JP7295818B2 - 暗号化装置、復号装置、暗号化方法及び暗号化プログラム - Google Patents

Description

本発明は、時間指定暗号（Ｔｉｍｅ－Ｓｐｅｃｉｆｉｃ Ｅｎｃｒｙｐｔｉｏｎ， ＴＳＥ）を構成する装置、方法及びプログラムに関する。

従来、指定された範囲に含まれる周期（あるいは数値）に対応する秘密鍵によってのみ復号が可能なＴＳＥの構成法が提案されている。
例えば、非特許文献１では、ＩＤベース暗号（Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ， ＩＢＥ）（例えば、非特許文献２参照）を用いたＴＳＥの構成法が提案されている。

ところが、ＩＢＥを用いたＴＳＥの構成法では、秘密鍵長が周期総数に応じて増加し、固定長にはなり得ない。そこで、ＩＢＥに代えて、ワイルドカードＩＤベース暗号（Ｗｉｌｄｃａｒｄｅｄ Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ， ＷＩＢＥ）（例えば、非特許文献３～５参照）を用いたＴＳＥの構成法が考えられる。すなわち、秘密鍵長が固定長であるようなＷＩＢＥ方式を採用することで、ＴＳＥの秘密鍵が固定長となる。

K. G. Paterson and E. A. Quaglia. Time-specific encryption. In SCN 2010, volume 6280 of LNCS, pages 1-16. Springer, 2010. A. Shamir. Identity-based cryptosystems and signature schemes. In CRYPTO 1984, volume 196 of LNCS, pages 47-53. Springer, 1984. M. Abdalla, J. Birkett, D. Catalano, A.W Dent, J. Malone-Lee, G. Neven, J.C.N. Schuldt, and N.P. Smart. Wildcarded identity-based encryption. Journal of Cryptology, 24(1):42-82, 2011. M. Abdalla, D. Catalano, A.W. Dent, J. Malone-Lee, G. Neven, and N.P. Smart. Identity-based encryption gone wild. In ICALP 2006, volume 4052 of LNCS, pages 300-311. Springer, 2006. J. Birkett, A.W Dent, G. Neven, and J.C.N. Schuldt. Efficient chosen-ciphertext secure identity-based encryption with wildcards. In ACISP 2007, volume 4586 of LNCS, pages 274-292. Springer, 2007.

しかしながら、ＷＩＢＥを用いた自明なＴＳＥの構成法では、暗号文長が長くなるため、実用上の利便性が低いという課題があった。

本発明は、ＷＩＢＥを用いてＴＳＥを構成する際に、暗号文長を短縮できる暗号化装置、復号装置、暗号化方法及び暗号化プログラムを提供することを目的とする。

本発明に係る暗号化装置は、２^ｄ個の数値に対して、それぞれｄビットのビット列を割り当てる二値化部と、範囲［Ｌ，Ｒ］の時間指定暗号における周期に対応する前記数値のそれぞれに割り当てられた前記ビット列の全てをカバーするワイルドカードＩＤの集合を決定するｗＩＤ集合決定部と、決定された前記ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、当該暗号化の結果の全てを、範囲［Ｌ，Ｒ］に関する暗号文として出力する暗号化部と、を備え、前記二値化部は、前記数値の並びを再帰的に２分割した際に、分割点を軸に両側のブロックに含まれる前記ビット列のいずれか１ビットのみは反転し、他のビットは対称となるように０又は１を割り当てる。

前記二値化部は、前記数値の並びにおいて、隣り合う数値間で１ビットのみが異なる前記ビット列を割り当ててもよい。

前記暗号化部は、前記周期に対して前記数値を所定の数だけ巡回シフトさせて対応付けてもよい。

前記暗号化装置は、前記数値の並びを再帰的に２分割していく際に得られるブロックのうち、前記範囲［Ｌ，Ｒ］に含まれる最も大きなブロックの始点において、前記範囲［Ｌ，Ｒ］を分割する分割部を備え、前記ｗＩＤ集合決定部は、前記分割部により分割された部分範囲毎に前記ワイルドカードＩＤの集合を決定してもよい。

前記ｗＩＤ集合決定部は、前記部分範囲毎に決定された集合の全体をカバーする前記ワイルドカードＩＤの集合を決定してもよい。

本発明に係る復号装置は、前記暗号化装置により暗号化された暗号文を、前記ワイルドカードＩＤベース暗号方式により復号する。

本発明に係る暗号化方法は、２^ｄ個の数値に対して、それぞれｄビットのビット列を割り当てる二値化ステップと、範囲［Ｌ，Ｒ］の時間指定暗号における周期に対応する前記数値のそれぞれに割り当てられた前記ビット列の全てをカバーするワイルドカードＩＤの集合を決定するｗＩＤ集合決定ステップと、決定された前記ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、当該暗号化の結果の全てを、範囲［Ｌ，Ｒ］に関する暗号文として出力する暗号化ステップと、をコンピュータが実行し、前記二値化ステップにおいて、前記数値の並びを再帰的に２分割した際に、分割点を軸に両側のブロックに含まれる前記ビット列のいずれか１ビットのみは反転し、他のビットは対称となるように０又は１を割り当てる。

本発明に係る暗号化プログラムは、前記暗号化装置としてコンピュータを機能させるためのものである。

本発明によれば、ＷＩＢＥを用いてＴＳＥを構成する際に、暗号文長を短縮できる。

ｗＩＤ条件合致判定アルゴリズムの定義を示す図である。 ＩＢＥを用いたＴＳＥの構成法に関する、葉ノードの総数がＴである完全二分木を例示する図である。 ＷＩＢＥを用いた自明なＴＳＥの構成法に関する、葉ノードの総数がＴである完全二分木を例示する図である。 暗号化装置の機能構成を示す図である。 二値化アルゴリズムの定義を示す図である。 二値化アルゴリズムの実行例を示す図である。 クラス分類アルゴリズムの定義を示す図である。 クラス分類アルゴリズムの実行例を示す図である。 分割アルゴリズムの定義を示す図である。 分割アルゴリズムの実行例を示す図である。 後半ｗＩＤ集合確定アルゴリズムの定義を示す図である。 前半ｗＩＤ集合確定アルゴリズムの定義を示す図である。 前後半ｗＩＤ集合合併アルゴリズムの定義を示す図である。 後半ｗＩＤ集合確定アルゴリズム、前半ｗＩＤ集合確定アルゴリズム、及び前後半ｗＩＤ集合合併アルゴリズムのそれぞれの実行後の状態を例示する図である。 セットアップアルゴリズムの定義を示す図である。 鍵生成アルゴリズムの定義を示す図である。 暗号化アルゴリズムの定義を示す図である。 復号アルゴリズムの定義を示す図である。 関数ｆ、関数ｈを導入した二値化アルゴリズムの定義を示す図である。 二値化アルゴリズムを変形した第１の実行例を示す図である。 二値化アルゴリズムを変形した第２の実行例を示す図である。 二値化アルゴリズムを変形した第３の実行例を示す図である。 二値化アルゴリズムを変形した第４の実行例を示す図である。 関数ｆを導入した後半ｗＩＤ集合確定アルゴリズムの定義を示す図である。 関数ｆを導入した前半ｗＩＤ集合確定アルゴリズムの定義を示す図である。 関数ｆを導入した前後半ｗＩＤ集合合併アルゴリズムの定義を示す図である。 整数δを導入した鍵生成アルゴリズムの定義を示す図である。 整数δを導入した暗号化アルゴリズムの定義を示す図である。 整数δを導入した復号アルゴリズムの定義を示す図である。

