JP7016458B2 - 秘匿検索システム、秘匿検索方法、及び、秘匿検索プログラム - Google Patents

Description

本開示は、秘匿検索システム、秘匿検索方法、及び、秘匿検索プログラムに関する。

秘匿検索とは、暗号化データを暗号化したまま検索する技術である。つまり、秘匿検索は、暗号化データを復号せずに検索する技術である。

近年、秘匿検索は、クラウドサービスにおいて、機密情報を守るためのセキュリティ技術として注目されている。秘匿検索によれば、サーバ管理者又はマルウェア等により機密情報を傍受されることを防ぐことができる。つまり、秘匿検索は、インターネットにおいてデータを安全に管理するためのセキュリティ技術として注目されている。

秘匿検索には、共通鍵方式と公開鍵方式との２種類が存在する。
共通鍵方式では、共通鍵暗号技術が利用され、かつ、登録者及び検索者が限定される。
公開鍵方式では、公開鍵暗号技術が利用され、かつ、検索者は限定されるが登録者は限定されない。

特許文献１は、マルチユーザ型の共通鍵方式を開示している。本方式において、登録者は、検索者毎に異なる登録用の秘密鍵を使用することにより、データを暗号化する。

国際公開第２０１９／１４２６５１号

特許文献１で開示されている共通鍵方式を用いる場合、暗号化データを検索することに要する時間は、データ管理装置に登録されている暗号化タグの件数に依存する。また、この場合、検索を高速化することに活用することができる索引を構成することができない。そのため、登録されている暗号化タグの件数が多い場合、高速に暗号化データを検索することができないという課題がある。

本開示は、マルチユーザ型の共通鍵方式を採用する秘匿検索システムにおいて、検索者がデータ管理装置に登録されているデータを比較的高速に検索することができるようにすることを目的とする。

本開示の秘匿検索システムは、
登録キーワードと、前記登録キーワードを検索する権限を有する権限者が有すべき属性を示す権限者属性情報と、前記登録キーワードに対応する登録キーワード索引を暗号化する索引開示鍵とを記憶している登録データ記憶部と、
前記登録キーワードと、前記権限者属性情報と、前記登録キーワードを検索する検索者が有する属性を示す検索者属性情報が組み込まれたユーザ鍵を生成するユーザ鍵関数と、前記ユーザ鍵が組み込まれた検索クエリであって、前記検索者が前記登録キーワードを検索する検索キーワードに対応する検索クエリを生成する検索クエリ関数と、前記検索クエリが組み込まれた索引クエリであって、前記登録キーワード索引を検索する索引クエリを生成する索引クエリ関数とを用いて前記登録キーワード索引を生成する索引生成部と、
前記索引開示鍵を用いて前記登録キーワード索引を暗号化することにより暗号化索引を生成する暗号化索引生成部と
を備える登録装置を備える。

本開示の秘匿検索システムによれば、暗号化索引生成部が暗号化索引を生成する。暗号化索引は、登録キーワードに対応している。登録キーワードは、データ管理装置に登録されているデータに対応するものであってもよい。そのため、検索者は、暗号化索引を活用して登録キーワードを検索することにより、データ管理装置に登録されているデータを比較的高速に検索することができる。

実施の形態１における秘匿検索システム１００の構成図。 実施の形態１におけるマスター鍵装置２００の構成図。 実施の形態１における登録鍵装置３００の構成図。 実施の形態１における索引開示鍵装置４００の構成図。 実施の形態１における生成部４２０の構成図。 実施の形態１におけるユーザ鍵装置５００の構成図。 実施の形態１における生成部５２０の構成図。 実施の形態１における登録装置６００の構成図。 実施の形態１における生成部６２０の構成図。 実施の形態１における検索操作装置７００の構成図。 実施の形態１における生成部７２０の構成図。 実施の形態１におけるデータ管理装置８００の構成図。 実施の形態１における復号部８２０の構成図。 実施の形態１における検索部８４０の構成図。 実施の形態１におけるマスター鍵生成処理の動作を示すフローチャート。 実施の形態１における登録鍵生成処理の動作を示すフローチャート。 実施の形態１における索引開示鍵生成処理の動作を示すフローチャート。 実施の形態１におけるユーザ鍵生成処理の動作を示すフローチャート。 実施の形態１における属性情報を示す図。 実施の形態１におけるデータ登録処理の動作を示すフローチャート。 実施の形態１における登録データベース８９２を示す図。 実施の形態１における索引開示処理の動作を示すフローチャート。 実施の形態１における索引開示後データベース８９３を示す図。 実施の形態１における検索操作処理の動作を示すフローチャート。 実施の形態１におけるデータ検索処理の動作を示すフローチャート。 実施の形態１におけるデータ削除処理の動作を示すフローチャート。 実施の形態１の変形例におけるマスター鍵装置２００のハードウェア構成図。 実施の形態１の変形例における登録鍵装置３００のハードウェア構成図。 実施の形態１の変形例における索引開示鍵装置４００のハードウェア構成図。 実施の形態１の変形例におけるユーザ鍵装置５００のハードウェア構成図。 実施の形態１の変形例における登録装置６００のハードウェア構成図。 実施の形態１の変形例における検索操作装置７００のハードウェア構成図。 実施の形態１の変形例におけるデータ管理装置８００ハードウェア構成図。

実施の形態の説明及び図面において、同じ要素及び対応する要素には同じ符号を付している。同じ符号が付された要素の説明は、適宜に省略又は簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。

実施の形態１．
まず、秘匿検索における、登録者と検索者とデータ管理装置とのそれぞれの処理を簡単に説明する。
登録者は、暗号化データを登録するユーザである。登録者は、データを登録する装置を含んでもよい。
検索者は、暗号化データを検索するユーザである。検索者は、データを検索する装置を含んでもよい。
データ管理装置は、暗号化データを保管している装置である。

登録者が実行する基本的な処理は、以下の通りである。
まず、登録者は、登録するデータを暗号化することにより暗号化データを生成する。
次に、登録者は、暗号化データを検索するための登録キーワードを生成する。
次に、登録者は、登録キーワードを暗号化する。暗号化された登録キーワードを暗号化タグという。暗号化タグには、登録キーワード以外のデータが組み込まれていてもよい。暗号化タグに基づいて登録キーワードを推測することは困難である。
次に、登録者は、暗号化タグを暗号化データに関連付ける。暗号化タグの数は１つである必要はない。即ち、登録者は、複数の暗号化タグを暗号化データに関連付けてもよい。
そして、登録者は、暗号化データと暗号化タグとをデータ管理装置に登録する。

検索者が実行する基本的な処理は、以下の通りである。
まず、検索者は、検索することに用いる検索キーワードを選ぶ。
次に、検索者は、秘密鍵を用いて検索キーワードを暗号化する。秘密鍵には、検索者の情報が組み込まれている。暗号化された検索キーワードを検索クエリという。検索クエリには、検索キーワード以外のデータが組み込まれていてもよい。検索クエリに基づいて秘密鍵又は検索キーワード等を推測することは困難である。
次に、検索者は、検索クエリをデータ管理装置に送信することによって、データ管理装置に検索キーワードに対応するデータを検索することを要求する。
そして、検索者は、検索クエリに対応する暗号化データをデータ管理装置から受け取る。

データ管理装置が実行する基本的な処理は、以下の通りである。
データ管理装置には、暗号化データと暗号化タグとの組が少なくとも１つ登録されている。
まず、データ管理装置は、検索クエリを受け取る。
次に、データ管理装置は、特殊な演算を実行することによって、検索クエリに対応する暗号化タグを選択する。特殊な演算は、暗号化タグを復号せずに、検索キーワードを各暗号化タグに対応する登録キーワードと比較するための演算である。
そして、データ管理装置は、選択した暗号化タグに関連付けられた暗号化データを検索者に送信する。

暗号化タグには、検索することを許可された検索者である権限者を示す情報が組み込まれていてもよい。具体例として、暗号化タグには、検索者Ａのみが検索できることを示す情報が組み込まれているものとする。検索者Ｂが検索者Ｂに対応する秘密鍵を使ってこの暗号化タグに組み込まれた登録キーワードと一致する検索キーワードを用いて検索クエリを生成し、かつ、この検索クエリを用いて暗号化データを検索する場合を考える。この場合、データ管理装置は、暗号化タグに対応する検索者と、検索クエリに対応する検索者とが一致していないと判定する。

以下、本実施の形態について、図面を参照しながら詳細に説明する。
本実施の形態に係る秘匿検索システム１００は、マルチユーザ型の共通鍵暗号方式を用いて索引を生成し、生成した索引を暗号化し、暗号化した索引を復号し、復号した索引を用いることによって、秘匿検索を行う。

＊＊＊構成の説明＊＊＊
図１は、秘匿検索システム１００の構成例を示している。
秘匿検索システム１００は、本図に示すように、マスター鍵装置２００と、登録鍵装置３００と、索引開示鍵装置４００と、ユーザ鍵装置５００と、登録装置６００と、検索操作装置７００と、データ管理装置８００とを備える。秘匿検索システムは、本図に示す少なくとも１つの装置から成ってもよい。
秘匿検索システム１００が備える各装置は、ネットワーク１０１を介して互いに接続されている。秘匿検索システム１００が備える少なくとも１つの装置は、他の全ての装置と接続されていなくてもよい。

図２は、本実施の形態に係るマスター鍵装置２００の構成例を示している。
マスター鍵装置２００は、本図に示すように、プロセッサ２０１と、メモリ２０２と、補助記憶装置２０３と、入出力インタフェース２０４と、通信装置２０５と等のハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ２０１は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であり、コンピュータが備えるハードウェアを制御する。プロセッサ２０１は、具体例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、又はＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

メモリ２０２は、典型的には、揮発性の記憶装置である。メモリ２０２は、主記憶装置又はメインメモリとも呼ばれる。メモリ２０２は、具体例として、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。メモリ２０２に記憶されたデータは、必要に応じて補助記憶装置２０３に保存される。

補助記憶装置２０３は、典型的には、不揮発性の記憶装置である。補助記憶装置２０３は、具体例として、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、又はフラッシュメモリである。補助記憶装置２０３に記憶されたデータは、必要に応じてメモリ２０２にロードされる。

入出力インタフェース２０４は、入力装置及び出力装置が接続されるポートである。入出力インタフェース２０４は、具体例として、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）端子である。入力装置は、具体例として、キーボード及びマウスである。出力装置は、具体例として、ディスプレイである。

通信装置２０５は、レシーバ及びトランスミッタである。通信装置２０５は、具体例として、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。

マスター鍵装置２００は、受付部２１０と、生成部２２０と、出力部２３０と等の要素を備える。これらの要素は、ソフトウェアにより実現される。

補助記憶装置２０３は、マスター鍵プログラムを記憶している。マスター鍵プログラムは、受付部２１０と、生成部２２０と、出力部２３０と、記憶部２９１との機能をコンピュータに実現させるプログラムである。マスター鍵プログラムは、メモリ２０２にロードされて、プロセッサ２０１によって実行される。
補助記憶装置２０３は、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を記憶している。ＯＳの少なくとも一部は、メモリ２０２にロードされて、プロセッサ２０１によって実行される。つまり、プロセッサ２０１は、ＯＳを実行しながら、マスター鍵プログラムを実行する。

マスター鍵プログラムを実行して得られるデータは、メモリ２０２、補助記憶装置２０３、プロセッサ２０１内のレジスタ、又はプロセッサ２０１内のキャッシュメモリ等の記憶装置に記憶される。

補助記憶装置２０３は、記憶部２９１として機能する。補助記憶装置２０３以外の記憶装置の少なくとも一部が、補助記憶装置２０３の代わりに、又は、補助記憶装置２０３と共に、記憶部２９１として機能してもよい。

マスター鍵装置２００は、プロセッサ２０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ２０１の役割を分担する。

本明細書に記載されている各プログラムは、コンピュータで読み取り可能に不揮発性の記録媒体に記録（格納）されていてもよい。不揮発性の記録媒体は、具体例として、光ディスク又はフラッシュメモリである。

図３は、本実施の形態に係る登録鍵装置３００の構成例を示している。
登録鍵装置３００は、本図に示すように、本図に示すように、プロセッサ３０１と、メモリ３０２と、補助記憶装置３０３と、入出力インタフェース３０４と、通信装置３０５と等のハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ３０１は、プロセッサ２０１と同様である。メモリ３０２は、メモリ２０２と同様である。補助記憶装置３０３は、補助記憶装置２０３と同様である。入出力インタフェース３０４は、入出力インタフェース２０４と同様である。通信装置３０５は、通信装置２０５と同様である。

登録鍵装置３００は、受付部３１０と、生成部３２０と、出力部３３０と等の要素を備える。これらの要素は、ソフトウェアにより実現される。

補助記憶装置３０３は、登録鍵プログラムを記憶している。登録鍵プログラムは、受付部３１０と、生成部３２０と、出力部３３０と、記憶部３９１との機能をコンピュータに実現させるプログラムである。登録鍵プログラムは、メモリ３０２にロードされて、プロセッサ３０１によって実行される。
補助記憶装置３０３は、ＯＳを記憶している。ＯＳの少なくとも一部は、メモリ３０２にロードされて、プロセッサ３０１によって実行される。つまり、プロセッサ３０１は、ＯＳを実行しながら、登録鍵プログラムを実行する。

登録鍵プログラムを実行して得られるデータは、メモリ３０２、補助記憶装置３０３、プロセッサ３０１内のレジスタ、又はプロセッサ３０１内のキャッシュメモリ等の記憶装置に記憶される。

補助記憶装置３０３は、記憶部３９１として機能する。補助記憶装置３０３以外の記憶装置の少なくとも一部が、補助記憶装置３０３の代わりに、又は、補助記憶装置３０３と共に、記憶部３９１として機能してもよい。

登録鍵装置３００は、プロセッサ３０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ３０１の役割を分担する。

図４は、本実施の形態に係る索引開示鍵装置４００の構成例を示している。
索引開示鍵装置４００は、本図に示すように、プロセッサ４０１と、メモリ４０２と、補助記憶装置４０３と、入出力インタフェース４０４と、通信装置４０５と等のハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ４０１は、プロセッサ２０１と同様である。メモリ４０２は、メモリ２０２と同様である。補助記憶装置４０３は、補助記憶装置２０３と同様である。入出力インタフェース４０４は、入出力インタフェース２０４と同様である。通信装置４０５は、通信装置２０５と同様である。

