WO2015107561A1 - 検索システム、検索方法および検索プログラム - Google Patents

Abstract

　秘匿検索の検索結果の正当性を検証でき、かつ検索結果の改ざんを防止する。検索対象データと前記検索対象データの正当性の検証情報であるタグが設定される配列要素を有する索引データとを記憶する検索装置と、キーワードと、前記検索対象データのデータ名及び前記索引データに対応付けるラベルとに基づいて、前記索引データのいずれかの配列要素を指定する検索要求データを生成する検索要求データ生成部と、前記検索要求データ生成部により生成された前記検索要求データを前記検索装置に送信し、前記検索要求データにより指定される前記配列要素に設定されたデータ名の検索対象データと前記タグとを含んだ検索結果データを受信する検索結果データ受信部と、前記検索結果データ受信部により受信した前記検索結果データに含まれる前記検索対象データと前記タグとの組の正当性を検証するタグ検証部とを備えた検索端末装置とを備える。

Description

検索システム、検索方法および検索プログラム

　本発明は、例えば、秘匿検索を行なうための検索システム、検索方法および検索プログラムに関するものである。

　秘匿検索とは、暗号化データを暗号化したまま検索できる技術である。
　近年、クラウドサービス等の普及によりインターネット上でデータ管理が可能となった。しかし、インターネット上でのデータ管理には、預けたデータがコンピュータウィルスやデータセンタの管理者の不正によって漏洩する危険性がある、といったセキュリティ上の課題がある。秘匿検索はそのような課題を解決する技術の１つとして注目されている。

　秘匿検索は、大きく分けて、公開鍵暗号を利用した方式（例えば、非特許文献８と非特許文献９）と、共通鍵暗号（秘密鍵暗号または対称鍵暗号ともいう）を利用した方式（例えば、特許文献１、特許文献２、非特許文献１、非特許文献２、非特許文献３、非特許文献４、非特許文献５、非特許文献６、非特許文献７）との２種類が存在する。

　公開鍵暗号ベースの秘匿検索は、公開鍵を用いることでどのエンティティ（ユーザ端末）もデータセンタへデータが登録でき、また、その公開鍵に対応する秘密鍵を所持しているエンティティは、キーワード検索が可能な技術である。

　一方で、共通鍵暗号ベースの秘匿検索は、データ登録処理とキーワード検索処理は、秘密鍵を所持しているエンティティのみ実行可能な技術である。既存の共通鍵暗号ベースの秘匿検索方式は、データ登録処理とキーワード検索処理は、秘密鍵を所持しているエンティティに限られているものの、既存の公開鍵暗号ベースの方式と比べて検索処理が高速であることが知られている。特に、近年の共通鍵暗号ベースの秘匿検索では、索引と呼ばれる検索結果が暗号化されて保管されている情報を用いて高速化を達成している方式が多くある。

　索引を用いた既存の共通鍵暗号ベースの秘匿検索技術は、ほとんどが非特許文献１で公開されている方式を参考にしており、以下のような流れで処理が実行される。ただし、データの登録および検索をしたいエンティティ（以下、ユーザ、登録者または検索者とも呼ぶ）は、事前準備として秘密鍵を生成し、この秘密鍵を他人に漏らさないように厳重に管理することが求められる。

　はじめに、索引を利用する共通鍵暗号ベースの秘匿検索技術における一般的なデータ登録処理について述べる。
　まず、クラウドサービス等を利用してデータをデータセンタに預けたいユーザ（登録者）は、データ（初期）登録時に、登録したいデータのキーワードを決定して、各キーワードに対してヒットするデータのデータ名のリストを作成する（図１４参照）。例えば、図１４は、ｋｅｙｗｏｒｄ－１が検索キーワードである場合、検索にヒットするデータのデータ名が、データ１、データ３、およびデータ５であることを示している。

　次に、ユーザは、秘密鍵を用いて索引を作成する。索引には、検索結果が暗号化されて保管されており、秘密鍵やそれに準じる情報を持っていなければ、有益な検索結果を引き出すことは困難である。なお、索引の生成方法や索引の構造は方式によって異なる。
　例えば、配列構造の索引を用意し、各キーワードの検索結果（または暗号化した検索結果）をランダムな（配列要素の）アドレスの記憶領域に格納する。このような処理により出来上がった配列が索引である。このランダムなアドレスは、擬似ランダム関数やＳＨＡ－１のようなハッシュ関数にキーワードと秘密鍵とを入力することで確定的に生成される乱数によって決定される。なお、確定的とは、入力する秘密鍵とキーワードとが同じであればいつも同じ値が生成される、といった意味である。この索引にはキーワードは格納されず検索結果のみが格納され、秘密鍵を持っているユーザのみがキーワードと検索結果とを結びつけることができる。

　最後に、ユーザは、登録したいデータをＡＥＳ（Ａｄｖａｎｃｅｄ　Ｅｎｃｒｙｐｔｉｏｎ　Ｓｔａｎｄａｒｄ）やＣａｍｅｌｌｉａなどの共通鍵暗号方式やＲＳＡ暗号方式などの公開鍵暗号方式を用いて暗号化し、索引と暗号化データとをデータセンタに登録する。

　次に、索引を利用する共通鍵暗号ベースの秘匿検索技術における一般的なキーワード検索処理について述べる。
　データセンタに預けた暗号化データを検索したいユーザ（検索者）は、検索したいキーワードと秘密鍵とを使って乱数（索引に対応するアドレス）を生成し、生成した乱数を含んだ検索クエリをデータセンタに送信する。なお、方式によっては、キーワードと秘密鍵とを使って乱数を生成することに加えて部分検索鍵も生成し、乱数と部分検索鍵とを含んだ検索クエリをデータセンタに送信する。

　次に、データセンタは、受け取った検索クエリ内の乱数に基づき索引内のあるアドレスの記憶領域から検索結果を引き出す。この検索結果が暗号化されていれば、検索クエリ内の部分検索鍵を用いて検索結果を復号する。その後、データセンタは、検索結果が示すデータ名に対応した（複数の）暗号化データを読み出し、検索クエリの返答として暗号化データをユーザへ送信する。

　最後に、ユーザは、秘密鍵を使って受け取った暗号化データを復号する。これにより、データを暗号化してデータセンタに保管したとしても、検索したキーワードにヒットしたデータを得ることができる。

　以上が、索引を利用する共通鍵暗号ベースの秘匿検索技術における一般的なデータ登録処理とキーワード検索処理である。

特開２０１３－１５２５２０号公報 ＷＯ２０１３／０８４９５７号公報

Ｒ．Ｃｕｒｔｍｏｌａ，Ｊ．Ｇａｒａｙ，Ｓ．Ｋａｍａｒａ，ａｎｄ　Ｒ．Ｏｓｔｒｏｖｓｋｙ．"Ｓｅａｒｃｈａｂｌｅ　Ｓｙｍｍｅｔｒｉｃ　Ｅｎｃｒｙｐｔｉｏｎ：Ｉｍｐｒｏｖｅｄ　Ｄｅｆｉｎｉｔｉｏｎｓ　ａｎｄ　Ｅｆｆｉｃｉｅｎｔ　Ｃｏｎｓｔｒｕｃｔｉｏｎｓ"．ＡＣＭ　ＣＣＳ　２００６，ＡＣＭ，２００６． Ｓ．Ｋａｍａｒａ，Ｃ．Ｐａｐａｍａｎｔｈｏｕ，ａｎｄ　Ｔ．Ｒｏｅｄｅｒ．"Ｄｙｎａｍｉｃ　Ｓｅａｒｃａｂｌｅ　Ｓｙｍｍｅｔｒｉｃ　Ｅｎｃｒｙｐｔｉｏｎ"．ＡＣＭ　ＣＣＳ　２０１１，ＡＣＭ，２０１１． Ｋ．Ｋｕｒｏｓａｗａ　ａｎｄ　Ｙ．Ｏｈｔａｋｉ．"ＵＣ－Ｓｅｃｕｒｅ　Ｓｅａｒｃｈａｂｌｅ　Ｓｙｍｍｅｔｒｉｃ　Ｅｎｃｒｙｐｔｉｏｎ"．ＦＣ　２０１２，Ｌｅｃｕｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　７３９７，Ｓｐｒｉｎｇｅｒ，２０１２． 岩波、尾形． "ドキュメント追加後も安全で効率的な検索可能暗号"．暗号と情報セキュリティシンポジウム（ＳＣＩＳ２０１３），２０１３． Ｓ．Ｋａｍａｒａ　ａｎｄ　Ｃ．　Ｐａｐａｍａｎｔｈｏｕ．"Ｐａｒａｌｌｅｌ　ａｎｄ　Ｄｙｎａｍｉｃ　Ｓｅａｒｃｈａｂｌｅ　Ｓｙｍｍｅｔｒｉｃ　Ｅｎｃｒｙｐｔｉｏｎ"．ＦＣ　２０１３，Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　７８５９，Ｓｐｒｉｎｇｅｒ，２０１３． 尾形、金岡、松尾． "Ｓｅａｒｃｈａｂｌｅ　Ｓｙｍｍｅｔｒｉｃ　Ｅｎｃｒｙｐｔｉｏｎはどこまで安全にすべきか？"．暗号と情報セキュリティシンポジウム（ＳＣＩＳ２０１１），２０１１． Ｋ．Ｋｕｒｏｓａｗａ　ａｎｄ　Ｙ．Ｏｈｔａｋｉ．"Ｈｏｗ　ｔｏ　Ｕｐｄａｔｅ　Ｄｏｃｕｍｅｎｔｓ　Ｖｅｒｉｆｉａｂｌｙ　ｉｎ　Ｓｅａｒｃｈａｂｌｅ　Ｓｙｍｍｅｔｒｉｃ　Ｅｎｃｒｙｐｔｉｏｎ"．ＣＡＮＳ　２０１３，Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　８２５７，Ｓｐｒｉｎｇｅｒ，２０１３． Ｄ．Ｂｏｎｅｈ，Ｇ．Ｄ．Ｃｒｅｓｃｅｎｚｏ，Ｒ．Ｏｓｔｒｏｖｓｋｙ，ａｎｄ　Ｇ．Ｐｅｒｓｉａｎｏ．"Ｐｕｂｌｉｃ　Ｋｅｙ　Ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈ　Ｋｅｙｗｏｒｄ　Ｓｅａｒｃｈ"．ＥＵＲＯＣＲＹＰＴ　２００４，Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　３０２７，Ｓｐｒｉｎｇｅｒ，２００４． Ｍ．Ｂｅｌｌａｒｅ，Ａ．Ｂｏｌｄｙｒｅｖａ，ａｎｄ　Ａ．Ｏ’Ｎｅｉｌｌ．"Ｄｅｔｅｒｍｉｎｉｓｔｉｃ　ａｎｄ　Ｅｆｆｉｃｉｅｎｔｌｙ　Ｓｅａｒｃｈａｂｌｅ　Ｅｎｃｒｙｐｔｉｏｎ"．ＣＲＹＰＴＯ　２００７，Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　４６２２，Ｓｐｒｉｎｇｅｒ，２００７．

　共通鍵暗号ベースの秘匿検索を実際に運用する上では、次のようなことが少なくとも求められる：（１）データ登録処理とキーワード検索処理は、1度のみならず何度も実行されることがあるため、効率的にそれらの処理を実行できること。（２）キーワード検索処理時に、データセンタから返ってきた検索結果が本当に正しい検索結果であるか検証できること。

