JP2011091864A - 匿名電子投票システム及び匿名電子投票方法 - Google Patents

Abstract

【課題】携帯電話などの記憶容量や処理能力の低い機器からの投票でも投票の秘密が守られ、また、全有権者に共通の公開鍵認証基盤が存在しない場合でも有権者認証が可能な匿名投票システムを提供する。
【解決手段】投票サーバ（２００）は、平文と平文を暗号化した暗号化投票データとの組のリストを投票者端末（１００）に送信し、投票者端末（１００）は投票者の選んだ平文に対応する暗号化候補者名を暗号サーバ（４００）に送信する。投票者端末（１００）は、暗号サーバ（４００）から受信した、暗号化候補者名を再度暗号化した暗号化投票データを投票サーバ（２００）に送信する。暗号化投票データの復号には匿名復号システム（５００）を用いる。投票者端末（１００）は認証サーバ（３００）に対して投票者の認証を行ない、また、暗号化投票データには認証サーバ（３００）が共通の公開鍵認証基盤によるデジタル署名を付与する。
【選択図】図１

Description

本発明は、匿名電子投票システム及び方法に関し、更に詳しくは、多様なクライアント環境から利用可能な匿名電子投票システム及び匿名電子投票方法に関する。

匿名電子投票システムは、例えばネットワークなどを介して無記名の秘密投票を電子的に実現するシステムであり、従来の匿名電子投票システムの一例が、特許文献１や非特許文献１に記載されている。なお、以下の説明において、投票には、予め定められている候補者から選挙を行うための投票のみならず、自由記述を許すアンケートなども含まれるものとする。また、候補者や候補者名は、単に選挙における候補者や候補者名を指すものではなく、ある集合から投票者の意思によってある要素あるいは項目を選択する場合のその要素（項目）や要素（項目）名をも含むものである。

図２８に示すように、従来の匿名電子投票システムは、窓口センタ９０１と複数の復号シャッフルセンタ９０２とからなる匿名復号システム９００と、各投票者がアクセスすることとなる投票管理センタ（投票サーバ）９１０と、から構成されている。匿名復号システム９００は、投票の秘密を守るために設けられており、投票者と暗号化投票データとの対応を秘匿して復号結果を出力するために用いられている。

上記構成を有する従来の匿名電子投票システムは、次のように動作する。

まず、窓口センタ９０１と復号シャッフルセンタ９０２は、投票用の暗号化鍵などのシステムの公開情報を生成して投票管理センタ９１０に送信し、投票管理センタ９１０は、各投票者にその公開情報を通知する。

投票期間が始まると各投票者は、公開情報に基づいて自分の投票内容を暗号化して暗号投票文を作成し、その暗号投票文に対して投票者のデジタル署名を生成し、暗号投票文とデジタル署名とを投票管理センタ９１０に送信する。その際、各投票者は、典型的には、自己のクライアント端末において暗号投票文やデジタル署名を作成し、各種のネットワークを介して自己のクライアント端末から投票管理センタ９１０に対して暗号投票文とデジタル署名とを投票管理センタ９１０に送信する。投票管理センタ９１０は、受信したデジタル署名を検証し、有権者名簿をもとに投票者の投票権を確認し、重複投票がないことを確認した後、受信した暗号投票文を受け付ける。

投票期間が終わると、投票管理センタ９１０は、投票の受け付けを終了し、投票開始から終了までに受け付けた暗号投票文のリストを匿名復号システム９００の窓口センタ９０１に送付する。窓口センタ９０１は、復号シャッフルセンタ９０２を介して暗号投票文のリストを復号し、リストの順序を入れ替えることで平文の投票文のリストを得、平文の投票文のリストを投票管理センタ９１０に返送する。

投票管理センタ９１０は、窓口センタ９０１から受け取った平文の投票文のリストにより、投票結果の集計を行なう。

特開２００２−２３７８１０号公報 特開２００１−２５１２８９号公報 特開２００２−３４４４４５号公報

佐古 和恵、外６名、"シャッフリングによる大規模電子投票システムの実現"、情報処理学会第６２回全国大会、２００１年３月

従来の匿名電子投票システムでは、投票者が使用するクライアント端末が携帯電話機のような記憶容量や処理能力の乏しい機器である場合には、投票の秘密が守られた投票が難しい、という問題点がある。その理由は、従来の匿名電子投票システムで投票者が行なう暗号化処理プログラムは、記憶容量や処理能力の乏しい機器には実装するのが難しく、一方、他の機器に投票内容を送って暗号化処理を行なうこととすると、暗号化処理を行なう機器には投票内容がわかってしまうからである。

また、従来の匿名電子投票システムでは、広く一般の人を有権者とするような投票（例えば公職選挙）において、有権者の認証が困難であり、非有権者の投票や重複投票を防止することが難しい、という問題点もある。その理由は、従来の匿名電子投票システムでは、有権者の認証に利用するデジタル署名において、すべての投票者が共通の公開鍵認証基盤に登録されていることを前提としているが、現在、一般にはそのような基盤が普及していないためである。

そこで本発明の第１の目的は、携帯電話機などの記憶容量や処理能力の小さい機器からも投票の秘密を守りつつ投票を行なえる電子投票システム及び匿名電子投票方法を提供することである。

本発明の第２の目的は、すべての有権者が共通の公開鍵認証基盤に登録されているような条件が整備されていない場合であっても、有権者認証の行なえる匿名電子投票システム及び匿名電子投票方法を提供することである。

本発明は、第１の視点において、候補者名と暗号化候補者名との組合わせをリストとして含むデータを受信して、選択された候補者の前記暗号化候補者名をネットワーク経由で送信する投票者端末と、
前記暗号化候補者名を受信し再度暗号化して暗号化投票データを作成し、該暗号化投票データを、前記暗号化候補者名を送信した当該投票者端末に前記ネットワーク経由で返信する少なくとも１つの暗号サーバと、
前記投票者端末から暗号化投票データを受信し、該受信した暗号化投票データの内で有効な暗号化投票データのリストを作成し、該作成したリストを前記ネットワーク経由で送信する投票サーバと、
前記投票サーバから受信した前記有効な暗号化投票データのリストを復号し、該リストの順序を入れ換えた平文の候補者名リストを前記ネットワーク経由で送信する復号サーバとを備え、
前記投票サーバは、前記復号サーバから前記平文の候補者名リストを受信し、該受信した候補者名リストに基づいて投票結果を集計することを特徴とする電子投票システムを提供する。

本発明の第１の視点に係る匿名電子投票システムの好ましい態様では、投票サーバは復号サーバ（匿名復号システム）と接続され、投票サーバには暗号化手段を備え、暗号化手段をもたない投票者端末は暗号サーバと接続されており、共通基盤署名生成手段をもたない投票者端末は認証サーバと接続される。暗号サーバには再暗号化手段を備え、認証サーバにはＩＤ連携手段と共通基盤署名生成手段を備える。

上記構成において、投票サーバは暗号化手段をもたない投票者端末に対しては平文の候補者名と暗号化された候補者名の組を送信し、暗号化手段をもたない投票者端末は、投票者の選んだ候補者名に対応する、暗号化された候補者名を、暗号サーバを介して再度暗号化してから投票サーバに送信し、投票サーバは、受信したすべての暗号データを匿名復号システムにより復号する。これにより、本発明の第１の目的を達成することができる。

また、共通基盤署名生成手段をもたない投票者端末は、認証サーバと通信を行なって組織内での個人認証を行ない、認証サーバは組織内に閉じた投票者ＩＤをＩＤ連携手段により共通基盤におけるＩＤに変換し、このＩＤと投票データの組に認証サーバの共通基盤デジタル署名を付与して投票サーバに送信する。このように、既存の認証基盤を利用して個人認証を行なったことを認証サーバのデジタル署名により証明することで、本発明の第２の目的を達成することができる。

本発明は、第２の視点において、ネットワークに接続された投票者端末と、
公開情報から前記投票者端末毎に第１暗号化パラメータを生成する第１データ変換手段を有し、前記第１暗号パラメータを前記投票者端末に送信する第１の暗号サーバと、
前記公開情報から前記投票者端末毎に第２暗号化パラメータを生成する第２データ変換手段を有し、前記第２暗号化パラメータを前記投票者端末に送信する第２の暗号サーバと、
前記投票者端末から暗号化投票データを受信し、該受信した暗号化投票データの内で有効な暗号化投票データのリストを作成し、該作成したリストを前記ネットワーク経由で送信する投票サーバと、
前記投票サーバから受信した前記有効な暗号化投票データのリストを復号し、該リストの順序を入れ換えた平文の候補者名リストを生成し、前記ネットワーク経由で送信する復号サーバとを備え、
前記投票サーバは、前記復号サーバから前記平文の候補者名リストを受信し、該受信した候補者名リストに基づいて投票結果を集計し、
前記投票者端末は、投票内容を前記第１及び第２暗号化パラメータに基づいて暗号化して暗号化投票データを生成する暗号化手段を有し、該暗号化投票データを前記投票サーバに送信することを特徴とする匿名電子投票システムを提供する。

上記本発明の第２の視点に係る匿名電子投票システムの好ましい態様では、投票サーバが、第１の視点の匿名電子投票システムにおける暗号化手段にかえて第１の変換手段を備え、第１の視点の匿名電子投票システムにおける暗号サーバの再暗号化手段にかえて第２の変換手段を備え、投票者端末が暗号化手段（暗号データ作成手段）を備える。

上記好ましい態様の第２の視点に係る匿名電子投票システムでは、投票サーバは、第１の変換手段により投票内容の暗号化処理に必要な演算の一部を行なってその結果である暗号パラメータを投票者端末へ送信し、暗号サーバも同様に第２の変換手段により投票内容の暗号化処理に必要な演算の一部を行なってその結果である暗号パラメータを投票者端末へ送信し、投票者端末では投票内容とともに、投票サーバから受信した第１の変換結果と暗号サーバから受信した第２の変換結果とを暗号データ作成手段に入力して暗号化投票データを作成することで、本発明の第１の目的を達成することができる。

本発明の匿名電子投票システムは、記憶容量や処理能力の小さい機器からも電子投票を行なえる、という効果を有する。その理由は、暗号化処理のすべて、もしくは、暗号化処理のうちで計算量の多い変換処理を、投票者端末で行なう必要がないからである。

また本発明の匿名電子投票システムは、記憶容量や処理能力の小さい機器を使って電子投票を行なっても、投票の秘密を守ることができる、という効果を有する。その理由は、暗号化投票データの復号は復号サーバによって行なわれるため、すべての暗号化投票データが復号されても、どの投票者の暗号化投票データがどの平文に対応するかがわからないことと、投票内容の平文は投票サーバと暗号サーバの両方の処理により暗号化され、投票サーバや暗号サーバは、単独では投票された暗号化投票データを復号できないからである。

さらに本発明の好ましい態様のの匿名電子投票システムは、すべての有権者が共通の公開鍵認証基盤に登録されているような条件が整備されていなくても、不正投票を防止しつつ投票を行なえる、という効果を有する。その理由は、組織内に限られた認証手段しかもたない有権者を認証サーバが認証し、その投票データに認証サーバのデジタル署名を付与することで、認証サーバによる投票者の認証が行なわれているデータであることを確認できるからである。

本発明の第１の発明形態の匿名電子投票システムの構成を示すブロック図である。 第１の実施形態における初期設定の動作を示すフローチャートである。 第１の実施形態における投票者端末１００の動作を示すフローチャートである。 第１の実施形態における投票者端末１１０の動作を示すフローチャートである。 第１の実施形態における投票者端末１２０の動作を示すフローチャートである。 第１の実施形態における投票者端末１３０の動作を示すフローチャートである。 第１の実施形態における投票者端末１４０の動作を示すフローチャートである。 第１の実施形態における投票者端末１５０の動作を示すフローチャートである。 第１の実施形態における投票サーバ２００の動作を示すフローチャートである。 本発明の第２の実施形態の匿名電子投票システムの構成を示すブロック図である。 第２の実施形態における投票者端末１００の動作を示すフローチャートである。 第２の実施形態における投票者端末１１０の動作を示すフローチャートである。 第２の実施形態における投票者端末１４０の動作を示すフローチャートである。 第２の実施形態における投票サーバ２００の動作を示すフローチャートである。 本発明の第３の実施形態の匿名電子投票システムの構成を示すブロック図である。 第３の実施形態における投票者端末１００の動作を示すフローチャートである。 第３の実施形態における投票者端末１１０の動作を示すフローチャートである。 第３の実施形態における投票者端末１４０の動作を示すフローチャートである。 第３の実施形態における暗号検証サーバ６００の動作を示すフローチャートである。 本発明の第４の実施形態の構成を示すブロック図である。 第４の実施形態における投票者端末１００の動作を示すフローチャートである。 第４の実施形態における投票者端末１１０の動作を示すフローチャートである。 第４の実施形態における投票者端末１４０の動作を示すフローチャートである。 本発明の第５の実施形態の構成を示すブロック図である。 第５の実施形態における投票者端末１００の動作を示すフローチャートである。 第５の実施形態における投票者端末１１０の動作を示すフローチャートである。 第５の実施形態における投票者端末１４０の動作を示すフローチャートである。 従来の匿名電子投票システムの構成を示すブロック図である。

