JP2631776B2 - 電子現金実施方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、電子現金を発行する
銀行と、電子現金を使用する利用者と、利用者から電子
現金を受領して銀行との間で決済を行う小売店とにより
電気通信システムを利用して構成され、電子的な現金を
実現する電子現金実施方法に関する。

【０００２】

【従来の技術】電気通信システムを用いた電子資金移動
が普及しつつある。一般に換金可能な証書（手形、小切
手など）は、証書の象徴的機能（証書を保持している人
に対して、証書に記載してある権利が供与されること）
を備えている。証書を電気通信システムで取り扱う場
合、証書はディジタル化されたデータであり、容易にコ
ピーを作成して複数回の換金が可能となる。プリペイド
カードのような電子的現金を実現するときにも、この問
題が生じる。すなわち、プリペイドカードをコピーする
ことで、不正に複数回の換金あるいは商品の購入が可能
となる。一方、クレジットカードでは、このような２重
使用の危険性はほとんどないが、その代わりに、利用者
の利用履歴がすべてカード会社に知られてしまうという
欠点がある（つまり、プライバシが保証されていな
い）。これら問題の解決策として、計算機能を備えたカ
ードで換金時にカード読み取り装置とカードとの間のデ
ータのやりとりを工夫することで、プライバシを保証
し、かつカードの２重使用を検出する方式が提案されて
いる。たとえば、Ｃｈａｕｍ，Ｆｉａｔ，Ｎａｏｒ：
“Ｕｎｔｒａｃｅａｂｌｅ Ｅｌｅｃｔｒｉｃ Ｃａｓ
ｈ”，Ｐｒｏｃ．ｏｆ ＣＲＹＰＴＯ′８８がある。し
かしながら、Ｃｈａｕｍ等の方式では、一回発行された
電子現金を分割して利用する（例えば、１万円の電子現
金を合計利用額が１万円になるまで何回も利用する）こ
とはできない。また、Ｃｈａｕｍ等の方式では、一回毎
の電子現金発行時に、銀行と利用者の間でかなりの量の
通信と処理を行う必要がある。

【０００３】

【発明が解決しようとする課題】この発明の目的は、プ
ライバシを保証し、いかなる結託による不正使用をも防
ぐ電子現金方式において、一回発行された電子現金を発
行時に決められた額になるまで、何回も分割して利用で
き、しかも電子現金発行時の処理手順を効率化するよう
な電子現金方法を提供することにある。