　（１）の要件については、例えば、データ登録処理を実行してデータや索引を追加しても、追加の度に極端に処理効率が落ちることやデータや鍵の管理負荷が極端に高くならないことが実運用上では求められる。

　（２）の要件については、例えば、データセンタの管理者が悪意を持ってデータセンタ内の検索処理基盤に不正なコード等を追加することや、データセンタがマルウェアなどに感染してしまうことで、ユーザは誤った検索結果（検索にヒットしていない暗号化データ）を得ることや、検索結果があるにも関わらず検索にヒットしたデータはなかったという結果が返ってくるといった状況が起こり得る。すなわち、可用性や完全性に対するリスクが現実的には存在するため、正しい検索結果か検証できることが現実的には求められる。

　非特許文献１をはじめとした索引を利用する既存の多くの共通鍵暗号ベースの秘匿検索方式では、データや索引を追加登録するときは、秘密鍵を新たに生成する必要があった。これは、同じ秘密鍵を使い続けて索引を生成すると、以前に用いた検索クエリが新しい索引に適用できてしまうことや、索引どうしを比較することで、思わぬ頻度分析攻撃やその他の攻撃を受けてしまうといった危険性があったからである。つまり、従来方式の多くは、安全性を落とさないようにデータや索引を追加登録する度に秘密鍵を生成するため、鍵管理負荷が高くなり、（１）の要件が満たせていなかった。
　上記に加えて、非特許文献１をはじめとした従来方式の多くは、正しい検索結果か検証できる機能をもっていなかった。よって、（２）の要件が満たせていなかった。

　一方で、（１）と（２）の要件を検討した秘匿検索方式がいくつかあるが、（１）と（２）の要件を同時に満たせている方式は、現在までに知られていない。以下、その詳細を述べる。

　非特許文献６では、データや索引の追加登録時に秘密鍵を生成しない方法が開示されているが、上記のような頻度分析攻撃などを受ける可能性があるため、データの追加登録の度に安全性が落ちるといった問題がある。また、検索結果を検証できるような機能を持っていないため（２）の要件は満たせていない。

　特許文献１、特許文献２、非特許文献４では、データや索引の追加登録時に秘密鍵を生成しなくても安全性を落とさないような方法が開示されているため、（１）の要件は満たせていると考えられる。しかしながら、検索結果を検証できるような機能を持っていないため、（２）の要件は満たせていない。

　非特許文献２、非特許文献５、非特許文献７のデータ追加登録処理は、索引を新たに作成せず、部分的に索引を更新するようなデータを作成することで、秘密鍵を生成しなくてもデータを追加できるような方法が開示されている。しかしながら、非特許文献２、非特許文献５は、索引を更新できる（データを追加登録できる）回数が最初の索引の生成時に決まってしまうため、その回数を超えたときは新たに索引を生成しなくてはならず、運用を続けていくと（１）の要件を満たすことが困難となる。また、非特許文献７は、データを追加する度にある秘密情報を更新しなくてはならず、秘密情報を秘密に保持しつつも必要があればすぐに更新できるようにしなくてはならないため、管理負荷が高いといった課題があり、（１）の要件を十分に満たせていなかった。なお、非特許文献２、非特許文献５については、検索結果を検証できるような機能を持っていないため（２）の要件も満たせていない。

　非特許文献３、非特許文献７では、メッセージ認証子や暗号学的Accumulatorと呼ばれる暗号技術を用いて検索結果に対する署名を生成して（２）の要件を達成していたが、現状は索引に応じた署名が生成できないといった課題がある。さらに言えば、同じ秘密鍵を用いて索引を生成し、かつ検索結果に対する署名を生成すると、生成した検索結果の署名が他の索引にも適用でき、検索結果を改ざんできてしまう危険性がある。よって、索引を追加すると、（２）の要件を満たすことが困難となってしまう。

　本発明は、上記のような課題を解決するためになされたもので、秘匿検索の検索結果の正当性を検証でき、かつ検索結果の改ざんを防止することを目的とする。

　上記で述べた課題を解決するため、本発明の検索システムは、検索対象データと前記検索対象データの正当性の検証情報であるタグが設定される配列要素を有する索引データとを記憶する検索装置と、キーワードと、前記検索対象データのデータ名及び前記索引データに対応付けるラベルとに基づいて、前記索引データのいずれかの配列要素を指定する検索要求データを生成する検索要求データ生成部と、前記検索要求データ生成部により生成された前記検索要求データを前記検索装置に送信し、前記検索要求データにより指定される前記配列要素に設定されたデータ名の検索対象データと前記タグとを含んだ検索結果データを受信する検索結果データ受信部と、前記検索結果データ受信部により受信した前記検索結果データに含まれる前記検索対象データと前記タグとの組の正当性を検証するタグ検証部とを備えた検索端末装置とを備えることとしたものである。

　本発明によれば、索引毎に、検索対象データと正当性検証用のタグとを対応付けて記憶し、検索処理において、検索結果の各データに対応するタグが正当か否かを、メッセージ認証を用いて検証することにより、データセンタから返ってきた検索結果が本当に正しい検索結果か検証でき、高い安全性を達成できる。さらに、検索結果の検証では、索引に応じた署名を用いるため、生成した検索結果の署名が他の索引に適用できず、検索結果の改ざんを防止することができる。

実施の形態１における秘匿検索システム１００の構成図である。 実施の形態１におけるアクセス端末２０１の機能構成図である。 実施の形態１におけるデータセンタ３０１の機能構成図である。 実施の形態１における秘匿検索システム１００の初期設定処理（概要）を示すフローチャートである。 実施の形態１における秘匿検索システム１００のデータ登録処理（概要）を示すフローチャートである。 実施の形態１における秘匿検索システム１００の検索処理（概要）を示すフローチャートである。 実施の形態１における秘匿検索システム１００のデータ削除処理（概要）を示すフローチャートである。 実施の形態１における秘匿検索システム１００のラベル付き索引削除処理（概要）を示すフローチャートである。 実施の形態１における秘匿検索システム１００初期設定処理（具体例）を示すフローチャートである。 実施の形態１における秘匿検索システム１００のデータ登録処理（具体例）を示すフローチャートである。 実施の形態１における秘匿検索システム１００の検索処理（具体例）を示すフローチャートである。 実施の形態１における秘匿検索システム１００のデータ削除処理（具体例）を示すフローチャートである。 実施の形態１における秘匿検索システム１００の索引削除処理（具体例）を示すフローチャートである。 検索にヒットするデータのデータ名のリストの一例である。 実施の形態１におけるラベル管理部２０４の管理テーブルを示す図である。 実施の形態１におけるアクセス端末２０１およびデータセンタ３０１のハードウェア資源の一例を示す図である。

実施の形態１．
　索引に対応付けるラベルとメッセージ認証を用いることによって秘匿検索を容易にし、かつ検索結果の検証が可能な秘匿検索システムについて説明する。

　図１は、実施の形態１における秘匿検索システム１００の構成図である。
　実施の形態１における秘匿検索システム１００の構成について、図１に基づいて説明する。

　秘匿検索システム１００は、データセンタ３０１と複数のアクセス端末２０１ａからｍとを備える。
　データセンタ３０１とアクセス端末２０１ａ－ｍは、社内ＬＡＮ１０２やネットワーク１０１を介して通信を行なう。

　アクセス端末２０１は、企業内のユーザが利用するＰＣ（パーソナルコンピュータ）である。アクセス端末２０１は、登録装置、更新装置、削除装置、検索要求装置、検証装置、暗号化装置または復号装置として機能する。
　アクセス端末２０１は、後述する暗号化データやラベル付き索引を生成してデータセンタ３０１に保管を依頼する。
　アクセス端末２０１は、後述するラベル付き検索クエリをデータセンタ３０１に送信してデータの検索を依頼し、データセンタ３０１から送られてくるタグを検証し、暗号化データを復号する。
　アクセス端末２０１は、データセンタ３０１に対してラベル付き索引の更新、暗号化データの追加登録、暗号化データの削除、またはラベル付き索引の削除を更新情報によって依頼する。

　データセンタ３０１は、アクセス端末２０１によって作成された暗号化データやラベル付き索引を保管する大容量の記憶装置を持つとともに、アクセス端末２０１の更新情報をもとにラベル付き索引などを更新するサーバである。データセンタ３０１は、暗号化データ保管装置、索引保管装置、索引更新装置または検索装置として機能する。
　データセンタ３０１は、ラベル付き検索クエリに基づいてラベル付き索引から検索結果情報とタグを得るとともに、検索結果情報が示す暗号化データとタグをアクセス端末２０１に送信する。
　また、データセンタ３０１は、ラベル付き索引や暗号化データの削除依頼があれば保管しているラベル付き索引や暗号化データを削除する。 

　データ、ラベル付き索引、ラベル付き検索クエリは、全て暗号化されているため、データセンタ３０１ではそれらの中身を閲覧することができない。
　また、アクセス端末２０１によって作成される更新情報は暗号化されるため、データセンタ３０１は、ラベル付き索引に対してどのような情報の更新がなされたのか知ることはできない。
　アクセス端末２０１ａ－ｍは、検索対象のデータをデータセンタ３０１に登録する登録端末、または、データセンタ３０１に対してデータ検索を要求する検索端末として動作するコンピュータである。
　アクセス端末２０１ａ－ｍは、社内ＬＡＮ１０２（ネットワークの一例）に接続し、情報を共有する。

　ネットワーク１０１は、社内ＬＡＮ１０２とデータセンタ３０１とを接続する通信路である。インターネットはネットワーク１０１の一例である。

　社内ＬＡＮ１０２は、企業内に施設された通信路であり、企業内で利用される様々なサーバやパソコンが接続される。なお、複数の建物にオフィスを持つ場合は、ルータや専用線などを介して複雑な通信路構成となる。

　図２は、実施の形態１におけるアクセス端末２０１の機能構成図である。
　実施の形態１におけるアクセス端末２０１の機能構成について、図２に基づいて説明する。

　アクセス端末２０１は、秘密鍵生成部２０２、秘密鍵管理部２０３、ラベル管理部２０４、キーワード設定部２０５（検索対象データ記憶部の一例）、データ暗号化部２０６、ラベル付き部分索引生成部２０７（索引データ生成部の一例）、タグ生成部２０８、データ削除要求生成部２０９、索引削除要求生成部２１０、ラベル付き検索クエリ生成部２１１（検索要求データ生成部の一例）、端末側データ送受信部２１２（検索結果データ受信部、検索対象データ登録部の一例）、タグ検証部２１３、データ復号部２１４を備える。
　アクセス端末２０１は、アクセス端末２０１で使用するデータを記憶する記憶部（記憶装置）（図示省略）を備える。

　秘密鍵生成部２０２は、データを暗号化するための共通鍵暗号方式の暗号化鍵（復号鍵）、索引を生成するための索引鍵（検索鍵）、メッセージ認証子を生成するための署名鍵（検証鍵）を生成する。なお、暗号化鍵、索引鍵、署名鍵は本秘匿検索システムの秘密鍵であって、データの登録・追加・削除やキーワード検索を行なうユーザ以外には開示しないように厳重に管理する。
　なお、実施の形態では共通鍵暗号方式を用いる場合を例にして説明するが、ＲＳＡ暗号方式などの公開鍵暗号方式を用いてもよい。公開鍵暗号方式において、暗号化に用いる公開鍵は公にしてもよいが、復号に用いる秘密鍵は厳重に管理する。

