JP2005130404A - 復元制御型秘密情報分散方法、復元制御型秘密情報分散装置、復元制御型秘密情報分散プログラム及びその記録媒体 - Google Patents

Abstract

【課題】 （ｄ，ｋ，ｎ）閾値秘密分散方法にて、秘密情報について、所定の数の任意の分散情報を集めると元の秘密情報が復元可能で、所定数に足りなくても特定の分散情報の組み合わせからは秘密情報の特定の部分情報が復元可能とする。
【解決手段】 秘密情報Ｓについて、その完全な復元に必要な分散情報の最低数の閾値ｋ、該閾値に対して秘密情報Ｓの部分的な復元を許容する分散情報の不足数を決定する分割数ｄ、秘密情報Ｓの分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１を入力し、素数ｐと、（ｋ−ｄ個）の乱数ｒ_ｉと、（ｋ（ｋ−１）／２）個の乱数ａ_ｊを生成して、
ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ−ａ_１）＋…＋ｒ_１（ｘ−ａ_{ｄ（ｄ−１）／２＋１}）（ｘ−ａ_{ｄ（ｄ−１）／２＋２）}…（ｘ−ａ_{ｄ（ｄ−１）／２＋ｄ}）＋… （mod ｐ）
の式で表現される秘密情報Ｓの分散関数ｆ（ｘ）を生成する。
【選択図】図１

Description

本発明は、パスワードや個人情報などの秘密情報を複数の個所に分散共有し、これらの内幾つか以上の分散された情報により元の秘密情報を復元可能とする秘密分散法を用いたセキュリティ技術に関する。

ネットワーク上でパスワードや個人情報、暗号鍵情報といった各種情報のセキュリテイ（安全性）を保つために、暗号技術が用いられる。この際、ユーザ（利用者）の認証に用いられるパスワードや個人情報、共通鍵暗号に用いる共通鍵や公開鍵暗号に用いる秘密鍵といった秘密情報の保管に関して、秘密情報の紛失や破壊、漏洩や盗難といった恐れがあり、特に単一の個所に保管する場合などは秘密情報の紛失や破壊、複数の個所に保管する場合などは秘密情報の漏洩や盗難の可能性が高くなってしまうという問題がある。これらの問題を解決し、各種秘密情報を安全に保管する方法の一つとして、秘密分散法がある。秘密分散法は、元の秘密情報を複数の情報に分散して複数の個所に保管し、この分散された情報（以下、分散情報）を全て、あるいは幾つか合わせる事により、元の秘密情報を復元可能とする方法である。

従来、秘密分散法の実現方法の一つとして、（ｋ，ｎ）閾値秘密分散法がある（例えば、非特許文献１参照）。これは、分散情報を配布する数である２以上の整数の分散数ｎと、秘密情報Ｓの復元に必要な分散情報の最低数である２以上ｎ以下の整数の閾値ｋから、秘密情報Ｓを定数項とする（ｋ−１）次の多項式ｆ（ｘ）を、
ｆ（ｘ）＝Ｓ＋ｒ_１ｘ＋…ｒ_ｋ−１ｘ^ｋ−１ mod ｐ（ｒ_１，…，ｒ_ｋ−１：乱数、ｐ：素数）
として作成し、元の秘密情報Ｓを所有あるいは預託により分配する秘密情報分配者は、分散情報を保管する各分散情報保持者ｉ（ｉ＝１，２，…，ｎ）に対して、分散情報Ｗ_ｉ＝ｆ（ｉ）を分配するものである。

この（ｋ，ｎ）閾値秘密分散法は、ｎ個の分散情報の内、任意のｋ個の分散情報がそろえば、ｆ（ｘ）に関する連立方程式を解く事により元の秘密情報Ｓを復元できるが、任意の（ｋ−１）個までの分散情報がそろってもｆ（ｘ）に関する連立方程式を解く事はできないため、元の秘密情報Ｓは復元できないという特徴がある。したがって、（ｎ−ｋ）個までの分散情報が紛失や破壊により損なわれても元の秘密情報Ｓが復元可能であり、（ｋ−１）個までの分散情報が漏洩や盗難により得られても元の秘密情報Ｓは復元できないという、秘密情報を安全に保管する方法が実現できる。

さらに、（ｋ，ｎ）閾値秘密分散法の拡張として、（ｄ，ｋ，ｎ）閾値秘密分散法がある（例えば、非特許文献２参照）。これは、分散情報を配布する数である２以上の整数の分散数ｎと、秘密情報Ｓの完全な復元に必要な分散情報の最低数である２以上ｎ以下の整数の閾値ｋと、閾値ｋに対して秘密情報Ｓの部分的な復元を許容する分散情報の不足数を決定する２以上ｋ以下の整数の分割数ｄから、秘密情報ＳをＳ_０，Ｓ_１，…，Ｓ_ｄ−１に分割し、これらの分割した秘密情報（以下、分割情報）を定数項とする（ｋ−１）次の多項式ｆ（ｘ）を、
ｆ（ｘ）＝Ｓ_０＋Ｓ_１ｘ＋…＋Ｓ_ｄ−１ｘ^ｄ−１＋ｒ_１ｘ^ｄ＋…＋ｒ_ｋ−ｄｘ^ｋ−１ mod ｐ
（ｒ_１，…，ｒ_ｋ−ｄ：乱数、ｐ：素数）
として作成し、元の秘密情報Ｓを所有あるいは預託により分配する秘密情報分配者は、分散情報を保管する各分散情報保持者ｉ（１＝１，２，…，ｎ）に対して、分散情報Ｗ_ｉ＝ｆ（ｉ）を分配するものである。

この（ｄ，ｋ，ｎ）閾値秘密分散法は、先の（ｋ，ｎ）閾値秘密分散法と同様に、ｎ個の分散情報の内、任意のｋ個の分散情報がそろえば、ｆ（ｘ）に関する連立方程式を解く事により元の秘密情報Ｓを復元できるが、任意の（ｋ−ｄ）個までの分散情報がそろってもｆ（ｘ）に関する連立方程式を解く事はできないため、元の秘密情報Ｓは復元できないという特徴がある。ただし、任意の（ｋ−ｄ＋１）個から（ｋ−１）個までの分散情報がそろった場合には、ｆ（ｘ）に関する連立方程式から分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１に関する関係式が求められるため、分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１として可能な値を得る事ができ、元の秘密情報Ｓを部分的に復元する事ができる。

Ａ．Ｓhamir，"Ｈow to Ｓhare a Ｓecret"，Ｃommun．of ＡＣＭ,Ｖol．２２，Ｎo.１１，pp．６１２−６１３，１９７９ Ｇ．Ｒ．Ｂlakley，Ｃ．Ｍeadows，"Ｓecurity of ramp schemes"，Proc．of Ｃrypto ’８４，Ｌecure Ｎotes on Ｃomput．Ｓci．，１９６，pp．２４２−２６８，１９８４

従来の（ｋ，ｎ）閾値秘密分散法は、ｋ個以上の分散情報を集めて初めて完全な秘密情報Ｓを復元可能であり、（ｋ−１）個以上の分散情報を集めても秘密情報Ｓは復元不可能であるため、秘密情報Ｓに対して部分的に情報を復元するような構成は実現できない。

一方、従来の（ｄ，ｋ，ｎ）閾値秘密分散法は、任意の（ｋ−ｄ＋１）個から（ｋ−１）個までの分散情報がそろった場合には分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１に関する方程式が求められるため、分割情報Ｓ_０，Ｓ_１，…，として可能な値を得る事ができ、元の秘密情報Ｓを部分的に復元する事ができるが、秘密情報Ｓに対して部分的に復元可能な分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）を特定するような構成は実現できない。

本発明は、従来の（ｄ，ｋ，ｎ）閾値秘密分散法の上述のような問題に鑑みなされたもので、その目的は、幾つかの特定の分散情報がそろった場合に、特定の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）のみ復元可能であり、他の分割情報Ｓ_ｕ（０≦ｕ≦ｄ−１，ｕ≠ｔ）は復元不可能であるような、秘密情報Ｓの部分的な復元を制御可能な秘密情報分散方法、その装置、プログラム、及びプログラムを記録した記録媒体を提供することにある。

分散情報からの秘密情報Ｓの復元は、名分散情報の番号ｉと分散情報の値Ｗ_ｉとを分散関数ｆ（ｘ）にあてはめた連立方程式を解く事により行われる。

従来の（ｄ，ｋ，ｎ）閾値秘密分散法では、例えばｋ＝３、ｄ＝２とした場合に分散関数ｆ（ｘ）は、
ｆ（ｘ）＝Ｓ_０＋Ｓ_１・ｘ＋ｒ・ｘ^２
で表現され、任意の２個の分散情報Ｗ_ｘとＷ_ｘ＋ｂ（ｘ＞０、ｂ＞０）についての連立方程式は以下のような行列式で表わされる。

行列式の左項を掃き出し法により変形すると、

となり、ｘ＞０、ｂ＞０より−ｘ（ｘ＋ｂ）≠０、２ｘ＋ｂ≠０であって、連立方程式からはＳ_０とｒ、Ｓ_１とｒ、またはＳ_０とＳ_１の関係式しか求める事ができず、したがって分割情報Ｓ_０ないしはＳ_１を部分的に復元する事は原理的にできない。

