JP7036608B2

JP7036608B2 - 秘密分散システム

Info

Publication number: JP7036608B2
Application number: JP2018020566A
Authority: JP
Inventors: 惠市岩村
Original assignee: 惠市岩村
Priority date: 2018-02-07
Filing date: 2018-02-07
Publication date: 2022-03-15
Anticipated expiration: 2033-04-03
Also published as: JP2018084846A

Description

本発明は情報を安全に分散管理する分散管理技術に関する。

近年、新たなネットワーク技術としてクラウドコンピューティングが注目されている。クラウドコンピューティングとはユーザの持つデータをクラウドと呼ばれるネットワーク上の複数のサーバにより構成される仮想の大容量ストレージに分散・保存し、そのデータをどこからでもネットワーク経由でユーザが必要に応じてアクセスすることを可能にする技術である。また、秘匿計算を実現することで単にデータをストレージするだけでなく、クラウド上に分散・保存されたデータを用いて個々のデータを秘匿しながら任意の計算を行うことが望まれる。

この様な秘匿計算を実現するために秘密分散の利用が注目されている。秘密分散法とは１個の秘密情報をｎ個に分散し、ｎ個に分散した分散情報の内、ｋ個（ｋ≦ｎ）の情報を集めることで元の秘密情報が復元できるという技術である。また、ｋ個未満の情報からは一切秘密情報に関する情報を得ることができない。この秘密分散法として、Shamirによる（ｋ，ｎ）秘密分散法が良く知られている。（ｋ，ｎ）秘密分散法を含む従来の秘密分散システムは分散情報を保存する複数のデータサーバと、秘密情報を分散するディーラまたは秘密情報を復元する復元端末からなる。すなわち、秘密分散時にユーザは自分が所有する秘密情報の分散をディーラに依頼し、ディーラは秘密分散演算を行いｎ個の分散値を計算して、その値を各々ｎ個のデータサーバに分散保存する。一般に、ディーラは秘密分散時のみ存在するとされる。一方、復元時にはユーザは復元したい秘密情報に対する分散値をｋ個のデータサーバから復元端末に集めて復元を行う。この復元端末も一般には、データ復元時のみ存在する。

Shamirの（ｋ，ｎ）秘密分散法は次式のようなｋ－１次の多項式を設定（Ｓは秘密情報、ａ_１～ａ_ｋ－１は乱数で与えられる。）し、ｎ個のデータサーバの識別情報をＤ _ｄ（ｄ＝１，…，ｎ）としたときのＷ_ｄが、各データサーバが保存する分散値となる。このｋ－１次多項式はｋ個の分散値Ｗ_１，…，Ｗ_ｋが集まれば解く（秘密情報Ｓを求める）ことができる。

一般に、クラウドが扱うデータは顧客から預かった情報であり、かつ大容量であることから秘密分散を用いたクラウドシステムには以下のような要件が望まれている。

(I) 分散値を保存するデータサーバのうちいくつか（ｎ－ｋ個以下）が破損しても元のデータを復元することができる。
(II) 秘密分散によって増加する記憶容量をｎ倍以下に抑えることができる。
(III)ｋ個未満のサーバから分散値が集まっても、秘密情報の部分的漏えいが生じず、少なくとも計算量的安全性を持つ。

まず、(I) の要件について考える。クラウドコンピューティングは複数のサーバにより構成されており、顧客からの情報を預かっていることから、これらのサーバのうちのいくつかが災害による停電やヒューマンエラー等によりダウンしても影響がないことが求められる。この要件は、従来法である（ｋ，ｎ）秘密分散法によって実現できる。

次に、（II）の要件は、これからよりクラウドシステムが普及していくために重要である。特に、クラウドコンピューティングでは膨大なデータを扱うため、少しのデータ増加が大量のデータ増加になる分散手法は記憶容量的に問題がある。しかし、（ｋ，ｎ）秘密分散法は、１つの分散情報のデータサイズを元の秘密情報よりも小さくすることができないため、１個のデータ増加がｎ個のデータ増加となり、容量効率が非常に悪い。よって、従来法である（ｋ，ｎ）秘密分散法は（I）（II）の要件を同時に満たすことができない。それに対して、秘密分散法の容量が削減可能な手法としてランプ型秘密分散法が知られている。ランプ型秘密分散法は、ユーザの記憶容量を（ｋ，ｎ）秘密分散法と比べて１／Ｌ倍（１≦Ｌ≦ｋ）にできるので、ランプ型秘密分散を用いれば（I）（II）の要件は実現できる。

また、(III)の要件はクラウドコンピューティングの安全性を保証するために必要である。ランプ型秘密分散法は、ユーザの記憶容量を（ｋ，ｎ）秘密分散法と比べて１／Ｌ倍にできるが、ユーザの記憶容量を削減するほど、ｋ個未満の分散情報から秘密情報の段階的な漏えいが起こるため、安全性に問題が生じることが知られている。よって、従来の代表的な秘密分散法であるShamirの（ｋ，ｎ）秘密分散法、及びランプ型秘密分散法は上記(I)～(III)の要件全てを満たさず、そのままクラウドシステムに適用することは不適である。

永井良英, 高荒亮, 岩村惠市：”XORを用いた高速な秘密分散法のデータ容量削減に関する一手法 ”コンピュータセキュリティシンポジウム2012，1C2-3，Oct.2012.

本発明は、上述の問題に鑑み、クラウドのような大容量データを扱うシステムにおいて、秘密情報を分散保存した複数のデータサーバのうち一部のデータサーバから秘密情報を復元することができ、記憶容量の低減に寄与すると共に、安全性にも優れる秘密分散システムを提供することを目的とする。

本開示の第１の態様に係る鍵サーバは、秘密情報をｎ個に分散し、そのうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ－１個以下では秘密情報を復元できないシステムにおいて、分散値を得るために予め設定された鍵を用いてディーラからの情報を暗号化する。

本開示の第２の態様に係るディーラは、秘密情報をｎ個に分散し、そのうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ－１個以下では秘密情報を復元できないシステムにおいて、分散値を得るために予め設定された鍵を用いて自分の持つ情報を暗号化する。

本開示の第３の態様に係るディーラは、秘密情報をｎ個に分散し、そのうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ－１個以下では秘密情報を復元できないシステムにおいて、鍵サーバが計算した暗号化結果から得られる値と秘密情報とあらかじめ定められた値からデータサーバが保存する分散値を計算する。

本開示の第４の態様に係るディーラは、秘密情報をｎ個に分散し、そのうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ－１個以下では秘密情報を復元できないシステムにおいて、鍵サーバおよびディーラが計算した暗号化結果から得られる値と秘密情報とあらかじめ定められた値からデータサーバが保存する分散値を計算する。

本開示の第５の態様に係る復元装置は、秘密情報をｎ個に分散し、そのうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ－１個以下では秘密情報を復元できないシステムにおいて、鍵サーバが計算した暗号化結果から得られる値とデータサーバが保存している値から秘密情報を復元する。

本開示の第６の態様に係る復元装置は、秘密情報をｎ個に分散し、そのうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ－１個以下では秘密情報を復元できないシステムにおいて、鍵サーバおよびディーラが計算した暗号化結果から得られる値とデータサーバが保存している値から秘密情報を復元する。

本発明は、クラウドのような大容量データを扱うシステムにおいて、秘密情報を分散保存した複数のデータサーバのうち一部のデータサーバから秘密情報を復元することができ、記憶容量の低減に寄与すると共に、安全性にも優れる秘密分散システムを提供することができる。

