特許 6986519 分散型トランザクション伝播および検証システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6986519

(24)【登録日】2021年12月1日

(45)【発行日】2021年12月22日

(54)【発明の名称】分散型トランザクション伝播および検証システム

(51)【国際特許分類】

   H04L 9/32 20060101AFI20211213BHJP

   G06F 21/64 20130101ALI20211213BHJP

   G06Q 20/38 20120101ALI20211213BHJP

【ＦＩ】

   H04L9/00 675Z

   G06F21/64

   G06Q20/38 310

   H04L9/00 675B

【請求項の数】17

【全頁数】139

(21)【出願番号】特願2018-557931(P2018-557931)

(86)(22)【出願日】2017年5月4日

(65)【公表番号】特表2019-519137(P2019-519137A)

(43)【公表日】2019年7月4日

(86)【国際出願番号】US2017031037

(87)【国際公開番号】WO2017192837

(87)【国際公開日】20171109

【審査請求日】2020年5月1日

(31)【優先権主張番号】62/331,654

(32)【優先日】2016年5月4日

(33)【優先権主張国】US

(31)【優先権主張番号】62/333,340

(32)【優先日】2016年5月9日

(33)【優先権主張国】US

(31)【優先権主張番号】62/343,369

(32)【優先日】2016年5月31日

(33)【優先権主張国】US

(31)【優先権主張番号】62/344,667

(32)【優先日】2016年6月2日

(33)【優先権主張国】US

(31)【優先権主張番号】62/346,775

(32)【優先日】2016年6月7日

(33)【優先権主張国】US

(31)【優先権主張番号】62/351,011

(32)【優先日】2016年6月16日

(33)【優先権主張国】US

(31)【優先権主張番号】62/353,482

(32)【優先日】2016年6月22日

(33)【優先権主張国】US

(31)【優先権主張番号】62/354,195

(32)【優先日】2016年6月24日

(33)【優先権主張国】US

(31)【優先権主張番号】62/363,970

(32)【優先日】2016年7月19日

(33)【優先権主張国】US

(31)【優先権主張番号】62/369,447

(32)【優先日】2016年8月1日

(33)【優先権主張国】US

(31)【優先権主張番号】62/378,753

(32)【優先日】2016年8月24日

(33)【優先権主張国】US

(31)【優先権主張番号】62/383,299

(32)【優先日】2016年9月2日

(33)【優先権主張国】US

(31)【優先権主張番号】62/394,091

(32)【優先日】2016年9月13日

(33)【優先権主張国】US

(31)【優先権主張番号】62/400,361

(32)【優先日】2016年9月27日

(33)【優先権主張国】US

(31)【優先権主張番号】62/403,403

(32)【優先日】2016年10月3日

(33)【優先権主張国】US

(31)【優先権主張番号】62/410,721

(32)【優先日】2016年10月20日

(33)【優先権主張国】US

(31)【優先権主張番号】62/416,959

(32)【優先日】2016年11月3日

(33)【優先権主張国】US

(31)【優先権主張番号】62/422,883

(32)【優先日】2016年11月16日

(33)【優先権主張国】US

(31)【優先権主張番号】62/455,444

(32)【優先日】2017年2月6日

(33)【優先権主張国】US

(31)【優先権主張番号】62/458,746

(32)【優先日】2017年2月14日

(33)【優先権主張国】US

(31)【優先権主張番号】62/459,652

(32)【優先日】2017年2月16日

(33)【優先権主張国】US

(73)【特許権者】

【識別番号】520035849

【氏名又は名称】アルゴランド インク．

【氏名又は名称原語表記】Ａｌｇｏｒａｎｄ Ｉｎｃ．

(74)【代理人】

【識別番号】100098626

【弁理士】

【氏名又は名称】黒田 壽

(74)【代理人】

【識別番号】100128691

【弁理士】

【氏名又は名称】中村 弘通

(72)【発明者】

【氏名】ミカリ， シルヴィオ

(72)【発明者】

【氏名】チェン， ジン

【審査官】 行田 悦資

(56)【参考文献】

【文献】 特許第５８５８５０７（ＪＰ，Ｂ２）

【文献】 再公表特許第２０１３／０３１１２４（ＪＰ，Ａ１）

【文献】 特開２０１７−０９１１４９（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ ９／３２

Ｇ０６Ｆ ２１／６４

Ｇ０６Ｑ ２０／３８

(57)【特許請求の範囲】

【請求項1】

ブロックチェーンシステムの第１のエンティティが、前記第１のエンティティが所与のタスクを実行するために選択されていることを、前記ブロックチェーンシステムに関連付けられた他のエンティティに対して証明することを可能にする方法であって、
第１の暗号化手順に従って、ブロックチェーンの既存のブロックのシーケンスに基づいてストリングを生成することと、
秘密鍵を用いて、前記ストリングに一意に関連付けられている証明を計算することと、
第２の暗号化手順に従って、前記証明に基づいて数量を決定することと、
前記数量が所与の閾値を満たすかを判定することと、
前記判定に応じて、前記証明を前記ブロックチェーンに伝播させることと、を含む方法。

【請求項2】

前記第１のエンティティは、前記ブロックチェーンに追加される新しいブロックを提案する潜在的なリーダーを含み、前記タスクは、前記新しいブロックを提案することを含む、請求項１に記載の方法。

【請求項3】

前記第１のエンティティは、前記ブロックチェーンに追加される前記提案された新しいブロックとともに、前記証明を伝播させる、請求項２に記載の方法。

【請求項4】

前記第１のエンティティは、潜在的な検証者を含み、前記タスクは、前記ブロックチェーンに投稿される情報の一部が正しいことを検証することを含む、請求項１乃至３のいずれか１項に記載の方法。

【請求項5】

前記ブロックチェーンに投稿される前記情報の一部は、前記ブロックチェーンに追加される新しいブロックを含む、請求項４に記載の方法。

【請求項6】

前記潜在的な検証者は、前記証明を、前記検証の結果とともに伝播させる、請求項４又は５に記載の方法。

【請求項7】

前記第１のエンティティは潜在的な検証者を含み、前記タスクは、一組のトランザクションを正しく処理すること、を含む、請求項１乃至３のいずれか１項に記載の方法。

【請求項8】

前記トランザクションは、前記ブロックチェーンに投稿される提案されたトランザクションのブロックの一部である、請求項７に記載の方法。

【請求項9】

前記潜在的な検証者は、前記証明を、その検証の結果とともに伝播させる、請求項７又は８に記載の方法。

【請求項10】

前記証明はデジタル署名を含む、請求項１乃至９のいずれか１項に記載の方法。

【請求項11】

前記証明は、前記ブロックチェーンに関連付けられた前記他のエンティティによって検証可能であり、前記秘密鍵は前記他のエンティティには利用できない、請求項１乃至１０のいずれか１項に記載の方法。

【請求項12】

前記第１の暗号化手順は、前記ブロックチェーンの前記既存のブロックのシーケンスの最後のブロックに基づいて導き出したランダムなストリングを決定することを含む、請求項１乃至１１のいずれか１項に記載の方法。

【請求項13】

前記第２の暗号化手順はランダムオラクルを含む、請求項１乃至１２のいずれか１項に記載の方法。

【請求項14】

前記第２の暗号化手順は暗号学的ハッシュ関数を含む、請求項１乃至１３のいずれか１項に記載の方法。

【請求項15】

前記数量が所与の閾値を満たすかを判定することは、前記数量が前記所与の閾値よりも小さいかを判定することを含む、請求項１乃至１４のいずれか１項に記載の方法。

【請求項16】

請求項１乃至１５のいずれか１項に記載の方法を実施する実行可能コードを含む、コンピュータソフトウェア。

【請求項17】

ブロックチェーンシステムの第１のエンティティが、前記第１のエンティティが所与のタスクを実行するために選択されていることを、前記ブロックチェーンシステムに関連付けられた他のエンティティに対して証明することを可能にするシステムであって、
第１の暗号化手順に従って、ブロックチェーンの既存のブロックのシーケンスに基づいてストリングを生成する手段と、
秘密鍵を用いて、前記ストリングに一意に関連付けられている証明を計算する手段と、
第２の暗号化手順に従って、前記証明に基づいて数量を決定する手段と、
前記数量が所与の閾値を満たすかを判定する手段と、
前記判定に応じて、前記証明を前記ブロックチェーンに伝播させる手段と、を備えるシステム。

【発明の詳細な説明】

【技術分野】

【0001】

関連出願の相互参照
本出願は、２０１６年５月４日に出願された「ＡＬＧＯＲＡＮＤ：Ａ ＶＥＲＹ ＥＦＦＩＣＩＥＮＴ ＭＯＮＥＹ ＰＬＡＴＦＯＲＭ（アルゴランド：非常に効率的なマネープラットフォ−ム）」と題する米国仮特許出願第６２／３３１，６５４号、２０１６年５月９日に出願された「ＡＬＧＯＲＡＮＤ：Ａ ＶＥＲＹ ＥＦＦＩＣＩＥＮＴ ＭＯＮＥＹ ＰＬＡＴＦＯＲＭ（アルゴランド：非常に効率的なマネープラットフォーム）」と題する米国仮特許出願第６２／３３３，３４０号、２０１６年５月３１日に出願された「ＡＬＧＯＲＡＮＤ：ＴＨＥ ＥＦＦＩＣＩＥＮＴ ＢＬＯＣＫ ＣＨＡＩＮ（アルゴランド：効率的なブロックチェーン）」と題する米国仮特許出願第６２／３４３，３６９号、２０１６年６月２日に出願された「ＡＬＧＯＲＡＮＤ ＴＨＥ ＥＦＦＩＣＩＥＮＴ ＢＬＯＣＫ ＣＨＡＩＮ（アルゴランド 効率的なブロックチェーン）」と題する米国仮特許出願第６２／３４４，６６７号、２０１６年６月７日に出願された「ＡＬＧＯＲＡＮＤ ＴＨＥ ＥＦＦＩＣＩＥＮＴ ＢＬＯＣＫ ＣＨＡＩＮ（アルゴランド 効率的なブロックチェーン）」と題する米国仮特許出願第６２／３４６，７７５号、２０１６年６月１６日に出願された「ＡＬＧＯＲＡＮＤ ＴＨＥ ＥＦＦＩＣＩＥＮＴ ＡＮＤ ＤＥＭＯＣＲＡＴＩＣ ＬＥＤＧＥＲ（アルゴランド 効率的かつ民主的な台帳）」と題する米国仮特許出願第６２／３５１，０１１号、２０１６年６月２２日に出願された「ＡＬＧＯＲＡＮＤ ＴＨＥ ＥＦＦＩＣＩＥＮＴ ＡＮＤ ＤＥＭＯＣＲＡＴＩＣ ＬＥＤＧＥＲ（アルゴランド 効率的かつ民主的な台帳）」と題する米国仮特許出願第６２／３５３，４８２号、２０１６年６月２４日に出願された「ＡＬＧＯＲＡＮＤ ＴＨＥ ＥＦＦＩＣＩＥＮＴ ＡＮＤ ＤＥＭＯＣＲＡＴＩＣ ＬＥＤＧＥＲ（アルゴランド 効率的かつ民主的な台帳）」と題する米国仮特許出願第６２／３５４，１９５号、２０１６年７月１９日に出願された「ＡＬＧＯＲＡＮＤ ＴＨＥ ＥＦＦＩＣＩＥＮＴ ＡＮＤ ＤＥＭＯＣＲＡＴＩＣ ＬＥＤＧＥＲ（アルゴランド 効率的かつ民主的な台帳）」と題する米国仮特許出願第６２／３６３，９７０号、２０１６年８月１日に出願された「ＡＬＧＯＲＡＮＤ ＴＨＥ ＥＦＦＩＣＩＥＮＴ ＡＮＤ ＤＥＭＯＣＲＡＴＩＣ ＬＥＤＧＥＲ（アルゴランド 効率的かつ民主的な台帳）」と題する米国仮特許出願第６２／３６９，４４７号、２０１６年８月２４日に出願された「ＡＬＧＯＲＡＮＤ ＴＨＥ ＥＦＦＩＣＩＥＮＴ ＰＵＢＬＩＣ ＬＥＤＧＥＲ（アルゴランド 効率的な公開台帳）」と題する米国仮特許出願第６２／３７８，７５３号、２０１６年９月２日に出願された「ＡＬＧＯＲＡＮＤ（アルゴランド）」と題する米国仮特許出願第６２／３８３，２９９号、２０１６年９月１３日に出願された「ＡＬＧＯＲＡＮＤ（アルゴランド）」と題する米国仮特許出願第６２／３９４，０９１号、２０１６年９月２７日に出願された「ＡＬＧＯＲＡＮＤ（アルゴランド）」と題する米国仮特許出願第６２／４００，３６１号、２０１６年１０月３日に出願された「ＡＬＧＯＲＡＮＤ（アルゴランド）」と題する米国仮特許出願第６２／４０３，４０３号、２０１６年１０月２０日に出願された「ＡＬＧＯＲＡＮＤ（アルゴランド）」と題する米国仮特許出願第６２／４１０，７２１号、２０１６年１１月３日に出願された「ＡＬＧＯＲＡＮＤ（アルゴランド）」と題する米国仮特許出願第６２／４１６，９５９号、２０１６年１１月１６日に出願された「ＡＬＧＯＲＡＮＤ（アルゴランド）」と題する米国仮特許出願第６２／４２２，８８３号、２０１７年２月６日に出願された「ＡＬＧＯＲＡＮＤ（アルゴランド）」と題する米国仮特許出願第６２／４５５，４４４号、２０１７年２月１４日に出願された「ＡＬＧＯＲＡＮＤ（アルゴランド）」と題する米国仮特許出願第６２／４５８，７４６号、および、２０１７年２月１６日に出願された「ＡＬＧＯＲＡＮＤ（アルゴランド）」と題する米国仮特許出願第６２／４５９，６５２号に対する優先権を主張し、同出願を参照によりすべて本明細書に組み込む。

【0002】

本出願は、電子トランザクションの分野に関し、より具体的には、トランザクションブロックのシーケンスの内容および電子支払の検証を保護する分散型公開台帳の分野に関する。

【背景技術】

【0003】

発明の背景
公開台帳とは、誰もが読んだり増やしたりすることのできる、改ざん防止データのシーケンスである。共有公開台帳は、現代社会の活動のあり方に革命的な変化を起こしそうである。これは、支払、資産の移転および権利化等のあらゆる種類の従来の取引を、それが発生した正確な順番で保護することができ、また、暗号通貨やスマートコントラクト等の全く新しい取引を可能にする。不正を抑え、仲介機関をなくし、信頼の新たな枠組みの先駆けとなることができる。支払システムおよび暗号通貨を構築するために公開台帳を使用することは、特に重要かつ魅力的である。

【0004】

ビットコイン（Ｂｉｔｃｏｉｎ）等の以前の分散型システムでは、ユーザは、電子署名スキームの公開鍵を有する（また、対応する秘密鍵を知っている）。各鍵を人とみなして、それをユーザと考えると便利である。実際、このシステムの公開鍵は知られているが、その鍵の背後にいるユーザは直接知られていないため、ある程度のプライバシーがユーザに提供される。マネーは各公開鍵に直接関連付けられている。それまでのブロックのシーケンスについて推論することのできる各時点で、各公開鍵は所与の金額のマネーを所有している。ある公開鍵（「支払人」）から別の公開鍵（「受取人」）への支払には、支払人によって電子署名がなされる。同様に、すべてのトランザクションに電子署名がなされる。さらに、有効にするためには、支払は、その時点で支払人が所有するマネーを超えない金額のマネーを移転しなければならない。支払（および、より一般的には、トランザクション）はブロックに整理される。ブロックは、その支払（およびトランザクション）のすべてが集合的に有効であれば有効である。すなわち、ある所与のブロックのいずれかの支払人が支払うマネーの総額は、その時点で当該支払人が利用できるマネーの金額を超えない。ビットコインは非許可型システムである。すなわち、新たなユーザが、自由にシステムに参加することができる。新たなユーザは、（有効な）ブロックで支払の受取人として出現するとき、システムに参加する。したがって、ビットコインでは、ユーザは、複数の鍵を所有することによって、ユーザが享受するいかなるプライバシーを強化してもよく、その鍵を、異なるタイプの支払に使用してもよい。非許可型システムでは、ユーザは、所有している鍵から新たな鍵にマネーをいくらか移転することによって、自分の鍵の数を簡単に増やすことができる。非許可性は重要な性質である。非許可型システムは許可型システムとして運用することもできるが、その逆は必ずしも真ではない。許可型システムでは、新たなユーザは自動的に参加することはできず、承認を受けなければならない。（許可型システムの特殊なケースは、ユーザの集合が固定されているものである。）非許可型システムは、より応用可能で現実的であるが、同時に課題も多い。ビットコインおよび同様な分散型システムでは、ユーザは、メッセージを伝播することによって（つまり、「うわさ話をする」ことによって）通信する。メッセージは、ランダムに選ばれた少数の「隣人」に送られ、その各人が、さらに、そのメッセージを、少数のランダムな隣人に送る、等である。ループを避けるために、一人が同じメッセージを２度送ることはない。分散型（または共有）台帳は、それまでに発生した（有効な）トランザクションのブロックのシーケンスからなる。通例、第１番目のブロック、すなわちジェネシスブロックは、システムの仕様の一部であることによって、共通知識であることが想定されている。共有台帳は、新たなブロックが「生成される」方法が異なる。

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかし、現在実施されているように、公開台帳はその膨大な可能性を実現していない。集中型公開台帳は、すべての信頼を、所与の鍵が行う支払の公開を任意に拒否することができる単一のエンティティに置いており、サイバー攻撃に対して非常に脆弱である。実際、単一の中央集権機関が危険にさらされれば、システム全体も同様となる。ビットコイン等の非集中型システムは、無駄な計算や他の価値あるリソースを作動させるのが非常に高価で、新たなエンティティ（マイナー（採掘者））の手に権力を集中させ、かなりの曖昧さ（フォーク）を受け、レイテンシが長くスループットが小さい。他の非集中型の実施態様は、許可型であるか、もしくは不正を働くユーザを罰する能力を呈するか、またはその両方であり、および／または、ユーザの何らかの部分集合が十分に長い期間にわたってサイバー攻撃を受け付けないことを確信している。

【0006】

このように、中央集権機関に頼る必要なく、公知の非集中型アプローチの非効率性および危険な状態に悩まされない公開台帳および電子マネーシステムを提供することが望ましい。

【0007】

発明の概要
本明細書に説明されるシステムによると、トランザクションがブロックに整理されるトランザクションシステムにおいて、エンティティは、前のブロックＢ^０，．．．，Ｂ^ｒ−１のシーケンスに関連して、有効なトランザクションの新たなブロックＢ^ｒを構築するために、エンティティに前のブロックから数量Ｑを求めさせ、Ｑとエンティティとに一意に関連付けられているストリングＳを計算するためにエンティティに秘密鍵を使用させ、エンティティに、Ｓから、Ｓ自体、Ｓの関数およびＳのハッシュ値のうちの少なくとも１つである数量Ｔを計算させ、Ｔが所与の性質を有しているかどうかをエンティティに判断させ、Ｔが所与の性質を有している場合には、エンティティに、Ｂ^ｒに電子署名させて、Ｓおよび電子署名済みバージョンのＢ^ｒを利用できるようにさせる。秘密鍵は、エンティティの公開鍵に対応する秘密署名鍵であってもよく、Ｓは、エンティティによるＱの電子署名であってもよい。Ｔは、数のバイナリ展開であってもよく、所与の数ｐ未満である場合に当該性質を満たすことができる。Ｓは、Ｂ^ｒからＳを推論できるようにすることによって利用できるようにされてもよい。各ユーザは、トランザクションシステムに残高を有することがあり、各ユーザの残高に応じて各ユーザについてのｐが変動することがある。

【0008】

さらに本明細書に説明されるシステムによると、トランザクションがブロックに整理されて、ブロックが電子署名の集合によって承認されるトランザクションシステムにおいて、エンティティは、新たなトランザクションのブロックＢ^ｒの承認を、前のブロックのシーケンスをＢ^０，．．．，Ｂ^ｒ−１とすると、エンティティに前のブロックから数量Ｑを求めさせて、エンティティにＱの電子署名Ｓを計算させ、エンティティに、Ｓから、Ｓ自体、Ｓの関数およびＳのハッシュ値のうちの少なくとも１つである数量Ｔを計算させ、Ｔが所与の性質を有しているかどうかをエンティティに判断させ、Ｔが所与の性質を有している場合には、エンティティに、他者がＳを利用できるようにさせることによって行う。Ｔは、数のバイナリ展開であってもよく、所定の閾値ｐ未満である場合に所与の性質を満たし、エンティティは、Ｓも利用できるようにすることができる。エンティティはトランザクションシステムに残高を有することがあり、ｐはエンティティの残高に応じて変動してもよい。エンティティは、少なくとも１つの他のエンティティの授権代理人として行為してもよい。ｐの値は、エンティティの残高および／またはエンティティの残高と他のエンティティの残高との組み合わせに依存してもよい。他のユーザは、ユーザに電子署名の権限を与える。エンティティは、Ｂ^ｒがエンティティの所与の集合によって実行されたビザンチン合意プロトコルの出力である場合に限り、Ｂ^ｒに電子署名することができる。エンティティのうちの特定の１つの電子署名が、前のブロックによって求められた、所与の性質を満たす数量を有する場合、エンティティのうちのその特定の１つは、エンティティの所与の集合に属すことができる。

【0009】

さらに本明細書に説明されるシステムによると、生成されて電子署名されたブロックのシーケンスＢ^０，．．．，Ｂ^ｒ−１にトランザクションが整理され、各ブロックＢ^ｒが、保護されるべき何らかの情報ＩＮＦＯ^ｒを含むとともに保護情報Ｓ^ｒを含むトランザクションシステムにおいて、新たなブロックＢ^ｉが生成される度に、バイナリツリーのリーフｉにＢ^ｉの情報ＩＮＦＯ^ｉを挿入することと、マークル木Ｔ_ｉを得るために前記バイナリツリーをマークル化することと、Ｔ_ｉのルートの内容Ｒ_ｉおよびＴ_ｉのリーフｉの内容の認証経路を含むために、ブロックＢ^ｉの前記保護情報Ｓ^ｉを判定することと、によって、ブロックの内容に対して、検出不能な改変がなされないようにする。直前のブロックＢ^ｉ１のＳ^ｉ１の保護情報は格納されてもよく、保護情報Ｓ^ｉは、所定のシーケンスで、Ｓ^ｉ１の値、ＩＮＦＯ^ｉのハッシュおよび所与の値のうちの少なくとも１つを含む集合から値をハッシュ化することによって得ることができる。第１のエンティティは、ブロックＢ^ｚの保護情報Ｓ^ｚを有する第２のエンティティにマークル木Ｔ^ｚでＩＮＦＯ^ｉの認証経路を受信させることによって、ブロックＢ^ｚの直前のブロックＢ^ｒの情報ＩＮＦＯ^ｒが真正であることを前記第２のエンティティに対して証明することができる。

【0010】

さらに本明細書で説明されるシステムによると、ユーザが残高を有し、電子署名された支払を介して互いにマネーを移転し、ユーザの初期集合の残高が既知である支払システムにおいて、第１番目のユーザ支払セットが第１番目の電子署名済みブロックＢ^１に収集され、第２番目のユーザ支払セットが第２番目の電子署名済みブロックＢ^２に収集されて、Ｂ^１の後に利用できるようになる、等の場合、エンティティＥが、ユーザｉが第ｒ番目のブロックＢ^ｒの時点ですべての支払を行いかつ受領した後でユーザｉが利用できる残高ａｒｉに関し、ブロックＢ^０，．．．，Ｂ^ｒ−１のシーケンスに明記される情報から推論可能な情報から、すべてのユーザｘについて金額ａ_ｘを計算し、利用できるようにされている第ｒ番目のブロックＢ^ｒの時点でのシステム内のユーザの数ｎを計算し、ｘが所与の順番におけるｉ番目のユーザの場合、各ユーザｘについて、ユーザｘを所与の順番に並べ、少なくともｎ個のリーフを有するバイナリ木Ｔのリーフｉにａ_ｘを格納し、木Ｔのマークル値を判定して、Ｔのルートで格納される値Ｒを計算し、Ｒを認証する電子署名Ｓを生成し、リーフｌとＴのルートとの間の経路のノードの兄弟であるすべてのノードの内容を提供してＴの任意のリーフｉの内容の証明としてＳを利用できるようにすることによって、検証済み情報を提供する。

【0011】

さらに本明細書で説明されるシステムによると、ユーザが残高を有し、電子署名された支払を介して互いにマネーを移転し、ユーザの初期集合の残高が既知である支払システムにおいて、第１番目のユーザ支払セットが第１番目の電子署名済みブロックＢ^１に収集され、第２番目のユーザ支払セットが第２番目の電子署名済みブロックＢ^２に収集されて、Ｂ^１の後に利用できるようになる、等の場合、エンティティの集合Ｅが、ユーザｉが第ｒ番目のブロックＢ^ｒの時点ですべての支払を行いかつ受領した後でユーザｉが利用できる残高ａ_ｉを検証することを可能にする情報を、最初のｒ個のブロックの支払後の各ユーザｉの残高を判定し、各ユーザの残高がＴ^ｒの少なくとも１つのノードの保護されるべき値である場合、マークル平衡探索木Ｔ^ｒを生成し、エンティティの集合の各メンバーに、Ｔ^ｒのルートの保護値ｈｖ_εを含む情報の電子署名を生成させ、ｈｖ_εの電子署名を提供して前記最初のｒ個の支払後のユーザのうちの少なくとも１名の残高を証明することによって提供する。エンティティの集合は、１つのエンティティから構成されてもよい。エンティティの集合は、その電子署名の値に基づいて選択されてもよい。

【0012】

さらに本明細書で説明されるシステムによると、ユーザが残高を有し、電子署名された支払を介して互いにマネーを移転し、ユーザの初期集合の残高が既知である支払システムにおいて、第１番目のユーザ支払セットが第１番目の電子署名済みブロックＢ^１に収集され、第２番目のユーザ支払セットが第２番目の電子署名済みブロックＢ^２に収集されて、Ｂ^１の後に利用できるようになる、等の場合、エンティティＥが、ユーザｉが第ｒ番目のブロックＢ^ｒの時点ですべての支払を行いかつ受領した後でユーザｉが利用できる残高ａ_ｉを、各ユーザの残高がＴ^ｒの少なくとも１つのノードの情報値であるマークル平衡探索木Ｔ^ｒのルートの保護情報ｈｖ_εについて、エンティティの集合のメンバーの電子署名を取得し、ユーザｉについて、認証経路、およびＴ^ｒで検索するために所与の検索アルゴリズムを処理するすべてのノードの内容を計算し、別のエンティティがｉの残高を検証することを可能にするために、認証経路と内容および電子署名を提供することによって証明する。

【0013】

さらに本明細書に説明されるシステムによると、非一時的コンピュータ可読媒体に提供されるコンピュータソフトウェアは、本明細書に説明される方法のいずれかを実装する実行可能コードを含む。

【0014】

共有公開台帳はトランザクションのブロックの共通のシーケンスを生成するべきであり、その内容はセキュアであり、容易に証明することができる。したがって、本発明は、ブロックのシーケンス（ブロックツリー）の内容を保護する新規な方法で、その内容も容易に証明することが可能なブロックの共通シーケンス、アルゴランドを生成する新規な方法を提供する。

【0015】

アルゴランド
高次で、Ｂ^１，．．．，Ｂ^ｒ−１をアルゴランドの最初のｒ−１個のブロックとすると、新たなブロックＢ^ｒは次の２つの（メガ）ステップにより生成される。
・ブロックリーダーであるユーザｌ^ｒはランダムに選択されて信用されており、そのタスクは、有効なトランザクションの新たなブロックＢ^ｒをアセンブルし、これを認証し、ネットワークを通じてこれを伝播することである。誠実なリーダーｌ^ｒによって提案される場合、ブロックＢ^ｒは、ｌ^ｒが見る新たな有効トランザクションのすべてを含む。
・集合的に「委員会」と見なされるユーザの部分集合Ｃ^ｒは、ランダムに選択されて、Ｃ^ｒには、ｌ^ｒによって提案されたブロックのコンセンサスを取り、これを認証し、この認証をネットワークに伝播するタスクが課せられる。ブロックは、それがＣ^Ｒの証明済みメンバーのうちの少なくとも所与の数によって適切に認定される場合、つまり、電子署名される場合に限り、公開台帳に記入される。

【0016】

ここで、公開鍵がどのように選択されるか、Ｃ^ｒがコンセンサスをどのように取るか、そして、ブロックを認定するために必要な電子署名の所与の数がどのように選ばれるかを詳細に説明する。

【0017】

好ましくは、公開鍵は、秘密暗号くじを介して、ブロックＢ^ｒのリーダーまたは委員会メンバーとして選択される。本質的に、ユーザは、自分自身のくじ引きを実行することによって自分を選択するので、（ａ）当該ユーザは、（たとえ自分が望んだとしても）いかさまをして、自分が思ったよりも高い確率で自分を選択することはできず、（ｂ）誰でも調べることができる、選択されたという証明Ｐ_ｉを取得し、（ｃ）当該ユーザは、自分が選択されたことを知る唯一の者である（証明Ｐ_ｉを提示することによって、そうであることを他者に明らかにすると決めるまで）。

【0018】

ユーザが所有する公開鍵が選択される確率を高めるために、ユーザは、自分が所有する公開鍵の数を増やす誘惑にかられるかもしれないが（いわゆるシビル攻撃）、これは、既に述べたように非許可型システムでは非常に簡単に行える。このような攻撃を防止するために、選ばれる秘密暗号くじは、所与の公開鍵が選択される確率を、当該公開鍵が所有するマネーに比例させることを確実にする。このように、ユーザが、自分のマネー全部を単一の鍵に関連付けておくか、またはそれをいくつかの鍵に分散させるかに関係なく、当該ユーザの公開鍵のうちの１つが選択される確率は同じである。（具体的には、ユーザが、例えば、１００万ドルを単一の鍵に所有していても、または１ドルずつの１００万個の鍵を所有していても、選択される可能性は同じである。）

【0019】

より正確には、ユーザが所有する公開鍵ｐｋが、リーダーまたは委員会メンバーとして選択されるかどうかを判定するために、ユーザは、以前のすべてのブロックから導き出せるいくつかの情報に電子署名する（対応する秘密鍵ｓｋを介して）。好適な実施形態において、ユーザは、実際には、最後のブロックＢ^ｒ−１から導き出せる数量Ｑ^ｒに電子署名し、それをハッシュ化し、ハッシュが所与の（確率）閾値ｐ（これは、ユーザの公開鍵が所有するマネーの金額に依存する）よりも小さいかどうかをチェックする。この場合には、ユーザのこの電子署名は、公開鍵ｐｋが選択された証明として使用することができる。実際、誰もが、ユーザの署名を、チェックし、ハッシュ化し、所与の閾値ｐと比較することができる。

【0020】

選択閾値ｐを変えることによって、システムは、それぞれの役割について何人のユーザを選択するかを制御する。まず、委員会Ｃ^ｒの公開鍵を選択することを考えてみよう。例えば、システム内に、それぞれ同じマネーの金額を所有する１００万個の鍵があり、Ｃ^Ｒに、ほぼ１千人のメンバーを持たせたいと仮定する。すると、ｐ＝１／１，０００を共通の選択閾値にするように選ぶことができる。事実、署名のハッシュは０から１までのランダムな数のバイナリ展開としてみなすことができ、そのため、１／１，０００以下になり、確率はｐ＝１／１，０００に等しい。このように、選択されるユーザの予想総数は１００万／１千＝１／１千になる。後で述べるように、異なる公開鍵が異なるマネーの金額を所有するときもなお、所与の数の委員会メンバーを選択することを実現することができる。

【0021】

ここで、ｒ番目のブロックについて単一のリーダーｌ^ｒを選択することを考えてみよう。そして、システムは、まず、（例えば１００個の）公開鍵を選択するために秘密暗号くじを使用してもよく、次に、リーダーを（ハッシュ化された）証明がより小さい公開鍵にする。より正確には、簡潔さのみのために、選択される鍵がｐｋ_１，．．．，ｐｋ_１００であり、それに対応する選択の証明がＰ_１，．．．，Ｐ_１００であると仮定する。すると、選択される各鍵の所有者ｉは、新たな有効トランザクションの自分自身のブロックＢ_ｉ^ｒをアセンブルし、適切に認証されたブロックＢ_ｉ^ｒとともにＰ_ｉを伝播する。すると、リーダーｌ^ｒは、その証明が辞書式順序に小さい鍵になり、ブロックＢ^ｒは、ｌ^ｒによって提案されるブロックであるとして委員会Ｃ^ｒがコンセンサスを取るブロックになる。

【0022】

ブロックリーダーを選択するために秘密暗号くじを使用する大きな利点は、システムの活動を監視して自らが望む任意のユーザをうまく支配できる敵対者が、リーダーｌ^ｒを容易に腐敗させることができないため、ｌ^ｒが提案するブロックを選べるようになることである。事実、１００名の潜在的リーダーが、自分自身のくじ引きを実行することによって秘密裡に自分自身を選択する場合。したがって、敵対者は、どれが（予想される）１００個の公開鍵になるか分からない。しかし、各ｉが自分のクレデンシャルおよび提案されるブロックを伝播すると、敵対者はすぐにリーダーｌ^ｒが誰であるかを見つけ出すことができる。しかし、その時点では、リーダーを腐敗させる利点はほとんどない。当該リーダーのブロックおよび証明はネットワークを通じて急速に伝播しており、止めることができない。（国家でさえ、例えば、ウィキリークスが送ったメッセージを元に戻すことはできなかった。）それでも敵対者には最後の１つの手段が利用できるかもしれない。すなわち、敵対者はｌ^ｒを腐敗させるかもしれず、当該ｌ^ｒを支配してしまえば、異なるブロックをアセンブリし、認証し、伝播することを当該ｌ^ｒに強いる。しかし、敵対者には、この機会すら閉ざされる。実際、ユーザは、自分の支払およびトランザクションを認証し、（ユーザが選択される場合に）自分の選択の証明を生成するために使用する秘密署名鍵を保管する。しかし、ユーザがリーダーとして選択される場合、ユーザは、提案するブロックを認証するために、異なる一時的な鍵のセットを使用する。より正確には、ユーザは、（例えば１００万個の）公開・秘密鍵のペア（ｐｋ_ｉ^ｒ，ｓｋ_ｉ^ｒ）のセットを事前に選択し、まだ使用するかもしれない各秘密鍵ｓｋ_ｉ^ｒを安全に保管する。本発明のシステムは、提案されるｒ番目のブロックに署名できるのがどのｉかに対してｐｋ_ｉ^ｒが唯一可能な公開鍵であることを誰もが認識することができ、ｐｋ_ｉ^ｒに関連するｉの電子署名を誰もが検証することができるが、対応する秘密鍵ｓｋ_ｉ^ｒを知っている唯一の者が当該ｉであるため、このような署名を生成することができるのはｉだけであることを保証する。ｉが誠実で、ブロックＢ_ｉ^ｒを提案するために選択される場合、ｉは、自分の公開鍵ペア（ｐｋ_ｉ^ｒ，ｓｋ_ｉ^ｒ）に関連してブロックＢ_ｉ^ｒに電子署名し、直後にｓｋ_ｉ^ｒを破壊する。このように、万が一敵対者がｉを腐敗させるのに成功したとしても、敵対者は、今や腐敗させられているｉに第２の異なるブロックを認証させることを可能にするために必要な秘密鍵ｓｋ_ｉ^ｒを見つけられない。委員会メンバーについても同じ利点が存在する。ここで、リーダーｌ^ｒによって伝播されるブロックに関して委員会Ｃ^ｒのメンバーがどのようにコンセンサスを取るかを述べる。

【0023】

新たに提案されるブロックに関してＣ^ｒがコンセンサスを取るための好適な方法は、ビザンチン合意（ＢＡ）による。ＢＡプロトコルは、それぞれ自分自身の値から始まる一定のプレーヤ集合が共通の値に関してコンセンサスを取ることを可能にする通信プロトコルである。プレーヤは、当該プレーヤの規定された命令のすべてに従う場合には誠実で、そうでない場合には悪意である。悪意のプレーヤは、単一のエンティティである敵対者によって支配され、完璧に協調させることができる。プレーヤのうちの少数（例えば１／３）だけが悪意である限り、ＢＡプロトコルは次の２つの基本的な性質を満たす。（１）誠実なプレーヤ全員が同じ値を出力し、かつ、（２）プレーヤ全員が同じ出力値で開始する場合、誠実なプレーヤ全員がその値を出力する。

【0024】

非許可型分散型台帳システムでＢＡを使用するにはいくつかの課題がある。主なものは、ＢＡプロトコルが非常に遅いことである。（通例、ＢＡプロトコルには、たかだか数十人のユーザしか関われない。）アルゴランドは、この課題を、最悪の場合でも、予想で９ステップしか踏まない新規なプロトコルによって克服する。さらに、これらのステップのそれぞれで、参加するプレーヤは単一の短いメッセージを伝播するだけでよい！

【0025】

しかし、別の課題も残っている。新たなブロックに関してビザンチン合意に達するためには、２つ以上のステップを踏むため、（委員会メンバーは秘密暗号くじを介して自分を選択するので）委員会メンバーが自分の最初のメッセージの送信を開始する前に敵対者が委員会メンバーを攻撃することはできないかもしれないが、当該委員会メンバーがＢＡプロトコルで自分の最初のメッセージを伝播した後であれば、当該敵対者は委員会Ｃ^ｒのメンバー全員を腐敗させることができるであろう。実際、当該委員会メンバーは、自分の最初のメッセージを使って、委員会に所属していることの証明も伝播する。幸いなことに、本発明によるコンセンサスプロトコルは、プレーヤ代替性であるという追加の新規な利点を享受する。すなわち、プロトコルの予想される少数のステップのそれぞれは、異なるプレーヤの集合によって実行することができ、当該プレーヤらは秘密情報または隠れた内部状態を、以前のいずれかのステップを行うために選択されたプレーヤと一切共有する必要がない。実際、アルゴランドのコンセンサスプロトコルは、ステートレスなビザンチン合意（ＢＡ）プロトコルである。したがって、新たなＢＡプロトコルの各ステップを実行するために、異なるユーザの集合を、秘密暗号くじを介して、選択することができる。

【0026】

最後の課題が１つ残っている。述べてきたように、公開鍵は、ブロックＢの生成において役割を有するために、既に公開で知られている前のブロックＢ^ｒ−１の一部であることが好ましい数量Ｑ^ｒに電子署名し、その署名が、特殊な性質、すなわち、そのハッシュが所与の選択閾値未満でなければならないこと、を満たしているかどうかを検証することによって、自らを選択する。問題は、アルゴランドが非許可型であるため、敵対者は、Ｑ^ｒの署名が所望の性質を有するものを見つけるまで、多くの公開・秘密鍵ペアを生成し続ける場合があることである。このような鍵を見つけると、敵対者は、自分の鍵のうちの１つがブロックＢ^ｒの選択を担当するリーダーであることを保証するために、または、当該敵対者がＢＡの性質を壊すことを可能にする、当該敵対者の支配する鍵を委員会Ｃ^ｒのほとんどが含むことを保証するために、その鍵をシステムに持ち込むかもしれない。この可能性を防ぐために、アルゴランドは２本柱の戦略に依拠する。まず、新たに導入された鍵には、ブロックリーダーまたは委員会メンバーとしてすぐに選択される資格を持たせない。むしろ、ブロックＢ^ｒの生成で役割を持つために、鍵ｐｋはしばらくそこに存在していなければならない。より正確には、当該鍵は、ブロックＢ^ｒ−ｋまたはそれより古いブロックで最初に出現しなければならず、ここでｋは十分に大きい整数である。（例えば、我々の詳細な実施形態のそれぞれにおいて、マネーの少なくとも８０％が誠実者の手元にある場合、ｋ＝７０で十分である。）次に、Ｑ^ｒを帰納的に、すなわち、前の数量Ｑ^ｒ−１の観点から定義する。より正確には、我々の好適な実施形態において、Ｑ^ｒは、ペア（Ｑ^ｒ−１，ｒ）のブロックＢ^ｒのリーダーのハッシュ電子署名である。この電子署名は、実際には、ブロックＢ^ｒ−１の明示的な部分にされる。これが機能する理由は次の通りである。敵対者が、あるブロックＢ^ｒ−ｋで、自分が支配する公開鍵からｐｋに支払を行うことによって、システムに新たな鍵ｐｋを持ち込むことにした場合、ｐｋが役割を果たすことができる最も早いブロックはＢ^ｒである。しかし、Ｂ^ｒより前のｋ個のブロックについては、ランダムに推測するよりも有意によくなるようなＱ^ｒ−１を誰も予測することはできないことを証明する。そのため敵対者は、いかなる戦略的な方法でもｐｋを選ぶことができない！

【0027】

ブロックツリー（およびステータスツリー）
ブロックチェーンは、そのブロックの改ざん防止性を保証するが、そのブロックでの動作（例、所与の支払が所与のブロックの一部かどうかを証明すること）をかなり複雑で手間がかかるものにもする。共有公開台帳はブロックチェーンの類義語ではなく、実際、ブロックを構築するためのより優れた方法から利益を得る。アルゴランドは従来のブロックチェーンを用いて機能するが、情報のブロックの新たな構築方法、ブロックツリーも用いて機能する。この発明による方法には、独自の重要性があり得る。

【0028】

ブロックツリーの主な利点は、ブロックチェーン全体を提示する必要なく、過去の個々のブロックの内容を効率的に証明できることである。

【0029】

我々は、マークル木の新規な適用によりブロックツリーを構築する。

【0030】

また、支払が公開鍵から別の公開鍵にマネーを移転し、支払がブロックのシーケンスに整理される分散型支払システムの場合、我々は、支払の最初のｒ個のブロックの後で所与の鍵が利用できる残高（口座にあるマネー）が何であるかを証明する、効率的な方法を提供する。この方法をステータスツリーと呼ぶ。

【図面の簡単な説明】

【0031】

本明細書で説明するシステムの実施形態を、以下簡潔に説明する図面の図に従って、より詳細に説明する。

【0032】

【図1】図１は、本明細書で説明するシステムの実施形態による、ネットワークおよびコンピューティングステーションの模式図である。

【図2】図２は、トランザクションの新たなブロックが提案される場合の、アルゴランドシステムの第１ステップの模式的かつ概念的な概略である。

【図3】図３は、アルゴランドシステムの新たなブロックの合意および認定の模式的かつ概念的な概略である。

【図4】図４は、マークル木およびそのノードのうちの１つに含まれる値の認証経路を示す模式図である。

【図5】図５は、ブロックツリー内に構築される第１番目のブロックに対応するマークル木を示す模式図である。

【図6】図６は、ブロックツリー内の第１番目のブロックの保護情報を構築するために十分な値を示す模式図である。

【発明を実施するための形態】

【0033】

様々な実施形態の詳細な説明
本明細書で説明するシステムは、エンティティがトランザクション情報を検証および／または伝播する計算を行うことに対して単独で責任を負わないように、トランザクションの検証および伝播を分散させるためのメカニズムを提供する。代わりに、参加エンティティのそれぞれは、検証可能かつ信頼性をもってトランザクションを伝播するために行われる計算を共有する。

【0034】

図１を参照すると、図は、インターネット等のデータネットワーク２４に接続されている複数のコンピューティングワークステーション２２ａ〜２２ｃを示している。本明細書の他の箇所でより詳細に説明するように、ワークステーション２２ａ〜２２ｃはネットワーク２４を介して互いに通信し、分散型トランザクションの伝播および検証を提供する。ワークステーション２２ａ〜２２ｃが互いに通信可能であることを条件に、システムは、本明細書で説明する機能を提供することのできる任意の数のワークステーションに対応することができる。本明細書の他の箇所でより詳細に説明するように、ワークステーション２２ａ〜２２ｃのそれぞれは、トランザクションをシステム内の他のワークステーションのすべてに伝播し、トランザクションを検証するための処理を独立して行うことができる。

【0035】

図２は、アルゴランドシステムのラウンドｒの最初のステップを図式的かつ概念的にまとめたものであり、少数の選択されたユーザのそれぞれが、ｒ番目のブロックについて自分自身の候補を提案する。具体的には、ステップは、システムのユーザａ，．．．，ｚが個々に秘密暗号くじプロセスを経ることから始まり、ブロックの提案にどのユーザが選択され、選択された各ユーザがブロックを生成する権利を与えられていることを証明するクレデンシャルを当該ユーザがどこで秘密に計算するかを決定する。図２の実施例では、ユーザｂ、ｄおよびｈのみがブロックの提案に選択され、それぞれの計算されたクレデンシャルはσ_ｂ^ｒ，１，σ_ｄ^ｒ，ａ１およびσ_ｈ^ｒ，１である。選択された各ユーザｉは自分自身の提案ブロックＢ_ｉ^ｒをアセンブルし、それに一時的に署名し（すなわち、後で説明するように、一時的な鍵を使ってそれに電子署名する）、自分自身のクレデンシャルと一緒にネットワークに伝播する。ラウンドのリーダーは、クレデンシャルが最も小さいハッシュを有する、選択されたユーザである。図は、リーダーがユーザｄであることを示している。したがって、ユーザｄの提案ブロックＢ_ｄ^ｒは、バイナリ合意プロトコルへの入力として与えられるものである。

【0036】

図３は、合意に達し、提案ブロックを正式なｒ番目のブロックＢ^ｒとして認定するためのアルゴランドのプロセスを図式的かつ概念的にまとめたものである。アルゴランドの最初のステップは新たなブロックを提案するステップからなるため、このプロセスは第２ステップから始まる。このステップは、実際には、アルゴランドの好適なビザンチン合意プロトコルＢＡ^★の最初のステップと同時に起こる。このプロトコルの各ステップは、秘密暗号くじによってランダムに選択されたプレーヤからなる、異なる「委員会」によって実行される（図には示していない）。したがって、各ステップを行うために選択されるユーザは全く異なることがある。ＢＡ^★のステップの数も異なることがある。図３は、アルゴランドの２からアルゴランドのステップ８までの７つのステップを含むＢＡ^★の実行を示す。図３の実施例では、ステップ２を行うために選択されるユーザはａ，ｅおよびｑである。各ユーザｉ∈｛ａ，ｅ，ｑ｝はネットワークに自分のクレデンシャルσ_ｉ^ｒ，２を伝播するが、これは、ｉがアルゴランドのラウンドｒのステップ２でメッセージを送る権利を実際に与えられていることを証明するものであり、当該ユーザｉの、このステップに適切なメッセージｍ_ｉ^ｒ，ｓは一時的に署名される。ステップ３〜７は図示していない。最後のステップ８で、図は、ラウンドｒの正式なブロックとしてＢ^ｒに関して合意に達した、対応する選択されたユーザｂ，ｆおよびｘがブロックＢ^ｒの自分自身の一時的な署名（合わせて、これらの署名がＢ^ｒを認定する）および自分自身のクレデンシャルを伝播して、ステップ８で行為する権利が自分に与えられていることを証明することを示している。

【0037】

図４は、マークル木およびその認証経路のうちの１つを模式的に示す。具体的には、図４．Ａは、深さ３の完全なマークル木を示す。ｘが長さ≦３のバイナリストリングによって表される場合、各ノードｘは、値ｖ_ｘを格納する。ｘが長さ≦２を有する場合、ｖ_ｘ＝Ｈ（ｖ_ｘ０，ｖ_ｘ１）である。図４．ａのマークル木について、図４．Ｂは値ｖ_０１０の認証経路を示す。

【0038】

図５は、深さ３の完全なバイナリツリー内で構築される、ブロックツリーで構築される最初の８個のブロックに対応するマークル木を模式的に示す。図５．ｉにおいて、整数によって記されるノードはマークル木Ｔ_ｉに属す。ｉ（それぞれ、ｉ）によって記されるノードの内容は一時的なものである（それぞれ、永久的）。

【0039】

具体性のためにのみ、我々の説明において、すべてのトランザクションが支払であると仮定し、アルゴランドを金融プラットフォームとしてのみ説明することに専念する。当業者は、アルゴランドがあらゆる種類のトランザクションも同様に扱うことができることを認識するであろう。

【0040】

アルゴランドは非常にフレキシブルな設計を有し、多様な、ただし関係する方法で実施することができる。我々はそのフレキシビリティを、その一般的な設計の２つの可能な実施形態を詳述することによって例示する。かかる例示から、当業者は、あらゆる種類の他の実施態様も同様に導き出す方法を理解することができる。

【0041】

本発明の理解を助け、その様々な部分の内部相互参照を可能にするために、その提示を、番号を振って見出しを付けたセクションに分けて整理する。最初のセクションは、詳細な実施形態のどちらにも共通である。

【0042】

１ 序論
マネーはますます仮想になってきている。現在、合衆国ドルの約８０％は台帳記入としてしか存在していないと見積もられている。他の金融商品もそれに倣ってきている。

【0043】

起こり得るすべてのサイバー攻撃を受けず、普遍的に信頼のおける中央エンティティに頼ることができる理想的な社会では、マネーおよび他の金融取引は電子だけにできるであろう。残念ながら、そのような社会に我々は生きていない。したがって、ビットコイン等の非集中型暗号通貨およびイーサリアム（Ｅｔｈｅｒｅｕｍ）等の「スマートコントラクト」システムが提案されている。これらのシステムの核となるのが、支払およびコントラクトといった多様なトランザクションのシーケンスを、改ざん防止して信頼性をもって記録する共有台帳である。このような改ざん防止性を保証するために選ばれる技術がブロックチェーンである。ブロックチェーンは、暗号通貨、金融アプリケーション、およびインターネット・オブ・シングス等のアプリケーションの背後にある。ブロックチェーンベースの台帳を管理するためのいくつかの手法、すなわち、プルーフ・オブ・ワーク、プルーフ・オブ・ステーク、プラクティカル・ビザンチン・フォールト・トレランス、またはいくつかの組み合わせ、が提案されている。

【0044】

しかし、現在、台帳は管理するのに非効率的であることがある。例えば、ビットコインのプルーフ・オブ・ワークのアプローチは膨大な量の計算を必要とし、無駄が多く、スケーラビリティが低い。加えて、事実上、ごく少数の手中に権力を集中させる。

【0045】

そのため、我々は、現在の非集中型実施態様の非効率性と弱点とがない、信頼のおける侵すことのできない権限機関によって運営される集中型システムの便宜および効率を提供する、公開台帳を実施する新たな方法を提案したい。それまでに構築された台帳に基づいて、有効なトランザクションの次のブロックの構築を担当する検証者の集合を選ぶためにアルゴリズム的ランダムネス（ａｌｇｏｒｉｔｈｍｉｃ ｒａｎｄｏｍｎｅｓｓ）を使用するので、我々は、我々のアプローチをアルゴランド（Ａｌｇｏｒａｎｄ）と呼ぶ。当然、我々は、このような選択がおそらく最後の最後まで改ざんや不測の事態を免れることを保証するが、最終的には例外なく不正がないこともまた保証する。

