JP6452910B1 - 秘匿分析装置、秘匿分析システム、秘匿分析方法及び秘匿分析プログラム - Google Patents

Abstract

暗号化装置（５０）は、暗号化トークンｅｔｋを用いて情報ｘを暗号化した暗号文ｃｔを生成する。復号鍵生成装置（６０）は、暗号化トークンｅｔｋに対応する復号トークンｄｔｋを用いて、ベクトルｙが設定されたユーザ秘密鍵ｓｋから復号鍵ｄｋを生成する。秘匿分析装置（７０）は、復号鍵生成装置（６０）によって生成された復号鍵ｄｋにより、暗号化装置（５０）によって生成された暗号文ｃｔを復号して、ベクトルｘとベクトルｙとについての演算結果を生成する。

Description

この発明は、暗号化したまま演算を実行する技術に関する。

原則として、データを暗号化してしまうと復号しなければ内部のデータを閲覧及び編集することは不可能である。そのため、複数の暗号文のデータを編集する場合には、暗号文を一度復号し平文にした上で編集を行い、再度暗号化する必要がある。

内積を計算可能な関数型暗号（以下、内積暗号と呼ぶ）がある（特許文献１及び非特許文献１参照）。内積暗号では、暗号化実行時にベクトルｘを設定し、ユーザ秘密鍵にベクトルｙを設定し、暗号文を復号する際にはベクトルｘとベクトルｙとの内積＜ｘ，ｙ＞を出力する。つまり、内積暗号は、暗号化したまま内積計算が可能な暗号である。以下の説明では、ベクトルｘとベクトルｙとの内積を＜ｘ，ｙ＞と書く。

内積暗号は、単一入力可能な内積暗号と、複数入力可能な内積暗号とに分けられる。単一入力可能な内積暗号は、復号時に計算できる内積が１つのみである。これに対して、複数入力可能な内積暗号は、秘密鍵にＮ個のベクトルｙ_１，．．．，ｙ_Ｎがを設定することが可能であり、復号時にはＮ個の暗号文を入力として、＜ｘ_１，ｙ_１＞＋＜ｘ_２，ｙ_２＞＋・・・＋＜ｘ_Ｎ，ｙ_Ｎ＞を計算できる。

特開２００９−２７２９９５号公報

Ｍｕｌｔｉ−Ｉｎｐｕｔ Ｆｕｎｃｔｉｏｎａｌ Ｅｎｃｒｙｐｔｉｏｎ ｆｏｒ Ｉｎｎｅｒ Ｐｒｏｄｕｃｔｓ： Ｆｕｎｃｔｉｏｎ−Ｈｉｄｉｎｇ Ｒｅａｌｉｚａｔｉｏｎｓ ａｎｄ Ｃｏｎｓｔｒｕｃｔｉｏｎｓ ｗｉｔｈｏｕｔ Ｐａｉｒｉｎｇｓ Ｍｉｃｈｅｌ Ａｂｄａｌｌａ ａｎｄ Ｄａｒｉｏ Ｃａｔａｌａｎｏ ａｎｄ Ｄａｒｉｏ Ｆｉｏｒｅ ａｎｄ Ｒｏｍａｉｎ Ｇａｙ ａｎｄ Ｂｏｇｄａｎ Ｕｒｓｕ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ ｅＰｒｉｎｔ Ａｒｃｈｉｖｅ：

非特許文献１に記載されている方法は、Ｎ個の内積の和を計算することはできる。しかし、非特許文献１に記載されている方法は、１つでもユーザ秘密鍵を所持し、かつ、暗号化を実行できるユーザであれば、暗号文に紐づいているベクトルを類推することが可能である。

複数入力可能な内積暗号は、クラウドにアップロードされた複数の暗号文を復号せずに、内積のような分析することが期待される。しかし、非特許文献１に記載されている方法のように、本来は漏洩するべきではない、個々の暗号文に設定された情報、例えば内積の場合はベクトルの値が、漏洩してしまう。

この発明は、暗号化したまま内積といった演算を可能にしつつ、暗号文に設定された情報の漏えいを防止することを目的とする。

この発明に係る秘匿分析装置は、
暗号化トークンｅｔｋを用いて情報ｘが暗号化された暗号文ｃｔを取得する暗号文取得部と、
前記暗号化トークンｅｔｋに対応する復号トークンｄｔｋを用いて、情報ｙが設定されたユーザ秘密鍵ｓｋから生成された復号鍵ｄｋにより、前記暗号文取得部によって取得された前記暗号文ｃｔを復号して、前記情報ｘと前記情報ｙとについての演算結果を生成する復号部と
を備える。

この発明では、ユーザ秘密鍵ｓｋではなく、復号トークンｄｔｋを用いてユーザ秘密鍵ｓｋから生成された復号鍵ｄｋにより、情報ｘと情報ｙとについての演算結果を生成する。ユーザ秘密鍵ｓｋを持っていても演算を行うことができないため、ユーザ秘密鍵ｓｋを持ったユーザに情報が漏えいすることを防止できる。

実施の形態１に係る秘匿分析システム１０の構成図。 実施の形態１に係るマスター鍵生成装置２０の構成図。 実施の形態１に係るユーザ秘密鍵生成装置３０の構成図。 実施の形態１に係るトークン生成装置４０の構成図。 実施の形態１に係る暗号化装置５０の構成図。 実施の形態１に係る復号鍵生成装置６０の構成図。 実施の形態１に係る秘匿分析装置７０の構成図。 実施の形態１に係るマスター鍵生成装置２０の動作を示すフローチャート。 実施の形態１に係るユーザ秘密鍵生成装置３０の動作を示すフローチャート。 実施の形態１に係るトークン生成装置４０の動作を示すフローチャート。 実施の形態１に係る暗号化装置５０の動作を示すフローチャート。 実施の形態１に係る復号鍵生成装置６０の動作を示すフローチャート。 実施の形態１に係る秘匿分析装置７０の動作を示すフローチャート。 変形例２に係るマスター鍵生成装置２０の構成図。 変形例２に係るユーザ秘密鍵生成装置３０の構成図。 変形例２に係るトークン生成装置４０の構成図。 変形例２に係る暗号化装置５０の構成図。 変形例２に係る復号鍵生成装置６０の構成図。 変形例２に係る秘匿分析装置７０の構成図。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る秘匿分析システム１０の構成を説明する。
秘匿分析システム１０は、マスター鍵生成装置２０と、１台以上のユーザ秘密鍵生成装置３０と、１台以上のトークン生成装置４０と、１台以上の暗号化装置５０と、１台以上の復号鍵生成装置６０と、１台以上の秘匿分析装置７０とを備える。
マスター鍵生成装置２０と、ユーザ秘密鍵生成装置３０と、トークン生成装置４０と、暗号化装置５０と、復号鍵生成装置６０と、秘匿分析装置７０とは、伝送路９０を介して接続される。伝送路９０は、具体例としては、インターネット又はＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）である。

