JP2015213233A

JP2015213233A - 鍵生成装置、再暗号化装置、およびプログラム

Info

Publication number: JP2015213233A
Application number: JP2014095054A
Authority: JP
Inventors: 恵太草川; Keita Kusakawa; 陵西巻; Ryo Nishimaki
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2014-05-02
Filing date: 2014-05-02
Publication date: 2015-11-26
Anticipated expiration: 2034-05-02
Also published as: JP6189788B2

Abstract

【課題】変換鍵から変換先の情報が漏えいすることを抑制する。
【解決手段】第１復号鍵および第２暗号化鍵を用い、第１暗号文を第２暗号文に変換するための基本変換鍵を得、第２暗号化鍵を用い、第２暗号化鍵をランダム化してランダム化鍵を得、基本変換鍵とランダム化鍵とを変換鍵とする。ただし、第１復号鍵が第１暗号文を復号するための鍵であり、第２復号鍵が第２暗号文を復号するための鍵であり、第２暗号化鍵が第２復号鍵に対応する鍵であり、ランダム化鍵を用いて暗号化された暗号文は第２復号鍵で復号可能である。
【選択図】図２

Description

本発明は、暗号化技術に関し、特に、ある暗号化鍵で暗号化された暗号文を、その暗号化鍵に対応する復号鍵とは異なる復号鍵を用いて復号することを可能とする技術に関する。

公開鍵暗号方式では、ある暗号化鍵（公開鍵）で暗号化された暗号文を復号出来るのは、その公開鍵に対応する復号鍵（秘密鍵）を有する者にのみ限られる。例えば、ユーザｈからユーザｉに平文ｍを送信する場合、ユーザｈはユーザｉの暗号化鍵ＥＫ_ｉを用いて暗号文ＣＴ_ｉを生成し、ｉに送信する。暗号化鍵ＥＫ_ｉに対応する復号鍵ＤＫ_ｉを持つユーザのみがこのＣＴ_ｉを復号できる。加えて、変換鍵を用いることによって、その暗号文を異なる復号鍵を用いて復号可能となる暗号文に変換する方式が、プロキシ再暗号化方式である。この方式は、復号権限を委譲するユーザ、復号権限を委譲されるユーザ、および暗号文を変換するプロキシから構成される。例えば、ユーザｉがユーザｊに復号権限を委譲する場合、変換鍵ＲＫ_ｉ，ｊを作成し、それをプロキシに委託する。変換鍵ＲＫ_ｉ，ｊを持つプロキシは、入力された暗号文ＣＴ_ｉを暗号文ＣＴ_ｊに変換して出力する。このとき、暗号化鍵ＥＫ_ｊに対応する復号鍵ＤＫ_ｊを持つユーザはこのＣＴ_ｊを復号して平文を得ることができる。変換鍵ＲＫ_ｉ，ｊが、ユーザｉからユーザｊへの変換およびユーザｊからユーザｉへの変換を許すとき、変換鍵は双方向であるという。変換鍵ＲＫ_ｉ，ｊが、ユーザｉからユーザｊへの変換のみを許すとき、変換鍵は単方向であるという。プロキシ再暗号化方式は、非特許文献１で初めて提案された。それ以降、離散対数問題や楕円離散対数問題に基づいて様々なプロキシ再暗号化方式が提案されている。格子問題に基づくプロキシ再暗号化方式として、非特許文献２〜６に開示された方式がある。

Matt Blaze, Gerrit Bleumer, and Martin Strauss. Divertible protocols and atomic proxy cryptography, in Kaisa Nyberg, editor, EUROCRYPT’98, volume 1403 of LNCS, pages 127-144, Springer, Heidelberg, 1998. Yoshinori Aono, Xavier Boyen, Le Trieu Phong, and Lihua Wang. Key-private proxy re-encryption under LWE, in Goutam Paul and Paul Vaudenay, editors, INDOCRYPT 2013, volume 8250 of LNCS, pages 1-18, Springer, Heidelberg, 2013. Nishanth Chandran, Melissa Chase, Feng-Hao Liu, Ryo Nishimaki, and Keita Xagawa. Re-encryption, functional re-encryption, and multi-hop re-encryption: A framework for achieving obfuscation-based security and instantiations from lattices. In Hugo Krawczyk, editor, PKC 2014, volume 8383 of LNCS, pages 95-112, Springer, Heidelberg, 2014. Elena Kirshanova, Proxy re-encryption from lattices, in Hugo Krawczyk, editor, PKC 2014, volume 8383 of LNCS, pages 77-94, Springer, Heidelberg, 2014. 草川恵太, 関連鍵攻撃に対する識別不可能性と双方向代理人再暗号化, SCIS 2011, 2011. Keita Xagawa and Keisuke Tanaka, Proxy re-encryption based on learning with errors, SCIS 2010, 2010.

ユーザｉからユーザｊへの変換を行う単方向変換鍵ＲＫ_ｉ→ｊを考える。この単方向変換鍵からユーザｉとｊの情報が漏れない場合、鍵匿名性があるという。これまで提案されてきた格子問題に基づく単方向プロキシ再暗号化方式として非特許文献２，３，４に開示された方式がある。しかしながら、これらの方式には鍵匿名性が無い。例えば、非特許文献２および非特許文献３の方式では、変換鍵ＲＫ_ｉ→ｊが基本変換鍵ｒｋ_ｉ→ｊと変換先のユーザｊの暗号化鍵ｅｋ_ｊら構成される。公開鍵である暗号化鍵ｅｋ_ｊにはユーザｊを特定するための情報（公開鍵証明書等）が紐付けられている。そのため、暗号化鍵ｅｋ_ｊを特定できればそれに対応するユーザを特定できる。よって、これらの方式では変換鍵ＲＫ_ｉ→ｊからユーザｊを容易に特定することができる。

本発明はこのような点に鑑みてなされたものであり、変換鍵から変換先の情報が漏えいすることを抑制可能な技術を提供することを課題とする。

第１復号鍵および第２暗号化鍵を用い、第１暗号文を第２暗号文に変換するための基本変換鍵を得、第２暗号化鍵を用い、第２暗号化鍵をランダム化してランダム化鍵を得る。ただし、第１復号鍵が第１暗号文を復号するための鍵であり、第２復号鍵が第２暗号文を復号するための鍵であり、第２暗号化鍵が第２復号鍵に対応する鍵であり、ランダム化鍵を用いて暗号化された暗号文は第２復号鍵で復号可能である。

以上のように生成した基本変換鍵およびランダム化鍵を変換鍵として利用することができる。ランダム化鍵は第２暗号化鍵をランダム化して得られたものである。これにより、攻撃者等の第三者はランダム化鍵から第２暗号化鍵を特定することができない。その結果、変換鍵から変換先の情報が漏えいすることを抑制できる。

図１は、実施形態の再暗号化システムの機能構成を例示したブロック図である。図２は、実施形態の鍵生成装置１２の機能構成を例示したブロック図である。図３は、実施形態の再暗号化装置の機能構成を例示したブロック図である。図４Ａは、実施形態の鍵生成処理を例示するためのフロー図である。図４Ｂは、実施形態の再暗号化処理を例示するためのフロー図である。

以下、本発明の実施形態を説明する。
［原理］
まず、原理を説明する。以下では第１暗号文を第２暗号文に再暗号化する。第１暗号文を生成するための鍵を第１暗号化鍵と呼び、第１暗号文を復号するための鍵を第１復号鍵と呼ぶ。また、第２暗号文を生成するための鍵を第２暗号化鍵と呼び、第２暗号文を復号するための鍵を第２復号鍵と呼ぶ。すなわち、第１暗号化鍵は第１復号鍵に対応し、第２暗号化鍵は第２復号鍵に対応する。第１暗号文を第１復号鍵で復号して得られる復号結果（平文）は、第２暗号文を第２復号鍵で復号して得られる復号結果と等しい。第１暗号文および第２暗号文は、非対称暗号化方式（例えば、公開鍵暗号方式、ＩＤベース暗号方式、関数暗号方式等）に則って暗号化された暗号文である。第１暗号文の暗号化方式と第２暗号文の暗号化方式とは互いに同一であってもよいし、互いに異なっていてもよい。非対称暗号化方式の例は準同型性暗号方式である。少なくとも、第２暗号文は準同型性暗号方式に則って得られた暗号文であり、準同型性を持つ。第１暗号文は同型性暗号方式に則って得られた暗号文であってもなくてもよい。例えば、第１暗号文および第２暗号文が格子暗号方式またはＮＴＲＵ暗号方式に則った暗号文である。

鍵生成装置は、第１復号鍵および第２暗号化鍵を用い、第１暗号文を第２暗号文に変換するための基本変換鍵を得、第２暗号化鍵を用い、第２暗号化鍵をランダム化してランダム化鍵を得る。ただし、ランダム化鍵を用いて暗号化された暗号文が第２復号鍵で復号可能とされる。このように得られた基本変換鍵とランダム化鍵が、第１暗号文を第２暗号文に再暗号化するための変換鍵とされる。ランダム化鍵は第２暗号化鍵をランダム化して得られたものである。そのため、攻撃者等の第三者はランダム化鍵から第２暗号化鍵を特定することができない。これにより、変換鍵から変換先の情報が漏えいすることを抑制できる。

再暗号化装置は、第１暗号文を入力とし、変換鍵の基本変換鍵を用いて第１暗号文を第２暗号文に変換し、変換鍵のランダム化鍵を用いて第１値を暗号化して準同型性を持つ撹乱暗号文を得、第２暗号文と撹乱暗号文とに対して所定の「演算」を行って変形済暗号文を得る。ただし、任意の第２値と第１値とに当該「演算」を行って得られる値は第２値に等しい。例えば、「第１値」は当該「演算」が定義された集合の単位元である。この「演算」が加法演算である場合、「第１値」は加法単位元（零元）である。例えば、この「演算」が加算である場合（変形済暗号文＝第２暗号文＋撹乱暗号文）、「第１値」は０である。或いは、この「演算」が乗法演算である場合、「第１値」は乗法単位元である。例えば、この「演算」が乗算である場合（変形済暗号文＝第２暗号文×撹乱暗号文）、「第１値」は１である。

第２暗号文および撹乱暗号文の準同型性により、変形済暗号文を第２復号鍵で復号して得られる値は、第２暗号文の復号結果と撹乱暗号文の復号結果に対して上記の「演算」を行って得られる値に等しい。上述のように第２暗号文も撹乱暗号文も共に第２復号鍵で復号可能であり、第２暗号文の復号結果は平文であり、撹乱暗号文の復号結果は第１値である。上記の「演算」の性質より、平文と第１値とに当該「演算」を行って得られる値は平文となる。すなわち、変形済暗号文は第１暗号文を再暗号化した暗号文となる。

［実施形態］
以下、図面を用いて実施形態を説明する。
＜再変換可能暗号方式＞
まず、再変換可能暗号方式π＝（ＳＵ，Ｇ，Ｅ，Ｄ，ＲＫＧ，Ｓｗｉｔｃｈ）を以下のように定義する。

ＳＵ：共通パラメータ生成アルゴリズムＳＵは、κを入力にとり、共通パラメータｐｐを出力する確率的アルゴリズムである（ｐｐ←ＳＵ（１^κ））。ただし、κはセキュリティパラメータ（正の整数）である。１^κはκビットの１の列である。

Ｇ：鍵生成アルゴリズムＧは、ｐｐを入力にとり、暗号化鍵と復号鍵の組（ｅｋ，ｄｋ）を出力する確率的アルゴリズムである（（ｅｋ，ｄｋ）←Ｇ（ｐｐ））。

Ｅ：暗号化アルゴリズムＥは、ｐｐ，ｅｋ，平文μを入力にとり、乱数を内部発生させ、暗号文ｃを出力する確率的アルゴリズムである（ｃ＝Ｅ（ｐｐ，ｅｋ，μ））。ただし、暗号化アルゴリズムＥは、準同型暗号である非対称暗号方式に則ったものであり、暗号文ｃは準同型性を持つ。
Ｄ：復号アルゴリズムＤは、ｐｐ，ｄｋ，暗号文ｃを入力にとり、平文μ’を出力するアルゴリズムである（μ’←Ｄ（ｐｐ，ｄｋ，ｃ））。

ＲＫＧ：変換鍵生成アルゴリズムＲＫＧは、ｐｐ，ｄｋ_α，ｅｋ_βを入力にとり、基本変換鍵ｒｋ_α→βを出力する確率的アルゴリズムである（ｒｋ_α→β←ＲＫＧ（ｐｐ，ｄｋ_α，ｅｋ_β））。ただし、ｄｋ_αはユーザαに対して得られた復号鍵（ユーザαが復号を行うための復号鍵）であり、ｅｋ_βはユーザβに対して得られた暗号化鍵（ユーザβが復号を行うことが可能な暗号文を生成するための暗号化鍵）である。何れの鍵も鍵生成アルゴリズムＧによって得られたものである。基本変換鍵ｒｋ_α→βは、復号鍵ｄｋ_αに対応する暗号化鍵ｅｋ_αを用いて生成された第１暗号文を、暗号化鍵ｅｋ_βに対応する復号鍵ｄｋ_βで復号可能な第２暗号文に変換するための鍵である。

ＲＧ：ランダム化鍵生成アルゴリズムＲＧは、ｐｐ，ｅｋ_βを入力にとり、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）を出力する確率的アルゴリズムである（（ｒｐｐ_β，ｒｅｋ_β）←ＲＧ（ｐｐ，ｅｋ_β））。

Ｓｗｉｔｃｈ：変換アルゴリズムＳｗｉｔｃｈは、ｐｐ，ｒｋ_α→β，暗号文ｃ_αを入力にとり、暗号文ｃ_βを出力する確率的アルゴリズムである（ｃ_β←Ｓｗｉｔｃｈ（ｐｐ，ｒｋ_α→β，ｃ_α））。ただし、暗号文ｃ_αはユーザαの復号鍵ｄｋ_αで復号可能な暗号文であり、暗号文ｃ_βはユーザβの復号鍵ｄｋ_βで復号可能な暗号文である。ｄｋ_βは上述の暗号化鍵ｅｋ_βに対応する。

＜プロキシ再暗号化方式＞
上記の再変換可能暗号方式πを用い、以下のように本形態のプロキシ再暗号化方式Π＝（Ｓｅｔｕｐ，Ｇｅｎ，Ｅｎｃ１，Ｄｅｃ１，Ｅｎｃ２，Ｄｅｃ２，ＲｅｋｅｙＧｅｎ，ＲｅＥｎｃ）を構成する。

Ｓｅｔｕｐ：アルゴリズムＳｅｔｕｐは、κを入力としてｐｐ←ＳＵ（１^κ）を計算し、ＰＰ＝ｐｐを出力する。なお、「γ←η」は「ηによって得られた値をγとする（γ＝η）」ことを意味する。

Ｇｅｎ_ｙ：アルゴリズムＧｅｎ_ｙは、ＰＰ＝ｐｐを入力とし、ユーザｙ∈｛α，β｝に対応する、再暗号化前の暗号化鍵と復号鍵の組（ｉｅｋ_ｙ，ｉｄｋ_ｙ）←Ｇ（ｐｐ）および再暗号化後の暗号化鍵と復号鍵の組（ｏｅｋ_ｙ，ｏｄｋ_ｙ）←Ｇ（ｐｐ）を得てこれらを出力する。ただし、再暗号化後の暗号文をさらに再暗号化できる方式（マルチホップ再暗号化方式）の場合には、ｉｅｋ_ｙ＝ｏｅｋ_ｙかつｉｄｋ_ｙ＝ｏｄｋ_ｙでよく、（ｉｅｋ_ｙ，ｉｄｋ_ｙ）←Ｇ（ｐｐ）で得られた組をそのまま（ｏｅｋ_ｙ，ｏｄｋ_ｙ）とすればよい。

