特許 7647905 電子投票システム、電子投票方法、および電子投票プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2025-03-10

(45)【発行日】2025-03-18

(54)【発明の名称】電子投票システム、電子投票方法、および電子投票プログラム

(51)【国際特許分類】

   G06Q 50/26 20240101AFI20250311BHJP

【ＦＩ】

G06Q50/26

【請求項の数】 10

(21)【出願番号】P 2023550906

(86)(22)【出願日】2021-09-30

(86)【国際出願番号】 JP2021036127

(87)【国際公開番号】W WO2023053339

(87)【国際公開日】2023-04-06

【審査請求日】2024-03-29

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100080816

【弁理士】

【氏名又は名称】加藤 朝道

(74)【代理人】

【識別番号】100098648

【弁理士】

【氏名又は名称】内田 潔人

(72)【発明者】

【氏名】八木 真二郎

【審査官】牧 裕子

(56)【参考文献】

【文献】特開２００３－６７５３２（ＪＰ，Ａ）

【文献】特開２００４－１９２０２９（ＪＰ，Ａ）

【文献】米国特許出願公開第２０２０／０２２８３４４（ＵＳ，Ａ１）

【文献】米国特許出願公開第２００８／０１０５７４２（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｑ １０／００ － ９９／００

(57)【特許請求の範囲】

【請求項1】

有権者が電子投票を行う電子投票端末と送受信する電子投票システムであって、
有権者名簿に基づいて前記有権者に投票ＩＤを発行する投票権管理装置と、
前記投票ＩＤおよび投票内容に電子署名を付した電子投票情報を前記電子投票端末から受信し、前記投票ＩＤおよび前記投票内容と前記電子署名を照合することで前記有権者の本人確認をし、前記電子投票情報から前記投票ＩＤおよび前記電子署名を除去したものを投票データとして記録する投票処理装置と、
前記投票ＩＤと前記投票内容と前記電子署名を秘密分散して記録する少なくとも３台の秘密分散サーバ装置と、
を備える電子投票システム。

【請求項2】

前記投票権管理装置は、前記投票処理装置における本人確認の結果に基づいて前記投票ＩＤを無効化する、請求項１に記載の電子投票システム。

【請求項3】

前記投票権管理装置は、投票所における投票用紙を用いた投票結果に基づいて、前記投票用紙に紐づけられた前記投票ＩＤを無効化する、請求項１または請求項２に記載の電子投票システム。

【請求項4】

前記秘密分散サーバ装置は、前記投票ＩＤと前記投票内容と前記電子署名を秘密計算を用いて再集計して、前記投票データを用いた集計結果を検証する、請求項１から請求項３のいずれか１項に記載の電子投票システム。

【請求項5】

前記秘密分散サーバ装置は、前記投票ＩＤと前記投票権管理装置が発行した前記投票ＩＤとの整合性を秘密計算を用いて検証する、請求項１から請求項４のいずれか１項に記載の電子投票システム。

【請求項6】

前記秘密分散サーバ装置は、前記投票ＩＤおよび前記投票内容と前記電子署名との整合性を秘密計算を用いて検証する、請求項１から請求項５のいずれか１項に記載の電子投票システム。

【請求項7】

前記投票処理装置は、前記投票ＩＤに紐付けられた有権者の公開鍵が真正であることを第三者認証局に問い合わせて検証した後に本人確認を行う、請求項１から請求項６のいずれか１項に記載の電子投票システム。

【請求項8】

前記電子署名に用いられる秘密鍵と公開鍵の組は公的機関から発行されたものである、請求項１から請求項７のいずれか１項に記載の電子投票システム。

【請求項9】

有権者が電子投票を行う電子投票端末と送受信する電子投票システムを用いた電子投票方法であって、
電子投票システムが有権者名簿に基づいて前記有権者に投票ＩＤを発行し、
前記投票ＩＤおよび投票内容に電子署名を付した電子投票情報を前記電子投票端末から受信し、
前記投票ＩＤおよび前記投票内容と前記電子署名を照合することで前記有権者の本人確認をし、
前記電子投票情報から前記投票ＩＤおよび前記電子署名を除去したものを投票データとして記録し、
前記投票ＩＤと前記投票内容と前記電子署名を秘密分散して記録する、
電子投票方法。

