JP2631781B2

JP2631781B2 - 電子現金実施方法

Info

Publication number: JP2631781B2
Application number: JP17013191A
Authority: JP
Inventors: 龍明岡本; 和夫太田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1991-07-10
Filing date: 1991-07-10
Publication date: 1997-07-16
Anticipated expiration: 2012-07-16
Also published as: JPH0520344A

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、電子現金を発行する
銀行と、電子現金を使用する利用者と、利用者から電子
現金を受領して銀行との間で決済を行う小売店とにより
電気通信システムを利用して構成され、電子的な現金を
実現する電子現金実施方法に関する。

【０００２】

【従来の技術】電気通信システムを用いた電子資金移動
が普及しつつある。一般に換金可能な証書（手形、小切
手など）は、証書の象徴的機能（証書を保持している人
に対して、証書に記載してある権利が供与されること）
を備えている。証書を電気通信システムで取り扱う場
合、証書はディジタル化されたデータであり、容易にコ
ピーを作成して複数回の換金が可能となる。プリペイド
カードのような電子的現金を実現するときにも、この問
題が生じる。すなわち、プリペイドカードをコピーする
ことで、不正に複数回の換金あるいは商品の購入が可能
となる。一方、クレジットカードでは、このような２重
使用の危険性はほとんどないが、その代わりに、利用者
の利用履歴がすべてカード会社に知られてしまうという
欠点がある（つまり、プライバシが保証されていな
い）。これら問題の解決策として、計算機能を備えたカ
ードで換金時にカード読み取り装置とカードとの間のデ
ータのやりとりを工夫することで、プライバシを保証
し、かつカードの２重使用を検出する方式が提案されて
いる。たとえば、Ｃｈａｕｍ，Ｆｉａｔ，Ｎａｏｒ：
“ＵｎｔｒａｃｅａｂｌｅＥｌｅｃｔｒｉｃＣａｓ
ｈ”，Ｐｒｏｃ．ｏｆＣＲＹＰＴＯ′８８がある。し
かしながら、Ｃｈａｕｍ等の方式では、電子現金を他の
利用者に譲渡することはできない、さらに一回発行され
た電子現金を分割して利用する（例えば、１万円の電子
現金を合計利用額が１万円になるまで何回も利用する）
ことはできない。また、Ｃｈａｕｍ等の方式では、一回
毎の電子現金発行時に、銀行と利用者の間でかなりの量
の通信と処理を行う必要がある。

【０００３】

【発明が解決しようとする課題】この発明の目的は、プ
ライバシを保証し、いかなる結託による不正使用をも防
ぐ電子現金実施方法において、他の利用者に電子現金を
譲渡可能とし、かつ一回発行された電子現金を発行時に
決められた額になるまで、何回も分割して利用でき、し
かも電子現金発行時の処理手順を効率化するような電子
現金実施方法を提供することにある。

