特開 2023-158097 分散型システムの処理ステップを制御するための、コンピュータにより実施されるシステム及び方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023158097

(43)【公開日】2023-10-26

(54)【発明の名称】分散型システムの処理ステップを制御するための、コンピュータにより実施されるシステム及び方法

(51)【国際特許分類】

   H04L 9/32 20060101AFI20231019BHJP

   G06F 9/50 20060101ALI20231019BHJP

【ＦＩ】

H04L9/32 200Z

G06F9/50 150Z

【審査請求】有

【請求項の数】15

【出願形態】ＯＬ

【外国語出願】

(21)【出願番号】P 2023144107

(22)【出願日】2023-09-06

(62)【分割の表示】P 2021500561の分割

【原出願日】2019-07-15

(31)【優先権主張番号】1811773.9

(32)【優先日】2018-07-19

(33)【優先権主張国・地域又は機関】GB

(71)【出願人】

【識別番号】318001991

【氏名又は名称】エヌチェーン ライセンシング アーゲー

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(74)【代理人】

【識別番号】100135079

【弁理士】

【氏名又は名称】宮崎 修

(72)【発明者】

【氏名】ジョーゼフ，ダニエル

(57)【要約】

【課題】 分散型システムにおける処理ステップの制御及び調整の方法を提供する。
【解決手段】 当該方法は、ブロックチェーンネットワーク（例えば、Ｂｉｔｃｏｉｎブロックチェーン）に参加している循環順序付きノードセットのうちのイニシエータノードにより実施できる。当該方法は、該セットのうちのノードの秘密鍵及びその暗号シェアを生成するステップと、それらを分配するステップと、を含む。ロック値はシェアに基づき決定され、トランザクションは、対応するアンロック値の供給に応答してリソースの制御を渡すよう構成される。ノードの間のトランザクション回路が準備され、該トランザクション回路はそれぞれ、２つの隣接ノードのうちの第１ノードに分配されたシェア及び該ノードの直前にある別のノードから受信された値に基づき決定されたロック値に対応するアンロック値の供給に応答して、リソースの制御を渡すよう構成される。イニシエータノードは、循環順序付きイニシエータノードセットに属してよい。
【選択図】 図１

【特許請求の範囲】

【請求項1】

システムにおいてコンピュータにより実施される方法であって、
前記システムは、
第１ノードセットを含むブロックチェーンネットワークに参加している複数のノードセットであって、前記ノードセットの各々は、循環順序付きであり、イニシエータノードを含み、前記第１ノードセットは、第１イニシエータノードと前記第１イニシエータノードの直後にある第２ノードとを含む、複数のノードセットと、
第２イニシエータノードセットを含む複数のイニシエータノードセットであって、前記イニシエータノードセットの各々は、循環順序付きであり、マスタイニシエータノードを含み、
前記第２イニシエータノードセットの中の各イニシエータノードは、前記複数のノードセットのうちの各々１つのイニシエータノードであり、
前記第２イニシエータノードセットは、第１マスタイニシエータノード、第１イニシエータノード、前記第１イニシエータノードの直前にある第２イニシエータノード、及び前記第１イニシエータノードの直後にある第３イニシエータノードを含む、
複数のイニシエータノードセットと、
マスタイニシエータノードセットであって、前記マスタイニシエータノードセットは循環順序付きであり、
前記マスタイニシエータノードセットの中の各マスタイニシエータノードは、前記複数のイニシエータノードセットのうちの各々１つのマスタイニシエータノードであり、
前記マスタイニシエータノードセットは、マスタマスタイニシエータノード、第１マスタイニシエータノード、前記第１マスタイニシエータノードの直前にある第２マスタイニシエータノード、及び前記第１マスタイニシエータノードの直後にある第３マスタイニシエータノードを含む、
マスタイニシエータノードセットと、
を含み、
前記方法は、
前記第１イニシエータノードにより、第１秘密鍵を生成するステップと、
前記第１イニシエータノードにより、前記第１マスタイニシエータノードに、前記第１秘密鍵に対応する第１公開鍵を送信するステップと、
前記第１イニシエータノードにより、前記第１ノードセットの各ノードについて、前記第１秘密鍵の暗号シェアを生成し、前記暗号シェアの各々１つを前記第１ノードセットの他のノードへ分配するステップと、
前記第１マスタイニシエータノードにより、第２秘密鍵を生成するステップと、
前記第１イニシエータノードにより、前記暗号シェアの各々に対応する公開鍵に基づき、第１ロック値を決定するステップと、
前記第１イニシエータノードにより、前記第２イニシエータノードから、前記第１イニシエータノードから前記第１マスタイニシエータノードまでの前記第２セットの中の各ノードに関連付けられた公開鍵に基づく第１値を受信するステップと、
前記第１マスタイニシエータノードにより、前記マスタマスタイニシエータノードに、前記第２秘密鍵に対応する第２公開鍵を送信するステップと、
前記第１マスタイニシエータノードにより、前記第２マスタイニシエータノードから、前記第１マスタイニシエータノードから前記マスタマスタイニシエータノードまでの前記第３セットの中の各ノードに関連付けられた公開鍵に基づく第２値を受信するステップと、
前記第１イニシエータノードにより、前記第１ロック値に対応する第１アンロック値の供給を含む実行条件の充足に応答して、前記第１イニシエータノードに関連付けられたソースアドレスから前記第２ノードの受信アドレスにリソースの制御を渡すよう構成されるトランザクションを準備するステップと、
前記第１イニシエータノードにより、前記第１ノードセットの中の隣接するノードの各ペアの間にトランザクション回路を形成するための更なるトランザクションの準備を開始するステップであって、前記更なるトランザクションの各々は、各々のロック値に対応する各々のアンロック値の供給を含む実行条件の充足に応答して、各ペアのうちの第１ノードに関連付けられたアドレスから該ペアのうちの第２ノードに関連付けられたアドレスに各々のリソースの制御を送信するよう構成され、各ペアの前記第２ノードは、前記第１ノードセットの中で該ペアのうちの前記第１ノードの直後にあり、前記各々のロック値は、所与のペアのうちの前記第１ノードに分配された前記暗号シェアと、前記第１ノードセットの中の該ノードの直前にあるノードから受信した値とに基づき決定される、ステップと、
を含む方法。

【請求項2】

前記第１イニシエータノードにより、前記第１値及び前記第１秘密鍵に対応する前記第１公開鍵に基づき、第２ロック値を決定するステップと、
前記第１イニシエータノードにより、前記第２ロック値に対応する第２アンロック値の供給を含む実行条件の充足に応答して、前記第１イニシエータノードに関連付けられたソースアドレスから、前記第３イニシエータノードの受信側アドレスへ、リソースの制御を渡すよう構成されるトランザクションを準備するステップと、
を更に含む請求項１に記載の方法。

【請求項3】

前記第１マスタイニシエータノードにより、前記第２値及び前記第２秘密鍵に対応する前記第２公開鍵に基づき、第３ロック値を決定するステップと、
前記第１マスタイニシエータノードにより、前記第３ロック値に対応する第３アンロック値の供給を含む実行条件の充足に応答して、前記第１マスタイニシエータノードに関連付けられたソースアドレスから、前記第３マスタイニシエータノードの受信側アドレスへ、リソースの制御を渡すよう構成されるトランザクションを準備するステップと、
を更に含む請求項２に記載の方法。

【請求項4】

前記第１イニシエータノードにより、前記マスタイニシエータノードを通じて前記第３イニシエータノードから、前記第２イニシエータノードセットの中の各ノードに関連付けられた公開鍵に対応する秘密鍵に基づき、第３値を取得するステップ、
を更に含む請求項１又は２に記載の方法。

【請求項5】

前記第３値は、ブロックチェーンから、前記第１イニシエータノードにより取得される、請求項４に記載の方法。

【請求項6】

前記第３値は、前記第３イニシエータノードから、前記第１イニシエータノードにより取得される、請求項４に記載の方法。

【請求項7】

前記第１イニシエータノードにより、前記トランザクション回路の実行が開始されるべきではないと決定するステップと、
前記トランザクション回路の実行が開始されるべきではないと決定することに応答して、
前記第１イニシエータノードにより、前記第３値及び前記第１秘密鍵に基づき、第３アンロック値を決定するステップと、
前記第１イニシエータノードにより、前記第３アンロック値を用いて、前記第２イニシエータノードにより準備された、前記第２イニシエータノードに関連付けられたソースアドレスから前記第１イニシエータノードの受信アドレスへリソースの制御を渡すよう構成されたトランザクションを実行するステップであって、前記リソースの制御は、前記第３アンロック値の供給を含む実行条件の充足に応答して渡される、ステップと、
を更に含む請求項４～６のいずれか一項に記載の方法。

【請求項8】

前記第１ロック値は、前記第３値に更に基づく、請求項４～７のいずれか一項に記載の方法。

【請求項9】

前記第１イニシエータノードにより、前記トランザクション回路の実行が開始されるべきであると決定するステップと、
前記トランザクション回路の実行が開始されるべきであると決定することに応答して、
前記第１イニシエータノードにより、前記第２値及び前記第１秘密鍵の前記暗号シェアの各々１つに基づき、第４アンロック値を決定するステップと、
前記第１イニシエータノードにより、前記第４アンロック値を用いて、前記第１循環順序付きノードセットの中の前記イニシエータノードの直前にあるノードにより準備された、前記直前にあるノードに関連付けられたソースアドレスから前記イニシエータノードの受信アドレスへリソースの制御を渡すよう構成されたトランザクションを実行するステップであって、前記リソースの制御は、前記第４アンロック値の供給を含む実行条件の充足に応答して渡される、ステップと、
を更に含む請求項４～８のいずれか一項に記載の方法。

【請求項10】

前記第１セットの中の隣接するノードの各ペアの間のトランザクション回路を形成するための更なるトランザクションの準備を開始する前記ステップは、前記第１イニシエータノードにより、前記第１ノードセットの中の前記第１イニシエータノードの直後にあるノードへ、前記第１ロック値を送信するステップを含む、請求項１～９のいずれか一項に記載の方法。

【請求項11】

前記リソースの各々は、前記リソースの他のものと同じ量である、請求項１～１０のいずれか一項に記載の方法。

【請求項12】

各公開鍵及びその対応する秘密鍵は、楕円曲線暗号公開－秘密鍵ペアを形成する、請求項１～１１のいずれか一項に記載の方法。

【請求項13】

前記秘密鍵の前記暗号シェアは、公に検証可能な暗号シークレット共有アルゴリズムを用いて生成される、請求項１～１２のいずれか一項に記載の方法。

【請求項14】

請求項１～１３のいずれか一項に記載の方法を実行する、コンピュータにより実装されたシステム。

【請求項15】

コンピュータシステムを請求項１～１３のいずれか一項に記載の方法を実行するようにする命令を格納した非一時的コンピュータ可読記憶媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、概して、分散型コンピューティングシステムに関し、より具体的には、ブロックチェーンネットワークを用いる順序付き処理ステップの指示及び制御を含む、分散型システムのノードに関連付けられた処理ステップの制御及び調整に関する。

【背景技術】

【0002】

分散型コンピューティングシステムでは、分散型システムの中のノードとして動作する様々なコンピューティング装置が、ネットワークを介して通信してよい。メッセージは、これらのノードの間で交換されてよい。このようなメッセージの交換は、例えば、コンピューティングタスクを実行するためにノードが協力することを可能にする。このようなタスクは、様々なノードに渡り分散された処理を含んでよい。このような分散された処理は、様々なノードに関連付けられたステップの制御及び調整を必要とすることがある。例えば、特定の処理順序が強いられることがある。

【0003】

分散型システムの一例は、航空機情報システムの状況で生じ得る。例えば、航空機情報システムは、種々のサブシステムを含んでよく、各サブシステムはサブコンポーネントで構成される。これらのサブシステムの各々は、例えば、飛行前検査を実行するときのような、特定の処理を実行することを担ってよい。これらのステップを実行するために、サブシステムの各々は、サブコンポーネントに、特定の処理ステップを実行することを要求し得る。

【0004】

このような分散型システムでは、処理の中のステップの順序及び／又は特定の処理を形成するステップの順序を強制可能であることが必須であり又は望ましいことがある。例えば、サブシステムは、それらそれぞれの処理を順番に実行する必要があってよい。更に、サブコンポーネントに関連付けられたノードは、それらそれぞれの処理ステップを順番に実行する必要があってよい。

【0005】

更に、処理ステップ又は特定の処理の改ざん防止又は改ざん防止監査証跡記録アウトプットを提供することが望ましいことがある。このような監査証跡は、様々なシナリオにおいて用途がある。例えば、航空機のコンテキストでは、これは例えば、例えば事故後に事故を法的に調査可能にし得る。特定の例では、このようなシステムは、例えば、根本原因決定のために、障害を航空機の特定のサブシステムに帰属させることを可能にし得る。

【0006】

本願明細書では、私たちは、全ての形式の電子的な、コンピュータに基づく、分散型台帳を包含するために用語「ブロックチェーン」を使用する。これらは、総意に基づくブロックチェーン及びトランザクションチェーン技術、許可及び未許可台帳、共有台帳、並びにこれらの変形を含む。他のブロックチェーン実装が提案され開発されているが、ブロックチェーン技術の最も広く知られているアプリケーションは、Ｂｉｔｃｏｉｎ台帳である。Ｂｉｔｃｏｉｎは、ここでは、便宜上及び説明の目的で参照されることがあるが、本開示はＢｉｔｃｏｉｎブロックチェーンと共に使用することに限定されず、代替のブロックチェーン実装及びプロトコルが本開示の範囲に包含されることに留意すべきである。

