暗号処理システム、鍵生成装置、鍵委譲装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム
【課題】権限委譲を可能とした述語暗号を実現することを目的とする。
【解決手段】ペアリング演算によって関連付けられた双対ベクトル空間（双対ディストーションベクトル空間）である空間Ｖと空間Ｖ＊とを用いて暗号処理を行う。暗号化装置は、空間Ｖにおけるベクトルであって、送信情報を埋め込んだベクトルを暗号ベクトルとして生成する。復号装置は、空間Ｖ＊における所定のベクトルを鍵ベクトルとして、暗号化装置が生成した暗号ベクトルと鍵ベクトルとについて、ペアリング演算を行い前記暗号ベクトルを復号して送信情報に関する情報を抽出する。
【解決手段】ペアリング演算によって関連付けられた双対ベクトル空間（双対ディストーションベクトル空間）である空間Ｖと空間Ｖ＊とを用いて暗号処理を行う。暗号化装置は、空間Ｖにおけるベクトルであって、送信情報を埋め込んだベクトルを暗号ベクトルとして生成する。復号装置は、空間Ｖ＊における所定のベクトルを鍵ベクトルとして、暗号化装置が生成した暗号ベクトルと鍵ベクトルとについて、ペアリング演算を行い前記暗号ベクトルを復号して送信情報に関する情報を抽出する。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、階層的述語鍵秘匿方式及び階層的述語暗号に関するものである。
【背景技術】
【０００２】
非特許文献１８には、ペアリング演算によって関連付けられた双対空間において階層的述語鍵秘匿方式及び階層的述語暗号を実現することが記載されている。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】Ｂｅｔｈｅｎｃｏｕｒｔ， Ｊ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．：Ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ．Ｉｎ： ２００７ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ， ｐｐ． ３２１−−３３４． ＩＥＥＥ Ｐｒｅｓｓ （２００７）
【非特許文献２】Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．： Ｅｆｆｉｃｉｅｎｔ ｓｅｌｅｃｔｉｖｅ−ＩＤ ｓｅｃｕｒｅ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍｏｒａｃｌｅｓ．Ｉｎ： Ｃａｃｈｉｎ， Ｃ．， Ｃａｍｅｎｉｓｃｈ， Ｊ． （ｅｄｓ．）ＥＵＲＯＣＲＹＰＴ ２００４． ＬＮＣＳ， ｖｏｌ． ３０２７， ｐｐ． ２２３−−２３８． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００４）
【非特許文献３】Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．： Ｓｅｃｕｒｅ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ．Ｉｎ： Ｆｒａｎｋｌｉｎ， Ｍ．Ｋ． （ｅｄ．） ＣＲＹＰＴＯ ２００４．ＬＮＣＳ， ｖｏｌ． ３１５２， ｐｐ． ４４３−−４５９．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００４）
【非特許文献４】Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．， Ｇｏｈ， Ｅ．： Ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｃｏｎｓｔａｎｔ ｓｉｚｅｃｉｐｈｅｒｔｅｘｔ．Ｉｎ： Ｃｒａｍｅｒ， Ｒ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００５． ＬＮＣＳ， ｖｏｌ． ３４９４， ｐｐ． ４４０−−４５６．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００５）
【非特許文献５】Ｂｏｎｅｈ， Ｄ．， Ｆｒａｎｋｌｉｎ， Ｍ．： Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ ｔｈｅ Ｗｅｉｌ ｐａｉｒｉｎｇ．Ｉｎ： Ｋｉｌｉａｎ， Ｊ． （ｅｄ．） ＣＲＹＰＴＯ ２００１． ＬＮＣＳ， ｖｏｌ． ２１３９， ｐｐ． ２１３−−２２９．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００１）
【非特許文献６】Ｂｏｎｅｈ， Ｄ．， Ｈａｍｂｕｒｇ， Ｍ．： Ｇｅｎｅｒａｌｉｚｅｄ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ａｎｄ ｂｒｏａｄｃａｓｔ ｅｎｃｒｙｐｔｉｏｎ ｓｃｈｅｍｅ． Ｉｎ： Ｐｉｅｐｒｚｙｋ， Ｊ． （ｅｄ．） ＡＳＩＡＣＲＹＰＴ ２００８． ＬＮＣＳ， ｖｏｌ． ５３５０， ｐｐ． ４５５−−４７０．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００８）
【非特許文献７】Ｂｏｎｅｈ， Ｄ．， Ｗａｔｅｒｓ， Ｂ．：Ｃｏｎｊｕｎｃｔｉｖｅ， ｓｕｂｓｅｔ， ａｎｄ ｒａｎｇｅ ｑｕｅｒｉｅｓ ｏｎｅｎｃｒｙｐｔｅｄ ｄａｔａ． Ｉｎ： Ｖａｄｈａｎ， Ｓ．Ｐ． （ｅｄ．） ＴＣＣ ２００７． ＬＮＣＳ， ｖｏｌ． ４３９２， ｐｐ． ５３５−−５５４．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００７）
【非特許文献８】Ｂｏｙｅｎ， Ｘ．， Ｗａｔｅｒｓ， Ｂ．： Ａｎｏｎｙｍｏｕｓ ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ （ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ）．Ｉｎ： Ｄｗｏｒｋ， Ｃ． （ｅｄ．） ＣＲＹＰＴＯ ２００６． ＬＮＣＳ， ｖｏｌ． ４１１７， ｐｐ． ２９０−−３０７．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００６）
【非特許文献９】Ｃｏｃｋｓ， Ｃ．：Ａｎ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｓｃｈｅｍｅ ｂａｓｅｄ ｏｎ ｑｕａｄｒａｔｉｃ ｒｅｓｉｄｕｅｓ．Ｉｎ： Ｈｏｎａｒｙ， Ｂ． （ｅｄ．） ＩＭＡ Ｉｎｔ． Ｃｏｎｆ． ＬＮＣＳ， ｖｏｌ． ２２６０， ｐｐ． ３６０−−３６３． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００１）
【非特許文献１０】Ｇｅｎｔｒｙ， Ｃ．：Ｐｒａｃｔｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ． Ｉｎ： Ｖａｕｄｅｎａｙ， Ｓ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００６． ＬＮＣＳ， ｖｏｌ． ４００４， ｐｐ． ４４５−−４６４．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００６）
【非特許文献１１】Ｇｅｎｔｒｙ， Ｃ．， Ｈａｌｅｖｉ， Ｓ．： Ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｐｏｌｙｎｏｍｉａｌｌｙ ｍａｎｙ ｌｅｖｅｌｓ． Ｉｎ： Ｒｅｉｎｇｏｌｄ， Ｏ． （ｅｄ．） ＴＣＣ ２００９．ＬＮＣＳ， ｖｏｌ． ５４４４， ｐｐ． ４３７−−４５６．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００９）
【非特許文献１２】Ｇｅｎｔｒｙ， Ｃ．， Ｓｉｌｖｅｒｂｅｒｇ， Ａ．： Ｈｉｅｒａｒｃｈｉｃａｌ ＩＤ−ｂａｓｅｄ ｃｒｙｐｔｏｇｒａｐｈｙ． Ｉｎ： Ｚｈｅｎｇ， Ｙ． （ｅｄ．） ＡＳＩＡＣＲＹＰＴ ２００２．ＬＮＣＳ， ｖｏｌ． ２５０１， ｐｐ． ５４８−−５６６．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００２）
【非特許文献１３】Ｇｏｙａｌ， Ｖ．， Ｐａｎｄｅｙ， Ｏ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｆｏｒ ｆｉｎｅ−ｇｒａｉｎｅｄ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ ｏｆ ｅｎｃｒｙｐｔｅｄ ｄａｔａ． Ｉｎ： ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ２００６， ｐｐ． ８９−−９８， ＡＣＭ （２００６）
【非特許文献１４】Ｇｒｏｔｈ， Ｊ．， Ｓａｈａｉ， Ａ．： Ｅｆｆｉｃｉｅｎｔ ｎｏｎ−ｉｎｔｅｒａｃｔｉｖｅ ｐｒｏｏｆ ｓｙｓｔｅｍｓ ｆｏｒ ｂｉｌｉｎｅａｒ ｇｒｏｕｐｓ．Ｉｎ： Ｓｍａｒｔ， Ｎ．Ｐ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００８．ＬＮＣＳ， ｖｏｌ． ４９６５，ｐｐ． ４１５−−４３２．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００８）
【非特許文献１５】Ｈｏｒｗｉｔｚ， Ｊ．， Ｌｙｎｎ， Ｂ．：Ｔｏｗａｒｄｓ ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ： Ｋｎｕｄｓｅｎ， Ｌ．Ｒ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００２．ＬＮＣＳ， ｖｏｌ． ２３３２， ｐｐ． ４６６−−４８１．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００２）
【非特許文献１６】Ｋａｔｚ， Ｊ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ ｓｕｐｐｏｒｔｉｎｇ ｄｉｓｊｕｎｃｔｉｏｎｓ，ｐｏｌｙｎｏｍｉａｌ ｅｑｕａｔｉｏｎｓ， ａｎｄ ｉｎｎｅｒ ｐｒｏｄｕｃｔｓ．Ｉｎ： Ｓｍａｒｔ， Ｎ．Ｐ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００８．ＬＮＣＳ， ｖｏｌ． ４９６５，ｐｐ． １４６−−１６２．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００８）
【非特許文献１７】Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．：Ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ａｎｄ ｓｉｇｎａｔｕｒｅｓ ｆｒｏｍｖｅｃｔｏｒ ｄｅｃｏｍｐｏｓｉｔｉｏｎ．Ｉｎ： Ｇａｌｂｒａｉｔｈ， Ｓ．Ｄ．， Ｐａｔｅｒｓｏｎ， Ｋ．Ｇ． （ｅｄｓ．） Ｐａｉｒｉｎｇ ２００８． ＬＮＣＳ， ｖｏｌ． ５２０９， ｐｐ． ５７−−７４．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００８）
【非特許文献１８】Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．：Ａ ｇｅｏｍｅｔｒｉｃ ａｐｐｒｏａｃｈ ｏｎ ｐａｉｒｉｎｇｓ ａｎｄ ｈｉｅｒａｒｃｈｉｃａｌ ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ．Ｉｎ： Ｐｏｓｔｅｒ ｓｅｓｓｉｏｎ， ＥＵＲＯＣＲＹＰＴ ２００９．（２００９）
【非特許文献１９】Ｏｓｔｒｏｖｓｋｙ， Ｒ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｎｏｎ−ｍｏｎｏｔｏｎｉｃ ａｃｃｅｓｓｓｔｒｕｃｔｕｒｅｓ．Ｉｎ：ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ２００７， ｐｐ． １９５−−２０３， ＡＣＭ，（２００７）
【非特許文献２０】Ｐｉｒｒｅｔｔｉ， Ｍ．， Ｔｒａｙｎｏｒ， Ｐ．， ＭｃＤａｎｉｅｌ， Ｐ．， Ｗａｔｅｒｓ， Ｂ．： Ｓｅｃｕｒｅ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｓｙｓｔｅｍｓ．Ｉｎ：ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ２００６， ｐｐ． ９９−−１１２， ＡＣＭ，（２００６）
【非特許文献２１】Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ｆｕｚｚｙ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ： Ｃｒａｍｅｒ， Ｒ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００５．ＬＮＣＳ， ｖｏｌ． ３４９４， ｐｐ． ４５７−−４７３．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００５）
【非特許文献２２】Ｓｈｉ， Ｅ．， Ｗａｔｅｒｓ， Ｂ．：Ｄｅｌｅｇａｔｉｎｇ ｃａｐａｂｉｌｉｔｙ ｉｎ ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ ｓｙｓｔｅｍｓ． Ｉｎ： Ａｃｅｔｏ， Ｌ．， Ｄａｍｇａｒｄ， Ｉ．， Ｇｏｌｄｂｅｒｇ， Ｌ．Ａ．， Ｈａｌｌｄｏｒｓｓｏｎ， Ｍ．Ｍ．， Ｉｎｇｏｌｆｓｄｏｔｔｉｒ， Ａ．， Ｗａｌｕｋｉｅｗｉｃｚ， Ｉ． （ｅｄｓ．）ＩＣＡＬＰ （２） ２００８．ＬＮＣＳ， ｖｏｌ． ５１２６， ｐｐ． ５６０−−５７８．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００８）
【非特許文献２３】Ｔａｋａｓｈｉｍａ， Ｋ．：Ｅｆｆｉｃｉｅｎｔｌｙ ｃｏｍｐｕｔａｂｌｅ ｄｉｓｔｏｒｔｉｏｎ ｍａｐｓ ｆｏｒ ｓｕｐｅｒｓｉｎｇｕｌａｒｃｕｒｖｅｓ．Ｉｎ： ｖａｎ ｄｅｒ Ｐｏｏｒｔｅｎ， Ａ．Ｊ．， Ｓｔｅｉｎ， Ａ． （ｅｄｓ．）ＡＮＴＳ ＶＩＩＩ， ＬＮＣＳ， ｖｏｌ． ５０１１， ｐｐ． ８８−−１０１． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００８）
【非特許文献２４】Ｗａｔｅｒｓ， Ｂ．：Ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ： ａｎ ｅｘｐｒｅｓｓｉｖｅ， ｅｆｆｉｃｉｅｎｔ， ａｎｄ ｐｒｏｖａｂｌｙ ｓｅｃｕｒｅ ｒｅａｌｉｚａｔｉｏｎ． ｅＰｒｉｎｔ， ＩＡＣＲ， ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００８／２９０
【発明の概要】
【発明が解決しようとする課題】
【０００４】
非特許文献１８で提案されている階層的述語鍵秘匿方式及び階層的述語暗号は、理想化されたモデル（Ｇｅｎｅｒｉｃ Ｍｏｄｅｌ）における安全性が証明されている。しかし、非特許文献１８で提案されている階層的述語鍵秘匿方式及び階層的述語暗号は、標準のモデル（Ｓｔａｎｄａｒｄ Ｍｏｄｅｌ）における安全性は証明されていない。
この発明は、安全性が高い述語暗号及び述語鍵秘匿方式を提供することを目的とする。特に、権限委譲を可能とした述語暗号及び述語鍵秘匿方式を提供することを目的とする。
【課題を解決するための手段】
【０００５】
この発明に係る暗号処理システムは、例えば、
数１に示すペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理システムであり、
前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として処理装置により生成する暗号化装置と、
前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして、前記暗号化装置が生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、処理装置により数１に示すペアリング演算ｅ（ｃ１，ｋ＊Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号装置と
を備えることを特徴とする。
【数１】
【発明の効果】
【０００６】
この発明に係る暗号システムによれば、安全性が高い述語暗号及び述語鍵秘匿方式を実現することができる。
【図面の簡単な説明】
【０００７】
【図１】「権限委譲（階層的な権限委譲）」という概念を説明するための図。
【図２】階層を飛ばした権限委譲を説明するための図。
【図３】属性情報と述語情報との階層構造を示す図。
【図４】階層的内積述語暗号の応用例である階層的ＩＤベース暗号の例を示す図。
【図５】基底と基底ベクトルとを説明するための図。
【図６】ベクトル空間における階層構造の実現方法の一例を説明するための図。
【図７】暗号処理システム１０の構成図。
【図８】暗号処理システム１０の鍵生成装置１００と第Ｌ層目の暗号化装置２００と復号装置３００との動作を示すフローチャート。
【図９】暗号処理システム１０の第Ｌ層目の鍵委譲装置４００と、第Ｌ＋１層目の暗号化装置２００と復号装置３００との動作を示すフローチャート。
【図１０】基底変換方法を説明するための図。
【図１１】実施の形態２に係る階層的述語暗号を実現する暗号処理システム１０の機能を示す機能ブロック図。
【図１２】実施の形態２に係る鍵生成装置１００の動作を示すフローチャート。
【図１３】実施の形態２に係る暗号化装置２００の動作を示すフローチャート。
【図１４】実施の形態２に係る復号装置３００の動作を示すフローチャート。
【図１５】実施の形態２に係る鍵委譲装置４００の動作を示すフローチャート。
【図１６】実施の形態２に係る双対ペアリングベクトル空間の基底の構造を示す概念図。
【図１７】実施の形態２に係る階層的述語鍵秘匿方式を実現する暗号処理システム１０の機能を示す機能ブロック図。
【図１８】実施の形態２に係る暗号化装置２００の動作を示すフローチャート。
【図１９】実施の形態２に係る復号装置３００の動作を示すフローチャート。
【図２０】実施の形態３に係る権限委譲が可能な述語暗号を実現する暗号処理システム１０の機能を示す機能ブロック図。
【図２１】鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００のハードウェア構成の一例を示す図。
【発明を実施するための形態】
【０００８】
以下、図に基づき、発明の実施の形態を説明する。
以下の説明において、処理装置は後述するＣＰＵ９１１等である。記憶装置は後述するＲＯＭ９１３、ＲＡＭ９１４、磁気ディスク９２０等である。通信装置は後述する通信ボード９１５等である。入力装置は後述するキーボード９０２、通信ボード９１５等である。出力装置は後述するＲＡＭ９１４、磁気ディスク９２０、通信ボード９１５、ＬＣＤ９０１等である。つまり、処理装置、記憶装置、通信装置、入力装置、出力装置はハードウェアである。
【０００９】
以下の説明における記法について説明する。
Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。
【数１０１】
Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。
【数１０２】
数１０３は、ｙがｚにより定義された集合であること、又はｙがｚを代入された集合であることを表す。
【数１０３】
ａが定数であるとき、数１０４は、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。
【数１０４】
ベクトル表記は、有限体Ｆｑにおけるベクトル表示を表す。つまり、数１０５である。
【数１０５】
数１０６は、数１０７に示す２つのベクトルｘ→とｖ→との数１０８に示す内積を表す。
【数１０６】
【数１０７】
【数１０８】
ＸＴは、行列Ｘの転置行列を表す。
【００１０】
また、以下の説明において、暗号処理とは、暗号化処理、復号処理、鍵生成処理を含むものであり、鍵秘匿処理も含むものである。
【００１１】
実施の形態１．
この実施の形態では、後の実施の形態で説明する「権限委譲を有する述語暗号（Ｐｒｅｄｉｃａｔｅ Ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ Ｄｅｌｅｇａｔｉｏｎ）」や「権限委譲を有する述語鍵秘匿方式（Ｐｒｅｄｉｃａｔｅ Ｋｅｙ Ｅｎｃａｐｓｕｌａｔｉｏｎ Ｍｅｃｈａｎｉｓｍ ｗｉｔｈ Ｄｅｌｅｇａｔｉｏｎ）」を実現する基礎となる概念と、権限委譲を有する述語暗号（述語鍵秘匿方式）の基本構成について説明する。
第１に、権限委譲を有する述語暗号（述語鍵秘匿方式）の一種である「権限委譲を有する内積述語暗号（内積述語鍵秘匿方式）」という概念を説明する。後の実施の形態で説明する権限委譲を有する述語暗号（述語鍵秘匿方式）は、権限委譲を有する内積述語暗号（内積述語鍵秘匿方式）である。権限委譲を有する内積述語暗号という概念を説明するに当たり、まず「権限委譲」という概念を説明する。また、併せて、「階層的（Ｈｉｅｒａｒｃｈｉａｌ）な権限委譲」という概念を説明する。次に、「内積述語暗号」を説明する。そして、階層的な権限委譲という概念を内積述語暗号に加えた「階層的内積述語暗号（階層的内積述語鍵秘匿方式）」を説明する。さらに、階層的内積述語暗号の理解を深めるため、階層的内積述語暗号の応用例を説明する。
第２に、ベクトル空間における階層的内積述語暗号を説明する。この実施の形態及び以下の実施の形態では、階層的述語暗号と階層的述語鍵秘匿方式とをベクトル空間において実現する。ここでは、まず、「基底」と「基底ベクトル」について説明する。次に、「ベクトル空間における内積述語暗号」について説明する。そして、「ベクトル空間における階層構造の実現方法」について説明する。さらに、理解を深めるため、階層構造の実現例を説明する。
第３に、この実施の形態及び後の実施の形態に係る「階層的述語暗号」と「階層的述語鍵秘匿方式」との基本構成を説明する。併せて、階層的述語暗号と階層的述語鍵秘匿方式とを実行する「暗号処理システム１０」の概要を説明する。
第４に、階層的述語鍵秘匿方式や階層的述語暗号を実現するための概念を説明する。ここでは、「双線形ペアリンググループ」、「ベクトル空間Ｖとベクトル空間Ｖ＊」、「標準的な双対基底Ａ，Ａ＊」、「ペアリング演算」、「基底変換」、「ディストーション写像」を説明する。
第５に、階層的述語鍵秘匿方式と階層的述語暗号とを実現するための空間である「双対ペアリングベクトル空間（Ｄｕａｌ Ｐａｉｒｉｎｇ Ｖｅｃｔｏｒ Ｓｐａｃｅｓ，ＤＰＶＳ）」という豊かな数学的構造を有する空間を説明する。
そして、第６に、以上の説明を踏まえ、後の実施の形態で詳細に説明する階層的述語暗号と階層的述語鍵秘匿方式との実現方法を簡単に説明する。
【００１２】
＜第１．階層的内積述語暗号＞
＜第１−１．権限委譲（階層的な権限委譲）という概念＞
図１は、「権限委譲（階層的な権限委譲）」という概念を説明するための図である。
権限委譲とは、上位の鍵を有する利用者が、その鍵（上位の鍵）よりも機能が制限された下位の鍵を生成することである。
図１では、Ｒｏｏｔ（鍵生成装置）は、マスター秘密鍵を用いて、第１層目（Ｌｅｖｅｌ−１）の利用者へ秘密鍵を生成する。つまり、Ｒｏｏｔは、第１層目の利用者１，２，３それぞれへ鍵１，２，３を生成する。そして、例えば、利用者１であれば、鍵１を用いて、利用者１の下位（第１層目）の利用者である利用者１１，１２，１３それぞれへ鍵１１，１２，１３を生成することができる。ここで、利用者１が有する鍵１よりも、利用者１１，１２，１３が有する鍵１１，１２，１３は機能が制限されている。機能が制限されているとは、その秘密鍵によって復号できる暗号文が限定されているということである。つまり、上位の秘密鍵で復号できる暗号文の一部の暗号文のみ下位の秘密鍵で復号できることを意味する。すなわち、利用者１が有する鍵１で復号できる暗号文のうち、一部の暗号文のみ利用者１１，１２，１３が有する鍵１１，１２，１３で復号することができる。また、通常は、鍵１１と鍵１２と鍵１３とが復号できる暗号文は異なる。一方、鍵１１と鍵１２と鍵１３が復号できる暗号文は、鍵１で復号することができる。
また、図１に示すように、各秘密鍵が階層（レベル）分けされていることを「階層的」という。つまり、図１に示すように、階層的に下位の鍵を生成することを「階層的な権限委譲」と呼ぶ。
【００１３】
なお、図１では、Ｒｏｏｔが第１層目の利用者へ秘密鍵を生成し、第１層目の利用者が第２層目の利用者へ秘密鍵を生成し、第２層目の利用者が第３層目の利用者へ秘密鍵を生成すると説明した。しかし、図２に示すように、Ｒｏｏｔは、第１層目の利用者へ秘密鍵を生成するだけでなく、第２層目以下の層の利用者へ秘密鍵を生成することもできる。同様に、第１層目の利用者は、第２層目の利用者へ秘密鍵を生成するだけでなく、第３層目以下の層の利用者へ秘密鍵を生成することもできる。つまり、Ｒｏｏｔや利用者は、自分が持つ秘密鍵よりも下位の層の秘密鍵を生成することができる。
【００１４】
＜第１−２．内積述語暗号＞
次に、「内積述語暗号」について説明する。
まず、述語暗号とは、述語情報ｆｖに属性情報ｘを入力した場合に１（Ｔｒｕｅ）となる場合（ｆｖ（ｘ）＝１となる場合）に、暗号文を復号できる暗号方式である。通常、暗号文に属性情報ｘが埋め込まれ、秘密鍵に述語情報ｆｖが埋め込まれる。つまり、述語暗号では、属性情報ｘに基づき暗号化された暗号文ｃを、述語情報ｆｖに基づき生成された秘密鍵ＳＫｆにより復号する。述語暗号は、例えば、述語情報ｆｖが条件式であり、属性情報ｘがその条件式への入力情報であり、入力情報（属性情報ｘ）が条件式（述語情報ｆｖ）を満たせば（ｆｖ（ｘ）＝１）、暗号文を復号できる暗号方式であるとも言える。
なお、述語暗号について詳しくは非特許文献１６に記載されている。
【００１５】
内積述語暗号とは、属性情報ｘと述語情報ｆｖとの内積が所定の値の場合に、ｆｖ（ｘ）＝１となる述語暗号である。つまり、属性情報ｘと述語情報ｆｖとの内積が所定の値の場合にのみ、属性情報ｘにより暗号化された暗号文ｃを、述語情報ｆｖに基づき生成された秘密鍵ＳＫｆにより復号することができる。以下の説明では、属性情報ｘと述語情報ｆｖとの内積が０の場合に、ｆｖ（ｘ）＝１となるものとする。
【００１６】
＜第１−３．階層的内積述語暗号＞
階層的内積述語暗号（階層的内積述語鍵秘匿方式）とは、上述した「階層的な権限委譲」という概念を有する「内積述語暗号」である。
【００１７】
階層的内積述語暗号は、内積述語暗号に階層的な権限委譲システムを持たせるため、属性情報と述語情報とに階層構造を持たせる。
図３は、属性情報と述語情報との階層構造を示す図である。
図３において、符号が対応する属性情報と述語情報とは対応する（つまり、内積が０となる）ものとする。つまり、属性１と述語１との内積は０となり、属性１１と述語１１との内積は０となり、属性１２と述語１２との内積は０となり、属性１３と述語１３との内積は０となるとする。すなわち、属性１により暗号化された暗号文ｃ１は、述語１に基づき生成された秘密鍵ｋ１であれば復号できる。また、属性１１により暗号化された暗号文ｃ１１は、述語１１に基づき生成された秘密鍵ｋ１１であれば復号できる。属性１２と述語１２、属性１３と述語１３についても同様のことが言える。
上記の通り、階層的内積述語暗号は階層的な権限委譲システムを有する。そのため、述語１に基づき生成された秘密鍵ｋ１と、述語１１とに基づき、秘密鍵ｋ１１を生成することができる。つまり、上位の秘密鍵ｋ１を有する利用者は、その秘密鍵ｋ１と下位の述語１１とから、秘密鍵ｋ１の下位の秘密鍵ｋ１１を生成することができる。同様に、秘密鍵ｋ１と述語１２とから秘密鍵ｋ１２を生成でき、秘密鍵ｋ１と述語１３とから秘密鍵ｋ１３を生成できる。
また、下位の秘密鍵に対応する鍵（公開鍵）で暗号化された暗号文を上位の秘密鍵で復号できる。一方、上位の秘密鍵に対応する鍵（公開鍵）で暗号化された暗号文は、下位の秘密鍵で復号できない。つまり、属性１１、属性１２、属性１３により暗号化された暗号文ｃ１１、ｃ１２、ｃ１３は、述語１に基づき生成された秘密鍵ｋ１であれば復号できる。一方、属性１により暗号化された暗号文ｃ１は、述語１１、述語１２、述語１３に基づき生成された秘密鍵ｋ１１、ｋ１２、ｋ１３では復号できない。すなわち、属性１１、属性１２、属性１３と述語１との内積は０となる。一方、属性１と述語１１、述語１２、述語１３との内積は０とならない。
【００１８】
＜第１−４．階層的内積述語暗号の応用例＞
図４は、後述する階層的内積述語暗号の応用例である階層的ＩＤベース暗号（Ｈｉｅｒａｒｃｈｉａｌ Ｉｄｅｎｔｉｆｉｅｒ Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ，ＨＩＢＥ）の例を示す図である。なお、階層的ＩＤベース暗号とは、ＩＤベース暗号が階層的になった暗号処理である。ＩＤベース暗号は、述語暗号の一種であり、暗号文に含まれるＩＤと秘密鍵に含まれるＩＤとが一致する場合に暗号文を復号できるマッチング述語暗号である。
図４に示す例では、Ｒｏｏｔ（鍵生成装置）は、マスター秘密鍵ｓｋとＡ会社のＩＤである「Ａ」とに基づき、ＩＤ「Ａ」に対応する秘密鍵（鍵Ａ）を生成する。例えば、Ａ会社のセキュリティ担当者は、鍵Ａと各部門のＩＤとに基づき、そのＩＤに対応する秘密鍵を生成する。例えば、セキュリティ担当者は、営業部門のＩＤである「Ａ−１」に対応する秘密鍵（鍵１）を生成する。次に、例えば、各部門の管理者は、その部門の秘密鍵とその部門に属する各課のＩＤとに基づき、そのＩＤに対応する秘密鍵を生成する。例えば、営業部門の管理者は、営業１課のＩＤである「Ａ−１１」に対応する秘密鍵（鍵１１）を生成する。
ここで、営業１課のＩＤ「Ａ−１１」に対応する秘密鍵である鍵１１により、営業１課のＩＤ「Ａ−１１」で暗号化された暗号文を復号することができる。しかし、鍵１１により、営業２課や営業３課のＩＤで暗号化された暗号文は復号することはできない。また、鍵１１により、営業部門のＩＤで暗号化された暗号文は復号することができない。
営業部門のＩＤ「Ａ−１」に対応する秘密鍵である鍵１により、営業部門のＩＤ「Ａ−１」で暗号化された暗号文を復号することができる。また、鍵１により、営業部門に属する課のＩＤで暗号化された暗号文を復号することができる。つまり、鍵１により、営業１課、営業２課、営業３課のＩＤで暗号化された暗号文を復号することができる。しかし、鍵１により、製造部門（ＩＤ：Ａ−２）やスタッフ部門（ＩＤ：Ａ−３）のＩＤで暗号化された暗号文は復号することができない。また、鍵１により、Ａ会社のＩＤで暗号化された暗号文は復号することができない。
Ａ会社のＩＤ「Ａ」に対応する秘密鍵である鍵Ａにより、Ａ会社のＩＤ「Ａ」で暗号化された暗号文を復号することができる。また、Ａ会社に属する各部門や、その部門に属する課のＩＤで暗号化された暗号文を復号することができる。
【００１９】
階層的内積述語暗号は、ＩＤベース暗号以外へも様々な応用が可能である。特に、以下に説明する暗号処理は、等号関係テストのクラスに限定されたものではないため、非常に多くの応用が可能である。例えば、内積述語暗号の一種である検索可能暗号等についても、階層毎に検索可能な範囲をＡＮＤ条件やＯＲ条件等の条件式を用いて限定する等、従来の権限委譲システムを有する述語暗号では実現できなかった応用が可能である。
つまり、後の実施の形態で説明する階層的述語鍵秘匿方式と階層的述語暗号とは、ＩＤベース暗号や検索可能暗号等へ幅広い応用が可能である。
【００２０】
＜第２．ベクトル空間における階層的内積述語暗号＞
階層的述語鍵秘匿方式と階層的述語暗号とは、後述する双対ペアリングベクトル空間という高次元ベクトル空間において実現される。そこで、ベクトル空間における階層的内積述語暗号を説明する。
【００２１】
＜第２−１．基底と基底ベクトル＞
まず、ベクトル空間の説明において使用する「基底」と「基底ベクトル」とについて簡単に説明する。
図５は、基底と基底ベクトルとを説明するための図である。
図５は、２次元ベクトル空間におけるベクトルｖを示す。ベクトルｖは、ｃ１ａ１＋ｃ２ａ２である。また、ベクトルｖは、ｙ１ｂ１＋ｙ２ｂ２である。ここで、ａ１，ａ２を基底Ａにおける基底ベクトルといい、基底Ａ：＝（ａ１，ａ２）と表す。また、ｂ１，ｂ２を基底Ｂにおける基底ベクトルといい、基底Ｂ：＝（ｂ１，ｂ２）と表す。また、ｃ１，ｃ２，ｙ１，ｙ２は、各基底ベクトルに対する係数である。図５では、２次元ベクトル空間であったため、各基底における基底ベクトルは２個であった。しかし、Ｎ次元ベクトル空間であれば、各基底における基底ベクトルはＮ個である。
【００２２】
＜第２−２．ベクトル空間における内積述語暗号＞
次に、ベクトル空間における内積述語暗号を説明する。
上記の通り、内積述語暗号とは、属性情報ｘと述語情報ｆｖとの内積が所定の値（ここでは、０）の場合に、ｆｖ（ｘ）＝１となる述語暗号である。属性情報ｘと述語情報ｆｖとがベクトルであった場合、つまり属性ベクトルｘ→と述語ベクトルｖ→とであった場合、内積述語は数１０９のように定義される。
【数１０９】
つまり、属性ベクトルｘ→と述語ベクトルｖ→との内積、つまり要素毎の内積の和が０である場合に、述語情報ｆｖに属性情報ｘを入力した結果が１（Ｔｒｕｅ）となる。また、属性ベクトルｘ→と述語ベクトルｖ→との内積が０でない場合に、述語情報ｆｖに属性情報ｘを入力した結果が０（Ｆａｌｓｅ）となる述語暗号である。
【００２３】
＜第２−３．ベクトル空間における階層構造の実現方法＞
次に、ベクトル空間における階層構造の実現方法を説明する。
図６は、ベクトル空間における階層構造の実現方法の一例を説明するための図である。
ここで扱うベクトル空間は、高次元（Ｎ次元）ベクトル空間であるとする。つまり、ベクトル空間における所定の基底Ｃには、基底ベクトルｃｉ（ｉ＝１，．．．，Ｎ）のＮ個の基底ベクトルが存在する。
Ｎ個の基底ベクトルのうちのｎ個の基底ベクトル（基底ベクトルｃｉ（ｉ＝1，．．．，ｎ））を階層構造を表すために使用する。また、基底ベクトルｃｉ（ｉ＝１，．．．，ｎ）を、基底ベクトルｃｉ（ｉ＝１，．．．，μ１）と、基底ベクトルｃｉ（ｉ＝μ１＋１，．．．，μ２）と、．．．、基底ベクトルｃｉ（ｉ＝μｄ−１＋１，．．．，ｎ）とのｄ個に分割する。ここで、ｄは、階層の深さを表す数となる。
そして、μ１個の基底ベクトルｃｉ（ｉ＝１，．．．，μ１）を第１層目の属性情報や述語情報を表すために割り当てる。また、μ２−μ１個の基底ベクトルｃｉ（ｉ＝μ１＋１，．．．，μ２）を第２層目の属性情報や述語情報を表すために割り当てる。以下同様に、μｄ−μｄ−１個の基底ベクトルｃｉ（ｉ＝μｄ−１＋１，．．．，μｄ（＝ｎ））を第ｄ層目の属性情報や述語情報を表すために割り当てる。
また、第Ｌ層目の属性情報によって暗号文を生成する場合には、第Ｌ層目の属性情報だけでなく、第１層目から第Ｌ層目までの属性情報を用いて暗号文を生成する。同様に、第Ｌ層目の述語情報によって秘密鍵を生成する場合には、第Ｌ層目の述語情報だけでなく、第１層目から第Ｌ層目までの述語情報を用いて秘密鍵を生成する。つまり、第Ｌ層目の属性情報によって暗号文を生成する場合や、第Ｌ層目の述語情報によって秘密鍵を生成する場合には、第１層目から第Ｌ層目までに割り当てられたμＬ個の基底ベクトルｃｉ（ｉ＝１，．．．，μＬ）を用いる。例えば、第３層目の属性情報によって暗号文を生成する場合には、第１層目から第３層目までに割り当てられたμ３個の基底ベクトルｃｉ（ｉ＝１，．．．，μ３）を用いて、第１層目から第３層目までの属性情報を用いて暗号文を生成する。同様に、第３層目の述語情報によって秘密鍵を生成する場合には、第１層目から第３層目までに割り当てられたμ３個の基底ベクトルｃｉ（ｉ＝１，．．．，μ３）を用いて、第１層目から第３層目までの述語情報を表して秘密鍵を生成する。つまり、下位の層で使用される属性情報や述語情報には、上位の層で使用される属性情報や述語情報が含まれる。これにより、属性情報と述語情報とに階層構造を持たせる。そして、この属性情報と述語情報とに階層構造を利用して、内積述語暗号に権限委譲システムを持たせる。
【００２４】
なお、以下の説明においては、ベクトル空間における階層的構造を示すために、階層情報μ→を用いる。階層情報μ→を数１１０に示す。
【数１１０】
つまり、階層情報μ→は、階層構造を表すために割り当てられた基底ベクトル数（次元数）を示すｎと、階層の深さを示すｄと、各階層に割り当てられた基底ベクトルを示すためのμ１，．．．，μｄとの情報を有する。
【００２５】
次に、ベクトル空間における階層的内積述語暗号を説明する。
属性空間ΣＬ（Ｌ＝１，．．．，ｄ）を、第Ｌ層目の属性情報を表すために割り当てられた空間であるとする。ここで、各ΣＬは、数１１１である。
【数１１１】
階層的な属性を数１１２に示すΣとする。ここで、和集合は互いに素な和集合である。
【数１１２】
すると、数１１３に示す階層的な属性における数１１４に示す階層的な述語は、数１１５のように定義される。
【数１１３】
【数１１４】
【数１１５】
階層的な述語空間を数１１６に示すＦとする。
【数１１６】
また、数１１７のｈと数１１８のＬとを階層と呼ぶ。
【数１１７】
【数１１８】
【００２６】
＜第２−４．階層構造の実現例＞
ここで、簡単な例を用いて階層構造を説明する。ここでは、３つの階層を備え、各階層が２次元で構成された６次元空間を用いて説明する。つまり、μ→：＝（ｎ，ｄ；μ１，．．．，μｄ）＝（６，３；２，４，６）である。
第１層目の述語ベクトルｖ→１：＝（ｖ１，ｖ２）に基づき生成された第１層目の秘密鍵ｓｋ１を有する利用者は、第１層目の秘密鍵ｓｋ１と第２層目の述語ベクトルｖ→２：＝（ｖ３，ｖ４）に基づき第２層目の秘密鍵ｓｋ２を生成することができる。つまり、第２層目の秘密鍵ｓｋ２は、述語ベクトル（ｖ→１，ｖ→２）に基づき生成される。同様に、第２層目の秘密鍵ｓｋ２を有する利用者は、第２層目の秘密鍵ｓｋ２と第３層目の述語ベクトルｖ→３：＝（ｖ５，ｖ６）に基づき第３層目の秘密鍵ｓｋ３を生成することができる。つまり、第３層目の秘密鍵ｓｋ３は、述語ベクトル（ｖ→１，ｖ→２，ｖ→３）に基づき生成される。
