JP2015136049A - 代理署名装置、署名検証装置、鍵生成装置、代理署名システム、およびプログラム - Google Patents

Abstract

【課題】一般アクセス構造を持つ署名権限を委譲することができる代理署名技術を提供する。【解決手段】各代理署名装置Ｕ（θ（ｊ））は、ｉ∈Ｉ（ｊ）について、入力された｛ｓ*ｉ，ｊ−１｝ｉ∈｛１，…，Ｌ｝のｓ*ｉ，ｊ−１と｛ｋ*ｉ｝ｉ∈Ｉ（ｊ）とを用い、署名対象に対応するｓ*ｉ，ｊを得る。ｉ∈Ｉ（ｊ）ではないｉ∈｛１，…，Ｌ｝について、｛ｓ*ｉ，ｊ−１｝ｉ∈｛１，…，Ｌ｝のｓ*ｉ，ｊ−１を用い、署名対象に対応するｓ*ｉ，ｊを得る。ｓ*ｉ，ｊの集合を｛ｓ*ｉ，ｊ｝ｉ∈｛１，…，Ｌ｝とする。代理署名装置Ｕ（θ（ｋ））で得られた｛ｓ*ｉ，ｋ｝ｉ∈｛１，…，Ｌ｝を署名｛ｓ*ｉ｝ｉ∈｛１，…，Ｌ｝とする。【選択図】図４

Description

本発明は、情報セキュリティ技術の応用技術に関し、特に代理署名方式に関する。

代理署名方式は、ある署名者が代理署名者に署名の権限を移譲することが可能な署名方式である。従来、例えば、非特許文献１から３のような代理署名方式が提案されていた。

Beheshti-Atashgah, M., Bayat, M.: Designated verifier threshold proxy signature scheme without random oracles. ePrint, IACR, インターネット＜http://eprint.iacr.org/2012/488＞. Mambo, M., Usuda, K., Okamoto, E.: Proxy signature: delegation of the power to sign messages. IEICE Transactions on Fundamentals. 76(1996) 1338-1353. Zhang, K.: Threshold proxy signature schemes. Information Security Workshop, Japan. (1997) 191-197.

しかし、従来のいずれの方式も、代理署名者に移譲する署名権限の構造が単純なものに限られており、一般のアクセス構造を持つ署名権限を委譲することができなかった。例えば、従来方式は、或る数以上の任意の代理署名者が協力した場合に署名を生成できるように署名権限を委譲するものであり、特定の組み合わせの代理署名者が協力した場合に署名を生成できるように署名権限の委譲を行うことができなかった。

本発明の課題は、一般アクセス構造を持つ署名権限を委譲することができる代理署名技術を提供することである。

ｎ個の代理署名装置Ｕ（１），…，Ｕ（ｎ）と署名検証装置とを有し、権限が委譲された｛Ｕ（θ（１）），…，Ｕ（θ（ｋ））｝⊆｛Ｕ（１），…，Ｕ（ｎ）｝が署名生成を行う。ただし、ｎは１以上の整数であり、ｋは１以上のｎ以下の整数である。各代理署名装置Ｕ（θ（ｊ））（ただし、ｊ∈｛１，…，ｋ｝）は、｛１，…，Ｌ｝の部分集合Ｉ（ｊ）に対応する（ただし、Ｌは１以上の整数）。任意値ｓ_ｉの集合｛ｓ_ｉ｝_{ｉ∈｛１，…，Ｌ｝}に対し、部分集合Ｉ（ｊ）の和集合∪_{ｊ∈｛１，…，ｋ｝}Ｉ（ｊ）に対応する任意値ｓ_ｉの線形結合を値ｓ_０とする。

各代理署名装置Ｕ（θ（ｊ））は、ｉ∈Ｉ（ｊ）について、入力された代理署名情報｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}の要素ｓ^* _{ｉ，ｊ−１}と鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｊ）}とを用い、署名対象に対応する要素ｓ^* _ｉ，ｊを得る。ただし、鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｊ）}は上述の任意値ｓ_ｉに対応する鍵ｋ^* _ｉの集合である。また、各代理署名装置Ｕ（θ（ｊ））は、ｉ∈Ｉ（ｊ）ではないｉ∈｛１，…，Ｌ｝について、代理署名情報｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}の要素ｓ^* _{ｉ，ｊ−１}を用い、署名対象に対応する要素ｓ^* _ｉ，ｊを得る。各代理署名装置Ｕ（θ（ｊ））は、得られた要素ｓ^* _ｉ，ｊの集合を代理署名情報｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}とする。なお｛ｓ^* _ｉ，０｝_{ｉ∈｛１，…，Ｌ｝}は初期設定されており、代理署名装置Ｕ（θ（ｋ））で得られた代理署名情報｛ｓ^* _ｉ，ｋ｝_{ｉ∈｛１，…，Ｌ｝}が署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}となる。

署名検証装置は、署名対象に対応する検証値ｃ_ｉおよび入力された署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}に対する双線形写像の像が、上述の値ｓ_０に対応する値となるかを判定する。

本発明では、一般アクセス構造を持つ署名権限を委譲することができる。

図１は、実施形態の代理署名システムの構成を例示したブロック図である。 図２は、実施形態の署名管理装置（鍵生成装置）の構成を例示したブロック図である。 図３は、権限が委譲された代理署名装置を例示したブロック図である。 図４は、実施形態の代理署名装置の構成を例示したブロック図である。 図５は、実施形態の署名検証装置の構成を例示したブロック図である。 図６は、一般アクセス構造を実現する単調スパンプログラムと、一般アクセス構造の権限の委譲との関係を説明するための概念図である。 図７は、実施形態の鍵生成処理を説明するためのフロー図である。 図８は、実施形態の代理署名処理を説明するためのフロー図である。 図９は、実施形態の署名検証処理を説明するためのフロー図である。

以下、本発明の実施形態を説明する。
［概要］
まず、実施形態の概要を説明する。
実施形態では、ｎ個の代理署名装置Ｕ（１），…，Ｕ（ｎ）からなる集合Ｎ_ｓｅｔ：＝｛Ｕ（１），…，Ｕ（ｎ）｝の任意の部分集合Ｋ_{ｓｕｂｓｅｔ}：＝｛Ｕ（θ（１）），…，Ｕ（θ（ｋ））｝⊆Ｎ_ｓｅｔに署名権限を委譲する。部分集合Ｋ_{ｓｕｂｓｅｔ}の一例は｛Ｕ（１），…，Ｕ（ｋ）｝である。この部分集合Ｋ_{ｓｕｂｓｅｔ}の設定方法に制限はなく、集合Ｎ_ｓｅｔの真部分集合であってもよいし、真部分集合でなくてもよい。また、複数個の部分集合Ｋ_{ｓｕｂｓｅｔ}が設定されてもよいし、１個の部分集合Ｋ_{ｓｕｂｓｅｔ}のみが設定されてもよい。複数個の部分集合Ｋ_{ｓｕｂｓｅｔ}が設定される場合、各部分集合Ｋ_{ｓｕｂｓｅｔ}の要素数ｋは互いに同一であってもよいし、異なっていてもよい。ただし、ｎは１以上の整数（例えば、ｎ≧２）であり、ｋは１以上のｎ以下の整数（例えば、ｋ≧２）である。また、Λ：＝Φは、ΛがΦであると定義することを意味する。

各代理署名装置Ｕ（θ（ｊ））（ただし、ｊ∈｛１，…，ｋ｝）は、集合｛１，…，Ｌ｝の部分集合Ｉ（ｊ）⊆｛１，…，Ｌ｝に対応付けられる。ただし、Ｌは１以上の整数（例えば、Ｌ≧２）であり、１，…，Ｌは一般アクセス構造を実現する単調スパンプログラムを構成する行列Ｍの各行のインデックスである（詳細は後述する）。各ｉ∈｛１，…，Ｌ｝にはそれぞれ任意値ｓ_ｉが設定され、部分集合Ｉ（ｊ）の和集合∪_{ｊ∈｛１，…，ｋ｝}Ｉ（ｊ）に対応する任意値ｓ_ｉの線形結合が値ｓ_０となっている。すなわち、署名権限が委譲された代理署名装置Ｕ（θ（ｊ））に対応する任意値ｓ_ｉの線形結合が値ｓ_０となっており、署名権限が委譲された代理署名装置Ｕ（θ（ｊ））に対応する任意値ｓ_ｉが集まればｓ_０を復元できる関係となっている。

各代理署名装置Ｕ（θ（ｊ））∈Ｋ_{ｓｕｂｓｅｔ}は、Ｕ（θ（１）），...，Ｕ（θ（ｋ）の順序で以下の代理署名処理を行う。
＜代理署名処理＞
代理署名装置Ｕ（θ（ｊ））は、ｉ∈Ｉ（ｊ）について、入力された代理署名情報｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}の要素ｓ^* _{ｉ，ｊ−１}と鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｊ）}とを用い、署名対象に対応する要素ｓ^* _ｉ，ｊを得る。ただし、鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｊ）}は上述の任意値ｓ_ｉに対応する鍵ｋ^* _ｉの集合である。また、各代理署名装置Ｕ（θ（ｊ））は、ｉ∈Ｉ（ｊ）ではないｉ∈｛１，…，Ｌ｝について、代理署名情報｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}の要素ｓ^* _{ｉ，ｊ−１}を用い、署名対象に対応する要素ｓ^* _ｉ，ｊを得る。ただし、代理署名装置Ｕ（θ（１））は、初期設定された｛ｓ^* _ｉ，０｝_{ｉ∈｛１，…，Ｌ｝}を用いてこれらの処理を行う。

最後に代理署名装置Ｕ（θ（ｋ））で得られた代理署名情報｛ｓ^* _ｉ，ｋ｝_{ｉ∈｛１，…，Ｌ｝}が署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}となる。

＜署名検証処理＞
署名検証装置は、署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}を入力とし、その署名対象に対応する検証値ｃ_ｉおよび署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}に対する双線形写像の像が、上述の値ｓ_０に対応する値となるかを判定する。この双線形写像の像が上述の値ｓ_０に対応する値となれば合格であり、ならなければ不合格である。上述のように、署名権限が委譲された代理署名装置Ｕ（θ（ｊ））に対応する任意値ｓ_ｉが集まればｓ_０を復元できる関係になっており、上述の代理署名処理で用いられる鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｊ）}は任意値ｓ_ｉに対応する。そのため、署名権限が委譲された代理署名装置Ｕ（θ（ｊ））∈Ｋ_{ｓｕｂｓｅｔ}が協力して署名を生成した場合には、上述の双線形写像の像が上述の値ｓ_０に対応する値となり、合格となる。

以上により、ｎ個の代理署名装置Ｕ（１），…，Ｕ（ｎ）からなる集合Ｎ_ｓｅｔの任意の部分集合Ｋ_{ｓｕｂｓｅｔ}⊆Ｎ_ｓｅｔに署名権限を委譲でき、そのような組み合わせのみが署名を正しく生成できる。このような署名権限委譲の構造は一般アクセス構造をなしている。

［詳細］
次に、実施形態の詳細を説明する。
＜記号＞
以下の記述で用いる記号の説明をする。
ＳＥＴが集合のとき、ｙ←^ＵＳＥＴは、ｙが集合ＳＥＴからランダムに選ばれることを意味する。Ｆ_ｑは、要素の数（位数）がｑ個の有限体を意味する。ただし、ｑは１以上の整数であり、例えば、素数である。また、Ｆ_ｑ＼｛０｝（Ｆ_ｑから０を除いたもの）をＦ^× _ｑと記す。ε^→はＦ_ｑ上のベクトルを意味する。つまり、１以上の整数Ｎにおいてε^→：＝（ε_１，…，ε_Ｎ）∈Ｆ_ｑ ^Ｎである。２つのベクトルε^→：＝（ε_１，…，ε_Ｎ）とω^→：＝（ω_１，…，ω_Ｎ）の間の内積演算

