(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2022109670
(43)【公開日】2022-07-28
(54)【発明の名称】決済システム、決済装置、決済方法及び決済プログラム
(51)【国際特許分類】
G06Q 20/06 20120101AFI20220721BHJP
【ＦＩ】
G06Q20/06 300
【審査請求】有
【請求項の数】8
【出願形態】ＯＬ
(21)【出願番号】P 2021005100
(22)【出願日】2021-01-15
(11)【特許番号】
(45)【特許公報発行日】2022-04-05
(71)【出願人】
【識別番号】398034168
【氏名又は名称】株式会社アクセル
(74)【代理人】
【識別番号】100085660
【弁理士】
【氏名又は名称】鈴木 均
(74)【代理人】
【識別番号】100149892
【弁理士】
【氏名又は名称】小川 弥生
(74)【代理人】
【識別番号】100185672
【弁理士】
【氏名又は名称】池田 雅人
(72)【発明者】
【氏名】星月 優佑
【テーマコード（参考）】
5L055
【Ｆターム（参考）】
5L055AA15
(57)【要約】
【課題】送金履歴の取り消しを防ぐために利用者を待たせることなく、暗号通貨による実用的な決済を可能とする。
【解決手段】購入者装置７０と、決済装置８０と、を備え、購入者装置７０は、秘密情報を決定する決定部と、秘密情報と決済装置８０の電子署名を用いてアンロックすることにより取り出し可能な出力情報を含む第１トランザクションを公開する公開部と、を備え、決済装置は、購入者装置から秘密情報を受け取る受取部と、第１トランザクションが分散型台帳に公開されたあとで受取部により秘密情報を受け取ったとき、受け取った秘密情報を用いて第１トランザクションがアンロック可能な場合、第１トランザクションに含まれる識別情報を取得する取得部と、取得部により取得した識別情報が決められた情報であるとき、指定の処理を実行する実行部と、を備える。
【選択図】図４
【解決手段】購入者装置７０と、決済装置８０と、を備え、購入者装置７０は、秘密情報を決定する決定部と、秘密情報と決済装置８０の電子署名を用いてアンロックすることにより取り出し可能な出力情報を含む第１トランザクションを公開する公開部と、を備え、決済装置は、購入者装置から秘密情報を受け取る受取部と、第１トランザクションが分散型台帳に公開されたあとで受取部により秘密情報を受け取ったとき、受け取った秘密情報を用いて第１トランザクションがアンロック可能な場合、第１トランザクションに含まれる識別情報を取得する取得部と、取得部により取得した識別情報が決められた情報であるとき、指定の処理を実行する実行部と、を備える。
【選択図】図４
【特許請求の範囲】
【請求項1】
第１装置と、第２装置と、を備え、
前記第１装置は、
秘密情報を決定する決定部と、
前記秘密情報を用いることにより暗号資産を取り出し可能とする制約情報を含む第１トランザクションを分散型台帳に公開する第１公開部と、
を備え、
前記第２装置は、
前記秘密情報を受け取る受取部と、
前記第１トランザクションが分散型台帳に公開されたあとで前記受取部により前記秘密情報を受け取ったとき、前記受取部により受け取った前記秘密情報を含む第２トランザクションを分散型台帳に公開することで、暗号資産を受領する第２公開部と、
前記受取部により前記秘密情報を受け取ったことに応じて、所定動作を実行する実行部と、
を備える、
ことを特徴とする決済システム。
前記第１装置は、
秘密情報を決定する決定部と、
前記秘密情報を用いることにより暗号資産を取り出し可能とする制約情報を含む第１トランザクションを分散型台帳に公開する第１公開部と、
を備え、
前記第２装置は、
前記秘密情報を受け取る受取部と、
前記第１トランザクションが分散型台帳に公開されたあとで前記受取部により前記秘密情報を受け取ったとき、前記受取部により受け取った前記秘密情報を含む第２トランザクションを分散型台帳に公開することで、暗号資産を受領する第２公開部と、
前記受取部により前記秘密情報を受け取ったことに応じて、所定動作を実行する実行部と、
を備える、
ことを特徴とする決済システム。
【請求項2】
請求項１に記載の決済システムにおいて、
前記第１装置の前記決定部は、複数の秘密情報を決定し、
前記第１装置の前記第１公開部は、前記複数の秘密情報に対応する前記第１トランザクションを公開し、
前記第２装置の前記受取部が前記複数の秘密情報のうち一部又は全部の秘密情報を受け取り、前記第２装置の前記第２公開部が、前記一部の秘密情報を含む前記第２トランザクションを公開することにより、当該一部の秘密情報に係る暗号資産の送金を行う、
ことを特徴とする決済システム。
前記第１装置の前記決定部は、複数の秘密情報を決定し、
前記第１装置の前記第１公開部は、前記複数の秘密情報に対応する前記第１トランザクションを公開し、
前記第２装置の前記受取部が前記複数の秘密情報のうち一部又は全部の秘密情報を受け取り、前記第２装置の前記第２公開部が、前記一部の秘密情報を含む前記第２トランザクションを公開することにより、当該一部の秘密情報に係る暗号資産の送金を行う、
ことを特徴とする決済システム。
【請求項3】
請求項２に記載の決済システムにおいて、
前記第１装置の前記決定部は、一の秘密情報に対して一方向性関数を複数回適用することにより、前記複数の秘密情報を決定する、
ことを特徴とする決済システム。
前記第１装置の前記決定部は、一の秘密情報に対して一方向性関数を複数回適用することにより、前記複数の秘密情報を決定する、
ことを特徴とする決済システム。
【請求項4】
請求項１乃至３の何れか一項に記載の決済システムにおいて、
前記第２装置は、
利用履歴を記憶する記憶部を備える、
ことを特徴とする決済システム。
前記第２装置は、
利用履歴を記憶する記憶部を備える、
ことを特徴とする決済システム。
【請求項5】
請求項１乃至４の何れか一項に記載の決済システムにおいて、
前記第２装置の前記第２公開部は、
前記第１トランザクションの改ざん成功確率が十分に低くなったとき、前記第２トランザクションを分散型台帳に公開する
ことを特徴とする決済システム。
前記第２装置の前記第２公開部は、
前記第１トランザクションの改ざん成功確率が十分に低くなったとき、前記第２トランザクションを分散型台帳に公開する
ことを特徴とする決済システム。
【請求項6】
秘密情報を用いることにより暗号資産を取り出し可能とする制約情報を含む第１トランザクションを分散型台帳に公開した送金元から前記秘密情報を受け取る受取部と、
前記第１トランザクションが分散型台帳に公開されたあとで前記受取部により前記秘密情報を受け取ったとき、前記受取部により受け取った前記秘密情報を含む第２トランザクションを分散型台帳に公開することで、暗号資産を受領する第２公開部と、
前記受取部により前記秘密情報を受け取ったことに応じて、所定動作を実行する実行部と、を備える、
ことを特徴とする決済装置。
前記第１トランザクションが分散型台帳に公開されたあとで前記受取部により前記秘密情報を受け取ったとき、前記受取部により受け取った前記秘密情報を含む第２トランザクションを分散型台帳に公開することで、暗号資産を受領する第２公開部と、
前記受取部により前記秘密情報を受け取ったことに応じて、所定動作を実行する実行部と、を備える、
ことを特徴とする決済装置。
【請求項7】
プロセッサによって実行される決済方法であって、
秘密情報を用いることにより暗号資産を取り出し可能とする制約情報を含む第１トランザクションを分散型台帳に公開した送金元から前記秘密情報を受け取り、
前記第１トランザクションが分散型台帳に公開されたあとで前記受取部により前記秘密情報を受け取ったとき、前記受取部により受け取った前記秘密情報を含む第２トランザクションを分散型台帳に公開することで、暗号資産を受領し、
前記受取部により前記秘密情報を受け取ったことに応じて、所定動作を実行する
ことを特徴とする決済方法。
秘密情報を用いることにより暗号資産を取り出し可能とする制約情報を含む第１トランザクションを分散型台帳に公開した送金元から前記秘密情報を受け取り、
前記第１トランザクションが分散型台帳に公開されたあとで前記受取部により前記秘密情報を受け取ったとき、前記受取部により受け取った前記秘密情報を含む第２トランザクションを分散型台帳に公開することで、暗号資産を受領し、
前記受取部により前記秘密情報を受け取ったことに応じて、所定動作を実行する
ことを特徴とする決済方法。
【請求項8】
プロセッサに実行させる決済プログラムであって、
秘密情報を用いることにより暗号資産を取り出し可能とする制約情報を含む第１トランザクションを分散型台帳に公開した送金元から前記秘密情報を受け取り、
前記第１トランザクションが分散型台帳に公開されたあとで前記受取部により前記秘密情報を受け取ったとき、前記受取部により受け取った前記秘密情報を含む第２トランザクションを分散型台帳に公開することで、暗号資産を受領し、
前記受取部により前記秘密情報を受け取ったことに応じて、所定動作を実行する
ことを特徴とする決済プログラム。
秘密情報を用いることにより暗号資産を取り出し可能とする制約情報を含む第１トランザクションを分散型台帳に公開した送金元から前記秘密情報を受け取り、
前記第１トランザクションが分散型台帳に公開されたあとで前記受取部により前記秘密情報を受け取ったとき、前記受取部により受け取った前記秘密情報を含む第２トランザクションを分散型台帳に公開することで、暗号資産を受領し、
前記受取部により前記秘密情報を受け取ったことに応じて、所定動作を実行する
ことを特徴とする決済プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、決済システム、決済装置、決済方法及び決済プログラムに関する。
【背景技術】
【0002】
ブロックチェーンなどの分散型台帳を基盤とする暗号資産が、市中の店舗等での決済にも活用され始めている（特許文献１）。
ただし、暗号資産による決済では、店舗に暗号資産を送金するための送金トランザクションが例えばブロックチェーン上で承認されるのを待つ必要があり、これは数分の時間を必要とする。
暗号資産の送金履歴が取り消されることを防ぐために、さらにある程度の数のブロックの承認が進むのを待つ必要がある。送金のトランザクションがなかった歴史を作り、十分なハッシュレートでマイニングを進めることで、一旦承認されてブロックチェーンに取り込まれた送金トランザクションを取り消すことが理論上可能だからである。
送金履歴の取り消しを完全に防ぐことはできないが、ブロックチェーンには、ブロックチェーンに取り込まれた後にマイニングが進んだブロック数（承認数）が増えるほどに、トランザクションの取り消しが成功する確率が急速に低くなる性質がある。そのため、送金履歴の取り消しを完全に防ぐことは難しいものの、十分な承認数を待つことで取り消しが不可能とみなすことが出来る。
しかし、このことにより、店舗で提供される商品やサービスの対価を暗号資産で支払おうとすると、暗号資産を店舗側に確実に送金を行うために十分な数のブロックが承認されるまで購入者は待機していなければならない。
従来の暗号資産による決済は、利用者に主に時間的な不便を強い、必ずしも実用的であるとは言えなかった。
ただし、暗号資産による決済では、店舗に暗号資産を送金するための送金トランザクションが例えばブロックチェーン上で承認されるのを待つ必要があり、これは数分の時間を必要とする。
暗号資産の送金履歴が取り消されることを防ぐために、さらにある程度の数のブロックの承認が進むのを待つ必要がある。送金のトランザクションがなかった歴史を作り、十分なハッシュレートでマイニングを進めることで、一旦承認されてブロックチェーンに取り込まれた送金トランザクションを取り消すことが理論上可能だからである。
送金履歴の取り消しを完全に防ぐことはできないが、ブロックチェーンには、ブロックチェーンに取り込まれた後にマイニングが進んだブロック数（承認数）が増えるほどに、トランザクションの取り消しが成功する確率が急速に低くなる性質がある。そのため、送金履歴の取り消しを完全に防ぐことは難しいものの、十分な承認数を待つことで取り消しが不可能とみなすことが出来る。
しかし、このことにより、店舗で提供される商品やサービスの対価を暗号資産で支払おうとすると、暗号資産を店舗側に確実に送金を行うために十分な数のブロックが承認されるまで購入者は待機していなければならない。
従来の暗号資産による決済は、利用者に主に時間的な不便を強い、必ずしも実用的であるとは言えなかった。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特開２０２０－１２９７５２公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
本発明は、一側面として、決済完了までに時間を要するという問題を解消し、暗号資産を用いた実用的な決済を実現することを目的とする。
【課題を解決するための手段】
【0005】
本発明は、上記の課題を解決するためになされたものであり、以下の形態により実現することができる。
本明細書で開示する決済システムのひとつに、第１装置と、第２装置とを備える決済システムがある。第１装置は、決定部と、第１公開部とを備える。決定部は、秘密情報を決定する。第１公開部は、秘密情報を用いることにより暗号資産を取り出し可能とする制約情報を含む第１トランザクションを分散型台帳に公開する。第２装置は、受取部と、第２公開部と、実行部とを備える。受取部は、秘密情報を受け取る。第２公開部は、第１トランザクションが分散型台帳に公開されたあとで受取部により秘密情報を受け取ったとき、受取部により受け取った秘密情報を含む第２トランザクションを分散型台帳に公開することで、暗号資産を受領する。実行部は、受取部により秘密情報を受け取ったことに応じて、所定動作を実行する。
本明細書で開示する決済システムのひとつに、第１装置と、第２装置とを備える決済システムがある。第１装置は、決定部と、第１公開部とを備える。決定部は、秘密情報を決定する。第１公開部は、秘密情報を用いることにより暗号資産を取り出し可能とする制約情報を含む第１トランザクションを分散型台帳に公開する。第２装置は、受取部と、第２公開部と、実行部とを備える。受取部は、秘密情報を受け取る。第２公開部は、第１トランザクションが分散型台帳に公開されたあとで受取部により秘密情報を受け取ったとき、受取部により受け取った秘密情報を含む第２トランザクションを分散型台帳に公開することで、暗号資産を受領する。実行部は、受取部により秘密情報を受け取ったことに応じて、所定動作を実行する。
【発明の効果】
【0006】
一実施態様によれば、暗号資産を用いた実用的な決済を実現することが出来る。
【図面の簡単な説明】
【0007】
【図1】本実施形態に係るネットワーク構造の一例を示す図である。
【図2】暗号資産の取引情報の一例を示す図である。
【図3】アトミックスワップの処理の一例を示す図である。
【図4】本実施形態の決済処理の流れを説明する図である。
【図6】購入者装置が有する機能を示すブロック図である。
【図7】決済装置が有する機能を示すブロック図である。
【図8】コンピュータ装置の一実施例を示すブロック図である。
【発明を実施するための形態】
【0008】
以下に、図面を参照して、本発明の実施の形態を詳細に説明する。
本実施形態のシステムは分散型台帳を用いた決済システムである。
分散型台帳とは、電子署名とハッシュポインタとを使用して改ざんを検出可能な構造のデータを、ネットワーク上に分散する複数のノードに保持させるというものである。
分散型台帳は、例えば、ブロックチェーンまたはＤＡＧ（Ｄｉｒｅｃｔｅｄ ａｃｙｃｌｉｃ ｇｒａｐｈ）などである。以下の説明では、一例として、分散型台帳がブロックチェーンであるものとして説明する。
なお、ＤＡＧでは、ユーザがトランザクションを作成したとき、先に公開されている未承認のトランザクションを承認する。ユーザが作成したトランザクションも、後から公開される未承認のトランザクションに承認される。閾値以上の未承認のトランザクションから直接または間接的に承認されたとき、ユーザが作成したトランザクションは、ネットワークで合意されたものとみなされる、というコンセンサスアルゴリズムを採用している。
本実施形態のシステムは分散型台帳を用いた決済システムである。
分散型台帳とは、電子署名とハッシュポインタとを使用して改ざんを検出可能な構造のデータを、ネットワーク上に分散する複数のノードに保持させるというものである。
分散型台帳は、例えば、ブロックチェーンまたはＤＡＧ（Ｄｉｒｅｃｔｅｄ ａｃｙｃｌｉｃ ｇｒａｐｈ）などである。以下の説明では、一例として、分散型台帳がブロックチェーンであるものとして説明する。