【請求項10】

有権者が電子投票を行う電子投票端末と送受信する電子投票システムに実行させる電子投票プログラムであって、
有権者名簿に基づいて前記有権者に投票ＩＤを発行し、
前記投票ＩＤおよび投票内容に電子署名を付した電子投票情報を前記電子投票端末から受信し、
前記投票ＩＤおよび前記投票内容と前記電子署名を照合することで前記有権者の本人確認をし、
前記電子投票情報から前記投票ＩＤおよび前記電子署名を除去したものを投票データとして記録し、
前記投票ＩＤと前記投票内容と前記電子署名を秘密分散して記録する、
ことを実行させる電子投票プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、電子投票システム、電子投票方法、および電子投票プログラムに関するものである。

【背景技術】

【0002】

選挙に代表されるような無記名投票では、紙の投票用紙を用いることが一般的である。その理由は、選挙における投票では、多重投票の防止および匿名性の担保が厳格に求められており、紙の投票用紙を用いることで多重投票の防止や匿名性の担保が実現されているからである。そして、選挙に代表されるような無記名投票を電子化する、いわゆる電子投票を実現するためには、紙の投票用紙を用いることで実現している多重投票の防止および匿名性の担保が電子投票にも求められることになる。

【0003】

例えば、一般的な選挙では、有権者に投票用紙を郵送するのではなく、投票所にて投票用紙と交換することができる郵便物を送付し、当該郵便物を受け取った有権者は、投票所にて投票用紙と交換して投票箱に投票用紙をいれるという仕組みを採用している。このような仕組みを採用すると、送付される郵便物には、住所および氏名が記載されているものの、投票用紙には記名せずに投票することができるので、匿名性が担保される。また、有権者名簿に記載されている人のみに投票用紙と交換することができる郵便物を送付し、投票用紙と交換時に当該郵便物を回収してしまえば多重投票を防止することができる。

【0004】

電子投票では、このような多重投票の防止および匿名性の担保を電子的な処理として実装する必要がある。例えば特許文献１には、このような多重投票の防止および匿名性の担保のために、投票トークンや電子署名などの仕組みが記載されている。

【先行技術文献】

【特許文献】

【0005】

【文献】特開２０１９－０９５８８４号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

なお、上記先行技術文献の各開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。

【0007】

ところで、電子投票では、従来の投票用紙を用いた投票とは別の観点の信頼性が求められる。それは投票内容の検証であり、例えば不正な投票が行われた可能性がある場合、投票内容を事後的に検証する必要があるが、電子投票では電子データを扱うので紙とは異なる観点が生まれるのである。投票用紙を用いた投票では、投票箱の中の投票用紙を外部から書き換えるような不正をすることはできないが、電子投票では外部から投票データを書き換えられる可能性または不測のデータ破損の可能性を含めて信頼性を担保する必要がある。

【0008】

しかしながら、匿名化した投票データにおいて投票内容を検証することは困難性が伴う。例えば、選挙人名簿に含まれていない人物が投票したデータが含まれていることや、同一人物の投票が重複して含まれていることを、匿名化された後の投票データを用いて検証することは実質的に不可能である。

【0009】

本発明の目的は、上述した課題を鑑み、無記名投票において投票内容を検証することに寄与する電子投票システム、電子投票方法、および電子投票プログラムを提供することにある。

【課題を解決するための手段】

【0010】

本発明の第１の視点では、有権者が電子投票を行う電子投票端末と送受信する電子投票システムであって、有権者名簿に基づいて前記有権者に投票ＩＤを発行する投票権管理装置と、前記投票ＩＤおよび投票内容に電子署名を付した電子投票情報を前記電子投票端末から受信し、前記投票ＩＤおよび前記投票内容と前記電子署名を照合することで前記有権者の本人確認をし、前記電子投票情報から前記投票ＩＤおよび前記電子署名を除去したものを投票データとして記録する投票処理装置と、前記投票ＩＤと前記投票内容と前記電子署名を秘密分散して記録する少なくとも３台の秘密分散サーバ装置と、を備える電子投票システムが提供される。

