４０２：乱数生成ステップ）
乱数生成部１４３は、処理装置により、乱数を数１９９に示すように生成する。

（Ｓ１４０３：鍵要素生成ステップ）
鍵要素生成部１４４は、処理装置により、署名鍵ｓｋ_Γの要素ｋ^＊ _０を数２００に示すように生成する。

また、鍵要素生成部１４４は、処理装置により、属性の集合Γに含まれる各整数ｔについて、署名鍵ｓｋ_Γの要素ｋ^＊ _ｔを数２０１に示すように生成する。

また、鍵要素生成部１４４は、処理装置により、署名鍵ｓｋ_Γの要素ｋ^＊ _ｄ＋１，ｋ^＊ _ｄ＋２を数２０２に示すように生成する。

（Ｓ１４０４：鍵配布ステップ）
鍵配布部１５０は、（Ｓ１４０１）で入力した属性の集合Γと、（Ｓ１４０３）で生成されたｋ^＊ _０，ｋ^＊ _ｔ，ｋ^＊ _ｄ＋１，ｋ^＊ _ｄ＋２とを要素とする署名鍵ｓｋ_Γを、例えば通信装置によりネットワークを介して秘密裡に署名装置５００へ配布する。もちろん、署名鍵ｓｋ_Γは、他の方法により署名装置５００へ配布されてもよい。

つまり、（Ｓ１４０１）から（Ｓ１４０３）において、鍵生成装置１００は、数２０３に示すＫｅｙＧｅｎアルゴリズムを実行して、署名鍵ｓｋ_Γを生成する。そして、（Ｓ１４０４）で、鍵生成装置１００は、生成した署名鍵ｓｋ_Γを署名装置５００へ配布する。

署名装置５００の機能と動作とについて説明する。
署名装置５００は、署名鍵取得部５１０、情報入力部５２０、補完係数計算部５３０、署名データ生成部５４０、データ送信部５５０を備える。また、署名データ生成部５４０は、乱数生成部５４１、署名要素生成部５４２を備える。

図３６に基づき、Ｓｉｇアルゴリズムの処理について説明する。
（Ｓ１５０１：署名鍵取得ステップ）
署名鍵取得部５１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した署名鍵ｓｋ_Γを取得する。また、署名鍵取得部５１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ１５０２：情報入力ステップ）
情報入力部５２０は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、アクセスストラクチャＳの行列Ｍの設定については、実現したいシステムの条件に応じて設定されるものである。
また、情報入力部５２０は、入力装置により、署名を付すメッセージｍを入力する。

（Ｓ１５０３：スパンプログラム計算ステップ）
補完係数計算部５３０は、処理装置により、（Ｓ１５０２）で入力したアクセスストラクチャＳが、（Ｓ１５０１）で取得した署名鍵ｓｋ_Γに含まれる属性の集合Γを受理するか否かを判定する。
なお、アクセスストラクチャが属性の集合を受理するか否かの判定方法は、「実施の形態１における第５．関数型暗号を実現するための概念」で説明した通りである。
補完係数計算部５３０は、アクセスストラクチャＳが属性の集合Γを受理する場合（Ｓ１５０３で受理）、処理を（Ｓ１５０４）へ進める。一方、アクセスストラクチャＳが属性の集合Γを拒絶する場合（Ｓ１５０３で拒絶）、処理を終了する。

（Ｓ１５０４：補完係数計算ステップ）
補完係数計算部５３０は、処理装置により、数２０４となるＩと、Ｉに含まれる各整数ｉについて定数（補完係数）α_ｉとを計算する。

（Ｓ１５０５：乱数生成ステップ）
乱数生成部５４１は、処理装置により、乱数を数２０５に示すように生成する。

（Ｓ１５０６：署名要素生成ステップ）
署名要素生成部５４２は、処理装置により、署名データｓｉｇの要素である署名要素ｓ^＊ _０を数２０６に示すように生成する。

ここで、ｒ^＊ _０は、数２０７（数１１０から数１１２及びこれらの数式の説明を参照）である。

また、署名要素生成部５４２は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、署名データｓｉｇの要素である署名要素ｓ^＊ _ｉを数２０８に示すように生成する。

ここで、ｒ^＊ _ｉは、数２０９である。

また、γ_ｉとｙ^→ _ｉ：＝（ｙ_ｉ，ｉ’（ｉ’＝１，．．．，ｎ）とは、数２１０である。

また、署名要素生成部５４２は、処理装置により、署名データｓｉｇの要素である署名要素ｓ^＊ _Ｌ＋１を数２１１に示すように生成する。

ここで、ｒ^＊ _Ｌ＋１は、数２１２である。

（Ｓ１５０７：データ送信ステップ）
データ送信部５５０は、署名要素ｓ^＊ _０と、署名要素ｓ^＊ _ｉ（ｉ＝１，．．．，Ｌ）と、署名要素ｓ^＊ _Ｌ＋１と、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを含む署名データｓｉｇを、例えば通信装置によりネットワークを介して検証装置６００へ送信する。もちろん、署名データｓｉｇは、他の方法により検証装置６００へ送信されてもよい。