図１に、本発明の復元制御型秘密情報分散方法の網羅的な処理フロー図を示す。以下、図１にもとづいて本発明の原理を説明する。
本発明の第１の方法は、秘密情報Ｓについて、秘密情報Ｓの完全な復元に必要な分散情報の最低数である２以上の整数の閾値ｋ、閾値ｋに対して秘密情報Ｓの部分的な復元を許容する分散情報の不足数を決定する２以上ｋ以下の整数の分割数ｄと、秘密情報Ｓのｄ個の分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１などの秘密情報Ｓを分散するための条件を入力し（ステップ１）、
最大の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）よりも大きな素数ｐと、素数ｐよりも小さく０でない（ｋ−ｄ個）の乱数ｒ_ｉ（１≦１≦ｋ−ｄ）と、（ｋ（ｋ−１）／２）個の乱数ａ_ｊ（１≦ｊ≦ｋ（ｋ−１）／２）を生成して、
ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ−ａ_１）＋…＋Ｓ_ｄ−１（ｘ−ａ_{（ｄ一１）（ｄ−２）／２＋１}）（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋２}）…（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋ｄ−１}）＋ｒ_１（ｘ−ａ_{ｄ（ｄ−１）／２＋１}）（ｘ−ａ_{ｄ（ｄ−１）／２＋２）}…（ｘ−ａ_{ｄ（ｄ−１）／２＋ｄ}）＋…＋ｒ_ｋ−ｄ（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋１}）（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋２}）…（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋ｋ−１}） mod ｐ
の式で表現される秘密情報Ｓの分散関数ｆ（ｘ）を生成する（ステップ２）、
ことを特徴とする。

本発明の第１の方法によれば、例えばｋ＝３、ｄ＝２とした場合に生成される分散関数ｆ（ｘ）は、
ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ−ａ_１）＋ｒ（ｘ−ａ_２）（ｘ−ａ_３）
で表現され、任意の２個の分散情報Ｗ_ｘとＷ_ｘ＋ｂ（ｘ＞０、ｂ＞０）についての連立方程式は以下のような行列式で表現できる。

行列式の左項を掃き出し法により変形すると、

となり、ａ_ｌ，ａ_２，ａ_３の値によっては−ｘ^２＋（２ａ_１−ｂ）＋ａ_１ｂ−ａ_１ａ_２−ａ_１ａ_３＋ａ_２ａ_３＝０，２ｘ＋ｂ−ａ_２−ａ_３＝０を満たすｘとｂがある場合に、連立方程式から分割情報のＳ_０のみ、もしくはＳ_１のみを求める事ができる。

したがって、本発明の第１の方法により生成される分散関数ｆ（ｘ）による秘密情報Ｓの分散情報は、幾つかの特定の分散情報がそろった場合に特定の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）を復元可能とする事ができる。

本発明の第１の方法により、ｋ個の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、ｋ個に足りなくても（ｋ−ｄ＋１）個以上の特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報Ｓ_ｔが復元可能であるように、秘密情報の復元を制御した分散情報を生成するための分散関数ｆ（ｘ）を得る事ができる。

本発明の第２の方法は、先の本発明の第１の方法において、生成した分散関数ｆ（ｘ）から、特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、この行列式を掃き出し法により変形して得られる、特定の個数の分散情報から特定の分割情報Ｓ_ｔを復元可能とするような特定のｘの組み合わせを求めるための制約式を解いて、特定の個数の分散情報から特定の分割情報Ｓ_ｔを復元可能とする特定のｘの組み合わせである復元制御情報を導出する（ステップ３）ことを特徴とする。

任意の閾値ｋ、分割数ｄから決定される分散関数ｆ（ｘ）の一般形から、（ｋ−ｄ＋１）個から（ｋ−１）個の任意のｘ_ｍ（１≦ｍ≦ｋ−ｄ＋１〜ｋ−１）についてｘ_ｍ＝ｘ＋ｂ_ｍ−１（ｂ_０＝０，０＜ｂ_ｌ＜ｂ_２＜…＜ｂ_ｍ−１）とおいて、ｆ（ｘ）に関する連立方程式を表現する以下のような行列式を作成する事ができる。

行列式の左項を掃き出し法により変形すると、

の形に変形でき、Ｌ_ｍ，１＝０，Ｌ_ｍ，２＝０，…，Ｌ_{ｍ，ｋ−ｄ}＝０の場合に連立方程式からＳ_ｍ−１を求める事ができるようになる。

このように、本発明の第２の方法は、秘密情報Ｓの分散情報を生成するための分散関数ｆ（ｘ）から、特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、この行列式を掃き出し法により変形して、ｘとｂ_ｍとａ_ｊからなる関係式であるＬ_ｕ，ｖ（１≦ｕ≦ｍ，１≦ｖ≦ｋ−ｄ）について、Ｌ_{ｔ−１，ｖ}＝０（１≦ｖ≦ｋ−ｄ）を解く事に、これを満たすｘおよびｂ_ｍの組み合わせを分割情報Ｓ_ｔを復元可能な分散情報の組み合わせとして算出するものである。

本発明の第２の方法により、幾つかの特定の分散情報がそろった場合に復元可能となる特定の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）について、復元を可能とする特定のｘの組み合わせを求める事が可能となる。

本発明の第３の方法は、閾値ｋと、閾値ｋに対して秘密情報Ｓの部分的な復元を許容する分散情報の不足数を決定する分割数ｄを入力し（ステップ１）、
さらに、分散したい秘密情報Ｓを構成するｄ個の分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１について、個々の分割情報に対して部分的な復元の許可または禁止を指定し、復元を許可あるいは禁止する特定のｘの組み合わせないしは組み合わせの個数を入力すると（同ステップ１）、
最大の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）よりも大きな素数ｐと、素数ｐよりも小さく０でない（ｋ−ｄ個）の乱数ｒｉ（１≦１≦ｋ−ｄ）を生成し、（ｋ（ｋ−１）／２）個の変数ａ_ｊ（１≦ｊ≦ｋ（ｋ−１）／２）とｘによる
ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ−ａ_１）＋…＋Ｓ_ｄ−１（ｘ−ａ_{（ｄ一１）（ｄ−２）／２＋１}）（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋２}）…（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋ｄ−１}）＋ｒ_１（ｘ−ａ_{ｄ（ｄ−１）／２＋１}）（ｘ−ａ_{ｄ（ｄ−１）／２＋２）}…（ｘ−ａ_{ｄ（ｄ−１）／２＋ｄ}）＋…＋ｒ_ｋ−ｄ（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋１}）（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋２}）…（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋ｋ−１}） mod ｐ
の式で表現される分散関数ｆ（ｘ）を仮生成して（ステップ２）、
仮生成した分散関数ｆ（ｘ）から、特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、この行列式を掃き出し法により変形して、特定の個数の分散情報から特定の分割情報Ｓ_ｔを復元可能とするような特定のｘの組み合わせを求めるためのｘと変数ａ_ｊからなる制約式を導出し（ステップ３）、
部分的な復元を許可する特定の分割情報Ｓ_ｔの復元を可能とするｘの組み合わせないしは組み合わせの個数である復元許可条件と、部分的な復元を禁止する特定の分割情報Ｓ_ｔの復元を可能とするｘの組み合わせないしは組み合わせの個数である復元禁止条件に基づいて、特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための制約式を解いて変数ａ_ｊを求め、分散関数ｆ（ｘ）を決定する（ステップ４）、
ことを特徴とする。

また、本発明の方法は、先の第１乃至第３の方法において、分散条件を入力するステップ１にて、分散情報を生成する個数である分散数ｎを入力すると、ステップ２またはステップ４にて決定された分散関数ｆ（ｘ）から、所定の条件に従ったｎ個の分散情報を生成する（ステップ５）、ことを特徴とする。
また、本発明の方法は、先のステップ２またはステップ４にて決定された分散関数ｆ（ｘ）、ステップ３にて求められた特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための特定のｘの組み合わせである復元制御情報、ステップ５において生成された分散情報を出力する（ステップ６）、ことを特徴とする。

また、本発明の方法は、分散関数ｆ（ｘ）を構成する要素の内、秘密情報Ｓのｄ個の分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１、最大の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）よりも大きな素数ｐ、素数ｐよりも小さく０でない（ｋ−ｄ個）の乱数ｒｉ（１≦１≦ｋ−ｄ）の入力ないしは生成は、分散関数ｆ（ｘ）を出力する直前、あるいは分散情報を生成する直前で良いことを特徴とする。

