WO2017122352A1 - 暗号化装置、暗号化方法及び暗号化プログラム - Google Patents

暗号化装置、暗号化方法及び暗号化プログラム Download PDF

Info

Publication number
WO2017122352A1
WO2017122352A1 PCT/JP2016/051158 JP2016051158W WO2017122352A1 WO 2017122352 A1 WO2017122352 A1 WO 2017122352A1 JP 2016051158 W JP2016051158 W JP 2016051158W WO 2017122352 A1 WO2017122352 A1 WO 2017122352A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
unit
search
encryption
key
Prior art date
Application number
PCT/JP2016/051158
Other languages
English (en)
French (fr)
Inventor
貴人 平野
豊 川合
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to CN201680076736.4A priority Critical patent/CN108475480B/zh
Priority to EP16884955.2A priority patent/EP3392865B1/en
Priority to US16/061,264 priority patent/US11005645B2/en
Priority to JP2016554744A priority patent/JP6038427B1/ja
Priority to PCT/JP2016/051158 priority patent/WO2017122352A1/ja
Publication of WO2017122352A1 publication Critical patent/WO2017122352A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/10—File systems; File servers
    • G06F16/14—Details of searching files based on file metadata
    • G06F16/148—File search processing
    • G06F16/152—File search processing using file content signatures, e.g. hash values
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system

