JP2879792B2

JP2879792B2 - 電子現金の分割使用方法およびその装置

Info

Publication number: JP2879792B2
Application number: JP20335996A
Authority: JP
Inventors: 龍明岡本; 和夫太田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1996-08-01
Filing date: 1996-08-01
Publication date: 1999-04-05
Anticipated expiration: 2014-04-05
Also published as: JPH096880A

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、電気通信システ
ムやＩＣカードなどを用いて電子現金による支払い、譲
渡などを行う際に、電子現金をその額面の範囲内で分割
使用する電子現金の分割使用方法に関する。

【０００２】

【従来の技術】電気通信システムを用いた電子資金移動
が普及しつつある。一般に換金可能な証書（手形、小切
手など）は、証書の象徴的機能（証書を保持している人
に対して、証書に記載してある権利が供与されること）
を備えている。証書を電気通信システムで取り扱う場
合、証書はディジタル化されたデータであり、容易にコ
ピーを作成して複数回の換金が可能となる。プリペイド
カードのような電子的現金を実現するときにも、この問
題が生じる。すなわち、プリペイドカードをコピーする
ことで、不正に複数回の換金あるいは商品の購入が可能
となる。一方、クレジットカードでは、このような２重
使用の危険性はほとんどないが、その代わりに、利用者
の利用履歴がすべてカード会社に知られてしまうという
欠点がある（つまり、プライバシが保証されていな
い）。これら問題の解決策として、計算機能を備えたカ
ードで換金時にカード読み取り装置とカードとの間のデ
ータのやりとりを工夫することで、プライバシを保証
し、かつカードの２重使用を検出する方式が提案されて
いる。たとえば、Ｃｈａｕｍ，Ｆｉａｔ，Ｎａｏｒ：
“ＵｎｔｒａｃｅａｂｌｅＥｌｅｃｔｒｉｃＣａｓ
ｈ”，Ｐｒｏｃ．ｏｆＣＲＹＰＴＯ′８８がある。し
かしながら、Ｃｈａｕｍ等の方式では、一回発行された
電子現金を分割して利用する（例えば、１万円の電子現
金を合計利用額が１万円になるまで何回も利用する）こ
とはできない。また、Ｃｈａｕｍ等の方式では、一回毎
の電子現金発行時に、銀行と利用者の間でかなりの量の
通信と処理を行う必要がある。

【０００３】

【発明が解決しようとする課題】この発明の目的は、一
回発行された電子現金を発行時に決められた額になるま
で、何回も分割して利用できる電子現金の分割利用方法
を提供することにある。

【０００４】

【課題を解決するための手段】この発明によれば、電子
現金の額面を階層的構造テーブルの最上位ノードとし、
使用最小単位を階層的構造テーブルの最下位層のノード
とし、あるノードの直下の子ノードの該当金額の合計
が、そのノードの該当金額とする階層的構造テーブルを
定め、使用金額をノードで指定し、あるノードが一度使
われた後は、そのノードのすべての先祖ノード、および
すべての子孫ノードは利用しない、かつノードは１回以
上使用しないというルールを適用することにより電子現
金の分割使用を可能とする。

【０００５】請求項１の発明によれば、電子現金を利用
する者（以下、利用者という）が有する装置（以下、利
用者側装置という）と、利用者より電子現金を受信する
機関（以下、小売店という）が有する装置（以下、小売
店側装置という）により電子現金を分割使用する方法に
おいて、

