【０００１】
【発明の属する技術分野】
本発明は、議員選挙等、各種の選挙に於ける有権者の受付、投票あるいは開票などの処理を、情報処理機器を用いて電子化処理する電子投票システムに係り、特に、自宅などの任意の場所からオンラインで投票することができるシステムであり、有権者確認と匿名性の確保の相反する問題を解決する電子投票システムに関する。
【０００２】
【従来の技術】
電子投票システムを現行の選挙に適用した場合、投票情報をオンラインで集めて、開票をコンピュータで処理できるため、現行選挙での投票用紙の輸送や手作業による集計を無くすことができ、開票時間の大幅な短縮が可能である。
【０００３】
電子投票システムを実現する方式は、以下の二つに大別できる。
１．投票所方式・・・有権者は投票所へ出向き、投票所に設置された投票端末で投票を行う。
２．ネットワーク方式・・・有権者は家庭等のパーソナルコンピュータなどからネットワークを通して投票を行う。
【０００４】
投票所方式は、天候によって投票率が変動するという従来の投票方式の持つ欠点が依然として解消されない。選挙は、有権者の総意の結果が反映されるのが望ましい。そのためには、できるだけ投票率を高くすることが要求される。しかし、投票日に気温が低かったり、雨がふったりすれば投票を棄権する有権者が多い。また、外出するのに都合の良い天気であっても、仕事の都合や行楽に出かける都合で投票所に行けない有権者も多い。
【０００５】
ネットワーク方式は、投票所方式の欠点を解消するものであり、有権者の利便性を向上させるものである。ネットワーク方式には、有権者がパーソナルコンピュータ、ＰＤＡなどの情報端末、および電話機を用いて投票する方法がある。このうち、パーソナルコンピュータやＰＤＡの普及率の低いことと、操作の難しいことからパーソナルコンピュータやＰＤＡによる方式は、多くの人が参加する選挙において現実的ではない。電話機は広く普及していることや操作が優しいことから考えて、電子投票を行うシステムに電話機を使用することが現実的である。本発明は、ネットワーク式の中でも電話機を用いて電子投票を行うシステムに関するものである。
【０００６】
【発明が解決しようとする課題】
電子投票において厳密性が求められる選挙などで利用する際には、以下の要求条件を満たすことが求められる。
１．匿名性の確保
（ａ）有権者のみによる投票でなければならない
（ｂ）他人の投票内容を知ることはできない
有権者であることを証明するためには、本人確認をしなければならない。同時に、有権者自身の思想、意思などのプライベートな情報を他人に対して知られたくないという要求があることから、投票に関しては匿名性の確保が必要である。しかし、有権者が投票する際、開票者が有権者の確認を行い、票の正当性を判断して開票を行い、その投票内容を集計結果に反映させる手順をとっているため、開票者は、直接有権者から票を受け取るので、有権者名と投票内容の対応を把握できてしまう。
【０００７】
この問題を解決するために、有権者と開票者の関係の中に第三者を加える方法が考案されている。例えば、有権者が投票を行う時、有権者であることを証明するデータと開票者の公開鍵で暗号化した投票内容を第三者に送る。第三者は送られてきたデータを見て有権者であることを証明する。ただし、第三者はその投票内容が暗号化されているため知ることができない。第三者は、有権者であることを証明したデータと有権者から送られてきた暗証化された投票内容を開票者へ送る。開票者は、第三者から有権者である証明と暗号化された投票内容を受け取り、開票者は自分の秘密鍵で暗号を解読し投票内容を知ることができる。しかし、投票者が有権者であることは確認できても、誰であるかを特定することはできない。
【０００８】
この方法は、有権者の証明と投票の匿名性を確保することができる。しかし、第三者が開票者の管理の下に置かれている場合、有権者と投票内容を対応させることは容易である。また、第三者が開票者から独立している場合、第三者として民間企業が想定されるが、それは利潤を追求しているため、利害関係のある候補者に有利な結果をもたらす可能性が生じる。いずれにしても、選挙主催者が匿名性を確保した方法であると宣言をしても、有権者から見れば疑問の残る方法である。
【０００９】
２・セキュリティーの確保
ネットワーク上での投票データは、選挙管理用のデータベースに蓄積される。ところが、このデータベース上の投票データがネットワークの侵入者に破壊されてしまうと、選挙のやり直しが何度でも必要になる。のみならず、破壊の事実を知らないで投票集計がされると、民意に反する者が議員に選出されてしまうことになる。このように、ごく少数のネットワークの侵入者によって選挙結果が左右されてしまう可能性があるのでは、すでに投票システムとしては失格である。
【００１０】
パーソナルコンピュータを端末装置とする投票システムでは、有権者側で投票データを暗号化するなどのデータの加工をすることができるので、セキュリティーの確保をすることに役立つ。しかし、その反面、データを加工することができると悪意を持った者が遠隔地から選挙管理用のコンピュータに不正にアクセスすることが可能になる。その結果、選挙管理用のコンピュータに侵入され、投票データを破壊されてしまう可能性が生じる。
【００１１】
３・情報操作の防止
すべての投票システムは、懇意的な情報操作がないことを前提に運営されている。現実世界では、ごく少数の人間だけで投票用紙の全部を一枚一枚書き換えることなど事実上不可能である。作業数の膨大さが情報操作を困難にしており、また、もし不正行為がなされても発覚しやすい状況を作り出していると言うこともできる。しかし、オンラインによる電子投票は、集中管理をしなければ機能しない。システムの管理者や侵入者は、プログラムの書き換えやデータの置換えによって、すべての投票データを自由自在に操ることができる。だから、もし、従来から提案されている方法でオンラインによる電子選挙が実現した社会では、民主的に正当な手続きに従って選出されたかのように国民に信じ込ませたままで、非常に単純な方法によって独裁者となることも不可能ではない。
【００１２】
パーソナルコンピュータを投票端末に使用することは、従来の技術のところで述べたように普及率が低いことと、操作が難しいことの他に、上で述べた３つの条件を満たすことは難しいことから現実的ではない。そこで本発明は、この点に鑑みてなされたもので、電話機による投票で、匿名性の確保、セキュリティの確保および情報操作の防止を行うことが可能な電子投票システムの提供を目的とする。
【００１３】
【課題を解決するための手段】
図１は、本発明の電子投票システムのネットワーク構成図である。交換機１０１と、交換機１０１に電話回線を介して接続された受付装置１０２と、交換機１０１に電話回線を介して接続された複数の投票装置１０５と、交換機１０１に電話回線を介して接続された複数の電話端末装置１０８とからなる。
【００１４】
交換機１０１は、転送電話手段１０７を有する。転送電話手段１０７は、有権者から受付装置１０２にかかった電話を受付装置１０２の依頼で投票装置１０５に転送する手段である。転送電話手段１０７は、空いている投票装置１０５を複数見つけランダムに選択した一つに電話を転送する。
【００１５】
図２に示す受付装置１０２は、受付手段１０３と、有権者名簿データベース１０４を有する。そして受付手段１０３は、音声指示手段２０１、信号検出手段２０４、検索手段２０７、投票許可判断手段２０６、投票情報書換手段２０８、転送電話要求手段２０２、さらに全体を制御する制御手段２０５を有する。音声指示手段２０１は、有権者に対して音声により投票の入力手順を指示する。信号検出手段２０４は、音声指示手段２０１の指示に従って電話端末装置１０８から電話回線を介して入力される有権者の有権者番号及び暗証番号を検出する。検索手段２０７は、信号検出手段２０４で検出された有権者番号及び暗証番号が、有権者名簿データベース１０４に記憶されているか否かを検索する。投票許可判断手段２０６は、検索手段２０７によって、入力された有権者番号及び暗証番号と一致する有権者番号２１２及び暗証番号２１３が有権者名簿データベース１０４から検索された場合に、有権者番号に対応して記憶されている投票情報（有権者の投票の有無２１５）から有権者が投票済みか否かを判断する。投票情報書換手段２０８は、投票を行った有権者の投票の有無２１５を「無」から「有」に書き換える。
