JPH09179923A - 統計的な目的のためのデータ項目の匿名の計数システム - Google Patents

統計的な目的のためのデータ項目の匿名の計数システム

Info

Publication number
JPH09179923A
JPH09179923A JP24203996A JP24203996A JPH09179923A JP H09179923 A JPH09179923 A JP H09179923A JP 24203996 A JP24203996 A JP 24203996A JP 24203996 A JP24203996 A JP 24203996A JP H09179923 A JPH09179923 A JP H09179923A
Authority
JP
Japan
Prior art keywords
unit
message
identity
counting
verification unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP24203996A
Other languages
English (en)
Inventor
Jean Bernard Fischer
フィッシャー ジャン−ベルナール
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Technicolor SA
Original Assignee
Thomson Multimedia SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Thomson Multimedia SA filed Critical Thomson Multimedia SA
Publication of JPH09179923A publication Critical patent/JPH09179923A/ja
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C13/00—Voting apparatus
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/383—Anonymous user system

Landscapes

  • Business, Economics & Management (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Accounting & Taxation (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Finance (AREA)
  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)
  • Time Recorders, Dirve Recorders, Access Control (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Debugging And Monitoring (AREA)

Abstract

(57)【要約】 【課題】 本発明は情報の伝送中にユーザ情報の機密性
が確保された情報項目の匿名の計数システムの提供を目
的とする。 【解決手段】 本発明のシステムは、機能的及び構造的
に分離した複数の決定ユニットと検証ユニットと計数ユ
ニットとを含む。各決定ユニットは、ソース情報項目と
身元情報項目の生成手段と、計数ユニットだけが解読で
きるソース情報項目の暗号化手段とを含む。検証ユニッ
トは、決定ユニットの身元ファイルと、メッセージの発
信元の決定ユニットの身元の検査手段と、計数ユニット
が解読できる身元情報項目を欠く匿名メッセージの編集
手段とからなる。計数ユニットは、検証ユニットからの
匿名メッセージに対応するソース情報項目統計量の編集
手段と、編集された統計量のファイルとからなる。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、許可されていない
人に対して確実な方法で保護されるべき被処理情報の匿
名性が得られる統計の目的用の情報項目の匿名の計数シ
ステムに係る。かかるシステムの第１の応用は、以下に
説明されるように、統計的な計数、特に、遠隔的な“電
子投票”システムに関する。
【０００２】
【従来の技術】上記システムにおいて、身元の偽装、或
いは、多重投票を阻止するような方法で投票者の身元を
検証することが可能であると共に、投票の匿名性（“秘
密無記名投票”による投票の原理）を保護することは、
屡々望まれ、場合によっては不可欠である。更に、投票
者に対し、その人の投票が実際に考慮に入れられたこと
を知らせる必要がある。この面は、遠隔投票の際に特に
重要であり、その理由は、投票者は自分自身で伝達又は
処理を確認できないため、伝達又は処理の難しさが生じ
るからである。別の実現可能な応用は、ユーザの家屋に
組み込まれた調査装置を用いて消費を調査する遠隔シス
テムに関する。
【０００３】
【発明が解決しようとする課題】上記例の場合に、情報