【数２１】

【０００６】

【数３】

【０００７】

【数２２】

【０００８】

【数４】

【０００９】を満たすかを検証し、以上の検証が正しけ
れば、上記電子現金による上記使用金額の支払いを認め
る。

【００１０】請求項２の発明によれば、電子現金を利用
する者（以下、利用者という）が有する装置（以下、利
用者側装置という）と、利用者より電子現金を受信する
機関（以下、小売店という）が有する装置（以下、小売
店側装置という）により電子現金を分割使用する請求項
１または２記載の方法において、小売店側装置は値Ｅ_i
（＝０または１）を利用者側装置へ送り、利用者側装置
は電子現金の額面および使用金額ノードと対応した値Λ
_{i,j1 ...jt}を生成し、値Λ_{i,j1 ...jt}と値Ｅとから次の
剰余平方根演算を行い、Ｙ_{i,j1 ...jt}＝〔（Λ_{i,j1 ...jt}）^Y2 mod Ｎ_i〕_(-1) ^Ei このＹ_{i,j1 ...jt}を小売店側装置へ送り、小売店側装置
は受信したＹ_{i,j1 ...jt}について（Ｙ_{i,j1 ...jt}／Ｎ_i）＝（−１）^Ei （Ｙ_{i,j1 ...jt}）² ＝ｄ′_iｆΛ（Ｃ‖ｊ₁ ‖…‖ｊ_t‖Ｎ_i）mod Ｎ_i を共に満足するかを検証し、正しければ上記電子現金に
よる上記使用金額の支払いを認める。つまりノードの直
下の子ノードの該当金額の合計が、そのノードの該当金
額となるという条件を満たしていることになる。

【００１１】つまり、この発明においては、電子現金の
構造に対応した階層構成のテーブルを構成し、電子現金
利用時には、このテーブルの構造に対応させる形で、一
定の額面金額内の現金を何回かに分割して使用可能とし
ている。また、上記利用形態における不正使用を検出す
るため、上述のように利用者と小売店との確認で剰余べ
き乗根を利用することは、例えばウィリアムズ数と呼ば
れる合成数を法とする偶数べき乗根を利用することであ
り、ここでは、２つの異なるタイプの偶数べき乗根を用
いて、法である合成数の素因数分解ができるという事実
が重要な役割をする。つまり、利用者が不正使用をすれ
ば、法の素因数分解を通じて、利用者の秘密情報である
利用者のＩＤが露見するしかけになっている。

【００１２】

【発明の実施の形態】

（１）まず電子現金の発行および使用するためのシステ
ム構成の例を図１に示す。電子現金を発行する機関（以
下、銀行という）の装置（以下、銀行側装置という）１
００と、電子現金を発行される者（以下、利用者とい
う）の装置（以下、利用者側装置という）２００と、利
用者より電子現金を受領する機関（以下、小売店とい
う）の装置（以下、小売店側装置という）３００とが通
信回線等を介して接続している。

【００１３】（２）次に電子現金の利用者のプライバシ
を保証するために用いる利用許可証の発行処理について
説明する。まず、銀行で口座を新たに開設した利用者
が、利用許可証を銀行より発行してもらう場合について
説明する。利用者側装置は利用者の識別情報ＩＤｐ（利
用者の口座番号など）を含んだ秘密情報（利用者情報）
より乱数で攪乱したＫ組のブラインド情報を作成し、銀
行側装置は、そのブラインド情報の中でＫ／２組の情報
の開示を求め、開示された情報が正しく作成されていれ
ば、残りの未開示のＫ／２組の情報に対しブラインド署
名を作成し利用者側装置に送信し、利用者側装置は、銀
行側装置から受信したブラインド署名から利用者情報に
対する銀行の署名を計算して、この銀行署名を利用許可
証とする。

【００１４】銀行側装置は、利用許可証に対応する情報
として、ディジタル署名で用いるＲＳＡ暗号の秘密鍵
（dA, nA）および公開鍵（eA, nA）の対を作成しておき
公開鍵eA, nAを公開しておく。一方、利用者側装置は、
ディジタル署名で用いるＲＳＡ暗号の秘密鍵（dP, nP）
および公開鍵（eP, nP）の対を作成しておき、（eP, n
P）をＩＤｐと対にして公開しておく。