をε^→・ω^→と記す。（ε^→）^Ｔはε^→の転置ベクトルを意味する。Ｘが行列のとき、Ｘ^ＴはＸの転置行列を意味する。すなわち、（・）^Ｔは（・）の転置を表す。ＧＬ（Ｎ，Ｆ_ｑ）は、Ｆ_ｑ上の次数がＮの一般線形群（要素がＦ_ｑのＮ×Ｎ正則行列の集合）を意味する。なお、記載表記の制約上、「ｙ←^ＵＳＥＴ」「ε^→」のように記載するが、これらはそれぞれ

と同義である。

＜双対双線形ベクトル空間:DPVS(Dual Pairing Vector Space)＞
双対双線形ベクトル空間（ＤＰＶＳ）は、双線形写像群の上で構成される。そこで、まず双線形写像群について説明する。

《双線形写像群》
双線形写像群（ｑ，Ｇ，Ｇ^＊，Ｇ_Ｔ，ｇ，ｇ^＊，ｅ’）は、位数がｑの巡回加法群Ｇ，Ｇ^＊と、位数がｑの巡回乗法群Ｇ_Ｔと、巡回加法群Ｇの要素ｇ≠０∈Ｇと、巡回加法群Ｇ^＊の要素ｇ^＊≠０∈Ｇ^＊と、双線形写像ｅ’：Ｇ×Ｇ^＊→Ｇ_Ｔからなる。Ｇ＝Ｇ^＊であってもよいし、Ｇ≠Ｇ^＊であってもよい。ここで、ｅ’（ｓｇ，ｔｇ^＊）＝ｅ’（ｇ，ｇ^＊）^ｓｔおよびｅ’（ｇ，ｇ^＊）≠１が成立する。ただしｓ，ｔ∈Ｆ_ｑである。なお、ｅ’の例はＷｅｉｌペアリングやＴａｔｅペアリングなどのペアリングである。Ｇ_ｂｐｇ（１^λ）は、安全係数（パラメータサイズ）λを入力として双線形写像群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ^＊，Ｇ_Ｔ，ｇ，ｇ^＊，ｅ’）を出力するアルゴリズムである。Ｇ＝Ｇ^＊の場合、Ｇ_ｂｐｇ（１^λ）は安全係数λを入力としてパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ’）を出力してもよい。

《双対双線形ベクトル空間（ＤＰＶＳ）》
双線形写像群（ｑ，Ｇ，Ｇ，Ｇ_Ｔ，ｇ，ｇ^＊，ｅ’）上の双対双線形ベクトル空間（ｑ，Ｖ，Ｖ^＊，Ｇ_Ｔ，Ａ，Ａ^＊，ｅ）は、１以上の整数ｑ（例えば素数）、Ｆ_ｑ上のＮ次元のベクトル空間Ｖ：＝Ｇ×・・・×Ｇ（巡回加法群Ｇの元をＮ個（Ｎ≧１）並べたもの）、Ｆ_ｑ上のＮ次元のベクトル空間Ｖ^＊：＝Ｇ^＊×・・・×Ｇ^＊（巡回加法群Ｇ^＊の元をＮ個並べたもの）、位数がｑの巡回乗法群Ｇ_Ｔ、ベクトル空間Ｖの標準基底Ａ：＝（ａ_１，...，ａ_Ｎ）、ベクトル空間Ｖ^＊の標準基底Ａ^＊：＝（ａ^＊ _１，...，ａ^＊ _Ｎ）、および双線形写像ｅ：Ｖ×Ｖ^＊→Ｇ_Ｔからなる。ＡおよびＡ^＊はそれぞれ正規直交基底である。標準基底Ａはベクトル空間Ｖを張り（span）、標準基底Ａ^＊はベクトル空間Ｖ^＊を張る。例えば、ａ_μ（μ∈｛１，...，Ｎ｝）およびａ^＊ _μ（μ∈｛１，...，Ｎ｝）は以下のように定義される。

また、Ω：＝（Ω_１，...，Ω_Ｎ）∈ＶとΘ：＝（Θ_１，...，Θ_Ｎ）∈Ｖ^＊との間の双線形写像ｅは、以下のように定義される。

このとき、以下が成立する。
ｅ（ｓΩ，ｔΘ）＝ｅ（Ω，Θ）^ｓｔ …（１）
ｅ（Ω_ｖ，Θ_ｗ ^＊）＝ｅ（ｇ，ｇ^＊）^{δ（ｖ，ｗ）} …（２）
ただし、δ（ｖ，ｗ）はクロネッカーのデルタであり、ｖ＝ｗならばδ（ｖ，ｗ）＝１であり、ｖ≠ｗならばδ（ｖ，ｗ）＝０である。

Ｇ_ｄｐｖｓ（１^λ，Ｎ，ｐａｒａｍ_Ｇ）は、安全係数λと次元Ｎ（ただし、Ｎは１以上の整数）を入力として、双対双線形ベクトル空間（ＤＰＶＳ）のパラメータｐａｒａｍ_Ｖ：＝（ｑ，Ｖ，Ｖ^＊，Ｇ_Ｔ，Ａ，Ａ^＊，ｅ）を出力するアルゴリズムである。Ｇ＝Ｇ^＊の場合、Ｇ_ｄｐｖｓ（１^λ，Ｎ，ｐａｒａｍ_Ｇ）は、安全係数λと次元Ｎを入力として、ｐａｒａｍ_Ｖ：＝（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）を出力してもよい。このアルゴリズムの内部で、前述のＧ_ｂｐｇ（１^λ）を利用する。

ベクトル空間Ｖの任意の基底Ｂ：＝（ｂ_１，...，ｂ_Ｎ）およびベクトル空間Ｖ^＊の任意の基底Ｂ^＊：＝（ｂ^＊ _１，...，ｂ^＊ _Ｎ）に関して、以下のように定義する。ただし、（ε_１，…，ε_Ｎ）∈Ｆ_ｑ ^Ｎおよび（ω_１，…，ω_Ｎ）∈Ｆ_ｑ ^Ｎである。

＜一般アクセス構造＞
つぎに、一般アクセス構造を実現する単調スパンプログラム（一般的な秘密分散を表現する方式）について述べる。
Ｆ_ｑを有限体とし、｛ｘ_１，...，ｘ_ｎ｝をｎ個の変数からなる集合とする。ただし、ｎは１以上の整数であり、各変数ｘ_ｚ（ｚ∈｛１，...，ｎ｝）は、秘密を秘密分散した分散値を保持する者に対応し、代理署名の枠組みでは、各代理署名装置（代理署名者）に対応する。Ｆ_ｑ上の単調スパンプログラムは、ラベルづけされた行列Ｓ：＝（Ｍ，ρ）である。ここで、ＭはＦ_ｑ上の（Ｌ×Ｒ）行列である。ρは各変数ｘ_１，...，ｘ_ｎを行列Ｍの各行へラベルづけ（対応づけ）するための写像である。具体的には、ρは行列Ｍの各行のインデックスｉ∈｛１，…，Ｌ｝から変数ｘ_ｚ（ｚ∈｛１，...，ｎ｝）への写像ｘ_ｚ＝ρ（ｉ）である。すなわち、各行はｉ＝ρ^−１（ｘ_ｚ）（ただしｚ∈｛１，...，ｎ｝）でラベル付けされる。行列Ｍのすべての行はそれぞれ１個の変数ｘ_ｚでラベル付けされる。すなわち、各インデックスｉ∈｛１，…，Ｌ｝は１個の変数ｘ_ｚ∈｛１，...，ｎ｝のみに対応する。ただし、各変数ｘ_ｚは１個のインデックスｉ∈｛１，…，Ｌ｝のみに対応してもよいし、複数個のインデックスｉ∈｛１，…，Ｌ｝に対応してもよい。すなわち、各変数ｘ_ｚ（すなわち、各代理署名装置）は、集合｛１，...，Ｌ｝の部分集合Ｉ（ｚ）⊆｛１，...，Ｌ｝に対応する。行列Ｍのすべての行がそれぞれ１個の変数ｘ_ｚでラベル付けされるため、ｚ_１≠ｚ_２であるｚ_１，ｚ_２∈｛１，...，ｎ｝に対し、積集合Ｉ（ｚ_１）∩Ｉ（ｚ_２）は空集合となる。

単調スパンプログラムＳは、以下のようなルールに従って、入力Γ：＝（Γ_１，...，Γ_ｎ）∈｛０，１｝^ｎを受理または拒否する。ただし、Γ_ｚ（ｚ∈｛１，...，ｎ｝）はそれぞれ変数ｘ_ｚに一対一に対応する。入力Γが与えられると、Γ_ｚ＝１であるような変数ｘ_ｚがラベルづけする行（つまり

）からなるＭの部分行列Ｍ_Γが定まる。このとき、単調スパンプログラムＳは所定のＲ次元ベクトルＳＥ^→（例えば、１^→＝（１，...，１））について、ＳＥ^→∈ｓｐａｎ＜Ｍ_Γ＞ならば入力Γを受理し、ＳＥ^→∈＜Ｍ_Γ＞でなければ入力Γを拒否する。なお、ＳＥ^→∈ｓｐａｎ＜Ｍ_Γ＞とは、部分行列Ｍ_Γに属する各行がベクトルＳＥ^→を張ることを意味する。言い換えると、ｓｐａｎ＜Ｍ_Γ＞とは、部分行列Ｍ_Γに属する各行の適当な線形結合がベクトルＳＥ^→となることを意味する。ここで、単調スパンプログラム（Ｍ，ρ）が入力Γを受理することは、Γ_ｉ＝１であるような変数ｘ_ｚに対応する代理署名装置が協力して秘密を復元できる（署名を作成できる）ことに対応する。一方、拒否されるときは、Γ_ｉ＝１であるような変数ｘ_ｚに対応する代理署名装置がどのように協力しても秘密を復元できない（署名を作成できない）ことに対応する。

＜一般アクセス構造（単調スパンプログラム）に基づく代理署名の枠組み＞
次に、一般アクセス構造（単調スパンプログラム）に基づく代理署名の枠組みを示す。

《Ｓｅｔｕｐ》
アルゴリズムＳｅｔｕｐは、安全係数λを入力して、システム共通のマスター公開鍵ｍｐｋとマスター秘密鍵ｍｓｋを出力する。署名管理装置（オリジナル／マスター署名者）は、このアルゴリズムＳｅｔｕｐを用いてｍｐｋとｍｓｋを生成し、ｍｓｋを秘密に保存し、ｍｐｋを公開する。

《ＰＳｅｔｕｐ》
署名管理装置は、ｎ個の代理署名装置に対し、アルゴリズムＰＳｅｔｕｐを用いて、一般アクセス構造（単調スパンプログラム）Ｓ：＝（Ｍ，ρ）を持つ分散署名鍵を作成し、それぞれの代理署名装置に分散署名鍵を配布する。まず、署名管理装置は、Ｎ_ｓｅｔ：＝｛Ｕ（１），…，Ｕ（ｎ）｝に対し、一般アクセス構造（単調スパンプログラム）Ｓを定める。これは、どのように署名権限を移譲するかという方針に基づき定める。さらに、そのときの権限移譲の付加情報（たとえば、期限等）を含む文書を“ｔｅｘｔ”とする。さらに、署名検証に用いるパラメータおよびそれらに対する署名管理装置の通常のディジタル署名（ＲＳＡ署名等）との組を（ａｕｘ，σ）とする。アルゴリズムＰＳｅｔｕｐは、（Ｓ，ｍｐｋ，ｍｓｋ，ｔｅｘｔ）を入力として、公開情報ｐｋ_{ｐｓｅｔｕｐ}：＝（ａｕｘ，ｔｅｘｔ，σ，Ｓ）と代理署名装置の秘密鍵｛ｓｋ_{ｐｓｅｔｕｐ（ｚ）}｝_{ｚ∈｛１，...，ｎ｝}：＝｛（ｐｋ_{ｐｓｅｔｕｐ}，ｓｋ_ｚ）｝_{ｚ∈｛１，...，ｎ｝}を出力する。ｓｋ_ｚは前述の鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｚ）}である。このうち、ｓｋ_{ｐｓｅｔｕｐ（ｚ）}が代理署名装置Ｕ（ｚ）（ただし、ｚ∈｛１，...，ｎ｝）の分散署名鍵として、代理署名装置Ｕ（ｚ）に秘密に渡される。

