JP3329438B2

JP3329438B2 - 監視機関つき電子現金方法及びそれを実施するための利用者装置及び監視機関装置

Info

Publication number: JP3329438B2
Application number: JP12584297A
Authority: JP
Inventors: 龍明岡本
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1996-05-16
Filing date: 1997-05-15
Publication date: 2002-09-30
Anticipated expiration: 2017-05-15
Also published as: JPH1083426A

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、電気通信システ
ムを介し、又はＩＣカードを介して、分割利用が可能
で、プライバシイを保証し、かつ不正使用を防ぐ電子的
な現金を実現する電子現金方法及びそれを実施するため
の利用者及び監視機関装置に関する。

【０００２】

【従来の技術】電気通信システムを用いた電子資金移動
が普及しつつある。一般に換金可能な証書（手形、小切
手など）は、証書の象徴的機能（証書を保持している人
に対して、証書に記載してある権利が供与されること）
を備えている。証書を電気通信システムで取り扱う場
合、証書はディジタル化されたデータであり、容易にコ
ピーを作成して複数回の不正な換金が可能となる。プリ
ペイドカードのような電子的現金を実現するときにも、
この問題が生じる。すなわち、プリペイドカードをコピ
ーすることで、不正に複数回の換金あるいは商品の購入
が可能となる。一方、クレジットカードでは、このよう
な２重使用の危険性はほとんどないが、その代わりに、
利用者の利用履歴がすべてカード会社に知られてしまう
という欠点がある（つまり、プライバシイが保証されて
ない）。これら問題の解決策として、計算機能を備えた
カードで換金時にカード読み取り装置とカードとの間の
データのやりとりを工夫することで、プライバシイを保
証し、かつカードの２重使用を検出する方法が提案され
ている。たとえば、Chaum, Fiat, Naor:"Untraceable E
lectronic Cash", Proc. of CRYPTO'88 がある。

【０００３】

【発明が解決しようとする課題】しかしながら、Chaum
等の方法では、ある程度の安全性（例えば、不正が成功
する確率が1/2³⁰）を確保するため、利用者の小売店に
対する電子現金による支払処理における質問、応答及び
検証の３手順をその安全性に応じた回数だけ繰り返し
（例えば、３０回）実行する必要があるため、相互交信
量がかなり大きくなる。また、発行された同一電子現金
を分割して利用することができない。従来提案されてい
る分割使用可能な電子現金の分割使用原理は、例えば米
国特許No.5,224,162に示されているように、階層構造を
使った数学的に巧妙な論理に基づいている。しかしなが
ら、実際にこれを実施する場合、処理手順が多く、かつ
演算量が大となる欠点がある。元来、電子現金実施シス
テムにおいては、電子現金の発行者と利用者口座を管理
する金融機関が同一であるため、各金融機関が電子現金
を発行するという想定で構成されており、発行された電
子現金は利用者から小売店、銀行を経て、発行元の銀行
に還流する。従って、それぞれの金融機関が発行する電
子現金の発行量を監視することができない。

【０００４】この発明の第１の目的は、プライバシイを
保証し、不正使用をも防ぐ電子現金方法において、支払
処理における通信量が少なく、分割利用が可能で、特に
各金融機関が発行する電子現金の発行量を監視すること
ができるような電子現金方法を実現することにある。こ
の発明の第２の目的は、上記電子現金方法を実施するた
めの利用者装置及び監視機関装置を実現することにあ
る。

【０００５】

【課題を解決するための手段】この発明による電子現金
方法は以下のステップを含む： (1) 利用者は、銀行に利用者情報Ｕと電子現金の額面に
対応する金額Ｘを送信し、利用者の口座から金額Ｘを引
き下ろすことを要請し、 (2) 上記銀行は、上記利用者の口座から金額Ｘを減額
し、上記利用者の署名検証用鍵Ｎ_U 及び金額Ｘに対して
その銀行の署名S_B(X,N_U)を生成し上記利用者に送付する
と共に、上記金額Ｘと上記署名検証用鍵Ｎ_U の情報を含
む署名検証鍵情報ｎを上記利用者情報Ｕと対応させて利
用者データベースに記録し、更に上記監視機関に上記署
名検証鍵情報ｎを送付し、 (3) 上記監視機関は、上記署名検証鍵情報ｎを合計使用
金額Ｙと対応させて監視データベースに登録し、 (4) 上記利用者は残額ｘと、上記金額Ｘと、上記署名検
証鍵Ｎ_U と、上記署名S_B(X,N_U)とを含む情報を額面Ｘの
電子現金Ｃとして使って支払金額ｙを上記小売店に支払
い、上記小売店は上記電子現金の正当性を検証して受け
取り、 (5) 上記小売店は上記電子現金Ｃの情報を含む上記利用
者との全交信データＨを上記監視機関に送信して決済を
求め、 (6) 上記監視機関は受信した上記交信データＨ中の上記
電子現金Ｃの正当性を検証し、上記銀行に対し上記小売
店の口座に上記支払金額ｙを振り込むよう指示を与え
る。

【０００６】上記方法のステップ(1) において、利用者
は監視機関の暗号鍵PK_Tを使って署名検証鍵Ｎ_Uと金額
Ｘを含む組を暗号関数Ｅ_Tにより暗号化して得たE_T(X,N
_U)と金額Ｘを銀行及び監視機関に送り、更に、署名検証
鍵Ｎ_Uをブラインド署名前処理してF(N_U) を銀行に送
り、ステップ(2) で銀行は利用者名Ｕと対応して署名検
証鍵情報ｎをデータベースに記録する代わりにE_T(X,N_U)
を記録し、また、(X,N_U)に対する直接署名の代わりに、
F(N_U) に対するブラインド署名Z(N_U) を利用者に送り、
ステップ(4) で利用者はF(N_U) ブラインド署名後処理に
より得た銀行署名S_B(N_U)を電子現金の一部として使うよ
うにしてもよい。

【０００７】この発明による利用者装置は、利用者署名
用鍵SK_Uを生成する鍵生成手段と、金額Ｘと署名検証鍵
Ｎ_Uとに対する銀行の署名S_B(X,N_U)と、残額ｘと、額面
Ｘと，署名検証鍵Ｎ_Uとを含む電子現金Ｃと、上記署名
用鍵SK_U とを保持するメモリ手段と、支払金額ｙと上記
小売店から受信した任意の情報ｅとに対する署名を上記
署名用鍵SK_U を使って行い、署名S_U(e,y) を生成する署
名生成手段と、上記残額ｘから支払金額ｙを減算して残
額を更新する残額更新手段と、を含む。

【０００８】上記利用者装置において、暗号手段を設
け、監視機関の暗号鍵を使って金額Ｘと署名検証鍵Ｎ_U
を含む情報を暗号化して銀行に送り、更に、ブラインド
前処理手段とブラインド後処理手段を設け、署名検証鍵
Ｎ_Uに対する銀行のブラインド署名Z(N_U)を得て、そのZ
(N_U)から銀行の署名S_B(N_U)を得てもよい。この発明によ
る監視機関装置は、発行された電子現金を所有する利用
者に対応する署名検証鍵情報ｎを合計使用金額Ｙと対応
させて登録する監視データベースと、小売店から受信し
た残金ｘ、額面Ｘ、署名検証鍵Ｎ_U、銀行の署名S_B(X,N
_U)を含む電子現金Ｃと、支払金額ｙとを含む履歴データ
Ｈを保持する履歴データベースと、上記履歴データＨ中
の金額Ｘと検証鍵Ｎ_Uに対応する署名検証鍵情報ｎが上
記監視データベースに登録されているか検索し、登録さ
れていなければ不正使用された電子現金であると判定す
る手段と、上記署名検証鍵情報が登録されている場合、
上記履歴データＨ中の支払金額ｙを上記監視データベー
ス中の対応する合計使用金額Ｙに加算する加算手段と、
上記加算手段による加算結果Y+y を額面Ｘと比較する比
較手段と、上記比較手段による比較結果がY+y<X であれ
ば上記監視データベース中の対応する合計使用金額Ｙを
上記加算結果Y+y で更新し、Y+y=X であれば上記監視デ
ータベース中の対応する署名検証鍵情報ｎと合計使用金
額Ｙを削除し、Y+y>X であれば不正使用された電子現金
であると判定して上記ｎ，Ｙを削除すると共に、その署
名検証鍵情報ｎを上記銀行に通知する制御手段、とを含
む。

【０００９】上記監視機関装置において、復号手段を設
け、利用者からの暗号化情報E_T(X,N_U)を復号して得た
(X,N_U)を監視データベースに登録するようにしてもよ
い。この発明によれば、電子現金発行を行う機関（銀
行）と決済のための検証処理を行う機関（監視機関）を
分離し、監視機関において銀行の発行した電子現金の流
通量を監視する。一方、利用者の支払い処理を利用者の
署名鍵を用いて行うことにより、分割支払いを可能とし
ている。つまり、支払い額に対して利用者の署名を付け
させることにより、利用者が一定金額以上の支払いをし
た場合、その不正行為を証拠として提示できる。