次に、本発明の好ましい実施の形態について、図面を参照して詳細に説明する。

《第１の実施形態》
図１は、本発明の第１の実施形態の匿名電子投票システムの構成を示している。この匿名電子投票システムは、それぞれ構成要素や処理能力などが異なっている投票者端末１００，１１０，１２０，１３０，１４０，１５０と、投票センタ（投票サーバ）２００と、認証サーバ３００と、暗号サーバ４００，４１０，４４０と、匿名復号システム５００とから構成される。暗号サーバ４００，４１０，４４０は、それぞれ、投票者端末１００，１１０，１４０と接続している。後述する説明から明らかなように、投票者端末１００，１１０，１２０，１３０，１４０，１５０からの投票センタ２００への接続形態は多様であり、あるものは投票センタ２００に直接接続し、別のものは認証サーバ３００を介して投票センタ２００に接続し、また別のものは、直接接続と認証サーバ３００を介した接続とを併用している。ここでは簡単のため図示を省略するが、投票者端末１００，１１０，１２０，１３０，１４０，１５０は、それぞれ、複数存在してもかまわない。また、投票者端末ひとつにつきひとつの暗号サーバが接続される構成としてもよいし、いくつかの投票者端末がひとつの暗号サーバと接続される構成としてもよい。また、暗号サーバと認証サーバとが同一のサーバ上で動作することも可能である。

まず、各投票者端末１００，１１０，１２０，１３０，１４０，１５０の構成について説明する。

投票者端末１００は、ディスプレイなどの表示装置１０１と、ボタンやキーボードなどの入力装置１０２と、機器側認証手段１０３とを備え、投票サーバ２００、認証サーバ３００、暗号サーバ４００と通信回線などにより接続されている。

投票者端末１１０は、ディスプレイなどの表示装置１１１と、ボタンやキーボードなどの入力装置１１２と、組織内基盤署名生成手段１１３とを備え、投票サーバ２００、認証サーバ３００、暗号サーバ４１０と通信回線などにより接続されている。

投票者端末１２０は、ディスプレイなどの表示装置１２１と、ボタンやキーボードなどの入力装置１２２と、機器側認証手段１２３と、暗号化手段１２４とを備え、投票サーバ２００、認証サーバ３００と通信回線などにより接続されている。

投票者端末１３０は、ディスプレイなどの表示装置１３１と、ボタンやキーボードなどの入力装置１３２と、組織内基盤署名生成手段１３３と、暗号化手段１３４とを備え、投票サーバ２００、認証サーバ３００と通信回線などにより接続されている。

投票者端末１４０は、ディスプレイなどの表示装置１４１と、ボタンやキーボードなどの入力装置１４２と、共通基盤署名生成手段１４３とを備え、投票サーバ２００、暗号サーバ４４０と通信回線などにより接続されている。

投票者端末１５０は、ディスプレイなどの表示装置１５１と、ボタンやキーボードなどの入力装置１５２と、共通基盤署名生成手段１５３と、暗号化手段１５４とを備え、投票サーバ２００と通信回線などにより接続されている。

投票サーバ２００は、有権者名簿データベース２０１と、共通基盤署名検証手段２０２と、暗号化手段２０３と、ハードディスクドライブなどの記録装置２０４とを備え、投票者端末１００，１１０，１２０，１３０，１４０，１５０及び認証サーバ３００と通信回線などにより接続されている。

認証サーバ３００は、サーバ側認証手段３０１と、組織内基盤署名検証手段３０２と、共通基盤署名生成手段３０３と、ＩＤ連携手段３０４とを備えている。

暗号サーバ４００，４１０，４４０は、それぞれ再暗号化手段４０１，４１１，４４１を備えている。

投票者端末１００，１２０の機器側認証手段１０３，１２３は、認証サーバ３００のサーバ側認証手段３０１と通信を行ない、投票者端末を操作している投票者の識別子がＩＤｊであることの認証を受けるとともに、このサーバ側認証手段３０１と通信を行ない、投票者端末１００，１２０を操作している投票者ｊの識別子ＩＤｊを認証サーバ３００に通知する。

投票者端末１２０，１３０，１４０，１５０と投票サーバ２００とにそれぞれ設けられた暗号化手段１２４，１３４，１４４，１５４，２０３は、暗号化公開鍵Ｙと平文投票データｖを入力とし、Ｙによりｖを暗号化した暗号化投票データＥ（ｖ）を出力する。

暗号サーバ４００，４１０，４４０の再暗号化手段４０１，４１１，４４１は、いずれも、暗号化公開鍵Ｙと暗号化投票データＥ（ｖ）を入力とし、ＹによりＥ（ｖ）を再度暗号化した暗号化投票データＥ’（ｖ）を出力する。

投票者端末１１０，１３０の組織内署名生成手段１１３，１３３は、暗号化投票データＥ（ｖｊ）と投票者ｊの組織内識別子ＩＩＤｊと署名用秘密鍵ｄｊとを入力とし、データ（Ｅ（ｖｊ），ＩＩＤｊ）に対する投票者ｊの組織内向けデジタル署名Ｓｅｊを出力する。

認証サーバ３００の組織内署名検証手段３０２は、暗号化投票データＥ（ｖｊ）と組織内識別子ＩＩＤｊと組織内向けデジタル署名Ｓｅｊと検証用公開鍵Ｐｊとを入力とし、Ｓｅｊがデータ（Ｅ（ｖｊ），ＩＩＤｊ）に対して署名用秘密鍵ｄｊにより正しく計算されたものかどうかを判定する。

投票者端末１４０，１５０の共通基盤署名生成手段１４３，１５３は、暗号化投票データＥ（ｖｊ）と投票者ｊの共通識別子ＣＩＤｊと署名用秘密鍵ｄｊを入力とし、データ（Ｅ（ｖｊ），ＣＩＤｊ）に対する投票者ｊの共通基盤デジタル署名Ｓｅｊを出力する。

認証サーバ３００の共通基盤署名生成手段３０３は、暗号化投票データＥ（ｖｊ）と投票者ｊの共通識別子ＣＩＤｊと、認証サーバの署名用秘密鍵ｄｋを入力とし、データ（Ｅ（ｖｊ），ＣＩＤｊ）に対する認証サーバの共通基盤デジタル署名Ｓｅｋを出力する。

投票センタ２００の共通基盤署名検証手段２０２は、暗号化投票データＥ（ｖｊ）と共通識別子ＣＩｄｊと共通基盤デジタル署名Ｓｅｋを入力とし、Ｓｅｋがデータ（Ｅ（ｖｊ），ＣＩＤｊ）に対して署名用秘密鍵ｄｋにより正しく計算されたものかどうかを判定する。

認証サーバ３００のＩＤ連携手段３０４には、組織内識別子ＩＩＤｊと共通識別子ＣＩＤｊとの対応関係が記録されており、組織内識別子ＩＩＤｊが入力されると対応する共通識別子ＣＩＤｊを出力する。

匿名復号システム５００は、外部から入力された初期設定情報に従って暗号化公開鍵Ｙを生成して出力し、外部から暗号化投票データＥ（ｖｊ）のリストが入力されると、Ｅ（ｖｊ）のリストを復号し、順番をランダムに並びかえた平文投票データｖｊのリストと、入力されたＥ（ｖｊ）のリストと出力したｖｊのリストとの間に１対１の対応関係があることの証明データとを出力する。

投票者端末１１０，１３０の組織内署名生成手段１１３，１３３と、投票者端末１４０，１５０の共通基盤署名生成手段１４３，１５３と、認証サーバ３００の共通基盤署名生成手段３０３は、いずれもデジタル署名を作成するものであり、これに対し認証サーバ３００の組織内署名検証手段３０２と投票サーバ２００の共通基盤署名検証手段２０２とは、デジタル署名の検証を行うものである。ここでのデジタル署名には、例えばＲＳＡ暗号などの公開鍵暗号を用いるデジタル署名を用いることができる。ＲＳＡ暗号を用いる場合、署名者ｊのデータＶに対する署名Ｓｊｖは、Ｖと署名者ｊの署名用秘密鍵ｄｊを用いて、
Ｓｊｖ＝Ｖ＾ｄｊ ｍｏｄ ｎ
により計算され、署名検証は、ＶとＳｊｖと、ｄｊに対応する検証用公開鍵ｅｊを用いて、
Ｓｊｖ＾ｅｊ＝Ｖ ｍｏｄ ｎ
が成り立てば合格となる。なお、＾はべき乗を表わす記号であり，Ｖ＾ｄｊはＶをｄｊ回べき乗した結果（すなわちＶdj）を表わす。

ここで、ｄｊ，ｅｊ，ｎは、二つの素数ｐ，ｑに対して、
ｎ＝ｐ×ｑ，
ｄｊ×ｅｊ＝１ ｍｏｄ （ｐ−１）×（ｑ−１）
と表わされる整数であり、あらかじめ各署名者ｊごとに相異なる（ｄｊ，ｅｊ）の組を作成し、ｄｊは各署名者ｊが秘密に保持し、（ｎ，ｅｊ）の組は署名者ｊの識別子ＩＤｊと関連づけて公開しておくようにする。署名検証においては、公開されているＩＤｊと（ｎ，ｅｊ）との対応関係を検索して（ｎ，ｅｊ）を取得して署名検証の処理を行なう。ｄｊは署名生成用秘密鍵、（ｎ，ｅｊ）は署名検証用公開鍵とよばれる。

組織内署名生成手段１１３，１３３及び組織内署名検証手段３０２においては、識別子ＩＤｊは例えば社員番号など、ある組織の内部でのみ公開・利用される組織内識別子であり、別々の組織に属する別の個人に割り振られた識別子が同じＩＤｊになっている可能性もあり、また、有権者名簿に登録される有権者の識別子（有権者名など）との対応関係は公開されているとは限らない。ＩＤｊに対応する署名検証用公開鍵（ｎ，ｅｊ）の組も同様に、組織の内部にのみ公開される場合もある。

一方、共通基盤署名生成手段１４３，１５３，３０３及び共通基盤署名検証手段２０２においては、署名者の識別子ＩＤｊと（ｎ，ｅｊ）とは広く一般に公開され、別の個人に同じ識別子が割り振られることのない、共通識別子であり、有権者名簿データベース２０１には共通識別子を含む情報が記録される。

投票者端末１００，１２０の機器側認証手段１０３，１２３と、認証サーバ３００のサーバ側認証手段３０１は、個人認証を行うものである。ここでは、ＩＤ文字列とパスワードによる個人認証や、携帯電話の端末認証に基づいた個人認証などを用いることができる。

ＩＤ文字列とパスワードによる個人認証を行なう場合、認証サーバ３００にはあらかじめ投票者の組織内識別子とパスワードの対応関係を記録しておく。機器側認証手段１０３，１２３は、入力装置１０２，１２２から入力された投票者の組織内識別子ＩＩＤｊを認証サーバ３００に送る。認証サーバ３００は、サーバ側認証手段３０１により、受信したＩＩＤｊがあらかじめ記録された組織内識別子のリストに含まれることを確認し、乱数ｃを生成して投票者端末１００，１２０へ返信する。機器側認証手段１０３，１２３は、入力装置１０２，１２２から入力されたパスワードｐｗと乱数ｃとをＳＨＡ１などのハッシュ関数に入力し、出力された値ｒを認証サーバ３００に返信する。サーバ側認証手段３０１は、あらかじめ記録された組織内識別子とパスワードのリストをＩＩＤｊをキーとして検索し、ＩＩＤｊに対応するｐｗを取得し、ＳＨＡ１などのハッシュ関数にｐｗとｃとを入力し、出力された値が投票者端末１００，１２０から返信された値ｒと一致すれば、投票者端末１００，１２０を操作している投票者をＩＩＤｊで示される投票者であると認める。

本実施形態において、投票者端末１２０，１３０，１５０及び投票サーバ２００に設けられる暗号化手段１２３，１３３，１５３，２０３と、暗号サーバ４００，４１０，４４０に設けられる再暗号化手段４０１，４１１，４４１と、匿名復号システム５００については、例えば特許文献１に示された技術を用いることができる。

特許文献１に示された技術を用いる場合、匿名復号システム５００は、投票センタ２００からセキュリティパラメータ（ｐＬ，ｑＬ，ｔ）とセッションＩＤが入力されると、（ｐＬ，ｑＬ，ｔ）に従って公開情報（ｐ，ｑ，ｇ）と秘密鍵Ｘを生成し、公開情報に公開鍵Ｙを加えた公開情報（ｐ，ｑ，ｇ，Ｙ）を出力して投票センタ２００に返信する。ここで、ｐ，ｑはエルガマル暗号のパラメータであり、ある整数ｋにより
ｐ＝ｋ×ｑ＋１という関係にある素数である。ｇは、法ｐにおける位数ｑの部分群を生成する生成元である。また、ｐＬ，ｑＬは、素数ｐ，ｑの長さであり、ｔは、順番入れ替え処理が正しいことを証明するためにデータの生成時および検証時に使用する繰り返し回数である。セッションＩＤは処理対象を識別するための識別子である。ここで、処理対象は、例えば県知事選挙、市議会議員選挙などである。公開鍵Ｙは復号鍵Ｘに対して、
Ｙ＝ｇ＾Ｘ ｍｏｄ ｑの計算によって得られた値であり、復号鍵Ｘは無作為に選ばれたｑ未満の乱数である。