索引開示鍵装置４００は、受付部４１０と、生成部４２０と、出力部４３０と等の要素を備える。これらの要素は、ソフトウェアによって実現される。

補助記憶装置４０３は、索引開示鍵プログラムを記憶している。索引開示鍵プログラムは、受付部４１０と、生成部４２０と、出力部４３０と、記憶部４９１との機能をコンピュータに実現させるプログラムである。索引開示鍵プログラムは、メモリ４０２にロードされて、プロセッサ４０１によって実行される。
補助記憶装置４０３は、ＯＳを記憶している。ＯＳの少なくとも一部は、メモリ４０２にロードされて、プロセッサ４０１によって実行される。つまり、プロセッサ４０１は、ＯＳを実行しながら、索引開示鍵プログラムを実行する。

索引開示鍵プログラムを実行して得られるデータは、メモリ４０２、補助記憶装置４０３、プロセッサ４０１内のレジスタ、又はプロセッサ４０１内のキャッシュメモリ等の記憶装置に記憶される。

補助記憶装置４０３は、記憶部４９１として機能する。補助記憶装置４０３以外の記憶装置の少なくとも一部が、補助記憶装置４０３の代わりに、又は、補助記憶装置４０３と共に、記憶部４９１として機能してもよい。

索引開示鍵装置４００は、プロセッサ４０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ４０１の役割を分担する。

図５は、生成部４２０の構成例を示している。
生成部４２０は、本図に示すように、索引開示鍵生成部４２１を備える。

図６は、本実施の形態に係るユーザ鍵装置５００の構成例を示している。
ユーザ鍵装置５００は、本図に示すように、プロセッサ５０１と、メモリ５０２と、補助記憶装置５０３と、入出力インタフェース５０４と、通信装置５０５と等のハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ５０１は、プロセッサ２０１と同様である。メモリ５０２は、メモリ２０２と同様である。補助記憶装置５０３は、補助記憶装置２０３と同様である。入出力インタフェース５０４は、入出力インタフェース２０４と同様である。通信装置５０５は、通信装置２０５と同様である。

ユーザ鍵装置５００は、受付部５１０と、生成部５２０と、出力部５３０と等の要素を備える。これらの要素は、ソフトウェアによって実現される。

補助記憶装置５０３は、ユーザ鍵プログラムを記憶している。ユーザ鍵プログラムは、受付部５１０と、生成部５２０と、出力部５３０と、記憶部５９１との機能をコンピュータに実現させるプログラムである。ユーザ鍵プログラムは、メモリ５０２にロードされて、プロセッサ５０１によって実行される。
補助記憶装置５０３は、ＯＳを記憶している。ＯＳの少なくとも一部は、メモリ５０２にロードされて、プロセッサ５０１によって実行される。つまり、プロセッサ５０１は、ＯＳを実行しながら、ユーザ鍵プログラムを実行する。

ユーザ鍵プログラムを実行して得られるデータは、メモリ５０２、補助記憶装置５０３、プロセッサ５０１内のレジスタ、又はプロセッサ５０１内のキャッシュメモリ等の記憶装置に記憶される。

補助記憶装置５０３は、記憶部５９１として機能する。補助記憶装置５０３以外の記憶装置の少なくとも一部が、補助記憶装置５０３の代わりに、又は、補助記憶装置５０３と共に、記憶部５９１として機能してもよい。

ユーザ鍵装置５００は、プロセッサ５０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ５０１の役割を分担する。

出力部５３０は、ユーザデータ出力部とも呼ばれる。出力部５３０は、ユーザ鍵を検索操作装置７００に出力する。ユーザ鍵ＵＫは、検索者属性情報が組み込まれた鍵である。検索者属性情報は、登録キーワードＷを検索する検索者が有する属性を示す情報であり、かつ、属性情報とも呼ばれる。

記憶部５９１は、ユーザデータ記憶部とも呼ばれる。記憶部５９１は、検索者属性情報を記憶していてもよい。

図７は、生成部５２０の構成例を示している。
生成部５２０は、本図に示すように、ユーザ鍵生成部５２１を備える。

ユーザ鍵生成部５２１は、検索者属性情報と、ユーザ鍵関数とを用いてユーザ鍵ＵＫを生成する。

図８は、本実施の形態に係る登録装置６００の構成例を示している。
登録装置６００は、本図に示すように、プロセッサ６０１と、メモリ６０２と、補助記憶装置６０３と、入出力インタフェース６０４と、通信装置６０５と等のハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ６０１は、プロセッサ２０１と同様である。メモリ６０２は、メモリ２０２と同様である。補助記憶装置６０３は、補助記憶装置２０３と同様である。入出力インタフェース６０４は、入出力インタフェース２０４と同様である。通信装置６０５は、通信装置２０５と同様である。

登録装置６００は、受付部６１０と、生成部６２０と、登録部６３０と、出力部６４０と等の要素を備える。これらの要素は、ソフトウェアによって実現される。

補助記憶装置６０３は、登録プログラムを記憶している。登録プログラムは、受付部６１０と、生成部６２０と、登録部６３０と、出力部６４０と、記憶部６９１との機能をコンピュータに実現させるプログラムである。登録プログラムは、メモリ６０２にロードされて、プロセッサ６０１によって実行される。
補助記憶装置６０３は、ＯＳを記憶している。ＯＳの少なくとも一部は、メモリ６０２にロードされて、プロセッサ６０１によって実行される。つまり、プロセッサ６０１は、ＯＳを実行しながら、登録プログラムを実行する。

登録プログラムを実行して得られるデータは、メモリ６０２、補助記憶装置６０３、プロセッサ６０１内のレジスタ、又はプロセッサ６０１内のキャッシュメモリ等の記憶装置に記憶される。

補助記憶装置６０３は、記憶部６９１として機能する。但し、補助記憶装置６０３以外の記憶装置の少なくとも一部が、補助記憶装置６０３の代わりに、又は、補助記憶装置６０３と共に、記憶部６９１として機能してもよい。

登録装置６００は、プロセッサ６０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ６０１の役割を分担する。

出力部６４０は、登録データ出力部とも呼ばれる。出力部６４０は、暗号化タグＣＴをデータ管理装置８００に出力し、かつ、暗号化索引ＥＩをデータ管理装置８００に出力する。

記憶部６９１は、登録データ記憶部とも呼ばれる。記憶部６９１は、登録キーワードＷと、権限者属性情報と、索引開示鍵ＩＫとを記憶していてもよい。権限者属性情報は、登録キーワードＷを検索する権限を有する権限者が有すべき属性を示す情報であり、かつ、属性情報とも呼ばれる。権限者属性情報は、ワイルドカードを含んでいてもよい。権限者属性情報におけるワイルドカードは、検索者属性情報に含まれる属性がどのようなものであっても検索者属性情報に対応する検索者に登録キーワードＷを検索することを許可することを示すデータである。登録キーワード索引は、登録装置６００がデータ管理装置８００に登録する暗号化データに対応する索引であり、かつ、索引Ｉとも呼ばれる。登録キーワード索引は、登録キーワードＷに対応する索引である。索引開示鍵ＩＫは、登録キーワード索引を暗号化する鍵である。索引開示鍵ＩＫは、前記暗号化索引の少なくとも一部を復号することができる鍵であってもよい。

図９は、生成部６２０の構成例を示している。
生成部６２０は、本図に示すように、暗号文データ生成部６２１と、キーワード生成部６２２と、中間タグ生成部６２３と、索引生成部６２４と、暗号化索引生成部６２５と、乱数生成部６２６と、暗号化タグ生成部６２７とを備える。

中間タグ生成部６２３は、権限者属性情報と、登録キーワードＷと、ユーザ鍵関数と、検索クエリ関数とを用いて、登録キーワードＷに対応する中間タグＭＴを生成する。ユーザ鍵関数は、ユーザ鍵ＵＫを生成することに用いられる関数である。検索クエリ関数は、検索クエリＳＱを生成することに用いられる関数である。検索クエリＳＱは、ユーザ鍵ＵＫが組み込まれており、かつ、検索キーワードｗに対応する。検索キーワードｗは、検索者が登録キーワードＷを検索する際に用いるキーワードである。
中間タグ生成部６２３は、ワイルドカードを中間タグＭＴに組み込んでもよい。

索引生成部６２４は、登録キーワードＷと、権限者属性情報と、ユーザ鍵関数と、検索クエリ関数と、索引クエリ関数とを用いて登録キーワード索引を生成する。索引クエリ関数は、索引クエリＩＱ又は部分索引クエリＩＱ′を生成することに用いられる関数である。索引クエリＩＱは、検索クエリＳＱが組み込まれており、かつ、登録キーワード索引を検索することに用いられるデータである。
索引生成部６２４は、中間タグＭＴを用いて登録キーワード索引を生成してもよい。

暗号化索引生成部６２５は、索引開示鍵ＩＫを用いて登録キーワード索引を暗号化することにより暗号化索引ＥＩを生成する。

乱数生成部６２６は、乱数を暗号化タグ乱数として生成する。

暗号化タグ生成部６２７は、中間タグＭＴと、暗号化タグ乱数と、暗号化タグ関数とを用いて暗号化タグＣＴを生成する。暗号化タグ関数は、登録キーワードＷが組み込まれた暗号化タグを生成することに用いられる。
暗号化タグ生成部６２７は、登録キーワードＷと、暗号化タグ乱数と、暗号化タグ関数と、照合子関数とを用いて暗号化タグ照合子を生成する。暗号化タグ生成部６２７は、暗号化タグ乱数と、暗号化タグ照合子を暗号化タグＣＴに結合してもよい。照合子関数は、暗号化タグＣＴに対応する暗号化タグ照合子を生成することに用いられる関数である。

図１０は、本実施の形態に係る検索操作装置７００の構成例を示している。
検索操作装置７００は、本図に示すように、プロセッサ７０１と、メモリ７０２と、補助記憶装置７０３と、入出力インタフェース７０４と、通信装置７０５と等のハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ７０１は、プロセッサ２０１と同様である。メモリ７０２は、メモリ２０２と同様である。補助記憶装置７０３は、補助記憶装置２０３と同様である。入出力インタフェース７０４は、入出力インタフェース２０４と同様である。通信装置７０５は、通信装置２０５と同様である。

検索操作装置７００は、受付部７１０と、生成部７２０と、要求部７３０と、復号部７４０と、出力部７５０と等の要素を備える。これらの要素は、ソフトウェアによって実現される。

補助記憶装置７０３は、検索操作プログラムを記憶している。検索操作プログラムは、受付部７１０と、生成部７２０と、要求部７３０と、復号部７４０と、出力部７５０と、記憶部７９１との機能をコンピュータに実現させるプログラムである。検索操作プログラムは、メモリ７０２にロードされて、プロセッサ７０１によって実行される。
補助記憶装置７０３は、ＯＳを記憶している。ＯＳの少なくとも一部は、メモリ７０２にロードされて、プロセッサ７０１によって実行される。つまり、プロセッサ７０１は、ＯＳを実行しながら、検索操作プログラムを実行する。

検索操作プログラムを実行して得られるデータは、メモリ７０２、補助記憶装置７０３、プロセッサ７０１内のレジスタ、又はプロセッサ７０１内のキャッシュメモリ等の記憶装置に記憶される。

補助記憶装置７０３は、記憶部７９１として機能する。補助記憶装置７０３以外の記憶装置の少なくとも一部が、補助記憶装置７０３の代わりに、又は、補助記憶装置７０３と共に、記憶部７９１として機能してもよい。

検索操作装置７００は、プロセッサ７０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ７０１の役割を分担する。

受付部７１０は、検索データ受付部とも呼ばれる。受付部７１０は、ユーザ鍵ＵＫを受け付け、かつ、ユーザ鍵ＵＫを記憶部７９１に記憶させる。

出力部７５０は、検索データ出力部とも呼ばれる。出力部７５０は、検索クエリＳＱと、索引クエリＩＱとをデータ管理装置８００に出力する。

記憶部７９１は、検索データ記憶部とも呼ばれる。記憶部７９１は、ユーザ鍵ＵＫと、検索キーワードｗとを記憶していてもよい。

図１１は、生成部７２０の構成例を示している。
生成部７２０は、本図に示すように、検索クエリ生成部７２１と、索引クエリ生成部７２２とを備える。

検索クエリ生成部７２１は、ユーザ鍵ＵＫと、検索キーワードｗと、検索クエリ関数とを用いて検索クエリＳＱを生成する。

索引クエリ生成部７２２は、検索クエリＳＱと、索引クエリ関数とを用いて索引クエリＩＱを生成する。

図１２は、本実施の形態に係るデータ管理装置８００の構成例を示している。
データ管理装置８００は、本図に示すように、プロセッサ８０１と、メモリ８０２と、補助記憶装置８０３と、入出力インタフェース８０４と、通信装置８０５と等のハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ８０１は、プロセッサ２０１と同様である。メモリ８０２は、メモリ２０２と同様である。補助記憶装置８０３は、補助記憶装置２０３と同様である。入出力インタフェース８０４は、入出力インタフェース２０４と同様である。通信装置８０５は、通信装置２０５と同様である。

データ管理装置８００は、受付部８１０と、復号部８２０と、登録部８３０と、検索部８４０と、出力部８５０と等の要素を備える。これらの要素は、ソフトウェアによって実現される。

補助記憶装置８０３は、データ管理プログラムを記憶している。データ管理プログラムは、受付部８１０と、復号部８２０と、登録部８３０と、検索部８４０と、出力部８５０と、記憶部８９１との機能をコンピュータに実現させるプログラムである。データ管理プログラムは、メモリ８０２にロードされて、プロセッサ８０１によって実行される。
補助記憶装置８０３は、ＯＳを記憶している。ＯＳの少なくとも一部は、メモリ８０２にロードされて、プロセッサ８０１によって実行される。つまり、プロセッサ８０１は、ＯＳを実行しながら、データ管理プログラムを実行する。

データ管理プログラムを実行して得られるデータは、メモリ８０２、補助記憶装置８０３、プロセッサ８０１内のレジスタ、又はプロセッサ８０１内のキャッシュメモリ等の記憶装置に記憶される。

補助記憶装置８０３は、記憶部８９１として機能する。補助記憶装置８０３以外の記憶装置の少なくとも一部が、補助記憶装置８０３の代わりに、又は、補助記憶装置８０３と共に、記憶部８９１として機能してもよい。

データ管理装置８００は、プロセッサ８０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ８０１の役割を分担する。