【0046】

アルゴランドのアプローチは、原則的にも事実上でもユーザの異なるクラス（ビットコインの「マイナー」および「普通ユーザ」として）を生み出さないという意味で、極めて民主的である。アルゴランドでは、「すべての権力が全ユーザの集合にある」。

【0047】

アルゴランドの、ある注目すべき特性は、その取引履歴がごく小さい確率でしか分岐しないことである（例、１兆分の１、すなわち、またはさらに１０^−１８）。アルゴランドは、いくつかの法律上および政治上の問題にも対処することができる。

【0048】

アルゴランドのアプローチは、ブロックチェーンに適用され、より一般的には、ブロックの改ざん防止シーケンスを生成するあらゆる方法に適用される。我々は、実際に、ブロックチェーンに代わる、またブロックチェーンよりも効率的な、独自の重要性があり得る新たな方法を提案する。

【0049】

１．１ ビットコインの仮定および技術的な課題
ビットコインは非常に巧妙なシステムであり、後続の研究を大量に呼び起こしている。しかし、課題もある。その基になっている仮定と技術的な課題とを要約してみよう。これは実際に、ビットコイン等、プルーフ・オブ・ワークに基づく基本的にすべての暗号通貨に共通するものである。

【0050】

この要約のためには、ビットコインでは、ユーザは電子署名スキームの複数の公開鍵を所有することができ、マネーは公開鍵に関連付けられており、支払は、ある公開鍵から別の公開鍵へ何らかの金額のマネーを移転する電子署名であることを思い出せば十分である。本質的に、ビットコインは処理されるすべての支払を、それぞれ複数の支払からなるブロックのチェーンＢ_１，Ｂ_２，．．．，に整理するので、任意の順番で選ばれて、その後に任意の順番でＢ_２の支払がくる、等、Ｂ_１のすべての支払が、有効な支払のシステムを構成する。各ブロックは、平均で、１０分ごとに生成される。

【0051】

このブロックのシーケンスは、単一のブロックにおけるものであれ、いかなる変化も後続のすべてのブロックに行き渡らせ、支払履歴のあらゆる改変を発見しやすくすることを確実にするので、チェーンである。（後で述べるように、これは、各ブロックに前のブロックの暗号学的ハッシュを含むことによって実現される。）このようなブロック構造は、ブロックチェーンと呼ばれる。

【0052】

仮定：計算力の誠実な過半数
ビットコインは、悪意のエンティティ（および協調的な悪意のエンティティの連合体）が、ブロックの生成に充てられる計算能力の過半数を支配しないと仮定している。このようなエンティティは、実際には、ブロックチェーンを変更することができ、そのため、好きなように、支払の履歴を書き換えることができるであろう。特に、支払

【数1】

[この文献は図面を表示できません]

に、支払われる利益を得させた後、

【数2】

[この文献は図面を表示できません]

の一切の痕跡を「消去する」ことができるであろう。

【0053】

技術的課題１：計算の無駄な消費
ブロック生成に対するビットコインのプルーフ・オブ・ワークアプローチには、桁外れの量の計算が必要である。現在、システムにわずか数十万の公開鍵しかないが、上位５００の最もパワフルなスーパーコンピュータは、ビットコインのプレーヤから要求される総計算力のわずか１２．８％にしか対応できていない。万が一システムに参加するユーザが大幅に増えると、この計算の量は大きく増大するであろう。

【0054】

技術的課題２：権力の集中
現在、途方もない量の計算が必要とされているため、普通のデスクトップ（ましてや携帯電話）を使用して新たなブロックを生成しようとするユーザはマネーを失うと考える。実際、普通のコンピュータを使用して新たなブロックを計算するためには、計算を行うために必要な電力の予想コストは、期待される報酬を超える。特別に構築したコンピュータのプール（「新たなブロックをマイニングすること」以外には何もしない）を使用しなければ、新たなブロックの生成によって利益を得ることは期待できないであろう。したがって、現在、事実上、互いに素の２つのユーザのクラスがある。支払のみを行う普通ユーザと、新たなブロックを探すことだけをする専用マイニングプールである。

【0055】

そのため、現在の時点で、ブロック生成のための総計算力がわずか５つのプールにあるというのは驚くべきことではない。このような状況では、計算力の過半数が誠実であるという仮定には、説得力がなくなってくる。

【0056】

技術的課題３：曖昧さ
ビットコインでは、ブロックチェーンは必ずしも一意ではない。実際、その最新の部分はしばしば分岐する。ブロックチェーンは、例えば、あるユーザによるとＢ_１，．．．，Ｂ_ｋ，Ｂ’_ｋ＋１，Ｂ’_ｋ＋２で、別のユーザによるとＢ_１，．．．，Ｂ_ｋ，Ｂ”_ｋ＋１，Ｂ”_ｋ＋２，Ｂ”_ｋ＋３であるかもしれない。いくつかのブロックがチェーンに追加された後でしか、最初のｋ＋３ブロックが全ユーザについて同じになることを合理的に確信することができない。したがって、チェーンの最後のブロックに含まれる支払をすぐに信頼することはできない。ブロックがブロックチェーンにおいて十分に深くなるかどうか、また、そのため十分に安定するかどうかを待って確認する方が、より分別があることである。

【0057】

別に、ビットコイン（脚注１参照）については、法執行および金融政策の課題も生じている。

【0058】

脚注１
ビットコインの支払が提供する（疑似）匿名性は、マネーロンダリングおよび／または個人の犯罪者もしくはテロ組織の資金調達に悪用されるかもしれない。原則的に完璧な匿名性を提供する伝統的な銀行券または金の延棒は、同じ課題をもたらすとしても、これらの通貨の物理的存在が実質的にマネーの移転を鈍らせるので、法執行機関による監視をある程度可能にする。
「マネーを印刷」できることは、非常に基本的な国家権力の１つである。そのため、原則的に、独立して流通する通貨の大量採用は、この権力を減じるおそれがある。しかし、現在、ビットコインは政府の金融政策に対する驚異とはほど遠く、そのスケーラビリティの問題のために、絶対にそうならないであろう。

【0059】

１．２ アルゴランド，簡潔な要約
設定
アルゴランドは、非常に厳しい設定でも機能する。簡単にいうと、
（ａ）非許可型環境および許可型環境。アルゴランドは、いかなる種類の審査も許可もなしに任意に多くのユーザがいつでもシステムに参加することを許される、完全な非許可型環境でも効率的かつセキュアに機能する。当然、アルゴランドは、許可型環境においてよりよく機能する。
（ｂ）非常に敵対的な環境。アルゴランドは、以下のことができる非常にパワフルな敵対者に耐える。
（１）非許可型環境において、システム内のマネーの２／３が誠実なユーザに属しているとして、敵対者が望む任意のユーザを、敵対者が望む任意の時点で即座に腐敗させること。（許可型環境では、マネーに関係なく、ユーザの２／３が誠実であれば十分である。）
（２）腐敗させたユーザ全員を完全に支配し、完全に協調させること。
（３）誠実なユーザによって送られる各メッセージｍが、ある時間λ_ｍ以内にすべての（または十分多くの）誠実なユーザに届き、時間λ_ｍがｍのサイズにのみ依存するとして、すべてのメッセージの配信のスケジュールを組むこと。

【0060】

主な性質
パワフルな敵対者の存在に関わらず、アルゴランドでは、
・必要な計算量は最小限である。
本質的に、いかに多くのユーザがシステム内に存在しようとも、１，５００名のユーザのそれぞれが、たかだか数秒の計算を行わなければならない。
・新たなブロックはすぐに生成され、事実上、ブロックチェーンを絶対に離れない。
すなわち、アルゴランドのブロックチェーンは、無視できる確率でしか分岐しない（すなわち、１兆分の１未満、または１０^−１８）。したがって、ユーザは、ブロックが出現するや否や、その新たなブロックに含まれる支払を信用することができる。
・すべての権力はユーザ自身にある。
アルゴランドは真に分散型のシステムである。具体的には、どのトランザクションが認められるかを管理することのできる外生的なエンティティ（ビットコインの「マイナー」のような）が存在しない。

【0061】

アルゴランドの手法
１．新規かつ高速のビザンチン合意プロトコル
アルゴランドは、発明による暗号学的な、メッセージパッシングの、バイナリビザンチン合意（ＢＡ）プロトコルＢＡ^★により新たなブロックを生成する。プロトコルＢＡ^★はいくつかの追加の性質（これはすぐに述べる）を満たすだけでなく、非常に高速でもある。大雑把にいうと、そのバイナリ入力バージョンは３ステップループからなり、プレーヤｉが単一のメッセージｍ_ｉを他のすべてのプレーヤに送る。完全な同期ネットワークで実行されると、プレーヤの２／３超が確率＞１／３で誠実であれば、各ループの後、プロトコルは合意に終わる。（プロトコルＢＡ^★が、一切の弱化なくビザンチン合意の元の定義を満たすことを強調しておく。）

【0062】

アルゴランドは、各新たなブロックに対して、我々の異なる通信モデルで、合意に達するためにこのバイナリＢＡプロトコルを利用する。合意されたブロックはさらに、適切な検証者の規定数の電子署名によって認定されて、ネットワークを通じて伝播される。

【0063】

２．秘密暗号くじ
非常に高速であるが、プロトコルＢＡ^★は、数百万のユーザによってプレイされるとき、さらなる高速化から利益を得るであろう。したがって、アルゴランドは、ＢＡ^★のプレーヤを、全ユーザの集合のうちのはるかに小さい部分集合にするように選ぶ。異なる種類の権力集中の課題を避けるために、新たな各ブロックＢ^ｒは、ＢＡ^★の新たな実行を介して、選択された検証者ＳＶ^ｒの個別の集合によって構築され、合意される。原則的に、このような集合を選択することは、Ｂ^ｒを直接選択するのと同等に困難であろう。我々は、この潜在的な課題を、秘密暗号くじと名付ける新規なアプローチによって乗り切る。くじとは、資格のある個人の大きな集合からランダムに公務員を選出する慣習である。（くじは、何世紀にもわたり、例えば、アテネ、フィレンツェ、およびヴェネツィアの共和国によって実践された。現代の司法制度では、ランダムな選択は、陪審員の選出にしばしば使用される。ランダムサンプリングは、選挙についても提唱されている。）非集中型システムでは、当然、各検証者集合ＳＶ^ｒのメンバーをランダムに選択するために必要なランダムコインを選ぶことには問題がある。したがって、各検証者集合を、全ユーザの母集団から、自動的（すなわち、メッセージの交換が必要ない）かつランダムであることが保証されるように選択するために、暗号法に頼る。同様に、新たなブロックＢ^ｒの提案を担当するリーダーであるユーザと、リーダーによって提案されるブロックに関して合意に達することを担当する検証者集合ＳＶ^ｒとを選択する。本発明によるシステムは、前のブロックの内容から推論可能である何らかの情報Ｑ^ｒ−１を利用し、非常に強力な敵対者の存在があっても改ざんは不可能である。

【0064】

３．数量（シード）Ｑ^ｒ
新たなブロックＢ^ｒの構築を担当するための次の検証者集合とリーダーとを自動的に判定するために、ブロックチェーン内の最後のブロックＢ^ｒ−１を使用する。このアプローチの課題は、前のラウンドでわずかに異なる支払を選ぶだけで、パワフルな敵対者が次のリーダーに対して巨大な支配力を得ることである。敵対者がシステム内のプレーヤ／マネーの１／１０００だけを支配しただけでも、すべてのリーダーを悪意にすることが確実にできるであろう。（直観セクション４．１を参照。）この課題はすべてのプルーフ・オブ・ステークアプローチにとって中心的なものであり、我々の知る限りにおいて、現在まで、満足に解決されていない。

【0065】

この課題に答えるために、我々は、個別かつ慎重に定義された数量Ｑ^ｒを意図的に構築して継続的に更新するが、これはおそらく、パワフルな敵対者にとって予測不可能なだけでなく、当該敵対者による影響を受けない。アルゴランドは、秘密暗号くじを介して、Ｑ^ｒから、ｒ番目のブロックの生成において特別な役割を果たすすべてのユーザを選択するため、Ｑ^ｒをｒ番目のシードと呼ぶことがある。シードＱ^ｒは、ブロックＢ^ｒ−１から推論可能になる。

【0066】

４．秘密のクレデンシャル
新たなブロックの構築を担当する検証者集合とリーダーとを選ぶために、その時点での最後のブロックＢ^ｒ−１をランダムかつ曖昧さなく使用することは十分ではない。Ｂ^ｒ−１はＢ^ｒを生成する前に分かっていなければならないため、Ｂ^ｒ−１から推論可能な、影響力を持つことができない最後の数量Ｑ^ｒ−１も知らなければならない。したがって、ブロックＢ^ｒの計算を担当する検証者とリーダーについてもそうである。このように、パワフルな敵対者は、当該検証者とリーダーとが認定するブロックを完全に支配するために、当該検証者およびリーダーがＢ^ｒに関する何らかの議論に参加する前に、その全員を直ちに腐敗させるかもしれない。

【0067】

この問題を防止するために、リーダー（および実際には検証者も）自分の役割を秘かに知るが、その役割を実際に有する全員に提供することが可能な適切なクレデンシャルを計算することができる。自分が次のブロックのリーダーであるとユーザが秘かに気づく場合、当該ユーザは、まず自分自身の提案される新たなブロックを秘密にアセンブルしてから、それを自分自身のクレデンシャルと一緒に広める（認定されることができるように）。このように、敵対者は、次のブロックのリーダーが誰かを直ちに気づいても、また、すぐにそのリーダーを腐敗させることができるとしても、敵対者が新たなブロックの選択に影響を及ぼすには遅すぎるだろう。実際、ウィキリークスが急速に広めたメッセージを力のある政府が元に戻すことができないのと同じく、敵対者はリーダーのメッセージを「取り消」すことはできない。

【0068】

後で述べるように、我々は、リーダーの一意性を保証することも、また、リーダー自身を含めて、誰がリーダーであるかを皆が確信することを保証することもできない！ しかし、アルゴランドでは、曖昧さのない進行が保証される。

【0069】

５．プレーヤ代替性
リーダーは、新たなブロックを提案した後、自分の仕事が済んだため、「死」んだ方が良い（そうでなければ敵対者によって腐敗させられる）。しかし、ＳＶ^ｒの検証者の場合は、事はそれほど単純ではない。実際、十分に多くの署名で新たなブロックＢ^ｒの認定を担当する検証者は、まずリーダーが提案したブロックに対してビザンチン合意を実行しなければならない。問題は、それがいかに効率的でも、ＢＡ^★には複数のステップとそのプレーヤの＞２／３の誠実者を要することである。これは、効率上の理由で、ＢＡ^★のプレーヤ集合が、全ユーザの集合の中からランダムに選択された小さな集合ＳＶ^ｒを成すため、問題である。したがって、パワフルな敵対者は、全ユーザの１／３を腐敗させることができなくても、ＳＶ^ｒの全メンバーを間違いなく腐敗させることができる！

【0070】

幸いなことに、メッセージをピアツーピアで伝播することによって実行されるプロトコルＢＡ^★がプレーヤ代替性であることをこれから証明する。この新規な要件は、このプロトコルが、そのステップのそれぞれが、全く新しい、ランダムに独立して選択されたプレーヤの集合によって実行されるとしても、正確かつ効率的にコンセンサスを取ることを意味する。したがって、数百万のユーザがいれば、ＢＡ^★のステップに関連付けられているそれぞれ小さなプレーヤの集合は、ほぼ確実に次の集合と空の交わりを有する。

【0071】

加えて、ＢＡ^★の異なるステップのプレーヤの集合は、おそらく全く異なる濃度を有する。さらに、各集合のメンバーは誰が次のプレーヤの集合になるかを知らず、いかなる内部状態も秘かに渡さない。

【0072】

代替可能プレーヤの性質は、我々が想定するダイナミックで非常にパワフルな敵対者を打ち負かすのに実際に極めて重要である。多数のコンテキストおよびアプリケーションにおいて代替可能プレーヤプロトコルが極めて重要であることを証明する、と考えている。具体的には、全プレーヤの小さな部分でも腐敗させることができ、より小さいサブプロトコルのプレーヤ全員を何の困難もなく腐敗させるダイナミックな敵対者とともに、プレーヤのより大きな母集団に埋め込まれる小さなサブプロトコルをセキュアに実行するためには、この代替可能プレーヤプロトコルが極めて重要になる。

【0073】

追加の性質／手法：怠惰な誠実者
誠実なユーザは、自分の規定された命令に従うが、当該命令はオンラインであることを含み、プロトコルを実行する。アルゴランドは適度な計算および通信の要求事項のみを有するため、オンラインであることと「バックグラウンド」でプロトコルを実行することは大きな犠牲ではない。当然ながら、接続性が突然失われたり、または再起動する必要があったりすること等に起因する、誠実なプレーヤの中の少数の「不在」は自動的に黙認される（このような少数のプレーヤを一時的に悪意であると常にみなすことができるため）。しかし、指摘したいのは、アルゴランドが、誠実なユーザがほとんどの時間オフラインであるとする新たなモデルで機能するように単純に適応できる点である。我々の新たなモデルは、以下のように略式に紹介することができる。

【0074】

怠惰な誠実者
大雑把にいうと、（１）プロトコルへの参加が求められるときに、自分の規定された命令のすべてに従い、（２）プロトコルへの参加を求められることは稀であり、かつ、参加要求が適切な事前の通知をもって行われる場合に、ユーザｉは、怠惰であるが誠実である。誠実さについてのこのような厳格ではない概念によって、我々は、我々が必要とするときには誠実な人がすぐに対応できることをなお一層確信することができ、アルゴランドは、これが当てはまる場合に、以下のことを保証する。すなわち、
「所与の時点で、参加するプレーヤの過半数が悪意でも、システムはセキュアに動作する。」

【0075】

２ 準備
２．１ 暗号プリミティブ
理想的なハッシング
我々は、任意の長さのストリングを固定長のバイナリストリングにマッピングする、効率的に計算可能な暗号学的ハッシュ関数Ｈに依拠するものとする。長い伝統の後、我々は、Ｈを、本質的に各候補ストリングｓを選ばれた長さのランダムかつ独立して選択された（そして固定される）バイナリストリングＨ（ｓ）にマッピングする関数である、ランダムオラクルとしてモデル化する。

【0076】

我々の説明する実施形態において、Ｈは２５６ビット長の出力を有する。実際、このような長さは、システムを効率的にするのに十分に短く、また、システムをセキュアにするのに十分に長い。例えば、我々はＨを衝突耐性にしたい。すなわち、Ｈ（ｘ）＝Ｈ（ｙ）になるような異なる２つのストリングであるｘとｙとを見つけにくくするべきである。Ｈが２５６ビット長の出力を持つランダムオラクルである場合、このようなストリングペアを見つけることは実に難しい。（ランダムで試して、誕生日のパラドックスに依拠しても、２^{２５６／２}＝２^１２８回の試行が必要だろう。）

【0077】

電子署名
電子署名は、任意の秘密鍵を共有しなくても、ユーザに情報を互いに認証させる。電子署名スキームは、確率的キージェネレータＧ、署名アルゴリズムＳおよび検証アルゴリズムＶの３つの高速アルゴリズムからなる。

【0078】

セキュリティパラメータを、十分に大きい整数ｋとすると、ユーザｉは、Ｇを使用して、ｋビットの鍵ペア（すなわち、ストリング）と、「公開」鍵ｐｋ_ｉと対をなす「秘密」署名鍵ｓｋ_ｉとを生成する。重大なことに、公開鍵はその対応する秘密鍵を「漏ら」さない。すなわち、ｐｋ_ｉを知っているとしても、ｉ以外の誰も、天文学的な時間をかけなければｓｋ_ｉを計算することはできない。

【0079】

ユーザｉは、ｓｋ_ｉを使用してメッセージに電子署名する。各候補メッセージ（バイナリストリング）ｍについて、ｉは、まず、ｍをハッシュ化してから、入力Ｈ（ｍ）およびｓｋ_ｉにアルゴリズムＳを実行して、

【数3】

[この文献は図面を表示できません]

（脚注２参照）のｋビットストリングを生成する。バイナリストリング

【数4】

[この文献は図面を表示できません]

は、ｉによるｍへの（ｐｋ_ｉに対する）電子署名と呼ばれ、公開鍵ｐｋ_ｉがコンテキストから明確である場合は、より単純にｓｉｇ_ｉ（ｍ）で表すことができる。

【0080】

脚注２
Ｈは衝突耐性であるため、ｍに署名することによって異なるメッセージｍ’に「偶然に署名する」ことは実際的に不可能である。

【0081】

ｐｋ_ｉを知っている誰もがそれを使用して、ｉが生成した電子署名を検証することができる。具体的には、入力（（ａ）プレーヤｉの公開鍵ｐｋ_ｉ、（ｂ）メッセージｍ、および（ｃ）ストリングｓ）、すなわち、ｉによるメッセージｍへの電子署名とされるものに対して、検証アルゴリズムＶは、ＹＥＳまたはＮＯのいずれかを出力する。

【0082】

電子署名スキームから我々が要求する性質は次の通りである：
１．適法な署名は必ず検証される：ｓ＝ｓｉｇ_ｉ（ｍ）であれば、Ｖ（ｐｋ_ｉ，ｍ，ｓ）＝ＹＥＳであり、かつ、
２．電子署名は偽造しにくい：ｓｋ_ｉを知らなければ、メッセージｍについて、Ｖ（ｐｋ_ｉ，ｍ，ｓ）＝ＹＥＳになるようなストリングｓを見つけるための時間は天文学的に長い。
（強力なセキュリティ要件に従い、任意の他のメッセージの署名を取得できたとしてもこれは真実である。）

【0083】

したがって、他の誰かが自分に代わってメッセージに署名することを防止するために、プレーヤｉは自分の署名鍵ｓｋ_ｉを秘密にしておかなければならず（したがって、用語「秘密鍵」）、自分の署名するメッセージを誰かが検証できるようにするために、ｉは自分の鍵ｐｋ_ｉを公開化することに関心を持つ（したがって、用語「公開鍵」）。

【0084】

メッセージ検索可能性を有する署名
一般に、メッセージｍは、その署名ｓｉｇ_ｉ（ｍ）から取り出すことはできない。概念上便利な「メッセージ検索可能性」の性質を満たす電子署名を仮想で取り扱うために（すなわち、署名者およびメッセージが署名から容易に計算可能であることを保証するために）、我々は次のように定義する。

【数5】

[この文献は図面を表示できません]

および、ｐｋ_ｉが明確な場合、

【数6】

[この文献は図面を表示できません]

【0085】

一意の電子署名
我々は、次の追加性質を満たす電子署名スキーム（Ｇ，Ｓ，Ｖ）も検討する。

【0086】

３．一意性
次のようになるストリングｐｋ’，ｍ，ｓおよびｓ’は見つけにくい。

【数7】

[この文献は図面を表示できません]

かつ

【数8】

[この文献は図面を表示できません]

（一意性の性質は、公開鍵が適法に生成されていないストリングｐｋ’についてもあてはまることに留意されたい。しかし、具体的には、一意性の性質は、ある者が指定の鍵ジェネレータＧを使用して対となる秘密鍵ｓｋと一緒に公開鍵ｐｋを計算し、そうしてｓｋを知った場合、ｐｋに関する同じメッセージの２つの異なる電子署名を見つけることも本質的に不可能であるだろうことを含意する。）

【0087】

備考
・一意の署名から検証可能なランダム関数まで
一意性の性質を有する電子署名スキームに関連し、マッピングｍ→Ｈ（ｓｉｇ_ｉ（ｍ））は、一意にランダムに選択された２５６ビットのストリングである各候補ストリングｍと関連し、このマッピングの正当性は、署名ｓｉｇ_ｉ（ｍ）があれば証明することができる。

【0088】

すなわち、一意性の性質を満たす理想的なハッシングおよび電子署名スキームは、本質的に、検証可能なランダム関数（ＶＲＦ）の基本的な実施態様を提供する。

【0089】

ＶＲＦは、特殊な種類の電子署名である。我々は、メッセージｍのｉのこのような特殊な署名を示すために、ＶＲＦ_ｉ（ｍ）を書くことができる。一意性の性質を満たすことに加えて、検証可能なランダム関数は、十分にランダムであることを保証される出力を生成する。すなわち、ＶＲＦ_ｉ（ｍ）は本質的にランダムであり、それが生成されるまで予測できない。対して、ＳＩＧ_ｉ（ｍ）は、十分にランダムである必要はない。例えば、ユーザｉは、ＳＩＧ_ｉ（ｍ）が（辞書式順序で）小さい（すなわち、その最初の数ビットを必ず０とすることができるであろう）ｋビットストリングに必ずなるように自分の公開鍵を選ぶことができる。しかし、Ｈは理想的なハッシュ関数であるため、Ｈ（ＳＩＧ_ｉ（ｍ））は必ずランダムな２５６ビットのストリングになることに留意されたい。我々の好適な実施形態において、一意のランダム数である各メッセージｍと各ユーザｉとに厳密に関連付けることができるよう、一意性の性質を満たす電子署名のハッシュ化を広範に利用する。万が一ＶＲＦを用いてアルゴランドを実施しても、Ｈ（ＳＩＧ_ｉ（ｍ））をＶＲＦ_ｉ（ｍ）に置換することができる。具体的には、ユーザｉは、最初にＳＩＧ_ｉ（ｍ）を計算してからＨ（ＳＩＧ_ｉ（ｍ））を計算する必要がない（例えば、Ｈ（ＳＩＧ_ｉ（ｍ））を数ｐと比較するために）。当該ユーザは、ＶＲＦ_ｉ（ｍ）を直接計算することができるだろう。要するに、Ｈ（ＳＩＧ_ｉ（ｍ））は、ＶＲＦ_ｉ（ｍ）として、または、プレーヤｉによって容易に計算されるが他の誰にも予測できず、ｉとｍとに曖昧さなく関連付けられている十分にランダムな数として解釈することができることは理解されるべきである。

【0090】

・電子署名の３つの異なるニーズ
アルゴランドでは、ユーザｉは次のことについて電子署名に依拠する。
（１）認証するｉ自身の支払
このアプリケーションでは、鍵は「長期」にすることができ（すなわち、多くのメッセージに署名するために長期間使用される）、普通署名スキームに由来する。
（２）ラウンドｒのいくつかのステップｓで行為する権利をｉが与えられていることを証明するクレデンシャルの生成
ここでは、鍵は長期であることができるが、一意性の性質を満たすスキームに由来しなければならない。
（３）自分が行為する各ステップでｉが送るメッセージの認証
ここでは、鍵は一時的でなければならない（すなわち、最初に使用した後破壊される）が、普通署名スキームに由来することができる。

【0091】

・小コストでの単純化
単純化のために、我々は、各ユーザｉが単一の長期的な鍵を有することを想定する。したがって、このような鍵は、一意性の性質を有する署名スキームに由来しなければならない。このような単純さの計算コストは少ない。通例、実際に、一意の電子署名は、生成および検証のコストが普通署名よりもわずかに高いだけである。

【0092】

２．２ 理想化された公開台帳
アルゴランドは、理想化された公開台帳に基づいて、以下の支払システムに近づけることに努める。

【0093】

１．初期ステータス
マネーは、個々の公開鍵に関連付けられている（ユーザによって内密に生成されて所有される）。ｐｋ_１，．．．，ｐｋ_ｊを初期の公開鍵とし、ａ_１，．．．，ａ_ｊをそのそれぞれのマネー単位の初期金額とすると、初期ステータスは次の通りであり、

【数9】

[この文献は図面を表示できません]

は、システム内の共通知識であると想定される。

【0094】

２．支払
ｐｋを現在ａ≧０マネー単位を有する公開鍵とし、ｐｋ’を別の公開鍵とし、ａ’を、ａより大きくない負ではない数とする。すると、（有効な）支払

【数10】

[この文献は図面を表示できません]

は、ｐｋに対し、ａ’の通貨単位のｐｋからｐｋ’への移転をいくつかの追加情報と一緒に明記する電子署名である。記号で表すと、

【数11】

[この文献は図面を表示できません]

である。上記式において、Ｉは、有用であるがセンシティブではないと見なされる任意の追加情報（例、時間情報および支払識別子）を表し、

【数12】

[この文献は図面を表示できません]

は、センシティブと見なされる任意の追加情報（例、支払の理由、場合によってはｐｋおよびｐｋ’の所有者のアイデンティティ等）を表す。

【0095】

我々は、ｐｋ（またはその所有者）を支払人と呼び、ｐｋ’（またはその所有者）を受取人と呼び、ａ’を支払

【数13】

[この文献は図面を表示できません]

の金額と呼ぶ。

【0096】

支払を介した自由参加
ユーザは、自分自身の公開／秘密鍵ペアを生成することによって、参加したいときにいつでもシステムに参加できることに留意されたい。従って、上記支払

【数14】

[この文献は図面を表示できません]

で出現する公開鍵ｐｋ’は、以前にマネーを「所有」したことのない、新たに生成された公開鍵であり得る。

【0097】

３．マジック台帳
理想化されたシステムでは、すべての支払が有効であり、誰もが

【数15】

[この文献は図面を表示できません]

を確認できるように、すべての支払が「天に転記された（ｐｏｓｔｅｄ ｏｎ ｔｈｅ ｓｋｙ）」支払の集合の改ざん防止リストＬに表示される。

【0098】

各ブロックＰＡＹ^ｒ＋１は、ブロックＰＡＹ^ｒの出現以降に行われたすべての支払の集合からなる。理想的なシステムでは、新たなブロックは、固定（または有限）量の時間後に出現する。

【0099】

考察
・より一般的な支払および未使用のトランザクション出力
より一般的には、公開鍵ｐｋが金額ａを所有する場合、ｐｋの有効な支払

【数16】

[この文献は図面を表示できません]

は、Σ_ｊａ’_ｊ≦ａである限り、鍵ｐｋ’_１，ｐｋ’_２，．．．，にそれぞれ金額ａ’_１，ａ’_２，．．．，を移転することができる。

【0100】

ビットコインおよび同様なシステムでは、公開鍵ｐｋが所有するマネーは個別の金額に分けられ、ｐｋが行う支払

【数17】

[この文献は図面を表示できません]

は、このように分けられた金額ａの全体を移転しなければならない。ｐｋがａの一部分ａ’＜ａのみを別の鍵に移転したい場合、未使用のトランザクション出力である残高も、別の鍵に、場合によってはｐｋ自体に移転しなければならない。

【0101】

アルゴランドも、金額を分けた鍵を用いて機能する。しかし、アルゴランドの新規な態様に注目するために、支払およびそれに関連付けられている単一の金額を有する鍵の単純化した形態に専念することが概念的により単純である。

【0102】

・現在のステータス
理想化されたスキームは、システムの現在のステータスに関する（すなわち、各公開鍵がどれくらいのマネー単位を有するかに関する）情報を直接提供しない。この情報は、マジック台帳から推論可能である。

【0103】

理想的なシステムでは、アクティブユーザは、最新のステータス情報を継続的に格納および更新するか、そうでなければ、最初から、または当該情報を計算した最後の時点から、当該情報を再構築しなければならないであろう。（ただし、アルゴランドのユーザが現在のステータスを効率的に再構築することを可能にすべく、アルゴランドをどのように拡大するかを後で示す。）

【0104】

・セキュリティおよび「プライバシー」
電子署名は、誰も他のユーザの支払を偽造できないことを保証する。支払

【数18】

[この文献は図面を表示できません]

では、公開鍵および金額は隠されていないが、センシティブ情報

【数19】

[この文献は図面を表示できません]

は隠されている。実際、

【数20】

[この文献は図面を表示できません]

のみが

【数21】

[この文献は図面を表示できません]

に出現し、Ｈは理想的なハッシュ関数であるため、

【数22】

[この文献は図面を表示できません]

はランダムな２５６ビット値であり、したがって、

【数23】

[この文献は図面を表示できません]

が何であったかを導き出すには、それを単に推測する以上の良い方法はない。しかし、

【数24】

[この文献は図面を表示できません]

が何であったかを証明するためには（例、支払の理由を証明するために）、支払人は

【数25】

[この文献は図面を表示できません]

を明らかにするだけでよい。明らかにされた

【数26】

[この文献は図面を表示できません]

の正当性は、

【数27】

[この文献は図面を表示できません]

を計算し、それから得られた値を

【数28】

[この文献は図面を表示できません]

の最後の項と比較することによって検証することができる。実際、Ｈは衝突耐性であるため、

【数29】

[この文献は図面を表示できません]

であるような第２の値

【数30】

[この文献は図面を表示できません]

を見つけるのは難しい。

【0105】

２．３ 基本的な概念および表記法
鍵、ユーザおよび所有者
特に明記されない限り、各公開鍵（略して「鍵」）は長期的なものであり、一意性の性質を有する電子署名スキームに関連するものである。公開鍵ｉは、既にシステムにある別の公開鍵ｊがｉに支払を行うと、システムに加入する。

【0106】

特徴付けのため、鍵は擬人化される。鍵ｉは「彼（ｈｅ）」と呼ばれ、ｉは正直である、ｉはメッセージを送受信する、等のように表現される。ユーザは鍵の同義語である。鍵をその持ち主である人から区別したい場合、それぞれ「デジタル鍵」および「所有者」という用語を使用する。

【0107】

非許可型システムと許可型システム
システムは、デジタル鍵がいつでも自由に加入し、所有者が複数のデジタル鍵を所有することができる場合に非許可型であり、それ以外は許可型である。

【0108】

一意の表現
アルゴランド内の各オブジェクトは一意の表現を有する。具体的には、各集合｛（ｘ，ｙ，ｚ，．．．）：ｘ∈Ｘ，ｙ∈Ｙ，ｚ∈Ｚ｝は、予め指定されたように順序付けされる。例えば、辞書式順序で最初にｘに、次にｙに、等。

【0109】

同一スピードのクロック
グローバルなクロックは存在しない。むしろ、各ユーザは自分自身のクロックを有する。ユーザのクロックは一切同期させる必要はない。しかし、ユーザのクロックはすべて同一スピードを有すると想定される。

【0110】

例えば、ユーザｉのクロックで午後１２時のとき、別のユーザｊのクロックでは午後２時３０分かもしれないが、ｉのクロックで１２時０１分になるとき、ｊのクロックでは２時３１分になる。すなわち、「１分はすべてのユーザにとって同じ（十分に、本質的に同じ）である」。

【0111】

ラウンド
アルゴランドは、ラウンドと呼ばれる論理ユニットｒ＝０，１，．．．，に整理される。

【0112】

我々は、ラウンドを示すために一貫して上付き文字を使用する。非数値数量Ｑ（例、ストリング、公開鍵、集合、電子署名、等）がラウンドｒを参照することを示すために、単にＱ^ｒと書く。Ｑが（数として解釈できるバイナリストリングではなく）本物の数であるときに限り、Ｑ^（ｒ）と書いて、記号ｒがＱの指数として解釈できないようにする。

【0113】

ラウンドｒ＞０（の始まり）で、全公開鍵の集合はＰＫ^ｒであり、システムのステータスは次の通りである。

【数31】

[この文献は図面を表示できません]

上記式において、ａ_ｉ^（ｒ）は、公開鍵ｉが利用できるマネーの金額である。ＰＫ^ｒはＳ^ｒから推論可能であり、Ｓ^ｒは各公開鍵ｉの他の成分も指定できることに留意されたい。

【0114】

ラウンド０の場合、ＰＫ^０は初期公開鍵の集合であり、Ｓ^０は初期ステータスである。ＰＫ^０およびＳ^０のどちらも、システムにおいて共通知識であると想定される。単純にするために、ラウンドｒの始まりで、ＰＫ^１，．．．，ＰＫ^ｒおよびＳ^１，．．．，Ｓ^ｒもそうする。

【0115】

ラウンドｒで、システムのステータスはＳ^ｒからＳ^ｒ＋１に移行する。記号で表すと、

【数32】

[この文献は図面を表示できません]

である。

【0116】

支払
アルゴランドにおいて、ユーザは継続的に支払を行う（また、サブセクション２．７で説明するようにそれを伝播する）。ユーザｉ∈ＰＫ^ｒの支払

【数33】

[この文献は図面を表示できません]

は、理想的なシステムと同じフォーマットおよび意味論を有する。すなわち、

【数34】

[この文献は図面を表示できません]

である。

【0117】

支払

【数35】

[この文献は図面を表示できません]

は、（１）その金額ａがａ_ｉ^（ｒ）以下の場合、かつ、（２）ｒ’＜ｒの正式な支払集合ＰＡＹ^ｒ’に出現していない場合、ラウンドｒで個々に有効である（略して、ラウンドｒ支払である）。（以下に説明するように、２番目の条件は、

【数36】

[この文献は図面を表示できません]

がまだ有効になっていないことを意味する。）

【0118】

ｉのラウンドｒ支払の集合は、その金額の総額がたかだかａ_ｉ^（ｒ）である場合に、集合的に有効である。

【0119】

支払集合
ラウンドｒ支払集合

【数37】

[この文献は図面を表示できません]

は、各ユーザｉについて、

【数38】

[この文献は図面を表示できません]

内のｉの支払（場合によっては、無い）が集合的に有効であるようなラウンドｒ支払の集合である。すべてのラウンドｒ支払集合の集合は

【数39】

[この文献は図面を表示できません]

である。ラウンドｒ支払集合

【数40】

[この文献は図面を表示できません]

は、

【数41】

[この文献は図面を表示できません]

のどの上位集合もラウンドｒ支払集合ではない場合に極大になる。

【0120】

我々は、支払

【数42】

[この文献は図面を表示できません]

はラウンドρ，

【数43】

[この文献は図面を表示できません]

も指定し、負ではないいくつかの一定の整数ｋについて、［ρ，ρ＋ｋ］以外のどのラウンドでも有効にできないことを実際に提案する（脚注３参照）。

【0121】

脚注３
これは、

【数44】

[この文献は図面を表示できません]

が「有効」になったかどうかのチェックを単純にする（すなわち、いくつかの支払集合ＰＡＹ^ｒが

【数45】

[この文献は図面を表示できません]

を含むかどうかの判定を単純にする）。ｋ＝０のとき、

【数46】

[この文献は図面を表示できません]

かつ

【数47】

[この文献は図面を表示できません]

であれば、ｉは

【数48】

[この文献は図面を表示できません]

を再提出しなければならない。

【0122】

正式な支払集合
どのラウンドｒについても、アルゴランドは、ラウンドの正式な支払集合である単一の（場合によっては空の）支払集合ＰＡＹ^ｒを（後で説明するやり方で）公開で選択する。（本質的に、ＰＡＹ^ｒは、「実際に」起こったラウンドｒ支払を表す。）

【0123】

理想的なシステム（およびビットコイン）と同様に、（１）新たなユーザｊがシステムに入る唯一の方法は、所与のラウンドｒの正式な支払集合ＰＡＹ^ｒに属す支払の受取人になることであり、（２）ＰＡＹ^ｒは、現行のラウンドＳ^ｒのステータスから、次のラウンドＳ^ｒ＋１のステータスを判定する。記号にすると、

【数49】

[この文献は図面を表示できません]

具体的には、
１．ラウンドｒ＋１の公開鍵の集合ＰＫ^ｒ＋１は、ＰＫ^ｒと、初めてＰＡＹ^ｒの支払で出現するすべての受取人の鍵の集合との和集合からなり、
２．ユーザｉがラウンドｒ＋１に所有するマネーａ_ｉ^{（ｒ＋１）}の金額は、ａ_ｉ（ｒ）の総額、すなわち、前のラウンドでｉが所有したマネーの金額（

【数50】

[この文献は図面を表示できません]

の場合０）、およびＰＡＹ^ｒの支払に従いｉに支払われた金額の総額である。

【0124】

要するに、理想的なシステムと同様に、各ステータスＳ^ｒ＋１は前の支払履歴

【数51】

[この文献は図面を表示できません]

から推論可能である。

【0125】

２．４ ブロックおよび証明済みブロック
アルゴランド_０では、ラウンドｒに対応するブロックＢ^ｒは、ｒ自体、ラウンドｒの支払の集合ＰＡＹ^ｒ、説明される数量

【数52】

[この文献は図面を表示できません]

、および前のブロックのハッシュＨ（Ｂ^ｒ−１）を指定する。したがって、いくつかの固定ブロックＢ^０から始まる従来のブロックチェーン

【数53】

[この文献は図面を表示できません]

を有する。

【0126】

アルゴランドでは、ブロックの真正性は、実際は個々の情報の「ブロック証明書」ＣＥＲＴ^ｒによって保証され、これはＢ^ｒを証明済みブロック

【数54】

[この文献は図面を表示できません]

に変える。そのためマジック台帳は、証明済みブロックのシーケンス

【数55】

[この文献は図面を表示できません]

によって実施される。

【0127】

考察
後で述べるように、ＣＥＲＴ^ｒは、ＳＶ^ｒのメンバーの過半数のものであるＨ（Ｂ^ｒ）の電子署名の集合と、当該メンバーのそれぞれが実際にＳＶ^ｒに所属していることの証明とを合わせたものからなる。当然、我々は、ブロック自体に証明書ＣＥＲＴ^ｒを含むことができるだろうが、ＣＥＲＴ^ｒを分けておく方が概念的により明解であると考える。

【0128】

ビットコインでは、各ブロックが特別な性質を満たさなければならず、すなわち、「暗号パズルの解を含まな」ければならず、そのため、ブロック生成が計算集約的になり、分岐は不可避であり、かつ、珍しいことではない。対して、アルゴランドのブロックチェーンには２つの主な利点がある。すなわち、アルゴランドのブロックチェーンは、最小限の計算で生成されることと、圧倒的に高い確率で分岐しないことである。各ブロックＢ^ｒは、ブロックチェーンに入るや否や、安全に確定的になる。

【0129】

２．５ 許容可能な故障確率
アルゴランドのセキュリティを分析するために、我々は、何かがうまくいかない（例、検証者集合ＳＶ^ｒが誠実な過半数を持たない）ことを許容しても構わない確率Ｆを指定する。暗号学的ハッシュ関数Ｈの出力長の場合と同じく、Ｆもパラメータである。しかし、その場合と同じく、アルゴランドで、十分なセキュリティと十分な効率とを同時に享受することが実際に可能であることをより直観的に理解できるように、Ｆを具体的な値に設定することが便利だと考える。Ｆが望みどおりに設定することのできるパラメータであることを強調するために、第１および第２の実施形態で、我々はそれぞれ次のように設定する。

【数56】

[この文献は図面を表示できません]

および

【数57】

[この文献は図面を表示できません]

【0130】

考察
１０^−１２は実際には１兆分の１未満であることに留意し、このようなＦの選択は我々のアプリケーションに適切であると考える。１０^−１２は、敵対者が誠実なユーザの支払を偽造することのできる確率ではないことを強調させてほしい。すべての支払は電子署名され、したがって、正規の電子署名が使用される場合、支払を偽造する確率は１０^−１２よりもはるかに低く、実際、本質的に０である。確率Ｆで許容しても構わない不都合なイベントは、アルゴランドのブロックチェーンが分岐することである。我々のＦの設定と１分の長いラウンドの場合、フォークがアルゴランドのブロックチェーンで起こるのは、１９０万年で（ほぼ）１回程度と稀であると予想されることに注意されたい。対して、ビットコインでは、フォークはかなり頻繁に起こる。

【0131】

より多くを要求する人は、Ｆをさらに低い値に設定するかもしれない。このために、我々の第２の実施形態では、Ｆを１０^−１８に設定することを検討する。ブロックが毎秒生成されると仮定すると、１０^１８は、ビッグバンから現在まで、今までに宇宙が経た推定秒数である。したがって、Ｆ＝１０^−１８の場合、ブロックが１秒で生成されるとすると、宇宙の年齢でフォークを１回経験すると見込めるだろう。

【0132】

２．６ 敵対的なモデル
アルゴランドは、非常に敵対的なモデルにおいてセキュアであるように設計される。説明しよう。

【0133】

誠実なユーザと悪意のユーザ
ユーザは、自分のプロトコル命令のすべてに従い、メッセージの送受信を完璧にすることが可能である場合、誠実である。ユーザは、自分の規定された命令から任意に逸脱できる場合、悪意である（すなわち、分散コンピューティングの専門用語で、ビザンチン）。

【0134】

敵対者
敵対者とは、本物のように擬人化されて、自分の望むどのユーザも、自分の望むいかなる時にでも直ちに悪意にすることのできる、効率的な（技術的に多項式時間）アルゴリズムである（腐敗させることのできるユーザ数に上限のみが課される）。

【0135】

敵対者は、すべての悪意のユーザを完全に支配し、完璧に協調させる。当該敵対者は、当該悪意のユーザのメッセージの送受信を含め、当該悪意のユーザの代わりにあらゆるアクションを取り、当該悪意のユーザを、その規定された命令から任意の方法で逸脱させることができる。または、メッセージを送受信する腐敗したユーザを単に隔離することができる。ｉの悪意は、敵対者がユーザｉに取ったアクションによって発生することがあるが、ユーザｉが悪意であることは他の誰にも自動的には分からないことを明確にさせてほしい。

【0136】

しかし、このパワフルな敵対者は、
・無限の計算力を持つわけではなく、無視できる確率を除き、誠実なユーザの電子署名をうまく偽造することはできず、
・誠実なユーザ間のメッセージ交換に一切干渉することはできない。

【0137】

また、敵対者の、誠実なユーザを攻撃できる能力は、次の仮定のうちの１つによって制限される。

【0138】

マネーの誠実な過半数
我々は、「マネーの誠実な過半数（ＨＭＭ）」の仮定の連続体を検討する。すなわち、負ではない各整数ｋおよび実数ｈ＞１／２について、
「ＨＨＭ_ｋ＞ｈ：すべてのラウンドｒの誠実なユーザは、ラウンドｒ−ｋにおけるシステム内のすべてのマネーｈよりも大きな割合を占めた。」

【0139】

考察
悪意のユーザ全員が（まるで単一のエンティティの敵対者によって支配されるように）自分たちのアクションを完璧に協調させると仮定することは、かなり悲観的な仮説である。多すぎる個人の間での完璧な協調は、実現するのが難しい。多分、協調は悪意のプレーヤの個別の集団内でしか起こらないかもしれない。しかし、悪意のユーザが享受できる協調のレベルに関して確信することはできないので、用心に越したことはない。

【0140】

敵対者が、秘密裡に、ダイナミックに、かつ、直ちにユーザを腐敗させることができると仮定することも悲観的である。結局、現実的には、ユーザの操作を完全に支配するには多少時間がかかるはずである。

【0141】

例えば、仮定ＨＭＭ_ｋ＞ｈは、（平均して）１ラウンドが１分で実施される場合、ｋ＝１２０であれば、所与のラウンドにおけるマネーの過半数は少なくとも２時間は誠実者の手元に残ることになり、ｋ＝１０，０００であれば少なくとも１週間になる。

【0142】

ＨＭＭの仮定と、前の計算力の誠実な過半数の仮定とは、計算力がマネーで買えることから、悪意のユーザがマネーのほとんどを所有している場合、悪意のユーザが計算力のほとんどを取得することができるという意味で関連していることに留意されたい。

【0143】

２．７ 通信モデル
我々は、メッセージの伝播、すなわち「ピアツゥピアゴシップ」（脚注４参照）を唯一の通信手段にすることを想定し、伝播されるすべてのメッセージが、ほぼ全員の誠実なユーザに適時に到達すると仮定する。誠実なユーザによって伝播される各メッセージｍは、ｍの長さに依存する所与の時間量内に誠実なユーザ全員に到達すると本質的に仮定する。（実際には、ｍは、誠実なユーザの十分に高いパーセンテージに到達すれば十分である。）

【0144】

脚注４
本質的に、ビットコインと同様に、ユーザがメッセージｍを伝播する場合、初めてｍを受信するすべてのアクティブユーザｉは、自分がｍを転送する、適切に小さい数のアクティブユーザの「隣人」を、場合によっては隣人から受領確認を受信するまで、ランダムかつ独立して選択する。ｍの伝播は、初めてｍを受信するユーザがいなくなると終了する。

【0145】

３ 従来の設定におけるＢＡプロトコルＢＡ^★
既に強調したように、ビザンチン合意はアルゴランドの重要な構成要素である。実際、アルゴランドがフォークによる影響を受けないのは、このようなＢＡプロトコルを使用するからである。しかし、パワフルな敵対者に対してセキュアでいるために、アルゴランドは、新たなプレーヤ代替性の制約を満たすＢＡプロトコルに依拠しなければならない。加えて、アルゴランドが効率的であるために、このようなＢＡプロトコルは非常に効率的でなければならない。

【0146】

ＢＡプロトコルは、最初に、理想化された通信モデル、同期完全ネットワーク（ＳＣネットワーク）について定義された。このようなモデルは、ＢＡプロトコルのより単純な設計および分析を可能にする。したがって、このセクションでは、ＳＣネットワークの新たなＢＡプロトコルであるＢＡ^★を紹介し、プレーヤ代替性の問題は完全に無視する。プロトコルＢＡ^★は、個別の価値のある寄与分である。実際、今まで分かっている中で最も効率的な、ＳＣネットワーク用の暗号学的ＢＡプロトコルである。

【0147】

これを我々のアルゴランドプロトコル内で使用するために、ＢＡ^★をわずかに変更して、我々の異なる通信モデルおよびコンテキストを考慮できるようにする。

【0148】

我々は、ＢＡ^★が動作するモデルとビザンチン合意の概念とを思い出すことから始める。

【0149】

３．１ 同期完全ネットワークおよび合致する敵対者
ＳＣネットワークでは、各整数時刻ｒ＝１，２，．．．に時を刻む共通のクロックがある。

【0150】

各偶数のタイムクリックｒで、各プレーヤｉは、自分自身を含めた各プレーヤｊに単一のメッセージｍ^ｒ_ｉ，ｊ（場合によっては空のメッセージ）を即座にかつ同時に送信する。各ｍ^ｒ_ｉ，ｊは、タイムクリックｒ＋１でプレーヤｊによって、送信者ｉのアイデンティティとともに正しく受信される。

【0151】

ここでも、通信プロトコルで、プレーヤは、自分の規定された命令のすべてに従う場合は誠実で、そうでない場合は悪意である。すべての悪意のプレーヤは敵対者によって完全に支配され、完璧に協調され、敵対者は、具体的には、悪意のプレーヤに宛てて送られたすべてのメッセージを直ちに受信し、当該悪意のプレーヤが送信するメッセージを選ぶ。