なお、ＤＡＧでは、ユーザがトランザクションを作成したとき、先に公開されている未承認のトランザクションを承認する。ユーザが作成したトランザクションも、後から公開される未承認のトランザクションに承認される。閾値以上の未承認のトランザクションから直接または間接的に承認されたとき、ユーザが作成したトランザクションは、ネットワークで合意されたものとみなされる、というコンセンサスアルゴリズムを採用している。
【0009】
上記のようにＤＡＧは、以下で説明するブロックチェーンと、コンセンサスアルゴリズムに違いがあるものの、トランザクションの構造はブロックチェーンと同様のものを採用することができる。
したがって、分散型台帳としてブロックチェーンを利用した処理と、分散型台帳としてＤＡＧを利用する処理とは、同様の構成のトランザクションを用いて実行することができる。このため、以下で説明する分散型台帳としてブロックチェーンを利用する処理は、分散型台帳としてＤＡＧを利用して実行することも可能である。
まず、本実施形態の決済システムを実現する要素技術として、ブロックチェーンと暗号資産の送金について概説する。
［ブロックチェーン］
ブロックチェーンとは、複数の取引情報を含むブロックを生成し、生成したブロックを連結することにより、分散型ネットワークにデータを記録するデータベースである。
ブロックには、複数の取引情報に加えて、１つ前に生成されたブロックの内容を示すハッシュ値を含むので、ブロックチェーンは、生成されたブロックが時系列に沿ってつながっていくデータ構造を有する。ビットコインやモナコイン、イーサリアム等に代表される暗号資産（仮想通貨）の基礎技術である。
したがって、分散型台帳としてブロックチェーンを利用した処理と、分散型台帳としてＤＡＧを利用する処理とは、同様の構成のトランザクションを用いて実行することができる。このため、以下で説明する分散型台帳としてブロックチェーンを利用する処理は、分散型台帳としてＤＡＧを利用して実行することも可能である。
まず、本実施形態の決済システムを実現する要素技術として、ブロックチェーンと暗号資産の送金について概説する。
［ブロックチェーン］
ブロックチェーンとは、複数の取引情報を含むブロックを生成し、生成したブロックを連結することにより、分散型ネットワークにデータを記録するデータベースである。
ブロックには、複数の取引情報に加えて、１つ前に生成されたブロックの内容を示すハッシュ値を含むので、ブロックチェーンは、生成されたブロックが時系列に沿ってつながっていくデータ構造を有する。ビットコインやモナコイン、イーサリアム等に代表される暗号資産（仮想通貨）の基礎技術である。
【0010】
資産の取引をトランザクションというデータ形式で表現し、それをＰ２Ｐネットワークで共有する。トランザクション全体をマークルツリーでまとめあげ、マークルツリーのルートノード（マークルルート）と前ブロックのハッシュ値、ナンス（Ｎｏｎｃｅ）と呼ばれる任意の値などをまとめたハッシュ値が一定値以下になるようなナンスを探し当てる作業を、マイニングと呼ぶ。
マイニングに成功するとマイニング報酬が得られる。そのマイニング報酬を目当てにマイニングに投入される計算資源の多さによって、古いデータほど改ざんが難しくなる仕組みを、ＰｏＷ（Ｐｒｏｏｆ ｏｆ Ｗｏｒｋ）型のブロックチェーンシステムと呼ぶ。
このように、何らかの報酬を与えることで、データベースへの信頼性を担保するための資源を提供させる仕組みのことをブロックチェーンと呼ぶ。
ＰｏＷ型ブロックチェーン以外にもＰｏＳ型、ＰｏＩ型、ＰｏＣ型のブロックチェーンも適用が可能だが説明は割愛する。
マイニングに成功するとマイニング報酬が得られる。そのマイニング報酬を目当てにマイニングに投入される計算資源の多さによって、古いデータほど改ざんが難しくなる仕組みを、ＰｏＷ（Ｐｒｏｏｆ ｏｆ Ｗｏｒｋ）型のブロックチェーンシステムと呼ぶ。
このように、何らかの報酬を与えることで、データベースへの信頼性を担保するための資源を提供させる仕組みのことをブロックチェーンと呼ぶ。
ＰｏＷ型ブロックチェーン以外にもＰｏＳ型、ＰｏＩ型、ＰｏＣ型のブロックチェーンも適用が可能だが説明は割愛する。
【0011】
［暗号資産の送金の仕組み］
現在主流となっている暗号資産には大きく分けて２種類がある。ビットコインから派生して開発されているライトコインやモナコインなどと、イーサリアムから派生して開発されているルートストックなどである。
前者の場合、暗号資産の実体は未使用のトランザクションの出力（Ｕｎｓｐｅｎｔ Ｔｒａｎｓａｃｔｉｏｎ Ｏｕｔｐｕｔ、ＵＴＸＯ）である。
ＵＴＸＯは通常、ＥＣＤＳＡという楕円曲線暗号を用いた電子署名によってのみアンロック可能なようにロックされている。また、特定の秘密鍵を持つ所有者にのみアンロックを可能にするため、通常ＵＴＸＯには秘密鍵に対応する公開鍵が記述されている。
現在主流となっている暗号資産には大きく分けて２種類がある。ビットコインから派生して開発されているライトコインやモナコインなどと、イーサリアムから派生して開発されているルートストックなどである。
前者の場合、暗号資産の実体は未使用のトランザクションの出力（Ｕｎｓｐｅｎｔ Ｔｒａｎｓａｃｔｉｏｎ Ｏｕｔｐｕｔ、ＵＴＸＯ）である。
ＵＴＸＯは通常、ＥＣＤＳＡという楕円曲線暗号を用いた電子署名によってのみアンロック可能なようにロックされている。また、特定の秘密鍵を持つ所有者にのみアンロックを可能にするため、通常ＵＴＸＯには秘密鍵に対応する公開鍵が記述されている。
【0012】
ＵＴＸＯに記述されている公開鍵に対応するＥＣＤＳＡ電子署名を与えることでアンロックし、新たなトランザクションの入力に接続し、その新たなトランザクションのＵＴＸＯに送金先の所有者の公開鍵を記述することで、暗号資産の送金を実現している。
実際には、ＵＴＸＯにはＳｃｒｉｐｔＰｕｂＫｅｙと呼ばれる領域があり、そこにはＳｃｒｉｐｔと呼ばれるプログラミング言語で記述されたプログラムが書いてある。そのＵＴＸＯに接続しようとするトランザクションの入力には、ＳｃｒｉｐｔＳｉｇと呼ばれる領域があり、この２つがちょうど対応づいている場合に、ＵＴＸＯはアンロックされる。
イーサリアムやそこから派生した暗号資産については、スマートコントラクトを用いることで同様の仕組みを実現することが出来る。
実際には、ＵＴＸＯにはＳｃｒｉｐｔＰｕｂＫｅｙと呼ばれる領域があり、そこにはＳｃｒｉｐｔと呼ばれるプログラミング言語で記述されたプログラムが書いてある。そのＵＴＸＯに接続しようとするトランザクションの入力には、ＳｃｒｉｐｔＳｉｇと呼ばれる領域があり、この２つがちょうど対応づいている場合に、ＵＴＸＯはアンロックされる。
イーサリアムやそこから派生した暗号資産については、スマートコントラクトを用いることで同様の仕組みを実現することが出来る。
【0013】
図１は、本実施形態に係るネットワーク構造の一例を示す図である。
ネットワークは、購入者装置７０と、決済装置８０と、ネットワーク３０と、ネットワーク４０と、ネットワーク２００とを含む。そして、購入者装置７０と、決済装置８０と、ネットワーク３０と、ネットワーク４０とはネットワーク２００を介して互いに通信可能に接続されている。
図１に示すネットワークには取引装置１０と取引装置２０が含まれるが、これらは、本実施形態が参考にしているアトミックスワップを説明するために参照される。
取引装置１０、取引装置２０、購入者装置７０及び決済装置８０は、例えば、後述するコンピュータ装置である。
ネットワークは、購入者装置７０と、決済装置８０と、ネットワーク３０と、ネットワーク４０と、ネットワーク２００とを含む。そして、購入者装置７０と、決済装置８０と、ネットワーク３０と、ネットワーク４０とはネットワーク２００を介して互いに通信可能に接続されている。
図１に示すネットワークには取引装置１０と取引装置２０が含まれるが、これらは、本実施形態が参考にしているアトミックスワップを説明するために参照される。
取引装置１０、取引装置２０、購入者装置７０及び決済装置８０は、例えば、後述するコンピュータ装置である。
【0014】
ネットワーク３０及びネットワーク４０は、Ｐ２Ｐネットワークなどの分散型ネットワークであり、ブロックチェーン上に取引情報を記録する。
以下の説明では、一例として、ネットワーク３０は、例えば、ビットコインのコンセンサスアルゴリズムであるプルーフオブワーク（ＰｏＷ）を採用しているものとして説明する。また、ネットワーク４０は、例えば、ライトコインのコンセンサスアルゴリズムであるプルーフオブワークを採用しているものとして説明する。
以下の説明では、一例として、ネットワーク３０は、例えば、ビットコインのコンセンサスアルゴリズムであるプルーフオブワーク（ＰｏＷ）を採用しているものとして説明する。また、ネットワーク４０は、例えば、ライトコインのコンセンサスアルゴリズムであるプルーフオブワークを採用しているものとして説明する。
【0015】
また、ネットワーク３０内で発生した取引を記録するブロックチェーンのことをビットコインのブロックチェーンともいう。さらに、ネットワーク４０内で発生した取引を記録するブロックチェーンのことをライトコインのブロックチェーンともいう。なお、ネットワーク３０及びネットワーク４０は、それぞれプルーフオブステーク（ＰｏＳ）、プルーフオブインポータンス（ＰｏＩ）、及びプルーフオブコンセンサス（ＰｏＣ）などの他のコンセンサスアルゴリズムを採用してもよい。
【0016】
ネットワーク３０は、マイニングを実行する複数のノード装置３０１から３０ｎが通信可能に接続されている。以下の説明では、ノード装置３０１から３０ｎを特に区別しないときは、ノード装置３００ともいう。また、ノード装置４０１から４０ｎを特に区別しないときは、ノード装置４００ともいう。
【0017】
プルーフオブワークにおいて、マイニングとは、ブロックに含まれるナンスを変化させながら、ブロックのデータにハッシュ関数を適用したとき、決められた数以上の０が並ぶハッシュ値が得られるナンス（以下、正しいナンスともいう）を探す作業のことである。ブロックのデータには、ブロックに連結される前ブロックのデータのハッシュ値と、ナンスと、取引情報とを含む。
【0018】
ノード装置は、ブロックを生成するとき、ブロックに含むトランザクションを検証する。そして、ノード装置は、正しいトランザクションを承認し、承認したトランザクションをブロックに含ませて、ナンスを探す作業を実行する。ノード装置は、正しいナンスを発見すると、正しいナンスを含むブロックを生成し、ノード装置が保持するブロックチェーンに新たに生成したブロックを連結する。また、ノード装置は、ブロックチェーンのネットワーク上に新たに生成したブロックを送信する。そして、新たに生成したブロックは、ネットワークに接続された他のノード装置が保持するブロックチェーンにも連結される。これにより、トランザクションは、ブロックチェーン上に記録される。以下の説明では、トランザクションを含んだブロックがブロックチェーンに連結されることを、トランザクションがブロックチェーンに記録されるともいう。
ネットワーク２００は、ネットワーク３０及びネットワーク４０に限らず、さらに他のネットワークと接続されてもよい。また、ネットワーク２００は、購入者装置７０及び決済装置８０に加えて、さらに他の取引装置と接続されてもよい。
ネットワーク２００は、ネットワーク３０及びネットワーク４０に限らず、さらに他のネットワークと接続されてもよい。また、ネットワーク２００は、購入者装置７０及び決済装置８０に加えて、さらに他の取引装置と接続されてもよい。
【0019】
図２は、暗号資産の取引情報の一例を示す図である。
図２（ａ）は、取引情報の構成を説明する図である。図２（ｂ）は、取引情報を接続する処理を説明する図である。取引情報とは、暗号資産の引き渡しと、受け取りとを実行し、暗号資産の所有権を移転する処理に用いられるトランザクションのことである。
以下の説明では、トランザクションスクリプトとして、Ｐ２ＰＫＨ（Ｐａｙ ｔｏ Ｐｕｂｌｉｃ Ｋｅｙ Ｈａｓｈ）を用いるものとして説明する。なお、トランザクションスクリプトとして、Ｐ２ＰＫ（Ｐａｙ ｔｏ Ｐｕｂｌｉｃ Ｋｅｙ）を用いる場合には、ＵＴＸＯをロックするＳｃｒｉｐｔＰｕｂＫｅｙは、ＵＴＸＯの受領者である送信先の利用者の公開鍵を含む。また、Ｐ２ＰＫにおいて、ＵＴＸＯをアンロックするＳｃｒｉｐｔＳｉｇは、ＵＴＸＯの授与者であるトランザクションを作成する送信元の利用者の秘密鍵を用いて生成した電子署名を含む。
図２（ａ）は、取引情報の構成を説明する図である。図２（ｂ）は、取引情報を接続する処理を説明する図である。取引情報とは、暗号資産の引き渡しと、受け取りとを実行し、暗号資産の所有権を移転する処理に用いられるトランザクションのことである。
以下の説明では、トランザクションスクリプトとして、Ｐ２ＰＫＨ（Ｐａｙ ｔｏ Ｐｕｂｌｉｃ Ｋｅｙ Ｈａｓｈ）を用いるものとして説明する。なお、トランザクションスクリプトとして、Ｐ２ＰＫ（Ｐａｙ ｔｏ Ｐｕｂｌｉｃ Ｋｅｙ）を用いる場合には、ＵＴＸＯをロックするＳｃｒｉｐｔＰｕｂＫｅｙは、ＵＴＸＯの受領者である送信先の利用者の公開鍵を含む。また、Ｐ２ＰＫにおいて、ＵＴＸＯをアンロックするＳｃｒｉｐｔＳｉｇは、ＵＴＸＯの授与者であるトランザクションを作成する送信元の利用者の秘密鍵を用いて生成した電子署名を含む。
【0020】
ＵＴＸＯは、トランザクションのインプットとして使われていない、未使用のトランザクションのアウトプットのことである。ＵＴＸＯは、暗号資産の所有権であり、次のトランザクションのインプットとして使用される。したがって、暗号資産の送金とは、送金者によりＵＴＸＯが使用され、着金者によってのみ使用可能なＵＴＸＯが作成されることである。トランザクションのインプットとは、暗号資産の使用を処理する情報である。また、トランザクションのアウトプットとは、暗号資産の使途を処理する情報である。ＵＴＸＯとは、Ｕｎｓｐｅｎｔ Ｔｒａｎｓａｃｔｉｏｎ Ｏｕｔｐｕｔの略である。
【0021】
電子署名は、例えば、トランザクションのＳｃｒｉｐｔＳｉｇを除くデータと、前トランザクションのＳｃｒｉｐｔＰｕｂＫｅｙとを用いて得られる電子署名用の値を、トランザクションを作成する送信元の利用者の秘密鍵で暗号化した値である。前トランザクションとは、送信元の利用者が送金時に作成するトランザクションのインプットと接続される、送信元の利用者への送金情報が記述されたアウトプットを含むトランザクションのことである。電子署名用の値とは、例えば、トランザクションのＳｃｒｉｐｔＳｉｇを除くデータと、前トランザクションのＳｃｒｉｐｔＰｕｂＫｅｙとを含むデータにハッシュ関数を適用して得られる値である。
【0022】
図２（ａ）を参照してトランザクションの構成を説明する。
トランザクションは、暗号資産の所有の移転をまとめた取引情報である。トランザクションは、インプット（ｉｎｐｕｔ）と、アウトプット（ｏｕｔｐｕｔ）とを含む。
インプットは、トランザクションを作成する送信元の利用者が所有する前トランザクションのＵＴＸＯをアンロックするための情報である。そして、インプットは、ＳｃｒｉｐｔＳｉｇを含む。
ＳｃｒｉｐｔＳｉｇは、送信元の利用者が所有するＵＴＸＯをアンロックするためのプログラムである。ＳｃｒｉｐｔＳｉｇは、送信元の利用者の電子署名と公開鍵とを含む。ＳｃｒｉｐｔＳｉｇに含まれる電子署名及び公開鍵は、送信元の利用者の秘密鍵を用いて生成された値である。
トランザクションは、暗号資産の所有の移転をまとめた取引情報である。トランザクションは、インプット（ｉｎｐｕｔ）と、アウトプット（ｏｕｔｐｕｔ）とを含む。
インプットは、トランザクションを作成する送信元の利用者が所有する前トランザクションのＵＴＸＯをアンロックするための情報である。そして、インプットは、ＳｃｒｉｐｔＳｉｇを含む。
ＳｃｒｉｐｔＳｉｇは、送信元の利用者が所有するＵＴＸＯをアンロックするためのプログラムである。ＳｃｒｉｐｔＳｉｇは、送信元の利用者の電子署名と公開鍵とを含む。ＳｃｒｉｐｔＳｉｇに含まれる電子署名及び公開鍵は、送信元の利用者の秘密鍵を用いて生成された値である。
【0023】
アウトプットは、暗号資産の所有権の移転を示す情報である。アウトプットは、送金額と、ＳｃｉｒｐｔＰｕｂＫｅｙとを含む。
ＳｃｒｉｐｔＰｕｂＫｅｙは、トランザクションのアウトプットをアンロックするための条件を定義したプログラムである。ＳｃｒｉｐｔＰｕｂＫｅｙは、送信先の利用者の秘密鍵を用いて生成された公開鍵のハッシュ値（以下、公開鍵ハッシュともいう）を含む。
ＳｃｒｉｐｔＰｕｂＫｅｙは、トランザクションのアウトプットをアンロックするための条件を定義したプログラムである。ＳｃｒｉｐｔＰｕｂＫｅｙは、送信先の利用者の秘密鍵を用いて生成された公開鍵のハッシュ値（以下、公開鍵ハッシュともいう）を含む。
【0024】
図２（ｂ）を参照してトランザクションを接続する処理を説明する。以下の説明では、一例として、接続対象の前トランザクションのアウトプット０が、新規トランザクションに接続される処理を説明する。また、各トランザクションは、ネットワーク３０内で処理されるものとする。