【０００４】

【課題を解決するための手段】請求項１の発明によれば
電子現金を発行する機関（以下、銀行という）が有する
装置（以下、銀行側装置という）と、 電子現金を発行さ
れる者（以下、利用者という）が有する装置（以下、利
用者側装置という）と、 利用者より電子現金を受領する
機関（以下、小売店という）が有する装置（以下、小売
店側装置という）による電子現金実施方法において、 利
用者が銀行に新たに口座を開く際には、 利用者側装置
が、利用者の識別情報を含んだ秘密情報（以下、利用者
情報という）を乱数で攪乱したＫ組（Ｋは２以上の整
数）のブラインド情報を作成し、 銀行側装置が、そのブ
ラインド情報の中のＬ組（Ｌ＜Ｋ）の情報の開示を求
め、開示された情報が正しく作成されていれば、残りの
未開示のＫ−Ｌ組の情報に対しブラインド署名を施して
利用者側装置に送信し、 利用者側装置が、銀行側装置か
ら受信したブラインド署名情報から、利用者情報に対し
て銀行の署名が施された情報を計算して利用許可証と
し、 利用者が、ある金額の電子現金を銀行より引き出す
際には、 利用者側装置が、秘密の乱数より認証用情報を
生成し、その認証用情報と利用許可証より、引き出す電
子現金の金額に相当するブラインド情報を生成して銀行
側装置に送信し、 銀行側装置が、そのブラインド情報
に、引き出し金額に相当するブラインド署名を施して利
用者側装置に送信し、 利用者側装置が、銀行から受信し
たブラインド署名情報から、認証用情報と利用許可証に
対して引き出し金額に相当する銀行の署名が施された情
報を計算して電子現金とし、 利用者が、小売店でその電
子現金を使用する際には、 利用者側装置が、電子現金の
利用残高以内の利用額を定めた後に、電子現金の利用最
小単位に対応した階層構造テーブルを定め、さらに、そ
のテーブル中の利用金額に対応するノードを定め、小売
店側装置に、利用許可証及び電子現金を提示すると共
に、該当ノードに対応する値の剰余べき乗根を送り、 小
売店側装置が、その正当性を検証した後に、正しけれ
ば、利用者側装置に質問情報を送り、 利用者側装置が、
小売店側装置からの質問情報に対応した応答情報を階層
構造テーブル中の該当ノードに対応する値の剰余べき乗
根を求めることにより生成して小売店側装置に提示し、
小売店側装置が、小売店側装置の質問情報に対する利用
者側装置の応答情報の正当性を確認し、それが正しけれ
ば、該当利用金額の電子現金による支払いを認める。 請
求項２の発明によれば電子現金を発行する機関（以下、
銀行という）が有する装置（以下、銀行側装置という）
と、 電子現金を発行される者（以下、利用者という）が
有する装置（以下、利用者側装置という）と、 利用者よ
り電子現金を受領して銀行との間で決済を行う機関（以
下、小売店という）が有する装置（以下、小売店側装置
という）による電子現金実施方法において、 請求項１の
発明により、小売店が受領した電子現金を、後日、銀行
で決済する際には、 小売店側装置が、決済のために銀行
側装置に利用者側装置と小売店側装置の間の相互通信文
を送信し、 銀行側装置が、それら相互通信文の正当性を
検査して、合格の時にはその情報をメモリに記憶し、同
じ電子現金が不正に使用されると、利用許可証を生成す
るときに用いた利用者の秘密情報を算出する。

【０００５】つまり、この発明においては、電子現金の
構造に対応した階層構成のテーブルを構成し、電子現金
利用時には、このテーブルの構造に対応させる形で、一
定の額面金額内の現金を何回かに分割して使用可能とし
ている。また、上記利用形態における不正使用を検出す
るため、上述のように利用者と小売店との確認で剰余べ
き乗根を利用することは、例えばウィリアムズ数と呼ば
れる合成数を法とする偶数べき乗根を利用することであ
り、ここでは、２つの異なるタイプの偶数べき乗根を用
いて、法である合成数の素因数分解ができるという事実
が重要な役割をする。つまり、利用者が不正使用をすれ
ば、法の素因数分解を通じて、利用者の秘密情報である
利用者のＩＤが露見するしかけになっている。

【０００６】

【実施例】図１にこの発明が適用されるシステムを示
し、電子現金を発行する機関（以下、銀行という）の装
置（以下、銀行側装置という）１００と、電子現金を発
行される者（以下、利用者という）の装置（以下、利用
者側装置という）２００と、利用者より電子現金を受領
する機関（以下、小売店という）の装置（以下、小売店
側装置という）３００とが通信回線等を介して接続して
いる。 （１）利用許可証の発行処理 まず、銀行で口座を新たに開設した利用者が、利用許可
証を銀行より発行してもらう場合について説明する。利
用者側装置は利用者の識別情報ＩＤｐ（利用者の口座番
号など）を含んだ秘密情報（利用者情報）より乱数で攪
乱したＫ組のブラインド情報を作成し、銀行側装置は、
そのブラインド情報の中でＫ／２組の情報の開示を求
め、開示された情報が正しく作成されていれば、残りの
未開示のＫ／２組の情報に対しブラインド署名を作成し
利用者側装置に送信し、利用者側装置は、銀行側装置か
ら受信したブラインド署名から利用者情報に対する銀行
の署名を計算して、この銀行署名を利用許可証とする。