【0007】

ブロックチェーンは、コンピュータに基づく非集中型の分散型システムとして実装されるピアツーピアの電子台帳であり、ブロックにより構成され、ブロックはまたトランザクションにより構成される。各トランザクションは、ブロックチェーンシステムの中の参加者間でデジタルアセットの制御の移転を符号化するデータ構造であり、少なくとも１つのインプット及び少なくとも１つのアウトプットを含む。各ブロックは前のブロックのハッシュを含み、これらのブロックは一緒に繋げられて、起源以来ブロックチェーンに書き込まれている全てのトランザクションの永久的な変更不可能な記録を生成する。トランザクションは、スクリプトとして知られている小さなプログラムを含む。スクリプトは、それらのインプット及びアウトプットを埋め込まれ、トランザクションのアウトプットがどのように及び誰によりアクセス可能であるかを指定する。Ｂｉｔｃｏｉｎプラットフォームでは、これらのスクリプトはスタックに基づくスクリプト言語を用いて記述される。

【0008】

トランザクションがブロックチェーンに書き込まれるためには、検証されなければならない。ネットワークノード（マイナー）は、無効なトランザクションがネットワークから拒否され、各トランザクションが有効であることを保証するために作業を実行する。ノードにインストールされたソフトウェアクライアントは、未使用トランザクション（unspent transaction, UTXO）のロック及びアンロックスクリプトを実行することにより、UTXOに対してこの検証作業を実行する。ロック及びアンロックスクリプトの実行が真（TRUE）と評価する場合、トランザクションは有効であり、トランザクションはブロックチェーンに書き込まれる。したがって、トランザクションがブロックチェーンに書き込まれるためには、（ｉ）トランザクションを受信した第１ノードにより検証され、トランザクションが有効な場合には、ノードが該トランザクションをネットワーク内の他のノードに中継する、（ｉｉ）マイナーにより構築された新しいブロックに追加される、（ｉｉｉ）マイニングされる、つまり過去のトランザクションのパブリック台帳に追加される、ことが必要である。

【0009】

ブロックチェーン技術は、暗号通貨の実装の使用のために最も広く知られているが、デジタル事業家が、Ｂｉｔｃｏｉｎの基づく暗号セキュリティシステム及び新しいシステムを実装するためにブロックチェーンに格納できるデータの両方の使用を開発し始めている。ブロックチェーンが、暗号通貨の分野に限定されない自動化タスク及びプロセスのために使用できれば、非常に有利になる。このようなソリューションは、ブロックチェーンの利益（例えば、永久性、イベントの記録の耐タンパ性、分散型処理、等）を利用しながら、それらの用途をより多様化し得る。

【0010】

ブロックチェーンネットワークに参加している循環順序付きノードセットの中のノードにより実施され得る分散型システムにおける処理ステップの制御及び調整のための方法、システム、及びコンピュータ可読記憶媒体は、共同所有の英国特許出願番号第１８０６４４８.５号、名称「Computer－Implemented Methods and Systems」、２０１８年４月２０日出願、に開示されている。該出願の主題は、多因子依存性決定（Multifactor Dependent Decisions (MDD)）プロトコルと呼ばれるプロトコルの説明を含む。該出願の主題は、分散型システムのノードの間のステップの順序づけを提供するために利用され得る。例えば、それは、システム内の処理ステップの順序づけを提供するために使用されてよい。

【0011】

ブロックチェーンネットワークに参加している循環順序付きノードセットにより形成される分散型システム内の機能を提供するための他の方法、システム、及びコンピュータ可読記憶媒体は、共同所有の英国特許出願番号第１７０６０７１.６号、第１８０２０６３.６号、それぞれ名称「Computer－Implemented Methods and Systems」、それぞれ２０１７年４月１８日及び２０１８年２月８日出願に開示されている。前者は、エンティティに関連付けられたアドレス間のリンクを不明瞭にすると共に、該エンティティがそのリソースを着服する可能性を除去しながら、資金をあるアドレスから別のアドレスへと移動させ得るグループランダム交換（Group Random Exchange (GRE)）という名称のプロトコルに関連する開示を含む。概略では、ＧＲＥは、ノードのグループの各メンバがコンピューティングリソースのｘ個の単位を他のメンバに移転することに合意するというグループの概念の上に構築される。その結果、全員が、コンピューティングリソースのｘ個の単位を受け取る。該出願は、ＧＲＥプロトコルの変形である、各支払いチャネルに対して異なるシークレットを使用しながら同一の機能を提供するようＧＲＥプロトコルを変更したグループランダム交換変更シークレット（Group Random Exchange Change Secret (GRECS)）に関連する開示も含む。特に、ＧＲＥＣＳプロトコルに参加している各ノードは、それぞれのシークレット値をイニシエータノードへ送信し、イニシエータノードは次にこれらの値を用いて移転を開始する。後者は、ＧＲＥプロトコルに対する改良、より具体的にはＧＲＥＣＳプロトコルに関する開示を含む。この改良されたプロトコルグループランダム交換遅れた開示（Group Random Exchange Late Reveal (GRELR)）は、共通シークレットを使用する必要を回避することにより、ＧＲＥＣＳを改良する。

【0012】

しかしながら、特に、上述のように、システムのコンポーネントの間、例えばサブシステムの間で処理順序を制御できるだけでなく、特定のサブシステムを構成するサブコンポーネントの間でも処理順序を制御できることが望ましいことがある。更に、特定のサブシステムによる処理が任意的にスキップされ又は省略可能であることが望ましいことがある。

【0013】

このような改良されたソリューションがここで考案される。

【発明の概要】

【0014】

したがって、本開示によると、添付の請求項において定められる方法が提供される。

【0015】

本開示により、コンピュータにより実施される方法が提供され得る。当該方法は、ブロックチェーンネットワークに参加している第１循環順序付きノードセットのうちの第１イニシエータノードにより、秘密鍵を生成するステップを含んでよい。当該方法は、第１イニシエータノードにより、第１セットのうちのノードの各々の秘密鍵の暗号シェアを生成するステップと、暗号シェアのうちのそれぞれを第１セットの他のノードに分配するステップと、を含んでよい。当該方法は、第１イニシエータノードにより、暗号シェアのそれぞれに対応する公開鍵に基づき、第１ロック値を決定するステップを含んでよい。当該方法は、第１イニシエータノードにより、第１ロック値に対応する第１アンロック値の供給を含む実行条件の充足に応答して、リソースの制御を第１イニシエータノードに関連付けられたソースアドレスから第１セットの中の第１イニシエータノードの直後にあるノードの受信側アドレスへ渡すよう構成されるトランザクションを準備するステップを含んでよい。当該方法は、第１イニシエータノードにより、第１セットの中の隣接ノードの各ペアの間のトランザクション回路を形成するために、更なるトランザクションの準備を開始するステップを含んでよい。更なるトランザクションの各々は、それぞれのロック値に対応するそれぞれのアンロック値の供給を含む実行条件の充足に応答して、それぞれのリソースの制御を各ペアの第１ノードに関連付けられたアドレスから該ペアの第２ノードに関連付けられたアドレスへ渡すよう構成される。各ペアの第２ノードは、第１セットの中で、該ペアの第１ノードの直後にあってよい。それぞれのロック値は、所与のペアの第１ノードに分配された暗号シェア、及び第１セットの中の害ノードの直前にあるノードから受信した値に基づき決定されてよい。

【0016】

幾つかの実装では、当該方法は、第１イニシエータノードにより、循環順序付きイニシエータノードセットのマスタイニシエータノードへ、秘密鍵に対応する公開鍵を送信するステップを含んでよい。イニシエータノードセットの各々のイニシエータノードは、服すの循環順序付きノードセットのうちのそれぞれ１つのイニシエータノードであってよい。複数の循環順序付きノードセットは、第１セットを含んでよい。当該方法は、第１イニシエータノードにより、第２イニシエータノードから、第１イニシエータノードからマスタイニシエータノードまで、該セットの中の各ノードに関連付けられた公開鍵に基づき第１値を受信するステップを含んでよい。第２イニシエータノードは、イニシエータノードセットの中で第１イニシエータノードの直前にあってよい。

【0017】

幾つかの実装では、当該方法は、第１イニシエータノードにより、第１値および秘密鍵に対応する公開鍵に基づき第２ロック値を決定するステップを含んでよい。当該方法は、第１イニシエータノードにより、第２ロック値に対応する第２アンロック値の供給を含む実行条件の充足に応答して、リソースの制御を第１イニシエータノードに関連付けられたソースアドレスから第３イニシエータノードの受信側アドレスへ渡すよう構成されるトランザクションを準備するステップを含んでよい。第３イニシエータノードは、イニシエータノードセットの中で第１イニシエータノードの直後にあってよい。

【0018】

幾つかの実装では、当該方法は、第１イニシエータノードにより、第３イニシエータノードからマスタイニシエータノードまで、イニシエータノードセットの中の各ノードに関連付けられた公開鍵に対応する秘密鍵に基づき、第２値を取得するステップを含んでよい。

【0019】

幾つかの実装では、第２値は、第１イニシエータノードによりブロックチェーンから取得されてよい。

【0020】

幾つかの実装では、第２値は、第１イニシエータノードにより第３イニシエータノードから取得されてよい。

【0021】

幾つかの実装では、当該方法は、第１イニシエータノードにより、トランザクション回路の実行が開始されるべきでないと決定するステップを含んでよい。当該方法は、トランザクション回路の実行が開始されるべきではないと決定することに応答して、第１イニシエータノードにより、第２値及び秘密鍵に基づき、第３アンロック値を決定するステップと、第１イニシエータノードにより、第３アンロック値を用いて、第２イニシエータノードにより準備された、第２イニシエータノードに関連付けられたソースアドレスから第１イニシエータノードの受信側アドレスへリソースの制御を渡すよう構成されたトランザクションを実行するステップと、を含んでよい。リソースの制御は、第３アンロック値の供給を含む実行条件の充足に応答して渡されてよい。

【0022】

幾つかの実装では、第１ロック値は、第２値に更に基づいてよい。

【0023】

幾つかの実装では、当該方法は、第１イニシエータノードにより、トランザクション回路の実行が開始されるべきであると決定するステップと、トランザクション回路の実行が開始されるべきであると決定することに応答して、第１イニシエータノードにより、第２値及び秘密鍵の暗号シェアのそれぞれ１つに基づき、第４アンロック値を決定するステップと、第１イニシエータノードにより、第４アンロック値を用いて、第１循環順序付きノードセットの中のイニシエータノードの直前にあるノードにより準備された、直前のノードに関連付けられたソースアドレスからイニシエータノードの受信側アドレスへリソースの制御を渡すよう構成されたトランザクションを実行するステップと、を含んでよい。リソースの制御は、第４アンロック値の供給を含む実行条件の充足に応答して渡されてよい。

【0024】

幾つかの実装では、第１セットの中の隣接ノードの各ペアの間のトランザクション回路を形成するための更なるトランザクションの準備を開始するステップは、第１イニシエータノードにより、第１セットの中の第１イニシエータノードの直後にあるノードへ、第１ロック値を送信するステップを含んでよい。

【0025】

幾つかの実装では、リソースの各々は、他のリソースと同じ量であってよい。

【0026】

幾つかの実装では、各公開鍵及びその対応する秘密鍵は、楕円曲線暗号公開－秘密鍵ペアを形成してよい。

【0027】

幾つかの実装では、秘密鍵の暗号シェアは、公に検証可能な暗号シークレット共有アルゴリズムを用いて生成されてよい。

【0028】

本開示は、プロセッサとメモリとを含むシステムも提供する。メモリは、プロセッサによる実行の結果として、システムに本願明細書に記載のコンピュータにより実施される方法のいずれかの実施形態を実行させる実行可能命令を含む。

【0029】

本開示は、実行可能命令を記憶した非一時的コンピュータ可読記憶媒体であって、前記実行可能命令は、コンピュータシステムのプロセッサにより実行された結果として、少なくとも、前記コンピュータシステムに、本願明細書に記載のコンピュータにより実施される方法を実行させる、非一時的コンピュータ可読記憶媒体も提供する。

【0030】

本開示のこれらの及び他の態様は、本願明細書に記載の実施形態から明らかであり及びそれらを参照して教示される。本開示の実施形態は、単なる例を用いて及び添付の図面を参照して以下に説明される。

【図面の簡単な説明】

【0031】

【図1】支払いチャネルで使用されるトランザクションを示す図である。

【0032】

【図2】図１に従う支払いチャネルがどのように生成されるかを示すフローチャートである。

【0033】

【図3】本願の例示的な動作環境を示す簡略概略図である。

【0034】

【図4】本願の別の例示的な動作環境を示す簡略概略図である。

【0035】

【図5】例示的なコンピューティング装置を示す。

【0036】

【図6】ノードにより構成される循環順序付きセットを示す図である。

【0037】

【図7】複数の循環順序付きセットに概念的に対応し得る２次元構造を示す簡略概略図である。

【0038】

【図8】図７に示したものと類似する２次元構造のより詳細な表現を提供する図である。

【0039】

【図9】図８の循環順序付きセットのうちの標準的な１つを示す図である。

【0040】

【図10】図８のイニシエータノードにより構成される循環順序付きセットを示す図である。

【0041】

【図11】イニシエータノードの間の回路を形成する支払いチャネルの構成のための動作を示すフローチャートである。

【0042】

【図12】所与の循環順序付きノードセットのノードの間の回路を形成する支払いチャネルの構成のための動作を示すフローチャートである。

【0043】

【図13】ノード間の支払いチャネルに関連付けられ得るアンロック値を示すための図８の注釈されたバージョンを提供する。

【0044】

【図14】図１１及び１２のフローチャートの中の動作がどのように結合され得るかを示すフローチャートである。

【0045】

【図15】支払いチャネルのコミットメントチャネルバージョンの表現を提供する。

【0046】

【図16】支払いチャネルのコミットメントトランザクションとして機能し得る例示的なＢｉｔｃｏｉｎトランザクションを示す。

【0047】

【図17】支払いチャネルの返金トランザクションとして機能し得る例示的なＢｉｔｃｏｉｎトランザクションを示す。

【0048】

【図18】支払いチャネルの支払いトランザクションとして機能し得る例示的なＢｉｔｃｏｉｎトランザクションを示す。

【0049】

【図19】図１９のコミットメントトランザクションの態様が図１８の支払いトランザクションの態様とどのように結合され得るかを示す。

【0050】

【図20】順序付き処理を制御し及び実行するときに、種々の順序付きセットのノードにより実行される動作を示すフローチャートである。

【発明を実施するための形態】

【0051】

図中の同様の参照符号は同様の要素及び特徴を示すために使用される。

【0052】

本開示を実現するプロトコルは、本願明細書では、それぞれが順序付き方法で決定を行うために、協力するノードのグループについて説明される。該プロトコルは、処理タスクの中で前のステップのアウトプットから導出された累積シークレット値を利用することによってのみ復元できるコンピューティングリソースの単位をコミットするようノードに要求するという概念の上に構築される。