Ｅｎｃｉ：アルゴリズムＥｎｃｉは、再暗号化前の暗号文を生成する。アルゴリズムＥｎｃｉは、ＰＰ＝ｐｐ，ｉｅｋ_ｙ，平文μを入力とし、ｉｃｔ_ｙ＝Ｅ（ｐｐ，ｉｅｋ_ｙ，μ）を計算し、ｉｃｔ_ｙを暗号文として出力する。

Ｄｅｃｉ：アルゴリズムＤｅｃｉは、再暗号化前の暗号文を復号する。アルゴリズムＤｅｃｉは、ＰＰ＝ｐｐ，ｉｄｋ_ｙ，暗号文ｉｃｔ_ｙを入力とし、μ’＝Ｄ（ｐｐ，ｉｄｋ_ｙ，ｉｃｔ_ｙ）を計算し、μ’を平文として出力する。

Ｅｎｃｏ：アルゴリズムＥｎｃｏは、再暗号化後の暗号文を生成する。アルゴリズムＥｎｃｏは、ＰＰ＝ｐｐ，ｏｅｋ_ｙ，平文μを入力とし、ｏｃｔ_ｙ＝Ｅ（ｐｐ，ｏｅｋ_ｙ，μ）を計算し、ｏｃｔ_ｙを暗号文として出力する。

Ｄｅｃｏ：アルゴリズムＤｅｃｏは、再暗号化後の暗号文を復号する。アルゴリズムＤｅｃｏは、ＰＰ＝ｐｐ，ｏｄｋ_ｙ，暗号文ｏｃｔ_ｙを入力とし、μ’＝Ｄ（ｐｐ，ｏｄｋ_ｙ，ｏｃｔ_ｙ）を計算し、μ’を平文として出力する。

ＲｅｋｅｙＧｅｎ：アルゴリズムＲｅｋｅｙＧｅｎは、ＰＰ＝ｐｐ，ｉｄｋ_α（第１復号鍵），ｏｅｋ_β（第２暗号化鍵）を入力とし、ｒｋ_α→β←ＲＫＧ（ｐｐ，ｉｄｋ_α，ｏｅｋ_β）を計算してｒｋ_α→βを基本変換鍵とし、（ｒｐｐ_β，ｒｅｋ_β）←ＲＧ（ｐｐ，ｏｅｋ_β）を計算して（ｒｐｐ_β，ｒｅｋ_β）をランダム化鍵とし、ＲＫ_α→β＝（ｒｋ_α→β，ｒｐｐ_β，ｒｅｋ_β）を変換鍵として出力する。ただし、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）を用いて暗号化された暗号文はｏｄｋ_β（第２復号鍵）で復号可能である。

ＲｅＥｎｃ：アルゴリズムＲｅＥｎｃは、ＰＰ＝ｐｐ，ＲＫ_α→β＝（ｒｋ_α→β，ｒｐｐ_β，ｒｅｋ_β），ｉｃｔ_α（第１暗号文）を入力とし、以下を計算する。ただし、ｉｃｔ_α＝Ｅ（ｐｐ，ｉｅｋ_α，μ）である。
１）ｃ’←Ｓｗｉｔｃｈ（ｐｐ，ｒｋ_α→β，ｉｃｔ_α）
２）ｃ’’←Ｅ（ｒｐｐ_β，ｒｅｋ_β，０）
３）ｏｃｔ_β←ｃ’＋ｃ’’
アルゴリズムＲｅＥｎｃは、ｏｃｔ_Ｂを変換済暗号文として出力する。なお、この例は「第１値」が０であり、「所定の演算」が加算である場合のものである。

＜構成＞
図１に例示するように、本形態の再暗号化システム１は、管理装置１１、鍵生成装置１２，１３、暗号化装置１４、復号装置１５，１６、および再暗号化装置１７を有する。図２に例示するように、本形態の鍵生成装置１２は、入力部１２１、出力部１２２、記憶部１２３、鍵ペア生成部１２４、基本変換鍵生成部１２５、ランダム化鍵生成部１２６、および変換鍵合成部１２７を有する。また、図３に例示するように、本形態の再暗号化装置１７は、入力部１７１、出力部１７２、記憶部１７３、基本変換部１７４、撹乱暗号化部１７５、および演算部１７６を有する。なお、各装置は、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）やＲＡＭ（random-access memory）等のメモリ等を備える汎用または専用のコンピュータに、所定のプログラムが読み込まれて構成される装置である。ＣＰＵは電子回路（circuitry）の一種であるが、装置を構成する一部またはすべての処理部がその他の電子回路（circuitry）によって構成されていてもよい。また、各装置は情報のやり取りが可能なように構成されている。例えば、各装置はインターネット等のネットワークを通じて通信可能に構成されている。

＜処理＞
以下では、鍵生成装置１２がユーザαに対応する鍵および変換鍵を生成し、鍵生成装置１３がユーザβに対応する鍵を生成し、暗号化装置１４がユーザαに対応する暗号化鍵を用いて暗号文を生成し、再暗号化装置１７がこの暗号文をユーザβに対応する復号鍵で復号可能な変形済暗号文に変換する処理を例にとって説明する。

≪管理装置１１の処理≫
管理装置１１は、１^κを入力としてアルゴリズムＳｅｔｕｐを実行し、共通パラメータｐｐを出力する。共通パラメータｐｐは、再暗号化システム１を構成する各装置に送られる。

≪鍵生成装置１３の鍵生成処理≫
鍵生成装置１３は、ユーザβに対応する鍵を生成する。この鍵生成処理の前提として、上述の共通パラメータｐｐが鍵生成装置１３に入力され、鍵生成装置１３の記憶部（図示せず）に格納されているものとする。鍵生成装置１３は、記憶部から共通パラメータｐｐを抽出し、アルゴリズムＧｅｎ_βを実行して、再暗号化前の暗号化鍵と復号鍵の組（ｉｅｋ_β，ｉｄｋ_β）および再暗号化後の暗号化鍵と復号鍵の組（ｏｅｋ_β，ｏｄｋ_Ｂ）を得て出力する。ただし、マルチホップ再暗号化方式の場合にはｉｅｋ_β＝ｏｅｋ_βとｉｄｋ_Ｂ＝ｏｄｋ_βを得ればよい。復号鍵ｉｄｋ_βおよびｏｄｋ_βはユーザβの秘密情報であり、ユーザβが利用する復号装置１５に安全に送られ、復号装置１５に安全に格納される。一方、暗号化鍵ｉｅｋ_βおよびｏｅｋ_βは公開情報であり、必要に応じて鍵生成装置１３から出力されてもよいし、各装置がアクセス可能な装置に格納されてもよい。

≪鍵生成装置１２の鍵生成処理≫
鍵生成装置１２は、ユーザαに対応する鍵および変換鍵を生成する。図２および図４Ａを用いて鍵生成装置１２の鍵生成処理を説明する。この鍵生成処理の前提として、上述の共通パラメータｐｐおよび暗号化鍵ｉｅｋ_βおよびｏｅｋ_βが鍵生成装置１２の入力部１２１に入力され、記憶部１２３に格納されているものとする。

鍵ペア生成部１２４は、共通パラメータｐｐを入力とし、アルゴリズムＧｅｎ_αを実行して、再暗号化前の暗号化鍵と復号鍵の組（ｉｅｋ_α，ｉｄｋ_α）および再暗号化後の暗号化鍵と復号鍵の組（ｏｅｋ_α，ｏｄｋ_α）を得て出力する。ただし、マルチホップ再暗号化方式の場合にはｉｅｋ_α＝ｏｅｋ_αとｉｄｋ_α＝ｏｄｋ_αを得ればよい。鍵ペア生成部１２４から出力された（ｉｅｋ_α，ｉｄｋ_α）および（ｏｅｋ_α，ｏｄｋ_α）は記憶部１２３に格納される（ステップＳ１２４）。復号鍵ｉｄｋ_αおよびｏｄｋ_αはユーザαの秘密情報である。復号鍵ｉｄｋ_αおよびｏｄｋ_αは出力部１２２から出力され、ユーザαが利用する復号装置１６に安全に送られ、復号装置１６に安全に格納される。一方、暗号化鍵ｉｅｋ_αおよびｏｅｋ_αは公開情報であり、必要に応じて鍵生成装置１２の出力部１２２から出力されてもよいし、各装置がアクセス可能な装置に格納されてもよい。

基本変換鍵生成部１２５、ランダム化鍵生成部１２６、および変換鍵合成部１２７は、アルゴリズムＲｅｋｅｙＧｅｎを実行して変換鍵ＲＫ_α→βを生成する。基本変換鍵生成部１２５は、共通パラメータｐｐ、復号鍵ｉｄｋ_α（第１復号鍵）、および暗号化鍵ｏｅｋ_β（第２暗号化鍵）を入力とし、復号鍵ｉｄｋ_αに対応する暗号化鍵ｉｅｋ_αを用いて得られた第１暗号文を、暗号化鍵ｏｅｋ_βに対応する復号鍵ｏｄｋ_βで復号可能な第２暗号文に変換するための基本変換鍵ｒｋ_α→β←ＲＫＧ（ｐｐ，ｉｄｋ_α，ｏｅｋ_β）を得て出力する（ステップＳ１２５）。

ランダム化鍵生成部１２６は、共通パラメータｐｐおよび暗号化鍵ｏｅｋ_Ｂ（第２暗号化鍵）を入力とし、（ｒｐｐ_β，ｒｅｋ_β）←ＲＧ（ｐｐ，ｏｅｋ_β）によって暗号化鍵ｏｅｋ_βをランダム化してランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）を得て出力する。このランダム化は、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）を用いて任意値を暗号化して得られた暗号文が復号鍵ｏｄｋ_βで復号可能なように行われる（ステップＳ１２６）。

変換鍵合成部１２７は、基本変換鍵ｒｋ_α→βおよびランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）を入力とし、これらを含む変換鍵ＲＫ_α→β＝（ｒｋ_α→β，ｒｐｐ_β，ｒｅｋ_β）を出力する。変換鍵ＲＫ_α→βは出力部１２２に送られ、出力部１２２は変換鍵ＲＫ_α→βを再暗号化装置１７に送る（ステップＳ１２７）。

≪暗号化装置１４での暗号化処理≫
暗号化装置１４は、ＰＰ＝ｐｐ，ｉｅｋ_α，平文μを入力とし、アルゴリズムＥｎｃｉを実行してｉｃｔ_α＝Ｅ（ｐｐ，ｉｅｋ_α，μ）を計算し、ｉｃｔ_αを第１暗号文として出力する。

≪復号装置１６での復号処理≫
復号装置１６が再暗号化前の第１暗号文ｉｃｔ_αを復号する処理を説明する。復号装置１６に第１暗号文ｉｃｔ_αが入力された場合、復号装置１６はＰＰ＝ｐｐ，ｉｄｋ_α（第１暗号文を復号するための第１復号鍵），第１暗号文ｉｃｔ_αを用い、アルゴリズムＤｅｃｉを実行してμ’＝Ｄ（ｐｐ，ｉｄｋ_α，ｉｃｔ_α）を計算し、μ’を平文として出力する。

≪再暗号化装置１７での再暗号化処理≫
図３および図４Ｂを用い、再暗号化装置１７が第１暗号文ｉｃｔ_αを再暗号化する処理を説明する。この再暗号化処理の前提として、上述の共通パラメータｐｐ、第１暗号文ｉｃｔ_α、および変換鍵ＲＫ_α→β＝（ｒｋ_α→β，ｒｐｐ_β，ｒｅｋ_β）が再暗号化装置１７の入力部１７１に入力され、記憶部１７３に格納されているものとする。

基本変換部１７４は、ＰＰ＝ｐｐ，ｒｋ_α→β（基本変換鍵），第１暗号文ｉｃｔ_αを入力とし、変換アルゴリズムＳｗｉｔｃｈを実行してｃ’←Ｓｗｉｔｃｈ（ｐｐ，ｒｋ_α→β，ｉｃｔ_α）を計算し、ｃ’を第２暗号文として出力する。なお、第２暗号文ｃ’は準同型性を持つ（ステップＳ１７４）。

撹乱暗号化部１７５は、ｒｐｐ_β（ランダム化鍵），ｒｅｋ_β（ランダム化鍵）を入力とし、暗号化アルゴリズムＥを実行してｃ’’←Ｅ（ｒｐｐ_β，ｒｅｋ_β，０）を計算し、ｃ’’を０（第１値）の暗号文である撹乱暗号文として出力する。なお、撹乱暗号文ｃ’’は準同型性を持つ（ステップＳ１７５）。

演算部１７６は、第２暗号文ｃ’および撹乱暗号文ｃ’’を入力とし、ｏｃｔ_β←ｃ’＋ｃ’’を計算し、ｏｃｔ_βを変形済暗号文として出力する。なお、任意の第２値と０（第１値）との加算を行って得られる値（第２値＋０）は第２値に等しい（ステップＳ１７６）。

≪復号装置１５での復号処理≫
復号装置１５が再暗号化後の変形済暗号文ｏｃｔ_βを復号する処理を説明する。復号装置１５に変形済暗号文ｏｃｔ_βが入力された場合、復号装置１５はＰＰ＝ｐｐ，ｏｄｋ_β（第２暗号文を復号するための第２復号鍵），変形済暗号文ｏｃｔ_βを用い、アルゴリズムＤｅｃｏを実行してμ’＝Ｄ（ｐｐ，ｏｄｋ_β，ｏｃｔ_β）を計算し、μ’を平文として出力する。

以下では、上記の実施形態のプロキシ再暗号化方式Π＝（Ｓｅｔｕｐ，Ｇｅｎ，Ｅｎｃ１，Ｄｅｃ１，Ｅｎｃ２，Ｄｅｃ２，ＲｅｋｅｙＧｅｎ，ＲｅＥｎｃ）を構成可能な再変換可能暗号方式π＝（ＳＵ，Ｇ，Ｅ，Ｄ，ＲＫＧ，Ｓｗｉｔｃｈ）を具体的に説明する。実施例１から８では、非対称暗号化方式として格子暗号方式を用いる例を説明し、実施例９および１０ではＮＴＲＵ暗号方式を用いる例を説明する。格子暗号方式もＮＴＲＵ暗号方式も公開鍵暗号方式であり、かつ、準同型性暗号方式である。なお、再暗号化システムの構成およびその処理も再変換可能暗号方式πが具体化されることによってプロキシ再暗号化方式Πが具体化される以外、上述の実施形態と同じである。そのため、以下では再変換可能暗号方式πおよびプロキシ再暗号化方式Πの具体的な構成を中心に説明する。

実施例１では、上述の実施形態に参考文献１（Zvika Brakerski, Craig Gentry, and Vinod Vaikuntanathan. (leveled) fully homomorphic encryption without bootstrapping, in Shafi Goldwasser, editor, ITCS 2012, pages 309-325. ACM, 2012.）の方式を適用する例を示す。

＜確定的アルゴリズムＢＤ，Ｐ２の定義＞
参考文献１に記載された確定的アルゴリズムＢＤ，Ｐ２を以下のように定義する。
１以上の整数ｐ，δ，ｑ（例えば、素数）についてｐ^δ−１≦ｑ＜ｐ^δを満たすとする。すなわち、ｑはｐ進δ桁の数として表現可能である。