本発明による第１の復元制御型秘密情報分散装置は、
分散したい秘密情報Ｓについて、秘密情報Ｓの復元に必要な分散情報の個数の最低数である閾値ｋと、閾値ｋに対して秘密情報Ｓの部分的な復元を許容する分散情報の不足数を決定する分割数ｄと、秘密情報Ｓのｄ個の分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１の入力を受け付ける分散条件入力部と、
閾値ｋと分割数ｄに基づいて、最大の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）よりも大きな素数ｐと、素数ｐよりも小さく０でない（ｋ−ｄ個）の乱数ｒ_ｉ（１≦ｉ≦ｋ−ｄ）と、（ｋ（ｋ−１）／２）個の乱数ａ_ｊ（１≦ｊ≦ｋ（ｋ−１）／２）を生成して、
ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ−ａ_１）＋…＋Ｓ_ｄ−１（ｘ−ａ_{（ｄ一１）（ｄ−２）／２＋１}）（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋２}）…（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋ｄ−１}）＋ｒ_１（ｘ−ａ_{ｄ（ｄ−１）／２＋１}）（ｘ−ａ_{ｄ（ｄ−１）／２＋２）}…（ｘ−ａ_{ｄ（ｄ−１）／２＋ｄ}）＋…＋ｒ_ｋ−ｄ（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋１}）（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋２}）…（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋ｋ−１}） mod ｐ
の式で表現される秘密情報Ｓの分散関数ｆ（ｘ）を生成する分散関数生成部と、
分散関数ｆ（ｘ）から特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、この行列式を変形して特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための制約式を導出する復元条件導出部と、
上記生成された分散関数ｆ（ｘ）と、特定の分割情報Ｓ_ｔを復元可能な特定のｘの組み合わせを復元制御情報として出力する分散関数出力部と
上記入力された分散条件、生成した分散関数、導出した復元条件を記憶する演算過程記憶部とを有する事を特徴とする。

本発明装置により、所定の数の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、所定の数に足りなくても特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報が復元可能であるように、秘密情報の復元を制御した分散情報を生成する分散関数と、その復元制御情報を導出する復元制御型秘密情報分散装置を実現することができる。

本発明による第２の復元制御型秘密情報分散装置は、
分散したい秘密情報Ｓについて、秘密情報Ｓの復元に必要な分散情報の個数の最低数である閾値ｋと、閾値ｋに対して秘密情報Ｓの部分的な復元を許容する分散情報の不足数を決定する分割数ｄと、分散したい秘密情報Ｓを構成するｄ個の分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１について、個々の分割情報に対して部分的な復元の許可または禁止を指定し、復元を許可あるいは禁止するｘの組み合わせないしは組み合わせの個数の入力を受け付ける分散条件入力部と、
閾値ｋと分割数ｄに基づいて、最大の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）よりも大きな素数ｐと、素数ｐよりも小さく０でない（ｋ−ｄ個）の乱数ｒ_ｉ（１≦ｉ≦ｋ−ｄ）と、（ｋ（ｋ−１）／２）個の変数ａ_ｊ（１≦ｊ≦ｋ（ｋ−１）／２）による、
ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ−ａ_１）＋…＋Ｓ_ｄ−１（ｘ−ａ_{（ｄ一１）（ｄ−２）／２＋１}）（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋２}）…（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋ｄ−１}）＋ｒ_１（ｘ−ａ_{ｄ（ｄ−１）／２＋１}）（ｘ−ａ_{ｄ（ｄ−１）／２＋２）}…（ｘ−ａ_{ｄ（ｄ−１）／２＋ｄ}）＋…＋ｒ_ｋ−ｄ（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋１}）（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋２}）…（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋ｋ−１}） mod ｐ
の式で表現される秘密情報Ｓの分散関数ｆ（ｘ）の一般形を生成する分散関数生成部と、
分散関数ｆ（ｘ）の一般形から、特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、この行列式を変形して特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための制約式を導出する復元条件導出部と、
部分的な復元を許可あるいは禁止する特定の分割情報Ｓ_ｔの復元を可能とするｘの組み合わせないし組み合わせの個数に基づいて、特定の分割情報Ｓ_ｔを復元可能とする特定のｘの組み合わせを表わす制約式を解いて、分散関数ｆ（ｘ）の一般系における定数項を決定して分散関数ｆ（ｘ）を決定する分散関数決定部と、
上記決定された分散関数ｆ（ｘ）と、特定の分割情報Ｓ_ｔを復元可能な特定のｘの組み合わせを復元制御情報として出力する分散関数出力部と、
上記入力された分散条件、生成した分散関数、導出した復元条件を記憶する演算過程記憶部とを有する事を特徴とする。

本発明装置により、所定の数の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、所定の数に足りなくても特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報が復元可能であるように、特定の分割情報Ｓ_ｔを復元可能な特定のｘの組み合わせを指定して、秘密情報の復元を制御した分散情報を生成する分散関数と、その復元制御情報を導出する復元制御型秘密情報分散装置を実現することができる。

本発明による第３の復元制御型秘密情報分散装置は、
分散したい秘密情報Ｓについて、分散関数ｆ（ｘ）を入力する分散関数入力部と、
入力された分散関数ｆ（ｘ）から、特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、この行列式を変形して特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための制約式を導出する復元条件導出部と、
上記入力された分散関数ｆ（ｘ）に対して特定の分割情報Ｓ_ｔを復元可能な特定のｘの組み合わせを復元制御情報として出力する復元制御情報出力部と、
上記入力された分散関数、導出した復元条件を記憶する演算過程記憶部とを有する事を特徴とする。

本発明装置により、所定の数の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、所定の数に足りなくても特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報が復元可能であるように、秘密情報の復元を制御した分散情報を生成する既知の分散関数について、特定の分割情報Ｓ_ｔを復元可能な特定のｘの組み合わせである復元制御情報を導出する復元制御型秘密情報分散装置を実現することができる。

また、本発明による復元制御型秘密情報分散装置は、先の第１乃至第３の復元制御型秘密情報分散装置において、
閾値ｋと分割数ｄに対応する、分散関数ｆ（ｘ）の一般形と一般形から導出される制約式を記録した復元条件記憶部と、
入力された分散条件ないしは分散関数ｆ（ｘ）に従って、条件に合致する分散関数ｆ（ｘ）および制約式を検索する復元条件検索部とを有する事を特徴とする。

本発明装置により、既知の分散条件の下での分散関数および既知の分散関数の一般形については、繁雑な計算を行う事なく分散関数および制約式および復元制御情報を得る復元制御型秘密情報分散装置を実現することができる。

また、本発明による復元制御型秘密情報分散装置は、
秘密情報Ｓについて、分散情報を生成する個数である分散数ｎに従って、分散関数ｆ（ｘ）と復元制御情報に基づいてｎ個の分散情報を生成する分散情報生成部と、
生成したｎ個の分散情報を、分散情報を計算したｘの値とともに出力する分散情報出力部とを有する事を特徴とする。

本発明装置により、所定の数の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、所定の数に足りなくても特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報が復元可能であるように、分散情報を生成する復元制御型秘密情報分散装置を実現することができる。

本発明では、秘密情報Ｓについて、所定の数の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、所定の数に足りなくても特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報が復元可能であるように、秘密情報の復元を制御した秘密情報分散を実現する事ができる。

以下、本発明の実施の形態を具体的実施例により説明する。

図２に本発明の実施例１における復元制御型秘密情報分散装置１００の機能構成例を示す。本装置は、分散条件入力部１１０、分散関数生成部１２０、復元条件導出部１３０、分散関数決定部１４０、分散関数出力部１５０、演算過程記憶部１６０、復元条件記憶部１７０、復元条件検索部１８０、分散情報生成部１９０、分散情報出力部２００から構成される。なお、これら各部の動作を制御する制御部も具備するが、図２では省略してある。

本実施例では、部分的な分割情報Ｓ_０とＳ_１から構成される秘密情報Ｓを６個の分散情報に分散するものとして、６個の内任意の３個の分散情報を持ち寄れば秘密情報Ｓを完全に復元でき、１番目と２番目の分散情報を持ち寄ると分割情報Ｓ_０を、１番目と６番目の分散情報を持ち寄ると分割情報Ｓ_１を復元でき、これ以外の任意の２個の分散情報からは秘密情報Ｓを完全には復元できないように、秘密情報Ｓの分散情報を生成するとする。分散の対象とする秘密情報Ｓを４桁の１６進文字列、Ｓ＝３ＣＡＢとし、分割情報はＳ_０＝３Ｃ、Ｓ_１＝ＡＢとする。

まず、分散条件入力部１１０において、ユーザによる分散条件の入力を受け付ける。本実施例における分散条件は、３個の分散情報で完全な復元を許す事から閾値ｋ＝３、２個の分散情報でも部分的な復元を許す事から分割数ｄ＝２、および分割情報Ｓ_０＝３Ｃ、Ｓ_１＝ＡＢとする。また、分散情報の生成と復元に関する条件として、分散数ｎ＝６と、分割情報Ｓ_０を復元可能とする組み合わせ（１，２）、分割情報Ｓ_１を復元可能とする組み合わせ（１，６）が入力されたものとする。分散条件入力部１１０は演算過程記憶部１６０に入力された分散条件を記憶する。

