JPWO2014112048A1 - 暗号システム、再暗号化装置及び暗号方法 - Google Patents

Abstract

関数型暗号における代理人再暗号化方式を実現することを目的とする。復号装置３００は、互いに対応する属性情報ｘ，ｖのうちの一方の属性情報が設定された復号鍵ｋ＊を変換情報Ｗ１を用いて変換した復号鍵ｋ＊ｒｋと、互いに対応する属性情報ｘ’，ｖ’のうちの一方の属性情報を設定して変換情報Ｗ１を暗号化した暗号化変換情報ψｒｋとを再暗号化装置４００へ送信する。再暗号化装置４００は、属性情報ｘ，ｖのうちの他方の属性情報が設定された暗号文ｃｅｎｃに、互いに対応する追加情報Η，Θのうちの少なくとも一方の追加情報を設定した暗号文ｃｒｅｎｃと、追加情報Η，Θのうちの少なくとも他方の追加情報を復号鍵ｋ＊ｒｋに設定した復号鍵ｋ＊ｒｅｎｃとを再暗号文ＣＴとする。

Description

この発明は、関数型暗号における代理人再暗号化（Ｆｕｎｃｔｉｏｎａｌ Ｐｒｏｘｙ Ｒｅ−Ｅｎｃｒｙｐｔｉｏｎ、ＦＰＲＥ）に関するものである。

代理人再暗号化（Ｐｒｏｘｙ Ｒｅ−Ｅｎｃｒｙｐｔｉｏｎ，ＰＲＥ）は、暗号文を復号することなく、暗号文の復号権限を他者に委譲するシステムである。非特許文献１には、ＩＤベース暗号におけるＰＲＥ（Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ ＰＲＥ，ＩＢＰＲＥ）方式に関する記載がある。非特許文献２には、属性ベース暗号におけるＰＲＥ（Ａｔｔｒｉｂｕｔｅ−Ｂａｓｅｄ ＰＲＥ，ＡＢＰＲＥ）方式に関する記載がある。非特許文献２記載されたＰＲＥ方式では、論理積と否定とからなる属性のみを暗号文に指定することができる。

特許文献１には、関数型暗号（ＦＥ）に関する記載がある。

特開２０１２−１３３２１４号公報

Ｍ．Ｇｒｅｅｎ， ａｎｄ Ｇ． Ａｔｅｎｉｅｓｅ， Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ Ｐｒｏｘｙ Ｒｅ−ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ Ａｐｐｌｉｅｄ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ． ｖｏｌｕｍｅ ４５２１ ｏｆ ＬＮＣＳ， ｐｐ ２８８−３０６ ， ２００７． Ｘｉａｏｈｕｉ Ｌｉａｎｇ， Ｚｈｅｎｆｕ Ｃａｏ， Ｈｕａｎｇ Ｌｉｎ， Ｊｕｎ Ｓｈａｏ． Ａｔｔｒｉｂｕｔｅ ｂａｓｅｄ ｐｒｏｘｙ ｒｅ−ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｄｅｌｅｇａｔｉｎｇ ｃａｐａｂｉｌｉｔｉｅｓ． ＡＳＩＡＣＣＳ ２００９ ｐｐ．２７６−２８６． Ｏｋａｍｏｔｏ， Ｔ Ｔａｋａｓｈｉｍａ， Ｋ．：Ｄｅｃｅｎｔｒａｌｉｚｅｄ Ａｔｔｒｉｂｕｔｅ−Ｂａｓｅｄ Ｓｉｇｎａｔｕｒｅｓ．ｅＰｒｉｎｔ ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１１／７０１ Ｏｋａｍｏｔｏ， Ｔ Ｔａｋａｓｈｉｍａ， Ｋ．：Ｆｕｌｌｙ Ｓｅｃｕｒｅ Ｕｎｂｏｕｎｄｅｄ Ｉｎｎｅｒ−Ｐｒｏｄｕｃｔ ａｎｄ Ａｔｔｒｉｂｕｔｅ−Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ．ｅＰｒｉｎｔ ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１２／６７１ Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ａｃｈｉｅｖｉｎｇ Ｓｈｏｒｔ Ｃｉｐｈｅｒｔｅｘｔｓ ｏｒ Ｓｈｏｒｔ Ｓｅｃｒｅｔ−Ｋｅｙｓ ｆｏｒ Ａｄａｐｔｉｖｅｌｙ Ｓｅｃｕｒｅ Ｇｅｎｅｒａｌ Ｉｎｎｅｒ−Ｐｒｏｄｕｃｔ Ｅｎｃｒｙｐｔｉｏｎ． ＣＡＮＳ ２０１１， ＬＮＣＳ， ｖｏｌ． ７０９２， ｐｐ． １３８−１５９ Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１１）．

従来、ＦＰＲＥ方式は実現されていなかった。
従来実現されていたＰＲＥ方式は、１つの再暗号化鍵で委譲できる他者が、１人のユーザだけ、もしくは非常に制約のかかった属性を持つユーザに限られるという課題があった。
この発明は、１つの再暗号化鍵で委譲できる他者を、柔軟に選ぶことが可能なＰＲＥ方式を提供することを目的とする。

この発明に係る暗号システムは、
２つの情報が互いに対応している場合に一方の情報が設定された暗号文を他方の情報が設定された復号鍵により復号可能な暗号方式における代理人再暗号機能を実現する暗号システムであって、再暗号化鍵生成装置と再暗号化装置とを備える暗号システムであり、
前記再暗号化鍵生成装置は、
互いに対応する属性情報ｘ，ｖのうちの一方の属性情報が設定された復号鍵ｋ^＊を、変換情報Ｗ_１を用いて変換して復号鍵ｋ^＊ｒｋを生成する復号鍵ｋ^＊ｒｋ生成部と、
互いに対応する属性情報ｘ’，ｖ’のうちの一方の属性情報を設定して前記変換情報Ｗ_１を暗号化して暗号化変換情報ψ^ｒｋを生成する変換情報Ｗ_１暗号化部と、
前記復号鍵ｋ^＊ｒｋと前記暗号化変換情報ψ^ｒｋとを再暗号化鍵ｒｋとして前記再暗号化装置へ送信する再暗号化鍵送信部と
を備え、
前記再暗号化装置は、
前記属性情報ｘ，ｖのうちの他方の属性情報が設定された暗号文ｃ^ｅｎｃを受信する暗号文受信部と、
前記暗号文受信部が受信した暗号文ｃ^ｅｎｃに、互いに対応する追加情報Η，Θのうちの少なくとも一方の追加情報を設定して暗号文ｃ^ｒｅｎｃを生成する暗号文ｃ^ｒｅｎｃ生成部と、
前記再暗号化鍵ｒｋに含まれる前記復号鍵ｋ^＊ｒｋに、前記追加情報Η，Θのうちの少なくとも他方の追加情報を設定して復号鍵ｋ^{＊ｒｅｎｃ}を生成する復号鍵ｋ^{＊ｒｅｎｃ}生成部と、
前記暗号文ｃ^ｒｅｎｃと前記復号鍵ｋ^{＊ｒｅｎｃ}と前記暗号化変換情報ψ^ｒｋとを再暗号文ＣＴとして送信する再暗号文送信部と
を備えることを特徴とする。

この発明に係る暗号システムでは、ＦＰＲＥ方式を実現することが可能である。そのため、１つの再暗号化鍵で、様々な種類のユーザの集合に暗号文を転送することができるようになる。具体的には、再暗号化鍵に非単調性を持つ一般的なアクセス構造を埋め込むことができ、転送するユーザへの制限が存在せず、柔軟な転送設定が可能となる。

行列Ｍ＾の説明図。 行列Ｍ_δの説明図。 ｓ_０の説明図。 ｓ^→Ｔの説明図。 ＣＰ−ＦＰＲＥ方式を実行する暗号処理システム１０の構成図。 鍵生成装置１００の機能を示す機能ブロック図。 暗号化装置２００の機能を示す機能ブロック図。 復号装置３００の機能を示す機能ブロック図。 再暗号化装置４００の機能を示す機能ブロック図。 再暗号文復号装置５００の機能を示す機能ブロック図。 Ｓｅｔｕｐアルゴリズムの処理を示すフローチャート。 ＫＧアルゴリズムの処理を示すフローチャート。 Ｅｎｃアルゴリズムの処理を示すフローチャート。 ＲＫＧアルゴリズムの処理を示すフローチャート。 ＲＥｎｃアルゴリズムの処理を示すフローチャート。 Ｄｅｃ１アルゴリズムの処理を示すフローチャート。 Ｄｅｃ２アルゴリズムの処理を示すフローチャート。 ＫＰ−ＦＰＲＥ方式を実行する暗号処理システム１０の構成図。 鍵生成装置１００の機能を示す機能ブロック図。 暗号化装置２００の機能を示す機能ブロック図。 復号装置３００の機能を示す機能ブロック図。 再暗号化装置４００の機能を示す機能ブロック図。 再暗号文復号装置５００の機能を示す機能ブロック図。 ＫＧアルゴリズムの処理を示すフローチャート。 Ｅｎｃアルゴリズムの処理を示すフローチャート。 ＲＫＧアルゴリズムの処理を示すフローチャート。 ＲＥｎｃアルゴリズムの処理を示すフローチャート。 Ｄｅｃ１アルゴリズムの処理を示すフローチャート。 Ｄｅｃ２アルゴリズムの処理を示すフローチャート。 鍵生成装置１００、暗号化装置２００、復号装置３００、再暗号化装置４００、再暗号文復号装置５００のハードウェア構成の一例を示す図。

以下、図に基づき、発明の実施の形態を説明する。
以下の説明において、処理装置は後述するＣＰＵ９１１等である。記憶装置は後述するＲＯＭ９１３、ＲＡＭ９１４、磁気ディスク９２０等である。通信装置は後述する通信ボード９１５等である。入力装置は後述するキーボード９０２、通信ボード９１５等である。つまり、処理装置、記憶装置、通信装置、入力装置はハードウェアである。

以下の説明における記法について説明する。
Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。

Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。

数１０３は、ｙがｚにより定義された集合であること、又はｙがｚを代入された集合であることを表す。

ａが定数であるとき、数１０４は、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。

数１０５、つまりＦ_ｑは、位数ｑの有限体を示す。

ベクトル表記は、有限体Ｆ_ｑにおけるベクトル表示を表す。つまり、数１０６である。

数１０７は、数１０８に示す２つのベクトルｘ^→とｖ^→との数１０９に示す内積を表す。

Ｘ^Ｔは、行列Ｘの転置行列を表す。
数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。

ｅ^→ _ｊは、数１１２に示す正規基底ベクトルを示す。

また、以下の説明において、“Ｖｔ”，“ｎｔ”，“ｕｔ”，“ｚｔ”が下付き又は上付きで示されている場合、このＶｔ，ｎｔ，ｕｔ，ｚｔはＶ_ｔ，ｎ_ｔ，ｕ_ｔ，ｚ_ｔを意味する。同様に、“δｉ，ｊ”が上付きで示されている場合、このδｉ，ｊは、δ_ｉ，ｊを意味する。
また、ベクトルを意味する“→”が下付き文字又は上付き文字に付されている場合、この“→”は下付き文字又は上付き文字に上付きで付されていることを意味する。

また、以下の説明において、暗号処理は、鍵生成処理、暗号化処理、再暗号化鍵生成処理、再暗号化処理、復号処理、再暗号文復号処理を含む。

実施の形態１．
この実施の形態では、ＦＰＲＥ方式を実現する基礎となる概念を説明した上で、この実施の形態に係るＦＰＲＥ方式の構成について説明する。
第１に、ＦＰＲＥについて簡単に説明する。
第２に、ＦＰＲＥ方式を実現するための空間である双対ペアリングベクトル空間（Ｄｕａｌ Ｐａｉｒｉｎｇ Ｖｅｃｔｏｒ Ｓｐａｃｅｓ，ＤＰＶＳ）という豊かな数学的構造を有する空間を説明する。
第３に、ＦＰＲＥ方式を実現するための概念を説明する。ここでは、スパンプログラム、属性ベクトルの内積とアクセス構造、秘密分散方式（秘密共有方式）について説明する。
第４に、この実施の形態に係るＦＰＲＥ方式を説明する。この実施の形態では、暗号文ポリシーのＦＰＲＥ方式（Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ ＦＰＲＥ，ＣＰ−ＦＰＲＥ）方式について説明する。そこで、まず、ＣＰ−ＦＰＲＥ方式の基本構成について説明する。次に、このＣＰ−ＦＰＲＥ方式を実現する暗号処理システム１０の基本構成について説明する。次に、このＣＰ−ＦＰＲＥ方式を実現するために用いられる部品について説明する。そして、この実施の形態に係るＣＰ−ＦＰＲＥ方式、及び、暗号処理システム１０について詳細に説明する。

＜第１．ＦＰＲＥ＞
ＦＰＲＥは、暗号化鍵（ｅｋ）と、復号鍵（ｄｋ）と、再暗号化鍵（ｒｋ）の関係をより高度化し、柔軟にした代理人再暗号化方式である。

ＦＰＲＥは、以下の２つの特徴を持つ。 １つ目に、暗号化鍵と復号鍵とは、それぞれ属性情報ｘと属性情報ｖとが設定されている。そして、関係Ｒに対して、Ｒ（ｘ、ｖ）が成立する場合に限り、復号鍵ｄｋ_ｖは暗号化鍵ｅｋ_ｘで暗号化された暗号文を復号することができる。 ２つ目に、暗号化鍵と復号鍵とに属性情報ｘと属性情報ｖとがそれぞれ設定されていることに加え、再暗号化鍵は２つの属性情報（ｘ'，ｖ）が設定されている。そして、Ｒ（ｘ，ｖ）が成立する場合に限り、再暗号化鍵ｒｋ_{（ｘ'，ｖ）}は、暗号化鍵ｅｋ_ｘで暗号化された暗号文を、Ｒ（ｘ'、ｖ’）が成立する復号鍵ｄｋ_ｖ’で復号可能な暗号文、つまり暗号化鍵ｅｋ_ｘ'で暗号化された暗号文に変更することができる。

関係Ｒが等号関係である場合、つまり、ｘ＝ｖである場合に限りＲ（ｘ，ｖ）が成立する場合、ＰＲＥ方式はＩＤＰＲＥである。

ＩＤＰＲＥよりも一般化されたＰＲＥとして、ＡＢＰＲＥがある。ＡＢＰＲＥでは、暗号化鍵と復号鍵とに設定される属性情報が属性情報の組である。例えば、暗号化鍵と復号鍵とに設定される属性情報が、それぞれ、Ｘ：＝（ｘ_１，．．．，ｘ_ｄ）と、Ｖ：＝（ｖ_１，．．．，ｖ_ｄ）とである。
属性情報のコンポーネントについて、コンポーネント毎の等号関係（例えば、｛ｘ_ｔ＝ｖ_ｔ｝ｔ∈｛１，．．．，ｄ｝）がアクセスストラクチャＳに入力される。そして、アクセスストラクチャＳが入力を受理した場合にのみ、Ｒ（Ｘ，Ｖ）が成立する。つまり、暗号化鍵で暗号化された暗号文を復号鍵で復号することができる。非特許文献２では、アクセスストラクチャＳが暗号文に埋め込まれている暗号文ポリシーのＰＲＥ方式を提案している。その際のアクセスストラクチャは、論理積と否定のみで構成される構造である。

暗号文の転送機能が存在しない、つまり再暗号化鍵が存在しない、通常のＦＥがある。ＦＥでは、再暗号化鍵、再暗号化処理は存在せず、暗号化鍵と復号鍵とは、それぞれ、属性情報ｘと属性情報ｖとが設定されている。そして、関係Ｒに対してＲ（ｘ，ｖ）が成立する場合に限り、復号鍵ｄｋ_ｖ：＝（ｄｋ，ｖ）は暗号化鍵ｅｋ_ｘ：＝（ｅｋ，ｘ）で暗号化された暗号文を復号することができる。

