JP7284064B2 - コンソーシアムブロックチェーンシステム、計算機、トランザクション承認方法 - Google Patents

Description

本発明は、コンソーシアムブロックチェーンシステム、計算機、トランザクション承認方法に関する。

近年、現実の貨幣、通貨による物品の取引だけでなく、電子マネーや仮想通貨を用いた商取引が行われている。ビットコインと呼ばれる仮想通貨を用いて、銀行などの中央集権機関を必要としない低手数料で決済取引を行う技術がある。ビットコインではＰ２Ｐ（Ｐｅｅｒ ｔｏ Ｐｅｅｒ）ネットワーク上で取引情報（以下、トランザクションとも称する）をマイナーと呼ばれるノードが正当性を判定した後、プルーフオブワークと呼ばれる特定のハッシュ値を算出する作業によって確定処理が行われている。確定されたトランザクションは、１つのブロックにまとめられ、ブロックチェーンと呼ばれる分散台帳に記載される。

Ｐ２Ｐネットワーク上の全ノードが、ビットコインのトランザクション及び分散台帳を参照可能であるため、どのノードからどのノードにビットコインの送金が行われたかを全ノードが参照可能である。従って、ユーザのビットコインアドレスが既知な場合、第三者がユーザ間の取引情報を容易に閲覧できる。

このような問題に対して、非特許文献１は、ビットコインプロトコル上でＺｅｒｏｃａｓｈ（又はＺｃａｓｈ）と呼ばれる匿名送金用のコインを利用する方式を開示している。

Ｚｃａｓｈ方式では、トランザクションデータ内の送金者、受金者、及び金額部分が秘匿化され、秘匿化されたデータにトランザクションのゼロ知識証明値が付された秘匿化トランザクションが、Ｐ２Ｐネットワークにブロードキャストされる。

分散台帳上で送金者、受金者、及び金額部分が秘匿化されているため、ネットワーク上の第３者にトランザクションの内容が漏えいしない。ゼロ知識証明値をトランザクションに加える理由は、不特定多数のマイナーに秘匿化されている部分の正当性を証明するためである。

例えば、非特許文献１にも記載されているＢｉｔｃｏｉｎ／Ｚｃａｓｈのトランザクションにおいては、ＵＴＸＯ（Ｕｎｓｐｅｎｔ Ｔｒａｎｓａｃｔｉｏｎ Ｏｕｔｐｕｔ）方式が利用されている。ここで、ＵＴＸＯ方式では、各トランザクションのｉｎｐｕｔの合計値とｏｕｔｐｕｔの合計値が一致（手数料を含め）している必要がある。

ｉｎｐｕｔ／ｏｕｔｐｕｔの値が秘匿化されている場合、マイナーは秘匿化されていることを確認出来ないため、Ｚｃａｓｈ方式では、ｉｎｐｕｔの合計値とｏｕｔｐｕｔの合計値が一致することを示すゼロ知識証明値が生成されている。またこのとき、非特許文献２に記載されているＰｉｎｏｃｃｈｉｏ方式が、ゼロ知識証明の方式として利用されている。

Ｅｌｉ Ｂｅｎ－Ｓａｓｓｏｎ他，"Ｚｅｒｏｃａｓｈ： Ｄｅｃｅｎｔｒａｌｉｚｅｄ Ａｎｏｎｙｍｏｕｓ Ｐａｙｍｅｎｔｓ ｆｒｏｍ Ｂｉｔｃｏｉｎ．"（２０１４） Ｂｒｙａｎ Ｐａｒｎｏ他，"Ｐｉｎｏｃｃｈｉｏ： Ｎｅａｒｌｙ Ｐｒａｃｔｉｃａｌ Ｖｅｒｉｆｉａｂｌｅ Ｃｏｍｐｕｔａｔｉｏｎ．" （２０１３） Ｌ． Ｄｕｃａｓ ａｎｄ Ｄ． Ｍｉｃｃｉａｎｃｉｏ，"ＦＨＥＷ： Ｂｏｏｔｓｔｒａｐｐｉｎｇ Ｈｏｍｏｍｏｒｐｈｉｃ Ｅｎｃｒｙｐｔｉｏｎ ｉｎ Ｌｅｓｓ Ｔｈａｎ ａ Ｓｅｃｏｎｄ．" （２０１５）