前トランザクションのアウトプットは、送金額とＳｃｉｒｐｔＰｕｂＫｅｙ０とを含むアウトプット０（ｏｕｔｐｕｔ０）と、送金額とＳｃｉｒｐｔＰｕｂＫｅｙ１とを含むアウトプット１（ｏｕｔｐｕｔ１）と、を含む。アウトプット０とアウトプット１とは、それぞれＩｎｄｅｘ０とＩｎｄｅｘ１と関連付けられている。Ｉｎｄｅｘ０とＩｎｄｅｘ１とは、それぞれアウトプット０とアウトプット１とを識別する識別子である。
前トランザクションのアウトプットは、送金額とＳｃｉｒｐｔＰｕｂＫｅｙ０とを含むアウトプット０（ｏｕｔｐｕｔ０）と、送金額とＳｃｉｒｐｔＰｕｂＫｅｙ１とを含むアウトプット１（ｏｕｔｐｕｔ１）と、を含む。アウトプット０とアウトプット１とは、それぞれＩｎｄｅｘ０とＩｎｄｅｘ１と関連付けられている。Ｉｎｄｅｘ０とＩｎｄｅｘ１とは、それぞれアウトプット０とアウトプット１とを識別する識別子である。
【0025】
前トランザクションのアウトプット０に、新規トランザクションのインプット０が接続される。前トランザクションのアウトプット１には、新規トランザクション及び他のトランザクションのインプットが接続されていないので、ＵＴＸＯの状態である。
新規トランザクションのインプット０は、ＳｃｒｉｐｔＳｉｇと、前トランザクションのトランザクションハッシュと、前トランザクションのアウトプットの識別子であるＩｎｄｅｘ０とを含む。
新規トランザクションのインプット０は、ＳｃｒｉｐｔＳｉｇと、前トランザクションのトランザクションハッシュと、前トランザクションのアウトプットの識別子であるＩｎｄｅｘ０とを含む。
【0026】
ＳｃｒｉｐｔＳｉｇ０は、前トランザクションのアウトプット０をアンロックする処理に用いられる電子署名と公開鍵とを含む。電子署名は、例えば、新規トランザクションのＳｃｒｉｐｔＳｉｇ０を除くデータと、前トランザクションのアプトプット０に含まれるＳｃｒｉｐｔＰｕｂＫｅｙ０とを用いて得られる電子署名用の値を、秘密鍵を用いて暗号化することにより生成される。このとき、秘密鍵には、新規トランザクションを作成する利用者の秘密鍵が用いられる。
トランザクションハッシュは、前トランザクション全体のハッシュ値である。そして、トランザクションハッシュは、前トランザクションを識別するためのトランザクションＩＤとして用いられる。Ｉｎｄｅｘ０は、前トランザクションにおける接続先のアウトプット０を識別する識別子である。
上記の前トランザクションに含まれるアウトプット０と、新規トランザクションに含まれるインプット０とが接続される処理を説明する。以下の説明では、前トランザクションがビットコインのブロックチェーンに記録された状態であるものとする。
トランザクションハッシュは、前トランザクション全体のハッシュ値である。そして、トランザクションハッシュは、前トランザクションを識別するためのトランザクションＩＤとして用いられる。Ｉｎｄｅｘ０は、前トランザクションにおける接続先のアウトプット０を識別する識別子である。
上記の前トランザクションに含まれるアウトプット０と、新規トランザクションに含まれるインプット０とが接続される処理を説明する。以下の説明では、前トランザクションがビットコインのブロックチェーンに記録された状態であるものとする。
【0027】
取引装置は、新規トランザクションを作成し、ネットワーク３０に送信することにより、各ノード装置３００が備える未検証のトランザクションを格納するメモリプールに新規トランザクションを格納する。特にビットコインとその派生コインでは、ノード装置３００は、メモリプールに新規トランザクションを格納したタイミングで、格納した新規トランザクションの検証を行う。検証にあたり、ノード装置３００は、新規トランザクションのトランザクションＩＤとＩｎｄｅｘ０とを参照し、ブロックチェーン上のトランザクションを検索する。ノード装置３００は、トランザクションＩＤに対応する前トランザクションを発見し、さらに、Ｉｎｄｅｘ０に対応するアウトプット０を発見する。
【0028】
そして、ノード装置３００は、インプット０に含まれるＳｃｒｉｐｔＳｉｇ０と、アウトプット０に含まれるＳｃｒｉｐｔＰｕｂＫｅｙ０とを連結する。これにより、ノード装置３００は、ＳｃｒｉｐｔＳｉｇ０に含まれる公開鍵のハッシュ値と、ＳｃｒｉｐｔＰｕｂＫｅｙ０に含まれる公開鍵ハッシュとの一致を検証する第１検証を実行する。さらに、ノード装置３００は、ＳｃｒｉｐｔＳｉｇ０に含まれる電子署名と公開鍵とを用いて電子署名を検証する第２検証を実行する。ノード装置３００は、第１検証と第２検証とが承認されると、前トランザクションのアウトプット０と新規トランザクションのインプット０とを接続する。
そして、ノード装置３００は、承認した新規トランザクションをブロックに含ませて、ナンスを探す作業を実行する。ノード装置３００は、正しいナンスを発見すると、正しいナンスが含まれるブロックを生成し、ノード装置３００が保持するブロックチェーンに新たに生成したブロックを連結する。また、ノード装置３００は、ブロックチェーンのネットワーク上に新たに生成したブロックを送信する。このブロックを受け取ったネットワーク内の他のノード装置３００は、ブロック内のナンスが正しいことを検証してから、自装置が有するデータにブロックを追加する。これにより、新たに生成したブロックは、ネットワークに接続された他のノード装置が保持するブロックチェーンにも連結され、新規トランザクションがブロックチェーンに記録される。
そして、ノード装置３００は、承認した新規トランザクションをブロックに含ませて、ナンスを探す作業を実行する。ノード装置３００は、正しいナンスを発見すると、正しいナンスが含まれるブロックを生成し、ノード装置３００が保持するブロックチェーンに新たに生成したブロックを連結する。また、ノード装置３００は、ブロックチェーンのネットワーク上に新たに生成したブロックを送信する。このブロックを受け取ったネットワーク内の他のノード装置３００は、ブロック内のナンスが正しいことを検証してから、自装置が有するデータにブロックを追加する。これにより、新たに生成したブロックは、ネットワークに接続された他のノード装置が保持するブロックチェーンにも連結され、新規トランザクションがブロックチェーンに記録される。
【0029】
図３は、アトミックスワップの処理の一例を示す図である。
図４以降で説明する本実施形態の決済方法は、このアトミックスワップの仕組みを応用したものである。
従って、本実施形態の決済方法を説明する前に、図３を用いてアトミックスワップの処理を説明する。
前提として、暗号資産には、異なる特徴を有する複数の種類の暗号資産がある。このため、利用者は、暗号資産を使用するとき、用途に適した暗号資産を選択して利用する。暗号資産の種類には、例えば、ビットコイン（ＢＴＣ：登録商標）、イーサリアム（ＥＴＨ：登録商標）、ライトコイン（ＬＴＣ）、及びモナコイン（ＭＯＮＡ：登録商標）などがある。暗号資産の用途には、例えば、価値の保存、商品の購入、及び契約内容の管理の手数料などがある。
上記のように、複数の種類の暗号資産を用途に応じて使い分けるため、異なる暗号資産を交換する取引が行われている。異なる暗号資産を交換する取引には、利用者間の直接の取引である直接取引と、利用者間に取引所などの第三者を介する取引である仲介取引とがある。
図４以降で説明する本実施形態の決済方法は、このアトミックスワップの仕組みを応用したものである。
従って、本実施形態の決済方法を説明する前に、図３を用いてアトミックスワップの処理を説明する。
前提として、暗号資産には、異なる特徴を有する複数の種類の暗号資産がある。このため、利用者は、暗号資産を使用するとき、用途に適した暗号資産を選択して利用する。暗号資産の種類には、例えば、ビットコイン（ＢＴＣ：登録商標）、イーサリアム（ＥＴＨ：登録商標）、ライトコイン（ＬＴＣ）、及びモナコイン（ＭＯＮＡ：登録商標）などがある。暗号資産の用途には、例えば、価値の保存、商品の購入、及び契約内容の管理の手数料などがある。
上記のように、複数の種類の暗号資産を用途に応じて使い分けるため、異なる暗号資産を交換する取引が行われている。異なる暗号資産を交換する取引には、利用者間の直接の取引である直接取引と、利用者間に取引所などの第三者を介する取引である仲介取引とがある。
【0030】
暗号資産の直接取引について説明する。
例えば利用者Ａは、自身が所有するビットコインと、利用者Ｂが所有するライトコインとの交換取引を行うとき、ビットコインを利用者Ｂに送金する。そして利用者Ｂは、ビットコインが利用者Ａから届いたことを確認すると、利用者Ａにライトコインを送金する。
直接取引において、利用者Ｂは、利用者Ａからビットコインが届いたことを確認したあと、利用者Ａにライトコインを送金しないでビットコインを持ち逃げすることが可能である。したがって、利用者Ａは、取引相手が信用できることを前提として、ビットコインを取引相手に送金しなければならない。
例えば利用者Ａは、自身が所有するビットコインと、利用者Ｂが所有するライトコインとの交換取引を行うとき、ビットコインを利用者Ｂに送金する。そして利用者Ｂは、ビットコインが利用者Ａから届いたことを確認すると、利用者Ａにライトコインを送金する。
直接取引において、利用者Ｂは、利用者Ａからビットコインが届いたことを確認したあと、利用者Ａにライトコインを送金しないでビットコインを持ち逃げすることが可能である。したがって、利用者Ａは、取引相手が信用できることを前提として、ビットコインを取引相手に送金しなければならない。
【0031】
暗号資産の仲介取引について説明する。
例えば利用者Ａは、自身が所有するビットコインを取引所に預ける。また、利用者Ｂは、自身が所有するライトコインを取引所に預ける。そして取引所は、利用者Ａに利用者Ｂが預けたライトコインを送金し、利用者Ｂに利用者Ａが預けたビットコインを送金する。
仲介取引において、利用者Ａと利用者Ｂとは取引所に暗号資産を預けているので、取引所の不正及び取引所のハッキングなどにより、暗号資産が盗難される恐れがある。また、仲介取引では、取引所を利用するので、手数料が直接取引と比較して割高になることがある。したがって、利用者Ａは、取引所が信用できること及び手数料が割高になることを前提として、ビットコインを取引所に預けなければならない。
例えば利用者Ａは、自身が所有するビットコインを取引所に預ける。また、利用者Ｂは、自身が所有するライトコインを取引所に預ける。そして取引所は、利用者Ａに利用者Ｂが預けたライトコインを送金し、利用者Ｂに利用者Ａが預けたビットコインを送金する。
仲介取引において、利用者Ａと利用者Ｂとは取引所に暗号資産を預けているので、取引所の不正及び取引所のハッキングなどにより、暗号資産が盗難される恐れがある。また、仲介取引では、取引所を利用するので、手数料が直接取引と比較して割高になることがある。したがって、利用者Ａは、取引所が信用できること及び手数料が割高になることを前提として、ビットコインを取引所に預けなければならない。
【0032】
このような問題を解決するために、信用のない個人間での取引においても暗号資産を持ち逃げされることなく直接取引することができるアトミックスワップが用いられている。
二者間で異なるブロックチェーンを用いた暗号資産同士の交換を行うとき、単純に利用者Ａと利用者Ｂとの間でお互いの暗号資産を送りあうと、利用者Ａから利用者Ｂへの送金及び利用者Ｂから利用者Ａへの送金が同時に行われることは保証できない。これは、ブロックチェーンによって承認までの期間が異なること、及びお互いの暗号資産を送信するタイミングが異なること、などに起因する。
また、承認前の送金トランザクションは取り下げが可能であるため、言い換えれば、先に承認された取引のみを有効とし、残った取引を取り下げることで、片方が暗号資産を持ち逃げすることができてしまう。
ビットコイン及びそこから派生したブロックチェーンシステムにおいて、Ａｔｏｍｉｃ Ｓｗａｐ（アトミックスワップ）は、ＵＴＸＯのアンロックの条件を記述したＳｃｒｉｐｔと呼ばれるプログラミング言語を用いる。そして、アトミックスワップは、Ｓｃｒｉｐｔの命令セットに、一方向ハッシュ関数であるＳＨＡ２５６を求める命令と、値の比較を行う命令があることを利用している。
二者間で異なるブロックチェーンを用いた暗号資産同士の交換を行うとき、単純に利用者Ａと利用者Ｂとの間でお互いの暗号資産を送りあうと、利用者Ａから利用者Ｂへの送金及び利用者Ｂから利用者Ａへの送金が同時に行われることは保証できない。これは、ブロックチェーンによって承認までの期間が異なること、及びお互いの暗号資産を送信するタイミングが異なること、などに起因する。
また、承認前の送金トランザクションは取り下げが可能であるため、言い換えれば、先に承認された取引のみを有効とし、残った取引を取り下げることで、片方が暗号資産を持ち逃げすることができてしまう。
ビットコイン及びそこから派生したブロックチェーンシステムにおいて、Ａｔｏｍｉｃ Ｓｗａｐ（アトミックスワップ）は、ＵＴＸＯのアンロックの条件を記述したＳｃｒｉｐｔと呼ばれるプログラミング言語を用いる。そして、アトミックスワップは、Ｓｃｒｉｐｔの命令セットに、一方向ハッシュ関数であるＳＨＡ２５６を求める命令と、値の比較を行う命令があることを利用している。
【0033】
具体的には、利用者Ａと利用者Ｂの間での暗号資産の交換を以下の手順で行う。
以下の説明では、一例として、取引相手が所有するビットコインと、利用者が所有するライトコインとを交換する処理について説明する。取引装置１０が秘密値Ｒを生成する処理を説明するが、利用者Ｂの取引装置が秘密値Ｒを生成してもよい。すなわち、以下で説明する利用者Ａの取引装置の実行する処理を利用者Ｂの取引装置が実行し、利用者Ｂの取引装置が実行する処理を利用者Ａの取引装置が実行してもよい。また、説明の簡単化のため、各トランザクションのアウトプットには、１つのアウトプットが含まれるものとし、アウトプットをＩｎｄｅｘに応じて参照する処理の説明を省略する。なお、交換する暗号資産の数量（交換数量）は、アトミックスワップの処理の前に利用者と取引相手との間で為替レートなどに基づいて決定してもよい。また、利用者と取引相手とは、アトミックスワップの処理の前にそれぞれお互いのアドレス及び公開鍵を交換してもよい。利用者Ａと利用者Ｂとは、暗号資産の交換数量の決定、並びにアドレス及び公開鍵の交換を、メール及び記録媒体の提供などの任意の通信手段により行ってもよい。
以下の説明では、一例として、取引相手が所有するビットコインと、利用者が所有するライトコインとを交換する処理について説明する。取引装置１０が秘密値Ｒを生成する処理を説明するが、利用者Ｂの取引装置が秘密値Ｒを生成してもよい。すなわち、以下で説明する利用者Ａの取引装置の実行する処理を利用者Ｂの取引装置が実行し、利用者Ｂの取引装置が実行する処理を利用者Ａの取引装置が実行してもよい。また、説明の簡単化のため、各トランザクションのアウトプットには、１つのアウトプットが含まれるものとし、アウトプットをＩｎｄｅｘに応じて参照する処理の説明を省略する。なお、交換する暗号資産の数量（交換数量）は、アトミックスワップの処理の前に利用者と取引相手との間で為替レートなどに基づいて決定してもよい。また、利用者と取引相手とは、アトミックスワップの処理の前にそれぞれお互いのアドレス及び公開鍵を交換してもよい。利用者Ａと利用者Ｂとは、暗号資産の交換数量の決定、並びにアドレス及び公開鍵の交換を、メール及び記録媒体の提供などの任意の通信手段により行ってもよい。
【0034】
ステップ（１）
利用者Ａは乱数によって秘密値Ｒを定め、秘密値Ｒのハッシュ値Ｈ（制約情報）を計算する。
利用者Ａは、「引数の１つが利用者Ｂの公開鍵に対応する電子署名であること（すなわち受取人が利用者Ｂであること）及び、もう１つの引数のＳＨＡ２５６ハッシュ値がハッシュ値Ｈであること」をアンロック条件としたトランザクションＴｘ１を発行し、承認を待つ。
利用者Ｂは、承認されたトランザクションＴｘ１がブロックチェーンに公開されるため、ハッシュ値Ｈを知ることができる。
すなわち、利用者Ａの取引装置１０は、秘密値Ｒをランダムに生成する。また、利用者Ａの取引装置は、秘密値Ｒにハッシュ関数を適用し、ハッシュ値Ｈを生成する。利用者Ａの取引装置が秘密値Ｒをハッシュ化するときに用いられるハッシュ関数は、例えば、ＳＨＡ－２、ＭＤ５、及びＳＨＡ－１などの一方向ハッシュ関数である。特にビットコイン系の暗号資産では、ハッシュ値Ｈの生成にＲＩＰＥＭＤ－１６０というハッシュ関数を使用することも出来る。
ハッシュ関数にＳＨＡ－２を用いる場合、ＳＨＡ２５６を２度適用してハッシュ値Ｈを計算する。ハッシュ値Ｈの計算に際してＳＨＡ２５６を２度適用するのは、上記Ｓｃｒｉｐｔにそのような命令があるためであり、ＳＨＡ２５６の適用は１度であってもよい。
利用者Ａは乱数によって秘密値Ｒを定め、秘密値Ｒのハッシュ値Ｈ（制約情報）を計算する。