の伝送中に（検証の目的のため）必ず確認されるユーザ
に関する情報が、習慣、私生活等に関する情報を得るた
め奪取される可能性を排除するべく、ある程度の機密性
を確保することが不可欠である。
【０００４】
【課題を解決するための手段】本発明の基本的な考え
は、一方で上記情報を用いる機能から、他方で（特に、
周知の暗号化、受信の承認、電子署名及び同様の手段に
よる）処理に関係した種々のユニットの間の安全なデー
タ交換に関して、情報源の身元及び真正性を検証する機
能を、機能的及び構造的に分離した２個のユニットの間
で分割する点にある。
【０００５】このようにして、ユーザのユニット（以
下、“計数ユニット”と呼ぶ）は、その真正性及び整合
性が確実な匿名の情報を処理する。一方、他のユニット
（以下、“検証ユニット”と呼ぶ）は、投票者又は消費
者（以下、“決定ユニット”と呼ぶ）から記名方式で受
信された情報の検査を行うが、ソース情報の内容を知る
こと、或いは、何らかの計数又は集計を行うことはな
い。
【０００６】勿論、決定、検証及び計数ユニットの間の
接続のレベルであらゆるデータの侵害を排除するため、
伝送は、特に、今日ではスマートカードに集積されたマ
イクロプロセッサのような簡単な手段を用いて実現し得
る公開鍵暗号のような周知の技術によって暗号化可能で
あることが有利である。より詳細に説明すると、本発明
によるシステムは、機能的及び構造的に分離した複数の
決定ユニットと、少なくとも一つの検証ユニットと、少
なくとも一つの計数ユニットとを含み、上記各決定ユニ
ットは、計数されるべきソース情報項目と、上記決定ユ
ニットを選択する身元情報項目とを生成する手段と、本
質的に上記検証ユニットによる解読が不可能であり、上
記計数ユニットによる解読が可能になるような態様で、
上記ソース情報項目を暗号化する手段とからなり、上記
検証ユニットは、上記決定ユニットの身元のファイル
と、到来メッセージの受信の際に、上記到来メッセージ
が発生した上記決定ユニットの身元を検査する手段と、
上記到来メッセージに基づき、上記計数ユニットにより
解読可能なあらゆる身元情報項目が本質的に欠けている
匿名のメッセージである誘導メッセージを編集する手段
とからなり、上記計数ユニットは、上記検証ユニットか
ら上記誘導メッセージを受け、対応する上記ソース情報
項目の統計量を編集するような態様で上記メッセージを
処理する手段と、かくして編集された上記統計量のファ
イルとからなることを特徴とする。
【０００７】本発明の多数の有利な従属的な特徴によれ
ば、上記決定ユニットの上記ソース情報項目を暗号化す
る手段は、上記計数ユニットの公開鍵に基づいて動作す
る公開鍵暗号化手段である。上記検証ユニットは、上記
判定ユニットの上記身元が整合することを検査した後、
受信メッセージの承認を上記決定ユニットに返送する手
段を更に有し、この場合に、上記検証ユニットは上記受
信メッセージの承認を暗号化する手段を更に有し、上記
受信メッセージの承認を暗号化する手段が上記決定ユニ
ットの上記身元のファイルに格納された上記決定ユニッ
トの公開鍵に基づいて動作する公開鍵暗号化手段である
ことを利点とする。
【０００８】上記計数ユニットは、上記対応する誘導メ
ッセージの受信及び処理の後、受信メッセージの承認を
上記検証ユニットに返送する手段を更に有し、上記決定
ユニット、上記検証ユニット及び上記計数ユニットの中
の少なくとも数個に関し、それらの間で交換されるメッ
セージは、ディジタル署名を含み、かかるメッセージを
受信する上記ユニットは、対応する署名を検証する手段
を含み、上記決定ユニットは、上記身元情報項目を暗号
化する手段を更に有し、上記身元情報項目を暗号化する
手段は、上記検証ユニットの公開鍵に基づいて動作する
公開鍵暗号化手段であり、上記決定ユニットは、所定の
ユーザに個別にあり、かつ、端末のリーダーに挿入可能
な超小型回路カードと協働するテレマティック端末であ
り、上記検証ユニットは計算装置であり、上記計数ユニ
ットは上記計算装置のリーダーに挿入可能な超小型回路
カードである。
【０００９】
【発明の実施の形態】最初に、本発明の一実施例の遠隔
秘密電子投票システムについて説明する。図１に示され
ているように決定ユニットは、テレマティック(telemat
ic) 端末（例えば、ビデオテックス端末、マイクロコン
ピュータ又は専用端末）のような電子システムからな
り、好ましくは、各ユーザに個別にあり、かつ、所望の
安全性の程度で、以下に説明する処理のため要求された
情報を記憶する能力のある電子“投票者”カードを構成
するスマートカードに関係する。
【００１０】検証ユニットは、特に、テレマティックリ
ンクによって決定ユニットに接続された遠方の計算セン
ターにより構成される。一方、計数されるべき情報項目
の個数が制限されている（投票者の数が少ない）場合に
は、マイクロチップの記憶容量が十分であれば、検証ユ
ニットは適当なリーダーに挿入されたマイクロプロセッ
サ式スマートカードからなる。
【００１１】統計的データを（即ち、特に、電子投票シ
ステムの場合には、投票の結果）集計、記憶する計数ユ
ニットは、検証ユニットから機能的及び構造的に分離し
た処理ユニットである。上記計数ユニットは、検証ユニ