【０００７】銀行側装置は、利用許可証に対応する情報
として、ディジタル署名で用いるＲＳＡ暗号の秘密鍵
（dA, nA）及び公開鍵（eA, nA）の対を作成しておき公
開鍵eA, nAを公開しておく。一方、利用者側装置は、デ
ィジタル署名で用いるＲＳＡ暗号の秘密鍵（dP, nP）及
び公開鍵（eP, nP）の対を作成しておき、（eP, nP）を
ＩＤｐと対にして公開しておく。

【０００８】利用者が銀行から利用認可証を発行しても
らう手順は、以下の通り。銀行側装置と利用者側装置の
間の交信例を図２に示す。利用者側装置２００の利用許
可証発行処理の構成を図３に、銀行側装置のそれを図４
にそれぞれ示す。以下では、ｉ＝１，２，…，Ｋとす
る。 ステップ１ 利用者側装置は、乱数発生器２０１を用い
て乱数ａ_i,ｒ_i を生成して、ＩＤｐと共に連結器２０４
に入力し、その出力ＩＤｐ‖ａ_i を一方向ハッシュ関数
演算器２０５に入力し、さらにその出力 g（ＩＤｐ‖ａ
_i ）を利用者の署名用秘密鍵（dP_, nP）と共にＲＳＡ署
名器２０６に入力し、（g （ＩＤｐ‖ａ_i ））^dPmod nP
を求める。

【０００９】ステップ２ 署名器２０６の出力をＩＤ_P
‖ａ_i と共に連結器２０７に入力して、Ｓ_i ＝ＩＤ_P ‖
ａ_i ‖（ g（ＩＤ_P ‖ａ_i ））^dPmod nPを求める。さら
に、Ｓ_i を分割器２０８に入力し、Ｓ_i ＝Ｓ_1,i ‖Ｓ
_2,i になるようなＳ_1,i とＳ_2,i を求める。 ステップ３ 素数生成器２０２を用いて、Ｐ_i ≡３（mo
d ８）及びＱ_i ≡７（mod ８）を満足する２つの素数Ｐ
_i,Ｑ_i を生成して、乗算器２０３を用いてその積Ｎ_i ＝
Ｐ_i Ｑ_i を求める。

【００１０】ステップ４ Ｓ_1,i 及びＳ_2,i をＮ_i と共
に剰余べき乗演算器２０９及び２１１にそれぞれ入力
し、Ｉ_1,i ＝（Ｓ_1,i )²mod Ｎ_i とＩ₂,_i ＝（Ｓ₂,_i ）
² modＮ_i を求め、それらを連結器２１０に入力しＩ_i
＝Ｉ_1,i ‖Ｉ_2,i を計算する。 ステップ５ Ｎ_i,Ｉ_i を連結器２１２に入力し、その出
力Ｉ_i ‖Ｎ_i を一方向ハッシュ関数演算器２１３に入力
し、 g（Ｉ_i ‖Ｎ_i ）を得る。一方、ｒ_i を銀行の公開
鍵（eA, nA）と共にＲＳＡ暗号器２１５に入力し、（ｒ
_i ）^eAmod nAを求める。次に、それら出力を剰余乗算器
２１４に入力し、ブラインド情報Ｗ_i ＝（ｒ_i ）^eA g
（Ｉ_i ‖Ｎ_i ）mod nAを求めて、Ｗ_i （ｉ＝１，２，
…，Ｋ）を銀行側装置に送信する。

【００１１】ステップ６ 次に、銀行側装置は、利用者
側装置に、そのうちのＫ／２組のａ_i,Ｐ_i,Ｑ_i （ g（Ｉ
Ｄｐ‖ａ_i ））^dPmod ｎｐ，ＩＤｐ，ｒ_i を開示させ
て、利用者側装置がステップ１からステップ５を正しく
実行していることを確認する。このため、銀行側装置１
００は、１からＫの中からランダムにＫ／２個を選び、
それを開示要求として利用者側装置に送信する（ここで
は、表記を簡単にするため、Ｋ／２＋１，Ｋ／２＋２，
…，Ｋが開示指定されたと仮定して説明する）。Ｋ／２
個でなく、Ｋの一部であればよいが、Ｋ／２とすると処
理効率がよい。