【０００４】

【課題を解決するための手段】請求項１の発明によれば
電子現金を発行する機関（以下、銀行と呼ぶ）が有する
装置（以下、銀行側装置という）と、電子現金を譲渡す
る者（以下、利用者１という）が有する装置（以下、利
用者１側装置という）と、電子現金を譲渡される者（以
下、利用者２という）が有する装置（以下、利用者２側
装置という）による電子現金実施方法において、利用者
１及び２が銀行に新たに口座を開く際には、利用者１及
び２側装置が、それぞれ利用者の識別情報を含んだ秘密
情報（以下、利用者情報という）より乱数で攪乱したＫ
組（Ｋは２以上の整数）のブラインド情報を作成し、銀
行側装置が、そのブラインド情報の中でＬ組（Ｌ＜Ｋ）
の情報の開示を求め、開示された情報が正しく作成され
ていれば、残りの未開示のＫ−Ｌ組の情報に対しブライ
ンド署名を施して利用者１及び２側装置に送信し、利用
者１及び２側装置は、銀行側装置から受信したブライン
ド署名情報から、利用者情報に対して銀行の署名が施さ
れた情報を計算して、利用者１及び２の利用許可証と
し、利用者１が、ある金額の電子現金を銀行より引き出
す際には、利用者１側装置が、秘密の乱数より認証用情
報を生成し、その認証用情報と利用者１の利用許可証よ
り、引き出す電子現金の金額に相当するブラインド情報
を作成して銀行側装置に送信し、銀行側装置が、そのブ
ラインド情報に、引き出し金額に相当するブラインド署
名を施して利用者１側装置に送信し、利用者１側装置
が、銀行側装置から受信したブラインド署名情報から、
認証用情報と利用者１の利用許可証に対して引き出し金
額に相当する銀行の署名が施された情報を計算して電子
現金とし、利用者１が利用者２に電子現金を譲渡する際
には、利用者１側装置が、当該電子現金の利用残高以内
の譲渡額を定めた後に、電子現金の利用最小単位に対応
した階層構造テーブルを定め、さらに、そのテーブル中
の譲渡金額に対応するノードを定め、上記利用者２側装
置に、利用者１の利用許可証及び電子現金を提示すると
共に、譲渡金額該当ノードに対応する値の剰余べき乗根
を送り、利用者２側装置は、その正当性を検証すると共
に、利用者１側装置に質問情報を送り、利用者１側装置
は、利用者２側装置からの質問情報に対応した応答情報
を階層構造テーブル中の該当ノードに対応する値の剰余
べき乗根を求めることにより生成して利用者２側装置に
提示し、利用者２側装置は、利用者２側装置の質問情報
に対する利用者１側装置の応答情報の正当性を確認し、
それが正しければ、該当金額の電子現金による譲渡を認
める。請求項２の発明によれば電子現金を発行する機関
（以下、銀行という）が有する装置（以下、銀行側装置
という）と、電子現金を譲渡する者（以下、利用者１と
いう）が有する装置（以下、利用者１側装置という）
と、電子現金を譲渡される者（以下、利用者２という）
が有する装置（以下、利用者２側装置という）と、利用
者２から電子現金を受領する機関（以下、小売店とい
う）が有する装置（以下、小売店側装置という）による
電子現金実施方法において、請求項１の発明により、利
用者１より電子現金を譲渡された利用者２が、その譲渡
された電子現金を小売店で使用する際には、利用者２側
装置が、譲渡金額以内の利用額を定めた後に、譲渡され
た電子現金に対応した階層構造テーブルのノードの中の
利用金額に対応するノードを定め、小売店側装置に、利
用者２の利用許可証及び譲渡された電子現金を提示する
と共に、該当ノードに対応する値の剰余べき乗根を送
り、小売店側装置はその正当性を検証すると共に、利用
者２側装置に質問情報を送り、利用者２側装置は小売店
側装置からの質問情報に対応した応答情報を階層構造テ
ーブル中の該当ノードに対応する値の剰余べき乗根を求
めることにより生成して小売店側装置に提示し、小売店
側装置は、小売店側装置の質問情報に対する利用者２側
装置の応答情報の正当性を確認し、それが正しければ、
該当利用金額の電子現金による支払いを認める。

【０００５】請求項３の発明によれば電子現金を発行す
る機関（以下、銀行という）が有する装置（以下、銀行
側装置という）と、電子現金を譲渡する者（以下、利用
者１という）が有する装置（以下、利用者１側装置とい
う）と、電子現金を譲渡される者（以下、利用者２とい
う）が有する装置（以下、利用者２側装置という）と、
利用者２から電子現金を受領して銀行との間で決済を行
う機関（以下、小売店という）が有する装置（以下、小
売店側装置という）による電子現金実施方法において、
請求項２の発明により、小売店が受領した電子現金を、
後日、銀行で決済する際には、小売店側装置が、決済の
ために銀行側装置に利用者２側装置と小売店側装置の間
の相互通信文を送信し、銀行側装置が、それら相互通信
文の正当性を検査して、合格のときにはその情報をメモ
リに記憶し、その電子現金が不正に使用されると、利用
許可証を生成するときに用いた利用者の秘密情報を算出
する。

【０００６】上記利用形態における不正使用を検出する
ため、上述のように譲渡元利用者と譲渡先利用者との確
認、また利用者と小売店との確認で剰余べき乗根を利用
することは、例えばウィリアムズ数と呼ばれる合成数を
法とする偶数べき乗根を利用することであり、ここで
は、２つの異なるタイプの偶数べき乗根を用いて、法で
ある合成数の素因数分解ができるという事実が重要な役
割をする。つまり、利用者が不正使用をすれば、法の素
因数分解を通じて、利用者の秘密情報である利用者のＩ
Ｄが露見するしかけになっている。

【０００７】

【実施例】図１Ａにこの発明が適用されるシステムを示
し、電子現金を発行する機関（以下、銀行という）の装
置（以下、銀行側装置という）１００と、電子現金を譲
渡する者（以下、利用者１という）の装置（以下、利用
者１側装置という）４００と、電子現金を譲渡される者
（以下、利用者２という）の装置（以下、利用者２側装
置という）５００と、利用者２から電子現金を受領する
機関（以下、小売店という）の装置（以下、小売店側装
置という）３００とが通信回線等を介して接続されてい
る。利用者１と利用者２とに共通の処理手順については
図１Ｂに示すように、利用者側装置２００の処理手順と
して示す。

【０００８】（１）利用許可証の発行処理まず、銀行で口座を新たに開設した利用者（利用者１，
利用者２）が、利用許可証を銀行より発行してもらう場
合について説明する。利用者は利用者の識別情報ＩＤｐ
（利用者の口座番号など）を含んだ秘密情報（利用者情
報）より乱数で攪乱したＫ組のブラインド情報を作成
し、銀行は、そのブラインド情報の中でＬ組（Ｌ＜Ｋ）
の情報の開示を求め、開示された情報が正しく作成され
ていれば、残りの未開示の（Ｋ−Ｌ）組の情報に対しブ
ラインド署名を作成し利用者に送信し、利用者は、銀行
から受信したブラインド署名から利用者情報に対する銀
行の署名を計算して、この利用者情報とその銀行署名と
の対を利用許可証とする。