利用者Ａは、「引数の１つが利用者Ｂの公開鍵に対応する電子署名であること（すなわち受取人が利用者Ｂであること）及び、もう１つの引数のＳＨＡ２５６ハッシュ値がハッシュ値Ｈであること」をアンロック条件としたトランザクションＴｘ１を発行し、承認を待つ。
利用者Ｂは、承認されたトランザクションＴｘ１がブロックチェーンに公開されるため、ハッシュ値Ｈを知ることができる。
すなわち、利用者Ａの取引装置１０は、秘密値Ｒをランダムに生成する。また、利用者Ａの取引装置は、秘密値Ｒにハッシュ関数を適用し、ハッシュ値Ｈを生成する。利用者Ａの取引装置が秘密値Ｒをハッシュ化するときに用いられるハッシュ関数は、例えば、ＳＨＡ－２、ＭＤ５、及びＳＨＡ－１などの一方向ハッシュ関数である。特にビットコイン系の暗号資産では、ハッシュ値Ｈの生成にＲＩＰＥＭＤ－１６０というハッシュ関数を使用することも出来る。
ハッシュ関数にＳＨＡ－２を用いる場合、ＳＨＡ２５６を２度適用してハッシュ値Ｈを計算する。ハッシュ値Ｈの計算に際してＳＨＡ２５６を２度適用するのは、上記Ｓｃｒｉｐｔにそのような命令があるためであり、ＳＨＡ２５６の適用は１度であってもよい。
【0035】
さらに、利用者Ａの取引装置１０は、ビットコインを利用者Ｂに送金するためのトランザクションＴｘ１を作成する。そして、利用者Ａの取引装置は、作成したトランザクションＴｘ１をネットワーク３０に送信する。これにより、トランザクションＴｘ１は、ネットワーク３０に公開される。
トランザクションＴｘ１のインプットは、利用者Ａの電子署名及び利用者Ａの公開鍵を含むＳｃｒｉｐｔＳｉｇと、アンロックするＵＴＸＯを含む前トランザクションのトランザクションＩＤとを含む。トランザクションＴｘ１のＳｃｒｉｐｔＳｉｇによってアンロックするＵＴＸＯは、利用者Ａが所有するＵＴＸＯである。利用者Ａの電子署名及び利用者Ａの公開鍵は、利用者Ａが所有する秘密鍵を用いて生成される。
トランザクションＴｘ１のアウトプットは、ハッシュ値Ｈ及び利用者Ｂの公開鍵ハッシュを含むＳｃｒｉｐｔＰｕｂＫｅｙを含む。利用者Ｂの公開鍵ハッシュは、利用者Ｂの公開鍵を用いて生成される。利用者Ｂの公開鍵ハッシュとは、利用者Ｂの公開鍵にハッシュ関数を適用して得られるハッシュ値のことである。
トランザクションＴｘ１のインプットは、利用者Ａの電子署名及び利用者Ａの公開鍵を含むＳｃｒｉｐｔＳｉｇと、アンロックするＵＴＸＯを含む前トランザクションのトランザクションＩＤとを含む。トランザクションＴｘ１のＳｃｒｉｐｔＳｉｇによってアンロックするＵＴＸＯは、利用者Ａが所有するＵＴＸＯである。利用者Ａの電子署名及び利用者Ａの公開鍵は、利用者Ａが所有する秘密鍵を用いて生成される。
トランザクションＴｘ１のアウトプットは、ハッシュ値Ｈ及び利用者Ｂの公開鍵ハッシュを含むＳｃｒｉｐｔＰｕｂＫｅｙを含む。利用者Ｂの公開鍵ハッシュは、利用者Ｂの公開鍵を用いて生成される。利用者Ｂの公開鍵ハッシュとは、利用者Ｂの公開鍵にハッシュ関数を適用して得られるハッシュ値のことである。
【0036】
ステップ（２）
利用者Ｂも同様に「引数の１つが利用者Ａの公開鍵に対応する電子署名であること（すなわち受取人が利用者Ａであること）及び、もう１つの引数のＳＨＡ２５６ハッシュ値がＨであること」をアンロック条件としたトランザクションＴｘ２を発行し、承認を待つ。
すなわち、利用者Ｂの取引装置２０は、ライトコインを利用者Ａに送金するためのトランザクションＴｘ２を作成する。そして、利用者Ｂの取引装置は、作成したトランザクションＴｘ２をネットワーク４０に送信する。これにより、トランザクションＴｘ２は、ネットワーク４０に公開される。
利用者Ｂも同様に「引数の１つが利用者Ａの公開鍵に対応する電子署名であること（すなわち受取人が利用者Ａであること）及び、もう１つの引数のＳＨＡ２５６ハッシュ値がＨであること」をアンロック条件としたトランザクションＴｘ２を発行し、承認を待つ。
すなわち、利用者Ｂの取引装置２０は、ライトコインを利用者Ａに送金するためのトランザクションＴｘ２を作成する。そして、利用者Ｂの取引装置は、作成したトランザクションＴｘ２をネットワーク４０に送信する。これにより、トランザクションＴｘ２は、ネットワーク４０に公開される。
【0037】
トランザクションＴｘ２のインプットは、利用者Ｂの電子署名及び利用者Ｂの公開鍵を含むＳｃｒｉｐｔＳｉｇと、アンロックするＵＴＸＯを含む前トランザクションのトランザクションＩＤとを含む。トランザクションＴｘ２のＳｃｒｉｐｔＳｉｇによってアンロックするＵＴＸＯは、利用者Ｂが所有するＵＴＸＯである。利用者Ｂの電子署名及び利用者Ｂの公開鍵は、利用者Ｂが所有する秘密鍵を用いて生成される。
トランザクションＴｘ２のアウトプットは、ハッシュ値Ｈ及び利用者Ａの公開鍵ハッシュを含むＳｃｒｉｐｔＰｕｂＫｅｙを含む。利用者Ａの公開鍵ハッシュは、利用者Ａの公開鍵を用いて生成される。利用者Ａの公開鍵ハッシュとは、利用者Ａの公開鍵にハッシュ関数を適用して得られるハッシュ値のことである。ハッシュ値Ｈは、トランザクションＴｘ１がネットワーク３０に公開されると、利用者Ｂの取引装置によりトランザクションＴｘ１から取得され、トランザクションＴｘ２のアウトプットに記述される。
トランザクションＴｘ２のアウトプットは、ハッシュ値Ｈ及び利用者Ａの公開鍵ハッシュを含むＳｃｒｉｐｔＰｕｂＫｅｙを含む。利用者Ａの公開鍵ハッシュは、利用者Ａの公開鍵を用いて生成される。利用者Ａの公開鍵ハッシュとは、利用者Ａの公開鍵にハッシュ関数を適用して得られるハッシュ値のことである。ハッシュ値Ｈは、トランザクションＴｘ１がネットワーク３０に公開されると、利用者Ｂの取引装置によりトランザクションＴｘ１から取得され、トランザクションＴｘ２のアウトプットに記述される。
【0038】
ステップ（３）
利用者Ａは、利用者Ｂが発行したトランザクションＴｘ２が承認され、取り下げや改ざんができなくなったことを確認する。
利用者Ａ自身の秘密鍵による電子署名を作成し、秘密値Ｒと共にアンロックのための引数として、利用者Ｂが発行したトランザクションＴｘ２のＵＴＸＯを利用して自分自身に送金を行う。すなわち、利用者Ａの取引装置１０は、ライトコインを利用者Ｂの取引装置から受け取るためのトランザクションＴｘ３を作成する。そして、利用者Ａの取引装置は、作成したトランザクションＴｘ３をネットワーク４０に送信する。これにより、トランザクションＴｘ３は、ネットワーク４０に公開される。
トランザクションＴｘ３が承認され改ざんができなくなると共に、秘密値ＲはトランザクションＴｘ３内のデータとしてブロックチェーンに公開されるため、利用者Ｂは秘密値Ｒを知ることができる。なお実際には、上記トランザクションＴｘ３がネットワーク４０に公開され、各ノード装置４００のメモリプールに入った時点で、トランザクションＴｘ３の承認前であっても利用者Ｂは秘密値Ｒを知ることができる。
トランザクションＴｘ３のインプットは、秘密値Ｒ、利用者Ａの公開鍵、及び利用者Ａの電子署名を含むＳｃｒｉｐｔＳｉｇと、アンロックするＵＴＸＯを含むトランザクションＴｘ２を識別するトランザクションＩＤとを含む。
トランザクションＴｘ３のアウトプットは、利用者Ａの公開鍵ハッシュを含むＳｃｒｉｐｔＰｕｂＫｅｙを含む。
利用者Ａは、利用者Ｂが発行したトランザクションＴｘ２が承認され、取り下げや改ざんができなくなったことを確認する。
利用者Ａ自身の秘密鍵による電子署名を作成し、秘密値Ｒと共にアンロックのための引数として、利用者Ｂが発行したトランザクションＴｘ２のＵＴＸＯを利用して自分自身に送金を行う。すなわち、利用者Ａの取引装置１０は、ライトコインを利用者Ｂの取引装置から受け取るためのトランザクションＴｘ３を作成する。そして、利用者Ａの取引装置は、作成したトランザクションＴｘ３をネットワーク４０に送信する。これにより、トランザクションＴｘ３は、ネットワーク４０に公開される。
トランザクションＴｘ３が承認され改ざんができなくなると共に、秘密値ＲはトランザクションＴｘ３内のデータとしてブロックチェーンに公開されるため、利用者Ｂは秘密値Ｒを知ることができる。なお実際には、上記トランザクションＴｘ３がネットワーク４０に公開され、各ノード装置４００のメモリプールに入った時点で、トランザクションＴｘ３の承認前であっても利用者Ｂは秘密値Ｒを知ることができる。
トランザクションＴｘ３のインプットは、秘密値Ｒ、利用者Ａの公開鍵、及び利用者Ａの電子署名を含むＳｃｒｉｐｔＳｉｇと、アンロックするＵＴＸＯを含むトランザクションＴｘ２を識別するトランザクションＩＤとを含む。
トランザクションＴｘ３のアウトプットは、利用者Ａの公開鍵ハッシュを含むＳｃｒｉｐｔＰｕｂＫｅｙを含む。
【0039】
利用者Ｂが送金したライトコインの所有を利用者Ａに移転する処理について、一例として、トランザクションＴｘ３を用いてトランザクションＴｘ２のＵＴＸＯをアンロックし、アンロックしたＵＴＸＯを利用者Ａのアドレスにロックする処理を説明する。利用者Ａのアドレスとは、例えば、利用者Ａの公開鍵ハッシュを変換した値である。
ノード装置４００は、トランザクションＴｘ３がネットワーク４０に送信されると、トランザクションＴｘ３に含まれるトランザクションＩＤに対応するトランザクションＴｘ２のＵＴＸＯ（アウトプット）を参照する。また、ノード装置４００は、トランザクションＴｘ３のＳｃｒｉｐｔＳｉｇに含まれる秘密値Ｒにハッシュ関数を適用して、ハッシュ値を求める。そして、ノード装置４００は、求めたハッシュ値と、トランザクションＴｘ２のＳｃｒｉｐｔＰｕｂＫｅｙに含まれるハッシュ値Ｈとが一致するか否かの第１検証を実行する。ノード装置４００が秘密値Ｒのハッシュ値を求めるときに用いるハッシュ関数は、利用者Ａの取引装置が秘密値Ｒをハッシュ化するときに用いるハッシュ関数と同じハッシュ関数である。
ノード装置４００は、トランザクションＴｘ３がネットワーク４０に送信されると、トランザクションＴｘ３に含まれるトランザクションＩＤに対応するトランザクションＴｘ２のＵＴＸＯ（アウトプット）を参照する。また、ノード装置４００は、トランザクションＴｘ３のＳｃｒｉｐｔＳｉｇに含まれる秘密値Ｒにハッシュ関数を適用して、ハッシュ値を求める。そして、ノード装置４００は、求めたハッシュ値と、トランザクションＴｘ２のＳｃｒｉｐｔＰｕｂＫｅｙに含まれるハッシュ値Ｈとが一致するか否かの第１検証を実行する。ノード装置４００が秘密値Ｒのハッシュ値を求めるときに用いるハッシュ関数は、利用者Ａの取引装置が秘密値Ｒをハッシュ化するときに用いるハッシュ関数と同じハッシュ関数である。
【0040】
また、ノード装置４００は、トランザクションＴｘ３のＳｃｒｉｐｔＳｉｇに含まれる利用者Ａの公開鍵にハッシュ関数を適用して得られるハッシュ値を求める。そして、ノード装置４００は、求めたハッシュ値と、トランザクションＴｘ２のＳｃｒｉｐｔＰｕｂＫｅｙに含まれる利用者Ａの公開鍵ハッシュとが一致するか否かの第２検証を実行する。さらに、ノード装置４００は、トランザクションＴｘ３のＳｃｒｉｐｔＳｉｇに含まれる利用者Ａの電子署名と利用者Ａの公開鍵とを用いて電子署名の検証をする第３検証を実行する。
ノード装置４００は、上記の第１検証、第２検証及び第３検証が成功すると、トランザクションＴｘ２のＵＴＸＯを利用者Ａのアドレスにロックする。すなわち、ノード装置４００は、利用者Ａがライトコインを受け取ったことを示すアウトプットを作成し、作成したアウトプットをトランザクションＴｘ３に含まれる、利用者Ａが所有するＵＴＸＯとしてロックする。これにより、ライトコインの所有は、利用者Ｂから利用者Ａに移転する。
ノード装置４００は、上記の第１検証、第２検証及び第３検証が成功すると、トランザクションＴｘ２のＵＴＸＯを利用者Ａのアドレスにロックする。すなわち、ノード装置４００は、利用者Ａがライトコインを受け取ったことを示すアウトプットを作成し、作成したアウトプットをトランザクションＴｘ３に含まれる、利用者Ａが所有するＵＴＸＯとしてロックする。これにより、ライトコインの所有は、利用者Ｂから利用者Ａに移転する。
【0041】
トランザクションＴｘ１のＳｃｒｉｐｔＰｕｂＫｅｙには、所定の時間経過後にトランザクションＴｘ１のアウトプットがＵＴＸＯのままであった場合、利用者Ａの公開鍵を用いて、利用者Ａにビットコインを戻す処理を実行するプログラムを含んでもよい。これにより、利用者Ａの取引装置は、取引が成立しないとき、所定の時間経過後に利用者Ａのアドレスにビットコインを戻すことができる。以下の説明では、暗号資産が戻される処理を実行するプログラムをｒｅｆｕｎｄ ｓｃｒｉｐｔともいう。一方、取引が成立するときに、暗号資産が移転される処理を実行するプログラムをｒｅｄｅｅｍ ｓｃｒｉｐｔともいう。
【0042】
ステップ（４）
利用者Ｂ自身の秘密鍵による電子署名と秘密値Ｒによって、トランザクションＴｘ１のＵＴＸＯをアンロックし、利用者Ｂ自身に送金する。
すなわち、利用者Ｂの取引装置は、利用者Ａによってネットワーク４０に公開されたトランザクションＴｘ３に含まれる秘密値Ｒを取得し、ビットコインを利用者Ａの取引装置から受け取るためのトランザクションＴｘ４を作成する。そして、利用者Ｂの取引装置は、作成したトランザクションＴｘ４をネットワーク３０に送信する。これにより、トランザクションＴｘ４は、ネットワーク３０に公開される。
トランザクションＴｘ４のインプットは、秘密値Ｒ、利用者Ｂの公開鍵、及び利用者Ｂの電子署名を含むＳｃｒｉｐｔＳｉｇと、アンロックするＵＴＸＯを含むトランザクションＴｘ１を識別するトランザクションＩＤとを含む。
トランザクションＴｘ４のアウトプットは、利用者Ｂの公開鍵ハッシュを含むＳｃｒｉｐｔＰｕｂＫｅｙを含む。
利用者Ｂ自身の秘密鍵による電子署名と秘密値Ｒによって、トランザクションＴｘ１のＵＴＸＯをアンロックし、利用者Ｂ自身に送金する。
すなわち、利用者Ｂの取引装置は、利用者Ａによってネットワーク４０に公開されたトランザクションＴｘ３に含まれる秘密値Ｒを取得し、ビットコインを利用者Ａの取引装置から受け取るためのトランザクションＴｘ４を作成する。そして、利用者Ｂの取引装置は、作成したトランザクションＴｘ４をネットワーク３０に送信する。これにより、トランザクションＴｘ４は、ネットワーク３０に公開される。
トランザクションＴｘ４のインプットは、秘密値Ｒ、利用者Ｂの公開鍵、及び利用者Ｂの電子署名を含むＳｃｒｉｐｔＳｉｇと、アンロックするＵＴＸＯを含むトランザクションＴｘ１を識別するトランザクションＩＤとを含む。
トランザクションＴｘ４のアウトプットは、利用者Ｂの公開鍵ハッシュを含むＳｃｒｉｐｔＰｕｂＫｅｙを含む。
【0043】
利用者Ａが送金したビットコインの所有を利用者Ｂに移転する処理について、一例として、トランザクションＴｘ４を用いてトランザクションＴｘ１のＵＴＸＯをアンロックし、アンロックしたＵＴＸＯを利用者Ｂのアドレスにロックする処理を説明する。利用者Ｂのアドレスとは、例えば、利用者Ｂの公開鍵ハッシュを変換した値である。
ノード装置３００は、トランザクションＴｘ４がネットワーク３０に送信されると、トランザクションＴｘ４に含まれるトランザクションＩＤに対応するトランザクションＴｘ１のＵＴＸＯ（アウトプット）を参照する。また、ノード装置３００は、トランザクションＴｘ４のＳｃｒｉｐｔＳｉｇに含まれる秘密値Ｒにハッシュ関数を適用して、ハッシュ値を求める。そして、ノード装置３００は、求めたハッシュ値と、トランザクションＴｘ１のＳｃｒｉｐｔＰｕｂＫｅｙに含まれるハッシュ値Ｈとが一致するか否かの第４検証を実行する。ノード装置３００が秘密値Ｒのハッシュ値を求めるときに用いるハッシュ関数は、利用者Ａの取引装置が秘密値Ｒをハッシュ化するときに用いるハッシュ関数と同じハッシュ関数である。
ノード装置３００は、トランザクションＴｘ４がネットワーク３０に送信されると、トランザクションＴｘ４に含まれるトランザクションＩＤに対応するトランザクションＴｘ１のＵＴＸＯ（アウトプット）を参照する。また、ノード装置３００は、トランザクションＴｘ４のＳｃｒｉｐｔＳｉｇに含まれる秘密値Ｒにハッシュ関数を適用して、ハッシュ値を求める。そして、ノード装置３００は、求めたハッシュ値と、トランザクションＴｘ１のＳｃｒｉｐｔＰｕｂＫｅｙに含まれるハッシュ値Ｈとが一致するか否かの第４検証を実行する。ノード装置３００が秘密値Ｒのハッシュ値を求めるときに用いるハッシュ関数は、利用者Ａの取引装置が秘密値Ｒをハッシュ化するときに用いるハッシュ関数と同じハッシュ関数である。
【0044】
また、ノード装置３００は、トランザクションＴｘ４のＳｃｒｉｐｔＳｉｇに含まれる利用者Ｂの公開鍵にハッシュ関数を適用して得られるハッシュ値を求める。そして、ノード装置３００は、求めたハッシュ値と、トランザクションＴｘ１のＳｃｒｉｐｔＰｕｂＫｅｙに含まれる利用者Ｂの公開鍵ハッシュとが一致するか否かの第５検証を実行する。さらに、ノード装置３００は、トランザクションＴｘ４のＳｃｒｉｐｔＳｉｇに含まれる利用者Ｂの電子署名と利用者Ｂの公開鍵とを用いて電子署名の検証をする第６検証を実行する。
