JP6022073B2 - 暗号システム、再暗号化鍵生成装置及び再暗号化装置 - Google Patents

Description

この発明は、関数型暗号における代理人再暗号化（Ｆｕｎｃｔｉｏｎａｌ Ｐｒｏｘｙ Ｒｅ−Ｅｎｃｒｙｐｔｉｏｎ、ＦＰＲＥ）方式に関するものである。特に、この発明は、再暗号化するための条件を指定可能なＦＰＲＥ（Ｆｕｎｃｔｉｏｎａｌ Ｃｏｎｄｉｔｉｏｎａｌ Ｐｒｏｘｙ Ｒｅ−Ｅｎｃｒｙｐｔｉｏｎ、ＦＣＰＲＥ）方式に関するものである。

代理人再暗号化（Ｐｒｏｘｙ Ｒｅ−Ｅｎｃｒｙｐｔｉｏｎ，ＰＲＥ）は、暗号文を復号することなく、暗号文の復号権限を他者に委譲するシステムである。非特許文献１には、ＩＤベース暗号におけるＰＲＥ（Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ ＰＲＥ，ＩＢＰＲＥ）方式に関する記載がある。非特許文献２には、属性ベース暗号におけるＰＲＥ（Ａｔｔｒｉｂｕｔｅ−Ｂａｓｅｄ ＰＲＥ，ＡＢＰＲＥ）方式に関する記載がある。非特許文献２記載されたＰＲＥ方式では、論理積と否定とからなる属性のみを暗号文に指定することができる。

非特許文献３には、再暗号化するための条件を指定可能な代理人再暗号化（Ｃｏｎｄｉｔｉｏｎａｌ Ｐｒｏｘｙ Ｒｅ−Ｅｎｃｒｙｐｔｉｏｎ、ＣＰＲＥ）方式についての記載がある。

特許文献１には、関数型暗号（Ｆｕｎｃｔｉｏｎａｌ Ｅｎｃｒｙｐｔｉｏｎ，ＦＥ）方式に関する記載がある。非特許文献４には、ＦＰＲＥ方式に関する記載がある。

特開２０１２−１３３２１４号公報

Ｍ．Ｇｒｅｅｎ， ａｎｄ Ｇ． Ａｔｅｎｉｅｓｅ， Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ Ｐｒｏｘｙ Ｒｅ−ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ Ａｐｐｌｉｅｄ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ． ｖｏｌｕｍｅ ４５２１ ｏｆ ＬＮＣＳ， ｐｐ ２８８−３０６ ， ２００７． Ｘｉａｏｈｕｉ Ｌｉａｎｇ， Ｚｈｅｎｆｕ Ｃａｏ， Ｈｕａｎｇ Ｌｉｎ， Ｊｕｎ Ｓｈａｏ． Ａｔｔｒｉｂｕｔｅ ｂａｓｅｄ ｐｒｏｘｙ ｒｅ−ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｄｅｌｅｇａｔｉｎｇ ｃａｐａｂｉｌｉｔｉｅｓ． ＡＳＩＡＣＣＳ ２００９ ｐｐ．２７６−２８６． Ｊ．Ｗｅｎｇ， Ｙ．Ｙａｎｇ Ｑ．Ｔａｎｇ， Ｒ．Ｈ．Ｄｅｎｇ， ａｎｄ Ｆ．Ｂａｏ， "Ｅｆｆｉｃｉｅｎｔ Ｃｏｎｄｉｔｉｏｎａｌ Ｐｒｏｘｙ Ｒｅ−Ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ Ｃｈｏｓｅｎ−Ｃｉｐｈｅｒｔｅｘｔ Ｓｅｃｕｒｉｔｙ" ｉｎ ＩＳＣ２００９． Ｙｕｔａｋａ ｋａｗａｉ ａｎｄ Ｋａｔｕｙｕｋｉ Ｔａｋａｓｈｉｍａ， Ｆｕｌｌｙ−Ａｎｏｎｙｍｏｕｓ Ｆｕｎｃｔｉｏｎａｌ Ｐｒｏｘｙ−Ｒｅ−Ｅｎｃｒｙｐｔｉｏｎ． Ｃｒｙｐｔｏｌｏｇｙ ｅＰｒｉｎｔ Ａｒｃｈｉｖｅ： Ｒｅｐｏｒｔ ２０１３／３１８ Ｏｋａｍｏｔｏ， Ｔ Ｔａｋａｓｈｉｍａ， Ｋ．：Ｄｅｃｅｎｔｒａｌｉｚｅｄ Ａｔｔｒｉｂｕｔｅ−Ｂａｓｅｄ Ｓｉｇｎａｔｕｒｅｓ．ｅＰｒｉｎｔ ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１１／７０１ Ｏｋａｍｏｔｏ， Ｔ Ｔａｋａｓｈｉｍａ， Ｋ．：Ｆｕｌｌｙ Ｓｅｃｕｒｅ Ｕｎｂｏｕｎｄｅｄ Ｉｎｎｅｒ−Ｐｒｏｄｕｃｔ ａｎｄ Ａｔｔｒｉｂｕｔｅ−Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ．ｅＰｒｉｎｔ ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１２／６７１ Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ａｃｈｉｅｖｉｎｇ Ｓｈｏｒｔ Ｃｉｐｈｅｒｔｅｘｔｓ ｏｒ Ｓｈｏｒｔ Ｓｅｃｒｅｔ−Ｋｅｙｓ ｆｏｒ Ａｄａｐｔｉｖｅｌｙ Ｓｅｃｕｒｅ Ｇｅｎｅｒａｌ Ｉｎｎｅｒ−Ｐｒｏｄｕｃｔ Ｅｎｃｒｙｐｔｉｏｎ． ＣＡＮＳ ２０１１， ＬＮＣＳ， ｖｏｌ． ７０９２， ｐｐ． １３８−１５９ Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１１）．

非特許文献３に記載されたＣＰＲＥ方式は、関数型暗号における方式ではないため、復号者の指定や、再暗号化の条件の指定に制約があり、柔軟に対応できなかった。
非特許文献４に記載されたＦＰＲＥ方式は、ある受信者が作成した再暗号化鍵により、その受信者が復号可能なすべての暗号文に対して再暗号化可能であり、受信者が再暗号化する暗号文を指定することはできなかった。
この発明は、再暗号化鍵を生成する際、再暗号化できる暗号文の条件を柔軟に指定可能とすることを目的とする。

この発明に係る暗号システムは、
２つの情報が互いに対応している場合に一方の情報が設定された暗号文を他方の情報が設定された復号鍵により復号可能な暗号方式における代理人再暗号機能を実現する暗号システムであり、
互いに対応する属性情報ｘ，ｖのうちの一方が設定された暗号文ｃと、互いに対応する属性情報ｙ，ｚのうちの一方が設定された暗号文ｃ^〜とを含む暗号文ｃｔを出力する暗号化装置と、
前記属性情報ｘ，ｖのうちの他方が設定された復号鍵ｋ^＊を取得し、取得した復号鍵ｋ^＊を変換情報Ｗ_１，ｔで変換した復号鍵ｋ^＊ｒｋと、前記属性情報ｙ，ｚのうちの他方が設定された復号鍵ｋ^〜＊ｒｋと、互いに対応する属性情報ｘ’，ｖ’のうちの一方が設定されて前記変換情報Ｗ_１，ｔが暗号化された暗号化変換情報ψ^ｒｋとを含む再暗号化鍵ｒｋを出力する再暗号化鍵生成装置と、
互いに対応する追加情報Η，Θのうちの一方が前記暗号文ｃｔに設定された暗号文ｃ^ｒｅｎｃと、前記追加情報Η，Θのうちの他方が前記再暗号化鍵ｒｋに設定された復号鍵ｋ^{＊ｒｅｎｃ}とを含む再暗号文ｒｃｔを出力する再暗号化装置と
を備えることを特徴とする。

この発明に係る暗号システムでは、暗号化装置が、暗号文ｃｔの復号条件（属性情報ｘ，ｖのうちの一方の属性情報）だけでなく、暗号文ｃｔの再暗号化可能な条件を設定するための情報（属性情報ｙ，ｚのうちの一方の属性情報）を設定して、暗号文ｃｔを生成できる。また、再暗号化鍵生成装置が、再暗号文ｒｃｔの復号条件（属性情報ｘ’，ｖ’のうちの一方の属性情報）だけでなく、再暗号可能な条件（属性情報ｙ，ｚのうちの他方の属性情報）を設定して、再暗号化鍵ｒｋを生成することができる。また、設定する属性情報に関しての制約はなく、柔軟に復号条件や再暗号化の条件を指定できる。

行列Ｍ＾の説明図。 行列Ｍ_δの説明図。 ｓ_０の説明図。 ｓ^→Ｔの説明図。 ＣＰ−ＦＣＰＲＥ方式を実行する暗号処理システム１０の構成図。 鍵生成装置１００の機能を示す機能ブロック図。 暗号化装置２００の機能を示す機能ブロック図。 復号装置３００の機能を示す機能ブロック図。 再暗号化装置４００の機能を示す機能ブロック図。 再暗号文復号装置５００の機能を示す機能ブロック図。 Ｓｅｔｕｐアルゴリズムの処理を示すフローチャート。 ＫＧアルゴリズムの処理を示すフローチャート。 Ｅｎｃアルゴリズムの処理を示すフローチャート。 ＲＫＧアルゴリズムの処理を示すフローチャート。 ＲＥｎｃアルゴリズムの処理を示すフローチャート。 Ｄｅｃ１アルゴリズムの処理を示すフローチャート。 Ｄｅｃ２アルゴリズムの処理を示すフローチャート。 ＫＰ−ＦＣＰＲＥ方式を実行する暗号処理システム１０の構成図。 鍵生成装置１００の機能を示す機能ブロック図。 暗号化装置２００の機能を示す機能ブロック図。 復号装置３００の機能を示す機能ブロック図。 再暗号化装置４００の機能を示す機能ブロック図。 再暗号文復号装置５００の機能を示す機能ブロック図。 ＫＧアルゴリズムの処理を示すフローチャート。 Ｅｎｃアルゴリズムの処理を示すフローチャート。 ＲＫＧアルゴリズムの処理を示すフローチャート。 ＲＥｎｃアルゴリズムの処理を示すフローチャート。 Ｄｅｃ１アルゴリズムの処理を示すフローチャート。 Ｄｅｃ２アルゴリズムの処理を示すフローチャート。 鍵生成装置１００、暗号化装置２００、復号装置３００、再暗号化装置４００、再暗号文復号装置５００のハードウェア構成の一例を示す図。

以下、図に基づき、発明の実施の形態を説明する。
以下の説明において、処理装置は後述するＣＰＵ９１１等である。記憶装置は後述するＲＯＭ９１３、ＲＡＭ９１４、磁気ディスク９２０等である。通信装置は後述する通信ボード９１５等である。入力装置は後述するキーボード９０２、通信ボード９１５等である。つまり、処理装置、記憶装置、通信装置、入力装置はハードウェアである。

以下の説明における記法について説明する。
Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。

Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。

数１０３は、ｙがｚにより定義された集合であること、又はｙがｚを代入された集合であることを表す。

ａが定数であるとき、数１０４は、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。

数１０５、つまりＦ_ｑは、位数ｑの有限体を示す。

ベクトル表記は、有限体Ｆ_ｑにおけるベクトル表示を表す。つまり、数１０６である。

数１０７は、数１０８に示す２つのベクトルｘ^→とｖ^→との数１０９に示す内積を表す。

Ｘ^Ｔは、行列Ｘの転置行列を表す。
数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。

ｅ^→ _ｊは、数１１２に示す正規基底ベクトルを示す。

また、以下の説明において、Ｖｔ，ｎｔ，ｗｔ，ｚｔ，ｎｕ，ｗｕ，ｚｕが下付き又は上付きで示されている場合、このＶｔ，ｎｔ，ｗｔ，ｚｔ，ｎｕ，ｗｕ，ｚｕはＶ_ｔ，ｎ_ｔ，ｗ_ｔ，ｚ_ｔ，ｎ_ｕ，ｗ_ｕ，ｚ_ｕを意味する。同様に、δｉ，ｊが上付きで示されている場合、このδｉ，ｊは、δ_ｉ，ｊを意味する。
また、ベクトルを意味する→が下付き文字又は上付き文字に付されている場合、この→は下付き文字又は上付き文字に上付きで付されていることを意味する。また、〜が下付き文字又は上付き文字に付されている場合、この〜は下付き文字又は上付き文字に上付きで付されていることを意味する。

実施の形態１．
この実施の形態では、ＦＣＰＲＥ方式を実現する基礎となる概念を説明した上で、この実施の形態に係るＦＣＰＲＥ方式の構成について説明する。
第１に、ＦＣＰＲＥについて簡単に説明する。
第２に、ＦＣＰＲＥ方式を実現するための空間である双対ペアリングベクトル空間（Ｄｕａｌ Ｐａｉｒｉｎｇ Ｖｅｃｔｏｒ Ｓｐａｃｅｓ，ＤＰＶＳ）という豊かな数学的構造を有する空間を説明する。
第３に、ＦＣＰＲＥ方式を実現するための概念を説明する。ここでは、スパンプログラム、属性ベクトルの内積とアクセス構造、秘密分散方式（秘密共有方式）について説明する。
第４に、この実施の形態に係るＦＣＰＲＥ方式を説明する。この実施の形態では、暗号文ポリシーのＦＣＰＲＥ方式（Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ ＦＣＰＲＥ，ＣＰ−ＦＣＰＲＥ）方式について説明する。そこで、まず、ＣＰ−ＦＣＰＲＥ方式の基本構成について説明する。次に、このＣＰ−ＦＣＰＲＥ方式を実現する暗号システム１０の基本構成について説明する。次に、このＣＰ−ＦＣＰＲＥ方式を実現するために用いられる部品について説明する。そして、この実施の形態に係るＣＰ−ＦＣＰＲＥ方式、及び、暗号システム１０について詳細に説明する。

＜第１．ＦＣＰＲＥ＞
まず、ＦＰＲＥについて説明する。ＦＰＲＥは、暗号化鍵（ｅｋ）と、復号鍵（ｄｋ）と、再暗号化鍵（ｒｋ）の関係をより高度化し、柔軟にした代理人再暗号化方式である。

ＦＰＲＥは、以下の２つの特徴を持つ。
１つ目に、暗号化鍵と復号鍵とは、それぞれ属性情報ｘと属性情報ｖとが設定されている。そして、関係Ｒに対して、Ｒ（ｘ、ｖ）が成立する場合に限り、復号鍵ｄｋ_ｖは暗号化鍵ｅｋ_ｘで暗号化された暗号文を復号することができる。
２つ目に、暗号化鍵と復号鍵とに属性情報ｘと属性情報ｖとがそれぞれ設定されていることに加え、再暗号化鍵は２つの属性情報（ｘ’，ｖ）が設定されている。そして、Ｒ（ｘ，ｖ）が成立する場合に限り、再暗号化鍵ｒｋ_{（ｘ’，ｖ）}は、暗号化鍵ｅｋ_ｘで暗号化された暗号文を、Ｒ（ｘ’、ｖ’）が成立する復号鍵ｄｋ_ｖ’で復号可能な暗号文、つまり暗号化鍵ｅｋ_ｘ’で暗号化された暗号文に変更することができる。

関係Ｒが等号関係である場合、つまり、ｘ＝ｖである場合に限りＲ（ｘ，ｖ）が成立する場合、ＰＲＥ方式はＩＤＰＲＥである。

ＩＤＰＲＥよりも一般化されたＰＲＥとして、ＡＢＰＲＥがある。ＡＢＰＲＥでは、暗号化鍵と復号鍵とに設定される属性情報が属性情報の組である。例えば、暗号化鍵と復号鍵とに設定される属性情報が、それぞれ、Ｘ：＝（ｘ_１，．．．，ｘ_ｄ）と、Ｖ：＝（ｖ_１，．．．，ｖ_ｄ）とである。
属性情報のコンポーネントについて、コンポーネント毎の等号関係（例えば、｛ｘ_ｔ＝ｖ_ｔ｝ｔ∈｛１，．．．，ｄ｝）がアクセスストラクチャＳに入力される。そして、アクセスストラクチャＳが入力を受理した場合にのみ、Ｒ（Ｘ，Ｖ）が成立する。つまり、暗号化鍵で暗号化された暗号文を復号鍵で復号することができる。非特許文献２では、アクセスストラクチャＳが暗号文に埋め込まれている暗号文ポリシーのＰＲＥ方式を提案している。その際のアクセスストラクチャは、論理積と否定のみで構成される構造である。