【0152】

敵対者は、自分が望む誠実なユーザを、自分が望む奇数のタイムクリックで直ちに悪意にすることができ、悪意のプレーヤの数に対し、考えられる上限ｔのみが課される。すなわち、敵対者は「誠実なユーザｉによって既に送信されたメッセージを妨害することはできず」、そうしたメッセージは通常通り配信される。

【0153】

敵対者は、各偶数ラウンドで、現時点では誠実なプレーヤが送信するメッセージを即座に見て、同じタイムチックで悪意のプレーヤが送信するメッセージを選ぶためにこの情報を即座に使用する追加能力も有する。

【0154】

３．２ ビザンチン合意の概念
ビザンチン合意の概念が初めて紹介されたのは、バイナリケースについて、すなわちすべての初期値が１ビットからなるときであったかもしれない。しかし、任意の初期値にすぐに拡張された。ＢＡプロトコルによって、我々は任意の値１を意味する。

【0155】

定義 ３．１．
同期ネットワークでは、

【数58】

[この文献は図面を表示できません]

をｎプレーヤプロトコルにし、そのプレーヤ集合はプレーヤｔ間の共通知識であり、ｔはｎ≧２ｔ＋１になるような正の整数である。特殊記号⊥を含まない値Ｖのすべての集合（それぞれ、Ｖ＝｛０，１｝）について、プレーヤのうちのたかだかｔ人が悪意であり、すべてのプレーヤｉが初期値ｖ_ｉ∈Ｖから始まる実行において、すべての誠実なプレーヤｊが確率１で停止し、値ｏｕｔ_ｉ∈Ｖ∪｛⊥｝を出力するので、少なくともσの確率で、以下の２つの条件を満たす場合、

【数59】

[この文献は図面を表示できません]

は、健全性σ∈（０，１）を有する任意の値（それぞれ、バイナリ）（ｎ，ｔ）ビザンチン合意プロトコルであるという。
１．合意：ｏｕｔ_ｉ＝すべての誠実なプレーヤｉのｏｕｔになるようなｏｕｔ∈Ｖ∪｛⊥｝が存在する。
２．一貫性：プレーヤｉ全員について、ある値ｖ∈Ｖ，ｖ_ｉ＝ｖの場合、ｏｕｔ＝ｖ。
我々は、ｏｕｔを

【数60】

[この文献は図面を表示できません]

の出力といい、各ｏｕｔ_ｉをプレーヤのｉの出力という。

【0156】

３．３ ＢＡの記号＃
我々のＢＡプロトコルでは、プレーヤには、どれくらいの数のプレーヤが自分に所与のメッセージを所与のステップで送信したかを数えるよう要求される。したがって、送信されるかもしれない起こり得る各値ｖについて、

【数61】

[この文献は図面を表示できません]

（または、ｓが明確である場合、単に＃_ｉ（ｖ））は、ｉがステップｓでｖを受信したプレーヤｊの数である。

【0157】

プレーヤｉが各プレーヤｊからまさしく１つのメッセージを受信することを思い出すと、プレーヤの数がｎの場合、すべてのｉおよびｓについて、

【数62】

[この文献は図面を表示できません]

である。

【0158】

３．４ 新たなバイナリＢＡプロトコルＢＢＡ^★
このセクションでは、プレーヤの３分の２よりも多くの誠実者に依拠し、かつ非常に高速な新たなバイナリＢＡプロトコル、ＢＢＡ^★を提示する。悪意のプレーヤがどのようなことを行おうとも、その主なループの各実行は自明に実行されるだけでなく、１／３の確率でプレーヤを合意に至らせる。

【0159】

ＢＢＡ^★では、各プレーヤは、一意署名性質を満たす電子署名スキームの、自分自身の公開鍵を有する。このプロトコルは同期完全ネットワークで実行されることが意図されるため、プレーヤｉが自分のメッセージのそれぞれに署名する必要はない。

【0160】

電子署名は、ステップ３で十分に一般的なランダムビットを生成するために使用される。（アルゴランドでは、電子署名は、他のすべてのメッセージを認証するためにも同様に使用される。）

【0161】

プロトコルは、最低限のセットアップ、すなわち、プレーヤの鍵とは独立した一般的なランダムストリングｒが必要である。（アルゴランドでは、ｒは実際には数量Ｑ^ｒに置換される。）

【0162】

プロトコルＢＢＡ^★は３ステップループであり、プレーヤがブール値を繰返し交換し、異なるプレーヤは異なる時点でこのループを出ることができる。プレーヤｉは、いくつかのステップで、特殊値０＊または特殊値１＊のいずれかを伝播し、それによって、プレーヤ全員に、将来のすべてのステップでｉから０および１をそれぞれ受信する「ふりをする」よう指示することによって、このループから出る。（別の言い方をすると、プレーヤｊが別のプレーヤｉから受信する最後のメッセージはビットｂであったと仮定する。すると、ｉからメッセージを受信しないステップでは、ｊは、ｉが自分にビットｂを送信したものとして行為する。）

【0163】

このプロトコルは、その３ステップループが何回実行されたかを表すカウンタγを使用する。ＢＢＡ^★の始まりでは、γ＝０である。（γをグローバルカウンタとして考えてもよいが、実際にはループが実行される度に、各個々のプレーヤによって増やされる。）

【0164】

ｔが、悪意のプレーヤの考えられる最大数である場合、ｎ≧３ｔ＋１である。バイナリストリングｘは、そのバイナリ表現（先頭に０が付く場合あり）がｘである整数で識別され、ｌｓｂ（ｘ）はｘの最下位ビットを表す。

【0165】

プロトコルＢＢＡ^★
（通信）ステップ１．［コインを０に固定するステップ］各プレーヤｉはｂ_ｉを送信する。
１．１ ＃_ｉ^１（０）≧２ｔ＋１の場合、ｉはｂ_ｉ＝０を設定し、０＊を送信し、ｏｕｔ_ｉ＝０を出力して、停止する。
１．２ ＃_ｉ^１（１）≧２ｔ＋１の場合、ｉはｂ_ｉ＝１を設定する。
１．３ それ以外は、ｉはｂ_ｉ＝０を設定する。

【0166】

（通信）ステップ２．［コインを１に固定するステップ］各プレーヤｉはｂ_ｉを送信する。
２．１ ＃_ｉ^２（１）≧２ｔ＋１の場合、ｉはｂ_ｉ＝１を設定し、１＊を送信し、ｏｕｔ_ｉ＝１を出力して、停止する。
２．２ ＃_ｉ^２（０）≧２ｔ＋１の場合、ｉはｂ_ｉ＝０を設定する。
２．３ それ以外は、ｉはｂ_ｉ＝１を設定する。

【0167】

（通信）ステップ３．［実際にコインを投げるステップ］各プレーヤｉはｂ_ｉおよびＳＩＧ_ｉ（ｒ，γ）を送信する。
３．１ ＃_ｉ^３（０）≧２ｔ＋１の場合、ｉはｂ_ｉ＝０を設定する。
３．２ ＃_ｉ^３（１）≧２ｔ＋１の場合、ｉはｂ_ｉ＝１を設定する。
３．３ それ以外は、Ｓ_ｉ＝｛このステップ３でｉに正規のメッセージを送信したｊ∈Ｎ｝として、ｉは

【数63】

[この文献は図面を表示できません]

を設定し、１ずつγ_ｉを増やし、ステップ１に戻る。

【0168】

定理３．１．
ｎ≧３ｔ＋１の場合は必ず、ＢＢＡ^★は、健全性１のバイナリ（ｎ，ｔ）−ＢＡプロトコルである。

【0169】

定理３．１の証明は、ｈｔｔｐｓ：／／ｐｅｏｐｌｅ．ｃｓａｉｌ．ｍｉｔ．ｅｄｕ／ｓｉｌｖｉｏ／Ｓｅｌｅｃｔｅｄ−ＳｃｉｅｎｔｉｆｉｃＰａｐｅｒｓ／ＤｉｓｔｒｉｂｕｔｅｄＣｏｍｐｕｔａｔｉｏｎ／ＢＹＺＡＮＴＩＮＥＡＧＲＥＥＭＥＮＴＭＡＤＥＴＲＩＶＩＡＬ．１５ｐｄｆに掲載されている。

【0170】

３．５ 段階的コンセンサスおよびプロトコルＧＣ
任意の値について、コンセンサスの概念はビザンチン合意よりもはるかに弱いことを思い出そう。

【0171】

定義３．２．

【数64】

[この文献は図面を表示できません]

を、全プレーヤの集合が共通知識で、各プレーヤｉが任意の初期値ｖ’_ｉを秘かに知っているプロトコルとする。

【0172】

ｎ人のプレーヤのいるすべての実行において、そのうちのたかだかｔ人が悪意である場合、すべての誠実なプレーヤｉが以下の３つの条件を満たすように値段階ペア（ｖ_ｉ，ｇ_ｉ）の出力を停止する場合、

【数65】

[この文献は図面を表示できません]

は（ｎ，ｔ）−段階的なコンセンサスであるという。ここでｇ_ｉ∈｛０，１，２｝である。
１．すべての誠実なプレーヤｉおよびｊについて、｜ｇ_ｉ−ｇ_ｊ｜≦１である。
２．すべての誠実なプレーヤｉおよびｊについて、ｇ_ｉ，ｇ_ｊ＞０⇒ｖ_ｉ＝ｖ_ｊである。
３．ある値ｖについてｖ’_ｉ＝・・・＝ｖ’_ｎ＝ｖの場合、すべての誠実なプレーヤｉについて、ｖ_ｉ＝ｖ、かつ、ｇ_ｉ＝２である。

【0173】

以下の２ステッププロトコルＧＣは、文献の段階的コンセンサスプロトコルである。セクション４．１のプロトコルアルゴランド’_１のステップと整合させるために、ＧＣのステップをそれぞれ２および３と命名する。（実際、アルゴランド’_１の最初のステップは、他の何か、すなわち、新ブロックの提案に関係する。）

【0174】

プロトコルＧＣ
ステップ２．各プレーヤｉは、ｖ’_ｉを全プレーヤに送信する。

【0175】

ステップ３．各プレーヤｉは、＃_ｉ^２（ｘ）≧２ｔ＋１の場合、かつ、その場合にのみ、ストリングｘを全プレーヤに送信する。

【0176】

出力の判定．各プレーヤｉは、次の通り計算されたペア（ｖ_ｉ，ｇ_ｉ）を出力する。
・あるｘについて、＃_ｉ^３（ｘ）≧２ｔ＋１の場合、ｖ_ｉ＝ｘ、かつ、ｇ_ｉ＝２である。
・あるｘについて、＃_ｉ^３（ｘ）≧ｔ＋１の場合、ｖ_ｉ＝ｘ、かつ、ｇ_ｉ＝１である。
・それ以外は、ｖ_ｉ＝⊥、かつ、ｇ_ｉ＝０である。

【0177】

プロトコルＧＣは文献のプロトコルであるため、次の定理が成り立つことが分かっている。

【0178】

定理３．２．
ｎ≧３ｔ＋１の場合、ＧＣは（ｎ，ｔ）−段階的ブロードキャストプロトコルである。

【0179】

３．６ プロトコルＢＡ^★
ここで、任意値ＢＡプロトコルＢＡ^★を、バイナリＢＡプロトコルＢＢＡ^★および段階的コンセンサスプロトコルＧＣにより説明する。以下、各プレーヤｉの初期値はｖ’_ｉである。

【0180】

プロトコルＢＡ^★
ステップ１および２．各プレーヤｉは、入力ｖ’_ｉにＧＣを実行して、ペア（ｖ_ｉ，ｇ_ｉ）を計算する。

【0181】

ステップ３，．．．各プレーヤｉは、ｇ_ｉ＝２の場合初期入力が０で、それ以外は１として、ＢＢＡ^★を実行して、ビットｏｕｔ_ｉを計算する。

【0182】

出力の判定．各プレーヤｉは、ｏｕｔ_ｉ＝０の場合ｖ_ｉを出力し、それ以外は⊥を出力する。

【0183】

定理３．３．
ｎ≧３ｔ＋１の場合は必ず、ＢＡ^★は、健全性１の（ｎ，ｔ）−ＢＡプロトコルである。

【0184】

証明．まず、整合性を証明してから、合意を証明する。
整合性の証明
ある値ｖ∈Ｖについて、ｖ’_ｉ＝ｖと仮定する。さらに、段階的コンセンサスの性質３によって、ＧＣの実行後、すべての誠実なプレーヤは（ｖ，２）を出力する。したがって、０は、ＢＢＡ^★の実行の終了時のすべての誠実なプレーヤの初期ビットである。したがって、ＢＡ^★の実行の終了時点で、バイナリビザンチン合意の合意性質によって、すべての誠実なプレーヤについてｏｕｔ_ｉ＝０である。これは、ＢＡ^★における各誠実なプレーヤｉの出力がｖ_ｉ＝ｖであることを含意する。

【0185】

合意の証明
ＢＢＡ^★がバイナリＢＡプロトコルであるため、次のいずれかである。
（Ａ）すべての誠実なプレーヤｉについてｏｕｔ_ｉ＝１、または
（Ｂ）すべての誠実なプレーヤｉについてｏｕｔ_ｉ＝０

【0186】

ケースＡでは、すべての誠実なプレーヤはＢＡ^★で⊥を出力し、したがって合意が成り立つ。ここでケースＢを考えてみる。この場合、ＢＢＡ^★の実行において、少なくとも１人の誠実なプレーヤｉの初期ビットは０である。（実際、すべての誠実なプレーヤの初期ビットが１だった場合、ＢＢＡ^★の整合性の性質によって、すべての誠実者ｊについてｏｕｔ_ｊ＝１になるであろう。）したがって、ＧＣの実行後、ｉは、ある値ｖについてペア（ｖ，２）を出力する。このように、段階的コンセンサスの性質１によって、すべての誠実なプレーヤｊについてｇ_ｊ＞０である。したがって、段階的コンセンサスの性質２によって、すべての誠実なプレーヤｊについてｖ_ｊ＝ｖである。これは、ＢＡ^★の終了時点で、すべての誠実なプレーヤｊがｖを出力することを含意する。ケースＢでも合意は成り立つ。

【0187】

整合性および合意の両方が成り立つため、ＢＡ^★は任意値ＢＡプロトコルである。

【0188】

プロトコルＢＡ^★はゴシップネットワークでも機能し、実際、想定される非常に敵対的なモデルでアルゴランドがセキュアであるために極めて大事な、プレーヤ代替性の性質を満たす。

【0189】

ＢＢＡ^★およびＢＡ^★のプレーヤ代替性
ここで、プロトコルＢＡ^★およびＢＢＡ^★が、通信がピアツーピアゴシップを介するネットワークで実行されて、プレーヤ代替性を満たすようになぜ適応できるのかについての、いくつかの直観を提供しよう。具体的にするために、ネットワークは１千万人のユーザを有し、ＢＢＡ^★（またはＢＡ^★）の各ステップｘが１０，０００人のプレーヤの委員会によって実行され、当該プレーヤは、秘密暗号くじによりランダムに選択されて、したがってステップｘでメッセージを送信する権利を与えられていることを証明するクレデンシャルを有すると仮定する。所与のステップで送信された各メッセージはステップ数を明記し、その送信者によって電子署名され、その送信者がそのステップで話す権利を与えられていることを証明するクレデンシャルを含むと仮定する。

【0190】

まず、誠実なプレーヤのパーセンテージｈが２／３よりも十分に大きい（例、７５％）場合、圧倒的確率で、各ステップで選択される委員会は、必要な２／３の誠実な過半数を有する。

【0191】

加えて、総勢１０，０００人のランダムに選択される委員会が各ステップで変わることは、ＢＢＡ^★またはＢＡ^★のいずれについても、それが正当に機能することを邪魔しない。実際、いずれのプロトコルでも、ステップｓのプレーヤｉは、ステップｓ−１で当該プレーヤｉが所与のメッセージｍを一緒に受信した多数の人にしか反応しない。我々はゴシップネットワークにいるので、ステップｓ−１で送信されるすべてのメッセージは、（この直観のために、直ちに）ステップｓでプレイするために選択されたものを含め、全ユーザに到達する。ステップｓ−１で送信されるすべてのメッセージは、ステップ数を明記し、かつ、ステップｓ−１で話す許可が送信者に実際に与えられているというクレデンシャルを含む。したがって、ステップｓ−１でも偶然選択されていたかどうかに関係なく、ステップｓでプレイするよう選択されたユーザｉは、正当なステップｓ−１メッセージを一緒に受信した多数の人を正確にカウントすることが完璧にできる。当該ユーザｉがそれまでにすべてのステップをプレイしていたかどうかは全く問題ではない。全ユーザは「同じ立場に」あり、したがって他のユーザによって容易に代替することができる。

【0192】

４ アルゴランドの２つの実施形態
述べたように、非常に高次で、アルゴランドのラウンドは理想的には以下のように進行する。まず、ランダムに選択されたユーザであるリーダーが、新たなブロックを提案して、回付する。（このプロセスは、最初に少数の潜在的リーダーを選択し、次に、少なくともある程度の時間、１人の共通のリーダーが出現することを確保することを含む。）次に、ランダムに選択されたユーザの委員会が選択され、リーダーが提案したブロックに対してビザンチン合意に達する。（このプロセスは、ＢＡプロトコルの各ステップが、個別に選択された委員会によって実行されることを含む。）そして、合意されたブロックに、委員会メンバーの所与の閾値（Ｔ_Ｈ）が電子署名する。新たなブロックがどれかを誰もが確信するように、これらの電子署名を伝播する。（これには、署名者のクレデンシャルを回付することと、新たなブロックのハッシュだけを認証することと、そのハッシュが明確にされたら、誰もが当該ブロックを知ることを保証されることを確実にすることを含む。）

【0193】

次の２つのセクションで、基本的なアルゴランドであるアルゴランド’_１およびアルゴランド’_２の設計の２つの実施形態を提示するが、これらはそれぞれ正規の誠実なユーザの過半数の仮定の下で機能する。セクション８に、「マネーの誠実な過半数」の仮定の下で機能するように、これらの実施形態をどのように採用するかを示す。

【0194】

アルゴランド’_１は、委員会メンバーの＞２／３が誠実であることのみを想定する。加えて、アルゴランド’_１では、ビザンチン合意に達するためのステップの数に、適切に高い数の上限を設けるので、合意は、固定数のステップ内で、圧倒的確率で達することが保証される（ただし、潜在的には、アルゴランド’_２のステップよりも長い時間が必要である）。最後のステップでもまだ合意に達しない極稀なケースでは、委員会が空のブロックに合意し、これは必ず有効である。

【0195】

アルゴランド’_２は、委員会の誠実なメンバーの数が必ず固定閾値ｔ_Ｈ以上であると想定する（このことは、圧倒的確率で委員会メンバーの少なくとも２／３が誠実であることを保証する）。加えて、アルゴランド’_２は、任意の数のステップ（ただし、時間は潜在的にアルゴランド’_１よりも短い）でビザンチン合意に達する。

【0196】

当業者は、これらの基本的な実施形態の多くの変型が導き出せることを認識するだろう。特に、アルゴランド’_２があれば、ビザンチン合意に任意の数のステップで達することができるようにアルゴランド’_１を修正するのは簡単である。

【0197】

いずれの実施形態も、下記の共通コア、記号、概念およびパラメータを共有する。

【0198】

４．１ 共通コア
目的
理想的には、各ラウンドｒについて、アルゴランドは次の性質を満たすべきである。
１．完璧な正当性．すべての誠実なユーザは、同じブロックＢ^ｒに合意する。
２．完全性１．確率１で、ブロックＢ^ｒは、誠実なユーザによって選ばれている。

【0199】

（実際、悪意のユーザは、必ず、支払集合が自分の「友人」だけの支払を含むブロックを選ぶだろう。）

【0200】

当然、完璧な正当性を保証するだけでは自明である。誰もが必ず、空である正式な支払集合ＰＡＹ^ｒを選ぶ。しかし、この場合、システムの完全性は０になるだろう。残念ながら、完璧な正当性と完全性１の両方を保証することは、悪意のユーザの存在下では容易ではない。したがって、アルゴランドは、より現実的な目的を採用する。略式に、誠実なユーザの割合をｈとすると、アルゴランドの目標であるｈ＞２／３は、
「圧倒的確率で、ｈに近い完璧な正当性および完全性を保証する。」

【0201】

完全性よりも正当性を特別扱いするのは、合理的な選択のように思える。１ラウンドで処理されない支払は次で処理できるが、可能なら、フォークを避けるべきであるからだ。

【0202】

誘導されるビザンチン合意
しばらくの間、過度な時間および通信を無視すると、完璧な正当性は以下のように保証することができるであろう。ラウンドｒの始まりで、各ユーザｉは自分自身の候補ブロックＢ_ｉ^ｒを提案する。すると、全ユーザは、候補ブロックのうちの１つだけに関してビザンチン合意に達する。序論に従い、採用するＢＡプロトコルは２／３の誠実な過半数を必要とし、プレーヤ代替性である。そのステップのそれぞれは、ランダムに選択された、検証者の小さな集合によって実行することができ、検証者は内部変数を一切共有しない。

【0203】

残念ながら、このアプローチはあまり機能しない。誠実なユーザが提案する候補ブロックは、非常に高い確率で、互いに全く異なる。実際、各誠実なユーザは異なる支払を見る。したがって、異なる誠実なユーザによって見られた支払の集合が多数の重複を有していても、誠実なユーザ全員が、提案された同じブロックを構築することは考えにくい。したがって、ＢＡプロトコルの整合性の合意は決して結ばれることがなく、唯一の合意は、正しいブロックに関するものではなく⊥に関するものであり、したがって、⊥に関する合意に必ず至り得る。

【0204】

アルゴランド’は、この問題を次のように回避する。まず、ラウンドｒのリーダーｌ^ｒが選択される。次に、ｌ^ｒは自分自身の候補ブロック

【数66】

[この文献は図面を表示できません]

を伝播する。最後に、ユーザは、実際にｌ^ｒから受信したブロックに関して合意に達する。ｌ^ｒが誠実であれば必ず、完璧な正当性および完全性１の両方が成り立つため、アルゴランド’は、ｌ^ｒがｈに近い確率で誠実であることを確実にする。

【0205】

リーダーの選択
アルゴランドでは、ｒ番目のブロックは次の形式である。

【数67】

[この文献は図面を表示できません]

【0206】

序論で既に述べたように、数量Ｑ^ｒ−１は、非常にパワフルな敵対者によって本質的に操作できないように慎重に構築される。（本セクションにおいて、後で、なぜそうなるかについてのいくつかの直観を提供する。）ラウンドｒの始まりで、全ユーザは、それまでのブロックチェーンＢ^０，．．．，Ｂ^ｒ−１を知り、当該ブロックチェーンから、前のラウンドすべてのユーザの集合、すなわち、ＰＫ^１，．．．，ＰＫ^ｒ−１を推論する。ラウンドｒの潜在的リーダーは、次の式になるようなユーザｉである。

【数68】

[この文献は図面を表示できません]

【0207】

説明しよう。基となる電子署名スキームのメッセージ検索可能性の性質のために、数量Ｑ^ｒ−１はブロックＢ^ｒ−１から推論可能であることに留意されたい。また、基となる署名スキームは一意性の性質を満たす。したがって、ＳＩＧ_ｉ（ｒ，１，Ｑ^ｒ−１）は、ｉおよびｒに一意に関連付けられているバイナリストリングである。したがって、Ｈはランダムオラクルであるので、Ｈ（ＳＩＧ_ｉ（ｒ，１，Ｑ^ｒ−１））は、ｉおよびｒに一意に関連付けられているランダムな２５６ビット長のストリングである。Ｈ（ＳＩＧ_ｉ（ｒ，１，Ｑ^ｒ−１））の前の記号（「．」）は小数（我々のケースではバイナリ）点であるので、

【数69】

[この文献は図面を表示できません]

は、ｉおよびｒに一意に関連付けられている０から１までの間のランダムな２５６ビット数のバイナリ展開である。したがって、ｒ_ｉがｐ以下である確率は本質的にｐである。

【0208】

確率ｐは、圧倒的（すなわち、１−Ｆ）確率で、少なくとも１人の潜在的検証者が誠実であるように選ばれる。（事実、ｐは、そのような確率が最小になるように選ばれる。）

【0209】

ｉの署名を計算することができるのはｉだけであるため、自分がラウンド１の潜在的検証者であるかどうかを判定できるのはｉだけであることに留意されたい。しかし、自分自身のクレデンシャル

【数70】

[この文献は図面を表示できません]

を明らかにすることによって、ｉは、ラウンドｒの潜在的検証者であることを誰に対しても証明することができる。

【0210】

リーダーｌ^ｒは、ハッシュ化されたクレデンシャルが他のすべての潜在的リーダーｊのハッシュ化されたクレデンシャル、すなわち

【数71】

[この文献は図面を表示できません]

よりも小さい潜在的リーダーと定義される。

【0211】

悪意のｌ^ｒは自分のクレデンシャルを明らかにしないかもしれないので、ラウンドｒの正当なリーダーは決して知られない可能性があること、また、ありそうもないタイを禁止すると、ｌ^ｒが実際にラウンドｒの唯一のリーダーであることに留意されたい。

【0212】

最後に、重要な詳細を提起させてほしい。ユーザｉは、少なくともｋ回のラウンドの間システムに所属している場合にのみ、ラウンドｒの潜在的リーダー（ひいてはリーダー）になることができる。このことは、Ｑ^ｒの操作不可能性および将来のすべてのＱ数量を保証する。事実、潜在的リーダーのうちの１人が実際にＱ^ｒを判定する。

【0213】

検証者の選択
ラウンドｒの各ステップｓ＞１は、検証者の小さな集合ＳＶ^ｒ，ｓによって実行される。ここでも、各検証者ｉ∈ＳＶ^ｒ，ｓは、既にｒよりも前にシステムのｋ回のラウンドにいたユーザの中から、かつ、ここでも特殊な数量Ｑ^ｒ−１を介して、ランダムに選択される。具体的には、ｉ∈ＰＫ^ｒ−ｋは、次の式が成り立つ場合、ＳＶ^ｒ，ｓの検証者である。

【数72】

[この文献は図面を表示できません]

【0214】

ここでも、ｉだけが自分がＳＶ^ｒ，ｓに所属しているかどうかを知っているが、そうである場合、ｉは、自分のクレデンシャル

【数73】

[この文献は図面を表示できません]

を提示することによってそのことを証明できるであろう。検証者ｉ∈ＳＶ^ｒ，ｓは、ラウンドｒのステップｓでメッセージｍ_ｉ^ｒ，ｓを送信し、このメッセージに自分のクレデンシャルσ_ｉ^ｒ，ｓを含めて、ｍ_ｉ^ｒ，ｓが適法なステップｓのメッセージであることを次のステップの検証者が認識できるようにする。

【0215】

確率ｐ’は、ＳＶ^ｒ，ｓにおいて、＃ｇｏｏｄを誠実なユーザの数にし、＃ｂａｄを悪意のユーザの数にして、圧倒的確率で次の２つの条件が成り立つことを確保するように選ばれる。
実施形態アルゴランド’_１の場合：
（１）＃ｇｏｏｄ＞２・＃ｂａｄ、かつ、
（２）＃ｇｏｏｄ＋４・＃ｂａｄ＜２ｎ、ここで、ｎはＳＶ^ｒ，ｓの期待濃度である。
実施形態アルゴランド’_２の場合：
（１）＃ｇｏｏｄ＞ｔ_Ｈ、かつ、
（２）＃ｇｏｏｄ＋２＃ｂａｄ＜２ｔ_Ｈ、ここで、ｔ_Ｈは指定の閾値である。

【0216】

上記条件は、十分に高い確率で、（ａ）ＢＡプロトコルの最後のステップで、新たなブロックＢ^ｒに電子署名する少なくとも所与の数の誠実なプレーヤがいること、（ｂ）ラウンドあたり１ブロックだけが必要な署名数を有することができること、および、（ｃ）使用されたＢＡプロトコルは（各ステップで）所要の２／３の誠実な過半数を有することを含意する。

【0217】

ブロック世代の明確化
ラウンドｒのリーダーｌ^ｒが誠実である場合、対応するブロックは次の形式である。

【数74】

[この文献は図面を表示できません]

上記式において、支払集合ＰＡＹ^ｒは極大である。（全プレーヤは、定義上、集合的に有効であることを思い出していただきたい。）

【0218】

そうでなければ（すなわち、ｌ^ｒが悪意である場合）、Ｂ^ｒは、次の２つの可能な形式のうちの一方を有する。

【数75】

[この文献は図面を表示できません]

および

【数76】

[この文献は図面を表示できません]

【0219】

最初の形式において、ＰＡＹ^ｒは（必ずしも極大ではない）支払集合であり、

【数77】

[この文献は図面を表示できません]

となり得る。さらに、ｉはラウンドｒの潜在的リーダーである。（ただし、ｉはリーダーｌ^ｒではないかもしれない。ｌ^ｒが自分のクレデンシャルを秘密にしておき、自分を明かさない場合には、実際にそうなるだろう。）

【0220】

２番目の形式は、ＢＡプロトコルのラウンドｒの実行時、すべての誠実なプレーヤがデフォルト値を出力するときに生じ、これは、我々のアプリケーションにおいては空のブロックＢ_ε^ｒである。（定義上、ＢＡプロトコルの可能な出力は、総称的に⊥で表されるデフォルト値を含む。セクション３．２を参照のこと。）

【0221】

支払集合はどちらのケースでも空であるが、

【数78】

[この文献は図面を表示できません]

およびＢ_ε^ｒは統語論的に異なるブロックであり、２つの異なる状況、それぞれ、「ＢＡプロトコルの実行時にすべてが十分にスムーズにいった」および「ＢＡプロトコルで何かがうまくいかなかったので、デフォルト値が出力された」が生じることに留意されたい。

【0222】

ここで、ブロックＢ^ｒの世代がアルゴランド’のラウンドｒでどのように進行するのかを直観的に説明しよう。最初のステップで、各適格プレーヤ、すなわち、各プレーヤｉ∈ＰＫ^ｒ−ｋは、自分が潜在的リーダーであるかどうかをチェックする。そうである場合、ｉは、それまでに自分が見てきた支払のすべておよび現行のブロックチェーンＢ^０，．．．，Ｂ^ｒ−１を使用して、最大支払集合ＰＡＹ_ｉ^ｒを秘密で準備し、候補ブロックＢ^ｒ＝（ｒ，ＰＡＹ_ｉ^ｒ，ＳＩＧ_ｉ（Ｑ^ｒ−１），Ｈ（Ｂ^ｒ−１））を秘密でアセンブルするよう求められる。すなわち、当該プレーヤｉはＢ_ｉ^ｒに、その第２成分として、ちょうど準備された支払集合を含めるだけでなく、その第３成分として、最後のブロックＢ^ｒ−１の第３成分であるＱ^ｒ−１の自分自身の署名も含める。最後に、当該プレーヤｉは、自分のラウンドｒステップ１メッセージｍ_ｉ^ｒ，１を伝播し、これには、（ａ）自分の候補ブロックＢ_ｉ^ｒ、（ｂ）自分の候補ブロックの自分の正規の署名（すなわち、Ｂ_ｉ^ｒのハッシュの署名）、および（ｃ）自分が本当にラウンドｒの潜在的検証者であることを証明する自分自身のクレデンシャルσ_ｉ^ｒ，１を含む。

【0223】

（誠実者ｉが自分のメッセージｍ_ｉ^ｒ，１を生成するまで、敵対者は、ｉが潜在的検証者であることの手がかりを持たないことに留意されたい。万が一誠実な潜在的リーダーを腐敗させることを望んでも、敵対者は、ランダムな誠実なプレーヤを腐敗させるのも同然である。しかし、一旦ｍ_ｉ^ｒ，１を見てしまえば、そこにｉのクレデンシャルが含まれているので、敵対者は、ｉを知り、腐敗させることができるであろう。だが、敵対者は、急速に伝播されるｍ_ｉ^ｒ，１がシステム内の全ユーザに到達するのを妨げることはできない。）

【0224】

第２ステップでは、選択された各検証者ｊ∈ＳＶ^ｒ，２は、ラウンドのリーダーを識別しようとする。具体的には、ｊは、受信した正規のステップ１メッセージｍ_ｉ^ｒ，１に含まれるステップ１クレデンシャル

【数79】

[この文献は図面を表示できません]

を取得し、そのすべてをハッシュ化する、すなわち、

【数80】

[この文献は図面を表示できません]

を計算し、そのハッシュが辞書式順序で最小であるクレデンシャル

【数81】

[この文献は図面を表示できません]

を見つけ、ｌ_ｊ^ｒをラウンドｒのリーダーとみなす。

【0225】

検討される各クレデンシャルはＱ^ｒ−１の電子署名であること、ＳＩＧ_ｉ（ｒ，１，Ｑ^ｒ−１）はｉとＱ^ｒ−１とによって一意に判定されること、Ｈはランダムオラクルであること、したがって、各Ｈ（ＳＩＧ_ｉ（ｒ，１，Ｑ^ｒ−１）はラウンドｒの各潜在的リーダーｉに一意な、ランダムな２５６ビット長のストリングであることを思い出していただきたい。

【0226】

このことから、我々は、２５６ビットストリングＱ^ｒ−１がそれ自体ランダムかつ独立して選択された場合、ラウンドｒのすべての潜在的リーダーのハッシュ化されたクレデンシャルもそうなるであろうと結論付けることができる。事実、すべての潜在的リーダーは十分に定義されているため、そのクレデンシャルも同様である（実際に計算されるかどうかは問わない）。さらに、ラウンドｒの潜在的リーダーの集合はラウンドｒ−ｋのユーザのランダムな部分集合であり、誠実な潜在的リーダーｉは、ｉのクレデンシャルを含む自分のメッセージｍ_ｉ^ｒを必ず正規に構築して伝播する。このように、誠実なユーザのパーセンテージがｈであるので、悪意の潜在的リーダーがどのようなことを行おうとも（例、自分自身のクレデンシャルを明らかにする、または隠す）、最小値の、ハッシュ化された潜在的リーダーのクレデンシャルは誠実なユーザに属し、当該誠実なユーザは必然的に、ラウンドｒのリーダーｌ^ｒとして全員に識別される。したがって、２５６ビットストリングＱ^ｒ−１がそれ自体ランダムかつ独立して選択される場合、まさしくｈの確率で、（ａ）リーダーｌ^ｒは誠実であり、かつ、（ｂ）誠実なステップ２検証者ｊ全員についてｌ_ｊ＝ｌ^ｒである。

【0227】

現実には、ハッシュ化されたクレデンシャルは、確かに、ランダムに選択されるが、ランダムかつ独立して選択されないＱ^ｒ−１に依存する。しかし、ラウンドのリーダーがｈに十分に近い確率ｈ’、すなわちｈ’＞ｈ^２（１＋ｈ−ｈ^２）で誠実であることを保証するのにＱ^ｒ−１が十分に操作不可能であることが、慎重な分析により保証される。例えば、ｈ＝８０％であれば、ｈ’＞０．７４２４である。

【0228】

ラウンドのリーダーを識別したら（リーダーｌ^ｒが誠実なときに検証者が正当に行う）、ステップ２検証者のタスクは、初期値として当該検証者がリーダーのブロックだと考えるものを使用して、ＢＡ^★の実行を始めることである。実際には、必要な通信量を最小限にするために、検証者ｊ∈ＳＶ^ｒ，２は、ビザンチンプロトコルへのその入力値ｖ’_ｊとして、（ユーザｊがリーダーだと考える）ｌ^ｒから実際に受信したブロックＢ_ｊを使用するのではなく、リーダー、ただしそのブロックのハッシュ、すなわち、ｖ’_ｊ＝Ｈ（Ｂ_ｉ）を使用する。したがって、ＢＡプロトコルの終了時に、最後のステップの検証者は所望のラウンドｒブロックＢ^ｒを計算するのではなく、Ｈ（Ｂ^ｒ）を計算（認証および伝播）する。したがって、Ｈ（Ｂ^ｒ）がＢＡプロトコルの最後のステップの十分に多くの検証者によって電子署名されるため、システム内のユーザは、Ｈ（Ｂ^ｒ）が新たなブロックのハッシュであることを認識する。しかし、ユーザはブロックＢ^ｒ自体も検索しなければならず（または、実行がかなり非同期であるため、待たなければならず）、これによりプロトコルは、敵対者がどのようなことをしようとも、実際に利用可能であることを確実にする。

【0229】

非同期性およびタイミング
アルゴランド’_１およびアルゴランド’_２は、有意な程度の非同期性を有する。そうするのは、敵対者が、伝播されるメッセージの配信の予定を組むことに大きな自由度を有するからである。加えて、ラウンドのステップの総数に上限を設けるかどうかを問わず、実際に取られるステップの数による分散寄与率がある。

【0230】

ユーザｉは、Ｂ^０，．．．，Ｂ^ｒ−１の証明書を知るや否や、Ｑ^ｒ−１を計算して、ラウンドｒに対する作業を開始し、ラウンドｒの何らかのステップｓにおいて自分が潜在的リーダーかどうか、または検証者かどうかをチェックする。

【0231】

ｉはステップｓで行為しなければならないと仮定すると、上述の非同期性に鑑みて、ｉは、自分が行為する前に十分な情報を有することを確実にするために様々な戦略に頼る。

【0232】

例えば、当該ユーザｉは、前のステップの検証者から少なくとも所与の数のメッセージを受信するのを待つ（アルゴランド’_１のときのように）か、または、前のステップの十分に多くの検証者のメッセージを受信することを確保するための十分な時間の間、待つ（アルゴランド’_２のときのように）。

【0233】

シードＱ^ｒおよびルックバックパラメータｋ
数量Ｑ^ｒは、敵対者にとって十分に操作不可能にすれば足りるが、理想としては、ランダムかつ独立しているべきであることを思い出していただきたい。

【0234】

一見すると、Ｈ（ＰＡＹ^ｒ−１）と同時に起こるようにＱ^ｒ−１を選べるであろう。しかし、要素分析から、この選択メカニズム（脚注５参照）を悪意のユーザが利用できることが明らかになった。いくらかの追加の努力から、従来のブロック数量に基づく無数の他の代替物は、悪意のリーダーが非常に頻繁に出現するのを確実にするために敵対者が容易に悪用できることが分かる。我々は代わりに具体的かつ帰納的に我々の全く新しい数量Ｑ^ｒを定義して、敵対者によって操作不可能であることを証明できるようにする。すなわち、
Ｂ^ｒが空ブロックではない場合、

【数82】

[この文献は図面を表示できません]

であり、そうでなければ

【数83】

[この文献は図面を表示できません]

である。

【0235】

脚注５
我々は、ラウンドｒ−１の始めにいる。したがって、Ｑ^ｒ−２＝ＰＡＹ^ｒ−２は公開で知られ、敵対者は、自分が支配する潜在的リーダーが誰であるかを秘かに知る。敵対者がユーザの１０％を支配し、非常に高い確率で、悪意のユーザｗがラウンドｒ−１の潜在的リーダーであると仮定する。すなわち、Ｈ（ＳＩＧ_ｗ（ｒ−２，１，Ｑ^ｒ−２））が非常に小さいので、誠実な潜在的リーダーが実際にラウンドｒ−１のリーダーになるということはとても起こりそうにないと仮定する。（我々は秘密暗号くじメカニズムにより潜在的リーダーを選んだため、敵対者は誰が誠実な潜在的リーダーかを知らないことを思い出していただきたい。）そのため、敵対者は、自分が望む支払集合ＰＡＹ’を選び、それをラウンドｒ−１の正式な支払集合にさせるという羨ましい立場にいる。しかし、当該敵対者はさらに多くのことを行える。当該敵対者は、高い確率で、（^＊）自分の悪意のユーザのうちの１人をラウンドｒのリーダーにもすることも確実にすることができるので、ＰＡＹ^ｒが何になるかを自由に選択することができる。（等々。少なくともしばらくの間、すなわち、これらの高確率イベントが現実に起こる限り。）保証するために（^＊）、敵対者は次のように行為する。ＰＡＹ’を、敵対者がラウンドｒ−１について好む支払集合にさせる。次に、当該敵対者はＨ（ＰＡＹ’）を計算して、いく人かの既に悪意のプレーヤｚについて、ＳＩＧ_ｚ（ｒ，１，Ｈ（ＰＡＹ’））は特に小さいかどうか、すなわち、非常に高い確率でｚがラウンドｒのリーダーになるのに十分に小さいかどうかをチェックする。そうである場合には、当該敵対者はｗに、自分の候補ブロックをＢ_ｉ^ｒ−１＝（ｒ−１，ＰＡＹ’，Ｈ（Ｂ^ｒ−２））にするように選ぶことを指示する。そうでなければ、当該敵対者は、他の２人の悪意のユーザｘおよびｙに、新たな支払

【数84】

[この文献は図面を表示できません]

を次から次に、いく人かの悪意のユーザｚについて（または、いく人かの固定ユーザｚについても）

【数85】

[この文献は図面を表示できません]

が特に小さくなるまで、生成を続けさせる。この実験は、程なくして終わるだろう。そして、この実験が終わると、敵対者はｗに、候補ブロック

【数86】

[この文献は図面を表示できません]

を提案するように求める。

【0236】

このようなＱ^ｒの構築がなぜ機能するかの直観は、次の通りである。しばらくの間、Ｑ^ｒ−１が真にランダムかつ独立して選択されると仮定する。その場合、Ｑ^ｒはそのようになるだろうか？ ｌ^ｒが誠実であるとき、答えは（大雑把にいうと）イエスである。そうなるのは、

【数87】

[この文献は図面を表示できません]

がランダム関数だからである。しかし、ｌ^ｒが悪意のとき、Ｑ^ｒはＱ^ｒ−１およびｌ^ｒから一義的に定義されなくなる。Ｑ^ｒについては、少なくとも２つの別々の値がある。１つは、

【数88】

[この文献は図面を表示できません]

になるように続き、もう１つはＨ（Ｑ^ｒ−１，ｒ）である。まず、２つ目の選択肢はやや恣意的であるが、２つ目の選択肢が絶対的に義務的であることを論じさせてほしい。この理由は、悪意のｌ^ｒが必ず、全く異なる候補ブロックを第２ステップの誠実な検証者に受信させることができるためである。（脚注６参照）一旦そうなると、ラウンドｒのＢＡプロトコルにより最終的に合意されたブロックがデフォルトになること、したがって、Ｑ^ｒ−１の誰の電子署名も含まないことを確保するのは簡単である。しかし、システムは続けなければならず、このために、ラウンドｒのリーダーが必要である。このリーダーが自動的にかつオープンに選択される場合、敵対者は自明に当該リーダーを腐敗させる。同じプロセスで前のＱ^ｒ−１によって選択される場合、ラウンドｒ＋１でｌ^ｒが再びリーダーになる。我々は同じ秘密暗号くじメカニズムを使用するよう特に提案するが、新たなＱ数量、すなわちＨ（Ｑ^ｒ−１，ｒ）に適用される。この数量をＨの出力にすることによって、出力がランダムであることを保証し、ｒをＨの第２入力として含むことによって、Ｈの他のすべての使用は単一入力または少なくとも３つの入力のいずれかを有するので、このようなＱ^ｒが独立して選択されることを「保証する」。ここでも、我々の特定的な代替Ｑ^ｒの選択肢は問題ではなく、問題なのはｌ^ｒがＱ^ｒについて２つの選択肢を有することであり、したがって当該ｌ^ｒは、別の悪意のユーザを次のリーダーとする機会を２倍にすることができる。

【0237】

脚注６
例えば、単純にしておくために（ただし極度に）、「第２ステップの時間が終了しそうなとき」、ｌ^ｒは異なる候補ブロックＢ_ｉを各ユーザｉに直接電子メール送信することができるであろう。このように、誰がステップ２の検証者であろうとも、全く異なるブロックを受信したことになる。

【0238】

Ｑ^ｒの選択肢は、悪意のｌ^ｒを支配する敵対者についてはさらに数多くあり得る。例えば、ｘ，ｙおよびｚを、ラウンドｒの３人の悪意の潜在的リーダーとし、

【数89】

[この文献は図面を表示できません]

かつ、Ｈ（σ_ｚ^ｒ，１）が特に小さくなるようにする。すなわち、すべての誠実な潜在的リーダーのハッシュ化されたクレデンシャルよりもＨ（σ_ｚ^ｒ，１）が小さくなる可能性が十分になるように小さくする。そして、ｘに対して自分のクレデンシャルを隠すように求めることによって、敵対者には、ｙをラウンドｒ−１のリーダーにする可能性が十分にある。このことは、当該敵対者が、Ｑ^ｒについての別の選択肢、すなわち、Ｈ（ＳＩＧ_ｙ（Ｑ^ｒ−１），ｒ）を有することを含意する。同様に、敵対者は、ｘおよびｙの両方に対してそのクレデンシャルを与えずにおくよう求めて、ｚをラウンドｒ−１のリーダーにさせるようにすることもでき、Ｑ^ｒについての別の選択肢、すなわち、Ｈ（ＳＩＧ_ｚ（Ｑ^ｒ−１），ｒ）を得る。

【0239】

しかし、当然ながら、敵対者が誠実な潜在的ユーザの電子署名のハッシュを予測することができないので、これらおよび他の選択肢のそれぞれは、失敗する可能性がゼロではない。

【0240】

慎重なマルコフ連鎖のような分析から、ラウンドｒ−１で敵対者がたとえどのような選択肢を取ることを選ぶにしても、当該敵対者は、システム内に新たなユーザを投入することができない限り、誠実なユーザをラウンドｒ＋４０のリーダーにする確率をｈよりはるかに低くすることはできない。これが、ラウンドｒの潜在的リーダーを、ラウンドｒ−ｋに既に存在しているユーザにすることを我々が要求する理由である。これは、ラウンドｒ−ｋで、敵対者は誠実なユーザがラウンドｒのリーダーになる確率を大幅に改変することができないことを確実にする方法である。事実、敵対者がラウンドｒ−ｋからラウンドｒでシステムにどのようなユーザを加えようとも、彼らはラウンドｒの潜在的リーダー（ましてやリーダー）になるには不適格である。このため、ルックバックパラメータｋは、最終的にはセキュリティパラメータである。（ただし、セクション７で見るように、一種の「便利なパラメータ」になることもできる。）

【0241】

一時的な鍵
我々のプロトコルの実行は、無視できる確率を除き、フォークを生成することができないが、敵対者は、適法なブロックｒが生成された後で、ｒ番目のブロックでフォークを生成することはできるであろう。

【0242】

大まかにいうと、一旦Ｂ^ｒが生成されると、敵対者は、ラウンドｒの各ステップの検証者が誰であるかを知ったことになる。そのため、当該敵対者は当該検証者全員を腐敗させ、当該検証者に新たなブロック

【数90】

[この文献は図面を表示できません]

を認定することを義務付けることができるであろう。この偽ブロックは適法なブロックの後でしか伝播させられないため、注意を払っているユーザは騙されないであろう（脚注７参照）。それでもなお

【数91】

[この文献は図面を表示できません]

は統語論的に正しいであろうが、我々は、製造されるのを防ぎたい。

【0243】

脚注７
大手ＴＶネットワークのニュースアンカーを腐敗させて、クリントン長官が直近の大統領選挙に勝ったことを示すニュース映画を制作して、今日放送することを考えてみる。我々のほとんどは、それがいたずらであることに気づくであろう。しかし、昏睡状態から覚めた誰かは騙される可能性がある。

【0244】

我々は、新ルールによってそのようにする。本質的に、ラウンドｒのステップｓの検証者集合ＳＶ^ｒ，ｓのメンバーは、自分のメッセージに電子署名するために一時的な公開鍵ｐｋ_ｉ^ｒ，ｓを使用する。これらの鍵は１度しか使用できず、それに対応する秘密鍵ｓｋ_ｉ^ｒ，ｓは、一旦使用されると破壊される。このように、検証者が後に腐敗させられる場合、敵対者は、検証者が元々署名しなかった他のものに署名させることはできない。

【0245】

当然ながら、我々は、敵対者が新たな鍵

【数92】

[この文献は図面を表示できません]

を計算するのが不可能であることを確実にし、それがステップｓで使用するための検証者の正しい一時的な鍵ｉ∈ＳＶ^ｒ，ｓであることを誠実なユーザに確信させなければならない。

【0246】

４．２ 共通の記号、概念およびパラメータのまとめ
記号
・ｒ≧０：現在のラウンド番号。

【0247】

・ｓ≧１：ラウンドｒにおける現在のステップ番号。

【0248】

・Ｂ^ｒ：ラウンドｒで生成されたブロック。

【0249】

・ＰＫ^ｒ：ラウンドｒ−１の終わりまで、および、ラウンドｒの始まりにおける公開鍵の集合。

【0250】

・Ｓ^ｒ：ラウンドｒ−１の終わりまで、および、ラウンドｒの始まりにおけるシステムのステータス（脚注８参照）。

【0251】

脚注８
同期しないシステムでは、「ラウンドｒ−１の終わり」および「ラウンドｒの始まり」という概念は慎重に定義する必要がある。数学的には、ＰＫ^ｒおよびＳ^ｒは初期ステータスＳ^０およびブロックＢ^１，．．．，Ｂ^ｒ−１から計算する。

【0252】

・ＰＡＹ^ｒ：Ｂ^ｒに含まれる支払集合。

【0253】

・ｌ^ｒ：ラウンドｒのリーダー。ｌ^ｒはラウンドｒ支払集合ＰＡＹ^ｒを選ぶ（そして、次のＱ^ｒを判定する）。

【0254】

・Ｑ^ｒ：ラウンドｒのシードで、ラウンドｒの終わりに生成され、ラウンドｒ＋１の検証者を選ぶために使用される数量（すなわち、バイナリストリング）。Ｑ^ｒはブロックの支払集合とは独立しており、ｌ^ｒが操作することはできない。

【0255】

・ＳＶ^ｒ，ｓ：ラウンドｒのステップｓのために選ばれた検証者の集合。

【0256】

・ＳＶ^ｒ：ラウンドｒのために選ばれた検証者の集合、ＳＶ^ｒ＝∪_ｓ≧１ＳＶ^ｒ，ｓ。

【0257】

・ＭＳＶ^ｒ，ｓおよびＨＳＶ^ｒ，ｓ：それぞれ、ＳＶ^ｒ，ｓにおける悪意の検証者の集合および誠実な検証者の集合。ＭＳＶ^ｒ，ｓ∪ＨＳＶ^ｒ，ｓ＝ＳＶ^ｒ，ｓ、かつ、

【数93】

[この文献は図面を表示できません]

【0258】

・

【数94】

[この文献は図面を表示できません]

および

【数95】

[この文献は図面を表示できません]