つまり、（Ｓ１５０１）から（Ｓ１５０６）において、署名装置５００は、数２１３に示すＳｉｇアルゴリズムを実行して、署名データｓｉｇを生成する。そして、（Ｓ１５０７）で、署名装置５００は、生成した署名データｓｉｇを検証装置６００へ送信する。

検証装置６００の機能と動作とについて説明する。
検証装置６００は、公開パラメータ取得部６１０、データ受信部６２０、検証データ生成部６３０、ペアリング演算部６４０を備える。また、検証データ生成部６３０は、ｆベクトル生成部６３１、ｓベクトル生成部６３２、乱数生成部６３３、検証要素生成部６３４を備える。

図３７に基づき、Ｖｅｒアルゴリズムの処理について説明する。
（Ｓ１６０１：公開パラメータ取得ステップ）
公開パラメータ取得部６１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ１６０２：署名データ受信ステップ）
データ受信部６２０は、例えば、通信装置によりネットワークを介して、署名装置５００が送信した署名データｓｉｇを受信する。

（Ｓ１６０３：ｆベクトル生成ステップ）
ｆベクトル生成部６３１は、処理装置により、ｒ個の要素を有するベクトルｆ^→を数２１４に示すようにランダムに生成する。

（Ｓ１６０４：ｓベクトル生成ステップ）
ｓベクトル生成部６３２は、処理装置により、（Ｓ１６０２）で受信した署名データｓｉｇに含まれるアクセスストラクチャＳの（Ｌ行×ｒ列）の行列Ｍと、（Ｓ１６０３）で生成したｒ個の要素を有するベクトルｆ^→とに基づき、ベクトルｓ^→Ｔを数２１５に示すように生成する。

また、ｓベクトル生成部６３２は、処理装置により、（Ｓ１６０３）で生成したベクトルｆ^→に基づき、値ｓ_０を数２１６に示すように生成する。なお、１^→は、全ての要素が値１のベクトルである。

（Ｓ１６０５：乱数生成ステップ）
乱数生成部６３３は、処理装置により、乱数を数２１７に示すように生成する。

（Ｓ１６０６：検証要素生成ステップ）
検証要素生成部６３４は、処理装置により、検証鍵の要素である検証要素ｃ_０を数２１８に示すように生成する。

また、検証要素生成部６３４は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、検証鍵の要素である検証要素ｃ_ｉを数２１９に示すように生成する。

また、検証要素生成部６３４は、処理装置により、検証鍵の要素である検証要素ｃ_Ｌ＋１を数２２０に示すように生成する。

（Ｓ１６０７：第１ペアリング演算ステップ）
ペアリング演算部６４０は、処理装置により、ペアリング演算ｅ（ｂ_０，１，ｓ^＊ _０）を計算する。
ペアリング演算ｅ（ｂ_０，１，ｓ^＊ _０）を計算した結果が値１であれば、ペアリング演算部６４０は、署名の検証に失敗したことを示す値０を出力して、処理を終了する。一方、ペアリング演算ｅ（ｂ_０，１，ｓ^＊ _０）を計算した結果が値１でなければ、ペアリング演算部６４０は、処理をＳ１６０８へ進める。

（Ｓ１６０８：第２ペアリング演算ステップ）
ペアリング演算部６４０は、処理装置により、数２２１に示すペアリング演算を計算する。

数２２１に示すペアリング演算を計算した結果が値１であれば、ペアリング演算部６４０は、署名の検証に成功したことを示す値１を出力する。一方、その他の値であれば、ペアリング演算部６４０は、署名の検証に失敗したことを示す値０を出力する。

つまり、（Ｓ１６０１）から（Ｓ１６０８）において、検証装置６００は、数２２２に示すＶｅｒアルゴリズムを実行して、署名データｓｉｇを検証する。

以上のように、実施の形態５に係る暗号システム１０は、実施の形態２−４に係る暗号システム１０と同様に、インデックス部を設けることにより、各属性カテゴリで使用する基底を共通の基底（基底Ｂ及び基底Ｂ^＊）とすることができる。その結果、公開パラメータには、基底Ｂ及び基底Ｂ^＊だけを含めておけばよく、後に属性カテゴリを追加する場合に、公開パラメータを再発行する必要がない。