受付部８１０は、管理データ受付部とも呼ばれる。受付部８１０は、暗号化タグＣＴを受け付け、かつ、暗号化タグＣＴを記憶部８９１に記憶させる。受付部８１０は、暗号化索引ＥＩを受け付け、かつ、暗号化索引ＥＩを記憶部８９１に記憶させる。受付部８１０は、検索クエリＳＱと、索引クエリＩＱとを受け付け、かつ、検索クエリＳＱと、索引クエリＩＱとを記憶部８９１に記憶させる。

記憶部８９１は、管理データ記憶部とも呼ばれる。記憶部８９１は、検索クエリＳＱと、索引開示鍵ＩＫと、索引クエリＩＱと、索引開示位置情報Ｐｏｓとを記憶していてもよい。索引開示位置情報Ｐｏｓは、暗号化索引ＥＩの少なくとも一部に対応する位置であって、公開されている索引開示鍵ＩＫを用いて復号することが位置を示す情報である。公開されている索引開示鍵ＩＫを索引開示鍵ＩＫと呼んでもよい。公開されている索引開示鍵ＩＫは、暗号化索引ＥＩの少なくとも一部を復号することができる。公開されている索引開示鍵ＩＫは、索引開示鍵装置４００と登録装置６００とを除く装置が用いることができる索引開示鍵ＩＫである。

図１３は、復号部８２０の構成例を示している。
復号部８２０は、本図に示すように、暗号化索引復号部８２１を備える。

暗号化索引復号部８２１は、索引開示鍵ＩＫを用いて暗号化索引ＥＩを復号することによって、部分登録キーワード索引を生成する。部分登録キーワード索引は、登録キーワード索引の少なくとも一部である。

図１４は、検索部８４０の構成例を示している。
検索部８４０は、本図に示すように、索引照合部８４１と、暗号化タグ抽出部８４２と、暗号化タグ照合部８４３と、暗号文データ抽出部８４４とを備える。

索引照合部８４１は、部分索引クエリＩＱ′と、部分登録キーワード索引とが一致している場合に、登録キーワードＷ及び検索キーワードｗと、権限者属性情報及び検索者属性情報とがそれぞれ一致している可能性があると判定する。部分索引クエリＩＱ′は、索引クエリＩＱに含まれる情報であって、部分登録キーワード索引に対応する情報である。
索引照合部８４１は、索引クエリＩＱの内、索引開示位置情報Ｐｏｓに対応する部分を部分索引クエリＩＱ′とする。

暗号化タグ照合部８４３が実行する処理は、照合処理と呼ばれる。
暗号化タグ照合部８４３は、暗号化タグＣＴと、検索クエリＳＱと、暗号化タグＣＴに結合された暗号化タグ乱数と、暗号化タグ関数と、照合子関数とを用いて、判定用照合子を生成する。暗号化タグ照合部８４３は、判定用照合子と、暗号化タグに結合された暗号化タグ照合子とが等しい場合に、登録キーワードＷと、検索キーワードｗとが一致していると判定する。判定用照合子は、検索キーワードｗが登録キーワードＷと一致しているか否かを判定することに用いられるデータである。
暗号化タグ照合部８４３は、登録キーワードＷ及び検索キーワードｗと、権限者属性情報及び検索者属性情報とがそれぞれ一致している可能性があると索引照合部８４１が判定した場合に、照合処理を実行してもよい。

秘匿検索プログラムは、マスター鍵プログラムと、登録鍵プログラムと、索引開示鍵プログラムと、ユーザ鍵プログラムと、登録プログラムと、検索操作プログラムと、データ管理プログラムとの総称である。秘匿検索プログラムは、１つのプログラムであってもよく、複数のプログラムから構成されてもよい。秘匿検索プログラムを構成するプログラムの少なくとも１つは、プログラムプロダクトとして提供されてもよい。

＊＊＊動作の説明＊＊＊
マスター鍵装置２００の動作手順は、マスター鍵方法に相当する。また、マスター鍵装置２００の動作を実現するプログラムは、マスター鍵プログラムに相当する。
登録鍵装置３００の動作手順は、登録鍵方法に相当する。また、登録鍵装置３００の動作を実現するプログラムは、登録鍵プログラムに相当する。
索引開示鍵装置４００の動作手順は、索引開示鍵方法に相当する。また、索引開示鍵装置４００の動作を実現するプログラムは、索引開示鍵プログラムに相当する。
ユーザ鍵装置５００の動作手順は、ユーザ鍵方法に相当する。また、ユーザ鍵装置５００の動作を実現するプログラムは、ユーザ鍵プログラムに相当する。
登録装置６００の動作手順は、登録方法に相当する。また、登録装置６００の動作を実現するプログラムは、登録プログラムに相当する。
検索操作装置７００の動作手順は、検索操作方法に相当する。また、検索操作装置７００の動作を実現するプログラムは、検索操作プログラムに相当する。
データ管理装置８００の動作手順は、データ管理方法に相当する。また、データ管理装置８００の動作を実現するプログラムは、データ管理プログラムに相当する。
秘匿検索システム１００の動作手順は、秘匿検索方法に相当する。秘匿検索方法は、マスター鍵方法と、登録鍵方法と、索引開示鍵方法と、ユーザ鍵方法と、登録方法と、検索操作方法と、データ管理方法との総称である。

以下、秘匿検索システム１００の各装置の処理の具体例を説明する。以下に示す処理は、秘匿検索方法に含まれる処理である。
なお、以下において、秘匿検索システム１００が、特許文献１が開示するマルチユーザ型の共通鍵方式を用いる場合を説明する。しかし、秘匿検索システム１００は、別のマルチユーザ型の共通鍵方式を用いる場合においても、以下の例と同様に秘匿検索方法を実行することができる。

図１５は、マスター鍵生成処理の一例を示すフローチャートである。
マスター鍵生成処理は、マスター鍵装置２００によって実行される処理である。

（ステップＳ２０１：生成処理）
生成部２２０は、マスター鍵ＭＫを生成する。
生成部２２０は、具体例として、２５６ビットのランダムなビット列をマスター鍵ＭＫとして生成する。本例において、生成部２２０は、２５６ビットのマスター鍵ＭＫを生成する。

（ステップＳ２０２：保管処理）
生成部２２０は、マスター鍵ＭＫを記憶部２９１に記憶させる。その結果、マスター鍵ＭＫは、記憶部２９１に保管される。

（ステップＳ２０３：出力処理）
出力部２３０は、マスター鍵ＭＫを出力する。
出力部２３０は、具体例として、通信装置２０５を用いて、マスター鍵ＭＫを登録鍵装置３００へ送信する。

図１６は、登録鍵生成処理の一例を示すフローチャートである。
登録鍵生成処理は、登録鍵装置３００によって実行される処理である。

（ステップＳ３０１：受付処理）
受付部３１０は、マスター鍵ＭＫを受け付ける。
受付部３１０は、具体例として、通信装置３０５を用いて、マスター鍵装置２００からマスター鍵ＭＫを受信する。受付部３１０は、登録鍵装置３００に入力されたマスター鍵ＭＫを、入出力インタフェース３０４を介して受け付けてもよい。

（ステップＳ３０２：生成処理）
生成部３２０は、マスター鍵ＭＫを用いて登録鍵ＥＫを生成する。生成部３２０は、登録鍵ＥＫを生成するためにデータ鍵ＤＫとタグ鍵ＴＫとを生成する。

登録鍵ＥＫは、データ鍵ＤＫとタグ鍵ＴＫとの組である。即ち、登録鍵ＥＫは、以下のように表されてもよい。
ＥＫ ＝ （ＤＫ，ＴＫ）
登録鍵ＥＫは、データ鍵ＤＫとタグ鍵ＴＫとを含んでいる。

（ステップＳ３０３：保管処理）
生成部３２０は、登録鍵ＥＫを記憶部３９１に記憶させる。その結果、登録鍵ＥＫは、記憶部３９１に保管される。

（ステップＳ３０４：出力処理）
出力部３３０は、登録鍵ＥＫを出力する。
出力部３３０は、具体例として、通信装置３０５を用いて、索引開示鍵装置４００とユーザ鍵装置５００と登録装置６００とのそれぞれに登録鍵ＥＫを送信する。
出力部３３０は、登録装置６００に登録鍵ＥＫの代わりにタグ鍵ＴＫを送信してもよい。

図１７は、索引開示鍵生成処理の一例を示すフローチャートである。
索引開示鍵生成処理は、索引開示鍵装置４００によって実行される処理である。

（ステップＳ４０１：登録鍵受付処理）
受付部４１０は、登録鍵ＥＫを受け付ける。
受付部４１０は、具体例として、通信装置４０５を用いて、登録鍵装置３００から登録鍵ＥＫを受信する。受付部４１０は、索引開示鍵装置４００に入力された登録鍵ＥＫを、入出力インタフェース４０４を介して受け付けてもよい。

受付部４１０は、登録鍵ＥＫを記憶部４９１に記憶させる。その結果、登録鍵ＥＫは、記憶部４９１に保管される。

なお、記憶部４９１が登録鍵ＥＫを既に保管している場合、受付部４１０は、本ステップの処理を実行しなくてもよい。

（ステップＳ４０２：索引長受付処理）
受付部４１０は、索引長ＩＬＥＮを受け付ける。
受付部４１０は、具体例として、索引開示鍵装置４００に入力された索引長ＩＬＥＮを、入出力インタフェース４０４を介して受け付ける。受付部４１０は、索引長ＩＬＥＮをアプリケーションプログラムから受け付けてもよい。
索引長ＩＬＥＮは、１以上の整数であり、登録装置６００において生成される索引Ｉのデータ長をバイト単位で表した値である。具体例として、ＩＬＥＮ＝３２とすると、索引Ｉのデータ長は、３２バイト又は３２バイトに比例する値である。

なお、記憶部４９１が索引長ＩＬＥＮを既に記憶している場合、受付部４１０は、本ステップの処理を実行しなくてもよい。

（ステップＳ４０３：生成処理）
索引開示鍵生成部４２１は、タグ鍵ＴＫと索引長ＩＬＥＮとを用いて、索引開示鍵ＩＫを生成する。

索引開示鍵ＩＫは、ＩＬＥＮ個の索引開示部分鍵ＩＫ＿ｊを有する。索引開示鍵ＩＫの一部を索引開示鍵ＩＫと呼んでもよい。ｊは、１以上ＩＬＥＮ以下の整数である。即ち、索引開示鍵ＩＫは、以下のようにベクトル形式で表されてもよい。
ＩＫ ＝ （ＩＫ＿１，・・・，ＩＫ＿ＩＬＥＮ）

索引開示鍵生成部４２１は、索引開示部分鍵ＩＫ＿ｊを以下のように算出する。
まず、索引開示鍵生成部４２１は、タグ鍵ＴＫと番号ｊとを連結して連結値ＴＫ｜ｊを得る。ｘ｜ｙは、データｘのビット列とデータｙのビット列とを連結したデータのビット列が表す値を表す。連結することは、特に断りがない限り、ビット列を連結することを意味する。

次に、索引開示鍵生成部４２１は、連結値ＴＫ｜ｊを入力として関数Ｆ＿１を実行し、索引開示部分鍵ＩＫ＿ｊを得る。即ち、索引開示部分鍵ＩＫ＿ｊは、以下のように表されてもよい。
ＩＫ＿ｊ ＝ Ｆ＿１（ＴＫ｜ｊ）
関数Ｆ＿１は、どのような一方向性関数であってもよい。一方向性関数は、具体例として、擬似ランダム関数、ハッシュ関数、共通鍵暗号方式、又は公開鍵暗号方式である。

（ステップＳ４０４：保管処理）
生成部４２０は、索引開示鍵ＩＫを記憶部４９１に記憶させる。その結果、索引開示鍵ＩＫは、記憶部４９１に保管される。

（ステップＳ４０５：出力処理）
出力部４３０は、索引開示鍵ＩＫを出力する。
出力部４３０は、具体例として、通信装置４０５を用いて、索引開示鍵ＩＫを登録装置６００へ送信する。

図１８は、ユーザ鍵生成処理の一例を示すフローチャートである。
ユーザ鍵生成処理は、ユーザ鍵装置５００によって実行される処理である。

（ステップＳ５０１：登録鍵受付処理）
受付部５１０は、登録鍵ＥＫを受け付ける。
受付部５１０は、具体例として、通信装置５０５を用いて、登録鍵装置３００から登録鍵ＥＫを受信する。受付部５１０は、ユーザ鍵装置５００に入力された登録鍵ＥＫを、入出力インタフェース５０４を介して受け付けてもよい。
受付部５１０は、登録鍵ＥＫを記憶部５９１に記憶させる。その結果、登録鍵ＥＫは、記憶部５９１に保管される。

記憶部５９１が登録鍵ＥＫを既に保管している場合、受付部５１０は、本ステップの処理を実行しなくてもよい。

（ステップＳ５０２：属性情報受付処理）
受付部５１０は、属性情報Ａを受け付ける。属性情報Ａは、検索者属性情報に対応する。
受付部５１０は、具体例として、ユーザ鍵装置５００に入力された属性情報Ａを、入出力インタフェース５０４を介して受け付ける。受付部５１０は、属性情報Ａをアプリケーションプログラムから受け付けてもよい。

なお、記憶部５９１が属性情報Ａを既に記憶している場合、受付部５１０は、本ステップの処理を実行しなくてもよい。

属性情報は、検索者の属性をまとめた情報である。属性情報は、検索及び復号の権限制御に関わる情報である。検索者は、データ管理装置８００に登録されているデータを検索し得る利用者である。つまり、検索者は、検索操作装置７００の利用者又は検索操作装置７００を利用する可能性がある者である。検索者は、コンピュータ又はロボット等、人間以外のものであってもよい。検索者の属性は、検索者が有する性質又は検索者の識別情報等である。

検索者の属性は、具体例として、１以上の層から成る。以下、検索者の属性は、１以上の層から成るものとする。
属性情報は、各検索者の属性値を層ごとに示す。属性値は、属性情報の各値である。