図２を参照して、実施の形態１に係るマスター鍵生成装置２０の構成を説明する。
マスター鍵生成装置２０は、プロセッサ２１と、メモリ２２と、ストレージ２３と、通信インタフェース２４とのハードウェアを備える。プロセッサ２１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

マスター鍵生成装置２０は、機能構成要素として、パラメータ取得部２１１と、マスター鍵生成部２１２と、送信部２１３とを備える。マスター鍵生成装置２０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ２３には、マスター鍵生成装置２０の各機能構成要素の機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ２１によりメモリ２２に読み込まれ、プロセッサ２１によって実行される。これにより、マスター鍵生成装置２０の各機能構成要素の機能が実現される。
また、ストレージ２３は、マスター鍵記憶部２３１の機能を実現する。

図３を参照して、実施の形態１に係るユーザ秘密鍵生成装置３０の構成を説明する。
ユーザ秘密鍵生成装置３０は、プロセッサ３１と、メモリ３２と、ストレージ３３と、通信インタフェース３４とのハードウェアを備える。プロセッサ３１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

ユーザ秘密鍵生成装置３０は、機能構成要素として、マスター鍵取得部３１１と、ベクトル取得部３１２と、ユーザ秘密鍵生成部３１３と、送信部３１４とを備える。ユーザ秘密鍵生成装置３０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ３３には、ユーザ秘密鍵生成装置３０の各機能構成要素の機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ３１によりメモリ３２に読み込まれ、プロセッサ３１によって実行される。これにより、ユーザ秘密鍵生成装置３０の各機能構成要素の機能が実現される。
また、ストレージ３３は、マスター鍵記憶部３３１の機能を実現する。

図４を参照して、実施の形態１に係るトークン生成装置４０の構成を説明する。
トークン生成装置４０は、プロセッサ４１と、メモリ４２と、ストレージ４３と、通信インタフェース４４とのハードウェアを備える。プロセッサ４１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

トークン生成装置４０は、機能構成要素として、ベクトル選択部４１１と、トークン生成部４１２と、送信部４１３とを備える。トークン生成装置４０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ４３には、トークン生成装置４０の各機能構成要素の機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ４１によりメモリ４２に読み込まれ、プロセッサ４１によって実行される。これにより、トークン生成装置４０の各機能構成要素の機能が実現される。

図５を参照して、実施の形態１に係る暗号化装置５０の構成を説明する。
暗号化装置５０は、プロセッサ５１と、メモリ５２と、ストレージ５３と、通信インタフェース５４とのハードウェアを備える。プロセッサ５１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

暗号化装置５０は、機能構成要素として、マスター鍵取得部５１１と、トークン取得部５１２と、ベクトル取得部５１３と、暗号化部５１４と、送信部５１５とを備える。暗号化装置５０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ５３には、暗号化装置５０の各機能構成要素の機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ５１によりメモリ５２に読み込まれ、プロセッサ５１によって実行される。これにより、暗号化装置５０の各機能構成要素の機能が実現される。
また、ストレージ５３は、マスター鍵記憶部５３１と、トークン記憶部５３２との機能を実現する。

図６を参照して、実施の形態１に係る復号鍵生成装置６０の構成を説明する。
復号鍵生成装置６０は、プロセッサ６１と、メモリ６２と、ストレージ６３と、通信インタフェース６４とのハードウェアを備える。プロセッサ６１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

復号鍵生成装置６０は、機能構成要素として、ユーザ秘密鍵取得部６１１と、トークン取得部６１２と、復号鍵生成部６１３と、送信部６１４とを備える。復号鍵生成装置６０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ６３には、復号鍵生成装置６０の各機能構成要素の機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ６１によりメモリ６２に読み込まれ、プロセッサ６１によって実行される。これにより、復号鍵生成装置６０の各機能構成要素の機能が実現される。
ストレージ６３は、ユーザ秘密鍵記憶部６３１と、トークン記憶部６３２との機能を実現する。

図７を参照して、実施の形態１に係る秘匿分析装置７０の構成を説明する。
秘匿分析装置７０は、プロセッサ７１と、メモリ７２と、ストレージ７３と、通信インタフェース７４とのハードウェアを備える。プロセッサ７１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

秘匿分析装置７０は、機能構成要素として、暗号文取得部７１１と、復号鍵取得部７１２と、復号部７１３と、送信部７１４とを備える。秘匿分析装置７０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ７３には、秘匿分析装置７０の各機能構成要素の機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ７１によりメモリ７２に読み込まれ、プロセッサ７１によって実行される。これにより、秘匿分析装置７０の各機能構成要素の機能が実現される。
ストレージ７３は、暗号文記憶部７３１と、復号鍵記憶部７３２との機能を実現する。

プロセッサ２１，３１，４１，５１，６１，７１は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ２１，３１，４１，５１，６１，７１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

メモリ２２，３２，４２，５２，６２，７２は、データを一時的に記憶する記憶装置である。メモリ２２，３２，４２，５２，６２，７２は、具体例としては、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。

ストレージ２３，３３，４３，５３，６３，７３は、データを保管する記憶装置である。ストレージ２３，３３，４３，５３，６３，７３は、具体例としては、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。また、ストレージ２３，３３，４３，５３，６３，７３は、ＳＤ（登録商標，Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（ＣｏｍｐａｃｔＦｌａｓｈ，登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）といった可搬記憶媒体であってもよい。