以下、本発明の実施形態の一例について説明する。
本実施形態は、時間指定暗号（ＴＳＥ）の構成法に関し、まず、ＴＳＥを説明した後、ＩＤベース暗号（ＩＢＥ）及びワイルドカードＩＤベース暗号（ＷＩＢＥ）を、さらに、これらを用いた従来の自明なＴＳＥの構成法について説明する。

［時間指定暗号（ＴＳＥ）］
ＴＳＥは、以下の４つの多項式時間アルゴリズム｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝により構成される。なお、Ｄｅｃは確定的アルゴリズムであり、それ以外は確率的アルゴリズムである。

λ∈Ｎ（自然数）として、１^λは、秘密鍵長等を決定するセキュリティパラメータである。Ｔ∈Ｎは、周期総数を表す。
セットアップアルゴリズムＳｅｔｕｐは、（１^λ，１^Ｔ）を入力として受け取り、システム公開鍵ｍｐｋとマスタ秘密鍵ｍｓｋを出力する。これを、（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１^λ，１^Ｔ）と表記する。
このＳｅｔｕｐアルゴリズムは、信頼できる第三者機関（Ｔｒｕｓｔｅｄ Ａｕｔｈｏｒｉｔｙ， ＴＡ）により実行される。マスタ秘密鍵ｍｓｋは、ＴＡにより秘密裏に保持される。また、システム公開鍵ｍｐｋは、３つのアルゴリズム｛ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝に対して入力される。

鍵生成アルゴリズムＫＧｅｎは、マスタ秘密鍵ｍｓｋと周期（あるいは数値）ｔ∈［０，Ｔ－１］とを入力として受け取り、秘密鍵ｓｋ_ｔを出力する。これを、ｓｋ_ｔ←ＫＧｅｎ（ｍｓｋ，ｔ）と表記する。
この鍵生成アルゴリズムＫＧｅｎは、ｍｓｋを用いてＴＡにより実行される。生成された秘密鍵ｓｋ_ｔは、所定の安全な手段により鍵の所有者に譲渡されるものとする。

暗号化アルゴリズムＥｎｃは、平文ｍ∈Ｍ（平文空間）と、範囲［Ｌ，Ｒ］ ⊆［０，Ｔ－１］を入力として受け取り、暗号文Ｃ_{［Ｌ，Ｒ］}を出力する。これを、Ｃ_{［Ｌ，Ｒ］}←Ｅｎｃ（ｍ，［Ｌ，Ｒ］）と表記する。

復号アルゴリズムＤｅｃは、秘密鍵ｓｋ_ｔと暗号文Ｃ_{［Ｌ，Ｒ］}とを入力として受け取り、平文ｍ∈Ｍあるいは復号不可を意味する特殊な記号⊥を出力する。これを、ｍ／⊥←Ｄｅｃ（ｓｋ_ｔ，Ｃ_{［Ｌ，Ｒ］}）と表記する。

ここで、いかなるＴＳＥ方式も正当（ｃｏｒｒｅｃｔ）でなければならないとする。ＴＳＥ方式Σ_ＴＳＥ＝｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝が正当であるとは、ある平文ｍがある範囲［Ｌ，Ｒ］の下で正しく暗号化された場合に、この暗号文は、当該範囲に含まれる周期ｔ∈［Ｌ，Ｒ］に対応する鍵として正しく作られた秘密鍵を用いることで、正しく復号できる場合をいう。正当であることの厳密な定義は次の通りである。
∀λ，Ｔ∈Ｎ，∀（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１^λ，１^Ｔ），∀ｔ∈［０，Ｔ－１］，∀ｓｋ_ｔ←ＫＧｅｎ（ｍｓｋ，ｔ），∀ｍ∈Ｍ，∀［Ｌ，Ｒ］⊆［０，Ｔ－１］ ｓ．ｔ． ｔ∈［Ｌ，Ｒ］，∀Ｃ_{［Ｌ，Ｒ］}←Ｅｎｃ（ｍ，［Ｌ，Ｒ］），ｍ←Ｄｅｃ（ｓｋ_ｔ，Ｃ_{［Ｌ，Ｒ］}）．

また、ＴＳＥ方式が満たすべき次のような安全性を想定する。
・いかなる多項式時間攻撃者も、ある平文ｍの範囲［Ｌ，Ｒ］の下での暗号文Ｃ_{［Ｌ，Ｒ］}から、平文ｍに関するいかなる情報（１ビットの情報さえ）も得られない。
なお、攻撃者は、［Ｌ，Ｒ］に含まれない任意の周期に対応する秘密鍵を自由に入手可能であるとする。

［ＩＤベース暗号（ＩＢＥ）］
ＩＢＥは、以下の４つの多項式時間アルゴリズム｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝により構成される。
なお、Ｎ∈Ｎ（自然数）は、ＩＤ総数を表し、ＩＤ空間を、｛０，１｝^ｌｏｇＮと表記する。また、本実施形態において、対数ｌｏｇの基底は２とする。

セットアップアルゴリズムＳｅｔｕｐは、（１^λ，１^Ｎ）を入力として受け取り、ｍｐｋとｍｓｋとを出力する。これを、（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１^λ，１^Ｎ）と表記する。

鍵生成アルゴリズムＫＧｅｎは、ｍｓｋとＩＤ∈｛０，１｝^{ｌｏｇ Ｎ}を入力として受け取り、秘密鍵ｓｋ_ＩＤを出力する。これを、ｓｋ_ＩＤ←ＫＧｅｎ（ｍｓｋ，ＩＤ）と表記する。

暗号化アルゴリズムＥｎｃは、平文ｍ∈Ｍと、ＩＤ∈｛０，１｝^ｌｏｇＮとを入力として受け取り、暗号文Ｃ_ＩＤを出力する。これを、Ｃ_ＩＤ←Ｅｎｃ（ｍ，ＩＤ）と表記する。

復号アルゴリズムＤｅｃは、秘密鍵ｓｋ_ｔと暗号文Ｃ_ＩＤとを入力として受け取り、平文ｍ∈Ｍあるいは復号不可を意味する特殊な記号⊥を出力する。これを、ｍ／⊥←Ｄｅｃ（ｓｋ_ｔ，Ｃ_ＩＤ）と表記する。

ここで、いかなるＩＢＥ方式も正当（ｃｏｒｒｅｃｔ）でなければならないとする。ＩＢＥ方式Σ_ＩＢＥ＝｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝が正当であるとは、ある平文ｍがあるＩＤの下で正しく暗号化された場合に、この暗号文は、当該ＩＤに対応する鍵として正しく作られた秘密鍵により、正しく復号される場合をいう。正当であることの厳密な定義は次の通りである。
∀λ，Ｎ∈Ｎ（自然数），∀（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１^λ，１^Ｎ），∀ＩＤ∈｛０，１｝^ｌｏｇＮ，∀ｓｋ_ＩＤ←ＫＧｅｎ（ｍｓｋ，ＩＤ），∀ｍ∈Ｍ，∀Ｃ_ＩＤ←Ｅｎｃ（ｍ，ＩＤ），ｍ←Ｄｅｃ（ｓｋ_ＩＤ，Ｃ_ＩＤ）．

［ワイルドカードＩＤベース暗号（ＷＩＢＥ）］
ＷＩＢＥは、以下の４つの多項式時間アルゴリズム｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝により構成される。
なお、Ｎ∈Ｎ（自然数）は、ＩＤ総数を表し、ＩＤ空間を、｛０，１｝^ｌｏｇＮと表記する。また、ワイルドカードＩＤ（ｗＩＤ）空間を、｛０，１，＊｝^ｌｏｇＮと表記する。