第１の実施の形態の秘密情報分散復元システムの構成図である。第１の実施の形態の情報提供端末１２のブロック図である。第１の実施の形態の情報提供端末１２が実行する分散値の作成及び送信処理ルーチンの一部を示したフローチャートである。第１の実施の形態の情報提供端末１２が実行する分散値の作成及び送信処理ルーチンの残りを示したフローチャートである。第１の実施の形態の鍵サーバ１４が実行する暗号化処理ルーチンを示したフローチャートである。第１の実施の形態の分散値の作成及び分散の処理を示した図である。第１の実施の形態の基礎方程式を示した図である。第１の実施の形態の情報提供端末１２が実行する復元処理ルーチンを示したフローチャートである。第１の実施の形態の鍵サーバ１４が実行する暗号化データ送信処理ルーチンを示したフローチャートである。第１の実施の形態のデータサーバ１６が実行する分散値送信処理ルーチンを示したフローチャートである。第１の実施の形態の秘密情報の復元の処理を説明する図である。基礎方程式を示した図である。第２の実施の形態の情報提供端末１２が実行する分散値の作成及び送信処理ルーチンの一部を示したフローチャートである。第２の実施の形態の分散値の作成及び分散の処理を示した図である。第２の実施の形態の基礎方程式を示した図である。第３の実施の形態の情報提供端末１２が実行する分散値の作成及び送信処理ルーチンの一部を示したフローチャートである。第３の実施の形態の鍵サーバ１４が実行する暗号化処理ルーチンを示したフローチャートである。第３の実施の形態の分散値の作成及び分散の処理を示した図である。第４の実施の形態の情報提供端末１２が実行する秘密情報の復元及び更新処理ルーチンの一部を示したフローチャートである。第４の実施の形態の情報提供端末１２が実行する秘密情報の復元及び更新処理ルーチンの他の一部を示したフローチャートである。第４の実施の形態の情報提供端末１２が実行する秘密情報の復元及び更新処理ルーチンの残りを示したフローチャートである。第４の実施の形態の鍵サーバ１４が実行する暗号化データ送信処理ルーチンの一部を示したフローチャートである。第４の実施の形態の鍵サーバ１４が実行する暗号化データ送信処理ルーチンの残りを示したフローチャートである。第４の実施の形態のデータサーバ１６が実行する検索処理ルーチンを示したフローチャートである。第４の実施の形態の秘密情報の復元の処理を説明する図である。第４の実施の形態の分散値の作成及び分散の処理を示した図である。

以下、図面を参照して本発明の実施の形態の一例を詳細に説明する。

（第１の実施の形態）
まず、第１の実施の形態の構成を説明する。
図１に示すように、第１の実施の形態の秘密情報分散復元システムは、ネットワーク１０を介して相互に接続された、情報提供端末（ディーラ）１２、複数の鍵サーバ１４ _１、１４ _２、・・・、１４ _ｋ－１、複数のデータサーバ１６ _１、１６ _２、・・・、１６ _{ｎ－（ｋ－１）}及び復元端末１８を備えている。
複数の鍵サーバ１４は、添字ｊで区別されている。ｊは、鍵サーバ１４を識別する変数であり、１～（ｋ－１）までの整数を表し、（ｋ－１）は鍵サーバの総数を表す。また、複数のデータサーバ１６ _ｄは、添字ｄで区別されている。ｄは、データサーバ１６を識別する変数であり、１～（ｎ－ｋ＋１）までの整数を表し、（ｎ－ｋ＋１）はデータサーバの総数を表す。また、鍵サーバ１４とデータサーバ１６の総個数はｎ個である。複数の鍵サーバ１４ _ｊの各々を区別する必要がない場合は、「鍵サーバ１４」と総称する。複数のデータサーバ１６ _ｄの各々を区別する必要がない場合は、「データサーバ１６」と総称する。
また、鍵サーバ１４ _ｊの識別情報Ｘ _ｊは _、数値で与えられている。また、データサーバ１６ _ｄの識別情報Ｄ _ｄも、数値で与えられている。これらの識別情報も、添字ｊ、ｄで区別されている。

上記情報提供端末１２、鍵サーバ１４、データサーバ１６及び復元端末１８は、同様の構成になっているので、情報提供端末１２のみの構成を、図２を参照して説明する。図２に示すように、情報提供端末１２は、ＣＰＵ２２、ＲＯＭ２４、ＲＡＭ２６、メモリ２８、入力装置３０、送受信装置３２、表示装置３４がバス３６を介して相互に接続されて、構成されている。なお、メモリ２８には後述する種々のテーブルが設けられている。

次に、本実施の形態の作用を説明する。
図３及び図４には、分散値の作成及び送信処理ルーチンが示されている。図３に示すように、ステップ４２で、秘密情報を分散させたいユーザの操作に従って、入力装置３０が、複数の秘密情報Ｓ_ｉ、秘密情報Ｓ _ｉを識別するための識別情報ｉｄ _ｉ、ユーザのＩＤを入力する。秘密情報は複数個あり、複数の秘密情報Ｓは、添字ｉで区別されている。添字ｉは、秘密情報Ｓを識別する変数であり、１～Ｉまでの整数を表し、Ｉは秘密情報の総数を表す。
これらは、メモリ２８（図６参照）に格納される。特に、複数の秘密情報Ｓ_ｉ、秘密情報の識別情報ｉｄ _ｉはテーブル９２に格納される。ステップ４４で、送受信装置３２が、ユーザＩＤを各鍵サーバ１４に送信する（図６参照）。

図５には、鍵サーバ１４が実行する暗号化処理ルーチンが示されている。
上記の図３のステップ４４が実行されると、図５のステップ８４の、鍵サーバ１４が行うユーザＩＤを受信したか否かの判断が肯定される。ステップ８４の判断が肯定されると、ステップ８６で、鍵サーバ１４は、鍵サーバ１４のメモリ２８に記憶された鍵サーバ１４ _ｊが有する固有鍵Ｋ _ｊを読み出し、ステップ８８で、鍵サーバ１４は、受信したユーザＩＤを、読み出した固有鍵Ｋ_ｊで暗号化して、暗号値ＥＩＤ_ｊを作成し、ステップ９０で、鍵サーバ１４は、暗号化されたユーザＩＤ（暗号値ＥＩＤ_ｊ）を、情報提供端末１２に送信する。

上記ステップ９０が全ての鍵サーバで実行されると、図３におけるステップ４６の、全ての鍵サーバ１４から暗号値ＥＩＤ_ｊを受信したか否かの判断が肯定されて、本ルーチンは、ステップ４８に移行される。暗号値ＥＩＤ_ｊは、テーブル９４（図６）に記憶される。
情報提供端末１２は、ステップ４８で、秘密情報Ｓを識別する変数ｉ、鍵サーバ１４を識別する変数ｊを０に初期化し、ステップ５０で、変数ｉを１インクリメントし、ステップ５２で変数ｊを１インクリメントする。情報提供端末１２は、ステップ５４で、秘密情報Ｓ_ｉの識別情報ｉｄ _ｉを、受信した暗号値ＥＩＤ_ｊで暗号化して、暗号値Ｅｉｄ（ｉ，ｊ）を作成し、テーブル９４に格納する。情報提供端末１２は、ステップ５６で、情報提供端末１２のメモリ２８におけるテーブル１００（図６参照）から、変数ｊで識別される鍵サーバ１４ _ｊの識別情報Ｘ _ｊを読み出す。