ットの計算センターに接続された計算センターでもよい
が、投票の記録の期間中に検証ユニットのリーダーに挿
入される簡単なマイクロプロセッサ式スマートカードの
方が有利である。
【００１２】計数操作が終了した後（投票の場合には、
投票所が閉鎖された後）、計数ユニットのメモリ（例え
ば、対応するスマートカード）を調べることにより最終
的な結果を直接的に知ることが可能である。その最終的
な結果は、真正であることが確実ではあるが、それがな
くても投票者の身元の確認が行え、計数ユニットには転
送されていない。更に、かかる処理の方法によって、結
果の変動のダイナミックな監視がなくなる。
【００１３】スマートカードが決定ユニットと、計数ユ
ニットと、場合によっては検証ユニットにも使用される
好ましい実施例の場合、かかるスマートカードの携帯性
のため、一方で、投票を集めるため機能し、かつ、２
（乃至３）のスマートカードと協働する第１の装置の形
として、他方で、第１の装置とは分離し、従って、侵害
又は変造の可能性を示すことなく、結果の提示が可能に
なる別の装置の形として、システムを物理的に具現化す
ることが可能である。
【００１４】以下、決定ユニットのレベルで編集され、
かつ、身元Ｉｄを有する投票者により送られた投票によ
り構成されたソース情報項目Ｓを例として、処理が行わ
れる方法を説明する。決定ユニットと、検証ユニット
と、計数ユニットの各々は、夫々、システム内の他のユ
ニットに知られた公開暗号鍵ＰＫＤ、ＰＫＶ及びＰＫＣ
と、夫々の公開鍵ＰＫＤ、ＰＫＶ及びＰＫＣの相対部で
あり、対応するユニットだけに知られた秘密解読鍵ＳＫ
Ｄ、ＳＫＶ及びＳＫＣとを利用する。
【００１５】上記三つのユニットは、（秘密解読アルゴ
リズムが署名アルゴリズムとして使用され、公開暗号化
アルゴリズムが対応する署名の検証の機能を行うことに
より）公開鍵暗号システムによってディジタル署名機構
の実現を可能にさせる夫々のディジタル署名ＳｉＤ、Ｓ
ｉＶ及びＳｉＣを更に利用する。基本的な考えは、決定
ユニットによって送られた投票を（公開鍵暗号システム
を用いて）検証ユニットに秘密にし、計数ユニットには
秘密にせず、かつ、決定ユニットにより送られたメッセ
ージを計数ユニットに伝送する前に、検証ユニットが上
記メッセージから身元情報を削除することを可能にする
ことである。
【００１６】決定ユニットは、計数ユニットの公開鍵Ｐ
ＫＣを用いてソース情報項目（投票）Ｓとランダムデー
タ項目Ｒ１を暗号化し、これにより、以下の結果： Ｘ１ ＝ ＰＫＣ（Ｓ，Ｒ１） （１） が得られる。決定ユニットは、次に、個別データ項目Ｉ
ｄ、例えば、身元又は署名の証明書を用いてこの結果Ｘ
１を暗号化する（公開鍵暗号、認証機構、及び、ディジ
タル署名の原理は、上記の如く、周知の技術であるの
で、再度詳細な説明は行わない）。
【００１７】上記暗号化は、検証ユニットの公開鍵ＰＫ
Ｖを用いて行われ、その結果として： Ｘ２ ＝ ＰＫＶ（Ｘ１，Ｉｄ） （２） が得られる。最後に、決定ユニットは、その署名ＳｉＤ
を用いて、メッセージＸ２に署名を行い、これにより最
終的なメッセージ： Ｍ１＝ＳｉＤ（Ｘ２）＝ＳｉＤ（ＰＫＶ（ＰＫＣ（Ｓ，Ｒ１），Ｉｄ））（３） が得られる。このメッセージＭ１が検証ユニットに発送
される。
【００１８】検証ユニットは、秘密鍵ＳＫＶを用いてメ
ッセージＸ１及びＩｄを得るべくＭ１を解読することか
ら始め、Ｉｄと関係した署名を用いてＸ２の署名を検証
する。整合している場合、検証ユニットは、投票者が未
だ投票していないことを検証した後に、その投票者をデ
ータベースＢ１に登録する。
【００１９】検証ユニットは、次に、身元Ｉｄを、各投
票者毎に身元Ｉｄと共にデータベースＢ１に記憶された
ランダムデータ項目Ｒ２と関連付ける。検証ユニット
は、個別署名ＳｉＶを用いてＸ１とＲ２の署名により構
成されたメッセージ、即ち、 Ｍ２＝ＳｉＶ（Ｘ１，Ｒ２）＝ＳｉＶ（ＰＫＣ（Ｓ，Ｒ１），Ｒ２） （４） を形成する。
【００２０】かかるメッセージＭ２は計数ユニットに発
送される。上記の如く、身元と関係したデータ項目Ｒ２
はファイルＢ１を保有しない者には意味のないランダム
データ項目であるので、メッセージＭ２は投票者の身元
を明かす傾向のある指示を含まない。投票者がファイル
のデータベースＢ１に既に記録され、かつ、メッセージ
Ａ３（以下を参照のこと）が既に決定ユニットに返送さ
れた場合に、この段階で、検証ユニットは、計数ユニッ
トには何も送信しないで、メッセージＡ３を再送する。
【００２１】メッセージＭ２を受信した際に、計数ユニ
ットは、署名を検証し、値Ｓを得るため計数ユニットに
個別秘密鍵ＳＫＣを用いてメッセージＸ１を解読する。
ソース情報項目Ｓ（投票）は、上記の如く、投票者の身
元の知識がなく、交換又は記憶された情報から上記身元
を得る手段を持たない計数ユニットのデータベースＢ２
内に数え入れられる。
【００２２】次に、計数ユニットは、情報項目の受信を
承認し、２個のランダムデータ項目Ｒ１及びＲ２を署名
ＳｉＣで署名することにより、適切な計数の実行を確認
し、メッセージ（第１の受信の承認）Ａ１が、 Ａ１＝ＳｉＣ（Ｒ１，Ｒ２） （５） として得られる。
【００２３】検証ユニットは、メッセージＡ１を受け、