【0053】

幾つかの概念は、背景として以下に記載される。

【0054】

本願明細書に記載されるプロトコルは、既存のＢｉｔｃｏｉｎに関連する技術、支払いチャネル（Payment Channels）（例えば、「Introduction to Micropayment Channels」、http://super３.org/introduction－to－micropayment－channels/を参照）の上に構築される。これは、参加者のペアの間のオフブロックＢｉｔｃｏｉｎトランザクションのために設計された技術であり、特に返金トランザクションの使用を組み入れる。

【0055】

＜支払いチャネル＞
上述のように、支払いチャネルは以下の説明で言及され、支払いチャネルの概要は読者の便宜のために以下に示される。

【0056】

支払いチャネルは、全部のトランザクションをブロックチェーンにコミットすることなく、パーティが複数の暗号通貨トランザクションを生成するために設計された技術である。標準的な支払いチャネルの実装では、ほぼ無限の量の支払いを行うことができるが、ブロックチェーンに２つのトランザクションを追加する必要があるだけである。

【0057】

ブロックチェーンに追加されるトランザクション数が削減され、及び関連するコストが削減されることに加えて、支払いチャネルは、速度の利点も提供し、重要なことに、物事が計画通りに進まなかった場合に、又はいずれかの参加者が特定の払いセットを超えて進めないと決定した場合に、パーティが単位を返金される能力も有する。支払いチャネルの実装の説明は以下に概略を示す。

【0058】

ＡｌｉｃｅがＢｏｂへブロックチェーンリソースを移転する必要のあるシナリオを検討する。これは、ＡｌｉｃｅからＢｏｂへ、状況の要求に応じて、時間期間に渡り、複数の支払いを要求してよい。Ａｌｉｃｅは、可能な交換セットの中で、最大で例えば（全部で）１５ＢＴＣを、Ｂｏｂへ送金することを期待している。これを進めるために、支払いチャネルがＡｌｉｃｅとＢｏｂとの間に確立され、以下のように動作する。

【0059】

先ず、Ａｌｉｃｅは、Ａｌｉｃｅに由来する１５ＢＴＣをコミットする、Ａｌｉｃｅ及びＢｏｂの両者により制御される２－ｏｆ－２マルチシグネチャＰ２ＳＨ（pay－to－script hash）トランザクションＴ_Ｃを生成する。このとき、トランザクションは、Ｂｉｔｃｏｉｎネットワークに提出されない（このようなマルチシグネチャアドレスは、２人の個人（Ａｌｉｃｅ及びＢｏｂ）が、このアドレスからの金銭を使う任意のトランザクションに暗号的に署名することを要求する）。

【0060】

次に、Ａｌｉｃｅは、マルチシグネチャにより制御される資金の全部の単位をＡｌｉｃｅに返金する別個の返金トランザクションＴ_ｒ，０を生成する。このトランザクションは、１００ブロックのｎＬｏｃｋＴｉｍｅ値を含む（ｎＬｏｃｋＴｉｍｅは、指定された時間が経過した後にのみ、Ｂｉｔｃｏｉｎトランザクションが実行可能になることを可能にするＢｉｔｃｏｉｎトランザクションパラメータである）。Ｂｏｂはトランザクションに署名する。この返金トランザクションは、ｎＬｏｃｋＴｉｍｅが終了した後に、Ａｌｉｃｅ及びＢｏｂの間の交換が食い違った場合に、Ａｌｉｃｅが返金されることを可能にする。

【0061】

次に、Ａｌｉｃｅは元のトランザクションＴ_Ｃに署名する。

【0062】

このとき、Ａｌｉｃｅ及びＢｏｂは、（ブロックチェーン外の）移転がＡｌｉｃｅからＢｏｂへと行われることを反映するために、新しい返金トランザクションを生成することに進んでよい。これらの返金トランザクションは、その時点でＡｌｉｃｅがＢｏｂへと移転することを要求されるリソースの総量を反映し得る。一例として、ＡｌｉｃｅがＢｏｂに５ＢＴＣを送金する場合、５ＢＴＣをＢｏｂへ送信し１０ＢＴＣをＡｌｉｃｅへと戻すアウトプットを有する新しい返金トランザクションＴ_ｒ，ｉが生成される。ＡｌｉｃｅがＢｏｂに別の５ＢＴＣを送金する必要がある場合、１０ＢＴＣをＢｏｂへ及び５ＢＴＣをＡｌｉｃｅへ送信するアウトプットを有する新しい返金トランザクションＴ_{ｒ，ｉ＋１}が生成される。新しい返金トランザクション毎に、彼らは、両方のパーティがトランザクションに署名するがネットワークにトランザクションを提出する必要がないことを詳細に合意していると仮定する。

【0063】

生成された各々の連続する返金トランザクションは、前の返金トランザクションより少ないｎＬｏｃｋＴｉｍｅを有することに留意する。つまり、ｎＬｏｃｋＴｉｍｅ（Ｔ_{ｒ，ｉ＋１}）＜ｎＬｏｃｋＴｉｍｅ（Ｔ_ｒ，ｉ）である。

【0064】

参加者が任意のＴ_ｒ，ｉに署名することを拒否した場合、不当な扱いを受けた参加者は単にＴ_{ｒ，ｉ－１}を提出してよい。最悪のシナリオでは、（ｎＬｏｃｋＴｉｍｅが終了した後に、）ＡｌｉｃｅはＴ_ｒ，０に署名し、それをネットワークに提出して彼女の単位の全部を取り戻す。

【0065】

最終的に構成される返金トランザクションは、ＡｌｉｃｅからＢｏｂへ移転される単位の総和を表す。このトランザクションは、ネットワークに提出される。

【0066】

図１は、支払いチャネルの中で使用されるトランザクションＴ_Ｃ１００Ａ、及びＴ_ｒ，ｎ１００Ｄを示す。Ｍは、ＡｌｉｃｅからＢｏｂへ送金され得る最大金額を表す。ｘ_ｉは、ＡｌｉｃｅがＢｏｂに支払う必要のある単位の現在の総量である。Ｓ_ｓｔｏｐは、初期返金トランザクションにおけるｎＬｏｃｋＴｉｍｅである。ｎは、ＡｌｉｃｅとＢｏｂの間で行われる進行中の（オフブロック）移転の中で生成された返金トランザクションの数である（これは、初期返金トランザクションを含まない）。ｓは、他のパーティが前の返金トランザクションを提出し実質的にＡｌｉｃｅとＢｏｂとの間の交換を終了するリスクをパーティが負う前に、返金トランザクションに合意するために両方の参加者（Ａｌｉｃｅ及びＢｏｂ）に割り当てられた時間である。

【0067】

ｔ＋ｎ＊ｓ＜Ｓ_ｓｔｏｐ、ここで、ｔは現在時間であり、（Ｓ_ｓｔｏｐ－ｎ＊ｓ）≧ｓであることに留意する。

【0068】

図１のトランザクションＴ_Ｃ１００Ａ、Ｔ_ｒ，０１００Ｂ、Ｔ_ｒ，１１００Ｃ、及びＴ_ｒ，ｎ１００Ｄは、ブロックチェーン上に現れ得るトランザクションである。

【0069】

ＡｌｉｃｅとＢｏｂのあいだの支払いチャネルを構成する動作は、図２のフローチャート２００に示される。動作２１０以降は、コンピュータ可読記憶媒体に格納され得るようなコンピュータ実行可能命令を含むソフトウェアを実行する１つ以上のコンピューティング装置の１つ以上のプロセッサにより実行される。

【0070】

動作２１０で、Ａｌｉｃｅに関連付けられたコンピューティング装置のプロセッサは、上述の方法で２－ｏｆ－２マルチシグネチャＰ２ＳＨ（pay－to－script hash）トランザクションＴ_Ｃを生成する。

【0071】

動作２１０から、制御フローは動作２１２へ進む。動作２１２で、Ａｌｉｃｅに関連付けられたコンピューティング装置のプロセッサは、上述の方法で、マルチシグネチャにより制御される資金の全部の単位をＡｌｉｃｅに関連付けられたアカウントに返金する別個の返金トランザクションＴ_ｒ，０を生成する。

【0072】

動作２１２から、制御フローは動作２１４へ進む。動作２１４で、Ａｌｉｃｅに関連付けられたコンピューティング装置のプロセッサは、上述の返金トランザクションに署名する。

【0073】

動作２１４から、制御フローは動作２１６へ進む。動作２１４で、Ｂｏｂに関連付けられたコンピューティング装置のプロセッサも、上述の返金トランザクションに署名してよい。トランザクションがこのように署名された場合、制御フローは動作２１８へ進む。代替として、トランザクションが署名されない場合、支払いチャネルの生成は中止される。

【0074】

動作２１８で、Ａｌｉｃｅに関連付けられたコンピューティング装置のプロセッサは、Ｔ_Ｃに署名し、それをブロックチェーンに提出する。制御フローは、次に、動作２２０へ進む。

【0075】

動作２２０で、上述の返金トランザクションは、第１返金トランザクションとして認識され、ＡｌｉｃｅからＢｏｂへの更なる送金が後に交渉できるようにする。

【0076】

動作２２０から、制御フローは動作２２２へ進む。動作２２２で、更なる送金を交渉するために十分な時間が残っていることが決定される。十分な時間が残っていない場合、制御フローは、動作２２４へと進み、最後の返金トランザクションがブロックチェーンに提出される。代替として、十分な時間が残っている場合、制御フローは動作２２６へ進む。

【0077】

動作２２６で、ＡｌｉｃｅとＢｏｂの間で更なる送金が交渉される。動作２２６から、制御フローは動作２２８へと進み、交渉が成功したかどうかが決定される。交渉が成功しなかった場合、制御は上述の動作２２４へと進む。代替として、交渉が成功すると、結果として制御フローは動作２３０へ進む。

【0078】

動作２３０で、成功した交渉に起因する新しい返金トランザクションが上述の方法で生成される。次に、制御フローは、動作２４０へと進み、新しい返金トランザクションが現在返金トランザクションとして認識される。

【0079】

動作２４０から、制御フローは動作２４２へと進み、Ａｌｉｃｅ及びＢｏｂに関連付けられたコンピューティング装置のプロセッサは、現在返金トランザクションに署名してよい。署名した場合、制御フローは、上述の動作２２２へと進む。代替として、トランザクションが署名されなかった場合、動作２４４で、現在返金トランザクションの認識は、前の返金トランザクションへと復帰する。動作２４４から、制御フローは、上述の動作２２２に戻る。

【0080】

＜シークレット共有＞

【0081】

以下に更に説明するように、本願の主題では、閾値シークレット共有方式が利用される。

【0082】

幾つかの例では、閾値シークレット共有プロトコルは、（ｔ；ｎ）閾値により定められてよい。ここで、ｎは参加ノードの数であってよく、ｔ＋１はシークレットを再構成することを要求されるノードの最小数であってよい。シークレット共有方式は、閾値暗号システムの例であり、シークレットは、ｎ個のノードの間で部分に分けられてよく、少なくともｔ＋１個のノードがシークレットを再構成するために参加する必要がある。任意のｔ個の部分が分かると、シークレットが明らかにされてよい。

【0083】

＜シャミアのシークレット共有＞

【0084】

閾値シークレット共有ソリューションの一例は、文献「How to share a secret」、Shamir, A. (１９７９)、Communications of the ACM, ２２(１１), ６１２－６１３ (“Shamir method”)に記載されている。シャミア（Shamir）法は、多項式補間に基づいてよく、一般性を失うことなく、シークレットは有限フィールドの要素であると想定される。シャミア法は、ディーラ又はディーラ不要の方法を含んでよく、ｎ個のノードＵ_１、Ｕ_２、．．．、Ｕ_ｎのセット及びアクセス構造Ａを含んでよい。参加者のグループは、シークレットを再構成可能であってよい。シャミア法により、任意のランダムシークレットは、ｔ次多項式ｆ（ｘ）の中のｆ（０）として格納され、参加者ｉのみが自身のシェアｆ（ｘ_ｉ）を計算できる。ｎ人のうちのｔ＋１人の参加者が協力する場合、彼らは、ラグランジュ多項式補間を用いて、（鍵ｋの）彼らのシェアｋ_１、ｋ_２、．．．、ｋ_ｎによりｆ（ｘ）上の任意の点を再構成できる。ラグランジュ多項式補間を用いると、次数ｔを有する関数ｆ（ｘ）は、ｔ＋１個の点により再構成できる。

【0085】

【数1】

【0086】

【数2】

【0087】

ここで、

【0088】

【数3】

【0089】

【数4】

【0090】

ディーラノードが存在するとき、ディーラノードは、サイズｐ（ｐは素数（prime））の有限フィールドＦの要素であると想定されるシークレットａ_ｏ＝ｋを選択してよく、ランダムにｔ－１個の正の整数ａ_１，．．，ａ_ｔ－１を選び取ってよい。これらは、多項式ｆ（ｘ）＝ａ_１＋ａ_１ｘ＋ａ_２ｘ^２＋．．．の係数を表す。ディーラノードは、次に、多項式に属するｎ個の点（ｘ_ｉ，ｆ（ｘ_ｉ））を計算し、それらを参加者に分配してよい。