非特許文献１のＺｃａｓｈ方式やそのベースとなっている非特許文献２のＰｉｎｏｃｃｈｉｏ方式では、暗号アルゴリズムとしてＰａｉｒｉｎｇ暗号方式が採用されている。

Ｐａｉｒｉｎｇ暗号方式は、公開鍵暗号方式としては新しく、一般的に使用されている楕円暗号方式に比べて鍵長などの安全なパラメータが解明されていない。そのため、Ｐａｉｒｉｎｇ暗号を安全に運用するためには、鍵長などを必要以上に大きくとる必要がある。

さらに、ゼロ知識証明値が検証される際に、Ｐａｉｒｉｎｇ暗号独自のｐａｉｒｉｎｇ演算を必要とし、この演算にかかる計算量が大きい。また、Ｐａｉｒｉｎｇ暗号方式の安全性は離散対数問題の困難性に依拠するため、Ｐａｉｒｉｎｇ暗号方式は量子計算機を用いた攻撃に耐性を有していない。

上記課題を解決するために本発明の一態様は以下の構成を採用する。コンソーシアム型ブロックチェーンシステムは、トランザクションデータと、ゼロ知識証明値を生成するための生成鍵と、を保持する第１計算機と、前記ゼロ知識証明値を検証するための検証鍵を保持する第２計算機と、を含み、前記第１計算機は、前記生成鍵を用いて前記トランザクションデータに基づくゼロ知識証明値を生成し、前記生成したゼロ知識証明値を、前記第２計算機に送信し、前記第２計算機は、前記第１計算機から送信されたゼロ知識証明値を、前記検証鍵を用いて検証し、前記トランザクションデータを受信し、前記ゼロ知識証明値の検証結果に基づいて前記トランザクションデータが示すトランザクションを承認又は拒否する。

本発明の一態様によれば、Ｐａｉｒｉｎｇ演算を必要としない暗号方式を利用したコンソーシアムブロックチェーンシステムを実現することができる。

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

実施例１におけるブロックチェーンシステムの構成の一例を示すブロック図である。 実施例１におけるユーザ端末、システム管理端末、及びトランザクション承認端末、それぞれを構成する計算機のハードウェアの構成の一例を示すブロック図である。 実施例１における、ブロックチェーンシステムのセットアップ処理と、セットアップ処理に続くゼロ知識証明値生成/検証処理と、の一例を示すシーケンス図である。 実施例１におけるゼロ知識証明データのデータフォーマットの一例である。

以下、本発明の実施形態を図面に基づいて詳細に説明する。本実施形態において、同一の構成には原則として同一の符号を付け、繰り返しの説明は省略する。なお、本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。

本実施形態では、限られたノードだけがトランザクションの検証及び承認を行うコンソーシアム型のブロックチェーンを説明する。例えば、Ｚｃａｓｈ方式で利用されているシステムパラメータ（ＣＲＳと呼ばれる）の一部を、検証を行う限られたノードのみが利用することにより、Ｐａｉｒｉｎｇ演算を用いない暗号方式によるコンソーシアム型のブロックチェーンシステムを実現することができる。

図１は、ブロックチェーンシステムの構成の一例を示すブロック図である。ブロックチェーンシステムは、ユーザ端末１００と、システム管理端末２００と、トランザクション承認端末３００と、を含み、これらの端末はインターネット等のネットワーク４００によって相互に接続されている。

