特開 2021-103516 取引システム、取引装置、取引方法及び取引プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】特開2021-103516(P2021-103516A)

(43)【公開日】2021年7月15日

(54)【発明の名称】取引システム、取引装置、取引方法及び取引プログラム

(51)【国際特許分類】

   G06Q 30/06 20120101AFI20210618BHJP

   G06F 21/10 20130101ALI20210618BHJP

   G06F 21/60 20130101ALI20210618BHJP

   G06F 21/64 20130101ALI20210618BHJP

【ＦＩ】

   G06Q30/06 300

   G06F21/10

   G06F21/60 320

   G06F21/64

【審査請求】有

【請求項の数】9

【出願形態】ＯＬ

【全頁数】29

(21)【出願番号】特願2020-203408(P2020-203408)

(22)【出願日】2020年12月8日

(31)【優先権主張番号】特願2019-235025(P2019-235025)

(32)【優先日】2019年12月25日

(33)【優先権主張国】JP

(71)【出願人】

【識別番号】398034168

【氏名又は名称】株式会社アクセル

(74)【代理人】

【識別番号】100085660

【弁理士】

【氏名又は名称】鈴木 均

(74)【代理人】

【識別番号】100149892

【弁理士】

【氏名又は名称】小川 弥生

(74)【代理人】

【識別番号】100185672

【弁理士】

【氏名又は名称】池田 雅人

(72)【発明者】

【氏名】星月 優佑

【テーマコード（参考）】

5L049

【Ｆターム（参考）】

5L049BB26

(57)【要約】

【課題】コンテンツデータとその対価とを交換するシステムにおいて、販売者と購入者とが、コンテンツデータや対価を互いに持ち逃げすることを防止する。
【解決手段】販売者の取引装置は、データを秘密コンテンツ鍵で暗号化する暗号化部と、第１取引装置を宛先とする第１取引情報であって、秘密コンテンツ鍵を含む引数情報の公開を条件に暗号資産の受け取りを可能にする第１取引情報が分散型台帳に公開されたとき、暗号資産を受け取るための第２取引情報であって、引数情報を含む第２取引情報を分散型台帳に公開する第１公開部と、を備え、購入者の取引装置は、第１取引情報を分散型台帳に公開する第２公開部と、第２取引情報が分散型台帳に公開されたとき、引数情報を取得する取得部と、引数情報を用いて暗号化されたデータを復号する復号部と、を備える。
【選択図】図８

【特許請求の範囲】

【請求項1】

第１取引装置と、第２取引装置とを備える取引システムであって、
第１取引装置は、
秘密情報を用いてデータを暗号化する暗号化部と、
前記秘密情報を導出可能な引数情報の公開を条件に暗号資産の受け取りを可能にする第１取引情報が分散型台帳に公開されたとき、前記暗号資産を受け取るための第２取引情報であって、前記引数情報を含む前記第２取引情報を分散型台帳に公開する第１公開部と、
を備え、
前記第２取引装置は、
前記第１取引情報を分散型台帳に公開する第２公開部と、
前記第２取引情報が分散型台帳に公開されたとき、前記引数情報を取得する取得部と、
前記引数情報を用いて前記暗号化されたデータを復号する復号部と、
を備えることを特徴とする取引システム。

【請求項2】

前記第１取引装置は、さらに、
前記秘密情報を用いて公開情報を生成する生成部
を備え、
前記第１取引情報は、
前記公開情報を用いた認証と、前記秘密情報を導出可能な引数情報の公開とを条件に前記暗号資産の受け取りを可能する
ことを特徴とする請求項１に記載の取引システム。

【請求項3】

前記第１取引装置は、さらに、
離散対数問題が困難な群上の基点を前記秘密情報によりスカラー倍した公開情報を生成する生成部と、
整数の中から選択した一時鍵を前記第２取引装置から受信する受信部と、
を備え、
前記秘密情報は、整数の中から選択した値であり、
前記引数情報は、前記秘密情報と前記一時鍵との和又は差であり、
前記第２取引装置は、さらに、
前記一時鍵を前記第１取引装置に送信する送信部
を備え、
前記取得部は、
前記第２取引情報が分散型台帳に公開されたとき、前記引数情報を取得し、
前記復号部は、
前記引数情報と前記一時鍵とを用いて前記秘密情報を求め、前記暗号化されたデータを復号する
ことを特徴とする請求項１に記載の取引システム。

【請求項4】

前記第１取引装置は、さらに、
周波数変換したデータを高周波成分と低周波成分とに分離する分離部
を備え、
前記暗号化部は、
前記高周波成分を暗号化し、
前記第２公開部は、
前記低周波成分が前記データの低周波成分であることが確認されたとき、前記第１取引情報を分散型台帳に公開する
ことを特徴とする請求項１から３のいずれか一つに記載の取引システム。

【請求項5】

秘密情報を用いてデータを暗号化する暗号化部と、
前記秘密情報を導出可能な引数情報の公開を条件に暗号資産の受け取りを可能にする第１取引情報が分散型台帳に公開されたとき、前記暗号資産を受け取るための第２取引情報であって、前記引数情報を含む前記第２取引情報を分散型台帳に公開する公開部と、
を備え、
前記引数情報は、
前記第２取引情報が分散型台帳に公開されることにより前記引数情報を取得した他の取引装置が、前記引数情報を用いて前記暗号化されたデータを復号可能とする引数情報である
ことを特徴とする取引装置。

【請求項6】

秘密情報を導出可能な引数情報の公開を条件に暗号資産の受け取りを可能にする第１取引情報を分散型台帳に公開する公開部と、
前記暗号資産を受け取るための第２取引情報であって、前記引数情報を含む前記第２取引情報が分散型台帳に公開されたとき、前記引数情報を取得する取得部と、
前記引数情報を用いて、他の取引装置が前記秘密情報を用いて暗号化したデータを復号する復号部と、
を備えたことを特徴とする取引装置。

【請求項7】

プロセッサにより実行される取引方法であって、
秘密情報を用いてデータを暗号化し、
前記暗号化されたデータの復号に用いる引数情報であって、前記秘密情報を導出可能な前記引数情報の公開を条件に、暗号資産の受け取りを可能にする第１取引情報が分散型台帳に公開されたとき、前記暗号資産を受け取るための第２取引情報であって、前記引数情報を含む前記第２取引情報を分散型台帳に公開する
ことを特徴とする取引方法。

【請求項8】

プロセッサにより実行される取引方法であって、
秘密情報を用いて暗号化されたデータの復号に用いる引数情報であって、前記秘密情報を導出可能な前記引数情報の公開を条件に、暗号資産の受け取りを可能にする第１取引情報を分散型台帳に公開し、
前記暗号資産を受け取るための第２取引情報であって、前記引数情報を導出可能な前記第２取引情報が分散型台帳に公開されたとき、前記引数情報を取得し、
前記引数情報を用いて、前記秘密情報で暗号化したデータを復号する、
ことを特徴とする取引方法。

【請求項9】

請求項７又は８に記載の取引方法をコンピュータに実行させる取引プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、取引装置、取引方法及び取引プログラムに関する。

【背景技術】

【0002】

音声や動画などのデジタルコンテンツデータは、インターネット経由で売買取引が行われることが多い。
このようなデジタルコンテンツデータの売買取引では、購入者が対価を支払った後で販売者がコンテンツデータのデータを購入者に提供し、あるいは販売者がデータを提供したあとで購入者が対価を支払うことが典型的に行われる。
すなわち、相対での売買取引とは異なり、商品としてのデジタルコンテンツデータの提供と対価の支払いのタイミングにタイムラグがある。このことが不適切な売買取引を様々に引き起こし得る。一つには商品または対価の持ち逃げである。
購入者は対価を支払ったにも係わらず販売者が商品（デジタルコンテンツデータ）を提供しなかったり、販売者が商品を提供したにも係わらず購入者が対価を支払わなかったりする。
近年では、クラウドソーシングと呼ばれる、コンテンツデータの制作者と制作依頼者のマッチングを行い、制作業務の委託を行うサービスが普及している。
このようなサービスにおいても、制作されたコンテンツデータ（成果物）と対価のやり取りに関してトラブルが起きるケースがある。
例えば、成果物を受領したまま依頼者が対価を支払わなかったり、対価のみ受け取って製作者が成果物を送付しなかったりするケースがあり、大きな問題となっている。
このような問題に対しては、特許文献１には、販売したデジタルコンテンツデータの利用にあたって利用許諾を求めることが開示されている。
デジタルコンテンツデータの購入者は、対価の支払いとともに許諾要求を行い、許諾が行われることではじめてコンテンツデータを利用出来る。
また特許文献２には、デジタルコンテンツデータを暗号化することが記載されている。デジタルコンテンツデータの購入者が、対価の支払いとともに復号キーを入手することで、デジタルコンテンツデータを利用することが出来る。
対価を支払うことによって利用許諾や受け、あるいは復号キーを入手しないかぎりはコンテンツデータを利用出来ないので、デジタルコンテンツデータのみを持ち逃げしても意味がないとも言える。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１７−５０７６３公報

【特許文献2】特開２００２−１５８９８５公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかし、上記のようにデジタルコンテンツデータを暗号化したり、利用にあたって許諾を必要としたりしても、必ずしも不適切な取引は解決しないと言える。例えば、購入者が対価を支払ったにも係わらず販売者が利用許諾や復号キーを提供しなかったり、第三者から入手した復号キーを用いて対価の支払いなくコンテンツデータを利用したりする者の存在も否定できない。
一側面として、購入者と販売者との間でコンテンツデータと対価が適切に交換され得る取引システムを提案する。

【課題を解決するための手段】

【0005】

第１取引装置と、第２取引装置とを備える取引システムであって、第１取引装置は、秘密情報を用いてデータを暗号化する暗号化部と、前記秘密情報を導出可能な引数情報の公開を条件に暗号資産の受け取りを可能にする第１取引情報が分散型台帳に公開されたとき、前記暗号資産を受け取るための第２取引情報であって、前記引数情報を含む前記第２取引情報を分散型台帳に公開する第１公開部と、を備え、前記第２取引装置は、前記第１取引情報を分散型台帳に公開する第２公開部と、前記第２取引情報が分散型台帳に公開されたとき、前記引数情報を取得する取得部と、前記引数情報を用いて前記暗号化されたデータを復号する復号部と、を備える取引システムを特徴とする。

【発明の効果】

【0006】

一実施態様によれば、購入者と販売者との間でコンテンツデータと対価が適切に交換され得る取引システムを実現することができる。

【図面の簡単な説明】

【0007】

【図1】本実施形態に係るネットワーク構造の一例を示す図である。

【図2】暗号資産の取引情報の一例を示す図である。

【図3】アトミックスワップの処理の一例を示す図である。

【図4】１対１でのコンテンツデータと暗号資産の交換手法の一例を示す図である。

【図5】図４で説明した取引方法の流れを説明するフローチャートである。

【図6】１対多でのコンテンツデータと暗号資産の交換手法の一例を示す図である。

【図7】図６で説明した取引方法の流れを説明するフローチャートである。

【図8】取引装置の一実施例を示す機能ブロック図である。

【図9】コンピュータ装置の一実施例を示すブロック図である。

【発明を実施するための形態】

【0008】

本実施形態は、分散型台帳を用いることでトラストレスにコンテンツデータの売買取引を行うシステムに係る。コンテンツデータの対価は、コンテンツデータの購入者が分散型台帳を介して販売者に暗号資産を送金することによって支払われる。分散型台帳とは、電子署名とハッシュポインタとを使用して改ざんを検出可能な構造のデータを、ネットワーク上に分散する複数のノードに保持させるというものである。
分散型台帳は、例えば、ブロックチェーンまたはＤＡＧ（Directed acyclic graph）などである。以下の説明では、一例として、分散型台帳がブロックチェーンであるものとして説明する。
なお、ＤＡＧでは、ユーザがトランザクションを作成したとき、先に公開されている未承認のトランザクションを承認する。ユーザが作成したトランザクションも、後から公開される未承認のトランザクションに承認される。閾値以上の未承認のトランザクションから直接または間接的に承認されたとき、ユーザが作成したトランザクションは、ネットワークで合意されたものとみなされる、というコンセンサスアルゴリズムを採用している。
上記のようにＤＡＧは、以下で説明するブロックチェーンと、コンセンサスアルゴリズムに違いがあるものの、トランザクションの構造はブロックチェーンと同様のものを採用することができる。
したがって、分散型台帳としてブロックチェーンを利用した処理と、分散型台帳としてＤＡＧを利用する処理とは、同様の構成のトランザクションを用いて実行することができる。このため、以下で説明する分散型台帳としてブロックチェーンを利用する処理は、分散型台帳としてＤＡＧを利用して実行することも可能である。