　秘密鍵管理部２０３は、秘密鍵生成部２０２で生成された暗号化鍵、索引鍵、署名鍵をアクセス端末の記憶装置に記憶する。

　ラベル管理部２０４は、登録データ、削除データ名、索引削除要求、キーワードと同時に入力されるラベルに基づいて、ラベル付き索引に付けるラベル情報を生成するとともに、入力されたラベルとラベル情報とを一緒に管理する。ラベル、ラベル情報、ラベル付き（部分）索引、ラベル付き検索クエリについては後述する。
　ラベル管理部２０４は、ラベル付き部分索引生成部２０７でラベル付き部分索引の生成時に設定されるパラメータをラベル情報と一緒に管理することや、必要に応じてデータ削除要求生成部２０９や削除要求生成部２１０から送られてくるパラメータ更新情報に基づきパラメータを更新する。パラメータについては後述する。
　ラベル管理部２０４は、ラベル付き部分索引生成時、または更新時に、キーワード設定部２０５で生成されるキーワードをラベル情報と一緒に管理する。
　ラベルやラベル情報は厳重に管理する必要はない。例えば、ラベル付き部分索引生成部２０７で生成されるラベル付き部分索引やラベル付き検索クエリ生成部２１１で作成されるラベル付き検索クエリは、ラベルやラベル情報を知っていても秘密鍵を知らなければ誰にも作成することができない。

　ラベル情報は、ビット列や文字列であれば何でもよい。例えば、データ登録やデータ追加時に同時入力するラベル情報は、索引に付けたいラベル名や日付などでもよい。また、データ削除や索引削除時に削除データ名や索引名と同時に入力されるラベル情報は、削除データの検索結果情報が埋め込まれているラベル付き索引のラベルでもよい。検索時にキーワードと同時に入力するラベル情報であれば、検索したいラベル付き索引のラベル名やそのラベルの生成時に用いたラベル情報でもよい。
　ラベル情報は、必ずしも登録データ、削除データ名、索引削除要求、キーワードと同時に入力することを必要とせず、ラベル管理部２０４が自動的にラベル情報を生成してもよい。例えば、登録データのラベル情報が空であれば、ラベル管理部２０４が保管しているラベル数に応じてラベル名を自動的に生成し、ラベル付き部分索引を作成してもよい。例えば、現在までにｎ個のラベルが保管されている場合、次のラベル名を「ｎ＋１」とする。また、削除データ名や索引削除要求のラベル情報が空であれば、ラベルの生成時に登録データまたは追加データのデータ名をラベルと一緒に管理し、削除データのデータ名に対応するラベルを自動的に読み出してもよい。また、キーワードのラベル情報が空であれば、今までに作られた全てのラベル付き索引に対するラベル情報を自動的に読み出して、検索を行なってもよい。

　キーワード設定部２０５は、複数の登録データまたは追加データからキーワードを自動的に抽出するとともに、抽出した各キーワードに対して検索結果情報を作成する。もしくは、キーワードは、登録データまたは追加データから自動的に抽出せず、登録データまたは追加データと同時に各データに対応するキーワードもユーザから入力するようにして、そのデータと対応するキーワードの組み合わせから直接的に検索結果情報を作成してもよい。また、キーワード設定部２０５は、必要があれば、データの登録・追加時にどのようなキーワードが使われたかを表すキーワード情報をラベル管理部２０４に送る。

　データ暗号化部２０６は、秘密鍵管理部２０３に記憶されている暗号化鍵を用いて、キーワード設定部２０５から受け取った登録データまたは追加データを暗号化する。

　ラベル付き部分索引生成部２０７は、秘密鍵管理部２０３に記憶されている索引鍵とラベル管理部２０４で管理されているラベル情報を用いて、キーワード設定部２０５で生成された検索結果情報に基づきラベル付き部分索引を生成する。
　ラベル付き部分索引生成部２０７は、必要があれば、ラベル付き部分索引の生成時に用いたパラメータをラベル管理部２０４に送る。

　タグ生成部２０８は、秘密鍵管理部２０３に記憶されている署名鍵と、データ暗号化部２０６から受け取った暗号化データと、ラベル付き部分索引生成部２０７から受け取ったラベル付き部分索引を用いて、検索結果と暗号化データのペアに関するタグを生成し、このタグが付与されたラベル付き索引を生成する。次に、タグ生成部２０８は、暗号化データとラベル付き索引を端末側データ送受信部２１２に送る。

　データ削除要求生成部２０９は、削除データ名と、必要であればラベル管理部２０４で管理されているラベルを用いて、データ削除情報を生成する。データ削除情報は、データセンタ３０１に登録されている暗号化データを削除するための情報である。データ削除要求生成部２０９は、生成したデータ削除情報を、端末側データ送受信部２１２に送る。また、データ削除要求生成部２０９は、必要であればラベル管理部２０４にパラメータ更新情報を送る。

　索引削除要求生成部２１０は、索引削除要求と、必要であればラベル管理部２０４で管理されているラベルを用いて、索引削除情報を生成する。索引削除情報は、データセンタ３０１に登録されているラベル付き索引および対応する暗号化データを削除するための情報である。索引削除要求生成部２１０は、生成した索引削除情報を、端末側データ送受信部２１２に送る。また、索引削除要求生成部２１０は、必要であればラベル管理部２０４にパラメータ更新情報を送る。

　ラベル付き検索クエリ生成部２１１は、キーワードと秘密鍵管理部２０３に記憶されている索引鍵（検索鍵）とラベル管理部２０４で管理されているラベルとパラメータ情報とを用いて、検索キーワードに関するラベル付き検索クエリを生成する。ラベル付き検索クエリはユーザが指定したラベル付き索引に対してのみ検索可能な情報であって、指定されていないラベル付き索引に対する検索はできない。つまり、索引と検索クエリとに埋め込まれたラベルが同じであるときに限り、検索が可能な仕組みである。なお、ラベル付き検索クエリから検索キーワードは漏れない。ラベル付き検索クエリ生成部２１１は、生成したラベル付き検索クエリを、端末側データ送受信部２１２に送る。また、ラベル付き検索クエリ生成部２１１は、ラベル付き検索クエリとパラメータ情報とを、タグ検証部２１３に送る。

　端末側データ送受信部２１２は、タグ生成部２０８から送られてくる暗号化データとラベル付き索引と、データ削除要求生成部２０９から送られてくるデータ削除情報と、索引削除要求生成部２１０で生成される索引削除情報と、ラベル付き検索クエリ生成部２１１から送られてくるラベル付き検索クエリとをデータセンタ３０１へ送信する。また、端末側データ送受信部２１２は、データセンタ３０１から暗号化データとタグを受信し、タグ検証部２１３へ送る。

　タグ検証部２１３は、ラベル付き検索クエリ生成部２１１からラベル付き検索クエリとパラメータ情報、端末側データ送受信部２１２から暗号化データとタグを受け取って、秘密鍵管理部に保管されている署名鍵（検証鍵）を用いて、タグを検証する。もし検証に成功したら、暗号化鍵（復号鍵）と暗号化データをデータ復号部２１４へ送る。もし検証に失敗したら、ユーザにエラーを返す。

　データ復号部２１４は、タグ検証部２１３から受け取った暗号化鍵（復号鍵）と暗号化データを受け取り、暗号化鍵（復号鍵）を用いて暗号化データを復号する。

　図３は、実施の形態１におけるデータセンタ３０１の機能構成図である。
　実施の形態１におけるデータセンタ３０１の機能構成について、図３に基づいて説明する。

　データセンタ３０１は、センタ側データ送受信部３０２（検索要求データ入力部、検索結果データ出力部の一例）、暗号化データ保管部３０３（検索対象データ記憶部の一例）、ラベル付き索引保管部３０４（索引データ記憶部の一例）、検索処理部３０５（データ検索部の一例）、ラベル付き索引更新部３０６を備える。また、データセンタ３０１は、データセンタ３０１で使用するデータを記憶する記憶部（記憶装置）（図示省略）を備える。

　センタ側データ送受信部３０２は、アクセス端末２０１から暗号化データ、ラベル付き索引、データ削除情報、索引削除情報、ラベル付き検索クエリを受信する。また、センタ側データ送受信部３０２は、検索処理部３０５の検索によって得られる暗号化データとタグのペアをアクセス端末２０１に送信する。

　暗号化データ保管部３０３は、センタ側データ送受信部３０２から送られてきた暗号化データを記憶装置に記憶する。暗号化データ保管部３０３は、検索処理部３０５から（複数の）データ名が送られてきた場合に、記憶装置からそのデータ名に対応した暗号化データを取り出し、その暗号化データを検索処理部３０５に送る。また、暗号化データ保管部３０３は、ラベル付き索引更新部３０６から送られてきた削除データ名に対応する暗号化データを記憶装置から削除する。

　ラベル付き索引保管部３０４は、センタ側データ送受信部３０２から送られてきたラベル付き索引を記憶装置に記憶する。ラベル付き索引保管部３０４は、検索処理部３０５から索引名を受け取り、その索引名に対応したラベル付き索引を記憶装置から読み出し、読み出したラベル付き索引を検索処理部３０５に送る。また、ラベル付き索引保管部３０４は、ラベル付き索引更新部３０６から索引名を受け取り、その索引名に対応したラベル付き索引を記憶装置から読み出し、読み出したラベル付き索引をラベル付き索引更新部３０６に送る。また、ラベル付き索引保管部３０４は、ラベル付き索引更新部３０６から受け取ったラベル付き更新索引を記憶装置に記憶する。また、ラベル付き索引保管部３０４は、ラベル付き索引更新部３０６から削除索引名を受け取り、その索引名に対応したラベル付き索引を記憶装置から削除する。

　検索処理部３０５は、ラベル付き索引保管部３０４から送られてきたラベル付き索引を受け取り、ラベル付き索引保管部３０４に索引名を送る。検索処理部３０５は、ラベル付き索引保管部３０４から送られてきたラベル付き索引と、センタ側データ送受信部３０２から送られてきたラベル付き検索クエリを用いて検索処理を行ない、検索結果情報とタグを得る。なお、検索処理から得られる情報は検索結果情報とタグのみであり、それらの情報から検索キーワードに関する情報は漏洩しない。次に、検索処理部３０５は、検索結果情報が示すデータ名を暗号化データ保管部３０３に送り、暗号化データ保管部３０３から対応する暗号化データを受け取る。検索処理部３０５は、暗号化データ保管部３０３から送られてきた暗号化データとそれに対応するタグのペアをセンタ側データ送受信部３０２に送る。

　ラベル付き索引更新部３０６は、センタ側データ送受信部３０２から送られてきたデータ削除情報に基づき、暗号化データ保管部３０３に削除データ名を送る。また、ラベル付き索引更新部３０６は、センタ側データ送受信部３０２から送られてきた索引削除情報に基づき、ラベル付き索引保管部３０４に削除索引名を送る。

　次に、秘匿検索システム１００の処理の概要について説明する。

　図４は、実施の形態１における秘匿検索システム１００の初期設定処理（概要）を示すフローチャートである。
　実施の形態１における秘匿検索システム１００の初期設定処理（概要）について、図４に基づいて説明する。