第１層目の述語ベクトルｖ→１に基づき生成された第１層目の秘密鍵ｓｋ１は、（ｖ→１，（０，０），（０，０））により生成された秘密鍵である。そのため、第１層目の秘密鍵ｓｋ１は、属性ベクトル（ｘ→１，（＊，＊），（＊，＊））：＝（（ｘ１，ｘ２），（＊，＊），（＊，＊））により暗号化された暗号文を、ｖ→１・ｘ→１＝０である場合には復号できる。なぜなら、（＊，＊）・（０，０）＝０であるためである。ここで、“＊”は、任意の値を示す。
同様に、第２層目の述語ベクトル（ｖ→１，ｖ→２）に基づき生成された第２層目の秘密鍵ｓｋ２は、（ｖ→１，ｖ→２，（０，０））により生成された秘密鍵である。そのため、第２層目の秘密鍵ｓｋ２は、属性ベクトル（ｘ→１，ｘ→２，（＊，＊））：＝（（ｘ１，ｘ２），（ｘ３，ｘ４），（＊，＊））により暗号化された暗号文を、ｖ→１・ｘ→１＝０かつｖ→２・ｘ→２＝０である場合には復号できる。
しかし、第２層目の秘密鍵ｓｋ２は、第１層目の属性ベクトルｘ→１：＝（ｘ１，ｘ２）（つまり、（ｘ→１，（＊，＊），（＊，＊））により暗号化された暗号文を復号することはできない。なぜなら、ｖ→２＝（０，０）でなければ、（＊，＊）・ｖ→２≠０であり、ｖ→２・ｘ→２≠０であるためである。そのため、第２層目の秘密鍵ｓｋ２は、親である秘密鍵鍵ｓｋ２よりも限定された能力のみを有していると言える。
【００２７】
＜第３．階層的述語暗号と階層的述語鍵秘匿方式との構成＞
＜第３−１．階層的述語暗号＞
階層的述語暗号の構成を簡単に説明する。
階層的述語暗号は、Ｓｅｔｕｐ、ＧｅｎＫｅｙ、Ｅｎｃ、Ｄｅｃ、ＤｅｌｅｇａｔｅＬ（Ｌ＝１，．．．，ｄ−１）の５つの確率的多項式時間アルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムでは、セキュリティパラメータ１λと階層情報μ→とが入力され、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとが出力される。マスター秘密鍵ｓｋは最も上位の鍵である。
（ＧｅｎＫｅｙ）
ＧｅｎＫｅｙアルゴリズムでは、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと数１１９に示す述語ベクトルが入力され、数１２０に示す第Ｌ層目の秘密鍵が出力される。
【数１１９】
【数１２０】
（Ｅｎｃ）
Ｅｎｃアルゴリズムでは、マスター公開鍵ｐｋと数１２１に示す属性ベクトルと平文情報ｍとが入力され、暗号文ｃが出力される。つまり、Ｅｎｃアルゴリズムでは、平文情報ｍを埋め込み、数１２１に示す属性ベクトルにより暗号化された暗号文ｃが出力される。
【数１２１】
（Ｄｅｃ）
Ｄｅｃアルゴリズムでは、マスター公開鍵ｐｋと数１２２に示す第Ｌ層目の秘密鍵と暗号文ｃとが入力され、平文情報ｍ又は識別情報⊥が出力される。識別情報⊥とは、復号に失敗したことを示す情報である。つまり、Ｄｅｃアルゴリズムでは、暗号文ｃを第Ｌ層目の秘密鍵で復号して、平文情報ｍを抽出する。また、復号に失敗した場合には識別情報⊥を出力する。
【数１２２】
（ＤｅｌｅｇａｔｅＬ）
ＤｅｌｅｇａｔｅＬでは、マスター公開鍵ｐｋと数１２３に示す第Ｌ層目の秘密鍵と数１２４に示す第Ｌ＋１層目の述語ベクトルとが入力され、数１２５に示す第Ｌ＋１層目の秘密鍵が出力される。つまり、ＤｅｌｅｇａｔｅＬアルゴリズムでは、下位の秘密鍵が出力される。
【数１２３】
【数１２４】
【数１２５】
【００２８】
＜第３−２．階層的述語暗号＞
階層的述語鍵秘匿方式の構成を簡単に説明する。
階層的述語鍵秘匿方式は、階層的述語暗号と同様に、Ｓｅｔｕｐ、ＧｅｎＫｅｙ、Ｅｎｃ、Ｄｅｃ、ＤｅｌｅｇａｔｅＬ（Ｌ＝１，．．．，ｄ−１）の５つの確率的多項式時間アルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムでは、セキュリティパラメータ１λと階層情報μ→とが入力され、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとが出力される。マスター秘密鍵ｓｋは最も上位の鍵である。
（ＧｅｎＫｅｙ）
ＧｅｎＫｅｙアルゴリズムでは、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと数１２６に示す述語ベクトルが入力され、数１２７に示す第Ｌ層目の秘密鍵が出力される。
【数１２６】
【数１２７】
（Ｅｎｃ）
Ｅｎｃアルゴリズムでは、マスター公開鍵ｐｋと数１２８に示す属性ベクトルとが入力され、暗号文ｃとセッション鍵Ｋとが出力される。つまり、Ｅｎｃアルゴリズムでは、所定の情報（ρ）を埋め込み、数１２８に示す属性ベクトルにより暗号化された暗号文ｃと、所定の情報（ρ）から生成したセッション鍵Ｋとが出力される。
【数１２８】
（Ｄｅｃ）
Ｄｅｃアルゴリズムでは、マスター公開鍵ｐｋと数１２９に示す第Ｌ層目の秘密鍵と暗号文ｃとが入力され、セッション鍵Ｋ又は識別情報⊥が出力される。識別情報⊥とは、復号に失敗したことを示す情報である。つまり、Ｄｅｃアルゴリズムでは、暗号文ｃを第Ｌ層目の秘密鍵で復号して、所定の情報（ρ）に関する情報を抽出し、セッション鍵Ｋを生成する。また、復号に失敗した場合には識別情報⊥を出力する。
【数１２９】
（ＤｅｌｅｇａｔｅＬ）
ＤｅｌｅｇａｔｅＬアルゴリズムでは、マスター公開鍵ｐｋと数１３０に示す第Ｌ層目の秘密鍵と数１３１に示す第Ｌ＋１層目の述語ベクトルとが入力され、数１３２に示す第Ｌ＋１層目の秘密鍵が出力される。つまり、ＤｅｌｅｇａｔｅＬアルゴリズムでは、下位の秘密鍵が出力される。
【数１３０】
【数１３１】
【数１３２】
【００２９】
＜第３−３．暗号処理システム１０＞
暗号処理システム１０について説明する。暗号処理システム１０は、上述した階層的述語暗号と階層的述語鍵秘匿方式とのアルゴリズムを実行する。
図７は、暗号処理システム１０の構成図である。
暗号処理システム１０は、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００を備える。なお、ここでは、復号装置３００は、鍵委譲装置４００を備えるものとする。また、上述したように、暗号処理システム１０は、階層的な暗号処理を実行するものであるため、暗号処理システム１０は、複数の暗号化装置２００、複数の復号装置３００、複数の鍵委譲装置４００を備えるものとする。
鍵生成装置１００は、階層的述語鍵秘匿方式と階層的述語暗号とのＳｅｔｕｐ、ＧｅｎＫｅｙアルゴリズムを実行する。
暗号化装置２００は、階層的述語鍵秘匿方式と階層的述語暗号とのＥｎｃアルゴリズムを実行する。
復号装置３００は、階層的述語鍵秘匿方式と階層的述語暗号とのＤｅｃアルゴリズムを実行する。
鍵委譲装置４００は、階層的述語鍵秘匿方式と階層的述語暗号とのＤｅｌｅｇａｔｅＬアルゴリズムを実行する。
【００３０】
図８は、暗号処理システム１０の鍵生成装置１００と第Ｌ層目の暗号化装置２００と復号装置３００との動作を示すフローチャートである。つまり、図８は、マスター鍵（マスター公開鍵とマスター秘密鍵）の生成、第Ｌ層目の秘密鍵の生成から、第Ｌ層目における暗号化と復号とまでの動作を示すフローチャートである。
（Ｓ１０１：鍵生成ステップ）
鍵生成装置１００は、Ｓｅｔｕｐアルゴリズムを実行してマスター公開鍵ｐｋとマスター秘密鍵ｓｋとを生成する。また、鍵生成装置１００は、生成したマスター公開鍵ｐｋとマスター秘密鍵ｓｋと、所定の復号装置３００（第Ｌ層目の復号装置３００）に対応する述語ベクトルｖ→Ｌ（ｖ→Ｌ＝（ｖ１，．．．，ｖｉ）（ｉ＝μＬ））とに基づき、ＧｅｎＫｅｙアルゴリズムを実行して第Ｌ層目の秘密鍵を生成する。そして、鍵生成装置１００は、生成したマスター公開鍵ｐｋを公開（配布）するとともに、第Ｌ層目の秘密鍵を前記所定の復号装置３００へ秘密裡に配布する。なお、鍵生成装置１００は、マスター秘密鍵を秘密裡に保持する。
（Ｓ１０２：暗号化ステップ）
暗号化装置２００は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと、前記復号装置３００の属性ベクトルｘ→Ｌ（ｘ→Ｌ＝（ｘ１，．．．，ｘｉ）（ｉ＝μＬ））とに基づき、Ｅｎｃアルゴリズムを実行して暗号文ｃを生成する。なお、階層的述語鍵秘匿方式であれば、暗号化装置２００は、セッション鍵Ｋも併せて生成する。そして、暗号化装置２００は、生成した暗号文ｃを前記復号装置３００へネットワーク等を介して送信する。なお、属性ベクトルｘ→Ｌは、公開されているものとしてもよいし、暗号化装置２００が鍵生成装置１００や復号装置３００から取得するものとしてもよい。
（Ｓ１０３：復号ステップ）
復号装置３００は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと第Ｌ層目の秘密鍵とに基づき、アルゴリズムＤｅｃを実行して、暗号化装置２００から受信した暗号文ｃを復号する。復号装置３００は、暗号文ｃを復号した結果、階層的述語鍵秘匿方式であればセッション鍵Ｋを取得し、階層的述語暗号であれば平文情報ｍを取得する。復号装置３００は、復号に失敗した場合には識別情報⊥を出力する。
【００３１】
図９は、暗号処理システム１０の第Ｌ層目の鍵委譲装置４００と、第Ｌ＋１層目の暗号化装置２００と復号装置３００との動作を示すフローチャートである。つまり、図９は、第Ｌ＋１層目の秘密鍵の生成から、第Ｌ＋１層目における暗号化と復号とまでの動作を示すフローチャートである。
（Ｓ２０１：鍵委譲ステップ）
第Ｌ層目の鍵委譲装置４００（第Ｌ層目の復号装置３００が備える鍵委譲装置４００）は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと、鍵生成装置１００又は第Ｌ−１層目の鍵委譲装置４００が配布した第Ｌ層目の秘密鍵と、第Ｌ＋１層目の復号装置３００に対応する述語ベクトルｖ→Ｌ＋１（ｖ→Ｌ＋１＝（ｖｉ，．．．，ｖｊ）（ｉ＝μＬ＋１，ｊ＝μＬ＋１））とに基づき、アルゴリズムＤｅｌｅｇａｔｅＬを実行して第Ｌ＋１層目の秘密鍵を生成する。そして、第Ｌ層目の鍵委譲装置４００は、生成した秘密鍵を第Ｌ＋１層目の復号装置３００へ秘密裡に配布する。
（Ｓ２０２：暗号化ステップ）
暗号化装置２００は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと、第Ｌ＋１層目までの復号装置３００の属性ベクトルｘ→１から属性ベクトルｘ→Ｌ＋１（ｘ→ｉ（ｉ＝１，．．．，Ｌ＋１）（＝（ｘ１，．．．，ｘｉ）（ｉ＝μＬ＋１）））とに基づき、Ｅｎｃアルゴリズムを実行して暗号文ｃを生成する。なお、階層的述語鍵秘匿方式であれば、暗号化装置２００は、セッション鍵Ｋも併せて生成する。そして、暗号化装置２００は、生成した暗号文ｃを前記復号装置３００へネットワーク等を介して送信する。なお、属性ベクトルｘ→１から属性ベクトルｘ→Ｌ＋１（ｘ→ｉ（ｉ＝１，．．．，Ｌ＋１））は、公開されているものとしてもよいし、暗号化装置２００が鍵生成装置１００や復号装置３００から取得するものとしてもよい。
（Ｓ２０３：復号ステップ）
復号装置３００は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと、（Ｓ２０１）で第Ｌ層目の鍵委譲装置４００が配布した秘密鍵とに基づき、アルゴリズムＤｅｃを実行して、暗号化装置２００から受信した暗号文ｃを復号する。復号装置３００は、暗号文ｃを復号した結果、階層的述語鍵秘匿方式であればセッション鍵Ｋを取得し、階層的述語暗号であれば平文情報ｍを取得する。
【００３２】
＜第４．階層的述語鍵秘匿方式と階層的述語暗号とを実現するための概念＞
次に、上述した階層的述語暗号と階層的述語鍵秘匿方式との各アルゴリズムを実現するために必要となる概念を説明する。
ここでは、非対称ペアリンググループの直積により後述する双対ペアリングベクトル空間を構成する例を用いて、暗号処理を実現する方法を説明する。しかし、双対ペアリングベクトル空間は、非対称ペアリンググループの直積により実現されるものに限定されない。つまり、他の方法により構成された双対ペアリングベクトル空間においても、以下に説明する暗号処理は実現可能である。なお、双対ペアリングベクトル空間の典型的な３つの例が、非特許文献１７に記載されている。
【００３３】
＜第４−１．双線形ペアリンググループ＞
双線形ペアリンググループ（ｑ，Ｇ１，Ｇ２，ＧＴ，ｇ１，ｇ２，ｇＴ）を説明する。
双線形ペアリンググループ（ｑ，Ｇ１，Ｇ２，ＧＴ，ｇ１，ｇ２，ｇＴ）は、位数ｑの３つの巡回群Ｇ１，Ｇ２，ＧＴの組である。ｇ１はＧ１の生成元であり、ｇ２はＧ２の生成元である。そして、双線形ペアリンググループ（ｑ，Ｇ１，Ｇ２，ＧＴ，ｇ１，ｇ２，ｇＴ）は、以下の非退化双線形ペアリングの条件を満たす。
（条件：非退化双線形ペアリング）
多項式時間で計算可能な数１３３に示す非退化双線形ペアリングが存在すること。
【数１３３】
ここで、Ｇ１＝Ｇ２（＝：Ｇ）である場合、対称双線形ペアリングと呼ぶ。一方、Ｇ１≠Ｇ２である場合、非対称双線形ペアリングと呼ぶ。対称双線形ペアリングは、超特異（超）楕円曲線を用いて構築できる。一方、非対称双線形ペアリングは、どんな（超）楕円曲線を用いても構築できる。非対称双線形ペアリングは、例えば、通常の楕円曲線を用いて構築できる。
【００３４】
＜第４−２．ベクトル空間Ｖとベクトル空間Ｖ＊＞
１次元空間の巡回群を高次元空間（高次元ベクトル空間）へ拡張する。つまり、数１３４に示すように、Ｇ１とＧ２との直積によりＮ次元ベクトル空間ＶとＮ次元ベクトル空間Ｖ＊とを構築する。
【数１３４】
【００３５】
＜第４−３．標準的な双対基底Ａ，Ａ＊＞
Ｎ次元ベクトル空間Ｖの標準基底Ａと、Ｎ次元ベクトル空間Ｖ＊の標準基底Ａ＊とを説明する。
数１３５は、標準基底Ａと標準基底Ａ＊とを示す。
【数１３５】
標準基底Ａと標準基底Ａ＊とは、数１３６に示す条件を満たす。
【数１３６】
つまり、標準基底Ａと標準基底Ａ＊とは、双対正規直交基底であり、空間Ｖと空間Ｖ＊とは、ペアリング演算ｅによって関連付けられた双対ベクトル空間である。
標準基底Ａと標準基底Ａ＊とが数１３６に示す条件を満たすことについて補足する。
まず、ｅ（ａｉ，ａ＊ｉ）＝ｇＴであることについて説明する。一例として、ｅ（ａ１，ａ＊１）について計算する。上記の通り、ａ１＝（ｇ１，０，．．．，０）であり、ａ＊１＝（ｇ２，０，．．．，０）である。したがって、ｅ（ａ１，ａ＊１）＝ｅ（ｇ１，ｇ２）×ｅ（０，０）×，．．．，×ｅ（０，０）である。ここで、上記の通り、ｅ（ｇ１，ｇ２）＝ｇＴである。また、ｅ（０，０）＝ｅ（０・ｇ１，０・ｇ２）＝ｅ（ｇ１，ｇ２）０であるから、ｅ（０，０）＝１である。したがって、ｅ（ａ１，ａ＊１）＝ｇＴとなる。他のｅ（ａｉ，ａ＊ｉ）についても同様の計算が成立し、ｅ（ａｉ，ａ＊ｉ）＝ｇＴとなる。
次に、ｅ（ａｉ，ａ＊ｊ）＝１（ｉ≠ｊ）であることについて説明する。一例として、ｅ（ａ１，ａ＊２）について計算する。上記の通り、ａ１＝（ｇ１，０，．．．，０）であり、ａ＊２＝（０，ｇ２，０，．．．，０）である。したがって、ｅ（ａ１，ａ＊２）＝ｅ（ｇ１，０）×ｅ（０，ｇ２）×ｅ（０，０）×，．．．，×ｅ（０，０）である。ｅ（ｇ１，０）＝ｅ（ｇ１，０・ｇ２）＝ｅ（ｇ１，ｇ２）０であるから、ｅ（ｇ１，０）＝１である。同様に、ｅ（０，ｇ２）＝１である。また、上記の通り、ｅ（０，０）＝１である。したがって、ｅ（ａｉ，ａ＊ｊ）＝１となる。他のｅ（ａｉ，ａ＊ｊ）についても同様の計算が成立し、ｅ（ａｉ，ａ＊ｊ）＝１となる。
したがって、標準基底Ａと標準基底Ａ＊とにおいて、ｅ（ａｉ，ａ＊ｉ）＝ｇＴであり、ｅ（ａｉ，ａ＊ｊ）＝１（ｉ≠ｊ）である。
【００３６】
＜第４−４．ペアリング演算＞
Ｎ次元ベクトル空間Ｖ，Ｖ＊におけるペアリング演算ｅを数１３７に示すように定義する。
【数１３７】
つまり、Ｎ次元ベクトル空間Ｖのベクトルｘ：＝（ｘ１ｇ１，ｘ２ｇ１，．．．，ｘＮｇ１）とＮ次元ベクトル空間Ｖ＊のベクトルｙ：＝（ｙ１ｇ２，ｙ２ｇ２，．．．，ｙＮｇ２）とのペアリング演算ｅ（ｘ，ｙ）は、ベクトルｘとベクトルｙとの要素毎のペアリング演算の積と定義する。すると、上述した非退化双線形ペアリングの条件から、ペアリング演算ｅ（ｘ，ｙ）は、数１３８に示すように表すことができる。
【数１３８】
【００３７】
＜第４−５．基底変換＞
標準基底Ａと標準基底Ａ＊とから他の基底Ｂと基底Ｂ＊とへ変換する基底変換方法について説明する。図１０は、基底変換方法を説明するための図である。
空間Ｖにおける標準基底Ａから空間Ｖにおける他の基底Ｂ：＝（ｂ１，．．．，ｂＮ）へ変換する。ここでは、数１３９に示す一様に選択された線形変換Ｘを用いて、数１４０に示すように空間Ｖにおける標準基底Ａから空間Ｖにおける他の基底Ｂに変換する。
【数１３９】
【数１４０】
ここで、ＧＬは、Ｇｅｎｅｒａｌ Ｌｉｎｅａｒの略である。つまり、ＧＬは、一般線形群であり、行列式が０でない正方行列の集合であり、乗法に関し群である。
Ｘを用いることにより、空間Ｖ＊における標準基底Ａ＊から空間Ｖ＊における基底Ｂ＊：＝（ｂ＊１，．．．，ｂ＊Ｎ）を効率的に計算できる。ここでは、数１４１に示すようにＸを用いて、空間Ｖ＊における基底Ｂ＊を計算する。
【数１４１】
【００３８】
ここで、数１４２が成立する。
【数１４２】
つまり、基底Ｂと基底Ｂ＊とは、双対空間ＶとＶ＊における双対正規直交基底である。すなわち、Ｘを用いて標準基底ＡとＡ＊とを変形した場合であっても、双対正規直交基底は保存される。
【００３９】
＜第４−６．ディストーション写像＞
標準基底Ａにおける空間Ｖの生成元ｘに対するディストーション写像という線形変換について説明する。
空間Ｖの標準基底Ａにおけるディストーション写像φｉ，ｊは、数１４３に示す写像である。
【数１４３】
数１４４が成立するため、ディストーション写像φｉ，ｊは、数１４５の変換を行うことができる。
【数１４４】
【数１４５】
つまり、標準基底Ａのベクトルｘの基底ベクトルｊの要素を基底ベクトルｉの要素へ変換することができる。この際、変換された基底ベクトルｊの要素を除く他の要素は、全て０となる。すなわち、ベクトルｘの基底ベクトルｊの要素が基底ベクトルｉの要素となり、その他の要素は０となる。
空間Ｖ＊の標準基底Ａ＊におけるディストーション写像φ＊ｉ，ｊも、空間Ｖの標準基底Ａにおけるディストーション写像φｉ，ｊと同様に表すことができる。
【００４０】
ディストーション写像φｉ，ｊ（φ＊ｉ，ｊ）を用いることにより、数１４６に示すＮ×Ｎ行列として表される線形変換Ｗであって、ｘ∈Ｖに対するどんな線形変換Ｗも数１４７によって効率的に計算することができる。
【数１４６】
【数１４７】
【００４１】
＜第５．双対ペアリングベクトル空間＞
第４で説明した概念を踏まえて、双対ペアリングベクトル空間について説明する。後述する階層的述語暗号と階層的述語鍵秘匿方式とは、双対ペアリングベクトル空間において実現される。
双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）は、素数位数ｑと、Ｆｑ上の２つのＮ次元ベクトル空間Ｖ，Ｖ＊と、位数ｑの巡回群ＧＴと、空間Ｖの標準基底Ａ：＝（ａ１，．．．，ａＮ−１）と、空間Ｖ＊の標準基底Ａ＊：＝（ａ＊１，．．．，ａ＊Ｎ−１）とを有する空間である。そして、双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）は、以下の（１）非退化双線形ペアリングが存在する、（２）標準基底Ａ，Ａ＊が双対正規直交基底である、（３）ディストーション写像が存在するという３つの条件を満たす空間である。
【００４２】
（１）非退化双線形ペアリング（上記第４−１参照）
多項式時間で計算可能な非退化双線形ペアリングｅが存在すること。
つまり、数１４８に示す非退化双線形ペアリングｅが存在することが１つ目の条件である。
【数１４８】
【００４３】
（２）双対正規直交基底（上記第４−２参照）
空間Ｖの標準基底Ａと空間Ｖ＊の標準基底Ａ＊とが双対正規直交基底であること。
つまり、空間Ｖの標準基底Ａと空間Ｖ＊の標準基底Ａ＊とが、数１４９に示す条件を満たすことが２つ目の条件である。
【数１４９】
【００４４】
（３）ディストーション写像（上記第４−６参照）
多項式時間で計算可能なディストーション写像φｉ，ｊとφ＊ｉ，ｊが存在すること。
つまり、数１５０に示す空間Ｖの準同型φｉ，ｊと空間Ｖ＊の準同型φ＊ｉ，ｊが多項式時間で計算可能であることが３つ目の条件である。
【数１５０】
３つ目の条件を満たすことにより、空間Ｖと空間Ｖ＊とがペアリング演算ｅ（上記第４−２参照）によって関連付けられた双対空間であるということも言える。
【００４５】
＜第６．階層的述語暗号と階層的述語鍵秘匿方式との実現方法の概要＞
上述した概念（上記第４参照）と、双対ペアリングベクトル空間（上記第５参照）とを踏まえて、上述した暗号処理システム１０（上記第３参照）が階層的述語暗号と階層的述語鍵秘匿方式とを実現する方法を簡単に説明する。
【００４６】
まず、暗号処理システム１０により実現される内積述語暗号の概要について説明する。なお、説明の簡単のため、ここでは、階層的という概念を省略し、１階層のみで構成される内積述語暗号の概要について説明する。
暗号処理システム１０は、双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）において内積述語暗号を実現する。なお、ここで、空間Ｖ，Ｖ＊は、いずれもｎ＋３次元空間である。
鍵生成装置１００は、第４−５で説明した基底変換により、標準基底Ａ，Ａ＊から正規直交基底Ｂ：＝（ｂ１，．．．，ｂｎ＋３）と、Ｂ＊：＝（ｂ＊１，．．．，ｂ＊ｎ＋３）とを生成する。鍵生成装置１００は、基底Ｂ：＝（ｂ１，．．．，ｂｎ＋３）のうちの基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２とを、基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２との和である基底ベクトルｄｎ＋１に置き換えた基底Ｂ＾：＝（ｂ１，．．．，ｂｎ，ｄｎ＋１，ｂｎ＋３）を生成する。そして、基底Ｂ＾をマスター公開鍵ｐｋとし、基底Ｂ＊をマスター秘密鍵ｓｋとする。さらに、鍵生成装置１００は、述語ベクトルｖ→（ｖ→＝（ｖ１，．．．，ｖｎ）∈Ｆｎｑから秘密鍵ｋ＊を数１５１のように生成して復号装置３００へ秘密裡に送信する。
【数１５１】
暗号化装置２００は、属性ベクトルｘ→（ｘ→＝（ｘ１，．．．，ｘｎ）∈Ｆｎｑと平文情報ｍとから、２つの暗号文ｃ１とｃ２とを生成する。暗号文ｃ１とｃ２とは数１５２のように生成される。
【数１５２】
復号装置３００は、暗号文ｃ１，ｃ２と秘密鍵ｋ＊とに基づき、数１５３を計算して、平文情報ｍを抽出する。
【数１５３】
ここで、ｖ→・ｘ→＝０であるなら、数１５４に示すように、数１５３を計算することにより、復号装置３００は平文情報ｍを得ることができる。
【数１５４】
【００４７】
次に、階層的な権限委譲を可能にした内積述語暗号、つまり階層的内積述語暗号の概要について、簡単な例を用いて説明する。ここでは、３つの階層を備え、各階層が２次元で構成された６次元を述語ベクトルと属性ベクトルとに用い、その他に３次元を有する９次元空間を用いて説明する。つまり、空間Ｖ，Ｖ＊は、９次元空間である。したがって、マスター公開鍵に含まれる基底Ｂ＾：＝（ｂ１，．．．，ｂ６，ｄ７，ｂ９）である。なお、ｄ７：＝ｂ７＋ｂ８である。また、マスター秘密鍵に含まれる基底Ｂ＊：＝（ｂ＊１，．．．，ｂ＊９）である。
なお、以下の説明において、添え字の「ｄｅｃ」は「ｄｅｃｒｙｐｔｉｏｎ」の略であり、添え字に「ｄｅｃ」とあるものは、暗号文の復号に用いられる鍵ベクトルである。また、添え字の「ｒａｎ」は「ｒａｎｄｏｍｉｚａｔｉｏｎ」の略であり、添え字に「ｒａｎ」とあるものは、下位の鍵ベクトルの所定の基底ベクトルに対する係数をランダム化するためのランダム化ベクトルである。また、添え字の「ｄｅｌ」は「ｄｅｌｅｇａｔｉｏｎ」の略であり、添え字に「ｄｅｌ」とあるものは、下位の鍵ベクトルを生成するための鍵生成用ベクトルである。
【００４８】
ここで、暗号文ｃ１，ｃ２は、属性ベクトル（ｘ→１，ｘ→２，ｘ→３）：＝（（ｘ１，ｘ２），（ｘ３，ｘ４），（ｘ５，ｘ６））と平文情報ｍとにより、数１５５のように生成される。
【数１５５】
もし、属性ベクトルが、ｘ→１：＝（ｘ１，ｘ２）のように高い階層である場合、属性ベクトルを数１５６のように修正する。
【数１５６】
つまり、属性ベクトルｘ→１で生成された暗号文ｃ１は、数１５６に示す属性ベクトルｘ→＋で生成された暗号文ｃ１として生成される。
【００４９】
第１層目の述語ベクトルｖ→１：＝（ｖ１，ｖ２）∈Ｆ２ｑに基づき生成された第１層目の秘密鍵ｋ→＊１：＝（ｋ＊１，ｄｅｃ，ｋ＊１，ｒａｎ，１，ｋ＊１，ｒａｎ，２，ｋ＊１，ｄｅｌ，３，．．．，ｋ＊１，ｄｅｌ，６）は、ｋ＊１，ｄｅｃと、（ｋ＊１，ｒａｎ，１，ｋ＊１，ｒａｎ，２）と、（ｋ＊１，ｄｅｌ，３，．．．，ｋ＊１，ｄｅｌ，６）との３つの要素からなる。ここで、ｋ＊１，ｄｅｃは、暗号文の復号に用いられる鍵ベクトルである。（ｋ＊１，ｒａｎ，１，ｋ＊１，ｒａｎ，２）は、下位の鍵ベクトルの所定の基底ベクトルに対する係数をランダム化するためのランダム化ベクトルである。（ｋ＊１，ｄｅｌ，３，．．．，ｋ＊１，ｄｅｌ，６）は、下位の鍵ベクトルを生成するための鍵生成用ベクトルである。ｋ＊１，ｄｅｃと、（ｋ＊１，ｒａｎ，１，ｋ＊１，ｒａｎ，２）と、（ｋ＊１，ｄｅｌ，３，．．．，ｋ＊１，ｄｅｌ，６）とは、数１５７のように生成される。
【数１５７】
暗号文ｃ１を生成する際用いられた属性ベクトルが、（ｘ１，ｘ２）・（ｖ１，ｖ２）＝０となる（（ｘ１，ｘ２），（＊，＊），（＊，＊））であるなら、数１５８であるため、ｋ＊１，０は、数１５９を計算することにより、暗号文ｃ１，ｃ２を復号することができる。
【数１５８】
【数１５９】
【００５０】
第２層目の述語ベクトルｖ→２：＝（ｖ３，ｖ４）により第２層目の秘密鍵ｋ→＊２：＝（ｋ＊２，ｄｅｃ，ｋ＊２，ｒａｎ，１，ｋ＊２，ｒａｎ，２，ｋ＊２，ｒａｎ，３，ｋ＊２，ｄｅｌ，５，ｋ＊２，ｄｅｌ，６）を生成する。
まず、ｋ＊２，ｄｅｃを生成する場合、σ２，０（ｖ３ｋ＊１，ｄｅｌ，３＋ｖ４ｋ＊１，ｄｅｌ，４）を、ｋ＊１，ｄｅｃに加える。ｋ＊２，ｒａｎ，ｊを生成する場合、σ２，ｊ（ｖ３ｋ＊１，ｄｅｌ，３＋ｖ４ｋ＊１，ｄｅｌ，４）を０に加える（ｊ＝１，２，３）。ｋ＊２，ｄｅｌ，ｊを生成する場合、σ２，ｊ（ｖ３ｋ＊１，ｄｅｌ，３＋ｖ４ｋ＊１，ｄｅｌ，４）をψ＋ｋ＊１，ｄｅｌ，ｊに加える（ｊ＝５，６）。ここで、σ２，ｊ（ｊ＝０，１，２，３，５，６）と、ψ＋とは一様に選択された値である。
また、第２層目の秘密鍵の（ｖ１ｂ＊１＋ｖ２ｂ＊２）とｂ＊７とｂ＊８との係数の値をランダム化する（一様に分布させる）。そこで、ｋ＊２，ｄｅｃを生成する場合、さらに（α０，１ｋ＊１，ｒａｎ，１＋α０，２ｋ＊１，ｒａｎ，２）を加える。ｋ＊２，ｒａｎ，ｊを生成する場合、（αｊ，１ｋ＊１，ｒａｎ，１＋αｊ，２ｋ＊１，ｒａｎ，２）を加える（ｊ＝１，２，３）。ｋ＊２，ｄｅｌ，ｊを生成する場合、（αｊ，１ｋ＊１，ｒａｎ，１＋αｊ，２ｋ＊１，ｒａｎ，２）を加える（ｊ＝５，６）。ここで、αｊ，１とαｊ，２と（ｊ＝０，１，２，３，５，６）は一様に選択された値である。
つまり、第２層目の秘密鍵鍵ｋ→＊２：＝（ｋ＊２，ｄｅｃ，ｋ＊２，ｒａｎ，１，ｋ＊２，ｒａｎ，２，ｋ＊２，ｒａｎ，３，ｋ＊２，ｄｅｌ，５，ｋ＊２，ｄｅｌ，６）が数１６０のように生成される。
【数１６０】
なお、ｋ＊２，ｄｅｃは、暗号文の復号に用いられる鍵ベクトルである。（ｋ＊２，ｒａｎ，１，ｋ＊２，ｒａｎ，２，ｋ＊２，ｒａｎ，３）は、下位の鍵ベクトルの所定の基底ベクトルに対する係数をランダム化するためのランダム化ベクトルである。（ｋ＊２，ｄｅｌ，５，ｋ＊２，ｄｅｌ，６）は、下位の鍵の生成に用いられる。
【００５１】
一般に、第Ｌ層目の秘密鍵ｋ→＊Ｌ：＝（ｋ＊Ｌ，ｄｅｃ，ｋ＊Ｌ，ｒａｎ，ｊ，ｋ＊Ｌ，ｄｅｌ，ｊ）において、ｋ＊Ｌ，ｄｅｃは、暗号文の復号に用いられる鍵ベクトルである。ｋ＊Ｌ，ｒａｎ，ｊは、下位の鍵ベクトルの所定の基底ベクトルに対する係数をランダム化するためのランダム化ベクトルである。ｋ＊Ｌ，ｄｅｌ，ｊは、下位の鍵ベクトルを生成するための鍵生成用ベクトルである。
【００５２】
実施の形態２．
この実施の形態では、実施の形態１で説明した概念に基づき、階層的述語暗号を実現する暗号処理システム１０について説明する。
【００５３】
図１１から図１６に基づき、実施の形態２に係る暗号処理システム１０の機能と動作とについて説明する。
図１１は、階層的述語暗号を実現する暗号処理システム１０の機能を示す機能ブロック図である。暗号処理システム１０は、上述したように、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００を備える。また、ここでも、復号装置３００が鍵委譲装置４００を備えるものとする。
図１２は、鍵生成装置１００の動作を示すフローチャートである。図１３は、暗号化装置２００の動作を示すフローチャートである。図１４は、復号装置３００の動作を示すフローチャートである。図１５は、鍵委譲装置４００の動作を示すフローチャートである。
図１６は、双対ペアリングベクトル空間の基底の構造を示す概念図である。
【００５４】
鍵生成装置１００の機能と動作とについて説明する。鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、鍵ベクトル生成部１３０、ランダム化ベクトル生成部１４０、鍵生成用ベクトル生成部１５０、鍵配布部１６０を備える。
【００５５】
（Ｓ３０１：マスター鍵生成ステップ）
マスター鍵生成部１１０は、数１６１を計算して、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとを処理装置により生成してマスター鍵記憶部１２０に記憶する。
【数１６１】
つまり、（１）マスター鍵生成部１１０は、セキュリティパラメータ１λで、Ｎ（＝ｎ＋３）次元の双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）を処理装置により生成する。ここで、Ｇｄｐｖｓは、１λとＮとを入力として、セキュリティパラメータ１λとＮ次元空間とについての双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）を出力する双対ペアリングベクトル空間生成アルゴリズムである。
（２）マスター鍵生成部１１０は、標準基底Ａから基底Ｂを生成するための線形変換Ｘを処理装置によりランダムに選択する。
（３）マスター鍵生成部１１０は、選択した線形変換Ｘに基づき、基底Ａ：＝（ａ１，．．．，ａＮ）から基底Ｂ：＝（ｂ１，．．．，ｂＮ）を処理装置により生成する。
（４）マスター鍵生成部１１０は、基底Ｂにおける基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２とを、基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２との和である基底ベクトルｄｎ＋１に置き換えた基底ベクトルＢ＾：＝（ｂ１，．．．，ｂｎ，ｄｎ＋１，ｂｎ＋３）を処理装置により生成する。
（５）マスター鍵生成部１１０は、基底Ａ＊：＝（ａ＊１，．．．，ａ＊Ｎ）から基底Ｂ＊：＝（ｂ＊１，．．．，ｂ＊Ｎ）を生成するための線形変換（ＸＴ）−１を線形変換Ｘから処理装置により生成する。
（６）マスター鍵生成部１１０は、生成した線形変換（ＸＴ）−１に基づき、基底Ａ＊から基底Ｂ＊：＝（ｂ＊１，．．．，ｂ＊Ｎ）を処理装置により生成する。
（７）マスター鍵生成部１１０は、生成した線形変換Ｘと基底Ｂ＊とをマスター秘密鍵ｓｋとし、生成した基底Ｂ＾を含む（１λ，ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊，Ｂ＾）をマスター公開鍵ｐｋとする。そして、マスター鍵記憶部１２０は、マスター鍵生成部１１０が生成したマスター公開鍵ｐｋとマスター秘密鍵ｓｋとを記憶装置に記憶する。
なお、双対ペアリングベクトル空間の次元数は、Ｎ（＝ｎ＋３）であるとした。ここで、ｎは、階層情報μ→が有する階層構造をあらわすために割り当てられている基底数を表すｎである。つまり、ここでは、階層構造をあらわすために割り当てられている基底数ｎに加え、３つの基底ベクトルが設けられている。もちろん、これよりも多くの基底ベクトルを設けてもよい。
図１６に示すように、Ｎ（＝ｎ＋３）個の基底ベクトルのうち、ｎ個の基底ベクトルが述語ベクトルや属性ベクトルのために割り当てられている。述語ベクトルや属性ベクトルのために割り当てられている基底ベクトルの構造は、図６に示す構造と同様である。残り３つの基底ベクトルのうちの２つの基底ベクトル（ｎ＋１番目とｎ＋２番目との基底ベクトル）は、セッション鍵を生成する情報のための基底ベクトルである。残りの１つの基底ベクトル（ｎ＋３番目の基底ベクトル）は、暗号文ｃ１をランダム化するための基底ベクトルである。
【００５６】
すなわち、（Ｓ３０１）において、マスター鍵生成部１１０は、数１６２に示すＳｅｔｕｐアルゴリズムを実行して、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとを生成する。
【数１６２】
【００５７】
（Ｓ３０２：鍵ベクトルｋ＊Ｌ，ｄｅｃ生成ステップ）
鍵ベクトル生成部１３０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１６３に示す述語ベクトル（ｖ→１，．．．，ｖ→Ｌ）とに基づき、数１６４を計算して、第Ｌ層目（レベルＬ）の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃを処理装置により生成する。
【数１６３】
【数１６４】
つまり、（１）鍵ベクトル生成部１３０は、乱数σ０，ｉ（ｉ＝１，．．．，Ｌ）と乱数η０とを処理装置により生成する。
（２）鍵ベクトル生成部１３０は、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数として生成した乱数σ０，ｔでランダム化した述語ベクトルの各要素を処理装置により設定する。つまり、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれる。また、鍵ベクトル生成部１３０は、基底ベクトルｂ＊ｎ＋１に対する係数として乱数η０を処理装置により設定するとともに、基底ベクトルｂ＊ｎ＋２に対する係数として１から乱数η０を引いた値（１−η０）を処理装置により設定する。つまり、基底ベクトルｂ＊ｎ＋１に対する係数と基底ベクトルｂ＊ｎ＋２に対する係数との和が１となるように、基底ベクトルｂ＊ｎ＋１に対する係数と基底ベクトルｂ＊ｎ＋２に対する係数とが設定される。これにより、鍵ベクトル生成部１３０は、鍵ベクトルｋ＊Ｌ，ｄｅｃを生成する。
【００５８】
（Ｓ３０３：ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ生成ステップ）
ランダム化ベクトル生成部１４０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１６３に示す述語ベクトル（ｖ→１，．．．，ｖ→Ｌ）とに基づき、数１６５を計算して、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）を生成する。ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）は、下位の鍵のうち、述語ベクトルの各要素が埋め込まれる基底ベクトルに対する係数を一様に分布させるためのベクトルである。なお、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊは、第Ｌ層目の秘密鍵のｊ番目の要素である。
【数１６５】
つまり、（１）ランダム化ベクトル生成部１４０は、乱数σｊ，ｉ（ｊ＝１，．．．，Ｌ＋１；ｉ＝１，．．．，Ｌ）と乱数ηｊ（ｊ＝１，．．．，Ｌ＋１）とを処理装置により生成する。
（２）ランダム化ベクトル生成部１４０は、ｊ＝１，．．．，Ｌ＋１の各ｊについて、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数として、乱数σｊ，ｔでランダム化した述語ベクトルの各要素を設定したベクトルｖｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれる。
（３）ランダム化ベクトル生成部１４０は、ｊ＝１，．．．，Ｌ＋１の各ｊについて、基底ベクトルｂ＊ｎ＋１に対する係数として乱数ηｊを処理装置により設定するとともに、基底ベクトルｂ＊ｎ＋２に対する係数として０から乱数η０を引いた値（−ηｊ）を設定したベクトルｄｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ｎ＋１に対する係数と基底ベクトルｂ＊ｎ＋２に対する係数との和が０となるように、基底ベクトルｂ＊ｎ＋１に対する係数と基底ベクトルｂ＊ｎ＋２に対する係数とが設定される。
（４）ランダム化ベクトル生成部１４０は、ｊ＝１，．．．，Ｌ＋１の各ｊについて、生成したベクトルｖｖｊとベクトルｄｖｊと加算して、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）を生成する。
【００５９】
（Ｓ３０４：鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ生成ステップ）
鍵生成用ベクトル生成部１５０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１６３に示す述語ベクトル（ｖ→１，．．．，ｖ→Ｌ）とに基づき、数１６６を計算して、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）を処理装置により生成する。鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）は、下位の秘密鍵（下位の鍵ベクトル）を生成するためのベクトルである。なお、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊは、第Ｌ層目の秘密鍵のｊ番目の要素である。
