JP6981472B2

JP6981472B2 - 合意システム、合意装置、プログラム、および記録媒体

Info

Publication number: JP6981472B2
Application number: JP2019537590A
Authority: JP
Inventors: 大五十嵐; 浩気濱田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2017-08-22
Filing date: 2018-08-16
Publication date: 2021-12-15
Anticipated expiration: 2038-08-16
Also published as: AU2018320435B9; US11265155B2; EP3675087A4; CN111033599A; WO2019039382A1; JPWO2019039382A1; AU2018320435B2; US20200252209A1; CN111033599B; EP3675087B1; EP3675087A1; AU2018320435A1

Description

本発明は、暗号技術に関し、特に合意プロトコルに関する。

自律分散システムでは複数の装置がそれぞれ独立に処理を行う。これら複数の装置の処理内容は互いに整合のとれたものでなければならない。これを実現する技術に合意プロトコルがある（例えば、非特許文献１等参照）。合意プロトコルでは、複数の装置が自らの意見（例えば、処理順序、リクエストの有無、リクエストの内容など）を表す値（意見値）を互いに提供し、それらを最終合意関数に入力してシステム全体として整合のとれた合意結果（例えば、処理順序、リクエストの有無、リクエストの内容など）を得る。

Zuzana Beerliova-Trubiniova, Martin Hirt, and Micha Riser, "Efficient Byzantine Agreement with Faulty Minority," ASIACRYPT 2007, LNCS 4833, pp. 393 - 409, 2007.

合意プロトコルでは、何れかの装置が意図的または偶発的に不正な意見値を他の装置に提供したり、意見値を提供しなかったりする場合が想定される。本発明の目的は、合意プロトコルにおいて不正な処理を行った装置をある程度特定することである。

合意プロトコルを実行する合意システムは、ｎ個の合意装置Ｐ（０），…，Ｐ（ｎ−１）を有する。ただし、ｎが３以上の整数、ｉ＝０，…，ｎ−１、ｊ＝０，…，ｎ−１、ｍ＝０，…，ｎ−１、ｉ≠ｊ、ｍ≠ｉ、ｍ≠ｊである。合意装置Ｐ（ｉ）は、意見を表す意見値ｘ_ｉと、当該意見値ｘ_ｉに対して付した署名ｓｉｇ_＿ｉ（ｘ_ｉ）と、を含む署名付き意見値Ｘ_ｉｊ＝（ｘ_ｉ，ｓｉｇ_＿ｉ（ｘ_ｉ））または署名付き意見値Ｘ_ｉｊとは異なる情報を、署名付き意見値Ｘ’_ｉｊ＝（ｘ’_ｉｊ，ｅ’_ｉｊ）として生成して合意装置Ｐ（ｊ）に対して出力する。合意装置Ｐ（ｊ）は、署名付き意見値Ｘ’_ｉｊを受け付け、署名付き意見値Ｘ’_ｉｊまたは署名付き意見値Ｘ’_ｉｊとは異なる情報を、署名付き意見値Ｘ”_ｉｊとして合意装置Ｐ（ｍ）に対して出力する。

これにより、合意プロトコルにおいて不正な処理を行った装置をある程度特定できる。

図１は実施形態の合意システムを例示したブロック図である。図２は実施形態の合意装置を例示したブロック図である。図３は実施形態の合意方法の提供処理を例示したフロー図である。図４は実施形態の合意方法の検証処理を例示したフロー図である。図５Ａおよび図５Ｂは実施形態の合意方法を例示した図である。

以下、図面を参照して本発明の実施形態を説明する。
＜構成＞
図１に例示するように、本形態の合意プロトコルを実行する合意システム１は、ネットワークを通じて通信可能なｎ個の合意装置１０−Ｐ（０），…，１０−Ｐ（ｎ−１）を有する自律分散システムである。ただし、ｎが３以上の整数（例えば、ｎ≧４）、ｉ＝０，…，ｎ−１、ｊ＝０，…，ｎ−１、ｒ＝０，…，ｎ−１、ｍ＝０，…，ｎ−１、ｉ≠ｊ、ｍ≠ｉ、ｍ≠ｊである。図２に例示するように、合意装置１０−Ｐ（ｒ）は、通信部１１−Ｐ（ｒ）、記憶部１２−Ｐ（ｒ）、共有部１３−Ｐ（ｒ）、署名生成部１４−Ｐ（ｒ）、署名検証部１５−Ｐ（ｒ）、判定部１６−Ｐ（ｒ）、判定部１７−Ｐ（ｒ）、意見値出力部１８−Ｐ（ｒ）、および制御部１９−Ｐ（ｒ）を有する。各合意装置１０−Ｐ（ｒ）は、制御部１９−Ｐ（ｒ）の制御に基づいて各処理を実行する。