　秘匿検索システム１００の初期設定処理は、検索対象のデータを登録する登録処理やデータの検索処理を実行する前にアクセス端末２０１によって実行される。

　ステップＳ１０１において、秘密鍵生成部２０２は、データを暗号化するための共通鍵暗号方式（ＡＥＳ、Ｃａｍｅｌｌｉａ（登録商標）など）の暗号化鍵（復号鍵）を生成する。共通鍵暗号方式の暗号化鍵はデータの暗号化および暗号化されたデータの復号に用いられる。秘匿検索システム１００で利用する共通鍵暗号方式はここで決めても構わないし、予め決めておいても構わない。以下、Ｓ１０１で選択した共通鍵暗号方式（または、予め決められた共通鍵暗号方式）を単に「共通鍵暗号方式」という。

　ステップＳ１０２において、秘密鍵生成部２０２は、共通鍵暗号方式の暗号化鍵（復号鍵）を生成する。共通鍵暗号方式の暗号化鍵は、データの暗号化および暗号化されたデータの復号に用いられる。

　ステップＳ１０３において、秘密鍵生成部２０２は、ラベル付き索引やラベル付き検索クエリを生成するための索引鍵（検索鍵）を生成する。

　ステップＳ１０４において、秘密鍵生成部２０２は、タグを生成するためのメッセージ認証子方式を選択し、方式の署名鍵（検証鍵）を生成する。なお、メッセージ認証方式は予め決めておいても構わない。

　ステップＳ１０５において、秘密鍵管理部２０３は、Ｓ１０１で生成された暗号化鍵とＳ１０２で生成した索引鍵とＳ１０３で生成した署名鍵とを記憶装置（記憶部）を用いて記憶する。Ｓ１０５により、秘匿検索システム１００の初期設定処理は終了する。

　図５は、実施の形態１における秘匿検索システム１００のデータ登録処理（概要）を示すフローチャートである。
　実施の形態１における秘匿検索システム１００のデータ登録処理（概要）について、図５に基づいて説明する。

　秘匿検索システム１００のデータ登録処理において、検索対象の暗号化データと検索対象のデータを検索するためのラベル付き索引とが生成され、生成された検索対象の暗号化データとラベル付き索引とがデータセンタ３０１に登録される。
　秘匿検索システム１００のデータ登録処理のうち、Ｓ２０１からＳ２１１はアクセス端末２０１によって実行され、Ｓ２１２はデータセンタ３０１によって実行される。

　ステップＳ２０１において、ユーザは、入力装置（キーボード、マウス、記憶装置など）を用いてアクセス端末２０１に登録データとラベル情報とを指定し、アクセス端末２０１のキーワード設定部２０５は指定された登録データとラベル情報とを入力装置から入力する。
　登録データは、検索対象の平文データ（暗号化していないデータ）である。
　ラベル情報は、ラベル付き索引の生成に使用するラベルを生成するための情報（日付、ラベル名、索引名、複数の登録データの共通キーワードなど）であり、文字列、記号列またはビット列などで表される。

　ステップＳ２０２において、ラベル管理部２０４は、Ｓ２０１で入力されたラベル情報に基づいてラベルを生成し、生成したラベルとＳ２０１で入力されたラベル情報とを対応付けて記憶装置を用いて記憶する。例えば、ラベル管理部２０４は、ラベル情報をそのままラベルとして使用し、またはラベル情報として入力された文字列をビット列に変換する。また、ラベル管理部２０４は、（ラベル情報のビット数が所定値より大きい場合）ラベル情報を入力にして所定のハッシュ関数を演算し、ラベル情報のハッシュ値をラベルとして算出してもよい。また、Ｓ２０１でユーザがラベル情報を指定せず、ラベル管理部２０４がラベルを自動的に生成（例えば、日付、通し番号、乱数値などを使用）してもよい。

　ステップＳ２０３において、キーワード設定部２０５は、Ｓ２０１で入力された登録データに関連付ける１つ以上のキーワードを生成する。
　例えば、キーワード設定部２０５は、登録データからキーワード（例えば、所定の名詞）を抽出する。また、ユーザがアクセス端末２０１にキーワードを指定してもよいし、予め決定されたデータ（またはデータ名）とキーワードとを記憶しておいてもよい。

　ステップＳ２０４において、キーワード設定部２０５は、Ｓ２０３で生成したキーワード別に検索結果情報を生成する。検索結果情報は、登録データのデータ名を示す情報である（例えば、図１４参照）。

　ステップＳ２０５において、キーワード設定部２０５は、Ｓ２０３で生成したキーワードの情報をラベル情報に対応付けてラベル管理部２０４に記憶する。なお、このキーワード情報は、検索処理時の補助情報として用いること（例えば、検索時にキーワードそのものを入力せず、あるリストから選択するなど）を想定しており、必ずしも記憶する必要はない。

　ステップＳ２０６において、データ暗号化部２０６は、秘密鍵管理部２０３に記憶されている暗号化鍵を用いて、Ｓ２０１で入力された登録データを暗号化して暗号化データを生成する。

　ステップＳ２０７において、ラベル付き部分索引生成部２０７は、秘密鍵管理部２０３に記憶されている索引鍵とＳ２０２で生成されたラベルとを用いて、Ｓ２０４で生成された検索結果情報を暗号化してラベル付き部分索引を生成する。

　ステップＳ２０８において、ラベル付き部分索引生成部２０７は、Ｓ２０６で使用したパラメータ（例えば、後述のネーム集合）をラベル情報に対応付けてラベル管理部２０４に記憶する。

　ステップＳ２０９において、タグ生成部２０８は、秘密鍵管理部２０３に記憶されている署名鍵を用いて、Ｓ２０６で生成された暗号化データとＳ２０７で生成されたラベル付き部分索引のペアに対して署名鍵を用いてタグを生成し、ラベル付き索引を生成する。

　ステップＳ２１０において、端末側データ送受信部２１２は、Ｓ２０６で生成された暗号化データとＳ２０９で生成されたラベル付き索引とをデータセンタ３０１に送信する。

　ステップＳ２１０において、データセンタ３０１のセンタ側データ送受信部３０２は、Ｓ２１０で送信された各暗号化データとラベル付き索引とを受信する。その後、暗号化データ保管部３０３は、各暗号化データを記憶装置を用いて記憶し、ラベル付き索引保管部３０４は、ラベル付き索引を記憶装置を用いて記憶する。

　Ｓ２１１により、秘匿検索システム１００のデータ登録処理は終了する。
　登録データおよびラベル付き索引が暗号化されるため、登録データおよびキーワードは秘匿される。
　なお、データの追加登録を行なうときは、上記と同様な手順を行なうことで達成できる。

　図６は、実施の形態１における秘匿検索システム１００の検索処理（概要）を示すフローチャートである。
　実施の形態１における秘匿検索システム１００の検索処理（概要）について、図６に基づいて説明する。

　秘匿検索システム１００の検索処理のうち、Ｓ３０１からＳ３０４、およびＳ３０９からＳ３１１は、アクセス端末２０１によって実行され、Ｓ３０５からＳ３０８は、データセンタ３０１によって実行される。

　ステップＳ３０１において、ユーザは、入力装置を用いてアクセス端末２０１に検索キーワードとラベル情報とを指定し、アクセス端末２０１のラベル付き検索クエリ生成部２１１は、指定された検索キーワードとラベル情報とを入力装置から入力する。

　ステップＳ３０２において、ラベル管理部２０４は、Ｓ３０１で入力されたラベル情報と対応付けられたラベルなどのパラメータを読み出す。ただし、Ｓ３０１でユーザがラベルを指定してもよい。

　ステップＳ３０３において、ラベル付き検索クエリ生成部２１１は、秘密鍵管理部２０３に記憶されている索引鍵とＳ３０２で読み出されたラベルとを用いて、Ｓ３０１で入力された検索キーワードを暗号化してラベル付き検索クエリを生成する。
　ラベル付き検索クエリは、ラベルを用いて生成する検索要求データである。実施の形態において、ラベル付き検索クエリは、ラベル付き索引に含まれる少なくともいずれかの検索結果情報を指定する。また、ラベル付き検索クエリは、検索を実施するラベル付き索引の索引名を含む。

　ステップＳ３０４において、端末側データ送受信部２１２は、Ｓ３０３で生成されたラベル付き検索クエリをデータセンタ３０１に送信する。

　ステップＳ３０５において、データセンタ３０１のセンタ側データ送受信部３０２は、Ｓ３０４で送信されたラベル付き検索クエリを受信し、検索処理部３０５は、受信されたラベル付き検索クエリに基づいてラベル付き索引をラベル付き索引保管部３０４から読み出す。ただし、検索処理部３０５は、ラベル付き索引保管部３０４に記憶されている全てのラベル付き索引を読み出しても構わない。

　ステップＳ３０６において、検索処理部３０５は、Ｓ３０５で受信されたラベル付き検索クエリに基づいてＳ３０５で読み出したラベル付き索引から検索結果情報（データ名）とタグを取得する。

　ステップＳ３０７において、検索処理部３０５は、Ｓ３０６で取得した検索結果情報に含まれるデータ名で識別される暗号化データを暗号化データ保管部３０３から読み出す。

　ステップＳ３０８において、センタ側データ送受信部３０２は、Ｓ３０７で読み出された暗号化データとＳ３０６で取得した暗号化データに対応するタグとをアクセス端末２０１に送信する。

　ステップＳ３０９において、アクセス端末２０１の端末側データ送受信部２１２は、Ｓ３０８で送信された暗号化データとタグとを受信する。
　その後、データ検証部２１３は、秘密鍵管理部２０３に記憶されている署名鍵とＳ３０２で読み出されたパラメータとＳ３０３で生成されたラベル付き検索クエリと受信された暗号化データとを用いて、受信されたタグを検証する。もし検証結果が受理と判定された場合はステップＳ３１０に移る。もし検証結果が拒否と判定された場合はステップＳ３１１に移る。

　ステップＳ３１０において、データ復号部２１４は、受信された暗号化データを秘密鍵管理部２０３に記憶されている暗号化鍵を用いて復号し、復号して得られる平文データを出力装置（ディスプレイ、プリンタなど）に出力する。

　ステップＳ３１１において、タグ検証部２１４は、エラーが起きていることを示す情報を出力装置（ディスプレイ、プリンタなど）に出力する。

　Ｓ３１０またはＳ３１１により、秘匿検索システム１００の検索処理は終了する。

　図７は、実施の形態１における秘匿検索システム１００のデータ削除処理（概要）を示すフローチャートである。
　実施の形態１における秘匿検索システム１００のデータ削除処理（概要）について、図７に基づいて説明する。

　秘匿検索システム１００のデータ削除処理は、一部の登録データをデータセンタ３０１から削除する処理である。
　秘匿検索システム１００のデータ削除処理のうち、Ｓ４０１からＳ４０５は、アクセス端末２０１によって実行され、Ｓ４０６からＳ４０９は、データセンタ３０１によって実行される。

　ステップＳ４０１において、ユーザは、入力装置を用いてアクセス端末２０１に削除データ名とラベル情報とを指定し、アクセス端末２０１のデータ削除要求生成部２０９は削除データ名を入力装置から入力する。