【０００９】銀行は、利用許可証に対応する情報とし
て、ディジタル署名で用いるＲＳＡ暗号の秘密鍵（dA,
nA）及び公開鍵（eA, nA）の対を作成しておき公開鍵e
A, nAを公開しておく。一方、利用者は、ディジタル署
名で用いるＲＳＡ暗号の秘密鍵（dP, nP）及び公開鍵
（eP, nP）の対を作成しておき、（eP, nP）をＩＤｐと
対にして公開しておく。

【００１０】利用者が銀行から利用認可証を発行しても
らう手順は、以下の通り。銀行側装置と利用者側装置の
間の交信例を図２に示す。利用者側装置２００の利用許
可証発行処理の構成を図３に、銀行側装置のそれを図４
にそれぞれ示す。以下では、ｉ＝１，２，…，Ｋとす
る。ステップ１利用者側装置は、乱数発生器２０１を用い
て乱数ａ_i,ｒ_iを生成して、ＩＤｐと共に連結器２０４
に入力し、その出力ＩＤｐ‖ａ_iを一方向ハッシュ関数
演算器２０５に入力し、さらにその出力 g（ＩＤｐ‖ａ
_i）を利用者の署名用秘密鍵（dP_,nP）と共にＲＳＡ署
名器２０６に入力し、（g （ＩＤｐ‖ａ_i））^dPmod nP
を求める。

【００１１】ステップ２署名器２０６の出力をＩＤ_P
‖ａ_iと共に連結器２０７に入力して、Ｓ_i＝ＩＤ_P‖
ａ_i‖（ g（ＩＤ_P‖ａ_i））^dPmod nPを求める。さら
に、Ｓ_iを分割器２０８に入力し、Ｓ_i＝Ｓ_1,i‖Ｓ
_2,iになるようなＳ_1,iとＳ_2,iを求める。ステップ３素数生成器２０２を用いて、Ｐ_i≡３（mo
d ８）及びＱ_i≡７（mod ８）を満足する２つの素数Ｐ
_i,Ｑ_iを生成して、乗算器２０３を用いてその積Ｎ_i＝
Ｐ_iＱ_iを求める。

【００１２】ステップ４Ｓ_1,i及びＳ_2,iをＮ_iと共
に剰余べき乗演算器２０９及び２１１にそれぞれ入力
し、Ｉ_1,i＝（Ｓ_1,i)²mod Ｎ_iとＩ₂,_i＝（Ｓ₂,_i）
² modＮ_iを求め、それらを連結器２１０に入力しＩ_i
＝Ｉ_1,i‖Ｉ_2,iを計算する。

【００１３】ステップ５Ｎ_i,Ｉ_iを連結器２１２に入
力し、その出力Ｉ_i‖Ｎ_iを一方向ハッシュ関数演算器
２１３に入力し、 g（Ｉ_i‖Ｎ_i）を得る。一方、ｒ_i
を銀行の公開鍵（eA, nA）と共にＲＳＡ暗号器２１５に
入力し、（ｒ_i）^eAmod nAを求める。次に、それら出力
を剰余乗算器２１４に入力し、ブラインド情報Ｗ_i＝
（ｒ_i）^eA g（Ｉ_i‖Ｎ_i）mod nAを求めて、Ｗ_i（ｉ
＝１，２，…，Ｋ）を銀行側装置に送信する。

【００１４】ステップ６次に、銀行側装置は、利用者
側装置に、そのうちのＫ／２組のａ_i,Ｐ_i,Ｑ_i（ g（Ｉ
Ｄｐ‖ａ_i））^dPmod ｎｐ，ＩＤｐ，ｒ_iを開示させ
て、利用者側装置がステップ１からステップ５を正しく
実行していることを確認する。このため、銀行側装置１
００は、１からＫの中からランダムにＫ／２個を選び、
それを開示要求として利用者側装置に送信する（ここで
は、表記を簡単にするため、Ｋ／２＋１，Ｋ／２＋２，
…，Ｋが開示指定されたと仮定して説明する）。Ｋ／２
個でなく、Ｋの一部であればよいが、Ｋ／２とすると処
理効率がよい。

【００１５】ステップ７利用者側装置２００は、銀行
側装置から開示要求を受信すると、銀行側装置の指示す
るＫ／２組のａ_i,Ｐ_i,Ｑ_i,( g ( ＩＤｐ‖ａ_i））^dPmo
d ｎｐ，ＩＤｐ，ｒ_iを開示する。銀行側装置は、ｉが
開示対象の時、次の手順を行う。ステップ８利用者側装置２００より受信したａ_i,ＩＤ
ｐより( g ( ＩＤｐ‖ａ_i））^dPmod nPの署名の正当性
を利用者の公開鍵（eP_,nP）を用いて連結器１０４でａ
_iとＩＤｐを連結し、それを一方向ハッシュ関数演算器
１０５へ供給し、一方( g ( ＩＤｐ‖ａ_i）） ^dPmod nP
とnP,eP とをＲＳＡ暗号器１０７に入力して暗号化しこ
の結果と演算器１０５の出力とを比較器１１１で検証す
る。ここで、検証に合格しなければ処理を中断する。