【0009】

［ブロックチェーン］
後に詳述するが、ブロックチェーンと暗号資産の送金について概説する。
ブロックチェーンとは、複数の取引情報を含むブロックを生成し、生成したブロックを連結することにより、分散型ネットワークにデータを記録するデータベースのことである。
ブロックには、複数の取引情報に加えて、１つ前に生成されたブロックの内容を示すハッシュ値を含むので、ブロックチェーンは、生成されたブロックが時系列に沿ってつながっていくデータ構造を有する。ビットコインやモナコイン、イーサリアム等に代表される暗号資産（仮想通貨）の基礎技術である。

【0010】

資産の取引をトランザクションというデータ形式で表現し、それをＰ２Ｐネットワークで共有する。トランザクション全体をマークルツリーでまとめあげ、マークルツリーのルートノード（マークルルート）と前ブロックのハッシュ値、Ｎｏｎｃｅと呼ばれる任意の値などをまとめたハッシュ値が一定値以下になるようなＮｏｎｃｅを探し当てる作業を、マイニングと呼ぶ。
マイニングに成功するとマイニング報酬が得られる。そのマイニング報酬を目当てにマイニングに投入される計算資源の多さによって、古いデータほど改ざんが難しくなる仕組みを、ＰｏＷ(Proof of Work)型のブロックチェーンシステムと呼ぶ。
このように、何らかの報酬を与えることで、データベースへの信頼性を担保するための資源を提供させる仕組みのことをブロックチェーンと呼ぶ。
ＰｏＷ型ブロックチェーン以外にもＰｏＳ型、ＰｏＩ型のブロックチェーンも適用が可能だが説明は割愛する。

【0011】

［暗号資産の送金の仕組み］
現在主流となっている暗号資産には大きく分けて２種類がある。ビットコインから派生して開発されているビットコインやライトコイン、モナコインなどと、イーサリアムから派生して開発されているルートストックなどである。
前者の場合、暗号資産の実体は未使用のトランザクションの出力（Ｕｎｓｐｅｎｔ Ｔｒａｎｓａｃｔｉｏｎ Ｏｕｔｐｕｔ、ＵＴＸＯ）である。
ＵＴＸＯは通常、ＥＣＤＳＡという楕円曲線暗号を用いた電子署名によってのみアンロック可能なようにロックされている。また、特定の秘密鍵を持つ「所有者」にのみアンロックが可能とするため、通常ＵＴＸＯには秘密鍵に対応する公開鍵が記述されている。

【0012】

ＵＴＸＯに記述されている公開鍵に対応するＥＣＤＳＡ電子署名を与えることでアンロックし、新たなトランザクションの入力に接続し、その新たなトランザクションのＵＴＸＯに送金先の所有者の公開鍵を記述することで、暗号資産の送金を実現している。
実際には、ＵＴＸＯにはｓｃｒｉｐｔＰｕｂＫｅｙと呼ばれる領域があり、そこにはＳｃｒｉｐｔと呼ばれるプログラミング言語で記述されたプログラムが書いてある。そのＵＴＸＯに接続しようとするトランザクションの入力には、ｓｃｒｉｐｔＳｉｇと呼ばれる領域があり、この２つがちょうど対応づいている場合に、ＵＴＸＯはアンロックされる。 イーサリアムやそこから派生した暗号資産については、スマートコントラクトを用いることで同様の仕組みを実現することが出来る。

【0013】

図１は、本実施形態に係るネットワーク構造の一例を示す図である。
ネットワークは、取引装置７０と、取引装置８０と、ネットワーク３０と、ネットワーク４０と、ネットワーク２００、とを含む。そして、取引装置７０と、取引装置８０と、ネットワーク３０と、ネットワーク４０とはネットワーク２００を介して互いに通信可能に接続されている。
取引装置７０及び取引装置８０は、例えば、後述するコンピュータ装置である。以下の説明では、一例として、取引装置７０をコンテンツデータの販売者が操作する取引装置として説明する。また、取引装置８０を、コンテンツデータの購入者が操作する取引装置として説明する。
ネットワークには取引装置１０と取引装置２０が含まれるが、これらは実施形態が基づいているアトミックスワップを説明するために参照される。

【0014】

ネットワーク３０及びネットワーク４０は、Ｐ２Ｐネットワークなどの分散型ネットワークであり、ブロックチェーン上に取引情報を記録する。
以下の説明では、一例として、ネットワーク３０は、例えば、ビットコインのコンセンサスアルゴリズムであるプルーフオブワーク（ＰｏＷ）を採用しているものとして説明する。また、ネットワーク４０は、例えば、ライトコインのコンセンサスアルゴリズムであるプルーフオブワークを採用しているものとして説明する。

【0015】

また、ネットワーク３０内で発生した取引を記録するブロックチェーンのことをビットコインのブロックチェーンともいう。さらに、ネットワーク４０内で発生した取引を記録するブロックチェーンのことをライトコインのブロックチェーンともいう。なお、ネットワーク３０及びネットワーク４０は、それぞれプルーフオブステーク（ＰｏＳ）、プルーフオブインポータンス（ＰｏＩ）、及びプルーフオブコンセンサス（ＰｏＣ）などの他のコンセンサスアルゴリズムを採用してもよい。

【0016】

ネットワーク３０は、マイニングを実行する複数のノード装置３０１から３０ｎが通信可能に接続されている。以下の説明では、ノード装置３０１から３０ｎを特に区別しないときは、ノード装置３００ともいう。また、ネットワーク４０は、マイニングを実行する複数のノード装置４０１から４０ｎが通信可能に接続されている。ノード装置４０１から４０ｎを特に区別しないときは、ノード装置４００ともいう。

【0017】

プルーフオブワークにおいて、マイニングとは、ブロックに含まれるナンスを変化させながら、ブロックのデータにハッシュ関数を適用したとき、決められた数以上の０が並ぶハッシュ値が得られるナンス（以下、正しいナンスともいう）を探す作業のことである。ブロックのデータには、ブロックに連結される前ブロックのデータのハッシュ値と、ナンスと、取引情報とを含む。

【0018】

ノード装置は、ブロックを生成するとき、ブロックに含むトランザクションを検証する。そして、ノード装置は、正しいトランザクションを承認し、承認したトランザクションをブロックに含ませて、ナンスを探す作業を実行する。ノード装置は、正しいナンスを発見すると、正しいナンスを含むブロックを生成し、ノード装置が保持するブロックチェーンに新たに生成したブロックを連結する。また、ノード装置は、ブロックチェーンのネットワーク上に新たに生成したブロックを送信する。そして、新たに生成したブロックは、ネットワークに接続された他のノード装置が保持するブロックチェーンにも連結される。これにより、トランザクションは、ブロックチェーン上に記録される。以下の説明では、トランザクションを含んだブロックがブロックチェーンに連結されることを、トランザクションがブロックチェーンに記録されるともいう。
ネットワーク２００は、ネットワーク３０及びネットワーク４０に限らず、さらに他のネットワークと接続されてもよい。また、ネットワーク２００は、取引装置７０及び取引装置８０に加えて、さらに他の取引装置と接続されてもよい。

【0019】

図２は、暗号資産の取引情報の一例を示す図である。
図２（ａ）は、取引情報の構成を説明する図である。図２（ｂ）は、取引情報を接続する処理を説明する図である。取引情報とは、暗号資産の引き渡しと、受け取りとを実行し、暗号資産の所有権を移転する処理に用いられるトランザクションのことである。
以下の説明では、トランザクションスクリプトとして、Ｐ２ＰＫＨ(Pay to Public Key Hash)を用いるものとして説明する。なお、トランザクションスクリプトとして、Ｐ２ＰＫ(Pay to Public Key)を用いる場合には、ＵＴＸＯをロックするＳｃｒｉｐｔＰｕｂＫｅｙは、ＵＴＸＯの受領者である送信先の利用者の公開鍵を含む。また、Ｐ２ＰＫにおいて、ＵＴＸＯをアンロックするＳｃｒｉｐｔＳｉｇは、ＵＴＸＯの授与者であるトランザクションを作成する送信元の利用者の秘密鍵を用いて生成した電子署名を含む。

【0020】

ＵＴＸＯは、トランザクションのインプットとして使われていない、未使用のトランザクションのアウトプットのことである。ＵＴＸＯは、暗号資産の所有権であり、次のトランザクションのインプットとして使用される。したがって、暗号資産の送金とは、送金者によりＵＴＸＯが使用され、着金者によってのみ使用可能なＵＴＸＯが作成されることである。トランザクションのインプットとは、暗号資産の使用を処理する情報である。また、トランザクションのアウトプットとは、暗号資産の使途を処理する情報である。ＵＴＸＯとは、Ｕｎｓｐｅｎｔ Ｔｒａｎｓａｃｔｉｏｎ Ｏｕｔｐｕｔの略である。

【0021】

電子署名は、例えば、トランザクションのＳｃｒｉｐｔＳｉｇを除くデータと、前トランザクションのＳｃｒｉｐｔＰｕｂＫｅｙとを用いて得られる電子署名用の値を、トランザクションを作成する送信元の利用者の秘密鍵で暗号化した値である。前トランザクションとは、送信元の利用者が送金時に作成するトランザクションのインプットと接続される、送信元の利用者への送金情報が記述されたアウトプットを含むトランザクションのことである。電子署名用の値とは、例えば、トランザクションのＳｃｒｉｐｔＳｉｇを除くデータと、前トランザクションのＳｃｒｉｐｔＰｕｂＫｅｙとを含むデータにハッシュ関数を適用して得られる値である。

【0022】

図２（ａ）を参照してトランザクションの構成を説明する。
トランザクションは、暗号資産の所有の移転をまとめた取引情報である。トランザクションは、インプット（ｉｎｐｕｔ）と、アウトプット（ｏｕｔｐｕｔ）とを含む。
インプットは、トランザクションを作成する送信元の利用者が所有する前トランザクションのＵＴＸＯをアンロックするための情報である。そして、インプットは、ＳｃｒｉｐｔＳｉｇを含む。
ＳｃｒｉｐｔＳｉｇは、送信元の利用者が所有するＵＴＸＯをアンロックするためのスクリプトである。ＳｃｒｉｐｔＳｉｇは、送信元の利用者の電子署名と公開鍵とを含む。ＳｃｒｉｐｔＳｉｇに含まれる電子署名及び公開鍵は、送信元の利用者の秘密鍵を用いて生成された値である。

【0023】

アウトプットは、暗号資産の所有権の移転を示す情報である。アウトプットは、送金額と、ＳｃｉｒｐｔＰｕｂＫｅｙとを含む。
ＳｃｒｉｐｔＰｕｂＫｅｙは、トランザクションのアウトプットをアンロックするための条件を定義したスクリプトである。ＳｃｒｉｐｔＰｕｂＫｅｙは、送信先の利用者の秘密鍵を用いて生成された公開鍵のハッシュ値（以下、公開鍵ハッシュともいう。）を含む。