：それぞれ、ｓ＞１の場合、各ＳＶ^ｒ，１における潜在的リーダーの期待数、および各ＳＶ^ｒ，ｓにおける検証者の期待数。
我々は、ｓ＞１の場合、ＳＶ^ｒ，１には少なくとも１人の誠実なメンバーを必要とするが、各ＳＶ^ｒ，ｓには少なくとも誠実なメンバーの過半数を必要とするため、ｎ_１＜＜ｎであることに注意されたい。

【0259】

・ｈ∈（０，１）：２／３より大きい定数。ｈはシステムにおける誠実者の比率。すなわち、使用する仮定によって、各ＰＫ^ｒにおける誠実なユーザまたは誠実なマネーの部分は少なくともｈである。

【0260】

・Ｈ：ランダムオラクルとしてモデル化された暗号学的ハッシュ関数。

【0261】

・⊥：Ｈの出力と同じ長さの特殊ストリング。

【0262】

・Ｆ∈（０，１）：許容される誤差確率を指定するパラメータ。確率≦Ｆは「無視できる」と見なされ、確率≧１−Ｆは「圧倒的」と見なされる。

【0263】

・ｐ_ｈ∈（０，１）：ラウンドｒのリーダーｌ^ｒが誠実である確率。理想的にはｐ_ｈ＝ｈである。敵対者が存在するときは、ｐ_ｈの値は分析によって判定される。

【0264】

・

【数96】

[この文献は図面を表示できません]

：ルックバックパラメータ。すなわち、ラウンドｒ−ｋはラウンドｒの検証者が選ばれるところである。すなわち、ＳＶ^ｒ⊆ＰＫ^ｒ−ｋ（脚注９参照）。

【0265】

脚注９
厳密にいうと、「ｒ−ｋ」は「最大｛０，ｒ−ｋ｝」であるべきである。

【0266】

・ｐ_１∈（０，１）：ラウンドｒの最初のステップについて、ラウンドｒ−ｋのユーザは、確率

【数97】

[この文献は図面を表示できません]

でＳＶ^ｒ，１に入るように選ばれる。

【0267】

・ｐ∈（０，１）：ラウンドｒの各ステップｓ＞１について、ラウンドｒ−ｋのユーザは、確率

【数98】

[この文献は図面を表示できません]

でＳＶ^ｒ，ｓに入るように選ばれる。

【0268】

・ＣＥＲＴ^ｒ：Ｂ^ｒの証明書。ラウンドｒの正規の検証者からのＨ（Ｂ^ｒ）のｔ_Ｈ署名の集合である。

【0269】

・

【数99】

[この文献は図面を表示できません]

は証明済みブロックである。
ユーザｉは、当該ユーザｉが証明済みブロックの両方の部分を所有している（かつ、検証がうまくいく）場合にＢ^ｒを知る。異なるユーザが見るＣＥＲＴ^ｒは異なるかもしれないことに留意されたい。

【0270】

・

【数100】

[この文献は図面を表示できません]

：ユーザｉがＢ^ｒを知る（現地）時刻。アルゴランドプロトコルでは、各ユーザは自分自身のクロックを有する。異なるユーザのクロックは、同期させる必要はないが、同じ速度でなければならない。分析の目的でのみ、我々は基準クロックを考慮し、それに対するプレーヤの関連時刻を測定する。

【0271】

・α_ｉ^ｒ，ｓおよびβ_ｉ^ｒ，ｓ：それぞれ、ユーザｉがラウンドｒのステップｓの実行を開始する（現地）時刻および終了する（現地）時刻。

【0272】

・Λおよびλ：本質的に、それぞれアルゴランドプロトコルのステップ１を実行するために必要な時間と他のステップに必要な時間とについての上限。
パラメータΛは、単一の１ＭＢブロックを伝播するために必要な時間に上限を設ける。
パラメータλは、ステップｓ＞１で検証者ごとに１つの小さなメッセージを伝播するために必要な時間に上限を設ける。
我々は、Λ≦４λと仮定する。

【0273】

概念
・検証者の選択
各ラウンドｒおよびステップｓ＞１について、

【数101】

[この文献は図面を表示できません]

である。各ユーザｉ∈ＰＫ^ｒ−ｋは、自分の長期鍵を使用して自分の署名を秘かに計算し、ｉ∈ＳＶ^ｒ，ｓかどうかを決定する。ｉ∈ＳＶ^ｒ，ｓの場合、ＳＩＧ_ｉ（ｒ，ｓ，Ｑ^ｒ−１）は、ｉの（ｒ，ｓ）クレデンシャルであり、簡潔にσ_ｉ^ｒ，ｓで表される。
ラウンドｒの最初のステップについて、ＳＶ^ｒ，１およびσ_ｉ^ｒ，１は同様に定義され、ｐはｐ_１に置換される。ＳＶ^ｒ，１の検証者は潜在的リーダーである。

【0274】

・リーダーの選択
すべての潜在的リーダーｊ∈ＳＶ^ｒ，１について、Ｈ（σ_ｉ^ｒ，１）≦Ｈ（σ_ｊ^ｒ，１）の場合、ユーザｉ∈ＳＶ^ｒ，１は、ラウンドｒのリーダーである。２人のプレーヤのクレデンシャルのハッシュが比較される場合は必ず、起こりそうにないタイのイベントでは、プロトコルは必ず、潜在的リーダー（の長期公開鍵）に従って辞書式順序でタイをブレークする。
定義上、プレーヤｌ^ｒのクレデンシャルのハッシュ値は、ＰＫ^ｒ−ｋの全ユーザの中で最小でもある。潜在的リーダーは、他の潜在的リーダーのクレデンシャルを見なければ、自分がリーダーかどうかを秘かに決定することはできないことに留意されたい。
ハッシュ値はランダムで一様であるため、ＳＶ^ｒ，１が空ではない場合、ｌ^ｒは必ず存在し、少なくともｈの確率で誠実である。パラメータｎ_１は、各ＳＶ^ｒ，１が圧倒的確率で空ではないことを確保するのに十分に大きい。

【0275】

・ブロック構造
空ではないブロックは形式

【数102】

[この文献は図面を表示できません]

をとり、空のブロックは、形式

【数103】

[この文献は図面を表示できません]

をとる。
このラウンドで支払が発生していない場合、またはリーダーが悪意である場合には、空ではないブロックはまだ空の支払集合ＰＡＹ^ｒを含んでいるかもしれないことに留意されたい。しかし、空ではないブロックは、ｌ^ｒのアイデンティティであるそのクレデンシャル

【数104】

[この文献は図面を表示できません]

および

【数105】

[この文献は図面を表示できません]

は、すべて適時に明らかにされたことを含意する。プロトコルは、リーダーが誠実である場合、ブロックは圧倒的確率で空ではないことを保証する。

【0276】

・シードＱ^ｒ
Ｂ^ｒが空ではない場合、

【数106】

[この文献は図面を表示できません]

であり、そうでなければ

【数107】

[この文献は図面を表示できません]

である。

【0277】

パラメータ
・様々なパラメータ間の関係
−ラウンドｒの検証者および潜在的リーダーはＰＫ^ｒ−ｋのユーザから選択され、ここで、ｋは、敵対者がラウンドｒ−ｋ−１に遡ってＱ^ｒ−１をＦよりも良い確率で予測できないように選ばれる。そうでなければ、敵対者は、ラウンドｒ−ｋについて悪意のユーザを導入することができ、その全員が、ラウンドｒで潜在的リーダー／検証者になり、敵対者が望むいくつかのステップｓについて、ＳＶ^ｒ，ｓに悪意のリーダーまたは悪意の過半数を持つことに成功する。
−各ラウンドｒのステップ１について、ｎ_１は、圧倒的確率で

【数108】

[この文献は図面を表示できません]

になるように選ばれる。

【0278】

・重要なパラメータの例示的な選択
−Ｈの出力は、２５６ビット長である。
−ｈ＝８０％、ｎ_１＝３５。
−Λ＝１分、かつ、λ＝１５秒。

【0279】

・プロトコルの初期化
プロトコルは、ｒ＝０で時刻０で始まる。「Ｂ^−１」または「ＣＥＲＴ^−１」は存在しないので、統語論的に、Ｂ^−１は、Ｑ^−１を指定するその３番目の成分を持つ公開パラメータであり、全ユーザは、時刻０でＢ^−１を知っている。

【0280】

５ アルゴランド’_１
このセクションでは、次の仮定の下で機能するアルゴランド’の１つのバージョンを構築する。
「ユーザの誠実な過半数」の仮定：各ＰＫ^ｒにおいてユーザの２／３超が誠実である。
セクション８では、上記仮定を、所望の「マネーの誠実な過半数」の仮定に置き換える方法を示す。

【0281】

５．１ 追加の記号およびパラメータ
記号
・

【数109】

[この文献は図面を表示できません]

：バイナリＢＡプロトコルの最大ステップ数で、３の倍数。

【0282】

・Ｌ^ｒ≦ｍ／３：各試行が

【数110】

[この文献は図面を表示できません]

の確率で１になり、たかだかｍ／３の試行がある場合、１を見るために必要なベルヌーイ試行の回数を表すランダム変数。すべての試行が失敗する場合、

【数111】

[この文献は図面を表示できません]

になる。Ｌ^ｒは、ブロックＢ^ｒを生成するために必要な時間に上限を設けるために使用する。

【0283】

・

【数112】

[この文献は図面を表示できません]

：プロトコルの終了条件に必要な署名数。

【0284】

・ＣＥＲＴ^ｒ：Ｂ^ｒの証明書。これは、ラウンドｒの正規の検証者からのＨ（Ｂ^ｒ）のｔ_Ｈ署名の集合である。

【0285】

パラメータ
・様々なパラメータ間の関係。
−ラウンドｒの各ステップｓ＞１について、ｎは圧倒的確率で、

【数113】

[この文献は図面を表示できません]

かつ

【数114】

[この文献は図面を表示できません]

になるように選ばれる。
ｈの値が１に近づくほど、ｎは小さくなる必要がある。具体的には、チェルノフ限界（の変型）を使用して、所望の条件が圧倒的確率で成り立つことを確実にする。
−ｍは、圧倒的確率でＬ^ｒ＜ｍ／３になるように選ばれる。

【0286】

・重要なパラメータの例示的な選択。
−Ｆ＝１０^−１２。
−

【数115】

[この文献は図面を表示できません]

、ｋ＝４０およびｍ＝１８０。

【0287】

５．２ アルゴランド’_１での一時的な鍵の実装
既に述べたように、我々は、検証者ｉ∈ＳＶ^ｒ，ｓが、使用後直ちに破壊する一時的な秘密鍵ｓｋ_ｉ^ｒ，ｓを使用して、一時的な公開鍵ｐｋ_ｉ^ｒ，ｓに関連し、ラウンドｒのステップｓの自分のメッセージｍ_ｉ^ｒ，ｓに電子署名することを望む。したがって、ｐｋ_ｉ^ｒ，ｓが実際にｉによるｍ_ｉ^ｒ，ｓの署名を検証するために使用する鍵であることをすべてのユーザが検証することができることを確保する効率的な方法が必要である。アイデンティティベースの署名スキームの（我々が知る限りにおいて）新たな用途によってこれを行う。

【0288】

高次で、このようなスキームでは、中央集権機関Ａが公開マスター鍵ＰＭＫおよび対応する秘密マスター鍵ＳＭＫを生成する。プレーヤＵのアイデンティティＵがあるとすると、Ａは、ＳＭＫにより、公開鍵Ｕに対する秘密署名鍵ｓｋ_Ｕを計算し、ｓｋ_ＵをＵに秘かに与える。（実際、アイデンティティベースの電子署名スキームでは、ユーザＵの公開鍵はＵ自体である！）このように、Ａが電子署名の生成を可能にしたいユーザの秘密鍵の計算後にＡがＳＭＫを破壊して、計算した秘密鍵を保管しておかない場合、Ｕは、公開鍵Ｕに対するメッセージに電子署名することのできる唯一の人である。したがって、「Ｕの名前」を知る人は誰でも自動的にＵの公開鍵を知り、そのためＵの署名を（おそらく、これも公開マスター鍵ＰＭＫを使用して）検証することができる。

【0289】

我々のアプリケーションでは、権限機関Ａはユーザｉであり、すべての潜在的ユーザの集合Ｕは、例えば、Ｓ＝｛ｉ｝×｛ｒ’，．．．，ｒ’＋１０^６｝×｛１，．．．，ｍ＋３｝において、ラウンドステップペア（ｒ，ｓ）と一致し、上記式において、ｒ’は所与のラウンドであり、ｍ＋３は、１ラウンド内に発生してもよいステップ数の上限である。このように、

【数116】

[この文献は図面を表示できません]

は、ｉの署名

【数117】

[この文献は図面を表示できません]

を見る人が誰でも、圧倒的確率で、ｒ’に続く最初の１００万ラウンドｒでそれを直ちに検証することができるにするものである。

【0290】

言い換えると、ｉは、まずＰＭＫおよびＳＭＫを生成する。次に、ｉは、ＰＭＫが任意のラウンドｒ∈［ｒ’，ｒ’＋１０^６］のためのｉのマスター公開鍵であることを公表し、ＳＭＫを使用して各３つ組（ｉ，ｒ，ｓ）∈Ｓのための秘密鍵ｓｋ_ｉ^ｒ，ｓを秘かに生成して格納する。これが終了したら、ｉはＳＭＫを破壊する。自分がＳＶ^ｒ，ｓの一部ではないとｉが判定する場合、ｉはｓｋ_ｉ^ｒ，ｓをそのままにしておいてもよい（プロトコルはｉがラウンドｒのステップｓでメッセージを認証することを要求していないため）。そうでなければ、ｉは、まず、ｓｋ_ｉ^ｒ，ｓを使用して、自分のメッセージｍ_ｉ^ｒ，ｓに電子署名してから、ｓｋ_ｉ^ｒ，ｓを破壊する。

【0291】

ｉは、最初にシステムに入るときに、自分の最初の公開マスター鍵を公表できることに留意されたい。すなわち、ｉをシステムに（ラウンドｒ’またはｒ’に近いラウンドで）参加させる同じ支払

【数118】

[この文献は図面を表示できません]

が、ｉの要求により、任意のラウンドｒ∈［ｒ’，ｒ’＋１０^６］のためのｉの公開マスター鍵がＰＭＫであることも、例えば、形式（ＰＭＫ，［ｒ’，ｒ’＋１０^６］）ペアを含むことによって指定してもよい。

【0292】

また、ｍ＋３は１ラウンド内の最大ステップ数であるため、１ラウンドに１分かかると仮定すると、そのように生成される一時的な鍵の隠し場所はｉをほぼ２年間維持することにも留意されたい。同時に、これらの一時的な秘密鍵は、ｉが生成するのに長くなりすぎることもない。３２Ｂ鍵を持つ楕円曲線ベースのシステムを使用して、各秘密鍵は数マイクロ秒で計算される。したがって、ｍ＋３＝１８０であれば、１億８千万個のすべての秘密鍵を１時間未満で計算することができる。

【0293】

現行ラウンドがｒ’＋１０^６に近づいてくると、次の１００万ラウンドを処理するために、ｉは新たな（ＰＭＫ’，ＳＭＫ’）ペアを生成し、一時的な鍵の次の隠し場所が何であるかを、例えば、ＳＩＧ_ｉ（ＰＭＫ’，［ｒ’＋１０^６＋１，ｒ’＋２・１０^６＋１］）を、個別の「トランザクション」、または支払の一部であるいくつかの追加通知のいずれかとして、新たなブロックに進入させることによって通知する。そうすることによって、ｉは、自分がＰＭＫ’を使用して次の１００万ラウンドでｉの一時的な署名を検証することを全員に通知する。以降も同様。

【0294】

（この基本アプローチに従い、アイデンティティベースの署名を使用しなくても、一時的な鍵を実施するための他の方法は確かに可能であることに留意されたい。例えば、マークル木による（脚注１０参照）。）

【0295】

脚注１０
この方法では、ｉは、例えば、｛ｒ’，．．．，ｒ’＋１０^６｝×｛１，．．．，ｍ＋３｝で、各ラウンドステップペア（ｒ，ｓ）の公開・秘密鍵のペア（ｐｋ_ｉ^ｒ，ｓ，ｓｋ_ｉ^ｒ，ｓ）を生成する。次に、これらの公開鍵を正規的に順序付けし、ｊ番目の公開鍵をマークル木のｊ番目のリーフに格納し、ルート値Ｒ_ｉを計算し、これを公表する。ｉが鍵ｐｋ_ｉ^ｒ，ｓに関連するメッセージに署名したい場合、ｉは、実際の署名を提供するだけでなく、Ｒ_ｉに関連するｐｋ_ｉ^ｒ，ｓの認証経路も提供する。この認証経路は、ｐｋ_ｉ^ｒ，ｓがｊ番目のリーフに格納されていることも証明することに注意されたい。このアイデアから、詳細の残りを容易に埋めることができる。

【0296】

一時的な鍵を実施するための他の方法は、例えば、マークル木により、確かに可能である。

【0297】

５．３ アルゴランド’_１のステップとＢＡ^★のステップとのマッチング
前述のように、アルゴランド’_１の１ラウンドは、たかだかｍ＋３ステップを有する。

【0298】

ステップ１．
このステップでは、各潜在的リーダーｉは自分の候補ブロックＢ_ｉ^ｒを計算して、自分自身のクレデンシャルσ_ｉ^ｒ，１と一緒に伝播する。

【0299】

このクレデンシャルは明白にｉを識別することを思い出していただきたい。そうなるのは、

【数119】

[この文献は図面を表示できません]

であるからである。

【0300】

潜在的検証者ｉも、自分のメッセージの一部として、Ｈ（Ｂ_ｉ^ｒ）の自分の正規の電子署名を伝播する。支払またはクレデンシャルを処理するのではなく、ｉのこの署名は自分の一時的な公開鍵ｐｋ_ｉ^ｒ，１に関連する。すなわち、ｉは

【数120】

[この文献は図面を表示できません]

を伝播する。

【0301】

我々の規約を考えると、ｉは、Ｂ_ｉ^ｒおよび

【数121】

[この文献は図面を表示できません]

を伝播するのではなく、

【数122】

[この文献は図面を表示できません]

を伝播したかもしれない。しかし、我々の分析では、我々は、

【数123】

[この文献は図面を表示できません]

への明白なアクセス権を有する必要がある。

【0302】

ステップ２．
このステップでは、各検証者ｉは、ｌ_ｉ^ｒをそのハッシュ化されたクレデンシャルが最小である潜在的リーダーに、Ｂ_ｉ^ｒをｌ_ｉ^ｒによって提案されるブロックになるように設定する。効率のために、我々はＢ^ｒに対して直接ではなく、Ｈ（Ｂ^ｒ）に対して合意することを望むので、ｉは、初期値ｖ’_ｉ＝Ｈ（Ｂ_ｉ^ｒ）で、ＢＡ^★の最初のステップで伝播したであろうメッセージを伝播する。すなわち、ｉは、当然ながら、ｖ’_ｉに一時的に署名した後にｖ’_ｉを伝播する。（すなわち、正しい一時的な公開鍵、この場合ｐｋ_ｉ^ｒ，２に関連してそれに署名した後。）また当然、ｉは自分自身のクレデンシャルも伝送する。

【0303】

ＢＡ^★の最初のステップは段階的コンセンサスプロトコルＧＣの第１ステップからなるので、アルゴランド’のステップ２はＧＣの第１ステップに対応する。

【0304】

ステップ３．
このステップでは、各検証者ｉ∈ＳＶ^ｒ，２はＢＡ^★の第２ステップを実行する。すなわち、各検証者は、ＧＣの第２ステップで送ったであろう同じメッセージを送る。ここでも、ｉのメッセージは一時的に署名されて、ｉのクレデンシャルが添付される。（今後、検証者が自分のメッセージに一時的に署名して自分のクレデンシャルも伝播することを述べるのを省略する。）

【0305】

ステップ４．
このステップでは、すべての検証者ｉ∈ＳＶ^ｒ，４はＧＣの出力（ｖ_ｉ，ｇ_ｉ）を計算し、ＢＡ^★の第３ステップで、すなわち、ｇ_ｉ＝２の場合は初期ビット０で、そうでなければ１で、ＢＢＡ^★の第１ステップで送ったであろう同じメッセージに一時的に署名して送る。

【0306】

ステップｓ＝５，．．．，ｍ＋２．
このようなステップは、もし到達した場合、ＢＡ^★のステップｓ−１に対応し、したがってＢＢＡ^★のステップｓ−３に対応する。

【0307】

我々の伝播モデルは十分に非同期であるため、このようなステップｓの中央では、ブロックＢ^ｒが既に選ばれていることを検証者に証明する情報が検証者ｉ∈ＳＶ^ｒ，ｓに届く可能性を考慮しなければならない。この場合、ｉはアルゴランド’のラウンドｒの自分自身の実行を停止し、自分のラウンド（ｒ＋１）の命令の実行を始める。

【0308】

したがって、検証者ｉ∈ＳＶ^ｒ，ｓの命令は、ＢＢＡ^★のステップｓ−３に対応する命令に加えて、ＢＢＡ^★の実行が前のステップｓ’で中止されたかどうかをチェックすることを含む。ＢＢＡ^★は、コインを０に固定するステップまたはコインを１に固定するステップでしか中止できないので、命令は、
Ａ（終了条件０）：ｓ’−２≡０ ｍｏｄ ３、または
Ｂ（終了条件１）：ｓ’−２≡１ ｍｏｄ ３
かどうかを区別する。

【0309】

事実、ケースＡでは、ブロックＢ^ｒは空ではなく、したがって、追加の命令は、ｉが、その正規の証明書ＣＥＲＴ^ｒと合わせて、Ｂ^ｒを適切に再構築することを確実にするために必要である。ケースＢでは、ブロックＢ^ｒは空であり、したがって、ｉは

【数124】

[この文献は図面を表示できません]

を設定し、ＣＥＲＴ^ｒを計算するように命令される。

【0310】

ｉが、ステップｓを実行している間に、ブロックＢ^ｒが既に生成されたという証拠を見ない場合、ｉは、ＢＢＡ^★のステップｓ−３で送ったであろう同じメッセージを送る。

【0311】

ステップｍ＋３．
ステップｍ＋３の間に、前のステップｓ’でブロックＢ^ｒが既に生成されたことをｉ∈ＳＶ^{ｒ，ｍ＋３}が見る場合、ｉは、ちょうど上で説明したように進める。

【0312】

そうでない場合、ＢＢＡ^★のステップｍで送ったであろう同じメッセージを送るのではなく、ｉは、自分が所有している情報に基づいて、Ｂ^ｒおよびそれに対応する証明書ＣＥＲＴ^ｒを計算するように命令される。

【0313】

実際に、１ラウンドのステップの総数にｍ＋３の上限を設けることを思い出していただきたい。

【0314】

５．４ 実際のプロトコル
ラウンドｒの各ステップｓで、検証者ｉ∈ＳＶ^ｒ，ｓは、ｓ＝１のケースのＳＩＧ_ｉ（Ｑ^ｒ−１）だけでなく、自分のクレデンシャル

【数125】

[この文献は図面を表示できません]

を生成するために、長期公開・秘密鍵ペアを使用することを思い出していただきたい。検証者ｉは、一時的な秘密鍵ｓｋ_ｉ^ｒ，ｓを使用して、自分の（ｒ，ｓ）メッセージｍ_ｉ^ｒ，ｓに署名する。簡潔にするために、ｒおよびｓが明白である場合、ラウンドｒのステップｓにおける値ｘのｉによる正規の一時的な署名を表すために、

【数126】

[この文献は図面を表示できません]

ではなく、ｅｓｉｇ_ｉ（ｘ）を書き、（ｉ，ｘ，ｅｓｉｇ_ｉ（ｘ））を表すために、

【数127】

[この文献は図面を表示できません]

の代わりにＥＳＩＧ_ｉ（ｘ）を書く。

【0315】

ステップ１：ブロックの提案
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、Ｂ^ｒ−１を知るや否や、ラウンドｒの自分自身のステップ１を始める。

【0316】

・ユーザｉはＢ^ｒ−１の第３成分からＱ^ｒ−１を計算し、ｉ∈ＳＶ^ｒ，１かどうかをチェックする。

【0317】

・

【数128】

[この文献は図面を表示できません]

の場合、ｉは自分自身のステップ１の実行をすぐに停止する。

【0318】

・ｉ∈ＳＶ^ｒ，１の場合、すなわち、ｉが潜在的リーダーである場合、ｉは、それまでに当該ｉに伝播されてきたラウンドｒの支払を収集して、そこから最大支払集合ＰＡＹ_ｉ^ｒを計算する。次に、「候補ブロック」Ｂ_ｉ^ｒ＝（ｒ，ＰＡＹ_ｉ^ｒ，ＳＩＧ_ｉ（Ｑ^ｒ−１），Ｈ（Ｂ^ｒ−１））を計算する。最後にメッセージｍ_ｉ^ｒ，ｓ＝（Ｂ_ｉ^ｒ，ｅｓｉｇ_ｉ（Ｈ（Ｂ_ｉ^ｒ）），σ_ｉ^ｒ，１）を計算し、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，１を破壊してから、ｍ_ｉ^ｒ，１を伝播する。

【0319】

備考
実際上、ステップ１の大域的実行を短縮するために、（ｒ，１）メッセージを選択的に伝播することが重要である。すなわち、システム内の全ユーザｉについて、これまでに受信し検証が成功する第１（ｒ，１）メッセージに関し（脚注１１参照）、プレーヤｉはそれを通常通りに伝播する。プレーヤがｉを受信して検証が成功する他のすべての（ｒ，１）メッセージについては、それが含むクレデンシャルのハッシュ値が、当該プレーヤｉがそれまでに受信して検証が成功したすべての（ｒ，１）メッセージに含まれるクレデンシャルのハッシュ値の中で最も小さい場合に限り、それを伝播する。また、ジョルジオ・ブラコス（Ｇｅｏｒｇｉｏｓ Ｖｌａｃｈｏｓ）が提案するように、各潜在的リーダーｉも自分のクレデンシャルσ_ｉ^ｒ，１を個別に伝播することが有用である。これらの小さなメッセージはブロックよりも高速で移動し、含まれるクレデンシャルが小さいハッシュ値を有する場合に、ｍ_ｊ^ｒ，１の適時の伝播を確実にするのに対し、ハッシュ値が大きいものはすぐに消失させる。

【0320】

脚注１１
すなわち、すべての署名が正当であり、ブロックおよびそのハッシュが両方とも有効である。ただし、ｉは、含まれる支払集合がその提案者にとって最大かどうかをチェックしない。

【0321】

ステップ２：段階的コンセンサスプロトコルＧＣの第１ステップ
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、Ｂ^ｒ−１を知るや否や、ラウンドｒの自分自身のステップ２を始める。

【0322】

・ユーザｉはＢ^ｒ−１の第３成分からＱ^ｒ−１を計算し、ｉ∈ＳＶ^ｒ，２かどうかをチェックする。

【0323】

・

【数129】

[この文献は図面を表示できません]

の場合、ｉは自分自身のステップ２の実行をすぐに停止する。

【0324】

・ｉ∈ＳＶ^ｒ，２の場合、

【数130】

[この文献は図面を表示できません]

の時間量を待った後で、ｉは次のように行為する。

【0325】

１． それまでに受信し検証が成功した（ｒ，１）メッセージの一部であるすべてのクレデンシャルσ_ｊ^ｒ，１について、Ｈ（σ_ｌ^ｒ，１）≦Ｈ（σ_ｊ^ｒ，１）になるようなユーザｌを見つける（脚注１２参照）。

【0326】

脚注１２
本質的に、ユーザｉはラウンドｒのリーダーがユーザｌであることを秘かに決定する。

【0327】

２． ｌから有効なメッセージｍ_ｌ^ｒ，１＝（Ｂ_ｌ^ｒ，ｅｓｉｇ_ｌ（Ｈ（Ｂ_ｌ^ｒ）），σ_ｌ^ｒ，１）を受信した場合（脚注１３参照）、ｉは

【数131】

[この文献は図面を表示できません]

を設定し、そうでなければ、ｉは

【数132】

[この文献は図面を表示できません]

を設定する。

【0328】

脚注１３
ここでも、プレーヤｌの署名およびハッシュはすべて検証が成功し、Ｂ_ｌ^ｒのＰＡＹ_ｌ^ｒはラウンドｒの有効な支払集合である。ただし、ｉは、ＰＡＹ_ｌ^ｒがｌにとって最大かどうかはチェックしない。

【0329】

３． ｉは、メッセージ

【数133】

[この文献は図面を表示できません]

を計算し（脚注１４参照）、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，２を破壊してから、ｍ_ｉ^ｒ，２を伝播する。

【0330】

脚注１４
メッセージｍ_ｉ^ｒ，２は、プレーヤｉがｖ’_ｉを次のブロックのハッシュとみなす、または次のブロックを空だとみなすことを示す。

【0331】

ステップ３：ＧＣの第２ステップ
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、Ｂ^ｒ−１を知るや否や、ラウンドｒの自分自身のステップ３を始める。

【0332】

・ユーザｉはＢ^ｒ−１の第３成分からＱ^ｒ−１を計算し、ｉ∈ＳＶ^ｒ，３かどうかをチェックする。

【0333】

・

【数134】

[この文献は図面を表示できません]

の場合、ｉは自分自身のステップ３の実行をすぐに停止する。

【0334】

・ｉ∈ＳＶ^ｒ，３の場合、

【数135】

[この文献は図面を表示できません]

の時間量を待った後で、ｉは次のように行為する。

【0335】

１． 受信した有効なメッセージｍ_ｊ^ｒ，２すべての中で、一切の矛盾なく（脚注１５参照）、その２／３超が形式（ＥＳＩＧ_ｊ（ｖ’），σ_ｊ^ｒ，２）であるような値ｖ’≠⊥が存在する場合、メッセージ

【数136】

[この文献は図面を表示できません]

を計算する。そうでなければ、ｉは、

【数137】

[この文献は図面を表示できません]

を計算する。

【0336】

脚注１５
すなわち、ｉは、ＥＳＩＧ_ｊ（ｖ’）および異なるＥＳＩＧ_ｊ（ｖ”）をそれぞれ含む２つの有効なメッセージをプレーヤｊから受信していない。ここで、またこれ以降、後で定義する終了条件を除き、誠実なプレーヤが所与の形式のメッセージを望む場合は必ず、互いに矛盾するメッセージは決してカウントされず、または有効と見なされない。

【0337】

２． ｉは、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，３を破壊してから、ｍ_ｉ^ｒ，３を伝播する。

【0338】

ステップ４：ＧＣの出力およびＢＢＡ^★の第１ステップ
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、Ｂ^ｒ−１を知るや否や、ラウンドｒの自分自身のステップ４を始める。

【0339】

・ユーザｉはＢ^ｒ−１の第３成分からＱ^ｒ−１を計算し、ｉ∈ＳＶ^ｒ，４かどうかをチェックする。

【0340】

・

【数138】

[この文献は図面を表示できません]

の場合、ｉは自分自身のステップ４の実行をすぐに停止する。

【0341】

・ｉ∈ＳＶ^ｒ，４の場合、

【数139】

[この文献は図面を表示できません]

の時間量を待った後で、ｉは次のように行為する。

【0342】

１． ｖ_ｉおよびｇ_ｉ、ＧＣの出力を次のように計算する。
（ａ）受信した有効なメッセージｍ_ｊ^ｒ，３すべての中で、その２／３超が形式（ＥＳＩＧ_ｊ（ｖ’），σ_ｊ^ｒ，３）であるような値ｖ’≠⊥が存在する場合、

【数140】

[この文献は図面を表示できません]

および

【数141】

[この文献は図面を表示できません]

を設定する。
（ｂ）そうでなければ、受信した有効なメッセージｍ_ｊ^ｒ，３すべての中で、その１／３超が形式（ＥＳＩＧ_ｊ（ｖ’），σ_ｊ^ｒ，３）であるような値ｖ’≠⊥が存在する場合、

【数142】

[この文献は図面を表示できません]

および

【数143】

[この文献は図面を表示できません]

を設定する。（脚注１６参照）
（ｃ）それ以外の場合、

【数144】

[この文献は図面を表示できません]

および

【数145】

[この文献は図面を表示できません]

を設定する。

【0343】

脚注１６
ケース（ｂ）のｖ’は、存在する場合、一意でなければならないことは証明することができる。

【0344】

２． ｂ_ｉ、ＢＢＡ^★の入力を次のように計算する。
ｇ_ｉ＝２の場合

【数146】

[この文献は図面を表示できません]

で、そうでない場合は

【数147】

[この文献は図面を表示できません]

である。

【0345】

３． メッセージ

【数148】

[この文献は図面を表示できません]

を計算し、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，４を破壊してから、ｍ_ｉ^ｒ，４を伝播する。

【0346】

ステップｓ，５≦ｓ≦ｍ＋２，ｓ−２≡０ ｍｏｄ ３： ＢＢＡ^★の、コインを０に固定するステップ
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、Ｂ^ｒ−１を知るや否や、ラウンドｒの自分自身のステップｓを始める。

【0347】

・ユーザｉはＢ^ｒ−１の第３成分からＱ^ｒ−１を計算し、ｉ∈ＳＶ^ｒ，ｓかどうかをチェックする。

【0348】

・

【数149】

[この文献は図面を表示できません]

の場合、ｉは自分自身のステップｓの実行をすぐに停止する。

【0349】

・ｉ∈ＳＶ^ｒ，ｓの場合、ｉは次のように行為する。
−

【数150】

[この文献は図面を表示できません]

の時間量が経過するまで待つ。

【0350】

−終了条件０：このような待機中の任意の時点で、
（ａ）５≦ｓ’≦ｓ，ｓ’−２≡０ ｍｏｄ ３、すなわち、ステップｓ’がコインを０に固定するステップであり、
（ｂ）ｉは少なくとも

【数151】

[この文献は図面を表示できません]

の有効なメッセージｍ_ｊ^{ｒ，ｓ’−１}＝（ＥＳＩＧ_ｊ（０），ＥＳＩＧ_ｊ（ｖ），σ_ｊ^{ｒ，ｓ’−１}）を受信しており（脚注１７参照）、かつ、
（ｃ）ｉがｖ＝Ｈ（Ｂ_ｊ^ｒ）で有効なメッセージｍ_ｊ^ｒ，１＝（Ｂ_ｊ^ｒ，ｅｓｉｇ_ｊ（Ｈ（Ｂ_ｊ^ｒ）），σ_ｊ^ｒ，１）を受信した、
ようなストリングｖ≠⊥およびステップｓ’が存在する場合、ｉは何も伝播せずに、自分自身のステップｓ（また、実際にはラウンドｒ）の実行をすぐに停止し、Ｂ^ｒ＝Ｂ_ｊ^ｒを設定し、自分自身のＣＥＲＴ^ｒをサブステップ（ｂ）のメッセージｍ_ｊ^{ｒ，ｓ’−１}の集合になるように設定する（脚注１８参照）。

【0351】

脚注１７
プレーヤｊからのこのようなメッセージは、プレーヤｉが１について署名するｊからのメッセージも受信した場合であってもカウントされる。終了条件１についても同様。分析で示されるように、これは、すべての誠実なユーザが時間λ以内に互いからＢ^ｒを知ることを確保するために行われる。

【0352】

脚注１８
ユーザｉはここでＢ^ｒを知り、自身のラウンドｒを終わらせる。当該ユーザｉはそれでも一般ユーザとしてメッセージの伝播を手伝うが、（ｒ，ｓ）検証者としては伝播を開始しない。具体的には、当該ユーザｉは自分のＣＥＲＴ^ｒですべてのメッセージの伝播を手伝っているが、これは我々のプロトコルにとって十分である。ユーザｉはバイナリＢＡプロトコルについても

【数152】

[この文献は図面を表示できません]

を設定するべきであるが、この場合ｂ_ｉは一切必要ないことに留意されたい。すべての将来の命令についても同様。

【0353】

−終了条件１：このような待機中の任意の時点で、
（ａ’）６≦ｓ’≦ｓ，ｓ’−２≡１ ｍｏｄ ３、すなわち、ステップｓ’がコインを１に固定するステップであり、かつ、
（ｂ’）ｉが少なくともｔ_Ｈの有効なメッセージｍ_ｊ^{ｒ，ｓ’−１}＝（ＥＳＩＧ_ｊ（１），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ’−１}）を受信している（脚注１９参照）、
ようなステップｓ’が存在する場合、ｉは何も伝播せずに、自分自身のステップｓ（また、実際にはラウンドｒ）の実行をすぐに停止し、Ｂ^ｒ＝Ｂ_ε^ｒを設定し、自分自身のＣＥＲＴ^ｒをサブステップ（ｂ’）のメッセージｍ_ｊ^{ｒ，ｓ’−１}の集合になるように設定する。

【0354】

脚注１９
この場合、ｖ_ｊが何であるかは問題ではない。

【0355】

−そうでなければ、待機の終了時に、ユーザｉは次のことを行う。
ｖ_ｉを、受信した有効なｍ_ｊ^{ｒ，ｓ−１}すべての第２成分でｖ_ｊの過半数票になるように設定する。
ｉはｂ_ｉを次のように計算する。
受信した有効なｍ_ｊ^{ｒ，ｓ−１}すべての２／３超が形式（ＥＳＩＧ_ｊ（０），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ−１}）の場合、

【数153】

[この文献は図面を表示できません]

を設定する。
そうでなければ、受信した有効なｍ_ｊ^{ｒ，ｓ−１}すべての２／３超が形式（ＥＳＩＧ_ｊ（１），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ−１}）の場合、

【数154】

[この文献は図面を表示できません]

を設定する。
そうでなければ、

【数155】

[この文献は図面を表示できません]

を設定する。
メッセージ

【数156】

[この文献は図面を表示できません]

を計算し、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，ｓを破壊してから、ｍ_ｉ^ｒ，ｓを伝播する。

【0356】

ステップｓ，６≦ｓ≦ｍ＋２，ｓ−２≡１ ｍｏｄ ３： ＢＢＡ^★の、コインを１に固定するステップ
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、Ｂ^ｒ−１を知るや否や、ラウンドｒの自分自身のステップｓを始める。

【0357】

・ユーザｉはＢ^ｒ−１の第３成分からＱ^ｒ−１を計算し、ｉ∈ＳＶ^ｒ，ｓかどうかをチェックする。

【0358】

・

【数157】

[この文献は図面を表示できません]

の場合、ｉは自分自身のステップｓの実行をすぐに停止する。

【0359】

・ｉ∈ＳＶ^ｒ，ｓの場合、ｉは次のように行為する。
−

【数158】

[この文献は図面を表示できません]

の時間量が経過するまで待つ。
−終了条件０：コインを０に固定するステップと同じ命令。
−終了条件１：コインを０に固定するステップと同じ命令。
−そうでなければ、待機の終了時に、ユーザｉは次のことを行う。
ｖ_ｉを、受信した有効なｍ_ｊ^{ｒ，ｓ−１}すべての第２成分でｖ_ｊの過半数票になるように設定する。
ｉはｂ_ｉを次のように計算する。
受信した有効なｍ_ｊ^{ｒ，ｓ−１}すべての２／３超が形式（ＥＳＩＧ_ｊ（０），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ−１}）の場合、

【数159】

[この文献は図面を表示できません]

を設定する。
そうでなければ、受信した有効なｍ_ｊ^{ｒ，ｓ−１}すべての２／３超が形式（ＥＳＩＧ_ｊ（１），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ−１}）の場合、

【数160】

[この文献は図面を表示できません]

を設定する。
そうでなければ、

【数161】

[この文献は図面を表示できません]

を設定する。
メッセージ

【数162】

[この文献は図面を表示できません]

を計算し、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，ｓを破壊してから、ｍ_ｉ^ｒ，ｓを伝播する。

【0360】

ステップｓ，７≦ｓ≦ｍ＋２，ｓ−２≡２ ｍｏｄ ３： ＢＢＡ^★の、実際にコインを投げるステップ
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、Ｂ^ｒ−１を知るや否や、ラウンドｒの自分自身のステップｓを始める。

【0361】

・ユーザｉはＢ^ｒ−１の第３成分からＱ^ｒ−１を計算し、ｉ∈ＳＶ^ｒ，ｓかどうかをチェックする。

【0362】

・

【数163】

[この文献は図面を表示できません]

の場合、ｉは自分自身のステップｓの実行をすぐに停止する。

【0363】

・ｉ∈ＳＶ^ｒ，ｓの場合、ｉは次のように行為する。
−

【数164】

[この文献は図面を表示できません]

の時間量が経過するまで待つ。
−終了条件０：コインを０に固定するステップと同じ命令。
−終了条件１：コインを０に固定するステップと同じ命令。
−そうでなければ、待機の終了時に、ユーザｉは次のことを行う。
−ｖ_ｉを、受信した有効なｍ_ｊ^{ｒ，ｓ−１}すべての第２成分でｖ_ｊの過半数票になるように設定する。
ｉはｂ_ｉを次のように計算する。
受信した有効なｍ_ｊ^{ｒ，ｓ−１}すべての２／３超が形式（ＥＳＩＧ_ｊ（０），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ−１}）の場合、

【数165】

[この文献は図面を表示できません]

を設定する。
そうでなければ、受信した有効なｍ_ｊ^{ｒ，ｓ−１}すべての２／３超が形式（ＥＳＩＧ_ｊ（１），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ−１}）の場合、

【数166】

[この文献は図面を表示できません]

を設定する。
そうでなければ、ＳＶ_ｉ^{ｒ，ｓ−１}を、有効なメッセージｍ_ｊ^{ｒ，ｓ−１}を受信した（ｒ，ｓ−１）検証者の集合にする。

【数167】

[この文献は図面を表示できません]

を設定する。
メッセージ

【数168】

[この文献は図面を表示できません]

を計算し、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，ｓを破壊してから、ｍ_ｉ^ｒ，ｓを伝播する。

【0364】

ステップｍ＋３：ＢＢＡ^★の最後のステップ（脚注２０参照）
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、Ｂ^ｒ−１を知るや否や、ラウンドｒの自分自身のステップｍ＋３を始める。

【0365】

脚注２０
圧倒的確率で、ＢＢＡ^★はこのステップの前に終了しており、このステップを完全性のために明記する。

【0366】

・ユーザｉはＢ^ｒ−１の第３成分からＱ^ｒ−１を計算し、ｉ∈ＳＶ^{ｒ，ｍ＋３}かどうかをチェックする。

【0367】

・

【数169】

[この文献は図面を表示できません]

の場合、ｉは自分自身のステップｍ＋３の実行をすぐに停止する。

【0368】

・ｉ∈ＳＶ^{ｒ，ｍ＋３}の場合、ｉは次のことを行う。
−

【数170】

[この文献は図面を表示できません]

の時間量が経過するまで待つ。
−終了条件０：コインを０に固定するステップと同じ命令。
−終了条件１：コインを０に固定するステップと同じ命令。
−そうでなければ、待機の終了時に、ユーザｉは次のことを行う。

【数171】

[この文献は図面を表示できません]

および

【数172】

[この文献は図面を表示できません]

を設定する。
メッセージｍ_ｉ^{ｒ，ｍ＋３}＝（ＥＳＩＧ_ｉ（ｏｕｔ_ｉ），ＥＳＩＧ_ｉ（Ｈ（Ｂ^ｒ）），σ_ｉ^{ｒ，ｍ＋３}）を計算し、自分の一時的な秘密鍵ｓｋ_ｉ^{ｒ，ｍ＋３}を破壊してから、Ｂ^ｒを認定するためにｍ_ｉ^{ｒ，ｍ＋３}を伝播する（脚注２１参照）。

【0369】

脚注２１
ステップｍ＋３からの証明書は、ＥＳＩＧ_ｉ（ｏｕｔ_ｉ）を含まなければならないわけではない。一様性のためにのみこれを含めている。証明書はこれで、どのステップで生成されようとも一様なフォーマットを有する。

【0370】

非検証者によるラウンドｒブロックの再構成
システム内の全ユーザｉのための命令：ユーザｉは、Ｂ^ｒ−１を知るや否や、自分自身のラウンドｒを始め、ブロック情報を次のように待つ。

【0371】

−このような待機中の任意の時点で、
（ａ）ｓ’−２≡０ ｍｏｄ ３で、５≦ｓ’≦ｍ＋３、
（ｂ）ｉが少なくともｔ_Ｈの有効なメッセージｍ_ｊ^{ｒ，ｓ’−１}＝（ＥＳＩＧ_ｊ（０），ＥＳＩＧ_ｊ（ｖ），σ_ｊ^{ｒ，ｓ’−１}）を受信しており、かつ、
（ｃ）ｉがｖ＝Ｈ（Ｂ_ｊ^ｒ）で有効なメッセージｍ_ｊ^ｒ，１＝（Ｂ_ｊ^ｒ，ｅｓｉｇ_ｊ（Ｈ（Ｂ_ｊ^ｒ）），σ_ｊ^ｒ，１）を受信した、
ようなストリングｖおよびステップｓ’が存在する場合、ｉは自分自身のラウンドｒの実行をすぐに停止し、Ｂ^ｒ＝Ｂ_ｊ^ｒを設定し、自分自身のＣＥＲＴ^ｒをサブステップ（ｂ）のメッセージｍ_ｊ^{ｒ，ｓ’−１}の集合になるように設定する。

【0372】

−このような待機中の任意の時点で、
（ａ’）ｓ’−２≡１ ｍｏｄ ３で、６≦ｓ’≦ｍ＋３、かつ、
（ｂ’）ｉが少なくともｔ_Ｈの有効なメッセージｍ_ｊ^{ｒ，ｓ’−１}＝（ＥＳＩＧ_ｊ（１），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ’−１}）を受信している、
ようなステップｓ’が存在する場合、ｉは自分自身のラウンドｒの実行をすぐに停止し、Ｂ^ｒ＝Ｂ_ε^ｒを設定し、自分自身のＣＥＲＴ^ｒをサブステップ（ｂ’）のメッセージｍ_ｊ^{ｒ，ｓ’−１}の集合になるように設定する。

【0373】

−このような待機中の任意の時点で、ｉが少なくともｔ_Ｈの有効なメッセージｍ_ｊ^{ｒ，ｍ＋３}＝（ＥＳＩＧ_ｊ（１），ＥＳＩＧ_ｊ（Ｈ（Ｂ_ε^ｒ）），σ_ｊ^{ｒ，ｍ＋３}）を受信している場合、ｉは自分自身のラウンドｒの実行をすぐに停止し、Ｂ^ｒ＝Ｂ_ε^ｒを設定し、自分自身のＣＥＲＴ^ｒを１およびＨ（Ｂ_ε^ｒ）のメッセージｍ_ｊ^{ｒ，ｍ＋３}の集合になるように設定する。

【0374】

５．５ アルゴランド’_１の分析
分析で使用する各ラウンドｒ≧０について以下の記号を採用する。
・Ｔ^ｒを、第１の誠実なユーザがＢ^ｒ−１を知る時刻とする。
・Ｉ^ｒ＋１を、間隔［Ｔ^ｒ＋１，Ｔ^ｒ＋１＋λ］とする。

【0375】

Ｔ^０＝０はプロトコルの初期化によることに留意されたい。各ｓ≧１およびｉ∈ＳＶ^ｒ，ｓについて、α_ｉ^ｒ，ｓおよびβ_ｉ^ｒ，ｓはそれぞれプレーヤｉのステップｓの開始時刻および終了時刻であることを思い出していただきたい。また、各２≦ｓ≦ｍ＋３についてｔ_ｓ＝（２ｓ−３）λ＋Λであることを思い出していただきたい。加えて、

【数173】

[この文献は図面を表示できません]

および

【数174】

[この文献は図面を表示できません]

とする。

【0376】

最後に、各試行が

【数175】

[この文献は図面を表示できません]

の確率で１になり、たかだかｍ／３の試行がある場合、Ｌ^ｒ≦ｍ／３は、１を見るために必要なベルヌーイ試行の回数を表すランダム変数であることを思い出していただきたい。すべての試行が失敗すると、

【数176】

[この文献は図面を表示できません]

である。

【0377】

分析では、メッセージを伝播するために必要な時間に対して実際に無視できる程度であるため、計算時間を無視する。いずれにしても、やや大きいλおよびΛを使用することにより、計算時間を分析に直接組み入れることができる。以下の記述のほとんどは「圧倒的確率で」成り立つので、この事実については分析で繰返し強調しないこともある。

【0378】

５．６ 主要定理
定理５．１．
以下の性質は、各ラウンドｒ≧０について、圧倒的確率で成り立つ。
１．すべての誠実なユーザが同じブロックＢ^ｒに合意する。
２．リーダーｌ^ｒが誠実である場合、ブロックＢ^ｒはｌ^ｒによって生成され、Ｂ^ｒは、時刻

【数177】

[この文献は図面を表示できません]

までにｌ^ｒが受信した最大支払集合を含み、Ｔ^ｒ＋１≦Ｔ^ｒ＋８λ＋Λおよびすべての誠実なユーザが時間間隔Ｉ^ｒ＋１でＢ^ｒを知る。
３．リーダーｌ^ｒが悪意の場合、Ｔ^ｒ＋１≦Ｔ^ｒ＋（６Ｌ^ｒ＋１０）λ＋Λおよびすべての誠実なユーザが時間間隔Ｉ^ｒ＋１でＢ^ｒを知る。
４．Ｌ^ｒについてｐ_ｈ＝ｈ^２（１＋ｈ−ｈ^２）のとき、リーダーｌ^ｒは少なくともｐ_ｈの確率で誠実である。

【0379】

我々の主要定理を証明する前に、２つの注意点を述べよう。

【0380】

ブロック生成および真のレイテンシ
ブロックＢ^ｒを生成する時間は、Ｔ^ｒ＋１−Ｔ^ｒと定義される。すなわち、ある誠実なユーザがＢ^ｒを知った初めてのときと、ある誠実なユーザがＢ^ｒ−１を知った初めてのときと、の差と定義される。ラウンドｒのリーダーが誠実である場合、性質２の我々の主要定理は、ｈ＞２／３の正確な値が何であろうと、Ｂ^ｒを生成するまさにその時間が８λ＋Λ時間であることを保証する。リーダーが悪意の場合、ここでも、ｈの正確な値が何であろうと、性質３は、Ｂ^ｒを生成する期待時間に、

【数178】

[この文献は図面を表示できません]

によって上限が設けられることを含意する（脚注２２参照）。しかしながら、Ｂ^ｒを生成する期待時間はｈの正確な値によって変わる。実際には、性質４によって、ｐ_ｈ＝ｈ^２（１＋ｈ−ｈ^２）で、リーダーは少なくともｐ_ｈの確率で誠実であり、したがって、

【数179】

[この文献は図面を表示できません]

である。
たとえば、ｈ＝８０％の場合、

【数180】

[この文献は図面を表示できません]

