JP6567675B2 - 携帯用デバイスに実装される電子投票方法およびシステム - Google Patents

Description

本出願は、スマートフォンなどの携帯用デバイスに実装され、投票において匿名性、検証可能性および安全性の基本的要件、ならびに電子投票システムの他の周知の要件を満たすことができる電子投票用の方法およびシステムに関する。本出願で提案した方法およびシステムは、投票システムおよび方法の評価側面において設定した６つの要件を満たすことに留意されたい。コンピュータシステムにおける悪意のある第三者、不正、障害、またはエラーと関連付けられる危険性を防ぎ、それ故に参加を促し、かつ投票結果の完全性を確保するのに必要とされる透明性を与えることに加えて、匿名性を確保しながら、投票者に正確な発行および票の集計を検証することを許容する難問が解決される。

さらに、本出願の本発明は、現在広く利用されている携帯用デバイスに実装される方法およびシステムを提供し、定められた投票所へ行くことなく遠隔で投票することを許容することによって投票率を高め、投票がプロセス自体と投票者の両方に安全であることを確保する。

電子投票のための方法およびシステムは、動向および世論調査の分析を含むものなど、特定の投票、ならびに一般投票、例えば公職の選挙または住民投票の両方において、様々な場合に広く利用され始めている。

実際には、電子投票の大規模な実施の初期の歴史は、１９６４年に遡り、米国がこのようなシステムを実施する先駆けのうちの１つである。当時、電子投票システムは、投票所に直接設置され、パンチカードおよび集計コンピュータ機を使用した。このようなデバイスは、安全性、匿名性および透明性の要件に適合するだけでなく、自動化のおかげで大量の票の管理および集計を改善するためにも長年にわたって発展してきた。

１９９６年に、米国政府は、インターネット、電子メールおよび電話投票を含む様々な投票方式が提供された初めての選挙を実施した。しかし、インターネットによる投票能力を提供する最初の議会選挙が２００７年にエストニアで行われ、投票者は認証手段としてスマート識別カードを使用した。当時、その目的は、投票者の選択で投票所を解放して投票プロセスをより容易にすることであり、約４％の票がインターネットにアクセスすることにより投じられた。このような電子投票システムの先進的な例は、米国特許出願第２０１１／０２３８４６３号明細書（特許文献１）および米国特許公開第２０１２／００９５８１１号明細書（特許文献２）に見出され、票および結果を認証するセキュリティ対策に加えて、投票者識別、投票の管理、投票した票の集計のための様々な機構を統合する電子投票システムおよび方法が提案されている。

この点において、２０１１年に欧州において議会の投票中に、全票数の２４％でインターネット投票の最も高い割合が得られた。この高い割合は、携帯用コンピュータを票を含むインターフェースと見なす、米国特許出願第２０１４／０２０７５３７号明細書（特許文献３）の文書で提案されるように、投票者識別機として携帯電話の提供が原因であった。

上記背景を考慮すると、米国特許出願第２００２／００７７８８６号明細書（特許文献４）は、投票所に設置される電子投票用のシステム、方法および装置を開示しており、前記装置は発行された投票用紙を記録、集計および印刷するための独自のシステムを提供している。これに関連して、この装置は、冗長な投票情報を記憶するための別個の記憶手段に、少なくとも、集計のためのシステムによって使用される電子メモリ内の投票情報、ならびに投票プロセスを監査するために通常使用される紙の投票に関する情報の記憶を提供している。さらに、本出願の装置は、表示デバイスを使用しており、このデバイスでは、投票セッション識別子を提供する投票者に対してインターフェースが実装される。これは、すべての票において透明性を提供し、各票と投票者との間に匿名性を維持する。しかし、本出願の方法、システムおよび装置は、ユーザに割り当てられる識別コードで票を印刷することを考慮しており、これは票とその適切な投票者との関連付けを容易にする。さらに、投票機は、投票所に設置され、それ故に遠隔の安全な投票は可能ではない。したがって、米国特許出願第２００２／００７７８８６号明細書（特許文献４）によって提案された解決策は、遠隔投票に関する問題または票の数を促進するために投票を容易にする方法に対処しておらず、加えて、その解決策には、投票と関連付けられた深刻なセキュリティ問題、主に匿名性および非強制の問題がある。これらの問題は、投票用紙においてランダムなコードの印刷から生じ、それ故にコードを投票者と関連付ける可能性を許容し、したがって投票者を投票した票と関連付ける。

さらに、国際公開第２０１２／１３７０３５号パンフレット（特許文献５）は、全国的な位置に基づいた移動投票システムに対してＧＭＳネットワークの使用を規定しており、ＧＭＳネットワークは、ある地域の全市民にアクセスし、かつ中央データベースプラットフォームへのリアルタイム接続を提供するために使用される。この中央データベースは、オンライン票を集め、それらの票を安全に集計し、投票者の身元と関連付けられる情報の記憶を避けることによって投票者の匿名性を考慮に入れ、監査のためにシステムにアクセスする可能性を提供する。要するに、この公報によって提案されたシステムは、ＧＭＳネットワークを使用して投票者の票を集め、彼らの位置を取得することである。この解決策により、投票者を投票所から解放することができるが、それは電子投票が構成される主な要件または柱に関して票および投票者の保護を確保していない。実際には、国際公開第２０１２／１３７０３５号パンフレット（特許文献５）によって提案されたシステムは、選挙違反を防ぐ機能を含んでおらず、これは、情報の管理、および悪意のある第三者、例えばハッカーが情報へのアクセスを得る可能性により、電子システムにおいて関連性がある。

上記に関して、電子投票システムにおけるセキュリティは非常に適切であると見なされる。これに関して、特開２０１１−０２８３７６号公報（特許文献６）の文書は、携帯電話を使用する電子投票システムを提供しており、このシステムはネットワークに配置されたサーバおよび携帯電話からなり、各電話がデバイスのＳＩＭカードと関連付けられたＩＭＳＩ番号に対応する識別子を含む。前記システムは、識別子の識別によって同じ携帯電話において二重投票を防ぐプログラムなど、投票するための様々なプログラムを含む。これに関連して、問題の文書は、数ある中でも、悪意のある第三者による選挙違反を避けることができるセキュリティ対策を提案することなく、票の重複に関して投票のセキュリティに対処するだけである。さらに、複数のＳＩＭカードを有するユーザは、投票に使用されるデバイスにこのようなカードを導入することによってシステムのセキュリティを侵害しようとするかもしれない。

加えて、欧州特許第２４５５９１９号明細書（特許文献７）の文書は、移動通信ネットワークを使用する電子投票方法を説明している。この方法は、様々なセキュリティ対策を考慮しており、その中で投票者に知られているＰＩＮ番号は、前記投票者の電子投票を検証および許可するために選挙を担当する当局に送信される。このような承認は、投票者によって受信されたコードで行われ、この投票者は投票情報も受信する。信頼できる機関によって乱数が生成され、投票者に送信され、その結果、暗号化された投票情報および乱数は、選挙プロセスを担当する当局に送信される。上記を考慮すると、欧州特許第２４５５９１９号明細書の文書は、投票のセキュリティを高める複雑なセキュリティシステムを提案しているが、これは悪意のある第三者がオンラインで見つけられる情報にアクセスするのを防ぐことができず、それを許可なしで処理または開示することができない。実際には、第三者のアクセスに対する防御の唯一の方法は情報の暗号化であり、情報を処理することにおいてコンピュータが有する大きい能力に起因した現在脆弱な方法は、最先端の暗号化であっても解読することができる。加えて、投票検証システムは、煩雑かつ複雑であり、操作中の故障の可能性を高める。匿名性に関して、欧州特許第２４５５９１９号明細書（特許文献７）の文書は、票を暗号化された乱数と関連付け、かつ票を投票者の情報と関連付けないことによってこの要件が達成されると説明しているが、この関連付けは、投票者が自分自身で投票を検証するのを妨げる。

米国特許出願第２０１４／００８９０６２号明細書（特許文献８）の文書は、スマートフォンを使用する投票システムを提供し、これが安全かつ迅速な投票方法を提供することを示している。これに関して、この文書は、証明書管理モジュール、ならびに投票の管理側面のためのモジュール、例えば投票者情報、投票者の登録および身元の管理、投票者証明書の生成および検証などを含む異なるモジュールを使用している。これに関連して、この文書によって提案されたシステムおよび方法は、投票者と投票者の身元を検証するサーバとの間の継続的な通信を考慮しており、検証後、これは票を許可する投票証明書を発行する。加えて、米国特許出願第２０１４／００８９０６２号明細書（特許文献８）の文書で提案された無記名投票システムは、一連の工程からなり、投票を複雑にする様々なモジュールに関わり、投票者に不都合となる。最後に、この文書で提案されたシステムおよび方法は、悪意のある第三者による不正投票を防ぐ簡易かつ有効的な解決策を提案しておらず、その理由は、このような不正に立ち向かう唯一の障壁が情報の暗号化であり、これは票を有効にするときに安全ではないためである。加えて、投票における秘密が投票者登録の証明書によって保証されるだけであり、これは投票の方法の非検証可能性に加え、システムの不確実性を高める。