【0024】

図２（ｂ）を参照してトランザクションを接続する処理を説明する。以下の説明では、一例として、接続対象の前トランザクションのアウトプット０が、新規トランザクションに接続される処理を説明する。また、各トランザクションは、ネットワーク３０内で処理されるものとする。
前トランザクションのアウトプットは、送金額とＳｃｉｒｐｔＰｕｂＫｅｙ０とを含むアウトプット０（ｏｕｔｐｕｔ０）と、送金額とＳｃｉｒｐｔＰｕｂＫｅｙ１とを含むアウトプット１（ｏｕｔｐｕｔ１）と、を含む。アウトプット０とアウトプット１とは、それぞれＩｎｄｅｘ０とＩｎｄｅｘ１と関連付けられている。Ｉｎｄｅｘ０とＩｎｄｅｘ１とは、それぞれアウトプット０とアウトプット１とを識別する識別子である。

【0025】

前トランザクションのアウトプット０に、新規トランザクションのインプット０が接続される。前トランザクションのアウトプット１には、新規トランザクション及び他のトランザクションのインプットが接続されていないので、ＵＴＸＯの状態である。
新規トランザクションのインプット０は、ＳｃｒｉｐｔＳｉｇ０と、前トランザクションのトランザクションハッシュと、前トランザクションのアウトプット０の識別子であるＩｎｄｅｘ０とを含む。

【0026】

ＳｃｒｉｐｔＳｉｇ０は、前トランザクションのアウトプット０をアンロックする処理に用いられる電子署名と公開鍵とを含む。電子署名は、例えば、新規トランザクションのＳｃｒｉｐｔＳｉｇ０を除くデータと、前トランザクションのアプトプット０に含まれるＳｃｒｉｐｔＰｕｂＫｅｙ０とを用いて得られる電子署名用の値を、秘密鍵を用いて暗号化することにより生成される。このとき、秘密鍵には、新規トランザクションを作成する利用者の秘密鍵が用いられる。
トランザクションハッシュは、前トランザクション全体のハッシュ値である。そして、トランザクションハッシュは、前トランザクションを識別するためのトランザクションＩＤとして用いられる。Ｉｎｄｅｘ０は、前トランザクションにおける接続先のアウトプット０を識別する識別子である。
上記の前トランザクションに含まれるアウトプット０と、新規トランザクションに含まれるインプット０とが接続される処理を説明する。以下の説明では、前トランザクションがビットコインのブロックチェーンに記録された状態であるものとする。

【0027】

取引装置は、新規トランザクションを作成し、ネットワーク３０に送信することにより、各ノード装置３００が備える未検証のトランザクションを格納するトランザクションプールに新規トランザクションを格納する。ノード装置３００は、新規トランザクションを検証の対象として選択すると、新規トランザクションのトランザクションＩＤとＩｎｄｅｘ０とを参照し、ブロックチェーン上のトランザクションを検索する。ノード装置３００は、トランザクションＩＤに対応する前トランザクションを発見し、さらに、Ｉｎｄｅｘ０に対応するアウトプット０を発見する。

【0028】

そして、ノード装置３００は、インプット０に含まれるＳｃｒｉｐｔＳｉｇ０と、アウトプット０に含まれるＳｃｒｉｐｔＰｕｂＫｅｙ０とを連結する。これにより、ノード装置３００は、ＳｃｒｉｐｔＳｉｇ０に含まれる公開鍵のハッシュ値と、ＳｃｒｉｐｔＰｕｂＫｅｙ０に含まれる公開鍵ハッシュとの一致を検証する第１検証を実行する。さらに、ノード装置３００は、ＳｃｒｉｐｔＳｉｇ０に含まれる電子署名と公開鍵とを用いて電子署名を検証する第２検証を実行する。ノード装置３００は、第１検証と第２検証とが承認されると、前トランザクションのアウトプット０と新規トランザクションのインプット０とを接続する。
そして、ノード装置３００は、承認した新規トランザクションをブロックに含ませて、ナンスを探す作業を実行する。ノード装置３００は、正しいナンスを発見すると、正しいナンスが含まれるブロックを生成し、ノード装置３００が保持するブロックチェーンに新たに生成したブロックを連結する。また、ノード装置３００は、ブロックチェーンのネットワーク上に新たに生成したブロックを送信する。これにより、新たに生成したブロックは、ネットワークに接続された他のノード装置が保持するブロックチェーンにも連結され、新規トランザクションがブロックチェーンに記録される。

【0029】

図３は、アトミックスワップの処理の一例を示す図である。
図４以降で説明する本実施形態の取引方法は、このアトミックスワップの仕組みを応用したものである。
従って、本実施形態の取引方法を説明する前に、図３を用いてアトミックスワップの処理を説明する。
前提として、暗号資産には、異なる特徴を有する複数の種類の暗号資産がある。このため、利用者は、暗号資産を使用するとき、用途に適した暗号資産を選択して利用する。暗号資産の種類には、例えば、ビットコイン（ＢＴＣ：登録商標）、イーサリアム（ＥＴＨ：登録商標）、ライトコイン（ＬＴＣ）、及びモナコイン（ＭＯＮＡ：登録商標）などがある。暗号資産の用途には、例えば、価値の保存、商品の購入、及び契約内容の管理の手数料などがある。
上記のように、複数の種類の暗号資産を用途に応じて使い分けるため、異なる暗号資産を交換する取引が行われている。異なる暗号資産を交換する取引には、利用者間の直接の取引である直接取引と、利用者間に取引所などの第三者を介する取引である仲介取引とがある。

【0030】

暗号資産の直接取引について説明する。
例えば、利用者Ａは、自身が所有するビットコインと、利用者Ｂが所有するライトコインとの交換取引を行うとき、ビットコインを利用者Ｂに送金する。そして、利用者Ｂは、ビットコインが利用者Ａから届いたことを確認すると、利用者Ａにライトコインを送金する。
直接取引において、利用者Ｂは、利用者Ａからビットコインが届いたことを確認したあと、利用者Ａにライトコインを送金しないでビットコインを持ち逃げすることが可能である。したがって、利用者Ａは、取引相手が信用できることを前提として、ビットコインを取引相手に送金しなければならない。

【0031】

暗号資産の仲介取引について説明する。
例えば、利用者Ａは、自身が所有するビットコインを取引所に預ける。また、利用者Ｂは、自身が所有するライトコインを取引所に預ける。そして、取引所は、利用者Ａに利用者Ｂが預けたライトコインを送金し、利用者Ｂに利用者Ａが預けたビットコインを送金する。
仲介取引において、利用者Ａと利用者Ｂとは取引所に暗号資産を預けているので、取引所の不正及び取引所のハッキングなどにより、暗号資産が盗難される恐れがある。また、仲介取引では、取引所を利用するので、手数料が直接取引と比較して割高になることがある。したがって、利用者Ａは、取引所が信用できること及び手数料が割高になることを前提として、ビットコインを取引所に預けなければならない。

【0032】

このような問題を解決するために、信用のない個人間での取引においても暗号資産を持ち逃げされることなく直接取引することができる、アトミックスワップが用いられている。
二者間で異なるブロックチェーンを用いた暗号資産同士の交換を行うとき、単純に利用者Ａと利用者Ｂとの間でお互いの暗号資産を送りあうと、利用者Ａから利用者Ｂへの送金及び利用者Ｂから利用者Ａへの送金が同時に行われることは保証できない。これは、ブロックチェーンによって承認までの期間が異なること、及びお互いの暗号資産を送信するタイミングが異なること、などに起因する。
また、承認前の送金トランザクションは取り下げが可能であるため、言い換えれば、先に承認された取引のみを有効とし、残った取引を取り下げることで、片方が暗号資産を持ち逃げすることができてしまう。
ビットコイン及びそこから派生したブロックチェーンシステムにおいて、Ａｔｏｍｉｃ Ｓｗａｐは、ＵＴＸＯのアンロックの条件を記述したＳｃｒｉｐｔと呼ばれるプログラミング言語を用いる。そして、Ａｔｏｍｉｃ Ｓｗａｐは、Ｓｃｒｉｐｔの命令セットに、一方向ハッシュ関数であるＳＨＡ２５６を求める命令と、値の比較を行う命令があることを利用している。

【0033】

具体的には、利用者Ａと利用者Ｂの間での暗号資産の交換を以下の手順で行う。
以下の説明では、一例として、取引相手が所有するビットコインと、利用者が所有するライトコインとを交換する処理について説明する。取引装置１０が秘密値Ｒを生成する処理を説明するが、利用者Ｂの取引装置が秘密値Ｒを生成してもよい。すなわち、以下で説明する利用者Ａの取引装置の実行する処理を利用者Ｂの取引装置が実行し、利用者Ｂの取引装置が実行する処理を利用者Ａの取引装置が実行してもよい。また、説明の簡単化のため、各トランザクションのアウトプットには、１つのアウトプットが含まれるものとし、アウトプットをＩｎｄｅｘに応じて参照する処理の説明を省略する。なお、交換する暗号資産の数量（交換数量）は、アトミックスワップの処理の前に利用者と取引相手との間で為替レートなどに基づいて決定してもよい。また、利用者と取引相手とは、アトミックスワップの処理の前にそれぞれお互いのアドレス及び公開鍵を交換してもよい。利用者Ａと利用者Ｂとは、暗号資産の交換数量の決定、並びにアドレス及び公開鍵の交換を、メール及び記録媒体の提供などの任意の通信手段により行ってもよい。

【0034】

ステップ（１）
利用者Ａは乱数によって秘密値Ｒを定め、秘密値Ｒのハッシュ値Ｈを計算する。
利用者Ａは、「引数の１つが利用者Ｂの公開鍵に対応する電子署名であること（すなわち受取人が利用者Ｂであること）及び、もう１つの引数のＳＨＡ２５６ハッシュ値がハッシュ値Ｈであること」をアンロック条件としたトランザクションＴｘ１を発行し、承認を待つ。
利用者Ｂは、承認されたトランザクションＴｘ１がブロックチェーンに公開されるため、ハッシュ値Ｈを知ることができる。
すなわち、利用者Ａの取引装置１０は、秘密値Ｒをランダムに生成する。また、利用者Ａの取引装置１０は、秘密値Ｒにハッシュ関数を適用し、ハッシュ値Ｈを生成する。利用者Ａの取引装置１０が秘密値Ｒをハッシュ化するときに用いられるハッシュ関数は、例えば、ＳＨＡ−２、ＭＤ５、及びＳＨＡ−１などの一方向ハッシュ関数である。
ハッシュ関数にＳＨＡ−２を用いる場合、ＳＨＡ２５６を２度適用してハッシュ値Ｈを計算する。ハッシュ値Ｈの計算に際してＳＨＡ２５６を２度適用するのは、上記Ｓｃｒｉｐｔにそのような命令があるためであり、ＳＨＡ２５６の適用は１度であってもよい。

【0035】

さらに、利用者Ａの取引装置１０は、ビットコインを利用者Ｂに送金するためのトランザクションＴｘ１を作成する。そして、利用者Ａの取引装置は、作成したトランザクションＴｘ１をネットワーク３０に送信する。これにより、トランザクションＴｘ１は、ネットワーク３０に公開される。
トランザクションＴｘ１のインプットは、利用者Ａの電子署名及び利用者Ａの公開鍵を含むＳｃｒｉｐｔＳｉｇと、アンロックするＵＴＸＯを含む前トランザクションのトランザクションＩＤとを含む。トランザクションＴｘ１のＳｃｒｉｐｔＳｉｇによってアンロックするＵＴＸＯは、利用者Ａが所有するＵＴＸＯである。利用者Ａの電子署名及び利用者Ａの公開鍵は、利用者Ａが所有する秘密鍵を用いて生成される。
トランザクションＴｘ１のアウトプットは、ハッシュ値Ｈ及び利用者Ｂの公開鍵ハッシュを含むＳｃｒｉｐｔＰｕｂＫｅｙを含む。利用者Ｂの公開鍵ハッシュは、利用者Ｂの公開鍵を用いて生成される。利用者Ｂの公開鍵ハッシュとは、利用者Ｂの公開鍵にハッシュ関数を適用して得られるハッシュ値のことである。

