JP6911725B2 - 電子投票システム、電子投票方法、および電子投票プログラム - Google Patents

Description

本発明は、電子投票システム、電子投票方法、および電子投票プログラムに関する。

従来、有権者が、投票所で本人確認を受け、地方自治体から郵送された投票葉書を投票用紙と交換し、投票用紙に候補者の氏名や政党の名称などを記入し、投票用紙を投票箱に投入することにより、国会議員や都道府県知事などの選挙が行われる。選挙では、多重投票を防止し、匿名性を担保することが望まれる。

先行技術としては、例えば、投票所の受付で投票葉書と引き替えに適格投票者に対して配布されるキーカードを利用し、キーカードがキーカード挿入穴に挿入されたことが検出されると、投票のためのデータ入力操作を許可するものがある。また、例えば、選挙ごとに特定される投票選挙区と選挙ごとの投票権の有無とが記録されたトークンの記録内容を参照してトークンを所有する選挙人の今回の投票可否を判定する技術がある。

特開平０６−０３５９３６号公報 特開平０７−０５７０１５号公報

しかしながら、従来技術では、多重投票を防止し、匿名性を担保した電子投票システムを実現することが難しい。例えば、電子投票システムに、有権者の投票権を管理するハードウェアトークンを利用し、多重投票を防止する場合、ハードウェアトークンを製造するコストが生じ、また、有権者が投票所の受付を訪れてハードウェアトークンを受け取る負担が生じてしまう。

１つの側面では、本発明は、多重投票を防止し、匿名性を担保した電子投票システムを実現することを目的とする。

１つの実施態様によれば、第１装置が、投票トークンの移転要求を受け付け、受け付けた前記移転要求から特定される有権者が有する投票権を消尽させる第１トランザクションの情報を、第１分散台帳に記録し、投票トークンを保持可能な複数の口座のいずれかの口座に投票トークンを移転させる第２トランザクションの情報を、第２分散台帳に記録し、
前記第１トランザクションと前記第２トランザクションとを対応付ける第３トランザクションの情報を、第３分散台帳に記録し、第２装置が、投票トークンの投票要求を受け付け、受け付けた前記投票要求から特定される、前記第２分散台帳に記録された口座に存在する投票トークンを、受け付けた前記投票要求から特定される投票先を表す口座に移転させる第４トランザクションの情報を、前記第２分散台帳に記録する電子投票システムが提案される。

一態様によれば、多重投票を防止し、匿名性を担保した電子投票システムを実現することが可能になる。

図１は、実施の形態にかかる電子投票方法の一実施例を示す説明図である。 図２は、電子投票システム２００の一例を示す説明図である。 図３は、投票権管理装置２０１のハードウェア構成例を示すブロック図である。 図４は、付与条件テーブル４００の記憶内容の一例を示す説明図である。 図５は、投票管理装置２０２のハードウェア構成例を示すブロック図である。 図６は、ノード２０４のハードウェア構成例を示すブロック図である。 図７は、投票権台帳２１０の記憶内容の一例を示す説明図である。 図８は、投票トークン発行台帳２２０の記憶内容の一例を示す説明図である。 図９は、投票トークン保有台帳２３０の記憶内容の一例を示す説明図である。 図１０は、端末装置２０３のハードウェア構成例を示すブロック図である。 図１１は、電子投票システム２００の機能的構成例を示すブロック図である。 図１２は、電子投票システム２００のモジュール構成例を示す説明図である。 図１３は、端末装置２０３の第１動作を示す説明図（その１）である。 図１４は、端末装置２０３の第１動作を示す説明図（その２）である。 図１５は、端末装置２０３の第１動作を示す説明図（その３）である。 図１６は、投票権管理装置２０１の第１動作を示す説明図（その１）である。 図１７は、投票権管理装置２０１の第１動作を示す説明図（その２）である。 図１８は、投票権管理装置２０１の第１動作を示す説明図（その３）である。 図１９は、投票権管理装置２０１の第１動作を示す説明図（その４）である。 図２０は、投票権管理装置２０１の第１動作を示す説明図（その５）である。 図２１は、投票権管理装置２０１の第１動作を示す説明図（その６）である。 図２２は、端末装置２０３の第２動作を示す説明図（その１）である。 図２３は、端末装置２０３の第２動作を示す説明図（その２）である。 図２４は、端末装置２０３の第２動作を示す説明図（その３）である。 図２５は、投票管理装置２０２の第１動作を示す説明図（その１）である。 図２６は、投票管理装置２０２の第１動作を示す説明図（その２）である。 図２７は、投票管理装置２０２の第１動作を示す説明図（その３）である。 図２８は、記録失敗に応じた投票権管理装置２０１の第２動作を示す説明図（その１）である。 図２９は、記録失敗に応じた投票権管理装置２０１の第２動作を示す説明図（その２）である。 図３０は、全体処理手順の一例を示すシーケンス図である。 図３１は、記録処理手順の一例を示すフローチャートである。

以下に、図面を参照して、本発明にかかる電子投票システム、電子投票方法、および電子投票プログラムの実施の形態を詳細に説明する。

（実施の形態にかかる電子投票方法の一実施例）
図１は、実施の形態にかかる電子投票方法の一実施例を示す説明図である。図１において、第１装置１００および第２装置１１０は、国会議員や都道府県知事などの選挙に利用可能な電子投票システムを制御するコンピュータである。選挙では、多重投票を防止し、匿名性を担保することが望まれる。

ここで、従来、多重投票を防止し、匿名性を担保した選挙は、投票用紙を用いて実現される。しかしながら、投票用紙を用いる場合、投票先への投票数を集計する集計作業にかかる時間やコストの増大化を招きやすく、また、投票先を特定困難な無効票が発生してしまうことがある。また、この場合、有権者は投票所を訪れなければ、投票先に投票することができないため、有権者にかかる負担の増大化を招いてしまう。

このため、集計作業にかかる時間やコストの増大化を抑制し、有権者にかかる負担の増大化を抑制するために、多重投票を防止し、匿名性を担保した、選挙に利用可能な電子投票システムを実現することが望まれる。しかしながら、電子投票システムでは、多重投票を防止し、匿名性を担保することは難しいため、選挙に利用可能な電子投票システムを実現することは難しい。

例えば、投票所に設置した端末装置からは投票可能にし、投票所に設置した端末装置以外からは投票不可能にすることにより、多重投票を防止し、匿名性を担保した、選挙に利用可能な電子投票システムを実現することが考えられる。しかしながら、この電子投票システムでは、有権者は投票所を訪れなければ、投票先に投票することができないため、有権者にかかる負担の増大化を抑制することができない。

また、例えば、有権者の投票権を管理するハードウェアトークンを利用し、多重投票を防止し、匿名性を担保した、選挙に利用可能な電子投票システムを実現することが考えられる。しかしながら、この電子投票システムでは、ハードウェアトークンを製造するコストが生じてしまう。また、この電子投票システムでは、有権者は投票所を訪れなければ、投票先に投票することができないため、有権者にかかる負担の増大化を抑制することができない。

また、電子投票システムにブロックチェーン（Ｂｌｏｃｋ Ｃｈａｉｎ）を利用し、いずれの有権者がいずれの投票先に投票したのかを分散台帳によって記録することにより、多重投票を防止することが考えられる。しかしながら、この電子投票システムでは、いずれの有権者がいずれの投票先に投票したのかが直接対応付けられてしまい、匿名性を担保することができない。

ブロックチェーンは、一定時間ごとに、データをまとめたブロックが生成され、生成されたブロックが連結されていくことにより、データを管理するリストである。ブロックチェーンは、１以上のノードに共通して記憶され、１以上のノードに共通して監視されることにより、分散台帳を実現する。

そこで、本実施の形態では、投票権の消尽をブロックチェーンに記録し、匿名性を有する口座への投票トークンの移転をブロックチェーンに記録し、消尽と移転の対応付けをブロックチェーンに記録することができる電子投票方法について説明する。この電子投票方法は、多重投票を防止し、匿名性を担保した電子投票システムを実現することができる。

図１の例では、（１−１）第１装置１００は、投票トークンの移転要求を受け付ける。投票トークンは、その保有口座から投票先に所有権を移転することで投票を行うための、ソフトウェアトークンである。投票トークンは、投票に利用可能な票を表す情報である。移転要求は、有権者を特定する情報を含む。

第１装置１００は、受け付けた移転要求から特定される有権者が有する投票権を消尽させる第１トランザクションの情報１０１を、第１分散台帳１２０に記録する。第１分散台帳１２０は、例えば、第１ブロックチェーンを含む。第１ブロックチェーンは、改ざん耐性を有する。第１装置１００は、例えば、第１トランザクションの情報１０１を、第１ブロックチェーンに記録する。

（１−２）第１装置１００は、複数の口座１０４のいずれかの口座１０４に投票トークンを移転させる第２トランザクションの情報１０２を、第２分散台帳１３０に記録する。口座１０４は、投票トークンを保持する入れ物であり、論理的な区分けである。口座１０４の匿名性は、例えば複数用意した口座１０４のいずれかひとつを有権者に割り当てることで実現される。第２分散台帳１３０は、例えば、第２ブロックチェーンを含む。第２ブロックチェーンは、改ざん耐性を有する。第１装置１００は、例えば、第２トランザクションの情報１０２を、第２ブロックチェーンに記録する。

（１−３）第１装置１００は、第１トランザクションと第２トランザクションとを対応付ける第３トランザクションの情報１０３を、第３分散台帳１４０に記録する。第３分散台帳１４０は、例えば、第３ブロックチェーンを含む。第３ブロックチェーンは、改ざん耐性を有する。第１装置１００は、例えば、第１トランザクションのトランザクションＩＤと第２トランザクションのトランザクションＩＤとを対応付ける第３トランザクションの情報１０３を、第３ブロックチェーンに記録する。

これにより、第１装置１００は、改ざん耐性を有する第１分散台帳１２０に、有権者の投票権の消尽を記録することができる。このため、第１装置１００は、１つの投票権に基づき正式な数の投票トークンが利用されることを保証可能にし、１つの投票権に基づき不正な数の投票トークンが利用されることを防止可能にし、多重投票を防止可能にすることができる。

また、第１装置１００は、改ざん耐性を有する第２分散台帳１３０に、いずれの有権者とも対応付けられなくてよい匿名性を有する口座１０４に投票トークンを移転したことを記録することができる。このため、第１装置１００は、匿名性を確保した、投票先に投票可能な票を表す投票トークンを、有権者が利用可能にすることができ、匿名性を確保可能にすることができる。投票先は、例えば、国会議員や都道府県知事などの候補者である。

また、第１装置１００は、改ざん耐性を有する第３分散台帳１４０に、有権者の投票権の消尽と、投票トークンの移転とを対応付けて記録することができる。このため、第１装置１００は、１つの投票権に基づき正式な数の投票トークンが利用されたことを検証可能にすることができ、多重投票に対策可能にすることができる。

（１−４）第２装置１１０は、投票トークンの投票要求を受け付ける。投票要求は、第１装置１００が投票トークンを移転可能であり、投票トークンを保持可能な複数の口座１０４のいずれかの口座１０４を特定する情報を含む。投票要求は、１以上の投票先のいずれかの投票先を特定する情報を含む。投票要求は、例えば、有権者を特定可能な情報を含まなくてよい。

第２装置１１０は、受け付けた投票要求から特定されるいずれかの口座１０４に存在する投票トークンを、受け付けた投票要求から特定される投票先を表す口座１０５に移転させる第４トランザクションの情報を、第２分散台帳１３０に記録する。投票先を表す口座１０５は、投票トークンを保持する入れ物であり、論理的な区分けである。投票先を表す口座１０５は、第１装置１００が投票トークンを移転可能であり、投票トークンを保持可能な複数の口座１０４とは異なる。第２装置１１０は、例えば、第４トランザクションの情報を、第２ブロックチェーンに記録する。

これにより、第２装置１１０は、改ざん耐性を有する第２分散台帳１３０に、いずれかの口座１０４に存在する投票トークンが、投票先を表す口座１０５に投票されたことを記録することができる。このため、第２装置１１０は、いずれかの口座１０４に存在する投票トークンが、繰り返し利用されることを防止可能にすることができ、多重投票を防止可能にすることができる。また、第２装置１１０は、投票先を表す口座１０５ごとに投票された投票トークンの数を算出可能にすることができ、集計作業にかかる時間やコストの増大化を抑制可能にすることができる。

