(57)【要約】【課題】  投票所型の電子投票システムにおいて、投票データに対して改ざん、水増し、抜き取り等の不正行為がされていないことを検証可能な投票データ管理方法、装置、プログラム及び記録媒体を提供する。【解決手段】  管理者が投票受付開始の操作を行うと、検証データＭｎ生成部２０は、可搬媒体１の秘密情報Ｓ管理部１０が管理する秘密情報Ｓと、属性情報Ａｎ管理部３０が管理する属性情報Ａｎ（投票データＶｎに関する属性情報Ａｎ）とを入力し、検証データＭｎ’を生成する。投票受付開始処理部５０は、検証データＭｎ’と、検証データＭｎ管理部７０が管理する検証データＭｎ（投票受付停止時の検証データ）とを比較し、一致した場合は投票の受付を開始する。【選択図】  図１
2006185104.tif 000002
【特許請求の範囲】
【請求項１】
投票者が選択した候補に対応する投票内容を投票データとして管理し、電子投票を実現する投票データ管理装置による方法であって、
前記投票データ管理装置が、
管理者の投票受付停止操作により、該投票データ管理装置に格納されている投票データＶｎに関する属性情報Ａｎ、及び該投票データ管理装置を管理する管理者の秘密情報Ｓを入力し、これらの情報に対応する検証データＭｎを生成して保存手段に保存し、投票の受付を停止し、
管理者の投票受付開始操作により、該投票データ管理装置に格納されている投票データＶｎに関する属性情報Ａｎ、及び前記秘密情報Ｓを入力し、これらの情報に対応する検証データＭｎ’を生成し、該検証データＭｎ’と前記保存手段に保存されている検証データＭｎとを比較し、両データが等しいときに投票の受付を開始する、
ことを特徴とする投票データ管理方法。
【請求項２】
請求項１に記載の投票データ管理方法において、
投票の受付を停止してから開始するまでの間に、
管理者の投票データ検証操作により、該投票データ管理装置に格納されている投票データＶｎに関する属性情報Ａｎ、及び前記秘密情報Ｓを入力し、これらの情報に対応する検証データＭｎ’を生成し、該検証データＭｎ’と前記保存手段に保存されている検証データＭｎとを比較し、両データが等しいことを検証する、
ことを特徴とする投票データ管理方法。
【請求項３】
請求項１または２に記載の投票データ管理方法において、
前記属性情報Ａｎは、投票データＶｎの格納日時及び更新日時を含む日付情報と、該投票データＶｎのデータサイズとを含む、
ことを特徴とする投票データ管理方法。
【請求項４】
投票者が選択した候補に対応する投票内容を投票データとして管理し、電子投票を実現する投票データ管理装置であって、
管理者の投票受付停止操作により、該投票データ管理装置に格納されている投票データＶｎに関する属性情報Ａｎ、及び該投票データ管理装置を管理する管理者の秘密情報Ｓを入力する手段と、
これらの情報に対応する検証データＭｎを生成して保存手段に保存する手段と、
前記投票受付停止操作に伴って投票の受付を停止する手段と、
管理者の投票受付開始操作により、該投票データ管理装置に格納されている投票データＶｎに関する属性情報Ａｎ、及び前記秘密情報Ｓを入力する手段と、
これらの情報に対応する検証データＭｎ’を生成する手段と、
該検証データＭｎ’と前記保存手段に保存されている検証データＭｎとを比較し、両データが等しいときに投票の受付を開始する手段と、
を備えたことを特徴とする投票データ管理装置。
【請求項５】
請求項４に記載の投票データ管理装置において、
さらに、投票の受付を停止してから開始するまでの間に、管理者の投票データ検証操作により、該投票データ管理装置に格納されている投票データＶｎに関する属性情報Ａｎ、及び前記秘密情報Ｓを入力する手段と、
これらの情報に対応する検証データＭｎ’を生成する手段と、
該検証データＭｎ’と前記保存手段に保存されている検証データＭｎとを比較し、両データが等しいことを検証する手段と、
を備えたことを特徴とする投票データ管理装置。
【請求項６】
請求項４または５に記載の投票データ管理装置において、
前記属性情報Ａｎは、投票データＶｎの格納日時及び更新日時を含む日付情報と、該投票データＶｎのデータサイズとを含む、