図１９は、属性情報の具体例を示している。本例において、検索者の属性は、４層から成る。以下、本例を説明する。
１つの番号は、１つの検索者の分類に対応する。１つの番号が複数の検索者に対応することもある。
第１層の属性（第１属性）は、検索者が所属する事業部を示す。
第２層の属性（第２属性）は、検索者が所属する部を示す。
第３層の属性（第３属性）は、検索者が所属する課を示す。
第４層の属性（第４属性）は、検索者の氏名を示す。
番号１の属性情報は、Ｎｅさんの属性情報である。Ｎｅさんは、Ｄｉ事業部のＤｅ部のＳｃ課に所属する。
番号２の属性情報は、Ｎｆさんの属性情報である。Ｎｆさんは、Ｄｉ事業部のＤｅ部のＳｄ課に所属する。
番号３の属性情報は、Ｄｉ事業部のＤｅ部のＳｃ課に所属する検索者に対応する。番号３の第４属性は、ワイルドカード＊である。ワイルドカード＊は、属性値が限定されないことを表す。そのため、番号３に対応する属性情報は、検索者の氏名を限定しないことを示す。なお、ワイルドカード＊は、コンピュータにおいて、全てのビットが１の値、又は＊の文字コード等に置き換えられる。
番号４の属性情報は、Ｄｉ事業部のＤｅ部に所属する検索者に対応する。番号４の第３属性及び第４属性は、ワイルドカード＊である。そのため、番号４に対応する属性情報は、検索者の課及び氏名を限定しないことを示す。

本実施の形態において、検索者の属性情報は、Ｌ層から成るものとする。Ｌは、１以上の整数である。
属性情報Ａは、次のように表されてもよい。
Ａ ＝ （Ａ＿１，・・・，Ａ＿Ｌ）

（ステップＳ５０３：鍵生成処理）
ユーザ鍵生成部５２１は、データ鍵ＤＫと属性情報Ａとを用いて、ユーザデータ鍵ＵＤＫを生成する。
ユーザデータ鍵ＵＤＫは、具体例として、ユーザデータ部分鍵ＵＤＫ＿ｊと、フラグ値Ｄｂ＿ｊとを有する。ｊは、１以上Ｌ以下の整数である。

ユーザ鍵生成部５２１は、具体例として、ユーザデータ属性部分鍵ＵＤＫ＿ｊを以下のように算出する。
まず、ユーザ鍵生成部５２１は、属性値Ａ＿ｊと番号ｊとを連結して連結値Ａ＿ｊ｜ｊを得る。
次に、ユーザ鍵生成部５２１は、データ鍵ＤＫと連結値Ａ＿ｊ｜ｊとを入力として関数Ｆ＿２を実行し、ユーザデータ鍵ＵＤＫ＿ｊを得る。関数Ｆ＿２は、どのような一方向性関数であってもよい。

ユーザ鍵生成部５２１は、フラグ値Ｄｂ＿ｊを以下のように求める。
ユーザ鍵生成部５２１は、属性値Ａ＿ｊがワイルドカード＊であるか判定する。
ユーザ鍵生成部５２１は、属性値Ａ＿ｊがワイルドカード＊である場合、フラグ値Ｄｂ＿ｊを１とする。
ユーザ鍵生成部５２１は、属性値Ａ＿ｊがワイルドカード＊でない場合、フラグ値Ｄｂ＿ｊを０とする。
ユーザデータ鍵ＵＤＫは、以下のように表されてもよい。
ＵＤＫ ＝ （（ＵＤＫ＿１，Ｄｂ＿１），・・・，（ＵＤＫ＿Ｌ，Ｄｂ＿Ｌ））
Ｄｂ＿ｊ ＝ １ （Ａ＿ｊ＝＊である場合）
Ｄｂ＿ｊ ＝ ０ （Ａ＿ｊ≠＊である場合）
ＵＤＫ＿ｊ ＝ Ｆ＿２（ＤＫ，Ａ＿ｊ｜ｊ）

ユーザ鍵生成部５２１は、タグ鍵ＴＫと属性情報Ａとを用いて、ユーザタグ鍵ＵＴＫを生成する。ユーザタグ鍵ＵＴＫは、具体例として、ユーザタグ部分鍵ＵＴＫ＿ｊとフラグ値Ｔｂ＿ｊとを有する。
ユーザ鍵生成部５２１は、具体例として、関数Ｇ＿１を用いてユーザタグ鍵ＵＴＫを次のように生成する。関数Ｇ＿１は、具体例として、擬似ランダム関数、ハッシュ関数、又は暗号化モードＥＣＢ（Ｅｌｅｃｔｒｏｎｉｃ ＣｏｄｅＢｏｏｋ）を用いた共通鍵暗号方式の関数である。関数Ｇ＿１は、ユーザ鍵関数に対応する。
ＵＴＫ ＝ （（ＵＴＫ＿１，Ｔｂ＿１），・・・，（ＵＴＫ＿Ｌ，Ｔｂ＿Ｌ））
Ｔｂ＿ｊ ＝ １ （Ａ＿ｊ＝＊である場合）
Ｔｂ＿ｊ ＝ ０ （Ａ＿ｊ≠＊である場合）
ＵＴＫ＿ｊ ＝ Ｇ＿１（ＴＫ，Ａ＿ｊ｜ｊ）

（ステップＳ５０４：保管処理）
生成部５２０は、ユーザ鍵ＵＫを記憶部５９１に記憶させる。その結果、ユーザ鍵ＵＫは、記憶部５９１に保管される。
ユーザ鍵ＵＫは、ユーザデータ鍵ＵＤＫとユーザタグ鍵ＵＴＫとの組である。ユーザ鍵ＵＫは、属性情報Ａが組み込まれた鍵である。
ユーザ鍵ＵＫは、次のように表されてもよい。ユーザ鍵ＵＫの一部をユーザ鍵ＵＫと呼んでもよい。
ＵＫ＝（ＵＤＫ，ＵＴＫ）

（ステップＳ５０５：出力処理）
出力部５３０は、ユーザ鍵ＵＫを出力する。
出力部５３０は、具体例として、通信装置５０５を用いて、ユーザ鍵ＵＫを検索操作装置７００へ送信する。

図２０は、データ登録処理の動作の一例を示すフローチャートである。
データ登録処理は、登録装置６００と、データ管理装置８００とによって実行される処理である。

（ステップＳ６０１：登録鍵受付処理）
受付部６１０は、登録鍵ＥＫを受け付ける。
受付部６１０は、具体例として、通信装置６０５を用いて、登録鍵装置３００から登録鍵ＥＫを受信する。受付部６１０は、登録装置６００に入力された登録鍵ＥＫを、入出力インタフェース６０４を介して受け付けてもよい。
受付部６１０は、登録鍵ＥＫを記憶部６９１に記憶させる。その結果、登録鍵ＥＫは、記憶部６９１に保管される。
受付部６１０は、本ステップの処理の代わりに、本ステップ中の登録鍵ＥＫをタグ鍵ＴＫと読み替えた処理を実行してもよい。

なお、記憶部６９１が登録鍵ＥＫを既に保管している場合、受付部６１０は、本ステップの処理を実行しなくてもよい。

（ステップＳ６０２：索引開示鍵受付処理）
受付部６１０は、索引開示鍵ＩＫを受け付ける。
受付部６１０は、具体例として、通信装置６０５を用いて、索引開示鍵装置４００から索引開示鍵ＩＫを受信する。受付部６１０は、登録装置６００に入力された索引開示鍵ＩＫを、入出力インタフェース６０４を介して受け付けてもよい。
受付部６１０は、索引開示鍵ＩＫを記憶部６９１に記憶させる。索引開示鍵ＩＫは、記憶部６９１に記憶される。

なお、記憶部６９１が索引開示鍵ＩＫを既に保管している場合、受付部６１０は、本ステップの処理を実行しなくてもよい。

（ステップＳ６０３：データ受付処理）
受付部６１０は、平文Ｍと属性情報Ｂとを受け付ける。平文Ｍは、登録データに対応する。登録データは、データ管理装置８００に登録されているデータである。平文Ｍは、典型的には、暗号化されていないデータである。平文Ｍには、ファイル名Ｆｉｌｅ（Ｍ）がメタデータとして含まれる。ファイル名Ｆｉｌｅ（Ｍ）は、暗号化されていてもよい。属性情報Ｂは、権限者属性情報に対応する。
受付部６１０は、具体例として、登録装置６００に入力された平文Ｍと属性情報Ｂとを入出力インタフェース６０４を介して受け付ける。受付部６１０は、平文Ｍと属性情報Ｂとをアプリケーションプログラムから受け付けてもよい。

属性情報Ｂは、権限者の属性情報であり、権限者の各層の属性値を示す。属性情報Ｂは、属性情報Ａと同様に、検索及び復号の権限制御に関わる情報である。
権限者は、平文Ｍを参照する権限を有する利用者である。つまり、権限者は、検索者の一部である。
属性情報Ｂは、具体例として、属性情報Ａと同様に以下のように表されてもよい。
Ｂ ＝ （Ｂ＿１，・・・，Ｂ＿Ｌ）

（ステップＳ６０４：暗号文生成処理）
暗号文データ生成部６２１は、データ鍵ＤＫと平文Ｍと属性情報Ｂとを用いて、暗号文データＣを生成する。暗号文データＣは、平文Ｍのメタデータとしてファイル名Ｆｉｌｅ（Ｍ）を含む。
暗号文データ生成部６２１は、具体例として、参考文献１で開示された暗号方式、又は、ＩＤベース暗号等の属性ベース暗号を生成する方式を用いて、暗号文データＣを生成する。

［参考文献１］国際公開第２０１９／０５３７８８号

（ステップＳ６０５：登録キーワード生成処理）
キーワード生成部６２２は、平文Ｍに対応する登録キーワードＷを生成する。登録キーワードＷは、本ステップにおいて生成されたキーワードである。キーワード生成部６２２は、１つのキーワードを登録キーワードＷとして生成してもよいし、複数のキーワードを登録キーワードＷとして生成してもよい。
キーワード生成部６２２は、具体例として、平文Ｍが名前を含む場合、名前をそのまま１つのキーワードとして生成する。また、キーワード生成部６２２は、平文Ｍが文章である場合、その文章に対して形態素解析又は自然言語処理等を行い、その結果を用いて複数のキーワードを生成してもよい。
キーワード生成部６２２は、登録装置６００に入力されたキーワードを、入出力インタフェース６０４を介して受け付けてもよい。また、キーワード生成部６２２は、アプリケーションプログラムからキーワードを受け付けてもよい。

以下、簡単のため、キーワード生成部６２２が１つキーワードを生成したものとする。キーワード生成部６２２が複数のキーワードを生成した場合、登録装置６００は、以下の処理をキーワードの個数分繰り返して実行することにより、暗号化タグＣＴと、暗号化索引ＥＩと等を生成したキーワードの個数分生成すればよい。

（ステップＳ６０６：中間タグ生成処理）
中間タグ生成部６２３は、タグ鍵ＴＫと属性情報Ｂと登録キーワードＷとを用いて、中間タグＭＴを生成する。中間タグＭＴは、タグ鍵ＴＫと属性情報Ｂと登録キーワードＷとを入力として確定的関数を実行した結果得られる確定的データである。確定的関数は、入力値が確定的関数の定義域に属する値であれば、入力値がどのような値であっても、入力値に対応する出力値が常に同じである関数である。確定的関数は、出力値が確率的に定まらない関数である。つまり、同じ登録キーワードＷを使って生成された中間タグＭＴはいつも同じ値となる。確定的データは、確定的関数を実行して得られたデータである。即ち、確定的データは、確率的に定まるデータではない。
中間タグＭＴは、暗号化タグ生成部６２７が算出する暗号化タグＣＴを生成することに用いる一時データに相当する。

中間タグＭＴは、確定的関数Ｄ＿１を用いて以下のように生成される。
ＭＴ＝Ｄ＿１（ＴＫ，Ｂ，Ｗ）

ここで、参考文献１の例に基づいて、中間タグＭＴを説明する。
中間タグＭＴは、属性要素ＭＴ＿｛ｊ，０，Ｗ｝と、ワイルドカード要素ＭＴ＿｛ｊ，１，Ｗ｝とを有する。ｊは、１以上Ｌ以下の整数である。ここで、属性要素とワイルドカード要素とは、それぞれＬ個ある。そのため、中間タグＭＴは、２Ｌ個の要素を持つ。中間タグＭＴは、１人の権限者に対応する。

中間タグ生成部６２３は、属性要素ＭＴ＿｛ｊ，０，Ｗ｝を以下のように算出する。
まず、中間タグ生成部６２３は、属性値Ｂ＿ｊと番号ｊとを連結して連結値Ｂ＿ｊ｜ｊを得る。
次に、中間タグ生成部６２３は、タグ鍵ＴＫと連結値Ｂ＿ｊ｜ｊとを入力として関数Ｇ＿１を実行し、関数値Ｂ＿ｊ＾を得る。
次に、中間タグ生成部６２３は、関数値Ｂ＿ｊ＾と、登録キーワードＷとを入力として関数Ｇ＿２を実行し、関数値Ｂ＿ｊ＾＾を得る。
関数値Ｂ＿ｊ＾＾が、属性要素ＭＴ＿｛ｊ，０，Ｗ｝である。
なお、関数Ｇ＿２は、関数Ｇ＿１と同様である。関数Ｇ＿２は、検索クエリ関数に対応する。

中間タグ生成部６２３は、ワイルドカード要素ＭＴ＿｛ｊ，１，Ｗ｝を以下のように算出する。
まず、中間タグ生成部６２３は、ワイルドカード＊と、番号ｊとを連結して連結値＊＿ｊを得る。
次に、中間タグ生成部６２３は、タグ鍵ＴＫと連結値＊＿ｊとを入力として関数Ｇ＿１を実行し、関数値＊＿ｊ＾を得る。
次に、中間タグ生成部６２３は、関数値＊＿ｊ＾と登録キーワードＷとを入力として関数Ｇ＿２を実行し、関数値＊＿ｊ＾＾を得る。関数値＊＿ｊ＾＾がワイルドカード要素ＭＴ＿｛ｊ，１，Ｗ｝である。

中間タグＭＴは、以下のように表されてもよい。
ＭＴ ＝ （ＭＴ＿｛１，０，Ｗ｝，ＭＴ＿｛１，１，Ｗ｝，・・・，ＭＴ＿｛Ｌ，０，Ｗ｝，ＭＴ＿｛Ｌ，１，Ｗ｝）
ＭＴ＿｛ｊ，０，Ｗ｝ ＝ （Ｇ＿２（Ｇ＿１（ＴＫ，Ｂ＿ｊ｜ｊ），Ｗ）
ＭＴ＿｛ｊ，１，Ｗ｝ ＝ （Ｇ＿２（Ｇ＿１（ＴＫ，＊｜ｊ），Ｗ）
ｊは、１以上Ｌ以下の整数である。