なお、本実施例のブロックチェーンシステムは、トランザクション承認端末３００のみが承認権限を有するコンソーシアムブロックチェーンである。

ユーザ端末１００は、トランザクションを生成するトランザクション生成部１０１、ゼロ知識証明値を生成するゼロ知識証明値生成部１０２、及び他の端末との間の通信を制御する通信部１０３を含む。また、ユーザ端末１００は、ゼロ知識証明値を生成するためのゼロ知識証明値生成鍵が格納されるゼロ知識証明値生成鍵格納部１０４を有する。

システム管理端末２００は、ゼロ知識証明値生成鍵／検証鍵生成部２０１及び通信部２０２を含む。ゼロ知識証明値生成鍵／検証鍵生成部２０１は、ゼロ知識証明値を生成するためのゼロ知識証明値生成鍵と、ゼロ知識証明値を検証するためのゼロ知識証明検証鍵と、のペアを生成する。通信部２０２は、他の端末との間の通信を制御する。また、システム管理端末２００は、ゼロ知識証明値生成鍵／検証鍵生成部２０１が生成した、ゼロ知識証明値生成鍵とゼロ知識証明検証鍵とのペアが格納される、鍵格納部２０３を有する。

ゼロ知識証明値生成鍵／検証鍵生成部２０１が生成したゼロ知識証明値生成鍵は、ユーザ端末１００を含むブロックチェーンネットワーク参加者全員に公開され、ゼロ知識証明値検証鍵は、トランザクション承認端末３００のみに配布される。

トランザクション承認端末３００は、検証部３０１及び通信部３０２を含む。検証部３０１は、ユーザ端末１００が生成した、トランザクションとゼロ知識証明値とを検証する。通信部３０２は、他の端末との間の通信を制御する。また、トランザクション承認端末３００は、ゼロ知識証明値検証鍵格納部３０３及び分散台帳３０４を有する。

ゼロ知識証明値検証鍵格納部３０３には、ゼロ知識証明値検証鍵が格納される。検証部３０１は、検証結果に問題が無ければ（即ち検証結果が［ｔｒｕｅ］であれば）、当該トランザクションと当該ゼロ知識証明値とを分散台帳３０４に書き込み、検証結果に問題があれば（即ち検証結果が［ｆａｌｓｅ］であれば）、当該トランザクションと当該ゼロ知識証明値とを分散台帳３０４に書き込むことなく、検証結果をユーザ端末１００に送信する。

つまり、前述したように、トランザクション承認端末３００は、承認権限を有する限られた端末、即ち所謂コンソーシアムブロックチェーンシステムにおける分散台帳３０４を管理するノードである。

また、トランザクション承認端末３００は、ゼロ知識証明値検証鍵を有しているため強い権限を有している。従って、トランザクション承認端末３００は、信頼できる機関に設置される（つまり信頼できる承認者によって使用される）ことが望ましい。仮に、悪意を持った承認者によってトランザクション承認端末３００が利用されると、正当なトランザクションが承認されなかったり、不当なトランザクションが承認されたりする、おそれがある。

図２は、ユーザ端末１００、システム管理端末２００、及びトランザクション承認端末３００、それぞれを構成する計算機のハードウェアの構成の一例を示すブロック図である。

計算機５００は、例えば、ＣＰＵ５０１、補助記憶装置５０２、メモリ５０３、入出力インターフェース５０５、及び通信装置５０６、を有し、これらが内部信号線５０４を介して接続されている。

ＣＰＵ５０１はプロセッサを含み、メモリ５０３に格納されたプログラムを実行する。メモリ５０３は、不揮発性の記憶素子であるＲＯＭ及び揮発性の記憶素子であるＲＡＭを含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ）などを格納する。ＲＡＭは、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）のような高速かつ揮発性の記憶素子であり、ＣＰＵ５０１が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。

補助記憶装置５０２は、例えば、磁気記憶装置（ＨＤＤ）、フラッシュメモリ（ＳＳＤ）等の大容量かつ不揮発性の記憶装置であり、ＣＰＵ５０１が実行するプログラム及びプログラムの実行時に使用されるデータを格納する。すなわち、プログラムは、補助記憶装置５０２から読み出されて、メモリ５０３にロードされて、ＣＰＵ５０１によって実行される。

