JP3233119B2 - レシートフリー電子投票方法および装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、レシートフリー電
子投票に有用な方法および装置に関し、特に、安全なレ
シートフリー電子投票のための、整数論に基づくアルゴ
リズムに関する。

【０００２】

【従来の技術】物理的投票プロトコルとは異なり、ほと
んどすべての電子投票プロトコルにおいては、どのよう
に投票したかを証する受領書を投票者に与えていること
が示されている。このような受領書は、投票者が投票を
売ったり、別の者が投票者に投票の仕方を強制したりす
ることのできる容易な手段となってしまう。そこで、Ｓ
ＴＯＣ９４（１９９４年発行）の５４４〜５５３頁に掲
載された「Ｒｅｃｅｉｐｔ −ｆｒｅｅ Ｓｅｃｒｅｔ−
ｂａｌｌｏｔ Ｅｌｅｃｔｉｏｎ（レシートフリー秘密
投票選挙）」と題するＪ．Ｃ．Ｂｅｎａｌｏｈらの論文
では、第１のレシートフリー電子投票プロトコルが提案
されている。彼らの方法によれば、委託センターが、各
投票者に対し、ランダムな配列の「賛成」票および「反
対」票からなる一対の投票券を発行する。確実なビーコ
ンおよび物理的投票ブースを用いて、センターは、投票
券が実際に正しく構成された「賛成／反対」または「反
対／賛成」対であることを公衆に証明し、同時に、検証
者に対しそれがどちらの対であるかを証明する。物理的
装置により、検証者は、部外者と通信できる時点まで
に、投票券が「賛成／反対」であることのプルーフを偽
造したり、「反対／賛成」であることのプルーフを偽造
したりすることができる。このようなプルーフは、もは
や、受領書としていずれの証拠にもなることはない。

【０００３】これとは別に、ＮｉｅｍｉおよびＲｅｎｖ
ａｌｌは、ＡＳＩＡＣＲＹＰＴ’９４（１９９４年発
行）の１４１〜１４８頁に掲載された「Ｈｏｗ ｔｏ ｐ
ｒｅｖｅｎｔ ｂｕｙｉｎｇ ｏｆ ｖｏｔｅｓｉｎ ｃｏ
ｍｐｕｔｅｒ ｅｌｅｃｔｉｏｎｓ（コンピュータ選挙
において投票の買収を防ぐ方法）」と題するＮｉｅｍｉ
らの論文において、この問題を解決しようとしている。
彼らも物理的投票ブースを用い、投票者はここですべて
のセンターとマルチパーティ計算を行なう。

【０００４】また、特開平８−３１５０５３号公報で
は、以下の３つのステップからなるレシートフリー電子
投票を述べている。第１のステップは、投票生成センタ
ーが、各投票者に対して、ひと組のあらゆる可能な投票
を発行することである。第２のステップは、投票生成セ
ンターからシャッフリングセンターを介して、投票者に
投票を転送することである。第３のステップは投票者に
よる匿名投票である。投票対の最初の配列様式と、第２
のステップにおいてそれらがどのようにシャッフルされ
たかを保存しておくことにより、各投票者にはどちらの
票がどれであるかがわかる。各投票者は受領した投票の
うちの１つを、安全な匿名チャンネルを介して集計セン
ターに提出する。集計センターは投票数を計算する。他
にも、Ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌｓ '９７
（１９９７年発行）の２５頁〜３５頁に掲載された「
Ｒｅｃｅｉｐｔ−ｆｒｅｅ ｅｌｅｃｔｒｏｎｉｃ ｖ
ｏｔｉｎｇ ｓｃｈｅｍｅｓ ｆｏｒ ｌａｒｇｅ ｓ
ｃａｌｅ ｅｌｅｃｔｉｏｎｓ」と題する岡本の論文及
び特開平１０−７４１８２号公報では、投票者から集計
センターへ匿名でかつ安全なチャンネルをベースに安全
なレシートフリー投票方法を提案している。

【０００５】

【発明が解決しようとする課題】Ｂｅｎａｌｏｈ−Ｔｕ
ｉｎｓｔｒａやＮｉｅｍｉ−Ｒｅｎｖａｌｌらのプロ
トコルにおいては、物理的要件として双方向に盗聴不可
能な安全なチャネルが必要である。

【０００６】特開平８−３１５０５３号公報の方法で
は、投票生成センターから投票選択手段への一方向のみ
盗聴不可能なチャネルがあれば実現できるが、その投票
選択手段から投票集計センターに投票をメッセージを送
達するために、匿名チャネルが必要であり、この匿名チ
ャンネルを実現するためには投票者数に比例した大きな
計算量が必要になる。

【０００７】特開平１０−７４１８２号公報記載の方法
においては、匿名で物理的に安全なチャンネルが必要で
あり、これが実現可能なチャンネルかどうかはわからな
い。

【０００８】

【課題を解決するための手段】本発明によれば、大きな
計算量がかかる匿名チャネルがなくとも、一方向のみ盗
聴不可能なチャネルがあれば実現できるレシートフリー
電子投票方法が得られる。本発明による安全なレシート
フリー投票方式においては、物理的に安全な盗聴不可能
なチャンネルを用いることにより、各投票者は、どのよ
うに投票したかの証拠を残さない。「盗聴不可能な安全
なチャンネル」なる用語は、他者にアクセスすなわち検
出されることなくセンターからメッセージを送り得るこ
とを言う。

【０００９】このような盗聴不可能なチャンネルは、１
９９２年１０月発行のＳｃｉｅｎｔｉｆｉｃＡｍｅｒｉ
ｃａｎ、第２６７巻第４号、５０〜５７頁に掲載された
「Ｑｕａｎ ｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ（量子暗
号法）」と題するＣ．Ｂｅｎｎｅｔｔらの論文に記載さ
れている。盗聴不可能なチャンネルを用いることの最終
結果は、投票者も他者も、どんな票を入れたかあるいは
どんなメッセージを送ったかを見せたり証明したりでき
ないことである。いったんメッセージを送るか受けとる
かすると、内容は変更されメッセージのプルーフを不可
能にする。しかしながら、メッセージが途中であるいは
受領時に傍受すなわち検出された場合には、傍受すなわ
ち検出した者は、変更が可能となる時点より前にメッセ
ージの内容を知ることができる。さらに、たとえ安全で
ないチャンネルを用いたとしても、メッセージが傍受す
なわち検出されることなくチャンネルに沿って進行した
場合には、本発明に用いられるプロトコルにより、いっ
たんその送付先において受領した後では、その票がどん
な票であったかの判定は可能ではない。言い換えれば、
盗聴不可能なチャンネルとは、途中で傍受すなわち検出
されることなくメッセージを伝達することをいう。

【００１０】以下の説明において、「検証者特定証明」
なる用語が用いられる。検証者特定証明は、検証者の公
開鍵などを用いて証明するプロトコルであり、証明者は
その検証者に対しては証明の正しさを納得してもらえる
が、その検証者以外の人は、たとえ、その検証者が自分
が受信した証明を転送しても、その証明の正しさが納得
できない性質を持つものである。詳細な説明および具体
的な構築方法については１９９６年発行のＡｄｖａｎｃ
ｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ， Ｅｕｒｏｃｒｙｐ
ｔ’９６の１４３〜１５４頁に掲載された「Ｄｅｓｉｇ
ｎａｔｅｄ−ｖｅｒｉｆｉｅｒ ｐｒｏｏｆｓ ａｎｄ
ｔｈｅｉｒ ａｐｐｌｉｃａｔｉｏｎｓ」と題するＪａ
ｋｏｂｓｓｏｎ，Ｓａｋｏ，Ｉｍｐａｇｌｉａｚｚｏの
論文に記載されている。