なお、実施の形態２−４と同様に、インデックス部については、内積した結果が０となればよい。そのため、上記説明では、基底ベクトルｂ^＊ _１，ｂ^＊ _２と基底ベクトルｂ_１，ｂ_２との２次元をインデックス部としが、これに限らず、３次元以上をインデックス部としてもよい。また、インデックス部への値の割り当ても上記説明のものに限らず、他の割り当てであってもよい。

また、上記説明では、関数型暗号方式に基づく署名方式について説明した。しかし、実施の形態３で関数型暗号方式を属性ベース暗号方式に変更したのと同様に、属性ベース暗号方式に基づく署名方式に変更することもできる。

実施の形態６．
この実施の形態では、多管理者関数型暗号方式及び多管理者署名方式について説明する。

多管理者（Ｍｕｌｔｉ−Ａｕｔｈｏｒｉｔｙ）とは、ユーザの復号鍵（あるいは署名鍵）を生成する管理者が複数存在するという意味である。
通常の関数型暗号では、システム全体のセキュリティが１つの機関（管理者）に依存している。例えば、実施の形態２，３で説明した暗号システム１０では、システム全体のセキュリティが鍵生成装置１００に依存している。鍵生成装置１００の秘密鍵であるマスター秘密鍵ｓｋが漏洩した場合、システム全体のセキュリティが破られてしまう。
しかし、多管理者とすることで、一部の管理者のセキュリティが破られたり、一部の管理者の秘密鍵（マスター鍵）が漏洩した場合であっても、システムの一部だけが機能しなくなるだけであり、他の部分については正常に機能する状態とすることができる。

図３８は、多管理者の説明図である。なお、図３８では、狭義の暗号処理を例としている。
図３８では、役所が、住所、電話番号、年齢等の属性について管理する。また、警察が、運転免許の種別等の属性について管理する。また、会社Ａが、会社Ａにおける役職、会社Ａにおける所属等の属性について管理する。そして、役所が管理する属性に関連付けられた復号鍵１は役所が発行し、警察が管理する属性に関連付けられた復号鍵２は警察が発行し、会社Ａが管理する属性に関連付けられた復号鍵３は会社Ａが発行する。
暗号文を復号する復号者は、役所、警察、会社Ａ等の各管理者が発行した復号鍵１，２，３を合わせた復号鍵を用い、暗号文を復号する。つまり、復号者から見た場合、各管理者から発行された復号鍵を合わせたものが、自分に発行された１つの復号鍵となる。
例えば、会社Ａのマスター鍵が漏洩した場合、暗号処理システムは、会社Ａの属性に関しては機能しなくなるが、他の管理者が管理する属性に関しては機能する。つまり、会社Ａが管理する属性については、指定した属性以外の属性のユーザによって復号されてしまう虞があるが、他の属性については、指定した属性のユーザによってのみ復号可能である。

また、図３８の例からも分かるように、関数型暗号では、複数の管理者が存在し、各管理者が属性におけるあるカテゴリー（部分空間）又は定義域を管理し、そのカテゴリーにおけるユーザの属性についての復号鍵（の一片）を発行することが自然である

どの機関でも管理者となることができ、他の機関とやりとりすることなく、復号鍵（の一片）を発行することができ、各ユーザが他の機関とやりとりすることなく、管理者から復号鍵（の一片）を取得できる場合、その方式を分散多管理者（Ｄｅｃｅｎｔｒａｌｉｚｅｄ Ｍｕｌｔｉ−Ａｕｔｈｏｒｉｔｙ）方式と呼ぶ。
例えば、中央管理者がいる場合、分散多管理者とは言えない。中央管理者とは、他の管理者よりも上位の管理者である。中央管理者のセキュリティが破られた場合、全ての管理者のセキュリティが破られてしまう。

非特許文献３１には、分散多管理者関数型暗号方式について記載されており、非特許文献３０には、分散ではない多管理者署名方式について記載されている。上記実施の形態の説明した暗号方式や署名方式と同様に、非特許文献３０，３１に記載された方式も、属性カテゴリを追加する場合に、公開パラメータを再発行する必要がない構成とすることができる。