ＢＤ：アルゴリズムＢＤは、ベクトルｘ∈Ｚ_ｑ ^ｎを入力にとり、ｋ＝１，・・・，δについて、ベクトルｕ_ｋ∈Ｚ_ｐ ^ｎを

を満たすように計算し、（ｕ_１，・・・，ｕ_δ）∈Ｚ_ｐ ^ｎδを出力する。ただし、Ｚ_ｐは整数ｐ（例えばｐ≧２）を法とした整数の剰余類の集合である。Ｚ_ｐの例はｐを法とした整数の剰余類の代表元の集合である。例えば、Ｚ_ｐは整数ｚに対するｚｍｏｄｐの集合、すなわちＺ_ｐ＝｛０，・・・，ｐ−１｝である。また、ｎは１以上の整数であり、ｘ∈Ｚ_ｐ ^ｎはｘがＺ_ｐのｎ個の元からなることを意味する。

Ｐ２：アルゴリズムＰ２は、ベクトルｓ∈Ｚ_ｑ ^ｎを入力にとり、

を出力する。ただし、

は行列のクロネッカー積であり、［・］^Ｔは［・］の転置を表す。アルゴリズムＰ２は、サイズｎ×ｇの行列Ｓ＝［ｓ_１，・・・，ｓ_ｇ］∈Ｚ_ｑ ^ｎ×ｇを入力にとる場合に、サイズｎδ×ｇの行列［Ｐ（ｓ_１），・・・，Ｐ（ｓ_ｇ）］∈Ｚ_ｑ ^ｎδ×ｇを出力する。ただし、ｇは１以上の整数であり、Ｓ∈Ｚ_ｑ ^ｎ×ｇはサイズｎ×ｇの行列Ｓの各要素がＺ_ｑの元であることを表す。これらのアルゴリズムの定義より、任意のベクトルｘ∈Ｚ_ｑ ^ｎおよび行列Ｓ∈Ｚ_ｑ ^ｎ×ｇについて、ＢＤ（ｘ）Ｐ２（Ｓ）＝ｘＳ∈Ｚ_ｑ ^ｇを満たす。

＜再変換可能暗号方式＞
本実施例の再変換可能暗号方式π＝（ＳＵ，Ｇ，Ｅ，Ｄ，ＲＫＧ，Ｓｗｉｔｃｈ）を説明する。ＳＵ，Ｇ，Ｅ，Ｄ，Ｓｗｉｔｃｈは参考文献１に基づいている。

ＳＵ：共通パラメータ生成アルゴリズムＳＵは、κを入力にとり、行列Ａ∈Ｚ_ｑ ^ｍ×ｎをランダムに選び、共通パラメータｐｐ＝（κ，１^ｎ，ｑ，ｍ，ｇ，χ，Ａ）を出力する（ｐｐ←ＳＵ（１^κ））。ただし、ｎ，ｍ，ｇは１以上の整数である。また、平均０、分散σ^２のガウス分布Ｎ（０，σ^２）は実数上の密度関数

で定義される。ν∈（０，１）および整数ｑ≧１について、ガウス分布Ｎ（０，ν^２／２π）に従って得られるサンプルｘに対し、

で表される分布をχとする。ただし、（０，１）は０より大きく１より小さな閉区間｛ν｜０＜ν＜１｝を表し、

は実数ωの天井関数を表し、実数ωに対してω以上の最小の整数を意味する。

Ｇ：鍵生成アルゴリズムＧは、ｐｐを入力にとり、行列Ｓ∈Ｚ_ｑ ^ｎ×ｇをランダムに選び、サイズｍ×ｇの行列Ｘ∈Ｚ_ｑ ^ｍ×ｇを分布χ^ｍ×ｇに従って選ぶ。すなわち、行列Ｘの各要素は分布χに従う。鍵生成アルゴリズムＧは、Ｂ＝ＡＳ＋Ｘ∈Ｚ_ｑ ^ｍ×ｇを計算し、ｅｋ＝Ｂおよびｄｋ＝（Ｓ，Ｂ）とし、暗号化鍵と復号鍵の組（ｅｋ，ｄｋ）を出力する（（ｅｋ，ｄｋ）←Ｇ（ｐｐ））。

Ｅ：暗号化アルゴリズムＥは、ｐｐ，ｅｋ＝Ｂ∈Ｚ_ｑ ^ｍ×ｇ，平文μ∈Ｚ_ｐ ^ｇを入力にとり、ｍ個の要素からなるベクトルｅ∈｛−１，＋１｝^ｍをランダムに選び、

を計算し、暗号文ｃ＝（Ｕ，Ｃ）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを出力する（ｃ＝Ｅ（ｐｐ，ｅｋ，μ））。

Ｄ：復号アルゴリズムＤは、ｐｐ，ｄｋ＝（Ｓ，Ｂ），暗号文ｃ＝（Ｕ，Ｃ）を入力にとり、ｄ＝Ｃ−ＵＳｍｏｄｑを計算し、

を計算し、平文μ’∈Ｚ_ｐ ^ｇを出力する（μ’←Ｄ（ｐｐ，ｄｋ，ｃ））。なお、ベクトルψ＝（ψ_１，・・・，ψ_Ｉ）とすると、ψ ｍｏｄ θは（ψ_１ｍｏｄ θ，・・・，ψ_Ｉｍｏｄ θ）を意味する。

ＲＫＧ：変換鍵生成アルゴリズムＲＫＧは、ｐｐ，ｄｋ_α＝（Ｓ_α，Ｂ_α），ｅｋ_β＝Ｂ_βを入力とする。ただし、ｄｋ_α＝（Ｓ_α，Ｂ_α）はユーザαに対して得られた復号鍵であり、ｅｋ_β＝Ｂ_βはユーザβに対して得られた暗号化鍵である。何れの鍵も鍵生成アルゴリズムＧによって得られたものである。変換鍵生成アルゴリズムＲＫＧは、サイズｎδ×ｍの行列Ｙ∈｛−１，＋１｝^ｎδ×ｍをランダムに選び、Ｍ_α→β＝Ｙ［Ａ｜Ｂ_β］＋［Ｏ｜−Ｐ２（Ｓ_α）］∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を出力する（ｒｋ_α→β←ＲＫＧ（ｐｐ，ｄｋ_α，ｅｋ_β））。ただし、行列Ａ∈Ｚ_ｑ ^ｍ×ｎおよび行列Ｂ_β∈Ｚ_ｑ ^ｍ×ｇに対する［Ａ｜Ｂ_β］∈Ｚ_ｑ ^{ｍ×（ｎ＋ｇ）}は、行列Ａのｎ個の列の後に行列Ｂ_βのｇ個の列を連結したサイズｍ×（ｎ＋ｇ）の行列である。また、Ｏはサイズｎδ×ｍの零行列Ｏ∈Ｚ_ｑ ^ｎδ×ｍであり、すべての要素が０からなる。

ＲＧ：ランダム化鍵生成アルゴリズムＲＧは、ｐｐ，ｅｋ_β＝Ｂ_βを入力にとり、サイズｍ×ｍの行列Ｙ’∈｛−１，＋１｝^ｍ×ｍをランダムに選び、［Ｔ_β｜Ｎ_β］＝Ｙ’［Ａ｜Ｂ_β］∈Ｚ_ｑ ^{ｍ×（ｎ＋ｇ）}を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（Ｔ_β，Ｎ_β）∈Ｚ_ｑ ^ｍ×ｎ×Ｚ_ｑ ^ｍ×ｇを出力する（（ｒｐｐ_β，ｒｅｋ_β）←ＲＧ（ｐｐ，ｅｋ_β））。

Ｓｗｉｔｃｈ：変換アルゴリズムＳｗｉｔｃｈは、ｐｐ，ｒｋ_α→β＝Ｍ_α→β∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}，暗号文ｃ_α＝（Ｕ_α，Ｃ_α）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを入力にとる。ただし、暗号文ｃ_α＝（Ｕ_α，Ｃ_α）はユーザαの復号鍵ｄｋ_α＝（Ｓ_α，Ｂ_α）で復号可能な暗号文であり、暗号文ｃ_βはユーザβの復号鍵ｄｋ_β＝（Ｓ_β，Ｂ_β）で復号可能な暗号文である。ｄｋ_βは上述の暗号化鍵ｅｋ_β＝Ｂ_βに対応する。変換アルゴリズムＳｗｉｔｃｈは、ベクトルＵ_α∈Ｚ_ｑ ^ｎを入力としたアルゴリズムＢＤを実行してベクトルＢＤ（Ｕ_α）∈Ｚ_ｑ ^ｎδを得、Ｕ’｜Ｃ’＝ＢＤ（Ｕ_α）Ｍ_α→β∈Ｚ_ｑ ^ｎ＋ｇとする。ただし、Ｕ’∈Ｚ_ｑ ^ｎかつＣ’∈Ｚ_ｑ ^ｇであり、Ｕ’の後にＣ’を結合したベクトルがＢＤ（Ｕ_α）Ｍ_α→βとなる。変換アルゴリズムＳｗｉｔｃｈは、さらに（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）を計算し、暗号文ｃ_β＝（Ｕ_β，Ｃ_β）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを出力する（ｃ_β←Ｓｗｉｔｃｈ（ｐｐ，ｒｋ_α→β，ｃ_α））。

＜プロキシ再暗号化方式＞
上記の再変換可能暗号方式πの場合、プロキシ再暗号化方式Πは以下のようになる。

Ｓｅｔｕｐ：アルゴリズムＳｅｔｕｐは、κを入力としてｐｐ←ＳＵ（１^κ）を計算し、ＰＰ＝ｐｐ＝（κ，１^ｎ，ｑ，ｍ，ｇ，χ，Ａ）を出力する。

Ｇｅｎ_ｙ：アルゴリズムＧｅｎ_ｙ（ただし、ｙ∈｛α，β｝）は、ｐｐを入力にとり、行列Ｓ_ｙ∈Ｚ_ｑ ^ｎ×ｇをランダムに選び、サイズｍ×ｇの行列Ｘ_ｙ∈Ｚ_ｑ ^ｍ×ｇを分布χ^ｍ×ｇに従って選ぶ。アルゴリズムＧｅｎ_ｙは、Ｂ_ｙ＝ＡＳ_ｙ＋Ｘ_ｙ∈Ｚ_ｑ ^ｍ×ｇを計算し、ｉｅｋ_ｙ＝ｏｅｋ_ｙ＝Ｂ_ｙおよびｉｄｋ_ｙ＝ｏｄｋ_ｙ＝（Ｓ_ｙ，Ｂ_ｙ）とし、暗号化鍵と復号鍵の組（ｉｅｋ_ｙ＝ｏｅｋ_ｙ，ｉｄｋ_ｙ＝ｏｄｋ_ｙ）を出力する。

Ｅｎｃｉ：アルゴリズムＥｎｃｉは、再暗号化前の暗号文を生成する。ユーザｙ∈｛α,β｝に対応する暗号文を生成する場合、アルゴリズムＥｎｃｉは、ＰＰ＝ｐｐ，ｉｅｋ_ｙ＝Ｂ_ｙ，平文μを入力とし、ｍ個の要素からなるベクトルｅ_ｙ∈｛−１，＋１｝^ｍをランダムに選び、

を計算し、ｃ_ｙ＝（Ｕ_ｙ，Ｃ_ｙ）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを暗号文ｉｃｔ_ｙとして出力する。

Ｄｅｃｉ：アルゴリズムＤｅｃｉは、再暗号化前の暗号文を復号する。ユーザｙ∈｛α,β｝に対応する暗号文を復号する場合、アルゴリズムＤｅｃｉは、ＰＰ＝ｐｐ，ｉｄｋ_ｙ＝（Ｓ_ｙ，Ｂ_ｙ），暗号文ｉｃｔ_ｙ＝ｃ_ｙ＝（Ｕ_ｙ，Ｃ_ｙ）を入力とし、ｄ_ｙ＝Ｃ_ｙ−Ｕ_ｙＳ_ｙｍｏｄｑを計算し、

を計算し、平文μ’∈Ｚ_ｐ ^ｇを出力する。

Ｅｎｃｏ：アルゴリズムＥｎｃｏは、再暗号化後の暗号文を生成する。本実施例のアルゴリズムＥｎｃｏはアルゴリズムＥｎｃｉと同じである。

Ｄｅｃｏ：アルゴリズムＤｅｃｏは、再暗号化後の暗号文を復号する。本実施例のアルゴリズムＤｅｃｏは、アルゴリズムＤｅｃｉと同じである。

ＲｅｋｅｙＧｅｎ：アルゴリズムＲｅｋｅｙＧｅｎは、ＰＰ＝ｐｐ，ｉｄｋ_α＝（Ｓ_α，Ｂ_α）（第１復号鍵），ｏｅｋ_β＝Ｂ_β（第２暗号化鍵）を入力とし、サイズｎδ×ｍの行列Ｙ∈｛−１，＋１｝^ｎδ×ｍをランダムに選び、Ｍ_α→β＝Ｙ［Ａ｜Ｂ_β］＋［Ｏ｜−Ｐ２（Ｓ_α）］∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を得る。アルゴリズムＲｅｋｅｙＧｅｎは、サイズｍ×ｍの行列Ｙ’∈｛−１，＋１｝^ｍ×ｍをランダムに選び、［Ｔ_β｜Ｎ_β］＝Ｙ’［Ａ｜Ｂ_β］∈Ｚ_ｑ ^{ｍ×（ｎ＋ｇ）}を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（Ｔ_β，Ｎ_β）∈Ｚ_ｑ ^ｍ×ｎ×Ｚ_ｑ ^ｍ×ｇを得る。アルゴリズムＲｅｋｅｙＧｅｎは、ＲＫ_α→β＝（ｒｋ_α→β，ｒｐｐ_β，ｒｅｋ_β）を変換鍵として出力する。

ＲｅＥｎｃ：アルゴリズムＲｅＥｎｃは、ＰＰ＝ｐｐ，ＲＫ_α→β＝（ｒｋ_α→β＝Ｍ_α→β，ｒｐｐ_β，ｒｅｋ_β），ｉｃｔ_α＝ｃ_α＝（Ｕ_α，Ｃ_α）（第１暗号文）を入力とし、以下を計算する。
１）Ｕ’｜Ｃ’＝ＢＤ（Ｕ_α）Ｍ_α→β∈Ｚ_ｑ ^ｎ＋ｇを得、（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）を得、暗号文ｃ’＝（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを得る。
２）ｒｐｐ_β＝Ｔ_β，ｒｅｋ_β＝Ｎ_β，平文とする零元を入力とし、ｍ個の要素からなるベクトルｅ_β∈｛−１，＋１｝^ｍをランダムに選び、暗号文ｃ’’＝（ｅ_βＴ_β，ｅ_βＮ_β）を得る。
３）ｏｃｔ_β＝（Ｕ’，Ｃ’＋Ｃ_α）＋（ｅ_βＴ_β，ｅ_βＮ_β）＝（Ｕ’＋ｅ_βＴ_β，Ｃ’＋Ｃ_α＋ｅ_βＮ_β）を変換済暗号文として出力する。

実施例２は実施例１の変形例である。本実施例で特記しない限り、記号の定義は実施例１と同じである。

＜確定的アルゴリズムＢＤ，Ｐ２の定義＞
実施例１と同じである。

＜再変換可能暗号方式＞
本実施例の再変換可能暗号方式π＝（ＳＵ，Ｇ，Ｅ，Ｄ，ＲＫＧ，Ｓｗｉｔｃｈ）を説明する。
ＳＵ：共通パラメータ生成アルゴリズムＳＵは、κを入力にとり、行列Ａ∈Ｚ_ｑ ^ｍ×ｎをランダムに選び、共通パラメータｐｐ＝（κ，１^ｎ，ｑ，ｍ，ｇ，χ，Ａ）を出力する（ｐｐ←ＳＵ（１^κ））。