【００１６】ステップ９利用者側装置２００より受信
したａ_i,Ｐ_i,Ｑ_i,( g ( ＩＤｐ‖ａ_i）） ^dPmod ｎP Ｉ
Ｄｐから、乗算器１０３を用いてＮ_i＝Ｐ_i,Ｑ_iを求
め、さらに、連結器１０８でａ_i，ＩＤｐを連結してＳ
_iとし、Ｓ_iを分割器１０９で分割し、それぞれ剰余べ
き乗演算器１１０，１１２でＮ_iと剰余べき演算し、そ
の結果を連結器１１１で連結してＩ_iを求める。

【００１７】ステップ１０上で計算したＩ_i,Ｎ_iを連
結器１１３で連結し、さらに一方向ハッシュ関数演算器
１１４に供給し、受信したｒ_iと公開鍵eA_,nAをＲＳＡ
暗号器１１７へ供給し、その出力と演算器１１４の出力
とを剰余乗算器１１５へ供給してＷ′_i＝（ｒ_i）^eA g
(Ｉ_i‖Ｎ_i）mod nAを計算する。ステップ１１前に受信したＷ_iの値とＷ′_iの値を比
較器１１６で比較し、一致すれば合格とし、不合格の場
合、処理を中断する。銀行側装置は、Ｋ／２個のすべて
のｉについて上記の検査を行い、いずれかの検査に不合
格のときには、以降の処理を中止する。すべての検査に
合格のときには、銀行側装置は、開示対象でないｉ＝
１，…，Ｋ／２に対して、次の手順でブラインド署名を
行う。

【００１８】ステップ１２剰余乗算器１１８とＲＳＡ
署名作成器１１９を用いて、銀行の署名用秘密鍵（nA，
dA）とＷ_iとからＷ＝（Π Ｗ_i）^dAmod nAを求め、つ
まりブラインド署名を作り、このＷを利用者側装置に送
信する。ステップ１３利用者側装置は、銀行側装置からＷを受
信すると、ｒ_iと公開鍵（eA，nA）から、剰余乗算器２
１６、剰余除算器２１７を用いて利用許可証Ｂ＝Ｗ／
（Πｒ_i）mod nA＝（Π g (Ｉ_i‖Ｎ_i）） ^dAmod nA．
を計算する。Πはｉ＝１からＫ／２までである。

【００１９】（２）電子現金の発行処理次に、利用者が銀行から電子現金を発行してもらう手順
を示す。まず、銀行は、電子現金の金額に対応する情報
として、ＲＳＡディジタル署名で用いる秘密鍵（dA′n
A′）及び公開鍵（eA′nA′）の対を作成しておき、（e
A′nA′）をその金額と共に公開しておく。ここで、銀
行側装置と利用者側装置の間の交信例を図５に示す。利
用者側装置２００及び銀行側装置１００の各電子現金発
行処理の構成を図６Ａ，Ｂにそれぞれ示す。以下では、
ｉ＝１，２，…，Ｋ／２とする。

【００２０】ステップ１乱数発生器２０１を用いて生
成した乱数ｂ，ｒと利用認可証Ｂ及び電子現金の発行金
額に相当する銀行の公開鍵（eA′，nA′）からｒとeA′
nA′とをＲＳＡ暗号器２１５へ供給して認証用情報を生
成し、これとｈ，Ｂとから連結器２０４、一方向ハッシ
ュ関数演算器２０５、剰余乗算器２１４を用いて、Ｚ＝ｒ^eA′ｇ（Ｂ‖ｂ）mod nA′ を計算して引き出す電子現金の金額に相当するブライン
ド情報を得る。

【００２１】ステップ２このＺを電子現金の金額情報
と共に銀行側装置へ送る。ステップ３Ｚを受信した銀行側装置は、Ｚと電子現金
の金額に対応する秘密鍵（dA′nA′）とをＲＳＡ署名生
成器１１９に入力し、Ｚ′＝Ｚ^dA ′mod nA′を求め、つ
まり引き出し金額に相当するブラインド署名を作成して
それを利用者側装置に送付する。同時に、利用者の口座
から該当する金額を引き落とすか、利用者から該当する
金額を受領する。

【００２２】ステップ４銀行側装置よりＺ′を受信し
た利用者側装置は、乱数ｒと銀行より受信した情報Ｚ′
及び公開鍵nA′剰余除算器２１７に入力し、認証用情報
及び利用許可証に対する銀行の署名Ｃ＝Ｚ′／ｒmod nA′＝（ g (Ｂ‖ｂ）） ^dA′mod nA′ を求める。ここで、Ｃが電子現金に相当する。