セットアップアルゴリズムＳｅｔｕｐは、（１^λ，１^Ｎ）を入力として受け取り、ｍｐｋとｍｓｋとを出力する。これを、（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１^λ，１^Ｎ）と表記する。

鍵生成アルゴリズムＫＧｅｎは、ｍｓｋとＩＤ∈｛０，１｝^{ｌｏｇ Ｎ}とを入力として受け取り、秘密鍵ｓｋ_ＩＤを出力する。これを、ｓｋ_ＩＤ←ＫＧｅｎ（ｍｓｋ，ＩＤ）と表記する。

暗号化アルゴリズムＥｎｃは、平文ｍ∈Ｍと、ｗＩＤ∈｛０，１，＊｝^ｌｏｇＮとを入力として受け取り、暗号文Ｃ_ｗＩＤを出力する。これを、Ｃ_ｗＩＤ←Ｅｎｃ（ｍ，ｗＩＤ）と表記する。

復号アルゴリズムＤｅｃは、秘密鍵ｓｋ_ＩＤと暗号文Ｃ_ｗＩＤとを入力として受け取り、平文ｍ∈Ｍあるいは復号不可を意味する特殊な記号⊥を出力する。これを、ｍ／⊥←Ｄｅｃ（ｓｋ_ＩＤ，Ｃ_ｗＩＤ）と表記する。

ここで、ＷＩＢＥ方式に関しては、ｗＩＤ条件合致判定アルゴリズムＭａｔｃｈを次のように定義する。

図１は、ｗＩＤ条件合致判定アルゴリズムＭａｔｃｈ_ｌｏｇＮの定義を示す図である。
Ｍａｔｃｈ_ｌｏｇＮは、ＩＤ∈｛０，１｝^ｌｏｇＮ及びｗＩＤ∈｛０，１，＊｝^ｌｏｇＮを入力として受け取り、ＩＤがｗＩＤの条件に合致する場合にｔｒｕｅを、合致しない場合にｆａｌｓｅを出力する。これを、ｔｒｕｅ／ｆａｌｓｅ←Ｍａｔｃｈ_ｌｏｇＮ（ＩＤ，ｗＩＤ）と表記する。

いかなるＷＩＢＥ方式も正当（ｃｏｒｒｅｃｔ）でなければならないとする。ＷＩＢＥ方式Σ_ＷＩＢＥ＝｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝が正当であるとは、ある平文ｍがあるｗＩＤの下で正しく暗号化された場合に、この暗号文は、ｗＩＤの条件を満足するＩＤに対応する鍵として正しく作られた秘密鍵により、正しく復号される場合をいう。正当であることの厳密な定義は次の通りである。
∀λ，Ｎ∈Ｎ（自然数），∀（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１^λ，１^Ｎ），∀ＩＤ∈｛０，１｝^ｌｏｇＮ，∀ｓｋ_ＩＤ←ＫＧｅｎ（ｍｓｋ，ＩＤ），∀ｍ∈Ｍ，∀ｗＩＤ∈｛０，１，＊｝^ｌｏｇＮ ｓ．ｔ． ｔｒｕｅ←Ｍａｔｃｈ_ｌｏｇＮ（ＩＤ，ｗＩＤ），∀Ｃ_ｗＩＤ←Ｅｎｃ（ｍ，ｗＩＤ），ｍ←Ｄｅｃ（ｓｋ_ＩＤ，Ｃ_ｗＩＤ）．

［ＩＢＥを用いたＴＳＥの構成法］
非特許文献１で提案された、ＩＢＥをブラックボックス的に用いたＴＳＥの構成法は以下の通りである。
まず、周期の総数をＴ∈Ｎとする。

図２は、ＩＢＥを用いたＴＳＥの構成法に関する、葉ノードの総数がＴである完全二分木を例示する図である。
ここでは、Ｔ＝８の場合を例示している。
各葉ノードは、各周期に対応するものとする。具体的には、葉ノードｂ_ｔ∈｛０，１｝^ｌｏｇＴは、周期Σ_ｉ＝０ ^{ｌｏｇＴ－１}２^ｉｂ_ｔ［ｉ］∈［０，Ｔ－１］に対応する。
なお、本実施形態では、ビット列ｂ∈｛０，１｝^Ｎについて、ｂ［ｉ］は、ｂの第ｉ∈［０，Ｎ－１］ビットを表す。

以下、ｉ∈［０，ｌｏｇＴ－１］について、ｂ_ｔ，ｉ：＝ｂ_ｔ［ｌｏｇＴ－１］∥…∥ｂ_ｔ［ｌｏｇＴ－１－ｉ］とする。また、ｂ_ｔ，－１：＝φとする。
また、ノードｂ∈｛０，１｝^{≦ｌｏｇＴ}について、ｂを入力として受け取り、ｂの子孫に該当する葉ノードの集合を出力する確定的関数をＡｎｃ_ｌｏｇＴとする。例えば、Ａｎｃ_３（０）＝｛０００，００１，０１０，０１１｝、Ａｎｃ_３（１１）＝｛１１０，１１１｝である。
また、確定的関数Ｃｏｖｅｒ_ｌｏｇＴは、０≦Ｌ≦Ｒ≦Ｔ－１を満たす範囲［Ｌ，Ｒ］を入力として受け取り、次の条件を満たすノード集合Ｃｏｖｅｒ_ｌｏｇＴ（［Ｌ，Ｒ］）＝｛ｂ∈｛０，１｝^{≦ｌｏｇＴ}｝を出力する。
｛∪_{ｂ∈Ｃｏｖｅｒ＿ｌｏｇＴ（［Ｌ，Ｒ］）}Ａｎｃ（ｂ）｝＝［Ｌ，Ｒ］、かつ、集合内の要素数｜Ｃｏｖｅｒ_ｌｏｇＴ（［Ｌ，Ｒ］）｜が最小である。
例えば、Ｃｏｖｅｒ_３（［１，３］）＝｛００１，０１｝、Ｃｏｖｅｒ_３（［１，６］）＝｛００１，０１，１０，１１０｝である。

周期ｔ∈［０，Ｔ－１］の秘密鍵は、ｓｋ_ｔ：＝｛ｓｋ_ｔ，ｉ：＝ＩＢＥ．ＫＧｅｎ（ｍｓｋ，ｂ_ｔ，ｉ）｜ｉ∈［－１，ｌｏｇＴ－１］｝により生成される。また、範囲［Ｌ，Ｒ］上の平文ｍの暗号文は、Ｃ_{ｍ，［Ｌ，Ｒ］}：＝｛Ｃ_ｍ，ｂ：＝ＩＢＥ．Ｅｎｃ（ｍ，ｂ）｜ｂ∈Ｃｏｖｅｒ_ｌｏｇＴ（［Ｌ，Ｒ］）｝により生成される。

暗号文Ｃ_{ｍ，［Ｌ，Ｒ］}の秘密鍵ｓｋ_ｔによる復号手順は以下の通りである。
まず、ｔ∈［Ｌ，Ｒ］ならば、あるｉ∈［－１，ｌｏｇＴ－１］が存在し、ｂ_ｔ，ｉ∈Ｃｏｖｅｒ_ｌｏｇＴ（［Ｌ，Ｒ］）が成立する。秘密鍵ｓｋ_ｔ及び暗号文Ｃ_{ｍ，［Ｌ，Ｒ］}内のｂ_ｔ，ｉに対応する部分秘密鍵及び部分暗号文を、ｓｋ_ｔ，ｉ及びＣ_{ｍ，ｂｔ，ｉ}）と表記する。これらを用いて、ｍ／⊥←ＩＢＥ．Ｄｅｃ（ｓｋ_ｔ，Ｃ_{ｍ，ｂｔ，ｉ}）を復号結果とする。