【００１５】利用者が銀行から利用認可証を発行しても
らう手順は、以下の通り。銀行側装置と利用者側装置の
間の交信例を図２に示す。利用者側装置２００の利用許
可証発行処理の構成を図３に、銀行側装置のそれを図４
にそれぞれ示す。以下では、ｉ＝１，２，…，Ｋとす
る。ステップ１利用者側装置は、乱数発生器２０１を用い
て乱数ａ_i,ｒ_iを生成して、ＩＤｐと共に連結器２０４
に入力し、その出力ＩＤｐ‖ａ_iを一方向ハッシュ関数
演算器２０５に入力し、さらにその出力 g（ＩＤｐ‖ａ
_i）を利用者の署名用秘密鍵（dP_,nP）と共にＲＳＡ署
名器２０６に入力し、（g （ＩＤｐ‖ａ _i））^dPmod nP
を求める。

【００１６】ステップ２署名器２０６の出力をＩＤ_P
‖ａ_iと共に連結器２０７に入力して、Ｓ_i＝ＩＤ_P‖
ａ_i‖（ g（ＩＤ_P‖ａ_i））^dPmod nPを求める。さら
に、Ｓ_iを分割器２０８に入力し、Ｓ_i＝Ｓ_1,i‖Ｓ
_2,iになるようなＳ_1,iとＳ_2, _iを求める。ステップ３素数生成器２０２を用いて、Ｐ_i≡３（mo
d ８）およびＱ_i≡７（mod ８）を満足する２つの素数
Ｐ_i,Ｑ_iを生成して、乗算器２０３を用いてその積Ｎ_i
＝Ｐ_iＱ_iを求める。

【００１７】ステップ４Ｓ_1,iおよびＳ_2,iをＮ_iと
共に剰余べき乗演算器２０９および２１１にそれぞれ入
力し、Ｉ_1,i＝（Ｓ_1,i)²mod Ｎ_iとＩ₂,_i＝
（Ｓ₂,_i）²mod Ｎ_iを求め、それらを連結器２１０に
入力しＩ_i＝Ｉ_1,i‖Ｉ_2,iを計算する。ステップ５Ｎ_i,Ｉ_iを連結器２１２に入力し、その出
力Ｉ_i‖Ｎ_iを一方向ハッシュ関数演算器２１３に入力
し、 g（Ｉ_i‖Ｎ_i）を得る。一方、ｒ_iを銀行の公開
鍵（eA, nA）と共にＲＳＡ暗号器２１５に入力し、（ｒ
_i）^eAmod nAを求める。次に、それら出力を剰余乗算器
２１４に入力し、ブラインド情報Ｗ_i＝（ｒ_i）^eA g
（Ｉ_i‖Ｎ_i）mod nAを求めて、Ｗ_i（ｉ＝１，２，
…，Ｋ）を銀行側装置に送信する。

【００１８】ステップ６次に、銀行側装置は、利用者
側装置に、そのうちのＫ／２組のａ _i,Ｐ_i,Ｑ_i（ g（Ｉ
Ｄｐ‖ａ_i））^dPmod ｎｐ，ＩＤｐ，ｒ_iを開示させ
て、利用者側装置がステップ１からステップ５を正しく
実行していることを確認する。このため、銀行側装置１
００は、１からＫの中からランダムにＫ／２個を選び、
それを開示要求として利用者側装置に送信する（ここで
は、表記を簡単にするため、Ｋ／２＋１，Ｋ／２＋２，
…，Ｋが開示指定されたと仮定して説明する）。Ｋ／２
個でなく、Ｋの一部であればよいが、Ｋ／２とすると処
理効率がよい。

【００１９】ステップ７利用者側装置２００は、銀行
側装置から開示要求を受信すると、銀行側装置の指示す
るＫ／２組のａ_i,Ｐ_i,Ｑ_i,( g ( ＩＤｐ‖ａ_i））^dPmo
d ｎｐ，ＩＤｐ，ｒ_iを開示する。銀行側装置は、ｉが
開示対象の時、次の手順を行う。ステップ８利用者側
装置２００より受信したａ_i,ＩＤｐより( g ( ＩＤｐ‖
ａ_i））^dPmod nPの署名の正当性を利用者側装置の公開
鍵（eP_,nP）を用いて検証する。即ち連結器１０４でａ
_iとＩＤｐを連結し、それを一方向ハッシュ関数演算器
１０５へ供給し、一方( g ( ＩＤｐ‖ａ_i））^dPmod nP
とnP,eP とをＲＳＡ暗号器１０７に入力して暗号化しこ
の結果と演算器１０５の出力とを比較器１１１で検証す
る。ここで、検証に合格しなければ処理を中断する。