入出力インターフェース５０５は、キーボードやマウス等の入寮装置が接続され、ユーザからの入力を受けるインターフェースであり、ディスプレイ装置やプリンタな等の出力装置が接続され、プログラムの実行結果をユーザが視認可能な形式で出力するインターフェースを含む。なお、計算機５００が入力装置及び出力装置を備えていてもよい。

また、例えば、ユーザ端末１００のゼロ知識証明値生成鍵格納部１０４は、ユーザ端末１００を構成する計算機５００の補助記憶装置５０２の記憶領域の一部によって実現される。同様に、他の端末が有する格納部についても、それぞれ、当該他の端末を構成する計算機５００の補助記憶装置５０２の記憶領域の一部によって実現される。

通信装置５０６は、所定のプロトコルに従って、他の装置との通信を制御するネットワークインターフェース装置である。また、通信装置５０６は、例えば、ＵＳＢ等のシリアルインターフェースを含む。

ＣＰＵ５０１が実行するプログラムは、リムーバブルメディア（ＣＤ－ＲＯＭ、フラッシュメモリなど）又はネットワーク４００を介してユーザ端末１００に提供され、非一時的記憶媒体である不揮発性の補助記憶装置５０２に格納される。このため、計算機５００は、リムーバブルメディアからデータを読み込むインターフェースを有するとよい。

なお、例えば、ユーザ端末１００を構成する計算機５００のＣＰＵ５０１は、当該計算機５００のメモリ５０３にロードされたトランザクション生成プログラムに従って動作することで、トランザクション生成部１０１として機能し、当該メモリ５０３にロードされたゼロ知識証明値生成プログラムに従って動作することで、ゼロ知識証明値生成部１０２として機能する。ユーザ端末１００が有する他の機能部とプログラムとの関係、及び他の端末が有する機能部とプログラムとの関係についても上記したことは同様である。

なお、ブロックチェーンシステムに含まれる端末が有する機能の一部又は全部が、例えば、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等のハードウェアによって実現されてもよい。

なお、本実施形態において、ブロックチェーンシステムに含まれる各端末が使用する情報は、データ構造に依存せずどのようなデータ構造で表現されていてもよい。例えば、テーブル、リスト、データベース又はキューから適切に選択したデータ構造体が、情報を格納することができる。

ユーザ端末１００は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。他の端末についても同様である。

図３は、本実施例のブロックチェーンシステムのセットアップ処理と、セットアップ処理に続くゼロ知識証明値生成/検証処理と、の一例を示すシーケンス図である。
まず、セットアップ処理について説明する。システム管理端末２００のゼロ知識証明値生成鍵／検証鍵生成部２０１は、ゼロ知識証明値生成鍵及びゼロ知識証明値検証鍵を生成する（Ｓ２１０）。

なお、ゼロ知識証明値生成鍵及びゼロ知識証明値検証鍵の生成用いられるアルゴリズムは、例えば、非特許文献２に記載されている、公開鍵で暗号化される公開鍵暗号文の集合からゼロ知識証明値生成鍵が生成されるＣＲＳ（Ｃｏｍｍｏｎ Ｒｅｆｅｒｅｎｃｅ Ｓｔｒｉｎｇｓ）生成アルゴリズム（非対称型加法的準同型暗号方式の一例）等である。また、例えば、このＣＲＳ生成アルゴリズムにおける公開鍵暗号文の集合に対する秘密鍵が、ゼロ知識証明値検証鍵として生成される。

次に、システム管理端末２００の通信部２０２は、ステップＳ２１０で生成したゼロ知識証明値生成鍵をユーザ端末１００に送信し（Ｓ２１１）、ゼロ知識証明値検証鍵をトランザクション承認端末３００に送信（Ｓ２１２）する。