これにより、電子投票システムは、多重投票を防止可能にし、匿名性を担保可能にすることができる。また、電子投票システムは、第２分散台帳１３０に基づいて、集計作業にかかる時間やコストの増大化を抑制可能にすることができる。また、電子投票システムは、有権者が投票所を訪れなくてもよいようにすることができ、有権者にかかる負担の増大化を抑制可能にすることができる。

これにより、電子投票システムは、ハードウェアトークンを用いなくてよいため、実現にかかるコストの増大化を抑制することができる。また、電子投票システムは、投票先を選択可能にすることができ、書き損じなどによる無効票を削減可能にすることができる。また、電子投票システムは、有権者が投票所を訪れなくてもよいようにすることができ、投票率の向上を図ることができる。

ここでは、投票先が、国会議員や都道府県知事などの候補者である場合について説明したが、これに限らない。例えば、投票先が、所定の選択肢である場合があってもよい。具体的には、投票トークンを投票可能な投票先が、最高裁判所の裁判官の信任、不信任、棄権などの選択肢である場合があってもよい。

ここでは、複数の口座１０４が、匿名性を有することにより、匿名性を確保した、投票先に投票可能な票を表す投票トークンを、有権者が利用可能にする場合について説明したが、これに限らない。例えば、投票トークンを移転した口座１０４と有権者とが対応付けられ、投票トークンが投票先を表す口座１０５に投票されたことに応じて、口座１０４と有権者との対応付けを消去する場合があってもよい。以下の説明では、台帳に情報を記録する操作、トランザクションを「Ｔｘ」と表記する場合がある。

（電子投票システム２００の一例）
次に、図２を用いて、図１に示した第１装置１００および第２装置１１０を適用した、電子投票システム２００の一例について説明する。

図２は、電子投票システム２００の一例を示す説明図である。図２において、電子投票システム２００は、投票権管理装置２０１と、投票管理装置２０２と、端末装置２０３と、１以上のノード２０４とを含む。

電子投票システム２００において、投票権管理装置２０１と端末装置２０３とは、有線または無線のネットワークを介して接続される。ネットワークは、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネットなどである。また、電子投票システム２００において、投票管理装置２０２と端末装置２０３とは、有線または無線のネットワークを介して接続される。

また、電子投票システム２００において、投票権管理装置２０１とノード２０４とは、有線または無線のネットワークを介して接続される。また、電子投票システム２００において、投票管理装置２０２とノード２０４とは、有線または無線のネットワークを介して接続される。また、ノード２０４間は、有線または無線のネットワークを介して接続される。

ノード２０４は、投票権台帳２１０、投票トークン発行台帳２２０、または、投票トークン保有台帳２３０のいずれかを実現するコンピュータである。ノード２０４は、例えば、図７に後述する投票権台帳２１０を記憶する。投票権台帳２１０は、図１に示した第１分散台帳１２０に対応する。ノード２０４は、例えば、図８に後述する投票トークン発行台帳２２０を記憶する。投票トークン発行台帳２２０は、図１に示した第３分散台帳１４０に対応する。ノード２０４は、例えば、図９に後述する投票トークン保有台帳２３０を記憶する。投票トークン保有台帳２３０は、図１に示した第２分散台帳１３０に対応する。ノード２０４は、例えば、サーバ、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）などである。

投票権管理装置２０１は、図１に示した第１装置１００に対応するコンピュータである。投票権管理装置２０１は、投票権台帳２１０と投票トークン発行台帳２２０と投票トークン保有台帳２３０とを参照可能である。投票権管理装置２０１は、有権者を特定する情報を含む、投票トークンの移転要求を、端末装置２０３から受け付ける。投票権管理装置２０１は、投票トークンの移転要求を受け付けると、投票権台帳２１０を利用し、移転要求から特定される有権者が有する投票権を消尽させる。また、投票権管理装置２０１は、投票トークン保有台帳２３０を利用し、投票トークンを投票トークン保持口座に移転させる。また、投票権管理装置２０１は、投票トークン発行台帳２２０を利用し、消尽と移転とを対応付ける。また、投票権管理装置２０１は、投票トークンを移転させた投票トークン保持口座の認証情報を端末装置２０３に送信し、投票トークン保持口座を端末装置２０３で操作可能にする。投票権管理装置２０１は、例えば、サーバ、ＰＣなどである。

投票管理装置２０２は、図１に示した第２装置１１０に対応するコンピュータである。投票管理装置２０２は、投票トークン保有台帳２３０を参照可能である。投票管理装置２０２は、投票トークン保持口座の認証情報を含む、投票トークンの投票要求を端末装置２０３から受け付ける。投票管理装置２０２は、投票トークンの投票要求を受け付けると、投票トークン保有台帳２３０を利用し、投票トークン保持口座に存在する投票トークンを、投票先を表す投票先口座に投票させる。投票管理装置２０２は、例えば、サーバ、ＰＣなどである。

端末装置２０３は、有権者が利用可能なコンピュータである。端末装置２０３は、投票トークン保持口座の認証情報を、投票権管理装置２０１から受け付ける。端末装置２０３は、投票トークン保持口座の認証情報を受け付けると、有権者の操作入力に基づいて、投票先の入力を受け付ける。端末装置２０３は、投票先の入力を受け付けると、投票トークンの投票要求を、投票管理装置２０２に送信する。端末装置２０３は、例えば、サーバ、ＰＣ、タブレット端末、スマートフォンなどである。

ここでは、電子投票システム２００が、投票権管理装置２０１を１つ含む場合について説明したが、これに限らない。例えば、電子投票システム２００が、投票権管理装置２０１を２以上含む場合があってもよい。また、電子投票システム２００が、投票管理装置２０２を１つ含む場合について説明したが、これに限らない。例えば、電子投票システム２００が、投票管理装置２０２を２以上含む場合があってもよい。

ここでは、投票権管理装置２０１が、ノード２０４とは異なる装置である場合について説明したが、これに限らない。例えば、投票権管理装置２０１が、ノード２０４としても動作する場合があってもよい。また、投票管理装置２０２が、ノード２０４とは異なる装置である場合について説明したが、これに限らない。例えば、投票管理装置２０２が、ノード２０４としても動作する場合があってもよい。

（投票権管理装置２０１のハードウェア構成例）
次に、図３を用いて、投票権管理装置２０１のハードウェア構成例について説明する。

図３は、投票権管理装置２０１のハードウェア構成例を示すブロック図である。図３において、投票権管理装置２０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と、メモリ３０２と、ネットワークＩ／Ｆ（Ｉｎｔｅｒｆａｃｅ）３０３と、記録媒体Ｉ／Ｆ３０４と、記録媒体３０５とを有する。また、各構成部は、バス３００によってそれぞれ接続される。

ここで、ＣＰＵ３０１は、投票権管理装置２０１の全体の制御を司る。メモリ３０２は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）およびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ３０１のワークエリアとして使用される。メモリ３０２に記憶されるプログラムは、ＣＰＵ３０１にロードされることで、コーディングされている処理をＣＰＵ３０１に実行させる。メモリ３０２は、例えば、図４に後述する付与条件テーブル４００を記憶する。

ネットワークＩ／Ｆ３０３は、通信回線を通じてネットワーク３１０に接続され、ネットワーク３１０を介して他のコンピュータに接続される。そして、ネットワークＩ／Ｆ３０３は、ネットワーク３１０と内部のインターフェースを司り、他のコンピュータからのデータの入出力を制御する。ネットワークＩ／Ｆ３０３は、例えば、ノード２０４に接続され、ノード２０４が記憶する図７〜図９に後述する投票権台帳２１０、投票トークン発行台帳２２０、投票トークン保有台帳２３０などを参照可能にする。ネットワークＩ／Ｆ３０３には、例えば、モデムやＬＡＮアダプタなどを採用することができる。

記録媒体Ｉ／Ｆ３０４は、ＣＰＵ３０１の制御に従って記録媒体３０５に対するデータのリード／ライトを制御する。記録媒体Ｉ／Ｆ３０４は、例えば、ディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ポートなどである。記録媒体３０５は、記録媒体Ｉ／Ｆ３０４の制御で書き込まれたデータを記憶する不揮発メモリである。記録媒体３０５は、例えば、ディスク、半導体メモリ、ＵＳＢメモリなどである。記録媒体３０５は、投票権管理装置２０１から着脱可能であってもよい。

投票権管理装置２０１は、上述した構成部のほか、例えば、キーボード、マウス、ディスプレイ、プリンタ、スキャナ、マイク、スピーカーなどを有してもよい。また、投票権管理装置２０１は、記録媒体Ｉ／Ｆ３０４や記録媒体３０５を複数有していてもよい。また、投票権管理装置２０１は、記録媒体Ｉ／Ｆ３０４や記録媒体３０５を有していなくてもよい。

（付与条件テーブル４００の記憶内容）
次に、図４を用いて、付与条件テーブル４００の記憶内容について説明する。付与条件テーブル４００は、例えば、図３に示した投票権管理装置２０１のメモリ３０２や記録媒体３０５などの記憶領域により実現される。

図４は、付与条件テーブル４００の記憶内容の一例を示す説明図である。図４に示すように、付与条件テーブル４００は、属性と、トークン１口数と、トークン２口数と、トークン３口数と、トークン４口数とのフィールドを有する。付与条件テーブル４００は、有権者の属性ごとに各フィールドに情報を設定することにより、付与条件がレコードとして記憶される。

属性のフィールドには、有権者の属性の一つである有権者の居住地が設定される。トークン１口数のフィールドには、有権者が利用可能なトークン１の数が設定される。トークン１は、投票トークンの一種である。トークン２口数のフィールドには、有権者が利用可能なトークン２の数が設定される。トークン２は、投票トークンの一種である。トークン３口数のフィールドには、有権者が利用可能なトークン３の数が設定される。トークン３は、投票トークンの一種である。トークン４口数のフィールドには、有権者が利用可能なトークン４の数が設定される。トークン４は、投票トークンの一種である。

（投票管理装置２０２のハードウェア構成例）
次に、図５を用いて、投票管理装置２０２のハードウェア構成例について説明する。

図５は、投票管理装置２０２のハードウェア構成例を示すブロック図である。図５において、投票管理装置２０２は、ＣＰＵ５０１と、メモリ５０２と、ネットワークＩ／Ｆ５０３と、記録媒体Ｉ／Ｆ５０４と、記録媒体５０５とを有する。また、各構成部は、バス５００によってそれぞれ接続される。

ここで、ＣＰＵ５０１は、投票管理装置２０２の全体の制御を司る。メモリ５０２は、例えば、ＲＯＭ、ＲＡＭおよびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ５０１のワークエリアとして使用される。メモリ５０２に記憶されるプログラムは、ＣＰＵ５０１にロードされることで、コーディングされている処理をＣＰＵ５０１に実行させる。

ネットワークＩ／Ｆ５０３は、通信回線を通じてネットワーク３１０に接続され、ネットワーク３１０を介して他のコンピュータに接続される。そして、ネットワークＩ／Ｆ５０３は、ネットワーク３１０と内部のインターフェースを司り、他のコンピュータからのデータの入出力を制御する。ネットワークＩ／Ｆ５０３は、例えば、ノード２０４に接続され、ノード２０４が記憶する図９に後述する投票トークン保有台帳２３０などを参照可能にする。ネットワークＩ／Ｆ５０３には、例えば、モデムやＬＡＮアダプタなどを採用することができる。

記録媒体Ｉ／Ｆ５０４は、ＣＰＵ５０１の制御に従って記録媒体５０５に対するデータのリード／ライトを制御する。記録媒体Ｉ／Ｆ５０４は、例えば、ディスクドライブ、ＳＳＤ、ＵＳＢポートなどである。記録媒体５０５は、記録媒体Ｉ／Ｆ５０４の制御で書き込まれたデータを記憶する不揮発メモリである。記録媒体５０５は、例えば、ディスク、半導体メモリ、ＵＳＢメモリなどである。記録媒体５０５は、投票管理装置２０２から着脱可能であってもよい。

投票管理装置２０２は、上述した構成部のほか、例えば、キーボード、マウス、ディスプレイ、プリンタ、スキャナ、マイク、スピーカーなどを有してもよい。また、投票管理装置２０２は、記録媒体Ｉ／Ｆ５０４や記録媒体５０５を複数有していてもよい。また、投票管理装置２０２は、記録媒体Ｉ／Ｆ５０４や記録媒体５０５を有していなくてもよい。