【0011】

本発明の第２の視点は、有権者が電子投票を行う電子投票端末と送受信する電子投票システムを用いた電子投票方法であって、電子投票システムが有権者名簿に基づいて前記有権者に投票ＩＤを発行し、前記投票ＩＤおよび投票内容に電子署名を付した電子投票情報を前記電子投票端末から受信し、前記投票ＩＤおよび前記投票内容と前記電子署名を照合することで前記有権者の本人確認をし、前記電子投票情報から前記投票ＩＤおよび前記電子署名を除去したものを投票データとして記録し、前記投票ＩＤと前記投票内容と前記電子署名を秘密分散して記録する、電子投票方法が提供される。

【0012】

本発明の第３の視点は、有権者が電子投票を行う電子投票端末と送受信する電子投票システムに実行させる電子投票プログラムであって、有権者名簿に基づいて前記有権者に投票ＩＤを発行し、前記投票ＩＤおよび投票内容に電子署名を付した電子投票情報を前記電子投票端末から受信し、前記投票ＩＤおよび前記投票内容と前記電子署名を照合することで前記有権者の本人確認をし、前記電子投票情報から前記投票ＩＤおよび前記電子署名を除去したものを投票データとして記録し、前記投票ＩＤと前記投票内容と前記電子署名を秘密分散して記録する、ことを実行させる電子投票プログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

【発明の効果】

【0013】

本発明の各視点によれば、無記名投票において投票内容を検証することに寄与する電子投票システム、電子投票方法、および電子投票プログラムを提供することができる。

【図面の簡単な説明】

【0014】

【図1】図１は、第１実施形態に係る電子投票システムを示す概略図である。

【図2】図２は、第１実施形態に係る電子投票方法を示す概略システムフロー図である。

【図3】図３は、実施形態に用いられる装置のハードウェア構成例を示す図である。

【図4】図４は、第２実施形態に係る電子投票システムを示す概略図である。

【発明を実施するための形態】

【0015】

以下、図面を参照しながら、本発明の実施形態について説明する。ただし、以下に説明する実施形態により本発明が限定されるものではない。また、各図面において、同一または対応する要素には適宜同一の符号を付している。さらに、図面は模式的なものであり、各要素の寸法の関係、各要素の比率などは、現実のものとは異なる場合があることに留意する必要がある。図面の相互間においても、互いの寸法の関係や比率が異なる部分が含まれている場合がある。

【0016】

［第１実施形態］
図１は、第１実施形態に係る電子投票システムを示す概略図である。図１に示すように、電子投票システム１００は、投票権管理装置１１０と投票処理装置１２０と秘密分散サーバ１３１，１３２，１３３とを備えている。電子投票システム１００は、有権者Ｐが電子投票を行う電子投票端末２０と送受信し、一般的な選挙を電子化することを想定しているが、無記名アンケートなど、多重投票の防止および匿名性の担保を必要とする投票一般に適用することができる。

【0017】

投票権管理装置１１０は、有権者名簿に基づいて有権者Ｐに投票ＩＤを発行する。投票ＩＤは、数字や文字列であることを想定するが、アンケートなどではプライバシーや安全性が許容すればニックネームや氏名とすることも可能である。また、投票ＩＤは、数字や文字列などを直接発行するのではなく、バーコードや電子トークンなどの形態で発行することも可能である。

【0018】

投票処理装置１２０は、投票ＩＤおよび投票内容に電子署名を付した電子投票情報を電子投票端末２０から受信し、投票ＩＤおよび投票内容と電子署名を照合することで有権者Ｐの本人確認をし、電子投票情報から投票ＩＤおよび電子署名を除去したもの、すなわち投票内容を投票データとして記録する。投票内容とは、選挙であれば立候補者の氏名であり、アンケートであれば回答内容である。