暗号化手段１２３，１３３，１５３，２０３は、公開情報（ｐ，ｑ，ｇ，Ｙ）と平文投票データｖｉを入力とし、暗号化投票データＥ（ｖｉ）を出力する。Ｅ（ｖｉ）は（Ｇｉ，Ｖｉ）という組で表され、
（Ｇｉ，Ｖｉ）＝（ｇ＾ｒ ｍｏｄ ｐ，ｖｉ×Ｙ＾ｒ ｍｏｄ ｐ）
の計算によって得られる。ここでｒは、平文投票データｖｉに対して無作為に選んだ乱数である。

なお本実施形態においては、このとき、正しくｒを知って暗号化投票データを作成したことの証明を作成することができる。例えば、ｖｉの暗号化において乱数ｓｉを生成し、
αｉ＝ｇ＾ｓｉ
ｍｏｄ ｐ，
ｃｉ＝ＨＡＳＨ（ｐ，ｑ，ｇ，Ｙ，Ｇｉ，Ｖｉ，αｉ），
ｔｉ＝ｃｉ×ｒｉ＋ｓｉ ｍｏｄ ｐ
により、乱数証明データαｉ、ｔｉを生成する。この証明は、
ｃｉ＝ＨＡＳＨ（ｐ，ｑ，ｇ，Ｇｉ，αｉ）を計算し、
ｇ＾ｔｉ×Ｇｉ＾｛−ｃｉ｝＝αｉ ｍｏｄ ｐ
が成り立つかどうかを確認することで検証できる。ここで、ＨＡＳＨ（ｐ，ｑ，ｇ，Ｙ，Ｇｉ，Ｖｉ，αｉ）はＳＨＡ１などのハッシュ関数にｐ，ｑ，ｇ，Ｙ，Ｇｉ，Ｖｉ，αｉを入力して得られる値である。

再暗号化手段４０１，４１１，４４１は、公開情報（ｐ，ｑ，ｇ，Ｙ）と暗号化投票データＥ（ｖｉ）＝（Ｇｉ，Ｖｉ）を入力とし、暗号化投票データＥ’（ｖｉ）を出力する。Ｅ’（ｖｉ）は（Ｇ’ｉ，Ｖ’ｉ）という組で表され、
（Ｇ’ｉ，Ｖ’ｉ）＝（Ｇｉ×ｇ＾ｓ ｍｏｄ ｐ，Ｖｉ×Ｙ＾ｓ ｍｏｄ ｐ）
の計算によって得られる。ここで、ｓは暗号化投票データＥ（ｖｉ）に対して無作為に選んだ乱数である。なお、
（Ｇ’ｉ，Ｖ’ｉ）＝（Ｇｉ×ｇ＾ｓ ｍｏｄ ｐ，Ｖｉ×Ｙ＾ｓ ｍｏｄ ｐ）
＝（ｇ＾｛ｒ＋ｓ｝ ｍｏｄ ｐ，ｖｉ×Ｙ＾｛ｒ＋ｓ｝ ｍｏｄ ｐ）
の等式が成り立っており、Ｅ（ｖｉ）に対する復号処理と同じ処理をＥ’（ｖｉ）に施すことで平文投票データｖｉを得ることができる。つまり、Ｅ（ｖｉ）とＥ’（ｖｉ）とは復号処理に関しては同様に扱える。

投票センタ２００がＥｉ＝（Ｇｉ，Ｖｉ）のリストと、セッションＩＤとを匿名復号システム５００に入力すると、匿名復号システム５００は、セッションＩＤにより特定された公開情報（ｐ，ｑ，ｇ，Ｙ）および復号鍵Ｘにより（Ｇｉ，Ｖｉ）のリストを復号し、順番をランダムに並びかえた平文投票データｖｉのリストと、（Ｇｉ，Ｖｉ）のリストとｖｉのリストとの間に１対１の対応関係があることの証明データとを投票センタ２００に返信する。

ｐ，ｑ，ｇ，Ｘの生成、（Ｇｉ，Ｖｉ）のリストの復号と順番の並べかえ、（Ｇｉ，Ｖｉ）のリストとｖｉとの間に１対１の対応関係があることの証明とその検証方法については、特許文献１に記載の方法を用いる。

ここでは、特許文献１の技術を用いる場合の、主に各構成要素の入出力について説明した。なお、暗号データのリストを、復号後に出力されるデータリストとの間に１対１の対応関係があることを、具体的な対応関係そのものの情報は一切漏らさずに証明する技術は、特開２００１−２５１２８９号公報（特許文献２）、特開２００２−３４４４４５号公報（特許文献３）などにも示されており、これらの技術を用いて暗号化手段１２３，１３３，１５３，再暗号化手段４０１，４１１，４４１、匿名復号システム５００を実現することも可能である。

次に、本実施形態の匿名電子投票システムの全体の動作について説明する。

図２には、この匿名電子投票システムでの初期設定の動作が記述されている。まず、投票サーバ２００は、セキュリティパラメータ（ｐＬ，ｑＬ，ｔ）とセッションＩＤとを匿名復号システム５００に送信する（ステップＡ１）。匿名復号システム５００は、（ｐＬ，ｑＬ，ｔ）にしたがって公開情報（ｐ，ｑ，ｇ，Ｙ）を作成し（ステップＡ２）、投票サーバ２００へ返信する（ステップＡ３）。投票サーバ２００は、（ｐ，ｑ，ｇ，Ｙ）を記録装置２０４に記録する（ステップＡ４）。以上により、初期設定が終了する。

次に、図３〜図９を参照して、投票者端末１００，１１０，１２０，１３０，１４０，１５０を使った投票の動作を説明する。ここで、図３〜図８は、それぞれ、投票者端末１００，１１０，１２０，１３０，１４０，１５０での処理（及びそれらの投票者端末での処理に関連する投票サーバ、認証サーバ及び暗号サーバでの処理）を示している。また、図９は、投票受付け後から開票に相当する作業までの処理を説明している。

投票期間が始まると、有権者である投票者は、投票者端末１００，１１０，１２０，１３０，１４０，１５０のいずれかにより投票サーバ２００へアクセスする。このとき、投票者端末１００，１１０，１４０からの投票では暗号投票情報要求を送信し（図３、図４、図７のステップＡ５−１）、投票者端末１２０，１３０，１５０からの投票では単なる投票情報要求を送信する（図５、図６、図８のステップＡ５−２）。投票サーバ２００は、投票者端末１００，１１０，１４０からの暗号投票情報要求を受信すると、その暗号化手段２０３により、すべての候補者名ｖｊを公開情報（ｐ，ｑ，ｇ，Ｙ）で暗号化することによって（ｖｊ，Ｅ（ｖｊ））のリストを作成し（図３、図４、図７のステップＡ６）、公開情報（ｐ，ｑ，ｇ，Ｙ）と（ｖｊ，Ｅ（ｖｊ））のリストとを投票者端末１００，１１０，１４０に返信する（図３、図４、図７のステップＡ７−１）。また、投票者端末１２０，１３０，１５０からの単なる投票情報要求を受信すると、投票サーバ２００は、公開情報（ｐ，ｑ，ｇ，Ｙ）と平文の候補者名ｖｊのリストとを投票者端末１２０，１３０，１５０に返信する（図５、図６、図８のステップＡ７−２）。

以下、投票データの送信までの処理を、投票者端末１００，１１０，１２０，１３０，１４０，１５０ごとに別々に説明する。

投票者端末１００は、図３に示すように、（ｐ，ｑ，ｇ，Ｙ）と（ｖｊ，Ｅ（ｖｊ））のリストとを受信すると、その表示装置１０１においてｖｊのリストを投票者に対して表示し、投票者は入力装置１０２によりｖｊのリストから候補者名ｖｉを選択して入力する（ステップＡ１００−１）。そして投票者端末１００は、ｖｉに対応するＥ（ｖｉ）と公開情報（ｐ，ｑ，ｇ，Ｙ）とを暗号サーバ４００に送信する（ステップＡ１００−２）。次に、暗号サーバ４００は、受信したＥ（ｖｉ）と公開情報（ｐ，ｑ，ｇ，Ｙ）とを再暗号手段４０１に入力してＥ（ｖｉ）を再度暗号化したＥ’（ｖｉ）を計算し（ステップＡ１００−３）、Ｅ’（ｖｉ）を投票者端末１００に返信する（ステップＡ１００−４）。次に、投票者端末１００は、入力装置１０２により投票者の組織内識別子ＩＩＤｉを取得し、機器側認証手段１０３により認証サーバ３００に対して投票者ｉの組織内識別子ＩＩＤｉの認証を行ない（ステップＡ１００−５）、Ｅ’（ｖｉ）を認証サーバ３００に送信する（ステップＡ１００−６）。

認証サーバ３００は、サーバ側認証手段３０１により確認した投票者の組織内識別子ＩＩＤｉをＩＤ連携手段３０４に入力し、対応する共通識別子ＣＩＤｉを得る（ステップＡ１００−７）。次に、認証サーバ３００では、共通基盤署名生成手段３０３に（Ｅ’（ｖｉ），ＣＩＤｉ）の組と認証サーバ３００の署名用秘密鍵ｄｋとが入力されて、（Ｅ’（ｖｉ），ＣＩＤｉ）に対する認証サーバ３００の共通基盤署名Ｓｅｋが生成される（ステップＡ１００−８）。そして、認証サーバ３００は、（Ｅｉ，ＣＩＤｉ）＝（Ｅ’（ｖｉ），ＣＩＤｉ）とＳｅｋとを投票サーバ２００に送信する（ステップＡ１００−９）。

投票者端末１１０は、図４に示すように、（ｐ，ｑ，ｇ，Ｙ）と（ｖｊ，Ｅ（ｖｊ））のリストとを受信すると、その表示装置１１１においてｖｊのリストを投票者に対して表示し、投票者は入力装置１１２によりｖｊのリストから候補者名ｖｉを選択して入力する（図４のステップＡ１１０−１）。そして、投票者端末１１０は、ｖｉに対応するＥ（ｖｉ）と公開情報（ｐ，ｑ，ｇ，Ｙ）とを暗号サーバ４１０に送信する（図４のステップＡ１１０−２）。暗号サーバ４１０は、受信したＥ（ｖｉ）と公開情報（ｐ，ｑ，ｇ，Ｙ）とを再暗号手段４１１に入力してＥ（ｖｉ）を再度暗号化したＥ’（ｖｉ）を計算し（ステップＡ１１０−３）、Ｅ’（ｖｉ）を投票者端末１１０に返信する（ステップＡ１１０−４）。次に、投票者端末１１０は、組織内署名生成手段１１３に投票者ｉの組織内識別子ＩＩＤｉと署名用秘密鍵ｄｉとＥ’（ｖｉ）とを入力し、（Ｅ’（ｖｉ），ＩＩＤｉ）に対する組織内向けデジタル署名Ｓｅｉを計算し（ステップＡ１１０−５）、（Ｅ’（ｖｉ），ＩＩＤｉ）とＳｅｉとを認証サーバ３００に送信する（ステップＡ１１０−６）。

認証サーバ３００は、その組織内署名検証手段３０２により、Ｓｅｉが（Ｅ’（ｖｉ），ＩＩＤｉ）に対して署名用秘密鍵ｄｉにより正しく計算されたものかどうかを検証し（ステップＡ１１０−７）、合格であれば、ＩＤ連携手段３０４によってＩＩＤｉに対応する共通識別子ＣＩＤｉを取得する（ステップＡ１１０−８）。次に、認証サーバ３００は、共通基盤署名生成手段３０３にＥ’（ｖｉ）とＣＩＤｉと認証サーバ３００の署名用秘密鍵ｄｋとを入力して、（Ｅ’（ｖｉ），ＣＩＤｉ）に対する認証サーバ３００の共通基盤デジタル署名Ｓｅｋを出力し（ステップＡ１１０−９）、（Ｅｉ，ＣＩＤｉ）＝（Ｅ’ （ｖｉ），ＣＩＤｉ）とＳｅｋとを投票サーバ２００に送信する（ステップＡ１１０−１０）。

