JP7428335B1 - 秘密分散方法、秘密分散システム、秘密分散プログラム - Google Patents

Abstract

【課題】秘密分散方法の秘匿性と可用性との両立を図る方法を提供する。【解決手段】秘密情報システム１において、保管サーバ装置２は、分散データ生成部１４が分散対象データから分散片データを生成する分散ステップと、データ復元部１５が分散片データを用いて分散対象データを再構築する再構成ステップと、を有する。分散ステップは、分散対象データからｋ個の分散片と予備の分散片（１個または２個）とを生成し、複数の保存部２２にそれぞれ保存する。再構成ステップは、各保存部２２から収集した分散片群が再構成分散数を満たせば、収集された分散片群を用いて分散対象データを再構成する。一方、再構成分散数を満たさなければ、分散対象データの再構成時に予備の分散片を用いる。【選択図】図５

Description

本発明は、分散対象データの秘密情報を複数の分散片データに秘密分散化し、分散片データが揃うことで分散対象データを再構成して復元する秘密分散方法（以下、秘密分散法と呼ぶ。）、秘密分散システムおよび秘密分散プログラムに関する。

秘密分散法（ｓｅｃｒｅｔ ｓｈａｒｉｎｇ ｓｃｈｅｍｅ，ＳＳＳ）は、重要な情報（秘密情報）を破壊や漏洩などの脅威から守るための符号化として広く使用されている。

もっとも、非特許文献１によると秘密分散法により分散処理した場合、程度の差はあるが分散片データの合計データ量が増加することが記載されている。これにより大きなデータを扱う場合に分散保管のメモリ使用効率が低下するおそれがある。

そこで、非特許文献１２の「ｎ多重（ｎ，ｎ）しきい値法の秘密分散法」（マルチプレックスシークレットシェアリング：以下、「ＭＳＳＳ」と呼ぶ。）が提案され、非特許文献１３にて実用的実装が可能であることが示されている。

Shamir, Adi,"How to Share a Secret,"Commun. ACM,vol.22. no.11, pp.612-613, Nov. 1979インターネットURL＜http://doi.acm.org/10.1145/359168.359176＞ ISO/IEC, "Information technology ― Security techniques― Secret sharing ―Part 2: Fundamental mechanisms,"ISO/IEC 19592-2, Oct. 2017 山澤昌夫，角田篤泰，近藤健，才所敏明，五太子政史，佐藤直，辻井重男，野田啓一，"暗号通貨（ビットコイン）・ブロックチェーンの高信頼化へ向けてのMELT-UP 活動- 秘密鍵管理を中心に-," Proc. SCIS2018, 4F2-2.Jan. 2018. 山澤昌夫，五太子政史，山本博資，辻井重男，南重信，吉光久仁彦，野田啓一，"セキュア分散PDS システムの秘密鍵保護について," Proc. SCIS2020, 2C2-2. Jan. 2020. 山澤昌夫，五太子政史，山本博資，松本義和，白水公康，豊島大朗，瀬瀬考平，近藤健，辻井重男，"分散個体群を認証するための秘密分散法要件の一検討，" Proc. SCIS2020,4G-1，pp.688-692，June 2020. 五太子政史, 山澤昌夫, 山本博資, 藤田亮, 松本義和, 白水公康, 豊島大朗, 瀬瀬考平, 近藤健, 辻井重男，"分散個体群認証のための秘密分散法について," Proc. SCIS2020,4G-2. pp.693-697，June 2020. 山澤昌夫, 米津武至, 五太子政史, 山本博資, 辻井重男, "秘密分散ライブラリ応用と実装要件について", "マルチメディア, 分散協調とモバイルシンポジウム2021 論文集",Proc.DICOMO2021,1G-3,pp.163-164, Jun 2021. 山澤昌夫，米津武至，五太子政史，山本博資，藤田亮，辻井重男，"秘密分散ライブラリの実装における要件の検討", "マルチメディア, 分散協調とモバイル(DICOMO2022) シンポジウム論文集"Proc.DICOMO2022,1D-1,pp.51-54,Jul. 2022. 岡本龍明，山本博資"現代暗号"，産業図書株式会社，1997年6 月30 日( 初版)，2000 年6 月30 日( 第1 刷)． 山本博資, "(k, L, n) しきい値秘密分散システム", 電子通信学会論文誌, vol.J68-A, no.9, pp.945-952, Sep. 1985,[英訳: Electronics and Communications in Japan, PartI, vol.69, no.9, pp.46-54, (Scripta Technica, Inc.), Sep.1986] 西新幹彦, 滝澤克則, "多項式補間法による強いランプ型しきい値秘密分散法", 電子通信学会論文誌, vol.J92-A,no.12, pp.1009-1013, Dec. 2009. 山本博資，"多重秘密分散法，" Proc. The 44th Symposiumon Information Theory and its Applications(SITA2021)，Nishinomiya, Hyogo, Japan, Dec. 8-10,2021． 山澤昌夫，米津武至，五太子政史，山本博資，藤田亮，辻井重男，"秘密分散ライブラリの実装における要件の実証検討"，Proc. SCIS2023, 2B2-4, Jan. 24～27, 2023 五十嵐大，露崎浩太，川原祐斗 "ＳＨＨ：オブジェクトストレージ向けの超高速秘密分散ライブラリ"情報処理学会研究報告 Vol.2015-CSEC-70 No.26,Vol.2015-SPT-14 No.26,2015/7/3 "［Windows 11］MD/SHA-1/SHA-256ハッシュ値を計算してファイルの同一性を確認する"，［online］，［令和５年１１月２日検索］，インターネット<URL：1700454096755_0.html>

秘密分散法は、重要な情報をリスクから守る安全性とシステムが継続して可動できる可用性（Ａｖａｉｌａｂｉｌｉｔｙ）の相反する要求を両立させていることを特徴としている。ところが、非特許文献１２の「ＭＳＳＳ」では可用性の対応が損なわれるおそれがある。

本発明は、このような従来の問題を解決するためになされ、非特許文献１２の「ＭＳＳＳ」における高速演算性を保ちつつ可用性を向上させ、秘密分散法の秘匿性と可用性との両立を図ることを解決課題としている。

本発明の一態様は、分散対象データを符号分散化した分散片群を生成する分散データ生成部と、
前記各分散片をそれぞれ保管する複数の保存部と、
前記各保存部に保管された分散片を収集し、事前に定められた再構成分散数に基づき前記分散対象データを復号して再構成するデータ復元部と、
を備えた秘密分散システムの実行する方法であって、
前記分散データ生成部が、前記分散対象データから前記再構成分散数に応じた複数の分散片群と該分散片群を冗長化した予備の分散片とを生成し、生成された前記分散片および前記予備の分散片をそれぞれ前記保存部に分散して保管する分散データ生成ステップと、
前記データ復元部が、前記保存部から前記分散片および前記予備の分散片を収集し、前記収集された前記分散片群が前記再構成分散数を満たせば前記分散片群を用いて前記分散対象データを再構成する一方、前記収集された前記分散片が前記再構成分散数を満たさなければ存在している分散片と前記予備の分散片とを用いて存在しない前記分散片を求めて前記分散対象データを再構成する再構成ステップと、を有することを特徴としている。
また、他の態様は、分散対象データを符号分散化した分散片群を生成する分散データ生成部と、
前記各分散片をそれぞれ保管する複数の保存部と、
前記各保存部に保管された分散片を収集し、事前に定められた再構成分散数に基づき前記分散対象データを復号して再構成するデータ復元部と、
を備えた秘密分散システムの実行する方法であって、
前記分散データ生成部が、前記分散対象データから前記再構成分散数に応じた複数の分散片群と該分散片群を冗長化した予備の分散片（１個または２個）とを生成し、生成された前記分散片および前記予備の分散片をそれぞれ前記保存部に分散して保管する分散データ生成ステップと、
前記データ復元部が、前記保存部から前記分散片および前記予備の分散片を収集し、前記収集された前記分散片群が前記再構成分散数を満たせば前記分散片群を用いて前記分散対象データを再構成する一方、前記収集された前記分散片が前記再構成分散数を満たさなければ前記予備の分散片を用いて前記分散対象データを再構成する再構成ステップと、
を有し、
前記分散データ生成ステップは、前記再構成分散数（ｋ）と前記予備の分散片数（ｒ）と前記分散対象データのデータ長（Ｌ）と前記分散対象データとの情報を格納する分散データ機能から前記各情報を読み込む第１ステップと、
乱数を生成し、生成した前記乱数と前記データ長（Ｌ）と前記分散対象データとのデータ列Ｓ（バイト数＝「ｋ×８」の倍数）を作成する第２ステップと、
前記データ列Ｓを「ｋ×８」のブロックに分割し、分割された各ブロックに対して演算を実行し、分散片「Ｗ」を求める第３ステップと、
を有し、
前記第３ステップは、「前記予備の分散片数（ｒ）＝１」の場合には式（２８）（２９）を用いる一方、