【数１６６】
つまり、（１）鍵生成用ベクトル生成部１５０は、乱数σｊ，ｉ（ｊ＝μＬ＋１，．．．，ｎ；ｉ＝１，．．．，Ｌ）と乱数ψと乱数ηｊ（ｊ＝μＬ＋１，．．．，ｎ）とを処理装置により生成する。
（２）鍵生成用ベクトル生成部１５０は、ｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数として、乱数σｊ，ｔでランダム化した述語ベクトルの各要素を設定して、ベクトルｖｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれる。
（３）鍵生成用ベクトル生成部１５０は、ｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｊに対する係数として乱数ψを設定して、ベクトルψｖｊを処理装置により生成する。
（４）鍵生成用ベクトル生成部１５０は、ｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｎ＋１に対する係数として乱数ηｊを処理装置により設定するとともに、基底ベクトルｂ＊ｎ＋２に対する係数として０から乱数η０を引いた値（−ηｊ）を設定して、ベクトルｄｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ｎ＋１に対する係数と基底ベクトルｂ＊ｎ＋２に対する係数との和が０となるように、基底ベクトルｂ＊ｎ＋１に対する係数と基底ベクトルｂ＊ｎ＋２に対する係数とが設定される。
（５）鍵生成用ベクトル生成部１５０は、ｊ＝μＬ＋１，．．．，ｎの各ｊについて、ベクトルｖｖｊと、ベクトルψｖｊと、ベクトルｄｖｊとを加算して、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）を生成する。
【００６０】
すなわち、（Ｓ３０２）から（Ｓ３０４）において、鍵ベクトル生成部１３０とランダム化ベクトル生成部１４０と鍵生成用ベクトル生成部１５０とは、数１６７に示すＧｅｎＫｅｙアルゴリズムを処理装置により実行する。これにより、鍵ベクトルｋ＊Ｌ，ｄｅｃと、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）と、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）とを含む第Ｌ層目の秘密鍵（鍵情報ｋ→＊Ｌ）が生成される。
【数１６７】
【００６１】
（Ｓ３０５：鍵配布ステップ）
鍵配布部１６０は、マスター鍵生成部１１０が生成したマスター公開鍵と、鍵ベクトル生成部１３０とランダム化ベクトル生成部１４０と鍵生成用ベクトル生成部１５０とが生成した鍵情報ｋ→＊Ｌとを復号装置３００へ通信装置を介して送信する。また、鍵配布部１６０は、マスター公開鍵を暗号化装置２００へ通信装置を介して送信する。ここで、鍵情報ｋ→＊Ｌは秘密裡に復号装置３００へ送信されるが、鍵情報ｋ→＊Ｌを秘密裡に復号装置３００へ送信する方法に関しては、どのような方法であっても構わない。例えば、従来の暗号処理を使用して送信してもよい。
【００６２】
暗号化装置２００の機能と動作とについて説明する。暗号化装置２００は、送信情報設定部２１０、暗号ベクトル生成部２２０、暗号情報生成部２３０、データ送信部２４０、公開鍵取得部２５０を備える。
なお、以下の処理の前に、公開鍵取得部２５０は、マスター公開鍵ｐｋと、復号装置３００の述語情報ベクトルに対応する属性情報ベクトルを取得しているものとする。
【００６３】
（Ｓ４０１：送信情報設定ステップ）
送信情報設定部２１０は、マスター公開鍵ｐｋに基づき、数１６８を処理装置により計算して送信情報ベクトルζｖを生成する。
【数１６８】
つまり、（１）送信情報設定部２１０は、乱数ζを処理装置により生成する。
（２）送信情報設定部２１０は、マスター公開鍵ｐｋに含まれる基底Ｂ＾の基底ベクトルｄｎ＋１に対する係数として乱数ζを処理装置により設定して、送信情報ベクトルζｖを生成する。
【００６４】
（Ｓ４０２：暗号ベクトルｃ１生成ステップ）
暗号ベクトル生成部２２０は、マスター公開鍵ｐｋと、数１６９に示す属性ベクトル（ｘ→１，．．．，ｘ→Ｌ）とに基づき、数１７０を処理装置により計算して暗号ベクトルｃ１を生成する。
【数１６９】
【数１７０】
つまり、（１）暗号ベクトル生成部２２０は、乱数（ｘ→Ｌ＋１，．．．，ｘ→ｄ）と、乱数δｉ（ｉ＝１，．．．，ｄ，ｎ＋３）を処理装置により生成する。
（２）暗号ベクトル生成部２２０は、マスター公開鍵ｐｋに含まれる基底Ｂの基底ベクトルｂｉ（ｉ＝１，．．．，μＬ）に対する係数として属性ベクトルの各要素を処理装置により設定する。つまり、基底ベクトルｂｉ（ｉ＝１，．．．，μＬ）に対する係数には、属性ベクトルの各要素が埋め込まれる。また、暗号ベクトル生成部２２０は、基底ベクトルｂｉ（ｉ＝μＬ＋１，．．．，ｎ）に対する係数として乱数を処理装置により設定する。これにより、暗号ベクトル生成部２２０は、ベクトルｘｖを生成する。
（３）暗号ベクトル生成部２２０は、マスター公開鍵ｐｋに含まれる基底Ｂの基底ベクトルｂｎ＋３に対する係数として乱数δｎ＋３を処理装置により設定して、ベクトルｒｖを生成する。
（４）暗号ベクトル生成部２２０は、生成したベクトルｘｖとベクトルｒｖとを、送信情報設定部２１０が生成した送信情報ベクトルζｖに加算して暗号ベクトルｃ１を処理装置により生成する。
なお、ベクトルｒｖは、安全性を高くするために加えられるものであり、必須の要素ではない。
【００６５】
（Ｓ４０３：暗号情報ｃ２生成ステップ）
暗号情報生成部２３０は、平文情報ｍに基づき、数１７１を処理装置により計算して暗号情報ｃ２を生成する。
【数１７１】
【００６６】
（Ｓ４０４：データ送信ステップ）
データ送信部２４０は、暗号ベクトル生成部２２０が生成した暗号ベクトルｃ１と、暗号情報生成部２３０が生成した暗号情報ｃ２とを復号装置３００へ通信装置を介して送信する。
【００６７】
すなわち、暗号化装置２００は、数１７２に示すＥｎｃアルゴリズムを実行して、暗号ベクトルｃ１と暗号情報ｃ２とを生成する。
【数１７２】
【００６８】
復号装置３００の機能と動作とについて説明する。復号装置３００は、ベクトル入力部３１０、鍵ベクトル記憶部３２０、ペアリング演算部３３０を備える。
【００６９】
（Ｓ５０１：ベクトル入力ステップ）
ベクトル入力部３１０は、暗号化装置２００のデータ送信部２４０が送信した暗号ベクトルｃ１と暗号情報ｃ２とを通信装置を介して受信して入力する。
【００７０】
（Ｓ５０２：復号ステップ）
ペアリング演算部３３０は、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃとに基づき、数１７３を処理装置により計算して平文情報ｍ’を生成する。
【数１７３】
つまり、ペアリング演算部３３０は、ベクトル入力部３１０が入力した暗号ベクトルｃ１と、鍵ベクトル記憶部３２０が記憶装置に記憶した鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、ペアリング演算ｅを処理装置により行う。これにより、ペアリング演算部３３０は、ｇζＴを計算する。そして、計算したｇζＴで暗号情報ｃ２（＝ｇζＴｍ）を除することにより、平文情報ｍ’（＝ｍ）を計算する。なお、鍵ベクトル記憶部３２０は、鍵生成装置１００又は上位の鍵委譲装置４００から鍵ベクトルｋ＊Ｌ，ｄｅｃを配布された際、鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶装置に記憶している。
ここで、暗号化装置２００が暗号化に用いた属性ベクトルｘ→ｉ（ｉ＝１，．．．，ｈ）と、復号装置３００が復号に用いた鍵ベクトルの述語ベクトルｖ→ｉ（ｉ＝１，．．．，Ｌ）とについて、Ｌ≦ｈであり、全てのｉ（ｉ＝１，．．．，Ｌ）についてｘ→ｉ・ｖ→ｉ＝０であれば、数１７４に示すように、暗号ベクトルｃ１と鍵ベクトルｋ＊Ｌ，ｄｅｃとについてペアリング演算ｅを行うことにより、ｇζＴを得ることができる。
【数１７４】
【００７１】
つまり、復号装置３００は、数１７５に示すＤｅｃアルゴリズムを実行して、平文情報ｍ’を生成する。
【数１７５】
【００７２】
鍵委譲装置４００の機能と動作とについて説明する。鍵委譲装置４００は、鍵ベクトル取得部４１０（鍵生成用ベクトル取得部）、鍵ベクトル生成部４２０、ランダム化ベクトル生成部４３０、鍵生成用ベクトル生成部４４０、鍵配布部４５０を備える。
【００７３】
（Ｓ６０１：鍵情報ｋ＊Ｌ取得ステップ）
鍵ベクトル取得部４１０は、第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃと、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）と、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）とを含む第Ｌ層目の秘密鍵（鍵情報ｋ→＊Ｌ）を通信装置を介して取得する。
【００７４】
（Ｓ６０２：鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ生成ステップ）
鍵ベクトル生成部４２０は、マスター公開鍵ｐｋと鍵情報ｋ→＊Ｌと数１７６に示す述語ベクトルｖ→Ｌ＋１とに基づき、数１７７を計算して、第Ｌ＋１層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを処理装置により生成する。
【数１７６】
【数１７７】
つまり、（１）鍵ベクトル生成部４２０は、乱数α０，ｉ（ｉ＝１，．．．，Ｌ＋１）と乱数σ０とを処理装置により生成する。
（２）鍵ベクトル生成部４２０は、ｉ＝１，．．．，Ｌ＋１の各ｉについて、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉの係数を乱数α０，ｉ倍したベクトルを加算して、ベクトルｒｖを処理装置により生成する。なお、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）における基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれている。そのため、ベクトルｒｖにおける基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、乱数倍された述語ベクトルの各要素が埋め込まれる。
（３）鍵ベクトル生成部４２０は、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）の係数に述語ベクトルｖ→Ｌ＋１の各要素を設定したベクトルを加算し、乱数σ０倍してベクトルｖｖを処理装置により生成する。つまり、基底ベクトルｂ＊ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）に対する係数には、述語ベクトルの各要素が埋め込まれる。
（４）鍵ベクトル生成部４２０は、鍵ベクトルｋ＊Ｌ，ｄｅｃと、ベクトルｒｖとベクトルｖｖとを加算して、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを処理装置により生成する。
【００７５】
（Ｓ６０３：ランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊ生成ステップ）
ランダム化ベクトル生成部４３０は、マスター公開鍵ｐｋと鍵情報ｋ→＊Ｌと数１７６に示す述語ベクトルｖ→Ｌ＋１とに基づき、数１７８を計算して、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）を生成する。ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）は、下位の鍵のうち、述語ベクトルの各要素が埋め込まれる基底ベクトルに対する係数を一様に分布させるためのベクトルである。なお、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊは、第Ｌ＋１層目の秘密鍵のｊ番目の要素である。
【数１７８】
つまり、（１）ランダム化ベクトル生成部４３０は、乱数αｊ，ｉ（ｊ＝１，．．．，Ｌ＋２；ｉ＝１，．．．，Ｌ）と乱数σｊ（ｊ＝１，．．．，Ｌ＋２）とを処理装置により生成する。
（２）ランダム化ベクトル生成部４３０は、ｊ＝１，．．．，Ｌ＋２の各ｊについて、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）の係数を乱数αｊ，ｉ（ｉ＝１，．．．，Ｌ＋１）倍してベクトルｒｖｊを処理装置により生成する。上述したように、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）における基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれている。そのため、ベクトルｒｖｊにおける基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、乱数倍された述語ベクトルの各要素が埋め込まれる。
（３）ランダム化ベクトル生成部４３０は、ｊ＝１，．．．，Ｌ＋２の各ｊについて、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）の係数に述語ベクトルの各要素を設定したベクトルを加算し、乱数σｊ倍してベクトルｖｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）に対する係数には、述語ベクトルの各要素が埋め込まれる。
（４）ランダム化ベクトル生成部４３０は、ｊ＝１，．．．，Ｌ＋２の各ｊについて、生成したベクトルｒｖｊとベクトルｖｖｊとを加算して、ランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊを処理装置により生成する。
【００７６】
（Ｓ６０４：鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ生成ステップ）
鍵生成用ベクトル生成部４４０は、マスター公開鍵ｐｋと鍵情報ｋ→＊Ｌと数１７６に示す述語ベクトルｖ→Ｌ＋１とに基づき、数１７９を計算して、鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）を処理装置により生成する。鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）は、下位の秘密鍵（下位の鍵ベクトル）を生成するためのベクトルである。なお、鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊは、第Ｌ＋１層目の秘密鍵のｊ番目の要素である。
【数１７９】
つまり、（１）鍵生成用ベクトル生成部４４０は、乱数αｊ，ｉ（ｊ＝μＬ＋１＋１，．．．，ｎ；ｉ＝１，．．．，Ｌ＋１）と、乱数σｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）と、乱数ψ’とを処理装置により生成する。
（２）鍵生成用ベクトル生成部４４０は、ｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）の係数を乱数αｊ，ｉ倍したベクトルｒｖｊを処理装置により生成する。上述したように、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）における基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれている。そのため、ベクトルｒｖｊにおける基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、乱数倍された述語ベクトルの各要素が埋め込まれる。
（３）鍵生成用ベクトル生成部４４０は、ｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）の係数に述語ベクトルの各要素を設定したベクトルを加算し、乱数σｊ倍してベクトルｖｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）に対する係数には、述語ベクトルの各要素が埋め込まれる。
（４）鍵生成用ベクトル生成部４４０は、ｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊの係数を乱数ψ’倍して、ベクトルψｖｊを処理装置により生成する。なお、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊにおける基底ベクトルｂ＊ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）に対する係数には、述語ベクトルの要素が埋め込まれている。そのため、ベクトルψｖｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）における基底ベクトルｂ＊ｊに対する係数には、乱数倍された述語ベクトルの要素が埋め込まれる。
（５）鍵生成用ベクトル生成部４４０は、ｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、生成したベクトルｒｖｊと、ベクトルｖｖｊと、ベクトルψｖｊとを加算して、鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）を処理装置により生成する。
【００７７】
すなわち、（Ｓ６０２）から（Ｓ６０４）において、鍵ベクトル生成部４２０とランダム化ベクトル生成部４３０と鍵生成用ベクトル生成部４４０とは、数１８０に示すＤｅｌｅｇａｔｅＬアルゴリズムを実行して、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃと、ランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）と、鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）とを含む第Ｌ＋１層目の秘密鍵（鍵情報ｋ→＊Ｌ＋１）を処理装置により生成する。
【数１８０】
【００７８】
（Ｓ６０５：鍵配布ステップ）
鍵配布部４４０は、鍵ベクトル生成部４２０とランダム化ベクトル生成部４３０と鍵生成用ベクトル生成部４４０とが生成した鍵情報ｋ→＊Ｌ＋１を下位の復号装置３００へ通信装置を介して送信する。ここで、鍵情報ｋ→＊Ｌ＋１は秘密裡に復号装置３００へ送信されるが、鍵情報ｋ→＊Ｌ＋１を秘密裡に復号装置３００へ送信する方法に関しては、どのような方法であっても構わない。例えば、従来の暗号処理を使用して送信してもよい。
【００７９】
以上のように、暗号処理システム１０が実現する暗号処理は、非特許文献１８で提案されている暗号処理よりも安全性が高く、標準のモデル（Ｓｔａｎｄａｒｄ Ｍｏｄｅｌ）における安全性を証明することができる。
この理由は、主に以下の（１）（２）の２点である。
（１）暗号化装置２００が送信情報を設定する基底ベクトルｄｎ＋１が２次元（基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２）である。これにより、基底ベクトルｄｎ＋１に対応する鍵ベクトルｋ＊Ｌ，ｄｅｃにおける基底ベクトルｂ＊ｎ＋１と基底ベクトルｂ＊ｎ＋２とに対する係数をランダムに選択することが可能となる。また、基底ベクトルｄｎ＋１が公開されるだけであり、基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２とは秘密にされている。
（２）鍵委譲装置４００が下位の鍵を生成する場合に、ランダム化ベクトルを用いて生成する。これにより、下位の鍵の所定の基底ベクトルに対する係数をランダム化することができ、下位の鍵を生成することによって、鍵の安全性が劣化しない。
ここで、ランダム化ベクトルを用いない場合、鍵情報ｋ→＊Ｌから生成される２つの下位の鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ｂ）とは、数１８１のようになる。
【数１８１】
つまり、ランダム化ベクトルを用いない場合、鍵ベクトルｋ＊Ｌ，ｄｅｃに含まれる述語情報が設定された基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）の係数は、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ｂ）との間で共通になってしまう。
しかし、ランダム化ベクトルを用いる場合、鍵情報ｋ→＊Ｌから生成される２つの下位の鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ｂ）とは、数１８２のようになる。
【数１８２】
つまり、ランダム化ベクトルを用いる場合、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ａ）には、乱数αＡ，ｉで係数の値を一様に分布したランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉが加えられ、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ｂ）には、乱数αＢ，ｉで係数の値を一様に分布したランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉが加えられる。ここで、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉには、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）が含まれている。したがって、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ｂ）とにおける基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）の係数の値は一様に分布している。つまり、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ｂ）とにおいて、述語情報が設定された基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）の係数は異なる。
【００８０】
なお、以上の説明では、暗号化装置２００が送信情報を設定する基底ベクトルｄｎ＋１を２次元とした。しかし、基底ベクトルｄｎ＋１は３次元以上のｍ次元（基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍ）であってもよい。
この場合には、（Ｓ３０１）において、マスター鍵生成部１１０は、Ｎ＝ｎ＋ｍ＋１とする。また、鍵ベクトルｋ＊Ｌ，ｄｅｃ生成ステップ（Ｓ３０２）において、鍵ベクトル生成部１３０は、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数の和が１になるように、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数を設定する。また、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ生成ステップ（Ｓ３０３）において、ランダム化ベクトル生成部１４０は、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数の和が０になるように、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数を設定する。同様に、鍵生成ベクトルｋ＊Ｌ，ｄｅｌ，ｊ生成ステップ（Ｓ３０４）において、鍵生成用ベクトル生成部１５０は、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数の和が０になるように、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数を設定する。また、暗号ベクトルｃ１生成ステップ（Ｓ４０２）において、暗号ベクトル生成部２２０は、基底ベクトルｂｎ＋ｍ＋１に対する係数として乱数を設定してベクトルｒｖを生成する。
【００８１】
また、上記説明では、Ｎ（＝ｎ＋３）次元ベクトル空間で暗号処理を実現したが、権限委譲のない暗号処理であれば、ｎは１以上の整数である。したがって、Ｎは４以上の整数である。また、権限委譲を有する暗号処理であれば、ｎは２以上の整数である。したがって、Ｎは５以上の整数である。なお、上述したように、（Ｓ４０２）において、暗号化装置２００が基底ベクトルｂｎ＋３を用いて、ベクトルｒｖを生成することは必須ではない。ベクトルｒｖを生成しないのであれば、Ｎ（＝ｎ＋２）次元ベクトル空間で暗号処理を実現できる。したがって、権限委譲のない暗号処理であれば、Ｎは３以上の整数であり、権限委譲を有する暗号処理であれば、Ｎは４以上の整数である。
【００８２】
また、上述した暗号処理では、双対ペアリングベクトル空間であることの条件に含まれていたディストーション写像を利用していない。ディストーション写像については、暗号処理を実現するアルゴリズムでは使用せず、暗号処理の安全性を証明するために使用する。したがって、上述した暗号処理は、ディストーション写像がない空間であっても成立するということができる。すなわち、上述した暗号処理を実現する空間にディストーション写像があることは、必須ではない。以下に説明する暗号処理についても同様である。
【００８３】
また、上記説明では、階層的述語暗号について説明した。次に、階層的述語鍵秘匿方式について説明する。階層的述語鍵秘匿方式について、上述した階層的述語暗号と異なる部分のみを説明する。
図１７は、階層的述語鍵秘匿方式を実現する暗号処理システム１０の機能を示す機能ブロック図である。
ここで、鍵生成装置１００の処理と鍵委譲装置４００の処理とは、上述した階層的述語暗号の場合と同様である。そこで、ここでは、暗号化装置２００の処理と復号装置３００の処理とのみを説明する。
図１８は、暗号化装置２００の動作を示すフローチャートである。図１９は、復号装置３００の動作を示すフローチャートである。
【００８４】
暗号化装置２００の機能と動作とについて説明する。
図１７に示す暗号化装置２００は、図１１に示す暗号化装置２００が備える機能に加え、セッション鍵生成部２６０を備える。なお、図１７に示す暗号化装置２００は、図１１に示す暗号化装置２００が備える暗号情報生成部２３０は備えていない。
（Ｓ７０１）と（Ｓ７０２）とは、（Ｓ４０１）と（Ｓ４０２）と同様である。
（Ｓ７０３：データ送信ステップ）では、（Ｓ７０２）で暗号ベクトル生成部２２０が生成した暗号ベクトルｃ１を復号装置３００へ通信装置を介して送信する。つまり、階層的述語鍵秘匿方式では、平文情報ｍを埋め込んだ暗号情報ｃ２は生成されず、復号装置３００へ送信されない。
（Ｓ７０４：セッション鍵生成ステップ）では、セッション鍵生成部２６０が数１８３を処理装置により計算してセッション鍵Ｋを生成する。
【数１８３】
【００８５】
すなわち、暗号化装置２００は、数１８４に示すＥｎｃアルゴリズムを実行して、暗号ベクトルｃ１とセッション鍵Ｋとを生成する。
【数１８４】
【００８６】
復号装置３００の機能と動作とについて説明する。
図１７に示す復号装置３００は、図１１に示す復号装置３００と同様の機能構成である。
（Ｓ８０１：ベクトル入力ステップ）
ベクトル入力部３１０は、暗号化装置２００のデータ送信部２４０が送信した暗号ベクトルｃ１を通信装置を介して受信して入力する。
【００８７】
（Ｓ８０２：復号ステップ）
ペアリング演算部３３０は、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃとに基づき、数１８５を処理装置により計算してセッション鍵Ｋを生成する。
【数１８５】
つまり、ペアリング演算部３３０は、ベクトル入力部３１０が入力した暗号ベクトルｃ１と、鍵ベクトル記憶部３２０が記憶装置に記憶した鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、ペアリング演算ｅを処理装置により行う。これにより、ペアリング演算部３３０は、暗号化装置２００が埋め込んだζに関する値であるｇζＴ（＝Ｋ）を計算する。
【００８８】
すなわち、復号装置３００は、数１８６に示すＤｅｃアルゴリズムを実行して、セッション鍵Ｋ’（＝Ｋ）を生成する。
【数１８６】
【００８９】
以上のように、階層的述語鍵秘匿方式によれば、暗号化装置２００から復号装置３００へ、セッション鍵Ｋを秘密裡に送信することができる。つまり、暗号化装置２００と復号装置３００との間でセッション鍵を共有することができる。
【００９０】
実施の形態３．
実施の形態３では、実施の形態２で説明した階層的述語暗号と階層的述語鍵秘匿方式とよりも一般化された権限委譲を有する述語暗号について説明する。
【００９１】
上述したように、実施の形態２で説明した階層的述語暗号と階層的述語鍵秘匿方式とでは、図１６に示すように基底ベクトルを使用した。つまり、ｎ＋３個の基底ベクトルのうち、ｎ個の基底ベクトルを属性ベクトルや述語ベクトルのための基底ベクトルとして、階層構造を表すために使用した。特に、初めのμ１個の基底ベクトルを第１層目の属性ベクトルや述語ベクトルのための基底ベクトルとし、μ２−μ１個の基底ベクトルを第２層目の属性ベクトルや述語ベクトルのための基底ベクトルとし、以下同様に、μＬ−μＬ−１個の基底ベクトルを第Ｌ層目の属性ベクトルや述語ベクトルのための基底ベクトルとした。
そして、第Ｌ層目の鍵ベクトルｋ＊Ｌ，ｄｅｃを数１６４に示すように計算した。つまり、第Ｌ層目の鍵ベクトルｋ＊Ｌ，ｄｅｃは、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，Ｌ）に対する係数として述語ベクトルの各要素を割り当てられ、基底ベクトルｂ＊ｉ（ｉ＝Ｌ＋１，．．．，ｎ）に対する係数として０を割り当てられた。
また、第Ｌ層目の暗号ベクトルｃ１を数１７０に示すように計算した。つまり、第Ｌ層目の暗号ベクトルｃ１は、基底ベクトルｂｉ（ｉ＝１，．．．，Ｌ）に対する係数として属性ベクトルの各要素を割り当てられ、基底ベクトルｂｉ（ｉ＝Ｌ＋１，．．．，ｎ）に対する係数として乱数を割り当てられた。
これにより、階層的に権限委譲することが実現された。
【００９２】
実施の形態３で説明する述語暗号（述語鍵秘匿方式）では、実施の形態２の場合と同様に、ｎ＋３個の基底ベクトルのうち、ｎ個の基底ベクトルを属性ベクトルや述語ベクトルのための基底ベクトルとして使用する。しかし、どの鍵であっても（上位の鍵であっても、下位の鍵であっても）、ｎ個の基底ベクトル全てを述語ベクトルのための基底ベクトルとする。つまり、ｎ個の基底ベクトル全てを常に属性ベクトルや述語ベクトルのための基底ベクトルとする。
そして、鍵ベクトルｋ＊Ｌ，ｄｅｃは、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）に対する係数として述語ベクトルの各要素を割り当てられる。また、第Ｌ層目の暗号ベクトルｃ１は、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）に対する係数として属性ベクトルの各要素を割り当てられる。
つまり、ｎ個の基底ベクトルについて階層構造という概念はない。また、秘密鍵が階層的に権限委譲される概念はない。そのため、実施の形態２で説明した暗号方式に比べ、より自由度の高い権限委譲が可能となる。
【００９３】
まず、権限委譲を有する述語暗号を実現する場合について説明する。
図２０は、権限委譲を有する述語暗号を実現する暗号処理システム１０の機能を示す機能ブロック図である。なお、図２０に示す暗号処理システム１０が備える機能は、図１１に示す暗号処理システム１０が備える機能と同様である。
権限委譲を有する述語暗号を実現する場合における実施の形態３に係る暗号処理システム１０の動作の流れは、実施の形態２に係る暗号処理システム１０の動作の流れと同様である。そこで、図２０と、図１２から図１６とに基づき、実施の形態３に係る暗号処理システム１０の機能と動作とについて説明する。
【００９４】
鍵生成装置１００の機能と動作とについて説明する。
（Ｓ３０１：マスター鍵生成ステップ）
実施の形態２における（Ｓ３０１）と同様に、マスター鍵生成部１１０は、数１８７を計算して、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとを処理装置により生成してマスター鍵記憶部１２０に記憶する。
【数１８７】
【００９５】
（Ｓ３０２：鍵ベクトルｋ＊Ｌ，ｄｅｃ生成ステップ）
鍵ベクトル生成部１３０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１８８に示す述語ベクトル（ｖ→１，．．．，ｖ→Ｌ）とに基づき、数１８９を計算して、第Ｌ層目（レベルＬ）の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃを処理装置により生成する。
【数１８８】
【数１８９】
【００９６】
（Ｓ３０３：ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ生成ステップ）
ランダム化ベクトル生成部１４０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１８８に示す述語ベクトル（ｖ→１，．．．，ｖ→Ｌ）とに基づき、数１９０を計算して、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）を生成する。
【数１９０】
【００９７】
（Ｓ３０４：鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ生成ステップ）
鍵生成用ベクトル生成部１５０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１８８に示す述語ベクトル（ｖ→１，．．．，ｖ→Ｌ）とに基づき、数１９１を計算して、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）を処理装置により生成する。
【数１９１】
【００９８】
すなわち、（Ｓ３０２）から（Ｓ３０４）において、鍵ベクトル生成部１３０とランダム化ベクトル生成部１４０と鍵生成用ベクトル生成部１５０とは、数１９２に示すＧｅｎＫｅｙアルゴリズムを処理装置により実行する。これにより、鍵ベクトルｋ＊Ｌ，ｄｅｃと、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）と、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）とを含む第Ｌ層目の秘密鍵（鍵情報ｋ→＊Ｌ）が生成される。
【数１９２】
【００９９】
（Ｓ３０５：鍵配布ステップ）
実施の形態２における（Ｓ３０５）と同様に、鍵配布部１６０は、マスター鍵生成部１１０が生成したマスター公開鍵と、鍵ベクトル生成部１３０とランダム化ベクトル生成部１４０と鍵生成用ベクトル生成部１５０とが生成した鍵情報ｋ→＊Ｌとを復号装置３００へ通信装置を介して送信する。また、鍵配布部１６０は、マスター公開鍵を暗号化装置２００へ通信装置を介して送信する。
【０１００】
暗号化装置２００の機能と動作とについて説明する。
（Ｓ４０１：送信情報設定ステップ）
実施の形態２における（Ｓ４０１）と同様に、送信情報設定部２１０は、マスター公開鍵ｐｋに基づき、数１９３を処理装置により計算して送信情報ベクトルζｖを生成する。
【数１９３】
【０１０１】
（Ｓ４０２：暗号ベクトルｃ１生成ステップ）
暗号ベクトル生成部２２０は、マスター公開鍵ｐｋと、数１９４に示す属性ベクトル（ｘ→１，．．．，ｘ→Ｌ）とに基づき、数１９５を処理装置により計算して暗号ベクトルｃ１を生成する。
【数１９４】
【数１９５】
【０１０２】
（Ｓ４０３：暗号情報ｃ２生成ステップ）
実施の形態２における（Ｓ４０３）と同様に、暗号情報生成部２３０は、平文情報ｍに基づき、数１９６を処理装置により計算して暗号情報ｃ２を生成する。
【数１９６】
【０１０３】
（Ｓ４０４：データ送信ステップ）
実施の形態２における（Ｓ４０４）と同様に、データ送信部２４０は、暗号ベクトル生成部２２０が生成した暗号ベクトルｃ１と、暗号情報生成部２３０が生成した暗号情報ｃ２とを復号装置３００へ通信装置を介して送信する。
【０１０４】
すなわち、暗号化装置２００は、数１９７に示すＥｎｃアルゴリズムを実行して、暗号ベクトルｃ１と暗号情報ｃ２とを生成する。
【数１９７】
【０１０５】
復号装置３００の機能と動作とについて説明する。
（Ｓ５０１：ベクトル入力ステップ）
実施の形態２における（Ｓ５０１）と同様に、ベクトル入力部３１０は、暗号化装置２００のデータ送信部２４０が送信した暗号ベクトルｃ１と暗号情報ｃ２とを通信装置を介して受信して入力する。
【０１０６】
（Ｓ５０２：復号ステップ）
実施の形態２における（Ｓ５０２）と同様に、ペアリング演算部３３０は、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃとに基づき、数１９８を処理装置により計算して平文情報ｍ’を生成する。
【数１９８】
ここで、暗号化装置２００が暗号化に用いた属性ベクトルｘ→ｉ（ｉ＝１，．．．，ｈ）と、復号装置３００が復号に用いた鍵ベクトルの述語ベクトルｖ→ｊ（ｊ＝１，．．．，Ｌ）とについて、全てのｉ（ｉ＝１，．．．，ｈ）、ｊ（ｊ＝１，．．．，Ｌ）についてｘ→ｉ・ｖ→ｊ＝０であるなら、ペアリング演算部３３０は、平文情報ｍを生成することができる。なお、平文情報ｍ∈ＧＴであるとする。
【０１０７】
つまり、復号装置３００は、数１９９に示すＤｅｃアルゴリズムを実行して、平文情報ｍ’を生成する。
【数１９９】
【０１０８】
鍵委譲装置４００の機能と動作とについて説明する。
（Ｓ６０１：鍵情報ｋ→＊Ｌ取得ステップ）