図３９は、多管理者の場合における属性カテゴリを追加可能な関数型暗号方式の説明図である。
図３９では、図３８と同様に、役所が、住所、電話番号、年齢等の属性について管理する。また、警察が、運転免許の種別等の属性について管理する。また、会社Ａが、会社Ａにおける役職、会社Ａにおける所属等の属性について管理する。そして、役所が管理する属性に関連付けられた復号鍵１は役所が発行し、警察が管理する属性に関連付けられた復号鍵２は警察が発行し、会社Ａが管理する属性に関連付けられた復号鍵３は会社Ａが発行する。
ここで、役所は、基底Ｂ＾_１と基底Ｂ＾^＊ _１とをそれぞれ公開パラメータｐｋとマスター秘密鍵ｓｋとして生成する。そして、基底Ｂ＾^＊ _１を用いて、住所、電話番号、年齢等の属性についての復号鍵１を生成する。同様に、警察は、基底Ｂ＾_２と基底Ｂ＾^＊ _２とをそれぞれ公開パラメータｐｋとマスター秘密鍵ｓｋとして生成する。そして、基底Ｂ＾^＊ _２を用いて、運転免許の種別等の属性についての復号鍵２を生成する。同様に、会社Ａは、基底Ｂ＾_３と基底Ｂ＾^＊ _３とをそれぞれ公開パラメータｐｋとマスター秘密鍵ｓｋとして生成する。そして、基底Ｂ＾^＊ _３を用いて、会社Ａにおける役職、会社Ａにおける所属等の属性についての復号鍵３を生成する。
送信者は、基底Ｂ＾_１を用いて住所、電話番号、年齢等の属性を設定し、基底Ｂ＾_２を用いて運転免許の種別等の属性を設定し、基底Ｂ＾_３を用いて会社Ａにおける役職、会社Ａにおける所属等の属性を設定して、暗号文を生成する。そして、復号者は、復号鍵１−３を用いて、暗号文を復号する。
例えば、役所で管理する属性カテゴリに追加をする場合、役所の公開パラメータｐｋを再発行することなく、属性カテゴリを追加することが可能である。

なお、ここでは、属性カテゴリを追加可能な関数型暗号方式について説明した。しかし、関数型暗号方式を応用した署名方式についても、原則として関数型暗号方式と同様の考え方になる。

実施の形態７．
以上の実施の形態では、双対ベクトル空間において暗号プリミティブの処理を実現する方法について説明した。実施の形態７では、双対加群において暗号プリミティブの処理を実現する方法について説明する。

つまり、以上の実施の形態では、素数位数ｑの巡回群において暗号プリミティブの処理を実現した。しかし、合成数Ｍを用いて数２２３のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した暗号プリミティブの処理を適用することができる。

以上の実施の形態で説明したアルゴリズムにおけるＦ_ｑをＲに変更すれば、双対加群における暗号プリミティブの処理を実現することができる。

なお、以上の実施の形態において、安全性の証明の観点から、ｉ＝１，．．．，Ｌの各整数ｉについてのρ（ｉ）は、それぞれ異なる識別情報ｔについての肯定形の組（ｔ，ｖ^→）又は否定形の組¬（ｔ，ｖ^→）であると限定してもよい。
言い替えると、ρ（ｉ）＝（ｔ，ｖ^→）又はρ（ｉ）＝¬（ｔ，ｖ^→）である場合に、関数ρ~を、ρ~（ｉ）＝ｔである｛１，．．．，Ｌ｝→｛１，．．．ｄ｝の写像であるとする。この場合、ρ~が単射であると限定してもよい。なお、ρ（ｉ）は、上述したアクセスストラクチャＳ：＝（Ｍ，ρ（ｉ））のρ（ｉ）である。

次に、実施の形態における暗号システム１０（鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００、署名装置５００、検証装置６００）のハードウェア構成について説明する。
図４０は、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００、署名装置５００、検証装置６００のハードウェア構成の一例を示す図である。
図４０に示すように、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００、署名装置５００、検証装置６００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０（固定ディスク装置）の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。磁気ディスク装置９２０は、所定の固定ディスクインタフェースを介して接続される。

ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４と磁気ディスク装置９２０とは、記憶装置（メモリ）の一例である。また、キーボード９０２、通信ボード９１５は、入力装置の一例である。また、通信ボード９１５は、通信装置の一例である。さらに、ＬＣＤ９０１は、表示装置の一例である。

磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

プログラム群９２３には、上記の説明において「マスター鍵生成部１１０」、「マスター鍵記憶部１２０」、「情報入力部１３０」、「復号鍵生成部１４０」、「鍵配布部１５０」、「公開パラメータ取得部２１０」、「情報入力部２２０」、「暗号化データ生成部２３０」、「データ送信部２４０」、「復号鍵取得部３１０」、「データ受信部３２０」、「スパンプログラム計算部３３０」、「補完係数計算部３４０」、「ペアリング演算部３５０」、「メッセージ計算部３６０」、「復号鍵取得部４１０」、「情報入力部４２０」、「委譲鍵生成部４３０」、「鍵配布部４４０」、「署名鍵取得部５１０」、「情報入力部５２０」、「補完係数計算部５３０」、「署名データ生成部５４０」、「データ送信部５５０」、「公開パラメータ取得部６１０」、「データ受信部６２０」、「検証データ生成部６３０」、「ペアリング演算部６４０」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、上記の説明において「公開パラメータｐｋ」、「マスター秘密鍵ｓｋ」、「復号鍵ｓｋ_Ｓ，ｓｋ_Γ」、「暗号文ｃｔ_Γ，ｃｔ_Ｓ」、「アクセスストラクチャＳ」、「属性情報」、「メッセージｍ」等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。

