JP7789966B2

JP7789966B2 - 分割可能トークン

Info

Publication number: JP7789966B2
Application number: JP2025017238A
Authority: JP
Inventors: ジャン，ウェイ; スティーヴンライト，クレイグ
Original assignee: Nchain Holdings Ltd
Current assignee: Nchain Holdings Ltd
Priority date: 2019-09-24
Filing date: 2025-02-05
Publication date: 2025-12-22
Anticipated expiration: 2040-09-01
Also published as: GB2587354A; JP2025065284A; US12505437B2; CN114424223A; JP7631325B2; US20230316272A1; US20260080400A1; GB201913714D0; EP4035326A1; JP2026034536A; WO2021059054A1; JP2022549001A

Description

本開示は、分割可能トークンを生成し、パーティ間でトークンを転送する方法に関する。

ブロックチェーンとは、分散型データ構造の形式を指し、ブロックチェーンの複製のコピーは、ピアツーピア（peer-to-peer （P２P））ネットワーク内の複数のノードのそれぞれにおいて維持される。ブロックチェーンは、データのブロックのチェーンを含み、各ブロックは１つ以上のトランザクションを含む。各トランザクションは、１つ以上のブロックに渡り得るシーケンスの中の先行するトランザクションを指してよい。トランザクションは、ネットワークに提供されて、「マイニング」として知られる処理により、新しいブロックに含まれることができる。「マイニング」は、複数のマイニングノードのそれぞれが「proof-of-work」を実行するために競争する、つまりブロックに含まれることを待っている保留中のトランザクションのプールに基づき、暗号パズルを解くことを含む。

従来、ブロックチェーン内のトランザクションは、デジタルアセット、すなわち、価値のストアとして機能するデータを伝達するために使用される。しかし、ブロックチェーンの上に追加の機能を積み重ねるために、ブロックチェーンを利用することもできる。たとえば、ブロックチェーンプロトコルは、トランザクションのアウトプットに追加のユーザーデータを格納することを可能にしてよい。現代のブロックチェーンは、単一トランザクション内に格納できる最大データ容量を増加させ、より複雑なデータを組み込むことを可能にしている。たとえば、これは、ブロックチェーン内に電子文書（electronic document）、或いはオーディオ若しくはビデオデータを格納するために使用され得る。

ネットワーク内の各ノードは、転送、マイニング、および記憶のうちの任意の１、２、または３つ全部の役割を有することができる。転送ノードは、ネットワークのノードを通じてトランザクションを伝播させる。マイニングノードは、トランザクションのマイニングを実行してブロックにする。記憶ノードはそれぞれ、ブロックチェーンのマイニングされたブロックのコピーを格納する。トランザクションをブロックチェーンに記録させるために、パーティは、該トランザクションを、伝播させるようにネットワークのノードのうちの１つへ送信する。トランザクションを受信するマイニングノードは、新しいブロックにトランザクションをマイニングするために競合する可能性がある。各ノードは、トランザクションが有効であるための１つ以上の条件を含む同じノードプロトコルに関するよう構成される。無効なトランザクションは、伝播されず、マイニングされてブロックにされることもない。トランザクションが検証され、それによってブロックチェーンに受け入れられたと仮定すると、追加のユーザーデータは、従って、不変の公開レコードとしてP２Pネットワークの各ノードに格納されたままである。

以下でOk-Ohシステム（Okamoto T., Ohta K. （１９９２） Universal Electronic Cash. In: Feigenbaum J. （eds） Advances in Cryptology－CRYPTO ’９１. CRYPTO １９９１. Lecture Notes in Computer Science, vol５７６. Springer, Berlin, Heidelberg）として言及される汎用電子現金システムは以前に提案されている。この中では、信頼される銀行が自身の顧客に電子現金を発行し得る。電子現金が発行されると、顧客は、その現金をより小さな部分に分割する柔軟性を有する。その部分を使用するために、受信者は、トランザクションを検証するために銀行に頼らなければならかった。検証後、銀行は、トランザクションを法定紙幣（フィアット）で決済し得る。

OkamotoおよびOhtaは概して二重支払いの問題を解決したが、彼らは二重支払いの再生の問題を考慮しなかった。これは、顧客が彼らの支払いを別の商人に対して再生する（replay）ときである。さらに、Ok-Ohシステムは、電子現金に限定されている。

本願明細書に記載される技術は、任意のアセットを表す分割可能トークンを分配するためにブロックチェーンネットワークのセキュリティを使用することにより、以前に提案されたシステムを改良する。Ok-Ohシステムと同様に、分割可能トークンは電子現金を表してよい。しかしながら、本願明細書に開示される実施形態によると、分割可能トークンは電子現金を表すことに限定されず、代わりに、任意のアセット、たとえば、会社の株式、芸術作品、または不動産を表すために使用することができる。分割可能トークンは、サービスと引き換えることもできる。たとえば、トークンは、コンテンツプロバイダーからストリーミング可能なメディアコンテンツの合計量（たとえば、分単位）を表してよい。

単一のトークンは、多数のサブトークンに分割できる。各サブトークンは単一のトークンより小さなアセット量を表す。これらのトークンは、サービスと引き換える（redeem）ため、所有権を移転するため、商品を購入するため、等に使用できる。さらに、透過性および監査可能性を提供して、本発明のシステムのいくつかの実施形態は、Ok-Ohシステムからの全部の利益を継承しながら、二重支払いの再生の問題も解決する。

本願明細書に開示される一態様によると、ブロックチェーンのための第２トランザクションを生成する方法が提供される。前記ブロックチェーンは、第１トランザクションを含み、前記第１トランザクションは、第１トークンと、第２パーティおよび第１パーティの間でデジタルアセットの量を移転する第１アウトプットと、を含み、前記第１トークンは、前記デジタルアセット以外の「トークンアセット」（つまり、第２または更なるアセット）の第１の量を表し、前記第２トランザクションは、第１パーティから第３パーティへ前記トークンアセットの第２の量を表す第２トークンを移転するためのものである。前記方法は、前記第１パーティにより実行され、前記第２トランザクションを生成するステップを含み、前記第２トランザクションは、ｉ）第１トランザクションの第１アウトプットをアンロックするよう構成される第１インプットと、ｉｉ）前記第２トークンを含む第１アウトプットであって、前記第２トークンは、前記トークンアセットの前記第２の量を表すデータを含み、前記第２の量は前記第１の量より少ない、第１アウトプットと、を含む、方法。

前記第１トークンは、前記ブロックチェーン上に、前記第１トランザクションの中に、不変的に格納され、前記第１パーティへ発行された前記トークンアセットの量のレコードとして動作する。たとえば、前記トークンは通貨の額（たとえば、１００ポンド）、（本例ではグレートブリテンと北アイルランドの通貨単位）であってよい。前記第２トランザクションは、前記第１トランザクションをアンロックするためのインプットを有し、したがって、それらが発行した任意のパーティに前記第１トークンを提供する。前記第２トランザクションは、第２トークンを格納するアウトプットを有する。前記第２トークンは、前記第１トークンの分割である。つまり、それは、前記第１トークンにより表されたトークンアセットのうちの第２の、より小さな額（たとえば、５０ポンドまたは７５ポンド）を表す。前記第１トークンを分割するために、前記第１パーティは、前記第２トークンに、前記第２の量を表すデータを含める。前記第２の量は、前記第１の量より少ない。たとえば、前記データは、１つ以上の値を含んでよい。各値は、前記第２のより小さな量に加算される、前記第１の量のサブ量を表す。たとえば、前記第１パーティが第３パーティへ７５ポンドを移転したい場合、前記第２トークンは、それぞれ５０ポンドおよび２５ポンドを表す２つの値を含んでよい。本例では、前記第３パーティは、異なる目的に私用するために、彼女の元のトークンのうちの２５ポンドの価値を依然として有する。用語「トークンアセット（token asset）」は、前記トークンにより表されるアセットのための単なるラベルとして使用される。これは、デジタルまたは物理的（有形）アセットであることができ、ブロックチェーンネットワークのブロックチェーンプロトコルの部分として本来移転されるデジタルアセット以外の任意のアセットであることができる。

別の例として、第１パーティ（Alice）は、（第１トランザクションを用いて）たとえば家屋のようなアセットの完全な（つまり１００％の）所有権を表す第１トークンを発行されてよい。前記第１パーティは、前記家屋の部分的所有権を第３パーティへ、たとえば第１パーティの子供、Charlieに移転することを決定してよい。Aliceが彼女の家屋をCharlieに２５％移転することを決定した場合、彼女は、一緒に加算すると２５％を表す１つ以上の値を含めてよい。たとえば、単一の値が２５％を表す。

本願明細書に開示される別の態様によると、ブロックチェーンのための第２トランザクションを更新する方法が提供される。前記ブロックチェーンは、第１トランザクションを含み、前記第１トランザクションは、第１トークンと、第２パーティから第１パーティへデジタルアセットの量を移転する第１アウトプットと、を含み、前記第１トークンは、前記デジタルアセット以外の「トークンアセット」（つまり、第２または更なるアセット）の第１の量を表し、前記第２トランザクションは、前記第１パーティから第３パーティへ前記トークンアセットの第２の量を表す第２トークンを移転するためのものである。前記方法は、前記第３パーティにより実行され、
前記第２トランザクションを取得するステップであって、前記第２トランザクションは、i）前記第１トークンを含む第１インプットと、ｉｉ）前記第２トークンを含む第１アウトプットとを含み、前記第２トークンは、１つ以上の値を含み、各値は前記トークンアセットのそれぞれのサブ量を表すために私用される、ステップと、
ａ）各値が少なくとも前記第１トランザクションの識別子に基づき生成れたか、およびｂ）前記第２トランザクションの中の前記第１トークンが前記第１トランザクションの中の前記第１トークンと同一であるかに基づき、第２トランザクションが有効かどうかを決定するステップと、
前記決定に基づき、前記第３パーティの公開鍵により前記第２トランザクションに署名することにより、前記第２トランザクションを更新するステップと、
前記ブロックチェーンに含めるために、更新した第２トランザクションを前記ブロックチェーンネットワークへ送信するステップと、を含む。

たとえば、前記第３パーティは、前記第２トランザクションを前記第１パーティから受信してよい。前記第２トランザクションは、第１インプットおよび第１アウトプットを有する。前記第１インプットは、前記第１トークンを含む。これは、たとえば銀行により、前記第１パーティへと発行される上述の単一のトークンであってよい。代替として、前記第１トークンは、それ自体がより大きなトークンの分割であてよい。前記第１アウトプットは、１つ以上の値を含み、各値は、前記第１トークンにより定義される量のうちのサブ量（部分的な量、sub-amount）を表す。たとえば、前記第１の量は、１２０単位をあたわしてよく、各単位は１分間のビデオを表し、値は、４５単位を表してよく、たとえば、１つの値が３０単位を表し、１つ値が１５単位を表してよい。前記第３パーティは、前記第２トークンの有効性を決定するために１組のチェックを実行する。前記第３パーティが満足する場合、前記第３パーティは、（たとえば、前記第３パーティの署名を含むインプットを前記第２トランザクションに追加することにより）前記第２トランザクションに署名する。これは、前記第２トランザクションを更新する。取得した第２トランザクションは、前記ブロックチェーンに提出されないテンプレートトランザクションであってよく更新された第２トランザクションは、前記ブロックチェーンに実際に提出される完全なトランザクションであってよい。

更新された第２トランザクションが前記ブロックチェーンに含まれると、前記第２トランザクションは、前記第１パーティから前記第２パーティへの前記分割可能トークンの特定の分割の移転の不変的記録として機能する。前記第２トランザクションは前記第３パーティ（Charlie）により署名されるので、Charlieは、彼自身で償還したトークンの量を証明している。前記第２トークンは、前記第１トークンの分割である。前記第３パーティは、前記第２トークンを自由に更に分割する。

前記第３パーティは、前記第１パーティに、前記第２トークンと引き換えに何か、たとえば前記第２トークンの第２の量の価値のあるものを提供してよい。たとえば、前記第２の量は７５ポンドであってよく、CharlieはAliceに７５ポンドの価値のある商品またはサービスを与えてよい。

本願明細書に開示される別の態様によると、コンピュータにより実施される、ブロックチェーンのための第１トランザクションを生成する方法であって、前記第１トランザクションは、第２パーティから第１パーティへデジタルアセットの量を移転する第１アウトプットを含み、前記第１トランザクションは、前記第２パーティから前記第１パーティへ第１トークンを移転するためのものであり、前記第１トークンは前記デジタルアセット以外のトークンアセット（つまり、第２の、または更なるアセット）の第１の量を表し、前記方法は、前記第２パーティにより実行され、
前記第１トランザクションを生成するステップであって、前記第１トランザクションは、ｉ）第２トランザクションのインプットと一緒に実行されるとき、前記第２トランザクションのインプットがアンロックされるために前記第１パーティの第１公開鍵を含むことを要求するよう構成される第１アウトプットと、ｉｉ）前記第１トークンを含む第２アウトプットと、を含み、前記第１トークンは、ａ）前記トークンアセットの第１の量と、ｂ）前記第１パーティの暗号化識別子であって、前記暗号化識別子は、前記第１パーティの第２公開鍵を用いて前記第１パーティの識別子を暗号化することにより生成される暗号化識別子と、を含み、前記第２公開鍵はモジュラスを含み、前記第１トークンはｃ）モジュラスを含む、ステップ、を含む。前記第２パーティは、前記第１トークンを前記第１パーティへ発行するパーティである。

たとえば、サービス提供者（たとえば、エネルギー供給者）は、サービス、コンテンツ、等の量と引き換え可能なトークンを、前記第１トークンに発行してよい。トークン発行者は、トランザクションのアウトプットの中に前記トークンを含む第１トランザクションを生成する。前記トークン自体は、少なくとも３個のデータフィールドを含み、１つは前記トークンの全体量を表し、１つは前記第１パーティの暗号化識別子を表す。前記識別子は、少なくとも部分的にモジュラス、たとえばRSAモジュラスにより定義される公開鍵により暗号化される。

本開示の実施形態の理解を助け、そのような実施形態がどのように実施され得るかを示すために、例としてのみ、以下の添付の図面を参照する。
ブロックチェーンを実装するためのシステムの概略ブロック図である。ブロックチェーンに記録されるトランザクションのいくつかの例を概略的に示している。ブロックチェーンを実装するための別のシステムの概略ブロック図である。アウトプットに基づくモデルのノードプロトコル;トランザクションを処理するノードソフトウェアのピースの概略ブロック図である。バイナリツリー構造を概略的に示す。パーティ間で可分トークンを移転するシステムを概略的に示す。第１ブロックチェーントランザクションの例示的な表現を示す。第１トークンの例示的な表現を示す。第２ブロックチェーントランザクションの例示的な表現を示す。第２トークンの例示的な表現を示す。トークンの量とバイナリツリー構造のノードとの間のマッピングを概略的に示す。ツリーのノードを計算する式と共にバイナリツリー構造を概略的に示す第２ブロックチェーントランザクションの更新バージョンの例示的な表現を示す。

＜例示的なシステムの概要＞
図１は、ブロックチェーン１５０を一般的に実装するための例示的なシステム１００を示す。システム１００は、典型的にはインターネットのような広域インターネットワークであるパケット交換ネットワーク１０１を含む。パケット交換ネットワーク１０１は、パケット交換ネットワーク１０１内にピアツーピア（P２P）オーバーレイネットワーク１０６を形成するように配置された複数のノード１０４を含む。各ノード１０４は、異なるピアに属する異なるノード１０４を有するピアのコンピュータ装置を含む。各ノード１０４は、１つ以上のプロセッサ、たとえば、１つ以上の中央処理装置（CPU）、アクセラレータプロセッサ、特定用途向けプロセッサ、および／またはフィールドプログラマブルゲートアレイ（FPGA）を含む処理装置を含む。各ノードはまた、メモリ、すなわち、非一時的コンピュータ読み取り可能媒体または媒体の形態のコンピュータ読み取り可能記憶装置を備える。メモリは、１つ以上のメモリ媒体、たとえば、ハードディスクなどの磁気媒体、固体ドライブ（solid-state drive （SSD））、フラッシュメモリまたはEEPROMなどの電子媒体、および／または光ディスクドライブなどの光学的媒体を使用する１つ以上のメモリユニットを含んでいてもよい。

