JPWO2014184894A1 - 暗号システム、暗号方法及び暗号プログラム - Google Patents

Abstract

公開鍵セッティングでも、暗号文に設定された属性情報と、復号鍵に設定された述語情報とを共に秘匿可能な述語暗号を提供することを目的とする。暗号化装置２００は、基底Ｄの基底ベクトルの係数として属性情報ｘを設定した暗号文ｃｔｘを生成する。仲介装置３００は、暗号化装置２００が生成した暗号文ｃｔｘの基底Ｄを変換情報Ｗにより基底Ｂに変換して暗号文ＣＴｘを生成する。復号装置４００は、基底Ｂに対応する基底Ｂ＊の基底ベクトルの係数として述語情報ｖを設定したトークンｔｋｖによって、仲介装置３００が生成した暗号文ＣＴｘを復号する。

Description

この発明は、暗号文に設定された属性情報と、復号鍵に設定された述語情報とを共に秘匿可能な述語暗号に関する。

非特許文献１には、暗号化側及び復号側の両方の鍵を秘密にした秘密鍵セッティングで、暗号文に設定された属性情報と、復号鍵に設定された述語情報とを共に秘匿可能な内積述語暗号について記載されている。

Ｅｍｉｌｙ Ｓｈｅｎ， Ｅｌａｉｎｅ Ｓｈｉ， ａｎｄ Ｂｒｅｎｔ Ｗａｔｅｒｓ． Ｐｒｅｄｉｃａｔｅ ｐｒｉｖａｃｙ ｉｎ ｅｎｃｒｙｐｔｉｏｎ ｓｙｓｔｅｍｓ． Ｉｎ Ｏｍｅｒ Ｒｅｉｎｇｏｌｄ，ｅｄｉｔｏｒ， ＴＣＣ ２００９， ｖｏｌｕｍｅ ５４４４ ｏｆ ＬＮＣＳ， ｐａｇｅｓ ４５７．４７３． Ｓｐｒｉｎｇｅｒ， ２００９． Ａｌｌｉｓｏｎ Ｂ． Ｌｅｗｋｏ， Ｔａｔｓｕａｋｉ Ｏｋａｍｏｔｏ， Ａｍｉｔ Ｓａｈａｉ， Ｋａｔｓｕｙｕｋｉ Ｔａｋａｓｈｉｍａ， ａｎｄ Ｂｒｅｎｔ Ｗａｔｅｒｓ． Ｆｕｌｌｙ ｓｅｃｕｒｅ ｆｕｎｃｔｉｏｎａｌ ｅｎｃｒｙｐｔｉｏｎ： Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ａｎｄ （ｈｉｅｒａｒｃｈｉｃａｌ） ｉｎｎｅｒ ｐｒｏｄｕｃｔ ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ Ｈｅｎｒｉ Ｇｉｌｂｅｒｔ， ｅｄｉｔｏｒ， ＥＵＲＯＣＲＹＰＴ ２０１０， ｖｏｌｕｍｅ ６１１０ ｏｆ ＬＮＣＳ， ｐａｇｅｓ ６２．９１． Ｓｐｒｉｎｇｅｒ， ２０１０． Ｆｕｌｌ ｖｅｒｓｉｏｎ ｉｓ ａｖａｉｌａｂｌｅ ａｔ ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１０／１１０． Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ａｃｈｉｅｖｉｎｇ Ｓｈｏｒｔ Ｃｉｐｈｅｒｔｅｘｔｓ ｏｒ Ｓｈｏｒｔ Ｓｅｃｒｅｔ−Ｋｅｙｓ ｆｏｒ Ａｄａｐｔｉｖｅｌｙ Ｓｅｃｕｒｅ Ｇｅｎｅｒａｌ Ｉｎｎｅｒ−Ｐｒｏｄｕｃｔ Ｅｎｃｒｙｐｔｉｏｎ． ＣＡＮＳ ２０１１， ＬＮＣＳ， ｖｏｌ． ７０９２， ｐｐ． １３８−１５９ Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１１）． Ｏｋａｍｏｔｏ， Ｔ Ｔａｋａｓｈｉｍａ， Ｋ．：Ｆｕｌｌｙ Ｓｅｃｕｒｅ Ｕｎｂｏｕｎｄｅｄ Ｉｎｎｅｒ−Ｐｒｏｄｕｃｔ ａｎｄ Ａｔｔｒｉｂｕｔｅ−Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ．ｅＰｒｉｎｔ ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１２／６７１

暗号化側の鍵を公開した公開鍵セッティングで、暗号文に設定された属性情報と、復号鍵に設定された述語情報とを共に秘匿可能な述語暗号は実現されていなかった。
この発明は、公開鍵セッティングでも、暗号文に設定された属性情報と、復号鍵に設定された述語情報とを共に秘匿可能な述語暗号を提供することを目的とする。

この発明に係る暗号システムは、
基底Ｄの基底ベクトルの係数として属性情報ｘを設定した暗号文ｃｔ_ｘを生成する暗号化装置と、
前記暗号化装置が生成した暗号文ｃｔ_ｘの基底Ｄを変換情報Ｗにより基底Ｂに変換して暗号文ＣＴ_ｘを生成する変換装置と、
前記基底Ｂに対応する基底Ｂ^＊の基底ベクトルの係数として述語情報ｖを設定したトークンｔｋ_ｖによって、前記変換装置が生成した暗号文ＣＴ_ｘを復号する復号装置と
を備えることを特徴とする。

この発明に係る暗号システムは、変換情報Ｗと変換装置とを用いることにより、公開鍵セッティングでも、暗号文に設定された属性情報と、復号鍵に設定された述語情報とを共に秘匿可能な述語暗号を実現することができる。

実施の形態１に係る暗号システム１０の構成図。 実施の形態１に係る鍵生成装置１００の機能を示す機能ブロック図。 実施の形態１に係る暗号化装置２００の機能を示す機能ブロック図。 実施の形態１に係る変換装置３００の機能を示す機能ブロック図。 実施の形態１に係る復号装置４００の機能を示す機能ブロック図。 実施の形態１に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャート。 実施の形態１に係るＴｏｋｅｎＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態１に係るＥｎｃアルゴリズムの処理を示すフローチャート。 実施の形態１に係るＣｏｎｖアルゴリズムの処理を示すフローチャート。 実施の形態１に係るＱｕｅｒｙアルゴリズムの処理を示すフローチャート。 実施の形態３に係るＴｏｋｅｎＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態５に係る秘匿検索システム５００の構成図。 図１２とは異なる構成の秘匿検索システム５００の構成図。 上記実施の形態に示した鍵生成装置１００、暗号化装置２００、変換装置３００、復号装置４００のハードウェア構成の例を示す図。

以下の説明における記法について説明する。
Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。

Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。

数１０３は、ｙがｚにより定義される、定義される、又は、ｙがｚを代入されることを表す。

ａが定数であるとき、数１０４は、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。

数１０５、つまりＦ_ｑは、位数ｑの有限体を示す。

ベクトル表記は、有限体Ｆ_ｑにおけるベクトル表示を表す。つまり、数１０６である。

数１０７は、数１０８に示す２つのベクトルｘ^→とｖ^→との数１０９に示す内積を表す。

Ｘ^Ｔは、行列Ｘの転置行列を表す。
数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１が定義される。

以下の説明において、“δｉ，ｊ”が上付きで示されている場合、このδｉ，ｊは、δ_ｉ，ｊを意味する。
ベクトルを意味する“→”が下付き文字又は上付き文字に付されている場合、この“→”は下付き文字又は上付き文字に上付きで付されていることを意味する。

また、以下の説明において、暗号処理は、鍵生成処理、暗号化処理、変換処理、復号処理（問合せ処理）を含む。

実施の形態１．
内積述語暗号方式の基礎となる概念を説明した上で、公開鍵セッティングでも、暗号文に設定された属性情報と、復号鍵に設定された述語情報とを共に秘匿可能な内積述語暗号方式について説明する。
第１に、暗号文に設定された属性情報と、復号鍵に設定された述語情報とを共に秘匿することの背景を説明する。
第２に、内積述語暗号方式を実現するための空間である「双対ペアリングベクトル空間（Ｄｕａｌ Ｐａｉｒｉｎｇ Ｖｅｃｔｏｒ Ｓｐａｃｅｓ（ＤＰＶＳ））」という豊かな数学的構造を有する空間を説明する。
第３に、実施の形態１に係る内積述語暗号方式を構成するためのキーテクニックを説明する。
第４に、実施の形態１に係る内積述語暗号方式について説明する。

＜第１．背景＞
病院等が患者のＤＮＡ情報をデータベースに蓄積しておき、製薬会社等が検索クエリを用いて前記データベースを検索し、ある病気を持つ患者のＤＮＡ情報に特定の規則性があるかを調査すること等が行われている。
患者のＤＮＡ情報は、プライバシー情報である。検索クエリは、製薬会社等にとって、医薬品の開発戦略上、秘密にされるものである。

述語暗号等では、患者のＤＮＡ情報等を、属性情報として設定して暗号文を生成し、検索条件を述語情報として設定して検索クエリを生成する。
しかし、従来の公開鍵セッティングでは、患者のＤＮＡ情報は秘匿できても、検索条件は秘匿できない恐れがあった。公開鍵セッティングでは、公開鍵に基づき暗号文を自由に生成できるため、生成した暗号文に対して検索クエリを実行して、検索クエリに設定された検索条件を推定される可能性があるためである。

非特許文献１に記載された内積述語暗号方式では、秘密鍵セッティングで、患者のＤＮＡ情報と検索条件との両方を秘匿可能であった。
しかし、秘密鍵セッティングでは、暗号文の作成に秘密鍵が必要となり、実運用においては大変不便である。そのため、公開鍵セッティングで、患者のＤＮＡ情報と検索条件との両方を秘匿可能な方式が望まれていた。