投票者端末１２０は、図５に示すように、（ｐ，ｑ，ｇ，Ｙ）とｖｊのリストとを受信すると、その表示装置１２１においてｖｊのリストを投票者に対して表示し、投票者は入力装置１２２によりｖｊのリストから候補者名ｖｉを選択して入力する（ステップＡ１２０−１）。そして投票者端末１２０は、ｖｉと公開情報（ｐ，ｑ，ｇ，Ｙ）とを暗号化手段１２４に入力し、ｖｉをＹにより暗号化したＥ（ｖｉ）を得る（ステップＡ１２０−２）。次に、投票者端末１２０は、機器側認証手段１２３により認証サーバ３００に対して投票者ｉの組織内識別子ＩＩＤｉの認証を行ない（ステップＡ１２０−３）、Ｅ（ｖｉ）を認証サーバ３００に送信する（ステップＡ１２０−４）。

認証サーバ３００は、サーバ側認証手段３０１により確認した投票者の組織内識別子ＩＩＤｉをＩＤ連携手段３０４に入力し、対応する共通識別子ＣＩＤｉを得る（ステップＡ１２０−５）。次に、認証サーバ３００は、共通基盤署名生成手段３０３に（Ｅ（ｖｉ），ＣＩＤｉ）の組と認証サーバ３００の署名用秘密鍵ｄｋを入力して、（Ｅ（ｖｉ），ＣＩＤｉ）に対する共通基盤署名Ｓｅｋを生成し（ステップＡ１２０−６）、（Ｅｉ，ＣＩＤｉ）＝（Ｅ（ｖｉ），ＣＩＤｉ）とＳｅｋとを投票サーバ２００に送信する（ステップＡ１２０−７）。

投票者端末１３０は、図６に示すように、（ｐ，ｑ，ｇ，Ｙ）とｖｊのリストとを受信すると、その表示装置１３１においてｖｊのリストを投票者に対して表示し、投票者は入力装置１３２によりｖｊのリストから候補者名ｖｉを選択して入力する（ステップＡ１３０−１）。そして投票者端末１３０は、ｖｉと公開情報（ｐ，ｑ，ｇ，Ｙ）とを暗号化手段１３４に入力し、ｖｉをＹにより暗号化したＥ（ｖｉ）を得る（ステップＡ１３０−２）。次に投票者端末１３０は、組織内署名生成手段１３３に投票者ｉの組織内識別子ＩＩＤｉと署名用秘密鍵ｄｉとＥ（ｖｉ）とを入力し、（Ｅ（ｖｉ），ＩＩＤｉ）に対する組織内向けデジタル署名Ｓｅｉを計算し（ステップＡ１３０−３）、（Ｅ（ｖｉ），ＩＩＤｉ）とＳｅｉとを認証サーバ３００に送信する（ステップＡ１３０−４）。

認証サーバ３００は、組織内署名検証手段３０２により、Ｓｅｉが（Ｅ（ｖｉ），ＩＩＤｉ）に対して署名用秘密鍵ｄｉにより正しく計算されたものかどうか検証し（ステップＡ１３０−５）、合格であれば、ＩＤ連携手段３０４によりＩＩＤｉに対応する共通識別子ＣＩＤｉを取得する（ステップＡ１３０−６）。次に認証サーバ３００は、共通基盤署名生成手段３０３にＥ（ｖｉ）とＣＩＤｉと認証サーバ３００の署名用秘密鍵ｄｋとを入力して、（Ｅ（ｖｉ），ＣＩＤｉ）に対する認証サーバ３００の共通基盤デジタル署名Ｓｅｋを出力し（ステップＡ１３０−７）、（Ｅｉ，ＣＩＤｉ）＝（Ｅ（ｖｉ），ＣＩＤｉ）とＳｅｋとを投票サーバ２００に送信する（ステップＡ１３０−８）。

投票者端末１４０は、図７に示すように、（ｐ，ｑ，ｇ，Ｙ）と（ｖｊ，Ｅ（ｖｊ））のリストとを受信すると、その表示装置１４１においてｖｊのリストを投票者に対して表示し、投票者は入力装置１４２によりｖｊのリストから候補者名ｖｉを選択して入力する（ステップＡ１４０−１）。そして投票者端末１４０は、ｖｉに対応するＥ（ｖｉ）と公開情報（ｐ，ｑ，ｇ，Ｙ）とを暗号サーバ４４０に送信する（ステップＡ１４０−２）。次に暗号サーバ４４０は、受信したＥ（ｖｉ）と公開情報（ｐ，ｑ，ｇ，Ｙ）とを再暗号手段４４１に入力してＥ（ｖｉ）を再度暗号化したＥ’（ｖｉ）を計算し（ステップＡ１４０−３）、Ｅ’（ｖｉ）を投票者端末１４０に返信する（ステップＡ１４０−４）。次に投票者端末１４０は、共通基盤署名生成手段１４３に投票者ｉの共通基盤識別子ＣＩＤｉと署名用秘密鍵ｄｉとＥ’（ｖｉ）とを入力し、（Ｅ’（ｖｉ），ＣＩＤｉ）に対する共通基盤デジタル署名Ｓｅｉを計算し（ステップＡ１４０−５）、（Ｅｉ，ＣＩＤｉ）＝（Ｅ’（ｖｉ），ＣＩＤｉ）とＳｅｉとを投票サーバ２００に送信する（ステップＡ１４０−６）。

投票者端末１５０は、図８に示すように、（ｐ，ｑ，ｇ，Ｙ）とｖｊのリストとを受信すると、表示装置１５１においてｖｊのリストを投票者に対して表示し、投票者は入力装置１５２によりｖｊのリストから候補者名ｖｉを選択し入力する（ステップＡ１５０−１）。そして投票者端末１５０は、ｖｉと公開情報（ｐ，ｑ，ｇ，Ｙ）とを暗号化手段１５４に入力してｖｉをＹにより暗号化したＥ（ｖｉ）を得る（ステップＡ１５０−２）。次に投票者端末１５０は、共通基盤署名生成手段１５３に投票者ｉの共通基盤識別子ＣＩＤｉと署名用秘密鍵ｄｉとＥ（ｖｉ）とを入力し、（Ｅ（ｖｉ），ＣＩＤｉ）に対する共通基盤デジタル署名Ｓｅｉを計算し（ステップＡ１５０−３）、（Ｅｉ，ＣＩＤｉ）＝（Ｅ（ｖｉ），ＣＩＤｉ）とＳｅｉとを投票サーバ２００に送信する（ステップＡ１５０−４）。

以上が、投票データの送信までの処理である。つづいて、投票データの受付けと投票締切後の開票集計処理について、図９を用いて説明する。

投票サーバ２００は、認証サーバ３００から（Ｅｉ，ＣＩＤｉ）とＳｅｋとを受信すると、共通基盤署名検証手段２０２によりＳｅｋが（Ｅｉ，ＣＩＤｉ）に対する認証サーバ３００の正しい署名であることを確認し（ステップＡ８−１）、有権者名簿データベース２０１を検索してＣＩＤｉが登録されていることとＣＩＤｉの投票をまだ受付けていないこととを確認し（ステップＡ９−１）、投票データ記録装置２０４に（Ｅｉ，ＣＩＤｉ）とＳｅｋとを記録するとともに、有権者名簿データベース２０１にＣＩＤｉが投票済みであることを記録する（ステップＡ１０−１）。また、投票サーバ２００は、投票者端末１４０，１５０から（Ｅｉ，ＣＩＤｉ）とＳｅｉとを受信すると、共通基盤署名検証手段２０２によりＳｅｉが（Ｅｉ，ＣＩＤｉ）に対する投票者ｉの正しい署名であることを確認し（ステップＡ８−２）、有権者名簿データベース２０１を検索してＣＩＤｉが登録されていることとＣＩＤｉの投票をまだ受付けていないこととを確認し（ステップＡ９−２）、投票データ記録装置２０４に（Ｅｉ，ＣＩＤｉ）とＳｅｋとを記録するとともに、有権者名簿データベース２０１にＣＩＤｉが投票済みであることを記録する（ステップＡ１０−２）。

投票が締め切られた後、投票サーバ２００は、投票データ記録装置２０４に記録したすべてのＥｉのリストと、ステップＡ２で匿名復号システム５００へ送信したセッションＩＤとを匿名復号システム５００へ送信する（ステップＡ１１）。匿名復号システム５００は、セッションＩＤで指定された公開情報（ｐ，ｑ，ｇ，Ｙ）と秘密鍵Ｘとに基づいてＥｉのリストを復号し、順番を無作為に並べかえた平文投票データｖｊのリストと、Ｅｉのリストとｖｊのリストとの間に１対１の対応関係が存在することの証明データｚと、を作成し（ステップＡ１２）、投票サーバ２００に対してｖｊのリストとｚとを返信する（ステップＡ１３）。投票サーバ２００は、受信した平文投票データｖｊのリストにより投票の集計を行い、集計結果を発表する（ステップＡ１４）。

次に、本実施形態の効果について説明する。

本実施形態では、投票サーバ２００が投票者端末１００，１１０，１４０に暗号化投票データを送り、投票者が選んだ暗号化投票データを暗号サーバ４００，４１０，４４０によりさらに暗号化して投票サーバ２００に送信するため、暗号手段を備えない投票者端末からでも、投票の秘密を守りつつ、投票を行なえる。また、投票者端末１００，１２０に機器側認証手段１０３，１２３を備え、認証サーバ３００にサーバ側認証手段３０１を備えることでデジタル署名に依らない認証を行ない、認証サーバ３００の共通基盤デジタル署名を付与して投票サーバ２００に暗号化投票データを送ることで、署名生成手段を備えない投票者端末からも投票を行なえる。また、投票者端末１１０，１３０に組織内基盤署名生成手段１１３，１３３を備え、認証サーバ３００に組織内基盤署名検証手段３０２とＩＤ連携手段３０４を備えることで、組織内向けデジタル署名が付与された暗号化投票データを認証サーバ３００で検証し、組織内識別子から共通基盤識別子への変換を行なったのち、認証サーバ３００の共通基盤デジタル署名を付与して投票サーバ２００へ送ることで、すべての投票者が共通の公開鍵認証基盤に登録されていなくとも、投票を行なえる。

なお、ここでは認証サーバ３００はひとつだけとして説明したが、投票者によって異なる組織に所属している場合には、組織ごとに別の認証サーバを導入することで対応が可能である。

《第２の実施形態》
次に、本発明の第２の実施形態について図面を参照して説明する。図１０に示した第２の実施形態の匿名電子投票システムは、図１に示された第１の実施形態の匿名電子投票システムにおいて、投票者端末１００，１１０，１４０内にそれぞれ暗号データ作成手段１０４，１１４，１４４を設けるとともに、投票サーバ２００の暗号化手段２０３に代えて第１の変換手段２０６と暗号化証明検証手段２０７とを設け、暗号サーバ４００，４１０，４４０における再暗号化手段４０１，４１１，４４１に代えてそれぞれ第２の変換手段４０５，４１５，４４５を設け、さらに、変換検証手段７０１を備える変換検証サーバ７００を加えたものである。

ここで第１の変換手段２０６は、公開情報を入力とし、第１の変換データ（第１暗号パラメータ）と第１の変換証明データとを出力するものである。

第２の変換手段４０５，４１５，４４５は、公開情報を入力とし、第２の変換データ（第２暗号パラメータ）と第２の変換証明データとを出力する。

暗号データ作成手段１０４，１１４，１４４は、公開情報、第１の変換データ、第１の変換証明データ、第２の変換データ、第２の変換証明データ及び平文の投票内容ｖｉを入力として、暗号化投票データＥ（ｖｉ）を出力するとともに、Ｅ（ｖｉ）を正しく生成したことを証明する暗号化証明を出力する。

暗号化証明検証手段２０７は、公開情報と暗号化投票データＥ（ｖｉ）と暗号化証明データとを入力とし、Ｅ（ｖｉ）が正しく生成されたものかどうかを検証する。

第１の変換手段２０６、第２の変換手段４０５，４１５，４４５、暗号データ作成手段１０４，１１４，１４４及び暗号化証明検証手段２０７は、匿名復号システム５００に対して特許文献１に示された技術を用いる場合、以下のように動作する。

第１の変換手段２０６は、公開情報（ｐ，ｑ，ｇ，Ｙ）が入力されると、ｑ未満の乱数ｒとｄとを無作為に選び、第１の変換データ（Ｇｒ，Ｙｒ，ｒ）として、
（Ｇｒ，Ｙｒ，ｒ）＝（ｇ＾ｒ ｍｏｄ ｐ，Ｙ＾ｒ ｍｏｄ ｐ，ｒ）
を計算して出力し、第１の変換証明データ（Ｇｄ，ｄ）として、
（Ｇｄ，ｄ）＝（ｇ＾ｄ ｍｏｄ ｐ，ｄ）を計算して出力する。

第２の変換手段４０５，４１５，４４５は、公開情報（ｐ，ｑ，ｇ，Ｙ）が入力されると、ｑ未満の乱数ｓを選び、第２の変換データ（Ｇｓ，Ｙｓ，ｓ）として、
（Ｇｓ，Ｙｓ，ｓ）＝（ｇ＾ｓ ｍｏｄ ｐ，Ｙ＾ｓ ｍｏｄ ｐ，ｓ）
を計算して出力し、第２の変換証明データ（Ｇｕ，ｕ）として、
（Ｇｕ，ｕ）＝（ｇ＾ｕ ｍｏｄ ｐ，ｕ）
を計算して出力する。ここで、ｕは無作為に選んだｑ未満の乱数である。