本実施の形態では、図７に示す基礎方程式（１）（２）があらかじめ定められている。
基礎方程式（１）は「Ｅｉｄ（ｉ，ｊ）」を求める方程式であり、「Ｅｉｄ（ｉ，ｊ）」は、秘密情報Ｓ _ｉの識別情報ｉｄ _ｉを、暗号化されたユーザＩＤで暗号化したときの暗号値である。基礎方程式（２）は「Ｗ（ｉ，ｄ）」を求める方程式であり、「Ｗ（ｉ，ｄ）」は、秘密情報Ｓ _ｉをデータサーバ１６ _ｄに保存するときの分散値である。
これらの基礎方程式（１）（２）は、秘密情報Ｓ_ｉを含む項と、定数と変数とを含む複数の項とを有し、ｋ－１個の係数ａ _ｉ（１）～ａ _{ｉ（ｋ－１）}が未知定数、鍵サーバ１４の識別情報Ｘ_ｊ又はデータサーバ１６ _ｄの識別情報Ｄ_ｄが変数として定められている。上記方程式（１）（２）は、これらの項に基づいて計算目標値であるＥｉｄ（ｉ、ｊ）又はＷ（ｉ、ｄ）を求める方程式である。

情報提供端末１２は、ステップ５８で、ｋ－１個の未知数である上記定数ａ _ｉ（１）～ａ _{ｉ（ｋ－１）}を求めるための方程式を、上記基礎方程式（１）に基づいて作成する。その際、変数Ｘ _ｊには、ステップ５６で読み出した鍵サーバ１４ _ｊの識別情報Ｘ _ｊを代入する。

情報提供端末１２は、ステップ６０で、変数ｊが鍵サーバ１４の総数（ｋ－１）か否かを判断する。変数ｊが総数（ｋ－１）でない場合には、未だ上記方程式を作成していない鍵サーバ１４があるので、ステップ５２に戻って、上記処理（ステップ５２～６０）を実行する。ステップ６０で、変数ｊが総数（ｋ－１）と等しいと判断された場合には、各鍵サーバ１４について上記基礎方程式（１）を作成したので、すなわち、上記ｋ－１個の未知数を求めるためのｋ－１個の方程式（図７の式（３）、（４））が作成されたので、情報提供端末１２は、秘密情報Ｓ _ｉ毎にｋ－１個の未知数ａ _ｉ（１）～ａ _{ｉ（ｋ－１）}を上記作成した方程式から算出する。

以上により、変数ｉで識別される秘密情報Ｓ_ｉに対応してｋ－１個の未知数ａ _ｉ（１）～ａ _{ｉ（ｋ－１）}が算出されたので、ステップ６４で、情報提供端末１２は、変数ｉが秘密情報の総数Ｉに等しいか否かを判断する。変数ｉが総数Ｉに等しくない場合には、未だ未知数が算出されていない秘密情報があるので、ステップ５０に戻って、以上の処理（ステップ５０～６４）を実行する。ステップ６４で変数ｉが総数Ｉに等しいと判断された場合には、図７の式（５）、（６）が作成され、これらから未知数が求められ、全ての秘密情報について未知数が求められたので、図４のステップ６６で、情報提供端末１２は、複数のデータサーバ１６を識別する変数ｄを０に初期化し、ステップ６８で変数ｄを１インクリメントし、ステップ７０で、変数ｄにより識別されるデータサーバ１６ _ｄの識別情報Ｄ _ｄを、メモリ２８のテーブル１００から読み出す。

情報提供端末１２は、ステップ７２で、変数ｉを再度初期化し、ステップ７４で、変数ｉを１インクリメントし、ステップ７６で、変数ｉにより識別される秘密情報Ｓ_ｉのデータサーバ１６ _ｄへの分散値Ｗ（ｉ，ｄ）を上記基礎方程式（２）（図７参照）に基づいて、具体的には、図７の式（９）～（１１）に基づいて計算する。ステップ７８で変数ｉが総数Ｉに等しいと判断されない場合には、未だ、全ての秘密情報に対応して分散値が計算されていないので、ステップ７４に戻って、以上の処理（ステップ７４～７８）を実行する。
ステップ７８で変数ｉが総数Ｉに等しいと判断された場合には、図７の式（２）～（１４）、式（１５）～（１７）により分散値が計算され、全ての秘密情報に対して変数ｄにより識別されるデータサーバ１６ _ｄへの分散値が計算されたので、情報提供端末１２は、ステップ８０で、変数ｄにより識別されるデータサーバ１６ _ｄに、各秘密情報の分散値Ｗ（ｉ，ｄ）、秘密情報の識別情報ｉｄ _ｉ、及びユーザＩＤを送信する。情報提供端末１２は、ステップ８２で、変数ｄがデータサーバ１６の総数（ｎ-ｋ＋１）に等しいか否かを判断し、変数ｄが総数（ｎ-ｋ＋１）に等しくないと判断した場合には、ステップ６８に戻って、以上の処理（ステップ６８から８２）を実行し、ステップ８２で、変数ｄが総数（ｎ-ｋ＋１）に等しいと判断した場合には、情報提供端末１２は、全てのデータサーバ１６に各秘密情報の分散値Ｗ（ｉ，ｄ）を送信したので、本処理を終了する。

以上の処理を、図６及び図７を参照して、鍵サーバ１４が２個、データサーバ１６が３個ある場合を説明する。
情報提供端末１２のメモリ２８には、各秘密情報Ｓ _ｉに対応して、その秘密情報の識別情報ｉｄ _ｉが記憶されているテーブル９２が設けられている。また、メモリ２８には、秘密情報の識別情報ｉｄ _ｉと各鍵サーバ１４からの暗号値Ｅｉｄ（ｉ，ｊ）とを対応して記憶するテーブル９４が設けられている。即ち、情報提供端末１２からユーザＩＤが鍵サーバ１４ _１、１４ _２にそれぞれ送信されると、各鍵サーバ１４ _１、１４ _２で、ユーザＩＤを、鍵サーバ１４ _１、１４ _２のそれぞれが有する固有鍵Ｋ _１、Ｋ _２で、それぞれ暗号化して、暗号値ＥＩＤ_１、ＥＩＤ_２をそれぞれ情報提供端末１２に送信する。暗号値ＥＩＤ_１、ＥＩＤ_２を受信した情報提供端末１２は、暗号値ＥＩＤ_１、ＥＩＤ_２のそれぞれで秘密情報の識別情報ｉｄ _１～ｉｄ _３を暗号化して暗号値Ｅｉｄ（１，１）～Ｅｉｄ（３，２）を算出して、テーブル９４に格納する。

そして、上記のように、情報提供端末１２は、各秘密情報について、ｋ－１個の未知数を求めるための方程式を作成する。これを秘密情報がＳ１の場合を例として説明する。上記のように、ｋ－１個、すなわち、この例では２個の未知数であるａ _1（１）、ａ _１（２）を求めるための方程式（（３）、（４））を作成し、これらの方程式（３）、（４）から、未知数ａ _1（１）、ａ _１（２）を算出する。次に、データサーバ１６ _１～１６ _３への分散値Ｗ（１，１）～Ｗ（３，１）を、上記基礎方程式（２）、（９）～（１１）に基づいて算出し、算出した分散値Ｗ（１，１）～Ｗ（３，１）をデータサーバ１６ _１～１６ _３に送信する。分散値を受信したデータサーバ１６ _１～１６ _３は、メモリ２８に設けられたテーブル１０２に、ユーザＩＤ及び各秘密情報の識別情報ｉｄ _１～ｉｄ _３に対応して分散値Ｗ（１，１）、Ｗ（２，１）、Ｗ（３，１）を格納する。なお、秘密情報がＳ_１の場合以外のＳ_２、Ｓ_３についても同様に処理される。

次に、復元端末１８が実行する復元処理を図８を参照して説明する。復元端末１８は、すべての秘密情報を復元する場合、ステップ１１２で、秘密情報を識別する変数ｉを０に初期化し、ステップ１１４で変数ｉを１インクリメントし、ステップ１１６で、ユーザＩＤ及び秘密情報Ｓ_ｉの識別情報ｉｄ _ｉをＬ個の鍵サーバ１４及びＭ個のデータサーバ１６に送信する（図１１参照）。なお、Ｌ＋Ｍ＝ｋである。

