1979年，Shamir [1] 提出了基于多项式的拉格朗日插值(t, n)门限的秘密共享方案。选取一个素数p，秘密 $s\in \text{GF}\left(p\right)$，参与秘密共享的成员有n个，需要t个成员秘密共享份额才能共享。构建一个t − 1次多项式，在GF(p)范围中选取t − 1个系数分别为 $s_{\text{1}},s_{\text{2}},\cdots ,s_t{}_{-\text{1}}$，构建的多项式如公式(1)所示：

$y=s+s_{1}x+s_2{x}^2+\cdots +s_{t-1}{x}^{t-1}\mathrm{mod}p$(1)

其中，s_t−1不为0， $x\in \text{GF}\left(p\right)$， $y\in \text{GF}\left(p\right)$。利用多项式生成n个不同的有效(x, y)的分发n个成员。恢复秘密s的时候，从n个成员中任意选取t个成员，从中得到对应的(x, y)对。利用拉格朗日多项式进行恢复，公式如公式(2)所示：

$f\left(x\right)={\displaystyle \underset{i=1}{\overset{t}{\sum }}\left(y_i{\displaystyle \underset{j=1,j\ne i}{\overset{t}{\prod }}\frac{x-x_j}{x_i-x_j}}\right)}\mathrm{mod}p$(2)

令x = 0，可以恢复出秘密s，也即s = f(0)。当选取的成员数量m小于t时，需要假设出t − m的插值点，也即需要穷举p^t−m种情况。所以恢复s变成了一个计算上的困难问题。

这里先定义一个函数，用于计算长度为8的二进制字符串中1个的个数，函数名为countBits，输入是二进制字符串，输出是二进制字符串中1的个数。

Ding [11] 利用Shamir共享秘密图像，通过共享份额的奇偶关系隐藏额外数据。先利用祖冲之加密算法加密半色调图像。再利用共享数据中的奇偶关系隐藏数据。额外数据先利用数据隐藏的密钥加密，再利用共享数据份额中的奇偶隐藏。用Shamir(3, 4)举例，其中秘密为0，也即常数项系数为0。每一张共享图像都隐藏相同的信息。

例如，多项式取y = s(x) = x²，素数p取17。当x = 0时，s(0) = 0。x对应的4位二进制数为(0000)₂，s(0)对应的4位二进制数为(0000)₂。两个4位二进制数拼接之后的结果为(0000 0000)₂。拼接之后的二进制字符串的中1，含有的个数为0。规定含有1的个数为偶数隐藏0，含有1的个数为奇数则隐藏0，公式如公式(3)所示。公式(3)中的res表示x、y对应的两个二进制数拼接之后的结果。例如x = 0和s(0) = 0组成的份额，能隐藏0。通过这种方式隐藏额外数据，最终需要生成4张共享图像。因此，对于多项式s(x) = x²找到至少4个能隐藏0的份额和4个能隐藏1的份额，从而能保证最终4张共享图像同时隐藏0或者同时隐藏1。

$\{\begin{array}{l}0,countBits\left(res\right)\mathrm{mod}2=0\\ 1,countBits\left(res\right)\mathrm{mod}2=1\end{array}$(3)

秘密恢复从4张共享图像中任意选取3张，从3张共享图像中对应位置选取3个共享份额，利用公式(1)得到原始的多项式，令x = 0，即可得到秘密f(0)。对所有位置的份额进行同样操作，就可以恢复出秘密图像。额外信息通过对共享份额图中的份额，依次提取信息进行恢复。

王泽曦等 [9] 提出了一种基于图像秘密共享的密文域可逆信息隐藏算法。为了方便描述，这里用具体的数据描述。图像所有者先将图像的原始像素对加密，最后得到密文像素对。密文像素对通过合并得到新的像素值。从秘密信息中选取16比特，加密处理后得到2个8比特的数据。秘密信息和密文像素多项式生成二次多项式 $f\left(x\right)=a{x}^2+bx+c$，其中新的像素值作为常数，2个8比特的数据分别作为二次项系数和一次项系数。参与者的每人拥有一个固定的身份，即固定的x。通过固定的身份可以得到对应的f(x)，再将得到的f(x)进行分割得到携密密文像素对，最后保存的是携密密文像素对。