【００１２】ステップ７ 利用者側装置２００は、銀行
側装置から開示要求を受信すると、銀行側装置の指示す
るＫ／２組のａ_i,Ｐ_i,Ｑ_i,( g ( ＩＤｐ‖ａ_i ））^dPmo
d ｎｐ，ＩＤｐ，ｒ_i を開示する。銀行側装置は、ｉが
開示対象の時、次の手順を行う。 ステップ８ 利用者側装置２００より受信したａ_i,ＩＤ
ｐより( g ( ＩＤｐ‖ａ_i ））^dPmod nPの署名の正当性
を利用者側装置の公開鍵（eP_, nP）を用いて連結器１０
４でａ_i とＩＤｐを連結し、それを一方向ハッシュ関数
演算器１０５へ供給し、一方( g ( ＩＤｐ‖ａ_i ）） ^dP
mod nPとnP,eP とをＲＳＡ暗号器１０７に入力して暗号
化しこの結果と演算器１０５の出力とを比較器１１１で
検証する。ここで、検証に合格しなければ処理を中断す
る。

【００１３】ステップ９ 利用者側装置２００より受信
したａ_i,Ｐ_i,Ｑ_i,( g ( ＩＤｐ‖ａ_i ）） ^dPmod ｎP Ｉ
Ｄｐから、乗算器１０３を用いてＮ_i ＝Ｐ_i,Ｑ_i を求
め、さらに、連結器１０８でａ_i ，ＩＤｐを連結してＳ
_i とし、Ｓ_i を分割器１０９で分割し、それぞれ剰余べ
き乗演算器１１０，１１２でＮ_i と剰余べき演算し、そ
の結果を連結器１１１で連結してＩ_i を求める。

【００１４】ステップ１０ 上で計算したＩ_i,Ｎ_i を連
結器１１３で連結し、更に一方向ハッシュ関数演算器１
１４に供給し、受信したｒ_i と公開鍵eA_, nAをＲＳＡ暗
号器１１７へ供給し、その出力と演算器１１４の出力と
を剰余乗算器１１５へ供給してＷ′_i ＝（ｒ_i ）^eA g
(Ｉ_i ‖Ｎ_i ）mod nAを計算する。 ステップ１１ 前に受信したＷ_i の値とＷ′_i の値を比
較器１１６で比較し、一致すれば合格とし、不合格の場
合、処理を中断する。銀行側装置は、Ｋ／２個のすべて
のｉについて上記の検査を行い、いずれかの検査に不合
格のときには、以降の処理を中止する。すべての検査に
合格のときには、銀行側装置は、開示対象でないｉ＝
１，…，Ｋ／２に対して、次の手順でブラインド署名を
行う。

【００１５】ステップ１２ 剰余乗算器１１８とＲＳＡ
署名作成器１１９を用いて、銀行側装置の署名用秘密鍵
（nA，dA）とＷ_i とからＷ＝（Π Ｗ_i ）^dAmod nAを求
め、つまりブラインド署名を作り、このＷを利用者側装
置に送信する。ステップ１３ 利用者側装置は、銀行側
装置からＷを受信すると、ｒ_i と公開鍵（eA，nA）か
ら、剰余乗算器２１６、剰余除算器２１７を用いて利用
許可証Ｂ＝Ｗ／（Πｒ_i ）mod nA＝（Π g (Ｉ _i ‖
Ｎ _i ）） ^dA mod nA．を計算する。Πはｉ＝１からＫ／２
までである。

【００１６】（２）電子現金の発行処理 次に、利用者が銀行から電子現金を発行してもらう手順
を示す。まず、銀行側装置は、電子現金の金額に対応す
る情報として、ＲＳＡディジタル署名で用いる秘密鍵
（dA′nA′）及び公開鍵（eA′nA′）の対を作成してお
き、（eA′nA′）をその金額と共に公開しておく。ここ
で、銀行側装置と利用者側装置の間の交信例を図５に示
す。利用者側装置２００及び銀行側装置１００の各電子
現金発行処理の構成を図６Ａ，Ｂにそれぞれ示す。以下
では、ｉ＝１，２，…，Ｋ／２とする。