＜第２．双対ペアリングベクトル空間＞
まず、対称双線形ペアリング群について説明する。
対称双線形ペアリング群（ｑ，Ｇ，Ｇ^Ｔ，ｇ，ｅ）は、素数ｑと、位数ｑの巡回加法群Ｇと、位数ｑの巡回乗法群Ｇ^Ｔと、ｇ≠０∈Ｇと、多項式時間で計算可能な非退化双線形ペアリング（Ｎｏｎｄｅｇｅｎｅｒａｔｅ Ｂｉｌｉｎｅａｒ Ｐａｉｒｉｎｇ）ｅ：Ｇ×Ｇ→Ｇ_Ｔとの組である。非退化双線形ペアリングは、ｅ（ｓｇ，ｔｇ）＝ｅ（ｇ，ｇ）^ｓｔであり、ｅ（ｇ，ｇ）≠１である。
以下の説明において、Ｇ_ｂｐｇを、１^λを入力として、セキュリティパラメータをλとする双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を出力するアルゴリズムとする。

次に、双対ペアリングベクトル空間について説明する。
双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、対称双線形ペアリング群（ｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ））の直積によって構成することができる。双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、素数ｑ、数１１３に示すＦ_ｑ上のＮ次元ベクトル空間Ｖ、位数ｑの巡回群Ｇ_Ｔ、空間Ｖの標準基底Ａ：＝（ａ_１，．．．，ａ_Ｎ）の組であり、以下の演算（１）（２）を有する。ここで、ａ_ｉは、数１１４に示す通りである。

演算（１）：非退化双線形ペアリング
空間Ｖにおけるペアリングは、数１１５によって定義される。

これは、非退化双線形である。つまり、ｅ（ｓｘ，ｔｙ）＝ｅ（ｘ，ｙ）^ｓｔであり、全てのｙ∈Ｖに対して、ｅ（ｘ，ｙ）＝１の場合、ｘ＝０である。また、全てのｉとｊとに対して、ｅ（ａ_ｉ，ａ_ｊ）＝ｅ（ｇ，ｇ）^δｉ，ｊである。ここで、ｉ＝ｊであれば、δ_ｉ，ｊ＝１であり、ｉ≠ｊであれば、δ_ｉ，ｊ＝０である。また、ｅ（ｇ，ｇ）≠１∈Ｇ_Ｔである。

演算（２）：ディストーション写像
数１１６に示す空間Ｖにおける線形変換φ_ｉ，ｊは、数１１７を行うことができる。

ここで、線形変換φ_ｉ，ｊをディストーション写像と呼ぶ。

以下の説明において、Ｇ_ｄｐｖｓを、１^λ（λ∈自然数）、Ｎ∈自然数、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を入力として、セキュリティパラメータがλであり、Ｎ次元の空間Ｖとする双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ：＝（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）の値を出力するアルゴリズムとする。

なお、ここでは、上述した対称双線形ペアリング群により、双対ペアリングベクトル空間を構成した場合について説明する。なお、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成することも可能である。以下の説明を、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成した場合に応用することは容易である。

＜第３．ＦＰＲＥ方式を実現するための概念＞
＜第３−１．スパンプログラム＞
図１は、行列Ｍ＾の説明図である。
｛ｐ_１，．．．，ｐ_ｎ｝を変数の集合とする。Ｍ＾：＝（Ｍ，ρ）は、ラベル付けされた行列である。ここで、行列Ｍは、Ｆ_ｑ上の（Ｌ行×ｒ列）の行列である。また、ρは、行列Ｍの各列に付されたラベルであり、｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝のいずれか１つのリテラルへ対応付けられる。なお、Ｍの全ての行に付されたラベルρ_i（ｉ＝１，．．．，Ｌ）がいずれか１つのリテラルへ対応付けられる。つまり、ρ：｛１，．．．，Ｌ｝→｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝である。

全ての入力列δ∈｛０，１｝^ｎに対して、行列Ｍの部分行列Ｍ_δは定義される。行列Ｍ_δは、入力列δによってラベルρに値“１”が対応付けられた行列Ｍの行から構成される部分行列である。つまり、行列Ｍ_δは、δ_ｉ＝１であるようなｐ_ｉに対応付けられた行列Ｍの行と、δ_ｉ＝０であるような¬ｐ_ｉに対応付けられた行列Ｍの行とからなる部分行列である。
図２は、行列Ｍ_δの説明図である。なお、図２では、ｎ＝７，Ｌ＝６，ｒ＝５としている。つまり、変数の集合は、｛ｐ_１，．．．，ｐ_７｝であり、行列Ｍは（６行×５列）の行列である。また、図２において、ラベルρは、ρ_１が¬ｐ_２に、ρ_２がｐ_１に、ρ_３がｐ_４に、ρ_４が¬ｐ_５に、ρ_５が¬ｐ_３に、ρ_６がｐ_５にそれぞれ対応付けられているとする。
ここで、入力列δ∈｛０，１｝^７が、δ_１＝１，δ_２＝０，δ_３＝１，δ_４＝０，δ_５＝０，δ_６＝１，δ_７＝１であるとする。この場合、破線で囲んだリテラル（ｐ_１，ｐ_３，ｐ_６，ｐ_７，¬ｐ_２，¬ｐ_４，¬ｐ_５）に対応付けられている行列Ｍの行からなる部分行列が行列Ｍ_δである。つまり、行列Ｍの１行目（Ｍ_１），２行目（Ｍ_２），４行目（Ｍ_４）からなる部分行列が行列Ｍ_δである。

言い替えると、写像γ：｛１，．．．，Ｌ｝→｛０，１｝が、［ρ（ｊ）＝ｐ_ｉ］∧［δ_ｉ＝１］又は［ρ（ｊ）＝¬ｐ_ｉ］∧［δ_ｉ＝０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０であるとする。この場合に、Ｍ_δ：＝（Ｍ_ｊ）_{γ（ｊ）＝１}である。ここで、Ｍ_ｊは、行列Ｍのｊ番目の行である。
つまり、図２では、写像γ（ｊ）＝１（ｊ＝１，２，４）であり、写像γ（ｊ）＝０（ｊ＝３，５，６）である。したがって、（Ｍ_ｊ）_{γ（ｊ）＝１}は、Ｍ_１，Ｍ_２，Ｍ_４であり、行列Ｍ_δである。
すなわち、写像γ（ｊ）の値が“０”であるか“１”であるかによって、行列Ｍのｊ番目の行が行列Ｍ_δに含まれるか否かが決定される。

１^→∈ｓｐａｎ＜Ｍ_δ＞である場合に限り、スパンプログラムＭ＾は入力列δを受理し、他の場合には入力列δを拒絶する。つまり、入力列δによって行列Ｍ＾から得られる行列Ｍ_δの行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。なお、１^→とは、各要素が値“１”である行ベクトルである。
例えば、図２の例であれば、行列Ｍの１，２，４行目からなる行列Ｍ_δの各行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理する。

ここで、ラベルρが正のリテラル｛ｐ_１，．．．，ｐ_ｎ｝にのみ対応付けられている場合、スパンプログラムはモノトーンと呼ばれる。一方、ラベルρがリテラル｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝に対応付けられている場合、スパンプログラムはノンモノトーンと呼ばれる。ここでは、スパンプログラムはノンモノトーンとする。そして、ノンモノトーンスパンプログラムを用いて、アクセスストラクチャ（ノンモノトーンアクセスストラクチャ）を構成する。アクセスストラクチャとは、簡単に言うと暗号へのアクセス制御を行うものである。つまり、暗号文を復号できるか否かの制御を行うものである。
詳しくは後述するが、スパンプログラムがモノトーンではなく、ノンモノトーンであることにより、スパンプログラムを利用して構成するＦＰＲＥ方式の利用範囲が広がる。

＜第３−２．属性情報の内積とアクセスストラクチャ＞
ここでは、属性情報の内積を用いて上述した写像γ（ｊ）を計算する。つまり、属性情報の内積を用いて、行列Ｍのどの行を行列Ｍ_δに含めるかを決定する。

Ｕ_ｔ（ｔ＝１，．．．，ｄでありＵ_ｔ⊂｛０，１｝^＊）は、部分全集合（ｓｕｂ−ｕｎｉｖｅｒｓｅ）であり、属性の集合である。そして、Ｕ_ｔは、それぞれ部分全集合の識別情報（ｔ）と、ｎ次元ベクトル（ｖ^→）とを含む。つまり、Ｕ_ｔは、（ｔ，ｖ^→）である。ここで、ｔ∈｛１，．．．，ｄ｝であり、ｖ^→∈Ｆ_ｑ ^ｎである。

Ｕ_ｔ：＝（ｔ，ｖ^→）をスパンプログラムＭ＾：＝（Ｍ，ρ）における変数ｐとする。つまり、ｐ：＝（ｔ，ｖ^→）である。そして、変数（ｐ：＝（ｔ，ｖ^→），（ｔ，ｖ’^→），．．．）としたスパンプログラムＭ＾：＝（Ｍ，ρ）をアクセスストラクチャＳとする。
つまり、アクセスストラクチャＳ：＝（Ｍ，ρ）であり、ρ：｛１，．．．，Ｌ｝→｛（ｔ，ｖ^→），（ｔ，ｖ’^→），．．．，¬（ｔ，ｖ^→），¬（ｔ，ｖ’^→），．．．｝である。

次に、Γを属性の集合とする。つまり、Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆｑ^ｎ，１≦ｔ≦ｄ｝である。
アクセスストラクチャＳにΓが与えられた場合、スパンプログラムＭ＾：＝（Ｍ，ρ）に対する写像γ：｛１，．．．，Ｌ｝→｛０，１｝は、以下のように定義される。ｉ＝１，．．．，Ｌの各整数ｉについて、［ρ（ｉ）＝（ｔ，ｖ^→ _ｉ）］∧［（ｔ，ｘ^→ _ｔ）∈Γ］∧［ｖ^→ _ｉ・ｘ^→ _ｔ＝０］、又は、［ρ（ｉ）＝¬（ｔ，ｖ^→ _ｉ）］∧［（ｔ，ｘ^→ _ｔ）∈Γ］∧［ｖ^→ _ｉ・ｘ^→ _ｔ≠０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０とする。
つまり、属性情報ｖ^→とｘ^→との内積に基づき、写像γが計算される。そして、上述したように、写像γにより、行列Ｍのどの行を行列Ｍ_δに含めるかが決定される。すなわち、属性情報ｖ^→とｘ^→との内積により、行列Ｍのどの行を行列Ｍ_δに含めるかが決定され、１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合に限り、アクセスストラクチャＳ：＝（Ｍ，ρ）はΓを受理する。

＜第３−３．秘密分散方式＞
アクセスストラクチャＳ：＝（Ｍ，ρ）に対する秘密分散方式について説明する。
なお、秘密分散方式とは、秘密情報を分散させ、意味のない分散情報にすることである。例えば、秘密情報ｓを１０個に分散させ、１０個の分散情報を生成する。ここで、１０個の分散情報それぞれは、秘密情報ｓの情報を有していない。したがって、ある１個の分散情報を手に入れても秘密情報ｓに関して何ら情報を得ることはできない。一方、１０個の分散情報を全て手に入れれば、秘密情報ｓを復元できる。
また、１０個の分散情報を全て手に入れなくても、一部だけ（例えば、８個）手に入れれば秘密情報ｓを復元できる秘密分散方式もある。このように、１０個の分散情報のうち８個で秘密情報ｓを復元できる場合を、８−ｏｕｔ−ｏｆ−１０と呼ぶ。つまり、ｎ個の分散情報のうちｔ個で秘密情報ｓを復元できる場合を、ｔ−ｏｕｔ−ｏｆ−ｎと呼ぶ。このｔを閾値と呼ぶ。
また、ｄ_１，．．．，ｄ_１０の１０個の分散情報を生成した場合に、ｄ_１，．．．，ｄ_８までの８個の分散情報であれば秘密情報ｓを復元できるが、ｄ_３，．．．，ｄ_１０までの８個の分散情報であれば秘密情報ｓを復元できないというような秘密分散方式もある。つまり、手に入れた分散情報の数だけでなく、分散情報の組合せに応じて秘密情報ｓを復元できるか否かを制御する秘密分散方式もある。

図３は、ｓ_０の説明図である。図４は、ｓ^→Ｔの説明図である。
行列Ｍを（Ｌ行×ｒ列）の行列とする。ｆ^→Ｔを数１１８に示す列ベクトルとする。

数１１９に示すｓ_０を共有される秘密情報とする。

また、数１２０に示すｓ^→Ｔをｓ_０のＬ個の分散情報のベクトルとする。

そして、分散情報ｓ_ｉをρ（ｉ）に属するものとする。

アクセスストラクチャＳ：＝（Ｍ，ρ）がΓを受理する場合、つまりγ：｛１，．．．，Ｌ｝→｛０，１｝について１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合、Ｉ⊆｛ｉ∈｛１，．．．，Ｌ｝｜γ（ｉ）-＝１｝である定数｛α_ｉ∈Ｆ_ｑ｜ｉ∈Ｉ｝が存在する。
これは、図２の例で、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理すると説明したことからも明らかである。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾が入力列δを受理するのであれば、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する。
そして、数１２１である。

なお、定数｛α_ｉ｝は、行列Ｍのサイズにおける多項式時間で計算可能である。

以下の実施の形態に係るＦＰＲＥ方式は、上述したように、スパンプログラムに内積述語と秘密分散方式とを適用してアクセスストラクチャを構成する。そのため、スパンプログラムにおける行列Ｍや、内積述語における属性情報ｘ及び属性情報ｖ（述語情報）を設計するにより、アクセス制御を自由に設計することができる。つまり、非常に高い自由度でアクセス制御の設計を行うことができる。なお、行列Ｍの設計は、秘密分散方式の閾値等の条件設計に相当する。
例えば、上述した属性ベース暗号方式は、以下の実施の形態に係るＦＰＲＥ方式におけるアクセスストラクチャにおいて、内積述語の設計をある条件に限定した場合に相当する。つまり、以下の実施の形態に係るＦＰＲＥ方式におけるアクセスストラクチャに比べ、属性ベース暗号方式におけるアクセスストラクチャは、内積述語における属性情報ｘ及び属性情報ｖ（述語情報）を設計の自由度がない分、アクセス制御の設計の自由度が低い。なお、具体的には、属性ベース暗号方式は、属性情報｛ｘ^→ _ｔ｝_{ｔ∈｛１，．．．，ｄ｝}と｛ｖ^→ _ｔ｝_{ｔ∈｛１，．．．，ｄ｝}とを、等号関係に対する２次元ベクトル、例えばｘ^→ _ｔ：＝（１，ｘ_ｔ）とｖ^→ _ｔ：＝（ｖ_ｔ，−１）とに限定した場合に相当する。
また、内積述語暗号方式におけるＰＲＥは、以下の実施の形態に係るＦＰＲＥ方式におけるアクセスストラクチャにおいて、スパンプログラムにおける行列Ｍの設計をある条件に限定した場合に相当する。つまり、以下の実施の形態に係るＦＰＲＥ方式におけるアクセスストラクチャに比べ、内積述語暗号方式におけるアクセスストラクチャは、スパンプログラムにおける行列Ｍの設計の自由度がない分、アクセス制御の設計の自由度が低い。なお、具体的には、内積述語暗号方式は、秘密分散方式を１−ｏｕｔ−ｏｆ−１（あるいは、ｄ−ｏｕｔ−ｏｆ−ｄ）に限定した場合である。

特に、以下の実施の形態に係るＦＰＲＥ方式におけるアクセスストラクチャは、ノンモノトーンスパンプログラムを用いたノンモノトーンアクセスストラクチャを構成する。そのため、アクセス制御の設計の自由度がより高くなる。
具体的には、ノンモノトーンスパンプログラムには、否定形のリテラル（¬ｐ）を含むため、否定形の条件を設定できる。例えば、第１会社には、Ａ部とＢ部とＣ部とＤ部との４つの部署があったとする。ここで、第１会社のＢ部以外の部署の属するユーザにのみアクセス可能（復号可能）というアクセス制御をしたいとする。この場合に、否定形の条件の設定ができないとすると、「第１会社のＡ部とＣ部とＤ部とのいずれかに属すること」という条件を設定する必要がある。一方、否定形の条件の設定ができるとすると、「第１会社の社員であって、Ｂ部以外に属すること」という条件を設定することができる。つまり、否定形の条件が設定できることで、自然な条件設定が可能となる。なお、ここでは部署の数が少ないが、部署の数が多い場合等は非常に有効であることが分かる。

＜第４．ＦＰＲＥ方式の基本構成＞
＜第４−１．ＣＰ−ＦＰＲＥ方式の基本構成＞
ＣＰ−ＦＰＲＥ方式の構成を簡単に説明する。なお、ＣＰ（暗号文ポリシー）とは、暗号文にＰｏｌｉｃｙが埋め込まれること、つまりアクセスストラクチャが埋め込まれることを意味する。