その署名を検証し、以下の確認メッセージ（第２の受信
の承認）Ａ２、 Ａ２＝ＳｉＶ（Ｒ１） （６） を計数ユニットに返送することにより、メッセージＡ１
の受信を承認する。上記確認メッセージＡ２の受信の際
に、計数ユニットは、署名を検証した後、データベース
Ｂ２からＲ１を消去する。
【００２４】上記の如く、データベースは、統計的な結
果の他には未だ受信が承認されていない進行中のメッセ
ージしか含まない限りにおいて、かなり制限されたサイ
ズのファイルからなる。検証ユニットは、ランダムデー
タ項目Ｒ２に対応した身元Ｉｄを見つけるためデータベ
ースＢ１を探索し、Ｒ１を記録する。次に、検証ユニッ
トは、決定ユニットの公開鍵ＰＫＤを用いてＲ１と別の
ランダムデータ項目Ｒ３を暗号化し、確認メッセージ
（第３の受信の承認）Ａ３が、 Ａ３＝ＰＫＤ（Ｒ１，Ｒ３） （７） として得られる。
【００２５】決定ユニットは、メッセージＡ３の受信の
際に、個別秘密鍵ＳＫＤを用いてメッセージＡ３を解読
し、メッセージＡ３の解読後に得られたランダム値Ｒ１
を、ソース情報項目Ｓの生成の際に同時に発生させら
れ、メッセージＭ１の編集を可能にさせた値Ｒ１と比較
する。このように比較された２個の値の一致は、ソース
データ項目Ｓが正しく伝送され、矛盾無く処理され、か
つ、この方法の全ての段階において実際にソースデータ
項目Ｓが正しく伝送され、矛盾無く処理されたことを確
かに示す。
【００２６】上記システムは、送信された全メッセージ
が受信承認の返送の対象であるため、（例えば、伝送の
故障に続く）可能性のある全てのメッセージの損失を検
出することが可能である。一般的に、所定の期間後に、
受信の承認のメッセージＡ１、Ａ２又はＡ３が、そのメ
ッセージの受信を期待するユニットによって受信されな
いならば、かかるユニットは、受信が承認されるべきで
あったメッセージと同じメッセージを再送する。
【００２７】メッセージの損失（或いは、メッセージの
減損）の種々の可能性と、システムがかかる損失を緩和
させる方法を以下に説明する。 メッセージＭ１の損失：決定ユニットはＭ１を再送し、
このメッセージは検証ユニットに到達すべき最初のメッ
セージであるので、検証ユニットはこのメッセージを上
記の態様で処理する。
【００２８】メッセージＡ３の損失：決定ユニットはメ
ッセージＭ１を再送するが、前の場合とは異なり、投票
者の身元は既にデータベースＢ１にロードされている。
メッセージＡ３が既に検証ユニットにより送信されてい
るならば、検証ユニットはメッセージＡ３を再送し、メ
ッセージＡ３が未だ送信されていないならば（メッセー
ジＡ１が未だ受信されていない場合である）、上記メッ
セージＭ１は無視される。
【００２９】メッセージＭ２の損失：検証ユニットはＭ
２を再送し、このメッセージは、計数ユニットにより最
初のメッセージであると見なされ、処理が正常に続く。 メッセージＡ１の損失：この場合、検証ユニットはＭ２
を再送するが、対応するメッセージは、既に、計数ユニ
ットのデータベースＢ２内へのローディングの対象であ
るので、計数ユニットは対応するファイルのヘッディン
グを修正せず、受信の承認Ａ１を再送するだけでよい。
【００３０】メッセージＡ２の損失：この場合、計数ユ
ニットはメッセージＡ１を再送し、検証ユニットは、デ
ータベースからのクロスチェックを行った後、対応する
メッセージＭ２が既に送信されたことを知り、受信の承
認Ａ２を計数ユニットに再送するだけでよい。伝送中の
あらゆる情報の損失を軽減する可能性に加えて、システ
ムは、投票の匿名性に関する最大の安全性と、投票者の
身元の検証と、あらゆる身元の詐称又は２重投票の阻止
という主要な利点が得られる。
【００３１】従って、種々の伝送チャネルに伝播する情
報をピックアップし得る人は、３個の秘密鍵ＳＫＤ、Ｓ
ＫＶ及びＳＫＣを知ることを前提する暗号の解読ができ
ない限り、投票を対応する投票者に関連付けることがで
きないので、投票の匿名性が保証される。更に、この点
に関して、検証ユニットと計数ユニットは、暗号の一部
分だけが分かり、その他の部分をその一部分から見つけ
ることができない限り、何れも操作を成功させて終えら
れないことに注意する必要がある。
【００３２】投票に関係したランダムデータ項目Ｒ１を
解読可能な唯一のユニットは、計数ユニットであるの
で、投票者は自分の投票が実際に考慮に入れられたこと
を確信する。検証ユニットは、（整合性のない身元によ
って）２重投票、又は、許可のない投票を摘出すること
を可能にさせる。
【００３３】システムは、伝送中のあらゆるメッセージ
の損失から保護され、その損失は処理の種々の段階で検
出可能であり、適当に軽減される。本発明の第２の実施
例は、遠隔的な秘密性の統計的消費調査システムであ
る。図２には、上記第１の実施例よりも多少簡単な形で
実現された本発明の方法の第２の実施例が示されてい
る。
【００３４】上記第２の実施例は、特に、統計的な目的
のための消費調査システムに適当である。かかる調査の
一例は、視聴者の家屋に設置され、視聴されている番組
を通知するため提供者の計算サーバーセンターに接続可
能な調査装置を用いてテレビ番組の提供者により使用さ
れ、かくして、正確な統計量を作成することが可能にな