【００１６】
図３に示す投票装置１０５は、音声指示手段３０１、信号検出手段３０３、集計データベース３０７、集計手段３０５、さらに全体を制御する制御手段３０４を有する。集計手段３０５は、信号検出手段３０３が有権者による特定の立候補者を指定する入力を検出した場合に、指定された立候補者の得票として集計データベース３０７に書き込む手段である。
【００１７】
従来、受付装置と投票装置を別にしても受付装置で本人確認をしてそのまま投票装置へ接続するため、故意に有権者名と投票内容を対応させようとすれば容易にできた。したがって、匿名性を確保していることを有権者に対して証明することが難しかった。しかし、この本発明のシステムを用いれば、受付手段から電話を転送するときに交換機がランダムに投票装置を選びだすため、受付手段と投票装置の対応が常に一定でない。したがって、有権者名と投票内容の対応が把握できないので匿名性が確保される。
【００１８】
選挙主催者が「受付装置と投票装置を分離し、投票内容は暗号化してあるため、匿名性が確保される」と宣言しても、有権者に生じる「簡単に投票者と投票内容の対応ができるのではないか。」という疑念を消すことはできない。
【００１９】
本発明のように電話局などの交換業務を行う第３者機関が匿名性を確保する部分に介在することで、有権者の匿名性の確保に対する理解が容易に得られる。
【００２０】
【発明の実施の形態】
以下、本発明の実施例を図面に従って説明する。
（実施の形態１）図１は、本発明の電子投票システムのネットワーク構成図である。交換機１０１には、電話回線を介して受付装置１０２と、電話回線を介して複数の投票装置１０５ａ、１０５ｂ、・・・と、電話回線を介して複数の電話端末装置１０８ａ、１０８ｂ、・・・が接続してネットワークを構成している。受付装置１０２に収容される回線の数より投票装置１０５を多く準備する。また、交換機１０１は、転送電話手段１０７を有している。
【００２１】
図２は、図１の中の受付装置１０２の詳細図、および、有権者名簿データベース１０４の構成図である。受付装置１０２は、受付手段１０３と有権者名簿データベース１０４を有する。受付手段１０３は、音声指示手段２０１、信号検出手段２０４、検索手段２０７、投票許可判断手段２０６、投票情報書換手段２０８、転送電話要求手段２０２、さらに全体を制御する制御手段２０５を有する。
【００２２】
有権者名簿データベース１０４には、有権者番号２１２と、暗証番号２１３、有権者名２１４、投票の有無２１５などが記憶されている。音声指示手段２０１は、有権者に対して音声により投票の入力手順を指示する。信号検出手段２０４は、音声指示手段２０１の指示に従って電話端末装置１０８から電話回線を介して入力される有権者の有権者番号及び暗証番号を検出する。検索手段２０７は、信号検出手段２０４で検出された有権者番号及び暗証番号が、有権者名簿データベース１０４に記憶されているか否かを検索する。投票許可判断手段２０６は、検索手段２０７によって、入力された有権者番号及び暗証番号と一致する有権者番号２１２及び暗証番号２１３が有権者名簿データベース１０４から検索された場合に、有権者番号に対応して記憶されている投票情報から有権者が投票済みか否かを判断する。投票情報書換手段２０８は、投票を行った有権者の投票の有無２１５を「無」から「有」に書き換える。
【００２３】
図３は、図１の中の投票装置１０５の詳細図、および、投票装置１０５の中の集計データベース３０７の構成図である。投票装置１０５は、音声指示手段３０１、信号検出手段３０３、集計データベース３０７、集計手段３０５、さらに全体を制御する制御手段３０４を有する。集計手段３０５は、信号検出手段３０３が有権者による特定の立候補者を指定する入力を検出した場合に、指定された立候補者の得票として集計データベース３０７に書き込む。集計データベース３０７の中の集計表３１０には、立候補者番号３１１、立候補者名３１２、累積得票数３１３などが記憶される。
【００２４】
次に、本発明の実施の形態１の動作の概要を、図４及び図５のフローチャートを参照して説明する。なお、動作の開始に先立って、選挙主催者は、あらかじめハガキ等により有権者に受付装置の電話番号と、有権者本人に割り振られた有権者番号と、暗証番号を通知しておく。有権者番号は、シリアル番号で有権者に割り振られるが、暗証番号はランダムに割り振られる。暗証番号は、あらかじめ割り振られる方法の他に、有権者が任意に設定しハガキ等で返信をする方法でもよい。選挙主催者から送られるハガキ等には、さらに、立候補者名とそれに対応する立候補者番号が記載され、有権者が電話で番号入力して立候補者を特定できるようにする。
【００２５】
有権者が受付装置１０２の電話番号をダイヤルする。受付装置１０２は、有権者番号の入力要求を音声によりアナウンスし（Ｓ４００）、発信者から有権者番号が入力されたなら（Ｓ４０１）、有権者名簿データベース１０４の有権者番号２１２と照合し（Ｓ４０２）、照合結果が一致するか否かを判断する（Ｓ４０３）。
【００２６】
ステップＳ４０３の判断で、有権者番号が一致した場合には、次に有権者名簿データベース１０４の投票の有無２１５を参照し（Ｓ４０４）、投票が済んでいるか否かを判断する（Ｓ４０５）。この判断で、投票が済んでいる場合は、投票できない旨のアナウンスを行う。
【００２７】
ステップＳ４０５の判断で、投票が済んでいないと判断された場合には、次に暗証番号の入力を要求するメッセージをアナウンスする（Ｓ４０６）。これに応じて、有権者から暗証番号が入力されたなら（Ｓ４０７）、入力された暗証番号を有権者名簿データベース１０４の暗証番号２１３と照合し（Ｓ４０８）、両者が一致するか否かを判断する（Ｓ４０９）。
【００２８】
ステップＳ４０９の判断で暗証番号が一致した場合には、投票の有無２１５を「無」から「有」にする（Ｓ４１０）。投票装置に電話を転送する旨のメッセージをアナウンスする（Ｓ５００）。転送電話要求手段２０２は、交換機１０１に対して転送要求を出力し（Ｓ５０１）、転送先を自動ダイヤルする。
【００２９】
交換機１０１では、転送要求を受けて転送電話手段１０７が転送を行う（Ｓ５０２）。ここで受付装置１０２に収容される電話回線の数よりも投票装置１０５を多く準備しておき、常に空いている投票装置１０５があるようにする。そして、受付が終了したらすぐに投票装置１０５に接続できるようにし、有権者を待たせないようにする。交換機１０１は、匿名性を確保する点から、空いている投票装置１０５にランダムに接続するようにして、受付手段１０３と投票装置１０５の組み合わせが一定にならないようにする。そのためにも、空いている投票装置１０５が常にあるようにする必要がある。
【００３０】
投票装置１０５は、転送電話と接続が確立したら、有権者に対して、票を入れようとする立候補者の番号を入力するように要求するメッセージをアナウンスする（Ｓ５０３）。有権者は、立候補者番号を入力する（Ｓ５０４）。ここで、各立候補者には、有権者が電話により特定の立候補者を選択できるようにそれぞれ立候補者番号が与えられており、有権者は、電話のダイヤル数字、あるいはプッシュホンのテンキーを操作して特定の立候補者番号を入力することで立候補者を選択するようにする。立候補者番号は、上述のように、あらかじめハガキ等で有権者に通知しておく。なお、有権者の有権者番号、暗証番号、候補者番号の入力を音声で行えるようにしてもよい。
【００３１】