（ノード２０４のハードウェア構成例）
次に、図６を用いて、ノード２０４のハードウェア構成例について説明する。

図６は、ノード２０４のハードウェア構成例を示すブロック図である。図６において、ノード２０４は、ＣＰＵ６０１と、メモリ６０２と、ネットワークＩ／Ｆ６０３と、記録媒体Ｉ／Ｆ６０４と、記録媒体６０５とを有する。また、各構成部は、バス６００によってそれぞれ接続される。

ここで、ＣＰＵ６０１は、ノード２０４の全体の制御を司る。メモリ６０２は、例えば、ＲＯＭ、ＲＡＭおよびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ６０１のワークエリアとして使用される。メモリ６０２に記憶されるプログラムは、ＣＰＵ６０１にロードされることで、コーディングされている処理をＣＰＵ６０１に実行させる。メモリ６０２は、例えば、図７〜図９に後述する投票権台帳２１０、投票トークン発行台帳２２０、投票トークン保有台帳２３０などを記憶する。

ネットワークＩ／Ｆ６０３は、通信回線を通じてネットワーク３１０に接続され、ネットワーク３１０を介して他のコンピュータに接続される。そして、ネットワークＩ／Ｆ６０３は、ネットワーク３１０と内部のインターフェースを司り、他のコンピュータからのデータの入出力を制御する。ネットワークＩ／Ｆ６０３には、例えば、モデムやＬＡＮアダプタなどを採用することができる。

記録媒体Ｉ／Ｆ６０４は、ＣＰＵ６０１の制御に従って記録媒体６０５に対するデータのリード／ライトを制御する。記録媒体Ｉ／Ｆ６０４は、例えば、ディスクドライブ、ＳＳＤ、ＵＳＢポートなどである。記録媒体６０５は、記録媒体Ｉ／Ｆ６０４の制御で書き込まれたデータを記憶する不揮発メモリである。記録媒体６０５は、例えば、ディスク、半導体メモリ、ＵＳＢメモリなどである。記録媒体６０５は、ノード２０４から着脱可能であってもよい。

ノード２０４は、上述した構成部のほか、例えば、キーボード、マウス、ディスプレイ、プリンタ、スキャナ、マイク、スピーカーなどを有してもよい。また、ノード２０４は、記録媒体Ｉ／Ｆ６０４や記録媒体６０５を複数有していてもよい。また、ノード２０４は、記録媒体Ｉ／Ｆ６０４や記録媒体６０５を有していなくてもよい。

（投票権台帳２１０の記憶内容）
次に、図７を用いて、投票権台帳２１０の記憶内容について説明する。投票権台帳２１０は、例えば、図６に示したノード２０４のメモリ６０２や記録媒体６０５などの記憶領域により実現される。

図７は、投票権台帳２１０の記憶内容の一例を示す説明図である。図７に示すように、投票権台帳２１０は、投票権台帳管理情報７０１と、投票権台帳Ｔｘ情報７０２とを有する。投票権台帳Ｔｘ情報７０２は、ブロックチェーンを用いて記憶される。投票権台帳管理情報７０１は、投票権台帳Ｔｘ情報７０２に基づいて更新される。

投票権台帳管理情報７０１は、住民ＩＤと、状態とのフィールドを有する。住民ＩＤのフィールドには、有権者を特定する情報として住民ＩＤが設定される。状態のフィールドには、有権者が有する投票権の状態が設定される。投票権の状態は、例えば、未使用または行使済みである。

投票権台帳Ｔｘ情報７０２は、タイムスタンプと、ＴｘＩＤと、Ｔｘ種別と、住民ＩＤと、状態とのフィールドを有する。タイムスタンプのフィールドには、投票権台帳管理情報７０１を更新するＴｘが生成された時点を示すタイムスタンプが設定される。ＴｘＩＤのフィールドには、Ｔｘを特定する情報がＴｘＩＤとして設定される。Ｔｘ種別のフィールドには、Ｔｘの種別を示すＴｘ種別が設定される。住民ＩＤのフィールドには、投票権台帳管理情報７０１の状態のフィールドを更新する有権者を特定する情報として住民ＩＤが設定される。状態のフィールドには、投票権台帳管理情報７０１の状態のフィールドを更新する内容が設定される。更新する内容は、例えば、未使用または行使済みである。

（投票トークン発行台帳２２０の記憶内容）
次に、図８を用いて、投票トークン発行台帳２２０の記憶内容について説明する。投票トークン発行台帳２２０は、例えば、図６に示したノード２０４のメモリ６０２や記録媒体６０５などの記憶領域により実現される。

図８は、投票トークン発行台帳２２０の記憶内容の一例を示す説明図である。図８に示すように、投票トークン発行台帳２２０は、投票トークン発行台帳管理情報８０１と、投票トークン発行台帳Ｔｘ情報８０２とを有する。投票トークン発行台帳Ｔｘ情報８０２は、ブロックチェーンを用いて記憶される。投票トークン発行台帳管理情報８０１は、投票トークン発行台帳Ｔｘ情報８０２に基づいて更新される。

投票トークン発行台帳管理情報８０１は、発行ＩＤと、投票権行使ＴｘＩＤと、トークン払出ＴｘＩＤと、投票権返還ＴｘＩＤとのフィールドを有する。発行ＩＤのフィールドには、投票権管理装置２０１が発行した投票トークンを特定する情報として発行ＩＤが設定される。投票権行使ＴｘＩＤのフィールドには、投票権の状態を「行使済み」に更新するＴｘを示す投票権台帳Ｔｘ情報７０２のＴｘＩＤが、投票権行使ＴｘＩＤとして設定される。トークン払出ＴｘＩＤのフィールドには、投票トークンを有権者に利用可能に払い出すＴｘを示す投票トークン保有台帳Ｔｘ情報９０２のＴｘＩＤが、トークン払出ＴｘＩＤとして設定される。投票権返還ＴｘＩＤのフィールドには、一度消尽した投票権を復活するＴｘを示す投票トークン発行台帳Ｔｘ情報８０２のＴｘＩＤが、投票権返還ＴｘＩＤとして設定される。

投票トークン発行台帳Ｔｘ情報８０２は、タイムスタンプと、発行ＴｘＩＤと、Ｔｘ種別と、発行ＩＤと、投票権行使ＴｘＩＤと、トークン払出ＴｘＩＤとのフィールドを有する。タイムスタンプのフィールドには、投票トークン発行台帳管理情報８０１を更新するＴｘが生成された時点を示すタイムスタンプが設定される。発行ＴｘＩＤのフィールドには、Ｔｘを特定する情報がＴｘＩＤとして設定される。Ｔｘ種別のフィールドには、Ｔｘの種別を示すＴｘ種別が設定される。発行ＩＤのフィールドには、投票権管理装置２０１が投票トークン発行手続きに関する一連のＴｘ群を特定する情報として発行ＩＤが設定される。投票権行使ＴｘＩＤのフィールドには、投票権の状態を「行使済み」に更新するＴｘを示す投票権台帳Ｔｘ情報７０２のＴｘＩＤが、投票権行使ＴｘＩＤとして設定される。トークン払出ＴｘＩＤのフィールドには、投票トークンを有権者に利用可能に払い出すＴｘを示す投票トークン保有台帳Ｔｘ情報９０２のＴｘＩＤが、トークン払出ＴｘＩＤとして設定される。

投票トークン発行台帳Ｔｘ情報８０２は、タイムスタンプと、ＴｘＩＤと、Ｔｘ種別と、発行ＩＤと、投票権返還ＴｘＩＤとのフィールドを有する場合があってもよい。タイムスタンプのフィールドには、投票トークン発行台帳管理情報８０１を更新するＴｘが生成された時点を示すタイムスタンプが設定される。ＴｘＩＤのフィールドには、Ｔｘを特定する情報がＴｘＩＤとして設定される。Ｔｘ種別のフィールドには、Ｔｘの種別を示すＴｘ種別が設定される。発行ＩＤのフィールドには、投票権管理装置２０１が発行した投票トークンを特定する情報として発行ＩＤが設定される。投票権返還ＴｘＩＤのフィールドには、一度消尽した投票権を復活するＴｘを示す投票トークン発行台帳Ｔｘ情報８０２のＴｘＩＤが、投票権返還ＴｘＩＤとして設定される。

（投票トークン保有台帳２３０の記憶内容）
次に、図９を用いて、投票トークン保有台帳２３０の記憶内容について説明する。投票トークン保有台帳２３０は、例えば、図６に示したノード２０４のメモリ６０２や記録媒体６０５などの記憶領域により実現される。

図９は、投票トークン保有台帳２３０の記憶内容の一例を示す説明図である。図９に示すように、投票トークン保有台帳２３０は、投票トークン保有台帳管理情報９０１と、投票トークン保有台帳Ｔｘ情報９０２とを有する。投票トークン保有台帳Ｔｘ情報９０２は、ブロックチェーンを用いて記憶される。投票トークン保有台帳管理情報９０１は、投票トークン保有台帳Ｔｘ情報９０２に基づいて更新される。

投票トークン保有台帳管理情報９０１は、口座と、トークン１口数と、トークン２口数と、トークン３口数と、トークン４口数とのフィールドを有する。口座のフィールドには、トークンを保持するトークン保持口座、または、トークンを投票する投票先を表す投票先口座のいずれかの口座を特定する情報が設定される。トークン１口数のフィールドには、口座に存在するトークン１の数が設定される。トークン１は、投票トークンの一種である。トークン２口数のフィールドには、口座に存在するトークン２の数が設定される。トークン２は、投票トークンの一種である。トークン３口数のフィールドには、口座に存在するトークン３の数が設定される。トークン３は、投票トークンの一種である。トークン４口数のフィールドには、口座に存在するトークン４の数が設定される。トークン４は、投票トークンの一種である。

投票トークン保有台帳Ｔｘ情報９０２は、タイムスタンプと、ＴｘＩＤと、Ｔｘ種別と、Ｆｒｏｍ口座と、Ｔｏ口座と、トークン１やトークン２やトークン３やトークン４の少なくともいずれかとのフィールドを有する。タイムスタンプのフィールドには、投票トークン保有台帳管理情報９０１を更新するＴｘが生成された時点を示すタイムスタンプが設定される。ＴｘＩＤのフィールドには、Ｔｘを特定する情報がＴｘＩＤとして設定される。Ｔｘ種別のフィールドには、Ｔｘの種別を示すＴｘ種別が設定される。Ｆｒｏｍ口座のフィールドには、投票トークンの移動元の口座を示す情報がＦｒｏｍ口座として設定される。Ｔｏ口座のフィールドには、投票トークンの移動先の口座を示す情報がＴｏ口座として設定される。トークン１のフィールドには、Ｆｒｏｍ口座からトークン１をいくつＴｏ口座に移動するかを示す情報が設定される。トークン２のフィールドには、Ｆｒｏｍ口座からトークン２をいくつＴｏ口座に移動するかを示す情報が設定される。トークン３のフィールドには、Ｆｒｏｍ口座からトークン３をいくつＴｏ口座に移動するかを示す情報が設定される。トークン４のフィールドには、Ｆｒｏｍ口座からトークン４をいくつＴｏ口座に移動するかを示す情報が設定される。

（端末装置２０３のハードウェア構成例）
次に、図１０を用いて、端末装置２０３のハードウェア構成例について説明する。

図１０は、端末装置２０３のハードウェア構成例を示すブロック図である。図１０において、端末装置２０３は、ＣＰＵ１００１と、メモリ１００２と、ネットワークＩ／Ｆ１００３と、記録媒体Ｉ／Ｆ１００４と、記録媒体１００５と、ディスプレイ１００６と、入力装置１００７とを有する。また、各構成部は、バス１０００によってそれぞれ接続される。

ここで、ＣＰＵ１００１は、端末装置２０３の全体の制御を司る。メモリ１００２は、例えば、ＲＯＭ、ＲＡＭおよびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ１００１のワークエリアとして使用される。メモリ１００２に記憶されるプログラムは、ＣＰＵ１００１にロードされることで、コーディングされている処理をＣＰＵ１００１に実行させる。

ネットワークＩ／Ｆ１００３は、通信回線を通じてネットワーク３１０に接続され、ネットワーク３１０を介して他のコンピュータに接続される。そして、ネットワークＩ／Ｆ１００３は、ネットワーク３１０と内部のインターフェースを司り、他のコンピュータからのデータの入出力を制御する。ネットワークＩ／Ｆ１００３には、例えば、モデムやＬＡＮアダプタなどを採用することができる。