ことを特徴とする投票データ管理装置。
【請求項７】
投票者が選択した候補に対応する投票内容を投票データとして管理し、電子投票を実現する投票データ管理装置を構成するコンピュータに、請求項１から３までのいずれか一項に記載の方法を実行させる投票データ管理プログラム。
【請求項８】
請求項７に記載の投票データ管理プログラムを記録した記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、従来紙で行っていた投票を電子化する電子投票技術において、投票内容に対する不正を検出し、安全な投票データ管理を行う電子投票技術に関する。
【背景技術】
【０００２】
一般に、投票とは、投票者が、有権者全員に提示された複数の候補の中から、指定された数（１または２以上）の候補を選択し、その選択結果を集計者に伝え、集計者が、各候補に対する投票数を集計することである。候補とは、政治的選挙における立候補者の名前のみならず、統計調査における選択項目であってもよい。また、投票内容とは、投票者が選択した候補を表す識別情報、記号、名前、項目等である。
【０００３】
電子投票システムは、次の２つ形態に分類することができる。第１は、投票端末と集計端未との間をオープンなネットワークで接続する形態（以下、ＮＷ型という。）である。また、第２は、投票端末と集計端末を切り離し、投票データのやりとりを可搬媒体で行う形態（以下、投票所型という。）である。
【０００４】
ＮＷ型の電子投票システムについて、投票者の偽装や二重投票、投票内容の盗聴に伴う漏洩等を防止することが可能なディジタル署名を用いた電子投票方式が提案されている（例えば、特許文献１，２、及び非特許文献１，２を参照。）。これらの方式では、投票者が投票内容を暗号化して集計者へ送付し、集計者が同暗号文を掲示板等により公開する。投票者は、自分が送付した暗号文が掲示板に公開されていることを、オープンなネットワークを利用して確認する。これにより、投票者は、収集された投票データに対して改ざん等の不正行為がないことを確認することができる。
【０００５】
一方、投票所型の電子投票システムについて、ガイドラインが総務省を中心にまとめられ、地方選挙において実施が認められている（例えば、非特許文献３を参照。）。この方式では、投票者は決められた投票所に出向き投票を行う。投票内容は可搬記録媒体に記録され、投票所が閉鎖された後、この記録媒体は集計所に運ばれ、集計される。この方式はＮＷ型の方式と違って、投票者自らは、不正行為がないことを確認することができず、選挙管理者が投票データの管理を行うのみである。また、２００３年の法改正により、選挙期日の公示日または告示日の翌日から選挙期日の前日までの間も、この方式を利用して投票することができる（例えば、非特許文献４を参照）。
【０００６】
【特許文献１】特開平６−１９９４３号公報
【特許文献２】特開２０００−２０７４８３号公報
【非特許文献１】Atsushi Fujioka, Tatsuaki 0kamoto, kazuo Ohta、“A practical secret voting scheme for large scale elections”、in Advances in Cryptology-AUSCRYPT92、Lecture Notes in Computer Science 718、Spring-Verlag. Berlin、pp.244-251(1993)
【非特許文献２】Miyako Ohkubo, Fumiaki Miura, Masayuki Abe, Atsushi Fujioka, Tatsuaki Okamoto、“An Improvement on A Practical Secret Voting Scheme”、ISW １９９９、pp.255-234
【非特許文献３】“電子投票システムに関する技術的条件及び解説”、電子機器利用による選挙システム研究会、平成１４年２月