【００２０】ステップ９利用者側装置２００より受信
したａ_i,Ｐ_i,Ｑ_i,( g ( ＩＤｐ‖ａ _i））^dPmod ｎP Ｉ
Ｄｐから、乗算器１０３を用いてＮ_i＝Ｐ_i,Ｑ_iを求
め、さらに、連結器１０８でａ_i，ＩＤｐを連結してＳ
_iとし、Ｓ_iを分割器１０９で分割し、それぞれ剰余べ
き乗演算器１１０，１１２でＮ_iと剰余べき演算し、そ
の結果を連結器１１１で連結してＩ_iを求める。

【００２１】ステップ１０上で計算したＩ_i,Ｎ_iを連
結器１１３で連結し、更に一方向ハッシュ関数演算器１
１４に供給し、受信したｒ_iと公開鍵eA_,nAをＲＳＡ暗
号器１１７へ供給し、その出力と演算器１１４の出力と
を剰余乗算器１１５へ供給してＷ′_i＝（ｒ_i）^eA g
(Ｉ_i‖Ｎ_i）mod nAを計算する。ステップ１１前に受信したＷ_iの値とＷ′_iの値を比
較器１１６で比較し、一致すれば合格とし、不合格の場
合、処理を中断する。銀行側装置は、Ｋ／２個のすべて
のｉについて上記の検査を行い、いずれかの検査に不合
格のときには、以降の処理を中止する。すべての検査に
合格のときには、銀行側装置は、開示対象でないｉ＝
１，…，Ｋ／２に対して、次の手順でブラインド署名を
行う。

【００２２】ステップ１２剰余乗算器１１８とＲＳＡ
署名作成器１１９を用いて、銀行側装置の署名用秘密鍵
（nA，dA）とＷ_iとからＷ＝（Π Ｗ_i）^dAmod nAを求
め、つまりブラインド署名を作り、このＷを利用者側装
置に送信する。ステップ１３利用者側装置は、銀行側
装置からＷを受信すると、ｒ_iと公開鍵（eA，nA）か
ら、剰余乗算器２１６、剰余除算器２１７を用いて利用
許可証Ｂ＝Ｗ／（Πｒ_i）mod nA＝（Π g (Ｉ_i‖
Ｎ_i）） ^dAmod nA．を計算する。Πはｉ＝１からＫ／２
までである。

【００２３】（３）更に利用許可証を用いて電子現金を
発行してもらう処理を説明する。次に、利用者が銀行か
ら電子現金を発行してもらう手順を示す。まず、銀行側
装置は、電子現金の金額に対応する情報として、ＲＳＡ
ディジタル署名で用いる秘密鍵（dA′nA′）および公開
鍵（eA′nA′）の対を作成しておき、（eA′nA′）をそ
の金額と共に公開しておく。ここで、銀行側装置と利用
者側装置の間の交信例を図５に示す。利用者側装置２０
０および銀行側装置１００の各電子現金発行処理の構成
を図６Ａ，Ｂにそれぞれ示す。以下では、ｉ＝１，２，
…，Ｋ／２とする。

【００２４】ステップ１乱数発生器２０１を用いて生
成した乱数ｂ，ｒと利用許可証Ｂおよび電子現金の発行
金額に相当する銀行側装置の公開鍵（eA′，nA′）から
ｒとeA′nA′とをＲＳＡ暗号器２１５へ供給して認証用
情報を生成し、これとｈ，Ｂとから連結器２０４、一方
向ハッシュ関数演算器２０５、剰余乗算器２１４を用い
て、Ｚ＝ｒ^eA′ｇ（Ｂ‖ｂ）mod nA′ を計算して引き出す電子現金の金額に相当するブライン
ド情報を得る。