暗号データ作成手段は、第１の変換データ（Ｇｒ，Ｙｒ，ｒ）、第１の変換証明データ（Ｇｄ，ｄ）、第２の変換データ（Ｇｓ，Ｙｓ，ｓ）、第２の変換証明データ（Ｇｕ，ｕ）及び平文の投票内容ｖｉが入力されると、暗号化投票データＥ（ｖｉ）として、
Ｅ（ｖｉ）＝（Ｇｒ×Ｇｓ ｍｏｄ ｐ，ｖｉ×Ｙｒ×Ｙｓ ｍｏｄ ｐ）
を計算する。さらに、
α＝Ｇｕ×Ｇｄ ｍｏｄ ｐ，
ｃ＝ＨＡＳＨ（ｐ，ｑ，ｇ，Ｙ，Ｇｉ，Ｖｉ，α），
ｔ＝ｃ×（ｒ＋ｓ）＋ｕ＋ｄ ｍｏｄ ｑ
を計算して暗号化証明データ（α，ｔ）を計算し、暗号化投票データ（Ｇｉ，Ｖｉ）とともにこの暗号化証明データ（α，ｔ）を出力する。

暗号化証明データによる証明は、暗号化証明検証手段２０７により
ｃ＝ＨＡＳＨ（ｐ，ｑ，ｇ，Ｙ，Ｇｉ，Ｖｉ，α）
を計算し、
ｇ＾ｔ×Ｇｉ＾｛−ｃ｝＝α ｍｏｄ ｐ
が成り立つかどうかを確認することで行う。

変換検証手段７０１は変換データ（Ｇｒ，Ｙｒ，ｒ）と変換証明データ（Ｇｄ，ｄ）とについて、公開情報（ｐ，ｑ，ｇ，Ｙ）から正しく作成されたものかどうかを検証する。匿名復号システム５００に対して特許文献１に示された技術を用いる場合、変換検証手段７０１は公開情報（ｐ，ｑ，ｇ，Ｙ）と変換データ（Ｇｒ，Ｙｒ，ｒ）と変換証明データ（Ｇｄ，ｄ）とを入力とし、
Ｇｒ＝Ｇ＾ｒ ｍｏｄ ｐ，
Ｙｒ＝Ｙ＾ｒ ｍｏｄ ｐ，
Ｇｄ＝Ｙ＾ｄ ｍｏｄ ｐ
の等式がいずれも成り立てば合格と判定し、どれかひとつでも成り立たなければ不合格と判定する。

次に、本実施形態の匿名電子投票システムの動作について説明する。図１１〜図１３は、それぞれ、投票者端末１００，１１０，１４０での処理（及びそれらの投票者端末での処理に関連する投票サーバ、認証サーバ及び暗号サーバでの処理）を示しており、図１４は、投票受付け後から開票に相当する作業までの処理を説明している。なお、本実施形態での初期設定の動作は第１の実施の形態と同じであり、また、投票者端末１２０，１３０，１５０の動作も第１の実施の形態におけるものと同じであるから、これらの動作については記載を省略する。

以下、投票者端末１００，１１０，１４０による投票サーバ２００へのアクセスから投票データの送信までの処理を説明する。

投票者端末１００，１１０，１４０は、投票情報要求と変換データ要求とを投票サーバ２００へ送信する（図１１、図１２、図１３のステップＢ５）。投票サーバ２００は、変換データ要求を受信すると、その第１の変換手段２０６に公開情報（ｐ，ｑ，ｇ，Ｙ）を入力し、第１の変換データ（Ｇｒ，Ｙｒ，ｒ）と第１の変換証明データ（Ｇｄ，ｄ）とを作成し（図１１、図１２、図１３ステップＢ６）、投票者端末１００，１１０，１４０にこれら（ｐ，ｑ，ｇ，Ｙ），（Ｇｒ，Ｙｒ，ｒ），（Ｇｄ，ｄ）を返信する（図１１、図１２、図１３のステップＢ７）。投票者端末１００，１１０，１４０は、投票サーバ２００から（ｐ，ｑ，ｇ，Ｙ），（Ｇｒ，Ｙｒ，ｒ），（Ｇｄ，ｄ）を受信すると、それぞれ暗号サーバ４００，４１０，４４０に、（ｐ，ｑ，ｇ，Ｙ）と変換データ要求とを送信する（図１１、図１２、図１３のステップＢ１００−１、Ｂ１１０−１、Ｂ１４０−１）。暗号サーバ４００，４１０，４４０は、公開情報（ｐ，ｑ，ｇ，Ｙ）と変換データ要求とを受信すると、それぞれその第２の変換手段４０５，４１５，４４５に公開情報（ｐ，ｑ，ｇ，Ｙ）を入力して第２の変換データ（Ｇｓ，Ｙｓ，ｓ）と第２の変換証明データ（Ｇｕ，ｕ）とを生成し（図１１、図１２、図１３のステップＢ１００−２、Ｂ１１０−２、Ｂ１４０−２）、投票者端末１００，１１０，１４０に（Ｇｓ，Ｙｓ，ｓ）と（Ｇｕ，ｕ）とを返信する（図１１、図１２、図１３のステップＢ１００−３，Ｂ１１０−３，Ｂ１４０−３）。

以下、投票データの送信までの処理のうち第１の実施の形態と異なる部分を、投票者端末１００，１１０，１４０ごとに別々に説明する。

投票者端末１００は、図１１に示すように、第１の変換データ（Ｇｒ，Ｙｒ，ｒ）、第１の変換証明データ（Ｇｄ，ｄ）、第２の変換データ（Ｇｓ，Ｙｓ，ｓ）及び第２の変換証明データ（Ｇｕ，ｕ）を受信すると、その暗号データ作成手段１０４に対して、投票者ｉが入力した投票内容ｖｉと、（Ｇｒ，Ｙｒ，ｒ），（Ｇｄ，ｄ），（Ｇｓ，Ｙｓ，ｓ）及び（Ｇｕ，ｕ）とを入力し、暗号化投票データＥ（ｖｉ）と暗号化証明データ（α，ｔ）とを計算する（ステップＢ１００−４）。そしてＩＩＤｉの認証ののちＥ（ｖｉ）と（α，ｔ）とを認証サーバ３００に送信する（ステップＢ１００−６）。認証サーバ３００は、（Ｅ（ｖｉ），（α，ｔ），ＣＩＤｉ）に対する認証サーバ３００の共通基盤デジタル署名Ｓｅｋを作成し（ステップＢ１００−８）、（Ｅ（ｖｉ），（α，ｔ），ＣＩＤｉ）とＳｅｋとを投票サーバ２００に送信する（ステップＢ１００−９）。

投票者端末１１０は、図１２に示すように、第１の変換データ（Ｇｒ，Ｙｒ，ｒ）、第１の変換証明データ（Ｇｄ，ｄ）、第２の変換データ（Ｇｓ，Ｙｓ，ｓ）及び第２の変換証明データ（Ｇｕ，ｕ）を受信すると、投票者ｉが入力した投票内容ｖｉと、（Ｇｒ，Ｙｒ，ｒ），（Ｇｄ，ｄ），（Ｇｓ，Ｙｓ，ｓ）及び（Ｇｕ，ｕ）とを暗号データ作成手段１１４に入力し、暗号化投票データＥ（ｖｉ）と暗号化証明データ（α，ｔ）とを計算する（ステップＢ１１０−４）。そして、投票者端末１１０は、（Ｅ（ｖｉ），（α，ｔ），ＩＩＤｉ）に対する組織内向けデジタル署名Ｓｅｉを作成し（ステップＢ１１０−５）、（Ｅ（ｖｉ），（α，ｔ），ＩＩＤｉ）とＳｅｉとを認証サーバ３００に送信する（ステップＢ１１０−６）。認証サーバ３００は、Ｓｅｉが（Ｅ（ｖｉ），（α，ｔ），ＩＩＤｉ）に対するＩＩＤｉの正しい署名であることを確認し（ステップＢ１１０−７）、そのＩＤ連携手段３０４によりＩＩＤｉに対応する共通識別子ＣＩＤｉを取得し（ステップＡ１１０−８）、（Ｅ（ｖｉ），（α，ｔ），ＣＩＤｉ）に対する認証サーバ３００の共通基盤デジタル署名Ｓｅｋを作成し（ステップＢ１１０−９）、（Ｅｉ＝Ｅ（ｖｉ），（α，ｔ），ＣＩＤｉ）とＳｅｋとを投票サーバ２００に送信する（ステップＢ１１０−１０）。

投票者端末１４０は、図１３に示すように、第１の変換データ（Ｇｒ，Ｙｒ，ｒ）、第１の変換証明データ（Ｇｄ，ｄ）、第２の変換データ（Ｇｓ，Ｙｓ，ｓ）及び第２の変換証明データ（Ｇｕ，ｕ）を受信すると、投票者ｉが入力した投票内容ｖｉと（Ｇｒ，Ｙｒ，ｒ），（Ｇｄ，ｄ），（Ｇｓ，Ｙｓ，ｓ）及び（Ｇｕ，ｕ）とを暗号データ作成手段１４４に入力し、暗号化投票データＥ（ｖｉ）と暗号化証明データ（α，ｔ）とを計算する（ステップＢ１４０−４）。そして、（Ｅ（ｖｉ），（α，ｔ），ＣＩＤｉ）に対する共通基盤デジタル署名Ｓｅｉを作成し（ステップＢ１４０−５）、（Ｅｉ＝Ｅ（ｖｉ），（α，ｔ），ＣＩＤｉ）とＳｅｉとを投票サーバ２００に送信する（ステップＢ１４０−６）。

以上が投票データの送信までの処理である。続けて、投票データの受付け以降の処理について、図１４を用いて、第１の実施の形態と異なる部分を説明する。

投票サーバ２００は、認証サーバ３００から（Ｅｉ，（α，ｔ），ＣＩＤｉ）とＳｅｋとを受信すると、共通基盤署名検証手段２０２によりＳｅｋが（Ｅｉ，ＣＩＤｉ）に対する認証サーバ３００の正しい署名であることを確認し（ステップＢ８−１）、暗号化証明検証手段２０７により、Ｅｉが正しく作られたものであることを確認し（ステップＢ９−１）、有権者名簿データベース２０１を検索してＣＩＤｉが登録されていることとＣＩＤｉの投票をまだ受付けていないこととを確認し（ステップＢ１０−１）、投票データ記録装置２０４に（Ｅｉ，（α，ｔ），ＣＩＤｉ）とＳｅｋとを記録するとともに、有権者名簿データベース２０１にＣＩＤｉが投票済みであることを記録する（ステップＢ１１−１）。また、投票サーバ２００は、投票者端末１４０，１５０から（Ｅｉ，（α，ｔ），ＣＩＤｉ）とＳｅｉとを受信すると、共通基盤署名検証手段２０２によりＳｅｉが（Ｅｉ，（α，ｔ），ＣＩＤｉ）に対する投票者ｉの正しい署名であることを確認し（ステップＢ８−２）、暗号化証明検証手段２０７により、Ｅｉが正しく作られたものであることを確認し（ステップＢ９−２）、有権者名簿データベース２０１を検索してＣＩＤｉが登録されていることとＣＩＤｉの投票をまだ受付けていないこととを確認し（ステップＢ１０−２）、投票データ記録装置２０４に（Ｅｉ，ＣＩＤｉ）とＳｅｋとを記録するとともに、有権者名簿データベース２０１にＣＩＤｉが投票済みであることを記録する（ステップＢ１１−２）。

なお、投票者端末１００，１１０，１４０により投票を行なった投票者は、投票データの受け付けが終わった後、投票サーバから受信した公開情報（ｐ，ｑ，ｇ，Ｙ）と第１の変換データ（Ｇｒ，Ｙｒ，ｒ）、第１の変換証明データ（Ｇｄ，ｄ）とを変換検証サーバ７００の変換証明手段７０１に入力し、第１の変換データ、第１の変換証明データが正しく公開情報（ｐ，ｑ，ｇ，Ｙ）から作成されたものかどうかを検証してもよい。また、暗号サーバ４００，４１０，４４０から受信した第２の変換データ（Ｇｓ，Ｙｓ，ｓ）、第２の変換証明データ（Ｇｕ，ｕ）についても、同様に変換検証サーバ７００の変換検証手段７０１により、公開情報（ｐ，ｑ，ｇ，Ｙ）から正しく作成されたものかどうかを検証してもよい。