なお、本実施例では、分散条件入力部１１０において入力される分散条件を、閾値ｋと分散数ｄ、秘密情報Ｓの分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１の三項目としているが、閾値ｋと分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１の二項目を入力する事で分割数ｄを求めるようにしたり、逆に閾値ｋと分割数ｄ、秘密情報Ｓの三項目の入力を受け付け、入力された秘密情報Ｓから自動的に分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１を生成するようにしても構わない。また、本実施例では秘密情報Ｓに対する分割情報を秘密情報Ｓの上位２桁と下位２桁で分割しているが、本発明は秘密情報Ｓの分割方法を規定するものではなく、例えば奇数ビットと偶数ビットのようにビット単位で分割しても構わないし、分割情報Ｓ_０とＳ_１の積などの演算結果が秘密情報Ｓとなるように分割しても構わない。さらに、本実施例は分散の対象とする秘密情報Ｓを１６進文字列に限定するものではなく、また単なる文字列に限定するものでもない。数値情報、文字列など分散関数による演算が可能であればどのような情報でも良く、また文書や画像データなどのマルチメディアなどを対象としても良い。

また、秘密情報Ｓの分割情報Ｓ_０とＳ_１、および分散情報の生成と復元に関する条件の入力の受け付けについて、説明の都合上、一括して入力されるように記述しているが、これらの値の入力は後の処理で必要となった時に初めて分散条件入力部１１０で入力されるようにしても良い。本実施例は、これら実際の分散情報を生成するための条件の入力を受け付けるタイミングを規定するものではない。また、本実施例は分散条件および分散情報の生成と復元に関する条件の入力の方法および形式を規定するものではない。キーボード入力やファイル入力の他に、インターネットなどの接続回線を介して他の装置から入力するようにしても構わない。

次に、分散関数生成部１２０において、閾値ｋと分散数ｄおよび分割情報Ｓ_０とＳ_１に基づいて、Ｓ_０およびＳ_１よりも大きな素数ｐ、素数ｐよりも小さく０でない乱数ｒ、および３個の変数ａ_ｌ、ａ_２、ａ_３による下記の式で表現される分散関数ｆ（ｘ）の一般形を生成し、これを演算過程記憶部１６０に記憶する。
ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ−ａ_ｌ）＋ｒ（ｘ−ａ_２）（ｘ−ａ_３） mod ｐ

さらに分散関数生成部１２０は、上記の式で表現される分散関数ｆ（ｘ）の一般形における素数ｐ、乱数ｒ、変数ａ_ｌ、ａ_２、ａ_３の値を乱数発生器や素数算出器などを使って生成する。ここでは、素数ｐ＝ＦＢ、乱数ｒ＝１Ｆとａｌ＝０，ａ２＝２，ａ３＝５を生成したものとする。分散関数生成部１２０は処理の結果として、生成した各値、および一般形の分散関数ｆ（ｘ）に生成した各値を埋めた式を演算過程記憶部１６０に記憶する。

なお、本実施例では分散関数生成部１２０において素数ｐや乱数ｒ_ｉ、ａ_ｊなどを生成しているが、乱数および素数の生成方法を特に規定するものではない。また、これらの各値について分散条件入力部１１０において入力を受け付けるようにしても良い。

次に、復元条件導出部１３０において、分散関数生成部１２０が生成した分散関数ｆ（ｘ）について、特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、この行列式を掃き出し方により変形して特定のｘの組み合わせから特産の分割情報Ｓ_ｔを復元可能とするための制約式を導出する。

本実施例においては、特定の２個の分散情報で秘密情報Ｓの部分的な復元を許す事から、分散関数ｆ（ｘ）から生成される任意の２個の分散情報について、ｆ（ｘ）、ｆ（ｘ＋ｂ）（ｘ＞０、ｂ＞０）とおいて、分散情報を生成する式の連立方程式を表現する行列式を、

のように生成し、演算過程記憶部１６０に記憶する。本実施例は、演算過程記憶部１６０に記憶する行列式の表現を規定するものではないが、例えば配列表現により記憶するものとして、１行１列目が１、１行２列目がｘ−ａ_ｌ、…のように記憶したものとする。

さらに復元条件導出部１３０は、演算過程記憶部１６０に記憶した行列式を掃き出し法により変形を行う。１行１列目の値および２行１列目の値が１であるから、２行目の各列の値から１行目の対応する列の値を引いて、

２行２列目の値がｂであるから、２行目の各列値をｂで割って、

１行２列目の値がｘ−ａ_１であるから、１行目の各列の値から２行目の対応する列の値にｘ−ａ_１をかけた値を引いて、

を得る。１行１列目および２行２列目の値が１、１行２列目および２行１列目の値が０になった事を判断して、掃き出し法の実行を終了する。

上記の掃き出し法による演算過程について、掃き出し法による行列式の演算は既知の処理である事から、本実施例は特に規定するものではない。また、本実施例では復元条件導出部１３０は演算過程記憶部１６０に記憶した値を操作して掃き出し法を実行しているが、内部メモリなどを用いて予め演算を行った後に演算過程記憶部１６０に記憶するようにしても良い。

上記掃き出し法の実行により演算過程記憶部１６０に記憶された行列式は、任意の２個の分散情報から得られる分割情報Ｓ_０，Ｓ_１と乱数値ｒの関係式を表わすものである。したがって、復元条件導出部１３０は、部分的にＳ_０を復元可能な特定の分散情報ｆ（ｘ）およびｆ（ｘ＋ｂ）を求めるための制約式として、１行３列目の値から、−ｘ^２＋２ａ_１ｘ−ｂｘ＋ａ_１ｂ−ａ_１ａ_２−ａ_１ａ_３＋ａ_２ａ_３＝０を得る。同様に、部分的にＳ_１を復元可能な特定の分散情報ｆ（ｘ）およびｆ（ｘ＋ｂ）を求めるための制約式として、２行３列目の値から、２ｘ−ａ_２−ａ_３＋ｂ＝０を得る。これらの式は、閾値ｋ＝３、分割数ｄ＝２の場合の分散関数ｆ（ｘ）の一般形において、特定の分割情報Ｓ_ｔを復元可能な特定のｘの組み合わせを算出するための制約式である。

復元条件導出部１３０は、復元可能とする特定の分割情報Ｓ_０およびＳ_１と関連付けて、これらの制約式を演算過程記憶部１６０に記憶する。

なお、これらの制約式は分散関数ｆ（ｘ）の一般形が同じであれば常に同じであるため、復元条件導出部１３０で制約式を導出する代わりに、復元条件記憶部１７０において既知の制約式を記憶しておくようにしても良い。即ち、復元条件記憶部１７０は、閾値ｋと分割数ｄにより定まる分散関数ｆ（ｘ）の一般形とその制約式を関連付けて記憶し、復元条件検索部１８０は、入力された分散条件にしたがって、復元条件記憶部１７０に記憶された該当する分散関数ｆ（ｘ）の一般形とその制約式を取得する。これにより、閾値ｋと分割数ｄにより定まる分散関数ｆ（ｘ）の一般形とその制約式を簡易に得る事ができるようになる。復元条件記憶部１７０に該当するものがない場合には、復元条件導出部１３０で制約式を求めておいて復元条件記憶部１７０に記憶し、以後の処理において、復元条件検索部１８０にて検索できるようにしても良い。

分散関数決定部１４０は、復元条件導出部１３０で導出した制約式を解いて、最終的な分散関数ｆ（ｘ）を決定する。まず、分散関数決定部１４０は、Ｓ_０に関する制約式−ｘ^２＋２ａ_１ｘ−ｂｘ＋ａ_１ｂ−ａ_１ａ_２−ａ_１ａ_３＋ａ_２ａ_３＝０に対し、３個の変数ａ_ｌ＝０，ａ_２＝２，ａ_３＝５を代入して、−ｘ^２−ｂｘ＋１０＝０を得る。さらに、Ｓ_０を復元可能なｘ，ｂの組み合わせとして、ｘ≧０、ｂ≧１の条件の下で制約式を解いて（ｘ，ｂ）＝（１，９），（２，３）を得る。次に、Ｓ_０に関する制約式２ｘ−ａ_２−ａ_３＋ｂ＝０に対し、３個の変数ａ_ｌ＝０，ａ_２＝２，ａ_３＝５を代入して、２ｘ＋ｂ−７＝０を得る。さらに、Ｓ_１を復元可能なｘ，ｂの組み合わせとして、ｘ≧０、ｂ≧１の条件の下で制約式を解いて（ｘ，ｂ）＝（１，５），（２，３），（３，１）を得る。すなわちＳ_０を復元可能な分散情報の組み合わせはｆ（１）とｆ（１０），ｆ（２）とｆ（５）であり、Ｓ_１を復元可能な分散情報の組み合わせはｆ（１）とｆ（６），ｆ（２）とｆ（５），ｆ（３）とｆ（４）である。これらの組み合わせは、生成した分散関数ｆ（ｘ）により生成される分散情報について、特定の分割情報Ｓｔを復元可能な特定のｘの組み合わせを表わす復元制御情報である。

分散関数決定部１４０は、Ｓ_０を復元可能な分散情報の組み合わせとしてｆ（１）とｆ（１０），ｆ（２）とｆ（５）を演算過程記憶部１６０に記憶し、Ｓ_１を復元可能な分散情報の組み合わせとしてｆ（１）とｆ（６），ｆ（２）とｆ（５），ｆ（３）とｆ（４）を同じく演算過程記憶部１６０に記憶する。なお、分散情報の組み合わせではなくｘ，ｂの組み合わせをそのまま記憶するようにしても良い。