【００１０】

【発明の実施の形態】図１は、この発明方法が適用され
るシステムの構成の例を示す。電子現金の発行を監視す
る監視機関の装置100 （この監視機関を表す情報をＴと
記し、その機関が有する装置を監視機関側装置という）
と、電子現金を発行する機関（この機関を銀行といい、
情報Ｂで表す）が有する装置（銀行側装置という）と、
発行された電子現金を使用する者（利用者という）が有
する装置（利用者装置という）300 （この利用者を表す
情報をＵと記す）と、利用者より電子現金を受領する機
関（小売店という）が有する装置（小売店側装置とい
う）400 （この小売店を表す情報をＷと記す）とが通信
回線などを介して接続されている。これらは情報を記録
できるＩＣカード等を介して接続されてもよい。以下に
説明するこの発明の実施例において使用されるディジタ
ル署名は既に確立した技術として様々な方式が知られて
おり、それらのどれを使ってもよい。

【００１１】図１に示したシステム構成において適応さ
れるこの発明の電子現金実施方法を次ぎに説明する。第１実施例 (1) 電子現金の発行処理まず、利用者が、電子現金を発行してもらう場合を図２
を用いて説明する。

【００１２】銀行側装置200 は、あらかじめディジタル
署名（池野、小山著「現代暗号理論」電子情報通信学
会、等を参照）用の公開鍵PK_B 及び秘密鍵SK_B の組を生
成してメモリ20M に保持する。その秘密鍵SK_B と、それ
を用いて署名を生成するための署名生成関数Ｓ_B を秘密
とする。更に、そのディジタル署名を検証するための署
名検証関数Ｖ_B と、その署名検証関数に使用する検証用
公開鍵PK_B を公開する。

【００１３】利用者側装置は、銀行のその利用者300 の
口座（利用者情報Ｕと対応）から発行電子現金の額面と
同じ金額Ｘを引き下ろすことを要請するための手続きを
以下の手順で行う。ステップ１：利用者側装置300 は、ディジタル署名の鍵
生成部301 を用いて、署名生成鍵SK_U 及び署名検証鍵Ｎ
_U を生成し、メモリ30M に記録する。従って、署名検証
鍵Ｎ_U は利用者情報Ｕと対応している。

【００１４】電子現金の額面と等しい金額Ｘを利用者30
0 の口座から引き下ろすことを要請するメッセージと利
用者情報（利用者識別情報或いは口座番号）ＵをＮ_U と
共に銀行側装置200 に送る。なお、この実施例では、利
用者側装置が新しい電子現金の発行をしてもらう毎に署
名検証鍵Ｎ_U を新しく生成する、即ち、変更する場合に
ついて説明するが、後述するように、同一署名検証鍵Ｎ
_U を複数の電子現金に使用してもよい。

【００１５】ステップ２：銀行側装置200 は、利用者30
0 の口座の残高をチェックし、その残高よりＸを減額
し、更に利用者名Ｕと対応させて(X,N_U)を署名検証鍵情
報として利用者データベース201 に記録しておく。その
とき、利用者300 のディジタル署名のついた引き下ろし
依頼メッセージがあればそれも一緒に記録しておく。次
に、銀行側装置200 は署名関数Ｓ_B の署名作成部202 を
用いて、Ｘ，Ｎ_U に対する銀行200 のディジタル署名S_B
(X,N_U)を計算し、S_B(X,N_U)を利用者側装置300 に送付す
るとともに、(X,N_U)を監視機関側装置100 に送付する。ステップ３：利用者側装置300 はS_B(X,N_U)をx,X,N_Uと共
に額面Ｘ、残高ｘの電子現金Ｃ={x,X,N_U,S_B(X,N_U)}とし
てメモリ30M に保持する。ただし、残高ｘの初期値はｘ
＝Ｘである。

【００１６】ステップ４：監査機関側装置100 は、(X,N
_U)を署名検証鍵情報として監視データベース101 に登録
する。ここで、その(X,N_U)に対応する電子現金の現在ま
での支払金額ｙの合計額Ｙの初期値をY=0 として(X,N_U)
に対応して記録する。なお、この第１実施例では、署名
検証鍵Ｎ_U を利用者側装置が生成する例を示している
が、他の機関、例えば監視機関100 又は銀行側装置200
が生成することにしてもよい。その場合は、電子現金発
行依頼に応じて予め監視機関側装置又は銀行側装置がそ
の署名検証鍵Ｎ_U を生成し利用者側装置300 に送信する
ことになる。 (2) 電子現金の支払次に、利用者側装置300 が、利用者側装置の署名検証鍵
Ｎ_U と銀行側装置200より発行された署名S_B(X,N_U)の組
を含む額面Ｘ、残高ｘ（初期値ｘ＝Ｘ）の電子現金Ｃを
用いて小売店Ｗで金額ｙ（ｙ≦ｘ）を支払う場合につい
て図３を用いて説明する。

【００１７】ステップ１：利用者側装置300 は、メモリ
30M から読みだした残高ｘを表示部30D に表示してそれ
が利用しようとする金額ｙ以上であることを確認して電
子現金Ｃ={x,X,N_U,S_B(X,N_U)}を小売店側装置400 に送
る。ステップ２：小売店側装置400 は、署名検証部401 を用
いて、電子現金の発行者（銀行側装置200 ）の署名S
_B(X,N_U)の正当性を署名検証関数Ｖ_B により検証する。
正しければ、一方向関数演算部402 により一方向関数ｆ
を用いて時間TIME、小売店側装置400 に対応する情報Ｗ
から検証のための問い合わせ情報ｅ=f(TIME,W)を生成
し、TIME，Ｗ，ｅを利用者側装置300 に送る。

【００１８】ステップ３：利用者側装置300 は、一方向
関数演算部306 、比較部307 を用いて、ｅ＝f(TIME,W)
の正当性を検証する。正しければ、署名生成部305 を用
いて、送られてきたｅ及び支払金額y(y≦x)に対する利
用者の署名S_U(e,y) を計算し、ｙ，S_U(e,y) を小売店側
装置400 に送付する。ステップ４：小売店側装置400 は、利用者署名S_U(e,y)
と支払金額ｙの正当性を、問い合わせ情報ｅと署名検証
鍵Ｎ_U を使って署名検証部404 により検証し、更に、比
較部403 を用いて、ｙ≦ｘを検証する。いずれも正しけ
れば、該当支払金額ｙの電子現金による支払いを認め、
少なくとも１つが正しくなければ支払を認めない判定結
果OK/NG を利用者側装置に送る。また、後の決済のた
め、利用者側装置300 との間の交信データH={x,X,N_U,S_B
(N_U),TIME,W,e,y,S_U(e,y)}を小売店データ蓄積部40D に
保持する。

【００１９】なお、小売店側装置400 がTIME，Ｗ，ｅを
利用者側装置300 へ送った後、S_B(X,N_U)の正当性の検証
を行ってもよい。ステップ５：利用者側装置300 は小売店側装置400 から
の判定結果OK/NG がOKであれば、メモリ30M の残高ｘを
減算部302 によりｘ←x-y と更新する。 (3) 決済最後に、小売店側装置400 と銀行側装置200 の間の決済
方法について図４を用いて説明する。

【００２０】ステップ１：小売店側装置400 は決済のた
めにまず監視機関側装置100 に利用者側装置300 と小売
店側装置400 の間の全ての相互通信データＨ＝{x,X,N_U,
S_B(X,N_U),TIME,W,e,y,S_U(e,y)}を自分の口座を有する銀
行側装置200 を経由して（または直接）送信する。ステップ２：監視機関側装置100 は、相互通信データＨ
に含まれる利用者側装置300 の署名検証用鍵Ｎ_U と額面
Ｘの組(X,N_U)が監視デーベース101 に登録されているか
どうかを検査する。登録されていれば、制御部114 は加
算部107 及び比較部103 を用いて、以下の処理を行う。
まず、(X,N_U)に対応して記録されている支払金額の合計
値ＹをY+y→Yと更新し、更に更新されたＹがＸを越えて
ないことを検査する。また、制御部114 は相互通信デー
タＨを履歴データベース108 に記録する。履歴データベ
ース108 へのデータの書き込みは、好ましくは予め決め
た期限付きとし、期限の切れたデータは消去することに
よりデータ量を削減することが好ましい。

【００２１】もし、更新された支払合計金額Ｙが額面Ｘ
を越えていなければ、使われた電子現金の発行銀行に対
し、小売店側装置400 が指定した銀行の口座に金額ｙを
振り込むよう指示する。このとき、小売店400 が口座を
持つ銀行は、利用者側装置300 の(X,N_U)に対し署名した
銀行200 でなくても良い。更に、Y+y=X ならば、監視デ
ータベース101 から(X,N_U)及びそれに対応する支払合計
金額Ｙを削除する。