Ｓ_ｘｙ：ブロック番号ｙのx（ｘ＝１．２．３．．．ｋ）番目の値（８バイト）
Ｗ_ｚｙ：ブロック番号ｙ、分散番号ｚ（ｚ＝１．２．３．．．ｋ）の前記分散片の値（８バイト）
Ｗ_{（ｋ＋１）ｙ}：前記予備の分散片

「前記予備の分散片数（ｒ）＝２」の場合には式（３０）（３１）を用いることを特徴とｓている。

Ｓ_ｘｙ：ブロック番号ｙのx（ｘ＝１．２．３．．．ｋ）番目の値（８バイト）
Ｗ_ｚｙ：ブロック番号ｙ、分散番号ｚ（ｚ＝１．２．３．．．ｋ）の前記分散片の値（８バイト）
Ｗ_{（ｋ＋１）ｙ}，Ｗ_{（ｋ＋２）ｙ}：前記予備の分散片

本発明のさらに他の態様は、分散対象データを符号分散化した分散片群を生成する分散データ生成部と、
前記各分散片をそれぞれ保管する複数の保存部と、
前記各保存部に保管された分散片を収集し、事前に定められた再構成分散数に基づき前記分散対象データを復号して再構成するデータ復元部と、
を備えた秘密分散システムであって、
前記分散データ生成部は、前記分散対象データから前記再構成分散数に応じた複数の分散片群と該分散片群を冗長化した予備の分散片とを生成し、生成された前記分散片および前記予備の分散片をそれぞれ前記保存部に分散して保管し、
前記データ復元部は、前記保存部から前記分散片および前記予備の分散片を収集し、
収集された前記分散片群が前記再構成分散数を満たせば、前記分散片群を用いて前記分散対象データを再構成する一方、
前記収集された前記分散片が前記再構成分散数を満たさなければ、存在している分散片と前記予備の分散片とを用いて、存在しない前記分散片を求めて前記分散対象データを再構成することを特徴としている。

なお、本発明は、前記秘密分散方法をコンピュータに実行させる秘密分散プログラムの態様に構成してもよいものとする。

本発明によれば、秘密分散法の秘匿性と可用性との両立を図ることができる。

秘密分散法の概念図。 「（ｋ，ｎ）しきい値法」の説明図。 秘密鍵情報Ｓの復元原理を示すグラフ。 復元できない場合のグラフ。 本発明の実施形態に係る秘密分散法を実現するシステム構成図。 同 コンピュータ構成図。 同 システム処理の概念図。 同 分散ステップの処理図。 同 独立一様分布化の処理図。 同 復元ステップの処理図。

以下、本発明の実施形態に係る秘密分散法を説明する。この秘密分散法は、非特許文献１２の「ＭＳＳＳ」を応用した「ｋ多重（ｋ，ｋ＋１）および（ｋ，ｋ＋２）しきい値法」に関する。ここでは「拡張マルチプレックスシークレットシェアリングスキーム」、即ち「ＡＭＳＳＳ」と省略して呼ぶ。

≪ＡＭＳＳＳの説明≫
まず、秘密分散法の基本的な考え方を説明する。秘密分散法のライブラリ実装にあたっては、以下の観点が要考慮事項としてあげられている。
Ａ：分散されるデータ（分散対象データ）の規模
Ｂ：分散数（分散片数）
Ｃ：データ再構成で使われる分散片の運用形態
Ｄ：秘密分散及び再構成に要求される処理時間(速度)
Ｅ：乱数性などに要求されるセキュリティ強度
Ｆ：運用時に想定されるエラーの内容
Ｇ：ライブラリ機能及びそれを使うアプリケーションに対して想定される攻撃
Ｈ：商品としてユーザーに提供する場合に保証すべき安全性や機能，サポートすべき機能，及びユーザーの混乱やレスポンスの低下を防ぐためあえて限定，または削除すべき機能
特に要考慮事項Ｈについては、可用性要求への考察しなければならない。すなわち、秘密分散法の実装にあたっては、前述した安全性と可用性の相反する要求を両立させる必要がある。

図１に基づき「大事な情報」に対するリスクを考えると、「故障，破壊」により情報が失われる方向のリスクと、「漏洩」によって望まぬ相手に奪取される方向のリスクとが普通に予想される。

「故障，破壊」に備えるには冗長性を持たせることが有効である。すなわち、複製を作ってリスク分散を図るのである。一方、「漏洩」リスクに対しては、複製を作るとリスクが益すので複製することは避けたい。あるいは部分的に奪取されても情報は漏れないようにしたい。

前者は可用性を増す方向の施策である一方、後者は秘匿性を増す方向の施策であり、両者は相反する要求である。このジレンマは、非特許文献１，２に示すように、秘密分散法を用いると緩和される。

１．秘密分散法の概要
非特許文献９に示すように、情報セキュリティ施策には「秘密性、可用性、完全性」の実現がもとめられる。図１中の「漏洩」への対策が秘密性の実現に相当し、「故障，破壊」への対策が可用性の実現に相当する。

秘密性と可用性とは相反する要求であり、実装には相応に技術が必要となるものの、通常は秘密性を重視し暗号が用いられている。しかしながら、暗号における危殆化・可用性への対応を考慮すると秘密分散法が優位といえる。

（１）Shamirの秘密分散法
秘密分散法の一つとして、非特許文献１の「（ｋ，ｎ）しきい値法，ｎ＞ｋ≧２」が存在する。この方法は、直感的には「ｘ，ｙ」平面上で（ｋ＋１）個の異なる点を通る「ｋ次以下の関数」が、ただ１つ存在する。」という定理を利用している。

例えば、図３に示すように、「ｋ＝１」のときにｙ軸上に秘密情報（分散態様データ）Ｓを置き、点（０，Ｓ）を通って傾き「ａ」の直線を引いてｘ軸上の異なる点「ｘ_ｉ，（ｉ＝１，ｎ）」を与えると対応するｙ座標の値「ｙ_ｉ，（ｉ＝１，ｎ）が、式（１）で計算することができる。

ただし、「ｉ＝１，ｎ（ｎ≡「分散片番号」），「ａ」は任意の数である。なお、数（２）に示すように、各「ｘ_ｉ」に対応した「ｙ_ｉ」の組み合わせを分散片として用いる。

復元するときは、式（３－１）（３－２）に示すように、分散番号の異なる二つの分散片「Ｗ_ｐ」，「Ｗ_ｒ」を任意に選択し、連立させて「ａ」を消去する。これにより式（４）に示すように秘密情報Ｓが求められる。

一方、図４のように分散片１つだけでは直線が固定されず、秘密情報Ｓを復元することができない。しきい値「ｋ」が「３以上」のときは使用する関数を（ｋ-１）次関数、即ち「ｆ（ｔ）：ｔの（ｋ-１）次関数」とする。

また、上記では直感的な理解のために実数平面で説明したが、プログラム上の実装では有限体、即ち「ガロア体：ＧＦ（ｑ）」で計算を進める。まず、以下に示すように、分散すべき秘密情報をＳとし、秘密分散符号化に用いる乱数群をＵとする。