ＣＰ−ＦＰＲＥ方式は、Ｓｅｔｕｐ、ＫＧ、Ｅｎｃ、ＲＫＧ、ＲＥｎｃ、Ｄｅｃ１、Ｄｅｃ２の７つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ；ｕ_１，．．．，ｕ_ｄ；ｚ_１，．．．，ｚ_ｄ）とを入力として、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫＧ）
ＫＧアルゴリズムは、属性集合Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎｔ，１≦ｔ≦ｄ｝と、公開パラメータｐｋと、マスター鍵ｓｋとを入力として、復号鍵ｓｋ_Γを出力する確率的アルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、メッセージｍと、アクセスストラクチャＳ＝（Ｍ，ρ）と、公開パラメータｐｋとを入力として、暗号文ｃｔ_Ｓを出力する確率的アルゴリズムである。
（ＲＫＧ）
ＲＫＧアルゴリズムは、復号鍵ｓｋ_Γと、アクセスストラクチャＳ’：＝（Ｍ’，ρ’）と、公開パラメータｐｋとを入力として、再暗号化鍵ｒｋ_{（Γ．Ｓ’）}を出力する確率的アルゴリズムである。
（ＲＥｎｃ）
ＲＥｎｃアルゴリズムは、暗号文ｃｔ_Ｓと、再暗号化鍵ｒｋ_{（Γ．Ｓ’）}と、公開パラメータｐｋとを入力として、再暗号文ＣＴ_Ｓ’を出力する確率的アルゴリズムである。
（Ｄｅｃ１）
Ｄｅｃ１アルゴリズムは、再暗号文ＣＴ_Ｓ’と、復号鍵ｓｋ_Γ’と、公開パラメータｐｋとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。
（Ｄｅｃ２）
Ｄｅｃ２アルゴリズムは、暗号文ｃｔ_Ｓと、復号鍵ｓｋ_Γと、公開パラメータｐｋとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。

＜第４−２．暗号処理システム１０＞
ＣＰ−ＦＰＲＥ方式のアルゴリズムを実行する暗号処理システム１０について説明する。
図５は、ＣＰ−ＦＰＲＥ方式を実行する暗号処理システム１０の構成図である。
暗号処理システム１０は、鍵生成装置１００、暗号化装置２００、復号装置３００（再暗号化鍵生成装置）、再暗号化装置４００、再暗号文復号装置５００を備える。

鍵生成装置１００は、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ；ｕ_１，．．．，ｕ_ｄ；ｚ_１，．．．，ｚ_ｄ）とを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。
そして、鍵生成装置１００は、公開パラメータｐｋを公開する。また、鍵生成装置１００は、属性集合Γを入力としてＫＧアルゴリズムを実行して、復号鍵ｓｋ_Γを生成して復号装置３００へ秘密裏に送信する。また、鍵生成装置１００は、属性集合Γ’を入力としてＫＧアルゴリズムを実行して、復号鍵ｓｋ_Γ’を生成して再暗号文復号装置５００へ秘密裏に送信する。

暗号化装置２００は、メッセージｍと、アクセスストラクチャＳと、公開パラメータｐｋとを入力としてＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Ｓを生成する。暗号化装置２００は、暗号文ｃｔ_Ｓを再暗号化装置４００へ送信する。

復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_Γと、アクセスストラクチャＳ’とを入力としてＲＫＧアルゴリズムを実行して、再暗号化鍵ｒｋ_{（Γ．Ｓ’）}を生成する。復号装置３００は、再暗号化鍵ｒｋ_{（Γ．Ｓ’）}を再暗号化装置に秘密裏に送信する。
また、復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_Γと、暗号文ｃｔ_Ｓとを入力としてＤｅｃ２アルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

再暗号化装置４００は、公開パラメータｐｋと、再暗号化鍵ｒｋ_{（Γ．Ｓ’）}と、暗号文ｃｔ_Ｓとを入力として、ＲＥｎｃアルゴリズムを実行して、再暗号文ＣＴ_Ｓ’を生成する。再暗号化装置４００は、再暗号文ＣＴ_Ｓ’を再暗号文復号装置５００へ送信する。

再暗号文復号装置５００は、公開パラメータｐｋと、復号鍵ｓｋ_Γ’と、再暗号文ＣＴ_Ｓ’とを入力として、Ｄｅｃ１アルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

＜第４−３．ＣＰ−ＦＰＲＥ方式を実現するために用いられる部品＞
ＣＰ−ＦＰＲＥ方式を実現するために、暗号文ポリシーの関数型暗号（ＣＰ−ＦＥ）とワンタイム署名とが用いられる。いずれも公知の技術であるため、ここでは以下の説明で用いる方式について簡単に説明する。なお、ＣＰ−ＦＥ方式については、特許文献１に一例が記載されている。

ＣＰ−ＦＥ方式は、Ｓｅｔｕｐ_{ＣＰ−ＦＥ}、ＫＧ_{ＣＰ−ＦＥ}、Ｅｎｃ_{ＣＰ−ＦＥ}、Ｄｅｃ_{ＣＰ−ＦＥ}の４つのアルゴリズムを備える。
（Ｓｅｔｕｐ_{ＣＰ−ＦＥ}）
Ｓｅｔｕｐ_{ＣＰ−ＦＥ}アルゴリズムは、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ）とを入力として、公開パラメータｐｋ^{ＣＰ−ＦＥ}と、マスター鍵ｓｋ^{ＣＰ−ＦＥ}とを出力する確率的アルゴリズムである。
（ＫＧ_{ＣＰ−ＦＥ}）
ＫＧ_{ＣＰ−ＦＥ}アルゴリズムは、属性集合Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎｔ，１≦ｔ≦ｄ｝と、公開パラメータｐｋ^{ＣＰ−ＦＥ}と、マスター鍵ｓｋ^{ＣＰ−ＦＥ}とを入力として、復号鍵ｓｋ_Γ ^{ＣＰ−ＦＥ}を出力する確率的アルゴリズムである。
（Ｅｎｃ_{ＣＰ−ＦＥ}）
Ｅｎｃ_{ＣＰ−ＦＥ}アルゴリズムは、メッセージｍと、アクセスストラクチャＳ＝（Ｍ，ρ）と、公開パラメータｐｋ^{ＣＰ−ＦＥ}とを入力として、暗号文ψを出力する確率的アルゴリズムである。
（Ｄｅｃ_{ＣＰ−ＦＥ}）
Ｄｅｃ_{ＣＰ−ＦＥ}アルゴリズムは、暗号文ψと、復号鍵ｓｋ_Γ ^{ＣＰ−ＦＥ}と、公開パラメータｐｋ^{ＣＰ−ＦＥ}とを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。

ワンタイム署名方式は、ＳｉｇＫＧ、Ｓｉｇ、Ｖｅｒの３つのアルゴリズムを備える。
（ＳｉｇＫＧ）
ＳｉｇＫＧアルゴリズムは、セキュリティパラメータλを入力として、署名鍵ｓｉｇｋと、検証鍵ｖｅｒｋとを出力する確率的アルゴリズムである。
（Ｓｉｇ）
Ｓｉｇアルゴリズムは、署名鍵ｓｉｇｋと、メッセージｍとを入力として、署名Ｓを出力する確率的アルゴリズムである。
（Ｖｅｒ）
Ｖｅｒアルゴリズムは、検証鍵ｖｅｒｋと、メッセージｍと、署名Ｓとを入力として、検証鍵ｖｅｒｋとメッセージｍとに対して署名Ｓが正当であれば１を出力し、正当でなければ０を出力するアルゴリズムである。
＜第４−４．ＣＰ−ＦＰＲＥ方式及び暗号処理システム１０の詳細＞
図６から図１７に基づき、ＣＰ−ＦＰＲＥ方式、及び、ＣＰ−ＦＰＲＥ方式を実行する暗号処理システム１０の機能と動作とについて説明する。
図６は、鍵生成装置１００の機能を示す機能ブロック図である。図７は、暗号化装置２００の機能を示す機能ブロック図である。図８は、復号装置３００の機能を示す機能ブロック図である。図９は、再暗号化装置４００の機能を示す機能ブロック図である。図１０は、再暗号文復号装置５００の機能を示す機能ブロック図である。
図１１と図１２とは、鍵生成装置１００の動作を示すフローチャートである。なお、図１１はＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１２はＫＧアルゴリズムの処理を示すフローチャートである。図１３は、暗号化装置２００の動作を示すフローチャートであり、Ｅｎｃアルゴリズムの処理を示すフローチャートである。図１４は、復号装置３００の動作を示すフローチャートであり、ＲＫＧアルゴリズムの処理を示すフローチャートである。図１５は、再暗号化装置４００の動作を示すフローチャートであり、ＲＥｎｃアルゴリズムの処理を示すフローチャートである。図１６は、再暗号文復号装置５００の動作を示すフローチャートであり、Ｄｅｃ１アルゴリズムの処理を示すフローチャートである。図１７は、復号装置３００の動作を示すフローチャートであり、Ｄｅｃ２アルゴリズムの処理を示すフローチャートである。

鍵生成装置１００の機能と動作とについて説明する。
鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、復号鍵生成部１４０、鍵送信部１５０を備える。また、復号鍵生成部１４０は、ＣＰ−ＦＥ鍵生成部１４１、乱数生成部１４２、復号鍵ｋ^＊生成部１４３を備える。

まず、図１１に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１：正規直交基底生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１２２を計算して、パラメータｐａｒａｍ_ｎ→と、基底Ｂ_０及び基底Ｂ^＊ _０と、基底Ｂ_ｔ及び基底Ｂ^＊ _ｔとを生成する。

つまり、マスター鍵生成部１１０は以下の処理を実行する。
（１）マスター鍵生成部１１０は、入力装置により、セキュリティパラメータλ（１^λ）と、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ；ｕ_１，．．．，ｕ_ｄ；ｚ_１，．．．，ｚ_ｄ）とを入力する。ここで、ｄは１以上の整数であり、ｔ＝１，．．．，ｄの各整数ｔについて、ｎ_ｔは１以上の整数でありｕ_ｔ，ｚ_ｔは０以上の整数である。

（２）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλを入力としてアルゴリズムＧ_ｂｐｇを実行して、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を生成する。

（３）マスター鍵生成部１１０は、Ｎ_０に７を設定し、ｔ＝１，．．．，ｄの各整数ｔについてＮ_ｔにｎ_ｔ＋ｕ_ｔ＋ｚ_ｔ＋１を設定する。また、マスター鍵生成部１１０は、乱数ψを生成する。また、マスター鍵生成部１１０は、ｅ（Ｇ，Ｇ）^ψをｇ_Ｔに設定する。

続いて、マスター鍵生成部１１０は、ｔ＝０，．．．，ｄの各整数ｔについて以下の（４）から（７）までの処理を実行する。
（４）マスター鍵生成部１１０は、（１）で入力したセキュリティパラメータλ（１^λ）と、（３）で設定したＮ_ｔと、（２）で生成したｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値とを入力としてアルゴリズムＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖｔ：＝（ｑ，Ｖ_ｔ，Ｇ_Ｔ，Ａ_ｔ，ｅ）の値を生成する。

（５）マスター鍵生成部１１０は、（３）で設定したＮ_ｔと、Ｆ_ｑとを入力として、線形変換Ｘ_ｔ：＝（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊをランダムに生成する。なお、ＧＬは、Ｇｅｎｅｒａｌ Ｌｉｎｅａｒの略である。つまり、ＧＬは、一般線形群であり、行列式が０でない正方行列の集合であり、乗法に関し群である。また、（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊは、行列χ_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味である。ここでは、（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊではｉ，ｊ＝１，．．．，Ｎ_ｔである。

（６）マスター鍵生成部１１０は、乱数ψと線形変換Ｘ_ｔとに基づき、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊ：＝ψ・（Ｘ_ｔ ^Ｔ）^−１を生成する。なお、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊも（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊと同様に、行列ν_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味である。ここでは、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊではｉ，ｊ＝１，．．．，Ｎ_ｔである。

（７）マスター鍵生成部１１０は、（５）で生成した線形変換Ｘ_ｔに基づき、（４）で生成した標準基底Ａ_ｔから基底Ｂ_ｔを生成する。マスター鍵生成部１１０は、（６）で生成した（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊに基づき、（４）で生成した標準基底Ａ_ｔから基底Ｂ^＊ _ｔを生成する。

（８）マスター鍵生成部１１０は、ｐａｒａｍ_ｎ→に（４）で生成した｛ｐａｒａｍ_Ｖｔ｝_{ｔ＝０，．．．，ｄ}と、ｇ_Ｔとを設定する。

（Ｓ１０２：ＣＰ−ＦＥマスター鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１２３を計算して、関数型暗号の公開パラメータｐｋ^{ＣＰ−ＦＥ}と、マスター鍵ｓｋ^{ＣＰ−ＦＥ}とを生成する。

（Ｓ１０３：公開パラメータ生成ステップ） マスター鍵生成部１１０は、処理装置により、基底Ｂ_０の部分基底Ｂ＾_０と、基底Ｂ_ｔの部分基底Ｂ＾_ｔとを数１２４に示すように生成する。

マスター鍵生成部１１０は、公開パラメータｐｋ^{ＣＰ−ＦＥ}と、セキュリティパラメータλと、ｐａｒａｍ_ｎ→と、部分基底Ｂ＾_０及び部分基底Ｂ＾_ｔと、基底ベクトルｂ^＊ _０．２，ｂ^＊ _０．３，ｂ^＊ _０．４，ｂ^＊ _０．６と、ｔ＝１，．．．，ｄの各整数ｔについての基底ベクトルｂ^＊ _ｔ．１，．．．，ｂ^＊ _ｔ．ｎｔ，ｂ^＊ _{ｔ．ｎｔ＋ｕｔ＋１}，．．．，ｂ^＊ _{ｔ．ｎｔ＋ｕｔ＋ｚｔ}とを合わせて、公開パラメータｐｋとする。

（Ｓ１０４：マスター鍵生成ステップ）
マスター鍵生成部１１０は、（Ｓ１０１）で生成した基底Ｂ^＊ _０の部分基底Ｂ＾^＊ _０を数１２５に示すように生成する。

マスター鍵生成部１１０は、マスター鍵ｓｋ^{ＣＰ−ＦＥ}と、基底ベクトルｂ^＊ _０．１とをマスター鍵ｓｋとする。

（Ｓ１０５：マスター鍵記憶ステップ）
マスター鍵記憶部１２０は、（Ｓ１０３）で生成した公開パラメータｐｋを記憶装置に記憶する。また、マスター鍵記憶部１２０は、（Ｓ１０４）で生成したマスター鍵ｓｋを記憶装置に記憶する。

つまり、（Ｓ１０１）から（Ｓ１０４）において、鍵生成装置１００は、数１２６−１、数１２６−２に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、（Ｓ１０５）で、鍵生成装置１００は、生成した公開パラメータｐｋとマスター鍵ｓｋとを記憶装置に記憶する。
なお、公開パラメータは、例えば、ネットワークを介して公開され、暗号化装置２００、復号装置３００、再暗号化装置４００、再暗号文復号装置５００が取得可能な状態にされる。

次に、図１２に基づき、ＫＧアルゴリズムの処理について説明する。
（Ｓ２０１：情報入力ステップ）
情報入力部１３０は、入力装置により、属性集合Γ：＝｛（ｔ，ｘ^→ _ｔ：＝（ｘ_ｔ．１，．．．，ｘ_ｔ．ｎｔ∈Ｆ_ｑ ^ｎｔ＼｛０^→｝））｜１≦ｔ≦ｄ｝を入力する。なお、ｔは、１以上ｄ以下の全ての整数ではなく、１以上ｄ以下の少なくとも一部の整数であってもよい。また、属性集合Γは、例えば、復号鍵ｓｋ_Γの使用者の属性情報が設定されている。

（Ｓ２０２：ＣＰ−ＦＥ復号鍵生成ステップ）
ＣＰ−ＦＥ鍵生成部１４１は、処理装置により、数１２７を計算して、関数型暗号の復号鍵ｓｋ_Γ ^{ＣＰ−ＦＥ}を生成する。