記録媒体Ｉ／Ｆ１００４は、ＣＰＵ１００１の制御に従って記録媒体１００５に対するデータのリード／ライトを制御する。記録媒体Ｉ／Ｆ１００４は、例えば、ディスクドライブ、ＳＳＤ、ＵＳＢポートなどである。記録媒体１００５は、記録媒体Ｉ／Ｆ１００４の制御で書き込まれたデータを記憶する不揮発メモリである。記録媒体１００５は、例えば、ディスク、半導体メモリ、ＵＳＢメモリなどである。記録媒体１００５は、端末装置２０３から着脱可能であってもよい。

ディスプレイ１００６は、カーソル、アイコンあるいはツールボックスをはじめ、文書、画像、機能情報などのデータを表示する。ディスプレイ１００６は、例えば、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）、液晶ディスプレイ、有機ＥＬ（Ｅｌｅｃｔｒｏｌｕｍｉｎｅｓｃｅｎｃｅ）ディスプレイなどを採用することができる。入力装置１００７は、文字、数字、各種指示などの入力のためのキーを有し、データの入力を行う。入力装置１００７は、キーボードやマウスなどであってもよく、また、タッチパネル式の入力パッドやテンキーなどであってもよい。

端末装置２０３は、上述した構成部のほか、例えば、プリンタ、スキャナ、マイク、スピーカーなどを有してもよい。また、端末装置２０３は、記録媒体Ｉ／Ｆ１００４や記録媒体１００５を複数有していてもよい。また、端末装置２０３は、記録媒体Ｉ／Ｆ１００４や記録媒体１００５を有していなくてもよい。

（電子投票システム２００の機能的構成例）
次に、図１１を用いて、電子投票システム２００の機能的構成例について説明する。

図１１は、電子投票システム２００の機能的構成例を示すブロック図である。電子投票システム２００は、投票権管理装置２０１と、投票管理装置２０２とを含む。投票権管理装置２０１は、第１記憶部１１１０と、第１取得部１１１１と、第１記録部１１１２と、第２記録部１１１３と、第３記録部１１１４と、第１出力部１１１５とを含む。

第１記憶部１１１０は、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域によって実現される。以下では、第１記憶部１１１０が、投票権管理装置２０１に含まれる場合について説明するが、これに限らない。例えば、第１記憶部１１１０が、投票権管理装置２０１とは異なる装置に含まれ、第１記憶部１１１０の記憶内容が投票権管理装置２０１から参照可能である場合があってもよい。

第１取得部１１１１〜第１出力部１１１５は、制御部の一例として機能する。第１取得部１１１１〜第１出力部１１１５は、具体的には、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域に記憶されたプログラムをＣＰＵ３０１に実行させることにより、または、ネットワークＩ／Ｆ３０３により、その機能を実現する。各機能部の処理結果は、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域に記憶される。

第１記憶部１１１０は、各機能部の処理に用いられる各種情報を記憶する。第１記憶部１１１０は、各機能部の処理において参照され、または更新される各種情報を記憶する。第１記憶部１１１０は、例えば、有権者の属性ごとに投票可能な投票トークンの種類と数とを対応付けて表す対応情報を記憶する。第１記憶部１１１０は、具体的には、図４に示した付与条件テーブル４００を記憶する。

第１取得部１１１１は、各機能部の処理に用いられる各種情報を第１記憶部１１１０から取得し、各機能部に出力する。第１取得部１１１１は、例えば、各機能部の処理に用いられる各種情報を第１記憶部１１１０から取得し、各機能部に出力してもよい。第１取得部１１１１は、例えば、各機能部の処理に用いられる各種情報を、投票権管理装置２０１とは異なる装置から取得し、各機能部に出力してもよい。

第１取得部１１１１は、例えば、第３装置から有権者の識別情報を受け付ける。第３装置は、例えば、端末装置２０３である。第１取得部１１１１は、例えば、投票トークンの移転要求を端末装置２０３から受け付け、投票トークンの移転要求を第１記録部１１１２に出力する。これにより、第１取得部１１１１は、移転要求に基づき有権者を特定可能にすることができる。

第１記録部１１１２は、受け付けた移転要求から特定される有権者が有する投票権を消尽させる第１Ｔｘの情報を、第１分散台帳１２０に記録する。移転要求は、有権者を特定する情報を含む。第１Ｔｘの情報は、例えば、投票権台帳Ｔｘ情報である。第１分散台帳１２０は、例えば、投票権台帳２１０である。

第１記録部１１１２は、例えば、移転要求から特定される有権者が有する投票権を消尽させる投票権台帳Ｔｘ情報の記録要求を、ノード２０４に送信する。記録要求は、例えば、投票権台帳Ｔｘ情報の生成に用いる情報を含む。そして、第１記録部１１１２は、ノード２０４により、投票権台帳Ｔｘ情報を、投票権台帳２１０に記録させる。これにより、第１記録部１１１２は、１つの投票権に基づき正式な数の投票トークンが利用されることを保証可能にし、１つの投票権に基づき不正な数の投票トークンが利用されることを防止可能にし、多重投票を防止可能にすることができる。

第１記録部１１１２は、例えば、第１取得部１１１１が受け付けた識別情報に基づき有権者を認証成功したことに応じて、第１Ｔｘの情報を、第１分散台帳１２０に記録してもよい。これにより、第１記録部１１１２は、有権者ではない攻撃者に投票トークンを利用可能にしてしまうことを防止することができる。

第１記録部１１１２は、例えば、受け付けた移転要求から特定される有権者が有する投票権が未使用である場合、第１Ｔｘの情報を、第１分散台帳１２０に記録してもよい。一方で、第１記録部１１１２は、例えば、受け付けた移転要求から特定される有権者が有する投票権が行使済みである場合、第１Ｔｘの情報を、第１分散台帳１２０に記録しない。これにより、第１記録部１１１２は、利用者に重複して投票トークンを利用可能にしてしまうことを防止することができる。

第２記録部１１１３は、複数の口座のいずれかの口座に投票トークンを移転させる第２Ｔｘの情報を、第２分散台帳１３０に記録する。口座は、論理的な区分けである。複数の口座は、投票トークンを保持可能な口座である。複数の口座は、例えば、匿名性を有し、いずれの有権者とも対応付けられなくてよい。第２Ｔｘの情報は、例えば、投票トークン保有台帳Ｔｘ情報である。第２分散台帳１３０は、例えば、投票トークン保有台帳２３０である。

第２記録部１１１３は、例えば、投票トークン保有台帳Ｔｘ情報の記録要求を、ノード２０４に送信する。記録要求は、例えば、投票トークン保有台帳Ｔｘ情報の生成に用いる情報を含む。そして、第２記録部１１１３は、ノード２０４により、投票トークン保有台帳Ｔｘ情報を、投票トークン保有台帳２３０に記録させる。これにより、第２記録部１１１３は、匿名性を確保した、投票先に投票可能な票を表す投票トークンを、有権者が利用可能にすることができ、匿名性を確保可能にすることができる。

第２記録部１１１３は、例えば、第１分散台帳１２０への第１Ｔｘの情報の記録が確定した後、第２Ｔｘの情報を、第２分散台帳１３０に記録してもよい。第２記録部１１１３は、具体的には、投票権台帳２１０のブロックチェーンへの投票権台帳Ｔｘ情報の記録が確定した後、投票トークン保有台帳Ｔｘ情報を投票トークン保有台帳２３０に記録する。

第２記録部１１１３は、具体的には、ノード２０４から、投票権台帳２１０のブロックチェーンへの投票権台帳Ｔｘ情報の記録が確定したことを通知されると、投票トークン保有台帳Ｔｘ情報を投票トークン保有台帳２３０に記録する。これにより、第２記録部１１１３は、有権者の投票権が消尽していない可能性があるのに有権者に投票トークンを利用可能にしてしまうことを防止することができる。

第２記録部１１１３は、例えば、対応情報に基づいて、移転要求から特定される有権者の属性に対応付けられた数の、移転要求から特定される有権者の属性に対応付けられた種類の投票トークンを特定してもよい。第２記録部１１１３は、具体的には、移転要求から特定される有権者の属性に割り当てられた種類の投票トークンを、その投票トークンに対応付けられた数だけ特定する。そして、第２記録部１１１３は、特定した投票トークンを、複数の口座のいずれかの口座に移転させる第２Ｔｘの情報を、第２分散台帳１３０に記録してもよい。これにより、第２記録部１１１３は、複数の種類の投票トークンを利用可能にすることができる。

第２記録部１１１３は、例えば、受け付けた移転要求から特定される有権者が有する投票権が未使用である場合、第２Ｔｘの情報を、第２分散台帳１３０に記録してもよい。一方で、第２記録部１１１３は、例えば、受け付けた移転要求から特定される有権者が有する投票権が行使済みである場合、第２Ｔｘの情報を、第２分散台帳１３０に記録しない。

第３記録部１１１４は、第１Ｔｘと第２Ｔｘとを対応付ける第３Ｔｘの情報を、第３分散台帳１４０に記録する。第３Ｔｘの情報は、例えば、投票トークン発行台帳Ｔｘ情報である。第３分散台帳１４０は、例えば、投票トークン発行台帳２２０である。

第３記録部１１１４は、例えば、投票権台帳Ｔｘ情報のＴｘＩＤと、投票トークン保有台帳Ｔｘ情報のＴｘＩＤとを対応付ける投票トークン発行台帳Ｔｘ情報の記録要求を、ノード２０４に送信する。記録要求は、例えば、投票トークン発行台帳Ｔｘ情報の生成に用いる情報を含む。そして、第３記録部１１１４は、ノード２０４により、投票トークン発行台帳Ｔｘ情報を、投票トークン発行台帳２２０に記録させる。これにより、第３記録部１１１４は、１つの投票権に基づき正式な数の投票トークンが利用されたことを検証可能にすることができ、多重投票に対策可能にすることができる。

ここで、第３Ｔｘの情報は、１以上の移転要求のそれぞれの移転要求から特定される有権者が有する投票権を消尽させる第１Ｔｘをグループ化したＴｘグループと、第２Ｔｘとを対応付けるＴｘの情報であってもよい。これにより、第３記録部１１１４は、匿名性の確保を効率よく図ることができる。

第３記録部１１１４は、例えば、第２Ｔｘの情報の第２分散台帳１３０への記録が確定した後、第３Ｔｘの情報を、第３分散台帳１４０に記録してもよい。第３記録部１１１４は、具体的には、ノード２０４から、投票トークン保有台帳２３０のブロックチェーンへの投票トークン保有台帳Ｔｘ情報の記録が確定したことを通知されると、投票トークン発行台帳Ｔｘ情報を、投票トークン発行台帳２２０に記録してもよい。これにより、第３記録部１１１４は、投票トークンを利用可能にしていないのに、第３Ｔｘの情報を記録してしまい、誤って有権者に投票トークンを利用可能にしたと判断されることを防止することができる。

第１記録部１１１２は、第２分散台帳１３０への第２Ｔｘの情報の記録が失敗した場合、移転要求から特定される有権者が有する投票権を復活させる第５Ｔｘの情報を、第１分散台帳１２０に記録してもよい。第５Ｔｘの情報は、例えば、投票権台帳Ｔｘ情報である。第１記録部１１１２は、例えば、投票トークン保有台帳２３０のブロックチェーンへの投票トークン保有台帳Ｔｘ情報の記録が失敗した場合、有権者が有する投票権を復活させる投票権台帳Ｔｘ情報を、投票権台帳２１０に記録する。

第１記録部１１１２は、具体的には、ノード２０４から、投票トークン保有台帳２３０のブロックチェーンへの投票トークン保有台帳Ｔｘ情報の記録が失敗したことを通知されると、投票権台帳Ｔｘ情報を、投票権台帳２１０に記録する。これにより、第１記録部１１１２は、投票トークンを利用可能にしていない場合、有権者の投票権を復活させ、有権者が投票することができなくなることを防止することができる。

第１出力部１１１５は、投票トークンを移転したいずれかの口座を表す口座情報を出力する。出力形式は、例えば、ディスプレイへの表示、プリンタへの印刷出力、ネットワークＩ／Ｆ３０３による外部装置への送信、または、メモリ３０２や記録媒体３０５などの記憶領域への記憶である。

第１出力部１１１５は、例えば、投票トークンを移転したいずれかの口座を表す口座情報を、端末装置２０３に送信する。これにより、第１出力部１１１５は、有権者を特定する情報を用いずに有権者に投票トークンを利用可能にすることができ、匿名性の確保を図ることができる。

第１出力部１１１５は、各機能部の処理結果を出力してもよい。これにより、第１出力部１１１５は、各機能部の処理結果を利用者に通知可能にし、投票権管理装置２０１の管理や運用、例えば、投票権管理装置２０１の設定値の更新などを支援することができ、投票権管理装置２０１の利便性の向上を図ることができる。