である。

【0381】

脚注２２
実際には、

【数181】

[この文献は図面を表示できません]

である。

【0382】

定理５．１の証明．
性質１〜３を帰納法により証明する。当該性質１〜３がラウンドｒ−１について成り立つと仮定すると（一般性を損なうことなく、当該性質１〜３はｒ＝０のとき自動的に「ラウンド−１」について成り立つ）、ラウンドｒについてそれを証明する。

【0383】

Ｂ^ｒ−１は帰納的仮説によって一意に定義されるので、ラウンドｒの各ステップｓについて集合ＳＶ^ｒ，ｓが一意に定義される。ｎ_１を選ぶことによって、圧倒的確率で

【数182】

[この文献は図面を表示できません]

である。ここで、セクション５．７および５．８で証明される次の２つの補題を述べる。帰納法を通して、また２つの補題の証明において、ラウンド０の分析は帰納ステップとほぼ同じであり、これらが発生するときの違いを強調する。

【0384】

補題５．２．
［完全性の補題］ ラウンドｒ−１について性質１〜３が成り立つと仮定すると、リーダーｌ^ｒが誠実な場合、圧倒的確率で、
・すべての誠実なユーザは、ｌ^ｒによって生成され、時刻

【数183】

[この文献は図面を表示できません]

までにｌ^ｒによって受信された最大支払集合を含む同じブロックＢ^ｒに合意し、かつ、
・Ｔ^ｒ＋１≦Ｔ^ｒ＋８λ＋Λであり、すべての誠実なユーザは時間間隔Ｉ^ｒ＋１でＢ^ｒを知る。

【0385】

補題５．３．
［健全性の補題］性質１〜３がラウンドｒ−１について成り立つと仮定すると、リーダーｌ^ｒが悪意の場合、圧倒的確率で、すべての誠実なユーザは同じブロックＢ^ｒに合意し、Ｔ^ｒ＋１≦Ｔ^ｒ＋（６Ｌ^ｒ＋１０）λ＋Λであり、すべての誠実なユーザは時間間隔Ｉ^ｒ＋１でＢ^ｒを知る。
性質１〜３は、補題５．２および５．３をｒ＝０および帰納ステップに適用することによって成り立つ。最後に、性質４を、セクション５．９で証明される次の補題として再び述べる。

【0386】

補題５．４．
ｒの前の各ラウンドについて性質１〜３があるとすると、Ｌ^ｒについてｐ_ｈ＝ｈ^２（１＋ｈ−ｈ^２）で、少なくともｐ_ｈの確率でリーダーｌ^ｒは誠実である。
上記３つの補題を合わせると、定理５．１が成り立つ。
以下の補題は、帰納的仮説があるとして、ラウンドｒに関するいくつかの重要な性質を述べており、上記３つの補題の証明で使用される。

【0387】

補題５．５．
性質１〜３はラウンドｒ−１について成り立つと仮定する。ラウンドｒの各ステップｓ≧１および各誠実な検証者ｉ∈ＨＳＶ^ｒ，ｓについて、次のことが分かっている。
（ａ）α_ｉ^ｒ，ｓ∈Ｉ^ｒであり、
（ｂ）プレーヤｉが時間量ｔ_ｓ待っていた場合、ｒ＞０についてはβ_ｉ^ｒ，ｓ∈［Ｔ^ｒ＋ｔ_ｓ，Ｔ^ｒ＋λ＋ｔ_ｓ］で、ｒ＝０についてはβ_ｉ^ｒ，ｓ＝ｔ_ｓであり、かつ、
（ｃ）プレーヤｉが時間量ｔ_ｓ待っていた場合、ｉは、時刻β_ｉ^ｒ，ｓまでに、すべてのステップｓ’＜ｓについて、すべての誠実な検証者ｊ∈ＨＳＶ^ｒ，ｓ’によって送られたすべてのメッセージを受信している。
さらに、各ステップｓ≧３については、次のことが分かっている。
（ｄ）２人の異なるプレーヤｉ，ｉ’∈ＳＶ^ｒ，ｓは存在せず、同じ長さの２つの異なる値ｖ，ｖ’は存在しないので、どちらのプレーヤも時間量ｔ_ｓ待ち、プレーヤｉが受信するすべての有効なメッセージｍ_ｊ^{ｒ，ｓ−１}の２／３超がｖに関して署名しており、プレーヤｉ’が受信するすべての有効なメッセージｍ_ｊ^{ｒ，ｓ−１}の２／３超がｖ’に関して署名している。

【0388】

証明．
性質（ａ）は、プレーヤｉが時間間隔Ｉ^ｒでＢ^ｒ−１を知り、すぐに自分自身のステップｓを始めるため、帰納的仮説から直接得られる。性質（ｂ）は（ａ）から直接得られる。プレーヤｉは行為する前に時間量ｔ_ｓ待っているため、β_ｉ^ｒ，ｓ＝α_ｉ^ｒ，ｓ＋ｔ_ｓである。ｒ＝０についてはα_ｉ^ｒ，ｓ＝０であることに留意されたい。

【0389】

ここで、性質（ｃ）を証明する。ｓ＝２である場合、性質（ｂ）により、すべての検証者ｊ∈ＨＳＶ^ｒ，１については、次式になる。

【数184】

[この文献は図面を表示できません]

【0390】

各検証者ｊ∈ＨＳＶ^ｒ，１は自分のメッセージを時刻β_ｉ^ｒ，１に送り、メッセージはたかだかΛ時間内にすべての誠実なユーザに届き、時刻β_ｉ^ｒ，ｓまでに、プレーヤｉは所望のようにＨＳＶ^ｒ，１内のすべての検証者によって送られるメッセージを受信する。

【0391】

ｓ＞２の場合、ｔ_ｓ＝ｔ_ｓ−１＋２λである。性質（ｂ）により、すべてのステップｓ’＜ｓおよびすべての検証者ｊ∈ＨＳＶ^ｒ，ｓ’について、次の式になる。

【数185】

[この文献は図面を表示できません]

【0392】

各検証者ｊ∈ＨＳＶ^ｒ，ｓ’は自分のメッセージを時刻β_ｊ^ｒ，ｓ’に送り、メッセージはたかだかλ時間内にすべての誠実なユーザに届き、時刻β_ｉ^ｒ，ｓまでに、プレーヤｉは、すべてのｓ‘＜ｓについて、ＨＳＶ^ｒ，ｓ’内のすべての検証者によって送られるメッセージを受信する。したがって、性質（ｃ）は成り立つ。

【0393】

最後に、性質（ｄ）を証明する。検証者ｊ∈ＳＶ^{ｒ，ｓ−１}は自分の一時的な秘密鍵を使用して、ステップｓ−１でたかだか２つのことに署名することに留意されたい。すなわち、ハッシュ関数の出力と同じ長さの値ｖ_ｊと、また、ｓ−１≧４の場合はビットｂ_ｊ∈｛０，１｝である。そのため我々は、補題の言明において、ｖおよびｖ’が同じ長さを有することを要求する。多くの検証者はハッシュ値ｖおよびビットｂの両方に署名したかもしれず、したがって、どちらも２／３の閾値を超える。

【0394】

矛盾を目的として、所望の検証者ｉ，ｉ’および値ｖ，ｖ’が存在すると仮定する。ＭＳＶ^{ｒ，ｓ−１}内の何人かの悪意の検証者がｖおよびｖ’の両方に署名したかもしれないが、ＨＳＶ^{ｒ，ｓ−１}内の各誠実な検証者は、そのうちの、たかだか一方にしか署名していない。性質（ｃ）によって、ｉおよびｉ’はともにＨＳＶ^{ｒ，ｓ−１}内のすべての誠実な検証者によって送られたすべてのメッセージを受信している。

【0395】

ＨＳＶ^{ｒ，ｓ−１}（ｖ）を、ｖに署名した誠実な（ｒ，ｓ−１）検証者の集合とし、ＭＳＶ_ｉ^{ｒ，ｓ−１}を、ｉが有効なメッセージを受信した悪意の（ｒ，ｓ−１）検証者の集合とし、ＭＳＶ_ｉ^{ｒ，ｓ−１}（ｖ）を、ｖに署名する有効なメッセージをｉが受信したＭＳＶ_ｉ^{ｒ，ｓ−１}の小集合とする。ｉおよびｖの要件により、次の式になる。

【数186】

[この文献は図面を表示できません]

【0396】

まず、次のことを証明する。

【数187】

[この文献は図面を表示できません]

【0397】

そうでないと仮定すると、パラメータ間の関係により、圧倒的確率で、

【数188】

[この文献は図面を表示できません]

となり、したがって、

【数189】

[この文献は図面を表示できません]

となって、不等式１と矛盾する。

【0398】

次に、不等式１によって、次の式になる。

【数190】

[この文献は図面を表示できません]

【0399】

不等式２と組み合わせると、

【数191】

[この文献は図面を表示できません]

となり、これは、次の式を含意する。

【数192】

[この文献は図面を表示できません]

【0400】

同様に、ｉ’およびｖ’の要件によって、次の式になる。

【数193】

[この文献は図面を表示できません]

【0401】

誠実な検証者ｊ∈ＨＳＶ^{ｒ，ｓ−１}は、自分のメッセージを伝播する前に自分の一時的な秘密鍵ｓｋ_ｊ^{ｒ，ｓ−１}を破壊するので、敵対者は、ｊが検証者であると知った後で、ｊが署名しなかった値のｊの署名を偽造することはできない。このように、上記２つの不等式は、矛盾｜ＨＳＶ^{ｒ，ｓ−１}｜≧｜ＨＳＶ^{ｒ，ｓ−１}（ｖ）｜＋｜ＨＳＶ^{ｒ，ｓ−１}（ｖ’）｜＞｜ＨＳＶ^{ｒ，ｓ−１}｜を含意する。したがって、所望のｉ，ｉ’，ｖ，ｖ’は存在せず、性質（ｄ）は成り立つ。

【0402】

５．７ 完全性の補題
補題５．２．
［完全性の補題、書き換え］
ラウンドｒ−１について性質１〜３が成り立つと仮定すると、リーダーｌ^ｒが誠実な場合、圧倒的確率で、
・すべての誠実なユーザは、ｌ^ｒによって生成され、時刻

【数194】

[この文献は図面を表示できません]

までにｌ^ｒによって受信された最大支払集合を含む同じブロックＢ^ｒに合意し、かつ、
・Ｔ^ｒ＋１≦Ｔ^ｒ＋８λ＋Λであり、すべての誠実なユーザは時間間隔Ｉ^ｒ＋１でＢ^ｒを知る。

【0403】

証明．
帰納的仮説および補題５．５によって、各ステップｓおよび検証者ｉ∈ＨＳＶ^ｒ，ｓについて、α_ｉ^ｒ，ｓ∈Ｉ^ｒである。以下に、プロトコルをステップごとに分析する。

【0404】

ステップ１．
定義上、すべての誠実な検証者ｉ∈ＨＳＶ^ｒ，１は、所望のメッセージｍ_ｉ^ｒ，１を時刻β_ｉ^ｒ，１＝α_ｉ^ｒ，１のときに伝播し、ここで、ｍ_ｉ^ｒ，１＝（Ｂ_ｉ^ｒ，ｅｓｉｇ_ｉ（Ｈ（Ｂ_ｉ^ｒ）），σ_ｉ^ｒ，１）、Ｂ_ｉ^ｒ＝（ｒ，ＰＡＹ_ｉ^ｒ，ＳＩＧ_ｉ（Ｑ^ｒ−１），Ｈ（Ｂ^ｒ−１））であり、ＰＡＹ_ｉ^ｒはｉが時刻α_ｉ^ｒ，１までに見たすべての支払の中の最大支払集合である。

【0405】

ステップ２．
誠実な検証者ｉ∈ＨＳＶ^ｒ，２を任意に決める。補題５．５によって、プレーヤｉが時刻β_ｉ^ｒ，２＝α_ｉ^ｒ，２＋ｔ_２のときに待機を終えるとき、プレーヤｉは、

【数195】

[この文献は図面を表示できません]

を含め、ＨＳＶ^ｒ，１内の検証者によって送られたすべてのメッセージを受信している。ｌ^ｒの定義上、クレデンシャルのハッシュ値が

【数196】

[この文献は図面を表示できません]

よりも小さいＰＫ^ｒ−ｋ内の別のプレーヤは存在しない。当然、敵対者は

【数197】

[この文献は図面を表示できません]

が非常に小さいことを見た後にｌ^ｒを腐敗させることはできるが、そのときまでに、プレーヤｌ^ｒは自分の一時的な鍵を破壊して、メッセージ

【数198】

[この文献は図面を表示できません]

を伝播してしまっている。このように、検証者ｉは自分自身のリーダーをプレーヤｌ^ｒになるように設定する。したがって、時刻β_ｉ^ｒ，２に、検証者ｉはｍ_ｉ^ｒ，２＝（ＥＳＩＧ_ｉ（ｖ’_ｉ），σ_ｉ^ｒ，２）を伝播し、ここで、

【数199】

[この文献は図面を表示できません]

である。ｒ＝０のとき、唯一の違いは、範囲ではなく、β_ｉ^ｒ，２＝ｔ_２となることである。同様なことがその後のステップにも言えるので、改めてそれを強調しない。

【0406】

ステップ３．
誠実な検証者ｉ∈ＨＳＶ^ｒ，３を任意に決める。補題５．５によって、プレーヤｉが時刻β_ｉ^ｒ，３＝α_ｉ^ｒ，３＋ｔ_３のときに待機を終えるとき、プレーヤｉは、ＨＳＶ^ｒ，２内の検証者によって送られたすべてのメッセージを受信している。

【0407】

パラメータ間の関係によって、圧倒的確率で、｜ＨＳＶ^ｒ，２｜＞２｜ＭＳＶ^ｒ，２｜である。さらに、誠実な検証者は矛盾するメッセージに署名しないので、敵対者は、誠実な検証者が自分の対応する一時的な秘密鍵を破壊してまった後は、誠実な検証者の署名を偽造することはできない。このように、ｉが受信した有効な（ｒ，２）メッセージのすべての２／３超は誠実な検証者からのものであり、矛盾なく、形式

【数200】

[この文献は図面を表示できません]

をとる。

【0408】

したがって、時刻β_ｉ^ｒ，３で、プレーヤｉはｍ_ｉ^ｒ，３＝（ＥＳＩＧ_ｉ（ｖ’），σ_ｉ^ｒ，３）を伝播し、ここで、

【数201】

[この文献は図面を表示できません]

である。

【0409】

ステップ４．
誠実な検証者ｉ∈ＨＳＶ^ｒ，４を任意に決める。補題５．５によって、プレーヤｉが時刻β_ｉ^ｒ，４＝α_ｉ^ｒ，４＋ｔ_４のときに待機を終えるとき、プレーヤｉは、ＨＳＶ^ｒ，３内の検証者によって送られたすべてのメッセージを受信している。ステップ３と同様に、ｉが受信した有効な（ｒ，３）メッセージのすべての２／３超は誠実な検証者からのものであり、形式

【数202】

[この文献は図面を表示できません]

をとる。

【0410】

したがって、プレーヤｉは

【数203】

[この文献は図面を表示できません]

、ｇ_ｉ＝２およびｂ_ｉ＝０を設定する。時刻β_ｉ^ｒ，４＝α_ｉ^ｒ，４＋ｔ_４で、プレーヤｉは、

【数204】

[この文献は図面を表示できません]

を伝播する。

【0411】

ステップ５．
誠実な検証者ｉ∈ＨＳＶ^ｒ，５を任意に決める。補題５．５によって、プレーヤｉは、時刻α_ｉ^ｒ，５＋ｔ_５まで待っていた場合、ＨＳＶ^ｒ，４内の検証者によって送られたすべてのメッセージを受信しているだろう。｜ＨＳＶ^ｒ，４｜≧ｔ_Ｈであることに留意されたい（脚注２３参照）。また、ＨＳＶ^ｒ，４内のすべての検証者は

【数205】

[この文献は図面を表示できません]

について署名していることにも留意されたい。

【0412】

脚注２３
厳密にいうと、これは非常に高い確率で起こるが、必ずしも圧倒的ではない。しかし、この確率はプロトコルの実行時間に少し影響するものの、その正当性には影響を与えない。ｈ＝８０％のとき、確率１−１０^−８で｜ＨＳＶ^ｒ，４｜≧ｔ_Ｈになる。このイベントが発生しない場合、プロトコルは別の３ステップについて続行する。これが２ステップで発生しない確率は無視できる程度であるため、プロトコルはステップ８で終了する。すると、予想で、必要なステップ数はほぼ５である。

【0413】

｜ＭＳＶ^ｒ，４｜＜ｔ_Ｈのとき、ＳＶ^ｒ，４内のｔ_Ｈ検証者（必然的に悪意になるであろう）によって署名できたであろう

【数206】

[この文献は図面を表示できません]

は存在せず、そのためプレーヤｉは、ｔ_Ｈの有効なメッセージ

【数207】

[この文献は図面を表示できません]

を受信する前に停止しない。Ｔを、後者のイベントが発生するときの時刻とする。これらのメッセージのいくらかは悪意のプレーヤからのものであるかもしれないが、｜ＭＳＶ^ｒ，４｜＜ｔ_Ｈであるため、そのうちの少なくとも１つはＨＳＶ^ｒ，４内の誠実な検証者からのものであり、時刻Ｔ^ｒ＋ｔ_４の後に送られる。したがって、

【数208】

[この文献は図面を表示できません]

であり、時刻Ｔまでに、プレーヤｉはメッセージ

【数209】

[この文献は図面を表示できません]

も受信している。プロトコルの構築によって、プレーヤｉは時刻β_ｉ^ｒ，５＝Ｔで何も伝播せずに停止し、

【数210】

[この文献は図面を表示できません]

を設定し、自分自身のＣＥＲＴ^ｒを０についての（ｒ，４）メッセージおよび受信した

【数211】

[この文献は図面を表示できません]

の集合になるように設定する。

【0414】

ステップｓ＞５．
同様に、任意のステップｓ＞５および任意の検証者ｉ∈ＨＳＶ^ｒ，ｓについて、プレーヤｉは、時刻α_ｉ^ｒ，ｓ＋ｔ_ｓまで待っていた場合、ＨＳＶ^ｒ，４内の検証者によって送られたすべてのメッセージを受信しているだろう。同じ分析により、プレーヤｉは何も伝播せずに停止し、

【数212】

[この文献は図面を表示できません]

を設定する（また、自分自身のＣＥＲＴ^ｒを適切に設定する）。当然、悪意の検証者は停止しないこともあり、任意のメッセージを伝播するかもしれないが、｜ＭＳＶ^ｒ，ｓ｜＜ｔ_Ｈであるため、帰納法により、他のｖ’が任意のステップ４≦ｓ’＜ｓ内のｔ_Ｈ人の検証者によって署名され得るはずがなく、したがって、誠実な検証者のみが０についてのｔ_Ｈ個の有効な（ｒ，４）メッセージおよび

【数213】

[この文献は図面を表示できません]

を受信しているので停止する。

【0415】

ラウンドｒブロックの再構築
ステップ５の分析を、一般の誠実なユーザｉにほぼ何も変えずに適用する。実際、プレーヤｉは自分自身のラウンドｒを間隔Ｉ^ｒで開始し、

【数214】

[この文献は図面を表示できません]

についてｔ_Ｈ個の有効な（ｒ，４）メッセージを受信した時刻Ｔでのみ停止することになる。ここでも、これらのメッセージのうちの少なくとも１つは誠実な検証者からものであり、時刻Ｔ^ｒ＋ｔ_４の後で送られるので、プレーヤｉは時刻Ｔまでに

【数215】

[この文献は図面を表示できません]

も受信している。したがって、プレーヤｉは、正規のＣＥＲＴ^ｒで

【数216】

[この文献は図面を表示できません]

を設定する。

【0416】

すべての誠実なユーザが自分のラウンドｒを時間間隔Ｉ^ｒ＋１以内に終了することの証明のみが残っている。ステップ５の分析によって、すべての誠実な検証者ｉ∈ＨＳＶ^ｒ，５は、α_ｉ^ｒ，５＋ｔ_５≦Ｔ^ｒ＋λ＋ｔ_５＝Ｔ^ｒ＋８λ＋Λに、またはその前にＢ^ｒを知っている。Ｔ^ｒ＋１は最初の誠実なユーザｉ^ｒがＢ^ｒを知るときであるため、所望の通り次の式になる。

【数217】

[この文献は図面を表示できません]

さらに、プレーヤｉ^ｒがＢ^ｒを知るとき、当該プレーヤｉ^ｒは既に自分のＣＥＲＴ^ｒ内でメッセージの伝播を助けている。プレーヤｉ^ｒがそれを伝播する最初のプレーヤであった場合であっても、これらすべてのメッセージが時刻λ以内にすべての誠実なユーザによって受信されることに留意されたい。また、上記分析後、

【数218】

[この文献は図面を表示できません]

になり、そのため、すべての誠実なユーザは時刻Ｔ^ｒ＋１＋λまでに

【数219】

[この文献は図面を表示できません]

を受信している。したがって、すべての誠実なユーザが、時間間隔Ｉ^ｒ＋１＝［Ｔ^ｒ＋１，Ｔ^ｒ＋１＋λ］でＢ^ｒを知る。

【0417】

最後に、ｒ＝０について、実際に、Ｔ^１≦ｔ_４＋λ＝６λ＋Λになる。すべてを組み合わせると、補題５．２は成り立つ。

【0418】

５．８ 健全性の補題
補題５．３．
［健全性の補題、書き換え］
ラウンドｒ−１について性質１〜３が成り立つと仮定すると、リーダーｌ^ｒが悪意の場合、圧倒的確率で、すべての誠実なユーザは同じブロックＢ^ｒに合意し、Ｔ^ｒ＋１≦Ｔ^ｒ＋（６Ｌ^ｒ＋１０）λ＋Λで、すべての誠実なユーザは時間間隔Ｉ^ｒ＋１でＢ^ｒを知る。

【0419】

証明 プロトコルの２つの部分、ＧＣおよびＢＢＡ^★、を別々に検討する。

【0420】

ＧＣ
帰納的仮説および補題５．５によって、任意のステップｓ∈｛２，３，４｝および任意の誠実な検証者ｉ∈ＨＳＶ^ｒ，ｓについて、プレーヤｉが時刻β_ｉ^ｒ，ｓ＝α_ｉ^ｒ，ｓ＋ｔ_ｓで行為するとき、ステップｓ’＜ｓで、すべての誠実な検証者によって送られたすべてのメッセージを受信している。ステップ４について考えられる２つのケースを区別する。

【0421】

ケース１：
どの検証者ｉ∈ＨＳＶ^ｒ，４もｇ_ｉ＝２を設定しない。
この場合、定義上、すべての検証者ｉ∈ＨＳＶ^ｒ，４についてｂ_ｉ＝１である。すなわち、当該すべての検証者はバイナリＢＡプロトコルで１に関する合意から始める。当該すべての検証者は自分のｖ_ｉに関して合意しないかもしれないが、これは、バイナリＢＡで述べる通り問題ではない。

【0422】

ケース２：

【数220】

[この文献は図面を表示できません]

になるような検証者

【数221】

[この文献は図面を表示できません]

が存在する。
この場合、次のことを証明する。
（１）全ｉ∈ＨＳＶ^ｒ，４についてｇ_ｉ≧１であり、
（２）全ｉ∈ＨＳＶ^ｒ，４についてｖ_ｉ＝ｖ’になるような値ｖ’が存在し、かつ、
（３）ｖ’＝Ｈ（Ｂ_ｌ^ｒ）になるような、ある検証者ｌ∈ＳＶ^ｒ，１からの有効なメッセージｍ_ｌ^ｒ，１が存在する。

【0423】

実際、プレーヤ

【数222】

[この文献は図面を表示できません]

は誠実で、

【数223】

[この文献は図面を表示できません]

を設定するので、当該プレーヤが受信したすべての有効なメッセージｍ_ｊ^ｒ，３の２／３超は同じ値ｖ’≠⊥に関するものであり、当該プレーヤは

【数224】

[この文献は図面を表示できません]

を設定済みである。補題５．５の性質（ｄ）によって、他の誠実な（ｒ，４）検証者ｉについて、ｉ’が受信したすべての有効なメッセージｍ_ｊ^ｒ，３の２／３超が同じ値ｖ”≠ｖ’に関するものであるということはあり得ない。したがって、ｉがｇ_ｉ＝２を設定する場合、ｉは同じくｖ’についても＞２／３過半数を見ていなければならず、所望のように、ｖ_ｉ＝ｖ’を設定しなければならない。

【0424】

ここで、ｇ_ｉ＜２で任意の検証者ｉ∈ＨＳＶ^ｒ，４を考える。補題５．５の性質（ｄ）の分析と同様に、プレーヤ

【数225】

[この文献は図面を表示できません]

はｖ’について＞２／３過半数を見ているので、

【数226】

[この文献は図面を表示できません]

を超える誠実な（ｒ，３）検証者がｖ’に署名している。ｉは時刻β_ｉ^ｒ，４＝α_ｉ^ｒ，４＋ｔ_４までに誠実な（ｒ，３）検証者によるすべてのメッセージを受信しているため、特にｖ’について当該検証者から

【数227】

[この文献は図面を表示できません]

を超えるメッセージを受信している。｜ＨＳＶ^ｒ，３｜＞２｜ＭＳＶ^ｒ，３｜であるため、ｉはｖ’について＞１／３過半数を見ている。したがって、プレーヤｉはｇ_ｉ＝１を設定し、性質（１）は成り立つ。

【0425】

プレーヤｉは必ずｖ_ｉ＝ｖ’を設定するのだろうか？ プレーヤｉがｖ”についても＞１／３過半数を見たような、異なる値ｖ”≠⊥が存在すると仮定する。これらのメッセージのうちのいくらかは悪意の検証者からのものかもしれないが、そのうちの少なくとも１つは、ある誠実な検証者ｊ∈ＨＳＶ^ｒ，３からのものである。実際、｜ＨＳＶ^ｒ，３｜＞２｜ＭＳＶ^ｒ，３｜で、ｉはＨＳＶ^ｒ，３からすべてのメッセージを受信しているため、ｉが有効な（ｒ，３）メッセージを受信した悪意の検証者の集合は、ｉが受信したすべての有効なメッセージの＜１／３に値する。

【0426】

定義上、プレーヤｊは、受信したすべての有効な（ｒ，２）メッセージの中うち、ｖ”について＞２／３過半数を見ていなければならない。しかし我々は、ｖ’について何人かの他の誠実な（ｒ，３）検証者が＞２／３過半数を見たことを既に知っている（当該他の検証者がｖ’に署名したため）。補題５．５の性質（ｄ）によって、これは起こり得ず、このような値ｖ”は存在しない。したがって、プレーヤｉは所望の通りｖ_ｉ＝ｖ’を設定していなければならず、性質（２）が成り立つ。

【0427】

最後に、ｖ’について何人かの誠実な（ｒ，３）検証者が＞２／３過半数を見ているとすると、何人かの誠実な（ｒ，２）検証者（実際にはその半分より多く）がｖ’について署名し、自分のメッセージを伝播している。プロトコルの構築により、その誠実な（ｒ，２）検証者は、ｖ’＝Ｈ（Ｂ_ｌ^ｒ）であるプレーヤｌ∈ＳＶ^ｒ，１から有効なメッセージｍ_ｌ^ｒ，１を受信していなければならず、したがって、性質（３）が成り立つ。

【0428】

ＢＢＡ^★
ここでも２つのケースを区別する。

【0429】

ケース１ すべての検証者ｉ∈ＨＳＶ^ｒ，４はｂ_ｉ＝１になる。

【0430】

これは、ＧＣのケース１の後に起こる。｜ＭＳＶ^ｒ，４｜＜ｔ_Ｈであるため、この場合、ＳＶ^ｒ，５内の検証者は、ビット０についてｔ_Ｈ個の有効な（ｒ，４）メッセージを収集または生成することはできないであろう。したがって、ＨＳＶ^ｒ，５内の誠実な検証者は、空ではないブロックＢ^ｒを知っているため停止しないであろう。

【0431】

また、ビット１については少なくともｔ_Ｈ個の有効な（ｒ，４）メッセージがあるが、ｓ’＝５はｓ’−２≡１ ｍｏｄ ３を満たさないので、ＨＳＶ^ｒ，５内の誠実な検証者は、Ｂ^ｒ＝Ｂ_ε^ｒを知っているため停止しないであろう。

【0432】

代わりに、すべての検証者ｉ∈ＨＳＶ^ｒ，５が時刻β_ｉ^ｒ，５＝α_ｉ^ｒ，５＋ｔ_５で行為し、そのときまでに当該検証者は補題５．５の後にＨＳＶ^ｒ，４によって送られたすべてのメッセージを受信している。したがって、プレーヤｉは１について＞２／３過半数を見ており、ｂ_ｉ＝１を設定する。

【0433】

コインを１に固定するステップであるステップ６では、ｓ’＝５はｓ’−２≡０ ｍｏｄ ３を満たすが、ビット０についてｔ_Ｈ個の有効な（ｒ，４）メッセージは存在せず、そのため、ＨＳＶ^ｒ，６内の検証者は、空ではないブロックＢ^ｒを知っているため停止しないであろう。しかし、ｓ’＝６のときは、ｓ’−２≡１ ｍｏｄ ３で、ＨＳＶ^ｒ，５からのビット１についての｜ＨＳＶ^ｒ，５｜≧ｔ_Ｈ個の有効な（ｒ，５）メッセージが存在する。

【0434】

すべての検証者ｉ∈ＨＳＶ^ｒ，６について、補題５．５の後に、時刻α_ｉ^ｒ，６＋ｔ_６で、またはその前に、プレーヤｉはＨＳＶ^ｒ，５からすべてのメッセージを受信しており、そのためｉは何も伝播せずに停止して、Ｂ^ｒ＝Ｂ_ε^ｒを設定する。当該検証者ｉのＣＥＲＴ^ｒは、当該検証者ｉが停止するときに受信したｔ_Ｈ個の有効な（ｒ，５）メッセージｍ_ｊ^ｒ，５＝（ＥＳＩＧ_ｊ（１），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^ｒ，５）の集合である。

【0435】

次に、プレーヤｉを、ステップｓ＞６の誠実な検証者または一般の誠実なユーザ（つまり、非検証者）のいずれかにする。補題５．２の証明と同様に、プレーヤｉはＢ^ｒ＝Ｂ_ε^ｒを設定し、自分自身のＣＥＲＴ^ｒを、自分が受信しているｔ_Ｈ個の有効な（ｒ，５）メッセージｍ_ｊ^ｒ，５＝（ＥＳＩＧ_ｊ（１），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^ｒ，５）の集合に設定する。

【0436】

最後に、補題５．２と同様に、

【数228】

[この文献は図面を表示できません]

で、Ｂ^ｒを知っている最初の誠実なユーザｉが自分のＣＥＲＴ^ｒで（ｒ，５）メッセージの伝播を助けたため、すべての誠実なユーザは時間間隔Ｉ^ｒ＋１でＢ^ｒを知っている。

【0437】

ケース２

【数229】

[この文献は図面を表示できません]

で検証者

【数230】

[この文献は図面を表示できません]

は存在する。

【0438】

これは、ＧＣのケース２の後に起こり、より複雑なケースである。ＧＣの分析により、この場合、すべてのｉ∈ＨＳＶ^ｒ，４についてｖ_ｉ＝Ｈ（Ｂ_ｌ^ｒ）になるような有効なメッセージｍ_ｌ^ｒ，１が存在する。ＨＳＶ^ｒ，４の検証者は、当該検証者のｂ_ｉに関して合意しないかもしれないことに留意されたい。

【0439】

任意のステップｓ∈｛５，．．．，ｍ＋３｝で、検証者ｉ∈ＨＳＶ^ｒ，ｓについて、補題５．５により、プレーヤｉは、時間ｔ_ｓ待った場合、ＨＳＶ^ｒ，４∪．．．∪ＨＳＶ^{ｒ，ｓ−１}のすべての誠実な検証者によって送られたすべてのメッセージを受信しているだろう。

【0440】

ここで、次のイベントＥを検討する。すなわち、バイナリＢＡで初めて、あるプレーヤ

【数231】

[この文献は図面を表示できません]

（悪意か誠実かを問わない）が何も伝播せずに停止するようなステップｓ^＊≧５が存在する。「停止するような」という言葉を使用するのは、プレーヤｉ^＊が悪意の場合、プロトコルに従って停止しないようなふりをし、敵対者が選んだメッセージを伝播するかもしれないという事実を強調するためである。

【0441】

また、プロトコルの構築により、次のいずれかになる。
（Ｅ，ａ）ｉ^＊は、５≦ｓ’≦ｓ^＊、かつ、ｓ’−２≡０ ｍｏｄ ３で、同じｖおよびｓ’について少なくともｔ_Ｈ個の有効なメッセージｍ_ｊ^{ｒ，ｓ’−１}＝（ＥＳＩＧ_ｊ（０），ＥＳＩＧ_ｊ（ｖ），σ_ｊ^{ｒ，ｓ’−１}）を収集または生成することができる、または、
（Ｅ．ｂ）ｉ^＊は、６≦ｓ’≦ｓ^＊、かつ、ｓ’−２≡１ ｍｏｄ ３で、同じｓ’について少なくともｔ_Ｈ個の有効なメッセージｍ_ｊ^{ｒ，ｓ’−１}＝（ＥＳＩＧ_ｊ（１），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ’−１}）を収集または生成することができる。

【0442】

誠実な（ｒ，ｓ’−１）メッセージは、すべての誠実な（ｒ，ｓ’）検証者がステップｓ’で待機を終える前に受信されるため、また敵対者は誠実なユーザより遅れることなくすべてを受信するため、一般性を損なうことなく、ｓ’＝ｓ^＊、かつ、プレーヤｉ^＊が悪意になる。我々が、Ｅ．ａの値ｖが有効なブロックのハッシュであることを要求しなかったことに留意されたい。これは、分析で明らかになるように、このサブイベントではｖ＝Ｈ（Ｂ_ｌ^ｒ）である。

【0443】

以下に、まず、イベントＥの後のケース２を分析し、次いでｓ^＊の値が本質的にＬ^ｒに従い分散されることを証明する（このように、パラメータの関係があるとすると、イベントＥは圧倒的確率でステップｍ＋３の前に起こる）。始めに、任意のステップ５≦ｓ＜ｓ^＊について、すべての誠実な検証者ｉ∈ＨＳＶ^ｒ，ｓは時間ｔ_ｓ待って、受信した有効な（ｒ，ｓ−１）メッセージの過半数票になるようにｖ_ｉを設定する。プレーヤｉは補題５．５の後のすべての誠実な（ｒ，ｓ−１）メッセージを受信しているため、および、ＨＳＶ^ｒ，４内のすべての誠実な検証者はＧＣのケース２の後でＨ（Ｂ_ｌ^ｒ）に署名しているため、および、各ｓについて｜ＨＳＶ^{ｒ，ｓ−１}｜＞２｜ＭＳＶ^{ｒ，ｓ−１}｜であるため、帰納法により、プレーヤｉが

【数232】

[この文献は図面を表示できません]

を設定したことになる。

【0444】

何も伝播せずに停止しないすべての誠実な検証者

【数233】

[この文献は図面を表示できません]

について、同じことがいえる。ここで、ステップｓ^＊を検討し、４つのサブケースを区別する。

【0445】

ケース２．１．ａ イベントＥ．ａが起こり、何も伝播せずにやはり停止するような誠実な検証者

【数234】

[この文献は図面を表示できません]

が存在する。

【0446】

この場合、ｓ^＊−２≡０ ｍｏｄ ３になり、ステップｓ^＊は、コインを０に固定するステップである。

【0447】

定義上、プレーヤｉ’は形式

【数235】

[この文献は図面を表示できません]

の少なくともｔ_Ｈ個の有効な（ｒ，ｓ^＊−１）メッセージを受信している。

【数236】

[この文献は図面を表示できません]

内のすべての検証者はＨ（Ｂ_ｌ^ｒ）に署名しており、

【数237】

[この文献は図面を表示できません]

であるため、ｖ＝（Ｂ_ｌ^ｒ）になる。

【0448】

ｉ’が０およびｖについて受信した（ｒ，ｓ^＊−１）メッセージのうち少なくとも

【数238】

[この文献は図面を表示できません]

は、時間

【数239】

[この文献は図面を表示できません]

の後に

【数240】

[この文献は図面を表示できません]

内の検証者によって送られるため、プレーヤｉ’は、それらの（ｒ，ｓ^＊−１）メッセージを受信する時刻までにｍ_ｌ^ｒ，１を受信している。したがって、プレーヤｉ’は何も伝播せずに停止し、Ｂ^ｒ＝Ｂ_ｌ^ｒを設定し、自分自身のＣＥＲＴ^ｒを、自分が受信した０およびｖについての有効な（ｒ，ｓ^＊−１）メッセージの集合になるように設定する。

【0449】

次に、任意の他の検証者

【数241】

[この文献は図面を表示できません]

がＢ^ｒ＝Ｂ_ｌ^ｒで停止し、またはｂ_ｉ＝０を設定して（ＥＳＩＧ_ｉ（０），ＥＳＩＧ_ｉ（Ｈ（Ｂ_ｌ^ｒ）），σ_ｉ^ｒ，ｓ）を伝播していることを証明する。実際、ステップｓ^＊は、ある検証者が何も伝播せずに停止するような初回であるため、ｔ_Ｈ人の（ｒ，ｓ’−１）検証者が１を署名したような、ｓ’−２≡１ ｍｏｄ ３となるステップｓ’＜ｓ^＊は存在しない。したがって、Ｂ^ｒ＝Ｂ_ε^ｒで停止する、

【数242】

[この文献は図面を表示できません]

内の検証者はいない。

【0450】

また、ステップ｛４，５，．．．，ｓ^＊−１｝のすべての誠実な検証者はＨ（Ｂ_ｌ^ｒ）に署名しているため、ｔ_Ｈ人の（ｒ，ｓ’−１）検証者が何らかのｖ”≠Ｈ（Ｂ_ｌ^ｒ）に署名したような、ｓ’−２≡０ ｍｏｄ ３となるステップｓ’≦ｓ^＊は存在しない。実際、｜ＭＳＶ^{ｒ，ｓ’−１}｜＜ｔ_Ｈである。したがって、Ｂ^ｒ≠Ｂ_ε^ｒおよびＢ^ｒ≠Ｂ_ｌ^ｒで停止する、

【数243】

[この文献は図面を表示できません]

内の検証者はいない。すなわち、プレーヤ

【数244】

[この文献は図面を表示できません]

は、何も伝播せずに停止した場合、Ｂ^ｒ＝Ｂ_ｌ^ｒを設定していなければならない。プレーヤ

【数245】

[この文献は図面を表示できません]

は、時間ｔ_ｓ待ち、時刻

【数246】

[この文献は図面を表示できません]

でメッセージを伝播した場合、０およびｖについてそのうちの少なくとも

【数247】

[この文献は図面を表示できません]

を含め、

【数248】

[この文献は図面を表示できません]

からのすべてのメッセージを受信している。ｉは、１について＞２／３過半数を見ている場合、１について

【数249】

[この文献は図面を表示できません]

より多くの有効な（ｒ，ｓ^＊−１）メッセージを見ており、そのうちの

【数250】

[この文献は図面を表示できません]

は誠実な（ｒ，ｓ^＊−１）検証者からのものである。しかし、このことは

【数251】

[この文献は図面を表示できません]

を含意し、パラメータの関係から得られる

【数252】

[この文献は図面を表示できません]

の事実と矛盾する。したがって、ｉは１については＞２／３過半数を見ずに、ステップｓ^＊がコインを０に固定するステップであるため、ｂ_ｉ＝０を設定する。見てきたように、ｖ_ｉ＝Ｈ（Ｂ_ｌ^ｒ）である。したがって、証明したかった通り、ｉは（ＥＳＩＧ_ｉ（０），ＥＳＩＧ_ｉ（Ｈ（Ｂ_ｌ^ｒ）），σ_ｉ^ｒ，ｓ）を伝播する。

【0451】

ステップｓ^＊＋１について、プレーヤｉ’は時刻

【数253】

[この文献は図面を表示できません]

で、またはその前に、自分のＣＥＲＴ^ｒでメッセージの伝播を助けたため、

【数254】

[この文献は図面を表示できません]

内のすべての誠実な検証者は、待機を終わらせるとき、またはそれ以前にビット０および値Ｈ（Ｂ_ｌ^ｒ）について少なくともｔ_Ｈ個の有効な（ｒ，ｓ^＊−１）メッセージを受信している。さらに、

【数255】

[この文献は図面を表示できません]

内の検証者は、ステップｓ^＊の定義上、ｓ’−２≡１ ｍｏｄ ３、かつ、６≦ｓ’≦ｓ^＊＋１となる、ビット１について任意の他のｔ_Ｈ個の有効な（ｒ，ｓ^＊−１）メッセージが存在しないため、その（ｒ，ｓ^＊−１）メッセージを受信する前には停止しない。具体的には、ステップｓ^＊＋１自体はコインを１に固定するステップであるが、１についてメッセージを伝播した

【数256】

[この文献は図面を表示できません]

内の誠実な検証者はいないので、

【数257】

[この文献は図面を表示できません]

である。このように、

【数258】

[この文献は図面を表示できません]

内のすべての誠実な検証者は何も伝播せずに停止し、Ｂ^ｒ＝Ｂ_ｌ^ｒを設定する。前述の通り、当該誠実な検証者は、所望の（ｒ，ｓ^＊−１）メッセージを受信する前に、ｍ_ｌ^ｒ，１を受信している（脚注２４参照）。その後のステップのすべての誠実な検証者、および一般にすべての誠実なユーザについても同じことがいえる。具体的には、当該誠実なユーザは全員、時間間隔Ｉ^ｒ＋１以内にＢ^ｒ＝Ｂ_ｌ^ｒを知り、

【数259】

[この文献は図面を表示できません]

である。

【0452】

脚注２４
ｌが悪意の場合、いく人かの誠実なユーザ／検証者がｍ_ｌ^ｒ，１のために望ましい証明書を受信するときにまだ当該ｍ_ｌ^ｒ，１を受信していないことを望んで、当該悪意のｌは、ｍ_ｌ^ｒ，１を遅れて送るかもしれない。しかし、検証者

【数260】

[この文献は図面を表示できません]

は

【数261】

[この文献は図面を表示できません]

および

【数262】

[この文献は図面を表示できません]

を設定しているため、前述の通り、誠実な検証者ｉ∈ＨＳＶ^ｒ，３の半分より多くがｖ_ｉ＝Ｈ（Ｂ_ｌ^ｒ）を設定していることになる。これはさらに、誠実な検証者ｉ∈ＨＳＶ^ｒ，２の半分より多くがｖ_ｉ＝Ｈ（Ｂ_ｌ^ｒ）を設定しており、その（ｒ，２）検証者が全員ｍ_ｌ^ｒ，１を受信していることを含意する。具体的には、これら全（ｒ，２）検証者はそのステップ２の最後にｍ_ｌ^ｒ，１の伝播を助けている。それ以降、ｍ_ｌ^ｒ，１が残りの誠実なユーザに届くためかかる時間は、たかだかΛ時間である。すべての誠実なユーザが互いに時間λ以内にそのステップ２を停止し、検証者ｉ’がステップｓ^＊≧５で停止するとき、最後の誠実な（ｒ，２）検証者が自分のステップ２を停止する時刻から、ｉ’が自分のステップｓ^＊を停止する時刻まで、少なくともｔ_４−ｔ_２−λ−３λ時間が経過している。Λ≦４λのとき、ｍ_ｌ^ｒ，１が、ステップ２を停止する最後の人であった（ｒ，２）検証者によって当初伝播されたものであったとしても、すべての誠実なユーザは，
検証者ｖ’が停止した後のλ時間内にｍ_ｌ^ｒ，１を受信している。現実には、誠実な（ｒ，２）検証者のうちの半分より多くがｍ_ｌ^ｒ，１の伝播を助けているため、それがすべての誠実なユーザに届くための実際の時間はΛよりも短い。

【0453】

ケース２．１．ｂ：
イベントＥ．ｂが起こり、何も伝播せずにやはり停止するような誠実な検証者

【数263】

[この文献は図面を表示できません]

が存在する。

【0454】

この場合、ｓ^＊−２≡１ ｍｏｄ ３になり、ステップｓ^＊は、コインを１に固定するステップである。分析はケース２．１．ａと同様であるため、多くの詳細を省略した。

【0455】

前述の通り、プレーヤｉ’は、形式

【数264】

[この文献は図面を表示できません]

の少なくともｔ_Ｈ個の有効な（ｒ，ｓ^＊−１）メッセージを受信していなければならない。ここでも、ｓ^＊の定義上、少なくともｔ_Ｈ人の（ｒ，ｓ’−１）検証者が０および同じｖに署名している場合、ｓ’−２≡０ ｍｏｄ ３となるステップ５≦ｓ’＜ｓ^＊は存在しない。したがって、プレーヤｉ’は何も伝播せずに停止し、Ｂ^ｒ＝Ｂ_ε^ｒを設定し、自分自身のＣＥＲＴ^ｒを、自分が受信したビット１についての有効な（ｒ，ｓ^＊−１）メッセージの集合になるように設定する。

【0456】

さらに、任意の他の検証者

【数265】

[この文献は図面を表示できません]

がＢ^ｒ＝Ｂ_ε^ｒで停止し、またはｂ_ｉ＝１を設定して

【数266】

[この文献は図面を表示できません]

を伝播している。プレーヤｉ’は、時刻

【数267】

[この文献は図面を表示できません]

まで自分のＣＥＲＴ^ｒで（ｒ，ｓ^＊−１）メッセージの伝播を助けていたため、ここでも

【数268】

[この文献は図面を表示できません]

内のすべての誠実な検証者は何も伝播せずに停止し、Ｂ^ｒ＝Ｂ_ε^ｒを設定する。同様に、すべての誠実なユーザは時間間隔Ｉ^ｒ＋１以内にＢ^ｒ＝Ｂ_ε^ｒを知り、

【数269】

[この文献は図面を表示できません]

である。

【0457】

ケース２．２．ａ：
イベントＥ．ａが起こり、何も伝播せずにやはり停止するような誠実な検証者

【数270】

[この文献は図面を表示できません]

は存在しない。

【0458】

この場合、プレーヤｉ^＊は、敵対者が収集または生成することのできるｔ_Ｈ個の所望の（ｒ，ｓ^＊−１）メッセージからなる有効な

【数271】

[この文献は図面を表示できません]

を持つおそれがあるだろう。しかし、悪意の検証者はこれらのメッセージの伝播を助けられないので、誠実なユーザが時間λでそれを受信すると結論づけることはできない。事実、それらのメッセージのうちの

【数272】

[この文献は図面を表示できません]

は、自分のメッセージを全く伝播せずに、それをステップｓ^＊で悪意の検証者にしか送信しなかった悪意の（ｒ，ｓ^＊−１）検証者からのものであるかもしれない。

【0459】

ケース２．１．ａと同様に、ここではｓ^＊−２≡０ ｍｏｄ ３で、ステップｓ^＊は、コインを０に固定するステップであり、

【数273】

[この文献は図面を表示できません]

内の（ｒ，ｓ^＊−１）メッセージはビット０についてであり、ｖ＝Ｈ（Ｂ_ｌ^ｒ）となる。実際、すべての誠実な（ｒ，ｓ^＊−１）検証者はｖに署名し、したがって敵対者は異なるｖ’についてｔ_Ｈ個の有効な（ｒ，ｓ^＊−１）メッセージを生成することはできない。

【0460】

また、すべての誠実な（ｒ，ｓ^＊）検証者は時間ｔ_ｓ待っており、ここでも

【数274】

[この文献は図面を表示できません]

であるため、ビット１について＞２／３過半数を見ない。このように、すべての誠実な検証者

【数275】

[この文献は図面を表示できません]

は過半数票によってｂ_ｉ＝０、ｖ_ｉ＝Ｈ（Ｂ_ｌ^ｒ）を設定し、時刻

【数276】

[この文献は図面を表示できません]

で

【数277】

[この文献は図面を表示できません]

を伝播する。

【0461】

ここで、ステップｓ^＊＋１（これは、コインを１に固定するステップである）の誠実な検証者を検討する。敵対者が実際に

【数278】

[この文献は図面を表示できません]

のメッセージを誠実な検証者のいく人かに送り、当該誠実な検証者らを停止させる場合、ケース２．１．ａと同様に、すべての誠実なユーザは時間間隔Ｉ^ｒ＋１以内にＢ^ｒ＝Ｂ_ｌ^ｒを知り、

【数279】

[この文献は図面を表示できません]

である。

【0462】

そうでなければ、ステップｓ^＊＋１のすべての誠実な検証者は、時間

【数280】

[この文献は図面を表示できません]

待った後、

【数281】

[この文献は図面を表示できません]

から０およびＨ（Ｂ_ｌ^ｒ）についてのすべての（ｒ，ｓ^＊）メッセージを受信しているが、これは、

【数282】

[この文献は図面を表示できません]

であるため、＞２／３過半数になる。このように、

【数283】

[この文献は図面を表示できません]

内のすべての検証者は、それに応じて０およびＨ（Ｂ_ｌ^ｒ）についての自分のメッセージを伝播する。

【数284】

[この文献は図面を表示できません]

内の検証者は、ステップｓ^＊＋１がコインを０に固定するステップではないため、Ｂ^ｒ＝Ｂ_ｌ^ｒで停止しないことに留意されたい。

【0463】

ここで、ステップｓ^＊＋２（これは実際にコインを投げるステップである）の誠実な検証者を検討する。敵対者が

【数285】

[この文献は図面を表示できません]

のメッセージを誠実な検証者のいく人かに送り、当該誠実な検証者らを停止させる場合、ここでも、すべての誠実なユーザは時間間隔Ｉ^ｒ＋１以内にＢ^ｒ＝Ｂ_ｌ^ｒを知り、

【数286】

[この文献は図面を表示できません]

である。

【0464】

そうでなければ、ステップｓ^＊＋２のすべての誠実な検証者は、時間

【数287】

[この文献は図面を表示できません]

待った後、

【数288】

[この文献は図面を表示できません]

から０およびＨ（Ｂ_ｌ^ｒ）についてのすべての（ｒ，ｓ^＊＋１）メッセージを受信しているが、これは＞２／３過半数になる。このように、その全員がそれに応じて０およびＨ（Ｂ_ｌ^ｒ）についての自分のメッセージを伝播する。すなわち、この場合は「コインを投げ」ない。ここでも、当該すべての検証者は、ステップｓ^＊＋２がコインを０に固定するステップではないため、伝播せずに停止しないことに留意されたい。

【0465】

最後に、ステップｓ^＊＋３（これは別の、コインを０に固定するステップである）の誠実な検証者について、当該誠実な検証者が本当に時間

【数289】

[この文献は図面を表示できません]