【0036】

ステップ（２）
利用者Ｂも同様に「引数の１つが利用者Ａの公開鍵に対応する電子署名であること（すなわち受取人が利用者Ａであること）及び、もう１つの引数のＳＨＡ２５６ハッシュ値がＨであること」をアンロック条件としたトランザクションＴｘ２を発行し、承認を待つ。 すなわち、利用者Ｂの取引装置２０は、ライトコインを利用者Ａに送金するためのトランザクションＴｘ２を作成する。そして、利用者Ｂの取引装置２０は、作成したトランザクションＴｘ２をネットワーク４０に送信する。これにより、トランザクションＴｘ２は、ネットワーク４０に公開される。

【0037】

トランザクションＴｘ２のインプットは、利用者Ｂの電子署名及び利用者Ｂの公開鍵を含むＳｃｒｉｐｔＳｉｇと、アンロックするＵＴＸＯを含む前トランザクションのトランザクションＩＤとを含む。トランザクションＴｘ２のＳｃｒｉｐｔＳｉｇによってアンロックするＵＴＸＯは、利用者Ｂが所有するＵＴＸＯである。利用者Ｂの電子署名及び利用者Ｂの公開鍵は、利用者Ｂが所有する秘密鍵を用いて生成される。
トランザクションＴｘ２のアウトプットは、ハッシュ値Ｈ及び利用者Ａの公開鍵ハッシュを含むＳｃｒｉｐｔＰｕｂＫｅｙを含む。利用者Ａの公開鍵ハッシュは、利用者Ａの公開鍵を用いて生成される。利用者Ａの公開鍵ハッシュとは、利用者Ａの公開鍵にハッシュ関数を適用して得られるハッシュ値のことである。ハッシュ値Ｈは、トランザクションＴｘ１がネットワーク３０に公開されると、利用者Ｂの取引装置によりトランザクションＴｘ１から取得され、トランザクションＴｘ２のアウトプットに記述される。

【0038】

ステップ（３）
利用者Ａは、利用者Ｂが発行したトランザクションＴｘ２が承認され、取り下げや改ざんができなくなったことを確認する。
利用者Ａ自身の秘密鍵による電子署名を作成し、秘密値Ｒと共にアンロックのための引数として、利用者Ｂが発行したトランザクションＴｘ２のＵＴＸＯを利用して自分自身に送金を行う。
上記のトランザクションが承認され改ざんができなくなると共に、秘密値Ｒはトランザクション内のデータとしてブロックチェーンに公開されるため、利用者Ｂは秘密値Ｒを知ることができる。
すなわち、利用者Ａの取引装置１０は、ライトコインを利用者Ｂの取引装置から受け取るためのトランザクションＴｘ３を作成する。そして、利用者Ａの取引装置は、作成したトランザクションＴｘ３をネットワーク４０に送信する。これにより、トランザクションＴｘ３は、ネットワーク４０に公開される。
トランザクションＴｘ３のインプットは、秘密値Ｒ、利用者Ａの公開鍵、及び利用者Ａの電子署名を含むＳｃｒｉｐｔＳｉｇと、アンロックするＵＴＸＯを含むトランザクションＴｘ２を識別するトランザクションＩＤとを含む。
トランザクションＴｘ３のアウトプットは、利用者Ａの公開鍵ハッシュを含むＳｃｒｉｐｔＰｕｂＫｅｙを含む。

【0039】

利用者Ｂが送金したライトコインの所有を利用者Ａに移転する処理について、一例として、トランザクションＴｘ３を用いてトランザクションＴｘ２のＵＴＸＯをアンロックし、アンロックしたＵＴＸＯを利用者Ａのアドレスにロックする処理を説明する。利用者Ａのアドレスとは、例えば、利用者Ａの公開鍵ハッシュを変換した値である。
ノード装置４００は、トランザクションＴｘ３がネットワーク４０に送信されると、トランザクションＴｘ３に含まれるトランザクションＩＤに対応するトランザクションＴｘ２のＵＴＸＯ（アウトプット）を参照する。また、ノード装置４００は、トランザクションＴｘ３のＳｃｒｉｐｔＳｉｇに含まれる秘密鍵Ｒにハッシュ関数を適用して、ハッシュ値を求める。そして、ノード装置４００は、求めたハッシュ値と、トランザクションＴｘ２のＳｃｒｉｐｔＰｕｂＫｅｙに含まれるハッシュ値Ｈとが一致するか否かの第１検証を実行する。ノード装置４００が秘密値Ｒのハッシュ値を求めるときに用いるハッシュ関数は、利用者Ａの取引装置が秘密値Ｒをハッシュ化するときに用いるハッシュ関数と同じハッシュ関数である。

【0040】

また、ノード装置４００は、トランザクションＴｘ３のＳｃｒｉｐｔＳｉｇに含まれる利用者Ａの公開鍵にハッシュ関数を適用して得られるハッシュ値を求める。そして、ノード装置４００は、求めたハッシュ値と、トランザクションＴｘ２のＳｃｒｉｐｔＰｕｂＫｅｙに含まれる利用者Ａの公開鍵ハッシュとが一致するか否かの第２検証を実行する。さらに、ノード装置４００は、トランザクションＴｘ３のＳｃｒｉｐｔＳｉｇに含まれる利用者Ａの電子署名と利用者Ａの公開鍵とを用いて電子署名の検証をする第３検証を実行する。
ノード装置４００は、上記の第１検証、第２検証及び第３検証が成功すると、トランザクションＴｘ２のＵＴＸＯを利用者Ａのアドレスにロックする。すなわち、ノード装置４００は、利用者Ａがライトコインを受け取ったことを示すアウトプットを作成し、作成したアウトプットをトランザクションＴｘ３に含まれる、利用者Ａが所有するＵＴＸＯとしてロックする。これにより、ライトコインの所有は、利用者Ｂから利用者Ａに移転する。

【0041】

トランザクションＴｘ１のＳｃｒｉｐｔＰｕｂＫｅｙには、所定の時間経過後にトランザクションＴｘ１のアウトプットがＵＴＸＯのままであった場合、利用者Ａの公開鍵を用いて、利用者Ａにビットコインを戻す処理を実行するスクリプトを含んでもよい。これにより、利用者Ａの取引装置は、取引が成立しないとき、所定の時間経過後に利用者Ａのアドレスにビットコインを戻すことができる。以下の説明では、暗号資産が戻される処理を実行するスクリプトをタイムロックともいう。

【0042】

ステップ（４）
利用者Ｂ自身の秘密鍵による電子署名と秘密値Ｒによって、トランザクションＴｘ１のＵＴＸＯをアンロックし、利用者Ｂ自身に送金する
すなわち、利用者Ｂの取引装置は、利用者Ａによってネットワーク４０に公開されたトランザクションＴｘ３に含まれる秘密値Ｒを取得し、ビットコインを利用者Ａの取引装置から受け取るためのトランザクションＴｘ４を作成する。そして、利用者Ｂの取引装置は、作成したトランザクションＴｘ４をネットワーク３０に送信する。これにより、トランザクションＴｘ４は、ネットワーク３０に公開される。
トランザクションＴｘ４のインプットは、秘密値Ｒ、利用者Ｂの公開鍵、及び利用者Ｂの電子署名を含むＳｃｒｉｐｔＳｉｇと、アンロックするＵＴＸＯを含むトランザクションＴｘ１を識別するトランザクションＩＤとを含む。
トランザクションＴｘ４のアウトプットは、利用者Ｂの公開鍵ハッシュを含むＳｃｒｉｐｔＰｕｂＫｅｙを含む。

【0043】

利用者Ａが送金したビットコインの所有を利用者Ｂに移転する処理について、一例として、トランザクションＴｘ４を用いてトランザクションＴｘ１のＵＴＸＯをアンロックし、アンロックしたＵＴＸＯを利用者Ｂのアドレスにロックする処理を説明する。利用者Ｂのアドレスとは、例えば、利用者Ｂの公開鍵ハッシュを変換した値である。
ノード装置３００は、トランザクションＴｘ４がネットワーク３０に送信されると、トランザクションＴｘ４に含まれるトランザクションＩＤに対応するトランザクションＴｘ１のＵＴＸＯ（アウトプット）を参照する。また、ノード装置３００は、トランザクションＴｘ４のＳｃｒｉｐｔＳｉｇに含まれる秘密鍵Ｒにハッシュ関数を適用して、ハッシュ値を求める。そして、ノード装置３００は、求めたハッシュ値と、トランザクションＴｘ１のＳｃｒｉｐｔＰｕｂＫｅｙに含まれるハッシュ値Ｈとが一致するか否かの第４検証を実行する。ノード装置３００が秘密値Ｒのハッシュ値を求めるときに用いるハッシュ関数は、利用者Ａの取引装置が秘密値Ｒをハッシュ化するときに用いるハッシュ関数と同じハッシュ関数である。

【0044】

また、ノード装置３００は、トランザクションＴｘ４のＳｃｒｉｐｔＳｉｇに含まれる利用者Ｂの公開鍵にハッシュ関数を適用して得られるハッシュ値を求める。そして、ノード装置３００は、求めたハッシュ値と、トランザクションＴｘ１のＳｃｒｉｐｔＰｕｂＫｅｙに含まれる利用者Ｂの公開鍵ハッシュとが一致するか否かの第５検証を実行する。さらに、ノード装置３００は、トランザクションＴｘ４のＳｃｒｉｐｔＳｉｇに含まれる利用者Ｂの電子署名と利用者Ｂの公開鍵とを用いて電子署名の検証をする第６検証を実行する。

【0045】

ノード装置３００は、上記の第４検証、第５検証及び第６検証が成功すると、トランザクションＴｘ１のＵＴＸＯを利用者Ｂのアドレスにロックする。すなわち、ノード装置３００は、利用者Ｂがビットコインを受け取ったことを示すアウトプットを作成し、作成したアウトプットをトランザクションＴｘ４に含まれる、利用者Ｂが所有するＵＴＸＯとしてロックする。これにより、ビットコインの所有は、利用者Ａから利用者Ｂに移転する。

【0046】

トランザクションＴｘ２のＳｃｒｉｐｔＰｕｂＫｅｙには、所定の時間経過後にトランザクションＴｘ２のアウトプットがＵＴＸＯのままであった場合、利用者Ｂの公開鍵を用いて、利用者Ｂにライトコインを戻す処理を実行するスクリプトを含んでもよい。これにより、利用者Ｂの取引装置は、取引が成立しないとき、所定の時間経過後に利用者Ｂのアドレスにライトコインを戻すことができる。

【0047】

利用者Ａ、利用者Ｂの取引装置が夫々作成するトランザクションＴｘ１、Ｔｘ２のＵＴＸＯのアンロック条件を示すｓｃｒｉｐｔＰｕｂＫｅｙは、以下のようなプログラムとなる。
１．ＯＰ＿ＨＡＳＨ２５６
２．ＯＰ＿ＰＵＳＨ Ｈ
３．ＯＰ＿ＥＱＵＡＬＶＥＲＩＦＹ
４．ＯＰ＿ＰＵＳＨ 公開鍵
５．ＯＰ＿ＣＨＥＣＫＳＩＧ
１．〜３．の命令群では、引数のハッシュ値を計算してハッシュ値Ｈと比較している。４．、５．は、最もシンプルな送金手法であるＰ２ＰＫ(pay-to-pubkey)形式であるが、
Ｐ２ＰＫＨ(pay-to-pubkey-hash)形式のものでも良い。