・秘密情報：Ｓ∈ＧＦ（ｑ）
・乱数：Ｕ＝（Ｕ_１，Ｕ_２，Ｕ_３，・・・，Ｕ_k-1∈ＧＦ（ｑ）
これらを用いてｆ（ｔ）を、式（５）のように定義する。

「α_ｉ∈ＧＦ（ｑ），ｉ＝１，２，・・・，ｎ（ただし，ｉ≠ｊに対して，α_ｉ≠α_ｊ）」を用いて，分散片｛Ｗ_１，Ｗ_２，Ｗ_３，・・・，Ｗ_ｎ｝への符号化および復号は下記のように行われる。
符号化：Ｗ_ｉ＝ｆ（α_ｉ）∈ＧＦ（ｑ）
復号：ラグランジェ補間による。Ｉｋ＝｛ｉ_１，ｉ_２，ｉ_３，・・・，ｉ_ｋ｝

式（５）から「Ｓ＝ｆ（０）」である。よって、式（６－２）により式（７）で復号することができる。

（２）前記しきい値法の特徴
このような「（ｋ，ｎ）しきい値法」によれば、任意の「ｋ」個の分散片でｆ（ｔ）が定まり、Ｓが復元できる。一方、任意の（ｋ-１）個の分散片ではＳが全くわからない。

また、「ｎ-ｋ」個を消失してもＳを復元でき、「ｋ-１」個を盗まれてもＳの情報が全く漏洩しない。すなわち、Ｓの保全について可用性を担保しながら、秘匿性を担保している。この特徴を用いてＰＫＩの重要情報を分散し、アクセス権の制御を行うことや（非特許文献４～６）、暗号通貨の保護を行う（非特許文献３）などの応用が試みられている。

２．秘密分散法と合計データ量
「（ｋ，ｎ）しきい値秘密分散法」では、秘密情報Ｓがｎ個の分散片「Ｗ_ｊ，_ｊ＝１，２，・・・，ｎ」に分散符号化される。一方、各Ｗ_ｊのビット長（データ量）は，少なくともＳと同じビット長を必要とする。

そのため、全分散片の総データ量は、Ｓのデータ量のｎ倍である。この特性は、分散対象のデータサイズが小さければ、分散片を保存するコストが相対的に小さく済むため、問題にならない。

その一方で、大きなデータを分散保管したいときは、問題が生じる。すなわち、もともと大きいデータの分散数倍を保存するコストは非常に大きくなる。そのため、総データ量を減らす方式が実用化では重要となる．

（１）分散法とデータ量
秘密分散法として非特許文献２には、データ量を減らす方式と計算を簡単化する方式とが提案されている。

前者は、「Ｓｈａｍｉｒ型」の構成による「（ｋ，Ｌ，ｎ）ランプしきい値秘密分散法」（表１の方式３）として提案されている。一方、後者は、「（ｎ，ｎ）しきい値秘密分散法」（表１の方式２）として提案されている。

前者によれば分散結果の総データ量は、秘密情報Ｓのデータ量の「ｎ／Ｌ」倍になり、「Ｓｈａｍｉｒ型」の「（ｋ，ｎ）しきい値秘密分散法」の「１／Ｌ」に削減することができる。

しかしながら、「Ｓｈａｍｉｒ型」では「Ｌ＝ｎ」にすると漏洩に対する安全性を担保できないおそれがある。したがって、分散片の合計は常にＳのデータ量を上回ることとなる。その一方で、非特許文献１０，１１の方式（表１の方式５）を用いると「ｋ＝Ｌ＝ｎ」にでき，分散片の総データ量がＳのデータ量と同じとなるように符号化することができる。
もっとも、この方式は計算量が多い欠点がある。また、「（ｎ，ｎ）しきい値秘密分散法」を用いると計算量が非常に少なくて済むが、「Ｓｈａｍｉｒ型」の方式と同様に総データ量がＳのデータ量のｎ倍に増え、ランプ型のようにデータ量を削減できない欠点がある。

よって、表１の方式１～５では、データ量削減と計算量削減を両立することが難しい。これに対して非特許文献１２の「ＭＳＳＳ」（表１の方式６）は、非特許文献１３において実装結果を報告したように，計算量とデータ削減性能の両方に優れた利点を持っている。

（２）予備の分散片を作る方式の考察
表１の方式６では、すべての分散片が集まらないと（１つでも欠けると）元の秘密情報Ｓを復元することができない。これは分散片の総データ量がＳのデータ量と同じなので、情報理論的にも当然の性質といえる。

しかし、大きなデータのバックアップシステムのような応用を考えると、故障や破壊に対するリスクに対応できないため、システム設計上の欠点となる問題があり、予備の分散片が作れる方式が望まれる。

確かに一般の強安全な「（ｋ，Ｌ，ｎ）しきい値法」や、「ｋ多重（ｋ，ｎ）しきい値法」を用いれば前記問題を解決できるものの、符号化・復号の計算量が増加するおそれがある。

その一方で実用的には、予備の分散片数（ｎ-ｋ）が「１または２」程度で十分な場合が多い。そこで、以下では（ｎ-ｋ＝１，２）の場合に対する「ｋ多重（ｋ，ｎ）しきい値」、即ち「ＡＭＳＳＳ」による予備の分散片の導出が好ましい。

３．ＡＭＳＳＳによる符号化・復号
「ＡＭＳＳＳ」による符号化・復号の計算には、数体として「ｑ＝２^ｍ」を使用する。ただし、「ｍ＞３ｋ」とし、「α」を「ＧＦ（ｑ）」の原始元とする。「ｋ×（ｋ＋２）」行列Ｇを式（８）で定義する。

なお、「ＧＦ（２^ｍ）」の演算では、「-１＝１」であるため、式の減法の「－」記号は全て「＋」記号に置き換えることができる。

（１）符号化計算（予備２の符号化計算）
まず、秘密情報を「（Ｓ_１，Ｓ_２，・・・，Ｓ_ｋ），Ｓ_ｉ∈ＧＦ（ｑ）」，
分散片（シェア）を「（Ｗ_１，Ｗ_２，・・・，Ｗ_ｋ＋１，Ｗ_ｋ＋２），Ｗ_ｊ∈ＧＦ（ｑ）」とし、
Ｇを「ＧＦ（ｑ）」上の値を要素として持つ「ｋ×（ｋ＋２）」行列とする。このとき符号化を式（９）で行う。

このとき「Ｗ_ｊ，ｊ＝１，２，・・・，ｋ」に関しては、式（１１）（１２）で求めることができる。

また、Ｗ_ｋ＋１，Ｗ_ｋ＋２は式（９）（１０）より、式（１３）（１４）で求められる。

（２）復号計算（予備２の複号計算）
次に復号を考える。「Ｗ_１，Ｗ_２，・・・，Ｗ_ｋ」が与えられているときは、式（１５）（１６）のように「Ｓ_１，Ｓ_２，・・・Ｓ_ｋ」を求めることができる。

式（１６）の関係は，式（１１）（１２）（１５） より、式（１７）の関係が成り立つことから得られる。

また、「Ｗ_ｋ＋１」を用いて復号する場合を考える。「Ｗ_ｋ＋１」は、式（９）～（１６）より式（１８）で求められる（ここでは「ｋ」が偶数の場合で表記してある。「ｋ」が奇数の場合は，式（１６）に従って「（α-１）^-１」を「α^-１」に変更すればよい。）。