【0091】

シャミアのディーラ不要シェア分配段階では、

【0092】

１）各参加者Ｕ_ｉは、全員に知られているｘ_ｉを割り当てられる。各ｘ_ｉはユニークでなければならない。

【0093】

２）各プレイヤＵ_ｉは、次数ｔを有するランダム多項式ｆ_ｉ（ｘ）を生成する。

【0094】

３）各プレイヤＵ_ｉは、全ての他のプレイヤに、多項式上の彼らそれぞれの点ｆ_ｉ（ｘ_ｉ） ｍｏｄ ｎを秘密裏に（参加者の公開鍵により暗号化される）送信する。

【0095】

４）各プレイヤＵ_ｉは、全ての彼らの受信したｆ_１（ｘ_ｉ）、ｆ_２（ｘ_ｉ）、．．．、ｆ_ｐ（ｘ_ｉ）（ａｌｌ ｍｏｄ ｎ、ここでｎは楕円曲線上の点Ｇにより生成されるグループの順序である）を加算して、ｋ_ｉ＝ｆ（ｘ_ｉ） ｍｏｄ ｎを形成し、これは多項式ｆ（ｘ） ｍｏｄ ｎ上のシェアである。

【0096】

シャミア法の上述の説明は、閾値シークレット共有ソリューションの一例であるが、他の方法又は敷地シークレット共有ソリューションが考えられてよい。

【0097】

幾つかの実装では、敷地署名計算は、ｋ×Ｇの決定に基づき、ここでｋはシークレット鍵であり、Ｇは楕円曲線上の点である。

【0098】

ｆ（ｘ）がｔ次の多項式である場合、シークレットｋは、ｋ＝Σ_ｉ∈πｂ_ｉ，πｋ_ｉにより補間できる。ここで、πは、シェアｋ_ａ、ｋ_ｂ、．．．、ｋ_ｔ、ｋ_ｔ＋１のサイズｔ＋１の部分集合であってよく、ｂは補間係数であってよい。πは、自身のシェアｋ_ｉを開示することなく、ｋ×Ｇを計算するために協力する、ｔ＋１個のノードのグループであってよい。ｋは、ｔ次多項式の点ｘ＝０であってよい。

【0099】

－各ノードＵ_ｉは、部分ｂ_ｉ，πｋ_ｉ×Ｇを計算してよい。

【0100】

－Πの中の全部のノードは、それらの部分を一緒に加算して（ラグランジュ補間によりシークレットｋを再構成し）、次式を与える。

【0101】

【数5】

【0102】

上述のＱ＝ｋＧを計算する処理は、シークレット共有結合（Secret Share Joining）と呼ばれてよい。

【0103】

＜公に検証可能なシークレット共有＞

【0104】

本願の主題において参加するノードは、それらのシークレットシェアの正しさを検証することができることが望ましい。鍵シェア検証のために、公に検証可能なシークレット共有（Publicly Verifiable Secret Sharing (PVSS)）プロトコル又はアルゴリズムが利用されてよい。鍵シェア検証は、ノードが、彼ら自身のシェア及び他のノードのシェアを検証することを可能にし得る。

【0105】

例示的なＰＶＳＳプロトコルは、「Publicly verifiable secret sharing」、International Conference on the Theory and Applications of Cryptographic Techniques (Springer Berlin Heidelberg), pages １９０－１９９, Stadler, M.,published May １９９６ [Stadler]に記載されている。

【0106】

例示的なＰＶＳＳプロトコルでは、各ノードＵ_ｉは、解読関数Ｄ_ｉを有してよい。これは、対応する公開暗号関数Ｅ_ｉにより暗号化された情報にアクセスできる。このように、ディーラノードは、公開暗号関数を使用して、鍵シェアを分配し、及びそれらを以下の形式で発行してよい。

【0107】

Ｋ_ｉ＝Ｅ_ｉ（ｋ_ｉ）、ｉ＝１，．．．，ｎ

【0108】

暗号化シェアは、関心のあるノードにより公に検証可能である。ノードは、自身の鍵シェアを検証でき、他のノードが正しい鍵シェアを受信したこと、つまりディーラノードが正直か否かを検証できる。

【0109】

ＰＶＳＳプロトコルの主な（上位）コンポーネントは以下を含む。

【0110】

（ｉ）シークレット共有：ディーラノードは、アルゴリズムＳｈａｒｅ（ｋ）＝（ｋ_１，．．．，ｋ_ｎ）を走らせ、シェアを計算し、それらを参加ノードの間に分配する。

【0111】

（ｉｉ）再構成：参加ノードは、アルゴリズムＲｅｃｏｖｅｒを走らせることにより、シークレットを再構成できる。従って、Ｒｅｃｏｖｅｒ（｛Ｄ_ｉ（Ｋ_ｉ）｜ｉ∈Ａ｝）＝ｋ。

【0112】

（ｉｉｉ）検証：アルゴリズムＰｕｂＶｅｒｉｆｙが、暗号化シェアを検証するために使用されてよい。ノードがアルゴリズムＰｕｂＶｅｒｉｆｙ（｛Ｋ_ｉ｜ｉ∈Ａ｝）＝１→Ｒｅｃｏｖｅｒ（｛Ｄ_ｉ（Ｋ_ｉ）｜ｉ∈Ａ｝）＝ｕ、ｕ＝ｋ、を作動する場合、ディーラノードは、正直であると決定されてよく、鍵シェアは一貫している。

【0113】

幾つかの実装では、ＰＶＳＳ方式は、復元段階における必要性に依存して、対話的又は非対話的であり得る。

【0114】

幾つかの暗号システムに基づくＰＶＳＳプロトコルの種々の実装が考えられてよい。説明のために、以下は、文献「A simple publicly verifiable secret sharing scheme and its application to electronic voting」、Annual International Cryptology Conference (Springer Berlin Heidelberg), pages １４８－１６４, by Schoenmakers, B., published August １９９９に記載のプロトコルを強調する。

【0115】

初期化段階では、公開手順を用いて、グループＧ_ｑ及び２つの独立に選択された生成元（generator）Ｇ及びｇが選択されてよい。各ノードは、それ自体の秘密鍵ｘ_ｉ∈Ｚ_ｑ ^＊を与えられ、ｙ_ｉ＝Ｇ^ｘｉを公開鍵として設定してよい。

【0116】

ディーラノードは、次に、Ｚ_ｑにおける係数で、最大でｔ－１の次数を有するランダム多項式ｆ（ｘ）＝Σ_ｊ＝０ ^ｔ－１ａ_ｊｘ^ｊを選択してよく、ａ_０＝ｋに設定する。コミットメントＣ_ｊ＝ｇ^ａｊ、ｊ＝０，．．．，ｔ、及び暗号化シェアｆ（ｉ）（参加者の公開鍵を用いる）Ｙ_ｉ＝ｙ_ｉ ^{ｆ（ｘｉ）}、ｉ＝１，．．．，ｎが発行されてよい。

【0117】

Ｘ_ｉ＝Π^ｔ－１ _ｊ＝０（Ｃ_ｊ）^ｉｊを計算することにより、ディーラノードは、暗号化シェアが一貫していることを示すことができる。特に、ディーラノードは、Ｘ_ｉ＝ｇ^{ｆ（ｘｉ）}、Ｙ_ｉ＝ｙ_ｉ ^{ｆ（ｘｉ）}を示すことにより、ｆ（ｉ）の知識の証明を生成できる。

【0118】

鍵シェアの検証は、上述のＳｔａｄｌｅｒのフィアット－シャミア（Fiat－Shamir）暗号技術を用いて実行できる。非対話型プロトコルの主要なステップは以下を含む。

【0119】

証明者（全てのノード）は、ランダム（random）ｗ_ｉ∈Ｚ_ｑを選び出し、ａ_１ｉ＝ｇ^ｗｉ、ａ_２ｉ＝ｙ^ｗｉを計算してよく、値をブロードキャストしてよい。

【0120】

－ｃ＝Ｈ（Ｘ_ｉ，Ｙ_ｉ，ａ_１ｉ，ａ_２ｉ）、Ｈ（）は暗号ハッシュ関数である、を用いて、証明者（例えば、ノード）は、ｒ_ｉ＝ｗ_ｉ－ｆ（ｘ_ｉ）ｃを計算しブロードキャストしてよい。

【0121】

－ｒ_ｉ，ｃが与えられると、検証者ノードは、ａ_１ｉ＝ｇ^ｒｉＸ^Ｃ _ｉ、ａ_２ｉ＝ｙ^ｒｉ _ｉＹ^Ｃ _ｉを計算してよく、

【0122】

Ｘ_ｉ，Ｙ_ｉ，ａ_１ｉ，ａ_２ｉ、１≦ｉ≦ｎ、のハッシュがｃに一致することを証明してよい。

【0123】

必要なとき、参加者ノードは、他のノードのシェアｆ（ｘ_ｉ）に関して何ら知る必要無しに、シークレットｓを再構成できる。必要な情報は、Ｓ_ｉ＝Ｇ^{ｆ（ｘｉ）}、ｉ＝１，．．．，ｔを含んでよい。シークレットは、ラグランジュ補間により計算される。

【0124】

【数6】

【0125】

【数7】

【0126】

上述の例及び本願の主題の以下の説明は、鍵シェアを計算し及び分配するためにディーラノードを利用する。しかしながら、シークレット共有プロトコルのディーラ不要の実装は、フィアット－シャミアヒューリスティック（Fiat－Shamir heuristics）技術により記載されるように実装されてよい（例えば、「Fiat－Shamir heuristic」、https://en.wikipedia.org/wiki/Fiat%E２%８０%９３Shamir_heuristic, accessed June １３, ２０１８を参照する）。

【0127】

ここで、図３を参照すると、本願の例示的な動作環境が示される。図示のように、複数のノード３００が、コンピュータネットワーク３１０を介して通信する。ノード３００の各々は、コンピューティング装置であり、ブロックチェーンに参加しており、ブロックチェーンの関連付けられた、例えば計算リソースの単位のような単位の量を反映する１つ以上の関連アドレスを有する。

【0128】

ノード３００の様々なノードは、分散型処理の中の処理ステップを実行してよく、そのアウトプットは結合されて結果を形成する。

【0129】

本願の主題は、様々な環境において適用され得る。例えば、図４は、システム、より具体的には航空機情報システム４００のコンテキストにおける本願の特定の例示的な動作環境を示す。

【0130】

航空機情報システム４００による分散型処理は制御コンピュータ装置４１０により制御され、複数のサブシステムに依存してよい。例えば、分散型処理は、燃料サブシステム４２０、ナビゲーションサブシステム４３０、除氷サブシステム４４０、及び着陸ギアサブシステム４５０のような、種々のノードを含んでよい。これらのサブシステムの各々は、また、サブコンポーネントを含んでよい。例えば、燃料サブシステム４２０は、油検査サブコンポーネント４２２、温度サブコンポーネント４２４、油圧サブコンポーネント４２６、及び燃料容積サブコンポーネント４２８を含んでよい。サブシステムは、飛行前検査の部分として、特定の順序で検査されてよく、また、所与のサブシステムのサブコンポーネントは特定の順序で検査されてよい。例えば、サブシステムは、燃料サブシステム４２０から開始して、着陸ギアサブシステム４５０まで、図中の矢印により示される順序で検査されてよい。別の例では、燃料サブシステム４２０のサブコンポーネントは、油検査サブコンポーネント４２２から開始して燃料容積サブコンポーネント４２８まで時計回りに検査されてよい。更に後述するように、本願の主題は、順序付き方法でこのような処理を制御するために利用されてよい。更に、例えば除氷サブシステム４４０が熱帯気候ではスキップされてよいというように、環境が正当だと理由づける場合には、サブシステムはスキップされてよい。追加又は代替として、サブシステムが故障した場合でも、他のサブシステムはそれらの処理を順番に完了するよう制御されてよい。

【0131】

図３に戻り、ノード３００の各々はコンピューティング装置であることに留意する。図５は、例示的なコンピューティング装置の高レベル動作図である。例示的なコンピューティング装置５００は、例えばノード３００の１つ以上を含む本願明細書に記載されるコンピュータシステムの１つ以上の例であってよい。例示的なコンピューティング装置５００は、自身を特定の機能を実行するよう適応するソフトウェアを含む。

【0132】

例示的なコンピューティング装置５００は、種々のモジュールを含む。例えば、図示のように、例示的なコンピューティング装置５００は、プロセッサ５１０、メモリ５２０、及びネットワークインタフェース５３０を含んでよい。図示のように、例示的なコンピューティング装置５００の前述のコンポーネントは、バス５４０を介して通信する。

【0133】

プロセッサ５１０は、ハードウェアプロセッサである。プロセッサ５１０は、例えば、１つ以上のＡＲＭ、Ｉｎｔｅｌ ｘ８６、ＰｏｗｅＰＣプロセッサ、等であってよい。

【0134】

メモリ５２０は、データを格納し読み出し可能にする。メモリ５２０は、例えば、ランダムアクセスメモリ、読み出し専用メモリ、永久記憶を含んでよい。永久記憶は、例えば、フラッシュメモリ、固体ドライブ、等であってよい。読み出し専用メモリ及び永久記憶は、非一時的コンピュータ可読記憶媒体である。コンピュータ可読媒体は、例示的なコンピューティング装置５００の全体動作を制御するオペレーティングシステムにより管理され得るようなファイルシステムを用いて構成されてよい。

【0135】

ネットワークインタフェース５３０は、例示的なコンピューティング装置５００を、他のコンピューティング装置及び／又は種々の通信ネットワーク、例えばコンピュータネットワーク３１０（図３）と通信可能にする。

【0136】

命令を含むソフトウェアは、コンピュータ可読媒体から、プロセッサ５１０により実行される。例えば、ソフトウェアは、メモリ５２０の永久記憶から、ランダムアクセスメモリへとロードされてよい。追加又は代替として、命令は、メモリ５２０の読み出し専用メモリから直接、プロセッサ５１０により実行されてよい。