通信インタフェース２４，３４，４４，５４，６４，７４は、外部の装置と通信するためのインタフェースである。通信インタフェース２４，３４，４４，５４，６４，７４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ＨＤＭＩ（登録商標，Ｈｉｇｈ−Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）のポートである。

図２では、プロセッサ２１は、１つだけ示されている。しかし、マスター鍵生成装置２０は、プロセッサ２１を代替する複数のプロセッサを備えていてもよい。同様に、ユーザ秘密鍵生成装置３０は、プロセッサ３１を代替する複数のプロセッサを備えていてもよい。トークン生成装置４０は、プロセッサ４１を代替する複数のプロセッサを備えていてもよい。暗号化装置５０は、プロセッサ５１を代替する複数のプロセッサを備えていてもよい。復号鍵生成装置６０は、プロセッサ６１を代替する複数のプロセッサを備えていてもよい。秘匿分析装置７０は、プロセッサ７１を代替する複数のプロセッサを備えていてもよい。
これら複数のプロセッサは、各機能構成要素の機能を実現するプログラムの実行を分担する。それぞれのプロセッサは、プロセッサ２１，３１，４１，５１，６１，７１と同じように、演算処理を行うＩＣである。

＊＊＊動作の説明＊＊＊
図８から図１３を参照して、実施の形態１に係る秘匿分析システム１０の動作を説明する。

秘匿分析システム１０は、既存の単一入力可能な内積暗号を用いる。既存の単一入力可能な内積暗号とは、具体例としては、非特許文献１に記載された方式である。
単一入力可能な内積暗号は、Ｓｅｔｕｐアルゴリズムと、ＫｅｙＧｅｎアルゴリズムと、Ｅｎｃアルゴリズムと、Ｄｅｃアルゴリズムとを有する。
Ｓｅｔｕｐアルゴリズムは、マスター鍵生成アルゴリズムである。Ｓｅｔｕｐアルゴリズムは、鍵のビット長λを入力として、マスター秘密鍵ｍｓｋと、マスター公開鍵ｍｐｋとを生成する。
ＫｅｙＧｅｎアルゴリズムは、ユーザ秘密鍵生成アルゴリズムである。ＫｅｙＧｅｎアルゴリズムは、ｍ次元のベクトルｙと、マスター鍵ｍｋとを入力として、秘密鍵ｓｋを生成する。ｍは１以上の整数である。
Ｅｎｃアルゴリズムは、暗号化アルゴリズムである。Ｅｎｃアルゴリズムは、ｍ次元のベクトルｘと、マスター鍵ｍｋとを入力として、暗号文ｃｔを生成する。
Ｄｅｃアルゴリズムは、復号アルゴリズムである。Ｄｅｃアルゴリズムは、暗号文ｃｔと、秘密鍵ｓｋとを入力として、ベクトルｘとベクトルｙとの内積＜ｘ，ｙ＞を生成する。

図８を参照して、実施の形態１に係るマスター鍵生成装置２０の動作を説明する。
実施の形態１に係るマスター鍵生成装置２０の動作は、実施の形態１に係るマスター鍵生成方法に相当する。また、実施の形態１に係るマスター鍵生成装置２０の動作は、実施の形態１に係るマスター鍵生成プログラムの処理に相当する。

（ステップＳ１１：パラメータ取得処理）
パラメータ取得部２１１は、鍵のビット長λを取得する。
具体的には、パラメータ取得部２１１は、通信インタフェース２４を介して接続された入力装置等によって入力された鍵のビット長λを取得する。パラメータ取得部２１１は、鍵のビット長λをメモリ２２に書き込む。
なお、鍵のビット長λ以外に必要なパラメータが存在する場合には、パラメータ取得部２１１は、そのパラメータも取得する。

（ステップＳ１２：マスター鍵生成処理）
マスター鍵生成部２１２は、マスター鍵ｍｋを生成する。
具体的には、マスター鍵生成部２１２は、鍵のビット長λをメモリ２２から読み出す。マスター鍵生成部２１２は、ｉ＝１，．．．，ｎの各整数ｉについて、鍵のビット長λを入力として、Ｓｅｔｕｐアルゴリズムを実行して、マスター秘密鍵ｍｓｋ_ｉとマスター公開鍵ｍｐｋ_ｉとのペアを生成する。ｎは１以上の整数である。マスター鍵生成部２１２は、ｉ＝１，．．．，ｎの各整数ｉについてのマスター秘密鍵ｍｓｋ_ｉとマスター公開鍵ｍｐｋ_ｉとの集合をマスター鍵ｍｋとして扱う。つまり、ｍｋ：＝（ｍｓｋ_１，ｍｓｋ_２，．．．，ｍｓｋ_ｎ，ｍｐｋ_１，ｍｐｋ_２，．．．，ｍｐｋ_ｎ）である。マスター鍵生成部２１２は、マスター鍵ｍｋをメモリ２２に書き込む。
なお、Ｓｅｔｕｐアルゴリズムを実行するために乱数の生成が必要な場合には、マスター鍵生成部２１２は、乱数生成機能を備えてもよい。

（ステップＳ１３：送信処理）
送信部２１３は、マスター鍵ｍｋを、ユーザ秘密鍵生成装置３０と暗号化装置５０とに送信する。
具体的には、送信部２１３は、マスター鍵ｍｋをメモリ２２から読み出す。送信部２１３は、通信インタフェース２４を介して、マスター鍵ｍｋをユーザ秘密鍵生成装置３０と暗号化装置５０とに送信する。
すると、ユーザ秘密鍵生成装置３０のマスター鍵取得部３１１は、通信インタフェース３４を介して、マスター鍵ｍｋを受信する。マスター鍵取得部３１１は、マスター鍵ｍｋをマスター鍵取得部３１１に書き込む。また、暗号化装置５０のマスター鍵取得部５１１は、通信インタフェース５４を介して、マスター鍵ｍｋを受信する。マスター鍵取得部５１１は、マスター鍵ｍｋをマスター鍵記憶部５３１に書き込む。
なお、送信部２１３は、マスター鍵ｍｋのうち、マスター秘密鍵ｍｓｋ_１，ｍｓｋ_２，．．．，ｍｓｋ_ｎだけをユーザ秘密鍵生成装置３０に送信し、マスター鍵ｍｋのうち、マスター公開鍵ｍｐｋ_１，ｍｐｋ_２，．．．，ｍｐｋ_ｎだけを暗号化装置５０に送信してもよい。
また、送信部２１３は、マスター鍵ｍｋをマスター鍵記憶部２３１に書き込む。