待つ場合、その全員が

【数290】

[この文献は図面を表示できません]

から０およびＨ（Ｂ_ｌ^ｒ）について少なくともｔ_Ｈ個の有効なメッセージを受信しているだろう。したがって、敵対者が

【数291】

[この文献は図面を表示できません]

のメッセージを誠実な検証者のいずれかに送るかどうかを問わず、

【数292】

[この文献は図面を表示できません]

のすべての検証者は、何も伝播せずに、Ｂ^ｒ＝Ｂ_ｌ^ｒで停止する。敵対者がどのように行為するかによって、そのうちのいく人かが

【数293】

[この文献は図面を表示できません]

の（ｒ，ｓ^＊−１）メッセージからなる自分自身のＣＥＲＴ^ｒを持ち、他の人は（ｒ，ｓ^＊＋２）メッセージからなる自分自身のＣＥＲＴ^ｒを持つかもしれない。いずれの場合も、すべての誠実なユーザは時間間隔Ｉ^ｒ＋１以内にＢ^ｒ＝Ｂ_ｌ^ｒを知り、

【数294】

[この文献は図面を表示できません]

である。

【0466】

ケース２．２．ｂ：
イベントＥ．ｂが起こり、何も伝播せずにやはり停止するような誠実な検証者

【数295】

[この文献は図面を表示できません]

は存在しない。

【0467】

この場合の分析はケース２．１．ｂおよびケース２．２．ａと同様なため、多くの詳細を省略した。具体的には、

【数296】

[この文献は図面を表示できません]

は、敵対者が収集または生成することのできる、ビット１についてのｔ_Ｈ個の所望の（ｒ，ｓ^＊−１）メッセージからなり、ｓ^＊−２≡１ ｍｏｄ ３で、ステップｓ^＊はコインを１に固定するステップであり、誠実な（ｒ，ｓ^＊）検証者は０について＞２／３過半数を見ることができなかったであろう。

【0468】

したがって、すべての検証者

【数297】

[この文献は図面を表示できません]

はｂ_ｉ＝１を設定して、時刻

【数298】

[この文献は図面を表示できません]

で

【数299】

[この文献は図面を表示できません]

を伝播する。ケース２．２．ａと同様に、たかだかさらに３ステップで（すなわち、プロトコルがステップｓ^＊＋３に到達し、これは別の、コインを１に固定するステップである）、すべての誠実なユーザは時間間隔Ｉ^ｒ＋１以内にＢ^ｒ＝Ｂ_ε^ｒを知る。また、Ｔ^ｒ＋１は、初めて誠実な検証者が伝播せずに停止することのできるときによって、

【数300】

[この文献は図面を表示できません]

、または

【数301】

[この文献は図面を表示できません]

、または

【数302】

[この文献は図面を表示できません]

のいずれかにすることができる。

【0469】

４つのサブケースを組み合わせると、すべての誠実なユーザは時間間隔Ｉ^ｒ＋１以内にＢ^ｒを知り、
ケース２．１．ａおよび２．１．ｂでは

【数303】

[この文献は図面を表示できません]

、ならびに
ケース２．２．ａおよび２．２．ｂでは

【数304】

[この文献は図面を表示できません]

である。

【0470】

ｓ^＊に、ひいてはケース２のＴ^ｒ＋１に、上限を設けることが残っており、実際にコインを投げるステップを、プロトコルで実際に何回実行するか、すなわち、いく人かの誠実な検証者が実際にコインを投げた回数、を検討することによってこれを行う。

【0471】

具体的には、実際にコインを投げるステップｓ’を任意に決め（すなわち、７≦ｓ’≦ｍ＋２、かつ、ｓ’−２≡２ ｍｏｄ ３）、

【数305】

[この文献は図面を表示できません]

とする。ここで、ｓ’＜ｓ^＊と仮定しよう。そうでなければ、前述の考察に従いステップｓ’で誠実な検証者が実際にコインを投げないからである。

【0472】

ＳＶ^{ｒ，ｓ’−１}の定義上、ｌ’のクレデンシャルのハッシュ値も、ＰＫ^ｒ−ｋの全ユーザの中で最小である。ハッシュ関数はランダムオラクルであるため、理想としては、プレーヤｌ’は少なくともｈの確率で誠実である。後で示すように、敵対者がランダムオラクルの出力を予測し、確率を有利にしようと最善を尽くしても、プレーヤｌ’はなお、少なくともｐ_ｈ＝ｈ^２（１＋ｈ−ｈ^２）の確率で誠実である。以下に、それが実際に起こる場合、すなわちｌ’∈ＨＳＶ^{ｒ，ｓ’−１}を検討する。

【0473】

すべての誠実な検証者ｉ∈ＨＳＶ^ｒ，ｓ’は時刻α_ｉ^ｒ，ｓ’＋ｔ_ｓ’までにＨＳＶ^{ｒ，ｓ’−１}からすべてのメッセージを受信していることに留意されたい。プレーヤｉがコインを投げる必要がある場合（すなわち、プレーヤｉが、同じビットｂ∈｛０，１｝について＞２／３過半数を見ていない）、プレーヤｉはｂ_ｉ＝ｌｓｂ（Ｈ（σ_ｌ’^{ｒ，ｓ’−１}））を設定する。ビットｂ∈｛０，１｝について＞２／３過半数を見た別の誠実な検証者ｉ’∈ＨＳＶ^ｒ，ｓ’が存在する場合、補題５．５の性質（ｄ）により、ＨＳＶ^ｒ，ｓ’内の誠実な検証者はビットｂ’≠ｂについて＞２／３過半数を見なかったであろう。確率１／２で、ｌｓｂ（Ｈ（σ_ｌ’^{ｒ，ｓ’−１}））＝ｂであるため、ＨＳＶ^ｒ，ｓ’内のすべての誠実な検証者は、確率１／２でｂに関して合意に達する。当然、このような検証者ｉ’が存在しない場合、ＨＳＶ^ｒ，ｓ’内のすべての誠実な検証者は、確率１でビットｌｓｂ（Ｈ（σ_ｌ’^{ｒ，ｓ’−１}））に合意する。

【0474】

ｌ’∈ＨＳＶ^{ｒ，ｓ’−１}の確率を組み合わせると、ＨＳＶ^ｒ，ｓ’内の誠実な検証者は、少なくとも

【数306】

[この文献は図面を表示できません]

の確率でビットｂ∈｛０，１｝に関して合意に達することになる。さらに、前述の通りの過半数票に関する帰納法により、ＨＳＶ^ｒ，ｓ’内のすべての誠実な検証者は、自分のｖ_ｉの集合をＨ（Ｂ_ｌ^ｒ）に設定する。したがって、一旦ステップｓ’でｂに関して合意に達したら、Ｔ^ｒ＋１は、ケース２．１．ａおよび２．１．ｂの分析に従い、ｂ＝０またはｂ＝１であるかどうかによって、

【数307】

[この文献は図面を表示できません]

または

【数308】

[この文献は図面を表示できません]

のいずれかである。

【0475】

具体的には、実際にコインを投げるステップはこれ以上実行されない。すなわち、このようなステップの検証者は、自分が検証者であることをなおもチェックし、したがって待つが、何も伝播せずに全員が停止する。したがって、ステップｓ^＊の前に、実際にコインを投げるステップが実行される回数はランダム変数Ｌ^ｒに従って分散される。Ｌ^ｒに従って、ステップｓ’を、最後の実際にコインを投げるステップにすると、プロトコルの構築により、次の式になる。

【数309】

[この文献は図面を表示できません]

【0476】

敵対者ができるだけＴ^ｒ＋１を遅らせたい場合、敵対者はいつステップｓ^＊を起こすべきだろうか？ 敵対者が事前にＬ^ｒの実現を知ると仮定することもできる。ｓ^＊＞ｓ’の場合、誠実な検証者は既にステップｓ’で合意に達しているため、無駄である。確かに、この場合、ここでもｂ＝０かｂ＝１かによって、ｓ^＊はｓ’＋１またはｓ’＋２になるであろう。しかし、これは実際にはケース２．１．ａおよび２．１．ｂであり、得られるＴ^ｒ＋１はその場合と全く同じである。より正確には、

【数310】

[この文献は図面を表示できません]

である。

【0477】

ｓ^＊＜ｓ’−３の場合、すなわち、ｓ^＊が、最後から２番目の実際にコインを投げるステップの前である場合、ケース２．２．ａおよび２．２．ｂの分析により、

【数311】

[この文献は図面を表示できません]

である。

【0478】

すなわち、敵対者は、実際にＢ^ｒに関する合意をより早く起こそうとしている。
ｓ^＊＝ｓ’−２またはｓ’−１の場合、すなわち、ステップｓ’の直前の、コインを０に固定するステップまたはコインを１に固定するステップの場合、４つのサブケースの分析により、ステップｓ’の誠実な検証者は、伝播せずに停止しているため、または同じビットｂについて＞２／３過半数を見ているため、それ以上コインを投げることはない。そのため、次の式になる。

【数312】

[この文献は図面を表示できません]

【0479】

要するに、ｓ^＊が何であろうと、証明したかった通り、次の式になる。

【数313】

[この文献は図面を表示できません]

最悪のケースは、ｓ^＊＝ｓ’−１で、ケース２．２．ｂが起こる場合である。バイナリＢＡプロトコルのケース１および２を組み合わせると、補題５．３が成り立つ。

【0480】

５．９ シードＱ^ｒのセキュリティおよび誠実なリーダの確率
補題５．４の証明が残っている。ラウンドｒの検証者はＰＫ^ｒ−ｋから選択され、数量Ｑ^ｒ−１に従って選ばれることを思い出していただきたい。ルックバックパラメータｋを導入する理由は、ラウンドｒ−ｋに戻って、敵対者が新たな悪意のユーザをＰＫ^ｒ−ｋに追加することができる場合に、無視できる確率を除いて、数量Ｑ^ｒ−１を敵対者が予測することができないことを確かにすることである。ハッシュ関数はランダムオラクルであり、Ｑ^ｒ−１は、ラウンドｒの検証者を選択するときのその入力の１つであることに留意されたい。したがって、悪意のユーザがＰＫ^ｒ−ｋにいかに追加されようとも、敵対者の観点から、その各人は、必要な確率ｐ（またはステップ１についてはｐ_１）で、ラウンドｒのステップでも検証者に選択される。より正確には、次の補題となる。

【0481】

補題５．６．
ｋ＝Ｏ（ｌｏｇ_１／２Ｆ）のとき、各ラウンドｒについて、敵対者は圧倒的確率で、ラウンドｒ−ｋに戻ってＱ^ｒ−１をランダムオラクルに問い合わせなかった。

【0482】

証明．帰納法によって進める。各ラウンドγ−ｋについて、敵対者がラウンドγ−ｋに戻ってＱ^γ−１ランダムオラクルに問い合わせなかったと仮定する。（脚注２５参照）ラウンドｒ−ｋで敵対者が仕掛ける次の心理戦を検討し、Ｑ^ｒ−１を予測してみる。

【0483】

脚注２５
ｋは小さな整数であり、一般性を損なうことなく、プロトコルの最初のｋラウンドは安全な環境で実行され、そのラウンドについて帰納的仮説が成り立つと仮定することができる。

【0484】

各ラウンドγ＝ｒ−ｋ，．．．，ｒ−１のステップ１で、特定のＱ^γ−１がランダムオラクルに問い合わされていないとすると、プレーヤｉ∈ＰＫ^γ−ｋをハッシュ値Ｈ（ＳＩＧ_ｉ（γ，１，Ｑ^γ−１））に従って昇順に並べることによって、ＰＫ^γ−ｋに対しランダム順列を得る。定義上、リーダーｌ^γは順列の最初のユーザであり、確率ｈで誠実である。また、ＰＫ^γ−ｋが十分に大きい場合、任意の整数ｘ≧１について、順列の最初のｘユーザが全員悪意であるが（ｘ＋１）番目は誠実である確率は（１−ｈ）^ｘｈである。

【0485】

ｌ^γが誠実である場合、

【数314】

[この文献は図面を表示できません]

である。敵対者はｌ^γの署名を偽造することはできないので、Ｑ^γは敵対者の観点からランダムに均一に分散され、指数関数的に小さい確率を除き（脚注２６参照）、ラウンドｒ−ｋでＨに問い合わせがなされなかった。各Ｑ^γ＋１，Ｑ^γ＋２，．．．，Ｑ^ｒ−１はそれぞれＨの出力で、Ｑ^γ，Ｑ^γ＋１，．．．，Ｑ^ｒ−２は入力の１つになるので、これらはすべて敵対者にとってはランダムに見え、敵対者はラウンドｒ−ｋでＨにＱ^ｒ−１を問い合わせることはできなかったであろう。

【0486】

脚注２６
すなわち、Ｈの出力の長さの指数関数。この確率はＦよりもはるかに小さいことに留意されたい。

【0487】

したがって、敵対者がラウンドｒ−ｋで良い確率でＱ^ｒ−１を予測できる唯一のケースは、リーダーｌ^ｒ−ｋ，．．．，ｌ^ｒ−１が全員悪意であるときである。もう一度、ラウンドγ∈｛ｒ−ｋ，．．．，ｒ−１｝と、対応するハッシュ値によって導かれるＰＫ^γ−ｋに対するランダム順列とを検討する。あるｘ≧２について、順列の最初のｘ−１ユーザが全員悪意で、ｘ番目が誠実である場合、敵対者は、Ｑ^γについてｘ個の可能な選択肢を有する。：すなわち、プレーヤｉ（ｉは、最初のｘ−１悪意のユーザのうちの１人である）をラウンドγの実際のリーダーにすることによる、形式Ｈ（ＳＩＧ_ｉ（Ｑ^γ−１，γ））、または、Ｂ^γ＝Ｂ_ε^γに強制することによる、Ｈ（Ｑ^γ−１，γ）、のいずれかである。そうでなければ、ラウンドγのリーダーは順列で最初の誠実なユーザになり、Ｑ^ｒ−１は敵対者に予測できなくなってくる。

【0488】

敵対者は、Ｑ^γの上記ｘの選択肢のうちのどちらを追求すべきだろうか？ 敵対者がこの質問に答えるのを助けるために、心理戦で、現実にそうであるよりも実際に、次のように敵対者をよりパワフルにする。まず、現実では、敵対者は誠実なユーザの署名のハッシュを計算することはできず、したがって、各Ｑ^γについて、Ｑ^γによって導かれるラウンドγ＋１のランダム順列の始めに悪意のユーザの数ｘ（Ｑ^γ）を決定することはできない。心理戦では、敵対者に数ｘ（Ｑ^γ）を自由に与える。次に、現実では、順列の最初のｘユーザを全員悪意にすることは、その署名のハッシュ値もｐ_１未満にならなければならないので、全員がリーダーになることができることを必ずしも意味しない。心理戦におけるこの制約を無視し、敵対者をさらに有利にした。

【0489】

心理戦で、敵対者にとって最適な、

【数315】

[この文献は図面を表示できません]

で表される選択肢は、ラウンドγ＋１のランダム順列の始めに、最長の悪意のユーザのシーケンスを生成するものであることは容易に分かる。実際、具体的なＱ^γがあれば、プロトコルはそれ以上Ｑ^γ−１に依存せず、敵対者はラウンドγ＋１の新たな順列にのみ集中することができ、これは、始まりの悪意のユーザの数について同じ分布を有する。したがって、各ラウンドγでは、前述の

【数316】

[この文献は図面を表示できません]

は当該敵対者にＱ^γ＋１に対する最大数の選択肢を与え、そのため、後続のリーダーが全員悪意である確率を最大化する。

【0490】

したがって、心理戦では、敵対者はラウンドｒ−ｋからラウンドｒ−１までマルコフ連鎖を得られることになり、状態空間は｛０｝∪｛ｘ：ｘ≧２｝である。状態０は、現ラウンドγのランダム順列の最初のユーザが誠実であることを表し、したがって、敵対者はＱ^ｒ−１を予測するゲームに負ける。そして、各状態ｘ≧２は、順列の最初のｘ−１ユーザが悪意であり、ｘ番目が誠実であることを表すため、敵対者はＱ^γについてｘ個の選択肢を有する。遷移確率Ｐ（ｘ，ｙ）は次の通りである。

【0491】

・Ｐ（０，０）＝１で、任意のｙ≧２についてＰ（０，ｙ）＝０。すなわち、順列の最初のユーザが誠実になってしまうと、敵対者はゲームに負ける。

【0492】

・任意のｘ≧２についてＰ（ｘ，０）＝ｈ^ｘ。すなわち、確率ｈ^ｘで、すべてのｘランダム順列はその最初のユーザを誠実にするので、敵対者は次のラウンドでゲームに負ける。

【0493】

・任意のｘ≧２およびｙ≧２について、Ｐ（ｘ，ｙ）は、Ｑ^γのｘ選択肢によって導かれるｘランダム順列の中で、そのうちのいくつかの始まりで悪意のユーザの最長シーケンスがｙ−１である、したがって敵対者が次のラウンドでＱ^γ＋１についてｙ選択肢を有する確率である。すなわち、

【数317】

[この文献は図面を表示できません]

になる。

【0494】

状態０は、遷移行列Ｐにおける唯一の吸収状態であり、他のすべての状態ｘは、０になる正の確率を有することに留意されたい。我々は、圧倒的確率でマルコフ連鎖が０に収束するために必要なラウンド数ｋに上限を設けたいと思っている。すなわち、チェーンがどの状態で始まっても、圧倒的確率で、敵対者はゲームに負け、ラウンドｒ−ｋでＱ^ｒ−１の予測に失敗する。

【0495】

２ラウンド後の遷移行列

【数318】

[この文献は図面を表示できません]

を考えてみる。Ｐ^（２）（０，０）＝１で、任意のｘ≧２についてＰ^（２）（０，ｘ）＝０であることは簡単に分かる。任意のｘ≧２およびｙ≧２について、Ｐ（０，ｙ）＝０であるため、次の式になる。

【数319】

[この文献は図面を表示できません]

【0496】

【数320】

[この文献は図面を表示できません]

とすると、次の式になる。

【数321】

[この文献は図面を表示できません]

また、

【数322】

[この文献は図面を表示できません]

である。

【0497】

以下に、ｈが１になるとき、すなわち

【数323】

[この文献は図面を表示できません]

が０になるときの

【数324】

[この文献は図面を表示できません]

の限界を計算する。Ｐ（ｘ，ｙ）において

【数325】

[この文献は図面を表示できません]

の最も高い次数は係数ｘで

【数326】

[この文献は図面を表示できません]

であることに留意されたい。したがって、

【数327】

[この文献は図面を表示できません]

になる。

【0498】

ｈが１に十分に近いとき（脚注２７参照）、任意のｘ≧２およびｙ≧２については次の式になる。

【数328】

[この文献は図面を表示できません]

帰納法により、任意のｋ＞２について、

【数329】

[この文献は図面を表示できません]

は、次のようになるものである。
・Ｐ^（ｋ）（０，０）＝１で、任意のｘ≧２についてＰ^（ｋ）（０，ｘ）＝１、かつ、
・任意のｘ≧２およびｙ≧２について、

【数330】

[この文献は図面を表示できません]

【0499】

脚注２７
例えば、パラメータの特定の選択肢によって提案されるように、ｈ＝８０％。

【0500】

Ｐ（ｘ，ｙ）≦１のとき、１−ｌｏｇ_２Ｆラウンドの後、任意の状態ｘ≧２で始めて、任意の状態ｙ≧２になる遷移確率は無視できる。このような状態ｙは多数あるが、次の式になることは簡単に分かる。

【数331】

[この文献は図面を表示できません]

【0501】

そのため、遷移行列Ｐの各行ｘは、ｙが十分に大きいとき、等比数列として、

【数332】

[この文献は図面を表示できません]

の比で減少し、Ｐ^（ｋ）についても同じことがいえる。したがって、ｋは十分に大きいが、任意のｘ≧２についてまだおよそｌｏｇ_１／２Ｆ，Σ_ｙ≧２Ｐ^（ｋ）（ｘ，ｙ）＜Ｆである。すなわち、圧倒的確率で、敵対者はゲームに負け、ラウンドｒ−ｋでＱ^ｒ−１の予測に失敗する。ｈ∈（２／３，１）について、より複雑な分析から、ｋ＝Ｏ（ｌｏｇ_ＣＦ）をとると十分であるような、１／２よりやや大きい定数Ｃが存在することが証明される。したがって、補題５．６は成り立つ。

【0502】

補題５．４．（書き換え）
ｒの前の各ラウンドについて性質１〜３であれば、Ｌ^ｒについてはｐ_ｈ＝ｈ^２（１＋ｈ−ｈ^２）で、リーダーｌ^ｒは少なくともｐ_ｈの確率で誠実である。

【0503】

証明．
補題５．６に従い、敵対者は、無視できる確率を除き、ラウンドｒ−ｋに戻ってＱ^ｒ−１を予測することはできない。これは、誠実なリーダーの確率が各ラウンドでｈであるという意味ではないことに留意されたい。実際、Ｑ^ｒ−１であれば、ＰＫ^ｒ−ｋのランダム順列の始めに存在する悪意のユーザの数によって、敵対者はＱに対して２つ以上の選択肢を有することがあり、そのため、ラウンドｒ＋１における悪意のリーダーの確率を高めることができる。ここでも、補題５．６のように、分析を簡潔にするために、ある非現実的なアドバンテージを敵対者に与えている。

【0504】

しかし、ラウンドｒ−ｋに戻って敵対者がＨに問い合わせなかった各Ｑ^ｒ−１について、任意のｘ≧１について、確率（１−ｈ）^ｘ−１ｈで、得られるＰＫ^ｒ−ｋのランダム順列において、最初の誠実なユーザは位置ｘで発生する。ｘ＝１のとき、ラウンドｒ＋１における誠実なユーザの確率は実際にｈであるが、ｘ＝２のとき、敵対者はＱ^ｒに対して２つの選択肢を有し、得られる確率はｈ^２である。これら２つのケースを検討して初めて、ラウンドｒ＋１における誠実なリーダーの確率が、所望の通り少なくともｈ・ｈ＋（１−ｈ）ｈ・ｈ^２＝ｈ^２（１＋ｈ−ｈ^２）になる。

【0505】

上記確率は、ラウンドｒ−ｋからラウンドｒまでのプロトコルのランダム性しか考慮していないことに留意されたい。ラウンド０からラウンドｒまでのすべてのランダム性を考慮する場合、Ｑ^ｒ−１は敵対者にとってさらに予測できないものになり、ラウンドｒ＋１における誠実なリーダーの確率は、少なくともｈ^２（１＋ｈ−ｈ^２）である。ｒ＋１をｒに置換し、すべてを１ラウンド戻すと、リーダーｌ^ｒは、所望の通り、少なくともｈ^２（１＋ｈ−ｈ^２）の確率で誠実である。

【0506】

同様に、各実際にコインを投げるステップｓで、そのステップの「リーダー」、すなわち、そのクレデンシャルが最小のハッシュ値を有するＳＶ^ｒ，ｓ内の検証者は、少なくともｈ^２（１＋ｈ−ｈ^２）の確率で誠実である。したがって、Ｌ^ｒについてｐ_ｈ＝ｈ^２（１＋ｈ−ｈ^２）であり、補題５．４は成り立つ。

【0507】

６ アルゴランド’_２
このセクションでは、次の仮定の下に機能するアルゴランド’のバージョンを構築する。
「ユーザの誠実な過半数の仮定」：各ＰＫ^ｒのユーザの２／３超が誠実である。
セクション８では、上記仮定を、所望の「マネーの誠実な過半数」に置き換える方法を示す。

【0508】

６．１ アルゴランド’_２の追加の記号およびパラメータ
記号
・

【数333】

[この文献は図面を表示できません]

：圧倒的確率で１ラウンドで実際に取られるステップ数に対する、現実的な上限。（後で述べるように、パラメータμは、各ラウンドのためにユーザが事前に準備する一時的な鍵の数を制御する。）

【0509】

・Ｌ^ｒ：各試行が

【数334】

[この文献は図面を表示できません]

の確率で１になり、１を見るために必要なベルヌーイ試行の数を表すランダム変数。Ｌ^ｒは、ブロックＢ^ｒを生成するために必要な時間に上限を設けるために使用される。

【0510】

・ｔ_Ｈ：圧倒的確率（ｎおよびｐがあるとすると）で、ＳＶ^ｒ，ｓ内に＞ｔ_Ｈの誠実な検証者がいるような、ラウンドｒのステップｓ＞１における誠実な検証者の数の下限。

【0511】

パラメータ
・様々なパラメータ間の関係。
−ラウンドｒの各ステップｓ＞１について、ｎは、圧倒的確率で、

【数335】

[この文献は図面を表示できません]

かつ

【数336】

[この文献は図面を表示できません]

になるように選ばれる。
上記２つの不等式は合わせて、｜ＨＳＶ^ｒ，ｓ｜＞２｜ＭＳＶ^ｒ，ｓ｜を含意する。すなわち、選択された検証者の中に２／３の誠実な過半数がいる。
ｈの値が１に近づくほど、ｎは小さくなる必要がある。具体的には、チェルノフ限界（の変型）を使用して、所望の条件が圧倒的確率で成り立つことを確実にする。

【0512】

・重要なパラメータの具体的な選択肢。
− Ｆ＝１０^−１８。
− ｎ≒４０００、ｔ_Ｈ≒０．６９ｎ、ｋ＝７０。

【0513】

６．２ アルゴランド’_２での一時的な鍵の実装
検証者ｉ∈ＳＶ^ｒ，ｓが、使用後直ちに破壊する一時的な秘密鍵ｓｋ_ｉ^ｒ，ｓを使用して、一時的な公開鍵ｐｋ_ｉ^ｒ，ｓに関連し、ラウンドｒのステップｓの自分のメッセージｍ_ｉ^ｒ，ｓに電子署名をすることを思い出そう。ラウンドが取り得る可能なステップの数に所与の整数μによって上限が設けられる場合、実際に一時的な鍵をどのように取り扱うかは既に見てきた。例えば、アルゴランド’_１で説明したように（μ＝ｍ＋３の場合）、ラウンドｒ’からラウンドｒ’＋１０^６まで、自分の可能な一時的な鍵のすべてを取り扱うために、ｉはペア（ＰＭＫ，ＳＭＫ）を生成する。ここで、ＰＭＫはアイデンティティベースの署名スキームの公開マスター鍵であり、ＳＭＫはそれに対応する秘密マスター鍵である。ユーザｉは、ＰＭＫを公表し、各可能な一時的な公開鍵の秘密鍵を生成するためにＳＭＫを使用する（さらに、そうした後にＳＭＫを破壊する）。関連するラウンドのｉの一時的な公開鍵の集合はＳ＝｛ｉ｝×｛ｒ’，．．．，ｒ’＋１０^６｝×｛１，．．．，μ｝である。（述べたように、ラウンドｒ’＋１０^６が近づくと、ｉは自分のペア（ＰＭＫ，ＳＭＫ）を「リフレッシュ」する。）

【0514】

実際には、μが十分に大きい場合、アルゴランド’_２のラウンドはμより多いステップを取らない。しかし、原則的に、あるラウンドｒについて、実際に取られるステップ数がμを超える可能性がわずかにある。これが起こると、ｉはラウンドｒについてμ個の秘密鍵しか事前に準備していないので、ｉは任意のステップｓ＞μについて自分のメッセージｍ_ｉ^ｒ，ｓに署名できなくなるであろう。また、前述したように、一時的な鍵の新たな隠し場所を準備して公表することはできないであろう。実際、そうするためには、ｉは新たなブロックに新たな公開マスターキーＰＭＫ’を挿入する必要があるだろう。しかし、万が一ラウンドｒがさらに多くのステップを取ったとしても、新たなブロックは生成されないだろう。

【0515】

ただし、解決策は存在する。例えば、ｉは、次の通り、ラウンドｒの最後の一時的な鍵ｐｋ_ｉ^ｒ，μを使用することができる。ラウンドｒについて、例えば、（１）別のマスター鍵ペア

【数337】

[この文献は図面を表示できません]

を生成する、（２）このペアを使用して、ラウンドｒのステップμ＋１，．．．，μ＋１０^６に対応する別の、例えば、１０^６個の一時的な鍵

【数338】

[この文献は図面を表示できません]

を生成する、（３）ｓｋ_ｉ^ｒ，μを使用して、ｐｋ_ｉ^ｒ，μに関連して、

【数339】

[この文献は図面を表示できません]

（および、ｉ∈ＳＶ^ｒ，μの場合、任意の（ｒ，μ）メッセージ）に電子署名する、および（４）

【数340】

[この文献は図面を表示できません]

およびｓｋ_ｉ^ｒ，μを消去することによって、鍵ペアの別の隠し場所を生成する。ｓ∈｛１，．．．，１０^６｝のとき、ｉがステップμ＋ｓで検証者になる場合、ｉは自分の新たな鍵

【数341】

[この文献は図面を表示できません]

に関連して、自分の（ｒ，μ＋ｓ）メッセージｍ_ｉ^{ｒ，μ＋ｓ}に電子署名する。当然、ｉのこの署名を検証するために、この公開鍵がｉの新たな公開マスター鍵

【数342】

[この文献は図面を表示できません]

に対応することを他者が確信する必要がある。したがって、この署名に加えて、ｉはｐｋ_ｉ^ｒ，μに関連して、

【数343】

[この文献は図面を表示できません]

の電子署名を伝送する。

【0516】

当然、ラウンドｒがさらに多くのステップの間続く場合、このアプローチは、必要な回数繰り返すことができる！ 最後の一時的な秘密鍵を使用して新たなマスター公開鍵を認証し、したがって、ラウンドｒの一時的な鍵の別の隠し場所を認証する。以降も同様。

【0517】

６．３ 実際のプロトコルアルゴランド’_２
ラウンドｒの各ステップｓで、検証者ｉ∈ＳＶ^ｒ，ｓは、ケースｓ＝１のＳＩＧ_ｉ（Ｑ^ｒ−１）だけでなく、自分のクレデンシャル

【数344】

[この文献は図面を表示できません]

を生成するためにも長期公開秘密鍵ペアを使用することをもう一度思い出そう。検証者ｉは自分の一時的な鍵ペア（ｐｋ_ｉ^ｒ，ｓ，ｓｋ_ｉ^ｒ，ｓ）を使用して、要求され得る任意の他のメッセージｍに署名する。簡潔にするために、このステップでのｉによるｍの正規の一時的な署名を表すために、

【数345】

[この文献は図面を表示できません]

ではなく、ｅｓｉｇ_ｉ（ｍ）を書き、

【数346】

[この文献は図面を表示できません]

の代わりにＥＳＩＧ_ｉ（ｍ）を書く。

【0518】

ステップ１： ブロックの提案
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、ＣＥＲＴ^ｒ−１を持つや否やラウンドｒの自分のステップ１を始め、当該ＣＥＲＴ^ｒ−１は、ｉがＨ（Ｂ^ｒ−１）およびＱ^ｒ−１を曖昧さなく計算できるようにする。

【0519】

・ユーザｉはＱ^ｒ−１を使用して、ｉ∈ＳＶ^ｒ，１かどうかをチェックする。

【数347】

[この文献は図面を表示できません]

の場合、ステップ１についてｉは何もしない。

【0520】

・ｉ∈ＳＶ^ｒ，１の場合、すなわち、ｉが潜在的リーダーである場合、ｉは次のことを行う。
（ａ）ｉが自分自身でＢ^０，．．．，Ｂ^ｒ−１を見てきた場合（どのＢ^ｊ＝Ｂ_ε^ｊもＣＥＲＴ^ｊでのそのハッシュ値から容易に導くことができ、そのため「見てきた」と想定される）、それまでに当該ｉに伝播されてきたラウンドｒの支払を収集して、そこから最大支払集合ＰＡＹ_ｉ^ｒを計算する。
（ｂ）ｉがまだすべてのＢ^０，．．．，Ｂ^ｒ−１を見ていない場合、ｉは

【数348】

[この文献は図面を表示できません]

を設定する。
（ｃ）次に、ｉは自分の「候補ブロック」Ｂ_ｉ^ｒ＝（ｒ，ＰＡＹ_ｉ^ｒ，ＳＩＧ_ｉ（Ｑ^ｒ−１），Ｈ（Ｂ^ｒ−１））を計算する。
（ｃ）最後に、ｉはメッセージｍ_ｉ^ｒ，１＝（Ｂ_ｉ^ｒ，ｅｓｉｇ_ｉ，（Ｈ（Ｂ_ｉ^ｒ）），σ_ｉ^ｒ，１）を計算して、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，１を破壊してから、２つのメッセージｍ_ｉ^ｒ，１および（ＳＩＧ_ｉ，（Ｑ^ｒ−１），σ_ｉ^ｒ，１）を別々に、しかし同時に伝播する（脚注２８参照）。

【0521】

脚注２８
ｉがリーダーのとき、ＳＩＧ_ｉ（Ｑ^ｒ−１）は、他者がＱ^ｒ＝Ｈ（ＳＩＧ_ｉ（Ｑ^ｒ−１），ｒ）を計算するのを許容する。

【0522】

選択的伝播
ステップ１およびラウンド全体の大域的実行を短縮するために、（ｒ，１）メッセージを選択的に伝播することが重要である。すなわち、システム内の全ユーザｊについて、以下のように伝播する。

【0523】

・いつか受信して検証に成功する最初の（ｒ，１）メッセージについて（脚注２９参照）、それがブロックを含むか、または単にＱ^ｒ−１のクレデンシャルおよび署名であるかを問わず、プレーヤｊは通常通りそれを伝播する。

【0524】

脚注２９
すなわち、すべての署名が正当で、それが形式ｍ_ｉ^ｒ，１である場合、ブロックとそのハッシュの両方が有効である。ただし、ｊは、含まれる支払集合がｉにとって最大かどうかをチェックしない。

【0525】

・プレーヤｊが受信して検証に成功する他のすべての（ｒ，１）メッセージについて、当該メッセージが含むクレデンシャルのハッシュ値が、当該プレーヤｊがそれまでに受信し検証が成功したすべての（ｒ，１）メッセージに含まれるクレデンシャルのハッシュ値の中で最小である場合に限り、それを伝播する。

【0526】

・しかし、ｊが同じプレーヤｉから形式ｍ_ｉ^ｒ，１の２つの異なるメッセージを受信する場合（脚注３０参照）、ｉのクレデンシャルのハッシュ値がどのようなものであろうと、２つ目のものを破棄する。

【0527】

脚注３０
これは、ｉが悪意であることを意味する。

【0528】

選択的伝播では、各潜在的リーダーｉが自分のクレデンシャルσ_ｉ^ｒ，１をｍ_ｉ^ｒ，１とは別に伝播することが有用であることに留意されたい（脚注３１参照）。これらの小さなメッセージはブロックよりも高速で移動し、含まれるクレデンシャルが小さいハッシュ値を有する場合に、ｍ_ｉ^ｒ，１の適時の伝播を確実にするのに対し、ハッシュ値が大きいものはすぐに消失させる。

【0529】

脚注３１
これを提案したジョルジオ・ブラコスに感謝する。

【0530】

ステップ２： 段階的コンセンサスプロトコルＧＣの最初のステップ
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、ＣＥＲＴ^ｒ−１を持つや否やラウンドｒの自分のステップ２を始める。

【0531】

・ユーザｉは、最大時間量

【数349】

[この文献は図面を表示できません]

待つ。待っている間、ｉは次のように行為する。

【0532】

１． 時間２λ待った後、それまでに受信して検証に成功した（ｒ，１）メッセージの一部であるすべてのクレデンシャルσ_ｊ^ｒ，１について、Ｈ（σ_ｌ^ｒ，１）≦Ｈ（σ_ｊ^ｒ，１）になるようなユーザｌを見つける（脚注３２参照）。

【0533】

脚注３２
本質的に、ユーザｉは、ラウンドｒのリーダーがユーザｌであることを秘かに決定する。

【0534】

２． ＣＥＲＴ^ｒ−１に含まれるハッシュ値Ｈ（Ｂ^ｒ−１）にマッチするブロックＢ^ｒ−１を受信した場合（脚注３３参照）、および、ｌから有効なメッセージｍ_ｌ^ｒ，１＝（Ｂ_ｌ^ｒ，ｅｓｉｇ_ｌ（Ｂ_ｌ^ｒ）），σ_ｌ^ｒ，１）を受信した場合（脚注３４参照）、ｉは待機を停止し、

【数350】

[この文献は図面を表示できません]

を設定する。

【0535】

脚注３３
当然、Ｂ^ｒ−１＝Ｂ_ε^ｒ−１であることをＣＥＲＴ^ｒ−１が示す場合、ｉは、ＣＥＲＴ^ｒ−１を持った瞬間に既にＢ^ｒ−１を「受信」済みである。

【0536】

脚注３４
ここでも、プレーヤｌの署名およびハッシュは、すべて検証が成功し、Ｂ_ｌ^ｒ内のＰＡＹ_ｌ^ｒは、ラウンドｒについて有効な支払集合である。ただし、ｉは、ＰＡＹ_ｌ^ｒがｌにとって最大かどうかをチェックしない。Ｂ_ｌ^ｒが空の支払集合を含む場合、Ｂ_ｌ^ｒが有効かどうかを検証する前に、ｉがＢ^ｒ−１を見る必要は実際にはない。

【0537】

３． そうでなければ、時間ｔ_２が経過したとき、ｉは

【数351】

[この文献は図面を表示できません]

を設定する。

【0538】

４． ｖ’_ｉの値が設定されている場合、ｉはＣＥＲＴ^ｒ−１からＱ^ｒ−１を計算し、ｉ∈ＳＶ^ｒ，２かどうかをチェックする。

【0539】

５．ｉ∈ＳＶ^ｒ，２である場合、ｉはメッセージ

【数352】

[この文献は図面を表示できません]

を計算し（脚注３５参照）、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，２を破壊してから、ｍ_ｉ^ｒ，２を伝播する。そうでなければ、ｉは何も伝播せずに停止する。

【0540】

脚注３５
メッセージｍ_ｉ^ｒ，２は、プレーヤｉがｖ’_ｉの最初の成分を次のブロックのハッシュであるとみなす、または次のブロックを空だとみなすことを示す。

【0541】

ステップ３： ＧＣの第２ステップ
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、ＣＥＲＴ^ｒ−１を持つや否やラウンドｒの自分のステップ３を始める。

【0542】

・ユーザｉは、最大時間量

【数353】

[この文献は図面を表示できません]

待つ。待っている間、ｉは次のように行為する。

【0543】

１． 一切の矛盾なく、ｉが形式（ＥＳＩＧ_ｊ（ｖ），σ_ｊ^ｒ，２）の少なくともｔ_Ｈ個の有効なメッセージｍ_ｊ^ｒ，２を受信したような値ｖが存在する場合（脚注３６参照）、待機を停止し、ｖ’＝ｖを設定する。

【0544】

脚注３６
すなわち、ｉは、ＥＳＩＧ_ｊ（ｖ）および異なる

【数354】

[この文献は図面を表示できません]

をそれぞれ含む２つの有効なメッセージをプレーヤｊから受信していない。ここで、またこれ以降、後で定義する終了条件を除き、誠実なプレーヤが所与の形式のメッセージを望む場合は必ず、互いに矛盾するメッセージは絶対にカウントされず、または有効とは見なされない。

【0545】

２． そうでなければ、時間ｔ_３が経過したとき、ｉはｖ’＝⊥を設定する。

【0546】

３． ｖ’の値が設定されていた場合、ｉはＣＥＲＴ^ｒ−１からＱ^ｒ−１を計算し、ｉ∈ＳＶ^ｒ，３かどうかをチェックする。

【0547】

４． ｉ∈ＳＶ^ｒ，３である場合、ｉはメッセージ

【数355】

[この文献は図面を表示できません]

を計算し、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，３を破壊してから、ｍ_ｉ^ｒ，３を伝播する。そうでなければ、ｉは何も伝播せずに停止する。

【0548】

ステップ４： ＧＣの出力およびＢＢＡ^★の第１ステップ
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、自分のステップ３を終えるや否やラウンドｒの自分のステップ４を始める。

【0549】

・ユーザｉは、最大時間量２λ待つ（脚注３７参照）。待っている間、ｉは次のように行為する。

【0550】

脚注３７
したがって、ｉがラウンドｒの自分のステップ１を始めたときからの最大総時間量は、

【数356】

[この文献は図面を表示できません]

とすることができるであろう。

【0551】

１． ｖ_ｉおよびｇ_ｉ、ＧＣの出力を次のように計算する。

【0552】

（ａ）ｉが少なくともｔ_Ｈ個の有効なメッセージｍ_ｊ^ｒ，３＝（ＥＳＩＧ_ｊ（ｖ’），σ_ｊ^ｒ，３）を受信したような値ｖ’≠⊥が存在する場合、待機を停止し、

【数357】

[この文献は図面を表示できません]

および

【数358】

[この文献は図面を表示できません]

を設定する。

【0553】

（ｂ）ｉが少なくともｔ_Ｈ個の有効なメッセージｍ_ｊ^ｒ，３＝（ＥＳＩＧ_ｊ（⊥），σ_ｊ^ｒ，３）を受信している場合、待機を停止し、

【数359】

[この文献は図面を表示できません]

および

【数360】

[この文献は図面を表示できません]

を設定する（脚注３８参照）。

【0554】

脚注３８
ステップ（ｂ）がプロトコル内であるかどうかはその正当性に影響を与えない。しかし、ステップ（ｂ）の存在は、十分に多くのステップ３検証者が「⊥に署名」した場合、ステップ４が２λより少ない時間で終了することを許す。

【0555】

（ｃ）そうでなければ、時間２λが経過したとき、ｉが少なくとも

【数361】

[この文献は図面を表示できません]

個の有効なメッセージｍ_ｊ^ｒ，ｊ＝（ＥＳＩＧ_ｊ（ｖ’），σ_ｊ^ｒ，３）を受信したような値ｖ’≠⊥が存在する場合、

【数362】

[この文献は図面を表示できません]

および

【数363】

[この文献は図面を表示できません]

を設定する（脚注３９参照）。

【0556】

脚注３９
この場合のｖ’は、存在する場合、一意でなければならないことは証明できる。

【0557】

（ｄ） そうでなければ、時間２λが経過したとき、

【数364】

[この文献は図面を表示できません]

および

【数365】

[この文献は図面を表示できません]

を設定する。

【0558】

２． 値ｖ_ｉおよびｇ_ｉが設定されているとき、ｉは、ｂ_ｉ、ＢＢＡ^★の入力を次のように計算する。
ｇ_ｉ＝２の場合

【数366】

[この文献は図面を表示できません]

で、それ以外の場合は

【数367】

[この文献は図面を表示できません]

である。

【0559】

３． ｉは、ＣＥＲＴ^ｒ−１からＱ^ｒ−１を計算し、ｉ∈ＳＶ^ｒ，４かどうかをチェックする。

【0560】

４． ｉ∈ＳＶ^ｒ，４である場合、ｉはメッセージ

【数368】

[この文献は図面を表示できません]

を計算し、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，４を破壊してから、ｍ_ｉ^ｒ，４を伝播する。そうでなければ、ｉは何も伝播せずに停止する。

【0561】

ステップｓ，５≦ｓ≦ｍ＋２，ｓ−２≡０ ｍｏｄ ３： ＢＢＡ^★の、コインを０に固定するステップ
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、自分のステップｓ−１を終えるや否やラウンドｒの自分のステップｓを始める。

【0562】

・ユーザｉは、最大時間量２λ待つ（脚注４０参照）。待っている間、ｉは次のように行為する。

【0563】

脚注４０
したがって、ｉがラウンドｒの自分のステップ１を始めたときからの最大総時間量は、

【数369】

[この文献は図面を表示できません]

とすることができるであろう。

【0564】

−終了条件０：任意の点で、次のようになるストリングｖ≠⊥およびステップｓ’が存在する場合、
（ａ）５≦ｓ’≦ｓ，ｓ’−２≡０ ｍｏｄ ３、すなわち、ステップｓ’は、コインを０に固定するステップであり、
（ｂ）ｉは少なくともｔ_Ｈ個の有効なメッセージｍ_ｊ^{ｒ，ｓ’−１}＝（ＥＳＩＧ_ｊ（０），ＥＳＩＧ_ｊ（ｖ），σ_ｊ^{ｒ，ｓ’−１}）を受信しており（脚注４１参照）、かつ、
（ｃ）ｉは、ｊがｖの第２成分のとき、有効なメッセージ（ＳＩＧ_ｊ（Ｑ^ｒ−１），σ_ｊ^ｒ，１）を受信している場合、
ｉは待機を停止し、自分によるステップｓ（実際にはラウンドｒの）の実行を、（ｒ，ｓ）検証者として何も伝播せずにすぐに終了し、Ｈ（Ｂ^ｒ）をｖの最初の成分になるように設定する。さらに、自分自身のＣＥＲＴ^ｒを、（ＳＩＧ_ｊ（Ｑ^ｒ−１），σ_ｊ^ｒ，１）とともに、ステップ（ｂ）のメッセージｍ_ｊ^{ｒ，ｓ’−１}の集合に設定する（脚注４２参照）。

【0565】

脚注４１
プレーヤｊからのこのようなメッセージは、プレーヤｉが１について署名するｊからのメッセージも受信している場合であってもカウントされる。終了条件１についても同様。分析で示しているように、このことは、すべての誠実なユーザが時間λ以内に互いにＣＥＲＴ^ｒを知ることを確実にするためである。

【0566】

脚注４２
ユーザｉはこれでＨ（Ｂ^ｒ）を知り、自分自身のラウンドｒを終わらせる。実際にブロックＢ^ｒがユーザｉに伝播されるまで待つだけでよく、これにはいくらか追加の時間がかかるかもしれない。ユーザｉは一般ユーザとしてメッセージの伝播をなおも手伝うが、（ｒ，ｓ）検証者として伝播を開始しない。具体的には、自分のＣＥＲＴ^ｒ内のすべてのメッセージの伝播を手伝っており、これは我々のプロトコルにとって十分である。ユーザｉはバイナリＢＡプロトコルについても

【数370】

[この文献は図面を表示できません]

を設定するべきであるが、この場合ｂ_ｉは一切必要ない。すべての将来の命令についても同様。

【0567】

−終了条件１：任意の点で、次のようになるステップｓ’が存在する場合、
（ａ’）６≦ｓ’≦ｓ，ｓ’−２≡１ ｍｏｄ ３、すなわち、ステップｓ’は、コインを１に固定するステップであり、かつ、
（ｂ’）ｉは少なくともｔ_Ｈ個の有効なメッセージｍ_ｊ^{ｒ，ｓ’−１}＝（ＥＳＩＧ_ｊ（１），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ’−１}）を受信している場合（脚注４３参照）、
ｉは待機を停止し、自分によるステップｓ（実際にはラウンドｒの）の実行を、（ｒ，ｓ）検証者として何も伝播せずにすぐに終了し、Ｂ^ｒ＝Ｂ_ε^ｒを設定する。さらに、自分自身のＣＥＲＴ^ｒを、サブステップ（ｂ’）のメッセージｍ_ｊ^{ｒ，ｓ’−１}の集合になるように設定する。

【0568】

脚注４３
この場合、ｖ_ｊが何であるかは問題ではない。

【0569】

−任意の時点で、形式（ＥＳＩＧ_ｊ（１），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ−１}）の少なくともｔ_Ｈ個の有効なｍ_ｊ^{ｒ，ｓ−１}を受信している場合、待機を停止し、

【数371】

[この文献は図面を表示できません]

を設定する。

【0570】

−任意の時点で、形式（ＥＳＩＧ_ｊ（０），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ−１}）の少なくともｔ_Ｈ個の有効なｍ_ｊ^{ｒ，ｓ−１}を受信しているが、当該ユーザｉらが同じｖに合意しない場合、待機を停止し、

【数372】

[この文献は図面を表示できません]

を設定する。

【0571】

−そうでなければ、時間２λが経過したとき、ｉは

【数373】

[この文献は図面を表示できません]

を設定する。

【0572】

−値ｂ_ｉが設定されているとき、ｉはＣＥＲＴ^ｒ−１からＱ^ｒ−１を計算し、ｉ∈ＳＶ^ｒ，ｓかどうかをチェックする。

【0573】

− ｉ∈ＳＶ^ｒ，ｓである場合、ｉはメッセージ

【数374】

[この文献は図面を表示できません]

を計算し（ｖ_ｉは、ステップ４でｉが計算した値である）、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，ｓを破壊してから、ｍ_ｉ^ｒ，ｓを伝播する。そうでなければ、ｉは何も伝播せずに停止する。

【0574】

ステップｓ，６≦ｓ≦ｍ＋２，ｓ−２≡１ ｍｏｄ ３： ＢＢＡ^★の、コインを１に固定するステップ
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、自分のステップｓ−１を終えるや否やラウンドｒの自分のステップｓを始める。

【0575】

・ユーザｉは、最大時間量２λ待つ。待っている間、ｉは次のように行為する。

【0576】

−終了条件０：コインを０に固定するステップと同じ命令。

【0577】

−終了条件１：コインを０に固定するステップと同じ命令。

【0578】

−任意の時点で、形式（ＥＳＩＧ_ｊ（０），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ−１}の少なくともｔ_Ｈ個の有効なｍ_ｊ^{ｒ，ｓ−１}を受信している場合、待機を停止し、

【数375】

[この文献は図面を表示できません]

を設定する（脚注４４参照）。

【0579】

脚注４４
１について署名するｔ_Ｈ個の有効な（ｒ，ｓ−１）メッセージを受信することが、終了条件１を意味するであろうことに留意されたい。

【0580】

−そうでなければ、時間２λが経過したとき、ｉは

【数376】

[この文献は図面を表示できません]

を設定する。

【0581】

−値ｂ_ｉが設定されているとき、ｉはＣＥＲＴ^ｒ−１からＱ^ｒ−１を計算し、ｉ∈ＳＶ^ｒ，ｓかどうかをチェックする。

【0582】

−ｉ∈ＳＶ^ｒ，ｓである場合、ｉはメッセージ

【数377】

[この文献は図面を表示できません]

を計算し（ｖ_ｉは、ステップ４でｉが計算した値である）、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，ｓを破壊してから、ｍ_ｉ^ｒ，ｓを伝播する。そうでなければ、ｉは何も伝播せずに停止する。

【0583】

ステップｓ，７≦ｓ≦ｍ＋２，ｓ−２≡２ ｍｏｄ ３： ＢＢＡ^★の、実際にコインを投げるステップ
全ユーザｉ∈ＰＫ^ｒ−ｋのための命令：ユーザｉは、自分のステップｓ−１を終えるや否やラウンドｒの自分のステップｓを始める。