投票管理装置２０２は、第２記憶部１１２０と、第２取得部１１２１と、第４記録部１１２２と、算出部１１２３と、第２出力部１１２４とを含む。

第２記憶部１１２０は、例えば、図５に示したメモリ５０２や記録媒体５０５などの記憶領域によって実現される。以下では、第２記憶部１１２０が、投票権管理装置２０１に含まれる場合について説明するが、これに限らない。例えば、第２記憶部１１２０が、投票権管理装置２０１とは異なる装置に含まれ、第２記憶部１１２０の記憶内容が投票権管理装置２０１から参照可能である場合があってもよい。

第２取得部１１２１〜第２出力部１１２４は、制御部の一例として機能する。第２取得部１１２１〜第２出力部１１２４は、具体的には、例えば、図５に示したメモリ５０２や記録媒体５０５などの記憶領域に記憶されたプログラムをＣＰＵ５０１に実行させることにより、または、ネットワークＩ／Ｆ５０３により、その機能を実現する。各機能部の処理結果は、例えば、図５に示したメモリ５０２や記録媒体５０５などの記憶領域に記憶される。

第２記憶部１１２０は、各機能部の処理に用いられる各種情報を記憶する。第２記憶部１１２０は、各機能部の処理において参照され、または更新される各種情報を記憶する。

第２取得部１１２１は、各機能部の処理に用いられる各種情報を第２記憶部１１２０から取得し、各機能部に出力する。第２取得部１１２１は、例えば、各機能部の処理に用いられる各種情報を第２記憶部１１２０から取得し、各機能部に出力してもよい。第２取得部１１２１は、例えば、各機能部の処理に用いられる各種情報を、投票権管理装置２０１とは異なる装置から取得し、各機能部に出力してもよい。

第２取得部１１２１は、例えば、複数の口座のいずれかの口座を表す口座情報を含む投票要求を受け付ける。第２取得部１１２１は、具体的には、複数の口座のいずれかの口座を表す口座情報を含む投票要求を、端末装置２０３から受信する。これにより、第２取得部１１２１は、有権者を特定する情報を用いずに有権者に投票トークンを利用可能にすることができ、匿名性の確保を図ることができる。

第４記録部１１２２は、受け付けた投票要求から特定されるいずれかの口座に存在する投票トークンを、受け付けた投票要求から特定される投票先を表す口座に移転させる第４Ｔｘの情報を、第２分散台帳１３０に記録する。口座は、論理的な区分けである。第４Ｔｘの情報は、例えば、投票トークン保有台帳Ｔｘ情報である。第４記録部１１２２は、例えば、投票トークン保有台帳Ｔｘ情報の記録要求を、ノード２０４に送信し、投票トークン保有台帳Ｔｘ情報を、投票トークン保有台帳２３０に記録させる。これにより、第４記録部１１２２は、投票先ごとに投票トークンを投票可能にし、投票トークンを用いた投票を実現することができる。

算出部１１２３は、第２分散台帳１３０への第４Ｔｘの情報の記録が確定した場合、１以上の投票先のそれぞれの投票先を表す口座に移転された投票トークンの数を算出する。算出部１１２３は、例えば、投票トークン保有台帳２３０のブロックチェーンへの投票トークン保有台帳Ｔｘ情報の記録が確定すると、投票トークン保有台帳２３０を参照し、１以上の投票先のそれぞれの投票先を表す口座に移転された投票トークンの数を算出する。

算出部１１２３は、具体的には、ノード２０４から、投票トークン保有台帳Ｔｘ情報の記録が確定したことを通知されると、投票トークン保有台帳２３０を参照し、１以上の投票先のそれぞれの投票先を表す口座に移転された投票トークンの数を算出する。これにより、算出部は、投票先を表す口座ごとに投票された投票トークンの数を算出可能にすることができ、集計作業にかかる時間やコストの増大化を抑制可能にすることができる。

第２出力部１１２４は、算出部１１２３が算出した１以上の投票先のそれぞれの投票先を表す口座に移転された投票トークンの数を出力する。出力形式は、例えば、ディスプレイへの表示、プリンタへの印刷出力、ネットワークＩ／Ｆ５０３による外部装置への送信、または、メモリ５０２や記録媒体５０５などの記憶領域への記憶である。

第２出力部１１２４は、各機能部の処理結果を出力してもよい。これにより、第２出力部１１２４は、各機能部の処理結果を利用者に通知可能にし、投票管理装置２０２の管理や運用、例えば、投票管理装置２０２の設定値の更新などを支援することができ、投票管理装置２０２の利便性の向上を図ることができる。

（電子投票システム２００の実施例１）
次に、図１２〜図２９を用いて、電子投票システム２００の実施例１について説明する。実施例１では、有権者は、居住地に応じた投票と、居住地に限らない投票とを行うことができる。また、有権者は、投票葉書などを有する。まず、図１２の説明に移行し、電子投票システム２００のモジュール構成例について説明する。

図１２は、電子投票システム２００のモジュール構成例を示す説明図である。図１２において、投票権管理装置２０１は、投票トークン発行手段１２１１と、投票権台帳Ｔｘ記録監視手段１２１２とを有する。投票管理装置２０２は、投票検査手段１２２１と、投票トークン集計手段１２２２とを有する。端末装置２０３は、口座情報取得手段１２３１と、口座情報保持手段１２３２と、投票トークン移転要求手段１２３３とを有する。次に、図１３〜図１５の説明に移行し、端末装置２０３の第１動作について説明する。

図１３〜図１５は、端末装置２０３の第１動作を示す説明図である。図１３において、（１３−１）有権者１３０１は、電子投票ポータルサイトのログイン画面において、投票葉書やマイナンバーなどを参照し、有権者ＩＤと秘密鍵とを端末装置２０３に入力する。端末装置２０３は、有権者ＩＤと秘密鍵との入力を受け付ける。次に、図１４の説明に移行する。

図１４において、端末装置２０３は、有権者ＩＤと秘密鍵とによる有権者１３０１の認証が成功すると、電子投票ポータルサイトの認証成功画面１４００を表示する。認証は、例えば、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）のクライアント認証方式、または、有権者ＩＤとパスフレーズの組み合わせによるベーシックパスワード認証方式などを用いることができる。認証成功画面１４００は、例えば、有権者１３０１の氏名と生年月日と住所とを表示し、「属性を確認しました」の操作ボタン１４０１を表示する。ここで、図１５の説明に移行する。

図１５において、端末装置２０３は、操作ボタン１４０１がクリックされると、投票トークン発行手続き画面１５００を表示する。投票トークン発行手続き画面１５００は、例えば、有権者１３０１の属性に対応する、投票可能な選挙の種別と、投票数とを表示し、「投票トークンを発行する」の操作ボタン１５０１や「投票をやめる」の操作ボタンを表示する。投票トークン発行手続き画面１５００は、具体的には、「○×地区代表選挙」と「全国区代表選挙」の２件の選挙を、投票可能な選挙の種別として表示する。ここで、操作ボタン１５０１がクリックされたとして、図１６〜図２１の説明に移行し、投票権管理装置２０１の第１動作について説明する。

図１６〜図２１は、投票権管理装置２０１の第１動作を示す説明図である。図１６において、（１６−１）端末装置２０３は、口座情報取得手段１２３１により、入力された有権者ＩＤを含む投票トークン移転要求を、投票権管理装置２０１に送信する。

（１６−２）投票権管理装置２０１は、投票トークン発行手段１２１１により、受信した投票トークン移転要求に含まれる有権者ＩＤから特定される有権者１３０１の投票権を消尽させる、図１７に後述する投票権台帳Ｔｘ情報１７００の記録要求を生成する。投票権台帳Ｔｘ情報１７００は、例えば、有権者ＩＤから特定される有権者１３０１についての投票権台帳管理情報の状態のフィールドを、行使済みに設定する。

そして、投票権管理装置２０１は、投票トークン発行手段１２１１により、生成した投票権台帳Ｔｘ情報１７００の記録要求を、ノード２０４に送信する。ノード２０４は、記録要求に基づいて、投票権台帳Ｔｘ情報１７００を、投票権台帳２１０に記録する。ここで、図１７の説明に移行する。

図１７において、投票権台帳Ｔｘ情報１７００は、例えば、タイムスタンプと、ＴｘＩＤと、Ｔｘ種別と、住民ＩＤと、状態とのフィールドを有する。ＴｘＩＤのフィールドの値は、ｘｘｘｘｘｘｘｘｘａｂｃである。Ｔｘ種別のフィールドの値は、状態変更である。住民ＩＤのフィールドの値は、１２３４−５６７８−９０１２である。状態のフィールドの値は、行使済みである。次に、図１８の説明に移行する。

図１８において、（１８−１）投票権管理装置２０１は、投票トークン発行手段１２１１により、予め発行した複数の投票トークンのいずれかの投票トークンを選択する。また、投票権管理装置２０１は、投票トークン発行手段１２１１により、複数の投票トークン保持口座のいずれかの投票トークン保持口座を選択する。

投票権管理装置２０１は、例えば、ランダムにいずれかの投票トークン保持口座を選択する。投票権管理装置２０１は、例えば、シーケンシャルにいずれかの投票トークン保持口座を選択してもよい。投票権管理装置２０１は、例えば、同じ投票トークン保持口座を、複数回選択することがあってもよい。

投票権管理装置２０１は、投票トークン発行手段１２１１により、選択した投票トークンを、選択した投票トークン保持口座に移転させる、図１９に後述する投票トークン保有台帳Ｔｘ情報１９００の記録要求を生成する。投票権管理装置２０１は、投票トークン保有台帳Ｔｘ情報１９００の記録要求を、ノード２０４に送信する。ノード２０４は、記録要求に基づいて、投票トークン保有台帳Ｔｘ情報１９００を、投票トークン保有台帳２３０に記録する。

ここで、投票権管理装置２０１は、付与条件テーブル４００を参照し、１以上の投票トークンを選択してもよい。図１８の例では、投票権管理装置２０１は、トークン１とトークン４とを選択する。トークン１は、例えば、全国区代表選挙に対応する投票トークンである。トークン４は、例えば、地区代表選挙に対応する投票トークンである。

また、投票権管理装置２０１は、投票権台帳Ｔｘ記録監視手段１２１２（不図示）により、投票権台帳Ｔｘ情報１７００の記録が確定したことを検出した後、投票トークン発行手段１２１１により、投票トークン保有台帳Ｔｘ情報１９００を記録してもよい。ここで、図１９の説明に移行する。

図１９において、投票トークン保有台帳Ｔｘ情報１９００は、例えば、タイムスタンプと、ＴｘＩＤと、Ｔｘ種別と、Ｆｒｏｍ口座と、Ｔｏ口座と、トークン１と、トークン４とのフィールドを有する。ＴｘＩＤは、ｘｘｘｘｘｘｘｘｘｄｅｆである。Ｔｘ種別のフィールドの値は、権利の移動である。Ｆｒｏｍ口座のフィールドの値は、○×区役所である。Ｔｏ口座のフィールドの値は、ｖｏｔｉｎｇ−００２２ａｆａｇａｇａｇａ４３５である。トークン１のフィールドの値は、トークン１の投票種類の投票トークンの数１である。トークン４のフィールドの値は、トークン４の投票種類の投票トークンの数１である。次に、図２０の説明に移行する。

図２０において、（２０−１）投票権管理装置２０１は、投票トークン発行手段１２１１により、いずれかのノード２０４から、投票トークン発行台帳２２０に記録された投票トークン保有台帳Ｔｘ情報１９００のＴｘＩＤを取得する。投票権管理装置２０１は、例えば、ノード２０４から投票トークン保有台帳Ｔｘ情報１９００のＴｘＩＤを取得する。

（２０−２）投票権管理装置２０１は、投票トークン発行手段１２１１により、図２１に後述する投票トークン発行台帳Ｔｘ情報２１００の記録要求を生成する。投票トークン発行台帳Ｔｘ情報２１００は、投票権台帳Ｔｘ情報１７００のＴｘＩＤと、投票トークン保有台帳Ｔｘ情報１９００のＴｘＩＤとを対応付ける。

そして、投票権管理装置２０１は、投票トークン発行手段１２１１により、生成した投票トークン発行台帳Ｔｘ情報２１００の記録要求を、ノード２０４に送信する。ノード２０４は、記録要求に基づいて、投票トークン発行台帳Ｔｘ情報２１００を、投票トークン発行台帳２２０に記録する。次に、図２１の説明に移行する。