《Ｓｉｇ》
代理署名装置の部分集合Ｋ_{ｓｕｂｓｅｔ}⊆Ｎ_ｓｅｔが集まって代理署名を行うときのアルゴリズムがＳｉｇである。まず、最初の代理署名装置Ｕ（θ（１））がアルゴリズムＳｉｇ_θ（１）を用いて、ｓ^〜 _１：＝｛ｓ^* _ｉ，１｝_{ｉ∈｛１，…，Ｌ｝}を出力する。代理署名装置Ｕ（θ（１））は、ｓ^〜 _１を次の代理署名者Ｕ（θ（２））に渡す。ｊ番目の代理署名装置Ｕ（θ（ｊ））（２≦ｊ≦ｋ−１）は、代理署名装置Ｕ（θ（ｊ−１））からｓ^〜 _ｊ−１：＝｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}を受け取り、アルゴリズムＳｉｇ_θ（ｊ）を用いて、ｓ^〜 _ｊ：＝｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}を出力し、それを次の代理署名装置Ｕ（θ（ｊ＋１））に送る。最後の代理署名装置Ｕ（θ（ｋ））は、ｓ^〜 _ｋ−１：＝｛ｓ^* _{ｉ，ｋ−１}｝_{ｉ∈｛１，…，Ｌ｝}を代理署名装置Ｕ（θ（ｋ−１））から受け取り、アルゴリズムＳｉｇ_θ（ｋ）を用いてｓ^〜 _ｋ：＝｛ｓ^* _ｉ，ｋ｝_{ｉ∈｛１，…，Ｌ｝}を出力する。最後に、ｓ^* _ｉ：＝ｓ^* _ｉ，ｋとし、ｓ^*：＝（｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}，ａｕｘ，ｔｅｘｔ，σ）をＳｉｇ（ｍｐｋ，｛ｓｋ_ｊ｝_{ｊ∈｛１，...，ｋ｝}，Ｋ_{ｓｕｂｓｅｔ}，ｍ，ｐｋ_{ｐｓｅｔｕｐ}）として（つまり、代理署名装置の部分集合Ｋ_{ｓｕｂｓｅｔ}に対するアルゴリズムＳｉｇの出力として）出力する。

単調スパンプログラム（一般アクセス構造）と、代理署名装置の部分集合Ｋ_{ｓｕｂｓｅｔ}を対応づけるために、以下のような関係を定める。単調スパンプログラムＳの入力Γ：＝（Γ_１，...，Γ_ｎ）∈｛０，１｝^ｎにおいて、Γ_ｚ＝１（ｚ∈｛１，...，ｎ｝）であることとＵ（ｚ）∈Ｋ_{ｓｕｂｓｅｔ}であることとが等価であるとする。ここで、単調スパンプログラムＳが部分集合Ｋ_{ｓｕｂｓｅｔ}を受理するとは、単調スパンプログラムＳが入力Γを受理することとする。これ以降、以上の枠組みで述べたアルゴリズムに基づく実施形態を詳細に説明する。

［第１実施形態］
図面を参照して、第１実施形態を説明する。
＜構成＞
図１に例示するように、本形態の代理署名システム１は、署名管理装置（鍵生成装置）１１、ｎ個の代理署名装置１２−１〜１２−ｎ（これらはＵ（１），…，Ｕ（ｎ）に相当する）、および署名検証装置１３を有し、これらはネットワークを介して通信可能に構成されている。各装置は、例えば、ＣＰＵ（central processing unit）やＲＡＭ（random-access memory）等の汎用または専用のコンピュータに所定のプログラムが読み込まれて構成される装置である。

図２に例示するように、本形態の署名管理装置１１は、セットアップ部１１１、ランダム値生成部１１２、分散値生成部１１３、復元値生成部１１４、署名部１１４１、鍵生成部１１５、線形結合係数生成部１１６、記憶部１１７、制御部１１８、および出力部１１９を有する。署名管理装置１１は、制御部１１８の制御のもとで各処理を実行する。各部で得られた情報は記憶部１１７に格納され、必要に応じて読み出され、各部の処理に用いられる。

図３に例示するように、本形態では代理署名装置１２−１〜１２−ｎからなる集合Ｎ_ｓｅｔの部分集合Ｋ_{ｓｕｂｓｅｔ}をなすｋ個の代理署名装置１２−θ（１）〜１２−θ（ｋ）（これらはＵ（θ（１）），…，Ｕ（θ（ｋ）に相当する）に署名権限が委譲され、代理署名装置１２−θ（１）〜１２−θ（ｋ）がＳｉｇ_θ（１）〜Ｓｉｇ_θ（ｋ）（すなわち、Ｓｉｇ）を実行して署名ｓ^*を生成する。前述のように、部分集合Ｋ_{ｓｕｂｓｅｔ}の設定方法に制限はない。図４に例示するように、代理署名装置１２−θ（ｊ）（ただし、ｊ∈｛１，...，ｋ｝）は、入力部１２１−θ（ｊ）、判定部１２２−θ（ｊ）、第１処理部１２４−θ（ｊ）、第２処理部１２５−θ（ｊ）、出力部１２６−θ（ｊ）、記憶部１２７−θ（ｊ）、および制御部１２８−θ（ｊ）を有する。代理署名装置１２−θ（ｊ）は、制御部１１８の制御のもとで各処理を実行する。各部で得られた情報は記憶部１２７−θ（ｊ）に格納され、必要に応じて読み出され、各部の処理に用いられる。なお、その他の代理署名装置１２−ｚ（ただし、ｚ∈｛１，...，ｎ｝）の構成も同様である（図４のθ（ｊ）をｚに置換した構成）。

図５に例示するように、本形態の署名検証装置１３は、入力部１３１、検証情報生成部１３３、検証部１３４，１３８、出力部１３５、記憶部１３６、および制御部１３７を有する。署名検証装置１３は、制御部１３７の制御のもとで各処理を実行する。各部で得られた情報は記憶部１３６に格納され、必要に応じて読み出され、各部の処理に用いられる。

＜処理＞
次に各処理を説明する。なお、以下に示す｛β_ｉ，ι｝_{ι∈｛１，…，Ｎ（ｉ）｝}，｛λ_ｉ，ι｝_{ι∈｛１，…，Ｎ（ｉ）｝}，｛γ_{ｉ，ｊ，ι}｝_{ι∈｛１，…，Ｎ（ｉ）｝}，｛υ_ｉ，ι｝_{ι∈｛１，…，Ｎ（ｉ）｝}は、以下の関係を満たす係数β_ｉ，ι，λ_ｉ，ι，γ_{ｉ，ｊ，ι}，υ_ｉ，ι∈Ｆ_ｑの集合である。

《Ｓｅｔｕｐ》
署名管理装置１１のセットアップ部１１１は、安全係数λを入力とし、次のようにＳｅｔｕｐを実行し、ｍｐｋとｍｓｋを生成する。まず、セットアップ部１１１は、安全係数λを入力としてＧ_ｂｐｇを実行し、ランダムな双線形写像群ｐａｒａｍ_Ｇ＝（ｑ，Ｇ，Ｇ^＊，Ｇ_Ｔ，ｇ，ｇ^＊，ｅ’）←^ＲＧ_ｂｐｇ（１^λ）を得て出力する（Ｇ＝Ｇ^＊の場合には、ｐａｒａｍ_Ｇ＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ’）でもよい）。セットアップ部１１１は、ランダム値κ←^ＵＦ^× _ｑを選択し、
ｇ_Ｔ：＝ｅ（ｇ，ｇ^*）^κ …（４）
を得て出力し、さらにＳＨＡ−２等の暗号学的ハッシュ（圧縮）関数Ｈを設定する。セットアップ部１１１は、安全係数λを入力とし、通常のディジタル署名の鍵生成アルゴリズムＫｅｙＧｅｎ^Ａ（１^λ）を実行し、通常のディジタル署名鍵ｓｋ^Ａおよび検証鍵ｖｋ^Ａのペア（ｓｋ^Ａ，ｖｋ^Ａ）←^ＵＫｅｙＧｅｎ^Ａ（１^λ）を生成して出力する。

セットアップ部１１１は、ｔ＝１，...，ｄについて以下を設定する。ただし、ｄは単調スパンプログラムを構成する行列Ｍの行のサイズＬの最大値である。Ｎ（ｔ）は１以上の整数であり、例えば、Ｎ（ｔ）≧２である。

ＤＰＶＳのパラメータｐａｒａｍ_Ｖ（ｔ）：
ｐａｒａｍ_Ｖ（ｔ）：＝（ｑ，Ｖ_ｔ，Ｖ^＊ _ｔ，Ｇ_Ｔ，Ａ_ｔ，Ａ^＊ _ｔ，ｅ）：＝Ｇ_ｄｐｖｓ（１^λ，Ｎ（ｔ），ｐａｒａｍ_Ｇ）
ただし、Ｖ_ｔ，Ｖ^＊ _ｔ，Ａ_ｔ，Ａ^＊ _ｔは、Ｎ＝Ｎ（ｔ）としたＶ，Ｖ^＊，Ａ，Ａ^＊である。また、Ｇ＝Ｇ^＊の場合には、ｐａｒａｍ_Ｖ（ｔ）：＝（ｑ，Ｖ_ｔ，Ｇ_Ｔ，Ａ_ｔ，ｅ）でもよい。

行列（χ_{ｔ，ι，ζ}）_ι，ζ，（θ_{ｔ，ι，ζ}）_ι，ζ：
Ｘ_ｔ：＝（χ_{ｔ，ι，ζ}）_ι，ζ←^ＵＧＬ（Ｎ（ｔ），Ｆ_ｑ）
（θ_{ｔ，ι，ζ}）_ι，ζ：＝κ・（Ｘ_ｔ ^Ｔ）^−１ …（５）
ただし、χ_{ｔ，ι，ζ}は行列Ｘ_ｔの（ι，ζ）成分を意味する。

基底Ｂ_ｔ，Ｂ^* _ｔ：

ただし、Ａ_ｔ：＝（ａ_t,１，...，ａ_t,Ｎ）である。式（１）（２）（４）〜（７）の関係より、基底Ｂ_ｔ：＝（ｂ_ｔ，１，…，ｂ_{ｔ，Ｎ（ｔ）}）および基底Ｂ^* _ｔ：＝（ｂ^* _ｔ，１，…，ｂ^* _{ｔ，Ｎ（ｔ）}）に対し、
ｅ（ｂ_ｔ，ｖ，ｂ^* _ｔ，ｗ）＝ｇ_Ｔ ^{δ（ｖ，ｗ）} …（８）
の関係を満たす。

基底Ｂ^＾ _ｔ，Ｂ^*＾ _ｔ：

ただし、ν_{ｔ，ξ，ι}∈Ｆ_ｑは任意値（ランダム値または定数）である。例えば、ξ’∈｛１，...，Ｎ（ｔ）｝について、ξ＝ξ’のときにν_{ｔ，ξ，ξ’}＝１かつξ≠ξ’のときにν_{ｔ，ξ，ξ’}＝０とした場合、式（１０）（１１）の値ｂ^*〜 _ｔ，ξはｂ^* _ｔ，ξとなる。例えば、すべてのξ’∈｛１，...，Ｎ（ｔ）｝についてν_{ｔ，ξ，ξ’}＝０とした場合、式（１０）（１１）の値ｂ^*〜 _ｔ，ξは０となる。式（１０）からｂ^*〜 _ｔ，ξ＝０となるものを取り除いたものを