Definitions

  • the present invention relates to a search system, a management device, a registration device, a search device, a key generation device, a search method, a server program, and a terminal program.
  • the invention relates to a secret search system, for example.
  • the secret search is a technique that enables search with data to be searched and search contents encrypted.
  • the spread of cloud services and the like has made it possible to manage data on the Internet.
  • the data that has been entrusted to the data management such as a server such as a cloud
  • malware such as a computer virus
  • the server administrator acts illegally.
  • Non-Patent Document 1 a method that can perform a “complete match search” that is a simple search has been mainly studied, but in recent years, a more flexible search, for example, “partial match search” has been performed.
  • Methods that can be used for example, see Patent Literature 1 and Non-Patent Literature 2) and methods that can perform “similarity search” (for example, see Non-Patent Literature 3 and Non-Patent Literature 2) have been studied.
  • a method capable of partial match search is referred to as “secret partial match search technology”
  • a secret search technology capable of similar search is referred to as “secret similar search technology”.
  • the secret search technology is roughly divided into two types: a method based on public key encryption such as the RSA encryption method (RSA is a registered trademark) and a method based on common key encryption such as the AES encryption method. There is.
  • Patent Document 1 discloses a technique that achieves a partial match search with encryption by dividing data into units of several characters and encrypting each of them. For example, the data is encrypted by dividing the data in units of one character or two characters. However, if the data is divided by a small number of characters, a lot of the same divided data may appear. Since this technology uses a deterministic encryption method in which the same ciphertext is always generated from the same data, the same ciphertext is generated even if the same divided data is encrypted. There is a problem.
  • the frequency analysis attack refers to the frequency of ciphertext having the same value and public information about the frequency (for example, the distribution of surnames of Japanese people), so that the key used for encryption is not used.
  • it is an attack technique that guesses the original data from the ciphertext.
  • it is conceivable to use a probabilistic encryption method that converts the same data to a different character every time, but if this technology uses such an encryption method, a search can be performed. There is a problem.
  • Non-Patent Document 2 does not receive the frequency analysis attack as described above, and it is possible to reduce the size of encrypted data stored using a certain tree structure (hereinafter referred to as stored encrypted data). Search techniques are disclosed. However, in the present technology, the size of encrypted data used for search (hereinafter referred to as search encrypted data) becomes large, and the number of interactions between the user and the server at the time of search is large, so there is a problem in communication volume. is there.
  • Non-patent document 3 and non-patent document 4 disclose a secret similarity search technique including partial match search. These techniques can perform a search more flexible than the partial match search, but have a problem that both the size of the stored encrypted data and the size of the search encrypted data are large.
  • An object of the present invention is to provide a secret partial match search technique that achieves high security that is resistant to attacks such as frequency analysis, has a small data size, and a small amount of communication.
  • the encryption device of the present invention The character string data D is divided into N element data w 1 , w 2 ,. . . , W N and a data dividing unit, The N element data w 1 , w 2 ,. . . , W N
  • the set A ⁇ A 1 , A 2 ,. . . , A N ⁇
  • a location information assigning unit for generating It is a component included in the element B i (i, w i) , (i, w i w i + 1) ,. . . , (I, w i w i + 1 ... W N ) are encrypted.
  • the ciphertexts of the character string data that are important in performing the frequency analysis attack can be compared. become unable. Therefore, safety against frequency analysis attacks can be improved.
  • FIG. 3 is a diagram of the first embodiment and is a block diagram illustrating a configuration of a secret search system.
  • 3 is a diagram of the first embodiment, and is a block diagram illustrating a configuration of a key generation device.
  • FIG. 3 is a diagram of the first embodiment and is a block diagram illustrating a configuration of a registration device.
  • FIG. 3 is a diagram of the first embodiment and is a block diagram illustrating a configuration of a search device.
  • FIG. 3 is a diagram of the first embodiment and is a block diagram illustrating a configuration of a management device.
  • FIG. 4 is a flowchart of the secret search system key generation / storage process according to the first embodiment.
  • FIG. 3 is a flowchart of data registration processing of the secret search system in the first embodiment.
  • FIG. 3 is a flowchart of the data search process of the secret search system in the first embodiment.
  • FIG. 3 is a diagram of the first embodiment, and is a flowchart illustrating data deletion processing of the secret search system.
  • the figure of Embodiment 1 The figure which shows an example of the hardware resource of a secret search system.
  • FIG. 9 is a diagram of the second embodiment and is a block diagram illustrating a configuration of a key generation device.
  • FIG. 4 is a diagram of the second embodiment and is a block diagram illustrating a configuration of a registration device.
  • FIG. 4 is a diagram of the second embodiment and is a block diagram illustrating a configuration of a search device.
  • FIG. 9 is a block diagram illustrating a configuration of a management device in the second embodiment.
  • FIG. 10 is a flowchart of the key generation / storage process of the search system in the second embodiment.
  • FIG. 10 is a flowchart of the data registration process of the search system in the diagram of the second embodiment.
  • FIG. 9 is a diagram of the second embodiment, and is a flowchart showing data search processing of the search system.
  • FIG. 10 is a diagram of the third embodiment and is a block diagram illustrating a configuration of a key generation device.
  • FIG. 5 is a diagram of the third embodiment, and is a block diagram illustrating a configuration of a registration device.
  • FIG. 10 is a diagram of Embodiment 3, and is a block diagram illustrating a configuration of a search device.
  • FIG. 10 is a flowchart of the key generation / storage process of the search system in the second embodiment.
  • FIG. 10 is a flowchart of the data registration process of the search system in the diagram of the second embodiment.
  • FIG. 9 is a diagram of the second embodiment, and is a flowchar
  • FIG. 10 is a diagram of the third embodiment, and is a block diagram illustrating a configuration of a management device.
  • FIG. 10 is a flowchart of the key generation / storage process of the search system according to the third embodiment.
  • FIG. 10 is a flowchart of the data registration process of the search system according to the third embodiment.
  • FIG. 10 is a flowchart of a data search process of the search system according to the third embodiment.
  • FIG. 1 is a block diagram showing a configuration of a confidential search system 100 according to the present embodiment.
  • the secret search system 100 includes a key generation device 200, a plurality of registration devices 300, a plurality of search devices 400, and a management device 500.
  • the secret search system 100 may include a plurality of key generation devices 200.
  • the secret search system 100 may include only one registration device 300.
  • the secret search system 100 may include only one search device 400.
  • the secret search system 100 may include a plurality of management devices 500.
  • the secret search system 100 is not connected to the key generation device 200, the plurality of registration devices 300, the plurality of search devices 400, and the management device 500 via the Internet 101, but is connected to a LAN (Local / Area / Network).
  • the Internet 101 is a communication path that connects the key generation device 200, the plurality of registration devices 300, the plurality of search devices 400, and the management device 500.
  • the Internet 101 is an example of a network. Instead of the Internet 101, other types of networks may be used.
  • the key generation device 200 creates a key to be used for encryption, and transmits the key to the plurality of registration devices 300 and the plurality of search devices 400 via the Internet 101. This key may be transmitted directly to the plurality of registration devices 300 and the plurality of search devices 400 by mail or the like without using the Internet 101.
  • the registration device 300 is, for example, a personal computer.
  • the registration device 300 is a computer that operates as a registration terminal for registering stored encrypted data in the management device 500.
  • the registration device 300 functions as an encryption device and a registration device. That is, the registration device 300 generates stored encrypted data and requests the management device 500 to store the stored encrypted data.
  • the registration device 300 functions as a deletion request device. That is, the registration device 300 requests the management device 500 to delete the stored encrypted data stored.
  • the search device 400 is, for example, a personal computer.
  • the search device 400 is a computer that transmits the encrypted search data to the management device 500, receives the encrypted search result from the management device 500, and outputs the encrypted search result.
  • the search device 400 functions as a search request device. That is, the search device 400 transmits the encrypted search data to the management device 500 and requests collation between the stored encrypted data and the search encrypted data.
  • the search device 400 functions as an output device. That is, the search device 400 outputs a search result returned from the management device 500.
  • the management device 500 is a device having a large-capacity recording medium that stores the storage encrypted data created by the registration device 300.
  • the management device 500 functions as a storage device. In other words, if there is a request for storing the stored encrypted data from the registration device 300, the management apparatus 500 stores the stored encrypted data.
  • the management device 500 functions as a search device. That is, if there is a search request from the search device 400, the management device 500 collates the stored encrypted data with the search encrypted data and transmits the search result to the search device 400.
  • the management device 500 functions as a deletion device. That is, if there is a request for deletion of stored encrypted data from the registration device 300, the management device 500 deletes the stored encrypted data stored.
  • any one of the key generation device 200, the registration device 300, and the search device 400 may be included in the same personal computer. Note that both the storage encryption data and the search encryption data are encrypted. Other than the registration device 300 and the search device 400 that do not have a key, it is difficult to obtain useful information from the stored encrypted data and the search encrypted data.
  • the confidential search system 100 includes a key generation device 200, a registration device 300, a search device 400, and a management device 500.
  • the configuration of the key generation device 200, the configuration of the registration device 300, the configuration of the search device 400, and the configuration of the management device 500 will be described in order.
  • FIG. 2 is a block diagram showing a configuration of the key generation apparatus 200.
  • the key generation device 200 includes a key generation unit 201, a parameter generation unit 202, and a transmission unit 203.
  • the key generation device 200 includes a recording medium that stores data used by each unit of the key generation device 200.
  • the key generation unit 201 generates a key K for encrypting and decrypting data. Since the key K is secret information stored in the registration device 300 and the search device 400, it is generated strictly. In addition, although it demonstrated using the common key encryption technique here, you may use a public key encryption technique.
  • the parameter generation unit 202 generates parameters necessary for data encryption and data verification. For example, the maximum length L when the registration data is divided into several character strings corresponds to the parameter. L is an integer greater than 0. Since L is not secret information, it may be publicly disclosed.
  • the transmission unit 203 transmits the key K generated by the key generation unit 201 to the registration device 300 and the search device 400, and the parameter L generated by the parameter generation unit includes the registration device 300, the management device, and the like. To 500.
  • FIG. 3 is a block diagram showing a configuration of the registration apparatus 300.
  • the registration apparatus 300 includes a reception unit 301, a key storage unit 302, a parameter storage unit 303, an input unit 304, a data division unit 305, a partial character string generation unit 306, position information
  • An allocation unit 307, an encryption unit 308, and a transmission unit 309 are provided.
  • the registration device 300 includes a recording medium that stores data used by each unit of the registration device 300.
  • the receiving unit 301 receives the key K and the parameter L transmitted from the key generation device 200.
  • the key storage unit 302 stores the key K received from the reception unit 301.
  • the parameter storage unit 303 stores the parameter L received from the reception unit 301.
  • the input unit 304 receives storage data and a data name input from a data registrant.
  • the storage data D and the data name are described as ID (D). If the data registrant does not input a data name, the input unit 304 may assign a random number to the input data name ID (D) of the stored data D, or duplicate the data name of other stored data. In order to avoid this, an integer value greater than 0 may be assigned in order.
  • the data name ID (D) is an identifier for identifying the stored data D.
  • the input unit 304 receives a deletion data name for the stored encrypted data to be deleted from the data registrant.
  • the deletion data name may be anything that can specify the stored data, such as the data name input at the time of registration, the time of registration, and the name of the data registrant.
  • the data division unit 305 reads the parameter L from the parameter storage unit 303 and divides the storage data D received from the input unit 304 into (w 1 ,..., W L ). However, each wi (1 ⁇ i ⁇ L) may be obtained by dividing the data in order of one character or a plurality of characters, or may be divided in units of words.
  • the data D may be divided so that (w 1 ,..., W k ) and k ⁇ L. If the number of divisions is less than L no matter how the data is divided, it may remain below L, or a special character such as “*” or null may be used to compensate for the insufficient number of characters.
  • the length may be adjusted to L. In the following, the case where the number of divisions is set to L will be described.
  • the partial character string generation unit 306 generates the following set A from the divided data (w 1 ,..., W L ) received from the data dividing unit 305.
  • A ⁇ (w 1 ), (w 1 w 2 ),..., (W 1 ... W L ) ⁇ , ⁇ (w 2 ), (w 2 w 3 ),. 2 ⁇ w L) ⁇ , ⁇ , ⁇ (w L) ⁇ .
  • the set A is referred to as a partial character string set.
  • the position information assignment unit 307 assigns position information to each partial character string in the partial character string set A received from the partial character string generation unit 306 as follows, and generates a set B.
  • B ⁇ (1, w 1 ), (1, w 1 w 2 ),..., (1, w 1 ... W L ) ⁇ , ⁇ (2, w 2 ), (2, w 2 w 3), ⁇ , (2, w 2 ⁇ w L) ⁇ , ⁇ , ⁇ (L, w L) ⁇ .
  • the set B is referred to as a partial character string set with position information.
  • a set of ciphertexts obtained by encrypting all (i, w) is written as C (D). In the following, the pair (ID (D), C (D)) This is called a stored encrypted data set.
  • the transmission unit 309 transmits the stored encrypted data set (ID (D), C (D)) received from the encryption unit 308 to the management apparatus 500. In addition, the transmission unit 309 transmits the deletion data name received from the input unit 304 to the management apparatus 500.
  • FIG. 4 is a block diagram showing the configuration of the search device 400.
  • the search device 400 includes a reception unit 401, a key storage unit 402, an input unit 403, an encryption unit 404, a transmission unit 405, and an output unit 406.
  • the search device 400 includes a recording medium that stores data used by each unit of the search device 400.
  • the receiving unit 401 receives the key K transmitted from the key generation apparatus 200 or the search result transmitted from the management apparatus 500.
  • the key storage unit 402 stores the key K received from the reception unit 401.
  • the input unit 403 receives search data s input from a data searcher. Further, the input unit 403 may receive a plurality of storage data names from the data searcher that specify the search data and a storage encrypted data set to be searched at the same time as the search data.
  • the encryption unit 404 reads the key K from the key storage unit 402 and generates the ciphertext t using the key K for the search data s received from the input unit 403 as follows.
  • t E (K, s).
  • this t is referred to as search encrypted data.
  • the transmission unit 405 transmits the search encrypted data t received from the encryption unit 404 to the management apparatus 500. If the stored data name is input simultaneously with the search data from the data searcher, both the search encrypted data and the stored data name are transmitted to the management apparatus 500.
  • the output unit 406 outputs the search result to the data searcher based on the search result received from the receiving unit 401. If the search result is encrypted, the search result is decrypted using the key K stored in the key storage unit 402 and output.
  • FIG. 5 is a block diagram showing the configuration of the management apparatus 500.
  • the management apparatus 500 includes a reception unit 501, a parameter storage unit 502, a data storage unit 503, a collation unit 504, and a transmission unit 505.
  • the management device 500 includes a recording medium that stores data used by each unit of the management device 500.
  • the receiving unit 501 receives the parameter L transmitted from the key generation device 200, the stored encrypted data set (ID (D), C (D)) and the deleted data name transmitted from the registration device 300, and the retrieval device 400.
  • the transmitted search encrypted data t and the stored data name are received.
  • the parameter storage unit 502 stores the parameter L received from the reception unit 501.
  • the data storage unit 503 stores (ID (D), C (D)) of the storage encrypted data set received from the reception unit 501. If necessary, the date and time of transmission may be stored at the same time. Further, the data storage unit 503 deletes the stored encrypted data set stored based on the deleted data name received from the receiving unit 501.
  • the collation unit 504 generates an empty set R related to the search result, reads all stored encrypted data sets (ID (D), C (D)) from the data storage unit 503, and retrieves the search encryption received from the reception unit 501. Based on the digitized data t, collation and search results are generated as follows.
  • each Tp is referred to as collation data, ⁇ T1, ..., TL ⁇ Is referred to as a collation data set.
  • the set R that is finally generated as a result of this processing is called a search result. If the receiving unit 501 also receives the stored data name from the search device 400, the matching unit 504 reads only the target stored encrypted data set from the data storing unit 503 based on the received data name, and performs similar processing. Do.
  • the transmission unit 505 transmits the search result R received from the collation unit 504 to the search device 400.
  • FIG. 6 is a flowchart showing the key generation / storage process of the secret search system 100.
  • Steps S601 to S612 in FIG. 6 are processes executed by the key generation device 200, the registration device 300, the search device 400, and the management device 500.
  • Steps S601 to S605 are executed by the key generation apparatus 200
  • steps S606 to S608 are executed by the registration apparatus 300
  • steps S609 to S610 are executed by the search apparatus 400
  • steps S611 to S612 are executed by the management apparatus 500.
  • step numbers such as step S601 will be referred to as S601. The same applies to the step numbers in FIGS. 7 to 9, FIGS. 15 to 17 of the embodiment, and FIGS. 22 to 24 of the embodiment 3.
  • step S601 the key generation unit 201 generates a key K for encrypting data.
  • the key generation unit 201 may set a pair of the public key PK and the secret key SK as the key K and perform the subsequent processing in the same manner.
  • the parameter generation unit 202 generates a parameter L.
  • L is the maximum number of character strings that appear when the stored data is divided.
  • the transmission unit 203 transmits the key K generated in step S ⁇ b> 601 and the parameter L generated in step S ⁇ b> 602 to the registration apparatus 300.
  • the transmission unit 203 transmits the key K generated in S601 to the search device 400.
  • the transmission unit 203 transmits the parameter L generated in S602 to the management apparatus 500.
  • the reception unit 301 receives the key K and the parameter L transmitted in S603.
  • the key storage unit 302 stores the key K received in step S606 in a storage medium.
  • the parameter storage unit 303 stores the parameter L received in S606 in a storage medium.
  • step S609 the reception unit 401 receives the key K transmitted in step S604.
  • step S610 the key storage unit 402 stores the key K received in step S609 in a storage medium.
  • step S611 the reception unit 501 receives the parameter L transmitted in step S605.
  • step S612 the parameter storage unit 502 stores the parameter L received in step S611 in a storage medium.
  • the key generation / storage process of the secret search system 100 ends. Since the key K is secret information, the key storage unit 302 and the key storage unit 402 need to be stored strictly so that the key K does not leak outside.
  • FIG. 7 is a flowchart showing the registration process of the secret search system 100. 7 are processing executed by the registration apparatus 300 and the management apparatus 500. S701 to S706 are processes executed by the registration apparatus 300, and S707 to S708 are processes executed by the management apparatus 500.
  • the input unit 304 receives the storage data D and the data name ID (D) input from the data registrant. As described above, if the data registrant does not input a data name, the input unit 304 may assign the data name ID (D) of the input stored data D as a random number, or other stored data An integer value greater than 0 may be assigned in order so as not to overlap with the data name.
  • the data dividing unit 305 reads the parameter L from the parameter storage unit 303, and divides the storage data D received from the data registrant in S701 into (w 1 ,..., W L ).
  • each w i (1 ⁇ i ⁇ L) may be obtained by sequentially dividing the data by one character or a plurality of characters, or may be divided in units of words.
  • the data D may be divided so that (w 1 ,..., W k ) and k ⁇ L. If the number of divisions is less than L, no matter how the data is divided, it may remain below L, or a special character such as “*” or null may be used to compensate for the insufficient number of characters. Good.
  • the data dividing unit 305 converts the storage data D, which is character string data, into N element data w 1 ,. . . , It is divided into w N.
  • N is L or less.
  • S703 and after, the case where the storage data D is divided into L will be described.
  • L may be read as N in the following description.
  • the partial character string generation unit 306 generates the following partial character string set A from the divided data (w 1 ,..., W L ) generated in S702.
  • A ⁇ A 1 , A 2 ,. . . , A L ⁇
  • the elements of set A are as follows.
  • a L ⁇ (w L ) ⁇ , It is.
  • the element A i may be referred to as a component. That is, A i has (L ⁇ i + 1) components (w i ), (w i w i + 1 ),..., (W i ... W L ).
  • the position information allocation unit 307 allocates position information to each partial character string in the partial character string set A generated in S703 as follows, and generates a partial character string set B with position information.
  • the set B ⁇ B 1 , B 2 ,. . . , B L ⁇
  • Elements B i ⁇ (i, w i ), (i, w i w i + 1 ),. . . , (I, w i w i + 1 ... W L ) ⁇ , It is.
  • Element B i is generated by adding position information i to each component of element A i .
  • ⁇ i ⁇ in the position information i is the subscript ⁇ i ⁇ in the element A i .
  • B 1 ⁇ (1, w 1 ), (1, w 1 w 2 ),..., (1, w 1 ... W L ) ⁇
  • B 2 ⁇ (2, w 2 ), (2, w 2 w 3 ),..., (2, w 2 ... W L ) ⁇ , . . . .
  • B L ⁇ (L, w L ) ⁇
  • B i elements (i, w i ), (i, w i w i + 1 ), ..., (i, w i ... w L ), May be referred to as components below.
  • the position information allocation unit 307 is a component of the element A i of the set A (w i ), (w i w i + 1 ),. . . , (W i w i + 1 ... W L )
  • Encryption unit 308 in this way, in element B i (i, w i) , (i, w i w i + 1) ,. . . , (I, w i w i + 1 ... W L ) are encrypted.
  • the encryption unit 308 converts each component included in the element B i into storage data D that is character string data. Encryption is performed together with the data name ID (D) of the identifier to be identified.
  • E is an encryption function, and examples thereof include a common key encryption method such as AES, a message authentication code such as HMAC, and a hash function such as SHA-256.
  • the transmission unit 309 transmits the stored encrypted data set (ID (D), C (D)) generated in S705 to the management apparatus 500.
  • the receiving unit 501 receives the stored encrypted data set (ID (D), C (D)) transmitted in S706.
  • the data storage unit 503 stores the stored encrypted data set (ID (D), C (D)) received in S707.
  • FIG. 8 is a flowchart showing the search process of the secret search system 100.
  • S801 to S810 in FIG. 8 are processes executed by the search device 400 and the management device 500.
  • S801 to S803 and S809 to S810 are processes executed by the search apparatus 400, and
  • S804 to S808 are processes executed by the management apparatus 500.
  • step S ⁇ b> 801 the input unit 403 receives search data s input from a data searcher. A plurality of search data may be received simultaneously. In that case, the subsequent processing may be performed in the same manner for each search data. Further, as described above, the input unit 403 may receive a plurality of storage data names from the data searcher so as to specify the search data and the storage encryption data to be searched at the same time as the search data.
  • the transmission unit 405 transmits the search encryption data t generated in step S802 to the management apparatus 500. If the storage data name is also input in S801, the storage data name is also sent at the same time.
  • the receiving unit 501 receives the search encryption data t transmitted in S803. If the stored data name is also transmitted in S803, the stored data name is also received. In step S ⁇ b> 805, the collation unit 504 reads out the stored encrypted data set (ID (D), C (D)) from the data storage unit 503. If the storage data name is also received in S804, only the target storage encrypted data set is read based on the storage data name. If the stored data name has not been received in S804, all stored encrypted data sets stored are read out.
  • ID (D), C (D) the stored encrypted data set
  • the collation unit 504 reads the parameter L from the parameter storage unit 502, and receives it in S804 based on the ID (D) of the stored encrypted data set (ID (D), C (D)) read in S805.
  • Each verification data Tp (1 ⁇ p ⁇ L) for ID (D) is generated from the search encryption data t.
  • the collation unit 504 In S807, the collation unit 504 generates an empty set R related to the search result, and checks whether each collation data Tp (1 ⁇ p ⁇ L) generated in S806 is included in C (D). If Tp is included in C (D), add the pair (ID (D), p) to R. If there are a plurality of collation data sets generated in S806, a pair related to the search result is added to the same R. In S808, the transmission unit 505 transmits the search result R generated in S807 to the search device 400.
  • step S809 the reception unit 401 receives the search result R transmitted in step S808.
  • the output unit 406 outputs the search result R received in S809 to the data searcher as follows. For each (ID (D), p) included in the search result R, “search data appears at the p-th position of ID (D)” is output. If R is an empty set, “No search data was included in any data” is output. By S810, the search process of the secret search system 100 ends.
  • FIG. 9 is a flowchart showing the deletion process of the secret search system 100.
  • S901 to S904 in FIG. 9 are processes executed by the registration apparatus 300 and the management apparatus 500.
  • S901 to S902 are processes executed by the registration apparatus 300, and
  • S903 to S904 are processes executed by the management apparatus 500.
  • step S ⁇ b> 901 the input unit 304 receives a deletion data name for a stored encrypted data set to be deleted from a data registrant.
  • the deletion data name may be anything as long as it can identify the stored encrypted data set.
  • the transmission unit 309 transmits the deletion data name input in step S901 to the management apparatus 500.
  • step S903 the reception unit 501 receives the deletion data name transmitted from the registration apparatus 300 in step S902.
  • the data storage unit 503 deletes the stored encrypted data set stored based on the deleted data name received in S903.
  • the deletion process of the confidential search system 100 ends by S904.
  • B1 ⁇ (1, A), (1, AB), (1, ABC) ⁇ , ⁇ (2, B), (2, BC) ⁇ , ⁇ (3, C) ⁇
  • B2 ⁇ (1, B), (1, BC) ⁇ , ⁇ (2, C) ⁇ .
  • C (D1) ⁇ C11, C12, C13, C14, C15, C16 ⁇
  • C (D2) ⁇ C21, C22, C23 ⁇ .
  • Note C E (E (K, s), p, ID (D)).
  • FIG. 10 is a diagram illustrating an example of hardware resources of the key generation device 200, the registration device 300, the search device 400, and the management device 500 according to the first embodiment.
  • the key generation device 200, the registration device 300, the search device 400, and the management device 500 include a CPU 1001 (Central Processing Unit).
  • CPU 1001 Central Processing Unit
  • the CPU 1001 is connected to hardware devices such as a ROM 1003, a RAM 1004, a communication board 1005, a display 1011 (display device), a keyboard 1012, a mouse 1013, a drive 1014, and a magnetic disk device 1020 via a bus 1002, and these hardware devices. To control.
  • the drive 1014 is a device that reads and writes storage media such as an FD (Flexible Disk Drive), a CD (Compact Disc), and a DVD (Digital Versatile Disc).
  • FD Flexible Disk Drive
  • CD Compact Disc
  • DVD Digital Versatile Disc
  • ROM 1003, RAM 1004, magnetic disk device 1020, and drive 1014 are examples of storage devices.
  • a keyboard 1012, a mouse 1013, and a communication board 1005 are examples of input devices.
  • the display 1011 and the communication board 1005 are examples of output devices.
  • the communication board 1005 is wired or wirelessly connected to a communication network such as a LAN (Local Area Network), the Internet, or a telephone line.
  • a communication network such as a LAN (Local Area Network), the Internet, or a telephone line.
  • the magnetic disk device 1020 stores an OS 1021 (operating system), a program group 1022, and a file group 1023.
  • the program group 1022 includes a program for executing a function described as “ ⁇ unit” in the present embodiment.
  • Programs for example, an encryption program, a data search program, and a data registration program
  • the file group 1023 includes various types of data (input, output, determination result, calculation result, processing result, etc.) used in “ ⁇ unit” described in this embodiment.
  • arrows included in the configuration diagrams and flowcharts mainly indicate input / output of data and signals.
  • the processing of the present embodiment described based on the flowchart and the like is executed using hardware such as the CPU 1001, a storage device, an input device, and an output device.
  • what is described as “to part” may be “to circuit”, “to device”, “to device”, and “circuitry”, and “to step”, “to procedure”, It may be “ ⁇ processing”. That is, what is described as “ ⁇ unit” may be implemented by any of firmware, software, hardware, or a combination thereof.
  • Embodiment 1 has the following effects, for example.
  • the search result obtained from the stored encrypted data and the search encrypted data. Therefore, the stored data is not stored for an entity having no key such as a server. And the contents of search data are never known.
  • the search result in addition to the fact that the search has been hit, the search result also has position information about where the search data appears, so that it has a flexible partial match search function.
  • the search encrypted data is composed of only one ciphertext, the data size used for the search is very small, and the data searcher and the server exchange only once during the search. Therefore, it is possible to efficiently perform a secret partial match search.
  • the present embodiment since all can be configured from the common key encryption technology, an efficient secret partial match search can be realized.
  • Embodiment 2 the secret search system of this embodiment will be described.
  • ID (D), C (D)) Applicable immediately.
  • the technique disclosed in the second embodiment cannot be applied to the newly added stored encrypted data set with the search encrypted data t used in the past. Therefore, higher safety can be achieved.
  • a method using multiple encryption such as a hash chain is disclosed.
  • E ⁇ M (K, w) for the encryption function E
  • (K, M) is an initial value
  • the encryption function E is calculated M times (in other words, M times of multiple encryption is performed).
  • a hash chain is well known as such multiple encryption.
  • E ⁇ M (K, w) Is the search encryption data t for the data stored in the Mth time.
  • the secret search system 100 of this embodiment is partially different from that of the first embodiment.
  • the key generation device 200 is changed to the key generation device 200a
  • the registration device 300 is changed to the registration device 300a
  • the search device 400 is changed to the search device 400a
  • the management device 500 is changed to the management device 500a.
  • the configuration of the present embodiment will be described.
  • the configuration of the key generation device 200a the configuration of the registration device 300a, the configuration of the search device 400a, and the configuration of the management device 500a will be described in order.
  • FIG. 11 is a block diagram showing the configuration of the key generation device 200a.
  • the key generation device 200a includes a key generation unit 201, a parameter generation unit 202a, and a transmission unit 203a.
  • the key generation device 200a includes a recording medium that stores data used in each unit of the key generation device 200a. Since the description of the key generation unit 201 has already been given, it will be omitted.
  • the parameter generation unit 202a generates the parameter L that represents the maximum number of times of multiple encryption at the same time as generating the parameter L described above.
  • This M represents the maximum number of stored encrypted data sets that can store stored data in the management apparatus 500a using the same key K. If it is desired to store the stored encrypted data sets beyond M, new M 'keys can be registered by generating new keys K' and M '. M is an integer greater than 1. Further, since M is not secret information like L, it may be publicly disclosed.
  • the transmission unit 203a transmits the key K generated by the key generation unit 201 to the registration device 300a and the search device 400a, and the parameters (L, M) generated by the parameter generation unit 202a It transmits to 300a, search device 400a, and management device 500a.
  • FIG. 12 is a block diagram showing the configuration of the registration device 300a.
  • the registration device 300a includes a receiving unit 301a, a key storage unit 302, a parameter storage unit 303a, an input unit 304, a data division unit 305, a partial character string generation unit 306, and position information.
  • An allocation unit 307, a multiple encryption unit 308a, and a transmission unit 309a are provided.
  • the registration device 300a includes a recording medium that stores data used in each unit of the registration device 300a. Descriptions of the key storage unit 302, the input unit 304, the data division unit 305, the partial character string generation unit 306, and the position information allocation unit 307 are omitted because they have already been described.
  • the receiving unit 301a receives the key K and parameters (L, M) transmitted from the key generation device 200a.
  • the parameter storage unit 303a stores the parameters (L, M) received from the reception unit 301a, and the stored encrypted data set stored in the management device 500a encrypted using the key K and the parameter M.
  • the parameter m representing the number is also stored.
  • the multiple encryption unit 308 a reads the key K from the key storage unit 302, the parameter m from the parameter storage unit 303 a, and the portion with position information in the partial character string set B with position information received from the position information allocation unit 307.
  • a set of ciphertexts obtained by encrypting all (p, w) is written as C (D).
  • (ID (D), m, C (D)) Is called a stored encrypted data set.
  • E is an encryption function such as AES
  • a key is required every time E is calculated. May be determined in advance and stored as parameters, or L or M of parameters already stored may be used as a key. If E is a hash function, no such key is needed for multiple encryption.
  • the transmission unit 309a transmits the stored encrypted data set (ID (D), m, C (D)) received from the encryption unit 308 to the management device 500a, and transmits the parameter m to the search device 400a. . In addition, the transmission unit 309 a transmits the deletion data name received from the input unit 304 to the management apparatus 500.
  • FIG. 13 is a block diagram showing the configuration of the search device 400a.
  • the search device 400a includes a receiving unit 401a, a key storage unit 402, an input unit 403, a multiple encryption unit 404a, a transmission unit 405, an output unit 406, and a parameter storage unit 407a. Is provided.
  • the search device 400a includes a recording medium that stores data used in each unit of the search device 400a.
  • the receiving unit 401a receives the key K and parameter M transmitted from the key generation device 200a, the parameter m transmitted from the registration device 300a, and the search result transmitted from the management device 500a.
  • the multiple encryption unit 404a reads the key K from the key storage unit 402 and the parameter m from the parameter storage unit 407a, and uses the key K and the parameter m for the search data s received from the input unit 403 to
  • the ciphertext t is generated as follows.
  • the multiple encryption unit 404a t E ⁇ (M + 1 ⁇ m) (K, s) Is generated.
  • this t is referred to as search encrypted data.
  • E ⁇ i (i ⁇ 1) is calculated, if E is an encryption function such as AES, a key is required every time E is calculated. All keys such as 1 may be determined in advance and stored as parameters, or the already stored parameters L and M may be used as keys. If E is a hash function, no such key is needed for multiple encryption.
  • the parameter storage unit 407a stores the parameter M received from the reception unit 401.
  • the parameter storage unit 407a updates the m parameters (M, m) that are already stored.
  • FIG. 14 is a block diagram showing the configuration of the management device 500a.
  • the management apparatus 500a includes a receiving unit 501a, a parameter storage unit 502a, a data storage unit 503, a collation unit 504a, a transmission unit 505, and a multiple encryption unit 506a.
  • the management device 500a includes a recording medium that stores data used by each unit of the management device 500a.
  • the receiving unit 501a includes parameters (L, M) transmitted from the key generation device 200a, storage encrypted data sets (ID (D), m, C (D)) transmitted from the registration device 300a, and deletion data.
  • the search encrypted data t and the stored data name transmitted from the name and search device 400a are received.
  • the parameter storage unit 502a also stores the parameters (L, M) received from the receiving unit 501a and m of the stored encrypted data set (ID (D), m, C (D)).
  • the collation unit 504a generates an empty set R related to the search result, and stores all stored encrypted data sets (ID (Di), m, C (Di)) (1 ⁇ i ⁇ m) from the data storage unit 503. Read and multiple encrypted data set ⁇ (1, t1), (2, t2),..., (M, tm) ⁇ received from multiple encryption unit 506a described later Based on the above, collation and search results are generated as follows.
  • each Tp_i is referred to as collation data for ID (Di), ⁇ T1, ..., TL ⁇ Is referred to as a collation data set for ID (Di). Also, the set R that is finally generated as a result of this processing is called a search result.
  • the matching unit 504a reads only the target stored encrypted data set from the data storing unit 503 based on the received data name, and performs similar processing. Do.
  • the multiple encryption unit 506a reads the parameter m from the parameter storage unit 502a, and generates the following multiple encrypted data based on the search encrypted data t received from the reception unit 501.
  • t1 E ⁇ (m ⁇ 1) (t)
  • t2 E ⁇ (m ⁇ 2) (t)
  • Set ⁇ (1, t1), (2, t2), ..., (m, tm) ⁇ Is called a multiple encrypted data set.
  • E ⁇ i (i ⁇ 1) is calculated, if E is an encryption function such as AES, a key is required every time E is calculated. All keys such as 1 may be determined in advance and stored as parameters, or the already stored parameters L and M may be used as keys. If E is a hash function, no such key is needed for multiple encryption.
  • FIG. 15 is a flowchart showing a key generation / storage process of the secret search system 100 according to this embodiment.
  • S601 to S612a in FIG. 15 are processes executed by the key generation device 200a, the registration device 300a, the search device 400a, and the management device 500a.
  • Steps S601 to S605a are executed by the key generation device 200a
  • steps S606a to S608a are executed by the registration device 300a
  • steps S609a to S610a2 are executed by the search device 400a
  • steps S611a through S612a are executed by the management device 500a.
  • the parameter generation unit 202a generates parameters L and M.
  • L is the maximum number of character strings that appear when the stored data is divided
  • M is the maximum number of stored encrypted data sets that can store the stored data in the management apparatus 500a using the same key K.
  • the transmission unit 203a transmits the key K generated in S601 and the parameters (L, M) generated in S602a to the registration apparatus 300a.
  • the transmission unit 203a transmits the key K generated in S601 and the parameters (L, M) generated in S602a to the search device 400a.
  • the transmission unit 203a transmits the parameters (L, M) generated in S602 to the management apparatus 500a.
  • the reception unit 301a receives the key K and parameters (L, M) transmitted in S603a.
  • the parameter storage unit 303a stores the parameters (L, M) received in S606a in a storage medium.
  • the reception unit 401a receives the key K and parameters (L, M) transmitted in S604a.
  • the key storage unit 402 stores the key K received in S609a in a storage medium.
  • the parameter storage unit 407a stores the parameters (L, M) received in S609a in a storage medium.
  • the reception unit 501a receives the parameters (L, M) transmitted in S605a.
  • the parameter storage unit 502a stores the parameters (L, M) received in S611a in a storage medium.
  • the key generation / storage process of the secret search system 100 ends.
  • FIG. 16 is a flowchart showing a registration process of the secret search system 100 according to the second embodiment.
  • S701 to S712a in FIG. 16 are processes executed by the registration device 300a, the search device 400a, and the management device 500a.
  • S701 to S706, S709a, and S712a are processes executed by the registration apparatus 300a
  • S707 to S708a2 are processes performed by the management apparatus 500a
  • S710a to S711a are processes performed by the search apparatus 400a.
  • S701 to S704 and S706 to S707 in this search process are the same as those in the first embodiment, and thus are omitted here.
  • the multiple encryption unit 308 reads the key K from the key storage unit 302 and the parameter m from the parameter storage unit 303a, and each portion with position information in the partial character string set B with position information generated in S704.
  • a ciphertext C of a character string is generated as follows.
  • the multi-encryption unit 308 performs the following on each pair (p, w) of the position information and the partial character string.
  • C E (E ⁇ (M + 1-m) (K, w), p, ID (D)) And calculate.
  • a set of ciphertexts obtained by encrypting all (p, w) is defined as C (D), and a stored encrypted data set (ID (D), m, C (D)) is generated.
  • the data storage unit 503 stores the storage encrypted data set (ID (D), m, C (D)) received in S707.
  • the parameter storage unit 502a updates the value of m stored from m of the stored encrypted data set (ID (D), m, C (D)) received in S707.
  • the transmission unit 309a transmits the parameter m read in S705a to the search device 400a.
  • the reception unit 401a receives the parameter m transmitted in S710a.
  • the parameter storage unit 407a updates the stored parameter m by replacing it with the parameter m received in S711a.
  • the parameter storage unit 303a increments the value of the parameter m by 1 and updates the value of m.
  • the registration process of the confidential search system 100 ends.
  • FIG. 17 is a flowchart showing search processing of the secret search system 100 according to the second embodiment.
  • S801 to S810 in FIG. 17 are processes executed by the search device 400a and the management device 500a.
  • S801 to S803 and S809 to S810 are processes executed by the search apparatus 400a, and S804 to S808 are processes executed by the management apparatus 500.
  • S801, S803, S804, and S808 to S810 in the search process are the same as those in the first embodiment, and are omitted here.
  • the multiple encryption unit 506a reads the parameter m from the parameter storage unit 502a, and based on the search encrypted data t received in S804, the following multiple encrypted data set ⁇ (1, t1), (2 , T2),..., (M, tm) ⁇ .
  • t1 E ⁇ (m ⁇ 1) (t)
  • t2 E ⁇ (m ⁇ 2) (t)
  • the collation unit 504a reads the stored encrypted data set (ID (D), C (D)) from the data storage unit 503. If the storage data name is also received in S804, only the target storage encrypted data set is read based on the storage data name.
  • the matching unit 504a generates an empty set R related to the search result, The following processing is performed for each p (1 ⁇ p ⁇ L). It is confirmed whether each collation data Tp_i (1 ⁇ p ⁇ L) corresponding to the ID (Di) generated in S806a is included in C (Di). If Tp_i is included in C (Di), add the pair (ID (Di), p) to R.
  • the search process of the secret search system 100 ends by S810. Also in this embodiment, it is possible to delete the stored encrypted data set by performing the same deletion process as in the first embodiment.
  • D1 (A, B, C).
  • A1 ⁇ (A), (AB), (ABC) ⁇ , ⁇ (B), (BC) ⁇ , ⁇ (C) ⁇ And generated.
  • B1 ⁇ (1, A), (1, AB), (1, ABC) ⁇ , ⁇ (2, B), (2, BC) ⁇ , ⁇ (3, C) ⁇ .
  • search result R ⁇ (1,2) ⁇ is generated.
  • a search result such as “search data BC appears from the“ second ”position of the data whose storage data name is“ 1 ”” is output.
  • D2 registration processing is performed.
  • D2 (B, C).
  • A2 ⁇ (B), (BC) ⁇ , ⁇ (C) ⁇ is generated.
  • B2 ⁇ (1, B), (1, BC) ⁇ , ⁇ (2, C) ⁇ is generated.
  • E ⁇ 1 E.
  • the stored encrypted data set (2, 2, C (D2)) is stored through S707 and S708a1.
  • S708a2 to S712a the parameter m of the parameter storage unit 303a is updated to 3
  • the parameter m of the parameter storage unit 407a and the parameter storage unit 502a is updated to 2.
  • T1_1 E (t1,1,1)
  • T2_1 E (t1,2,1)
  • T3_1 E (t1,3,1)
  • T1_2 E (t2,1,2)
  • T2_2 E (t2,2,2)
  • T3_2 E (t2, 3, 2)
  • T1_1, T2_1, and T3_1 are included in C (D1)
  • T1_2, T2_2, and T3_2 are included in C (D2).
  • T2_1 is included in C (D1) (matches C15)
  • search data BC appears from the“ second ”position of the data with the stored data name“ 1 ””, “from the“ first ”position of the data with the stored data name“ 2 ”.
  • a search result such as “search data BC appears” is output.
  • Embodiment 3 Next, the secret search system of this embodiment will be described.
  • the second embodiment higher security can be achieved by using multiple encryption such as a hash chain, but the number of stored encrypted data sets that can be generated and stored with the same key K depends on the parameter M and the linear type. Therefore, it is necessary to increase M to some extent. On the other hand, if M is too large, multiple encryption processing takes time. Therefore, in the present embodiment, even if the same M as in the second embodiment is selected by storing a plurality of stored data without storing the stored data one by one, the same key K Disclose a technology that can increase the maximum number of stored data that can be encrypted and stored in the Internet and improve search efficiency.
  • a technique for storing a plurality of stored data simultaneously as an index without storing the stored data one by one is disclosed.
  • the secret search system 100 of the present embodiment is partially different from the second embodiment.
  • the key generation device 200a is changed to the key generation device 200b
  • the registration device 300a is changed to the registration device 300b
  • the search device 400a is changed to the search device 400b
  • the management device 500a is changed to the management device 500b.
  • the configuration of the present embodiment will be described.
  • the configuration of the key generation device 200b the configuration of the registration device 300b, the configuration of the search device 400b, and the configuration of the management device 500b will be described in order.
  • FIG. 18 is a block diagram showing a configuration of the key generation device 200b.
  • the key generation device 200b includes a key generation unit 201, a parameter generation unit 202b, and a transmission unit 203b.
  • the key generation device 200b includes a recording medium that stores data used in each unit of the key generation device 200b. Since the description of the key generation unit 201 has already been given, it will be omitted.
  • the parameter generation unit 202b generates the parameter N that represents the maximum number of stored data that can be stored at the same time as the above-described parameters L and M are generated. That is, each index can hold information on up to N pieces of stored data. If the number of stored data to be stored at a time exceeds N, a plurality of indexes are generated so that each index is associated with at most N stored data. N is an integer greater than 1. Since N is not secret information like L and M, it may be publicly disclosed.
  • the transmission unit 203b transmits the key K generated by the key generation unit 201 to the registration device 300b and the search device 400b, and the parameters (L, M, N) generated by the parameter generation unit 202b are The information is transmitted to the registration device 300b and the management device 500b, and the parameters (L, M) are transmitted to the search device 400b.
  • FIG. 19 is a block diagram showing the configuration of the registration device 300b.
  • the registration device 300b includes a receiving unit 301b, a key storage unit 302, a parameter storage unit 303b, an input unit 304b, a data division unit 305, a partial character string generation unit 306, and position information.
  • An allocation unit 307, a multiple encryption unit 308b, a transmission unit 309b, and an aggregation unit 310b are provided.
  • the registration device 300b includes a recording medium that stores data used in each unit of the registration device 300b.
  • the receiving unit 301b receives the key K and parameters (L, M, N) transmitted from the key generation device 200b.
  • the parameter storage unit 303b stores the parameters (L, M, N) received from the reception unit 301b, and the number of indexes stored in the management device 500a encrypted using the key K and the parameter M. Also store the parameter m to represent.
  • the initial value of m represents 1, and when m is read from the multiple encryption unit 308a, the value of m is incremented by 1 and the value of m is updated.
  • the input unit 304b receives a set of stored data and stored data name pairs ⁇ (ID (D1), D1), ..., (ID (Dn), Dn) ⁇ from the data registrant, Index name ID (I) Receive.
  • the data dividing unit 305, the partial character string generating unit 306, and the position information allocating unit 307 perform the above ⁇ (ID (D1), D1),..., (ID (Dn), Dn) ⁇ .
  • processing is performed as follows.
  • Each partial character string set Bi with position information (1 ⁇ i ⁇ n) is divided as follows: ⁇ (1, w 1 _i), (1, w 1 _iw 2 _i), ..., (1, w 1 _i ...
  • the multiple encryption unit 308b receives the aggregated data set Y received from the aggregation unit 310b described later, reads the key K from the key storage unit 302, and the parameters (m, M, N) from the parameter storage unit 303b.
  • the transmission unit 309b transmits the storage index (ID (I), m, I) received from the multiple encryption unit 308b to the management apparatus 500b, and also retrieves the parameter m used when the index I is generated. To 400b.
  • the aggregating unit 310b generates the following set Y for B1,... Bn received from the position information allocation unit 307.
  • Each element of set Y is (P, w, ⁇ ID (D_i1), ..., ID (D_ik) ⁇ , ⁇ ID (D_ik + 1), ..., ID (D_in) ⁇ )
  • This pair (p, w) is always included in any one of B1,..., Bn.
  • a plurality may be included. That is, Y can be regarded as a set in which elements B1,..., Bn are aggregated.
  • ⁇ ID (D_i1), ..., ID (D_in) ⁇ ⁇ ID (D1), ..., ID (Dn) ⁇ It is.
  • Y is referred to as an aggregate data set.
  • FIG. 20 is a block diagram showing a configuration of the search device 400b.
  • the search device 400b includes a receiving unit 401a, a key storage unit 402, an input unit 403b, a multiple encryption unit 404b, a transmission unit 405b, an output unit 406, and a parameter storage unit 407a. Is provided.
  • the search device 400b includes a recording medium that stores data used by each unit of the search device 400b.
  • the description of the receiving unit 401a, the key storage unit 402, the output unit 406, and the parameter storage unit 407a has already been described and will be omitted.
  • the input unit 403b receives the search data s input from the data searcher. Further, the input unit 403b may receive a plurality of storage index names from the data searcher that specify the search data and the storage index to be searched at the same time as the search data.
  • the multiple encryption unit 404b reads the key K from the key storage unit 402 and the parameter m from the parameter storage unit 407a, and uses the key K and the parameter m for the search data s received from the input unit 403b to
  • the ciphertext t is generated as follows.
  • the multiple encryption unit 404b t E ⁇ (M + 1 ⁇ m) (K, s, 0) Is generated.
  • this t is referred to as search encrypted data.
  • the transmission unit 405b transmits the search encrypted data t received from the multiple encryption unit 404b to the management device 500b. If the storage index name is input simultaneously with the search data from the data searcher, both the search encryption data and the storage index name are transmitted to the management apparatus 500b.
  • FIG. 21 is a block diagram showing a configuration of the management apparatus 500b.
  • the management apparatus 500b includes a receiving unit 501b, a parameter storage unit 502b, a data storage unit 503b, a collation unit 504b, a transmission unit 505, and a multiple encryption unit 506a.
  • the management device 500b includes a recording medium that stores data used by each unit of the management device 500b.
  • the receiving unit 501b includes the parameters (L, M, N) transmitted from the key generation device 200b, the stored encrypted data set (ID (I), m, I) and the deletion index name transmitted from the registration device 300b.
  • the search encrypted data t and the storage index name transmitted from the search device 400b are received.
  • the parameter storage unit 502b also stores the parameters (L, M, N) received from the receiving unit 501b and m of the storage index (ID (I), m, I).
  • the data storage unit 503b stores the storage index (ID (I), m, I) received from the receiving unit 501b. If necessary, the date and time of transmission may be stored at the same time. Further, the data storage unit 503b deletes the stored index based on the delete index name received from the receiving unit 501b.
  • the collation unit 504b generates an empty set R related to the search result, reads all storage indexes (ID (I), m, I) from the data storage unit 503b, and receives the multiple encrypted data received from the multiple encryption unit 506a. Based on the set ⁇ (1, t1), (2, t2),..., (M, tm) ⁇ , collation and search results are generated as follows.
  • the collation unit 504b extracts the storage index of (ID (I), i, I) for each i (1 ⁇ i ⁇ m) and repeatedly executes the following.
  • C_pj E (ti, p, j, ID (I)) is calculated (total of L ⁇ N calculations)
  • C_pj E (ti, p, j, ID (I)) is calculated (total of L ⁇ N calculations)
  • C_pj is included in index I, and if it is included, extract ID (D) stored in pairs with C_pj and add (ID (D), p) to empty set R To do.
  • C_pj + 1 E (ti, p, j + 1, ID (I)) Is not included in index I, E (ti, p, j + 2, ID (I)), ..., E (ti, p, N, ID (I)) Is not included in the index I, the search efficiency can be improved by omitting these calculations.
  • Each C_pj (1 ⁇ p ⁇ L, 1 ⁇ j ⁇ N) Will be referred to as collation data for ID (I).
  • the set R that is finally generated as a result of this processing is called a search result.
  • the matching unit 504b reads only the target storage index from the data storage unit 503b based on the received storage index name, and performs the same processing.
  • FIG. 22 is a flowchart showing key generation / storage processing of the secret search system 100 according to the present embodiment.
  • S601 to S612b in FIG. 22 are processes executed by the key generation device 200b, the registration device 300b, the search device 400b, and the management device 500b.
  • Steps S601 to S605b are executed by the key generation device 200b
  • steps S606b to S608b are executed by the registration device 300b
  • steps S609a to S610a2 are executed by the search device 400b
  • steps S611b to S612b are executed by the management device 500a.
  • S601, S604a, S607, and S609a to S610a2 in this search process are the same as those in the second embodiment, and are omitted here.
  • the parameter generation unit 202b generates parameters L, M, and N.
  • L is the maximum number of character strings that appear when the storage data is divided
  • M represents the maximum number of storage indexes that can be stored in the management apparatus 500b using the same key K
  • N is one at a time. This is the maximum number of stored data that can be registered.
  • the transmission unit 203b transmits the key K generated in S601 and the parameters (L, M, N) generated in S602b to the registration apparatus 300b.
  • the transmission unit 203b transmits the parameters (L, M, N) generated in S602b to the management apparatus 500b.
  • the reception unit 301b receives the key K and parameters (L, M, N) transmitted in S603b.
  • the parameter storage unit 303b stores the parameters (L, M, N) received in S606b in a storage medium.
  • the reception unit 501b receives the parameters (L, M, N) transmitted in S605b.
  • the parameter storage unit 502b stores the parameters (L, M, N) received in S611b in a storage medium.
  • FIG. 23 is a flowchart showing the registration process of the secret search system 100.
  • S701 to S712a in FIG. 23 are processes executed by the registration device 300b, the search device 400b, and the management device 500b.
  • S701 to S706b, S709a, and S712a are processes executed by the registration apparatus 300b
  • S707b to S708b2 are processes performed by the management apparatus 500b
  • S710a to S711a are processes performed by the search apparatus 400b.
  • S701 to S704 and S709a2 to S712a in the search process are the same as those in the second embodiment, and thus are omitted here.
  • the aggregating unit 310b generates an aggregated data set Y for B1,... Bn generated in S704. As described above, each element of Y is represented as (p, w, ⁇ ID (D_i1),..., ID (D_ik) ⁇ , ⁇ ID (D_ik + 1),..., ID (D_in) ⁇ ). It is.
  • the multiple encryption unit 308b receives the aggregated data set Y generated in S705b1, reads the key K from the key storage unit 302, reads the parameter (m, M, N) from the parameter storage unit 303b, and stores the index ( ID (I), m, I) is generated.
  • C1 E (E ⁇ (M + 1 ⁇ m) (K, w, 0), p, 1, ID (I)), ...
  • the transmission unit 309b transmits the storage index (ID (I), m, I) generated in S705b2 to the management apparatus 500b.
  • the reception unit 501b receives the storage index (ID (I), m, I) transmitted in S706b.
  • the data storage unit 503b stores the storage index (ID (I), m, I) received in S707b.
  • the parameter storage unit 502b updates the value of m stored from m of the storage index (ID (I), m, I) received in S707b.
  • FIG. 24 is a flowchart showing the search process of the secret search system 100.
  • S801 to S810 in FIG. 24 are processes executed by the search device 400b and the management device 500b.
  • S801 to S803 and S809 to S810 are executed by the search apparatus 400b, and
  • S804 to S808 are executed by the management apparatus 500.
  • S801, S803, S804 to S805a1, and S808 to S810 in the search process are the same as those in the second embodiment, and thus are omitted here.
  • the collation unit 504b reads all the storage indexes (ID (I), m, I) from the data storage unit 503b. If the storage index name is also received in S804, only the target storage index is read based on the storage index name. If the storage index name has not been received in S804, all stored storage indexes are read out.
  • the plurality of storage encrypted data sets read out are ⁇ (ID (I1), 1, I1)), ..., (ID (Im), m, Im) ⁇
  • the collation unit 504b reads the parameters (L, N) from the parameter storage unit 502b, and (ID (Ii), i, Ii) (1 ⁇ i ⁇ m) of each storage index read in S805b2.
  • a collation data set Xi for each Ii is generated as follows.
  • A1 ⁇ (A), (AB), (ABC) ⁇ , ⁇ (B), (BC) ⁇ , ⁇ (C) ⁇ And
  • A2 ⁇ (B), (BB), (BBC) ⁇ , ⁇ (B), (BC) ⁇ , ⁇ (C) ⁇ And generated.
  • C11 E (E ⁇ 2 (K, A, 0), 1, 1, 3)
  • C12 E (E ⁇ 2 (K, A, 1), 1, 2, 3)
  • C21 E (E ⁇ 2 (K, AB, 0), 1, 1, 3)
  • C22 E (E ⁇ 2 (K, AB, 1), 1, 2, 3)
  • C31 E (E ⁇ 2 (K, ABC, 0), 1, 1, 3)
  • C32 E (E ⁇ 2 (K, ABC, 1), 1, 2, 3)
  • C41 E (E ⁇ 2 (K, B, 0), 1, 1, 3)
  • C42 E (E ⁇ 2 (K, B, 1), 1, 2, 3)
  • C51 E (E ⁇ 2 (K, BB, 0), 1, 1, 3)
  • C52 E (E ⁇ 2 (K, BB, 1), 1, 2, 3)
  • C61 E (E ⁇ 2 (K, BBC, 0), 1, 1, 3)
  • C62 E (E ⁇ 2 (K, BBC,
  • the storage index (3, 1, I) is stored through S707b and S708b1.
  • the parameter m of the parameter storage unit 303a is updated to 2
  • the parameter m of the parameter storage unit 407a and the parameter storage unit 502a is updated to 1.
  • S805b2 (3, 1, I) is read.
  • Embodiment 3 has the following effects, for example.
  • the stored data is not stored one by one, but a plurality of stored data are stored together, so that even if the same M as in the second embodiment is selected, the same key K is used for encryption.
  • the maximum number of stored data that can be stored and stored can be increased, and the search efficiency can be improved.
  • 100 secret search system 101 internet, 200, 200a, 200b key generation device, 201 key generation unit, 202, 202a, 202b parameter generation unit, 203, 203a, 203b transmission unit, 300, 300a, 300b registration device, 301, 301a , 301b reception unit, 302 key storage unit, 303, 303a, 303b parameter storage unit, 304, 304b input unit, 305 data division unit, 306 partial character string generation unit, 307 location information allocation unit, 308 encryption unit, 308a, 308b Multiple encryption unit, 309, 309a, 309b transmission unit, 310b aggregation unit, 400, 400a, 400b search device, 401, 401a reception unit, 402 key storage unit, 403, 403b input unit, 404 encryption unit, 4 4a, 404b Multiple encryption unit, 405, 405b transmission unit, 406 output unit, 407a parameter storage unit, 500, 500a, 500b management device, 501, 501a, 501b reception unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Library & Information Science (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Storage Device Security (AREA)