る。
【００３５】上記例において、消費者の私生活に関する
情報を得るためシステムが奪取された場合を想定するこ
とができる。かくして、従来に実現された技術におい
て、消費者は、呼出しを行うとき、公然と身元が確認さ
れる（この身元確認は、統計量が侵害的な申告により変
造されないために必要である）。しかし、消費者の身元
確認によって、消費者の習慣に関する情報、例えば、消
費者が不在の時間の情報が得られ、或いは、特定の番組
を見る人等のファイルを作成、換言すれば、視聴者の私
生活に立ち入る機能が行われる。
【００３６】第１の実施例の場合と同様に、図２に示さ
れた第２の実施例において使用されるシステムは、機能
的かつ構造的に互いに分離した決定ユニットと、検証ユ
ニットと、計数ユニットとを含む。決定ユニットは、ソ
ース情報項目Ｓ（暗号化されていない消費の調査表）を
生成し、識別子Ｉｄによって選択され、交換された情報
の暗号化を行うため、個別の公開鍵ＰＫＤ及び秘密鍵Ｓ
ＫＤを夫々保有する。
【００３７】決定ユニットは、例えば、ソースデータ項
目Ｓを作成するためテレビジョンに接続され、ユーザに
個別のスマートカードを受容する調査装置であり、上記
識別子と、暗号鍵及びアルゴリズムを格納、管理するこ
とが可能である。決定ユニットは、テレマティックリン
クによって、例えば、テレビ番組提供者、或いは、必要
とされる統計量を編集する仕事が与えられた組織の計算
センターである検証ユニットに接続される。
【００３８】検証ユニットは、調査の主体を形成するユ
ーザのファイルから構築されたデータベースＢ１を含
む。検証ユニットは、次に、検証ユニットのリーダーに
挿入されたスマートカードでもよいことを利点とする計
数ユニットに接続される。計数ユニットは、統計的な結
果のファイルから形成されたデータベースＢ２を保有
し、そのファイルは、最終的な結果しか保存されない限
りにおいて、サイズが制限されても構わない。消費の調
査が全ユーザの家屋において行われた後、スマートカー
ドが検証ユニットから取り出され、別の装置によって読
まれ、中に構築された統計量が身元の検証の対象である
ことは確実であるが、それがなくても身元を確信するこ
とができる。
【００３９】以下、上記処理が行われる態様を説明す
る。決定ユニット（ユーザの家屋に設置された調査装
置）は、消費の調査表Ｓを準備し、この情報項目を計数
ユニットの公開鍵ＰＫＣで暗号化するので、計数ユニッ
トがその秘密鍵ＳＫＣを用いて、従って、計数ユニット
だけが解読可能な情報項目ＰＫＣ（Ｓ）が生成される。
【００４０】上記情報項目ＰＫＣ（Ｓ）を伝送する前
に、決定ユニットは、最初に、身元Ｉｄを検証ユニット
に伝送することにより、自分自身を検証ユニットに確認
させる。検証ユニットは、データベースＢ１の中から上
記身元に関係した情報を探索し、それが本当に記録され
た消費者であること、その記録された消費者は未だ調査
表を送信していないこと、その消費者が考慮に入れられ
るべき消費者の選択対象の中の一人であるかどうか等を
検証する。更に、検証ユニットは、この特定の消費者に
対応した公開鍵ＰＫＤを取得する。
【００４１】次に、検証ユニットは、予備検証が決定ユ
ニットから送出された種々のパラメータの整合性を示し
たならば発生されるランダム値Ｒを決定ユニットに返送
する。このランダムデータ項目Ｒの受信の際に、決定ユ
ニットは、上記値Ｒと、データ項目ＰＫＣ（Ｓ）に基づ
いて、その消費を表わす暗号化されたメッセージＭ１： Ｍ１＝ＳＫＤ（Ｒ，ＰＫＣ（Ｓ）） （８） を生成する。
【００４２】検証ユニットに発送された上記メッセージ
Ｍ１は、データベースＢ１内のメモリに保持された対応
する公開鍵ＰＫＤを用いて検証ユニットによって解読さ
れる。検証ユニットは、例えば、次の検査のために、
（特に、調査表の２重の伝送を排除するため）調査表の
転送日時を示すことによりデータベースを更新し、メッ
セージＭ１を復号化することにより得られた情報項目Ｐ
ＫＣ（Ｓ）をメッセージＭ２： Ｍ２＝ＰＫＣ（Ｓ） （９） の形式で計数ユニットに転送する。
【００４３】メッセージＭ２の受信後に、計数ユニット
は、秘密鍵ＳＫＣを用いる解読によりメッセージＭ２か
ら消費情報項目Ｓを抽出し、調査表を計数することが可
能になる。第１の実施例と全く同様に、全てのデータ交
換は秘密であり、消費者の身元と消費者の消費の両方を
公然と確かめることは不可能であることが分かる。身元
を保有するユニット（検証ユニット）は調査表の解読が
不可能であり、調査表を保有するユニット（計数ユニッ
ト）は、検証されているが、送信者の身元に関する手掛
かりの無い情報項目を受信する。
【図面の簡単な説明】
【図１】遠隔秘密電子投票システムに適用された本発明
の第１の実施例を概略的に示す図である。
【図２】遠隔的な秘密性の統計的消費調査システムに適
用された本発明の第２の実施例を概略的に示す図であ
る。
【符号の説明】
Ａ１，Ａ２，Ａ３，Ｍ１，Ｍ２ メッセージ Ｂ１，Ｂ２ データベース Ｉｄ 身元 ＰＫＣ，ＰＫＤ，ＰＫＶ 公開暗号鍵 Ｒ ランダム値 Ｒ１，Ｒ２，Ｒ３ ランダムデータ項目 Ｓ ソース情報項目 ＳｉＣ，ＳｉＤ，ＳｉＶ ディジタル署名 ＳＫＣ，ＳＫＤ，ＳＫＶ 秘密解読鍵