ブロックチェーン１５０は、データ１５１のブロックのチェーンを含み、ブロックチェーン１５０のそれぞれのコピーは、P２Pネットワーク１６０内の複数のノードのそれぞれに維持される。チェーン内の各ブロック１５１は、１つ以上のトランザクション１５２を含み、この文脈ではトランザクションは、一種のデータ構造を参照する。データ構造の性質は、トランザクションモデルまたはスキームの一部として使用されるトランザクションプロトコルのタイプに依存する。所与のブロックチェーンは、典型的には、全体を通して、１つの特定のトランザクションプロトコルを使用する。１つの一般的なタイプのトランザクションプロトコルでは、各トランザクション１５２のデータ構造は、少なくとも１つのインプットおよび少なくとも１つのアウトプットを含む。各アウトプットは、暗号的にロックされているユーザー１０３に属するデジタルアセットの量を表す量を指定する（ロックを解除し、それによって償還または使用するために、そのユーザーの署名を必要とする）。各インプットは、先行するトランザクション１５２のアウトプットを指し示し、それによって、トランザクションをリンクする。

ノード１０４の少なくとも一部は、トランザクション１５２を転送し、それによって伝播する転送ノード１０４Fの役割を引き受ける。ノード１０４の少なくともいくつかは、ブロック１５１をマイニングするマイナー１０４Mの役割を担う。ノード１０４の少なくともいくつかは、記憶ノード１０４S（「フルコピー（full-copy）」ノードとも呼ばれる）の役割を引き受け、各ノードは、それぞれのメモリに同じブロックチェーン１５０のそれぞれのコピーを格納する。各マイナーノード１０４Mはまた、ブロック１５１へのマイニングを待つトランザクション１５２のプール１５４を維持する。所与のノード１０４は、転送ノード１０４、マイナー１０４M、記憶ノード１０４S、またはこれらの２つもしくはすべての任意の組み合わせであり得る。

所与の現在のトランザクション１５２jにおいて、インプット（またはそのそれぞれ）は、トランザクションのシーケンスの中の先行トランザクション１５２iのアウトプットを参照するポインタを含み、このアウトプットが現在のトランザクション１５２jにおいて償還されるかまたは「使用される（spent）」ことを指定する。一般に、先行するトランザクションは、プール１５４または任意のブロック１５１内の任意のトランザクションであり得る。先行するトランザクション１５２iは、必ずしも、現在のトランザクション１５２jが生成されたまたはネットワーク１０６へ送信されたときに存在する必要はないが、先行するトランザクション１５２iは、現在のトランザクションが有効であるために存在し検証されている必要がある。従って、本願明細書で「先行する」は、ポインタによりリンクされた論理的シーケンスの中で先行するものを表し、必ずしも時系列の中での生成または送信の時間を表さない。従って、それは、必ずしも、トランザクション１５２i,１５２jが順不同で生成されまたは送信されることを排除しない（以下の親のない（orphan）トランザクションに関する議論を参照する）。先行するトランザクション１５２iは、等しく、祖先（antecedent）または先行（predecessor）トランザクションと呼ばれ得る。

現在のトランザクション１５２jのインプットは、先行するトランザクション１５２iのアウトプットがロックされているユーザー１０３aの署名も含む。次に、現在のトランザクション１５２jのアウトプットは、新しいユーザー１０３bに暗号的にロックすることができる。従って、現在のトランザクション１５２jは、先行するトランザクション１５２iのインプットに定義された量を、現在のトランザクション１５２jのアウトプットに定義された新しいユーザー１０３bに移転することができる。ある場合には、トランザクション１５２は、複数のユーザー間でインプット量を分割するために複数のアウトプットを有してもよい（そのうちの１つは、お釣りを与えるために、元のユーザー１０３aであってもよい）。場合によっては、トランザクションは、複数のインプットを有し、１つ以上の先行トランザクションの複数のアウトプットから金額を集め、現在のトランザクションの１つ以上のアウトプットに再配分することもできる。

上記は「アウトプットベースの」トランザクションプロトコルと呼ばれることがあり、時には「未使用のトランザクションアウトプット（unspent transaction output （UTXO））タイプのプロトコル」（アウトプットはUTXOと呼ばれる）とも呼ばれる。ユーザーの合計残高は、ブロックチェーンに格納されている１つの数値で定義されるのではなく、代わりに、ユーザーは、ブロックチェーン１５１内の多くの異なるトランザクション１５２に分散されている該ユーザーの全てのUTXOの値を照合するために、特別な「ウォレット」アプリケーション１０５を必要とする。

アカウントベースのトランザクションモデルの一部として、別のタイプのトランザクションプロトコルを「アカウントベース」のプロトコルと呼ぶことがある。アカウントベースの場合、各トランザクションは、過去の一連のトランザクションにおいて、先行するトランザクションのUTXOに戻って参照することによって移転される量を定義するのではなく、絶対的な口座（アカウント）残高を参照することによって移転される。すべてのアカウントの現在の状態は、ブロックチェーンと分離してマイナーによって保管され、絶えず更新される。このようなシステムでは、トランザクションは、アカウントの連続したトランザクション記録（いわゆる「ポジション」）を用いて発注される。この値は、送信者により彼らの暗号署名の一部として署名され、トランザクション参照計算の一部としてハッシュされる。さらに、任意的なデータフィールドもトランザクションに署名することができる。このデータフィールドは、たとえば、前のトランザクションIDがデータフィールドに含まれている場合、前のトランザクションを遡ってポイントしてよい。

どちらのタイプのトランザクションプロトコルでも、ユーザー１０３が新しいトランザクション１５２jを実行したい場合、ユーザーは、自分のコンピュータ端末１０２からP２Pネットワーク１０６のノードの１つ１０４（現在は、通常、サーバーまたはデータセンターであるが、原則として、他のユーザー端末でもよい）に新しいトランザクションを送信する。このノード１０４は、各ノード１０４に適用されるノードプロトコルに従って、トランザクションが有効であるかどうかをチェックする。ノードプロトコルの詳細は、問題のブロックチェーン１５０で使用されているトランザクションプロトコルのタイプに対応し、全体のトランザクションモデルを一緒に形成する。ノードプロトコルは、典型的には、ノード１０４に、新しいトランザクション１５２j内の暗号署名が、トランザクション１５２の順序付けされたシーケンスの中の前のトランザクション１５２iに依存する、期待される署名と一致することをチェックすることを要求する。アウトプットベースの場合、これは、新しいトランザクション１５２jのインプットに含まれるユーザーの暗号署名が、新しいトランザクションが使用する先行トランザクション１５２iのアウトプットに定義された条件と一致することをチェックすることを含み得、この条件は、典型的には、新しいトランザクション１５２jのインプットにおける暗号署名が、新しいトランザクションのインプットがポイントする先行トランザクション１５２iのアウトプットをアンロックすることを少なくともチェックすることを含む。いくつかのトランザクションプロトコルでは、条件は、少なくとも部分的に、インプットおよび／またはアウトプットに含まれるカスタムスクリプトによって定義されてもよい。あるいは、単にノードプロトコルだけで固定することもできるし、あるいは、これらの組み合わせによることもある。いずれにせよ、新しいトランザクション１５２jが有効であれば、現在のノードは、P２Pネットワーク１０６内のノード１０４の１つ以上の他のノードにそれを転送する。これらのノード１０４の少なくともいくつかは、同じノードプロトコルに従って同じテストを適用し、新しいトランザクション１５２jを１つ以上のさらなるノード１０４に転送するなど、転送ノード１０４Fとしても機能する。このようにして、新しいトランザクションは、ノード１０４のネットワーク全体に伝播される。

アウトプットベースのモデルでは、与えられたアウトプット（たとえば、UTXO）が使用されるかどうかの定義は、ノードプロトコルに従って別の今後の（onward）トランザクション１５２jのインプットによって既に有効に償還されているかどうかである。トランザクションが有効であるための別の条件は、それが使用または償還を試みる先行するトランザクション１５２iのアウトプットが、別の有効なトランザクションによって未だ使用／償還されていないことである。ここでも、有効でない場合、トランザクション１５２jは、ブロックチェーンに伝播または記録されない。これは、支払人が同じトランザクションのアウトプットを複数回使用しようとする二重支払いを防ぐ。一方、アカウントベースのモデルは、口座残高を維持することによって、二重支払いを防ぐ。この場合も、トランザクションの順序が定義されているため、口座残高は、一度に単一の定義された状態を有する。

検証に加えて、ノード１０４Mのうちの少なくともいくつかは、「proof of work」に支えられているマイニングと呼ばれるプロセスで、トランザクションのブロックを最初に作成するために競合する。マイニングノード１０４Mでは、まだブロックに現れていない有効なトランザクションのプールに新しいトランザクションが追加される。そして、マイナーは、暗号パズルを解決しようと試みることにより、トランザクションのプール１５４からトランザクション１５２の新しい有効なブロック１５１を組み立てるために競争する。これは、典型的には、ノンスがトランザクションのプール１５４と連結され、ハッシュされるときに、ハッシュのアウトプットが所定の条件を満たすような「ノンス」値を探すことを含む。たとえば、所定の条件は、ハッシュのアウトプットが、所定の数の先頭ゼロを有することであってもよい。ハッシュ関数の特性は、インプットに関して予測不可能なアウトプットを持つことである。従って、この探索は、ブルートフォースによってのみ実行することができ、従って、パズルを解決しようとしている各ノード１０４Mにおいて、相当量の処理リソースを使用する。

パズルを解く最初のマイナーノード１０４Mは、これをネットワーク１０６に通知し、その解を証明として提供する。この解は、ネットワーク内の他のノード１０４によって簡単にチェックすることができる（ハッシュが対する解が与えられれば、ハッシュのアウトプットが条件を満たすことを確認することは簡単である）。勝者がパズルを解いたトランザクションのプール１５４は、各ノードで勝者が発表した解をチェックしたことに基づいて、記憶ノード１０４Sとして機能するノード１０４のうちの少なくともいくつかによってブロックチェーン１５０の新しいブロック１５１として記録される。また、新しいブロック１５１nにはブロックポインタ１５５が割り当てられ、チェーン内で前に作成されたブロック１５１n-１を指すようになっている。proof-of-workは、新しいブロックを１５１作成するのに多大な労力を要し、二重の支出を含むブロックは他のノード１０４によって拒否される可能性が高く、従ってマイニングノード１０４Mが二重支払いを彼らのブロックに含まないようにする動機が働くので、二重の支出のリスクを減じるのを助ける。一旦生成されると、ブロック１５１は、同じプロトコルに従ってP２Pネットワーク１０６内の記憶ノード１０４Sのそれぞれで認識され、維持されるので、修正することができない。ブロックポインタ１５５はまた、ブロック１５１に逐次的な順序を課す。トランザクション１５２は、P２Pネットワーク１０６内の各記憶ノード１０４Sで順序付けられたブロックに記録されるので、これはトランザクションの不変の公開台帳を提供する。

パズルを解決するために常に競争している異なるマイナー１０４Mは、いつ解を探し始めたかによって、いつでもマイニングされていないトランザクションプール１５４の異なるスナップショットに基づいてパズルを解いているかもしれないことに留意する。パズルを解く者は誰でも、最初に次の新しいブロック１５１nに含まれるトランザクション１５２を定義し、現在のマイニングされていないトランザクションのプール１５４が更新される。そして、マイナーは、新たに定義された未決のプールからブロックを作り出すために、競争を続ける。また、生じ得る「分岐（フォーク、fork）」を解決するためのプロトコルも存在する。これは、２人のマイナー１０４Mが互いに非常に短い時間内にパズルを解決し、ブロックチェーンの矛盾したビューが伝播する場合である。要するに、分岐の枝が伸びるときは常に、最長のものが最終的なブロックチェーン１５０になる。

ほとんどのブロックチェーンでは、勝ったマイナー１０４Mは、何も無いものから新しい量のデジタルアセットを生み出す特別な種類の新しいトランザクションによって自動的に報酬を受けている（通常のトランザクションでは、あるユーザーから別のユーザーにデジタルアセットの量を移転する）。したがって、勝ったノードは、ある量のデジタルアセットを「マイニング」したと言える。この特殊なタイプのトランザクションは「生成（generation）」トランザクションと呼ばれることもある。それは自動的に新しいブロック１５１nの一部を形成する。この報酬は、マイナー１０４Mがproof-of-work競争に参加する動機を与える。通常の（非生成）トランザクション１５２は、そのアウトプットの１つに追加のトランザクション手数料を指定し、そのトランザクションが含まれたブロック１５１nを生成した勝ったマイナー１０４Mにさらに報酬を与えることが多い。

マイニングに含まれる計算リソースのために、典型的には、少なくともマイナーノード１０４Mのそれぞれは、１つ以上の物理的サーバーユニットを含むサーバー、またはデータセンター全体の形態をとる。各転送ノード１０４Mおよび／または記憶ノード１０４Sは、サーバーまたはデータセンターの形態をとることもできる。しかしながら、原則として、任意の所与のノード１０４は、ユーザー端末または互いにネットワーク接続されたユーザー端末のグループを含むことができる。

各ノード１０４のメモリは、それぞれの１つ以上の役割を実行し、ノードプロトコルに従ってトランザクション１５２を処理するために、ノード１０４の処理装置上で動作するように構成されたソフトウェアを記憶する。ノード１０４に属するいずれの動作も、それぞれのコンピュータ装置の処理装置上で実行されるソフトウェアによって実行され得ることが理解されよう。また、本願明細書で使用される「ブロックチェーン」という用語は、一般的な技術の種類を指す一般的な用語であり、任意の特定の専有のブロックチェーン、プロトコルまたはサービスに限定されない。

また、ネットワーク１０１には、消費者ユーザーの役割を果たす複数のパーティ１０３のそれぞれのコンピュータ装置１０２も接続されている。これらは、トランザクションにおける支払人および被支払人の役割を果たすが、他のパーティの代わりにトランザクションをマイニングしまたは伝播することに必ずしも参加しない。それらは必ずしもマイニングプロトコルを実行するわけではありません。２つのパーティ１０３およびそれぞれの機器１０２は、説明のために示されており、第１パーティ１０３aおよびそのそれぞれのコンピュータ機器１０２a、ならびに第２パーティ１０３bおよびそのそれぞれのコンピュータ機器１０２bである。より多くのこのようなパーティ１０３およびそれらのそれぞれのコンピュータ装置１０２がシステムに存在し、参加することができるが、便宜上、それらは図示されていないことが理解されよう。各パーティ１０３は、個人または組織であってもよい。純粋に例示として、第１パーティ１０３aは、本願明細書においてAliceと称され、第２パーティ１０３bは、Bobと称されるが、これは限定的なものではなく、本願明細書においてAliceまたはBobという言及は、それぞれ「第１パーティ」および「第２パーティ」と置き換えることができることは理解されるであろう。

各パーティ１０３のコンピュータ機器１０２は、１つ以上のプロセッサ、たとえば、１つ以上のCPU、GPU、他のアクセラレータプロセッサ、特定用途向けプロセッサ、および／またはFPGAを備えるそれぞれの処理装置を備える。各パーティ１０３のコンピュータ機器１０２は、さらに、メモリ、すなわち、非一時的コンピュータ読み取り可能媒体または媒体の形態のコンピュータ読み取り可能記憶装置を備える。このメモリは、たとえば、ハードディスクなどの磁気媒体、SSD、フラッシュメモリまたはEEPROMなどの電子媒体、および／または光ディスクドライブなどの光学的媒体を使用する１つ以上のメモリユニットを含んでいてもよい。各パーティ１０３のコンピュータ機器１０２上のメモリは、処理装置上で動作するように配置された少なくとも１つのクライアントアプリケーション１０５のそれぞれのインスタンスを含むソフトウェアを記憶する。本願明細書で与えられたパーティ１０３に帰属されたいずれのアクションも、それぞれのコンピュータ装置１０２の処理装置上で実行されるソフトウェアを使用して実行され得ることが理解されよう。各パーティ１０３のコンピュータ機器１０２は、少なくとも１つのユーザー端末、たとえばデスクトップまたはラップトップコンピュータ、タブレット、スマートフォン、またはスマートウォッチのようなウェアラブルデバイスを備えている。所与のパーティ１０３のコンピュータ装置１０２は、ユーザー端末を介してアクセスされるクラウドコンピューティングリソースのような、１つ以上の他のネットワーク接続されたリソースを含んでいてもよい。

クライアントアプリケーションまたはソフトウェア１０５は、最初に、１つ以上の適切なコンピュータ読み取り可能な記憶媒体、たとえばサーバーからダウンロードされたもの、またはリムーバブルSSD、フラッシュメモリキー、リムーバブルEEPROM、リムーバブル磁気ディスクドライブ、磁気フロッピーディスクまたはテープ、光ディスク、たとえばCDまたはDVD ROM、またはリムーバブル光学ドライブなどのリムーバブル記憶装置上で、任意の所与のパーティ１０３のコンピュータ機器１０２に提供され得る。