ユーザ端末１００が受信したゼロ知識証明値生成鍵は、ゼロ知識証明値生成鍵格納部１０４に格納され、トランザクション承認端末３００が受信したゼロ知識証明値検証鍵は、ゼロ知識証明値検証鍵格納部３０３に格納されて、セットアップ処理が終了する。

次に、コンソーシアムブロックチェーン運用時のゼロ知識証明値生成/検証処理について説明する。ユーザ端末１００のトランザクション生成部１０１は、ブロックチェーンに送信するトランザクションを生成する（Ｓ１１０）。

ユーザ端末１００のゼロ知識証明値生成部１０２は、ステップＳ１１１で生成したトランザクションに対して、ゼロ知識証明値生成鍵格納部１０４に格納されているゼロ知識証明値生成鍵を用いて（例えば、ゼロ知識証明値生成鍵で暗号化することにより）、ゼロ知識証明値を生成し、生成したゼロ知識証明値を含むゼロ知識証明データを生成する（Ｓ１１１）。ユーザ端末１００の通信部１０３は、生成されたゼロ知識証明データをトランザクション承認端末３００に送信する（Ｓ１１２）。

なお、ユーザ端末１００のゼロ知識証明値生成部１０２が利用するゼロ知識証明生成アルゴリズムは、例えば、非特許文献２に記載されている、ゼロ知識証明生成アルゴリズム等である。この場合、特定の公開鍵暗号方式の暗号文の集合であるゼロ知識証明生成鍵内の暗号文データの部分集合（真部分集合だけでなく暗号文データの集合そのものも含む）の線型和からなる暗号文の集合は、ゼロ知識証明値の一例である。

図４は、ゼロ知識証明データのデータフォーマットの一例である。ゼロ知識証明データ６００は、ゼロ知識証明値部６０１と、ステートメントを保持するステートメント部６０２を含む。ゼロ知識証明値部６０１は、ゼロ知識証明値を保持する。ステートメント部６０２は、後述するゼロ知識証明値検証処理に必要な補助情報であるステートメントを保持する。なお、非特許文献２に記載された、ゼロ知識証明生成アルゴリズムが用いられた場合、ゼロ知識証明値部６０１は複数の特定の公開鍵暗号文を含む。

また、この場合、ステートメント部６０２に入力されるステートメント（補助情報）は、例えば、トランザクションデータの一部又は全部、バージョン情報、プロトコル名等を含む。なお、ゼロ知識証明値検証処理に補助情報が必要でない場合には、ステートメント部６０２は、ブランクであってもよい。

なお、ゼロ知識証明値検証処理に補助情報が必要である場合であっても、ゼロ知識証明データ６００は、ゼロ知識証明値のみを保持してもよいが、この場合、ユーザ端末１００は、例えば、別の方法やネットワーク４００経由でトランザクションデータ等の補助情報を、トランザクション承認端末３００に送信する。

図３の説明に戻る。ステップＳ１１２に続いて、ゼロ知識証明値を受信したトランザクション承認端末３００、の検証部３０１は、ゼロ知識証明値検証鍵格納部３０３に格納されたゼロ知識証明検証鍵を用いて、特定のアルゴリズムに従いゼロ知識証明値の検証を実行する（Ｓ３１０）。

検証部３０１は、検証結果が［ｔｒｕｅ］と判定した場合、受信したトランザクションを正当なトランザクションであると判定し、分散台帳３０４に書き込む。一方、検証部３０１は、検証結果が［ｆａｌｓｅ］と判定した場合、受信したトランザクションを不当なトランザクションであると判定し、破棄する。なお、検証部３０１は、通信部３０２を介して、検証結果をユーザ端末１００に送信してもよい。