【非特許文献４】“期日前投票制度の概要・メリット”、［online］、総務省、［平成１６年１１月１９日検索］、インターネット＜ＵＲＬ：http://www.soumu.go.jp/senkyo/kijitsu_gaiyo.html＞
【発明の開示】
【発明が解決しようとする課題】
【０００７】
前述のＮＷ型の電子投票システムでは、収集した投票データを掲示板等により公開するので、投票データに対して改ざん、水増し、抜き取り等の不正行為がされていないことを、選挙人本人及び投票していない第三者が確認することができ、かつ投票の秘密（誰が誰に投票したかを秘密にする）を守ることができる。
【０００８】
一方、投票所型の電子投票システムでは、選挙人は投票が完了すると投票所を立ち去ってしまうので、自分の投票データが正しく管理されているかを確認することができない。そのため、投票所型の電子投票システムを運用する際には、投票データに対して不正行為がされないよう厳重に管理・運用する必要がある。さらに、２００３年より実施可能となった期日前投票制度では、投票データの管理を、昼夜問わず複数日間厳重に行う必要がある。この場合、投票データを厳重に管理したとしても、投票データに対する不正行為がされていないことを、第三者に対して証明するのは困難である。
【０００９】
本発明は上記課題を解決するためになされたものであり、その目的は、投票所型の電子投票システムにおいて、投票データに対して改ざん、水増し、抜き取り等の不正行為がされていないことを検証可能な投票データ管理方法、装置、プログラム及び記録媒体を提供することにある。
【課題を解決するための手段】
【００１０】
本発明では、投票データ管理装置が投票データＶｎを格納し、例えば、管理者が持つＩＣカード等の可搬媒体を用いて投票の受付を停止する。具体的には、既に投票データ管理装置に格納されている投票データＶｎに関する属性情報Ａｎと、管理者が持つ可搬媒体内の秘密情報Ｓを入力し、対応する検証データＭｎを生成して保存する。この場合、検証データＭｎは、投票データ管理装置内に保存してもよいし、前記可搬媒体内に保存してもよい格納してもよい。一方、投票の受付を開始するときも、例えば、管理者が持つ可搬媒体を用いる。具体的には、投票データＶｎに関する属性情報Ａｎと、管理者の可搬媒体内の秘密情報Ｓを入力し、対応する検証データＭｎ’を生成し、当該検証データＭｎ’と保存されている検証データＭｎとを比較して一致するかを判断し、一致した場合のみ不正行為がないとして投票の受付を開始する。
【００１１】
また、本発明では、投票の受付を停止してから開始するまでの間に、管理者の投票データの検証操作があると、投票データＶｎに関する属性情報Ａｎと、管理者の可搬媒体内の秘密情報Ｓを入力し、対応する検証データＭｎ’を生成し、当該検証データＭｎ’と保存されている検証データＭｎとを比較して一致するかを判断し、一致した場合のみ投票データＶｎ、属性情報Ａｎ及び検証データＭｎが正しいとして、不正行為がないことを検証する。
【００１２】
本発明により、投票データ管理装置において投票の受付を停止してから開始するまでの間、または、投票の受付を停止してから投票データの検証操作があるまでの間、投票データＶｎに対して不正操作がなかったことを確認することができる。
【００１３】
尚、暗号理論を用いた完全性証明を行うとき、投票データに電子署名コードであるＭＡＣ（Message Authentication Code）を用いることがあるが、前述の非特許文献３に記載されたシステムにおいては、投票者が投票した後は、同投票データへの読み書きは推奨されていないので、ＭＡＣをそのまま適用することはできない。そこで、本発明の投票データ管理装置は、投票データＶｎから生成した属性情報Ａｎを用いて、不正行為の有無を判断することを特徴とする。また、属性情報Ａｎは、投票データＶｎがファイル形式であるならば、投票データＶｎファイルの作成日時や更新日時、及び該投票データＶｎファイルのデータサイズを含む情報とすることができる。
【発明の効果】
【００１４】
以上のように、本発明によれば、投票所型の電子投票システムにおいて、投票データへ直接アクセスすることなく、投票データに対する改ざん、水増し、抜き取り等の不正行為がされていないことを検証することが可能となる。