【0045】
ノード装置３００は、上記の第４検証、第５検証及び第６検証が成功すると、トランザクションＴｘ１のＵＴＸＯを利用者Ｂのアドレスにロックする。すなわち、ノード装置３００は、利用者Ｂがビットコインを受け取ったことを示すアウトプットを作成し、作成したアウトプットをトランザクションＴｘ４に含まれる、利用者Ｂが所有するＵＴＸＯとしてロックする。これにより、ビットコインの所有は、利用者Ａから利用者Ｂに移転する。
【0046】
トランザクションＴｘ２のＳｃｒｉｐｔＰｕｂＫｅｙには、所定の時間経過後にトランザクションＴｘ２のアウトプットがＵＴＸＯのままであった場合、利用者Ｂの公開鍵を用いて、利用者Ｂにライトコインを戻す処理を実行するプログラムを含んでもよい。これにより、利用者Ｂの取引装置は、取引が成立しないとき、所定の時間経過後に利用者Ｂのアドレスにライトコインを戻すことができる。
【0047】
利用者Ａ、利用者Ｂの取引装置が夫々作成するトランザクションＴｘ１、Ｔｘ２のＵＴＸＯのアンロック条件を示すＳｃｒｉｐｔＰｕｂＫｅｙは、以下のようなプログラムとなる。
１．ＯＰ＿ＨＡＳＨ２５６
２．ＯＰ＿ＰＵＳＨ Ｈ
３．ＯＰ＿ＥＱＵＡＬＶＥＲＩＦＹ
４．ＯＰ＿ＰＵＳＨ 公開鍵
５．ＯＰ＿ＣＨＥＣＫＳＩＧ
１．～３．の命令群では、引数のハッシュ値を計算してハッシュ値Ｈと比較している。４．、５．は、最もシンプルな送金手法であるＰ２ＰＫ（ｐａｙ－ｔｏ－ｐｕｂｋｅｙ）形式であるが、Ｐ２ＰＫＨ（ｐａｙ－ｔｏ－ｐｕｂｋｅｙ－ｈａｓｈ）形式のものでも良い。なお、ＨＡＳＨ２５６は使用するハッシュ関数によって変化する。ＳｃｒｉｐｔＰｕｂＫｅｙには、ＥＱＵＡＬとＶＥＲＩＦＹの２命令に分かれるパターンもある。
１．ＯＰ＿ＨＡＳＨ２５６
２．ＯＰ＿ＰＵＳＨ Ｈ
３．ＯＰ＿ＥＱＵＡＬＶＥＲＩＦＹ
４．ＯＰ＿ＰＵＳＨ 公開鍵
５．ＯＰ＿ＣＨＥＣＫＳＩＧ
１．～３．の命令群では、引数のハッシュ値を計算してハッシュ値Ｈと比較している。４．、５．は、最もシンプルな送金手法であるＰ２ＰＫ（ｐａｙ－ｔｏ－ｐｕｂｋｅｙ）形式であるが、Ｐ２ＰＫＨ（ｐａｙ－ｔｏ－ｐｕｂｋｅｙ－ｈａｓｈ）形式のものでも良い。なお、ＨＡＳＨ２５６は使用するハッシュ関数によって変化する。ＳｃｒｉｐｔＰｕｂＫｅｙには、ＥＱＵＡＬとＶＥＲＩＦＹの２命令に分かれるパターンもある。
【0048】
このＵＴＸＯをアンロックするための、対応するＳｃｒｉｐｔＳｉｇは以下の通りとなる。
１．ＯＰ＿ＰＵＳＨ 電子署名
２．ＯＰ＿ＰＵＳＨ Ｒ
このＳｃｒｉｐｔＳｉｇがなければトランザクションＴｘ２のＵＴＸＯをアンロックできないことからも、利用者Ａが受け取った時点で秘密値Ｒが公開される。
また、何らかの事情で利用者Ａが秘密値Ｒを公開しなかった場合、利用者Ａも利用者Ｂも双方の暗号資産を取り出すことができなくなり、暗号資産の所有権が宙に浮いてしまう。そのため、実用上は「もしくは、一定期間が過ぎた場合、送金主の公開鍵に対応する電子署名によって取り戻すことができる」という条件を追加する。
すなわち、下記の送金トランザクションのＳｃｒｉｐｔＰｕｂＫｅｙは上記と同様にハッシュ値Ｈを記載している。そして、暗号資産の受領者（宛先）は、下記のようにハッシュ値Ｈに対応する秘密値Ｒを一定期間内に公開することで、送金トラザンクションのＵＴＸＯをアンロックできるよう。一方、秘密値を一定期間内に公開しない場合には、受領者（宛先）はＵＴＸＯをアンロックできず送金主が暗号資産を取り戻すことができる。このような仕組みは、ＨＴＬＣ（Ｈａｓｈｅｄ Ｔｉｍｅ－Ｌｏｃｋｅｄ Ｃｏｎｔｒａｃｔｓ）と呼ばれている。
具体的には、ＳｃｒｉｐｔＰｕｂＫｅｙを例えば以下のようにする。なお下記とは異なるＳｃｒｉｐｔＰｕｂＫｅｙの記載がＢＩＰ－１９９で規格化されている。
１．ＯＰ＿ＩＦ
２．ＯＰ＿ＨＡＳＨ２５６
３．ＯＰ＿ＰＵＳＨ Ｈ
４．ＯＰ＿ＥＱＵＡＬＶＥＲＩＦＹ
５．ＯＰ＿ＰＵＳＨ 宛先公開鍵
６．ＯＰ＿ＣＨＥＣＫＳＩＧ
７．ＯＰ＿ＥＬＳＥ
８．ＯＰ＿ＣＨＥＣＫＬＯＣＫＴＩＭＥＶＥＲＩＦＹ
９．ＯＰ＿ＰＵＳＨ 送金主公開鍵
１０．ＯＰ＿ＣＨＥＣＫＳＩＧ
１１．ＯＰ＿ＥＮＤＩＦ
ＩＦ命令で分岐して、後述の２種類のＳｃｒｉｐｔＳｉｇを受け付ける。
１．ＯＰ＿ＰＵＳＨ 電子署名
２．ＯＰ＿ＰＵＳＨ Ｒ
このＳｃｒｉｐｔＳｉｇがなければトランザクションＴｘ２のＵＴＸＯをアンロックできないことからも、利用者Ａが受け取った時点で秘密値Ｒが公開される。
また、何らかの事情で利用者Ａが秘密値Ｒを公開しなかった場合、利用者Ａも利用者Ｂも双方の暗号資産を取り出すことができなくなり、暗号資産の所有権が宙に浮いてしまう。そのため、実用上は「もしくは、一定期間が過ぎた場合、送金主の公開鍵に対応する電子署名によって取り戻すことができる」という条件を追加する。
すなわち、下記の送金トランザクションのＳｃｒｉｐｔＰｕｂＫｅｙは上記と同様にハッシュ値Ｈを記載している。そして、暗号資産の受領者（宛先）は、下記のようにハッシュ値Ｈに対応する秘密値Ｒを一定期間内に公開することで、送金トラザンクションのＵＴＸＯをアンロックできるよう。一方、秘密値を一定期間内に公開しない場合には、受領者（宛先）はＵＴＸＯをアンロックできず送金主が暗号資産を取り戻すことができる。このような仕組みは、ＨＴＬＣ（Ｈａｓｈｅｄ Ｔｉｍｅ－Ｌｏｃｋｅｄ Ｃｏｎｔｒａｃｔｓ）と呼ばれている。
具体的には、ＳｃｒｉｐｔＰｕｂＫｅｙを例えば以下のようにする。なお下記とは異なるＳｃｒｉｐｔＰｕｂＫｅｙの記載がＢＩＰ－１９９で規格化されている。
１．ＯＰ＿ＩＦ
２．ＯＰ＿ＨＡＳＨ２５６
３．ＯＰ＿ＰＵＳＨ Ｈ
４．ＯＰ＿ＥＱＵＡＬＶＥＲＩＦＹ
５．ＯＰ＿ＰＵＳＨ 宛先公開鍵
６．ＯＰ＿ＣＨＥＣＫＳＩＧ
７．ＯＰ＿ＥＬＳＥ
８．ＯＰ＿ＣＨＥＣＫＬＯＣＫＴＩＭＥＶＥＲＩＦＹ
９．ＯＰ＿ＰＵＳＨ 送金主公開鍵
１０．ＯＰ＿ＣＨＥＣＫＳＩＧ
１１．ＯＰ＿ＥＮＤＩＦ
ＩＦ命令で分岐して、後述の２種類のＳｃｒｉｐｔＳｉｇを受け付ける。
【0049】
通常通り取引が進んだ場合は、以下のＳｃｒｉｐｔＳｉｇでアンロックが可能である。
１．ＯＰ＿ＰＵＳＨ 宛先秘密鍵の電子署名
２．ＯＰ＿ＰＵＳＨ Ｒ
３．ＯＰ＿ＰＵＳＨ １
このプログラムは、ｒｅｄｅｅｍ ｓｃｒｉｐｔと呼ばれる。
最後の１をＯＰ＿ＩＦが読み取り、前半のプログラムが実行される。
何らかの理由で秘密値Ｒが公開されなかった場合は、以下のＳｃｒｉｐｔＳｉｇで暗号資産を取り戻せる。
１．ＯＰ＿ＰＵＳＨ 送信主秘密鍵の電子署名
２．ＯＰ＿ＰＵＳＨ ０
このプログラムは、ｒｅｆｕｎｄ ｓｃｒｉｐｔと呼ばれる。
最後の０をＯＰ＿ＩＦが読み取り、ＯＰ＿ＥＬＳＥ以降のプログラムが実行され、取り戻しが行われる。ただし、ＯＰ＿ＣＨＥＣＫＬＯＣＫＴＩＭＥＶＥＲＩＦＹが含まれているため、一定期間経過後である必要がある。
１．ＯＰ＿ＰＵＳＨ 宛先秘密鍵の電子署名
２．ＯＰ＿ＰＵＳＨ Ｒ
３．ＯＰ＿ＰＵＳＨ １
このプログラムは、ｒｅｄｅｅｍ ｓｃｒｉｐｔと呼ばれる。
最後の１をＯＰ＿ＩＦが読み取り、前半のプログラムが実行される。
何らかの理由で秘密値Ｒが公開されなかった場合は、以下のＳｃｒｉｐｔＳｉｇで暗号資産を取り戻せる。
１．ＯＰ＿ＰＵＳＨ 送信主秘密鍵の電子署名
２．ＯＰ＿ＰＵＳＨ ０
このプログラムは、ｒｅｆｕｎｄ ｓｃｒｉｐｔと呼ばれる。
最後の０をＯＰ＿ＩＦが読み取り、ＯＰ＿ＥＬＳＥ以降のプログラムが実行され、取り戻しが行われる。ただし、ＯＰ＿ＣＨＥＣＫＬＯＣＫＴＩＭＥＶＥＲＩＦＹが含まれているため、一定期間経過後である必要がある。
【0050】
なお、この例ではＯＰ＿ＨＡＳＨ２５６を利用しているためハッシュ値ＨはＳＨＡ２５６（ＳＨＡ２５６（Ｒ））とするが、ＯＰ＿ＳＨＡ２５６を利用する場合ハッシュ値ＨはＳＨＡ２５６（Ｒ）とする。
他にもいくつかハッシュ関数を計算する命令が存在するため、ハッシュ値Ｈの計算方法はそれに合わせたものにする必要がある。
以上の手順に従えば、利用者Ａが暗号資産を受け取るためには秘密値Ｒを公開せざるを得ず、秘密値Ｒが公開されると同時に利用者Ｂも暗号資産を受け取ることができることとなる。
利用者Ａが秘密値Ｒを公開しない場合、利用者Ａは利用者Ｂの暗号資産を受け取ることができないので、秘密値Ｒの公開が強制されている、と見ることもできる。
他にもいくつかハッシュ関数を計算する命令が存在するため、ハッシュ値Ｈの計算方法はそれに合わせたものにする必要がある。
以上の手順に従えば、利用者Ａが暗号資産を受け取るためには秘密値Ｒを公開せざるを得ず、秘密値Ｒが公開されると同時に利用者Ｂも暗号資産を受け取ることができることとなる。
利用者Ａが秘密値Ｒを公開しない場合、利用者Ａは利用者Ｂの暗号資産を受け取ることができないので、秘密値Ｒの公開が強制されている、と見ることもできる。
【0051】
アトミックスワップは、本来は異なるブロックチェーンの間でトラストレス（信用する第三者を置かない）にて暗号資産を交換する技術であるが、一旦仮の送金を確定してから秘密情報の受け渡しによって送金を確定する点にその本質があると言える。
アトミックスワップの一方向だけを見ると、一旦、受領者の電子署名と、送金者（購入者）から知らされる秘密値Ｒの２つがアンロックの条件となるトランザクションを作成する。
取引成立時に知らされる秘密値Ｒによって、受領者は自分の電子署名のみでアンロック可能なトランザクションへ接続することで、アトミックスワップによる送金が完了する。
アトミックスワップの一方向だけを見ると、一旦、受領者の電子署名と、送金者（購入者）から知らされる秘密値Ｒの２つがアンロックの条件となるトランザクションを作成する。
取引成立時に知らされる秘密値Ｒによって、受領者は自分の電子署名のみでアンロック可能なトランザクションへ接続することで、アトミックスワップによる送金が完了する。
【0052】
本実施形態では、この仕組みを応用して下記に説明するクレジットカード支払いに類似した決済システムを実現する。そして、暗号資産の送金による決済に関する決済完了までの利用者（購入者）の待ち時間を解消し、暗号資産を用いた決済をより実用的なものとする。
クレジットカードの支払いは、決済処理（以下、単にオーソリと記載する）と売り上げ処理の２段階に分かれている。オーソリ処理では、クレジットカードの与信枠を確保する。売り上げ処理では、確保された与信枠から実際の支払いが行われる。
このようなクレジットカードの支払いのスキームと、アトミックスワップは、本質的に近い機能を持っていると考えることが出来る。
下記に説明するように、本実施形態のシステムでは、購入者による事前支払いと決済装置８０による決済の２段階でトランザクションを発行する。
購入者は、商品の提供側（決済側）の電子署名と秘密値をアンロック条件とする事前支払い用の第１トランザクションＴｘＡを公開して事前支払い（送金）を行う。これが暗号資産の仮押さえ、すなわちオーソリに対応する。
それから一定時間が経過後、すなわち第１トランザクションＴｘＡの書き換えが実質的に不可能となったタイミング以降に、購入者は商品の提供側（決済側）に秘密値Ｒを提示する。決済側は、秘密値Ｒを公開して第１トランザクションＴｘＡをアンロックする、決済用の第２トランザクションＴｘＢを公開して決済を完了する。
上記のように、購入者が秘密値Ｒを決済側に提示した時点では第１トランザクションＴｘＡを取り消すことは出来ない。したがって、第２トランザクションＴｘＢに関しては、ブロックチェーンにおいて承認数が増えるのを待つ必要はなく、即時決済を行って商品やサービスを提供することが出来る。仮に第２トランザクションＴｘＢが取り消されたとしても、決済側は再び第２トランザクションＴｘＢを公開して暗号資産を受け取ることができるからである。
クレジットカードの支払いは、決済処理（以下、単にオーソリと記載する）と売り上げ処理の２段階に分かれている。オーソリ処理では、クレジットカードの与信枠を確保する。売り上げ処理では、確保された与信枠から実際の支払いが行われる。
このようなクレジットカードの支払いのスキームと、アトミックスワップは、本質的に近い機能を持っていると考えることが出来る。
下記に説明するように、本実施形態のシステムでは、購入者による事前支払いと決済装置８０による決済の２段階でトランザクションを発行する。
購入者は、商品の提供側（決済側）の電子署名と秘密値をアンロック条件とする事前支払い用の第１トランザクションＴｘＡを公開して事前支払い（送金）を行う。これが暗号資産の仮押さえ、すなわちオーソリに対応する。
それから一定時間が経過後、すなわち第１トランザクションＴｘＡの書き換えが実質的に不可能となったタイミング以降に、購入者は商品の提供側（決済側）に秘密値Ｒを提示する。決済側は、秘密値Ｒを公開して第１トランザクションＴｘＡをアンロックする、決済用の第２トランザクションＴｘＢを公開して決済を完了する。
上記のように、購入者が秘密値Ｒを決済側に提示した時点では第１トランザクションＴｘＡを取り消すことは出来ない。したがって、第２トランザクションＴｘＢに関しては、ブロックチェーンにおいて承認数が増えるのを待つ必要はなく、即時決済を行って商品やサービスを提供することが出来る。仮に第２トランザクションＴｘＢが取り消されたとしても、決済側は再び第２トランザクションＴｘＢを公開して暗号資産を受け取ることができるからである。
【0053】
以上のように本実施形態では、クレジットカードのオーソリに対応する処理をブロックチェーンで行うことにより、暗号資産を仮押さえする。送金の意思をブロックチェーンにより担保することにより、提供側は安心して商品やサービスを提供できる。
その後、秘密情報（秘密値Ｒ）を購入者から決済側に受け渡すことによって送金を確定するので、送金の承認にかかる時間の起点は仮押さえの時点までさかのぼる。
よって、例えばサービスの提供と支払いまでの間にタイムラグがある喫茶店等での決済のように、仮押さえからの時間を十分とれる用途であれば、承認待ちの時間を見かけ上ゼロにすることができる。
購入者が商品やサービスの提供を受けている間にオーソリに関する第１トランザクションＴｘＡの承認が終了しており、秘密値Ｒの提示による決済の開始から完了まで無為に待機する必要がなく、利便性を非常に高めることが出来る。
その後、秘密情報（秘密値Ｒ）を購入者から決済側に受け渡すことによって送金を確定するので、送金の承認にかかる時間の起点は仮押さえの時点までさかのぼる。
よって、例えばサービスの提供と支払いまでの間にタイムラグがある喫茶店等での決済のように、仮押さえからの時間を十分とれる用途であれば、承認待ちの時間を見かけ上ゼロにすることができる。
購入者が商品やサービスの提供を受けている間にオーソリに関する第１トランザクションＴｘＡの承認が終了しており、秘密値Ｒの提示による決済の開始から完了まで無為に待機する必要がなく、利便性を非常に高めることが出来る。
【0054】
以下に、アトミックスワップを応用した本実施形態の決済システムを説明する。
アトミックスワップにおいて、二重使用をされない限りは秘密値Ｒを再利用することができない。従って、本実施形態の決済システムは、ブロックチェーン上で異なる暗号資産を交換するアトミックスワップを応用し、あるいはこれらに準拠して、秘密値Ｒを、事前支払いまたは仮押さえの事実を証明、識別するＩＤ情報として用いる。
ブロックチェーンはＰ２Ｐシステムで構築されているため、ＩＤ情報を管理するための管理用データベースサーバが不要である。本実施形態の決済システムは、ＩＤ情報を管理するためのデータベースサーバの立ち上げ、保守運用管理のコストがかからないという利点がある。
なお、暗号資産の交換取引の場合とは異なり、図１に示すネットワークのうち、決済装置８０への送金に用いる暗号資産のネットワークのみ（ここでは、ネットワーク３０）が用いられる。
アトミックスワップにおいて、二重使用をされない限りは秘密値Ｒを再利用することができない。従って、本実施形態の決済システムは、ブロックチェーン上で異なる暗号資産を交換するアトミックスワップを応用し、あるいはこれらに準拠して、秘密値Ｒを、事前支払いまたは仮押さえの事実を証明、識別するＩＤ情報として用いる。
ブロックチェーンはＰ２Ｐシステムで構築されているため、ＩＤ情報を管理するための管理用データベースサーバが不要である。本実施形態の決済システムは、ＩＤ情報を管理するためのデータベースサーバの立ち上げ、保守運用管理のコストがかからないという利点がある。
なお、暗号資産の交換取引の場合とは異なり、図１に示すネットワークのうち、決済装置８０への送金に用いる暗号資産のネットワークのみ（ここでは、ネットワーク３０）が用いられる。
【0055】
図１に示すシステムにおいて、購入者装置７０は、商品やサービスを購入する利用者としての購入者が利用する携帯端末等の装置である。
決済装置８０は、商品やサービスを購入する店舗等に設置される装置である。決済装置８０は、店舗の従業員が操作するレジスターであってもよいし、店舗に設置される自動販売機のようなものであってもよい。