【0137】

更に後述するように、ソフトウェアは、例えば、ノード３００の１つ以上及び／又は制御コンピューティング装置４１０のうちの１つ以上、及び／又はサブシステム４２０～４５０及び／又はそのサブコンポーネントを含む本願明細書で言及する種々のコンピュータシステムのうちの１つ以上のとして機能するよう、例示的なコンピューティング装置５００のインスタンスを適応してよい。

【0138】

図６を参照すると、更に後述するように、本願明細書に記載するプロトコルで、全体の分散型コンプーティングタスクの処理ステップを実行することを担うノードは、タスクの中の処理ステップの順序に対応する方式で順序付けられた、循環順序付きセット６００を形成してよい。循環順序付きセットは、ノード６１０の各々がノードのうちの２つの他のノードを該ノードの直前ノード及び直後のノードとして有する、リングと考えられてよい。例えば、有向リングは、図６に示されるように、ノード６１０の循環順序付きセットにより形成されてよい。

【0139】

更に後述するように、本願の主題では、１つより多くのこのような循環順序付きノードセットが利用される。

【0140】

例えば、循環順序付きノードセットのうちのノードは、（ＭＤＤプロトコルにおけるものと類似する）所与のサブシステムにより実行される処理ステップに対応してよい。ここで、複数のこのような循環順序付きセットが利用され、各セットは特定のサブシステムに対応する。更に、サブシステム間の関係、特にサブシステムに跨がる処理の順序は、別の循環順序付きノードセット、各ノードが所与のサブシステムに対応する循環順序付きセットのうちの特定の１つから導出される特に別の循環順序付きノードセットを用いて表現されてもよい。

【0141】

背景として、同様の循環順序付きセット、特に「回路（circuit）」又は「グループ交換回路（group exchange circuits）」を形成する支払いチャネルのセットによりリンクされるセットは、上述の共同所有の英国特許出願番号第１７０６０７１.６号、第１８０２０６３.６号、及び第１８０６４４８.５号で議論されており、上述のＭＤＤ、ＧＲＥＣＳ、及びＧＲＥＬＲプロトコルにより特徴付けられる。

【0142】

別の例では、循環順序付きノードセットのうちのノードは、処理セットを制御するのに加えて又は代替として、他の目的のために、例えばＧＲＥＣＳ又はＧＲＥＬＲプロトコルにおけるものと同様の目的で、利用されてよく、複数のこのようなセットは、各ノードがそれらのセットのうちの１つから導出される別の循環順序付きノードセットにリンクされる。

【0143】

任意のイベントで、循環順序付きノードセットのこのような２次元構造は、図７に示すような全体リング７１０に加わったリング７００のセットとして視覚化されてよい。図７の簡易概略表現では、個々のノードは、リング７００の各々を形成し、全体リング７１０は示されない。しかしながら、矢印は、リング７００に対応する循環順序付きノードセットの各々の中の、及び全体リング７１０に対応する循環順序付きノードセットの中の、順序の可能な方向を示す。

【0144】

このような２次元構造のより詳細な概略表現は図８に示される。

【0145】

図示のように、２次元構造は、循環順序付きセットω個のＣ_ａ、Ｃ_ｂ、．．．Ｃ_ｉ．．．Ｃ_ωを含む。これらは例えばリング７００に対応してよい。

【0146】

循環順序付きセットの各々は、図示のように、ｎ_ｊ個のノード：イニシエータノードＩ_ｊと、ｎ－１個の他のノードＵ_１ ^ｊ、Ｕ_２ｊ、．．．Ｕ_ｉ ^ｊ、．．．Ｕ^ｊ _ｎｘ－１を含んでよい。ｎ_ｊは、種々の循環順序付きセットＣ_ｊについて異なり又は同じである。各イニシエータノードＩ_ｊは、自身のそれぞれの循環順序付きセットの管理者として機能する。

【0147】

別の循環順序付きセット、つまりイニシエータノード８００の循環順序付きセットは、循環順序付きセットＣ_ａ、Ｃ_ｂ、．．．Ｃ_ｉ．．．Ｃ_ωの各々のイニシエータノードＩ_ａ、Ｉ_ｂ、．．．Ｉ_ｉ．．．Ｉ_ω、及びマスタイニシエータノードＩ_Ｍで構成される。更に後述するように、マスタイニシエータノードＩ_Ｍは、プロトコル全体の管理者として機能する。

【0148】

更に後述するように、本願の主題は、非対称暗号技術に依存する。種々の公開鍵暗号システムが利用されてよい。例えば、楕円曲線暗号法（elliptic curve cryptography (ECC)）が利用されてよい。特定の例では、楕円曲線暗号法が利用されてよく、種々の秘密鍵及び対応する公開鍵が利用され、それにより、所与の秘密鍵ｋ及びその対応する公開鍵Ｐは、楕円曲線暗号公開－秘密鍵ペアであってよい。その結果、Ｐ＝ｋＧであり、Ｇは次数ｑの楕円曲線上の基点（base point）であり、ｑ×Ｇ＝０、ここでｑは大きな素数であり、０＜ｋ＜ｑである。特定の例では、文献「Standards for Efficient Cryptography ２ (SEC２)」、Certicom Corp, January ２７, ２０１０で定められる楕円曲線ｓｅｃｐ２５６ｋ１が利用されてよい。言い換えると、各公開鍵及びその対応する秘密鍵は、楕円曲線暗号公開－秘密鍵ペアを形成してよい。

【0149】

循環順序付きノードセットの各々のノードをリンクする支払いチャネルの構造が以下に説明される。

【0150】

例えば、循環順序付きセットＣ_ａ、Ｃ_ｂ、．．．Ｃ_ｉ．．．Ｃ_ωの所与の１つを検討する。単に例として、以下の議論はＣ_ｊを参照するが、これは回路Ｃ_ａ、Ｃ_ｂ、．．．Ｃ_ｉ．．．Ｃ_ωのいずれにも等しく適用可能である。例示的な循環順序付きセットＣ_ｊは、図９の概略図９００に示される。

【0151】

概略図９００を参照すると、ノードＣ_ｊ、つまりＵ_１ ^ｊ、Ｕ_２ ^ｊ、．．．Ｕ^ｊ _ｎｘ－１、及びＩ_ｊは、順序付きセット｛Ｉ_ｊ，Ｕ_１ ^ｊ，Ｕ_２ ^ｊ，．．．Ｕ^ｊ _ｎｘ－１｝を形成する。より具体的には、図示のように、ノードは、ノード間の矢印により示されるように、円又はリングを形成するよう順序付けられる。

【0152】

図示のように、鍵シェアｋ_ε ^ｉ、ｋ_１ ^ｊ、ｋ_２ ^ｊ、．．．．ｋ^ｊ _ｎｊ－２、ｋ^ｊ _ｎｊ－１は、それぞれノードＩ_ｊ，Ｕ_１ ^ｊ，Ｕ_２ ^ｊ，．．．Ｕ^ｊ _ｎｘ－１の各々に関連付けられる。特に、更に後述するように、イニシエータＩ_ｊは、前述の鍵シェアを生成し、次に、それらを順序付きセットの他のノードに分配する。概略として、イニシエータＩ_ｊは、秘密鍵ｖ_ｉを生成してよく、次にシークレット共有プロトコルを用いて、ｎ個の鍵シェアｋ_ε ^ｉ、ｋ_１ ^ｊ、ｋ_２ ^ｊ、．．．．ｋ^ｊ _ｎｊ－２、ｋ^ｊ _ｎｊ－１を生成し、次に、シェアｋ_１ ^ｊ、ｋ_２ ^ｊ、．．．．ｋ^ｊ _ｎｊ－２、ｋ^ｊ _ｎｊ－１を（何らかの秘密及びセキュアなチャネルを介して）他のノード、つまりＵ_１ ^ｊ，Ｕ_２ ^ｊ，．．．Ｕ^ｊ _ｎｘ－１へそれぞれ分配してよく、一方で鍵シェアの残りの１つ、つまりｋ_ε ^ｉを自身のために保持する。幾つかの実装では、公に検証可能な暗号シークレット共有（publicly erifiable cryptographic secret sharing (PVSS)）アルゴリズムが使用されてよい。

【0153】

特に、楕円曲線暗号法（ＥＣＣ）が利用される場合、秘密鍵ｖ_ｉは、０＜ｖ_ｊ＜ｑとなるよう選択された乱数であってよい。同様に、シェアは、それらがＥＣＣ秘密鍵としての使用にも適するように生成されてよく、０＜ｋ_ｉ ^ｊ＜ｑを含む。

【0154】

更に後述するように、鍵シェアは、循環順序付きセットＣ_ｊのノードの間の支払いチャネルの回路を確立するときに使用される。特に、支払いチャネルは、ノードのうちの隣接ノード間に確立され、これらのチャネルは、鍵シェアに様々に基づく値を用いてロック及びアンロックされる。支払いチャネルは、矢印により結合されたノードのペアの間で生成されてよい。更に後述するように、これらの支払いチャネルは、図９の矢印により示されるのと反対方向に、リソースの移転を提供することを意図してよい。

【0155】

図１０は、図８のイニシエータノード８００の循環順序付きセットを示す図である。上述のように、イニシエータノード８００の循環順序付きセットは、全体リング７１０（図７）に対応する第２の次元を提供する。

【0156】

図示のように及び上述のように、イニシエータノード８００の循環順序付きセットのうちのイニシエータノードは、イニシエータノード間の矢印により示されるように、円又はリングを形成するよう順序付けられる。

【0157】

上述のようｊに、イニシエータノードＩ_ａ，Ｉ_ｂ，．．．Ｉ_ｉ．．．Ｉ_ωの各々は、関連する秘密鍵ｖ_ｊを有する。更に、図示のように、マスタイニシエータＩ_Ｍは、関連する秘密鍵ｖ_ｘを有する。更に後述するように、関連する秘密鍵は、イニシエータノード８００の循環順序付きセットのノードの間の支払いチャネルの回路を確立するときに使用される。特に、支払いチャネルは、ノードのうちの隣接ノード間に確立され、これらのチャネルは、イニシエータノードに関連付けられた秘密鍵に様々に基づく値を用いてロック及びアンロックされる。支払いチャネルは、矢印により結合されたノードのペアの間で生成されてよい。更に後述するように、これらの支払いチャネルは、図１０の矢印により示されるのと反対方向に、リソースの移転を提供することを意図してよい。

【0158】

種々の支払いチャネルの生成が以下に説明される。

【0159】

事前知識として、支払いチャネルの使用は、コンピューティングリソースの単位がチャネルにコミットされることを要求することに留意する。例えば、支払いチャネルの所与の回路では、コンピューティングリソースは、各支払いチャネルにより、ノードからその支払いチャネルに直ちに移転されてよい。

【0160】

ノード間の値の移転は、本願明細書に記載のプロトコルの何らかの適用の要件でなくてよいので、この量は額面価額（nominal amount.）であり得る。しかしながら、明らかなように、各ノードは、それが支払いチャネルにコミットする値の喪失を条件として、結果を選択するときに参加することを要求される。従って、ノードは、支払いチャネルへの十分に多くのコンピューティングリソースの貢献を要求され、本願明細書に記載のプロトコルの軽率な参加及び／又は違反を思いとどまらせてもよい。支払いチャネルの各々にコミットされるコンピューティングリソースの量は、同じ量であってよく又は異なってよい。支払いチャネルの各々にコミットされたリソースは、リソースが代替可能な場合には同一であってよい。代替として、これらの値は変化してよい。例えば、幾つかの異なる回路のうちの所与の１つにおいて、同じ量のコンピューティングリソースが、支払いチャネルの各々にコミットされてよいが、これらの値は、該異なる回路の間で同一ではない。

【0161】

更に、説明の明確化のために、循環順序付きイニシエータノードセットのうちのイニシエータノードの間の回路を形成する支払いチャネルの生成、及び循環順序付きセットＣ_ａ，Ｃ_ｂ，．．．Ｃ_ｉ．．．Ｃ_ωの各々のノードの間の回路を形成する支払いチャネルの生成の議論のために、以下の表記が採用される。

【0162】

先ず、文字ｉは、循環順序付きイニシエータノードセットの要素（例えば、イニシエータノード、及び／又はそれらそれぞれの循環順序付きセットの各々）に関連するインデックスとして使用される。

【0163】

第２に、文字ｊは、循環順序付きセットＣ_ａ，Ｃ_ｂ，．．．Ｃ_ｉ．．．Ｃ_ωのうちの所与の１つＣ_ｉの内部の要素（例えば、参加者）に関連するインデックスとして使用される。

【0164】

次に、下付き及び上付き文字を用いて記載される循環順序付きセットＣ_ｉの要素について、上付きインデックスはｉの値（セット識別子）を表し、下付きインデックスはセットの内部のｊの値（循環順序付きセットの内部の順序のコンポーネント識別子）を表す。一例として、ｋ_４ ^２は、循環順序付きセットＣ_２のうちのインデックス４の秘密鍵である。

【0165】

次に、ｎ_ｉは、回路Ｃ_ｉの中の参加者の番号を示す。特に、ｎ_ｉは、イニシエータＩ_ｉ＝Ｕ_０ ^ｉを含む。

【0166】

更に、所与の循環順序付きセットＣ_ｉのインデックスｊへの任意の参照は、モジュロｎ_ｉと考えられ、Ｕ_ｊ ^ｉがＵ^ｉ _{ｊ ｍｏｄ ｎｉ}として扱われるべきであることを意味する。例えば、ｎ_ｉ＝４ならば、Ｕ_４ ^ｉがＵ^ｉ _{４ｍｏｄ４}＝Ｕ_０ ^ｉである。

【0167】

更に、以上で使用されたｋ_ε ^ｉの表記は、循環順序付きセットＣ_ｉのイニシエータの鍵シェアを表し、ｋ_０ ^ｉとも表されてよい。これは、イニシエータＩ_ｉに関連付けられた（ｖ_ｉの）鍵シェアである。