次に、ＦＣＰＲＥについて説明する。ＦＣＰＲＥは、再暗号化するための条件を指定可能としたＦＰＲＥである。
ＦＣＰＲＥでは、暗号化鍵と復号鍵とに属性情報ｘと属性情報ｖとがそれぞれ設定されていること、及び、再暗号化鍵に２つの属性情報（ｘ’，ｖ）が設定されていることに加え、暗号文と再暗号化鍵とに、それぞれ属性情報ｚと属性情報ｙとが設定される。そして、関係Ｒに対して、Ｒ（ｘ，ｖ）が成立し、かつ、Ｒ（ｚ、ｙ）が成立する場合に限り、暗号化鍵ｅｋ_ｘで暗号化された暗号文を、Ｒ（ｘ’、ｖ’）が成立する復号鍵ｄｋ_ｖ’で復号可能な暗号文、つまり暗号化鍵ｅｋ_ｘ’で暗号化された暗号文に変更することができる。

なお、暗号文の転送機能が存在しない、つまり再暗号化鍵が存在しない、通常のＦＥがある。ＦＥでは、再暗号化鍵生成処理、再暗号化処理は存在せず、暗号化鍵と復号鍵とは、それぞれ、属性情報ｘと属性情報ｖとが設定されている。そして、関係Ｒに対してＲ（ｘ，ｖ）が成立する場合に限り、復号鍵ｄｋ_ｖ：＝（ｄｋ，ｖ）は暗号化鍵ｅｋ_ｘ：＝（ｅｋ，ｘ）で暗号化された暗号文を復号することができる。

＜第２．双対ペアリングベクトル空間＞
まず、対称双線形ペアリング群について説明する。
対称双線形ペアリング群（ｑ，Ｇ，Ｇ^Ｔ，ｇ，ｅ）は、素数ｑと、位数ｑの巡回加法群Ｇと、位数ｑの巡回乗法群Ｇ^Ｔと、ｇ≠０∈Ｇと、多項式時間で計算可能な非退化双線形ペアリング（Ｎｏｎｄｅｇｅｎｅｒａｔｅ Ｂｉｌｉｎｅａｒ Ｐａｉｒｉｎｇ）ｅ：Ｇ×Ｇ→Ｇ_Ｔとの組である。非退化双線形ペアリングは、ｅ（ｓｇ，ｔｇ）＝ｅ（ｇ，ｇ）^ｓｔであり、ｅ（ｇ，ｇ）≠１である。
以下の説明において、Ｇ_ｂｐｇを、１^λを入力として、セキュリティパラメータをλとする双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を出力するアルゴリズムとする。

次に、双対ペアリングベクトル空間について説明する。
双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、対称双線形ペアリング群（ｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ））の直積によって構成することができる。双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、素数ｑ、数１１３に示すＦ_ｑ上のＮ次元ベクトル空間Ｖ、位数ｑの巡回群Ｇ_Ｔ、空間Ｖの標準基底Ａ：＝（ａ_１，．．．，ａ_Ｎ）の組であり、以下の演算（１）（２）を有する。ここで、ａ_ｉは、数１１４に示す通りである。

演算（１）：非退化双線形ペアリング
空間Ｖにおけるペアリングは、数１１５によって定義される。

これは、非退化双線形である。つまり、ｅ（ｓｘ，ｔｙ）＝ｅ（ｘ，ｙ）^ｓｔであり、全てのｙ∈Ｖに対して、ｅ（ｘ，ｙ）＝１の場合、ｘ＝０である。また、全てのｉとｊとに対して、ｅ（ａ_ｉ，ａ_ｊ）＝ｅ（ｇ，ｇ）^δｉ，ｊである。ここで、ｉ＝ｊであれば、δ_ｉ，ｊ＝１であり、ｉ≠ｊであれば、δ_ｉ，ｊ＝０である。また、ｅ（ｇ，ｇ）≠１∈Ｇ_Ｔである。

演算（２）：ディストーション写像
数１１６に示す空間Ｖにおける線形変換φ_ｉ，ｊは、数１１７を行うことができる。

ここで、線形変換φ_ｉ，ｊをディストーション写像と呼ぶ。

以下の説明において、Ｇ_ｄｐｖｓを、１^λ（λ∈自然数）、Ｎ∈自然数、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を入力として、セキュリティパラメータがλであり、Ｎ次元の空間Ｖとする双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ：＝（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）の値を出力するアルゴリズムとする。

なお、ここでは、上述した対称双線形ペアリング群により、双対ペアリングベクトル空間を構成した場合について説明する。なお、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成することも可能である。以下の説明を、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成した場合に応用することは容易である。

＜第３．ＦＣＰＲＥ方式を実現するための概念＞
＜第３−１．スパンプログラム＞
図１は、行列Ｍ＾の説明図である。
｛ｐ_１，．．．，ｐ_ｎ｝を変数の集合とする。Ｍ＾：＝（Ｍ，ρ）は、ラベル付けされた行列である。ここで、行列Ｍは、Ｆ_ｑ上の（Ｌ行×ｒ列）の行列である。また、ρは、行列Ｍの各行に付されたラベルであり、｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝のいずれか１つのリテラルへ対応付けられる。なお、Ｍの全ての行に付されたラベルρ_i（ｉ＝１，．．．，Ｌ）がいずれか１つのリテラルへ対応付けられる。つまり、ρ：｛１，．．．，Ｌ｝→｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝である。

全ての入力列δ∈｛０，１｝^ｎに対して、行列Ｍの部分行列Ｍ_δは定義される。行列Ｍ_δは、入力列δによってラベルρに値“１”が対応付けられた行列Ｍの行から構成される部分行列である。つまり、行列Ｍ_δは、δ_ｉ＝１であるようなｐ_ｉに対応付けられた行列Ｍの行と、δ_ｉ＝０であるような¬ｐ_ｉに対応付けられた行列Ｍの行とからなる部分行列である。
図２は、行列Ｍ_δの説明図である。なお、図２では、ｎ＝７，Ｌ＝６，ｒ＝５としている。つまり、変数の集合は、｛ｐ_１，．．．，ｐ_７｝であり、行列Ｍは（６行×５列）の行列である。また、図２において、ラベルρは、ρ_１が¬ｐ_２に、ρ_２がｐ_１に、ρ_３がｐ_４に、ρ_４が¬ｐ_５に、ρ_５が¬ｐ_３に、ρ_６がｐ_５にそれぞれ対応付けられているとする。
ここで、入力列δ∈｛０，１｝^７が、δ_１＝１，δ_２＝０，δ_３＝１，δ_４＝０，δ_５＝０，δ_６＝１，δ_７＝１であるとする。この場合、破線で囲んだリテラル（ｐ_１，ｐ_３，ｐ_６，ｐ_７，¬ｐ_２，¬ｐ_４，¬ｐ_５）に対応付けられている行列Ｍの行からなる部分行列が行列Ｍ_δである。つまり、行列Ｍの１行目（Ｍ_１），２行目（Ｍ_２），４行目（Ｍ_４）からなる部分行列が行列Ｍ_δである。

言い替えると、写像γ：｛１，．．．，Ｌ｝→｛０，１｝が、［ρ（ｊ）＝ｐ_ｉ］∧［δ_ｉ＝１］又は［ρ（ｊ）＝¬ｐ_ｉ］∧［δ_ｉ＝０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０であるとする。この場合に、Ｍ_δ：＝（Ｍ_ｊ）_{γ（ｊ）＝１}である。ここで、Ｍ_ｊは、行列Ｍのｊ番目の行である。
つまり、図２では、写像γ（ｊ）＝１（ｊ＝１，２，４）であり、写像γ（ｊ）＝０（ｊ＝３，５，６）である。したがって、（Ｍ_ｊ）_{γ（ｊ）＝１}は、Ｍ_１，Ｍ_２，Ｍ_４であり、行列Ｍ_δである。
すなわち、写像γ（ｊ）の値が“０”であるか“１”であるかによって、行列Ｍのｊ番目の行が行列Ｍ_δに含まれるか否かが決定される。

１^→∈ｓｐａｎ＜Ｍ_δ＞である場合に限り、スパンプログラムＭ＾は入力列δを受理し、他の場合には入力列δを拒絶する。つまり、入力列δによって行列Ｍ＾から得られる行列Ｍ_δの行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。なお、１^→とは、各要素が値“１”である行ベクトルである。
例えば、図２の例であれば、行列Ｍの１，２，４行目からなる行列Ｍ_δの各行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理する。

ここで、ラベルρが正のリテラル｛ｐ_１，．．．，ｐ_ｎ｝にのみ対応付けられている場合、スパンプログラムはモノトーンと呼ばれる。一方、ラベルρがリテラル｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝に対応付けられている場合、スパンプログラムはノンモノトーンと呼ばれる。ここでは、スパンプログラムはノンモノトーンとする。そして、ノンモノトーンスパンプログラムを用いて、アクセスストラクチャ（ノンモノトーンアクセスストラクチャ）を構成する。アクセスストラクチャとは、簡単に言うと暗号へのアクセス制御を行うものである。つまり、暗号文を復号できるか否かの制御を行うものである。
詳しくは後述するが、スパンプログラムがモノトーンではなく、ノンモノトーンであることにより、スパンプログラムを利用して構成するＦＣＰＲＥ方式の利用範囲が広がる。

＜第３−２．属性情報の内積とアクセスストラクチャ＞
ここでは、属性情報の内積を用いて上述した写像γ（ｊ）を計算する。つまり、属性情報の内積を用いて、行列Ｍのどの行を行列Ｍ_δに含めるかを決定する。

Ｕ_ｔ（ｔ＝１，．．．，ｄでありＵ_ｔ⊂｛０，１｝^＊）は、部分全集合（ｓｕｂ−ｕｎｉｖｅｒｓｅ）であり、属性の集合である。そして、Ｕ_ｔは、それぞれ部分全集合の識別情報（ｔ）と、ｎ次元ベクトル（ｖ^→）とを含む。つまり、Ｕ_ｔは、（ｔ，ｖ^→）である。ここで、ｔ∈｛１，．．．，ｄ｝であり、ｖ^→∈Ｆ_ｑ ^ｎである。

Ｕ_ｔ：＝（ｔ，ｖ^→）をスパンプログラムＭ＾：＝（Ｍ，ρ）における変数ｐとする。つまり、ｐ：＝（ｔ，ｖ^→）である。そして、変数（ｐ：＝（ｔ，ｖ^→），（ｔ，ｖ’^→），．．．）としたスパンプログラムＭ＾：＝（Ｍ，ρ）をアクセスストラクチャＳとする。
つまり、アクセスストラクチャＳ：＝（Ｍ，ρ）であり、ρ：｛１，．．．，Ｌ｝→｛（ｔ，ｖ^→），（ｔ，ｖ’^→），．．．，¬（ｔ，ｖ^→），¬（ｔ，ｖ’^→），．．．｝である。

次に、Γを属性の集合とする。つまり、Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆｑ^ｎ，１≦ｔ≦ｄ｝である。
アクセスストラクチャＳにΓが与えられた場合、スパンプログラムＭ＾：＝（Ｍ，ρ）に対する写像γ：｛１，．．．，Ｌ｝→｛０，１｝は、以下のように定義される。ｉ＝１，．．．，Ｌの各整数ｉについて、［ρ（ｉ）＝（ｔ，ｖ^→ _ｉ）］∧［（ｔ，ｘ^→ _ｔ）∈Γ］∧［ｖ^→ _ｉ・ｘ^→ _ｔ＝０］、又は、［ρ（ｉ）＝¬（ｔ，ｖ^→ _ｉ）］∧［（ｔ，ｘ^→ _ｔ）∈Γ］∧［ｖ^→ _ｉ・ｘ^→ _ｔ≠０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０とする。
つまり、属性情報ｖ^→とｘ^→との内積に基づき、写像γが計算される。そして、上述したように、写像γにより、行列Ｍのどの行を行列Ｍ_δに含めるかが決定される。すなわち、属性情報ｖ^→とｘ^→との内積により、行列Ｍのどの行を行列Ｍ_δに含めるかが決定され、１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合に限り、アクセスストラクチャＳ：＝（Ｍ，ρ）はΓを受理する。

＜第３−３．秘密分散方式＞
アクセスストラクチャＳ：＝（Ｍ，ρ）に対する秘密分散方式について説明する。
なお、秘密分散方式とは、秘密情報を分散させ、意味のない分散情報にすることである。例えば、秘密情報ｓを１０個に分散させ、１０個の分散情報を生成する。ここで、１０個の分散情報それぞれは、秘密情報ｓの情報を有していない。したがって、ある１個の分散情報を手に入れても秘密情報ｓに関して何ら情報を得ることはできない。一方、１０個の分散情報を全て手に入れれば、秘密情報ｓを復元できる。
また、１０個の分散情報を全て手に入れなくても、一部だけ（例えば、８個）手に入れれば秘密情報ｓを復元できる秘密分散方式もある。このように、１０個の分散情報のうち８個で秘密情報ｓを復元できる場合を、８−ｏｕｔ−ｏｆ−１０と呼ぶ。つまり、ｎ個の分散情報のうちｔ個で秘密情報ｓを復元できる場合を、ｔ−ｏｕｔ−ｏｆ−ｎと呼ぶ。このｔを閾値と呼ぶ。
また、ｄ_１，．．．，ｄ_１０の１０個の分散情報を生成した場合に、ｄ_１，．．．，ｄ_８までの８個の分散情報であれば秘密情報ｓを復元できるが、ｄ_３，．．．，ｄ_１０までの８個の分散情報であれば秘密情報ｓを復元できないというような秘密分散方式もある。つまり、手に入れた分散情報の数だけでなく、分散情報の組合せに応じて秘密情報ｓを復元できるか否かを制御する秘密分散方式もある。

図３は、ｓ_０の説明図である。図４は、ｓ^→Ｔの説明図である。
行列Ｍを（Ｌ行×ｒ列）の行列とする。ｆ^→Ｔを数１１８に示す列ベクトルとする。

数１１９に示すｓ_０を共有される秘密情報とする。

また、数１２０に示すｓ^→Ｔをｓ_０のＬ個の分散情報のベクトルとする。

そして、分散情報ｓ_ｉをρ（ｉ）に属するものとする。

アクセスストラクチャＳ：＝（Ｍ，ρ）がΓを受理する場合、つまりγ：｛１，．．．，Ｌ｝→｛０，１｝について１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合、Ｉ⊆｛ｉ∈｛１，．．．，Ｌ｝｜γ（ｉ）-＝１｝である定数｛α_ｉ∈Ｆ_ｑ｜ｉ∈Ｉ｝が存在する。
これは、図２の例で、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理すると説明したことからも明らかである。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾が入力列δを受理するのであれば、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する。
そして、数１２１である。

なお、定数｛α_ｉ｝は、行列Ｍのサイズにおける多項式時間で計算可能である。

以下の実施の形態に係るＦＣＰＲＥ方式は、上述したように、スパンプログラムに内積述語と秘密分散方式とを適用してアクセスストラクチャを構成する。そのため、スパンプログラムにおける行列Ｍや、内積述語における属性情報ｘ及び属性情報ｖ（述語情報）を設計することにより、アクセス制御を自由に設計することができる。つまり、非常に高い自由度でアクセス制御の設計を行うことができる。なお、行列Ｍの設計は、秘密分散方式の閾値等の条件設計に相当する。
例えば、上述した属性ベース暗号方式は、以下の実施の形態に係るＦＣＰＲＥ方式におけるアクセスストラクチャにおいて、内積述語の設計をある条件に限定した場合に相当する。つまり、以下の実施の形態に係るＦＣＰＲＥ方式におけるアクセスストラクチャに比べ、属性ベース暗号方式におけるアクセスストラクチャは、内積述語における属性情報ｘ及び属性情報ｖ（述語情報）を設計の自由度がない分、アクセス制御の設計の自由度が低い。なお、具体的には、属性ベース暗号方式は、属性情報｛ｘ^→ _ｔ｝_{ｔ∈｛１，．．．，ｄ｝}と｛ｖ^→ _ｔ｝_{ｔ∈｛１，．．．，ｄ｝}とを、等号関係に対する２次元ベクトル、例えばｘ^→ _ｔ：＝（１，ｘ_ｔ）とｖ^→ _ｔ：＝（ｖ_ｔ，−１）とに限定した場合に相当する。
また、内積述語暗号方式におけるＰＲＥは、以下の実施の形態に係るＦＣＰＲＥ方式におけるアクセスストラクチャにおいて、スパンプログラムにおける行列Ｍの設計をある条件に限定した場合に相当する。つまり、以下の実施の形態に係るＦＣＰＲＥ方式におけるアクセスストラクチャに比べ、内積述語暗号方式におけるアクセスストラクチャは、スパンプログラムにおける行列Ｍの設計の自由度がない分、アクセス制御の設計の自由度が低い。なお、具体的には、内積述語暗号方式は、秘密分散方式を１−ｏｕｔ−ｏｆ−１（あるいは、ｄ−ｏｕｔ−ｏｆ−ｄ）に限定した場合である。