これに関連して、多くのシステムが米国特許公開第２００８／０１０５７４２号明細書（特許文献９）および米国特許公開第２００５／１０１３０７号明細書（特許文献１０）の文書など、米国特許出願第２０１４／００８９０６２号明細書（特許文献８）に記載されるものに類似の方法を使用しており、これらの文書では、トランザクション識別子と不正に対するセキュリティの一次手段として識別および暗号化との比較として識別機構が使用されている。実際には、投票の手段としてスマートフォンなどの携帯用デバイスの使用を提案する解決策の大部分は、後述する検証可能性および非強制などの投票と関連付けられる他の危険性に対処することなく、投票の秘密および投票者の匿名性に関するセキュリティ面を引き継いでいる。

電子投票システムはこの数年間使用されたことを示したが、これらのシステムは、選挙を無効にすることにつながり得るエラーから免れない。これらのエラーの中で、最も関連のあるものは投票者の認証、投票目的による投票者の支持の登録、支持の集計、およびデータが改ざんされないという意味におけるセキュリティに関するものであり、これらは投票システムが保証しなければならない柱の一部である。さらに、より複雑な投票システムには、指紋およびネットワーク能力などによる識別デバイスのようなシステムの要素の操作に依存する不利益がある。

既に述べたように、コンピュータシステムにおける悪意のある第三者からの電子投票記録の改ざん、不正、障害またはエラーは、匿名性を保護するためにこの方法およびシステムが投票の追跡可能性を妨げるときにこのような事象が検知可能ではない可能性に主に起因して、電子システムの使用における特有の危険性である。さらに、このような事象を検知するために票の追跡可能性を維持する方法およびシステムは、匿名性を保証していない。この点において、電子投票システムによって解決すべき関連の問題は、投票者の匿名性を維持することであり、投票の完全性が損なわれないことを確保するために、検証可能性、コンピュータシステムにおける悪意のある第三者からのセキュリティに対する企て、不正、障害またはエラーの検知を可能にしながら、特定の票が投票者に追跡されるのを防ぐ。

この点において、専門家らは、電子投票用の方法およびシステムが、従来の投票システムにも適用される、６つの側面に基づいて評価されるべきであるという合意に達している。ここで、確立された要件は、

− 票の正当性を確保すること、
− 強制を防ぐこと（非強制）、
− 投票者の意図を捕らえること、
− 投票者のプライバシーの安全上の保護（匿名性）、
− 投票システムの安全性および透明性、ならびに
− 投票の検証可能性、に関する。

これらの要件は、プロセス自体および投票者の両方に対して安全な投票システムを提案する目的を達成するために必要である。この点において、電子投票システムでは、検証可能性の要件は、従来の投票プロセスで使用される票の集計の監視に代わってきており、これは各投票者の票が適切に考慮されたかどうかを各投票者が検証することをできるようにするが、このプロセスにより第三者が各投票者の票を検証することを許容する場合、これが収賄を促進し得ることを考慮に入れることによって行われる。

電子投票方法およびシステムによって提供された設備にもかかわらず、このようなシステムの使用に対する文化的障壁があり、従来の投票と比較して比較的低い割合をもたらしている。これに関連して、主な障壁は、プロセスおよび／または性能への関与がユーザには関係がないという事実により、投票時に電子デバイスでの投票に対する投票者の不信感に言及している。

上記に関して、今日、スマートフォンなど、個人用の高性能携帯用デバイスの使用はかなり増加しており、これらのデバイスはユーザの日常生活の一部である。実際には、今日の携帯用デバイスは、インターネットアクセス、オンラインバンキング、電子メールの操作、および個人情報の記憶など、多機能をユーザに提供しており、このような機能は機密のユーザ情報に関わることが多い。この場合、移動携帯用デバイスに関する機密または重要な情報の安全な操作は、主要な開発の目的であり、それ故に現在、重要情報の漏洩の可能性を大幅に低減するセキュリティシステムがあり、認証目的でのスマートカードの使用と関連付けられる安全性レベルのように、許容範囲の安全性レベルを実現している。しかし、電子環境での適応性を考慮すると、悪意のある第三者がセキュリティシステムを乗り越え、それ故にアクセスして機密または重要な情報を改ざんすることができる危険性が常に存在し、これは投票者の検証可能性を提供し、かつその匿名性を確保することによって対抗することができる。

したがって、投票者に信頼性が高く、馴染みのあるインターフェースを実装することによって使用を促しながら、前述したように６つの側面を同時に満たすことが可能な電子投票システムおよび方法を実装することが必要であり、前記投票者は正確な発行および投票の集計、投票者のプライバシーの安全上の保護、ならびにコンピュータシステムにおける悪意のある第三者、不正、障害またはエラーと関連付けられる危険性を封じ込めることを検証することができる。

米国特許出願第２０１１／０２３８４６３号明細書 米国特許公開第２０１２／００９５８１１号明細書 米国特許出願第２０１４／０２０７５３７号明細書 米国特許出願第２００２／００７７８８６号明細書 国際公開第２０１２／１３７０３５号パンフレット 特開２０１１−０２８３７６号公報 欧州特許第２４５５９１９号明細書 米国特許出願第２０１４／００８９０６２号明細書 米国特許公開第２００８／０１０５７４２号明細書 米国特許公開第２００５／１０１３０７号明細書

本発明は、データ伝送可能なスマートフォンなどの携帯用デバイスを使用してインターネットまたはイントラネット等のネットワークを介して投票を可能にする電子投票方法を含む。

本発明の目的は、投票者の票が集計において適切に考慮されたかを投票者が検証することを許容すること、ならびに投票者の身元を明かす危険性を避けること、すなわち、彼らの匿名性を確保すること、およびコンピュータシステムにおける悪意のある第三者、不正、障害またはエラーと関連付けられる危険性を防ぐことの問題を解決することである。これにより、現在の携帯用デバイスおよびこれらのデバイスによって提供されるユーザ経験の高い安全基準との併用で、携帯用デバイスユーザの参加を促す透明性のある迅速な方法およびシステムが可能になる。

これに関連して、本出願で提案した電子投票システムおよび方法の第１段階または工程は、投票者をデータベースで正式に登録することである。投票者の登録は、本発明の不可欠な要素であり、電子投票であるか否かにかかわらず、あらゆる種類の投票で広く使用される。これに関して、本発明の方法およびシステムは最初に、データベースで投票者自身として登録することを投票者に求め、このような登録は、投票者の身元を投票時に投票者によって使用される携帯用デバイスの識別子と関連付けることによって行われ、このような識別子は、スマートフォンおよび携帯電話の場合、ＩＭＥＩとして知られている、各移動デバイスと関連付けられる国際移動体装置識別子である。この識別子は、同じ型のものに対応する場合であっても、携帯用デバイスを別のデバイスと区別する固有の電子ユニバーサルコードである。

加えて、本発明の方法およびシステムは、単一の識別子または携帯用デバイスのＩＭＥＩのみを投票者ごとに関連付けることができるようにし、携帯用電子デバイスと同数の投票者を投票のために登録する。

その結果として、登録した投票者のデータベースが取得され、投票で使用される携帯用デバイスの識別子またはＩＭＥＩと関連付けられ、それらはすべて、本発明によって提案した方法およびシステムによる潜在的な投票者である。

投票者が登録されるか、または登録した投票者の全体が本出願で提案した方法およびシステムによる電子投票に確立されると、投票プロセスは開始することができ、各投票者は、例えばインターネットまたはイントラネットを通じて、登録した携帯用デバイスから投票することができ、投票情報が２つの別個の情報のセットまたはバッチにおいて少なくとも１つの投票サーバによって受信される。各別個の情報のセットまたはバッチは、異なるデータからなり、少なくとも２つの情報のバッチが互いに別々であるため、それらの間の関連付けを防ぎ、それにより投票者の身元の開示を防いで、このような投票がされた携帯用デバイスの識別子または登録したデバイスのＩＭＥＩと特定の票との関連付けを起きないようにする。この場合、識別子セットと呼ばれる少なくとも第１の別個の情報のバッチは、投票するために使用された携帯用デバイスから得られるように、携帯用デバイスの識別子またはＩＭＥＩからなり、これは少なくとも１つの投票サーバによって処理される票に対する前記識別子、その携帯用デバイスで投票する投票者によって選択されたコードＡを通じて登録されなければならず、前記コードＡは携帯用デバイスの識別子またはＩＭＥＩの認証を可能にするように無作為に生成され、既に事前に定義された複数のコードから選択され、この情報はコードモジュールを通じて投票者によって提供される。コードＡを有するＩＭＥＩ、識別子または携帯用デバイスは、すべての投票がデータベースで登録された投票者から生じるという確認を提供し、票の重複がないことを検証する。投票者の選択時点で投票者によってのみ知られている、このコードＡ、ならびに携帯用デバイスの識別子またはＩＭＥＩは、結果がインターネットおよび／またはイントラネットで公開されると、投票者の参加が適切に記録されたかを検証することを投票者に許容し、ＩＭＥＩについては各投票者によって選択されたコードＡが参照される。