【0168】

次に、（循環順序付きイニシエータノードセット以外に）ω個の循環順序付きセットがあり、マスタイニシエータＩ_Ｍ（Ｉ_０と呼ばれてもよい）の存在により、ω＋１個のノードが循環順序付きイニシエータノードセットの中にあることに、留意する。

【0169】

更に、循環順序付きイニシエータノードセットのインデックスｉへの任意の参照は、モジュロ（ω＋１）と考えられ、例えばＩ_ｉ＝Ｉ_{ｉ ｍｏｄ （ω＋１）}を意味する。従って、ω＝４ならば、Ｉ_４＋１＝Ｉ_{５ｍｏｄ５}＝Ｉ_０＝Ｉ_Ｍである。

【0170】

次に、循環順序付きイニシエータノードセットへの任意の参照は、例えば図８及び１０のように添え字（ａ，ｂ，ｃ，ｄ，．．．）を使用し得ること、或いは代替として、数値の対応するインデックス（０，１，２，３，．．．）を等価的に使用し得ることに留意する。例えば、後者は、循環順序付きイニシエータノードセットに渡る繰り返しを表すときに使用され得る。

【0171】

最後に、以下の説明では、直前及び直後という用語が使用され、図８、９、１０に示される矢印の方向に対応することに留意する。例えば、図８でＩ_ａとラベル付けされたノードは、ノードＩ_ｂの直前のノードと考えられてよく、Ｉ_ｂとラベル付けされたノードは、ノードＩ_ａの直後のノードと考えられてよい。

【0172】

本願明細書に記載されるプロトコルに参加するノードにより実行される例示的な動作は、図１１、１２、１４に示された一連のフローチャートを参照して以下に議論される。

【0173】

先ず、イニシエータノードの間の回路を形成する支払いチャネルの構成は、図１１を参照して議論される。図１１は、支払いチャネルの回路を生成するための準備において動作を実行する循環順序付きイニシエータノードセットのイニシエータノードにより実行される動作を示すフローチャート１１００を示す。動作１１１０以降は、種々のイニシエータノードの各々の１つ以上のプロセッサにより実行される。このように、動作１１１０以降は、例えば、メモリ５２０の記憶のようなコンピュータ可読記憶媒体に格納され得るようなコンピュータ実行可能命令を含むソフトウェアを実行する例示的なコンピューティング装置５００の適切に構成されたインスタンスの例えばプロセッサ５１０（図５）のような、種々のコンピューティング装置の１つ以上のプロセッサにより実行される。

【0174】

動作１１１０で、マスタイニシエータノードＩ_Ｍは、上述の秘密鍵ｖ_ｘを生成する。

【0175】

特に、この値は、プロトコルのセキュリティ、特に、マスタイニシエータノードＩ_Ｍにのみ知られているので、循環順序付きイニシエータノードセットのセキュリティの核である。値ｖ_ｘは、少なくとも循環順序付きセットの各々の間の回路を形成する支払いチャネルの全部が形成されるまで、秘密として維持される。

【0176】

更に、動作１１１０で、マスタイニシエータノードＩ_Ｍは、秘密鍵ｖ_ｘに対応する公開鍵Ｐ_ｘ ^＊を生成する。例えば、楕円鍵暗号法が利用される場合、マスタイニシエータノードＩ_Ｍは、Ｐ_ｘ ^＊＝ｖ_ｘＧを計算してよい。

【0177】

次に、動作１１２０で、他のイニシエータノード（Ｉ_ａ～Ｉ_ω）の各々は、それらのそれぞれの秘密鍵ｖ_ｉを生成する。更に、各々が、対応する公開鍵Ｐｉ^＊を生成し、その値をマスタイニシエータノードＩ_Ｍへ送信する。例えば、楕円鍵暗号法が利用される場合、イニシエータノードの各々は、自身のそれぞれのｖ_ｉについてＰ_ｉ ^＊＝ｖ_ｉＧを計算してよい。

【0178】

次に、動作１１３０で、マスタイニシエータノードＩ_Ｍは、受信したＰ_ｉ ^＊値を自身の関連付けられたＰ_ｘ ^＊と結合して、値Ｑ_Ａ ^＊を生成する。例えば、ＥＣＣが利用される場合、それは、値を加算してよい：Ｑ_Ａ ^＊＝Ｐ_ａ ^＊＋Ｐ_ｂ ^＊＋．．．Ｐ_ω－１ ^＊＋Ｐ_ω ^＊＋Ｐ_ｘ ^＊。

【0179】

後述するように、支払いチャネルは、Ｉ_ａのために、Ｉ_ＭとＩ_ａとの間で生成される。つまり、Ｉ_Ｍ→Ｉ_ａであり、Ｔ_Ｐａｙトランザクションが値Ｑ_Ａ ^＊により「ロック」され、これは、対応する秘密鍵Ｓ_ＶＡからＱ_Ａ ^＊（該鍵を用いる署名ではない）が、Ｔ_Ｐａｙをアンロックするために供給されなければならないことを意味する。特に、Ｑ_Ａ ^＊の定義により、Ｔ_Ｐａｙｙトランザクションをアンロックするアンロック値Ｓ_ＶＡは、全部のイニシエータノードに関連付けられた秘密鍵に基づいてよい。例えば、ＥＣＣが利用される場合、Ｑ_Ａ ^＊に対応するシークレット値Ｓ_ＶＡは、以下のようにＱ_Ａ ^＊に関連付けられる。先ず、楕円曲線加算の準同形特性に従い、Ｅ（ｍ＋ｎ）＝Ｅ（ｍ）＋Ｅ（ｎ）を呼び出す。ここでＥは関数Ｅ（ｘ）＝ｘＧである。従って、Ｑ_Ａ ^＊に対応する秘密鍵Ｓ_ＶＡは、秘密鍵のｖ_ａ＋ｖ_ｂ＋．．．＋ｖ_ω－１＋ｖ_ω＋ｖ_ｘである。

【0180】

支払いチャネルを確立するために、繰り返しが必要である。繰り返しは、ｉ＝０、従って、マスタイニシエータノード（Ｉ_Ｍ＝Ｉ_０を思い出す）で開始する。

【0181】

次に、動作１１４０で、支払いチャネルの設定を完了するのに十分な時間が残されているか否かが決定される。支払いチャネルの設定を完了するのに十分な時間が残されているか否かを決定する方法は、以下に更に説明される。十分な時間が残されてい無いと決定された場合、設定は終了する（確立された任意の支払いチャネルの返金トランザクションが、タイムアウトにより生じる）。

【0182】

十分な時間が残されている場合、動作１１４０に続き、支払いチャネルの全部がイニシエータノードの間で生成されたか否かが決定される。生成された場合、設定は完了したとして終了する。代替として、循環順序付きイニシエータノードセットのうちのノードの間で回路を形成するために生成される必要のある支払いチャネルが依然として存在する場合、次の動作は動作１１５０である。

【0183】

動作１１５０で、ノードＩ_ｉは、ロック値Ｑ_ｉ＋１ ^＊を用いてリソースをロックする、Ｉ_ｉとＩ_ｉ＋１との間の支払いチャネルを生成する。例えば、ｉ＝０の場合、上述の支払いチャネルＩ_Ｍ→Ｉ_ａが生成され、Ｑ_Ａ ^＊よりロックされる。

【0184】

動作１１５０から、支払いチャネルの生成に成功した場合、概念的なイニシエータｉは、インクリメントされ、次に動作１１６０である。代替として、失敗した場合、次の動作は動作１１４０であり、支払いチャネルの生成は十分な時間が残っている限り再試行される。

【0185】

動作１１６０で、ノードＩ_ｉは、最後の支払いチャネルをロックするために使用されたロック値、及び自身の秘密鍵ＳＶ_ｉに対応する公開鍵Ｐ_ｉ ^＊に基づき、次のロック値を決定する。例えば、ＥＣＣが利用される場合、ノードＩ_ｉは、Ｑ_ｉ＋１ ^＊＝Ｑ_ｉ ^＊－Ｐ_ｉ ^＊を計算してよい（ここで、Ｑ_ｉ ^＊はイニシエータｉのインクリメントにより前のロック値を表す）。

【0186】

動作１１６０から、次の動作は動作１１４０であり、十分な時間が残っている（生成に成功できる）限り、別の支払いチャネルが（必要に応じて）生成される。

【0187】

特に、上述の処理では、マスタイニシエータノードＩ_Ｍ以外の各イニシエータノードは、自身がリソースを提供する支払いチャネルが生成される前に、有利な支払いチャネルの生成により利益を得る。便利なことに、この方法では、イニシエータノードは別のイニシエータノードがリソースを横領するリスクがない、（マスタイニシエータノードを信頼する必要がない）。特に、Ｉ_Ｍは、全てのロック値の基づくｖ_ｘの処理において単独のノードであるので、自身の利益のために、このような順序が提供されることを要求しない。

【0188】

先ず、所与の循環順序付きノードセットＣ_ｉのノードの間の回路を形成する支払いチャネルの構成は、図１２を参照して議論される。図１２は、セットの中の隣接ノードの各ペアの間の支払いチャネルの回路を生成するための準備において動作を実行する標準的な循環順序付きイニシエータノードセットＣ_ｉのノードにより実行される動作を示すフローチャート１２００を示す。動作１２１０以降は、種々のイニシエータノードの各々の１つ以上のプロセッサにより実行される。このように、動作１２１０以降は、例えば、メモリ５２０の記憶のようなコンピュータ可読記憶媒体に格納され得るようなコンピュータ実行可能命令を含むソフトウェアを実行する例示的なコンピューティング装置５００の適切に構成されたインスタンスの例えばプロセッサ５１０（図５）のような、種々のコンピューティング装置の１つ以上のプロセッサにより実行される。

【0189】

先ず、動作１２１０で、循環順序付きノードセットＣ_ｉのイニシエータノードＩ_ｉは、上述の方法で、秘密鍵ｖ_ｉを生成し、その鍵シェアｋ_ε ^ｉ、ｋ_１ ^ｉ、ｋ_２ ^ｉ、．．．、ｋ_ｎｉ－２ ^ｉ、ｋ_ｎｉ－１ ^ｉを分配する。

【0190】

次に、動作１２２０で、イニシエータノードＩ_ｉは、ロック値Ｑ_ｉ＋１ ^＊を取得する。Ｑ_ｉ＋１ ^＊は、循環順序付きイニシエータノードセットの中の次のイニシエータノードから取得されてよい。例えば、値Ｑ_ｉ＋１ ^＊は、次の循環順序付きノードセットＣ_ｉ＋１のイニシエータノードＩ_ｉ＋１から受信されてよい。

【0191】

次に、動作１２３０で、イニシエータノードＩ_ｉは、鍵シェア及びＱ_ｉ＋１ ^＊に基づき、ロック値を決定する。特に、それは、秘密鍵として扱われるとき、各鍵シェアに対応する公開鍵を決定する。例えば、ｋ_ε ^ｉの場合に、ＥＣＣが利用される場合、ＩｉはＰ_ε ^ｉ＝ｋ_ε ^ｉＧを計算してよい。特に、循環順序付きノードセットＣ_ｉの他のノードの各々も、同様の方法で、自身の鍵シェアに対応する公開鍵を決定できる。

【0192】

イニシエータノードＩ_ｉは、次に、鍵シェアに対応する公開鍵に基づき及びＱ_ｉ＋１ ^＊に基づき、ロック値Ｑ_１ ^ｉを決定する。例えば、ＥＣＣが利用される場合、それは、値を加算してよい：Ｑ_１ ^ｉ＝Ｐ_１ ^ｉ＋Ｐ_２ ^ｉ＋．．．＋Ｐ_ｎｉ－２ ^ｉ＋Ｐ_ｎｉ－１ ^ｉ＋Ｐ_ε ^ｉ＋Ｑ_ｉ＋１ ^＊。

【0193】

後述するように、支払いチャネルは、Ｕ_１ ^ｉのために、Ｉ_ｊとＵ_１ ^ｉとの間で生成される。つまり、Ｕ_０ ^ｉ→Ｕ_１ ^ｉであり、Ｔ_Ｐａｙトランザクションが値Ｑ_１ ^ｉにより「ロック」され、これは、対応する秘密鍵ｓｖ_１からＱ_１ ^ｉに（該鍵を用いる署名ではない）が、Ｔ_Ｐａｙをアンロックするために供給されなければならないことを意味する。特に、Ｑ_１ ^ｉの定義により、Ｔ_Ｐａｙｙトランザクションをアンロックするアンロック値ｓｖ_１は、Ｃ_ｉのノードの各々に関連付けられた鍵シェアに基づいてよい（及びＱ_ｉ＋１ ^＊にも基づく）。例えば、ＥＣＣが利用される場合、Ｑ_１ ^ｉに対応するシークレット値ｓｖ_１ ^ｉは、上述の準同形特性によりＱ_１ ^ｉに関連付けられる。このように、Ｑ_１ ^ｉに対応する秘密鍵ｓｖ_１ ^ｉは、前述の鍵シェア及びＳＶ_ｉ＋１の和であり、つまりＱ_ｉ＋１ ^＊、つまりｋ_１ ^ｉ＋ｋ_２ ^ｉ＋．．．＋ｋ_ｎｉ－２ ^ｉ＋ｋ_ｎｉ－１ ^ｉ＋ｋ_ε ^ｉ＋ＳＶ_ｉ＋１である。

【0194】

支払いチャネルを確立するために、繰り返しが必要である。繰り返しは、ｊ＝０、従って、イニシエータノード（Ｉ_ｉ＝Ｕ_ｊ ^ｉを思い出す）で開始する。

【0195】

次に、動作１２４０で、支払いチャネルの設定を完了するのに十分な時間が残されているか否かが決定される。支払いチャネルの設定を完了するのに十分な時間が残されているか否かを決定する方法は、以下に更に説明される。