図２１において、投票トークン発行台帳Ｔｘ情報２１００は、例えば、タイムスタンプと、発行ＴｘＩＤと、Ｔｘ種別と、発行ＩＤと、投票権行使ＴｘＩＤと、トークン払出ＴｘＩＤとのフィールドを有する。ＴｘＩＤのフィールドの値は、ｘｘｘｘｘｘｘｘｘ１２３である。Ｔｘ種別のフィールドの値は、変更である。発行ＩＤのフィールドの値は、ｘｘｘｘＸＹＺである。

投票権行使ＴｘＩＤのフィールドの値は、ｘｘｘｘｘｘｘｘｘａｂｃである。投票権行使ＴｘＩＤのフィールドの値は、投票権台帳Ｔｘ情報１７００のＴｘＩＤのフィールドの値である。トークン払出ＴｘＩＤのフィールドの値は、ｘｘｘｘｘｘｘｘｘｄｅｆである。トークン払出ＴｘＩＤのフィールドの値は、投票トークン保有台帳Ｔｘ情報１９００のＴｘＩＤのフィールドの値である。

これにより、投票権管理装置２０１は、投票権台帳２１０、投票トークン保有台帳２３０、投票トークン発行台帳２２０から、有権者１３０１の投票権に基づき正式な数の投票トークンが有権者１３０１に利用可能になったか否かを監査可能にすることができる。次に、図２２〜図２４の説明に移行し、端末装置２０３の第２動作について説明する。

図２２〜図２４は、端末装置２０３の第２動作を示す説明図である。図２２において、（２２−１）投票権管理装置２０１は、投票トークン発行手段１２１１により、投票トークンを移転した投票トークン保持口座を示す口座アドレスと秘密鍵とを端末装置２０３に送信する。

（２２−２）端末装置２０３は、口座情報取得手段１２３１により、口座アドレスと秘密鍵とを取得し、口座情報保持手段１２３２により口座アドレスと秘密鍵とを保持する。

（２２−３）端末装置２０３は、投票トークン移転要求手段１２３３により、口座アドレスと秘密鍵を取得し、図２３に後述する確認用画面２３００を表示する。次に、図２３の説明に移行する。

図２３において、確認用画面２３００は、例えば、口座アドレスと秘密鍵とを表示し、「投票ポータルへアクセス」の操作ボタン２３０１を表示する。ここで、操作ボタン２３０１がクリックされたとして、図２２の説明に戻る。

図２２において、（２２−４）端末装置２０３は、操作ボタン２３０１がクリックされたことに応じて、投票トークン移転要求手段１２３３により、電子投票ポータルサイトから、図２４に後述する投票操作用ポータルに遷移し、投票画面２４００を表示する。次に、図２４の説明に移行する。

図２４において、投票画面２４００は、例えば、有権者１３０１の属性に対応する、投票可能な選挙の種別と、投票数とを表示し、「投票を行う」の操作ボタン２４０１や「投票をやめる」の操作ボタンを表示する。投票画面２４００は、具体的には、「○×地区代表選挙」と「全国区代表選挙」の２件の選挙を、投票可能な選挙の種別として表示する。投票操作用ポータルでは、有権者ＩＤのような有権者１３０１を特定する情報の入力は行われなくてよく、有権者１３０１の認証は行われなくてよい。

ここで、端末装置２０３は、操作ボタン２４０１がクリックされたことに応じて、投票トークン移転要求手段１２３３により、投票種類ごとに１以上の投票先候補を表示し、投票種類ごとに投票先の入力を受け付ける。端末装置２０３は、いずれかの投票種類に対応する投票トークンが２以上存在する場合、投票先に投票する投票トークンの数の入力を受け付けてもよい。次に、図２５〜図２７の説明に移行し、投票管理装置２０２の第１動作について説明する。

図２５〜図２７は、投票管理装置２０２の第１動作を示す説明図である。図２５において、（２５−１）端末装置２０３は、投票トークン移転要求手段１２３３により、口座アドレスと、秘密鍵に基づく電子署名と、投票種類ごとの投票先とを含む投票トークン移転要求を、投票管理装置２０２に送信する。ここで、電子署名は、例えば、投票権管理装置２０１が生成し、端末装置２０３に通知しておいてもよい。また、電子署名は、例えば、端末装置２０３のウェブブラウザが生成してもよい。

投票管理装置２０２は、投票検査手段１２２１により、投票トークン移転要求を受け付ける。投票管理装置２０２は、投票検査手段１２２１により、投票トークン移転要求に含まれる電子署名の正当性を確認する。投票管理装置２０２は、投票検査手段１２２１により、電子署名を正当と判定すると、投票トークン移転要求に含まれる投票先の正当性を確認する。投票管理装置２０２は、例えば、投票検査手段１２２１により、投票トークンの投票種類に対応する投票先候補以外が投票先である場合、投票先を不当と判定する。

（２５−２）投票管理装置２０２は、投票検査手段１２２１により、電子署名を正当と判定し、かつ、投票先を正当と判定した場合、投票トークン移転要求に基づいて、図２６に後述する投票トークン保有台帳Ｔｘ情報２６００の記録要求を生成する。

投票トークン保有台帳Ｔｘ情報２６００は、投票トークン保有台帳Ｔｘ情報２６００の記録要求を、ノード２０４に送信する。ノード２０４は、記録要求に基づいて、投票トークン保有台帳Ｔｘ情報２６００を、投票トークン保有台帳２３０に記録する。これにより、投票管理装置２０２は、投票種類ごとに、口座アドレスが示す投票トークン保持口座に存在する投票トークンを、投票先を表す投票先口座に移転させる。

一方で、投票管理装置２０２は、例えば、投票検査手段１２２１により、電子署名を不当と判定した場合、または、投票先を不当と判定した場合、投票トークン移転要求を破棄し、投票失敗を示す情報を端末装置２０３に送信する。次に、図２６の説明に移行する。

図２６において、投票トークン保有台帳Ｔｘ情報２６００は、例えば、タイムスタンプと、ＴｘＩＤと、Ｔｘ種別と、Ｆｒｏｍ口座と、Ｔｏ口座と、トークン１とのフィールドを有する。ＴｘＩＤのフィールドの値は、ｘｘｘｘｘｘｘｘｘｇｈｉである。Ｔｘ種別のフィールドの値は、権利の移動である。

Ｆｒｏｍ口座のフィールドの値は、ｖｏｔｉｎｇ−００２２ａｆａｇａｇａｇａ４３５である。Ｆｒｏｍ口座のフィールドの値は、投票トークン保有台帳Ｔｘ情報１９００のＴｏ口座のフィールドの値である。Ｔｏ口座のフィールドの値は、ｃａｎｄｉｄａｔｅ−０３５３である。トークン１のフィールドの値は、移転させる投票トークンの数１である。次に、図２７の説明に移行する。

図２７において、（２７−１）投票管理装置２０２は、投票トークン集計手段１２２２により、投票先ごとに投票トークンの数を集計し、投票トークン保有台帳２３０の管理情報に反映する。その後、投票管理装置２０２は、投票期間が終了すると、投票先ごとの投票数を公開する。これにより、投票管理装置２０２は、投票期間が終了してから、選挙結果を出力するまでにかかる時間の低減化を図ることができる。

また、投票管理装置２０２は、投票期間が終了すると、投票期間中は秘匿していた投票トーク保有台帳のブロックチェーンを公開する。これにより、投票管理装置２０２は、投票先ごとの投票数を監査可能にすることができる。また、投票管理装置２０２は、ブロックチェーンには有権者１３０１を特定する情報が含まれないため、匿名性を確保することができる。

また、選挙管理委員会は、投票権台帳２１０と、投票トークン発行台帳２２０と、投票トークン保有台帳２３０とを参照し、有権者１３０１の投票権に基づき正式な数の投票トークンが有権者１３０１に利用可能になったか否かを監査することができる。このため、選挙管理委員会は、選挙の公正性や有効性を確認することができる。

また、選挙管理委員会は、投票権台帳２１０と、投票トークン発行台帳２２０と、投票トークン保有台帳２３０とを参照し、不正に投票トークンが利用されたことを検出可能にすることができ、不正に利用された投票トークンを無効化することができる。選挙管理委員会は、例えば、投票権台帳Ｔｘ情報のＴｘＩＤが、投票トークン発行台帳２２０に記録されていない投票トークンがあれば、投票トークンの投票を無効化することができる。

次に、図２８および図２９を用いて、（１８−１）において、投票トークン保有台帳Ｔｘ情報１９００の投票トークン保有台帳２３０への記録が失敗した場合に応じた、投票権管理装置２０１の第２動作について説明する。

図２８および図２９は、記録失敗に応じた投票権管理装置２０１の第２動作を示す説明図である。図２８において、（１８−１）と同様に、（２８−１）投票権管理装置２０１は、投票トークン発行手段１２１１により、投票トークン保有台帳Ｔｘ情報１９００を投票トークン保有台帳２３０のブロックチェーンに記録する。ここで、ブロックチェーンのデータは、一定時間ごとに確定されるため、投票トークン保有台帳Ｔｘ情報１９００の記録は、まだ確定していない。

（２８−２）投票権管理装置２０１は、投票トークン発行手段１２１１により、投票トークン保有台帳Ｔｘ情報１９００の記録が失敗した通知をノード２０４から受け付ける。

（２８−３）投票権管理装置２０１は、投票トークン発行手段１２１１により、有権者ＩＤから特定される有権者１３０１について投票権を復活させる、図２９に後述する投票権台帳Ｔｘ情報２９００の記録要求を生成する。投票権管理装置２０１は、投票トークン発行手段１２１１により、生成した投票権台帳Ｔｘ情報２９００の記録要求を、ノード２０４に送信する。ノード２０４は、投票権台帳Ｔｘ情報２９００を、投票権台帳２１０に記録する。

（２８−４）投票権管理装置２０１は、投票トークン発行手段１２１１により、選択した投票トークンと、有権者１３０１についての投票権の復活とを対応付ける、図２９に後述する投票トークン発行台帳Ｔｘ情報２９０１の記録要求を生成する。投票権管理装置２０１は、投票トークン発行手段１２１１により、生成した投票トークン発行台帳Ｔｘ情報２９０１の記録要求を、ノード２０４に送信する。ノード２０４は、投票トークン発行台帳Ｔｘ情報２９０１を、投票トークン発行台帳２２０に記録する。次に、図２９の説明に移行する。

図２９において、投票権台帳Ｔｘ情報２９００は、例えば、タイムスタンプと、ＴｘＩＤと、Ｔｘ種別と、住民ＩＤと、状態とのフィールドを有する。ＴｘＩＤのフィールドの値は、ｘｘｘｘｘｘｘｘｘｊｋｌである。Ｔｘ種別のフィールドの値は、状態変更である。住民ＩＤのフィールドの値は、１２３４−５６７８−９０１２である。状態のフィールドの値は、未使用である。

図２９において、投票トークン発行台帳Ｔｘ情報２９０１は、例えば、タイムスタンプと、ＴｘＩＤと、Ｔｘ種別と、発行ＩＤと、投票権返還ＴｘＩＤとのフィールドを有する。ＴｘＩＤのフィールドの値は、ｘｘｘｘｘｘｘｘｘ４５６である。Ｔｘ種別のフィールドの値は、変更である。発行ＩＤのフィールドの値は、ｘｘｘｘＸＹＺである。投票権返還ＴｘＩＤのフィールドの値は、ｘｘｘｘｘｘｘｘｘｊｋｌである。投票権返還ＴｘＩＤのフィールドの値は、投票権台帳Ｔｘ情報２９００のＴｘＩＤのフィールドの値である。

（電子投票システムの実施例２）
次に、電子投票システムの実施例２について説明する。実施例２では、実施例１とは異なり、選挙管理委員会の委員による監査においても匿名性の担保を図る実施例である。実施例２では、選挙管理委員会の委員による監査においても、いずれの有権者がいずれの投票先に投票したかを特定困難にすることができる。実施例２では、投票権管理装置２０１の投票トークン発行手段１２１１に、複数Ｔｘ混合手段を追加する。

実施例２において、図１６と同様に、投票権管理装置２０１は、投票トークン発行手段１２１１により、投票トークン移転要求を受信する。投票権管理装置２０１は、投票トークン発行手段１２１１により、投票トークン移転要求を受信する都度、投票トークン移転要求に含まれる有権者ＩＤから特定される有権者の投票権を消尽させる投票権台帳Ｔｘ情報の記録要求を生成する。