【0048】

このＵＴＸＯをアンロックするための対応するｓｃｒｉｐｔＳｉｇは以下の通りとなる。
１．ＯＰ＿ＰＵＳＨ 電子署名
２．ＯＰ＿ＰＵＳＨ Ｒ
このｓｃｒｉｐｔＳｉｇがなければトランザクションＴｘ２のＵＴＸＯをアンロックできないことからも、利用者Ａが受け取った時点で秘密値Ｒが公開される。
また、何らかの事情で利用者Ａが秘密値Ｒを公開しなかった場合、利用者Ａも利用者Ｂも双方の暗号資産を取り出すことができなくなり、暗号資産の所有権が宙に浮いてしまう。そのため、実用上は「もしくは、一定期間が過ぎた場合、送金主の公開鍵に対応する電子署名によって取り戻すことができる」という条件を追加する。具体的には、ｓｃｒｉｐｔＰｕｂＫｅｙを以下のようにする。
１．ＯＰ＿ＩＦ
２．ＯＰ＿ＨＡＳＨ２５６
３．ＯＰ＿ＰＵＳＨ Ｈ
４．ＯＰ＿ＥＱＵＡＬＶＥＲＩＦＹ
５．ＯＰ＿ＰＵＳＨ 宛先公開鍵
６．ＯＰ＿ＣＨＥＣＫＳＩＧ
７．ＯＰ＿ＥＬＳＥ
８．ＯＰ＿ＣＨＥＣＫＬＯＣＫＴＩＭＥＶＥＲＩＦＹ
９．ＯＰ＿ＰＵＳＨ 送金主公開鍵
１０．ＯＰ＿ＣＨＥＣＫＳＩＧ
１１．ＯＰ＿ＥＮＤＩＦ
ＩＦ命令で分岐して、２種類のｓｃｒｉｐｔＳｉｇを受け付けるようにしている。

【0049】

通常通り取引が進んだ場合は、以下のｓｃｒｉｐｔＳｉｇでアンロックが可能である。
１．ＯＰ＿ＰＵＳＨ 宛先秘密鍵の電子署名
２．ＯＰ＿ＰＵＳＨ Ｒ
３．ＯＰ＿ＰＵＳＨ １
このスクリプトは、ｒｅｄｅｅｍ ｓｃｒｉｐｔと呼ばれる。
最後の１をＯＰ＿ＩＦが読み取り、前半のプログラムが実行される。
何らかの理由で秘密値Ｒが公開されなかった場合は、以下のｓｃｒｉｐｔＳｉｇで暗号資産を取り戻せる
１．ＯＰ＿ＰＵＳＨ 送信主秘密鍵の電子署名
２．ＯＰ＿ＰＵＳＨ ０
このスクリプトは、ｒｅｆｕｎｄ ｓｃｒｉｐｔと呼ばれる。
最後の０をＯＰ＿ＩＦが読み取り、ＯＰ＿ＥＬＳＥ以降のプログラムが実行され、取り戻しが行われる。ただし、ＯＰ＿ＣＨＥＣＫＬＯＣＫＴＩＭＥＶＥＲＩＦＹが含まれているため、一定期間経過後である必要がある。

【0050】

なお、この例ではＯＰ＿ＨＡＳＨ２５６を利用しているためハッシュ値ＨはＳＨＡ２５６（ＳＨＡ２５６（Ｒ））とするが、ＯＰ＿ＳＨＡ２５６を利用する場合ハッシュ値ＨはＳＨＡ２５６（Ｒ）とする。
他にもいくつかハッシュ関数を計算する命令が存在するため、ハッシュ値Ｈの計算方法はそれに合わせたものにする必要がある。
以上の手順に従えば、利用者Ａが暗号資産を受け取るためには秘密値Ｒを公開せざるを得ず、秘密値Ｒが公開されると同時に利用者Ｂも暗号資産を受け取ることができることとなる。
利用者Ａが秘密値Ｒを公開しない場合、利用者Ａは利用者Ｂの暗号資産を受け取ることができないので、秘密値Ｒの公開が強制されている、と見ることもできる。

【0051】

以下に、上記Ａｔｏｍｉｃ Ｓｗａｐを応用したコンテンツデータと暗号資産の交換取引について詳細に説明する。
上記に説明した異なる暗号資産同士の交換取引の場合とは異なり、図１に示したもののうち購入者が対価の支払いに用いる暗号資産のネットワークのみ（ここでは、ネットワーク３０）が用いられる。
以下の説明において、取引装置７０は販売者の取引装置であり、取引装置８０は購入者の取引装置である。

【0052】

図４は、１対１でのコンテンツデータと暗号資産の交換手法の一例を示す図である。
以下で説明する取引装置７０が実行する処理を取引装置８０が実行し、取引装置８０が実行する処理を取引装置７０が実行してもよい。また、説明の簡単化のため、ブロックチェーンを介した送金処理における各トランザクションのアウトプットには、１つのアウトプットが含まれるものとし、アウトプットをＩｎｄｅｘに応じて参照する処理の説明を省略する。また、販売者と購入者とは、交換取引の処理の前にそれぞれお互いのアドレス及び公開鍵を交換してもよい。
例えばクラウドソーシングの場合のように、コンテンツデータを発注した購入者とコンテンツデータを受注した販売者とが１対１である場合には、以下の手順で持ち逃げを防ぎ、コンテンツデータと暗号資産を安全に交換することができる。

【0053】

ステップ（１１）において、コンテンツデータを販売する販売者の取引装置７０は暗号的に安全な乱数により、秘密コンテンツ鍵（秘密情報）ｋを整数で選択する。取引装置７０は秘密コンテンツ鍵ｋをランダムに生成する。
次に取引装置７０は、選択した秘密コンテンツ鍵ｋにハッシュ関数を適用し、公開コンテンツ鍵ｕを生成する。
秘密コンテンツ鍵ｋのハッシュ化に用いられるハッシュ関数は、例えば、ＳＨＡ−２、ＭＤ５、及びＳＨＡ−１などの一方向ハッシュ関数である。
ハッシュ関数にＳＨＡ−２を用いる場合、取引装置７０は、公開コンテンツ鍵ｕ＝ＳＨＡ２５６（ＳＨＡ２５６（ｋ））を求める。
ＳＨＡ２５６を２度掛けているが、ビットコインで採用されているＳｃｒｉｐｔと呼ばれるプログラムの命令でＳＨＡ２５６を２回計算する命令があるためである。これは下記ステップ（１４）で取引装置８０が発行する送金トランザクションのアンロック条件次第で変化しうる。ＳＨＡ２５６の計算は例えば１回であってもよい。

【0054】

ステップ（１２）において、販売者の取引装置７０は、販売するコンテンツデータに対して暗号化を行うことにより、暗号化コンテンツデータを生成する。
この際、取引装置７０は、コンテンツデータを周波数分離し、低周波成分は平文のままとし、高周波成分を秘密コンテンツ鍵ｋで暗号化する。
動画像や音声の圧縮の際、周波数変換を用いるものが多い。ＪＰＥＧ、ＭＰＥＧ、ＭＰ３などは全て周波数変換を用いて圧縮を行っている。
周波数変換を行った後、低周波成分と高周波成分に分離し、高周波成分のみを圧縮した後に暗号化し、低周波成分は圧縮した後に平文のままとする。
これによれば、復号キーを持たない状態であれば、低周波成分のみ伸張が可能となり、動画像であれば低解像度な映像が、音声であれば低品質な伸張結果を得ることができる。納品されたコンテンツデータが正しく発注したコンテンツデータであることを確認しつつも、実用にはできない伸張データを得ることができる。

【0055】

暗号化の対象とする周波数の境界線、つまり確認用の伸張データの品質は、圧縮・暗号化時に自由に選択することができる。
暗号化後に圧縮を行おうとすると、エントロピーが高い情報となるため圧縮がほとんどできない。
通常、動画像や音声の圧縮に用いられる周波数変換、ＤＣＴや重複直交変換などは、三角関数を用いた浮動小数での演算となるため、一般的には非可逆圧縮となるが、例えばアダマール変換を用いれば可逆圧縮でも応用可能である。
周波数変換を行わない圧縮方式、例えばＪＰＥＧ−ＬＳや、ＤＰＣＭなどの場合は、ほとんど隣接サンプルとの差分を圧縮する方法がとられている。その場合でも、例えばサンプルが０１２３４５６７８９…と並んでいる場合、１２３、５６７、９は高周波成分として直前サンプルとの差分を取り、０４８は低周波成分として、０と４の差分、４と８の差分を取ることで、同様の効果を得ることができる。

【0056】

取引装置７０は、暗号化コンテンツデータを、ステップ（１１）で算出した公開コンテンツ鍵ｕと共に購入者に提供する。
暗号化コンテンツデータと公開コンテンツ鍵ｕは、任意のクラウドストレージやダウンロードサービスなどにアップロード、登録して購入者にダウンロードさせてもよいし、Ｅ−ｍａｉｌに添付して送付されてもよい。
またＣＤ−ＲやＵＳＢメモリなどの記憶媒体に格納されて手渡しで授受されてもよい。 上記のうち何れかの方法で、暗号化コンテンツデータを取得した取引装置８０は、ステップ（１３）において、暗号コンテンツデータのうち低周波成分を伸張する。
低周波成分は、暗号化されていないためそのまま伸張することが出来るが、画質や音質が低く再配布には向かないデータである。
この時点で、購入者は低周波成分を参照して成果物の内容を確認することが出来るが、対価の支払い前に高画質、高音質の高周波成分を取得して再配布することは出来ない。
この時点で購入者は、低品質のコンテンツデータしか手に入れておらず、持ち逃げのリスクはないと言える。
なお、下記に説明する理由によって、暗号化コンテンツデータにおいて低周波成分が公開コンテンツ鍵ｕで暗号化されていてもよい。

【0057】

低周波成分がコンテンツデータの低周波成分と確認されると、ステップ（１４）において、購入者の取引装置８０は、コンテンツデータの対価となる暗号資産を販売者に送金するためのトランザクションＴｘ１１（第２取引情報）を作成する。
取引装置８０は、作成したトランザクションＴｘ１１をネットワーク３０に送信する。これにより、トランザクションＴｘ１１は、ネットワーク３０に公開される。
トランザクションＴｘ１１のインプットは、購入者の電子署名及び購入者のウォレットの公開鍵（購入者のウォレット公開鍵）を含むＳｃｒｉｐｔＳｉｇと、アンロックするＵＴＸＯを含む前トランザクションのトランザクションＩＤと、を含む。
ウォレットとは、例えば、仮想通貨を保管するために用いる秘密鍵が格納された暗号資産ウォレットである。そして、購入者のウォレット公開鍵は、購入者のウォレットの公開鍵を用いて生成される。
トランザクションＴｘ１１のＳｃｒｉｐｔＳｉｇによってアンロックするＵＴＸＯは、購入者が所有するＵＴＸＯである。購入者の電子署名及び購入者の公開鍵は、購入者が所有する秘密鍵を用いて生成される。

【0058】

トランザクションＴｘ１１のアウトプットは、ステップ（１２）で取得した公開コンテンツ鍵ｕ及び販売者のウォレットの公開鍵ハッシュを有するＳｃｒｉｐｔＰｕｂＫｅｙを含む。
販売者のウォレットの公開鍵ハッシュは、販売者のウォレットの公開鍵（販売者のウォレット公開鍵）を用いて生成される。販売者のウォレットの公開鍵ハッシュとは、販売者のウォレット公開鍵にハッシュ関数を適用して得られるハッシュ値のことである。また、販売者のウォレット公開鍵は、販売者のウォレットの公開鍵を用いて生成される。
トランザクションＴｘ１１は、コンテンツデータの対価となる暗号資産の送金先を販売者とし、追加のアンロック条件として公開コンテンツ鍵ｕを記述し、秘密コンテンツ鍵ｋの開示を要求する。