＜第２．双対ペアリングベクトル空間＞
以下に説明する内積述語暗号方式は、双対ペアリングベクトル空間において実現される。

まず、対称双線形ペアリング群について説明する。
対称双線形ペアリング群（ｑ，Ｇ，Ｇ^Ｔ，ｇ，ｅ）は、素数ｑと、位数ｑの巡回加法群Ｇと、位数ｑの巡回乗法群Ｇ^Ｔと、ｇ≠０∈Ｇと、多項式時間で計算可能な非退化双線形ペアリングｅ：Ｇ×Ｇ→Ｇ_Ｔとの組である。非退化双線形ペアリングは、ｅ（ｓｇ，ｔｇ）＝ｅ（ｇ，ｇ）^ｓｔであり、ｅ（ｇ，ｇ）≠１である。
以下の説明において、Ｇ_ｂｐｇを、１^λを入力として、セキュリティパラメータをλとする双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を出力するアルゴリズムとする。

次に、双対ペアリングベクトル空間について説明する。
双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、対称双線形ペアリング群（ｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ））の直積によって構成することができる。双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、素数ｑ、数１１２に示すＦ_ｑ上のＮ次元ベクトル空間Ｖ、位数ｑの巡回群Ｇ_Ｔ、空間Ｖの標準基底Ａ：＝（ａ_１，．．．，ａ_Ｎ）の組であり、以下の演算（１）（２）を有する。ここで、ａ_ｉは、数１１３に示す通りである。

演算（１）：非退化双線形ペアリング
空間Ｖにおけるペアリングは、数１１４によって定義される。

これは、非退化双線形である。つまり、ｅ（ｓｘ，ｔｙ）＝ｅ（ｘ，ｙ）^ｓｔであり、全てのｙ∈Ｖに対して、ｅ（ｘ，ｙ）＝１の場合、ｘ＝０である。また、全てのｉとｊとに対して、ｅ（ａ_ｉ，ａ_ｊ）＝ｅ（ｇ，ｇ）^δｉ，ｊである。ここで、ｉ＝ｊであれば、δ_ｉ，ｊ＝１であり、ｉ≠ｊであれば、δ_ｉ，ｊ＝０である。また、ｅ（ｇ，ｇ）≠１∈Ｇ_Ｔである。

演算（２）：ディストーション写像
数１１５に示す空間Ｖにおける線形変換φ_ｉ，ｊは、数１１６を行うことができる。

ここで、線形変換φ_ｉ，ｊをディストーション写像と呼ぶ。

以下の説明において、Ｇ_ｄｐｖｓを、１^λ（λ∈自然数）、Ｎ∈自然数、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を入力として、セキュリティパラメータがλであり、Ｎ次元の空間Ｖとする双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ：＝（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）の値を出力するアルゴリズムとする。

なお、ここでは、上述した対称双線形ペアリング群により、双対ペアリングベクトル空間を構成した場合について説明する。なお、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成することも可能である。以下の説明を、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成した場合に応用することは容易である。

＜第３．キーテクニック＞
属性情報と述語情報との両方を秘匿可能とするため、公開鍵と秘密鍵との間（あるいは、暗号文とトークンとの間）に、新しいトラップドア（以下に説明する変換鍵Ｗ）が採用される。

まず、双対ペアリングベクトル空間におけるランダムな双対基底Ｂ，Ｂ^＊が生成される。そして、ランダムな行列である変換鍵Ｗを用いて、基底Ｂの部分基底Ｂ＾を線形変換して、新しい基底Ｄ＾（：＝Ｂ＾・Ｗ）が生成される。基底Ｄ＾は、基底Ｂから一様かつ独立に分散している。そして、基底Ｄ＾が公開鍵として出力され、基底Ｂ^＊の部分基底Ｂ＾^＊が秘密鍵として出力される。ここで、基底Ｄ＾と基底Ｂ＾^＊とは、Ｗを考慮しなければ、互いに独立している。

暗号者によって生成されるオリジナルの暗号文と、検索を行うためのトークンとは、これらの鍵ペアの独立性を継承する。
暗号者とは別の仲介者によって、トラップドアＷ（変換鍵Ｗ）により、オリジナルの暗号文が、基底Ｂ，Ｂ^＊の双対正規直交性によりトークンと関連付けられた検索可能な暗号文に変換される。そして、トークンにより、変換された暗号文が検索される。

＜第４．内積述語暗号方式＞
ここでは、暗号文変換を伴う内積述語暗号（Ｉｎｎｅｒ Ｐｒｏｄｕｃｔ Ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ Ｃｉｐｈｅｒｔｅｘｔ Ｃｏｎｖｅｒｓｉｏｎ，ＩＰＥ−ＣＣ）方式について説明する。
ＩＰＥ−ＣＣ方式では、内積述語の属性情報は、属性ベクトルｘ^→∈Ｆ_ｑ ^ｎ＼｛０^→｝で表される。また、述語情報（ｆ_ｖ→）は、述語ベクトルｖ^→で表される。ここで、ｖ^→・ｘ^→＝０の場合に限り、ｆ_ｖ→（ｘ^→）＝１である。

ＩＰＥ−ＣＣ方式は、Ｓｅｔｕｐ、ＴｏｋｅｎＧｅｎ、Ｅｎｃ、Ｃｏｎｖ、Ｑｕｅｒｙの５つの確率的多項式時間アルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムでは、セキュリティパラメータ１^λが入力され、公開鍵ｐｋと変換鍵ｃｋと秘密鍵ｓｋ（マスター秘密鍵）とが出力される。
（ＴｏｋｅｎＧｅｎ）
ＴｏｋｅｎＧｅｎアルゴリズムでは、公開鍵ｐｋと秘密鍵ｓｋと述語ベクトルｖ^→とが入力され、トークンｔｋ_ｖ（復号鍵）が出力される。
（Ｅｎｃ）
Ｅｎｃアルゴリズムでは、公開鍵ｐｋと属性ベクトルｘ^→とが入力され、暗号文ｃｔ_ｘが出力される。
（Ｃｏｎｖ）
Ｃｏｎｖアルゴリズムでは、公開鍵ｐｋと変換鍵ｃｋと暗号文ｃｔ_ｘとが入力され、変換された暗号文ＣＴ_ｘが出力される。
（Ｑｕｅｒｙ）
Ｑｕｅｒｙアルゴリズムでは、公開鍵ｐｋとトークンｔｋ_ｖと変換された暗号文ＣＴ_ｘとが入力され、属性ベクトルｘ^→に基づいて評価された、述語ベクトルｖ^→に関する述語ｆ_ｖ→の値を示す０又は１が出力される。

ＩＰＥ−ＣＣ方式のアルゴリズムを実行する暗号システム１０について説明する。
図１は、実施の形態１に係る暗号システム１０の構成図である。
暗号システム１０は、鍵生成装置１００、暗号化装置２００、変換装置３００、復号装置４００を備える。
鍵生成装置１００は、セキュリティパラメータλを入力としてＳｅｔｕｐアルゴリズムを実行して、公開鍵ｐｋと変換鍵ｃｋと秘密鍵ｓｋとを生成する。そして、鍵生成装置１００は、公開鍵ｐｋを公開し、変換鍵ｃｋを変換装置３００へ秘密裡に送信する。また、鍵生成装置１００は、公開鍵ｐｋと秘密鍵ｓｋと述語ベクトルｖ^→とを入力としてＴｏｋｅｎＧｅｎアルゴリズムを実行して、トークンｔｋ_ｖを生成して復号装置４００へ秘密裡に送信する。
暗号化装置２００は、公開鍵ｐｋと属性ベクトルｘ^→とを入力としてＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ｘを生成する。
変換装置３００は、公開鍵ｐｋと変換鍵ｃｋと暗号文ｃｔ_ｘとを入力としてＣｏｎｖアルゴリズムを実行して、暗号文ＣＴ_ｘを生成する。
復号装置４００は、公開鍵ｐｋとトークンｔｋ_ｖと暗号文ＣＴ_ｘとを入力としてＱｕｅｒｙアルゴリズムを実行して、０又は１を出力する。

図２は、実施の形態１に係る鍵生成装置１００の機能を示す機能ブロック図である。図３は、実施の形態１に係る暗号化装置２００の機能を示す機能ブロック図である。図４は、実施の形態１に係る変換装置３００の機能を示す機能ブロック図である。図５は、実施の形態１に係る復号装置４００の機能を示す機能ブロック図である。
図６と図７とは、実施の形態１に係る鍵生成装置１００の動作を示すフローチャートである。図６は実施の形態１に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図７は実施の形態１に係るＴｏｋｅｎＧｅｎアルゴリズムの処理を示すフローチャートである。図８は、実施の形態１に係る暗号化装置２００の動作を示すフローチャートであり、実施の形態１に係るＥｎｃアルゴリズムの処理を示すフローチャートである。図９は、実施の形態１に係る変換装置３００の動作を示すフローチャートであり、実施の形態１に係るＣｏｎｖアルゴリズムの処理を示すフローチャートである。図１０は、実施の形態１に係る復号装置４００の動作を示すフローチャートであり、実施の形態１に係るＱｕｅｒｙアルゴリズムの処理を示すフローチャートである。

鍵生成装置１００の機能と動作とについて説明する。
図２に示すように、鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、トークン生成部１４０、トークン送信部１５０を備える。

図６に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１：正規直交基底生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１１７を計算して、パラメータｐａｒａｍ_Ｖと、基底Ｂ及び基底Ｂ^＊とを生成する。

つまり、マスター鍵生成部１１０は以下の（１）から（９）の処理を実行する。
（１）マスター鍵生成部１１０は、入力装置により、セキュリティパラメータλを入力する。

（２）マスター鍵生成部１１０は、処理装置により、Ｎにｎ＋ｕ＋ｗ＋ｚを設定する。なお、ｎは、１以上の整数であり、ｕ，ｗ，ｚはそれぞれ０以上の整数である。

（３）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλを入力として、アルゴリズムＧ_ｂｐgを実行して、双線形ペアリング群のパラメータｐａｒａｍ_Ｇを生成する。そして、マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλと、（２）で設定したＮと、パラメータｐａｒａｍ_Ｇとを入力としてアルゴリズムＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ’：＝（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）の値を生成する。

（４）マスター鍵生成部１１０は、処理装置により、乱数ψを生成する。

（５）マスター鍵生成部１１０は、処理装置により、（２）で設定したＮと、Ｆ_ｑとを入力として、線形変換Ｘ：＝（χ_ｉ，ｊ）をランダムに生成する。なお、ＧＬは、Ｇｅｎｅｒａｌ Ｌｉｎｅａｒの略である。つまり、ＧＬは、一般線形群であり、行列式が０でない正方行列の集合であり、乗法に関し群である。