さらに、投票のセットと呼ばれる少なくとも第２の別個の情報のバッチは、投票した票、およびコードＡとは異なるコードＢからなり、投票者の携帯用デバイスで投票したときに投票者によっても選択され、前記コードＢは投票の認証を許容するようにコードモジュールによって無作為に生成され、既に事前に定義された複数のコードから選択される。投票者の選択時点で投票者によってのみ知られている、このコードは、結果がインターネットおよび／またはイントラネットで公開されると、彼らの票が正確に集計されたかを検証することを投票者に許容し、すべての票については各投票者によって選択されたコードＢが参照される。

複数の無作為に生成されたコードは事前に定義され、すべての投票者に等しく、２人の投票者が同じ投票に対して同じコードを選択することをほぼ不可能にする数多くの順列からなる。例えば、４００人の投票者の事実上の投票所で分類される投票者の群では、投票者が９桁の数字コードから選択しなければならず、同じコードを選択する確率は０．０１％に満たない。システムがオンラインモードで動作するとき、複数のコードは、投票者の選択およびそれに続く認証のために新たな投票者に送信される前に、新たな投票者の群（すなわち、４００人の投票者）ごとに、投票で既に使用された彼らのコード（すなわち、４００人の投票者のいずれかによるもの）を除いて生成することができる。このように、４００人の投票者の群から、同じ投票に対して同じコードを選択する２人の投票者の可能性がなくなる。

実装される方法およびシステムの一部として、別個の情報のバッチ、投票セット、および識別子セットは、投票サーバによって受信され、無作為に配置され、その結果、それらは投票サーバによって受信された順序に基づいて関連付けられ得ない。別個の情報のバッチの印刷は、投票サーバ、および／または前記情報を無作為に編集する印刷デバイスによって無作為に生成され、投票の異なる紙の証拠の間の関連付けを不可能にする。投票セットでは、投票サーバは、以前に記録された票に対して異なる支持を表明する第１の票が記録されるときだけ、無作為の印刷を開始し、その結果、同じ支持を表明する第１の票は投票者と関連付けることができず、例えば１０セットの投票が受信され、かつ前回の意見と異なる票を１１番が初めて含む場合、これは単に、票のセットの無作為の印刷が開始するときに１１番の票によるものである。印刷デバイスの場合、印刷の順序を維持することを許容しない容器で印刷の出力が受容されるときに、無作為の編集が実現される。

それ故に、最後に、実施される方法およびシステムの一部として、結果が検証される。この場合、結果がインターネットおよび／またはイントラネットで公開されると、投票者は、彼らの票および参加が正確に記録されたかを確認するために以前に選択されたコードＡおよびＢを使用して問い合わせを行うことができる。これに関連して、本発明の一実施形態によれば、投票者は、彼らの携帯用デバイスから彼らの確認または検証を送信し、この検証情報は投票サーバによって受信され、この検証情報は検証セットと呼ばれる。検証セットは、検証、およびその検証を完了するために使用された携帯用デバイスから得られる携帯用デバイスの識別子またはＩＭＥＩを含んでおり、携帯用デバイスのＩＤまたはＩＭＥＩによる検証の認証を許容するために既に登録されている投票のために使用されるデバイスと同じでなければならない。加えて、投票、識別子セットおよび検証セットの印刷出力は、電子投票に対するバックアップとしての機能を果たすペーパートレイルを残し、これはまた、例えばそのプロセスに対して行われる監査において、または公開審査によって、投票サーバによる票の集計、参加の集計、および検証の集計という結果の有効性を検証するために使用することができる。

投票プロセスの間にシステムが作成することができるすべての一時ファイル、投票者と票との関連付け、例えば投票およびＩＤ群のセットを許容する情報を封じ込めることは、第三者がそれらにアクセスするのを防ぐために削除される。

上記を考慮すると、本出願で提案した方法およびシステムは、
− 投票者を投票に関連付けることを防ぐことによって投票者の匿名性を安全上保護すること、
− 投票者によって選択され、彼らにのみ知られている票と関連付けられるコードとともにその票が明らかにされるときに、彼らの票が適切に考慮され、集計されたかを投票者のために検証すること、を少なくとも許容すると判断することが可能である。
− 悪意のある第三者による不正の企てならびにコンピュータシステムにおける障害またはエラーの防止は、投票者によって与えられた情報を用いて選挙における票および投票者の参加を追跡することができることによるものであり、すなわち電子投票システムの操作とは無関係である、事前に定義され、認証されたコードＡおよびＢによるもの、かつインターネットおよび／またはイントラネットでも公開される電子投票結果を照合しなければならない紙のバックアップによるものである。

以下の表は、投票システムおよび方法を評価するために確立された６つの側面に対する、特に電子投票に対する本方法およびシステムの品質を示す。

上記を考慮すると、本出願で提案した方法は結果として、携帯用デバイスに実装される電子投票システムであるということになり、これは投票における透明性および迅速化を改善し、投票への参加を促す。この一般的側面では、前記方法は、以下の工程からなる。

− 投票する投票者によって使用される携帯用デバイスの識別子を登録し、前記識別子を投票者の身元と関連付ける工程。
・ 携帯用デバイスの識別子を用いた投票者登録は、データベースでの投票者識別とともに携帯用デバイスの識別子を記憶することからなる。
・ 携帯用デバイスの識別子は、デバイスのＩＭＥＩに対応しなければならない。
・ 登録された携帯用デバイスの識別子を携帯用デバイスから得られたＩＤと比較することによって接続を確立するとき、投票者によって使用される携帯用デバイスが認証される投票プロセスを開始する工程。
■ 識別検証モジュールは、識別インターフェースを管理するが、携帯用デバイスに実装することができる。
・ 登録された携帯用デバイスで投票者によって票を生成する工程。
■ この票は、投票者によって行われる選択を含む。
■ この票は、いくつかの選挙、例えば選挙人が対象になる候補者または答えるべき質問の場合に多数であってもよい。
■ この票は、見解または意見を述べている投票者によって書かれた１つ以上の文字列を含むことができる。
■ この票は、投票モジュールによって提案される投票インターフェースで生成される。
■ 投票モジュールは、携帯用デバイスに実装することができる。
・ 携帯用デバイスで受信された複数のランダムコードの２つを投票者によって選択する工程。
■ 投票前に、複数のランダムコードが携帯用デバイスで受信され、前記コードはコードのモジュールによって事前に定義され、または生成される。
■ コードのモジュールは、携帯用デバイスに実装することができる。
・ 投票インターフェースで票を発行し、それを携帯用デバイスで受信される複数のランダムコードから投票者によって選択されるコードＢと関連付ける工程。
・ 識別インターフェースで参加を発行し、それを携帯用デバイスで受信される複数のランダムコードから投票者によって選択される、コードＢとは異なる、コードＡと関連付ける工程。
・ ２つの別個の情報のバッチを含む投票情報を１つの投票サーバに少なくとも送信する工程。
■ 第１の別個の情報のバッチが、票、および、携帯用デバイスで受信される複数のランダムコードから投票者によって選択されるコードＢを含み、
■ 第２の別個の情報のバッチが、投票に使用される携帯用デバイスから得られた識別子、およびコードＢとは異ならざるを得ない、携帯用デバイスで受信される複数のランダムコードから投票者によって選択されるコードＡを含む。
■ 別個の情報のバッチは、互いに関連付けられず、投票モジュールによって生成された票および選択されたコードＢ、携帯用デバイスから得られた識別子、ならびに識別検証モジュールから生成された選択されたコードＡが関連付けられるのを防ぐ。
■ 投票モジュールは、既に述べたように、携帯用デバイスに実装することができる。
■ 識別検証モジュールは、識別インターフェースを管理するため、携帯用デバイスに実装することができる。
・ 各バッチに含まれる情報を処理することに関与する、少なくとも１つの投票サーバで別個の情報のバッチを受信する工程。
■ 最初に、投票サーバは、選択されたコードＢが所定のコードのうちの１つに属することを確認して投票した票を認証し、票の集計を処理する。
■ 加えて、投票サーバは、選択されたコードＡが所定のコードのうちの１つに属することを確認して、票を発行した携帯用デバイスから得られた識別子がデータベースで正式に登録されるかを検証し、投票者の参加を処理する。
■ 別個の情報のバッチは、投票サーバによって無作為に分類され、投票サーバによって受信される順序による異なるバッチ間での関連付けを不可能にする。
・ 投票サーバで受信した別個の情報のバッチを少なくとも１つの印刷デバイスで印刷し、電子投票への支持としての機能を果たすペーパートレイルを残す工程。
■ 別個の情報のバッチの印刷は、投票サーバによって無作為に生成され、かつ／または印刷デバイスによって無作為に編集され、票の異なるペーパートレイル間の関連付けを不可能にする。
さらに、本発明の一実施形態は、以下の工程を含むことができる。
・ 結果がインターネットおよび／またはイントラネットで公開された時点で、この票および参加が適切に記録されたかを投票者によって検証する工程。
■ 結果がインターネットおよび／またはイントラネットで公開されると、投票サーバは、投票者の票および参加が正確に記録されたかを、以前に選択されたコードＡおよびＢを使用して、インターネットおよび／またはイントラネットで相談するように、例えば電子メールを通じて投票者に通知する。
■ 投票者は、検証インターフェースで彼らの検証を発行する。
■ 使用される携帯用デバイスから得られた検証および識別子を含む検証情報は、少なくとも１つの投票サーバに送信される。
■ 少なくとも１つの投票サーバは、検証情報を受信し、その情報を処理することに関与する。投票サーバは、検証を発行した携帯用デバイスから得られた識別子がデータベースで適切に登録されることを確認して、発行された検証を認証し、検証の集計を処理する。
■ 検証情報のバッチを少なくとも１つの印刷デバイスで印刷し、電子投票への支持としての機能を果たすペーパートレイルを残す工程。
■ 検証インターフェースは、識別検証モジュールまたは別個のモジュールに実装することができる。
■ 識別検証モジュールは、既に述べたように、携帯用デバイスに実装することができる。