［ＷＩＢＥを用いたＴＳＥの自明な構成法］
前述のＩＢＥを用いたＴＳＥの構成法では、各周期ｔの秘密鍵ｓｋ_ｔは、ｌｏｇＴ＋１個の（ＩＤ総数がＴのＩＢＥ方式Σ_ＩＢＥ ^Ｔの）秘密鍵により構成される。ＩＢＥ方式Σ_ＩＢＥ ^Ｔの秘密鍵長をＫ（Σ_ＩＢＥ ^Ｔ）と表記すると、ＴＳＥの秘密鍵長は（ｌｏｇＴ＋１）・Ｋ（Σ_ＩＢＥ ^Ｔ）により表記される。つまり、ＴＳＥの秘密鍵長は、少なくともｌｏｇＴ＋１に対して線形に増加し、たとえＫ（Σ_ＩＢＥ ^Ｔ）が固定長であったとしても、ＴＳＥの秘密鍵長は固定長にはなり得ない。
この問題を解決するために、ＩＢＥの代わりにＷＩＢＥを用いた自明なＴＳＥの構成法が考えられる。

図３は、ＷＩＢＥを用いた自明なＴＳＥの構成法に関する、葉ノードの総数がＴである完全二分木を例示する図である。
この二分木では、ＩＢＥを用いたＴＳＥの構成法の場合（図２）と比べて、ビット長がｌｏｇＴ未満のノードは、その末尾にワイルドカードビット（＊）が不足分追加される。また、周期ｔ∈［０，Ｔ－１］の秘密鍵ｓｋ_ｔがｓｋ_ｔ：＝ＷＩＢＥ．ＫＧｅｎ（ｍｓｋ，ｔ）により生成され、構成要素のＷＩＢＥ方式の単一の秘密鍵のみにより構成される。
したがって、この構成法による秘密鍵長は、Ｋ（Σ_ＷＩＢＥ ^Ｔ）により表される。つまり、構成要素として秘密鍵長が固定長であるようなＷＩＢＥ方式を採用することで、ＴＳＥの秘密鍵長を固定長にすることができる。

ここで、ＷＩＢＥを用いた自明なＴＳＥの構成法において、範囲［Ｌ，Ｒ］の暗号文Ｃ_{ｍ，［Ｌ，Ｒ］}のビット長は、Σ_{ｂ∈Ｃｏｖｅｒ＿ｌｏｇＴ（Ｌ，Ｒ）}｜Ｃ_ｍ，ｂ｜と表記される。ただし、Ｃ_ｍ，ｂ：＝ＷＩＢＥ．Ｅｎｃ（ｍ，ｂ）である。
この自明なＴＳＥの構成法では、ＷＩＢＥの性質を十分に活かしきれておらず、構成法を工夫することで暗号文長をより短くできる余地を残している。本実施形態では、自明な構成法と比べ、全ての範囲［Ｌ，Ｒ］に関して、暗号文長｜Ｃ_{ｍ，［Ｌ，Ｒ］}｜がより短くなる非自明な構成法を示す。

［ＷＩＢＥを用いた非自明なＴＳＥの第１の構成法］
本実施形態におけるＷＩＢＥを用いた非自明なＴＳＥの構成法では、ＴＳＥ方式｛ＴＳＥ．Ｓｅｔｕｐ，ＴＳＥ．ＫＧｅｎ，ＴＳＥ．Ｅｎｃ，ＴＳＥ．Ｄｅｃ｝が、ＷＩＢＥ方式｛ＷＩＢＥ．Ｓｅｔｕｐ，ＷＩＢＥ．ＫＧｅｎ，ＷＩＢＥ．Ｅｎｃ，ＷＩＢＥ．Ｄｅｃ｝及び６つの補助的アルゴリズム｛Ｂｉｎａｒｉｚｅ_ｌｏｇＴ，Ｃｌａｓｓｉｆｙ_ｌｏｇＴ，Ｄｉｖｉｄｅ_ｌｏｇＴ，Ｌａｔｔｅｒ＿ＷＩＤ_ｌｏｇＴ，Ｆｏｒｍｅｒ＿ＷＩＤ_ｌｏｇＴ，Ｍｅｒｇｅ_ｌｏｇＴ｝を用いて構成される。
以下、非自明なＴＳＥの構成法を実現した暗号化装置１の機能構成を示し、続いて、補助的アルゴリズム、及び構成されたＴＳＥ方式のアルゴリズムを説明する。

図４は、暗号化装置１の機能構成を示す図である。
暗号化装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。

制御部１０は、暗号化装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。

記憶部２０は、ハードウェア群を暗号化装置１として機能させるための各種プログラム（暗号化プログラム）、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）等であってよい。

制御部１０は、二値化部１１と、クラス分類部１２と、分割部１３と、ｗＩＤ集合決定部１４と、セットアップ部１５と、鍵生成部１６と、暗号化部１７と、復号部１８とを備える。
また、ｗＩＤ集合決定部１４は、後半ｗＩＤ集合確定部１４１と、前半ｗＩＤ集合確定部１４２と、前後半ｗＩＤ集合合併部１４３とを備える。

図５は、二値化アルゴリズムＢｉｎａｒｉｚｅ_ｌｏｇＴの定義を示す図である。
二値化部１１は、二値化アルゴリズムにより、周期ｔ∈［０，Ｔ－１］（ｏｒ ｔ∈｛０，１｝^ｌｏｇＴ）を入力として受け取り、ｔに対応する二進数のビット列とは必ずしも一致しない特殊なビット列ｂ∈｛０，１｝^ｌｏｇＴを出力する。なお、図中では、ｄ＝ｌｏｇＴとする。

図６は、二値化アルゴリズムの実行例を示す図である。
ここでは、Ｔ＝３２とし、入力である周期ｔ∈［０，３１］と、出力であるビット列（二進数数値）ｂ∈｛０，１｝^５との対応関係を示している。

出力されるビット列は、ｔに対応する二進数のビット列とは異なり、次のような特徴を有している。
・隣り合うｔで１ビットのみが異なる。
・ｔの昇順の並びを再帰的に２分割していった際に、分割された左右のビット列の並びが１ビットを除いて対称となっている。

図７は、クラス分類アルゴリズムＣｌａｓｓｉｆｙ_ｌｏｇＴの定義を示す図である。
クラス分類部１２は、クラス分類アルゴリズムにより、周期ｔ∈［０，Ｔ－１］を入力として受け取り、クラス番号ｉ∈［０，ｌｏｇＴ］を出力する。具体的には、ｔ＝０の場合、ｌｏｇＴを出力し、ｔ∈［１，Ｔ－１］の場合、ｔ ｍｏｄ ２^ｉ＋１＝２^ｉを満たすｉ∈［０，ｌｏｇＴ－１］を出力する。

図８は、クラス分類アルゴリズムの実行例を示す図である。
ここでは、Ｔ∈｛４，８，１６，３２｝の場合の出力をそれぞれ示している。
ｔの昇順の並びを再帰的に２分割していった際に、分割された右側のブロックの左端のｔに対して、左側のブロックの左端のクラス番号－１が割り当てられる。これにより、１ビットを除いて左右対称となっているビット列のブロック内において、左端のクラス番号が最大となる。