投票権管理装置２０１は、複数Ｔｘ混合手段により、一定期間内に生成された投票権台帳Ｔｘ情報の記録要求をグループ化し、ＴｘグループＩＤ「ｇｒｏｕｐ０２２２」という属性情報を追加する。一定期間は、例えば、１分間である。投票権管理装置２０１は、投票トークン発行手段１２１１により、一定期間内に生成された投票権台帳Ｔｘ情報の記録要求を、ノード２０４に送信する。ノード２０４は、１以上の投票権台帳Ｔｘ情報を投票権台帳２１０に記録する。

実施例２において、図１８と同様に、投票権管理装置２０１は、投票トークン保有台帳Ｔｘ情報を、投票トークン保有台帳２３０に記録する。

実施例２において、図２０と同様に、投票権管理装置２０１は、投票トークン発行手段１２１１により、いずれかのノード２０４から、投票トークン発行台帳２２０に記録された投票トークン保有台帳Ｔｘ情報のＴｘＩＤを取得する。

図２０とは異なり、投票権管理装置２０１は、投票トークン発行手段１２１１により、投票権台帳Ｔｘ情報のＴｘＩＤに代わり、ＴｘグループＩＤ「ｇｒｏｕｐ０２２２」を用いる。投票権管理装置２０１は、ＴｘグループＩＤ「ｇｒｏｕｐ０２２２」と、投票トークン保有台帳Ｔｘ情報のＴｘＩＤとを対応付ける、投票トークン発行台帳Ｔｘ情報の記録要求を生成する。

そして、投票権管理装置２０１は、投票トークン発行手段１２１１により、生成した投票トークン発行台帳Ｔｘ情報の記録要求を、ノード２０４に送信する。ノード２０４は、記録要求に基づいて、投票トークン発行台帳Ｔｘ情報を、投票トークン発行台帳２２０に記録する。

これにより、選挙管理委員会は、投票権台帳２１０と、投票トークン発行台帳２２０と、投票トークン保有台帳２３０とを参照し、有権者の投票権に基づき正式な数の投票トークンが有権者に利用可能になったか否かを監査することができる。このため、選挙管理委員会は、選挙の公正性や有効性を確認することができる。また、投票権管理装置２０１は、投票権台帳Ｔｘ情報をグループ化して扱うため、選挙管理委員会の委員による監査においても、いずれの有権者がいずれの投票先に投票したかを特定困難にすることができる。

（全体処理手順）
次に、図３０を用いて、電子投票システムが実行する、全体処理手順の一例について説明する。全体処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３とによって実現される。

図３０は、全体処理手順の一例を示すシーケンス図である。図３０において、投票権管理装置２０１は、予め複数の投票トークンを生成する（ステップＳ３００１）。

次に、有権者の端末装置２０３は、投票トークンの移転要求を、投票権管理装置２０１に送信する（ステップＳ３００２）。

次に、投票権管理装置２０１は、投票トークンの移転要求を受け付けると、有権者の投票権を無効化するトランザクションの情報を、投票権台帳に記録する（ステップＳ３００３）。そして、投票権管理装置２０１は、複数の投票トークン保持口座のいずれかの投票トークン保持口座を選択する（ステップＳ３００４）。

次に、投票権管理装置２０１は、選択した投票トークン保持口座に、複数の投票トークンのいずれかの投票トークンを移転するトランザクションの情報を、投票トークン保有台帳に記録する（ステップＳ３００５）。そして、投票権管理装置２０１は、無効化のトランザクションを識別するＴｘＩＤと、移転のトランザクションを識別するＴｘＩＤとを対応付けるトランザクションの情報を、投票トークン発行台帳に記録する（ステップＳ３００６）。

次に、投票権管理装置２０１は、投票トークンを移転した投票トークン保持口座の認証情報を、有権者の端末装置２０３に送信する（ステップＳ３００７）。

次に、有権者の端末装置２０３は、有権者の操作入力に基づいて、投票トークンごとの投票先の選択を受け付ける（ステップＳ３００８）。そして、有権者の端末装置２０３は、選択された投票先を表す投票先口座に、認証情報に対応する投票トークン保持口座に存在する投票トークンを投票する投票要求を、投票管理装置２０２に送信する（ステップＳ３００９）。

次に、投票管理装置２０２は、選択された投票先を表す投票先口座に、認証情報に対応する投票トークン保持口座に存在する投票トークンを投票するトランザクションの情報を、投票トークン保有台帳に記録する（ステップＳ３０１０）。そして、投票管理装置２０２は、投票成功の情報を、有権者の端末装置２０３に送信する（ステップＳ３０１１）。

次に、投票管理装置２０２は、投票トークン保有台帳に記録された投票のトランザクションの情報に基づいて、投票先を表す投票先口座ごとに投票された投票トークンの数を算出し、投票結果を更新する（ステップＳ３０１２）。これにより、電子投票システム２００は、多重投票を防止し、匿名性を担保することができる。

（記録処理手順）
次に、図３１を用いて、投票権管理装置２０１が実行する、記録処理手順の一例について説明する。記録処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３とによって実現される。

図３１は、記録処理手順の一例を示すフローチャートである。図３１において、投票権管理装置２０１は、複数の投票トークンを生成する（ステップＳ３１０１）。

次に、投票権管理装置２０１は、有権者の端末装置２０３から、投票トークンの移転要求を受け付けたか否かを判定する（ステップＳ３１０２）。ここで、移転要求を受け付けていない場合（ステップＳ３１０２：Ｎｏ）、投票権管理装置２０１は、ステップＳ３１０２の処理に移行する。一方で、移転要求を受け付けた場合（ステップＳ３１０２：Ｙｅｓ）、投票権管理装置２０１は、ステップＳ３１０３の処理に移行する。

ステップＳ３１０３では、投票権管理装置２０１は、有権者の投票権を無効化するトランザクションの情報を、投票権台帳に記録する（ステップＳ３１０３）。次に、投票権管理装置２０１は、複数の投票トークン保持口座のいずれかの投票トークン保持口座を選択する（ステップＳ３１０４）。そして、投票権管理装置２０１は、選択した投票トークン保持口座に、複数の投票トークンのいずれかの投票トークンを移転するトランザクションの情報を、投票トークン保有台帳に記録する（ステップＳ３１０５）。

次に、投票権管理装置２０１は、移転に成功したか否かを判定する（ステップＳ３１０６）。ここで、成功した場合（ステップＳ３１０６：Ｙｅｓ）、投票権管理装置２０１は、ステップＳ３１０７の処理に移行する。一方で、成功していない場合（ステップＳ３１０６：Ｎｏ）、投票権管理装置２０１は、ステップＳ３１０９の処理に移行する。

ステップＳ３１０７では、投票権管理装置２０１は、無効化のトランザクションを識別するＴｘＩＤと、移転のトランザクションを識別するＴｘＩＤとを対応付けるトランザクションの情報を、投票トークン発行台帳に記録する（ステップＳ３１０７）。次に、投票権管理装置２０１は、選択した投票トークン保持口座の認証情報を、有権者の端末装置２０３に送信する（ステップＳ３１０８）。そして、投票権管理装置２０１は、ステップＳ３１０２の処理に移行する。

ステップＳ３１０９では、投票権管理装置２０１は、有権者の投票権を再配布するトランザクションの情報を、投票権台帳に記録する（ステップＳ３１０９）。次に、投票権管理装置２０１は、対応付けのトランザクションを識別するＴｘＩＤと、再配布のトランザクションを識別するＴｘＩＤとを対応付けるトランザクションの情報を、投票トークン発行台帳に記録する（ステップＳ３１１０）。

そして、投票権管理装置２０１は、有権者の端末装置２０３に、投票権の行使失敗の情報を送信する（ステップＳ３１１１）。その後、投票権管理装置２０１は、ステップＳ３１０２の処理に移行する。これにより、投票権管理装置２０１は、多重投票を防止し、匿名性を担保した電子投票システム２００を実現可能にすることができる。

以上説明したように、第１装置１００によれば、投票トークンの移転要求を受け付け、受け付けた移転要求から特定される有権者が有する投票権を消尽させる第１Ｔｘの情報１０１を、第１分散台帳１２０に記録することができる。第１装置１００によれば、投票トークンを保持可能な複数の口座のいずれかの口座に投票トークンを移転させる第２Ｔｘの情報１０２を、第２分散台帳１３０に記録することができる。第１装置１００によれば、第１Ｔｘと第２Ｔｘとを対応付ける第３Ｔｘの情報１０３を、第３分散台帳１４０に記録することができる。

これにより、第１装置１００は、１つの投票権に基づき正式な数の投票トークンが利用されることを保証可能にし、１つの投票権に基づき不正な数の投票トークンが利用されることを防止可能にし、多重投票を防止可能にすることができる。また、第１装置１００は、匿名性を確保した、投票先に投票可能な票を表す投票トークンを、有権者が利用可能にすることができ、匿名性を確保可能にすることができる。また、第１装置１００は、１つの投票権に基づき正式な数の投票トークンが利用されたことを検証可能にすることができ、多重投票に対策可能にすることができる。

第２装置１１０によれば、投票トークンの投票要求を受け付けることができる。第２装置１１０によれば、受け付けた投票要求から特定されるいずれかの口座に存在する投票トークンを、受け付けた投票要求から特定される投票先を表す口座に移転させる第４Ｔｘの情報を、第２分散台帳１３０に記録することができる。

これにより、第２装置１１０は、いずれかの口座１０４に存在する投票トークンが、繰り返し利用されることを防止可能にすることができ、多重投票を防止可能にすることができる。このように、電子投票システム２００は、多重投票を防止し、匿名性を担保することができる。

第１装置１００によれば、第１分散台帳１２０への第１Ｔｘの情報１０１の記録が確定した後、第２Ｔｘの情報１０２を、第２分散台帳１３０に記録することができる。これにより、第１装置１００は、有権者の投票権が消尽していない可能性があるのに有権者に投票トークンを利用可能にしてしまうことを防止することができる。

第１装置１００によれば、移転要求から特定される有権者の属性に対応付けられた数の、有権者の属性に対応付けられた種類の投票トークンを、いずれかの口座に移転させる第２Ｔｘの情報１０２を、第２分散台帳１３０に記録することができる。これにより、第１装置１００は、複数の種類の投票トークンを利用可能にすることができる。

第１装置１００によれば、第３Ｔｘの情報１０３は、１以上の移転要求のそれぞれの移転要求から特定される有権者が有する投票権を消尽させる第１Ｔｘをグループ化したＴｘグループと、第２Ｔｘとを対応付けることができる。これにより、第１装置１００は、匿名性の確保を効率よく図ることができる。

第１装置１００によれば、第２Ｔｘの情報１０２の第２分散台帳１３０への記録が確定した後、第３Ｔｘの情報１０３を、第３分散台帳１４０に記録することができる。これにより、第１装置１００は、投票トークンを利用可能にしていないのに、第３Ｔｘの情報１０３を記録してしまい、誤って有権者に投票トークンを利用可能にしたと判断されることを防止することができる。

第１装置１００によれば、第２分散台帳１３０への第２Ｔｘの情報１０２の記録が失敗した場合、移転要求から特定される有権者が有する投票権を復活させる第５Ｔｘの情報を、第１分散台帳１２０に記録することができる。これにより、第１装置１００は、投票トークンを利用可能にしていない場合、有権者の投票権を復活させることができ、有権者が投票することができなくなることを防止することができる。

第１装置１００によれば、端末装置２０３から有権者の識別情報を受け付け、受け付けた識別情報に基づき有権者を認証成功したことに応じて、第１Ｔｘの情報１０１を、第１分散台帳１２０に記録することができる。これにより、第１装置１００は、有権者ではない攻撃者に投票トークンを利用可能にしてしまうことを防止することができる。

第２装置１１０によれば、第２分散台帳１３０への第４Ｔｘの情報の記録が確定した場合、１以上の投票先のそれぞれの投票先を表す口座に移転された投票トークンの数を算出することができる。これにより、第２装置１１０は、投票先を表す口座１０５ごとに投票された投票トークンの数を算出可能にすることができ、集計作業にかかる時間やコストの増大化を抑制可能にすることができる。

第１装置１００によれば、受け付けた移転要求から特定される有権者が有する投票権が未使用である場合、第１Ｔｘの情報１０１を、第１分散台帳１２０に記録し、第２Ｔｘの情報１０２を、第２分散台帳１３０に記録することができる。これにより、第１装置１００は、利用者に重複して投票トークンを利用可能にしてしまうことを防止することができる。