気付いているかもしれないが、上述の方法は、その方法と関連のあるシステムに実装され、前記システムは、
− 各投票者の携帯用デバイス、
− 候補者のデータ、彼らが選挙活動を行っていることの見解のデータ、票決すべき質問のデータ、投票者登録のデータ、部門またはステーション単位の投票者のクラスタリングのデータなどからなり得るがこれらに限定されない、票に関与する当局の要件に従って開発された、投票者の身元および投票プロセスに関する他のデータと関連付けられた携帯用デバイスの識別子の記録および記憶のための少なくとも１つのデータベース、
− 複数のコードが各バッチに対して無作為に生成される、少なくとも１つのコードのモジュール、
■ コードのモジュールは、携帯用デバイスに実装することができる。
■ コードのモジュールは、コードのデータベースから複数のランダムコードを得ることができる。
− 投票に関する情報、および携帯用デバイスで受信される複数のランダムコードから投票者によって選択されたコードＢが、投票者によって入力される、少なくとも１つの投票モジュール、
■ 投票モジュールは、携帯用デバイスに実装することができる。
− 携帯用デバイスから識別子を得る少なくとも１つの識別検証モジュール、ここでコードＡは、携帯用デバイスで受信される複数のランダムコードから投票者によって選択され、投検証情報と共に投票者によって入力される。
■ 識別検証モジュールは、携帯用デバイスに実装することができる。
− 投票と連携し、携帯用デバイスから発行された別個の情報のバッチを受信し、かつそれらを無作為に順序付ける少なくとも１つの投票サーバであって、別個の情報のバッチの印刷が無作為に生成され、それ故に、投票の異なるペーパートレイル間の関連付けを不可能にする、少なくとも１つの投票サーバ、
− 別個の情報のバッチの印刷が無作為に編集され、投票の異なるペーパートレイル間の関連付けを不可能にする、少なくとも１つの印刷デバイス、からなる。

上記を考慮すると、本出願で提案した方法およびシステムは、投票システムおよび方法に対して確立された評価の６つの側面の要件を満たし、投票者が彼らの票の正しい投票および集計を検証することを許容する問題を解決し、投票者の身元を明かす危険性を避け、すなわち、彼らの匿名性を確保し、コンピュータシステムにおいて起こり得る悪意のある企て、不正、障害またはエラーの現実化を防ぐのに必要な透明性を提供することに留意されたい。加えて、現在の携帯用デバイスのセキュリティ、およびこれらのデバイスによって提供されるユーザ経験の高いレベルのおかげで、提案した解決策により、迅速な参加を促す投票システムおよび方法が可能になる。

本出願の一部として、本発明の以下の代表的な図面を提示し、その図面はその好ましい実施形態を教示し、それ故に本出願の定義に限定されるものとして解釈されるべきではない。
オンラインモードで動作する、本発明の一実施形態によるシステムの一方式を示す図である。 オンラインモードで動作する、システムの一部として検証プロセスを含む本発明の一実施形態によるシステムの一方式を示す図である。 オフラインモードで動作する、本発明の一実施形態によるシステムの一方式を示す図である。 オフラインモードで動作する、システムの一部として検証プロセスを含む本発明の一実施形態によるシステムの一方式を示す図である。 図１のシステムに実装される本発明の方法の一方式を示す図である。 図２のシステムに実装される本発明の方法の一方式を示す図である。

図１は、本出願によって提案した電子投票システムの一実施形態の一方式を示しており、このシステムはオンラインモードで、すなわち、ネットワークを通じて直接的かつ即時的な通信で動作する。この方式では、携帯用デバイス１が示され、これは少なくとも１つのコードモジュール２、少なくとも１つの識別検証のモジュール４、および少なくとも１つの投票モジュール３と通信している。これらのモジュールと携帯用デバイス１との間の通信は、以下のようなものである。

− 少なくとも１つの識別検証モジュール４は、携帯用デバイス１の識別子コード（ＩＤコード）からなり、このコードはこのモジュールに予め記憶され、通信を確立するために携帯用デバイス１に含まれるＩＤコードで検証される。
・ 識別子のインターフェース４０ａを介したこのモジュールは、投票プロセスの一部として、携帯用デバイスで受信される複数のランダムコードから投票者によって選択された、コードＡと関連付けられた携帯用デバイス１から得られた識別子コードからなる識別子のセット１０ａを受信する。
・ 図２に示した代替的な実施形態では、インターフェース確認５０ａを介してこのモジュールは、投票者の検証とともに携帯用デバイス１から得られた識別子コードからなる検証のセット１０ｃを受信する。
− 少なくとも１つのコードモジュール２は、携帯用デバイス１に第１の複数のランダムコード２０ａおよび複数の第２のランダムコード２０ｂをそれぞれ送信し、これは互いに異なっていなければならず、コードのモジュール２で生成され、投票者はそこから、コードＡおよびコードＢそれぞれの１つを選択する。ランダムコードは、数字コード、英数字コード、および／または画像コードからなり得る。
・ 一実施形態では、第１の複数のランダムコード２０ａは、票を生成する前だが通信が確立された後に、デバイス１の画面に表示され、その結果、投票者はコードＡを選択することができ、これは携帯用デバイス１から得られる識別子コードと関連付けられ、識別子セット１０ａを生成し、次にまた、第２の複数のランダムコード２０ｂは、投票者がコードＢを選択するために、票を生成した後にデバイス１の画面に表示され、コードＢが票と関連付けられ、それ故に投票セット１０ｂを生成する。
・ 第２の実施形態では、第１の複数のランダムコード２０ａおよび第２の複数のランダムコード２０ｂはそれぞれ、投票者がコードＡを選択するために、票を生成した後、デバイス１の画面に表示され、これは携帯用デバイス１から得られた識別子コードと関連付けられ、識別子セット１０ａを生成し、コードＢは票と関連付けられ、投票セット１０ｂを生成する。
− 少なくとも１つの投票モジュール３により、投票インターフェース３０ａを携帯用デバイスで表示することができる。投票後、前記モジュールは、投票者が既に選択したランダムコードＢと関連付けられた前記投票者による、書かれた文字列であり得る投票からなる投票セット１０ｂを受信し、このコードは上記に従って携帯用デバイス１から得られた識別子コードと関連付けられるコードＡとは異なる。

加えて、本発明の一実施形態では、モジュール２、３および４は、単一の投票管理モジュールに実装され、これは同様に、携帯用デバイス１または少なくとも投票サーバ６に実装され得る。ここで、本発明の一実施形態は、各モジュールが携帯用デバイス１または少なくとも投票サーバ６で別々に実装され得ることを企図している。加えて、言及した各モジュールは、各モジュールと関連付けられる動きを実施することに関与するコンピュータプログラムに対応する。