【００２２】(X,N_U)が監視データベース101 に登録され
ていない場合は、利用者300 による不正支払いが行われ
たものとして、不正者特定処理を行う。また、Y+y>X な
らば、制御部114 は監視データベース101 からＸ，Ｎ_U
の対及びそれに対応するＹを削除すると共に、やはり、
利用者による不正支払いが行われたものとして、不正者
特定処理を行う。

【００２３】ステップ３：不正者特定処理では、監視機
関側装置100 は、(X,N_U)を削除する前に履歴データベー
ス108 より不正行為の証拠となる情報（不正支払に関す
る全ての相互通信データＨ）を読み出し、電子現金発行
元銀行側装置200 に送付する。銀行側装置200 は、不正
行為の証拠の正当性を、署名検証部203 によりＮ_U を使
って検証し、正しければ(X,N_U)をキーワードとして利用
者データベース201 から対応する利用者情報Ｕに該当す
る不正利用者300 を特定する。

【００２４】上述において、利用者は署名検証鍵Ｎ_Uを
原型のまま含む情報(X,N_U)を銀行側装置及び監視機関側
装置に送る場合を説明したが、一般には、署名検証鍵Ｎ
_Uの情報をそのままの形態も含め、任意の形態に変換し
て送ってよい。この任意の形態の変換をn=f(N_U) で表
す。従って、上述の実施例の説明におけるより一般的な
表現として、利用者側装置は、n=f(N_U) で表される署名
検証鍵情報を額面Ｘと共に銀行及び監視機関側装置に送
る。例えば、利用者側装置は一方向関数ｆを使って署名
検証鍵Ｎ_Uを含む情報をn=f(N_U) のように変換し、(X,
n) を銀行側装置200 、更に監視機関側装置100 に送っ
て、それぞれ署名検証鍵情報としてデータベース201，1
01に書き込んでもよい。

【００２５】上述の第１実施例において、銀行側装置20
0 は例えば一方向性のハッシュ関数ｈによりn=h(X,N_U)
なる圧縮されたデータｎを署名検証鍵情報として生成
し、この署名検証鍵情報ｎと利用者300 の名前Ｕとを対
応させて利用者データベース201 に記憶してもよい。同
様に、監視機関側装置100 も銀行側装置から受けた(X,N
_U)を一方向ハッシュ関数により圧縮して得たデータn=h
(X,N_U) を監視データベース101 に合計使用金額Ｙと対
応して登録してもよい。その場合、図４の監視機関側装
置100 は小売店側装置400 からの履歴データＨ中の(X,N
_U)を同じ一方向ハッシュ関数ｈにより圧縮して得られた
署名検証鍵情報ｎによりデータベース101 を検索し、同
じ署名検証鍵情報ｎが存在するか、即ち(X,N_U)が登録さ
れているかを検査する。

【００２６】上述のようにして使用された電子現金の残
額ｘを使って利用者300 が任意の小売店に支払を行う場
合の手順は、上述した利用者側装置300 と小売店側装置
400間の支払手順と全く同じであり、またそれにともな
う小売店側装置と監視機関側装置100 との間の決済手順
も前述と全く同様にして行うことができる。上述したこ
の発明の電子現金実施方法によれば、各銀行側装置200
が発行する電子現金の金額Ｘは全て監視機関側装置100
に報告されるので、それぞれの銀行による電子現金の発
行総量を監視することもできるし、監視機関100 は常に
流通している電子現金の総量を把握することができる。

【００２７】また、この発明によれば、電子現金で支払
を行う場合、使用金額が現残額ｘ以下であることを確認
するだけなので、電子現金の分割使用における処理手順
は前述の米国特許No.5,224,162に示された電子現金の分
割使用手順より著しく簡単であり、かつ、そのための交
信情報量も著しく少なくてすむ。更に、この発明の特徴
とするところは、監視機関側装置100 において、監視デ
ータベース101 に保持される監視対象の登録データ(X,N
_U)は、対応する電子現金がその額面Ｘまで全て使いきっ
た時点で抹消されるので、それ以降、不正により同じ電
子現金が使用されても、小売店側装置から監視機関側装
置に決済のため送られるその電子現金のデータ(X,N_U)は
既にデータベース101 から抹消されているので、不正使
用が直ちに露見する。また、この方法において特徴的な
ことは、上述のようにデータベース101 に保持されてい
る監視対象としての登録データ(X,N_U)は使用済み又は不
正発覚時点で抹消されるので、データベース101 に保持
されている登録データ(X,N_U)は、その時点で有効なもの
だけである。従って電子現金の発行総量がある程度一定
していれば、監視データベース101 に保持しなければな
らない登録デー多量はほぼ一定となり、累積していくこ
とはない。これに対し、従来の電子現金方式において
は、各銀行側装置は不正使用された電子現金と使用済み
電子現金（将来不正使用される可能性がある）のリスト
を監視対象として保持しなければならず、電子現金の発
行量と共に監視データ量が累積していく問題がある。

【００２８】次に上述の第１実施例における特徴的な利
用者側装置300 と監視機関側装置100 の機能構成を以下
に説明する。図５は上述の第１実施例において利用者側
装置300 の処理手順を実行するための利用者側装置の機
能ブロック図を示す。その構成は、図２及び３中の利用
者側装置300 が実行する電子現金発行時の処理機能部30
0aと、電子現金使用時の処理機能部300bが互いに入力部
311 、制御部312 、メモリ30M を共有するように構成さ
れている。電子下金発行時の機能構成部300aは、入力
部311 と、各部の動作を制御するための制御部312 と、
鍵生成部301 と、送信部313 と、受信部314 と、メモリ
30M とから構成されている。制御部312 は入力部311 か
らコマンド、利用者情報Ｕ、額面Ｘが与えられると、電
子現金発行要求のため利用者情報Ｕと額面Ｘを送信部31
3 から銀行側装置200(B)に送信すると共に、鍵生成部30
1 に対し検証鍵Ｎ_U と署名鍵SK_U の生成を行わせ、Ｘと
共にメモり30M に保持させる。更に生成した鍵Ｎ_U を銀
行200 に送信させる。

【００２９】制御部312 は銀行側装置200 から(X,N_U)に
対する署名S_B(X,N_U)を受信部314 で受信すると制御部31
2 はそれをメモり30M に保持する。電子現金使用時の機
能構成部300bは入力部311 と、制御部312 と、メモリ30
Mと、表示部30D と、減算部302 と、署名構成部305
と、一方向関数部306 と、比較判定部307 と、送信部31
5 と、受信部316 とから構成される。小売店側装置400
に対する支払額が入力部311 から入力されるとメモリ30
M から残額ｘを読み出し、表示部30D に表示し、残額ｘ
が支払額以上であることを確認する。次にメモリ30M か
ら額面Ｘ、残金ｘの電子現金Ｃ={x,X,N_U,S_B(X,N_U)}を読
み出し、送信部315 から小売店側装置400 に送信する。
これに応答して小売店400 から問い合わせ情報ｅ、TIM
E、Ｗを受信部316 により受信するとTIMEとＷを一方向
関数部306により一方向関数処理してf(TIME,W) を得
て、これが受信したｅと一致するか、比較判定部307 で
判定する。一致すれば署名生成部305 で署名鍵SK_U を使
ってｅとｙの組に対する署名S_U(e,y) を生成し、支払金
額ｙと共に小売店側装置400 に送信する。それと共に減
算部302 で残額ｘから支払金額ｙを減算して更新した残
額ｘでメモリ30M 内の残額ｘを更新する。

【００３０】監視機関側装置100 は図６に示すように、
監視データベース101 と、履歴データベース108 と、加
算部107 と、比較部103 と、これらの動作を制御する加
算部107 と、履歴データベース108 と、受信部112 と、
送信部113 と、受信部115 と、制御部114 とから構成さ
れている。受信部112 で銀行側装置200 から(X,N_U)を受
信すると制御部114 は(X,N_U)を監視データベースに登録
し、それに対応して電子現金の合計使用金額初期値Y=0
を記録する。