＜提供処理＞
次に、図３および図５を用い、各合意装置１０−Ｐ（ｒ）（ただし、ｒ＝０，…，ｎ−１）が自らの意見を表す意見値ｘ_ｒを提供する提供処理を説明する。意見値ｘ_ｒは合意装置１０−Ｐ（０），…，１０−Ｐ（ｎ−１）で互いに整合させる必要のある処理内容を表す。意見値ｘ_ｒの一例は処理順序を表す意見を表す値である。例えば、合意装置１０−Ｐ（Ａ）から「値Ｄを１１に更新する」というリクエストＲ_Ａが送信され、合意装置１０−Ｐ（Ｂ）から「値Ｄを９に更新する」というリクエストＲ_Ｂが送信される場合（ただし、Ａ，Ｂ∈｛０，…，ｎ−１｝）、リクエストＲ_Ａを処理してからリクエストＲ_Ｂを処理するといった意見を表す意見値ｘ_ｒ＝（（Ａ，ｕｐｄａｔｅ，Ｄ，１１），（Ｂ，ｕｐｄａｔｅ，Ｄ，９））、およびリクエストＲ_Ｂを処理してからリクエストＲ_Ａを処理するといった意見を表す意見値ｘ_ｒ＝（（Ｂ，ｕｐｄａｔｅ，Ｄ，９），（Ａ，ｕｐｄａｔｅ，Ｄ，１１））を例示できる。このような意見値ｘ_ｒに対して合意がなされれば、システム全体で処理順序を統一できる。他の意見値ｘ_ｒの例はリクエストが送られたことを表す値である。例えば、合意装置１０−Ｐ（Ａ）から「値Ｄを１１に更新する」というリクエストＲ_Ａが送信され、合意装置１０−Ｐ（Ｂ）から「値Ｄを９に更新する」というリクエストＲ_Ｂが送信される場合、リクエストＲ_ＡおよびＲ_Ｂが送られたことを表す意見値ｘ_ｒ＝（（Ａ，ｕｐｄａｔｅ，Ｄ，１１），（Ｂ，ｕｐｄａｔｅ，Ｄ，９））、リクエストＲ_Ａしか送られなかったことを表す意見値ｘ_ｒ＝（Ａ，ｕｐｄａｔｅ，Ｄ，１１）などを例示できる。このような意見値ｘ_ｒを用いることにより、リクエストが各装置に正しく提供されたことを確認できる。他の意見値ｘ_ｒの例はリクエストの内容を表す値である。例えば、合意装置１０−Ｐ（Ａ）から「値Ｄを１１に更新する」というリクエストＲ_Ａが送信される場合、「値Ｄを１１に更新する」という内容のリクエストＲ_Ａが送られたことを表すｘ_ｒ＝（Ａ，ｕｐｄａｔｅ，Ｄ，１１）や「値Ｄを９に更新する」という内容のリクエストＲ_Ａが送られたことを表すｘ_ｒ＝（Ａ，ｕｐｄａｔｅ，Ｄ，９）を例示できる。このような意見値ｘ_ｒを用いることにより、システム全体で各合意装置に同一のリクエストが提供されたかを確認できる。

≪ステップＳ１≫
前提として、各合意装置１０−Ｐ（ｉ）（ただし、ｉ＝０，…，ｎ−１）には、署名生成のための署名生成鍵ｓｋ_ｉ、および署名生成鍵ｓｋ_ｉを用いて生成された署名を検証するための署名検証鍵ｋ_ｉが設定されている。署名生成鍵ｓｋ_ｉおよび署名検証鍵ｋ_ｉは合意装置１０−Ｐ（ｉ）の記憶部１２−Ｐ（ｉ）に格納されている。署名生成鍵ｓｋ_ｉは合意装置１０−Ｐ（ｉ）の秘密情報であり、署名検証鍵ｋ_ｉは公開情報である。署名生成鍵ｓｋ_ｉの例は公開鍵暗号方式（例えば、ＲＳＡ）に則った秘密鍵であり、署名検証鍵ｋ_ｉの例は当該公開鍵暗号方式に則った公開鍵である。この場合の署名生成鍵ｓｋ_ｉおよび署名検証鍵ｋ_ｉは公開鍵暗号方式における鍵ペアである。この前提の下、合意装置１０−Ｐ（ｉ）（ただし、ｉ＝０，…，ｎ−１）の共有部１３−Ｐ（ｉ）が、合意装置１０−Ｐ（ｉ）（ただし、ｉ＝０，…，ｎ−１）以外の合意装置１０−Ｐ（ｊ）（ただし、ｊ＝０，…，ｎ−１、ｊ≠ｉ）の共有部１３−Ｐ（ｊ）との間で署名検証鍵ｋ_ｉを共有する。共有部１３−Ｐ（ｉ）と共有部１３−Ｐ（ｊ）との間での署名検証鍵ｋ_ｉの共有は、例えば、共有部１３−Ｐ（ｉ）から共有部１３−Ｐ（ｊ）に署名検証鍵ｋ_ｉまたは署名検証鍵ｋ_ｉに対応する値を送信することで行われる。あるいは、ネットワーク上の公開されたサーバ装置に署名検証鍵ｋ_ｉまたは署名検証鍵ｋ_ｉに対応する情報を格納しておき、各共有部１３−Ｐ（ｊ）がこのサーバ装置から署名検証鍵ｋ_ｉまたは署名検証鍵ｋ_ｉに対応する情報を受信してもよい。署名検証鍵ｋ_ｉは合意装置１０−Ｐ（ｊ）の記憶部１２−Ｐ（ｊ）に格納される。これにより、各合意装置１０−Ｐ（ｊ）（ただし、ｊ＝０，…，ｎ−１、ｊ≠ｉ）の記憶部１２−Ｐ（ｊ）には、自らの署名生成鍵ｓｋ_ｊおよび署名検証鍵ｋ_ｊに加え、ｎ−１個の他の合意装置１０−Ｐ（ｉ）の署名検証鍵ｋ_ｉ（ただし、ｉ＝０，…，ｎ−１、ｉ≠ｊ）が格納される。例えばｎ＝３の場合、合意装置１０−Ｐ（０）の記憶部１２−Ｐ（０）にｓｋ_０，ｋ_０，ｋ_１，ｋ_２が格納され、合意装置１０−Ｐ（１）の記憶部１２−Ｐ（１）にｓｋ_１，ｋ_０，ｋ_１，ｋ_２が格納され、合意装置１０−Ｐ（２）の記憶部１２−Ｐ（２）にｓｋ_２，ｋ_０，ｋ_１，ｋ_２が格納される（図５Ａ）。次にステップＳ２に進む。