（Ｓ２０３：乱数生成ステップ）
乱数生成部１４２は、処理装置により、乱数を数１２８に示すように生成する。

（Ｓ２０４：復号鍵ｋ^＊生成ステップ）
復号鍵ｋ^＊生成部１４３は、処理装置により、復号鍵ｋ^＊ _０を数１２９に示すように生成する。

なお、数１１０に示す基底Ｂと基底Ｂ^＊とに対して数１１１である。そのため、数１２９は、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０．１の係数として１が設定され、基底ベクトルｂ^＊ _０．２の係数としてδが設定され、基底ベクトルｂ^＊ _０．３，．．．，ｂ^＊ _０．５の係数として０が設定され、基底ベクトルｂ^＊ _０．６の係数としてφが設定され、基底ベクトルｂ^＊ _０．７の係数として０が設定されることを意味する。
また、復号鍵ｋ^＊生成部１４３は、処理装置により、属性集合Γに含まれる各整数ｔについて、復号鍵ｋ^＊ _ｔを数１３０に示すように生成する。

なお、数１３０は、基底Ｂ^＊ _ｔの基底ベクトルｂ^＊ _ｔ．１，．．．，ｂ^＊ _ｔ．ｎｔの係数としてδｘ_ｔ．１，．．．，δｘ_ｔ．ｎｔが設定され、基底ベクトルｂ^＊ _{ｔ．ｎｔ＋１}，．．．，ｂ^＊ _{ｔ．ｎｔ＋ｕｔ}の係数として０が設定され、基底ベクトルｂ^＊ _{ｔ．ｎｔ＋ｕｔ＋１}，．．．，ｂ^＊ _{ｔ．ｎｔ＋ｕｔ＋ｚｔ}の係数としてφ_ｔ．１，．．．，φ_ｔ．ｚｔが設定され、基底ベクトルｂ^＊ _{ｔ．ｎｔ＋ｕｔ＋ｚｔ＋１}の係数として０が設定される。

（Ｓ２０５：鍵送信ステップ）
鍵送信部１５０は、関数型暗号の復号鍵ｓｋ_Γ ^{ＣＰ−ＦＥ}と、属性集合Γと、復号鍵ｋ^＊ _０と、ｋ^＊ _ｔとを要素とする復号鍵ｓｋ_Γを、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ送信する。もちろん、復号鍵ｓｋ_Γは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ２０１）から（Ｓ２０４）において、鍵生成装置１００は、数１３１に示すＫＧアルゴリズムを実行して、復号鍵ｓｋ_Γを生成する。そして、（Ｓ２０５）で、鍵生成装置１００は、復号鍵ｓｋ_Γを復号装置３００へ送信する。

なお、鍵生成装置１００は、（Ｓ２０１）において、復号鍵ｓｋ_Γ’の使用者の属性情報が設定された属性集合Γ’：＝｛（ｔ，ｘ’^→ _ｔ：＝（ｘ’_ｔ．１，．．．，ｘ’_ｔ．ｎｔ∈Ｆ_ｑ ^ｎｔ＼｛０^→｝））｜１≦ｔ≦ｄ｝を入力して、ＫＧアルゴリズムを実行して、復号鍵ｓｋ_Γ’を生成する。そして、鍵生成装置１００は、復号鍵ｓｋ_Γ’：＝（ｓｋ_Γ’ ^{ＣＰ−ＦＥ}，Γ’，ｋ’^＊ _０，｛ｋ’^＊ _ｔ｝_{（ｔ，ｘ→ｔ）∈Γ’}）を再暗号文復号装置５００へ送信する。

暗号化装置２００の機能と動作とについて説明する。
暗号化装置２００は、公開パラメータ受信部２１０、情報入力部２２０、署名処理部２３０、暗号化部２４０、暗号文送信部２５０を備える。また、暗号化部２４０は、ｆベクトル生成部２４１、ｓベクトル生成部２４２、乱数生成部２４３、暗号文ｃ^ｅｎｃ生成部２４４を備える。

図１３に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ３０１：公開パラメータ受信ステップ）
公開パラメータ受信部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ３０２：情報入力ステップ）
情報入力部２２０は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、アクセスストラクチャＳの設定については、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳのρは、例えば、暗号文ｃｔ_Ｓを復号可能なユーザの属性情報が設定されている。ここで、ρ（ｉ）＝（ｔ，ｖ^→ _ｉ：＝（ｖ_ｉ．１，．．．，ｖ_ｉ．ｎｔ）∈Ｆ_ｑ ^ｎｔ＼｛０^→｝）（ｖ_ｉ，ｎｔ≠０）である。
また、情報入力部２２０は、入力装置により、復号装置３００へ送信するメッセージｍを入力する。

（Ｓ３０３：署名鍵生成ステップ）
署名処理部２３０は、処理装置により、数１３２を計算して、ワンタイム署名の署名鍵ｓｉｇｋと、検証鍵ｖｅｒｋとを生成する。

（Ｓ３０４：ｆベクトル生成ステップ）
ｆベクトル生成部２４１は、処理装置により、ｒ個の要素を有するベクトルｆ^→を数１３３に示すようにランダムに生成する。

（Ｓ３０５：ｓベクトル生成ステップ）
ｓベクトル生成部２４２は、処理装置により、アクセスストラクチャＳに含まれる（Ｌ行×ｒ列）の行列Ｍと、ベクトルｆ^→とに基づき、ベクトルｓ^→Ｔを数１３４に示すように生成する。

また、ｓベクトル生成部２４２は、処理装置により、ベクトルｆ^→に基づき、値ｓ_０を数１３５に示すように生成する。

（Ｓ３０６：乱数生成ステップ）
乱数生成部２４３は、処理装置により、乱数を数１３６に示すように生成する。

（Ｓ３０７：暗号文ｃ^ｅｎｃ生成ステップ）
暗号文ｃ^ｅｎｃ生成部２４４は、処理装置により、暗号文ｃ^ｅｎｃ _０を数１３７に示すように生成する。

また、暗号文ｃ^ｅｎｃ生成部２４４は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、暗号文ｃ^ｅｎｃ _ｉを数１３８に示すように生成する。

また、暗号文ｃ^ｅｎｃ生成部２４４は、処理装置により、暗号文ｃ^ｅｎｃ _ｄ＋１を数１３９に示すように生成する。

（Ｓ３０８：署名生成ステップ）
署名処理部２３０は、処理装置により、数１４０を計算して、暗号文ｃｔ_Ｓの要素Ｃ：＝（Ｓ，｛ｃ^ｅｎｃ _ｉ｝_{ｉ＝０，．．．，Ｌ}，ｃ^ｅｎｃ _ｄ＋１）に対する署名Ｓｉｇを生成する。

（Ｓ３０９：暗号文送信ステップ）
暗号文送信部２５０は、アクセスストラクチャＳと、暗号文ｃ^ｅｎｃ _０，ｃ^ｅｎｃ _１，．．．，ｃ^ｅｎｃ _Ｌ，ｃ^ｅｎｃ _ｄ＋１と、検証鍵ｖｅｒｋと、署名Ｓｉｇとを要素とする暗号文ｃｔ_Ｓを、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号文ｃｔ_Ｓは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ３０１）から（Ｓ３０８）において、暗号化装置２００は、数１４１に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Ｓを生成する。そして、（Ｓ３０９）で、暗号化装置２００は生成した暗号文ｃｔ_Ｓを復号装置３００へ送信する。

復号装置３００の機能と動作とについて説明する。
復号装置３００は、復号鍵受信部３１０、情報入力部３２０、再暗号化鍵生成部３３０、再暗号化鍵送信部３４０、暗号文受信部３５０、検証部３６０、補完係数計算部３７０、ペアリング演算部３８０、メッセージ計算部３９０を備える。また、再暗号化鍵生成部３３０は、乱数生成部３３１、変換情報Ｗ_１生成部３３２、変換情報Ｗ_１暗号化部３３３、復号鍵ｋ^＊ｒｋ生成部３３４、変換部３３５を備える。また、検証部３６０は、スパンプログラム計算部３６１、署名検証部３６２を備える

ここでは、図１４に基づき、ＲＫＧアルゴリズムの処理について説明する。Ｄｅｃ２アルゴリズムについては後述する。

（Ｓ４０１：復号鍵受信ステップ）
復号鍵受信部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Γを受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ４０２：情報入力ステップ）
情報入力部３２０は、入力装置により、アクセスストラクチャＳ’：＝（Ｍ’，ρ’）を入力する。なお、アクセスストラクチャＳ’の設定については、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳ’のρ’は、例えば、再暗号文ＣＴ_Ｓ’を復号可能なユーザの属性情報が設定されている。ここで、ρ’（ｉ）＝（ｔ，ｖ^→’ _ｉ：＝（ｖ’_ｉ．１，．．．，ｖ’_ｉ．ｎｔ）∈Ｆ_ｑ ^ｎｔ＼｛０^→｝）（ｖ’_ｉ，ｎｔ≠０）である。

（Ｓ４０３：乱数生成ステップ）
乱数生成部３３１は、処理装置により、乱数を数１４２に示すように生成する。

（Ｓ４０４：変換情報Ｗ_１生成ステップ）
変換情報Ｗ_１生成部３３２は、処理装置により、変換情報Ｗ_１を数１４３に示すように生成する。

（Ｓ４０５：変換情報Ｗ_１暗号化ステップ）
変換情報Ｗ_１暗号化部３３３は、処理装置により、数１４４を計算して、変換情報Ｗ_１を関数型暗号により暗号化して、暗号化変換情報ψ^ｒｋを生成する。変換情報Ｗ_１は、アクセスストラクチャＳ’を入力として関数型暗号により暗号化されるため、再暗号文ＣＴ_Ｓ’を復号可能なユーザの属性情報が設定され暗号化される。

（Ｓ４０６：復号鍵ｋ^＊ｒｋ生成ステップ）
復号鍵ｋ^＊ｒｋ生成部３３４は、処理装置により、復号鍵ｋ^＊ｒｋ _０を数１４５に示すように生成する。

また、復号鍵生成部３３４は、処理装置により、属性集合Γに含まれる各整数ｔについて、復号鍵ｋ^＊ｒｋ _ｔを数１４６に示すように生成する。

（Ｓ４０７：変換ステップ）
変換部３３５は、処理装置により、数１４７を計算して、基底Ｄ^＾＊ _０を生成する。

（Ｓ４０８：鍵送信ステップ）
再暗号化鍵送信部３４０は、属性集合Γと、アクセスストラクチャＳ’と、復号鍵ｋ^＊ｒｋ _０，ｋ^＊ｒｋ _ｔと、暗号化変換情報ψ^ｒｋと、基底Ｄ^＾＊ _０とを要素とする再暗号化鍵ｒｋ_{（Γ．Ｓ’）}を、例えば通信装置によりネットワークを介して秘密裡に再暗号化装置４００へ送信する。もちろん、再暗号化鍵ｒｋ_{（Γ．Ｓ’）}は、他の方法により再暗号化装置４００へ送信されてもよい。

つまり、（Ｓ４０１）から（Ｓ４０７）において、復号装置３００は、数１４８に示すＲＫＧアルゴリズムを実行して、再暗号化鍵ｒｋ_{（Γ．Ｓ’）}を生成する。そして、（Ｓ４０８）で、復号装置３００は生成した再暗号化鍵ｒｋ_{（Γ．Ｓ’）}を再暗号化装置４００へ送信する。

再暗号化装置４００の機能と動作とについて説明する。
再暗号化装置４００は、公開パラメータ受信部４１０、暗号文受信部４２０、再暗号化鍵受信部４３０、検証部４４０、暗号化部４５０、再暗号文送信部４６０を備える。また、検証部４４０は、スパンプログラム計算部４４１、署名検証部４４２を備える。また、暗号化部４５０は、乱数生成部４５１、ｆベクトル生成部４５２、ｓベクトル生成部４５３、変換情報Ｗ_２生成部４５４、変換情報Ｗ_２暗号化部４５５、暗号文ｃ^ｒｅｎｃ生成部４５６、復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７を備える。

図１５に基づき、ＲＥｎｃアルゴリズムの処理について説明する。
（Ｓ５０１：公開パラメータ受信ステップ）
公開パラメータ受信部４１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ５０２：暗号文受信ステップ）
暗号文受信部４２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号文ｃｔ_Ｓを受信する。

（Ｓ５０３：再暗号化鍵受信ステップ）
再暗号化鍵受信部４３０は、例えば、通信装置によりネットワークを介して、復号装置３００から送信された再暗号化鍵ｒｋ_{（Γ．Ｓ’）}を受信する。

（Ｓ５０４：スパンプログラム計算ステップ）
スパンプログラム計算部４４１は、処理装置により、暗号文ｃｔ_Ｓに含まれるアクセスストラクチャＳが、再暗号化鍵ｒｋ_{（Γ．Ｓ’）}に含まれるΓを受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否かの判定方法は、実施の形態１における「第３．ＦＰＲＥを実現するための概念」で説明した通りである。
スパンプログラム計算部４４１は、アクセスストラクチャＳがΓを受理する場合（Ｓ５０４で受理）、処理を（Ｓ５０５）へ進める。一方、アクセスストラクチャＳがΓを拒絶する場合（Ｓ５０４で拒絶）、処理を終了する。

（Ｓ５０５：署名検証ステップ）
署名検証部４４２は、処理装置により、数１４９を計算した結果が１であるか否かを判定する。署名検証部４４２は、結果が１である場合（Ｓ５０５で正当）、処理を（Ｓ５０６）へ進める。一方、署名検証部４４２は、結果が０である場合（Ｓ５０５で不当）、処理を終了する。

（Ｓ５０６：乱数生成ステップ）
乱数生成部４５１は、処理装置により、乱数を数１５０に示すように生成する。

（Ｓ５０７：ｆベクトル生成ステップ）
ｆベクトル生成部４５２は、処理装置により、ｒ個の要素を有するベクトルｆ^→’を数１５１に示すようにランダムに生成する。

（Ｓ５０８：ｓベクトル生成ステップ）
ｓベクトル生成部４５３は、処理装置により、アクセスストラクチャＳに含まれる（Ｌ行×ｒ列）の行列Ｍと、ベクトルｆ^→’とに基づき、ベクトルｓ^→’Ｔを数１５２に示すように生成する。

また、ｓベクトル生成部４５３は、処理装置により、ベクトルｆ^→’に基づき、値ｓ_０ ^’を数１５３に示すように生成する。

（Ｓ５０９：変換情報Ｗ_２生成ステップ）
変換情報Ｗ_２生成部４５４は、処理装置により、変換情報Ｗ_２を数１５４に示すように生成する。

（Ｓ５１０：変換情報Ｗ_２暗号化ステップ）
変換情報Ｗ_２暗号化部４５５は、処理装置により、数１５５を計算して、変換情報Ｗ_２を関数型暗号により暗号化して、暗号化変換情報ψ^ｒｅｎｃを生成する。変換情報Ｗ_２は、アクセスストラクチャＳ’を入力として関数型暗号により暗号化されるため、再暗号文ＣＴ_Ｓ’を復号可能なユーザの属性情報が設定され暗号化される。

（Ｓ５１１：暗号文ｃ^ｒｅｎｃ生成ステップ）
暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、暗号文ｃ^ｒｅｎｃ _０を数１５６に示すように生成する。

また、暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、暗号文ｃ^ｒｅｎｃ _ｉを数１５７に示すように生成する。

また、暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、暗号文ｃ^ｒｅｎｃ _ｄ＋１を数１５８に示すように生成する。

（Ｓ５１２：復号鍵ｋ^{＊ｒｅｎｃ}生成ステップ）
復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７は、処理装置により、復号鍵ｋ^{＊ｒｅｎｃ} _０を数１５９に示すように生成する。

また、復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７は、処理装置により、属性集合Γに含まれる各整数ｔについて、復号鍵ｋ^{＊ｒｅｎｃ} _ｔを数１６０に示すように生成する。

（Ｓ５１３：再暗号文送信ステップ）
再暗号文送信部４６０は、アクセスストラクチャＳ’と、アクセスストラクチャＳと、属性集合Γと、復号鍵ｋ^{＊ｒｅｎｃ} _０，ｋ^{＊ｒｅｎｃ} _ｔと、暗号文ｃ^ｒｅｎｃ _０，ｃ^ｒｅｎｃ _ｉ，ｃ^ｒｅｎｃ _ｄ＋１と、暗号化変換情報ψ^ｒｋと、暗号化変換情報ψ^ｒｅｎｃとを要素とする再暗号文ＣＴ_Ｓ’を、例えば通信装置によりネットワークを介して秘密裡に再暗号化装置４００へ送信する。もちろん、再暗号文ＣＴ_Ｓ’は、他の方法により再暗号化装置４００へ送信されてもよい。