【００３１】以後、小売店側装置400 から受信部115 に
より電子現金Ｃ={x,X,N_U,S_B(X,N_U)}による支払手順の履
歴データＨ={x,X,N_U,S_B(X,N_U),TIME,W,e,y,S_U(e,y)}を
受信すると、制御部114 は受信データ中の(X,N_U)が監視
データベース101 に既に登録されているか検索し、登録
されていなければその電子現金による支払いは不正なも
のとして電子現金の発行銀行側装置に(X,N_U)を通知す
る。既に登録されていればその(X,N_U)に対応する監視デ
ータベース101 中の合計使用金額ＹとデータＨ中の支払
金額ｙとを加算部107 で加算する。その加算結果を比較
部103 でデータＨ中の額面Ｘと比較する114 にその比較
結果がY+y＞Xであれば不正使用であると判定し、監視デ
ータベース101 から(X,N_U)及びそれと対応するＹを削除
すると共に(X,N_U)を電子現金発行銀行側装置に通知す
る。Y+y＜Xであればその電子現金の使用は不正のないも
のと判定、履歴データベースにデータＨを記録すると共
に、監視データベース101 中の対応する合計使用金額Ｙ
を加算部107 の加算結果により更新する。Y+y=X の場
合、その電子現金の額面Ｘが全額使用されてしまったこ
とを意味し、従って監視データベース101 から(X,N_U)と
それに対応するＹを削除する。

【００３２】上述の第１実施例では、同一利用者が電子
現金の発行を要求する毎に異なる署名検証鍵Ｎ_U を生成
するため、額面Ｘが同じでも同一利用者の複数の電子現
金を区別することができる。同一利用者が常に同一署名
検証鍵Ｎ_U を使用できるようにするには、電子現金毎に
異なる変数値Ｒ（例えば乱数）を生成し、前述のデータ
(X,N_U)の代わりに(X,N_U,R)を使用すればよい。即ち、銀
行側装置200 では利用者情報Ｕに対応してデータ(X,N_U,
R)又はn=h(X,N_U,R) を記録する。また、監視機関側装置
100 ではデータ(X,N_U)を登録する代わりに(X,N_U,R)又は
n=h(X,N_U,R) を登録する。利用者側装置は小売店側装置
400 にデータ(X,N_U,R)及びS_B(X,N_U,R)を含む電子現金Ｃ
を送る。決済においては、監視機関側装置100 は小売店
側装置からのデータＨ中の(X,N_U,R)又はそれを変換した
ｎが監視データベース101 に登録されているかを検査す
る。その他の具体的手順は前述と同様である。第２実施例ところで、図２、３及び４を参照に説明した実施例で
は、銀行に電子現金の発行を求める場合に、利用者側装
置は自分の署名検証鍵Ｎ_U を銀行側装置に提出するの
で、銀行は利用者の情報Ｕと(X,N_U)との対応関係を知っ
ている。一方、小売店側装置では電子現金の支払を受け
る場合に利用者側装置から(X,N_U)を受け取る。そこで、
もし銀行が小売店と結託すれば、銀行は小売店で電子現
金を使用した利用者の情報Ｕを得ることができることに
なるので、図２、３及び４の実施例はプライバシ保護の
面で十分といえない。この点を改善した実施例を以下に
図７、８及び９を参照して説明する。

【００３３】この第２実施例では、電子現金発行処理に
おいて利用者側装置は銀行に利用者の(X,N_U)の対が知ら
れないようにするため、(X,N_U)を監視機関側装置の暗号
化鍵で暗号化して銀行側装置に与える。また、銀行側装
置の電子現金発行手順において、銀行側装置にＮ_U が知
れないようにするため、銀行側装置の電子現金に対する
署名はブラインド署名を行う。以下、図７、８、９を参
照して詳細に説明する。 (1) 電子現金の発行処理まず、利用者が、電子現金を発行してもらう場合を図７
を用いて説明する。

【００３４】監視機関側装置100 は、予め公開鍵暗号方
式用の公開鍵PK_T と秘密鍵SK_T を生成してメモリ10M に
保持しておき、銀行側装置200 はブラインド署名方式用
の各額面Ｘに対応した対の公開鍵PK_B と秘密鍵SK_B を生
成して保持しているものとする。監視機関側装置100
は、公開鍵暗号用の暗号化関数Ｅ_T と公開鍵PK_T を公開
すると共に、公開鍵PK_T と対をなす復号用の秘密鍵SK_T
と、それを用いる復号関数Ｄ_T を秘密に保持する。

【００３５】銀行側装置200 は、ブラインド署名用の公
開鍵PK_B と署名検証関数Ｖ_B を公開すると共に、ブライ
ンド署名用公開鍵PK_B と対をなすブラインド署名用秘密
鍵SK_B と、それを用いた署名生成関数Ｓ_B を秘密に保持
する。利用者側装置300 は、銀行200 の利用者300 の口
座から電子現金の額面金額Ｘを引き下ろすことを要請す
るための手続きを以下の手順で行う。

【００３６】ただし、この実施例では利用者は電子現金
の発行を要求するときは常に同一の署名検証鍵Ｎ_U を使
う場合で説明する。従って、この場合、同一利用者の複
数の電子現金をそれぞれ区別できるように、前述した変
数値（例えば乱数）Ｒを(X,N_U)と組み合わせて使用す
る。ステップ１：利用者側装置300 は、ディジタル署名の鍵
生成部301 を用いて、署名生成鍵SK_U 及び署名検証鍵Ｎ
_U を生成し、乱数生成部30R により変数値として乱数Ｒ
を生成する。なお、この実施例では乱数Ｒを使うことに
より安全性をより高めているが、乱数Ｒの代わりに他の
どの様な任意の変数値を使ってもよい。

【００３７】次に、監視機関側装置100 の暗号化用公開
鍵PK_T を使って公開されている暗号関数Ｅ_T を計算する
暗号部303 によりE_T(X,N_U,R)を計算し、金額Ｘを利用者
300の口座から引き下ろすことを要請するメッセージをE
_T(X,N_U,R)とともに銀行側装置200 に送る。このメッセ
ージは、利用者側装置300 のディジタル署名等で認証さ
れていることが望ましい。前述の第１実施例で説明した
と同様に、利用者側装置はＮ_U を所望の関数で変換して
ｎを生成し、銀行側装置200 に対しＸを引き下ろすよう
に要請すると共に暗号化情報E_T(X,n) を生成して銀行側
装置へ送るようにしてもよい。

【００３８】ステップ２：銀行側装置200 は、利用者30
0 の口座の残高をチェックし、その残高よりＸを減額
し、更に利用者名Ｕと対応させてE_T(X,N_U,R)を署名検証
鍵情報として利用者データベース201 に記録しておく。
利用者側装置300 の署名のついた引き下ろし依頼メッセ
ージがあればそれも一緒に記録しておく。銀行側装置20
0 は暗号化データE_T(X,N_U,R)を復号する復号秘密鍵SK_T
を持っていないので、(X,N_U,R)を知ることはできない。

【００３９】次に、{X,E_T(X,N_U,R)}を監視機関側装置10
0 に送付する。ステップ３：監視機関側装置100 は、復号関数Ｄ_T の復
号部102 を用いて、E_T(X,N_U,R)を復号化して(X,N_U,R)を
求める。次に、銀行側装置200 から送られてきたＸと復
号化により得られたＸの同一性を比較部103 により検証
する。それが正しければ、(X,N_U,R)を署名検証鍵情報と
して監視データベース105 に登録すると共に、それに対
応して利用金額の合計額Ｙの初期値Y=0 を記憶する。

【００４０】ステップ４：利用者側装置300 は、額面金
額Ｘに対応する銀行のブラインド署名公開鍵PK_B を用い
て、ブラインド署名生成部304 によりF(N_U) を生成し
（ブラインド署名前処理と呼ばれている）、それを銀行
側装置200 に送る。銀行側装置200 はF(N_U) をブライン
ド署名作成部203 に入力し、ブラインド署名秘密鍵SK_B
を使ってブラインド署名Z(N_U) を生成し、それを利用者
側装置300に送る。

【００４１】利用者側装置300 は、ブラインド署名公開
鍵PK_B を使ってブラインド署名抽出部308 によりZ(N_U)
から銀行側装置の署名S_B(N_U)を得る（一般にブラインド
署名後処理と呼ばれている）。ブラインド署名の実現法
については、ＲＳＡ法を用いた方式が、Chaum, Fiat,Na
orによる"Un-traceable Electronic Cash", Proc. of C
RYPTO'88"に紹介されており、更にSchnorr法を用いたブ
ラインド署名がT.Okamotoによる"Provably Secure and
Practical Identification Schemes and Corresponding
Signature Schemes", Proc. of CRYPTO'92, pp.31-53,
1993のAppendix Bで紹介されている。