投票締切り後の処理については、第１の実施の形態の場合と同じであるので、ここでは説明を省略する。

次に、本実施形態の効果について説明する。

本実施形態では、投票者端末１００，１１０，１４０にそれぞれ暗号データ作成手段１０４，１１４，１４４を備え、投票サーバ２００に第１の変換手段２０６を備え、暗号サーバ４００，４１０，４４０にそれぞれ第２の変換手段４０５，４１５，４４５を備えることで、投票者端末１００，１１０，１４０では複雑な演算を行なうことなく、暗号化投票データの作成が行なえる。また、暗号化投票データは第１の変換データと第２の変換データの両方をもとに計算されるため、投票サーバ２００や暗号サーバ４００，４１０，４４０は、単独では、投票者の暗号化投票データから平文の投票内容を知ることはできない。また、暗号データ作成手段１０４，１１４，１４４により生成される暗号化証明データは、投票者端末１２０，１３０，１５０の暗号化手段１２４，１３４，１５４が生成する暗号化証明データと同じ処理で検証が可能である。また、投票者端末１００，１１０，１４０に暗号データ作成手段１０４，１１４，１４４を備えるため、投票内容となる候補者名などあらかじめ決められているような投票に限らず、投票者が自由に投票内容を決める自由記述による投票（やアンケート）などにも本実施形態は適用可能である。

また、投票サーバ２００が送信する第１の変換データ、第１の変換証明データ、および、暗号サーバ４００，４１０，４４０が送信する第２の変換データ、第２の変換証明データは、変換検証手段７０１を用いることで、公開情報（ｐ，ｑ，ｇ，Ｙ）から正しく作成されたものかどうかを確認できる。そのため、投票サーバ２００や暗号サーバ４００，４１０，４４０が不正な変換データ、変換証明データを投票者端末に送信して投票を妨害しようとした場合、その不正が発覚する。これにより、投票サーバ２００、暗号サーバ４００，４１０，４４０での不正行為を抑止することができる。

《第３の実施形態》
次に、本発明の第３の発明形態について図面を参照して説明する。図１５に示した第３の実施形態の匿名電子投票システムは、図１に示された第１の実施形態の匿名電子投票システムにおいて、さらに暗号証明検証サーバ６００を設けるとともに、投票サーバ２００の暗号化手段２０３に代えて証明付き暗号化手段２０５を設け、暗号サーバ４００，４１０，４４０の再暗号化手段４０１，４１１，４４１に代えてそれぞれ証明付き再暗号化手段４０２，４１２，４４２を設け、暗号証明検証サーバ６００には暗号化証明検証手段６０１と再暗号化証明検証手段６０２とを設けたものである。

証明付き暗号化手段２０５は、暗号化公開鍵Ｙを含む公開情報と平文データｖとを入力とし、Ｙによりｖを暗号化したＥ（ｖ）と、Ｅ（ｖ）がＹによりｖを正しく暗号化したことを示す証明データｗとを出力する。証明付き再暗号化手段４０２，４１２，４４２は、暗号化公開鍵Ｙを含む公開情報と暗号データＥ（ｖ）とを入力とし、ＹによりＥ（ｖ）を再度暗号化したＥ’（ｖ）と、Ｅ’（ｖ）がＹによりＥ（ｖ）を正しく再度暗号化したことを示す証明データｗ’とを出力する。

暗号化証明検証手段６０１は、暗号化公開鍵Ｙを含む公開情報と平文データｖと暗号データＥ（ｖ）と証明データｗとを入力とし、Ｅ（ｖ）がＹによりｖを正しく暗号化したものかどうかを検証する。再暗号化証明検証手段６０２は、暗号化公開鍵Ｙを含む公開情報と暗号データＥ（ｖ）とＥ（ｖ）を再度暗号化したＥ’ （ｖ）と証明データｗ’とを入力とし、Ｅ’（ｖ）がＹによりＥ（ｖ）を正しく暗号化したものかどうかを検証する。

特許文献１に示された技術を用いる場合、証明付き暗号化手段２０５は、公開情報（ｐ，ｑ，ｇ，Ｙ）と平文投票データｖｉを入力とし、暗号化投票データＥ（ｖｉ）と証明データｗとを出力する。Ｅ（ｖｉ）は（Ｇｉ，Ｖｉ）という組で表され、
（Ｇｉ，Ｖｉ）＝（ｇ＾ｒ ｍｏｄ ｐ，ｖｉ×Ｙ＾ｒ ｍｏｄ ｐ）
の計算によって得られる。ここで、ｒは平文投票データｖｉに対して無作為に選んだ乱数である。そして、証明データｗとしてｒが出力される。

証明付き再暗号化手段２０５は、公開情報（ｐ，ｑ，ｇ，Ｙ）と暗号化投票データＥ（ｖｉ）＝（Ｇｉ，Ｖｉ）とを入力とし、暗号化投票データＥ’（ｖｉ）と証明データｗ’とを出力する。Ｅ’（ｖｉ）は（Ｇ’ｉ，Ｖ’ｉ）という組で表され、
（Ｇ’ｉ，Ｖ’ｉ）＝（Ｇｉ＾ｓ ｍｏｄ ｐ，Ｖｉ×Ｙ＾ｓ ｍｏｄ ｐ）
の計算によって得られる。ここで、ｓは平文投票データｖｉに対して無作為に選んだ乱数である。そして、証明データｗ’としてｓが出力される。

暗号化証明検証手段６０１は、ｖｉと（ｐ，ｑ，ｇ，Ｙ）とＥ（ｖｉ）＝（Ｇｉ，Ｖｉ）とｗとを入力とし、
Ｇｉ＝ｇ＾ｗ ｍｏｄ ｐ，
Ｖｉ＝ｖｉ×Ｙ＾ｗ ｍｏｄ ｐ
の等式が両方とも成り立てば証明を合格と判定し、どちらか一方でも等式が成り立たなければ証明を不正と判定する。

再暗号化証明検証手段６０２は、（Ｇｉ，Ｖｉ）と（ｐ，ｑ，ｇ，Ｙ）とＥ’（ｖｉ）＝（Ｇ’ｉ，Ｖ’ｉ）とｗ’とを入力とし、
Ｇ’ｉ＝Ｇｉ＾ｗ’ ｍｏｄ ｐ，
Ｖ’ｉ＝Ｖｉ×Ｙ＾ｗ’ ｍｏｄ ｐ
の等式が両方とも成り立てば証明を合格と判定とし、どちらか一方でも等式が成り立たなければ証明を不正と判定する。

次に、本実施形態の匿名電子投票システムの動作について説明する。図１６〜図１８は、それぞれ、投票者端末１００，１１０，１４０での処理（及びそれらの投票者端末での処理に関連する投票サーバ、認証サーバ及び暗号サーバでの処理）を示しており、図１９は、投票受付け後から開票に相当する作業までの処理を説明している。なお、本実施形態での初期設定の動作は第１の実施の形態と同じであり、また、投票者端末１２０，１３０，１５０の動作も第１の実施の形態におけるものと同じであるから、これらの動作については記載を省略する。

以下、投票者端末１００，１１０，１４０による投票サーバ２００へのアクセスから投票データの送信までの処理を説明する。

投票者端末１００，１１０，１４０は、投票サーバ２００に対し、暗号投票情報要求を送信する。投票サーバ２００は、暗号投票情報要求を受信すると、証明付き暗号化手段２０５により、すべての候補者名ｖｊについて、ｖｊを公開情報（ｐ，ｑ，ｇ，Ｙ）で暗号化してＥ（ｖｊ）を作成し、そのＥ（ｖｊ）がｖｊを（ｐ，ｑ，ｇ，Ｙ）により正しく暗号化したものであることの証明データｗｊを作成し（図１７、図１８、図１９のステップＣ６）、公開情報（ｐ，ｑ，ｇ，Ｙ）と（ｖｊ，Ｅ（ｖｊ），ｗｊ）のリストとを投票者端末１００，１１０，１４０に返信する（図１６、図１７、図１８のステップＣ７）。

また、暗号サーバ４００，４１０，４４０は、投票者端末からＥ（ｖｉ）と公開情報（ｐ，ｑ，ｇ，Ｙ）とを受信すると、それぞれ証明付き再暗号手段４０２，４１２，４４２にＥ（ｖｉ）と（ｐ，ｑ，ｇ，Ｙ）を入力し、Ｅ（ｖｉ）を再度暗号化したＥ’（ｖｉ）とＥ（ｖｉ）から（ｐ，ｑ，ｇ，Ｙ）により正しく暗号化したことの証明データｗ’ｉとを作成し（図１６、図１７、図１８のステップＣ１００−１，Ｃ１１０−１，Ｃ１４０−１）、投票者端末１００，１１０，１４０にＥ’（ｖｉ）とｗ’ｉとを返信する（図１６、図１７、図１８のステップＣ１００−２，Ｃ１１０−２，Ｃ１４０−２）。

以上が投票データの送信までの処理のうち、第１の実施形態と異なる部分である。

次に、図１９のフローチャートを参照し、投票受付け後の投票者の処理について説明する。

投票者端末１００，１１０，１４０により投票を行なった投票者は、投票データの受付けが終わった後、投票サーバ２００から受信した公開情報（ｐ，ｑ，ｇ，Ｙ）と（ｖｊ，Ｅ（ｖｊ），ｗｊ）のリストと、暗号サーバから受信した（Ｅ’（ｖｉ），ｗ’ｉ）とＥ（ｖｉ）とを暗号証明検証サーバ６００に送信する（ステップＣ１５）。暗号証明検証サーバ６００は、公開情報（ｐ，ｑ，ｇ，Ｙ）と（ｖｊ，Ｅ（ｖｊ），ｗｊ）のリストとを暗号化証明検証手段６０１に入力し、すべてのＥ（ｖｊ）がｖｊを（ｐ，ｑ，ｇ，Ｙ）により正しく暗号化されているかどうかを検証し（ステップＣ１６）、さらに、（Ｅ’ （ｖｉ），Ｅ（ｖｉ），ｗ’）を再暗号化検証手段６０２に入力し、Ｅ’（ｖｉ）がＥ（ｖｉ）を（ｐ，ｑ，ｇ，Ｙ）により正しく再度暗号化したものかどうか検証し（ステップＣ１７）、検証結果を出力する（ステップＣ１８）。

次に、本実施形態の効果について説明する。

本実施形態では、投票サーバ２００に証明付き暗号化手段２０５を備え、投票者端末には（ｖｊ，Ｅ（ｖｊ），ｗｊ）のリストが送信され、暗号化証明検証手段６０１によりＥ（ｖｊ）がｖｊを（ｐ，ｑ，ｇ，Ｙ）により正しく暗号化されたものかどうかを確認できるため、投票サーバ２００がｖｊを暗号化したものと偽って（ｖｊ，Ｅ（ｖ’ｊ），ｗ）を投票者端末に送信した場合、その不正が発覚する。これにより、投票サーバ２００での不正行為を抑止することができる。

また、暗号サーバ４００，４１０，４４０にそれぞれ証明付き再暗号手段４０２，４１２，４４２を備え、投票者端末にはＥ’（ｖｉ），Ｅ（ｖｉ），ｗ’が送信され、暗号化証明検証手段６０２によりＥ’（ｖｉ）がＥ（ｖｉ）を（ｐ，ｑ，ｇ，Ｙ）により正しく暗号化したものかどうかを確認できるため、暗号サーバがＥ（ｖｉ）を再度暗号化したものと偽ってＥ’（ｖ），Ｅ（ｖｉ），ｗ’を投票者端末に返信した場合、その不正が発覚する。これにより、暗号サーバ４００，４１０，４４０での不正行為を抑止することができる。

なおここでは、暗号化証明検証手段６０１を別のサーバ（暗号証明検証サーバ６００）に備え、投票終了後に検証を行なう構成を示したが、投票者端末内にその構成要素として暗号化証明検証手段を設け、投票中に検証を行なえるようにする構成も可能である。また、暗号化検証手段を構成要素として暗号サーバ内に設け、投票サーバの暗号証明の検証のみを投票中に行ない、暗号サーバの証明データの検証のみを投票後に行なう構成をとることも可能である。また、投票者端末に暗号化証明検証手段６０１と再暗号化証明検証手段６０２とを備え、投票中にすべての検証を行なう構成にしてもよい。

《第４の実施形態》
次に、本発明の第４の実施形態について図面を参照して説明する。第１の実施形態の匿名電子投票システムにおいて、１つの投票者端末が複数の暗号サーバを用いるようにすることによって、投票の秘密をさらに頑強（ロバスト）に守ることができるようになる。本実施形態は、１つの投票者端末に対応する暗号サーバの台数を増やしたものである。

図２０に示した第４の実施形態の匿名電子投票システムは、図１に示された第１の実施形態の匿名投票システムにおいて、ｋを２以上の整数として、投票者端末１００がｋ台の暗号サーバ４００−１〜４００−ｋと接続し、同様に投票者端末１１０，１４０がそれぞれ暗号サーバ４１０−１〜４１０−ｋ、暗号サーバ４４０−１〜４４０−ｋと接続されるようにしたものである。各暗号サーバ４００−１〜４００−ｋ，４１０−１〜４１０−ｋ，４４０−１〜４４０−ｋには、それぞれ、再暗号化手段４０１−１〜４０１−ｋ，４１１−１〜４１１−ｋ，４４１−１〜４４１−ｋが備えられている。投票者端末１００，１１０，１２０，１３０，１４０，１５０、投票サーバ２００及び認証サーバ３００の構成は、図１に示した第１の実施形態の場合と同じである。