【００１７】ステップ１ 乱数発生器２０１を用いて生
成した乱数ｂ，ｒと利用許可証Ｂ及び電子現金の発行金
額に相当する銀行側装置の公開鍵（eA′，nA′）からｒ
とeA′nA′とをＲＳＡ暗号器２１５へ供給して認証用情
報を生成し、これとｈ，Ｂとから連結器２０４、一方向
ハッシュ関数演算器２０５、剰余乗算器２１４を用い
て、 Ｚ＝ｒ^eA′ｇ（Ｂ‖ｂ）mod nA′ を計算して引き出す電子現金の金額に相当するブライン
ド情報を得る。

【００１８】ステップ２ このＺを電子現金の金額情報
と共に銀行側装置へ送る。 ステップ３ Ｚを受信した銀行側装置は、Ｚと電子現金
の金額に対応する秘密鍵（dA′nA′）とをＲＳＡ署名生
成器１１９に入力し、Ｚ′＝Ｚ ^dA ′mod nA′を求め、つ
まり引出し金額に相当するブラインド署名を作成してそ
れを利用者側装置に送付する。同時に、利用者側装置の
口座から該当する金額を引き落とすか、利用者側装置か
ら該当する金額を受領する。

【００１９】ステップ４ 銀行側装置よりＺ′を受信し
た利用者は、乱数ｒと銀行側装置より受信した情報Ｚ′
及び公開鍵nA′剰余除算器２１７に入力し、認証用情報
及び利用許可証に対する銀行側装置の署名 Ｃ＝Ｚ′／ｒmod nA′＝（ g (Ｂ‖ｂ）） ^dA′mod nA′ を求める。ここで、Ｃが電子現金に相当する。

【００２０】（３）電子現金の支払 次に、利用者が、電子現金を用いて小売店で支払いをす
る場合について説明する。まず、電子現金の金額及びそ
の使用最小単位（例えば、１０円単位等）に対応して、
階層的構造テーブルが定められる。たとえば、２５円単
位で、１００円の紙幣を利用する場合の階層的構造テー
ブルを図７Ａに示す。ここで、例えば、７５円を使う場
合、ノード００とノード０１０が該当するノードとな
る。この該当ノードは、以下のルールで定められる。

【００２１】１．あるノードの直下の子ノードの該当金
額の合計が、そのノードの該当金額となる。 ２．あるノードが一度使われた後は、そのノードと連結
するすべての親（先祖）ノードおよび子（子孫）ノード
は利用してはならない。 ３．各ノードは、一回以上使用してはならない。

【００２２】このルールに従うと、先の例では、ノード
００とノード０１０が使用された後で、使用できるノー
ドは、ノード０１１（２５円）のみである。つまり、上
のルールに従うことにより、使用できる合計金額は、額
面通り１００円となると共に、２５円単位でどのような
使い方でもできる。この階層的構造テーブルは、電子現
金の額面金額を大きくし、さらに利用単位金額を小さく
すれば、その階層が増えることになる。例えば、額面が
１００万円で、１円単位で利用できる電子現金の場合、
その階層は、およそ２０となる（ｌｏｇ₂ １０００００
０≒２０）。

【００２３】次に、利用者側装置と小売店側装置の間の
交信例を図８に示す。小売店側装置３００と利用者側装
置２００の電子現金利用手続の処理構成をそれぞれ図
９，１０に示す。多くの場合、利用金額に相当する階層
構造テーブルの該当ノードは複数あるが、各ノードに対
応する処理は、基本的に同じアルゴリズムで行われ、そ
れぞれのノードの処理を並列に行うことができるため、
以下では、１つのノードに対する処理のみを説明する。
この該当ノードをノードｊ₁ ｊ₂ …ｊ_t （ｊ _L ∈｛０，
１｝）とする（図７Ｂ）。また、以下では、ｉ＝１，
２，…，Ｋ／２とする。