【００４２】ここで、利用者側装置300 はＣ={x,X,N_U,
R,S_B(N_U)}を額面Ｘ、残高ｘの電子現金としてメモリ30M
に保持する。ただし、残高ｘの初期値はx=X である。
この第２実施例では、署名検証鍵Ｎ_U を利用者側装置30
0 が生成する例を示しているが、他の機関の装置、例え
ば監視機関側装置100 が生成することにしてもよい。そ
の場合は、利用者側装置300 は暗号鍵Ｋを作り、E_T(K)
を銀行側装置200を経由して監視機関側装置100 に送り
監視機関側装置100 はE_T(K) を復号してＫを求め、生成
したＮ_U をＫで暗号化してE_K(N_U)とし、そのE_K(N_U)を銀
行側装置経由で利用者側装置に送信する。利用者側装置
300 は暗号鍵Ｋを使って受信したE_K(N_U)を復号してＮ_U
を得る。 (2) 電子現金の支払次に、利用者側装置300 が、利用者の署名検証鍵Ｎ_U と
銀行側装置200 より発行された署名S_B(N_U)との組を額面
Ｘ、残高ｘ（初期値ｘ＝Ｘ）の電子現金Ｃとして用いて
小売店Ｗで金額ｙ（ｙ≦ｘ）を支払う場合について図８
を用いて説明する。一般にブラインド署名では、所望の
種類の額面Ｘにそれぞれ対応して固有な対の鍵SK_B、 PK
_B を生成することが可能である。従って、額面を提示す
れば、使用すべきブラインド署名検証鍵PK_B がわかる。
即ち、署名S_B(N_U)は署名検証鍵Ｎ_U と額面Ｘの両方の情
報を含んでいることと同じである。

【００４３】ステップ１：利用者側装置300 は、メモリ
30M から読みだした残高ｘを表示部30D に表示してそれ
が利用しようとする金額ｙ以上であることを確認して電
子現金Ｃ＝{x,X,N_U,R,S_B(N_U)} を小売店側装置400 に送
る。ステップ２：小売店側装置400 は、署名検証部401 によ
り額面Ｘに対応する公開鍵PK_B を用いて、電子現金の発
行者（銀行200 ）の署名S_B(N_U)の正当性を署名検証関数
Ｖ_B により検証する。正しければ、一方向関数演算部40
2 により一方向関数ｆを用いて時間TIME、小売店側装置
400 に対応する情報Ｗから検証のための問い合わせ情報
ｅ=f(TIME,W)を生成し、TIME，Ｗ，ｅを利用者側装置30
0 に送る。

【００４４】ステップ３：利用者側装置300 は、一方向
関数演算部306 、比較部307 を用いて、ｅ＝f(TIME,W)
の正当性を検証する。正しければ、署名生成部305 を用
いて、送られてきたｅ及び支払金額ｙ（ｙ≦ｘ）に対す
る利用者側装置の署名S_U(e,y) を計算し、ｙ，S_U(e,y)
を小売店側装置400 に送付する。ステップ４：小売店側装置400 は、署名検証部401 を用
いて、利用者署名S_U(e,y) と支払金額ｙの正当性を問い
合わせ情報ｅと署名検証鍵Ｎ_U を使って検証し、更に、
比較部403 を用いて、ｙ≦ｘを検証する。いずれも正し
ければ、該当支払金額ｙの電子現金による支払いを認め
る。また、後の決済のため、利用者側装置300 との間の
交信データH={x,X,N_U,R,S_B(N_U),TIME,W,e,y,S_U(e,y)}を
小売店データ蓄積部40D に保持する。、少なくとも１つ
が正しくなければ支払を認めない判定結果OK/NG を利用
者側装置に送る。また、後の決済のため、利用者側装置
300との間の交信データH={x,X,N_U,R,S_B(N_U),TIME,W,e,
y,S_U(e,y)}を小売店データ蓄積部40Dに保持する。

【００４５】なお、小売店側装置400 がTIME，Ｗ，ｅを
利用者側装置300 へ送った後、S_B(N_U)の正当性の検証を
行ってもよい。ステップ５：利用者側装置300 は小売店側装置400 から
の判定結果OK/NG がOKであれば、メモリ30M の残高ｘを
減算部302 によりｘ←x-y と更新する。 (3) 決済最後に、小売店側装置Ｗと銀行側装置Ｂの間の決済方法
について図９を用いて説明する。

【００４６】ステップ１：小売店側装置400 は決済のた
めにまず監視機関側装置100 に利用者側装置300 と小売
店側装置400 の間の全ての相互通信データH={x,X,N_U,R,
S_B(N_U),TIME,W,e,y,S_U(e,y)}を決済銀行名とともに送信
する。ステップ２：監視機関側装置100 の制御部114 は、相互
通信データＨに含まれる利用者側装置300 の署名検証用
鍵Ｎ_U と、乱数Ｒと、額面Ｘの組(X,N_U,R)が監視デタベ
ース105 に登録されているかどうかを検査する。登録さ
れていれば、制御部114 は加算部107 及び比較部103 を
用いて、以下の処理を行う。まず、(X,N_U,R)に対応して
記録されている利用金額の合計値ＹをY+y→Yに更新し、
更に更新されたＹがＸを越えてないことを検査する。ま
た、制御部114 は相互通信データＨを履歴データベース
108 に記録する。

【００４７】もし、更新された合計支払額Ｙが額面Ｘを
越えてなければ、使用された電子現金の発行銀行側装置
200 に対し、小売店側装置400 の指定した銀行の口座に
金額ｙを振り込むよう指示する。このとき、小売店400
が口座を持つ銀行は、利用者300 の検証用鍵Ｎ_U にブラ
インド署名した銀行200 （電子現金を発行した銀行）で
なくても良い。更に、Y+y=X ならば、監視データベース
105 から(X,N_U,R)及びそれに対応するＹを削除する。

【００４８】(X,N_U,R)が監視データベース105 に登録さ
れていない場合は、利用者による不正支払いが行われた
ものとして、不正者特定処理を行う。また、Y+y>X なら
ば、制御部114 は監視データベース105 から(X,N_U,R)及
びそれに対応するＹを削除すると共に、やはり、利用者
による不正支払いが行われたものとして、不正者特定処
理を行う。

【００４９】ステップ３：不正者特定処理では、制御部
114 は、履歴データベース108 より不正行為の証拠とな
る情報Ｈを読み出し、情報Ｈ中の(X,N_U,R)を暗号部116
により公開鍵PK_T を使って暗号化してE_T(X,N_U,R)を得
て、情報Ｈと共に電子現金の発行元銀行側装置200 に送
付する。銀行側装置200 は、不正行為の証拠である情報
Ｈ中のS_U(e,y),S_B(N_U)の正当性を鍵Ｎ_U,PK_B を使って署
名検証部203 により検証し、正しければE_T(X,N_U,R)をキ
ーとして利用者データベース201 から対応する不正利用
者情報Ｕに該当する不正利用者300 を特定する。あるい
は、監視機関100に暗号部116 を設ける代わりに、銀行
側装置200 に暗号部を設けて、監視機関100 から受けた
(X,N_U,R)を暗号化してE_T(X,N_U,R)を得てもよい。

【００５０】更に、小売店400 が実名Ｗを監視機関100
に教えたくない場合は、小売店側装置が監視機関に送る
通信データＨ中には仮名W'を用いて実名Ｗを使わない
ようにする。また、小売店側装置400 は決済銀行400 と
Ｗの対応を通知しておくため、その銀行は監視機関側装
置より受け取ったＷへの振り込み依頼を小売店400 への
振り込み依頼であると判断する。

【００５１】次に上述の第２実施例における特徴的な利
用者側装置300 と監視機関側装置100 の機能構成を以下
に説明する。図１０は上述の第１実施例において利用者
300 の処理手順を実行するための利用者側装置の機能ブ
ロック図を示す。その構成は、図７及び８中の利用者側
装置300 が実行する電子現金発行時の処理機能部300a
と、電子現金使用時の処理機能部300bが互いに入力部31
1 、制御部312 、メモリ30M を共有するように構成され
ている。

【００５２】電子下金発行時の機能構成部300aは、入力
部311 と、各部の動作を制御するための制御部312 と、
鍵生成部301 と、暗号化部303 と、ブラインド署名前処
理部304 と、ブラインド署名後処理部308 と、送信部31
3 と、受信部314 と、メモリ30M とから構成されてい
る。制御部312 は入力部311 からコマンド、利用者情報
Ｕ、額面Ｘが与えられると、電子現金発行要求のため利
用者情報Ｕと額面Ｘを送信部313 から銀行側装置200(B)
に送信すると共に、鍵生成部301 に対し検証鍵Ｎ_U と署
名鍵SK_U の生成を行わせ、Ｘと共にメモり30M に保持さ
せる。また、監視機関側装置100 の暗号化用公開鍵PK_T
を使って暗号化部303 によりX,N_U,Rを暗号化して得たE_T
(X,N_U,R)を銀行側装置200 に送信する。更に銀行側装置
のブラインド署名用公開鍵PK_B を使ってブラインド署名
前処理部304 により検証鍵Ｎ_U を前処理し、得られたF
(N_U) を銀行側装置200 に送信する。