立候補者番号の入力要求に応答して、有権者から立候補者番号が入力されたなら（Ｓ５０４）、入力された立候補者番号をメモリに一時記憶する（Ｓ５０５）。そして、投票内容の確認のために、入力された立候補者番号、立候補者名、確認ＯＫの場合には、たとえば「＃」キーを、確認ＮＧの場合には、たとえば「＊」キーを入力するように音声にて要求する（Ｓ５０６）。
【００３２】
これに応答して、有権者から確認のための入力操作が行われたなら（Ｓ５７）、操作されたキーが「＃」キーか、それとも「＊」キーかを判定する（Ｓ５０８）。
【００３３】
この判定で、「＊」キーの場合、すなわち有権者が確認ＮＧと応答した場合には、ステップＳ５０３にもどり立候補者番号を再び入力する。また、この判定で、「＃」キーが操作されたと判定された場合、すなわち有権者が確認ＯＫと応答した場合には、メモリに一時記憶してあった立候補者番号の立候補者の得票とし集計データベース３０７へ書き込む（Ｓ５０９）。これにより、集計データベース３０７の該当する立候補者の得票数が「１」加算される（Ｓ５０９）。
【００３４】
そして、投票装置１０５は、投票が完了した旨のアナウンスを有権者に対して行い（Ｓ５１０）、有権者がそのアナウンスに応じて電話を切って投票を終了する（Ｓ５１１）。
【００３５】
（実施の形態２）受付装置１０２へ接続する電話をフリーダイヤルサービス（発信者が通話料金を負担する代わりに、着信者が通話料金を負担するサービス）に設定しておく。有権者の通信費の負担がないため投票率の向上に貢献することができる。
【００３６】
（実施の形態３）実施の形態１で、投票装置１０５の電話番号は非公開であるから、不正に直接投票装置に電話をかけて投票することはできない。しかし、投票装置１０５の電話番号が選挙を主催する関係者以外の者に漏れた場合、悪意を持った者が、受付装置１０２を通さずに直接投票措置１０５に電話をかけて不正に投票を行うことができる可能性がある。
【００３７】
本実施の形態は、それを防止するために図３に示すように投票装置１０５に受付装置１０２の電話番号を収納した受付装置電話番号データベース３０８と検索手段３０６を加えた。さらに交換機１０１においては、図１に示すように、転送元の電話番号を転送先に送出する転送元電話番号出力手段１０９を加えた。
【００３８】
この実施の形態によれば、受付装置１０２から交換機１０１へ転送要求が出ると交換機１０１は、投票装置１０５へ電話を転送する際に、受付装置１０２の電話番号を投票装置１０５へ送る。投票装置１０５は、この信号を信号検出手段３０３で検出する。同一のものがあるか否か検索手段３０６により、受付装置電話番号データベース３０８の中から検索をする。その結果一致する電話番号がある場合、受付装置１０２で投票を許可された電話であるから、投票装置１０５は、電話を受けて投票処理を開始する。しかし、一致する電話番号がない場合、不正に呼び出しをしている電話であるから、投票装置１０５は回線を遮断する。これにより不正な投票を防止する。
【００３９】
（実施の形態４）選挙では、不正が行われていないかを監視することが必要である。本実施の形態はその点を考慮した。すなわち、図１に示すように交換機１０１に、電話の転送を行った数をカウントするための転送電話カウント手段１０６を設ける。
【００４０】
転送電話カウント手段１０６は、転送電話の数をカウントし、総カウント数を集計および表示する機能を有する。転送電話１回に対して、投票は１回行われるため、総転送電話回数と総投票数が一致することになる。したがって、投票時間が終了し集計を行うときに、転送電話カウント手段１０６によって得られた総カウント数と投票装置１０５の総投票数を照合して一致することを確認する。一致すれば、開票によるの水増しの不正がないことが証明される。
【００４１】
さらに転送電話カウント手段１０６に投票内容をモニターする機能を加える。立候補者番号をカウントし、開票が開始されてから選挙主催者の開票結果と照合すれば、選挙結果に不正な操作が行われていないことを証明することができる。
【００４２】
（実施の形態５）電話回線は、品質が保証されているので、投票途中で切れない。また、有権者は、投票を無事に済ませるつもりで電話をかけているので途中で電話を切らない。しかし、何らかの原因で電話回線が遮断したり、有権者が投票途中に、突然、来客があって急いで電話を切ったりすることがある。受付と投票には時間差があるため、この場合、受付は終了していても投票が終了していないことが起こる。有権者は、投票が済んでいないのであるから、しばらくして再び受付装置に電話をかける。しかし、受付装置では、受付がすでに済んでいるので投票が終了していることになっている。したがって、投票を許可しない旨のアナウンスをし、投票装置への転送は行わない。本実施の形態は、このような投票漏れを防止するために、図６に示す投票漏れ防止手段６００を加えた。
【００４３】
図６は、交換機に投票漏れ防止手段６００を有するもので、投票漏れ防止手段６００は、電話回線保留手段６０１と、完了信号検出手段６０４と、投票終了信号出力手段６０２と、応答信号出力手段６０５と、一時記憶信号検出手段６０６と、回線遮断手段６０３とからなる。
【００４４】
図７、図８は、動作を示すフローチャートである。有権者から投票のための電話がかかると受付装置１０２は、有権者番号を一時、メモリーに記憶し仮受付をする（Ｓ７０１）。この時点では、有権者名簿データーベース１０４の投票の有無２１５を「有」に書き換えないで「無」のままにしておく。続いて受付装置１０２は、転送電話要求を交換機１０１に出力する（Ｓ７０２）。交換機１０１は、転送電話手段１０７がこれを検出し、電話回線保留手段６０１に電話回線を保留にするように信号を出力する。電話回線保留手段６０１は、受付装置１０２の回線を遮断しないで保留にしておく（Ｓ７０３）。これは、後に投票装置１０５からの投票が終了したことを受付装置１０２に知らせるためである。
【００４５】
交換機１０１は、電話を投票装置１０５へ転送する（Ｓ７０４）。投票装置１０５は、電話の接続が確立後、有権者に立候補者の番号を入力してもらう。その番号を一時、メモリに記憶する（Ｓ７０５）。この時点では、集計データベース３０７には記憶しない。投票装置１０５の信号出力手段３０２より票を受け取ったことを示す信号を交換機に向けて出力する（Ｓ７０６）。投票漏れ防止手段６００の中の一時記憶信号検出手段６０６がそれを検出する（Ｓ７０７）。一時記憶信号検出手段６０６は、投票終了信号出力手段６０２に信号を出力する。それを受けて投票終了信号出力手段６０２は、受付装置１０２に対して信号を出力する（Ｓ７０８）。これは、投票装置が有権者からの票を受け取ったので投票が終了したことを受付装置１０２へ知らせるための信号出力である。受付装置１０２は、投票終了信号出力手段６０２からの信号を受けて、一時、メモリに記憶し保留にしていた有権者番号の投票の有無を「無」から「有」に書き換える（Ｓ８０１）。受付装置１０２は、交換機に対して受付と投票の処理が完了したことを知らせるために信号出力手段２０３により信号を出力する（Ｓ８０２）。それを完了信号検出手段６０４が検出し（Ｓ８０３）、回線遮断手段６０３へ信号を送る。回線遮断手段６０３は、投票終了信号出力手段６０２に停止信号を出す。それを受けて信号出力手段６０２は、受付装置１０２へ向けて出力していた信号を停止する。また、回線遮断手段６０３は、応答信号出力手段６０５に対しても信号の停止を命じる。そして、回線遮断手段６０３は、電話回線保留手段６０１に対して保留にしてた回線を遮断するように信号を出す。それを受けて電話回線保留手段６０１は、保留にしてた回線を遮断する（Ｓ８０４）。
【００４６】
一方、ステップＳ７０７で一時記憶信号を検出した後、応答信号出力手段６０５は、投票装置１０５に対して一時記憶信号を交換機が受け取ったことを知らせるために信号を出力する（Ｓ７０８）。応答信号出力手段６０５からの信号を検出した投票装置１０５は、一時的に記憶していた立候補者番号を集計データベース３０７に記憶する（Ｓ８０５）。有権者に対して投票が終了した旨のメッセージを送り、電話を切ることを促す（Ｓ８０６）。有権者が電話を切って投票が終了する（Ｓ８０７）。