【発明を実施するための最良の形態】
【００１５】
以下、図面を参照して、本発明の投票データ管理方法及び装置の実施の形態について詳細に説明する。
〔実施例１〕
図１は、本発明による投票データ管理装置（以下、投票端末という。）の機能構成を示すブロック図である。この投票端末２は、検証データＭｎ生成部２０、属性情報Ａｎ管理部３０、投票データＶｎ管理部４０、投票受付開始処理部５０、投票受付停止処理部６０、検証データＭｎ管理部７０及び投票データＶｎ検証部８０を備えている。また、可搬媒体１は秘密情報Ｓ管理部１０を備えている。投票データＶｎ管理部４０は、投票受付が開始してから停止するまでに投票者により投票された投票データを入力し、管理する。ここで、投票データとは、例えば、投票者が選択した候補を表す識別情報、記号、名前、項目等をいう。属性情報Ａｎ管理部３０は、投票データＶｎ管理部４０により管理された投票データＶｎを入力し、当該投票データＶｎを用いて属性情報Ａｎを生成し、管理する。
【００１６】
検証データＭｎ生成部２０は、属性情報Ａｎ管理部３０により管理された投票データＶｎ、及び可搬媒体１に格納された秘密情報Ｓをそれぞれ入力し、検証データＭｎ，Ｍｎ’を生成する。投票受付停止処理部６０は、検証データＭｎ生成部２０により生成された検証データＭｎを入力し、投票受付停止処理を行う。検証データＭｎ管理部７０は、投票受付停止処理部６０から検証データＭｎを入力し、管理する。投票受付開始処理部５０は、検証データＭｎ生成部２０により生成された検証データＭｎ、及び検証データＭｎ管理部７０により管理された検証データＭｎを入力し、両者を比較して一致した場合に投票受付開始処理を行う。投票データＶｎ検証部８０は、検証データＭｎ生成部２０により生成された検証データＭｎ、及び検証データＭｎ管理部７０により管理された検証データＭｎを入力し、両者を比較して投票データＶｎを検証する。可搬媒体１の秘密情報Ｓ管理部１０は、投票端末２を管理する管理者固有の情報である秘密情報Ｓを管理する。尚、可搬媒体１は、例えばＩＣカードである。
【００１７】
以下、投票端末２の動作について、図２及び５を参照して説明する。図２は、投票受付開始手順を示すフローチャート図であり、図５は、投票受付停止手順を示すフローチャート図である。これは、例えば、期日前投票制度に従って、選挙期日の公示日の翌日から選挙期日の前日までの間で日毎に、投票受付の開始及び停止を繰り返して行う動作である。
（１）投票受付開始前
投票が全く開始されていない投票受付開始前の状態において、投票データＶｎ管理部４０には投票データＶｎが存在しておらず、属性情報Ａｎ管理部３０にも属性情報Ａｎが存在いない。また、検証データＭｎ管理部７０にも検証データＭｎが存在しない。
【００１８】
（２）最初の投票受付開始
まず、管理者が、投票端末２に対して投票受付開始の操作を行い、可搬媒体１を投票端末２に挿入すると、投票端末２の管理者認証部（図示せず）は、管理者の操作によるパスワード等を入力し、挿入された可搬媒体１が正当な媒体であることを認証する。そして、検証データＭｎ生成部２０は、検証データＭｎ管理部７０に検証データが存在するか否かを判断し（ステップＳ２１）、検証データＭｎが存在しないことを判断すると、検証データＭｎを生成しない。投票受付開始処理部５０は、検証データＭｎ生成部２０が検証データＭｎを生成しないことを判断し、投票の受付を開始する（ステップＳ２７）。
【００１９】
投票受付開始処理部５０が投票の受付を開始すると、投票データＶｎ管理部４０は、投票データを入力し、管理する。投票データＶｎ管理部４０が投票データＶｎを入力すると、属性情報Ａｎ管理部３０は、その投票データＶｎを用いて属性情報Ａｎを生成して管理する。すなわち、属性情報Ａｎ管理部３０は、投票毎（投票データＶｎが変更される毎）に属性情報Ａｎを生成して管理する。図４は、属性情報Ａｎの構成を示す図である。この属性情報Ａｎは、投票データＶｎ管理部４０に管理されている投票データＶｎのファイルサイズ、当該投票データファイルの作成日付、更新日付、アクセス日付、及びその他の管理情報から構成される。