購入者あるいは購入者装置７０は秘密値Ｒを決定し、アンロックにこの秘密値Ｒと決済装置８０の電子署名を必要とする（受領者が決済装置８０に限定される）第１トランザクションＴｘＡを公開する。第１トランザクションＴｘＡは、上記したアトミックスワップに準じたトランザクションである。
また、第１トランザクションＴｘＡは、商品やサービスの対価に相当する額の暗号資産を決済装置８０に送金するためのトランザクションである。ＳｃｒｉｐｔＰｕｂＫｅｙ（アウトプット）に送金額を記載し、購入者装置７０の電子署名を含んでいる。
決済装置８０は、商品やサービスを購入する店舗等に設置される装置である。決済装置８０は、店舗の従業員が操作するレジスターであってもよいし、店舗に設置される自動販売機のようなものであってもよい。
購入者あるいは購入者装置７０は秘密値Ｒを決定し、アンロックにこの秘密値Ｒと決済装置８０の電子署名を必要とする（受領者が決済装置８０に限定される）第１トランザクションＴｘＡを公開する。第１トランザクションＴｘＡは、上記したアトミックスワップに準じたトランザクションである。
また、第１トランザクションＴｘＡは、商品やサービスの対価に相当する額の暗号資産を決済装置８０に送金するためのトランザクションである。ＳｃｒｉｐｔＰｕｂＫｅｙ（アウトプット）に送金額を記載し、購入者装置７０の電子署名を含んでいる。
【0056】
購入者装置７０の電子署名は、第１トランザクションＴｘＡのインプット（ＳｃｒｉｐｔＳｉｇ）に記載してもいいし、ＯＰ＿ＲＥＴＵＲＮに付加情報として記載してもよい。
決済装置８０は、秘密値Ｒを提示され、第１トランザクションＴｘＡが、購入者装置７０の電子署名を含むことを確認すると、商品やサービス等を購入者に提供する。
そして、決済装置８０は、秘密値Ｒを含む第１トランザクションＴｘＡに対応する第２トランザクションＴｘＢを公開する。
決済装置８０は、秘密値Ｒを提示され、第１トランザクションＴｘＡが、購入者装置７０の電子署名を含むことを確認すると、商品やサービス等を購入者に提供する。
そして、決済装置８０は、秘密値Ｒを含む第１トランザクションＴｘＡに対応する第２トランザクションＴｘＢを公開する。
【0057】
以下、本実施形態の決済システムを詳細に説明する。
本実施形態では、アトミックスワップの技術を応用してオーソリと決済とを分離する。
説明の簡単化のため、ブロックチェーンを介した送金処理における各トランザクションのアウトプットには、１つのアウトプットが含まれるものとし、アウトプットをＩｎｄｅｘに応じて参照する処理の説明を省略する。
図４は、本実施形態の第１実施例の決済処理の流れを説明する図である。
以下の説明では、トランザクションスクリプトとして、Ｐ２ＰＫＨを用いるものとして説明する。
ステップ（１１）において、購入者自らが秘密値Ｒを作成し、あるいは購入者の端末装置（購入者装置７０）を用いて秘密値Ｒをランダムに決定する。また購入者装置７０は、購入者装置７０の秘密鍵Ｐｒｋ＿Ａから電子署名Ｓｉｇ＿Ａを作成する。また購入者装置７０は、決定した秘密値Ｒにハッシュ関数を適用してハッシュ値Ｈを生成する。
本実施形態では、アトミックスワップの技術を応用してオーソリと決済とを分離する。
説明の簡単化のため、ブロックチェーンを介した送金処理における各トランザクションのアウトプットには、１つのアウトプットが含まれるものとし、アウトプットをＩｎｄｅｘに応じて参照する処理の説明を省略する。
図４は、本実施形態の第１実施例の決済処理の流れを説明する図である。
以下の説明では、トランザクションスクリプトとして、Ｐ２ＰＫＨを用いるものとして説明する。
ステップ（１１）において、購入者自らが秘密値Ｒを作成し、あるいは購入者の端末装置（購入者装置７０）を用いて秘密値Ｒをランダムに決定する。また購入者装置７０は、購入者装置７０の秘密鍵Ｐｒｋ＿Ａから電子署名Ｓｉｇ＿Ａを作成する。また購入者装置７０は、決定した秘密値Ｒにハッシュ関数を適用してハッシュ値Ｈを生成する。
【0058】
ステップ（１２）において購入者装置７０は第１トランザクションＴｘＡを作成する。
第１トランザクションＴｘＡは、決済装置８０の電子署名Ｓｉｇ＿Ｂ、秘密値Ｒを、対応する第２トランザクションＴｘＢのＳｃｒｉｐｔＳｉｇに記載することを条件にアンロック可能なトランザクションである。第１トランザクションＴｘＡの受領者は決済装置８０に限定される。
第１トランザクションＴｘＡのＳｃｒｉｐｔＰｕｂＫｅｙに、決済装置８０の公開鍵、ハッシュ値Ｈを記載し、ＳｃｒｉｐｔＳｉｇに電子署名Ｓｉｇ＿Ａを記載する。
第１トランザクションＴｘＡのＳｃｒｉｐｔＳｉｇに電子署名Ｓｉｇ＿Ａを記載する。
購入者装置７０は、作成した第１トランザクションＴｘＡをブロックチェーン（ネットワーク３０）に公開する。
第１トランザクションＴｘＡは、決済装置８０の電子署名Ｓｉｇ＿Ｂ、秘密値Ｒを、対応する第２トランザクションＴｘＢのＳｃｒｉｐｔＳｉｇに記載することを条件にアンロック可能なトランザクションである。第１トランザクションＴｘＡの受領者は決済装置８０に限定される。
第１トランザクションＴｘＡのＳｃｒｉｐｔＰｕｂＫｅｙに、決済装置８０の公開鍵、ハッシュ値Ｈを記載し、ＳｃｒｉｐｔＳｉｇに電子署名Ｓｉｇ＿Ａを記載する。
第１トランザクションＴｘＡのＳｃｒｉｐｔＳｉｇに電子署名Ｓｉｇ＿Ａを記載する。
購入者装置７０は、作成した第１トランザクションＴｘＡをブロックチェーン（ネットワーク３０）に公開する。
【0059】
ステップ（１３）において、購入者は、購入者装置７０が第１トランザクションＴｘＡを公開したブロックチェーンの改ざん成功確率が十分に低くなるまで待ってから、秘密値Ｒを決済装置８０に対して提示する。購入者が所持する携帯端末（購入者装置７０）の画面にＱＲコード（登録商標）やバーコードとして表示可能としてもよい。
購入者が、第１トランザクションＴｘＡを公開したブロックチェーンの改ざん成功確率が十分に低くなるまで待機する理由は以下の通りである。すなわち、第１トランザクションＴｘＡが公開されなかった新たなブロックチェーンを作り、十分なハッシュレートでマイニングを進めることで、ブロックチェーンに取り込まれた第１トランザクションＴｘＡをなかったことにして暗号資産を再利用することが理論上可能である。送金のトランザクションがブロックチェーンに取り込まれた後に、マイニングが進んだブロック数（承認数）が増えるほどトランザクションの取り消しに成功する確率が急速に低くなる。従って購入者は、トランザクションの取り消しが実質不可能と考えられる十分な承認数だけ待機してから秘密値Ｒを決済装置８０に対して提示する。
購入者が、第１トランザクションＴｘＡを公開したブロックチェーンの改ざん成功確率が十分に低くなるまで待機する理由は以下の通りである。すなわち、第１トランザクションＴｘＡが公開されなかった新たなブロックチェーンを作り、十分なハッシュレートでマイニングを進めることで、ブロックチェーンに取り込まれた第１トランザクションＴｘＡをなかったことにして暗号資産を再利用することが理論上可能である。送金のトランザクションがブロックチェーンに取り込まれた後に、マイニングが進んだブロック数（承認数）が増えるほどトランザクションの取り消しに成功する確率が急速に低くなる。従って購入者は、トランザクションの取り消しが実質不可能と考えられる十分な承認数だけ待機してから秘密値Ｒを決済装置８０に対して提示する。
【0060】
決済装置８０は、例えば、紙に印字されまたは購入者装置７０の表示画面に表示されたＱＲコード（登録商標）やバーコードをスキャンして、秘密値Ｒを読み取るカメラ等の読み取り装置を備える。例えば購入者がＱＲコード（登録商標）やバーコードを読み取り装置にかざすと、決済装置８０は、ＱＲコード（登録商標）やバーコードから秘密値Ｒを読みとることが出来る。
決済装置８０は、秘密値を格納したＵＳＢメモリ等を差し込む差し込み口（ポート）を備え、差し込み口に差し込まれたＵＳＢメモリ等から秘密値Ｒを読み込むことが出来てもよい。
決済装置８０は、秘密値を格納したＵＳＢメモリ等を差し込む差し込み口（ポート）を備え、差し込み口に差し込まれたＵＳＢメモリ等から秘密値Ｒを読み込むことが出来てもよい。
【0061】
ステップ（１４）において、決済装置８０は、公開されている第１トランザクションＴｘＡを検証する。
秘密値Ｒにハッシュ値を適用して得たハッシュ値が第１トランザクションＴｘＡに含まれるハッシュ値Ｈと一致する場合には、第１トランザクションＴｘＡが秘密値Ｒを用いてアンロック可能なので、決済装置８０は、第１トランザクションＴｘＡに記載される電子署名を取得する。
決済装置８０は、第１トランザクションＴｘＡに記載の電子署名を検証して、第１トランザクションＴｘＡに購入者装置７０の電子署名Ｓｉｇ＿Ａが付与されていることを確認する。第１トランザクションＴｘＡの暗号資産の送金額が指定の条件を満たすか（商品の値段以上であるか、マイニング手数料以上の値段であるか）を確認してもよい。決済装置８０は、提示された秘密値Ｒが下記のデータベースに記憶されていないかも確認する。
第１トランザクションＴｘＡに含まれる秘密値Ｒのハッシュ値Ｈ、第１トランザクションＴｘＡのトランザクションＩＤ、電子署名Ｓｉｇ＿Ａが下記のデータベースに記憶されていないかを確認してもよい。
ステップ（１５）において、電子署名Ｓｉｇ＿Ａが付与され、送金額が上記の条件を満たし、秘密値Ｒ等がデータベースに記憶されていない新規なものである場合に、商品やサービスを購入者に提供する。例えば自動販売機である決済装置８０は、図示しない払出機構によって購入者が所望する飲料などの商品を購入者に払い出す。
ステップ（１６）において、決済装置８０は、秘密値Ｒ、秘密値Ｒのハッシュ値Ｈ、第１トランザクションＴｘＡのトランザクションＩＤ、電子署名Ｓｉｇ＿Ａのうち、少なくとも一つを、決済装置８０が備えるデータベースに記憶する。
秘密値Ｒにハッシュ値を適用して得たハッシュ値が第１トランザクションＴｘＡに含まれるハッシュ値Ｈと一致する場合には、第１トランザクションＴｘＡが秘密値Ｒを用いてアンロック可能なので、決済装置８０は、第１トランザクションＴｘＡに記載される電子署名を取得する。
決済装置８０は、第１トランザクションＴｘＡに記載の電子署名を検証して、第１トランザクションＴｘＡに購入者装置７０の電子署名Ｓｉｇ＿Ａが付与されていることを確認する。第１トランザクションＴｘＡの暗号資産の送金額が指定の条件を満たすか（商品の値段以上であるか、マイニング手数料以上の値段であるか）を確認してもよい。決済装置８０は、提示された秘密値Ｒが下記のデータベースに記憶されていないかも確認する。
第１トランザクションＴｘＡに含まれる秘密値Ｒのハッシュ値Ｈ、第１トランザクションＴｘＡのトランザクションＩＤ、電子署名Ｓｉｇ＿Ａが下記のデータベースに記憶されていないかを確認してもよい。
ステップ（１５）において、電子署名Ｓｉｇ＿Ａが付与され、送金額が上記の条件を満たし、秘密値Ｒ等がデータベースに記憶されていない新規なものである場合に、商品やサービスを購入者に提供する。例えば自動販売機である決済装置８０は、図示しない払出機構によって購入者が所望する飲料などの商品を購入者に払い出す。
ステップ（１６）において、決済装置８０は、秘密値Ｒ、秘密値Ｒのハッシュ値Ｈ、第１トランザクションＴｘＡのトランザクションＩＤ、電子署名Ｓｉｇ＿Ａのうち、少なくとも一つを、決済装置８０が備えるデータベースに記憶する。
【0062】
同じ秘密値Ｒや第１トランザクションＴｘＡが二重使用され得る問題があるからである。このような二重使用は、後述する決済装置８０が公開した決済の第２トランザクションＴｘＢが取り消されることで行われる。二重使用をしようとする者は、第２トランザクションＴｘＢが取り消されたあと同じ秘密値Ｒを用いて、決済装置８０から商品やサービスを重ねて得ようとする。
それに対し決済装置８０は、使用済みの秘密値Ｒ、使用済みの電子署名、第１トランザクションＴｘＡのトランザクションＩＤ、ハッシュ値Ｈのリスト（履歴情報）を、ローカルなデータベース等に記憶する。そして決済装置８０は、データベースに記憶するものと同じ秘密値Ｒを提示されたときには、第２トランザクションＴｘＢが取り消されたと判断することが出来る。
それに対し決済装置８０は、使用済みの秘密値Ｒ、使用済みの電子署名、第１トランザクションＴｘＡのトランザクションＩＤ、ハッシュ値Ｈのリスト（履歴情報）を、ローカルなデータベース等に記憶する。そして決済装置８０は、データベースに記憶するものと同じ秘密値Ｒを提示されたときには、第２トランザクションＴｘＢが取り消されたと判断することが出来る。
【0063】
第２トランザクションＴｘＢが取り消されたと判断したとき、ステップ（１６）において、店舗側として商品やサービスの提供を行わないようすることが出来る。
あるいは決済装置８０は、データベースに記憶する秘密値Ｒ、秘密値Ｒのハッシュ値Ｈ、第１トランザクションＴｘＡのトランザクションＩＤ、電子署名Ｓｉｇ＿Ａによって第２トランザクションＴｘＢを公開しなおす。
決済装置８０は、グローバルなパブリックチェーンにおいても、ブロックチェーン全体のコピーを保持するのではなく、ローカルなデータベースに保持する秘密値Ｒ、電子署名を確認するだけで、第２トランザクションＴｘＢの取り消しによる秘密値Ｒ、電子署名の二重使用に対抗することが出来る。
あるいは決済装置８０は、データベースに記憶する秘密値Ｒ、秘密値Ｒのハッシュ値Ｈ、第１トランザクションＴｘＡのトランザクションＩＤ、電子署名Ｓｉｇ＿Ａによって第２トランザクションＴｘＢを公開しなおす。
決済装置８０は、グローバルなパブリックチェーンにおいても、ブロックチェーン全体のコピーを保持するのではなく、ローカルなデータベースに保持する秘密値Ｒ、電子署名を確認するだけで、第２トランザクションＴｘＢの取り消しによる秘密値Ｒ、電子署名の二重使用に対抗することが出来る。
【0064】
また、決済装置８０は、ステップ（１６）の後で、第１トランザクションＴｘＡをアンロックするための第２トランザクションＴｘＢを公開してもよい。
決済装置８０は、ステップ（１７）において、決済装置８０の秘密鍵Ｐｒｋ＿Ｂで電子署名Ｓｉｇ＿Ｂを作成する。そして決済装置８０は、第２トランザクションＴｘＢを作成する。
第２トランザクションＴｘＢのＳｃｒｉｐｔＰｕｂＫｅｙに、決済装置８０の公開鍵を記載し、第２トランザクションＴｘＢのＳｃｒｉｐｔＳｉｇに、電子署名Ｓｉｇ＿Ｂ、決済装置８０の公開鍵、秘密値Ｒを記載する。
決済装置８０は、ステップ（１７）において、決済装置８０の秘密鍵Ｐｒｋ＿Ｂで電子署名Ｓｉｇ＿Ｂを作成する。そして決済装置８０は、第２トランザクションＴｘＢを作成する。
第２トランザクションＴｘＢのＳｃｒｉｐｔＰｕｂＫｅｙに、決済装置８０の公開鍵を記載し、第２トランザクションＴｘＢのＳｃｒｉｐｔＳｉｇに、電子署名Ｓｉｇ＿Ｂ、決済装置８０の公開鍵、秘密値Ｒを記載する。
【0065】
そして、決済装置８０は、作成した第２トランザクションＴｘＢをブロックチェーン（ネットワーク３０）に公開する。
上記では、秘密値Ｒを決定した購入者は、第１トランザクションＴｘＡを公開したブロックチェーンの改ざん成功確率が十分に低くなるまで待ってから、秘密値Ｒを決済装置８０に対して提示していた。決済装置８０は、第１トランザクションＴｘＡの改ざん成功確率が十分に低くなったときに第２トランザクションＴｘＢをブロックチェーンに公開するとも言える。
上記では、秘密値Ｒを決定した購入者は、第１トランザクションＴｘＡを公開したブロックチェーンの改ざん成功確率が十分に低くなるまで待ってから、秘密値Ｒを決済装置８０に対して提示していた。決済装置８０は、第１トランザクションＴｘＡの改ざん成功確率が十分に低くなったときに第２トランザクションＴｘＢをブロックチェーンに公開するとも言える。
【0066】
本実施形態の決済システムにおいて、第１トランザクションＴｘＡをアンロックできる秘密値Ｒを購入者が所持していることが重要である。従って、購入者が決済装置８０に秘密値Ｒを提示したことに応じて、決済装置８０は指定の処理（商品の販売）を実行する。
商品の販売あるいはサービスの提供後、第２トランザクションＴｘＢをブロックチェーンに公開すると、決済装置８０は、第１トランザクションＴｘＡによる送金を受け取ることが出来る。また履歴情報（秘密値Ｒ、ハッシュ値Ｈ、秘密鍵、トランザクションＩＤ）がブロックチェーンに記録されるため、決済装置８０における販売記録を外部から確認することも出来る。
商品の販売あるいはサービスの提供後、第２トランザクションＴｘＢをブロックチェーンに公開すると、決済装置８０は、第１トランザクションＴｘＡによる送金を受け取ることが出来る。また履歴情報（秘密値Ｒ、ハッシュ値Ｈ、秘密鍵、トランザクションＩＤ）がブロックチェーンに記録されるため、決済装置８０における販売記録を外部から確認することも出来る。
【0067】