【0019】

ここで電子署名とは、電子的文書の作成者を照明するために当該電子的文書に付す電子的記録である。電子署名を実現する仕組みとして代表的な公開鍵暗号方式では、電子的文書の作成者のみが知っている秘密鍵を用いてその電子的文書またはそのハッシュ値を暗号化することである。作成者のみが知っている秘密鍵で暗号化された暗号文は、公開鍵で復号したときに元の電子的文書またはそのハッシュ値が得られたときに正しい作成者によって作成された電子的文書であることを証明する。投票処理装置１２０は、この仕組み利用し、投票ＩＤおよび投票内容と電子署名を照合することで有権者Ｐの本人確認を行う。

【0020】

投票処理装置１２０は、上記の方法を用いて有権者Ｐの本人確認を行った後、有権者Ｐに対応する投票ＩＤが既に投票済みでないかを投票処理装置１２０に問い合わせて確認し、投票処理装置１２０は有権者Ｐに対応する投票ＩＤが既に投票済みでない場合、有権者Ｐに対応する投票ＩＤを投票済みに変更し、有権者Ｐに対応する投票ＩＤを無効化する。このようにして、電子投票システム１００は、多重投票を防止する。

【0021】

また、投票処理装置１２０は、上記の方法を用いて有権者Ｐの本人確認を行った後、電子投票情報から投票内容を投票データとして記録する。電子投票システム１００は無記名投票に適用することを想定しているので、投票ＩＤおよび電子署名は不要であり、投票処理装置１２０は、電子投票情報から有権者Ｐを特定し得る投票ＩＤおよび電子署名を除去し投票データとして記録する。このようにして、電子投票システム１００は、匿名性を担保する。

【0022】

一方、投票処理装置１２０は、投票ＩＤと投票内容と電子署名を少なくとも３台の秘密分散サーバ１３１，１３２，１３３に秘密分散して記録する。秘密分散とは、秘密にすべき情報を各参加者に分散することで秘密を維持する技術のことである。各参加者には、秘密情報から生成されたシェアと呼ばれる情報がそれぞれ渡される。シェアは参加者の数だけ生成され、個々のシェアを見ても元の秘密情報を復元できず、かつ、十分な数のシェアを集めれば秘密情報を復元することができるように生成される。

【0023】

例えば、３台の秘密分散サーバ１３１，１３２，１３３に秘密分散する最も簡単な方法は、秘密にすべき情報ａをａ＝ａ_１＋ａ_２＋ａ_３ ｍｏｄ７のように分解し、秘密分散サーバ１３１に（ａ_１，ａ_２）を記録し、秘密分散サーバ１３２に（ａ_２，ａ_３）を記録し、秘密分散サーバ１３３に（ａ_３，ａ_１）を記録すると、各秘密分散サーバ１３１，１３２，１３３に記録されているデータだけでは、秘密にすべき情報ａを復元することができない。一方、３台の秘密分散サーバ１３１，１３２，１３３のうち少なくとも２台のデータを組み合わせると秘密の情報ａを復元できる。このような秘密分散の手法は各種知られており、これも電子投票システム１００を適用する用途に応じて適宜選択して用いることができる。その場合、必要な秘密分散サーバの台数が３台ではなくより多くの台数の秘密分散サーバを必要とすることもある。

【0024】

また、上記のように秘密分散された秘密の情報は、秘密を維持したまま計算することもできる。一般に、秘密を維持したまま行う計算を秘密計算と呼ぶ。この秘密計算は理論的には任意の演算を行うことが可能である。なぜならば、AND演算とOR演算を秘密計算で実現することが可能だからである。しかしながら、すべての計算をAND演算とOR演算に分解するのは煩雑であり、求められる秘密計算に適した秘密分散の手法を適宜選択して用いることができる。