クライアントアプリケーション１０５は、少なくとも「ウォレット」機能を備える。これには主に２つの機能を有する。これらのうちの１つは、それぞれのユーザーパーティ１０３が、ノード１０４のネットワーク全体にわたって伝播され、それによってブロックチェーン１５０に含まれるトランザクション１５２を作成し、署名し、送信することを可能にすることである。もう１つは、現在所有しているデジタルアセットの金額をそれぞれのパーティに報告することである。アウトプットベースのシステムでは、この第２の機能は、当該パーティに属するブロックチェーン１５０全体に散在するさまざまなトランザクション１５２のアウトプットの中で定義される量を照合することを含む。

各コンピュータ機器１０２上のクライアントアプリケーション１０５のインスタンスは、P２Pネットワーク１０６の転送ノード１０４Fの少なくとも１つに動作可能に結合される。これにより、クライアント１０５のウォレット機能は、トランザクション１５２をネットワーク１０６に送信することができる。クライアント１０５は、また、記憶ノード１０４のうちの１つ、一部、または全部にコンタクトして、それぞれのパーティ１０３が受信者である任意のトランザクションについてブロックチェーン１５０に問い合わせることができる（または、実施形態では、ブロックチェーン１５０は、部分的にその公開視認性を通じてトランザクションの信頼を提供する公開的設備であるため、実際には、ブロックチェーン１５０内の他のパーティのトランザクションを検査する）。各コンピュータ機器１０２上のウォレット機能は、トランザクションプロトコルに従ってトランザクション１５２を形成し、送信するように構成される。各ノード１０４は、ノードプロトコルに従ってトランザクション１５２を検証するように構成されたソフトウェアを実行し、転送ノード１０４Fの場合は、ネットワーク１０６全体にトランザクション１５２を伝搬させるためにトランザクション１５２を転送する。トランザクションプロトコルとノードプロトコルは互いに対応し、所与のトランザクションプロトコルは所与のノードプロトコルと共に所与のトランザクションモデルを実装する。同じトランザクションプロトコルが、ブロックチェーン１５０内のすべてのトランザクション１５２に使用される（ただし、トランザクションプロトコルは、トランザクションの異なるサブタイプを許可してもよい）。同じノードプロトコルは、ネットワーク１０６内のすべてのノード１０４によって使用される（ただし、多くのノードは、そのサブタイプに対して定義されたルールに従って異なるトランザクションのサブタイプを異なるように処理し、また、異なるノードは異なる役割を引き受け、従って、プロトコルの異なる対応する側面を実装することができる）。

上述したように、ブロックチェーン１５０はブロック１５１のチェーンを含み、各ブロック１５１は、上述したように、proof-of-workプロセスによって作成された１つまたは複数のトランザクション１５２のセットを含む。各ブロック１５１は、また、ブロック１５１への逐次的順序を規定するように、チェーン内の先に生成されたブロック１５１に戻るブロックポインタ１５５を含む。ブロックチェーン１５０はまた、proof-of-workプロセスによって新しいブロックに含まれることを待つ有効なトランザクション１５４のプールを含む。各トランザクション１５２（生成トランザクション以外）は、トランザクションのシーケンスに順序を定義するために、前のトランザクションへのポインタを含む（注：トランザクション１５２のシーケンスは、分岐することが許される）。ブロック１５１のチェーンは、チェーンの最初のブロックであったジェネシスブロック（genesis block （Gb））１５３にまで戻る。チェーン１５０の初期に１つ以上のオリジナルトランザクション１５２は、先行するトランザクションではなくジェネシスブロック１５３を指し示した。

所与のパーティ１０３、たとえばAliceがブロックチェーン１５０に含まれる新たなトランザクション１５２jを送信したいと望む場合、彼女は関連するトランザクションプロトコルに従って（彼女のクライアントアプリケーション１０５のウォレット機能を使用して）新たなトランザクションを作成する（formulate）。次に、クライアントアプリケーション１０５からトランザクション１５２を、彼女が接続されている１つ以上の転送ノード１０４Fの１つに送信する。たとえば、これは、Aliceのコンピュータ１０２に最も近いかまたは最も良好に接続されている転送ノード１０４Fであってもよい。任意の所与のノード１０４が新しいトランザクション１５２jを受信すると、ノードプロトコルおよびそのそれぞれの役割に従って、それを処理する。これは、最初に、新たに受信されたトランザクション１５２jが「有効」であるための特定の条件を満たしているかどうかをチェックすることを含み、その例については、簡単に詳述する。いくつかのトランザクションプロトコルでは、検証のための条件は、トランザクション１５２に含まれるスクリプトによってトランザクションごとに構成可能であってよい。或いは、条件は単にノードプロトコルの組み込み機能であってもよく、或いはスクリプトとノードプロトコルの組み合わせによって定義されてもよい。

新たに受信されたトランザクション１５２jが、有効であると見なされるテストに合格したという条件で（すなわち、「有効である」という条件で）、トランザクション１５２jを受信した任意の記憶ノード１０４Sは、そのノード１０４Sに維持されているブロックチェーン１５０のコピー内のプール１５４に、新たに有効とされたトランザクション１５２を追加する。さらに、トランザクション１５２jを受信する任意の転送ノード１０４Fは、検証済みトランザクション１５２をP２Pネットワーク１０６内の１つ以上の他のノード１０４に伝播する。各転送ノード１０４Fは同じプロトコルを適用するので、トランザクション１５２jが有効であると仮定すると、これは、P２Pネットワーク１０６全体に間もなく伝播されることを意味する。

ひとたび１つ以上の記憶ノード１０４で維持されるブロックチェーン１５０のコピー内のプール１５４に入ると、マイナーノード１０４Mは、新しいトランザクション１５２を含むプール１５４の最新バージョンのproof-of-workパズルを解決するために競争を開始する（他のマイナー１０４Mは、依然として、プール１５４の古いビューに基づいてパズルを解決しようとしているが、そこに到達した者は誰でも、最初に、次の新しいブロック１５１が終了し、新しいプール１５４が開始する場所を定義し、最終的には、誰かが、Aliceのトランザクション１５２jを含むプール１５４の一部のパズルを解決する）。一旦、新しいトランザクション１５２jを含むプール１５４についてproof-of-workが行われると、それはブロックチェーン１５０内のブロック１５１のうちの１つの一部となる。各トランザクション１５２は、以前のトランザクションへのポインタから構成されるので、トランザクションの順序もまた、不変的に記録される。

＜UTXOベースのモデル＞
図２は、トランザクションプロトコルの例を示している。これは、UTXOベースのプロトコルの例である。トランザクション１５２（「Tx」と略す）は、ブロックチェーン１５０（各ブロック１５１は１つ以上のトランザクション１５２を含む）の基本的なデータ構造である。以下は、アウトプットベースまたは「UTXO」ベースのプロトコルを参照して説明される。しかし、これは、全ての可能な実施形態に限定されるものではない。

UTXOベースのモデルでは、各トランザクション（「Tx」）１５２は、１つ以上のインプット２０２および１つ以上のアウトプット２０３を含むデータ構造を含む。各アウトプット２０３は、未使用トランザクションアウトプット（UTXO）を含んでいてもよく、これは、別の新しいトランザクションのインプット２０２のソースとして使用することができる（UTXOが未だ償還されていない場合）。UTXOは、デジタルアセット（価値のストア）の量を指定する。それは、情報の中でも特にその元となったトランザクションのトランザクションIDを含む。トランザクションデータ構造はまた、ヘッダー２０１も含んでよく、ヘッダー２０１は、インプットフィールド２０２およびアウトプットフィールド２０３のサイズの指示子を含んでいてもよいヘッダー２０１を含んでよい。ヘッダー２０１は、トランザクションのIDも含んでいてもよい。実施形態において、トランザクションIDは、トランザクションデータのハッシュ（トランザクションID自体を除く）であり、マイナー１０４Mに提出された未加工トランザクション１５２のヘッダー２０１に格納される。

図２の各アウトプットはUTXOとして示されるが、トランザクションは追加または代替として、１つ以上の未使用トランザクションアウトプットを含んでよいことに留意する。

たとえばAlice１０３aは、問題のデジタルアセットの量をBob１０３bに移転するトランザクション１５２jを作成したいと考えているとする。図２において、Aliceの新しいトランザクション１５２jは「Tx_１」とラベル付けされている。これは、Aliceにロックされているデジタルアセットの量を、シーケンス内の先行するトランザクション１５２iのアウトプット２０３に取り入れ、その少なくとも一部をBobに移転する。先行するトランザクション１５２iは、図２において「Tx_０」とラベル付けされている。Tx_０とTx_１は、単なる任意のラベルである。これらは、必ずしも、Tx_０がブロックチェーン１５１の最初のトランザクションであること、または、Tx_１がプール１５４の直ぐ次のトランザクションであることを意味しない。Tx_１は、まだAliceへのロックされた未使用アウトプット２０３を有する任意の先行する（つまり祖先）トランザクションのいずれかを指し示すことができる。

先行するトランザクションTx_０は、Aliceがその新しいトランザクションTx_１を作成するとき、または少なくとも彼女がそれをネットワーク１０６に送信するときまでに、既に検証され、ブロックチェーン１５０に含まれていてもよい。それは、その時点で既にブロック１５１のうちの１つに含まれていてもよく、あるいは、プール１５４内でまだ待機していてもよく、その場合、新しいブロック１５１にすぐに含まれることになる。あるいは、Tx０およびTx１が生成されネットワーク１０２に送信されることができ、あるいは、ノードプロトコルが「孤児（orphan）」トランザクションのバッファリングを許容する場合にはTx１の後にTx０が送信されることもできる。ここでトランザクションのシーケンスの文脈で使用される「先行する」および「後の」という用語は、トランザクション内で指定されたトランザクションポインタ（どのトランザクションがどの他のトランザクションを指すかなど）によって定義されるシーケンス内のトランザクションの順序を指す。それらは、「先行する」および「相続する」または「祖先」および「子孫」、「親」および「子」、等により、等しく置き換えられ得る。これは、必ずしも、それらが作成され、ネットワーク１０６に送られ、または任意の所与のノード１０４に到達する順序を意味しない。それにもかかわらず、先行するトランザクション（祖先トランザクションまたは「親」）を指す後続のトランザクション（子孫トランザクションまたは「子」）は、親トランザクションが検証されない限り、検証されない。親の前にノード１０４に到着した子は孤児とみなされる。それは、ノードプロトコルおよび／またはマイナーの行動に応じて、親を待つために特定の時間、破棄またはバッファリングされることがある。

先行するトランザクションTx_０の１つ以上のアウトプット２０３のうちの１つは、本願明細書でUTXO_０とラベル付けされた特定のUTXOを含む。各UTXOは、UTXOによって表されるデジタルアセットの量を指定する値と、後続のトランザクションが検証されるために、従ってUTXOが正常に償還されるために、後続のトランザクションのインプット２０２の中のアンロックスクリプトによって満たされなければならない条件を定義するロックスクリプトとを含む。典型的には、ロックスクリプトは、特定のパーティ（それが含まれているトランザクションの受益者）に量をロックする。すなわち、ロックスクリプトは、標準的に以下のようなアンロック条件を定義する：後続のトランザクションのインプット内のアンロックスクリプトは、先行するトランザクションがロックされたパーティの暗号署名を含む。

ロックスクリプト（別名scriptPubKey）は、ノードプロトコルによって認識されるドメイン固有の言語で書かれたコードの一部である。そのような言語の特定の例は、「スクリプト」（Script，capital S）と呼ばれる。ロックスクリプトは、トランザクションアウトプット２０３を使用するために必要な情報、たとえば、Aliceの署名の必要条件を指定する。トランザクションのアウトプットには、アンロックスクリプトが現れる。アンロックスクリプト（別名：scriptSig）は、ロックスクリプトの基準を満たすために必要な情報を提供するドメイン固有の言語で書かれたコードの一部である。たとえば、Bobの署名を含んでいてもよい。アンロックスクリプトは、トランザクションのインプット２０２に現れる。

図示の例では、Tx_０のアウトプット２０３のUTXO_０は、ロックスクリプト[ChecksigP_A]を含み、これは、UTXO_０が償還されるために（厳密には、UTXO_０を償還しようとする後続のトランザクションが有効であるために）、Aliceの署名SigP_Aを必要とする。[ChecksigPA]は、Aliceの公開鍵と秘密鍵のペアからの公開鍵PAを含む。Tx_１のインプット２０２は、Tx_１を指すポインタ（たとえば、そのトランザクションID、実施形態ではトランザクションTx_０全体のハッシュであるTxID_０による）を含む。Tx_１のインプット２０２は、Tx_０の任意の他の可能なアウトプットの中でそれを識別するために、Tx_０内のUTXO_０を識別するインデックスを含む。Tx１のインプット２０２は、さらに、Aliceが鍵ペアからのAliceの秘密鍵をデータの所定の部分（暗号において「メッセージ」と呼ばれることもある）に適用することによって作成された、Aliceの暗号署名を含むアンロックスクリプト<SigPA>を含む。有効な署名を提供するためにAliceが署名する必要があるデータ（または「メッセージ」）は、ロックスクリプトにより、またはノードプロトコルにより、またはこれらの組み合わせによって定義され得る。

新しいトランザクションTx_１がノード１０４に到着すると、ノードはノードプロトコルを適用する。これは、ロックスクリプトとアンロックスクリプトを一緒に実行して、アンロックスクリプトがロックスクリプトで定義されている条件（この条件は１つ以上の基準を含むことができる）を満たしているかどうかをチェックすることを含む。実施形態では、これは、２つのスクリプトの連結を含む。
ここで、「||」は連結を表し、「<...>」はスタックにデータを配置することを意味し、「[...]」はアンロックスクリプトに含まれる機能である（本例では、スタックベースの言語）。同等に、スクリプトは、スクリプトを連結するのではなく共通のスタックにより１つずつ実行されてよい。いずれの方法でも、一緒に実行する場合、スクリプトは、Tx_０のアウトプット内のロックスクリプトに含まれるAliceの公開鍵P_Aを使用して、Tx_１のインプット内のロックスクリプトが、データの期待部分に署名するAliceの署名を含むことを認証する。また、データの期待部分（「メッセージ」）も、この認証を実行するためにTx_０に含まれる必要がある。実施形態において、署名されたデータは、Tx_０の全体を含む（従って、別個の要素は、データの署名された部分がすでに本質的に存在するので、データの署名された部分の指定にクリアに含まれる必要がある）。

公開－秘密暗号法による認証の詳細は、当業者には周知であろう。基本的に、Aliceが彼女の秘密鍵によりメッセージを暗号化することによってメッセージに署名した場合、Aliceの公開鍵とそのメッセージが明らか（暗号化されていないメッセージ）ならば、ノード１０４のような別のエンティティは、そのメッセージの暗号化されたバージョンがAliceによって署名されていなければならないことを認証することができる。署名は、典型的には、メッセージをハッシュし、ハッシュに署名し、署名としてメッセージの平文バージョンにこれをタグ付けすることによって、公開鍵の所有者が署名を認証することを可能にする。

Tx_１内のアンロックスクリプトが、Tx_０のロックスクリプトで指定された１つ以上の条件を満たす場合（示される例では、Aliceの署名がTx_１内で提供され、認証されている場合）、ノード１０４は、Tx_１が有効であるとみなす。それがマイニングノード１０４Mである場合、これは、proof-of-workを待つトランザクションのプール１５４にそれを追加することを意味する。それが転送ノード１０４Fである場合、それはトランザクションTx１をネットワーク１０６内の１つ以上の他のノード１０４に転送し、それによって、それがネットワーク全体に伝搬されることになる。一旦、Tx_１が検証され、ブロックチェーン１５０に含まれると、これは、Tx_０からのUTXO_０を使用したものとして定義する。Tx_１は、未使用トランザクションアウトプット２０３を使用する場合にのみ有効であることに留意されたい。別のトランザクション１５２によって既に使用されたアウトプットを使用しようとする場合、Tx_１は、たとえ他のすべての条件が満たされていても無効となる。従って、ノード１０４は、先行するトランザクションTx０において参照されたUTXOが既に使用されているかどうか（既に別の有効なトランザクションへの有効なインプットを形成しているかどうか）もチェックする必要がある。これが、ブロックチェーン１５０がトランザクション１５２に定義された順序を課すことが重要である理由の１つである。実際には、所与のノード１０４は、トランザクション１５２が使用されたUTXO２０３をマークする別個のデータベースを維持することができるが、最終的には、UTXOが使用されたかどうかを定義するのは、ブロックチェーン１５０内の別の有効なトランザクションへの有効なインプットを既に形成しているかどうかである。