ステップ１１６が実行されると、図９における鍵サーバ１４が実行する暗号化データ送信処理におけるステップ１３２の、ユーザＩＤ及び秘密情報の識別情報ｉｄ _ｉを受信したか否かの判断が肯定される。ステップ１３２の判断が肯定されると、鍵サーバ１４ _ｊは、ステップ１３４で、鍵サーバ１４ _ｊの有する固有鍵Ｋ_ｊを読み出し、ステップ１３６で、ユーザＩＤを固有鍵Ｋ_ｊで暗号化して、暗号値ＥＩＤ_ｊを作成する。鍵サーバ１４ _ｊは、ステップ１３８で、暗号値ＥＩＤ_ｊで、秘密情報の識別情報ｉｄ _ｉを暗号化して、暗号値Ｅｉｄ（ｉ，ｊ）を作成し、ステップ１４０で、暗号値Ｅｉｄ（ｉ，ｊ）を復元端末１８に送信する（図１１参照）。

また、図８のステップ１１６が実行されると、データサーバ１６が実行する分散値送信処理ルーチンにおける図１０に示すステップ１４２の、ユーザＩＤ及び秘密情報の識別情報ｉｄ _ｉを受信したか否かの判断が肯定され、データサーバ１６は、ステップ１４４で、ユーザＩＤ及び秘密情報の識別情報ｉｄ _ｉとテーブル１０２（図６）とから、分散値Ｗ（ｉ，ｄ）を検索し、ステップ１４６で、検索された分散値Ｗ（ｉ，ｄ）を復元端末１８に送信する（図１１参照）。

上記Ｌ個の鍵サーバ１４で図９のステップ１４０が、上記Ｍ個のデータサーバで図１０のステップ１４６が実行されると、図８のステップ１１８における、暗号値Ｅｉｄ（ｉ、ｊ）及び分散値Ｗ（ｉ、ｄ）を受信したか否かの判断が肯定される。ステップ１１８の判断が肯定されると、復元端末１８は、ステップ１２０で、図１２に示すように、秘密情報Ｓ _１、未知数ａ _1（１）、ａ _１（２）求めるための方程式（１８）、（１９）、（２０）を作成して、作成した方程式（１８）、（１９）、（２０）から未知数ａ _1（１）、ａ _１（２）、及び秘密情報Ｓ_１を算出する。復元端末１２は、ステップ１２４で、変数ｉが総数Ｉに等しいか否かを判断し、変数ｉが総数Ｉに等しくないと判断された場合には、未だ算出されていない秘密情報があるので、ステップ１１４に戻って、以上の処理（１１４～１２４）を実行する。ステップ１２４で、変数ｉが総数Ｉに等しい場合には、全ての秘密情報が算出されたので、本処理を終了する。

次に、本実施の形態の効果を説明する。
上記の処理により、分散値を記憶するのはデータサーバ１６のみであり、鍵サーバ１４はユーザや秘密情報がどんなに増えても自分の鍵を管理するだけでよいので、全体の記憶容量は大きく削減される。
即ち、ｎ個のサーバの内のｋ－１個の鍵サーバ１４に保持された鍵データに基づいて得られた暗号値、ｋ－１個の未知数、及び鍵サーバ１４の識別情報の値から、上記基礎方程式（１）に基づいて、ｋ－１個の未知数を求めるためのｋ－１個の方程式を作成し、作成された当該方程式からｋ－１個の未知数を求める。そして、求めたｋ－１個の未知数、及びｎ個のサーバの内の残りのｎ－（ｋ－１）個のデータサーバ１６に対応して定められた識別情報の値、上記基礎方程式（２）に基づいて、ｎ－（ｋ－１）個のデータサーバ１６各々に分散する分散値を計算して、各データサーバ１６が分散値を保持している。
よって、分散値をｎ個のデータサーバ１６に保存させる必要はないので、メモリ容量を抑えることができ、上記(II)の課題を達成することができる。そして、上記鍵サーバ１４に保持された鍵データから得られた暗号値、データサーバ１６から得られた分散値、及び各サーバの識別情報の値から秘密情報を計算することができる。
この場合、分散値を保存するデータサーバ１６のうちいくつか（ｎ－ｋ個以下）が破損しても、上記のように鍵サーバ１４の鍵データを用いて、秘密情報及びｋ－１個の未知数を求めるための方程式を作成でき、この作成した方程式から秘密情報を計算（復元）することができる。よって、課題（I）を達成することができる。

また、秘密情報及びｋ－１個の未知数を求めるための合計ｋ個の方程式を作成できて初めて、秘密情報を計算（復元）することができるので、ｋ個未満のサーバから分散値が集まっても、秘密情報及びｋ－１個の未知数を求めることができず、秘密情報の部分的漏えいが生じず、上記課題（III）も達成することができる。

また、固有鍵Ｋ_ｊは鍵サーバ１４ _ｊだけが知るため、用いる暗号化手段が計算量的に安全であるとすると、秘密情報に対応する識別情報の暗号化結果も計算量的に安全であり、それがわからない限り秘密情報Ｓは復元できない。たとえあるユーザの１つの秘密情報Ｓ _１に関する平文の識別情報ｉｄ _１とその暗号値Ｅｉｄ（１,ｊ）がわかったとしても、他の秘密情報Ｓ _２またはＳ _３に関する平文の識別情報に対する暗号値Ｅｉｄ（２,ｊ）、Ｅｉｄ（３,ｊ）はわからない。よって、秘密情報Ｓ _２、Ｓ _３の復元はできない。以上より、本実施の形態は用いる暗号化手段が安全ならば安全である。

（第２の実施の形態）
次に、本発明の第２の実施の形態を説明する。
第２の実施の形態の構成は第１の実施の形態と同様であるのでその説明を省略する。
次に本実施の形態の作用を説明する。本実施の形態の作用は、第１の実施の形態の作用と同様の部分があるので、異なる部分のみを説明する。
ユーザが独立した複数のクラウドシステムを用い、クラウド側が自分に分散された分散情報にはアクセスできるが、ｋ個以上の分散情報に同時にアクセスできないとき、このシステムはクラウド側にもユーザの秘密情報が漏えいしないため、安全なシステムが構築できる。しかし一般に、ユーザは１つのクラウドベンダーと契約することが多い。その場合、上記の手順では、全クラウドを管理するクラウドベンダー（サーバ側）はｋ個の分散情報を容易に集めることが可能であるため、ユーザの秘密情報が復元できる危険性がある。第２の実施の形態は、以上の事実に鑑み、クラウドベンダー（サーバ側）で秘密情報を復元できないようにするため、次のようにしている。

第１の実施の形態では、図３の分散値の作成及び送信処理のステップ４４以降で、ユーザＩＤを全ての鍵サーバ１４へ送信し、鍵サーバ１４では、図５に示すように、各鍵サーバ１４が、暗号化処理を実行するようにしていた。しかし、本実施の形態では、ｋ－１個の鍵サーバ１４のうちの一部（Ｍ個）の鍵サーバ１４へユーザＩＤを送信して、当該一部（Ｍ個）の鍵サーバ１４で、上記暗号処理を実行し、情報提供端末１２において有する鍵Ｕ_ｒで、秘密情報の識別情報ｉｄ _ｉを暗号化するようにしている。鍵Ｕ _ｒは、添字ｒで区別される。ｒは、情報提供端末１２に保持された鍵を識別する変数であり、１～Ｒまでの整数を表す。Ｒは情報提供端末１２に保持された鍵の総数を表す。以下、第２の実施形態について詳述する。