【００１１】本発明の方法によれば、投票生成センター
と、投票集計センターと、投票生成センターと各投票者
との間で投票用データを転送するための変換センターが
設けられる。本発明の方法は以下の４つのステップから
なる。第１のステップは、投票生成センターが、各投票
者に対して、投票用データを発行することである。この
投票用データからは、すべての投票選択肢が選択できる
ものである。ここで、投票選択肢はＬ個あるとする。各
投票者ｉに対して、投票生成センターは投票用データを
作成し、投票生成センターはこの投票用データが正しく
生成されていることを証明する。さらに、その投票者の
みに、盗聴不可能な安全なチャンネルを介して投票用デ
ータの内容を伝え、検証者特定証明を用い、その対応が
正しいことを証明する。

【００１２】第２のステップは、投票生成センターから
変換センターを介して、投票者に投票用データを転送す
ることである。各変換センターは、変換ネットを介して
投票者ｉに対する投票用データ内を変換し、その結果を
変換投票用データとして出力する。

【００１３】変換センターはその動作の正当性、すなわ
ち変換後の投票用データは入力の投票用データを適切な
変換パラメータを用いて変換したものであることを証明
する。さらに、その投票者のみに、盗聴不可能な安全な
チャンネルを介して出力投票用データは、どのように入
力投票用データを変換したか、その変換パラメータの一
部を伝え、検証者特定証明を用い、その変換内容が正し
いことを証明する。

【００１４】第２のステップは必須のものではなく、省
略する場合には、投票生成センターは、掲示板を介して
投票者に直接、投票用データを送る。

【００１５】第３のステップは投票者による投票であ
る。最初の投票用データの内容と、第２のステップにお
いてそれらがどのように変換されたかを保存しておくこ
とにより、各投票者には投票用データからどのように自
分の投票内容を選択すればよいかがわかる。各投票者は
自分の投票文を選択し、掲示板を介して集計センターに
提出する。

【００１６】第４のステップは集計センターによる投票
の集計である。集計センターは各投票者の選択された投
票文を暗号化されたまま累積する。累積された暗号文を
復号すれば、投票結果が計算できる。このような投票集
計の方法は、たとえば 1997年発行のＡｄｖａｎｃｅｓ
ｉｎ Ｃｒｙｐｔｏｌｏｇｙ， ＥＵＲＯＣＲＹＰＴ９７
の１０３〜１１８頁に掲載された「Ａ ｓｅｃｕｒｅ ａ
ｎｄ ｏｐｔｉｍａｌｌｙ ｅｆｆｉｃｉｅｎｔ ｍｕｌ
ｔｉ−ａｕｔｈｏｒｉｔｙ ｅｌｅｃｔｉｏｎ ｓｃｈｅ
ｍｅ」に記載されている。なお、同文献にも記載されて
いるように、集計センターがそれぞれの暗号化されてい
る投票を復号して投票の秘密を侵さないように、集計セ
ンターの復号権限を適切に管理することが望ましく、こ
の目的の権限分散手法はたとえば １９９１年発行のＡ
ｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ， ＥＵＲ
ＯＣＲＹＰＴ ９１の５２２〜５２６頁に掲載された
「Ａ Ｔｈｒｅｓｈｏｌｄ Ｃｒｙｐｔｏｓｙｓｔｅｍ
ｗｉｔｈｏｕｔ ａ Ｔｒｕｓｔｅｄ Ｐａｒｔｙ」の
他、数多く発明されている。

【００１７】このように実現すれば、投票者は投票生成
センターおよび変換センターによって作成された投票用
データの内容が如何なるものであるか、第三者に証明で
きないので、自分が選択した投票の内容がいかなるもの
か証する受領書を発行できない。

【００１８】さらに、投票者の選択した投票文が不正な
投票文であることは投票生成センター及び各変換センタ
ーが投票用データを正しく生成ならびに変換したことを
証明しているので、保証されている。

【００１９】加えて、変換センターがそれぞれ投票生成
センターの生成した投票用データを変換しているので、
第二ステップを行えば、投票生成センターに対しても、
投票者が選択した投票文がなにであるかは秘匿される。

【００２０】なお、すべての投票選択肢が選択できる投
票用データとして、すべての投票選択肢を表現する暗号
投票文のセットとし投票用データの内容として各暗号投
票文と投票選択肢の対応とすることができる。このと
き、投票用データの変換として、セット中の投票暗号文
の順番を入れ換える処理が採用でき、この場合、変換内
容は並び替えの順番になる。

【００２１】他にも、投票用データとしてひとつの投票
選択肢を表現する暗号投票文であって、それの変換パラ
メータを選択することによって別の投票選択肢を表現で
きる性質のものであってもよい。他にも、暗号投票文と
直接関係がなくても、この投票用データから、すべての
投票選択肢が生成あるいは選択できるものであり、投票
用データを変換することにより、同じ投票選択肢でも生
成方法あるいは選択方法が変わるものを採用できる。

【００２２】

【発明の実施の形態】以下、本発明を、添付図面を用い
て詳細に説明する。本発明の好ましい第１の実施の形態
による安全なレシートフリー電子投票方法を図１および
図２を参照して説明する。本発明の方法によれば、デー
タ構成プロセス２６により投票生成センター１０が生成
した投票用データは、電子掲示板１３その他の公衆アク
セス可能な報知手段上に送付される。

【００２３】ここでは簡単のために、投票選択肢が
「１」票と「０」票の２通りであるとする。投票用デー
タは各投票選択手段１２（ｉ）に対して、ランダムな配
列に並べ変えた「１」票と「０」票の対からなるとす
る。つぎに投票生成センター１０は、公衆に対して投票
用データが正しく生成されていることを証明する。これ
は証明プロセス２０により実行される。さらに、投票選
択手段１２（ｉ）に対する投票用データの内容、すなわ
ちどのように票が並べられているかを、盗聴不可能なチ
ャンネル１６（ｉ）を介して、投票選択手段１２（ｉ）
に秘密に伝達する。同時に、投票生成センター１０は、
これが正しい情報であることを、盗聴不可能なチャンネ
ル１６（ｉ）を介して証明する。

【００２４】この伝達及び証明は、後述するように、内
容伝達プロセス２８により実行される。投票選択手段１
２（ｉ）は、物理的に盗聴不可能なチャンネル１６
（ｉ）を介して投票生成センター１０から送られる秘密
メッセージを参考に、投票用データを用いて自分の票を
選択する。投票選択手段１２（１）、１２（２）、…、
１２（ｌ）により選択された暗号投票文は、投票集計セ
ンター１５に、電子掲示板を介して転送される。すべて
の暗号投票文は、投票集計センター１５にて積算され、
積算された暗号文を復号することによって、投票結果が
判定される。投票生成センター１０、投票選択手段１２
（ｉ）、投票集計センター１５の各々は、計算手段、好
ましくは、パーソナルコンピュータから構成されるが、
ワークステーションその他でも差支えない。

【００２５】以上、本発明の方法の概略を説明したが、
つぎに、データ構成プロセス２６と、証明プロセス２０
と、内容伝達プロセス２８と、盗聴不可能なチャンネル
１６を介して安全に転送される情報の詳細について説明
する。

【００２６】投票生成センター１０は、データ構成プロ
セス２６を実行することにより、各投票選択手段１２
（ｉ）に対して投票用データ、すなわち「０」票および
「１」票からなる暗号化投票セットを生成する。センタ
ーは、独立して選択された乱数を用いて、各投票選択手
段１２（ｉ）に対するデータ構成プロセスを行なう。

【００２７】「１」票と「０」票の暗号化形態は、掲示
板に入力するのに適したものでなければならな い。好
ましくは、前記「Ａ Ｓｅｃｕｒｅ ａｎｄ ｏｐｔｉｍ
ａｌｌｙ Ｅｆｆｉｃｉｅｎｔ Ｍｕｌｔｉ−Ａｕｔｈｏ
ｒｉｔｙ Ｅｌｅｃｔｉｏｎ Ｓｃｈｅｍｅ」に記載され
た方法 を用いて「１」票と「０」票の暗号化形態を定
める。

【００２８】まず、以下に用いる定数ｐ，ｇ，ｙ，G は
すべての投票選択手段に対して適当に選択された共通定
数であり、その選択手法は上記文献に記載されている通
りであるとする。