つまり、（Ｓ５０１）から（Ｓ５１２）において、再暗号化装置４００は、数１６１−１、数１６１−２に示すＲＥｎｃアルゴリズムを実行して、再暗号文ＣＴ_Ｓ’を生成する。そして、（Ｓ５１３）で、再暗号化装置４００は生成した再暗号文ＣＴ_Ｓ’を再暗号文復号装置５００へ送信する。

再暗号文復号装置５００の機能と動作とについて説明する。
再暗号文復号装置５００は、復号鍵受信部５１０、暗号文受信部５２０、スパンプログラム計算部５３０、補完係数計算部５４０、変換情報生成部５５０、変換部５６０、ペアリング演算部５７０、メッセージ計算部５８０を備える。なお、ペアリング演算部５７０とメッセージ計算部５８０とを総称して、復号部と呼ぶ。

図１６に基づき、Ｄｅｃ１アルゴリズムの処理について説明する。
（Ｓ６０１：復号鍵受信ステップ）
復号鍵受信部５１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Γ’を受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ６０２：暗号文受信ステップ）
暗号文受信部５２０は、例えば、通信装置によりネットワークを介して、再暗号化装置４００が送信した再暗号文ＣＴ_Ｓ’を受信する。

（Ｓ６０３：スパンプログラム計算ステップ）
スパンプログラム計算部５３０は、処理装置により、再暗号文ＣＴ_Ｓ’に含まれるアクセスストラクチャＳが、再暗号文ＣＴ_Ｓ’に含まれるΓを受理するか否かを判定するとともに、再暗号文ＣＴ_Ｓ’に含まれるアクセスストラクチャＳ’が、復号鍵ｓｋ_Γ’に含まれるΓ’を受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否か、及び、アクセスストラクチャＳ’がΓ’を受理するか否かの判定方法は、実施の形態１における「第３．ＦＰＲＥを実現するための概念」で説明した通りである。
スパンプログラム計算部５３０は、アクセスストラクチャＳがΓを受理し、かつ、アクセスストラクチャＳ’がΓ’を受理する場合（Ｓ６０３で受理）、処理を（Ｓ６０４）へ進める。一方、アクセスストラクチャＳがΓを拒絶する、又は、アクセスストラクチャＳ’がΓ’を拒絶する場合（Ｓ６０３で拒絶）、処理を終了する。

（Ｓ６０４：補完係数計算ステップ）
補完係数計算部５４０は、処理装置により、数１６２となるＩと、定数（補完係数）｛α_ｉ｝_ｉ∈Ｉとを計算する。

（Ｓ６０５：変換情報生成ステップ）
変換情報生成部５５０は、処理装置により、変換情報Ｗ_１ ^〜，Ｗ_２ ^〜を数１６３に示すように生成する。

（Ｓ６０６：変換ステップ）
変換部５６０は、処理装置により、数１６４に示すように、復号鍵ｋ^{＊ｒｅｎｃ} _０の基底を変換して復号鍵ｋ^＊ _０ ^〜を生成するとともに、暗号文ｃ^ｒｅｎｃ _０の基底を変換して暗号文ｃ_０ ^〜を生成する。

（Ｓ６０７：ペアリング演算ステップ）
ペアリング演算部５７０は、処理装置により、数１６５を計算して、セッション鍵Ｋ^〜を生成する。

（Ｓ６０８：メッセージ計算ステップ）
メッセージ計算部３９０は、処理装置により、ｍ’＝ｃ^ｅｎｃ _ｄ＋１／Ｋ^〜を計算して、メッセージｍ’（＝ｍ）を生成する。

つまり、（Ｓ６０１）から（Ｓ６０８）において、再暗号文復号装置５００は、数１６６に示すＤｅｃ１アルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

図１７に基づき、Ｄｅｃ２アルゴリズムの処理について説明する。
（Ｓ７０１：復号鍵受信ステップ）
復号鍵受信部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Γを受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ７０２：暗号文受信ステップ）
暗号文受信部３５０は、例えば、通信装置によりネットワークを介して、再暗号化装置４００が送信した暗号文ｃｔ_Ｓを受信する。

（Ｓ７０３：スパンプログラム計算ステップ） スパンプログラム計算部３６１は、処理装置により、暗号文ｃｔ_Ｓに含まれるアクセスストラクチャＳが、復号鍵ｓｋ_Γに含まれるΓを受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否かの判定方法は、実施の形態１における「第３．ＦＰＲＥを実現するための概念」で説明した通りである。
スパンプログラム計算部３６１は、アクセスストラクチャＳがΓを受理する場合（Ｓ７０３で受理）、処理を（Ｓ７０４）へ進める。一方、アクセスストラクチャＳがΓを拒絶する場合（Ｓ７０３で拒絶）、処理を終了する。

（Ｓ７０４：署名検証ステップ）
署名検証部３６２は、処理装置により、数１６７を計算した結果が１であるか否かを判定する。署名検証部４４２は、結果が１である場合（Ｓ７０４で正当）、処理を（Ｓ７０５）へ進める。一方、署名検証部４４２は、結果が０である場合（Ｓ７０４で不当）、処理を終了する。

（Ｓ７０５：補完係数計算ステップ）
補完係数計算部３７０は、処理装置により、数１６８となるＩと、定数（補完係数）｛α_ｉ｝_ｉ∈Ｉとを計算する。

（Ｓ７０６：ペアリング演算ステップ）
ペアリング演算部３８０は、処理装置により、数１６９を計算して、セッション鍵Ｋを生成する。

（Ｓ７０７：メッセージ計算ステップ）
メッセージ計算部３９０は、処理装置により、ｍ’＝ｃ^ｅｎｃ _ｄ＋１／Ｋを計算して、メッセージｍ’（＝ｍ）を生成する。

つまり、（Ｓ７０１）から（Ｓ７０７）において、復号装置３００は、数１７０に示すＤｅｃ２アルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

以上のように、実施の形態１に係る暗号システムは、ＣＰ−ＦＰＲＥ方式を実現することが可能である。そのため、１つの再暗号化鍵で、様々な種類のユーザの集合に暗号文を転送することができるようになる。
その結果、例えば、ネットワーク上に存在する様々な暗号文を、復号せずに安全に様々な属性を持つユーザに転送することができるようになる。これにより、安全かつ実用的に暗号文の処理を信用できる第三者へ委託することが可能となる。

なお、上記説明では、復号装置３００が再暗号化鍵生成装置を兼ねており、復号装置３００がＤｅｃ２アルゴリズムだけでなく、ＲＫＧアルゴリズムも実行するとした。しかし、復号装置３００と再暗号化鍵生成装置とを別の装置としてもよい。この場合、復号装置３００は、Ｄｅｃ２アルゴリズムを実行し、再暗号化鍵生成装置は、ＲＫＧアルゴリズムを実行する。したがって、この場合、復号装置３００は、Ｄｅｃ２アルゴリズムを実行するのに必要な機能構成を備え、再暗号化鍵生成装置は、ＲＫＧアルゴリズムを実行するのに必要な機能構成を備える。

実施の形態２．
実施の形態１では、ＣＰ−ＦＰＲＥ方式について説明した。実施の形態２では、鍵ポリシーのＦＰＲＥ方式（Ｋｅｙ−Ｐｏｌｉｃｙ ＦＰＲＥ，ＫＰ−ＦＰＲＥ）方式について説明する。

まず、ＫＰ−ＦＰＲＥ方式の基本構成について説明する。次に、このＫＰ−ＦＰＲＥ方式を実現する暗号処理システム１０の基本構成について説明する。次に、このＫＰ−ＦＰＲＥ方式を実現するために用いられる部品について説明する。そして、この実施の形態に係るＫＰ−ＦＰＲＥ方式、及び、暗号処理システム１０について詳細に説明する。

ＫＰ−ＦＰＲＥ方式の構成を簡単に説明する。なお、ＫＰ（鍵ポリシー）とは、鍵にＰｏｌｉｃｙが埋め込まれること、つまりアクセスストラクチャが埋め込まれることを意味する。

＜第１−１．ＫＰ−ＦＰＲＥ方式の基本構成＞
ＫＰ−ＦＰＲＥ方式は、Ｓｅｔｕｐ、ＫＧ、Ｅｎｃ、ＲＫＧ、ＲＥｎｃ、Ｄｅｃ１、Ｄｅｃ２の７つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ；ｕ_１，．．．，ｕ_ｄ；ｚ_１，．．．，ｚ_ｄ）とを入力として、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫＧ）
ＫＧアルゴリズムは、アクセスストラクチャＳ＝（Ｍ，ρ）と、公開パラメータｐｋと、マスター鍵ｓｋとを入力として、復号鍵ｓｋ_Ｓを出力する確率的アルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、メッセージｍと、属性集合Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎｔ，１≦ｔ≦ｄ｝と、公開パラメータｐｋとを入力として、暗号文ｃｔ_Γを出力する確率的アルゴリズムである。
（ＲＫＧ）
ＲＫＧアルゴリズムは、復号鍵ｓｋ_Ｓと、属性集合Γ’：＝｛（ｔ，ｘ’^→ _ｔ）｜ｘ’^→ _ｔ∈Ｆ_ｑ ^ｎｔ，１≦ｔ≦ｄ｝と、公開パラメータｐｋとを入力として、再暗号化鍵ｒｋ_{（Ｓ．Γ’）}を出力する確率的アルゴリズムである。
（ＲＥｎｃ）
ＲＥｎｃアルゴリズムは、暗号文ｃｔ_Γと、再暗号化鍵ｒｋ_{（Ｓ．Γ’）}と、公開パラメータｐｋとを入力として、再暗号文ＣＴ_Γ’を出力する確率的アルゴリズムである。
（Ｄｅｃ１）
Ｄｅｃ１アルゴリズムは、再暗号文ＣＴ_Γ’と、復号鍵ｓｋ_Ｓ’と、公開パラメータｐｋとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。
（Ｄｅｃ２）
Ｄｅｃ２アルゴリズムは、暗号文ｃｔ_Γと、復号鍵ｓｋ_Γと、公開パラメータｐｋとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。

＜第１−２．暗号処理システム１０＞
ＫＰ−ＦＰＲＥ方式のアルゴリズムを実行する暗号処理システム１０について説明する。
図１８は、ＫＰ−ＦＰＲＥ方式を実行する暗号処理システム１０の構成図である。
暗号処理システム１０は、図５に示す暗号処理システム１０と同様に、鍵生成装置１００、暗号化装置２００、復号装置３００（再暗号化鍵生成装置）、再暗号化装置４００、再暗号文復号装置５００を備える。

鍵生成装置１００は、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ；ｕ_１，．．．，ｕ_ｄ；ｚ_１，．．．，ｚ_ｄ）とを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。
そして、鍵生成装置１００は、公開パラメータｐｋを公開する。また、鍵生成装置１００は、アクセスストラクチャＳを入力としてＫＧアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成して復号装置３００へ秘密裏に送信する。また、鍵生成装置１００は、アクセスストラクチャＳ’を入力としてＫＧアルゴリズムを実行して、復号鍵ｓｋ_Ｓ’を生成して再暗号文復号装置５００へ秘密裏に送信する。

暗号化装置２００は、メッセージｍと、属性集合Γと、公開パラメータｐｋとを入力としてＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Γを生成する。暗号化装置２００は、暗号文ｃｔ_Γを再暗号化装置４００へ送信する。

復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_Ｓと、属性集合Γ’とを入力としてＲＫＧアルゴリズムを実行して、再暗号化鍵ｒｋ_{（Ｓ．Γ’）}を生成する。復号装置３００は、再暗号化鍵ｒｋ_{（Ｓ．Γ’）}を再暗号化装置４００に秘密裏に送信する。
また、復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_Ｓと、暗号文ｃｔ_Γとを入力としてＤｅｃ２アルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

再暗号化装置４００は、公開パラメータｐｋと、再暗号化鍵ｒｋ_{（Ｓ．Γ’）}と、暗号文ｃｔ_Γとを入力として、ＲＥｎｃアルゴリズムを実行して、再暗号文ＣＴ_Γ’を生成する。再暗号化装置４００は、再暗号文ＣＴ_Γ’を再暗号文復号装置５００へ送信する。

再暗号文復号装置５００は、公開パラメータｐｋと、復号鍵ｓｋ_Ｓ’と、再暗号文ＣＴ_Γ’とを入力として、Ｄｅｃ１アルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

＜第１−３．ＫＰ−ＦＰＲＥ方式を実現するために用いられる部品＞
ＫＰ−ＦＰＲＥ方式を実現するために、鍵ポリシーの関数型暗号（ＫＰ−ＦＥ）とワンタイム署名とが用いられる。いずれも公知の技術であるため、ここでは以下の説明で用いる方式について簡単に説明する。なお、ＫＰ−ＦＥ方式については、特許文献１に一例が記載されている。また、ワンタイム署名については、実施の形態１で説明した通りであるため、ここでは説明を省略する。

ＫＰ−ＦＥ方式は、Ｓｅｔｕｐ_{ＫＰ−ＦＥ}、ＫＧ_{ＫＰ−ＦＥ}、Ｅｎｃ_{ＫＰ−ＦＥ}、Ｄｅｃ_{ＫＰ−ＦＥ}の４つのアルゴリズムを備える。
（Ｓｅｔｕｐ_{ＫＰ−ＦＥ}）
Ｓｅｔｕｐ_{ＫＰ−ＦＥ}アルゴリズムは、セキュリティパラメータλと、属性のフォーマットｎ^→：＝（ｄ；ｎ_１，．．．，ｎ_ｄ）とを入力として、公開パラメータｐｋ^{ＫＰ−ＦＥ}と、マスター鍵ｓｋ^{ＫＰ−ＦＥ}とを出力する確率的アルゴリズムである。
（ＫＧ_{ＫＰ−ＦＥ}）
ＫＧ_{ＫＰ−ＦＥ}アルゴリズムは、アクセスストラクチャＳ＝（Ｍ，ρ）と、公開パラメータｐｋ^{ＫＰ−ＦＥ}と、マスター鍵ｓｋ^{ＫＰ−ＦＥ}とを入力として、復号鍵ｓｋ_Ｓ ^{ＫＰ−ＦＥ}を出力する確率的アルゴリズムである。
（Ｅｎｃ_{ＫＰ−ＦＥ}）
Ｅｎｃ_{ＫＰ−ＦＥ}アルゴリズムは、メッセージｍと、属性集合Γ：＝｛（ｔ，ｘ^→ _ｔ）｜ｘ^→ _ｔ∈Ｆ_ｑ ^ｎｔ，１≦ｔ≦ｄ｝と、公開パラメータｐｋ^{ＫＰ−ＦＥ}とを入力として、暗号文ψを出力する確率的アルゴリズムである。
（Ｄｅｃ_{ＫＰ−ＦＥ}）
Ｄｅｃ_{ＫＰ−ＦＥ}アルゴリズムは、暗号文ψと、復号鍵ｓｋ_Ｓ ^{ＫＰ−ＦＥ}と、公開パラメータｐｋ^{ＫＰ−ＦＥ}とを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。
＜第１−４．ＫＰ−ＦＰＲＥ方式及び暗号処理システム１０の詳細＞
図１９から図２９に基づき、ＫＰ−ＦＰＲＥ方式、及び、ＫＰ−ＦＰＲＥ方式を実行する暗号処理システム１０の機能と動作とについて説明する。
図１９は、鍵生成装置１００の機能を示す機能ブロック図である。図２０は、暗号化装置２００の機能を示す機能ブロック図である。図２１は、復号装置３００の機能を示す機能ブロック図である。図２２は、再暗号化装置４００の機能を示す機能ブロック図である。図２３は、再暗号文復号装置５００の機能を示す機能ブロック図である。
図２４は、鍵生成装置１００の動作を示すフローチャートであり、ＫＧアルゴリズムの処理を示すフローチャートである。図２５は、暗号化装置２００の動作を示すフローチャートであり、Ｅｎｃアルゴリズムの処理を示すフローチャートである。図２６は、復号装置３００の動作を示すフローチャートであり、ＲＫＧアルゴリズムの処理を示すフローチャートである。図２７は、再暗号化装置４００の動作を示すフローチャートであり、ＲＥｎｃアルゴリズムの処理を示すフローチャートである。図２８は、再暗号文復号装置５００の動作を示すフローチャートであり、Ｄｅｃ１アルゴリズムの処理を示すフローチャートである。図２９は、復号装置３００の動作を示すフローチャートであり、Ｄｅｃ２アルゴリズムの処理を示すフローチャートである。