≪ステップＳ２≫
合意装置１０−Ｐ（ｉ）（ただし、ｉ＝０，…，ｎ−１）の署名生成部１４−Ｐ（ｉ）には、意見を表す意見値ｘ_ｉ、ならびに記憶部１２−Ｐ（ｉ）から読み込んだ署名生成鍵ｓｋ_ｉが入力される。合意装置１０−Ｐ（ｉ）は正当な処理を行うかもしれないし、不正な処理を行うかもしれない。合意装置１０−Ｐ（ｉ）が正当な処理を行う場合、署名生成部１４−Ｐ（ｉ）は、意見値ｘ_ｉと、署名生成鍵ｓｋ_ｉを用いて意見値ｘ_ｉに対して付した署名ｓｉｇ_＿ｉ（ｘ_ｉ）と、を含む署名付き意見値Ｘ_ｉｊ＝（ｘ_ｉ，ｓｉｇ_＿ｉ（ｘ_ｉ））を生成し、当該意見値Ｘ_ｉｊを署名付き意見値Ｘ’_ｉｊ＝（ｘ’_ｉｊ，ｅ’_ｉｊ）として出力する。なお、署名生成鍵ｓｋ_ｉが公開鍵暗号方式に則った秘密鍵である場合、署名ｓｉｇ_＿ｉ（ｘ_ｉ）は、例えば署名生成鍵ｓｋ_ｉを用い、公開鍵暗号方式に則って意見値ｘ_ｉを暗号化して得られる暗号文である。一方、合意装置１０−Ｐ（ｉ）が不当な処理を行う場合、署名生成部１４−Ｐ（ｉ）は、署名付き意見値Ｘ_ｉｊとは異なる情報を、署名付き意見値Ｘ’_ｉｊ＝（ｘ’_ｉｊ，ｅ’_ｉｊ）として生成して出力する。署名付き意見値Ｘ’_ｉｊは通信部１１−Ｐ（ｉ）に送られる。

≪ステップＳ３≫
正当な処理を行う合意装置１０−Ｐ（ｉ）（ただし、ｉ＝０，…，ｎ−１）の通信部１１−Ｐ（ｉ）（第１出力部）は、ｎ−１個の合意装置１０−Ｐ（ｊ）（ただし、ｊ＝０，…，ｎ−１、ｊ≠ｉ）に対して署名付き意見値Ｘ’_ｉｊ＝（ｘ’_ｉｊ，ｅ’_ｉｊ）を出力する。例えば、ｎ＝３の場合、合意装置１０−Ｐ（０）は署名付き意見値Ｘ’_０１を合意装置１０−Ｐ（１）に送信し、署名付き意見値Ｘ’_０２を合意装置１０−Ｐ（２）に送信し、合意装置１０−Ｐ（１）は署名付き意見値Ｘ’_１０を合意装置１０−Ｐ（０）に送信し、署名付き意見値Ｘ’_１２を合意装置１０−Ｐ（２）に送信し、合意装置１０−Ｐ（２）は署名付き意見値Ｘ’_２０を合意装置１０−Ｐ（０）に送信し、署名付き意見値Ｘ’_２１を合意装置１０−Ｐ（１）に送信する（図５Ａ）。合意装置１０−Ｐ（ｉ）が正当な処理を実行する場合、Ｘ’_ｉｊ＝（ｘ’_ｉｊ，ｅ’_ｉｊ）＝Ｘ_ｉｊ＝（ｘ_ｉ，ｓｉｇ_＿ｉ（ｘ_ｉ）））である。不正な処理を行う合意装置１０−Ｐ（ｉ）の通信部１１−Ｐ（ｉ）は署名付き意見値Ｘ_ｉｊ＝（ｘ_ｉ，ｓｉｇ_＿ｉ（ｘ_ｉ））とは異なる情報を署名付き意見値Ｘ’_ｉｊ＝（ｘ’_ｉｊ，ｅ’_ｉｊ）として合意装置１０−Ｐ（ｊ）に対して出力する。すなわち、通信部１１−Ｐ（ｉ）は、署名付き意見値Ｘ_ｉｊ＝（ｘ_ｉ，ｓｉｇ_＿ｉ（ｘ_ｉ））または署名付き意見値Ｘ_ｉｊとは異なる情報を、署名付き意見値Ｘ’_ｉｊ＝（ｘ’_ｉｊ，ｅ’_ｉｊ）として合意装置１０−Ｐ（ｊ）に対して出力する。不正な処理を行う合意装置１０−Ｐ（ｉ）の通信部１１−Ｐ（ｉ）は、署名付き意見値Ｘ’_ｉｊ＝（ｘ’_ｉｊ，ｅ’_ｉｊ）を、少なくとも一部の合意装置１０−Ｐ（ｊ）に出力しないかもしれない。

≪ステップＳ４≫
合意装置１０−Ｐ（ｉ）から出力された署名付き意見値Ｘ’_ｉｊは、ネットワークを通じて合意装置１０−Ｐ（ｊ）（ただし、ｊ＝０，…，ｎ−１、ｊ≠ｉ）に送信される。署名付き意見値Ｘ’_ｉｊは、合意装置１０−Ｐ（ｊ）の通信部１１−Ｐ（ｊ）（第１入力部）に入力され（受け付けられ）、記憶部１２−Ｐ（ｊ）に格納される。例えば、ｎ＝３の場合、合意装置１０−Ｐ（０）の記憶部１２−Ｐ（０）に署名付き意見値Ｘ’_１０および署名付き意見値Ｘ’_２０が格納され、合意装置１０−Ｐ（１）の記憶部１２−Ｐ（１）に署名付き意見値Ｘ’_０１および署名付き意見値Ｘ’_２１が格納され、合意装置１０−Ｐ（２）の記憶部１２−Ｐ（２）に署名付き意見値Ｘ’_０２および署名付き意見値Ｘ’_１２が格納される（図５Ｂ）。