【００２９】次に、再暗号手法を定義する。これは入力
ｖ＝（ｘ，ｙ）に対して、ランダムに選択された乱数α
を用いて、ｖ’＝（ｘ ｇ＾α ｍｏｄ ｐ， ｙ ｈ
＾αｍｏｄ ｐ）を生成することである。ｖ＝（ｘ，
ｙ）の復号結果は、ｈ＝ｇ＾ｚ ｍｏｄ ｐなるｚを用
いて ｙ／ｘ＾ｚ ｍｏｄ ｐと計算するため、再暗号
されたｖ’の復号結果もｖに等しくなる。一方、ｖから
ｖ’への変換には乱数αが利用されているので、αを知
らない人には ｖとｖ’の関係を秘匿することができ
る。そこで、「１」票の暗号化形態とは、ｖ１＝（１，
Ｇ）を再暗号したものすべてであり、「０」票の暗号化
形態とは、ｖ０＝（１，１／Ｇ）を再暗号したものすべ
てである、と定義する。

【００３０】データ構成プロセス２６の詳細にはいる前
に、集計方法について簡単にふれておく。このように生
成された暗号化された票を集計する場合は、それぞれ暗
号化形態の第一成分ごとの積と第二成分ごとの積を計算
する。このようにして得られた暗号化された積算値
（Ｘ，Ｙ）を前記集計センターの秘密鍵ｚを用いて Ｙ
／Ｘ＾ｚ ｍｏｄ ｐを計算した結果、Ｇ＾Ｔ ｍｏｄ
ｐが得られる。このＴは、「１」票の総数と「０」票
の総数の差分であり、これが正の数であれば「１」票多
数、負であれば「０」票多数という投票結果が判明す
る。このようにして、集計が可能である。

【００３１】以下、本発明の焦点である投票用データ生
成方法と電子投票方法についてより詳細に述べる。デー
タ構成プロセス２６において、投票生成センター１０は
ランダムに選択された乱数ｒｉ１およびｒｉ２を用いて
それぞれｖ１，ｖ０を再暗号し、ｖｉ１，ｖｉ０を生成
する。

【００３２】投票生成センター１０は、２分の１の確率
で（ｖｉ０，ｖｉ１）の順に、それ以外は（ｖｉ１，ｖ
ｉ０）の順に、（ｖｉＡ，ｖｉＢ）として掲示板上に掲
示する。証明プロセス２０においては、投票生成センタ
ー１０はその出力した投票用データ（ｖｉＡ，ｖｉＢ）
がただしい「１」票と「０」票からなる投票用データで
あることを証明するために、「１」票を再暗号した結果
が（ｖｉＡ，ｖｉＢ）のいずれかであること、および
「０」票を再暗号した結果が（ｖｉＡ，ｖｉＢ）のいず
れかであること、であることを証明する。具体的に、ｖ
を再暗号した結果がｖ１，ｖ２のいずれかであることを
証明するＯＲ証明アルゴリズムについては後述する。

【００３３】次に、内容伝達プロセス２８について説明
する。これは、Ａ＝１，Ｂ＝０なのか、あるいはＡ＝
０，Ｂ＝１なのかという投票用データの内容を正しく投
票選択手段１２（ｉ）に盗聴不可能なチャンネル１６を
介して伝えることであり、その対応が正しいことは、同
様に盗聴不可能なチャンネル１６を介してＡ＝１，Ｂ＝
０の場合は、「１」票を再暗号した結果がｖｉＡであ
り、「０」票を再暗号した結果がｖｉＢであることを証
明し、Ａ＝０，Ｂ＝１の場合は、「１」票を再暗号した
結果がｖｉＢであり、「０」票を再暗号した結果がｖｉ
Ａであることを証明するのである。さらに、この証明は
投票選択手段１２（ｉ）の公開鍵を用いた検証者特定証
明を用いる。

【００３４】なお、本例の場合は、「１」票（あるいは
「０」票）を再暗号した結果がｖｉＡであることのみ示
せば、別途証明プロセス２０で（ｖｉＡ，ｖｉＢ）が正
しい暗号投票文セットであることを証明しているので、
自動的に「０」票（あるいは「１」票）を再暗号した結
果がｖｉBであることが成り立つ。具体的に、ｖを再暗
号した結果がｖ’であることを検証者特定で証明する再
暗号証明アルゴリズムについては後述する。投票生成セ
ンターは、上述したように盗聴不可能なチャンネル１６
を介して投票用データの内容とその正しさを示す検証者
特定証明を投票選択手段１２（ｉ）に送る。

【００３５】投票選択手段１２（ｉ）は、検証プロセス
２４により、内容証明アルゴリズムの正当性を検証す
る。これらの正当性が検証されると、投票選択手段１２
（ｉ）は、選択プロセス２５を実行し、掲示板上の暗号
投票文セットからなる投票用データのうち、その意見を
あらわす１つを選択する。投票選択手段には、投票用デ
ータが暗号票文のどのような配列であるかが内容伝達プ
ロセスにより正しく伝えられているので、正しい選択を
することができる。投票選択手段１２（ｉ）により選択
された投票は、他の投票選択手段により選択された他の
投票とともに、投票集計センター１５の入力となる。上
述の方法を適用すると、悪意ある者が投票選択手段１２
（ｉ）にその投票を開示することを強制しても、投票生
成センター１０が投票を開示することを許されないかぎ
り、あるいは、盗聴不可能なチャンネル１６（ｉ）が盗
聴されないかぎり、選択された投票が「１」票であった
か「０」票であったかの具体的な証拠を受けとることは
できない。

【００３６】つぎに、ＯＲ証明アルゴリズムならびに検
証者特定の再暗号証明アルゴリズムを説明する。どちら
の証明アルゴリズムも、証明手段と検証手段とを含む。
この場合には、証明手段は投票生成センターである。検
証手段は、検証者特定の再暗号証明アルゴリズムの場合
は投票選択手段であり、ＯＲ証明アルゴリズムの場合は
投票選択手段を含む公衆である。これらのアルゴリズム
において、適当なハッシュ関数Ｈを利用することによ
り、証明手段と検証手段が相互に通信しなくても証明プ
ロトコルが成立する。

【００３７】ＯＲ証明アルゴリズム （ｖ＝（ｘ，ｙ）を再暗号した結果がｖ１＝（ｘ１，ｙ
１）あるいはｖ２＝（ｘ２，ｙ２）であることの証明） ここで、証明手段はｘｊ＝ｘ ｇα ｍｏｄ ｐ， ｙ
ｊ＝ｙ ｈα ｍｏｄｐなるｊとαを知っているものと
する。 １．証明手段はｄ１，ｄ２，ｒ１，ｒ２をランダムに選
び、 ａ１＝（ｘ１／ｘ）＾ｄ１ ＊ ｇ＾ｒ１ ｍｏｄ ｐ ａ２＝（ｘ２／ｘ）＾ｄ２ ＊ ｇ＾ｒ２ ｍｏｄ ｐ ｂ１＝（ｙ１／ｙ）＾ｄ１ ＊ ｈ＾ｒ１ ｍｏｄ ｐ ｂ２＝（ｙ２／ｙ）＾ｄ２ ＊ ｈ＾ｒ２ ｍｏｄ ｐ を計算する。 ２．ｃ＝Ｈ（ｘ，ｙ，ｘ１，ｙ１，ｘ２，ｙ２，ａ１，
ａ２，ｂ１，ｂ２）を計算する。 ３．ｖを再暗号した結果がｖｊの場合、ｄｊをｃ−ｄ
ｊ’とし、（ｊ’はｊではない方の数字）ｒｊをαｄ’
＋ｒｊ−αｄｊ（ここでｄ’は置き換えられる前のｄ
ｊ）に置き換える。 ４．上記のように書き換えられたｄ１，ｄ２，ｒ１，ｒ
２を証明とする。 ５．検証手段は、送られて来たｄ１，ｄ２，ｒ１，ｒ２
から ａ１＝（ｘ１／ｘ）＾ｄ１ ＊ ｇ＾ｒ１ ｍｏｄ ｐ ａ２＝（ｘ２／ｘ）＾ｄ２ ＊ ｇ＾ｒ２ ｍｏｄ ｐ ｂ１＝（ｙ１／ｙ）＾ｄ１ ＊ ｈ＾ｒ１ ｍｏｄ ｐ ｂ２＝（ｙ２／ｙ）＾ｄ２ ＊ ｈ＾ｒ２ ｍｏｄ ｐ を再構築し、 ｄ１＋ｄ２＝Ｈ（ｘ，ｙ，ｘ１，ｙ１，ｘ２，ｙ２，ａ
１，ａ２，ｂ１，ｂ２） が成り立つかどうか検証する。