【0025】

これにより、秘密分散サーバ１３１，１３２，１３３は、投票ＩＤと投票内容と電子署名を秘密計算を用いて再集計して、投票処理装置１２０が集計した投票データを用いた集計結果を検証することができる。また、秘密分散サーバ１３１，１３２，１３３は、投票ＩＤと投票権管理装置が発行した投票ＩＤとの整合性を秘密計算を用いて検証することができる。さらに、秘密分散サーバ１３１，１３２，１３３は、投票ＩＤおよび投票内容と電子署名との整合性を秘密計算を用いて検証することもできる。このように、本実施形態の電子投票システム１００では、多重投票を防止し匿名性を担保しながらも、投票データに記録されているデータが適切なものであることを検証することができる。

【0026】

なお、投票処理装置１２０と電子投票端末２０との間の通信は、電子投票の用途が要求する安全性に応じて暗号化されることが好ましい。投票処理装置１２０と電子投票端末２０との間の通信が傍受されると、有権者Ｐの投票内容が漏洩する虞がある。したがって、高度に安全性が要求される投票に適用する場合、暗号化を施すことが好ましい。また、投票処理装置１２０と電子投票端末２０との間の通信全体を暗号化することも可能であるが、用途の安全性が許容すれば投票内容のみを暗号化して暗号化後の投票内容に電子署名を付すという方法も考えられる。

【0027】

図２は、第１実施形態に係る電子投票方法を示す概略システムフロー図である。図２に示される電子投票方法は、有権者が電子投票を行う電子投票端末２０と送受信する電子投票システム１００を用いた電子投票方法である。電子投票システム１００は、投票権管理装置１１０と投票処理装置１２０と秘密分散サーバ１３０とを備えており、図２は、電子投票端末２０と投票権管理装置１１０と投票処理装置１２０と秘密分散サーバ１３０との間で行われる処理の概要を示している。なお、秘密分散サーバ１３０は、図１における秘密分散サーバ１３１，１３２，１３３を代表して記載しており、実際の台数を限定するものではない。

【0028】

図２に示すように、ステップＳ１では、投票権管理装置１１０が有権者名簿に基づいて有権者Ｐに投票ＩＤを発行し、投票権管理装置１１０が電子投票端末２０へ投票ＩＤを送信する。

【0029】

そして、ステップＳ２では、有権者Ｐは電子投票端末２０を用いて、投票ＩＤおよび投票内容に電子署名を付し、投票ＩＤと投票内容と電子署名とを投票処理装置１２０へ送信する。

【0030】

ステップＳ３では、投票処理装置１２０が投票ＩＤおよび投票内容と電子署名を照合することで有権者Ｐの本人確認を行う。

【0031】

その後、ステップＳ４では、投票処理装置１２０が有権者Ｐに対応する投票ＩＤが既に投票済みでないかを投票処理装置１２０に問い合わせて確認する。投票処理装置１２０は有権者Ｐに対応する投票ＩＤが既に投票済みでない場合、有権者Ｐに対応する投票ＩＤを投票済みに変更し、有権者Ｐに対応する投票ＩＤを無効化する。このようにして、電子投票システム１００は、多重投票を防止する。

【0032】

一方、ステップＳ５では、投票処理装置１２０が電子投票情報から投票内容を投票データとして記録する。言い換えると、投票処理装置１２０は、電子投票情報から有権者Ｐを特定し得る投票ＩＤおよび電子署名を除去し投票データとして記録し、匿名性を担保する。

【0033】

そして、ステップＳ６では、投票処理装置１２０が投票ＩＤと投票内容と電子署名を秘密分散サーバ１３０に送信し、秘密分散サーバ１３０は投票ＩＤと投票内容と電子署名を秘密分散して記録する。

【0034】

上記説明したように、本実施形態の電子投票方法では、多重投票を防止し匿名性を担保しながらも、投票データに記録されているデータが適切なものであることを検証することができる。