【００２４】なお、以下の手順で用いる記号の意味をこ
こでまとめて記しておく。

【００２５】

【数１】 なお、以上において、（／）は、ヤコビ記号を意味す
る。ヤコビ記号の効率的計算法は、例えば、藤崎、森
田、山本著の「数論への出発（数学セミナー増刊）」
（日本評論社）の１６６頁に記されている。 ステップ１ 利用者側装置２００は、まず、Ｃ，Ｎ_i よ
りランダム関数Γ演算器２２０を用いて、Γ_i,0 を求め
る。

【００２６】

【数２】 次に、Ｃと利用金額と対応するノードｊ₁ …ｊ_t とＮ_i
をランダム関数Ω演算器２２１に入力し、Ω _i,j1...jL
（Ｌ＝１，…，ｔ）を生成する。

【００２７】

【数３】 さらに、Γ_i,0 ，Ω _i,j1...jL （Ｌ＝１，…，ｔ），Ｎ
_i より剰余べき乗演算器２２２、剰余乗算器２２３、剰
余べき乗根演算器２２４を用いて、利用金額に対応する
ノードに対する値の剰余べき乗根Ｘ_i,j1...jt を求め
る。ここでＮ_i はウィリアムズ数である。

【００２８】

【数４】 ステップ２ 利用者側装置２００は、ｂ，（Ｉ_i ，
Ｎ_i ，Ｘ_i,j1...jt ）（ｉ＝１，…，Ｋ／２）及び
（Ｂ，Ｃ）を小売店側装置３００に送る。 ステップ３ 小売店側装置３００は、連結器３０４、一
方向ハッシュ関数演算器３０５、剰余乗算器３０９、Ｒ
ＳＡ暗号器３１０、比較器３１１を用いて、公開鍵（e
A, nA) によりＢのＩ_i ‖Ｎ_i に対する署名の正当性を
（つまり、Ｂ^eA＝（Πｇ（Ｉ_i ‖Ｎ_i ））mod nAが成立
するかどうかを、Πはｉ＝１からＫ／２まで）、また、
連結器３１２、一方向ハッシュ関数演算器３１３、ＲＳ
Ａ暗号器３１４、比較器３１５を用いて公開鍵（eA′,n
A ′) によりＣのＢ‖ｂに対する署名の正当性を（つま
り、Ｃ^eA' ＝（ｇ（Ｂ‖ｂ））mod nA′が成立するかど
うかを）検査する。この検査が、不合格のときは以降の
処理を中止する。

【００２９】ステップ４ 小売店側装置３００は、ヤコ
ビ記号演算器３１６及び比較器３１７を用いて、Ｘ
_i,j1...jt が以下の関係を満足するかどうかを検証す
る。この検査が、不合格のときは以降の処理を中止す
る。 （Ｘ_i,j1...jt ／Ｎ_i ）＝−１， 次に、Ｃ，Ｎ_i よりランダム関数Γ演算器３２４を用い
て、

【００３０】

【数５】 を求める。また、Ｃ，ｊ_1...ｊ_t ，Ｎ_i をランダム関数
Ω演算器３２１に入力し、Ω _i,j1...jL （Ｌ＝１，…，
ｔ）を生成する。

【００３１】

【数６】 さらに、

【００３２】

【数７】 より剰余べき乗演算器３２２、剰余乗算器３２３、剰余
除算器３１９、比較器３２０を用いて、Ｘ_i,j1...jt が
以下の関係を満足するかどうかを検証する。この検査
が、不合格のときは以降の処理を中止する。

【００３３】

【数８】 ここで、ｄ_i は、±１，±２のいずれかの値である。ス
テップ５ 小売店側装置は、乱数発生器３０１より取り
出した値Ｅ_i ∈｛０，１｝（ｉ＝１，…，Ｋ／２）を利
用者側装置に質問情報として送付する。ステップ６ 利
用者側装置は、ランダム関数Λ演算器２２５を用いて、
Ｃ，ｊ_1...ｊ_t ，Ｎ_i よりΛ_i,j1...jt を計算する。