【００３８】ＯＲ証明アルゴリズムは上記のような方法
でなくても、ｖ＝（ｘ，ｙ）を再暗号した結果がｖ１＝
（ｘ１，ｙ１）あるいはｖ２＝（ｘ２，ｙ２）であるこ
との証明を満たせばなんでもよい。たとえば、上記のよ
うにハッシュ関数をつかわずとも、検証手段がランダム
にｃを選択する対話型の証明アルゴリズムであってもよ
い。さらに言えば、証明プロセス２０は上記のようなＯ
Ｒ証明アルゴリズムを２回用いる方法ではなく与えられ
た投票用データがすべての投票選択肢を表現する組であ
ることを、具体的にどれがどの選択肢なのか示せずに証
明できるアルゴリズムであれば、なんでもよい。たとえ
ば、「１」票を再暗号した結果が（ｖｉＡ，ｖｉＢ）の
いずれかであることをＯＲ証明アルゴリズムを用いて証
明し、次にｖｉＡとｖｉＢを成分ごとに掛け合わすと
（１，１）を再暗号したものに等しくなることを証明し
てもよい。これらのバリエーションは当業者なら容易に
考えいたるものである。

【００３９】つぎに検証者特定の再暗号証明アルゴリズ
ムを説明する。検証者特定の再暗号証明アルゴリズム
（ｖ＝（ｘ，ｙ）を再暗号した結果がｖ’＝（ｘ’，
ｙ’）であることの証明） ここで、証明手段はｘ’＝ｘ ｇα ｍｏｄ ｐ，
ｙ’＝ｙ ｈα ｍｏｄｐなるαを知っているものとす
る。また、検証手段の公開鍵として、ｈ’＝ｇ＾ｚ’
ｍｏｄ ｐなる定数が知られているものとする。 １．証明手段はｄ，ｗ，ｒをランダムに選び、 ａ＝ｇ＾ｄ ｍｏｄ ｐ ｂ＝ｈ＾ｄ ｍｏｄ ｐ ｓ＝ｇ＾ｗ ｈ’＾ｒ ｍｏｄ ｐ を計算する。 ２．ｃ＝Ｈ（ｘ，ｙ，ｘ’，ｙ’，ａ，ｂ，ｓ）を計算
する。 ３．ｕ＝ｄ＋α（ｃ＋ｗ）を計算する。 ４．ｃ，ｗ，ｒ，ｕを証明とする。 ５．検証手段は、送られて来たｃ，ｗ，ｒ，ｕから ａ＝ｇ＾ｕ／（ｘ’／ｘ）＾（ｃ＋ｗ） ｍｏｄ ｐ ｂ＝ｈ＾ｕ／（ｙ’／ｙ）＾（ｃ＋ｗ） ｍｏｄ ｐ ｓ＝ｇ＾ｗ ｈ’＾ｒ ｍｏｄ ｐ を再構築し、ｃ＝Ｈ（ｘ，ｙ，ｘ’，ｙ’，ａ，ｂ，
ｓ）が成り立つかどうか検証する。

【００４０】検証者特定の再暗号証明アルゴリズムは上
記のような方式でなくても、ｖ＝（ｘ，ｙ）を再暗号し
た結果がｖ’＝（ｘ’，ｙ’）であることの証明で、検
証者以外に有効性をもたらさない手法であればなんでも
よい。さらに言えば、内容伝達プロセス２０は上記のよ
うな検証者特定の再暗号証明アルゴリズムを用いなくて
も、伝達したい各投票用データの内容を、特定の検証者
だけが正しさを納得できる証明アルゴリズムであれば、
なんでもよい。

【００４１】なお、ｚ’を知ってしまえば、必ずしも再
暗号の関係にない（ｘ，ｙ）と（ｘ’，ｙ’）に対して
も上記の検証者特定証明のチェックを通過するような証
明ペア（ｃ，ｗ，ｒ，ｕ）を作成できる。したがって、
ｚ’を知らしめることにより、検証者特定証明の無効化
が容易に実現できる。

【００４２】検証者特定証明のより詳細な説明は、前記
「Ｄｅｓｉｇｎａｔｅｄ−ｖｅｒｉｆｉｅｒ ｐｒｏｏ
ｆｓ ａｎｄ ｔｈｅｉｒ ａｐｐｌｉｃａｔｉｏｎｓ」
と題する論文に記載されている。投票生成センターがそ
の秘密メッセージを送付した後、投票選択手段１２
（ｉ）は、無効化プロセス２７を行ない、センターの証
明を無効化する。無効化プロセス２７は、センターに値
ｚ’を通知し、センターに、後で誤った情報を提供する
能力、または、値ｚ’を掲示板１３上に掲示する能力を
も持たせるようにすることを含んでいる。

【００４３】レシートフリー特性の安全性をより高める
ため、図３および図４に示すように、多数の変換センタ
ー１１（１）、１１（２）、…、１１（ｍ）からなる変
換ネット１１を組み入れることができる。投票生成セン
ター１０が投票選択手段１２（ｉ）に対して生成した各
投票用データは、投票選択手段１２（ｉ）に達する前に
変換ネット１１を通過する。このような構成により、す
べての変換センターおよび投票生成センターと共謀しな
いかぎり、あるいは変換センターと投票選択手段１２
（ｉ）間の盗聴不可能なチャンネル１７（１）、１７
（２）、…、１７（ｍ）をすべて盗聴しないかぎり、悪
意ある者が、投票選択手段１２（ｉ）がどのように投票
したかを判定することはできない。

【００４４】各変換センターは、計算手段、好ましくは
パーソナルコンピュータから構成されるが、ワークステ
ーションその他でも差支えない。変換ネットおよび変換
センターの動作について説明する。変換センター１１
（ｊ）は、前の変換センター１１（ｊ−１）（ｊ＝１の
とき、投票生成センター１０）により送付された投票用
データを変換する変換プロセス３０（図５）の結果を送
付する。これを、最後の変換センター１１（ｍ）が変換
結果を送付するまで続ける。各変換センターは、投票用
データがどのように変換されたかを、安全な盗聴不可能
なチャンネル１７（ｊ）を介して投票選択手段に知らせ
る。各変換センターは、投票生成センターと同様にし
て、公正に変換したことおよび誤った情報を与えなかっ
たことを投票選択手段に対して証明する。これは証明プ
ロセス３１及び対応証明アルゴリズム３３により実行さ
れる。

【００４５】図５は、変換センター１１（ｉ）の動作を
示す。変換センター１１（ｉ）は、変換プロセス３０お
よび証明プロセス３１を実行し、出力を送付する。証明
プロセス３１は、公平に変換したことを公衆に証明す
る。対応伝達プロセス３２は、具体的にどのような変換
をほどこしたか、およびこの情報が間違っていないこと
を検証者特定の対応証明アルゴリズム３３により投票選
択手段にのみ証明する。