また、分散関数決定部１４０は、演算過程記憶部１６０に記憶した分散条件および分散関数ｆ（ｘ）の一般形から最終的な分散関数ｆ（ｘ）を決定する。本実施例においては、分割情報Ｓ_０＝３Ｃ、Ｓ_１＝ＡＢ、素数ｐ＝ＦＢ、乱数ｒ＝１Ｆであり、変数ａ_ｌ、ａ_２、ａ_３の値はａ_ｌ＝０，ａ_２＝２，ａ_３＝５であるから、分散関数ｆ（ｘ）は、ｆ（ｘ）＝３Ｃ＋ＡＢｘ＋１Ｆ（ｘ一２）（ｘ−５）（mod ＦＢ）と定まる。分散関数決定部１４０は、この最終的な分散関数ｆ（ｘ）を演算過程記憶部１６０に記憶する。

なお、本実施例では分割情報Ｓ_０、Ｓ_１をはじめとする各種の変数を予め分散条件として入力を受け付け、あるいは決定していたため最終的な分散関数ｆ（ｘ）が定まるが、分割情報Ｓ_０、Ｓ_１、素数ｐ、乱数ｒなどを予め入力あるいは決定する事なく、分散関数ｆ（ｘ）の一般形あるいは一部の変数を許した式を最終的な分散関数ｆ（ｘ）と定めるようにしても良い。

分散関数出力部１５０は、分散関数決定部１４０において決定した分散関数ｆ（ｘ）およびその復元制御情報を出力する。本実施例においては、分散関数ｆ（ｘ）として、ｆ（ｘ）＝３Ｃ＋ＡＢｘ＋１Ｆ（ｘ−２）（ｘ−５）（mod ＦＢ）、その復元制御情報として、Ｓ_０を復元可能な分散情報の組み合わせｆ（１）とｆ（１０），ｆ（２）とｆ（５）、Ｓ_１を復元可能な分散情報の組み合わせｆ（１）とｆ（６），ｆ（２）とｆ（５），ｆ（３）とｆ（４）を出力する。

なお、本実施例では最終的な分散関数ｆ（ｘ）と各分割情報Ｓ_０、Ｓ_１を復元可能な分散情報の組み合わせを出力しているが、本発明は出力する情報の種類を規定するものではない。他に分散関数の一般形や各変数を独立して出力するようにしても良い。また、本実施例は分散関数ｆ（ｘ）およびその復元制御情報の出力の方法および形式を規定するものではない。画面出力やファイル出力の他に、インターネットなどの接続回線を介して他の装置に出力するようにしても良いし、また必要がなければ出力をしないようにしても良い。

分散情報生成部１９０は、分散関数決定部１４０において決定した分散関数ｆ（ｘ）により、所定の条件に従って分散情報を生成する。本実施例における復元許可条件は、１番目と２番目の分散情報を持ち寄ると分割情報Ｓ_０を、１番目と６番目の分散情報を持ち寄ると分割情報Ｓ_１を復元できる組み合わせであり、そのような復元が可能な分散情報の組み合わせは、演算過程記憶部１６０に記憶された分散情報の組み合わせからＳ_０に関してｆ（１）とｆ（１０）、Ｓ_１に関してｆ（１）とｆ（６）のみであり、分散情報生成部１９０は１番目の分散情報としてｆ（１）、２番目の分散情報としてｆ（１０）、６番目の分散情報としてｆ（６）を決定する。また、生成する分散情報の数はｎ＝６である事から、残りの分散情報について、特定の分割情報を復元可能な組み合わせを避けて選択し、３番目、４番目、５番目の分散情報としてｆ（７），ｆ（８），ｆ（９）と決定する。分散情報生成部１９０は分散情報の順番をｆ（１），ｆ（１０），ｆ（７），ｆ（８），ｆ（９），ｆ（６）として、演算過程記憶部１６０に記憶する。

さらに分散情報生成部１９０は、分散関数決定部１４０において決定した分散関数ｆ（ｘ）にしたがって、実際の分散情報の値を算出する。本実施例においては、ｆ（１）＝６８，ｆ（１０）＝Ｆ９，ｆ（７）＝３Ｄ，ｆ（８）＝Ｅ５，ｆ（９）＝ＤＯ，ｆ（６）＝ＣＥとなり、分散情報生成部１９０は分散情報の順番に対応付けて分散情報の値を演算過程記憶部１６０に記憶する。

なお、本実施例において、分散関数ｆ（ｘ）から分散情報を算出する際のｘの値を１０進数の数字により記述しているが、可能なｘの値を１０進数の数字に規定するものではない。分散関数ｆ（ｘ）に則って分散情報を算出できれば良く、例えば１６進数であったり文字列であったりしても構わない。本実施例においては、秘密情報Ｓおよびその分割情報Ｓ_０、Ｓ_１が１６進文字列である事から、算出される分散情報の値も１６進文字列となっている。

分散情報出力部２００は、分散情報生成部１９０において生成した分散情報を、分散情報を算出したｘの値と組にして出力する。本実施例における出力は、（１，６８），（１０，Ｆ９），（７，３Ｄ〉，（８，Ｅ５），（９，ＤＯ），（６，ＣＥ）となる。本実施例における分散情報の出力の例を図３に示す。

なお、本実施例は分散情報出力部２００における分散情報の出力の方法および形式を規定するものではない。画面出力やファイル出力の他に、インターネットなどの接続回線を介して他の装置に出力するようにしても良い。ただし、出力した分散情報を複数組み合わせると元の秘密情報Ｓないしはその部分的な情報Ｓ_０，Ｓ_１が算出可能な事から、個々の分散情報を別個に出力する事が望ましい。また分散情報は直接各分散情報保持者または名分散情報保持装置に出力するようにし、出力の際に個々の保持者ないしは装置に合わせて暗号化するなどの手段も考える事もできる。

以下では、本実施例により生成した分散情報から、分割情報Ｓ_０およびＳ_１、さらに秘密情報Ｓを復元する方法について説明する。

任意の２個の分散情報からの秘密情報の復元については、不明な分割情報Ｓ_０、Ｓ_１、乱数ｒとおいた分散関数ｆ（ｘ）の式に、実際のｘの値および分散情報の値をあてはめた連立方程式を解く事により求められる。

例えば、１番目と２番目の分散情報からは、ｆ（１）＝６８，ｆ（１０）＝Ｆ９より
ｆ（１）＝Ｓ_０＋Ｓ_１・１＋ｒ・（１−２）（１−５）＝Ｓ_０＋Ｓ_１＋４ｒ＝６８（mod ＦＢ）
ｆ（１０）＝Ｓ_０＋Ｓ_１・１０＋ｒ・（１０−２）（１０−５）＝Ｓ_０＋１０Ｓ_１＋４０ｒ＝Ｆ９（mod ＦＢ）
の連立方程式を得る事ができる。これを解くと、Ｓ_０＝３Ｃ、Ｓ_１＋４ｒ＝２Ｃが求められ、秘密情報Ｓの分割情報Ｓ_０が得られる。

一方、１番目と６番目の分散情報からは、ｆ（１）＝６８，ｆ（６）＝ＣＥより
ｆ（１）＝Ｓ_０＋Ｓ_１・１＋ｒ・（１−２）（１−５）＝Ｓ_０＋Ｓ_１＋４ｒ＝６８（mod ＦＢ）
ｆ（６）＝Ｓ_０＋Ｓ_１・６＋ｒ・（６−２）（６−５）＝Ｓ_０＋６Ｓ_１＋４ｒ＝ＣＥ（mod ＦＢ）
の連立方程式が得られる。これを解くと、Ｓ_１＝ＡＢ、Ｓ_０＋４ｒ＝Ｂ８が求められ、秘密情報Ｓの分割情報Ｓ_１が得られる。

ただし、これ以外の任意の分散情報の組からは、例えばｆ（１０）＝Ｆ９，ｆ（６）＝ＣＥより
ｆ（１０）＝Ｓ_０＋Ｓ_１・１０＋ｒ・（１０−２）（１０−５）＝Ｓ_０＋１０Ｓ_１＋４０ｒ＝Ｆ９（mod ＦＢ）
ｆ（６）＝Ｓ_０＋Ｓ_１・６＋ｒ・（６−２）（６−５）＝Ｓ_０＋６Ｓ_１＋４ｒ＝ＣＥ（mod ＦＢ）
の連立方程式が得られるが、これを解いても、９Ｓ_０＋５０Ｓ_１＝３６（mod ＦＢ）という分割情報Ｓ_０とＳ_１の関係式が得られるのみで、秘密情報Ｓを完全には復元できない。本実施例における分散情報の組み合わせにより得られる分割情報の関係式を図４に示す。