すなわち、情報提供端末１２は、図１３に示すように、上記ステップ４２を実行した後、ステップ４４Ａで、ユーザＩＤを、ｋ－１個のうちの一部（Ｍ個）の鍵サーバ１４へ送信する。例えば、図１４に示すように、２個の鍵サーバ１４ _１、１４ _２の内の１つにユーザＩＤを送信する。ステップ４６Ａで、ユーザＩＤを送信した全ての鍵サーバ１４から暗号値ＥＩＤ_ｍを受信したか否かを判断する。Ｍ個の鍵サーバ１４は、添字ｍで区別される。ｍは、鍵サーバ１４を識別する変数であり、１～Ｍまでの整数を表す。
そして、暗号値ＥＩＤ _ｍを受信したと判断した場合（テーブル９４Ｎ（図１４参照）に暗号値ＥＩＤ _ｍを格納）には、ステップ４８Ａで、秘密情報Ｓを識別する変数ｉ、上記Ｍ個の鍵サーバ１４を識別する変数ｍ、情報提供端末１２に保持された鍵を識別する変数ｒを０に初期化し、ステップ５０Ａで、変数ｉを１インクリメントとし、ステップ５２Ａで、変数ｍを１インクリメントする。

情報提供端末１２は、ステップ５４Ａで、秘密情報Ｓ_ｉの識別情報ｉｄ _ｉを、変数ｍで識別される鍵サーバ１４ _ｍから受信した暗号値ＥＩＤ_ｍで暗号化して、暗号値Ｅｉｄ（ｉ，ｍ）を作成し、テーブル９４Ｎ（図１４参照）に格納し、ステップ５６で、変数ｍで識別される鍵サーバ１４ _ｍの識別情報Ｘ _ｍを読み出し、ステップ５８Ａで上記と同様にｋ－１個の未知数ａ _ｉ（１）～ａ _{ｉ（ｋ－１）}を求めるための方程式（図１５の式（３）参照）を作成する。なお、基本方程式（１）Ａ１の変数ｊは、変数ｍに読み替える。

情報提供端末１２は、ステップ６０Ａ１で、変数ｍがユーザＩＤを送信した鍵サーバ１４の総数Ｍに等しいか否かを判断し、変数ｍが総数Ｍに等しくない場合には、未だ上記方程式が作成されていない鍵サーバが存在するので、ステップ５２Ａに戻って、以上の処理（ステップ５２Ａ～６０Ａ１）を実行する。ステップ６０Ａ１で、ｍが総数Ｍに等しいと判断された場合には、情報提供端末１２は、ステップ６０Ａ２で、変数ｒを１インクリメントし、ステップ６０Ａ３で、変数ｒで識別される鍵Ｕ_ｒを読み出し、ステップ６０Ａ４で、秘密情報の識別情報ｉｄ _ｉを、読み出した鍵Ｕ_ｒで暗号化して、暗号値Ｅｉｄ（ｉ、ｒ）を作成して、テーブル９４Ｎ（図１４参照）に格納する。

情報提供端末１２は、ステップ６０Ａ５で、上記のように方程式（図１５の式（４）参照）を作成し（ステップ５８Ａ参照）する。なお、基本方程式（１）Ａ２の変数ｊは、変数ｒに読み替える。ステップ６０Ａ６で、変数ｒが情報提供端末１２が有する鍵の総数Ｒに等しいか否かを判断し、変数ｒが総数Ｒに等しくない場合には、未だ上記の方程式を作成されていない鍵があるので、ステップ６０Ａに戻って、以上の処理（ステップ６０Ａ２～ステップ６０Ａ６）を実行し、変数ｒが総数Ｒに等しい場合には、ステップ６２で、以上の処理（ステップ５２Ａ～６０Ａ６）によって作成された上記方程式から、秘密情報Ｓ_ｉについての未知数ａ _ｉ（１）～ａ _{ｉ（ｋ－１）}を算出する。

情報提供端末１２は、ステップ６４で、変数ｉが総数Ｉに等しいか否かを判断し、変数ｉが総数Ｉに等しくない場合には、ステップ５０Ａに戻って、以上の処理（５０Ａから６４）を実行し、ステップ６４で、変数ｉが総数Ｉに等しいと判断された場合には、図４のステップ６６に進む。本実施の形態でも、図４のステップ７６で分散値Ｗ（ｉ，ｄ）が計算され（図１５の式（９）～（１１）参照）、図１４に示すように、上記データサーバ１６ _１～１６ _３に分散値Ｗ（ｉ，ｄ）を送信することができる。なお、Ｓ_ｉ＝Ｓ_２、Ｓ_３についても同様に処理される。

なお、復元する際には、情報提供端末１２が保持する上記鍵Ｕ_ｒを復元端末１８においても保持し、上記鍵Ｕ_ｒを用いてＥｉｄ（ｉ，ｒ）を作成（ステップ６０Ａ２～６０Ａ６参照）すると共に、作成したＥｉｄ（ｉ，ｒ）と、鍵サーバ１４ _ｍから受信したＥｉｄ（ｉ，ｍ）と、データサーバ１６ _ｄから受信した分散値Ｗ（ｉ，ｄ）とから、秘密情報を復元する。

以上説明したように、情報提供端末１２が保持する鍵はユーザが決めることができる。これによって、ユーザの秘密情報はクラウド側に対しても秘匿できる。また、万が一システムがハッキングされて、鍵サーバ１４の固有鍵やデータサーバ１６の分散情報が漏えいしても、ユーザ端末である情報提供端末１２の鍵さえ安全であれば、ユーザの秘密情報は漏えいしない。

（第３の実施の形態）
次に、本発明の第３の実施の形態を説明する。
本実施の形態の構成は、第１及び第２の実施の形態と同様であるので、その説明を省略する。
本実施の形態の作用は、前述した第１の実施の形態の作用と同様の部分があるので、異なる部分のみを説明する。
前述した第１の実施の形態では、情報提供端末１２が、図３のステップ５４で、秘密情報の識別情報ｉｄ _ｉを暗号値ＥＩＤ_ｊで暗号化する処理を実行しているが、情報提供端末１２が分散する秘密情報が大量である場合、情報提供端末１２の処理能力が低ければ分散処理における暗号化処理（ステップ５４）の負荷が重い。そこで、本実施の形態では情報提供端末１２の負荷を軽減するため、鍵サーバ１４が暗号化処理を実行するようにしている。

すなわち、情報提供端末１２は、ステップ４２を実行した後、ステップ４４Ｂで、ユーザＩＤ及び秘密情報の識別情報ｉｄ _ｉを各鍵サーバ１４へ送信する（図１８参照）。これにより、鍵サーバ１４が実行する図１７に示す暗号化処理おけるステップ８４Ｂが肯定され、ステップ８６で、上記のように、鍵サーバの有する固有鍵Ｋ_ｊが読み出され、ステップ８８で、ユーザＩＤが固有鍵Ｋｊで暗号化され、暗号値ＥＩＤ_ｊが作成される。ステップ８９で、秘密情報の識別情報ｉｄ _ｉを暗号値ＥＩＤ_ｊで暗号化して、暗号値Ｅｉｄ（ｉ，ｊ）を作成し、ステップ９０Ｂで、暗号値Ｅｉｄ（ｉ，ｊ）を情報提供端末１２に送信する（図１８参照）。これにより、図１６におけるステップ４６Ｂが肯定され、ステップ４８以降が実行される。

これによって、鍵サーバ１４が全部の秘密情報Ｓの識別情報の暗号化処理も行うため、情報提供端末１２は秘密分散のみを行えばよく、暗号化処理を行わないため、情報提供端末１２の負荷が小さくなる。なお、第３の実施の形態では、第２の実施の形態も同様も適用できる。