【００４６】次に変換プロセス３０を説明する。このプ
ロセスの入力を投票用データ（Ｖ１，Ｖ２）とする。変
換アルゴリズムは、発生させた乱数ｃ１およびｃ２によ
り暗号化投票Ｖ１及びＶ２をそれぞれ再暗号し、その結
果ランダムな順序でＶＡ，ＶＢとして送付する。証明プ
ロセス３１は、変換センターが変換アルゴリズムを正し
く実行したことを証明するために用いられる。証明プロ
セス３１は、証明手段と検証手段を含む。この場合に
は、証明手段は変換センターである。検証手段は、投票
選択手段を含め、いかなる実在でもよい。これは、具体
的には前記ＯＲ証明アルゴリズムを用いて、Ｖ１を再暗
号した結果が（ＶＡ，ＶＢ）のいずれかであること、及
びＶ２を再暗号した結果が（ＶＡ，ＶＢ）のいずれかで
あること、をしめせばよい。

【００４７】証明プロセスは上記のような方式でなくて
も、与えられた出力の暗号文の組が入力の暗号文の組を
入れ換えたものであることを、具体的にどのように入れ
換えたかを示せずに証明できるアルゴリズムであれば、
なんでもよい。たとえば、Ｖ１を再暗号した結果が（Ｖ
Ａ，ＶＢ）のいずれかであることをＯＲ証明アルゴリズ
ムを用いて証明し、次にＶＡとＶＢを成分ごとに掛け合
わすと（１，１）を再暗号したものに等しくなることを
証明してもよい。これらのバリエーションは当業者なら
容易に考えいたるものである。

【００４８】次に、対応伝達プロセス３２について説明
する。これは、Ａ＝１，Ｂ＝２なのか、あるいはＡ＝
２，Ｂ＝１なのかという変換内容を正しく投票選択手段
１２（ｉ）に伝えることであり、その対応が正しいこと
は、Ａ＝１，Ｂ＝２の場合は、Ｖ１を再暗号した結果が
ＶＡであり、Ｖ２を再暗号した結果がＶＢであること
を、Ａ＝２，Ｂ＝１の場合は、Ｖ１を再暗号した結果が
ＶＢであり、Ｖ２を再暗号した結果がＶＡであること
を、検証者特定証明によって証明するのである。これは
前記検証者特定の再暗号証明アルゴリズムを１回用いる
ことにより達成できる。投票生成センターにより送られ
た、投票用データは、変換センター１１（１）、１１
（２）、…、１１（ｍ）によりつぎつぎに処理され、最
後のセンターが、ランダムかつ追跡不能に配列した一組
の暗号化投票を出力して各投票選択手段に与えるまで続
けられる。

【００４９】投票選択手段１２（ｉ）は、安全な盗聴不
可能なチャンネル１６（ｉ）、１７（１）、１７
（２）、…、１７（ｍ）を介して投票生成センターおよ
び変換センターから受け取った秘密メッセージを用い
て、投票を選択する。変換センターの証明の無効化は、
投票生成センターの証明の無効化と同様にして実現され
る。

【００５０】ここでは、簡単のために、０票と１票の２
値投票の場合を例にとって説明したが、多値投票でも前
記文献「Ａ Ｓｅｃｕｒｅ ａｎｄ ｏｐｔｉｍａｌｌｙ
Ｅｆｆｉｃｉｅｎｔ Ｍｕｌｔｉ−Ａｕｔｈｏｒｉｔｙ
Ｅｌｅｃｔｉｏｎ Ｓｃｈｅｍｅ」に記載されているよ
うな暗号化形態を採用することができ、その時のＯＲ証
明アルゴリズム（ｖを再暗号した結果がｖ１，ｖ
２，．．ｖＬのうちのいずれかであることを証明する）
なども本例で説明したアルゴリズムを拡張して得られ
る。具体的には、「ｉ」票（ｉは１からＬまでの数）の
暗号化形態を、ｖｉ＝（１，Ｇ＾（Ｍ＾ｉ））を再暗号
したものすべてと定義することによって、同様な投票集
計ができる。

【００５１】証明プロセス２０においては、投票生成セ
ンター１０はその出力した投票用データがすべての
「ｉ」票を含んでいることを証明するために、「ｉ」票
を再暗号した結果が投票用データに含まれていることを
すべての「ｉ」票について証明すればよい。具体的に、
ｖを再暗号した結果がｖ１，ｖ２，．．ｖＬのうちのい
ずれかであることを証明するＯＲ証明は一例として下記
のようにして達成できる。ＯＲ証明アルゴリズム（多値
版）（ｖ＝（ｘ，ｙ）を再暗号した結果がｖｉ＝（ｘ
ｉ，ｙｉ）（ｉ＝１，．．Ｌ）に含まれることの証明） ここで、証明手段はｘｊ＝ｘ ｇα ｍｏｄ ｐ， ｙ
ｊ＝ｙ ｈα ｍｏｄｐなるｊとαを知っているものと
する。 １．証明手段はｄｉ， ｒｉ （ｉ＝１，．．Ｌ）をラ
ンダムに選び、 ａｉ＝（ｘｉ／ｘ）＾ｄｉ ＊ ｇ＾ｒｉ ｍｏｄ ｐ ｂｉ＝（ｙｉ／ｙ）＾ｄｉ ＊ ｈ＾ｒｉ ｍｏｄ ｐ を計算する。 ２．ｃ＝Ｈ（ｘ，ｙ，ｘ１，ｙ１，．．．，ｘＬ，ｙ
Ｌ，ａ１，．．．，ａＬ，ｂ１，．．．，ｂＬ）を計算
する。 ３．ｖを再暗号した結果がｖｊの場合、ｄｊをｃ−Σｄ
ｉとし、（ここでｉはｊ以外の添字）ｒｊをαｄ’＋ｒ
ｊ−αｄｊ（ここでｄ’は置き換えられる前のｄｊ）に
置き換える。 ４．上記のように書き換えられたｄ１，．．，ｄＬ，ｒ
１，．．，ｒＬを証明とする。 ５．検証手段は、送られて来たｄ１，．．．，ｄＬ，ｒ
１，．．．ｒＬから ａｉ＝（ｘｉ／ｘ）＾ｄｉ ＊ ｇ＾ｒｉ ｍｏｄ ｐ ｂｉ＝（ｙｉ／ｙ）＾ｄｉ ＊ ｈ＾ｒｉ ｍｏｄ ｐ を再構築し、Σｄｉ＝Ｈ（ｘ，ｙ，ｘ１，ｙ
１，．．．，ｘＬ，ｙＬ，ａ１，．．．，ａＬ，ｂ
１，．．．，ｂＬ）が成り立つかどうか検証する。

【００５２】内容伝達プロセス２８においては、投票用
データの内容の正当性を伝えるために、各「ｉ」票を再
暗号した結果が特定のｖｊであることを前述の検証者特
定で証明する再暗号証明アルゴリズムで証明すればよ
い。さらに証明プロセス３１や対応伝達プロセス３３も
同様に上記のＯＲ証明アルゴリズム（多値版）や前述の
検証者特定で証明する再暗号証明アルゴリズムを利用す
ればよい。

【００５３】本発明の好ましい第２の実施の形態による
安全なレシートフリー投票方式を説明する。本形態で
は、投票用データは１つの暗号投票文であり、この投票
用データを変換する変換パラメータを選択すれば、他の
投票選択肢へ変換できるものである。発明の方法の概略
は第１の実施の形態と同様であるため、同様に図１と図
２を参照し、主に第一の実施の形態と差異のある点を中
心に説明する。ここでは簡単のために、投票選択肢が
「１」票 と「０」票の２通りであるとする。投票用デ
ータは各投票選択手段１２（ｉ）に対して、ランダムに
選ばれた「１」票あるいは「０」票である。つぎに投票
生成センター１０は、公衆に対して投票用データが正し
く生成されていることを証明する。これは証明プロセス
２０により実行される。さらに、投票選択手段１２
（ｉ）に対して、投票用データの内容、すなわち、暗号
投票文がどの票であるかを、盗聴不可能なチャンネル１
６（ｉ）を介して、投票選択手段１２（ｉ）に秘密に伝
達する。同時に、投票生成センター１０は、これが正し
い情報であることを、盗聴不可能なチャンネル１６
（ｉ）を介して証明する。この伝達及び証明は、後述す
るように、内容伝達プロセス２８により実行される。