UTXOベースのトランザクションモデルでは、所定のUTXOを全体として使用する必要があることに注意する。UTXOで定義されている量のうち、別の分量が使用されている一方で、分量を「残しておく」ことはできない。ただし、UTXOからの量は、次のトランザクションの複数のアウトプットに分割できる。たとえば、Tx_０のUTXO_０で定義された量は、Tx_１の複数のUTXOに分割できる。従って、AliceがBobにUTXO_０で定義された量の全てを与えることを望まない場合、彼女は残りの量を使って、Tx_１の第２のアウトプットの中で自分自身にお釣りを与えるか、または別のパーティに支払うことができる。

実際には、Aliceは通常、勝ったマイナーのための手数料も含める必要がある。なぜなら、今日では、生成トランザクションの報酬だけでは、マイニングを動機付けるには通常十分ではないからである。Aliceがマイナーのための手数料を含まない場合、Tx_０はマイナーのノード１０４Mによって拒否される可能性が高く、したがって、技術的には有効であるが、それは依然として伝搬されず、ブロックチェーン１５０に含まれない（マイナーのプロトコルは、マイナーが望まない場合には、マイナー１０４Mにトランザクション１５２を受け入れるよう強制しない）。一部のプロトコルでは、マイニング手数料は、独自の別個のアウトプット２０３を必要としない（すなわち、別個のUTXOを必要としない）。その代わりに、インプット２０２によって示される総量と所与のトランザクション１５２のアウトプット２０３で指定される総量との間の差は、勝ったマイナー１０４に自動的に与えられる。たとえば、UTXO_０へのポインタがTx_１への唯一のインプットであり、Tx_１は１つのアウトプットUTXO_１しか持っていないとする。UTXO_０で指定されたデジタルアセットの量がUTXO_１で指定された量より多い場合、その差は自動的に勝ったマイナー１０４Mへ行く。しかし、代替的または追加的に、必ずしも、トランザクション１５２のUTXO２０３のうちの独自のものにおいて、マイナー手数料を明示的に指定できることは除外されない。

所与のトランザクション１５２の全部のアウトプット２０３の中で指定された総量が全部のそのインプット２０２により指される総量より大きい場合、これは、殆どのトランザクションモデルにおいて無効の別の基礎であることに留意する。従って、このようなトランザクションは、伝播されず、マイニングされてブロック１５１にされることもない。

AliceおよびBobのデジタルアセットは、ブロックチェーン１５０内の任意のトランザクション１５２の中で彼らにロックされた未使用UTXOで構成されている。従って、典型的には、所与のパーティ１０３のアセットは、ブロックチェーン１５０を通して、さまざまなトランザクション１５２のUTXO全体に分散される。ブロックチェーン１５０内のどこにも、所与のパーティ１０３の総残高を定義する１つの数値は記憶されていない。各パーティへのロックされた、別の将来の（onward）トランザクションに未だ使用されていない全てのさまざまなUTXOの値をまとめることは、クライアントアプリケーション１０５におけるウォレット機能の役割である。これは、記憶ノード１０４Sのいずれかに記憶されたブロックチェーン１５０のコピーを、たとえば、各パーティのコンピュータ機器０２に最も近いか、または最も良好に接続されている記憶ノード１０４Sに問い合わせることによって行うことができる。

スクリプトコードは、概略的に表現されることが多い（すなわち、正確な言語ではない）ことに注意する。たとえば、[Checksig P_A]を[Checksig P_A]=OP_DUPOP_HASH１６０<H（Pａ）>OP_EQUALVERIFYOP_CHECKSIGを意味するように記述し得る。「OP_....」は、スクリプト言語の特定のオペコードを表す。OP_CHECKSIG（「Checksig」とも呼ばれる）は、２つのインプット（署名と公開鍵）を取り込み、楕円曲線デジタル署名アルゴリズム（Elliptic Curve Digital Signature Algorithm （ECDSA））を使用して署名の妥当性を検証するスクリプトオペコードである。ランタイムでは、署名（「sig」'）の発生はスクリプトから削除されるが、ハッシュパズルなどの追加要件は、「sig」インプットによって検証されるトランザクションに残る。別の例として、OP_RETURNは、トランザクション内にメタデータを格納することができ、それによってメタデータをブロックチェーン１５０に不変に記録することができるトランザクションの使用不可能アウトプットを生成するためのスクリプト言語のオペコードである。たとえば、メタデータは、ブロックチェーンに格納することが望ましいドキュメントを含むことができる。

署名P_Aは、デジタル署名である。実施形態において、これは楕円曲線secp２５６k１を使用するECDSAに基づく。デジタル署名は、特定のデータに署名する。実施形態では、所与のトランザクションについて、署名はトランザクションインプットの一部、およびトランザクションアウトプットの全部または一部に署名する。符号付きアウトプットの特定の部分はSIGHASHフラグに依存する。SIGHASHフラグは、署名の最後に含まれる４バイトのコードであり、どのアウトプットが署名されるかを選択する（従って、署名の時点で固定される）。

ロックスクリプトは、それぞれのトランザクションがロックされているパーティの公開鍵を含んでいることを表す「scriptPubKey」と呼ばれることがある。アンロックスクリプトは、対応する署名を提供することを表す「scriptSig」と呼ばれることがある。しかし、より一般的には、UTXOが償還される条件が署名を認証することを含むことは、ブロックチェーン１５０の全てのアプリケーションにおいて必須ではない。より一般的には、スクリプト言語は、任意の１つ以上の条件を定義するために使用され得る。したがって、より一般的な用語「ロックスクリプト」および「アンロックスクリプト」が好ましい。

＜任意的なサイドチャネル＞
図３は、ブロックチェーン１５０を実装するための更なるシステム１００を示す。システム１００は、追加の通信機能が含まれることを除いて、図１に関連して説明したものと実質的に同じである。AliceおよびBobのコンピュータ機器１０２a、１０２bのそれぞれに存在するクライアントアプリケーションは、それぞれ、追加通信機能を含む。すなわち、Alice１０３aは、（いずれかのパーティまたは第三者の勧誘で）Bob１０３bと別個のサイドチャネル３０１を確立することを可能にする。サイドチャネル３０１は、P２Pネットワークとは別にデータの交換を可能にする。このような通信は、時に「オフチェーン」と呼ばれる。たとえば、これは、パーティの一方がネットワーク１０６にトランザクション１５２をブロードキャストすることを選択するまで、ネットワークP２P１０６上に公表されることなく、またはチェーン１５０上に進むことなく、AliceとBobとの間でトランザクション１５２を交換するために使用され得る。これに代えて、またはこれに加えて、サイドチャネル３０１は、鍵、交渉された金額または条件、データ内容等の他のトランザクション関連データを交換するために使用することができる。

サイドチャネル３０１は、P２Pオーバーレイネットワーク１０６と同じパケット交換ネットワーク１０１を介して確立されてもよい。代替または追加で、サイドチャネル３０１は、モバイルセルラーネットワーク、またはローカル無線ネットワークのようなローカルエリアネットワーク、またはAliceとBobの装置１０２a、１０２bの間の直接有線若しくは無線リンクのような異なるネットワークを介して確立されてよい。一般に、本願明細書のどこかで言及されるサイドチャネル３０１は、「オフチェーン」で、つまりP２Pオーバーレイネットワーク１０６と別個にデータを交換するための１つ以上のネットワーキング技術または通信媒体を介する任意の１つ以上のリンクを含んでよい。１つより多くのリンクが使用されるとき、全体としてのオフチェーンリンクのバンドルまたは集合がサイドチャネル３０１と呼ばれてよい。従って、AliceおよびBobが特定の情報またはデータ片等をサイドチャネル３０１を介して交換すると言われる場合、これは、必ずしも全部のこれらのデータ片が正確に同じリンクまたは同じ種類のネットワークを介して送信される必要があることを意味しないことに留意する。

＜ノードソフトウェア＞
図４は、UTXOまたはアウトプットに基づくモデルの例における、P２Pネットワーク１０６の各ノード１０４で実行され得るノードソフトウェア４００の例を示す。ノードソフトウェア４００は、プロトコルエンジン４０１、スクリプトエンジン４０２、スタック４０３、アプリケーションレベルの決定エンジン４０４、および１つ以上のブロックチェーン関連機能モジュールのセット４０５を含む。任意の所与のノード１０４で、これらは、（ノードの１つ以上の役割に依存して）マイニングモジュール４０５M、転送モジュール４０５F、および格納モジュール４０５S、のうちの任意の１、２、または３個全部を含んでよい。プロトコルエンジン４０１は、トランザクション１５２の異なるフィールドを認識し、それらをノードプロトコルに従い処理するよう構成される。トランザクション１５２m（Tx_m）が受信され、別の先行するトランザクション１５２m-１（Tx_m-１）のアウトプット（たとえばUTXO）をポイントするインプットを有するとき、プロトコルエンジンは、アンロックスクリプトを識別し、それをスクリプトエンジン４０２に渡す。プロトコルエンジン４０１は、更に、Tx_jのインプットの中のポインタに基づき、Tx_iを識別し検索する。それは、Tx_m-１が未だブロックチェーン１５０にない場合、それぞれのノード自身の保留中トランザクションのプール１５４から、またはTx_m-１が既にブロックチェーン１５０にある場合、それぞれのノード若しくは別のノード１０４に格納されたブロックチェーン１５０内のブロック１５１のコピーから、Tx_m-１を検索してよい。いずれの方法も、スクリプトエンジン４０１は、Tx_iのポイントされるアウトプットの中のロックスクリプトを識別し、これをスクリプトエンジン４０２に渡す。

スクリプトエンジン４０２は、従って、Tx_m-１のロックスクリプト、およびTx_mの対応するインプットからのアンロックスクリプトを有する。たとえば、Tx_１およびTx_２が図４に示されるが、それは、Tx_０およびTx１等のようなトランザクションの任意のペアに適用され得る。スクリプトエンジン４０２は、前述のように２つのスクリプトを一緒に実行し、これらは、使用されているスタックに基づくスクリプト言語（たとえばScript）に従い、スタック４０３にデータを置くことと、データを検索することとを含む。

スクリプトを一緒に実行することにより、スクリプトエンジン４０２は、アンロックスクリプトがロックスクリプトの中で定義された１つ以上の基準を満たすかどうか、つまり、それがロックスクリプトが含まれるアウトプットを「アンロック」するか否かを決定する。スクリプトエンジン４０２は、この決定の結果をプロトコルエンジン４０１に返す。スクリプトエンジン４０２は、アンロックスクリプトは対応するロックスクリプトの中で指定された１つ以上の基準を満たすと決定した場合、結果「真」を返す。その他の場合、それは結果「偽」を返す。

アウトプットに基づくモデルでは、スクリプトエンジン４０２からの結果「真」は、トランザクションの有効性についての条件のうちの１つである。標準的に、同様に満たされなければならない、プロトコルエンジン４０１により評価される１つ以上の更なるプロトコルレベルの条件が更にあり、Tx_jのアウトプットの中で指定されたデジタルアセットの総量がそのインプットによりポイントされる総量を超えないこと、Tx_iのポイントされるアウトプットは別の有効なトランザクションにより未だ使用されていないこと、等である。プロトコルエンジン４０１は、１つ以上のプロトコルレベルの条件と一緒にスクリプトエンジン４０２からの結果を評価し、それら全部が真である場合、トランザクションTx_jを検証する。プロトコルエンジン４０１は、トランザクションが有効であるかどうかの指示を、アプリケーションレベル決定エンジン４０４に出力する。Tx_jが実際に検証されたことのみを条件として、決定エンジン４０４は、マイニングモジュール４０５Mおよび転送モジュール４０５Fの一方または両方を、それらのそれぞれのブロックチェーンに関連する機能をTx_jに関して実行するよう制御することを選択してよい。これは、マイニングモジュール４０５Mがマイニングしてブロック１５１にするためにTx_jをノードのそれぞれのプール１５４に追加すること、および／または、転送モジュール４０５FがTx_jをP２Pネットワーク１０６内の別のノード１０４へ転送することを含んでよい。しかしながら、実施形態では、決定エンジン４０４は無効なトランザクションを転送しまたはマイニングすることを選択しないが、逆に言えば、これは必ずしも、単に有効であるという理由で、有効なトランザクションのマイニングまたは転送をトリガーしなければならないことを意味するものではないことに留意する。任意的に、実施形態では、決定エンジン４０４は、いずれかまたは両方の機能をトリガーする前に、１つ以上の追加条件を適用してよい。たとえば、ノードがマイニングノード１０４Mである場合、決定エンジンは、トランザクションが有効であること、および十分なマイニング手数料が残されることの両方を条件としてのみ、トランザクションをマイニングすることを選択してよい。

用語「真（true）」および「偽（false）」は、本願明細書では、必ずしも単一の２進数字（ビット）のみの形式で表現される結果を返すことに限定しないが、それは勿論１つの可能な実装であることに留意する。より一般的には、「真」は、成功または肯定的な結果を示す任意の状態を表すことができ、「偽」は、不成功または非肯定的な結果を示す任意の状態を表すことができる。たとえば、アカウントに基づくモデルでは（図４に示されない）、「真」の結果は、ノード１０４による署名の暗示的なプロトコルレベルの検証と、スマートコントラクトの追加の肯定的なアウトプットとの組合せにより示され得る（全体の結果は、両方の個々の結果が真である場合に、真を伝達すると考えられる）。

＜序章＞
定義１-Rivest-Shamir-Adleman（RSA）公開鍵暗号化
２つのRSA素数pおよびq、RSAモジュラスN=pq、およびEuler Quotient関数Φ（N）=（p-１）（q-１）が与えられた場合。暗号化鍵eは、eおよびΦ（N）が互いに素であり、復号dがd=e^-１ modΦ（N）のように計算されるように選択される。公開鍵は（e,N）であり、秘密鍵はdである。p、q、およびΦ１（N）はすべて秘密であるが、それらは暗号文を復号することを必要としない。

定義２-Blum整数
整数Nは、何らかの素数p、qについてN=pqが素数であり、p=３mod４、q=３mod４の場合、Blum整数である。

定義３-William整数
整数Nは、何らかの素数p、qについてN=pqが素数であり、p=３mod４、q=７mod８の場合、William整数である。

推論１
William整数はBlum整数である。

定義４-平方剰余
nを正の整数とし、次式であるとする：
x^２=a mod nが次式の解をもつ場合：
aは平方剰余（quadratic residue）として定義される。それ以外の場合、aは非平方剰余として定義される。

次式：
は、nに対するcoprimeである整数nの集合を表す。すなわち、nを持つ唯一の共通係数は１である。それらは乗法係数nの下で群を形成する。

定義５-ルジャンドル記号
pを素数とし、以下とする：
ルジャンドル記号：
は、aがpを法とする平方剰余である場合には１であると定義され、aが非平方剰余である場合には－１であると定義される。

推論２

定義６-ヤコビ記号
nを以下の因数分解：
による正の整数とする。次式の場合：
ヤコビ記号は次式と定義される：
次式の場合：
次式のヤコビ記号は０と定義される：

命題１
N=pqをWilliam整数とする。そして、任意の：
について、a、-a、２aおよび-２aのいずれかが平方剰余モジュロNであり、さらに、daがいくつかのd{±１、±２}についての平方剰余である場合、d'aは、すべてのd'≠dおよびd'*{±１,±２}についての平方剰余ではない。

定義７
NをWilliam整数、d∈QR_Nとする。ここで、QR_Nは平方剰余モジュロNの集合であり、次式：
は次式：
の根と定義される。

同様に：

定義８
次式も同様である：

命題２
N=pqをRSAモジュラスとする。aをNを法とする平方剰余とする。次式の場合：
Nは因数分解できる。

証明（Proof）：
従って、（x_１-x_２）および（x_１+x_２）のいずれも、０ mod Nではない。したがって、これらのうちの１つはpで割ることができ、qで割れないはずである。一般性を失わずに、（x_１-x_２）がpで割ることができるが、qで割ることはできないとする。次に、ユークリッドアルゴリズムを用いて、（x_１-x_２）とNの最大公約数を求めることによって、pを求める。

以下では、２つの別個の暗号ハッシュ関数H_１およびH_２を使用する。それぞれの範囲は、以下とする：
より短い範囲のハッシュ関数は、均一な分布のモジュロNを達成するために連結することができることに注意されたい。２つの暗号ハッシュ関数は、もしそれらが正確に同じ入力を与えられたときに異なる出力を生成するならば、異なる。関数H_１の出力がH_１の２回以上の適用の出力と異なるならば、関数H_２を適用することは、H_１を２回以上適用することを含んでいてもよい。