【００４７】
たとえば、受付装置１０２で受付処理が終了し、投票装置１０５に電話を転送中に有権者が電話を切ってしまった場合は、投票がまだ済んでいない。本実施の形態によれば、その場合、投票装置１０５から投票終了の信号がまだ出ていないため、受付装置１０２は、有権者名簿データベース１０４の投票の有無２１５を書き換えていない。すなわち、「無」のままである。したがって、再び同じ有権者が受付装置１０２へ電話をかければ、投票の有無２１５を調べて投票がまだ済んでいないことがわかり投票が許可される。その電話は、投票装置１０５に転送され投票を行うことができる。
【００４８】
【発明の効果】
パーソナルコンピュータを用いた端末によりオンラインで投票を行う場合、選挙主催者側から匿名性を確保していると宣言されても有権者側から見ると容易に有権者と投票内容の対応がとる事ができるのではないかと言う疑念が生じていた。しかし、本発明の転送電話による電子投票システムでは、有権者の本人確認と投票が完全に分離されるので有権者の信頼を容易に得られる。
【００４９】
また、パーソナルコンピュータを用いた端末により、オンラインで投票を行う場合、パーソナルコンピュータは、データの加工が容易なことから、一部の悪意を持ったものに選挙管理用のコンピュータに侵入され投票データを書き換えられてしまう恐れがあった。その点、電話はデータの加工ができないので、選挙管理用コンピュータに侵入することができない。したがって、本発明の電子投票システムは、不正に投票データが書き換えられることがない。
【００５０】
電子投票システムは集中管理を行うことを前提としている。したがって、システムの管理者が不正を行えば容易に投票結果を操ることができる。本発明の投票システムでは、電話局側で転送電話の本数をカウントすることや、投票内容をモニターすることにより、投票結果に不正がないかどうかを監視する機能を持たせることができる。
【００５１】
よって、本発明によれば、選挙の効率を高めることや、投票率の増加に貢献するとともに、安全性や信頼性を確保できるという効果を奏する。
【図面の簡単な説明】
【図１】本発明のネットワーク構成図である。
【図２】本発明の受付装置のブロック図及び有権者名簿データベースの構成図である。
【図３】本発明の投票装置のブロック図及び集計データベースと受付装置電話番号データベースの構成図である。
【図４】実施の形態１の動作の概要を示すフローチャート（その１）である。
【図５】実施の形態１の動作の概要を示すフローチャート（その２）である。
【図６】実施の形態４の投票漏れ防止手段のブロック図である。
【図７】実施の形態４の動作の概要を示すフローチャート（その１）である。
【図８】実施の形熊４の動作の概要を示すフローチャート（その２）である。
【符号の説明】
１０１交換機、１０２受付装置、１０４有権者名簿データベース、１０５投票装置、１０７転送電話手段、１０８電話端末装置[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to an electronic voting system in which processing of accepting voters, voting or counting votes in various elections such as legislative elections is performed electronically using an information processing device, and in particular, at any place such as at home. This is an electronic voting system that allows users to vote online, and solves the conflicting issues of voting and ensuring anonymity.
[0002]
[Prior art]
If the electronic voting system is applied to the current election, voting information can be collected online and the ballot can be processed by computer, eliminating the need to transport ballot papers and manual tallying in the current election. Significant shortening is possible.
[0003]
Methods for implementing the electronic voting system can be broadly classified into the following two.
1. Polling place method: Voters go to a polling place and vote using a voting terminal installed at the polling place.
2. Network method: Voters vote from a personal computer at home or the like through a network.
[0004]
The polling place method still does not solve the disadvantage of the conventional voting method that the turnout rate fluctuates depending on the weather. Elections should reflect the consensus of voters. To that end, it is necessary to increase the turnout as much as possible. However, many voters abstain from voting if the temperature is low or the rain falls on the voting day. In addition, many voters cannot go to the polling place because of the convenience of work or going on vacation, even when the weather is convenient to go out.
[0005]
The network system eliminates the disadvantages of the polling place system and improves the convenience of voters. In the network system, there is a method in which voters use a personal computer, an information terminal such as a PDA, and a telephone to vote. Of these, the personal computer or PDA is not practical in elections involving many people because of the low penetration rate of personal computers and PDAs and the difficulty of operation. In view of the fact that telephones are widely used and easy to operate, it is realistic to use telephones in electronic voting systems. The present invention relates to a system in which electronic voting is performed by using a telephone among network types.