Claims (9)

    【特許請求の範囲】
  1. 【請求項１】 統計的な目的、特に、電子投票又は定期
    的な消費の調査における作業に関する情報項目の匿名の
    計数システムであって、 機能的及び構造的に分離した複数の決定ユニットと、少
    なくとも一つの検証ユニットと、少なくとも一つの計数
    ユニットとを含み、 上記各決定ユニットは、 計数されるべきソース情報項目と、上記決定ユニットを
    選択する身元情報項目とを生成する手段と、 本質的に上記検証ユニットが解読できず、上記計数ユニ
    ットが解読できるように、上記ソース情報項目を暗号化
    する手段とからなり、 上記検証ユニットは、 上記決定ユニットの身元のファイルと、 到来メッセージの受信の際に、上記到来メッセージが発
    生した上記決定ユニットの身元を検査する手段と、 上記到来メッセージに基づき、上記計数ユニットが解読
    できるあらゆる身元情報項目を本質的に欠く匿名のメッ
    セージである誘導メッセージを編集する手段とからな
    り、 上記計数ユニットは、 上記検証ユニットから上記誘導メッセージを受け、対応
    する上記ソース情報項目の統計量を編集するような態様
    で上記メッセージを処理する手段と、 かくして編集された上記統計量のファイルとからなるこ
    とを特徴とするシステム。
  2. 【請求項２】 上記決定ユニットの上記ソース情報項目
    を暗号化する手段は、上記計数ユニットの公開鍵に基づ
    いて動作する公開鍵暗号化手段である請求項１記載のシ
    ステム。
  3. 【請求項３】 上記検証ユニットは、上記判定ユニット
    の上記身元が一致することを検査した後、受信メッセー
    ジの承認を上記決定ユニットに返送する手段を更に有す
    る請求項１記載のシステム。
  4. 【請求項４】 上記検証ユニットは上記受信メッセージ
    の承認を暗号化する手段を更に有し、上記受信メッセー
    ジの承認を暗号化する手段は上記決定ユニットの上記身
    元のファイルに格納された上記決定ユニットの公開鍵に
    基づいて動作する公開鍵暗号化手段である請求項３記載
    のシステム。
  5. 【請求項５】 上記計数ユニットは、対応する上記誘導
    メッセージの受信及び処理の後、受信メッセージの承認
    を上記検証ユニットに返送する手段を更に有する請求項
    １記載のシステム。
  6. 【請求項６】 上記決定ユニット、上記検証ユニット及
    び上記計数ユニットの中の少なくとも幾つかに関し、そ
    れらの間で交換されるメッセージは、ディジタル署名を
    含み、 かかるメッセージを受信する上記ユニットは、対応する
    署名を検証する手段を含む請求項１記載のシステム。
  7. 【請求項７】 上記決定ユニットは上記身元情報項目を
    暗号化する手段を更に有し、 上記身元情報項目を暗号化する手段は上記検証ユニット
    の公開鍵に基づいて動作する公開鍵暗号化手段である請
    求項１記載のシステム。
  8. 【請求項８】 上記決定ユニットは、所定のユーザに特
    有であり、かつ、端末のリーダーに挿入可能な超小型回
    路カードと協働するテレマティック端末である請求項１
    記載のシステム。
  9. 【請求項９】 上記検証ユニットは計算装置であり、上
    記計数ユニットは上記計算装置のリーダーに挿入可能な
    超小型回路カードである請求項１記載のシステム。
JP24203996A 1995-09-15 1996-09-12 統計的な目的のためのデータ項目の匿名の計数システム Pending JPH09179923A (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR9510841 1995-09-15
FR9510841A FR2738934B1 (fr) 1995-09-15 1995-09-15 Systeme de comptabilisation anonyme d'informations a des fins statistiques, notamment pour des operations de vote electronique ou de releves periodiques de consommation