実施の形態２における（Ｓ６０１）と同様に、鍵ベクトル取得部４１０は、第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃと、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）と、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）とを含む第Ｌ層目の秘密鍵（鍵情報ｋ→＊Ｌ）を通信装置を介して取得する。
【０１０９】
（Ｓ６０２：鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ生成ステップ）
鍵ベクトル生成部４２０は、マスター公開鍵ｐｋと鍵情報ｋ→＊Ｌと数２００に示す述語ベクトルｖ→Ｌ＋１とに基づき、数２０１を計算して、第Ｌ＋１層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを処理装置により生成する。
【数２００】
【数２０１】
【０１１０】
（Ｓ６０３：ランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊ生成ステップ）
ランダム化ベクトル生成部４３０は、マスター公開鍵ｐｋと鍵情報ｋ→＊Ｌと数２００に示す述語ベクトルｖ→Ｌ＋１とに基づき、数２０２を計算して、ランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）を生成する。
【数２０２】
【０１１１】
（Ｓ６０４：鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ生成ステップ）
鍵生成用ベクトル生成部４４０は、マスター公開鍵ｐｋと鍵情報ｋ→＊Ｌと数２００に示す述語ベクトルｖ→Ｌ＋１とに基づき、数２０３を計算して、鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）を処理装置により生成する。
【数２０３】
【０１１２】
すなわち、（Ｓ６０２）から（Ｓ６０４）において、鍵ベクトル生成部４２０とランダム化ベクトル生成部４３０と鍵生成用ベクトル生成部４４０とは、数２０４に示すＤｅｌｅｇａｔｅＬアルゴリズムを実行して、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃと、ランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）と、鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）とを含む第Ｌ＋１層目の秘密鍵（鍵情報ｋ→＊Ｌ＋１）を処理装置により生成する。
【数２０４】
【０１１３】
（Ｓ６０５：鍵配布ステップ）
実施の形態２における（Ｓ６０５）と同様に、鍵配布部４５０は、鍵ベクトル生成部４２０とランダム化ベクトル生成部４３０と鍵生成用ベクトル生成部４４０とが生成した鍵情報ｋ→＊Ｌ＋１を下位の復号装置３００へ通信装置を介して送信する。
【０１１４】
上述したように、暗号化装置２００が暗号化に用いた属性ベクトルｘ→ｊ（ｉ＝１，．．．，ｈ）と、復号装置３００が復号に用いた鍵ベクトルｋ＊Ｌ，ｄｅｃの述語ベクトルｖ→ｉ（ｊ＝１，．．．，Ｌ）とについて、全てのｉ（ｉ＝１，．．．，ｈ）、ｊ（ｊ＝１，．．．，Ｌ）についてｘ→ｉ・ｖ→ｊ＝０であるなら、復号装置３００は復号することができる。つまり、述語ベクトル（ｖ→１）に基づき生成された鍵ベクトルｋ＊１，ｄｅｃで復号する場合、ｘ→・ｖ→１＝０であるなら、復号装置３００は復号することができる。また、述語ベクトル（ｖ→１，ｖ→２）に基づき生成された鍵ベクトルｋ＊２，ｄｅｃで復号する場合、ｘ→・ｖ→１＝０かつｘ→・ｖ→２＝０であるなら、復号装置３００は復号することができる。つまり、実施の形態２で説明したアルゴリズムと同様に、下位の鍵ベクトルｋ＊２，ｄｅｃは、上位の鍵ベクトルｋ＊１，ｄｅｃよりも機能が制限されている。
【０１１５】
なお、実施の形態２と同様に、以上の説明では、暗号化装置２００が送信情報を設定する基底ベクトルｄｎ＋１を２次元とした。しかし、基底ベクトルｄｎ＋１は３次元以上のｍ次元（基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍ）であってもよい。
【０１１６】
また、実施の形態２と同様に、暗号化装置２００が実行するＥｎｃアルゴリズムと、復号装置３００が実行するＤｅｃアルゴリズムとを、それぞれ数２０５と数２０６とのように変更することで、階層的述語鍵秘匿方式を実現することも可能である。
【数２０５】
【数２０６】
【０１１７】
実施の形態４．
以上の実施の形態では、双対ベクトル空間において暗号処理を実現する方法について説明した。この実施の形態では、双対加群において暗号処理を実現する方法について説明する。
【０１１８】
つまり、以上の実施の形態では、素数位数ｑの巡回群において暗号処理を実現した。しかし、合成数Ｍを用いて数２０７のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した暗号処理を適用することができる。
【数２０７】
【０１１９】
例えば、実施の形態２で説明した階層的述語暗号を、環Ｒを係数とする加群において実現すると数２０８から数２１２のようになる。
【数２０８】
【数２０９】
【数２１０】
【数２１１】
【数２１２】
【０１２０】
ここでは、実施の形態２で説明した階層的述語暗号についてのみ、環Ｒを係数とする加群において実現する方法を示した。しかし、原則として、以上の実施の形態で体Ｆｑとして説明した処理を、環Ｒに置き換えることにより、以上の実施の形態で説明した他の暗号処理についても、環Ｒを係数とする加群において実現できる。
【０１２１】
次に、実施の形態における暗号処理システム１０（鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００）のハードウェア構成について説明する。
図２１は、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００のハードウェア構成の一例を示す図である。
図２１に示すように、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０（固定ディスク装置）の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。磁気ディスク装置９２０は、所定の固定ディスクインタフェースを介して接続される。
【０１２２】
ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４と磁気ディスク装置９２０とは、記憶装置（メモリ）の一例である。また、キーボード９０２、通信ボード９１５は、入力装置の一例である。また、通信ボード９１５は、通信装置（ネットワークインタフェース）の一例である。さらに、ＬＣＤ９０１は、表示装置の一例である。
【０１２３】
磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。
【０１２４】
プログラム群９２３には、上記の説明において「マスター鍵生成部１１０」、「マスター鍵記憶部１２０」、「鍵ベクトル生成部１３０」、「ランダム化ベクトル生成部１４０」、「鍵生成用ベクトル生成部１５０」、「鍵配布部１６０」、「送信情報設定部２１０」、「暗号ベクトル生成部２２０」、「暗号情報生成部２３０」、「データ送信部２４０」、「公開鍵取得部２５０」、「セッション鍵生成部２６０」、「ベクトル入力部３１０」、「鍵ベクトル記憶部３２０」、「ペアリング演算部３３０」、「鍵ベクトル取得部４１０」、「鍵ベクトル生成部４２０」、「ランダム化ベクトル生成部４３０」、「鍵生成用ベクトル生成部４４０」、「鍵配布部４５０」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、上記の説明において「マスター公開鍵ｐｋ」、「マスター秘密鍵ｓｋ」、「暗号ベクトルｃ」、「鍵ベクトル」等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
【０１２５】
また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
また、上記の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜装置」として説明するものは、「〜回路」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。さらに、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「〜部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「〜部」の手順や方法をコンピュータ等に実行させるものである。
【符号の説明】
【０１２６】
１０ 暗号処理システム、１００ 鍵生成装置、１１０ マスター鍵生成部、１２０ マスター鍵記憶部、１３０ 鍵ベクトル生成部、１４０ ランダム化ベクトル生成部、１５０ 鍵生成用ベクトル生成部、１６０ 鍵配布部、２００ 暗号化装置、２１０ 送信情報設定部、２２０ 暗号ベクトル生成部、２３０ 暗号情報生成部、２４０ データ送信部、２５０ 公開鍵取得部、２６０ セッション鍵生成部、３００ 復号装置、３１０ ベクトル入力部、３２０ 鍵ベクトル記憶部、３３０ ペアリング演算部、４００ 鍵委譲装置、４１０ 鍵ベクトル取得部、４２０ 鍵ベクトル生成部、４３０ ランダム化ベクトル生成部、４４０ 鍵生成用ベクトル生成部、４５０ 鍵配布部。
【技術分野】
【０００１】
この発明は、階層的述語鍵秘匿方式及び階層的述語暗号に関するものである。
【背景技術】
【０００２】
非特許文献１８には、ペアリング演算によって関連付けられた双対空間において階層的述語鍵秘匿方式及び階層的述語暗号を実現することが記載されている。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】Ｂｅｔｈｅｎｃｏｕｒｔ， Ｊ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．：Ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ．Ｉｎ： ２００７ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ， ｐｐ． ３２１−−３３４． ＩＥＥＥ Ｐｒｅｓｓ （２００７）
【非特許文献２】Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．： Ｅｆｆｉｃｉｅｎｔ ｓｅｌｅｃｔｉｖｅ−ＩＤ ｓｅｃｕｒｅ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍｏｒａｃｌｅｓ．Ｉｎ： Ｃａｃｈｉｎ， Ｃ．， Ｃａｍｅｎｉｓｃｈ， Ｊ． （ｅｄｓ．）ＥＵＲＯＣＲＹＰＴ ２００４． ＬＮＣＳ， ｖｏｌ． ３０２７， ｐｐ． ２２３−−２３８． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００４）
【非特許文献３】Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．： Ｓｅｃｕｒｅ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ．Ｉｎ： Ｆｒａｎｋｌｉｎ， Ｍ．Ｋ． （ｅｄ．） ＣＲＹＰＴＯ ２００４．ＬＮＣＳ， ｖｏｌ． ３１５２， ｐｐ． ４４３−−４５９．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００４）
【非特許文献４】Ｂｏｎｅｈ， Ｄ．， Ｂｏｙｅｎ， Ｘ．， Ｇｏｈ， Ｅ．： Ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｃｏｎｓｔａｎｔ ｓｉｚｅｃｉｐｈｅｒｔｅｘｔ．Ｉｎ： Ｃｒａｍｅｒ， Ｒ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００５． ＬＮＣＳ， ｖｏｌ． ３４９４， ｐｐ． ４４０−−４５６．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００５）
【非特許文献５】Ｂｏｎｅｈ， Ｄ．， Ｆｒａｎｋｌｉｎ， Ｍ．： Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ ｔｈｅ Ｗｅｉｌ ｐａｉｒｉｎｇ．Ｉｎ： Ｋｉｌｉａｎ， Ｊ． （ｅｄ．） ＣＲＹＰＴＯ ２００１． ＬＮＣＳ， ｖｏｌ． ２１３９， ｐｐ． ２１３−−２２９．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００１）
【非特許文献６】Ｂｏｎｅｈ， Ｄ．， Ｈａｍｂｕｒｇ， Ｍ．： Ｇｅｎｅｒａｌｉｚｅｄ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ａｎｄ ｂｒｏａｄｃａｓｔ ｅｎｃｒｙｐｔｉｏｎ ｓｃｈｅｍｅ． Ｉｎ： Ｐｉｅｐｒｚｙｋ， Ｊ． （ｅｄ．） ＡＳＩＡＣＲＹＰＴ ２００８． ＬＮＣＳ， ｖｏｌ． ５３５０， ｐｐ． ４５５−−４７０．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００８）
【非特許文献７】Ｂｏｎｅｈ， Ｄ．， Ｗａｔｅｒｓ， Ｂ．：Ｃｏｎｊｕｎｃｔｉｖｅ， ｓｕｂｓｅｔ， ａｎｄ ｒａｎｇｅ ｑｕｅｒｉｅｓ ｏｎｅｎｃｒｙｐｔｅｄ ｄａｔａ． Ｉｎ： Ｖａｄｈａｎ， Ｓ．Ｐ． （ｅｄ．） ＴＣＣ ２００７． ＬＮＣＳ， ｖｏｌ． ４３９２， ｐｐ． ５３５−−５５４．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００７）
【非特許文献８】Ｂｏｙｅｎ， Ｘ．， Ｗａｔｅｒｓ， Ｂ．： Ａｎｏｎｙｍｏｕｓ ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ （ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ）．Ｉｎ： Ｄｗｏｒｋ， Ｃ． （ｅｄ．） ＣＲＹＰＴＯ ２００６． ＬＮＣＳ， ｖｏｌ． ４１１７， ｐｐ． ２９０−−３０７．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００６）
【非特許文献９】Ｃｏｃｋｓ， Ｃ．：Ａｎ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｓｃｈｅｍｅ ｂａｓｅｄ ｏｎ ｑｕａｄｒａｔｉｃ ｒｅｓｉｄｕｅｓ．Ｉｎ： Ｈｏｎａｒｙ， Ｂ． （ｅｄ．） ＩＭＡ Ｉｎｔ． Ｃｏｎｆ． ＬＮＣＳ， ｖｏｌ． ２２６０， ｐｐ． ３６０−−３６３． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００１）
【非特許文献１０】Ｇｅｎｔｒｙ， Ｃ．：Ｐｒａｃｔｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｒａｎｄｏｍ ｏｒａｃｌｅｓ． Ｉｎ： Ｖａｕｄｅｎａｙ， Ｓ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００６． ＬＮＣＳ， ｖｏｌ． ４００４， ｐｐ． ４４５−−４６４．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００６）
【非特許文献１１】Ｇｅｎｔｒｙ， Ｃ．， Ｈａｌｅｖｉ， Ｓ．： Ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｐｏｌｙｎｏｍｉａｌｌｙ ｍａｎｙ ｌｅｖｅｌｓ． Ｉｎ： Ｒｅｉｎｇｏｌｄ， Ｏ． （ｅｄ．） ＴＣＣ ２００９．ＬＮＣＳ， ｖｏｌ． ５４４４， ｐｐ． ４３７−−４５６．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００９）
【非特許文献１２】Ｇｅｎｔｒｙ， Ｃ．， Ｓｉｌｖｅｒｂｅｒｇ， Ａ．： Ｈｉｅｒａｒｃｈｉｃａｌ ＩＤ−ｂａｓｅｄ ｃｒｙｐｔｏｇｒａｐｈｙ． Ｉｎ： Ｚｈｅｎｇ， Ｙ． （ｅｄ．） ＡＳＩＡＣＲＹＰＴ ２００２．ＬＮＣＳ， ｖｏｌ． ２５０１， ｐｐ． ５４８−−５６６．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００２）
【非特許文献１３】Ｇｏｙａｌ， Ｖ．， Ｐａｎｄｅｙ， Ｏ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｆｏｒ ｆｉｎｅ−ｇｒａｉｎｅｄ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ ｏｆ ｅｎｃｒｙｐｔｅｄ ｄａｔａ． Ｉｎ： ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ２００６， ｐｐ． ８９−−９８， ＡＣＭ （２００６）
【非特許文献１４】Ｇｒｏｔｈ， Ｊ．， Ｓａｈａｉ， Ａ．： Ｅｆｆｉｃｉｅｎｔ ｎｏｎ−ｉｎｔｅｒａｃｔｉｖｅ ｐｒｏｏｆ ｓｙｓｔｅｍｓ ｆｏｒ ｂｉｌｉｎｅａｒ ｇｒｏｕｐｓ．Ｉｎ： Ｓｍａｒｔ， Ｎ．Ｐ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００８．ＬＮＣＳ， ｖｏｌ． ４９６５，ｐｐ． ４１５−−４３２．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００８）
【非特許文献１５】Ｈｏｒｗｉｔｚ， Ｊ．， Ｌｙｎｎ， Ｂ．：Ｔｏｗａｒｄｓ ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ： Ｋｎｕｄｓｅｎ， Ｌ．Ｒ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００２．ＬＮＣＳ， ｖｏｌ． ２３３２， ｐｐ． ４６６−−４８１．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００２）
【非特許文献１６】Ｋａｔｚ， Ｊ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ ｓｕｐｐｏｒｔｉｎｇ ｄｉｓｊｕｎｃｔｉｏｎｓ，ｐｏｌｙｎｏｍｉａｌ ｅｑｕａｔｉｏｎｓ， ａｎｄ ｉｎｎｅｒ ｐｒｏｄｕｃｔｓ．Ｉｎ： Ｓｍａｒｔ， Ｎ．Ｐ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００８．ＬＮＣＳ， ｖｏｌ． ４９６５，ｐｐ． １４６−−１６２．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００８）
【非特許文献１７】Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．：Ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ａｎｄ ｓｉｇｎａｔｕｒｅｓ ｆｒｏｍｖｅｃｔｏｒ ｄｅｃｏｍｐｏｓｉｔｉｏｎ．Ｉｎ： Ｇａｌｂｒａｉｔｈ， Ｓ．Ｄ．， Ｐａｔｅｒｓｏｎ， Ｋ．Ｇ． （ｅｄｓ．） Ｐａｉｒｉｎｇ ２００８． ＬＮＣＳ， ｖｏｌ． ５２０９， ｐｐ． ５７−−７４．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００８）
【非特許文献１８】Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．：Ａ ｇｅｏｍｅｔｒｉｃ ａｐｐｒｏａｃｈ ｏｎ ｐａｉｒｉｎｇｓ ａｎｄ ｈｉｅｒａｒｃｈｉｃａｌ ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ．Ｉｎ： Ｐｏｓｔｅｒ ｓｅｓｓｉｏｎ， ＥＵＲＯＣＲＹＰＴ ２００９．（２００９）
【非特許文献１９】Ｏｓｔｒｏｖｓｋｙ， Ｒ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．：Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｎｏｎ−ｍｏｎｏｔｏｎｉｃ ａｃｃｅｓｓｓｔｒｕｃｔｕｒｅｓ．Ｉｎ：ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ２００７， ｐｐ． １９５−−２０３， ＡＣＭ，（２００７）
【非特許文献２０】Ｐｉｒｒｅｔｔｉ， Ｍ．， Ｔｒａｙｎｏｒ， Ｐ．， ＭｃＤａｎｉｅｌ， Ｐ．， Ｗａｔｅｒｓ， Ｂ．： Ｓｅｃｕｒｅ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｓｙｓｔｅｍｓ．Ｉｎ：ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ２００６， ｐｐ． ９９−−１１２， ＡＣＭ，（２００６）
【非特許文献２１】Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ｆｕｚｚｙ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ： Ｃｒａｍｅｒ， Ｒ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００５．ＬＮＣＳ， ｖｏｌ． ３４９４， ｐｐ． ４５７−−４７３．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００５）
【非特許文献２２】Ｓｈｉ， Ｅ．， Ｗａｔｅｒｓ， Ｂ．：Ｄｅｌｅｇａｔｉｎｇ ｃａｐａｂｉｌｉｔｙ ｉｎ ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ ｓｙｓｔｅｍｓ． Ｉｎ： Ａｃｅｔｏ， Ｌ．， Ｄａｍｇａｒｄ， Ｉ．， Ｇｏｌｄｂｅｒｇ， Ｌ．Ａ．， Ｈａｌｌｄｏｒｓｓｏｎ， Ｍ．Ｍ．， Ｉｎｇｏｌｆｓｄｏｔｔｉｒ， Ａ．， Ｗａｌｕｋｉｅｗｉｃｚ， Ｉ． （ｅｄｓ．）ＩＣＡＬＰ （２） ２００８．ＬＮＣＳ， ｖｏｌ． ５１２６， ｐｐ． ５６０−−５７８．Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００８）
【非特許文献２３】Ｔａｋａｓｈｉｍａ， Ｋ．：Ｅｆｆｉｃｉｅｎｔｌｙ ｃｏｍｐｕｔａｂｌｅ ｄｉｓｔｏｒｔｉｏｎ ｍａｐｓ ｆｏｒ ｓｕｐｅｒｓｉｎｇｕｌａｒｃｕｒｖｅｓ．Ｉｎ： ｖａｎ ｄｅｒ Ｐｏｏｒｔｅｎ， Ａ．Ｊ．， Ｓｔｅｉｎ， Ａ． （ｅｄｓ．）ＡＮＴＳ ＶＩＩＩ， ＬＮＣＳ， ｖｏｌ． ５０１１， ｐｐ． ８８−−１０１． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ（２００８）
【非特許文献２４】Ｗａｔｅｒｓ， Ｂ．：Ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ： ａｎ ｅｘｐｒｅｓｓｉｖｅ， ｅｆｆｉｃｉｅｎｔ， ａｎｄ ｐｒｏｖａｂｌｙ ｓｅｃｕｒｅ ｒｅａｌｉｚａｔｉｏｎ． ｅＰｒｉｎｔ， ＩＡＣＲ， ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００８／２９０
【発明の概要】
【発明が解決しようとする課題】
【０００４】
非特許文献１８で提案されている階層的述語鍵秘匿方式及び階層的述語暗号は、理想化されたモデル（Ｇｅｎｅｒｉｃ Ｍｏｄｅｌ）における安全性が証明されている。しかし、非特許文献１８で提案されている階層的述語鍵秘匿方式及び階層的述語暗号は、標準のモデル（Ｓｔａｎｄａｒｄ Ｍｏｄｅｌ）における安全性は証明されていない。
この発明は、安全性が高い述語暗号及び述語鍵秘匿方式を提供することを目的とする。特に、権限委譲を可能とした述語暗号及び述語鍵秘匿方式を提供することを目的とする。
【課題を解決するための手段】
【０００５】
この発明に係る暗号処理システムは、例えば、
数１に示すペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理システムであり、
前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として処理装置により生成する暗号化装置と、
前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして、前記暗号化装置が生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、処理装置により数１に示すペアリング演算ｅ（ｃ１，ｋ＊Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号装置と
を備えることを特徴とする。
【数１】
【発明の効果】
【０００６】
この発明に係る暗号システムによれば、安全性が高い述語暗号及び述語鍵秘匿方式を実現することができる。
【図面の簡単な説明】
【０００７】
【図１】「権限委譲（階層的な権限委譲）」という概念を説明するための図。
【図２】階層を飛ばした権限委譲を説明するための図。
【図３】属性情報と述語情報との階層構造を示す図。
【図４】階層的内積述語暗号の応用例である階層的ＩＤベース暗号の例を示す図。
【図５】基底と基底ベクトルとを説明するための図。
【図６】ベクトル空間における階層構造の実現方法の一例を説明するための図。
【図７】暗号処理システム１０の構成図。
【図８】暗号処理システム１０の鍵生成装置１００と第Ｌ層目の暗号化装置２００と復号装置３００との動作を示すフローチャート。
【図９】暗号処理システム１０の第Ｌ層目の鍵委譲装置４００と、第Ｌ＋１層目の暗号化装置２００と復号装置３００との動作を示すフローチャート。
【図１０】基底変換方法を説明するための図。
【図１１】実施の形態２に係る階層的述語暗号を実現する暗号処理システム１０の機能を示す機能ブロック図。
【図１２】実施の形態２に係る鍵生成装置１００の動作を示すフローチャート。
【図１３】実施の形態２に係る暗号化装置２００の動作を示すフローチャート。
【図１４】実施の形態２に係る復号装置３００の動作を示すフローチャート。
【図１５】実施の形態２に係る鍵委譲装置４００の動作を示すフローチャート。
【図１６】実施の形態２に係る双対ペアリングベクトル空間の基底の構造を示す概念図。
【図１７】実施の形態２に係る階層的述語鍵秘匿方式を実現する暗号処理システム１０の機能を示す機能ブロック図。
【図１８】実施の形態２に係る暗号化装置２００の動作を示すフローチャート。
【図１９】実施の形態２に係る復号装置３００の動作を示すフローチャート。
【図２０】実施の形態３に係る権限委譲が可能な述語暗号を実現する暗号処理システム１０の機能を示す機能ブロック図。
【図２１】鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００のハードウェア構成の一例を示す図。
【発明を実施するための形態】
【０００８】
以下、図に基づき、発明の実施の形態を説明する。
以下の説明において、処理装置は後述するＣＰＵ９１１等である。記憶装置は後述するＲＯＭ９１３、ＲＡＭ９１４、磁気ディスク９２０等である。通信装置は後述する通信ボード９１５等である。入力装置は後述するキーボード９０２、通信ボード９１５等である。出力装置は後述するＲＡＭ９１４、磁気ディスク９２０、通信ボード９１５、ＬＣＤ９０１等である。つまり、処理装置、記憶装置、通信装置、入力装置、出力装置はハードウェアである。
【０００９】
以下の説明における記法について説明する。
Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。
【数１０１】
Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。
【数１０２】
数１０３は、ｙがｚにより定義された集合であること、又はｙがｚを代入された集合であることを表す。
【数１０３】
ａが定数であるとき、数１０４は、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。
【数１０４】
ベクトル表記は、有限体Ｆｑにおけるベクトル表示を表す。つまり、数１０５である。
【数１０５】
数１０６は、数１０７に示す２つのベクトルｘ→とｖ→との数１０８に示す内積を表す。
【数１０６】
【数１０７】
【数１０８】
ＸＴは、行列Ｘの転置行列を表す。
【００１０】
また、以下の説明において、暗号処理とは、暗号化処理、復号処理、鍵生成処理を含むものであり、鍵秘匿処理も含むものである。
【００１１】
実施の形態１．
この実施の形態では、後の実施の形態で説明する「権限委譲を有する述語暗号（Ｐｒｅｄｉｃａｔｅ Ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ Ｄｅｌｅｇａｔｉｏｎ）」や「権限委譲を有する述語鍵秘匿方式（Ｐｒｅｄｉｃａｔｅ Ｋｅｙ Ｅｎｃａｐｓｕｌａｔｉｏｎ Ｍｅｃｈａｎｉｓｍ ｗｉｔｈ Ｄｅｌｅｇａｔｉｏｎ）」を実現する基礎となる概念と、権限委譲を有する述語暗号（述語鍵秘匿方式）の基本構成について説明する。
第１に、権限委譲を有する述語暗号（述語鍵秘匿方式）の一種である「権限委譲を有する内積述語暗号（内積述語鍵秘匿方式）」という概念を説明する。後の実施の形態で説明する権限委譲を有する述語暗号（述語鍵秘匿方式）は、権限委譲を有する内積述語暗号（内積述語鍵秘匿方式）である。権限委譲を有する内積述語暗号という概念を説明するに当たり、まず「権限委譲」という概念を説明する。また、併せて、「階層的（Ｈｉｅｒａｒｃｈｉａｌ）な権限委譲」という概念を説明する。次に、「内積述語暗号」を説明する。そして、階層的な権限委譲という概念を内積述語暗号に加えた「階層的内積述語暗号（階層的内積述語鍵秘匿方式）」を説明する。さらに、階層的内積述語暗号の理解を深めるため、階層的内積述語暗号の応用例を説明する。
第２に、ベクトル空間における階層的内積述語暗号を説明する。この実施の形態及び以下の実施の形態では、階層的述語暗号と階層的述語鍵秘匿方式とをベクトル空間において実現する。ここでは、まず、「基底」と「基底ベクトル」について説明する。次に、「ベクトル空間における内積述語暗号」について説明する。そして、「ベクトル空間における階層構造の実現方法」について説明する。さらに、理解を深めるため、階層構造の実現例を説明する。
第３に、この実施の形態及び後の実施の形態に係る「階層的述語暗号」と「階層的述語鍵秘匿方式」との基本構成を説明する。併せて、階層的述語暗号と階層的述語鍵秘匿方式とを実行する「暗号処理システム１０」の概要を説明する。
第４に、階層的述語鍵秘匿方式や階層的述語暗号を実現するための概念を説明する。ここでは、「双線形ペアリンググループ」、「ベクトル空間Ｖとベクトル空間Ｖ＊」、「標準的な双対基底Ａ，Ａ＊」、「ペアリング演算」、「基底変換」、「ディストーション写像」を説明する。
第５に、階層的述語鍵秘匿方式と階層的述語暗号とを実現するための空間である「双対ペアリングベクトル空間（Ｄｕａｌ Ｐａｉｒｉｎｇ Ｖｅｃｔｏｒ Ｓｐａｃｅｓ，ＤＰＶＳ）」という豊かな数学的構造を有する空間を説明する。
そして、第６に、以上の説明を踏まえ、後の実施の形態で詳細に説明する階層的述語暗号と階層的述語鍵秘匿方式との実現方法を簡単に説明する。
【００１２】
＜第１．階層的内積述語暗号＞
＜第１−１．権限委譲（階層的な権限委譲）という概念＞
図１は、「権限委譲（階層的な権限委譲）」という概念を説明するための図である。
権限委譲とは、上位の鍵を有する利用者が、その鍵（上位の鍵）よりも機能が制限された下位の鍵を生成することである。
図１では、Ｒｏｏｔ（鍵生成装置）は、マスター秘密鍵を用いて、第１層目（Ｌｅｖｅｌ−１）の利用者へ秘密鍵を生成する。つまり、Ｒｏｏｔは、第１層目の利用者１，２，３それぞれへ鍵１，２，３を生成する。そして、例えば、利用者１であれば、鍵１を用いて、利用者１の下位（第１層目）の利用者である利用者１１，１２，１３それぞれへ鍵１１，１２，１３を生成することができる。ここで、利用者１が有する鍵１よりも、利用者１１，１２，１３が有する鍵１１，１２，１３は機能が制限されている。機能が制限されているとは、その秘密鍵によって復号できる暗号文が限定されているということである。つまり、上位の秘密鍵で復号できる暗号文の一部の暗号文のみ下位の秘密鍵で復号できることを意味する。すなわち、利用者１が有する鍵１で復号できる暗号文のうち、一部の暗号文のみ利用者１１，１２，１３が有する鍵１１，１２，１３で復号することができる。また、通常は、鍵１１と鍵１２と鍵１３とが復号できる暗号文は異なる。一方、鍵１１と鍵１２と鍵１３が復号できる暗号文は、鍵１で復号することができる。
また、図１に示すように、各秘密鍵が階層（レベル）分けされていることを「階層的」という。つまり、図１に示すように、階層的に下位の鍵を生成することを「階層的な権限委譲」と呼ぶ。
【００１３】
なお、図１では、Ｒｏｏｔが第１層目の利用者へ秘密鍵を生成し、第１層目の利用者が第２層目の利用者へ秘密鍵を生成し、第２層目の利用者が第３層目の利用者へ秘密鍵を生成すると説明した。しかし、図２に示すように、Ｒｏｏｔは、第１層目の利用者へ秘密鍵を生成するだけでなく、第２層目以下の層の利用者へ秘密鍵を生成することもできる。同様に、第１層目の利用者は、第２層目の利用者へ秘密鍵を生成するだけでなく、第３層目以下の層の利用者へ秘密鍵を生成することもできる。つまり、Ｒｏｏｔや利用者は、自分が持つ秘密鍵よりも下位の層の秘密鍵を生成することができる。
【００１４】
＜第１−２．内積述語暗号＞
次に、「内積述語暗号」について説明する。
まず、述語暗号とは、述語情報ｆｖに属性情報ｘを入力した場合に１（Ｔｒｕｅ）となる場合（ｆｖ（ｘ）＝１となる場合）に、暗号文を復号できる暗号方式である。通常、暗号文に属性情報ｘが埋め込まれ、秘密鍵に述語情報ｆｖが埋め込まれる。つまり、述語暗号では、属性情報ｘに基づき暗号化された暗号文ｃを、述語情報ｆｖに基づき生成された秘密鍵ＳＫｆにより復号する。述語暗号は、例えば、述語情報ｆｖが条件式であり、属性情報ｘがその条件式への入力情報であり、入力情報（属性情報ｘ）が条件式（述語情報ｆｖ）を満たせば（ｆｖ（ｘ）＝１）、暗号文を復号できる暗号方式であるとも言える。
なお、述語暗号について詳しくは非特許文献１６に記載されている。
【００１５】
内積述語暗号とは、属性情報ｘと述語情報ｆｖとの内積が所定の値の場合に、ｆｖ（ｘ）＝１となる述語暗号である。つまり、属性情報ｘと述語情報ｆｖとの内積が所定の値の場合にのみ、属性情報ｘにより暗号化された暗号文ｃを、述語情報ｆｖに基づき生成された秘密鍵ＳＫｆにより復号することができる。以下の説明では、属性情報ｘと述語情報ｆｖとの内積が０の場合に、ｆｖ（ｘ）＝１となるものとする。
【００１６】
＜第１−３．階層的内積述語暗号＞
階層的内積述語暗号（階層的内積述語鍵秘匿方式）とは、上述した「階層的な権限委譲」という概念を有する「内積述語暗号」である。
【００１７】
階層的内積述語暗号は、内積述語暗号に階層的な権限委譲システムを持たせるため、属性情報と述語情報とに階層構造を持たせる。
図３は、属性情報と述語情報との階層構造を示す図である。
図３において、符号が対応する属性情報と述語情報とは対応する（つまり、内積が０となる）ものとする。つまり、属性１と述語１との内積は０となり、属性１１と述語１１との内積は０となり、属性１２と述語１２との内積は０となり、属性１３と述語１３との内積は０となるとする。すなわち、属性１により暗号化された暗号文ｃ１は、述語１に基づき生成された秘密鍵ｋ１であれば復号できる。また、属性１１により暗号化された暗号文ｃ１１は、述語１１に基づき生成された秘密鍵ｋ１１であれば復号できる。属性１２と述語１２、属性１３と述語１３についても同様のことが言える。
上記の通り、階層的内積述語暗号は階層的な権限委譲システムを有する。そのため、述語１に基づき生成された秘密鍵ｋ１と、述語１１とに基づき、秘密鍵ｋ１１を生成することができる。つまり、上位の秘密鍵ｋ１を有する利用者は、その秘密鍵ｋ１と下位の述語１１とから、秘密鍵ｋ１の下位の秘密鍵ｋ１１を生成することができる。同様に、秘密鍵ｋ１と述語１２とから秘密鍵ｋ１２を生成でき、秘密鍵ｋ１と述語１３とから秘密鍵ｋ１３を生成できる。
また、下位の秘密鍵に対応する鍵（公開鍵）で暗号化された暗号文を上位の秘密鍵で復号できる。一方、上位の秘密鍵に対応する鍵（公開鍵）で暗号化された暗号文は、下位の秘密鍵で復号できない。つまり、属性１１、属性１２、属性１３により暗号化された暗号文ｃ１１、ｃ１２、ｃ１３は、述語１に基づき生成された秘密鍵ｋ１であれば復号できる。一方、属性１により暗号化された暗号文ｃ１は、述語１１、述語１２、述語１３に基づき生成された秘密鍵ｋ１１、ｋ１２、ｋ１３では復号できない。すなわち、属性１１、属性１２、属性１３と述語１との内積は０となる。一方、属性１と述語１１、述語１２、述語１３との内積は０とならない。
【００１８】
＜第１−４．階層的内積述語暗号の応用例＞
図４は、後述する階層的内積述語暗号の応用例である階層的ＩＤベース暗号（Ｈｉｅｒａｒｃｈｉａｌ Ｉｄｅｎｔｉｆｉｅｒ Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ，ＨＩＢＥ）の例を示す図である。なお、階層的ＩＤベース暗号とは、ＩＤベース暗号が階層的になった暗号処理である。ＩＤベース暗号は、述語暗号の一種であり、暗号文に含まれるＩＤと秘密鍵に含まれるＩＤとが一致する場合に暗号文を復号できるマッチング述語暗号である。
図４に示す例では、Ｒｏｏｔ（鍵生成装置）は、マスター秘密鍵ｓｋとＡ会社のＩＤである「Ａ」とに基づき、ＩＤ「Ａ」に対応する秘密鍵（鍵Ａ）を生成する。例えば、Ａ会社のセキュリティ担当者は、鍵Ａと各部門のＩＤとに基づき、そのＩＤに対応する秘密鍵を生成する。例えば、セキュリティ担当者は、営業部門のＩＤである「Ａ−１」に対応する秘密鍵（鍵１）を生成する。次に、例えば、各部門の管理者は、その部門の秘密鍵とその部門に属する各課のＩＤとに基づき、そのＩＤに対応する秘密鍵を生成する。例えば、営業部門の管理者は、営業１課のＩＤである「Ａ−１１」に対応する秘密鍵（鍵１１）を生成する。
