JP3388485B2 - 匿名電子現金預け入れ方法、その装置およびプログラム記録媒体 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、電気通信システ
ムやＩＣカードを利用してディジタル情報の授受により
電子的な現金を実現する電子現金方法に関する。

【０００２】

【従来の技術】電子現金はＩＣカードを電子現金の財布
（電子財布）とするような形で広く使われるようにな
る。その際には、電子現金はいかなる物理媒体にも依存
しないで、情報そのものが電子現金となるような形で電
子財布に格納される形態が望ましい。

【０００３】電子現金の一つの実現策は、物理的な手段
によって安全性を保証する方法である。例えば、テレホ
ンカード等の磁気カードによるプリペイドカードは、カ
ード上の磁気状態を他のカードに物理的にコピーするこ
とが困難であるということを安全性の要として成り立っ
ている。しかしながら、この安全性の前提は世の中の製
造技術レベルの推移により大きく変化する。さらに、こ
の方式は、常に物理媒体（磁気カード等）と一体で実現
されるため、情報の形の電子現金のように通信回線で転
送するようなことはできない。

【０００４】別の実現策は、クレジットカードのような
電子的ＩＤカード（電子クレジットカードもしくは電子
小切手）を用いて、後日決済する方法である。電子クレ
ジットカードでは、手書きの署名の代わりにディジタル
署名を用いることにより、処理の完全電子化（情報化）
を実現でき、その決済用情報を通信回線で転送できる。
しかし、この方式の欠点は、利用者のプライバシを保証
できない点である（これは、現行のクレジットカードや
小切手においても同様である）。つまり、クレジットカ
ードを発行・決済する機関は、自由に利用者の購買履歴
を入手できるのはもとより、また、小売店までも利用者
のクレジットカード番号や署名を知ることができる。

【０００５】一方、ブラインド署名（詳細は後述する）
と支払い時でのオンラインチェック（小売店が、利用者
の提示した情報が二重／不正使用されていないかを、管
理センタにオンラインで問い合わせること。）を組み合
わせることにより、上述した情報化、安全性、プライバ
シの問題を解決できる。しかし、各小売店が各利用者の
購買時に必ずセンタにアクセスすることは、処理時間
（利用者の待ち時間）、通信コスト、管理センタでのオ
ンライン処理コスト及びデータベース維持管理コスト等
を考えると、現実的な解とは言えない。従って、現金支
払い時の処理はオフラインで処理できることが望まし
い。

【０００６】プライバシを重視し、オフライン処理可能
な電子現金方式としては、例えば、D.Chaum, A.Fiat an
d M.Naor, “Untraceable Electronic Cash,”Advances
inCryptology-Crypto'88, Lecture Notes in Computer
Science 403, pp.319-327,Springer-Verlag, Berlin(1
988)やT.Okamoto etal. “Disposable Zero-Knowledge
Authentications and Their Applications to Untracea
ble Electronic Cash,”Advances in Cryptology-Cryt
o'89, Lecture Notes in Computer Science 435, pp.48
1-496, Springer-Verlag, Berlin(1989）、特願平２−
８８８３８号「電子現金実施方法及びその装置」などが
ある。

【０００７】まず、利用者のプライバシを保証するため
の基本技術であるブラインド署名について説明する。ブ
ラインド署名では、署名者に文書の内容を秘密にしたま
まで署名を付けてもらう。ＲＳＡ法に基づいた方式が文
献 D.Chaum, “Security ｗｉthout Identification:
Transaction Systems to Make Big Brother Obsolete,
”Comm. of the ACM, 28, 10, pp.1030-1044(1985)
で、ゼロ知識対話証明に基づいたブラインド署名が文献
T.Okamoto etal. “Divertible Zero-Knowledge Intera
ctive Proofs and Commutative Random Self-Reducibl
e, ”The Proc. of Eurocrypt'89(1989) で示されてい
る。

【０００８】署名の要求者は、ブラインド署名前処理に
よって文書（ｍ）を乱数（ｒ）で攪乱してブラインドメ
ッセージ（ｘ）を生成する。署名者は、秘密鍵を用いて
ｘに対応する仮の署名（ｙ）を計算する。このとき、ｍ
はｒによって攪乱されているので、署名者は文書（ｍ）
を知ることはできない。要求者は、ブラインド署名後処
理によってｙから乱数（ｒ）の影響を除去して、本来の
文書（ｍ）に対する真の署名（ｙ′）を求めて、ｍと
ｙ′の組を検証者に送信する。検証者は、署名者の公開
鍵を用いてｙ′がｍの署名であることを確認する。ここ
で、検証者はｙとｙ′の対応関係を知ることはできな
い。ブラインド署名の手順 Ａを署名者、Ｐを署名要求者、ｅ_A を署名者Ａの公開情
報とする。Ｆをブラインド署名前処理アルゴリズム、Ｄ
を多重ブラインド署名アルゴリズム、Ｇをブラインド署
名後処理アルゴリズムとする。これらの関数の使用法
は、Ｆ_eAとＤ_eAから作成した仮の署名Ω（＝Ｄ_eA（Ｆ_eA
（ｍ₁ ），…，Ｆ_eA（ｍ_k ))) にＧ_eAを施して、ｋ個の
メッセージｍ₁ ，…，ｍ_k に対するＡの真の署名Ｂ＝Ｄ
_eA（ｍ₁ ，…，ｍ_k ）を算出する。署名者Ａと要求者Ｐ
は以下の手順に従って多重ブラインド署名を作成する。