第２トランザクションＴｘＢをブロックチェーンに公開したあとで、指定の処理（商品の販売、サービスの提供等）を実行してもよい。すなわち、ステップ（１４）とステップ（１５）の間に、ステップ（１７）を実行してもよい。
上記のように、購入者は、第１トランザクションＴｘＡが承認され、第１トランザクションＴｘＡ取り消される確率が十分に低くなった時点以降に秘密値Ｒを決済装置８０に提示するので、決済装置８０は、購入者に商品やサービスを提供した後に秘密値Ｒ（第２トランザクションＴｘＢ）を公開してもよいし、秘密値Ｒ（第２トランザクションＴｘＢ）を公開してから商品等を提供してもよい。
上記のように、購入者は、第１トランザクションＴｘＡが承認され、第１トランザクションＴｘＡ取り消される確率が十分に低くなった時点以降に秘密値Ｒを決済装置８０に提示するので、決済装置８０は、購入者に商品やサービスを提供した後に秘密値Ｒ（第２トランザクションＴｘＢ）を公開してもよいし、秘密値Ｒ（第２トランザクションＴｘＢ）を公開してから商品等を提供してもよい。
【0068】
いずれの場合も、本実施形態では、事前支払い（仮押さえ）の第１トランザクションＴｘＡと、決済の第２トランザクションＴｘＢと、の２段階のトランザクションを発行している。
第１トランザクションＴｘＡについては、承認数が十分に増えるまでの時間を待つ必要があるが、第２トランザクションＴｘＢについてはその必要がなく、データベースに記憶した秘密値Ｒと同じ秘密値Ｒが提示されていないことを条件に商品やサービスを即時提供することが出来る。
第１トランザクションＴｘＡから数ブロックのマイニングが進んだ時点で、仮押さえを取り消すことはできなくなっているため、販売側は、商品と秘密値Ｒを安心して交換することが出来る。その後、販売側は、秘密値Ｒを含む第２トランザクションＴｘＢを公開して自らの所有となるよう送金を実施できる。
第１トランザクションＴｘＡについては、承認数が十分に増えるまでの時間を待つ必要があるが、第２トランザクションＴｘＢについてはその必要がなく、データベースに記憶した秘密値Ｒと同じ秘密値Ｒが提示されていないことを条件に商品やサービスを即時提供することが出来る。
第１トランザクションＴｘＡから数ブロックのマイニングが進んだ時点で、仮押さえを取り消すことはできなくなっているため、販売側は、商品と秘密値Ｒを安心して交換することが出来る。その後、販売側は、秘密値Ｒを含む第２トランザクションＴｘＢを公開して自らの所有となるよう送金を実施できる。
【0069】
またアトミックスワップを応用した処理では、秘密値Ｒに加えて決済装置８０の電子署名がないと第１トランザクションＴｘＡを受け取れず二重使用は不可能である、という側面もある。購入者が商品提供前に第２トランザクションＴｘＢの十分な数の承認を待機する必要がなく、利便性を高め得る。
仮に第２トランザクションＴｘＢが取り消されていてデータベースに記憶した秘密値Ｒと同じ秘密値Ｒが提示された場合には、決済装置８０は、商品やサービスを提供しない。この場合には、決済装置８０は、データベースに記憶する秘密値Ｒ、秘密値Ｒのハッシュ値Ｈ、第１トランザクションＴｘＡのトランザクションＩＤ、電子署名Ｓｉｇ＿Ａによって第２トランザクションＴｘＢを公開しなおせばよい。
購入者は、商品の提供前に第２トランザクションＴｘＢに対する十分な数の承認を待機する必要がなく、決済の利便性を著しく高めることが出来る。
仮に第２トランザクションＴｘＢが取り消されていてデータベースに記憶した秘密値Ｒと同じ秘密値Ｒが提示された場合には、決済装置８０は、商品やサービスを提供しない。この場合には、決済装置８０は、データベースに記憶する秘密値Ｒ、秘密値Ｒのハッシュ値Ｈ、第１トランザクションＴｘＡのトランザクションＩＤ、電子署名Ｓｉｇ＿Ａによって第２トランザクションＴｘＢを公開しなおせばよい。
購入者は、商品の提供前に第２トランザクションＴｘＢに対する十分な数の承認を待機する必要がなく、決済の利便性を著しく高めることが出来る。
【0070】
図５は、図４で説明した決済処理を説明するフローチャートである。
ステップＳ１０１において、購入者装置７０は、秘密値Ｒをランダムに決定する。
ステップＳ１０２において、購入者装置７０は、購入者側の秘密鍵Ｐｒｋ＿Ａで電子署名Ｓｉｇ＿Ａを作成する。
ステップＳ１０３において、購入者装置７０は、電子署名Ｓｉｇ＿Ａを記載した第１トランザクションＴｘＡを作成し、ステップ１０４において、購入者装置７０は、第１トランザクションＴｘＡをネットワーク３０に公開する。
ステップＳ１０１において、購入者装置７０は、秘密値Ｒをランダムに決定する。
ステップＳ１０２において、購入者装置７０は、購入者側の秘密鍵Ｐｒｋ＿Ａで電子署名Ｓｉｇ＿Ａを作成する。
ステップＳ１０３において、購入者装置７０は、電子署名Ｓｉｇ＿Ａを記載した第１トランザクションＴｘＡを作成し、ステップ１０４において、購入者装置７０は、第１トランザクションＴｘＡをネットワーク３０に公開する。
【0071】
ステップＳ１０５において、購入者装置７０は、決済装置８０に秘密値Ｒを提示する。
ステップＳ１０６において、決済装置８０は第１トランザクションＴｘＡを検証する。
ステップＳ１０７において、決済装置８０は、商品又はサービスを購入者に提供する。
ステップＳ１０８において、決済装置８０は、秘密値Ｒ等をデータベースに記憶する。
ステップＳ１０９において、決済装置８０は、決裁装置８０の秘密鍵Ｐｒｋ＿Ｂで電子署名Ｓｉｇ＿Ｂを作成する。
ステップＳ１０６において、決済装置８０は第１トランザクションＴｘＡを検証する。
ステップＳ１０７において、決済装置８０は、商品又はサービスを購入者に提供する。
ステップＳ１０８において、決済装置８０は、秘密値Ｒ等をデータベースに記憶する。
ステップＳ１０９において、決済装置８０は、決裁装置８０の秘密鍵Ｐｒｋ＿Ｂで電子署名Ｓｉｇ＿Ｂを作成する。
【0072】
ステップＳ１１０において、決済装置８０は、ステップＳ１０９で作成した電子署名Ｓｉｇ＿Ｂと、ステップＳ１０５で提示された秘密値Ｒを用いて第２トランザクションＴｘＢを作成する。
ステップＳ１１１において、決済装置８０は、第２トランザクションＴｘＢをネットワーク３０に公開して第１トランザクションＴｘＡをアンロックし、送金された暗号資産を受け取る。
ステップＳ１１１において、決済装置８０は、第２トランザクションＴｘＢをネットワーク３０に公開して第１トランザクションＴｘＡをアンロックし、送金された暗号資産を受け取る。
【0073】
上記の変形例として、事前支払いを複数行っておき、事前支払いの一部を一定時間後に取り戻し、残りの事前支払いを実際の決済に充てる「部分支払い」を行うことが出来る。
上記に説明したように、アトミックスワップでは、一定時間経過後であれば、送信者の電子署名を用いて取り戻すことができるという条件を付加することが一般的である。これを応用し、予め多めに仮押さえ（事前支払い）をしておき、実際の利用額分だけ決済するということができる。
例えば、図４のステップ（１１）において、購入者は、１００円分の暗号資産を事前支払いする第１トランザクションＴｘＡを１０個作成し、ステップ（１２）で全てを公開する。夫々の第１トランザクションＴｘＡに応じて秘密値Ｒ、そのハッシュ値Ｈも同数作成される。
例えば、夫々１００円に相当する暗号資産を送金する１０個の第１トランザクションＴｘＡに対応して秘密値Ｒ１～Ｒ１０を作成し、夫々のハッシュ値Ｈ（Ｒ１）～Ｈ（Ｒ１０）を演算する。各第１トランザクションＴｘＡのｓｃｒｉｐｔＰｕｂＫｅｙには、ハッシュ値Ｈ（Ｒ１）～Ｈ（Ｒ１０）を記載する。
実際の支払いでは、ステップ（１３）において、例えば１０個中８個分の第１トランザクションＴｘＡに対応する秘密値Ｒだけ（例えば秘密値Ｒ３～秘密値Ｒ１０）を決済側に渡す。
ステップ（１７）において、決済装置８０が、８個の秘密値Ｒに対応する８個の第２トランザクションＴｘＢを公開することにより、事前支払い分のうち８００円だけが決済される。一方で、残る２００円分に相当する第１トランザクションＴｘＡに関しては、一定時間経過後に購入者に戻すことが出来る。
上記に説明したように、アトミックスワップでは、一定時間経過後であれば、送信者の電子署名を用いて取り戻すことができるという条件を付加することが一般的である。これを応用し、予め多めに仮押さえ（事前支払い）をしておき、実際の利用額分だけ決済するということができる。
例えば、図４のステップ（１１）において、購入者は、１００円分の暗号資産を事前支払いする第１トランザクションＴｘＡを１０個作成し、ステップ（１２）で全てを公開する。夫々の第１トランザクションＴｘＡに応じて秘密値Ｒ、そのハッシュ値Ｈも同数作成される。
例えば、夫々１００円に相当する暗号資産を送金する１０個の第１トランザクションＴｘＡに対応して秘密値Ｒ１～Ｒ１０を作成し、夫々のハッシュ値Ｈ（Ｒ１）～Ｈ（Ｒ１０）を演算する。各第１トランザクションＴｘＡのｓｃｒｉｐｔＰｕｂＫｅｙには、ハッシュ値Ｈ（Ｒ１）～Ｈ（Ｒ１０）を記載する。
実際の支払いでは、ステップ（１３）において、例えば１０個中８個分の第１トランザクションＴｘＡに対応する秘密値Ｒだけ（例えば秘密値Ｒ３～秘密値Ｒ１０）を決済側に渡す。
ステップ（１７）において、決済装置８０が、８個の秘密値Ｒに対応する８個の第２トランザクションＴｘＢを公開することにより、事前支払い分のうち８００円だけが決済される。一方で、残る２００円分に相当する第１トランザクションＴｘＡに関しては、一定時間経過後に購入者に戻すことが出来る。
【0074】
上記の「部分支払い」において、複数の秘密値Ｒを１つのマスターから生成するようにしてもよい。すなわち、マスターとなる秘密値Ｘを１つ用意し、一方向関数（ハッシュ関数）を何度も掛けた各段階の値を、第１トランザクションＴｘＡの秘密値として使用する。
例えば、所定の秘密値Ｘに対して１０段までハッシュ関数を計算して、Ｒ１からＲ１０まで、以下に示す１０個の秘密値Ｒを得る。
Ｒ１＝Ｘ
Ｒ２＝Ｈ’（Ｘ）
Ｒ３＝Ｈ’（Ｈ’（Ｘ））
Ｒ４＝Ｈ’（Ｈ’（Ｈ’（Ｘ）））
Ｒ５＝Ｈ’（Ｈ’（Ｈ’（Ｘ））））
Ｒ６＝Ｈ’（Ｈ’（Ｈ’（Ｈ’（Ｘ）））））
Ｒ７＝Ｈ’（Ｈ’（Ｈ’（（Ｈ’（Ｈ’（Ｘ））））））
Ｒ８＝Ｈ’（Ｈ’（Ｈ’（Ｈ’（（Ｈ’（Ｈ’（Ｘ）））））））
Ｒ９＝Ｈ’（Ｈ’（Ｈ’（Ｈ’（Ｈ’（（Ｈ’（Ｈ’（Ｘ））））））））
Ｒ１０＝Ｈ’（Ｈ’（Ｈ’（Ｈ’（Ｈ’（Ｈ’（（Ｈ’（Ｈ’（Ｘ）））））））））
上記と同様に、各第１トランザクションＴｘＡのｓｃｒｉｐｔＰｕｂＫｅｙには、これらの秘密値Ｒ１～Ｒ１０のハッシュ値Ｈ（Ｒ１）～Ｈ（Ｒ１０）記載する。
決済の段階で３段目のＲ３＝Ｈ’（Ｈ（Ｘ））を決済装置８０に知らせると、決済装置８０は、それ以降７つの秘密値Ｒ４～Ｒ１０を計算できる。従って、決済装置８０は、秘密値Ｒ３からＲ１０を用いて８００円に相当する暗号資産を受領する第２トランザクションＴｘＢを作成出来る。
一方ハッシュ関数Ｈ’は一方向関数であるので、Ｒ３＝Ｈ’（Ｈ’（Ｘ））から、Ｒ２＝Ｈ’（Ｘ）、Ｒ１＝Ｘを計算することは出来ない。決済装置８０は、秘密値Ｒ１とＲ２を用いて２００円分の暗号資産を受領する第２トランザクションＴｘＢを作成出来ることが出来ない。
購入者は、この分の２００円分を所定時間経過後に取り戻すことができる
上記のようにすることにより、「部分支払い」において決済装置８０に伝える秘密値を１つで済ませることが出来る。
複数の秘密値を伝える場合に比べて購入者の手間を著しく低減でき、より安全に決済を行うことが出来る。
ただし、マスターの秘密値Ｘから秘密値Ｒ２～Ｒ１０（Ｈ’（Ｘ））を生成するときのハッシュ関数と、秘密値Ｒ１～Ｒ１０からＳｃｒｉｐｔＰｕｂＫｅｙに記載するハッシュ値Ｈを生成するためのハッシュ関数と、は異なる関数であってもよい。
例えば、所定の秘密値Ｘに対して１０段までハッシュ関数を計算して、Ｒ１からＲ１０まで、以下に示す１０個の秘密値Ｒを得る。
Ｒ１＝Ｘ
Ｒ２＝Ｈ’（Ｘ）
Ｒ３＝Ｈ’（Ｈ’（Ｘ））
Ｒ４＝Ｈ’（Ｈ’（Ｈ’（Ｘ）））
Ｒ５＝Ｈ’（Ｈ’（Ｈ’（Ｘ））））
Ｒ６＝Ｈ’（Ｈ’（Ｈ’（Ｈ’（Ｘ）））））
Ｒ７＝Ｈ’（Ｈ’（Ｈ’（（Ｈ’（Ｈ’（Ｘ））））））
Ｒ８＝Ｈ’（Ｈ’（Ｈ’（Ｈ’（（Ｈ’（Ｈ’（Ｘ）））））））
Ｒ９＝Ｈ’（Ｈ’（Ｈ’（Ｈ’（Ｈ’（（Ｈ’（Ｈ’（Ｘ））））））））
Ｒ１０＝Ｈ’（Ｈ’（Ｈ’（Ｈ’（Ｈ’（Ｈ’（（Ｈ’（Ｈ’（Ｘ）））））））））
上記と同様に、各第１トランザクションＴｘＡのｓｃｒｉｐｔＰｕｂＫｅｙには、これらの秘密値Ｒ１～Ｒ１０のハッシュ値Ｈ（Ｒ１）～Ｈ（Ｒ１０）記載する。
決済の段階で３段目のＲ３＝Ｈ’（Ｈ（Ｘ））を決済装置８０に知らせると、決済装置８０は、それ以降７つの秘密値Ｒ４～Ｒ１０を計算できる。従って、決済装置８０は、秘密値Ｒ３からＲ１０を用いて８００円に相当する暗号資産を受領する第２トランザクションＴｘＢを作成出来る。
一方ハッシュ関数Ｈ’は一方向関数であるので、Ｒ３＝Ｈ’（Ｈ’（Ｘ））から、Ｒ２＝Ｈ’（Ｘ）、Ｒ１＝Ｘを計算することは出来ない。決済装置８０は、秘密値Ｒ１とＲ２を用いて２００円分の暗号資産を受領する第２トランザクションＴｘＢを作成出来ることが出来ない。
購入者は、この分の２００円分を所定時間経過後に取り戻すことができる
上記のようにすることにより、「部分支払い」において決済装置８０に伝える秘密値を１つで済ませることが出来る。
複数の秘密値を伝える場合に比べて購入者の手間を著しく低減でき、より安全に決済を行うことが出来る。
ただし、マスターの秘密値Ｘから秘密値Ｒ２～Ｒ１０（Ｈ’（Ｘ））を生成するときのハッシュ関数と、秘密値Ｒ１～Ｒ１０からＳｃｒｉｐｔＰｕｂＫｅｙに記載するハッシュ値Ｈを生成するためのハッシュ関数と、は異なる関数であってもよい。
【0075】
購入者装置、決済装置について説明する。
図６、図７は、各装置の一実施例を示す機能ブロック図である。
購入者装置７０、決済装置８０は夫々、他の装置が有する機能の少なくとも１つ以上の機能を有してもよい。
図６は購入者装置７０が有する機能を示すブロック図である。
図６を参照して、購入者装置７０の機能を説明する。
購入者装置７０は、制御部６０と、通信部９１と、記憶部９２と、表示部９３とを含む。
制御部６０は、決定部６１と、生成部６２と、作成部６３と、公開部６４と、受渡部６５とを含む。通信部９１は、購入者装置７０をネットワークに接続する。記憶部９２は、各種情報を記憶する。
図６、図７は、各装置の一実施例を示す機能ブロック図である。
購入者装置７０、決済装置８０は夫々、他の装置が有する機能の少なくとも１つ以上の機能を有してもよい。
図６は購入者装置７０が有する機能を示すブロック図である。
図６を参照して、購入者装置７０の機能を説明する。
購入者装置７０は、制御部６０と、通信部９１と、記憶部９２と、表示部９３とを含む。
制御部６０は、決定部６１と、生成部６２と、作成部６３と、公開部６４と、受渡部６５とを含む。通信部９１は、購入者装置７０をネットワークに接続する。記憶部９２は、各種情報を記憶する。
【0076】
決定部６１は、秘密値をランダムに決定する。
生成部６２は、秘密鍵から電子署名を生成し、秘密値Ｒからハッシュ値Ｈを生成する。生成部６２はまた、秘密値ＲからＱＲコード（登録商標）などを生成する。
作成部６３は、生成した電子署名、ハッシュ値Ｈに基づいて第１トランザクションＴｘＡを作成する。
公開部６４は、作成部６３が作成した第１トランザクションＴｘＡをネットワーク３０に公開する。
受渡部６５は、生成したＱＲコード（登録商標）などを表示部９３に表示して秘密値Ｒを決済装置８０に受け渡す。
生成部６２は、秘密鍵から電子署名を生成し、秘密値Ｒからハッシュ値Ｈを生成する。生成部６２はまた、秘密値ＲからＱＲコード（登録商標）などを生成する。
作成部６３は、生成した電子署名、ハッシュ値Ｈに基づいて第１トランザクションＴｘＡを作成する。
公開部６４は、作成部６３が作成した第１トランザクションＴｘＡをネットワーク３０に公開する。
受渡部６５は、生成したＱＲコード（登録商標）などを表示部９３に表示して秘密値Ｒを決済装置８０に受け渡す。
【0077】
図７は、決済装置８０が有する機能を示すブロック図である。
図７を参照して、決済装置８０の機能を説明する。
決済装置８０は、制御部１００と、通信部１１１と、記憶部１１２とを含む。
制御部１００は、受取部１０１と、取得部１０２、生成部１０３と、作成部１０４と、公開部１０５と、格納部１０６と、実行部１０７とを含む。記憶部１１２は、各種情報を記憶する。
受取部１０１は、購入者から提示されたＱＲコード（登録商標）やバーコード、トークン（ＵＳＢメモリ）から、秘密値Ｒを取得する。
取得部１０２は、受取部１０１により受け取った秘密値Ｒを用いて第１トランザクションＴｘＡがアンロック可能な場合、第１トランザクションＴｘＡに含まれる識別情報（電子署名）を取得する。
生成部１０３は、秘密鍵から電子署名Ｓｉｇ＿Ｂを生成する。
作成部１０４は、第１トランザクションＴｘＡに対応する第２トランザクションＴｘＢを作成する。