第１装置１００によれば、いずれかの口座を表す口座情報を出力することができる。第２装置１１０によれば、いずれかの口座を表す口座情報を含む投票要求を受け付けることができる。これにより、第１装置１００は、有権者を特定する情報を用いずに有権者に投票トークンを利用可能にすることができ、匿名性の確保を図ることができる。

なお、本実施の形態で説明した電子投票方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーション等のコンピュータで実行することにより実現することができる。本実施の形態で説明した電子投票プログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また、本実施の形態で説明した電子投票プログラムは、インターネット等のネットワークを介して配布してもよい。

上述した実施の形態に関し、さらに以下の付記を開示する。

（付記１）第１装置と第２装置とを含む電子投票システムであって、
前記第１装置は、
投票トークンの移転要求を受け付け、
受け付けた前記移転要求から特定される有権者が有する投票権を消尽させる第１トランザクションの情報を、第１分散台帳に記録し、
投票トークンを保持可能な複数の口座のいずれかの口座に投票トークンを移転させる第２トランザクションの情報を、第２分散台帳に記録し、
前記第１トランザクションと前記第２トランザクションとを対応付ける第３トランザクションの情報を、第３分散台帳に記録し、
前記第２装置は、
投票トークンの投票要求を受け付け、
受け付けた前記投票要求から特定される、前記第２分散台帳に記録された口座に存在する投票トークンを、受け付けた前記投票要求から特定される投票先を表す口座に移転させる第４トランザクションの情報を、前記第２分散台帳に記録する、
ことを特徴とする電子投票システム。

（付記２）前記第１装置は、
前記第１分散台帳への前記第１トランザクションの情報の記録が確定した後、前記第２トランザクションの情報を、前記第２分散台帳に記録する、ことを特徴とする付記１に記載の電子投票システム。

（付記３）前記第１装置は、
有権者の属性ごとの投票可能な投票トークンの種類と数とを対応付けて表す対応情報に基づいて、前記移転要求から特定される有権者の属性に割り当てられた種類の投票トークンを該投票トークンに対応付けられた数だけ前記いずれかの口座に移転させる前記第２トランザクションの情報を、前記第２分散台帳に記録する、ことを特徴とする付記１または２に記載の電子投票システム。

（付記４）前記第３トランザクションの情報は、
１以上の移転要求のそれぞれの移転要求から特定される有権者が有する投票権を消尽させる前記第１トランザクションをグループ化したトランザクショングループと、前記第２トランザクションとを対応付ける、ことを特徴とする付記１〜３のいずれか一つに記載の電子投票システム。

（付記５）前記第１装置は、
前記第２トランザクションの情報の前記第２分散台帳への記録が確定した後、前記第３トランザクションの情報を、前記第３分散台帳に記録する、ことを特徴とする付記１〜４のいずれか一つに記載の電子投票システム。

（付記６）前記第１装置は、
前記第２分散台帳への前記第２トランザクションの情報の記録が失敗した場合、前記移転要求から特定される有権者が有する投票権を復活させる第５トランザクションの情報を、前記第１分散台帳に記録する、ことを特徴とする付記１〜５のいずれか一つに記載の電子投票システム。

（付記７）前記第１装置は、
第３装置から前記有権者の識別情報を受け付け、
受け付けた前記識別情報に基づき前記有権者を認証成功したことに応じて、前記第１トランザクションの情報を、前記第１分散台帳に記録する、ことを特徴とする付記１〜６のいずれか一つに記載の電子投票システム。

（付記８）前記第２装置は、
前記第２分散台帳への前記第４トランザクションの情報の記録が確定した場合、１以上の投票先のそれぞれの投票先を表す口座に移転された投票トークンの数を算出する、ことを特徴とする付記１〜７のいずれか一つに記載の電子投票システム。

（付記９）前記第１装置は、
受け付けた前記移転要求から特定される有権者が有する投票権が未使用である場合、前記第１トランザクションの情報を、前記第１分散台帳に記録し、前記第２トランザクションの情報を、前記第２分散台帳に記録する、ことを特徴とする付記１〜８のいずれか一つに記載の電子投票システム。

（付記１０）前記第１装置は、
前記いずれかの口座を表す口座情報を出力し、
前記第２装置は、
前記いずれかの口座を表す口座情報を含む前記投票要求を受け付ける、ことを特徴とする付記１〜９のいずれか一つに記載の電子投票システム。

（付記１１）第１装置が、
投票トークンの移転要求を受け付け、
受け付けた前記移転要求から特定される有権者が有する投票権を消尽させる第１トランザクションの情報を、第１分散台帳に記録し、
投票トークンを保持可能な複数の口座のいずれかの口座に投票トークンを移転させる第２トランザクションの情報を、第２分散台帳に記録し、
前記第１トランザクションと前記第２トランザクションとを対応付ける第３トランザクションの情報を、第３分散台帳に記録し、
第２装置が、
投票トークンの投票要求を受け付け、
受け付けた前記投票要求から特定される、前記第２分散台帳に記録された口座に存在する投票トークンを、受け付けた前記投票要求から特定される投票先を表す口座に移転させる第４トランザクションの情報を、前記第２分散台帳に記録する、
ことを特徴とする電子投票方法。

（付記１２）コンピュータに、
投票トークンの移転要求を受け付け、
受け付けた前記移転要求から特定される有権者が有する投票権を消尽させる第１トランザクションの情報を、第１分散台帳に記録し、
投票トークンを保持可能な複数の口座のいずれかの口座に投票トークンを移転させる第２トランザクションの情報を、前記複数の口座のいずれかの口座から投票先を表す口座に投票トークンを移転可能な第２装置がアクセス可能な第２分散台帳に記録し、
前記第１トランザクションと前記第２トランザクションとを対応付ける第３トランザクションの情報を、第３分散台帳に記録する、
処理を実行させることを特徴とする電子投票プログラム。

１００ 第１装置
１０１〜１０３ 情報
１０４，１０５ 口座
１１０ 第２装置
１２０ 第１分散台帳
１３０ 第２分散台帳
１４０ 第３分散台帳
２００ 電子投票システム
２０１ 投票権管理装置
２０２ 投票管理装置
２０３ 端末装置
２０４ ノード
２１０ 投票権台帳
２２０ 投票トークン発行台帳
２３０ 投票トークン保有台帳
３００，５００，６００，１０００ バス
３０１，５０１，６０１，１００１ ＣＰＵ
３０２，５０２，６０２，１００２ メモリ
３０３，５０３，６０３，１００３ ネットワークＩ／Ｆ
３０４，５０４，６０４，１００４ 記録媒体Ｉ／Ｆ
３０５，５０５，６０５，１００５ 記録媒体
３１０ ネットワーク
４００ 付与条件テーブル
１００６ ディスプレイ
１００７ 入力装置
１１１０ 第１記憶部
１１１１ 第１取得部
１１１２ 第１記録部
１１１３ 第２記録部
１１１４ 第３記録部
１１１５ 第１出力部
１１２０ 第２記憶部
１１２１ 第２取得部
１１２２ 第４記録部
１１２３ 算出部
１１２４ 第２出力部
１２１１ 投票トークン発行手段
１２１２ 投票権台帳Ｔｘ記録監視手段
１２２１ 投票検査手段
１２２２ 投票トークン集計手段
１２３１ 口座情報取得手段
１２３２ 口座情報保持手段
１２３３ 投票トークン移転要求手段
１３０１ 有権者
１４００ 認証成功画面
１４０１，１５０１，２３０１，２４０１ 操作ボタン
１５００ 画面
１７００，２９００ 投票権台帳Ｔｘ情報
１９００，２６００ 投票トークン保有台帳Ｔｘ情報
２１００，２９０１ 投票トークン発行台帳Ｔｘ情報
２３００ 確認用画面
２４００ 投票画面

Claims (11)

1. 第１装置と第２装置とを含む電子投票システムであって、
   前記第１装置は、
   投票トークンの移転要求を受け付け、
   受け付けた前記移転要求から特定される有権者が有する投票権を消尽させる第１トランザクションの情報を、第１分散台帳に記録し、
   投票トークンを保持可能な複数の口座のいずれかの口座に投票トークンを移転させる第２トランザクションの情報を、第２分散台帳に記録し、
   前記第１トランザクションと前記第２トランザクションとを対応付ける第３トランザクションの情報を、第３分散台帳に記録し、
   前記第２装置は、
   投票トークンの投票要求を受け付け、
   受け付けた前記投票要求から特定される、前記第２分散台帳に記録された口座に存在する投票トークンを、受け付けた前記投票要求から特定される投票先を表す口座に移転させる第４トランザクションの情報を、前記第２分散台帳に記録する、
   ことを特徴とする電子投票システム。
2. 前記第１装置は、
   前記第１分散台帳への前記第１トランザクションの情報の記録が確定した後、前記第２トランザクションの情報を、前記第２分散台帳に記録する、ことを特徴とする請求項１に記載の電子投票システム。
3. 前記第１装置は、
   有権者の属性ごとの投票可能な投票トークンの種類と数とを対応付けて表す対応情報に基づいて、前記移転要求から特定される有権者の属性に割り当てられた種類の投票トークンを該投票トークンに対応付けられた数だけ前記いずれかの口座に移転させる前記第２トランザクションの情報を、前記第２分散台帳に記録する、ことを特徴とする請求項１または２に記載の電子投票システム。
4. 前記第３トランザクションの情報は、
   １以上の移転要求のそれぞれの移転要求から特定される有権者が有する投票権を消尽させる前記第１トランザクションをグループ化したトランザクショングループと、前記第２トランザクションとを対応付ける、ことを特徴とする請求項１〜３のいずれか一つに記載の電子投票システム。
5. 前記第１装置は、
   前記第２トランザクションの情報の前記第２分散台帳への記録が確定した後、前記第３トランザクションの情報を、前記第３分散台帳に記録する、ことを特徴とする請求項１〜４のいずれか一つに記載の電子投票システム。
6. 前記第１装置は、
   前記第２分散台帳への前記第２トランザクションの情報の記録が失敗した場合、前記移転要求から特定される有権者が有する投票権を復活させる第５トランザクションの情報を、前記第１分散台帳に記録する、ことを特徴とする請求項１〜５のいずれか一つに記載の電子投票システム。
7. 前記第１装置は、
   第３装置から前記有権者の識別情報を受け付け、
   受け付けた前記識別情報に基づき前記有権者を認証成功したことに応じて、前記第１トランザクションの情報を、前記第１分散台帳に記録する、ことを特徴とする請求項１〜６のいずれか一つに記載の電子投票システム。
8. 前記第２装置は、
   前記第２分散台帳への前記第４トランザクションの情報の記録が確定した場合、１以上の投票先のそれぞれの投票先を表す口座に移転された投票トークンの数を算出する、ことを特徴とする請求項１〜７のいずれか一つに記載の電子投票システム。
9. 前記第１装置は、
   受け付けた前記移転要求から特定される有権者が有する投票権が未使用である場合、前記第１トランザクションの情報を、前記第１分散台帳に記録し、前記第２トランザクションの情報を、前記第２分散台帳に記録する、ことを特徴とする請求項１〜８のいずれか一つに記載の電子投票システム。
10. 第１装置が、
    投票トークンの移転要求を受け付け、
    受け付けた前記移転要求から特定される有権者が有する投票権を消尽させる第１トランザクションの情報を、第１分散台帳に記録し、
    投票トークンを保持可能な複数の口座のいずれかの口座に投票トークンを移転させる第２トランザクションの情報を、第２分散台帳に記録し、
    前記第１トランザクションと前記第２トランザクションとを対応付ける第３トランザクションの情報を、第３分散台帳に記録し、
    第２装置が、
    投票トークンの投票要求を受け付け、
    受け付けた前記投票要求から特定される、前記第２分散台帳に記録された口座に存在する投票トークンを、受け付けた前記投票要求から特定される投票先を表す口座に移転させる第４トランザクションの情報を、前記第２分散台帳に記録する、
    ことを特徴とする電子投票方法。
11. コンピュータに、
    投票トークンの移転要求を受け付け、
    受け付けた前記移転要求から特定される有権者が有する投票権を消尽させる第１トランザクションの情報を、第１分散台帳に記録し、
    投票トークンを保持可能な複数の口座のいずれかの口座に投票トークンを移転させる第２トランザクションの情報を、前記複数の口座のいずれかの口座から投票先を表す口座に投票トークンを移転可能な第２装置がアクセス可能な第２分散台帳に記録し、
    前記第１トランザクションと前記第２トランザクションとを対応付ける第３トランザクションの情報を、第３分散台帳に記録する、
    処理を実行させることを特徴とする電子投票プログラム。

Images