【００２５】ステップ２このＺを電子現金の金額情報
と共に銀行側装置へ送る。ステップ３Ｚを受信した銀行側装置は、Ｚと電子現金
の金額に対応する秘密鍵（dA′nA′）とをＲＳＡ署名生
成器１１９に入力し、Ｚ′＝Ｚ^dA′mod nA′を求め、つ
まり引出し金額に相当するブラインド署名を作成してそ
れを利用者側装置に送付する。同時に、利用者側装置の
口座から該当する金額を引き落とすか、利用者側装置か
ら該当する金額を受領する。

【００２６】ステップ４銀行側装置よりＺ′を受信し
た利用者は、乱数ｒと銀行側装置より受信した情報Ｚ′
および公開鍵nA′剰余除算器２１７に入力し、認証用情
報および利用許可証に対する銀行側装置の署名Ｃ＝Ｚ′／ｒmod nA′＝（ g (Ｂ‖ｂ））^dA′mod nA′ を求める。ここで、Ｃが電子現金に相当する。

【００２７】（４）以上のようにして発行された電子現
金をこの発明により分割使用する方法を説明する。利用
者が、電子現金を用いて小売店で支払いをする場合につ
いて説明する。まず、電子現金の金額およびその使用最
小単位（例えば、１０円単位等）に対応して、階層的構
造テーブルが定められる。たとえば、２５円単位で、１
００円の紙幣を利用する場合の階層的構造テーブルを図
７Ａに示す。電子現金の額面１００円は階層的構造テー
ブルの最上位とされ、使用最小単位２５円は階層的構造
テーブルの最下位層とされる。ここで、例えば、７５円
を使う場合、ノード００とノード０１０が該当するノー
ドとなる。この該当ノードは、以下のルールで定められ
る。

【００２８】１．あるノードの直下の子ノードの該当金
額の合計が、そのノードの該当金額となる。２．あるノードが一度使われた後は、そのノードと連結
するすべての先祖ノードおよび子孫ノードは利用しては
ならない。３．各ノードは、一回以上使用してはならない。

【００２９】このルールに従うと、先の例では、ノード
００とノード０１０が使用された後で、使用できるノー
ドは、ノード０１１（２５円）のみである。つまり、上
のルールに従うことにより、使用できる合計金額は、額
面通り１００円となると共に、２５円単位でどのような
使い方でもできる。この階層的構造テーブルは、電子現
金の額面金額を大きくし、さらに利用単位金額を小さく
すれば、その階層が増えることになる。例えば、額面が
１００万円で、１円単位で利用できる電子現金の場合、
その階層は、およそ２０となる（ｌｏｇ₂ １０００００
０≒２０）。

【００３０】次に、利用者側装置と小売店側装置の間の
交信例を図８に示す。小売店側装置３００と利用者側装
置２００の電子現金利用手続の処理構成をそれぞれ図
９，１０に示す。多くの場合、利用金額に相当する階層
構造テーブルの該当ノードは複数あるが、各ノードに対
応する処理は、基本的に同じアルゴリズムで行われ、そ
れぞれのノードの処理を並列に行うことができるため、
以下では、１つのノードに対する処理のみを説明する。
この該当ノードをノードｊ₁ ｊ₂ …ｊ_t（ｊ_l∈｛０，
１｝）とする（図７Ｂ）。また、以下では、ｉ＝１，
２，…，Ｋ／２とする。

【００３１】なお、以下の手順で用いる記号の意味をこ
こでまとめて記しておく。

【００３２】

【数５】

【００３３】なお、以上において、（／）は、ヤコビ記
号を意味する。ヤコビ記号の効率的計算法は、例えば、
藤崎、森田、山本著の「数論への出発（数学セミナー増
刊）」（日本評論社）の１６６頁に記されている。ステップ１利用者側装置２００は、まず、Ｃ，Ｎ_iよ
りランダム関数Γ演算器２２０を用いて、Γ_i,0 を求め
る。