鍵生成装置１００の機能と動作とについて説明する。
鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、復号鍵生成部１４０、鍵送信部１５０を備える。また、復号鍵生成部１４０は、乱数生成部１４２、復号鍵ｋ^＊生成部１４３、ＫＰ−ＦＥ鍵生成部１４４、ｆベクトル生成部１４５、ｓベクトル生成部１４６を備える。

Ｓｅｔｕｐアルゴリズムの処理は、実施の形態１で説明したＳｅｔｕｐアルゴリズムの処理と同じであるため、説明を省略する。但し、実施の形態１におけるＳ１０２では、ＣＰ−ＦＥにおける公開パラメータｐｋ^{ＣＰ−ＦＥ}と、マスター鍵ｓｋ^{ＣＰ−ＦＥ}とを生成したが、実施の形態２では、ＫＰ−ＦＥにおける公開パラメータｐｋ^{ＫＰ−ＦＥ}と、マスター鍵ｓｋ^{ＫＰ−ＦＥ}とを生成する。また、部分基底Ｂ＾_０，Ｂ＾_ｔ，Ｂ＾^＊ _０，Ｂ＾^＊ _ｔは、数１７１のように構成され、実施の形態１とは異なる。

つまり、鍵生成装置１００は、数１７２−１、数１７２−２に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。

図２４に基づき、ＫＧアルゴリズムの処理について説明する。
（Ｓ８０１：情報入力ステップ）
情報入力部１３０は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、アクセスストラクチャＳの行列Ｍの設定については、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳのρは、例えば、復号鍵ｓｋ_Ｓの使用者の属性情報が設定されている。ここで、ρ（ｉ）＝（ｔ，ｖ^→ _ｉ：＝（ｖ_ｉ．１，．．．，ｖ_ｉ．ｎｔ）∈Ｆ_ｑ ^ｎｔ＼｛０^→｝）（ｖ_ｉ，ｎｔ≠０）である。

（Ｓ８０２：ＫＰ−ＦＥ復号鍵生成ステップ）
ＫＰ−ＦＥ鍵生成部１４４は、処理装置により、数１７３を計算して、関数型暗号の復号鍵ｓｋ_Ｓ ^{ＫＰ−ＦＥ}を生成する。

（Ｓ８０３：ｆベクトル生成ステップ）
ｆベクトル生成部１４５は、処理装置により、ｒ個の要素を有するベクトルｆ^→を数１７４に示すようにランダムに生成する。

（Ｓ８０４：ｓベクトル生成ステップ）
ｓベクトル生成部１４６は、処理装置により、アクセスストラクチャＳに含まれる（Ｌ行×ｒ列）の行列Ｍと、ベクトルｆ^→とに基づき、ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔを数１７５に示すように生成する。

また、ｓベクトル生成部１４６は、処理装置により、ベクトルｆ^→に基づき、値ｓ_０を数１７６に示すように生成する。

（Ｓ８０５：乱数生成ステップ）
乱数生成部１４２は、処理装置により、乱数を数１７７に示すように生成する。

（Ｓ８０６：復号鍵ｋ^＊生成ステップ）
復号鍵ｋ^＊生成部１４３は、処理装置により、復号鍵ｋ^＊ _０を数１７８に示すように生成する。

また、復号鍵ｋ^＊生成部１４３は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、復号鍵ｋ^＊ _ｉを数１７９に示すように生成する。

（Ｓ８０７：鍵送信ステップ）
鍵送信部１５０は、アクセスストラクチャＳと、復号鍵ｋ^＊ _０，ｋ^＊ _ｉとを要素とする復号鍵ｓｋ_Ｓを、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ送信する。もちろん、復号鍵ｓｋ_Ｓは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ８０１）から（Ｓ８０６）において、鍵生成装置１００は、数１８０に示すＫＧアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成する。そして、（Ｓ８０７）で、鍵生成装置１００は、生成した復号鍵ｓｋ_Ｓを復号装置３００へ送信する。

なお、鍵生成装置１００は、（Ｓ８０１）において、復号鍵ｓｋ_Ｓ’の使用者の属性情報が設定されたアクセスストラクチャＳ’：＝（Ｍ’，ρ’）を入力して、ＫＧアルゴリズムを実行して、復号鍵ｓｋ_Ｓ’を生成する。そして、復号鍵ｓｋ_Ｓ’：＝（Ｓ’，ｋ’^＊ _０，ｋ’^＊ _ｉ）を再暗号文復号装置５００へ送信する。ここで、ρ’（ｉ）＝（ｔ，ｖ^→’ _ｉ：＝（ｖ’_ｉ．１，．．．，ｖ’_ｉ．ｎｔ）∈Ｆ_ｑ ^ｎｔ＼｛０^→｝）（ｖ’_ｉ，ｎｔ≠０）である。

暗号化装置２００の機能と動作とについて説明する。
暗号化装置２００は、公開パラメータ受信部２１０、情報入力部２２０、署名処理部２３０、暗号化部２４０、暗号文送信部２５０を備える。また、暗号化部２４０は、乱数生成部２４３、暗号文ｃ^ｅｎｃ生成部２４４を備える。

図２５に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ９０１：公開パラメータ受信ステップ）
公開パラメータ受信部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ９０２：情報入力ステップ）
情報入力部２２０は、入力装置により、属性集合Γ：＝｛（ｔ，ｘ^→ _ｔ：＝（ｘ_ｔ．１，．．．，ｘ_ｔ．ｎｔ∈Ｆｑ^ｎｔ））｜１≦ｔ≦ｄ｝を入力する。なお、ｔは、１以上ｄ以下の全ての整数ではなく、１以上ｄ以下の少なくとも一部の整数であってもよい。また、属性集合Γは、例えば、復号可能なユーザの属性情報が設定されている。また、情報入力部２２０は、入力装置により、復号装置３００へ送信するメッセージｍを入力する。

（Ｓ９０３：署名鍵生成ステップ）
署名処理部２３０は、処理装置により、数１８１を計算して、ワンタイム署名の署名鍵ｓｉｇｋと、検証鍵ｖｅｒｋとを生成する。

（Ｓ９０４：乱数生成ステップ）
乱数生成部２４３は、処理装置により、乱数を数１８２に示すように生成する。

（Ｓ９０５：暗号文ｃ^ｅｎｃ生成ステップ）
暗号文ｃ^ｅｎｃ生成部２３２は、処理装置により、暗号文ｃ^ｅｎｃ _０を数１８３に示すように生成する。

また、暗号文ｃ^ｅｎｃ生成部２３２は、処理装置により、属性情報Γに含まれる各整数ｔについて、暗号文ｃ^ｅｎｃ _ｔを数１８４に示すように生成する。

また、暗号文ｃ^ｅｎｃ生成部２３２は、処理装置により、暗号文ｃ^ｅｎｃ _ｄ＋１を数１８５に示すように生成する。

（Ｓ９０６：署名生成ステップ）
署名処理部２３０は、処理装置により、数１８６を計算して、暗号文ｃｔ_Γの要素Ｃ：＝（Ｓ，ｃ^ｅｎｃ _０，｛ｃ^ｅｎｃ _ｔ｝_{（ｔ，ｘｔ→）∈Γ}，ｃ^ｅｎｃ _ｄ＋１）に対する署名Ｓｉｇを生成する。

（Ｓ９０７：暗号文送信ステップ）
暗号文送信部２５０は、属性集合Γと、暗号文ｃ^ｅｎｃ _０，ｃ^ｅｎｃ _ｔ，ｃ^ｅｎｃ _ｄ＋１と、検証鍵ｖｅｒｋと、署名Ｓｉｇとを要素とする暗号文ｃｔ_Γを、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号文ｃｔ_Γは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ９０１）から（Ｓ９０６）において、暗号化装置２００は、数１８７に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Γを生成する。そして、（Ｓ９０７）で、暗号化装置２００は生成した暗号文ｃｔ_Γを復号装置３００へ送信する。

復号装置３００の機能と動作とについて説明する。
復号装置３００は、復号鍵受信部３１０、情報入力部３２０、再暗号化鍵生成部３３０、再暗号化鍵送信部３４０、暗号文受信部３５０、検証部３６０、補完係数計算部３７０、ペアリング演算部３８０、メッセージ計算部３９０を備える。また、再暗号化鍵生成部３３０は、乱数生成部３３１、変換情報Ｗ_１生成部３３２、変換情報Ｗ_１暗号化部３３３、復号鍵ｋ^＊ｒｋ生成部３３４、変換部３３５、ｆベクトル生成部３３６、ｓベクトル生成部３３７を備える。また、検証部３６０は、スパンプログラム計算部３６１、署名検証部３６２を備える。

ここでは、図２６に基づき、ＲＫＧアルゴリズムの処理について説明する。Ｄｅｃ２アルゴリズムについては後述する。

（Ｓ１００１：復号鍵受信ステップ）
復号鍵受信部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Ｓを受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ１００２：情報入力ステップ）
情報入力部３２０は、入力装置により、属性集合Γ’：＝｛（ｔ，ｘ’^→ _ｔ：＝（ｘ’_ｔ．１，．．．，ｘ’_ｔ．ｎｔ∈Ｆ_ｑ ^ｎｔ＼｛０^→｝））｜１≦ｔ≦ｄ｝を入力する。なお、ｔは、１以上ｄ以下の全ての整数ではなく、１以上ｄ以下の少なくとも一部の整数であってもよい。また、属性集合Γ’は、例えば、再暗号文ＣＴ_Γ’を復号可能なユーザの属性情報が設定されている。

（Ｓ１００３：乱数生成ステップ）
乱数生成部３３１は、処理装置により、乱数を数１８８に示すように生成する。

（Ｓ１００４：ｆベクトル生成ステップ）
ｆベクトル生成部３３６は、処理装置により、ｒ個の要素を有するベクトルｆ^→’を数１８９に示すようにランダムに生成する。

（Ｓ１００５：ｓベクトル生成ステップ）
ｓベクトル生成部３３７は、処理装置により、アクセスストラクチャＳに含まれる（Ｌ行×ｒ列）の行列Ｍと、ベクトルｆ^→’とに基づき、ベクトルｓ^→’Ｔを数１９０に示すように生成する。

また、ｓベクトル生成部３３７は、処理装置により、ベクトルｆ^→’に基づき、値ｓ_０ ^’を数１９１に示すように生成する。

（Ｓ１００６：変換情報Ｗ_１生成ステップ）
変換情報Ｗ_１生成部３３２は、処理装置により、変換情報Ｗ_１を数１９２に示すように生成する。

（Ｓ１００７：変換情報Ｗ_１暗号化ステップ）
変換情報Ｗ_１暗号化部３３３は、処理装置により、数１９３を計算して、変換情報Ｗ_１を関数型暗号により暗号化して、暗号化変換情報ψ^ｒｋを生成する。変換情報Ｗ_１は、属性情報Γ’を入力として関数型暗号により暗号化されるため、再暗号文ＣＴ_Γ’を復号可能なユーザの属性情報が設定され暗号化される。

（Ｓ１００８：復号鍵ｋ^＊ｒｋ生成ステップ）
復号鍵生成部３３４は、処理装置により、復号鍵ｋ^＊ｒｋ _０を数１９４に示すように生成する。

また、復号鍵生成部３３４は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、復号鍵ｋ^＊ｒｋ _ｉを数１９５に示すように生成する。

（Ｓ１００９：変換ステップ）
変換部３３５は、処理装置により、数１９６を計算して、基底Ｄ^＾＊ _０を生成する。

（Ｓ１０１０：鍵送信ステップ）
再暗号化鍵送信部３４０は、アクセスストラクチャＳと、属性集合Γ’と、復号鍵ｋ^＊ｒｋ _０，ｋ^＊ｒｋ _ｉと、暗号化変換情報ψ^ｒｋと、基底Ｄ^＾＊ _０とを要素とする再暗号化鍵ｒｋ_{（Ｓ．Γ’）}を、例えば通信装置によりネットワークを介して秘密裡に再暗号化装置４００へ送信する。もちろん、再暗号化鍵ｒｋ_{（Ｓ．Γ’）}は、他の方法により再暗号化装置４００へ送信されてもよい。

つまり、（Ｓ１００１）から（Ｓ１００９）において、復号装置３００は、数１９７に示すＲＫＧアルゴリズムを実行して、再暗号化鍵ｒｋ_{（Ｓ．Γ’）}を生成する。そして、（Ｓ１０１０）で、復号装置３００は生成した再暗号化鍵ｒｋ_{（Ｓ．Γ’）}を再暗号化装置４００へ送信する。

再暗号化装置４００の機能と動作とについて説明する。
再暗号化装置４００は、公開パラメータ受信部４１０、暗号文受信部４２０、再暗号化鍵受信部４３０、検証部４４０、暗号化部４５０、再暗号文送信部４６０を備える。また、検証部４４０は、スパンプログラム計算部４４１、署名検証部４４２を備える。また、暗号化部４５０は、乱数生成部４５１、ｆベクトル生成部４５２、ｓベクトル生成部４５３、変換情報Ｗ_２生成部４５４、変換情報Ｗ_２暗号化部４５５、暗号文ｃ^ｒｅｎｃ生成部４５６、復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７を備える。

図２７に基づき、ＲＥｎｃアルゴリズムの処理について説明する。
（Ｓ１１０１：公開パラメータ受信ステップ）
公開パラメータ受信部４１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ１１０２：暗号文受信ステップ）
暗号文受信部４２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号文ｃｔ_Γを受信する。

（Ｓ１１０３：再暗号化鍵受信ステップ）
再暗号化鍵受信部４３０は、例えば、通信装置によりネットワークを介して、復号装置３００から送信された再暗号化鍵ｒｋ_{（Ｓ．Γ’）}を受信する。

（Ｓ１１０４：スパンプログラム計算ステップ）
スパンプログラム計算部４４１は、処理装置により、再暗号化鍵ｒｋ_{（Ｓ．Γ’）}に含まれるアクセスストラクチャＳが、暗号文ｃｔ_Γに含まれるΓを受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否かの判定方法は、実施の形態１における「第３．ＦＰＲＥを実現するための概念」で説明した通りである。
スパンプログラム計算部４４１は、アクセスストラクチャＳがΓを受理する場合（Ｓ１１０４で受理）、処理を（Ｓ１１０５）へ進める。一方、アクセスストラクチャＳがΓを拒絶する場合（Ｓ１１０４で拒絶）、処理を終了する。

（Ｓ１１０５：署名検証ステップ）
署名検証部４４２は、処理装置により、数１９８を計算した結果が１であるか否かを判定する。署名検証部４４２は、結果が１である場合（Ｓ１１０５で正当）、処理を（Ｓ１１０６）へ進める。一方、署名検証部４４２は、結果が０である場合（Ｓ１１０５で不当）、処理を終了する。

（Ｓ１１０６：乱数生成ステップ）
乱数生成部４５１は、処理装置により、乱数を数１９９に示すように生成する。

（Ｓ１１０７：ｆベクトル生成ステップ）
ｆベクトル生成部４５２は、処理装置により、ｒ個の要素を有するベクトルｆ^→’’を数２００に示すようにランダムに生成する。

（Ｓ１１０８：ｓベクトル生成ステップ）
ｓベクトル生成部４５３は、処理装置により、アクセスストラクチャＳに含まれる（Ｌ行×ｒ列）の行列Ｍと、ベクトルｆ^→’’とに基づき、ベクトルｓ^→’’Ｔを数２０１に示すように生成する。

また、ｓベクトル生成部４５３は、処理装置により、ベクトルｆ^→’’に基づき、値ｓ_０ ^’’を数２０２に示すように生成する。

（Ｓ１１０９：変換情報Ｗ_２生成ステップ）
変換情報Ｗ_２生成部４５４は、処理装置により、変換情報Ｗ_２を数２０３に示すように生成する。

（Ｓ１１１０：変換情報Ｗ_２暗号化ステップ）
変換情報Ｗ_２暗号化部４５５は、処理装置により、数２０４を計算して、変換情報Ｗ_２を関数型暗号により暗号化して、暗号化変換情報ψ^ｒｅｎｃを生成する。変換情報Ｗ_２は、属性情報Γ’を入力として関数型暗号により暗号化されるため、再暗号文ＣＴ_Γ’を復号可能なユーザの属性情報が設定され暗号化される。