（６）マスター鍵生成部１１０は、処理装置により、（４）で生成した乱数ψと、（５）で生成した線形変換Ｘとに基づき、（ν_ｉ，ｊ）：＝ψ・（Ｘ^Ｔ）^−１を生成する。

（７）マスター鍵生成部１１０は、処理装置により、（５）で生成した線形変換Ｘに基づき、（３）で生成した標準基底Ａから基底Ｂを生成する。

（８）マスター鍵生成部１１０は、処理装置により、（６）で生成したν_ｉ，ｊに基づき、（３）で生成した標準基底Ａから基底Ｂ^＊を生成する。

（９）マスター鍵生成部１１０は、処理装置により、ｇ_Ｔにｅ（ｇ，ｇ）^ψを設定する。また、マスター鍵生成部１１０は、ｐａｒａｍ_Ｖに（４）で生成したｐａｒａｍ_Ｖ’と、ｇ_Ｔとを設定する。

（Ｓ１０２：変換鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、変換情報Ｗを数１１８に示すように生成する。マスター鍵生成部１１０は、変換情報Ｗを変換鍵ｃｋとする。

（Ｓ１０３：公開鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、Ｓ１０１で生成した基底Ｂを、数１１９に示すように変換鍵Ｗで変換して基底Ｄを生成する。そして、マスター鍵生成部１１０は、処理装置により、基底Ｄの部分基底Ｄ＾を数１１９に示すように生成する。

マスター鍵生成部１１０は、部分基底Ｄ＾と、Ｓ１０１で入力したセキュリティパラメータλと、Ｓ１０１で生成したｐａｒａｍ_Ｖとを合わせて、公開鍵ｐｋとする。

（Ｓ１０４：秘密鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、Ｓ１０１で生成した基底Ｂ^＊の部分基底Ｂ＾^＊を数１２０に示すように生成する。

マスター鍵生成部１１０は、部分基底Ｂ＾^＊を秘密鍵ｓｋとする。

（Ｓ１０５：鍵記憶ステップ）
マスター鍵記憶部１２０は、Ｓ１０２で生成した変換鍵ｃｋと、Ｓ１０３で生成した公開鍵ｐｋと、Ｓ１０４で生成した秘密鍵ｓｋとを記憶装置に記憶する。

つまり、Ｓ１０１からＳ１０４において、鍵生成装置１００は、数１２１に示すＳｅｔｕｐアルゴリズムを実行して、変換鍵ｃｋと公開鍵ｐｋと秘密鍵ｓｋとを生成する。そして、Ｓ１０５で、鍵生成装置１００は、変換鍵ｃｋと公開鍵ｐｋと秘密鍵ｓｋとを記憶装置に記憶する。
なお、公開鍵ｐｋは、例えば、ネットワークを介して公開され、暗号化装置２００と変換装置３００と復号装置４００とが取得可能な状態にされる。変換鍵ｃｋは、例えば、通信装置によりネットワークを介して秘密裡に変換装置３００へ送信する。

図７に基づき、ＴｏｋｅｎＧｅｎアルゴリズムの処理について説明する。
（Ｓ２０１：情報入力ステップ）
情報入力部１３０は、入力装置により、述語ベクトルｖ^→を入力する。述語ベクトルｖ^→は、例えば、トークンｔｋ_ｖの使用者の属性情報や検索キーワード等が要素として設定されている。

（Ｓ２０２：乱数生成ステップ）
トークン生成部１４０は、処理装置により、乱数を数１２２に示すように生成する。

（Ｓ２０３：トークン要素生成ステップ）
トークン生成部１４０は、処理装置により、トークンｔｋ_ｖの要素ｋ^＊を数１２３に示すように生成する。

なお、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１が定義される。したがって、数１２３は、基底Ｂ^＊の基底ベクトルｂ^＊ _１，．．．，ｂ^＊ _ｎの係数としてσｖ_１，．．．，σｖ_ｎが設定され、基底Ｂ^＊の基底ベクトルｂ^＊ _ｎ＋１，．．．，ｂ^＊ _ｎ＋ｕの係数として０が設定され、基底Ｂ^＊の基底ベクトルｂ^＊ _{ｎ＋ｕ＋１}，．．．，ｂ^＊ _{ｎ＋ｕ＋ｗ}の係数としてη_１，．．．，η_ｗが設定され、基底Ｂ^＊の基底ベクトルｂ^＊ _{ｎ＋ｕ＋ｗ＋１}，．．．，ｂ^＊ _{ｎ＋ｕ＋ｗ＋ｚ}の係数として０が設定されることを意味する。

（Ｓ２０４：トークン送信ステップ）
トークン送信部１５０は、Ｓ２０３で生成されたｋ^＊を要素とするトークンｔｋ_ｖを、例えば通信装置によりネットワークを介して秘密裡に復号装置４００へ送信する。もちろん、トークンｔｋ_ｖは、他の方法により復号装置４００へ送信されてもよい。

つまり、Ｓ２０１からＳ２０３において、鍵生成装置１００は、数１２４に示すＴｏｋｅｎＧｅｎアルゴリズムを実行して、トークンｔｋ_ｖを生成する。そして、Ｓ２０４で、鍵生成装置１００は、トークンｔｋ_ｖを復号装置４００へ送信する。

暗号化装置２００の機能と動作とについて説明する。
図３に示すように、暗号化装置２００は、公開鍵取得部２１０、情報入力部２２０、暗号文生成部２３０、データ送信部２４０を備える。

図８に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ３０１：公開鍵取得ステップ）
公開鍵取得部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開鍵ｐｋを取得する。

（Ｓ３０２：情報入力ステップ）
情報入力部２２０は、入力装置により、属性ベクトルｘ^→∈Ｆ_ｑを入力する。属性ベクトルｘ^→は、例えば、検索可能なユーザの属性情報や検索用のタグが要素として設定されている。

（Ｓ３０３：乱数生成ステップ）
暗号文生成部２３０は、処理装置により、乱数を数１２５に示すように生成する。

（Ｓ３０４：暗号要素生成ステップ）
暗号文生成部２３０は、処理装置により、暗号文ｃｔ_ｘの要素ｆを数１２６に示すように生成する。

（Ｓ３０５：データ送信ステップ）
データ送信部２４０は、Ｓ３０４で生成された要素ｆを含む暗号文ｃｔ_ｘを、例えば通信装置によりネットワークを介して変換装置３００へ送信する。もちろん、暗号文ｃｔ_ｘは、他の方法により変換装置３００へ送信されてもよい。

つまり、Ｓ３０１からＳ３０４において、暗号化装置２００は、数１２７に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ｘを生成する。そして、Ｓ３０５で、暗号化装置２００は、暗号文ｃｔ_ｘを変換装置３００へ送信する。

変換装置３００の機能と動作とについて説明する。
図４に示すように、変換装置３００は、変換鍵取得部３１０、暗号文取得部３２０、暗号文変換部３３０、データ送信部３４０を備える。

図９に基づき、Ｃｏｎｖアルゴリズムの処理について説明する。
（Ｓ４０１：変換鍵取得ステップ）
変換鍵取得部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された変換鍵ｃｋ：＝Ｗを取得する。また、変換鍵取得部３１０は、鍵生成装置１００が生成した公開鍵ｐｋを取得する。

（Ｓ４０２：暗号文取得ステップ）
暗号文取得部３２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号文ｃｔ_ｘ：＝ｆを受信する。

（Ｓ４０３：乱数生成ステップ）
暗号文変換部３３０は、処理装置により、乱数を数１２８に示すように生成する。

（Ｓ４０４：暗号文変換ステップ）
暗号文変換部３３０は、処理装置により、暗号文ｃｔ_ｘを数１２９に示すように変換して、要素ｃを生成する。

（Ｓ４０５：データ送信ステップ）
データ送信部３４０は、Ｓ４０４で生成された要素ｃを含む暗号文ＣＴ_ｘを、例えば通信装置によりネットワークを介して復号装置４００へ送信する。もちろん、暗号文ＣＴ_ｘは、他の方法により復号装置４００へ送信されてもよい。

つまり、Ｓ４０１からＳ４０４において、変換装置３００は、数１３０に示すＣｏｎｖアルゴリズムを実行して、暗号文ＣＴ_ｘを生成する。そして、Ｓ４０５で、変換装置３００は生成した暗号文ＣＴ_ｘを復号装置４００へ送信する。

復号装置４００の機能と動作とについて説明する。
図５に示すように、復号装置４００は、トークン取得部４１０、暗号文取得部４２０、復号部４３０を備える。

図１０に基づき、Ｄｅｃアルゴリズムの処理について説明する。
（Ｓ５０１：トークン取得ステップ）
トークン取得部４１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信されたトークンｔｋ_ｖ：＝ｋ^＊を取得する。また、トークン取得部４１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ５０２：暗号文取得ステップ）
暗号文取得部４２０は、例えば、通信装置によりネットワークを介して、変換装置３００が送信した暗号文ＣＴ_ｘ：＝ｃを受信する。

（Ｓ５０３：復号ステップ）
復号部４３０は、処理装置により、ペアリング演算ｅ（ｃ，ｋ^＊）を計算した結果が１であれば、復号できたことを示す１を出力し、結果が１でなければ、復号できなかったことを示す０を出力する。

つまり、Ｓ５０１からＳ５０３において、復号装置４００は、数１３１に示すＱｕｅｒｙアルゴリズムを実行して、復号できたか否かを判定する。

なお、Ｄ・Ｗ^−１：＝（ｄ_１Ｗ^−１，．．．，ｄ_{ｎ＋ｕ＋ｗ＋ｚ}Ｗ^−１）は、Ｂ：＝（ｂ_１，．．．，ｂ_{ｎ＋ｕ＋ｗ＋ｚ}）と等しい。そのため、ｃ：＝（ρｆ＋ｙ）Ｗ^−１＝（ωｘ^→，０^ｕ，０^ｗ，η^→）_Ｄ・Ｗ^−１＝（ωｘ^→，０^ｕ，０^ｗ，η^→）_{Ｄ・Ｗ−１}＝（ωｘ^→，０^ｕ，０^ｗ，η^→）_Ｂである。ここで、下付きのＷ−１はＷ^−１を意味する。また、ω∈Ｆ_ｑとη^→∈Ｆ^ｎ _ｑとは、一様かつ独立に分散している。そのため、もし、ｖ^→・ｘ^→＝０なら、ｅ（ｃ，ｋ^＊）＝ｇ_Ｔ ^{ωσｖ→・ｘ→}＝１である。