【００５４】投票選択手段１２（ｉ）は、物理的に盗聴
不可能なチャンネル１６（ｉ）を介して投票生成センタ
ー１０から送られる秘密メッセージを用いて、その投票
用データそのもの、あるいはその票と反対の票を選択す
る。投票選択手段１２（１）、１２（２）、…、１２
（ｌ）により選択された投票は、投票集計センター１５
に、電子掲示板を介して転送される。すべての暗号化投
票は、投票集計センター１５にて積算され、積算された
暗号文を復号することによって、投票結果が判定され
る。投票生成センター１０、投票選択手段１２（ｉ）、
投票集計センター１５の各々は、計算手段、好ましく
は、パーソナルコンピュータから構成されるが、ワーク
ステーションその他でも差支えない。

【００５５】以上、本発明の方式の概略を説明したが、
つぎに、データ構成プロセス２６と、証明プロセス２０
と、内容伝達プロセス２８と、盗聴不可能なチャンネル
１６を介して安全に転送される情報の詳細について説明
する。

【００５６】投票生成センター１０は、データ構成プロ
セス２６を実行することにより、各投票選択手段１２
（ｉ）に対して「０」票あるいは「１」票からなる投票
用データを生成する。センターは、独立して選択された
乱数を用いて、各投票選択手段１２（ｉ）に対するデー
タ構成プ ロセスを行なう。「１」票と「０」票の暗号
化形態は、第１の実施の形態の場合と同様である。

【００５７】次に、データ構成プロセス２６において、
投票生成センター１０は確率２分の１でｖ１あるいはｖ
０を選び、ランダムに選択された乱数ｒｉ１を用いてこ
れを再暗号し、ｖｉＡを生成し、これを投票用データと
する。

【００５８】投票生成センター１０は、投票用データｖ
ｉＡを掲示板上に掲示する。証明プロセス２０において
は、投票生成センター１０はこの投票用データｖｉＡが
ただしい「１」票あるいは「０」票であることを証明す
るために、「１」票を再暗号した結果が（ｖｉＡ，ｖｉ
Ａ＾（−１））のいずれかであることを証明する。具体
的に、ｖを再暗号した結果がｖ１，ｖ２のいずれかであ
ることを証明するＯＲ証明アルゴリズムについては第１
の実施の形態で述べたものが採用できる。

【００５９】次に、内容伝達プロセス２８について説明
する。これは、投票用データの内容、すなわちｖｉＡが
「１」票なのか「０」票なのかを投票選択手段１２
（ｉ）に盗聴不可能なチャンネル１６を介して伝えるこ
とであり、その対応が正しいことは、同様に盗聴不可能
なチャンネル１６を介して「１」票を再暗号した結果が
ｖｉＡである、あるいは「０」票を再暗号した結果がｖ
ｉＡであることを証明するのである。さらに、この証明
は投票選択手段１２（ｉ）の公開鍵を用いた検証者特定
証明を用いる。具体的に、ｖを再暗号した結果がｖ’で
あることを検証者特定で証明する再暗号証明アルゴリズ
ムについては第１の実施の形態で述べたものが採用でき
る。投票生成センターは、上述したように盗聴不可能な
チャンネル１６を介して投票用データの内容とその正し
さを示す検証者特定証明を投票選択手段１２（ｉ）に送
る。

【００６０】投票選択手段１２（ｉ）は、検証プロセス
２４により、内容証明アルゴリズムの正当性を検証す
る。この正当性が検証されると、投票選択手段１２
（ｉ）は、選択プロセス２５を実行し、掲示板上の投票
用データかその反転のうち、自身の意見をあらわす１つ
を選択する。投票選択手段には、投票用データがどのよ
うな内容であるかが内容伝達プロセスにより正しく伝え
られているので、正しい選択をすることができる。レシ
ートフリー特性の安全性をより高めるため、図３および
図４に示すように、多数の変換センター１１（１）、１
１（２）、…、１１（ｍ）からなる変換ネット１１を組
み入れることができる。投票生成センター１０が投票選
択手段１２（ｉ）に対して生成した投票用データは、投
票選択手段１２（ｉ）に達する前に変換ネット１１を通
過する。このような構成により、すべての変換センター
および投票生成センターと共謀しないかぎり、あるいは
変換センターと投票選択手段１２（ｉ）間の盗聴不可能
なチャンネル１７（１）、１７（２）、…、１７（ｍ）
をすべて盗聴しないかぎり、悪意ある者が、投票選択手
段１２（ｉ）がどのように投票したかを判定することは
できない。

【００６１】変換ネットおよび変換センターの動作につ
いて説明する。変換センター１１（ｊ）は、前の変換セ
ンター１１（ｊ−１）（ｊ＝１のとき、投票生成センタ
ー１０）により送付された投票用データを処理し、変換
をほどこした変換プロセス３０（図５）の結果を送付す
る。これを、最後の変換センター１１（ｍ）が変換結果
を送付するまで続ける。各変換センターは、投票用デー
タをどのように変換したかを、安全な盗聴不可能なチャ
ンネル１７（ｊ）を介して投票選択手段に知らせる。

【００６２】各変換センターは、投票生成センターと同
様にして、公正に変換したことおよび誤った情報を与え
なかったことを投票選択手段に対して証明する。これは
証明プロセス３１及び対応証明アルゴリズム３３により
実行される。

【００６３】図５は、変換センター１１（ｉ）の動作を
示す。変換センター１１（ｉ）は、変換プロセス３０お
よび証明プロセス３１を実行し、出力を送付する。証明
プロセス３１は、正当に変換したことを公衆に証明す
る。対応伝達プロセス３２は、具体的にどのような変換
をしたか、およびこの情報が間違っていないことを検証
者特定の対応証明アルゴリズム３３により投票選択手段
にのみ証明する。

【００６４】次に変換プロセス３０を説明する。 この
プロセスの入力を投票用データＶ１とする。変換アルゴ
リズムは、確率２分の１で、Ｖ１かＶ１＾（−１）を選
び、その選んだ値を発生させた乱数ｃにより再暗号し、
その結果をＶＡとして送付する。証明プロセス３１は、
変換センターが変換アルゴリズムを正しく実行したこと
を証明するために用いられる。証明プロセス３１は、証
明手段と検証手段を含む。この場合には、証明手段は変
換センターである。検証手段は、投票選択手段を含め、
いかなる実在でもよい。これは、具体的には前記ＯＲ証
明アルゴリズムを用いて、Ｖ１を再暗号した結果が（Ｖ
Ａ，ＶＡ＾（−１））のいずれかであることをしめせば
よい。

【００６５】証明プロセスは上記のような方式でなくて
も、与えられた出力の投票用データが入力の投票用デー
タの反転かそのままの再暗号であることを、具体的に反
転したかどうかを示せずに証明できるアルゴリズムであ
れば、なんでもよい。

【００６６】次に、対応伝達プロセス３２について説明
する。これは、ＶＡを生成するときに、Ｖ１あるいはそ
の反転を再暗号したのかを投票選択手段１２（ｉ）に伝
えることであり、その変換内容が正しいことは、前者の
場合はＶ１を再暗号した結果がＶＡであることを、後者
の場合はＶ１＾（−１）を再暗号した結果がＶＡでるこ
とを検証者特定証明によって証明するのである。これは
前記検証者特定の再暗号証明アルゴリズムによって達成
できる。

【００６７】投票生成センターにより送られた、投票用
データは、変換センター１１（１）、１１（２）、…、
１１（ｍ）によりつぎつぎに処理され、最後のセンター
が、ランダムかつ追跡不能に変換した投票用データを出
力して各投票選択手段に与えるまで続けられる。投票選
択手段１２（ｉ）は、安全な盗聴不可能なチャンネル１
６（ｉ）、１７（１）、１７（２）、…、１７（ｍ）を
介して投票生成センターおよび変換センターから受け取
った秘密メッセージを用いて、投票を選択する。変換セ
ンターの証明の無効化は、投票生成センターの証明の無
効化と同様にして実現される。