Publications (1)

Publication Number Publication Date
JPH09179923A true JPH09179923A (ja) 1997-07-11

Family

ID=9482593

Family Applications (1)

Application Number Title Priority Date Filing Date
JP24203996A Pending JPH09179923A (ja) 1995-09-15 1996-09-12 統計的な目的のためのデータ項目の匿名の計数システム

Country Status (8)

Country Link
US (1) US6021200A (ja)
EP (1) EP0763803B1 (ja)
JP (1) JPH09179923A (ja)
KR (1) KR100446997B1 (ja)
CN (1) CN1092368C (ja)
DE (1) DE69605627T2 (ja)
FR (1) FR2738934B1 (ja)
ZA (1) ZA967111B (ja)

Families Citing this family (44)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10301491A (ja) * 1997-04-28 1998-11-13 Ibm Japan Ltd 暗号通信方法とシステム
US20050049082A1 (en) * 1998-03-18 2005-03-03 Callaway Golf Company Golf ball
JP2001202013A (ja) * 2000-01-21 2001-07-27 Nec Corp 匿名参加権限管理システム
WO2000021041A1 (en) * 1998-10-06 2000-04-13 Chavez Robert M Digital elections network system with online voting and polling
US6317833B1 (en) * 1998-11-23 2001-11-13 Lucent Technologies, Inc. Practical mix-based election scheme
JP3233119B2 (ja) * 1998-12-28 2001-11-26 日本電気株式会社 レシートフリー電子投票方法および装置
AUPP971499A0 (en) * 1999-04-12 1999-05-06 Opentec Pty. Limited On-line electoral system
US20020078358A1 (en) * 1999-08-16 2002-06-20 Neff C. Andrew Electronic voting system
JP2003510694A (ja) 1999-09-20 2003-03-18 クインタイルズ トランスナショナル コーポレイション 匿名化された健康管理情報を分析するためのシステム及び方法
US6959281B1 (en) 1999-12-06 2005-10-25 Freeling Kenneth A Digital computer system and methods for conducting a poll to produce a demographic profile corresponding to an accumulation of response data from encrypted identities
US7099471B2 (en) * 2000-03-24 2006-08-29 Dategrity Corporation Detecting compromised ballots
AU2001250976A1 (en) 2000-03-24 2001-10-08 Votehere, Inc. Verifiable, secret shuffles of encrypted data, such as elgamal encrypted data for secure multi-authority elections
US7389250B2 (en) 2000-03-24 2008-06-17 Demoxi, Inc. Coercion-free voting scheme
US20030028423A1 (en) * 2000-03-24 2003-02-06 Neff C. Andrew Detecting compromised ballots
US20060085647A1 (en) * 2000-03-24 2006-04-20 Neff C A Detecting compromised ballots
US6178245B1 (en) * 2000-04-12 2001-01-23 National Semiconductor Corporation Audio signal generator to emulate three-dimensional audio signals
US20010037234A1 (en) * 2000-05-22 2001-11-01 Parmasad Ravi A. Method and apparatus for determining a voting result using a communications network
AU2001295938A1 (en) * 2000-11-07 2002-05-21 Genox Research, Inc. Anonymizing method and system therefor, method for making personal information anonymous and transferring it, and system therefor
AU1285802A (en) * 2000-11-27 2002-06-03 Bruce Hasbrouck Dickson Reeves Method for collection and collation of data
GB2374446B (en) * 2000-11-28 2004-07-21 Peter Crabbe Secure telephone polling
US20020087394A1 (en) * 2001-01-03 2002-07-04 Zhang Franklin Zhigang Digital security election system with digitalized ballot, vote stamp and precision tallying devices, and method therefore
WO2002063540A1 (en) * 2001-02-05 2002-08-15 Lorza Jr Miguel Kramer Single-number encoding and decoding of questionnaire responses
US8554607B2 (en) * 2001-03-13 2013-10-08 Science Applications International Corporation Method and system for securing network-based electronic voting
KR100727281B1 (ko) * 2001-03-24 2007-06-13 데이트그리티 코포레이션 검증가능한 비밀 셔플들 및 전자 투표에 대한 그 응용
FI20010761A (fi) * 2001-04-11 2002-10-12 Suomen Posti Oyj Menetelmä, järjestelmä ja laite äänestyksen suorittamiseksi
US20030094489A1 (en) * 2001-04-16 2003-05-22 Stephanie Wald Voting system and method
IL152436A0 (en) * 2001-04-16 2003-05-29 Nds Ltd Voting system and method
US20050211778A1 (en) * 2001-05-10 2005-09-29 Biddulph David L Voting system and method for secure voting with increased voter confidence
US7769690B2 (en) * 2001-11-06 2010-08-03 International Business Machines Corporation Method and system for the supply of data, transactions and electronic voting
ATE424593T1 (de) * 2001-12-12 2009-03-15 Scytl Secure Electronic Voting Verfahren zum sicheren elektronischen wählen und kryptographische protokolle und computerprogramme dafür
WO2004014090A1 (en) * 2002-08-01 2004-02-12 Christopher David Eyles Method and system for the provision of services over a gsm network
NL1021632C2 (nl) * 2002-10-11 2004-04-14 Nedap Nv Systeem voor het kiezen op afstand met stemmaskering.
US20050076089A1 (en) * 2003-09-18 2005-04-07 Fonseca Arnoldo Medeiros Method and system for communication from anonymous sender(s) to known recipient(s) for feedback applications
WO2005048201A1 (en) * 2003-11-12 2005-05-26 David Parkinson Howcroft Surveying system
CA2567727A1 (en) * 2004-06-07 2005-12-22 Dategrity Corporation Cryptographic systems and methods, including practical high certainty intent verification, such as for encrypted votes in an electronic election
ATE429747T1 (de) * 2004-06-30 2009-05-15 France Telecom Elektronisches wahlverfahren und -system in einem hochsicherheitskommunikationsnetz
US20060249578A1 (en) * 2005-05-06 2006-11-09 Fernando Morales Method of confidential voting using personal voting codes
US8061589B2 (en) 2006-10-20 2011-11-22 Barry Cohen Electronic voting system
US9355273B2 (en) 2006-12-18 2016-05-31 Bank Of America, N.A., As Collateral Agent System and method for the protection and de-identification of health care data
DE102007014175A1 (de) * 2007-03-24 2008-09-25 Kukulenz, Dirk Kontrollbasiertes elektronisches Wahlsystem
CA2671269A1 (en) * 2009-07-08 2011-01-08 Ky M. Vu An anti-rigging voting system and its software design
US10783733B2 (en) 2017-07-11 2020-09-22 Panasonic Intellectual Property Corporation Of America Electronic voting system and control method
US10818121B2 (en) 2017-09-15 2020-10-27 Panasonic Intellectual Property Corporation Of America Electronic voting system and control method
US10818122B2 (en) * 2017-09-15 2020-10-27 Panasonic Intellectual Property Corporation Of America Electronic voting system and control method