としてもよい。ただし、後述のＳｉｇ_θ（ｊ）で要素ｓ^* _ｉ，ｊを計算可能な構成である必要がある。

セットアップ部１１１は、ｍｓｋ：＝（｛Ｂ^* _ｔ｝_{ｔ∈｛１，...，ｄ｝}，ｓｋ^Ａ）、ｍｐｋ：＝（｛ｐａｒａｍ_Ｖ（ｔ），Ｂ＾_ｔ，Ｂ^*＾_ｔ｝_{ｔ∈｛１，...，ｄ｝}，ｇ_Ｔ，ｖｋ^Ａ，Ｈ）を生成して出力する。ただし、Ｂ＾_ｔ，Ｂ^*＾_ｔはそれぞれ、

を表す。マスター秘密鍵ｍｓｋは署名管理装置１１の記憶部１１７に安全に格納される。マスター公開鍵ｍｐｋは、記憶部１１７に格納される他、代理署名装置１２−１〜１２ｎおよび署名検証装置１３にも送られ、各装置で利用可能なように設定される。

《ＰＳｅｔｕｐ》
署名管理装置１１は、アルゴリズムＰＳｅｔｕｐを用いて、一般アクセス構造（単調スパンプログラム）Ｓ：＝（Ｍ，ρ）を持つ分散署名鍵を作成する。ｎ個の代理署名装置１２−１〜１２−ｎからなる集合Ｎ_ｓｅｔに対し、単調スパンプログラムＳが定められる。図６に例示するように、まず、前述の（Ｌ×Ｒ）行列ＭおよびＲ次元ベクトルＳＥ^→＝Ｍ_０（Ｒ個の任意値からなる復元ベクトル。例えば、１^→＝（１，...，１））が定められる。各代理署名装置１２−ｚは各変数ｘ_ｚ（ｚ∈｛１，...，ｎ｝）に一対一で対応付けられる。前述の入力Γ：＝（Γ_１，...，Γ_ｎ）∈｛０，１｝^ｎにおいてΓ_ｚ＝１であるような変数ｘ_ｚに対応する代理署名装置１２−ｚからなる集合が部分集合Ｋ_{ｓｕｂｓｅｔ}である。また、前述の写像ｘ_ｚ＝ρ（ｉ）（ただしｚ∈｛１，...，ｎ｝，ｉ∈｛１，…，Ｌ｝）が定められる。この写像ρ（ｉ）により、各代理署名装置１２−ｚが、行列Ｍの行Ｍ_ｉを表すインデックスｉの集合｛１，...，Ｌ｝の部分集合Ｉ（ｚ）⊆｛１，...，Ｌ｝に対応付けられる。なお、行列Ｍ、Ｒ次元ベクトルＳＥ^→、および写像ρ（ｉ）は、行Ｍ_ｉ（ただし、ｉ∈∪_{ｊ∈｛１，…，ｋ｝}Ｉ（ｊ））からなる部分行列Ｍ_ΓについてＳＥ^→＝Ｍ_０∈ｓｐａｎ＜Ｍ_Γ＞を満たすように設定される。ただし、∪_{ｊ∈｛１，…，ｋ｝}Ｉ（ｊ）は、部分集合Ｋ_{ｓｕｂｓｅｔ}に属する代理署名装置１２−（θ（ｊ））（ただし、ｊ∈｛１，...，ｋ｝）に対応する部分集合Ｉ（ｊ）の和集合である。

図７に例示するように、署名管理装置１１のランダム値生成部（任意値生成部）１１２は、Ｒ個の有限体Ｆ_ｑの元からなるＲ次元ベクトルｆ^→←^ＵＦ_ｑ ^Ｒを得て出力する（ステップＳ１１２）。次に、分散値生成部１１３は、行列Ｍ及びＲ次元ベクトルｆ^→を入力として、任意値（分散値）ｓ_ｉからなる（ｓ_１，…，ｓ_Ｌ）^Ｔ：＝Ｍ（ｆ^→）^Ｔを得て出力する（ステップＳ１１３）。また、復元値生成部１１４は、Ｒ次元ベクトルＳＥ^→およびＲ次元ベクトルｆ^→を入力として、任意値（復元値）ｓ_０：＝ＳＥ^→・ｆ^→を得て出力する（ステップＳ１１４）。ここで、ｓ_０＝Ｍ_０（ｆ^→）^Ｔ、ｓ_ｉ＝Ｍ_ｉ（ｆ^→）^Ｔ（ただし、ｉ∈｛１，…，Ｌ｝）、およびＭ_０∈ｓｐａｎ＜Ｍ_Γ＞であるため、分散値ｓ_ｉ（ただし、ｉ∈∪_{ｊ∈｛１，…，ｋ｝}Ｉ（ｊ））の線形結合は値ｓ_０である。言い換えると、

を満たす係数α_ｉ∈Ｆ_ｑからなる係数集合｛α_ｉ｝_{ｉ∈Ｉ（ｊ）}が存在する。さらに式（１３）の変形から、

を満たす係数α_ｉ∈Ｆ_ｑからなる係数集合｛α_ｉ｝_{ｉ∈Ｉ（ｊ）}が存在すると言える。

署名部１１４１は、ｔｅｘｔ、ｇ_Ｔ、ｓ_０、およびｓｋ^Ａを入力とし、ｓｋ^Ａを用いてｇ_Ｔ ^ｓ０とｔｅｘｔとのビット連結ｇ_Ｔ ^ｓ０｜ｔｅｘｔに対して通常のディジタル署名σ＝Ｓｉｇｎ^Ａ（ｓｋ^Ａ,ｇ_Ｔ ^ｓ０｜ｔｅｘｔ）を生成して出力する（ステップＳ１１４１）。

鍵生成部１１５は、基底の集合｛Ｂ^* _ｔ｝_{ｔ∈｛１，...，ｄ｝}を用い、各ｉ∈｛１，...，Ｌ｝に対して鍵

を得て出力する（ステップＳ１１５）。前述の関係（式（３））を満たすのであれば、係数β_ｉ，ιはランダム値であっても定数であってもよい。

鍵生成部１１５は、部分集合Ｉ（ｚ）（ただし、ｚ∈｛１，...，ｎ｝）に対応する鍵ｋ^* _ｉからなる鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｚ）}を鍵ｓｋ_ｚ＝｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｚ）}とし、公開情報ｐｋ_{ｐｓｅｔｕｐ}：＝（ｇ_Ｔ ^ｓ０，ｔｅｘｔ，σ，Ｓ：＝（Ｍ，ρ））とし、分散署名鍵の集合｛ｓｋ_{ｐｓｅｔｕｐ（ｚ）}｝_{ｚ∈｛１，...，ｎ｝}：＝｛（ｐｋ_{ｐｓｅｔｕｐ}，ｓｋ_ｚ）｝_{ｚ∈｛１，...，ｎ｝}を得て出力する。各鍵ｓｋ_ｚ＝｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｚ）}は、それぞれに対応する代理署名装置１２−ｚ（ただし、ｚ∈｛１，...，ｎ｝）へ安全に送られ、それぞれの記憶部１２７−ｚに格納される。ｐｋ_{ｐｓｅｔｕｐ}は、各代理署名装置１２−ｚ（ただし、ｚ∈｛１，...，ｎ｝）および署名検証装置１３に送られ、各装置が利用可能なように設定される。

≪Ｓｉｇ≫
次に、ｋ個の代理署名装置１２−θ（１）〜１２−θ（ｋ）∈Ｋ_{ｓｕｂｓｅｔ}がＳｉｇ_θ（１）〜Ｓｉｇ_θ（ｋ）（すなわち、Ｓｉｇ）を実行して署名ｓ^*を生成する処理を説明する（図３）。

まず、署名管理装置１１の線形結合係数生成部１１６が、部分集合Ｋ_{ｓｕｂｓｅｔ}および公開情報ｐｋ_{ｐｓｅｔｕｐ}を入力とし、式（１３）（すなわち、式（１４））を満たす係数集合｛α_ｉ｝_{ｉ∈Ｉ（ｊ）}を生成して出力する。各係数集合｛α_ｉ｝_{ｉ∈Ｉ（ｊ）}は、例えば、対応する代理署名装置１２−θ（ｊ）に送られ、記憶部１２７−θ（ｊ）に安全に格納される。或いは、すべての係数集合｛α_ｉ｝_{ｉ∈Ｉ（ｊ）}が代理署名装置１２−θ（ｊ）（ただし、ｊ∈｛１，...，ｋ｝）に送られて共有され、すべての記憶部１２７−θ（ｊ）（ただし、ｊ∈｛１，...，ｋ｝）に格納されてもよい。

その後、代理署名装置１２−θ（１），...，代理署名装置１２−θ（ｋ）の順に、それぞれがＳｉｇ_θ（１），...，Ｓｉｇ_θ（ｋ）を実行する。
図８に例示するように、Ｓｉｇ_θ（ｊ）では、代理署名装置１２−θ（ｊ）（ただし、ｊ∈｛１，...，ｋ｝）の入力部１２１−θ（ｊ）に、署名対象の文書ｍと代理署名装置１２−θ（ｊ−１）から出力された代理署名情報｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}が入力される（ステップＳ１２１−θ（ｊ−１））。ただし、ｊ＝１の場合の代理署名情報｛ｓ^* _ｉ，０｝_{ｉ∈｛１，…，Ｌ｝}は、初期設定された

の集合である。前述の関係（式（３））を満たすのであれば、係数λ_ｉ，ιはランダム値であっても定数であってもよい。例えば、ｓ^* _ｉ，０：＝０である。

制御部１２８−θ（ｊ）は、ｉを１に設定する（ｉ：＝１）（ステップＳ１２８ａ−θ（ｊ））。次に、判定部１２２−θ（ｊ）が文書ｍおよび要素ｓ^* _{ｉ，ｊ−１}を入力とし、ｓ^* _{ｉ，ｊ−１}∈Ｉ（ｊ）であるかを判定する（ステップＳ１２２−θ（ｊ））。ｉ∈Ｉ（ｊ）である場合、判定部１２２−θ（ｊ）は、文書ｍおよび要素ｓ^* _{ｉ，ｊ−１}を第１処理部１２４−θ（ｊ）に送り、ｉ∈Ｉ（ｊ）ではないｉ∈｛１，…，Ｌ｝である場合、判定部１２２−θ（ｊ）は、文書ｍおよび要素ｓ^* _{ｉ，ｊ−１}を第２処理部１２５−θ（ｊ）に送る。

第１処理部１２４−θ（ｊ）は、記憶部１２７−θ（ｊ）から係数α_ｉおよび鍵ｋ^* _ｉを抽出し、マスター公開鍵ｍｐｋと送られた要素ｓ^* _{ｉ，ｊ−１}を用い、要素ｓ^* _ｉ，ｊ：＝ｓ^* _{ｉ，ｊ−１}＋α_ｉｋ^* _ｉ＋γ_{ｉ，ｊ，１}ｂ^* _ｉ，１＋γ_{ｉ，ｊ，２}ｂ^* _ｉ，２＋…＋γ_{ｉ，ｊ，Ｎ（ｉ）}ｂ^* _{ｉ，Ｎ（ｉ）}（ただし、ｉ∈Ｉ（ｊ））を得、文書ｍおよび要素ｓ^* _ｉ，ｊを出力する。｛γ_{ｉ，ｊ，ι}｝_{ι∈｛１，…，Ｎ（ｉ）｝}は、文書ｍ（署名対象）に対応する情報Ｍｅｓを要素に含む第１集合に対応する係数集合である。文書ｍに対応する情報Ｍｅｓの例は、例えばハッシュ値Ｈ（ｍ｜ｔｅｘｔ）である。前述の関係（式（３））を満たすのであれば、係数γ_{ｉ，ｊ，ι}はランダム値であっても定数であっても、ランダム値または定数と情報Ｍｅｓやマスター公開鍵ｍｐｋとによって定まる値でもよい（ステップＳ１２４−θ（ｊ））。