さらに「β_ｋ」を式（１９）で定義する。

このとき「Ｗ_ｋ＋１」は、式（２０）で与えられる。

同様に「γ_ｋ」を式（２１）で定義する。

そうすると「Ｗ_ｋ＋２」は、式（２２）で与えられる。

（３）中間の分散片が壊れた（失われた）ときの復元
「Ｗ_ｊ，１≦ｊ≦ｋ」が１つ又は２つ失われたときの復号方法をケース１，２に分けて説明する。

＜ケース１＞
「Ｗ_ａ，１≦ａ≦ｋ」が１つ存在しない場合の復号方法は、式（２３）または式（２４）より「Ｗ_ａ」を求めた後に式（１６）で複号する。

＜ケース２＞
「Ｗ_ａ，Ｗ_ｂ，１≦ａ≦ｂ≦ｋ」が存在しない場合の復号方法は、式（２５）（２６）と置く。

このとき式（２７）により、「Ｗ_ａ，Ｗ_ｂ」を求めた後に式（１６）で復号する。

上記では、ｋ多重（ｋ，ｋ＋２）しきい値法の場合を説明したが、ｋ多重（ｋ，ｋ＋１）しきい値法の場合は、「Ｗ_ｋ＋２」を無くして考えればよい。すなわち、符号化では式（２１）（２２）の処理を無くし、復号では式（１５）（１６）あるいはケース１の式（２３）を行なえばよい。

符号化に用いる式（１０）の行列「Ｇ」の非対称性によれば、「Ｗ_１，Ｗ_２，・・・，Ｗ_ｋ」が与えられた場合は高速に復号できるが、そうでない場合は復号時間が少し遅くなる。そのため，「Ｗ_１，Ｗ_２，・・・，Ｗ_ｋ，Ｗ_ｋ＋１，Ｗ_ｋ＋２」が全て利用できる場合は、「Ｗ_１，Ｗ_２，・・・，Ｗ_ｋ」用いて高速な復号を行なえばよい。

（３）リカバリー手順は欠落部位に依存
分散片は、「ｋ＋２」個生成される。そのうちの２個失われても元の情報Ｓを復元することができる。復元手順は、どのピースが失われたによってケース１，２のように異なる。ただし、いずれのケースもマトリックス演算により元の情報Ｓを復元（再構成）することができる。

実施例として、データセンターのバックアップシステムに「ＡＭＳＳＳ」を用いた応用例を説明する。すなわち、大容量データのバックアップシステムに秘密分散法を採用した場合にはシステム設計上、予備の分散片が無いとデータ復元に困難が生じるおそれがある。そこで、本実施例では予備の分散片を用いたバックアップシステムを構築する際に表１の方式６「ＭＳＳＳ」を発展させた「ＡＭＳＳＳ」により構築し、分散片データの冗長化を図っている。
従来技術（例えば表１の方式７）によって本実施例と同じ機能の「しきい値秘密分散法」を構成しようとすると、非特許文献１０の式２７に示すファンデルモンド行列式（Vandermonde determinant）のような複雑な計算が必要となるため、計算量が多く実用化が困難な問題があった。本実施例は、この問題を解決することを主眼とし、表１の方式６「ＭＳＳＳ」を発展させた「ＡＭＳＳＳ」を採用する。これにより式１０の計算で済み、高速処理が実現し、実装化が容易となる。

≪システム構成例≫
図５および図６に基づき本実施例の前記秘密分散法を実行する秘密分散システムの構成例を説明する。このシステム１は、クラウド型のストレージサービスとしてデータセンターに構築され、前述の「ＡＭＳＳＳ」を採用することで多重秘密分散法「ＭＳＳＳ」の高速性を生かしつつ、１個または２個の予備の分散片を作成する。本実施例では、分散片の必要数がすべて揃えば（すべて存在すれば）、それにより分散対象データを再構成する。
一方、必要数がすべて揃わなければ（不存在があれば）、揃っている分（存在している分）の分散片と予備の分散片とを用いて足りない分散片を求め、その後に分散対象データを再構築する。

具体的に前記システム１は、図５に示すように、保管サーバ装置２により構成され、ネットワーク４（図６参照）に接続されている。この保管サーバ装置２は単数であってもよく、複数の保管サーバ装置２群としてシステムを構成してもよいものとする。なお、図５中では、一例として単一の保管サーバ装置２によるシステム構成を示している。

保管サーバ装置２は、通信部２１，保管ストレージ装置３－１～３－ｎ，分散データ生成部１４，データ復元部１５，乱数生成部１６を実装する。この分散データ生成部１４は、分散対象データ（秘密情報Ｓ）を符号分散化した分散片データ（複数の分散片・予備の分散片）群を生成し、それぞれを保管ストレージ３－１～３－ｎの保存部２２に分散して保存する。なお、複数の保管サーバ２群を用いる場合には、各保管サーバ２の保管ストレージ３に分散片データをそれぞれ分散して保存することができる。

データ復元部１５は、秘密情報Ｓの復元時に保管ストレージ３－１～３－ｎから分散片データを収集して分散対象データの復元を行う。もっとも、非特許文献１３に示すように、各分散片が通信経由で受け渡されることやメモリへの書き込む読み出しが行わるため、エラーフリーとは言い切れず、欠落や欠損が生じる場合があり、何らかの誤り検出手段をアプリケーションレベルで付加すべきことが当業者の共通認識となっている。そこで、本実施例では各分散片に誤り検出符号（ＥＤＣ）、即ちチェックサム（ｃｈｅｃｋｓｕｍ）を付加し、エラーチェックを図っている。

収集された分散片群に欠落・欠損がなく、前記必要数を満たせば収集された分散片群により秘密情報Ｓを復元する。一方、収集された分散片群に欠落・欠損が生じ、前記必要数を満たさなければ、存在する分散片群および予備の分散片を用いて不存在（欠落・欠損）の分散片を求め、その後に秘密情報Ｓを復元する。

乱数発生部１６は、分散データ生成部１４の指令に応じて乱数（８バイト）を生成する。なお、保管サーバ装置２は、図６に示すように、コンピュータを主体に構成され、通信装置５１，入力装置５２，メモリ（主記憶装置）５３，補助記憶装置（ＳＳＤ，ＨＤＤなど）５４，ＣＰＵ５５，出力装置５６を備え、各ハードウェア５１～５６がバス５７を介して接続され、各ハードウェアとソフトウェアとの協働により前記各部３，１４，１５，１６，２１，２２を実装する。

≪分散データ生成部１４・データ復元部１５の処理内容≫
分散データ生成部１４は、分散対象データ（秘密情報Ｓ）から分散片および予備の分散片を生成する分散データ生成機能（関数：ａｍｓｓｓ＿ｇｅｎｅｒａｔｅ）を備える。

一方、データ復元部１５は、分散片群・予備の分散片を用いて分散対象データを再構成して復元する再構成機能（関数：ａｍｓｓｓ＿ｒｅｃｏｎｓｔｒｕｃｔ）を備えている。ここでは分散データ生成機能および再構成機能に「ＡＭＳＳＳ」が用いられている。以下、図７に基づき詳細を説明する。

（１）分散データ生成機能
分散データ生成部１４は、図７中の矢印Ａ，Ｂに示すように、分散データ生成機能を使って分散対象データから分散片（１）～（ｋ）と予備の分散片（ｋ＋１），（ｋ＋２）とを生成する。

分散データ生成機能（関数）は、引数（入力）の１次元配列の先頭アドレス「Ｓｉ（ｕｎｓｉｇｎｅｄ ｃｈａｒ^＊Ｓｉ）」に分散対象データ（秘密情報Ｓ）の分散片が格納され、以下の情報が指定により設定される。
Ａ：分散対象データの再構成に必要な分散片数（いわゆる閾値「２～６の範囲」：以下、再構成分散数とする）
Ｂ：予備の分散片数（１～２の範囲：以下、予備分散数とする。）
Ｃ：分散対象データのデータ長（１～２^５０バイトの範囲）
また、分散データ生成機能（関数）は、引数（出力）の２次元配列の先頭アドレス「Ｓｎｉ（ｕｎｓｉｇｎｅｄ ｃｈａｒ^＊Ｓｎｉ）」の各行に「分散番号（１バイト）＋分散片データ（ブロック総数×８）バイト」が設定される。