Ｇ：鍵生成アルゴリズムＧは、ｐｐを入力にとり、行列Ｓ∈Ｚ_ｑ ^ｎ×ｇをランダムに選び、サイズｍ×ｇの行列Ｘ∈Ｚ_ｑ ^ｍ×ｇを分布χ^ｍ×ｇに従って選ぶ。行列Ｘの各要素は分布χに従う。鍵生成アルゴリズムＧは、Ｂ＝ＡＳ＋ｐＸ∈Ｚ_ｑ ^ｍ×ｇを計算し、ｅｋ＝Ｂおよびｄｋ＝（Ｓ，Ｂ）とし、暗号化鍵と復号鍵の組（ｅｋ，ｄｋ）を出力する（（ｅｋ，ｄｋ）←Ｇ（ｐｐ））。

Ｅ：暗号化アルゴリズムＥは、ｐｐ，ｅｋ＝Ｂ∈Ｚ_ｑ ^ｍ×ｇ，平文μ∈Ｚ_ｐ ^ｇを入力にとり、ｍ個の要素からなるベクトルｅ∈｛−１，＋１｝^ｍをランダムに選び、ｃ＝（Ｕ，Ｃ）＝（ｅＡ，ｅＢ＋μ）を計算し、暗号文ｃ＝（Ｕ，Ｃ）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを出力する（ｃ＝Ｅ（ｐｐ，ｅｋ，μ））。

Ｄ：復号アルゴリズムＤは、ｐｐ，ｄｋ＝（Ｓ，Ｂ），暗号文ｃ＝（Ｕ，Ｃ）を入力にとり、ｄ＝Ｃ−ＵＳｍｏｄｑを計算し、μ’＝ｄｍｏｄｐを計算し、平文μ’∈Ｚ_ｐ ^ｇを出力する（μ’←Ｄ（ｐｐ，ｄｋ，ｃ））。

ＲＫＧ：変換鍵生成アルゴリズムＲＫＧは、ｐｐ，ｄｋ_α＝（Ｓ_α，Ｂ_α），ｅｋ_β＝Ｂ_βを入力とする。変換鍵生成アルゴリズムＲＫＧは、サイズｎδ×ｍの行列Ｙ∈｛−１，＋１｝^ｎδ×ｍをランダムに選び、Ｍ_α→β←Ｙ［Ａ｜Ｂ_β］＋［Ｏ｜−Ｐ２（Ｓ_α）］∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を出力する（ｒｋ_α→β←ＲＫＧ（ｐｐ，ｄｋ_α，ｅｋ_β））。

Ｓｗｉｔｃｈ：変換アルゴリズムＳｗｉｔｃｈは、ｐｐ，ｒｋ_α→β＝Ｍ_α→β∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}，暗号文ｃ_α＝（Ｕ_α，Ｃ_α）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを入力にとる。ただし、暗号文ｃ_α＝（Ｕ_α，Ｃ_α）はユーザαの復号鍵ｄｋ_α＝（Ｓ_α，Ｂ_α）で復号可能な暗号文であり、暗号文ｃ_βはユーザβの復号鍵ｄｋ_β＝（Ｓ_β，Ｂ_β）で復号可能な暗号文である。ｄｋ_βは上述の暗号化鍵ｅｋ_β＝Ｂ_βに対応する。変換アルゴリズムＳｗｉｔｃｈは、ベクトルＵ_α∈Ｚ_ｑ ^ｎを入力としたアルゴリズムＢＤを実行してベクトルＢＤ（Ｕ_α）∈Ｚ_ｑ ^ｎδを得、Ｕ’｜Ｃ’←ＢＤ（Ｕ_α）Ｍ_α→β∈Ｚ_ｑ ^ｎ＋ｇとする。ただし、Ｕ’∈Ｚ_ｑ ^ｎかつＣ’∈Ｚ_ｑ ^ｇであり、Ｕ’の後にＣ’を結合したベクトルがＢＤ（Ｕ_α）Ｍ_α→βとなる。変換アルゴリズムＳｗｉｔｃｈは、さらに（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）を計算し、暗号文ｃ_β＝（Ｕ_β，Ｃ_β）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを出力する（ｃ_β←Ｓｗｉｔｃｈ（ｐｐ，ｒｋ_α→β，ｃ_α））。

Ｇｅｎ_ｙ：アルゴリズムＧｅｎ_ｙ（ただし、ｙ∈｛α，β｝）は、ｐｐを入力にとり、行列Ｓ_ｙ∈Ｚ_ｑ ^ｎ×ｇをランダムに選び、サイズｍ×ｇの行列Ｘ_ｙ∈Ｚ_ｑ ^ｍ×ｇを分布χ^ｍ×ｇに従って選ぶ。アルゴリズムＧｅｎ_ｙは、Ｂ_ｙ＝ＡＳ_ｙ＋ｐＸ_ｙ∈Ｚ_ｑ ^ｍ×ｇを計算し、ｉｅｋ_ｙ＝ｏｅｋ_ｙ＝Ｂ_ｙおよびｉｄｋ_ｙ＝ｏｄｋ_ｙ＝（Ｓ_ｙ，Ｂ_ｙ）とし、暗号化鍵と復号鍵の組（ｉｅｋ_ｙ＝ｏｅｋ_ｙ，ｉｄｋ_ｙ＝ｏｄｋ_ｙ）を出力する。

Ｅｎｃｉ：アルゴリズムＥｎｃｉは、再暗号化前の暗号文を生成する。ユーザｙ∈｛α,β｝に対応する暗号文を生成する場合、アルゴリズムＥｎｃｉは、ＰＰ＝ｐｐ，ｉｅｋ_ｙ＝Ｂ_ｙ，平文μを入力とし、ｍ個の要素からなるベクトルｅ_ｙ∈｛−１，＋１｝^ｍをランダムに選び、ｃ_ｙ＝（Ｕ_ｙ，Ｃ_ｙ）＝（ｅ_ｙＡ，ｅ_ｙＢ_ｙ＋μ）を計算し、ｃ_ｙ＝（Ｕ_ｙ，Ｃ_ｙ）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを暗号文ｉｃｔ_ｙとして出力する。

Ｄｅｃｉ：アルゴリズムＤｅｃｉは、再暗号化前の暗号文を復号する。ユーザｙ∈｛α,β｝に対応する暗号文を復号する場合、アルゴリズムＤｅｃｉは、ＰＰ＝ｐｐ，ｉｄｋ_ｙ＝（Ｓ_ｙ，Ｂ_ｙ），暗号文ｉｃｔ_ｙ＝ｃ_ｙ＝（Ｕ_ｙ，Ｃ_ｙ）を入力とし、ｄ_ｙ＝Ｃ_ｙ−Ｕ_ｙＳ_ｙｍｏｄｑを計算し、μ’＝ｄ_ｙｍｏｄｐを計算し、平文μ’∈Ｚ_ｐ ^ｇを出力する。

ＲｅｋｅｙＧｅｎ：実施例１と同じである。

ＲｅＥｎｃ：実施例１と同じである。

実施例３も実施例１の変形例である。本実施例で特記しない限り、記号の定義は実施例１と同じである。

＜再変換可能暗号方式＞
本実施例の再変換可能暗号方式π＝（ＳＵ，Ｇ，Ｅ，Ｄ，ＲＫＧ，Ｓｗｉｔｃｈ）を説明する。

ＳＵ：共通パラメータ生成アルゴリズムＳＵは、κを入力にとり、行列Ａ∈Ｚ_ｑ ^ｎ×ｎをランダムに選び、共通パラメータｐｐ＝（κ，１^ｎ，ｑ，ｇ，χ，Ａ）を出力する（ｐｐ←ＳＵ（１^κ））。

Ｇ：鍵生成アルゴリズムＧは、ｐｐを入力にとり、サイズｎ×ｇの行列Ｓ∈Ｚ_ｑ ^ｎ×ｇを分布χ^ｎ×ｇに従って選び、サイズｎ×ｇの行列Ｘ∈Ｚ_ｑ ^ｎ×ｇを分布χ^ｎ×ｇに従って選ぶ。鍵生成アルゴリズムＧは、Ｂ＝ＡＳ＋Ｘ∈Ｚ_ｑ ^ｎ×ｇを計算し、ｅｋ＝Ｂおよびｄｋ＝（Ｓ，Ｂ）とし、暗号化鍵と復号鍵の組（ｅｋ，ｄｋ）を出力する（（ｅｋ，ｄｋ）←Ｇ（ｐｐ））。

Ｅ：暗号化アルゴリズムＥは、ｐｐ，ｅｋ＝Ｂ∈Ｚ_ｑ ^ｎ×ｇ，平文μ∈Ｚ_ｐ ^ｇを入力にとり、ｎ個の要素からなるベクトルｅ_１，ｅ_２∈Ｚ_ｑ ^ｎおよびｇ個の要素からなるベクトルｅ_３∈Ｚ_ｑ ^ｇの各要素を分布χに従って選び、

を計算し、平文μ’∈Ｚ_ｐ ^ｇを出力する（μ’←Ｄ（ｐｐ，ｄｋ，ｃ））。

ＲＫＧ：変換鍵生成アルゴリズムＲＫＧは、ｐｐ，ｄｋ_α＝（Ｓ_α，Ｂ_α），ｅｋ_β＝Ｂ_βを入力とする。変換鍵生成アルゴリズムＲＫＧは、サイズｎδ×ｎの行列Ｙ_１，Ｙ_２∈Ｚ_ｑ ^ｎδ×ｎおよびサイズサイズｎδ×ｇの行列Ｙ_３∈Ｚ_ｑ ^ｎδ×ｇの各要素を分布χに従って選び、Ｍ_α→β＝Ｙ_１［Ａ｜Ｂ_β］＋［Ｙ_２｜Ｙ_３］＋［Ｏ｜−Ｐ２（Ｓ_α）］∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を出力する（ｒｋ_α→β←ＲＫＧ（ｐｐ，ｄｋ_α，ｅｋ_β））。

ＲＧ：ランダム化鍵生成アルゴリズムＲＧは、ｐｐ，ｅｋ_β＝Ｂ_βを入力にとり、サイズｎ×ｎの行列Ｙ_１’，Ｙ_２’∈Ｚ_ｑ ^ｎ×ｎおよびサイズｎ×ｇの行列Ｙ_３’∈Ｚ_ｑ ^ｎ×ｇの各要素を分布χに従って選び、［Ｔ_β｜Ｎ_β］＝Ｙ_１’［Ａ｜Ｂ_β］＋［Ｙ_２’｜Ｙ_３’］∈Ｚ_ｑ ^{ｎ×（ｎ＋ｇ）}を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（Ｔ_β，Ｎ_β）∈Ｚ_ｑ ^ｎ×ｎ×Ｚ_ｑ ^ｎ×ｇを出力する（（ｒｐｐ_β，ｒｅｋ_β）←ＲＧ（ｐｐ，ｅｋ_β））。

Ｓｅｔｕｐ：アルゴリズムＳｅｔｕｐは、κを入力としてｐｐ←ＳＵ（１^κ）を計算し、ＰＰ＝ｐｐ＝（κ，１^ｎ，ｑ，ｇ，χ，Ａ）を出力する。

Ｇｅｎ_ｙ：アルゴリズムＧｅｎ_ｙ（ただし、ｙ∈｛α，β｝）は、ｐｐを入力にとり、サイズｎ×ｇの行列Ｓ_ｙ∈Ｚ_ｑ ^ｎ×ｇを分布χ^ｎ×ｇに従って選び、サイズｎ×ｇの行列Ｘ_ｙ∈Ｚ_ｑ ^ｎ×ｇを分布χ^ｎ×ｇに従って選ぶ。アルゴリズムＧｅｎ_ｙは、Ｂ_ｙ＝ＡＳ_ｙ＋Ｘ_ｙ∈Ｚ_ｑ ^ｎ×ｇを計算し、ｉｅｋ_ｙ＝ｏｅｋ_ｙ＝Ｂ_ｙおよびｉｄｋ_ｙ＝ｏｄｋ_ｙ＝（Ｓ_ｙ，Ｂ_ｙ）とし、暗号化鍵と復号鍵の組（ｉｅｋ_ｙ＝ｏｅｋ_ｙ，ｉｄｋ_ｙ＝ｏｄｋ_ｙ）を出力する。

Ｅｎｃｉ：アルゴリズムＥｎｃｉは、再暗号化前の暗号文を生成する。ユーザｙ∈｛α,β｝に対応する暗号文を生成する場合、アルゴリズムＥｎｃｉは、ＰＰ＝ｐｐ，ｉｅｋ_ｙ＝Ｂ_ｙ，平文μを入力とし、ｎ個の要素からなるベクトル_ｙｅ_１，_ｙｅ_２∈Ｚ_ｑ ^ｎおよびｇ個の要素からなるベクトル_ｙｅ_３∈Ｚ_ｑ ^ｇの各要素を分布χに従って選び、

を計算し、平文μ’∈Ｚ_ｐ ^ｇを出力する。

ＲｅｋｅｙＧｅｎ：アルゴリズムＲｅｋｅｙＧｅｎは、ＰＰ＝ｐｐ，ｉｄｋ_α＝（Ｓ_α，Ｂ_α）（第１復号鍵），ｏｅｋ_β＝Ｂ_β（第２暗号化鍵）を入力とし、サイズｎδ×ｎの行列Ｙ_１，Ｙ_２∈Ｚ_ｑ ^ｎδ×ｎおよびサイズサイズｎδ×ｇの行列Ｙ_３∈Ｚ_ｑ ^ｎδ×ｇの各要素を分布χに従って選び、Ｍ_α→β＝Ｙ_１［Ａ｜Ｂ_β］＋［Ｙ_２｜Ｙ_３］＋［Ｏ｜−Ｐ２（Ｓ_α）］∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を得る。アルゴリズムＲｅｋｅｙＧｅｎは、サイズｎ×ｎの行列Ｙ_１’，Ｙ_２’∈Ｚ_ｑ ^ｎ×ｎおよびサイズｎ×ｇの行列Ｙ_３’∈Ｚ_ｑ ^ｎ×ｇの各要素を分布χに従って選び、［Ｔ_β｜Ｎ_β］＝Ｙ_１’［Ａ｜Ｂ_β］＋［Ｙ_２’｜Ｙ_３’］∈Ｚ_ｑ ^{ｎ×（ｎ＋ｇ）}を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（Ｔ_β，Ｎ_β）∈Ｚ_ｑ ^ｎ×ｎ×Ｚ_ｑ ^ｎ×ｇを得る。アルゴリズムＲｅｋｅｙＧｅｎは、ＲＫ_α→β＝（ｒｋ_α→β，ｒｐｐ_β，ｒｅｋ_β）を変換鍵として出力する。

ＲｅＥｎｃ：アルゴリズムＲｅＥｎｃは、ＰＰ＝ｐｐ，ＲＫ_α→β＝（ｒｋ_α→β＝Ｍ_α→β，ｒｐｐ_β，ｒｅｋ_β），ｉｃｔ_α＝ｃ_α＝（Ｕ_α，Ｃ_α）（第１暗号文）を入力とし、以下を計算する。
１）Ｕ’｜Ｃ’＝ＢＤ（Ｕ_α）Ｍ_α→β∈Ｚ_ｑ ^ｎ＋ｇを得、（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）を得、暗号文ｃ’＝（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを得る。
２）ｒｐｐ_β＝Ｔ_β，ｒｅｋ_β＝Ｎ_β，平文とする零元を入力とし、ｎ個の要素からなるベクトルｅ_１，ｅ_２∈Ｚ_ｑ ^ｎおよびｇ個の要素からなるベクトルｅ_３∈Ｚ_ｑ ^ｇの各要素を分布χに従って選び、ｃ’’＝（ｅ_１Ｔ_β＋ｅ_２，ｅ_１Ｎ_β＋ｅ_３）を得る。
３）ｏｃｔ_β＝（Ｕ’，Ｃ’＋Ｃ_α）＋（ｅ_１Ｔ_β＋ｅ_２，ｅ_１Ｎ_β＋ｅ_３）＝（Ｕ’＋ｅ_１Ｔ_β＋ｅ_２，Ｃ’＋Ｃ_α＋ｅ_１Ｎ_β＋ｅ_３）を変換済暗号文として出力する。