[0006]
[Problems to be solved by the invention]
In the case of using electronic voting in an election requiring strictness, the following requirements must be satisfied.
1. Ensuring anonymity
(A) Must be a vote by voters only
(B) You cannot know what other people have voted for
You must verify your identity to prove that you are a voter. At the same time, there is a demand that voters do not want to share private information, such as their own thoughts and intentions, with others, so it is necessary to ensure anonymity when voting. However, when a voter casts a vote, the voter confirms the voter, judges the legitimacy of the vote, counts the vote, and reflects the voting content in the counting result. Because we receive votes from voters, we can understand the correspondence between voters' names and voting details.
[0007]
To solve this problem, a method has been devised to add a third party to the relationship between voters and the voter. For example, when a voter makes a vote, the data that proves that he is a voter and the contents of the vote encrypted with the public key of the voter are sent to a third party. The third party verifies the voter by looking at the data sent. However, a third party cannot know because the contents of the vote are encrypted. The third party sends the data proving the voter and the encrypted voting contents sent from the voter to the voter. The voter receives a certificate of being a voter and the encrypted voting content from a third party, and the voter can decrypt the code using his own secret key and know the voting content. However, it is possible to confirm that the voter is a voter, but not to identify who the voter is.
[0008]
This method ensures the proof of the voter and the anonymity of the vote. However, if a third party is under the control of the voter, it is easy to associate the voter with the voting content. In addition, if a third party is independent of the voter, a private company is assumed as the third party, which pursues profit and may have a favorable effect on interested candidates. Occurs. In any case, even if the election organizer declares the method to be anonymous, it is a questionable one for voters.
[0009]
2. Security
Voting data on the network is stored in an election management database. However, if the voting data in this database is destroyed by network intruders, the election must be repeated. In addition, if votes are counted without knowing the fact of destruction, those who are against the will of the people will be elected as members of the Diet. The possibility that the election results could be influenced by a small number of network intruders is already disqualified as a voting system.
[0010]
In a voting system using a personal computer as a terminal device, voters can process data, such as encrypting voting data, which is useful for ensuring security. However, on the other hand, if the data can be processed, a malicious party can illegally access the election management computer from a remote location. As a result, there is a possibility that the voting data may be destroyed by invading the election management computer.