また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
また、上記の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜装置」として説明するものは、「〜回路」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。さらに、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「〜部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「〜部」の手順や方法をコンピュータ等に実行させるものである。

１０ 暗号システム、１００ 鍵生成装置、１１０ マスター鍵生成部、１２０ マスター鍵記憶部、１３０ 情報入力部、１４０ 復号鍵生成部、１４１ ｆベクトル生成部、１４２ ｓベクトル生成部、１４３ 乱数生成部、１４４ 鍵要素生成部、１４５ ランダム化要素生成部、１４６ 委譲要素生成部、１５０ 鍵配布部、２００ 暗号化装置、２１０ 公開パラメータ取得部、２２０ 情報入力部、２３０ 暗号化データ生成部、２３１ 乱数生成部、２３２ 暗号要素生成部、２４０ データ送信部、３００ 復号装置、３１０ 復号鍵取得部、３２０ データ受信部、３３０ スパンプログラム計算部、３４０ 補完係数計算部、３５０ ペアリング演算部、３６０ メッセージ計算部、４００ 鍵委譲装置、４１０ 復号鍵取得部、４２０ 情報入力部、４３０ 委譲鍵生成部、４３１ 乱数生成部、４３２ 下位鍵要素生成部、４３３ 下位ランダム化要素生成部、４３４ 下位委譲要素生成部、４４０ 鍵配布部、５００ 署名装置、５１０ 署名鍵取得部、５２０ 情報入力部、５３０ 補完係数計算部、５４０ 署名データ生成部、５４１ 乱数生成部、５４２ 署名要素生成部、５５０ データ送信部、６００ 検証装置、６１０ 公開パラメータ取得部、６２０ データ受信部、６３０ 検証データ生成部、６３１ ｆベクトル生成部、６３２ ｓベクトル生成部、６３３ 乱数生成部、６３４ 検証要素生成部、６４０ ペアリング演算部。

Claims (11)

1. 所定の基底Ｂ及び所定の基底Ｂ^＊を用いて処理を行う暗号システムであり、
   複数のインデックスｊのうちの１つ以上のインデックスｊについての送信側ベクトルｔ_ｊであって、前記基底Ｂにおける所定の基底ベクトルｂ_{ｉｎｄｅｘ}の係数に、インデックスｊに予め割り当てられた情報Ｊを設定し、前記基底Ｂにおける他の基底ベクトルｂ_ａｔｔの係数に、インデックスｊについてのパラメータΦ_ｊを設定した送信側ベクトルｔ_ｊを生成する送信装置と、
   複数のインデックスｊ’のうちの１つ以上のインデックスｊ’についての受信側ベクトルｒ_ｊ’であって、前記基底ベクトルｂ_{ｉｎｄｅｘ}に対応する前記基底Ｂ^＊における基底ベクトルｂ^＊ _{ｉｎｄｅｘ}の係数に、インデックスｊ’に対応するインデックスｊに予め割り当てられた情報Ｊとの内積が０になる情報Ｊ’を設定し、前記基底ベクトルｂ_ａｔｔに対応する前記基底Ｂ^＊における基底ベクトルｂ^＊ _ａｔｔの係数に、インデックスｊ’についてのパラメータΨ_ｊ’を設定した受信側ベクトルｒ_ｊ’を用いて、インデックスｊについての前記送信側ベクトルｔ_ｊと前記インデックスｊに対応するインデックスｊ’についての前記受信側ベクトルｒ_ｊ’とに対して、対応する基底ベクトル毎のペアリング演算の積を計算する受信装置と
   を備えることを特徴とする暗号システム。
2. 前記送信装置は、暗号文ｃｔを生成する暗号化装置であり、ｔ＝１，．．．，ｄ（ｄは１以上の整数）の整数ｔを前記インデックスｊとし、整数ｔについての属性情報ｘ_ｔを前記インデックスｊについての前記パラメータΦ_ｊとして、１つ以上の整数ｔについて、前記基底ベクトルｂ_{ｉｎｄｅｘ}の係数に、整数ｔに割り当てられた情報Ｊを設定し、前記基底ベクトルｂ_ａｔｔの係数に、整数ｔについての属性情報ｘ_ｔを設定した暗号ベクトルｃ_ｔを前記送信側ベクトルｔ_ｊとして含む暗号文ｃｔを生成し、
   前記受信装置は、前記暗号文ｃｔを復号する復号装置であり、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の整数ｉを前記インデックスｊ’とし、整数ｉについての述語情報ｖ_ｉを前記インデックスｊ’についての前記パラメータΨ_ｊ’として、各整数ｉについて、前記基底ベクトルｂ^＊ _{ｉｎｄｅｘ}の係数に、整数ｉに対応する整数ｔに割り当てられた情報Ｊとの内積が０になる情報Ｊ’を設定し、前記基底ベクトルｂ^＊ _ａｔｔの係数に、整数ｉについての述語情報ｖ_ｉを設定した鍵ベクトルｋ^＊ _ｉを前記受信側ベクトルｒ_ｊ’として用いて、前記各整数ｉについて、その整数ｉについての鍵ベクトルｋ^＊ _ｉと、その整数ｉに対応する整数ｔについての暗号ベクトルｃ_ｔとに対して、対応する基底ベクトル毎のペアリング演算の積を計算する
   ことを特徴とする請求項１に記載の暗号システム。
3. 前記暗号システムは、所定の基底Ｂ_０及び所定の基底Ｂ^＊ _０と、所定の基底Ｂ及び所定の基底Ｂ^＊とを用いて処理を行い、
   前記送信装置は、暗号ベクトルｃ_０及びｔ＝１，．．．，ｄの１つ以上の整数ｔについての暗号ベクトルｃ_ｔであって、数１に示す暗号ベクトルｃ_０及び暗号ベクトルｃ_ｔを含む暗号文ｃｔを生成し、
   前記受信装置は、ｉ＝０，．．．，Ｌの各整数ｉについての鍵ベクトルｋ^＊ _ｉであって、数２に示す鍵ベクトルｋ^＊ _ｉと、前記暗号ベクトルｃ_ｔとについて、数３を計算する
   ことを特徴とする請求項２に記載の暗号システム。
   