【００２３】（３）電子現金の支払次に、利用者が、電子現金を用いて小売店で支払いをす
る場合について説明する。なお、電子現金を他の利用者
へ譲渡する場合、譲渡された電子現金を用いて小売店で
支払いをする場合については後で説明し、ここでは銀行
から発行されたまゝの電子現金を用いた支払い方法につ
いて述べる。まず、電子現金の金額及びその使用最小単
位（例えば、１０円単位等）に対応して、階層的構造テ
ーブルが定められる。例えば、２５円単位で、１００円
の紙幣を利用する場合の階層的構造テーブルを図７Ａに
示す。ここで、例えば、７５円を使う場合、ノード００
とノード０１０が該当するノードとなる。この該当ノー
ドは、以下のルールで定められる。

【００２４】１．あるノードの直下の子ノードの該当金
額の合計が、そのノードの該当金額となる。２．あるノードが一度使われた後は、そのノードと連結
するすべての親（先祖）ノード及び子（子孫）ノードは
利用してはならない。３．各ノードは、一回以上使用してはならない。

【００２５】このルールに従うと、先の例では、ノード
００とノード０１０が使用された後で、使用できるノー
ドは、ノード０１１（２５円）のみである。つまり、上
のルールに従うことにより、使用できる合計金額は、額
面通り１００円となると共に、２５円単位でどのような
使い方でもできる。この階層的構造テーブルは、電子現
金の額面金額を大きくし、さらに利用単位金額を小さく
すれば、その階層が増えることになる。例えば、額面が
１００万円で、１円単位で利用できる電子現金の場合、
その階層は、およそ２０となる（ｌｏｇ₂ １０００００
０≒２０）。

【００２６】次に、利用者側装置と小売店側装置の間の
交信例を図８に示す。小売店側装置３００と利用者側装
置２００の電子現金利用手続の処理構成をそれぞれ図
９，１０に示す。多くの場合、利用金額に相当する階層
構造テーブルの該当ノードは複数あるが、各ノードに対
応する処理は、基本的に同じアルゴリズムで行われ、そ
れぞれのノードの処理を並列に行うことができるため、
以下では、１つのノードに対する処理のみを説明する。
この該当ノードをノードｊ₁ ｊ₂・・・ｊ_t(ｊ _L∈｛０，
１｝）とする（図７Ｂ）。また、以下では、ｉ＝１，
２，・・・，Ｋ／２とする。

【００２７】なお、以下の手順で用いる記号の意味をこ
こでまとめて記しておく。

【００２８】

【数１】なお、以上において、（／）は、ヤコビ記号を意味す
る。ヤコビ記号の効率的計算法は、例えば、藤崎、森
田、山本著の「数論への出発（数学セミナー増刊）」
（日本評論社）の１６６頁に記されている。ステップ１利用者側装置２００は、まず、Ｃ，Ｎ_iよ
りランダム関数Γ演算器２２０を用いて、Γ_i,0 を求め
る。

【００２９】

【数２】次に、Ｃと利用金額と対応するノードｊ₁ …ｊ_tとＮ_i
をランダム関数Ω演算器２２１に入力し、Ω _i,j1...jL
（Ｌ＝１，…，ｔ）を生成する。

【００３０】

【数３】さらに、Γ_i,0 ，Ω _i,j1...jL（Ｌ＝１，…，ｔ），Ｎ
_iより剰余べき乗演算器２２２、剰余乗算器２２３、剰
余べき乗根演算器２２４を用いて、利用金額に対応する
ノードに対する値の剰余べき乗根Ｘ_i,j1...jtを求め
る。ここでＮ_iはウィリアムズ数である。

【００３１】

【数４】ステップ２利用者側装置２００は、（Ｉ_i，Ｎ_i，Ｘ
_i,j1...jt）（ｉ＝１，…，Ｋ／２）及び（Ｂ，Ｃ），
ｂを小売店側装置３００に送る。ステップ３小売店側装置３００は、連結器３０４、一
方向ハッシュ関数演算器３０５、剰余乗算器３０９、Ｒ
ＳＡ暗号器３１０、比較器３１１を用いて、公開鍵（e
A, nA) によりＢのＩ_i‖Ｎ_iに対する署名の正当性を
（つまり、Ｂ^eA＝（Πｇ（Ｉ_i‖Ｎ_i））mod nAが成立
するかどうかを、Πはｉ＝１からＫ／２まで）、また、
連結器３１２、一方向ハッシュ関数演算器３１３、ＲＳ
Ａ暗号器３１４、比較器３１５を用いて公開鍵（eA′,n
A ′) によりＣのＢ‖ｂに対する署名の正当性を（つま
り、Ｃ^eA'＝（ｇ（Ｂ‖ｂ））mod nA′が成立するかど
うかを）検査する。この検査が、不合格のときは以降の
処理を中止する。