（Ｓ１１１１：暗号文ｃ^ｒｅｎｃ生成ステップ）
暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、暗号文ｃ^ｒｅｎｃ _０を数２０５に示すように生成する。

また、暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、属性情報Γに含まれる各整数ｔについて、暗号文ｃ^ｒｅｎｃ _ｔを数２０６に示すように生成する。

また、暗号文ｃ^ｒｅｎｃ生成部４５６は、処理装置により、暗号文ｃ^ｒｅｎｃ _ｄ＋１を数２０７に示すように生成する。

（Ｓ１１１２：復号鍵ｋ^{＊ｒｅｎｃ}生成ステップ）
復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７は、処理装置により、復号鍵ｋ^{＊ｒｅｎｃ} _０を数２０８に示すように生成する。

また、復号鍵ｋ^{＊ｒｅｎｃ}生成部４５７は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、復号鍵ｋ^{＊ｒｅｎｃ} _ｉを数２０９に示すように生成する。

（Ｓ１１１３：再暗号文送信ステップ）
再暗号文送信部４６０は、属性集合Γ’と、アクセスストラクチャＳと、属性集合Γと、復号鍵ｋ^{＊ｒｅｎｃ} _０，ｋ^{＊ｒｅｎｃ} _ｉと、暗号文ｃ^ｒｅｎｃ _０，ｃ^ｒｅｎｃ _ｔ，ｃ^ｒｅｎｃ _ｄ＋１と、暗号化変換情報ψ^ｒｋと、暗号化変換情報ψ^ｒｅｎｃとを要素とする再暗号文ＣＴ_Γ’を、例えば通信装置によりネットワークを介して秘密裡に再暗号化装置４００へ送信する。もちろん、再暗号文ＣＴ_Γ’は、他の方法により再暗号化装置４００へ送信されてもよい。

つまり、（Ｓ１１０１）から（Ｓ１１１２）において、再暗号化装置４００は、数２１０−１、数２１０−２に示すＲＥｎｃアルゴリズムを実行して、再暗号文ＣＴ_Γ’を生成する。そして、（Ｓ１１１３）で、再暗号化装置４００は生成した再暗号文ＣＴ_Γ’を再暗号文復号装置５００へ送信する。

再暗号文復号装置５００の機能と動作とについて説明する。
再暗号文復号装置５００は、復号鍵受信部５１０、暗号文受信部５２０、スパンプログラム計算部５３０、補完係数計算部５４０、変換情報生成部５５０、変換部５６０、ペアリング演算部５７０、メッセージ計算部５８０を備える。なお、ペアリング演算部５７０とメッセージ計算部５８０とを総称して、復号部と呼ぶ。

図２８に基づき、Ｄｅｃ１アルゴリズムの処理について説明する。
（Ｓ１２０１：復号鍵受信ステップ）
復号鍵受信部５１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Ｓ’を受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ１２０２：暗号文受信ステップ）
暗号文受信部５２０は、例えば、通信装置によりネットワークを介して、再暗号化装置４００が送信した再暗号文ＣＴ_Γ’を受信する。

（Ｓ１２０３：スパンプログラム計算ステップ）
スパンプログラム計算部５３０は、処理装置により、再暗号文ＣＴ_Γ’に含まれるアクセスストラクチャＳが、再暗号文ＣＴ_Γ’に含まれるΓを受理するか否かを判定するとともに、復号鍵ｓｋ_Ｓ’に含まれるアクセスストラクチャＳ’が、再暗号文ＣＴ_Γ’に含まれるΓ’を受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否か、及び、アクセスストラクチャＳ’がΓ’を受理するか否かの判定方法は、実施の形態１における「第３．ＦＰＲＥを実現するための概念」で説明した通りである。
スパンプログラム計算部５３０は、アクセスストラクチャＳがΓを受理し、かつ、アクセスストラクチャＳ’がΓ’を受理する場合（Ｓ１２０３で受理）、処理を（Ｓ１２０４）へ進める。一方、アクセスストラクチャＳがΓを拒絶する、又は、アクセスストラクチャＳ’がΓ’を拒絶する場合（Ｓ１２０３で拒絶）、処理を終了する。

（Ｓ１２０４：補完係数計算ステップ）
補完係数計算部５４０は、処理装置により、数２１１となるＩと、定数（補完係数）｛α_ｉ｝_ｉ∈Ｉとを計算する。

（Ｓ１２０５：変換情報生成ステップ）
変換情報生成部５５０は、処理装置により、変換情報Ｗ_１ ^〜，Ｗ_２ ^〜を数２１２に示すように生成する。

（Ｓ１２０６：変換ステップ）
変換部５６０は、処理装置により、数２１３に示すように、復号鍵ｋ^{＊ｒｅｎｃ} _０の基底を変換して復号鍵ｋ^＊ _０ ^〜を生成するとともに、暗号文ｃ^ｒｅｎｃ _０の基底を変換して暗号文ｃ_０ ^〜を生成する。

（Ｓ１２０７：ペアリング演算ステップ）
ペアリング演算部５７０は、処理装置により、数２１４を計算して、セッション鍵Ｋ^〜を生成する。

（Ｓ１２０８：メッセージ計算ステップ）
メッセージ計算部３９０は、処理装置により、ｍ’＝ｃ^ｅｎｃ _ｄ＋１／Ｋ^〜を計算して、メッセージｍ’（＝ｍ）を生成する。

つまり、（Ｓ１２０１）から（Ｓ１２０８）において、再暗号文復号装置５００は、数２１５に示すＤｅｃ１アルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

図２９に基づき、Ｄｅｃ２アルゴリズムの処理について説明する。
（Ｓ１３０１：復号鍵受信ステップ）
復号鍵受信部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Ｓを受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ１３０２：暗号文受信ステップ）
暗号文受信部３５０は、例えば、通信装置によりネットワークを介して、再暗号化装置４００が送信した暗号文ｃｔ_Γを受信する。

（Ｓ１３０３：スパンプログラム計算ステップ）
スパンプログラム計算部３６１は、処理装置により、復号鍵ｓｋ_Ｓに含まれるアクセスストラクチャＳが、暗号文ｃｔ_Γに含まれるΓを受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否かの判定方法は、実施の形態１における「第３．ＦＰＲＥを実現するための概念」で説明した通りである。
スパンプログラム計算部３６１は、アクセスストラクチャＳがΓを受理する場合（Ｓ１３０３で受理）、処理を（Ｓ１３０４）へ進める。一方、アクセスストラクチャＳがΓを拒絶する場合（Ｓ１３０３で拒絶）、処理を終了する。

（Ｓ１３０４：署名検証ステップ）
署名検証部３６２は、処理装置により、数２１６を計算した結果が１であるか否かを判定する。署名検証部４４２は、結果が１である場合（Ｓ１３０４で正当）、処理を（Ｓ１３０５）へ進める。一方、署名検証部４４２は、結果が０である場合（Ｓ１３０４で不当）、処理を終了する。

（Ｓ１３０５：補完係数計算ステップ）
補完係数計算部３７０は、処理装置により、数２１７となるＩと、定数（補完係数）｛α_ｉ｝_ｉ∈Ｉとを計算する。

（Ｓ１３０６：ペアリング演算ステップ）
ペアリング演算部５７０は、処理装置により、数２１８を計算して、セッション鍵Ｋを生成する。

（Ｓ１３０７：メッセージ計算ステップ）
メッセージ計算部３９０は、処理装置により、ｍ’＝ｃ^ｅｎｃ _ｄ＋１／Ｋを計算して、メッセージｍ’（＝ｍ）を生成する。

つまり、（Ｓ１３０１）から（Ｓ１３０７）において、復号装置３００は、数２１９に示すＤｅｃ２アルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

以上のように、実施の形態２に係る暗号システムは、ＫＰ−ＦＰＲＥ方式を実現することが可能である。そのため、１つの再暗号化鍵で、様々な種類のユーザの集合に暗号文を転送することができるようになる。
その結果、例えば、ネットワーク上に存在する様々な暗号文を、復号せずに安全に様々な属性を持つユーザに転送することができるようになる。これにより、安全かつ実用的に暗号文の処理を信用できる第三者へ委託することが可能となる。

なお、上記説明では、復号装置３００が再暗号化鍵生成装置を兼ねており、復号装置３００がＤｅｃ２アルゴリズムだけでなく、ＲＫＧアルゴリズムも実行するとした。しかし、復号装置３００と再暗号化鍵生成装置とを別の装置としてもよい。この場合、復号装置３００は、Ｄｅｃ２アルゴリズムを実行し、再暗号化鍵生成装置は、ＲＫＧアルゴリズムを実行する。したがって、この場合、復号装置３００は、Ｄｅｃ２アルゴリズムを実行するのに必要な機能構成を備え、再暗号化鍵生成装置は、ＲＫＧアルゴリズムを実行するのに必要な機能構成を備える。

以上の実施の形態では、ＦＥによりメッセージを暗号化して宛先へ送信する場合を想定して、再暗号化装置４００が暗号文を再暗号化して、暗号文の宛先を変更することについて説明した。
ＦＥは、メッセージを暗号化して宛先へ送信する機能だけでなく、暗号文を復号することなく検索可能にする検索可能暗号を実現することも可能である。ＦＥにより検索可能暗号を実現した場合に、以上の実施の形態で説明したアルゴリズムにより、設定された検索キーワードを変更することが可能である。
以上の実施の形態では、暗号文に設定する属性情報が復号可能なユーザを指定していた。そして、属性情報を変更することにより、暗号文の宛先を変更した。ＦＥにより検索可能暗号を実現する場合、暗号文に設定する属性情報の一部が、検索可能なユーザを指定し、残りの属性情報の一部が、検索キーワードを指定する。そこで、以上の実施の形態で説明したアルゴリズムを利用して、属性情報のうち、検索キーワードを指定した部分を変更することにより、設定された検索キーワードを変更することが可能である。

また、以上の実施の形態では、１台の鍵生成装置１００が復号鍵を生成するとした。しかし、以上の実施の形態のアルゴリズムを、非特許文献３に記載された分散多管理者の方式と組み合わせて、複数の鍵生成装置１００により１つの復号鍵が生成されるようにすることも可能である。

また、以上の実施の形態では、属性のカテゴリを追加する場合（属性のフォーマットｎ^→におけるｄの値を増やす場合）、公開パラメータを再発行する必要があった。しかし、以上の実施の形態のアルゴリズムを、非特許文献４に記載されたＵｎｂｏｕｎｄｅｄの方式と組み合わせて、公開パラメータを再発行することなく、属性のカテゴリを追加できるようにすることも可能である。

また、以上の実施の形態では、内積暗号に用いるベクトルの長さをＮとすると、公開パラメータやマスター秘密鍵のサイズはＮ^２に比例し、ユーザへ与える復号鍵の生成や暗号化の処理にＮ^２に比例する時間がかかる。しかし、以上の実施の形態のアルゴリズムを、非特許文献５に記載された方式と組み合わせて、公開パラメータやマスター秘密鍵のサイズを小さくするとともに、ユーザへ与える復号鍵の生成の処理や暗号化の処理にかかる時間を短くすることも可能である。

実施の形態３．
以上の実施の形態では、双対ベクトル空間において暗号処理を実現する方法について説明した。実施の形態３では、双対加群において暗号処理を実現する方法について説明する。

つまり、以上の実施の形態では、素数位数ｑの巡回群において暗号処理を実現した。しかし、合成数Ｍを用いて数２２０のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した暗号処理を適用することができる。

以上の実施の形態で説明したアルゴリズムにおけるＦ_ｑをＲに変更すれば、双対加群における暗号処理を実現することができる。

なお、以上の実施の形態において、安全性の証明の観点から、ｉ＝１，．．．，Ｌの各整数ｉについてのρ（ｉ）は、それぞれ異なる識別情報ｔについての肯定形の組（ｔ，ｖ^→）又は否定形の組¬（ｔ，ｖ^→）であると限定してもよい。
言い替えると、ρ（ｉ）＝（ｔ，ｖ^→）又はρ（ｉ）＝¬（ｔ，ｖ^→）である場合に、関数ρ~を、ρ~（ｉ）＝ｔである｛１，．．．，Ｌ｝→｛１，．．．ｄ｝の写像であるとする。この場合、ρ~が単射であると限定してもよい。なお、ρ（ｉ）は、上述したアクセスストラクチャＳ：＝（Ｍ，ρ（ｉ））のρ（ｉ）である。

次に、実施の形態における暗号システム１０（鍵生成装置１００、暗号化装置２００、復号装置３００、再暗号化装置４００、再暗号文復号装置５００）のハードウェア構成について説明する。
図３０は、鍵生成装置１００、暗号化装置２００、復号装置３００、再暗号化装置４００、再暗号文復号装置５００のハードウェア構成の一例を示す図である。
図３０に示すように、鍵生成装置１００、暗号化装置２００、復号装置３００、再暗号化装置４００、再暗号文復号装置５００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０（固定ディスク装置）の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。磁気ディスク装置９２０は、所定の固定ディスクインタフェースを介して接続される。

ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４と磁気ディスク装置９２０とは、記憶装置（メモリ）の一例である。また、キーボード９０２、通信ボード９１５は、入力装置の一例である。また、通信ボード９１５は、通信装置の一例である。さらに、ＬＣＤ９０１は、表示装置の一例である。

磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

プログラム群９２３には、上記の説明において「マスター鍵生成部１１０」、「マスター鍵記憶部１２０」、「情報入力部１３０」、「復号鍵生成部１４０」、「鍵送信部１５０」、「公開パラメータ受信部２１０」、「情報入力部２２０」、「署名処理部２３０」、「暗号化部２４０」、「暗号文送信部２５０」、「復号鍵受信部３１０」、「情報入力部３２０」、「再暗号化鍵生成部３３０」、「再暗号化鍵送信部３４０」、「暗号文受信部３５０」、「検証部３６０」、「補完係数計算部３７０」、「ペアリング演算部３８０」、「メッセージ計算部３９０」、「公開パラメータ受信部４１０」、「暗号文受信部４２０」、「再暗号化鍵受信部４３０」、「検証部４４０」、「暗号化部４５０」、「再暗号文送信部４６０」、「復号鍵受信部５１０」、「暗号文受信部５２０」、「スパンプログラム計算部５３０」、「補完係数計算部５４０」、「変換情報生成部５５０」、「変換部５６０」、「ペアリング演算部５７０」、「メッセージ計算部５８０」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、上記の説明において「公開パラメータｐｋ」、「マスター秘密鍵ｓｋ」、「復号鍵ｓｋ_Ｓ，ｓｋ_Γ」、「暗号文ｃｔ_Γ，ｃｔ_Ｓ」、「再暗号化鍵ｒｋ_{（Γ，Ｓ’）}，ｒｋ_{（Ｓ，Γ’）}」、「再暗号文ＣＴ_Ｓ’，ＣＴ_Γ’」、「アクセスストラクチャＳ，Ｓ’」、「属性集合Γ，Γ’」、「メッセージｍ」等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。

また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
また、上記の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜装置」として説明するものは、「〜回路」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。さらに、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「〜部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「〜部」の手順や方法をコンピュータ等に実行させるものである。