図９は、分割アルゴリズムＤｉｖｉｄｅ_ｌｏｇＴの定義を示す図である。
分割部１３は、分割アルゴリズムにより、Ｌ∈［０，Ｔ－１］かつＲ∈［０，Ｔ－１］を満たす［Ｌ，Ｒ］（Ｌ＞Ｒの場合、［Ｌ，Ｔ－１］∪［０，Ｒ］）を入力として受け取り、この範囲を前半範囲［Ｌ，Ｄ－１］と後半範囲［Ｄ，Ｒ］へ二分割する分割点Ｄ∈［Ｌ，Ｒ］を出力する。
分割点Ｄは、範囲［Ｌ，Ｒ］内の数値のうち、最もクラス番号の大きい数値である。すなわち、範囲［Ｌ，Ｒ］に含まれる最も大きなブロックの区切りで二分割される。Ｌ＞Ｒの場合、必ずＤ＝０になる。

図１０は、分割アルゴリズムの実行例を示す図である。
ここでは、Ｔ＝３２とし、［Ｌ，Ｒ］∈｛［０，３０］，［９，３０］，［１，３０］，［２，０］｝の場合の分割点を、それぞれ△で示している。
例えば、範囲が［０，３０］の場合は、クラス番号が５の分割点Ｄ＝０、範囲が［９，３０］及び［１，３１］の場合は、クラス番号が４の分割点Ｄ＝１６、範囲が［２，０］の場合は、クラス番号が５の分割点Ｄ＝０が出力される。

図１１は、後半ｗＩＤ集合確定アルゴリズムＬａｔｔｅｒ＿ＷＩＤ_ｌｏｇＴの定義を示す図である。
後半ｗＩＤ集合確定部１４１は、後半ｗＩＤ集合確定アルゴリズムにより、後半範囲［Ｄ，Ｒ］を入力として受け取り、ｗＩＤ集合Ｔ_{［Ｄ，Ｒ］}＝｛ｗＩＤ_ｉ｜ｉ∈［１，ｎ_１］｝を出力する。全てのＴ∈Ｎ ｓ．ｔ． ｌｏｇＴ∈Ｎ、及びＬ∈［０，Ｔ－１］かつＲ∈［０，Ｔ－１］を満たす全てのＬ，Ｒについて、Ｄ←Ｄｉｖｉｄｅ_ｌｏｇＴ（Ｌ，Ｒ）とした場合、

が存在し、以下の２つの条件を満たす。

（１）後半範囲［Ｄ，Ｒ］は、２^ｋ個の数値からなる前述のブロックの集合として、次のように表現できる。

（２）全てのｉ∈［１，ｎ_１］について、あるｗＩＤｉ∈｛０，１，＊｝^ｌｏｇＴが存在し、ｗＩＤ_ｉは以下を満たす。
・｜ｗＩＤ_ｉ｜_＊＝ｋ_ｉ．
・後半範囲［Ｄ，Ｒ］の部分範囲である、

をカバーする。

ただし、ｗＩＤ∈｛０，１，＊｝^ｌｏｇＴについて、｜ｗＩＤ｜_＊∈［０，ｌｏｇＴ］は、ワイルドカードビット総数を表す。つまり、

である。
また、「ｗＩＤ∈｛０，１，＊｝^ｌｏｇＴが［ｘ，ｙ］⊆［０，Ｔ－１］をカバーする」とは、［０，Ｔ－１］に含まれる全数値のうち、範囲［ｘ，ｙ］に含まれる数値に対応する二進数数値のみが、ｗＩＤの条件を満たす場合をいう。

図１２は、前半ｗＩＤ集合確定アルゴリズムＦｏｒｍｅｒ＿ＷＩＤ_ｌｏｇＴの定義を示す図である。
前半ｗＩＤ集合確定部１４２は、前半ｗＩＤ集合確定アルゴリズムにより、前半範囲［Ｌ，Ｄ－１］を入力として受け取り、ｗＩＤ集合Ｔ_{［Ｌ，Ｄ－１］}＝｛ｗＩＤ_ｉ｜ｉ∈［ｎ_１＋１，ｎ_２］｝を出力する。全てのＴ∈Ｎ ｓ．ｔ． ｌｏｇＴ∈Ｎ、及びＬ∈［０，Ｔ－１］かつＲ∈［０，Ｔ－１］を満たす全てのＬ，Ｒについて、Ｄ←Ｄｉｖｉｄｅ_ｌｏｇＴ（Ｌ，Ｒ）とした場合、

が存在し、以下の２つの条件を満たす。

（１）前半範囲［Ｌ，Ｄ－１］は、２^ｋ個の数値からなる前述のブロックの集合として、次のように表現できる。

（２）全てのｉ∈［ｎ_１＋１，ｎ_２］について、あるｗＩＤ_ｉ∈｛０，１，＊｝^ｌｏｇＴが存在し、ｗＩＤ_ｉは以下を満たす。
・｜ｗＩＤ_ｉ｜_＊＝ｋ_ｉ．
・ｗＩＤ_ｉは、前半範囲［Ｌ，Ｄ－１］の部分範囲である、

をカバーする。

図１３は、前後半ｗＩＤ集合合併アルゴリズムＭｅｒｇｅ_ｌｏｇＴの定義を示す図である。
前後半ｗＩＤ集合合併部１４３は、前後半ｗＩＤ集合合併アルゴリズムにより、前後半ｗＩＤ集合Ｔ_{［Ｄ，Ｒ］}，Ｔ_{［Ｌ，Ｄ－１］}を受け取り、ｗＩＤ集合Ｔ_{［Ｌ，Ｒ］}を出力する。

まず、以下の条件を満たす自然数ｎ^＊を定義する。

このとき、全てのｉ∈［１，ｎ^＊］について、以下の条件を満たすｗＩＤ′_ｉ∈｛０，１，＊｝^ｌｏｇＴが存在する。
・｜ｗＩＤ′_ｉ｜_＊＝ｋ_ｉ＋１＝ｋ_ｎ１＋ｉ＋１．
・ｗＩＤ′_ｉは、ｗＩＤ_ｉとｗＩＤ_ｎ１＋ｉによりカバーされる各範囲の和集合により定義される範囲、すなわち、

をカバーする。

図１４は、後半ｗＩＤ集合確定アルゴリズム、前半ｗＩＤ集合確定アルゴリズム、及び前後半ｗＩＤ集合合併アルゴリズムのそれぞれの実行後の状態を例示する図である。
ここでは、Ｔ＝３２，［Ｌ，Ｒ］＝［１，３０］，Ｄ＝１６の場合を例示しており、Ｓｔｅｐ１には、分割アルゴリズムの実行例（図１０）を示している。

後半ｗＩＤ集合確定アルゴリズムでは、Ｔ_{［Ｄ，Ｒ］}：＝｛ｗＩＤ_ｉ｜ｉ∈［１，ｎ_１］｝が出力される。
Ｓｔｅｐ２に示す実行例の場合、図中で同一の数字が割り当てられた周期ｔは、単一のｗＩＤ∈｛０，１，＊｝^５によりカバーされる。具体的には、ｎ_１＝４，ｋ_１＝３，ｋ_２＝２，ｋ_３＝１，ｋ_４＝０，ｗＩＤ_１＝１１＊＊＊，ｗＩＤ_２＝１０１＊＊，ｗＩＤ_３＝１００１＊，ｗＩＤ_４＝１０００１である。結果として、Ｔ_{［１６，３０］}＝｛ｗＩＤ_１，ｗＩＤ_２，ｗＩＤ_３，ｗＩＤ_４｝＝｛１１＊＊＊，１０１＊＊，１００１＊，１０００１｝が出力される。