（ステップＳ６０７：索引生成処理）
索引生成部６２４は、中間タグＭＴを用いて索引Ｉを生成する。
索引生成部６２４は、中間タグＭＴを入力として確定的関数を実行し、確定的関数の実行結果を索引Ｉとする。即ち、索引Ｉは確定的データである。

索引Ｉは、検索部８４０が検索処理を実行する前に用いるデータである。索引Ｉは、暗号化タグＣＴに含まれている登録キーワードＷと、検索クエリＳＱに含まれている検索キーワードｗとが一致する可能性があるか否かを、検索部８４０がチェックすることに用いるデータである。

索引Ｉについて、より具体的に説明する。
データ管理装置８００は、索引Ｉと、索引クエリＩＱとを比較することにより、登録キーワードＷと、検索キーワードｗとが一致する可能性があるか否かを高速に判断する。ここで、索引クエリＩＱは、索引クエリ生成部７２２が検索クエリＳＱと対応するよう生成したクエリである。索引クエリＩＱの一部を索引クエリＩＱと呼んでもよい。登録キーワードＷは、暗号化タグＣＴに含まれている。検索キーワードｗは、検索クエリに含まれている。
登録キーワードＷと検索キーワードｗとが一致する可能性があると判断された場合、暗号化タグ照合部８４３は、暗号化タグＣＴと、検索クエリＳＱとを照合する処理（以下、照合処理）を実行する。一方、登録キーワードＷと検索キーワードｗとが一致する可能性がないと判断された場合、暗号化タグ照合部８４３は、照合処理を実行しない。

一般に、照合処理に要する時間は長い。そのため、データ管理装置８００が不要な照合処理を実行しないことは望ましい。
データ管理装置８００は、照合処理において、データ管理装置８００に保管されている全ての暗号化タグＣＴに対して検索クエリＳＱを照合しない。その代わりに、データ管理装置８００は、索引Ｉと索引クエリＩＱとを使うことによって、検索キーワードｗと一致する登録キーワードＷを含む可能性のある暗号化タグＣＴを絞りこみ、絞りこんだ暗号化タグＣＴを用いて照合処理を実行する。そのため、データ管理装置８００は、暗号化タグＣＴを検索することに要する時間を削減することができる。

索引Ｉは、確定的関数Ｄ＿２を用いて以下のように生成される。確定的関数Ｄ＿２は、索引クエリ関数に対応する。
Ｉ ＝ Ｄ＿２（ＭＴ） ＝ （Ｉ＿１，・・・，Ｉ＿ＩＬＥＮ）
確定的関数Ｄ＿２は、長さＩＬＥＮのベクトル値を出力する。

例えば、登録キーワードＷ＝東京に対して、確定的関数Ｄ＿２が内部的に使う確定的関数Ｄ＿２´によって、中間タグＭＴ ＝ （ＭＴ＿｛１，０，Ｗ｝，ＭＴ＿｛１，１，Ｗ｝，・・・，ＭＴ＿｛Ｌ，０，Ｗ｝，ＭＴ＿｛Ｌ，１，Ｗ｝）が以下のように変換されたとする。
Ｄ＿２´（ＭＴ＿｛１，０，東京｝）＝１０・・・０１・・・１
Ｄ＿２´（ＭＴ＿｛１，１，東京｝）＝００・・・１１・・・０
・・・
Ｄ＿２´（ＭＴ＿｛Ｌ，０，東京｝）＝００・・・０１・・・０
Ｄ＿２´（ＭＴ＿｛Ｌ，１，東京｝）＝１１・・・１０・・・０

このとき、索引Ｉは、具体例として、以下のように構成される。
Ｉ ＝ （Ｉ＿１，・・・，Ｉ＿ＩＬＥＮ）
Ｉ＿１ ＝ （Ｉ＿１０＿１，Ｉ＿１１＿１，・・・，Ｉ＿Ｌ０＿１，Ｉ＿Ｌ１＿１）
＝ （１，０，・・・，０，１）
Ｉ＿２ ＝ （Ｉ＿１０＿２，Ｉ＿１１＿２，・・・，Ｉ＿Ｌ０＿２，Ｉ＿Ｌ１＿２）
＝ （０，０，・・・，０，１）
・・・
Ｉ＿ＩＬＥＮ ＝ （Ｉ＿１０＿ＩＬＥＮ，Ｉ＿１１＿ＩＬＥＮ，・・・，Ｉ＿Ｌ０＿ＩＬＥＮ，Ｉ＿Ｌ１＿ＩＬＥＮ）
＝ （０，１，・・・，０，１）
即ち、Ｉ＿１は、Ｄ＿２´（ＭＴ＿｛１，０，東京｝），・・・，Ｄ＿２´（ＭＴ＿｛Ｌ，１，東京｝）の１ビット目から構成される。同様に、Ｉ＿ＩＬＥＮは、Ｄ＿２´（ＭＴ＿｛１，０，東京｝），・・・，Ｄ＿２´（ＭＴ＿｛Ｌ，１，東京｝）のＩＬＥＮビット目から構成される。

上記の索引Ｉの構成は、一例である、索引Ｉは、他の構成でもよい。例えば、Ｉ＿１は、Ｄ＿２´（ＭＴ＿｛１，０，東京｝），・・・，Ｄ＿２´（ＭＴ＿｛Ｌ，１，東京｝）の１ビット目と２ビット目とから構成される。同様に、Ｉ＿ＩＬＥＮはＤ＿２´（ＭＴ＿｛１，０，東京｝），・・・，Ｄ＿２´（ＭＴ＿｛Ｌ，１，東京｝）の（２×ＩＬＥＮ－１）ビット目と（２×ＩＬＥＮ）ビット目から構成される。このように構成してもよい。

中間タグＭＴが暗号化関数によって確定的かつ安全に生成されている場合、索引Ｉは、中間タグＭＴの先頭１ビットからＩＬＥＮビット目までを使って構成されてもよい。即ち、中間タグＭＴは、以下のように構成されてもよい。
Ｄ＿２´（ＭＴ＿｛ｊ，ｂ，東京｝） ＝ ＭＴ＿｛ｊ，ｂ，東京｝ ＝ （Ｉ＿ｊｂ＿１，・・・，Ｉ＿ｊｂ＿ＩＬＥＮ，＊＿（ＩＬＥＮ＋１），・・・））
ｊは、１以上ＩＬＥＮ以下の整数である。ｂは、０又は１である。なお、索引生成部６２４は、この場合において、中間タグＭＴの（ＩＬＥＮ＋１）番目以降のベクトル要素値を無視して索引Ｉを生成する。

（ステップＳ６０８：暗号化索引生成処理）
暗号化索引生成部６２５は、索引開示鍵ＩＫを用いて索引Ｉを暗号化することにより、暗号化索引ＥＩを生成する。

暗号化索引生成部６２５は、ＡＥＳ－ＣＴＲ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ－Ｃｏｕｎｔｅｒ）又はＲＳＡ（登録商標）－ＯＡＥＰ（Ｒｉｖｅｓｔ－Ｓｈａｍｉｒ－Ａｄｌｅｍａｎ－Ｏｐｔｉｍａｌ Ａｓｙｍｍｅｔｒｉｃ Ｅｎｃｒｙｐｔｉｏｎ Ｐａｄｄｉｎｇ）等の確率的暗号化関数を用いて暗号化索引ＥＩを生成する。確率的暗号化は、以前と同じデータを暗号化した場合に、必ずしも同じ暗号化データが生成されないことを言う。

暗号化索引生成部６２５は、具体例として、確率的暗号化関数Ｅｎｃを用いて、暗号化索引ＥＩを以下のように生成する。
ＥＩ＝（ＥＩ＿１，・・・，ＥＩ＿ＩＬＥＮ）
ＥＩ＿１ ＝ Ｅｎｃ（ＩＫ＿１，Ｉ＿１）
・・・
ＥＩ＿ＩＬＥＮ ＝ Ｅｎｃ（ＩＫ＿ＩＬＥＮ，Ｉ＿ＩＬＥＮ）

（ステップＳ６０９：乱数生成処理）
乱数生成部６２６は、乱数ＴＲを生成する。乱数ＴＲは、暗号化タグ乱数に対応する。乱数ＴＲの少なくとも１つの要素を、暗号化タグ乱数と呼んでもよい。乱数生成部６２６は、乱数ＴＲをどのように生成してもよい。乱数ＴＲは、乱数の要素から成るベクトルであってもよい。乱数生成部６２６は、具体例として、乱数ＴＲとして一様乱数の要素から成るベクトルを生成する。
乱数生成部６２６は、暗号化タグ生成部６２７で暗号化タグＣＴを生成するために利用される方式によって、１つの乱数ＴＲを生成してもよい。乱数生成部６２６は、複数の乱数から成るＴＲを生成してもよい。

以下、乱数生成部６２６は、Ｌ＋１個の乱数から成る乱数ＴＲを生成するものとするＴＲ＝（Ｒ＿０，Ｒ＿１，・・・，Ｒ＿Ｌ）として説明する。

（ステップＳ６１０：暗号化タグ生成処理）
暗号化タグ生成部６２７は、タグ鍵ＴＫと、中間タグＭＴと、乱数ＴＲとを用いて暗号化タグＣＴを生成する。

暗号化タグ生成部６２７は、具体例として、中間タグＭＴ ＝ （ＭＴ＿｛１，０，Ｗ｝，ＭＴ＿｛１，１，Ｗ｝，・・・，ＭＴ＿｛Ｌ，０，Ｗ｝，ＭＴ＿｛Ｌ，１，Ｗ｝）に対して、関数Ｇ＿３と、関数Ｇ＿４とを用いて、暗号化タグＣＴを以下のように生成する。関数Ｇ＿３と、関数Ｇ＿４とは、確定的関数である。関数Ｇ＿３は、暗号化タグ関数に対応する。関数Ｇ＿４は、照合子関数に対応する。以下の式において、ＶＥＲと、Ｒ＿０とは、暗号化タグＣＴに結合されている。
ＣＴ ＝ （ＣＴ＿｛１，０，Ｗ｝，ＣＴ＿｛１，１，Ｗ｝，・・・，ＣＴ＿｛Ｌ，０，Ｗ｝，ＣＴ＿｛Ｌ，１，Ｗ｝，ＶＥＲ，Ｒ＿０）
ＣＴ＿｛ｊ，０，Ｗ｝ ＝ Ｇ＿３（Ｇ＿２（Ｇ＿１（ＴＫ，Ｂ＿ｊ｜ｊ），Ｗ）｜Ｒ＿０）＋Ｒ＿ｊ
ＣＴ＿｛ｊ，１，Ｗ｝ ＝ Ｇ＿３（Ｇ＿２（Ｇ＿１（ＴＫ，＊｜ｊ），Ｗ）｜Ｒ＿０）＋Ｒ＿ｊ
ＶＥＲ ＝ Ｇ＿４（Ｒ＿１＋・・・＋Ｒ＿Ｌ）
ｊは、１以上Ｌ以下の整数である。ＶＥＲは、暗号化タグ照合子に対応する。
本明細書において、「＋」という記号は、特に断りがない限り、排他的論理和を表す。ただし、＋の前後の項が文字ではなく数字である場合、特に断りがない限り、加算を表す。

（ステップＳ６１１：登録処理）
登録部６３０は、暗号文データＣと、暗号化タグＣＴと、暗号化索引ＥＩとの組をデータ管理装置８００に登録する。

登録部６３０は、具体例として、暗号文データＣと、暗号化タグＣＴと、暗号化索引ＥＩとの組を、通信装置６０５を用いてデータ管理装置８００に送信する。
受付部８１０は、暗号文データＣと、暗号化タグＣＴと、暗号化索引ＥＩとの組を受信し、受信した組を記憶部８９１に記憶させる。つまり、受付部８１０は、暗号文データＣと、暗号化タグＣＴと、暗号化索引ＥＩとを互いに対応付けて記憶部８９１に記憶させる。その結果、暗号文データＣと、暗号化タグＣＴと、暗号化索引ＥＩとの組が記憶部８９１に保管される。

図２１は、登録データベース８９２の例を示している。
データ管理装置８００は、ファイル名と、暗号化データＣと、暗号化タグＣＴと、暗号化索引ＥＩとを互いに対応付けて登録データベース８９２に登録する。
記憶部８９１は、登録データベース８９２を記憶している。

図２２は、索引開示処理の一例を示すフローチャートである。
索引開示処理は、データ管理装置８００によって実行される処理である。本処理は、索引開示鍵ＩＫの一部であるｉ番目索引開示鍵ＩＫ＿ｉが新しく開示された場合、記憶部８９１に保管された暗号化索引ＥＩに対して行われる。ｉは、１以上ＩＬＥＮ以下の整数である。本処理は、ＩＫ＿ｉが開示されてから新たにデータ登録処理が行われた場合、ステップＳ６１１で記憶部８９１に保管された直後の暗号化索引ＥＩに対して行われてもよい。

（ステップＳ８０１：索引開示鍵受付処理）
受付部８１０は、索引開示鍵ＩＫのｉ番目索引開示鍵ＩＫ＿ｉを受け付ける。ｉは、１以上ＩＬＥＮ以下の整数である。
受付部８１０は、具体例として、通信装置８０５を用いて、索引開示鍵装置４００から索引開示鍵のｉ番目索引開示鍵ＩＫ＿ｉを受信する。受付部８１０は、データ管理装置８００に入力されたｉ番目索引開示鍵ＩＫ＿ｉを、入出力インタフェース８０４を介して受け付けてもよい。
受付部８１０は、ｉ番目索引開示鍵ＩＫ＿ｉを記憶部８９１に記憶させる。その結果、ｉ番目索引開示鍵ＩＫ＿ｉは、記憶部８９１に保管される。

なお、記憶部８９１がｉ番目索引開示鍵ＩＫ＿ｉを既に保管している場合、受付部８１０は、本ステップの処理を実行しなくてもよい。

（ステップＳ８０２：暗号化索引受付処理）
受付部８１０は、暗号化索引ＥＩを受け付ける。
受付部８１０は、具体例として、データ管理装置８００に入力された暗号化索引ＥＩを、入出力インタフェース８０４を介して受け付ける。受付部８１０は、暗号化索引ＥＩをアプリケーションプログラムから受け付けてもよい。
記憶部８９１に保管された暗号化索引ＥＩ、又はステップＳ６１１で記憶部８９１に保管された直後の暗号化索引ＥＩ等が、本ステップにおける暗号化索引ＥＩに該当する。