従来のＩＰＥでは、公開鍵ｐｋを用いて自由に暗号文を生成できたため、多数の暗号文に対してＱｕｅｒｙアルゴリズムを実行することによって、トークンｔｋ_ｖに設定された述語ベクトルｖ^→の情報が漏洩する恐れがあった。
実施の形態１に係るＩＰＥ−ＣＣ方式では、変換装置３００が、変換鍵ｃｋを用いて暗号文ｃｔ_ｘの基底を変換して暗号文ＣＴ_ｘを生成し、復号装置４００が、変換された暗号文ＣＴ_ｘに対してＱｕｅｒｙアルゴリズムを実行する。そのため、変換装置３００の助けなく、多数の暗号文に対してＱｕｅｒｙアルゴリズムを実行することができない。これにより、トークンｔｋ_ｖに設定された述語ベクトルｖ^→の情報が漏洩することを防止できる。

なお、上記説明では、基底Ｄ＾とセキュリティパラメータλとｐａｒａｍ_Ｖとを合わせて、公開鍵ｐｋとして公開するとした。
しかし、基底Ｄ＾とセキュリティパラメータλとｐａｒａｍ_Ｖとを公開鍵とせず、秘密鍵ｓｋと対をなす、もう１つの秘密鍵として、暗号化装置２００へ秘密裡に送信するようにしてもよい。この場合、秘密鍵セッティングで、属性情報と述語情報との両方を秘匿可能な内積述語暗号とすることができる。

また、上記説明では、ｕ，ｗ，ｚはそれぞれ０以上の整数であるとした。例えば、ｕ＝３ｎ，ｗ＝ｎ，ｚ＝ｎとしてもよい。

また、上記説明では、暗号文ｃｔ_ｘがトークンｔｋ_ｖに設定された条件を満たすか否かを判定する方法について説明した。これにより、暗号文ｃｔ_ｘを暗号化したままで検索可能な秘匿検索システムを構築することができる。
しかし、非特許文献２等に記載されたように、暗号文ｃｔ_ｘにメッセージｍを埋め込めば、暗号文ｃｔ_ｘに埋め込まれたメッセージｍをトークンｔｋ_ｖにより抽出する、狭義の暗号システムを構築することもできる。

実施の形態２．
実施の形態２では、正規直交基底Ｂ，Ｂ^＊を生成する際、疎行列を用いることによって、効率化されたＩＰＥ−ＣＣ方式について説明する。
実施の形態２では、実施の形態１と同じ部分については説明を省略し、主に異なる部分について説明する。

実施の形態２に係る鍵生成装置１００、暗号化装置２００、変換装置３００、復号装置４００の構成は、図２から図５に示す各装置の構成と同じである。
また、実施の形態２に係るＳｅｔｕｐアルゴリズム、ＴｏｋｅｎＧｅｎアルゴリズム、Ｅｎｃアルゴリズム、Ｃｏｎｖアルゴリズム、Ｑｕｅｒｙアルゴリズムの流れは、図６から図１０に示す各アルゴリズムの流れと同じである。

実施の形態２で用いる疎行列と、疎行列を用いて構成される線形変換Ｘ及びその随伴行列ψ（Ｘ^−１）^Ｔとについて説明する。
Ｎ：＝６ｎとし、Ｈ（ｎ，Ｆ_ｑ）を数１３２に示す通りであるとし、Ｌ（６，ｎ，Ｆ_ｑ）を数１３３に示す通りであるとする。

Ｌ（６，ｎ，Ｆ_ｑ）は、ＧＬ（Ｎ，Ｆ_ｑ）の部分集合である。

線形変換Ｘ∈Ｌ（６，ｎ，Ｆ_ｑ）の隋伴行列ψ（Ｘ^−１）^Ｔは、数１３４に示す疎形式で表される。

ここで、行列Ｘ，（Ｘ^−１）^Ｔにおける空白の要素は定数値０∈Ｆ_ｑであることを示す。定数値０とは、値が０に固定されていることを意味する。
つまり、行列Ｘ∈Ｌ（６，ｎ，Ｆ_ｑ）は、７２ｎ個の非零要素｛ｕ_ｉ，ｊ，ｕ’_{ｉ，ｊ，２}，．．．，ｕ’_{ｉ，ｊ，ｎ}，ｕ’’_{ｉ，ｊ，１}，．．．，ｕ’’_{ｉ，ｊ，ｎ−１}，ｕ’’’_ｉ，ｊ｝_{ｉ，ｊ＝１，．．．，６}で表され、隋伴行列ψ（Ｘ^−１）^Ｔは、７２ｎ個の非零要素｛ｖ_ｉ，ｊ，ｖ’_{ｉ，ｊ，２}，．．．，ｖ’_{ｉ，ｊ，ｎ}，ｖ’’_{ｉ，ｊ，１}，．．．，ｖ’’_{ｉ，ｊ，ｎ−１}，ｖ’’’_ｉ，ｊ｝_{ｉ，ｊ＝１，．．．，６}で表される。なお、非零要素は、０も取り得る一様乱数である。

実施の形態２に係るＩＰＥ−ＣＣ方式について説明する。
ここでは、入力される属性ベクトルｘ^→：＝（ｘ_１，．．．，ｘ_ｎ）と述語ベクトルｖ^→：＝（ｖ_１，．．．，ｖ_ｎ）とは、ｘ_１≠０であり、ｖ_１≠０であると仮定する。

図６に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１：正規直交基底生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１３５を計算して、パラメータｐａｒａｍ_Ｖと、基底Ｂ及び基底Ｂ^＊とを生成する。

つまり、マスター鍵生成部１１０は以下の（１）から（９）の処理を実行する。
（１），（３），（４），（９）は実施の形態１と同じであるため、説明を省略する。
（２）マスター鍵生成部１１０は、処理装置により、Ｎに６ｎを設定する。なお、ｎは、１以上の整数である。

（５）マスター鍵生成部１１０は、処理装置により、（２）で設定したＮ：＝６ｎのｎと、Ｆ_ｑとを入力として、線形変換Ｘ：＝（χ_ｉ，ｊ）をランダムに生成する。
（６）マスター鍵生成部１１０は、処理装置により、（４）で生成した乱数ψと、（５）で生成した線形変換Ｘとに基づき、（ν_ｉ，ｊ）：＝ψ・（Ｘ^−１）^Ｔを生成する。
なお、以下、｛ｕ_ｉ，ｊ，ｕ’_{ｉ，ｊ，２}，．．．，ｕ’_{ｉ，ｊ，ｎ}，ｕ’’_{ｉ，ｊ，１}，．．．，ｕ’’_{ｉ，ｊ，ｎ−１}，ｕ’’’_ｉ，ｊ｝_{ｉ，ｊ＝１，．．．，６}は、線形変換Ｘにおける非零要素を示す。｛ｖ_ｉ，ｊ，ｖ’_{ｉ，ｊ，２}，．．．，ｖ’_{ｉ，ｊ，ｎ}，ｖ’’_{ｉ，ｊ，１}，．．．，ｖ’’_{ｉ，ｊ，ｎ−１}，ｖ’’’_ｉ，ｊ｝_{ｉ，ｊ＝１，．．．，６}は、随伴行列ψ・（Ｘ^−１）^Ｔにおける非零要素を示す。

（７）マスター鍵生成部１１０は、処理装置により、（５）で生成した線形変換Ｘに基づき、基底Ｂを生成する。

（８）マスター鍵生成部１１０は、処理装置により、（６）で生成した随伴行列ψ・（Ｘ^−１）^Ｔに基づき、基底Ｂ^＊を生成する。

ここで、数１３６であり、基底Ｂ：＝（ｂ_１，．．．，ｂ_６ｎ），基底Ｂ^＊：＝（ｂ^＊ _１，．．．，ｂ^＊ _６ｎ）である。なお、行列における空白の要素は、定数値０∈Ｇである。そして、基底Ｂ，Ｂ^＊は、正規直交基底である。つまり、１≦ｉ≠ｊ≦６ｎに対して、ｅ（ｂ_ｉ，ｂ^＊ _ｉ）＝ｇ_Ｔであり、ｅ（ｂ_ｉ，ｂ^＊ _ｊ）＝１である。

（Ｓ１０２：変換鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、変換情報Ｗを数１３７に示すように生成する。マスター鍵生成部１１０は、変換情報Ｗを変換鍵ｃｋとする。

（Ｓ１０３：公開鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、Ｓ１０１で生成した基底Ｂを、数１３８に示すように変換鍵Ｗで変換して基底Ｄ：＝（ｄ_１，．．．，ｄ_６ｎ）を生成する。そして、マスター鍵生成部１１０は、処理装置により、基底Ｄの部分基底Ｄ＾を数１３８に示すように生成する。ここで、基底Ｄは、数１３６に示す基底Ｂと同様に、｛Ｄ_ｉ，ｊ，Ｄ’_{ｉ，ｊ，２}，．．．，Ｄ’_{ｉ，ｊ，ｎ}，Ｄ’’_{ｉ，ｊ，１}，．．．，Ｄ’’_{ｉ，ｊ，ｎ−１}，Ｄ’’’_ｉ，ｊ｝_{ｉ，ｊ＝１，．．．，６}で構成される。

マスター鍵生成部１１０は、生成した部分基底Ｄ＾と、Ｓ１０１で入力したセキュリティパラメータλと、Ｓ１０１で生成したｐａｒａｍ_Ｖとを合わせて、公開鍵ｐｋとする。

（Ｓ１０４：秘密鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、Ｓ１０１で生成した基底Ｂ^＊の部分基底Ｂ＾^＊を数１３９に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾^＊を秘密鍵ｓｋとする。

（Ｓ１０５：鍵記憶ステップ）
マスター鍵記憶部１２０は、Ｓ１０２で生成した変換鍵ｃｋと、Ｓ１０３で生成した公開鍵ｐｋと、Ｓ１０４で生成した秘密鍵ｓｋとを記憶装置に記憶する。