Abstract

データ分割部（３０５）は、保管データＤを、前記文字列データＤの始まりから終わりに向かうＮ個の要素データｗ１，ｗ２，．．．，ｗＮに分割する。部分文字列生成部（３０６）は、要素データｗ１，ｗ２，．．．，ｗＮから、集合Ａ＝｛Ａ１，Ａ２，．．．，ＡＮ｝，集合Ａの要素Ａｉ＝｛（ｗｉ），（ｗｉｗｉ＋１），．．．，（ｗｉｗｉ＋１．．．ｗＮ）｝，ｉ＝１，．．．，Ｎ，を生成する。位置情報割当部（３０７）は、要素Ａｉの成分である（ｗｉ），（ｗｉｗｉ＋１），．．．，（ｗｉｗｉ＋１．．．ｗＮ）のそれぞれに位置情報ｉを対応させることにより、集合Ｂ＝｛Ｂ１，Ｂ２，．．．，ＢＮ｝、集合Ｂの要素Ｂｉ＝｛（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），．．．，（ｉ，ｗｉｗｉ＋１．．．ｗＮ）｝を生成する。暗号化部（３０８）は、要素Ｂｉに含まれる成分である（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），．．．，（ｉ，ｗｉｗｉ＋１．．．ｗＮ）のそれぞれを暗号化する。