   

   

   
4. 前記送信装置は、暗号文ｃｔを生成する暗号化装置であり、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の整数ｉを前記インデックスｊとし、整数ｉについての述語情報ｖ_ｉを前記インデックスｊについての前記パラメータΦ_ｊとして、各整数ｉについて、前記基底ベクトルｂ_{ｉｎｄｅｘ}の係数に、整数ｉに割り当てられた情報Ｊを設定し、前記基底ベクトルｂ_ａｔｔの係数に、整数ｉについての述語情報ｖ_ｉを設定した暗号ベクトルｃ_ｉを前記送信側ベクトルｔ_ｊとして含む暗号文ｃｔを生成し、
   前記受信装置は、前記暗号文ｃｔを復号する復号装置であり、ｔ＝１，．．．，ｄ（ｄは１以上の整数）の整数ｔを前記インデックスｊ’とし、整数ｔについての属性情報ｘ_ｔを前記インデックスｊ’についての前記パラメータΨ_ｊ’として、１つ以上の整数ｔについて、前記基底ベクトルｂ^＊ _{ｉｎｄｅｘ}の係数に、整数ｔに対応する整数ｉに割り当てられた情報Ｊとの内積が０になる情報Ｊ’を設定し、前記基底ベクトルｂ^＊ _ａｔｔの係数に、整数ｔについての属性情報ｘ_ｔを設定した鍵ベクトルｋ^＊ _ｔを前記受信側ベクトルｒ_ｊ’として用いて、前記各整数ｉについて、その整数ｉについての暗号ベクトルｃ_ｉと、その整数ｉに対応する整数ｔについての鍵ベクトルｋ^＊ _ｔとに対して、対応する基底ベクトル毎のペアリング演算の積を計算する
   ことを特徴とする請求項１に記載の暗号システム。
5. 前記暗号システムは、所定の基底Ｂ_０及び所定の基底Ｂ^＊ _０と、所定の基底Ｂ及び所定の基底Ｂ^＊とを用いて処理を行い、
   前記送信装置は、ｉ＝０，．．．，Ｌの各整数ｉについての暗号ベクトルｃ_ｉであって、数４に示す暗号ベクトルｃ_ｉを含む暗号文ｃｔを生成し、
   前記受信装置は、鍵ベクトルｋ^＊ _０及びｔ＝１，．．．，ｄの１つ以上の整数ｔについての鍵ベクトルｋ^＊ _ｔであって、数５に示す鍵ベクトルｋ^＊ _０及び鍵ベクトルｋ^＊ _ｔと、前記暗号ベクトルｃ_ｉとについて、数６を計算する
   ことを特徴とする請求項４に記載の暗号システム。
   