【0584】

・ユーザｉは、最大時間量２λ待つ。待っている間、ｉは次のように行為する。

【0585】

−終了条件０：コインを０に固定するステップと同じ命令。

【0586】

−終了条件１：コインを０に固定するステップと同じ命令。

【0587】

−任意の時点で、形式（ＥＳＩＧ_ｊ（０），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ−１}）の少なくともｔ_Ｈ個の有効なｍ_ｊ^{ｒ，ｓ−１}を受信している場合、待機を停止し、

【数378】

[この文献は図面を表示できません]

を設定する。

【0588】

−任意の時点で、形式（ＥＳＩＧ_ｊ（１），ＥＳＩＧ_ｊ（ｖ_ｊ），σ_ｊ^{ｒ，ｓ−１}）の少なくともｔ_Ｈ個の有効なｍ_ｊ^{ｒ，ｓ−１}を受信している場合、待機を停止し、

【数379】

[この文献は図面を表示できません]

を設定する。

【0589】

−そうでなければ、時間２λが経過したとき、ＳＶ_ｉ^{ｒ，ｓ−１}を有効なメッセージｍ_ｊ^{ｒ，ｓ−１}を受信した（ｒ，ｓ−１）検証者の集合として、ｉは

【数380】

[この文献は図面を表示できません]

を設定する。

【0590】

−値ｂ_ｉが設定されているとき、ｉはＣＥＲＴ^ｒ−１からＱ^ｒ−１を計算し、ｉ∈ＳＶ^ｒ，ｓかどうかをチェックする。

【0591】

−ｉ∈ＳＶ^ｒ，ｓである場合、ｉはメッセージ

【数381】

[この文献は図面を表示できません]

を計算し（ｖ_ｉは、ステップ４でｉが計算した値である）、自分の一時的な秘密鍵ｓｋ_ｉ^ｒ，ｓを破壊してから、ｍ_ｉ^ｒ，ｓを伝播する。そうでなければ、ｉは何も伝播せずに停止する。

【0592】

備考
原則として、サブセクション６．２で検討したように、プロトコルは、あるラウンドで多くのステップを任意に取ることができる。述べたように、これが起こる場合、ｓ＞μのときユーザｉ∈ＳＶ^ｒ，ｓは、事前に生成した一時的な鍵の隠し場所を使い果たしており、一時的な鍵の「カスケード」によって自分の（ｒ，ｓ）メッセージｍ_ｉ^ｒ，ｓを認証しなければならない。したがって、ｉのメッセージは少し長くなり、これらの長くなったメッセージの伝送には少し多くの時間がかかる。したがって、所与のラウンドのそのように多くのステップの後、パラメータλの値は自動的にやや大きくなる。（しかし、一旦新たなブロックが生成されて、新たなラウンドが始まれば、元のλに戻る。）

【0593】

非検証者によるラウンドｒの再構築
システム内の全ユーザｉのための命令： ユーザｉは、ＣＥＲＴ^ｒ−１を持つや否や自分のラウンドｒを始める。

【0594】

・ｉは、プロトコルの各ステップの命令に従い、すべてのメッセージの伝播に参加するが、その検証者ではない場合、ステップの伝播は開始しない。

【0595】

・ｉは、あるステップで終了条件０または終了条件１のいずれかに入ることによって、自分のラウンドｒを、対応するＣＥＲＴ^ｒを使って終了する。

【0596】

・それ以降、ｉは、そのハッシュＨ（Ｂ^ｒ）がＣＥＲＴ^ｒによってピン留めされている実際のブロックＢ^ｒを受信するのを待ちながら（それを既に受信していない限り）、自分のラウンドｒ＋１を始める。ここでも、Ｂ^ｒ＝Ｂ_ε^ｒであることをＣＥＲＴ^ｒが示す場合、ｉは、ＣＥＲＴ^ｒを持った瞬間にＢ^ｒを知る。

【0597】

６．４ アルゴランド’_１の分析
アルゴランド’_２の分析は、アルゴランド’_１の分析から容易に導き出せる。本質的に、アルゴランド’_２では、圧倒的確率で、（ａ）すべての誠実なユーザは同じブロックＢ^ｒに合意する。新たなブロックのリーダーは、少なくともｐ_ｈ＝ｈ^２（１＋ｈ−ｈ^２）の確率で誠実である。

【0598】

７ オフラインである誠実なユーザの取り扱い
述べたように、誠実なユーザは、オンラインであること、およびプロトコルを実行することを含め、自分の規定された命令のすべてに従う。誠実なユーザに対して要求する計算および帯域幅がかなり少量であるため、これは、アルゴランドでは大きな負担ではない。しかし、アルゴランドは、非常に多数の誠実なユーザがオフラインであることが許容される２つのモデルで機能するように簡単に修正できることを指摘したい。

【0599】

この２つのモデルを考察する前に、誠実なユーザの割合が９５％であった場合、アルゴランドは、代わりにｈ＝８０％であると仮定してもなお、すべてのパラメータの設定を実行することができるだろうということを指摘したい。したがって、アルゴランドは、誠実なプレーヤのうちのたかだか半数がオフラインになることを選んでも（実際、「常習的不在」の主なケースである）、適切に機能し続けるであろう。事実、任意の時点で、オンラインのプレーヤの少なくとも８０％は誠実であるだろう。

【0600】

継続的参加から怠惰な誠実者へ
述べたように、アルゴランド’_１およびアルゴランド’_２は、ルックバックパラメータｋを選ぶ。ここで、適切に大きいｋを選ぶことで継続的参加要件を取り除けるということを示そう。この要件は、極めて重要な性質、すなわち、基となるＢＡプロトコルＢＢＡ^★が正規の誠実な過半数を有すること、を確保する。ここで、この性質を満たす代替の魅力的な方法を怠惰な誠実者がいかに提供するかを説明しよう。

【0601】

ユーザｉは、（１）プロトコルへの参加を求められるときに、自分の規定された命令のすべてに従い、（２）プロトコルへの参加を求められることは極稀（例えば週に１回）にしかなく、かつ、参加要求が適切な事前の通知をもって行われ、参加するときはかなりの報酬を潜在的に受け取る場合に、怠惰であるが誠実であることを思い出そう。

【0602】

アルゴランドをこのようなプレーヤで機能させるには、「かなり早期のラウンドで既にシステムにいたユーザの中から、現行ラウンドの検証者を選ぶ」だけで十分である。実際、ラウンドｒの検証者はラウンドｒ−ｋのユーザから選ばれ、数量Ｑ^ｒ−１に基づいて選択が行われることを思い出そう。１週は約１０，０００分からなることに留意し、１ラウンドに（例、平均で）約５分かかると仮定すると、１週は約２，０００ラウンドを有する。そう仮定すると、ある時点で、ユーザｉは、自分の時間を予定し、翌週に自分が検証者になるかどうかを知りたい。ここで、プロトコルはラウンドｒ−ｋ−２，０００内のユーザからラウンドｒの検証者を選び、Ｑ^{ｒ−２，００１}に基づいて選択が行われる。ラウンドｒで、プレーヤｉは既にＱ^{ｒ−２，０００}，．．．，Ｑ^ｒ−１の値を知っている。なぜなら、これらが実際にブロックチェーンの一部であるからである。さらに、１〜２，０００までの各Ｍについて、ｉは、

【数382】

[この文献は図面を表示できません]

の場合に、かつ、その場合に限り、ｉはラウンドｒ＋Ｍのステップｓの検証者である。

【0603】

したがって、当該プレーヤｉが次の２，０００ラウンドで検証者として行為するために呼び出されることになるかどうかをチェックするためには、ｉは、Ｍ＝１〜２，０００および各ステップｓについてσ_ｉ^Ｍ，ｓ＝ＳＩＧ_ｉ（ｒ＋Ｍ，ｓ，Ｑ^{ｒ＋Ｍ−２，００１}）を計算して、そのうちのいくつかについて、．Ｈ（σ_ｉ^Ｍ，ｓ）≦ｐかどうかをチェックしなければならない。電子署名の計算に１ミリ秒かかる場合、この全体の動作を当該ｉが行うのに約１分かかる計算になる。これらのラウンドのいずれにおいても当該ｉが検証者として選択されない場合、当該ｉは、「誠実な分別」をもってオフラインになることができる。継続的に参加した場合、本質的に、当該ｉは、いずれにしても次の２，０００ラウンドの０ステップを実質的に取ったことになるであろう！ 代わりに、当該ｉは、これらのラウンドのうちの１ラウンドの検証者として選択される場合、正規のラウンドで誠実な検証者として行為するために（例、必要なすべての情報を得ることによって）準備する。

【0604】

そのように行為することによって、怠惰であるが誠実な潜在的検証者ｉは、メッセージの伝播への参加の機会を逃すだけである。しかし、メッセージの伝播は通例ロバストである。また、最近伝播された支払の支払人および受取人は、自分の支払に何が起こるのかを見るためにオンラインであると期待され、したがって、当該支払人および受取人が誠実である場合に、メッセージの伝播に参加するであろう。

【0605】

８ 「マネーの誠実な過半数」を伴うプロトコルアルゴランド’
ここで、最後に、ユーザの誠実な過半数の仮定を、はるかに意味深い「マネーの誠実な過半数」の仮定に置き換える方法を示す。基本的な考えは、（プルーフ・オブ・ステーク風に）「ｉが所有するマネーの金額に比例する重み（つまり、決定権）によって、ＳＶ^ｒ，ｓに所属しているユーザｉ∈ＰＫ^ｒ−ｋを選択すること」である（脚注４５参照）。

【0606】

脚注４５
継続的参加と置き換えるために、ＰＫ^{ｒ−ｋ−２，０００}というべきである。単純にするために、いずれにしても連続的参加を要求したいと望む人はいるかもしれないので、１少ないパラメータを表すのに、以前と同様にＰＫ^ｒ−ｋを使用する。

【0607】

ＨＭＭの仮定により、その金額をラウンドｒ−ｋで所有するべきか、またはラウンドｒ（の始まり）で所有するべきかを選ぶことができる。我々が継続的参加を嫌がらないと仮定すると、我々は、後者の選択肢を選ぶ。（継続的参加を除くためなら、前者の選択肢を選ぶであろう。より適切にいうと、ラウンドｒ−ｋ−２，０００で所有されるマネーの金額のため。）

【0608】

この考えを実施するには沢山の方法がある。最も単純な方法は、各鍵にマネーのたかだか１単位を保有させてから、ａ_ｉ^（ｒ）＝１になるように、ＰＫ^ｒ−ｋからランダムにｎ人のユーザｉを選択することであろう。

【0609】

次に最も単純な実施態様
次に最も単純な実施態様は、各公開鍵が、ある固定Ｍについて、マネーＭの最高金額を所有するよう要求することであろう。値Ｍは、１つの鍵が、例えば、ｋラウンドの２以上のステップの検証者集合に属す確率を無視できる程度にするように、システム内のマネーの総額に対して十分に小さくする。そして、ラウンドｒでマネーの金額ａ_ｉ^（ｒ）を所有する鍵ｉ∈ＰＫ^ｒ−ｋが、

【数383】

[この文献は図面を表示できません]

である場合、ＳＶ^ｒ，ｓに属すように選ばれる。そして、すべてが前と同様に進行する。

【0610】

より複雑な実施態様
最後の実施態様は、「システムの金持ちの参加者に多くの鍵を所有させた」。
以下に述べる代替実施態様は、ステータスの概念を一般化し、各ユーザｉをＫ＋１コピー（ｉ，ｖ）からなると見なし、そのそれぞれが独立して検証者であるように選択され、ラウンドｒのステップｓで自分自身の一時的な鍵（ｐｋ_ｉ，ｖ^ｒ，ｓ，ｓｋ_ｉ，ｖ^ｒ，ｓ）を所有することになる。Ｋの値は、ラウンドｒのｉによって所有されるマネーの金額ａ_ｉ^（ｒ）に依存する。
ここで、このようなシステムがどのように機能するかをより詳細に見ていこう。

【0611】

コピー数
ｎを、各検証者集合の目標とする期待濃度とし、ａ_ｉ^（ｒ）を、ラウンドｒでユーザｉが所有するマネーの金額とする。Ａ^ｒを、ラウンドｒでＰＫ^ｒ−ｋのユーザが所有するマネーの総額、すなわち、

【数384】

[この文献は図面を表示できません]

とする。

【0612】

ｉがＰＫ^ｒ−ｋ内のユーザである場合、ｉのコピーは（ｉ，１），．．．，（ｉ，Ｋ＋１）であり、ここで、

【数385】

[この文献は図面を表示できません]

である。

【0613】

例．
ｎ＝１，０００、Ａ^ｒ＝１０^９、ａ_ｉ^（ｒ）＝３７０万とする。すると、

【数386】

[この文献は図面を表示できません]

である。

【0614】

検証者およびクレデンシャル
ｉを、Ｋ＋１コピーを有するＰＫ^ｒ−ｋ内のユーザとする。

【0615】

各ｖ＝１，．，．，Κについて、コピー（ｉ，ｖ）は自動的にＳＶ^ｒ，ｓに属す。すなわち、ｉのクレデンシャルは

【数387】

[この文献は図面を表示できません]

であるが、対応する条件は、．Η（σ_ｉ，ｖ^ｒ，ｓ）≦１になり、常に真である。

【0616】

コピー（ｉ，Ｋ＋１）について、ラウンドｒの各ステップｓは、ｉが

【数388】

[この文献は図面を表示できません]

であるかどうかをチェックする。もしそうなら、コピー（ｉ，Ｋ＋１）はＳＶ^ｒ，ｓに属す。これを証明するために、ｉは次のクレデンシャルを伝播する。

【数389】

[この文献は図面を表示できません]

【0617】

例．
前の例と同様に、ｎ＝１Ｋ、ａ_ｉ^（ｒ）＝３７０万、Ａ^ｒ＝１Ｂ、そしてｉは４つのコピー（ｉ，１），．．．，（ｉ，４）を有するとする。すると、最初の３つのコピーは自動的にＳＶ^ｒ，ｓに属す。４番目のコピーについては、概念的に、アルゴランド’は独立してバイアスコインを転がし、それが表になる確率は０．７である。コピー（ｉ，４）は、コイントスが表である場合、かつ、その場合にのみ選択される。

【0618】

（当然、この出願においてこれまでずっと行ってきたように、このバイアスコインフリップは、ｉが自分の結果を証明できるように、ハッシュ化、署名および比較によって実施される。）

【0619】

通常通りのビジネス
検証者がどのように選択され、当該検証者のクレデンシャルがラウンドｒの各ステップでどのように計算されるかを説明してきたが、ラウンドの実行は既に説明したものと似ている。

【0620】

９ フォーク
フォークの確率を１０^−１２または１０^−１８まで減じて、それが発生する可能性がほとんどない中で、当該フォークを取り扱う必要は実際上ない。しかし、アルゴランドは、プルーフ・オブ・ワークの有無を問わず、様々なフォークの解決手順を採用することもできる。

【0621】

１０ ブロックおよびステータス情報のための新たな構造
このセクションは、すべてのブロックの改ざん防止性を保証し続けるブロックを構築するより良い方法を提案するだけでなく、個々のブロックの内容を証明し、より一般的には、ブロックチェーン全体を審査することなく、関心のある特定の数量を計算するためにブロックを使用する、より効率的な方法を可能にもする。

【0622】

ブロックチェーンの改ざん防止性
ブロックチェーンを作るために、ブロックＢ_ｒは次の高次構造を有することを思い出そう（脚注４６参照）。

【数390】

[この文献は図面を表示できません]

【0623】

脚注４６
アルゴランドではラウンドを示すために上付き記号を使用することを思い出そう。しかし、このセクションは全体としてブロックチェーンに充てられており、そのため、ｒ番目のブロックは、アルゴランドの意味でのｒ番目のラウンドに対応しないことがある。すなわち、上記「ｒ」は単なるブロック番号であり、明確にするためにブロックＢ_ｒに含まれる。
また、ブロックの上記一般構造は概念的なものである。例えば、ビットコインでは、Ｂ_ｒは、対応する計算問題を解いた人であるブロック構築者の電子署名を含むことができる。アルゴランドでは、Ｂ_ｒの認証、すなわち、マッチング証明書ＣＥＲＴ_Ｘは別に提供することができる。しかし、Ｂ_ｒの一体的な一部として提供することもできるであろう。この後者の場合、有効な証明書が多数あるかもしれないため、ラウンドｒのリーダーｌ^ｒは、すべてのラウンドｒ検証者への自分のメッセージの中に、前のラウンドの出力のための有効な証明書も含めて、各ラウンドｒの証明書が何であるかに関しても合意に達するようにする。

【0624】

上記において、ＩＮＦＯ_ｒは、ｒ番目のブロック内で保護したい情報である。アルゴランドの場合、ＩＮＦＯ_ｒは、ＰＡＹ^ｒ、数量Ｑ^ｒ−１のブロックリーダーの署名等を含む。

【0625】

ブロックチェーンのよく知られた基本的な性質は、そのブロックのそれぞれの内容を改ざん防止にすることである。すなわち、過去のブロックを改変するには、最後のブロックも変えなければならない。この性質を、かいつまんで以下に挙げておく。

【0626】

最新のブロックをＢ_ｌａｓｔとし、誰かがＢ_ｒを別の（「不正な」）ブロック

【数391】

[この文献は図面を表示できません]

に置き換えると仮定する。すると、Ｈは衝突耐性であるため、

【数392】

[この文献は図面を表示できません]

は、圧倒的確率で、Ｈ（Ｂ_ｒ）とは異なる。したがって、ブロックチェーンのブロック内の情報

【数393】

[この文献は図面を表示できません]

、すなわち、

【数394】

[この文献は図面を表示できません]

をどのように選ぼうとも、ここでもＨの衝突耐性のために、

【数395】

[この文献は図面を表示できません]

となる。この不等式は伝播することは事実である。すなわち、

【数396】

[この文献は図面を表示できません]

がＢ_ｒ＋２とは異なる。以降も同様であるので、最終的には、

【数397】

[この文献は図面を表示できません]

となる。

【0627】

ブロックチェーンの個々のブロックの非効率的な検証可能性
ブロックチェーン全体は知らないが、Ｂ_ｚがその中の正当なブロックであることを知っている人、Ｘ、を考えてみる。すると、上記基本的な性質により、ある人はこのような人に対して、ｒがｚよりも小さい場合、任意の個々のブロックＢ_ｒも正当であることを証明することができる。すなわち、ある人は、「証拠」として、中間ブロックのすべてＢ_ｒ＋１，．．．，Ｂ_ｚ−１をＸに提供し、ＸはさらにＨを使用してｒから先、ｚ番目のブロックを再構築するまでブロックチェーンを再生成し、自分が知っているブロックＢ_ｚと一致するかどうかをチェックする。そうなる場合、ＸはＢ_ｒの正当性を確信する。実際、このように一見適法そうな証明を見つけることができる人は誰でも、実際上は発見するのは不可能な、ハッシュ関数Ｈでの衝突も見つけたはずである。

【0628】

このような検証可能性の有用性を確認するために、以下の例を考えてみる。ブロックチェーンがビットコインまたはアルゴランド等の支払システムによって生成されると仮定して、Ｘを訴訟事件の裁判官とし、被告は、係争中の支払Ｐを２年前に原告に対して実際に行ったことをＸに対して証明することを望んでいる。裁判官がチェーンの正当な最後のブロック、または少なくとも十分に最近の正当なブロックＢ_ｚを取得することができると仮定するのが合理的であるため、被告が行わなければならない「すべてのこと」は、裁判官に証拠Ｂ_ｒ＋１，．．．，Ｂ_ｚ−１を提出することであり、裁判官はそれから、証拠が釈明通りであることを検証する。当然、問題はこのような証拠がおそらくかなり長いことである。

【0629】

ブロックツリー
過去の個々のブロックの正確な内容を効率的に証明できる能力はかなり基本的なことであるため、我々は、新たなブロック構造を展開する。これらの構造では、ブロックチェーンと同様に、ブロックシーケンス全体の完全性は、はるかに短い値ｖによって簡潔に保証される。この値は、シーケンスの最後のブロックではない。それにもかかわらず、ブロックチェーンの基本的な性質は維持される。ブロックのうちの１つにおける変更は、ｖにおける変更を引き起こす。

【0630】

新たな構造の利点は、ｖがあるとして、ｎをシーケンスの現在のブロック数とすると、各個々のブロックの内容は非常に効率的に証明することができる点である。例えば、新たなブロック構造の特定の実施形態であるブロックツリーでは、それまでに生成されたブロックの総数がｎである場合、各ブロックは、わずか

【数398】

[この文献は図面を表示できません]

バイトの情報を提供するだけで証明することができる。

【0631】

これは実際に非常に簡潔な証明である。毎分１個のブロックを生成するシステムにおいて、それから、２千年運用した後は、

【数399】

[この文献は図面を表示できません]

である。したがって、各個々のブロックの内容を証明するには１ＫＢ（１，０００バイト）未満で十分である。（２０億年後には２ＫＢ未満で十分であり、本質的に永久でも４ＫＢで十分である。）また、このような証明は非常に効率的に検証される。

【0632】

効率的なステータス
別の効率性の問題が、ビットコイン、より一般的にはブロックチェーンに基づく支払システム、に影響を与える。すなわち、システムのステータス（すなわち、どの鍵が所与の時刻に何を所有するか）を再構築するには、（その時点までの）支払履歴全体を取得しなければならず、それは、行われる支払回数が非常に多い場合にはおそらく実行が困難である。
このような必要なものを得るためにも、ブロックツリーを使用する。

【0633】

以下に挙げる、はるか昔の概念を適切に修正することによって、ブロックツリーを構築する。

【0634】

１０．１ マークル木
マークル木とは、ｎ個の既知の値ｖ_０，．．．，ｖ_ｎ−１を１つの値ｖによって認証し、各値ｖ_ｉの真正性を個々にかつ効率的に検証できるようにする方法である。

【0635】

単純にするために、ｎは２の累乗ｎ＝２^ｋであると仮定して、各値が別々のｋビットストリングｓによって一意に識別されるようにする。そして、深さｋの完全なバイナリツリーに特定の値を格納することによってマークル木Ｔを概念的に構成し、そのノードは、長さ≦ｋのバイナリストリングを使用して一意に名付けられている。

【0636】

ルートはεと名付けられ、空のストリングである。内部ノードがｓと名付けられる場合、ｓの左の子はｓ０と名付けられ（すなわち、ｓを０と連結させることによって得られるストリング）、右の子はｓ１と名付けられる。それから、マークル木Ｔを構成するために、各整数ｉ∈｛０，．．．，ｎ−１｝を識別し、そのバイナリｋビット展開とともに、考えられる０を先頭に付けて、各値ｖ_ｉをリーフｉに格納する。この後、木をマークル化し、すなわち、次のように、ボトムアップ方式で（すなわち、まず深さｋ−１の全ノードの内容を選んでから、次に深さｋ−２の全ノードの内容を選ぶ。以降も同様）、Ｔの、他のすべてのノードに格納する。ｖ_ｓ０およびｖ_ｓ１がそれぞれノードｓの左の子および右の子に格納される場合、２５６ビット値

【数400】

[この文献は図面を表示できません]

をノードｓに格納する。このプロセスの終わりに、ルートは２５６ビット値ν_εを含むことになる。

【0637】

深さ３および８個のリーフを有するマークル木を図１．Ａに示す。

【0638】

ここで、ｖ_εが分かっている、または電子署名されていると仮定して、各元の値ｖ_ｉをｖ_εに関連してどのように認証できるかを示そう。

【0639】

ノードｘから始まりルートに到達する（最短）経路Ｐを考えてみる。すると、ｘの内容ｖ_ｘの認証経路はＰ内のノードの兄弟の内容のシーケンスであり、ノードｓ０の兄弟はノードｓ１であり、またその逆も同様である。したがって、深さｋのツリーのリーフ値の認証経路はｋ−１値からなる。例えば、図１．Ａのマークル木では、リーフ０１０からルートまでの経路はＰ＝０１０，０１，０，εであり、ルートは兄弟を持たないため、ｖ_０１０の認証経路はｖ_０１１，ｖ_００，ｖ_１である。図１．Ａのマークル木の経路Ｐおよびｖ_０１０の認証経路を、図１．Ｂに図示する。

【0640】

各ｖ_ｉをｉ番目のリーフに格納し、特定のストリングｅ（空（ｅｍｐｔｙ）に因む）を残りのすべてのリーフに格納し、さらにノードの残りを通常のやり方で埋めることによってｎ＜２^ｋの値ｖ_０，・・・，ｖ_ｎ−１を認証するマークル木を有するために、２^ｋ個のリーフを有する完全なバイナリツリーを使用することができる。得られるマークル木は（事実上）ｎ個のリーフを持っている（他のすべてのリーフが空であるため）（脚注４７参照）。

【0641】

脚注４７
ハッシュ関数Ｈが

【数401】

[この文献は図面を表示できません]

になるようにすると仮定して、内容がｅである任意のノードより下のマークル木のノードをすべて「刈り込む」こともできる。

【0642】

ルート値ν_εに関連し、その認証経路があるとして、ｖ_１（の真正性）を検証するために、リーフｉからルートまでの経路内のノードの内容を再構築してから、最後に再構築される値が実際にν_εであるかどうかをチェックする。すなわち、認証経路がｘ_１，．．．，ｘ_ｋ−１である場合、まずｖ_１およびｘ_１を一緒に正しい順序でＨハッシュ化する、すなわち、ｉの最後のビットが０の場合、ｙ_２＝Ｈ（ｖ_１，ｘ_１）を計算し、そうでない場合はｙ_２＝Ｈ（ｘ_１，ｖ_１）を計算する。それから、ｙ_２およびｘ_２を一緒に正しい順序でＨハッシュ化する。値ｙ_ｋを計算し、それをｖ_εと比較するまで、同様に行う。ｙ_ｋ＝ｖ_εの場合、かつ、その場合に限り、値ｖ_１は認証される。

【0643】

このような検証が機能する理由は、ここでも、Ｈが衝突耐性であるからである。実際に、リーフまたはノードに当初格納されていた値のうちの１つのビットを変更するだけで、圧倒的確率で、親に格納されている値も変更される。この変更は上までずっと広まり、その結果、ルートの値は既知の値ｖ_εとは異なることになる。

【0644】

１０．２ ブロックツリー
述べてきたように、マークル木は、１つの値、つまりルートに格納されている値ｖ_εによって、任意の、および任意に多くの既知の値を効率的に認証する。実際、マークル木の１つのルート内容によってｋ個の値ｖ_０，．．．，ｖ_ｋ−１を認証するためには、まず、木の最初のｋ個のリーフに格納するためにｖ_０，．．．，ｖ_ｋ−１を知り、他の適切なノードにｅを格納してから、ルート値を含む、木の中の他のすべてのノードの内容を計算しなければならない。

【0645】

マークル木は、ビットコインで所与のブロックの支払を認証するために使用されている。実際、所与のブロックを構築するときには、ブロックに入れるための支払は既に選択済みである。

【0646】

ただし、増え続けるブロックチェーンを認証するためにマークル木を使用することは、どのブロックを認証するべきかが事前には分からないため、さらに難しい。

【0647】

しかし、我々は、個々のブロックの効率的な証明可能性を可能にする新たなブロック構造を得るために、どのようにして新規な方法でマークル木を使用するかを示す。我々の好適なこのような構造、ブロックツリーを例示しよう。

【0648】

ブロックツリーの保証
ブロックツリーは、ブロックのシーケンスＢ_０，Ｂ_１，．．．．のそれぞれに含まれる情報を保護する。この重要な性質は、ブロックチェーンと同様、前のブロックのハッシュを各ブロックにも格納することでは得られない。しかし、各ブロックは何らかの短い保護情報も格納して、所与のブロックＢ_ｒの前のブロックＢ_ｉの内容に加えられた変更がＢ_ｒの保護情報も変更させることを保証する。ブロックツリーのこの保証は、ブロックチェーンが提供するものに匹敵する。主な利点は、新たな保護情報により、ブロックＢ_ｒの保護情報を知る誰かに対して、Ｂ_ｉとＢ_ｒとの間のすべてのブロックを処理しなくても、任意のブロックＢ_ｉの正確な内容を証明できることである。ブロックの数がとてつもなく多い可能性がある（またはそのようになる可能性がある）ため、これは大きな利点である。

【0649】

ブロックツリーのブロック構造
ブロックツリーでは、ブロックＢ_ｉは以下の形式を有する。

【数402】

[この文献は図面を表示できません]

上記式において、ＩＮＦＯ_ｒは、ブロックＢ_ｒ内の、セキュアである必要がある情報を表し、Ｓ_ｒはＢ_ｒの保護情報を表す。

【0650】

ブロックツリーの我々の好適な実施形態において、保護情報Ｓ_ｒの情報は、実際にはかなり簡潔である。これは

【数403】

[この文献は図面を表示できません]

２５６ビットストリングのシーケンス、すなわち、それぞれ３２バイトの

【数404】

[この文献は図面を表示できません]

ストリングから構成される。ほとんどの実用的なアプリケーションでは、２^４０は千兆よりも大きいため、

【数405】

[この文献は図面を表示できません]

であることに注意されたい。

【0651】

以下に、ブロックツリーのためだけにＳ_ｒの情報を明記する。当業者は、それを、本質的に同一の保証で、多様な他のブロック構造に容易に一般化できることを認識するであろうが、そのすべては本発明の範囲内である。

【0652】

ブロックツリーにおけるブロックの生成
簡潔にするために、ＩＮＦＯ_ｒ＝ｖ_ｒに設定しよう。概念上、２^ｋが候補値ｖ_ｒの数に上限を設けるように、深さｋの完全なバイナリツリーＴから始める。値ｖ_０，ｖ_１．．．もそうなので、ブロックは順に生成される。新たな値ｖ_ｉが生成されると、概念的にいうと、マークル木Ｔ_ｉを構築するために、当該値ｖ_ｉはＴのリーフｉに格納され、その後、様々なストリングが計算されてＴのノードに格納される。これらのストリングのうちの１つが、特殊なストリングｅである。（Ｔ_ｉのノードｘに出現するとき、ストリングｅは、Ｔ_ｉに属すｘの子孫が存在しないことを意味し、

【数406】

[この文献は図面を表示できません]

であると仮定する。）

【0653】

最初の値ｖ_０が生成されて、リーフ０に格納されると、Ｔ_０はＴの（そのように埋められた）ノード０と一致する。事実、こうしたＴ_０は基本のマークル木である。その深さは

【数407】

[この文献は図面を表示できません]

であり、そのルートはＲ_０＝０であり、その最初の深さ０のリーフ（また、実際、その唯一のリーフおよびノードに）ｖ_０を格納する。

【0654】

ｉ＋１^ｓｔの値ｖ_ｉが生成されて、Ｔのリーフｉに格納されたとき（場合によっては、既にそこでストリングｅを置き換える）、マークル木Ｔ_ｉは、前のマークル木Τ_ｉ−１から次のように構築される。（帰納的な仮説により、Τ_ｉ−１は深さが

【数408】

[この文献は図面を表示できません]

で、ルートがＲ_ｉ−１、それぞれ値ｖ_０，．．．，ｖ_１を格納するｉ深さ

【数409】

[この文献は図面を表示できません]

のリーフを有する。

【0655】

リーフｉがＲ_ｉ−１の子孫の場合、Ｒ_ｉ＝Ｒ_ｉ−１とし、そうでなければＲ_ｉをＲ_ｉ−１の親とする。Ｐは、リーフｉからノードＲ_ｉまでのＴの（最短）経路とする。Ｐ内のすべてのノードｊについて、その兄弟のｊ’が空の場合、ｊ’に特殊なストリングｅを格納する。最後に、ｖ_ｓ０およびｖ_ｓ１がそれぞれｓの左の子および右の子に格納される値の場合、Ｐ内の各ノードについて、リーフｉ（除く）からノードＲ_ｉ（含む）の順に、値ｖ_ｓ＝Ｈ（ｖ_ｓ０，ｖ_ｓ１）をｓに格納する。そのように計算された値をそのノードに格納する、Ｒ_ｉをルートとするＴの部分木がマークル木であることを確認するのは簡単である。このマークル木はＴ_ｉである。

【0656】

最初の空の完全なバイナリツリーＴが深さ３を有する場合について、最初の８連続のマークル木の構成を図２に合成する。特に、各下位図２．ｉは、マークル木Ｔ_ｉを、そのノードのそれぞれに、特殊なストリングｅ（「そのノードより下のＴ_ｉは空である」ことを意味する）、または数ｊ∈｛０，．．．，ｉ−１｝（マークル木Ｔ_ｊを構築するときに、ノードの内容が最後に変更されたことを意味する）のいずれかを記して強調する。どれほど多くのマークル木を構築できたとしてもＴ_ｊで最後に変更されたノードの内容はそれ以上変わらないことを強調するために、ｊを太字で書く。

【0657】

これを踏まえて、新たなブロックＢ_ｉを次のように生成する。ｉ番目のブロック内の保護したい情報ＩＮＦＯ_ｉを選んだ後、ｖ_ｉ＝ＩＮＦＯ_ｉをＴのリーフｉに格納し、マークル木Ｔ_ｉを構築し、

【数410】

[この文献は図面を表示できません]

を設定する。上記式において、Ｒ_ｉはＴ_ｉのルートであり、ａｕｔｈ_ｉはＴ_ｉにおけるｖ_ｉの認証経路である。すると、新たなブロックは、

【数411】

[この文献は図面を表示できません]

になる。Ｓ_ｉは実際には

【数412】

[この文献は図面を表示できません]

ストリングから構成されることに注意されたい。ａｕｔｈ_ｉの各ストリング、したがってＳ_ｉ内のすべてのストリングは実際には２５６ビット長であり、リーフｉにｖ_ｉを格納するのではなく、代わりにＨ（ｖ_ｉ）を格納することができる。
ブロックツリーによるセキュリティおよび証明可能性

【0658】

誰かがブロックＢ_ｒを知り、前のブロックＢ_ｉの情報ＩＮＦＯ_ｉを正確に知りたがっていると仮定する。マークル木のシーケンスΤ_０，Τ_１，．．．を構築するとき、各木は部分木として前のものを含むことに留意されたい。事実、前のリーフの内容はそのままで、最後に埋められたものの右側の最初のリーフに新たな値が挿入されるので、各木Ｔ_ｘのリーフは各後続木Ｔ_ｙの最初のｘ＋１リーフである。したがって、ＩＮＦＯ_ｉは、ｒ番目のリーフがＩＮＦＯ_ｒを含み、ルート値Ｒ_ｒがブロックＢ_ｒのセキュリティ情報であるＳ_ｒの最初の成分である、マークル木Ｔ_ｒのｉ番目のリーフの内容である。

【0659】

Ｂ_ｒを知る誰かは、Ｓ_ｒおよびＲ_ｒも知っていることに留意されたい。したがって、このような「人」に対して、ＩＮＦＯ_ｉがブロックＢ_ｉの情報であることを証明するには、ある人がマークル木Ｔ_ｒ内のＩＮＦＯ_ｉの認証経路をその誰かに提供すれば十分である。事実、このような認証情報は容易にチェックできるが、容易に偽造することはできないことを既に確認している！

【0660】

このような認証経路は

【数413】

[この文献は図面を表示できません]

値から構成され（Ｔ_ｒは深さｄ＋１を有するため）、それぞれ３２バイトからなる（Ｈが３２バイトの出力を生成するため）。このように、Ｂ_ｒに関連してＢ_ｉの内容を証明することは非常に容易である。述べたように、ほとんどの実用的なアプリケーションではｄ＜４０である。

【0661】

容易に入手可能な情報からのブロックの構築可能性
ブロックＢ_ｉの一部である構造情報Ｓ_ｉを構築するためには、マークル木Ｔ_ｉ全体からの情報が必要になるように思えるだろう。結局、リーフｉに格納されるＩＮＦＯ_ｉ、したがって値ｖ_ｉは容易に入手可能であるが、ｖ_ｉの認証経路ａｕｔｈ_ｉは前の木のノードの内容を含み、これは原則的には容易に入手することはできない。Ｓ_ｉを構築するためにＴ_ｉ−１全体を入手しなければならない場合、新たなブロックＢ_ｉを構築することはあまりに効率的ではないかもしれない。

【0662】

しかし、まさしくブロックチェーンの特質において、各Ｂ_ｉは、前のブロックＢ_ｉ−１および選ばれた情報ＩＮＦＯ_ｉから自明に計算できることに留意されたい。実際、Ｓ_ｉ内の各ストリングは、次のうちの１つである。すなわち、
（ａ）Ｈ（ＩＮＦＯ_ｉ）、
（ｂ）固定ストリングｅ、
（ｃ）Ｓ_ｉのストリング、および、
（ｄ）上記タイプの所定の形態のストリングでハッシュ化することによって得られるストリング。

【0663】

図３は、太い境界線で、ブロックツリーの最初の８ブロックを構築するために、その内容がＳ_ｉ＝（Ｒ_ｉ，ａｕｔｈ_ｉ）を計算するのに十分なノードを強調表示している。特に、各下位図３．ｉは、その内容がＳ_ｉを生成するのに十分なノードを強調表示している。強調表示される各ノードにはさらにａ、ｂまたはｃを記して、それがタイプ（ａ）、（ｂ）または（ｃ）であることを示している。ルートＲ_ｉを含むタイプ（ｄ）のノードにはマーキングをしていない。

【0664】

要するに、ブロックツリーベースのシステムでは、ブロックの生成は非常に効率的である。

【0665】

１０．３ ステータス情報の効率的な管理
ブロックツリーは、アルゴランド等の支払システムを含め、あらゆる種類のアプリケーションにおいてブロックのセキュアな取扱いを改善する。しかし、このようなシステムには、改善から大きな利益が得られるであろう別の側面、すなわち、ステータス情報がある。

【0666】

効率的なステータス情報のニーズ
ラウンドｒの正式なステータスは、各現行の公開鍵ｘについて、ｘが所有する金額、および場合によっては追加情報Ｓ^ｒ＝．．．，（ｘ，ａ_ｘ^（ｒ），．．．），．．．を明記するタプルのリストからなることを思い出そう。システム内の鍵が所有するマネーの金額は動的に変化するので、それをできるだけ効率的に追跡し続ける必要がある。

【0667】

今までのところ、ビットコインと同様に（そのステータス情報はかなり異なるが）、現行のステータスは、認証されるのではなく、支払の認証済み履歴から推論される。ブロックツリーは、ラウンドｒでステータスＳ^ｒを証明できる能力を保証するわけではない。実際には、ブロックツリーにより、Ｂ^ｒの前のブロックＢ^ｉの支払集合ＰＡＹ^ｉは、Ｂ^ｒに関連して効率的に証明できるであろう。しかし、ステータスＳ^ｒを証明するためには、一般に、Ｂ^ｒの前のすべてのブロックの支払集合を証明可能に得るべきであろう。そのため、Ｓ^ｒを知らないか、またはそれを知っているが、その現行の値の確固たる証拠を受け取りたい他のユーザまたはエンティティに証明者Ｐが証明するための、効率的な方法が必要である。

【0668】

具体的には、このような方法は、新たなユーザ、またはしばらくオフラインでいたユーザにとって、現行のシステムのステータスに追い付くことを容易かつセキュアにするであろう。

【0669】

ここで、このような方法のステータスツリーを提供しよう。

【0670】

ステータスツリー： 第１の方法
ステータスツリーＳＴ^ｒは、ラウンドｒ−１の終わりに、ＰがステータスＳ^ｒの値を効率的に証明することを可能にする特殊な情報構造である。

【0671】

実際、ＳＴ^ｒは、全ユーザのステータスを証明しなくても（ましてやブロックシーケンス全体Ｂ^０，．．．，Ｂ^ｒ−１を提供しなくても）、Ｐが、任意の候補ユーザｉ∈ＰＫ^ｒについて、ラウンドｒの始めにｉが所有している正確な金額ａ_ｉ^ｒを効率的に証明することを可能にする。事実、その人達が以前にマネーを持っていたことを確認するには、例えば、その人達と交渉を開始するには、あるユーザにとって、ごく少数のユーザ（例えば、当該あるユーザが支払を受けると考える人達）のステータスを正確に知ることが重要であろう。ユーザｉにとって、自分自身のａ_ｉ^ｒの値の証拠を受け取ることは、例えば、借入をするため、交渉で真剣に受け取られるため、または発注を出すために、さらに有用であろう。

【0672】

まず、Ｐが、ブロックシーケンスＢ^０，．．．，Β^ｒ−１の全体を知っており、少なくともユーザおよびエンティティのグループによって広く信頼されていると仮定する。この場合、Ｐは次のことを行う。

【0673】

・支払集合シーケンスＰＡＹ^０，．．．，ＰＡＹ^ｒ−１を取得（例、検索）し、
・ユーザの集合ＰＫ^ｒを計算し、
・少なくともｎ_ｒ＝｜ＰＫ^ｒ｜のリーフを有するマークル木Ｔ^ｒを構築し、当該マークル木Ｔ^ｒの最初のｎ個のリーフはｎ人のユーザ全員のステータス情報を格納し、各リーフは１人のユーザの情報を格納する（他のリーフは、もしあれば、リーフが「空」であることを意味する特殊なストリングｅを格納してもよい）し、および、
・好ましくは電子署名されているＴ_ｒのルート値Ｒ_ｒを、少なくとも別のエンティティに利用できるようにする。

【0674】

次に、あるユーザｘ∈ＰＫ^ｒのステータスについて誰かがＰに尋ねる任意のときに、ｌ_ｘがｉのステータス情報を格納している場合、Ｐはその人に、リーフｌ_ｘに格納されている値の、Ｔ^ｒにおける認証経路を提供する。

【0675】

重要なことに、Ｒ_ｒを計算し電子署名した後で、Ｐは、あるユーザのステータスに関する問い合わせに回答するために、もはやそこにいる必要はない。実際に、同様にＴ^ｒを知る任意の他のエンティティＰ’が、エンティティＶからの、ｘに関する問い合わせに回答できるであろう。事実、Ｐ’は、同じ電子署名されたルート値Ｒ_ｒ、ｘに関するステータス情報、およびＰがＶに提供したであろう後者の情報の同じ認証経路をＶに提供できるであろう。したがって、ＶがＰを信用している場合、たとえＶがＰ’を信用していなくても、Ｐ’によって提供される回答を検証することができる。事実、報告される認証経路がマークル木Ｔ_ｒのルートＲ_ｒに関連してｘのステータスが正当であることを保証するので、また、Ｒ_ｒはＰによって電子署名されるので、Ｖは、ｘに関するステータス情報の真正性を検証することができる。Ｖは、Ｐを信用している限り、Ｐ’を信用する必要はない。

【0676】

このように、Ｐは、Ｒ_ｒの自分の電子署名を公表して（または別のエンティティＰ’に利用できるようにして）、証明可能な形で、他者（Ｐ’）にステータスの質問に回答させてもよい。

【0677】

ここで、この第１の方法の以下の性質を強調しておきたい。

【0678】

１． （「良いニュース」）
Ｐは、各ラウンドｒで一からＴ^ｒを計算する必要がない。

【0679】

実際、ユーザｘ∈ＰＫ^ｒのステータスがどこに保管されているかは問題ではないため、前のマークル木Ｔ^ｒ−１を計算し保管していれば、Ｐは、新たなブロックＢ^ｒの支払集合ＰＡＹ^ｒを知った後に、Ｔ^ｒ−１からＴ^ｒを計算することができる。本質的に、ＰＡＹ^ｒがｋ個の支払を有する場合、Ｐはたかだか２ｋ人のユーザのステータス情報（すなわち、ＰＡＹ^ｒにおける各支払の支払人および受取人のステータス情報）を更新し、たかだかｋ人の新たなユーザのステータス情報を初めて挿入すればよい（単純にするためにのみ、ＰＡＹ^ｒにおける各支払は、たかだかもう１人のユーザをシステムに導入することができると仮定する）。

【0680】

ブロックツリーの場合と同様に、各新たなユーザのステータスは、次の空のリーフに挿入することができる。さらに、Ｐが既存ユーザｉのステータスを更新する度に、Ｐは、ｉのステータスを格納しているリーフからルートまでの経路で内容のみを変更する必要がある。この経路は、ｎ＝｜ＰＫ^ｒ｜の場合、たかだか

【数414】

[この文献は図面を表示できません]

の長さで、たかだかハッシュと同じだけの数を必要とする。本質的に、新たに追加される各ユーザにも同じことがいえる。ユーザの数ｎは非常に大きいかもしれないが、ｋ、すなわち、所与のラウンドで取引するユーザの数はおそらく小さいであろうことに留意されたい。また、Ｔ^ｒ−１からＴ^ｒを更新するには、

【数415】

[この文献は図面を表示できません]

ハッシュのみが必要である。このことは、一からＴ^ｒを計算するよりも実に有利であり、一から行うと、ほぼｎ個のハッシュが必要になる。

【0681】

２． （「悪いニュース」）ユーザ

【数416】

[この文献は図面を表示できません]

に関して尋ねられる場合、Ｐ／Ｐ’は、

【数417】

[この文献は図面を表示できません]

を証明することはできない。

【0682】

実際、あるＶがラウンドｒでユーザｘのステータスに関して尋ねる場合、ＰおよびＰ’はいずれも、ｘがそのラウンドでシステムにいなかったためにｘに関するステータス情報が存在しないことを、Ｖに対して容易に証明することはできない。

【0683】

ＰまたはＰ’は、Ｔ^ｒの各リーフｌの内容をＶに具体的に述べることができる。この大域的情報から、Ｖは、（ａ）ｘのステータスを含むリーフがないかどうかをチェックし、（ｂ）これらのリーフの内容に対応するマークル木のルート値を再構築し、および（ｃ）そのように計算した値が、Ｐによって電子署名されたルート値Ｒ_ｒと一致するかどうかをチェックすることができる。しかし、このような大域的情報は非常に大きく、伝送するのが簡単ではないかもしれない。

【0684】

（少なくともまだ）存在していないユーザに関する問い合わせに対して信用できる回答を容易に提供できないことは問題ではないだろう。（例、ユーザの総数が大きすぎないため。）この場合、第１の方法でうまくいく。しかし、万が一それが問題になるなら、我々は別の方法を提案する。

【0685】

ステータスツリー：第２の方法
ここでも、ＰがブロックシーケンスＢ^０，．．．，Ｂ^ｒ−１の全体を知っていると仮定する。すると、第２の方法では、Ｐは次のことを行う。

【0686】

・支払集合シーケンスＰＡＹ^０，．．．，ＰＡＹ^ｒ−１を検索し、
・ユーザの集合ＰＫ^ｒを計算し、
・すべてのユーザｉ∈ＰＫ^ｒのステータス情報（ｉ，ａ_ｉ^ｘ）を計算し、
・ｎ個のステータス情報ペアを最初のエントリーに従って（例、そのユーザの辞書式順序に従って）順序付けし、
・第１リーフがＰＫ^ｒ内の第１ユーザのステータス情報を含み、第２リーフが第２ユーザのステータスを含む等のマークル木Ｔ^ｒを構築し（追加リーフは、もしあれば、ストリングｅを含む）、および、
・Ｔ_ｒのルート値Ｒ_ｒに電子署名し、この署名を利用できるようにする。

【0687】

この第２の方法は、別の（必ずしも信頼されていない）エンティティＰ’が個々のユーザのステータスに関する質問に確実に回答することを可能にし続けるが、性質１および２に関連する点を「覆す」ことに留意されたい。すなわち、以下の通り。

【0688】

１’．（「悪いニュース」）
これまでのようにＴ^ｒ−１を使用してＴ^ｒを容易に構築するのは簡単ではない。

【0689】

そうなるのは、ここでは、Ｔ^ｒのリーフはユーザに従って順序付けされたユーザのステータス情報を含み、新たなユーザを挿入することが問題をはらむことになるためである。１人の新たなユーザを、例えば、リーフの中央に挿入する必要がある場合、リーフの半分の内容を変更しなければならない。

【0690】

２’．（「良いニュース」）
ＰまたはＰ’は、ユーザ

【数418】

[この文献は図面を表示できません]

が実際にＰＫ^ｒに所属していないことを証明することができる。

【0691】

ラウンドｒでシステムにいなかったユーザｘのステータスに関してＶが尋ねる場合、信頼されていないＰ’でも、Ｐによって認証されたルート値Ｒ_ｒに関連して、２つの連続するリーフの内容の認証経路を提供することができ、ｉ’＜ｉ＜ｉ”になるように、一方はユーザｉ’に関するステータス情報を格納し、他方は別のユーザｉ”のステータス情報を格納している。

【0692】

Ｖは、２つの認証経路が２つの連続するリーフの内容のものであると実際に判定できることに留意されたい。そうなるのは、同じ値へハッシュ化する２つの異なるストリングを見つけることは実際上不可能であるため、２つのストリングａおよびｂがあるとすると、Ｈ（ａ，ｂ）≠Ｈ（ｂ，ａ）になる。したがって、ｈ＝Ｈ（ａ，ｂ）とすると、ｈは、「ａの後にｂがくる」ハッシュであり、その逆ではない、と判定することができる。このことは、マークル木Ｔ^ｒにおいては、値ｖ_ｘの認証経路は、値ｖ_ｘが何であるかだけでなく、それがＴ^ｒのリーフｘに格納されていることも含意する。

【0693】

例えば、図１．Ｂを考えてみる。そのマークル木では、値ｖ_０１０の認証経路は（ｖ_０１１，ｖ_００，ｖ_１）である。その認証経路を使用してｖ_０１０を検証するためには、次のハッシュ化を順に計算し、
（ａ）ｈ_１＝Ｈ（ｖ_０１０，ｖ_０１１）、
（ｂ）ｈ_２＝Ｈ（ｖ_００，ｈ_１）、
（ｃ）ｈ_３＝Ｈ（ｈ_１，ｖ_１）、
次に、ｈ_３が実際にルート値ｖ_εと一致するかどうかをチェックする。

【0694】

Ｈ（ｘ，ｙ）≠Ｈ（ｙ，ｘ）であるので、
ハッシュ化（ａ）は、ｖ_０１０が、どのようなノードがｈ_１を格納していても、その０子に格納されていることを証明し、
ハッシュ化（ｂ）は、ｈ_１が、どのようなノードがｈ_２を格納していても、その１子に格納されていることを証明し、
ハッシュ化（ｃ）は、ｈ_２が、どのようなノードがｈ_３を格納していても、その０子に格納されていることを証明することに留意されたい。

【0695】

したがって、ｈ_３がルートで格納されていることをチェックしたので、Ｖ_０１０はリーフ０１０に格納されていなければならず、これは実際にそうである。

【0696】

したがって、Ｖが、Ｐが各ユーザｉ∈ＰＫ^ｒについて、ｉの形成時のステータスをＴ^ｒのｉ番目のリーフに格納したことを信用し、さらに、あるリーフがユーザｉ’＜ｉのステータス情報を含むという証明、および次のリーフがユーザｉ”＞ｉのステータス情報を含むという証明を確認する場合、Ｖは、