　ステップＳ４０２において、ラベル管理部２０４は、Ｓ４０１で入力されたラベル情報と対応付けられたラベルと索引名などのパラメータを読み出す。ただし、Ｓ４０１でユーザがラベルを指定してもよい。

　ステップＳ４０３において、データ削除要求生成部２０９は、Ｓ４０１で入力された削除データ名とＳ４０２で読み出したパラメータから、ラベルと索引名とを含んだデータ削除情報を生成する。

　ステップＳ４０４において、データ削除要求生成部２０９は、Ｓ４０３で作成したデータ削除情報に基づきパラメータ更新情報を生成する。その後、ラベル管理部２０４は、生成されたパラメータ更新情報に基づいて保管されているパラメータ情報を更新する。

　ステップＳ４０５において、端末側データ送受信部２１２は、Ｓ４０２で生成されたデータ削除情報をデータセンタ３０１に送信する。

　ステップＳ４０６において、センタ側データ送受信部３０２は、Ｓ４０５で送信されたデータ削除情報を受信する。ラベル付き索引更新部３０６は、受信したデータ削除情報に基づいてラベル付き更新保管部３０４からラベル付き索引を読み出す。

　ステップＳ４０７において、ラベル付き索引更新部３０６は、Ｓ４０６で読み出したラベル付き索引を、Ｓ４０６で受信した削除要求情報に基づいて更新する。

　ステップＳ４０８において、ラベル付き索引保管部３０４は、Ｓ４０７で更新したラベル付き索引を保管する。

　ステップＳ４０９において、暗号化データ保管部３０３は、Ｓ４０６で受信した削除要求情報に基づいて暗号化データを削除する。Ｓ４０９により、秘匿検索システム１００のデータ削除処理は終了する。

　図８は、実施の形態１における秘匿検索システム１００のラベル付き索引削除処理（概要）を示すフローチャートである。
　実施の形態１における秘匿検索システム１００のラベル付き索引削除処理（概要）について、図８に基づいて説明する。

　秘匿検索システム１００の索引削除処理は、一部のラベル付き索引をデータセンタ３０１から削除する処理である。
　秘匿検索システム１００のラベル付き索引削除処理のうち、Ｓ５０１からＳ５０５はアクセス端末２０１によって実行され、Ｓ５０６はデータセンタ３０１によって実行される。

　ステップＳ５０１において、ユーザは、入力装置を用いてアクセス端末２０１に索引削除を要求し、アクセス端末２０１の索引削除要求生成部２１０は、索引削除要求を入力装置から入力する。

　ステップＳ５０２において、ラベル管理部２０４は、Ｓ５０１で入力されたラベル情報に対応付けられたラベルと削除索引名などのパラメータを読み出す。ただし、Ｓ５０１でユーザがラベルを指定してもよい。

　ステップＳ５０３において、索引削除要求生成部２１０は、Ｓ５０１で入力された索引削除要求とＳ５０２で読み出したパラメータから、ラベルと削除索引名とを含んだ索引削除情報を生成する。

　ステップＳ５０４において、索引削除要求生成部２１０は、Ｓ５０３で作成した索引削除情報に基づきパラメータ更新情報を生成する。その後、ラベル管理部２０４は、生成されたパラメータ更新情報に基づいて保管されているパラメータ情報を更新する。

　ステップＳ５０５において、端末側データ送受信部２１２は、Ｓ５０３で生成された索引削除情報をデータセンタ３０１に送信する。

　ステップＳ５０６において、センタ側データ送受信部３０２は、Ｓ５０５で送信された索引削除情報を受信する。ラベル付き索引更新部３０６は、受信した索引削除情報から削除索引名を読み出し、ラベル付き索引保管部３０４からラベル付き索引を読み出して記憶装置から削除する。また、ラベル付き索引更新部３０６は、読み出したラベル付き索引から削除データ名を読み出し、読み出した削除データ名で識別される暗号化データを暗号化データ保管部３０３から削除する。Ｓ５０６により、秘匿検索システム１００のラベル付き索引削除処理は終了する。

　なお、データ削除処理（図７）と索引削除処理（図８）とは同時に実行しても構わない。例えば、削除要求情報に削除データ名と削除索引名との両方を含めることも可能である。

　また、図４から図８の各処理は、フローチャート通りの処理でなくても構わない。例えば、フローチャートが示す処理順序を変更しても構わない。

　次に、秘匿検索システム１００の処理の詳細（具体例）について説明する。
　まず、以下の説明で使用する項目や記号の一部について説明する。

　データＤ_iおよびその暗号化データＣ_ｉのデータ名を「ｉｄ_ｉ」と記す。ただし、データ名ｉｄ_ｉは単なる識別子であり、データＤ_ｉの中身を表すものではない。つまり、データ名ｉｄ_ｉによってデータＤ_iの内容は知得されないものとする。
　データ名ｉｄ_ｉのビット長をｘとする。もし、データ名ｉｄ_ｉのビット長がｘより短い場合、例えば０をパディングすることでデータ名ｉｄ_ｉをｘビットにする。

　ラベルｌａｂｅｌの（最大の）ビット長をｙとし、キーワードｗの（最大の）ビット長をｚとする。
　暗号化鍵ＥＫのビット長をｋ_１、索引鍵IＫのビット長をｋ_２、署名鍵SKのビット長をｋ_３とする。

　共通鍵暗号方式の暗号化関数Ｅｎｃは、ｋ_１ビットの鍵ＥＫとビット長がＭのデータとを入力値として、ビット長がＭのデータを出力する。共通鍵暗号方式の復号関数Ｄｅｃは、ｋ_１ビットの鍵ＥＫとビット長がＭのデータ（暗号化データ）とを入力値として、ビット長がＭのデータ（平文）を出力する。

　関数πは、入力値に基づいて入力値と同じサイズの乱数値を算出するためのものである。関数πは「疑似ランダム置換」ともいう。ただし、入力値が同じであれば、出力値はいつも同じである。つまり、関数πは、いわゆる、確定的な関数である。
　関数πは、ｋ_２ビットの整数（鍵）と（１＋ｙ＋ｚ＋ｖ）ビットの整数の２つとを入力値として、（１＋ｙ＋ｚ＋ｖ）ビットの整数を返す。すなわち、関数π（Ｋ，ｎ）は、ｋ_２ビットの索引鍵ＩＫと０から２^{１＋ｙ＋ｚ＋ｖ} －１の整数とを入力にして、０から２^{１＋ｙ＋ｚ＋ｖ} －１の整数のうちランダムな値を出力する。ただし、ｖは整数で、１つのラベル付き索引に含めることが可能な最大登録データ数に関するパラメータである。

　メッセージ認証子方式の署名関数ＭＡＣは、ｋ_３ビットの鍵ＳＫと任意ビット長のデータとを入力値として、ビット長がＴのデータを出力する。メッセージ認証子方式の検証関数Ｖｅｒｉｆｙは、ｋ_３ビットの鍵ＳＫと任意ビット長のデータとを入力値として、０か１の値を出力する。

　ラベル付き索引Ｉは、配列構造のデータであり、１つ以上の配列要素を有する。ラベル付き索引Ｉの１つの配列要素に設定できる値の最大サイズは（ｙ＋Ｔ）ビットである。
　ラベル付き索引Ｉの配列要素Ｉ［ａ］を識別する値ａを「アドレス」という。
　ラベル付き索引Ｉの配列要素の最大数は、（１＋ｘ＋ｙ＋Ｍ）ビットで表すことができる数である。
　ラベル付き索引Ｉの配列要素のうち、使用される配列要素（値が設定される配列要素）にだけ記憶領域を確保する。つまり、ラベル付き索引Ｉのアドレス空間は非常に大きなサイズ（指数サイズ）であるが、多項式程度のアドレス空間しか利用せず、かつ利用していないアドレス空間には何も設定しない。このため、ラベル付き索引Ｉの実質的なサイズは現実的サイズ（多項式サイズ）に抑えられる。

　「＃Ｘ」はＸの要素数を意味し、「Ｘ∥Ｙ」はビット列Ｘとビット列Ｙとの結合（連結）を意味する。その他の記号については、一般的に使用される数学の記号と同様の意味である。

　図９は、実施の形態１における秘匿検索システム１００初期設定処理（具体例）を示すフローチャートである。
　実施の形態１における秘匿検索システム１００の初期設定処理（具体例）について、図９に基づいて説明する。

　なお、図９のフローチャートは、図４に示したフローチャートに対応している。
　Ｓ６０１はＳ１０１に対応し、Ｓ６０２はＳ１０２に対応し、Ｓ６０３はＳ１０３に対応し、Ｓ６０４はＳ１０４に対応する処理である。Ｓ６０１からＳ６０４の処理にＳ１０１からＳ１０４で説明した事項を適用しても構わない。

　ステップＳ６０１において、秘密鍵生成部２０２は、共通鍵暗号方式のｋ_１ビットの暗号化鍵ＥＫをランダムに生成する。ｋ_１は任意の整数値である。

　ステップＳ６０２において、秘密鍵生成部２０２は、ｋ_２ビットの乱数ＩＫを生成する。ｋ_２は任意の整数値である。以下、ステップＳ６０２で生成した乱数Ｋを「索引鍵ＩＫ」という。

　ステップＳ６０３において、秘密鍵生成部２０２は、メッセージ認証方式のｋ_３ビットの署名鍵ＳＫをランダムに生成する。ｋ_３は任意の整数値である。

　ステップＳ６０４において、秘密鍵管理部２０３は、Ｓ６０１で生成された暗号化鍵ＥＫとＳ６０２で生成された索引鍵ＫとＳ６０３で生成された署名鍵ＳＫとを記憶する。Ｓ６０４により、秘匿検索システム１００の初期化処理（具体例）は終了する。

　図１０は、実施の形態１における秘匿検索システム１００のデータ登録処理（具体例）を示すフローチャートである。
　実施の形態１における秘匿検索システム１００のデータ登録処理（具体例）について、図１０に基づいて説明する。

　図１０のフローチャートは図５に示したフローチャートに対応している。
　Ｓ７０１はＳ２０１に対応し、Ｓ７０２はＳ２０２に対応し、Ｓ７０３はＳ２０３とＳ２０５に対応し、Ｓ７０４はＳ２０４に対応し、Ｓ７０５はＳ２０６に対応し、Ｓ７０６とＳ９０７はＳ２０７に対応し、Ｓ７０８はＳ２０８に対応し、Ｓ７０９とＳ７１０はＳ２０９とＳ２１０とに対応し、Ｓ７１１はＳ２１１とＳ２１２とに対応する処理である。Ｓ７０１からＳ７１１の処理にＳ２０１からＳ２１２で説明した事項を適用しても構わない。

　ステップＳ７０１において、ユーザは、入力装置を用いてアクセス端末２０１にデータ集合Ｄ＝｛Ｄ_１，…，Ｄ_ｎ｝とラベル情報ｄとを指定し、アクセス端末２０１のキーワード設定部２０５は指定されたデータ集合Ｄとラベル情報ｄとを入力装置から入力する。
　データ集合Ｄは、１つ以上の登録データＤ_ｉ（平文データ）を含む（添え字ｉは１以上の整数。以下同様）。以下、データ集合Ｄ内のデータ数を「ｎ」とする。

　ステップＳ７０２において、ラベル管理部２０４は、Ｓ７０１で入力されたラベル情報ｄに基づいてラベルｌａｂｅｌと索引名ｉｄ_Ｉとを生成し、生成したラベルｌａｂｅｌと索引名ｉｄ_Ｉとラベル情報ｄとを対応付けて記憶する。