公開部１０５は、作成部１０３が作成した第２トランザクションＴｘＢをネットワーク３０に公開して第１トランザクションＴｘＡをアンロックし、送金された暗号資産を受け取る。
格納部１０６は、第１トランザクションＴｘＡに記載されていた管理装置７０の電子署名、ハッシュ値Ｈ、購入者から提示された秘密値Ｒ等を記憶部１１２に備えられたデータベースに格納する。
実行部１０７は、秘密値Ｒの受け取りに応じて、所定の払出機構を制御して商品の払出を行うなどの処理を実行する。
図７を参照して、決済装置８０の機能を説明する。
決済装置８０は、制御部１００と、通信部１１１と、記憶部１１２とを含む。
制御部１００は、受取部１０１と、取得部１０２、生成部１０３と、作成部１０４と、公開部１０５と、格納部１０６と、実行部１０７とを含む。記憶部１１２は、各種情報を記憶する。
受取部１０１は、購入者から提示されたＱＲコード（登録商標）やバーコード、トークン（ＵＳＢメモリ）から、秘密値Ｒを取得する。
取得部１０２は、受取部１０１により受け取った秘密値Ｒを用いて第１トランザクションＴｘＡがアンロック可能な場合、第１トランザクションＴｘＡに含まれる識別情報（電子署名）を取得する。
生成部１０３は、秘密鍵から電子署名Ｓｉｇ＿Ｂを生成する。
作成部１０４は、第１トランザクションＴｘＡに対応する第２トランザクションＴｘＢを作成する。
公開部１０５は、作成部１０３が作成した第２トランザクションＴｘＢをネットワーク３０に公開して第１トランザクションＴｘＡをアンロックし、送金された暗号資産を受け取る。
格納部１０６は、第１トランザクションＴｘＡに記載されていた管理装置７０の電子署名、ハッシュ値Ｈ、購入者から提示された秘密値Ｒ等を記憶部１１２に備えられたデータベースに格納する。
実行部１０７は、秘密値Ｒの受け取りに応じて、所定の払出機構を制御して商品の払出を行うなどの処理を実行する。
【0078】
図８は、コンピュータ装置の一実施例を示すブロック図である。
図８を参照して、コンピュータ装置５０の構成について説明する。
図８において、コンピュータ装置５０は、制御回路５１と、記憶装置５２と、読書装置５３と、記録媒体５４、通信インターフェイス５５と、入出力インターフェイス５６と、入力装置５７と、表示装置５８とを含む。また、通信インターフェイス５５は、ネットワーク６００と接続される。そして各構成要素は、バス５９により接続される。取引装置１０、取引装置２０、購入者装置７０及び決済装置８０は、コンピュータ装置５０に記載の構成要素の一部または全てを適宜選択して構成することができる。
図８を参照して、コンピュータ装置５０の構成について説明する。
図８において、コンピュータ装置５０は、制御回路５１と、記憶装置５２と、読書装置５３と、記録媒体５４、通信インターフェイス５５と、入出力インターフェイス５６と、入力装置５７と、表示装置５８とを含む。また、通信インターフェイス５５は、ネットワーク６００と接続される。そして各構成要素は、バス５９により接続される。取引装置１０、取引装置２０、購入者装置７０及び決済装置８０は、コンピュータ装置５０に記載の構成要素の一部または全てを適宜選択して構成することができる。
【0079】
制御回路５１は、コンピュータ装置５０全体の制御をする。制御回路５１は、例えば、Central Processing Unit（ＣＰＵ）、Field Programmable Gate Array（ＦＰＧＡ）、Application Specific Integrated Circuit（ＡＳＩＣ）及びProgrammable Logic Device（ＰＬＤ）などのプロセッサである。制御回路５１は、例えば、図６において、制御部６０として機能する。また制御回路５１は、図７において、制御部１００として機能する。
記憶装置５２は、各種データを記憶する。そして、記憶装置５２は、例えば、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ（ＲＯＭ）及びＲａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ（ＲＡＭ）などのメモリや、Ｈａｒｄ Ｄｉｓｋ（ＨＤ）などである。記憶装置５２は、制御回路５１を、制御部６０及び制御部１００の少なくとも一方として機能させる決済プログラムを記憶してもよい。記憶装置５２は、例えば、図６において、記憶部９２として機能する。また、記憶装置５２は、図７において、記憶部１１２として機能する。
記憶部１１２は、第１トランザクションＴｘＡに記載されていた管理装置７０の電子署名、ハッシュ値Ｈ、購入者から提示された秘密値Ｒ等を格納するデータベースを有する。
記憶装置５２は、各種データを記憶する。そして、記憶装置５２は、例えば、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ（ＲＯＭ）及びＲａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ（ＲＡＭ）などのメモリや、Ｈａｒｄ Ｄｉｓｋ（ＨＤ）などである。記憶装置５２は、制御回路５１を、制御部６０及び制御部１００の少なくとも一方として機能させる決済プログラムを記憶してもよい。記憶装置５２は、例えば、図６において、記憶部９２として機能する。また、記憶装置５２は、図７において、記憶部１１２として機能する。
記憶部１１２は、第１トランザクションＴｘＡに記載されていた管理装置７０の電子署名、ハッシュ値Ｈ、購入者から提示された秘密値Ｒ等を格納するデータベースを有する。
【0080】
購入者装置７０及び決済装置８０は、決済処理をするとき、記憶装置５２に記憶された決済プログラムをＲＡＭに読み出す。
ＲＡＭに読み出された決済プログラムを制御回路５１で実行することにより、購入者装置７０は、決定処理と、生成処理と、作成処理と、公開処理と、受渡処理とのいずれか１以上を含む決済処理を実行する。
また決済装置８０は、ＲＡＭに読み出された決済プログラムを制御回路５１で実行することにより、受取処理と、取得処理と、生成処理と、作成処理と、公開処理と、格納処理と、実行処理とのいずれか１以上を含む決済処理を実行する。
なお決済プログラムは、制御回路５１が通信インターフェイス５５を介してアクセス可能であれば、ネットワーク６００上のサーバが有する記憶装置に記憶されていても良い。
ＲＡＭに読み出された決済プログラムを制御回路５１で実行することにより、購入者装置７０は、決定処理と、生成処理と、作成処理と、公開処理と、受渡処理とのいずれか１以上を含む決済処理を実行する。
また決済装置８０は、ＲＡＭに読み出された決済プログラムを制御回路５１で実行することにより、受取処理と、取得処理と、生成処理と、作成処理と、公開処理と、格納処理と、実行処理とのいずれか１以上を含む決済処理を実行する。
なお決済プログラムは、制御回路５１が通信インターフェイス５５を介してアクセス可能であれば、ネットワーク６００上のサーバが有する記憶装置に記憶されていても良い。
【0081】
読書装置５３は、制御回路５１に制御され、着脱可能な記録媒体５４のデータのリード／ライトを行なう。
記録媒体５４は、各種データを保存する。記録媒体５４は、例えば、決済プログラムを記憶する。記録媒体５４は、例えば、Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ（ＳＤ）メモリーカード、Ｆｌｏｐｐｙ Ｄｉｓｋ（ＦＤ）、Ｃｏｍｐａｃｔ Ｄｉｓｃ（ＣＤ）、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ（ＤＶＤ）、Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｋ（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
記録媒体５４は、各種データを保存する。記録媒体５４は、例えば、決済プログラムを記憶する。記録媒体５４は、例えば、Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ（ＳＤ）メモリーカード、Ｆｌｏｐｐｙ Ｄｉｓｋ（ＦＤ）、Ｃｏｍｐａｃｔ Ｄｉｓｃ（ＣＤ）、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ（ＤＶＤ）、Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｋ（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
【0082】
通信インターフェイス５５は、ネットワーク６００を介してコンピュータ装置５０と他の装置とを通信可能に接続する。通信インターフェイス５５は、例えば、図６において、通信部９１として機能する。また通信インターフェイス５５は、例えば、図７において、通信部１１１として機能する。
入出力インターフェイス５６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス５６は、接続された各種入力装置とコンピュータ装置５０とを通信可能に接続する。そして、入出力インターフェイス５６は、接続された各種入力装置から入力された信号を、バス５９を介して制御回路５１に出力する。また、入出力インターフェイス４０６は、制御回路５１から出力された信号を、バス５９を介して入出力装置に出力する。
入力装置５７は、例えば、タッチパネル、コード読み取り装置、キーボード及びマウスなどである。特に入出力インターフェイス５６に接続された入力装置５７としてのコード読み取り装置は、例えば、紙や購入者装置に表示される秘密値ＲのＱＲコード（登録商標）やバーコードを介した秘密値Ｒの入力を受け付けてもよい。
表示装置５８は、各種情報を表示する。表示装置５８は、例えば、図６の表示部９３として機能し、秘密値ＲのＱＲコード（登録商標）やバーコードを表示してもよい。
ネットワーク６００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、またはインターネットなどであり、コンピュータ装置５０と他の装置を通信接続する。
入出力インターフェイス５６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス５６は、接続された各種入力装置とコンピュータ装置５０とを通信可能に接続する。そして、入出力インターフェイス５６は、接続された各種入力装置から入力された信号を、バス５９を介して制御回路５１に出力する。また、入出力インターフェイス４０６は、制御回路５１から出力された信号を、バス５９を介して入出力装置に出力する。
入力装置５７は、例えば、タッチパネル、コード読み取り装置、キーボード及びマウスなどである。特に入出力インターフェイス５６に接続された入力装置５７としてのコード読み取り装置は、例えば、紙や購入者装置に表示される秘密値ＲのＱＲコード（登録商標）やバーコードを介した秘密値Ｒの入力を受け付けてもよい。
表示装置５８は、各種情報を表示する。表示装置５８は、例えば、図６の表示部９３として機能し、秘密値ＲのＱＲコード（登録商標）やバーコードを表示してもよい。
ネットワーク６００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、またはインターネットなどであり、コンピュータ装置５０と他の装置を通信接続する。
【0083】
上述の実施形態の決済システムは、アトミックスワップの一部を利用しているが、スマートコントラクトを用いて、上述の制御部６０と制御部１００とで実行される処理を実現してもよい。すなわち、実施形態の決済システムは、スマートコントラクトを用いて、上述の「購入者装置７０が秘密情報（秘密値Ｒ）の公開により暗号資産を受け取り可能とするトランザクションを用いて暗号資産を送金する。そして、決済装置８０は、商品と引き換えに購入者から取得した秘密情報を用いて、暗号資産を受け取る。」という決済処理を実行してもよい。
より具体的には、実施形態の決済システムは、アトミックスワップと同等の機能を持つスマートコントラクトを作成し、その処理の一部を利用して、上記の決済処理を実現してもよい。すなわち、購入者装置７０は、秘密情報のハッシュ値Ｈを含む暗号資産の送金用のトランザクションを、スマートコントラクトのアドレスを指定して分散型台帳に公開する。決済装置８０は、秘密情報を含む暗号資産の受取用のトランザクションを、スマートコントラクトのアドレスを指定して分散型台帳に公開する。そして、実施形態の決済システムは、スマートコントラクトによりアトミックスワップに対応するプログラムを実行する。これにより、実施形態の決済システムは、自動的に暗号資産を販売者に送金する処理を実行してもよい。以下の説明では、暗号資産の送金用のトランザクションのことを、単に送金トランザクションともいう。また、暗号資産の受取用のトランザクションのことを、単に受取トランザクションともいう。
より具体的には、実施形態の決済システムは、アトミックスワップと同等の機能を持つスマートコントラクトを作成し、その処理の一部を利用して、上記の決済処理を実現してもよい。すなわち、購入者装置７０は、秘密情報のハッシュ値Ｈを含む暗号資産の送金用のトランザクションを、スマートコントラクトのアドレスを指定して分散型台帳に公開する。決済装置８０は、秘密情報を含む暗号資産の受取用のトランザクションを、スマートコントラクトのアドレスを指定して分散型台帳に公開する。そして、実施形態の決済システムは、スマートコントラクトによりアトミックスワップに対応するプログラムを実行する。これにより、実施形態の決済システムは、自動的に暗号資産を販売者に送金する処理を実行してもよい。以下の説明では、暗号資産の送金用のトランザクションのことを、単に送金トランザクションともいう。また、暗号資産の受取用のトランザクションのことを、単に受取トランザクションともいう。
【0084】
また、実施形態の決済システムは、ＨＴＬＣ（Ｈａｓｈｅｄ Ｔｉｍｅ－Ｌｏｃｋｅｄ Ｃｏｎｔｒａｃｔｓ）の処理手順に相当するコードをスマートコントラクトとして実装して分散型台帳に公開してもよい。この場合には、購入者装置７０は、送金トランザクションの付属情報として、決済装置８０の送金アドレスと、ハッシュ値Ｈと、取り戻し用の購入者装置７０のアドレスとを付与し、スマートコントラクトのアドレスを指定して分散型台帳に公開する。また、決済装置８０は、受取トランザクションの付属情報として、決済側の電子署名と、秘密情報とを付与し、スマートコントラクトのアドレスを指定して分散型台帳に公開する。これにより、実施形態の決済システムは、スマートコントラクトを用いて、上述で説明した決済処理に対応する処理を実行してもよい。なお、ＨＴＬＣの処理手順に相当するコードとは、ＨＴＬＣの処理において固定のコードである。また、購入者装置７０及び決済装置８０が付与する付属情報は、ＨＴＬＣの処理において可変な情報である。
また、実施形態の決済システムは、ＨＴＬＣの処理手順に相当するコードをスマートコントラクトとして実装するとき、決済装置８０の送金アドレス及びハッシュ値Ｈの少なくとも一方を、コードに含ませて固定してもよい。すなわち、購入者装置７０は、スマートコントラクトのアドレスを指定して、送金トランザクションを分散型台帳に公開することにより、スマートコントラクトで指定されている値を用いて送金することが可能になる。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成または実施形態を取ることができる。
また、実施形態の決済システムは、ＨＴＬＣの処理手順に相当するコードをスマートコントラクトとして実装するとき、決済装置８０の送金アドレス及びハッシュ値Ｈの少なくとも一方を、コードに含ませて固定してもよい。すなわち、購入者装置７０は、スマートコントラクトのアドレスを指定して、送金トランザクションを分散型台帳に公開することにより、スマートコントラクトで指定されている値を用いて送金することが可能になる。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成または実施形態を取ることができる。
【符号の説明】
【0085】
５０ コンピュータ装置
５１ 制御回路
５２ 記憶装置
５３ 読書装置
５４ 記録媒体
５５ 通信Ｉ／Ｆ
５６ 入出力Ｉ／Ｆ
５７ 入力装置
５８ 表示装置
５９ バス
６０、１００ 制御部
７０ 購入者装置
８０ 決済装置
９１、１１１ 通信部
９２、１１２ 記憶部
９３ 表示部
５１ 制御回路
５２ 記憶装置
５３ 読書装置
５４ 記録媒体
５５ 通信Ｉ／Ｆ
５６ 入出力Ｉ／Ｆ
５７ 入力装置
５８ 表示装置
５９ バス
６０、１００ 制御部
７０ 購入者装置
８０ 決済装置
９１、１１１ 通信部
９２、１１２ 記憶部
９３ 表示部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】