【００２０】
（３）投票受付停止
管理者が、投票端末２に対して投票受付停止の操作を行い、可搬媒体１を投票端末２に挿入すると、投票端末２の管理者認証部（図示せず）は、管理者の操作によるパスワード等を入力し、挿入された可搬媒体１が正当な媒体であることを認証する。そして、検証データＭｎ生成部２０は、可搬媒体１の秘密情報Ｓ管理部１０により管理された秘密情報Ｓを読み出し（ステップＳ５１）、属性情報Ａｎ管理部３０により管理された属性情報Ａｎを入力し（ステップＳ５２）、検証データＭｎを生成する（ステップＳ５３）。属性情報Ａｎは、この時点において投票データＶｎを用いて生成された情報ではなく、投票毎に生成された情報である。したがって、属性情報Ａｎ管理部３０は、検証データＭｎ生成部２０が検証データＭｎを生成する際に、投票データＶｎを用いて属性情報Ａｎを生成する必要がない。これにより、投票受付停止時における負荷を軽減することができる。
【００２１】
ここで、検証データＭｎ生成部２０が秘密情報Ｓ及び属性情報Ａｎを用いて検証データＭｎを生成する処理について、詳細に説明する。図３は、検証データＭｎ生成部２０の機能構成を示すブロック図である。この検証データＭｎ生成部２０は、連結器２１、ハッシュ生成器２２、連結器２３及びハッシュ生成器２４を備えている。検証データＭｎ生成部２０は、これら連結器２１，２３及びハッシュ生成器２２，２４により、ＨＭＡＣ（Keyed-Hashing for Message Authentication）を利用し、以下の数式に従って検証データＭｎを生成する。
Ｍｎ＝ｈａｓｈ（Ｓ＝｜｜ｈａｓｈ（Ｓ｜｜Ａｎ））
ここで、ｈａｓｈはハッシュ関数、｜｜は連結を示す。尚、ＨＭＡＣのアルゴリズムについては、ＲＦＣ２１０４（http：//www.ietf.org/rfc/rfc2104.txt、http://www.ipa.go.jp/security/rfc/RfC2104JA.htmlを参照。）に規定されている。具体的に説明すると、連結器２１は、秘密情報Ｓ及び属性情報Ａｎを入力し、連結処理を行う。ハッシュ生成器２２は、連結器２１から連結結果を入力し、ハッシュ関数によりハッシュ生成する。連結器２３は、秘密情報Ｓ、及びハッシュ生成器２２から生成結果を入力し、連結処理を行う。そして、ハッシュ生成器２４は、連結器２３から連結結果を入力し、ハッシュ関数により検証データＭｎを生成する。
【００２２】
次に、投票受付停止処理部６０は、検証データＭｎ生成部２０により生成された検証データＭｎを入力し、検証データＭｎ管理部７０へ出力した後に、投票の受付を停止する（ステップＳ５５）。検証データＭｎ管理部７０は、投票受付停止処理部６０から検証データＭｎを入力し、管理する（ステップＳ５４）。尚、投票データＶｎが１票も入力されていなかった場合、検証データＭｎ管理部７０は、属性情報Ａｎ＝φ（属性情報Ａｎが存在しないことを意味する。）及び秘密情報Ｓを用いて生成された検証データＭｎを、初期値として管理する。
【００２３】
投票受付開始処理部５０が投票の受付を停止すると、投票データＶｎ管理部４０は、投票データの入力を禁止する。このとき、属性情報Ａｎ管理部３０は、受付停止前に入力された投票データＶｎを用いて生成した属性情報Ａｎを管理している。この属性情報Ａｎは、次の投票の受付が開始されるまで更新されることはないが、投票データＶｎ管理部４０が管理する投票データＶｎに対して不正行為があった場合には、属性情報Ａｎ管理部３０は不正行為後の投票データＶｎを用いて属性情報Ａｎを生成して管理する。次に、投票受付開始処理を以下に示す。
（４）投票受付開始