【0035】

［ハードウェア構成例］
図３は、実施形態に用いられる装置のハードウェア構成例を示す図である。すなわち、投票権管理装置１１０、投票処理装置１２０、秘密分散サーバ１３１，１３２，１３３は、図３に示すハードウェア構成を採用した情報処理装置（コンピュータ）にて、上記説明した電子投票方法をプログラムとして実行させることで、投票権管理装置１１０、投票処理装置１２０、秘密分散サーバ１３１，１３２，１３３における各機能を実現することを可能にする。ただし、図３に示すハードウェア構成例は、投票権管理装置１１０、投票処理装置１２０、秘密分散サーバ１３１，１３２，１３３の各機能を実現するハードウェア構成の一例であり、投票権管理装置１１０、投票処理装置１２０、秘密分散サーバ１３１，１３２，１３３のハードウェア構成を限定する趣旨ではない。投票権管理装置１１０、投票処理装置１２０、秘密分散サーバ１３１，１３２，１３３は、図３に示さないハードウェアを含むことができる。

【0036】

図３に示すように、投票権管理装置１１０、投票処理装置１２０、秘密分散サーバ１３１，１３２，１３３が採用し得るハードウェア構成１０は、例えば内部バスにより相互に接続される、ＣＰＵ（Central Processing Unit）１１、主記憶装置１２、補助記憶装置１３、およびＩＦ（Interface）部１４を備える。

【0037】

ＣＰＵ１１は、投票権管理装置１１０、投票処理装置１２０、秘密分散サーバ１３１，１３２，１３３が実行する電子投票プログラムに含まれる各指令を実行する。主記憶装置１２は、例えばＲＡＭ（Random Access Memory）であり、投票権管理装置１１０、投票処理装置１２０、秘密分散サーバ１３１，１３２，１３３が実行する準同型巡回演算プログラムなどの各種プログラムなどをＣＰＵ１１が処理するために一時記憶する。

【0038】

補助記憶装置１３は、例えば、ＨＤＤ（Hard Disk Drive）であり、投票権管理装置１１０、投票処理装置１２０、秘密分散サーバ１３１，１３２，１３３が実行する準同型巡回演算プログラムなどの各種プログラムなどを中長期的に記憶しておくことが可能である。電子投票プログラムなどの各種プログラムは、非一時的なコンピュータ可読記録媒体（non-transitory computer-readable storage medium）に記録されたプログラム製品として提供することができる。

【0039】

また、補助記憶装置１３は、電子投票方法に用いられるデータを記憶することも可能である。すなわち、補助記憶装置１３は、投票権管理装置１１０における有権者名簿を記憶することに用いることができ、投票処理装置１２０における投票データを記憶することに用いることができ、秘密分散サーバ１３１，１３２，１３３における秘密分散データに用いることができる。

【0040】

ＩＦ部１４は、例えば投票権管理装置１１０、投票処理装置１２０、秘密分散サーバ１３１，１３２，１３３の間の入出力に関するインターフェイスを提供する。

【0041】

上記のようなハードウェア構成１０を採用した情報処理装置は、先述した電子投票方法をプログラムとして実行することで、例えば投票権管理装置１１０、投票処理装置１２０、秘密分散サーバ１３１，１３２，１３３の各機能を実現する。

【0042】

［第２実施形態］
図４は、第２実施形態に係る電子投票システムを示す概略図である。第２実施形態に係る電子投票システム２００は、実際の選挙における投票により近い実施形態である。

【0043】

図４に示すように、電子投票システム２００は、投票権管理装置２１０と投票処理装置２２０と秘密分散サーバ群２３０とを備えている。電子投票システム２００は、有権者Ｐが電子投票端末２０を用いて行う電子投票を処理すると共に、有権者Ｐが投票所３０にて投票用紙３１を用いて投票した時でも多重投票を防止する。

【0044】

投票権管理装置２１０は、有権者名簿に基づいて有権者Ｐに投票ＩＤを発行する。このとき、投票ＩＤは、電子投票と投票用紙３１を用いた投票で共通とする。例えば、投票用紙３１における投票ＩＤは、バーコードなどで印字することで実施することができる。

【0045】

投票処理装置２２０は、投票ＩＤおよび投票内容に電子署名を付した電子投票情報を電子投票端末２０から受信し、投票ＩＤおよび投票内容と電子署名を照合することで有権者Ｐの本人確認をする。