つまり、Ｓ１０１からＳ１０４において、鍵生成装置１００は、数１４０に示すＳｅｔｕｐアルゴリズムを実行して、変換鍵ｃｋと公開鍵ｐｋと秘密鍵ｓｋとを生成する。ここで、Ｇ^{ＺＩＰＥ，ＳＫ} _ｏｂアルゴリズムは、数１４１に示す通りである。そして、Ｓ１０５で、鍵生成装置１００は、生成した変換鍵ｃｋと公開鍵ｐｋと秘密鍵ｓｋとを記憶装置に記憶する。

図７に基づき、ＴｏｋｅｎＧｅｎアルゴリズムの処理について説明する。
Ｓ２０１は、実施の形態１と同じであるため、説明を省略する。

（Ｓ２０２：乱数生成ステップ）
トークン生成部１４０は、処理装置により、乱数を数１４２に示すように生成する。

（Ｓ２０３：トークン要素生成ステップ）
トークン生成部１４０は、処理装置により、トークンｔｋ_ｖの要素ｋ^＊を数１４３に示すように生成する。

（Ｓ２０４：トークン送信ステップ）
トークン送信部１５０は、Ｓ２０３で生成されたｋ^＊を要素とするトークンｔｋ_ｖを、例えば通信装置によりネットワークを介して秘密裡に復号装置４００へ送信する。もちろん、トークンｔｋ_ｖは、他の方法により復号装置４００へ送信されてもよい。

つまり、Ｓ２０１からＳ２０３において、鍵生成装置１００は、数１４４に示すＴｏｋｅｎＧｅｎアルゴリズムを実行して、トークンｔｋ_ｖを生成する。そして、Ｓ２０４で、鍵生成装置１００は、生成したトークンｔｋ_ｖを復号装置４００へ送信する。

図８に基づき、Ｅｎｃアルゴリズムの処理について説明する。
Ｓ３０１とＳ３０２とは、実施の形態１と同じであるため、説明を省略する。

（Ｓ３０３：乱数生成ステップ）
暗号文生成部２３０は、処理装置により、乱数を数１４５に示すように生成する。

（Ｓ３０４：暗号要素生成ステップ）
暗号文生成部２３０は、処理装置により、暗号文ｃｔ_ｘの要素ｆを数１４６に示すように生成する。

（Ｓ３０５：データ送信ステップ）
データ送信部２４０は、Ｓ３０４で生成された要素ｆを含む暗号文ｃｔ_ｘを、例えば通信装置によりネットワークを介して変換装置３００へ送信する。もちろん、暗号文ｃｔ_ｘは、他の方法により変換装置３００へ送信されてもよい。

つまり、Ｓ３０１からＳ３０４において、暗号化装置２００は、数１４７に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ｘを生成する。そして、Ｓ３０５で、暗号化装置２００は生成した暗号文ｃｔ_ｘを変換装置３００へ送信する。

Ｃｏｎｖアルゴリズムと、Ｑｕｅｒｙアルゴリズムとは、実施の形態１と同じであるため、説明を省略する。但し、ＣｏｎｖアルゴリズムのＳ４０３において、乱数ｙは、数１４８のように生成される。

なお、Ｓｅｔｕｐアルゴリズムの出力の一部である｛Ｄ_ｉ，ｊ，Ｄ’_{ｉ，ｊ，２}，．．．，Ｄ’_{ｉ，ｊ，ｎ}，Ｄ’’_{ｉ，ｊ，１}，．．．，Ｄ’’_{ｉ，ｊ，ｎ−１}，Ｄ’’’_ｉ，ｊ｝_{ｉ＝１，６；ｉ，ｊ＝１，．．．，６}は、基底Ｄ＾：＝（ｄ_１，．．．，ｄ_ｎ，ｄ_５ｎ＋１，．．．，ｄ_６ｎ）によって識別される。基底Ｄ：＝（ｄ_１，．．．，ｄ_６ｎ）は、｛Ｄ_ｉ，ｊ，Ｄ’_{ｉ，ｊ，２}，．．．，Ｄ’_{ｉ，ｊ，ｎ}，Ｄ’’_{ｉ，ｊ，１}，．．．，Ｄ’’_{ｉ，ｊ，ｎ−１}，Ｄ’’’_ｉ，ｊ｝_{ｉ，ｊ＝１，．．．，６}によって識別される。
｛Ｂ^＊ _ｉ，ｊ，Ｂ’^＊ _{ｉ，ｊ，２}，．．．，Ｂ’^＊ _{ｉ，ｊ，ｎ}，Ｂ’’^＊ _{ｉ，ｊ，１}，．．．，Ｂ’’^＊ _{ｉ，ｊ，ｎ−１}，Ｂ’’’^＊ _ｉ，ｊ｝_{ｉ＝１，５；ｉ，ｊ＝１，．．．，６}は、基底Ｂ^＊＾：＝（Ｂ^＊ _１，．．．，Ｂ^＊ _ｎ，Ｂ^＊ _４ｎ＋１，．．．，Ｂ^＊ _５ｎ）によって識別される。基底Ｂ^＊：＝（ｄ^＊ _１，．．．，ｄ^＊ _６ｎ）は、｛Ｂ^＊ _ｉ，ｊ，Ｂ’^＊ _{ｉ，ｊ，２}，．．．，Ｂ’^＊ _{ｉ，ｊ，ｎ}，Ｂ’’^＊ _{ｉ，ｊ，１}，．．．，Ｂ’’^＊ _{ｉ，ｊ，ｎ−１}，Ｂ’’’^＊ _ｉ，ｊ｝_{ｉ，ｊ＝１，．．．，６}によって識別される。
そして、Ｑｕｅｒｙアルゴリズムにおけるｃとｋ^＊とは、それぞれ数１４９に示すように表せる。

以上のように、実施の形態２に係る暗号システム１０では、正規直交基底Ｂ，Ｂ^＊を生成する際、疎行列を用いる。これにより、安全性を保ちつつ、公開パラメータやマスター秘密鍵のサイズを小さくするとともに、ユーザへ与える秘密鍵の生成の処理や暗号化の処理にかかる時間を短くすることが可能である。

なお、上記説明では、数１３２に示す疎行列を用いて正規直交基底Ｂ，Ｂ^＊を生成するとした。しかし、正規直交基底Ｂ，Ｂ^＊を生成するのに用いる疎行列はこれに限らない。例えば、数１３２における複数のμをそれぞれ異なる値としてもよい。また、数１３２では、第ｎ列における全ての成分を定数値０以外の乱数としたが、第ｎ列ではなく、他のいずれか少なくとも１つの列における全ての成分を定数値０以外の乱数としてもよい。同様に、数１３２では、第１行における全ての成分を定数値０以外の乱数としたが、第１行ではなく、他のいずれか少なくとも１つの行における全ての成分を定数値０以外の乱数としてもよい。
より一般的には、疎行列は、各行各列に少なくとも１つは定数値０以外の値を有する疎行列であればよい。さらに、疎行列は、ｎ行ｎ列の行列である場合、定数値０以外の値として、少なくともｎ個の異なる値を有しているとよい。さらに、疎行列は、少なくとも１つの列における全ての成分が定数値０以外の値であるとよい。さらに、疎行列は、少なくとも１つの行における全ての成分が定数値０以外の値であるとよい。さらに、疎行列は、対角成分と、少なくとも１つの列と、少なくとも１つの行とにおける全ての成分が定数値０以外の値であるとよい。さらに、疎行列は、全ての成分が定数値０以外の値である列を除き、対角成分の値が同一であるとよい。
このような疎行列を用いた場合であっても、通常の行列を用いた場合に比べ、公開パラメータと秘密鍵とのサイズは小さくなる。また、ユーザ鍵の生成や暗号化の処理の処理時間も短くなる。
但し、線形変換Ｘの形式によっては、ペアリング演算の数を減らすことができない場合もある。

また、上記説明では、暗号文ｃｔ_ｘがトークンｔｋ_ｖに設定された条件を満たすか否かを判定する方法について説明した。これにより、暗号文ｃｔ_ｘを暗号化したままで検索可能な秘匿検索システムを構築することができる。
しかし、非特許文献２等に記載されたように、暗号文ｃｔ_ｘにメッセージｍを埋め込めば、暗号文ｃｔ_ｘに埋め込まれたメッセージｍをトークンｔｋ_ｖにより抽出する、狭義の暗号システムを構築することもできる。

実施の形態３．
実施の形態３では、公開パラメータの再発行をすることなく、属性カテゴリの追加を可能としたＩＰＥ−ＣＣ方式について説明する。
実施の形態３では、実施の形態１と同じ部分については説明を省略し、主に異なる部分について説明する。

属性カテゴリとは、例えば、所属機関、所属部署、役職、年齢、性別等、各ユーザの属性の分類や、検索条件の属性の分類のことである。
通常、アクセスコントロールや検索条件に使用する属性カテゴリは、システム設計時に予め決定される。しかし、後にシステムの運用が変更され、アクセスコントロールや検索条件に使用する属性カテゴリの追加が必要になる場合がある。
例えば、Ａ会社内のみで使用することを想定して暗号システムを構築したとする。この場合、アクセスコントロールに使用する属性カテゴリとしては、所属部署、役職、個人のＩＤ等が想定される。しかし、後に、Ａ会社だけでなく、Ａ会社の関連会社でも暗号システムを使用するように運用が変更されたとする。この場合、アクセスコントロールに使用する属性カテゴリとして、新たに所属会社を追加する必要がある。

実施の形態１に係るＩＰＥ−ＣＣ方式では、属性カテゴリ毎に基底Ｂ及び基底Ｂ^＊の基底ベクトルが必要であり、属性カテゴリを追加する場合、次元の数を増やした新たな基底Ｂ及び基底Ｂ^＊を生成する必要がある。そして、基底Ｂは、公開パラメータに含まれているため、公開パラメータを再発行し、ユーザへ配布し直す必要がある。そのため、後に属性カテゴリを追加することは容易でなく、システム設計時に想定していなかった運用形態を柔軟に採用することができない。