図９を参照して、実施の形態１に係るユーザ秘密鍵生成装置３０の動作を説明する。
実施の形態１に係るユーザ秘密鍵生成装置３０の動作は、実施の形態１に係るユーザ秘密鍵生成方法に相当する。また、実施の形態１に係るユーザ秘密鍵生成装置３０の動作は、実施の形態１に係るユーザ秘密鍵生成プログラムの処理に相当する。

（ステップＳ２１：ベクトル取得処理）
ベクトル取得部３１２は、ｉ＝１，．．．，ｎの各整数ｉについてのｍ次元のベクトルｙ_ｉを取得する。
具体的には、ベクトル取得部３１２は、通信インタフェース２４を介して接続された入力装置等によって入力されたベクトルｙ_ｉを取得する。ベクトル取得部３１２は、ベクトルｙ_ｉをメモリ３２に書き込む。

（ステップＳ２２：ユーザ秘密鍵生成処理）
ユーザ秘密鍵生成部３１３は、ｉ＝１，．．．，ｎの各整数ｉについてのユーザ秘密鍵ｓｋ_ｉを生成する。
具体的には、ユーザ秘密鍵生成部３１３は、ｉ＝１，．．．，ｎの各整数ｉについてのベクトルｙ_ｉをメモリ３２から読み出す。また、ユーザ秘密鍵生成部３１３は、マスター鍵ｍｋをマスター鍵記憶部３３１から読み出す。ユーザ秘密鍵生成部３１３は、ｉ＝１，．．．，ｎの各整数ｉについて、ベクトルｙ_ｉと、マスター秘密鍵ｍｓｋ_ｉとを入力として、ＫｅｙＧｅｎアルゴリズムを実行して、ユーザ秘密鍵ｓｋ_ｉを生成する。ユーザ秘密鍵ｓｋ_ｉには、ベクトルｙ_ｉが設定された鍵ｋｅｙ_ｉとベクトルｙ_ｉとが含まれている。ユーザ秘密鍵生成部３１３は、ユーザ秘密鍵ｓｋ_ｉをメモリ３２に書き込む。
なお、ＫｅｙＧｅｎアルゴリズムを実行するために乱数の生成が必要な場合には、ユーザ秘密鍵生成部３１３は、乱数生成機能を備えてもよい。

（ステップＳ２３：送信処理）
送信部３１４は、ｉ＝１，．．．，ｎの各整数ｉについてのユーザ秘密鍵ｓｋ_ｉを復号鍵生成装置６０に送信する。
具体的には、送信部３１４は、ｉ＝１，．．．，ｎの各整数ｉについてのユーザ秘密鍵ｓｋ_ｉをメモリ３２から読み出す。送信部３１４は、通信インタフェース３４を介して、ｉ＝１，．．．，ｎの各整数ｉについてのユーザ秘密鍵ｓｋ_ｉを復号鍵生成装置６０に送信する。
すると、復号鍵生成装置６０のユーザ秘密鍵取得部６１１は、ｉ＝１，．．．，ｎの各整数ｉについてのユーザ秘密鍵ｓｋ_ｉを受信する。ユーザ秘密鍵取得部６１１は、ｉ＝１，．．．，ｎの各整数ｉについてのユーザ秘密鍵ｓｋ_ｉをユーザ秘密鍵記憶部６３１に書き込む。

ここでは、１つのユーザ秘密鍵生成装置３０によってｉ＝１，．．．，ｎの各整数ｉについてのユーザ秘密鍵ｓｋ_ｉが生成された。しかし、複数のユーザ秘密鍵生成装置３０によってｉ＝１，．．．，ｎの各整数ｉについてのユーザ秘密鍵ｓｋ_ｉが生成されてもよい。例えば、ｉ＝１，．．．，ｎの各整数ｉについてのユーザ秘密鍵生成装置３０ｉによってユーザ秘密鍵ｓｋ_ｉが生成されてもよい。

図１０を参照して、実施の形態１に係るトークン生成装置４０の動作を説明する。
実施の形態１に係るトークン生成装置４０の動作は、実施の形態１に係るトークン生成方法に相当する。また、実施の形態１に係るトークン生成装置４０の動作は、実施の形態１に係るトークン生成プログラムの処理に相当する。

（ステップＳ３１：ベクトル選択処理）
ベクトル選択部４１１は、ｉ＝１，．．．，ｎの各整数ｉについてのｍ次元のベクトルｕ_ｉを選択する。
具体的には、ベクトル選択部４１１は、ｉ＝１，．．．，ｎの各整数ｉについてのｍ次元のベクトルｕ_ｉを乱数発生機能等を用いてランダムに選択する。ベクトル選択部４１１は、ベクトルｕ_ｉをメモリ４２に書き込む。

（ステップＳ３２：トークン生成処理）
トークン生成部４１２は、ｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉと、復号トークンｄｔｋとを生成する。復号トークンｄｔｋは、ｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉに対応する。
具体的には、トークン生成部４１２は、ｉ＝１，．．．，ｎの各整数ｉについてのベクトルｕ_ｉをメモリ４２から読み出す。トークン生成部４１２は、ｉ＝１，．．．，ｎの各整数ｉについて、ベクトルｕ_ｉを暗号化トークンｅｔｋ_ｉとして扱う。つまり、ｅｔｋ_ｉ：＝ｕ_ｉである。また、トークン生成部４１２は、ｉ＝１，．．．，ｎの各整数ｉについてのベクトルｕ_ｉの集合を復号トークンｄｔｋとして扱う。つまり、ｄｔｋ：＝（ｕ_１，ｕ_２，．．．，ｕ_ｎ）である。トークン生成部４１２は、ｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉと、復号トークンｄｔｋとをメモリ４２に書き込む。