【０００９】ステップ１：Ｐはブラインド署名前処理に
より、ｋ個のメッセージ｛ｍ_i ｜ｉ＝１，２，…，ｋ｝
からｋ個のブラインドメッセージｘ_i ＝｛Ｆ_eA（ｍ_i ）
｜ｉ＝１，２，…，ｋ｝を生成して、Ａに送信する。こ
こで、それぞれのｘ_i ＝Ｆ_eA（ｍ_i ）は独立に計算され
ており、関数Ｆ_eAは乱数を使用してｍ_i を隠す。 ステップ２：Ａは仮の署名Ω＝Ｄ_eA（Ｆ_eA（ｍ₁ ），
…，Ｆ_eA（ｍ_k ））をｋ個のブラインドメッセージＦ_eA
（ｍ₁ ），…，Ｆ_eA（ｍ_k ）から生成して、Ｐに送信す
る。

【００１０】ステップ３：Ｐは、Ｇ_eAを用いたブライン
ド署名後処理により、ｍ₁ ，…，ｍ _k に対応したＡの真
のディジタル署名Ｂ＝Ｄ_eA（ｍ₁ ，…，ｍ_k ）を算出す
る。 （ブラインド署名の手順終わり）ＲＳＡ法をブラインド
署名に使用する場合には、ブラインドメッセージ（ブラ
インド署名前処理）を、ｘ_i ＝Ｆ_e ( ｍ_i ）＝ｒ_i ^e ×
ｍ modｎ、ここでｒ_i は攪乱するための乱数、仮の署名
を、 ｙ＝Ω＝Ｄ_e ( ｘ₁ , ・・・，ｘ_k ) ＝Π( Ｘ_i ) ^d mo
d ｎ Πは１＜ｉ＜ｋについて行う ブラインド署名後処理を、 Ｇ_e （ｙ）＝Ω／( ｒ₁ ×・・・×ｒ_k ) mod ｎ とそれぞれおいて、署名は、 ｙ＝Ｂ＝Π( ｍ_i ) ^d mod ｎ Πは１＜ｉ＜ｋについて行うとなる。このとき、検証式
Ｖ_e （ｍ₁ ，…，ｍ_k ，Ｂ）は （Π( ｍ_i ) ）≡Ｂ^e （mod ｎ） のとき合格（ＯＫ）を出力する。ここで、（ｅ，ｎ）は
Ａの使用するＲＳＡ法の公開鍵であり、次の式をみた
す。

【００１１】ｎ＝Ｐ×Ｑ ｅ×ｄ≡１（mod Ｌ） ただしＬ＝ＬＣＭ｛（Ｐ−１），（Ｑ−１）｝ ここで、Ｌ＝ＬＣＭ｛ａ，ｂ｝はａとｂの最小公倍数
を、ａ≡ｂ（mod ｎ）は（ａ−ｂ）がｎの倍数であるこ
とを表す。以降ではｄを１／ｅと表すこともある。以下
の Chaum・Fiat・Naor法ではｋ＞１の場合を、後述する
実施例では、ｋ＝１の場合を想定する。

【００１２】ＲＳＡ暗号の構成例は、文献 Rivest, R.
L. etal. “A Method for ObtainingDigital Signature
s and Public-Key Cryptosystems”，Communications o
f the ACM, Vol. 21, No.2, pp.120-126,(1978）に示さ
れている。ブラインド署名の構成法は、例えば、Chaum,
D. “Blind Signature Systems”，US Patent No.:4,7
59,063 や Ohta, K. etal. “Authentication System a
nd Apparatus Therefor”，US patent No.:4,969,189
に示されている。

【００１３】ところで、利用者のブライバシは、ブライ
ンド署名を用いることで、利用者だけの責任において保
証できる。すなわち、攪乱用の乱数ｒの付加と除去を利
用者が実行するので、ｒを秘密にする限りは、誰もがｙ
＝Ωとｙ′＝Ｂの対応関係を知ることはできないことに
注意しよう。ここで、代表的な電子現金方式である Cha
um・Fiat・Naor法での、銀行と利用者間での電子現金の
発行処理、利用者の小売店での電子現金の支払い、小売
店と銀行間の決裁処理について述べる。電子現金の発行処理 利用者Ｐが、銀行Ａから電子現金Ｃを発行してもらう手
順を示す。ここで、ＩＤは利用者Ｐの識別情報、ｅ
_A は、利用者が指定する電子現金の金額（例えば１万
円）に対応する銀行のディジタル署名用の公開鍵とす
る。利用者が銀行から電子現金を発行してもらう手順
は、以下の通りである。