[0011]
3. Prevention of information manipulation
All voting systems are operated on the assumption that there is no friendly information manipulation. In the real world, it is virtually impossible to rewrite every ballot one by one with only a few people. It can be said that the enormous number of operations makes information manipulation difficult, and creates a situation that is easy to be found even if cheating is performed. However, online electronic voting does not work without centralized management. System administrators and intruders can freely manipulate all voting data by rewriting programs or replacing data. So, in a society where online e-elections have been realized in the traditionally proposed way, the dictatorship can be concluded in a very simple way, with the public believing that the people have been elected according to democratically legitimate procedures. It is not impossible to become.
[0012]
The use of a personal computer as a voting terminal is not practical because of the low penetration rate and the difficulty in operation as described in the background art, and the difficulty in satisfying the above three conditions. Not a target. The present invention has been made in view of this point, and an object of the present invention is to provide an electronic voting system capable of securing anonymity, securing security, and preventing information manipulation by voting with a telephone.
[0013]
[Means for Solving the Problems]
FIG. 1 is a network configuration diagram of the electronic voting system of the present invention. An exchange 101, a reception device 102 connected to the exchange 101 via a telephone line, a plurality of voting devices 105 connected to the exchange 101 via a telephone line, and a plurality of voting devices 105 connected to the exchange 101 via a telephone line. Telephone terminal device 108.
[0014]
The exchange 101 has a transfer telephone unit 107. The transfer telephone means 107 is means for transferring a telephone call from the voters to the receiving device 102 to the voting device 105 at the request of the receiving device 102. The transfer telephone means 107 finds a plurality of vacant voting devices 105 and transfers the call to a randomly selected one.
[0015]
The reception device 102 illustrated in FIG. 2 includes a reception unit 103 and a voter list database 104. The accepting unit 103 includes a voice instruction unit 201, a signal detecting unit 204, a searching unit 207, a voting permission determining unit 206, a voting information rewriting unit 208, a transfer telephone requesting unit 202, and a control unit 205 for controlling the whole. The voice instructing means 201 instructs a voter on a voting input procedure by voice. The signal detecting means 204 detects a voter's voter number and a password inputted from the telephone terminal device 108 via a telephone line in accordance with the instruction of the voice instruction means 201. The search means 207 searches whether the voter number and the password detected by the signal detection means 204 are stored in the voter list database 104 or not. The voting permission determination means 206 is stored corresponding to the voter number when the search means 207 searches the voter list database 104 for the voter number 212 and the password 213 that match the input voter number and the password. It is determined whether or not the voter has voted based on the vote information (whether the voter has voted 215). The voting information rewriting means 208 rewrites the presence or absence of voting 215 of the voter from "absence" to "existence".
[0016]
The voting apparatus 105 shown in FIG. 3 includes a voice instruction unit 301, a signal detection unit 303, a tally database 307, a tally unit 305, and a control unit 304 for controlling the whole. The tallying unit 305 is a unit that, when the signal detection unit 303 detects an input by the voter designating a specific candidate, writes the vote into the tallying database 307 as a vote of the designated candidate.
[0017]
Conventionally, even if the reception device and the voting device are separated, since the identification device is used by the reception device and the voting device is directly connected to the voting device, it is easy to intentionally associate the voter name with the voting content. Therefore, it was difficult to prove to voters that anonymity was secured. However, if the system of the present invention is used, the exchange selects a voting device at random when a call is transferred from the receiving means, so that the correspondence between the receiving means and the voting device is not always constant. Therefore, the correspondence between the voter's name and the contents of the vote cannot be grasped, so that anonymity is ensured.
[0018]
Even if the election organizer declares that "the reception device and the voting device are separated and the voting content is encrypted, anonymity is ensured," even if the voter "can easily respond to voting and voting content I can do that. "
[0019]
Since a third party organization such as a telephone office that performs exchange work intervenes in a portion for securing anonymity as in the present invention, voters can easily understand the securing of anonymity.
[0020]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
(Embodiment 1) FIG. 1 is a network configuration diagram of an electronic voting system of the present invention. The exchange 101 has a reception device 102 via a telephone line, a plurality of voting devices 105a, 105b,... Via a telephone line, and a plurality of telephone terminal devices 108a, 108b,. Are connected to form a network. More voting devices 105 are prepared than the number of lines accommodated in the receiving device 102. The exchange 101 has a transfer telephone unit 107.
[0021]
FIG. 2 is a detailed diagram of the reception apparatus 102 in FIG. 1 and a configuration diagram of the voter list database 104. The receiving device 102 includes a receiving unit 103 and a voter list database 104. The accepting unit 103 includes a voice instruction unit 201, a signal detecting unit 204, a searching unit 207, a voting permission determining unit 206, a voting information rewriting unit 208, a transfer telephone requesting unit 202, and a control unit 205 for controlling the whole.
[0022]
The voter list database 104 stores a voter number 212, a personal identification number 213, a voter name 214, the presence / absence of voting 215, and the like. The voice instructing means 201 instructs a voter on a voting input procedure by voice. The signal detecting means 204 detects a voter's voter number and a password inputted from the telephone terminal device 108 via a telephone line in accordance with the instruction of the voice instruction means 201. The search means 207 searches whether the voter number and the password detected by the signal detection means 204 are stored in the voter list database 104 or not. The voting permission determination means 206 is stored corresponding to the voter number when the search means 207 searches the voter list database 104 for the voter number 212 and the password 213 that match the input voter number and the password. It is determined from the voting information that the voter has voted. The voting information rewriting means 208 rewrites the presence or absence of voting 215 of the voter from "absence" to "existence".
[0023]
FIG. 3 is a detailed diagram of the voting device 105 in FIG. 1 and a configuration diagram of the aggregation database 307 in the voting device 105. The voting device 105 includes a voice instruction unit 301, a signal detection unit 303, a total database 307, a total unit 305, and a control unit 304 that controls the whole. The counting means 305 writes the votes of the designated candidates to the counting database 307 when the signal detecting means 303 detects the input by the voters to designate a particular candidate. The total table 310 in the total database 307 stores candidate numbers 311, candidate names 312, the cumulative number of votes 313, and the like.