【００３２】ステップ４小売店側装置３００は、ヤコ
ビ記号演算器３１６及び比較器３１７を用いて、Ｘ
_i,j1...jtが以下の関係を満足するかどうかを検証す
る。この検査が、不合格のときは以降の処理を中止す
る。（Ｘ_i,j1...jt／Ｎ_i）＝−１，次に、Ｃ，Ｎ_iよりランダム関数Γ演算器３２４を用い
て、

【００３３】

【数５】を求める。また、Ｃ，ｊ_1...ｊ_t，Ｎ_iをランダム関数
Ω演算器３２１に入力し、Ω _i,j1...jL（Ｌ＝１，…，
ｔ）を生成する。

【００３４】

【数６】さらに、

【００３５】

【数７】より剰余べき乗演算器３２２、剰余乗算器３２３、剰余
除算器３１９、比較器３２０を用いて、Ｘ_i,j1...jtが
以下の関係を満足するかどうかを検証する。この検査
が、不合格のときは以降の処理を中止する。

【００３６】

【数８】ここで、ｄ_iは、±１，±２のいずれかの値である。ステップ５小売店側装置は、乱数発生器３０１より取
り出した値Ｅ_i∈｛０，１｝（ｉ＝１，…，Ｋ／２）を
利用者側装置に質問情報として送付する。ステップ６利用者側装置は、ランダム関数Λ演算器２
２５を用いて、Ｃ，ｊ_1...ｊ_t，Ｎ_iよりΛ_i,j1...jt
を計算する。

【００３７】

【数９】次に、剰余平方根演算器２２６を用いて、Λ_i,j1...jt
及びＥ_iより、Ｙ_i,j1...jtを計算する。

【００３８】

【数１０】利用者側装置は、Ｙ_i,j1...jtを小売店側装置に送る。ステップ７小売店側装置は、ヤコビ記号演算器３２５
及び比較器３２６を用いて、Ｙ_i,j1...jtが以下の関係
を満足するかどうかを検証する。この検査が、不合格の
ときは以降の処理を中止する。

【００３９】（Ｙ_i,j1...jt／Ｎ_i）＝（−１）^Ei 次に、Ｃ，ｊ₁ …ｊ_t，Ｎ_iをランダム関数Λ演算器３
２８に入力し、さらにその出力及びＹ_i,j1...jt，Ｎ_i
に対し、剰余べき乗演算器３２７、剰余除算器３２９、
比較器３３０を用いて、以下の関係を満足するかどうか
を検証する。

【００４０】

【数１１】ここで、ｄ′_iは、±１，±２のいずれかの値である。
この検査に合格すれば、小売店側装置は、その電子現金
のノードｊ₁ …ｊ_tに該当する金額の支払を正当なもの
とみなし、それを受け取る。（４）電子現金の譲渡まず、先に示したように電子現金の金額及びその使用最
小単位に対応して、階層的構造テーブルを定め、さら
に、譲渡金額に対応した階層構造テーブル中のノードを
定める。

【００４１】次に、利用者１が、利用者２に電子現金を
譲渡する場合について説明する。利用者１側装置と利用
者２側装置の間の交信例を図１１に示す。なお、以
下「′」のついた変数は利用者１側装置に関するもので
あり、「″」のついた変数は利用者２側装置に関するも
のである。また、変数の意味は、特に断らない限り、こ
れまでに定義した意味に従うものとする。ステップ１譲渡金額該当ノードをノードｊ₁ ｊ₂ …ｊ
_t（ｊ₁ ∈｛０,１｝)とする（図７Ｂ）。利用者１側装
置４００は、（３）節で述べた電子現金支払処理の利用
者側装置として、また利用者２側装置５００は、（３）
節の小売店側装置として、利用者１側装置４００が利用
者２側装置５００にノードｊ₁ ｊ₂ …ｊ_tに相当する金
額を譲渡する処理を（３）節の支払処理手順に従って実
行する。なお、多くの場合、譲渡金額に相当する階層構
造テーブルの該当ノードは、複数あるが、（３）節で示
したように、各ノードに対応する処理は、基本的に同じ
アルゴリズムで行われ、それぞれのノードの処理を並列
に行うことができる。

【００４２】ステップ２利用者１側装置４００は、以
下のような譲渡証Ｔを作成し、それを利用者２側装置５
００に渡す。Ｔ＝(＜ｇ(Ｃ‖j₁j₂ …j_t‖…‖j′₁ j′₂ …j′_t′‖Ｂ″)＞_QR)^1/2modＮ₁ ′ここで、ｊ₁ ｊ₂ …ｊ_t‖…‖j′₁j′₂…j′_t′は、
譲渡金額に対応する全ノードを表現したものである。

【００４３】ステップ３利用者２側装置５００は、Ｔ
の正当性を確認した後に、上記手順（ステップ１，２）
の履歴Ｈ′を譲渡された電子現金として保持する。（５）譲渡された電子現金による支払い次に、利用者２側装置５００が、譲渡された電子現金を
用いて、小売店側装置３００で支払いをする手順を説明
する。