ブロック総数は、「（分散対象データ長＋１６）÷（再構成分散数×８）」となる。ここで、「（分散対象データ長＋１６）÷（再構成分散数×８）」は小数点以下を切り上げた数を表す。本実施例では、各分散片データのチェックサムにハッシュ値を用いる。ハッシュ値を計算してファイルの同一性をチェックする点は、非特許文献１５などの公知文献から当業者の周知技術といえるが、後述のように分散片が正常／異常を確認する手段として設定されている。例えば再構成分散数を「３」・予備の分散数を「２」・２次元配列を［Ｓｎｉ］とすると、
Ｓｎｉ［０］：分散番号１＋分散番号１の分散片データ（分散片）＋ハッシュ値
Ｓｎｉ［１］：分散番号２＋分散番号２の分散片データ（分散片）＋ハッシュ値
Ｓｎｉ［２］：分散番号３＋分散番号３の分散片データ（分散片）＋ハッシュ値
Ｓｎｉ［３］：分散番号４＋分散番号４の分散片データ（予備の分散片）＋ハッシュ値
Ｓｎｉ［４］：分散番号５＋分散番号５の分散片データ（予備の分散片）＋ハッシュ値
となる。

そのため、２次元配列の行数・列数は、
・２次元配列の行数＝再構成分散数＋予備分散数
・同 列数＝ブロック総数×８＋１（バイト）
となる。以下、図８に基づき分散データ生成機能による処理内容（Ｓ０１～Ｓ０６）を説明する。

Ｓ０１：処理が開始されると、分散データ生成部１４は分散データ生成機能の１次元配列Ｓｉに設定された再構成分散数（ｋ：１バイト）・予備分散数（ｒ：1バイト）・分散対象データのデータ長（Ｌ：８バイト）・分散対象データ（Ｌバイト）を読み取る。

Ｓ０２：分散対象データのハッシュ値（ＯｐｅｎＳＳＬのＳＨＡ－２５６）を求める。ここで求めたハッシュ値を分散データ生成機能の１次元配列の先頭アドレス「ＣＳ（ｕｎｓｉｇｎｅｄ ｃｈａｒ^＊ＣＳ）」に設定する。

Ｓ０３：乱数生成部１６に指令を出力し、時刻をもとに乱数（８バイト）を生成する。このとき乱数は、時刻を取得する関数「ｃｌｏｃｋ＿ｇｅｔｔｉｍｅ（）」を使って生成する。

ここで生成された乱数を取得し、「乱数＋分散対象のデータ長Ｌ＋分散対象データ」のデータ列を作成する。その際、作成したデータ列のバイト数が「ｋ×８」の倍数でない場合には、該データ列の後ろに「ｘ’００’」をパディングして「ｋ×８」の倍数とする。

Ｓ０４：Ｓ０３で作成したデータ列を後述のように独立一様分布化する。

Ｓ０５：Ｓ０４で独立一様分布化したデータ列Ｓを「ｋ×８」のブロックに分割し、分割された各ブロックに対して非特許文献１４の「ＧＦ（２^６４）」上で以下の演算を行って分散片データ「Ｗ（Ｗ_zｙ）」を求める。その際に「α」を「ＧＦ（２^６４）」の原始元とする。

具体的にはＳ０１で読み込んだ予備分散数ｒを確認し、「予備分散数ｒ＝１」であれば式（２８）（２９）を用いる。

一方、「予備分散数ｒ＝２」であれば、式（３０）（３１）を用いる。

式（２８）（２９）中、
Ｓ_xｙ:ブロック番号ｙのｘ番目の値（８バイト）
Ｗ_zｙ：ブロック番号ｙ・分散番号ｚの分散片の値（８バイト）
このとき「Ｗ_zｙ，ｚ＝１，２，３，．．．ｋ」に関しては、式（３２）（３３）の演算で求める。

また、「Ｗ_{（ｋ＋１）ｙ}」，「Ｗ_{（ｋ＋２）ｙ}」は、式（２８）～（３１）より式（３４）（３５）で求められる。

Ｓ０６：Ｓ０５で求めた各分散片データ「Ｗ_zｙ」のハッシュ値を求める。その後、各分散片データ「Ｗ_zｙ」およびハッシュ値を分散データ生成機能の２次元配列「Ｓｎｉ」に設定する。このとき分散番号ｉの分散片データおよびハッシュ値は、前記２次元配列「Ｓｎｉ」のｉ行目に割り当てられ、例えば分散番号２であれば２行目に割り当てられる。

そして、各分散片データ「Ｗ_zｙ」は、それぞれを保管ストレージ３－１～３－ｎの保存部２２に分散して保存される。なお、図８では「予備分散数ｒ＝２」の場合を示しており、「予備分散数ｒ＝１」の場合はＳ０５の計算式が式（３０）から式（２８）に置き換わり、かつＳ０６の２次元配列「Ｓｎｉ」には最後の（ｋ＋２）行目がなくなって（ｋ＋１）行目までとなる。

（２）Ｓ０４の詳細
「ＭＳＳＳ」によれば、安全性をクリアするためのアルゴリズム上の制約として、「Ｓ（秘密情報：分散対象データ）＝（Ｓ_１ｙ，Ｓ_２ｙ，・・・，Ｓ_ｘｙ）」に対して、各「Ｓ_ｘｙ」が独立で一様分布する必要がある。そこで、Ｓ０４では、以下に示す独立一様分布化の処理（Ｓ１１～Ｓ１４）を行う。

Ｓ１１：処理が開始されると、有限体上で適切なマトリクスをもって乗算を行う。例えば式（３６）に示すように、「法２^６４（１ｗｏｒｄ ６４ｂｉｔ）」上で行列Ａの要素を乱数で決め、その逆行列Ｂを求めておくものとする。逆行列Ｂは、行列式｜Ａ｜の値が「２^６４」と互いに素、即ち奇数であれば求めることができる。

「ｍｏｄ２^６４」＝法２^６４
Ｓ１２：独立一様分布化する前のデータ列に対し、前から順に「法２^６４」上で行列Ａの演算を行って新たなデータ列を生成する。

式（３７）に基づき処理例を説明する。ここでは独立一様分布化する前のデータ列をデータ列Ｘ（Ｘ^（１）Ｘ^（２）Ｘ^（３）Ｘ^（４）Ｘ^（５）Ｘ^（６）・・・・・・・・Ｘ^（M-2）Ｘ^（M-1）Ｘ^（M））と示している。また、新たなデータ列をデータ列Ｙ（Ｙ^（１）Ｙ^（２）Ｙ^（３）Ｙ^（４）Ｙ^（５）Ｙ^（６）・・・・・・・・Ｙ^（M-2）Ｙ^（M-1）Ｙ^（M））と示し、各Ｘ，Ｙは８バイトとする。この処理例の各生成は、それぞれ「法２^６４」上における行列Ａの演算を利用しているものとする。

まず、式（３７－１）に示すデータ列Ｘ中の（Ｘ^（１）Ｘ^（２）Ｘ^（３））に対し、式（３７－２）に示すように、前記演算を行って（Ｙ^（１）Ｙ^（２）Ｙ^（３））とする。

つぎに式（３７－３）のデータ列（Ｙ^（１）Ｙ^（２）Ｙ^（３）Ｘ^（４）Ｘ^（５）Ｘ^（６）・・・・・・・・Ｘ^（M-2）Ｘ^（M-1）Ｘ^（M））中の（Ｙ^（２）Ｙ^（３）Ｘ^（４））に対し、式（３７－４）に示すように、前記演算を行って（Ｙ^（２）Ｙ^（３）Ｙ^（４））とする。これにより式（３７－５）のデータ列（Ｙ^（１）Ｙ^（２）Ｙ^（３）Ｙ^（４）Ｘ^（５）Ｘ^（６）・・・・・・・・Ｘ^（M-2）Ｘ^（M-1）Ｘ^（M））が生成される。

このようにデータ列Ｘ中の（Ｘ^（１）Ｘ^（２）Ｘ^（３）Ｘ^（４）Ｘ^（５）Ｘ^（６）・・・・・・・・
Ｘ^（M-2）Ｘ^（M-1）Ｘ^（M））の前から順に３個ずつに対して前記演算を行うことにより、式（３７－６）の左式に示すデータ列（Ｙ^（１）Ｙ^（２）Ｙ^（３）Ｙ^（４）Ｙ^（５）Ｙ^（６）・・・・・・・・Ｙ^（M-2）Ｙ^（M-1）Ｘ^（M））を生成する。