【００５３】制御部312 は銀行側装置200 からF(N_U) に
対するブラインド署名Z(N_U) を受信するとブラインド署
名後処理部308 により銀行のブラインド署名用公開鍵PK
_B を使って銀行の署名S_B(N_U)を抽出し、それをメモり30
M に保持する。電子現金使用時の機能構成部300bは入力
部311 と、制御部312 と、メモリ30Mと、表示部30D
と、減算部302 と、署名構成部305 と、一方向関数部30
6 と、比較判定部307 と、送信部315 と、受信部316 と
から構成される。小売店400 に対する支払額が入力部31
1 から入力されるとメモリ30M から残額ｘを読み出し、
表示部30D に表示し、残額ｘが支払額以上であることを
確認する。次にメモリ30Mから額面Ｘ、残金ｘの電子現
金Ｃ={x,X,N_U,S_B(N_U)}を読み出し、送信部315 から小売
店側装置400 に送信する。これに応答して小売店側装置
400 から問い合わせ情報ｅ、TIME、Ｗを受信部316 によ
り受信するとTIMEとＷを一方向関数部306 により一方向
関数処理してf(TIME,W) を得て、これが受信したｅと一
致するか、比較判定部307 で判定する。一致すれば署名
生成部305 で署名鍵SK_U を使ってｅとｙの組に対する署
名S_U(e,y) を生成し、支払金額ｙと共に小売店側装置40
0 に送信する。それと共に減算部302 で残額ｘから支払
金額ｙを減算して更新した残額ｘでメモリ30M 内の残額
ｘを更新する。

【００５４】監視機関側装置100 は図１１に示すよう
に、メモリ10M と、監視データベース101 と、復号部10
2 と、比較部103 と、履歴データベース108 と、加算部
107 と、比較部103 と、これらの動作を制御する加算部
107 と、履歴データベース108と、受信部112 と、送信
部113 と、受信部115 と、これらの各部の動作を制御す
る制御部114 とから構成されている。受信部112 で銀行
側装置200 からＸとE_T(X,N_U,R)が受信されると、復号部
102 は暗号用秘密鍵SK_T を使って(X,N_U,R)を復号し、得
られた金額Ｘと受信したＸが一致するかを比較部103 で
チェックし、一致すればＮ_U と(X,N_U,R)の対と、それに
対応する利用合計金額の初期値Y=0 を監視データベース
101 に登録する。

【００５５】以後、小売店側装置400 から受信部115 に
より電子現金Ｃ={x,X,N_U,R,S_B(N_U)}による支払手順の履
歴データＨ={x,X,N_U,R,S_B(N_U),TIME,W,e,y,S_U(e,y)} を
受信すると、制御部114 は受信データ中の(X,N_U,R)が監
視データベース101 に既に登録されているか検索し、登
録されていなければその電子現金による支払いは不正な
ものとして電子現金の発行銀行に(X,N_U,R)を通知する。
既に登録されていればその(X,N_U,R)に対応する監視デー
タベース101 中の合計使用金額ＹとデータＨ中の支払金
額ｙとを加算部107 で加算する。

【００５６】その加算結果を比較部103 でデータＨ中の
額面Ｘと比較する114 にその比較結果がY+y＞Xであれば
不正使用であると判定し、監視データベース101 から
(X,N_U,R)及びそれと対応するＹを削除すると共に(X,N_U,
R)を電子現金発行銀行に通知する。Y+y＜Xであればその
電子現金の使用は不正のないものと判定、履歴データベ
ースにデータＨを記録すると共に、監視データベース10
1 中の対応する合計使用金額Ｙを加算部107 の加算結果
により更新する。Y+y=X の場合、その電子現金の額面Ｘ
が全額使用されてしまったことを意味し、従って監視デ
ータベース101 から(X,N_U,R)とそれに対応するＹを削除
する。

【００５７】上述の第２実施例において、利用者側装置
はET(X,N_U,R)を銀行及び監視機関に送る代わりに、ま
ず、(X,N_U)をハッシュ関数で署名検証鍵情報n=h(X,N_U)
に変換し、(n,R) を暗号化して得たE_T(X,N_U,R)を銀行及
び監視機関に送ってもよい。その場合、銀行側装置はE_T
(n,R) を署名検証鍵情報として利用者データベースに記
録紙、監視機関はE_T(n,R)又は(n,R)を署名検証鍵情報と
して関しデータベースに登録する。

【００５８】第１実施例で述べたと同様に、利用者の署
名検証鍵Ｎ_U を電子現金発行毎に変えれば、変数Ｒを使
用してもしなくてもよい。使用しない場合、銀行側装置
は利用者名Ｕに対応して(X,N_U)を利用者データベース20
1 に記録し、監視機関側装置100 は(X,N_U)またはE_T(X,N
_U)を登録する。変数Ｒを使用する場合は、その変数Ｒを
上述の第２実施例と全く同様に扱えばよいし、あるいは
変数Ｒを利用者側装置、銀行側装置、監視機関側装置間
の通信の安全性を高めるためにのみ使用する。後者の場
合、小売店側装置400 への支払電子現金Ｃには変数Ｒを
含めないので、決済において、小売店側装置400 からの
情報Ｈ中に含まれる利用者の署名検証鍵Ｎ_U が監視デー
タベース105 に登録されているかを検査するためには、
予め監視データベース105 に(X,N_U)とE_T(X,N_U,R)の対を
登録しておく。決済時に(X,N_U)をキーワードとして検索
し、それが登録されていれば、必要に応じて（即ち不正
利用者検出の必要があれば）検出したE_T(X,N_U,R)を銀行
側装置に送る。

【００５９】

【発明の効果】この発明の第１実施例では、銀行と小売
店が結託すると利用者のプライバシイが保証されなくな
るという欠点があるが、銀行が不正をしなければ利用者
のプライバシイを保証でき、かつ不正使用を検出でき
る、という特徴を備えている。この発明の第２実施例で
は、Chaum らの方式と同様に、銀行が小売店と結託して
も利用者のプライバシイを保証でき、かつ不正使用を検
出できる、という特徴を備えている。

【００６０】更に、この発明のいずれかの方法でも、Ch
aum らの方式よりも支払処理における通信量を少なくす
ることができる。また、分割利用が可能で、更に電子現
金の発行者と利用者の口座を管理する金融機関を階層的
に分離することができる。例えば、Chaum 等の方法で
は、電子現金の支払において、不正が成功する確率が1/
2³⁰ のとき、処理回数を３０回実行する必要があるた
め、一方向関数の出力サイズを128 ビットとすると、少
なくとも(3×128×30)＝11520 ビットの通信量を必要と
する。

【００６１】一方、この発明での支払処理においては、
ｙ，ｅ及びそれに対する利用者の署名のサイズが通信量
となる。ｙ，ｅ（更にTIME，Ｗ）のサイズの合計は高々
２００ビット程度あれば十分である。署名のサイズを10
24ビットとすると高々1200ビット程度となる。従って、
この発明の通信量は、支払処理時における通信量を１０
倍程度少なくすることが可能である。

【００６２】また、この発明では発行した電子現金を合
計が額面金額になるまで何回でも分割して利用が可能で
ある。更に、電子現金発行を行う機関（銀行）と決済の
ための検証処理を行う機関（監視機関）を分離し、監視
機関において銀行の発行した電子現金の流通量を監視す
ることを可能としている。つまり、監視機関では、銀行
が発行した電子現金の総量と銀行に還流してきた電子現
金の総量を知ることができるため、各時点で流通してい
る電子現金量を監視することが可能となる。

【図面の簡単な説明】

【図１】この発明が適用されるシステム構成の例を示す
図。

【図２】この発明の第１実施例における電子現金の発行
方法を機能的に示すブロック図。

【図３】この発明の第１実施例における電子現金の支払
方法を機能的に示すブロック図。

【図４】この発明の第１実施例における電子現金の決済
方法を機能的に示すブロック図。

【図５】この発明の第１実施例における利用者装置の機
能構成を示すブロック図。

【図６】この発明の第１実施例における監視機関装置の
機能構成を示すブロック図。

【図７】の発明の第２実施例における電子現金の発行方
法を機能的に示すブロック図。

【図８】この発明の第２実施例における電子現金の支払
方法を機能的に示すブロック図。

【図９】この発明の第２実施例における電子現金の決済
方法を機能的に示ブロック図。

【図１０】この発明の第２実施例における利用者装置の
機能構成を示すブロック図。

【図１１】この発明の第２実施例における監視機関装置
の機能構成を示す。

───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 17/60 410 G09C 1/00 660 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims

(57)【特許請求の範囲】

【請求項１】電子現金の発行を監視する監視機関が有
する装置（以降、監視機関側装置という）と、電子現金
を発行する機関（以降、銀行という）が有する装置（以
降、銀行側装置という）と、電子現金を利用する者（以
降、利用者という）が有する装置（以降、利用者側装置
という）と、電子現金により支払を受ける機関（以降、
小売店という）が有する装置（以降、小売店側装置とい
う）とを備えた電子現金実施システムにおける監視機関
付き電子現金実施方法において、以下のステップを含
む： (1) 上記利用者側装置は、銀行側装置に利用者情報Ｕと
電子現金の額面に対応する金額Ｘを送信し、利用者の口
座から金額Ｘを引き下ろすことを要請し、 (2) 上記銀行側装置は、上記利用者の口座から金額Ｘを
減額し、上記利用者側装置の署名検証用鍵Ｎ_U 及び金額
Ｘに対してその銀行側装置の署名S_B(X,N_U)を生成し上記
利用者側装置に送付すると共に、上記金額Ｘと上記署名
検証用鍵Ｎ_U の情報を含む署名検証鍵情報ｎを上記利用
者情報Ｕと対応させて利用者データベースに記録し、更
に上記監視機関側装置に上記署名検証鍵情報ｎを送付
し、 (3) 上記監視機関側装置は、上記署名検証鍵情報ｎを監
視データベースに登録し、 (4) 上記利用者側装置は上記金額Ｘと、上記署名検証鍵
Ｎ_U と、上記署名S_B(X,N_U)とを含む情報を額面Ｘの電子
現金Ｃとして使って支払金額ｙを上記小売店側装置に支
払い、上記小売店側装置は上記電子現金の正当性を検証して受
け取り、 (5) 上記小売店側装置は上記電子現金Ｃの情報を含む上
記利用者側装置との全交信データＨを上記監視機関側装
置に送信して決済を求め、 (6) 上記監視機関側装置は受信した上記交信データＨ中
の上記電子現金Ｃの正当性を検証し、上記銀行側装置に
対し上記小売店の口座に上記支払金額ｙを振り込むよう
指示を与える。
【請求項２】請求項１の方法において、上記ステップ
(1) で上記監視機関側装置は上記署名検証鍵情報と対応
させて合計使用金額Ｙを上記監視データベースに記録
し、上記ステップ(2) で上記利用者側装置は上記電子現
金内に残額ｘを上記電子現金の情報に含めて上記小売店
側装置に送る。
【請求項３】請求項２の方法において、上記ステップ
(4) は以下のステップを含む： (4a) 上記小売店側装置は任意の情報ｅを生成し、それ
を上記利用者側装置に送り、 (4b) 上記利用者側装置は、支払金額ｙと送られてきた
上記情報ｅとに対する利用者側装置の署名S_U(e,y) を生
成し、上記電子現金Ｃと，上記支払金額ｙと上記利用者
側装置の署名S_U(e,y)を上記小売店側装置に送付し、 (4c) 上記小売店側装置は、上記銀行側装置の署名S
_B(X,N_U)の正当性を検証し、また上記利用者署名S_U(e,y)
の正当性を上記検証鍵Ｎ_U を用いて検証し、更に上記
支払金額ｙが上記電子現金の残額ｘ以下であることを検
証し、いずれの検証も正しければ、上記支払金額ｙの上
記電子現金による支払いを認める。
【請求項４】請求項２又は３の方法において、上記ス
テップ(6) は以下のステップを含む： (6a) 上記監視機関側装置は、上記交信データＨより得
られる上記署名検証鍵情報ｎが上記監視データベースに
登録されているかどうかを検査し、 (6b) 登録されていれば、上記署名検証鍵情報に対応す
る合計使用金額ＹをY+y に更新し、 (6c) その更新された合計使用金額Y+y が上記額面Ｘを
越えないことを検査し、この検査が正しければ上記小売
店の銀行口座に金額ｙを振り込むように上記銀行側装置
に指示し、 (6d) 更に、Y+y=X ならば、上記監視データベースから
上記署名検証鍵情報とそれに対応する合計使用金額Ｙを
削除し、 (6e) 上記検査の何れかでも合格でない場合は上記利用
者による不正支払いが行われたものとして、上記監視デ
ータベースから上記署名検証鍵情報とそれに対応する合
計使用金額Ｙを削除し、上記銀行側装置に上記署名検証
鍵情報を送り、上記利用者データベースより不正利用者
名を特定する。
【請求項５】請求項１、２又は３の方法において、上
記ステップ(1) は上記利用者側装置が変数値Ｒを生成し
て、上記検証鍵Ｎ_Uと共に上記銀行側装置及び上記監視
機関側装置に送るステップを含み、上記ステップ(2) は
上記銀行側装置が上記署名検証鍵Ｎ_Uと上記変数値Ｒを
含む情報を上記署名検証鍵情報として記録するステップ
を含み、上記ステップ(3) は上記監視機関側装置が上記
署名検証鍵Ｎ_Uと上記変数値Ｒを含む情報で上記署名検
証鍵情報として上記監視データベースに登録するステッ
プを含む。
【請求項６】電子現金の発行を監視する監視機関が有
する装置（以下、監視機関側装置という）と、電子現金
を発行する機関（以下、銀行という）が有する装置（以
下、銀行側装置という）と、電子現金を利用する者（以
下、利用者という）が有する装置（以下、利用者側装置
という）と、電子現金の支払いを受ける機関（以下、小
売店という）が有する装置（以下、小売店側装置とい
う）とを備え、上記監視機関側装置は暗号関数Ｅ_T を公
開し、上記銀行側装置は署名検証関数Ｖ_B を公開した電
子現金システムの電子現金方法において、以下のステッ
プを含む： (1) 上記利用者側装置は、銀行側装置に利用者情報Ｕと
電子現金の額面に対応する金額Ｘを送信して銀行に金額
Ｘを利用者の口座から引き下ろすことを要請すると共
に、上記額面Ｘと、上記署名検証鍵Ｎ_U とを含む署名検
証鍵情報ｎを暗号化して、暗号化情報Ｅ_T を得て銀行側
装置に送り、 (2) 上記銀行側装置は、上記利用者の口座から金額Ｘを
減額し、上記金額Ｘと上記暗号化情報Ｅ_T を上記監視機
関側装置に送付すると共に、上記暗号化情報Ｅ_T を上記
利用者情報Ｕに対応させて利用者データベースに記録
し、 (3) 上記監視機関側装置は、上記暗号化情報Ｅ_T を復号
化して署名検証鍵情報ｎを得て、上記署名検証鍵情報ｎ
と暗号化情報Ｅ_T の少なくともいずれか一方を監視デー
タベースに登録し、 (4) 上記利用者側装置は、上記署名検証鍵と上記額面金
額Ｘに対するブラインド署名を銀行側装置に要求し、上
記額面金額Ｘに対応した銀行側装置の署名S_B(n) を得
て、 (5) 上記利用者側装置は上記署名S_B(n) と、上記額面Ｘ
と、上記署名検証鍵Ｎ_Uとを含む情報を額面Ｘの電子現
金Ｃとして使って支払金額ｙを上記小売店側装置に支払
い、上記小売店側装置は上記電子現金の正当性を検証し
て受け取り、 (6) 上記小売店側装置は上記電子現金Ｃの情報を含む上
記利用者側装置との全交信データＨを上記監視機関側装
置に送信して決済を求め、 (7) 上記監視機関側装置は受信した上記交信データＨ中
の上記電子現金Ｃの正当性を検証し、上記銀行側装置に
対し上記小売店の口座に上記支払金額ｙを振り込むよう
指示を与える。
【請求項７】請求項６の方法において、上記ステップ
(3) は上記監視機関側装置が上記署名検証鍵情報ｎと上
記暗号化情報Ｅ_Tの上記少なくとも一方を合計使用金額
Ｙと対応させて上記監視データベースに登録するステッ
プを含み、上記ステップ(4) は上記利用者側装置が上記
電子現金の残額ｘを上記電子現金の情報に含めて上記小
売店側装置に送るステップを含む。
【請求項８】請求項７の方法において、上記ステップ
(4) は以下のステップを含む： (4a) 上記小売店側装置は、任意の情報ｅを生成し、そ
れを利用者側装置に送り、 (4b) 上記利用者側装置は、支払金額ｙと、送られてき
た上記情報ｅとに対する利用者側装置の署名S_U(e,y)を
生成し、上記電子現金Ｃ＝{x,X,N_U,S_B(n)}と、{y,S_U(e,
y)}を小売店側装置に送付し、 (4c) 上記小売店側装置は、上記銀行側装置の署名S
_B(n) の正当性を署名検証関数Ｖ_B を用いて検証し、更
に利用者署名S_U(e,y) の正当性を上記署名検証鍵Ｎ_U を
用いて検証し、いずれの検証も正しければ、該当支払金
額ｙの電子現金による支払いを認める。
【請求項９】請求項７又は８の方法において、上記ス
テップ(7) は以下のステップを含む： (7a) 上記監視機関側装置は、上記交信データＨより得
られる上記署名検証鍵情報ｎ及び上記暗号化情報Ｅ_T の