特に、以下の実施の形態に係るＦＣＰＲＥ方式におけるアクセスストラクチャは、ノンモノトーンスパンプログラムを用いたノンモノトーンアクセスストラクチャを構成する。そのため、アクセス制御の設計の自由度がより高くなる。
具体的には、ノンモノトーンスパンプログラムには、否定形のリテラル（¬ｐ）を含むため、否定形の条件を設定できる。例えば、第１会社には、Ａ部とＢ部とＣ部とＤ部との４つの部署があったとする。ここで、第１会社のＢ部以外の部署の属するユーザにのみアクセス可能（復号可能）というアクセス制御をしたいとする。この場合に、否定形の条件の設定ができないとすると、「第１会社のＡ部とＣ部とＤ部とのいずれかに属すること」という条件を設定する必要がある。一方、否定形の条件の設定ができるとすると、「第１会社の社員であって、Ｂ部以外に属すること」という条件を設定することができる。つまり、否定形の条件が設定できることで、自然な条件設定が可能となる。なお、ここでは部署の数が少ないが、部署の数が多い場合等は非常に有効であることが分かる。

＜第４．ＦＣＰＲＥ方式の基本構成＞
＜第４−１．ＣＰ−ＦＣＰＲＥ方式の基本構成＞
ＣＰ−ＦＣＰＲＥ方式の構成を簡単に説明する。なお、ＣＰ（暗号文ポリシー）とは、暗号文にＰｏｌｉｃｙが埋め込まれること、つまりアクセスストラクチャが埋め込まれることを意味する。

ＣＰ−ＦＣＰＲＥ方式は、Ｓｅｔｕｐ、ＫＧ、Ｅｎｃ、ＲＫＧ、ＲＥｎｃ、Ｄｅｃ１、Ｄｅｃ２の７つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ；ｗ_１，．．．，ｗ_ｄ；ｚ_１，．．．，ｚ_ｄ）とを入力として、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫＧ）
ＫＧアルゴリズムは、属性集合Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎｔ，１≦ｔ≦ｄ｝と、公開パラメータｐｋと、マスター鍵ｓｋとを入力として、復号鍵ｓｋ_Γを出力する確率的アルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、メッセージｍと、アクセスストラクチャＳ＝（Ｍ，ρ），Ｓ^〜＝（Ｍ^〜，ρ^〜）と、公開パラメータｐｋとを入力として、暗号文ｃｔ_Ｓを出力する確率的アルゴリズムである。
（ＲＫＧ）
ＲＫＧアルゴリズムは、復号鍵ｓｋ_Γと、アクセスストラクチャＳ’：＝（Ｍ’，ρ’）と、属性集合Γ^〜と、公開パラメータｐｋとを入力として、再暗号化鍵ｒｋ_Γ，Ｓ’を出力する確率的アルゴリズムである。
（ＲＥｎｃ）
ＲＥｎｃアルゴリズムは、暗号文ｃｔ_Ｓと、再暗号化鍵ｒｋ_Γ，Ｓ’と、公開パラメータｐｋとを入力として、再暗号文ｒｃｔ_Ｓ’を出力する確率的アルゴリズムである。
（Ｄｅｃ１）
Ｄｅｃ１アルゴリズムは、再暗号文ｒｃｔ_Ｓ’と、復号鍵ｓｋ_Γ’と、公開パラメータｐｋとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。
（Ｄｅｃ２）
Ｄｅｃ２アルゴリズムは、暗号文ｃｔ_Ｓと、復号鍵ｓｋ_Γと、公開パラメータｐｋとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。

＜第４−２．暗号システム１０＞
ＣＰ−ＦＣＰＲＥ方式のアルゴリズムを実行する暗号システム１０について説明する。
図５は、ＣＰ−ＦＣＰＲＥ方式を実行する暗号システム１０の構成図である。
暗号システム１０は、鍵生成装置１００、暗号化装置２００、復号装置３００（再暗号化鍵生成装置）、再暗号化装置４００、再暗号文復号装置５００を備える。

鍵生成装置１００は、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ；ｗ_１，．．．，ｗ_ｄ；ｚ_１，．．．，ｚ_ｄ）とを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。
そして、鍵生成装置１００は、公開パラメータｐｋを公開する。また、鍵生成装置１００は、属性集合Γを入力としてＫＧアルゴリズムを実行して、復号鍵ｓｋ_Γを生成して復号装置３００へ秘密裏に送信する。また、鍵生成装置１００は、属性集合Γ’を入力としてＫＧアルゴリズムを実行して、復号鍵ｓｋ_Γ’を生成して再暗号文復号装置５００へ秘密裏に送信する。

暗号化装置２００は、メッセージｍと、アクセスストラクチャＳ，Ｓ^〜と、公開パラメータｐｋとを入力としてＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Ｓを生成する。暗号化装置２００は、暗号文ｃｔ_Ｓを再暗号化装置４００へ送信する。

復号装置３００は、復号鍵ｓｋ_Γと、アクセスストラクチャＳ’と、属性集合Γ^〜と、公開パラメータｐｋとを入力としてＲＫＧアルゴリズムを実行して、再暗号化鍵ｒｋ_Γ，Ｓ’を生成する。復号装置３００は、再暗号化鍵ｒｋ_Γ，Ｓ’を再暗号化装置４００に秘密裏に送信する。
また、復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_Γと、暗号文ｃｔ_Ｓとを入力としてＤｅｃ２アルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

再暗号化装置４００は、再暗号化鍵ｒｋ_Γ，Ｓ’と、暗号文ｃｔ_Ｓと、公開パラメータｐｋとを入力として、ＲＥｎｃアルゴリズムを実行して、再暗号文ｒｃｔ_Ｓ’を生成する。再暗号化装置４００は、再暗号文ｒｃｔ_Ｓ’を再暗号文復号装置５００へ送信する。

再暗号文復号装置５００は、復号鍵ｓｋ_Γ’と、再暗号文ｒｃｔ_Ｓ’と、公開パラメータｐｋとを入力として、Ｄｅｃ１アルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

＜第４−３．ＣＰ−ＦＣＰＲＥ方式を実現するために用いられる部品＞
ＣＰ−ＦＣＰＲＥ方式を実現するために、暗号文ポリシーの関数型暗号（ＣＰ−ＦＥ）とワンタイム署名とが用いられる。いずれも公知の技術であるため、ここでは以下の説明で用いる方式について簡単に説明する。なお、ＣＰ−ＦＥ方式については、特許文献１に一例が記載されている。

ＣＰ−ＦＥ方式は、Ｓｅｔｕｐ_{ＣＰ−ＦＥ}、ＫＧ_{ＣＰ−ＦＥ}、Ｅｎｃ_{ＣＰ−ＦＥ}、Ｄｅｃ_{ＣＰ−ＦＥ}の４つのアルゴリズムを備える。
（Ｓｅｔｕｐ_{ＣＰ−ＦＥ}）
Ｓｅｔｕｐ_{ＣＰ−ＦＥ}アルゴリズムは、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ）とを入力として、公開パラメータｐｋ^{ＣＰ−ＦＥ}と、マスター鍵ｓｋ^{ＣＰ−ＦＥ}とを出力する確率的アルゴリズムである。
（ＫＧ_{ＣＰ−ＦＥ}）
ＫＧ_{ＣＰ−ＦＥ}アルゴリズムは、属性集合Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎｔ，１≦ｔ≦ｄ｝と、公開パラメータｐｋ^{ＣＰ−ＦＥ}と、マスター鍵ｓｋ^{ＣＰ−ＦＥ}とを入力として、復号鍵ｓｋ_Γ ^{ＣＰ−ＦＥ}を出力する確率的アルゴリズムである。
（Ｅｎｃ_{ＣＰ−ＦＥ}）
Ｅｎｃ_{ＣＰ−ＦＥ}アルゴリズムは、メッセージｍと、アクセスストラクチャＳ＝（Ｍ，ρ）と、公開パラメータｐｋ^{ＣＰ−ＦＥ}とを入力として、暗号文ψを出力する確率的アルゴリズムである。
（Ｄｅｃ_{ＣＰ−ＦＥ}）
Ｄｅｃ_{ＣＰ−ＦＥ}アルゴリズムは、暗号文ψと、復号鍵ｓｋ_Γ ^{ＣＰ−ＦＥ}と、公開パラメータｐｋ^{ＣＰ−ＦＥ}とを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。

ワンタイム署名方式は、ＳｉｇＫＧ、Ｓｉｇ、Ｖｅｒの３つのアルゴリズムを備える。
（ＳｉｇＫＧ）
ＳｉｇＫＧアルゴリズムは、セキュリティパラメータλを入力として、署名鍵ｓｉｇｋと、検証鍵ｖｅｒｋとを出力する確率的アルゴリズムである。
（Ｓｉｇ）
Ｓｉｇアルゴリズムは、署名鍵ｓｉｇｋと、メッセージｍとを入力として、署名Ｓを出力する確率的アルゴリズムである。
（Ｖｅｒ）
Ｖｅｒアルゴリズムは、検証鍵ｖｅｒｋと、メッセージｍと、署名Ｓとを入力として、検証鍵ｖｅｒｋとメッセージｍとに対して署名Ｓが正当であれば１を出力し、正当でなければ０を出力するアルゴリズムである。

＜第４−４．ＣＰ−ＦＣＰＲＥ方式及び暗号処理システム１０の詳細＞
図６から図１７に基づき、ＣＰ−ＦＣＰＲＥ方式、及び、ＣＰ−ＦＣＰＲＥ方式を実行する暗号処理システム１０の機能と動作とについて説明する。
図６は、鍵生成装置１００の機能を示す機能ブロック図である。図７は、暗号化装置２００の機能を示す機能ブロック図である。図８は、復号装置３００の機能を示す機能ブロック図である。図９は、再暗号化装置４００の機能を示す機能ブロック図である。図１０は、再暗号文復号装置５００の機能を示す機能ブロック図である。
図１１と図１２とは、鍵生成装置１００の動作を示すフローチャートである。なお、図１１はＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１２はＫＧアルゴリズムの処理を示すフローチャートである。図１３は、暗号化装置２００の動作を示すフローチャートであり、Ｅｎｃアルゴリズムの処理を示すフローチャートである。図１４は、復号装置３００の動作を示すフローチャートであり、ＲＫＧアルゴリズムの処理を示すフローチャートである。図１５は、再暗号化装置４００の動作を示すフローチャートであり、ＲＥｎｃアルゴリズムの処理を示すフローチャートである。図１６は、再暗号文復号装置５００の動作を示すフローチャートであり、Ｄｅｃ１アルゴリズムの処理を示すフローチャートである。図１７は、復号装置３００の動作を示すフローチャートであり、Ｄｅｃ２アルゴリズムの処理を示すフローチャートである。

鍵生成装置１００の機能と動作とについて説明する。
図６に示すように、鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、復号鍵生成部１４０、鍵送信部１５０（鍵出力部）を備える。また、復号鍵生成部１４０は、ＣＰ−ＦＥ鍵生成部１４１、乱数生成部１４２、復号鍵ｋ^＊生成部１４３を備える。

まず、図１１に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１：正規直交基底生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１２２−１、数１２２−２を計算して、パラメータｐａｒａｍ_ｎ→と、基底Ｂ_０及び基底Ｂ^＊ _０と、基底Ｂ_ｔ及び基底Ｂ^＊ _ｔと、基底Ｈ_ｔ及びＨ^＊ _ｔとを生成する。

つまり、マスター鍵生成部１１０は以下の処理を実行する。
（１）マスター鍵生成部１１０は、入力装置により、セキュリティパラメータλ（１^λ）と、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ；ｗ_１，．．．，ｗ_ｄ；ｚ_１，．．．，ｚ_ｄ）とを入力する。ここで、ｄは１以上の整数であり、ｔ＝１，．．．，ｄの各整数ｔについて、ｎ_ｔは１以上の整数でありｗ_ｔ，ｚ_ｔは０以上の整数である。

（２）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλを入力としてアルゴリズムＧ_ｂｐｇを実行して、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を生成する。

（３）マスター鍵生成部１１０は、Ｎ_０に９を設定し、ｔ＝１，．．．，ｄの各整数ｔについてＮ_ｔにｎ_ｔ＋ｗ_ｔ＋ｚ_ｔ＋１を設定する。また、マスター鍵生成部１１０は、乱数ψを生成する。また、マスター鍵生成部１１０は、ｅ（Ｇ，Ｇ）^ψをｇ_Ｔに設定する。

続いて、マスター鍵生成部１１０は、ｔ＝０，．．．，ｄの各整数ｔについて以下の（４）から（１０）までの処理を実行する。
（４）マスター鍵生成部１１０は、（１）で入力したセキュリティパラメータλと、（３）で設定したＮ_ｔと、（２）で生成したｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値とを入力としてアルゴリズムＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖｔ：＝（ｑ，Ｖ_ｔ，Ｇ_Ｔ，Ａ_ｔ，ｅ）の値を生成する。

（５）マスター鍵生成部１１０は、（３）で設定したＮ_ｔと、Ｆ_ｑとを入力として、線形変換Ｘ_ｔ：＝（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊをランダムに生成する。なお、ＧＬは、Ｇｅｎｅｒａｌ Ｌｉｎｅａｒの略である。つまり、ＧＬは、一般線形群であり、行列式が０でない正方行列の集合であり、乗法に関し群である。また、（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊは、行列χ_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味である。ここでは、（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊではｉ，ｊ＝１，．．．，Ｎ_ｔである。

（６）マスター鍵生成部１１０は、乱数ψと線形変換Ｘ_ｔとに基づき、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊ：＝ψ・（Ｘ_ｔ ^Ｔ）^−１を生成する。なお、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊも（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊと同様に、行列ν_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味である。ここでは、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊではｉ，ｊ＝１，．．．，Ｎ_ｔである。

（７）マスター鍵生成部１１０は、（５）で生成した線形変換Ｘ_ｔに基づき、（４）で生成した標準基底Ａ_ｔから基底Ｂ_ｔを生成する。マスター鍵生成部１１０は、（６）で生成した（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊに基づき、（４）で生成した標準基底Ａ_ｔから基底Ｂ^＊ _ｔを生成する。

（８）マスター鍵生成部１１０は、（５）と同様に、（３）で設定したＮ_ｔと、Ｆ_ｑとを入力として、線形変換Ｘ’_ｔ：＝（χ’_{ｔ，ｉ，ｊ}）_ｉ，ｊをランダムに生成する。

（９）マスター鍵生成部１１０は、（６）と同様に、乱数ψと線形変換Ｘ’_ｔとに基づき、（ν’_{ｔ，ｉ，ｊ}）_ｉ，ｊ：＝ψ・（Ｘ’_ｔ ^Ｔ）^−１を生成する。

（１０）マスター鍵生成部１１０は、（８）で生成した線形変換Ｘ’_ｔに基づき、（４）で生成した基底Ａ_ｔから基底Ｈ_ｔを生成する。マスター鍵生成部１１０は、（９）で生成した（ν’_{ｔ，ｉ，ｊ}）_ｉ，ｊに基づき、（４）で生成した基底Ａ_ｔから基底Ｈ^＊ _ｔを生成する。

（１１）マスター鍵生成部１１０は、ｐａｒａｍ_ｎ→に（４）で生成した｛ｐａｒａｍ_Ｖｔ｝_{ｔ＝０，．．．，ｄ}と、ｇ_Ｔとを設定する。

（Ｓ１０２：ＣＰ−ＦＥマスター鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１２３を計算して、関数型暗号の公開パラメータｐｋ^{ＣＰ−ＦＥ}と、マスター鍵ｓｋ^{ＣＰ−ＦＥ}とを生成する。

（Ｓ１０３：公開パラメータ生成ステップ）
マスター鍵生成部１１０は、処理装置により、基底Ｂ_０の部分基底Ｂ＾_０と、基底Ｂ_ｔの部分基底Ｂ＾_ｔと、基底Ｈ_ｔの部分基底Ｈ＾_ｕと、基底Ｂ^＊ _０の部分基底Ｂ＾^＊ _０と、基底Ｂ^＊ _ｔの部分基底Ｂ＾^＊ _ｔと、基底Ｈ^＊ _ｔの部分基底Ｈ＾^＊ _ｕとを数１２４に示すように生成する。

マスター鍵生成部１１０は、公開パラメータｐｋ^{ＣＰ−ＦＥ}と、セキュリティパラメータλと、ｐａｒａｍ_ｎ→と、部分基底Ｂ＾_０，Ｂ＾_ｔ，Ｈ＾_ｕ，Ｂ＾^＊ _０，Ｂ＾^＊ _ｔ，H＾^＊ _ｕとを合わせて、公開パラメータｐｋとする。

（Ｓ１０４：マスター鍵生成ステップ）
マスター鍵生成部１１０は、マスター鍵ｓｋ^{ＣＰ−ＦＥ}と、基底ベクトルｂ^＊ _０，１と、数１２５に示す基底Ｈ^＊ _ｕの一部の基底ベクトルとをマスター鍵ｓｋとする。

（Ｓ１０５：マスター鍵記憶ステップ）
マスター鍵記憶部１２０は、（Ｓ１０３）で生成した公開パラメータｐｋを記憶装置に記憶する。また、マスター鍵記憶部１２０は、（Ｓ１０４）で生成したマスター鍵ｓｋを記憶装置に記憶する。