管理者が、投票端末２に対して投票受付開始の操作を行い、可搬媒体１を投票端末２に挿入すると、投票端末２の管理者認証部（図示せず）は、管理者の操作によるパスワード等を入力し、挿入された可搬媒体１が正当な媒体であることを認証する。そして、検証データＭｎ生成部２０は、検証データＭｎ管理部７０に検証データが存在するか否かを判断し（ステップＳ２１）、検証データＭｎ管理部７０により管理されている検証データＭｎの存在を判断すると、可搬媒体１の秘密情報Ｓ管理部１０から秘密情報Ｓを読み出し（ステップＳ２２）、属性情報Ａｎ管理部３０から属性情報Ａｎを入力し（ステップＳ２３）、検証データＭｎ’を生成する（ステップＳ２４）。この場合、属性情報Ａｎは、この時点において投票データＶｎを用いて生成された情報ではなく、投票毎に生成された情報である。すなわち、属性情報Ａｎは、投票受付停止前に最後の投票データが入力されたときに生成された情報である。したがって、属性情報Ａｎ管理部３０は、検証データＭｎ生成部２０が検証データＭｎを生成する際に、投票データＶｎを用いて属性情報Ａｎを生成する必要がない。これにより、投票受付開始時における負荷を軽減することができる。
【００２４】
投票受付開始処理部５０は、検証データＭｎ生成部２０により生成された検証データＭｎ’を、及び検証データＭｎ管理部７０から検証データＭｎ（投票受付停止時の検証データ）をそれぞれ入力し、両者を比較し（ステップＳ２５）、一致した場合には投票の受付を開始する（ステップＳ２７）。一致しない場合には、投票データＶｎに対して改ざん等の不正行為があったとして、警告を出力する（ステップＳ２６）。
【００２５】
次に、前述の（３）により投票受付は停止され、（４）及び（３）の処理を繰り返すことにより、投票の受付及び停止が繰り返される。また、投票受付停止から投票受付開始までの期間内のいずれの時においても、以下の処理により投票データＶｎ、属性情報Ａｎ及び検証データＭｎに対する改ざん等の不正行為を検証することができる。
（５）投票データＶｎ検証
管理者が投票受付停止後に投票データＶｎ検証の操作を行うと、投票データＶｎ検証部８０は、可搬媒体１の秘密情報Ｓ管理部１０から秘密情報Ｓを読み出し、属性情報Ａｎ管理部３０から属性情報Ａｎを入力し、検証データＭｎ’を生成する。そして、当該検証データＭｎ’と、検証データＭｎ管理部７０により管理されている検証データＭｎ（投票受付停止時の検証データ）とを比較し、一致した場合には正常を出力し、一致しない場合には、警告を出力する。
【００２６】
以上のように、実施例１によれば、携帯端末２の投票受付開始処理部５０が、投票受付開始時に生成した検証データＭｎ’と、以前の投票受付停止時における検証データＭｎとを比較し、両者が一致しない場合は、投票データＶｎ（属性情報Ａｎ）または／及び検証データＭｎに対する改ざん等の不正行為が投票受付停止から開始の間に行われたものと判断でき、両者が一致する場合は投票データＶｎ及び検証データＭｎに対する不正行為が行われていないものと判断できる。すなわち、投票データＶｎ及び検証データＭｎに対する不正行為の有無を検証することができる。また、投票受付停止から開始までの間においても、投票データ検証手段８０が、管理者の要求に従って、要求時に生成した検証データＭｎ’と、以前の投票受付停止時における検証データＭｎとを比較し、不正行為の有無を検証することができる。
【００２７】
〔実施例２〕
図６は、本発明による投票端末の機能構成を示すブロック図である。この投票端末２００は、検証データＭｎ生成部２０、属性情報Ａｎ管理部３０、投票データＶｎ管理部４０、投票受付開始処理部５１、投票受付停止処理部６１及び投票データＶｎ検証部８０を備えている。また、可搬媒体１は、秘密情報Ｓ管理部１０及び検証データＭｎ管理部７１を備えている。この実施例２の投票端末２００及び可搬媒体１００と、図１に示した実施例１の投票端末２及び可搬媒体１とを比較すると、検証データＭｎ管理部７０，７１を備える場所が異なる点で相違する。実施例２では可搬媒体１００が検証データＭｎ管理部７１を備えているが、実施例１では投票端末２が検証データＭｎ管理部７０を備えている。
【００２８】
投票端末２００の動作は、実施例１に示した、（１）投票受付開始前、（２）最初の投票受付開始、（３）投票受付停止、（４）投票受付開始、及び（５）投票データＶｎ検証の各動作と同様であるが、検証データＭｎは、投票端末２００で管理されるのではなく、可搬媒体１００で管理される。このため、投票受付停止処理部６１は、検証データＭｎを可搬媒体１００の検証データＭｎ管理部７１へ出力し、投票受付開始処理部５１は、検証データＭｎを可搬媒体１００の検証データＭｎ管理部７１から読み出す。