【００３４】

【数６】

【００３５】次に、Ｃと利用金額と対応するノードｊ₁
…ｊ_tとＮ_iをランダム関数Ω演算器２２１に入力し、
Ω_i,j1...jL（Ｌ＝１，…，ｔ−１）を生成する。

【００３６】

【数７】

【００３７】さらに、Γ_i,0 ，Ω_i,j1...jL（Ｌ＝１，
…，ｔ−１），Ｎ_iより剰余べき乗演算器２２２、剰余
乗算器２２３、剰余べき乗根演算器２２４を用いて、利
用金額に対応するノードに対する値の剰余べき乗根Ｘ
_i,j1...jtを求める。ここでＮ_iはウィリアムズ数であ
る。

【００３８】

【数８】

【００３９】ステップ２利用者側装置２００は、ｂ，
（Ｉ_i，Ｎ_i，Ｘ_i,j1...jt）（ｉ＝１，…，Ｋ／２）
および（Ｂ，Ｃ）を小売店側装置３００に送る。ステップ３小売店側装置３００は、連結器３０４、一
方向ハッシュ関数演算器３０５、剰余乗算器３０９、Ｒ
ＳＡ暗号器３１０、比較器３１１を用いて、公開鍵（e
A, nA) によりＢのＩ_i‖Ｎ_iに対する署名の正当性を
（つまり、Ｂ^eA＝（Πｇ（Ｉ_i‖Ｎ_i））mod nAが成立
するかどうかを、Πはｉ＝１からＫ／２まで）、また、
連結器３１２、一方向ハッシュ関数演算器３１３、ＲＳ
Ａ暗号器３１４、比較器３１５を用いて公開鍵（eA′,n
A ′) によりＣのＢ‖ｂに対する署名の正当性を（つま
り、Ｃ^eA'＝（ｇ（Ｂ‖ｂ））mod nA′が成立するかど
うかを）検査する。この検査が、不合格のときは以降の
処理を中止する。

【００４０】ステップ４小売店側装置３００は、ヤコ
ビ記号演算器３１６および比較器３１７を用いて、Ｘ
_i,j1...jtが以下の関係を満足するかどうかを検証す
る。この検査が、不合格のときは以降の処理を中止す
る。（Ｘ_i,j1...jt／Ｎ_i）＝−１，次に、Ｃ，Ｎ_iよりランダム関数Γ演算器３２４を用い
て、

【００４１】

【数９】

【００４２】を求める。また、Ｃ，ｊ_1...ｊ_t，Ｎ_iを
ランダム関数Ω演算器３２１に入力し、Ω
_i,j1...jL（Ｌ＝１，…，ｔ−１）を生成する。

【００４３】

【数１０】

【００４４】さらに、

【００４５】

【数１１】

【００４６】より剰余べき乗演算器３２２、剰余乗算器
３２３、剰余除算器３１９、比較器３２０を用いて、Ｘ
_i,j1...jtが以下の関係を満足するかどうかを検証す
る。この検査が、不合格のときは以降の処理を中止す
る。

【００４７】

【数１２】

【００４８】ここで、ｄ_iは、±１，±２のいずれかの
値である。ステップ５小売店側装置は、乱数発生器３０１より取
り出した値Ｅ_i∈｛０，１｝（ｉ＝１，…，Ｋ／２）を
利用者側装置に質問情報として送付する。ステップ６利用者側装置は、ランダム関数Λ演算器２
２５を用いて、Ｃ，ｊ_1. _..ｊ_t，Ｎ_iよりΛ_i,j1...jt
を計算する。