【００３４】

【数９】 次に、剰余平方根演算器２２６を用いて、Λ_i,j1...jt
及びＥ_i より、Ｙ_i,j1...jt を計算する。

【００３５】

【数１０】 利用者側装置は、Ｙ_i,j1...jt を小売店側装置に送る。 ステップ７ 小売店は、ヤコビ記号演算器３２５及び比
較器３２６を用いて、Ｙ_i,j1...jt が以下の関係を満足
するかどうかを検証する。この検査が、不合格のときは
以降の処理を中止する。

【００３６】（Ｙ_i,j1...jt ／Ｎ_i ）＝（−１）^Ei 次に、Ｃ，ｊ₁ …ｊ_t ，Ｎ_i をランダム関数Λ演算器３
２８に入力し、さらにその出力及びＹ_i,j1...jt ，Ｎ_i
に対し、剰余べき乗演算器３２７、剰余除算器３２９、
比較器３３０を用いて、以下の関係を満足するかどうか
を検証する。

【００３７】

【数１１】 ここで、ｄ′_i は、±１，±２のいずれかの値である。
この検査に合格すれば、小売店側装置は、その電子現金
のノードｊ₁ …ｊ_t に該当する金額の支払を正当なもの
とみなし、それを受け取る。 （４）決済 最後に、小売店と銀行の間の決済方法について説明す
る。小売店側装置３００は、利用者側装置２００との電
子現金利用時の交信履歴Ｈを銀行側装置に提出し、銀行
側装置から該当する金額の支払いを受ける。銀行側装置
は、Ｈの正当性を検査し、検査に合格すれば、Ｈを記憶
して、小売店の口座へ該当する金額を払い込む。銀行側
装置は、電子現金の不正利用を見つけると、Ｈを取り出
して、それらの情報より不正者のＩＤを確定する。つま
り第２１段落に記載されたルール２．に違反した場合、
子ノードに対応するＸを２乗してゆき、親ノードの平方
根でヤコビ記号が１となるものを得ることと、親ノード
に対応するＸは、親ノードの平方根でヤコビ記号が−１
となるものであることから、ヤコビ記号が１となる平方
根と−１となる平方根が揃ったことにより、Ｎを素因数
分解することができ、Ｎの素因数を用いて、Ｉから利用
者の秘密情報Ｓを計算でき、またルール３．に違反した
場合、Ｅはランダムに１か−１かが指定されたものであ
り、ＹはΛの平方根でヤコビ記号がＥにより指定された
ものだから、同じΛを用いてＹを生成すると、１／２の
確率でヤコビ記号が１と−１となる平方根が揃うことに
なり、Ｋ／２個の添字ｉについて手続きを実行すれば、
ヤコビ記号が１となる平方根と−１となる平方根が圧倒
的確率で揃うことにより、Ｎを素因数分解することがで
き、Ｎの素因数を用いて、Ｉから利用者の秘密情報Ｓを
計算できる。

【００３８】

【発明の効果】この発明は、Ｃｈａｕｍらの方式と同様
に、利用者のプライバシィを保障でき、かつ不正使用
（二重使用）を検出できる、という特徴を備えている。
さらに、この発明では、一回発行された電子現金を発行
時に決められた額になるまで、何回も分割して利用でき
る。この発明は、さらに、電子現金を利用許可証と電子
現金とに分割することにより利用許可証を使用すること
なく、電子現金を発行する場合と比較して現金発行時の
処理手順を図５に示すように効率化出来ている。

【図面の簡単な説明】

【図１】この発明が適用されるシステム例を示すブロッ
ク図。

【図２】利用許可証発行手続における交信例を示す図。

【図３】利用者側装置における利用許可証発行処理の構
成を示すブッロク図。

【図４】銀行側装置における利用許可証発行処理の構成
を示すブッロク図。

【図５】電子現金発行手順における交信例を示す図。

【図６】Ａ，Ｂはそれぞれ電子現金発行処理における利
用者側装置及び銀行側装置の各構成を示すブロック図。

【図７】電子現金の階層的構造テーブルを示す図。

【図８】電子現金の利用手続における交信例を示す図。

【図９】利用者側装置における電子現金利用処理の構成
を示すブロック図。

【図１０】小売店側装置における電子現金利用処理の構
成を示すブロック図。

Claims (2)