Description

暗号化装置、暗号化方法及び暗号化プログラム
　本発明は、検索システム、管理装置、登録装置、検索装置、鍵生成装置、検索方法、サーバプログラム及び端末プログラムに関する。発明は、例えば、秘匿検索システムに関するものである。
　秘匿検索とは、検索対象データと検索内容を暗号化したまま検索できる技術である。近年、クラウドサービス等の普及によりインターネット上でデータ管理が可能となった。
　しかし、インターネット上でのデータ管理には、データ管理の委託先であるクラウドなどのサーバがコンピュータウィルス等のマルウェアに感染することやサーバの管理者が不正を働くことによって、預けたデータが外部に漏洩する危険性がある。もしサーバに預けたデータが個人情報や企業機密データであった場合、この漏洩は非常に問題である。
　このようなセキュリティの脅威を回避する方法として暗号化技術があるが、単純にデータを暗号化してサーバに保管するとデータの検索ができなくなるといった問題が発生する。
　このような問題を回避するために、検索を行うときにサーバ上に保管された暗号化データを一旦復号してから検索を行うという手法が今までに考えられてきたが、データがサーバ内で一定期間平文に戻ってしまうため、対策として十分とはいえない。
　そこで、データを暗号化したまま検索可能な暗号技術である「秘匿検索技術」が考案され、秘匿検索技術の具体的な手法が近年多く開示されている。
　秘匿検索技術では、単純な検索である「完全一致検索」ができる方式（例えば、非特許文献１参照）が主に検討されていたが、近年はより柔軟な検索、例えば「部分一致検索」ができる方式（例えば、特許文献１、非特許文献２参照）や「類似検索」ができる方式（例えば、非特許文献３、非特許文献２参照）なども検討されている。これ以降、部分一致検索可能な方式を「秘匿部分一致検索技術」、類似検索可能な秘匿検索技術を「秘匿類似検索技術」と呼ぶこととする。なお、秘匿検索技術は大まかに分けて、ＲＳＡ暗号方式（ＲＳＡは登録商標）のような公開鍵暗号をベースとした方式や、ＡＥＳ暗号方式のような共通鍵暗号をベースとした方式の２種類がある。
特開２０１４－１２６６２１号公報
Ｒ．Ｃｕｒｔｍｏｌａ，Ｊ．Ｇａｒａｙ，Ｓ．Ｋａｍａｒａ，ａｎｄ　Ｒ．Ｏｓｔｒｏｖｓｋｙ．"Ｓｅａｒｃｈａｂｌｅ　Ｓｙｍｍｅｔｒｉｃ　Ｅｎｃｒｙｐｔｉｏｎ：Ｉｍｐｒｏｖｅｄ　Ｄｅｆｉｎｉｔｉｏｎｓ　ａｎｄ　Ｅｆｆｉｃｉｅｎｔ　Ｃｏｎｓｔｒｕｃｔｉｏｎｓ"．ＡＣＭ　ＣＣＳ　２００６． Ｍ．Ｃｈａｓｅ　ａｎｄ　Ｅ．Ｓｈｅｎ．"Ｓｕｂｓｔｒｉｎｇ－Ｓｅａｒｃｈａｂｌｅ　Ｓｙｍｍｅｔｒｉｃ　Ｅｎｃｒｙｐｔｉｏｎ"，ＰＥＴＳ　２０１５． Ｊ．Ｌｉ，Ｑ．Ｗａｎｇ，Ｃ．Ｗａｎｇ，Ｎ．Ｃａｏ，Ｋ．Ｒｅｎ，ａｎｄ　Ｗ．Ｌｏｕ．"Ｆｕｚｚｙ　Ｋｅｙｗｏｒｄ　Ｓｅａｒｃｈ　ｏｖｅｒ　Ｅｎｃｒｙｐｔｅｄ　Ｄａｔａ　ｉｎ　Ｃｌｏｕｄ　Ｃｏｍｐｕｔｉｎｇ"，Ｍｉｎｉ－Ｃｏｎｆｅｒｅｎｃｅ　ａｔ　ＩＥＥＥ　Ｉｎｆｏｃｏｍ　２０１０． Ｃ．Ｗａｎｇ，Ｋ．Ｒｅｎ，Ｓ．Ｙｕ，ａｎｄ　Ｋ．Ｍ．Ｒ．Ｕｒｓ．"Ａｃｈｉｅｖｉｎｇ　Ｕｓａｂｌｅ　ａｎｄ　Ｐｒｉｖａｃｙ－ａｓｓｕｒｅｄ　Ｓｉｍｉｌａｒｉｔｙ　Ｓｅａｒｃｈ　ｏｖｅｒ　Ｏｕｔｓｏｕｒｃｅｄ　Ｃｌｏｕｄ　Ｄａｔａ"，ＩＥＥＥ　Ｉｎｆｏｃｏｍ　２０１２．
　ＡＥＳやＨＭＡＣ、またＳＨＡ－２５６のような共通鍵暗号技術をベースとした高速な既存の秘匿部分一致検索技術には次のような課題がある。
　特許文献１では、データを数文字単位に分割し、それぞれを暗号化することによって、暗号化したまま部分一致検索を達成している技術が開示されている。例えば、データを１文字や２文字などの単位でデータを区切って暗号化している。
　しかしながら、データを少ない文字数で分割すると、全く同じような分割データが多く現れる可能性がある。本技術では、同じデータからいつも同じ暗号文が生成される確定的暗号化方式を利用するため、同じ分割データを暗号化しても全く同じ暗号文が生成されることから、頻度分析攻撃を受けやすいといった課題がある。
　ここで、頻度分析攻撃とは、同じ値を持つ暗号文の頻度と、頻度に関する公な情報（例えば、日本人の名字の分布など）とを照合することで、暗号化に用いる鍵を使わなくても、暗号文から元のデータを推測する攻撃手法である。
　なお、このような攻撃を受けないように、同じデータでも毎回違う文字に変換する確率的暗号化方式を用いることが考えられるが、本技術でそのような暗号化方式を用いると検索ができなるといった課題がある。
　他の対策として、分割する文字数を大きくして対策することも考えられるが、その場合は部分一致検索が困難となってしまうといった課題がある。
　非特許文献２では、上記のような頻度分析攻撃を受けず、またある木構造を利用して保管する暗号化データ（以降、保管暗号化データと呼ぶ）のサイズを小さくできるような秘匿部分一致検索技術が開示されている。しかしながら、本技術では、検索に用いる暗号化データ（以降、検索暗号化データと呼ぶ）のサイズが大きくなってしまうことや、検索時にユーザとサーバとの対話回数が多いため、通信量に課題がある。
　非特許文献３及び非特許文献４では、部分一致検索も含む秘匿類似検索技術が開示されている。これらの技術は、部分一致検索よりも柔軟な検索ができるが、保管暗号化データのサイズ及び検索暗号化データのサイズがともに大きいといった課題がある。
　本発明は、頻度分析などの攻撃に耐性を持つような高い安全性を達し、データサイズが小さく、かつ通信量が小さい秘匿部分一致検索技術の提供を目的とする。
　この発明の暗号化装置は、
　文字列データＤを、前記文字列データＤの始まりから終わりに向かうＮ個の要素データｗ１，ｗ２，．．．，ｗＮに分割するデータ分割部と、
　前記Ｎ個の要素データｗ１，ｗ２，．．．，ｗＮから、
　集合Ａ＝｛Ａ１，Ａ２，．．．，ＡＮ｝，
　集合Ａの要素Ａｉ＝｛（ｗｉ），（ｗｉｗｉ＋１），．．．，（ｗｉｗｉ＋１．．．ｗＮ）｝，ｉ＝１，．．．，Ｎ，
を生成する部分文字列生成部と、
　前記要素Ａｉの成分である（ｗｉ），（ｗｉｗｉ＋１），．．．，（ｗｉｗｉ＋１．．．ｗＮ）のそれぞれに位置情報ｉを対応させることにより、
　集合Ｂ＝｛Ｂ１，Ｂ２，．．．，ＢＮ｝、
　集合Ｂの要素Ｂｉ＝｛（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），．．．，（ｉ，ｗｉｗｉ＋１．．．ｗＮ）｝
を生成する位置情報割当部と、
　前記要素Ｂｉに含まれる成分である（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），．．．，（ｉ，ｗｉｗｉ＋１．．．ｗＮ）のそれぞれを暗号化する暗号化部と
を備えたことを特徴とする。
　本発明によれば、保管データである文字列データを構成する部分文字列に位置情報を加えて暗号化するので、頻度分析攻撃を行う上で重要となる文字列データの暗号文どうしの比較ができなくなる。よって頻度分析攻撃に対する安全性を向上できる。
実施の形態１の図で、秘匿検索システムの構成を示すブロック図。 実施の形態１の図で、鍵生成装置の構成を示すブロック図。 実施の形態１の図で、登録装置の構成を示すブロック図。 実施の形態１の図で、検索装置の構成を示すブロック図。 実施の形態１の図で、管理装置の構成を示すブロック図。 実施の形態１の図で、秘匿検索システムの鍵生成・保管処理を示すフローチャート。 実施の形態１の図で、秘匿検索システムのデータ登録処理を示すフローチャート。 実施の形態１の図で、秘匿検索システムのデータ検索処理を示すフローチャート。 実施の形態１の図で、秘匿検索システムのデータ削除処理を示すフローチャート。 実施の形態１の図で、秘匿検索システムのハードウェア資源の一例を示す図。 実施の形態２の図で、鍵生成装置の構成を示すブロック図。 実施の形態２の図で、登録装置の構成を示すブロック図。 実施の形態２の図で、検索装置の構成を示すブロック図。 実施の形態２の図で、管理装置の構成を示すブロック図。 実施の形態２の図で、検索システムの鍵生成・保管処理を示すフローチャート。 実施の形態２の図で、検索システムのデータ登録処理を示すフローチャート。 実施の形態２の図で、検索システムのデータ検索処理を示すフローチャート。 実施の形態３の図で、鍵生成装置の構成を示すブロック図。 実施の形態３の図で、登録装置の構成を示すブロック図。 実施の形態３の図で、検索装置の構成を示すブロック図。 実施の形態３の図で、管理装置の構成を示すブロック図。 実施の形態３の図で、検索システムの鍵生成・保管処理を示すフローチャート。 実施の形態３の図で、検索システムのデータ登録処理を示すフローチャート。 実施の形態３の図で、検索システムのデータ検索処理を示すフローチャート。
　以下、本発明の実施の形態について、図を用いて説明する。なお、各図中、同一又は相当する部分には、同一符号を付している。実施の形態の説明において、同一又は相当する部分については、その説明を適宜省略又は簡略化する。
　実施の形態１．
　本実施の形態では、高安全かつ効率的な秘匿部分一致検索技術を開示する。
　以下、本実施の形態の概要について説明する。
　図１は、本実施の形態に係る秘匿検索システム１００の構成を示すブロック図である。図１に示すように、秘匿検索システム１００は、鍵生成装置２００と、複数の登録装置３００と、複数の検索装置４００と、管理装置５００とを備える。
＜＊＊＊構成の説明＊＊＊＞
　秘匿検索システム１００は、複数の鍵生成装置２００を備えていてもよい。秘匿検索システム１００は、１つの登録装置３００のみを備えていてもよい。秘匿検索システム１００は、１つの検索装置４００のみを備えていてもよい。秘匿検索システム１００は、複数の管理装置５００を備えていてもよい。秘匿検索システム１００は、鍵生成装置２００と、複数の登録装置３００と、複数の検索装置４００と、管理装置５００とそれぞれインターネット１０１を経由して接続されず、同じ企業内に敷設されたＬＡＮ（Ｌｏｃａｌ・Ａｒｅａ・Ｎｅｔｗｏｒｋ）内に設置されていてもよい。インターネット１０１は、鍵生成装置２００と、複数の登録装置３００と、複数の検索装置４００と、管理装置５００とを接続する通信路である。インターネット１０１は、ネットワークの例である。インターネット１０１の代わりに、他の種類のネットワークが用いられてもよい。
　鍵生成装置２００は、暗号化に利用する鍵を作成し、インターネット１０１を介して、複数の登録装置３００と、複数の検索装置４００とへ鍵を送信する。なお、この鍵は、インターネット１０１を介さず、郵送などで直接的に、複数の登録装置３００と、複数の検索装置４００とへ送信してもよい。
　登録装置３００は、例えば、パーソナルコンピュータである。登録装置３００は、保管暗号化データを管理装置５００に登録する登録端末として動作するコンピュータである。登録装置３００は、暗号化装置及び登録装置として機能する。即ち、登録装置３００は、保管暗号化データを生成し、保管暗号化データの保管を管理装置５００に要求する。登録装置３００は、削除要求装置として機能する。即ち、登録装置３００は、管理装置５００に対して、保管されている保管暗号化データの削除を要求する。
　検索装置４００は、例えば、パーソナルコンピュータである。検索装置４００は、検索暗号化データを管理装置５００に送信し、その後管理装置５００から暗号化検索結果を受信し、暗号化検索結果を出力するコンピュータである。検索装置４００は、検索要求装置として機能する。即ち、検索装置４００は、暗号化検索データを管理装置５００に送信して保管暗号化データと検索暗号化データの照合を要求する。検索装置４００は、出力装置として機能する。即ち、検索装置４００は、管理装置５００から返信される検索結果を出力する。
　管理装置５００は、登録装置３００によって作成された保管暗号化データを保管する大容量の記録媒体を持つ装置である。管理装置５００は、保管装置として機能する。即ち、管理装置５００は、登録装置３００から保管暗号化データの保管の要求があれば、保管暗号化データを保管する。管理装置５００は、検索装置として機能する。即ち、管理装置５００は、検索装置４００からの検索の要求があれば、保管暗号化データと検索暗号化データを照合し、検索結果を検索装置４００に送信する。管理装置５００は、削除装置として機能する。即ち、管理装置５００は、登録装置３００から保管暗号化データの削除の要求があれば、保管している保管暗号化データを削除する。
　なお、同じパーソナルコンピュータ内に、鍵生成装置２００、登録装置３００、検索装置４００のいずれかが同時に含まれていてもよい。
　なお、保管暗号化データ及び検索暗号化データは、いずれも暗号化されている。鍵を持たない登録装置３００と検索装置４００以外は、保管暗号化データや検索暗号化データから有益な情報を得ることは困難である。
　以下、本実施の形態の構成について説明する。
　図１に示したように、秘匿検索システム１００は、鍵生成装置２００と、登録装置３００と、検索装置４００と、管理装置５００とを備える。
　以下では、鍵生成装置２００の構成、登録装置３００の構成、検索装置４００の構成、管理装置５００の構成について順番に説明する。
　図２は、鍵生成装置２００の構成を示すブロック図である。図２に示すように、鍵生成装置２００は、鍵生成部２０１と、パラメーター生成部２０２と、送信部２０３とを備える。図示していないが、鍵生成装置２００は、鍵生成装置２００の各部で使用されるデータを記憶する記録媒体を備える。
　鍵生成部２０１は、データを暗号化や復号するための鍵Ｋを生成する。鍵Ｋは登録装置３００と検索装置４００とに保管される秘密情報であるため、厳重に生成される。なお、ここでは共通鍵暗号技術を用いて説明しているが、公開鍵暗号技術を用いてもよい。
　パラメーター生成部２０２は、データの暗号化や、データの照合時に必要なパラメーターを生成する。例えば、パラメーターとして、登録データをいくつかの文字列に分割するときの最大長Ｌがそれにあたる。なお、Ｌは０より大きい整数である。また、Ｌは秘密情報ではないため、公に公開されていても構わない。
　送信部２０３は、鍵生成部２０１で生成された鍵Ｋを、登録装置３００と、検索装置４００とへ送信し、また、パラメーター生成部で生成されたパラメーターＬを、登録装置３００と、管理装置５００とへ送信する。
　図３は、登録装置３００の構成を示すブロック図である。図３に示すように、登録装置３００は、受信部３０１と、鍵保管部３０２と、パラメーター保管部３０３と、入力部３０４と、データ分割部３０５と、部分文字列生成部３０６と、位置情報割当部３０７と、暗号化部３０８と、送信部３０９とを備える。図示していないが、登録装置３００は、登録装置３００の各部で使用されるデータを記憶する記録媒体を備える。
　受信部３０１は、鍵生成装置２００から送信されてきた鍵ＫとパラメーターＬとを受信する。鍵保管部３０２は、受信部３０１から受け取った鍵Ｋを保管する。パラメーター保管部３０３は、受信部３０１から受け取ったパラメーターＬを保管する。
　入力部３０４は、データ登録者から入力された保管データとデータ名を受け取る。なお、本実施の形態では、保管データＤ、データ名をＩＤ（Ｄ）として説明する。もし、データ登録者からデータ名の入力がなければ、入力部３０４は、入力された保管データＤのデータ名ＩＤ（Ｄ）に乱数を割り当ててもよいし、他の保管データのデータ名と重複しないように０より大きい整数の値を順に割り当ててもよい。データ名のＩＤ（Ｄ）は、保管データＤを識別する識別子である。
　また、入力部３０４は、データ登録者から削除したい保管暗号化データについての削除データ名を受け取る。削除データ名は、例えば、登録時に入力したデータ名や、登録した時刻、データ登録者の名前など、保管データを特定できるものなら何でもよい。
　データ分割部３０５は、パラメーター保管部３０３からパラメーターＬを読み出し、入力部３０４から受け取った保管データＤを（ｗ１，・・・，ｗＬ）と分割する。
　ただし、各ｗｉ（１≦ｉ≦Ｌ）は、データを１文字や複数文字ずつ順に分割したものでもいいし、単語単位で分割してもよい。また、データＤを（ｗ１，．．．，ｗｋ）とｋ≦Ｌとなるようにデータ分割してもよい。もし、データをどのように分割しても分割数がＬ未満となってしまう場合は、Ｌ未満のままでもよいし、「＊」やｎｕｌｌなどの特殊文字を使って足りない文字数を補って、長さをＬとなるように調整しもよい。以降では、分割数がＬとした時を説明するが、Ｌ未満でもほぼ同様な手順を実施すればよい。
　部分文字列生成部３０６は、データ分割部３０５から受け取った
分割データ（ｗ１，・・・，ｗＬ）から、次のような集合Ａを生成する。
　Ａ＝｛｛（ｗ１），（ｗ１ｗ２），・・・，（ｗ１・・・ｗＬ）｝，｛（ｗ２），（ｗ２ｗ３），・・・，（ｗ２・・・ｗＬ）｝，・・・，｛（ｗＬ）｝｝。
　以降では、集合Ａを部分文字列集合と呼ぶことにする。
　位置情報割当部３０７は、部分文字列生成部３０６から受け取った部分文字列集合Ａの中の各部分文字列に対して次のように位置情報を割り当てて、集合Ｂを生成する。
　Ｂ＝｛（１，ｗ１），（１，ｗ１ｗ２），・・・，（１，ｗ１・・・ｗＬ）｝，｛（２，ｗ２），（２，ｗ２ｗ３），・・・，（２，ｗ２・・・ｗＬ）｝，・・・，｛（Ｌ，ｗＬ）｝｝。
　ここで、以降では集合Ｂを位置情報付き部分文字列集合と呼ぶことにする。
　暗号化部３０８は、鍵保管部３０２から鍵Ｋを読み出し、位置情報割当部３０７から受け取った位置情報付き部分文字列集合Ｂの中の各位置情報付き部分文字列に対する暗号文Ｃを次のように生成する。位置情報と部分文字列の各ペア（ｐ，ｗ）に対して、
　Ｃ＝Ｅ（Ｅ（Ｋ，ｗ），ｐ，ＩＤ（Ｄ））
を生成する。
　なお、Ｅは暗号化関数とする。例えば、ＡＥＳのような共通鍵暗号方式やＨＭＡＣのようなメッセージ認証符号、ＳＨＡ－２５６のようなハッシュ関数がその一例である。
　ここで、すべての（ｉ，ｗ）を暗号化した暗号文の集合をＣ（Ｄ）と書くことにする。
　以降では、ペア（ＩＤ（Ｄ），Ｃ（Ｄ））を、
保管暗号化データ集合と呼ぶことにする。
　送信部３０９は、暗号化部３０８から受け取った保管暗号化データ集合（ＩＤ（Ｄ），Ｃ（Ｄ））を管理装置５００へ送信する。また、送信部３０９は、入力部３０４から受け取った削除データ名を管理装置５００へ送信する。
　図４は、検索装置４００の構成を示すブロック図である。図４に示すように、検索装置４００は、受信部４０１と、鍵保管部４０２と、入力部４０３と、暗号化部４０４と、送信部４０５と、出力部４０６とを備える。図示していないが、検索装置４００は、検索装置４００の各部で使用されるデータを記憶する記録媒体を備える。
　受信部４０１は、鍵生成装置２００から送信されてきた鍵Ｋ、または管理装置５００から送信されてきた検索結果を受信する。鍵保管部４０２は、受信部４０１から受け取った鍵Ｋを保管する。入力部４０３は、データ検索者から入力された検索データｓを受け取る。また、入力部４０３は、データ検索者から、検索データと同時に、その検索データと検索したい保管暗号化データ集合を指定するような保管データ名も複数受けとってもよい。
　暗号化部４０４は、鍵保管部４０２から鍵Ｋを読み出し、入力部４０３から受け取った検索データｓに対して鍵Ｋを用いて、次のように暗号文ｔを生成する。
　ｔ＝Ｅ（Ｋ，ｓ）。
　以降では、このｔを検索暗号化データと呼ぶ。
　送信部４０５は、暗号化部４０４から受け取った検索暗号化データｔを管理装置５００へ送信する。もし、データ検索者から検索データと同時に保管データ名も入力されていた場合は、検索暗号化データと保管データ名の両方を管理装置５００へ送信する。
　出力部４０６は、受信部４０１から受け取った検索結果に基づき、検索結果をデータ検索者に対して出力する。もし、検索結果が暗号化されていた場合は、鍵保管部４０２に保管されている鍵Ｋなどを用いて検索結果を復号して出力する。
　図５は、管理装置５００の構成を示すブロック図である。図５に示すように、管理装置５００は、受信部５０１と、パラメーター保管部５０２と、データ保管部５０３と、照合部５０４と、送信部５０５とを備える。図示していないが、管理装置５００は、管理装置５００の各部で使用されるデータを記憶する記録媒体を備える。
　受信部５０１は、鍵生成装置２００から送信されてきたパラメーターＬ、登録装置３００から送信されてきた保管暗号化データ集合（ＩＤ（Ｄ），Ｃ（Ｄ））や削除データ名、検索装置４００から送信されてきた検索暗号化データｔや保管データ名を受信する。
　パラメーター保管部５０２は、受信部５０１から受け取ったパラメーターＬを保管する。
　データ保管部５０３は、受信部５０１から受け取った保管暗号化データ集合の（ＩＤ（Ｄ），Ｃ（Ｄ））を保管する。必要があれば、送信されてきた日時なども同時に保管してもよい。
　また、データ保管部５０３は、受信部５０１から受け取った削除データ名に基づき、保管している保管暗号化データ集合を削除する。
　照合部５０４は、検索結果に関わる空集合Ｒを生成し、データ保管部５０３からすべての保管暗号化データ集合（ＩＤ（Ｄ），Ｃ（Ｄ））を読み出し、受信部５０１から受け取った検索暗号化データｔに基づき、次のようにして照合を行うことや検索結果を生成する。
　照合部５０４は、
　Ｔ１＝Ｅ（ｔ，１，ＩＤ（Ｄ）），・・・，ＴＬ＝Ｅ（ｔ，Ｌ，ＩＤ（Ｄ））、
を計算し、各Ｔｐ（１≦ｐ≦Ｌ）がＣ（Ｄ）に含まれているかを確認する。
　もしＴｐがＣ（Ｄ）に含まれているならば、ペア（ＩＤ（Ｄ），ｐ）をＲに加える。
この（ＩＤ（Ｄ），ｐ）は「ＩＤ（Ｄ）のｐ番目の位置に検索データが現れる」
を意味する。以降では、各Ｔｐを照合データと呼び、
　｛Ｔ１，・・・，ＴＬ｝
を照合データ集合と呼ぶことにする。
　また、本処理の結果、最終的に生成される集合Ｒを検索結果と呼ぶことにする。
　なお、照合部５０４は、受信部５０１が検索装置４００から保管データ名も受信していれば、それに基づいてデータ保管部５０３から対象となる保管暗号化データ集合のみを読み出して、同様な処理を行う。
　送信部５０５は、照合部５０４から受け取った検索結果Ｒを検索装置４００へ送信する。
　以下では、本実施の形態に係る、暗号化方法、検索方法に相当する、秘匿検索システム１００の動作について説明する。
　図６は、秘匿検索システム１００の鍵生成・保管処理を示すフローチャートである。図６のステップＳ６０１～ステップＳ６１２は、鍵生成装置２００と、登録装置３００と、検索装置４００と、管理装置５００とが実行する処理である。ステップＳ６０１～ステップＳ６０５は鍵生成装置２００に、ステップＳ６０６～ステップＳ６０８は登録装置３００に、ステップＳ６０９～ステップＳ６１０は検索装置４００に、ステップＳ６１１～ステップＳ６１２は管理装置５００によって実行される。
　なお以下では、ステップＳ６０１等のステップ番号は、Ｓ６０１等と記す。図７～図９、実施の形態の図１５～図１７、及び実施の形態３の図２２～図２４のステップ番号も同様である。
　Ｓ６０１において、鍵生成部２０１は、データを暗号化するための鍵Ｋを生成する。なお、本稿では共通鍵暗号技術を用いて説明しているが、公開鍵暗号技術を用いてもよい。その場合は、鍵生成部２０１は、公開鍵ＰＫと秘密鍵ＳＫのペアを鍵Ｋとして設定して、以降の処理を同じように実施すればよい。
　Ｓ６０２において、パラメーター生成部２０２は、パラメーターＬを生成する。なお、前述の通り、Ｌは保管データを分割したときに現れる文字列の最大数である。
　Ｓ６０３において、送信部２０３は、Ｓ６０１で生成した鍵ＫとＳ６０２で生成したパラメーターＬを、登録装置３００へ送信する。
　Ｓ６０４において、送信部２０３は、Ｓ６０１で生成した鍵Ｋを、検索装置４００へ送信する。
　Ｓ６０５において、送信部２０３は、Ｓ６０２で生成したパラメーターＬを、管理装置５００へ送信する。
　Ｓ６０６において、受信部３０１は、Ｓ６０３で送信された鍵ＫとパラメーターＬを受信する。
　Ｓ６０７において、鍵保管部３０２は、Ｓ６０６で受信した鍵Ｋを記憶媒体に保管する。
　Ｓ６０８において、パラメーター保管部３０３は、Ｓ６０６で受信したパラメーターＬを記憶媒体に保管する。
　Ｓ６０９において、受信部４０１は、Ｓ６０４で送信された鍵Ｋを受信する。
　Ｓ６１０において、鍵保管部４０２は、Ｓ６０９で受信した鍵Ｋを記憶媒体に保管する。
　Ｓ６１１において、受信部５０１は、Ｓ６０５で送信されたパラメーターＬを受信する。
　Ｓ６１２において、パラメーター保管部５０２は、Ｓ６１１で受信したパラメーターＬを記憶媒体に保管する。Ｓ６１２により、秘匿検索システム１００の鍵生成・保管処理は終了する。なお、鍵Ｋは秘密情報であるため、鍵保管部３０２と、鍵保管部４０２とは、鍵Ｋが外部に漏れないように厳重に保管する必要がある。
　図７は、秘匿検索システム１００の登録処理を示すフローチャートである。図７のＳ７０１～Ｓ７０８は、登録装置３００と管理装置５００とが実行する処理である。Ｓ７０１～Ｓ７０６は登録装置３００に、Ｓ７０７～Ｓ７０８は管理装置５００によって実行される処理である。
　Ｓ７０１において、入力部３０４は、データ登録者から入力された保管データＤとデータ名ＩＤ（Ｄ）を受け取る。なお、前述の通り、データ登録者からデータ名の入力がなければ、入力部３０４は、入力された保管データＤのデータ名ＩＤ（Ｄ）を乱数と割り当ててもよいし、他の保管データのデータ名と重複しないように０より大きい整数の値を順に割り当ててもよい。
　Ｓ７０２において、データ分割部３０５は、パラメーター保管部３０３からパラメーターＬを読み出し、Ｓ７０１でデータ登録者から受け取った保管データＤを（ｗ１，・・・，ｗＬ）と分割する。
　なお、前述の通り、各ｗｉ（１≦ｉ≦Ｌ）は、データを１文字や複数文字ずつ順に分割したものでもいいし、単語単位で分割してもよい。また、データＤを（ｗ１，．．．，ｗｋ）とｋ≦Ｌとなるようにデータ分割してもよい。
　もし、データをどのように分割しても分割数がＬ未満となってしまう場合は、Ｌ未満のままでもよいし、「＊」やｎｕｌｌなどの特殊文字を使って足りない文字数を補ってもよい。
　ここでｗｉを要素データと呼ぶとすれば、データ分割部３０５は、文字列データである保管データＤを、保管データＤの始まりから終わりに向かうＮ個の要素データｗ１，．．．，ｗＮに分割する。ＮはＬ以下である。
　以下のＳ７０３以降では、保管データＤがＬ個に分割された場合を説明する。保管データＤがＮ個に分割された場合は、以下の説明においてＬをＮに読み替えればよい。
　Ｓ７０３において、部分文字列生成部３０６は、Ｓ７０２で生成された分割データ（ｗ１，・・・，ｗＬ）から、次のような部分文字列集合Ａを生成する。
　Ａ＝｛Ａ１，Ａ２，．．．，ＡＬ｝、
　集合Ａの要素Ａ１等をＡｉ（ｉ＝１，．．．，Ｌ）と記す。
　集合Ａの要素は、以下のようである。
　集合Ａの要素は、
　Ａ１＝｛（ｗ１），（ｗ１ｗ２），・・・，（ｗ１・・・ｗＬ）｝、
　Ａ２＝｛（ｗ２），（ｗ２ｗ３），・・・，（ｗ２・・・ｗＬ）｝、
　．．．
　ＡＬ＝｛（ｗＬ）｝、
である。
　各要素は、
　Ａｉ＝｛（ｗｉ），（ｗｉｗｉ＋１），・・・，（ｗｉ・・・ｗＬ）｝、（ｉ＝１，．．．，Ｌ）
である。
　以下では要素Ａｉの要素を、成分と呼ぶ場合がある。つまりＡｉは、（Ｌ－ｉ＋１）個の成分である（ｗｉ），（ｗｉｗｉ＋１），・・・，（ｗｉ・・・ｗＬ）を持つ。
　Ｓ７０４において、位置情報割当部３０７は、Ｓ７０３で生成された部分文字列集合Ａの中の各部分文字列に対して次のように位置情報を割り当て、位置情報付き部分文字列集合Ｂを生成する。
　集合Ｂ＝｛Ｂ１，Ｂ２，．．．，ＢＬ｝、
　集合Ｂの要素Ｂｉ＝｛（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），．．．，（ｉ，ｗｉｗｉ＋１．．．ｗＬ）｝、
である。
　要素Ｂｉは要素Ａｉの各成分に位置情報ｉを付加して生成される。ここで位置情報ｉにおける｛ｉ｝は、要素Ａｉにおける添え字｛ｉ｝である。
　要素Ｂｉを具体的に記載すれば、
　Ｂ１＝｛（１，ｗ１），（１，ｗ１ｗ２），・・・，（１，ｗ１・・・ｗＬ）｝、
　Ｂ２＝｛（２，ｗ２），（２，ｗ２ｗ３），・・・，（２，ｗ２・・・ｗＬ）｝、
　．．．．
　ＢＬ＝｛（Ｌ，ｗＬ）｝，
である。
　集合Ｂの各要素は、
　Ｂｉ＝｛（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），・・・，（ｉ，ｗｉ・・・ｗＬ）｝、（ｉ＝１，．．．，Ｌ）である。
　Ｂｉの要素である（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），・・・，（ｉ，ｗｉ・・・ｗＬ）、
を以下では成分と呼ぶ場合がある。
　このように、位置情報割当部３０７は、集合Ａの要素Ａｉの成分である（ｗｉ），（ｗｉｗｉ＋１），．．．，（ｗｉｗｉ＋１．．．ｗＬ）のそれぞれに位置情報ｉを対応させることにより、
　要素Ｂｉ（ｉ＝１，．．．，Ｌ）を持つ、位置情報付き部分文字列集合Ｂを生成する。
　Ｓ７０５において、暗号化部３０８は、鍵保管部３０２から鍵Ｋを読み出し、Ｓ７０４で生成された位置情報付き部分文字列集合Ｂの中の各位置情報付き部分文字列の暗号文Ｃを次のように生成する。
　位置情報と部分文字列の各ペア（ｐ，ｗ）に対して、
　Ｃ＝Ｅ（Ｅ（Ｋ，ｗ），ｐ，ＩＤ（Ｄ））　　　（式１）
を生成する。
　ペア（ｐ，ｗ）とは、Ｂｉで説明すれば、（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），・・・，（ｉ，ｗｉ・・・ｗＬ）の、（Ｌ－ｉ＋１）個の各成分である。（ｉ，ｗｉ）の場合であれば、
　ｐ＝ｉ，ｗ＝ｗｉ
である。
　すべての（ｐ，ｗ）を暗号化した暗号文の集合をＣ（Ｄ）とし、保管暗号化データ集合（ＩＤ（Ｄ），Ｃ（Ｄ））を生成する。
　つまりＣ（Ｄ）は、
　Ｂ１＝｛（１，ｗ１），（１，ｗ１ｗ２），・・・，（１，ｗ１・・・ｗＬ）｝、
　Ｂ２＝｛（２，ｗ２），（２，ｗ２ｗ３），・・・，（２，ｗ２・・・ｗＬ）｝、
　．．．，
　ＢＬ＝｛（Ｌ，ｗＬ）｝，
の、すべての成分を暗号化した情報である。このように暗号化部３０８は、要素Ｂｉに含まれる（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），．．．，（ｉ，ｗｉｗｉ＋１．．．ｗＬ）のそれぞれを暗号化される。
　なお、上記式１に示すように、暗号化部３０８は、要素Ｂｉに含まれる各成分を暗号化する場合に、要素Ｂｉに含まれる各成分を、文字列データである保管データＤを識別する識別子のデータ名ＩＤ（Ｄ）と共に暗号化する。
　また、前述の通り、Ｅは暗号化関数であり、例えば、ＡＥＳのような共通鍵暗号方式やＨＭＡＣのようなメッセージ認証符号、ＳＨＡ－２５６のようなハッシュ関数がその一例である。
　Ｓ７０６において、送信部３０９は、Ｓ７０５で生成した保管暗号化データ集合（ＩＤ（Ｄ），Ｃ（Ｄ））を管理装置５００へ送信する。
　Ｓ７０７において、受信部５０１は、Ｓ７０６で送信された保管暗号化データ集合（ＩＤ（Ｄ），Ｃ（Ｄ））を受信する。
　Ｓ７０８において、データ保管部５０３は、Ｓ７０７で受信した保管暗号化データ集合（ＩＤ（Ｄ），Ｃ（Ｄ））を保管する。
　Ｓ７０８により、秘匿検索システム１００の登録処理は終了する。
　図８は、秘匿検索システム１００の検索処理を示すフローチャートである。図８のＳ８０１～Ｓ８１０は、検索装置４００と管理装置５００とが実行する処理である。Ｓ８０１～Ｓ８０３及びＳ８０９～Ｓ８１０は検索装置４００によって実行される処理であり、Ｓ８０４～Ｓ８０８は管理装置５００によって実行される処理である。
　Ｓ８０１において、入力部４０３は、データ検索者から入力された検索データｓを受け取る。なお、複数の検索データを同時に受け取ってもよい。その場合は、以降の処理を各検索データに対して同じように実施すればよい。また、前述の通り、入力部４０３は、データ検索者から、検索データと同時に、その検索データと検索したい保管暗号化データを指定するような保管データ名も複数受けとってもよい。