一方、第２処理部１２５−θ（ｊ）は、マスター公開鍵ｍｐｋと送られた要素ｓ^* _{ｉ，ｊ−１}を用い、要素ｓ^* _ｉ，ｊ：＝ｓ^* _{ｉ，ｊ−１}＋γ_{ｉ，ｊ，１}ｂ^* _ｉ，１＋γ_{ｉ，ｊ，２}ｂ^* _ｉ，２＋…＋γ_{ｉ，ｊ，Ｎ（ｉ）}ｂ^* _{ｉ，Ｎ（ｉ）}（ただし、ｉ∈Ｉ（ｊ）ではないｉ∈｛１，…，Ｌ｝）を得、文書ｍおよび要素ｓ^* _ｉ，ｊを出力する（ステップＳ１２５−θ（ｊ））。

制御部１２８−θ（ｊ）は、ｉ＝Ｌであるかを判定する（Ｓ１２８ｂ−θ（ｊ））。ｉ≠Ｌであれば、制御部１２８−θ（ｊ）はｉ＋１を新たなｉとし（ｉ：＝ｉ＋１）、処理をステップＳ１２２−θ（ｊ）に戻す（ステップＳ１２８ｃ−θ（ｊ））。一方、ｉ＝Ｌであれば、出力部１２６−θ（ｊ）は、ｉ∈｛１，...，Ｌ｝についての要素ｓ^* _ｉ，ｊの集合を代理署名情報｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}とし、文書ｍおよび代理署名情報｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}を出力する。

１≦ｊ＜ｋである場合、代理署名装置１２−θ（ｊ）から出力された文書ｍおよび代理署名情報｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}は、次の代理署名装置１２−θ（ｊ＋１）の入力部１２１−θ（ｊ＋１）に入力される。ｊ＝ｋである場合、代理署名装置１２−θ（ｋ）の出力部１２６−θ（ｋ）は、｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}を署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}とし、文書ｍおよび署名ｓ^*＝（｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}，ｇ_Ｔ ^ｓ０，ｔｅｘｔ，σ）を出力する。

《Ｖｅｒ》
次に、署名検証装置１３による署名ｓ^*の検証処理を説明する。
図９に例示するように、署名検証装置１３の入力部１２１−θ（ｊ）に文書ｍおよび署名ｓ^*が入力される（ステップＳ１３１）。文書ｍおよびｔｅｘｔは検証情報生成部１３３に送られ、署名ｓ^*の｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}およびｇ_Ｔ ^ｓ０は検証部１３４に送られ、ディジタル署名σ、ｇ_Ｔ ^ｓ０およびｔｅｘｔは検証部１３８に送られる。

検証情報生成部１３３は、文書ｍおよびｔｅｘｔを入力とし、文書ｍ（署名対象）に対応する情報Ｍｅｓ（例えばハッシュ値Ｈ（ｍ｜ｔｅｘｔ））を要素に含む第２集合に対応する係数集合｛υ_ｉ，ι｝_{ι∈｛１，…，Ｎ（ｉ）｝}からｃ_ｉ：＝υ_ｉ，１ｂ_ｉ，１＋…＋υ_{ｉ，Ｎ（ｉ）}ｂ_{ｉ，Ｎ（ｉ）}（ただし、ｉ∈｛１，…，Ｌ｝）を得る。検証情報生成部１３３はｃ_ｉの集合である検証情報｛ｃ_ｉ｝_{ｉ∈｛１，…，Ｌ｝}を出力する。前述の関係（式（３））を満たすのであれば、係数υ_ｉ，ιはランダム値であっても定数であっても、ランダム値または定数と情報Ｍｅｓやマスター公開鍵ｍｐｋとによって定まる値でもよい（ステップＳ１３３）。

検証部１３４は、検証情報｛ｃ_ｉ｝_{ｉ∈｛１，…，Ｌ｝}、｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}およびｇ_Ｔ ^ｓ０を入力とし、

を満たすかを判定する（ステップＳ１３４）。式（１６）の関係を満たさない場合、出力部１３５は０（不合格を意味する）を出力する（ステップＳ１３５ｂ）。

一方、式（１６）の関係を満たす場合、検証部１３８は、ディジタル署名σ、ｇ_Ｔ ^ｓ０およびｔｅｘｔを入力とし、マスター公開鍵ｍｐｋの検証鍵ｖｋ^Ａを用い、ディジタル署名σの検証Ｖｅｒ^Ａ（ｖｋ^Ａ,σ,ｇ_Ｔ ^ｓ０｜ｔｅｘｔ）を行う（ステップＳ１３８）。この検証が合格Ｖｅｒ^Ａ（ｖｋ^Ａ,σ,ｇ_Ｔ ^ｓ０｜ｔｅｘｔ）＝１であれば、出力部１３５は１（合格を意味する）を出力する（ステップＳ１３５ａ）。この検証が不合格Ｖｅｒ^Ａ（ｖｋ^Ａ,σ,ｇ_Ｔ ^ｓ０｜ｔｅｘｔ）≠１であれば、出力部１３５は０（不合格を意味する）を出力する（ステップＳ１３５ｂ）。

＜正しく生成された署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}が式（１６）を満たす理由＞
以下に正しく生成された署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}が式（１６）を満たす理由を説明する。
式（１６）を変形すると以下のようになる。

上述した式（８）の関係から、式（１７）は以下のように変形できる。

式（３）（１４）の関係より、式（１８）は以下のように変形できる。

［第２実施形態］
第２実施形態では、より具体的な方式を説明する。すなわち、第２実施形態では、Ｎ（ｉ）＝８であり、β_ｉ，１＝β_ｉ，３＝β_ｉ，４＝β_ｉ，５＝β_ｉ，６＝β_ｉ，８＝０、β_ｉ，２＝ｓ’_ｉ、β_ｉ，７＝φ_ｉであり、φ_ｉがランダム値であり、

を満たす。また、ｓ^* _ｉ，０＝０であり、γ_{ｉ，ｊ，１}＝ｒ_ｉ，ｊπ、γ_{ｉ，ｊ，２}＝ｒ’_ｉ，ｊ、γ_{ｉ，ｊ，３}＝τ_ｉ，ｊ、γ_{ｉ，ｊ，４}＝τ_ｉ，ｊＭｅｓ、γ_{ｉ，ｊ，７}＝ｒ_ｉ，ｊφ^〜 _ｉ，１＋ｒ^* _ｉ、γ_{ｉ，ｊ，５}＝γ_{ｉ，ｊ，６}＝γ_{ｉ，ｊ，８}＝０であり、π，τ_ｉ，ｊ，φ^〜 _ｉ，１，ｒ^* _ｉ，ｒ_ｉ，ｊ，ｒ’_ｉ，ｊがランダム値であり、ｒ_１，ｊ＋…＋ｒ_Ｌ，ｊ＝０およびｒ’_１，ｊ＋…＋ｒ’_Ｌ，ｊ＝０を満たす。さらに、υ_ｉ，１＝１、υ_ｉ，２＝υ、υ_ｉ，３＝τ’_ｉＭｅｓ、υ_ｉ，４＝−τ’_ｉ、υ_ｉ，８＝η_ｉ、υ_ｉ，５＝υ_ｉ，６＝υ_ｉ，７＝０であり、τ’_ｉ，η_ｉがランダム値であり、υが任意値である。
以下では、第１実施形態との相違点を中心に説明し、共通する事項については同一の参照番号を引用して説明を省略する。

＜構成＞
図１に例示するように、本形態の代理署名システム２は、署名管理装置（鍵生成装置）２１、ｎ個の代理署名装置２２−１〜２２−ｎ（これらはＵ（１），…，Ｕ（ｎ）に相当する）、および署名検証装置２３を有し、これらはネットワークを介して通信可能に構成されている。各装置は、例えば、汎用または専用のコンピュータに所定のプログラムが読み込まれて構成される装置である。

図２に例示するように、本形態の署名管理装置２１は、セットアップ部２１１、ランダム値生成部１１２，２１２、分散値生成部１１３，２１３、復元値生成部１１４、署名部１１４１、鍵生成部２１５、線形結合係数生成部１１６、記憶部１１７、制御部１１８、および出力部１１９を有する。

図３に例示するように、本形態では代理署名装置２２−１〜２２−ｎからなる集合Ｎ_ｓｅｔの部分集合Ｋ_{ｓｕｂｓｅｔ}をなすｋ個の代理署名装置２２−θ（１）〜２２−θ（ｋ）（これらはＵ（θ（１）），…，Ｕ（θ（ｋ）に相当する）に署名権限が委譲され、代理署名装置２２−θ（１）〜２２−θ（ｋ）がＳｉｇ_θ（１）〜Ｓｉｇ_θ（ｋ）（すなわち、Ｓｉｇ）を実行して署名ｓ^*を生成する。前述のように、部分集合Ｋ_{ｓｕｂｓｅｔ}の設定方法に制限はない。図４に例示するように、代理署名装置２２−θ（ｊ）（ただし、ｊ∈｛１，...，ｋ｝）は、入力部１２１−θ（ｊ）、判定部１２２−θ（ｊ）、第１処理部２２４−θ（ｊ）、第２処理部２２５−θ（ｊ）、出力部１２６−θ（ｊ）、記憶部１２７−θ（ｊ）、制御部１２８−θ（ｊ）、およびランダム値生成部２２３−θ（ｊ）を有する。なお、その他の代理署名装置２２−ｚ（ただし、ｚ∈｛１，...，ｎ｝）の構成も同様である（図４のθ（ｊ）をｚに置換した構成）。

図５に例示するように、本形態の署名検証装置２３は、入力部１３１、検証情報生成部２３３、検証部１３４，１３８、出力部１３５、記憶部１３６、制御部１３７、およびランダム値生成部２３２を有する。

＜処理＞
次に各処理を説明する。
《Ｓｅｔｕｐ》
署名管理装置２１のセットアップ部２１１は、第１実施形態で説明したように、ｐａｒａｍ_Ｇ、ｇ_Ｔ、Ｈ、（ｓｋ^Ａ，ｖｋ^Ａ）を生成して出力する。

セットアップ部１１１は、ｔ＝１，...，ｄについて以下を設定する。ただし、ｄは単調スパンプログラムを構成する行列Ｍの行のサイズＬの最大値である。

ＤＰＶＳのパラメータｐａｒａｍ_Ｖ（ｔ）：
ｐａｒａｍ_Ｖ（ｔ）：＝（ｑ，Ｖ_ｔ，Ｖ^＊ _ｔ，Ｇ_Ｔ，Ａ_ｔ，Ａ^＊ _ｔ，ｅ）：＝Ｇ_ｄｐｖｓ（１^λ，８，ｐａｒａｍ_Ｇ）
ただし、Ｇ＝Ｇ^＊の場合には、ｐａｒａｍ_Ｖ（ｔ）：＝（ｑ，Ｖ_ｔ，Ｇ_Ｔ，Ａ_ｔ，ｅ）でもよい。

行列（χ_{ｔ，ι，ζ}）_ι，ζ，（θ_{ｔ，ι，ζ}）_ι，ζ：
Ｘ_ｔ：＝（χ_{ｔ，ι，ζ}）_ι，ζ←^ＵＧＬ（８，Ｆ_ｑ）
（θ_{ｔ，ι，ζ}）_ι，ζ：＝κ・（Ｘ_ｔ ^Ｔ）^−１