（第４の実施の形態）
次に、本発明の第４の実施の形態を説明する。第４の実施の形態の構成は、第１の実施の形態の構成と同様であるのでその説明を省略する。次に、本実施の形態の作用を説明する。前述した第１から第３の実施の形態では、各ユーザ毎に秘密情報をデータサーバ１６に分散するようにしていたが、本実施の形態では、各秘密情報を、複数のユーザが属するグループ毎に分散及び秘密情報の更新をする点で相違する。第１の実施の形態では、ユーザＩＤは、ユーザ個々を識別するのに対し、本実施の形態では、ユーザＩＤは、複数のユーザが属するグループを識別する点で相違するが、ユーザＩＤに対応して、第１の実施の形態と同様に、データサーバ１６には、上記分散値が、ユーザＩＤ、秘密情報の識別情報に対応して記憶されている。

詳細には後述するが、秘密情報を更新した場合、更新前の古いデータを削除可能であるが、本実施の形態では、更新したものを古いデータとともに記憶している。
本実施の形態では、データサーバ１６に記憶された分散値から秘密情報を計算（復元）し、計算した秘密情報を更新し、更新した秘密情報に基づいて、分散値を再度算出して、データサーバに分散するようにしている。
すなわち、図１９には、情報提供端末１２が実行する復元更新処理ルーチンを示すフローチャートが示されている。情報提供端末１２は、図１９のステップ２０２で、ユーザＩＤ_ｕ及び秘密情報Ｓ（ｕ、ｉ、ｖ）の識別情報ｉｄ（ｕ、ｉ、ｖ）を、Ｌ個の鍵サーバ１４及びＭ個のデータサーバ１６に送信する（図２５参照）。添字ｕは、ユーザが属するグループを識別する変数である。
なお、上記のようにＬ＋Ｍ＝ｋである。本ステップ２０２が実行されると、鍵サーバ１４が実行する暗号化処理ルーチンを示すフローチャートの図２２のステップ２５２における、鍵サーバ１４は、ユーザＩＤ_ｕ及び秘密情報Ｓ（ｕ、ｉ、ｖ）の識別情報ｉｄ（ｕ、ｉ、ｖ）を受信したか否かの判断が肯定される。鍵サーバ１４は、続くステップ２５４で、鍵サーバの有する固有鍵Ｋ_ｊを読み出し、ステップ２５６で、ユーザＩＤ_ｕを固有鍵Ｋ_ｊで暗号化して、暗号値ＥＩＤ（ｕ、ｊ）を作成する。

鍵サーバ１４は、ステップ２５８で、暗号値ＥＩＤ（ｕ、ｊ）を用いて秘密情報Ｓ（ｕ、ｉ、ｖ）の識別情報ｉｄ（ｕ、ｉ、ｖ）を暗号化して暗号値Ｅｉｄ（ｕ、ｉ、ｊ、ｖ）を作成し、ステップ２６０で、暗号値Ｅｉｄ（ｕ、ｉ、ｊ、ｖ）を情報提供端末１２に送信する。

また、上記と同様に、図１９ステップ２０２が実行されると、データサーバ１６が実行する検索処理ルーチンを示すフローチャートの図２４のステップ２７２における、ユーザＩＤ_ｕ及び秘密情報Ｓ（ｕ、ｉ、ｖ）の識別情報ｉｄ（ｕ、ｉ、ｖ）を受信したか否かの判断が肯定される。ステップ２７２が肯定されると、データサーバ１６は、ステップ２７４で、ユーザＩＤ_ｕ及び識別情報ｉｄ（ｕ、ｉ、ｖ）から、分散値Ｗ（ｕ、ｉ、ｔ、ｖ）を検索し、ステップ２７６で、分散値Ｗ（ｕ、ｉ、ｄ、ｖ）を情報提供端末１２に送信する。

上記Ｌ個の鍵サーバ１４で図２２のステップ２６０が及び上記Ｍ個のデータサーバ１６で図２４のステップ２７６が実行されると、図１９のステップ２０４における、暗号値Ｅｉｄ（ｕ、ｉ、ｊ、ｖ）及び分散値Ｗ（ｕ、ｉ、ｊ、ｖ）を受信したか否かの判断が肯定される。

情報提供端末１２は、ステップ２０６で、暗号値Ｅｉｄ（ｕ、ｉ、ｊ、ｖ）と分散値Ｗ（ｕ、ｉ、ｄ、ｖ）から前述したように未知数ａ _{ｕｉ（１）} ～ａ _{ｕｉ（ｋ－１）}、及び秘密情報Ｓ（ｕ、ｉ、ｖ）を算出し、ステップ２１０で、ユーザの入力に従って、秘密情報Ｓ（ｕ、ｉ、ｖ）を更新する、秘密情報Ｓ（ｕ、ｉ、ｖ＋１）とする。すなわち、ｖは、バージョン情報の基準となる値である。秘密情報が更新されると１だけ増加してバージョン情報は（ｖ＋１）となる。

ステップ２１０が実行されると、情報提供端末１２は、図２０のステップ２１２で、ユーザＩＤ_ｕ、秘密情報Ｓ（ｕ、ｉ、ｖ＋１）の識別情報ｉｄ（ｕ、ｉ、ｖ＋１）、及びバージョン情報ｖ＋１を各鍵サーバへ送信する（図２６参照）。

ステップ２１２が実行されると、図２３におけるステップ２６２における、ユーザＩＤ_ｕ、秘密情報Ｓ（ｕ、ｉ、ｖ＋１）の識別情報ｉｄ（ｕ、ｉ、ｖ＋１）、及びバージョン情報ｖ＋１を受信したか否かの判断が肯定される。

鍵サーバ１４は、ステップ２６４で、鍵サーバ１４の有する固有鍵Ｋ_ｊを読み出し、ステップ２６６で、ユーザＩＤ_ｕを固有鍵Ｋ_ｊで暗号化して、暗号値ＥＩＤ（ｕ、ｊ）を作成し、ステップ２６８で、ｉｄ（ｕ、ｉ、ｖ＋１）を暗号値ＥＩＤ（ｕ、ｊ）で暗号化して、暗号値Ｅｉｄ（ｕ、ｉ、ｊ、ｖ＋１）を作成し、ステップ２７０で、暗号値Ｅｉｄ（ｕ、ｉ、ｊ、ｖ＋１）を送信する（図２６参照）。

ステップ２７０が実行されると、図２０のステップ２１４における全ての鍵サーバ１４から暗号値Ｅｉｄ（ｕ、ｉ、ｊ、ｖ＋１）を受信したか否かの判断が肯定される。

情報提供端末１２は、ステップ２１６で、鍵サーバ１４を識別する変数ｊを初期化し、ステップ２２０で、変数ｊを１インクリメントして、ステップ２２２で、鍵サーバ１４ _ｊの識別情報Ｘ _ｊを読み出し、ステップ２２４で、上記のように、未知数ａ _{ｕｉ（１）} ～ａ _{ｕｉ（ｋ－１）}を算出するための方程式を算出する。
情報提供端末１２は、ステップ２２６で、変数ｊが総数（ｋ－１）に等しいか否かを判断し、変数ｊが総数（ｋ－１）に等しくない場合には、上記方程式を作成していない鍵サーバ１４が存在するので、ステップ２２０に戻って、以上の処理（ステップ２２０～２２６）を実行する。一方、情報提供端末１２は、ステップ２２６で変数ｊが総数（ｋ－１）に等しいと判断された場合には、情報提供端末１２は、ステップ２２８で、上記のように、秘密情報Ｓ（ｕ、ｉ、ｖ＋１）について、未知数ａ _{ｕｉ（１）} ～ａ _{ｕｉ（ｋ－１）}を算出する。