　ステップＳ７０３において、キーワード設定部２０５は、Ｓ７０１で入力されたデータ集合Ｄに関連するキーワード集合Ｗ＝｛ｗ_１，…，ｗ_ｑ｝を生成し、生成したキーワード集合Ｗをラベル情報ｄに対応付けてラベル管理部２０４に記憶する。キーワード集合Ｗの生成方法は、Ｓ２０３と同様である。
　キーワード集合Ｗは、１つ以上のキーワードｗ_ｉを含む。以下、キーワード集合Ｗ内のキーワード数を「ｑ」とする。キーワードｗ_ｉは、データ集合Ｄの少なくともいずれかの登録データＤ_ｊに関連する（添え字ｊは１以上の整数。以下同様）。

　ステップＳ７０４において、キーワード設定部２０５は、Ｓ７０３で生成したキーワード集合Ｗに含まれるキーワードｗ_ｉ別に検索結果情報（ｗ_ｉ，Ｄ（ｗ_ｉ））を生成する。検索結果情報のＤ（ｗ_ｉ）は、キーワードｗ_ｉに関連する１つ以上のデータＤ_ｊのデータ名ｉｄ_ｊを含み、｛ｉｄ_ｓ（１），…，ｉｄ_ｓ（ｍ）｝のような集合で表わされる。ただし、ｍは１以上の整数で、またｓ(1),…, s(m)は、１からｎの互いに異なる整数である。

　ステップＳ７０５において、データ暗号化部２０６は、秘密鍵管理部２０３から暗号化鍵ＥＫを読み出す。データ暗号化部２０６は、暗号化関数Ｅｎｃと秘密鍵管理部２０３から読み出した暗号化鍵ＥＫとを用いて、Ｓ７０１で入力されたデータ集合Ｄ＝｛Ｄ_１，…，Ｄ_ｎ｝を暗号化する。以下、登録データＤ_ｉを暗号化した暗号化データを「Ｃ_ｉ」と記す。データ集合Ｄの暗号化は、１≦ｉ≦ｎに対して、Ｃ_ｉ＝Ｅｎｃ（ＥＫ，Ｄ_ｉ）で表される。

　ステップＳ７０６において、ラベル付き部分索引生成部２０７は、秘密鍵管理部２０３から索引鍵ＩＫを読み出す。
　ラベル付き部分索引生成部２０７は、Ｓ７０４で生成された各ｗ ∈ Ｗに対する検索結果情報の Ｄ(ｗ_ｉ) ＝｛ｉｄ_ｓ（１）， …，ｉｄ_ｓ（ｍ）｝から得られる集合｛ｓ(1),…, s(m)｝に基づき、秘密鍵管理部２０３から読み出した索引鍵ＩＫとＳ７０２で生成したラベルｌａｂｅｌとを用いて、ラベル付き索引Iを、I [π(IK, 0∥label∥w∥s(i)) ] = (id_s(i), ⊥)（1 ≦ i ≦ m）、及びI [π(IK, 1∥label∥w∥s(j)) ] = (dummy, ⊥) （1 ≦ ｊ ≦ m）と設定する。
　ただし、dummyは、ビット長がｘの特殊な文字列で、対応するデータはないといったことを表す文字列である。後述する検索処理の中で検索結果としてdummyと返ってきた場合は、検索にヒットするデータはなかったということを意味する。
　また、⊥は、ビット長がＣの特殊な記号で、後のステップでこの記号はある値に置き換えられる。このため、⊥が入ったこのラベル付き索引Ｉをラベル付き部分索引と呼ぶ。

　ステップＳ７０７において、ラベル付き部分索引生成部２０７は、Ｓ７０５で生成された各ｗ ∈ Ｗに対する検索結果情報の Ｄ(ｗ_ｉ) ＝｛ｉｄ_ｓ（１），…，ｉｄ_ｓ（ｍ）｝から得られる集合｛ｉｄ_ｓ（１），…，ｉｄ_ｓ（ｍ）｝＝Ｎ＼｛ｉｄ_ｓ（１），…，ｉｄ_ｓ（ｍ）｝に基づき、秘密鍵管理部２０３から読み出した索引鍵ＩＫと、Ｓ７０２で生成したラベルｌａｂｅｌとを用いて、ラベル付き索引Iを、I [π(IK, 0∥label∥w∥s(j)) ] = (dummy, ⊥)（ｍ＋１≦ｊ≦ｎ）、及びI [π(IK, 1∥label∥w∥s(i)) ] = (id_s(i), ⊥) （ｍ＋１≦ｉ≦ｎ）と設定する。
　ただし、s(m+1), …, s(n)は、互いに異なる１からｎの整数で、またs(1), …, s(m)と異なる値をとる。また、Nは、集合{１, …, ｎ}を意味し、ネーム集合と呼ぶ。また、「＼」は、集合に対する演算子であり、左項の集合の要素から右項の集合の要素を除く演算を行なう。

　ステップＳ７０８において、ラベル付き部分索引生成部２０７は、データ集合Ｄ内のデータ数ｎに対するネーム集合Ｎ＝{１, …, ｎ}をラベル管理部２０４に記憶されているラベル情報ｄに対応付けて記憶する。

　ステップＳ７０９において、タグ生成部２０８は、秘密鍵管理部２０３から署名鍵ＳＫを読み出す。次に、タグ生成部２０８は、秘密鍵管理部２０３から読み出した署名鍵ＳＫとＳ７０７で生成されたラベル付き部分索引Ｉを用いて、各I[addr] = (id, ⊥)に対して、tag = MAC(SK, addr, C) としてI[addr] = (id, tag)と更新する。

　ステップＳ７１０において、タグ生成部２０８は、秘密鍵管理部２０３から読み出した署名鍵ＳＫとＳ７０９で更新されたラベル付き部分索引Ｉを用いて、各I[addr] = (dummy, ⊥)に対して、tag = MAC(SK, addr, C) としてI[addr] = (dummy, tag)と更新する。このとき、この更新されたラベル付き部分索引Ｉをラベル付き索引と呼ぶ。

　ステップＳ７１１において、端末側データ送受信部２１２は、Ｓ９０６で生成された暗号化データ集合Ｃ＝｛Ｃ_１，…，Ｃ_ｎ｝と、Ｓ７０７からＳ７１０で生成されたラベル付き索引Ｉとをデータセンタ３０１に送信する。
　データセンタ３０１のセンタ側データ送受信部３０２は、暗号化データ集合Ｃとラベル付き索引Ｉとを受信し、暗号化データ保管部３０３は暗号化データ集合Ｃを記憶し、ラベル付き索引保管部３０４はラベル付き索引Ｉを記憶する。ラベル付き索引名は「ｉｄ_Ｉ」である。

　図１１は、実施の形態１における秘匿検索システム１００の検索処理（具体例）を示すフローチャートである。
　実施の形態１における秘匿検索システム１００の検索処理（具体例）について、図１１に基づいて説明する。

　図１１のフローチャートは、図６に示したフローチャートに対応している。
　Ｓ８０１はＳ３０１に対応し、Ｓ８０２はＳ３０２に対応し、Ｓ８０３はＳ３０３に対応し、Ｓ８０４はＳ３０４に対応し、Ｓ８０５はＳ３０５とＳ３０６とに対応し、Ｓ８０６はＳ３０７とＳ３０８とに対応し、Ｓ８０８はＳ３０９に対応し、Ｓ８０９はＳ３１０に対応し、Ｓ８１０はＳ３１１に対応する処理である。Ｓ８０１からＳ８１０の処理にＳ３０１からＳ３１１で説明した事項を適用しても構わない。

　ステップＳ８０１において、ユーザは、入力装置を用いてアクセス端末２０１に検索キーワードｗとラベル情報ｄ’とを指定し、アクセス端末２０１のラベル付き検索クエリ生成部２１１は、指定されたキーワードｗとラベル情報ｄ’とを入力装置から入力する。

　ステップＳ８０２において、ラベル管理部２０４は、Ｓ８０１で入力されたラベル情報ｄに対応付けられたパラメータのラベルｌａｂｅｌとラベル付き索引名ｉｄ_Ｉ’とネーム集合Ｎ’とを読み出す。

　ステップＳ８０３において、ラベル付き検索クエリ生成部２１１は、秘密鍵管理部２０３から索引鍵ＩＫを読み出す。次に、ラベル付き検索クエリ生成部２１１は、秘密鍵管理部２０３から読み出した索引鍵ＩＫと、Ｓ８０２で読み出したラベルｌａｂｅｌとネーム集合Ｎ’とを用いて、以下のアドレスａ_ｉを算出する。
　アドレスａ_ｉは、Ｎ’＝｛ｎ_１, …, ｎ_ｋ｝に対して、ａ_ｉ＝π（ＩＫ，０∥ｌａｂｅｌ’∥ｗ∥ｎ_ｉ）で表される。アドレスａ_ｉは、ラベル付き索引Ｉ’の配列要素を指定する値である。

　ステップＳ８０４において、ラベル付き検索クエリ生成部２１１は、Ｓ８０３で算出したａ_ｉ＝（ａ_１，…，ａ_ｋ）とＳ８０２で読み出した索引名id_I’とを含んだ検索クエリＱ（ラベル付き検索クエリ）を生成し、Ｑをデータセンタ３０１に送信する。

　ステップＳ８０５において、データセンタ３０１のセンタ側データ送受信部３０２は、Ｓ８０４で送信されたラベル付き検索クエリＱを受信する。
　検索処理部３０５は、ラベル付き索引保管部３０４からラベル付き検索クエリＱに含まれている索引名id_I’で識別されるラベル付き索引Ｉ’を読み出す。
　検索処理部３０５は、読み出したラベル付き索引Ｉ’と検索クエリＱ＝（ａ_１, …, ａ_ｋ）に基づいて、I’[ａ_ｉ]から （Ｉｄ_ｉ, Ｔａｇ_ｉ) （１≦ｉ≦ｋ）のペアを抽出する。

　ステップＳ８０６において、検索処理部３０５は、Ｓ８０５で抽出した各データ名Ｉｄ_１, …, Ｉｄ_ｋで識別される暗号化データＣ’_１, …, Ｃ’_ｋを暗号化データ保管部３０３から読み出し、読み出した各暗号化データＣ’_ｉとＳ８０５で抽出したＴａｇ_ｔ(ｉ)を含んだ検索結果データ（Ｃ_ｔ(ｉ)’, Ｔａｇ_ｔ(ｉ) ）（１≦ｉ≦ｋ）を生成する。ただし、ある整数ｊでＩｄ_ｊがｄｕｍｍｙの場合は、Ｃ’_ｊをｄｕｍｍｙとする。
　センタ側データ送受信部３０２は、検索処理部３０５によって生成された検索結果データをアクセス端末２０１に送信する。

　ステップＳ８０７において、アクセス端末２０１の端末側データ送受信部２１２は、Ｓ８０６で生成された検索結果データを受信する。
　タグ検証部２１３は、秘密鍵管理部２０３から署名鍵を読み出し、Ｓ８０４で生成されたラベル付き検索クエリＱと受信した検索結果データ（Ｃ’_ｉ, Ｔａｇ_ｉ）とを用いて、1 ≦ i ≦ k に対してｂ_ｉ＝Ｖｅｒｉｆｙ（ＳＫ，ａ_ｉ，Ｃ’_ｉ，Ｔａｇ_ｉ)を計算する。