ここで、営業１課のＩＤ「Ａ−１１」に対応する秘密鍵である鍵１１により、営業１課のＩＤ「Ａ−１１」で暗号化された暗号文を復号することができる。しかし、鍵１１により、営業２課や営業３課のＩＤで暗号化された暗号文は復号することはできない。また、鍵１１により、営業部門のＩＤで暗号化された暗号文は復号することができない。
営業部門のＩＤ「Ａ−１」に対応する秘密鍵である鍵１により、営業部門のＩＤ「Ａ−１」で暗号化された暗号文を復号することができる。また、鍵１により、営業部門に属する課のＩＤで暗号化された暗号文を復号することができる。つまり、鍵１により、営業１課、営業２課、営業３課のＩＤで暗号化された暗号文を復号することができる。しかし、鍵１により、製造部門（ＩＤ：Ａ−２）やスタッフ部門（ＩＤ：Ａ−３）のＩＤで暗号化された暗号文は復号することができない。また、鍵１により、Ａ会社のＩＤで暗号化された暗号文は復号することができない。
Ａ会社のＩＤ「Ａ」に対応する秘密鍵である鍵Ａにより、Ａ会社のＩＤ「Ａ」で暗号化された暗号文を復号することができる。また、Ａ会社に属する各部門や、その部門に属する課のＩＤで暗号化された暗号文を復号することができる。
【００１９】
階層的内積述語暗号は、ＩＤベース暗号以外へも様々な応用が可能である。特に、以下に説明する暗号処理は、等号関係テストのクラスに限定されたものではないため、非常に多くの応用が可能である。例えば、内積述語暗号の一種である検索可能暗号等についても、階層毎に検索可能な範囲をＡＮＤ条件やＯＲ条件等の条件式を用いて限定する等、従来の権限委譲システムを有する述語暗号では実現できなかった応用が可能である。
つまり、後の実施の形態で説明する階層的述語鍵秘匿方式と階層的述語暗号とは、ＩＤベース暗号や検索可能暗号等へ幅広い応用が可能である。
【００２０】
＜第２．ベクトル空間における階層的内積述語暗号＞
階層的述語鍵秘匿方式と階層的述語暗号とは、後述する双対ペアリングベクトル空間という高次元ベクトル空間において実現される。そこで、ベクトル空間における階層的内積述語暗号を説明する。
【００２１】
＜第２−１．基底と基底ベクトル＞
まず、ベクトル空間の説明において使用する「基底」と「基底ベクトル」とについて簡単に説明する。
図５は、基底と基底ベクトルとを説明するための図である。
図５は、２次元ベクトル空間におけるベクトルｖを示す。ベクトルｖは、ｃ１ａ１＋ｃ２ａ２である。また、ベクトルｖは、ｙ１ｂ１＋ｙ２ｂ２である。ここで、ａ１，ａ２を基底Ａにおける基底ベクトルといい、基底Ａ：＝（ａ１，ａ２）と表す。また、ｂ１，ｂ２を基底Ｂにおける基底ベクトルといい、基底Ｂ：＝（ｂ１，ｂ２）と表す。また、ｃ１，ｃ２，ｙ１，ｙ２は、各基底ベクトルに対する係数である。図５では、２次元ベクトル空間であったため、各基底における基底ベクトルは２個であった。しかし、Ｎ次元ベクトル空間であれば、各基底における基底ベクトルはＮ個である。
【００２２】
＜第２−２．ベクトル空間における内積述語暗号＞
次に、ベクトル空間における内積述語暗号を説明する。
上記の通り、内積述語暗号とは、属性情報ｘと述語情報ｆｖとの内積が所定の値（ここでは、０）の場合に、ｆｖ（ｘ）＝１となる述語暗号である。属性情報ｘと述語情報ｆｖとがベクトルであった場合、つまり属性ベクトルｘ→と述語ベクトルｖ→とであった場合、内積述語は数１０９のように定義される。
【数１０９】
つまり、属性ベクトルｘ→と述語ベクトルｖ→との内積、つまり要素毎の内積の和が０である場合に、述語情報ｆｖに属性情報ｘを入力した結果が１（Ｔｒｕｅ）となる。また、属性ベクトルｘ→と述語ベクトルｖ→との内積が０でない場合に、述語情報ｆｖに属性情報ｘを入力した結果が０（Ｆａｌｓｅ）となる述語暗号である。
【００２３】
＜第２−３．ベクトル空間における階層構造の実現方法＞
次に、ベクトル空間における階層構造の実現方法を説明する。
図６は、ベクトル空間における階層構造の実現方法の一例を説明するための図である。
ここで扱うベクトル空間は、高次元（Ｎ次元）ベクトル空間であるとする。つまり、ベクトル空間における所定の基底Ｃには、基底ベクトルｃｉ（ｉ＝１，．．．，Ｎ）のＮ個の基底ベクトルが存在する。
Ｎ個の基底ベクトルのうちのｎ個の基底ベクトル（基底ベクトルｃｉ（ｉ＝1，．．．，ｎ））を階層構造を表すために使用する。また、基底ベクトルｃｉ（ｉ＝１，．．．，ｎ）を、基底ベクトルｃｉ（ｉ＝１，．．．，μ１）と、基底ベクトルｃｉ（ｉ＝μ１＋１，．．．，μ２）と、．．．、基底ベクトルｃｉ（ｉ＝μｄ−１＋１，．．．，ｎ）とのｄ個に分割する。ここで、ｄは、階層の深さを表す数となる。
そして、μ１個の基底ベクトルｃｉ（ｉ＝１，．．．，μ１）を第１層目の属性情報や述語情報を表すために割り当てる。また、μ２−μ１個の基底ベクトルｃｉ（ｉ＝μ１＋１，．．．，μ２）を第２層目の属性情報や述語情報を表すために割り当てる。以下同様に、μｄ−μｄ−１個の基底ベクトルｃｉ（ｉ＝μｄ−１＋１，．．．，μｄ（＝ｎ））を第ｄ層目の属性情報や述語情報を表すために割り当てる。
また、第Ｌ層目の属性情報によって暗号文を生成する場合には、第Ｌ層目の属性情報だけでなく、第１層目から第Ｌ層目までの属性情報を用いて暗号文を生成する。同様に、第Ｌ層目の述語情報によって秘密鍵を生成する場合には、第Ｌ層目の述語情報だけでなく、第１層目から第Ｌ層目までの述語情報を用いて秘密鍵を生成する。つまり、第Ｌ層目の属性情報によって暗号文を生成する場合や、第Ｌ層目の述語情報によって秘密鍵を生成する場合には、第１層目から第Ｌ層目までに割り当てられたμＬ個の基底ベクトルｃｉ（ｉ＝１，．．．，μＬ）を用いる。例えば、第３層目の属性情報によって暗号文を生成する場合には、第１層目から第３層目までに割り当てられたμ３個の基底ベクトルｃｉ（ｉ＝１，．．．，μ３）を用いて、第１層目から第３層目までの属性情報を用いて暗号文を生成する。同様に、第３層目の述語情報によって秘密鍵を生成する場合には、第１層目から第３層目までに割り当てられたμ３個の基底ベクトルｃｉ（ｉ＝１，．．．，μ３）を用いて、第１層目から第３層目までの述語情報を表して秘密鍵を生成する。つまり、下位の層で使用される属性情報や述語情報には、上位の層で使用される属性情報や述語情報が含まれる。これにより、属性情報と述語情報とに階層構造を持たせる。そして、この属性情報と述語情報とに階層構造を利用して、内積述語暗号に権限委譲システムを持たせる。
【００２４】
なお、以下の説明においては、ベクトル空間における階層的構造を示すために、階層情報μ→を用いる。階層情報μ→を数１１０に示す。
【数１１０】
つまり、階層情報μ→は、階層構造を表すために割り当てられた基底ベクトル数（次元数）を示すｎと、階層の深さを示すｄと、各階層に割り当てられた基底ベクトルを示すためのμ１，．．．，μｄとの情報を有する。
【００２５】
次に、ベクトル空間における階層的内積述語暗号を説明する。
属性空間ΣＬ（Ｌ＝１，．．．，ｄ）を、第Ｌ層目の属性情報を表すために割り当てられた空間であるとする。ここで、各ΣＬは、数１１１である。
【数１１１】
階層的な属性を数１１２に示すΣとする。ここで、和集合は互いに素な和集合である。
【数１１２】
すると、数１１３に示す階層的な属性における数１１４に示す階層的な述語は、数１１５のように定義される。
【数１１３】
【数１１４】
【数１１５】
階層的な述語空間を数１１６に示すＦとする。
【数１１６】
また、数１１７のｈと数１１８のＬとを階層と呼ぶ。
【数１１７】
【数１１８】
【００２６】
＜第２−４．階層構造の実現例＞
ここで、簡単な例を用いて階層構造を説明する。ここでは、３つの階層を備え、各階層が２次元で構成された６次元空間を用いて説明する。つまり、μ→：＝（ｎ，ｄ；μ１，．．．，μｄ）＝（６，３；２，４，６）である。
第１層目の述語ベクトルｖ→１：＝（ｖ１，ｖ２）に基づき生成された第１層目の秘密鍵ｓｋ１を有する利用者は、第１層目の秘密鍵ｓｋ１と第２層目の述語ベクトルｖ→２：＝（ｖ３，ｖ４）に基づき第２層目の秘密鍵ｓｋ２を生成することができる。つまり、第２層目の秘密鍵ｓｋ２は、述語ベクトル（ｖ→１，ｖ→２）に基づき生成される。同様に、第２層目の秘密鍵ｓｋ２を有する利用者は、第２層目の秘密鍵ｓｋ２と第３層目の述語ベクトルｖ→３：＝（ｖ５，ｖ６）に基づき第３層目の秘密鍵ｓｋ３を生成することができる。つまり、第３層目の秘密鍵ｓｋ３は、述語ベクトル（ｖ→１，ｖ→２，ｖ→３）に基づき生成される。
第１層目の述語ベクトルｖ→１に基づき生成された第１層目の秘密鍵ｓｋ１は、（ｖ→１，（０，０），（０，０））により生成された秘密鍵である。そのため、第１層目の秘密鍵ｓｋ１は、属性ベクトル（ｘ→１，（＊，＊），（＊，＊））：＝（（ｘ１，ｘ２），（＊，＊），（＊，＊））により暗号化された暗号文を、ｖ→１・ｘ→１＝０である場合には復号できる。なぜなら、（＊，＊）・（０，０）＝０であるためである。ここで、“＊”は、任意の値を示す。
同様に、第２層目の述語ベクトル（ｖ→１，ｖ→２）に基づき生成された第２層目の秘密鍵ｓｋ２は、（ｖ→１，ｖ→２，（０，０））により生成された秘密鍵である。そのため、第２層目の秘密鍵ｓｋ２は、属性ベクトル（ｘ→１，ｘ→２，（＊，＊））：＝（（ｘ１，ｘ２），（ｘ３，ｘ４），（＊，＊））により暗号化された暗号文を、ｖ→１・ｘ→１＝０かつｖ→２・ｘ→２＝０である場合には復号できる。
しかし、第２層目の秘密鍵ｓｋ２は、第１層目の属性ベクトルｘ→１：＝（ｘ１，ｘ２）（つまり、（ｘ→１，（＊，＊），（＊，＊））により暗号化された暗号文を復号することはできない。なぜなら、ｖ→２＝（０，０）でなければ、（＊，＊）・ｖ→２≠０であり、ｖ→２・ｘ→２≠０であるためである。そのため、第２層目の秘密鍵ｓｋ２は、親である秘密鍵鍵ｓｋ２よりも限定された能力のみを有していると言える。
【００２７】
＜第３．階層的述語暗号と階層的述語鍵秘匿方式との構成＞
＜第３−１．階層的述語暗号＞
階層的述語暗号の構成を簡単に説明する。
階層的述語暗号は、Ｓｅｔｕｐ、ＧｅｎＫｅｙ、Ｅｎｃ、Ｄｅｃ、ＤｅｌｅｇａｔｅＬ（Ｌ＝１，．．．，ｄ−１）の５つの確率的多項式時間アルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムでは、セキュリティパラメータ１λと階層情報μ→とが入力され、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとが出力される。マスター秘密鍵ｓｋは最も上位の鍵である。
（ＧｅｎＫｅｙ）
ＧｅｎＫｅｙアルゴリズムでは、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと数１１９に示す述語ベクトルが入力され、数１２０に示す第Ｌ層目の秘密鍵が出力される。
【数１１９】
【数１２０】
（Ｅｎｃ）
Ｅｎｃアルゴリズムでは、マスター公開鍵ｐｋと数１２１に示す属性ベクトルと平文情報ｍとが入力され、暗号文ｃが出力される。つまり、Ｅｎｃアルゴリズムでは、平文情報ｍを埋め込み、数１２１に示す属性ベクトルにより暗号化された暗号文ｃが出力される。
【数１２１】
（Ｄｅｃ）
Ｄｅｃアルゴリズムでは、マスター公開鍵ｐｋと数１２２に示す第Ｌ層目の秘密鍵と暗号文ｃとが入力され、平文情報ｍ又は識別情報⊥が出力される。識別情報⊥とは、復号に失敗したことを示す情報である。つまり、Ｄｅｃアルゴリズムでは、暗号文ｃを第Ｌ層目の秘密鍵で復号して、平文情報ｍを抽出する。また、復号に失敗した場合には識別情報⊥を出力する。
【数１２２】
（ＤｅｌｅｇａｔｅＬ）
ＤｅｌｅｇａｔｅＬでは、マスター公開鍵ｐｋと数１２３に示す第Ｌ層目の秘密鍵と数１２４に示す第Ｌ＋１層目の述語ベクトルとが入力され、数１２５に示す第Ｌ＋１層目の秘密鍵が出力される。つまり、ＤｅｌｅｇａｔｅＬアルゴリズムでは、下位の秘密鍵が出力される。
【数１２３】
【数１２４】
【数１２５】
【００２８】
＜第３−２．階層的述語暗号＞
階層的述語鍵秘匿方式の構成を簡単に説明する。
階層的述語鍵秘匿方式は、階層的述語暗号と同様に、Ｓｅｔｕｐ、ＧｅｎＫｅｙ、Ｅｎｃ、Ｄｅｃ、ＤｅｌｅｇａｔｅＬ（Ｌ＝１，．．．，ｄ−１）の５つの確率的多項式時間アルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムでは、セキュリティパラメータ１λと階層情報μ→とが入力され、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとが出力される。マスター秘密鍵ｓｋは最も上位の鍵である。
（ＧｅｎＫｅｙ）
ＧｅｎＫｅｙアルゴリズムでは、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと数１２６に示す述語ベクトルが入力され、数１２７に示す第Ｌ層目の秘密鍵が出力される。
【数１２６】
【数１２７】
（Ｅｎｃ）
Ｅｎｃアルゴリズムでは、マスター公開鍵ｐｋと数１２８に示す属性ベクトルとが入力され、暗号文ｃとセッション鍵Ｋとが出力される。つまり、Ｅｎｃアルゴリズムでは、所定の情報（ρ）を埋め込み、数１２８に示す属性ベクトルにより暗号化された暗号文ｃと、所定の情報（ρ）から生成したセッション鍵Ｋとが出力される。
【数１２８】
（Ｄｅｃ）
Ｄｅｃアルゴリズムでは、マスター公開鍵ｐｋと数１２９に示す第Ｌ層目の秘密鍵と暗号文ｃとが入力され、セッション鍵Ｋ又は識別情報⊥が出力される。識別情報⊥とは、復号に失敗したことを示す情報である。つまり、Ｄｅｃアルゴリズムでは、暗号文ｃを第Ｌ層目の秘密鍵で復号して、所定の情報（ρ）に関する情報を抽出し、セッション鍵Ｋを生成する。また、復号に失敗した場合には識別情報⊥を出力する。
【数１２９】
（ＤｅｌｅｇａｔｅＬ）
ＤｅｌｅｇａｔｅＬアルゴリズムでは、マスター公開鍵ｐｋと数１３０に示す第Ｌ層目の秘密鍵と数１３１に示す第Ｌ＋１層目の述語ベクトルとが入力され、数１３２に示す第Ｌ＋１層目の秘密鍵が出力される。つまり、ＤｅｌｅｇａｔｅＬアルゴリズムでは、下位の秘密鍵が出力される。
【数１３０】
【数１３１】
【数１３２】
【００２９】
＜第３−３．暗号処理システム１０＞
暗号処理システム１０について説明する。暗号処理システム１０は、上述した階層的述語暗号と階層的述語鍵秘匿方式とのアルゴリズムを実行する。
図７は、暗号処理システム１０の構成図である。
暗号処理システム１０は、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００を備える。なお、ここでは、復号装置３００は、鍵委譲装置４００を備えるものとする。また、上述したように、暗号処理システム１０は、階層的な暗号処理を実行するものであるため、暗号処理システム１０は、複数の暗号化装置２００、複数の復号装置３００、複数の鍵委譲装置４００を備えるものとする。
鍵生成装置１００は、階層的述語鍵秘匿方式と階層的述語暗号とのＳｅｔｕｐ、ＧｅｎＫｅｙアルゴリズムを実行する。
暗号化装置２００は、階層的述語鍵秘匿方式と階層的述語暗号とのＥｎｃアルゴリズムを実行する。
復号装置３００は、階層的述語鍵秘匿方式と階層的述語暗号とのＤｅｃアルゴリズムを実行する。
鍵委譲装置４００は、階層的述語鍵秘匿方式と階層的述語暗号とのＤｅｌｅｇａｔｅＬアルゴリズムを実行する。
【００３０】
図８は、暗号処理システム１０の鍵生成装置１００と第Ｌ層目の暗号化装置２００と復号装置３００との動作を示すフローチャートである。つまり、図８は、マスター鍵（マスター公開鍵とマスター秘密鍵）の生成、第Ｌ層目の秘密鍵の生成から、第Ｌ層目における暗号化と復号とまでの動作を示すフローチャートである。
（Ｓ１０１：鍵生成ステップ）
鍵生成装置１００は、Ｓｅｔｕｐアルゴリズムを実行してマスター公開鍵ｐｋとマスター秘密鍵ｓｋとを生成する。また、鍵生成装置１００は、生成したマスター公開鍵ｐｋとマスター秘密鍵ｓｋと、所定の復号装置３００（第Ｌ層目の復号装置３００）に対応する述語ベクトルｖ→Ｌ（ｖ→Ｌ＝（ｖ１，．．．，ｖｉ）（ｉ＝μＬ））とに基づき、ＧｅｎＫｅｙアルゴリズムを実行して第Ｌ層目の秘密鍵を生成する。そして、鍵生成装置１００は、生成したマスター公開鍵ｐｋを公開（配布）するとともに、第Ｌ層目の秘密鍵を前記所定の復号装置３００へ秘密裡に配布する。なお、鍵生成装置１００は、マスター秘密鍵を秘密裡に保持する。
（Ｓ１０２：暗号化ステップ）
暗号化装置２００は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと、前記復号装置３００の属性ベクトルｘ→Ｌ（ｘ→Ｌ＝（ｘ１，．．．，ｘｉ）（ｉ＝μＬ））とに基づき、Ｅｎｃアルゴリズムを実行して暗号文ｃを生成する。なお、階層的述語鍵秘匿方式であれば、暗号化装置２００は、セッション鍵Ｋも併せて生成する。そして、暗号化装置２００は、生成した暗号文ｃを前記復号装置３００へネットワーク等を介して送信する。なお、属性ベクトルｘ→Ｌは、公開されているものとしてもよいし、暗号化装置２００が鍵生成装置１００や復号装置３００から取得するものとしてもよい。
（Ｓ１０３：復号ステップ）
復号装置３００は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと第Ｌ層目の秘密鍵とに基づき、アルゴリズムＤｅｃを実行して、暗号化装置２００から受信した暗号文ｃを復号する。復号装置３００は、暗号文ｃを復号した結果、階層的述語鍵秘匿方式であればセッション鍵Ｋを取得し、階層的述語暗号であれば平文情報ｍを取得する。復号装置３００は、復号に失敗した場合には識別情報⊥を出力する。
【００３１】
図９は、暗号処理システム１０の第Ｌ層目の鍵委譲装置４００と、第Ｌ＋１層目の暗号化装置２００と復号装置３００との動作を示すフローチャートである。つまり、図９は、第Ｌ＋１層目の秘密鍵の生成から、第Ｌ＋１層目における暗号化と復号とまでの動作を示すフローチャートである。
（Ｓ２０１：鍵委譲ステップ）
第Ｌ層目の鍵委譲装置４００（第Ｌ層目の復号装置３００が備える鍵委譲装置４００）は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと、鍵生成装置１００又は第Ｌ−１層目の鍵委譲装置４００が配布した第Ｌ層目の秘密鍵と、第Ｌ＋１層目の復号装置３００に対応する述語ベクトルｖ→Ｌ＋１（ｖ→Ｌ＋１＝（ｖｉ，．．．，ｖｊ）（ｉ＝μＬ＋１，ｊ＝μＬ＋１））とに基づき、アルゴリズムＤｅｌｅｇａｔｅＬを実行して第Ｌ＋１層目の秘密鍵を生成する。そして、第Ｌ層目の鍵委譲装置４００は、生成した秘密鍵を第Ｌ＋１層目の復号装置３００へ秘密裡に配布する。
（Ｓ２０２：暗号化ステップ）
暗号化装置２００は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと、第Ｌ＋１層目までの復号装置３００の属性ベクトルｘ→１から属性ベクトルｘ→Ｌ＋１（ｘ→ｉ（ｉ＝１，．．．，Ｌ＋１）（＝（ｘ１，．．．，ｘｉ）（ｉ＝μＬ＋１）））とに基づき、Ｅｎｃアルゴリズムを実行して暗号文ｃを生成する。なお、階層的述語鍵秘匿方式であれば、暗号化装置２００は、セッション鍵Ｋも併せて生成する。そして、暗号化装置２００は、生成した暗号文ｃを前記復号装置３００へネットワーク等を介して送信する。なお、属性ベクトルｘ→１から属性ベクトルｘ→Ｌ＋１（ｘ→ｉ（ｉ＝１，．．．，Ｌ＋１））は、公開されているものとしてもよいし、暗号化装置２００が鍵生成装置１００や復号装置３００から取得するものとしてもよい。
（Ｓ２０３：復号ステップ）
復号装置３００は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと、（Ｓ２０１）で第Ｌ層目の鍵委譲装置４００が配布した秘密鍵とに基づき、アルゴリズムＤｅｃを実行して、暗号化装置２００から受信した暗号文ｃを復号する。復号装置３００は、暗号文ｃを復号した結果、階層的述語鍵秘匿方式であればセッション鍵Ｋを取得し、階層的述語暗号であれば平文情報ｍを取得する。
【００３２】
＜第４．階層的述語鍵秘匿方式と階層的述語暗号とを実現するための概念＞
次に、上述した階層的述語暗号と階層的述語鍵秘匿方式との各アルゴリズムを実現するために必要となる概念を説明する。
ここでは、非対称ペアリンググループの直積により後述する双対ペアリングベクトル空間を構成する例を用いて、暗号処理を実現する方法を説明する。しかし、双対ペアリングベクトル空間は、非対称ペアリンググループの直積により実現されるものに限定されない。つまり、他の方法により構成された双対ペアリングベクトル空間においても、以下に説明する暗号処理は実現可能である。なお、双対ペアリングベクトル空間の典型的な３つの例が、非特許文献１７に記載されている。
【００３３】
＜第４−１．双線形ペアリンググループ＞
双線形ペアリンググループ（ｑ，Ｇ１，Ｇ２，ＧＴ，ｇ１，ｇ２，ｇＴ）を説明する。
双線形ペアリンググループ（ｑ，Ｇ１，Ｇ２，ＧＴ，ｇ１，ｇ２，ｇＴ）は、位数ｑの３つの巡回群Ｇ１，Ｇ２，ＧＴの組である。ｇ１はＧ１の生成元であり、ｇ２はＧ２の生成元である。そして、双線形ペアリンググループ（ｑ，Ｇ１，Ｇ２，ＧＴ，ｇ１，ｇ２，ｇＴ）は、以下の非退化双線形ペアリングの条件を満たす。
（条件：非退化双線形ペアリング）
多項式時間で計算可能な数１３３に示す非退化双線形ペアリングが存在すること。
【数１３３】
ここで、Ｇ１＝Ｇ２（＝：Ｇ）である場合、対称双線形ペアリングと呼ぶ。一方、Ｇ１≠Ｇ２である場合、非対称双線形ペアリングと呼ぶ。対称双線形ペアリングは、超特異（超）楕円曲線を用いて構築できる。一方、非対称双線形ペアリングは、どんな（超）楕円曲線を用いても構築できる。非対称双線形ペアリングは、例えば、通常の楕円曲線を用いて構築できる。
【００３４】
＜第４−２．ベクトル空間Ｖとベクトル空間Ｖ＊＞
１次元空間の巡回群を高次元空間（高次元ベクトル空間）へ拡張する。つまり、数１３４に示すように、Ｇ１とＧ２との直積によりＮ次元ベクトル空間ＶとＮ次元ベクトル空間Ｖ＊とを構築する。
【数１３４】
【００３５】
＜第４−３．標準的な双対基底Ａ，Ａ＊＞
Ｎ次元ベクトル空間Ｖの標準基底Ａと、Ｎ次元ベクトル空間Ｖ＊の標準基底Ａ＊とを説明する。
数１３５は、標準基底Ａと標準基底Ａ＊とを示す。
【数１３５】
標準基底Ａと標準基底Ａ＊とは、数１３６に示す条件を満たす。
【数１３６】
つまり、標準基底Ａと標準基底Ａ＊とは、双対正規直交基底であり、空間Ｖと空間Ｖ＊とは、ペアリング演算ｅによって関連付けられた双対ベクトル空間である。
標準基底Ａと標準基底Ａ＊とが数１３６に示す条件を満たすことについて補足する。
まず、ｅ（ａｉ，ａ＊ｉ）＝ｇＴであることについて説明する。一例として、ｅ（ａ１，ａ＊１）について計算する。上記の通り、ａ１＝（ｇ１，０，．．．，０）であり、ａ＊１＝（ｇ２，０，．．．，０）である。したがって、ｅ（ａ１，ａ＊１）＝ｅ（ｇ１，ｇ２）×ｅ（０，０）×，．．．，×ｅ（０，０）である。ここで、上記の通り、ｅ（ｇ１，ｇ２）＝ｇＴである。また、ｅ（０，０）＝ｅ（０・ｇ１，０・ｇ２）＝ｅ（ｇ１，ｇ２）０であるから、ｅ（０，０）＝１である。したがって、ｅ（ａ１，ａ＊１）＝ｇＴとなる。他のｅ（ａｉ，ａ＊ｉ）についても同様の計算が成立し、ｅ（ａｉ，ａ＊ｉ）＝ｇＴとなる。
次に、ｅ（ａｉ，ａ＊ｊ）＝１（ｉ≠ｊ）であることについて説明する。一例として、ｅ（ａ１，ａ＊２）について計算する。上記の通り、ａ１＝（ｇ１，０，．．．，０）であり、ａ＊２＝（０，ｇ２，０，．．．，０）である。したがって、ｅ（ａ１，ａ＊２）＝ｅ（ｇ１，０）×ｅ（０，ｇ２）×ｅ（０，０）×，．．．，×ｅ（０，０）である。ｅ（ｇ１，０）＝ｅ（ｇ１，０・ｇ２）＝ｅ（ｇ１，ｇ２）０であるから、ｅ（ｇ１，０）＝１である。同様に、ｅ（０，ｇ２）＝１である。また、上記の通り、ｅ（０，０）＝１である。したがって、ｅ（ａｉ，ａ＊ｊ）＝１となる。他のｅ（ａｉ，ａ＊ｊ）についても同様の計算が成立し、ｅ（ａｉ，ａ＊ｊ）＝１となる。
したがって、標準基底Ａと標準基底Ａ＊とにおいて、ｅ（ａｉ，ａ＊ｉ）＝ｇＴであり、ｅ（ａｉ，ａ＊ｊ）＝１（ｉ≠ｊ）である。
【００３６】
＜第４−４．ペアリング演算＞
Ｎ次元ベクトル空間Ｖ，Ｖ＊におけるペアリング演算ｅを数１３７に示すように定義する。
【数１３７】
つまり、Ｎ次元ベクトル空間Ｖのベクトルｘ：＝（ｘ１ｇ１，ｘ２ｇ１，．．．，ｘＮｇ１）とＮ次元ベクトル空間Ｖ＊のベクトルｙ：＝（ｙ１ｇ２，ｙ２ｇ２，．．．，ｙＮｇ２）とのペアリング演算ｅ（ｘ，ｙ）は、ベクトルｘとベクトルｙとの要素毎のペアリング演算の積と定義する。すると、上述した非退化双線形ペアリングの条件から、ペアリング演算ｅ（ｘ，ｙ）は、数１３８に示すように表すことができる。
【数１３８】
【００３７】
＜第４−５．基底変換＞
標準基底Ａと標準基底Ａ＊とから他の基底Ｂと基底Ｂ＊とへ変換する基底変換方法について説明する。図１０は、基底変換方法を説明するための図である。
空間Ｖにおける標準基底Ａから空間Ｖにおける他の基底Ｂ：＝（ｂ１，．．．，ｂＮ）へ変換する。ここでは、数１３９に示す一様に選択された線形変換Ｘを用いて、数１４０に示すように空間Ｖにおける標準基底Ａから空間Ｖにおける他の基底Ｂに変換する。
【数１３９】
【数１４０】
ここで、ＧＬは、Ｇｅｎｅｒａｌ Ｌｉｎｅａｒの略である。つまり、ＧＬは、一般線形群であり、行列式が０でない正方行列の集合であり、乗法に関し群である。
Ｘを用いることにより、空間Ｖ＊における標準基底Ａ＊から空間Ｖ＊における基底Ｂ＊：＝（ｂ＊１，．．．，ｂ＊Ｎ）を効率的に計算できる。ここでは、数１４１に示すようにＸを用いて、空間Ｖ＊における基底Ｂ＊を計算する。
【数１４１】
【００３８】
ここで、数１４２が成立する。
【数１４２】
つまり、基底Ｂと基底Ｂ＊とは、双対空間ＶとＶ＊における双対正規直交基底である。すなわち、Ｘを用いて標準基底ＡとＡ＊とを変形した場合であっても、双対正規直交基底は保存される。
【００３９】
＜第４−６．ディストーション写像＞
標準基底Ａにおける空間Ｖの生成元ｘに対するディストーション写像という線形変換について説明する。
空間Ｖの標準基底Ａにおけるディストーション写像φｉ，ｊは、数１４３に示す写像である。
【数１４３】
数１４４が成立するため、ディストーション写像φｉ，ｊは、数１４５の変換を行うことができる。
【数１４４】
【数１４５】
つまり、標準基底Ａのベクトルｘの基底ベクトルｊの要素を基底ベクトルｉの要素へ変換することができる。この際、変換された基底ベクトルｊの要素を除く他の要素は、全て０となる。すなわち、ベクトルｘの基底ベクトルｊの要素が基底ベクトルｉの要素となり、その他の要素は０となる。
空間Ｖ＊の標準基底Ａ＊におけるディストーション写像φ＊ｉ，ｊも、空間Ｖの標準基底Ａにおけるディストーション写像φｉ，ｊと同様に表すことができる。
【００４０】
ディストーション写像φｉ，ｊ（φ＊ｉ，ｊ）を用いることにより、数１４６に示すＮ×Ｎ行列として表される線形変換Ｗであって、ｘ∈Ｖに対するどんな線形変換Ｗも数１４７によって効率的に計算することができる。
【数１４６】
【数１４７】
【００４１】
＜第５．双対ペアリングベクトル空間＞
第４で説明した概念を踏まえて、双対ペアリングベクトル空間について説明する。後述する階層的述語暗号と階層的述語鍵秘匿方式とは、双対ペアリングベクトル空間において実現される。
双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）は、素数位数ｑと、Ｆｑ上の２つのＮ次元ベクトル空間Ｖ，Ｖ＊と、位数ｑの巡回群ＧＴと、空間Ｖの標準基底Ａ：＝（ａ１，．．．，ａＮ−１）と、空間Ｖ＊の標準基底Ａ＊：＝（ａ＊１，．．．，ａ＊Ｎ−１）とを有する空間である。そして、双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）は、以下の（１）非退化双線形ペアリングが存在する、（２）標準基底Ａ，Ａ＊が双対正規直交基底である、（３）ディストーション写像が存在するという３つの条件を満たす空間である。
【００４２】
（１）非退化双線形ペアリング（上記第４−１参照）
多項式時間で計算可能な非退化双線形ペアリングｅが存在すること。
つまり、数１４８に示す非退化双線形ペアリングｅが存在することが１つ目の条件である。
【数１４８】
【００４３】
（２）双対正規直交基底（上記第４−２参照）
空間Ｖの標準基底Ａと空間Ｖ＊の標準基底Ａ＊とが双対正規直交基底であること。
つまり、空間Ｖの標準基底Ａと空間Ｖ＊の標準基底Ａ＊とが、数１４９に示す条件を満たすことが２つ目の条件である。
【数１４９】
【００４４】
（３）ディストーション写像（上記第４−６参照）
多項式時間で計算可能なディストーション写像φｉ，ｊとφ＊ｉ，ｊが存在すること。
つまり、数１５０に示す空間Ｖの準同型φｉ，ｊと空間Ｖ＊の準同型φ＊ｉ，ｊが多項式時間で計算可能であることが３つ目の条件である。
【数１５０】
３つ目の条件を満たすことにより、空間Ｖと空間Ｖ＊とがペアリング演算ｅ（上記第４−２参照）によって関連付けられた双対空間であるということも言える。
【００４５】
＜第６．階層的述語暗号と階層的述語鍵秘匿方式との実現方法の概要＞
上述した概念（上記第４参照）と、双対ペアリングベクトル空間（上記第５参照）とを踏まえて、上述した暗号処理システム１０（上記第３参照）が階層的述語暗号と階層的述語鍵秘匿方式とを実現する方法を簡単に説明する。
【００４６】
まず、暗号処理システム１０により実現される内積述語暗号の概要について説明する。なお、説明の簡単のため、ここでは、階層的という概念を省略し、１階層のみで構成される内積述語暗号の概要について説明する。
暗号処理システム１０は、双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）において内積述語暗号を実現する。なお、ここで、空間Ｖ，Ｖ＊は、いずれもｎ＋３次元空間である。
鍵生成装置１００は、第４−５で説明した基底変換により、標準基底Ａ，Ａ＊から正規直交基底Ｂ：＝（ｂ１，．．．，ｂｎ＋３）と、Ｂ＊：＝（ｂ＊１，．．．，ｂ＊ｎ＋３）とを生成する。鍵生成装置１００は、基底Ｂ：＝（ｂ１，．．．，ｂｎ＋３）のうちの基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２とを、基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２との和である基底ベクトルｄｎ＋１に置き換えた基底Ｂ＾：＝（ｂ１，．．．，ｂｎ，ｄｎ＋１，ｂｎ＋３）を生成する。そして、基底Ｂ＾をマスター公開鍵ｐｋとし、基底Ｂ＊をマスター秘密鍵ｓｋとする。さらに、鍵生成装置１００は、述語ベクトルｖ→（ｖ→＝（ｖ１，．．．，ｖｎ）∈Ｆｎｑから秘密鍵ｋ＊を数１５１のように生成して復号装置３００へ秘密裡に送信する。
【数１５１】
暗号化装置２００は、属性ベクトルｘ→（ｘ→＝（ｘ１，．．．，ｘｎ）∈Ｆｎｑと平文情報ｍとから、２つの暗号文ｃ１とｃ２とを生成する。暗号文ｃ１とｃ２とは数１５２のように生成される。
【数１５２】
復号装置３００は、暗号文ｃ１，ｃ２と秘密鍵ｋ＊とに基づき、数１５３を計算して、平文情報ｍを抽出する。
【数１５３】
ここで、ｖ→・ｘ→＝０であるなら、数１５４に示すように、数１５３を計算することにより、復号装置３００は平文情報ｍを得ることができる。
【数１５４】
【００４７】
次に、階層的な権限委譲を可能にした内積述語暗号、つまり階層的内積述語暗号の概要について、簡単な例を用いて説明する。ここでは、３つの階層を備え、各階層が２次元で構成された６次元を述語ベクトルと属性ベクトルとに用い、その他に３次元を有する９次元空間を用いて説明する。つまり、空間Ｖ，Ｖ＊は、９次元空間である。したがって、マスター公開鍵に含まれる基底Ｂ＾：＝（ｂ１，．．．，ｂ６，ｄ７，ｂ９）である。なお、ｄ７：＝ｂ７＋ｂ８である。また、マスター秘密鍵に含まれる基底Ｂ＊：＝（ｂ＊１，．．．，ｂ＊９）である。
なお、以下の説明において、添え字の「ｄｅｃ」は「ｄｅｃｒｙｐｔｉｏｎ」の略であり、添え字に「ｄｅｃ」とあるものは、暗号文の復号に用いられる鍵ベクトルである。また、添え字の「ｒａｎ」は「ｒａｎｄｏｍｉｚａｔｉｏｎ」の略であり、添え字に「ｒａｎ」とあるものは、下位の鍵ベクトルの所定の基底ベクトルに対する係数をランダム化するためのランダム化ベクトルである。また、添え字の「ｄｅｌ」は「ｄｅｌｅｇａｔｉｏｎ」の略であり、添え字に「ｄｅｌ」とあるものは、下位の鍵ベクトルを生成するための鍵生成用ベクトルである。
【００４８】
ここで、暗号文ｃ１，ｃ２は、属性ベクトル（ｘ→１，ｘ→２，ｘ→３）：＝（（ｘ１，ｘ２），（ｘ３，ｘ４），（ｘ５，ｘ６））と平文情報ｍとにより、数１５５のように生成される。
【数１５５】
もし、属性ベクトルが、ｘ→１：＝（ｘ１，ｘ２）のように高い階層である場合、属性ベクトルを数１５６のように修正する。
【数１５６】
つまり、属性ベクトルｘ→１で生成された暗号文ｃ１は、数１５６に示す属性ベクトルｘ→＋で生成された暗号文ｃ１として生成される。
【００４９】
第１層目の述語ベクトルｖ→１：＝（ｖ１，ｖ２）∈Ｆ２ｑに基づき生成された第１層目の秘密鍵ｋ→＊１：＝（ｋ＊１，ｄｅｃ，ｋ＊１，ｒａｎ，１，ｋ＊１，ｒａｎ，２，ｋ＊１，ｄｅｌ，３，．．．，ｋ＊１，ｄｅｌ，６）は、ｋ＊１，ｄｅｃと、（ｋ＊１，ｒａｎ，１，ｋ＊１，ｒａｎ，２）と、（ｋ＊１，ｄｅｌ，３，．．．，ｋ＊１，ｄｅｌ，６）との３つの要素からなる。ここで、ｋ＊１，ｄｅｃは、暗号文の復号に用いられる鍵ベクトルである。（ｋ＊１，ｒａｎ，１，ｋ＊１，ｒａｎ，２）は、下位の鍵ベクトルの所定の基底ベクトルに対する係数をランダム化するためのランダム化ベクトルである。（ｋ＊１，ｄｅｌ，３，．．．，ｋ＊１，ｄｅｌ，６）は、下位の鍵ベクトルを生成するための鍵生成用ベクトルである。ｋ＊１，ｄｅｃと、（ｋ＊１，ｒａｎ，１，ｋ＊１，ｒａｎ，２）と、（ｋ＊１，ｄｅｌ，３，．．．，ｋ＊１，ｄｅｌ，６）とは、数１５７のように生成される。
【数１５７】
暗号文ｃ１を生成する際用いられた属性ベクトルが、（ｘ１，ｘ２）・（ｖ１，ｖ２）＝０となる（（ｘ１，ｘ２），（＊，＊），（＊，＊））であるなら、数１５８であるため、ｋ＊１，０は、数１５９を計算することにより、暗号文ｃ１，ｃ２を復号することができる。
【数１５８】
【数１５９】
【００５０】
第２層目の述語ベクトルｖ→２：＝（ｖ３，ｖ４）により第２層目の秘密鍵ｋ→＊２：＝（ｋ＊２，ｄｅｃ，ｋ＊２，ｒａｎ，１，ｋ＊２，ｒａｎ，２，ｋ＊２，ｒａｎ，３，ｋ＊２，ｄｅｌ，５，ｋ＊２，ｄｅｌ，６）を生成する。
まず、ｋ＊２，ｄｅｃを生成する場合、σ２，０（ｖ３ｋ＊１，ｄｅｌ，３＋ｖ４ｋ＊１，ｄｅｌ，４）を、ｋ＊１，ｄｅｃに加える。ｋ＊２，ｒａｎ，ｊを生成する場合、σ２，ｊ（ｖ３ｋ＊１，ｄｅｌ，３＋ｖ４ｋ＊１，ｄｅｌ，４）を０に加える（ｊ＝１，２，３）。ｋ＊２，ｄｅｌ，ｊを生成する場合、σ２，ｊ（ｖ３ｋ＊１，ｄｅｌ，３＋ｖ４ｋ＊１，ｄｅｌ，４）をψ＋ｋ＊１，ｄｅｌ，ｊに加える（ｊ＝５，６）。ここで、σ２，ｊ（ｊ＝０，１，２，３，５，６）と、ψ＋とは一様に選択された値である。
また、第２層目の秘密鍵の（ｖ１ｂ＊１＋ｖ２ｂ＊２）とｂ＊７とｂ＊８との係数の値をランダム化する（一様に分布させる）。そこで、ｋ＊２，ｄｅｃを生成する場合、さらに（α０，１ｋ＊１，ｒａｎ，１＋α０，２ｋ＊１，ｒａｎ，２）を加える。ｋ＊２，ｒａｎ，ｊを生成する場合、（αｊ，１ｋ＊１，ｒａｎ，１＋αｊ，２ｋ＊１，ｒａｎ，２）を加える（ｊ＝１，２，３）。ｋ＊２，ｄｅｌ，ｊを生成する場合、（αｊ，１ｋ＊１，ｒａｎ，１＋αｊ，２ｋ＊１，ｒａｎ，２）を加える（ｊ＝５，６）。ここで、αｊ，１とαｊ，２と（ｊ＝０，１，２，３，５，６）は一様に選択された値である。
つまり、第２層目の秘密鍵鍵ｋ→＊２：＝（ｋ＊２，ｄｅｃ，ｋ＊２，ｒａｎ，１，ｋ＊２，ｒａｎ，２，ｋ＊２，ｒａｎ，３，ｋ＊２，ｄｅｌ，５，ｋ＊２，ｄｅｌ，６）が数１６０のように生成される。
【数１６０】
なお、ｋ＊２，ｄｅｃは、暗号文の復号に用いられる鍵ベクトルである。（ｋ＊２，ｒａｎ，１，ｋ＊２，ｒａｎ，２，ｋ＊２，ｒａｎ，３）は、下位の鍵ベクトルの所定の基底ベクトルに対する係数をランダム化するためのランダム化ベクトルである。（ｋ＊２，ｄｅｌ，５，ｋ＊２，ｄｅｌ，６）は、下位の鍵の生成に用いられる。
【００５１】
一般に、第Ｌ層目の秘密鍵ｋ→＊Ｌ：＝（ｋ＊Ｌ，ｄｅｃ，ｋ＊Ｌ，ｒａｎ，ｊ，ｋ＊Ｌ，ｄｅｌ，ｊ）において、ｋ＊Ｌ，ｄｅｃは、暗号文の復号に用いられる鍵ベクトルである。ｋ＊Ｌ，ｒａｎ，ｊは、下位の鍵ベクトルの所定の基底ベクトルに対する係数をランダム化するためのランダム化ベクトルである。ｋ＊Ｌ，ｄｅｌ，ｊは、下位の鍵ベクトルを生成するための鍵生成用ベクトルである。
【００５２】
実施の形態２．
この実施の形態では、実施の形態１で説明した概念に基づき、階層的述語暗号を実現する暗号処理システム１０について説明する。
【００５３】
図１１から図１６に基づき、実施の形態２に係る暗号処理システム１０の機能と動作とについて説明する。
図１１は、階層的述語暗号を実現する暗号処理システム１０の機能を示す機能ブロック図である。暗号処理システム１０は、上述したように、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００を備える。また、ここでも、復号装置３００が鍵委譲装置４００を備えるものとする。
図１２は、鍵生成装置１００の動作を示すフローチャートである。図１３は、暗号化装置２００の動作を示すフローチャートである。図１４は、復号装置３００の動作を示すフローチャートである。図１５は、鍵委譲装置４００の動作を示すフローチャートである。
図１６は、双対ペアリングベクトル空間の基底の構造を示す概念図である。
【００５４】
鍵生成装置１００の機能と動作とについて説明する。鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、鍵ベクトル生成部１３０、ランダム化ベクトル生成部１４０、鍵生成用ベクトル生成部１５０、鍵配布部１６０を備える。
【００５５】
（Ｓ３０１：マスター鍵生成ステップ）
マスター鍵生成部１１０は、数１６１を計算して、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとを処理装置により生成してマスター鍵記憶部１２０に記憶する。
【数１６１】