さらに、図１は、識別検証モジュール４および投票モジュール３が、２つの別個の情報のバッチ３０ｂおよび４０ｂをネットワーク５に送信し、第１の別個の情報のバッチ３０ｂが、投票セット１０ｂを含むが、第２の別個の情報のバッチ４０ｂが、携帯用デバイス１の識別子セット１０ａを含むことを示す。これに関連して、ネットワーク５は、ネットワーク２Ｇおよび次世代型などの携帯用デバイス、または無線通信技術などのイントラネットもしくはインターネット接続を介してデータ転送を可能にするあらゆるネットワークであり得ることに注目すべきである。図２に示した代替的な実施形態では３つの別個の情報のバッチが実施され、１つの別個の情報のバッチ５０ｂは検証のセット１０ｃからなる。

さらに、本発明の代替的な実施形態では、少なくとも１つの投票サーバ６は、ネットワーク５を介して携帯用デバイス１と通信し、情報を前記携帯用デバイスに送信する。具体的には、本実施形態によれば、投票サーバ６は、複数のコード６ａをコードのモジュール２に、登録された携帯用デバイスの識別子に関する情報６ｂ、および図２に示すように代替的に、検証インターフェースに関する情報６ｄを識別検証モジュール４に、かつ／または投票インターフェースに関する情報６ｃを投票モジュール３に送信し、これらの実施形態は、図１および２に点線で示す。さらに、少なくとも１つの投票サーバ６は、連携投票ユニット、および同時に集計、印刷エンティティ、ならびにオンラインおよびオフラインの両モードに対する投票プロセスに関する他の機能を果たすこととして動作することができる。しかし、オンラインおよびオフラインモードの代替的なシステムの実施形態は、投票と連携し、結果を集計し、かつ別個の情報のバッチを印刷する別個のサーバまたは機械の使用を考慮している。

図１に示したオンラインモードでは、２つの別個の情報のバッチ３０ｂおよび４０ｂは、ユーザがネットワーク５を介して少なくとも１つの投票サーバ６にその票を投じた後に即時に通信され、前記少なくとも１つの投票サーバ６はそれぞれ別個の情報のバッチを受信し、その情報を有効化、認証および集計のために別々に処理し、それらを無作為に分類して票および投票者が投票サーバ６によって情報のバッチが受信される順序と関連付けられるのを防ぐ。これに関連して、投票セット１０ｂを含む第１の別個の情報のバッチ３０ｂでは、少なくとも１つの投票サーバ６は、票と関連付けられた選択されたコードＢが複数のランダムコード２０ｂのコードのうちの１つに属することを認証し、正確に発行されまたは認証された票を集計する。加えて、少なくとも１つの投票サーバ６は、未認証の票を集計することができる。さらに、携帯用デバイス１の識別子セット１０ａを含む第２の別個の情報のバッチ４０ｂでは、少なくとも１つの投票サーバ６は、携帯用デバイス１から得られた前記識別コードが投票者の身元と関連付けられた携帯用デバイスの識別子の記録を含む少なくとも１つのデータベース７に登録され、かつ識別子と関連付けられた選択されたコードＡが複数のランダムコード２０ａのコードのうちの１つに属することを有効にする。加えて、少なくとも１つの投票サーバ６は、未認証の識別子を集計することができる。最後に、図２に示した本発明の実施形態によれば、１つの別個の検証情報のバッチの５０ｂがあり、この情報は２つの別個の情報のバッチ３０ｂおよび４０ｂとともに、第３の別個の情報のバッチを形成し、前記第３の別個の情報のバッチ５０ｂは検証セット１０ｃからなる。これに関連して、少なくとも１つの投票サーバ６は、携帯用デバイス１から得られた識別子コードが投票者の身元と関連付けられた携帯用デバイスの識別子の記録を含む少なくとも１つのデータベース７に登録されることを認証し、認証された検証を集計する。加えて、少なくとも１つの投票サーバ６は、未認証の検証を集計することができる。

少なくとも１つのデータベース７は、少なくとも１つの投票サーバ６に実装されるか、あるいはネットワーク５を介してサーバと直接通信することができる。前記データベースは、有形または無形にかかわらず、情報を記憶するための任意の手段と解釈されるものとし、これは例えば、コードの少なくとも１つのデータベース、候補者のデータベース、彼らが選挙運動を行っている事務所のデータベース、票決すべき問題のデータベース、投票者登録のデータベース、部門またはステーション単位の投票者クラスタのデータベースなど、投票に関する情報を含み、前記データベースは、独自のデータベースまたは１つおよび同じ一般的なデータベースからなってもよい。さらに、少なくとも１つの投票サーバ６と少なくとも１つのデータベース７との間の通信は、投票プロセスが開始した後、少なくとも１つの投票サーバ６が少なくとも１つのデータベース７に問い合わせを行い、かつ／またはそれに上書きするようなものである。

図１および図２によれば、少なくとも１つの投票サーバ６は、別個の情報のバッチ３０ｂ、４０ｂおよび代替的に５０ｂを、少なくとも１つの印刷デバイス８へのその後の送信のために、無作為に順序付けすることができ、前記少なくとも１つの印刷デバイスは、各々別個の情報のバッチを印刷し無作為に編集し、投票のペーパートレイル８ａ、８ｂおよび代替的に８ｃを残す。前記ペーパートレイルは別々に、第１の別個の情報のバッチ３０ｂに対応する第１のペーパートレイル８ａ、第２の別個の情報のバッチ４０ｂに対応する第２のペーパートレイル８ｂ、および代替的に、第３の別個の情報のバッチ５０ｂに対応する第３のペーパートレイル８ｃを含む。さらに、この機構により、少なくとも１つの投票サーバ６で集計される電子投票のバックアップを取ることができる。あるいは、少なくとも１つの印刷デバイス８は、図２に示すように、少なくとも１つの印刷容器９にペーパートレイルを置き、前記印刷容器は、本発明の実施形態のいずれかで使用することができる。

本発明の一実施形態では、オンラインおよびオフライン操作の両方では、印刷デバイスの群があり、前記印刷デバイス群は各々別個の情報のバッチを印刷するように別々に指定される。

図３は、オフラインモードで動作する本発明によるシステムの一実施形態を示す。ここで、図１に示したシステムとの主な差異は、ネットワーク５との直接的かつ即時的な通信をすることなく、携帯用デバイス１で投票が行われることである。実際には、本発明のこの実施形態では、投票サーバ６は、プロセスが開始されたときだけ、投票に関する情報（６ａ、６ｂ、６ｃおよび代替的に６ｄ）を携帯用デバイス１に伝達し、投票および検証が行われた後のみ、携帯用デバイス１は、別個の情報のバッチ３０ｂ、４０ｂおよび代替的に５０ｂを、連携ユニットおよび／または集計ユニットとしての機能を果たすことができる少なくとも１つの投票サーバ６に送信する。次に、オンラインおよびオフラインモードの両方では、集計ユニットとしての機能を果たす少なくとも１つの投票サーバ６は、電子的に投票結果を記録し、かつ少なくとも１つの印刷デバイス８によって、別個の情報のバッチ３０ｂ、４０ｂおよび５０ｂにそれぞれ対応するペーパートレイル８ａ、８ｂおよび代替的に８ｃを印刷することに進む。さらに、上記の説明から生じ得るように、図３に示したオフラインモードはまた、図４に示すように検証セット１０ｃを組み込むことによって動作することができる。

図５は、本出願で提案した電子投票方法と関連付けられる略図を示し、携帯用デバイス１の識別子を登録する工程（１００）では、この携帯用デバイスは携帯電話、スマートフォン、またはＩＭＥＩタイプのユニバーサルユニーク識別子で提案された任意のデバイスであり得る。このような登録は、携帯用デバイスの識別子を投票者の識別子と関連付けることによって行われ、前記携帯用デバイスの識別子は、デバイスのＩＭＥＩに対応することができる。これは、単一の携帯用デバイス１が各投票者と関連付けられることを本発明が考慮することを意味する。

登録が完了すると、投票者は、電子投票プロセスで彼らの携帯用デバイス１の使用を許可される。一実施形態では、携帯用デバイスおよび投票者の登録に関する情報は、携帯用デバイス１と通信する少なくとも１つの投票サーバ６によって少なくとも１つのデータベース７に記憶される。

その後、投票者は、投票のための携帯用デバイス１を使用して登録された前記デバイスで票を生成することができる（２００）。この票は、投票者が行った選択を含み、これは投票者によって書かれた文字列であり、好ましくは携帯用デバイス１の画面に表示される投票インターフェース３０ａで生成されてもよい。前記投票インターフェースは、投票モジュール３によって生成され、投票モジュール３は携帯用デバイス１または投票サーバ６に実装されてもよく、またはされなくてもよい。