上記いずれか一方が上記監視データベースに登録されて
いるかどうかを検査し、 (7b) 登録されていれば、上記署名検証鍵情報ｎ及び上
記暗号化情報Ｅ_T の上記少なくとも一方に対応する合計
使用金額ＹをY+y に更新し、 (7c) その更新された合計使用金額Y+y が上記額面Ｘを
越えないことを検査し、この検査が正しければ上記小売
店の銀行口座に金額ｙを振り込むように上記銀行側装置
に指示し、 (7d) 更に、Y+y=X ならば、上記監視データベースから
上記署名検証鍵情報ｎ及び上記暗号化情報Ｅ_T の上記少
なくとも一方とそれに対応する合計使用金額Ｙを削除
し、 (7e) 上記検査の何れかでも合格でない場合は上記利用
者による不正支払いが行われたものとして、上記監視デ
ータベースから上記署名検証鍵情報及び上記暗号化Ｅ_T
の上記少なくとも一方とそれに対応する合計使用金額Ｙ
を削除し、上記銀行側装置に上記署名検証鍵情報ｎ及び
上記暗号化情報Ｅ_T の上記少なくとも一方を送り、上記
利用者データベースより不正利用者名を特定する。
【請求項１０】請求項４又は９の方法において、上記
署名検証鍵情報ｎは上記額面Ｘと上記署名検証鍵Ｎ_Uと
の組で構成する。
【請求項１１】請求項１、２、３、６、７又は８の方
法において、上記ステップ(1) は上記利用者側装置が上
記検証鍵Ｎ_Uを生成するステップを含む。
【請求項１２】請求項６、７又は８の方法において、
上記ステップ(1) は上記利用者側装置が変数値Ｒを生成
し、上記検証鍵Ｎ_Uと上記変数値Ｒを含む情報を上記署
名検証鍵情報ｎとするステップを含む。
【請求項１３】請求項１、２、３、６、７又は８の方
法において、上記監視機関側装置は上記利用者側装置の
ための上記署名検証鍵Ｎ_Uを生成し、上記利用者側装置
に送るステップを含む。
【請求項１４】請求項１、２、３、６、７又は８の方
法において、上記署名検証鍵情報ｎは上記額面Ｘと上記
署名検証鍵Ｎ_Uの組を予め決めた一方向ハッシュ関数ｈ
により処理をして得る。
【請求項１５】電子現金の発行を監視する監視機関が
有する装置（以降、監視機関側装置という）と、電子現
金を発行する機関（以降、銀行という）が有する装置
（以降、銀行側装置という）と、電子現金を利用する者
（以降、利用者という）が有する装置（以降、利用者側
装置という）と、電子現金により支払を受ける機関（以
降、小売店という）が有する装置（以降、小売店側装置
という）とを備えた電子現金実施システムにおける上記
利用者側装置であり、利用者署名用鍵SK_Uを生成する鍵生成手段と、金額Ｘと署名検証鍵Ｎ_U を含む情報ｎに対する銀行の署
名S_B(ｎ)と、残額ｘと、額面Ｘと，署名検証鍵Ｎ_Uとを
含む電子現金Ｃと、上記署名用鍵SK_U とを保持するメモ
リ手段と、支払金額ｙと上記小売店側装置から受信した任意の情報
ｅとに対する署名を上記署名用鍵SK_U を使って行い、署
名S_U(e,y) を生成する署名生成手段と、上記残額ｘから支払金額ｙを減算して残額を更新する残
額更新手段と、を含む。
【請求項１６】電子現金の発行を監視する監視機関が
有する装置（以降、監視機関側装置という）と、電子現
金を発行する機関（以降、銀行という）が有する装置
（以降、銀行側装置という）と、電子現金を利用する者
（以降、利用者という）が有する装置（以降、利用者側
装置という）と、電子現金により支払を受ける機関（以
降、小売店という）が有する装置（以降、小売店側装置
という）とを備えた電子現金実施システムにおける上記
監視機関側装置であり、発行された電子現金を所有する利用者に対応する署名検
証鍵情報を合計使用金額Ｙと対応させて登録する監視デ
ータベースと、小売店側装置から受信した残金ｘ、額面Ｘ、署名検証鍵
Ｎ_U、銀行側装置の署名S_B(X,N_U)を含む電子現金Ｃと、
支払金額ｙとを含む履歴データＨを保持する履歴データ
ベースと、上記履歴データＨ中の金額Ｘと検証鍵Ｎ_Uに対応する署
名検証鍵情報が上記監視データベースに登録されている
か検索し、登録されていなければ不正使用された電子現
金であると判定する手段と、上記署名検証鍵情報が登録されている場合、上記履歴デ
ータＨ中の支払金額ｙを上記監視データベース中の対応
する合計使用金額Ｙに加算する加算手段と、上記加算手段による加算結果Y+y を額面Ｘと比較する比
較手段と、上記比較手段による比較結果がY+y<X であれば上記監視
データベース中の対応する合計使用金額Ｙを上記加算結
果Y+y で更新し、Y+y=X であれば上記監視データベース
中の対応する署名検証鍵情報と合計使用金額Ｙを削除
し、Y+y>X であれば不正使用された電子現金であると判
定して上記署名検証鍵情報及び上記合計使用金額Ｙを削
除すると共に、その署名検証鍵情報を上記銀行側装置に
通知する制御手段、とを含む。
【請求項１７】電子現金の発行を監視する監視機関が
有する装置（以降、監視機関側装置という）と、電子現
金を発行する機関（以降、銀行という）が有する装置
（以降、銀行側装置という）と、電子現金を利用する者
（以降、利用者という）が有する装置（以降、利用者側
装置という）と、電子現金により支払を受ける機関（以
降、小売店という）が有する装置（以降、小売店側装置
という）とを備えた電子現金実施システムにおける上記
利用者側装置であり、利用者署名用鍵SK_U及び署名検証鍵Ｎ_Uを生成する鍵生
成手段と、監視機関側装置の公開暗号鍵PK_Tを使って上記金額Ｘと
上記署名検証鍵Ｎ_Uを暗号化して暗号化情報Ｅ_Tを生成
し、銀行側装置に与える暗号化手段と、上記署名検証鍵Ｎ_Uに対しブラインド署名前処理を行っ
て上記銀行に与えるブラインド署名前処理手段と、上記銀行側装置から受信した上記署名検証鍵に対するブ
ラインド署名Z(N_U) を処理して上記銀行側装置の署名S_B
(N_U)を得るブラインド署名後処理手段と、上記残額ｘ、額面Ｘ、署名検証鍵Ｎ_U 及び署名S_B(N_U)を
含む電子現金Ｃと、上記利用者署名用鍵SK_Uと上記監視
機関の公開暗号鍵PK_Tとを保持するメモリ手段と、支払金額ｙと上記小売店側装置から受信した任意の情報
ｅとに対する署名を上記署名用鍵SK_U を使って行い、署
名S_U(e,y) を生成する署名生成手段と、上記残額ｘから支払金額ｙを減算して残額を更新する残
額更新手段、とを含む。
【請求項１８】電子現金の発行を監視する監視機関が
有する装置（以降、監視機関側装置という）と、電子現
金を発行する機関（以降、銀行という）が有する装置
（以降、銀行側装置という）と、電子現金を利用する者
（以降、利用者という）が有する装置（以降、利用者側
装置という）と、電子現金により支払を受ける機関（以
降、小売店という）が有する装置（以降、小売店側装置
という）とを備えた電子現金実施システムにおける上記
監視機関側装置であり、公開暗号関数Ｅ_T を複合するための秘密複合鍵SK_T を保
持するメモリと、上記利用者側装置が生成した署名検証鍵を含む署名検証
鍵情報に対する暗号化情報Ｅ_T(n) を、上記秘密復号鍵S
K_T を使って復号して署名検証鍵情報を得る復号手段
と、復号された上記署名検証鍵情報とそれに対応する合計使
用金額Ｙとを登録する監視データベースと、小売店側装置から受信した残金ｘ、額面Ｘ、署名検証鍵
Ｎ_U、銀行側装置の署名S_B(N_U)を含む電子現金Ｃと、支
払金額ｙとを含む履歴データＨを保持する履歴データベ
ースと、上記履歴データＨ中の金額Ｘと検証鍵Ｎ_Uに対応する署
名検証鍵情報が上記監視データベースに登録されている
か検索し、登録されていなければ不正使用された電子現
金であると判定する手段と、上記署名検証鍵情報が登録されている場合、上記履歴デ
ータＨ中の支払金額ｙを上記監視データベース中の対応
する合計使用金額Ｙに加算する加算手段と、上記加算手段による加算結果Y+y を額面Ｘと比較する比
較手段と、上記比較手段による比較結果がY+y<X であれば上記監視
データベース中の対応する合計使用金額Ｙを上記加算結
果Y+y で更新し、Y+y=X であれば上記監視データベース
中の対応する署名検証鍵情報と合計使用金額Ｙを削除
し、Y+y>X であれば不正使用された電子現金であると判
定して上記署名検証鍵情報及び合計使用金額Ｙを削除す
ると共に、その署名検証鍵情報を上記銀行側装置に通知
する制御手段、とを含む。