つまり、（Ｓ１０１）から（Ｓ１０４）において、鍵生成装置１００は、数１２６−１、数１２６−２に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、（Ｓ１０５）で、鍵生成装置１００は、生成した公開パラメータｐｋとマスター鍵ｓｋとを記憶装置に記憶する。
なお、公開パラメータは、例えば、ネットワークを介して公開され、暗号化装置２００、復号装置３００、再暗号化装置４００、再暗号文復号装置５００が取得可能な状態にされる。

次に、図１２に基づき、ＫＧアルゴリズムの処理について説明する。
（Ｓ２０１：情報入力ステップ）
情報入力部１３０は、入力装置により、属性集合Γ：＝｛（ｔ，ｘ^→ _ｔ：＝（ｘ_ｔ，１，．．．，ｘ_ｔ，ｎｔ∈Ｆ_ｑ ^ｎｔ＼｛０^→｝））｜１≦ｔ≦ｄ｝を入力する。なお、ｔは、１以上ｄ以下の全ての整数ではなく、１以上ｄ以下の少なくとも一部の整数であってもよい。また、属性集合Γは、例えば、復号鍵ｓｋ_Γの使用者の属性情報が設定されている。

（Ｓ２０２：ＣＰ−ＦＥ復号鍵生成ステップ）
ＣＰ−ＦＥ鍵生成部１４１は、処理装置により、数１２７を計算して、関数型暗号の復号鍵ｓｋ_Γ ^{ＣＰ−ＦＥ}を生成する。

（Ｓ２０３：乱数生成ステップ）
乱数生成部１４２は、処理装置により、乱数を数１２８に示すように生成する。

（Ｓ２０４：復号鍵ｋ^＊生成ステップ）
復号鍵ｋ^＊生成部１４３は、処理装置により、復号鍵ｋ^＊ _０を数１２９に示すように生成する。

なお、数１１０に示す基底Ｂと基底Ｂ^＊とに対して数１１１である。そのため、数１２９は、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数として１が設定され、基底ベクトルｂ^＊ _０，２の係数としてδが設定され、基底ベクトルｂ^＊ _０，３，．．．，ｂ^＊ _０，６の係数として０が設定され、基底ベクトルｂ^＊ _０，７，ｂ^＊ _０，８の係数としてφ_０，１，φ_０，２が設定され、基底ベクトルｂ^＊ _０，９の係数として０が設定されることを意味する。

また、復号鍵ｋ^＊生成部１４３は、処理装置により、属性集合Γに含まれる各整数ｔについて、復号鍵ｋ^＊ _ｔを数１３０に示すように生成する。

なお、数１３０は、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ，１，．．．，ｂ^＊ _ｔ，ｎｔの係数としてδｘ_ｔ，１，．．．，δｘ_ｔ，ｎｔが設定され、基底ベクトルｂ^＊ _{ｔ，ｎｔ＋１}，．．．，ｂ^＊ _{ｔ，ｎｔ＋ｗｔ}の係数として０が設定され、基底ベクトルｂ^＊ _{ｔ，ｎｔ＋ｗｔ＋１}，．．．，ｂ^＊ _{ｔ，ｎｔ＋ｗｔ＋ｚｔ}の係数としてφ_ｔ，１，．．．，φ_ｔ，ｚｔが設定され、基底ベクトルｂ^＊ _{ｔ，ｎｔ＋ｗｔ＋ｚｔ＋１}の係数として０が設定されることを意味する。

また、復号鍵ｋ^＊生成部１４３は、処理装置により、ｕ＝１，．．．，ｄとｉ＝１，．．．，ｎ_ｕのの各整数ｕ，ｉについて、復号鍵ｋ^〜＊ _ｕ，ｉを数１３１に示すように生成する。

（Ｓ２０５：鍵送信ステップ）
鍵送信部１５０は、属性集合Γと、関数型暗号の復号鍵ｓｋ_Γ ^{ＣＰ−ＦＥ}と、復号鍵ｋ^＊ _０，ｋ^＊ _ｔ，ｋ^〜＊ _ｕ，ｉとを要素とする復号鍵ｓｋ_Γを、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ送信する。もちろん、復号鍵ｓｋ_Γは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ２０１）から（Ｓ２０４）において、鍵生成装置１００は、数１３２に示すＫＧアルゴリズムを実行して、復号鍵ｓｋ_Γを生成する。そして、（Ｓ２０５）で、鍵生成装置１００は、復号鍵ｓｋ_Γを復号装置３００へ送信する。

なお、鍵生成装置１００は、（Ｓ２０１）において、復号鍵ｓｋ_Γ’の使用者の属性情報が設定された属性集合Γ’：＝｛（ｔ，ｘ’^→ _ｔ：＝（ｘ’_ｔ，１，．．．，ｘ’_ｔ，ｎｔ∈Ｆ_ｑ ^ｎｔ＼｛０^→｝））｜１≦ｔ≦ｄ｝を入力して、ＫＧアルゴリズムを実行して、復号鍵ｓｋ_Γ’を生成する。そして、鍵生成装置１００は、復号鍵ｓｋ_Γ’：＝（Γ’， ｓｋ_Γ’ ^{ＣＰ−ＦＥ}，ｋ’^＊ _０，｛ｋ’^＊ _ｔ｝_{（ｔ，ｘ→ｔ）∈Γ}，｛ｋ’^〜＊ _ｔ，ｉ｝_{ｕ＝１，．．．，ｄ；ｉ＝１，．．．，ｎｕ}）を再暗号文復号装置５００へ送信する。

暗号化装置２００の機能と動作とについて説明する。
図７に示すように、暗号化装置２００は、公開パラメータ受信部２１０、情報入力部２２０、署名処理部２３０、暗号化部２４０、暗号文送信部２５０（暗号文出力部）を備える。また、暗号化部２４０は、ｆベクトル生成部２４１、ｓベクトル生成部２４２、乱数生成部２４３、暗号文ｃ生成部２４４を備える。

図１３に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ３０１：公開パラメータ受信ステップ）
公開パラメータ受信部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ３０２：情報入力ステップ）
情報入力部２２０は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ），Ｓ^〜：＝（Ｍ^〜，ρ^〜）を入力する。なお、アクセスストラクチャＳ，Ｓ^〜は、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳのρは、例えば、暗号文ｃｔ_Ｓを復号可能なユーザの属性情報が設定されている。また、アクセスストラクチャＳ^〜のρ^〜は、例えば、再暗号可能な条件を設定するための情報が設定されている。ここで、ρ（ｉ）＝（ｔ，ｖ^→ _ｉ：＝（ｖ_ｉ，１，．．．，ｖ_ｉ，ｎｔ）∈Ｆ_ｑ ^ｎｔ＼｛０^→｝）（ｖ_ｉ，ｎｔ≠０）である。また、ρ^〜（ｉ）＝（ｕ，ｚ^→ _ｉ：＝（ｚ_ｉ，１，．．．，ｚ_ｉ，ｎｕ）∈Ｆ_ｑ ^ｎｕ＼｛０^→｝）（ｚ_ｉ，ｎｕ≠０）である。なお、ＭはＬ行ｒ列の行列であり、Ｍ^〜はＬ^〜行ｒ^〜列の行列である。
また、情報入力部２２０は、入力装置により、復号装置３００へ送信するメッセージｍを入力する。

（Ｓ３０３：署名鍵生成ステップ）
署名処理部２３０は、処理装置により、数１３３を計算して、ワンタイム署名の署名鍵ｓｉｇｋと、検証鍵ｖｅｒｋとを生成する。

（Ｓ３０４：ｆベクトル生成ステップ）
ｆベクトル生成部２４１は、処理装置により、ベクトルｆ^→，ｆ^〜→を数１３４に示すようにランダムに生成する。

（Ｓ３０５：ｓベクトル生成ステップ）
ｓベクトル生成部２４２は、処理装置により、ベクトルｓ^→Ｔ，ｓ^〜→Ｔを数１３５に示すように生成する。

また、ｓベクトル生成部２４２は、処理装置により、値ｓ_０，ｓ^〜 _０を数１３６に示すように生成する。

（Ｓ３０６：乱数生成ステップ）
乱数生成部２４３は、処理装置により、乱数を数１３７に示すように生成する。

（Ｓ３０７：暗号文ｃ生成ステップ）
暗号文ｃ生成部２４４は、処理装置により、暗号文ｃ_０を数１３８に示すように生成する。

また、暗号文ｃ生成部２４４は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、暗号文ｃ_ｉを数１３９に示すように生成する。

また、暗号文ｃ生成部２４４は、処理装置により、暗号文ｃ_Ｔを数１４０に示すように生成する。

また、暗号文ｃ生成部２４４は、処理装置により、暗号文ｃ^〜 _０を数１４１に示すように生成する。

また、暗号文ｃ生成部２４４は、処理装置により、ｊ＝１，．．．，Ｌ^〜の各整数ｊについて、暗号文ｃ^〜 _ｊを数１４２に示すように生成する。

また、暗号文ｃ生成部２４４は、処理装置により、暗号文ｃ^〜 _Ｔを数１４３に示すように生成する。

（Ｓ３０８：署名生成ステップ）
署名処理部２３０は、処理装置により、数１４４を計算して、暗号文ｃｔ_Ｓの要素Ｃに対する署名Ｓｉｇを生成する。

（Ｓ３０９：暗号文送信ステップ）
暗号文送信部２５０は、アクセスストラクチャＳ，Ｓ^〜と、暗号文ｃ_０，ｃ_１，．．．，ｃ_Ｌ，ｃ_Ｔ，ｃ^〜 _０，ｃ^〜 _１，．．．，ｃ^〜 _Ｌ〜，ｃ^〜 _Ｔと、検証鍵ｖｅｒｋと、署名Ｓｉｇとを要素とする暗号文ｃｔ_Ｓを、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号文ｃｔ_Ｓは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ３０１）から（Ｓ３０８）において、暗号化装置２００は、数１４５−１、数１４５−２に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Ｓを生成する。そして、（Ｓ３０９）で、暗号化装置２００は生成した暗号文ｃｔ_Ｓを復号装置３００へ送信する。

復号装置３００の機能と動作とについて説明する。
図８に示すように、復号装置３００は、復号鍵受信部３１０、情報入力部３２０、再暗号化鍵生成部３３０、再暗号化鍵送信部３４０（再暗号化鍵出力部）、暗号文受信部３５０、検証部３６０、補完係数計算部３７０、ペアリング演算部３８０、メッセージ計算部３９０を備える。また、再暗号化鍵生成部３３０は、乱数生成部３３１、変換情報Ｗ_１生成部３３２、変換情報Ｗ_１暗号化部３３３、復号鍵ｋ^＊ｒｋ生成部３３４、変換部３３５を備える。また、検証部３６０は、スパンプログラム計算部３６１、署名検証部３６２を備える

ここでは、図１４に基づき、ＲＫＧアルゴリズムの処理について説明する。Ｄｅｃ２アルゴリズムについては後述する。

（Ｓ４０１：復号鍵受信ステップ）
復号鍵受信部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Γを受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ４０２：情報入力ステップ）
情報入力部３２０は、入力装置により、アクセスストラクチャＳ’：＝（Ｍ’，ρ’）を入力する。なお、アクセスストラクチャＳ’は、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳ’のρ’は、例えば、再暗号文ｒｃｔ_Ｓ’を復号可能なユーザの属性情報が設定されている。ここで、ρ’（ｉ）＝（ｔ，ｖ^→’ _ｉ：＝（ｖ’_ｉ，１，．．．，ｖ’_ｉ，ｎｔ）∈Ｆ_ｑ ^ｎｔ＼｛０^→｝）（ｖ’_ｉ，ｎｔ≠０）である。
また、情報入力部１３０は、入力装置により、属性集合Γ^〜：＝｛（ｕ，ｙ^→ _ｕ：＝（ｙ_ｕ，１，．．．，ｙ_ｕ，ｎｕ∈Ｆ_ｑ ^ｎｕ＼｛０^→｝））｜１≦ｕ≦ｄ｝を入力する。なお、ｕは、１以上ｄ以下の全ての整数ではなく、１以上ｄ以下の少なくとも一部の整数であってもよい。また、属性集合Γ^〜は、例えば、再暗号可能な条件を示す属性情報が設定されている。

（Ｓ４０３：乱数生成ステップ）
乱数生成部３３１は、処理装置により、乱数を数１４６に示すように生成する。

（Ｓ４０４：変換情報Ｗ_１生成ステップ）
変換情報Ｗ_１生成部３３２は、処理装置により、変換情報Ｗ_１，０，Ｗ_１，ｔ，Ｗ^〜 _１，ｕを数１４７に示すように生成する。

（Ｓ４０５：変換情報Ｗ_１暗号化ステップ）
変換情報Ｗ_１暗号化部３３３は、処理装置により、数１４８を計算して、変換情報Ｗ_１，０，Ｗ_１，ｔ，Ｗ^〜 _１，ｕを関数型暗号により暗号化して、暗号化変換情報ｃｔ^ｒｋ _Ｓ’（ψ^ｒｋ）を生成する。変換情報Ｗ_１，０，Ｗ_１，ｔ，Ｗ^〜 _１，ｕは、アクセスストラクチャＳ’を入力として関数型暗号により暗号化されるため、再暗号文ｒｃｔ_Ｓ’を復号可能なユーザの属性情報が設定され暗号化される。

（Ｓ４０６：復号鍵ｋ^＊ｒｋ生成ステップ）
復号鍵ｋ^＊ｒｋ生成部３３４は、処理装置により、復号鍵ｋ^＊ｒｋ _０，ｋ^＊ｒｋ _{０，ｒａｎ}を数１４９に示すように生成する。

また、復号鍵ｋ^＊ｒｋ生成部３３４は、処理装置により、属性集合Γに含まれる各整数ｔについて、復号鍵ｋ^＊ｒｋ _ｔ，ｋ^＊ｒｋ _{ｔ，ｒａｎ}を数１５０に示すように生成する。

また、復号鍵ｋ^＊ｒｋ生成部３３４は、処理装置により、属性集合Γ^〜に含まれる各整数ｕについて、復号鍵ｋ^〜＊ｒｋ _ｕを数１５１に示すように生成する。

（Ｓ４０７：変換ステップ）
変換部３３５は、処理装置により、数１５２を計算して、基底Ｄ^＾＊ _０，Ｄ^＾＊ _ｔ，Ｕ^＾＊ _ｕを生成する。

（Ｓ４０８：鍵送信ステップ）
再暗号化鍵送信部３４０は、属性集合Γ，Γ^〜と、アクセスストラクチャＳ’と、復号鍵ｋ^＊ｒｋ _０，ｋ^＊ｒｋ _{０，ｒａｎ}，ｋ^＊ｒｋ _ｔ，ｋ^＊ｒｋ _{ｔ，ｒａｎ}，ｋ^〜＊ｒｋ _ｕと、暗号化変換情報ｃｔ^ｒｋ _Ｓ’と、基底Ｄ^＾＊ _０，Ｄ^＾＊ _ｔ，Ｕ^＾＊ _ｕとを要素とする再暗号化鍵ｒｋ_Γ，Ｓ’を、例えば通信装置によりネットワークを介して秘密裡に再暗号化装置４００へ送信する。もちろん、再暗号化鍵ｒｋ_Γ，Ｓ’は、他の方法により再暗号化装置４００へ送信されてもよい。

つまり、（Ｓ４０１）から（Ｓ４０７）において、復号装置３００は、数１５３−１、数１５３−２に示すＲＫＧアルゴリズムを実行して、再暗号化鍵ｒｋ_Γ，Ｓ’を生成する。そして、（Ｓ４０８）で、復号装置３００は生成した再暗号化鍵ｒｋ_Γ，Ｓ’を再暗号化装置４００へ送信する。

再暗号化装置４００の機能と動作とについて説明する。
図９に示すように、再暗号化装置４００は、公開パラメータ受信部４１０、暗号文受信部４２０、再暗号化鍵受信部４３０、検証部４４０、暗号化部４５０、再暗号文送信部４６０（再暗号文出力部）を備える。また、検証部４４０は、スパンプログラム計算部４４１、署名検証部４４２を備える。また、暗号化部４５０は、乱数生成部４５１、ｆベクトル生成部４５２、ｓベクトル生成部４５３、変換情報Ｗ_２生成部４５４、変換情報Ｗ_２暗号化部４５５、暗号文ｃ^ｒｅｎｃ生成部４５６、復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７を備える。

図１５に基づき、ＲＥｎｃアルゴリズムの処理について説明する。
（Ｓ５０１：公開パラメータ受信ステップ）
公開パラメータ受信部４１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ５０２：暗号文受信ステップ）
暗号文受信部４２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号文ｃｔ_Ｓを受信する。

（Ｓ５０３：再暗号化鍵受信ステップ）
再暗号化鍵受信部４３０は、例えば、通信装置によりネットワークを介して、復号装置３００から送信された再暗号化鍵ｒｋ_Γ，Ｓ’を受信する。