定義９-Γツリー
William整数Nに関するΓツリーは、各ノードが図５に示されるように定義されるバイナリツリーである。バイナリツリーは、ルート層またはレベル０、および１つ以上の子層またはレベル（１,２,…,t）で構成される。ツリーはt個のレベルのツリーであり、各ノードは２つの子ノード（最下位レベルを除く）を持ち、ツリーの最上部にルートノードが存在する（図５に示すように、または図５が逆の場合は最下部に存在する）。したがって、i番目のレベルには２^i-１個のノードが存在する。

ルートノードを構成するレベル０の場合、Γ_０=<H_１（N||０）>_QRレベルi>０の場合、Ω_i=<H_２（N||i）>_１とする。次に、それぞれの親ノードΓ_parentについて、１つの左側の子ノードΓ_leftと１つの右側の子ノードΓrightが存在する。ここで、

分割可能トークン
本開示の実施形態は、分割可能トークンを生成および転送するためのプロトコルを提供する。単一のトークンを単一のアセットに対して償還できる従来のトークンシステムとは異なり、分割可能なトークンは、アセットの初期量を表し、そのアセットの異なる量を表すように分割することができる。たとえば、アセットは、電子現金、または車両、建物、宝石、芸術等の有形アセットであってもよい。アセットは、消耗品、たとえば、メディアコンテンツ、購読、エネルギーまたは水供給等であり得る。分割可能なトークンは、任意の回数に分割して、最初の金額のより小さな金額を表すことができる。ここでは、トークンを小さな部分に分けることに言及する。トークン自体は物理的なトークンではない。ピースという用語は、単にトークンの分割または小部分を指し、第１トークンの小さなピースは、アセットの小さな量を表す。

図６は、本開示の実施形態を実施するための例示的なシステム６００を示す。この例示的なシステムは、第１パーティ１０３a、第２パーティ１０３b、および第３パーティ１０３cの３つのパーティで構成され、それぞれがそれぞれのコンピュータ機器を動作させる。各パーティは、ブロックチェーンネットワーク１０６のパーティである。第１、第２および第３パーティのそれぞれは、図１から図３を参照して上述したように、AliceまたはBobの役割を担うことができる。図１～図３は、AliceがBobにトランザクションを送信し、それによって、ある量のデジタルアセットをBobに移転する例のシナリオを示しているが、Bobは、Aliceにトランザクションを移転し、それによって、ある量のデジタルアセットをAliceに移転することも理解されよう。

以下、第１パーティをAlice１０３a、第２パーティをBob、第３パーティをCharlieと表記する。さらに、必要に応じて、第１パーティ（たとえば、Alice１０３a）への言及は、第１パーティのコンピュータ機器を意味すると解される。Alice１０３aおよびBob１０３bは、オフチェーン技術を用いて、たとえば図３に示されるサイドチャネル３０１を介して、互いに通信してよい。同様に、Alice１０３aおよびCharlie１０３cは、サイドチャネル（これは、サイドチャネル３０１と同じタイプであてよく、またはそうでなくてよい）を用いて互いに通信してよい。図示されていないが、Bob１０３bおよびCharlie１０３cは、サイドチャネルを介して通信することもできる。

この例では三者が例示されているが、ある例では、１つのパーティが２つのパーティの動作を行うことができることに注意されたい。たとえば、Bob１０３bとCharlie１０３cは、実際には同じパーティであってもよく、いくつかの例では、同じコンピュータ機器を操作してもよい。

以下により詳細に説明するように、Bob１０３bは、第１トランザクションTx_１をブロックチェーンネットワーク１０６に送信し、Alice１０３aは、第２トランザクションTx_２をCharlieに送信し、Charlieは、更新された第２トランザクションTx_２'をブロックチェーンネットワークに送信することができる。上述のように、一旦トランザクションがブロックチェーンに送信されると、それが有効であれば、それはブロックチェーン１５０に含まれる。

たとえば、Bobは銀行であってもよく、AliceはBobの顧客であってもよい。Bobは、たとえば、１００ポンドのような金額のトークンをAliceに発行することができる。Aliceは、商人のCharlieからの商品やサービスの代金を支払うために、そのトークンを使うことができる。

本願明細書に開示される一態様によれば、Bob１０３bは、第１トランザクションTx_１を使用して、第１トークンをAlice１０３aに発行する。Bob１０３bは、第１トランザクションTx_１のアウトプットに第１トークンを含め、第１トランザクションをブロックチェーンネットワーク１０６に送信させる。これは、Bob１０３bが、ネットワーク１０６の１つ以上のノードに第１トランザクションTx_１を自ら送信すること、または、ネットワーク１０６に提出するステップを実行する別のパーティに第１トランザクションを送信することを含み得る。Bob１０３bは、たとえば、政府、銀行、または他の十分に確立されたエンティティのような信頼されるパーティであってもよい。Alice１０３aとBob１０３bは、それぞれ独自の公開鍵P_AおよびP_Bを持っている。第１トランザクションは、Bobの公開鍵に基づいた署名で署名されたインプットを含む。言い換えれば、Bobは、彼の公開鍵と、ブロックチェーンに記録された以前のトランザクションのアウトプットをアンロックするデジタル署名を提供する。第１トランザクションは、Aliceの公開鍵P_A、またはそれから派生した鍵P_A１のみでアンロックできるアウトプット（たとえばUTXO）を持つ。言い換えると、第１トランザクションはBob１０３bからAlice１０３aに送信される。

Bob１０３bは、Aliceの公開鍵から派生公開鍵にトランザクションTx_１を送信してもよい。たとえば、Alice１０３aは認証公開鍵P_Aを有してもよく、Bob１０３bは認証公開鍵P_Aを使用して公開鍵P_A１を生成してもよく、その結果、Alice１０３aとBobは両方とも生成された公開鍵を知っているが、Alice１０３aと公開鍵との間のリンクは他の関係者には明らかではない。Bobは、Aliceの公開鍵を、たとえばAlice１０３aから入手することもできるし、一般に入手可能であることもある。Alice１０３aとBobは、たとえばDiffie-Hellman交換を使用して、共有秘密鍵S_ABを生成する。Alice１０３aとBobは、Aliceの（認証された）公開鍵と共有秘密鍵S_ABを使って派生公開鍵を生成することができる。Bob１０３bは、第１トランザクションTx_１をP_A１に送信してもよい。後に、Bobが別のトークン、たとえば、同じ第１トークンの第２インスタンス、または異なる量のアセットに値するトークンを送信することを希望する場合、Bob１０３bは、同じ公開鍵P_A１、または更新された派生公開鍵P_A２にトランザクションを送信することができる。すなわち、AliceとBobは、それぞれAliceの（認証された）公開鍵と共有秘密鍵に基づいて、鍵のリストを生成することができる。たとえば、派生公開鍵は、以下の公式を使用して生成される可能性がある。
ここで、Hは暗号ハッシュ関数であり、H_１またはH_２と同じかもしれないし、同じでないかもしれないことに注意する。

第１トークンは、Aliceの公開鍵と同じアウトプットか、別のアウトプットに含めることができる。好ましくは、第１トークンは、使用不可能トランザクションアウトプットに含まれる。トランザクションは、そのアウトプットの実行を終了させるオペコードを含めることによって、すなわち、後のトランザクションのアンロックスクリプトと共に実行されるときに、未確定にすることができる。ある特定のブロックチェーンプロトコルは、この関数を実現するためにOP_RETURNオペコード（あるいはOP_FALSEオペコードの後にOP_RETURNオペコード）を使う。このようなアウトプットは、たとえば、以下ではOP_RETURNアウトプットと呼ぶが、他の実装またはプロトコルでは、他のメカニズムを使用して、トークンの形態のペイロードデータをブロックチェーントランザクションの使用可能または使用不可能アウトプットに含めることができることが理解される。

図７は、第１トランザクションTx_１の例を示す。示されるように、第１トランザクション（トランザクション識別子TxID１を有する）は、インプットリストおよびアウトプットリストから構成される。この例では、１つのインプット７０１を有するインプットリストと、３つのアウトプット７０２a、７０２b、７０２cを有するアウトプットリストとがある。インプット７０１は、図７において「アウトポイント」とラベル付けされたアウトプットによって参照される前のトランザクションのロックスクリプトをアンロックするためのアンロックスクリプトを含む。アンロックスクリプトは、Bobの公開鍵P_BおよびBobのデジタル署名Sig_Bを含む。第１トランザクションの第１アウトプット７０２aは、第１トークン<data_１>を含む。ここで、「第１アウトプット」は、アウトプットの特定の順序を指すのではなく、異なる出力を区別するためのラベルとして使用される。第２アウトプット７０２bは、Aliceの公開鍵P_A１に対するpay-to-public-key-hash（P２PKH）を含む。すなわち、第２アウトプット７０２bは、Aliceの公開鍵P_A１を含むようにこのロックスクリプトをアンロックしようとするアンロックスクリプトを必要とするように構成されたロックスクリプトを含む。必要に応じて、ロックスクリプトはまた、ロックスクリプトをアンロックしようとするアンロックスクリプトに、ハッシュh_１にハッシュするプレイメージを含めるように構成されてもよい。例では、プレイメージは<data_１>である。すなわち、後続のトランザクションの入力は、第２アウトプットをアンロックするために、第１トークン<data_１>を含むアンロックスクリプトを含まなければならない。第２アウトプット７０２bは、デジタルアセットの量xをAlice１０３aに転送することができる。デジタルアセットは、第１トークンによって表されるアセットと同一ではないことに留意されたい（しかしながら、一部の実施形態では、後者のアセットは、セキュリティトークンのような別のタイプのデジタルアセットであってもよい）。任意で、第３アウトプット７０２cは、第１トランザクションTx_１に含まれる。第３アウトプット７０２cは、Bobの公開鍵P_Bに対するP２PKHを含む。第３アウトプット７０２cは、ある量yのデジタルアセットをBob１０３bに転送することができる。

上述のように、第１トランザクションTx_１は、アウトプット７０２aの中に、第１トークンを含む。第１トークン<data_１>は、使用不可能アウトプットに含まれてよい。第１トークン<data_１>は、複数のデータフィールドを含む。各データフィールドは、それぞれのデータを含んでいる。第１データフィールドは、アセットの第１の量を表す、すなわち、第１の量を定義するデータを含む。たとえば、データは、数字、たとえば１００を表すことができる。２番目のデータフィールドは暗号文で構成される。暗号文は、Alice１０３aの暗号化された識別子を表す。識別子は、たとえば、Aliceの公開鍵（AliceへのP２PKHに含まれるのと同じ公開鍵、または異なる公開鍵）であってもよい。暗号文はAliceの公開鍵で暗号化されてもよいが、識別子と同じ公開鍵ではない。いくつかの例では、識別子と暗号化鍵は、同じ公開鍵暗号システムの一部かもしれないし、異なる公開鍵暗号システム（たとえば、RSAまたはRSAとECDSAの両方）の一部かもしれない。いくつかの例において、Aliceの識別子を暗号化するために使用される公開鍵は、モジュラスNを含み、第１トークンは、モジュラスNを表すデータを含む第３データフィールドを含む。第１トークンは、１つ以上の追加データフィールドを含んでよい。

オプションとして、Bob１０３bは、Aliceの公開鍵P_Aが信頼される機関によって認証されているかどうかを判定することができる。たとえば、Bob１０３bは、Alice１０３aがBobによって認証された公開鍵を提供したか、または銀行、政府、認証局などの他の当局を提供したかを決定することができる。Bobが、Aliceの公開鍵P_Aが認証されていないと判断した場合、Bob１０３bは、Alice１０３aに第１トークンを発行しないことを決定してもよい。すなわち、Bobは、第１トランザクションTx_１を生成せず、第１トランザクションをAlice１０３aに送信しない。

図８は、第１トークン<data_１>の表現例を示す。第１トークンは、第１量（残高）、Aliceの公開鍵のRSAモジュラスN（e,N）、Aliceの識別子P_Aを暗号化する暗号文cを含む。第１トークンは、アセット（この場合は英ポンドを表す英ポンド）の表示も含んでいる。また、支払回数のデータフィールドも含まれる。Bob１０３bによって発行された第１トークン<data_１>では、支払い回数はゼロである。支払いの数は、第１トークンが別のトークンに分割された回数を表す。Alice１０３aが、たとえば、サブスクリプションに対する支払いのために、第１トークンを使用する場合、支払いの数は、１ずつ増加する。さらにオプションのデータフィールドを含めてもよい。

第１トランザクションTx_１がブロックチェーン１５０に含まれると、Alice１０３aは第２トランザクションTx_２を生成することができる。Bob１０３bは、最初に、第１トランザクションがブロックチェーンに含まれたことをAlice１０３aに通知するか、または、Aliceは、未使用トランザクションアウトプットリスト（UTXOリスト）中の彼女の公開鍵P_A１を監視することができる。Alice１０３aは、Bobがその派生公開鍵にアウトプットを送信していることに気づく可能性があるため、その鍵P_A１を監視する。

第１トークン、あるいは第１トークンにより表されるアセットの量を使うためには、Aliceはあらかじめ決められたプロトコルに従わなければならない。トークン発行者（Bob）と、Aliceがアセットを使おうとしている相手（BobまたはCharlieであってよい）とが、プロトコルに従う。

図９は、トランザクション識別子TxID_２を持つ第２トランザクションTx_２の例を示す。ここで、生成は必ずしもゼロからの生成を意味しないことに注意されたい。たとえば、Alice１０３aは、１つ以上の事前に入力されたフィールドを含み得る、たとえばBobからのトランザクションテンプレートと共に発行されてもよい。第２トランザクションTx_２は、第１トランザクションTx_１のアウトプット７０２bをアンロックするように構成されたインプット９０１を備える。たとえば、インプット９０１は、Aliceの公開鍵P_A１と、第１トランザクションの第２アウトプット７０２bをアンロックするためのデジタル署名Sig_Aとを含んでいてもよい。第１トランザクションTx_１の第２アウトプット７０２bが、インプットがh_１のプレイメージを含むか否かのチェックを実行するように構成される場合、Alice１０３aは、第２トランザクションTx_２のインプット９０１にそのプレイメージ（すなわち、第１トークン<data_１）を含んでいてもよい。

第２トランザクションTx_２は、１つ以上のアウトプット９０２を備える。第１アウトプット９０２aは、アセットの第２の量を表す第２トークン<data_２>を含む。第２トークン<data_２>は、第２トランザクションの使用不可能トランザクションアウトプット、たとえばOP_RETURNアウトプットに含まれてよい。第２の量は、譲渡、使用、償還などの対象となっているアセットの金額である。

第２トークン<data_２>は、第２の量を表すデータを含む。たとえば、第２トークンは、１つ以上の値Xを含み得、これらの値のそれぞれは、第１の量のサブ量（または分割）を表す。たとえば、第２の量は７５であってもよく、値Xは７５（たとえば、５０および２５）を一緒に表すことができる。値Xは、図１１および図１２を参照して、以下により詳細に議論される。第２トランザクションTx_２は、第２アウトプット９０２bを含んでいてもよい。第２アウトプット９０２bは、Aliceの公開鍵に対するP２PKHであってもよい。公開鍵は、以前に使用された公開鍵P_A１または新しい公開鍵P_A２（たとえば、PA１から派生公開鍵）である可能性がある。第１トランザクションTx_１の第２アウトプット７０２bと同様に、第２トランザクションTx_２の第２アウトプット９０２bは、第２トークン<data_２>を構成するようにアンロックスクリプトを試みる必要がある。言い換えると、ロックスクリプトはハッシュh_２のプレイメージを必要とし、そのプレイメージは第２トークン<data_２>である。

図１０は、第２トークン<data_２>の表現例を示す。第２トークンは、第１トークン<data_１>の更新されたバージョンである。１つ以上の値Xが、第２トークンの支払フィールドに含まれる。第２トークン<data_２>の１つ以上のデータフィールドは、第１トークンと同じ場合がある。たとえば、アセットのタイプを表すプレフィックス、Aliceの暗号化された識別子c、およびRSAモジュラスNは同じままであってもよい。第２トークンの１つ以上のデータフィールドは、第１トークンのデータフィールドとは異なる場合がある。たとえば、Alice１０３aは、第２の量のアセットが転送されていることを反映するように、トークンの残りの量を表すフィールドを変更することができる。別の例として、支払いフィールドの数も変化し、０から１に増加する。Alice１０３aは、支払に関する追加情報も含むことができる。