≪ステップＳ５≫
正当な処理を行う合意装置１０−Ｐ（ｊ）（ただし、ｊ＝０，…，ｎ−１、ｊ≠ｉ）の通信部１１−Ｐ（ｊ）（第２出力部）は、署名付き意見値Ｘ”_ｉｊ＝（ｘ”_ｉｊ，ｅ”_ｉｊ）（ただし、ｉ＝０，…，ｎ−１、ｉ≠ｊ）をｎ−１個の合意装置１０−Ｐ（ｍ）（ただし、ｍ＝０，…，ｎ−１、ｍ≠ｊ）に対して出力する。合意装置１０−Ｐ（ｊ）が正当な処理を実行する場合、署名付き意見値Ｘ”_ｉｊは記憶部１２−Ｐ（ｊ）に格納されたＸ’_ｉｊであり、Ｘ”_ｉｊ＝（ｘ”_ｉｊ，ｅ”_ｉｊ）＝Ｘ’_ｉｊ＝（ｘ’_ｉｊ，ｅ’_ｉｊ）である。ただし、何れかの合意装置１０−Ｐ（ｊ）が不正な処理を行う可能性があり、不正な処理を行う合意装置１０−Ｐ（ｊ）の通信部１１−Ｐ（ｊ）は署名付き意見値Ｘ’_ｉｊ＝（ｘ’_ｉｊ，ｅ’_ｉｊ）とは異なる情報を署名付き意見値Ｘ”_ｉｊ＝（ｘ”_ｉｊ，ｅ”_ｉｊ）として合意装置１０−Ｐ（ｍ）に対して出力する。すなわち、通信部１１−Ｐ（ｊ）は、署名付き意見値Ｘ’_ｉｊ＝（ｘ’_ｉｊ，ｅ’_ｉｊ）または署名付き意見値Ｘ’_ｉｊとは異なる情報を、署名付き意見値Ｘ”_ｉｊ＝（ｘ”_ｉｊ，ｅ”_ｉｊ）として合意装置１０−Ｐ（ｍ）に対して出力する。通信部１１−Ｐ（ｊ）から合意装置１０−Ｐ（ｍ）に対して出力されるｎ−１個の署名付き意見値Ｘ”_０ｊ，…，Ｘ”_{（ｊ−１）ｊ}，Ｘ”_{（ｊ＋１）ｊ}，…，Ｘ”_{（ｎ−１）ｊ}の集合を確認データＣ_ｊ＝Ｘ”_０ｊ，…，Ｘ”_{（ｊ−１）ｊ}，Ｘ”_{（ｊ＋１）ｊ}，…，Ｘ”_{（ｎ−１）ｊ}と表現する。例えば、ｎ＝３の場合、通信部１１−Ｐ（０）は、確認データＣ_０＝Ｘ”_１０，Ｘ”_２０を合意装置１０−Ｐ（１）およびＰ（２）に対して出力し、通信部１１−Ｐ（１）は、確認データＣ_１＝Ｘ”_０１，Ｘ”_２１を合意装置１０−Ｐ（０）およびＰ（２）に対して出力し、通信部１１−Ｐ（２）は、確認データＣ_２＝Ｘ”_０２，Ｘ”_１２を合意装置１０−Ｐ（０）およびＰ（１）に対して出力する（図５Ｂ）。不正な処理を行う合意装置１０−Ｐ（ｊ）（ただし、ｊ＝０，…，ｎ−１、ｊ≠ｉ）の通信部１１−Ｐ（ｊ）は、確認データＣ_ｊを、少なくとも一部の合意装置１０−Ｐ（ｍ）に対して出力しないかもしれない。

≪ステップＳ６≫
通信部１１−Ｐ（ｊ）から出力された確認データＣ_ｊは、ネットワークを通じて合意装置１０−Ｐ（ｍ）（ただし、ｍ＝０，…，ｎ−１、ｍ≠ｊ）に送信される。確認データＣ_ｊは、合意装置１０−Ｐ（ｍ）の通信部１１−Ｐ（ｍ）（第２入力部）に入力され（受け付けられ）、記憶部１２−Ｐ（ｍ）に格納される。例えば、ｎ＝３の場合、記憶部１２−Ｐ（０）に確認データＣ_１＝Ｘ”_０１，Ｘ”_２１およびＣ_２＝Ｘ”_０２，Ｘ”_１２が格納され、記憶部１２−Ｐ（１）に確認データＣ_０＝Ｘ”_１０，Ｘ”_２０およびＣ_２＝Ｘ”_０２，Ｘ”_１２が格納され、記憶部１２−Ｐ（２）に確認データＣ_０＝Ｘ”_１０，Ｘ”_２０およびＣ_１＝Ｘ”_０１，Ｘ”_２１が格納される（図５Ｂ）。

＜検証処理＞
次に、図４および図５Ｂを用い、各合意装置１０−Ｐ（ｍ）（ただし、ｍ＝０，…，ｎ−１）が行う意見値の検証処理を説明する。ただし、不正を行う合意装置の個数が１個以下であることを前提とする。検証処理は上述した提供処理の後に実行される。検証処理は提供処理が行われたことを契機として実行されてもよいし、提供処理の後の所定のタイミングで実行されてもよい。検証処理はすべての合意装置１０−Ｐ（０），…，１０−Ｐ（ｎ−１）が行ってもよいし、その一部のみが行ってもよい。

≪ステップＳ１１≫
まず、合意装置１０−Ｐ（ｍ）の制御部１９−Ｐ（ｍ）が判定対象に対応するインデックスｉ∈｛０，…，ｎ−１｝を初期化する。例えば、ｍ＝０ならば制御部１９−Ｐ（ｍ）はｉ＝０に初期化し、ｍ＝０ならば制御部１９−Ｐ（ｍ）はｉ＝１に初期化する。