【数419】

[この文献は図面を表示できません]

であるということを安全に結論づけることができる。

【0697】

（また、こうした認証経路は多くの値を共有することがあり、したがって、両方の認証経路の全体をＶに伝送する必要はないことにも留意されたい。）

【0698】

性質１’は問題ではないかもしれない。（例、Ｐは一からＴ^ｒを完璧に構築することができるため。）これが該当する場合、第２の方法でうまくいく。

【0699】

そうでなければ、Ｐが、Ｔ^ｒ−１からＴ^ｒを容易に構築すること、および、ユーザ

【数420】

[この文献は図面を表示できません]

が実際にＰＫ^ｒに所属していないことを容易に証明すること、の両方を可能にする方法が必要である。

【0700】

ここで、この方法を提供する。

【0701】

ステータスツリー：第３の方法
探索木は、概念上、順序集合からの値をバイナリ（単純化のためにのみ！）ツリーのノードに動的に格納するデータ構造であることを思い出そう。通例、このようなツリーでは、ノードは１つの値を含む（または空である）。このようなデータ構造によって動的にサポートされる動作には、所与の値ｖの挿入、削除および探索を含む。（値ｖが存在しない場合には、例えば、返信される回答が⊥であるため、そのことも判定することができる。）

【0702】

最初に、探索木は空のルートのみから構成される。削除される値よりも挿入される値が多くなると、ツリーが成長する。ｎ個のノードがあるバイナリツリーの深さはせいぜいｌｏｇ ｎであり（ツリーがいっぱいの場合にこうなる）、また、たかだかｎ−１（ツリーが経路である場合にこうなる）である。しかし、探索木の深さが小さいことは保証されていない。最悪の場合、ｎ個の特定のノードを特定の順序で挿入すると、結果として、探索木が深さｎからなることがある。

【0703】

「平衡」探索木は、現在格納されている値の数がｎである場合、木の深さが短い、すなわち、ｎの対数であることを保証する。ｎ個のノードのある平衡探索木では、前述した３つの動作のそれぞれを、２つの値の比較、２つのノードの内容の交換、またはノードの親／右の子／左の子の内容を調べること等の、Ｏ（ｌｏｇ ｎ）基本ステップで行うことができる。

【0704】

平衡探索木のいくつかの例が今までに知られている。特によく知られている例が、ＡＶＬおよびＢツリーである。いくつかの例では、値はツリーのリーフにのみ格納することができる（対して、他のすべてのノードは、所与の値を本当にツリーに格納できる場合に当該所与の値を位置付けることのできる「指向性情報」を含む。）他の例では、値は任意のノードに格納することができる。以下に、より一般的なケース、および、単純化のみを目的として、平衡探索木の操作が周知かつ決定論的アルゴリズムであることを仮定する。

【0705】

しばらくの間、ＰＫ^ｒの全ユーザのステータス情報を取得した証明者Ｐが、ラウンドｒの平衡ステータスツリーＴ^ｒを一から構築したいと仮定する。すると、当該証明者Ｐは次のように行為する。

【0706】

・Ｐは、ｎ＝｜ＰＫ^ｒ｜のノードを有する平衡探索木Ｔ^ｒを構築し、ユーザをＰＫ^ｒに格納する。
最悪の場合、各挿入はＯ（ｌｏｇ ｎ）基本ステップを取るため、この操作はたかだかＯ（ｎ ｌｏｇ ｎ）基本ステップを取ることに留意されたい。（実際、Ｐは、ユーザをＴ^ｒに挿入する前に当該ユーザをＰＫ^ｒで順序付けることによって、追加の効率をいくらか得たいかもしれない）。

【0707】

・Ｐは、Ｔ^ｒにおいて、格納されている各ユーザｉを、ｉ’のステータス情報に置き換える：（ｉ，ａ_ｉ^ｘ）。
すなわち、Ｐは、ＰＫ^ｒ内のユーザのステータス情報をＴ^ｒに格納し、ユーザｉに関するステータス情報に関して挿入／削除／探索のすべてを、ユーザｉに関する挿入／削除／探索を介して行うことができるようにする。
（言い換えると、Ｔ^ｒは、そのノードに格納される最初のエントリーを介して探索可能な平衡木である。）

【0708】

・Ｐは、リーフのないすべてのノードがちょうど２つの子を持つようにＴ^ｒを「完了する」。
バイナリツリーでは、各ノードはたかだか２つの子を有する。したがって、リーフのないノードｘは１つしか子を持てないであろう。一般性を損なうことなく、これをｘの左の子ｘ０と仮定する。この場合、Ｐは概念上、右の子ｘ１にｘを与え、そこにストリングｅを格納する。

【0709】

・Ｐは、Ｔ^ｒの各ノードｘにハッシュ値ｈｖ_ｘを関連付けるので、リーフから上方に計算される。
ｘがリーフである場合、ｈｖ_ｘは、ｘに格納されている値ｖ_ｘのハッシュである、すなわちｈｖ_ｘ＝Ｈ（ｖ_ｘ）である。
ｘが、値ｖ_ｘを格納している深さｄのノードである場合、ｈｖ_ｘ＝Ｈ（ｈｖ_ｘ０，ｈｖ_ｘ１，Ｈ（ｖ_ｘ））である。
最終的にＴ^ｒのルートεに関連付けられているハッシュ値は、

【数421】

[この文献は図面を表示できません]

である。

【0710】

・ＰはＲ_ｒに電子署名する。

【0711】

そのように得られたツリーＴ^ｒを、マークル平衡探索木と呼ぶ。このようなＴ^ｒは平衡探索木であり、したがって、Ｔ^ｒで探索／挿入／削除のアルゴリズムが機能する。同時に、Ｔ^ｒは一般化されたマークル木であるが、それでもなおマークル木である。通常のマークル木は、情報値、すなわち、保護する必要のある値をリーフのみに格納し、内部のノードには、保護値、すなわち、木を「保護する」ために使用されるハッシュ値のみを格納する。マークル木Ｔ^ｒは、各ノードｘに、ｖ_ｘで表される情報値と、ｈｖ_ｘで表される保護値との両方を格納する。

【0712】

ルート保護値Ｒ_ｒに関連し、情報値ｖ_ｘが実際に何であるかの証明は、ｈｖ_ｘ０、ｈｖ_ｘ１、Ｈ（ｖ_ｘ）、およびｘからＴ^ｒのルートまでの経路内のノードの兄弟であるすべてのノードｙの値ｈｖ_ｙから（ボトムアップ順で）なる認証経路を含む。

【0713】

ここで、Ｐが一からＴ^ｒを計算する必要がないことを示そう。実際、Ｐは前のラウンドのマークル平衡探索木Ｔ^ｒ−１が利用できると仮定する。すると、新たなブロックＢ^ｒの取得後、Ｐは、Ｂ^ｒの支払集合ＰＡＹ^ｒ内の各支払

【数422】

[この文献は図面を表示できません]

について次のように行為する。

【0714】

【数423】

[この文献は図面を表示できません]

が、既存ユーザが所有する金額を修正する場合、Ｐは、それが格納されているノードｘのそのユーザのステータス情報を更新し、さらに、ツリーをマークル化し直す。これは、ｘからルートまでの経路に沿ったｈｖ_ｙの値の再計算を単に伴うだけであり、したがって、ｎがユーザの数である場合、たかだか

【数424】

[この文献は図面を表示できません]

ハッシュの再計算である。

【0715】

【数425】

[この文献は図面を表示できません]

が、マネーの初期金額ａ_ｉを有する新たなユーザｉを参加させる場合、Ｐは、Ｔ^ｒにステータス情報（ｉ，α_ｉ^ｒ）を挿入する。Ｔ^ｒは平衡探索木であるため、これにはＯ（ｌｏｇ ｎ）基本ステップしか伴わず、たかだか対数的に多いノードにしか影響しない。その後、Ｐはツリーをマークル化し直す。

【0716】

Ｔ^ｒの構築後、Ｐは、Ｒ_ｒの自分の電子署名を公表するか、または、Ｐ’を信用することもあればしないこともある様々な検証者Ｖからの問い合わせを取り扱うＰ’にそれを与える。

【0717】

ユーザｉに関するＶの問い合わせに回答するために、Ｐ’は次のように行為する。

【0718】

・Ｐ’は、Ｔ^ｒでユーザｉを探索するのと同じアルゴリズムを実行する。
この探索は、Ｔ^ｒの、たかだかＯ（ｌｏｇ ｎ）ノードの内容の検索に関わり、検索された各内容は、その内容が次に検索される必要のあるノードを決定する。

【0719】

・アルゴリズムがノードｘの内容ｖ_ｘを検索する場合は必ず、Ｐ’は、Ｒ_ｒに関連して、ｖ_ｘの証明を提供する。

【0720】

したがって、Ｖは、Ｐ’によって提供されるすべてのノードｘの内容が正当であることをチェックするために、ＰによるＲ_ｒの電子署名と、受け取った証明とを使用することができる。したがって、Ｖは事実上マークル木Ｔ^ｒで同じ探索アルゴリズムを実行し、ｉ∈ＰＫ^ｒである場合、ユーザｉのステータス情報を正確に検索する。そうでなければ、

【数426】

[この文献は図面を表示できません]

である場合（すなわち、探索アルゴリズムが記号⊥／ストリングｅを返す場合）、Ｖは、ｉがＰＫ^ｒのユーザではなかったことを確信する。

【0721】

アルゴランドにおける、信用あるＰの実現
多くの人によって信頼される個人の証明者Ｐがいない場合、それを「構築」することが重要になってくる。

【0722】

アルゴランドでは、ラウンドｒのすべてのステップｓで、ＳＶ^ｒ，ｓ内の検証者の（重み付けした）過半数が誠実であることを確信させられることに留意されたい。したがって、ここで我々は、検証者がＰのタスクを実行できることを確実にする！

【0723】

より正確には、以下の通りである。

【0724】

・ブロックの他のフィールドに加えて、（例、前述した３つの方法のいずれかを使用して）ラウンドｒの潜在的検証者ｉもステータスツリーＴ^ｒを生成する。当該潜在的検証者はｉ通例それまでのブロックチェーンＢ^０，．．．，Ｂ^ｒ−１を知っているので、容易にこれを行うことができることに留意されたい。

【0725】

・ｉは、Ｔ^ｒのルート値Ｒ_ｒも含むブロックＢ_ｉ^ｒを提案する。
例えば、Ｂ_ｉ^ｒ＝（ｒ，ＰＡＹ^ｒ，ＳＩＧ_ｉ（Ｑ^ｒ−１），Ｒ_ｒ，Ｈ（Ｂ^ｒ−１））。

【0726】

・検証者（具体的には、ラウンドｒの第２ステップの検証者）は、ラウンドの、リーダーによって提案されるブロックが有効かどうかをチェックし、これには第４成分、すなわち、ステータスツリーＴ^ｒのルート値Ｒ_ｒ、が有効かどうかのチェックも含む。
実際、これらの検証者はそれまでのブロックシーケンスＢ^０，．．．，Ｂ^ｒ−１を知っているため、身元確認されたリーダーによって提案されるブロックが採用されると仮定すると、ステータス情報がラウンドｒ後にどうなるかを判定することができる。

【0727】

・ＢＡ合意に達した後、ラウンドｒの正式なブロックは正当なルート値Ｒ_ｒを含み、また、Ｂ^ｒは正規のクレデンシャルを有する十分に多くの検証者によって電子署名されているので、Ｂ^ｒの証明書もＲ_ｒを認定する。
新たな正式なブロックは空、すなわちＢ^ｒ＝Ｂ_ε^ｒであるかもしれないことに留意されたい。このような空のブロックは次の形式をとり、

【数427】

[この文献は図面を表示できません]

新たなブロックが空のブロックであるときには全ユーザのステータス情報が変化しないということに対応する。

【0728】

要するに、ＰによるＲ_ｒの電子署名はＢ^ｒの証明書によって置き換えられる。いずれにしてもＲ_ｒは認証されるので、信用されていない証明者Ｐ’でも、前と同様、Ｒ_ｒに関連して、ラウンドｒですべてのユーザｉのステータス情報を証明することができるであろう。

【0729】

新たなブロックが生成されるときにそれを適時に知る人であれば誰でも、採用されたステータスツリーが「容易に更新可能な」タイプであるときは必ず、前のＴ^ｒ−１からより容易にＴ^ｒを構築することができる。

【0730】

１１ 代理検証者および潜在的検証者
代理検証者
ユーザｉがＳＶ^ｒ，ｓのメンバーとして選択される確率は、他のユーザがｉに「投票する」マネーに基づくこともできる（例、ここでも、当該マネーに比例して）。ユーザＵは、通常通り、自分が行う支払の授受のすべてを支配し続けたいかもしれない。しかし、当該ユーザＵは、リーダーおよび／または検証者として行為する権利および義務を別のユーザｉに委任したいかもしれない。この場合、またこの目的のためにのみ、このようなユーザＵは、ｉを、リーダー／検証者に用の自分の代理人にしたいことを示すことがある。ユーザＵは、実際に、リーダー／検証者としての義務を１人または複数人のユーザｉに委託するかもしれない。しばらくの間、かつ、一般性を損なうことなく、Ｕが、リーダーおよび検証者用に１人の代理人ｉを持つことを選択すると仮定しよう。

【0731】

Ｕがラウンドｒで自分の代理人としてｉを選任するためには、いくつかの（好ましくは、電子署名された）方法がある。例えば、追加の仕組みを導入しないように（それは排除されない）、当該Ｕは、ｉに対する支払Ｐによって（例、Ｐの非センシティブフィールドＩを使用して）、または別のユーザに対する支払Ｐ’によってそうすることができる。このような支払ＰまたはＰ’が一旦ブロックＢ^ｒの支払集合ＰＡＹ^ｒに挿入されると、コミュニティ全体がＵの選択を実現し、ｉがＵの代理人として行為することが有効となる。

【0732】

Ｕがラウンドｒで自分の代理人としてｉを選ぶ場合、この選択は、Ｕが以前に行ったいかなる選択にも優先し、ｉは、Ｕが異なる選択をするまでＵの代理人であり続けることが好ましい（脚注４８参照）。ユーザＵは、システムに加入するまさにその瞬間から自分の代理人としてｉを選任することもできる。例えば、Ｕが別のユーザからの支払

【数428】

[この文献は図面を表示できません]

を介してシステムに加入することを予定する場合、Ｕはそのユーザに対して、Ｕが自分の代理人としてｉを選択することを示すＵの署名を

【数429】

[この文献は図面を表示できません]

に含めるよう求めることができる。

【0733】

脚注４８
当然、ここで、また他の場所でも、曖昧さおよびタイは、ある所定の方法でブレークされる。例えば、Ｕが自分のマネー全額を潜在的検証者ｉに投票することを示すＵの署名と、ｉが自分のマネーの全額を異なる潜在的検証者ｊに投票することを示す別の署名とをＰＡＹ^ｒが含む場合、Ｕの代理人の選択は無視されるか、または代わりに、対応する署名入りのステートメントが、ｊに対応するものに（例えば、辞書式順序で）先行する場合、Ｕは事実上ｉを選ぶ。

【0734】

Ｕ（また、場合によっては他のユーザ）によってｉにそのように投票されたマネーと、ｉが直接所有するマネーは、平等に処理されることができる。例えば、検証者が、ラウンドｘで所有されるマネーに従ってＰＫ^ｘ内のユーザから選択されることになった場合、Ｕ（および、自分のマネーを代理人に「投票」することを選んだ他の全ユーザ）は、この選択の目的上は０のマネーを有すると見なされたであろうが、ｉが選択される元となったマネーはａ_ｉ^ｘ＋ＶＭ_ｉ^ｘであろう。ここでａ_ｉ^ｘは、ｉがラウンドｘで個人的に所有しているマネーであり、ＶＭ_ｉ^ｘは、ラウンドｘでｉに（全ユーザによって）「投票された」マネーの総額である。例えば、Ｕがそのラウンドでｉに自分のマネーを投票する唯一のユーザである場合、ＶＭ_ｉ^ｘ＝ａ_Ｕ^ｘである。ラウンドｘでｉに自分のマネーを投票するユーザの集合がＳであった場合、ＶＭ_ｉ^ｘ＝Σ_ｊ∈Ｓａ_ｊ^ｘである。当然、ｉが所有するマネーと、ラウンドｘでｉに投票されるマネーとに従ってｉを選択する１つの方法は、

【数430】

[この文献は図面を表示できません]

の確率で、秘密暗号くじによってｉを選択することからなる。

【0735】

ｉが直接所有するマネーを、ｉに投票されるマネーとは別に処理することも可能である。例えば、ｉは、ｃが所与の係数である場合、マネーの金額ａ_ｉ^ｘ＋ｃ・ＶＭ_ｉ^ｘに従って選ばれることができるであろう。例えば、ｃ＝０．５のとき、ｉが直接所有するマネーは、当該ｉに投票されるマネーの２倍に上る。

【0736】

ユーザＵが、自分の所有するマネーの一部のみをｉに投票することも可能である。例えば、Ｕは、自分のマネーの３／４のみをｉに投票することを選び、ＳＶ^ｒ，ｓに自分自身を選択するために重要な残高を有する。この場合、Ｕは、ＶＭ_ｉ^ｘに０．７５ａ_Ｕ^ｘしか貢献せず、Ｕは、確率０．２５ａ_Ｕ^ｘでＳＶ^ｒ，ｓに選択される。

【0737】

ユーザｉがＳＶ^ｒ，ｓに属する選択がなされる結果として当該ユーザｉに提供される報酬がある場合があり、ｉは、自分のマネーの一部を当該ｉに投票したユーザと、その報酬を分け合うことができる。例えば、ｉがブロックのリーダーになる場合、当該ｉは報酬Ｒを受領するかもしれない。この場合、この報酬の一部はＵに対応するかもしれない。例えば、Ｕがｉに投票するマネーがｍである場合、ｉがＵに支払うＲの部分は、

【数431】

[この文献は図面を表示できません]

のようになるかもしれない。

【0738】

ユーザが代理人を選んで変更できるということは、代理人を誠実であり続けさせる役に立つであろう。例えば、Ｕが、自分のマネーをｉに投票するが、ｉがブロックＢ^ｒのリーダーであるときにはいつであれ、ＰＡＹ^ｒの支払集合があまりに頻繁に空である、または「乏しい」と疑う場合、Ｕは自分の代理人を変更することができる。

【0739】

普通ユーザＵも、自分のマネーの異なる割合を複数の代理人の各人に投票して、複数の代理人を指定することができる。当然、所定の手続きを使用して、Ｕが、自分が実際に持っているよりも多くのマネーを投票することを防止する。

【0740】

代理人を選ぶ別の方法は、ユーザＵが個別の公開・秘密電子署名ペア（ｐｋ’_Ｕ，ｓｋ’_Ｕ）を生成し、ｐｋ’_Ｕに、リーダー／検証者の選択のためにＵを代表する権限を移譲することである（例、ブロックチェーン内のブロックに入る電子署名による）。すなわち、ｐｋ’_ＵはＵの代わりに支払を行うことはできない（事実、ｐｋ’_Ｕはマネーを直接有することはできない）が、Ｕの代わりにリーダーまたは検証者として行為することができ、Ｕが関連するラウンドｘで所有するマネーに応じて、リーダー／検証者として選択されることができる。例えば、ｐｋ’_Ｕは

【数432】

[この文献は図面を表示できません]

の確率で選択されることができる。（これは、Ｕが自分のリーダー／検証者としてのすべての権利／権限を委任することを仮定しているが、当然、前述したように、Ｕは自分の権利／権限の一部のみを委任することができる。）自分の代わりに別のユーザまたはエンティティｉにリーダー／検証者を務めることを委任するために、Ｕはｉにｓｋ’_Ｕを与える。このことは、ｐｋ’_Ｕが「稼ぐ」かもしれない報酬をＵとｉとの間で（どのように決定された比率であっても）分割する方法を非常に明確にする。なぜなら、前述したように、Ｕにｉの選択確率に貢献させるのではなく、直接選択されるのはｐｋ’_Ｕ自体だからである。

【0741】

Ｕは、自分で（ｐｋ’_Ｕ，ｓｋ’_Ｕ）を生成する必要はないことに留意されたい。例えば、ｉが（ｐｋ’_Ｕ，ｓｋ’_Ｕ）を生成し、Ｕが自分の代理人としてｉを選びたい場合に、署名するためにＵにｐｋ’_Ｕを与えることができる。

【0742】

具体的には、ユーザＵは、自分の代理人として、銀行ｉを、前述したアプローチのいずれかで選ぶことができる。代理人を選ぶことの１つの利点は、典型的なユーザよりも代理人の方がはるかに高速でセキュアな通信ネットワークを有する可能性があることである。すべての普通ユーザが正規の代理人を選ぶ（または選ぶよう要求された）場合、ブロックの生成ははるかに高速化するであろう。そして、ブロックは普通ユーザがアクセス権を有するネットワークで伝播されることもできる。そうでなければ、ｉがＵを代理する場合、当該ｉは、Ｕに新たなブロックを直接与えるか、または、Ｕが関心を抱いている支払がブロックチェーンに入った証拠をＵに与えることができる。

【0743】

潜在的検証者
これまでは、アルゴランドで、各ユーザｉが、あるラウンドｒの検証者またはリーダーとして選択されることができるということであった。しかし、当業者によって、上記の点は制約ではないと容易に認識できる。実際、アルゴランドは、非許可でいつでも参加し、通常通り支払の授受（より一般的にはトランザクション）を行うことのできる集団ユーザと、ラウンドのリーダーと検証者とがその中から選択される、特殊クラスの潜在的検証者とを有することができる。これら２つの集合は重複することが可能であり（その場合、少なくとも一部の潜在的検証者は支払の授受を行うこともできる）、または別々であることが可能である（その場合、潜在的検証者は、選択された場合、リーダーまたは検証者としてのみ行為することができる）。ある意味では、前のセクションで述べたようにアルゴランドでは、各ユーザが潜在的検証者である。アルゴランドは、２つの別々のマネーの金額を有するユーザまたは潜在的検証者ｉも有する場合があり、そのうちの一方のみが、ｉがリーダーまたは検証者として選択されるために重要である。

【0744】

潜在的検証者のクラスは許可型にすることができる。この場合、潜在的な検証者の所与の集合Ｓの中から検証者／リーダーｉを選択する確率は、ｉが所有するマネーの金額に依存する必要はない。例えば、ｉは、均一な確率の暗号くじによってＳから選択することができる。

【0745】

代わりに、すべての潜在的検証者は常に選択することができる（および／または、そのうちの１人のみがラウンドリーダーとして選択される）。この場合、当該すべての潜在的検証者は、プロトコルＢＡ^★を使用して新たなブロックに関して合意に達することができ、またはより一般的には、当該すべての潜在的検証者は、効率的であってかつ好ましくはプレーヤ代替性のプロトコルを使用することもできる。

【0746】

１２ 許可型アルゴランド
このセクションでは、プライバシーとトレーサビリティとのバランスをとり、新たな種類のインセンティブを可能にし、銀行または他の外部エンティティに新しい非支配型の役割を与える、アルゴランドの許可型バージョンを論じる。この許可型バージョンは、以下に挙げる伝統的な概念に依拠する。

【0747】

１２．１ 電子証明書
システムにユーザを登録する権限を有する、ある当事者Ｒの公開鍵ｐｋが、公開で知られていると仮定する。すると、ユーザｉの身元を確認し、公開鍵ｐｋ_ｉが本当にｉに属していることを検証した後、Ｒは、電子署名Ｃ_ｉを発行して、ｐｋ_ｉがシステムの適法な公開鍵であるだけでなく、ｉに関する何らかの適切な追加情報ｉｎｆｏ_ｉが成り立つことも証明してもよい。この場合、証明書は、本質的に次の形式である。

【数433】

[この文献は図面を表示できません]

【0748】

ｉｎｆｏ_ｉに明記される情報は、かなり多様であってもよい。例えば、システム内のｉの役割、および／または証明書の発行日を明記することができる。失効日、すなわち、それより後はＣ_ｉに依拠してはならない日を明記することもあるかもしれない。このような日が明記されていない場合、Ｃ_ｉは無期限である。証明書は、別の用途でも別の形でも長く使用されてきた。

【0749】

１２．２ （無期限）証明書を有するアルゴランド
アルゴランドでは、各ユーザｉ∈ＰＫ^ｒが、適切なエンティティＲ（例、予め指定された集合内の銀行）によって発行される電子署名Ｃ_ｉを有することを要求されることがある。ラウンドｒの支払

【数434】

[この文献は図面を表示できません]

を別のユーザｊに行う場合、ｉは、

【数435】

[この文献は図面を表示できません]

に添えてＣ_ｉおよび／またはＣ_ｊを転送するか、または

【数436】

[この文献は図面を表示できません]

自体にそのうちの一方または両方を含めることができる。すなわち、記号では、

【数437】

[この文献は図面を表示できません]

になる。

【0750】

後者の実践を仮定すると、
・支払

【数438】

[この文献は図面を表示できません]

は、その支払人とその受取人の双方の証明書も含む場合に限り、あるラウンドで有効と見なされ、したがってＰＡＹ^ｒに加わることができる。
また、証明書に失効日ｒ＝［ｔ_１，ｔ_２］がある場合、ｔ_２は、最も早い失効日よりも小さくなければならない。
・同時に、このような支払がＰＡＹ^ｒに属する場合、それに対応するマネーの移転は無条件に実行される。

【0751】

無期限証明書の役割
ユーザｉの証明書Ｃ_ｉが一旦失効するか、またはその失効前に（ｉが「財務的に健全な状態」である限り）、Ｒは、Ｃよりも失効日が先の、新たな証明書Ｃ’_ｉを発行することができる。

【0752】

したがって、この場合、Ｒはｉのマネーに対して大きな支配力を有する。私的な使用のためにそれを没収することはできない（そうするにはｉの電子署名を偽造できなくてはならないため）が、ｉがそれを消費するのを防止することができる。実際、Ｃ_ｉの失効日後のラウンドｒでは、ｉの支払はＰＡＹ^ｒに加わることはできない。

【0753】

Ｒのこの権限は、適切なエンティティＥ（例えば、政府）の、ユーザの従来の銀行口座を凍結する権限に対応することに留意されたい。実際、従来の環境では、こうしたＥがｉのマネーを着服することもあるだろう。

【0754】

暗号通貨の主な魅力は、任意のエンティティＥがユーザをそのマネーから切り離すことがまさしく不可能であることである。したがって、すべての証明書が無期限であるアルゴランドの証明書ベースのバージョンで、この不可能性が保たれ続けることを強調したい。実際、ラウンドｒで別のユーザｊに支払を行いたいユーザｉは常に、ｊに対するラウンドｒの支払

【数439】

[この文献は図面を表示できません]

に無期限証明書Ｃ_ｉおよびＣ_ｊを含めることができ、ラウンドのリーダーｌ^ｒが誠実な場合、

【数440】

[この文献は図面を表示できません]

はＰＡＹ^ｒに表示される。要するに、
「無期限証明書は、ユーザをそのマネーから切り離すために使用することはできないが、他の目的を達成するためには実際に非常に価値がある。」

【0755】

１２．３ （無期限）証明書による違法活動の防止
従来の小切手により行われる支払の支払人および受取人は、小切手を持つ誰によっても容易に身元を確認できる。したがって、小切手はマネーロンダリングまたは他の違法活動にとって理想的ではない。正規の登録機関によって発行される電子証明書をアルゴランドで使用して、ある所与のエンティティのみが、適切な状況に限り、ｉが望む支払をｉが行うことを妨げずに、所与の公開鍵ｐｋ_ｉの所有者ｉの身元を確認することができることを確実にすることができるであろう。簡単な例を挙げてみよう。

【0756】

システム内には、複数の登録権限機関があるかもしれない。具体性のためにのみ、それを認可銀行とし、その公開鍵は別の上位の権限機関（その公開鍵は一般に知られている）によって一般に知られており（または、場合によっては証明書チェーンによって認定されている）、Ｇを、政府と呼ばれる特別なエンティティとする。

【0757】

電子公開鍵の所有者としてシステムに参加するために、ｉは、認可銀行のうちの１行から証明書Ｃ_ｉを得る必要がある。それを得るために、公開・秘密署名ペア（ｐｋ_ｉ，ｓｋ_ｉ）を生成した後、ｉは認可銀行Ｂにｐｋ_ｉの証明書の発行を依頼する。このような証明書を発行するために、Ｂは、何らかの識別情報ＩＤ_ｉを作成するために、ｉの身元確認をすることを要求される（脚注４９参照）。そして、ＢはＨ（ＩＤ_ｉ）を計算し、（好ましくは）それを証明書の別のフィールドにする。例えば、追加情報を無視して、Ｂは次の式を計算してｉに与える。

【数441】

[この文献は図面を表示できません]

【0758】

脚注４９
「突っ込んで」いうと、こうしたＩ_ｉは、ｉの氏名と住所、ｉの写真、ｉの同意書の電子署名（デジタルであった場合）を含んでもよく、または、ｉは自分の署名入りの同意書と一緒に写真に写ることができ、さらに、Ｉ_ｉに入れるために写真をデジタル化する。銀行は、自行自体の保護および同様にｉの保護のために、Ｉ_ｉが本当に正当であることの証拠となるｉの署名も取得して保管することもできる。

【0759】

Ｈはランダムオラクルであるため、誰も、Ｃ_ｉから所有者のアイデンティティを取り出すことはできない。銀行だけが、ｐｋ_ｉの所有者がｉであることを知っている。しかし、政府が、例えば、支払

【数442】

[この文献は図面を表示できません]

の支払人を調査したい場合、関連する証明書Ｃ_ｉと、Ｃ_ｉを発行した銀行Ｂとの両方を

【数443】

[この文献は図面を表示できません]

から検索し、さらに、然るべき権限（例、裁判所命令）によって、ｉの正当な識別情報ＩＤ_ｉを作るようＢに求めるかまたは強制する。

【0760】

Ｈは衝突耐性であるため、銀行は、証明書に元々挿入されていたものとは異なる識別情報ＩＤ’_ｉを明らかにすることはできないことに留意されたい。代替的に、Ｈ（ＩＤ_ｉ）の代わりに、暗号法の用語で、ＩＤ_ｉへの「コミットメント」を使用すれば十分である。

【0761】

ある具体的な代替案は、Ｃ_ｉに、ＩＤ_ｉの暗号Ｅ（ＩＤ_ｉ）を、好ましくは一意に解読可能な秘密鍵または公開鍵暗号化スキームＥを使用して格納することである。具体的には、ＩＤ_ｉは、銀行Ｂのみが知る鍵を用いて暗号化することができる。記号で表すと、Ｅ（ＩＤ_ｉ）＝Ｅ_Ｂ（ＩＤ_ｉ）である。このように、政府は識別情報ＩＤ_ｉを取り出すためにＢの助けを必要とする。

【0762】

代替的に、Ｅは、公開鍵暗号化スキームとすることもでき、ＩＤ_ｉは、（対応する復号化鍵を知る唯一のものである）政府の公開鍵を使用して暗号化することもできる。記号で表すと、Ｅ（ＩＤ_ｉ）＝Ｅ_Ｇ（ＩＤ_ｉ）である。この場合、政府はＩＤ_ｉの取り出しにＢの助けを必要としない。実際、すべての支払の支払人および受取人のアイデンティティは、Ｇにとって透過的である。しかし、ＩＤ_ｉからＥ_Ｇ（ＩＤ_ｉ）を計算した政府と銀行とを除き、他の誰もＥ_Ｇ（ＩＤ_ｉ）からＩＤ_ｉを知ることはできない。また、暗号Ｅ_Ｇ（ＩＤ_ｉ）が確率論的である場合、ｐｋ_ｉの所有者ｉが誰かを正しく言い当てた人でも、おそらく自分の推測を確認することはできないであろう。

【0763】

ｐｋ_ｉに対応する秘密鍵ｓｋ_ｉを知っているのはｉだけであるため、証明書Ｃ_ｉが一旦発行されたら、ＢおよびＧのいずれも、ｉの電子署名に対する支配力を有さないことを強調しておく。加えて、

【数444】

[この文献は図面を表示できません]

のみが

【数445】

[この文献は図面を表示できません]

の一部であるため、ＢおよびＧのいずれも、ｉの支払

【数446】

[この文献は図面を表示できません]

のセンシティブ情報

【数447】

[この文献は図面を表示できません]

を理解することはできない。最後に、ランダムに選択された検証者でない限り、ＢおよびＧはいずれも、支払

【数448】

[この文献は図面を表示できません]

の処理に関わらない。

【0764】

要するに、ユーザのプライバシーを完全に犠牲にしなくても、ビットコイン様のシステムに関して述べた法執行の懸念が解消する。実際、ＢとＧとを除き、ｉは、銀行、商店、ユーザ等の他の誰かに対する、ビットコインおよび同様のシステムで享受するのと同じ（疑似）匿名性を享受し続ける。

【0765】

最後に、より高度な暗号技術を使用することによって、適切な状況下でのユーザのトレーサビリティを維持しながら、ユーザのプライバシーを高めることも可能である（脚注５０参照）。

【0766】

脚注５０
例えば、最後のシナリオに注目すると、ｉが銀行Ｂから証明書Ｃ_ｉ＝ＳＩＧ_Ｂ（Ｂ，ｐｋ_ｉ，Ｅ_Ｇ（ＩＤ_ｉ））を一旦取得したら、異なる公開ｐｋ’_ｉについて、ｉは別の証明書Ｃ’_ｉ＝ＳＩＧ_Ｂ（Ｂ，ｐｋ’_ｉ，Ｅ’_Ｇ（ＩＤ_ｉ））を取得することも可能であり、それについてＢは、ＩＤ_ｉがＥ’_Ｇ（ＩＤ_ｉ）を復号化したものであることをもはや知らない。

【0767】

１２．４ 銀行の新たな役割
アルゴランドにおける鍵の認定が、銀行の新たな役割である。銀行Ｂがその顧客のために容易に行うことのできる役割である。実際、Ｂは既に当該顧客を非常によく知っており、通例、彼らと随時コミュニケーションを取っている。顧客の中の一人の鍵ｉを認定することによって、Ｂは、単純だが価値ある（そして、場合によっては金銭的に報酬が得られる）サービスを行う。

【0768】

アルゴランドにおいて銀行Ｂが持ち得る別の役割は、顧客ｉによって正規に権限を与えられたＢは、ｉの従来の銀行口座から、ｉがアルゴランドに所有する電子鍵ｐｋ_ｉにマネーを移転することができることである。（実際、Ｂおよび他のすべての銀行は「同じ為替レートで」そうしており、アルゴランドは、国の通貨を基盤とした、非常に分散された、便利かつ自己規制された支払システムとして使用することができる。）銀行Ｂがマネーをｐｋ_ｉに移転するための１つの方法は、Ｂがアルゴランドに所有する電子鍵ｐｋ_Ｂからｐｋ_ｉに支払を行うことである。実際、銀行はその顧客よりも簡単に、国の通貨を公開取引所でアルゴランドに変換することができる（脚注５１参照）。

【0769】

脚注５１
さらに一歩踏み込むと、政府はアルゴランドにおいてマネーを印刷することも許される場合があり、それを、特に銀行に移転することもでき、または銀行が十分に規制されている場合には、一定のパラメータ内でアルゴランドマネーを生成することを銀行に許す場合がある。

【0770】

最後に、銀行は多くの場合信頼されているため、自分が行う支払を完全に管理するユーザｉは、当該ユーザｉの検証のインセンティブをＢと共有して、自分の代わりに検証者として行為することを銀行Ｂに委託することを望むかもしれない（脚注５２参照）。

【0771】

脚注５２
まさにそれを行うための「代理人」メカニズムは、付録「？？」に記載している。そのセクションは、特別に構築された通信ネットワークを用いたアルゴランドの実施態様に充てられている。しかし、そこに記載されている委託メカニズムは、基礎となるネットワークがどのようなものであろうとも採用することができる可能性がある。

【0772】

１２．５ 小売店のみからの報酬
登録権限機関が銀行であるかどうかを問わず、また法執行の懸念が処理されているかどうかを問わず、アルゴランドの許可型展開は、所与の鍵ｐｋ_ｉが商店に属していることを（例、その証明書Ｃ_ｉ内で）識別することを可能にする。

【0773】

クレジットカードでの支払を現在受け付けている商店は、クレジットカード会社に対して支払わなければならない取引手数料を既に受け入れている。したがって、当該商店は、（数日ではなく数分以内に、また、はるかに議論の余地のない方法で支払われる方を好むことに加えて、）クレジットカードシステムの、通例、より高い取引手数料を支払うよりも、アルゴランドで１％の手数料を支払う方を好むかもしれない。

【0774】

したがって、証明書ベースのアルゴランドは次のことを確実にすることができる。
（１）全員が、商店に行われる支払の小さな割合のみの報酬を与え、なおかつ、
（２）検証者には、他のすべての支払も同様に処理することへのインセンティブが与えられる。

【0775】

例えば、Ａ’を、ＰＡＹ^ｒの支払で小売店に支払われる総額とすると、最高潜在的報酬Ｒ’を計算できるであろう（例、Ｒ’＝１％Ａ’）。しかし、リーダーおよび検証者はまとめて金額全体Ｒ’を受け取るのではなく、ＰＡＹ^ｒでの全支払の総数（または総額、もしくはそれらの組み合わせ）に連動して増えるＲ’の一部のみを受け取る。例えば、非常に単純にして、ＰＡＹ^ｒでの支払の総数がｍである場合、分配される実際の報酬はＲ’（１−１／ｍ）となる。前と同様、これは、各小売店に支払われた金額から、一部である１％（１−１／ｍ）を差し引き、差し引かれたこの金額を、選ばれた公式に従ってリーダーと検証者との間で分割することによって自動的に行うことができる。

【0776】

１３ 変型
いくつか考えられる、アルゴランドの変型を論じてみる。

【0777】

１３．１ 代替的な検証者選択メカニズム
これまで、アルゴランドは、規定された誠実な過半数をＳＶ^ｒが有することを確認して、前のラウンドに依存する数量から、リーダーｌ^ｒおよび検証者集合ＳＶ^ｒを自動的に選択するものであった。しかし、検証者およびリーダーを選択する代替方法を指摘したい。

【0778】

このような方法の１つは、当然、暗号プロトコルにより全ユーザによって実行される。しかし、このアプローチは、システム内のユーザ数が多い場合には遅くなるかもしれない。したがって、２種類の代替メカニズム、すなわち、連鎖型、自然ベース、および信用できる第三者を考えてみよう。（これらのメカニズムを、既に述べたものと混合することもできる。）

【0779】

連鎖型メカニズム
各ＳＶ^ｒが誠実な過半数を有すると帰納的に仮定すると、ＳＶ^ｒ自体（またはより一般的にはｒまでのラウンドの検証者の一部）にラウンドｒの検証者集合および／またはリーダーを選択させることができるであろう。例えば、複数者によるセキュア計算によってそうすることができるであろう。誠実な過半数を有するように初期の検証者集合が選ばれると仮定すると、ブートストラッピングに頼る。すなわち、各検証者集合の誠実な過半数は、次の検証者集合の誠実な過半数を含意する。検証者集合は全ユーザの集合に対して小さいため、そのメンバーは、この選択を非常に素早く実施することができる。

【0780】

ここでも、各ラウンドについて、検証者集合およびリーダーを決定論的に導く、十分に長いランダムなストリングを選択すれば十分である。

【0781】

自然ベースのメカニズム
所与のラウンドｒの検証者集合ＳＶ^ｒおよびリーダーｌ^ｒは、ラウンドｒに関連付けられているランダム値ｖ_ｒから、予め決められたやり方で、規定のユーザの集合ＰＶ^ｒ−ｋから選択することができる。具体的には、ｖ_ｒは、自然かつ公開のランダム値としてもよい。これによって、我々は、これが任意の所与の個人ではとても制御することができない、ランダムプロセスの広く利用できる結果であることを意味する。例えば、ｖ_ｒは、所与の時刻（例、ラウンドｒの始まり、もしくは前のラウンドの所与の時刻）における様々な都市の気温、または所与の証券取引所で所与の時刻に売買される所与の有価証券の株数、等から構成してもよい。

【0782】

自然かつ公開のランダム値は十分に長くないことがあるため、

【数449】

[この文献は図面を表示できません]

を設定するよりも、代わりに

【数450】

[この文献は図面を表示できません]

を設定することもでき、既に述べたように、Ｈ（ｖ_ｒ）を適切な擬似ランダム的に伸ばす必要がある。

【0783】

受託者ベースのメカニズム
ＳＶ^ｒを選択する代替アプローチは、そのうちの少なくとも１人が誠実であることを保証するように選択された、１つまたは複数の特別なエンティティである、受託者に関わる。受託者は、支払集合ＰＡＹ^ｒの構築には関わることはできないが、検証者集合ＳＶ^ｒおよび／またはリーダーｌ^ｒを選ぶことができる。

【0784】

最も単純な受託者ベースのメカニズムは、当然、１受託者のものである。受託者Ｔが１人しかいない場合、当該受託者は必然的に誠実である。したがって、当該受託者はラウンドｒでＳＶ^ｒ（またはＳＶ^ｒがそこから導かれた十分にランダムなストリングｓ_ｒ）を自明に選択し、電子署名し、利用できるようにすることができる。

【0785】

これは単純なメカニズムであるが、Ｔに非常に大きな信頼を置く。それほどではないにしても当該Ｔを信頼するために、Ｔは、自分だけが生成することができ、ラウンドｒによって一意に決定された１つのストリングｓ_ｒ、例えば、ｓ_ｒ＝ＳＩＧ_Ｔ（ｒ）、を利用できるようにすることができる。さらに、すべてのユーザは、ＳＶ^ｒがそこから導かれたランダムストリング、Ｈ（ＳＩＧ_Ｔ（ｖ_ｒ））を計算することができる。

【0786】

このように、Ｔは、集合ＳＶ^ｒを支配する権限を持たない。本質的に、当該Ｔは自己裁量で１つの戦略的決定を有する。すなわち、ＳＩＧ_Ｔ（ｒ）を利用できるようにするかどうかである。したがって、Ｔが誠実に行為しているかどうかをチェックすること、ひいては適切な賞罰を用いてＴが誠実に行為することを確実にすることは、より簡単である。

【0787】

このアプローチの問題は、予測不可能性（の欠如）である。実際、Ｔは、かなり前もってＳＩＧ_Ｔ（ｒ）を計算しておき、それを秘かに誰かに明らかにするかもしれず、そのため、その誰かは将来のラウンドの検証者集合を知り、そのメンバーを攻撃するかまたは腐敗させるのに十分な時間を有する。

【0788】

この問題を避けるために、セキュアなハードウェアに依拠することができる。本質的に、適切なラウンドで正規の電子署名を出力するプログラムと合わせて、Ｔを、「外部に」公開鍵を投稿させ、対となる秘密鍵を「内部に」閉じ込める、改ざん防止装置にすることができる。このアプローチは、当然、セキュアなハードウェアの内部で展開されるプログラムが、事前に将来の署名を漏洩するための秘密の命令を有さないことを確信する必要がある。

【0789】

別のアプローチは、各ラウンドｒに関連付けられている自然公開ランダム値ｖ_ｒを使用することである。例えば、Ｔは、ＳＩＧ_Ｔ（ｖ_ｒ）を利用できるようにするよう求められることがある。このように、将来のラウンドｒの値ｖ_ｒは誰にも分からないため、Ｔは、事前に漏洩するための電子署名を有さない。

【0790】

しかし、Ｔが依然として漏洩する可能性がある唯一のものは、Ｔ自身の秘密署名鍵である。この潜在的な問題に対処するためには、ｋ人の受託者に依拠することができる。そのうちの適切な過半数が誠実であることを確実にするよう当該受託者を選ぶことができた場合、当該受託者は、各ラウンドｒでＳＶ^ｒを選ぶために、複数者によるセキュア計算を間違いなく使用することができる。信頼性には劣るがより単純にすると、各ラウンドｒで、各受託者ｉに、ｒに一意に関連付けられているとともにｉだけが生成することのできる１つのストリングを利用することができるようにさせ、次いで、すべてのこのようなストリングについてＳＶ^ｒを計算することができる。例えば、各受託者ｉは、ＳＩＧ_ｉ（ｒ）を利用できるようにして、検証者集合ＳＶ^ｒを導くランダムなストリングｓ^ｒ＝Ｈ（ＳＩＧ_１（ｒ），．．．，ＳＩＧ_ｋ（ｒ））を計算できるようにすることができるであろう。このアプローチで我々は、各電子署名ＳＩＧ_ｉ（ｒ）が生成されることを確実にするための賞罰に依拠し、シーケンスｓ^１，ｓ^２，．．．が依然として予測不可能なままであることを確実にするために、たとえ１人の受託者ｉであっても、その誠実さに依拠することがあるかもしれない。

【0791】

扱いにくいのは、当然ながら、必要なストリングを「利用できる」ようにする部分である。伝播プロトコルに依拠した場合、悪意の受託者は、混乱を生じさせるために故意に遅らせてその伝播を開始するかもしれない。そのため、受託者ベースのメカニズムは、「保証されたブロードキャストチャネル」の存在、すなわち、あるユーザがメッセージｍを受信すると、他の皆が同じｍを受信することを当該ユーザが保証されるような、メッセージの送信方法に依拠しなければならない。

【0792】

最後に、各ラウンドでセキュアな計算を使用するのではなく、セキュアな計算事前処理ステップを使用することができる。このステップはシステムの始めに、誠実な過半数を有するように選択された受託者の集合によって取られる。このステップは、場合によっては複数の計算段階によって、各受託者ｉについて公開値ｐｖおよび秘密値ｖ_ｉを生成する。この初期計算にはいくらか時間がかかるかもしれないが、各ラウンドｒに必要な計算は自明とすることができるであろう。例えば、各ラウンドｒについて、各受託者ｉは、自分の秘密値ｖ_ｉを使用して、（好ましくは電子署名された）１つの再構築ストリングｓ_ｉ^ｒを生成して伝播し、正当な再構築ストリングの過半数を含むストリングの任意の集合Ｓ^ｒがあるとすると、誰もがＳＶ^ｒ（またはＳＶ^ｒがそこから導かれるランダム値）を曖昧さなく構築することができるようにする。このアプローチの危険性は、当然、固定された受託者の集合は、より攻撃を受けやすく、または腐敗されやすいおそれがあることである。

【0793】

１３．２ より高度な暗号ツール
アルゴランドは、より高度な暗号ツールからも利益を受けることができる。具体的には、以下の通りである。

【0794】

１． 統合可能な署名
しばしば、アルゴランドでは、データＤのうちの数個が複数者によって電子署名されなければならない。よりコンパクトな認証済み記録を生成するために、組み合わせ可能な電子署名を使用することができる。このような署名では、複数の公開鍵、例えば、ΡΚ_１、ＰＫ_２およびＰＫ_３を１つの公開鍵ＰＫ＝ΡΚ_{１，２，３}に統合することができるであろう。また、異なる公開鍵に関連した同じデータＤの署名は、対応する統合された公開鍵に関連して、１つの署名に統合することができる。例えば、ＳＩＧ_１（Ｄ）、ＳＩＧ_２（Ｄ）およびＳＩＧ_３（Ｄ）は１つの電子署名ｓ＝ＳＩＧ_{１，２，３}（Ｄ）に変換することができるであろうが、これは、公開鍵ＰＫ_{１，２，３}に関連して、誰によっても検証することができる。関連する公開鍵の識別子のコンパクトな記録、我々の例では、集合｛１，２，３｝にはｓを添付することができるので、誰でも素早くΡΚ_１、ＰＫ_２およびＰＫ_３を収集してＰＫ＝ＰＫ_{１，２，３}を計算し、ＰＫに基づいてＤの署名ｓを検証することができる。

【0795】

これにより、複数の関係する伝播を単一の伝播にすることができる。本質的に、伝播プロトコルの間に、ユーザが、記録｛１，２，３｝とともにＳＩＧ_{１，２，３}（Ｄ）、および記録｛４，５｝とともにＳＩＧ_４，５（Ｄ）を受信したと仮定する。すると、当該ユーザはＳＩＧ_{１，２，３，４，５}（Ｄ）および記録｛１，２，３，４，５｝を伝播するのと同じである。

【0796】

２． ツリーハッシュアンドサイン
署名が複数のデータを認証する場合、署名された項目のリスト全体を維持または送信しなければならないよりも、１つのデータの署名だけを抽出できる方が便利であろう。例えば、プレーヤは、認証されたＰＡＹ^ｒ全体ではなく、所与の支払Ｐ∈ＰＡＹ^ｒの認証記録を維持したいかもしれない。このために、まず、各支払Ｐ∈ＰＡＹ^ｒを個別のリーフに格納するマークル木を生成し、それからルートに電子署名することができる。この署名は、項目Ｐおよびその認証経路とともに、本質的にＰ単独の代替署名である。

【0797】

３． 配達証明付き電子メール
後者の処理方法の１つの利点は、プレーヤが、ｌへの支払を配達証明付き電子メール（脚注５３参照）によって、好ましくは送信者匿名で送信し、ｌが意図的にその支払の一部をＰＡＹ_ｌ^ｒに含めないことにした場合に、ｌを罰する助けになり得る受信確認（レシート）を得られるようになることである。

【0798】

脚注５３
例えば、米国特許第５６６６４２０号の軽量配達証明付き電子メールによる。

【0799】

１４ 適用範囲
本明細書で説明するシステムのソフトウェア実装は、コンピュータ可読媒体に格納されるとともに１つまたは複数のプロセッサで実行される、実行可能コードを含むことができる。コンピュータ可読媒体は、非一時的なものとすることができ、コンピュータハードドライブ、ＲＯＭ、ＲＡＭ、フラッシュメモリ、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、フラッシュドライブ、ＳＤカード、および／もしくは、例えばユニバーサルシリアルバス（ＵＳＢ）インタフェースを有する他のドライブなどの携帯コンピュータ記憶媒体、ならびに／または実行可能コードを格納しプロセッサで実行することができる任意の他の適切な有形もしくは非一時的コンピュータ可読媒体もしくはコンピュータメモリであってもよい。本明細書で説明するシステムは、任意の適切なオペレーティングシステムとの関係で使用してもよい。

【0800】

本発明の他の実施形態は、本明細書で開示する本発明の明細または実施を考慮することで当業者には明らかになるであろう。明細および実施例は例示的なものとしてのみ見なされ、本発明の真の範囲および精神は以下の請求項によって示されることが意図される。

【図1】

[この文献は図面を表示できません]

【図2】

[この文献は図面を表示できません]

【図3】

[この文献は図面を表示できません]

【図4】

[この文献は図面を表示できません]

【図5】

[この文献は図面を表示できません]