なお、記憶部８９１が暗号化索引ＥＩを既に保管している場合、受付部８１０は、本ステップの処理を実行しなくてもよい。

（ステップＳ８０３：復号処理）
暗号化索引復号部８２１は、ｉ番目索引開示鍵ＩＫ＿ｉを用いてｉ番目暗号化索引ＥＩ＿ｉを復号することにより、ｉ番目索引Ｉ＿ｉを復元する。ｉ番目暗号化索引ＥＩ＿ｉは、暗号化索引ＥＩの一部である。ｉ番目索引Ｉ＿ｉは、索引Ｉの一部である。
即ち、暗号化索引復号部８２１は、復号関数Ｄｅｃを用いて、以下のようにしてＩ＿ｉを復元する。復号関数Ｄｅｃは、確率的暗号化関数Ｅｎｃに対応する関数である。
Ｉ＿ｉ ＝ Ｄｅｃ（ＩＫ＿ｉ，ＥＩ＿ｉ）

（ステップＳ８０４：登録処理）
登録部８３０は、ｉ番目索引Ｉ＿ｉを暗号化索引ＥＩと対応付けて登録データベース８９２に登録する。

図２３は、索引開示後データベース８９３の例を示している。ｉ＝１として索引開示後データベース８９３を説明する。
データ管理装置８００は、抽出された暗号化索引ＥＩと、復元された１番目索引Ｉ＿１とを対応付けて登録する。登録データベース８９２は、索引開示後データベース８９３のように更新される。
本図の索引開示後データベース８９３には、１番目暗号化索引ＥＩ＿１が登録されていない。しかし、登録部８３０は、登録データベース８９２から１番目暗号化索引ＥＩ＿１を削除しなくてもよい。
記憶部８９１は、索引開示後データベース８９３を記憶している。

なお、データ管理装置８００は、ｉ番目索引Ｉ＿ｉの列を登録する際に高速索引技術を用いることにより、データ検索処理を高速化することができる。高速索引技術は、具体例として、二分探索木又はＢ－ＴＲＥＥである。

（ステップＳ８０５：更新処理）
登録部８３０は、記憶部８９１が記憶している索引開示位置情報Ｐｏｓを更新する。索引開示位置情報Ｐｏｓは、現在公開されている索引開示鍵に対応する索引Ｉの位置を示す情報である。索引開示位置情報Ｐｏｓは、典型的には、秘匿検索システム１００が稼働を開始した直後に作られるデータである。ここで、索引開示位置情報Ｐｏｓは集合であり、索引開示位置情報Ｐｏｓの初期値は空集合である。索引開示鍵ＩＫは、典型的には、登録装置６００により公開される。

例えば、初めて１番目索引開示鍵ＩＫ＿１が公開されたとき、登録部８３０は、Ｐｏｓに１を追加する。即ち、登録部８３０は、索引開示位置情報をＰｏｓ＝｛１｝と更新する。その後で２番目索引開示鍵ＩＫ＿２が公開されたとき、登録部８３０は、Ｐｏｓに２を追加する。即ち、登録部８３０は、索引開示位置情報をＰｏｓ＝｛１，２｝と更新する。

図２４は、検索処理の一例を示すフローチャートである。
検索処理は、検索操作装置７００によって実行される処理である。

（ステップＳ７０１：ユーザ鍵受付処理）
受付部７１０は、ユーザ鍵ＵＫを受け付ける。
受付部７１０は、具体例として、通信装置７０５を用いて、ユーザ鍵装置５００からユーザ鍵ＵＫを受信する。受付部７１０は、検索操作装置７００に入力されたユーザ鍵ＵＫを、入出力インタフェース７０４を介して受け付けてもよい。
受付部７１０は、ユーザ鍵ＵＫを記憶部７９１に記憶させる。その結果、ユーザ鍵ＵＫは、記憶部７９１に保管される。
ユーザ鍵ＵＫは、ユーザデータ鍵ＵＤＫと、ユーザタグ鍵ＵＴＫとを含んでいる。

なお、記憶部７９１がユーザ鍵ＵＫを既に保管している場合、受付部７１０は、本ステップの処理を実行しなくてもよい。

（ステップＳ７０２：検索キーワード受付処理）
受付部７１０は、検索キーワードｗを受け付ける。
受付部７１０は、具体例として、検索操作装置７００に入力された検索キーワードｗを入出力インタフェース７０４を介して受け付ける。受付部７１０は、検索キーワードｗをアプリケーションプログラムから受け付けてもよい。

（ステップＳ７０３：検索クエリ生成処理）
検索クエリ生成部７２１は、ユーザタグ鍵ＵＴＫと検索キーワードｗとを用いて、検索クエリＳＱを生成する。

検索クエリ生成部７２１は、具体例として、ＵＴＫ ＝ （（ＵＴＫ＿１，Ｔｂ＿１），・・・，（ＵＴＫ＿Ｌ，Ｔｂ＿Ｌ））と、関数Ｇ＿２とを用いて、検索クエリＳＱを次のように生成する。
ＳＱ ＝ （（ＳＱ＿１，Ｑｂ＿１），・・・，（ＳＱ＿Ｌ，Ｑｂ＿Ｌ））
Ｑｂ＿ｊ ＝ Ｔｂ＿ｊ
ＳＱ＿ｊ ＝ Ｇ＿２（ＵＴＫ＿ｊ，ｗ）
ｊは、１以上Ｌ以下の整数である。

（ステップＳ７０４：索引クエリ生成処理）
索引クエリ生成部７２２は、検索クエリＳＱを用いて、索引クエリＩＱを生成する。索引クエリＩＱは、検索クエリＳＱを入力として確定的関数Ｄ＿２を実行した結果得られる確定的データである。索引クエリＩＱは、記憶部８９１に保管された索引Ｉを検索する際に用いられるデータである。

検索部８４０は、暗号化タグＣＴと、検索クエリＳＱとに対して照合処理を行う前に、索引クエリＩＱを用いて索引Ｉを検索する。検索部８４０は、登録キーワードＷ及び検索キーワードｗと、属性情報Ａ及び属性情報Ｂとがそれぞれ一致する可能性があるか否かを確認する。ここで、登録キーワードＷと、属性情報Ａとの情報は、暗号化タグＣＴに含まれている。検索キーワードｗと、属性情報Ｂとの情報は、索引クエリＩＱに含まれている。
検索部８４０が登録キーワードＷ及び検索キーワードｗと、属性情報Ａ及び属性情報Ｂとがそれぞれ一致する可能性があると判断した場合、暗号化タグ照合部８４３は、暗号化タグＣＴと検索クエリＳＱとを用いて照合処理を行う。一方、それ以外の場合、暗号化タグ照合部８４３は、照合処理を行わない。

索引クエリＩＱは、確定的関数Ｄ＿２を用いて以下のように生成される。
ＩＱ ＝ Ｄ＿２（ＳＱ） ＝ （ＩＱ＿１，・・・，ＩＱ＿ＩＬＥＮ）

具体例として、検索キーワードｗを東京としたとき、索引クエリＩＱは、検索クエリＳＱと、確定的関数Ｄ＿２とを用いて以下のように構成される。ＭＴ＿｛ｊ，Ｑｂ＿ｊ，ｗ｝は、中間タグである。検索操作装置７００における中間タグは、登録装置６００における中間タグと異なってもよい。
Ｄ＿２´（ＭＴ＿｛１，Ｑｂ＿１，東京｝） ＝ Ｄ＿２´（ＳＱ＿１）
・・・
Ｄ＿２´（ＭＴ＿｛Ｌ，Ｑｂ＿Ｌ，東京｝） ＝ Ｄ＿２´（ＳＱ＿Ｌ）
かつ
ＩＱ＿ｊ ＝ （ＩＱ＿１＿ｊ，・・・，ＩＱ＿Ｌ＿ｊ）
＝ （Ｉ＿１（Ｑｂ＿１）＿ｊ，・・・，Ｉ＿Ｌ（Ｑｂ＿Ｌ）＿ｊ）
ｊは、１以上Ｌ以下の整数である。

Ｑｂ＿１＝・・・＝Ｑｂ＿Ｌ＝０である場合、上記の例は、以下のように表される。
Ｄ＿２´（ＳＱ＿１）＝Ｄ＿２´（ＭＴ＿｛１，０，東京｝）＝１・・・０１・・・１
・・・
Ｄ＿２´（ＳＱ＿Ｌ）＝Ｄ＿２´（ＭＴ＿｛Ｌ，０，東京｝）＝０・・・０１・・・０
かつ
Ｉ＿１０＿１ ＝ ＩＱ＿１＿１ ＝ １
・・・
Ｉ＿Ｌ０＿１ ＝ ＩＱ＿Ｌ＿１ ＝ ０
・・・
Ｉ＿１０＿ＩＬＥＮ ＝ ＩＱ＿１＿ＩＬＥＮ ＝ ０
・・・
Ｉ＿Ｌ０＿ＩＬＥＮ ＝ ＩＱ＿Ｌ＿ＩＬＥＮ ＝ ０

ここで、Ｉ＿１［Ｑｂ＿１，・・・，Ｑｂ＿Ｌ］は、以下のように定義される。
Ｉ＿１［Ｑｂ＿１，・・・，Ｑｂ＿Ｌ］ ＝ （Ｉ＿１（Ｑｂ＿１）＿１，・・・，Ｉ＿Ｌ（Ｑｂ＿１）＿１）
上記の例において、Ｉ＿１［Ｑｂ＿１，・・・，Ｑｂ＿Ｌ］は、Ｉ＿１［０，・・・，０］＝（１，・・・，０）と表せる。

登録キーワードＷ及び検索キーワードｗと、属性情報Ａ及び属性情報Ｂとがそれぞれ一致する場合、登録キーワードＷの１番目索引Ｉ＿１をＱｂ＿１，・・・，Ｑｂ＿Ｌの観点から抽出したもの（即ち、Ｉ＿１［Ｑｂ＿１，・・・，Ｑｂ＿Ｌ］）の値と、ＩＱ＿１の値とは、必ず一致する。
この場合、同様に、１以上ＩＬＥＮ以下の整数ｊについても、登録キーワードＷのｊ番目索引Ｉ＿ｊに対して、Ｉ＿ｊ［Ｑｂ＿１，・・・，Ｑｂ＿Ｌ］＝ＩＱ＿ｊとなる。
上記の対偶より、Ｉ＿ｊ［Ｑｂ＿１，・・・，Ｑｂ＿Ｌ］≠ＩＱ＿ｊであれば、登録キーワードＷ及び検索キーワードｗと、属性情報Ａ及び属性情報Ｂとの少なくとも一方が一致しないということが言える。
なお、登録キーワードＷ及び検索キーワードｗと、属性情報Ａ及び属性情報Ｂとの少なくとも一方が一致しない場合において、Ｉ＿ｊ［Ｑｂ＿１，・・・，Ｑｂ＿Ｌ］＝ＩＱ＿ｊとなる可能性はある。しかし、その可能性は十分に低い。

よって、上記の事実を使うと、索引照合部８４１は、次のように簡易な一致確認をすることができる。索引照合部８４１は、１以上ｋ以下である全てのｊに対して、Ｉ＿ｊ［Ｑｂ＿１，・・・，Ｑｂ＿Ｌ］＝ＩＱ＿ｊが成り立つか否かをチェックする。ｋは、索引開示位置情報Ｐｏｓの要素数である。
全てのｊにおいてこの式が成り立つ場合、登録キーワードＷ及び検索キーワードｗと、属性情報Ａ及び属性情報Ｂとがそれぞれ一致する可能性がある。そのため、この場合、検索部８４０は、暗号化タグＣＴと検索クエリＳＱとを照合する。
一方、全てのｊに対してこの式が成り立たない場合、登録キーワードＷ及び検索キーワードｗと、属性情報Ａ及び属性情報Ｂとの少なくとも一方は一致しない。そのため、検索部８４０は、暗号化タグＣＴと検索クエリＳＱとを照合しない。
検索部８４０は、このようにして、照合する暗号化タグＣＴを絞ることができる。

（ステップＳ７０５：クエリ送信処理）
要求部７３０は、通信装置７０５を用いて、検索クエリＳＱと索引クエリＩＱとをデータ管理装置８００へ送信する。

（ステップＳ７０６：結果受信処理）
要求部７３０は、通信装置７０５が暗号化検索結果｛Ｃ｝をデータ管理装置８００から受信することを待つ。要求部７３０が暗号化検索結果｛Ｃ｝を受信することを待つ最大時間は、どのような値であってもよい。
通信装置７０５が暗号化検索結果｛Ｃ｝を受信した場合、検索操作装置７００は、ステップＳ７０７に進む。それ以外の場合、検索操作装置７００は、ステップＳ７０８に進む。
暗号化検索結果｛Ｃ｝は、データ管理装置８００が検索処理を実行した結果ヒットした少なくとも１つの暗号文データＣから成る集合である。

（ステップＳ７０７：復号処理）
復号部７４０は、ユーザデータ鍵ＵＤＫを用いて、暗号化検索結果｛Ｃ｝に含まれる各暗号文データＣから平文Ｍを復号する。
本ステップを実行することによって得られた少なくとも１つの平文Ｍから成る集合を、検索結果｛Ｍ｝とする。

なお、暗号化検索結果｛Ｃ｝に暗号化データＣが含まれない場合、つまり、データ管理装置８００が暗号化データＣを抽出することができなかった場合、復号部７４０は、本ステップの処理を実行する必要はない。

（ステップＳ７０８：出力処理）
出力部７５０は、検索結果｛Ｍ｝を出力する。
出力部７５０は、具体例として、入出力インタフェース７０４を介して、ディスプレイに検索結果｛Ｍ｝を表示する。
検索結果｛Ｍ｝が得られなかった場合、出力部７５０は、具体例として、検索された平文Ｍが無い、もしくは復号できなかった旨のメッセージを表示する。検索結果｛Ｍ｝が得られなかった場合は、登録キーワードＷ及び検索キーワードｗと、属性情報Ａ及び属性情報Ｂとの少なくとも一方が一致する可能性がない場合、検索された暗号文データＣが無い場合、又は暗号文データＣから平文Ｍを復号できなかった場合である。