≪ステップＳ１２≫
合意装置１０−Ｐ（ｍ）の署名検証部１５−Ｐ（ｍ）は、記憶部１２−Ｐ（ｍ）から、確認データＣ_０，…，Ｃ_ｎ−１に含まれる、インデックスｉについての署名付き意見値Ｘ”_ｉ０，…，Ｘ”_{ｉ（ｉ―１）}，Ｘ”_{ｉ（ｉ＋１）}，…，Ｘ”_{ｉ（ｎ−１）}、ならびに署名検証鍵ｋ_ｉ（ただし、ｉ＝０，…，ｎ−１，ｉ≠ｊ）を読み込み、これらを用いて署名付き意見値Ｘ”_ｉ０，…，Ｘ”_{ｉ（ｉ―１）}，Ｘ”_{ｉ（ｉ＋１）}，…，Ｘ”_{ｉ（ｎ−１）}のそれぞれに対する署名検証を行い、それらの結果Ｖ（Ｘ”_ｉ０），…，Ｖ（Ｘ”_{ｉ（ｉ―１）}），Ｖ（Ｘ”_{ｉ（ｉ＋１）}），…，Ｖ（Ｘ”_{ｉ（ｎ−１）}）を出力する。すなわち、署名検証部１５−Ｐ（ｍ）は、通信部１１−Ｐ（ｍ）（第２入力部）で受け付けられた（入力された）署名付き意見値Ｘ”_ｉｊが合意装置１０−Ｐ（ｉ）に対応する署名検証鍵ｋ_ｉに対して正しい関係にある場合（署名正当の場合）に、署名付き意見値Ｘ”_ｉｊに対する署名検証の結果が合格であると判定し、その旨を表す結果Ｖ（Ｘ”_ｉｊ）＝ＯＫを出力する。それ以外の場合、署名検証部１５−Ｐ（ｍ）は、署名付き意見値Ｘ”_ｉｊに対する署名検証の結果が不合格であると判定し、その旨を表す結果Ｖ（Ｘ”_ｉｊ）＝ＮＧを出力する。例えば、署名検証部１５−Ｐ（ｍ）は、通信部１１−Ｐ（ｍ）に署名付き意見値Ｘ”_ｉｊが受け付けられなかった場合（入力されなかった場合）、通信部１１−Ｐ（ｍ）受け付けられた署名付き意見値Ｘ”_ｉｊの形式が規定のものではなかった場合、または、通信部１１−Ｐ（ｍ）に受け付けられた署名付き意見値Ｘ”_ｉｊが署名検証鍵ｋ_ｉに対して正しい関係にない場合（署名不正の場合）に、署名付き意見値Ｘ”_ｉｊに対する署名検証の結果が不合格であると判定し、その旨を表すＶ（Ｘ”_ｉｊ）＝ＮＧを出力する。

署名検証鍵ｋ_ｉが公開鍵暗号方式に則った公開鍵である場合、署名付き意見値Ｘ”_ｉｊが署名検証鍵ｋ_ｉに対して正しい関係にあるか否か（署名正当か署名不正か）の判定は、例えば次のように行う。まず、署名検証部１５−Ｐ（ｍ）は、前述の公開鍵暗号方式に則って、署名付き意見値Ｘ”_ｉｊ＝（ｘ”_ｉｊ，ｅ”_ｉｊ）に含まれた暗号文ｅ”_ｉｊを、署名検証鍵ｋ_ｉを用いて復号して復号結果ｘ”_ｉ＝ｄｅｃ_ｋ＿ｉ（ｅ”_ｉｊ）を得る。ここで、署名付き意見値Ｘ”_ｉｊが正しく生成されたものであれば、Ｘ”_ｉｊ＝（ｘ”_ｉｊ，ｅ”_ｉｊ）＝（ｘ_ｉ，ｓｉｇ_＿ｉ（ｘ_ｉ））であり、ｘ”_ｉ＝ｄｅｃ_ｋ＿ｉ（ｅ”_ｉｊ）＝ｄｅｃ_ｋ＿ｉ（ｓｉｇ_＿ｉ（ｘ_ｉ））＝ｘ_ｉとなる。次に署名検証部１５−Ｐ（ｍ）は、ｘ”_ｉｊ＝ｘ”_ｉを満たすか否かを判定する。ここで、ｘ”_ｉｊ＝ｘ”_ｉを満たす場合には、署名検証部１５−Ｐ（ｍ）は、署名付き意見値Ｘ”_ｉｊが署名検証鍵ｋ_ｉに対して正しい関係にある（署名正当）と判断する。一方、ｘ”_ｉｊ＝ｘ”_ｉを満たさない場合（ｘ”_ｉｊ≠ｘ”_ｉ）には、署名検証部１５−Ｐ（ｍ）は、署名付き意見値Ｘ”_ｉｊが署名検証鍵ｋ_ｉに対して正しい関係にない（署名不正）と判断する。

例えば、ｎ＝３かつｉ＝１の場合、署名検証部１５−Ｐ（０）は、署名付き意見値Ｘ”_１２に対する署名検証を行ってその結果Ｖ（Ｘ”_１２）を出力し、ｎ＝３かつｉ＝０の場合、署名検証部１５−Ｐ（１）は、署名付き意見値Ｘ”_０２に対する署名検証を行ってその結果Ｖ（Ｘ”_０２）を出力し、ｎ＝３かつｉ＝０の場合、署名検証部１５−Ｐ（２）は、署名付き意見値Ｘ”_０１に対する署名検証を行ってその結果Ｖ（Ｘ”_０１）を出力する（図５Ｂ）。

≪ステップＳ１３≫
インデックスｉについての署名付き意見値Ｘ”_ｉｊおよび合意装置１０−Ｐ（ｍ）から出力されたインデックスｉについての署名検証の結果Ｖ（Ｘ”_ｉｊ）（ただし、ｊ＝０，…，ｎ−１、ｊ≠ｉ）は判定部１６−Ｐ（ｍ）（第１判定部）に入力される。さらに判定部１６−Ｐ（ｍ）には、記憶部１２−Ｐ（ｍ）から読み出されたインデックスｉについての署名付き意見値Ｘ’_ｉｍが入力される。署名付き意見値Ｘ’_ｉｍ＝（ｘ’_ｉｍ，ｅ’_ｉｍ）は前述のステップＳ４で合意装置１０−Ｐ（ｉ）から合意装置１０−Ｐ（ｍ）に送信され、記憶部１２−Ｐ（ｍ）に格納されたものである。判定部１６−Ｐ（ｍ）は、以下の（１−１）および（１−２）の少なく一方に該当するかを判定する。
（１−１）署名付き意見値Ｘ”_ｉｊのうち、少なくとも何れかの２個の署名付き意見値Ｘ”_ｉｙ＝（ｘ”_ｉｙ，ｅ”_ｉｙ）および署名付き意見値Ｘ”_ｉｚ＝（ｘ”_ｉｚ，ｅ”_ｉｚ）（ただし、ｙ，ｚ∈｛０，…，ｉ−１，ｉ＋１，…，ｎ−１｝かつｙ≠ｚ）に対する署名検証の結果が合格（Ｖ（Ｘ”_ｉｙ）＝Ｖ（Ｘ”_ｉｚ）＝ＯＫ）であり、かつ、署名付き意見値Ｘ”_ｉｙに含まれた意見値ｘ”_ｉｙと、署名付き意見値Ｘ”_ｉｚに含まれた意見値ｘ”_ｉｚと、が互いに相違する（ｘ”_ｉｙ≠ｘ”_ｉｚ）。
（１−２）署名付き意見値Ｘ”_ｉｙ＝（ｘ”_ｉｙ，ｅ”_ｉｙ）に対する署名検証の結果が合格（Ｖ（Ｘ”_ｉｙ）＝ＯＫ）であり、かつ、署名付き意見値Ｘ”_ｉｙに含まれた意見値ｘ”_ｉｙと、署名付き意見値Ｘ’_ｉｍ＝（ｘ’_ｉｍ，ｅ’_ｉｍ）に含まれた意見値ｘ’_ｉｍと、が互いに相違する（ｘ”_ｉｙ≠ｘ’_ｉｍ）。