前半ｗＩＤ集合確定アルゴリズムでは、Ｔ_{［Ｌ，Ｄ－１］}：＝｛ｗＩＤ_ｉ｜ｉ∈［ｎ_１＋１，ｎ_２］｝が出力される。
Ｓｔｅｐ３に示す実行例の場合、図中で同一の数字が割り当てられた周期ｔは、単一のｗＩＤ∈｛０，１，＊｝^５によりカバーされる。具体的には、ｎ_２＝４，ｎ_１＋ｎ_２＝８，ｋ_５＝３，ｋ_６＝２，ｋ_７＝１，ｋ_８＝０，ｗＩＤ_５＝０１＊＊＊，ｗＩＤ_６＝００１＊＊，ｗＩＤ_７＝０００１＊，ｗＩＤ_８＝００００１である。結果として、Ｔ_{［１，１５］}＝｛ｗＩＤ_５，ｗＩＤ_６，ｗＩＤ_７，ｗＩＤ_８｝＝｛０１＊＊＊，００１＊＊，０００１＊，００００１｝が出力される。

前後半ｗＩＤ集合合併アルゴリズムでは、

が出力される。
Ｓｔｅｐ４に示す実行例の場合、図中で同一の数字が割り当てられた周期ｔは、単一のｗＩＤ∈｛０，１，＊｝^５によりカバーされる。具体的には、ｎ^＊＝４，ｗＩＤ′_１＝＊１＊＊＊，ｗＩＤ′_２＝＊０１＊＊，ｗＩＤ′_３＝＊００１＊，ｗＩＤ′_４＝＊０００１である。結果として、Ｔ_{［１，３０］}＝｛ｗＩＤ′_１，ｗＩＤ′_２，ｗＩＤ′_３，ｗＩＤ′_４｝＝｛＊１＊＊＊，＊０１＊＊，＊００１＊，＊０００１｝である。

図１５は、セットアップアルゴリズムＴＳＥ．Ｓｅｔｕｐの定義を示す図である。
セットアップ部１５は、セットアップアルゴリズムとして、前述したＷＩＢＥ方式のセットアップアルゴリズムを実行する。

図１６は、鍵生成アルゴリズムＴＳＥ．ＫＧｅｎの定義を示す図である。
鍵生成部１６は、鍵生成アルゴリズムにより、前述したＷＩＢＥ方式の鍵生成アルゴリズムを使用し、ＩＤ：＝Ｂｉｎａｒｉｚｅ_ｌｏｇＴ（ｔ）に対応する秘密鍵を生成する。

図１７は、暗号化アルゴリズムＴＳＥ．Ｅｎｃの定義を示す図である。
暗号化部１７は、暗号化アルゴリズムにより、Ｄｉｖｉｄｅ_ｌｏｇＴ，Ｌａｔｔｅｒ＿ＷＩＤ_ｌｏｇＴ，Ｆｏｒｍｅｒ＿ＷＩＤ_ｌｏｇＴ，Ｍｅｒｇｅ_ｌｏｇＴを順に実行し、範囲［Ｌ，Ｒ］に対応するｗＩＤ集合Ｔ_{［Ｌ，Ｒ］}を導出する。その後、暗号化部１７は、集合内の各ｗＩＤの下で、平文ｍをＷＩＢＥ方式の暗号化アルゴリズムにより暗号化し、これらの暗号文全てを、範囲［Ｌ，Ｒ］に関する平文ｍの暗号文として出力する。

図１８は、復号アルゴリズムＴＳＥ．Ｄｅｃの定義を示す図である。
秘密鍵ｓｋ_ｔに関連付けられた周期をｔ∈［０，Ｔ－１］、暗号文Ｃ_{［Ｌ，Ｒ］}に関連付けられた範囲を［Ｌ，Ｒ］とする。また、ＩＤ：＝Ｂｉｎａｒｉｚｅ_ｌｏｇＴ（ｔ）とする。ｔ∈［Ｌ，Ｒ］であれば、ｔｒｕｅ←ＷＩＢＥ．Ｍａｔｃｈ_ｌｏｇＴ（ＩＤ，ｗＩＤ）を満たすｗＩＤ∈｛０，１，＊｝^ｌｏｇＴが集合Ｔ_{［Ｌ，Ｒ］}内に確実に存在する。
復号部１８は、復号アルゴリズムにより、このｗＩＤに対応するＣ_{［Ｌ，Ｒ］}内の暗号文要素をＣとし、Ｃを、ｓｋ_ｔを用いてＷＩＢＥ方式の復号アルゴリズムにより復号した結果を出力する。

本実施形態によるＷＩＢＥを用いた非自明なＴＳＥの構成法によれば、自明なＴＳＥの構成法に比べて、以下の作用効果が期待できる。

まず、ＷＩＢＥを用いた非自明なＴＳＥの構成法において、暗号化処理の実行過程で作られるｗＩＤ集合を、Ｔ_{［Ｄ，Ｒ］}，Ｔ_{［Ｌ，Ｄ－１］}，Ｔ_{［Ｌ，Ｒ］}と表記する。対して、ＷＩＢＥを用いた自明なＴＳＥの構成法におけるｗＩＤ集合を、Ｔ′_{［Ｌ，Ｒ］}と表記する。
このとき、いかなるＬ，Ｒ，Ｄに関しても、Ｔ_{［Ｄ，Ｒ］}∪Ｔ_{［Ｌ，Ｄ－１］}とＴ′_{［Ｌ，Ｒ］}とは、構造的に等価になる。すなわち、一方の集合に［Ｌ，Ｒ］のある部分範囲［ｌ，ｒ］⊆［Ｌ，Ｒ］をカバーするｗＩＤ∈｛０，１，＊｝^ｌｏｇＴが存在するならば、他方の集合にも同一の部分範囲をカバーするｗＩＤ′∈｛０，１，＊｝^ｌｏｇＴが存在する。

また、いかなるＴ，Ｌ，Ｒ，Ｄ、いかなる平文ｍ、いかなるＷＩＢＥ方式に関しても、構造的に等価な２つのｗＩＤ集合Ｔ_{［Ｌ，Ｒ］}，Ｔ′_{［Ｌ，Ｒ］}をもとにして作られるＷＩＢＥ暗号文の長さは等価になる。要するに、

が成り立つ。したがって、Ｔ_{［Ｄ，Ｒ］}∪Ｔ_{［Ｌ，Ｄ－１］}をもとにして作られるＷＩＢＥ暗号文の長さと、Ｔ′_{［Ｌ，Ｒ］}をもとにして作られるＷＩＢＥ暗号文の長さとは等価になる。
さらに、Ｔ_{［Ｌ，Ｒ］}をもとにして作られるＷＩＢＥ暗号文の長さと、Ｔ_{［Ｄ，Ｒ］}∪Ｔ_{［Ｌ，Ｄ－１］}をもとにして作られるＷＩＢＥ暗号文の長さは、前者の方がいかなる［Ｌ，Ｒ］に関しても、より短くなるか、等価になる。