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FI86486C (fi) * 1990-08-27 1992-08-25 Tecnomen Oy Foerfarande foer att arrangera teleroestningen pao ett saekert saett.
US5218528A (en) * 1990-11-06 1993-06-08 Advanced Technological Systems, Inc. Automated voting system
US5495532A (en) * 1994-08-19 1996-02-27 Nec Research Institute, Inc. Secure electronic voting using partially compatible homomorphisms
US5682430A (en) * 1995-01-23 1997-10-28 Nec Research Institute, Inc. Secure anonymous message transfer and voting scheme
US5682428A (en) * 1995-02-13 1997-10-28 Eta Technologies Corporation Personal access management system

Also Published As

Publication number Publication date
ZA967111B (en) 1997-03-03
FR2738934A1 (fr) 1997-03-21
KR100446997B1 (ko) 2004-11-03
CN1151554A (zh) 1997-06-11
DE69605627T2 (de) 2000-04-06
EP0763803A1 (fr) 1997-03-19
MX9603839A (es) 1997-07-31
US6021200A (en) 2000-02-01
CN1092368C (zh) 2002-10-09
FR2738934B1 (fr) 1997-11-28
DE69605627D1 (de) 2000-01-20
EP0763803B1 (fr) 1999-12-15
KR970017056A (ko) 1997-04-28

Similar Documents

Publication Publication Date Title
JPH09179923A (ja) 統計的な目的のためのデータ項目の匿名の計数システム
JP4776245B2 (ja) ユニバーサルパーベイシブトランザクションフレームワークのためのオピニオン登録アプリケーション
CN1565117B (zh) 数据验证方法和装置
EP1469429B1 (en) Secure electronic voting method and the cryptographic protocols and computer programs used
Herschberg Secure electronic voting over the world wide web
US5949879A (en) Auditable security system for the generation of cryptographically protected digital data
US5956404A (en) Digital signature with auditing bits
Ibrahim et al. Secure E-voting with blind signature
US20070168674A1 (en) Authentication system, authentication apparatus, and recording medium
US20070074027A1 (en) Methods of verifying, signing, encrypting, and decrypting data and file
JP2004015665A (ja) 電子チケット流通システムにおける認証方法およびｉｃカード
KR20080040932A (ko) 무선 단말기를 이용한 전자투표 장치 및 방법
AU2005225783A1 (en) Electronic voting systems
US20120191977A1 (en) Secure transaction facilitator
CN112995136A (zh) 一种基于联盟链的k-out-of-m匿名投票方法
US20070192607A1 (en) Electronic voting process using fair blind signatures
US7581246B2 (en) System for secure communication
JP2003099403A (ja) 個人認証システム、個人認証方法、および個人情報収集装置、情報処理装置、並びにコンピュータ・プログラム
US10686599B2 (en) Method for the verification of the correct content of an encoded message
JP2000215280A (ja) 本人認証システム
Malina et al. Secure electronic voting based on group signatures
JP2000269957A (ja) 電子投票方法及びそのプログラム記録媒体
JP2002237810A (ja) 匿名復号システム及び匿名復号方法並びにプログラム
JP2003067532A (ja) 電子投票システム及び電子投票方法
JP2001285286A (ja) 認証方法、記録媒体、認証システム、端末装置、及び認証用記録媒体作成装置

Legal Events

Date Code Title Description
A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20060912

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20061208

A602 Written permission of extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A602

Effective date: 20061213

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20070515