(57)【特許請求の範囲】
1. 【請求項１】 電子現金を発行する機関（以下、銀行と
   いう）が有する装置（以下、銀行側装置という）と、 電子現金を発行される者（以下、利用者という）が有す
   る装置（以下、利用者側装置という）と、 利用者より電子現金を受領する機関（以下、小売店とい
   う）が有する装置（以下、小売店側装置という）による
   電子現金実施方法において、 利用者が銀行に新たに口座を開く際には、 利用者側装置が、利用者の識別情報を含んだ秘密情報
   （以下、利用者情報という）を乱数で攪乱したＫ組（Ｋ
   は２以上の整数）のブラインド情報を作成し、 銀行側装置が、そのブラインド情報の中のＬ組（Ｌ＜
   Ｋ）の情報の開示を求め、開示された情報が正しく作成
   されていれば、残りの未開示のＫ−Ｌ組の情報に対しブ
   ラインド署名を施して利用者側装置に送信し、 利用者側装置が、銀行側装置から受信したブラインド署
   名情報から、利用者情に対して銀行の署名が施された情
   報を計算して利用許可証とし、 利用者が、ある金額の電子現金を銀行より引き出す際に
   は、 利用者側装置が、秘密の乱数より認証用情報を生成し、
   その認証用情報と利用許可証より、引き出す電子現金の
   金額に相当するブラインド情報を生成して銀行側装置に
   送信し、 銀行側装置が、そのブラインド情報に、引き出し金額に
   相当するブラインド署名を施して利用者側装置に送信
   し、 利用者側装置が、銀行から受信したブラインド署名情報
   から、認証用情報と利用許可証に対して引き出し金額に
   相当する銀行の署名が施された情報を計算して電子現金
   とし、 利用者が、小売店でその電子現金を使用する際には、 利用者側装置が、電子現金の利用残高以内の利用額を定
   めた後に、電子現金の利用最小単位に対応した階層構造
   テーブルを定め、さらに、そのテーブル中の利用金額に
   対応するノードを定め、小売店側装置に、利用許可証及
   び電子現金を提示すると共に、該当ノードに対応する値
   の剰余べき乗根を送り、 小売店側装置が、その正当性を検証した後に、正しけれ
   ば、利用者側装置に質問情報を送り、 利用者側装置が、小売店側装置からの質問情報に対応し
   た応答情報を階層構造テーブル中の該当ノードに対応す
   る値の剰余べき乗根を求めることにより生成して小売店
   側装置に提示し、 小売店側装置が、小売店側装置の質問情報に対する利用
   者側装置の応答情報の正当性を確認し、それが正しけれ
   ば、該当利用金額の電子現金による支払いを認めること
   を特徴とする電子現金実施方法。
2. 【請求項２】 電子現金を発行する機関（以下、銀行と
   いう）が有する装置（以下、銀行側装置という）と、 電子現金を発行される者（以下、利用者という）が有す
   る装置（以下、利用者側装置という）と、 利用者より電子現金を受領して銀行との間で決済を行う
   機関（以下、小売店という）が有する装置（以下、小売
   店側装置という）による電子現金実施方法において、 請求項１の発明により、小売店が受領した電子現金を、
   後日、銀行で決済する際には、 小売店側装置が、決済のために銀行側装置に利用者側装
   置と小売店側装置の間の相互通信文を送信し、 銀行側装置が、それら相互通信文の正当性を検査して、
   合格の時にはその情報をメモリに記憶し、同じ電子現金
   が不正に使用されると、利用許可証を生成するときに用
   いた利用者の秘密情報を算出することを特徴とする電子
   現金実施方法。