実施例４は実施例３の変形例である。本実施例で特記しない限り、記号の定義は実施例１と同じである。

Ｇ：鍵生成アルゴリズムＧは、ｐｐを入力にとり、サイズｎ×ｇの行列Ｓ_ｙ∈Ｚ_ｑ ^ｎ×ｇを分布χ^ｎ×ｇに従って選び、行列Ｓ∈Ｚ_ｑ ^ｎ×ｇを分布χ^ｎ×ｇに従って選ぶ。鍵生成アルゴリズムＧは、Ｂ＝ＡＳ＋ｐＸ∈Ｚ_ｑ ^ｎ×ｇを計算し、ｅｋ＝Ｂおよびｄｋ＝（Ｓ，Ｂ）とし、暗号化鍵と復号鍵の組（ｅｋ，ｄｋ）を出力する（（ｅｋ，ｄｋ）←Ｇ（ｐｐ））。

Ｅ：暗号化アルゴリズムＥは、ｐｐ，ｅｋ＝Ｂ∈Ｚ_ｑ ^ｎ×ｇ，平文μ∈Ｚ_ｐ ^ｇを入力にとり、ｎ個の要素からなるベクトルｅ_１，ｅ_２∈Ｚ_ｑ ^ｎおよびｇ個の要素からなるベクトルｅ_３∈Ｚ_ｑ ^ｇの各要素を分布χに従って選び、ｃ＝（Ｕ，Ｃ）＝（ｅ_１Ａ＋ｐｅ_２，ｅ_１Ｂ＋ｅ_３＋μ）を計算し、暗号文ｃ＝（Ｕ，Ｃ）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを出力する（ｃ＝Ｅ（ｐｐ，ｅｋ，μ））。

ＲＫＧ：変換鍵生成アルゴリズムＲＫＧは、ｐｐ，ｄｋ_α＝（Ｓ_α，Ｂ_α），ｅｋ_β＝Ｂ_βを入力とする。変換鍵生成アルゴリズムＲＫＧは、サイズｎδ×ｎの行列Ｙ_１，Ｙ_２∈Ｚ_ｑ ^ｎδ×ｎおよびサイズサイズｎδ×ｇの行列Ｙ_３∈Ｚ_ｑ ^ｎδ×ｇの各要素を分布χに従って選び、Ｍ_α→β＝Ｙ_１［Ａ｜Ｂ_β］＋ｐ［Ｙ_２｜Ｙ_３］＋［Ｏ｜−Ｐ２（Ｓ_α）］∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を出力する（ｒｋ_α→β←ＲＫＧ（ｐｐ，ｄｋ_α，ｅｋ_β））。

ＲＧ：ランダム化鍵生成アルゴリズムＲＧは、ｐｐ，ｅｋ_β＝Ｂ_βを入力にとり、サイズｎ×ｎの行列Ｙ_１’，Ｙ_２’∈Ｚ_ｑ ^ｎ×ｎおよびサイズｎ×ｇの行列Ｙ_３’∈Ｚ_ｑ ^ｎ×ｇの各要素を分布χに従って選び、［Ｔ_β｜Ｎ_β］＝Ｙ_１’［Ａ｜Ｂ_β］＋ｐ［Ｙ_２’｜Ｙ_３’］∈Ｚ_ｑ ^{ｎ×（ｎ＋ｇ）}を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（Ｔ_β，Ｎ_β）∈Ｚ_ｑ ^ｎ×ｎ×Ｚ_ｑ ^ｎ×ｇを出力する（（ｒｐｐ_β，ｒｅｋ_β）←ＲＧ（ｐｐ，ｅｋ_β））。

Ｓｗｉｔｃｈ：変換アルゴリズムＳｗｉｔｃｈは、ｐｐ，ｒｋ_α→β＝Ｍ_α→β∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}，暗号文ｃ_α＝（Ｕ_α，Ｃ_α）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを入力にとる。ただし、暗号文ｃ_α＝（Ｕ_α，Ｃ_α）はユーザαの復号鍵ｄｋ_α＝（Ｓ_α，Ｂ_α）で復号可能な暗号文であり、暗号文ｃ_βはユーザβの復号鍵ｄｋ_β＝（Ｓ_β，Ｂ_β）で復号可能な暗号文である。ｄｋ_βは上述の暗号化鍵ｅｋ_β＝Ｂ_βに対応する。変換アルゴリズムＳｗｉｔｃｈは、ベクトルＵ_α∈Ｚ_ｑ ^ｎを入力としたアルゴリズムＢＤを実行してベクトルＢＤ（Ｕ_α）∈Ｚ_ｑ ^ｎδを得、Ｕ’｜Ｃ’＝ＢＤ（Ｕ_α）Ｍ_α→β∈Ｚ_ｑ ^ｎ＋ｇとする。変換アルゴリズムＳｗｉｔｃｈは、さらに（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）を計算し、暗号文ｃ_β＝（Ｕ_β，Ｃ_β）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを出力する（ｃ_β←Ｓｗｉｔｃｈ（ｐｐ，ｒｋ_α→β，ｃ_α））。

Ｇｅｎ_ｙ：アルゴリズムＧｅｎ_ｙ（ただし、ｙ∈｛α，β｝）は、ｐｐを入力にとり、サイズｎ×ｇの行列Ｓ_ｙ∈Ｚ_ｑ ^ｎ×ｇを分布χ^ｎ×ｇに従って選び、サイズｎ×ｇの行列Ｘ_ｙ∈Ｚ_ｑ ^ｎ×ｇを分布χ^ｎ×ｇに従って選ぶ。アルゴリズムＧｅｎ_ｙは、Ｂ_ｙ＝ＡＳ_ｙ＋ｐＸ_ｙ∈Ｚ_ｑ ^ｎ×ｇを計算し、ｉｅｋ_ｙ＝ｏｅｋ_ｙ＝Ｂ_ｙおよびｉｄｋ_ｙ＝ｏｄｋ_ｙ＝（Ｓ_ｙ，Ｂ_ｙ）とし、暗号化鍵と復号鍵の組（ｉｅｋ_ｙ＝ｏｅｋ_ｙ，ｉｄｋ_ｙ＝ｏｄｋ_ｙ）を出力する。

Ｅｎｃｉ：アルゴリズムＥｎｃｉは、再暗号化前の暗号文を生成する。ユーザｙ∈｛α,β｝に対応する暗号文を生成する場合、アルゴリズムＥｎｃｉは、ＰＰ＝ｐｐ，ｉｅｋ_ｙ＝Ｂ_ｙ，平文μを入力とし、ｎ個の要素からなるベクトル_ｙｅ_１，_ｙｅ_２∈Ｚ_ｑ ^ｎおよびｇ個の要素からなるベクトル_ｙｅ_３∈Ｚ_ｑ ^ｇの各要素を分布χに従って選び、ｃ_ｙ＝（Ｕ_ｙ，Ｃ_ｙ）＝（_ｙｅ_１Ａ＋ｐ_ｙｅ_２，_ｙｅ_１Ｂ_ｙ＋_ｙｅ_３＋μ）を計算し、ｃ_ｙ＝（Ｕ_ｙ，Ｃ_ｙ）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを暗号文ｉｃｔ_ｙとして出力する。

ＲｅｋｅｙＧｅｎ：アルゴリズムＲｅｋｅｙＧｅｎは、ＰＰ＝ｐｐ，ｉｄｋ_α＝（Ｓ_α，Ｂ_α）（第１復号鍵），ｏｅｋ_β＝Ｂ_β（第２暗号化鍵）を入力とし、サイズｎδ×ｎの行列Ｙ_１，Ｙ_２∈Ｚ_ｑ ^ｎδ×ｎおよびサイズサイズｎδ×ｇの行列Ｙ_３∈Ｚ_ｑ ^ｎδ×ｇの各要素を分布χに従って選び、Ｍ_α→β＝Ｙ_１［Ａ｜Ｂ_β］＋ｐ［Ｙ_２｜Ｙ_３］＋［Ｏ｜−Ｐ２（Ｓ_α）］∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｚ_ｑ ^{ｎδ×（ｎ＋ｇ）}を得る。アルゴリズムＲｅｋｅｙＧｅｎは、サイズｎ×ｎの行列Ｙ_１’，Ｙ_２’∈Ｚ_ｑ ^ｎ×ｎおよびサイズｎ×ｇの行列Ｙ_３’∈Ｚ_ｑ ^ｎ×ｇの各要素を分布χに従って選び、［Ｔ_β｜Ｎ_β］＝Ｙ_１’［Ａ｜Ｂ_β］＋ｐ［Ｙ_２’｜Ｙ_３’］∈Ｚ_ｑ ^{ｎ×（ｎ＋ｇ）}を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（Ｔ_β，Ｎ_β）∈Ｚ_ｑ ^ｎ×ｎ×Ｚ_ｑ ^ｎ×ｇを得る。アルゴリズムＲｅｋｅｙＧｅｎは、ＲＫ_α→β＝（ｒｋ_α→β，ｒｐｐ_β，ｒｅｋ_β）を変換鍵として出力する。

ＲｅＥｎｃ：アルゴリズムＲｅＥｎｃは、ＰＰ＝ｐｐ，ＲＫ_α→β＝（ｒｋ_α→β＝Ｍ_α→β，ｒｐｐ_β，ｒｅｋ_β），ｉｃｔ_α＝ｃ_α＝（Ｕ_α，Ｃ_α）（第１暗号文）を入力とし、以下を計算する。
１）Ｕ’｜Ｃ’＝ＢＤ（Ｕ_α）Ｍ_α→β∈Ｚ_ｑ ^ｎ＋ｇを得、（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）を得、暗号文ｃ’＝（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）∈Ｚ_ｑ ^ｎ×Ｚ_ｑ ^ｇを得る。
２）ｒｐｐ_β＝Ｔ_β，ｒｅｋ_β＝Ｎ_β，平文とする零元を入力とし、ｎ個の要素からなるベクトルｅ_１，ｅ_２∈Ｚ_ｑ ^ｎおよびｇ個の要素からなるベクトルｅ_３∈Ｚ_ｑ ^ｇの各要素を分布χに従って選び、ｃ’’＝（ｅ_１Ｔ_β＋ｐｅ_２，ｅ_１Ｎ_β＋ｅ_３）を得る。
３）ｏｃｔ_β＝（Ｕ’，Ｃ’＋Ｃ_α）＋（ｅ_１Ｔ_β＋ｐｅ_２，ｅ_１Ｎ_β＋ｅ_３）＝（Ｕ’＋ｅ_１Ｔ_β＋ｐｅ_２，Ｃ’＋Ｃ_α＋ｅ_１Ｎ_β＋ｅ_３）を変換済暗号文として出力する。

実施例５では、実施例１と同様な構成を多項式環上で実現する。

＜確定的アルゴリズムＢＤ，Ｐ２の定義＞
参考文献１に記載された確定的アルゴリズムＢＤ，Ｐ２を以下のように定義する。
ｋ（κ）を整数関数とし、ｎ（κ）＝２^ｋ（κ）とする。ｆ（ｘ）＝ｘ^ｎ＋１とする。ただし、ｎは１以上の整数である。ｑ（κ）を整数関数とし、ｑ＝ｑ（κ）を素数とする。環Ｒ＝Ｚ［ｘ］／（ｆ（ｘ））とし、Ｒ_ｑ＝Ｒ／ｑＲとする。１以上の整数ｐ，δについてｐ^δ−１≦ｑ＜ｐ^δを満たすとする。

ＢＤ：アルゴリズムＢＤは、ｘ∈Ｒ_ｑを入力にとり、ｋ＝１，・・・，δについて、ｕ_ｋ∈Ｒ_ｐを

を満たすように計算し、（ｕ_１，・・・，ｕ_δ）∈Ｒ_ｐ ^δを出力する。（ｕ_１，・・・，ｕ_δ）∈Ｒ_ｐ ^δは（ｕ_１，・・・，ｕ_δ）がδ個の環Ｒの元からなるとを意味する。

Ｐ２：アルゴリズムＰ２は、ｓ∈Ｒ_ｑを入力にとり、

を出力する。これらのアルゴリズムの定義より、任意のｘ，ｓ∈Ｒ_ｑについて、ＢＤ（ｘ）Ｐ２（ｓ）＝ｘｓ∈Ｒ_ｑを満たす。

＜再変換可能暗号方式＞
本実施例の再変換可能暗号方式π＝（ＳＵ，Ｇ，Ｅ，Ｄ，ＲＫＧ，Ｓｗｉｔｃｈ）を説明する。ＳＵ，Ｇ，Ｅ，Ｄは参考文献１や参考文献２（Vadim Lyubashevsky, Chris Peikert, and Oded Regev, On ideal lattices and learning with errors over rings, in Henri Gilbert, editor, EUROCRYPT 2010, volume 6110 of LNCS, pages 1-23, Springer, Heidelberg, 2010.）に基づいている。Ｓｗｉｔｃｈは参考文献１に基づいている。

ＳＵ：共通パラメータ生成アルゴリズムＳＵは、κを入力にとり、行列Ａ∈Ｒ_ｑ ^ｍ×１をランダムに選び、共通パラメータｐｐ＝（κ，１^ｎ，ｑ，ｍ，ｇ，χ，Ａ）を出力する（ｐｐ←ＳＵ（１^κ））。ただし、ｎ，ｍ，ｇは１以上の整数である。分布χおよび天井関数の定義は実施例１と同じである。

Ｇ：鍵生成アルゴリズムＧは、ｐｐを入力にとり、ｓ∈Ｒ_ｑをランダムに選び、サイズｍ×１の行列Ｘ∈Ｒ_ｑ ^ｍ×１を分布χ^ｍ×１に従って選ぶ。すなわち、行列Ｘの各要素は分布χに従う。鍵生成アルゴリズムＧは、Ｂ＝Ａｓ＋Ｘ∈Ｒ_ｑ ^ｍ×１を計算し、ｅｋ＝Ｂおよびｄｋ＝（ｓ，Ｂ）とし、暗号化鍵と復号鍵の組（ｅｋ，ｄｋ）を出力する（（ｅｋ，ｄｋ）←Ｇ（ｐｐ））。