ステップＳ１３で（１−１）および（１−２）の少なく一方に該当すると判定された場合、判定部１６−Ｐ（ｍ）は、合意装置１０−Ｐ（ｉ）に不正があったと判定し、その旨を出力する。すなわち、（１−１）に該当するのは、Ｘ”_ｉｙ＝Ｘ_ｉｙかつＸ”_ｉｚ＝Ｘ_ｉｚであり、これらが合意装置１０−Ｐ（ｉ）で生成されたものである場合である。しかし、本来ｘ”_ｉｙ＝ｘ”_ｉｚ＝ｘ_ｉであるはずがｘ”_ｉｙ≠ｘ”_ｉｚとなっている。このような不正を行うことが可能なのは、署名を生成した合意装置１０−Ｐ（ｉ）のみである。よって、合意装置１０−Ｐ（ｉ）に不正があったと判定できる。また、（１−２）に該当するのは、署名付き意見値Ｘ”_ｉｙ＝Ｘ_ｉｙであり、この署名が合意装置１０−Ｐ（ｉ）で生成されたものである場合である。しかし、本来ｘ”_ｉｙ＝ｘ’_ｉｍ＝ｘ_ｉであるはずがｘ”_ｉｙ≠ｘ’_ｉｍとなっている。このような不正は合意装置１０−Ｐ（ｉ）が署名付き意見値Ｘ’_ｉｙを生成するときに行ったか、または、前述のステップＳ４で合意装置１０−Ｐ（ｉ）が合意装置１０−Ｐ（ｍ）に署名付き意見値Ｘ’_ｉｍを送る際に行ったものである。よって、合意装置１０−Ｐ（ｉ）に不正があったと判定できる。合意装置１０−Ｐ（ｉ）に不正があった旨が出力された場合、検証処理が終了となる（ステップＳ１５）。

≪ステップＳ１４≫
一方、ステップＳ１３で（１−１）および（１−２）のいずれにも該当しないと判定された場合、インデックスｉについての署名付き意見値Ｘ”_ｉｊおよび合意装置１０−Ｐ（ｍ）から出力されたインデックスｉについての署名検証の結果Ｖ（Ｘ”_ｉｊ）（ただし、ｊ＝０，…，ｎ−１、ｊ≠ｉ）が判定部１７−Ｐ（ｍ）（第２判定部）に入力される。判定部１７−Ｐ（ｍ）は、以下の（２−１）に該当するかを判定する。
（２−１）署名付き意見値Ｘ”_ｉｊのうち、少なくとも何れかの２個の署名付き意見値Ｘ”_ｉｙ＝（ｘ”_ｉｙ，ｅ”_ｉｙ）および署名付き意見値Ｘ”_ｉｚ＝（ｘ”_ｉｚ，ｅ”_ｉｚ）（ただし、ｙ，ｚ∈｛０，…，ｉ−１，ｉ＋１，…，ｎ−１｝かつｙ≠ｚ）に対する署名検証の結果が不合格（Ｖ（Ｘ”_ｉｙ）＝Ｖ（Ｘ”_ｉｚ）＝ＮＧ）である。

ステップＳ１４で（２−１）に該当すると判定された場合、判定部１６−Ｐ（ｍ）は、合意装置１０−Ｐ（ｉ）に不正があったと判定し、その旨を出力する。すなわち、（２−１）に該当するのは、合意装置１０−Ｐ（ｉ）がステップＳ３で不正な署名付き意見値Ｘ’_ｉｙ≠（ｘ_ｉ，ｓｉｇ_＿ｉ（ｘ_ｉ））および署名付き意見値Ｘ’_ｉｚ≠（ｘ_ｉ，ｓｉｇ_＿ｉ（ｘ_ｉ））を出力していたか、または、少なくとも二つの合意装置１０−Ｐ（ｙ）および１０−Ｐ（ｚ）がステップＳ５で不正な署名付き意見値Ｘ”_ｉｙ≠Ｘ’_ｉｙ＝（ｘ_ｉ，ｓｉｇ_＿ｉ（ｘ_ｉ））および署名付き意見値Ｘ”_ｉｚ≠Ｘ’_ｉｚ＝（ｘ_ｉ，ｓｉｇ_＿ｉ（ｘ_ｉ））を出力していた場合である。しかし、不正を行う合意装置の個数が１個以下であるとの前提のもとでは、後者は除外され、合意装置１０−Ｐ（ｉ）に不正があったと判定できる。合意装置１０−Ｐ（ｉ）に不正があった旨が出力された場合、検証処理が終了となる（ステップＳ１５）。

≪ステップＳ１６≫
ステップＳ１４で（２−１）に該当しないと判定された場合、意見値出力部１８−Ｐ（ｍ）は、記憶部１２−Ｐ（ｍ）から何れかの署名付き意見値Ｘ”_ｉｊ＝（ｘ”_ｉｊ，ｅ”_ｉｊ）を抽出し、それが含む意見値ｘ”_ｉｊを合意装置１０−Ｐ（ｉ）の正当な意見値ｘ_ｉとして出力する（ステップＳ１６）。