（Ｓ５０４：スパンプログラム計算ステップ）
スパンプログラム計算部４４１は、処理装置により、暗号文ｃｔ_Ｓに含まれるアクセスストラクチャＳが、再暗号化鍵ｒｋ_Γ，Ｓ’に含まれるΓを受理するか否かを判定するとともに、暗号文ｃｔ_Ｓに含まれるアクセスストラクチャＳ^〜が、再暗号化鍵ｒｋ_Γ，Ｓ’に含まれるΓ^〜を受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否か、及び、アクセスストラクチャＳ^〜がΓ^〜を受理するか否かの判定方法は、実施の形態１における「第３．ＦＣＰＲＥを実現するための概念」で説明した通りである。
スパンプログラム計算部４４１は、アクセスストラクチャＳがΓを受理し、かつ、アクセスストラクチャＳ^〜がΓ^〜を受理する場合（Ｓ５０４で受理）、処理を（Ｓ５０５）へ進める。一方、アクセスストラクチャＳがΓを拒絶する、又は、アクセスストラクチャＳ^〜がΓ^〜を拒絶する場合（Ｓ５０４で拒絶）、処理を終了する。

（Ｓ５０５：署名検証ステップ）
署名検証部４４２は、処理装置により、数１５４を計算した結果が１であるか否かを判定する。署名検証部４４２は、結果が１である場合（Ｓ５０５で正当）、処理を（Ｓ５０６）へ進める。一方、署名検証部４４２は、結果が０である場合（Ｓ５０５で不当）、処理を終了する。

（Ｓ５０６：乱数生成ステップ）
乱数生成部４５１は、処理装置により、乱数を数１５５に示すように生成する。

（Ｓ５０７：ｆベクトル生成ステップ）
ｆベクトル生成部４５２は、処理装置により、ベクトルｆ^→’，ｆ^〜→’を数１５６に示すようにランダムに生成する。

（Ｓ５０８：ｓベクトル生成ステップ）
ｓベクトル生成部４５３は、処理装置により、ベクトルｓ^→’Ｔ，ｓ^〜→’Ｔを数１５７に示すように生成する。

また、ｓベクトル生成部４５３は、処理装置により、値ｓ_０ ^’，ｓ^〜 _０ ^’を数１５８に示すように生成する。

（Ｓ５０９：変換情報Ｗ_２生成ステップ）
変換情報Ｗ_２生成部４５４は、処理装置により、変換情報Ｗ_２を数１５９に示すように生成する。

（Ｓ５１０：変換情報Ｗ_２暗号化ステップ）
変換情報Ｗ_２暗号化部４５５は、処理装置により、数１６０を計算して、変換情報Ｗ_２を関数型暗号により暗号化して、暗号化変換情報ｃｔ^ｒｅｎｃ _Ｓ’（ψ^ｒｅｎｃ）を生成する。変換情報Ｗ_２は、アクセスストラクチャＳ’を入力として関数型暗号により暗号化されるため、再暗号文ｒｃｔ_Ｓ’を復号可能なユーザの属性情報が設定され暗号化される。

（Ｓ５１１：暗号文ｃ^ｒｅｎｃ生成ステップ）
暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、暗号文ｃ^{〜ｒｅｎｃ} _０を数１６１に示すように生成する。

また、暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、暗号文ｃ^ｒｅｎｃ _ｉを数１６２に示すように生成する。

また、暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、暗号文ｃ^{〜ｒｅｎｃ} _Ｔを数１６３に示すように生成する。

また、暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、ｊ＝１，．．．，Ｌ^〜の各整数ｉについて、暗号文ｃ^{〜ｒｅｎｃ} _ｊを数１６４に示すように生成する。

（Ｓ５１２：復号鍵ｋ^{＊ｒｅｎｃ}生成ステップ）
復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７は、処理装置により、復号鍵ｋ^{＊ｒｅｎｃ} _０を数１６５に示すように生成する。

また、復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７は、処理装置により、属性集合Γに含まれる各整数ｔについて、復号鍵ｋ^{＊ｒｅｎｃ} _ｔを数１６６に示すように生成する。

また、復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７は、処理装置により、属性集合Γ^〜に含まれる各整数ｕについて、復号鍵ｋ^{〜＊ｒｅｎｃ} _ｕを数１６７に示すように生成する。

（Ｓ５１３：再暗号文送信ステップ）
再暗号文送信部４６０は、アクセスストラクチャＳ’，Ｓ，Ｓ^〜と、属性集合Γ，Γ^〜と、復号鍵ｋ^{＊ｒｅｎｃ} _０，ｋ^{＊ｒｅｎｃ} _ｔ，ｋ^{〜＊ｒｅｎｃ} _ｕと、暗号文ｃ^{〜ｒｅｎｃ} _０，ｃ^ｒｅｎｃ _ｉ，ｃ^{〜ｒｅｎｃ} _Ｔ，ｃ^{〜ｒｅｎｃ} _ｊと、暗号化変換情報ｃｔ^ｒｋ _Ｓ’と、暗号化変換情報ｃｔ^ｒｅｎｃ _Ｓ’とを要素とする再暗号文ｒｃｔ_Ｓ’を、例えば通信装置によりネットワークを介して秘密裡に再暗号文復号装置５００へ送信する。もちろん、再暗号文ｒｃｔ_Ｓ’は、他の方法により再暗号文復号装置５００へ送信されてもよい。

つまり、（Ｓ５０１）から（Ｓ５１２）において、再暗号化装置４００は、数１６８−１、数１６８−２、数１６８−３に示すＲＥｎｃアルゴリズムを実行して、再暗号文ｒｃｔ_Ｓ’を生成する。そして、（Ｓ５１３）で、再暗号化装置４００は生成した再暗号文ｒｃｔ_Ｓ’を再暗号文復号装置５００へ送信する。

再暗号文復号装置５００の機能と動作とについて説明する。
図１０に示すように、再暗号文復号装置５００は、復号鍵受信部５１０、暗号文受信部５２０、スパンプログラム計算部５３０、補完係数計算部５４０、変換情報生成部５５０、変換部５６０、ペアリング演算部５７０、メッセージ計算部５８０を備える。なお、ペアリング演算部５７０とメッセージ計算部５８０とを総称して、復号部と呼ぶ。

図１６に基づき、Ｄｅｃ１アルゴリズムの処理について説明する。
（Ｓ６０１：復号鍵受信ステップ）
復号鍵受信部５１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Γ’を受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ６０２：暗号文受信ステップ）
暗号文受信部５２０は、例えば、通信装置によりネットワークを介して、再暗号化装置４００が送信した再暗号文ｒｃｔ_Ｓ’を受信する。

（Ｓ６０３：スパンプログラム計算ステップ）
スパンプログラム計算部５３０は、処理装置により、再暗号文ｒｃｔ_Ｓ’に含まれるアクセスストラクチャＳ’が、復号鍵ｓｋ_Γ’に含まれるΓ’を受理するか否かを判定するとともに、再暗号文ｒｃｔ_Ｓ’に含まれるアクセスストラクチャＳ^〜が、再暗号文ｒｃｔ_Ｓ’に含まれるΓ^〜を受理するか否かを判定する。アクセスストラクチャＳ’がΓ’を受理するか否か、及び、アクセスストラクチャＳ^〜がΓ^〜を受理するか否かの判定方法は、実施の形態１における「第３．ＦＣＰＲＥを実現するための概念」で説明した通りである。
スパンプログラム計算部５３０は、アクセスストラクチャＳ’がΓ’を受理し、かつ、アクセスストラクチャＳ^〜がΓ^〜を受理する場合（Ｓ６０３で受理）、処理を（Ｓ６０４）へ進める。一方、アクセスストラクチャＳ’がΓ’を拒絶する、又は、アクセスストラクチャＳ^〜がΓ^〜を拒絶する場合（Ｓ６０３で拒絶）、処理を終了する。

（Ｓ６０４：補完係数計算ステップ）
補完係数計算部５４０は、処理装置により、数１６９となるＩ，Ｊと、定数（補完係数）｛α_ｉ｝_ｉ∈Ｉ，｛α^〜 _ｊ｝_ｊ∈Ｊとを計算する。

（Ｓ６０５：変換情報生成ステップ）
変換情報生成部５５０は、処理装置により、変換情報Ｗ_１，０，Ｗ_１，ｔ，Ｗ^〜 _１，ｕ，Ｗ_２を数１７０に示すように生成する。

（Ｓ６０６：変換ステップ）
変換部５６０は、処理装置により、数１７１に示すように、復号鍵ｋ^＊ _０，ｋ^＊ _ｔ，ｋ^〜＊ _ｕを生成するとともに、暗号文ｃ^〜 _０を生成する。

（Ｓ６０７：ペアリング演算ステップ）
ペアリング演算部５７０は、処理装置により、数１７２を計算して、セッション鍵Ｋ^〜を生成する。

（Ｓ６０８：メッセージ計算ステップ）
メッセージ計算部５８０は、処理装置により、ｍ’＝ｃ^{〜ｒｅｎｃ} _Ｔ／Ｋ^〜を計算して、メッセージｍ’（＝ｍ）を生成する。

つまり、（Ｓ６０１）から（Ｓ６０８）において、再暗号文復号装置５００は、数１７３−１、数１７３−２に示すＤｅｃ１アルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

図１７に基づき、Ｄｅｃ２アルゴリズムの処理について説明する。
（Ｓ７０１：復号鍵受信ステップ）
復号鍵受信部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Γを受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ７０２：暗号文受信ステップ）
暗号文受信部３５０は、例えば、通信装置によりネットワークを介して、再暗号化装置４００が送信した暗号文ｃｔ_Ｓを受信する。

（Ｓ７０３：スパンプログラム計算ステップ）
スパンプログラム計算部３６１は、処理装置により、暗号文ｃｔ_Ｓに含まれるアクセスストラクチャＳが、復号鍵ｓｋ_Γに含まれるΓを受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否かの判定方法は、実施の形態１における「第３．ＦＣＰＲＥを実現するための概念」で説明した通りである。
スパンプログラム計算部３６１は、アクセスストラクチャＳがΓを受理する場合（Ｓ７０３で受理）、処理を（Ｓ７０４）へ進める。一方、アクセスストラクチャＳがΓを拒絶する場合（Ｓ７０３で拒絶）、処理を終了する。

（Ｓ７０４：署名検証ステップ）
署名検証部３６２は、処理装置により、数１７４を計算した結果が１であるか否かを判定する。署名検証部３６２は、結果が１である場合（Ｓ７０４で正当）、処理を（Ｓ７０５）へ進める。一方、署名検証部３６２は、結果が０である場合（Ｓ７０４で不当）、処理を終了する。

（Ｓ７０５：補完係数計算ステップ）
補完係数計算部３７０は、処理装置により、数１７５となるＩと、定数（補完係数）｛α_ｉ｝_ｉ∈Ｉとを計算する。

（Ｓ７０６：ペアリング演算ステップ）
ペアリング演算部３８０は、処理装置により、数１７６を計算して、セッション鍵Ｋを生成する。

（Ｓ７０７：メッセージ計算ステップ）
メッセージ計算部３９０は、処理装置により、ｍ’＝ｃ_Ｔ／Ｋを計算して、メッセージｍ’（＝ｍ）を生成する。

つまり、（Ｓ７０１）から（Ｓ７０７）において、復号装置３００は、数１７７に示すＤｅｃ２アルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

以上のように、実施の形態１に係る暗号システムは、ＣＰ−ＦＣＰＲＥ方式を実現することが可能である。そのため、１つの再暗号化鍵で、様々な種類のユーザの集合に暗号文を転送することができるようになる。さらに、再暗号化する暗号文を指定する条件を指定することができるようになる。

なお、上記説明では、復号装置３００が再暗号化鍵生成装置を兼ねており、復号装置３００がＤｅｃ２アルゴリズムだけでなく、ＲＫＧアルゴリズムも実行するとした。しかし、復号装置３００と再暗号化鍵生成装置とを別の装置としてもよい。この場合、復号装置３００は、Ｄｅｃ２アルゴリズムを実行し、再暗号化鍵生成装置は、ＲＫＧアルゴリズムを実行する。したがって、この場合、復号装置３００は、Ｄｅｃ２アルゴリズムを実行するのに必要な機能構成を備え、再暗号化鍵生成装置は、ＲＫＧアルゴリズムを実行するのに必要な機能構成を備える。

また、上記説明では、Ｎ_ｔにｎ_ｔ＋ｗ_ｔ＋ｚ_ｔ＋１を設定した。しかし、Ｎ_ｔにｎ_ｔ＋ｗ_ｔ＋ｚ_ｔ＋β_ｔを設定してもよい。ここで、β_ｔは０以上の整数である。
また、上記説明では、Ｎ_０に９を設定した。しかし、Ｎ_０に１＋１＋２＋ｗ_０＋ｚ_０＋β_０を設定してもよい。ここで、ｗ_０，ｚ_０，β_０は０以上の整数である。

また、上記説明において、Ｓ５１１で生成した暗号文ｃ^{〜ｒｅｎｃ} _０のπ’（ｖｅｒｋ，１）が追加情報Ηであり、Ｓ５１２で生成した復号鍵ｋ^{＊ｒｅｎｃ} _０のσ（−１，ｖｅｒｋ）が追加情報Θである。追加情報Η，Θは対応しており、Ｓ６０７で実行されるペアリング演算により打ち消される。

実施の形態２．
実施の形態１では、ＣＰ−ＦＣＰＲＥ方式について説明した。実施の形態２では、鍵ポリシーのＦＣＰＲＥ方式（Ｋｅｙ−Ｐｏｌｉｃｙ ＦＣＰＲＥ，ＫＰ−ＦＣＰＲＥ）方式について説明する。

まず、ＫＰ−ＦＣＰＲＥ方式の基本構成について説明する。次に、このＫＰ−ＦＣＰＲＥ方式を実現する暗号処理システム１０の基本構成について説明する。次に、このＫＰ−ＦＣＰＲＥ方式を実現するために用いられる部品について説明する。そして、この実施の形態に係るＫＰ−ＦＣＰＲＥ方式、及び、暗号処理システム１０について詳細に説明する。

ＫＰ−ＦＣＰＲＥ方式の構成を簡単に説明する。なお、ＫＰ（鍵ポリシー）とは、鍵にＰｏｌｉｃｙが埋め込まれること、つまりアクセスストラクチャが埋め込まれることを意味する。

＜第１−１．ＫＰ−ＦＣＰＲＥ方式の基本構成＞
ＫＰ−ＦＣＰＲＥ方式は、Ｓｅｔｕｐ、ＫＧ、Ｅｎｃ、ＲＫＧ、ＲＥｎｃ、Ｄｅｃ１、Ｄｅｃ２の７つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ；ｗ_１，．．．，ｗ_ｄ；ｚ_１，．．．，ｚ_ｄ）とを入力として、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫＧ）
ＫＧアルゴリズムは、アクセスストラクチャＳ＝（Ｍ，ρ）と、公開パラメータｐｋと、マスター鍵ｓｋとを入力として、復号鍵ｓｋ_Ｓを出力する確率的アルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、メッセージｍと、属性集合Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎｔ，１≦ｔ≦ｄ｝，Γ^〜：＝｛（ｕ，ｙ^→ _ｕ）｜ｙ^→ _ｕ∈Ｆ_ｑ ^ｎｕ，１≦ｙ≦ｄ｝と、公開パラメータｐｋとを入力として、暗号文ｃｔ_Γを出力する確率的アルゴリズムである。
（ＲＫＧ）
ＲＫＧアルゴリズムは、復号鍵ｓｋ_Ｓと、属性集合Γ’：＝｛（ｔ，ｘ’^→ _ｔ）｜ｘ’^→ _ｔ∈Ｆ_ｑ ^ｎｔ，１≦ｔ≦ｄ｝と、アクセスストラクチャＳ^〜＝（Ｍ^〜，ρ^〜）と、公開パラメータｐｋとを入力として、再暗号化鍵ｒｋ_Ｓ，Γ’を出力する確率的アルゴリズムである。
（ＲＥｎｃ）
ＲＥｎｃアルゴリズムは、暗号文ｃｔ_Γと、再暗号化鍵ｒｋ_Ｓ，Γ’と、公開パラメータｐｋとを入力として、再暗号文ｒｃｔ_Γ’を出力する確率的アルゴリズムである。
（Ｄｅｃ１）
Ｄｅｃ１アルゴリズムは、再暗号文ｒｃｔ_Γ’と、復号鍵ｓｋ_Ｓ’と、公開パラメータｐｋとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。
（Ｄｅｃ２）
Ｄｅｃ２アルゴリズムは、暗号文ｃｔ_Γと、復号鍵ｓｋ_Ｓと、公開パラメータｐｋとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。