【００４９】

【数１３】

【００５０】次に、剰余平方根演算器２２６を用いて、
Λ_i,j1...jtおよびＥ_iより、Ｙ_i, _j1...jtを計算す
る。

【００５１】

【数１４】

【００５２】利用者側装置は、Ｙ_i,j1...jtを小売店側
装置に送る。ステップ７小売店は、ヤコビ記号演算器
３２５および比較器３２６を用いて、Ｙ_i,j1...jtが以
下の関係を満足するかどうかを検証する。この検査が、
不合格のときは以降の処理を中止する。（Ｙ_i,j1...jt／Ｎ_i）＝（−１）^Ei 次に、Ｃ，ｊ₁…ｊ _t，Ｎ_iをランダム関数Λ演算器３
２８に入力し、さらにその出力およびＹ_i,j1...jt，Ｎ
_iに対し、剰余べき乗演算器３２７、剰余除算器３２
９、比較器３３０を用いて、以下の関係を満足するかど
うかを検証する。

【００５３】

【数１５】

【００５４】ここで、ｄ′_iは、±１，±２のいずれか
の値である。この検査に合格すれば、小売店側装置は、
その電子現金のノードｊ₁ …ｊ_tに該当する金額の支払
を正当なものとみなし、それを受け取る。

【００５５】（５）決済最後に、小売店と銀行の間の決済方法について説明す
る。小売店側装置３００は、利用者側装置２００との電
子現金利用時の交信履歴Ｈを銀行側装置に提出し、銀行
側装置から該当する金額の支払いを受ける。銀行側装置
は、Ｈの正当性を検査し、検査に合格すれば、Ｈを記憶
して、小売店の口座へ該当する金額を払い込む。銀行側
装置は、電子現金の不正利用を見つけると、Ｈを取り出
して、それらの情報より不正者のＩＤを確定する。

【００５６】つまり第２８段落に記載されたルール２．
に違反した場合、子ノードに対応するＸを２乗してゆ
き、親ノードの平方根でヤコビ記号が１となるものを得
ることと、親ノードに対応するＸは、親ノードの平方根
でヤコビ記号が−１となるものであることから、ヤコビ
記号が１となる平方根と−１となる平方根が揃ったこと
により、Ｎを素因数分解することができ、Ｎの素因数を
用いて、Ｉから利用者の秘密情報Ｓを計算できる。

【００５７】またルール３．に違反した場合、Ｅはラン
ダムに１か−１かが指定されたものであり、ＹはΛの平
方根でヤコビ記号がＥにより指定されたものだから、同
じΛを用いてＹを生成すると、１／２の確率でヤコビ記
号が１と−１となる平方根が揃うことになり、Ｋ／２個
の添字ｉについて手続きを実行すれば、ヤコビ記号が１
となる平方根と−１となる平方根が圧倒的確率で揃うこ
とにより、Ｎを素因数分解することができ、Ｎの素因数
を用いて、Ｉから利用者の秘密情報Ｓを計算できる。

【００５８】

【発明の効果】この発明は、階層的構造テーブルを用
い、そのノードにより使用金額を決定することにより、
一回発行された電子現金を発行時に決められた額になる
まで、何回も分割して利用できる。

【図面の簡単な説明】

【図１】この発明が適用されるシステム例を示すブロッ
ク図。

【図２】利用許可証発行手続における交信例を示す図。

【図３】利用者側装置における利用許可証発行処理の構
成を示すブッロク図。

【図４】銀行側装置における利用許可証発行処理の構成
を示すブッロク図。

【図５】電子現金発行手順における交信例を示す図。

【図６】Ａ，Ｂはそれぞれ電子現金発行処理における利
用者側装置および銀行側装置の各構成を示すブロック
図。

【図７】電子現金の階層的構造テーブルを示す図。

【図８】この発明による電子現金の利用手続における交
信例を示す図。

【図９】図８の交信における利用者側装置での電子現金
利用処理の構成を示すブロック図。

【図１０】図８の交信における小売店側装置での電子現
金利用処理の構成を示すブロック図。

───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.⁶，ＤＢ名) G06F 19/00 G09C 1/00 660