【００６８】ここでは、簡単のために、０票と１票の２
値投票の場合を例にとって説明したが、多値投票でも本
例を拡張して得られる。具体的には、「ｉ」票（ｉは１
からＬまでの数）を、（０，．．，０，１，０，．．，
０）と、ｉ番目が１で、その他は０のＬ値ベクトルで表
現し、その暗号化形態はｉ番目の成分は（１，Ｇ）を再
暗号したもの、それ以外の成分は（１，１）を再暗号し
たもので表現することと定義する。成分毎に積算するこ
とにより、どの票が何票獲得したかは上記と同じ原理で
容易に計算できる。このように暗号投票文を定義すれ
ば、「ｉ」票を「ｊ」票に変換するためには、ｉ番目の
成分がｊ番目になるように全成分を（ｊ−ｉ ｍｏｄ
Ｌ）回のサイクリックシフトをすればよい。各変換セン
ターでは、入力のＬ値ベクトルの投票用データの各成分
のシフトを任意回数おこない、そのシフト段数を投票選
択手段に秘密に伝えればよい。

【００６９】投票選択手段は、最終的な投票用データを
もとに、自分の投票文に変換されるような、Ｌ値ベクト
ルの投票用データの各成分のシフト段数を選択すること
により、暗号投票文を選択できる。証明プロセス２０に
おいては、投票生成センター１０はその出力した任意の
「ｉ」票を示す投票用データが（１，０，．．，０）で
表現される「１」票を任意回数シフトしたものであるこ
とを証明すればよい。これは上述のＯＲ証明アルゴリズ
ムを２次元的に実行することで可能になる。内容伝達プ
ロセス２８においては、投票用データの内容がまさしく
「ｉ」票であることを伝えるために、「ｉ」票を再暗号
した結果が投票用データであることを各成分ごとに、前
述の検証者特定で証明する再暗号証明アルゴリズムで証
明すればよい。

【００７０】さらに証明プロセス３１や対応伝達プロセ
ス３２も同様に上記のＯＲ証明アルゴリズム（２次元
版）や前述の検証者特定で証明する再暗号証明アルゴリ
ズムを複数回利用すればよい。

【００７１】以上、本発明を実施する好ましい方式を説
明してきたが、つぎに、本発明を実施するために用いら
れる装置の好ましい実施形態を説明する。

【００７２】図１は、本発明の方式を実施するための装
置の好ましい実施形態を概略的に示している。投票生成
センター１０と、投票選択手段１２（１）、１２
（２）、…、１２（ｌ）と、投票集計センター１５は、
従来の電子掲示板１３に接続されたパーソナルコンピュ
ータやワークステーションを用いている。安全な盗聴不
可能なチャンネル１６（１）、１６（２）、…、１６
（ｌ）を設けて、投票生成センターから各投票選択手段
に秘密メッセージを送ることができるように構成されて
いる。メッセージ転送プロセスを構成するすべての要素
（送出部、検証手段、センターなど）は、電子掲示板１
３にメッセージを送付したりそこからメッセージを受け
とったりすることにより相互に働きかける。ただし、投
票生成センターが、盗聴不可能なチャンネルを介して、
投票選択手段に秘密メッセージを送る場合を除く。投票
生成センターまたは投票選択手段は、投票集計センター
としても機能する。パーソナルコンピュータは、上述の
方式を実施するソフトウェアを内蔵するか、または、図
２に示した要素をハードウェアやソフトウェア内に有し
ている。

【００７３】図２は、レシートフリー投票を実現するた
めにメッセージがどのように転送されるかを示す。上述
したように、投票生成センター１０は、各投票選択手段
１２（ｉ）に対して、データ構成プロセス２６を用いて
投票用データを生成する。投票生成センターはつぎに、
証明プロセス２０を実行する。内容伝達プロセス２８及
びその正当性を保証する内容証明アルゴリズム２２の出
力は、盗聴不可能なチャンネル１６（ｉ）を介して投票
選択手段１２（ｉ）に送られる。投票生成センター１０
のその他の出力は電子掲示板１３上に送付される。投票
選択手段１２（ｉ）は、検証プロセス２４および選択プ
ロセス２５を実行し、掲示板上の投票用データを用いて
選択した暗号投票文を出力する。すべての投票選択手段
１２（１）、１２（２）、…、１２（ｌ）の選択した暗
号投票文は、掲示板を介して投票集計センター１５に転
送される。

【００７４】図３は、変換ネットを用いた本発明の好ま
しい実施形態を概略的に示している。投票生成センター
１０と、変換センター１１（１）、１１（２）、…、１
１（ｍ）と、投票選択手段１２（１）、１２（２）、
…、１２（ｌ）と、投票集計センター１５は、従来の電
子掲示板１３に接続されたパーソナルコンピューターま
たはワークステーションを用いている。盗聴不可能なチ
ャンネル１６（１）、１６（２）、…、１６（ｌ）を設
けて、投票生成センターから各投票選択手段に秘密メッ
セージを送ることができるように構成されている。さら
に、盗聴不可能なチャンネル１７（１）、１７（２）、
…、１７（ｍ）を設けて、変換センター１１（１）、１
１（２）、…、１１（ｍ）から投票選択手段１２（ｉ）
に秘密メッセージを送ることができる構成されている。
メッセージ転送プロセスを構成するすべての要素（送出
部、検証手段、センターなど）は、掲示板にメッセージ
を送付したりそこからメッセージを受け取ったりするこ
とにより相互に働きかける。ただし、投票生成センター
や変換センターが、盗聴不可能なチャンネルを介して投
票選択手段に秘密メッセージを送る場合を除く。投票生
成センターまたは投票選択手段または投票集計センター
または変換センターは、投票集計センターまたは変換セ
ンターとしても機能する。パーソナルコンピュータは、
上述の方式を実施するソフトウェアを内蔵するか、また
は、図４および図５に示した要素をハードウェアやソフ
トウェア内に有している。

【００７５】図４は、変換ネットを用いてレシートフリ
ー投票を実現するためにメッセージがどのように転送さ
れるかを示す。投票生成センター１０は、各投票選択手
段１２（ｉ）に対して投票用データを生成し、電子掲示
板１３上に送付する。つぎに変換センター１１（１）
は、掲示板１３から投票用データを読み、変換プロセス
３０および証明プロセス３１を実行し、変換した投票用
データを掲示板１３に出力する。

【００７６】その一方で、盗聴不可能なチャンネル１７
（１）を介して投票選択手段１２（ｉ）に対応伝達プロ
セス３２及びその正当性を保証する対応証明アルゴリズ
ム３３の出力であるところの秘密メッセージを送る。同
様にして、以降の変換センターは掲示板１３から前のセ
ンターの出力を読み、自己の出力をつぎの変換センター
に与えるために掲示板に送付する。その一方で、盗聴不
可能なチャンネル１７（１）を介して投票選択手段１２
（ｉ）に秘密メッセージを送る。投票選択手段１２
（ｉ）は最後の変換センターの出力を読み、検証プロセ
ス３５と選択プロセス３６を実行し、掲示板上の投票用
データを用いて選択した投票を出力する。すべての投票
選択手段１２（１）、１２（２）、…、１２（ｌ）の選
択した投票は、掲示板を介して投票集計センター１５に
転送される。

【００７７】投票生成センターがその秘密メッセージを
送付した後、投票選択手段１２（ｉ）は、無効化プロセ
ス３７を行ない、センターの証明を無効化する。図５
は、変換センター１１（ｉ）を概略的に示す図である。
変換センターは変換プロセス３０と証明プロセス３１及
び対応伝達プロセス３２を行なう。対応伝達プロセス３
２は、対応証明アルゴリズム３３を含む。

【００７８】以上、安全なレシートフリー電子投票のた
めの好ましい方法および装置について説明したが、当業
者であれば、請求項により定められる本発明の開示およ
び趣旨の範囲を逸脱することなく変形や修正が可能であ
ることはいうまでもない。