携帯用デバイスから投票する前に、投票者は、携帯用デバイス１で受信した複数のランダムコード２０ａおよび２０ｂから２つの互いに異なるコードＡおよびＢを選択しなければならず（３００）、前記複数のランダムコード２０ａおよび２０ｂは、コードのモジュール２で生成され、これは携帯用デバイス１または投票サーバ６に実装されてもよく、またはされなくてもよい。

コードが選択されると、投票者は、その票を投じること（４００）、かつその識別子を発行すること（４５０）を許可される。この票および複数のランダムコード２０ｂから選択されたコードＢを含む情報のセットは、投票セット１０ｂと呼ばれる。デバイスのＩＭＥＩに対応することができる携帯用デバイスから得られた識別子、および複数のランダムコード２０ａから選択されたコードＡからなる情報セットは、識別子セット１０ａと呼ばれる。

投票者による投票によって、システムは、携帯用デバイスの識別子セット１０ａを入手し、ネットワーク５を介して携帯用デバイス１と通信する少なくとも１つの投票サーバ６に投票情報を送信する（５００）。前記投票情報は、２つの別個の情報のバッチ３０ｂおよび４０ｂを含み、別個の情報の第１のバッチ３０ｂが投票セット１０ｂを含み、別個の情報の第２のバッチ４０ｂが投票に使用される携帯用デバイスの識別子セット１０ａを含む。このような別個の情報のバッチは、互いに関連付けられない。一実施形態では、投票セット１０ｂは、投票モジュール３から送信され、携帯用デバイスの識別子セット１０ａは、識別検証モジュール４から送信され、前記モジュール３および４は携帯用デバイス１または投票サーバ６に実装されてもよく、またはされなくてもよい。

２つの別個の情報のバッチ３０ｂおよび４０ｂにおいて投票情報を送信することによって、本方法はさらに、各バッチに含まれる情報の処理を担当する少なくとも１つの投票サーバ６で別個の情報のバッチを受信すること（６００）からなる。これに関連して、一実施形態によれば、少なくとも１つの投票サーバ６は、票と関連付けられたコードＢが所定のコードのうちの１つに属することを確認して、投票された票を認証し、無作為にバッチを登録し、投票集計を処理する。さらに、少なくとも１つの投票サーバ６は、携帯用デバイス１の識別子と関連付けられた選択されたコードＡが所定のコードのうちの１つに属することを確証して、票を発行した携帯用デバイス１の識別子がデータベース７で正式に登録されることを検証し、無作為にバッチを登録し、出席者の集計を処理する。これに関して、少なくとも１つの投票サーバ６は、連携投票ユニットおよび集計ユニットとしての機能を果たし、別個のサーバまたは機械がこのような作業に使用され得る。

次の工程では、本発明の方法は、少なくとも１つの投票サーバ６で受信した別個の情報のバッチを少なくとも１つの印刷デバイス８で印刷すること（７００）を考慮しており、ペーパートレイル８ａおよび８ｂを残し、ペーパートレイルはそこで、それらを無作為に編集する投票サーバおよび／または印刷デバイスによって無作為に生成され、電子投票に対するバックアップとしての機能を果たす異なるペーパートレイル間の関連付けを不可能にする。

図６に示し、かつ図４の方法によって補完される、本発明の方法の一実施形態は、インターネットおよび／またはイントラネットで結果が公開される時点で、投票者の票および参加が正確に記録されたかを投票者によって検証すること（８００）を提供する。インターネットおよび／またはイントラネットで結果が公開されると、投票サーバ６は、例えば電子メールを通じて、予め選択されたコードＡおよびＢを使用してインターネットおよび／またはイントラネットに相談し、かつそれらの票および参加が適切に記録されたかどうかを判定するよう投票者に通知する。

次に、投票者は、登録された携帯用デバイス１で検証を生成する（９００）。この検証は、公開され、好ましくは携帯用デバイス１の画面に表示される検証インターフェース５０ａで生成される、結果についての投票者の確認または拒否からなる。識別検証モジュール４は、携帯用デバイス１に実装されてもよく、またはされなくてもよいが、このような検証インターフェースを生成する。

投票者が票および参加を検証した時点で、投票者は、それらの検証を投じる（１０００）。携帯用デバイスの検証および識別子を含む情報のセットは、検証セット１０ｃと呼ばれる。

投票者による検証の発行によって、システムは、携帯用デバイスの検証のセット１０ｃを検索し、検証情報を、ネットワーク５によって携帯用デバイス１と通信する少なくとも１つの投票サーバ６に送信する（１１００）。このような検証情報は、少なくとも１つの情報のバッチ５０ｂからなり、これは検証の発行で使用される携帯用デバイスの検証のセット１０ｃを含む。一実施形態では、検証セット１０ｃは、識別検証モジュール４から送信され、前記識別検証モジュール４は、既に述べたように、携帯用デバイス１または投票サーバ６に実装されてもよく、またはされなくてもよい。

少なくとも１つの別個の情報のバッチ５０ｂにおいて検証情報を送信することによって、本方法はさらに、バッチに含まれる情報の処理を担当する少なくとも１つの投票サーバ６で別個の情報のバッチを受信すること（１２００）からなる。これに関連して、一実施形態によれば、少なくとも１つの投票サーバ６は、検証を発行した携帯用デバイス１の識別子がデータベース７に正式に登録されることを確認して、検証を認証し、バッチを登録し、検証の集計を処理する。これに関して、少なくとも１つの投票サーバ６は、連携投票ユニットおよび集計ユニットとしての機能を果たし、別個のサーバまたは機械がこのような作業に使用され得る。

最後の工程では、本発明の方法は、少なくとも１つの投票サーバ６で受信したすべての別個の情報のバッチを少なくとも１つの印刷デバイス８で印刷すること（７００’）を考慮しており、電子投票に対するバックアップとしての機能を果たすペーパートレイル８ａ、８ｂおよび８ｃを残す。これに関連して、ペーパートレイル８ａおよび８ｂは、投票情報の送信（５００）により生成されたものに対応するが、ペーパートレイル８ｃは、本実施形態による検証情報の送信（１０００）によって生成されたものに対応する。

加えて、本発明の代替的な実施形態は、投票インターフェース３０ａおよび検証インターフェース５０ａにアクセスするために、ユーザが安全な接続を使用して投票インターフェース３０ａおよび検証インターフェース５０ａにログインして、少なくとも１つの投票サーバ６と通信を開始しなければならないことを考慮している。オンラインモードでは、携帯用デバイス１を使用して携帯用デバイスが適切に登録されていることを検証し、かつ情報を入力することによって、少なくとも１つの投票サーバ６との直接的な接続で投票のプロセス全体を実施するために接続が最初に確立されるが、オフラインモードでは、携帯用デバイスがその識別子によって適切に登録されていることを検証するための最初に接続が行われ、投票するために、少なくとも１つの投票サーバ６との直接的な接続がない状態で投票または検証が行われる。

これを考慮すると、オンラインモードには、投票および検証中に携帯用デバイス１と投票サーバ６との間の通信が設定されることが必要であり、この情報は提案した本方法によって送信および受信される。ここで、携帯用デバイスの識別子セット１０ａ、投票セット１０ｂ、および検証セット１０ｃに対応する別個の情報のバッチが生成された後、前記情報のバッチは、少なくとも１つの投票サーバ６によって即時に通信され、投票セットは連携ユニットとしての機能を果たし、または機械は集計ユニットとしての機能を果たし、このようなユニットは同じ投票サーバ６の一部であってもよい。集計ユニットは、電子投票結果を更新し、別個の情報のバッチ３０ｂ、４０ｂおよび代替的に５０ｂにそれぞれ対応するペーパートレイル８ａ、８ｂおよび８ｃの印刷を調整し、このような調整は投票サーバ６によって、または少なくとも１つの印刷デバイス８によって直接行われる。