基底Ｂ_ｔ，Ｂ^* _ｔ：

基底Ｂ^＾ _ｔ，Ｂ^*＾ _ｔ：

セットアップ部２１１は、ｍｓｋ：＝（｛Ｂ^* _ｔ｝_{ｔ∈｛１，...，ｄ｝}，ｓｋ^Ａ）、ｍｐｋ：＝（｛ｐａｒａｍ_Ｖ（ｔ），Ｂ＾_ｔ，Ｂ^*＾_ｔ｝_{ｔ∈｛１，...，ｄ｝}，ｇ_Ｔ，ｖｋ^Ａ，Ｈ）を生成して出力する。マスター秘密鍵ｍｓｋは署名管理装置２１の記憶部１１７に安全に格納される。マスター公開鍵ｍｐｋは、記憶部１１７に格納される他、代理署名装置２２−１〜２２ｎおよび署名検証装置２３にも送られ、各装置で利用可能なように設定される。

《ＰＳｅｔｕｐ》
署名管理装置２１は、第１実施形態で説明したように、アルゴリズムＰＳｅｔｕｐを用いて、一般アクセス構造（単調スパンプログラム）Ｓ：＝（Ｍ，ρ）をもつ分散署名鍵を作成する（図６）。

図７に例示するように、署名管理装置２１は、第１実施形態で説明したようにステップＳ１１２〜Ｓ１１４、およびＳ１１４１の処理を実行する。その後、署名管理装置２１のランダム値生成部２１２は、Ｒ個の有限体Ｆ_ｑの元からなり、０：＝ＳＥ^→・ｆ’^→（ただし、ＳＥ^→＝Ｍ_０）となるＲ次元ベクトルｆ’^→←^ＵＦ_ｑ ^Ｒを得て出力する（ステップＳ２１２）。次に、分散値生成部２１３は、行列Ｍ及びＲ次元ベクトルｆ’^→を入力として、任意値（分散値）ｓ’_ｉからなる（ｓ’_１，…，ｓ’_Ｌ）^Ｔ：＝Ｍ・（ｆ’^→）^Ｔを得て出力する（ステップＳ２１３）。ここで、０＝Ｍ_０（ｆ^→）^Ｔ、ｓ’_ｉ＝Ｍ_ｉ（ｆ’^→）^Ｔ（ただし、ｉ∈｛１，…，Ｌ｝）、およびＭ_０∈ｓｐａｎ＜Ｍ_Γ＞であるため、分散値ｓ’_ｉ（ただし、ｉ∈∪_{ｊ∈｛１，…，ｋ｝}Ｉ（ｊ））の線形結合は０である。言い換えると、第１実施形態で説明したα_ｉ∈Ｆ_ｑに対して

を満たす。

署名部１１４１は、第１実施形態で説明したステップＳ１１４１の処理を実行し、鍵生成部２１５は、基底の集合｛Ｂ^* _ｔ｝_{ｔ∈｛１，...，ｄ｝}を用い、各ｉ∈｛１，...，Ｌ｝に対して鍵

を得て出力する（ステップＳ２１５）。

鍵生成部２１５は、部分集合Ｉ（ｚ）（ただし、ｚ∈｛１，...，ｎ｝）に対応する鍵ｋ^* _ｉからなる鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｚ）}を鍵ｓｋ_ｚ＝｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｚ）}とし、公開情報ｐｋ_{ｐｓｅｔｕｐ}：＝（ｇ_Ｔ ^ｓ０，ｔｅｘｔ，σ，Ｓ：＝（Ｍ，ρ））とし、分散署名鍵の集合｛ｓｋ_{ｐｓｅｔｕｐ（ｚ）}｝_{ｚ∈｛１，...，ｎ｝}：＝｛（ｐｋ_{ｐｓｅｔｕｐ}，ｓｋ_ｚ）｝_{ｚ∈｛１，...，ｎ｝}を得て出力する。各鍵ｓｋ_ｚ＝｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｚ）}は、それぞれに対応する代理署名装置２２−ｚ（ただし、ｚ∈｛１，...，ｎ｝）へ安全に送られ、それぞれの記憶部１２７−ｚに格納される。ｐｋ_{ｐｓｅｔｕｐ}は、各代理署名装置２２−ｚ（ただし、ｚ∈｛１，...，ｎ｝）および署名検証装置２３に送られ、各装置が利用可能なように設定される。

≪Ｓｉｇ≫
次に、ｋ個の代理署名装置２２−θ（１）〜２２−θ（ｋ）∈Ｋ_{ｓｕｂｓｅｔ}がＳｉｇ_θ（１）〜Ｓｉｇ_θ（ｋ）（すなわち、Ｓｉｇ）を実行して署名ｓ^*を生成する処理を説明する（図３）。

まず、署名管理装置２１の線形結合係数生成部１１６が、第１実施形態で説明した係数集合｛α_ｉ｝_{ｉ∈Ｉ（ｊ）}を生成して出力する。各係数集合｛α_ｉ｝_{ｉ∈Ｉ（ｊ）}は、例えば、対応する代理署名装置２２−θ（ｊ）に送られ、記憶部１２７−θ（ｊ）に安全に格納される。或いは、すべての係数集合｛α_ｉ｝_{ｉ∈Ｉ（ｊ）}が代理署名装置２２−θ（ｊ）（ただし、ｊ∈｛１，...，ｋ｝）に送られて共有され、すべての記憶部１２７−θ（ｊ）（ただし、ｊ∈｛１，...，ｋ｝）に格納されてもよい。

その後、代理署名装置２２−θ（１），...，代理署名装置２２−θ（ｋ）の順に、それぞれがＳｉｇ_θ（１），...，Ｓｉｇ_θ（ｋ）を実行する。
図８に例示するように、Ｓｉｇ_θ（ｊ）では、代理署名装置２２−θ（ｊ）（ただし、ｊ∈｛１，...，ｋ｝）の入力部１２１−θ（ｊ）に、署名対象の文書ｍと代理署名装置２２−θ（ｊ−１）から出力された代理署名情報｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}が入力される（ステップＳ１２１−θ（ｊ−１））。ただし、ｊ＝１の場合の代理署名情報｛ｓ^* _ｉ，０｝_{ｉ∈｛１，…，Ｌ｝}は、初期設定されたｓ^* _ｉ，０：＝０の集合である。

ランダム値生成部２２３−θ（ｊ）は、ｒ_１，ｊ＋…＋ｒ_Ｌ，ｊ＝０の関係を満たすランダム値（ｒ_ｉ，ｊ）_{ｉ∈｛１，...，Ｌ｝}←^ＵＦ_ｑ ^Ｌおよびｒ’_１，ｊ＋…＋ｒ’_Ｌ，ｊ＝０を満たすランダム値（ｒ’_ｉ，ｊ）_{ｉ∈｛１，...，Ｌ｝}←^ＵＦ_ｑ ^Ｌを得て出力する（ステップＳ２２３ａ−θ（ｊ））。

ランダム値生成部２２３−θ（ｊ）は、さらに、ランダム値（τ_ｉ，ｊ）_{ｉ∈｛１，...，Ｌ｝}←^ＵＦ_ｑ ^Ｌおよび（ｒ^* _ｉ，ｊ）_{ｉ∈｛１，...，Ｌ｝}←^ＵＦ_ｑ ^Ｌを得て出力する（ステップＳ２２３ｂ−θ（ｊ））。

制御部１２８−θ（ｊ）は、ｉを１に設定する（ｉ：＝１）（ステップＳ１２８ａ−θ（ｊ））。次に、判定部１２２−θ（ｊ）が文書ｍおよび要素ｓ^* _{ｉ，ｊ−１}を入力とし、ｓ^* _{ｉ，ｊ−１}∈Ｉ（ｊ）であるかを判定する（ステップＳ１２２−θ（ｊ））。ｉ∈Ｉ（ｊ）である場合、判定部１２２−θ（ｊ）は、文書ｍおよび要素ｓ^* _{ｉ，ｊ−１}を第１処理部２２４−θ（ｊ）に送り、ｉ∈Ｉ（ｊ）ではないｉ∈｛１，…，Ｌ｝である場合、判定部１２２−θ（ｊ）は、文書ｍおよび要素ｓ^* _{ｉ，ｊ−１}を第２処理部２２５−θ（ｊ）に送る。

第１処理部１２４−θ（ｊ）は、記憶部１２７−θ（ｊ）から係数α_ｉおよび鍵ｋ^* _ｉを抽出し、マスター公開鍵ｍｐｋと送られた要素ｓ^* _{ｉ，ｊ−１}とランダム値ｒ_ｉ，ｊ，ｒ’_ｉ，ｊ，τ_ｉ，ｊ，ｒ^* _ｉ，ｊを用い、要素

（ただし、ｉ∈Ｉ（ｊ））を得、文書ｍおよび要素ｓ^* _ｉ，ｊを出力する（ステップＳ２２４−θ（ｊ））。

一方、第２処理部２２５−θ（ｊ）は、マスター公開鍵ｍｐｋと送られた要素ｓ^* _{ｉ，ｊ−１}とランダム値ｒ_ｉ，ｊ，ｒ’_ｉ，ｊ，τ_ｉ，ｊ，ｒ^* _ｉ，ｊを用い、要素

（ただし、ｉ∈Ｉ（ｊ）ではないｉ∈｛１，…，Ｌ｝）を得、文書ｍおよび要素ｓ^* _ｉ，ｊを出力する（ステップＳ２２５−θ（ｊ））。

制御部１２８−θ（ｊ）は、ｉ＝Ｌであるかを判定する（Ｓ１２８ｂ−θ（ｊ））。ｉ≠Ｌであれば、制御部１２８−θ（ｊ）はｉ＋１を新たなｉとし（ｉ：＝ｉ＋１）、処理をステップＳ１２２−θ（ｊ）に戻す（ステップＳ１２８ｃ−θ（ｊ））。一方、ｉ＝Ｌであれば、出力部１２６−θ（ｊ）は、ｉ∈｛１，...，Ｌ｝についての要素ｓ^* _ｉ，ｊの集合を代理署名情報｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}とし、文書ｍおよび代理署名情報｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}を出力する。

１≦ｊ＜ｋである場合、代理署名装置２２−θ（ｊ）から出力された文書ｍおよび代理署名情報｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}は、次の代理署名装置２２−θ（ｊ＋１）の入力部１２１−θ（ｊ＋１）に入力される。ｊ＝ｋである場合、代理署名装置２２−θ（ｋ）の出力部１２６−θ（ｋ）は、｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}を署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}とし、文書ｍおよび署名ｓ^*＝（｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}，ｇ_Ｔ ^ｓ０，ｔｅｘｔ，σ）を出力する。

《Ｖｅｒ》
次に、署名検証装置２３による署名ｓ^*の検証処理を説明する。
図９に例示するように、署名検証装置２３の入力部１２１−θ（ｊ）に文書ｍおよび署名ｓ^*が入力される（ステップＳ１３１）。文書ｍおよびｔｅｘｔは検証情報生成部２３３に送られ、署名ｓ^*の｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}およびｇ_Ｔ ^ｓ０は検証部１３４に送られ、ディジタル署名σ、ｇ_Ｔ ^ｓ０およびｔｅｘｔは検証部１３８に送られる。

ランダム値生成部２３２は、ランダム値（η_ｉ）_{ｉ∈｛１，…，Ｌ｝}←^ＵＦ_ｑ ^Ｌおよび（τ’_ｉ）_{ｉ∈｛１，…，Ｌ｝}←^ＵＦ_ｑ ^Ｌを得て出力する（ステップＳ２３２）。検証情報生成部２３３は、文書ｍ、ｔｅｘｔ、ランダム値（η_ｉ）_{ｉ∈｛１，…，Ｌ}および（τ’_ｉ）_{ｉ∈｛１，…，Ｌ｝}を入力とし、υを任意値（定数またはランダム値）υ∈Ｆ_ｑとし、ｉ∈｛１，…，Ｌ｝について