つまり、（１）マスター鍵生成部１１０は、セキュリティパラメータ１λで、Ｎ（＝ｎ＋３）次元の双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）を処理装置により生成する。ここで、Ｇｄｐｖｓは、１λとＮとを入力として、セキュリティパラメータ１λとＮ次元空間とについての双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）を出力する双対ペアリングベクトル空間生成アルゴリズムである。
（２）マスター鍵生成部１１０は、標準基底Ａから基底Ｂを生成するための線形変換Ｘを処理装置によりランダムに選択する。
（３）マスター鍵生成部１１０は、選択した線形変換Ｘに基づき、基底Ａ：＝（ａ１，．．．，ａＮ）から基底Ｂ：＝（ｂ１，．．．，ｂＮ）を処理装置により生成する。
（４）マスター鍵生成部１１０は、基底Ｂにおける基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２とを、基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２との和である基底ベクトルｄｎ＋１に置き換えた基底ベクトルＢ＾：＝（ｂ１，．．．，ｂｎ，ｄｎ＋１，ｂｎ＋３）を処理装置により生成する。
（５）マスター鍵生成部１１０は、基底Ａ＊：＝（ａ＊１，．．．，ａ＊Ｎ）から基底Ｂ＊：＝（ｂ＊１，．．．，ｂ＊Ｎ）を生成するための線形変換（ＸＴ）−１を線形変換Ｘから処理装置により生成する。
（６）マスター鍵生成部１１０は、生成した線形変換（ＸＴ）−１に基づき、基底Ａ＊から基底Ｂ＊：＝（ｂ＊１，．．．，ｂ＊Ｎ）を処理装置により生成する。
（７）マスター鍵生成部１１０は、生成した線形変換Ｘと基底Ｂ＊とをマスター秘密鍵ｓｋとし、生成した基底Ｂ＾を含む（１λ，ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊，Ｂ＾）をマスター公開鍵ｐｋとする。そして、マスター鍵記憶部１２０は、マスター鍵生成部１１０が生成したマスター公開鍵ｐｋとマスター秘密鍵ｓｋとを記憶装置に記憶する。
なお、双対ペアリングベクトル空間の次元数は、Ｎ（＝ｎ＋３）であるとした。ここで、ｎは、階層情報μ→が有する階層構造をあらわすために割り当てられている基底数を表すｎである。つまり、ここでは、階層構造をあらわすために割り当てられている基底数ｎに加え、３つの基底ベクトルが設けられている。もちろん、これよりも多くの基底ベクトルを設けてもよい。
図１６に示すように、Ｎ（＝ｎ＋３）個の基底ベクトルのうち、ｎ個の基底ベクトルが述語ベクトルや属性ベクトルのために割り当てられている。述語ベクトルや属性ベクトルのために割り当てられている基底ベクトルの構造は、図６に示す構造と同様である。残り３つの基底ベクトルのうちの２つの基底ベクトル（ｎ＋１番目とｎ＋２番目との基底ベクトル）は、セッション鍵を生成する情報のための基底ベクトルである。残りの１つの基底ベクトル（ｎ＋３番目の基底ベクトル）は、暗号文ｃ１をランダム化するための基底ベクトルである。
【００５６】
すなわち、（Ｓ３０１）において、マスター鍵生成部１１０は、数１６２に示すＳｅｔｕｐアルゴリズムを実行して、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとを生成する。
【数１６２】
【００５７】
（Ｓ３０２：鍵ベクトルｋ＊Ｌ，ｄｅｃ生成ステップ）
鍵ベクトル生成部１３０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１６３に示す述語ベクトル（ｖ→１，．．．，ｖ→Ｌ）とに基づき、数１６４を計算して、第Ｌ層目（レベルＬ）の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃを処理装置により生成する。
【数１６３】
【数１６４】
つまり、（１）鍵ベクトル生成部１３０は、乱数σ０，ｉ（ｉ＝１，．．．，Ｌ）と乱数η０とを処理装置により生成する。
（２）鍵ベクトル生成部１３０は、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数として生成した乱数σ０，ｔでランダム化した述語ベクトルの各要素を処理装置により設定する。つまり、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれる。また、鍵ベクトル生成部１３０は、基底ベクトルｂ＊ｎ＋１に対する係数として乱数η０を処理装置により設定するとともに、基底ベクトルｂ＊ｎ＋２に対する係数として１から乱数η０を引いた値（１−η０）を処理装置により設定する。つまり、基底ベクトルｂ＊ｎ＋１に対する係数と基底ベクトルｂ＊ｎ＋２に対する係数との和が１となるように、基底ベクトルｂ＊ｎ＋１に対する係数と基底ベクトルｂ＊ｎ＋２に対する係数とが設定される。これにより、鍵ベクトル生成部１３０は、鍵ベクトルｋ＊Ｌ，ｄｅｃを生成する。
【００５８】
（Ｓ３０３：ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ生成ステップ）
ランダム化ベクトル生成部１４０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１６３に示す述語ベクトル（ｖ→１，．．．，ｖ→Ｌ）とに基づき、数１６５を計算して、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）を生成する。ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）は、下位の鍵のうち、述語ベクトルの各要素が埋め込まれる基底ベクトルに対する係数を一様に分布させるためのベクトルである。なお、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊは、第Ｌ層目の秘密鍵のｊ番目の要素である。
【数１６５】
つまり、（１）ランダム化ベクトル生成部１４０は、乱数σｊ，ｉ（ｊ＝１，．．．，Ｌ＋１；ｉ＝１，．．．，Ｌ）と乱数ηｊ（ｊ＝１，．．．，Ｌ＋１）とを処理装置により生成する。
（２）ランダム化ベクトル生成部１４０は、ｊ＝１，．．．，Ｌ＋１の各ｊについて、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数として、乱数σｊ，ｔでランダム化した述語ベクトルの各要素を設定したベクトルｖｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれる。
（３）ランダム化ベクトル生成部１４０は、ｊ＝１，．．．，Ｌ＋１の各ｊについて、基底ベクトルｂ＊ｎ＋１に対する係数として乱数ηｊを処理装置により設定するとともに、基底ベクトルｂ＊ｎ＋２に対する係数として０から乱数η０を引いた値（−ηｊ）を設定したベクトルｄｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ｎ＋１に対する係数と基底ベクトルｂ＊ｎ＋２に対する係数との和が０となるように、基底ベクトルｂ＊ｎ＋１に対する係数と基底ベクトルｂ＊ｎ＋２に対する係数とが設定される。
（４）ランダム化ベクトル生成部１４０は、ｊ＝１，．．．，Ｌ＋１の各ｊについて、生成したベクトルｖｖｊとベクトルｄｖｊと加算して、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）を生成する。
【００５９】
（Ｓ３０４：鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ生成ステップ）
鍵生成用ベクトル生成部１５０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１６３に示す述語ベクトル（ｖ→１，．．．，ｖ→Ｌ）とに基づき、数１６６を計算して、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）を処理装置により生成する。鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）は、下位の秘密鍵（下位の鍵ベクトル）を生成するためのベクトルである。なお、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊは、第Ｌ層目の秘密鍵のｊ番目の要素である。
【数１６６】
つまり、（１）鍵生成用ベクトル生成部１５０は、乱数σｊ，ｉ（ｊ＝μＬ＋１，．．．，ｎ；ｉ＝１，．．．，Ｌ）と乱数ψと乱数ηｊ（ｊ＝μＬ＋１，．．．，ｎ）とを処理装置により生成する。
（２）鍵生成用ベクトル生成部１５０は、ｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数として、乱数σｊ，ｔでランダム化した述語ベクトルの各要素を設定して、ベクトルｖｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれる。
（３）鍵生成用ベクトル生成部１５０は、ｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｊに対する係数として乱数ψを設定して、ベクトルψｖｊを処理装置により生成する。
（４）鍵生成用ベクトル生成部１５０は、ｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｎ＋１に対する係数として乱数ηｊを処理装置により設定するとともに、基底ベクトルｂ＊ｎ＋２に対する係数として０から乱数η０を引いた値（−ηｊ）を設定して、ベクトルｄｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ｎ＋１に対する係数と基底ベクトルｂ＊ｎ＋２に対する係数との和が０となるように、基底ベクトルｂ＊ｎ＋１に対する係数と基底ベクトルｂ＊ｎ＋２に対する係数とが設定される。
（５）鍵生成用ベクトル生成部１５０は、ｊ＝μＬ＋１，．．．，ｎの各ｊについて、ベクトルｖｖｊと、ベクトルψｖｊと、ベクトルｄｖｊとを加算して、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）を生成する。
【００６０】
すなわち、（Ｓ３０２）から（Ｓ３０４）において、鍵ベクトル生成部１３０とランダム化ベクトル生成部１４０と鍵生成用ベクトル生成部１５０とは、数１６７に示すＧｅｎＫｅｙアルゴリズムを処理装置により実行する。これにより、鍵ベクトルｋ＊Ｌ，ｄｅｃと、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）と、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）とを含む第Ｌ層目の秘密鍵（鍵情報ｋ→＊Ｌ）が生成される。
【数１６７】
【００６１】
（Ｓ３０５：鍵配布ステップ）
鍵配布部１６０は、マスター鍵生成部１１０が生成したマスター公開鍵と、鍵ベクトル生成部１３０とランダム化ベクトル生成部１４０と鍵生成用ベクトル生成部１５０とが生成した鍵情報ｋ→＊Ｌとを復号装置３００へ通信装置を介して送信する。また、鍵配布部１６０は、マスター公開鍵を暗号化装置２００へ通信装置を介して送信する。ここで、鍵情報ｋ→＊Ｌは秘密裡に復号装置３００へ送信されるが、鍵情報ｋ→＊Ｌを秘密裡に復号装置３００へ送信する方法に関しては、どのような方法であっても構わない。例えば、従来の暗号処理を使用して送信してもよい。
【００６２】
暗号化装置２００の機能と動作とについて説明する。暗号化装置２００は、送信情報設定部２１０、暗号ベクトル生成部２２０、暗号情報生成部２３０、データ送信部２４０、公開鍵取得部２５０を備える。
なお、以下の処理の前に、公開鍵取得部２５０は、マスター公開鍵ｐｋと、復号装置３００の述語情報ベクトルに対応する属性情報ベクトルを取得しているものとする。
【００６３】
（Ｓ４０１：送信情報設定ステップ）
送信情報設定部２１０は、マスター公開鍵ｐｋに基づき、数１６８を処理装置により計算して送信情報ベクトルζｖを生成する。
【数１６８】
つまり、（１）送信情報設定部２１０は、乱数ζを処理装置により生成する。
（２）送信情報設定部２１０は、マスター公開鍵ｐｋに含まれる基底Ｂ＾の基底ベクトルｄｎ＋１に対する係数として乱数ζを処理装置により設定して、送信情報ベクトルζｖを生成する。
【００６４】
（Ｓ４０２：暗号ベクトルｃ１生成ステップ）
暗号ベクトル生成部２２０は、マスター公開鍵ｐｋと、数１６９に示す属性ベクトル（ｘ→１，．．．，ｘ→Ｌ）とに基づき、数１７０を処理装置により計算して暗号ベクトルｃ１を生成する。
【数１６９】
【数１７０】
つまり、（１）暗号ベクトル生成部２２０は、乱数（ｘ→Ｌ＋１，．．．，ｘ→ｄ）と、乱数δｉ（ｉ＝１，．．．，ｄ，ｎ＋３）を処理装置により生成する。
（２）暗号ベクトル生成部２２０は、マスター公開鍵ｐｋに含まれる基底Ｂの基底ベクトルｂｉ（ｉ＝１，．．．，μＬ）に対する係数として属性ベクトルの各要素を処理装置により設定する。つまり、基底ベクトルｂｉ（ｉ＝１，．．．，μＬ）に対する係数には、属性ベクトルの各要素が埋め込まれる。また、暗号ベクトル生成部２２０は、基底ベクトルｂｉ（ｉ＝μＬ＋１，．．．，ｎ）に対する係数として乱数を処理装置により設定する。これにより、暗号ベクトル生成部２２０は、ベクトルｘｖを生成する。
（３）暗号ベクトル生成部２２０は、マスター公開鍵ｐｋに含まれる基底Ｂの基底ベクトルｂｎ＋３に対する係数として乱数δｎ＋３を処理装置により設定して、ベクトルｒｖを生成する。
（４）暗号ベクトル生成部２２０は、生成したベクトルｘｖとベクトルｒｖとを、送信情報設定部２１０が生成した送信情報ベクトルζｖに加算して暗号ベクトルｃ１を処理装置により生成する。
なお、ベクトルｒｖは、安全性を高くするために加えられるものであり、必須の要素ではない。
【００６５】
（Ｓ４０３：暗号情報ｃ２生成ステップ）
暗号情報生成部２３０は、平文情報ｍに基づき、数１７１を処理装置により計算して暗号情報ｃ２を生成する。
【数１７１】
【００６６】
（Ｓ４０４：データ送信ステップ）
データ送信部２４０は、暗号ベクトル生成部２２０が生成した暗号ベクトルｃ１と、暗号情報生成部２３０が生成した暗号情報ｃ２とを復号装置３００へ通信装置を介して送信する。
【００６７】
すなわち、暗号化装置２００は、数１７２に示すＥｎｃアルゴリズムを実行して、暗号ベクトルｃ１と暗号情報ｃ２とを生成する。
【数１７２】
【００６８】
復号装置３００の機能と動作とについて説明する。復号装置３００は、ベクトル入力部３１０、鍵ベクトル記憶部３２０、ペアリング演算部３３０を備える。
【００６９】
（Ｓ５０１：ベクトル入力ステップ）
ベクトル入力部３１０は、暗号化装置２００のデータ送信部２４０が送信した暗号ベクトルｃ１と暗号情報ｃ２とを通信装置を介して受信して入力する。
【００７０】
（Ｓ５０２：復号ステップ）
ペアリング演算部３３０は、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃとに基づき、数１７３を処理装置により計算して平文情報ｍ’を生成する。
【数１７３】
つまり、ペアリング演算部３３０は、ベクトル入力部３１０が入力した暗号ベクトルｃ１と、鍵ベクトル記憶部３２０が記憶装置に記憶した鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、ペアリング演算ｅを処理装置により行う。これにより、ペアリング演算部３３０は、ｇζＴを計算する。そして、計算したｇζＴで暗号情報ｃ２（＝ｇζＴｍ）を除することにより、平文情報ｍ’（＝ｍ）を計算する。なお、鍵ベクトル記憶部３２０は、鍵生成装置１００又は上位の鍵委譲装置４００から鍵ベクトルｋ＊Ｌ，ｄｅｃを配布された際、鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶装置に記憶している。
ここで、暗号化装置２００が暗号化に用いた属性ベクトルｘ→ｉ（ｉ＝１，．．．，ｈ）と、復号装置３００が復号に用いた鍵ベクトルの述語ベクトルｖ→ｉ（ｉ＝１，．．．，Ｌ）とについて、Ｌ≦ｈであり、全てのｉ（ｉ＝１，．．．，Ｌ）についてｘ→ｉ・ｖ→ｉ＝０であれば、数１７４に示すように、暗号ベクトルｃ１と鍵ベクトルｋ＊Ｌ，ｄｅｃとについてペアリング演算ｅを行うことにより、ｇζＴを得ることができる。
【数１７４】
【００７１】
つまり、復号装置３００は、数１７５に示すＤｅｃアルゴリズムを実行して、平文情報ｍ’を生成する。
【数１７５】
【００７２】
鍵委譲装置４００の機能と動作とについて説明する。鍵委譲装置４００は、鍵ベクトル取得部４１０（鍵生成用ベクトル取得部）、鍵ベクトル生成部４２０、ランダム化ベクトル生成部４３０、鍵生成用ベクトル生成部４４０、鍵配布部４５０を備える。
【００７３】
（Ｓ６０１：鍵情報ｋ＊Ｌ取得ステップ）
鍵ベクトル取得部４１０は、第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃと、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）と、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）とを含む第Ｌ層目の秘密鍵（鍵情報ｋ→＊Ｌ）を通信装置を介して取得する。
【００７４】
（Ｓ６０２：鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ生成ステップ）
鍵ベクトル生成部４２０は、マスター公開鍵ｐｋと鍵情報ｋ→＊Ｌと数１７６に示す述語ベクトルｖ→Ｌ＋１とに基づき、数１７７を計算して、第Ｌ＋１層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを処理装置により生成する。
【数１７６】
【数１７７】
つまり、（１）鍵ベクトル生成部４２０は、乱数α０，ｉ（ｉ＝１，．．．，Ｌ＋１）と乱数σ０とを処理装置により生成する。
（２）鍵ベクトル生成部４２０は、ｉ＝１，．．．，Ｌ＋１の各ｉについて、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉの係数を乱数α０，ｉ倍したベクトルを加算して、ベクトルｒｖを処理装置により生成する。なお、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）における基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれている。そのため、ベクトルｒｖにおける基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、乱数倍された述語ベクトルの各要素が埋め込まれる。
（３）鍵ベクトル生成部４２０は、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）の係数に述語ベクトルｖ→Ｌ＋１の各要素を設定したベクトルを加算し、乱数σ０倍してベクトルｖｖを処理装置により生成する。つまり、基底ベクトルｂ＊ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）に対する係数には、述語ベクトルの各要素が埋め込まれる。
（４）鍵ベクトル生成部４２０は、鍵ベクトルｋ＊Ｌ，ｄｅｃと、ベクトルｒｖとベクトルｖｖとを加算して、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを処理装置により生成する。
【００７５】
（Ｓ６０３：ランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊ生成ステップ）
ランダム化ベクトル生成部４３０は、マスター公開鍵ｐｋと鍵情報ｋ→＊Ｌと数１７６に示す述語ベクトルｖ→Ｌ＋１とに基づき、数１７８を計算して、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）を生成する。ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）は、下位の鍵のうち、述語ベクトルの各要素が埋め込まれる基底ベクトルに対する係数を一様に分布させるためのベクトルである。なお、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊは、第Ｌ＋１層目の秘密鍵のｊ番目の要素である。
【数１７８】
つまり、（１）ランダム化ベクトル生成部４３０は、乱数αｊ，ｉ（ｊ＝１，．．．，Ｌ＋２；ｉ＝１，．．．，Ｌ）と乱数σｊ（ｊ＝１，．．．，Ｌ＋２）とを処理装置により生成する。
（２）ランダム化ベクトル生成部４３０は、ｊ＝１，．．．，Ｌ＋２の各ｊについて、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）の係数を乱数αｊ，ｉ（ｉ＝１，．．．，Ｌ＋１）倍してベクトルｒｖｊを処理装置により生成する。上述したように、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）における基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれている。そのため、ベクトルｒｖｊにおける基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、乱数倍された述語ベクトルの各要素が埋め込まれる。
（３）ランダム化ベクトル生成部４３０は、ｊ＝１，．．．，Ｌ＋２の各ｊについて、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）の係数に述語ベクトルの各要素を設定したベクトルを加算し、乱数σｊ倍してベクトルｖｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）に対する係数には、述語ベクトルの各要素が埋め込まれる。
（４）ランダム化ベクトル生成部４３０は、ｊ＝１，．．．，Ｌ＋２の各ｊについて、生成したベクトルｒｖｊとベクトルｖｖｊとを加算して、ランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊを処理装置により生成する。
【００７６】
（Ｓ６０４：鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ生成ステップ）
鍵生成用ベクトル生成部４４０は、マスター公開鍵ｐｋと鍵情報ｋ→＊Ｌと数１７６に示す述語ベクトルｖ→Ｌ＋１とに基づき、数１７９を計算して、鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）を処理装置により生成する。鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）は、下位の秘密鍵（下位の鍵ベクトル）を生成するためのベクトルである。なお、鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊは、第Ｌ＋１層目の秘密鍵のｊ番目の要素である。
【数１７９】
つまり、（１）鍵生成用ベクトル生成部４４０は、乱数αｊ，ｉ（ｊ＝μＬ＋１＋１，．．．，ｎ；ｉ＝１，．．．，Ｌ＋１）と、乱数σｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）と、乱数ψ’とを処理装置により生成する。
（２）鍵生成用ベクトル生成部４４０は、ｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）の係数を乱数αｊ，ｉ倍したベクトルｒｖｊを処理装置により生成する。上述したように、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）における基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれている。そのため、ベクトルｒｖｊにおける基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数には、乱数倍された述語ベクトルの各要素が埋め込まれる。
（３）鍵生成用ベクトル生成部４４０は、ｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）の係数に述語ベクトルの各要素を設定したベクトルを加算し、乱数σｊ倍してベクトルｖｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）に対する係数には、述語ベクトルの各要素が埋め込まれる。
（４）鍵生成用ベクトル生成部４４０は、ｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊの係数を乱数ψ’倍して、ベクトルψｖｊを処理装置により生成する。なお、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊにおける基底ベクトルｂ＊ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）に対する係数には、述語ベクトルの要素が埋め込まれている。そのため、ベクトルψｖｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）における基底ベクトルｂ＊ｊに対する係数には、乱数倍された述語ベクトルの要素が埋め込まれる。
（５）鍵生成用ベクトル生成部４４０は、ｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、生成したベクトルｒｖｊと、ベクトルｖｖｊと、ベクトルψｖｊとを加算して、鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）を処理装置により生成する。
【００７７】
すなわち、（Ｓ６０２）から（Ｓ６０４）において、鍵ベクトル生成部４２０とランダム化ベクトル生成部４３０と鍵生成用ベクトル生成部４４０とは、数１８０に示すＤｅｌｅｇａｔｅＬアルゴリズムを実行して、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃと、ランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）と、鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）とを含む第Ｌ＋１層目の秘密鍵（鍵情報ｋ→＊Ｌ＋１）を処理装置により生成する。
【数１８０】
【００７８】
（Ｓ６０５：鍵配布ステップ）
鍵配布部４４０は、鍵ベクトル生成部４２０とランダム化ベクトル生成部４３０と鍵生成用ベクトル生成部４４０とが生成した鍵情報ｋ→＊Ｌ＋１を下位の復号装置３００へ通信装置を介して送信する。ここで、鍵情報ｋ→＊Ｌ＋１は秘密裡に復号装置３００へ送信されるが、鍵情報ｋ→＊Ｌ＋１を秘密裡に復号装置３００へ送信する方法に関しては、どのような方法であっても構わない。例えば、従来の暗号処理を使用して送信してもよい。
【００７９】
以上のように、暗号処理システム１０が実現する暗号処理は、非特許文献１８で提案されている暗号処理よりも安全性が高く、標準のモデル（Ｓｔａｎｄａｒｄ Ｍｏｄｅｌ）における安全性を証明することができる。
この理由は、主に以下の（１）（２）の２点である。
（１）暗号化装置２００が送信情報を設定する基底ベクトルｄｎ＋１が２次元（基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２）である。これにより、基底ベクトルｄｎ＋１に対応する鍵ベクトルｋ＊Ｌ，ｄｅｃにおける基底ベクトルｂ＊ｎ＋１と基底ベクトルｂ＊ｎ＋２とに対する係数をランダムに選択することが可能となる。また、基底ベクトルｄｎ＋１が公開されるだけであり、基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２とは秘密にされている。
（２）鍵委譲装置４００が下位の鍵を生成する場合に、ランダム化ベクトルを用いて生成する。これにより、下位の鍵の所定の基底ベクトルに対する係数をランダム化することができ、下位の鍵を生成することによって、鍵の安全性が劣化しない。
ここで、ランダム化ベクトルを用いない場合、鍵情報ｋ→＊Ｌから生成される２つの下位の鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ｂ）とは、数１８１のようになる。
【数１８１】
つまり、ランダム化ベクトルを用いない場合、鍵ベクトルｋ＊Ｌ，ｄｅｃに含まれる述語情報が設定された基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）の係数は、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ｂ）との間で共通になってしまう。
しかし、ランダム化ベクトルを用いる場合、鍵情報ｋ→＊Ｌから生成される２つの下位の鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ｂ）とは、数１８２のようになる。
【数１８２】
つまり、ランダム化ベクトルを用いる場合、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ａ）には、乱数αＡ，ｉで係数の値を一様に分布したランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉが加えられ、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ｂ）には、乱数αＢ，ｉで係数の値を一様に分布したランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉが加えられる。ここで、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｉには、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）が含まれている。したがって、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ｂ）とにおける基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）の係数の値は一様に分布している。つまり、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ（Ｂ）とにおいて、述語情報が設定された基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）の係数は異なる。
【００８０】
なお、以上の説明では、暗号化装置２００が送信情報を設定する基底ベクトルｄｎ＋１を２次元とした。しかし、基底ベクトルｄｎ＋１は３次元以上のｍ次元（基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍ）であってもよい。
この場合には、（Ｓ３０１）において、マスター鍵生成部１１０は、Ｎ＝ｎ＋ｍ＋１とする。また、鍵ベクトルｋ＊Ｌ，ｄｅｃ生成ステップ（Ｓ３０２）において、鍵ベクトル生成部１３０は、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数の和が１になるように、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数を設定する。また、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ生成ステップ（Ｓ３０３）において、ランダム化ベクトル生成部１４０は、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数の和が０になるように、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数を設定する。同様に、鍵生成ベクトルｋ＊Ｌ，ｄｅｌ，ｊ生成ステップ（Ｓ３０４）において、鍵生成用ベクトル生成部１５０は、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数の和が０になるように、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数を設定する。また、暗号ベクトルｃ１生成ステップ（Ｓ４０２）において、暗号ベクトル生成部２２０は、基底ベクトルｂｎ＋ｍ＋１に対する係数として乱数を設定してベクトルｒｖを生成する。
【００８１】
また、上記説明では、Ｎ（＝ｎ＋３）次元ベクトル空間で暗号処理を実現したが、権限委譲のない暗号処理であれば、ｎは１以上の整数である。したがって、Ｎは４以上の整数である。また、権限委譲を有する暗号処理であれば、ｎは２以上の整数である。したがって、Ｎは５以上の整数である。なお、上述したように、（Ｓ４０２）において、暗号化装置２００が基底ベクトルｂｎ＋３を用いて、ベクトルｒｖを生成することは必須ではない。ベクトルｒｖを生成しないのであれば、Ｎ（＝ｎ＋２）次元ベクトル空間で暗号処理を実現できる。したがって、権限委譲のない暗号処理であれば、Ｎは３以上の整数であり、権限委譲を有する暗号処理であれば、Ｎは４以上の整数である。
【００８２】
また、上述した暗号処理では、双対ペアリングベクトル空間であることの条件に含まれていたディストーション写像を利用していない。ディストーション写像については、暗号処理を実現するアルゴリズムでは使用せず、暗号処理の安全性を証明するために使用する。したがって、上述した暗号処理は、ディストーション写像がない空間であっても成立するということができる。すなわち、上述した暗号処理を実現する空間にディストーション写像があることは、必須ではない。以下に説明する暗号処理についても同様である。
【００８３】
また、上記説明では、階層的述語暗号について説明した。次に、階層的述語鍵秘匿方式について説明する。階層的述語鍵秘匿方式について、上述した階層的述語暗号と異なる部分のみを説明する。
図１７は、階層的述語鍵秘匿方式を実現する暗号処理システム１０の機能を示す機能ブロック図である。
ここで、鍵生成装置１００の処理と鍵委譲装置４００の処理とは、上述した階層的述語暗号の場合と同様である。そこで、ここでは、暗号化装置２００の処理と復号装置３００の処理とのみを説明する。
図１８は、暗号化装置２００の動作を示すフローチャートである。図１９は、復号装置３００の動作を示すフローチャートである。
【００８４】
暗号化装置２００の機能と動作とについて説明する。
図１７に示す暗号化装置２００は、図１１に示す暗号化装置２００が備える機能に加え、セッション鍵生成部２６０を備える。なお、図１７に示す暗号化装置２００は、図１１に示す暗号化装置２００が備える暗号情報生成部２３０は備えていない。
（Ｓ７０１）と（Ｓ７０２）とは、（Ｓ４０１）と（Ｓ４０２）と同様である。
（Ｓ７０３：データ送信ステップ）では、（Ｓ７０２）で暗号ベクトル生成部２２０が生成した暗号ベクトルｃ１を復号装置３００へ通信装置を介して送信する。つまり、階層的述語鍵秘匿方式では、平文情報ｍを埋め込んだ暗号情報ｃ２は生成されず、復号装置３００へ送信されない。
（Ｓ７０４：セッション鍵生成ステップ）では、セッション鍵生成部２６０が数１８３を処理装置により計算してセッション鍵Ｋを生成する。
【数１８３】
【００８５】
すなわち、暗号化装置２００は、数１８４に示すＥｎｃアルゴリズムを実行して、暗号ベクトルｃ１とセッション鍵Ｋとを生成する。
【数１８４】
【００８６】
復号装置３００の機能と動作とについて説明する。
図１７に示す復号装置３００は、図１１に示す復号装置３００と同様の機能構成である。
（Ｓ８０１：ベクトル入力ステップ）
ベクトル入力部３１０は、暗号化装置２００のデータ送信部２４０が送信した暗号ベクトルｃ１を通信装置を介して受信して入力する。
【００８７】
（Ｓ８０２：復号ステップ）
ペアリング演算部３３０は、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃとに基づき、数１８５を処理装置により計算してセッション鍵Ｋを生成する。
【数１８５】
つまり、ペアリング演算部３３０は、ベクトル入力部３１０が入力した暗号ベクトルｃ１と、鍵ベクトル記憶部３２０が記憶装置に記憶した鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、ペアリング演算ｅを処理装置により行う。これにより、ペアリング演算部３３０は、暗号化装置２００が埋め込んだζに関する値であるｇζＴ（＝Ｋ）を計算する。
【００８８】
すなわち、復号装置３００は、数１８６に示すＤｅｃアルゴリズムを実行して、セッション鍵Ｋ’（＝Ｋ）を生成する。
【数１８６】
【００８９】
以上のように、階層的述語鍵秘匿方式によれば、暗号化装置２００から復号装置３００へ、セッション鍵Ｋを秘密裡に送信することができる。つまり、暗号化装置２００と復号装置３００との間でセッション鍵を共有することができる。
【００９０】
実施の形態３．
実施の形態３では、実施の形態２で説明した階層的述語暗号と階層的述語鍵秘匿方式とよりも一般化された権限委譲を有する述語暗号について説明する。
【００９１】
上述したように、実施の形態２で説明した階層的述語暗号と階層的述語鍵秘匿方式とでは、図１６に示すように基底ベクトルを使用した。つまり、ｎ＋３個の基底ベクトルのうち、ｎ個の基底ベクトルを属性ベクトルや述語ベクトルのための基底ベクトルとして、階層構造を表すために使用した。特に、初めのμ１個の基底ベクトルを第１層目の属性ベクトルや述語ベクトルのための基底ベクトルとし、μ２−μ１個の基底ベクトルを第２層目の属性ベクトルや述語ベクトルのための基底ベクトルとし、以下同様に、μＬ−μＬ−１個の基底ベクトルを第Ｌ層目の属性ベクトルや述語ベクトルのための基底ベクトルとした。
そして、第Ｌ層目の鍵ベクトルｋ＊Ｌ，ｄｅｃを数１６４に示すように計算した。つまり、第Ｌ層目の鍵ベクトルｋ＊Ｌ，ｄｅｃは、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，Ｌ）に対する係数として述語ベクトルの各要素を割り当てられ、基底ベクトルｂ＊ｉ（ｉ＝Ｌ＋１，．．．，ｎ）に対する係数として０を割り当てられた。