なお、任意の３個の分散情報からは、例えばｆ（７）＝３Ｄ，ｆ（８）＝Ｅ５，ｆ（９）＝Ｄ０より
ｆ（７）＝Ｓ_０＋Ｓ_１・７＋ｒ・（７−２）（７−５）＝Ｓ_０＋７Ｓ_１＋１０ｒ＝３Ｄ
ｆ（８）＝Ｓ_０＋Ｓ_１・８＋ｒ・（８−２）（８−５）＝Ｓ_０＋８Ｓ_１＋１８ｒ＝Ｅ５
ｆ（９）＝Ｓ_０＋Ｓ_１・９＋ｒ・（９−２）（９−５）＝Ｓ_０＋９Ｓ_１＋２８ｒ＝ＤＯ
のような連立方程式が得られ、これを解くと、Ｓ_０＝３Ｃ，Ｓ_１＝ＡＢ，ｒ＝１Ｆが求められ、秘密情報Ｓが完全に復元される。

以上のように、本実施例により生成した秘密情報Ｓの分散情報は、６個の内任意の３個の分散情報を持ち寄れば秘密情報Ｓを完全に復元でき、１番目と２番目の分散情報を持ち寄ると分割情報Ｓ_０を、１番目と６番目の分散情報を持ち寄ると分割情報Ｓ_１を復元でき、これ以外の任意の２個の分散情報からは秘密情報Ｓを完全には復元できないように生成されている。

図５は、本発明の実施例２における復元制御型秘密情報分散装置３００の機能構成例を示す。本復元制御型秘密情報装置３００は、分散関数入力部３１０、復元条件導出部３２０、復元制御情報出力部３３０、演算過程記憶部３４０から構成される。図５でも、各部の動作を制御するための制御部は省略する。

本実施例は、秘密情報Ｓを分散するための既知の分散関数ｆ（ｘ）を入力として、秘密情報Ｓの分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１について部分的な復元の可否および部分的な復元が可能な組み合わせである復元制御情報を算出するものである。

分散関数入力部２１０において、復元制御情報を求める分散関数ｆ（ｘ）の入力を受け付ける。本実施例では、分散関数ｆ（ｘ）として、
ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ一６）＋ｒ（ｘ−３）（ｘ−４）mod ｐ
が入力されたものとする。分散関数入力部２１０は、入力された分散関数ｆ（ｘ）を演算過程記憶部３４０に入力された式を記憶する。

なお、本実施例は、分散関数入力部３１０における分散関数ｆ（ｘ）の入力の方法および形式を規定するものではない。キーボード入力やファイル入力の他に、インターネットなどの接続回線を介して他の装置から入力するようにしても構わない。また、具体的な値を一切含む事なく、分散関数ｆ（ｘ）の一般形を入力として受け付けるようにしても良い。また、本実施例では入力された分散関数ｆ（ｘ）の式について、分割情報Ｓ_０、Ｓ_１や乱数ｒ、素数ｐの値の入力はなかったものとしたが、予め入力を受け付けるようにしても良い。また分散関数入力部２１０が演算過程記憶部３４０に記憶する形式は、分散関数ｆ（ｘ）の式だけでなく、各変数や項の値を記録するようにしても良い。

復元条件導出部３２０は、入力された分散関数ｆ（ｘ）から特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、この行列式を変形して特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための制約式を導出する。

本実施例においては、分散関数ｆ（ｘ）が分割情報Ｓ_０、Ｓ_１とｒの式で表現される事から、

のように生成し、この左項を掃き出し法により変形して、

を得る。したがって、部分的にＳ_０を復元可能な特定の分散情報ｆ（ｘ）およびｆ（ｘ＋ｂ）に関する制約式は−ｘ^２＋２ａ_１ｘ−ｂｘ＋ａ_１ｂ−ａ_１ａ_２−ａ_１ａ_３＋ａ_２ａ_３＝０、部分的にＳ_１を復元可能な特定の分散情報ｆ（ｘ）およびｆ（ｘ＋ｂ）に関する制約式は２ｘ−ａ_２−a_３＋ｂ＝０である。

次に、復元条件導出部３２０は、演算過程記憶部３４０に記憶した分散関数ｆ（ｘ）の式から変数ａ_ｌ、ａ_２、ａ_３の値を得て、制約式に代入してｘとｂの組み合わせを算出する。本実施例ではａ_ｌ＝６，ａ_２＝３，ａ_３＝４であるから、Ｓ_０を復元可能なｘとｂの組み合わせの制約式は−ｘ^２＋１２ｘ−ｂｘ＋６ｂ−３０＝０となり、ｘ≧０、ｂ≧１の条件の下で制約式を解くと、（ｘ，ｂ）＝（３，１），（７，５），（８，１）を得る。一方、Ｓ_０を復元可能なｘとｂの組み合わせの制約式は２ｘ＋ｂ−７＝０となり、同様にｘ≧０、ｂ≧１の条件の下で制約式を解くと、（ｘ，ｂ）＝（３，１），（２，３），（１，５）を得る。復元制御情報は、Ｓ_０を復元可能な分散情報の組み合わせとしてｆ（３）とｆ（４），ｆ（７）とｆ（１２），ｆ（８）とｆ（９）、Ｓ_１を復元可能な分散情報の組み合わせとしてｆ（１）とｆ（６），ｆ（２）とｆ（５），ｆ（３）とｆ（４）となる。復元条件導出部３２０は、これらの組み合わせを演算過程記憶部３４０に記憶する。

復元制御情報出力部３３０は、復元条件導出部３２０において得られた復元制御情報を出力する。本実施例では、Ｓ_０を復元可能な分散情報の組み合わせとしてｆ（３）とｆ（４），ｆ（７）とｆ（１２），ｆ（８）とｆ（９）、Ｓ_１を復元可能な分散情報の組み合わせとしてｆ（１）とｆ（６），ｆ（２）とｆ（５），ｆ（３）とｆ（４）を出力する。

なお、本実施例は分散関数ｆ（ｘ）およびその復元制御情報の出力の方法および形式を規定するものではなく、画面出力やファイル出力の他に、インターネットなどの接続回線を介して他の装置に出力するようにしても良いし、また必要がなければ出力をしないようにしても良い。また、分散関数入力部３１０において分割情報Ｓ_０、Ｓ_１や乱数ｒ、素数ｐの値が入力されていた場合には、名２分散情報の値も算出して出力するようにしても良い。

以上のように、本実施例における復元制御型秘密情報分散装置３００は，分散関数ｆ（ｘ）を入力として、分散関数ｆ（ｘ）により生成される秘密情報Ｓの分散情報について、特定の分割情報Ｓ_ｔを復元可能とする特定のｘの組み合わせを求める事ができる。

なお、図２や図５で示した復元制御型秘密情報分散装置における各部の一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明装置を実現することができること、あるいは、図１で示したような処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもなく、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。

本発明の復元制御型秘密情報分散方法の処理フロー図である。 本発明の復元制御型秘密情報分散装置の実施例１の機能構成図である。 実施例１における生成した分散情報の例である。 実施例１における分散情報の組み合わせと復元情報の例である。 本発明の復元制御型秘密情報分散装置の実施例２の機能構成図である。

符号の説明

１００ 復元制御型秘密情報分散装置
１１０ 分散条件入力部
１２０ 分散関数生成部
１３０ 復元条件導出部
１４０ 分散関数決定部
１５０ 分散関数出力部
１６０ 演算過程記憶部
１７０ 復元条件記憶部
１８０ 復元条件検索部
１９０ 分散情報生成部
２００ 分散情報出力部
３００ 復元制御型秘密情報分散装置
３１０ 分散関数入力部
３２０ 復元条件導出部
３３０ 復元制御情報出力部
３４０ 演算過程記憶部

Claims (17)