その後、式（３７－７）に示すように、（Ｙ^（Ｍ-2）Ｙ^（Ｍ-1）Ｘ^（Ｍ）)に対し、前記演算を行って（Ｙ^{（Ｍ－２）}Ｙ^{（Ｍ－１）}Ｙ^（Ｍ））とし、式（３７－８）のデータ列Ｙ（Ｙ^（１）Ｙ^（２）Ｙ^（３）Ｙ^（４）Ｙ^（５）Ｙ^（６）・・・・・・・・Ｙ^（M-2）Ｙ^（M-1）Ｙ^（M）））を生成する。

Ｓ１３：Ｓ１２で生成したデータ列Ｙに対し、隣接するデータ間で上位３２ビット（ｂｉｔ）と下位３２ビット（ｂｉｔ）の置換を行って、新たなデータ列Ｚを生成する。

例えば図９に示すように、データＹ^（１）の下位３２ビットとデータＹ^（２）の上位３２ビットを置換し、データＹ^（２）の下位３２ビットとデータＹ^（３）の上位３２ビットを置換し、データＹ^（３）の下位３２ビットとデータＹ^（４）の上位３２ビットを置換し、それ以降のデータＹに対しても同様の置き換えを行い、最後にデータＹ^（Ｍ）の下位３２ビットとデータＹ^（１）の上位３２ビットを置換することでデータ列Ｚを生成する。

Ｓ１４：Ｓ１３で作成したデータ列Ｚに対し、後ろから順に「法２^６４」上で行列Ａの乗算を行って、新たなデータ列Ｓを生成する。

式（３８）に基づき処理例を説明する。この処理例の各生成も、それぞれ「法２^６４」上における行列Ａの演算を利用する。

式（３８－１）は前記置換後のデータ列Ｚ（Ｚ^（１）Ｚ^（２）Ｚ^（３）Ｚ^（４）Ｚ^（５）Ｚ^{（６）・・・・・・・・}Ｚ^{（M―４）}Ｚ^{（M―３）}Ｚ^{（M―２）}Ｚ^{（M―１）}Ｚ^（M））を示す。まず、式（３８－２）（３８－３）に示すように、データ列Ｚ中の（Ｚ^{（M―２）}Ｚ^{（M―１）}Ｚ^（M））に対し、前記演算を行って（Ｓ^{（Ｍ－２）}Ｓ^{（Ｍ－１）}Ｓ^（Ｍ））を生成する。その後、式（３８－４）（３８－５）に示すように、（Ｚ^{（Ｍ－３）}Ｓ^{（Ｍ－２）}Ｓ^{（Ｍ－１）}）に対し、前記演算を行って（Ｓ^{（Ｍ－３）}Ｓ^{（Ｍ－２）}Ｓ^{（Ｍ－１）}）を生成する。

このようにデータ列Ｚの後ろから順に３個ずつ前記演算を行うことにより、式（３８－６）の（Ｚ^（１）Ｓ^（２）Ｓ^（３）Ｓ^（４）Ｓ^（５）Ｓ^{（６）-------}Ｓ^{（M―４）}Ｓ^{（M―３）}Ｓ^{（M―２）}Ｓ^{（M―１）}Ｓ^（M））が生成される。

その後、式（３８－７）に示すように（Ｚ^（１）Ｓ^（２）Ｓ^（３））に対し、前記演算を行って（Ｓ^（１）Ｓ^（２）Ｓ^（３））を生成する。これにより式（３８－８）に示すように、新たなデータ列Ｓ（Ｓ^（１）Ｓ^（２）Ｓ^（３）Ｓ^（４）Ｓ^（５）Ｓ^{（６）-------}Ｓ^{（M―４）}Ｓ^{（M―３）}Ｓ^{（M―２）}Ｓ^{（M―１）}Ｓ^（M））が生成される。

（２）再構成機能
図１０に基づき再構成機能を説明する。ここでは基本的に分散データ生成機能と逆の処理を実行することにより、分散片データ（分散片・予備の分散片）群を用いて元の分散対象データを再構成し、復元する。

図７中の矢印Ｃ，Ｄは、分散データ（２）が破損・紛失しているため、予備の分散片（ｋ＋２）を用いて元の分散対象データを復元する状態を示している。なお、再構成機能（関数）の引数には以下の情報が設定されている。

＜引数（入力）＞
・「Ｎ（ｕｎｓｉｇｎｅｄ ｃｈａｒ^＊Ｎ）」
再構成分散数と予備分散数とを格納した１次元配列の先頭アドレス（分散データ生成機能の「Ｓｉ」と同じ値を設定する。）
・「Ｐ（ｕｎｓｉｇｎｅｄ ｃｈａｒ^＊Ｐ）」
分散対象データのデータ長（８バイト）を格納した１次元配列の先頭アドレス（分散データ生成機能の「Ｓｉ」と同じ値を設定する。）
・「ＣＳ（ｕｎｓｉｇｎｅｄ ｃｈａｒ^＊ＣＳ）」
分散対象データのハッシュ値（３２バイト）を格納した１次元配列の先頭アドレス（分散データ生成機能の「ＣＳ」で返ってきたハッシュ値と同じ値を設定する。）
・「Ｓｎｉ（ｕｎｓｉｇｎｅｄ ｃｈａｒ^＊Ｓｎｉ）」
再構成に用いる分散片を格納した２次元配列の先頭アドレスとし、該２次元配列は分散データ生成機能の「Ｓｎｉ」と同様に設定される。例えば再構成分散数（３個）・予備分散数（２個）の場合、分散番号「１」「３」の分散片が欠落・欠損により収集できなければ予備の分散片を２個使って再構成する。この場合、２次元配列は以下のようになる（分散番号は順に並べる必要はない。）。
Ｓｎｉ［０］：分散番号２＋分散番号２の分散片データ（分散片）＋ハッシュ値
Ｓｎｉ［１］：分散番号４＋分散番号４の分散片データ（予備の分散片）＋ハッシュ値
Ｓｎｉ［２］：分散番号５＋分散番号５の分散片データ（予備の分散片）＋ハッシュ値
なお、２次元配列の行数は再構成分散数となり、同列数は「ブロック総数×８＋１（バイト）」となる。このブロック総数は分散データ生成機能の「Ｓｎｉ」と同じである。

＜引数（出力）＞
・「Ｓｉ（ｕｎｓｉｇｎｅｄ ｃｈａｒ^＊Ｓｉ）」
復号した分散対象データを格納する１次元配列の先頭アドレスであって、配列のサイズは引数（入力）の「Ｐ」に設定されたデータ長と同じとする。以下、再構成機能による処理内容（Ｓ２１～Ｓ２３）を説明する。

Ｓ２１：処理が開始されると保管ストレージ３－１～３－ｎから分散片データ、即ち分散片「Ｗ_１，Ｗ_２，．．．，Ｗ_ｋ」および予備の分散片（予備分散＝２個の場合「Ｗ_ｋ＋１」「 Ｗ_ｋ＋２」／予備の分散片＝１個の場合「Ｗ_ｋ＋１」）を収集する。その後、収集された分散片「Ｗ_１，Ｗ_２，．．．，Ｗ_ｋ」が再構成分散数を満たすか否かを判定する。本実施例では、前記判定を二段階のステップで実行する。

保管ストレージ３の故障やネットワークエラーなどにより事前に定められた時間内に分散片を収集できず、タイムアウトにより欠落が生じる場合がある。そこで、ファーストステップ（第１段階）として、収集された各分散片の分散番号に基づき再構成分散数分の個数が揃っているか否かを確認する。例えば分散番号「１」「３」の分散片の収集がタイムアウトした場合、分散番号「１」「３」の分散片が欠落する。この場合、分散番号「１」「３」の分散片は存在しないため、再構成分散数を満たさないものと判定される。一方、収集された分散片群の個数が再構成分散数分を満たす場合にセカンドステップ（第２段階）のエラーチェックに進む。