なお、例えば、ゼロ知識証明値が、特定の公開鍵暗号方式の暗号文の集合であり、かつゼロ知識証明検証鍵がこれらの暗号文を復号化する秘密鍵である場合は、検証部３０１は、ステップＳ３１０のゼロ知識証明検証処理において、公開鍵暗号文の集合を当該秘密鍵で復号化し、復号化した平文の集合が非特許文献２の検証処理にあるような、特定の線型式及び２次式の関係式を全て満たす場合に［ｔｒｕｅ］、そうでない場合に［ｆａｌｓｅ］を出力する。

具体的には、例えば、非特許文献３に記載された加法準同型性を持つＬＷＥ暗号方式（非対称型加法的準同型暗号方式の一例）の暗号文の集合をゼロ知識証明値生成鍵、それらの秘密鍵をゼロ知識証明値検証鍵としてもよい。非特許文献３に記載されたＬＷＥ暗号が利用される事で、量子計算機による攻撃に耐性を有することができ、ひいては、ブロックチェーンを利用するユーザの利便性及び安全性が向上する。また、より一般に、加法準同型性を持つ公開鍵暗号の暗号文の集合をゼロ知識証明生成鍵、それらの秘密鍵をゼロ知識証明検証鍵としてもよい。

このように、本実施例のブロックチェーンシステムでは、計算量が大きく、かつ量子計算機を用いた攻撃への耐性を有していないＰａｉｒｉｎｇ演算を用いることなく、一般的な加法的準同型暗号であるＥｌＧａｍｍａｌ暗号やＰａｉｌｌｉｅｒ暗号等（つまりＰａｉｒｉｎｇ演算とは異なる演算のみを用いた暗号）を用いてトランザクションの検証を行うことができる。ひいては、本実施例のブロックチェーンシステムでは、各種パラメータ長を短くすることが出来る。

なお、ゼロ知識証明値生成鍵及びゼロ知識証明値検証鍵を、非特許文献１にあるようなＰａｉｒｉｎｇ暗号の暗号文の集合とその秘密鍵の集合とする暗号方式が用いられても、本実施例のブロックチェーンシステムは実現可能である。

なお、ブロックチェーンシステムが１台のトランザクション承認端末３００を含む例を説明したが、ブロックチェーンシステムは、相互に通信可能であってトランザクション及びゼロ知識証明値を検証可能な複数台のトランザクション承認端末３００を含んでもよい。

この場合、ユーザ端末１００が複数のトランザクション承認端末３００にゼロ知識証明データ６００を送信する。また、例えば、限られた（例えば１台の）トランザクション承認端末３００にゼロ知識証明データ６００を送信し、当該トランザクション承認端末３００によって、他のトランザクション承認端末３００にゼロ知識証明データ６００を送信したり、当該他のトランザクション承認端末３００が参照可能なようにゼロ知識証明データ６００を公開したりして、共有してもよい。

このとき、各トランザクション承認端末３００は、異なるアルゴリズムで検証処理を行なってもよい。またこの際に、各トランザクション承認端末３００は相互にネットワーク４００を介した通信を行い、互いの検証結果を参照し、分散台帳３０４に書き込むか否かについての合意を取ってもよい。

具体的には、例えば、複数のトランザクション承認端末３００のうち所定の割合（例えば８０％）以上のトランザクション承認端末３００の検証結果が［ｔｒｕｅ］である場合に対象のトランザクションを承認することとして合意し、所定の割合未満のトランザクション承認端末３００の検証結果が［ｔｒｕｅ］である場合に対象のトランザクションを拒否することとして合意する。

このようにブロックチェーンシステムが複数のトランザクション承認端末３００を含むことにより、強力なトランザクション承認権限が分散するため、一部のトランザクション承認端末３００が悪意を持った承認者に利用された場合であっても、正当な承認結果を得ることができる。