【００７９】

【発明の効果】以上、詳細に説明した通り、本発明をも
ちいれば、どのように投票したかを証する受領書を投票
者に与えない安全なレシートフリープロトコルを、最小
限の物理的制限で効率よく実現する方法を実現できる。

【図面の簡単な説明】

【図１】本発明の好ましい一実施形態の概略図である。

【図２】メッセージの流れの概略図である。

【図３】変換センターを設けた本発明の好ましい実施形
態の概略図である。

【図４】変換センターを設けた場合のメッセージの流れ
の概略図である。

【図５】変換センターの概略図である。

【符号の説明】

１０ 投票生成センター １１ 変換ネット １１（ｉ） 変換センター １２（ｉ） 投票選択手段 １３ 電子掲示板 １５ 投票集計センター １６（ｉ） 盗聴不可能なチャンネル １７（１）〜ｍ 盗聴不可能なチャンネル ２０ 証明プロセス ２２ 内容証明アルゴリズム ２４ 検証プロセス ２５ 選択プロセス ２６ データ構成プロセス ２７ 無効化プロセス ２８ 内容伝達プロセス ３０ 変換プロセス ３１ 証明プロセス ３２ 対応伝達プロセス ３３ 対応証明アルゴリズム ３５ 検証プロセス ３６ 選択プロセス ３７ 無効化プロセス

───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 17/60 H04L 9/32 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (25)

(57)【特許請求の範囲】
1. 【請求項１】（ａ）各投票選択手段のための投票用デー
   タを構成して公衆アクセス可能な掲示板上に掲示するス
   テップと、 （ｂ）盗聴不可能な安全なチャンネルを介して各投票選
   択手段に投票用データの内容を伝える専用メッセージを
   送るステップと、 （ｃ）投票選択手段が掲示板上にて、前記内容を伝えら
   れた投票用データを用いて投票文を選択するステップ
   と、 （ｄ）各投票選択手段からの選択された投票文を暗号化
   されたまま累積し、累積結果を復号することにより、投
   票結果を算出するステップとを含むことを特徴とする、
   レシートフリー電子投票方法。
2. 【請求項２】 投票用データの正当性を証明するステッ
   プをさらに含むことを特徴とする、請求項１に記載のレ
   シートフリー電子投票方法。
3. 【請求項３】 投票用データの内容の正当性を保証する
   証明を含むことを特徴とする、請求項１または２に記載
   のレシートフリー電子投票方法。
4. 【請求項４】 上記専用メッセージは、投票用データの
   内容の正当性を保証する証明の全部あるいは一部分を含
   むことを特徴とする、請求項３に記載のレシートフリー
   電子投票方法。
5. 【請求項５】 内容の正当性を保証する証明が、投票選
   択手段を検証者とする検証者特定証明であることを特徴
   とする、請求項３または４に記載のレシートフリー電子
   投票方法。
6. 【請求項６】 上記投票選択手段が証明を無効化するス
   テップをさらに含むことを特徴とする、請求項５に記載
   のレシートフリー電子投票方法。
7. 【請求項７】 上記投票選択手段が証明を無効化するス
   テップは、投票選択手段の秘密鍵を上記掲示板に与える
   ものであることを特徴とする、請求項６に記載のレシー
   トフリー電子投票方法。
8. 【請求項８】 上記ステップ（ａ）は、 （ｉ）上記構成された投票用データを変換すること、お
   よび、 （ii）上記変換に関する専用メッセージを、盗聴不可能
   な安全なチャンネルを介 して、上記投票選択手段に送る
   ことをさらに含むことを特徴とする、請求項１、２、
   ３、４、５、６または７に記載のレシートフリー電子投
   票方法。
9. 【請求項９】 上記変換された投票用データの正当性を
   証明するステップをさらに含むことを特徴とする、請求
   項８に記載のレシートフリー投票方式。
10. 【請求項１０】 上記変換された投票用データの変換内
    容の正当性を証明するステップをさらに含むことを特徴
    とする、請求項８または９に記載のレシートフリー電子
    投票方法。
11. 【請求項１１】 上記専用メッセージは、変換内容を示
    すことを含むことを特徴とする、請求項８、９または１
    ０に記載のレシートフリー電子投票方法。
12. 【請求項１２】 上記専用メッセージは、変換内容の正
    当性を保証する証明の全部あるいは一部分を含むことを
    特徴とする、請求項１０または１１に記載のレシートフ
    リー電子投票方法。
13. 【請求項１３】 上記内容の正当性を保証する証明が、
    投票選択手段を検証者とする検証者特定証明であること
    を特徴とする、請求項１０、１１または１２に記載のレ
    シートフリー電子投票方法。
14. 【請求項１４】 上記投票選択手段が証明を無効化する
    ステップをさらに含むことを特徴とする、請求項１３に
    記載のレシートフリー電子投票方法。
15. 【請求項１５】 上記証明を無効化するステップは、投
    票選択手段の秘密鍵を上記掲示板に与えることを含むこ
    とを特徴とする、請求項１４に記載のレシートフリー電
    子投票方法。
16. 【請求項１６】 １つあるいは複数の投票生成センター
    と、複数の投票選択手段と、掲示板と、投票集計センタ
    ーとを備え、上記投票生成センターは、上記投票選択手
    段の各々のための投票用データを構成して公衆アクセス
    可能な上記掲示板上に掲示し、さらに、上記投票生成セ
    ンターは、盗聴不可能な安全なチャンネルを介して各投
    票選択手段に専用メッセージを送り、上記投票選択手段
    の各々は、掲示板を介して投票用データを用いて投票文
    を選択し、上記投票集計センターは各投票選択手段から
    の選択された投票文を暗号化されたまま累積し、累積結
    果を復号することにより、投票結果を算出することを特
    徴とする、レシートフリー電子投票装置。
17. 【請求項１７】 上記投票生成センターは、投票用デー
    タの正当性を証明するステップをさらに行うことを特徴
    とする、請求項１６に記載のレシートフリー電子投票装
    置。
18. 【請求項１８】 上記投票生成センターは、投票用デー
    タの内容の正当性を証明するステップをさらに行なうこ
    とを特徴とする、請求項１６または１７に記載のレシー
    トフリー電子投票装置。
19. 【請求項１９】 上記投票選択手段は、証明を無効化す
    るステップをさらに行なうことを特徴とする、請求項１
    ８に記載のレシートフリー電子投票装置。
20. 【請求項２０】 上記構成された投票用データを受けと
    るための変換センターの変換ネットをさらに備え、上記
    変換ネット内の各変換センターは、投票用データを変換
    し、盗聴不可能な安全なチャンネルを介して投票選択手
    段に専用メッセージを送ることを特徴とする、請求項１
    ６、１７、１８または１９に記載のレシートフリー電子
    投票装置。
21. 【請求項２１】上記変換センターは、さらに上記変換さ
    れた投票用データの正当性を証明するステップを行うこ
    とを特徴とする、請求項２０に記載のレシートフリー電
    子投票装置。
22. 【請求項２２】 上記変換センターは、さらに上記変換
    された投票用データの変換内容の正当性を証明するステ
    ップを行うことを特徴とする、請求項２０または２１に
    記載のレシートフリー電子投票装置。
23. 【請求項２３】 各投票選択手段が、証明を無効化する
    ステップをさらに行なうことを特徴とする、請求項２２
    に記載のレシートフリー電子投票装置。
24. 【請求項２４】 上記投票用データが、暗号投票文セッ
    トであることを特徴とする請求項１、２、３、４、５、
    ６、７、８、９、１０、１１、１２、１３、１４または
    １５記載のレシートフリー電子投票方法。
25. 【請求項２５】 上記投票用データが、暗号投票文であ
    ることを特徴とする請求項１、２、３、４、５、６、
    ７、８、９、１０、１１、１２、１３、１４または１５
    記載のレシートフリー電子投票方法。