　Ｓ８０２において、暗号化部４０４は、鍵保管部４０２から鍵Ｋを読み出し、Ｓ８０１で受け取った検索データｓに対して鍵Ｋを用いて、次のようにして検索暗号化データｔを生成する。ここで、
　ｔ＝Ｅ（Ｋ，ｓ）
である。
　Ｓ８０３において、送信部４０５は、Ｓ８０２で生成した検索暗号化データｔを管理装置５００へ送信する。もし、Ｓ８０１で保管データ名も入力されていれば、保管データ名も同時に送付する。
　Ｓ８０４において、受信部５０１は、Ｓ８０３で送信された検索暗号化データｔを受信する。もし、Ｓ８０３で保管データ名も送信されていたら、保管データ名も受信する。
　Ｓ８０５において、照合部５０４は、データ保管部５０３から保管暗号化データ集合（ＩＤ（Ｄ），Ｃ（Ｄ））を読み出す。なお、もしＳ８０４で保管データ名も受信していた場合は、その保管データ名に基づき、対象の保管暗号化データ集合のみを読み出す。もしＳ８０４で保管データ名を受信していなかった場合は、保管されているすべての保管暗号化データ集合を読み出す。
　Ｓ８０６において、照合部５０４は、パラメーター保管部５０２からパラメーターＬを読み出し、Ｓ８０５で読み出した保管暗号化データ集合（ＩＤ（Ｄ），Ｃ（Ｄ））のＩＤ（Ｄ）に基づき、Ｓ８０４で受信した検索暗号化データｔからＩＤ（Ｄ）に対する各照合データＴｐ（１≦ｐ≦Ｌ）を生成する。
　ここで各Ｔｐは、
　Ｔ１＝Ｅ（ｔ，１，ＩＤ（Ｄ）），・・・，ＴＬ＝Ｅ（ｔ，Ｌ，ＩＤ（Ｄ））
である。もし、Ｓ８０５で読み出した保管暗号化データ集合が複数の場合は、各ＩＤ（Ｄ）に対応した照合データを生成する。
　Ｓ８０７において、照合部５０４は、検索結果に関わる空集合Ｒを生成し、Ｓ８０６で生成した各照合データＴｐ（１≦ｐ≦Ｌ）がＣ（Ｄ）に含まれているかを確認する。もしＴｐがＣ（Ｄ）に含まれているならば、ペア（ＩＤ（Ｄ），ｐ）をＲに加える。もし、Ｓ８０６で生成した照合データ集合が複数の場合も、同じＲに上記の検索結果に関するペアを加える。
　Ｓ８０８において、送信部５０５は、Ｓ８０７で生成した検索結果Ｒを検索装置４００へ送信する。
　Ｓ８０９において、受信部４０１は、Ｓ８０８で送信された検索結果Ｒを受信する。
　Ｓ８１０において、出力部４０６は、Ｓ８０９で受信した検索結果Ｒに対して、次のようにしてデータ検索者に対して出力する。検索結果Ｒに含まれている各（ＩＤ（Ｄ），ｐ）に対して、「ＩＤ（Ｄ）のｐ番目の位置に検索データが現れる」と出力する。もしＲが空集合だった場合は、「どのデータにも検索データは含まれなかった」と出力する。Ｓ８１０により、秘匿検索システム１００の検索処理は終了する。
　図９は、秘匿検索システム１００の削除処理を示すフローチャートである。図９のＳ９０１～Ｓ９０４は、登録装置３００と管理装置５００とが実行する処理である。Ｓ９０１～Ｓ９０２は登録装置３００に、Ｓ９０３～Ｓ９０４は管理装置５００によって実行される処理である。
　Ｓ９０１において、入力部３０４は、データ登録者から削除したい保管暗号化データ集合についての削除データ名を受け取る。なお、前述の通り、削除データ名は保管暗号化データ集合を特定できるものであれば何でもよい。
　Ｓ９０２において、送信部３０９は、Ｓ９０１で入力された削除データ名を管理装置５００へ送信する。
　Ｓ９０３において、受信部５０１は、Ｓ９０２で登録装置３００から送信されてきた削除データ名を受信する。
　Ｓ９０４において、データ保管部５０３は、Ｓ９０３で受信した削除データ名に基づき、保管している保管暗号化データ集合を削除する。
　Ｓ９０４により、秘匿検索システム１００の削除処理は終了する。
＜本実施の形態の動作具体例＞
　以下に、本実施の形態の動作の具体例を示す。
　ここで、本実施の形態の動作を、
　パラメーターＬ＝３、
　保管データをＤ１＝ＡＢＣ，
　ＩＤ（Ｄ１）＝１，
　Ｄ２＝ＢＣ，
　ＩＤ（Ｄ２）＝２、
　検索データｓ＝ＢＣ、
として説明する。
　また暗号化関数Ｅは、ハッシュ関数を用いて説明する。
　まず、Ｄ１とＤ２の登録処理について説明する。
　Ｓ７０２において、Ｄ１＝（Ａ，Ｂ，Ｃ），Ｄ２＝（Ｂ，Ｃ）と分割される。
　Ｓ７０３において、
　Ａ１＝｛｛（Ａ），（ＡＢ），（ＡＢＣ）｝，｛（Ｂ），（ＢＣ）｝，｛（Ｃ）｝｝及び
　Ａ２＝｛｛（Ｂ），（ＢＣ）｝，｛（Ｃ）｝｝と生成される。
　Ｓ７０４において、
　Ｂ１＝｛｛（１，Ａ），（１，ＡＢ），（１，ＡＢＣ）｝，｛（２，Ｂ），（２，ＢＣ）｝，｛（３，Ｃ）｝｝及び
　Ｂ２＝｛｛（１，Ｂ），（１，ＢＣ）｝，｛（２，Ｃ）｝｝と生成される。
　Ｓ７０５において、
　Ｃ１１＝Ｅ（Ｅ（Ｋ，Ａ），１，１），
　Ｃ１２＝Ｅ（Ｅ（Ｋ，ＡＢ），１，１），
　Ｃ１３＝Ｅ（Ｅ（Ｋ，ＡＢＣ），１，１），
　Ｃ１４＝Ｅ（Ｅ（Ｋ，Ｂ），２，１），
　Ｃ１５＝Ｅ（Ｅ（Ｋ，ＢＣ），２，１），
　Ｃ１６＝Ｅ（Ｅ（Ｋ，Ｃ），３，１）及び
　Ｃ２１＝Ｅ（Ｅ（Ｋ，Ｂ），１，２），
　Ｃ２２＝Ｅ（Ｅ（Ｋ，ＢＣ），１，２），
　Ｃ２３＝Ｅ（Ｅ（Ｋ，Ｃ），２，２）
を生成し、
　保管暗号化データ集合（ＩＤ（Ｄ）、Ｃ（Ｄ））として
　保管暗号化データ集合（１，Ｃ（Ｄ１））
　及び
　保管暗号化データ集合（２，Ｃ（Ｄ２））
を生成する。
　ただし、
　Ｃ（Ｄ１）＝｛Ｃ１１，Ｃ１２，Ｃ１３，Ｃ１４，Ｃ１５，Ｃ１６｝，
　Ｃ（Ｄ２）＝｛Ｃ２１，Ｃ２２，Ｃ２３｝とする。
　ここで、
　Ｃ＝Ｅ（Ｅ（Ｋ，ｓ），ｐ，ＩＤ（Ｄ））に注意する。
　Ｓ７０７及びＳ７０８により、上記の保管暗号化データ集合である（１，Ｃ（Ｄ１））と（２，Ｃ（Ｄ２））が、管理装置５００に保管される。
　次に、検索データｓをｓ＝ＢＣとした場合の検索処理について説明する。
　Ｓ８０２において、暗号化データｔ＝Ｅ（Ｋ，ｓ）を計算する。
　Ｓ８０５において、（１，Ｃ（Ｄ１））と（２，Ｃ（Ｄ２））を読み出す。
　Ｓ８０６において、
　Ｔ１１＝Ｅ（ｔ，１，１），
　Ｔ１２＝Ｅ（ｔ，２，１），
　Ｔ１３＝Ｅ（ｔ，３，１）及び
　Ｔ２１＝Ｅ（ｔ，１，２），
　Ｔ２２＝Ｅ（ｔ，２，２），
　Ｔ２３＝Ｅ（ｔ，３，２）
を計算する。
　Ｓ８０７において、Ｔ１１，Ｔ１２，Ｔ１３がＣ（Ｄ１）に含まれているか，またＴ２１，Ｔ２２，Ｔ２３がＣ（Ｄ２）に含まれているかを確認する。
　実際、
　Ｔ１２はＣ（Ｄ１）に含まれ（Ｃ１５と一致し）、
　Ｔ２１はＣ（Ｄ２）に含まれる（Ｃ２２と一致する）。
　よって、（ＩＤ（Ｄ），ｐ）を要素とする集合の検索結果Ｒが、
　検索結果Ｒ＝｛（１，２），（２，１）｝として生成される。
　ここで、検索結果Ｒの要素は（ＩＤ（Ｄ），ｐ）であることに注意する。
　Ｓ８１０において、検索結果Ｒに基づき、
　「保管データ名が“１”のデータの“２番目”の位置から検索データＢＣが現れる」、
　「保管データ名が“２”のデータの“１番目”の位置から検索データＢＣが現れる」といった検索結果を出力する。
　以上が具体例の説明である。
　図１０は、実施の形態１における鍵生成装置２００と、登録装置３００と、検索装置４００と、管理装置５００とのハードウェア資源の一例を示す図である。
　図１０において、鍵生成装置２００と、登録装置３００と、検索装置４００と、管理装置５００は、ＣＰＵ１００１（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）を備えている。
　ＣＰＵ１００１は、バス１００２を介してＲＯＭ１００３、ＲＡＭ１００４、通信ボード１００５、ディスプレイ１０１１（表示装置）、キーボード１０１２、マウス１０１３、ドライブ１０１４、磁気ディスク装置１０２０などのハードウェアデバイスと接続され、これらのハードウェアデバイスを制御する。
　ドライブ１０１４は、ＦＤ（Ｆｌｅｘｉｂｌｅ　Ｄｉｓｋ　Ｄｒｉｖｅ）、ＣＤ（Ｃｏｍｐａｃｔ　Ｄｉｓｃ）、ＤＶＤ（Ｄｉｇｉｔａｌ　Ｖｅｒｓａｔｉｌｅ　Ｄｉｓｃ）などの記憶媒体を読み書きする装置である。
　ＲＯＭ１００３、ＲＡＭ１００４、磁気ディスク装置１０２０およびドライブ１０１４は記憶装置の一例である。キーボード１０１２、マウス１０１３および通信ボード１００５は入力装置の一例である。ディスプレイ１０１１および通信ボード１００５は出力装置の一例である。
　通信ボード１００５は、有線または無線で、ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）、インターネット、電話回線などの通信網に接続している。
　磁気ディスク装置１０２０には、ＯＳ１０２１（オペレーティングシステム）、プログラム群１０２２、ファイル群１０２３が記憶されている。プログラム群１０２２には、本実施の形態において「～部」として説明する機能を実行するプログラムが含まれる。プログラム（例えば、暗号化プログラム、データ検索プログラム、データ登録プログラム）は、ＣＰＵ１００１により読み出され実行される。すなわち、プログラムは、「～部」としてコンピュータを機能させるものであり、また「～部」の手順や方法をコンピュータに実行させるものである。ファイル群１０２３には、本実施の形態において説明する「～部」で使用される各種データ（入力、出力、判定結果、計算結果、処理結果など）が含まれる。
　本本実施の形態において構成図およびフローチャートに含まれている矢印は主としてデータや信号の入出力を示す。フローチャートなどに基づいて説明する本実施の形態の処理はＣＰＵ１００１、記憶装置、入力装置、出力装置などのハードウェアを用いて実行される。本実施の形態において「～部」として説明するものは「～回路」、「～装置」、「～機器」、「サーキットリ」であってもよく、また「～ステップ」、「～手順」、「～処理」であってもよい。すなわち、「～部」として説明するものは、ファームウェア、ソフトウェア、ハードウェアまたはこれらの組み合わせのいずれで実装されても構わない。
＜＊＊＊実施の形態１の効果＊＊＊＞
　本実施の形態は、例えば、以下のような効果を奏する。
（１）本実施の形態では、たとえ同じ保管データをサーバへ保管したとしても、位置情報や毎回異なるデータ名により、毎回必ず異なる保管暗号化データが生成されるため、頻度分析攻撃などが受けにくくなり、高い安全性を達成する秘匿部分一致検索を実現できる。
（２）本実施の形態では、保管データを暗号化して保管しているため、たとえ管理装置５００から保管暗号化データが漏洩しても、保管データの中身を知られることはない。
（３）本実施の形態では、検索データのみならず保管データも暗号化したまま処理ができるため、検索暗号化データから検索データの中身を知られることはない。
（４）本実施の形態では、保管暗号化データと検索暗号化データから得られる検索結果にはデータ名と位置情報しか現れないため、サーバなどの鍵をもたないエンティティに対しては保管データや検索データの中身を知られることはない。
（５）本実施の形態では、検索結果には検索がヒットした事実に加えて、どの位置に検索データが現れるかについての位置情報もわかるため、柔軟な部分一致検索機能をもつ。
（６）本実施の形態では、検索暗号化データがただ一つの暗号文から構成されるため検索に用いるデータサイズが非常に小さく、また検索時にデータ検索者とサーバとのやりとりが１回しか発生しないため、効率的に秘匿部分一致検索することが可能である。
（７）本実施の形態では、共通鍵暗号技術からすべて構成できるため、効率的な秘匿部分一致検索を実現できる。
　実施の形態２．
　次に、本実施の形態の秘匿検索システムについて説明する。実施の形態１では、過去に用いた検索暗号化データ（ｔ＝Ｅ（Ｋ，ｓ））を、新しく追加した保管暗号化データ集合（（ＩＤ（Ｄ），Ｃ（Ｄ）））に対して直ちに適用できた。
　実施の形態２で開示する技術は、過去に用いた検索暗号化データｔを、新しく追加した保管暗号化データ集合に対して適用できない。したがって、より高い安全性を達成できる。このようなことを達成するために、ハッシュ鎖などの多重暗号化を用いる方法を開示する。
　実施の形態２では、暗号化関数Ｅに対して
　「Ｅ＾Ｍ（Ｋ，ｗ）」
と記載したときは、（Ｋ，Ｍ）を初期値として、暗号化関数ＥをＭ回計算（言い換えると、Ｍ回の多重暗号化を実施）することを表すとする。例えば、このような多重暗号化としてハッシュ鎖がよく知られている。
　例えば、
　Ｅ＾Ｍ（Ｋ，ｗ）
をＭ回目に保管したデータに対する検索暗号化データｔとする。
　ここで、Ｍ＋１回目に保管したデータに対する検索暗号化データｔを
　ｔＭ＝Ｅ＾（Ｍ－１）（Ｋ，ｗ）とすると、
　Ｍ＋１回目の検索暗号化データｔＭ＝Ｅ＾（Ｍ－１）（Ｋ，ｗ）
を再度暗号化することで、
　Ｍ回目に保管したデータに対する検索暗号化データＥ＾Ｍ（Ｋ，ｗ）を生成できる。
　一方で、Ｅ＾Ｍ（Ｋ，ｗ）からＥ＾（Ｍ－１）（Ｋ，ｗ）を計算することはハッシュ関数などの暗号化関数であれば一般的に困難である。
　このため、過去に用いた検索暗号化データを新しく追加した保管暗号化データ集合に対して適用できず、より高い安全性を達成できる。
　本実施の形態の秘匿検索システム１００は、実施の形態１とは一部異なっている。
　鍵生成装置２００は鍵生成装置２００ａへ、登録装置３００は登録装置３００ａへと、検索装置４００は検索装置４００ａへと、管理装置５００は管理装置５００ａへと変更されている。
　以下、本実施の形態の構成について説明する。以下では、鍵生成装置２００ａの構成、登録装置３００ａの構成、検索装置４００ａの構成、管理装置５００ａの構成について順番に説明する。
　図１１は、鍵生成装置２００ａの構成を示すブロック図である。図１１に示すように、鍵生成装置２００ａは、鍵生成部２０１と、パラメーター生成部２０２ａと、送信部２０３ａとを備える。図示していないが、鍵生成装置２００ａは、鍵生成装置２００ａの各部で使用されるデータを記憶する記録媒体を備える。鍵生成部２０１の説明は、すでに述べたため省略する。
　パラメーター生成部２０２ａは、前述のパラメーターＬを生成すると同時に、多重暗号化の最大回数を表すパラメーターＭを生成する。このＭは、同じ鍵Ｋを用いて保管データを管理装置５００ａに保管できる保管暗号化データ集合の最大数を表す。もし、Ｍを超えて保管暗号化データ集合を保管したい場合は、新しい鍵Ｋ´とＭ´を生成すれば、新たにＭ´個登録できるようになる。なお、Ｍは１より大きい整数である。また、ＭはＬと同様に秘密情報ではないため、公に公開されていても構わない。
　送信部２０３ａは、鍵生成部２０１で生成された鍵Ｋを、登録装置３００ａと、検索装置４００ａとへ送信し、また、パラメーター生成部２０２ａで生成されたパラメーター（Ｌ，Ｍ）を、登録装置３００ａと、検索装置４００ａと、管理装置５００ａとへ送信する。
　図１２は、登録装置３００ａの構成を示すブロック図である。図１２に示すように、登録装置３００ａは、受信部３０１ａと、鍵保管部３０２と、パラメーター保管部３０３ａと、入力部３０４と、データ分割部３０５と、部分文字列生成部３０６と、位置情報割当部３０７と、多重暗号化部３０８ａと、送信部３０９ａとを備える。図示していないが、登録装置３００ａは、登録装置３００ａの各部で使用されるデータを記憶する記録媒体を備える。鍵保管部３０２と、入力部３０４と、データ分割部３０５と、部分文字列生成部３０６と、位置情報割当部３０７との説明は、すでに述べたため省略する。
　受信部３０１ａは、鍵生成装置２００ａから送信されてきた鍵Ｋとパラメーター（Ｌ，Ｍ）を受信する。
　パラメーター保管部３０３ａは、受信部３０１ａから受け取ったパラメーター（Ｌ，Ｍ）を保管することや、鍵ＫとパラメーターＭを使って暗号化された管理装置５００ａに保管されている保管暗号化データ集合の数を表すパラメーターｍも保管する。
　多重暗号化部３０８ａは、鍵保管部３０２から鍵Ｋを、パラメーター保管部３０３ａからパラメーターｍを読み出し、位置情報割当部３０７から受け取った位置情報付き部分文字列集合Ｂの中の各位置情報付き部分文字列に対する暗号文Ｃを次のように生成する。
位置情報と部分文字列の各ペア（ｐ，ｗ）に対して、
　Ｃ＝Ｅ（Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｗ），ｐ，ＩＤ（Ｄ））
を生成する。
　ここで、すべての（ｐ，ｗ）を暗号化した暗号文の集合をＣ（Ｄ）と書くことにする。　ここで、以降では
　（ＩＤ（Ｄ），ｍ，Ｃ（Ｄ））
を保管暗号化データ集合と呼ぶことにする。
　なお、Ｅ＾ｉ（ｉ≧１）を計算する場合、ＥがＡＥＳのような暗号化関数であればＥを計算する度に鍵が必要となるため、例えば値がすべて０やすべて１など鍵を事前に決めてパラメーターとして保管しておくことや、すでに保管されているパラメーターのＬやＭなどを鍵として用いてもよい。もし、Ｅがハッシュ関数であれば、多重暗号化のためにそのような鍵は必要としない。
　送信部３０９ａは、暗号化部３０８から受け取った保管暗号化データ集合（ＩＤ（Ｄ），ｍ，Ｃ（Ｄ））を管理装置５００ａへ送信することや、またパラメーターｍを検索装置４００ａへ送信する。また、送信部３０９ａは、入力部３０４から受け取った削除データ名を管理装置５００へ送信する。
　図１３は、検索装置４００ａの構成を示すブロック図である。図１３に示すように、検索装置４００ａは、受信部４０１ａと、鍵保管部４０２と、入力部４０３と、多重暗号化部４０４ａと、送信部４０５と、出力部４０６と、パラメーター保管部４０７ａとを備える。図示していないが、検索装置４００ａは、検索装置４００ａの各部で使用されるデータを記憶する記録媒体を備える。
　鍵保管部４０２と、入力部４０３と、送信部４０５と、出力部４０６の説明は、既に述べたため省略する。
　受信部４０１ａは、鍵生成装置２００ａから送信されてきた鍵ＫとパラメーターＭや、登録装置３００ａから送信されてきたパラメーターｍや、管理装置５００ａから送信されてきた検索結果を受信する。
　多重暗号化部４０４ａは、鍵保管部４０２から鍵Ｋを、パラメーター保管部４０７ａからパラメーターｍを読み出し、入力部４０３から受け取った検索データｓに対して、鍵Ｋとパラメーターｍを用いて、次のように暗号文ｔを生成する。
　多重暗号化部４０４ａは、
　ｔ＝Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｓ）
を生成する。
　以降では、このｔを検索暗号化データと呼ぶ。
　なお、前述の通り、Ｅ＾ｉ（ｉ≧１）を計算する場合、ＥがＡＥＳのような暗号化関数であればＥを計算する度に鍵が必要となるため、例えば値がすべて０やすべて１など鍵を事前に決めてパラメーターとして保管しておくことや、すでに保管されているパラメーターのＬやＭなどを鍵として用いてもよい。もし、Ｅがハッシュ関数であれば、多重暗号化のためにそのような鍵は必要としない。
　パラメーター保管部４０７ａは、受信部４０１から受け取ったパラメーターＭを保管する。また、受信部４０１から受け取ったパラメーターがペアｍの場合、パラメーター保管部４０７ａは、すでに保管されている（Ｍ，ｍ）のｍのパラメーターを更新する。
　図１４は、管理装置５００ａの構成を示すブロック図である。図１４に示すように、管理装置５００ａは、受信部５０１ａと、パラメーター保管部５０２ａと、データ保管部５０３と、照合部５０４ａと、送信部５０５と、多重暗号化部５０６ａとを備える。図示していないが、管理装置５００ａは、管理装置５００ａの各部で使用されるデータを記憶する記録媒体を備える。
　データ保管部５０３と、送信部５０５の説明は、すでに述べたため省略する。
　受信部５０１ａは、鍵生成装置２００ａから送信されてきたパラメーター（Ｌ，Ｍ）、登録装置３００ａから送信されてきた保管暗号化データ集合（ＩＤ（Ｄ），ｍ，Ｃ（Ｄ））や削除データ名、検索装置４００ａから送信されてきた検索暗号化データｔや保管データ名を受信する。
　パラメーター保管部５０２ａは、受信部５０１ａから受け取ったパラメーター（Ｌ，Ｍ）や、保管暗号化データ集合（ＩＤ（Ｄ），ｍ，Ｃ（Ｄ））のｍも合わせて保管する。
　照合部５０４ａは、検索結果に関わる空集合Ｒを生成し、データ保管部５０３から、すべての保管暗号化データ集合（ＩＤ（Ｄｉ），ｍ，Ｃ（Ｄｉ））（１≦ｉ≦ｍ）を読み出し、後述する多重暗号化部５０６ａから受け取った多重暗号化データ集合
　｛（１，ｔ１）、（２，ｔ２），・・・，（ｍ，ｔｍ）｝
に基づき、次のようにして照合を行うことや検索結果を生成する。
　照合部５０４ａは、
　各ｉ（１≦ｉ≦ｍ）に対して、（ＩＤ（Ｄｉ），ｉ，Ｃ（Ｄｉ））
となる保管暗号化データ集合を抽出し、
　Ｘｉ＝｛Ｔ１＿ｉ＝Ｅ（ｔｉ，１，ＩＤ（Ｄｉ）），・・・，ＴＬ＿ｉ＝Ｅ（ｔｉ，Ｌ，ＩＤ（Ｄｉ））｝
を計算する。
　その後、照合部５０４ａは、各Ｔｐ＿ｉ（１≦ｐ≦Ｌ）がＣ（Ｄｉ）に含まれているかを確認する。もしＴｐ＿ｉがＣ（Ｄｉ）に含まれているならば、ペア（ＩＤ（Ｄｉ），ｐ）をＲに加える。この（ＩＤ（Ｄｉ），ｐ）は「ＩＤ（Ｄｉ）のｐ番目の位置に検索データが現れる」を意味する。
　以降では、各Ｔｐ＿ｉをＩＤ（Ｄｉ）に対する照合データと呼び、
　｛Ｔ１，・・・，ＴＬ｝
をＩＤ（Ｄｉ）に対する照合データ集合と呼ぶことにする。また、本処理の結果、最終的に生成される集合Ｒを検索結果と呼ぶことにする。
　なお、照合部５０４ａは、受信部５０１ａが検索装置４００ａから保管データ名も受信していれば、それに基づいてデータ保管部５０３から対象となる保管暗号化データ集合のみを読み出して、同様な処理を行う。
　多重暗号化部５０６ａは、パラメーター保管部５０２ａからパラメーターｍを読み出し、受信部５０１から受け取った検索暗号化データｔに基づき、次のような多重暗号化データを生成する。
　ｔ１＝Ｅ＾（ｍ－１）（ｔ），
　ｔ２＝Ｅ＾（ｍ－２）（ｔ），
　・・・，
　ｔｍ＝Ｅ＾０（ｔ）＝ｔ。
　以降、
　集合｛（１，ｔ１）、（２，ｔ２），・・・，（ｍ，ｔｍ）｝
を多重暗号化データ集合と呼ぶことにする。
　なお、前述の通り、Ｅ＾ｉ（ｉ≧１）を計算する場合、ＥがＡＥＳのような暗号化関数であればＥを計算する度に鍵が必要となるため、例えば値がすべて０やすべて１など鍵を事前に決めてパラメーターとして保管しておくことや、すでに保管されているパラメーターのＬやＭなどを鍵として用いてもよい。もし、Ｅがハッシュ関数であれば、多重暗号化のためにそのような鍵は必要としない。
　以下では、本実施の形態に係る検索方法に相当する、秘匿検索システム１００の動作について説明する。
　図１５は、本実施の形態における秘匿検索システム１００の鍵生成・保管処理を示すフローチャートである。図１５のＳ６０１～Ｓ６１２ａは、鍵生成装置２００ａと、登録装置３００ａと、検索装置４００ａと、管理装置５００ａとが実行する処理である。Ｓ６０１～Ｓ６０５ａは鍵生成装置２００ａに、Ｓ６０６ａ～Ｓ６０８ａは登録装置３００ａに、Ｓ６０９ａ～Ｓ６１０ａ２は検索装置４００ａに、Ｓ６１１ａ～Ｓ６１２ａは管理装置５００ａによって実行される処理である。
　なお、本検索処理におけるＳ６０１とＳ６０７とは、実施の形態１のそれぞれと同様の処理であるため、ここでは省略する。
　Ｓ６０２ａにおいて、パラメーター生成部２０２ａは、パラメーターＬ及びＭを生成する。なお、前述の通り、Ｌは保管データを分割したときに現れる文字列の最大数であり、またＭは同じ鍵Ｋを用いて保管データを管理装置５００ａに保管できる保管暗号化データ集合の最大数を表す。
　Ｓ６０３ａにおいて、送信部２０３ａは、Ｓ６０１で生成した鍵Ｋと、Ｓ６０２ａで生成したパラメーター（Ｌ，Ｍ）とを、登録装置３００ａへ送信する。
　Ｓ６０４ａにおいて、送信部２０３ａは、Ｓ６０１で生成した鍵Ｋと、Ｓ６０２ａで生成したパラメーター（Ｌ，Ｍ）とを、検索装置４００ａへ送信する。
　Ｓ６０５ａにおいて、送信部２０３ａは、Ｓ６０２で生成したパラメーター（Ｌ，Ｍ）を、管理装置５００ａへ送信する。
　Ｓ６０６ａにおいて、受信部３０１ａは、Ｓ６０３ａで送信された鍵Ｋと、パラメーター（Ｌ，Ｍ）とを受信する。
　Ｓ６０８ａにおいて、パラメーター保管部３０３ａは、Ｓ６０６ａで受信したパラメーター（Ｌ，Ｍ）を記憶媒体に保管する。
　Ｓ６０９ａにおいて、受信部４０１ａは、Ｓ６０４ａで送信された鍵Ｋと、パラメーター（Ｌ，Ｍ）とを受信する。
　Ｓ６１０ａ１において、鍵保管部４０２は、Ｓ６０９ａで受信した鍵Ｋを記憶媒体に保管する。
　Ｓ６１０ａ２において、パラメーター保管部４０７ａは、Ｓ６０９ａで受信したパラメーター（Ｌ，Ｍ）を記憶媒体に保管する。
　Ｓ６１１ａにおいて、受信部５０１ａは、Ｓ６０５ａで送信されたパラメーター（Ｌ，Ｍ）を受信する。
　Ｓ６１２ａにおいて、パラメーター保管部５０２ａは、Ｓ６１１ａで受信したパラメーター（Ｌ，Ｍ）を記憶媒体に保管する。Ｓ６１２ａにより、秘匿検索システム１００の鍵生成・保管処理は終了する。
　図１６は、実施の形態２の秘匿検索システム１００の登録処理を示すフローチャートである。図１６のＳ７０１～Ｓ７１２ａは、登録装置３００ａと、検索装置４００ａと、管理装置５００ａとが実行する処理である。Ｓ７０１～Ｓ７０６と、Ｓ７０９ａと、Ｓ７１２ａは登録装置３００ａに、Ｓ７０７～Ｓ７０８ａ２は管理装置５００ａに、Ｓ７１０ａ～Ｓ７１１ａは検索装置４００ａによって実行される処理である。
　なお、本検索処理におけるＳ７０１～Ｓ７０４と、Ｓ７０６～Ｓ７０７とは、実施の形態１のそれぞれと同様の処理であるため、ここでは省略する。
　Ｓ７０５ａにおいて、多重暗号化部３０８は、鍵保管部３０２から鍵Ｋを、パラメーター保管部３０３ａからパラメーターｍを読み出し、Ｓ７０４で生成された位置情報付き部分文字列集合Ｂの中の各位置情報付き部分文字列の暗号文Ｃを次のように生成する。
　多重暗号化部３０８は、位置情報と部分文字列の各ペア（ｐ，ｗ）に対して、
Ｃ＝Ｅ（Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｗ），ｐ，ＩＤ（Ｄ））
と計算する。また、すべての（ｐ，ｗ）を暗号化した暗号文の集合をＣ（Ｄ）とし、保管暗号化データ集合（ＩＤ（Ｄ），ｍ，Ｃ（Ｄ））を生成する。
　Ｓ７０８ａ１において、データ保管部５０３は、Ｓ７０７で受信した保管暗号化データ集合（ＩＤ（Ｄ），ｍ，Ｃ（Ｄ））を保管する。
　Ｓ７０８ａ２において、パラメーター保管部５０２ａは、Ｓ７０７で受信した保管暗号化データ集合（ＩＤ（Ｄ），ｍ，Ｃ（Ｄ））のｍから保管されているｍの値を更新する。
　Ｓ７０９ａにおいて、送信部３０９ａは、Ｓ７０５ａで読み出したパラメーターｍを検索装置４００ａへ送信する。
　Ｓ７１０ａにおいて、受信部４０１ａは、Ｓ７１０ａで送信されたパラメーターｍを受信する。
　Ｓ７１１ａにおいて、パラメーター保管部４０７ａは、保管されているパラメーターｍをＳ７１１ａで受信したパラメーターｍに置き換えて更新する。
　Ｓ７１２ａにおいて、パラメーター保管部３０３ａは、パラメーターｍの値を１カウントアップしてｍの値を更新する。Ｓ７１２ａにより、秘匿検索システム１００の登録処理は終了する。
　図１７は、実施の形態２の秘匿検索システム１００の検索処理を示すフローチャートである。図１７のＳ８０１～Ｓ８１０は、検索装置４００ａと管理装置５００ａとが実行する処理である。Ｓ８０１～Ｓ８０３及びＳ８０９～Ｓ８１０は検索装置４００ａに、Ｓ８０４～Ｓ８０８は管理装置５００にａよって実行される処理である。
　なお、本検索処理におけるＳ８０１と、Ｓ８０３と、Ｓ８０４と、Ｓ８０８～Ｓ８１０は、実施の形態１のそれぞれと同様の処理であるため、ここでは省略する。
　Ｓ８０２ａにおいて、多重暗号化部４０４ａは、鍵保管部４０２から鍵Ｋを、パラメーター保管部４０７ａからパラメーターｍを読み出し、Ｓ８０１で受け取った検索データｓに対して鍵Ｋを用いて、次のようにして検索暗号化データｔを生成する。
　ｔ＝Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｓ）。
　Ｓ８０５ａ１において、多重暗号化部５０６ａは、パラメーター保管部５０２ａからパラメーターｍを読み出し、Ｓ８０４で受信した検索暗号化データｔに基づき、次のような多重暗号化データ集合
　｛（１，ｔ１）、（２，ｔ２），・・・，（ｍ，ｔｍ）｝を生成する。
　ただし、
　ｔ１＝Ｅ＾（ｍ－１）（ｔ），ｔ２＝Ｅ＾（ｍ－２）（ｔ），・・・，ｔｍ＝Ｅ＾０（ｔ）＝ｔ
である。
　Ｓ８０５ａ２において、照合部５０４ａは、データ保管部５０３から保管暗号化データ集合（ＩＤ（Ｄ），Ｃ（Ｄ））を読み出す。なお、もしＳ８０４で保管データ名も受信していた場合は、その保管データ名に基づき、対象の保管暗号化データ集合のみを読み出す。もしＳ８０４で保管データ名を受信していなかった場合は、保管されているすべての保管暗号化データ集合を読み出す。ここで、読み出した複数の保管暗号化データ集合を
　｛（ＩＤ（Ｄ１），１，Ｃ（Ｄ１）），・・・，（ＩＤ（Ｄｍ），ｍ，Ｃ（Ｄｍ））｝
とする。
　Ｓ８０６ａにおいて、照合部５０４ａは、パラメーター保管部５０２ａからパラメーターＬを読み出し、Ｓ８０５ａ２で読み出した各（ＩＤ（Ｄｉ），ｉ，Ｃ（Ｄｉ））（１≦ｉ≦ｍ）に対して、Ｓ８０５ａ１で生成した多重暗号化データ（ｉ，ｔｉ）に基づき、ＩＤ（Ｄｉ）に対する照合データ集合Ｘｉ＝｛Ｔ１＿ｉ，・・・，ＴＬ＿ｉ｝を生成する。
　ただし、
　Ｔ１＿ｉ＝Ｅ（ｔｉ，１，ＩＤ（Ｄｉ）），・・・，ＴＬ＿ｉ＝Ｅ（ｔｉ，Ｌ，ＩＤ（Ｄｉ））である。
　Ｓ８０７ａにおいて、照合部５０４ａは、検索結果に関わる空集合Ｒを生成し、
　各ｐ（１≦ｐ≦Ｌ）に対して次のような処理を行う。
　Ｓ８０６ａで生成したＩＤ（Ｄｉ）に対する各照合データＴｐ＿ｉ（１≦ｐ≦Ｌ）がＣ（Ｄｉ）に含まれているかを確認する。もしＴｐ＿ｉがＣ（Ｄｉ）に含まれているならば、ペア（ＩＤ（Ｄｉ），ｐ）をＲに加える。
　Ｓ８１０により、秘匿検索システム１００の検索処理は終了する。本実施の形態でも、実施の形態１と同様な削除処理を行うことにより、保管暗号化データ集合の削除が可能である。
＜本実施の形態の動作具体例＞
　ここで、本実施の形態の動作を、
　パラメーターＬ＝３、パラメーターＭ＝２、
　最初の保管データをＤ１＝ＡＢＣ，ＩＤ（Ｄ１）＝１、
　次の保管データをＤ２＝ＢＣ，ＩＤ（Ｄ２）＝２、
　検索データを＝ＢＣ、
として説明する。
　また暗号化関数Ｅは、ハッシュ関数を用いて説明する。
　まず、Ｄ１の登録処理について説明する。
　Ｓ７０２において、Ｄ１＝（Ａ，Ｂ，Ｃ）と分割される。
　Ｓ７０３において、
　Ａ１＝｛｛（Ａ），（ＡＢ），（ＡＢＣ）｝，｛（Ｂ），（ＢＣ）｝，｛（Ｃ）｝｝
と生成される。
　Ｓ７０４において、
　Ｂ１＝｛｛（１，Ａ），（１，ＡＢ），（１，ＡＢＣ）｝，｛（２，Ｂ），（２，ＢＣ）｝，｛（３，Ｃ）｝｝と生成される。
　Ｓ７０５ａにおいて、ｍ＝１が読み出され、
　Ｃ１１＝Ｅ（Ｅ＾２（Ｋ，Ａ），１，１），
　Ｃ１２＝Ｅ（Ｅ＾２（Ｋ，ＡＢ），１，１），
　Ｃ１３＝Ｅ（Ｅ＾２（Ｋ，ＡＢＣ），１，１），
　Ｃ１４＝Ｅ（Ｅ＾２（Ｋ，Ｂ），２，１），
　Ｃ１５＝Ｅ（Ｅ＾２（Ｋ，ＢＣ），２，１），
　Ｃ１６＝Ｅ（Ｅ＾２（Ｋ，Ｃ），３，１）
を生成し，保管暗号化データ集合（１，Ｃ（Ｄ１））を生成する。
　ただし、
　Ｃ（Ｄ１）＝｛Ｃ１１，Ｃ１２，Ｃ１３，Ｃ１４，Ｃ１５，Ｃ１６｝
　及び
　Ｍ＋１－ｍ＝２である。
　Ｓ７０７及びＳ７０８ａ１により、保管暗号化データ集合（１，１，Ｃ（Ｄ１））が保管される。Ｓ７０８ａ２～Ｓ７１２ａにより、パラメーター保管部３０３ａのパラメーターｍが２に、パラメーター保管部４０７ａとパラメーター保管部５０２ａのパラメーターｍが１に更新される。
　次に、Ｄ１に対してｓを使った検索処理について説明する。
　Ｓ８０２ａにおいて、ｍ＝１を読み出し、ｔ＝Ｅ＾２（Ｋ，ｓ）を計算する。
　ただし、Ｍ＋１－ｍ＝２である。
　Ｓ８０５ａ１において、ｍ＝１を読み出し、ｔ１＝ｔを計算し、
　多重暗号化データ集合｛（１，ｔ１）｝を生成する。