≪ステップＳ１７≫
次に、制御部１９−Ｐ（ｍ）はｍを除くすべてのｉ∈｛０，…，ｎ−１｝について判定（ステップＳ１２〜Ｓ１６）を終了したかを判定する（ステップＳ１７）。ｍを除くすべてのｉ∈｛０，…，ｎ−１｝について判定が終了した場合には検証処理を終了する。一方、ｍを除くすべてのｉ∈｛０，…，ｎ−１｝について判定が終了していない場合、制御部１９−Ｐ（ｍ）はインデックスｉをまだ選択されていない値に更新して処理をステップＳ１２に戻す（ステップＳ１８）。

［変形例等］
なお、本発明は上述の実施形態に限定されるものではない。例えば、上述の検証処理は不正を行う合意装置の個数が１個以下であることを前提としたが、この前提がなくても本発明を適用することは可能である。この場合には、ステップＳ１３で（１−１）および（１−２）の少なく一方に該当すると判定されたときには合意装置１０−Ｐ（ｉ）に不正があったと判定することはできるが、ステップＳ１４で（２−１）に該当すると判定された場合でも、直ちに合意装置１０−Ｐ（ｉ）に不正があったと判定することはできない。しかし、この場合でも少なくとも不正があったことを検知することができ、不正を行った装置をある程度特定することはできる。また、ステップＳ１３およびＳ１４の何れか一方のみが実行されてもよい。

また、判定部１６−Ｐ（ｍ）または１７−Ｐ（ｍ）が、さらに、ステップＳ４において通信部１１−Ｐ（ｍ）で署名付き意見値Ｘ’_ｉｍが受け付けられなかった場合（入力されなかった場合）、または、受け付けられたＸ’_ｉｍの形式が規定のものではなかった場合に、合意装置１０−Ｐ（ｉ）に不正があったと判定し、その旨を出力してもよい。また、上述の実施形態では公開鍵暗号方式を用いて署名を生成したが、共通鍵暗号方式を用いて署名を生成してもよい。

また、上述の実施形態では合意システム１が自律分散システムであったが、集中管理システムであってもよい。上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

上記の各装置は、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）およびＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、プログラムを用いることなく処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記憶装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されるのではなく、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