【0046】

ここで電子署名には、公的機関から発行された秘密鍵と公開鍵の組を用いる。例えば、日本国ではマイナンバーカードという制度が存在し、このマイナンバーカードに組み込まれているＩＣチップには、公的機関から発行された秘密鍵と公開鍵の組が格納されている。そして、この秘密鍵と公開鍵の組を電子署名は、スマートフォンなどの一般に普及している電子端末を介して利用可能となっている。選挙の電子投票制度においても、このような公的機関から発行された秘密鍵と公開鍵の組を用いる電子署名を用いることが好ましい。

【0047】

さらに、投票処理装置２２０は、電子投票端末２０から受信した電子署名が正当なものであることを第三者認証局４０に問い合わせて確認する。上記のような電子署名であっても、秘密鍵と公開鍵の組を偽造することによって、有権者Ｐに成りすましが行われる危険性がある。そこで、公開鍵とその公開鍵の持ち主の対応関係を保証するための公開鍵基盤（ＰＫＩ；public key infrastructure）という仕組みが存在する。投票処理装置２２０は、この仕組みを利用して、投票ＩＤに紐付けられた有権者の公開鍵が真正であることを第三者認証局４０に問い合わせて検証した後に本人確認を行う。

【0048】

投票処理装置２２０は、上記の方法を用いて有権者Ｐの本人確認を行った後、有権者Ｐに対応する投票ＩＤが既に投票済みでないかを投票処理装置２２０に問い合わせて確認し、投票処理装置２２０は有権者Ｐに対応する投票ＩＤが既に投票済みでない場合、有権者Ｐに対応する投票ＩＤを投票済みに変更し、有権者Ｐに対応する投票ＩＤを無効化する。

【0049】

投票処理装置２２０が管理する投票ＩＤは、電子投票と投票用紙３１を用いた投票で共通しており、上記のように投票処理装置２２０にて電子投票の確認がされると、投票所３０における投票用紙３１を用いた投票を拒否するようにする。逆に、投票所３０における投票用紙３１を用いた投票が既に行われている場合、投票処理装置２２０は有権者Ｐに対応する投票ＩＤが既に投票済みとなっており、投票処理装置２２０から投票処理装置２２０への問い合わせも投票済みとなるので、電子投票の受け付けも拒否することができる。このようにして、電子投票システム２００は、電子投票と投票用紙３１を用いた投票との間で多重投票を防止する。

【0050】

そして、投票処理装置２２０は、電子投票情報から投票ＩＤおよび電子署名を除去したもの、すなわち投票内容を投票データとして記録する。投票処理装置２２０は、投票締め切り時間まで投票データ未公開とするが、各時刻での投票率などの情報をダッシュボードシステム５０で公開することも可能である。また、投票締め切り時間を過ぎてしまえば、投票データには個人情報などが含まれていないので、オープンデータとして公共に公開してしまうことも可能である。

【0051】

投票処理装置２２０は、投票ＩＤと投票内容と電子署名を秘密分散サーバ群２３０に秘密分散して記録する。秘密分散サーバ群２３０における秘密分散および秘密計算の仕組みについては第１実施形態と同様であるのでここでは説明を省略する。

【0052】

なお、引用した上記の特許文献等の各開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。さらに、上記引用した文献の各開示事項は、必要に応じ、本発明の趣旨に則り、本発明の開示の一部として、その一部又は全部を、本書の記載事項と組み合わせて用いることも、本願の開示事項に含まれるものと、みなされる。

【符号の説明】

【0053】

１００，２００ 電子投票システム
１１０，２１０ 投票権管理装置
１２０，２２０ 投票処理装置
１３０，１３１，１３２，１３３ 秘密分散サーバ
２３０ 秘密分散サーバ群
１０ ハードウェア構成
１１ ＣＰＵ
１２ 主記憶装置
１３ 補助記憶装置
１４ ＩＦ部
２０ 電子投票端末
３０ 投票所
３１ 投票用紙
４０ 第三者認証局
５０ ダッシュボードシステム
Ｐ 有権者

【図1】

【図2】

【図3】

【図4】