　ステップＳ８０８において、タグ検証部２１３は、Ｓ８０７で計算した全てのb_iが１（受理）であるかを判定する。もし全てのb_iが１であれば、Ｓ８０９へ進む。もしそうでなければ（すわなち、あるb_iで０となっていれば）、Ｓ８１０へ進む。

　ステップＳ８０９において、データ復号部２１４は、復号関数Ｄｅｃと秘密鍵管理部２０３から読み出した暗号化鍵ＥＫとを用いて、受信された検索結果データに含まれる各暗号化データＣ’_ｉを復号する。暗号化データＣ’_ｉを復号することにより、暗号化前のデータＤ’_ｉが得られる。なお、暗号化データＣ’_ｉの復号は、Ｄ’_ｉ＝Ｄｅｃ（ＥＫ，Ｃ’_ｉ）で表される。データ復号部２１２は、復号により得られた各データＤ’_ｉを出力装置に出力する。ただし、ある整数ｊでＣ’_ｊがｄｕｍｍｙの場合は何もしない。

　ステップＳ８１０において、タグ検証部２１３は、エラーが起きていることを出力装置に出力する。

　Ｓ８０９またはＳ８１０により、秘匿検索システム１００の検索処理（具体例）は終了する。

　ただし、Ｓ８０５において、ユーザから指定されたラベル付き索引Ｉだけを検索する代わりに、データセンタ３０１に保管されている全てのラベル付き索引Ｉを検索してもよい。
　この場合、Ｓ８０２において、ラベル管理部２０４は、全てのラベル情報に対応するラベルと索引名とネーム集合を読み出す。Ｓ８０３において、ラベル付き検索クエリ生成部２１１は、全てのラベル情報に対するアドレスを生成する。Ｓ８０５において、検索処理部３０５は、読み出した全てのラベル付き索引と検索クエリ検索を行なう。Ｓ８０８において、タグ検証部２１３は、全ての検証が受理するかを判定する。

　図１２は、実施の形態１における秘匿検索システム１００のデータ削除処理（具体例）を示すフローチャートである。
　実施の形態１における秘匿検索システム１００のデータ削除処理（具体例）について、図１２に基づいて説明する。

　図１２のフローチャートは図７に示したフローチャートに対応している。
　Ｓ９０１はＳ４０１に対応し、Ｓ９０２はＳ４０２に対応し、Ｓ９０３はＳ４０４に対応し、Ｓ９０４はＳ４０３とＳ４０５とに対応し、Ｓ９０５はＳ４０６からＳ４０９に対応する処理である。Ｓ９０１からＳ９０５の処理にＳ４０１からＳ４０９で説明した事項を適用しても構わない。

　ステップＳ９０１において、ユーザは、入力装置を用いてアクセス端末２０１に削除データ名id’’_u(1),…, id’’_u(l)とラベル情報d’’とを入力し、アクセス端末２０１のデータ削除要求生成部２０９は、指定された削除データ名id’’_u(1),…, id’’_u(l)とラベル情報d’’とを入力装置から入力する。

　ステップＳ９０２において、ラベル管理部２０４は、Ｓ９０１で入力されたラベル情報ｄ’’に対応付けられた索引名ｉｄ_Ｉ’’とネーム集合Ｎ’’とを読み出す。

　ステップＳ９０３において、データ削除要求生成部２０９は、削除データ名id’’_u(1), …, id’’_u(l)から、Ｓ９０２で読み出したネーム集合Ｎ’’をＮ’’＝Ｎ’’＼ {u(1), …, u(l)}として更新する。
　ラベル管理部２０４は、ラベル情報ｄ’’に対応付けて更新したネーム集合Ｎ’’を保管する。

　ステップＳ９０４において、データ削除要求生成部２０９は、削除データ名id’’_u(1), …, id’’_u(l)と索引名id_I’’とを含むデータ削除情報を生成する。
　端末側データ送受信部２１３は、生成したデータ削除情報をデータセンタ３０１に送信する。

　ステップＳ９０５において、データセンタ３０１のセンタ側データ送受信部３０２は、Ｓ９０４で送信されたデータ削除情報を受信する。
　ラベル付き索引更新部３０６は、受信されたデータ削除情報に含まれる削除データ名id’’_u(1), …, id’’_u(l)を読み出し、その削除データ名で識別される暗号化データ{C’’_u(1), …, C’’_u(l)}を暗号化データ保管部３０３から削除する。Ｓ９０５により、ラベル付き索引のデータ削除処理（具体例）は終了する。

　図１３は、実施の形態１における秘匿検索システム１００の索引削除処理（具体例）を示すフローチャートである。
　実施の形態１における秘匿検索システム１００の索引削除処理（具体例）について、図１３に基づいて説明する。

　図１３のフローチャートは図８に示したフローチャートに対応している。
　Ｓ１００１はＳ５０１に対応し、Ｓ１００２はＳ５０２に対応し、Ｓ１００３はＳ５０４に対応し、Ｓ１００４はＳ５０３とＳ５０５とに対応し、Ｓ１００５とＳ１００６はＳ５０６に対応する処理である。Ｓ１００１からＳ１００６の処理にＳ５０１からＳ５０６で説明した事項を適用しても構わない。

　ステップＳ１００１において、ユーザは、入力装置を用いてアクセス端末２０１に索引削除要求とラベル情報d’’’とを入力とを指定し、アクセス端末２０１のデータ削除要求生成部２０９は、指定された索引削除要求とラベル情報d’’’とを入力装置から入力する。

　ステップＳ１００２において、ラベル管理部２０４は、Ｓ１００１で入力されたラベル情報ｄ’’’に対応付けられた索引名ｉｄ_Ｉ’’’を読み出す。

　ステップＳ１００３において、ラベル管理部２０４は、ラベル情報ｄ’’’とそれに対応付けられて保管されているパラメータ情報を削除する。

　ステップＳ１００４において、索引削除要求生成部２１０は、索引名ｉｄ_Ｉ’’’を含む索引削除情報を生成する。
　端末側データ送受信部２１３は、生成した索引削除情報をデータセンタ３０１に送信する。

　ステップＳ１００５において、データセンタ３０１のセンタ側データ送受信部３０２は、Ｓ１００４で送信された索引削除情報を受信する。
　ラベル付き索引更新部３０６は、索引削除情報から索引名ｉｄ_Ｉ’’’を読み出し、索引名ｉｄ_Ｉ’’’で識別されるラベル付き索引I’’’をラベル付き索引保管部３０４から読み出し、I’’’に含まれている全てのデータ名id’’’を読み出して、データ名id’’’で識別される暗号化データC’’’を暗号化データ保管部３０３から削除する。

　ステップＳ１００６において、ラベル付き索引更新部３０６は、Ｓ１００５で読み出したラベル付き索引I’’’をラベル付き索引保管部３０４から削除する。Ｓ１００６により、ラベル付き索引の削除更新処理（具体例）は終了する。

　図１５は、実施の形態１におけるラベル管理部２０４の管理テーブルを示す図である。例えば、ラベル管理部２０４は、図１５に示すような管理テーブルで各種パラメータ情報を管理する。
　図１５に示す管理テーブルは、ラベル情報にパラメータ情報を対応付けている。具体的なパラメータとしては、ラベル、索引名、ネーム集合、キーワード集合であり、ラベル情報と対応付けて管理されている。

　図１６は、実施の形態１におけるアクセス端末２０１およびデータセンタ３０１のハードウェア資源の一例を示す図である。
　図１６において、アクセス端末２０１およびデータセンタ３０１（コンピュータの一例）は、ＣＰＵ９０１（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）を備えている。ＣＰＵ９０１は、バス９０２を介してＲＯＭ９０３、ＲＡＭ９０４、通信ボード９０５、ディスプレイ９１１（表示装置）、キーボード９１２、マウス９１３、ドライブ９１４、磁気ディスク装置９２０などのハードウェアデバイスと接続され、これらのハードウェアデバイスを制御する。ドライブ９１４は、ＦＤ（Ｆｌｅｘｉｂｌｅ　Ｄｉｓｋ　Ｄｒｉｖｅ）、ＣＤ（Ｃｏｍｐａｃｔ　Ｄｉｓｃ）、ＤＶＤ（Ｄｉｇｉｔａｌ　Ｖｅｒｓａｔｉｌｅ　Ｄｉｓｃ）などの記憶媒体を読み書きする装置である。
　ＲＯＭ９０３、ＲＡＭ９０４、磁気ディスク装置９２０およびドライブ９１４は記憶装置の一例である。キーボード９１２、マウス９１３および通信ボード９０５は入力装置の一例である。ディスプレイ９１１および通信ボード９０５は出力装置の一例である。

　通信ボード９０５は、有線または無線で、ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）、インターネット、電話回線などの通信網に接続している。

　磁気ディスク装置９２０には、ＯＳ９２１（オペレーティングシステム）、プログラム群９２２、ファイル群９２３が記憶されている。

　プログラム群９２２には、実施の形態において「～部」として説明する機能を実行するプログラムが含まれる。プログラム（例えば、データ検索プログラム、データ登録プログラム）は、ＣＰＵ９０１により読み出され実行される。すなわち、プログラムは、「～部」としてコンピュータを機能させるものであり、また「～部」の手順や方法をコンピュータに実行させるものである。

　ファイル群９２３には、実施の形態において説明する「～部」で使用される各種データ（入力、出力、判定結果、計算結果、処理結果など）が含まれる。

　実施の形態において構成図およびフローチャートに含まれている矢印は主としてデータや信号の入出力を示す。
　フローチャートなどに基づいて説明する実施の形態の処理は、ＣＰＵ９０１、記憶装置、入力装置、出力装置などのハードウェアを用いて実行される。

　実施の形態において「～部」として説明するものは「～回路」、「～装置」、「～機器」であってもよく、また「～ステップ」、「～手順」、「～処理」であってもよい。すなわち、「～部」として説明するものは、ファームウェア、ソフトウェア、ハードウェアまたはこれらの組み合わせのいずれで実装されても構わない。

　実施の形態１における秘匿検索システム１００は、例えば、以下のような効果を奏する。
　秘匿検索システム１００は、検索処理において、データセンタ３０１から返ってきた検索結果が本当に正しい検索結果か検証できる。つまり、データセンタの管理者による不正な検索結果の改ざんや、マルウェアなどに感染することによって検索結果が改ざんされたとしても、そのことを検知できるため、秘匿検索システム１００は高い安全性を達成できる。さらに、検索結果の検証では、索引に応じた署名を用いるため、生成した検索結果の署名が他の索引に適用できず、検索結果の改ざんを防止することができる。
　秘匿検索システム１００は、索引数が増えたとしても秘密鍵の数が増えず、かつ共通鍵暗号をベースとして構成されているため、データ登録処理やキーワード検索処理が効率的に実施できる。
　秘匿検索システム１００は、キーワードを暗号化したまま検索できるため、検索したキーワード情報が漏れず、高い安全性を達成できる。
　秘匿検索システム１００は、データを追加・削除するためにラベル付き索引を更新する場合、すでに登録されているデータに関する情報を一切復元（復号）せずにラベル付き索引を更新できるため、効率的でありかつ安全性が高い。
　特許文献２および非特許文献１から７では、登録・追加データに関連付けることが可能なキーワード、および検索できるキーワードが予め決められている。一方で、秘匿検索システム１００では、そのようなキーワードの制限がないため、柔軟にキーワードを関連付けることができる。