Claims

(57)【特許請求の範囲】

【請求項１】電子現金を利用する者（以下、利用者と
いう）が有する装置（以下、利用者側装置という）と、利用者より電子現金を受領する機関（以下、小売店とい
う）が有する装置（以下、小売店側装置という）により
電子現金を分割使用する方法において、上記利用者側装置は電子現金の額面を階層的構造テーブ
ルの最上位ノードとし、使用最小単位を階層的構造テー
ブルの最下位層のノードとし、あるノードの直下の子ノ
ードの該当金額の合計が、そのノードの該当金額とする
階層的構造テーブルを設け、【数２０】その検証が正しければ、上記電子現金による上記使用金
額の支払いを認めることを特徴とする電子現金の分割使
用方法。
【請求項２】請求項１記載の電子現金の分割使用方法
において、小売店側装置は上記検証に合格すると、値Ｅ_i（＝０ま
たは１）を利用者側装置へ送り、利用者側装置は電子現金の額面および使用金額ノードと
対応した値Λ_{i,j1 ...jt}を生成し、値Λ_{i,j1 ...jt}と値Ｅ_iとを用いた演算を行ってＹ
_i,j1...jtを求め、このＹ_{i,j1 ...jt}を小売店側装置へ送り、小売店側装置は受信したＹ_{i,j1 ...jt}と上記受信した電
子現金を用いて上記受信したノード_{j1 ...jt}は使用され
ていないことを検証し、正しければ上記電子現金による
上記使用金額の支払いを認めることを特徴とする電子現
金の分割使用方法。
【請求項３】電子現金を利用する者（以下、利用者と
いう）が有する装置（以下、利用者側装置という）であ
って、電子現金の額面を階層的構造テーブルの最上位ノードと
し、使用最小単位を階層的構造テーブルの最下位層のノ
ードとし、あるノードの直下の子ノードの該当金額の合
計が、そのノードの該当金額とする階層的構造テーブル
と、電子現金の額面と対応した複数の値Γ_i,0 を生成する手
段と（ｉは１，２，・・・，Ｋ中の複数の数，Ｋは２以
上の整数）、上記階層構造における使用金額と対応したノードと対応
した値Ω_i,j1...jLを生成する手段と、上記値Γ_i,0 と上記値Ω_i,j1...jL（Ｌ＝１，…，ｔ−
１）を用いて、上記使用金額に対応するノードに対する
値の剰余べき乗根【数１】を求める手段と（Ｎ_iはウィリアムズ数）、（Ｘ
_{i,j1... jt}／Ｎ_i）＝−１であり（（／）はヤコビ記
号）、電子現金の額面および使用金額ノードと対応した値Λ
_i,j1...jtを生成する手段と、利用者より電子現金を受領する機関（以下、小売店とい
う）が有する装置（以下、小売店側装置という）よりＥ
_i（＝０または１）を受信する手段と、そのＥ_iと値Λ_i,j1...jtを用いて次の剰余平方根演算Ｙ_i,j1...jt＝〔（Λ_i,j1...jt）^1/2 mod Ｎ_i〕_(-1) ^Ei を行う手段と、上記Ｘ _{i,j1... jt}、上記電子現金、上記Ｙ_i,j1...jtを
小売店側装置へ送信する手段とを具備する利用者側装
置。
【請求項４】利用者より電子現金を受信する機関（以
下、小売店という）が有する装置であって、電子現金の額面を階層的構造テーブルの最上位ノードと
し、使用最小単位を階層的構造テーブルの最下位層のノ
ードとし、あるノードの直下の子ノードの該当金額の合
計が、そのノードの該当金額とする階層的構造テーブル
と、利用者が有する装置（以下、利用者側装置という）から
電子現金、使用金額に対応するノードにたいする値Ｘ
_i,j1...jt、上記電子現金の額面および使用金額ノード
と対応した値Ｙ_i,j1...jtを受信する手段と（ｉは１，
２，・・・，Ｋ中の複数の数，Ｋは２以上の整数）、受信したＸ_i,j1...jtが（Ｘ_i,j1...jt／Ｎ_i）＝−１
を満たすかを検証する手段と、【数２】を共に満足するかを検証し（ｄ´ _iは±１，±２のいず
れかの値）、正しければ上記電子現金による上記使用金
額の支払いを認める手段とを具備する小売店側装置。