【0196】

十分な時間が残されてい無いと決定された場合、設定は終了する（確立された任意の支払いチャネルの返金トランザクションが、タイムアウトにより生じる）。

【0197】

代替として、十分な時間が残されている場合、動作１２４０に続き、支払いチャネルの全部がＣ_ｉのノードの間で生成されたか否かが決定される。生成された場合、該循環順序付きセットについて支払いチャネルの設定が完了したとして終了する。代替として、該循環順序付きセットのうちのノードの間で回路を形成するために生成される必要のある支払いチャネルが依然として存在する場合、次の動作は動作１２５０である。

【0198】

動作１２５０で、ノードＵ_ｊ ^ｉは、ロック値Ｑ_ｊ＋１ ^ｉを用いてリソースをロックする、Ｕ_ｉとＵ_ｊ＋１ ^ｉとの間の支払いチャネルを生成する。例えば、ｊ＝０の場合、上述の支払いチャネルＩ_ｊ→Ｕ_１ ^ｉが生成され、Ｑ_１ ^ｊよりロックされる。

【0199】

動作１２５０から、支払いチャネルの生成に成功した場合、概念的なイニシエータｊは、インクリメントされ、次に動作１２６０である。代替として、失敗した場合、次の動作は動作１２４０であり、支払いチャネルの生成は十分な時間が残っている限り再試行される。

【0200】

動作１２６０で、ノードＵ_ｊ ^ｉは、最後の支払いチャネルをロックするために使用されたロック値、及び自身の鍵シェアｋ_ｊ ^ｉに対応する公開鍵Ｐ_ｊ ^ｉに基づき、次のロック値を決定する。例えば、ＥＣＣが利用される場合、ノードＵ_ｊ ^ｉは、Ｑ_ｊ＋１ ^ｉ＝Ｑ_ｊ ^ｉ－Ｐ_ｊ ^ｉを計算してよい（ここで、Ｑ_ｊ ^ｉはイニシエータｊのインクリメントにより前のロック値を表す）。

【0201】

動作１２６０から、次の動作は動作１２４０であり、十分な時間が残っている（生成に成功できる）限り、別の支払いチャネルが（必要に応じて）生成される。

【0202】

図１３は、上記に従い確立されたノード間の支払いチャネルに関連付けられ得るアンロック値を示すための図８の注釈されたバージョンを提供する。

【0203】

最後に、フローチャート１１００及びフローチャート１２００に示された動作は、種々の動作を生成し利用される共通の値により必ずしも相互依存する必要がないことに留意する。図１４は、フローチャート１１００及びフローチャート１２００の中の動作がどのように結合され得るかを示すフローチャート１４００を提供する。特に、破線で囲まれて示されたフローチャート１４００の中の動作は、並列に進行してよい。更に、影付きで示された動作は、フローチャート１２００の種々の動作に対応することに留意する。

【0204】

＜コミットメントチャネル＞

【0205】

更に後述するように、本願の主題は、１回より多くの支払いの繰り返しのための支払いチャネルの使用を必要としない。実際に、チャネルの主な焦点は支払い自体ではない。むしろ、支払いチャネルは、本願明細書に記載されるプロトコルに従い実施されるエスクロー（escrow）メカニズムとして機能する。従って、上述の既存の支払いチャネルと異なり得る支払いチャネルのバージョンを利用することが可能である。この異なるバージョンの支払いチャネルでは、返金支払いトランザクションの複数の繰り返しを提供するのではなく、リソースのエスクローと時間制限された返金トランザクションに重点が置かれ得るからである。支払いチャネルのこのような変形は、コミットメントチャネルと呼ばれてよい。

【0206】

コミットメントチャネルは、上述の支払いチャネルの例示的な実装と同様に、リソースの移転が一方向のみである点で、「一方向」チャネルである。ノードのペアでは、Ｕ_ＡがＵ_Ｂを支払うコミットメントチャネルは、表記Ｕ_Ａ→Ｕ_Ｂにより表されてよい。

【0207】

図１５は、Ｕ_Ａ→Ｕ_Ｂコミットメントチャネルの表現１５００を提供する。

【0208】

図示のように、コミットメントチャネルは、３つのトランザクションＴ_Ｃ、Ｔ_Ｐａｙ、及びＴ_ｒを含む。表記σ（Ｕ_ｘ）は、Ｕ_ｘの暗号署名を表す。

【0209】

Ｔ_Ｃトランザクションは、支払いチャネルのコミットメントコンポーネントを表す。ここで、トランザクションを通じて、Ｕ_ｂは、２－ｏｆ－２マルチシグネチャ（Ｕ_ｊ ^ｉ及びＵ_ｊ＋１ ^ｉ）、又はシークレット値ｓｖ_ｊ＋１ ^ｉとＵ_ｊ＋１ ^ｉの暗号署名との知識のいずれかにより制御されるべき、指定された数の単位を送信／コミットする。

【0210】

Ｔｒトランザクションは、指定された時間が経過した後にブロックチェーンへの提出の資格を得た、指定された数の単位の（コミットメントトランザクションから）Ｕ_ｂへの返金を表す。従って、Ｔ_ｒは、時間満了の返却条件が充足されると、リソースの制御を、特定のノードＵ_ｂに返すよう構成される。このトランザクションの実行に成功するためには、Ｕ_Ａ及びＵ_Ｂの暗号署名が必要である。

【0211】

Ｔ_Ｐａｙトランザクションは、Ｕ_ｂのコミットされた資金からのＵ_ａへの（つまり、Ｕ_ｂに関連付けられたソースアドレスから、Ｕ_ａに関連付けられた宛先アドレスへの）、指定された数の単位の移転である。このトランザクションの実行に成功するためには、シークレット値ｓｖ_ｊ＋１ ^ｉおよびＵ_Ｂの暗号署名が必要である。言い換えると、トランザクションは、アンロック値を含む必要な値の供給を含む実行条件の充足に応答してのみ実行する。

【0212】

コミットメントチャネルの実装は、Ｂｉｔｃｏｉｎブロックチェーンを用いて提供され得る。このような実装では、Ｔ_Ｃ、Ｔ_ｒ、及びＴ_Ｐａｙの各々は、Ｂｉｔｃｏｉｎトランザクションであってよい。対応するＢｉｔｃｏｉｎトランザクション１６００、１７００、及び１８００は、それぞれ図１６、１７、１８に示される。特に、トランザクション１６００、１７００、及び１８００のうちの１つ以上は、非標準オペコードＯＰ＿ＥＣＰＭＵＬＴを利用してよい。ＯＰ＿ＥＣＰＭＵＬＴは、符号化楕円曲線点及び数値を取り込み、楕円曲線乗算をスカラー（Scalar）により実行して、符号化楕円曲線点として結果を出力する。ＯＰ＿ＥＣＰＭＵＬＴオペコードの詳細は、共同所有の英国特許出願番号第１７０５７４９.８号、「Computer－Implemented System and Method」、２０１７年４月１０日出願、において提供される。

【0213】

図１９は、表１９００を提供し、コミットメントトランザクション１６００の＜ｓｃｒｉｐｔＰｕｂＫｅｙ＞が、コミットされたリソース（Ｂｉｔｃｏｉｎ）をアンロックするために、オペコードＯＰ＿ＥＣＰＭＵＬＴを用いて支払いトランザクション１８００の＜ｓｃｒｉｐｔＳｉｇ＞とどのように結合されるかを示す。

【0214】

＜十分な残り時間＞

【0215】

支払いチャネルを生成するために十分な時間が残っているか否かを決定する方法は、支払いチャネルに関して以下に議論される。

【0216】

支払いチャネルがコミットメントチャネルであるシナリオを検討する。この十分な又は「必要なだけの時間」という考えの中核となるのは、参加者のペアが、彼らが以下を検討することを保証しなければならない、支払いチャネルＵ_Ａ→Ｕ_Ｂを生成することである。

【0217】

１）各コミットメントチャネルは、ｎＴｉｍｅＬｏｃｋｅｄ返金トランザクションＴ_ｒを有する。Ｔ_ｒは、参加者Ｕ_Ａがブロックチェーンに提出してよく、Ｕ_Ａが特定の条件が満たされたことに満足しない場合に、コミットメントチャネルのエスクロー資金をＵ_Ａに返す。

【0218】

２）各参加者はＵ_Ａ、チャネルＵ_Ａ→Ｕ_Ｂを構築し及び彼らの資金を回収するために、「公平な」又は「合意された」時間期間を与えられなければならない。

【0219】

３）Ｕ_Ａ→Ｕ_Ｂ自体が生成された後に生成される必要のある他のコミットメントチャネルが存在してよい。これは、以下を含んでよい：

【0220】

ａ）同じ循環順序付きセットＣ_ｉの回路の中のコミットメントチャネル。

【0221】

ｂ）他の循環順序付きセットに関連付けられたの回路の中のコミットメントチャネル。ここで、Ｃ_ｋ：ｋ＞ｉである。

【0222】

ｃ）循環順序付きイニシエータノードセットに関連付けられたの回路の中のコミットメントチャネルＵ_ｅ→Ｕ_ｆ。ここで、Ｃ_ｋ：ｅ＞Ａである。

【0223】

４）（ＳＶｘ＝ｖ_ｘを開示する処理の中で）マスタイニシエータＩ_Ｍが、第１Ｔ_Ｐａｙトランザクションをブロックチェーンに提出する期待され合意された時間Ｔ_２Ｄが存在する。

【0224】

また留意すべき事に、開始時間Ｔ_２Ｄの前に何らかが上手くいかなかった場合（全部の必要なチャネルが生成されないことを含む）、参加者Ｕ_ｂは、彼らが以下のための十分な時間を確実に有することを望む。

【0225】

ａ）コミットメントチャネルＵ_ｂ→Ｕ_ｃからの返金Ｔ_ｒを提出する、又は

【0226】

ｂ）ＵｃがコミットメントチャネルＵ_ｂ→Ｕ_ｃからの支払いＴ_Ｐａｙを提出していると想定して、コミットメントチャネルＵ_ａ→Ｕ_ｂからの支払いＴ_Ｐａｙを提出する。

【0227】

開始時間Ｔ_２Ｄにより、これらのシナリオを検討する場合、「十分な時間」が残っているか否かの決定は、循環順序付きセットＣ_ｉ（又は循環順序付きイニシエータノードセット）の各ノードにとって、彼らのチャネルを生成し返金を受け取るために十分な時間が残されているか否かを考慮しなければならない。

【0228】

この目的のために、値ｓ_ｉ及びＳ_{ｉ→ｉ＋１} ^＊は、以下のように定義されてよい。

【0229】

ｓ_ｉは、各Ｕ_ｊ ^ｉが、以下を行うために与えられる時間量を表す。

【0230】

１．コミットメントチャネルＵ_ｊ ^ｉ→Ｕ_ｊ＋１ ^ｉを構築する。

【0231】

２．ブロックチェーン内で見付かる必要なシークレット値を決定する

【0232】

３．Ｕ_ｊ＋１ ^ｉを支払うトランザクションＴ_Ｐａｙをブロックチェーンネットワークに提出する。

【0233】

ｓ_ｉは、秒、又はブロック数のような単位で表されてよい。

【0234】

Ｓ_{ｉ→ｉ＋１} ^＊は、所与のイニシエータがコミットメントチャネルを生成するために与えられる時間量を表す。Ｓ_{ｉ→ｉ＋１} ^＊値は、以下のために十分なサイズである。

【0235】

１．循環順序付きセットＣ_ｉ＋１に関連付けられた回路のコミットメントチャネルＵ_ｊ ^ｉ＋１→Ｕ_ｊ＋１ ^ｉ＋１の全部が構築できる。

【0236】

２．循環順序付きセットＣ_ｉ＋１に関連付けられた回路のコミットメントチャネルの全部の必要なシークレット値がブロックチェーン内で見付かる。

【0237】

３．回路Ｃ_ｉ＋１のＴ_Ｐａｙトランザクションの全部がブロックチェーンに提出され得る。

【0238】

４．循環順序付きイニシエータノードセットに関連付けられた回路のコミットメントチャネルＩ_ｉ→Ｉ_ｉ＋１が構築できる。

【0239】

５．コミットメントチャネルＩ_ｉ→Ｉ_ｉ＋１の必要なシークレット値がブロックチェーン内で見付かる。

【0240】

６．Ｉ_ｉ→Ｉ_ｉ＋１のＴ_ＰａｙトランザクションがＢｉｔｃｏｉｎネットワークに提出され得る。

【0241】

特に、Ｓ_{ｉ→ｉ＋１} ^＊の値の選択は、上述の動作のうちの１つ以上が並列に生じ得ることを考慮に入れてよい。

【0242】

Ｓ_{ｉ→ｉ＋１} ^＊は、秒、又はブロック数のような単位で表されてよい。

【0243】

上述のように定義された値ｓ_ｉ及びＳ_{ｉ→ｉ＋１} ^＊により、十分な時間が残っているか否かを評価するための条件は、適切な場合、Ｔ_２Ｄ－現在時間＞ｆ（｛ｓ_ｉ：ｉ∈［ａ，ω］｝）、又はＴ_２Ｄ－現在時間＞ｆ（｛Ｓ_{ｉ→ｉ＋１} ^＊：ｉ∈［ａ，ω］｝）に対応してよい。

【0244】

以上は、支払いチャネルの回路が、種々の循環順序付きセットについてどのように確立され得るかを説明した。システムのコンポーネントの（例えば、ω個の循環順序付きノードセットＣ_ａ，Ｃ_ｂ，．．．，Ｃ_ｉ，．．．Ｃ_ωの各々に対応するサブシステム間の）、及びこれらのコンポーネントのサブコンポーネント内の（例えば、ω個の循環順序付きセットＣ_ａ，Ｃ_ｂ，．．．，Ｃ_ｉ，．．．Ｃ_ωのうちのノードの各々に対応するサブコンポーネント間の）順序付き処理を制御する際のこれらの回路の使用は、図２０を参照して以下に説明される。