本発明は、例えば、秘密計算システムなどに利用できる。

１合意システム
１０−Ｐ（０），…，１０−Ｐ（ｎ−１）合意装置

Claims

合意プロトコルを実行する合意システムであって、
ｎ個の合意装置Ｐ（０），…，Ｐ（ｎ−１）を有し、
ｎが３以上の整数、ｉ＝０，…，ｎ−１、ｊ＝０，…，ｎ−１、ｍ＝０，…，ｎ−１、ｉ≠ｊ、ｍ≠ｉであり、
合意装置Ｐ（ｉ）は、
意見を表す意見値ｘ_ｉと、前記意見値ｘ_ｉに対して付した署名ｓｉｇ_＿ｉ（ｘ_ｉ）と、を含む署名付き意見値Ｘ_ｉｊ＝（ｘ_ｉ，ｓｉｇ_＿ｉ（ｘ_ｉ））を、署名付き意見値Ｘ’ _ｉｊ＝（ｘ’ _ｉｊ，ｅ’ _ｉｊ）として生成する署名生成部、または、少なくとも一部の要素が前記署名付き意見値Ｘ_ｉｊとは異なる情報を、署名付き意見値Ｘ’_ｉｊ＝（ｘ’_ｉｊ，ｅ’_ｉｊ）として生成する署名生成部と、
前記署名付き意見値Ｘ’_ｉｊを前記合意装置Ｐ（ｉ）以外の合意装置Ｐ（ｊ）に対して出力する第１出力部と、を含み、
前記合意装置Ｐ（ｊ）は、
前記署名付き意見値Ｘ’_ｉｊを受け付ける第１入力部と、
前記署名付き意見値Ｘ’_ｉｊを、署名付き意見値Ｘ” _ｉｊとして前記合意装置Ｐ（ｊ）以外の合意装置Ｐ（ｍ）に対して出力する第２出力部、または、少なくとも一部の要素が前記署名付き意見値Ｘ’_ｉｊとは異なる情報を、署名付き意見値Ｘ”_ｉｊとして前記合意装置Ｐ（ｊ）以外の合意装置Ｐ（ｍ）に対して出力する第２出力部と、を含み、
前記合意装置Ｐ（ｍ）は、
前記合意装置Ｐ（ｊ）の前記第２出力部から出力された前記署名付き意見値Ｘ” _ｉｊ＝（ｘ” _ｉｊ，ｅ” _ｉｊ）を受け付ける第２入力部と、
前記署名付き意見値Ｘ” _ｉｊに対する署名検証を行う署名検証部と、
前記署名付き意見値Ｘ” _ｉｊのうち、少なくとも何れかの２個の署名付き意見値Ｘ” _ｉｙ＝（ｘ” _ｉｙ，ｅ” _ｉｙ）および署名付き意見値Ｘ” _ｉｚ＝（ｘ” _ｉｚ，ｅ” _ｉｚ）（ただし、ｙ，ｚ∈｛０，…，ｉ−１，ｉ＋１，…，ｎ−１｝かつｙ≠ｚ）に対する署名検証の結果が合格であり、かつ、前記署名付き意見値Ｘ” _ｉｙに含まれた意見値ｘ” _ｉｙと、前記署名付き意見値Ｘ” _ｉｚに含まれた意見値ｘ” _ｉｚと、が互いに相違する場合に、前記合意装置Ｐ（ｉ）に不正があったと判定する第１判定部を含む、合意システム。
請求項１の合意システムであって、
前記合意装置Ｐ（ｍ）は、
前記署名付き意見値Ｘ”_ｉｊに対する署名検証を行う署名検証部と、
前記署名付き意見値Ｘ”_ｉｊのうち、少なくとも何れかの２個の署名付き意見値Ｘ”_ｉｙ＝（ｘ”_ｉｙ，ｅ”_ｉｙ）および署名付き意見値Ｘ”_ｉｚ＝（ｘ”_ｉｚ，ｅ”_ｉｚ）（ただし、ｙ，ｚ∈｛０，…，ｉ−１，ｉ＋１，…，ｎ−１｝かつｙ≠ｚ）に対する署名検証の結果が不合格である場合に、前記合意装置Ｐ（ｉ）に不正があったと判定する第２判定部を含む、合意システム。
合意プロトコルを実行する合意システムであって、
ｎ個の合意装置Ｐ（０），…，Ｐ（ｎ−１）を有し、
ｎが３以上の整数、ｉ＝０，…，ｎ−１、ｊ＝０，…，ｎ−１、ｍ＝０，…，ｎ−１、ｉ≠ｊ、ｍ≠ｉであり、
合意装置Ｐ（ｉ）は、
意見を表す意見値ｘ _ｉと、前記意見値ｘ _ｉに対して付した署名ｓｉｇ _＿ｉ（ｘ _ｉ）と、を含む署名付き意見値Ｘ _ｉｊ＝（ｘ _ｉ，ｓｉｇ _＿ｉ（ｘ _ｉ））を、署名付き意見値Ｘ’ _ｉｊ＝（ｘ’ _ｉｊ，ｅ’ _ｉｊ）として生成する署名生成部、または、少なくとも一部の要素が前記署名付き意見値Ｘ_ｉｊとは異なる情報を、署名付き意見値Ｘ’ _ｉｊ＝（ｘ’ _ｉｊ，ｅ’ _ｉｊ）として生成する署名生成部と、
前記署名付き意見値Ｘ’ _ｉｊを前記合意装置Ｐ（ｉ）以外の合意装置Ｐ（ｊ）に対して出力する第１出力部と、を含み、
前記合意装置Ｐ（ｊ）は、
前記署名付き意見値Ｘ’ _ｉｊを受け付ける第１入力部と、
前記署名付き意見値Ｘ’ _ｉｊを、署名付き意見値Ｘ” _ｉｊとして前記合意装置Ｐ（ｊ）以外の合意装置Ｐ（ｍ）に対して出力する第２出力部、または、少なくとも一部の要素が前記署名付き意見値Ｘ’_ｉｊとは異なる情報を、署名付き意見値Ｘ” _ｉｊとして前記合意装置Ｐ（ｊ）以外の合意装置Ｐ（ｍ）に対して出力する第２出力部と、を含み、
前記合意装置Ｐ（ｍ）は、
前記合意装置Ｐ（ｊ）の前記第２出力部から出力された前記署名付き意見値Ｘ” _ｉｊ＝（ｘ” _ｉｊ，ｅ” _ｉｊ）を受け付ける第２入力部と、
前記署名付き意見値Ｘ” _ｉｊに対する署名検証を行う署名検証部と、
前記署名付き意見値Ｘ” _ｉｊのうち、少なくとも何れかの２個の署名付き意見値Ｘ” _ｉｙ＝（ｘ” _ｉｙ，ｅ” _ｉｙ）および署名付き意見値Ｘ” _ｉｚ＝（ｘ” _ｉｚ，ｅ” _ｉｚ）（ただし、ｙ，ｚ∈｛０，…，ｉ−１，ｉ＋１，…，ｎ−１｝かつｙ≠ｚ）に対する署名検証の結果が不合格である場合に、前記合意装置Ｐ（ｉ）に不正があったと判定する第２判定部を含む、合意システム。
請求項１から３のいずれかの合意システムであって、
前記署名検証部は、
前記第２入力部に受け付けられた前記署名付き意見値Ｘ”_ｉｊが前記合意装置Ｐ（ｉ）に対応する検証鍵ｋ_ｉに対して正しい関係にある場合に、前記署名付き意見値Ｘ”_ｉｊに対する署名検証の結果が合格であると判断し、
前記第２入力部に前記署名付き意見値Ｘ”_ｉｊが受け付けられなかった場合、前記第２入力部に受け付けられた前記署名付き意見値Ｘ”_ｉｊの形式が規定のものではなかった場合、または、前記第２入力部に受け付けられた前記署名付き意見値Ｘ”_ｉｊが前記検証鍵ｋ_ｉに対して正しい関係にない場合に、前記署名付き意見値Ｘ”_ｉｊに対する署名検証の結果が不合格であると判断する、合意システム。
請求項１から４の何れかの前記合意システムが有する前記合意装置Ｐ（ｍ）である合意装置。
合意プロトコルを実行するｎ個の合意装置Ｐ（０），…，Ｐ（ｎ−１）を有する合意システムの合意装置Ｐ（ｍ）であって、
ｎが３以上の整数、ｉ＝０，…，ｎ−１、ｊ＝０，…，ｎ−１、ｍ＝０，…，ｎ−１、ｉ≠ｊ、ｍ≠ｉであり、
前記合意装置Ｐ（ｍ）以外の合意装置Ｐ（ｊ）から出力された署名付き意見値Ｘ”_ｉｊ＝（ｘ”_ｉｊ，ｅ”_ｉｊ）を受け付ける第２入力部と、
前記署名付き意見値Ｘ”_ｉｊに対して署名検証を行う署名検証部と、
前記署名付き意見値Ｘ”_ｉｊのうち、少なくとも何れかの２個の署名付き意見値Ｘ”_ｉｙ＝（ｘ”_ｉｙ，ｅ”_ｉｙ）および署名付き意見値Ｘ”_ｉｚ＝（ｘ”_ｉｚ，ｅ”_ｉｚ）（ただし、ｙ，ｚ∈｛０，…，ｉ−１，ｉ＋１，…，ｎ−１｝かつｙ≠ｚ）に対する署名検証の結果が合格であり、かつ、前記署名付き意見値Ｘ”_ｉｙに含まれた意見値ｘ”_ｉｙと、前記署名付き意見値Ｘ”_ｉｚに含まれた意見値ｘ”_ｉｚと、が互いに相違する場合に、前記合意装置Ｐ（ｉ）に不正があったと判定する第１判定部と、
を有する合意装置。
請求項５または６の合意装置としてコンピュータを機能させるためのプログラム。
請求項５または６の合意装置としてコンピュータを機能させるためのプログラムを格納したコンピュータ読み取り可能な記録媒体。