実施の形態３に係る鍵生成装置１００、暗号化装置２００、変換装置３００、復号装置４００の構成は、図２から図５に示す各装置の構成と同じである。
また、実施の形態３に係るＳｅｔｕｐアルゴリズム、Ｅｎｃアルゴリズム、Ｃｏｎｖアルゴリズム、Ｑｕｅｒｙアルゴリズムの流れは、図６、図８から図１０に示す各アルゴリズムの流れと同じである。
図１１は、実施の形態３に係るＴｏｋｅｎＧｅｎアルゴリズムの処理を示すフローチャートである。

図６に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１：正規直交基底生成ステップ）
マスター鍵生成部１１０は、処理装置により、数１５０を計算して、パラメータｐａｒａｍ_Ｖと、基底Ｂ及び基底Ｂ^＊とを生成する。

つまり、マスター鍵生成部１１０は以下の（１）から（１０）の処理を実行する。
（１）は実施の形態１と同じであるため、説明を省略する。
（２）マスター鍵生成部１１０は、処理装置により、Ｎ_０に１＋ｕ_０＋ｗ_０＋ｚ_０を設定し、Ｎ_１に４＋ｕ＋ｗ＋ｚを設定する。なお、ｕ_０，ｗ_０，ｚ_０，ｕ，ｗ，ｚはそれぞれ０以上の整数である。

（３）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλを入力として、アルゴリズムＧ_ｂｐgを実行して、双線形ペアリング群のパラメータｐａｒａｍ_Ｇを生成する。

（４）マスター鍵生成部１１０は、処理装置により、乱数ψを生成する。

続いて、マスター鍵生成部１１０は、ｔ＝０，１の各ｔについて以下の（５）から（９）までの処理を実行する。
（５）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλと、（２）で設定したＮ_ｔと、（３）で生成したｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値とを入力としてアルゴリズムＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖｔ：＝（ｑ，Ｖ_ｔ，Ｇ_Ｔ，Ａ_ｔ，ｅ）の値を生成する。

（６）マスター鍵生成部１１０は、処理装置により、（２）で設定したＮ_ｔと、Ｆ_ｑとを入力として、線形変換Ｘ_ｔ：＝（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊをランダムに生成する。なお、（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊは、行列χ_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，Ｎ_ｔである。

（７）マスター鍵生成部１１０は、処理装置により、乱数ψと線形変換Ｘ_ｔとに基づき、線形変換Ｘ^＊ _ｔ：＝（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊ：＝ψ・（Ｘ_ｔ ^Ｔ）^−１を生成する。なお、（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊも（χ_{ｔ，ｉ，ｊ}）_ｉ，ｊと同様に、行列ν_{ｔ，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，Ｎ_ｔである。

（８）マスター鍵生成部１１０は、処理装置により、（６）で生成した線形変換Ｘ_ｔに基づき、（５）で生成した標準基底Ａ_ｔから基底Ｂ_ｔを生成する。なお、ｘ^→ _ｔ，ｉとは、線形変換Ｘ_ｔのｉ行目を示す。

（９）マスター鍵生成部１１０は、処理装置により、（７）で生成した（ν_{ｔ，ｉ，ｊ}）_ｉ，ｊに基づき、（５）で生成した標準基底Ａ_ｔから基底Ｂ^＊ _ｔを生成する。なお、ｖ^→ _ｔ，ｉとは、線形変換Ｘ^＊ _ｔのｉ行目を示す。

（１０）マスター鍵生成部１１０は、処理装置により、ｇ_Ｔにｅ（ｇ，ｇ）^ψを設定する。また、マスター鍵生成部１１０は、ｐａｒａｍに（５）で生成した｛ｐａｒａｍ_Ｖｔ｝_{ｔ＝０，１}と、ｇ_Ｔとを設定する。

なお、以下の説明では、簡単のため、基底Ｂ_１及び基底Ｂ^＊ _１を基底Ｂ及び基底Ｂ^＊とする。

（Ｓ１０２：変換鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、変換情報Ｗ_０，Ｗを数１５１に示すように生成する。マスター鍵生成部１１０は、変換情報Ｗ_０，Ｗを変換鍵ｃｋとする。

（Ｓ１０３：公開鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、Ｓ１０１で生成した基底Ｂ_０及び基底Ｂを、数１５２に示すように変換鍵Ｗ_０，Ｗで変換して基底Ｄ_０及び基底Ｄを生成する。そして、マスター鍵生成部１１０は、処理装置により、基底Ｄ_０及び基底Ｄの部分基底Ｄ＾_０及び部分基底Ｄ＾を数１５２に示すように生成する。

マスター鍵生成部１１０は、部分基底Ｄ＾_０及び部分基底Ｄ＾と、Ｓ１０１で入力したセキュリティパラメータλと、Ｓ１０１で生成したｐａｒａｍ_Ｖとを合わせて、公開鍵ｐｋとする。

（Ｓ１０４：秘密鍵生成ステップ）
マスター鍵生成部１１０は、処理装置により、Ｓ１０１で生成した基底Ｂ^＊ _０及び基底Ｂ^＊の部分基底Ｂ＾^＊ _０及び部分基底Ｂ＾^＊を数１５３に示すように生成する。

マスター鍵生成部１１０は、生成した部分基底Ｂ＾^＊ _０及び部分基底Ｂ＾^＊を秘密鍵ｓｋとする。

（Ｓ１０５：鍵記憶ステップ）
マスター鍵記憶部１２０は、Ｓ１０２で生成した変換鍵ｃｋと、Ｓ１０３で生成した公開鍵ｐｋと、Ｓ１０４で生成した秘密鍵ｓｋとを記憶装置に記憶する。

つまり、Ｓ１０１からＳ１０４において、鍵生成装置１００は、数１５４に示すＳｅｔｕｐアルゴリズムを実行して、変換鍵ｃｋと公開鍵ｐｋと秘密鍵ｓｋとを生成する。ここで、Ｇ^ＩＰＥ _ｏｂアルゴリズムは、数１５５に示す通りである。そして、Ｓ１０５で、鍵生成装置１００は、生成した変換鍵ｃｋと公開鍵ｐｋと秘密鍵ｓｋとを記憶装置に記憶する。

図１１に基づき、ＴｏｋｅｎＧｅｎアルゴリズムの処理について説明する。
（Ｓ６０１：情報入力ステップ）
情報入力部１３０は、入力装置により、述語ベクトルｖ^→：＝｛（ｔ，ｖ_ｔ）｜ｔ∈Ｉ_ｖ→｝を入力する。つまり、述語ベクトルｖ^→は、集合Ｉ_ｖ→に含まれるインデックスｔについて、インデックスｔと述語情報ｖ_ｔとを要素として有するベクトルである。述語情報ｖ_ｔとしては、例えば、トークンｔｋ_ｖの使用者の属性情報や検索キーワード等が設定されている。
（Ｓ６０２：秘密情報生成ステップ）
トークン生成部１４０は、処理装置により、秘密情報ｓ_ｔ，ｓ_０を数１５６に示すように生成する。

（Ｓ６０３：乱数生成ステップ）
トークン生成部１４０は、処理装置により、乱数を数１５７に示すように生成する。

（Ｓ６０４：トークン要素生成ステップ）
トークン生成部１４０は、処理装置により、トークンｔｋ_ｖの要素ｋ^＊ _０を数１５８に示すように生成する。

また、トークン生成部１４０は、処理装置により、集合Ｉ_ｖ→に含まれるインデックスｔについて、トークンｔｋ_ｖの要素ｋ^＊ _ｔを数１５９に示すように生成する。

（Ｓ６０５：トークン配布ステップ）
トークン送信部１５０は、Ｓ６０４で生成されたｋ^＊ _０，ｋ^＊ _ｔとを要素とするトークンｔｋ_ｖを、例えば通信装置によりネットワークを介して秘密裡に復号装置４００へ配布する。もちろん、トークンｔｋ_ｖは、他の方法により復号装置４００へ配布されてもよい。

つまり、Ｓ６０１からＳ６０４において、鍵生成装置１００は、数１６０に示すＴｏｋｅｎＧｅｎアルゴリズムを実行して、トークンｔｋ_ｖを生成する。そして、Ｓ６０５で、鍵生成装置１００は、生成したトークンｔｋ_ｖを復号装置４００へ配布する。

図８に基づき、Ｅｎｃアルゴリズムの処理について説明する。
Ｓ３０１は、実施の形態１と同様であるため、説明を省略する。

（Ｓ３０２：情報入力ステップ）
情報入力部２２０は、入力装置により、属性ベクトルｘ^→：＝｛（ｔ，ｘ_ｔ）｜ｔ∈Ｉ_ｘ→｝を入力する。つまり、属性ベクトルｘ^→は、集合Ｉ_ｘ→に含まれるインデックスｔについて、インデックスｔと属性情報ｘ_ｔとを要素として有するベクトルである。属性ベクトルｘ^→は、例えば、検索可能なユーザの属性情報や検索用のタグが設定されている。

（Ｓ３０３：乱数生成ステップ）
暗号文生成部２３０は、処理装置により、乱数を数１６１に示すように生成する。

（Ｓ３０４：暗号要素生成ステップ）
暗号文生成部２３０は、処理装置により、暗号文ｃｔ_ｘの要素ｆ_０を数１６２に示すように生成する。

また、暗号文生成部２３０は、処理装置により、集合Ｉ_ｘ→に含まれるインデックスｔについて、暗号文ｃｔ_ｘの要素ｆ_ｔを数１６３に示すように生成する。

（Ｓ３０５：データ送信ステップ）
データ送信部２４０は、Ｓ３０４で生成されたｆ_０，ｆ_ｔを要素とする暗号文ｃｔ_ｘを、例えば通信装置によりネットワークを介して変換装置３００へ送信する。もちろん、暗号文ｃｔ_ｘは、他の方法により変換装置３００へ送信されてもよい。

つまり、Ｓ３０１からＳ３０４において、暗号化装置２００は、数１６４に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ｘを生成する。そして、Ｓ３０５で、暗号化装置２００は生成した暗号文ｃｔ_ｘを変換装置３００へ送信する。

図９に基づき、Ｃｏｎｖアルゴリズムの処理について説明する。
（Ｓ４０１：変換鍵取得ステップ）
変換鍵取得部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された変換鍵ｃｋ：＝（Ｗ_０，Ｗ）を取得する。また、変換鍵取得部３１０は、鍵生成装置１００が生成した公開鍵ｐｋを取得する。