１００ 鍵生成装置、１１０ マスター鍵生成部、１２０ マスター鍵記憶部、１３０ 情報入力部、１４０ 復号鍵生成部、１４１ ＣＰ−ＦＥ鍵生成部、１４２ 乱数生成部、１４３ 復号鍵ｋ^＊生成部、１４４ ＫＰ−ＦＥ鍵生成部、１４５ ｆベクトル生成部、１４６ ｓベクトル生成部、１５０ 鍵送信部、２００ 暗号化装置、２１０ 公開パラメータ受信部、２２０ 情報入力部、２３０ 署名処理部、２４０ 暗号化部、２４１ ｆベクトル生成部、２４２ ｓベクトル生成部、２４３ 乱数生成部、２４４ 暗号文ｃ^ｅｎｃ生成部、２５０ 暗号文送信部、３００ 復号装置、３１０ 復号鍵受信部、３２０ 情報入力部、３３０ 再暗号化鍵生成部、３３１ 乱数生成部、３３２ 変換情報Ｗ_１生成部、３３３ 変換情報Ｗ_１暗号化部、３３４ 復号鍵ｋ^＊ｒｋ生成部、３３５ 変換部、３３６ ｆベクトル生成部、３３７ ｓベクトル生成部、３４０ 再暗号化鍵送信部、３５０ 暗号文受信部、３６０ 検証部、３６１ スパンプログラム計算部、３６２ 署名検証部、３７０ 補完係数計算部、３８０ ペアリング演算部、３９０ メッセージ計算部、４００ 再暗号化装置、４１０ 公開パラメータ受信部、４２０ 暗号文受信部、４３０ 再暗号化鍵受信部、４４０ 検証部、４４１ スパンプログラム計算部、４４２ 署名検証部、４５０ 暗号化部、４５１ 乱数生成部、４５２ ｆベクトル生成部、４５３ ｓベクトル生成部、４５４ 変換情報Ｗ_２生成部、４５５ 変換情報Ｗ_２暗号化部、４５６ 暗号文ｃ^ｒｅｎｃ生成部、４５７ 復号鍵ｋ^{＊ｒｅｎｃ}生成部、４６０ 再暗号文送信部、５００ 再暗号文復号装置、５１０ 復号鍵受信部、５２０ 暗号文受信部、５３０ スパンプログラム計算部、５４０ 補完係数計算部、５５０ 変換情報生成部、５６０ 変換部、５７０ ペアリング演算部、５８０ メッセージ計算部。

Claims (10)

1. ２つの情報が互いに対応している場合に一方の情報が設定された暗号文を他方の情報が設定された復号鍵により復号可能な暗号方式における代理人再暗号機能を実現する暗号システムであって、再暗号化鍵生成装置と再暗号化装置とを備える暗号システムであり、
   前記再暗号化鍵生成装置は、
   互いに対応する属性情報ｘ，ｖのうちの一方の属性情報が設定された復号鍵ｋ^＊を、変換情報Ｗ_１を用いて変換して復号鍵ｋ^＊ｒｋを生成する復号鍵ｋ^＊ｒｋ生成部と、
   互いに対応する属性情報ｘ’，ｖ’のうちの一方の属性情報を設定して前記変換情報Ｗ_１を暗号化して暗号化変換情報ψ^ｒｋを生成する変換情報Ｗ_１暗号化部と、
   前記復号鍵ｋ^＊ｒｋと前記暗号化変換情報ψ^ｒｋとを再暗号化鍵ｒｋとして前記再暗号化装置へ送信する再暗号化鍵送信部と
   を備え、
   前記再暗号化装置は、
   前記属性情報ｘ，ｖのうちの他方の属性情報が設定された暗号文ｃ^ｅｎｃを受信する暗号文受信部と、
   前記暗号文受信部が受信した暗号文ｃ^ｅｎｃに、互いに対応する追加情報Η，Θのうちの少なくとも一方の追加情報を設定して暗号文ｃ^ｒｅｎｃを生成する暗号文ｃ^ｒｅｎｃ生成部と、
   前記再暗号化鍵ｒｋに含まれる前記復号鍵ｋ^＊ｒｋに、前記追加情報Η，Θのうちの少なくとも他方の追加情報を設定して復号鍵ｋ^{＊ｒｅｎｃ}を生成する復号鍵ｋ^{＊ｒｅｎｃ}生成部と、
   前記暗号文ｃ^ｒｅｎｃと前記復号鍵ｋ^{＊ｒｅｎｃ}と前記暗号化変換情報ψ^ｒｋとを再暗号文ＣＴとして送信する再暗号文送信部と
   を備えることを特徴とする暗号システム。
2. 前記暗号文ｃ^ｒｅｎｃ生成部は、前記暗号文ｃ^ｅｎｃを、変換情報Ｗ_２を用いて変換して暗号文ｃ^ｒｅｎｃを生成し、
   前記再暗号化装置は、さらに、
   前記属性情報ｘ’，ｖ’のうちの前記一方の属性情報を用いて前記変換情報Ｗ_２を暗号化して暗号化変換情報ψ^ｒｅｎｃを生成する変換情報Ｗ_２暗号化部
   を備え、
   前記再暗号文送信部は、前記暗号文ｃ^ｒｅｎｃと前記復号鍵ｋ^{＊ｒｅｎｃ}と前記暗号化変換情報ψ^ｒｋと前記暗号化変換情報ψ^ｒｅｎｃとを前記再暗号文ＣＴとして送信する
   ことを特徴とする請求項１に記載の暗号システム。
3. 前記暗号文受信部は、署名鍵ｓｉｇｋで付された署名を検証する検証鍵ｖｅｒｋが設定された前記暗号文ｃ^ｅｎｃと、前記暗号文ｃ^ｅｎｃに対して前記署名鍵ｓｉｇｋで付された署名Ｓｉｇと、前記検証鍵ｖｅｒｋとを受信し、
   前記暗号文ｃ^ｒｅｎｃ生成部は、前記追加情報Η，Θのうちの前記一方の追加情報として、前記検証鍵ｖｅｒｋを前記暗号文ｃ^ｅｎｃに設定して暗号文ｃ^ｒｅｎｃを生成する
   ことを特徴とする請求項２に記載の暗号システム。
4. 前記暗号システムは、さらに、再暗号文復号装置を備え、
   前記再暗号文送信部は、前記再暗号文ＣＴを前記再暗号文復号装置へ送信し、
   前記再暗号文復号装置は、
   前記属性情報ｘ’，ｖ’のうちの他方の属性情報を用いて生成された復号鍵ｋ^＊’を受信する復号鍵受信部と、
   前記復号鍵受信部が受信した復号鍵ｋ^＊’により、前記暗号化変換情報ψ^ｒｋを復号して前記変換情報Ｗ_１を生成するとともに、前記復号鍵ｋ^＊’により、前記暗号化変換情報ψ^ｒｅｎｃを復号して前記変換情報Ｗ_２を生成する変換情報生成部と、
   前記変換情報Ｗ_１により復号鍵ｋ^{＊ｒｅｎｃ}を変換して復号鍵ｋ^＊〜を生成するとともに、前記変換情報Ｗ_２により前記暗号文ｃ^ｒｅｎｃを変換して暗号文ｃ^ｅｎｃ〜を生成する変換部と、
   前記変換部が生成した復号鍵ｋ^＊〜により、前記暗号文ｃ^ｅｎｃ〜を復号する復号部と
   を備えることを特徴とする請求項３に記載の暗号システム。
5. 前記復号鍵ｋ^＊ｒｋ生成部は、数１に示すｋ^＊ _０とｋ^＊ _ｔとを含む復号鍵ｋ^＊から数２に示すｋ^＊ｒｋ _０とｋ^＊ｒｋ _ｔとを含む前記復号鍵ｋ^＊ｒｋを生成し、
   前記暗号文受信部は、数３に示すｃ^ｅｎｃ _０とｃ^ｅｎｃ _ｉとｃ^ｅｎｃ _ｄ＋１とを含む暗号文ｃ^ｅｎｃを受信し、
   前記暗号文ｃ^ｒｅｎｃ生成部は、数４に示すｃ^ｒｅｎｃ _０とｃ^ｒｅｎｃ _ｉとｃ^ｒｅｎｃ _ｄ＋１とを含む暗号文ｃ^ｒｅｎｃを生成し、
   前記復号鍵ｋ^{＊ｒｅｎｃ}生成部は、数５に示すｋ^{＊ｒｅｎｃ} _０とｋ^{＊ｒｅｎｃ} _ｔとを含む前記復号鍵ｋ^{＊ｒｅｎｃ}を生成し、
   前記変換部は、数６に示すｋ^＊〜 _０及びｃ^〜 _０を生成し、
   前記復号部は、数７に示すメッセージｍを計算する
   ことを特徴とする請求項４に記載の暗号システム。
   

   

   

   

   

   

   

   
6. 前記復号鍵ｋ^＊ｒｋ生成部は、数８に示すｋ^＊ _０とｋ^＊ _ｉとを含む復号鍵ｋ^＊から数９に示すｋ^＊ｒｋ _０とｋ^＊ｒｋ _ｉとを含む前記復号鍵ｋ^＊ｒｋを生成し、
   前記暗号文受信部は、数１０に示すｃ^ｅｎｃ _０とｃ^ｅｎｃ _ｔとｃ^ｅｎｃ _ｄ＋１とを含む暗号文ｃ^ｅｎｃを受信し、
   前記暗号文ｃ^ｒｅｎｃ生成部は、数１１に示すｃ^ｒｅｎｃ _０とｃ^ｒｅｎｃ _ｔとｃ^ｒｅｎｃ _ｄ＋１とを含む暗号文ｃ^ｒｅｎｃを生成し、
   前記復号鍵ｋ^{＊ｒｅｎｃ}生成部は、数１２に示すｋ^{＊ｒｅｎｃ} _０とｋ^{＊ｒｅｎｃ} _ｉとを含む前記復号鍵ｋ^{＊ｒｅｎｃ}を生成し、
   前記変換部は、数１３に示すｋ^＊〜 _０及びｃ^〜 _０を生成し、
   前記復号部は、数１４に示すメッセージｍを計算する
   ことを特徴とする請求項４に記載の暗号システム。
   

   

   

   

   

   

   

   
7. ２つの情報が互いに対応している場合に一方の情報が設定された暗号文を他方の情報が設定された復号鍵により復号可能な暗号方式における代理人再暗号機能を実現する暗号システムの再暗号化鍵生成装置であり、
   互いに対応する属性情報ｘ，ｖのうちの一方の属性情報が設定された復号鍵ｋ^＊を、変換情報Ｗ_１を用いて変換して復号鍵ｋ^＊ｒｋを生成する復号鍵ｋ^＊ｒｋ生成部と、
   互いに対応する属性情報ｘ’，ｖ’のうちの一方の属性情報を用いて前記変換情報Ｗ_１を暗号化して暗号化変換情報ψ^ｒｋを生成する変換情報Ｗ_１暗号化部と、
   前記復号鍵ｋ^＊ｒｋと前記暗号化変換情報ψ^ｒｋとを再暗号化鍵ｒｋとして再暗号化装置へ送信する再暗号化鍵送信部と
   を備えることを特徴とする再暗号化鍵生成装置。
8. ２つの情報が互いに対応している場合に一方の情報が設定された暗号文を他方の情報が設定された復号鍵により復号可能な暗号方式における代理人再暗号機能を実現する暗号システムの再暗号化装置であり、
   互いに対応する属性情報ｘ，ｖのうちの一方の属性情報が設定された復号鍵ｋ^＊が、変換情報Ｗ_１を用いて変換された復号鍵ｋ^＊ｒｋと、互いに対応する属性情報ｘ’，ｖ’のうちの一方の属性情報が設定されて前記変換情報Ｗ_１が暗号化された暗号化変換情報ψ^ｒｋとを再暗号化鍵ｒｋとして受信する再暗号化鍵受信部と、
   前記属性情報ｘ，ｖのうちの他方の属性情報が設定された暗号文ｃ^ｅｎｃを受信する暗号文受信部と、
   前記暗号文受信部が受信した暗号文ｃ^ｅｎｃに、互いに対応する追加情報Η，Θのうちの少なくとも一方の追加情報を設定して暗号文ｃ^ｒｅｎｃを生成する暗号文ｃ^ｒｅｎｃ生成部と、
   前記再暗号化鍵ｒｋに含まれる前記復号鍵ｋ^＊ｒｋに、前記追加情報Η，Θのうちの少なくとも他方の追加情報を設定して復号鍵ｋ^{＊ｒｅｎｃ}を生成する復号鍵ｋ^{＊ｒｅｎｃ}生成部と、
   前記暗号文ｃ^ｒｅｎｃと前記復号鍵ｋ^{＊ｒｅｎｃ}と前記暗号化変換情報ψ^ｒｋとを再暗号文ＣＴとして送信する再暗号文送信部と
   を備えることを特徴とする再暗号化装置。
9. ２つの情報が互いに対応している場合に一方の情報が設定された暗号文を他方の情報が設定された復号鍵により復号可能な暗号方式における代理人再暗号機能を実現する暗号方法であり、
   再暗号化鍵生成装置が、互いに対応する属性情報ｘ，ｖのうちの一方の属性情報が設定された復号鍵ｋ^＊を、変換情報Ｗ_１を用いて変換して復号鍵ｋ^＊ｒｋを生成する復号鍵ｋ^＊ｒｋ生成ステップと、
   前記再暗号化鍵生成装置が、互いに対応する属性情報ｘ’，ｖ’のうちの一方の属性情報を設定して前記変換情報Ｗ_１を暗号化して暗号化変換情報ψ^ｒｋを生成する変換情報Ｗ_１暗号化ステップと、
   前記再暗号化鍵生成装置が、前記復号鍵ｋ^＊ｒｋと前記暗号化変換情報ψ^ｒｋとを再暗号化鍵ｒｋとして再暗号化装置へ送信する再暗号化鍵送信ステップと
   を備え、
   前記再暗号化装置が、前記属性情報ｘ，ｖのうちの他方の属性情報が設定された暗号文ｃ^ｅｎｃを受信する暗号文受信ステップと、
   前記再暗号化装置が、前記暗号文受信ステップで受信した暗号文ｃ^ｅｎｃに、互いに対応する追加情報Η，Θのうちの少なくとも一方の追加情報を設定して暗号文ｃ^ｒｅｎｃを生成する暗号文ｃ^ｒｅｎｃ生成ステップと、
   前記再暗号化装置が、前記再暗号化鍵ｒｋに含まれる前記復号鍵ｋ^＊ｒｋに、前記追加情報Η，Θのうちの少なくとも他方の追加情報を設定して復号鍵ｋ^{＊ｒｅｎｃ}を生成する復号鍵ｋ^{＊ｒｅｎｃ}生成ステップと、
   前記再暗号化装置が、前記暗号文ｃ^ｒｅｎｃと前記復号鍵ｋ^{＊ｒｅｎｃ}と前記暗号化変換情報ψ^ｒｋとを再暗号文ＣＴとして送信する再暗号文送信ステップと
   を備えることを特徴とする暗号方法。
10. ２つの情報が互いに対応している場合に一方の情報が設定された暗号文を他方の情報が設定された復号鍵により復号可能な暗号方式における代理人再暗号機能を実現する暗号プログラムであって、再暗号化鍵生成プログラムと再暗号化プログラムとを備える暗号システムであり、
    前記再暗号化鍵生成プログラムは、
    互いに対応する属性情報ｘ，ｖのうちの一方の属性情報が設定された復号鍵ｋ^＊を、変換情報Ｗ_１を用いて変換して復号鍵ｋ^＊ｒｋを生成する復号鍵ｋ^＊ｒｋ生成処理と、
    互いに対応する属性情報ｘ’，ｖ’のうちの一方の属性情報を設定して前記変換情報Ｗ_１を暗号化して暗号化変換情報ψ^ｒｋを生成する変換情報Ｗ_１暗号化処理と、
    前記復号鍵ｋ^＊ｒｋと前記暗号化変換情報ψ^ｒｋとを再暗号化鍵ｒｋとして前記再暗号化プログラムへ送信する再暗号化鍵送信処理と
    をコンピュータに実行させ、
    前記再暗号化プログラムは、
    前記属性情報ｘ，ｖのうちの他方の属性情報が設定された暗号文ｃ^ｅｎｃを受信する暗号文受信処理と、
    前記暗号文受信処理で受信した暗号文ｃ^ｅｎｃに、互いに対応する追加情報Η，Θのうちの少なくとも一方の追加情報を設定して暗号文ｃ^ｒｅｎｃを生成する暗号文ｃ^ｒｅｎｃ生成処理と、
    前記再暗号化鍵ｒｋに含まれる前記復号鍵ｋ^＊ｒｋに、前記追加情報Η，Θのうちの少なくとも他方の追加情報を設定して復号鍵ｋ^{＊ｒｅｎｃ}を生成する復号鍵ｋ^{＊ｒｅｎｃ}生成処理と、
    前記暗号文ｃ^ｒｅｎｃと前記復号鍵ｋ^{＊ｒｅｎｃ}と前記暗号化変換情報ψ^ｒｋとを再暗号文ＣＴとして送信する再暗号文送信処理と
    をコンピュータに実行させることを特徴とする暗号プログラム。

Images