　Ｓ８０５ａ２において、（１，１，Ｃ（Ｄ１））を読み出す。
　Ｓ８０６ａにおいて、
　Ｔ１＿１＝Ｅ（ｔ１，１，１），
　Ｔ２＿１＝Ｅ（ｔ１，２，１），
　Ｔ３＿１＝Ｅ（ｔ１，３，１）
を計算する。
　Ｓ８０７ａにおいて、Ｔ１＿１，Ｔ２＿１，Ｔ３＿１がＣ（Ｄ１）に含まれているかを確認する。実際、Ｔ２＿１はＣ（Ｄ１）に含まれる（Ｃ１５と一致する）。
よって、検索結果Ｒ＝｛（１，２）｝が生成される。
　Ｓ８１０において、Ｒに基づき、「保管データ名が“１”のデータの“２番目”の位置から検索データＢＣが現れる」といった検索結果を出力する。
　次に、Ｄ２の登録処理を行う。
　Ｓ７０２において、Ｄ２＝（Ｂ，Ｃ）と分割される。
　Ｓ７０３において、Ａ２＝｛｛（Ｂ），（ＢＣ）｝，｛（Ｃ）｝｝と生成される。
　Ｓ７０４において、Ｂ２＝｛｛（１，Ｂ），（１，ＢＣ）｝，｛（２，Ｃ）｝｝と生成される。
　Ｓ７０５ａにおいて、ｍ＝２が読み出され、
　Ｃ２１＝Ｅ（Ｅ＾１（Ｋ，Ｂ），１，２），
　Ｃ２２＝Ｅ（Ｅ＾１（Ｋ，ＢＣ），１，２），
　Ｃ２３＝Ｅ（Ｅ＾１（Ｋ，Ｃ），２，２）
を生成し、保管暗号化データ集合（２，Ｃ（Ｄ２））
を生成する。
　ただし、
　Ｃ（Ｄ２）＝｛Ｃ２１，Ｃ２２，Ｃ２３｝
　及び
　Ｍ＋１－ｍ＝１である。
　また、Ｅ＾１＝Ｅである。
　Ｓ７０７及びＳ７０８ａ１により、保管暗号化データ集合（２，２，Ｃ（Ｄ２））が保管される。
　Ｓ７０８ａ２～Ｓ７１２ａにより、パラメーター保管部３０３ａのパラメーターｍが３に、パラメーター保管部４０７ａとパラメーター保管部５０２ａのパラメーターｍが２に更新される。
　次に、Ｄ１とＤ２に対して再度ｓを使った検索処理について説明する。
　Ｓ８０２ａにおいて、ｍ＝２を読み出し、ｔ＝Ｅ（Ｋ，ｓ）を計算する。
　ただし、Ｍ＋１－ｍ＝１である。
　Ｓ８０５ａ１において、ｍ＝２を読み出し、ｔ１＝Ｅ（ｔ），ｔ２＝ｔ，を計算し、多重暗号化データ集合｛（１，ｔ１）、（２，ｔ２）｝を生成する。
　Ｓ８０５ａ２において、
　（１，１，Ｃ（Ｄ１））と（２，２，Ｃ（Ｄ２））
を読み出す。
　Ｓ８０６ａにおいて、
　Ｔ１＿１＝Ｅ（ｔ１，１，１），
　Ｔ２＿１＝Ｅ（ｔ１，２，１），
　Ｔ３＿１＝Ｅ（ｔ１，３，１）及び
　Ｔ１＿２＝Ｅ（ｔ２，１，２），
　Ｔ２＿２＝Ｅ（ｔ２，２，２），
　Ｔ３＿２＝Ｅ（ｔ２，３，２）
を計算する。
　Ｓ８０７ａにおいて、Ｔ１＿１，Ｔ２＿１，Ｔ３＿１がＣ（Ｄ１）に含まれているか、
　またＴ１＿２，Ｔ２＿２，Ｔ３＿２がＣ（Ｄ２）に含まれているかを確認する。
　実際、
　Ｔ２＿１はＣ（Ｄ１）に含まれ（Ｃ１５と一致し）、
　Ｔ１＿２はＣ（Ｄ２）に含まれる（Ｃ２２と一致する）。
　よって、検索結果Ｒ＝｛（１，２），（２，１）｝が生成される。
　Ｓ８１０において、Ｒに基づき、「保管データ名が“１”のデータの“２番目”の位置から検索データＢＣが現れる」、「保管データ名が“２”のデータの“１番目”の位置から検索データＢＣが現れる」といった検索結果を出力する。
　なお、一度目に検索した検索データと二度目に検索した検索データは同一であるが（ｓ＝ＢＣ）、検索暗号化データはそれぞれＥ＾２（Ｋ，ｓ），Ｅ（Ｋ，ｓ）であるため異なった値が生成されている。また、Ｅ（Ｋ，ｓ）からＥ＾２（Ｋ，ｓ）は計算できるため、二度目に検索した検索暗号化データから一度目に検索した検索暗号化データが作れる。一方で、Ｅ＾２（Ｋ，ｓ）からＥ（Ｋ，ｓ）を計算することは一般的に困難であるため、一度目に検索した検索暗号化データから二度目に検索した検索暗号化データを作ることは困難である。
　以上が具体例の説明である。
　本実施の形態におけるハードウェア資源の一例は、実施の形態１と同様であるため省略する。本実施の形態は、例えば、以下のような効果を奏する。
＜＊＊＊実施の形態２の効果＊＊＊＞
　本実施の形態では、実施の形態１と同様な効果を得ることに加えて、ハッシュ鎖などの多重暗号化を用いることにより、過去に用いた検索暗号化データを、新しく追加した保管暗号化データ集合に対して適用できないため、より高い安全性を達成できる。
　実施の形態３．
　次に、本実施の形態の秘匿検索システムについて説明する。
　実施の形態２では、ハッシュ鎖などの多重暗号化を用いることにより、より高い安全性を達成できたが、同じ鍵Ｋで生成や保管できる保管暗号化データ集合の数がパラメーターＭと線型に依存するため、Ｍをある程度大きくとる必要がある。
　一方で、Ｍを大きくとりすぎると、多重暗号化処理に時間がかかってしまう。
　そこで、本実施の形態では、保管データを１つずつ保管することはせずに、複数の保管データをまとめて保管することによって、実施の形態２と同じＭを選択しても、同じ鍵Ｋで暗号化や保管できる保管データの最大数を大きくすることや、かつ検索効率を向上できるような技術を開示する。
　本実施の形態では、保管データを１つずつ保管することはせずに、索引として複数の保管データを同時に保管する手法を開示する。
　本実施の形態の秘匿検索システム１００は、実施の形態２とは一部異なっている。鍵生成装置２００ａは鍵生成装置２００ｂへと、登録装置３００ａは登録装置３００ｂへと、検索装置４００ａは検索装置４００ｂへと、管理装置５００ａは管理装置５００ｂへと変更されている。
　以下、本実施の形態の構成について説明する。以下では、鍵生成装置２００ｂの構成、登録装置３００ｂの構成、検索装置４００ｂの構成、管理装置５００ｂの構成について順番に説明する。
　図１８は、鍵生成装置２００ｂの構成を示すブロック図である。図１８に示すように、鍵生成装置２００ｂは、鍵生成部２０１と、パラメーター生成部２０２ｂと、送信部２０３ｂとを備える。図示していないが、鍵生成装置２００ｂは、鍵生成装置２００ｂの各部で使用されるデータを記憶する記録媒体を備える。鍵生成部２０１の説明は、すでに述べたため省略する。
　パラメーター生成部２０２ｂは、前述のパラメーターＬ，Ｍを生成すると同時に、一度に保管できる保管データの最大数を表すパラメーターＮを生成する。すなわち、各索引は最大Ｎ個の保管データに関する情報を保持することができる。もし、一度に保管する保管データ数がＮを超える場合は、各索引を高々Ｎ個の保管データと対応づけるように複数の索引を生成する。なお、Ｎは１より大きい整数である。また、ＮはＬ，Ｍと同様に秘密情報ではないため、公に公開されていても構わない。
　送信部２０３ｂは、鍵生成部２０１で生成された鍵Ｋを、登録装置３００ｂと、検索装置４００ｂとへ送信し、また、パラメーター生成部２０２ｂで生成されたパラメーター（Ｌ，Ｍ，Ｎ）を、登録装置３００ｂと、管理装置５００ｂとへ送信し、またパラメーター（Ｌ，Ｍ）を検索装置４００ｂへ送信する。
　図１９は、登録装置３００ｂの構成を示すブロック図である。図１９に示すように、登録装置３００ｂは、受信部３０１ｂと、鍵保管部３０２と、パラメーター保管部３０３ｂと、入力部３０４ｂと、データ分割部３０５と、部分文字列生成部３０６と、位置情報割当部３０７と、多重暗号化部３０８ｂと、送信部３０９ｂと、集約部３１０ｂとを備える。図示していないが、登録装置３００ｂは、登録装置３００ｂの各部で使用されるデータを記憶する記録媒体を備える。
　鍵保管部３０２と、データ分割部３０５と、部分文字列生成部３０６と、位置情報割当部３０７との説明は、すでに述べたため省略する。
　受信部３０１ｂは、鍵生成装置２００ｂから送信されてきた鍵Ｋとパラメーター（Ｌ，Ｍ，Ｎ）を受信する。
　パラメーター保管部３０３ｂは、受信部３０１ｂから受け取ったパラメーター（Ｌ，Ｍ，Ｎ）を保管することや、鍵ＫとパラメーターＭを使って暗号化された管理装置５００ａに保管されている索引の数を表すパラメーターｍも保管する。なお、ｍの初期値は１を表し、多重暗号化部３０８ａからｍが読み出されたら、ｍの値を１カウントアップしてｍの値を更新する。
　入力部３０４ｂは、データ登録者から保管データ及び保管データ名の
　ペアの集合｛（ＩＤ（Ｄ１），Ｄ１），・・・，（ＩＤ（Ｄｎ），Ｄｎ）｝、
　また索引名ＩＤ（Ｉ）
を受け取る。
　なお、保管データ及び保管データ名は集合ではなく、単一でもよい。
　もしｎ＞Ｎの場合は、ｎ＝ｎ１＋・・・＋ｎｋかつｎｊ≦ｎ（１≦ｊ≦ｎ）
となるように分割して、各ｎｊについて以下の処理をｋ回実行すればよい。
　もし、データ登録者から索引名の入力がなければ、入力部３０４ｂは、ＩＤ（Ｉ）を乱数と割り当ててもよいし、他の索引名と重複しないように０より大きい整数の値を順に割り当ててもよい。
　ここで、データ分割部３０５と、部分文字列生成部３０６と、位置情報割当部３０７とは、上記の
　｛（ＩＤ（Ｄ１），Ｄ１），・・・，（ＩＤ（Ｄｎ），Ｄｎ）｝
に対して、次のように処理を行ったとする。
　各データは
　Ｄ１＝（ｗ１＿１，・・・，ｗＬ＿１），・・・，Ｄｎ＝（ｗ１＿ｎ，・・・，ｗＬ＿ｎ）
のように分割され、各位置情報付き部分文字列集合Ｂｉ（１≦ｉ≦ｎ）は、
　｛（１，ｗ１＿ｉ），（１，ｗ１＿ｉｗ２＿ｉ），・・・，（１，ｗ１＿ｉ・・・ｗＬ＿ｉ）｝，
　｛（２，ｗ２＿ｉ），（２，ｗ２＿ｉｗ３＿ｉ），・・・，（２，ｗ２＿ｉ・・・ｗＬ＿ｉ）｝，
　・・・，
　｛（Ｌ，ｗＬ＿ｉ）｝｝
のように生成されたとする。
　多重暗号化部３０８ｂは、後述する集約部３１０ｂから受け取った集約データ集合Ｙを受け取り、鍵保管部３０２から鍵Ｋを、パラメーター保管部３０３ｂからパラメーター（ｍ，Ｍ，Ｎ）を読み出し、Ｙの各要素の暗号文及び集合Ｉを次のように生成する。
　各要素（ｐ，ｗ，｛ＩＤ（Ｄ＿ｉ１），・・・，ＩＤ（Ｄ＿ｉｋ）｝，｛ＩＤ（Ｄ＿ｉｋ＋１），・・・，ＩＤ（Ｄ＿ｉｎ）｝）に対して、
　Ｃ１　　＝Ｅ（Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｗ，０），ｐ，１，　　ＩＤ（Ｉ）），
　・・・，
　Ｃｋ　　＝Ｅ（Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｗ，０），ｐ，ｋ，　　ＩＤ（Ｉ）），
　Ｃｋ＋１＝Ｅ（Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｗ，１），ｐ，ｋ＋１，ＩＤ（Ｉ）），
　・・・，
　Ｃｎ＝　　Ｅ（Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｗ，１），ｐ，ｎ，　　ＩＤ（Ｉ））
と生成し、
　集合Ｉ＝｛（Ｃｊ，ＩＤ（Ｄ＿ｉｊ））｝
と置く。以降、この集合Ｉを索引と呼ぶことにする。
　また、（ＩＤ（Ｉ），ｍ，Ｉ）
を保管索引と呼ぶことにする。
　送信部３０９ｂは、多重暗号化部３０８ｂから受け取った保管索引（ＩＤ（Ｉ），ｍ，Ｉ）を管理装置５００ｂへ送信することや、また索引Ｉを生成したときに用いたパラメーターｍを検索装置４００ｂへ送信する。
　集約部３１０ｂは、位置情報割当部３０７から受け取ったＢ１，・・・Ｂｎに対して、次のような集合Ｙを生成する。
　集合Ｙの各要素は、
　（ｐ，ｗ，｛ＩＤ（Ｄ＿ｉ１），・・・，ＩＤ（Ｄ＿ｉｋ）｝，｛ＩＤ（Ｄ＿ｉｋ＋１），・・・，ＩＤ（Ｄ＿ｉｎ）｝）
は、
　「（ｐ，ｗ）はＢｉ１，・・・，Ｂｉｋそれぞれに含まれるが、Ｂｉｋ＋１，・・・，Ｂｉｎには含まれない」ことを意味する。
　なお、このペア（ｐ，ｗ）は必ずＢ１，・・・，Ｂｎのいずれかに含まれるとする。また、複数含まれてもよい。つまり、ＹはＢ１，・・・，Ｂｎの要素を集約した集合とみなすことができる。また、
　｛ＩＤ（Ｄ＿ｉ１），・・・，ＩＤ（Ｄ＿ｉｎ）｝＝｛ＩＤ（Ｄ１），・・・，ＩＤ（Ｄｎ）｝
である。以降では、Ｙを集約データ集合と呼ぶことにする。
　図２０は、検索装置４００ｂの構成を示すブロック図である。図２０に示すように、検索装置４００ｂは、受信部４０１ａと、鍵保管部４０２と、入力部４０３ｂと、多重暗号化部４０４ｂと、送信部４０５ｂと、出力部４０６と、パラメーター保管部４０７ａとを備える。図示していないが、検索装置４００ｂは、検索装置４００ｂの各部で使用されるデータを記憶する記録媒体を備える。
　受信部４０１ａと、鍵保管部４０２と、出力部４０６と、パラメーター保管部４０７ａの説明は、既に述べたため省略する。
　入力部４０３ｂは、データ検索者から入力された検索データｓを受け取る。また、入力部４０３ｂは、データ検索者から、検索データと同時に、その検索データと検索したい保管索引を指定するような保管索引名も複数受けとってもよい。
　多重暗号化部４０４ｂは、鍵保管部４０２から鍵Ｋを、パラメーター保管部４０７ａからパラメーターｍを読み出し、入力部４０３ｂから受け取った検索データｓに対して、鍵Ｋとパラメーターｍを用いて、次のように暗号文ｔを生成する。
　多重暗号化部４０４ｂは、
　ｔ＝Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｓ，０）
を生成する。
　以降では、このｔを検索暗号化データと呼ぶ。
　送信部４０５ｂは、多重暗号化部４０４ｂから受け取った検索暗号化データｔを管理装置５００ｂへ送信する。もし、データ検索者から検索データと同時に保管索引名も入力されていた場合は、検索暗号化データと保管索引名の両方を管理装置５００ｂへ送信する。
　図２１は、管理装置５００ｂの構成を示すブロック図である。図２１に示すように、管理装置５００ｂは、受信部５０１ｂと、パラメーター保管部５０２ｂと、データ保管部５０３ｂと、照合部５０４ｂと、送信部５０５と、多重暗号化部５０６ａとを備える。図示していないが、管理装置５００ｂは、管理装置５００ｂの各部で使用されるデータを記憶する記録媒体を備える。
　送信部５０５と、多重暗号化部５０６ａの説明は、すでに述べたため省略する。
　受信部５０１ｂは、鍵生成装置２００ｂから送信されてきたパラメーター（Ｌ，Ｍ，Ｎ）、登録装置３００ｂから送信されてきた保管暗号化データ集合（ＩＤ（Ｉ），ｍ，Ｉ）や削除索引名、検索装置４００ｂから送信されてきた検索暗号化データｔや保管索引名を受信する。
　パラメーター保管部５０２ｂは、受信部５０１ｂから受け取ったパラメーター（Ｌ，Ｍ，Ｎ）や、保管索引（ＩＤ（Ｉ），ｍ，Ｉ）のｍも合わせて保管する。
　データ保管部５０３ｂは、受信部５０１ｂから受け取った保管索引（ＩＤ（Ｉ），ｍ，Ｉ）を保管する。必要があれば、送信されてきた日時なども同時に保管してもよい。また、データ保管部５０３ｂは、受信部５０１ｂから受け取った削除索引名に基づき、保管している保管索引を削除する。
　照合部５０４ｂは、検索結果に関わる空集合Ｒを生成し、データ保管部５０３ｂからすべての保管索引（ＩＤ（Ｉ），ｍ，Ｉ）を読み出し、多重暗号化部５０６ａから受け取った多重暗号化データ集合｛（１，ｔ１）、（２，ｔ２），・・・，（ｍ，ｔｍ）｝に基づき、次のようにして照合を行うことや検索結果を生成する。
　照合部５０４ｂは、各ｉ（１≦ｉ≦ｍ）に対して、（ＩＤ（Ｉ），ｉ，Ｉ）となる保管索引を抽出し、次を繰り返し実行する。
　照合部５０４ｂは、各ｐ（１≦ｐ≦Ｌ）及び各ｊ（１≦ｊ≦Ｎ）に対して、
　Ｃ＿ｐｊ＝Ｅ（ｔｉ，ｐ，ｊ，ＩＤ（Ｉ））を計算し（全部でＬ×Ｎ個の計算）、
　各Ｃ＿ｐｊが索引Ｉに含まれているかを確認し、もし含まれていればＣ＿ｐｊとペアで保管されているＩＤ（Ｄ）を抽出して（ＩＤ（Ｄ），ｐ）を空集合Ｒに追加する。
　なお、もしＣ＿ｐｊはＩに含まれるが、
　Ｃ＿ｐｊ＋１＝Ｅ（ｔｉ，ｐ，ｊ＋１，ＩＤ（Ｉ））
が索引Ｉに含まれない場合は、
　Ｅ（ｔｉ，ｐ，ｊ＋２，ＩＤ（Ｉ）），・・・，Ｅ（ｔｉ，ｐ，Ｎ，ＩＤ（Ｉ））
も索引Ｉには含まれないため、これらの計算を省略して検索効率を高めることができる。
　以降では、
　各Ｃ＿ｐｊ（１≦ｐ≦Ｌ，１≦ｊ≦Ｎ）
をＩＤ（Ｉ）に対する照合データと呼ぶことにする。また、本処理の結果、最終的に生成される集合Ｒを検索結果と呼ぶことにする。
　なお、照合部５０４ｂは、受信部５０１ｂが検索装置４００ｂから保管索引名も受信していれば、それに基づいてデータ保管部５０３ｂから対象となる保管索引のみを読み出して、同様な処理を行う。
　以下では、本実施の形態に係る検索方法に相当する、秘匿検索システム１００の動作について説明する。
　図２２は、本実施の形態における秘匿検索システム１００の鍵生成・保管処理を示すフローチャートである。図２２のＳ６０１～Ｓ６１２ｂは、鍵生成装置２００ｂと、登録装置３００ｂと、検索装置４００ｂと、管理装置５００ｂとが実行する処理である。Ｓ６０１～Ｓ６０５ｂは鍵生成装置２００ｂに、Ｓ６０６ｂ～Ｓ６０８ｂは登録装置３００ｂに、Ｓ６０９ａ～Ｓ６１０ａ２は検索装置４００ｂに、Ｓ６１１ｂ～Ｓ６１２ｂは管理装置５００ａによって実行される処理である。
　なお、本検索処理におけるＳ６０１と、Ｓ６０４ａ、Ｓ６０７と、Ｓ６０９ａ～Ｓ６１０ａ２とは、実施の形態２のそれぞれと同様の処理であるため、ここでは省略する。
　Ｓ６０２ｂにおいて、パラメーター生成部２０２ｂは、パラメーターＬ、Ｍ、Ｎを生成する。なお、前述の通り、Ｌは保管データを分割したときに現れる文字列の最大数であり、Ｍは同じ鍵Ｋを用いて管理装置５００ｂに保管できる保管索引の最大数を表し、Ｎは一度に登録できる保管データの最大数である。
　Ｓ６０３ｂにおいて、送信部２０３ｂは、Ｓ６０１で生成した鍵Ｋと、Ｓ６０２ｂで生成したパラメーター（Ｌ，Ｍ，Ｎ）とを、登録装置３００ｂへ送信する。
　Ｓ６０５ｂにおいて、送信部２０３ｂは、Ｓ６０２ｂで生成したパラメーター（Ｌ，Ｍ，Ｎ）を、管理装置５００ｂへ送信する。
　Ｓ６０６ｂにおいて、受信部３０１ｂは、Ｓ６０３ｂで送信された鍵Ｋと、パラメーター（Ｌ，Ｍ，Ｎ）とを受信する。
　Ｓ６０８ｂにおいて、パラメーター保管部３０３ｂは、Ｓ６０６ｂで受信したパラメーター（Ｌ，Ｍ，Ｎ）を記憶媒体に保管する。
　Ｓ６１１ｂにおいて、受信部５０１ｂは、Ｓ６０５ｂで送信されたパラメーター（Ｌ，Ｍ，Ｎ）を受信する。
　Ｓ６１２ｂにおいて、パラメーター保管部５０２ｂは、Ｓ６１１ｂで受信したパラメーター（Ｌ，Ｍ，Ｎ）を記憶媒体に保管する。
　Ｓ６１２ｂにより、秘匿検索システム１００の鍵生成・保管処理は終了する。
　図２３は、秘匿検索システム１００の登録処理を示すフローチャートである。図２３のＳ７０１～Ｓ７１２ａは、登録装置３００ｂと、検索装置４００ｂと、管理装置５００ｂとが実行する処理である。Ｓ７０１～Ｓ７０６ｂと、Ｓ７０９ａと、Ｓ７１２ａは登録装置３００ｂに、Ｓ７０７ｂ～Ｓ７０８ｂ２は管理装置５００ｂに、Ｓ７１０ａ～Ｓ７１１ａは検索装置４００ｂによって実行される処理である。
　なお、本検索処理におけるＳ７０１～Ｓ７０４と、Ｓ７０９ａ２～Ｓ７１２ａとは、実施の形態２のそれぞれと同様の処理であるため、ここでは省略する。
　Ｓ７０５ｂ１において、集約部３１０ｂは、Ｓ７０４で生成されたＢ１，・・・Ｂｎに対して、集約データ集合Ｙを生成する。なお、前述の通り、Ｙの各要素は（ｐ，ｗ，｛ＩＤ（Ｄ＿ｉ１），・・・，ＩＤ（Ｄ＿ｉｋ）｝，｛ＩＤ（Ｄ＿ｉｋ＋１），・・・，ＩＤ（Ｄ＿ｉｎ）｝）と表わされる。
　Ｓ７０５ｂ２において、多重暗号化部３０８ｂは、Ｓ７０５ｂ１で生成された集約データ集合Ｙを受け取り、鍵保管部３０２から鍵Ｋを、パラメーター保管部３０３ｂからパラメーター（ｍ，Ｍ，Ｎ）を読み出し、保管索引（ＩＤ（Ｉ），ｍ，Ｉ）を生成する。
　なお、前述の通り、索引ＩはＩ＝｛（Ｃｊ，ＩＤ（Ｄ＿ｉｊ））｝と表わされ、またＹの各要素
　（ｐ，ｗ，｛ＩＤ（Ｄ＿ｉ１），・・・，ＩＤ（Ｄ＿ｉｋ）｝，｛ＩＤ（Ｄ＿ｉｋ＋１），・・・，ＩＤ（Ｄ＿ｉｎ）｝）
におけるＣ１，・・・，Ｃｎは
　次のように表わされている。
　Ｃ１＝Ｅ（Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｗ，０），ｐ，１，ＩＤ（Ｉ）），
　・・・，
　Ｃｋ＝Ｅ（Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｗ，０），ｐ，ｋ，ＩＤ（Ｉ）），
　Ｃｋ＋１＝Ｅ（Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｗ，１），ｐ，ｋ＋１，ＩＤ（Ｉ）），
　・・・，
　Ｃｎ＝Ｅ（Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｗ，１），ｐ，ｎ，ＩＤ（Ｉ））。
　Ｓ７０６ｂにおいて、送信部３０９ｂは、Ｓ７０５ｂ２で生成した保管索引（ＩＤ（Ｉ），ｍ，Ｉ）を管理装置５００ｂへ送信する。
　Ｓ７０７ｂにおいて、受信部５０１ｂは、Ｓ７０６ｂで送信された保管索引（ＩＤ（Ｉ），ｍ，Ｉ）を受信する。
　Ｓ７０８ｂ１において、データ保管部５０３ｂは、Ｓ７０７ｂで受信した保管索引（ＩＤ（Ｉ），ｍ，Ｉ）を保管する。
　Ｓ７０８ｂ２において、パラメーター保管部５０２ｂは、Ｓ７０７ｂで受信した保管索引（ＩＤ（Ｉ），ｍ，Ｉ）のｍから保管されているｍの値を更新する。
　Ｓ７１２ａにより、秘匿検索システム１００の登録処理は終了する。
　図２４は、秘匿検索システム１００の検索処理を示すフローチャートである。図２４のＳ８０１～Ｓ８１０は、検索装置４００ｂと管理装置５００ｂとが実行する処理である。Ｓ８０１～Ｓ８０３及びＳ８０９～Ｓ８１０は検索装置４００ｂに、Ｓ８０４～Ｓ８０８は管理装置５００にａよって実行される処理である。
　なお、本検索処理におけるＳ８０１と、Ｓ８０３と、Ｓ８０４～Ｓ８０５ａ１と、Ｓ８０８～Ｓ８１０は、実施の形態２のそれぞれと同様の処理であるため、ここでは省略する。
　Ｓ８０２ｂにおいて、多重暗号化部４０４ｂは、鍵保管部４０２から鍵Ｋを、パラメーター保管部４０７ａからパラメーターｍを読み出し、Ｓ８０１で受け取った検索データｓに対して鍵Ｋを用いて、次のようにして検索暗号化データｔを生成する。
　ｔ＝Ｅ＾（Ｍ＋１－ｍ）（Ｋ，ｓ，０）。
　Ｓ８０５ｂ２において、照合部５０４ｂは、データ保管部５０３ｂからすべての保管索引（ＩＤ（Ｉ），ｍ，Ｉ）を読み出す。なお、もしＳ８０４で保管索引名も受信していた場合は、その保管索引名に基づき、対象の保管索引のみを読み出す。もしＳ８０４で保管索引名を受信していなかった場合は、保管されているすべての保管索引を読み出す。ここで、読み出した複数の保管暗号化データ集合を、
　｛（ＩＤ（Ｉ１），１，Ｉ１）），・・・，（ＩＤ（Ｉｍ），ｍ，Ｉｍ）｝
とする。
　Ｓ８０６ｂにおいて、照合部５０４ｂは、パラメーター保管部５０２ｂからパラメーター（Ｌ，Ｎ）を読み出し、Ｓ８０５ｂ２で読み出した各保管索引の（ＩＤ（Ｉｉ），ｉ，Ｉｉ）（１≦ｉ≦ｍ）に対して、
　Ｓ８０５ａ１で生成された多重暗号化データ（ｉ，ｔｉ）に基づき、次のようにして各Ｉｉに対する照合データ集合Ｘｉを生成する。
　各ｐ（１≦ｐ≦Ｌ）及び各ｊ（１≦ｊ≦Ｎ）に対して、
　Ｃ＿ｐｊ＝Ｅ（ｔｉ，ｐ，ｊ，ＩＤ（Ｉｉ））を計算し、
　このＬ×Ｎ個の照合データの集合をＸｉとする。なお、本ステップでは、照合データ集合Ｘ１，・・・，Ｘｍが生成される。
　Ｓ８０７ｂにおいて、照合部５０４ｂは、検索結果に関わる空集合Ｒを生成し、Ｓ８０６ｂで生成された各照合データ集合の
　Ｘｉ＝｛Ｃ＿ｐｊ｝（１≦ｉ≦ｍ，１≦ｐ≦Ｌ，１≦ｊ≦Ｎ）に対して、
　次のようにして照合処理を行い、検索結果Ｒを生成する。
　各Ｃ＿ｐｊがＩｉに含まれているかを確認し、
　もし含まれていればＣ＿ｐｊとペアで保管されているＩＤ（Ｄ）を抽出して（ＩＤ（Ｄ），ｐ）をＲに追加する。
　なお、前述の通り、もしＣ＿ｐｊはＩｉに含まれるが、
　Ｃ＿ｐｊ＋１＝Ｅ（ｔｉ，ｐ，ｊ＋１，ＩＤ（Ｉ））
がＩｉに含まれない場合は、
　Ｅ（ｔｉ，ｐ，ｊ＋２，ＩＤ（Ｉ）），・・・，Ｅ（ｔｉ，ｐ，Ｎ，ＩＤ（Ｉ））
もＩｉには含まれないため、これらの照合処理を省略して検索効率を高めることができる。
　Ｓ８１０により、秘匿検索システム１００の検索処理は終了する。なお、Ｓ８０６ｂでは、各Ｉｉに対する照合データ集合Ｘｉにおいて、すべてのＣ＿ｐｊ（１≦ｐ≦Ｌ，１≦ｊ≦Ｎ）を生成していたが、前述の通り、もしＣ＿ｐｊはＩｉに含まれるが、
　Ｃ＿ｐｊ＋１＝Ｅ（ｔｉ，ｐ，ｊ＋１，ＩＤ（Ｉ））
がＩｉに含まれない場合は、
　Ｅ（ｔｉ，ｐ，ｊ＋２，ＩＤ（Ｉ）），・・・，Ｅ（ｔｉ，ｐ，Ｎ，ＩＤ（Ｉ））
もＩｉには含まれないため、いくつかのＣ＿ｐｊの生成に関わる処理は省略することができる。具体的には、Ｓ８０６ｂとＳ８０７ｂのステップを完全に分割せず、各Ｃ＿ｐｊを生成した直後に照合処理を行うといったようにＳ８０６ｂとＳ８０７ｂを繰り返して処理すれば、この効率化は実現できる。
　本実施の形態でも、削除データ名を削除索引名と読み替えることによって、実施の形態１と同様な削除処理を行うことにより、保管索引の削除が可能である。
＜本実施の形態の動作具体例＞
　ここで、本実施の形態の動作を、
　パラメーターＬ＝３、パラメーターＭ＝２、パラメーターＮ＝３、
　保管データをＤ１＝ＡＢＣ，ＩＤ（Ｄ１）＝１、
　及び保管データＤ２＝ＢＢＣ，ＩＤ（Ｄ２）＝２、
　索引名＝３、検索データｓ＝ＢＣ、
として説明する。
　また暗号化関数Ｅは、ハッシュ関数を用いて説明する。
　まず、Ｄ１とＤ２の登録処理について説明する。
　Ｓ７０２において、Ｄ１＝（Ａ，Ｂ，Ｃ），Ｄ２＝（Ｂ，Ｂ，Ｃ）と分割される。
　Ｓ７０３において、
　Ａ１＝｛｛（Ａ），（ＡＢ），（ＡＢＣ）｝，｛（Ｂ），（ＢＣ）｝，｛（Ｃ）｝｝
　及び
　Ａ２＝｛｛（Ｂ），（ＢＢ），（ＢＢＣ）｝，｛（Ｂ），（ＢＣ）｝，｛（Ｃ）｝｝
と生成される。
　Ｓ７０４において、
　Ｂ１＝｛｛（１，Ａ），（１，ＡＢ），（１，ＡＢＣ）｝，｛（２，Ｂ），（２，ＢＣ）｝，｛（３，Ｃ）｝｝及び
　Ｂ２＝｛｛（１，Ｂ），（１，ＢＢ），（１，ＢＢＣ）｝，｛（２，Ｂ），（２，ＢＣ）｝，｛（３，Ｃ）｝｝と生成される。
　Ｓ７０５ｂ１において、
　次のように集約する。
　（１，Ａ，｛１｝，｛２｝），
　（１，ＡＢ，｛１｝，｛２｝），
　（１，ＡＢＣ，｛１｝，｛２｝），
　（１，Ｂ，｛２｝，｛１｝），
　（１，ＢＢ，｛２｝，｛１｝），
　（１，ＢＢＣ，｛２｝，｛１｝），
　（２，Ｂ，｛１，２｝，｛｝），
　（２，ＢＣ，｛１，２｝，｛｝），
　（３，Ｃ，｛１，２｝，｛｝）。
　Ｓ７０５ｂ２において、ｍ＝１が読み出され、
　Ｉ＝
　｛（Ｃ１１，１），（Ｃ１２，２），
　（Ｃ２１，１），（Ｃ２２，２），
　（Ｃ３１，１），（Ｃ３２，２），
　（Ｃ４１，２），（Ｃ４２，１），
　（Ｃ５１，２），（Ｃ５２，１），
　（Ｃ６１，２），（Ｃ６２，１），
　（Ｃ７１，１），（Ｃ７２，２），
　（Ｃ８１，１），（Ｃ８２，２），
　（Ｃ９１，１），（Ｃ９２，２）｝
を生成し，保管索引（３，１，Ｉ）を生成する。
　ただし、
　Ｃ１１＝Ｅ（Ｅ＾２（Ｋ，Ａ，０），１，１，３），
　Ｃ１２＝Ｅ（Ｅ＾２（Ｋ，Ａ，１），１，２，３），
　Ｃ２１＝Ｅ（Ｅ＾２（Ｋ，ＡＢ，０），１，１，３），
　Ｃ２２＝Ｅ（Ｅ＾２（Ｋ，ＡＢ，１），１，２，３），
　Ｃ３１＝Ｅ（Ｅ＾２（Ｋ，ＡＢＣ，０），１，１，３），
　Ｃ３２＝Ｅ（Ｅ＾２（Ｋ，ＡＢＣ，１），１，２，３），
　Ｃ４１＝Ｅ（Ｅ＾２（Ｋ，Ｂ，０），１，１，３），
　Ｃ４２＝Ｅ（Ｅ＾２（Ｋ，Ｂ，１），１，２，３），
　Ｃ５１＝Ｅ（Ｅ＾２（Ｋ，ＢＢ，０），１，１，３），
　Ｃ５２＝Ｅ（Ｅ＾２（Ｋ，ＢＢ，１），１，２，３），
　Ｃ６１＝Ｅ（Ｅ＾２（Ｋ，ＢＢＣ，０），１，１，３），
　Ｃ６２＝Ｅ（Ｅ＾２（Ｋ，ＢＢＣ，１），１，２，３），
　Ｃ７１＝Ｅ（Ｅ＾２（Ｋ，Ｂ，０），２，１，３），
　Ｃ７２＝Ｅ（Ｅ＾２（Ｋ，Ｂ，０），２，２，３），
　Ｃ８１＝Ｅ（Ｅ＾２（Ｋ，ＢＣ，０），２，１，３），
　Ｃ８２＝Ｅ（Ｅ＾２（Ｋ，ＢＣ，０），２，２，３），
　Ｃ９１＝Ｅ（Ｅ＾２（Ｋ，Ｃ，０），３，１，３），
　Ｃ９２＝Ｅ（Ｅ＾２（Ｋ，Ｃ，０），３，２，３）、
　またＭ＋１－ｍ＝２である。
　Ｓ７０７ｂ及びＳ７０８ｂ１により、保管索引（３，１，Ｉ）が保管される。
　Ｓ７０８ｂ２～Ｓ７１２ａにより、パラメーター保管部３０３ａのパラメーターｍが２に、パラメーター保管部４０７ａとパラメーター保管部５０２ａのパラメーターｍが１に更新される。
　次に、ｓ＝ＢＣの検索処理について説明する。
　Ｓ８０２ａにおいて、ｍ＝２を読み出し、
　ｔ＝Ｅ＾２（Ｋ，ｓ，０）
を計算する。ただし、Ｍ＋１－ｍ＝２である。
　Ｓ８０５ａ１において、ｍ＝１を読み出し、ｔ１＝ｔとして、（１，ｔ１）を生成する。
　Ｓ８０５ｂ２において、（３，１，Ｉ）を読み出す。
　Ｓ８０６ｂにおいて、Ｌ＝３及びＮ＝３を読み出し、
　Ｃ＿１１＝Ｅ（ｔ１，１，１，３），
　Ｃ＿１２＝Ｅ（ｔ１，１，２，３），
　Ｃ＿１３＝Ｅ（ｔ１，１，３，３），
　Ｃ＿２１＝Ｅ（ｔ１，２，１，３），
　Ｃ＿２２＝Ｅ（ｔ１，２，２，３），
　Ｃ＿２３＝Ｅ（ｔ１，２，３，３），
　Ｃ＿３１＝Ｅ（ｔ１，３，１，３），
　Ｃ＿３２＝Ｅ（ｔ１，３，２，３），
　Ｃ＿３３＝Ｅ（ｔ１，３，３，３）
を計算する。
　Ｓ８０７ｂにおいて、Ｃ＿１１，・・・，Ｃ＿３３がＩに含まれているかを確認する。
　実際、
　Ｃ＿２１
　＝Ｅ（ｔ１，２，１，３）
　＝Ｃ８１，Ｃ＿２２
　＝Ｅ（ｔ１，２，２，３）
　＝Ｃ８２
であることがわかり、
　（Ｃ８１，１）及び（Ｃ８２，２）から検索結果Ｒ＝｛（１，２），（２，２）｝が生成される。
　Ｓ８１０において、Ｒに基づき、
　「保管データ名が“１”のデータの“２番目”の位置から検索データＢＣが現れる」、
　「保管データ名が“２”のデータの“２番目”の位置から検索データＢＣが現れる」
といった検索結果を出力する。
　なお、Ｓ８０６ｂにおいて、生成したＣ＿１１を直ちにＳ８０７ｂの照合処理を行うことによって、Ｃ＿１１はＩに含まれないので、Ｃ＿１２及びＣ＿１３の生成を省略することができる。同様に、Ｃ＿３１もＩに含まれないので、Ｃ＿３２及びＣ＿３３の生成を省略することができる。このようにして、検索効率を上げることが可能である。
　以上が具体例の説明である。
　本実施の形態におけるハードウェア資源の一例は、実施の形態１と同様であるため省略する。
＜＊＊＊実施の形態３の効果＊＊＊＞
　本実施の形態は、例えば、以下のような効果を奏する。
　本実施の形態では、保管データを１つずつ保管することはせずに、複数の保管データをまとめて保管することによって、実施の形態２と同じＭを選択しても、同じ鍵Ｋで暗号化や保管できる保管データの最大数を大きくすることや、かつ検索効率を向上できる。
　以上、本発明の実施の形態について説明したが、これらの実施の形態のうち、２つ以上を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
　１００　秘匿検索システム、１０１　インターネット、２００，２００ａ，２００ｂ　鍵生成装置、２０１　鍵生成部、２０２，２０２ａ，２０２ｂ　パラメーター生成部、２０３，２０３ａ，２０３ｂ　送信部、３００，３００ａ，３００ｂ　登録装置、３０１，３０１ａ，３０１ｂ　受信部、３０２　鍵保管部、３０３，３０３ａ，３０３ｂ　パラメーター保管部、３０４，３０４ｂ　入力部、３０５　データ分割部、３０６　部分文字列生成部、３０７　位置情報割当部、３０８　暗号化部、３０８ａ，３０８ｂ　多重暗号化部、３０９，３０９ａ，３０９ｂ　送信部、３１０ｂ　集約部、４００，４００ａ，４００ｂ　検索装置、４０１，４０１ａ　受信部、４０２　鍵保管部、４０３，４０３ｂ　入力部、４０４　暗号化部、４０４ａ，４０４ｂ　多重暗号化部、４０５，４０５ｂ　送信部、４０６　出力部、４０７ａ　パラメーター保管部、５００，５００ａ，５００ｂ　管理装置、５０１，５０１ａ，５０１ｂ　受信部、５０２，５０２ａ，５０２ｂ　パラメーター保管部、５０３，５０３ｂ　データ保管部、５０４，５０４ａ，５０４ｂ　照合部、５０５　送信部、５０６ａ　多重暗号化部、１００１　ＣＰＵ、１００２　バス、１００３　ＲＯＭ、１００４　ＲＡＭ、１００５　通信ボード、１０１１　ディスプレイ、１０１２　キーボード、１０１３　マウス、１０１４　ドライブ、１０２０　磁気ディスク装置、１０２１　ＯＳ、１０２２　プログラム群、１０２３　ファイル群。