一旦、第２トランザクションTx_２が生成されると、Alice１０３aは、トランザクションをブロックチェーンネットワーク１０６に送信することができる。追加的または代替的に、Alice１０３aは、BobまたはCharlie１０３cにトランザクションを送信してもよい。Alice１０３aは、トークン発行者（Bob１０３b）とトークンを使っている場合、第２トランザクションをBob１０３bに送信してもよい。Alice１０３aは、別のパーティ、即ち、Charlieによって提供されたアセットのためにトークンを使用している場合、第２トランザクションTx_２をCharlieに送信することができる。

いくつかの実施形態において、プロトコルは、第１トークン（またはむしろ第１トークンによって表される量）が、バイナリツリー状の構造に従って分割され得ることを要求する。ツリーの第０層（ルート層）では、単一のルートノードΓ_０が第１トークンの総量を表す。ツリーの第１の層（第１の子層）において、各子ノードΓ_００、Γ_０１は、第１トークンの総量の５０%を表す。すなわち、２つの子ノードがあり、各子ノードは、総量の同じ量を表す。ツリーの第２の層（第２の子層）では、各子ノードΓ_０００、Γ_００１、Γ_０１０、Γ_０１１は、第２の層における子ノードによって表される量の半分（すなわち、総量の２５%）を表す。言い換えると、第２の子層には４つの子ノードがあり、合計量を表す。所与のノードによって表される量を連続的に半分にするこのプロセスは、任意の回数継続することができる。回数は、必ずしも償還可能なアセットの最小分割数に限定されないことに注意されたい。たとえば、英ポンドの最小額面は１セントである。ただし、第１トークンは１ペニー未満の金額に分割することができる。

図１１は、このプロトコルに従って第１トークンをどのように分割できるかを示している。示されるように、ルート層のルートノード１１０１は、１００ポンドを表し、第１の子層の各子ノード１１０２a、１１０２bは、５０ポンドを表し、第２の子層の各子ノード１１０３a～dは、２５ポンドを表す。次に、第２の子層内の子ノード１１０３a～１１０３dを分割することができ、これらの子ノードを分割することなどができる。言い換えると、各子ノードは、最初の金額の部分量を表す（またはマッピングする）。第１の層は、２つの子ノード１１０２a、１１０２bを含む。この層では、各子ノード１１０２a、１１０２bは、第１の量の同じサブ量（「第１のサブ量」）を表す。第２の層は、４つの子ノード１１０３a～１１０３dを含む。第２層の各ノードは、第１のサブ量の同じサブ量（「第２のサブ量」）を表す。第１の金額、第１のサブ量および第２のサブ量は、異なる金額である。図１１を参照すると、１００ポンド（第１の量）は、第１の子層では５０ポンド（第１サブ量）の２ロットに分割され、第２の子層では２５ポンド（第２のサブ量）の４ロットに分割される。所与の層内の子ノードの各ペアによって表されるサブ量は、「上位」層内のそれらの親ノードによって表されるサブ量（または量）を与える。

第１トークン、したがってルートノードが第１の量Aを表す場合、ツリー構造のi番目の層は２^i-１個のノードから構成される。したがって、i番目の層の各ノードは量A*２^１-iを表す。

たとえば、Aliceは、第２トークンを使って、Charlie１０３cに７５ポンド（第２の量）を移転したいとする。図１１のツリー構造の例を用いると、Aliceは第２トークンに２つの値を含めなければならず、合計で７５ポンドを表す。第１の値は５０ポンド（第１のサブ量）、第２の値は２５ポンドである。

Alice１０３aは、単に、第２トークンの値５０および２５を含むことができる。しかし、これによってAliceはトークンを二重に使うことができる。たとえば、Aliceは、７５ポンドを表すトークン（および値）を含む第２トランザクションTx_２をCharlie１０３cに送り、その後、７５ポンドを表すトークン（および値）を含む別のトランザクションを別のパーティに送ることができる。

これらの問題を防止するために、Alice、Bob１０３bおよびCharlie１０３cは、ツリー内の各ノードが特定のコンポーネントに基づいて計算されるプロトコルに従うことに同意する。各子ノードは、ルートノードに基づく。各ルートノードは、Aliceの公開鍵P_Aを暗号化するために使用される（RSA）モジュラスNに基づいている。ルートノードは、第１トランザクションTx_１の識別子TxID_１に基づいてもよい。このようにして、ルートノードは第１トランザクションにリンクされる。いくつかの例では、ルートノードは、暗号ハッシュ関数を、モジュラスN、および任意で、第１トランザクション識別子TxID_１に適用することによって計算される。

階層ツリー構造は、以下の方程式を用いて、図１２に示すようにノードが計算されるように構築されてもよい。

ルートノードを構成するレベル０の場合、Γ_０=<H_１（TxID_１||N||０）>_QRレベルi>０の場合、Ω_i=<H_２（TxID_１||N||i）>_１次に、それぞれの親ノードΓ_parentについて、１つの左側の子ノードΓ_leftと１つの右側の子ノードΓrightが存在する。ここで、
前述のように、ツリー内の子層の数に制限はなく、したがって、構築可能な子ノードの数に制限はない。言い換えると、第１の量（ルートノードによって表される）は、負でない整数tに対して２^t個の子ノードに分割することができる。Alice１０３aは、必ずしもツリーの各ノードを計算する必要はないことに注意されたい。代わりに、Aliceは、第２トークンを使用してCharlie１０３cに転送される量を表すのに必要なノードのみを計算する必要がある。たとえば、図１１および図１２を参照すると、Aliceが第２トークンを使用して、５０ポンドを移転することを望む場合、AliceはΓ_０１（５０ポンドを表す）またはΓ_０１（５０ポンドを表す）のみを必要とし、可能ではあるが両方は必要としない。Aliceが第２トークンを使用して、７５ポンドを譲渡することを望む場合、Aliceは、Γ_００（５０ポンドを表す）およびΓ_０１０（２５ポンドを表す）を計算するだけでよい。Aliceはより多くの値を計算することができたが、たとえば、Γ_０１１（２５ポンドを表す）は必要ではない。

さて、Alice１０３aは、第２の量を表すためにトークン内に置かれた値としてノードを使用することができる。しかし、これにより、第三者がAliceのモジュラスNを計算することが可能となり、Aliceの公開鍵P_Aを損なうことになる。

このようなセキュリティ侵害を防ぐために、好ましくは、第２の量を表すのに必要なツリー中の各ノードに対して、Aliceはノードの平方根Xの１つを生成する。必要なノードの平方根値Xは、第１トークンに含まれ、各平方根値は、総量のそれぞれの部分量を表すために使用される。たとえば、Aliceは、ノードΓ_０１の平方根X_０１を計算して、５０ポンド、すなわちA／２を表す。Aliceは、２５ポンド、すなわちA／４を表すために、ノードΓ_０１０の平方根X_０１０を計算し得る。

言い換えれば、ツリーは分割トークンを表す。ツリーのノードが使われると、X値が開示される。検証者は、そのノードおよびそのノードの上のノードについて対応するΓ値を計算することができる。そのノードの下にあるノードのために、どのようなΓ値の漏洩でも、公衆はNを因数分解することができ、したがってAliceのアイデンティティを明らかにすることができる。そのノードの上のノードのX値の漏洩も同じ効果を持つ。

AliceがCharlieに７５ポンドを支払いたいと仮定しよう。たとえば、椅子を買おうとするとしよう。Aliceは次式を計算する：

Γ_０の計算における「０」は必須ではないことに留意されたい。上記の例では、「０」は単にインデックスとして使用されるだけであり、したがって、任意のデータによって表すことができる。Ω_０を計算するとき、Aliceはインデックス（この場合は"０"）を適用することができる。トークンの分割に応じて、AliceはΩ_iの他の値を計算する必要がある。その場合、Aliceは各Ωiに対して異なるインデックス（たとえばΩ_０１に対して"０１"）を適用する。

X_００は、次式になるような、Γ_００の平方根の１つである：
左側の側方分岐上のその他の支出は、Γ_００の別の明確な平方根を与えるであろう。したがって、命題２では、Aliceのアイデンティティを明らかにするためにNを因数分解することができる。AliceのアイデンティティP_Aは明らかにされ、それ自体、たとえば、二重支払いの法的意味合いに従うことができ、そして／または将来、Bob１０３bによってトークンが発行されることを禁止することができる。

なお、親Γ_０の使用はいずれも、次式となるように、平方根X_０を開示しなければならない。
X_００は、公衆が次式を計算することを可能にする：
次に、公衆は、Γ_０の２つの別個の平方根を得るだろう。したがって、Nの因数分解が明らかになる。

X_０１０は、次式になるような、Γ_０１０の平方根の１つである：
上述のように、子ノードまたはΓ_０１０の親ノードのいずれかの使用は、Nの因数分解を明らかにする。しかしながら、Γ_０１１の使用は、Nが因数分解されることを許さない。

前述したように、Alice１０３aは、希望すればツリー全体を計算する必要はないが、必要に応じてツリー全体を計算することができる。彼女は上からの経路を経て、必要に応じて各ノードの価値を計算することができる。しかしながら、X個の値と一緒に子のΓ値の漏洩がNの因数分解を損なうので、彼女がすべての値を公表することは重要である。たとえば、X_００およびΓ_０００は、Γ_００の２つの異なる平方根を与えるだろう。

Alice１０３aは、第２トークンに支払の詳細を追加することができる。たとえば、Aliceは、X値に対応するインデックスを提供することができる。たとえば、００はX_００のインデックスである。これらのインデックスとバランスを有することによって、Charlie１０３cは、開始バランスと、X値によって表される値とを求めることができる。いくつかの計算を節約するために、開始残高の値XおよびX値に対応するサブ量を、第２トークンに追加することができる。

第２トランザクションTx_２が生成され、適切な値を持つ第２トークンを含むと、Aliceは第２トランザクションをCharlieに送信する。言い換えれば、Aliceはトランザクションを介してCharlieに（X_００,X_０１０,N）を送る。Aliceは同じトランザクションの中で第１トークン、たとえば直前のOP_RETURNペイロード<data_１>を送ってもよい。ただし、AliceはΓツリーを明らかにする必要はないことに留意されたい。

第２トランザクションTx_２のインプット９０１は、前のトランザクションの第２アウトプット７０２bにリンクされる。これは、Alice１０３aが第１トークン（たとえば、第１トランザクションTx_１のOP_RETURNデータペイロード）をCharlie１０３cに渡すことができるフィールドである。また、インプット９０１は、Alice１０３aがプロトコル規則に二重に費やすか違反した場合に、Alice１０３aに説明責任を負わせることができる署名を含む。Alice１０３aにあるレベルのプライバシーを提供するために、署名を生成するために使用される公開鍵P_A１は派生鍵であってもよい。公開鍵はランダムに見える。しかし、AliceとBob（たとえば、銀行）の双方は、紛争がある場合には、公開鍵とAliceのアイデンティティとの関連性を証明することができる。

Alice１０３aは、Charlie１０３cが第２トランザクションにインプットを追加することを可能にするように、第２トランザクションTx_２の第１アウトプットを構成してもよい。たとえば、いくつかのブロックチェーンプロトコルによれば、Alice１０３aは、トランザクションを無効にすることなく別のインプットをトランザクションに追加することを可能にする識別子またはフラグをインプットに含むことができる。Alice１０３aは、署名にSIGHASH_SINGLE（０x０３）およびSIGHASH_ANYONECANPAY（０x８０）のsighhashフラグを使用してもよい。ここで、SIGHASH_ANYONECANPAYは、他人がトランザクションに資金を提供することを可能にする。たとえば、Charlie１０３cは、この取引に資金を提供することができる。SIGHASH_SINGLEは、AliceのインプットとAliceのアウトプットを保護する。これらのフラグはAliceの署名Sig_A１でOP_RETURNアウトプットを保護しないことに注意されたい。しかし、OP_RETURNへの変更は、第１アウトプットに埋め込まれたハッシュ値とは異なるハッシュ値をもたらす。このハッシュ値は、署名によって保護される。さらに、第１トークン（data_１）の変更を含むインプットの変更は、前のロックスクリプトでチェックするときに失敗する。

現時点では、トランザクション手数料がないため、トランザクションTxID_２はマイナーにとって有効ではない可能性がある。あるいは、Aliceは、マイナーを満足させるのに十分な手数料を含めることができる。しかし、それは、Aliceの支払いを検証するために必要な全ての情報Charlie１０３cを含み、Aliceの署名とハッシュ関数（たとえば、SHA２５６やダブルSHA２５６のような任意のスクリプトハッシュ関数）は、全ての情報の真正性と完全性を提供する。

Charlie１０３cは、Alice１０３aから第２トランザクションTx_２を取得する。第２トランザクションTx_２は、第２トークン<data_２>を含み、これは、Charlie１０３cに転送されるべきアセットの第２の量を表す値を含む。Charlie１０３cは、Alice１０３aから直接、または中間ソースを介してトランザクションを得ることができる。第２トークンには、トークンの残りの残高、たとえばCharlie自身が使うことのできる残高も含まれる。

Charlie１０３cは、第２トランザクションTx_２に含まれる第１トークン<data_１>が、第１トランザクションTx_１に含まれる第１トークン<data_１>と同じかどうか（たとえば、ブロックチェーンから第１トランザクションTx_１を取得することによって）を決定する。第１トランザクションTx_１が、第１トークンのハッシュh_１を含むアウトプット７０２cを含む例では、Charlieは、第２トランザクションにおける第１トークン<data_１>が、第１トークンに暗号ハッシュ関数H_１を適用することによって、第１トランザクションのそれと一致するかどうかをチェックする（第１トランザクションにおける第１トークンが、第１トランザクションのアウトプットに含まれるハッシュの前の画像であることを思い出そう）。第１トークンが一致しない場合、Charlie１０３cは、Alice１０３aが第１トークンの少なくとも一部を変更し、プロトコルに従わないことを知っている。その場合、Charlie１０３cは、第２トランザクションに署名したり、ブロックチェーンに提出したりすることはない。

Charlie１０３cはまた、サブ量を表す値Xが、それぞれ、第１トランザクションTx_１の識別子TxID_１に基づいているかどうかを決定する。Charlie１０３cはまた、値Xがトークンに含まれる（RSA）モジュラスにも基づくかどうかを決定することができる。たとえば、Charlieは、値XがΓ_０=<H_１（TxID_１||N||０）>_QRに基づくかどうかを決定してよい。これをチェックするために、Charlieは第１トランザクションTx_１または第２トランザクションTx_２からトランザクション識別子とモジュラスを取得し、ハッシュ関数をデータに適用する。

Charlie１０３cが満たされた場合、Charlieは、第２トランザクションを自分の公開鍵P_Cで署名することによって、第２トランザクションを更新する。すなわち、Charlie１０３cは、自身の公開鍵P_Cおよびデジタル署名Sig_PCを含む更新された第２トランザクションTx_２’にインプットを追加する。次にCharlieは、更新された第２トランザクションTx_２’をブロックチェーンネットワーク１０６に提出する。

Charlie１０３cは、Alice１０３aに支払われる第１トランザクションTx_１のアウトプット７０２bが、ブロックチェーンの未使用トランザクションアウトプットの中のものであるかどうかを決定することができる。言い換えると、アウトポイントTxID_１||０がUTXOセットの中にまだあるかどうか。アウト点がUTXOセットにない場合、Alice１０３aは第１トークンを同じパーティ（すなわちCharlie）または別のパーティで償還しようとする。

Alice１０３a、Bob１０３bおよびCharlie１０３cが、各トークンが図５および１１のツリー構造によって表されるプロトコルに従う場合、Charlieは、ツリー構造に基づいて、値Xによって表される量を決定することができる。いくつかの例において、Alice１０３aは、所与の値をツリー構造内の特定の位置にマップする第１トークンにインデックスを含むことができる。第１の量、残高、第２の量を確認すると、Charlieはツリー構造の値で表される部分の金額の合計が最初の金額から残高を引いたものに相当するかどうかを判定する。

Charlie１０３cは、第２トークンの値Xを使用して、１つ以上の「候補ノード」を計算してもよい。各候補ノードΓ'は、値のツリーインデックスに基づいて、それぞれの値Xを累乗することによって計算される。たとえば、ツリーの第１の子層内の子ノードに対応するインデックスを持つ値Xは４のべき乗に、ツリーの第２の子層内の子ノードに対応するインデックスを持つ値Xは８のべき乗に、ツリーの第３の子層内の子ノードに対応するインデックスを持つ値Xは１６のべき乗に、などとなる。ツリー内の連続する各層に対して電力を２倍にする。これは、各値Xがツリー内の子ノードの平方根であるためである。したがって、子ノードを生成するためには、値を２乗（２のべき乗）しなければならない。各子ノードは、ツリー内の親ノードの平方根である。したがって、親ノードを生成するには、各子ノードを２乗する必要がある。親ノード自身が子ノードである場合、そのノードも同様に２乗されなければならず、ルート層に到達するまで同様である。