また、第Ｌ層目の暗号ベクトルｃ１を数１７０に示すように計算した。つまり、第Ｌ層目の暗号ベクトルｃ１は、基底ベクトルｂｉ（ｉ＝１，．．．，Ｌ）に対する係数として属性ベクトルの各要素を割り当てられ、基底ベクトルｂｉ（ｉ＝Ｌ＋１，．．．，ｎ）に対する係数として乱数を割り当てられた。
これにより、階層的に権限委譲することが実現された。
【００９２】
実施の形態３で説明する述語暗号（述語鍵秘匿方式）では、実施の形態２の場合と同様に、ｎ＋３個の基底ベクトルのうち、ｎ個の基底ベクトルを属性ベクトルや述語ベクトルのための基底ベクトルとして使用する。しかし、どの鍵であっても（上位の鍵であっても、下位の鍵であっても）、ｎ個の基底ベクトル全てを述語ベクトルのための基底ベクトルとする。つまり、ｎ個の基底ベクトル全てを常に属性ベクトルや述語ベクトルのための基底ベクトルとする。
そして、鍵ベクトルｋ＊Ｌ，ｄｅｃは、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）に対する係数として述語ベクトルの各要素を割り当てられる。また、第Ｌ層目の暗号ベクトルｃ１は、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）に対する係数として属性ベクトルの各要素を割り当てられる。
つまり、ｎ個の基底ベクトルについて階層構造という概念はない。また、秘密鍵が階層的に権限委譲される概念はない。そのため、実施の形態２で説明した暗号方式に比べ、より自由度の高い権限委譲が可能となる。
【００９３】
まず、権限委譲を有する述語暗号を実現する場合について説明する。
図２０は、権限委譲を有する述語暗号を実現する暗号処理システム１０の機能を示す機能ブロック図である。なお、図２０に示す暗号処理システム１０が備える機能は、図１１に示す暗号処理システム１０が備える機能と同様である。
権限委譲を有する述語暗号を実現する場合における実施の形態３に係る暗号処理システム１０の動作の流れは、実施の形態２に係る暗号処理システム１０の動作の流れと同様である。そこで、図２０と、図１２から図１６とに基づき、実施の形態３に係る暗号処理システム１０の機能と動作とについて説明する。
【００９４】
鍵生成装置１００の機能と動作とについて説明する。
（Ｓ３０１：マスター鍵生成ステップ）
実施の形態２における（Ｓ３０１）と同様に、マスター鍵生成部１１０は、数１８７を計算して、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとを処理装置により生成してマスター鍵記憶部１２０に記憶する。
【数１８７】
【００９５】
（Ｓ３０２：鍵ベクトルｋ＊Ｌ，ｄｅｃ生成ステップ）
鍵ベクトル生成部１３０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１８８に示す述語ベクトル（ｖ→１，．．．，ｖ→Ｌ）とに基づき、数１８９を計算して、第Ｌ層目（レベルＬ）の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃを処理装置により生成する。
【数１８８】
【数１８９】
【００９６】
（Ｓ３０３：ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ生成ステップ）
ランダム化ベクトル生成部１４０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１８８に示す述語ベクトル（ｖ→１，．．．，ｖ→Ｌ）とに基づき、数１９０を計算して、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）を生成する。
【数１９０】
【００９７】
（Ｓ３０４：鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ生成ステップ）
鍵生成用ベクトル生成部１５０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１８８に示す述語ベクトル（ｖ→１，．．．，ｖ→Ｌ）とに基づき、数１９１を計算して、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）を処理装置により生成する。
【数１９１】
【００９８】
すなわち、（Ｓ３０２）から（Ｓ３０４）において、鍵ベクトル生成部１３０とランダム化ベクトル生成部１４０と鍵生成用ベクトル生成部１５０とは、数１９２に示すＧｅｎＫｅｙアルゴリズムを処理装置により実行する。これにより、鍵ベクトルｋ＊Ｌ，ｄｅｃと、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）と、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）とを含む第Ｌ層目の秘密鍵（鍵情報ｋ→＊Ｌ）が生成される。
【数１９２】
【００９９】
（Ｓ３０５：鍵配布ステップ）
実施の形態２における（Ｓ３０５）と同様に、鍵配布部１６０は、マスター鍵生成部１１０が生成したマスター公開鍵と、鍵ベクトル生成部１３０とランダム化ベクトル生成部１４０と鍵生成用ベクトル生成部１５０とが生成した鍵情報ｋ→＊Ｌとを復号装置３００へ通信装置を介して送信する。また、鍵配布部１６０は、マスター公開鍵を暗号化装置２００へ通信装置を介して送信する。
【０１００】
暗号化装置２００の機能と動作とについて説明する。
（Ｓ４０１：送信情報設定ステップ）
実施の形態２における（Ｓ４０１）と同様に、送信情報設定部２１０は、マスター公開鍵ｐｋに基づき、数１９３を処理装置により計算して送信情報ベクトルζｖを生成する。
【数１９３】
【０１０１】
（Ｓ４０２：暗号ベクトルｃ１生成ステップ）
暗号ベクトル生成部２２０は、マスター公開鍵ｐｋと、数１９４に示す属性ベクトル（ｘ→１，．．．，ｘ→Ｌ）とに基づき、数１９５を処理装置により計算して暗号ベクトルｃ１を生成する。
【数１９４】
【数１９５】
【０１０２】
（Ｓ４０３：暗号情報ｃ２生成ステップ）
実施の形態２における（Ｓ４０３）と同様に、暗号情報生成部２３０は、平文情報ｍに基づき、数１９６を処理装置により計算して暗号情報ｃ２を生成する。
【数１９６】
【０１０３】
（Ｓ４０４：データ送信ステップ）
実施の形態２における（Ｓ４０４）と同様に、データ送信部２４０は、暗号ベクトル生成部２２０が生成した暗号ベクトルｃ１と、暗号情報生成部２３０が生成した暗号情報ｃ２とを復号装置３００へ通信装置を介して送信する。
【０１０４】
すなわち、暗号化装置２００は、数１９７に示すＥｎｃアルゴリズムを実行して、暗号ベクトルｃ１と暗号情報ｃ２とを生成する。
【数１９７】
【０１０５】
復号装置３００の機能と動作とについて説明する。
（Ｓ５０１：ベクトル入力ステップ）
実施の形態２における（Ｓ５０１）と同様に、ベクトル入力部３１０は、暗号化装置２００のデータ送信部２４０が送信した暗号ベクトルｃ１と暗号情報ｃ２とを通信装置を介して受信して入力する。
【０１０６】
（Ｓ５０２：復号ステップ）
実施の形態２における（Ｓ５０２）と同様に、ペアリング演算部３３０は、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃとに基づき、数１９８を処理装置により計算して平文情報ｍ’を生成する。
【数１９８】
ここで、暗号化装置２００が暗号化に用いた属性ベクトルｘ→ｉ（ｉ＝１，．．．，ｈ）と、復号装置３００が復号に用いた鍵ベクトルの述語ベクトルｖ→ｊ（ｊ＝１，．．．，Ｌ）とについて、全てのｉ（ｉ＝１，．．．，ｈ）、ｊ（ｊ＝１，．．．，Ｌ）についてｘ→ｉ・ｖ→ｊ＝０であるなら、ペアリング演算部３３０は、平文情報ｍを生成することができる。なお、平文情報ｍ∈ＧＴであるとする。
【０１０７】
つまり、復号装置３００は、数１９９に示すＤｅｃアルゴリズムを実行して、平文情報ｍ’を生成する。
【数１９９】
【０１０８】
鍵委譲装置４００の機能と動作とについて説明する。
（Ｓ６０１：鍵情報ｋ→＊Ｌ取得ステップ）
実施の形態２における（Ｓ６０１）と同様に、鍵ベクトル取得部４１０は、第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ，ｄｅｃと、ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）と、鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）とを含む第Ｌ層目の秘密鍵（鍵情報ｋ→＊Ｌ）を通信装置を介して取得する。
【０１０９】
（Ｓ６０２：鍵ベクトルｋ＊Ｌ＋１，ｄｅｃ生成ステップ）
鍵ベクトル生成部４２０は、マスター公開鍵ｐｋと鍵情報ｋ→＊Ｌと数２００に示す述語ベクトルｖ→Ｌ＋１とに基づき、数２０１を計算して、第Ｌ＋１層目の秘密鍵の先頭要素である鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを処理装置により生成する。
【数２００】
【数２０１】
【０１１０】
（Ｓ６０３：ランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊ生成ステップ）
ランダム化ベクトル生成部４３０は、マスター公開鍵ｐｋと鍵情報ｋ→＊Ｌと数２００に示す述語ベクトルｖ→Ｌ＋１とに基づき、数２０２を計算して、ランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）を生成する。
【数２０２】
【０１１１】
（Ｓ６０４：鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ生成ステップ）
鍵生成用ベクトル生成部４４０は、マスター公開鍵ｐｋと鍵情報ｋ→＊Ｌと数２００に示す述語ベクトルｖ→Ｌ＋１とに基づき、数２０３を計算して、鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）を処理装置により生成する。
【数２０３】
【０１１２】
すなわち、（Ｓ６０２）から（Ｓ６０４）において、鍵ベクトル生成部４２０とランダム化ベクトル生成部４３０と鍵生成用ベクトル生成部４４０とは、数２０４に示すＤｅｌｅｇａｔｅＬアルゴリズムを実行して、鍵ベクトルｋ＊Ｌ＋１，ｄｅｃと、ランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）と、鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）とを含む第Ｌ＋１層目の秘密鍵（鍵情報ｋ→＊Ｌ＋１）を処理装置により生成する。
【数２０４】
【０１１３】
（Ｓ６０５：鍵配布ステップ）
実施の形態２における（Ｓ６０５）と同様に、鍵配布部４５０は、鍵ベクトル生成部４２０とランダム化ベクトル生成部４３０と鍵生成用ベクトル生成部４４０とが生成した鍵情報ｋ→＊Ｌ＋１を下位の復号装置３００へ通信装置を介して送信する。
【０１１４】
上述したように、暗号化装置２００が暗号化に用いた属性ベクトルｘ→ｊ（ｉ＝１，．．．，ｈ）と、復号装置３００が復号に用いた鍵ベクトルｋ＊Ｌ，ｄｅｃの述語ベクトルｖ→ｉ（ｊ＝１，．．．，Ｌ）とについて、全てのｉ（ｉ＝１，．．．，ｈ）、ｊ（ｊ＝１，．．．，Ｌ）についてｘ→ｉ・ｖ→ｊ＝０であるなら、復号装置３００は復号することができる。つまり、述語ベクトル（ｖ→１）に基づき生成された鍵ベクトルｋ＊１，ｄｅｃで復号する場合、ｘ→・ｖ→１＝０であるなら、復号装置３００は復号することができる。また、述語ベクトル（ｖ→１，ｖ→２）に基づき生成された鍵ベクトルｋ＊２，ｄｅｃで復号する場合、ｘ→・ｖ→１＝０かつｘ→・ｖ→２＝０であるなら、復号装置３００は復号することができる。つまり、実施の形態２で説明したアルゴリズムと同様に、下位の鍵ベクトルｋ＊２，ｄｅｃは、上位の鍵ベクトルｋ＊１，ｄｅｃよりも機能が制限されている。
【０１１５】
なお、実施の形態２と同様に、以上の説明では、暗号化装置２００が送信情報を設定する基底ベクトルｄｎ＋１を２次元とした。しかし、基底ベクトルｄｎ＋１は３次元以上のｍ次元（基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍ）であってもよい。
【０１１６】
また、実施の形態２と同様に、暗号化装置２００が実行するＥｎｃアルゴリズムと、復号装置３００が実行するＤｅｃアルゴリズムとを、それぞれ数２０５と数２０６とのように変更することで、階層的述語鍵秘匿方式を実現することも可能である。
【数２０５】
【数２０６】
【０１１７】
実施の形態４．
以上の実施の形態では、双対ベクトル空間において暗号処理を実現する方法について説明した。この実施の形態では、双対加群において暗号処理を実現する方法について説明する。
【０１１８】
つまり、以上の実施の形態では、素数位数ｑの巡回群において暗号処理を実現した。しかし、合成数Ｍを用いて数２０７のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した暗号処理を適用することができる。
【数２０７】
【０１１９】
例えば、実施の形態２で説明した階層的述語暗号を、環Ｒを係数とする加群において実現すると数２０８から数２１２のようになる。
【数２０８】
【数２０９】
【数２１０】
【数２１１】
【数２１２】
【０１２０】
ここでは、実施の形態２で説明した階層的述語暗号についてのみ、環Ｒを係数とする加群において実現する方法を示した。しかし、原則として、以上の実施の形態で体Ｆｑとして説明した処理を、環Ｒに置き換えることにより、以上の実施の形態で説明した他の暗号処理についても、環Ｒを係数とする加群において実現できる。
【０１２１】
次に、実施の形態における暗号処理システム１０（鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００）のハードウェア構成について説明する。
図２１は、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００のハードウェア構成の一例を示す図である。
図２１に示すように、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０（固定ディスク装置）の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。磁気ディスク装置９２０は、所定の固定ディスクインタフェースを介して接続される。
【０１２２】
ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４と磁気ディスク装置９２０とは、記憶装置（メモリ）の一例である。また、キーボード９０２、通信ボード９１５は、入力装置の一例である。また、通信ボード９１５は、通信装置（ネットワークインタフェース）の一例である。さらに、ＬＣＤ９０１は、表示装置の一例である。
【０１２３】
磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。
【０１２４】
プログラム群９２３には、上記の説明において「マスター鍵生成部１１０」、「マスター鍵記憶部１２０」、「鍵ベクトル生成部１３０」、「ランダム化ベクトル生成部１４０」、「鍵生成用ベクトル生成部１５０」、「鍵配布部１６０」、「送信情報設定部２１０」、「暗号ベクトル生成部２２０」、「暗号情報生成部２３０」、「データ送信部２４０」、「公開鍵取得部２５０」、「セッション鍵生成部２６０」、「ベクトル入力部３１０」、「鍵ベクトル記憶部３２０」、「ペアリング演算部３３０」、「鍵ベクトル取得部４１０」、「鍵ベクトル生成部４２０」、「ランダム化ベクトル生成部４３０」、「鍵生成用ベクトル生成部４４０」、「鍵配布部４５０」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、上記の説明において「マスター公開鍵ｐｋ」、「マスター秘密鍵ｓｋ」、「暗号ベクトルｃ」、「鍵ベクトル」等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
【０１２５】
また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
また、上記の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜装置」として説明するものは、「〜回路」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。さらに、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「〜部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「〜部」の手順や方法をコンピュータ等に実行させるものである。
【符号の説明】
【０１２６】
１０ 暗号処理システム、１００ 鍵生成装置、１１０ マスター鍵生成部、１２０ マスター鍵記憶部、１３０ 鍵ベクトル生成部、１４０ ランダム化ベクトル生成部、１５０ 鍵生成用ベクトル生成部、１６０ 鍵配布部、２００ 暗号化装置、２１０ 送信情報設定部、２２０ 暗号ベクトル生成部、２３０ 暗号情報生成部、２４０ データ送信部、２５０ 公開鍵取得部、２６０ セッション鍵生成部、３００ 復号装置、３１０ ベクトル入力部、３２０ 鍵ベクトル記憶部、３３０ ペアリング演算部、４００ 鍵委譲装置、４１０ 鍵ベクトル取得部、４２０ 鍵ベクトル生成部、４３０ ランダム化ベクトル生成部、４４０ 鍵生成用ベクトル生成部、４５０ 鍵配布部。
【特許請求の範囲】
【請求項１】
数１に示すペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理システムであり、
前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として処理装置により生成する暗号化装置と、
前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして、前記暗号化装置が生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、処理装置により数１に示すペアリング演算ｅ（ｃ１，ｋ＊Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号装置と
を備えることを特徴とする暗号処理システム。
【数１】
【請求項２】
前記暗号処理システムは、さらに、
前記基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，Ｎ）のうち、基底ベクトルｂ＊ｉ（ｉ＝０，．．．，ｎ）の少なくとも一部の基底ベクトルに対する係数として述語情報を設定するとともに、基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、ｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を設定したベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして処理装置により生成する鍵生成装置を備え、
前記復号装置は、前記鍵生成装置が生成した鍵ベクトルｋ＊Ｌ，ｄｅｃを取得して、取得した鍵ベクトルｋ＊Ｌ，ｄｅｃと暗号ベクトルｃ１とについて前記ペアリング演算を行う
ことを特徴とする請求項１に記載の暗号処理システム。
【請求項３】
前記暗号処理システムは、さらに、
前記鍵生成装置が生成した鍵ベクトルｋ＊Ｌ，ｄｅｃが復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能なベクトルであって、述語情報を設定した基底ベクトルに対する係数として一様に分布させた値を持つ乱数を設定したベクトルを鍵ベクトルｋ＊Ｌ＋１，ｄｅｃとして生成する鍵委譲装置
を備えることを特徴とする請求項２に記載の暗号処理システム。
【請求項４】
述語暗号における秘密鍵である鍵ベクトルｋ＊Ｌ，ｄｅｃを生成する鍵生成装置であり、
ペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖ＊における所定の基底Ｂ＊を記憶装置に記憶するマスター鍵記憶部と、
前記マスター鍵記憶部が記憶した前記基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）のうち、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）の少なくとも一部の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数として述語情報を設定するとともに、基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，Ｎ）うちの２つ以上の所定の基底ベクトルに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数を設定したベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして処理装置により生成する鍵ベクトル生成部と
を備えることを特徴とする鍵生成装置。
【請求項５】
前記鍵ベクトル生成部は、数２に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを生成する
ことを特徴とする請求項４に記載の鍵生成装置。
【数２】
【請求項６】
前記鍵ベクトル生成部は、数３に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを生成する
ことを特徴とする請求項４に記載の鍵生成装置。
【数３】
【請求項７】
前記鍵生成装置は、さらに、
前記鍵ベクトル生成部が生成した鍵ベクトルｋ＊Ｌ，ｄｅｃで復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能な鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成するためのベクトルであって、少なくともｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値が設定された少なくともｎ−μＬ個のベクトルを鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊとして処理装置により生成する鍵生成用ベクトル生成部と、
前記鍵生成用ベクトル生成部が生成した鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊで生成される鍵ベクトルｋ＊Ｌ＋１，ｄｅｃのうち、述語情報が設定される基底ベクトルの係数に一様に分布した値を設定するためのベクトルであって、少なくともｊ＝１，．．．，Ｌ＋１の各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値が設定された少なくともＬ＋１個のベクトルをランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊとして処理装置により生成するランダム化ベクトル生成部と
を備えることを特徴とする請求項４に記載の鍵生成装置。
【請求項８】
前記鍵ベクトル生成部は、数４に示す鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを生成し、
前記ランダム化ベクトル生成部は、数５に示すランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを生成する
ことを特徴とする請求項７に記載の鍵生成装置。
【数４】
【数５】
【請求項９】
前記鍵ベクトル生成部は、数６に示す鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを生成し、
前記ランダム化ベクトル生成部は、数７に示すランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを生成する
ことを特徴とする請求項７に記載の鍵生成装置。
【数６】
【数７】
【請求項１０】
述語暗号における秘密鍵である鍵ベクトルｋ＊Ｌ，ｄｅｃで復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能な鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する鍵委譲装置であり、
ペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖ＊における所定の基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）のうち、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）の少なくとも一部の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数として述語情報が設定されるとともに、基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数が設定された鍵ベクトルｋ＊Ｌ，ｄｅｃを取得する鍵ベクトル取得部と、
少なくともｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値が設定された少なくともｎ−μＬ個の鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを取得する鍵生成用ベクトル取得部と、
前記鍵生成用ベクトル取得部が取得した前記鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊの少なくとも一部の前記鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊの各基底ベクトルの係数を述語情報倍し、前記鍵ベクトル取得部が取得した前記鍵ベクトルｋ＊Ｌ，ｄｅｃに加算して鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する鍵ベクトル生成部と
を備えることを特徴とする鍵委譲装置。
【請求項１１】
前記鍵委譲装置は、さらに、
少なくともｊ＝１，．．．，Ｌ＋１の各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値が設定された少なくともＬ＋１個のランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを取得するランダム化ベクトル取得部を備え、
前記鍵ベクトル生成部は、前記ランダム化ベクトル取得部が取得した前記ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊの少なくとも一部の前記ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊの各基底ベクトルの係数を乱数倍し、前記鍵ベクトルｋ＊Ｌ＋１，ｄｅｃにさらに加算して鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する
ことを特徴とする請求項１０に記載の鍵委譲装置。
【請求項１２】
前記鍵ベクトル取得部は、数８に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを取得し、
前記鍵生成用ベクトル取得部は、数９に示す鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを取得し、
前記ランダム化ベクトル取得部は、数１０に示すランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを取得し、
前記鍵ベクトル生成部は、数１１に示す鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する
ことを特徴とする請求項１１に記載の鍵委譲装置。
【数８】
【数９】
【数１０】
【数１１】
【請求項１３】
前記鍵ベクトル取得部は、数１２に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを取得し、
前記鍵生成用ベクトル取得部は、数１３に示す鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを取得し、
前記ランダム化ベクトル取得部は、数１４に示すランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを取得し、
前記鍵ベクトル生成部は、数１５に示す鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する
ことを特徴とする請求項１１に記載の鍵委譲装置。
【数１２】
【数１３】
【数１４】
【数１５】
【請求項１４】
前記鍵委譲装置は、さらに、
前記鍵ベクトル生成部が生成した鍵ベクトルｋ＊Ｌ＋１，ｄｅｃで復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能な鍵ベクトルｋ＊Ｌ＋２，ｄｅｃを生成するためのベクトルであって、少なくともｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値を設定した少なくともｎ−μＬ＋１個のベクトルを鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊとして処理装置により生成する鍵生成用ベクトル生成部と、
前記鍵生成用ベクトル生成部が生成した鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊで生成される鍵ベクトルｋ＊Ｌ＋２，ｄｅｃのうち、述語情報が設定される基底ベクトルの係数に一様に分布した値を設定するためのベクトルであって、少なくともｊ＝１，．．．，Ｌ＋２の各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値を設定した少なくともＬ＋２個のベクトルをランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊとして処理装置により生成するランダム化ベクトル生成部と
を備えることを特徴とする請求項１１に記載の鍵委譲装置。
【請求項１５】
前記鍵生成用ベクトル取得部は、数１６に示す鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを取得し、
前記ランダム化ベクトル取得部は、数１７に示すランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを取得し、
前記鍵ベクトル生成部は、数１８に示す鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊを生成し、
前記ランダム化ベクトル生成部は、数１９に示すランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊを生成する
ことを特徴とする請求項１４に記載の鍵委譲装置。
【数１６】
【数１７】
【数１８】
【数１９】
【請求項１６】
前記鍵生成用ベクトル取得部は、数２０に示す鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを取得し、
前記ランダム化ベクトル取得部は、数２１に示すランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを取得し、
前記鍵ベクトル生成部は、数２２に示す鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊを生成し、
前記ランダム化ベクトル生成部は、数２３に示すランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊを生成する
ことを特徴とする請求項１４に記載の鍵委譲装置。
【数２０】
【数２１】
【数２２】
【数２３】
【請求項１７】
述語暗号における暗号文である暗号ベクトルｃ１を生成する暗号化装置であり、
ペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルの和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾を取得するとともに、所定の属性情報を取得する公開鍵取得部と、
前記公開鍵取得部が取得した基底Ｂ＾におけるベクトルであって、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を設定したベクトルを送信情報ベクトルζｖとして処理装置により生成する送信情報設定部と、
前記基底Ｂ＾の前記基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）のうちの少なくとも一部の基底ベクトルに対する係数として属性情報を設定した属性情報ベクトルを、前記送信情報設定部が生成した送信情報ベクトルζｖに加算して暗号ベクトルｃ１を処理装置により生成する暗号ベクトル生成部と
を備えることを特徴とする暗号化装置。
【請求項１８】
前記送信情報設定部は、数２４に示す送信情報ベクトルζｖを生成し、
前記暗号ベクトル生成部は、数２５に示す暗号ベクトルｃ１を生成する
ことを特徴とする請求項１７に記載の暗号化装置。
【数２４】
【数２５】
【請求項１９】
前記送信情報設定部は、数２６に示す送信情報ベクトルζｖを生成し、
前記暗号ベクトル生成部は、数２７に示す暗号ベクトルｃ１を生成する
ことを特徴とする請求項１７に記載の暗号化装置。
【数２６】
【数２７】
【請求項２０】
前記暗号化装置は、さらに、
数２８に示す暗号情報ｃ２を生成する暗号情報生成部
を備えることを特徴とする請求項１７に記載の暗号化装置。
【数２８】
【請求項２１】
述語暗号における暗号文を復号する復号装置であり、
ペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルの和である基底ベクトルｄｎ＋１とを有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）のうち少なくとも基底ベクトルｂｉ（ｉ＝１，．．．，μｈ）に対する係数として属性情報が設定されるとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報が設定されたベクトルである暗号ベクトルｃ１を入力するベクトル入力部と、
前記空間Ｖ＊における所定の基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）のうち、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）の少なくとも基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）（μＬ≦μｈ）に対する係数として述語情報ｖｉ（ｉ＝１，．．．，μＬ）が設定されるとともに、前記基底ベクトルｄｎ＋１を構成する基底ベクトルｂｉに対応する基底ベクトルｂ＊ｉに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数が設定された鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶装置に記憶する鍵ベクトル記憶部と、
前記ベクトル入力部が入力した暗号ベクトルｃ１と、前記鍵ベクトル記憶部が記憶した鍵ベクトルｋ＊Ｌ，ｄｅｃとについて処理装置により前記ペアリング演算を行い、前記暗号ベクトルｃ１から前記所定の情報に関する値を抽出するペアリング演算部と
を備えることを特徴とする復号装置。
【請求項２２】
前記ベクトル入力部は、数２９に示す暗号ベクトルｃ１を入力し、
前記鍵ベクトル記憶部は、数３０に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶し、
前記ペアリング演算部は、数３１に示すペアリング演算を行い、前記暗号ベクトルから前記所定の情報に関する値を抽出する
ことを特徴とする請求項２１に記載の復号装置。
【数２９】
【数３０】
【数３１】
【請求項２３】
前記ベクトル入力部は、数３２に示す暗号ベクトルｃ１を入力し、
前記鍵ベクトル記憶部は、数３３に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶し、
前記ペアリング演算部は、数３４に示すペアリング演算を行い、前記暗号ベクトルから前記所定の情報に関する値を抽出する
ことを特徴とする請求項２１に記載の復号装置。
【数３２】
【数３３】
【数３４】
【請求項２４】
前記ベクトル入力部は、数３５に示す暗号ベクトルｃ１と、平文情報ｍを暗号化した数３６に示す暗号情報ｃ２とを入力し、
前記鍵ベクトル記憶部は、数３７に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶し、
前記ペアリング演算部は、数３８に示す演算を行い、前記暗号ベクトルｃ１から前記平文情報ｍを抽出する
ことを特徴とする請求項２１に記載の復号装置。
【数３５】
【数３６】
【数３７】
【数３８】
【請求項２５】
前記ベクトル入力部は、数３９に示す暗号ベクトルｃ１と、平文情報ｍを暗号化した数４０に示す暗号情報ｃ２とを入力し、
前記鍵ベクトル記憶部は、数４１に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶し、
前記ペアリング演算部は、数４２に示す演算を行い、前記暗号ベクトルｃ１から前記平文情報ｍを抽出する
ことを特徴とする請求項２１に記載の復号装置。
【数３９】
【数４０】
【数４１】
【数４２】
【請求項２６】
数４３に示すペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理システムであり、