【００４４】まず、先に示したように電子現金の金額及
びその使用最小単位に対応して、階層的構造テーブルを
定め、さらに、譲渡された電子現金に対応した階層構造
テーブル中のノードの中で、支払いに利用するノード
（金額）を定める。利用者２側装置５００と小売店側装
置３００の間の交信例を図１２に示す。ステップ１利用者２側装置５００は、まず、譲渡され
た電子現金Ｈ′を小売店側装置３００に送る。また、支
払金額及びそれに対応するノードを小売店に通知する。

【００４５】ステップ２小売店側装置３００では、
Ｈ′の正当性を検証する。また、小売店側装置３００
は、支払いに対応するノードが、譲渡された電子現金の
対応するノードに含まれていることを検証する。もし、
これら検証に合格しなければ、処理を中止する。ステップ３利用者２側装置５００は、上記した（３）
節の手順に従って、該当するノードの支払処理を行う。
（３）節の手順を実行するに当たって、Ｃは、譲渡され
たＣを用い、Ｉ_i，Ｎ_i及びＢとしては、利用者２側装
置５００のＩ _i ″，Ｎ_i″及びＢ″を用いる。

【００４６】（６）決済最後に、小売店と銀行の間の決済方法について説明す
る。小売店側装置３００は、利用者側装置２００との電
子現金利用時の交信履歴Ｈを銀行側装置に提出し、銀行
から該当する金額の支払いを受ける。銀行側装置は、Ｈ
の正当性を検査し、検査に合格すれば、Ｈを記憶して、
小売店の口座へ該当する金額を払い込む。銀行側装置
は、電子現金の不正利用を見つけると、Ｈを取り出し
て、それらの情報より不正者のＩＤを確定する。つま
り、第２４段落に記載されたルール２．に違反した場
合、子ノードに対応するＸを２乗してゆき、親ノードの
平方根でヤコビ記号が１となるものを得ることと、親ノ
ードに対応するＸは、親ノードの平方根でヤコビ記号が
−１となるものであることから、ヤコビ記号が１となる
平方根と−１となる平方根が揃ったことにより、Ｎを素
因数分解することができ、Ｎの素因数を用いて、Ｉから
利用者の秘密情報Ｓを計算できる。また、ルール３．に
違反した場合、Ｅはランダムに１か−１かが指定された
ものであり、ＹはΛの平方根でヤコビ記号がＥにより指
定されたものだから、同じΛをもちいてＹを生成する
と、１／２の確率でヤコビ記号が１と−１となる平方根
が揃うことになり、Ｋ／２個の添字ｉについて手続きを
実行すれば、ヤコビ記号が１となる平方根と−１となる
平方根が圧倒的確率で揃うことにより、Ｎを素因数分解
することができ、Ｎの素因数を用いて、Ｉから利用者の
秘密情報Ｓを計算できる。

【００４７】

【発明の効果】この発明は、Ｃｈａｕｍらの方式と同様
に、利用者のプライバシィを保障でき、かつ不正使用を
検出できる、という特徴を備えている。さらに、この発
明では、従来のＣｈａｕｍらの方法では不可能であった
利用者間の電子現金の譲渡を可能としている。つまり、
銀行より電子現金を発行された利用者１が他の利用者２
にその電子現金を譲渡することができる。ここで、利用
者１が使用済みの電子現金を利用者２に譲渡する場合
や、複数利用者に同一電子現金を譲渡する場合等の不正
使用を行った場合は、同一電子現金を２回使用の場合と
同様に利用者１の秘密情報が露見する。