その代わりに、オフラインモードは、携帯用デバイス１と投票サーバ６との間の通信が情報を送信するためにのみ確立され得ることを含み、これは携帯用デバイス１がオンラインモードと同様に入力デバイスよりも投票インターフェース自体としての機能を果たす投票プロセスではるかに関連性があることを意味する。実際には、オフラインモードでは、携帯用デバイス１は、投票連携ユニットとしての機能を果たす投票サーバ６と通信して有効にされ、これは一実施形態によれば、携帯用デバイス１で開始される投票プロセスに必要な情報（６ａ、６ｂ、６ｃおよび代替的に６ｄ）を送信する。次に、投票サーバ６と携帯用デバイス１との間の接続を終了させることができる。携帯用デバイスのモジュール２、３および４が情報６ａ、６ｂ、６ｃおよび代替的に６ｄを受信すると、投票プロセスは、投票するために投票インターフェース３０ａを使用して開始される。次に、携帯用デバイスは、モジュール３および４を通じて、投票セット１０ｂおよび識別子セット１０ａに対応する別個の情報のバッチ３０ｂおよび４０ｂ、および代替的に検証のセット１０ｃに対する別個の情報のバッチ５０ｂを生成する。前記情報のバッチは次に、集計ユニットとしての機能を果たす少なくとも１つの投票サーバ６に伝達され、新たな安全な接続を開始し、前記少なくとも１つの投票サーバ６は電子投票の結果を更新するプロセスおよび別個の情報のバッチに対応するペーパートレイルを印刷するプロセスを開始する。

さらに、本発明は、少なくとも１つの投票サーバ６と携帯用デバイス１との間の通信が携帯用デバイス１または少なくとも１つの投票サーバ６に実装されるソフトウェアによって行われることを考慮しており、前記ソフトウェアは本発明のモジュールからなる。

本発明は、投票および意見または支持調査の両方に対して適用可能であることに留意されたい。したがって、本出願で使用される「選挙人」、「投票者」および「票」という用語は、世論調査のプロセスで使用されるように「回答者」、「意見」または「支持」と同義語またはそのような用語を含むものと見なされるべきである。

最後に、提案した方法およびシステムと直接関連付けられる他の実施形態が本出願の開示の一部として理解されなければならないことに留意されたい。

Claims (18)