（Ｓ４０２：暗号文取得ステップ）
暗号文取得部３２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号文ｃｔ_ｘ：＝（ｆ_０，ｆ）を受信する。

（Ｓ４０３：乱数生成ステップ）
暗号文変換部３３０は、処理装置により、乱数を数１６５に示すように生成する。

（Ｓ４０４：暗号文変換ステップ）
暗号文変換部３３０は、処理装置により、暗号文ｃｔ_ｘを数１６６に示すように変換して、要素ｃ_０及び要素ｃ_ｔを生成する。

（Ｓ４０５：データ送信ステップ）
データ送信部３４０は、Ｓ４０４で生成された要素ｃ_０及び要素ｃ_ｔを含む暗号文ＣＴ_ｘを、例えば通信装置によりネットワークを介して復号装置４００へ送信する。もちろん、暗号文ＣＴ_ｘは、他の方法により復号装置４００へ送信されてもよい。

つまり、Ｓ４０１からＳ４０４において、変換装置３００は、数１６７に示すＣｏｎｖアルゴリズムを実行して、暗号文ＣＴ_ｘを生成する。そして、Ｓ４０５で、変換装置３００は生成した暗号文ＣＴ_ｘを復号装置４００へ送信する。

図１０に基づき、Ｑｕｅｒｙアルゴリズムの処理について説明する。
（Ｓ５０１：トークン取得ステップ）
トークン取得部４１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信されたトークンｔｋ_ｖ：＝（ｋ^＊ _０，ｋ^＊ _ｔ）を取得する。また、トークン取得部４１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ５０２：暗号文取得ステップ）
暗号文取得部４２０は、例えば、通信装置によりネットワークを介して、変換装置３００が送信した暗号文ＣＴ_ｘ：＝（ｃ_０，ｃ_ｔ）を受信する。

（Ｓ５０３：復号ステップ）
復号部４３０は、処理装置により、集合Ｉ_ｖ→が集合Ｉ_ｘ→の部分集合であり、かつ、ペアリング演算ｅ（ｃ_０，ｋ^＊ _０）・Π_{ｔ∈Ｉｖ→}ｅ（ｃ_ｔ，ｋ^＊ _ｔ）を計算した結果が１であれば、復号できたことを示す１を出力し、結果が１でなければ、復号できなかったことを示す０を出力する。

つまり、Ｓ５０１からＳ５０３において、復号装置４００は、数１６８に示すＱｕｅｒｙアルゴリズムを実行して、復号できたか否かを判定する。

以上のように、実施の形態３に係る内積述語暗号方式では、属性ベクトルｘ^→及び述語ベクトルｖ^→の次元が同じでなくても、集合Ｉ_ｖ→が集合Ｉ_ｘ→の部分集合であり、かつ、集合Ｉ_ｖ→に含まれるインデックスｔについて、ｖ_ｔｘ_ｔの合計が０となるなら、暗号文ｃｔ_ｘをトークンｔｋ_ｖで復号することができる。

また、実施の形態３に係る内積述語暗号方式では、復号鍵ｓｋ_ｖの要素ｋ^＊ _ｔについて、基底ベクトルｂ^＊ _１，ｂ^＊ _２（基底ベクトルｂ^＊ _{ｉｎｄｅｘ}）の係数として、μ_ｔｔと−μ_ｔとをそれぞれ設定した。また、暗号システム１０は、暗号文ｃｔ_ｘの要素ｃ_ｔについて、基底ベクトルｂ_１，ｂ_２（基底ベクトルｂ_{ｉｎｄｅｘ}）の係数として、σ_ｔとσ_ｔｔとをそれぞれ設定した。
そのため、対応するインデックスｔについての要素ｋ^＊ _ｔと要素ｃ_ｔとのペアリング演算を行うと、基底ベクトルｂ^＊ _１，ｂ^＊ _２と基底ベクトルｂ_１，ｂ_２との部分については、内積が０となり、キャンセルされる。つまり、対応するインデックスｔについての要素ｋ^＊ _ｔと要素ｃ_ｔとのペアリング演算を行うと、基底ベクトルの係数として設定したインデックス部（基底ベクトルｂ^＊ _１，ｂ^＊ _２と基底ベクトルｂ_１，ｂ_２との部分）はキャンセルされ、残りの部分についてのペアリング演算の結果が得られる。

実施の形態３に係る内積述語暗号方式では、インデックス部を設けることにより、各属性カテゴリで使用する基底を共通の基底（基底Ｂ及び基底Ｂ^＊）とすることができる。その結果、公開パラメータには、基底Ｂ及び基底Ｂ^＊だけを含めておけばよく、後に属性カテゴリを追加する場合に、公開パラメータを再発行する必要がない。

なお、インデックス部については、内積した結果が０となればよい。そのため、上記説明では、基底ベクトルｂ^＊ _１，ｂ^＊ _２と基底ベクトルｂ_１，ｂ_２との２次元をインデックス部としが、これに限らず、３次元以上をインデックス部としてもよい。また、インデックス部への値の割り当ても上記説明のものに限らず、他の割り当てであってもよい。

また、上記説明では、非特許文献４のＴｙｐｅ１に対応したＩＰＥ−ＣＣ方式であって、集合Ｉ_ｖ→が集合Ｉ_ｘ→の部分集合である場合に復号可能なＩＰＥ−ＣＣ方式について説明した。
しかし、上述したアルゴリズムと同様の応用を行うことで、非特許文献４のＴｙｐｅ２に対応したＩＰＥ−ＣＣ方式（集合Ｉ_ｘ→が集合Ｉ_ｖ→の部分集合である場合に復号可能なＩＰＥ−ＣＣ方式）や、非特許文献４のＴｙｐｅ０（集合Ｉ_ｖ→が集合Ｉ_ｘ→の部分集合であり、かつ、集合Ｉ_ｘ→が集合Ｉ_ｖ→の部分集合である場合に復号可能なＩＰＥ−ＣＣ方式）に対応したＩＰＥ−ＣＣ方式を構成することも可能である。

また、上記説明では、暗号文ｃｔ_ｘがトークンｔｋ_ｖに設定された条件を満たすか否かを判定する方法について説明した。これにより、暗号文ｃｔ_ｘを暗号化したままで検索可能な秘匿検索システムを構築することができる。
しかし、非特許文献２等に記載されたように、暗号文ｃｔ_ｘにメッセージｍを埋め込めば、暗号文ｃｔ_ｘに埋め込まれたメッセージｍをトークンｔｋ_ｖにより抽出する、狭義の暗号システムを構築することもできる。

実施の形態４．
実施の形態４では、上記実施の形態で説明したＩＰＥ−ＣＣ方式に、非特許文献２の構成を適用して、権限委譲システムを有するＩＰＥ−ＣＣ方式を構成することについて簡単に説明する。

ここでは、実施の形態１で説明したＩＰＥ−ＣＣ方式に権限委譲システムを持たせた例を示す。数１６９から数１７３は、実施の形態１で説明したＩＰＥ−ＣＣ方式に権限委譲システムを持たせた場合におけるＳｅｔｕｐアルゴリズム、ＴｏｋｅｎＧｅｎアルゴリズム、Ｅｎｃアルゴリズム、Ｑｕｅｒｙアルゴリズム、Ｄｅｌｅｇａｔｅアルゴリズムを示す。なお、Ｃｏｎｖアルゴリズムは、実施の形態１と同じであるため、説明を省略する。
ここでは、簡単のため、２階層の権限委譲システムを持たせたＩＰＥ−ＣＣ方式を示す。しかし、ここに示す方式を応用すれば、容易にｄ階層（ｄは３以上の整数）の権限委譲システムを持たせたＩＰＥ−ＣＣ方式とすることができる。

実施の形態５．
実施の形態５では、上記実施の形態で説明した暗号システム１０を医療情報ＤＢ（データベース）に適用した秘匿検索システム５００について説明する。

図１２は、実施の形態５に係る秘匿検索システム５００の構成図である。
秘匿検索システム５００は、ＰＫＧ５１０、複数の病院５２０、補助者５３０、複数の製薬会社５４０、医療情報ＤＢ５５０を備える。

ＰＫＧは、鍵生成装置１００により、Ｓｅｔｕｐアルゴリズムを実行して、公開鍵ｐｋ：＝Ｄ＾と秘密鍵ｓｋ：＝Ｂ＾^＊と変換鍵ｃｋ：＝Ｗとを生成する。

各病院５２０は、暗号化装置２００により、Ｅｎｃアルゴリズムを実行して、患者のＤＮＡ情報等を暗号化した暗号文ｃｔ_ｘを生成する。そして、各病院５２０は、生成した暗号文ｃｔ_ｘを医療情報ＤＢ５５０に登録する。

補助者５３０は、変換装置３００により、Ｃｏｎｖアルゴリズムを実行して、医療情報ＤＢ５５０に登録された暗号文ｃｔ_ｘを変換して、暗号文ＣＴ_ｘを生成する。補助者５３０は、生成した暗号文ＣＴ_ｘを医療情報ＤＢ５５０に登録する。

各製薬会社５４０は、検索の実行者であり、自身の属性情報を設定した述語ベクトルｖ^→をＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等の端末からＰＫＧ５１０へ送信する。すると、ＰＫＧ５１０は、鍵生成装置１００により、ＴｏｋｅｎＧｅｎアルゴリズムを実行して、送信された述語ベクトルｖ^→に基づくトークンｔｋ_ｖを生成する。そして、ＰＫＧ５１０は、生成したトークンｔｋ_ｖを述語ベクトルｖ^→の送信元の製薬会社５４０へ送信する。
製薬会社５４０は、トークンｔｋ_ｖを受信すると、受信したトークンｔｋ_ｖに検索条件（ω^→）を設定したトークンｔｋ_ｖ∧ωを端末から医療情報ＤＢ５５０へ送信して、トークンｔｋ_ｖに基づく検索を依頼する。なお、トークンｔｋ_ｖに検索条件（ω^→）を設定する方法としては、例えば、実施の形態４で説明した権限委譲を応用する方法がある。