＜第１−２．暗号処理システム１０＞
ＫＰ−ＦＣＰＲＥ方式のアルゴリズムを実行する暗号処理システム１０について説明する。
図１８は、ＫＰ−ＦＣＰＲＥ方式を実行する暗号処理システム１０の構成図である。
暗号処理システム１０は、図５に示す暗号処理システム１０と同様に、鍵生成装置１００、暗号化装置２００、復号装置３００（再暗号化鍵生成装置）、再暗号化装置４００、再暗号文復号装置５００を備える。

鍵生成装置１００は、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ；ｗ_１，．．．，ｗ_ｄ；ｚ_１，．．．，ｚ_ｄ）とを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。
そして、鍵生成装置１００は、公開パラメータｐｋを公開する。また、鍵生成装置１００は、アクセスストラクチャＳを入力としてＫＧアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成して復号装置３００へ秘密裏に送信する。また、鍵生成装置１００は、アクセスストラクチャＳ’を入力としてＫＧアルゴリズムを実行して、復号鍵ｓｋ_Ｓ’を生成して再暗号文復号装置５００へ秘密裏に送信する。

暗号化装置２００は、メッセージｍと、属性集合Γ，Γ^〜と、公開パラメータｐｋとを入力としてＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Γを生成する。暗号化装置２００は、暗号文ｃｔ_Γを再暗号化装置４００へ送信する。

復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_Ｓと、属性集合Γ’と、アクセスストラクチャＳ^〜とを入力としてＲＫＧアルゴリズムを実行して、再暗号化鍵ｒｋ_Ｓ，Γ’を生成する。復号装置３００は、再暗号化鍵ｒｋ_Ｓ，Γ’を再暗号化装置４００に秘密裏に送信する。
また、復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_Ｓと、暗号文ｃｔ_Γとを入力としてＤｅｃ２アルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

再暗号化装置４００は、公開パラメータｐｋと、再暗号化鍵ｒｋ_Ｓ，Γ’と、暗号文ｃｔ_Γとを入力として、ＲＥｎｃアルゴリズムを実行して、再暗号文ｒｃｔ_Γ’を生成する。再暗号化装置４００は、再暗号文ｒｃｔ_Γ’を再暗号文復号装置５００へ送信する。

再暗号文復号装置５００は、公開パラメータｐｋと、復号鍵ｓｋ_Ｓ’と、再暗号文ｒｃｔ_Γ’とを入力として、Ｄｅｃ１アルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

＜第１−３．ＫＰ−ＦＣＰＲＥ方式を実現するために用いられる部品＞
ＫＰ−ＦＣＰＲＥ方式を実現するために、鍵ポリシーの関数型暗号（ＫＰ−ＦＥ）とワンタイム署名とが用いられる。いずれも公知の技術であるため、ここでは以下の説明で用いる方式について簡単に説明する。なお、ＫＰ−ＦＥ方式については、特許文献１に一例が記載されている。また、ワンタイム署名については、実施の形態１で説明した通りであるため、ここでは説明を省略する。

ＫＰ−ＦＥ方式は、Ｓｅｔｕｐ_{ＫＰ−ＦＥ}、ＫＧ_{ＫＰ−ＦＥ}、Ｅｎｃ_{ＫＰ−ＦＥ}、Ｄｅｃ_{ＫＰ−ＦＥ}の４つのアルゴリズムを備える。
（Ｓｅｔｕｐ_{ＫＰ−ＦＥ}）
Ｓｅｔｕｐ_{ＫＰ−ＦＥ}アルゴリズムは、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ）とを入力として、公開パラメータｐｋ^{ＫＰ−ＦＥ}と、マスター鍵ｓｋ^{ＫＰ−ＦＥ}とを出力する確率的アルゴリズムである。
（ＫＧ_{ＫＰ−ＦＥ}）
ＫＧ_{ＫＰ−ＦＥ}アルゴリズムは、アクセスストラクチャＳ＝（Ｍ，ρ）と、公開パラメータｐｋ^{ＫＰ−ＦＥ}と、マスター鍵ｓｋ^{ＫＰ−ＦＥ}とを入力として、復号鍵ｓｋ_Ｓ ^{ＫＰ−ＦＥ}を出力する確率的アルゴリズムである。
（Ｅｎｃ_{ＫＰ−ＦＥ}）
Ｅｎｃ_{ＫＰ−ＦＥ}アルゴリズムは、メッセージｍと、属性集合Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎｔ，１≦ｔ≦ｄ｝と、公開パラメータｐｋ^{ＫＰ−ＦＥ}とを入力として、暗号文ψを出力する確率的アルゴリズムである。
（Ｄｅｃ_{ＫＰ−ＦＥ}）
Ｄｅｃ_{ＫＰ−ＦＥ}アルゴリズムは、暗号文ψと、復号鍵ｓｋ_Ｓ ^{ＫＰ−ＦＥ}と、公開パラメータｐｋ^{ＫＰ−ＦＥ}とを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。

＜第１−４．ＫＰ−ＦＣＰＲＥ方式及び暗号処理システム１０の詳細＞
図１９から図２９に基づき、ＫＰ−ＦＣＰＲＥ方式、及び、ＫＰ−ＦＣＰＲＥ方式を実行する暗号処理システム１０の機能と動作とについて説明する。
図１９は、鍵生成装置１００の機能を示す機能ブロック図である。図２０は、暗号化装置２００の機能を示す機能ブロック図である。図２１は、復号装置３００の機能を示す機能ブロック図である。図２２は、再暗号化装置４００の機能を示す機能ブロック図である。図２３は、再暗号文復号装置５００の機能を示す機能ブロック図である。
図２４は、鍵生成装置１００の動作を示すフローチャートであり、ＫＧアルゴリズムの処理を示すフローチャートである。図２５は、暗号化装置２００の動作を示すフローチャートであり、Ｅｎｃアルゴリズムの処理を示すフローチャートである。図２６は、復号装置３００の動作を示すフローチャートであり、ＲＫＧアルゴリズムの処理を示すフローチャートである。図２７は、再暗号化装置４００の動作を示すフローチャートであり、ＲＥｎｃアルゴリズムの処理を示すフローチャートである。図２８は、再暗号文復号装置５００の動作を示すフローチャートであり、Ｄｅｃ１アルゴリズムの処理を示すフローチャートである。図２９は、復号装置３００の動作を示すフローチャートであり、Ｄｅｃ２アルゴリズムの処理を示すフローチャートである。

鍵生成装置１００の機能と動作とについて説明する。
図１９に示すように、鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、復号鍵生成部１４０、鍵送信部１５０（鍵出力部）を備える。また、復号鍵生成部１４０は、乱数生成部１４２、復号鍵ｋ^＊生成部１４３、ＫＰ−ＦＥ鍵生成部１４４、ｆベクトル生成部１４５、ｓベクトル生成部１４６を備える。

Ｓｅｔｕｐアルゴリズムの処理は、実施の形態１で説明したＳｅｔｕｐアルゴリズムの処理と同じであるため、説明を省略する。但し、実施の形態１におけるＳ１０２では、ＣＰ−ＦＥにおける公開パラメータｐｋ^{ＣＰ−ＦＥ}と、マスター鍵ｓｋ^{ＣＰ−ＦＥ}とを生成したが、実施の形態２では、ＫＰ−ＦＥにおける公開パラメータｐｋ^{ＫＰ−ＦＥ}と、マスター鍵ｓｋ^{ＫＰ−ＦＥ}とを生成する。

つまり、鍵生成装置１００は、数１７８−１、数１７８−２に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。

図２４に基づき、ＫＧアルゴリズムの処理について説明する。
（Ｓ８０１：情報入力ステップ）
情報入力部１３０は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、アクセスストラクチャＳの行列Ｍは、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳのρは、例えば、復号鍵ｓｋ_Ｓの使用者の属性情報が設定されている。ここで、ρ（ｉ）＝（ｔ，ｖ^→ _ｉ：＝（ｖ_ｉ．１，．．．，ｖ_ｉ．ｎｔ）∈Ｆ_ｑ ^ｎｔ＼｛０^→｝）（ｖ_ｉ，ｎｔ≠０）である。

（Ｓ８０２：ＫＰ−ＦＥ復号鍵生成ステップ）
ＫＰ−ＦＥ鍵生成部１４４は、処理装置により、数１７９を計算して、関数型暗号のを生成する。

（Ｓ８０３：ｆベクトル生成ステップ）
ｆベクトル生成部１４５は、処理装置により、ベクトルｆ^→を数１８０に示すようにランダムに生成する。

（Ｓ８０４：ｓベクトル生成ステップ）
ｓベクトル生成部１４６は、処理装置により、ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔを数１８１に示すように生成する。

また、ｓベクトル生成部１４６は、処理装置により、値ｓ_０を数１８２に示すように生成する。

（Ｓ８０５：乱数生成ステップ）
乱数生成部１４２は、処理装置により、乱数を数１８３に示すように生成する。

（Ｓ８０６：復号鍵ｋ^＊生成ステップ）
復号鍵ｋ^＊生成部１４３は、処理装置により、復号鍵ｋ^＊ _０を数１８４に示すように生成する。

また、復号鍵ｋ^＊生成部１４３は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、復号鍵ｋ^＊ _ｉを数１８５に示すように生成する。

（Ｓ８０７：鍵送信ステップ）
鍵送信部１５０は、アクセスストラクチャＳと、復号鍵ｓｋ_Ｓ ^{ＫＰ−ＦＥ}と、復号鍵ｋ^＊ _０，ｋ^＊ _ｉとを要素とする復号鍵ｓｋ_Ｓを、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ送信する。もちろん、復号鍵ｓｋ_Ｓは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ８０１）から（Ｓ８０６）において、鍵生成装置１００は、数１８６に示すＫＧアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成する。そして、（Ｓ８０７）で、鍵生成装置１００は、生成した復号鍵ｓｋ_Ｓを復号装置３００へ送信する。

なお、鍵生成装置１００は、（Ｓ８０１）において、復号鍵ｓｋ_Ｓ’の使用者の属性情報が設定されたアクセスストラクチャＳ’：＝（Ｍ’，ρ’）を入力して、ＫＧアルゴリズムを実行して、復号鍵ｓｋ_Ｓ’を生成する。そして、復号鍵ｓｋ_Ｓ’：＝（Ｓ’，ｓｋ_Ｓ ^{ＫＰ−ＦＥ}，ｋ’^＊ _０，ｋ’^＊ _ｉ）を再暗号文復号装置５００へ送信する。ここで、ρ’（ｉ）＝（ｔ，ｖ^→’ _ｉ：＝（ｖ’_ｉ．１，．．．，ｖ’_ｉ．ｎｔ）∈Ｆ_ｑ ^ｎｔ＼｛０^→｝）（ｖ’_ｉ，ｎｔ≠０）である。

暗号化装置２００の機能と動作とについて説明する。
図２０に示すように、暗号化装置２００は、公開パラメータ受信部２１０、情報入力部２２０、署名処理部２３０、暗号化部２４０、暗号文送信部２５０（暗号文出力部）を備える。また、暗号化部２４０は、乱数生成部２４３、暗号文ｃ生成部２４４を備える。

図２５に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ９０１：公開パラメータ受信ステップ）
公開パラメータ受信部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ９０２：情報入力ステップ）
情報入力部２２０は、入力装置により、属性集合Γ：＝｛（ｔ，ｘ^→ _ｔ：＝（ｘ_ｔ．１，．．．，ｘ_ｔ．ｎｔ∈Ｆｑ^ｎｔ））｜１≦ｔ≦ｄ｝，Γ^〜：＝｛（ｕ，ｙ^→ _ｕ）｜ｙ^→ _ｕ∈Ｆ_ｑ ^ｎｕ，１≦ｙ≦ｄ｝を入力する。なお、ｔ，ｕは、１以上ｄ以下の全ての整数ではなく、１以上ｄ以下の少なくとも一部の整数であってもよい。また、属性集合Γは、例えば、復号可能なユーザの属性情報が設定されている。また、属性集合Γ^〜は、例えば、再暗号可能な条件を設定するための情報が設定されている。
また、情報入力部２２０は、入力装置により、復号装置３００へ送信するメッセージｍを入力する。

（Ｓ９０３：署名鍵生成ステップ）
署名処理部２３０は、処理装置により、数１８７を計算して、ワンタイム署名の署名鍵ｓｉｇｋと、検証鍵ｖｅｒｋとを生成する。

（Ｓ９０４：乱数生成ステップ）
乱数生成部２４３は、処理装置により、乱数を数１８８に示すように生成する。

（Ｓ９０５：暗号文ｃ生成ステップ）
暗号文ｃ生成部２３４は、処理装置により、暗号文ｃ_０を数１８９に示すように生成する。

また、暗号文ｃ生成部２３４は、処理装置により、属性情報Γに含まれる各整数ｔについて、暗号文ｃ_ｔを数１９０に示すように生成する。

また、暗号文ｃ生成部２３４は、処理装置により、暗号文ｃ_Ｔを数１９１に示すように生成する。

また、暗号文ｃ生成部２３４は、処理装置により、暗号文ｃ^〜 _０を数１９２に示すように生成する。

また、暗号文ｃ生成部２３４は、処理装置により、暗号文ｃ^〜 _ｕを数１９３に示すように生成する。

また、暗号文ｃ生成部２３４は、処理装置により、暗号文ｃ^〜 _Ｔを数１９４に示すように生成する。

（Ｓ９０６：署名生成ステップ）
署名処理部２３０は、処理装置により、数１９５を計算して、暗号文ｃｔ_Γの要素Ｃに対する署名Ｓｉｇを生成する。

（Ｓ９０７：暗号文送信ステップ）
暗号文送信部２５０は、属性集合Γ，Γ^〜と、暗号文ｃ_０，ｃ_ｔ，ｃ_Ｔ，ｃ^〜 _ｕと、検証鍵ｖｅｒｋと、署名Ｓｉｇとを要素とする暗号文ｃｔ_Γを、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号文ｃｔ_Γは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ９０１）から（Ｓ９０６）において、暗号化装置２００は、数１９６に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Γを生成する。そして、（Ｓ９０７）で、暗号化装置２００は生成した暗号文ｃｔ_Γを復号装置３００へ送信する。

復号装置３００の機能と動作とについて説明する。
図２１に示すように、復号装置３００は、復号鍵受信部３１０、情報入力部３２０、再暗号化鍵生成部３３０、再暗号化鍵送信部３４０（再暗号化鍵出力部）、暗号文受信部３５０、検証部３６０、補完係数計算部３７０、ペアリング演算部３８０、メッセージ計算部３９０を備える。また、再暗号化鍵生成部３３０は、乱数生成部３３１、変換情報Ｗ_１生成部３３２、変換情報Ｗ_１暗号化部３３３、復号鍵ｋ^＊ｒｋ生成部３３４、変換部３３５、ｆベクトル生成部３３６、ｓベクトル生成部３３７を備える。また、検証部３６０は、スパンプログラム計算部３６１、署名検証部３６２を備える。

ここでは、図２６に基づき、ＲＫＧアルゴリズムの処理について説明する。Ｄｅｃ２アルゴリズムについては後述する。

（Ｓ１００１：復号鍵受信ステップ）
復号鍵受信部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Ｓを受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ１００２：情報入力ステップ）
情報入力部３２０は、入力装置により、属性集合Γ’：＝｛（ｔ，ｘ’^→ _ｔ：＝（ｘ’_ｔ．１，．．．，ｘ’_ｔ．ｎｔ∈Ｆ_ｑ ^ｎｔ＼｛０^→｝））｜１≦ｔ≦ｄ｝を入力する。なお、ｔは、１以上ｄ以下の全ての整数ではなく、１以上ｄ以下の少なくとも一部の整数であってもよい。また、属性集合Γ’は、例えば、再暗号文ｒｃｔ_Γ’を復号可能なユーザの属性情報が設定されている。
また、情報入力部３２０は、入力装置により、アクセスストラクチャＳ^〜：＝（Ｍ^〜，ρ^〜）を入力する。なお、アクセスストラクチャＳ^〜の行列Ｍ^〜は、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳ^〜のρ^〜は、例えば、再暗号可能な条件を示す属性情報が設定されている。ここで、ρ（ｉ）＝（ｔ，ｖ^→ _ｉ：＝（ｖ_ｉ．１，．．．，ｖ_ｉ．ｎｔ）∈Ｆ_ｑ ^ｎｔ＼｛０^→｝）（ｖ_ｉ，ｎｔ≠０）である。

（Ｓ１００３：乱数生成ステップ）
乱数生成部３３１は、処理装置により、乱数を数１９７に示すように生成する。

（Ｓ１００４：ｆベクトル生成ステップ）
ｆベクトル生成部３３６は、処理装置により、ベクトルｆ^〜→を数１９８に示すようにランダムに生成する。

（Ｓ１００５：ｓベクトル生成ステップ）
ｓベクトル生成部３３７は、処理装置により、ベクトルｓ^〜→Ｔを数１９９に示すように生成する。

また、ｓベクトル生成部３３７は、処理装置により、値ｓ^〜 _０を数２００に示すように生成する。

（Ｓ１００６：変換情報Ｗ_１生成ステップ）
変換情報Ｗ_１生成部３３２は、処理装置により、変換情報Ｗ_１，０，Ｗ_１，ｉ，Ｗ^〜 _１，ｊを数２０１に示すように生成する。