（ステップＳ３３：送信処理）
送信部４１３は、ｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉを暗号化装置５０に送信する。また、送信部４１３は、復号トークンｄｔｋを復号鍵生成装置６０に送信する。
具体的には、送信部４１３は、ｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉと、復号トークンｄｔｋとをメモリ４２から読み出す。送信部４１３は、通信インタフェース４４を介して、ｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉを暗号化装置５０に送信する。また、送信部４１３は、通信インタフェース４４を介して、復号トークンｄｔｋを復号鍵生成装置６０に送信する。
すると、暗号化装置５０のトークン取得部５１２は、通信インタフェース５４を介して、ｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉを受信する。トークン取得部５１２は、ｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉをトークン記憶部５３２に書き込む。また、復号鍵生成装置６０のトークン取得部６１２は、通信インタフェース６４を介して、復号トークンｄｔｋを受信する。トークン取得部６１２は、復号トークンｄｔｋをトークン記憶部６３２に書き込む。

ここでは、１つのトークン生成装置４０によってｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉが生成された。しかし、複数のトークン生成装置４０によってｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉが生成されてもよい。例えば、ｉ＝１，．．．，ｎの各整数ｉについてのトークン生成装置４０ｉによって暗号化トークンｅｔｋ_ｉが生成されてもよい。この場合、各トークン生成装置４０からあるトークン生成装置４０にｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉが送信され、あるトークン生成装置４０によって復号トークンｄｔｋが生成される。

図１１を参照して、実施の形態１に係る暗号化装置５０の動作を説明する。
実施の形態１に係る暗号化装置５０の動作は、実施の形態１に係る暗号化方法に相当する。また、実施の形態１に係る暗号化装置５０の動作は、実施の形態１に係る暗号化プログラムの処理に相当する。

（ステップＳ４１：ベクトル取得処理）
ベクトル取得部５１３は、ｉ＝１，．．．，ｎの各整数ｉについてのｍ次元のベクトルｘ_ｉを取得する。
具体的には、ベクトル取得部５１３は、通信インタフェース５４を介して接続された入力装置等によって入力されたベクトルｘ_ｉを取得する。ベクトル取得部５１３は、ベクトルｘ_ｉをメモリ３２に書き込む。

（ステップＳ４２：暗号化処理）
暗号化部５１４は、ｉ＝１，．．．，ｎの各整数ｉについて、ベクトルｘ_ｉを設定した暗号文ｃｔ_ｉを生成する。
具体的には、暗号化部５１４は、マスター鍵ｍｋをマスター鍵記憶部５３１から読み出す。また、暗号化部５１４は、ｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉをトークン記憶部５３２から読み出す。また、暗号化部５１４は、ｉ＝１，．．．，ｎの各整数ｉについてのベクトルｘ_ｉをメモリ５２から読み出す。
暗号化部５１４は、ｉ＝１，．．．，ｎの各整数ｉについて、ベクトルｘ_ｉと暗号化トークンｅｔｋ_ｉとの和をメッセージｍ_ｉとして生成する。つまり、ｍ_ｉ：＝ｘ_ｉ＋ｅｔｋ_ｉ＝ｘ_ｉ＋ｕ_ｉである。暗号化部５１４は、ｉ＝１，．．．，ｎの各整数ｉについて、メッセージｍ_ｉと、マスター公開鍵ｍｐｋ_ｉとを入力として、Ｅｎｃアルゴリズムを実行して、暗号文ｃｔ_ｉを生成する。暗号化部５１４は、暗号文ｃｔ_ｉをメモリ５２に書き込む。
なお、Ｅｎｃアルゴリズムを実行するために乱数の生成が必要な場合には、暗号化部５１４は、乱数生成機能を備えてもよい。

（ステップＳ４３：送信処理）
送信部５１５は、ｉ＝１，．．．，ｎの各整数ｉについての暗号文ｃｔ_ｉを秘匿分析装置７０に送信する。
具体的には、送信部５１５は、ｉ＝１，．．．，ｎの各整数ｉについての暗号文ｃｔ_ｉをメモリ５２から読み出す。送信部５１５は、通信インタフェース５４を介して、ｉ＝１，．．．，ｎの各整数ｉについての暗号文ｃｔ_ｉを秘匿分析装置７０に送信する。
すると、秘匿分析装置７０の暗号文取得部７１１は、通信インタフェース７４を介して、ｉ＝１，．．．，ｎの各整数ｉについての暗号文ｃｔ_ｉを受信する。暗号文取得部７１１は、ｉ＝１，．．．，ｎの各整数ｉについての暗号文ｃｔ_ｉを暗号文記憶部７３１に書き込む。

ここでは、１つの暗号化装置５０によってｉ＝１，．．．，ｎの各整数ｉについての暗号文ｃｔ_ｉが生成された。しかし、複数の暗号化装置５０によってｉ＝１，．．．，ｎの各整数ｉについての暗号文ｃｔ_ｉが生成されてもよい。例えば、ｉ＝１，．．．，ｎの各整数ｉについての暗号化装置５０ｉによって暗号文ｃｔ_ｉが生成されてもよい。この場合には、図１０のステップＳ３３では、ｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉは、暗号化装置５０ｉに送信される。

図１２を参照して、実施の形態１に係る復号鍵生成装置６０の動作を説明する。
実施の形態１に係る復号鍵生成装置６０の動作は、実施の形態１に係る復号鍵生成方法に相当する。また、実施の形態１に係る復号鍵生成装置６０の動作は、実施の形態１に係る復号鍵生成プログラムの処理に相当する。