また、トランザクション承認権限を分散するためには、例えば、１企業や１グループ企業で複数のトランザクション承認端末３００するのではなく、牽制力が働く競合他社と複数のトランザクション承認端末３００を共有することが望ましい。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることも可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１００ ユーザ端末、１０２ ゼロ知識証明値生成部、２００ システム管理端末、２０２ ゼロ知識証明値生成鍵／検証鍵生成部、３００ トランザクション承認端末、３０１ 検証部、４００ ネットワーク、５００ 計算機、５０１ ＣＰＵ、５０２ 補助記憶装置、５０３ メモリ、５０６ 通信装置、６００ ゼロ知識証明データ

Claims (3)

1. コンソーシアムブロックチェーンシステムであって、
   トランザクションデータと、ゼロ知識証明値を生成するための生成鍵と、を保持する第１計算機と、
   前記ゼロ知識証明値を検証するための検証鍵を保持する複数の第２計算機と、を含み、
   前記第１計算機は、
   前記生成鍵を用いて前記トランザクションデータに基づくゼロ知識証明値を生成し、
   前記生成したゼロ知識証明値を、前記複数の第２計算機に送信し、
   前記複数の第２計算機は、
   それぞれ異なる検証アルゴリズムによって、前記第１計算機から送信されたゼロ知識証明値を、前記検証鍵を用いて検証し、
   前記トランザクションデータを受信し、
   前記複数の第２計算機それぞれによる前記ゼロ知識証明値の検証結果を共有し、
   前記共有した検証結果に基づいて前記トランザクションデータが示すトランザクションを承認又は拒否し、
   前記生成鍵及び前記検証鍵は、Ｐａｉｒｉｎｇ演算とは異なる演算のみが行われる暗号方式によって生成された鍵であり、
   前記生成鍵は、非対称型加法的準同型暗号の暗号文の集合を含み、
   前記ゼロ知識証明値は、前記非対称型加法的準同型暗号の暗号文の部分集合の線型和を含み、
   前記検証鍵は、前記非対称型加法的準同型暗号の暗号文を復号化する秘密鍵の集合を含み、
   前記非対称型加法的準同型暗号は、ＬＷＥ暗号方式と、ＥｌＧａｍａｌ暗号方式と、Ｐａｉｌｌｉｅｒ暗号方式と、を含み、
   前記異なる検証アルゴリズムは、前記ＬＷＥ暗号方式の暗号文の部分集合の線型和を前記ＬＷＥ暗号方式の秘密鍵を用いて検証するアルゴリズムと、前記ＥｌＧａｍａｌ暗号方式の暗号文の部分集合の線型和を前記ＥｌＧａｍａｌ暗号方式の秘密鍵の集合を用いて検証するアルゴリズムと、前記Ｐａｉｌｌｉｅｒ暗号方式の暗号文の部分集合の線型和を前記Ｐａｉｌｌｉｅｒ暗号方式の秘密鍵の集合を用いて検証するアルゴリズムと、を含む、コンソーシアムブロックチェーンシステム。
2. コンソーシアムブロックチェーンシステムにおけるトランザクションを承認する計算機であって、
   プロセッサとメモリとを含み、
   前記メモリは、前記トランザクションを示すトランザクションデータと、生成鍵を用いて生成されたゼロ知識証明値と、前記ゼロ知識証明値を検証するための検証鍵と、を保持し、
   前記コンソーシアムブロックチェーンシステムに含まれ、前記コンソーシアムブロックチェーンシステムにおけるトランザクションを承認し、ゼロ知識証明値と検証鍵とを有する他の計算機、に接続され、
   前記プロセッサ及び前記他の計算機は、それぞれ異なる検証アルゴリズムによって、自身が保持するゼロ知識証明値を、自身が保持する検証鍵を用いて検証し、
   前記プロセッサは、