前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として処理装置により生成する暗号化装置と、
前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして、前記暗号化装置が生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、処理装置により数４３に示すペアリング演算ｅ（ｃ１，ｋ＊Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号装置と
を備えることを特徴とする暗号処理システム。
【数４３】
【請求項２７】
述語暗号における秘密鍵である鍵ベクトルｋ＊Ｌ，ｄｅｃを生成する鍵生成装置であり、
ペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖ＊における所定の基底Ｂ＊を記憶装置に記憶するマスター鍵記憶部と、
前記マスター鍵記憶部が記憶した前記基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）のうち、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）の少なくとも一部の基底ベクトルに対する係数として述語情報を設定するとともに、基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，Ｎ）うちの２つ以上の所定の基底ベクトルに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数を設定したベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして処理装置により生成する鍵ベクトル生成部と
を備えることを特徴とする鍵生成装置。
【請求項２８】
述語暗号における秘密鍵である鍵ベクトルｋ＊Ｌ，ｄｅｃで復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能な鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する鍵委譲装置であり、
ペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖ＊における所定の基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）のうち、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）の少なくとも一部の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数として述語情報が設定されるとともに、基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数が設定された鍵ベクトルｋ＊Ｌ，ｄｅｃを取得する鍵ベクトル取得部と、
少なくともｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値が設定された少なくともｎ−（μＬ＋１）個の鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを取得する鍵生成用ベクトル取得部と、
前記鍵生成用ベクトル取得部が取得した前記鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊの少なくとも一部の前記鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊの各基底ベクトルの係数を述語情報倍し、前記鍵ベクトル取得部が取得した前記鍵ベクトルｋ＊Ｌ，ｄｅｃに加算して鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する鍵ベクトル生成部と
を備えることを特徴とする鍵委譲装置。
【請求項２９】
ペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルの和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾を取得するとともに、所定の属性情報を取得する公開鍵取得部と、
前記公開鍵取得部が取得した基底Ｂ＾におけるベクトルであって、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を設定したベクトルを送信情報ベクトルζｖとして処理装置により生成する送信情報設定部と、
前記基底Ｂ＾の前記基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）のうちの少なくとも一部の基底ベクトルに対する係数として属性情報を設定した属性情報ベクトルを、前記送信情報設定部が生成した送信情報ベクトルに加算して暗号ベクトルｃ１を処理装置により生成する暗号ベクトル生成部と
を備えることを特徴とする暗号化装置。
【請求項３０】
ペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルの和である基底ベクトルｄｎ＋１とを有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）の少なくとも基底ベクトルｂｉ（ｉ＝１，．．．，μｈ）に対する係数として属性情報が設定されるとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報が設定されたベクトルである暗号ベクトルｃ１を入力するベクトル入力部と、
前記空間Ｖ＊における所定の基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）のうち、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）の少なくとも基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）（μＬ≦μｈ）に対する係数として述語情報ｖｉ（ｉ＝１，．．．，μＬ）が設定されるとともに、前記基底ベクトルｄｎ＋１を構成する基底ベクトルｂｉに対応する基底ベクトルｂ＊ｉに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数が設定された鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶装置に記憶する鍵ベクトル記憶部と、
前記ベクトル入力部が入力した暗号ベクトルｃ１と、前記鍵ベクトル記憶部が記憶した鍵ベクトルｋ＊Ｌ，ｄｅｃとについて処理装置により前記ペアリング演算を行い、前記暗号ベクトルｃ１から前記所定の情報に関する値を抽出するペアリング演算部と
を備えることを特徴とする復号装置。
【請求項３１】
数４４に示すペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理方法であり、
処理装置が、前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として生成する暗号化ステップと、
処理装置が、前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして、前記暗号化ステップで生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、数４４に示すペアリング演算ｅ（ｃ１，ｋ＊Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号ステップと
を備えることを特徴とする暗号処理方法。
【数４４】
【請求項３２】
数４５に示すペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理プログラムであり、
前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として生成する暗号化処理と、
前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして、前記暗号化処理で生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、により数４５に示すペアリング演算ｅ（ｃ１，ｋ＊Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号処理と
をコンピュータに実行させることを特徴とする暗号処理プログラム。
【数４５】
【請求項１】
数１に示すペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理システムであり、
前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として処理装置により生成する暗号化装置と、
前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして、前記暗号化装置が生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、処理装置により数１に示すペアリング演算ｅ（ｃ１，ｋ＊Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号装置と
を備えることを特徴とする暗号処理システム。
【数１】
【請求項２】
前記暗号処理システムは、さらに、
前記基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，Ｎ）のうち、基底ベクトルｂ＊ｉ（ｉ＝０，．．．，ｎ）の少なくとも一部の基底ベクトルに対する係数として述語情報を設定するとともに、基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、ｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を設定したベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして処理装置により生成する鍵生成装置を備え、
前記復号装置は、前記鍵生成装置が生成した鍵ベクトルｋ＊Ｌ，ｄｅｃを取得して、取得した鍵ベクトルｋ＊Ｌ，ｄｅｃと暗号ベクトルｃ１とについて前記ペアリング演算を行う
ことを特徴とする請求項１に記載の暗号処理システム。
【請求項３】
前記暗号処理システムは、さらに、
前記鍵生成装置が生成した鍵ベクトルｋ＊Ｌ，ｄｅｃが復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能なベクトルであって、述語情報を設定した基底ベクトルに対する係数として一様に分布させた値を持つ乱数を設定したベクトルを鍵ベクトルｋ＊Ｌ＋１，ｄｅｃとして生成する鍵委譲装置
を備えることを特徴とする請求項２に記載の暗号処理システム。
【請求項４】
述語暗号における秘密鍵である鍵ベクトルｋ＊Ｌ，ｄｅｃを生成する鍵生成装置であり、
ペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖ＊における所定の基底Ｂ＊を記憶装置に記憶するマスター鍵記憶部と、
前記マスター鍵記憶部が記憶した前記基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）のうち、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）の少なくとも一部の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数として述語情報を設定するとともに、基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，Ｎ）うちの２つ以上の所定の基底ベクトルに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数を設定したベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして処理装置により生成する鍵ベクトル生成部と
を備えることを特徴とする鍵生成装置。
【請求項５】
前記鍵ベクトル生成部は、数２に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを生成する
ことを特徴とする請求項４に記載の鍵生成装置。
【数２】
【請求項６】
前記鍵ベクトル生成部は、数３に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを生成する
ことを特徴とする請求項４に記載の鍵生成装置。
【数３】
【請求項７】
前記鍵生成装置は、さらに、
前記鍵ベクトル生成部が生成した鍵ベクトルｋ＊Ｌ，ｄｅｃで復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能な鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成するためのベクトルであって、少なくともｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値が設定された少なくともｎ−μＬ個のベクトルを鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊとして処理装置により生成する鍵生成用ベクトル生成部と、
前記鍵生成用ベクトル生成部が生成した鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊで生成される鍵ベクトルｋ＊Ｌ＋１，ｄｅｃのうち、述語情報が設定される基底ベクトルの係数に一様に分布した値を設定するためのベクトルであって、少なくともｊ＝１，．．．，Ｌ＋１の各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値が設定された少なくともＬ＋１個のベクトルをランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊとして処理装置により生成するランダム化ベクトル生成部と
を備えることを特徴とする請求項４に記載の鍵生成装置。
【請求項８】
前記鍵ベクトル生成部は、数４に示す鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを生成し、
前記ランダム化ベクトル生成部は、数５に示すランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを生成する
ことを特徴とする請求項７に記載の鍵生成装置。
【数４】
【数５】
【請求項９】
前記鍵ベクトル生成部は、数６に示す鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを生成し、
前記ランダム化ベクトル生成部は、数７に示すランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを生成する
ことを特徴とする請求項７に記載の鍵生成装置。
【数６】
【数７】
【請求項１０】
述語暗号における秘密鍵である鍵ベクトルｋ＊Ｌ，ｄｅｃで復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能な鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する鍵委譲装置であり、
ペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖ＊における所定の基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）のうち、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）の少なくとも一部の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数として述語情報が設定されるとともに、基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数が設定された鍵ベクトルｋ＊Ｌ，ｄｅｃを取得する鍵ベクトル取得部と、
少なくともｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値が設定された少なくともｎ−μＬ個の鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを取得する鍵生成用ベクトル取得部と、
前記鍵生成用ベクトル取得部が取得した前記鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊの少なくとも一部の前記鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊの各基底ベクトルの係数を述語情報倍し、前記鍵ベクトル取得部が取得した前記鍵ベクトルｋ＊Ｌ，ｄｅｃに加算して鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する鍵ベクトル生成部と
を備えることを特徴とする鍵委譲装置。
【請求項１１】
前記鍵委譲装置は、さらに、
少なくともｊ＝１，．．．，Ｌ＋１の各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値が設定された少なくともＬ＋１個のランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを取得するランダム化ベクトル取得部を備え、
前記鍵ベクトル生成部は、前記ランダム化ベクトル取得部が取得した前記ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊの少なくとも一部の前記ランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊの各基底ベクトルの係数を乱数倍し、前記鍵ベクトルｋ＊Ｌ＋１，ｄｅｃにさらに加算して鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する
ことを特徴とする請求項１０に記載の鍵委譲装置。
【請求項１２】
前記鍵ベクトル取得部は、数８に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを取得し、
前記鍵生成用ベクトル取得部は、数９に示す鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを取得し、
前記ランダム化ベクトル取得部は、数１０に示すランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを取得し、
前記鍵ベクトル生成部は、数１１に示す鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する
ことを特徴とする請求項１１に記載の鍵委譲装置。
【数８】
【数９】
【数１０】
【数１１】
【請求項１３】
前記鍵ベクトル取得部は、数１２に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを取得し、
前記鍵生成用ベクトル取得部は、数１３に示す鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを取得し、
前記ランダム化ベクトル取得部は、数１４に示すランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを取得し、
前記鍵ベクトル生成部は、数１５に示す鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する
ことを特徴とする請求項１１に記載の鍵委譲装置。
【数１２】
【数１３】
【数１４】
【数１５】
【請求項１４】
前記鍵委譲装置は、さらに、
前記鍵ベクトル生成部が生成した鍵ベクトルｋ＊Ｌ＋１，ｄｅｃで復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能な鍵ベクトルｋ＊Ｌ＋２，ｄｅｃを生成するためのベクトルであって、少なくともｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値を設定した少なくともｎ−μＬ＋１個のベクトルを鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊとして処理装置により生成する鍵生成用ベクトル生成部と、
前記鍵生成用ベクトル生成部が生成した鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊで生成される鍵ベクトルｋ＊Ｌ＋２，ｄｅｃのうち、述語情報が設定される基底ベクトルの係数に一様に分布した値を設定するためのベクトルであって、少なくともｊ＝１，．．．，Ｌ＋２の各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値を設定した少なくともＬ＋２個のベクトルをランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊとして処理装置により生成するランダム化ベクトル生成部と
を備えることを特徴とする請求項１１に記載の鍵委譲装置。
【請求項１５】
前記鍵生成用ベクトル取得部は、数１６に示す鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを取得し、
前記ランダム化ベクトル取得部は、数１７に示すランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを取得し、
前記鍵ベクトル生成部は、数１８に示す鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊを生成し、
前記ランダム化ベクトル生成部は、数１９に示すランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊを生成する
ことを特徴とする請求項１４に記載の鍵委譲装置。
【数１６】
【数１７】
【数１８】
【数１９】
【請求項１６】
前記鍵生成用ベクトル取得部は、数２０に示す鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを取得し、
前記ランダム化ベクトル取得部は、数２１に示すランダム化ベクトルｋ＊Ｌ，ｒａｎ，ｊを取得し、
前記鍵ベクトル生成部は、数２２に示す鍵生成用ベクトルｋ＊Ｌ＋１，ｄｅｌ，ｊを生成し、
前記ランダム化ベクトル生成部は、数２３に示すランダム化ベクトルｋ＊Ｌ＋１，ｒａｎ，ｊを生成する
ことを特徴とする請求項１４に記載の鍵委譲装置。
【数２０】
【数２１】
【数２２】
【数２３】
【請求項１７】
述語暗号における暗号文である暗号ベクトルｃ１を生成する暗号化装置であり、
ペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルの和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾を取得するとともに、所定の属性情報を取得する公開鍵取得部と、
前記公開鍵取得部が取得した基底Ｂ＾におけるベクトルであって、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を設定したベクトルを送信情報ベクトルζｖとして処理装置により生成する送信情報設定部と、
前記基底Ｂ＾の前記基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）のうちの少なくとも一部の基底ベクトルに対する係数として属性情報を設定した属性情報ベクトルを、前記送信情報設定部が生成した送信情報ベクトルζｖに加算して暗号ベクトルｃ１を処理装置により生成する暗号ベクトル生成部と
を備えることを特徴とする暗号化装置。
【請求項１８】
前記送信情報設定部は、数２４に示す送信情報ベクトルζｖを生成し、
前記暗号ベクトル生成部は、数２５に示す暗号ベクトルｃ１を生成する
ことを特徴とする請求項１７に記載の暗号化装置。
【数２４】
【数２５】
【請求項１９】
前記送信情報設定部は、数２６に示す送信情報ベクトルζｖを生成し、
前記暗号ベクトル生成部は、数２７に示す暗号ベクトルｃ１を生成する
ことを特徴とする請求項１７に記載の暗号化装置。
【数２６】
【数２７】
【請求項２０】
前記暗号化装置は、さらに、
数２８に示す暗号情報ｃ２を生成する暗号情報生成部
を備えることを特徴とする請求項１７に記載の暗号化装置。
【数２８】
【請求項２１】
述語暗号における暗号文を復号する復号装置であり、
ペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルの和である基底ベクトルｄｎ＋１とを有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）のうち少なくとも基底ベクトルｂｉ（ｉ＝１，．．．，μｈ）に対する係数として属性情報が設定されるとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報が設定されたベクトルである暗号ベクトルｃ１を入力するベクトル入力部と、
前記空間Ｖ＊における所定の基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）のうち、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）の少なくとも基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）（μＬ≦μｈ）に対する係数として述語情報ｖｉ（ｉ＝１，．．．，μＬ）が設定されるとともに、前記基底ベクトルｄｎ＋１を構成する基底ベクトルｂｉに対応する基底ベクトルｂ＊ｉに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数が設定された鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶装置に記憶する鍵ベクトル記憶部と、
前記ベクトル入力部が入力した暗号ベクトルｃ１と、前記鍵ベクトル記憶部が記憶した鍵ベクトルｋ＊Ｌ，ｄｅｃとについて処理装置により前記ペアリング演算を行い、前記暗号ベクトルｃ１から前記所定の情報に関する値を抽出するペアリング演算部と
を備えることを特徴とする復号装置。
【請求項２２】
前記ベクトル入力部は、数２９に示す暗号ベクトルｃ１を入力し、
前記鍵ベクトル記憶部は、数３０に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶し、
前記ペアリング演算部は、数３１に示すペアリング演算を行い、前記暗号ベクトルから前記所定の情報に関する値を抽出する
ことを特徴とする請求項２１に記載の復号装置。
【数２９】
【数３０】
【数３１】
【請求項２３】
前記ベクトル入力部は、数３２に示す暗号ベクトルｃ１を入力し、
前記鍵ベクトル記憶部は、数３３に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶し、
前記ペアリング演算部は、数３４に示すペアリング演算を行い、前記暗号ベクトルから前記所定の情報に関する値を抽出する
ことを特徴とする請求項２１に記載の復号装置。
【数３２】
【数３３】
【数３４】
【請求項２４】
前記ベクトル入力部は、数３５に示す暗号ベクトルｃ１と、平文情報ｍを暗号化した数３６に示す暗号情報ｃ２とを入力し、
前記鍵ベクトル記憶部は、数３７に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶し、
前記ペアリング演算部は、数３８に示す演算を行い、前記暗号ベクトルｃ１から前記平文情報ｍを抽出する
ことを特徴とする請求項２１に記載の復号装置。
【数３５】
【数３６】
【数３７】
【数３８】
【請求項２５】
前記ベクトル入力部は、数３９に示す暗号ベクトルｃ１と、平文情報ｍを暗号化した数４０に示す暗号情報ｃ２とを入力し、
前記鍵ベクトル記憶部は、数４１に示す鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶し、
前記ペアリング演算部は、数４２に示す演算を行い、前記暗号ベクトルｃ１から前記平文情報ｍを抽出する
ことを特徴とする請求項２１に記載の復号装置。
【数３９】
【数４０】
【数４１】
【数４２】
【請求項２６】
数４３に示すペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理システムであり、
前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として処理装置により生成する暗号化装置と、
前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして、前記暗号化装置が生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、処理装置により数４３に示すペアリング演算ｅ（ｃ１，ｋ＊Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号装置と
を備えることを特徴とする暗号処理システム。
【数４３】
【請求項２７】
述語暗号における秘密鍵である鍵ベクトルｋ＊Ｌ，ｄｅｃを生成する鍵生成装置であり、
ペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖ＊における所定の基底Ｂ＊を記憶装置に記憶するマスター鍵記憶部と、
前記マスター鍵記憶部が記憶した前記基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）のうち、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）の少なくとも一部の基底ベクトルに対する係数として述語情報を設定するとともに、基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，Ｎ）うちの２つ以上の所定の基底ベクトルに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数を設定したベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして処理装置により生成する鍵ベクトル生成部と
を備えることを特徴とする鍵生成装置。
【請求項２８】
述語暗号における秘密鍵である鍵ベクトルｋ＊Ｌ，ｄｅｃで復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能な鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する鍵委譲装置であり、
ペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖ＊における所定の基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）のうち、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）の少なくとも一部の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）に対する係数として述語情報が設定されるとともに、基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数が設定された鍵ベクトルｋ＊Ｌ，ｄｅｃを取得する鍵ベクトル取得部と、
少なくともｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ｊに対する係数として所定の値が設定された少なくともｎ−（μＬ＋１）個の鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊを取得する鍵生成用ベクトル取得部と、
前記鍵生成用ベクトル取得部が取得した前記鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊの少なくとも一部の前記鍵生成用ベクトルｋ＊Ｌ，ｄｅｌ，ｊの各基底ベクトルの係数を述語情報倍し、前記鍵ベクトル取得部が取得した前記鍵ベクトルｋ＊Ｌ，ｄｅｃに加算して鍵ベクトルｋ＊Ｌ＋１，ｄｅｃを生成する鍵ベクトル生成部と
を備えることを特徴とする鍵委譲装置。
【請求項２９】
ペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルの和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾を取得するとともに、所定の属性情報を取得する公開鍵取得部と、
前記公開鍵取得部が取得した基底Ｂ＾におけるベクトルであって、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を設定したベクトルを送信情報ベクトルζｖとして処理装置により生成する送信情報設定部と、
前記基底Ｂ＾の前記基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）のうちの少なくとも一部の基底ベクトルに対する係数として属性情報を設定した属性情報ベクトルを、前記送信情報設定部が生成した送信情報ベクトルに加算して暗号ベクトルｃ１を処理装置により生成する暗号ベクトル生成部と
を備えることを特徴とする暗号化装置。
【請求項３０】
ペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルの和である基底ベクトルｄｎ＋１とを有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）の少なくとも基底ベクトルｂｉ（ｉ＝１，．．．，μｈ）に対する係数として属性情報が設定されるとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報が設定されたベクトルである暗号ベクトルｃ１を入力するベクトル入力部と、
前記空間Ｖ＊における所定の基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）のうち、基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）の少なくとも基底ベクトルｂ＊ｉ（ｉ＝１，．．．，μＬ）（μＬ≦μｈ）に対する係数として述語情報ｖｉ（ｉ＝１，．．．，μＬ）が設定されるとともに、前記基底ベクトルｄｎ＋１を構成する基底ベクトルｂｉに対応する基底ベクトルｂ＊ｉに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数が設定された鍵ベクトルｋ＊Ｌ，ｄｅｃを記憶装置に記憶する鍵ベクトル記憶部と、
前記ベクトル入力部が入力した暗号ベクトルｃ１と、前記鍵ベクトル記憶部が記憶した鍵ベクトルｋ＊Ｌ，ｄｅｃとについて処理装置により前記ペアリング演算を行い、前記暗号ベクトルｃ１から前記所定の情報に関する値を抽出するペアリング演算部と
を備えることを特徴とする復号装置。
【請求項３１】
数４４に示すペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理方法であり、
処理装置が、前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として生成する暗号化ステップと、
処理装置が、前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして、前記暗号化ステップで生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、数４４に示すペアリング演算ｅ（ｃ１，ｋ＊Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号ステップと
を備えることを特徴とする暗号処理方法。
【数４４】
【請求項３２】
数４５に示すペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理プログラムであり、
前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ−２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として生成する暗号化処理と、
前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊Ｌ，ｄｅｃとして、前記暗号化処理で生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊Ｌ，ｄｅｃとについて、により数４５に示すペアリング演算ｅ（ｃ１，ｋ＊Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号処理と
をコンピュータに実行させることを特徴とする暗号処理プログラム。
【数４５】
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【公開番号】特開２０１１−１２８６０９（Ｐ２０１１−１２８６０９Ａ）
【公開日】平成２３年６月３０日（２０１１．６．３０）
【国際特許分類】
【出願番号】特願２０１０−２５８４４７（Ｐ２０１０−２５８４４７）
【出願日】平成２２年１１月１９日（２０１０．１１．１９）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２３年６月３０日（２０１１．６．３０）
【国際特許分類】
【出願日】平成２２年１１月１９日（２０１０．１１．１９）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]