候補ノードΓ’が左側の子ノードΓ_leftである場合、候補ノードは、何らかの値dにより候補ノードを乗算することにより、ルートのーどをマップするべきである。値dは、それぞれの数が正と負の平方根を持つという事実を表す。値dは、ツリー内の候補ノードの位置、すなわち、候補ノードがルート層に到達するために何回二乗されるかに依存する。たとえば、第１の子層内の左側の子ノードΓ_leftから生成された候補ノードについては、d_１∈{±１,±２}である。候補ノードが左側の子ノードΓ_leftである場合、候補ノードは、何らかの値dにより候補ノードを乗算することにより、ルートのーどをマップするべきである。

候補ノードΓ'が右子ノードΓ_rightである場合、候補ノードは、候補ノードに何らかの値dを乗じることによって、ルートノードにマッピングすべきである。値dは、ツリー内の候補ノードの位置にも依存する。子ノードが次式：
に従って計算される場合、CharlieはΩiを計算する必要がある。Ω_iは、第１または第２トランザクションから得られた情報、すなわちTxID_１およびNを用いて計算されてもよい。右子ノードΓ_rightに対応する値Xが候補ノードを生成するために（１回以上）２乗される場合、候補ノードはΩ_i.の係数を構成する。従って、候補ノードは、関係Γ''=Ω_i ⁿΓ_０によりルートノードにマッピングすべきである。ここで、nは、値が引き上げられる累乗に依存する。なお、Ω_iは、iごとに独立して計算する必要がある。

Charlie１０３cは、第２トークンを検証するために、１つ以上のさらなるチェックを実行してもよい。たとえば、Charlieは、各値が次式の関係に従うことをチェックすることができる：
ここで、Nはモジュラスである。

上述のように、Charlie１０３cは、第２トークンを検証し、満足された場合、更新された第２トランザクションTx_２’をブロックチェーンに送信する。Charlie１０３cが第１トークンを発行した場合、Charlie１０３cはAlice１０３aに、第２トークンの価値に見合う商品、サービス、コンテンツなどを提供することができる。たとえば、Charlie１０３cがコンテンツプロバイダーであり、トークンがコンテンツの量を表す場合、Charlieは、第２トークンの量に値するコンテンツをAlice１０３aに提供することができる。Bob１０３bが第１トークンを発行した場合、BobはCharlieに第２トークンの量を提供することができる。たとえば、Bobは銀行であってもよく、トークンは電子現金を表してもよい。更新された第２トランザクションTx_２’がブロックチェーンに現れると、Bobは、第２の量に相当する電子現金をCharlie１０３cに移転することができる。

以下は、Alice１０３a、Bob１０３bおよびCharlieが銀行の顧客であり、CharlieがAlice１０３aから支払いを受けることを期待する商人である場合の例示的なシナリオにおける、Alice１０３a、Bob１０３b、およびCharlieの手順の例を示す。いくつかのステップは必須ではないことが理解されるであろう。

Alice１０３aは、そのアイデンティティを表す公開鍵（たとえば、ECDSA公開鍵）P_Aを持ち、P_Aは、政府や確立されたエンティティなどの信頼できる当局によって認証されてよく、Bobも、公開鍵（たとえば、ECDSA公開鍵）P_Bを持つ。P_Aは広く公開されていなくてよく（たとえば、P_Aは国民ID番号やパスポート番号に関連してよい）、P_Bは一般に公開されているかもしれない（たとえば、P_Bはオンラインバンキングウェブサイトの証明書に関連してよい）ことに注意してほしい。

Alice１０３aがBob１０３bから１００ポンドのトークンを得たいと仮定する。

ステップ１：Alice１０３aは、２つのRSA素数pとqを生成し、公開鍵（e,N）と秘密鍵dを計算する。

ステップ２：Alice１０３aはP_Aおよび（e,N）をBobに渡す。Bob１０３bは、Aliceのアイデンティティとアカウントを検証する。すなわち、彼女が１００ポンドのトークンを発行される資格があるかどうかを確認する。

ステップ３：Bob１０３bは、Aliceのアイデンティティである公開鍵P_Aを（e,N）で暗号化し、暗号文cを作成する。

この暗号文はチェーン上で公開されることに注意されたい。もしAlice１０３aが彼女のトークンを二重に使うなら、彼女のRSA秘密鍵は公衆によって引き出されるだろう。従って、彼女のアイデンティティは公に明らかにされ、Alice１０３aは二重の支出で罰せられるかもしれない。

ステップ４：Alice１０３aとBob１０３bは、まず、P_AおよびP_Bの上でのDiffie-Hellman鍵交換を介して、共有秘密鍵S_ABを確立する。そして、両者は公開鍵のリスト、次式を導く：
これらの公開鍵により、Alice１０３aは自分でトランザクションを作成し、使用することができる。同時に、Bobは取引を知っているので、取引を監視することができる。

ステップ５：Bob１０３bは、図７に示すように、Alice１０３aに１００ポンドのトークンを発行する第１ブロックチェーントランザクションを作成する。トランザクションのアウトプットは、カラードアウトプットである。それはAliceの公開鍵P_A１に支払われる。アウトプットを使用するために、Aliceはハッシュ値h_１とP_A１によって検証可能な彼女のECDSA署名のプレイメージを提供しなければならない。この特定の例では、トランザクションはアウトプットを色付けするOP_RETURNアウトプットを含む。データペイロードには、h_１のプレイメージを含む、Aliceからの支払いを検証するために公衆が知る必要のあるすべての情報が含まれる。より正確には、データペイロードは、図８に示されるフォーマットを有し得る。

ロックスクリプトのハッシュパズルは、前のイメージがOP_RETURNで利用可能であるので、冗長に見えることが理解される。しかし、ロックスクリプト内のこの小さな追加データは、トランザクション全体を得ることなく、誰でもAliceの支払いを検証することを可能にする。データペイロードを保持し、提示するのはAliceの責任である。これは、商人が接続しているマイナーが枝刈りされたブロックチェーンで実行している場合に非常に便利である。すべてのアウトプットはBob１０３bによって署名され、信頼できる公開鍵P_Bで検証できることに注意されたい。従って、Alice１０３aは、アウトプット内のデータを改ざんすることはできない。

第１トランザクションTx_１において、Bob１０３bは、P_A１の所有者がNの因数分解を知っているというステートメントに効果的に署名する。Bobは信頼されているので、Charlie１０３cはすべて、AliceからのP_A１による署名を検証する必要がある。

ステップ６：Alice１０３aが商人のCharlieに７５ポンドを支払いたいと仮定する。Aliceは次式を計算する：

Γツリーを図１２に一緒に示し、Γツリーのノーで表される現金量を図１１に示す。

前述のように、Alice１０３aは、ツリーの必要なノード値とその平方根を計算する。Alice１０３aはツリー全体を計算する必要はない。彼女は上からの経路を経て、必要に応じて各ノードの価値を計算することができる。X値と一緒に子のΓ値が漏洩することがNの因数分解を損なうので、彼女がツリーのすべての値を公表しないことは重要である。たとえば、X_００およびΓ_０００は、Γ_００の２つの異なる平方根を与える。

次に、Alice１０３aは、前のOP_RETURNペイロードdata_１と共に、ブロックチェーントランザクションテンプレートを介してCharlieに（X_００,X_０１０,N）を送信する。Alice１０３aは、Γツリーを明らかにする必要がないことに注意されたい。トランザクションは、図９に示されており、data_２ペイロードは、図１０によって表すことができる。

ペイロードに支払いの詳細を追加するために、Alice１０３aはX値に対応するインデックスを提供する必要がある。たとえば、００はX_００のインデックスである。これらのインデックスと残高を有することによって、開始時の残高とXの値で表される値を計算することができる。しかし、明示的に値を提供することにより、計算を節約することができる。つまり、ペイロードにX値に対応する開始時の残高と値を追加することになる。

このトランザクションの入力は、前のトランザクションの第１アウトプットである。これは、Alice１０３aが以前のOP_RETURNデータペイロードをCharlie１０３cに渡すことができるフィールドであり、Alice１０３aが二重に使用するかルールに違反した場合に、Alice１０３aに責任を負わせることができる署名である。公開鍵はランダムに見える。しかし、Alice１０３aとBob１０３b（銀行）の両者は、紛争がある場合に公開鍵とAliceのアイデンティティとの関連性を証明することができる。

Alice１０３aは、署名にSIGHASH_SINGLE（０x０３）とSIGHASH_ANYONECANPAY（０x８０）を使用する。SIGHASH_ANYONECANPAYは、他人がトランザクションに資金を調達することを可能にする。この例では、商人のCharlieがトランザクションに資金を提供する。SIGHASH_SINGLEは、Aliceのインプットと第１アウトプットを保護する。OP_RETURNアウトプットは署名によって保護されないことに注意されたい。しかし、OP_RETURNを変更すると、第１アウトプットに埋め込まれているハッシュ値とは異なるハッシュ値になる。このハッシュ値は、署名によって保護されている。また、data_１への変更を含むインプットへの変更は、前のロックスクリプトでチェックしたときに失敗する。

現時点では、トランザクション手数料がないため、トランザクションTxID_２はマイナーにとって有効ではない可能性がある。しかし、Charlie１０３cは、Alice１０３aの支払いを検証するために必要なすべての情報を含んでおり、Aliceの署名とハッシュ関数は、すべての情報の真正性と完全性を提供する。

Alice１０３aは、完全にコントロールできるので、カラードアウトポイントを他の方法で使うことができることに注意する。しかし、プロトコルに従わなければ、このアウトポイントで表されるトークン値はすべて失われる。

ステップ７：H_０はハッシュ関数double-SHA２５６、OP_HASH２５６を示す。

Charlieは次の計算とチェックを行う：

すべてのチェックが合格した場合、Charlie１０３cは支払いを受け取り、インプットとアウトプットを追加してトランザクションを更新する。AliceからのトランザクションはSIGHASH_ANYONECANPAYとSIGHASH_SINGLEを使用して署名されるので、CharlieはAliceの署名を無効にすることなくこれを行うことができる。更新されたトランザクションを図１３に示す。

第３アウトプットは、Charlie１０３cへの単なるお釣りである。彼のインプットと彼のお釣りとの差分は、マイナーに支払われるトランザクション手数料である。それに加えて、Charlieのインプットは以下の目的にも役立つ：
１．Aliceの支払証明、
２．支払先Bobへの通知、
３．CharlieがAliceと共謀した場合、法的責任を負うこと。

最終決済：Bob１０３bは、公開鍵P_Aiのリストを監視することができ、あるいは、Alice１０３aからの支払いがあることをCharlie１０３cから知らされることができる。TxID_２'はブロックチェーンに記録されるので、CharlieはBob１０３bに連絡する緊急性はない。Alice１０３aは、対応するアウトポイントが使用されているため、Charlieへの支払いを２倍にすることはできない。決済は、Aliceの口座からCharlieの口座に残高を振り替えることにより、法定紙幣でBob１０３bが実行することができる。

あるいは、ブロックチェーンからの信頼を利用するために、Charlie１０３cはステップ８のTxID_２'でアウトプットを色付けし、彼の７５ポンドを分割可能なトークンとして使うことができる。次の受信者、たとえば木材業者のDaveは、TxID_１まで遡るすべての情報を検証しなければならない。

非負整数tについて、トークンを２Ｔ個のピースに分割するメカニズムは、一般的にどのトークンシステムにも適用できる。トークンの発行者がWilliam整数Nを認識する限り、トークンの所有者は、自分が望むようにトークンを分割する柔軟性を持つ。トークンを交換するために必要なすべての情報をブロックチェーン上に置くことは、トークンの小部分を交換する安全な方法を作り出す。

結論
上記の実施形態は、単なる例示として説明したものであることが理解されるであろう。より一般的には、以下の記述のうちの任意の１つ以上に従った方法、装置またはプログラムが提供され得る。

（Statement１）コンピュータに実装される、ブロックチェーンについての第２トランザクションを生成する方法であって、前記ブロックチェーンは、第１トランザクションであって、前記第１トランザクションは、第１トークンと、第２パーティおよび第１パーティの間でデジタルアセットの量を移転する第１アウトプットとを含み、第１トークンは、前記デジタルアセット以外のトークンアセットの第１の量を表す、第１トランザクションと、第２トランザクションであって、第１パーティから第３パーティへ前記トークンアセットの第２の量を表す第２トークンを移転するためのものである、第２トランザクションと、前記第２トランザクションを生成するステップであって、前記第２トランザクションは、i）前記第１トランザクションの前記第１アウトプットをアンロックするように構成された第１インプットと、ｉｉ）前記第２トークンを含む第１アウトプットとを含み、前記第２トークンは、前記トークンアセットの前記第２の量を表すデータを含み、前記第２の量は、前記第１の量よりも小さい、ステップと、を含む方法。

（Statement２）前記トークンアセットの前記第２の量を表す前記データは、１つ以上の値を含み、各値は、前記トークンアセットの前記第１の量のそれぞれのサブ量を表すために使用される、Statement１に記載の方法。

前記方法は、前記第２トランザクションを前記第２パーティへおよび／または前記ブロックチェーンへ前記ブロックチェーンに包含するために送信するステップを含んでよい。

（Statement３）前記第１トランザクションの識別子に基づいて各値が生成される、Statement２に記載の方法。

（Statement４）各値は、前記第１パーティの公開鍵のモジュラスに基づいて生成され、前記第２トランザクションの前記アウトプットは前記モジュラスを含む、Statement２またはStatement３に記載の方法。

（Statement５）各値は、バイナリツリー構造のルートノードに基づいており、前記ルートノードは、前記第１トランザクションの前記識別子および／または前記所定のモジュラスに基づいて生成され、前記ツリー構造は、ルートノードを含むルート層と、１つ以上の子層のシーケンスとを含み、各子層は、１つ以上の子ノードペアを含み、各ペアは、前記構造内の前の層のそれぞれのノードの子であり、各ノードは、前記トークンアセットのそれぞれの量を表し、前記ルートノードは、前記第１の量を表し、各子ノードペアは、共に、前記前の層のそれぞれのノードによって表される量に等しい量を表す、Statement３または４に記載の方法。

（Statement６）前記１つ以上の値のそれぞれは、前記１つ以上の生成されたノードのそれぞれの１つの平方根である、Statement５に記載の方法。

前記方法は、前記ツリー構造の各ノードを生成するステップを含んでよい。代替として、前記方法は、前記ノードのサブセットのみ、たとえば前記トークンアセットの前記第２の量を表すために必要なノード、を生成するステップを含んでよい。

（Statement７）前記ルートノードは、第１の暗号ハッシュ関数を前記第１トランザクションの少なくとも前記識別子に適用することによって生成される、Statement５またはStatement６に記載の方法。

（Statement８）前記ルートノードは、前記第１の暗号ハッシュ関数を少なくとも前記第１トランザクションの前記識別子および前記モジュラスに適用することによって生成される、Statement７に記載の方法。

（Statement９）前記第１トークンが前記モジュラスを含む、Statement８に記載の方法。

（Statement１０）前記第１トークンが前記第１の量Aを表し、前記ツリー構造のi番目の層が２^i-１のノードを含み、前記i番目の層の各ノードが量A*２^１-iを表す、Statement５～９のいずれかに記載の方法。

（Statement１１）各子ノードペアは、第１の子ノードと第２の子ノードとを含み、i番目の層の各第１子ノードは、前の層のそれぞれのノードの平方根を含み、i番目の層のそれぞれの第２子ノードは、前の層のそれぞれのノードの平方根と、第２暗号ハッシュ関数を第１トランザクションの少なくとも識別子に適用することによって生成されるコンポーネントとを含む、Statement５～１０のいずれかに記載の方法。

前記第２暗号ハッシュ関数は、少なくとも前記第１トランザクションの前記識別子および前記モジュラスに適用されてよい。

（Statement１２）前記第１および第２の暗号ハッシュ関数は、異なる暗号ハッシュ関数である、Statement７に従属するStatement１１に記載の方法。

（Statement１３）前記各サブ量が、前記第１の量の異なるサブ量であり、それぞれが前記トークンアセットの異なる量を表す、Statementの１～１２のいずれか一項に記載の方法。