Claims (9)

  1. 　文字列データＤを、前記文字列データＤの始まりから終わりに向かうＮ個の要素データｗ１，ｗ２，．．．，ｗＮに分割するデータ分割部と、
    　前記Ｎ個の要素データｗ１，ｗ２，．．．，ｗＮから、
    　集合Ａ＝｛Ａ１，Ａ２，．．．，ＡＮ｝，
    　集合Ａの要素Ａｉ＝｛（ｗｉ），（ｗｉｗｉ＋１），．．．，（ｗｉｗｉ＋１．．．ｗＮ）｝，ｉ＝１，．．．，Ｎ，
    を生成する部分文字列生成部と、
    　前記要素Ａｉの成分である（ｗｉ），（ｗｉｗｉ＋１），．．．，（ｗｉｗｉ＋１．．．ｗＮ）のそれぞれに位置情報ｉを対応させることにより、
    　集合Ｂ＝｛Ｂ１，Ｂ２，．．．，ＢＮ｝、
    　集合Ｂの要素Ｂｉ＝｛（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），．．．，（ｉ，ｗｉｗｉ＋１．．．ｗＮ）｝
    を生成する位置情報割当部と、
    　前記要素Ｂｉに含まれる成分である（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），．．．，（ｉ，ｗｉｗｉ＋１．．．ｗＮ）のそれぞれを暗号化する暗号化部と
    を備えた暗号化装置。
  2. 　前記暗号化部は、
    　前記要素Ｂｉに含まれる各成分を暗号化する場合に、前記要素Ｂｉに含まれる各成分を、前記文字列データＤを識別する識別子と共に暗号化する請求項１に記載の暗号化装置。
  3. 　前記暗号化部は、
    　前記要素Ｂｉに含まれる各成分を暗号化する場合に、前記要素Ｂｉの成分に含まれる前記要素Ａｉの成分を暗号化し、暗号化された前記要素Ａｉの成分を、暗号化された前記要素Ａｉの成分と対をなす位置情報と共に暗号化する請求項１または請求項２に記載の暗号化装置。
  4. 　前記暗号化部は、
    　前記要素Ｂｉの成分に含まれる前記要素Ａｉの成分を暗号化する場合に、暗号化を複数回繰り返す多重暗号化を行う請求項３に記載の暗号化装置。
  5. 　前記暗号化装置は、さらに、
    　前記文字列データＤの分割数を指定するパラメーターを保管するパラメーター保管部を備え、
    　前記データ分割部は、
    　前記文字列データＤを，前記パラメーターが指定する分割数以下のＮ個に分割する請求項１から請求項４のいずれか一項に記載の暗号化装置。
  6. 　データ分割部が、
    　文字列データＤを、前記文字列データＤの始まりから終わりに向かうＮ個の要素データｗ１，ｗ２，．．．，ｗＮに分割し、
    　部分文字列生成部が、
    　前記Ｎ個の要素データｗ１，ｗ２，．．．，ｗＮから、
    　集合Ａ＝｛Ａ１，Ａ２，．．．，ＡＮ｝，
    　集合Ａの要素Ａｉ＝｛（ｗｉ），（ｗｉｗｉ＋１），．．．，（ｗｉｗｉ＋１．．．ｗＮ）｝，ｉ＝１，．．．，Ｎ，
    を生成し、
    　位置情報割当部が、
    　前記要素Ａｉの成分である（ｗｉ），（ｗｉｗｉ＋１），．．．，（ｗｉｗｉ＋１．．．ｗＮ）のそれぞれに位置情報ｉを対応させることにより、
    　集合Ｂ＝｛Ｂ１，Ｂ２，．．．，ＢＮ｝、
    　集合Ｂの要素Ｂｉ＝｛（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），．．．，（ｉ，ｗｉｗｉ＋１．．．ｗＮ）｝
    を生成し、
    　暗号化部が、
    　前記要素Ｂｉに含まれる成分である（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），．．．，（ｉ，ｗｉｗｉ＋１．．．ｗＮ）のそれぞれを暗号化する
    暗号化方法。
  7. 　コンピュータに、
    　文字列データＤを、前記文字列データＤの始まりから終わりに向かうＮ個の要素データｗ１，ｗ２，．．．，ｗＮに分割する処理、
    　前記Ｎ個の要素データｗ１，ｗ２，．．．，ｗＮから、
    　集合Ａ＝｛Ａ１，Ａ２，．．．，ＡＮ｝，
    　集合Ａの要素Ａｉ＝｛（ｗｉ），（ｗｉｗｉ＋１），．．．，（ｗｉｗｉ＋１．．．ｗＮ）｝，ｉ＝１，．．．，Ｎ，
    を生成する処理、
    　前記要素Ａｉの成分である（ｗｉ），（ｗｉｗｉ＋１），．．．，（ｗｉｗｉ＋１．．．ｗＮ）のそれぞれに位置情報ｉを対応させることにより、
    　集合Ｂ＝｛Ｂ１，Ｂ２，．．．，ＢＮ｝、
    　集合Ｂの要素Ｂｉ＝｛（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），．．．，（ｉ，ｗｉｗｉ＋１．．．ｗＮ）｝
    を生成する処理、
    　前記要素Ｂｉに含まれる成分である（ｉ，ｗｉ），（ｉ，ｗｉｗｉ＋１），．．．，（ｉ，ｗｉｗｉ＋１．．．ｗＮ）のそれぞれを暗号化する処理、
    を実行させるための暗号化プログラム。
  8. 　文字列データＤを、前記文字列データＤの始まりから終わりに向かうＮ個の要素データｗ１，ｗ２，．．．，ｗＮに分割するデータ分割部と、
    　前記Ｎ個の要素データｗ１，ｗ２，．．．，ｗＮの各要素データを暗号化し、暗号化された各要素データを、前記文字列データＤを識別する識別子と共に暗号化する暗号化部と
    を備えた暗号化装置。
  9. 　前記暗号化装置は、さらに、
    　前記Ｎ個の要素データｗ１，ｗ２，．．．，ｗＮから、
    　集合Ａ＝｛Ａ１，Ａ２，．．．，ＡＮ｝，
    　集合Ａの要素Ａｉ＝｛（ｗｉ），（ｗｉｗｉ＋１），．．．，（ｗｉｗｉ＋１．．．ｗＮ）｝，ｉ＝１，．．．，Ｎ，
    を生成する部分文字列生成部を備え、
    　前記暗号化部は、
    　集合Ａの要素Ａｉの成分である（ｗｉ），（ｗｉｗｉ＋１），．．．，（ｗｉｗｉ＋１．．．ｗＮ）の各成分を暗号化し、暗号化された各成分を前記識別子と共に暗号化する請求項８に記載の暗号化装置。
PCT/JP2016/051158 2016-01-15 2016-01-15 暗号化装置、暗号化方法及び暗号化プログラム WO2017122352A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN201680076736.4A CN108475480B (zh) 2016-01-15 2016-01-15 加密装置、加密方法和保管装置
EP16884955.2A EP3392865B1 (en) 2016-01-15 2016-01-15 Encryption device, encryption method, and encryption program
US16/061,264 US11005645B2 (en) 2016-01-15 2016-01-15 Encryption device, encryption method, computer readable medium, and storage device
JP2016554744A JP6038427B1 (ja) 2016-01-15 2016-01-15 暗号化装置、暗号化方法、暗号化プログラム及び保管装置
PCT/JP2016/051158 WO2017122352A1 (ja) 2016-01-15 2016-01-15 暗号化装置、暗号化方法及び暗号化プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2016/051158 WO2017122352A1 (ja) 2016-01-15 2016-01-15 暗号化装置、暗号化方法及び暗号化プログラム