［Ｌ，Ｒ］によっては、両ｗＩＤ集合が等価になる（例えば、図１０の［９，３０］，［２，０］）。このような場合、それぞれのｗＩＤ集合をもとにして作られるＷＩＢＥ暗号文長は等価になる。
一方で、両ｗＩＤ集合が等価にならない場合もある（例えば、図１０の［０，３０］，［１，３０］）。このような場合、それぞれのｗＩＤ集合をもとにして作られるＷＩＢＥ暗号文長は、前者がより短くなる。

なお、暗号文長が相対的に最も短くなるのは、Ｄを中心にＬ，Ｒが対称的に位置している場合である。これは、例えば、図１０の［１，３０］が該当する。他にも、例えばＴ＝３２の場合、［１，１４］，［１７，２２］，［１５，１６］等、多くの例が存在する。これらの場合、暗号文のビット長は半減、あるいは、ほぼ半減する。

ここで、暗号文長に着目して、既存のＷＩＢＥ方式を分類すると、いかなるｗＩＤ∈｛０，１，＊｝^Ｎに関しても暗号文長が固定である方式（例えば、非特許文献３－４のＢｏｎｅｈ－Ｂｏｙｅｎ ＷＩＢＥ方式及びＷａｔｅｒｓ ＷＩＢＥ方式）と、暗号文長が｜ｗＩＤ｜_＊∈｛０，１，＊｝^Ｎに対して線形に増加する方式（例えば、非特許文献３－４のＢｏｎｅｈ－Ｂｏｙｅｎ－Ｇｏｈ ＷＩＢＥ方式）と、の２種類に大別できる。本実施形態によれば、前者の場合、暗号文のビット長は丁度半減し、後者の場合、ほぼ半減する。

このように、本実施形態によるＷＩＢＥを用いた非自明なＴＳＥの構成法では、ＷＩＢＥを用いた自明なＴＳＥの構成法と比較して、利用するＷＩＢＥ方式を確定した結果として具体的に作られるＴＳＥ方式の暗号文長がより短くなる。具体的には、全ての範囲［Ｌ，Ｒ］に関して、当該範囲に関する暗号文の長さは、より短くなるか等価になり、より長くなることはない。

また、暗号化装置１は、範囲［Ｌ，Ｒ］を前半及び後半に分割することにより、それぞれの部分範囲において、効率的にｗＩＤ集合を決定できる。
さらに、暗号化装置１は、部分範囲毎に求めたｗＩＤ集合をカバーするｗＩＤ集合を決定することにより、ｗＩＤ集合を縮小できる可能性がある。この結果、暗号文が短くなることが期待できる。

［ＷＩＢＥを用いた非自明なＴＳＥの第２の構成法］
本実施形態は、図６に示された周期ｔに対応するビットパターンのみならず、様々なビットパターンに対して有効である。例えば、図６のビットパターンに対して、以下の３つの操作のうちのいずれか１つの操作、あるいは複数を組み合わせた操作を実行して得られる全てのパターンに対して有効である。
１． 複数の行を入れ替える。
２． 各行において、０と１とを置換する。
３． 全ての列を、一定数分、右方向に巡回シフトする。

これらの操作を厳密に定義するために、関数ｆ、関数ｈ、整数δを導入する。
例えば、図６のビットパターンは、Ｔ＝３２の場合の全てのｔ∈［０，Ｔ－１］について、図５のＢｉｎａｒｉｚｅ_５を実行することにより、求められたものである。同様にして、任意のＴ（ただし、ｌｏｇＴは自然数であるとする）について、図６のような周期ｔ∈［０，Ｔ－１］と二進数数値ｂ∈｛０，１｝^ｌｏｇＴとの対応関係を求めることができる。

このようにして求められるｔとｂとの対応関係においては、ｂの各ビットに、それぞれ異なる（０，１）のパターンが割り当てられる。（０，１）のパターンは全部でｂのビット数（ｌｏｇＴ）種類あり、それぞれ０と１の切り替わり間隔（頻度）が異なる。厳密には、２^{ｌｏｇＴ－１}間隔で切り替わる最も低頻度のパターン、２^{ｌｏｇＴ－２}間隔で切り替わった後２^{ｌｏｇＴ－１}間隔で切り替わるパターン、…、２間隔で切り替わった後４間隔で切り替わるパターン、１間隔で切り替わった後２間隔で切り替わる最も高頻度のパターンが存在する。

全単射関数ｆ：｛０，１，…，ｌｏｇＴ－１｝→｛０，１，…，ｌｏｇＴ－１｝は、各ビットをいずれの（０，１）のパターンに割り当てるかを定義する。具体的には、ビットｉ∈｛０，１，…，ｌｏｇＴ－１｝を、始めにｆ（ｉ）∈｛０，１，…，ｌｏｇＴ－１｝間隔で切り替わる（０，１）のパターンに割り当てる。

関数ｈ：｛０，１，…，ｌｏｇＴ－１｝→｛０，１｝は、各ビットｉ∈｛０，１，…，ｌｏｇＴ－１｝において、（０，１）のパターンの初期値を、０とするか１とするかを定義する。

整数δ∈｛０，…，Ｔ－１｝は、二進数数値ｂ＝ｈ［ｌｏｇＴ－１］∥ｈ［ｌｏｇＴ－２］∥…∥ｈ［１］∥ｈ［０］を、どの周期ｔ∈｛０，…，Ｔ－１｝に対応付けるかのシフト量を定義する。

図１９は、関数ｆ、関数ｈを導入した二値化アルゴリズムＢｉｎａｒｉｚｅ_ｌｏｇＴの定義を示す図である。
二値化部１１は、二値化アルゴリズムにより、周期ｔ∈［０，Ｔ－１］（ｏｒ ｔ∈｛０，１｝^ｌｏｇＴ）を入力として受け取り、ｔに対応する二進数ビット列とは必ずしも一致しない特殊なビット列ｂ∈｛０，１｝^ｌｏｇＴを出力する。なお、図中では、ｄ＝ｌｏｇＴとする。

なお、この定義では、整数δが考慮されていないが、二値化アルゴリズムの呼び出し時に、ｔに代えてｔ－δ ｍｏｄ ２^ｄを入力とすることで、ｔを右方向にδだけ巡回シフトした対応関係が得られる。

例えば、図６の実行例は、
Ｔ：＝３２
ｆ（｛０，１，２，３，４｝）：＝｛０，１，２，３，４｝
ｈ（｛０，１，２，３，４｝）：＝｛０，０，０，０，０｝
δ：＝０
とすることで定まる周期ｔ∈［０，３１］と二進数数値ｂ∈｛０，１｝^５との対応関係を示している。

図２０は、二値化アルゴリズムを変形した第１の実行例を示す図である。
この例は、図６の実行例に対して、関数ｆのみを以下のように変更して得られるｔとｂとの対応関係を示している。
ｆ（｛０，１，２，３，４｝）：＝｛４，３，２，１，０｝

図２１は、二値化アルゴリズムを変形した第２の実行例を示す図である。
この例は、図６の実行例に対して、関数ｈのみを以下のように変更して得られるｔとｂとの対応関係を示している。
ｈ（｛０，１，２，３，４｝）：＝｛１，１，１，１，１｝

図２２は、二値化アルゴリズムを変形した第３の実行例を示す図である。
この例は、図６の実行例に対して、整数δのみを以下のように変更して得られるｔとｂとの対応関係を示している。
δ：＝３

図２３は、二値化アルゴリズムを変形した第４の実行例を示す図である。
この例は、図６の実行例に対して、関数ｆ、関数ｈ、整数δを以下のように変更して得られるｔとｂとの対応関係を示している。
ｆ（｛０，１，２，３，４｝）：＝｛３，２，０，４，１｝
ｈ（｛０，１，２，３，４｝）：＝｛０，１，１，０，０｝
δ：＝１５