【図面の簡単な説明】

【図１】この発明が適用されるシステム例を示すブロッ
ク図。

【図２】利用許可証発行手続における交信例を示す図。

【図３】利用者側装置における利用許可証発行処理の構
成を示すブッロク図。

【図４】銀行側装置における利用許可証発行処理の構成
を示すブッロク図。

【図５】電子現金発行手順における交信例を示す図。

【図６】Ａ，Ｂはそれぞれ電子現金発行処理における利
用者側装置及び銀行側装置の各構成を示すブロック図。

【図７】電子現金の階層的構成テーブルを示す図。

【図８】電子現金の利用手続における交信例を示す図。

【図９】利用者側装置における電子現金利用処理の構成
を示すブロック図。

【図１０】小売店側装置における電子現金利用処理の構
成を示すブロック図。

【図１１】電子現金の譲渡の交信例を示す図。

【図１２】譲渡された電子現金による支払いの交信例を
示す図。

Claims

(57)【特許請求の範囲】

【請求項１】電子現金を発行する機関（以下、銀行と
呼ぶ）が有する装置（以下、銀行側装置という）と、電子現金を譲渡する者（以下、利用者１という）が有す
る装置（以下、利用者１側装置という）と、電子現金を譲渡される者（以下、利用者２という）が有
する装置（以下、利用者２側装置という）による電子現
金実施方法において、利用者１及び２が銀行に新たに口座を開く際には、利用者１及び２側装置が、それぞれ利用者の識別情報を
含んだ秘密情報（以下、利用者情報という）より乱数で
攪乱したＫ組（Ｋは２以上の整数）のブラインド情報を
作成し、銀行側装置が、そのブラインド情報の中でＬ組（Ｌ＜
Ｋ）の情報の開示を求め、開示された情報が正しく作成
されていれば、残りの未開示のＫ−Ｌ組の情報に対しブ
ラインド署名を施して利用者１及び２側装置に送信し、利用者１及び２側装置は、銀行側装置から受信したブラ
インド署名情報から、利用者情報に対して銀行の署名が
施された情報を計算して、利用者１及び２の利用許可証
とし、利用者１が、ある金額の電子現金を銀行より引き出す際
には、利用者１側装置が、秘密の乱数より認証用情報を生成
し、その認証用情報と利用者１の利用許可証より、引き
出す電子現金の金額に相当するブラインド情報を作成し
て銀行側装置に送信し、銀行側装置が、そのブラインド情報に、引き出し金額に
相当するブラインド署名を施して利用者１側装置に送信
し、利用者１側装置が、銀行側装置から受信したブラインド
署名情報から、認証用情報と利用者１の利用許可証に対
して引き出し金額に相当する銀行の署名が施された情報
を計算して電子現金とし、利用者１が利用者２に電子現金を譲渡する際には、利用者１側装置が、当該電子現金の利用残高以内の譲渡
額を定めた後に、電子現金の利用最小単位に対応した階
層構造テーブルを定め、さらに、そのテーブル中の譲渡
金額に対応するノードを定め、上記利用者２側装置に、
利用者１の利用許可証及び電子現金を提示すると共に、
譲渡金額該当ノードに対応する値の剰余べき乗根を送
り、利用者２側装置は、その正当性を検証すると共に、利用
者１側装置に質問情報を送り、利用者１側装置は、利用者２側装置からの質問情報に対
応した応答情報を階層構造テーブル中の該当ノードに対
応する値の剰余べき乗根を求めることにより生成して利
用者２側装置に提示し、利用者２側装置は、利用者２側装置の質問情報に対する
利用者１側装置の応答情報の正当性を確認し、それが正
しければ、該当金額の電子現金による譲渡を認めること
を特徴とする電子現金実施方法。
【請求項２】電子現金を発行する機関（以下、銀行と
いう）が有する装置（以下、銀行側装置という）と、電子現金を譲渡する者（以下、利用者１という）が有す
る装置（以下、利用者１側装置という）と、電子現金を譲渡される者（以下、利用者２という）が有
する装置（以下、利用者２側装置という）と、利用者２から電子現金を受領する機関（以下、小売店と
いう）が有する装置（以下、小売店側装置という）によ
る電子現金実施方法において、請求項１の発明により、利用者１より電子現金を譲渡さ
れた利用者２が、その譲渡された電子現金を小売店で使
用する際には、利用者２側装置が、譲渡金額以内の利用額を定めた後
に、譲渡された電子現金に対応した階層構造テーブルの
ノードの中の利用金額に対応するノードを定め、小売店
側装置に、利用者２の利用許可証及び譲渡された電子現
金を提示すると共に、該当ノードに対応する値の剰余べ
き乗根を送り、小売店側装置はその正当性を検証すると共に、利用者２
側装置に質問情報を送り、利用者２側装置は小売店側装置からの質問情報に対応し
た応答情報を階層構造テーブル中の該当ノードに対応す
る値の剰余べき乗根を求めることにより生成して小売店
側装置に提示し、小売店側装置は、小売店側装置の質問情報に対する利用
者２側装置の応答情報の正当性を確認し、それが正しけ
れば、該当利用金額の電子現金による支払いを認めるこ
とを特徴とする電子現金実施方法。
【請求項３】電子現金を発行する機関（以下、銀行と
いう）が有する装置（以下、銀行側装置という）と、電子現金を譲渡する者（以下、利用者１という）が有す
る装置（以下、利用者１側装置という）と、電子現金を譲渡される者（以下、利用者２という）が有
する装置（以下、利用者２側装置という）と、利用者２から電子現金を受領して銀行との間で決済を行
う機関（以下、小売店という）が有する装置（以下、小
売店側装置という）による電子現金実施方法において、請求項２の発明により、小売店が受領した電子現金を、
後日、銀行で決済する際には、小売店側装置が、決済のために銀行側装置に利用者２側
装置と小売店側装置の間の相互通信文を送信し、銀行側装置が、それら相互通信文の正当性を検査して、
合格のときにはその情報をメモリに記憶し、その電子現
金が不正に使用されると、利用許可証を生成するときに
用いた利用者の秘密情報を算出することを特徴とする電
子現金実施方法。