Ｅ：暗号化アルゴリズムＥは、ｐｐ，ｅｋ＝Ｂ∈Ｒ_ｑ ^ｍ×１，平文μ∈Ｒ_ｐを入力にとり、ｍ個の要素からなるｅ∈Ｒ_ｑ ^ｍをランダムに選び、

を計算し、暗号文ｃ＝（Ｕ，Ｃ）∈Ｒ_ｑ×Ｒ_ｑを出力する（ｃ＝Ｅ（ｐｐ，ｅｋ，μ））。

を計算し、平文μ’∈Ｒ_ｐを出力する（μ’←Ｄ（ｐｐ，ｄｋ，ｃ））。

ＲＫＧ：変換鍵生成アルゴリズムＲＫＧは、ｐｐ，ｄｋ_α＝（ｓ_α，Ｂ_α），ｅｋ_β＝Ｂ_βを入力とする。ただし、ｄｋ_α＝（ｓ_α，Ｂ_α）はユーザαに対して得られた復号鍵であり、ｅｋ_β＝Ｂ_βはユーザβに対して得られた暗号化鍵である。何れの鍵も鍵生成アルゴリズムＧによって得られたものである。変換鍵生成アルゴリズムＲＫＧは、サイズδ×ｍの行列Ｙ∈Ｒ_２ ^δ×ｍをランダムに選び、Ｍ_α→β＝Ｙ［Ａ｜Ｂ_β］＋［Ｏ｜−Ｐ２（ｓ_α）］∈Ｒ_ｑ ^δ×２を計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｒ_ｑ ^δ×２を出力する（ｒｋ_α→β←ＲＫＧ（ｐｐ，ｄｋ_α，ｅｋ_β））。ただし、行列Ａ∈Ｒ_ｑ ^ｍ×１および行列Ｂ_β∈Ｒ_ｑ ^ｍ×１に対する［Ａ｜Ｂ_β］∈Ｒ_ｑ ^ｍ×２は、行列Ａの１個の列の後に行列Ｂ_βの１個の列を連結したサイズｍ×２の行列である。また、Ｏはδ個の零要素からなる列Ｏ∈Ｒ_ｑ ^δであり、すべての要素がＲ_ｑの０からなる。

ＲＧ：ランダム化鍵生成アルゴリズムＲＧは、ｐｐ，ｅｋ_β＝Ｂ_βを入力にとり、サイズｍ×ｍの行列Ｙ’∈Ｒ_２ ^ｍ×ｍをランダムに選び、［Ｔ_β｜Ｎ_β］＝Ｙ’［Ａ｜Ｂ_β］∈Ｒ_ｑ ^ｍ×２を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（Ｔ_β，Ｎ_β）∈Ｒ_ｑ ^ｍ×１×Ｒ_ｑ ^ｍ×１を出力する（（ｒｐｐ_β，ｒｅｋ_β）←ＲＧ（ｐｐ，ｅｋ_β））。

Ｓｗｉｔｃｈ：変換アルゴリズムＳｗｉｔｃｈは、ｐｐ，ｒｋ_α→β＝Ｍ_α→β∈Ｒ_ｑ ^δ×２，暗号文ｃ_α＝（Ｕ_α，Ｃ_α）∈Ｒ_ｑ×Ｒ_ｑを入力にとる。ただし、暗号文ｃ_α＝（Ｕ_α，Ｃ_α）はユーザαの復号鍵ｄｋ_α＝（ｓ_α，Ｂ_α）で復号可能な暗号文であり、暗号文ｃ_βはユーザβの復号鍵ｄｋ_β＝（ｓ_β，Ｂ_β）で復号可能な暗号文である。ｄｋ_βは上述の暗号化鍵ｅｋ_β＝Ｂ_βに対応する。変換アルゴリズムＳｗｉｔｃｈは、Ｕ_α∈Ｒ_ｑを入力としたアルゴリズムＢＤを実行してＢＤ（Ｕ_α）∈Ｒ_ｑ ^δを得、（Ｕ’，Ｃ’）＝ＢＤ（Ｕ_α）Ｍ_α→β∈Ｒ_ｑ×Ｒ_ｑとする。変換アルゴリズムＳｗｉｔｃｈは、さらに（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）を計算し、暗号文ｃ_β＝（Ｕ_β，Ｃ_β）∈Ｒ_ｑ×Ｒ_ｑを出力する（ｃ_β←Ｓｗｉｔｃｈ（ｐｐ，ｒｋ_α→β，ｃ_α））。

Ｇｅｎ_ｙ：アルゴリズムＧｅｎ_ｙ（ただし、ｙ∈｛α，β｝）は、ｐｐを入力にとり、ｓ_ｙ∈Ｒ_ｑをランダムに選び、サイズｍ×１の行列Ｘ_ｙ∈Ｒ_ｑ ^ｍ×１を分布χ^ｍ×１に従って選ぶ。アルゴリズムＧｅｎ_ｙは、Ｂ_ｙ＝Ａｓ_ｙ＋Ｘ_ｙ∈Ｒ_ｑ ^ｍ×１を計算し、ｉｅｋ_ｙ＝ｏｅｋ_ｙ＝Ｂ_ｙおよびｉｄｋ_ｙ＝ｏｄｋ_ｙ＝（ｓ_ｙ，Ｂ_ｙ）とし、暗号化鍵と復号鍵の組（ｉｅｋ_ｙ＝ｏｅｋ_ｙ，ｉｄｋ_ｙ＝ｏｄｋ_ｙ）を出力する。

Ｅｎｃｉ：アルゴリズムＥｎｃｉは、再暗号化前の暗号文を生成する。ユーザｙ∈｛α,β｝に対応する暗号文を生成する場合、アルゴリズムＥｎｃｉは、ＰＰ＝ｐｐ，ｉｅｋ_ｙ＝Ｂ_ｙ，平文μ∈Ｒ_ｐを入力とし、ｍ個の要素からなるｅ_ｙ∈Ｒ_ｑ ^ｍをランダムに選び、

を計算し、ｃ_ｙ＝（Ｕ_ｙ，Ｃ_ｙ）∈Ｒ_ｑ×Ｒ_ｑを暗号文ｉｃｔ_ｙとして出力する。

を計算し、平文μ’∈Ｒ_ｐを出力する。

ＲｅｋｅｙＧｅｎ：アルゴリズムＲｅｋｅｙＧｅｎは、ＰＰ＝ｐｐ，ｉｄｋ_α＝（ｓ_α，Ｂ_α）（第１復号鍵），ｏｅｋ_β＝Ｂ_β（第２暗号化鍵）を入力とし、サイズδ×ｍの行列Ｙ∈Ｒ_２ ^δ×ｍをランダムに選び、Ｍ_α→β＝Ｙ［Ａ｜Ｂ_β］＋［Ｏ｜−Ｐ２（ｓ_α）］∈Ｒ_ｑ ^δ×２を計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｒ_ｑ ^δ×２を得る。アルゴリズムＲｅｋｅｙＧｅｎは、サイズｍ×ｍの行列Ｙ’∈Ｒ_２ ^ｍ×ｍをランダムに選び、（Ｔ_β，Ｎ_β）＝Ｙ’［Ａ｜Ｂ_β］∈Ｒ_ｑ ^ｍ×１×Ｒ_ｑ ^ｍ×１を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（Ｔ_β，Ｎ_β）∈Ｒ_ｑ ^ｍ×１×Ｒ_ｑ ^ｍ×１を得る。アルゴリズムＲｅｋｅｙＧｅｎは、ＲＫ_α→β＝（ｒｋ_α→β，ｒｐｐ_β，ｒｅｋ_β）を変換鍵として出力する。

ＲｅＥｎｃ：アルゴリズムＲｅＥｎｃは、ＰＰ＝ｐｐ，ＲＫ_α→β＝（ｒｋ_α→β＝Ｍ_α→β，ｒｐｐ_β，ｒｅｋ_β），ｉｃｔ_α＝ｃ_α＝（Ｕ_α，Ｃ_α）（第１暗号文）を入力とし、以下を計算する。
１）（Ｕ’，Ｃ’）＝ＢＤ（Ｕ_α）Ｍ_α→β∈Ｒ_ｑ×Ｒ_ｑを得、（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）を得、暗号文ｃ’＝（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）∈Ｒ_ｑ×Ｒ_ｑを得る。
２）ｒｐｐ_β＝Ｔ_β，ｒｅｋ_β＝Ｎ_β，平文とする零元を入力とし、ｍ個の要素からなるｅ_β∈Ｒ_ｑ ^ｍをランダムに選び、暗号文ｃ’’＝（ｅ_βＴ_β，ｅ_βＮ_β）∈Ｒ_ｑ×Ｒ_ｑを得る。
３）ｏｃｔ_β＝（Ｕ’，Ｃ’＋Ｃ_α）＋（ｅ_βＴ_β，ｅ_βＮ_β）＝（Ｕ’＋ｅ_βＴ_β，Ｃ’＋Ｃ_α＋ｅ_βＮ_β）∈Ｒ_ｑ×Ｒ_ｑを変換済暗号文として出力する。

実施例６は実施例５の変形例である。本実施例で特記しない限り、記号の定義は実施例５と同じである。

＜確定的アルゴリズムＢＤ，Ｐ２の定義＞
実施例５と同じである。

＜再変換可能暗号方式＞
本実施例の再変換可能暗号方式π＝（ＳＵ，Ｇ，Ｅ，Ｄ，ＲＫＧ，Ｓｗｉｔｃｈ）を説明する。
ＳＵ：共通パラメータ生成アルゴリズムＳＵは、κを入力にとり、行列Ａ∈Ｒ_ｑ ^ｍ×１をランダムに選び、共通パラメータｐｐ＝（κ，１^ｎ，ｑ，ｍ，ｇ，χ，Ａ）を出力する（ｐｐ←ＳＵ（１^κ））。

Ｇ：鍵生成アルゴリズムＧは、ｐｐを入力にとり、ｓ∈Ｒ_ｑをランダムに選び、サイズｍ×１の行列Ｘ∈Ｒ_ｑ ^ｍ×１を分布χ^ｍ×１に従って選ぶ。鍵生成アルゴリズムＧは、Ｂ＝Ａｓ＋ｐＸ∈Ｒ_ｑ ^ｍ×１を計算し、ｅｋ＝Ｂおよびｄｋ＝（ｓ，Ｂ）とし、暗号化鍵と復号鍵の組（ｅｋ，ｄｋ）を出力する（（ｅｋ，ｄｋ）←Ｇ（ｐｐ））。

Ｅ：暗号化アルゴリズムＥは、ｐｐ，ｅｋ＝Ｂ∈Ｒ_ｑ ^ｍ×１，平文μ∈Ｒ_ｐを入力にとり、ｍ個の要素からなるｅ∈Ｒ_ｑ ^ｍをランダムに選び、ｃ＝（Ｕ，Ｃ）＝（ｅＡ，ｅＢ＋μ）を計算し、暗号文ｃ＝（Ｕ，Ｃ）∈Ｒ_ｑ×Ｒ_ｑを出力する（ｃ＝Ｅ（ｐｐ，ｅｋ，μ））。

Ｄ：復号アルゴリズムＤは、ｐｐ，ｄｋ＝（ｓ，Ｂ），暗号文ｃ＝（Ｕ，Ｃ）を入力にとり、ｄ＝Ｃ−Ｕｓｍｏｄｑを計算し、μ’＝ｄｍｏｄｐを計算し、平文μ’∈Ｒ_ｐを出力する（μ’←Ｄ（ｐｐ，ｄｋ，ｃ））。

ＲＫＧ：変換鍵生成アルゴリズムＲＫＧは、ｐｐ，ｄｋ_α＝（ｓ_α，Ｂ_α），ｅｋ_β＝Ｂ_βを入力とする。変換鍵生成アルゴリズムＲＫＧは、サイズδ×ｍの行列Ｙ∈Ｒ_２ ^δ×ｍをランダムに選び、Ｍ_α→β＝Ｙ［Ａ｜Ｂ_β］＋［Ｏ｜−Ｐ２（ｓ_α）］∈Ｒ_ｑ ^δ×２を計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｒ_ｑ ^δ×２を出力する（ｒｋ_α→β←ＲＫＧ（ｐｐ，ｄｋ_α，ｅｋ_β））。

Ｇｅｎ_ｙ：アルゴリズムＧｅｎ_ｙ（ただし、ｙ∈｛α，β｝）は、ｐｐを入力にとり、ｓ_ｙ∈Ｒ_ｑをランダムに選び、サイズｍ×１の行列Ｘ_ｙ∈Ｒ_ｑ ^ｍ×１を分布χ^ｍ×１に従って選ぶ。アルゴリズムＧｅｎ_ｙは、Ｂ_ｙ＝Ａｓ_ｙ＋ｐＸ_ｙ∈Ｒ_ｑ ^ｍ×１を計算し、ｉｅｋ_ｙ＝ｏｅｋ_ｙ＝Ｂ_ｙおよびｉｄｋ_ｙ＝ｏｄｋ_ｙ＝（ｓ_ｙ，Ｂ_ｙ）とし、暗号化鍵と復号鍵の組（ｉｅｋ_ｙ＝ｏｅｋ_ｙ，ｉｄｋ_ｙ＝ｏｄｋ_ｙ）を出力する。

Ｅｎｃｉ：アルゴリズムＥｎｃｉは、再暗号化前の暗号文を生成する。ユーザｙ∈｛α,β｝に対応する暗号文を生成する場合、アルゴリズムＥｎｃｉは、ＰＰ＝ｐｐ，ｉｅｋ_ｙ＝Ｂ_ｙ，平文μを入力とし、ｍ個の要素からなるｅ_ｙ∈Ｒ_ｑ ^ｍをランダムに選び、ｃ_ｙ＝（Ｕ_ｙ，Ｃ_ｙ）＝（ｅ_ｙＡ，ｅ_ｙＢ_ｙ＋μ）を計算し、ｃ_ｙ＝（Ｕ_ｙ，Ｃ_ｙ）∈Ｒ_ｑ×Ｒ_ｑを暗号文ｉｃｔ_ｙとして出力する。

Ｄｅｃｉ：アルゴリズムＤｅｃｉは、再暗号化前の暗号文を復号する。ユーザｙ∈｛α,β｝に対応する暗号文を復号する場合、アルゴリズムＤｅｃｉは、ＰＰ＝ｐｐ，ｉｄｋ_ｙ＝（ｓ_ｙ，Ｂ_ｙ），暗号文ｉｃｔ_ｙ＝ｃ_ｙ＝（Ｕ_ｙ，Ｃ_ｙ）を入力とし、ｄ_ｙ＝Ｃ_ｙ−Ｕ_ｙｓ_ｙｍｏｄｑを計算し、μ’＝ｄ_ｙｍｏｄｐを計算し、平文μ’∈Ｒ_ｐを出力する。

ＲｅｋｅｙＧｅｎ：実施例５と同じである。

ＲｅＥｎｃ：実施例５と同じである。

実施例７のＳＵ，Ｇ，Ｅ，Ｄは、参考文献２に基づき、Ｓｗｉｔｃｈは参考文献３（Zvika Brakerski and Vinod Vaikuntanathan, Fully homomorphic encryption from ring-LWE and security for key dependent messages, in Phillip Rogaway, editor, CRYPTO 2011, volume 6841 of LNCS, pages 505-524, Springer, Heidelberg, 2011.）に基づく。本実施例で特記しない限り、記号の定義は実施例５と同じである。

＜再変換可能暗号方式＞
ＳＵ：共通パラメータ生成アルゴリズムＳＵは、κを入力にとり、ａ∈Ｒ_ｑをランダムに選び、共通パラメータｐｐ＝（κ，ｎ，ｑ，χ，ａ）を出力する（ｐｐ←ＳＵ（１^κ））。

Ｇ：鍵生成アルゴリズムＧは、ｐｐを入力にとり、ｓ，ｘ∈Ｒ_ｑを分布χに従って選ぶ。鍵生成アルゴリズムＧは、ｂ＝ａｓ＋ｘ∈Ｒ_ｑを計算し、ｅｋ＝ｂおよびｄｋ＝（ｓ，ｂ）とし、暗号化鍵と復号鍵の組（ｅｋ，ｄｋ）を出力する（（ｅｋ，ｄｋ）←Ｇ（ｐｐ））。