図２５は、データ検索処理の動作の一例を示すフローチャートである。
データ検索処理は、データ管理装置８００によって実行される処理である。

（ステップＳ８２１：クエリ受付処理）
受付部８１０は、通信装置８０５を用いて、検索クエリＳＱと索引クエリＩＱとを検索操作装置７００から受信する。

（ステップＳ８２２：索引群探索処理）
索引照合部８４１は、記憶部８９１から公開索引群｛Ｉ′｝と、索引開示位置情報Ｐｏｓとを読み出す。｛Ｉ′｝は、少なくとも１つの索引Ｉから成る集合である。｛Ｉ′｝の各要素をＩｉ′と表す。Ｉｉ′と暗号化索引ＥＩｉとは、暗号化タグＣＴｉにそれぞれ対応する。暗号化タグＣＴｉは、暗号化タグ生成部６２７が複数の互いに異なる登録キーワードＷを用いて複数の暗号化タグを生成し、各暗号化タグに通し番号を割り当てた場合における、ｉ番目の暗号化タグである。各公開索引Ｉｉ′は、暗号化索引を復号した値から成る。

その後、索引照合部８４１は、索引開示位置情報Ｐｏｓに対応する部分索引クエリＩＱ′を抽出し、公開索引群｛Ｉ′｝と一致確認を行う。部分索引クエリＩＱ′は、索引クエリＩＱの一部である。

ここで、索引開示位置情報Ｐｏｓは、ｋ個の要素を持っているとする。即ち、ｋ個の索引開示鍵が公開されている状況である。ここで、Ｐｏｓ＝｛ｉ１，・・・，ｉｋ｝とする。ｉ１，・・・，ｉｋは、１以上ＩＬＥＮ以下の整数とする。また、ｉ１＜・・・＜ｉｋとする。

索引照合部８４１は、公開索引群｛Ｉ′｝の各Ｉｉ′に対して、検索クエリＳＱに含まれるＱｂ＿１，・・・，Ｑｂ＿Ｌを用いて、１以上ｋ以下の全ての整数ｊについて以下の式が成立するか否かを確認する。
Ｉｉ′＿ｊ［Ｑｂ＿１，・・・，Ｑｂ＿Ｌ］ ＝ ＩＱ＿ｊ

この式が全てのｊに対して成立する場合、公開索引Ｉｉ′と対応づけて記憶部８９１に保管されている暗号化タグＣＴｉが、次のステップＳ８２３にて抽出される。この場合、データ管理装置８００は、ステップＳ８２３に進む。
それ以外の場合、データ管理装置８００は、ステップＳ８２６に進む。

ここで、ステップＳ８０４において、二分探索木又はＢ－ＴＲＥＥ等の高速索引技術が公開索引群｛Ｉ′｝に対して適用されている場合、本ステップの処理は、公開索引群｛Ｉ′｝の個数のログオーダーで確認することができる。即ち、索引照合部８４１は、より高速に処理することができる。

説明を簡単にするために、具体例として、ｋ＝２とし、ｉ１＝１，ｉ２＝２とする。即ち、索引として２ビット開示されている状況を説明する。本例において、各公開索引Ｉｉ′は、各暗号化索引ＥＩｉの１番目と２番目との暗号化索引である。
このとき、部分索引クエリＩＱ′は、次のように索引開示位置情報Ｐｏｓから抽出される。
ＩＱ′＝（ＩＱ＿１，ＩＱ＿２）
ＩＱ＿１ ＝ （ＩＱ＿１＿１，・・・，ＩＱ＿Ｌ＿１）
ＩＱ＿２ ＝ （ＩＱ＿１＿２，・・・，ＩＱ＿Ｌ＿２）
即ち、ＩＱ′は、索引クエリＩＱの１番目の要素と２番目の要素とを抽出したものである。

また、公開索引群｛Ｉ′｝は、Ｎ個の要素を持つ集合とする。このとき、記憶部８９１に保管されている暗号化タグＣＴと暗号化索引ＥＩとの要素数もＮ個である。

ここで、公開索引群｛Ｉ′｝を｛Ｉ１′，・・・，ＩＮ′｝と表す。このとき各公開索引Ｉｉ′は以下の値で構成されている。索引Ｉｉ′は、部分登録キーワード索引に対応する。
Ｉｉ′ ＝ （Ｉｉ′＿１，Ｉｉ′＿２）
Ｉｉ′＿１ ＝ （Ｉｉ′＿１０＿１，Ｉｉ′＿１１＿１，・・・，Ｉｉ′＿Ｌ０＿１，Ｉｉ′＿Ｌ１＿１）
Ｉｉ′＿２ ＝ （Ｉｉ′＿１０＿２，Ｉｉ′＿１１＿２，・・・，Ｉｉ′＿Ｌ０＿２，Ｉｉ′＿Ｌ１＿２）
ｉは、１以上Ｎ以下の整数である。

検索キーワードｗ及び登録キーワードＷと、属性情報Ａ及び属性情報Ｂとが共に一致する場合、以下が共に成立する。
Ｉｉ′＿１［Ｑｂ＿１，・・・，Ｑｂ＿Ｌ］ ＝ ＩＱ＿１
Ｉｉ′＿２［Ｑｂ＿１，・・・，Ｑｂ＿Ｌ］ ＝ ＩＱ＿２
ここで、Ｑｂ＿１，・・・，Ｑｂ＿Ｌは、検索クエリＳＱに含まれる値である。

ここで、前記の例を用いると、以下のようになる。
Ｉｉ′＿１［０，・・・，０］ ＝ ＩＱ＿１ ＝ （１，・・・，０）
Ｉｉ′＿２［０，・・・，０］ ＝ ＩＱ＿２ ＝ （０，・・・，０）

（ステップＳ８２３：暗号化タグ抽出処理）
暗号化タグ抽出部８４２は、ステップＳ８２２において部分索引クエリＩＱ′と一致した公開索引群｛Ｉｉ′｝に対応づけて保管されている暗号化タグ群｛ＣＴｉ｝を抽出する。
ここで、暗号化タグ群の要素数をｎとする。即ち、暗号化タグ群｛ＣＴｉ｝＝｛ＣＴ１，・・・，ＣＴｎ｝である。

（ステップＳ８２４：照合処理）
暗号化タグ照合部８４３は、ステップＳ８２３で抽出された暗号化タグ群｛ＣＴｉ｝＝｛ＣＴ１，・・・，ＣＴｎ｝と、検索クエリＳＱとを照合する。

暗号化タグ照合部８４３が検索クエリＳＱと暗号化タグＣＴｉとを照合することができた場合、データ管理装置８００は、ステップＳ８２５に進む。それ以外の場合、データ管理装置８００は、ステップＳ８２６に進む。

暗号化タグ照合部８４３は、具体例として、検索クエリＳＱ＝（（ＳＱ＿１，Ｑｂ＿１），・・・，（ＳＱ＿Ｌ，Ｑｂ＿Ｌ））と、各暗号化タグＣＴｉとを、以下のように照合する。

暗号化タグ照合部８４３は、暗号化タグＣＴｉ＝（ＣＴｉ＿｛１，０，Ｗ｝，ＣＴｉ＿｛１，１，Ｗ｝，・・・，ＣＴｉ＿｛Ｌ，０，Ｗ｝，ＣＴｉ＿｛Ｌ，１，Ｗ｝，ＶＥＲ，Ｒ＿０）に対して、関数Ｇ＿３と関数Ｇ＿４とを用いて、Ｒ＿１′，・・・，Ｒ＿Ｌ′と、ＶＥＲ′とを次のように算出する。
Ｒ＿ｊ′ ＝ ＣＴｉ＿｛ｊ，Ｑｂ＿ｊ，Ｗ｝＋Ｇ＿３（ＳＱ＿ｊ｜Ｒ＿０）
ＶＥＲ′ ＝ Ｇ＿４（Ｒ＿１′＋・・・＋Ｒ＿Ｌ′）
ｊは、１以上Ｌ以下の整数である。

なお、ＶＥＲとＶＥＲ′とが等しい場合、暗号化タグ照合部８４３は、登録キーワードＷと、検索キーワードｗとが一致していると判定する。この場合、登録キーワードＷと、検索キーワードｗとが一致している可能性は高い。登録キーワードＷは、暗号化タグＣＴｉに含まれている。検索キーワードｗは、検索クエリＳＱに含まれている。

（ステップＳ８２５：データ抽出処理）
暗号文データ抽出部８４４は、暗号文データ群｛ＣＴｉ′｝を抽出する。暗号文データ群｛ＣＴｉ′｝は、ステップＳ８２４において検索クエリＳＱと一致した暗号化タグから成る集合である。この暗号文データ群｛ＣＴｉ′｝を暗号化検索結果｛Ｃ｝と呼ぶ。

（ステップＳ８２６：出力処理）
ステップＳ８２５において暗号化検索結果｛Ｃ｝が抽出された場合、出力部８５０は、通信装置８０５を用いて、ステップＳ８２５で抽出された暗号化検索結果｛Ｃ｝を検索操作装置７００へ送信する。
それ以外の場合、出力部８５０は、何もせずに本フローチャートの処理を終了してもよく、検索結果｛Ｃ｝がないことを示す情報を検索操作装置７００へ送信してもよい。

図２６は、データ削除処理の動作の一例を示すフローチャートである。
データ削除処理は、登録装置６００又は検索操作装置７００と、データ管理装置８００とによって実行される処理である。

（ステップＳ９０１：受付処理）
受付部６１０又は受付部７１０は、削除するファイルの名称を削除ファイル名として受け付ける。削除ファイル名は、具体例として、検索操作処理によって得られる。

受付部６１０が削除ファイル名を受け付ける場合、受付部６１０は、具体例として、登録装置６００に入力された削除ファイル名を、入出力インタフェース６０４を介して受け付ける。

受付部７１０が削除ファイル名を受け付ける場合、受付部７１０は、検索操作装置７００に入力された削除ファイル名を、入出力インタフェース７０４を介して受け付ける。受付部６１０又は受付部７１０は、削除ファイル名をアプリケーションプログラムから受け付けてもよい。

（ステップＳ９０２：送信処理）
受付部６１０が削除ファイル名を受け付けた場合、出力部６４０は、通信装置６０５を用いて、削除ファイル名をデータ管理装置８００へ送信する。

受付部７１０が削除ファイル名を受け付けた場合、出力部７５０は、通信装置７０５を用いて、削除ファイル名をデータ管理装置８００へ送信する。

（ステップＳ９０３：削除ファイル名受信処理）
受付部８１０は、通信装置８０５を用いて、登録装置６００もしくは検索操作装置７００から削除ファイル名を受信する。

（ステップＳ９０４：削除処理）
受付部８１０は、削除ファイル名に対応する暗号化データＣと暗号化タグＣＴと暗号化索引ＥＩと索引Ｉとを記憶部８９１から削除する。

＊＊＊実施の形態１の効果の説明＊＊＊
以上のように、本実施の形態に係る秘匿検索システム１００によれば、マルチユーザ型の秘匿検索を、公開鍵暗号技術を用いずに共通鍵暗号技術を用いて実現することができる。

登録装置６００は、乱数を使ってランダム化する前の暗号化タグに対して確定的な一方向性関数を適用することにより、マルチユーザ型の共通鍵方式によって索引を生成する。索引は、登録データ及び検索データと、登録データに組み込まれた属性情報及び検索データに組み込まれた属性情報とがそれぞれ一致する可能性があるか否かを、秘匿検索を用いずに高速に確認することに用いられる。なお、この索引からキーワードと、属性情報に関する情報と等を抜き出すことは困難である。
検索操作装置７００は、部分的に開示された索引開示鍵に対応する索引クエリを、検索者に対応するユーザ鍵を使って生成する。
データ管理装置８００は、検索対象とする暗号化タグを、索引と索引クエリとを使って絞り込む。そのため、データ管理装置８００は、索引を使うことにより不要な秘匿検索の少なくとも一部を実行せずに済む。
これらのことにより、秘匿検索システム１００は、マルチユーザ型の共通鍵方式における検索処理を比較的高速に実行することができる。

また、登録装置６００は、この索引を複数のブロックに分け、それぞれを異なる鍵を用いて暗号化して保管する。登録装置６００が必要に応じてこの暗号化に用いた鍵を徐々に公開することにより、段階的に索引に関わる処理を高速化することができる。

＊＊＊他の構成＊＊＊
＜変形例１＞
本明細書に記載されている少なくとも２つの装置は、１つのコンピュータから成ってもよい。

＜変形例２＞
データ管理装置８００は、公開されている索引開示鍵ＩＫを全て使用しなくてもよい。本変形例において、索引開示位置情報Ｐｏｓは、データ管理装置８００が用いた索引開示鍵ＩＫに対応する索引Ｉの位置を示す情報のみから成る。

＜変形例３＞
図２７は、本変形例に係るマスター鍵装置２００のハードウェア構成例を示している。
マスター鍵装置２００は、プロセッサ２０１とメモリ２０２と補助記憶装置２０３との少なくとも１つに代えて、処理回路２０９を備える。
処理回路２０９は、受付部２１０と生成部２２０と出力部２３０と記憶部２９１との少なくとも一部を実現するハードウェアである。
処理回路２０９は、専用のハードウェアであってもよく、メモリ２０２に格納されるプログラムを実行するプロセッサ２０１であってもよい。

処理回路２０９が専用のハードウェアである場合、処理回路２０９は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（ＡＳＩＣはＡｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）又はこれらの組み合わせである。
マスター鍵装置２００は、処理回路２０９を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路２０９の役割を分担する。

マスター鍵装置２００において、一部の機能が専用のハードウェアで実現されて、残りの機能がソフトウェア又はファームウェアで実現されてもよい。

処理回路２０９は、ハードウェア、ソフトウェア、ファームウェア、又はこれらの組み合わせにより実現される。
プロセッサ２０１とメモリ２０２と補助記憶装置２０３と処理回路２０９とを、総称して「プロセッシングサーキットリー」という。つまり、マスター鍵装置２００の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。

＜変形例４＞
図２８は、本変形例に係る登録鍵装置３００のハードウェア構成例を示している。
登録鍵装置３００は、プロセッサ３０１とメモリ３０２と補助記憶装置３０３との少なくとも１つに代えて、処理回路３０９を備える。処理回路３０９は、処理回路２０９と同様である。
処理回路３０９は、受付部３１０と生成部３２０と出力部３３０と記憶部３９１との少なくとも一部を実現するハードウェアである。
登録鍵装置３００の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。