クラス分類アルゴリズムＣｌａｓｓｉｆｙ_ｌｏｇＴ及び分割アルゴリズムＤｉｖｉｄｅ_ｌｏｇＴについては、前述した第１の構成法から変更はないが、入力されるｔ，Ｌ，Ｒの各パラメータは、二値化アルゴリズムと同様にδだけシフトされた値となる。

図２４は、関数ｆを導入した後半ｗＩＤ集合確定アルゴリズムＬａｔｔｅｒ＿ＷＩＤ_ｌｏｇＴの定義を示す図である。
ここでは、ｗＩＤのビット位置の参照先が関数ｆにより置換されている。

図２５は、関数ｆを導入した前半ｗＩＤ集合確定アルゴリズムＦｏｒｍｅｒ＿ＷＩＤ_ｌｏｇＴの定義を示す図である。
ここでは、後半ｗＩＤ集合確定アルゴリズムと同様に、ｗＩＤのビット位置の参照先が関数ｆにより置換されている。

図２６は、関数ｆを導入した前後半ｗＩＤ集合合併アルゴリズムＭｅｒｇｅ_ｌｏｇＴの定義を示す図である。
ここでは、後半ｗＩＤ集合確定アルゴリズム及び前半ｗＩＤ集合確定アルゴリズムと同様に、ｗＩＤのビット位置の参照先が関数ｆにより置換されている。

セットアップアルゴリズムＴＳＥ．Ｓｅｔｕｐについては、前述した第１の構成法、すなわちＷＩＢＥ方式のセットアップアルゴリズムから変更はない。

図２７は、整数δを導入した鍵生成アルゴリズムＴＳＥ．ＫＧｅｎの定義を示す図である。
鍵生成部１６は、鍵生成アルゴリズムにより、前述したＷＩＢＥ方式の鍵生成アルゴリズムを使用し、ＩＤ：＝Ｂｉｎａｒｉｚｅ_ｌｏｇＴ（ｔ－δ ｍｏｄ ２^ｄ）に対応する秘密鍵を生成する。

図２８は、整数δを導入した暗号化アルゴリズムＴＳＥ．Ｅｎｃの定義を示す図である。
暗号化部１７は、暗号化アルゴリズムにより、Ｄｉｖｉｄｅ_ｌｏｇＴ，Ｌａｔｔｅｒ＿ＷＩＤ_ｌｏｇＴ，Ｆｏｒｍｅｒ＿ＷＩＤ_ｌｏｇＴ，Ｍｅｒｇｅ_ｌｏｇＴを順に実行し、範囲［Ｌ，Ｒ］に対応するｗＩＤ集合Ｔ_{［Ｌ，Ｒ］}を導出する。このとき、暗号化部１７は、前述のように、Ｌ及びＲをδだけシフトした値をパラメータとして渡すことにより、順かいシフトが施されたｔとｂとの対応関係に基づくｗＩＤ集合_{［Ｌ，Ｒ］}を得る。
その後、暗号化部１７は、集合内の各ｗＩＤの下で、平文ｍを暗号化し、これらの暗号文全てを、範囲［Ｌ，Ｒ］に関する平文ｍの暗号文として出力する。

図２９は、整数δを導入した復号アルゴリズムＴＳＥ．Ｄｅｃの定義を示す図である。
復号部１８は、復号アルゴリズムにより、ＩＤと適合するｗＩＤに対応したＣ_Ｌ，Ｒ内の暗号文要素をＣとし、Ｃをｓｋ_ｔにより復号した結果を出力する。
このとき、復号部１８は、前述のように、補助的アルゴリズムに対してδだけシフトした値を入力する。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

暗号化装置１による暗号化方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１ 暗号化装置（復号装置）
１０ 制御部
１１ 二値化部
１２ クラス分類部
１３ 分割部
１４ ｗＩＤ集合決定部
１５ セットアップ部
１６ 鍵生成部
１７ 暗号化部
１８ 復号部
２０ 記憶部
１４１ 後半ｗＩＤ集合確定部
１４２ 前半ｗＩＤ集合確定部
１４３ 前後半ｗＩＤ集合合併部

Claims (8)

1. ２^ｄ個の数値に対して、それぞれｄビットのビット列を割り当てる二値化部と、
   範囲［Ｌ，Ｒ］の時間指定暗号における周期に対応する前記数値のそれぞれに割り当てられた前記ビット列の全てをカバーするワイルドカードＩＤの集合を決定するｗＩＤ集合決定部と、
   決定された前記ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、当該暗号化の結果の全てを、範囲［Ｌ，Ｒ］に関する暗号文として出力する暗号化部と、を備え、
   前記二値化部は、前記数値の並びを再帰的に２分割した際に、分割点を軸に両側のブロックに含まれる前記ビット列のいずれか１ビットのみは反転し、他のビットは対称となるように０又は１を割り当てる暗号化装置。
2. 前記二値化部は、前記数値の並びにおいて、隣り合う数値間で１ビットのみが異なる前記ビット列を割り当てる請求項１に記載の暗号化装置。
3. 前記暗号化部は、前記周期に対して前記数値を所定の数だけ巡回シフトさせて対応付ける請求項１又は請求項２に記載の暗号化装置。
4. 前記数値の並びを再帰的に２分割していく際に得られるブロックのうち、前記範囲［Ｌ，Ｒ］に含まれる最も大きなブロックの始点において、前記範囲［Ｌ，Ｒ］を分割する分割部を備え、
   前記ｗＩＤ集合決定部は、前記分割部により分割された部分範囲毎に前記ワイルドカードＩＤの集合を決定する請求項１から請求項３のいずれかに記載の暗号化装置。
5. 前記ｗＩＤ集合決定部は、前記部分範囲毎に決定された集合の全体をカバーする前記ワイルドカードＩＤの集合を決定する請求項４に記載の暗号化装置。
6. 請求項１から請求項５のいずれかに記載の暗号化装置により暗号化された暗号文、及び秘密鍵を入力とし、
   前記二値化部と、
   前記ｗＩＤ集合決定部と、
   前記ワイルドカードＩＤの集合のうち、前記秘密鍵に関連付けられた周期に対応する数値に割り当てられたビット列をカバーするワイルドカードＩＤを抽出し、当該ワイルドカードＩＤに対応する前記暗号文の要素を、前記秘密鍵を用いて前記ワイルドカードＩＤベース暗号方式により復号する復号部と、を備える復号装置。
7. ２^ｄ個の数値に対して、それぞれｄビットのビット列を割り当てる二値化ステップと、
   範囲［Ｌ，Ｒ］の時間指定暗号における周期に対応する前記数値のそれぞれに割り当てられた前記ビット列の全てをカバーするワイルドカードＩＤの集合を決定するｗＩＤ集合決定ステップと、
   決定された前記ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、当該暗号化の結果の全てを、範囲［Ｌ，Ｒ］に関する暗号文として出力する暗号化ステップと、をコンピュータが実行し、
   前記二値化ステップにおいて、前記数値の並びを再帰的に２分割した際に、分割点を軸に両側のブロックに含まれる前記ビット列のいずれか１ビットのみは反転し、他のビットは対称となるように０又は１を割り当てる暗号化方法。
8. 請求項１から請求項５のいずれかに記載の暗号化装置としてコンピュータを機能させるための暗号化プログラム。

Images