【0059】

例えばトランザクションＴｘ１１は、秘密コンテンツ鍵ｋを導出可能な引数情報として秘密コンテンツ鍵ｋそのものを公開することを条件に暗号資産の受け取りを可能にする。 またトランザクションＴｘ１１は、公開された秘密コンテンツ鍵ｋのハッシュ値が公開コンテンツ鍵ｕと一致することの認証が行われることを条件に暗号資産の受け取りを可能にする。
ＵＴＸＯに記載するｓｃｒｉｐｔＰｕｂＫｅｙ（アンロック条件）は、例えば以下のようなプログラムとなる。
１．ＯＰ＿ＨＡＳＨ２５６
２．ＯＰ＿ＰＵＳＨ ｕ
３．ＯＰ＿ＥＱＵＡＬＶＥＲＩＦＹ
４．ＯＰ＿ＰＵＳＨ 販売者のウォレット公開鍵
５．ＯＰ＿ＣＨＥＣＫＳＩＧ
これはもっとも簡単な例であり、秘密コンテンツ鍵ｋのＳＨＡ２５６を２回（又は１回）計算してｕとの一致を確認後、購入者のウォレットの秘密鍵による電子署名を検証する。
上記プログラムは、送付先をウォレット公開鍵とするＰ２ＰＫと呼ばれる形式に従っているが、一般的に使われている送付先をウォレット公開鍵のハッシュ値とするＰ２ＰＫＨに基づいてもよい。
また、一定期間内に受け取りがなかった場合（秘密コンテンツ鍵ｋが開示されない場合）に購入者が取り戻すことができるようなプログラムにするとより安全である。
先頭のＯＰ＿ＨＡＳＨ２５６の代わりにＯＰ＿ＳＨＡ２５６を使用する場合、公開コンテンツ鍵ｕ＝ＳＨＡ２５６（ｋ）で算出すれば同様の動作をする。どちらを使ってもセキュリティ上の差異も実用上の差異もない。

【0060】

ステップ（１５）において、販売者の取引装置７０は、暗号資産を購入者の取引装置８０から受け取るためのトランザクションＴｘ１２（第１取引情報）を作成する。そして、取引装置７０は、作成したトランザクションＴｘ１２をネットワーク３０に送信する。これにより、トランザクションＴｘ１２は、ネットワーク３０に公開される。
トランザクションＴｘ１２のインプットは、秘密コンテンツ鍵ｋ、販売者のウォレットの公開鍵、及び販売者の電子署名を含むＳｃｒｉｐｔＳｉｇと、アンロックするＵＴＸＯを含むトランザクションＴｘ１２を識別するトランザクションＩＤと、を含む。
トランザクションＴｘ１２のアウトプットは、販売者のウォレットの公開鍵ハッシュを有するＳｃｒｉｐｔＰｕｂＫｅｙを含む。
販売者の取引装置７０は、販売者自らのウォレットの秘密鍵による電子署名と秘密コンテンツ鍵ｋによって、ステップ（１４）で発行されたＵＴＸＯをアンロックし、暗号資産を受け取る。
ここで購入者が送金した暗号資産の所有を販売者に移転する処理について、一例として、トランザクションＴｘ１２を用いてトランザクションＴｘ１１のＵＴＸＯをアンロックし、アンロックしたＵＴＸＯを販売者のアドレスにロックする処理を説明する。販売者のアドレスとは、例えば、販売者のウォレットの公開鍵ハッシュを変換した値である。

【0061】

ノード装置３００は、トランザクションＴｘ１２がネットワーク３０に送信されると、トランザクションＴｘ１２に含まれるトランザクションＩＤに対応するトランザクションＴｘ１１のＵＴＸＯ（アウトプット）を参照する。また、ノード装置３００は、トランザクションＴｘ１２のＳｃｒｉｐｔＳｉｇに含まれる秘密コンテンツ鍵ｋにハッシュ関数を適用して、公開コンテンツ鍵ｕを求める。そして、ノード装置３００は、求めた公開コンテンツ鍵ｕと、トランザクションＴｘ１１のＳｃｒｉｐｔＰｕｂＫｅｙに含まれる公開コンテンツ鍵ｕとが一致するか否かの第１検証を実行する。ノード装置３００が秘密コンテンツ鍵ｋのハッシュ値を求めるときに用いるハッシュ関数は、取引装置７０が秘密コンテンツ鍵ｋをハッシュ化するときに用いるハッシュ関数と同じハッシュ関数である。

【0062】

また、ノード装置３００は、トランザクションＴｘ１２のＳｃｒｉｐｔＳｉｇに含まれる販売者のウォレット公開鍵にハッシュ関数を適用して得られるハッシュ値を求める。そして、ノード装置３００は、求めたハッシュ値と、トランザクションＴｘ１１のＳｃｒｉｐｔＰｕｂＫｅｙに含まれる販売者のウォレットの公開鍵ハッシュとが一致するか否かの第２検証を実行する。さらに、ノード装置３００は、トランザクションＴｘ１２のＳｃｒｉｐｔＳｉｇに含まれる販売者の電子署名とウォレット公開鍵とを用いて電子署名の検証をする第３検証を実行する。

【0063】

ノード装置３００は、上記の第１検証、第２検証及び第３検証が成功すると、トランザクションＴｘ１１のＵＴＸＯを販売者のアドレスにロックする。すなわち、ノード装置３００は、販売者が暗号資産を受け取ったことを示すアウトプットを作成し、作成したアウトプットをトランザクションＴｘ１２に含まれる、販売者が所有するＵＴＸＯとしてロックする。これにより、暗号資産の所有は、購入者から販売者に移転する。

【0064】

トランザクションＴｘ１１のＳｃｒｉｐｔＰｕｂＫｅｙには、所定の時間経過後にトランザクションＴｘ１１のアウトプットがＵＴＸＯのままであった場合、販売者のウォレット公開鍵を用いて、販売者に暗号資産を戻す処理を実行するスクリプトを含む。これにより、取引装置７０は、取引が成立しないとき、所定の時間経過後に販売者のアドレスに暗号資産を戻すことができる。

【0065】

図４の説明に戻り、ステップ（１６）において、購入者の取引装置８０は、販売者の取引装置７０によってネットワーク３０に公開されてブロックチェーンに記録・公開されたトランザクションＴｘ１２に含まれる秘密コンテンツ鍵ｋを取得する。購入者の取引装置８０は、ステップ（１２）でクラウドストレージ等にアップロードされた暗号化コンテンツデータの高周波成分を秘密コンテンツ鍵ｋで復号し、コンテンツデータ全体を伸張する。
コンテンツデータの購入者は、再配布に向かない品質のデータによってコンテンツデータの内容を事前に確認したうえでコンテンツデータに対する対価となる暗号資産の送金を行う。それに対して販売者が秘密コンテンツ鍵ｋを開示して暗号資産の受け取りを行うことで、購入者は、コンテンツデータの高品質部分を復号出来る。
購入者、販売者の双方が、夫々暗号資産の送金、秘密コンテンツ鍵ｋの開示を行わない限りは、暗号資産、秘密コンテンツ鍵ｋの受け取りを何れも行うことが出来ない。
従って、購入者によるコンテンツデータの持ち逃げや、逆に販売者による暗号資産の持ち逃げが不可能である。購入者と販売者との間でコンテンツデータと対価が適切にやりとりされる適正な取引を実現することが出来る。

【0066】

なお上記の手法では、ステップ（１２）で、販売者の取引装置７０が、秘密コンテンツ鍵ｋ以外の鍵でコンテンツデータの高周波成分を暗号化する、という攻撃が考えうる。
このような問題に対して、独自ファイル形式として、公開コンテンツ鍵ｕと暗号化コンテンツデータを１つのファイルにパッケージングすれば問題がない。しかしながら暗号的に安全にするためには低周波成分を公開コンテンツ鍵ｕで暗号化する方法が考えられる。 ステップ（１２）で低周波成分を公開コンテンツ鍵ｕ、高周波成分を秘密コンテンツ鍵ｋで暗号化すれば、ステップ（１３）で購入者が納品されたコンテンツデータを確認する際に受け取った公開コンテンツ鍵ｕと低周波成分の実際の暗号鍵が異なる場合、伸張に失敗する。
この時点で、ステップ（１２）で秘密コンテンツ鍵ｋ以外の鍵でコンテンツデータの高周波成分を暗号されたことがわかるため、取引をやり直すことができる。
正しい手順で取引がなされた場合、ステップ（１３）において、取引装置８０は、公開コンテンツ鍵ｕを用いて低周波成分を復号・伸張できる。また、正しい手順で取引がなされた場合、ステップ（１６）において、公開コンテンツ鍵ｕ及び秘密コンテンツ鍵ｋの両方が購入者側にあるため、取引装置８０は、暗号化コンテンツデータの全体を復号・伸張できる。

【0067】

図５は、図４で説明した取引方法の流れを説明するフローチャートである。
以下の説明では、トランザクションスクリプトとして、図４と同様にＰ２ＰＫＨを用いるものとして説明する。
ステップＳ１０１において、販売者の取引装置７０は、秘密コンテンツ鍵ｋを用いてコンテンツデータの高周波成分を暗号化する。
ステップＳ１０２において、販売者の取引装置７０は、秘密コンテンツ鍵ｋにハッシュ関数を適用して公開コンテンツ鍵ｕを生成する。
ステップＳ１０３において、販売者の取引装置７０は、暗号化された高周波成分と平文のままの低周波成分を含む暗号化コンテンツデータと公開コンテンツ鍵ｕをクラウドストレージなどに送信する。あるいは、購入者宛に、Ｅ−ｍａｉｌで送信する。
ステップＳ１１１において、購入者の取引装置８０は、クラウドストレージなどから暗号化コンテンツデータと公開コンテンツ鍵ｕを取得する。
ステップＳ１１２において、購入者の取引装置８０は、低周波成分を伸張し、内容を確認する。

【0068】

ステップＳ１１３において、購入者の取引装置８０は、公開コンテンツ鍵ｕと販売者の公開鍵をアウトプットに含み、暗号資産を販売者に送金するトランザクションＴｘ１１を作成し、ネットワーク３０に公開する。
ステップＳ１０４において、販売者の取引装置７０は、公開されたトランザクションＴｘ１１に対して、秘密コンテンツ鍵ｋと販売者の公開鍵をインプットに含む、暗号資産を受け取るトランザクションＴｘ１２を作成し、ネットワーク３０に公開する。
ステップＳ１１４において、購入者の取引装置８０は、公開されたトランザクションＴｘ１２に記載される秘密コンテンツ鍵ｋを用いて暗号化コンテンツデータの高周波成分を復号する。

【0069】

上記では、コンテンツデータの購入者及び販売者による１対１でのコンテンツデータと暗号資産の交換手法を説明したが、例えばコンテンツデータのダウンロード販売のように、販売者が１人、購入者が複数である場合も想定しうる。
図６は、１対多でのコンテンツデータと暗号資産の交換手法の一例を示す図である。
なお図６の方法は、一人の販売者と一人の購入者による１対１でのコンテンツデータと暗号資産の交換にも適用出来る。
図４で説明した１対１の取引手法を、一対多の取引に使用しようとすると、購入者１人ずつに個別の秘密コンテンツ鍵ｋを用意して個別の暗号化コンテンツデータを用意する必要がある。その場合特に動画のようにファイルサイズが大きい場合には管理が大変である。
この問題は、イーサリアムのスマートコントラクトを使用することで解決可能である。 予めイーサリアム上に、以下の機能を有するスマートコントラクト５００をデプロイしておく。
スマートコントラクト自体がアカウントであるため、スマートコントラクト自身が暗号資産を所有でき、スマートコントラクトへの送金・操作時にはその引数がブロックチェーン上に記録される。