（Ｓ１００７：変換情報Ｗ_１暗号化ステップ）
変換情報Ｗ_１暗号化部３３３は、処理装置により、数２０２を計算して、変換情報Ｗ_１，０，Ｗ_１，ｉ，Ｗ^〜 _１，ｊを関数型暗号により暗号化して、暗号化変換情報ｃｔ^ｒｋ _Γ’（ψ^ｒｋ）を生成する。変換情報Ｗ_１，０，Ｗ_１，ｉ，Ｗ^〜 _１，ｊは、属性情報Γ’を入力として関数型暗号により暗号化されるため、再暗号文ｒｃｔ_Γ’を復号可能なユーザの属性情報が設定され暗号化される。

（Ｓ１００８：復号鍵ｋ^＊ｒｋ生成ステップ）
復号鍵ｋ^＊ｒｋ生成部３３４は、処理装置により、復号鍵ｋ^＊ｒｋ _０を数２０３に示すように生成する。

また、復号鍵ｋ^＊ｒｋ生成部３３４は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、復号鍵ｋ^＊ｒｋ _ｉを数２０４に示すように生成する。

また、復号鍵ｋ^＊ｒｋ生成部３３４は、処理装置により、ｊ＝１，．．．，Ｌ^〜の各整数ｊについて、復号鍵ｋ^〜＊ｒｋ _ｊを数２０５に示すように生成する。

（Ｓ１００９：変換ステップ）
変換部３３５は、処理装置により、数２０６を計算して、基底Ｄ^＾＊ _０，Ｄ^＾＊ _ｉ，Ｕ^＾＊ _ｊを生成する。

（Ｓ１０１０：鍵送信ステップ）
再暗号化鍵送信部３４０は、アクセスストラクチャＳ，Ｓ^〜と、属性集合Γ’と、復号鍵ｋ^＊ｒｋ _０，ｋ^＊ｒｋ _ｉ，ｋ^〜＊ｒｋ _ｊと、暗号化変換情報ｃｔ^ｒｋ _Γ’と、基底Ｄ^＾＊ _０，Ｄ^＾＊ _ｉ，Ｕ^＾＊ _ｊとを要素とする再暗号化鍵ｒｋ_Ｓ，Γ’を、例えば通信装置によりネットワークを介して秘密裡に再暗号化装置４００へ送信する。もちろん、再暗号化鍵ｒｋ_Ｓ，Γ’は、他の方法により再暗号化装置４００へ送信されてもよい。

つまり、（Ｓ１００１）から（Ｓ１００９）において、復号装置３００は、数２０７−１、数２０７−２に示すＲＫＧアルゴリズムを実行して、再暗号化鍵ｒｋ_Ｓ，Γ’を生成する。そして、（Ｓ１０１０）で、復号装置３００は生成した再暗号化鍵ｒｋ_Ｓ，Γ’を再暗号化装置４００へ送信する。

再暗号化装置４００の機能と動作とについて説明する。
図２２に示すように、再暗号化装置４００は、公開パラメータ受信部４１０、暗号文受信部４２０、再暗号化鍵受信部４３０、検証部４４０、暗号化部４５０、再暗号文送信部４６０（再暗号文出力部）を備える。また、検証部４４０は、スパンプログラム計算部４４１、署名検証部４４２を備える。また、暗号化部４５０は、乱数生成部４５１、ｆベクトル生成部４５２、ｓベクトル生成部４５３、変換情報Ｗ_２生成部４５４、変換情報Ｗ_２暗号化部４５５、暗号文ｃ^ｒｅｎｃ生成部４５６、復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７を備える。

図２７に基づき、ＲＥｎｃアルゴリズムの処理について説明する。
（Ｓ１１０１：公開パラメータ受信ステップ）
公開パラメータ受信部４１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ１１０２：暗号文受信ステップ）
暗号文受信部４２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号文ｃｔ_Γを受信する。

（Ｓ１１０３：再暗号化鍵受信ステップ）
再暗号化鍵受信部４３０は、例えば、通信装置によりネットワークを介して、復号装置３００から送信された再暗号化鍵ｒｋ_Ｓ，Γ’を受信する。

（Ｓ１１０４：スパンプログラム計算ステップ）
スパンプログラム計算部４４１は、処理装置により、再暗号化鍵ｒｋ_Ｓ，Γ’に含まれるアクセスストラクチャＳが、暗号文ｃｔ_Γに含まれるΓを受理するか否かを判定するとともに、再暗号化鍵ｒｋ_Ｓ，Γ’に含まれるアクセスストラクチャＳ^〜が、暗号文ｃｔ_Γに含まれるΓ^〜を受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否か、及び、アクセスストラクチャＳ^〜がΓ^〜を受理するか否かの判定方法は、実施の形態１における「第３．ＦＣＰＲＥを実現するための概念」で説明した通りである。
スパンプログラム計算部４４１は、アクセスストラクチャＳがΓを受理し、かつ、アクセスストラクチャＳ^〜がΓ^〜を受理する場合（Ｓ１１０４で受理）、処理を（Ｓ１１０５）へ進める。一方、アクセスストラクチャＳがΓを拒絶する、又は、アクセスストラクチャＳ^〜がΓ^〜を拒絶する場合（Ｓ１１０４で拒絶）、処理を終了する。

（Ｓ１１０５：署名検証ステップ）
署名検証部４４２は、処理装置により、数２０８を計算した結果が１であるか否かを判定する。署名検証部４４２は、結果が１である場合（Ｓ１１０５で正当）、処理を（Ｓ１１０６）へ進める。一方、署名検証部４４２は、結果が０である場合（Ｓ１１０５で不当）、処理を終了する。

（Ｓ１１０６：乱数生成ステップ）
乱数生成部４５１は、処理装置により、乱数を数２０９に示すように生成する。

（Ｓ１１０７：ｆベクトル生成ステップ）
ｆベクトル生成部４５２は、処理装置により、ベクトルｆ^→’，ｆ^〜→’を数２１０に示すようにランダムに生成する。

（Ｓ１１０８：ｓベクトル生成ステップ）
ｓベクトル生成部４５３は、処理装置により、ベクトルｓ^→’Ｔ，ｓ^〜→’Ｔを数２１１に示すように生成する。

また、ｓベクトル生成部４５３は、処理装置により、値ｓ_０ ^’ ，ｓ^〜 _０ ^’を数２１２に示すように生成する。

（Ｓ１１０９：変換情報Ｗ_２生成ステップ）
変換情報Ｗ_２生成部４５４は、処理装置により、変換情報Ｗ_２，０，Ｗ_２，ｔ，Ｗ_２，ｕを数２１３に示すように生成する。

（Ｓ１１１０：変換情報Ｗ_２暗号化ステップ）
変換情報Ｗ_２暗号化部４５５は、処理装置により、数２１４を計算して、変換情報Ｗ_２，０，Ｗ_２，ｔ，Ｗ_２，ｕを関数型暗号により暗号化して、暗号化変換情報ｃｔ^ｒｅｎｃ _Ｓ’ （ψ^ｒｅｎｃ）を生成する。変換情報Ｗ_２，０，Ｗ_２，ｔ，Ｗ_２，ｕは、属性情報Γ’を入力として関数型暗号により暗号化されるため、再暗号文ｒｃｔ_Γ’を復号可能なユーザの属性情報が設定され暗号化される。

（Ｓ１１１１：暗号文ｃ^ｒｅｎｃ生成ステップ）
暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、暗号文ｃ^ｒｅｎｃ _０を数２１５に示すように生成する。

また、暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、属性情報Γに含まれる各整数ｔについて、暗号文ｃ^ｒｅｎｃ _ｔを数２１６に示すように生成する。

また、暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、暗号文ｃ^ｒｅｎｃ _Ｔを数２１７に示すように生成する。

また、暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、属性情報Γ^〜に含まれる各整数ｕについて、暗号文ｃ^ｒｅｎｃ _ｕを数２１８に示すように生成する。

（Ｓ１１１２：復号鍵ｋ^{＊ｒｅｎｃ}生成ステップ）
復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７は、処理装置により、復号鍵ｋ^{＊ｒｅｎｃ} _０を数２１９に示すように生成する。

また、復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、復号鍵ｋ^{＊ｒｅｎｃ} _ｉを数２２０に示すように生成する。

また、復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７は、処理装置により、ｊ＝１，．．．，Ｌ^〜の各整数ｊについて、復号鍵ｋ^{〜＊ｒｅｎｃ} _ｊを数２２１に示すように生成する。

（Ｓ１１１３：再暗号文送信ステップ）
再暗号文送信部４６０は、属性集合Γ’，Γ，Γ^〜と、アクセスストラクチャＳ，Ｓ^〜と、復号鍵ｋ^{＊ｒｅｎｃ} _０，ｋ^{＊ｒｅｎｃ} _ｉ，ｋ^{〜＊ｒｅｎｃ} _ｊと、暗号文ｃ^ｒｅｎｃ _０，ｃ^ｒｅｎｃ _ｔ，ｃ^ｒｅｎｃ _Ｔ，ｃ^{〜ｒｅｎｃ} _ｕと、暗号化変換情報ｃｔ^ｒｋ _Γ’と、ｃｔ^ｒｅｎｃ _Γ’とを要素とする再暗号文ｒｃｔ_Γ’を、例えば通信装置によりネットワークを介して秘密裡に再暗号文復号装置５００へ送信する。もちろん、再暗号文ｒｃｔ_Γ’は、他の方法により再暗号文復号装置５００へ送信されてもよい。

つまり、（Ｓ１１０１）から（Ｓ１１１２）において、再暗号化装置４００は、数２２２−１、数２２２−２、数２２２−３に示すＲＥｎｃアルゴリズムを実行して、再暗号文ＣＴ_Γ’を生成する。そして、（Ｓ１１１３）で、再暗号化装置４００は生成した再暗号文ＣＴ_Γ’を再暗号文復号装置５００へ送信する。

再暗号文復号装置５００の機能と動作とについて説明する。
図２３に示すように、再暗号文復号装置５００は、復号鍵受信部５１０、暗号文受信部５２０、スパンプログラム計算部５３０、補完係数計算部５４０、変換情報生成部５５０、変換部５６０、ペアリング演算部５７０、メッセージ計算部５８０を備える。なお、ペアリング演算部５７０とメッセージ計算部５８０とを総称して、復号部と呼ぶ。

図２８に基づき、Ｄｅｃ１アルゴリズムの処理について説明する。
（Ｓ１２０１：復号鍵受信ステップ）
復号鍵受信部５１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Ｓ’を受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ１２０２：暗号文受信ステップ）
暗号文受信部５２０は、例えば、通信装置によりネットワークを介して、再暗号化装置４００が送信した再暗号文ｒｃｔ_Γ’を受信する。

（Ｓ１２０３：スパンプログラム計算ステップ）
スパンプログラム計算部５３０は、処理装置により、復号鍵ｓｋ_Ｓ’に含まれるアクセスストラクチャＳ’が、再暗号文ｒｃｔ_Γ’に含まれるΓ’を受理するとともに、再暗号文ｒｃｔ_Γ’に含まれるアクセスストラクチャＳ^〜が、再暗号文ｒｃｔ_Γ’に含まれるΓ^〜を受理するか否かを判定するか否かを判定する。アクセスストラクチャＳ’がΓ’を受理するか否か、及び、アクセスストラクチャＳ^〜がΓ^〜を受理するか否かの判定方法は、実施の形態１における「第３．ＦＣＰＲＥを実現するための概念」で説明した通りである。
スパンプログラム計算部５３０は、アクセスストラクチャＳ’がΓ’を受理し、かつ、アクセスストラクチャＳ^〜がΓ^〜を受理する場合（Ｓ１２０３で受理）、処理を（Ｓ１２０４）へ進める。一方、アクセスストラクチャＳ’がΓ’を拒絶する、又は、アクセスストラクチャＳ^〜がΓ^〜を拒絶する場合（Ｓ１２０３で拒絶）、処理を終了する。

（Ｓ１２０４：補完係数計算ステップ）
補完係数計算部５４０は、処理装置により、数２２３となるＩ，Ｊと、定数（補完係数）｛α_ｉ｝_ｉ∈Ｉ，｛α^〜 _ｊ｝_ｊ∈Ｊとを計算する。

（Ｓ１２０５：変換情報生成ステップ）
変換情報生成部５５０は、処理装置により、変換情報Ｗ_１，０，Ｗ_１，ｔ，Ｗ^〜 _１，ｕ，Ｗ_２，０，Ｗ_２，ｔ，Ｗ^〜 _２，ｕを数２２４に示すように生成する。

（Ｓ１２０６：変換ステップ）
変換部５６０は、処理装置により、数２２５に示すように、復号鍵ｋ^＊ _０，ｋ^＊ _ｉ，ｋ^〜＊ _ｊを生成するとともに、暗号文ｃ_０，ｃ_ｔ，ｃ^〜 _ｕを生成する。

（Ｓ１２０７：ペアリング演算ステップ）
ペアリング演算部５７０は、処理装置により、数２２６を計算して、セッション鍵Ｋ^〜を生成する。

（Ｓ１２０８：メッセージ計算ステップ）
メッセージ計算部５８０は、処理装置により、ｍ’＝ｃ^{〜ｒｅｎｃ} _Ｔ／Ｋ^〜を計算して、メッセージｍ’（＝ｍ）を生成する。

つまり、（Ｓ１２０１）から（Ｓ１２０８）において、再暗号文復号装置５００は、数２２７−１、数２２７−２に示すＤｅｃ１アルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

図２９に基づき、Ｄｅｃ２アルゴリズムの処理について説明する。
（Ｓ１３０１：復号鍵受信ステップ）
復号鍵受信部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Ｓを受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ１３０２：暗号文受信ステップ）
暗号文受信部３５０は、例えば、通信装置によりネットワークを介して、再暗号化装置４００が送信した暗号文ｃｔ_Γを受信する。

（Ｓ１３０３：スパンプログラム計算ステップ）
スパンプログラム計算部３６１は、処理装置により、復号鍵ｓｋ_Ｓに含まれるアクセスストラクチャＳが、暗号文ｃｔ_Γに含まれるΓを受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否かの判定方法は、実施の形態１における「第３．ＦＣＰＲＥを実現するための概念」で説明した通りである。
スパンプログラム計算部３６１は、アクセスストラクチャＳがΓを受理する場合（Ｓ１３０３で受理）、処理を（Ｓ１３０４）へ進める。一方、アクセスストラクチャＳがΓを拒絶する場合（Ｓ１３０３で拒絶）、処理を終了する。

（Ｓ１３０４：署名検証ステップ）
署名検証部３６２は、処理装置により、数２２８を計算した結果が１であるか否かを判定する。署名検証部３６２は、結果が１である場合（Ｓ１３０４で正当）、処理を（Ｓ１３０５）へ進める。一方、署名検証部３６２は、結果が０である場合（Ｓ１３０４で不当）、処理を終了する。

（Ｓ１３０５：補完係数計算ステップ）
補完係数計算部３７０は、処理装置により、数２２９となるＩと、定数（補完係数）｛α_ｉ｝_ｉ∈Ｉとを計算する。

（Ｓ１３０６：ペアリング演算ステップ）
ペアリング演算部３８０は、処理装置により、数２３０を計算して、セッション鍵Ｋを生成する。

（Ｓ１３０７：メッセージ計算ステップ）
メッセージ計算部３９０は、処理装置により、ｍ’＝ｃ^ｅｎｃ _ｄ＋１／Ｋを計算して、メッセージｍ’（＝ｍ）を生成する。

つまり、（Ｓ１３０１）から（Ｓ１３０７）において、復号装置３００は、数２３１に示すＤｅｃ２アルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

以上のように、実施の形態２に係る暗号システムは、ＫＰ−ＦＣＰＲＥ方式を実現することが可能である。そのため、１つの再暗号化鍵で、様々な種類のユーザの集合に暗号文を転送することができるようになる。さらに、再暗号化する暗号文を指定する条件を指定することができるようになる。

なお、上記説明では、復号装置３００が再暗号化鍵生成装置を兼ねており、復号装置３００がＤｅｃ２アルゴリズムだけでなく、ＲＫＧアルゴリズムも実行するとした。しかし、復号装置３００と再暗号化鍵生成装置とを別の装置としてもよい。この場合、復号装置３００は、Ｄｅｃ２アルゴリズムを実行し、再暗号化鍵生成装置は、ＲＫＧアルゴリズムを実行する。したがって、この場合、復号装置３００は、Ｄｅｃ２アルゴリズムを実行するのに必要な機能構成を備え、再暗号化鍵生成装置は、ＲＫＧアルゴリズムを実行するのに必要な機能構成を備える。