情報提供端末１２は、図２１のステップ２３２で、データサーバ１６を識別する変数ｄを０に初期化し、ステップ２３４で、変数ｄを１インクリメントし、ステップ２３６で、変数ｄで識別されるデータサーバ１６ _ｄの識別情報Ｄ _ｄを読み出す。情報提供端末１２は、ステップ２４２で、上記のように、秘密情報Ｓ（ｕ、ｉ、ｖ＋１）のデータサーバ１６ _ｄへの分散値Ｗ（ｕ、ｉ、ｄ、ｖ＋１）を計算する。

情報提供端末１２は、ステップ２４６で、変数ｄにより識別されるデータサーバ１６ _ｄに各秘密情報の分散値Ｗ（ｕ、ｉ、ｊ、ｖ＋１）及びユーザＩＤ_ｕを送信し、ステップ２４８で、変数ｄが総数（ｎ-ｋ＋１）に等しいか否かを判断する。

ステップ２４８で変数ｄが総数（ｎ-ｋ＋１）に等しいと判断されなかった場合には、情報提供端末１２は、ステップ２３４に戻って、以上の処理（ステップ２３４～２４８）を実行する。

ステップ２４８で変数ｄが総数（ｎ-ｋ＋１）に等しいと判断された場合には、本処理を終了する。これにより、各データサーバ１６のテーブル３０２～３０６（図２６参照）に、バージョンｖ+１についての分散値が格納される。

（変形例）
次に、本発明の種々の変形例を説明する。
各実施の形態では、複数の未知数を求めるために多項式を用いているが、単項式の場合も同様に適用できる。なお、複数の未知数を単項式で求める例については、以下の発表論文に記載されている。
「永井良英, 高荒亮, 岩村惠市：”XORを用いた高速な秘密分散法のデータ容量削減に関する一手法 ”コンピュータセキュリティシンポジウム2012，1C2-3，Oct.2012.」

各実施の形態では、情報提供端末１２と復元端末１８は別々の装置としているが、これらは同一の装置としてもよい。

第１の実施の形態では、情報提供端末が分散値を具体的に計算しているが、本発明はこれに限定されるものではなく、鍵サーバが分散値を計算し、計算した分散値を情報提供端末に送信し、情報提供端末が受信した分散値を、データサーバに送信して保持させるようにしてもよい。

第１～第３の実施の形態では、全ての秘密情報を復元しているが、所望の秘密情報を選択的に復元するようにしてもよい。

各実施の形態では、情報を分散する情報提供端末は、まず各鍵サーバに自分のユーザＩＤを送り、各鍵サーバは自分が管理する鍵で暗号化したユーザＩＤの暗号値ＥＩＤをユーザに送り返す処理を行った。しかし、ユーザＩＤはユーザに固有であるので、ユーザが複数回に分けて秘密を分散する場合などは、ユーザが自分の暗号値ＥＩＤを保存しておけば、以降その処理を省略することができる。また、情報提供者に予め暗号値ＥＩＤを設定しておくとしてもよい。

例えば、以下のような応用が可能である。
次世代電力網と呼ばれるスマートグリッドでは、既存の電力網の監視制御や計測に情報通信技術(ＩＣＴ) を用いる。スマートグリッドにおいて企業や工場、家庭などの電力需要家の電力利用情報は、通信機能を有する電力計（スマートメータ）で計測される。スマートメータで計測された電力利用情報は、通信を用いて定期的にメータデータ管理システムＭＤＭＳ(Meter Data Management System) に伝達され蓄積される。蓄積された電力利用情報は、電力系統制御や課金のために利用されるが、一方で定期的に計測された電力利用情報には、需要家のプライバシ情報も含まれている。例えば、家庭内でいつどのような行動がなされたか、あるいはどのような電化製品を保有しているか、さらには生活パタンまでも類推できる可能性も排除できない。そのため秘密分散法を用いることで、電力利用情報に含まれるプライバシ情報を保護しつつ、電力系統制御や課金に関する利用の利便性を損なわない方式が実現できる。

まず、上記を従来の秘密分散によって実現することを考える。この場合、スマートメータがディーラとなり、電力利用情報を秘密分散して複数のデータサーバに当たるＭＤＭＳに分散させる。この場合、ＭＤＭＳは複数台必要であるため、ｎ＝ｋとしても攻撃耐性を示すｋを大きくすればするだけコストがかかり、かつ、各スマートメータは少なくともｋ個のＭＤＭＳと回線を結ぶ必要があるため、大きくそのシステム仕様を変更する必要がある。

それに対して、本発明を以下のように用いることを考える。まず、各スマートメータは自分のＩＤを持ち、鍵サーバの鍵でそれを暗号化した暗号値ＥＩＤ_ｊを保存しているとする。各スマートメータは発生した電力利用情報の識別情報ｉｄ_ｉ（電力利用情報発生の日付など）を暗号値ＥＩＤ_ｊで暗号化して、その値を基に多項式の係数を定め、ＭＤＭＳ（データサーバ）に保存する分散値を生成し、ＭＤＭＳに送信する。ｎ＝ｋとすれば、ＭＤＭＳは１台でよく、かつ各スマートメータはそのＭＤＭＳとの回線を持てばよいので、システム変更はほとんど必要ない。また、暗号値ＥＩＤ_ｊは予めスマートメータに保存されているため、事前の通信を必要とせず、その通信手順などもほとんど変更する必要がない。さらに、ｋは任意に大きくできるので、必要な攻撃耐性を簡単に実現できる。データ復元時に需要家は、ＭＤＭＳと鍵サーバから必要な分散値を受信して必要な情報を得る。

また、各実施の形態では、鍵サーバは独立に設定したが、１つの鍵サーバが複数の鍵を管理するようにしてもよい。

また、スマートメータを設置されたユーザが自分で鍵をスマートメータに設定できる場合、ユーザの同意なく復元できないシステムとすることもできる。

このような形態は、前記スマートグリッドをはじめとして、次世代のインフラと呼ばれるセンサネットワーク等種々の応用が可能である。

本明細書に記載された全ての文献、特許出願及び技術規格は、個々の文献、特許出願及び技術規格が参照により取り込まれることが具体的かつ個々に記された場合と同程度に、本明細書中に参照により取り込まれる。

各実施の形態ではｋ－１個の鍵サーバを有するとしたが、ｂ－１個（ｂ≦ｋ）でも可能である。この場合、情報提供端末（ディーラ）が基礎方程式中ｋ－ｂ個の係数に情報提供端末（ディーラ）が定めた値を設定することにより、未知数の数（未定の係数の数）をｂ－１個とすることができる。よって、ｂ－１個の方程式で解くことができる。

以上の実施の形態において、以下の発明も提案できる。

（態様１）
秘密情報を含む項、及び定数と変数とを含む項を有しかつこれらの項に基づいて計算目標値を求める、多項式で構成される基礎方程式が予め定められ、
ｎを２以上の整数、ｋを２以上かつｎを超えない整数、ｂをｋ以下の整数とし、
ｎ個のサーバの内のｂ－１個の第１のサーバ（鍵サーバ）に保持されたデータに基づいて得られた値（Ｅｉｄ（ｉ，ｊ））を前記計算目標値、ｋ－１個の未知数を前記定数、及び前記第１のサーバに対応して定められた値を前記変数として、前記基礎方程式に基づいて、前記ｋ－１個の未知数中未定のｂ－１個の未知数を求めるためのｂ－１個の方程式を作成し、作成された当該方程式から前記ｂ－１個の未知数を求め、当該求めた前記ｂ－１個の未知数を前記定数とし、ｎ個のサーバの内の残りのｎ－（ｂ－１）個の第２のサーバ（データサーバ）に対応して定められた値を前記変数として、前記基礎方程式に基づいて、前記計算目標値を、前記ｎ－（ｂ－１）個の第２のサーバ各々に分散する分散値(Ｗ（ｉ，ｊ）)として計算する計算手段と、
前記計算手段により計算された前記ｎ－（ｂ－１）個の分散値各々を、当該分散値に対応する第２のサーバに送信する送信手段と、
を備えた秘密情報分散装置（ディーラ）。