次に、本実施形態の匿名電子投票システムの動作について説明する。図２１〜図２３は、それぞれ、投票者端末１００，１１０，１４０での処理（及びそれらの投票者端末での処理に関連する投票サーバ、認証サーバ及び暗号サーバでの処理）を示している。なお、本実施形態での初期設定の動作は第１の実施の形態と同じであり、また、投票者端末１２０，１３０，１５０の動作も第１の実施の形態におけるものと同じであるから、これらの動作については記載を省略する。

以下、投票者端末１００，１１０，１４０による投票サーバ２００へのアクセスから投票データの送信までの処理を説明する。

投票者端末１００，１１０，１４０は、投票サーバ２００へ暗号投票情報要求を送信する（図２１、図２２、図２３のステップＡ５−１）。投票サーバ２００は、暗号投票情報要求を受信すると、その暗号化手段２０３により、すべての候補者名ｖｊについて、ｖｊを公開情報（ｐ，ｑ，ｇ，Ｙ）で暗号化してＥ（ｖｊ）を作成し（図２１、図２２、図２３のステップＡ６）、公開情報（ｐ，ｑ，ｇ，Ｙ）と（ｖｊ，Ｅ（ｖｊ））のリストとを投票者端末１００，１１０，１４０に返信する（図２１、図２２、図２３のステップＡ７−１）。投票者端末１００，１１０，１４０は、（ｐ，ｑ，ｇ，Ｙ）と（ｖｊ，Ｅ（ｖｊ））のリストとを受信すると、その表示装置１０１，１１１，１４１においてｖｊのリストを投票者に表示し、投票者は入力装置１０２，１１２，１４２によりｖｊのリストから候補者ｖｉを選択して入力する（図２１、図２２、図２３のステップＡ１００−１、Ａ１１０−１、Ａ１４０−１）。

そして、投票者端末１００，１１０，１４０は、ｖｉに対応する暗号データＥ（ｖｉ）と公開情報（ｐ，ｑ，ｇ，Ｙ）とを１番目の暗号サーバ４００−１，４１０−１，４４０−１に送信する（図２１、図２２、図２３のステップＤ１０１−１，Ｄ１１１−１，Ｄ１４１−１）。暗号サーバ４００−１，４１０−１，４４０−１は、受信した暗号データＥ（ｖｉ）と公開情報（ｐ，ｑ，ｇ，Ｙ）とを再暗号化手段４０１−１，４１０−１，４４０−１に入力してＥ（ｖｉ）を再度暗号化したＥ’１（ｖｉ）を計算し（図２１、図２２、図２３のステップＤ１０１−２，Ｄ１１１−２，Ｄ１４１−２）、Ｅ’１（ｖｉ）を投票者端末１００，１１０，１４０に返信する（図２１、図２２、図２３のステップＤ１０１−３，Ｄ１１１−３，Ｄ１４１−３）。次に、投票者端末１００，１１０，１４０は、１番目の暗号サーバ４００−１，４１０−１，４４０−１から得たＥ’１（ｖｉ）を２番目の暗号サーバ４００−２，４１０−２，４４０−２に対して送信することにより、Ｅ’１（ｖｉ）をもう一回暗号化させてＥ’２（ｖｉ）を得る。以下、このような処理をｋ個の暗号サーバ４００−１〜４００−ｋ，４１０−１〜４１０−ｋ，４４０−１〜４４０−ｋのすべてについて繰り返し、暗号データＥ’ｋ（ｖｉ）を得る（図２１、図２２、図２３のステップＤ１０ｋ−３，Ｄ１１ｋ−３，Ｄ１４ｋ−３）。暗号データＥ’ｋ（ｖｉ）はＥ（ｖｉ）をｋ回にわたって再暗号化したデータに該当する。投票者端末１００，１１０，１４０は、Ｅ’ｋ（ｖｉ）を認証サーバ３００や投票サーバ２００へ送る暗号データＥ’（ｖｉ）とする（図２１、図２２、図２３のステップＤ１００−６，Ｄ１１０−５，Ｄ１４０−５）。以降の処理は、第１の実施形態における処理と同じである。

次に、本実施形態の効果について説明する。

本実施形態では、投票者端末１００，１１０，１４０に、それぞれ、暗号サーバ４００−１〜４００−ｋ、暗号サーバ４１０−１〜４１０−ｋ、暗号サーバ４４０−１〜４４０−ｋが接続され、投票者端末１００，１１０，１４０は、投票サーバ２００から受信した暗号データＥ（ｖｉ）を合計ｋ回にわたって再暗号化して得られるＥ’（ｖｉ）を投票サーバ２００に送る。そのため、投票サーバとｋ個の暗号サーバとがすべて結託しない限り、Ｅ’（ｖｉ）から平文の投票内容ｖｉが判明することはなく、投票の秘密をより強く求めることができる。

なお、ここでは、投票者端末１００，１１０，１４０に接続される暗号サーバの個数をいずれもｋ個としたが、同数である必要はなく、それぞれ別の数であってもよい。また、第１の実施形態と同じく、いくつかの投票者端末がいくつかの暗号サーバを共用することも可能である。

また、図１５に示された第３の実施形態の場合と同様に、各暗号サーバには証明付き再暗号化手段を備え、暗号化の証明データを作成するようにしてもよい。

《第５の実施形態》
次に、本発明の第５の実施形態について図面を参照して説明する。第２の実施形態の匿名電子投票システムにおいて、１つの投票者端末が複数の暗号サーバを用いるようにすることによって、投票の秘密をさらに頑強（ロバスト）に守ることができるようになる。本実施形態は、１つの投票者端末に対応する暗号サーバの台数を増やしたものである。

図２４に示した第５の実施形態の匿名電子投票システムは、図１０に示された第２の実施形態の匿名投票システムにおいて、ｋを２以上の整数として、投票者端末１００がｋ台の暗号サーバ４００−１〜４００−ｋと接続し、同様に投票者端末１１０，１４０がそれぞれ暗号サーバ４１０−１〜４１０−ｋ、暗号サーバ４４０−１〜４４０−ｋと接続されるようにしたものである。各暗号サーバ４００−１〜４００−ｋ，４１０−１〜４１０−ｋ，４４０−１〜４４０−ｋには、それぞれ、第２の変換手段４０５−１〜４０５−ｋ，４１５−１〜４１５−ｋ，４４５−１〜４４５−ｋが備えられている。ｍは１≦ｍ≦ｋである整数として、ｍ番目の暗号サーバ４００−ｍ，４１０−ｍ，４４０−ｍの第２の変換手段４０５−ｍ，４１５−ｍ，４４５−ｍは、第２の変換データ（Ｇｓｍ，Ｙｓｍ，ｓｍ）と第２の変換証明データ（Ｇｕｍ，ｕｍ）を作成する。ここで、
（Ｇｓｍ，Ｙｓｍ，ｓｍ）＝（ｇ＾ｓｍ ｍｏｄ ｐ，Ｙ＾ｓｍ ｍｏｄ ｐ，ｓｍ），
（Ｇｕｍ，ｕｍ）＝（ｇ＾ｕｍ ｍｏｄ ｐ，ｕｍ）
である。

投票者端末１００，１１０，１４０の暗号データ作成手段１０４，１１４，１４４は、投票サーバからの第１の変換データ（Ｇｒ，Ｙｒ，ｒ）＝（ｇ＾ｒ ｍｏｄ ｐ，Ｙ＾ｒ ｍｏｐ ｐ，ｒ）及び第１の変換証明データ（Ｇｄ，ｄ）＝（ｇ＾ｒ ｍｏｄ ｐ，ｄ）と、ｋ個の暗号サーバからのｋ個の第２の変換データ（Ｇｓ１，Ｙｓ１，ｓ１）〜（Ｇｓｋ，Ｙｓｋ，ｓｋ）及びｋ個の第２の変換証明データ（Ｇｕ１，ｕ１）〜（Ｇｕｋ，ｕｋ）と、平文の投票内容ｖｉとが入力されると、下記式にしたがって、暗号化投票データＥ（ｖｉ）を計算する。

Ｅ（ｖｉ）＝（Ｇｉ，Ｖｉ）
＝（Ｇｒ×Ｇｓ１×Ｇｓ２×…×Ｇｓｋ ｍｏｄ ｐ，ｖｉ×Ｙｒ×Ｙｓ１×Ｙｓ２×…×Ｙｓｋ ｍｏｄ ｐ）
さらに、暗号データ作成手段１０４，１１４，１４４は、
ａ＝Ｇｕ×Ｇｄ１×Ｇｄ２×…×Ｇｄｋ ｍｏｄ ｐ，
ｃ＝ＨＡＳＨ（ｐ，ｑ，ｇ，Ｙ，Ｇｉ，Ｖｉ，ａ），
ｔ＝ｃ×（ｒ＋ｓ１＋ｓ２＋…＋ｓｋ）＋ｕ＋ｄ１＋ｄ２＋…＋ｄｋ ｍｏｄ ｑ
を計算して、暗号化証明データ（ａ，ｔ）を計算し、暗号化投票データ（Ｇｉ，Ｖｉ）とともに出力する。

この証明は、暗号化証明検証手段２０７により、
ｃ＝ＨＡＳＨ（ｐ，ｑ，ｇ，Ｙ，Ｇｉ，Ｖｉ，ａ）
を計算して、
ｇ＾ｔ×Ｇｉ＾｛−ｃ｝＝ａ ｍｏｄ ｐ
が成り立つかどうかを確認することで、検証できる。

なお、投票者端末１２０，１３０，１５０、投票サーバ２００及び認証サーバ３００の構成は、図１０に示した第２の実施形態の場合と同じである。

次に、本実施形態の匿名電子投票システムの動作について説明する。図２５〜図２７は、それぞれ、投票者端末１００，１１０，１４０での処理（及びそれらの投票者端末での処理に関連する投票サーバ、認証サーバ及び暗号サーバでの処理）を示している。なお、本実施形態での初期設定の動作は第２の実施の形態と同じであり、また、投票者端末１２０，１３０，１５０の動作も第２の実施の形態におけるものと同じであるから、これらの動作については記載を省略する。

以下、投票者端末１００，１１０，１４０による投票サーバ２００へのアクセスから投票データの送信までの処理を説明する。

投票者端末１００，１１０，１４０は、投票サーバ２００への変換データ要求を送信する（図２５、図２６、図２７のステップＢ５）。投票サーバ２００は、変換データ要求を受信すると、第１の変換手段２０６に公開情報（ｐ，ｑ，ｇ，Ｙ）を入力し、第１の変換データ（Ｇｒ，Ｙｒ，ｒ）と第１の変換証明データ（Ｇｄ，ｄ）とを作成し（図２５、図２６、図２７のステップＢ６）、投票者端末１００，１１０，１４０に、（ｐ，ｑ，ｇ，Ｙ），（Ｇｒ，Ｙｒ，ｒ），（Ｇｄ，ｄ）を返信する（図２５、図２６、図２７のステップＢ７）。投票者端末１００，１１０，１４０は、投票サーバ２００から（ｐ，ｑ，ｇ，Ｙ），（Ｇｒ，Ｙｒ，ｒ），（Ｇｄ，ｄ）を受信すると、それぞれ、暗号サーバ４００−１，４１０−１，４４０−１に（ｐ，ｑ，ｇ，Ｙ）と変換データ要求とを送信する（図２５、図２６、図２７のステップＥ１０１−１，Ｅ１１１−１，Ｅ１４１−１）。暗号サーバ４００−１，４１０−１，４４０−１は、公開情報（ｐ，ｑ，ｇ，Ｙ）と変換データ要求とを受信すると、それぞれ、第２の変換手段４０５−１，４１５−１，４４５−１に（ｐ，ｑ，ｇ，Ｙ）を入力して、第２の変換データ（Ｇｓ１，Ｙｓ１，ｓ１）と第２の変換証明データ（Ｇｕ１，ｕ１）とを生成し（図２５、図２６、図２７のステップＥ１０１−２，Ｅ１１１−２，Ｅ１４１−２）、投票者端末１００，１１０，１４０に、（Ｇｓ１，Ｙｓ１，ｓ１）と（Ｇｕ１，ｕ１）とを返信する（図２５、図２６、図２７のステップＥ１０１−３，Ｅ１１１−３，Ｅ１４１−３）。次に、投票者端末１００，１１０，１４０は、２番目の暗号サーバ４００−１，４１０−１，４４０−１に対して同じ処理を繰り返し、以下同様にして、ｋ個の暗号サーバ４００−１〜４００−ｋ，４１０−１〜４１０−ｋ，４４０−１〜４４０−ｋのすべてについて繰り返し、ｋ個の第２の変換データ（Ｇｓ１，Ｙｓ１，ｓ１）〜（Ｇｓｋ，Ｙｓｋ，ｓｋ）とｋ個の第２の変換証明データ（Ｇｕ１，ｕ１）〜（Ｇｕｋ，ｕｋ）とを得る（図２５、図２６、図２７のステップＥ１０ｋ−３，Ｅ１１ｋ−３，Ｅ１４ｋ−３まで）。