また、上記説明では、Ｎ_ｔにｎ_ｔ＋ｗ_ｔ＋ｚ_ｔ＋１を設定した。しかし、Ｎ_ｔにｎ_ｔ＋ｗ_ｔ＋ｚ_ｔ＋β_ｔを設定してもよい。ここで、β_ｔは０以上の整数である。
また、上記説明では、Ｎ_０に９を設定した。しかし、Ｎ_０に１＋１＋２＋ｗ_０＋ｚ_０＋β_０を設定してもよい。ここで、ｗ_０，ｚ_０，β_０は０以上の整数である。

また、上記説明において、Ｓ１１１１で生成した暗号文ｃ^{〜ｒｅｎｃ} _０のπ’（ｖｅｒｋ，１）が追加情報Ηであり、Ｓ１１１２で生成した復号鍵ｋ^{＊ｒｅｎｃ} _０のσ（−１，ｖｅｒｋ）が追加情報Θである。追加情報Η，Θは対応しており、Ｓ１２０７で実行されるペアリング演算により打ち消される。なお、安全性が多少落ちる恐れがあるが、追加情報にｖｅｒｋに代えて乱数等の値を含めるようにしてもよい。

以上の実施の形態では、ＦＥによりメッセージを暗号化して宛先へ送信する場合を想定して、再暗号化装置４００が暗号文を再暗号化して、暗号文の宛先を変更することについて説明した。
ＦＥは、メッセージを暗号化して宛先へ送信する機能だけでなく、暗号文を復号することなく検索可能にする検索可能暗号を実現することも可能である。ＦＥにより検索可能暗号を実現した場合に、以上の実施の形態で説明したアルゴリズムにより、設定された検索キーワードを変更することが可能である。
以上の実施の形態では、暗号文に設定する属性情報が復号可能なユーザを指定していた。そして、属性情報を変更することにより、暗号文の宛先を変更した。ＦＥにより検索可能暗号を実現する場合、暗号文に設定する属性情報の一部が、検索可能なユーザを指定し、残りの属性情報の一部が、検索キーワードを指定する。そこで、以上の実施の形態で説明したアルゴリズムを利用して、属性情報のうち、検索キーワードを指定した部分を変更することにより、設定された検索キーワードを変更することが可能である。

また、以上の実施の形態では、１台の鍵生成装置１００が復号鍵を生成するとした。しかし、以上の実施の形態のアルゴリズムを、非特許文献５に記載された分散多管理者の方式と組み合わせて、複数の鍵生成装置１００により１つの復号鍵が生成されるようにすることも可能である。

また、以上の実施の形態では、属性のカテゴリを追加する場合（属性のフォーマットｎ^→におけるｄの値を増やす場合）、公開パラメータを再発行する必要があった。しかし、以上の実施の形態のアルゴリズムを、非特許文献６に記載されたＵｎｂｏｕｎｄｅｄの方式と組み合わせて、公開パラメータを再発行することなく、属性のカテゴリを追加できるようにすることも可能である。

また、以上の実施の形態では、内積暗号に用いるベクトルの長さをＮとすると、公開パラメータやマスター秘密鍵のサイズはＮ^２に比例し、ユーザへ与える復号鍵の生成や暗号化の処理にＮ^２に比例する時間がかかる。しかし、以上の実施の形態のアルゴリズムを、非特許文献７に記載された方式と組み合わせて、公開パラメータやマスター秘密鍵のサイズを小さくするとともに、ユーザへ与える復号鍵の生成の処理や暗号化の処理にかかる時間を短くすることも可能である。

また、以上の実施の形態では、鍵や暗号文を送信先の装置へ送信するとした。しかし、これに代えて、鍵や暗号文をＣＤやＤＶＤ等の記憶媒体に出力して、送信先の装置が記憶媒体を読み込むようにしてもよい。

実施の形態３．
以上の実施の形態では、双対ベクトル空間において暗号処理を実現する方法について説明した。実施の形態３では、双対加群において暗号処理を実現する方法について説明する。

つまり、以上の実施の形態では、素数位数ｑの巡回群において暗号処理を実現した。しかし、合成数Ｍを用いて数２３２のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した暗号処理を適用することができる。

以上の実施の形態で説明したアルゴリズムにおけるＦ_ｑをＲに変更すれば、双対加群における暗号処理を実現することができる。

なお、以上の実施の形態において、安全性の証明の観点から、ｉ＝１，．．．，Ｌの各整数ｉについてのρ（ｉ）は、それぞれ異なる識別情報ｔについての肯定形の組（ｔ，ｖ^→）又は否定形の組¬（ｔ，ｖ^→）であると限定してもよい。
言い替えると、ρ（ｉ）＝（ｔ，ｖ^→）又はρ（ｉ）＝¬（ｔ，ｖ^→）である場合に、関数ρ~を、ρ~（ｉ）＝ｔである｛１，．．．，Ｌ｝→｛１，．．．ｄ｝の写像であるとする。この場合、ρ~が単射であると限定してもよい。なお、ρ（ｉ）は、上述したアクセスストラクチャＳ：＝（Ｍ，ρ（ｉ））のρ（ｉ）である。

次に、実施の形態における暗号システム１０（鍵生成装置１００、暗号化装置２００、復号装置３００、再暗号化装置４００、再暗号文復号装置５００）のハードウェア構成について説明する。
図３０は、鍵生成装置１００、暗号化装置２００、復号装置３００、再暗号化装置４００、再暗号文復号装置５００のハードウェア構成の一例を示す図である。
図３０に示すように、鍵生成装置１００、暗号化装置２００、復号装置３００、再暗号化装置４００、再暗号文復号装置５００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０（固定ディスク装置）の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。磁気ディスク装置９２０は、所定の固定ディスクインタフェースを介して接続される。

ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４と磁気ディスク装置９２０とは、記憶装置（メモリ）の一例である。また、キーボード９０２、通信ボード９１５は、入力装置の一例である。また、通信ボード９１５は、通信装置の一例である。さらに、ＬＣＤ９０１は、表示装置の一例である。

磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

プログラム群９２３には、上記の説明において「マスター鍵生成部１１０」、「マスター鍵記憶部１２０」、「情報入力部１３０」、「復号鍵生成部１４０」、「鍵送信部１５０」、「公開パラメータ受信部２１０」、「情報入力部２２０」、「署名処理部２３０」、「暗号化部２４０」、「暗号文送信部２５０」、「復号鍵受信部３１０」、「情報入力部３２０」、「再暗号化鍵生成部３３０」、「再暗号化鍵送信部３４０」、「暗号文受信部３５０」、「検証部３６０」、「補完係数計算部３７０」、「ペアリング演算部３８０」、「メッセージ計算部３９０」、「公開パラメータ受信部４１０」、「暗号文受信部４２０」、「再暗号化鍵受信部４３０」、「検証部４４０」、「暗号化部４５０」、「再暗号文送信部４６０」、「復号鍵受信部５１０」、「暗号文受信部５２０」、「スパンプログラム計算部５３０」、「補完係数計算部５４０」、「変換情報生成部５５０」、「変換部５６０」、「ペアリング演算部５７０」、「メッセージ計算部５８０」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、上記の説明において「公開パラメータｐｋ」、「マスター秘密鍵ｓｋ」、「復号鍵ｓｋ_Ｓ，ｓｋ_Γ」、「暗号文ｃｔ_Γ，ｃｔ_Ｓ」、「再暗号化鍵ｒｋ_Γ，Ｓ’，ｒｋ_Ｓ，Γ’」、「再暗号文ｒｃｔ_Ｓ’，ｒｃｔ_Γ’」、「アクセスストラクチャＳ，Ｓ’，Ｓ^〜」、「属性集合Γ，Γ’，Γ^〜」、「メッセージｍ」等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。

また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
また、上記の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜装置」として説明するものは、「〜回路」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。さらに、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「〜部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「〜部」の手順や方法をコンピュータ等に実行させるものである。

１００ 鍵生成装置、１１０ マスター鍵生成部、１２０ マスター鍵記憶部、１３０ 情報入力部、１４０ 復号鍵生成部、１４１ ＣＰ−ＦＥ鍵生成部、１４２ 乱数生成部、１４３ 復号鍵ｋ^＊生成部、１４４ ＫＰ−ＦＥ鍵生成部、１４５ ｆベクトル生成部、１４６ ｓベクトル生成部、１５０ 鍵送信部、２００ 暗号化装置、２１０ 公開パラメータ受信部、２２０ 情報入力部、２３０ 署名処理部、２４０ 暗号化部、２４１ ｆベクトル生成部、２４２ ｓベクトル生成部、２４３ 乱数生成部、２４４ 暗号文ｃ生成部、２５０ 暗号文送信部、３００ 復号装置、３１０ 復号鍵受信部、３２０ 情報入力部、３３０ 再暗号化鍵生成部、３３１ 乱数生成部、３３２ 変換情報Ｗ_１生成部、３３３ 変換情報Ｗ_１暗号化部、３３４ 復号鍵ｋ^＊ｒｋ生成部、３３５ 変換部、３３６ ｆベクトル生成部、３３７ ｓベクトル生成部、３４０ 再暗号化鍵送信部、３５０ 暗号文受信部、３６０ 検証部、３６１ スパンプログラム計算部、３６２ 署名検証部、３７０ 補完係数計算部、３８０ ペアリング演算部、３９０ メッセージ計算部、４００ 再暗号化装置、４１０ 公開パラメータ受信部、４２０ 暗号文受信部、４３０ 再暗号化鍵受信部、４４０ 検証部、４４１ スパンプログラム計算部、４４２ 署名検証部、４５０ 暗号化部、４５１ 乱数生成部、４５２ ｆベクトル生成部、４５３ ｓベクトル生成部、４５４ 変換情報Ｗ_２生成部、４５５ 変換情報Ｗ_２暗号化部、４５６ 暗号文ｃ^ｒｅｎｃ生成部、４５７ 復号鍵ｋ^{＊ｒｅｎｃ}生成部、４６０ 再暗号文送信部、５００ 再暗号文復号装置、５１０ 復号鍵受信部、５２０ 暗号文受信部、５３０ スパンプログラム計算部、５４０ 補完係数計算部、５５０ 変換情報生成部、５６０ 変換部、５７０ ペアリング演算部、５８０ メッセージ計算部。

Claims (8)

1. ２つの情報が互いに対応している場合に一方の情報が設定された暗号文を他方の情報が設定された復号鍵により復号可能な暗号方式における代理人再暗号機能を実現する暗号システムであり、
   互いに対応する属性情報ｘ，ｖのうちの一方が設定された暗号文ｃと、互いに対応する属性情報ｙ，ｚのうちの一方が設定された暗号文ｃ^〜とを含む暗号文ｃｔを出力する暗号化装置と、
   前記属性情報ｘ，ｖのうちの他方が設定された復号鍵ｋ^＊を取得し、取得した復号鍵ｋ^＊を変換情報Ｗ_１で変換した復号鍵ｋ^＊ｒｋと、前記属性情報ｙ，ｚのうちの他方が設定された復号鍵ｋ^〜＊ｒｋと、互いに対応する属性情報ｘ’，ｖ’のうちの一方が設定されて前記変換情報Ｗ_１が暗号化された暗号化変換情報ψ^ｒｋとを含む再暗号化鍵ｒｋを出力する再暗号化鍵生成装置と、
   互いに対応する追加情報Η，Θのうちの一方が前記暗号文ｃｔに設定された暗号文ｃ^ｒｅｎｃと、前記追加情報Η，Θのうちの他方が前記再暗号化鍵ｒｋに設定された復号鍵ｋ^{＊ｒｅｎｃ}とを含む再暗号文ｒｃｔを出力する再暗号化装置と
   を備えることを特徴とする暗号システム。
2. 前記復号鍵ｋ^〜＊ｒｋは、前記属性情報ｙ，ｚのうちの他方が設定された復号鍵ｋ^〜＊を変換情報Ｗ^〜 _１で変換して生成され、
   前記暗号化変換情報ψ^ｒｋは、前記属性情報ｘ’，ｖ’のうちの一方が設定されて前記変換情報Ｗ_１及び前記変換情報Ｗ^〜 _１が暗号化されて生成された
   ことを特徴とする請求項１に記載の暗号システム。
3. 前記暗号文ｃは、基底Ｂにおけるベクトルであり、
   前記復号鍵ｋ^＊は、前記基底Ｂに対応する基底Ｂ^＊におけるベクトルであり、
   前記暗号文ｃ^〜は、前記基底Ｂを変換情報Ｈ＾により変換した基底Ｈにおけるベクトルであり、
   前記復号鍵ｋ^〜＊ｒｋは、前記基底Ｂ^＊を前記変換情報Ｈ＾により変換した基底Ｈ^＊におけるベクトルである
   ことを特徴とする請求項２に記載の暗号システム。
4. 前記暗号システムは、さらに、
   前記属性情報ｘ’，ｖ’のうちの他方の属性情報が設定された復号鍵ｋ^＊’を取得し、取得した復号鍵ｋ^＊’を用いて前記再暗号文ｒｃｔを復号する再暗号文復号装置
   を備えることを特徴とする請求項１から３までのいずれかに記載の暗号システム。
5. 前記暗号化装置は、数１に示す前記暗号文ｃと、数２に示す前記暗号文ｃ^〜とを含む前記暗号文ｃｔを出力し、
   前記再暗号化鍵生成装置は、数３に示す前記復号鍵ｋ^＊を取得し、数４に示す復号鍵ｋ^＊ｒｋと、数５に示す前記復号鍵ｋ^〜＊ｒｋと、前記暗号化変換情報ψ^ｒｋとを含む前記再暗号化鍵ｒｋを出力し、
   前記再暗号化装置は、数６に示す前記暗号文ｃ^ｒｅｎｃと、数７に示す前記復号鍵ｋ^{＊ｒｅｎｃ}とを含む前記再暗号文ｒｃｔを出力する
   ことを特徴とする請求項３に記載の暗号システム。
   

   

   

   

   

   

   

   
6. 前記暗号化装置は、数８に示す前記暗号文ｃと、数９に示す前記暗号文ｃ^〜とを含む前記暗号文ｃｔを出力し、
   前記再暗号化鍵生成装置は、数１０に示す前記復号鍵ｋ^＊を取得し、数１１に示す復号鍵ｋ^＊ｒｋと、数１２に示す前記復号鍵ｋ^〜＊ｒｋと、前記暗号化変換情報ψ^ｒｋとを含む前記再暗号化鍵ｒｋを出力し、
   前記再暗号化装置は、数１３に示す前記暗号文ｃ^ｒｅｎｃと、数１４に示す前記復号鍵ｋ^{＊ｒｅｎｃ}とを含む前記再暗号文ｒｃｔを出力する
   ことを特徴とする請求項３に記載の暗号システム。
   

   

   

   

   

   

   

   
7. ２つの情報が互いに対応している場合に一方の情報が設定された暗号文を他方の情報が設定された復号鍵により復号可能な暗号方式における代理人再暗号機能を実現する暗号システムにおける再暗号化鍵生成装置であり、
   互いに対応する属性情報ｘ，ｖのうちの一方が設定された復号鍵ｋ^＊を取得し、取得した復号鍵ｋ^＊を変換情報Ｗ_１で変換した復号鍵ｋ^＊ｒｋと、互いに対応する属性情報ｙ，ｚのうちの一方が設定された復号鍵ｋ^〜＊ｒｋと、互いに対応する属性情報ｘ’，ｖ’のうちの一方が設定されて前記変換情報Ｗ_１が暗号化された暗号化変換情報ψ^ｒｋとを含む再暗号化鍵ｒｋを出力する再暗号化鍵出力部
   を備えることを特徴とする再暗号化鍵生成装置。
8. ２つの情報が互いに対応している場合に一方の情報が設定された暗号文を他方の情報が設定された復号鍵により復号可能な暗号方式における代理人再暗号機能を実現する暗号システムにおける再暗号化装置であり、
   互いに対応する属性情報ｘ，ｖのうちの一方が設定された暗号文ｃと、互いに対応する属性情報ｙ，ｚのうちの一方が設定された暗号文ｃ^〜とを含む暗号文ｃｔを受信する暗号文受信部と、
   前記属性情報ｘ，ｖのうちの他方が設定された復号鍵ｋ^＊を変換情報Ｗ_１で変換した復号鍵ｋ^＊ｒｋと、前記属性情報ｙ，ｚのうちの他方が設定された復号鍵ｋ^〜＊ｒｋと、互いに対応する属性情報ｘ’，ｖ’のうちの一方が設定されて前記変換情報Ｗ_１が暗号化された暗号化変換情報ψ^ｒｋとを含む再暗号化鍵ｒｋを受信する再暗号化鍵受信部と、
   互いに対応する追加情報Η，Θのうちの一方が前記暗号文ｃｔに設定された暗号文ｃ^ｒｅｎｃと、前記追加情報Η，Θのうちの他方が前記再暗号化鍵ｒｋに設定された復号鍵ｋ^{＊ｒｅｎｃ}とを含む再暗号文ｒｃｔを出力する再暗号分出力部と
   を備えることを特徴とする再暗号化装置。

Images