（Statement１４）前記第２トランザクションの前記第１アウトプットが、使用不可能トランザクションアウトプットである、Statement１～１３のいずれかに記載の方法。

（Statement１５）前記第１トランザクションの前記第１アウトプットは、前記第１トークンのハッシュを含み、前記第２トランザクションの前記第１インプットは、前記第１トークンを含む、Statement１～１４のいずれかに記載の方法。

（Statement１６）前記第２トランザクションの前記第１インプットは、前記第１パーティの第１公開鍵と、前記第１公開鍵に対応する第１秘密鍵に基づいて生成されるデジタル署名とを含む、Statement１～１５のいずれかに記載の方法。

（Statement１７）前記第１トランザクションが前記第２パーティによって生成され、前記方法は、
第１パーティの第２公開鍵に対応する秘密鍵および第２パーティの公開鍵に基づく共有秘密鍵を生成するステップと、
前記共有秘密鍵および第１パーティの前記第２公開鍵に基づいて、第１パーティの第１公開鍵を生成するステップと、
を含むStatement１６に記載の方法:
（Statement１８）前記第２パーティおよび前記第３パーティは同一のパーティである、Statement１７に記載の方法。

（Statement１９）前記第１パーティの第３の公開鍵を生成するステップであって、前記第３公開鍵はモジュラスを含む、ステップと、
前記第１パーティの前記第３公開鍵を前記第２パーティへ送信するステップと、
を含むStatement４に従属するStatement１～１８のいずれか一項に記載の方法。

（Statement２０）前記第２トランザクションの前記第１インプットが、前記第３パーティが前記第２トランザクションに第２インプットを追加することを可能にするように構成される、Statement１～１９のいずれか一項に記載の方法。

（Statement２１）コンピュータにより実施される、ブロックチェーンのための第２トランザクションを生成する方法であって、前記ブロックチェーンは第１トランザクションを含み、前記第１トランザクションは、第１トークンと、第２パーティから第１パーティへデジタルアセットの量を移転する第１アウトプットとを含み、前記第１トークンは前記デジタルアセット以外のトークンアセットの第１の量を表し、第２トランザクションは、第１パーティから第３パーティへ前記トークンアセットの第２の量を表す第２トークンを移転するためのものであり、前記方法は、前記第３パーティにより実行され、
前記第２トランザクションを取得するステップであって、前記第２トランザクションは、i）前記第１トークンを含む第１インプットと、ｉｉ）前記第２トークンを含む第１アウトプットとを含み、前記第２トークンは、１つ以上の値を含み、各値は前記トークンアセットのそれぞれのサブ量を表すために私用される、ステップと、
ａ）各値が少なくとも前記第１トランザクションの識別子に基づき生成れたか、およびｂ）前記第２トランザクションの中の前記第１トークンが前記第１トランザクションの中の前記第１トークンと同一であるかに基づき、第２トランザクションが有効かどうかを決定するステップと、
前記決定に基づき、前記第３パーティの公開鍵により前記第２トランザクションに署名することにより、前記第２トランザクションを更新するステップと、
前記ブロックチェーンに含めるために、更新した第２トランザクションを前記ブロックチェーンネットワークへ送信するステップと、
を含む方法。

（Statement２２）前記第１トークンは、前記第１パーティの公開鍵のモジュラスを含み、前記決定するステップは、ｃ）各値が少なくとも前記第１トランザクションの前記識別子および前記モジュラスに基づき生成されているかどうかを決定するステップを含む、Statement２１に記載の方法。

（Statement２３）前記決定するステップは、ｄ）各値が、バイナリツリー構造のルートノードに基づいているかどうかを決定するステップを含み、前記ルートノードは、前記第１トランザクションの前記識別子および／または前記所定のモジュラスに基づいて生成され、前記ツリー構造は、ルートノードを含むルート層と、１つ以上の子層のシーケンスとを含み、各子層は、１つ以上の子ノードペアを含み、各ペアは、前記構造内の前の層のそれぞれのノードの子であり、各ノードは、前記トークンアセットのそれぞれの量を表し、前記ルートノードは、前記第１の量を表し、各子ノードペアは、共に、前記前の層のそれぞれのノードによって表される量に等しい量を表す、Statement２１または２２に記載の方法。

（Statement２４）前記１つ以上の値に対応するそれぞれのノードにより表されるそれぞれの量に基づき、前記第２トークンの前記第２の量を決定するステップ、を含むStatement２３に記載の方法。

（Statement２５）前記第１トランザクションは、前記第１トークンのハッシュを含み、ａ）前記第２トランザクションの中の前記第１トークンが前記第１トランザクションの中の前記第１トークンと同一であるかどうかを決定するステップは、前記第２トランザクションの中の前記第１トークンのハッシュが前記第１トランザクションの中の前記第１トークンのハッシュと同一であることを決定するステップを含む、Statement２１～２４のいずれかに記載の方法。

（Statement２６）前記決定するステップは、ｄ）前記第２トランザクションの前記第１インプットにより参照される前記第１トランザクションのアウトプットが未使用トランザクションアウトプットであるかどうかを決定するステップを含む、Statement２１～２５のいずれかに記載の方法。

（Statement２７）前記第２トランザクションは、前記第２トークンのハッシュを含み、前記決定するステップは、ｅ）前記第２トークンのハッシュが前記第２トランザクションの中の前記第２トークンのハッシュと等しいかどうかを決定するステップを含む、Statement２１～２６のいずれかに記載の方法。

（Statement２８）前記取得するステップは、前記第１パーティから前記第２トランザクションを受信するステップを含む、Statement２１～２７のいずれかに記載の方法。

（Statement２９）前記第１トランザクションを生成するステップであって、前記第１トランザクションは、ｉ）前記第２トランザクションのインプットと一緒に実行されるとき、前記第２トランザクションの前記インプットがアンロックされるために前記第１パーティの第１公開鍵を含むことを要求するよう構成される第１アウトプットを含む、ステップと、
前記ブロックチェーンに含めるために、前記第１トランザクションを前記ブロックチェーンネットワークへ送信するステップと、
を含むStatement２１～２８のいずれかに記載の方法。

（Statement３０）コンピュータにより実施される、ブロックチェーンのための第１トランザクションを生成する方法であって、前記第１トランザクションは、第２パーティから第１パーティへデジタルアセットの量を移転する第１アウトプットを含み、前記第１トランザクションは、前記第２パーティから前記第１パーティへ第１トークンを移転するためのものであり、前記第１トークンは前記デジタルアセット以外のトークンアセットの第１の量を表し、前記方法は、前記第２パーティにより実行され、
前記第１トランザクションを生成するステップであって、前記第１トランザクションは、ｉ）第２トランザクションのインプットと一緒に実行されるとき、前記第２トランザクションのインプットがアンロックされるために前記第１パーティの第１公開鍵を含むことを要求するよう構成される第１アウトプットと、ｉｉ）前記第１トークンを含む第２アウトプットと、を含み、前記第１トークンは、ａ）前記トークンアセットの第１の量と、ｂ）前記第１パーティの暗号化識別子であって、前記暗号化識別子は、前記第１パーティの第２公開鍵を用いて前記第１パーティの識別子を暗号化することにより生成される暗号化識別子と、を含み、前記第２公開鍵はモジュラスを含み、前記第１トークンはｃ）モジュラスを含む、ステップ、を含む方法。

（Statement３１）前記第１パーティの前記識別子は、前記第１パーティの第３公開鍵である、Statement３０に記載の方法。

（Statement３２）前記第２パーティの秘密鍵および前記第１パーティの前記第２公開鍵に基づき共有秘密鍵を生成するステップと、
前記共有秘密鍵および前記第１パーティの前記第２公開鍵に基づいて、前記第１パーティの前記第１公開鍵を生成するステップと、
を含むStatement３０または３１に記載の方法。

（Statement３３）前記第１パーティから前記第１パーティの前記第２公開鍵および／または第３公開鍵を取得するステップ、を含むStatement３１または３２に記載の方法。

（Statement３４）前記第１トランザクションは、ｉｉｉ）前記第４トランザクションのインプットと一緒に実行されるとき、前記第４トランザクションの前記インプットがアンロックされるために前記第２パーティの第１公開鍵を含むことを要求するよう構成される第３アウトプットを含む、Statement３０～３３のいずれかに記載の方法。

（Statement３５）前記第１トランザクションの前記第１アウトプットは、前記第２トランザクションの前記インプットと一緒に実行されるとき、前記第２トランザクションの前記インプットが前記第１トークンを含むことを要求するよう構成されるハッシュパズルを含む、Statement３０～３４のいずれかに記載の方法。

（Statement３６）前記ブロックチェーンに含めるために、前記ブロックチェーンネットワークへ前記第１トランザクションを送信するステップ、を含むStatement３０～３５のいずれかに記載の方法。

（Statement３７）前記第１パーティの前記第２公開鍵を取得するステップと、
前記第２公開鍵が信頼できるパーティにより認証されていることを決定するステップと、
を含み、
前記送信するステップは、前記第２公開鍵が認証されている場合にのみ、前記第１トランザクションを送信するステップを含む、Statement３０～３６のいずれかに記載の方法。

（Statement３８）第１パーティのコンピュータ機器であって、
１つ以上のメモリユニットを含むメモリと、
１つ以上の処理ユニットを含む処理機器と、
を含み、
前記メモリは、前記処理機器上で実行するよう構成されるコードを格納し、前記コードはStatement１～２０のいずれかに記載の方法を実行するよう構成される、コンピュータ機器。

（Statement３９）コンピュータ可読記憶装置上に具現化され、第１パーティのコンピュータ機器上で実行されるとStatement１～２０のいずれかに記載の方法を実行するよう構成される、コンピュータプログラム。

（Statement４０）第３パーティのコンピュータ機器であって、
１つ以上のメモリユニットを含むメモリと、
１つ以上の処理ユニットを含む処理機器と、
を含み、
前記メモリは、前記処理機器上で実行するよう構成されるコードを格納し、前記コードはStatement２１～２９のいずれかに記載の方法を実行するよう構成される、コンピュータ機器。

（Statement４１）コンピュータ可読記憶装置上に具現化され、第３パーティのコンピュータ機器上で実行されるとStatement２１～２９のいずれかに記載の方法を実行するよう構成される、コンピュータプログラム。

（Statement４２）第２パーティのコンピュータ機器であって、
１つ以上のメモリユニットを含むメモリと、
１つ以上の処理ユニットを含む処理機器と、
を含み、
前記メモリは、前記処理機器上で実行するよう構成されるコードを格納し、前記コードはStatement３０～３７のいずれかに記載の方法を実行するよう構成される、コンピュータ機器。

（Statement４３）コンピュータ可読記憶装置上に具現化され、第２パーティのコンピュータ機器上で実行されるとStatement３０～３７のいずれかに記載の方法を実行するよう構成される、コンピュータプログラム。

（Statement４４）ブロックチェーンに含まれるための第１トランザクションであって、前記第１トランザクションは、第２パーティから第１パーティへ第１トークンを移転するためのものであり、前記第１トークンはトークンアセットの第１の量を表し、前記第１トランザクションは、ｉ）第２トランザクションのインプットと一緒に実行されるとき、前記第２トランザクションのインプットがアンロックされるために前記第１パーティの第１公開鍵を含むことを要求するよう構成される第１アウトプットと、ｉｉ）前記第１トークンを含む第２アウトプットと、を含み、前記第１トークンは、ａ）前記トークンアセットの第１の量と、ｂ）前記第１パーティの暗号化識別子であって、前記暗号化識別子は、前記第１パーティの第２公開鍵を用いて前記第１パーティの識別子を暗号化することにより生成される暗号化識別子と、を含み、前記第２公開鍵はモジュラスを含み、前記第１トークンはｃ）前記モジュラスを含む、第１トランザクション。

（Statement４５）Statement４４に記載の第１トランザクションを格納しているコンピュータ可読記憶媒体。

（Statement４６）ブロックチェーンに含まれるための第２トランザクションであって、前記第２トランザクションは、第１パーティから第３パーティへトークンアセットの第２の量を表す第２トークンを移転するためのものであり、前記第２トランザクションは、ｉ）デジタルアセットの量を第２パーティから第１パーティへ移転する第１トランザクションの第１アウトプットをアンロックするよう構成される第１インプットであって、前記デジタルアセットは前記トークンアセットと異なる、第１インプットと、ｉｉ）前記第２トークンを含む第１アウトプットであって、前記第２トークンは、前記トークンアセットの前記第２の量を表すデータを含み、前記第２の量は前記第１の量より少ない、第１アウトプットと、を含む、第２トランザクション。

（Statement４７）Statement４６に記載の第１トランザクションを格納しているコンピュータ可読記憶媒体。

本願明細書に開示される技術の別の態様によると、前記第１、第２、および第３パーティのうちの一部または全部の動作を含む方法が提供され得る。

本願明細書に開示される技術の別の態様によると、前記第１、第２、および第３パーティのうちの一部または全部のコンピュータ機器を含むシステムが提供され得る。

本願明細書に開示される技術の別の態様によると、前記第１および第２トランザクションを含むトランザクションのセットが提供され得る。

開示された技術の他の変形例または使用事例は、本願明細書で開示されると、当業者に明らかになり得る。本開示の範囲は、記載された実施形態によって限定されるものではなく、添付のStatementによってのみ限定される。

Claims

コンピュータにより実施される、ブロックチェーンのための第１トランザクションを生成する方法であって、前記第１トランザクションは、第２パーティから第１パーティへデジタルアセットの量を移転する第１アウトプットを含み、前記第１トランザクションは、前記第２パーティから前記第１パーティへ第１トークンを移転するためのものであり、前記第１トークンは前記デジタルアセット以外のトークンアセットの第１の量を表し、前記方法は、前記第２パーティにより実行され、
前記第１トランザクションを生成するステップであって、前記第１トランザクションは、ｉ）第２トランザクションのインプットと一緒に実行されるとき、前記第２トランザクションのインプットがアンロックされるために前記第１パーティの第１公開鍵を含むことを要求するよう構成される第１アウトプットと、ｉｉ）前記第１トークンを含む第２アウトプットと、を含み、前記第１トークンは、ａ）前記トークンアセットの第１の量と、ｂ）前記第１パーティの暗号化識別子であって、前記暗号化識別子は、前記第１パーティの第２公開鍵を用いて前記第１パーティの識別子を暗号化することにより生成される暗号化識別子と、を含み、前記第２公開鍵はモジュラスを含み、前記第１トークンはｃ）モジュラスを含む、ステップ、を含む方法。
前記第１パーティの前記識別子は、前記第１パーティの第３公開鍵である、請求項１に記載の方法。
前記第２パーティの秘密鍵および前記第１パーティの前記第２公開鍵に基づき共有秘密鍵を生成するステップと、
前記共有秘密鍵および前記第１パーティの前記第２公開鍵に基づいて、前記第１パーティの前記第１公開鍵を生成するステップと、
を含む請求項１に記載の方法。
前記第１パーティから前記第１パーティの前記第２公開鍵および／または第３公開鍵を取得するステップ、を含む請求項１に記載の方法。
前記第１トランザクションは、ｉｉｉ）第４トランザクションのインプットと一緒に実行されるとき、前記第４トランザクションの前記インプットがアンロックされるために前記第２パーティの第１公開鍵を含むことを要求するよう構成される第３アウトプットを含む、請求項１に記載の方法。
前記第１トランザクションの前記第１アウトプットは、前記第２トランザクションの前記インプットと一緒に実行されるとき、前記第２トランザクションの前記インプットが前記第１トークンを含むことを要求するよう構成されるハッシュパズルを含む、請求項１に記載の方法。
前記ブロックチェーンに含めるために、ブロックチェーンネットワークへ前記第１トランザクションを送信するステップ、を含む請求項１に記載の方法。
前記第１パーティの前記第２公開鍵を取得するステップと、
前記第２公開鍵が信頼できるパーティにより認証されていることを決定するステップと、
を含み、
前記送信するステップは、前記第２公開鍵が認証されている場合にのみ、前記第１トランザクションを送信するステップを含む、請求項７に記載の方法。
コンピュータ機器であって、
１つ以上のメモリユニットを含むメモリと、
１つ以上の処理ユニットを含む処理機器と、
を含み、
前記メモリは、前記処理機器上で実行するよう構成されるコードを格納し、前記コードは前記処理機器上で実行されると請求項１～８のいずれかに記載の方法を実行するよう構成される、コンピュータ機器。
コンピュータ可読記憶装置上に具現化され、コンピュータ機器上で実行されると請求項１～８のいずれかに記載の方法を実行するよう構成される、コンピュータプログラム。