【0070】

スマートコントラクト５００は、任意の名前を与えられたメソッドと呼ばれるプログラムを１以上備えている。
スマートコントラクト５００に対して送信するトランザクションには、スマートコントラクト５００に対して実行を命令するメソッドと、その引数が記載される。
例えば、トランザクションは「ＡＡという名前のメソッドを、引数ＢＢで実行せよ」という命令を含む。
スマートコントラクト５００は、命令されたメソッドを指定された引数とともに実行することによって例えば下記（１）〜（４）の機能を実現することが出来る。
スマートコントラクト５００は、
（１）暗号資産を預かる機能
（２）暗号資産を預かる際に受取人アドレスと、後述する楕円曲線上の点Ｐを記録する機能
（３）暗号資産を取り出す機能
（４）暗号資産の取り出しには、取り出し時と預かり時の受取人アドレスと一致すること、及びＰ＝ｈＧを満たす引数ｈが指定されていること、を条件とする機能
を有する。
このような機能を有するスマートコントラクト５００をデプロイしておくことで、送金側が知りうる公開コンテンツ鍵ｕ＝ｋＧに対応する秘密コンテンツ鍵ｋをブロックチェーンに公開しないと暗号資産が引き出せないことを保証することが出来る。
また、一定時間を経過したら、送金側が取り返すことができる機能をつけてもよい。
以下の説明において、乱数を生成する場合は常に暗号的に安全な乱数を生成するものとする。

【0071】

ステップ（２１）において、販売者の取引装置７０は乱数により秘密コンテンツ鍵ｋを決める。
ステップ（２２）において、取引装置７０は、コンテンツデータの低周波成分は平文のままとし、高周波成分は秘密コンテンツ鍵ｋにより暗号化した暗号化コンテンツデータを生成する。
取引装置７０は、楕円曲線暗号を用いて秘密コンテンツ鍵ｋを暗号化した公開コンテンツ鍵ｕ＝ｋＧと共に、暗号化コンテンツデータをクラウドストレージ等に公開する。
公開コンテンツ鍵ｕ＝ｋＧは、離散対数問題が困難な群上の基点Ｇを秘密コンテンツ鍵ｋによりスカラー倍した値である。

【0072】

ここで、楕円曲線暗号について概説する。
［楕円曲線暗号］

の形式で表される方程式（厳密にはその解の集合）を楕円曲線と呼ぶ。ここで、ｘ及びｙが変数、ａ及びｂは定数（パラメータ）である。
方程式を実数の範囲で解き、ｘ−ｙ平面上にプロットすると曲線を描くが、コンピュータで真の意味での実数を扱うことは不可能である。そのため、素数ｐを定めて、ａ、ｂ、ｘ、ｙのすべてを０以上ｐ未満の整数とした上で、加算を（ｎ＋ｍ） ｍｏｄ ｐ、乗算を（ｎ×ｍ） ｍｏｄ ｐで定義することで、有限体を構成する。
前記の方程式をその有限体上で解いた解は、ｘ−ｙ平面上０以上ｐ未満の整点（ｘ座標及びｙ座標がともに整数となる点）の集合としてプロットされる。
楕円曲線の方程式の解は、実数上で解く場合も有限体上で解く場合も、ｘとｙで２次元平面上の座標を表す点となるが、この点２つの演算を次のように定義する。

また、

。
ただし、２つの点が同一の点である場合は分母が０となるため、極限を計算し、

また

とする。

【0073】

また、特別な点として、２次元平面上に存在しない点、無限遠点Ｏも要素に加える。２つの点のｘ座標が一致しｙ座標が正負反転の関係にある場合は、その２つの点同士の演算は無限遠点Ｏになるものとし、楕円曲線上の点ＰとＯの演算はＰ、Ｏ同士の演算はＯとなるものとする。
以上のルールの演算は、一般的に楕円曲線上の点同士の加算と定義されている。そう定義することで、楕円曲線上の点は有限巡回群の性質を持つようになる。つまり、楕円曲線上の点Ｐと点Ｑは加算ができ、Ｐ＋Ｑ＝Ｒという演算ができる。そして、点Ｐを有限回加算し続ける（Ｐ＋Ｐ＋Ｐ＋…）つまり、ｍ×Ｐを計算することもでき、群の位数ｎをかける（ｎ個のＰを加算し続ける）とｎＰ＝Ｏが成り立つ。
ここで重要なのは、秘密の整数（０以上ｎ未満）ｋを決めたとき、ｋＰを求めることは簡単である（Ｐをｋ回足すとｐのビット長Ｌに対して２Ｌに比例する計算量が必要だが、バイナリ法などの手法を用いることで、Ｌに比例する計算量で済む）が、反対にｋＰを与えられたときにｋを求めることは現実的に不可能であるという点である。
現在知られている手法では２Ｌとまではいかないまでも、それに匹敵する計算量が必要である。
つまり、ｋ→ｋＰの演算は簡単だがｋＰ→ｋの演算は難しいという非対称性があり、これをＥＣＤＬＰ（楕円曲線離散対数問題）と呼ぶ。
これを活用するのが楕円曲線暗号である。暗号資産の送金で使用するＥＣＤＳＡもこの非対称性を用いたものである。

【0074】

楕円曲線暗号に用いる楕円曲線のパラメータ、ａ、ｂ、ｐは適切に設定しなければ非対称性が保てない場合がある。そのため、一般的にはＳＥＣＧというグループが公表しているＳＥＣ．２文書や、米国のＮＩＳＴが公表している米国標準規格であるＦＩＰＳ−１８６文書に定義されているパラメータを使用するのが一般的である。
ＦＩＰＳ−１８６やＳＥＣ．２では、ａ、ｂ、ｐのパラメータの他、有限巡回群を構成する起点となる点Ｇ（ベースポイントと呼ばれる）と、ｎＧ＝Ｏとなるｎも公開されている。
ビットコインや、そこから派生した暗号資産の場合、ＳＥＣ．２で定義されているｓｅｃｐ２５６ｋ１という曲線を使用している。

【0075】

図６の説明に戻り、暗号化コンテンツデータを取得した取引装置８０は、暗号コンテンツデータのうち低周波成分を伸張する。
ステップ（２３）において、購入者の取引装置８０は、乱数により一時鍵ｔを決め、安全な通信経路で販売者の取引装置７０へ送付する。例えば一時鍵ｔは、暗号化された通信回線を介して取引装置７０に送付されてもよい。
また一時鍵ｔは、記憶媒体に格納された状態で購入者から販売者に直接的に手渡されてもよい。どのような形態をとる場合でも、一時鍵ｔは他者に秘匿された状態で購入者の取引装置８０から販売者の取引装置７０に対して送付される。
低周波成分がコンテンツデータの低周波成分と確認されると、ステップ（２４）において、購入者の取引装置８０は、スマートコントラクト５００に対して、販売者のアドレス（販売者のウォレット公開鍵のハッシュ）に送金を行うためにトランザクションＴｘ２１（第２取引情報）を送信する。
トランザクションＴｘ２１は、暗号資産を送金するメソッドを、公開コンテンツ鍵ｕ、販売者のウォレットの公開鍵ハッシュ、を引数にして実行させる命令を含む。
このトランザクションＴｘ２１に対して、スマートコントラクト５００は、上記（１）の機能を実行し、公開コンテンツ鍵ｕを用いて、販売者を受取人とした暗号資産を預かる。より具体的には、スマートコントラクト５００は、販売者のアドレスを送金先とした暗号資産を預かる。
販売者のアドレスは、トランザクションＴｘ２１で指定されていた販売者のウォレットの公開鍵ハッシュである。
スマートコントラクト５００は、暗号資産を預かる際に上記（２）の機能を実行し、公開コンテンツ鍵ｕを用いて、楕円曲線上の点Ｐを記録する。
スマートコントラクト５００は、Ｐ＝ｔＧ＋ｕを演算し、演算した点Ｐを記録する。ここで、ｔＧ＋ｕ＝（ｔ＋ｋ）Ｇが成り立つ。Ｇは、上記のように有限巡回群（離散対数問題が困難な群）の起点である。

【0076】

ステップ（２５）において、販売者の取引装置７０は、スマートコントラクト５００への入金を確認した後、ステップ（２３）で送付された一時鍵ｔと秘密コンテンツ鍵ｋの和であるｈ＝（ｔ＋ｋ） ｍｏｄ ｎを引数に指定した、暗号資産を引き出すためのトランザクションＴｘ２２（第１取引情報）を作成する。トランザクションＴｘ２２は、暗号資産引き出しメソッド実行のトランザクションである。
すなわち、トランザクションＴｘ２２は、暗号資産を送金するメソッドを、引数ｈ＝（ｔ＋ｋ） ｍｏｄ ｎ、販売者のウォレットの公開鍵ハッシュを引数にして実行させる命令を含む。
トランザクションＴｘ２２に対して、スマートコントラクト５００は、上記（３）の機能を実行し、トランザクションＴｘ２１に対応して預かっていた暗号資産を引き出す。
すなわちスマートコントラクト５００は、販売者を受取人とし、販売者のアドレスに暗号資産を送金するトランザクション（引き出しメソッドによる暗号資産の引き出しトランザクション）を作成する。

【0077】

スマートコントラクト５００は、暗号資産を取り出す際に（４）の機能を実行し、取り出し時の受取人アドレスが預かり時の受取人アドレスと一致することと、Ｐ＝ｈＧを満たす引数ｈが指定されていることを必要とする。
上記のように、Ｐ＝ｔＧ＋ｕ＝（ｔ＋ｋ）Ｇが成り立つので、引数ｈ＝（ｔ＋ｋ） ｍｏｄ ｎが指定されることで、Ｐ＝ｈＧが満たされる。
スマートコントラクト５００は、トランザクションＴｘ２２とトランザクションＴｘ２１で指定されていた暗号資産の受取人アドレスの一致していること、及びＰ＝ｈＧを満たす引数ｈが指定されていることの検証がとれると、預かっていた暗号資産を販売者のアドレスに送金する。

【0078】

ステップ（２６）において、購入者の取引装置８０は、スマートコントラクト５００からの引き出しに使用されたトランザクションＴｘ２２に記録されている引数ｈ＝（ｔ＋ｋ） ｍｏｄ ｎを読み込み、ステップ（２３）で決めた一時鍵ｔを用いてｋ＝（ｈ＋ｎ−ｔ） ｍｏｄ ｎと計算することで、秘密コンテンツ鍵ｋが入手できるため、高周波成分を含み全体を復号・伸張する。
以上説明したような仕組みによれば、コンテンツデータの購入者は、再配布に向かない品質のデータによってコンテンツデータの内容を事前に確認したうえで、コンテンツデータに対する対価となる暗号資産の送金を行う。そして、販売者は、秘密コンテンツ鍵ｋに基づく引数を開示して暗号資産の受け取りを行う。これにより、購入者は、ブロックチェーン上に公開された秘密コンテンツ鍵ｋを取得し、コンテンツデータの高品質部分を復号することができる。購入者が暗号資産を送金し、販売者が秘密コンテンツ鍵ｋに基づく引数の開示を行わない限りは、販売者及び購入者は、それぞれ暗号資産及び秘密コンテンツ鍵ｋの受け取りを行うことができない。

【0079】

従って、購入者によるコンテンツデータの持ち逃げや、逆に販売者による暗号資産の持ち逃げが不可能である。購入者と販売者との間でコンテンツデータと対価が適切にやりとりされる適正な取引を実現することが出来る。
また、販売者側では単一の秘密コンテンツ鍵ｋを一つだけ用意し、購入者が用意した一時鍵ｔをもとに秘密コンテンツ鍵ｋに基づく引数を生成する。従って、購入者毎に秘密コンテンツ鍵ｋを用意してコンテンツデータを暗号化することに比べて販売者の負担を著しく低減することが出来る。