Ｅ：暗号化アルゴリズムＥは、ｐｐ，ｅｋ＝ｂ∈Ｒ_ｑ，平文μ∈Ｒ_ｐを入力にとり、ｅ_１，ｅ_２，ｅ_３∈Ｒ_ｑを分布χに従って選び、

ＲＫＧ：変換鍵生成アルゴリズムＲＫＧは、ｐｐ，ｄｋ_α＝（ｓ_α，ｂ_α），ｅｋ_β＝ｂ_βを入力とする。変換鍵生成アルゴリズムＲＫＧは、Ｙ_１，Ｙ_２，Ｙ_３∈Ｒ_ｑ ^１×δを分布χ^１×δに従って選び、Ｍ_α→β＝Ｙ_１［ａ｜ｂ_β］＋［Ｙ_２｜Ｙ_３］＋［Ｏ｜−Ｐ２（ｓ_α）］∈Ｒ_ｑ ^２×δを計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｒ_ｑ ^２×δを出力する（ｒｋ_α→β←ＲＫＧ（ｐｐ，ｄｋ_α，ｅｋ_β））。

ＲＧ：ランダム化鍵生成アルゴリズムＲＧは、ｐｐ，ｅｋ_β＝ｂ_βを入力にとり、Ｙ_１’，Ｙ_２’，Ｙ_３’∈Ｒ_ｑを分布χに従って選び、（Ｔ_β，Ｎ_β）＝Ｙ_１’［ａ｜ｂ_β］＋［Ｙ_２’｜Ｙ_３’］∈Ｒ_ｑ ^２を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（Ｔ_β，Ｎ_β）∈Ｒ_ｑ×Ｒ_ｑを出力する（（ｒｐｐ_β，ｒｅｋ_β）←ＲＧ（ｐｐ，ｅｋ_β））。

Ｓｅｔｕｐ：アルゴリズムＳｅｔｕｐは、κを入力としてｐｐ←ＳＵ（１^κ）を計算し、ＰＰ＝ｐｐ＝（κ，ｎ，ｑ，χ，ａ）を出力する。

Ｇｅｎ_ｙ：アルゴリズムＧｅｎ_ｙ（ただし、ｙ∈｛α，β｝）は、ｐｐを入力にとり、ｓ_ｙ，ｘ_ｙ∈Ｒ_ｑを分布χに従って選ぶ。アルゴリズムＧｅｎ_ｙは、ｂ_ｙ＝ａｓ_ｙ＋ｘ_ｙ∈Ｒ_ｑを計算し、ｉｅｋ_ｙ＝ｏｅｋ_ｙ＝ｂ_ｙおよびｉｄｋ_ｙ＝ｏｄｋ_ｙ＝（ｓ_ｙ，ｂ_ｙ）とし、暗号化鍵と復号鍵の組（ｉｅｋ_ｙ＝ｏｅｋ_ｙ，ｉｄｋ_ｙ＝ｏｄｋ_ｙ）を出力する。

Ｅｎｃｉ：アルゴリズムＥｎｃｉは、再暗号化前の暗号文を生成する。ユーザｙ∈｛α,β｝に対応する暗号文を生成する場合、アルゴリズムＥｎｃｉは、ＰＰ＝ｐｐ，ｉｅｋ_ｙ＝ｂ_ｙ，平文μを入力とし、_ｙｅ_１，_ｙｅ_２，_ｙｅ_３∈Ｒ_ｑをランダムに選び、

を計算し、平文μ’∈Ｒ_ｐを出力する。

ＲｅｋｅｙＧｅｎ：アルゴリズムＲｅｋｅｙＧｅｎは、ＰＰ＝ｐｐ，ｉｄｋ_α＝（ｓ_α，ｂ_α）（第１復号鍵），ｏｅｋ_β＝ｂ_β（第２暗号化鍵）を入力とし、Ｙ_１，Ｙ_２，Ｙ_３∈Ｒ_ｑ ^１×δを分布χ^１×δに従って選び、Ｍ_α→β＝Ｙ_１［ａ｜ｂ_β］＋［Ｙ_２｜Ｙ_３］＋［Ｏ｜−Ｐ２（ｓ_α）］∈Ｒ_ｑ ^２×δを計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｒ_ｑ ^２×δを得る。アルゴリズムＲｅｋｅｙＧｅｎは、Ｙ_１’，Ｙ_２’，Ｙ_３’∈Ｒ_ｑを分布χに従って選び、（Ｔ_β，Ｎ_β）＝Ｙ_１’［ａ｜ｂ_β］＋［Ｙ_２’｜Ｙ_３’］∈Ｒ_ｑ ^２を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（Ｔ_β，Ｎ_β）∈Ｒ_ｑ ^ｍ×Ｒ_ｑ ^ｍを得る。アルゴリズムＲｅｋｅｙＧｅｎは、ＲＫ_α→β＝（ｒｋ_α→β，ｒｐｐ_β，ｒｅｋ_β）を変換鍵として出力する。

ＲｅＥｎｃ：アルゴリズムＲｅＥｎｃは、ＰＰ＝ｐｐ，ＲＫ_α→β＝（ｒｋ_α→β＝Ｍ_α→β，ｒｐｐ_β，ｒｅｋ_β），ｉｃｔ_α＝ｃ_α＝（Ｕ_α，Ｃ_α）（第１暗号文）を入力とし、以下を計算する。
１）（Ｕ’，Ｃ’）＝ＢＤ（Ｕ_α）Ｍ_α→β∈Ｒ_ｑ×Ｒ_ｑを得、（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）を得、暗号文ｃ’＝（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）∈Ｒ_ｑ×Ｒ_ｑを得る。
２）ｒｐｐ_β＝Ｔ_β，ｒｅｋ_β＝Ｎ_β，平文とする零元を入力とし、_βｅ_１，_βｅ_２，_βｅ_３∈Ｒ_ｑを分布χに従って選び、暗号文ｃ’’＝（Ｔ_βｅ_１＋_βｅ_２，Ｎ_{β β}ｅ_１＋_βｅ_３）∈Ｒ_ｑ×Ｒ_ｑを得る。
３）ｏｃｔ_β＝（Ｕ’，Ｃ’＋Ｃ_α）＋（Ｔ_βｅ_１＋_βｅ_２，Ｎ_{β β}ｅ_１＋_βｅ_３）＝（Ｕ’＋Ｔ_βｅ_１＋_βｅ_２，Ｃ’＋Ｃ_α＋Ｎ_{β β}ｅ_１＋_βｅ_３）∈Ｒ_ｑ×Ｒ_ｑを変換済暗号文として出力する。

実施例８は実施例７の変形例である。本実施例で特記しない限り、記号の定義は実施例５と同じである。

Ｇ：鍵生成アルゴリズムＧは、ｐｐを入力にとり、ｓ，ｘ∈Ｒ_ｑを分布χに従って選ぶ。鍵生成アルゴリズムＧは、ｂ＝ａｓ＋ｐｘ∈Ｒ_ｑを計算し、ｅｋ＝ｂおよびｄｋ＝（ｓ，ｂ）とし、暗号化鍵と復号鍵の組（ｅｋ，ｄｋ）を出力する（（ｅｋ，ｄｋ）←Ｇ（ｐｐ））。

ＲＫＧ：変換鍵生成アルゴリズムＲＫＧは、ｐｐ，ｄｋ_α＝（ｓ_α，ｂ_α），ｅｋ_β＝ｂ_βを入力とする。変換鍵生成アルゴリズムＲＫＧは、Ｙ_１，Ｙ_２，Ｙ_３∈Ｒ_ｑ ^１×δを分布χ^１×δに従って選び、Ｍ_α→β＝Ｙ_１［ａ｜ｂ_β］＋ｐ［Ｙ_２｜Ｙ_３］＋［Ｏ｜−Ｐ２（ｓ_α）］∈Ｒ_ｑ ^２×δを計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｒ_ｑ ^２×δを出力する（ｒｋ_α→β←ＲＫＧ（ｐｐ，ｄｋ_α，ｅｋ_β））。

ＲＧ：ランダム化鍵生成アルゴリズムＲＧは、ｐｐ，ｅｋ_β＝ｂ_βを入力にとり、Ｙ_１’，Ｙ_２’，Ｙ_３’∈Ｒ_ｑを分布χに従って選び、（Ｔ_β，Ｎ_β）＝Ｙ_１’［ａ｜ｂ_β］＋ｐ［Ｙ_２’｜Ｙ_３’］∈Ｒ_ｑ ^２を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（Ｔ_β，Ｎ_β）∈Ｒ_ｑ×Ｒ_ｑを出力する（（ｒｐｐ_β，ｒｅｋ_β）←ＲＧ（ｐｐ，ｅｋ_β））。

Ｇｅｎ_ｙ：アルゴリズムＧｅｎ_ｙ（ただし、ｙ∈｛α，β｝）は、ｐｐを入力にとり、ｓ_ｙ，ｘ_ｙ∈Ｒ_ｑを分布χに従って選ぶ。アルゴリズムＧｅｎ_ｙは、ｂ_ｙ＝ａｓ_ｙ＋ｐｘ_ｙ∈Ｒ_ｑを計算し、ｉｅｋ_ｙ＝ｏｅｋ_ｙ＝ｂ_ｙおよびｉｄｋ_ｙ＝ｏｄｋ_ｙ＝（ｓ_ｙ，ｂ_ｙ）とし、暗号化鍵と復号鍵の組（ｉｅｋ_ｙ＝ｏｅｋ_ｙ，ｉｄｋ_ｙ＝ｏｄｋ_ｙ）を出力する。

ＲｅｋｅｙＧｅｎ：アルゴリズムＲｅｋｅｙＧｅｎは、ＰＰ＝ｐｐ，ｉｄｋ_α＝（ｓ_α，ｂ_α）（第１復号鍵），ｏｅｋ_β＝ｂ_β（第２暗号化鍵）を入力とし、Ｙ_１，Ｙ_２，Ｙ_３∈Ｒ_ｑ ^δを分布χ^δに従って選び、Ｍ_α→β＝Ｙ_１［ａ｜ｂ_β］＋ｐ［Ｙ_２｜Ｙ_３］＋［Ｏ｜−Ｐ２（ｓ_α）］∈Ｒ_ｑ ^２×δを計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｒ_ｑ ^２×δを得る。アルゴリズムＲｅｋｅｙＧｅｎは、Ｙ_１’，Ｙ_２’，Ｙ_３’∈Ｒ_ｑを分布χに従って選び、（Ｔ_β，Ｎ_β）＝Ｙ_１’［ａ｜ｂ_β］＋ｐ［Ｙ_２’｜Ｙ_３’］∈Ｒ_ｑ ^２を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（Ｔ_β，Ｎ_β）∈Ｒ_ｑ ^ｍ×Ｒ_ｑ ^ｍを得る。アルゴリズムＲｅｋｅｙＧｅｎは、ＲＫ_α→β＝（ｒｋ_α→β，ｒｐｐ_β，ｒｅｋ_β）を変換鍵として出力する。

ＲｅＥｎｃ：アルゴリズムＲｅＥｎｃは、ＰＰ＝ｐｐ，ＲＫ_α→β＝（ｒｋ_α→β＝Ｍ_α→β，ｒｐｐ_β，ｒｅｋ_β），ｉｃｔ_α＝ｃ_α＝（Ｕ_α，Ｃ_α）（第１暗号文）を入力とし、以下を計算する。
１）（Ｕ’，Ｃ’）＝ＢＤ（Ｕ_α）Ｍ_α→β∈Ｒ_ｑ×Ｒ_ｑを得、（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）を得、暗号文ｃ’＝（Ｕ_β，Ｃ_β）＝（Ｕ’，Ｃ’＋Ｃ_α）∈Ｒ_ｑ×Ｒ_ｑを得る。
２）ｒｐｐ_β＝Ｔ_β，ｒｅｋ_β＝Ｎ_β，平文とする零元を入力とし、_βｅ_１，_βｅ_２，_βｅ_３∈Ｒ_ｑを分布χに従って選び、暗号文ｃ’’＝（Ｔ_βｅ_１＋ｐ_βｅ_２，Ｎ_{β β}ｅ_１＋_βｅ_３）∈Ｒ_ｑ×Ｒ_ｑを得る。
３）ｏｃｔ_β＝（Ｕ’，Ｃ’＋Ｃ_α）＋（Ｔ_βｅ_１＋ｐ_βｅ_２，Ｎ_{β β}ｅ_１＋_βｅ_３）＝（Ｕ’＋Ｔ_βｅ_１＋ｐ_βｅ_２，Ｃ’＋Ｃ_α＋Ｎ_{β β}ｅ_１＋_βｅ_３）∈Ｒ_ｑ×Ｒ_ｑを変換済暗号文として出力する。

実施例９のＳｗｉｔｃｈは参考文献３に基づく。本実施例で特記しない限り、記号の定義は実施例５と同じである。

＜再変換可能暗号方式＞
ＳＵ：共通パラメータ生成アルゴリズムＳＵは、κを入力にとり、共通パラメータｐｐ＝（κ，ｎ，ｑ，χ）を出力する（ｐｐ←ＳＵ（１^κ））。

Ｇ：鍵生成アルゴリズムＧは、ｐｐを入力にとり、ｆ’，g∈Ｒ_ｑを分布χに従って選び、ｆ＝ｐｆ’＋１ｍｏｄｑとする。ただし、ｆがＲ_ｑで逆元を持たない場合には、ｆ’∈Ｒ_ｑを選択し直して新たにｆを計算する。このやり直しはｆがＲ_ｑで逆元を持つまで行われる。鍵生成アルゴリズムＧは、Ｒ_ｑで逆元を持つｆを用い、ｂ＝ｐｇｆ^−１ｍｏｄｑを計算し、ｅｋ＝ｂおよびｄｋ＝（ｆ，ｂ）とし、暗号化鍵と復号鍵の組（ｅｋ，ｄｋ）を出力する（（ｅｋ，ｄｋ）←Ｇ（ｐｐ））。

Ｅ：暗号化アルゴリズムＥは、ｐｐ，ｅｋ＝ｂ∈Ｒ_ｑ，平文μ∈Ｒ_ｐを入力にとり、ｅ_１，ｅ_２∈Ｒ_ｑを分布χに従って選び、

を計算し、暗号文ｃ＝Ｃ∈Ｒ_ｑを出力する（ｃ＝Ｅ（ｐｐ，ｅｋ，μ））。

Ｄ：復号アルゴリズムＤは、ｐｐ，ｄｋ＝（ｆ，ｂ），暗号文ｃ＝Ｃを入力にとり、ｄ＝ｆＣｍｏｄｑを計算し、

ＲＫＧ：変換鍵生成アルゴリズムＲＫＧは、ｐｐ，ｄｋ_α＝（ｆ_α，ｂ_α），ｅｋ_β＝ｂ_βを入力とする。変換鍵生成アルゴリズムＲＫＧは、Ｙ_１，Ｙ_２∈Ｒ_ｑ ^１×δを分布χ^１×δに従って選び、Ｍ_α→β＝Ｙ_１ｂ_β＋Ｙ_２−Ｐ２（ｆ_α）∈Ｒ_ｑ ^１×δを計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｒ_ｑ ^１×δを出力する（ｒｋ_α→β←ＲＫＧ（ｐｐ，ｄｋ_α，ｅｋ_β））。

ＲＧ：ランダム化鍵生成アルゴリズムＲＧは、ｐｐ，ｅｋ_β＝ｂ_βを入力にとり、Ｙ_１’，Ｙ_２’∈Ｒ_ｑを分布χに従って選び、Ｎ_β＝Ｙ_１’ｂ_β＋Ｙ_２’を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（ｐｐ，Ｎ_β）を出力する（（ｒｐｐ_β，ｒｅｋ_β）←ＲＧ（ｐｐ，ｅｋ_β））。