（ステップＳ５１：復号鍵生成処理）
復号鍵生成部６１３は、復号鍵ｄｋを生成する。
具体的には、復号鍵生成部６１３は、ｉ＝１，．．．，ｎの各整数ｉについてのユーザ秘密鍵ｓｋ_ｉをユーザ秘密鍵記憶部６３１から読み出す。また、復号鍵生成部６１３は、復号トークンｄｔｋをトークン記憶部６３２から読み出す。
復号鍵生成部６１３は、ｉ＝１，．．．，ｎの各整数ｉについてのベクトルｙ_ｉとベクトルｕ_ｉとの内積の和を鍵要素ｚとして計算する。つまり、ｚ：＝Σ_ｉ＝１ ^ｎ＜ｘ_ｉ，ｕ_ｉ＞である。ここで、ベクトルｙ_ｉは、ユーザ秘密鍵ｓｋ_ｉに含まれている。また、ベクトルｕ_ｉは、復号トークンｄｔｋに含まれている。
復号鍵生成部６１３は、ｉ＝１，．．．，ｎの各整数ｉについてのユーザ秘密鍵ｓｋ_ｉと、鍵要素ｚとの集合を復号鍵ｄｋとして扱う。復号鍵生成部６１３は、復号鍵ｄｋをメモリ６２に書き込む。

（ステップＳ５２：送信処理）
送信部６１４は、復号鍵ｄｋを秘匿分析装置７０に送信する。
具体的には、送信部６１４は、復号鍵ｄｋをメモリ６２から読み出す。送信部６１４は、通信インタフェース６４を介して、復号鍵ｄｋを秘匿分析装置７０に送信する。
すると、秘匿分析装置７０の復号鍵取得部７１２は、通信インタフェース７４を介して、復号鍵ｄｋを受信する。復号鍵取得部７１２は、復号鍵ｄｋを復号鍵記憶部７３２に書き込む。

図１３を参照して、実施の形態１に係る秘匿分析装置７０の動作を説明する。
実施の形態１に係る秘匿分析装置７０の動作は、実施の形態１に係る秘匿分析方法に相当する。また、実施の形態１に係る秘匿分析装置７０の動作は、実施の形態１に係る秘匿分析プログラムの処理に相当する。

（ステップＳ６１：復号処理）
復号部７１３は、復号鍵ｄｋにより、ｉ＝１，．．．，ｎの各整数ｉについての暗号文ｃｔ_ｉを復号して、ｉ＝１，．．．，ｎの各整数ｉについてのベクトルｘ_ｉとベクトルｙ_ｉとについての演算結果Ｄを生成する。ここで、暗号文ｃｔ_ｉは、暗号化トークンｅｔｋ_ｉを用いて情報ｘ_ｉ（ベクトルｘ_ｉ）が暗号化され生成されている。また、復号鍵ｄｋは、ｉ＝１，．．．，ｎの各整数ｉについての暗号化トークンｅｔｋ_ｉに対応する復号トークンｄｔｋを用いて情報ｙ_ｉ（ベクトルｙ_ｉ）が設定されたユーザ秘密鍵ｓｋ_ｉから生成されている。
具体的には、復号部７１３は、ｉ＝１，．．．，ｎの各整数ｉについての暗号文ｃｔ_ｉを暗号文記憶部７３１から読み出す。また、復号部７１３は、復号鍵ｄｋを復号鍵記憶部７３２から読み出す。
復号部７１３は、ｉ＝１，．．．，ｎの各整数ｉについて、暗号文ｃｔ_ｉと、ユーザ秘密鍵ｓｋ_ｉとを入力として、Ｄｅｃアルゴリズムを実行して、復号データＤ_ｉを生成する。復号部７１３は、ｉ＝１，．．．，ｎの各整数ｉについての復号データＤ_ｉの和から鍵要素ｚを減じて演算結果Ｄを生成する。つまり、Ｄ：＝（Σ_ｉ＝１ ^ｎＤ_ｉ）−ｚである。復号部７１３は、演算結果Ｄをメモリ７２に書き込む。
ここで、Ｄ_ｉ＝＜（ｘ_ｉ＋ｕ_ｉ），ｙ_ｉ＞である。そのため、Σ_ｉ＝１ ^ｎＤ_ｉ＝Σ_ｉ＝１ ^ｎ＜（ｘ_ｉ＋ｕ_ｉ），ｙ_ｉ＞である。また、ｚ：＝Σ_ｉ＝１ ^ｎ＜ｘ_ｉ，ｕ_ｉ＞である。したがって、Ｄ：＝（Σ_ｉ＝１ ^ｎＤ_ｉ）−ｚ＝Σ_ｉ＝１ ^ｎ＜（ｘ_ｉ＋ｕ_ｉ），ｙ_ｉ＞−Σ_ｉ＝１ ^ｎ＜ｘ_ｉ，ｕ_ｉ＞＝Σ_ｉ＝１ ^ｎ＜ｘ_ｉ，ｙ_ｉ＞である。つまり、演算結果Ｄは、ｉ＝１，．．．，ｎの各整数ｉについてのベクトルｘ_ｉとベクトルｙ_ｉとの内積の和である。

ここで、演算結果Ｄを得るには、ユーザ秘密鍵ｓｋではなく、復号鍵ｄｋが必要である。そのため、ユーザ秘密鍵ｓｋがユーザに配布されている場合であっても、ユーザがユーザ秘密鍵ｓｋを用いて演算結果Ｄを計算することはできない。
演算結果Ｄを得るためには、ユーザ秘密鍵ｓｋを復号鍵生成装置６０に与えるとともに、演算対象の暗号文ｃｔ_ｉの生成に用いられた暗号化トークンｅｔｋ_ｉに対応する復号トークンｄｔｋを復号鍵生成装置６０に与える必要がある。したがって、ユーザ秘密鍵ｓｋがユーザに配布されている場合であっても、ユーザが自由に演算結果Ｄを得ることはできない。

（ステップＳ６２：送信処理）
送信部７１４は、演算結果Ｄを表示装置といった出力装置に送信する。
具体的には、送信部７１４は、演算結果Ｄをメモリ７２から読み出す。送信部７１４は、通信インタフェース７４を介して、演算結果Ｄを表示装置といった出力装置に送信する。

＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係る秘匿分析システム１０は、暗号文ｃｔに設定されたベクトルｘとユーザ秘密鍵ｓｋに設定されたベクトルｙとの内積を、暗号文ｃｔを復号することなく計算することができる。そして、実施の形態１に係る秘匿分析システム１０は、ベクトルｘとベクトルｙとの内積を計算するためには、ユーザ秘密鍵ｓｋではなく、復号トークンｄｔｋを用いてユーザ秘密鍵ｓｋから生成された復号鍵ｄｋが必要である。そのため、ユーザ秘密鍵ｓｋを持ったユーザに、ベクトルｘとベクトルｙとの内積と、ベクトルｘといった情報が漏えいすることを防止できる。

＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、暗号化トークンｅｔｋを用いて暗号文ｃｔを生成し、暗号化トークンに対応する復号トークンｄｔｋを用いてユーザ秘密鍵ｓｋから復号鍵ｄｋを生成するという技術を内積暗号に適用した。これにより、情報の漏えいを防止しつつ、暗号文ｃｔに設定されたベクトルｘとユーザ秘密鍵ｓｋに設定されたベクトルｙとの内積である演算結果Ｄを計算することを可能とした。
内積暗号ではなく、暗号化したまま他の演算を行う暗号技術に、上記技術を適用することにより、情報の漏えいを防止しつつ、内積ではない他の演算を行った演算結果を計算することも可能である。また、この場合には、暗号文及びユーザ秘密鍵に設定されるのは、ベクトルｘ及びベクトルｙではなく、何らかの形式の情報ｘ及び情報ｙである可能性がある。

＜変形例２＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例２として、各機能構成要素はハードウェアで実現されてもよい。この変形例２について、実施の形態１と異なる点を説明する。

図１４を参照して、変形例２に係るマスター鍵生成装置２０の構成を説明する。
機能がハードウェアで実現される場合、マスター鍵生成装置２０は、プロセッサ２１とメモリ２２とストレージ２３とに代えて、電子回路２５を備える。電子回路２５は、マスター鍵生成装置２０の機能構成要素と、メモリ２２とストレージ２３との機能とを実現する専用の回路である。

図１５を参照して、変形例２に係るユーザ秘密鍵生成装置３０の構成を説明する。
機能がハードウェアで実現される場合、ユーザ秘密鍵生成装置３０は、プロセッサ３１とメモリ３２とストレージ３３とに代えて、電子回路３５を備える。電子回路３５は、ユーザ秘密鍵生成装置３０の機能構成要素と、メモリ３２とストレージ３３との機能とを実現する専用の回路である。

図１６を参照して、変形例２に係るトークン生成装置４０の構成を説明する。
機能がハードウェアで実現される場合、トークン生成装置４０は、プロセッサ４１とメモリ４２とストレージ４３とに代えて、電子回路４５を備える。電子回路４５は、トークン生成装置４０の機能構成要素と、メモリ４２とストレージ４３との機能とを実現する専用の回路である。

図１７を参照して、変形例２に係る暗号化装置５０の構成を説明する。
機能がハードウェアで実現される場合、暗号化装置５０は、プロセッサ５１とメモリ５２とストレージ５３とに代えて、電子回路５５を備える。電子回路５５は、暗号化装置５０の機能構成要素と、メモリ５２とストレージ５３との機能とを実現する専用の回路である。

図１８を参照して、変形例２に係る復号鍵生成装置６０の構成を説明する。
機能がハードウェアで実現される場合、復号鍵生成装置６０は、プロセッサ６１とメモリ６２とストレージ６３とに代えて、電子回路６５を備える。電子回路６５は、復号鍵生成装置６０の機能構成要素と、メモリ６２とストレージ６３との機能とを実現する専用の回路である。

図１９を参照して、変形例２に係る秘匿分析装置７０の構成を説明する。
機能がハードウェアで実現される場合、秘匿分析装置７０は、プロセッサ７１とメモリ７２とストレージ７３とに代えて、電子回路７５を備える。電子回路７５は、秘匿分析装置７０の機能構成要素と、メモリ７２とストレージ７３との機能とを実現する専用の回路である。

電子回路２５，３５，４５，５５，６５，７５は、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）が想定される。
マスター鍵生成装置２０の各機能構成要素の機能を１つの電子回路２５で実現してもよいし、各機能構成要素の機能を複数の電子回路２５に分散させて実現してもよい。同様に、ユーザ秘密鍵生成装置３０とトークン生成装置４０と暗号化装置５０と復号鍵生成装置６０と秘匿分析装置７０とのそれぞれについて、各機能構成要素の機能を１つの電子回路３５，４５，５５，６５，７５で実現してもよいし、各機能構成要素の機能を複数の電子回路３５，４５，５５，６５，７５に分散させて実現してもよい。

＜変形例３＞
変形例３として、一部の機能がハードウェアで実現され、他の機能がソフトウェアで実現されてもよい。つまり、各機能構成要素のうち、一部の機能がハードウェアで実現され、他の機能がソフトウェアで実現されてもよい。

プロセッサ２１，３１，４１，５１，６１，７１とメモリ２２，３２，４２，５２，６２，７２とストレージ２３，３３，４３，５３，６３，７３と電子回路２５，３５，４５，５５，６５，７５とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。

１０ 秘匿分析システム、２０ マスター鍵生成装置、２１ プロセッサ、２２ メモリ、２３ ストレージ、２４ 通信インタフェース、２５ 電子回路、２１１ パラメータ取得部、２１２ マスター鍵生成部、２１３ 送信部、２３１ マスター鍵記憶部、３０ ユーザ秘密鍵生成装置、３１ プロセッサ、３２ メモリ、３３ ストレージ、３４ 通信インタフェース、３５ 電子回路、３１１ マスター鍵取得部、３１２ ベクトル取得部、３１３ ユーザ秘密鍵生成部、３１４ 送信部、３３１ マスター鍵記憶部、４０ トークン生成装置、４１ プロセッサ、４２ メモリ、４３ ストレージ、４４ 通信インタフェース、４５ 電子回路、４１１ ベクトル選択部、４１２ トークン生成部、４１３ 送信部、５０ 暗号化装置、５１ プロセッサ、５２ メモリ、５３ ストレージ、５４ 通信インタフェース、５５ 電子回路、５１１ マスター鍵取得部、５１２ トークン取得部、５１３ ベクトル取得部、５１４ 暗号化部、５１５ 送信部、５３１ マスター鍵記憶部、５３２ トークン記憶部、６０ 復号鍵生成装置、６１ プロセッサ、６２ メモリ、６３ ストレージ、６４ 通信インタフェース、６５ 電子回路、６１１ ユーザ秘密鍵取得部、６１２ トークン取得部、６１３ 復号鍵生成部、６１４ 送信部、６３１ ユーザ秘密鍵記憶部、６３２ トークン記憶部、７０ 秘匿分析装置、７１ プロセッサ、７２ メモリ、７３ ストレージ、７４ 通信インタフェース、７５ 電子回路、７１１ 暗号文取得部、７１２ 復号鍵取得部、７１３ 復号部、７１４ 送信部、７３１ 暗号文記憶部、７３２ 復号鍵記憶部。