を得る。検証情報生成部２３３はｃ_ｉの集合である検証情報｛ｃ_ｉ｝_{ｉ∈｛１，…，Ｌ｝}を出力する（ステップＳ２３３）。以降の処理は第１実施形態と同じである。

＜正しく生成された署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}が式（１６）を満たす理由＞
本形態の場合、式（１６）を変形すると以下のようになる。

式（１４）（２１）の関係、（ｒ_ｉ，ｊ）_{ｉ∈｛１，...，Ｌ｝}および（ｒ’_ｉ，ｊ）_{ｉ∈｛１，...，Ｌ｝}がｒ_１，ｊ＋…＋ｒ_Ｌ，ｊ＝０およびｒ’_１，ｊ＋…＋ｒ’_Ｌ，ｊ＝０の関係を満たすことから、式（２２）は以下のように変形できる。

［変形例等］
なお、本発明は上述の実施の形態に限定されるものではない。例えば、各装置がネットワークを通じて情報をやり取りするのではなく、少なくとも一部の組の装置が可搬型記録媒体を介して情報をやり取りしてもよい。或いは、少なくとも一部の組の装置が非可搬型の記録媒体を介して情報をやり取りしてもよい。すなわち、これらの装置の一部からなる組み合わせが、同一の装置であってもよい。例えば、複数個の代理署名装置が同一のコンピュータ上に実装されてもよいし、少なくとも一部の代理署名装置と署名検証装置とが同一のコンピュータ上に実装されてもよい。

また、上述したランダム値に代えて定数等の任意値が用いられてもよい。また、安全性の観点から有限体Ｆ_ｑの位数と群Ｇ，Ｇ^*，Ｇ_Ｔの位数とが同一であることが好ましいが、これらの位数が互いに異なっていてもよい。また、安全性の観点から位数は素数であることが好ましいが、位数が素数以外の正の整数であってもよい。また、通常のディジタル署名を用いない構成であってもよい。有限体に代えて有限環を用いてもよい。また、署名管理装置１１が係数集合｛α_ｉ｝_{ｉ∈Ｉ（ｊ）}を生成するのではなく、何れかの代理署名装置、署名検証装置、その他の装置が係数集合｛α_ｉ｝_{ｉ∈Ｉ（ｊ）}を生成してもよい。

また、第１実施形態において、ν_{ｉ，１，１}が０以外のランダム値であり、ν_{ｉ，１，２}，…，ν_{ｉ，１，Ｎ（ｉ）}が任意値であり、｛ｂ^〜* _ｉ，１｝_{ｉ∈Ｉ（ｊ）}がｂ^〜* _ｉ，１：＝ν_{ｉ，１，１}ｂ^* _ｉ，１＋ν_{ｉ，１，２}ｂ^* _ｉ，２＋…＋ν_{ｉ，１，Ｎ（ｉ）}ｂ^* _{ｉ，１，Ｎ（ｉ）}の集合であり、ｂ^* _ｉ，１は秘匿されており、第１処理部１２４−θ（ｊ）と第２処理部１２５−θ（ｊ）は、｛ｂ_ｉ，２，…，ｂ_{ｉ，Ｎ（ｉ）}｝_{ｉ∈Ｉ（ｊ）}の少なくとも一部と集合｛ｂ^〜* _ｉ，１｝_{ｉ∈Ｉ（ｊ）}とを用いて要素ｓ^* _ｉ，ｊを得てもよい。これにより、少なくともｂ^* _ｉ，１が秘匿されるため、安全性が向上する。

上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。例えば、第２実施形態のステップＳ２２３ｂ−θ（ｊ）に代えて、ステップＳ１２２−θ（ｊ）とステップＳ２２４−θ（ｊ），Ｓ２２５−θ（ｊ）との間にτ_ｉ，ｊおよびｒ^* _ｉ，ｊを得てもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

上記実施形態では、ＣＰＵ等のハードウェアプロセッサやＲＡＭ等のメモリを有するコンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

１，２ 代理署名システム
１１，２１ 署名管理装置（鍵生成装置）
１２−１〜１２−ｎ，２２−１〜２２−ｎ 代理署名装置
１３，２３ 署名検証装置

Claims (13)

1. Ｌが１以上の整数であり、ｋが１以上の整数であり、ｊ∈｛１，…，ｋ｝であり、Ｉ（ｊ）が｛１，…，Ｌ｝の部分集合であり、｛ｓ_ｉ｝_{ｉ∈｛１，…，Ｌ｝}が任意値ｓ_ｉの集合であり、前記部分集合Ｉ（ｊ）の和集合∪_{ｊ∈｛１，…，ｋ｝}Ｉ（ｊ）に対応する前記任意値ｓ_ｉの線形結合が値ｓ_０であり、鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｊ）}が前記任意値ｓ_ｉに対応する鍵ｋ^* _ｉの集合であり、｛ｓ^* _ｉ，０｝_{ｉ∈｛１，…，Ｌ｝}が初期設定されており、
   ｉ∈Ｉ（ｊ）について、入力された代理署名情報｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}の要素ｓ^* _{ｉ，ｊ−１}と前記鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｊ）}とを用い、署名対象に対応する要素ｓ^* _ｉ，ｊを得る第１処理部と、
   ｉ∈Ｉ（ｊ）ではないｉ∈｛１，…，Ｌ｝について、前記代理署名情報｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}の要素ｓ^* _{ｉ，ｊ−１}を用い、前記署名対象に対応する要素ｓ^* _ｉ，ｊを得る第２処理部と、を有し、
   前記要素ｓ^* _ｉ，ｊの集合を代理署名情報｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}とする、代理署名装置。
2. Ｌが１以上の整数であり、ｋが１以上の整数であり、ｊ∈｛１，…，ｋ｝であり、Ｉ（ｊ）が｛１，…，Ｌ｝の部分集合Ｉ（ｊ）であり、｛ｓ_ｉ｝_{ｉ∈｛１，…，Ｌ｝}が任意値ｓ_ｉの集合であり、｛α_ｉ｝_{ｉ∈Ｉ（ｊ）}が係数α_ｉの集合であり、ｓ_０が
   

   

   
   を満たす値であり、ｅが双線形写像であり、ｖ＝ｗならばδ（ｖ，ｗ）＝１であり、ｖ≠ｗならばδ（ｖ，ｗ）＝０であり、基底（ｂ_ｉ，１，…，ｂ_{ｉ，Ｎ（ｉ）}）および基底（ｂ^* _ｉ，１，…，ｂ^* _{ｉ，Ｎ（ｉ）}）に対し、ｅ（ｂ_ｉ，ｖ，ｂ^* _ｉ，ｗ）＝ｇ_Ｔ ^{δ（ｖ，ｗ）}を満たし、Ｎ（ｉ）が１以上の整数であり、｛β_ｉ，ι｝_{ι∈｛１，…，Ｎ（ｉ）｝}が係数β_ｉ，ιの集合であり、鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｊ）}が鍵ｋ^* _ｉ：＝（ｓ_ｉ＋β_ｉ，１）ｂ^* _ｉ，１＋β_ｉ，２ｂ^* _ｉ，２＋…＋β_{ｉ，Ｎ（ｉ）}ｂ^* _{ｉ，Ｎ（ｉ）}の集合であり、｛λ_ｉ，ι｝_{ι∈｛１，…，Ｎ（ｉ）｝}が係数λ_ｉ，ιの集合であり、ｓ^* _ｉ，０：＝λ_ｉ，１ｂ^* _ｉ，１＋λ_ｉ，２ｂ^* _ｉ，２＋…＋λ_{ｉ，Ｎ（ｉ）}ｂ^* _{ｉ，Ｎ（ｉ）}であり、｛γ_{ｉ，ｊ，ι}｝_{ι∈｛１，…，Ｎ（ｉ）｝}が、署名対象に対応する情報を要素に含む第１集合に対応する係数集合であり、
   ｉ∈Ｉ（ｊ）について、入力された代理署名情報｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}に対して要素ｓ^* _ｉ，ｊ：＝ｓ^* _{ｉ，ｊ−１}＋α_ｉｋ^* _ｉ＋γ_{ｉ，ｊ，１}ｂ^* _ｉ，１＋γ_{ｉ，ｊ，２}ｂ^* _ｉ，２＋…＋γ_{ｉ，ｊ，Ｎ（ｉ）}ｂ^* _{ｉ，Ｎ（ｉ）}を得る第１処理部と、
   ｉ∈Ｉ（ｊ）ではないｉ∈｛１，…，Ｌ｝について、入力された代理署名情報｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}に対して要素ｓ^* _ｉ，ｊ：＝ｓ^* _{ｉ，ｊ−１}＋γ_{ｉ，ｊ，１}ｂ^* _ｉ，１＋γ_{ｉ，ｊ，２}ｂ^* _ｉ，２＋…＋γ_{ｉ，ｊ，Ｎ（ｉ）}ｂ^* _{ｉ，Ｎ（ｉ）}を得る第２処理部と、を有し、
   前記要素ｓ^* _ｉ，ｊの集合を代理署名情報｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}とする、代理署名情報生成部と、
   を有する代理署名装置。
3. 請求項２の代理署名装置であって、
   前記署名対象に対応する情報を要素に含む第２集合に対応する係数集合｛υ_ｉ，ι｝_{ι∈｛１，…，Ｎ（ｉ）｝}に対して
   

   

   
   の関係を満たす代理署名装置。
4. 請求項２または３の代理署名装置であって、
   ν_{ｉ，１，１}が０以外のランダム値であり、ν_{ｉ，１，２}，…，ν_{ｉ，１，Ｎ（ｉ）}が任意値であり、｛ｂ^〜* _ｉ，１｝_{ｉ∈Ｉ（ｊ）}がｂ^〜* _ｉ，１：＝ν_{ｉ，１，１}ｂ^* _ｉ，１＋ν_{ｉ，１，２}ｂ^* _ｉ，２＋…＋ν_{ｉ，１，Ｎ（ｉ）}ｂ^* _{ｉ，１，Ｎ（ｉ）}の集合であり、
   ｂ^* _ｉ，１は秘匿されており、前記第１処理部と前記第２処理部は、｛ｂ_ｉ，２，…，ｂ_{ｉ，Ｎ（ｉ）}｝_{ｉ∈Ｉ（ｊ）}の少なくとも一部と前記集合｛ｂ^〜* _ｉ，１｝_{ｉ∈Ｉ（ｊ）}とを用い、前記要素ｓ^* _ｉ，ｊを得る代理署名装置。
5. 請求項２から４の何れかの代理署名装置であって、
   Ｎ（ｉ）＝８であり、β_ｉ，１＝β_ｉ，３＝β_ｉ，４＝β_ｉ，５＝β_ｉ，６＝β_ｉ，８＝０、β_ｉ，２＝ｓ’_ｉ、β_ｉ，７＝φ_ｉであり、φ_ｉがランダム値であり、
   

   