Ｓｗｉｔｃｈ：変換アルゴリズムＳｗｉｔｃｈは、ｐｐ，ｒｋ_α→β＝Ｍ_α→β∈Ｒ_ｑ ^１×δ，暗号文ｃ_α＝Ｃ_α∈Ｒ_ｑを入力にとる。ただし、暗号文ｃ_α＝Ｃ_αはユーザαの復号鍵ｄｋ_α＝（ｆ_α，ｂ_α）で復号可能な暗号文であり、暗号文ｃ_βはユーザβの復号鍵ｄｋ_β＝（ｆ_β，ｂ_β）で復号可能な暗号文である。ｄｋ_βは上述の暗号化鍵ｅｋ_β＝ｂ_βに対応する。変換アルゴリズムＳｗｉｔｃｈは、Ｃ_α∈Ｒ_ｑを入力としたアルゴリズムＢＤを実行してＢＤ（Ｃ_α）∈Ｒ_ｑ ^δを得、Ｃ’＝ＢＤ（Ｃ_α）Ｍ_α→β∈Ｒ_ｑとする。変換アルゴリズムＳｗｉｔｃｈは、暗号文ｃ_β＝Ｃ’∈Ｒ_ｑを出力する（ｃ_β←Ｓｗｉｔｃｈ（ｐｐ，ｒｋ_α→β，ｃ_α））。

Ｓｅｔｕｐ：アルゴリズムＳｅｔｕｐは、κを入力としてｐｐ←ＳＵ（１^κ）を計算し、ＰＰ＝ｐｐ＝（κ，ｎ，ｑ，χ）を出力する。

Ｇｅｎ_ｙ：アルゴリズムＧｅｎ_ｙ（ただし、ｙ∈｛α，β｝）は、ｐｐを入力にとり、ｆ_ｙ’，g_ｙ∈Ｒ_ｑを分布χに従って選び、ｆ_ｙ＝ｐｆ_ｙ’＋１ｍｏｄｑとする。ただし、ｆ_ｙがＲ_ｑで逆元を持たない場合には、ｆ_ｙ’∈Ｒ_ｑを選択し直して新たにｆ_ｙを計算する。このやり直しはｆ_ｙがＲ_ｑで逆元を持つまで行われる。アルゴリズムＧｅｎ_ｙは、Ｒ_ｑで逆元を持つｆ_ｙを用い、ｂ_ｙ＝ｐｇ_ｙｆ_ｙ ^−１ｍｏｄｑを計算し、ｉｅｋ_ｙ＝ｏｅｋ_ｙ＝ｂ_ｙおよびｉｄｋ_ｙ＝ｏｄｋ_ｙ＝（ｆ_ｙ，ｂ_ｙ）とし、暗号化鍵と復号鍵の組（ｉｅｋ_ｙ＝ｏｅｋ_ｙ，ｉｄｋ_ｙ＝ｏｄｋ_ｙ）を出力する。

Ｅｎｃｉ：アルゴリズムＥｎｃｉは、再暗号化前の暗号文を生成する。ユーザｙ∈｛α,β｝に対応する暗号文を生成する場合、アルゴリズムＥｎｃｉは、ＰＰ＝ｐｐ，ｉｅｋ_ｙ＝ｂ_ｙ，平文μを入力とし、_ｙｅ_１，_ｙｅ_２∈Ｒ_ｑを分布χに従って選び、

を計算し、ｃ_ｙ＝Ｃ_ｙ∈Ｒ_ｑを暗号文ｉｃｔ_ｙとして出力する。

Ｄｅｃｉ：アルゴリズムＤｅｃｉは、再暗号化前の暗号文を復号する。ユーザｙ∈｛α,β｝に対応する暗号文を復号する場合、アルゴリズムＤｅｃｉは、ＰＰ＝ｐｐ，ｉｄｋ_ｙ＝（ｆ_ｙ，ｂ_ｙ），暗号文ｉｃｔ_ｙ＝ｃ_ｙ＝Ｃ_ｙを入力とし、ｄ_ｙ＝ｆ_ｙＣ_ｙｍｏｄｑを計算し、

を計算し、平文μ’∈Ｒ_ｐを出力する。

ＲｅｋｅｙＧｅｎ：アルゴリズムＲｅｋｅｙＧｅｎは、ＰＰ＝ｐｐ，ｉｄｋ_α＝（ｆ_α，ｂ_α）（第１復号鍵），ｏｅｋ_β＝ｂ_β（第２暗号化鍵）を入力とし、Ｙ_１，Ｙ_２∈Ｒ_ｑ ^１×δを分布χ^１×δに従って選び、Ｍ_α→β＝Ｙ_１ｂ_β＋Ｙ_２−Ｐ２（ｆ_α）∈Ｒ_ｑ ^１×δを計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｒ_ｑ ^１×δを得る。アルゴリズムＲｅｋｅｙＧｅｎは、Ｙ_１’，Ｙ_２’∈Ｒ_ｑを分布χに従って選び、Ｎ_β＝Ｙ_１’ｂ_β＋Ｙ_２’∈Ｒ_ｑを計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（ｐｐ，Ｎ_β）を得る。アルゴリズムＲｅｋｅｙＧｅｎは、ＲＫ_α→β＝（ｒｋ_α→β，ｒｐｐ_β，ｒｅｋ_β）を変換鍵として出力する。

ＲｅＥｎｃ：アルゴリズムＲｅＥｎｃは、ＰＰ＝ｐｐ，ＲＫ_α→β＝（ｒｋ_α→β＝Ｍ_α→β，ｒｐｐ_β，ｒｅｋ_β），ｉｃｔ_α＝ｃ_α＝Ｃ_α（第１暗号文）を入力とし、以下を計算する。
１）Ｃ’＝ＢＤ（Ｃ_α）Ｍ_α→β∈Ｒ_ｑを得、暗号文ｃ’＝Ｃ_β＝Ｃ’∈Ｒ_ｑとする。
２）ｒｐｐ_β＝ｐｐ，ｒｅｋ_β＝Ｎ_β，平文とする零元を入力とし、_βｅ_１，_βｅ_２∈Ｒ_ｑを分布χに従って選び、暗号文ｃ’’＝Ｎ_{β β}ｅ_１＋_βｅ_２∈Ｒ_ｑを得る。
３）ｏｃｔ_β＝Ｃ’＋Ｎ_{β β}ｅ_１＋_βｅ_２∈Ｒ_ｑを変換済暗号文として出力する。

実施例１０は実施例９の変形例である。本実施例で特記しない限り、記号の定義は実施例５と同じである。

Ｅ：暗号化アルゴリズムＥは、ｐｐ，ｅｋ＝ｂ∈Ｒ_ｑ，平文μ∈Ｒ_ｐを入力にとり、ｅ_１，ｅ_２∈Ｒ_ｑを分布χに従って選び、ｃ＝Ｃ＝ｂｅ_１＋ｐｅ_２＋μを計算し、暗号文ｃ＝Ｃ∈Ｒ_ｑを出力する（ｃ＝Ｅ（ｐｐ，ｅｋ，μ））。

Ｄ：復号アルゴリズムＤは、ｐｐ，ｄｋ＝（ｆ，ｂ），暗号文ｃ＝Ｃを入力にとり、ｄ＝ｆＣｍｏｄｑを計算し、μ’＝ｄｍｏｄｐを計算し、平文μ’∈Ｒ_ｐを出力する（μ’←Ｄ（ｐｐ，ｄｋ，ｃ））。

ＲＫＧ：変換鍵生成アルゴリズムＲＫＧは、ｐｐ，ｄｋ_α＝（ｆ_α，ｂ_α），ｅｋ_β＝ｂ_βを入力とする。変換鍵生成アルゴリズムＲＫＧは、Ｙ_１，Ｙ_２∈Ｒ_ｑ ^１×δを分布χ^１×δに従って選び、Ｍ_α→β＝Ｙ_１ｂ_β＋ｐＹ_２−Ｐ２（ｆ_α）∈Ｒ_ｑ ^１×δを計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｒ_ｑ ^１×δを出力する（ｒｋ_α→β←ＲＫＧ（ｐｐ，ｄｋ_α，ｅｋ_β））。

ＲＧ：ランダム化鍵生成アルゴリズムＲＧは、ｐｐ，ｅｋ_β＝ｂ_βを入力にとり、Ｙ_１’，Ｙ_２’∈Ｒ_ｑを分布χに従って選び、Ｎ_β＝Ｙ_１’ｂ_β＋ｐＹ_２’を計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（ｐｐ，Ｎ_β）を出力する（（ｒｐｐ_β，ｒｅｋ_β）←ＲＧ（ｐｐ，ｅｋ_β））。

Ｅｎｃｉ：アルゴリズムＥｎｃｉは、再暗号化前の暗号文を生成する。ユーザｙ∈｛α,β｝に対応する暗号文を生成する場合、アルゴリズムＥｎｃｉは、ＰＰ＝ｐｐ，ｉｅｋ_ｙ＝ｂ_ｙ，平文μを入力とし、_ｙｅ_１，_ｙｅ_２∈Ｒ_ｑを分布χに従って選び、ｃ_ｙ＝Ｃ_ｙ＝ｂ_{ｙｙ}ｅ_１＋ｐ_ｙｅ_２＋μ
を計算し、ｃ_ｙ＝Ｃ_ｙ∈Ｒ_ｑを暗号文ｉｃｔ_ｙとして出力する。

Ｄｅｃｉ：アルゴリズムＤｅｃｉは、再暗号化前の暗号文を復号する。ユーザｙ∈｛α,β｝に対応する暗号文を復号する場合、アルゴリズムＤｅｃｉは、ＰＰ＝ｐｐ，ｉｄｋ_ｙ＝（ｆ_ｙ，ｂ_ｙ），暗号文ｉｃｔ_ｙ＝ｃ_ｙ＝Ｃ_ｙを入力とし、ｄ_ｙ＝ｆ_ｙＣ_ｙｍｏｄｑを計算し、μ_ｙ’＝ｄ_ｙｍｏｄｐを計算し、平文μ’∈Ｒ_ｐを出力する。

ＲｅｋｅｙＧｅｎ：アルゴリズムＲｅｋｅｙＧｅｎは、ＰＰ＝ｐｐ，ｉｄｋ_α＝（ｆ_α，ｂ_α）（第１復号鍵），ｏｅｋ_β＝ｂ_β（第２暗号化鍵）を入力とし、Ｙ_１，Ｙ_２∈Ｒ_ｑ ^１×δを分布χ^１×δに従って選び、Ｍ_α→β＝Ｙ_１ｂ_β＋ｐＹ_２−Ｐ２（ｆ_α）∈Ｒ_ｑ ^１×δを計算し、基本変換鍵ｒｋ_α→β＝Ｍ_α→β∈Ｒ_ｑ ^１×δを得る。アルゴリズムＲｅｋｅｙＧｅｎは、Ｙ_１’，Ｙ_２’∈Ｒ_ｑを分布χに従って選び、Ｎ_β＝Ｙ_１’ｂ_β＋ｐＹ_２’∈Ｒ_ｑを計算し、ランダム化鍵（ｒｐｐ_β，ｒｅｋ_β）＝（ｐｐ，Ｎ_β）を得る。アルゴリズムＲｅｋｅｙＧｅｎは、ＲＫ_α→β＝（ｒｋ_α→β，ｒｐｐ_β，ｒｅｋ_β）を変換鍵として出力する。

ＲｅＥｎｃ：アルゴリズムＲｅＥｎｃは、ＰＰ＝ｐｐ，ＲＫ_α→β＝（ｒｋ_α→β＝Ｍ_α→β，ｒｐｐ_β，ｒｅｋ_β），ｉｃｔ_α＝ｃ_α＝Ｃ_α（第１暗号文）を入力とし、以下を計算する。
１）Ｃ’＝ＢＤ（Ｃ_α）Ｍ_α→β∈Ｒ_ｑを得、暗号文ｃ’＝Ｃ_β＝Ｃ’∈Ｒ_ｑとする。
２）ｒｐｐ_β＝ｐｐ，ｒｅｋ_β＝Ｎ_β，平文とする零元を入力とし、_βｅ_１，_βｅ_２∈Ｒ_ｑを分布χに従って選び、暗号文ｃ’’＝Ｎ_{β β}ｅ_１＋p_βｅ_２∈Ｒ_ｑを得る。
３）ｏｃｔ_β＝Ｃ’＋Ｎ_{β β}ｅ_１＋p_βｅ_２∈Ｒ_ｑを変換済暗号文として出力する。

［変形例等］
なお、本発明は上述の実施の形態に限定されるものではない。例えば、各装置がネットワークを通じて情報をやり取りするのではなく、少なくとも一部の組の装置が可搬型記録媒体を介して情報をやり取りしてもよい。或いは、少なくとも一部の組の装置が非可搬型の記録媒体を介して情報をやり取りしてもよい。すなわち、これらの装置の一部からなる組み合わせが、同一の装置であってもよい。例えば、復号装置１５がさらに鍵生成装置１３として機能する装置であってもよいし、復号装置１６がさらに鍵生成装置１２として機能する装置であってもよい。

上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

１２鍵生成装置
１２５基本変換鍵生成部
１２６ランダム化鍵生成部
１７再暗号化装置
１７４基本変換部
１７５撹乱暗号化部

Claims

第１復号鍵が第１暗号文を復号するための鍵であり、第２復号鍵が第２暗号文を復号するための鍵であり、第２暗号化鍵が前記第２復号鍵に対応する鍵であり、
前記第１復号鍵および前記第２暗号化鍵を用い、前記第１暗号文を前記第２暗号文に変換するための基本変換鍵を得る基本変換鍵生成部と、
前記第２暗号化鍵を用い、前記第２暗号化鍵をランダム化してランダム化鍵を得るランダム化鍵生成部と、を有し、
前記ランダム化鍵を用いて暗号化された暗号文が前記第２復号鍵で復号可能である、鍵生成装置。
請求項１の鍵生成装置であり、
前記第２暗号文が準同型性を持つ、鍵生成装置。
請求項１または２の鍵生成装置であり、
前記第１暗号文および第２暗号文が格子暗号方式またはＮＴＲＵ暗号方式に則った暗号文である、鍵生成装置。
基本変換鍵が第１暗号文を第２暗号文に変換するための鍵であり、第２復号鍵が前記第２暗号文を復号するための鍵であり、第２暗号化鍵が前記第２復号鍵に対応する鍵であり、ランダム化鍵が前記第２暗号化鍵をランダム化した鍵であり、前記ランダム化鍵を用いて暗号化された暗号文が前記第２復号鍵で復号可能であり、前記第２暗号文が準同型性を持ち、
前記基本変換鍵を用いて前記第１暗号文を前記第２暗号文に変換する基本変換部と、
前記ランダム化鍵を用いて第１値を暗号化して準同型性を持つ撹乱暗号文を得る撹乱暗号化部と、
前記第２暗号文と前記撹乱暗号文とに対して所定の演算を行って変形済暗号文を得る演算部と、を有し、
任意の第２値と前記第１値とに前記演算を行って得られる値は前記第２値に等しい、再暗号化装置。
請求項４の再暗号化装置であり、
前記第１暗号文および第２暗号文が格子暗号方式またはＮＴＲＵ暗号方式に則った暗号文である、再暗号化装置。
請求項１から３の何れかの鍵生成装置としてコンピュータを機能させるためのプログラム。
請求項４または５の再暗号化装置としてコンピュータを機能させるためのプログラム。