1. 投票の透明性および迅速化を改善し、投票プロセスへの参加を促す、携帯用デバイス（１）に実装される電子投票方法であって、
   − 投票する投票者によって使用される前記携帯用デバイス（１）の識別子を登録し（１００）、前記識別子を前記投票者の身元に関連付けることであって、前記携帯用デバイスが少なくとも１つのコードのモジュール（２）、少なくとも１つの識別検証モジュール（４）、および少なくとも１つの投票モジュール（３）と通信する、関連付けることと、
   − 前記登録された携帯用デバイス（１）で前記投票者によって票を生成すること（２００）であって、前記票が前記投票プロセスの間の前記投票者の選択である、生成することと、
   − 前記投票者によって、前記携帯用デバイス（１）で受信した第１の複数のランダムコード（２０ａ）からコードＡを、かつ前記携帯用デバイス（１）で受信した第２の複数のランダムコード（２０ｂ）からコードＢを選択すること（３００）であって、電子投票システムがオンラインモードで動作するとき、複数のコードが、新たな投票者の選択およびそれに続く認証のために新たな投票者に送信される前に、新たな投票者の群ごとに、投票で既に使用された彼らのコードを除いて生成され、同じ投票に対して同じコードを選択する２人の投票者の可能性を取り除き、あるいは、電子投票システムがオフラインモードで動作するとき、第１と第２の複数のランダムに生成されたコードが、事前に定義されすべての投票者に均等であり、２人の投票者が同じ投票に対して同じコードを選択することを不可能にする数多くの順列からなるものである、前記投票者によって選択すること（３００）と、
   − 前記票を投票インターフェース（３０ａ）で投じて（４００）、それを前記投票者によって選択されたコードＢと関連付けることであって、前記票および前記選択されたコードＢの関連付けが投票セット（１０ｂ）と呼ばれる、関連付けることと、
   − 前記携帯用デバイスの前記識別子を識別子インターフェース（４０ａ）で発行し（４５０）、それを前記投票者によって選択されたコードＡと関連付けることであって、前記携帯用デバイスの前記識別子と前記選択されたコードＡとの関連付けが識別子セット（１０ａ）と呼ばれる、関連付けることと、
   − 互いに関連付けられない２つの別個の情報のバッチからなる投票情報を少なくとも１つのサーバ（６）にネットワーク（５）を介して送信すること（５００）であって、
   ・ 第１の別個の情報のバッチ（３０ｂ）が前記投票セット（１０ｂ）からなり、
   ・ 第２の別個の情報のバッチ（４０ｂ）が前記識別子セット（１０ａ）からなる、送信することと、
   − 前記別個の情報のバッチを、各バッチに含まれる前記情報を処理し、かつ無作為に登録することを担当する前記少なくとも１つのサーバ（６）で受信すること（６００）であって、前記少なくとも１つのサーバ（６）は、選択されたコードＢが前記複数のランダムコードの一つに属することを確認して投票した前記票を認証し、前記票の集計を処理し、前記少なくとも１つのサーバ（６）は、選択されたコードＡが前記複数のランダムコードの一つに属することを確認して、投票した前記携帯用デバイスから得られた前記識別子が正式に登録されることを検証する、前記少なくとも１つのサーバ（６）で受信すること（６００）と、
   − 前記少なくとも１つのサーバ（６）で受信した前記別個の情報のバッチを少なくとも１つの印刷デバイス（８）で印刷し（７００）、電子投票に対するバックアップとしての機能を果たすペーパートレイル（８ａ、８ｂ）を残すことと、
   からなり、
   前記第１の複数のランダムコード（２０ａ）および前記第２の複数のランダムコード（２０ｂ）は、前記少なくとも１つのコードのモジュール（２）から受信され、
   前記複数のランダムコード（２０ａ、２０ｂ）は、前記少なくとも１つのコードのモジュール（２）で事前に定義され、または生成され、それらは異なり、
   前記少なくとも１つのコードのモジュール（２）は、前記少なくとも一つのサーバ（６）に実装され若しくはネットワーク（５）で利用可能である少なくとも一つのデータベースから、前記複数のランダムコード（２０ａ、２０ｂ）を得るものであり、
   前記少なくとも１つのサーバ（６）は、前記２つの別個の情報のバッチ（３０ｂ、４０ｂ）を無作為に登録し、前記サーバ（６）で受信された順序に従った異なるバッチ間の関連付けを不可能にし、および／または、
   前記別個の情報のバッチ（３０ｂ、４０ｂ）の前記印刷は、それらを無作為に編集する前記サーバ（６）および／または前記少なくとも１つの印刷デバイス（８）によって無作為に生成され、前記投票の異なるペーパートレイル間の関連付けを不可能にする、
   電子投票方法。
2. 前記登録すること（１００）は、前記携帯用デバイス（１）の前記識別子を前記投票者の識別および投票に関する他のデータとともに少なくとも１つのデータベース（７）に記憶することからなる、請求項１に記載の電子投票方法。
3. 前記少なくとも１つのサーバ（６）は、前記識別子の集計を処理する、請求項１又は２に記載の電子投票方法。
4. 前記印刷することは、少なくとも２つの印刷デバイス（８）の群で行われ、前記少なくとも２つの印刷デバイスの群が各々別個の情報のバッチを印刷するように別々に指定される、請求項１〜３のうちのいずれか一に記載の電子投票方法。
5. 以下の工程からもなる、請求項１〜４のうちのいずれか一に記載の電子投票方法。
   − インターネットおよび／またはイントラネットで公開されたときに前記サーバ（６）によって前記投票の結果を前記携帯用デバイス（１）に伝達する工程（８００）。
   − 登録された前記携帯用デバイス（１）で前記投票者によって検証を生成する工程（９００）。
   − 検証インターフェース（５０ａ）で前記検証を発行し（１０００）、それを前記携帯用デバイスから得られた前記識別子と関連付ける工程であって、前記関連付けが検証セット（１０ｃ）と呼ばれる、関連付ける工程。
   − 前記検証セットを含む少なくとも１つの情報バッチ（５０ｂ）からなる検証情報を少なくとも１つのサーバ（６）にネットワーク（５）を介して送信する工程（１１００）。
   − 前記情報バッチを、各バッチに含まれる前記情報を処理および登録することを担当する前記少なくとも１つのサーバ（６）で受信する工程（１２００）。
   − 少なくとも１つのサーバ（６）で受信した前記情報のバッチを少なくとも１つの印刷デバイス（８）で印刷し（７００’）、電子投票に対するバックアップとしての機能を果たすペーパートレイル（８ｃ）を残す工程であって、前記別個の情報のバッチの前記印刷がそれらを無作為に編集する前記サーバおよび／または印刷デバイスによって無作為に生成され、前記投票の異なるペーパートレイル間の関連付けを不可能にし、電子投票に対するバックアップとしての機能を果たすペーパートレイル（８ａ、８ｂ、８ｃ）を残す、工程。
6. 前記少なくとも１つのサーバ（６）はネットワーク（５）を介して、前記検証インターフェースに関する情報（６ｄ）も送信する、請求項５に記載の電子投票方法。
7. 前記サーバ（６）は、前記投票の結果が集計されたときだけ、前記検証に関する前記情報（６ｄ）を前記携帯用デバイス（１）に伝達する、請求項５又は６に記載の電子投票方法。
8. インターネットおよび／またはイントラネットで公開された結果が投票者の票および参加を適切に反映する検証が前記投票者による確認に対応し、
   前記検証は、前記検証インターフェース（５０ａ）で生成され、
   前記検証インターフェース（５０ａ）は、前記少なくとも１つの識別検証モジュール（４）によって提案され、及び、
   前記検証セット（１０ｃ）は、前記少なくとも１つの識別検証モジュール（４）から生じる、請求項５〜７のうちのいずれか一に記載の電子投票方法。
9. 前記少なくとも１つのサーバ（６）は、前記検証の集計を処理する、請求項５〜８のうちのいずれか一に記載の電子投票方法。
10. 携帯用デバイス（１）に実装される電子投票システムであって、
    − 各投票者による携帯用デバイス（１）、少なくとも１つのコードのモジュール（２）、少なくとも１つの識別検証モジュール（４）、および、少なくとも１つの投票モジュール（３）を、含み、
    前記携帯用デバイス（１）は、前記少なくとも１つのコードのモジュール（２）、前記少なくとも１つの識別検証モジュール（４）、および、前記少なくとも１つの投票モジュール（３）と通信し、
    ・ 前記コードのモジュール（２）が、選挙のために各投票者の前記携帯用デバイス（１）に送信される、各投票に対する複数のランダムコード（２０ａ、２０ｂ）を生成し、
    ・ 前記少なくとも１つの投票モジュール（３）により、投票インターフェース（３０ａ）が前記携帯用デバイス（１）で表示可能になり、前記投票後、前記モジュールが、各投票者によって前記携帯用デバイスで受信した複数のランダムコードから各投票者により選択されたコードＢと関連付けられた各投票者によって投票された前記票からなる投票セット（１０ｂ）を受信し、
    ・ 前記少なくとも１つの識別検証モジュール（４）により、識別インターフェース（４０ａ）が前記投票の前後に、前記携帯用デバイス（１）で表示可能となり、前記モジュールが、各投票者によって前記携帯用デバイス（１）で受信した複数のランダムコードから各投票者により選択されたコードＡを用いた前記携帯用デバイス（１）から得られた単一の識別子からなる識別子セット（１０ａ）を受信し、
    コードＡはコードＢとは異なり、
    前記電子投票システムがオンラインモードで動作するとき、前記複数のコードが、新たな投票者の選択およびそれに続く認証のために新たな投票者に送信される前に、新たな投票者の群ごとに、投票で既に使用された彼らのコードを除いて生成され、同じ投票に対して同じコードを選択する２人の投票者の可能性を取り除き、あるいは、電子投票システムがオフラインモードで動作するとき、第１と第２の複数のランダムに生成されたコードが、事前に定義されすべての投票者に均等であり、２人の投票者が同じ投票に対して同じコードを選択することを不可能にする数多くの順列からなるものであり、
    更に前記電子投票システムは、
    − ネットワーク（５）に接続され、かつ前記携帯用デバイス（１）から発行される２つの別個の情報のバッチを受信する、少なくとも１つのサーバ（６）であって、第１の別個の情報のバッチ（３０ｂ）が前記投票セット（１０ｂ）からなり、第２の別個の情報のバッチ（４０ｂ）が前記携帯用デバイス（１）の前記識別子セット（１０ａ）からなり、前記少なくとも１つのサーバ（６）は、選択されたコードＢが前記複数のランダムコードの一つに属することを確認して投票した前記票を認証し、前記票の集計を処理し、前記少なくとも１つのサーバ（６）は、選択されたコードＡが前記複数のランダムコードの一つに属することを確認して、投票した前記携帯用デバイス（１）から得られた前記識別子が正式に登録されることを検証する、少なくとも１つのサーバ（６）と、
    − 前記少なくとも１つのサーバ（６）で受信される前記別個の情報のバッチのペーパートレイルを印刷する少なくとも１つの印刷デバイス（８）と、
    − 前記少なくとも一つのサーバ（６）に実装され若しくはネットワーク（５）で利用可能である少なくとも一つのデータベース（７）と
    を含み、
    前記第１の複数のランダムコード（２０ａ）および前記第２の複数のランダムコード（２０ｂ）は、前記少なくとも１つのコードのモジュール（２）から受信され、
    前記複数のランダムコード（２０ａ、２０ｂ）は、前記少なくとも１つのコードのモジュール（２）で事前に定義され、または生成され、それらは異なり、
    前記少なくとも１つのコードのモジュール（２）は、前記少なくとも一つのサーバ（６）に実装され若しくはネットワーク（５）で利用可能である前記少なくとも一つのデータベース（７）から、前記複数のランダムコード（２０ａ、２０ｂ）を得るものであり、
    前記少なくとも１つのサーバ（６）は、前記２つの別個の情報のバッチ（３０ｂ、４０ｂ）を無作為に登録し、前記サーバ（６）で受信された順序に従った異なるバッチ間の関連付けを不可能にし、および／または、
    前記別個の情報のバッチ（３０ｂ、４０ｂ）の前記印刷は、それらを無作為に編集する前記サーバ（６）および／または前記少なくとも１つの印刷デバイス（８）によって無作為に生成され、前記投票の異なるペーパートレイル間の関連付けを不可能にする、
    電子投票システム。
11. 各投票者の身元と関連付けられた前記携帯用デバイス（１）の前記識別子を登録および記憶するための少なくとも１つのデータベース（７）からもなり、
    前記データベース（７）は、前記少なくとも１つのサーバ（６）に実装されるか、または前記ネットワーク（５）で利用可能である、請求項１０に記載の電子投票システム。
12. 前記データベース（７）は、投票に関する情報、例えば少なくとも１つのランダムコードのデータベース、候補者のデータベース、彼らが選挙運動を行っていることの見解のデータベース、票決すべき質問のデータベース、投票者登録のデータベース、部門またはステーション単位の投票者の群のデータベースを含み、前記データベースが独自のデータベースまたは１つおよび同じ一般的なデータベースを含み得る、請求項１１に記載の電子投票システム。
13. 前記少なくとも２つの別個の情報のバッチ（３０ｂ、４０ｂ）は、前記ネットワーク（５）を介して前記少なくとも１つのサーバ（６）と通信し、前記少なくとも１つのサーバ（６）が各々別個の情報のバッチ（３０ｂ、４０ｂ）を受信し、少なくとも第１の２つのバッチ（３０ｂ、４０ｂ）を有効化、認証および集計のために別々に処理および無作為に登録し、それ故に前記サーバによって受信された順序に従ったこれらの２つの異なるバッチ間の関連付けを不可能にする、請求項１０〜１２のうちのいずれか一に記載の電子投票システム。
14. 前記ペーパートレイルは、前記第１の別個の情報のバッチ（３０ｂ）に対応する第１のペーパートレイル（８ａ）、および前記第２の別個の情報のバッチ（４０ｂ）に対応する第２のペーパートレイル（８ｂ）から別々になる、請求項１０〜１３のうちのいずれか一に記載の電子投票システム。
15. 両ペーパートレイル（８ａ、８ｂ）を別々に印刷する２つの印刷デバイス（８）からなり、前記別個の情報のバッチの前記印刷が無作為に編集され、それ故に投票の異なるペーパートレイル間の関連付けを不可能にする、請求項１４に記載の電子投票システム。
16. 前記少なくとも１つの識別検証モジュール（４）により、検証インターフェース（５０ａ）が投票後、携帯用デバイス（１）でも表示可能になり、前記モジュールが前記携帯用デバイス（１）から得られた前記識別子と関連付けられた各投票者によって発行された検証からなる検証セット（１０ｃ）を受信する、請求項１０〜１５のうちのいずれか一に記載の電子投票システム。
17. ネットワークに接続された前記少なくとも１つのサーバ（６）は、前記携帯用デバイス（１）から発行された１つの別個の情報のバッチ（５０ｂ）も受信し、前記１つの別個の情報のバッチ（５０ｂ）が前記検証セット（１０ｃ）からなり、及び、
    前記１つの別個の情報のバッチ（５０ｂ）は、前記ネットワーク（５）を介して前記少なくとも１つのサーバ（６）と通信し、前記少なくとも１つのサーバ（６）が前記１つの別個の情報のバッチ（５０ｂ）を受信し、それを有効化、認証および集計のために別々に処理する、請求項１６に記載の電子投票システム。
18. 前記ペーパートレイルは、前記１つの別個の情報のバッチ（５０ｂ）に対応する少なくとも第３のペーパートレイル（８ｃ）からもなる、請求項１７に記載の電子投票システム。

Images