秘密像素恢复只需要任选3个携密密文像素对，并利用公式(2)恢复。秘密信息同样是任选3个携密密文像素对，并利用公式(2)进行恢复。

本算法使用Shamir(t, n)做秘密共享，并在秘密共享的同时，隐藏额外信息。公式如公式(4)所示：

$y=a{x}^2+bx+c\mathrm{mod}p$(4)

其中，p是素数，x，y， $b\in \left[0,p-\text{1}\right]$， $a\in \left[\text{1},p-\text{1}\right]$。

数据集的筛选需要进行用到具体的值。因此，这里素数p取17。

1) 秘密共享份额预处理

初步处理秘密共享份额的数据范围，以便进行下一步的处理。由于x、y作为秘密共享份额，需要被保存到图像中。s是选取相邻的4个比特数据作为秘密。为了保持与s的取值范围一致，x、y、b、c舍弃16，也即x，y，b， $c\in \left[0,\text{15}\right]$。

2) 筛选条件

秘密图像隐藏在多项式b、c位置。除了秘密图像的信息之外的数据称为额外信息。额外信息根据隐藏的位置不同，又分为额外数据1和额外数据2。额外数据1利用x与y的关系隐藏数据。额外数据2利用a与7的大小关系隐藏数据。基于Shamir(t, n)和3个隐藏位置，可以得到对于每一对确定(b, c)有2个筛选条件。2个筛选条件分别针对二次项系数和共享份额。

筛选条件1，将a划分成两部分 $a\in \left[1,\text{6}\right]$和 $a\in \left[\text{8},\text{16}\right]$用于隐藏额外数据1，如公式(5)所示，其中invalid表示无效。每一部分分别利用筛选条件2进行筛选，筛选出至少1个满足条件的a。

$\{\begin{array}{l}0,a<7\\ 1,a>7\\ invalid,a=7\end{array}$(5)

筛选条件2，则是利用x与y的关系隐藏额外数据2。x与y组合之后的z转化为8位二进制数的1个数，用bitCount表示。将z转换为8位二进制数利用公式(3)信息数据。利用Shamir(t, n)共享时，为保证n个秘密共享份额不同，bitCount为奇偶的个数分别要大于等于n。x、y和z的关系如公式(6)所示：

$z=x\times 2^4+y$(6)

对a的处理，以 $a\in \left[1,\text{6}\right]$为例，从256对(b, c)对中，依次选取(b, c)对。256对(b, c)对的具体数据如 表1 所示。

从a的范围中选取一个值，生成(x, y)对，统计所有的(x, y)的bitCount。a满足筛选条件2，则完成筛选，也即bitCount为奇偶的个数分别要大于等于n。最后得到256个多项式，将多项式的(x, y)放入数据集中。数据集存放每一对(b, c)对筛选出的a及其对应的(x, y)对。对 $a\in \left[\text{8},\text{16}\right]$处理之后同样能得到256个多项式。筛选过程如 图1 所示。

以(b, c)对(0, 0)， $a\in \left[\text{1},\text{6}\right]$为例，筛选出的a为1。数据集用a、b、c做索引存放(x, y)对。在数据集存放的数据形式如 表2 所示。

3) 结果

利用筛选条件1和2，对256对不同的(b, c)对进行筛选，最终得到数据集。

读取的数据按隐藏位置分为三大类，分别是秘密图像、额外数据1和额外数据2。额外数据1和秘密数据2以下统称为秘密信息，简称为信息。

1) 秘密图像

秘密图像采用大小为W × H的二值图，其中W和H都为4的倍数。其数据隐藏在多项式的b、c系数中。将图像分成两部分，前W/2列数据用s₁表示，后W/2列数据用s₂表示。

2) 额外数据1

额外数据1存放用户信息，采用n张不同的大小为(W/4) × (H/2)的二值图。也可以使用完全相同的n张二值图。n张二值图分别用e_i表示，i取1，2，……，n。

3) 额外数据2

额外数据2存放版权信息，采用1张大小为(W/4) × (H/2)的二值图，用e'表示。

1) 对读取的数据进行处理

对二值图的数据按照从左往右、从上往下的顺序，选取相邻的4个比特数据作为d，如 图3 所示。相邻的4个比特用d_i表示，i取1，2，3，4。数据d与d₁、d₂、d₃和d₄转换公式如下公式(7)所示。