（態様２）
Ｌ、Ｍを１以上でｎより小さい整数、Ｌ＋Ｍがｋとし、
請求項１の前記ｂ－１個の第１のサーバ（鍵サーバ）の内のＬ個の第１のサーバ各々に前記保持されたデータから得られた値を前記計算目標値、（前記第１のサーバに対応して定められた値を前記変数、前記秘密情報を示す値及びｂ－１個の前記定数を未知数として、前記基礎方程式に基づいて、前記未知数を求めるためのＬ個の方程式を作成すると共に、）前記ｎ－（ｂ－１）個の第２のサーバ（データサーバ）の内のＭ個の第２のサーバ各々に前記保持されたデータから得られた値を前記計算目標値、前記第１、第２のサーバに対応して定められた値を前記変数、前記秘密情報を示す値及びｋ－１個の前記定数を未知数として、前記基礎方程式に基づいて、前記未知数を求めるためのｋ個の方程式を作成し、作成されたｋ個の方程式から前記未知数であるｋ－１個の前記定数及び前記秘密情報を示す値を計算する計算手段を備えた秘密情報計算装置（復元端末）。即ち、復元はＬ＋Ｍ＝ｋ個の計算目標値から、ｋ個の未知数を解く。

（態様３）
秘密情報を含む項、及び定数と変数とを含む項を有しかつこれらの項に基づいて計算目標値を求める、多項式で構成される基礎方程式が予め定められ、
ｎを２以上の整数、ｋを２以上かつｎを超えない整数、ｂをｋ以下の整数、ｍを１以上かつｂ－１より小さい整数、ｒをｋ－１－ｍでありかつ１以上の整数とし、
ｎ個のサーバの内のｂ－１個の第１のサーバ（鍵サーバ）の内のｍ個の第１のサーバに保持されたデータに基づいて得られた値を前記計算目標値、ｒ個のデータに基づいて得られた値（ディーラが有する鍵を用いる場合）を前記計算目標値（ただし、ｍ＋ｒ＝ｂ－１）、ｂ－１個の未知数を前記定数、及び前記第１のサーバ及びディーラに対応して定められた値を前記変数として、前記基礎方程式に基づいて、前記ｂ－１個の未知数を求めるためのｂ－１個の方程式を作成すると共に、ｂ－１個の未知数を前記定数、及び前記第１のサーバに対応して定められた値を前記変数として、前記基礎方程式に基づいて、前記ｂ－１個の未知数を求めるためのｂ－１個の方程式を作成し、作成されたｂ－１個の方程式前記ｂ－１個の未知数を求め、当該求めた前記ｂ－１個の未知数を前記定数とし、ｎ個のサーバの内の残りのｎ－（ｂ－１）個の第２のサーバに対応して定められた値を前記変数として、前記方程式に基づいて、前記計算目標値を、前記ｎ－（ｂ－１）個の第２のサーバ各々に分散する分散値として計算する計算手段と、
前記計算手段により計算された前記ｎ－（ｂ－１）個の分散値各々を、当該分散値に対応する第２のサーバに送信する送信手段と、
を備えた秘密情報分散装置。

（態様４）
ｆ、ｇ、及びｈを１以上でｎより小さい整数、ｆはｍ以下、ｇはｒ以下、ｈはｂ＝ｆ＋ｇ＋ｈとなる数とし、
請求項３の前記ｍの第１のサーバの内のｆ個の第１のサーバ各々に前記保持されたデータから得られた値、及びディーラが持つｒ個のデータの内のｇ個のデータに基づいて得られた値、前記計算目標値、前記第１のサーバ及びディーラが持つ各値に対応して定められた値を前記変数、（前記秘密情報を示す値及びｋ－１個の前記定数を未知数として、前記基礎方程式に基づいて、第１の方程式を作成すると共に、）前記ｎ－（ｂ－１）個の第２のサーバの内のｈ個の第２のサーバ各々に前記保持されたデータから得られた値を前記計算目標値、前記第２のサーバに対応して定められた値を前記変数、前記秘密情報を示す値及びｂ－１個の前記定数を未知数として、前記基礎方程式に基づいて、前記未知数を求めるために合計ｂ個の方程式を作成し、前記未知数であるｂ個の前記定数を計算し、ｂ－１個の前記定数と前記秘密情報を示す値を計算する計算手段を備えた秘密情報計算装置。

Claims

少なくとも１つの秘密情報Ｓ_ｉ（ｉは１以上の整数）の各々をｎ個に分散し、前記ｎ個のうちのｋ個（ｋはｎ以下の整数）の分散値から前記秘密情報Ｓ_ｉを復元でき、ｋ－１個以下の分散値からは前記秘密情報Ｓ_ｉを復元できない秘密分散システムであって、
第１の鍵を保持する鍵サーバと、
前記第１の鍵とは異なる第２の鍵を保持し、前記分散値を生成するディーラと、
前記ディーラにより生成された分散値を保存するデータサーバと、を備え、
前記ディーラは、
前記第１の鍵を用いて前記鍵サーバが生成した暗号値Ｅｉｄ（ｉ，ｊ）及び前記第２の鍵を用いて前記ディーラ自身が生成した暗号値Ｅｉｄ（ｉ，ｊ）の少なくとも一方を含む（ｋ－１）個の暗号値Ｅｉｄ（ｉ，ｊ）を取得し、下記の基本方程式（１）に基づいて、前記（ｋ－１）個の暗号値Ｅｉｄ（ｉ，ｊ）に応じた（ｋ－１）個の方程式を作成し、前記鍵サーバ又は前記ディーラの識別情報Ｘ_ｊの値及び暗号値Ｅｉｄ（ｉ，ｊ）の値から（ｋ－１）個の方程式を解いて未知定数ａ_ｉ（１）～ａ_{ｉ（ｋ－１）}を算出し、

下記の基本方程式（２）に基づいて、データサーバ毎に、算出した前記未知定数ａ_ｉ（１）～ａ_{ｉ（ｋ－１）}の値、前記秘密情報Ｓ_ｉの値、及び前記データサーバの識別情報Ｄ_ｄの値から各データサーバに保存する分散値Ｗ（ｉ，ｄ）を算出し、算出した前記分散値Ｗ（ｉ，ｄ）を前記データサーバに送信する、

秘密分散システム。
前記秘密情報を復元する復元端末をさらに備え、
前記復元端末は、
前記暗号値Ｅｉｄ（ｉ，ｊ）及び前記分散値Ｗ（ｉ，ｄ）の合計値がｋ個になるように、前記鍵サーバ又は前記ディーラから前記暗号値Ｅｉｄ（ｉ，ｊ）を取得すると共に、前記データサーバから前記分散値Ｗ（ｉ，ｄ）を取得し、
取得したｋ個の前記暗号値Ｅｉｄ（ｉ，ｊ）及び前記分散値Ｗ（ｉ，ｄ）から前記基本方程式（１）及び前記基本方程式（２）を用いてｋ個の方程式を作成し、前記ｋ個の方程式を解いて前記秘密情報Ｓ_ｉを復元する、
請求項１に記載の秘密分散システム。