   

   

   
6. 前記送信装置は、暗号文ｃｔを生成する暗号化装置であり、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の整数ｉを前記インデックスｊとし、整数ｉについての属性情報ｘ_ｉを前記インデックスｊについての前記パラメータΦ_ｊとして、各整数ｉについて、前記基底ベクトルｂ_{ｉｎｄｅｘ}の係数に、整数ｉに割り当てられた情報Ｊを設定し、前記基底ベクトルｂ_ａｔｔの係数に、整数ｉについての属性情報ｘ_ｉを設定した暗号ベクトルｃ_ｉを前記送信側ベクトルｔ_ｊとして含む暗号文ｃｔを生成し、
   前記受信装置は、前記暗号文ｃｔを復号する復号装置であり、前記整数ｉを前記インデックスｊ’とし、整数ｉについての述語情報ｖ_ｉを前記インデックスｊ’についての前記パラメータΨ_ｊ’として、各整数ｉについて、前記基底ベクトルｂ^＊ _{ｉｎｄｅｘ}の係数に、整数ｉに割り当てられた情報Ｊとの内積が０になる情報Ｊ’を設定し、前記基底ベクトルｂ^＊ _ａｔｔの係数に、整数ｉについての述語情報ｖ_ｉを設定した鍵ベクトルｋ^＊ _ｉを前記受信側ベクトルｒ_ｊ’として用いて、前記各整数ｉについて、その整数ｉについての鍵ベクトルｋ^＊ _ｉと暗号ベクトルｃ_ｔとに対して、対応する基底ベクトル毎のペアリング演算の積を計算する
   ことを特徴とする請求項１に記載の暗号システム。
7. 前記暗号システムは、所定の基底Ｂ_０及び所定の基底Ｂ^＊ _０と、所定の基底Ｂ及び所定の基底Ｂ^＊とを用いて処理を行い、
   前記送信装置は、ｉ＝０，．．．，Ｌの各整数ｉについての暗号ベクトルｃ_ｉの和である暗号ベクトルｃ_１であって、数７に示す暗号ベクトルｃ_１を含む暗号文ｃｔを生成し、
   前記受信装置は、前記各整数ｉについての鍵ベクトルｋ^＊ _ｉの和である鍵ベクトルｋ^＊ _{Ｌ，ｄｅｃ}であって、数８に示す鍵ベクトルｋ^＊ _{Ｌ，ｄｅｃ}と、前記暗号ベクトルｃ_１とについて、対応する基底ベクトル毎のペアリング演算の積を計算する
   ことを特徴とする請求項６に記載の暗号システム。
   

   

   
8. 前記送信装置は、署名データｓｉｇを生成する署名装置であり、ｔ＝１，．．．，ｄ（ｄは１以上の整数）の整数ｔを前記インデックスｊとし、整数ｔについての属性情報ｘ_ｔを前記インデックスｊについての前記パラメータΦ_ｊとして、１つ以上の整数ｔについて、前記基底ベクトルｂ_{ｉｎｄｅｘ}の係数に、整数ｔに割り当てられた情報Ｊを設定し、前記基底ベクトルｂ_ａｔｔの係数に、整数ｔについての属性情報ｘ_ｔを設定した鍵ベクトルｋ^＊ _ｔを用いて、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについて、整数ｉに対応する整数ｔについての鍵ベクトルｋ^＊ _ｔを含めた署名要素ｓ_ｉを前記送信側ベクトルｔ_ｊとして含む署名データｓｉｇを生成し、
   前記受信装置は、前記署名データｓｉｇを検証する検証装置であり、前記整数ｉを前記インデックスｊ’とし、整数ｉについての述語情報ｖ_ｉを前記インデックスｊ’についての前記パラメータΨ_ｊ’として、各整数ｉについて、前記基底ベクトルｂ^＊ _{ｉｎｄｅｘ}の係数に、整数ｉに対応する整数ｔに割り当てられた情報Ｊとの内積が０になる情報Ｊ’を設定し、前記基底ベクトルｂ^＊ _ａｔｔの係数に、整数ｉについての述語情報ｖ_ｉを設定した検証要素ｃ_ｉを前記受信側ベクトルｒ_ｊ’として用いて、前記各整数ｉについて、その整数ｉについての署名要素ｓ_ｉと検証要素ｃ_ｉとに対して、対応する基底ベクトル毎のペアリング演算の積を計算する
   ことを特徴とする請求項１に記載の暗号システム。
9. 前記暗号システムは、所定の基底Ｂ_０及び所定の基底Ｂ^＊ _０と、所定の基底Ｂ及び所定の基底Ｂ^＊と、所定の基底Ｂ_ｄ＋１及び所定の基底Ｂ^＊ _ｄ＋１とを用いて処理を行い、
   前記送信装置は、鍵ベクトルｋ^＊ _０とｔ＝１，．．．，ｄの１つ以上の整数ｔについての鍵ベクトルｋ^＊ _ｔと鍵ベクトル_{ｄ＋１，１}と鍵ベクトル_{ｄ＋１，２}とであって、数９に示す鍵ベクトルｋ^＊ _０と鍵ベクトルｋ^＊ _ｔと鍵ベクトル_{ｄ＋１，１}と鍵ベクトル_{ｄ＋１，２}とを用いて、ｉ＝０，．．．，Ｌ＋１の各整数ｉについての署名要素ｓ_ｉであって、数１０に示す署名要素ｓ_ｉを含む署名データｓｉｇを生成し、
   前記受信装置は、前記各整数ｉについての検証要素ｃ_ｉであって、数１１に示す検証要素ｃ_ｉと、前記署名要素ｓ_ｉとについて、数１２を計算する
   ことを特徴とする請求項８に記載の暗号システム。
   