由公式(7)得到d的取值范围， $d\in \left[0,\text{15}\right]$。秘密图像s₁和s₂的数据利用公式(7)处理之后进行共享。

$d=d_4\times 2^3+d_3\times 2^2+d_2\times 2^1+d_1$(7)

2) 对秘密共享份额进行处理

秘密图像s₁和秘密图像s₂的大小相同，在使用公式(7)处理之后，将对应位置的数据当成一组数据，用g表示。g_i则表示第i组数据。例如s₁和s₂最开始的4个比特数据分别是(0001)₂、(0010)₂，则g₁= [1, 2]。

秘密共享采用二次多项式，结构如公式(4)所示。二次多项式根据当前的g_i确定。将当前正在进行共享的g_i的2个元素分别放在b、c的位置。确定了b、c，接着只需确定a的系数，就能得到所需的多项式。

额外信息2也即e'利用了二次项的系数隐藏数据。因此，a至少有两个，并且至少有一个 $a\in \left[\text{1},\text{6}\right]$和至少有一个 $a\in \left[\text{8},\text{16}\right]$。为了简化处理，这里只取两个a。两个范围分别取a₁和a₂。其中 $a_{\text{1}}\in \left[\text{1},\text{6}\right]$， $a_2\in \left[\text{8},\text{16}\right]$。a₁和a₂的产生过程相同。

a₁的选取需要满足1个条件，也即筛选条件2。从a₁的范围中选取一个值，二次多项式的系数a、b、c都已经确定。根据 $x\in \left[0,\text{15}\right]$，计算对应的y。对于y等于16的情况，直接舍弃。对于有效的(x, y)对，利用公式(6)转换成对应的z。统计所有z的bitCount (2.2节中有定义)。bitCount为奇数的个数和为偶数的个数都要大于等于n才满足要求。筛选出了合适的a₁之后，按照同样的步骤筛选出a₂。g_i的组合最多256种，对于每一种都进行类似的处理。将所有的情况的结果存放到数据集中。具体系数选取处理在第2节的数据集的筛选。

信息隐藏在秘密共享份额选取的同时进行。数据的隐藏位置如 图4 所示。

在共享秘密图像和隐藏额外数据时，需要先确定当前第i组的g_i，再获取到对应的e'，对应的e'为0，则 $a\in \left[\text{1},\text{6}\right]$，e'为1，则 $a\in \left[\text{8},\text{16}\right]$。对应e₁为0，则选取的(x, y)对的bitCount为偶数，对应e₁为0，则选取的x、y的bitCount为奇数。对应的 $e_{\text{2}},e_{\text{3}},\cdots ,e_n$操作与对e₁的操作一样。经过上述操作，可以得到n组(x, y)对。处理所有的g之后，可以得到n组的(x, y)对集合，将其保存到图像中，存放位置同g_i的位置相对应。最终得到n张大小为m × m的共享份额二值图像。 $e_{\text{1}},e_{\text{2}},\cdots ,e_n$分别隐藏在共享图像1，共享图像2，……，共享图像n中。

秘密图像的恢复过程，额外数据1的提取和额外数据2的提取过程都是相互独立。数据的提取均按照从左往右、从上往下的顺序提取。秘密信息和额外数据1恢复的框图如 图5 所示。

1) 秘密图像的恢复

任意选取t张共享图像恢复秘密图像。每一个秘密，需要t个(x, y)对才能恢复出来。对t张共享图像，对应位置依次取8比特数据，得到t个(x, y)对。利用拉格朗日多项式的公式，求出f(x)的表达式。利用一次项系数和常数项系数，恢复出s₁和s₂。s₁和s₂拼接恢复出s。

2) 额外数据1的提取

额外数据 $e_{\text{1}},e_{\text{2}},\cdots ,e_n$的恢复方式一致。以e₁的恢复为例，选取共享图像1，按照顺序提取8比特数据，统计1的个数。个数为奇数，则隐藏的数据为1；个数为偶数，则隐藏的数据为0。最后得到所有数据后，按照提取的顺序和位置得到一张大小为128 × 256的二值图。

3) 额外数据2的提取

任意选取t张共享图像，并在对应位置依次取8比特数据，得到t个(x, y)对。额外数据2的提取同样要用到拉格朗日多项式。利用t个(x, y)对之后得到f(x)。f(x)的二次项系数小于7，则隐藏的数据是0，大于7，则是1。最终按照提取顺序恢复，得到一张大小为(W/4) × (H/2)的二值图，如 图6 所示。