1. 秘密情報Ｓについて、所定の数の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、所定の数に足りなくても特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報が復元可能であるように、秘密情報の復元を制御した分散情報を生成する復元制御型秘密情報分散方法であって、
   秘密情報Ｓについて、秘密情報Ｓの完全な復元に必要な分散情報の最低数である２以上の整数の閾値ｋと、閾値ｋに対して秘密情報Ｓの部分的な復元を許容する分散情報の不足数を決定する２以上ｋ以下の整数の分割数ｄと、秘密情報Ｓのｄ個の分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１を入力して記憶し、
   最大の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）よりも大きな素数ｐと、素数ｐよりも小さく０でない（ｋ−ｄ個）の乱数ｒ_ｉ（１≦ｉ≦ｋ−ｄ）と、（ｋ（ｋ−１）／２）個の乱数ａ_ｊ（１≦ｊ≦ｋ（ｋ−１）／２）を生成して、
   ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ−ａ_１）＋…＋Ｓ_ｄ−１（ｘ−ａ_{（ｄ一１）（ｄ−２）／２＋１}）（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋２}）…（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋ｄ−１}）＋ｒ_１（ｘ−ａ_{ｄ（ｄ−１）／２＋１}）（ｘ−ａ_{ｄ（ｄ−１）／２＋２）}…（ｘ−ａ_{ｄ（ｄ−１）／２＋ｄ}）＋…＋ｒ_ｋ−ｄ（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋１}）（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋２}）…（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋ｋ−１}） mod ｐ
   の式で表現される秘密情報Ｓの分散関数ｆ（ｘ）を生成する事を特徴とする復元制御型秘密情報分散方法。
2. 請求項１に記載の復元制御型秘密情報分散方法であって、
   生成した分散関数ｆ（ｘ）から、特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、該行列式を掃き出し法により変形して、特定の個数の分散情報から特定の分割情報Ｓ_ｔを復元可能とするような特定のｘの組み合わせを求めるための制約式を導出し、
   上記制約式を解いて、特定の個数の分散情報から特定の分割情報Ｓ_ｔを復元可能とする特定のｘの組み合わせである復元制御情報を算出する事を特徴とする復元制御型秘密情報分散方法。
3. 秘密情報Ｓについて、所定の数の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、所定の数に足りなくても特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報が復元可能であるように、秘密情報の復元を制御した分散情報を生成する復元制御型秘密情報分散方法であって、
   分散したい秘密情報Ｓについて、秘密情報Ｓの復元に必要な分散情報の個数の最低数である閾値ｋと、閾値ｋに対して秘密情報Ｓの部分的な復元を許容する分散情報の不足数を決定する分割数ｄを入力して記憶し、
   分散したい秘密情報Ｓを構成するｄ個の分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１について、個々の分割情報に対して部分的な復元の許可または禁止を指定し、復元を許可あるいは禁止する特定のｘの組み合わせないしは組み合わせの個数を入力すると、
   最大の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）よりも大きな素数ｐと、素数ｐよりも小さく０でない（ｋ−ｄ個）の乱数ｒ_ｉ（１≦ｉ≦ｋ−ｄ）を生成し、（ｋ（ｋ−１）／２）個の変数ａ_ｊ（１≦ｊ≦ｋ（ｋ−１）／２）とｘによる
   ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ−ａ_１）＋…＋Ｓ_ｄ−１（ｘ−ａ_{（ｄ一１）（ｄ−２）／２＋１}）（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋２}）…（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋ｄ−１}）＋ｒ_１（ｘ−ａ_{ｄ（ｄ−１）／２＋１}）（ｘ−ａ_{ｄ（ｄ−１）／２＋２）}…（ｘ−ａ_{ｄ（ｄ−１）／２＋ｄ}）＋…＋ｒ_ｋ−ｄ（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋１}）（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋２}）…（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋ｋ−１}） mod ｐ
   の式で表現される秘密情報Ｓの分散関数ｆ（ｘ）を仮生成して、
   上記仮生成した分散関数ｆ（ｘ）から、特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、該行列式を掃き出し法により変形して、特定の個数の分散情報から特定の分割情報Ｓ_ｔを復元可能とするような特定のｘの組み合わせを求めるためのｘと変数ａ_ｊからなる制約式を導出し、
   部分的な復元を許可する特定の分割情報Ｓ_ｔの復元を可能とするｘの組み合わせないしは組み合わせの個数である復元許可条件と、部分的な復元を禁止する特定の分割情報Ｓ_ｔの復元を可能とするｘの組み合わせないしは組み合わせの個数である復元禁止条件に基づいて、特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための制約式を解いて変数ａ_ｊを決定し、
   上記決定した変数ａ_ｊを仮生成した分数関数ｆ（ｘ）に代入して、分散関数ｆ（ｘ）を生成する事を特徴とする復元制御型秘密情報分散方法。
4. 請求項１から３のいずれか１項に記載の復元制御型秘密情報分散方法であって、
   分散情報を生成する個数である分散数ｎを入力すると、分散関数ｆ（ｘ）から所定の条件にしたがってｎ個の分散情報を生成する事を特徴とする復元制御型秘密情報分散方法。
5. 請求項１から４のいずれか１項に記載の復元制御型秘密情報分散方法であって、
   生成した分散関数ｆ（ｘ）、特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための特定のｘの組み合わせである復元制御情報、分散情報を出力する事を特徴とする復元制御型秘密情報分散方法。
6. 請求項１から５のいずれか１項に記載の復元制御型秘密情報分散方法であって、
   分散関数ｆ（ｘ）を構成する要素の内、秘密情報Ｓのｄ個の分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１、最大の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）よりも大きな素数ｐ、素数ｐよりも小さく０でない（ｋ−ｄ個）の乱数ｒ_ｉ（１≦１≦ｋ−ｄ）の入力ないしは生成は、分散関数ｆ（ｘ）を出力する直前、あるいは分散情報を生成する直前で良い事を特徴とする復元制御型秘密情報分散方法。
7. 秘密情報Ｓについて、所定の数の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、所定の数に足りなくても特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報が復元可能であるように、秘密情報の復元を制御した分散情報を生成する復元制御型秘密情報分散装置であって、
   分散したい秘密情報Ｓについて、分散条件として、秘密情報Ｓの復元に必要な分散情報の個数の最低数である閾値ｋと、閾値ｋに対して秘密情報Ｓの部分的な復元を許容する分散情報の不足数を決定する分割数ｄと、秘密情報Ｓのｄ個の分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１を入力する分散条件入力部と、
   閾値ｋと分割数ｄに基づいて、最大の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）よりも大きな素数ｐと、素数ｐよりも小さく０でない（ｋ−ｄ個）の乱数ｒ_ｉ（１≦１≦ｋ−ｄ）と、（ｋ（ｋ−１）／２）個の乱数ａ_ｊ（１≦ｊ≦ｋ（ｋ−１）／２）を生成して、
   ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ−ａ_１）＋…＋Ｓ_ｄ−１（ｘ−ａ_{（ｄ一１）（ｄ−２）／２＋１}）（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋２}）…（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋ｄ−１}）＋ｒ_１（ｘ−ａ_{ｄ（ｄ−１）／２＋１}）（ｘ−ａ_{ｄ（ｄ−１）／２＋２）}…（ｘ−ａ_{ｄ（ｄ−１）／２＋ｄ}）＋…＋ｒ_ｋ−ｄ（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋１}）（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋２}）…（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋ｋ−１}） mod ｐ
   の式で表現される秘密情報Ｓの分散関数ｆ（ｘ）を生成する分散関数生成部と、
   分散関数ｆ（ｘ）から特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、該行列式を変形して特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための制約式を導出する復元条件導出部と、
   上記生成された分散関数ｆ（ｘ）と、特定の分割情報Ｓ_ｔを復元可能な特定のｘの組み合わせを復元制御情報として出力する分散関数出力部と、
   入力された分散条件、生成された分散関数、導出された復元条件を記憶する演算過程記憶部と、
   を有する事を特徴とする復元制御型秘密情報分散装置。
8. 秘密情報Ｓについて、所定の数の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、所定の数に足りなくても特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報が復元可能であるように、秘密情報の復元を制御した分散情報を生成する復元制御型秘密情報分散装置であって、
   分散したい秘密情報Ｓについて、分散条件として、秘密情報Ｓの復元に必要な分散情報の個数の最低数である閾値ｋと、閾値ｋに対して秘密情報Ｓの部分的な復元を許容する分散情報の不足数を決定する分割数ｄと、分散したい秘密情報Ｓを構成するｄ個の分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１について、個々の分割情報に対して部分的な復元の許可または禁止を指定し、復元を許可あるいは禁止するｘの組み合わせないしは組み合わせの個数を入力する分散条件入力部と、
   閾値ｋと分割数ｄに基づいて、最大の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）よりも大きな素数ｐと、素数ｐよりも小さく０でない（ｋ−ｄ個）の乱数ｒｌ（１≦１≦ｋ−ｄ）と、（ｋ（ｋ−１）／２）個の変数ａ_ｊ（１≦ｊ≦ｋ（ｋ−１）／２）による、
   ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ−ａ_１）＋…＋Ｓ_ｄ−１（ｘ−ａ_{（ｄ一１）（ｄ−２）／２＋１}）（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋２}）…（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋ｄ−１}）＋ｒ_１（ｘ−ａ_{ｄ（ｄ−１）／２＋１}）（ｘ−ａ_{ｄ（ｄ−１）／２＋２）}…（ｘ−ａ_{ｄ（ｄ−１）／２＋ｄ}）＋…＋ｒ_ｋ−ｄ（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋１}）（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋２}）…（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋ｋ−１}） mod ｐ
   の式で表現される秘密情報Ｓの分散関数ｆ（ｘ）の一般形を生成する分散関数生成部と、
   上記生成された分散関数ｆ（ｘ）の一般形から、特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、該行列式を変形して特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための制約式を導出する復元条件導出部と、
   部分的な復元を許可あるいは禁止する特定の分割情報Ｓ_ｔの復元を可能とするｘの組み合わせないし組み合わせの個数に基づいて、特定の分割情報Ｓ_ｔを復元可能とする特定のｘの組み合わせを表わす制約式を解いて、上記生成された分散関数ｆ（ｘ）の一般形における定数項を決定して分散関数ｆ（ｘ）を決定する分散関数決定部と、
   上記決定された分散関数ｆ（ｘ）と、特定の分割情報Ｓ_ｔを復元可能な特定のｘの組み合わせを復元制御情報として出力する分散関数出力部と、
   入力された分散条件、生成された分散関数、導出された復元条件を記憶する演算過程記憶部と、
   を有する事を特徴とする復元制御型秘密情報分散装置。
9. 秘密情報Ｓについて、所定の数の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、所足の数に足りなくても特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報が復元可能であるように、秘密情報の復元を制御した分散情報を生成する分散関数の復元制御情報を導出する復元制御型秘密情報分散装置であって、
   分散したい秘密情報Ｓについて、分散関数ｆ（ｘ）を入力する分散関数入力部と、
   上記入力された分散関数ｆ（ｘ）から、特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、この行列式を変形して特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための制約式を導出する復元条件導出部と、
   上記入力された分散関数ｆ（ｘ）に対して特定の分割情報Ｓ_ｔを復元可能な特定のｘの組み合わせを復元制御情報として出力する復元制御情報出力部と、
   入力された分散関数、導出された復元条件を記憶する演算過程記憶部と、
   を有する事を特徴とする復元制御型秘密情報分散装置。
10. 請求項７から９のいずれか１項に記載の復元制御型秘密情報分散装置であって、
    閾値ｋと分割数ｄに対応する、分散関数ｆ（ｘ）の一般形と一般形から導出される制約式を記憶した復元条件記憶部と、
    入力された分散条件ないしは分散関数ｆ（ｘ））に従って、条件に合致する分散関数ｆ（ｘ）および制約式を検索する復元条件検索部と、
    を有する事を特徴とする復元制御型秘密情報分散装置。
11. 請求項７から１０のいずれか１項に記載の復元制御型情報分散装置であって、
    秘密情報Ｓについて、分散情報を生成する個数である分散数ｎに従って、分散関数ｆ（ｘ）と復元制御情報に基づいてｎ個の分散情報を生成する分散情報生成部と、
    生成したｎ個の分散情報を、分散情報を計算したｘの値とともに出力する分散情報出力部と、
    を有する事を特徴とする復元制御型秘密情報分散装置。
12. 秘密情報Ｓについて、所定の数の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、所定の数に足りなくても特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報が復元可能であるように、秘密情報の復元を制御した分散情報を生成する復元制御型秘密情報分散装置の処理をコンピュータに実行させるための復元制御型秘密情報分散プログラムであって、
    分散したい秘密情報Ｓについて、分散条件として、秘密情報Ｓの復元に必要な分散情報の個数の最低数である閾値ｋと、閾値ｋに対して秘密情報Ｓの部分的な復元を許容する分散情報の不足数を決定する分割数ｄと、秘密情報Ｓのｄ個の分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１を入力する処理と、
    閾値ｋと分割数ｄに基づいて、最大の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）よりも大きな素数ｐと、素数ｐよりも小さく０でない（ｋ−ｄ個）の乱数ｒ_ｉ（１≦１≦ｋ−ｄ）と、（ｋ（ｋ−１）／２）個の乱数ａ_ｊ（１≦ｊ≦ｋ（ｋ−１）／２）を生成して、
    ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ−ａ_１）＋…＋Ｓ_ｄ−１（ｘ−ａ_{（ｄ一１）（ｄ−２）／２＋１}）（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋２}）…（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋ｄ−１}）＋ｒ_１（ｘ−ａ_{ｄ（ｄ−１）／２＋１}）（ｘ−ａ_{ｄ（ｄ−１）／２＋２）}…（ｘ−ａ_{ｄ（ｄ−１）／２＋ｄ}）＋…＋ｒ_ｋ−ｄ（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋１}）（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋２}）…（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋ｋ−１}） mod ｐ
    の式で表現される秘密情報Ｓの分散関数ｆ（ｘ）を生成する処理と、
    分散関数ｆ（ｘ）から特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、該行列式を変形して特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための制約式を導出する処理と、
    上記生成された分散関数ｆ（ｘ）と、特定の分割情報Ｓ_ｔを復元可能な特定のｘの組み合わせを復元制御情報として出力する処理と、
    入力された分散条件、生成された分散関数、導出された復元条件を記憶する処理と、
    をコンピュータに実行させるための復元制御型秘密情報分散プログラム。
13. 秘密情報Ｓについて、所定の数の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、所定の数に足りなくても特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報が復元可能であるように、秘密情報の復元を制御した分散情報を生成する復元制御型秘密情報分散装置の処理をコンピュータに実行させるための復元制御型秘密情報分散プログラムであって、
    分散したい秘密情報Ｓについて、分散条件として、秘密情報Ｓの復元に必要な分散情報の個数の最低数である閾値ｋと、閾値ｋに対して秘密情報Ｓの部分的な復元を許容する分散情報の不足数を決定する分割数ｄと、分散したい秘密情報Ｓを構成するｄ個の分割情報Ｓ_０，Ｓ_１，…，Ｓ_ｄ−１について、個々の分割情報に対して部分的な復元の許可または禁止を指定し、復元を許可あるいは禁止するｘの組み合わせないしは組み合わせの個数を入力する処理と、
    閾値ｋと分割数ｄに基づいて、最大の分割情報Ｓ_ｔ（０≦ｔ≦ｄ−１）よりも大きな素数ｐと、素数ｐよりも小さく０でない（ｋ−ｄ個）の乱数ｒｌ（１≦１≦ｋ−ｄ）と、（ｋ（ｋ−１）／２）個の変数ａ_ｊ（１≦ｊ≦ｋ（ｋ−１）／２）による、
    ｆ（ｘ）＝Ｓ_０＋Ｓ_１（ｘ−ａ_１）＋…＋Ｓ_ｄ−１（ｘ−ａ_{（ｄ一１）（ｄ−２）／２＋１}）（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋２}）…（ｘ−ａ_{（ｄ−１）（ｄ−２）／２＋ｄ−１}）＋ｒ_１（ｘ−ａ_{ｄ（ｄ−１）／２＋１}）（ｘ−ａ_{ｄ（ｄ−１）／２＋２）}…（ｘ−ａ_{ｄ（ｄ−１）／２＋ｄ}）＋…＋ｒ_ｋ−ｄ（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋１}）（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋２}）…（ｘ−ａ_{（ｋ−１）（ｋ−２）／２＋ｋ−１}） mod ｐ
    の式で表現される秘密情報Ｓの分散関数ｆ（ｘ）の一般形を生成する処理と、
    上記生成された分散関数ｆ（ｘ）の一般形から、特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、該行列式を変形して特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための制約式を導出する処理と、
    部分的な復元を許可あるいは禁止する特定の分割情報Ｓ_ｔの復元を可能とするｘの組み合わせないし組み合わせの個数に基づいて、特定の分割情報Ｓ_ｔを復元可能とする特定のｘの組み合わせを表わす制約式を解いて、上記生成された分散関数ｆ（ｘ）の一般形における定数項を決定して分散関数ｆ（ｘ）を決定する処理と、
    上記決定された分散関数ｆ（ｘ）と、特定の分割情報Ｓ_ｔを復元可能な特定のｘの組み合わせを復元制御情報として出力する処理と、
    入力された分散条件、生成された分散関数、導出された復元条件を記憶する処理と、
    をコンピュータに実行させるための復元制御型秘密情報分散プログラム。
14. 秘密情報Ｓについて、所定の数の任意の分散情報を集めると元の秘密情報Ｓが復元可能であって、所足の数に足りなくても特定の分散情報の組み合わせからは秘密情報Ｓの特定の部分情報が復元可能であるように、秘密情報の復元を制御した分散情報を生成する分散関数の復元制御情報を導出する復元制御型秘密情報分散装置の処理をコンピュータに実行させるための復元制御型秘密情報分散プログラムであって、
    分散したい秘密情報Ｓについて、分散関数ｆ（ｘ）を入力する処理と、
    上記入力された分散関数ｆ（ｘ）から、特定の個数のｘについての組み合わせの連立方程式を表現する行列式を生成し、この行列式を変形して特定のｘの組み合わせから特定の分割情報Ｓ_ｔを復元可能とするための制約式を導出する処理と、
    上記入力された分散関数ｆ（ｘ）に対して特定の分割情報Ｓ_ｔを復元可能な特定のｘの組み合わせを復元制御情報として出力する処理と、
    入力された分散関数、導出された復元条件を記憶する演算過程記憶部と、
    をコンピュータに実行させるための復元制御型秘密情報分散プログラム。
15. 請求項１２から１４のいずれか１項に記載の復元制御型秘密情報分散プログラムであって、
    閾値ｋと分割数ｄに対応する、分散関数ｆ（ｘ）の一般形と一般形から導出される制約式を記憶した復元条件記憶部から、入力された分散条件ないしは分散関数ｆ（ｘ））に従って、条件に合致する分散関数ｆ（ｘ）および制約式を検索する処理と、
    をコンピュータで実行させる事を特徴とする復元制御型秘密情報分散プログラム。
16. 請求項１２から１５のいずれか１項に記載の復元制御型情報分散プログラムであって、
    秘密情報Ｓについて、分散情報を生成する個数である分散数ｎに従って、分散関数ｆ（ｘ）と復元制御情報に基づいてｎ個の分散情報を生成する処理と、
    生成したｎ個の分散情報を、分散情報を計算したｘの値とともに出力する処理と、
    をコンピュータに更に実行させる事を特徴とする復元制御型秘密情報分散プログラム。
17. 請求項１２から１５のいずれか１項に記載の復元制御型情報分散プログラムを記録した記録媒体。

Images