１００　秘匿検索システム、１０１　ネットワーク、１０２　社内ＬＡＮ、２０１　アクセス端末、２０２　秘密鍵生成部、２０３　秘密鍵管理部、２０４　ラベル管理部、２０５　キーワード設定部、２０６　データ暗号化部、２０７　ラベル付き部分索引生成部、２０８　タグ生成部、２０９　データ削除要求生成部、２１０　索引削除要求生成部、２１１　ラベル付き検索クエリ生成部、２１２　端末側データ送受信部、２１３　タグ検証部、３０１　データセンタ、３０２　センタ側データ送受信部、３０３　暗号化データ保管部、３０４　ラベル付き索引保管部、３０５　検索処理部、３０６　ラベル付き索引更新部、９０１　ＣＰＵ、９０２　バス、９０３　ＲＯＭ、９０４　ＲＡＭ、９０５　通信ボード、９１１　ディスプレイ、９１２　キーボード、９１３　マウス、９１４　ドライブ、９２０　磁気ディスク装置、９２１　ＯＳ、９２２　プログラム群、９２３　ファイル群。

Claims (12)

1. 検索対象データと前記検索対象データの正当性の検証情報であるタグが設定される配列要素を有する索引データとを記憶する検索装置と、
   　キーワードと、前記検索対象データのデータ名及び前記索引データに対応付けるラベルとに基づいて、前記索引データのいずれかの配列要素を指定する検索要求データを生成する検索要求データ生成部と、
   　前記検索要求データ生成部により生成された前記検索要求データを前記検索装置に送信し、前記検索要求データにより指定される前記配列要素に設定されたデータ名の検索対象データと前記タグとを含んだ検索結果データを受信する検索結果データ受信部と、
   　前記検索結果データ受信部により受信した前記検索結果データに含まれる前記検索対象データと前記タグとの組の正当性を検証するタグ検証部とを備えた検索端末装置と
   を備えた検索システム。
2. 前記検索端末装置の前記タグ検証部は、前記キーワードと前記索引データに対応付けられた前記ラベルとの組に対するメッセージ認証により生成された前記タグを検証する請求項１記載の検索システム。
3. 前記検索装置は、
   　検索対象データを記憶する検索対象データ記憶部と、
   　配列要素を有する索引データであって、前記索引データに対応付けるラベルと前記検索対象データに関連するキーワードとに基づいて定まる配列要素に、前記キーワードに関連する検索対象データのデータ名と前記検索対象データの正当性の検証情報であるタグとが設定された索引データを記憶する索引データ記憶部と、
   　特定のラベルと特定のキーワードとに基づいて定まる配列要素を指定する検索要求データが入力され、前記検索要求データが指定する配列要素から前記データ名と前記タグとを取得し、取得したデータ名の検索対象データを前記検索対象データ記憶部から取得するデータ検索部と、
   　前記データ検索部によって取得された前記検索対象データと前記タグとを含んだ検索結果データを出力する検索結果データ出力部と
   を備えた請求項１記載の検索システム。
4. 前記検索装置の前記索引データ記憶部は、前記キーワードと前記索引データに対応付けられた前記ラベルとの組に対するメッセージ認証により生成された前記タグが前記配列要素に設定された請求項３記載の検索システム。
5. 前記検索端末装置は、
   　検索対象データと、前記検索対象データに関連するキーワードとを記憶する検索対象データ記憶部と、
   　配列要素を有する索引データであって、前記索引データに対応付けるラベルと前記キーワードとに基づいて前記検索対象データのデータ名を設定する配列要素を決定し、決定した配列要素に前記検索対象データのデータ名を設定する索引データ生成部と、
   　前記検索対象データの正当性の検証情報であるタグを生成し、前記索引データ生成部により前記検索対象データのデータ名が設定された前記配列要素に前記タグを設定するタグ生成部と、
   　前記検索対象データと前記タグ生成部により前記タグが設定された前記索引データとを、前記索引データを用いて前記検索対象データの検索を行わせる検索装置に送信することによって、前記検索装置に前記検索対象データと前記索引データとを記憶させる検索対象データ登録部と
   を備えた請求項１記載の検索システム。
6. 前記検索端末装置の前記タグ生成部は、前記キーワードと前記索引データに対応付けられた前記ラベルとの組に対するメッセージ認証により前記タグを生成する請求項５記載の検索システム。
7. 検索装置と、検索要求データ生成部と検索結果データ受信部とタグ検証部とを備える検索端末装置とを備える検索システムが実行する検索方法であって、
   　検索装置が、検索対象データと前記検索対象データの正当性の検証情報であるタグが設定される配列要素を有する索引データとを記憶する記憶ステップと、
   　前記検索要求データ生成部が、キーワードと、前記検索対象データのデータ名及び前記索引データに対応付けるラベルとに基づいて、前記索引データのいずれかの配列要素を指定する検索要求データを生成する検索要求データ生成ステップと、
   　前記検索結果データ受信部が、前記検索要求データ生成ステップにより生成された前記検索要求データを前記検索装置に送信し、前記検索要求データにより指定される前記配列要素に設定されたデータ名の検索対象データと前記タグとを含んだ検索結果データを受信する検索結果データ受信ステップと、
   　前記タグ検証部が、前記検索結果データ受信ステップにより受信した前記検索結果データに含まれる前記検索対象データと前記タグとの組の正当性を検証するタグ検証ステップと
   を備えた検索方法。
8. 検索装置と、検索要求データ生成部と検索結果データ受信部とタグ検証部とを備える検索端末装置とを備える検索システムが実行する検索方法であって、
   　検索装置が、検索対象データと前記検索対象データの正当性の検証情報であるタグが設定される配列要素を有する索引データとを記憶する記憶ステップと、
   　前記検索要求データ生成部が、キーワードと、前記検索対象データのデータ名及び前記索引データに対応付けるラベルとに基づいて、前記索引データのいずれかの配列要素を指定する検索要求データを生成する検索要求データ生成ステップと、
   　前記検索結果データ受信部が、前記検索要求データ生成ステップにより生成された前記検索要求データを前記検索装置に送信し、前記検索要求データにより指定される前記配列要素に設定されたデータ名の検索対象データと前記タグとを含んだ検索結果データを受信する検索結果データ受信ステップと、
   　前記タグ検証部が、前記検索結果データ受信ステップにより受信した前記検索結果データに含まれる前記検索対象データと前記タグとの組の正当性を検証するタグ検証ステップと
   を備えた検索方法をコンピュータに実行させるための検索プログラム。
9. 検索対象データ記憶部と索引データ記憶部とデータ検索部と検索結果データ出力部とを備える検索装置が実行する検索方法であって、
   　前記検索対象データ記憶部が、検索対象データを記憶する検索対象データ記憶ステップと、
   　前記索引データ記憶部が、配列要素を有する索引データであって、前記索引データに対応付けるラベルと前記検索対象データに関連するキーワードとに基づいて定まる配列要素に、前記キーワードに関連する検索対象データのデータ名と前記検索対象データの正当性の検証情報であるタグとが設定された索引データを記憶する索引データ記憶ステップと、
   　前記データ検索部が、特定のラベルと特定のキーワードとに基づいて定まる配列要素を指定する検索要求データが入力され、前記検索要求データが指定する配列要素から前記データ名と前記タグとを取得し、取得したデータ名の検索対象データを前記検索対象データ記憶部から取得するデータ検索ステップと、
   　前記検索結果データ出力部が、前記データ検索ステップによって取得された前記検索対象データと前記タグとを含んだ検索結果データを出力する検索結果データ出力ステップと
   を備えた請求項７記載の検索方法。
10. 検索対象データ記憶部と索引データ記憶部とデータ検索部と検索結果データ出力部とを備える検索装置が実行する検索方法であって、
    　前記検索対象データ記憶部が、検索対象データを記憶する検索対象データ記憶ステップと、
    　前記索引データ記憶部が、配列要素を有する索引データであって、前記索引データに対応付けるラベルと前記検索対象データに関連するキーワードとに基づいて定まる配列要素に、前記キーワードに関連する検索対象データのデータ名と前記検索対象データの正当性の検証情報であるタグとが設定された索引データを記憶する索引データ記憶ステップと、
    　前記データ検索部が、特定のラベルと特定のキーワードとに基づいて定まる配列要素を指定する検索要求データが入力され、前記検索要求データが指定する配列要素から前記データ名と前記タグとを取得し、取得したデータ名の検索対象データを前記検索対象データ記憶部から取得するデータ検索ステップと、
    　前記検索結果データ出力部が、前記データ検索ステップによって取得された前記検索対象データと前記タグとを含んだ検索結果データを出力する検索結果データ出力ステップと
    を備えた請求項７記載の検索方法をコンピュータに実行させるための検索プログラム。
11. 検索対象データ記憶部と索引データ生成部とタグ生成部と検索対象データ登録部とを備えるデータ登録装置が実行する検索方法であって、
    　前記検索対象データ記憶部が、検索対象データと、前記検索対象データに関連するキーワードとを記憶する検索対象データ記憶ステップと、
    　前記索引データ生成部が、配列要素を有する索引データであって、前記索引データに対応付けるラベルと前記キーワードとに基づいて前記検索対象データのデータ名を設定する配列要素を決定し、決定した配列要素に前記検索対象データのデータ名を設定する索引データ生成ステップと、
    　前記タグ生成部が、前記検索対象データの正当性の検証情報であるタグを生成し、前記索引データ生成ステップにより前記検索対象データのデータ名が設定された前記配列要素に前記タグを設定するタグ生成ステップと、
    　前記検索対象データ登録部が、前記検索対象データと前記タグ生成ステップにより前記タグが設定された前記索引データとを、前記索引データを用いて前記検索対象データの検索を行わせる検索装置に送信することによって、前記検索装置に前記検索対象データと前記索引データとを記憶させる検索対象データ登録ステップと
    を備えた請求項７記載の検索方法。
12. 検索対象データ記憶部と索引データ生成部とタグ生成部と検索対象データ登録部とを備えるデータ登録装置が実行する検索方法であって、
    　前記検索対象データ記憶部が、検索対象データと、前記検索対象データに関連するキーワードとを記憶する検索対象データ記憶ステップと、
    　前記索引データ生成部が、配列要素を有する索引データであって、前記索引データに対応付けるラベルと前記キーワードとに基づいて前記検索対象データのデータ名を設定する配列要素を決定し、決定した配列要素に前記検索対象データのデータ名を設定する索引データ生成ステップと、
    　前記タグ生成部が、前記検索対象データの正当性の検証情報であるタグを生成し、前記索引データ生成ステップにより前記検索対象データのデータ名が設定された前記配列要素に前記タグを設定するタグ生成ステップと、
    　前記検索対象データ登録部が、前記検索対象データと前記タグ生成ステップにより前記タグが設定された前記索引データとを、前記索引データを用いて前記検索対象データの検索を行わせる検索装置に送信することによって、前記検索装置に前記検索対象データと前記索引データとを記憶させる検索対象データ登録ステップと
    を備えた請求項７記載の検索方法をコンピュータに実行させるための検索プログラム。

Images