在Windows 11专业版系统上利用MATLAB R2020b进行实验。实验数据采用1张大小为512 × 512的二值图，5张大小为128 × 256的二值图。 图7(a) 采用1张大小为512 × 512的二值图作为秘密图像。 图7(b) 采用1张大小为128 × 256的二值图作为版权信息。 图8 采用4张大小为128 × 256的二值图作为用户信息。

图7. 秘密图像和版权信息

图8. 用户信息1~4

用一个例子说明秘密共享和信息隐藏的细节，如 图9 所示。秘密图像s₁部分隐藏0，秘密图像s₂隐藏0。用户1、2、3和4分别隐藏0、0、1和1。版权信息隐藏0。二次项的系数用于隐藏版权信息0，因此a需要小于7。一次项系数b和常数项c分别隐藏秘密图像的s₁、s₂，因此b和c都为0。根据秘密图像的s₁、s₂和版权信息，从2.2中筛选出的数据集中，选取一个满足条件的多项式 $y=x^{\text{2}}+0x+0$。根据二次多项式，就可以得到7个bitCount为奇数，7个bitCount为偶数的(x，y)对。用户1、2、3和4分别从偶数、偶数、奇数和奇数的选取x和y的共享份额隐藏信息。最后得到的共享份额1、2、3和4依次得到是(0000 0000)₂、(1010 1111)₂、(0101 1000)₂和(1110 1001)₂。对秘密图像，用户信息和版权信息的所有数据重复上述的操作，就可以得到4个大小一样的共享图像。

对于秘密图像的恢复，从共享的份额中任选3个。这里选取(0000 0000)₂、(1010 1111)₂和(0101 1000)₂三个份额。先利用公式(7)转换为(x, y)对，(0, 0)、(10, 15)和(5, 8)。再利用公式(2)恢复多项式 $y=x^{\text{2}}+0x+0$。接着从恢复的多项式根据隐藏的位置可以得到版权信息是0，秘密图像s₁和s₂是0、0。根据三个份额，计算出bitCount分别是偶数、偶数和奇数。因此，隐藏的数据分别是0、0和1。对共享份额的所有数据进行同样的操作，就能得到秘密图像、版权信息和用户信息。

图10 是秘密共享和信息隐藏之后生成的4张大小为512 × 512的共享图像。对于秘密图像的恢复和版权信息的提取只需要从 图10 中任选取3张共享图像进行恢复。 图11(a) 是通过 图10(a)~(c) 恢复出的秘密图像。 图11(b) 是通过图 10(a)~(c) 提取出的版权信息。而对于用户信息的提取，每一个用户需要对应的共享图像的信息才能提取。 图12(a)~(d) 分别是通过 图10(a)~(d) 提取出来的。

图10. 共享图像1~4

图11. 恢复出的秘密图像和版权信息

图12. 恢复出的用户信息1~4

信息嵌入率采用文献 [6] 定义的嵌入率(Embedding Rate，以下简称ER)，单位bpp (bit per pixel)。公式如下，其中k表示总的嵌入比特数(单位bit)，p表示总密文像素块数(单位pixel)，其中1个像素使用8比特存放。

$\text{ER}=\frac{k}{p}$(8)

根据公式(8)可以推得以下公式：

$\text{ER}=\frac{4\left(t-1\right)+1+n}{n}$(9)

以Shamir(3, 3)门限共享为例，t = 3，n = 3。计算出嵌入率ER为3。(t, n)共享方案嵌入率对比结果如 表3 所示，表格中文献 [7] - [9] 的数据使用文献 [9] 的对标准Lena灰度图数据。

结果表明，本文相较于文献 [7] 、文献 [8] 和文献 [11] ，嵌入率有了明显的提高。与文献 [9] 相比，基于(3, 5)门限共享方案，嵌入率已经高于文献 [9] 。文献 [9] 相对本文的嵌入率差距较大，是由于文献 [9] 需要单独存放一个标签(拉格朗日多项式中的x，也即公式(2)中的x)用于恢复数据，而本文无需单独存放。因此，本文相较于文献 [9] ，本文使用了一半的空间存放x，导致本文的嵌入率减半。本文提出的算法嵌入率在拥有的共享份额数量越多，嵌入率就越大。