[0024]
Next, an outline of the operation of the first embodiment of the present invention will be described with reference to the flowcharts of FIGS. Prior to the start of the operation, the election organizer notifies the voters of the telephone number of the accepting device, the voter numbers assigned to the voters themselves, and the password in advance by postcards or the like. Voter numbers are assigned to voters by serial number, but PIN numbers are randomly assigned. In addition to the method of assigning a password in advance, a method of arbitrarily setting by a voters and a method of replying with a postcard or the like may be used. A postcard or the like sent from the election organizer further describes the name of the candidate and the number of the candidate corresponding to the candidate, so that the voters can input the number by telephone to identify the candidate.
[0025]
The voter dials the telephone number of the reception device 102. The accepting device 102 announces the input request for the voter number by voice (S400). If the voter number is input from the caller (S401), the reception device 102 checks the request against the voter number 212 of the voter list database 104 (S402), and the matching result. Are determined (S403).
[0026]
If the voter numbers match in the determination of step S403, the voter list database 104 is referred to as to whether or not there is a vote 215 (S404), and it is determined whether or not the vote has been completed (S405). If the voting has been completed by this judgment, an announcement that the voting cannot be made is made.
[0027]
If it is determined in step S405 that voting has not been completed, a message requesting input of a personal identification number is announced next (S406). In response to this, when a password has been input from a voter (S407), the input password is collated with the password 213 of the voter list database 104 (S408), and it is determined whether or not both match. S409).
[0028]
If the passwords match in the judgment in step S409, the presence / absence of voting 215 is changed from "absence" to "existence" (S410). A message that the telephone is to be transferred to the voting device is announced (S500). The transfer telephone request means 202 outputs a transfer request to the exchange 101 (S501), and automatically dials the transfer destination.
[0029]
In the exchange 101, the transfer telephone means 107 performs the transfer in response to the transfer request (S502). Here, a larger number of voting devices 105 are prepared than the number of telephone lines accommodated in the reception device 102, and there is always a voting device 105 that is always available. Then, the connection to the voting device 105 is made immediately after the reception is completed, so that the voters are not made to wait. In order to ensure anonymity, the exchange 101 randomly connects to a vacant voting device 105 so that the combination of the receiving unit 103 and the voting device 105 does not become constant. For this purpose, it is necessary to always have an empty voting device 105.
[0030]
When the connection with the transfer telephone is established, the voting device 105 announces a message requesting the voters to input the number of the candidate for whom a vote is to be made (S503). The voter inputs the candidate number (S504). Here, each candidate is given a candidate number so that the voter can select a particular candidate by telephone, and the voter operates a dial number on the telephone or a numeric keypad of a touch-tone telephone to specify a specific candidate. A candidate is selected by inputting a candidate number. As described above, the candidate number is notified to the voters in advance by a postcard or the like. The voter number, password, and candidate number of the voters may be input by voice.
[0031]
In response to the request for input of the candidate number, if the candidate number is input from the voters (S504), the input candidate number is temporarily stored in the memory (S505). To confirm the contents of the voting, the inputted candidate number, the candidate name, and the confirmation OK are input, for example, the "#" key, and the confirmation NG, for example, the "*" key is input. (S506).
[0032]
In response to this, if an input operation for confirmation is performed by the voters (S57), it is determined whether the operated key is the "#" key or the "*" key (S508).
[0033]
In this determination, in the case of the "*" key, that is, when the voter responds with confirmation NG, the process returns to step S503 and the candidate number is again input. If it is determined in this determination that the "#" key has been operated, that is, if the voters responded with a confirmation OK, the vote of the candidate with the candidate number temporarily stored in the memory is counted. 307 is written (S509). As a result, the number of votes of the corresponding candidate in the tallying database 307 is incremented by "1" (S509).
[0034]
Then, the voting device 105 gives an announcement to the voters that the voting is completed (S510), and the voters hang up the telephone according to the announcement and end the voting (S511).
[0035]
(Embodiment 2) A telephone connected to the reception apparatus 102 is set to a free dial service (a service in which a callee pays a call fee instead of a caller paying a call fee). Since there is no burden on voters for communication costs, it can contribute to improving voting rates.
[0036]
(Embodiment 3) In Embodiment 1, since the telephone number of the voting device 105 is private, it is not possible to illegally call the voting device directly and vote. However, if the telephone number of the voting device 105 is leaked to a person other than the party hosting the election, a malicious party can directly call the voting measure 105 without passing through the reception device 102 and illegally vote. Could be done.
[0037]
In this embodiment, in order to prevent this, as shown in FIG. 3, a voting device 105 is provided with a receiving device telephone number database 308 storing the telephone number of the receiving device 102 and a search means 306. Further, in the exchange 101, as shown in FIG. 1, a source telephone number output means 109 for sending a source telephone number to a destination is added.
[0038]
According to this embodiment, when a transfer request is issued from reception apparatus 102 to exchange 101, exchange 101 transmits the telephone number of reception apparatus 102 to voting apparatus 105 when transferring the telephone to voting apparatus 105. The voting device 105 detects this signal with the signal detection unit 303. The search unit 306 searches the reception apparatus telephone number database 308 to determine whether there is the same one. As a result, if there is a matching telephone number, the voting apparatus 105 receives the telephone call and starts the voting process because the telephone has been permitted to vote by the reception apparatus 102. However, when there is no matching telephone number, the voting apparatus 105 cuts off the line because the telephone is calling illegally. This prevents fraudulent voting.
[0039]
(Embodiment 4) In an election, it is necessary to monitor whether or not fraud has taken place. This embodiment takes this point into consideration. That is, as shown in FIG. 1, the exchange 101 is provided with a transfer telephone counting means 106 for counting the number of transferred telephones.
[0040]
The transfer telephone counting means 106 has a function of counting the number of transfer telephones, totaling and displaying the total count. Since one voting is performed for one transfer phone call, the total number of transfer phone calls and the total number of votes match. Therefore, when the voting time is over and the counting is performed, the total count obtained by the transfer telephone counting means 106 is compared with the total voting number of the voting device 105 to confirm that they match. If they match, it proves that there is no fraudulent inflating due to counting.
[0041]
Further, a function of monitoring the contents of voting is added to the transfer telephone counting means 106. If the candidate number is counted and collated with the election organizer's count result after the counting is started, it can be proved that no illegal operation has been performed on the election result.