   自身による検証結果、及び前記他の計算機による検証結果を共有し、
   前記共有した検証結果に基づいて前記トランザクションデータが示すトランザクションを承認又は拒否し、
   前記生成鍵と、前記メモリ及び前記他の計算機が保持する検証鍵と、はＰａｉｒｉｎｇ演算とは異なる演算のみが行われる暗号方式によって生成された鍵であり、
   前記生成鍵は、非対称型加法的準同型暗号の暗号文の集合を含み、
   前記メモリ及び前記他の計算機が保持するゼロ知識証明値は、前記非対称型加法的準同型暗号の暗号文の部分集合の線型和を含み、
   前記メモリ及び前記他の計算機が保持する検証鍵は、前記非対称型加法的準同型暗号の暗号文を復号化する秘密鍵の集合を含み、
   前記非対称型加法的準同型暗号は、ＬＷＥ暗号方式と、ＥｌＧａｍａｌ暗号方式と、Ｐａｉｌｌｉｅｒ暗号方式と、を含み、
   前記異なる検証アルゴリズムは、前記ＬＷＥ暗号方式の暗号文の部分集合の線型和を前記ＬＷＥ暗号方式の秘密鍵を用いて検証するアルゴリズムと、前記ＥｌＧａｍａｌ暗号方式の暗号文の部分集合の線型和を前記ＥｌＧａｍａｌ暗号方式の秘密鍵の集合を用いて検証するアルゴリズムと、前記Ｐａｉｌｌｉｅｒ暗号方式の暗号文の部分集合の線型和を前記Ｐａｉｌｌｉｅｒ暗号方式の秘密鍵の集合を用いて検証するアルゴリズムと、を含む、計算機。
3. コンソーシアムブロックチェーンシステムに含まれる計算機による、トランザクション
   を承認するトランザクション承認方法であって、
   前記計算機は、プロセッサとメモリとを含み、
   前記メモリは、前記トランザクションを示すトランザクションデータと、生成鍵を用いて生成されたゼロ知識証明値と、前記ゼロ知識証明値を検証するための検証鍵と、を保持し、
   前記計算機は、前記コンソーシアムブロックチェーンシステムに含まれ、前記コンソーシアムブロックチェーンシステムにおけるトランザクションを承認し、ゼロ知識証明値と検証鍵とを有する他の計算機、に接続され、
   前記トランザクション承認方法は、
   前記プロセッサ及び前記他の計算機が、それぞれ異なる検証アルゴリズムによって、前記ゼロ知識証明値を、前記検証鍵を用いて検証し、
   前記プロセッサが、自身による検証結果、及び前記他の計算機による検証結果を共有し、
   前記プロセッサが、前記共有した検証結果に基づいて前記トランザクションデータが示すトランザクションを承認又は拒否し、
   前記生成鍵と、前記メモリ及び前記他の計算機が保持する検証鍵と、はＰａｉｒｉｎｇ演算とは異なる演算のみが行われる暗号方式によって生成された鍵であり、
   前記生成鍵は、非対称型加法的準同型暗号の暗号文の集合を含み、
   前記メモリ及び前記他の計算機が保持するゼロ知識証明値は、前記非対称型加法的準同型暗号の暗号文の部分集合の線型和を含み、
   前記メモリ及び前記他の計算機が保持する検証鍵は、前記非対称型加法的準同型暗号の暗号文を復号化する秘密鍵の集合を含み、
   前記非対称型加法的準同型暗号は、ＬＷＥ暗号方式と、ＥｌＧａｍａｌ暗号方式と、Ｐａｉｌｌｉｅｒ暗号方式と、を含み、
   前記異なる検証アルゴリズムは、前記ＬＷＥ暗号方式の暗号文の部分集合の線型和を前記ＬＷＥ暗号方式の秘密鍵を用いて検証するアルゴリズムと、前記ＥｌＧａｍａｌ暗号方式の暗号文の部分集合の線型和を前記ＥｌＧａｍａｌ暗号方式の秘密鍵の集合を用いて検証するアルゴリズムと、前記Ｐａｉｌｌｉｅｒ暗号方式の暗号文の部分集合の線型和を前記Ｐａｉｌｌｉｅｒ暗号方式の秘密鍵の集合を用いて検証するアルゴリズムと、を含む、トランザクション承認方法。

Images