Publications (1)

Publication Number Publication Date
WO2017122352A1 true WO2017122352A1 (ja) 2017-07-20

Family

ID=57483104

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/051158 WO2017122352A1 (ja) 2016-01-15 2016-01-15 暗号化装置、暗号化方法及び暗号化プログラム

Country Status (5)

Country Link
US (1) US11005645B2 (ja)
EP (1) EP3392865B1 (ja)
JP (1) JP6038427B1 (ja)
CN (1) CN108475480B (ja)
WO (1) WO2017122352A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019142651A1 (ja) * 2018-01-17 2019-07-25 三菱電機株式会社 登録装置、検索操作装置、データ管理装置、登録プログラム、検索操作プログラムおよびデータ管理プログラム
US11790105B2 (en) 2018-12-28 2023-10-17 Mitsubishi Electric Corporation Secret search system and secret search method

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017122352A1 (ja) 2016-01-15 2017-07-20 三菱電機株式会社 暗号化装置、暗号化方法及び暗号化プログラム
US11765137B2 (en) 2016-12-20 2023-09-19 Nippon Telegraph And Telephone Corporation Message transmission system, communication terminal, server apparatus, message transmission method, and program
CN110546631A (zh) 2017-04-25 2019-12-06 三菱电机株式会社 检索装置、检索系统、检索方法和检索程序
US10742401B2 (en) * 2017-12-19 2020-08-11 International Business Machines Corporation Half-pyramid data encryption

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002278970A (ja) * 2001-03-16 2002-09-27 Ricoh Co Ltd 文書管理システム
JP2005101883A (ja) * 2003-09-25 2005-04-14 Hitachi Ltd 電子メール文書原本性保証装置
JP2006072585A (ja) * 2004-08-31 2006-03-16 Planet:Kk 移動体通信端末を用いた認証方法
JP2006113704A (ja) * 2004-10-13 2006-04-27 Toshiba Corp 医用システムのパスワード管理方法及び医用装置用パスワード管理システム
WO2012004880A1 (ja) * 2010-07-08 2012-01-12 三菱電機株式会社 キーワード変換装置、キーワード変換プログラム、記録媒体及びキーワード変換方法

Family Cites Families (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2519129B2 (ja) 1991-01-10 1996-07-31 株式会社テレマティーク国際研究所 マルチキ―ワ―ド情報検索処理方式および検索ファイル作成装置
JP2519130B2 (ja) 1991-01-10 1996-07-31 株式会社テレマティーク国際研究所 マルチキ―ワ―ド情報検索処理方式および検索ファイル作成装置
JP3143079B2 (ja) 1997-05-30 2001-03-07 松下電器産業株式会社 辞書索引作成装置と文書検索装置
JP2002108910A (ja) * 2000-09-27 2002-04-12 Nec Soft Ltd 暗号化ファイルシステム及び暗号化ファイル検索方法並びにコンピュータ可読記録媒体
JP4011383B2 (ja) * 2002-04-04 2007-11-21 Ｋｄｄｉ株式会社 データ検索方法、データ検索システム、検索キーワード生成装置、及びコンピュータプログラム
JP4395611B2 (ja) 2003-10-28 2010-01-13 独立行政法人情報通信研究機構 暗号化データベース検索装置および方法ならびに暗号化データベース検索プログラム
JP2009048621A (ja) * 2007-07-26 2009-03-05 Ricoh Co Ltd データ提供装置、データ提供方法、及びプログラム
TW201027375A (en) 2008-10-20 2010-07-16 Ibm Search system, search method and program
JP5140026B2 (ja) 2009-03-19 2013-02-06 株式会社日立製作所 データベース処理方法、データベース処理プログラム、および、暗号化装置
US8533489B2 (en) 2010-09-29 2013-09-10 Microsoft Corporation Searchable symmetric encryption with dynamic updating
JP5412414B2 (ja) 2010-12-08 2014-02-12 株式会社日立製作所 検索可能暗号処理システム
US8429421B2 (en) 2010-12-17 2013-04-23 Microsoft Corporation Server-side encrypted pattern matching
JP5420085B2 (ja) 2011-01-13 2014-02-19 三菱電機株式会社 データ処理装置及びデータ保管装置
JP2012164031A (ja) 2011-02-03 2012-08-30 Mitsubishi Electric Corp データ処理装置及びデータ保管装置及びデータ処理方法及びデータ保管方法及びプログラム
CN103384980B (zh) 2011-02-22 2016-01-13 三菱电机株式会社 检索系统、检索系统的检索方法、信息处理装置、以及对应关键字管理装置
JP5307199B2 (ja) * 2011-07-15 2013-10-02 株式会社エアー データ管理システム及びデータ管理方法
WO2013080365A1 (ja) 2011-12-01 2013-06-06 株式会社日立製作所 秘匿検索方法および秘匿検索装置
JP5800720B2 (ja) 2012-01-24 2015-10-28 三菱電機株式会社 情報処理装置及び情報処理方法及びプログラム
JP5255154B1 (ja) 2012-12-26 2013-08-07 株式会社エアー 部分一致検索の可能な暗号システム
US10235539B2 (en) * 2013-02-25 2019-03-19 Mitsubishi Electric Corporation Server device, recording medium, and concealed search system
JP6054790B2 (ja) * 2013-03-28 2016-12-27 三菱スペース・ソフトウエア株式会社 遺伝子情報記憶装置、遺伝子情報検索装置、遺伝子情報記憶プログラム、遺伝子情報検索プログラム、遺伝子情報記憶方法、遺伝子情報検索方法及び遺伝子情報検索システム
JP6144992B2 (ja) 2013-08-08 2017-06-07 株式会社日立製作所 検索可能暗号処理システム及び方法
KR101522870B1 (ko) * 2013-10-01 2015-05-26 주식회사 파수닷컴 데이터 컬럼 암호화 장치 및 방법
JP6208586B2 (ja) 2014-01-16 2017-10-04 株式会社日立製作所 検索可能暗号処理システムおよび検索可能暗号処理方法
US10445509B2 (en) * 2014-06-30 2019-10-15 Nicira, Inc. Encryption architecture
JP6234605B2 (ja) 2014-10-21 2017-11-22 三菱電機株式会社 サーバ装置及び検索システム及び端末装置及び検索方法及びサーバプログラム及び端末プログラム
JP6381128B2 (ja) 2015-02-05 2018-08-29 国立研究開発法人産業技術総合研究所 検索システム、クライアント、サーバ、検索プログラムおよび検索方法
US9894042B2 (en) 2015-07-24 2018-02-13 Skyhigh Networks, Inc. Searchable encryption enabling encrypted search based on document type
WO2017122352A1 (ja) 2016-01-15 2017-07-20 三菱電機株式会社 暗号化装置、暗号化方法及び暗号化プログラム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002278970A (ja) * 2001-03-16 2002-09-27 Ricoh Co Ltd 文書管理システム
JP2005101883A (ja) * 2003-09-25 2005-04-14 Hitachi Ltd 電子メール文書原本性保証装置
JP2006072585A (ja) * 2004-08-31 2006-03-16 Planet:Kk 移動体通信端末を用いた認証方法
JP2006113704A (ja) * 2004-10-13 2006-04-27 Toshiba Corp 医用システムのパスワード管理方法及び医用装置用パスワード管理システム
WO2012004880A1 (ja) * 2010-07-08 2012-01-12 三菱電機株式会社 キーワード変換装置、キーワード変換プログラム、記録媒体及びキーワード変換方法

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019142651A1 (ja) * 2018-01-17 2019-07-25 三菱電機株式会社 登録装置、検索操作装置、データ管理装置、登録プログラム、検索操作プログラムおよびデータ管理プログラム
CN111587452A (zh) * 2018-01-17 2020-08-25 三菱电机株式会社 登记装置、检索操作装置、数据管理装置、登记程序、检索操作程序和数据管理程序
US11233629B2 (en) 2018-01-17 2022-01-25 Mitsubishi Electric Corporation Registration apparatus, search operation apparatus, data management apparatus
CN111587452B (zh) * 2018-01-17 2023-03-31 三菱电机株式会社 登记装置、检索操作装置、数据管理装置和计算机能读取的存储介质
US11790105B2 (en) 2018-12-28 2023-10-17 Mitsubishi Electric Corporation Secret search system and secret search method

Also Published As

Publication number Publication date
JP6038427B1 (ja) 2016-12-07
US20190036679A1 (en) 2019-01-31
EP3392865A4 (en) 2019-03-13
CN108475480B (zh) 2021-03-23
JPWO2017122352A1 (ja) 2018-01-18
EP3392865A1 (en) 2018-10-24
CN108475480A (zh) 2018-08-31
EP3392865B1 (en) 2021-06-02
US11005645B2 (en) 2021-05-11

Similar Documents

Publication Publication Date Title
JP6038427B1 (ja) 暗号化装置、暗号化方法、暗号化プログラム及び保管装置
Jiang et al. Privacy-preserving and efficient multi-keyword search over encrypted data on blockchain
Yang et al. Lightweight and privacy-preserving delegatable proofs of storage with data dynamics in cloud storage
Baldimtsi et al. Sorting and searching behind the curtain
Tahir et al. A new secure and lightweight searchable encryption scheme over encrypted cloud data
JP5420085B2 (ja) データ処理装置及びデータ保管装置
JP6234605B2 (ja) サーバ装置及び検索システム及び端末装置及び検索方法及びサーバプログラム及び端末プログラム
JP6239213B1 (ja) 秘匿検索システム、秘匿検索方法及び秘匿検索プログラム
JP2012164031A (ja) データ処理装置及びデータ保管装置及びデータ処理方法及びデータ保管方法及びプログラム
JP6289768B2 (ja) 暗号化装置、暗号化プログラム及び暗号化方法
Poh et al. Searchable symmetric encryption over multiple servers
CN112074889A (zh) 隐匿检索装置和隐匿检索方法
Faridi et al. Blockchain in the quantum world
Park et al. PKIS: practical keyword index search on cloud datacenter
Biryukov et al. Cryptanalysis of a dynamic universal accumulator over bilinear groups
Yamamoto et al. Space-efficient and secure substring searchable symmetric encryption using an improved DAWG
Zhang et al. Privacy-preserving multi-pattern matching
Miyoshi et al. Practical and secure searchable symmetric encryption with a small index
Fink et al. Streaming, plaintext private information retrieval using regular expressions on arbitrary length search strings
Kamble et al. A study on fuzzy keywords search techniques and incorporating certificateless cryptography
Nepolean et al. Privacy preserving ranked keyword search over encrypted cloud data
Pillai et al. Blockchain-Based Searchable Asymmetric Encryption Scheme in Cloud Environment
Li et al. Verifiable range query processing for cloud computing
CN115048432B (zh) 基于布隆过滤器的模糊关键词公共审计方法
Etemad et al. A generic dynamic provable data possession framework

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2016554744

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16884955

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2016884955

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 2016884955

Country of ref document: EP

Effective date: 20180719