   

   

   

   
10. 所定の基底Ｂ及び所定の基底Ｂ^＊を用いて処理を行う暗号方法であり、
    送信装置が、複数のインデックスｊのうちの１つ以上のインデックスｊについての送信側ベクトルｔ_ｊであって、前記基底Ｂにおける所定の基底ベクトルｂ_{ｉｎｄｅｘ}の係数に、インデックスｊに予め割り当てられた情報Ｊを設定し、前記基底Ｂにおける他の基底ベクトルｂ_ａｔｔの係数に、インデックスｊについてのパラメータΦ_ｊを設定した送信側ベクトルｔ_ｊを生成する送信工程と、
    受信装置が、複数のインデックスｊ’のうちの１つ以上のインデックスｊ’についての受信側ベクトルｒ_ｊ’であって、前記基底ベクトルｂ_{ｉｎｄｅｘ}に対応する前記基底Ｂ^＊における基底ベクトルｂ^＊ _{ｉｎｄｅｘ}の係数に、インデックスｊ’に対応するインデックスｊに予め割り当てられた情報Ｊとの内積が０になる情報Ｊ’を設定し、前記基底ベクトルｂ_ａｔｔに対応する前記基底Ｂ^＊における基底ベクトルｂ^＊ _ａｔｔの係数に、インデックスｊ’についてのパラメータΨ_ｊ’を設定した受信側ベクトルｒ_ｊ’を用いて、インデックスｊについての前記送信側ベクトルｔ_ｊと前記インデックスｊに対応するインデックスｊ’についての前記受信側ベクトルｒ_ｊ’とに対して、対応する基底ベクトル毎のペアリング演算の積を計算する受信工程と
    を備えることを特徴とする暗号方法。
11. 所定の基底Ｂ及び所定の基底Ｂ^＊を用いて処理を行う暗号プログラムであり、
    複数のインデックスｊのうちの１つ以上のインデックスｊについての送信側ベクトルｔ_ｊであって、前記基底Ｂにおける所定の基底ベクトルｂ_{ｉｎｄｅｘ}の係数に、インデックスｊに予め割り当てられた情報Ｊを設定し、前記基底Ｂにおける他の基底ベクトルｂ_ａｔｔの係数に、インデックスｊについてのパラメータΦ_ｊを設定した送信側ベクトルｔ_ｊを生成する送信処理と、
    複数のインデックスｊ’のうちの１つ以上のインデックスｊ’についての受信側ベクトルｒ_ｊ’であって、前記基底ベクトルｂ_{ｉｎｄｅｘ}に対応する前記基底Ｂ^＊における基底ベクトルｂ^＊ _{ｉｎｄｅｘ}の係数に、インデックスｊ’に対応するインデックスｊに予め割り当てられた情報Ｊとの内積が０になる情報Ｊ’を設定し、前記基底ベクトルｂ_ａｔｔに対応する前記基底Ｂ^＊における基底ベクトルｂ^＊ _ａｔｔの係数に、インデックスｊ’についてのパラメータΨ_ｊ’を設定した受信側ベクトルｒ_ｊ’を用いて、インデックスｊについての前記送信側ベクトルｔ_ｊと前記インデックスｊに対応するインデックスｊ’についての前記受信側ベクトルｒ_ｊ’とに対して、対応する基底ベクトル毎のペアリング演算の積を計算する受信処理と
    をコンピュータに実行させることを特徴とする暗号プログラム。
    

Images