＜変形例５＞
図２９は、本変形例に係る索引開示鍵装置４００のハードウェア構成例を示している。
索引開示鍵装置４００は、プロセッサ４０１とメモリ４０２と補助記憶装置４０３との少なくとも１つに代えて、処理回路４０９を備える。処理回路４０９は、処理回路２０９と同様である。
処理回路４０９は、受付部４１０と生成部４２０と出力部４３０と記憶部４９１との少なくとも一部を実現するハードウェアである。
索引開示鍵装置４００の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。

＜変形例６＞
図３０は、本変形例に係るユーザ鍵装置５００のハードウェア構成例を示している。
ユーザ鍵装置５００は、プロセッサ５０１とメモリ５０２と補助記憶装置５０３との少なくとも１つに代えて、処理回路５０９を備える。処理回路５０９は、処理回路２０９と同様である。
処理回路５０９は、受付部５１０と生成部５２０と出力部５３０と記憶部５９１とを実現するハードウェアである。
ユーザ鍵装置５００の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。

＜変形例７＞
図３１は、本変形例に係る登録装置６００のハードウェア構成例を示している。
登録装置６００は、プロセッサ６０１とメモリ６０２と補助記憶装置６０３との少なくとも１つに代えて、処理回路６０９を備える。処理回路６０９は、処理回路２０９と同様である。
処理回路６０９は、受付部６１０と生成部６２０と登録部６３０と出力部６４０と記憶部６９１との少なくとも一部を実現するハードウェアである。
登録装置６００の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。

＜変形例８＞
図３２は、本変形例に係る検索操作装置７００のハードウェア構成例を示している。
検索操作装置７００は、プロセッサ７０１とメモリ７０２と補助記憶装置７０３との少なくとも１つに代えて、処理回路７０９を備える。処理回路７０９は、処理回路２０９と同様である。
処理回路７０９は、受付部７１０と生成部７２０と要求部７３０と復号部７４０と出力部７５０と記憶部７９１との少なくとも一部を実現するハードウェアである。
検索操作装置７００の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。

＜変形例９＞
図３３は、本変形例に係るデータ管理装置８００のハードウェア構成例を示している。
データ管理装置８００は、プロセッサ８０１とメモリ８０２と補助記憶装置８０３との少なくとも１つに代えて、処理回路８０９を備える。処理回路８０９は、処理回路２０９と同様である。
処理回路８０９は、受付部８１０と復号部８２０と登録部８３０と検索部８４０と出力部８５０と記憶部８９１との少なくとも一部を実現するハードウェアである。
データ管理装置８００の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。

＊＊＊他の実施の形態＊＊＊
実施の形態１について説明したが、本実施の形態のうち、複数の部分を組み合わせて実施しても構わない。あるいは、本実施の形態のうち、１つの部分を実施しても構わない。その他、本実施の形態は、必要に応じて種々の変更がなされても構わず、全体としてあるいは部分的に、どのように組み合わせて実施されても構わない。
なお、上述した実施の形態は、本質的に好ましい例示であって、本開示と、その適用物と、用途の範囲とを制限することを意図するものではない。フローチャート等を用いて説明した手順は、適宜変更してもよい。

１００ 秘匿検索システム、１０１ ネットワーク、２００ マスター鍵装置、２０１ プロセッサ、２０２ メモリ、２０３ 補助記憶装置、２０４ 入出力インタフェース、２０５ 通信装置、２０９ 処理回路、２１０ 受付部、２２０ 生成部、２３０ 出力部、２９１ 記憶部、３００ 登録鍵装置、３０１ プロセッサ、３０２ メモリ、３０３ 補助記憶装置、３０４ 入出力インタフェース、３０５ 通信装置、３０９ 処理回路、３１０ 受付部、３２０ 生成部、３３０ 出力部、３９１ 記憶部、４００ 索引開示鍵装置、４０１ プロセッサ、４０２ メモリ、４０３ 補助記憶装置、４０４ 入出力インタフェース、４０５ 通信装置、４０９ 処理回路、４１０ 受付部、４２０ 生成部、４２１ 索引開示鍵生成部、４３０ 出力部、４９１ 記憶部、５００ ユーザ鍵装置、５０１ プロセッサ、５０２ メモリ、５０３ 補助記憶装置、５０４ 入出力インタフェース、５０５ 通信装置、５０９ 処理回路、５１０ 受付部、５２０ 生成部、５２１ ユーザ鍵生成部、５３０ 出力部、５９１ 記憶部、６００ 登録装置、６０１ プロセッサ、６０２ メモリ、６０３ 補助記憶装置、６０４ 入出力インタフェース、６０５ 通信装置、６０９ 処理回路、６１０ 受付部、６２０ 生成部、６２１ 暗号文データ生成部、６２２ キーワード生成部、６２３ 中間タグ生成部、６２４ 索引生成部、６２５ 暗号化索引生成部、６２６ 乱数生成部、６２７ 暗号化タグ生成部、６３０ 登録部、６４０ 出力部、６９１ 記憶部、７００ 検索操作装置、７０１ プロセッサ、７０２ メモリ、７０３ 補助記憶装置、７０４ 入出力インタフェース、７０５ 通信装置、７０９ 処理回路、７１０ 受付部、７２０ 生成部、７２１ 検索クエリ生成部、７２２ 索引クエリ生成部、７３０ 要求部、７４０ 復号部、７５０ 出力部、７９１ 記憶部、８００ データ管理装置、８０１ プロセッサ、８０２ メモリ、８０３ 補助記憶装置、８０４ 入出力インタフェース、８０５ 通信装置、８０９ 処理回路、８１０ 受付部、８２０ 復号部、８２１ 暗号化索引復号部、８３０ 登録部、８４０ 検索部、８４１ 索引照合部、８４２ 暗号化タグ抽出部、８４３ 暗号化タグ照合部、８４４ 暗号文データ抽出部、８５０ 出力部、８９１ 記憶部、８９２ 登録データベース、８９３ 索引開示後データベース、ＣＴ 暗号化タグ、ＤＫ データ鍵、ＥＫ 登録鍵、ＥＩ 暗号化索引、Ｉ 索引、ＩＫ 索引開示鍵、ＩＬＥＮ 索引長、ＩＱ 索引クエリ、ＩＱ′ 部分索引クエリ、Ｍ 平文、ＭＫ マスター鍵、ＭＴ 中間タグ、Ｐｏｓ 索引開示位置情報、ＳＱ 検索クエリ、ＴＫ タグ鍵、ＴＲ 乱数、ＵＤＫ ユーザデータ鍵、ＵＫ ユーザ鍵、ＵＴＫ ユーザタグ鍵、ｗ 検索キーワード、Ｗ 登録キーワード。

Claims (10)

1. 登録キーワードと、前記登録キーワードを検索する権限を有する権限者が有すべき属性を示す権限者属性情報と、前記登録キーワードに対応する登録キーワード索引を暗号化する索引開示鍵とを記憶している登録データ記憶部と、
   前記登録キーワードと、前記権限者属性情報と、前記登録キーワードを検索する検索者が有する属性を示す検索者属性情報が組み込まれたユーザ鍵を生成するユーザ鍵関数と、前記ユーザ鍵が組み込まれた検索クエリであって、前記検索者が前記登録キーワードを検索する検索キーワードに対応する検索クエリを生成する検索クエリ関数と、前記検索クエリが組み込まれた索引クエリであって、前記登録キーワード索引を検索する索引クエリを生成する索引クエリ関数とを用いて前記登録キーワード索引を生成する索引生成部と、
   前記索引開示鍵を用いて前記登録キーワード索引を暗号化することにより暗号化索引を生成する暗号化索引生成部と
   を備える登録装置を備える秘匿検索システム。
2. 前記登録装置は、乱数を暗号化タグ乱数として生成する乱数生成部と、前記権限者属性情報と、前記登録キーワードと、前記ユーザ鍵関数と、前記検索クエリ関数とを用いて、前記登録キーワードに対応する中間タグを生成する中間タグ生成部と、前記中間タグと、前記暗号化タグ乱数と、前記登録キーワードが組み込まれた暗号化タグを生成する暗号化タグ関数とを用いて前記暗号化タグを生成する暗号化タグ生成部とを備え、
   前記索引生成部は、前記中間タグを用いて前記登録キーワード索引を生成する請求項１に記載の秘匿検索システム。
3. 前記検索クエリを記憶している管理データ記憶部と、
   前記暗号化タグを受け付け、かつ、前記暗号化タグを管理データ記憶部に記憶させる管理データ受付部と
   を備えるデータ管理装置を備え、
   前記暗号化タグ生成部は、前記登録キーワードと、前記暗号化タグ乱数と、前記暗号化タグ関数と、暗号化タグに対応する暗号化タグ照合子を生成する照合子関数とを用いて前記暗号化タグ照合子を生成し、かつ、前記暗号化タグ乱数と、前記暗号化タグ照合子を前記暗号化タグに結合し、
   前記登録装置は、前記暗号化タグを前記データ管理装置に出力する登録データ出力部を備え、
   前記データ管理装置は、前記暗号化タグと、前記検索クエリと、前記暗号化タグに結合された前記暗号化タグ乱数と、前記暗号化タグ関数と、前記照合子関数とを用いて、前記検索キーワードが前記登録キーワードと一致しているか否かを判定するための判定用照合子を生成し、かつ、前記判定用照合子と、前記暗号化タグに結合された暗号化タグ照合子とが等しい場合に、前記登録キーワードと、前記検索キーワードとが一致していると判定する照合処理を実行する暗号化タグ照合部を備える請求項２に記載の秘匿検索システム。
4. 前記索引開示鍵は、前記暗号化索引の少なくとも一部を復号することができる鍵であり、
   前記管理データ記憶部は、前記索引開示鍵と、前記索引クエリとを記憶しており、
   前記登録データ出力部は、前記暗号化索引を前記データ管理装置に出力し、
   前記管理データ受付部は、前記暗号化索引を受け付け、かつ、前記暗号化索引を前記管理データ記憶部に記憶させ、
   前記データ管理装置は、前記索引開示鍵を用いて前記暗号化索引を復号することによって前記登録キーワード索引の少なくとも一部である部分登録キーワード索引を生成する暗号化索引復号部と、前記索引クエリに含まれ、かつ、前記部分登録キーワード索引に対応する部分索引クエリと、前記部分登録キーワード索引とが一致している場合に、前記登録キーワード及び前記検索キーワードと、前記権限者属性情報及び前記検索者属性情報とがそれぞれ一致している可能性があると判定する索引照合部とを備え、
   前記暗号化タグ照合部は、前記登録キーワード及び前記検索キーワードと、権限者属性情報及び検索者属性情報とがそれぞれ一致している可能性があると前記索引照合部が判定した場合に、前記照合処理を実行する請求項３に記載の秘匿検索システム。
5. 前記管理データ記憶部は、前記暗号化索引の前記少なくとも一部に対応する位置を示す索引開示位置情報を記憶しており、
   前記索引照合部は、前記索引クエリの内、前記索引開示位置情報に対応する部分を前記部分索引クエリとする請求項４に記載の秘匿検索システム。
6. 前記ユーザ鍵と、前記検索キーワードとを記憶している検索データ記憶部と、
   前記ユーザ鍵と、前記検索キーワードと、前記検索クエリ関数とを用いて前記検索クエリを生成する検索クエリ生成部と、
   前記検索クエリと、前記索引クエリ関数とを用いて前記索引クエリを生成する索引クエリ生成部と、
   前記検索クエリと、前記索引クエリとを前記データ管理装置に出力する検索データ出力部と
   を備える検索操作装置を備え、
   前記管理データ受付部は、前記検索クエリと、前記索引クエリとを受け付け、かつ、前記検索クエリと、前記索引クエリとを前記管理データ記憶部に記憶させる請求項４又は５に記載の秘匿検索システム。
7. 前記検索者属性情報を記憶しているユーザデータ記憶部と、
   前記検索者属性情報と、前記ユーザ鍵関数とを用いて前記ユーザ鍵を生成するユーザ鍵生成部と、
   前記ユーザ鍵を前記検索操作装置に出力するユーザデータ出力部と
   を備えるユーザ鍵装置を備え、
   前記検索操作装置は、前記ユーザ鍵を受け付け、かつ、前記ユーザ鍵を前記検索データ記憶部に記憶させる検索データ受付部を備える請求項６に記載の秘匿検索システム。
8. 前記権限者属性情報は、前記検索者属性情報に含まれる属性がどのようなものであっても前記検索者属性情報に対応する検索者に前記登録キーワードを検索することを許可することを示すワイルドカードを含んでおり、
   前記中間タグ生成部は、前記ワイルドカードを前記中間タグに組み込む請求項２から７のいずれか１項に記載の秘匿検索システム。
9. コンピュータである登録装置が備える登録データ記憶部が、登録キーワードと、前記登録キーワードを検索する権限を有する権限者が有すべき属性を示す権限者属性情報と、前記登録キーワードに対応する登録キーワード索引を暗号化する索引開示鍵とを記憶しており、
   前記登録装置が備える索引生成部が、前記登録キーワードと、前記権限者属性情報と、前記登録キーワードを検索する検索者が有する属性を示す検索者属性情報が組み込まれたユーザ鍵を生成するユーザ鍵関数と、前記ユーザ鍵が組み込まれた検索クエリであって、前記検索者が前記登録キーワードを検索する検索キーワードに対応する検索クエリを生成する検索クエリ関数と、前記検索クエリが組み込まれた索引クエリであって、前記登録キーワード索引を検索する索引クエリを生成する索引クエリ関数とを用いて前記登録キーワード索引を生成し、
   前記登録装置が備える暗号化索引生成部が、前記索引開示鍵を用いて前記登録キーワード索引を暗号化することにより暗号化索引を生成する秘匿検索方法。
10. 登録キーワードと、前記登録キーワードを検索する権限を有する権限者が有すべき属性を示す権限者属性情報と、前記登録キーワードに対応する登録キーワード索引を暗号化する索引開示鍵とを記憶しているコンピュータに、
    前記登録キーワードと、前記権限者属性情報と、前記登録キーワードを検索する検索者が有する属性を示す検索者属性情報が組み込まれたユーザ鍵を生成するユーザ鍵関数と、前記ユーザ鍵が組み込まれた検索クエリであって、前記検索者が前記登録キーワードを検索する検索キーワードに対応する検索クエリを生成する検索クエリ関数と、前記検索クエリが組み込まれた索引クエリであって、前記登録キーワード索引を検索する索引クエリを生成する索引クエリ関数とを用いて前記登録キーワード索引を生成させ、
    前記索引開示鍵を用いて前記登録キーワード索引を暗号化することにより暗号化索引を生成させる秘匿検索プログラム。

Images