続いて投票者端末１００，１１０，１４０は、投票者が入力したｖｉと、第１の変換データ（Ｇｒ，Ｙｒ，ｒ）、第１の変換証明データ（Ｇｄ，ｄ）、ｋ個の第２の変換データ（Ｇｓ１，Ｙｓ１，ｓ１）〜（Ｇｓｋ，Ｙｓｋ，ｓｋ）及びｋ個の第２の変換証明データ（Ｇｕ１，ｕ１）〜（Ｇｕｋ，ｕｋ）とを暗号データ作成手段１０４，１１４，１４４に入力し、暗号化投票データＥ（ｖｉ）と暗号化証明データ（ａ，ｔ）とを計算する（図２５、図２６、図２７のステップＥ１００−４，Ｅ１１０−４，Ｅ１４０−４）。これ以降の処理は、第２の実施形態の場合と同様である。

次に、本実施形態の効果について説明する。

本実施形態では、投票者端末１００，１１０，１４０に、それぞれ、暗号サーバ４００−１〜４００−ｋ、暗号サーバ４１０−１〜４１０−ｋ、暗号サーバ４４０−１〜４４０−ｋが接続され、投票者端末１００，１１０，１４０は、投票サーバ２００から受信した第１の変換データとｋ個の暗号サーバから受信したｋ個の第２の変換データにより暗号データＥ（ｖｉ）を作成し、この暗号データＥ（ｖｉ）を投票サーバ２００に送る。そのため、投票サーバとｋ個の暗号サーバがすべて結託しない限り、Ｅ’（ｖｉ）から平文の投票内容ｖｉが判明することはなく、投票の秘密をより強く求めることができる。

なお、ここでは、投票者端末１００，１１０，１４０に接続される暗号サーバの個数をいずれもｋ個としたが、同数である必要はなく、それぞれ別の数であってもよい。また、第２の実施形態と同じく、いくつかの投票者端末がいくつかの暗号サーバを共用することも可能である。

なお、投票サーバ２００に第１の変換手段を備えない構成とし、ｋ個の暗号サーバから受信した第２の変換データ、第２の変換証明データのみを用いて暗号化投票データＥ（ｖｉ）及び暗号化証明データ（α，ｔ）を作成することとしてもよい。この場合、投票者端末１００，１１０，１４０を含めすべての投票者端末は投票サーバ２００に単なる投票情報要求を送信し、投票サーバ２００はすべての投票者端末に対して公開情報（ｐ，ｑ，ｇ，Ｙ）と候補者情報を送信する。投票者端末１００，１１０，１４０の暗号データ作成手段１０４，１１４，１４４は、ｋ個の第２の変換データ（Ｇｓ１，Ｙｓ１，ｓ１）〜（Ｇｓｋ，Ｙｓｋ，ｓｋ）及びｋ個の第２の変換証明データ（Ｇｄ１，ｄ１）〜（Ｇｄｋ，ｄｋ）により、下記のように暗号化投票データＥ（ｖｉ）、暗号化証明データ（α，ｔ）を計算する。

Ｅ（ｖｉ）＝（Ｇｉ，Ｖｉ）
＝（Ｇｓ１×Ｇｓ２×…×Ｇｓｋ ｍｏｄ ｐ，ｖｉ×Ｙｓ１×Ｙｓ２×…Ｙｓｋ ｍｏｄ ｐ），
α＝Ｇｄ１×Ｇｄ２×…Ｇｄｋ ｍｏｄ ｐ，
ｃ＝ＨＡＳＨ（ｐ，ｑ，ｇ，Ｙ，Ｇｉ，Ｖｉ，α），
ｔ＝ｃ×（ｓ１＋ｓ２＋…ｓｋ）＋ｄ１＋ｄ２…ｄｋ ｍｏｄ ｑ

なお、投票サーバは、第１の変換データ、第１の変換証明データをあらかじめ計算しておくことも可能であるし、同様に、公開情報（ｐ，ｑ，ｇ，Ｙ）をあらかじめ暗号サーバに配布しておき、第２の変換データ、第２の変換証明データを事前に計算しておくようにすることも可能である。

以上、本発明の好ましい実施の形態について説明したが、上述した匿名電子投票システムを構成する投票者端末、投票サーバ、認証サーバ、暗号サーバ及び暗号証明検証サーバは、いずれも、それらの機能を実現するためのコンピュータプログラムを、サーバ用コンピュータやパーソナルコンピュータなどのコンピュータに読み込ませ、そのプログラムを実行させることによっても実現できる。こうしたコンピュータプログラムは、磁気テープやＣＤ−ＲＯＭなどの記録媒体によって、あるいは、ネットワークを介してコンピュータに読み込まれる。言い換えれば、投票者端末、投票サーバ、認証サーバ、暗号サーバ及び暗号証明検証サーバにおけるそれぞれの構成要素は、いずれも、ソフトウェアによってもハードウェアによっても実現できるものである。

特に、投票者端末を実現するためのコンピュータとしては、データ処理能力とネットワーク接続機能とを有する携帯電話機や各種の携帯情報端末（ＰＤＡ）などの、コンピュータとして見たときには比較的処理能力や記憶能力が小さいものを使用することができる。

本発明は、ネットワークなどを介した匿名電子投票システムという用途に適用できる。また、投票内容として自由記述を許すことにより、ネットワークなどを介した匿名電子アンケートシステムという用途に適用できる。

１００ 投票者端末
１０１ 表示装置
１０２ 入力装置
１０３ 機器側認証手段
１１０ 投票者端末
１１１ 表示装置
１１２ 入力装置
１１３ 組織内基盤署名生成手段
１２０ 投票者端末
１２１ 表示装置
１２２ 入力装置
１２３ 機器側認証手段
１２４ 暗号化手段
１３０ 投票者端末
１３１ 表示装置
１３２ 入力装置
１３３ 組織内基盤署名生成手段
１３４ 暗号化手段
１４０ 投票者端末
１４１ 表示装置
１４２ 入力装置
１４３ 共通基盤署名生成手段
１５０ 投票者端末
１５１ 表示装置
１５２ 入力装置
１５３ 共通基盤署名生成手段
１５４ 暗号化手段
２００ 投票サーバ
２０１ 有権者名簿データベース
２０２ 共通基盤署名検証手段
２０３ 暗号化手段
２０４ 記録装置
３００ 認証サーバ
３０１ サーバ側認証手段
３０２ 組織内基盤署名検証手段
３０３ 共通基盤署名生成手段
３０４ ＩＤ連携手段
４００ 暗号サーバ
４０１ 再暗号化手段
４１０ 暗号サーバ
４１１ 再暗号化手段
４４０ 暗号サーバ
４４１ 再暗号化手段
５００ 匿名復号システム

Claims (9)

1. ネットワークに接続された投票者端末（１００，１１０，１４０）と、
   公開情報から前記投票者端末（１００，１１０，１４０）毎に第１暗号化パラメータを生成する第１データ変換手段（２０６）を有し、前記第１暗号パラメータを前記投票者端末（１００，１１０，１４０）に送信する第１の暗号サーバ（２００）と、
   前記公開情報から前記投票者端末（１００，１１０，１４０）毎に第２暗号化パラメータを生成する第２データ変換手段（４０５，４１５，４４５）を有し、前記第２暗号化パラメータを前記投票者端末（１００，１１０，１４０）に送信する第２の暗号サーバ（４００，４１０，４４０）と、
   前記投票者端末（１００，１１０，１４０）から暗号化投票データを受信し、該受信した暗号化投票データの内で有効な暗号化投票データのリストを作成し、該作成したリストを前記ネットワーク経由で送信する投票サーバ（２００）と、
   前記投票サーバ（２００）から受信した前記有効な暗号化投票データのリストを復号し、該リストの順序を入れ換えた平文の候補者名リストを生成し、前記ネットワーク経由で送信する復号サーバ（５００）とを備え、
   前記投票サーバ（２００）は、前記復号サーバ（５００）から前記平文の候補者名リストを受信し、該受信した候補者名リストに基づいて投票結果を集計し、
   前記投票者端末（１００，１１０，１４０）は、投票内容を前記第１及び第２暗号化パラメータに基づいて暗号化して暗号化投票データを生成する暗号化手段（１０４，１１４，１４４）を有し、該暗号化投票データを前記投票サーバ（２００）に送信することを特徴とする匿名電子投票システム。
2. 前記第１の暗号サーバ（２００）と前記投票サーバ（２００）とが同一のサーバ上で作動する、請求項１に記載の匿名電子投票システム。
3. 前記投票者端末（１００，１１０，１４０）は、前記暗号化投票データに加えて、暗号化証明データを作成して前記投票サーバ（２００）に送信し、
   前記投票サーバ（２００）は、少なくとも前記暗号化証明データを検証して正当性を検証した後に、対応する暗号化投票データを前記有効な暗号化投票データとして認める、請求項１又は２に記載の匿名電子投票システム。
4. 投票者名簿に含まれる投票者又は投票者端末の識別情報をリストとして記憶する記憶装置を有し、前記投票者端末（１００）から前記暗号化投票データ及び識別情報を受信し、前記記憶装置に記憶された識別情報に基づいて前記暗号化投票データを認証する認証サーバ（３００）を更に備え、前記投票サーバ（２００）は、少なくとも前記認証サーバ（３００）により認証情報が付加された暗号化投票データを前記有効な暗号化投票データとして認める、請求項１〜３の何れか一に記載の匿名電子投票システム。
5. 認証サーバ（３００）を更に備えており、
   前記投票者端末（１１０）は、前記暗号化投票データと、組織内識別情報と、秘密鍵とに基づいて、組織内デジタル署名を生成する組織内署名生成手段（１１３）を有し、
   前記認証サーバ（３００）は、前記投票者端末（１１０）から前記暗号化投票データと、組織内識別情報と、組織内デジタル署名とを受信し、公開鍵に基づいて前記組織内デジタル署名を認証し、
   前記投票サーバ（２００）は、少なくとも前記認証サーバ（３００）により認証情報が付加された暗号化投票データを前記有効な暗号化投票データとして認める、請求項１〜３の何れか一に記載の匿名電子投票システム。
6. 第１の暗号サーバ（２００）で、公開情報から前記投票者端末（１００，１１０，１４０）毎に第１暗号化パラメータを生成し、該第１暗号パラメータを投票者端末（１００，１１０，１４０）に送信する段階と、
   第２の暗号サーバ（４００，４１０，４４０）で、前記公開情報から前記投票者端末（１００，１１０，１４０）毎に第２暗号化パラメータを生成し、該第２暗号化パラメータを前記投票者端末（１００，１１０，１４０）に送信する段階と、
   前記投票者端末（１００，１１０，１４０）で、投票者の投票内容を前記第１及び第２暗号化パラメータに基づいて暗号化して暗号化投票データを生成し、該暗号化投票データを投票サーバ（２００）に送信する段階と、
   投票サーバ（２００）で、受信した暗号化投票データの内で有効な暗号化投票データのリストを作成し、該作成したリストを前記ネットワーク経由で送信する段階と、
   復号サーバ（５００）で、前記投票サーバ（２００）から受信した前記有効な暗号化投票データのリストを復号し、該リストの順序を入れ換えた平文の候補者名リストを作成して、前記ネットワーク経由で送信する段階と、
   前記投票サーバ（２００）で、前記平文の候補者名リストを受信し、該受信した候補者名リストに基づいて投票結果を集計する段階とを備えることを特徴とする匿名電子投票方法。
7. 前記暗号化投票データを作成する段階が、前記暗号化投票データの正当性を証明する暗号化証明データを作成し、
   前記投票サーバ（２００）で、少なくとも前記暗号化証明データを検証して正当性を検証した後に、対応する暗号化投票データを前記有効な暗号化投票データとして認める段階を更に備える、請求項６に記載の匿名電子投票方法。
8. 認証サーバ（３００）で、前記投票者端末（１００）から前記暗号化投票データ及び識別情報を受信し、記憶装置に記憶された識別情報に基づいて前記暗号化投票データを認証する段階と、前記投票サーバ（２００）で、少なくとも前記認証情報が付加された暗号化投票データを前記有効な暗号化投票データとして認める段階とを更に備える、請求項６に記載の匿名電子投票方法。
9. 前記投票者端末（１１０）で、前記暗号化投票データと、組織内識別情報と、秘密鍵とに基づいて、組織内デジタル署名を生成する段階と、
   前記認証サーバ（３００）で、前記投票者端末（１１０）から前記暗号化投票データと、組織内識別情報と、組織内デジタル署名とを受信し、公開鍵に基づいて前記組織内デジタル署名を認証する段階と、
   前記投票サーバ（２００）で、少なくとも前記認証情報が付加された暗号化投票データを前記有効な暗号化投票データとして認める段階とを更に備える、請求項６に記載の匿名電子投票方法。

Images