[0042]
(Embodiment 5) Since the quality of a telephone line is guaranteed, it cannot be cut off during voting. Also, the voters do not hang up on the way because they are calling to complete the vote safely. However, for some reason, the telephone line may be cut off, or voters may suddenly hang up due to a visitor while voting. Since there is a time difference between the reception and the voting, in this case, the reception may be completed but the voting may not be completed. Since the vote has not been completed, the voter calls the reception device again after a while. However, in the reception device, the voting has been completed because the reception has already been completed. Therefore, an announcement to the effect that voting is not permitted is made, and transfer to the voting device is not performed. In the present embodiment, a voting omission prevention means 600 shown in FIG. 6 is added in order to prevent such voting omission.
[0043]
FIG. 6 shows an exchange having voting omission prevention means 600. The voting omission prevention means 600 includes a telephone line holding means 601, a completion signal detection means 604, a voting end signal output means 602, and a response signal output means 605. And temporary storage signal detection means 606 and line cutoff means 603.
[0044]
7 and 8 are flowcharts showing the operation. When a vote is received from a voter, the accepting device 102 temporarily stores the voter number in a memory and temporarily accepts it (S701). At this time, the presence / absence of voting 215 in the voter list database 104 is not rewritten to “Yes” and is left as “No”. Subsequently, the receiving device 102 outputs a transfer telephone request to the exchange 101 (S702). In the exchange 101, the transfer telephone means 107 detects this, and outputs a signal to the telephone line holding means 601 to hold the telephone line. The telephone line holding unit 601 holds the line of the reception apparatus 102 without interrupting the line (S703). This is to inform the accepting device 102 that the voting from the voting device 105 has been completed later.
[0045]
The exchange 101 transfers the telephone to the voting device 105 (S704). After the telephone connection is established, the voting device 105 asks the voters to input the number of the candidate. The number is temporarily stored in the memory (S705). At this point, it is not stored in the tallying database 307. A signal indicating that the vote has been received from the signal output means 302 of the voting apparatus 105 is output to the exchange (S706). The temporary storage signal detection means 606 in the vote omission prevention means 600 detects this (S707). The temporary storage signal detection means 606 outputs a signal to the voting end signal output means 602. In response, the voting end signal output means 602 outputs a signal to the accepting device 102 (S708). This is a signal output for notifying the accepting device 102 that the voting has been completed because the voting device has received the vote from the voters. Receiving device 102 receives the signal from voting end signal output means 602, and rewrites the presence or absence of the voter number temporarily stored in the memory and held from "absence" to "existence" (S801). The accepting device 102 outputs a signal from the signal output means 203 to notify the exchange that the accepting and voting processes have been completed (S802). The completion signal detecting means 604 detects this (S803), and sends a signal to the line disconnecting means 603. The line blocking unit 603 issues a stop signal to the voting end signal output unit 602. In response, the signal output unit 602 stops the signal output to the receiving device 102. Further, the line cutoff unit 603 also instructs the response signal output unit 605 to stop the signal. Then, the line cutoff unit 603 sends a signal to the telephone line holding unit 601 so as to cut off the held line. In response to this, the telephone line holding means 601 cuts off the held line (S804).
[0046]
On the other hand, after detecting the temporary storage signal in step S707, the response signal output means 605 outputs a signal to the voting apparatus 105 to inform the exchange that the temporary storage signal has been received (S708). The voting device 105 that has detected the signal from the response signal output unit 605 stores the temporarily stored candidate number in the total database 307 (S805). A message to the effect that the voting has been completed is sent to the voters to urge them to hang up (S806). The voter ends the call and the voting is completed (S807).
[0047]
For example, when the reception processing is completed in the reception apparatus 102 and the voter hangs up while the telephone is being transferred to the voting apparatus 105, the voting has not been completed yet. According to the present embodiment, in this case, since the signal of voting end has not yet been output from the voting device 105, the accepting device 102 has not rewritten the presence or absence of voting 215 in the voter list database 104. That is, it remains “absent”. Therefore, if the same voter calls the reception apparatus 102 again, the presence / absence of voting is checked to find out that voting has not yet been completed, and voting is permitted. The call is forwarded to the voting device 105 for voting.
[0048]
【The invention's effect】
When voting online with a personal computer terminal, even if the election organizer declares that anonymity is secured, it is easy for voters to see the voting content with the voters. Doubts had arisen. However, in the electronic voting system using the transfer telephone according to the present invention, since the identity of the voters and the voting are completely separated, the trust of the voters can be easily obtained.
[0049]
In addition, when voting online using a personal computer-based terminal, the personal computer can easily process the data. There was a risk of being rewritten. On the other hand, the telephone cannot process the data, and thus cannot enter the election management computer. Therefore, the electronic voting system of the present invention does not illegally rewrite voting data.
[0050]
The electronic voting system is premised on centralized management. Therefore, the voting result can be easily manipulated if the system administrator cheats. The voting system of the present invention can have a function of monitoring the voting result for impropriety by counting the number of transferred telephones at the central office and monitoring the contents of the voting.
[0051]
Therefore, according to the present invention, it is possible to improve the efficiency of the election, contribute to the increase in the turnout rate, and secure the security and reliability.
[Brief description of the drawings]
FIG. 1 is a network configuration diagram of the present invention.
FIG. 2 is a block diagram of a reception device of the present invention and a configuration diagram of a voter list database.
FIG. 3 is a block diagram of a voting apparatus of the present invention, and a configuration diagram of a total database and a reception apparatus telephone number database.
FIG. 4 is a flowchart (part 1) showing an outline of the operation of the first embodiment.
FIG. 5 is a flowchart (2) showing an outline of the operation of the first embodiment.
FIG. 6 is a block diagram of a vote omission preventing unit according to a fourth embodiment.
FIG. 7 is a flowchart (1) showing an outline of the operation of the fourth embodiment.
FIG. 8 is a flowchart (part 2) illustrating an outline of the operation of the embodiment bearer 4;
[Explanation of symbols]
101 exchange, 102 receiving device, 104 voter list database, 105 voting device, 107 transfer telephone means, 108 telephone terminal device