セカンドステップ（第２段階）では、収集された各分散片「Ｗ_１，Ｗ_２，．．．，Ｗ_ｋ」のハッシュ値を求め、これを再構成機能（関数）の「Ｓｎｉ」に設定されたハッシュ値と照合する。

照合の結果、前記両ハッシュ値が同じであれば、その分散片は正常と認定される。すべての分散片「Ｗ_１，Ｗ_２，．．．，Ｗ_ｋ」が正常認定されれば、再構成分散数分の正常な個数が揃っているため、再構成分散数を満たすと判定される。この場合、分散片「Ｗ_１，Ｗ_２，．．．，Ｗ_ｋ」だけで元の分散対象データを復号する。

一方、前記両ハッシュ値が同じでなければデータ破損などが生じているため、その分散片は異常と認定される。例えば分散番号「３」の分散片について前記両ハッシュ値が同じでなければ異常と認定する。この場合、分散番号「３」の分散片は欠損により存在しないものと扱われ、再構成分散数を満たさないものと判定される。なお、予備の分散片についても同様なエラーチェックを実行し、正常／異常を確認する設定が好ましい。

そして、再構成分散数を満たさないと判定した場合には、予備の分散片「Ｗ_ｋ＋１」「 Ｗ_ｋ＋２」（予備分散＝２個の場合）を用いる。例えば図１０のＳ２１は、図７と同様に分散片番号「２」の分散片が不存在とされ、代わりに「ｋ＋２」番目の予備の分散片を使って、存在する分散片とともに復号する場合を示している。ただし、エラーチェックで正常と認定された予備の分散片に限ることが好ましい。

このように本実施例は、「ＡＭＳＳＳ」により分散片データが冗長化されているため、分散片「Ｗ_１，Ｗ_２，．．．，Ｗ_ｋ」に１個または２個の欠落・欠損が生じている場合であっても分散対象データの復元が可能となっている。復元の際は、２次元配列「Ｓｎｉ」に設定された分散片データを基に各ブロックに対して「ＧＦ（２^６４）」上で所定の演算を実行し、分散対象データを復号する。以下に演算の内容を示す（ブロック番号ｙを省略して標記する。）。

≪「Ｗ_１，Ｗ_２，．．．，Ｗ_ｋ」だけで復号する場合≫
再構成分散数を満たすと判定された場合は、式（３９）（４０）を用いて、分散片「Ｗ_１，Ｗ_２，．．．，Ｗ_ｋ」だけで復号する。

Ｗ_ｚ:復号するブロックの分散番号ｚの分散片の値（８バイト）
Ｓ_z:復号したブロックのｚ番目の値（８バイト）
ここで「（α-１）^-１」を「α^-１」を事前に計算して、プログラム上で「ｕｎｓｉｇｎｅｄ ｌｏｎｇ ｌｏｎｇ」型定数として定義して、復号処理を速くする。
＜（Ｗ_ａ，１≦ａ≦ｋ）が存在しない場合＞
前記分散片（Ｗ_ａ：１≦ａ≦ｋ）が存在しない場合（Ｗ_ａが欠落・欠損している場合）は、まず（ｋ－１）個の前記分散片Ｗ_i(１≦ｉ≦ｋ，ｉ≠ａ）と前記予備の分散片（１個）とを使って前記分散片（Ｗ_ａ）を求める。その際には式（４１）～（４３）を用いる。ここで、式（４１）の上の式は式（２３）と、下の式は式（２４）と同値になる。

この場合に計算時間を短縮するため、事前に式（４１）の「Ｗ_ｉ，Ｗ_ｋ＋１，Ｗ_ｋ＋２」にかかる係数の値を求めて配列に設定しておくことが好ましい。例えば、「Ｗ_ｋ＋１，Ｗ_ｋ＋２」にかかる係数はｋとａによって決まる値であるので、ｋとａを配列の要素とする２次元配列に初期設定しておく。また「Ｗ_ｉ」にかかる係数はｋ, ａ, ｉによって決まる値であるので、これらを要素とする３次元配列に初期設定しておく。つぎに式（４１）～（４３）で求めた分散片（Ｗ_ａ）と分散片Ｗ_i(１≦ｉ≦ｋ，ｉ≠ａ）とを用いて、式（４０）で分散対象データを復号する。

＜（Ｗ_ａ,Ｗ_b：１≦ａ≦ｂ≦ｋ）が存在しない場合＞
分散片（Ｗ_ａ,Ｗ_b：１≦ａ≦ｂ≦ｋ）が存在しない場合（欠落・欠損している場合）は、まず（ｋ－２）個の分散片Ｗ_i(１≦ｉ≦ｋ，ｉ≠ａ，ｉ≠ｂ）と予備の分散片（２個）とを使って分散片（Ｗ_ａ,Ｗ_b）を求める。ここでは式（４４）～（４６）を用いる。ここで式（４４）は式（２７―１）と、式（４５）は式（２７－２）と同値になる。

この場合も計算時間を短縮するため、事前に式（４４）（４５）の「Ｗ_ｉ，Ｗ_ｋ＋１，Ｗ_ｋ＋２」にかかる係数の値を求めて配列に設定しておくことが好ましい。例えば、「Ｗ_ｋ＋１，Ｗ_ｋ＋２」にかかる係数はｋ,ａ,ｂによって決まる値であるので、これらを要素とする３次元配列に初期設定しておく。また「Ｗ_ｉ」にかかる係数はｋ,ａ,ｂ,ｉによって決まる値であるので、これらを要素とする４次元配列に初期設定しておく。つぎに式（４４）～（４６）で求めた分散片（Ｗ_ａ,Ｗ_b）と分散片Ｗ_i(１≦ｉ≦ｋ，ｉ≠ａ，ｉ≠ｂ）とを用いて、式（４０）で分散対象データを復号する。

Ｓ２２：Ｓ２１で復号したデータ列に対して、Ｓ０４の独立一様分布化の逆の操作を行う。具体的には

（ａ）行列Ａの逆行列Ｂを用いて、前記データ列の前から順に「法２^６４」上で行列Ｂの演算を行う（Ｓ１４の逆操作）。

（ｂ）前記逆行列Ｂの演算後のデータ列中、隣接するデータ間で上位３２ビットと下位３２ビットとの逆置換を行う（Ｓ１３の逆操作）。

（ｃ）前記逆置換後のデータ列に対して逆行列Ｂを用いて、後ろから順に「法２^６４」上で逆行列Ｂの乗算を行う（Ｓ１２の逆操作）。

Ｓ２３：Ｓ２２の処理後に生成されたデータ列から分散対象データを抽出し、ハッシュ値（ＯｐｅｎＳＳＬのＳＨＡ－２５６）を求める。ここで求めたハッシュ値と再構成機能（関数）の「ＣＳ」に設定したハッシュ値と比較し、再構成された分散対象データの正否確認を行う。

すなわち、両者のハッシュ値が同じであれば、復号した分散対象データを1次元配列「Ｓｉ」に設定し、戻り値「０」を返す。一方、両者のハッシュ値が異なっていれば、正しく再構成できなかったため、戻り値として「０」以外の値を返す（図６では戻り値「６」が示されているが、それ以外の値でもよい。）。この場合には再度の復元を試みる設定が好ましい。

このように本実施例によれば、「ＡＭＳＳＳ」を採用することで「ＭＳＳＳ」の高速性を生かしつつ１個または２個の予備の分散片を作成し、予備の分散片を用いて分散対象データを再構成することができる。これによりデータセンターなどの大容量のバックアップシステムにて可用性と秘匿性の両立を図ることが可能となる。

実施例１では、分散片群が再構成分散数を満たすか否かを二段階のステップで実行していたが、本実施例ではセカンドステップを省略し、ファーストステップだけで判定する。

したがって、本実施例のＳ０６で各分散片データのハッシュ値を求める必要はなく、また分散データ生成機能および再構成機能に各分散片データのハッシュ値を設定する必要もない。