Claims (4)

1. １以上の整数ｎに関して、ｉ＝１，．．．，ｎの各整数ｉについて、ベクトルｕ _ｉ である暗号化トークンｅｔｋ _ｉ と情報ｘ _ｉ との和ｍ _ｉ が暗号化された暗号文ｃｔ _ｉ を取得する暗号文取得部と、
   前記各整数ｉについてのベクトルｕ _ｉ を含む復号トークンｄｔｋと、前記各整数ｉについての情報ｙ _ｉ が設定されたユーザ秘密鍵ｓｋ _ｉ とを用いて生成された復号鍵ｄｋであって、前記各整数ｉについて前記ベクトルｕ _ｉ と前記情報ｙ _ｉ との内積の和ｚを含む復号鍵ｄｋを取得する復号鍵取得部と、
   暗号文に設定された情報と、ユーザ秘密鍵に設定された情報との内積を計算可能な暗号方式における復号アルゴリズムを用いて、前記各整数ｉについての暗号文ｃｔ _ｉ を復号して復号データＤ _ｉ を生成し、前記各整数ｉについての復号データＤ _ｉ の和から、前記復号鍵ｄｋに含まれる前記和ｚを減じて、前記各整数ｉについての前記情報ｘ _ｉ と前記情報ｙ _ｉ との内積の和を計算する復号部と
   を備える秘匿分析装置。
2. １以上の整数ｎに関して、ｉ＝１，．．．，ｎの各整数ｉについて、ベクトルｕ _ｉ である暗号化トークンｅｔｋ _ｉ と情報ｘ _ｉ との和ｍ _ｉ を暗号化した暗号文ｃｔ _ｉ を生成する暗号化装置と、
   前記各整数ｉについてのベクトルｕ _ｉ を含む復号トークンｄｔｋと、前記各整数ｉについての情報ｙ _ｉ が設定されたユーザ秘密鍵ｓｋ _ｉ とを用いて、前記各整数ｉについて前記ベクトルｕ _ｉ と前記情報ｙ _ｉ との内積の和ｚを含む復号鍵ｄｋを生成する復号鍵生成装置と、
   暗号文に設定された情報と、ユーザ秘密鍵に設定された情報との内積を計算可能な暗号方式における復号アルゴリズムを用いて、前記暗号化装置によって生成された前記各整数ｉについての暗号文ｃｔ _ｉ を復号して復号データＤ _ｉ を生成し、前記各整数ｉについての復号データＤ _ｉ の和から、前記復号鍵生成装置によって生成された前記復号鍵ｄｋに含まれる前記和ｚを減じて、前記各整数ｉについての前記情報ｘ _ｉ と前記情報ｙ _ｉ との内積の和を計算する秘匿分析装置と
   を備える秘匿分析システム。
3. 秘匿分析装置における暗号文取得部が、１以上の整数ｎに関して、ｉ＝１，．．．，ｎの各整数ｉについて、ベクトルｕ _ｉ である暗号化トークンｅｔｋ _ｉ と情報ｘ _ｉ との和ｍ _ｉ が暗号化された暗号文ｃｔ _ｉ を取得し、
   前記秘匿分析装置における復号鍵取得部が、前記各整数ｉについてのベクトルｕ _ｉ を含む復号トークンｄｔｋと、前記各整数ｉについての情報ｙ _ｉ が設定されたユーザ秘密鍵ｓｋ _ｉ とを用いて生成された復号鍵ｄｋであって、前記各整数ｉについて前記ベクトルｕ _ｉ と前記情報ｙ _ｉ との内積の和ｚを含む復号鍵ｄｋを取得し、
   前記秘匿分析装置における復号部が、暗号文に設定された情報と、ユーザ秘密鍵に設定された情報との内積を計算可能な暗号方式における復号アルゴリズムを用いて、前記各整数ｉについての暗号文ｃｔ _ｉ を復号して復号データＤ _ｉ を生成し、前記各整数ｉについての復号データＤ _ｉ の和から、前記復号鍵ｄｋに含まれる前記和ｚを減じて、前記各整数ｉについての前記情報ｘ _ｉ と前記情報ｙ _ｉ との内積の和を計算する秘匿分析方法。
4. 暗号文取得部が、１以上の整数ｎに関して、ｉ＝１，．．．，ｎの各整数ｉについて、ベクトルｕ _ｉ である暗号化トークンｅｔｋ _ｉ と情報ｘ _ｉ との和ｍ _ｉ が暗号化された暗号文ｃｔ _ｉ を取得する暗号文取得処理と、
   復号鍵取得部が、前記各整数ｉについてのベクトルｕ _ｉ を含む復号トークンｄｔｋと、前記各整数ｉについての情報ｙ _ｉ が設定されたユーザ秘密鍵ｓｋ _ｉ とを用いて生成された復号鍵ｄｋであって、前記各整数ｉについて前記ベクトルｕ _ｉ と前記情報ｙ _ｉ との内積の和ｚを含む復号鍵ｄｋを取得する復号鍵取得処理と、
   復号部が、暗号文に設定された情報と、ユーザ秘密鍵に設定された情報との内積を計算可能な暗号方式における復号アルゴリズムを用いて、前記各整数ｉについての暗号文ｃｔ _ｉ を復号して復号データＤ _ｉ を生成し、前記各整数ｉについての復号データＤ _ｉ の和から、前記復号鍵ｄｋに含まれる前記和ｚを減じて、前記各整数ｉについての前記情報ｘ _ｉ と前記情報ｙ _ｉ との内積の和を計算する復号処理と
   を行う秘匿分析装置としてコンピュータに機能させる秘匿分析プログラム。

Images