【0245】

図２０は、種々の循環順序付きノードセットの間の及び各セットを生成するノードの間の処理の順序を制御する動作を実行するときに、種々の循環順序付きセットのノードにより実行される動作を示すフローチャート２０００を示す。動作２０１０以降は、種々のノードの各々の１つ以上のプロセッサにより実行される。このように、動作２０１０以降は、例えば、メモリ５２０の記憶のようなコンピュータ可読記憶媒体に格納され得るようなコンピュータ実行可能命令を含むソフトウェアを実行する例示的なコンピューティング装置５００の適切に構成されたインスタンスの例えばプロセッサ５１０（図５）のような、種々のコンピューティング装置の１つ以上のプロセッサにより実行される。

【0246】

図２０に示される動作は、循環順序付きノードセット（循環順序付きイニシエータノードセットを含む）の各々のノードの間の回路を形成するために、支払いチャネルが確立されていると推定する。

【0247】

図２０を検討するとき、図８又は図１３を参照して、これらの図に示された例では、循環順序付きイニシエータノードセット以外に４個の循環順序付きセットが存在すること、つまりω＝ｄ＝４であること、及びこれらの４個の循環順序付きセットの各々が正確に４個のノードを含むこと、つまりｎ_ｉ＝４∀ｉ∈［１，ｄ］であること、に留意することは、読者にとって助けとなり得る。図８及び１３の種々の循環順序付きノードセットの表現に従い、これらのノードの間の支払いチャネルの実行、従って結果として生じるこれらのノードによる処理のトリガは、反時計回り方向に進むことに留意する。

【0248】

動作２０１０で、マスタイニシエータＩ_Ｍは、自身の利益のために（Ｉ_ω→Ｉ_Ｍ）、支払いチャネルのトランザクションＴ_Ｐａｙを提出する。特に、支払いチャネルが構築される方法のために、該チャネルのＴ_Ｐａｙは、ロック値Ｑ_ｘ ^＊によりロックされ、対応するアンロック値ＳＶ_ｘによりアンロックされ（ロック値は、アンロック値の公開鍵に対応する秘密鍵である）、Ｑ_ｘ ^＊及びＳＶ_ｘの両者はｖ_ｘに基づく。（ｖ_ｘは、この時点までＩ_Ｍだけに知られていることを思い出す）。特に、これは、Ｔ_Ｐａｙが提出されるとき、ブロックチェーン上でｖ_ｘを開示する効果を有する。

【0249】

ＳＶ_ｘの値は、Ｉ_ωが自身の利益のためにＴ_Ｐａｙトランザクションをアンロックするために必要とされる。幾つかの実装では、Ｉ_ＭはＳＶ_ｘをＩ_ωへ送信してよい。追加又は代替として、Ｉ_ωはＳＶ_ｘをブロックチェーンから読み出してよい。

【0250】

処理がサブシステムに渡り（従って、該サブシステムに対応する循環順序付きセットのイニシエータによりトリガされると、該循環順序付きセットのノードを通じて）進行し得るために、繰り返しが必要である。繰り返しはｉ＝ωで、従って循環順序付きノードセットＣ_ωのイニシエータノードＩ_ωで開始する。

【0251】

次に、動作２０２０で、処理を未だ完了していない（循環順序付きイニシエータノードセット以外の）循環順序付きノードセットに関連付けられた回路の支払いチャネルの提出を完了するために十分な時間が残されているか否か、及び循環順序付きイニシエータノードセットに関連付けられた回路の残りの支払いチャネルの提出を完了するために十分な時間が残されているか否か、が決定される。

【0252】

十分な時間が残されていないと決定された場合、処理は動作２０３０へ進み、イニシエータノードＩ_ｉ－１は、自身の生成した支払いチャネルの返金トランザクション（つまり、Ｔ_ｒ：Ｉ_ｉ－１→Ｉ_ｉ）をブロックチェーンに提出する。特に、これは、チェーン反応をトリガする効果を有し、それにより、循環順序付きイニシエータノードセットの中の他のイニシエータノードの全部が、彼らの利益のために返金トランザクションを同様に提出する。これは、未だ実行していない循環順序付きセットのノードに、返金トランザクションを彼らの利益のために提出させる効果も有する。

【0253】

代替として、動作２０２０で、十分な時間が残されていると決定された場合、処理は動作２０４０へ進む。

【0254】

動作２０４０で、イニシエータノードＩ_ｉは、自身の属する循環順序付き（非イニシエータ）ノードセットＣ_ｉに関連付けられた処理が進行すべきか否かを決定する。このような決定は、例えば、特定の目的及び分散型処理の適用が、全体で又は特定のサブシステムの中でノードにより行われている状況に基づいてよい。例えば、図４に関して議論したように、特定の循環順序付きノードセットにより実行され得るような処理が不要である又は保証されない状況が存在し得る。

【0255】

循環順序付きノードセットＣ_ｉに関連付けられた処理がスキップされるべきであると決定された場合、処理は動作２０５０に進む。代替として、循環順序付きノードセットＣ_ｉに関連付けられた処理が進行すべきであると決定された場合、処理は動作２０７００に進む。

【0256】

なぜなら、更に後述するように、所与の循環順序付きノードセットＣ_ｉの各ノードによる処理の結果として、トランザクションがブロックチェーンにコミットされるので、ブロックチェーンは、どんな処理が生じたかに関して監査証跡を提供する。更に、ブロックチェーンの特性により、このような監査証跡は、改ざん防止又は耐改ざん性であると考えられる。

【0257】

動作２０５０で、イニシエータノードＩ_ｉは、ブロックチェーンからｓｖ_ｉ＋１を読み出す。追加又は代替として、イニシエータノードＩ_ｉは、Ｉ_ｉ＋１から値を受信してよい。ｓｖ_ｉ＋１が取得されると、この値はｖ_ｉに基づき及びＳＶ_ｉ＋１の基づくコンポーネントに基づくので、値は、ｓｖ_ｉを決定するために使用できる。つまり、秘密鍵ｖ_ｊは、循環順序付きイニシエータノードセットのＩ_ｉの直後のイニシエータノードからマスタイニシエータノードまでの、循環順序付きイニシエータノードセットの中の各ノードに対応する。例えば、ＥＣＣが利用される場合、ｖ_ｉ及びｓｖ_ｉ＋１は加算されてよい。

【0258】

動作２０５０から、処理は動作２０６０へ進む。動作２０６０で、Ｉ_ｉは、支払いチャネルＩ_ｉ－１→Ｉ_ｉのための支払いトランザクションＴ_Ｐａｙを、ブロックチェーンに提出する。特に、これは、ブロックチェーン上でｓｖ_ｉを開示する効果を有し、それにより、シーケンスの中の次のイニシエータノード（つまりＩ_ｉ－１）が自身の処理を進めることを可能にする。

【0259】

動作２０６０に続き、概念上のイニシエータｉは、デクリメントされ、イニシエータノードが残っていると想定して（つまり、ｉ＞０）、処理は動作２０２０において継続する。代替として、全部のイニシエータノードが実行する機会を有する場合、処理は終了する。

【0260】

Ｉ_ｉは、循環順序付きセットＣ_ｉのノードに関連付けられた処理をスキップしないと決定することもできたことを思い出す。このシナリオでは、上述のように、処理は動作２０７０へ進み、循環順序付きセットＣ_ｉの処理が開始される。

【0261】

動作２０７０で、イニシエータノードは、値ｓｖ_ε ^ｉを識別する。（ｓｖ_ε ^ｉ＝ｋ_ε ^ｉ＋ＡＶ_ｉ＋１を思い出す）。

【0262】

動作２０７０に続き、動作２０８０で、イニシエータノードＩ_ｉは、自身の利益のためにＴ_Ｐａｙトランザクションをブロックチェーンに提出し、それにより値ｓｖ_ε ^ｉを開示する。特に、更に後述するように、これは、ノードＵ_ｎｉ－１ ^ｉが自身の利益のためにブロックチェーンにＴ_Ｐａｙトランザクションを提出するために必要なアンロック値を計算するために必要な値を開示する効果を有する。従って、動作２０８０は、ノードＵ_ｎｉ－１ ^ｉによる処理をトリガする効果を有する。

【0263】

処理が循環順序付きセットＣ_ｉに渡り、つまり対応するサブシステムのサブコンポーネントに渡り進行し得るように、繰り返しが必要である。特に、処理は各々のこのようなノードに到達するので、該ノードに関連付けられた任意の処理を実行するようトリガされる。

【0264】

繰り返しはｊ＝ｎ_ｉ－１で、従って循環順序付きノードセットＣ_ｉのノードＵ_ｎｉ－１ ^ｉで開始する。

【0265】

動作２０８０から、処理は動作２０９０へ進む。動作２０９０で、循環順序付きノードセットＣ_ｉに関連付けられた回路の支払いチャネルの提出を完了するために十分な時間が残されているか否かが決定される。

【0266】

十分な時間が残されていないと決定された場合、処理は動作２１００へ進み、ノードＵ_ｊ－１ ^ｉは、自身の生成した支払いチャネルの返金トランザクション（つまり、Ｔ_ｒ：Ｕ_ｊ－１ ^ｉ→Ｕ_ｊ ^ｉ）をブロックチェーンに提出し、それにより、順に、Ｃ_ｉの他のノードが対応する返金トランザクションＴ_ｒ：Ｕ_ｋ ^ｉ→Ｕ_ｋ＋１ ^ｉ）を提出するのを開始する。

【0267】

代替として、動作２０９０で、十分な時間が残されていると決定された場合、処理は動作２１１０へ進む。

【0268】

動作２１１０で、循環順序付きノードセットＣ_ｉに関連付けられた回路の中の次のノードＵ_ｊ ^ｉは、シーケンスの中の前のノードがブロックチェーンに提出した支払いトランザクション（つまり、Ｔ_Ｐａｙ：Ｕ_ｊ ^ｉ→Ｕ_ｊ＋１ ^ｉ）からｓｖ_ｊ＋１ ^ｉを読み出し、該値に基づき及び自身の鍵シェアｋ_ｊ ^ｉに基づきｓｖ_ｊ ^ｉを決定する。例えば、ＥＣＣが利用される場合、それはｓｖ_ｊ ^ｉ＝ｋ_ｊ ^ｉ＋ｓｖ_ｊ＋１ ^ｉを計算してよい。

【0269】

動作２１１０から、処理は動作２１２０へ進む。動作２１２０で、ノードＵ_ｊ ^ｉは、自身の利益のために、支払いチャネルの支払いトランザクション（つまり、Ｔ_Ｐａｙ：Ｕ_ｊ－１ ^ｉ→Ｕ_ｊ ^ｉ）をブロックチェーンに提出する。特に、これは、ブロックチェーン上でｓｖ_ｊ ^ｉを公に開示する効果を有する。

【0270】

動作２１２０から、処理が循環順序付きノードセットＣ_ｉの中の次のノードへと進むとき、概念的なイニシエータｊはデクリメントされる。該セットの中に未だ処理を完了していないノードが残っている場合、処理は動作２０９０に進む。代替として、処理がＣ_ｉの中の全部のノードについて完了した場合、制御フローは動作２０５０に戻る。

【0271】

動作２０５０で、上述のように、次のイニシエータノード（Ｉ_ｉ）は、ブロックチェーンからＳＶ_ｉ＋１を読み出して、ＳＶ_ｉを計算できるようになり、次に、動作２０６０で、自身の利益のために、ＳＶ_ｉを用いてアンロックされる支払いチャネルの、つまりイニシエータノードＩ_ｉの直前のノードにより準備され得るような支払いチャネルの、Ｔ_Ｐａｙトランザクションを提出する。しかしながら、特に、循環順序付きセットＣ_ｉのノードの各々に関連付けられたシークレット値はｖ_ｉの鍵シェアであり、これらの値は全部、循環順序付きセットＣ_ｉのノードの利益のために、支払いトランザクションの提出によりブロックチェーン上で開示されるので、Ｉ_ｉが支払いチャネルＩ_ｉ－１→Ｉ_ｉのＴ_Ｐａｙトランザクションのブロックチェーンへの提出に失敗したとしても、循環順序付きセットＣ_ｉのノードによる処理は、依然として、開示された鍵シェアを用いてｖ_ｉを再構成することにより、次のイニシエータノードＩ_ｉ－１により開始されてよい。

【0272】

上述の実施形態は、事実上、循環順序付きセットのうちのある循環順序付きセットに関連し、前者は循環順序付きセットＣ_ｉを参照し、後者は循環順序付きイニシエータノードセットにより定義されるそれらの間の関係を参照する（該セットの各メンバは、マスタイニシエータノードを除き、循環順序付きセットＣ_ｉのうちの１つのメンバでもある）。言い換えると、上述の実施形態は、事実上、循環順序付きセットに２次元に関連する。幾つかの実施形態では、上述の実施形態の主題は、更に多くの次元について可能になるよう更に一般化されてよい。例えば、循環順序付きイニシエータノードセットが定義されてよく、それらのノードの各々は、それぞれの更なる循環順序付きイニシエータノードセットのマスタイニシエータノードであり、従って、それらのイニシエータノードの各々は、それぞれの循環順序付きセットのイニシエータであり、それにより３次元を提供する。

【0273】

上述の実施形態は、本開示を限定するのではなく、説明すること、及び当業者は添付の特許請求の範囲により定められる本開示の範囲から逸脱することなく多くの代替的実施形態を考案できることに留意すべきである。特許請求の範囲において、括弧内の任意の参照符号は、請求項を限定することを意図しない。用語「有する」及び「含む」（comprising、comprises）等は、任意の請求項又は明細書全体に列挙されたもの以外の要素またはステップの存在を排除しない。本願明細書では、「有する」は「有する又は構成される」を意味し、「含む」は「含む又は構成される」を意味する。要素の単数の参照は、該要素の複数の参照を排除しない。逆も同様である。本開示は、幾つかの別個の要素を含むハードウェアにより、及び適切にプログラムされたコンピュータにより、実装できる。幾つかの手段を列挙する装置クレームでは、これらの手段のうちの幾つかは、１つの同じハードウェアアイテムにより具現化されてよい。単に特定の手段が相互に異なる従属請求項に記載されるという事実は、これらの手段の組み合わせが有利に使用されないことを示さない。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【外国語明細書】