【００２９】
実施例１では、投票端末２が属性情報Ａｎ及び検証データＭｎを管理するため、属性情報Ａｎまたは検証データＭｎのいずれか一方に不正行為があった場合、投票受付開始処理部５０が受付開始時の検証データＭｎ’と以前の受付停止時の検証データＭｎとを比較し不一致のときは、その不正行為があったことを確認することができる。しかし、属性情報Ａｎ及び検証データＭｎのうちのどちらに不正行為があったかを特定することができない。例えば、検証データＭｎのみが改ざんされた場合、属性情報Ａｎ及び投票データＶｎが改ざんされていなくても、検証データＭｎの正当性は保証できず、全投票データが無効になってしまう。これに対し、実施例２では、管理者の所持する可搬媒体１００が検証データＭｎを保管するため、検証データＭｎへの不正行為を困難にすることができる。これにより、投票受付開始処理部５１が検証データＭｎ’と検証データＭｎとを比較し不一致のときは、属性情報Ａｎに不正行為があったことを確認することができる。
【００３０】
尚、実施例１及び２では、検証データＭｎ生成部２０が、秘密情報Ｓと、既に生成されている属性情報Ａｎとを入力して検証データＭｎを生成するようにした。これに対し、属性情報Ａｎ管理部３０が、前記検証データＭｎが生成される際にその時点の投票データＶｎを用いて属性情報Ａｎを生成し、検証データＭｎ生成部２０が、秘密情報Ｓと、この属性情報Ａｎとを入力して検証データＭｎを生成するようにしてもよい。
【００３１】
尚、投票端末２，２００は、ＣＰＵ、ＲＡＭ等の揮発性の記憶媒体、ＲＯＭ等の不揮発性の記憶媒体、キーボードやポインティングデバイス等の入力装置、画像等を表示する表示装置、及び外部の装置と通信をするためのインターフェースを備えたコンピュータ装置によってそれぞれ構成されるようにしてもよい。この場合、紹介装置２に備えた検証データＭｎ生成部２０、属性情報Ａｎ管理部３０、投票データＶｎ管理部４０、投票受付開始処理部５０、投票受付停止処理部６０、検証データＭｎ管理部７０及び投票データＶｎ検証部８０の各機能、並びに、投票端末２００に備えた検証データＭｎ生成部２０、属性情報Ａｎ管理部３０、、投票データＶｎ管理部４０、投票受付開始処理部５１、投票受付停止処理部６１及び投票データＶｎ検証部８０の各機能は、当該機能を記述したプログラムをＣＰＵに実行させることによりそれぞれ実現される。また、これらのプログラムは、磁気ディスク（フロッピィーディスク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ等）、半導体メモリ等の記憶媒体に格納して頒布することもできる。
【図面の簡単な説明】
【００３２】
【図１】本発明による投票端末（実施例１）の機能構成を示すブロック図である。
【図２】投票開始手順を示すフローチャート図である。
【図３】検証データＭｎ生成部の機能構成を示すブロック図である。
【図４】属性情報Ａｎの構成を示す図である。
【図５】投票受付停止手順を示すフローチャート図である。
【図６】本発明による投票端末（実施例２）の機能構成を示すブロック図である。
【符号の説明】
【００３３】
１，１００  可搬媒体
２，２００  投票端末
１０  秘密情報Ｓ管理部
２０  検証データＭｎ生成部
２１，２３  連結器
２２，２４  ハッシュ生成器
３０  属性情報Ａｎ管理部
４０  投票データＶｎ管理部
５０，５１  投票受付開始処理部
６０，６１  投票受付停止処理部
７０，７１  検証データＭｎ管理部
８０  投票データＶｎ検証部
【図１】
2006185104.tif 000003
【図２】
2006185104.tif 000004
【図３】
2006185104.tif 000005
【図４】
2006185104.tif 000006
【図５】
2006185104.tif 000007
【図６】
2006185104.tif 000008