医療情報ＤＢ５５０は、検索の依頼を受けると、登録された各暗号文ＣＴ_ｘと、送信されたトークンｔｋ_ｖとについて、復号装置４００によりＱｕｅｒｙアルゴリズムを実行して、依頼元の製薬会社５４０へ結果を送信する。送信する結果には、Ｑｕｅｒｙアルゴリズムによって復号できた暗号文ＣＴ_ｘの識別子等を含めてもよい。

図１３は、図１２とは異なる構成の秘匿検索システム５００の構成図である。
図１３に示す秘匿検索システム５００では、補助者５３０が製薬会社５４０と医療情報ＤＢ５５０との間に位置している点が、図１２に示す秘匿検索システム５００と異なる。

図１２に示す秘匿検索システム５００では、補助者５３０は、暗号文ＣＴ_ｘを生成して医療情報ＤＢ５５０に登録しておき、医療情報ＤＢ５５０は、検索の依頼を受けると、Ｑｕｅｒｙアルゴリズムを実行して、製薬会社５４０へ結果を送信した。
図１３に示す秘匿検索システム５００では、補助者５３０は、検索の依頼を受けると、Ｃｏｎｖアルゴリズムを実行して、医療情報ＤＢ５５０に登録された各暗号文ｃｔ_ｘを変換して、暗号文ＣＴ_ｘを生成する。そして、補助者５３０は、生成した各暗号文ＣＴ_ｘと送信されたトークンｔｋ_ｖとについて、復号装置４００によりＱｕｅｒｙアルゴリズムを実行して、依頼元の製薬会社５４０へ結果を送信する。

なお、上記説明における病院５２０、製薬会社５４０は一例であり、その他の機関であってもよい。

実施の形態６．
以上の実施の形態では、双対ベクトル空間において暗号処理を実現する方法について説明した。実施の形態６では、双対加群において暗号処理を実現する方法について説明する。

つまり、以上の実施の形態では、素数位数ｑの巡回群において暗号処理を実現した。しかし、合成数Ｍを用いて数１７４のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した暗号処理を適用することができる。

以上の実施の形態で説明したアルゴリズムにおけるＦ_ｑをＲに変更すれば、双対加群における暗号処理を実現することができる。

図１４は、上記実施の形態に示した鍵生成装置１００、暗号化装置２００、変換装置３００、復号装置４００のハードウェア構成の例を示す図である。
鍵生成装置１００、暗号化装置２００、変換装置３００、復号装置４００はコンピュータであり、鍵生成装置１００、暗号化装置２００、変換装置３００、復号装置４００の各要素をプログラムで実現することができる。
鍵生成装置１００、暗号化装置２００、変換装置３００、復号装置４００のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。

演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等である。外部記憶装置９０２は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置等である。主記憶装置９０３は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等である。通信装置９０４は、ネットワークカード等である。入出力装置９０５は、例えばマウス、キーボード、ディスプレイ装置等である。

プログラムは、通常は外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１に読み込まれ、実行される。
プログラムは、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、トークン生成部１４０、トークン送信部１５０、公開鍵取得部２１０、情報入力部２２０、暗号文生成部２３０、データ送信部２４０、変換鍵取得部３１０、暗号文取得部３２０、暗号文変換部３３０、データ送信部３４０、トークン取得部４１０、暗号文取得部４２０、復号部４３０として説明している機能を実現するプログラムである。
更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、上記プログラムを実行する。
また、実施の形態１〜６の説明において、「〜の計算」、「〜の受信」、「〜の送信」等として説明している処理の結果を示す情報やデータや信号値や変数値が主記憶装置９０３にファイルとして記憶されている。

なお、図１４の構成は、あくまでも鍵生成装置１００、暗号化装置２００、変換装置３００、復号装置４００のハードウェア構成の一例を示すものであり、鍵生成装置１００、暗号化装置２００、変換装置３００、復号装置４００のハードウェア構成は図１４に記載の構成に限らず、他の構成であってもよい。

１０ 暗号システム、１００ 鍵生成装置、１１０ マスター鍵生成部、１２０ マスター鍵記憶部、１３０ 情報入力部、１４０ トークン生成部、１５０ トークン送信部、２００ 暗号化装置、２１０ 公開鍵取得部、２２０ 情報入力部、２３０ 暗号文生成部、２４０ データ送信部、３００ 変換装置、３１０ 変換鍵取得部、３２０ 暗号文取得部、３３０ 暗号文変換部、３４０ データ送信部、４００ 復号装置、４１０ トークン取得部、４２０ 暗号文取得部、４３０ 復号部、９０１ 演算装置、９０２ 外部記憶装置、９０３ 主記憶装置、９０４ 通信装置、９０５ 入出力装置。

Claims (12)

1. 基底Ｄの基底ベクトルの係数として属性情報ｘを設定した暗号文ｃｔ_ｘを生成する暗号化装置と、
   前記暗号化装置が生成した暗号文ｃｔ_ｘの基底Ｄを変換情報Ｗにより基底Ｂに変換して暗号文ＣＴ_ｘを生成する変換装置と、
   前記基底Ｂに対応する基底Ｂ^＊の基底ベクトルの係数として述語情報ｖを設定したトークンｔｋ_ｖによって、前記変換装置が生成した暗号文ＣＴ_ｘを復号する復号装置と
   を備えることを特徴とする暗号システム。
2. 前記復号装置は、前記暗号文ＣＴ_ｘと前記トークンｔｋ_ｖとについて、ペアリング演算を行うことによって、前記属性情報ｘと前記述語情報ｖとの内積を計算して、前記暗号文ＣＴ_ｘを復号する
   ことを特徴とする請求項１に記載の暗号システム。
3. 前記暗号化装置は、数１に示す要素ｆを含む暗号文ｃｔ_ｘを生成し、
   前記変換装置は、数２に示す要素ｃを含む暗号文ＣＴ_ｘを生成し、
   前記復号装置は、数３に示すペアリング演算を行い、前記暗号文ＣＴ_ｘを復号する
   ことを特徴とする請求項２に記載の暗号システム。
   

   

   

   
4. 前記暗号システムは、前記基底Ｄの少なくとも一部の基底ベクトルが公開鍵として公開された公開鍵セッティングの暗号方式を実現する
   ことを特徴とする請求項１から３までのいずれかに記載の暗号システム。
5. 前記暗号システムは、前記基底Ｄの少なくとも一部の基底ベクトルが秘密鍵として前記暗号化装置へ配布された秘密鍵セッティングの暗号方式を実現する
   ことを特徴とする請求項１から３までのいずれかに記載の暗号システム。
6. 前記基底Ｂと前記基底Ｂ^＊とは、双対ペアリングベクトル空間における正規直交基底である
   ことを特徴とする請求項１から５までのいずれかに記載の暗号システム。
7. 前記基底Ｂと前記基底Ｂ^＊とは、各行各列に少なくとも１つは定数値０以外の値を有する疎行列を用いて所定の基底Ａを変形して生成された基底である
   ことを特徴とする請求項１から６までのいずれかに記載の暗号システム。
8. 前記基底Ｂと前記基底Ｂ^＊とは、１行１列からｎ行ｎ列までの値が数４に示す疎行列であるＮ行Ｎ列（Ｎはｎ以上の整数）の線形変換Ｘを用いて、数５に示すように前記基底Ａから生成された基底である
   ことを特徴とする請求項７に記載の暗号システム。
   

   

   
9. 前記暗号化装置は、集合Ｉ_ｘに含まれる各インデックスｔについて、前記基底Ｄの基底ベクトルｄ_{ｉｎｄｅｘ}の係数として、インデックスｔに予め割り当てられた情報Ｊ_ｔが設定され、前記基底Ｄの他の基底ベクトルの係数として前記属性情報ｘのうちの属性情報ｘ_ｔが設定された要素ｃ_ｔを含む前記暗号文ｃｔ_ｘを生成し、
   前記復号装置は、集合Ｉ_ｖに含まれる各インデックスｔについて、基底ベクトルｄ_{ｉｎｄｅｘ}に対応する前記基底Ｂ^＊の基底ベクトルｂ^＊ _{ｉｎｄｅｘ}の係数として、前記情報Ｊ_ｔとの内積が０になる情報Ｊ_ｔ ^＊が設定され、前記基底Ｂ^＊の他の基底ベクトルの係数として前記述語情報ｖのうちの述語情報ｖ_ｔが設定された要素ｋ_ｔを含む前記トークンｔｋ_ｖによって、前記暗号文ＣＴ_ｘを復号する
   ことを特徴とする請求項１から８までのいずれかに記載の暗号システム。
10. 前記暗号化装置は、前記属性情報ｘとして遺伝子情報を設定した暗号文ｃｔ_ｘを生成し、
    前記復号装置は、前記暗号文ＣＴ_ｘを前記トークンｔｋ_ｖによって復号することによって、前記トークンｔｋ_ｖに設定された条件を満たす遺伝子情報を有する暗号文ＣＴ_ｘを検索する
    ことを特徴とする請求項１から９までのいずれかに記載の暗号システム。
11. 暗号化装置が、基底Ｄの基底ベクトルの係数として属性情報ｘを設定した暗号文ｃｔ_ｘを生成する暗号化工程と、
    変換装置が、前記暗号化工程で生成した暗号文ｃｔ_ｘの基底Ｄを変換情報Ｗにより基底Ｂに変換して暗号文ＣＴ_ｘを生成する変換工程と、
    復号装置が、前記基底Ｂに対応する基底Ｂ^＊の基底ベクトルの係数として述語情報ｖを設定したトークンｔｋ_ｖによって、前記変換工程で生成した暗号文ＣＴ_ｘを復号する復号工程と
    を備えることを特徴とする暗号方法。
12. 基底Ｄの基底ベクトルの係数として属性情報ｘを設定した暗号文ｃｔ_ｘを生成する暗号化処理と、
    前記暗号化処理で生成した暗号文ｃｔ_ｘの基底Ｄを変換情報Ｗにより基底Ｂに変換して暗号文ＣＴ_ｘを生成する変換処理と、
    前記基底Ｂに対応する基底Ｂ^＊の基底ベクトルの係数として述語情報ｖを設定したトークンｔｋ_ｖによって、前記変換処理で生成した暗号文ＣＴ_ｘを復号する復号処理と
    をコンピュータに実行させることを特徴とする暗号プログラム。

Images