【0080】

また上記のように、一時鍵ｔは、他者に秘匿された状態で、購入者の取引装置８０から販売者の取引装置７０に対して送付されるものである。
しかしながら、一時鍵ｔが他者に流出した場合には、他者は、ステップ（２６）における購入者と同様に、一時鍵ｔを用いてｋ＝（ａ＋ｎ−ｔ） ｍｏｄ ｎを計算して秘密コンテンツ鍵ｋが入手できる。そして、他者は入手したコンテンツ鍵ｋを用いてコンテンツの高品質部分を復号することが出来てしまう。
しかしながら、正規に入手された秘密コンテンツ鍵ｋによって復号されたコンテンツデータであっても、第三者が閲覧可能な状態でクラウドストレージ等にアップロードされる可能性がある。このことを考慮すれば、一時鍵ｔの流出によるコンテンツデータの流出は大きな問題とはならない。
また、図４で説明した方法と同様に、低周波成分を公開コンテンツ鍵ｕで暗号化した方がより好ましい。
また、この説明では楕円曲線とその点を用いたが、離散対数問題が困難な有限巡回群であれば、例えば有限体の乗法群であっても適用できる。楕円曲線を用いるメリットは、点を表現するのに必要なビット長が少なく済むため、トランザクション手数料を安く抑えることが出来る点にある。
また、上記では、引数ｈを一時鍵ｔと秘密コンテンツ鍵ｋの和に基づいて求めていたが、一時鍵ｔと秘密コンテンツ鍵ｋの差に基づいて求めてもよい。引数ｈは、（ｔ−ｋ） ｍｏｄ ｎであってもよい。

【0081】

図７は、図６で説明した取引方法の流れを説明するフローチャートである。
ステップＳ２０１において、販売者の取引装置７０は、秘密コンテンツ鍵ｋを用いてコンテンツデータの高周波成分を暗号化する。
ステップＳ２０２において、販売者の取引装置７０は、秘密コンテンツ鍵ｋにハッシュ関数を適用して公開コンテンツ鍵ｕを生成する。
ステップＳ２０３において、販売者の取引装置７０は、暗号化された高周波成分と平文のままの低周波成分からなる暗号化コンテンツデータと公開コンテンツ鍵ｕをクラウドストレージなどに送信する。あるいは、購入者宛に、Ｅ−ｍａｉｌで送信する。
ステップＳ２１１において、購入者の取引装置８０は、クラウドストレージなどから暗号化コンテンツデータと公開コンテンツ鍵ｕを取得する。
ステップＳ２１２において、購入者の取引装置８０は、低周波成分を伸張し、内容を確認する。
ステップＳ２１３において、購入者の取引装置８０は一時鍵ｔを決定して、販売者の取引装置７０に送信する。
ステップＳ２０４において、販売者の取引装置７０は一時鍵ｔを受け付ける。

【0082】

ステップＳ２１４において、購入者の取引装置８０は、公開コンテンツ鍵ｕと販売者の公開鍵をアウトプットに含み、暗号資産を販売者に送金する上記のトンランザクションＴｘ２１を作成し、スマートコントラクトに送信する。
ステップＳ２０５において、販売者の取引装置７０は、公開されたトランザクションＴｘ２１に対して、秘密コンテンツ鍵ｋと一時鍵ｔに基づく引数と販売者の公開鍵をインプットに含む、暗号資産を受け取る上記のトランザクションＴｘ２２を作成し、スマートコントラクトに送信する。
ステップＳ２１５において、購入者の取引装置８０は、公開されたトランザクションＴｘ２２に記載される引数から秘密コンテンツ鍵ｋを導出する。
ステップＳ２１６において、購入者の取引装置８０は、秘密コンテンツ鍵ｋを用いて暗号化コンテンツデータの高周波成分を復号する。

【0083】

実施形態の取引装置について説明する。
図８は、取引装置の一実施例を示す機能ブロック図である。
図８は取引装置７０及び取引装置８０が有する機能を示すブロック図である。
図８（ａ）を参照して、取引装置７０の機能を説明する。なお、取引装置８０は、取引装置７０の機能の少なくとも１つ以上の機能を有してもよい。
取引装置７０は、制御部６０と、通信部９１と、記憶部９２とを含む。
制御部６０は、分離部６１と、暗号化部６２と、生成部６３と、受渡部６４と、作成部６５（第１作成部）と、公開部６６（第１公開部）と、を含む。通信部９１は、取引装置７０をネットワークに接続する。記憶部９２は、各種情報を記憶する。
分離部６１は、周波数変換したコンテンツデータを高周波成分と低周波成分に分離する。
暗号化部６２は、記憶部９２に記憶される秘密コンテンツ鍵ｋを用いて、コンテンツデータの高周波成分を暗号化する。また暗号化部６２は、公開コンテンツ鍵ｕを用いて低周波成分を暗号化してもよい。

【0084】

生成部６３は、秘密コンテンツ鍵ｋにハッシュ関数を適用し、公開コンテンツ鍵ｕを生成する。例えば、生成部６３は、公開コンテンツ鍵ｕをｕ＝ＳＨＡ２５６（ＳＨＡ２５６（ｋ））として生成する。また生成部６３は、離散対数問題が困難な群上の基点を秘密コンテンツ鍵ｋによりスカラー倍して公開コンテンツ鍵ｕ＝ｋＧを生成する。
受渡部６４は、暗号化コンテンツデータと公開コンテンツ鍵ｕを、クラウドストレージなど外部に送信する。あるいは、これらをＥ−ｍａｉｌで送信する。
作成部６５は、暗号資産を送金するトランザクションＴｘ１１がネットワーク３０に公開されたあと、暗号資産を受け取るためのトランザクションＴｘ１２を作成する。
また作成部６５は、スマートコントラクト５００に対して暗号資産を送金するトランザクションＴｘ２１が公開されたあと、暗号資産を受け取るためのトランザクションＴｘ２２を作成する。
公開部６６は、作成部６５が作成したトランザクションＴｘ１２をネットワーク３０に公開する。また公開部６６は、作成部６５が作成したトランザクションＴｘ２２をネットワーク３０に公開する。

【0085】

図８（ｂ）を参照して、取引装置８０の機能を説明する。なお、取引装置７０は、取引装置８０の機能の少なくとも１つ以上の機能を有してもよい。
取引装置８０は、制御部１００と、通信部１１１と、記憶部１１２と、表示部１１３とを含む。
制御部１００は、取得部１０１と、伸張部１０２と、作成部１０３（第２作成部）と、公開部１０４と、算出部１０５、復号部１０６と、送信部１０７、とを含む。記憶部１１２は、各種情報を記憶する。
取得部１０１は、クラウドストレージなどから暗号化コンテンツデータ、公開コンテンツ鍵ｕを取得する。また、取得部１０１は、ネットワーク３０に公開された秘密コンテンツ鍵ｋ、あるいは秘密コンテンツ鍵ｋに基づく引数ｈ＝（ｔ＋ｋ） ｍｏｄ ｎを取得する。
伸張部１０２は、復号された、あるいは暗号化されていなかったコンテンツデータを伸張して表示装置に表示する。コンテンツが音声データであれは、取引装置８０が備えるスピーカーから出力する。
作成部１０３は、暗号資産を送金するためのトランザクションＴｘ１１、トランザクションＴｘ２１を作成する。また、作成部１０３は、一時鍵ｔを作成する。
公開部１０４は、作成部１０３が作成したトランザクションＴｘ１１、トランザクションＴｘ２１をネットワーク３０に公開する。
算出部１０５は、取得部１０１が取得した引数ｈ＝（ｔ＋ｋ） ｍｏｄ ｎに基づいて秘密コンテンツ鍵ｋを算出する。
復号部１０６は、取得部１０１が取得し、あるいは算出部１０５が算出した秘密コンテンツ鍵ｋを用いて暗号化された高周波成分を復号する。
送信部１０７は、作成部１０３が作成した一時鍵ｔを送信する。

【0086】

図９は、コンピュータ装置の一実施例を示すブロック図である。
図９を参照して、コンピュータ装置５０の構成について説明する。
図９において、コンピュータ装置５０は、制御回路５１と、記憶装置５２と、読書装置５３と、記録媒体５４、通信インターフェイス５５と、入出力インターフェイス５６と、入力装置５７と、表示装置５８とを含む。また、通信インターフェイス５５は、ネットワーク６００と接続される。そして、各構成要素は、バス５９により接続される。取引装置１０、取引装置２０、取引装置７０、及び取引装置８０は、コンピュータ装置５０に記載の構成要素の一部または全てを適宜選択して構成することができる。

【0087】

制御回路５１は、コンピュータ装置５０全体の制御をする。制御回路５１は、例えば、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ（ＣＰＵ）などのプロセッサである。制御回路５１は、例えば、図８において、制御部６０として機能する。

【0088】

記憶装置５２は、各種データを記憶する。そして、記憶装置５２は、例えば、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ（ＲＯＭ）及びＲａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ（ＲＡＭ）などのメモリや、Ｈａｒｄ Ｄｉｓｋ（ＨＤ）などである。記憶装置５２は、制御回路５１を、制御部６０として機能させる取引プログラムを記憶してもよい。記憶装置５２は、例えば、図８において、記憶部９２、記憶部１１２として機能する。

【0089】

取引装置７０及び取引装置８０は、取引処理をするとき、記憶装置５２に記憶された取引プログラムをＲＡＭに読み出す。
ＲＡＭに読み出された取引プログラムを制御回路５１で実行することにより、取引装置７０は、分離処理と、暗号化処理と、生成処理と、受渡処理と、作成処理と、公開処理と、のいずれか１以上を含む取引処理を実行する。
また、取引装置８０は、ＲＡＭに読み出された取引プログラムを制御回路５１で実行することにより、取得処理と、伸張処理と、作成処理と、公開処理と、算出処理と、復号処理と、送信処理と、のいずれか１以上を含む取引処理を実行する。なお、取引プログラムは、制御回路５１が通信インターフェイス５５を介してアクセス可能であれば、ネットワーク６００上のサーバが有する記憶装置に記憶されていても良い。

【0090】

読書装置５３は、制御回路５１に制御され、着脱可能な記録媒体５４のデータのリード／ライトを行なう。
記録媒体５４は、各種データを保存する。記録媒体５４は、例えば、取引処理プログラムを記憶する。記録媒体５４は、例えば、Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ（ＳＤ）メモリーカード、Ｆｌｏｐｐｙ Ｄｉｓｋ（ＦＤ）、Ｃｏｍｐａｃｔ Ｄｉｓｃ（ＣＤ）、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ（ＤＶＤ）、Ｂｌｕ−ｒａｙ（登録商標） Ｄｉｓｋ（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。

【0091】

通信インターフェイス５５は、ネットワーク６００を介してコンピュータ装置５０と他の装置とを通信可能に接続する。通信インターフェイス５５は、例えば、図８において、通信部９１として機能する。
入出力インターフェイス５６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス５６は、接続された各種入力装置とコンピュータ装置５０とを通信可能に接続する。そして、入出力インターフェイス５６は、接続された各種入力装置から入力された信号を、バス５９を介して制御回路５１に出力する。また、入出力インターフェイス５６は、制御回路５１から出力された信号を、バス５９を介して入出力装置に出力する。

【0092】

入力装置５７は、例えば、タッチパネル、コード読み取り装置、キーボード及びマウスなどである。入出力インターフェイス５６に接続された各種入力装置及び入力装置５７は、例えば、利用者及び取引相手から秘密鍵、ウォレットの公開鍵、トランザクションＩＤ、及び秘密コンテンツ鍵ｋなどの入力を受け付けてもよい。

【0093】

表示装置５８は、各種情報を表示する。表示装置５８は、例えば伸張された画像コンテンツを表示可能としてもよい。表示装置５８は、例えば、図８の表示部１１３として機能する。
ネットワーク６００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、またはインターネットなどであり、コンピュータ装置５０と他の装置を通信接続する。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成または実施形態を取ることができる。

【符号の説明】

【0094】

５０ コンピュータ装置
５１ 制御回路
５２ 記憶装置
５３ 読書装置
５４ 記録媒体
５５ 通信Ｉ／Ｆ
５６ 入出力Ｉ／Ｆ
５７ 入力装置
５８ 表示装置
５９ バス
６０、１００ 制御部
７０、８０ 取引装置
９１、１１１ 通信部
９２、１１２ 記憶部
１１３ 表示部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】