   
   を満たし、ｓ^* _ｉ，０＝０であり、
   γ_{ｉ，ｊ，１}＝ｒ_ｉ，ｊπ、γ_{ｉ，ｊ，２}＝ｒ’_ｉ，ｊ、γ_{ｉ，ｊ，３}＝τ_ｉ，ｊ、γ_{ｉ，ｊ，４}＝τ_ｉ，ｊＭｅｓ、γ_{ｉ，ｊ，７}＝ｒ_ｉ，ｊφ^〜 _ｉ，１＋ｒ^* _ｉ、γ_{ｉ，ｊ，５}＝γ_{ｉ，ｊ，６}＝γ_{ｉ，ｊ，８}＝０であり、前記署名対象に対応する情報がＭｅｓであり、π，τ_ｉ，ｊ，φ^〜 _ｉ，１，ｒ^* _ｉ，ｒ_ｉ，ｊ，ｒ’_ｉ，ｊがランダム値であり、ｒ_１，ｊ＋…＋ｒ_Ｌ，ｊ＝０およびｒ’_１，ｊ＋…＋ｒ’_Ｌ，ｊ＝０を満たす、代理署名装置。
6. Ｌが１以上の整数であり、ｉ∈｛１，…，Ｌ｝であり、
   署名対象に対応する検証情報｛ｃ_ｉ｝_{ｉ∈｛１，…，Ｌ｝}を生成する検証情報生成部と、
   前記検証情報｛ｃ_ｉ｝_{ｉ∈｛１，…，Ｌ｝}および入力された署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}＝｛ｓ^* _ｉ，ｋ｝_{ｉ∈｛１，…，Ｌ｝}に対する双線形写像の像が、入力されたｓ_０対応値となるかを判定する検証部と、
   を有する署名検証装置。
7. Ｌが１以上の整数であり、ｓ_０が任意値であり、ｅが双線形写像であり、ｖ＝ｗならばδ（ｖ，ｗ）＝１であり、ｖ≠ｗならばδ（ｖ，ｗ）＝０であり、ｉ∈｛１，…，Ｌ｝であり、基底（ｂ_ｉ，１，…，ｂ_{ｉ，Ｎ（ｉ）}）および基底（ｂ^* _ｉ，１，…，ｂ^* _{ｉ，Ｎ（ｉ）}）に対し、ｅ（ｂ_ｉ，ｖ，ｂ^* _ｉ，ｗ）＝ｇ_Ｔ ^{δ（ｖ，ｗ）}を満たし、Ｎ（ｉ）が１以上の整数であり、
   署名対象に対応する情報を要素に含む第２集合に対応する係数集合｛υ_ｉ，ι｝_{ι∈｛１，…，Ｎ（ｉ）｝}から、ｃ_ｉ：＝υ_ｉ，１ｂ_ｉ，１＋…＋υ_{ｉ，Ｎ（ｉ）}ｂ_{ｉ，Ｎ（ｉ）}の集合である検証情報｛ｃ_ｉ｝_{ｉ∈｛１，…，Ｌ｝}を得る検証情報生成部と、
   前記検証情報｛ｃ_ｉ｝_{ｉ∈｛１，…，Ｌ｝}、入力された署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}、および値ｇ_Ｔ ^ｓ０が
   

   

   
   を満たすかを判定する検証部と、
   を有する署名検証装置。
8. 請求項７の署名検証装置であって、
   Ｎ（ｉ）＝８であり、υ_ｉ，１＝１、υ_ｉ，２＝υ、υ_ｉ，３＝τ’_ｉＭｅｓ、υ_ｉ，４＝−τ’_ｉ、υ_ｉ，８＝η_ｉ、υ_ｉ，５＝υ_ｉ，６＝υ_ｉ，７＝０であり、前記署名対象に対応する情報がＭｅｓであり、τ’_ｉ，η_ｉがランダム値であり、υが任意値である、署名検証装置。
9. Ｒ，Ｌが１以上の整数であり、ＭがＬ×Ｒ行列であり、ＳＥ^→がＲ個の任意値からなる復元ベクトルであり、Ｎ（ｉ）が１以上の整数であり、｛β_ｉ，ι｝_{ι∈｛１，…，Ｎ（ｉ）｝}が係数β_ｉ，ιの集合であり、（ｂ^* _ｉ，１，…，ｂ^* _{ｉ，Ｎ（ｉ）}）が基底であり、（・）^Ｔが（・）の転置であり、
   Ｒ個の任意値からなるベクトルｆ^→を得る任意値生成部と、
   （ｓ_１，…，ｓ_Ｌ）^Ｔ：＝Ｍ・（ｆ^→）^Ｔを得る分散値生成部と、
   ｓ_０：＝ＳＥ^→・ｆ^→を得る復元値生成部と、
   鍵ｋ^* _ｉ：＝（ｓ_ｉ＋β_ｉ，１）ｂ^* _ｉ，１＋β_ｉ，２ｂ^* _ｉ，２＋…＋β_{ｉ，Ｎ（ｉ）}ｂ^* _{ｉ，Ｎ（ｉ）}を得る鍵生成部と、
   を有する鍵生成装置。
10. ｎ個の代理署名装置Ｕ（１），…，Ｕ（ｎ）と署名検証装置とを有し、
    ｎおよびＬが１以上の整数であり、ｋが１以上のｎ以下の整数であり、｛Ｕ（θ（１）），…，Ｕ（θ（ｋ））｝⊆｛Ｕ（１），…，Ｕ（ｎ）｝であり、ｊ∈｛１，…，ｋ｝であり、前記代理署名装置Ｕ（θ（ｊ））が｛１，…，Ｌ｝の部分集合Ｉ（ｊ）に対応し、｛ｓ_ｉ｝_{ｉ∈｛１，…，Ｌ｝}が任意値ｓ_ｉの集合であり、前記部分集合Ｉ（ｊ）の和集合∪_{ｊ∈｛１，…，ｋ｝}Ｉ（ｊ）に対応する前記任意値ｓ_ｉの線形結合が値ｓ_０であり、鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｊ）}が前記任意値ｓ_ｉに対応する鍵ｋ^* _ｉの集合であり、｛ｓ^* _ｉ，０｝_{ｉ∈｛１，…，Ｌ｝}が初期設定されており、
    前記代理署名装置Ｕ（θ（ｊ））は、
    ｉ∈Ｉ（ｊ）について、入力された代理署名情報｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}の要素ｓ^* _{ｉ，ｊ−１}と前記鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｊ）}とを用い、署名対象に対応する要素ｓ^* _ｉ，ｊを得、ｉ∈Ｉ（ｊ）ではないｉ∈｛１，…，Ｌ｝について、前記代理署名情報｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}の要素ｓ^* _{ｉ，ｊ−１}を用い、前記署名対象に対応する要素ｓ^* _ｉ，ｊを得、前記要素ｓ^* _ｉ，ｊの集合を代理署名情報｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}とし、
    前記署名検証装置は、
    前記署名対象に対応する検証値ｃ_ｉおよび入力された署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}＝｛ｓ^* _ｉ，ｋ｝_{ｉ∈｛１，…，Ｌ｝}に対する双線形写像の像が、前記値ｓ_０に対応する値となるかを判定する、代理署名システム。
11. ｎ個の代理署名装置Ｕ（１），…，Ｕ（ｎ）と署名検証装置とを有し、
    ｎおよびＬが１以上の整数であり、ｋが１以上のｎ以下の整数であり、｛Ｕ（θ（１）），…，Ｕ（θ（ｋ））｝⊆｛Ｕ（１），…，Ｕ（ｎ）｝であり、ｊ∈｛１，…，ｋ｝であり、前記代理署名装置Ｕ（θ（ｊ））が｛１，…，Ｌ｝の部分集合Ｉ（ｊ）に対応し、ｓ_０が任意値であり、｛ｓ_ｉ｝_{ｉ∈｛１，…，Ｌ｝}が任意値ｓ_ｉの集合であり、係数集合｛α_ｉ｝_{ｉ∈Ｉ（ｊ）}が係数α_ｉの集合であり、
    

    

    
    を満たし、ｅが双線形写像であり、ｖ＝ｗならばδ（ｖ，ｗ）＝１であり、ｖ≠ｗならばδ（ｖ，ｗ）＝０であり、基底（ｂ_ｉ，１，…，ｂ_{ｉ，Ｎ（ｉ）}）および基底（ｂ^* _ｉ，１，…，ｂ^* _{ｉ，Ｎ（ｉ）}）に対し、ｅ（ｂ_ｉ，ｖ，ｂ^* _ｉ，ｗ）＝ｇ_Ｔ ^{δ（ｖ，ｗ）}を満たし、Ｎ（ｉ）が１以上の整数であり、係数集合｛β_ｉ，ι｝_{ι∈｛１，…，Ｎ（ｉ）｝}が係数β_ｉ，ιの集合であり、鍵集合｛ｋ^* _ｉ｝_{ｉ∈Ｉ（ｊ）}が鍵ｋ^* _ｉ：＝（ｓ_ｉ＋β_ｉ，１）ｂ^* _ｉ，１＋β_ｉ，２ｂ^* _ｉ，２＋…＋β_{ｉ，Ｎ（ｉ）}ｂ^* _{ｉ，Ｎ（ｉ）}の集合であり、係数集合｛λ_ｉ，ι｝_{ι∈｛１，…，Ｎ（ｉ）｝}が係数λ_ｉ，ιの集合であり、ｓ^* _ｉ，０：＝λ_ｉ，１ｂ^* _ｉ，１＋λ_ｉ，２ｂ^* _ｉ，２＋…＋λ_{ｉ，Ｎ（ｉ）}ｂ^* _{ｉ，Ｎ（ｉ）}であり、｛γ_{ｉ，ｊ，ι}｝_{ι∈｛１，…，Ｎ（ｉ）｝}が、署名対象に対応する情報を要素に含む第１集合に対応する係数集合であり、
    前記代理署名装置Ｕ（θ（ｊ））は、
    入力された代理署名情報｛ｓ^* _{ｉ，ｊ−１}｝_{ｉ∈｛１，…，Ｌ｝}に対し、ｉ∈Ｉ（ｊ）について要素ｓ^* _ｉ，ｊ：＝ｓ^* _{ｉ，ｊ−１}＋α_ｉｋ^* _ｉ＋γ_{ｉ，ｊ，１}ｂ^* _ｉ，１＋γ_{ｉ，ｊ，２}ｂ^* _ｉ，２＋…＋γ_{ｉ，ｊ，Ｎ（ｉ）}ｂ^* _{ｉ，Ｎ（ｉ）}を得、ｉ∈Ｉ（ｊ）ではないｉ∈｛１，…，Ｌ｝について要素ｓ^* _ｉ，ｊ：＝ｓ^* _{ｉ，ｊ−１}＋γ_{ｉ，ｊ，１}ｂ^* _ｉ，１＋γ_{ｉ，ｊ，２}ｂ^* _ｉ，２＋…＋γ_{ｉ，ｊ，Ｎ（ｉ）}ｂ^* _{ｉ，Ｎ（ｉ）}を得て、前記要素ｓ^* _ｉ，ｊの集合を代理署名情報｛ｓ^* _ｉ，ｊ｝_{ｉ∈｛１，…，Ｌ｝}とし、
    前記署名検証装置は、
    前記署名対象に対応する情報を要素に含む第２集合に対応する係数集合｛υ_ｉ，ι｝_{ι∈｛１，…，Ｎ（ｉ）｝}から得られるｃ_ｉ：＝υ_ｉ，１ｂ_ｉ，１＋…＋υ_{ｉ，Ｎ（ｉ）}ｂ_{ｉ，Ｎ（ｉ）}の集合である検証情報｛ｃ_ｉ｝_{ｉ∈｛１，…，Ｌ｝}、前記代理署名装置Ｕ（θ（ｋ））から出力された代理署名情報｛ｓ^* _ｉ，ｋ｝_{ｉ∈｛１，…，Ｌ｝}である署名｛ｓ^* _ｉ｝_{ｉ∈｛１，…，Ｌ｝}、および入力された値ｇ_Ｔ ^ｓ０が
    

    

    
    を満たすかを判定する、代理署名システム。
12. 請求項１１の代理署名システムであって、
    

    

    
    の関係を満たす代理署名システム。
13. 請求項１から５の何れかの代理署名装置、請求項６から８の何れかの署名検証装置、または請求項９の鍵生成装置としてコンピュータを機能させるためのプログラム。

Images