具体的には、
（１）保管ストレージ３－１～３－ｎから分散片「Ｗ_１，Ｗ_２，．．．，Ｗ_ｋ」をタイムアウトせずに、すべて収集できれば再構成分散数を満たすと判定される。この場合は、実施例１と同様に式（３９）（４０）を用いて分散片データ「Ｗ_１，Ｗ_２，．．．，Ｗ_ｋ」だけで復号される。

ただし、復号に用いた分散片「Ｗ_１，Ｗ_２，．．．，Ｗ_ｋ」のいずれかにデータ破損などによる欠損があれば、Ｓ２３の成否確認の際に戻り値「０」以外が返され、再度の復元が試みられる。このとき「分散変数＝１」であれば、分散番号順に分散片データを予備分散片「Ｗ_ｋ＋１」と入れ替え、式（３９）（４０）により復号する。また、「分散変数＝２」であれば、分散番号順に分散片データを２個ずつ予備分散片「Ｗ_ｋ＋１」「 Ｗ_ｋ＋２」と入れ替え、式（３９）（４０）により復号する。

（２）一方、分散片「Ｗ_１，Ｗ_２，．．．，Ｗ_ｋ」のいずれかの収集がタイムアウトすれば、再構成分散数を満たさないと判定される。
この場合には実施例１の
＜（Ｗ_ａ，１≦ａ≦ｋ）が存在しない場合＞
＜（Ｗ_ａ，１≦ａ≦ｋ）が存在しない場合＞
と同じ処理を行って分散対象データを復元する。

なお、本発明は、上記実施形態に限定されるものではなく、各請求項に記載された範囲内で変形して実施することができる。例えばコンピュータに実施例の秘密分散方法の処理ステップ（Ｓ０１～Ｓ０６，Ｓ１１～Ｓ１４，Ｓ２１～Ｓ２３）を実行させる秘密分散プログラムとして構成することが可能である。

このプログラムによればコンピュータ上に秘密分散システム１を構築することができ、また該プログラムは記録媒体に格納して配布してもよく、あるいはインターネットからダウンロードする形式で配布してもよい。

１…秘密情報システム
２…保管サーバ装置
３－１～３－ｎ…保管ストレージ装置
４…ネットワーク
１４…分散データ生成部
１５…データ復元部
１６…乱数生成部
２１…通信部
２２…保存部

Claims (6)

1. 分散対象データを符号分散化した分散片群を生成する分散データ生成部と、
   前記各分散片をそれぞれ保管する複数の保存部と、
   前記各保存部に保管された分散片を収集し、事前に定められた再構成分散数に基づき前記分散対象データを復号して再構成するデータ復元部と、
   を備えた秘密分散システムの実行する方法であって、
   前記分散データ生成部が、前記分散対象データから前記再構成分散数に応じた複数の分散片群と該分散片群を冗長化した予備の分散片とを生成し、生成された前記分散片および前記予備の分散片をそれぞれ前記保存部に分散して保管する分散データ生成ステップと、
   前記データ復元部が、前記保存部から前記分散片および前記予備の分散片を収集し、前記収集された前記分散片群が前記再構成分散数を満たせば前記分散片群を用いて前記分散対象データを再構成する一方、前記収集された前記分散片が前記再構成分散数を満たさなければ存在している分散片と前記予備の分散片とを用いて存在しない前記分散片を求めて前記分散対象データを再構成する再構成ステップと、
   を有することを特徴とする秘密分散方法。
2. 前記分散データ生成ステップは、前記生成された前記各分散片ついて誤り検出符号の値を求めてデータ復元部に設定するステップを有する一方、
   前記再構成ステップは、前記収集された前記各分散片について誤り検出符号の値を求めて前記設定された値と照合することで前記各分散片が存在するか否かを判定するステップを有する
   ことを特徴とする請求項１記載の秘密分散方法。
3. 前記再構成ステップは、前記収集された前記分散片数の個数が前記再構成分散数を満たせば、前記収集された前記分散片群を用いて前記分散対象データを再考するステップと、
   前記収集された前記分散片群を用いた前記再構成が失敗すれば、前記分散片に付与された番号順に前記予備の分散片と入れ替えて再構成を実行するステップと、
   を有することを特徴とする請求項１記載の秘密分散方法。
4. 分散対象データを符号分散化した分散片群を生成する分散データ生成部と、
   前記各分散片をそれぞれ保管する複数の保存部と、
   前記各保存部に保管された分散片を収集し、事前に定められた再構成分散数に基づき前記分散対象データを復号して再構成するデータ復元部と、
   を備えた秘密分散システムの実行する方法であって、
   前記分散データ生成部が、前記分散対象データから前記再構成分散数に応じた複数の分散片群と該分散片群を冗長化した予備の分散片（１個または２個）とを生成し、生成された前記分散片および前記予備の分散片をそれぞれ前記保存部に分散して保管する分散データ生成ステップと、
   前記データ復元部が、前記保存部から前記分散片および前記予備の分散片を収集し、前記収集された前記分散片群が前記再構成分散数を満たせば前記分散片群を用いて前記分散対象データを再構成する一方、前記収集された前記分散片が前記再構成分散数を満たさなければ前記予備の分散片を用いて前記分散対象データを再構成する再構成ステップと、
   を有し、
   前記分散データ生成ステップは、前記再構成分散数（ｋ）と前記予備の分散片数（ｒ）と前記分散対象データのデータ長（Ｌ）と前記分散対象データとの情報を格納する分散データ機能から前記各情報を読み込む第１ステップと、
   乱数を生成し、生成した前記乱数と前記データ長（Ｌ）と前記分散対象データとのデータ列Ｓ（バイト数＝「ｋ×８」の倍数）を作成する第２ステップと、
   前記データ列Ｓを「ｋ×８」のブロックに分割し、分割された各ブロックに対して演算を実行し、分散片「Ｗ」を求める第３ステップと、
   を有し、
   前記第３ステップは、「前記予備の分散片数（ｒ）＝１」の場合には式（２８）（２９）を用いる一方、
   

   

   
   Ｓ_ｘｙ：ブロック番号ｙのx（ｘ＝１．２．３．．．ｋ）番目の値（８バイト）
   Ｗ_ｚｙ：ブロック番号ｙ、分散番号ｚ（ｚ＝１．２．３．．．ｋ）の前記分散片の値（８バイト）
   Ｗ_{（ｋ＋１）ｙ}：前記予備の分散片
   

   

   
   「前記予備の分散片数（ｒ）＝２」の場合には式（３０）（３１）を用いることを特徴とする秘密分散方法。
   

   

   
   

   

   
   Ｓ_ｘｙ：ブロック番号ｙのx（ｘ＝１．２．３．．．ｋ）番目の値（８バイト）
   Ｗ_ｚｙ：ブロック番号ｙ、分散番号ｚ（ｚ＝１．２．３．．．ｋ）の前記分散片の値（８バイト）
   Ｗ_{（ｋ＋１）ｙ}，Ｗ_{（ｋ＋２）ｙ}：前記予備の分散片
5. 分散対象データを符号分散化した分散片群を生成する分散データ生成部と、
   前記各分散片をそれぞれ保管する複数の保存部と、
   前記各保存部に保管された分散片を収集し、事前に定められた再構成分散数に基づき前記分散対象データを復号して再構成するデータ復元部と、
   を備えた秘密分散システムであって、
   前記分散データ生成部は、前記分散対象データから前記再構成分散数に応じた複数の分散片群と該分散片群を冗長化した予備の分散片とを生成し、生成された前記分散片および前記予備の分散片をそれぞれ前記保存部に分散して保管し、
   前記データ復元部は、前記保存部から前記分散片および前記予備の分散片を収集し、
   収集された前記分散片群が前記再構成分散数を満たせば、前記分散片群を用いて前記分散対象データを再構成する一方、
   前記収集された前記分散片が前記再構成分散数を満たさなければ、存在している分散片と前記予備の分散片とを用いて、存在しない前記分散片を求めて前記分散対象データを再構成する
   ことを特徴とする秘密分散システム。
6. 請求項１～４のいずれか記載の秘密分散方法をコンピュータに実行させる秘密分散プログラム。

Images