【００１４】ステップ１：利用者Ｐは、乱数ａ_i （ただ
し、ｉ＝１，…，Ｋ）を生成して、公開された一方向関
数ｇを用いて、 ｘ_i ＝ｇ（ａ_i ） ｙ_i ＝ｇ（ａ_i （＋）ＩＤ） を求める。（＋）は排他的論理和を示す。

【００１５】ステップ２：Ｐは、公開された一方向関数
ｆとブラインド署名前処理関数Ｆ_eAを用いて、 Ｗ_i ＝Ｆ_eA（ｆ（ｘ_i ，ｙ_i ）） を計算して、銀行に提示する。 ステップ３：銀行Ａは、１からＫの中からランダムにＫ
／２個の部分集合Ｕ＝｛ｉ_j ｝、（ただし１＜ｊ＜Ｋ／
２に対して１＜ｉ _j ＜Ｋ）を選び、それを開示要求とし
て利用者に送信する。（以下では、表記を簡単にするた
めに、Ｕ＝｛Ｋ／２＋１，Ｋ／２＋２，…，Ｋ）｝が開
示要求として指定されたと仮定して説明する。）Ｋ個の
中からランダムにＫ／２個の部分集合の開示を要求する
手順を「抜き打ち検査」とよぶ。

【００１６】ステップ４：利用者Ｐは、銀行Ａから開示
要求を受信すると、指定されたＫ／２個のａ_i とＷ_i を
作成するために関数Ｆ_eAの中で用いた乱数をＡに開示す
る。 ステップ５：銀行Ａは、開示されたＫ／２組のすべてに
ついて正当性の検証を行ない、いずれかの検査に不合格
のときには、以降の処理を中止する。すべての検査に合
格のときには、銀行Ａは開示対象でないｉ（ここでは、
ｉ＝１，２，…，Ｋ／２）に対して、次の手順を行な
う。

【００１７】ステップ６：銀行Ａは、 Ω＝Ｄ_eA（Ｗ₁ ，…，Ｗ_K/2 ） を計算して、利用者Ｐに送信する。 ステップ７：利用者Ｐは、銀行からの受信データΩから
電子現金Ｃを以下のように計算する。

【００１８】Ｃ＝Ｇ_eA（Ω）＝Ｄ_eA（ｆ（ｘ₁ ，ｙ
₁ ），…，ｆ（ｘ_K/2,ｙ_K/2 ））電子現金による支払 つぎに、利用者Ｐが銀行Ａより発行された電子現金Ｃを
用いて小売店Ｖで支払をする場合について説明する。そ
れぞれのｉ（ただしｉ＝１，２，…，Ｋ／２）に対し
て、次の処理を実行する。

【００１９】ステップ１：利用者Ｐは、電子現金（Ｃ）
を小売店Ｖへ送信する。 ステップ２：小売店Ｖは乱数ビットｅ_i を生成して、利
用者Ｐへ送信する。 ステップ３：利用者Ｐは、ｅ_i ＝１のときａ_i とｙ
_i を、ｅ_i ＝０のときｘ_iとａ_i （＋）ＩＤを小売店Ｖ
へ送信する。 ステップ４：小売店Ｖは、銀行Ａの公開鍵ｅ_A を用い
て、Ｃがメッセージｆ（ｘ₁ ，ｙ₁ ），…，ｆ（ｘ
_K/2 ，ｙ_K/2 ）の正しい署名であることを検査する。 決済 最後に、小売店Ｖと銀行Ａの間の決済方法について説明
する。小売店Ｖは、利用者との電子現金使用時の交信履
歴Ｈを銀行に提出する。銀行はＨの正当性を検査し、検
査に合格すれば、Ｈを記憶しておくと共に小売店の口座
に該当する金額を払い込む（もしくは、何らかの手段で
該当する金額を小売店に支払う）。銀行は、電子現金の
不正使用を見つけると、Ｈとすでに記憶している交信履
歴からＣに対応して記憶しているａ_i とａ_i （＋）ＩＤ
を探し出して、不正者の識別情報ＩＤを確定する。

【００２０】以上が Chaum・Fiat・Naor法であるが利用
者が不正にＣを２回使用すると、ｅ _i ＝１のときａ_i ，
ｅ_i ＝０のときａ_i （＋）ＩＤが銀行に記憶されている
ので、１回目と２回目のｅ_i が異なる場合には、ａ
_i （＋）（ａ_i （＋）ＩＤ）＝ＩＤが成り立つので、銀
行はこれを計算してＩＤを検出できる。銀行は、Ｋ／２
ビットを問い合わせるので、Ｃの二重使用を検出できな
い確率は２^-K/2となる（通常、Ｋ＝２０程度が推奨され
ている）。

【００２１】前述の電子現金方法は、複数の銀行が電子
現金を発行した場合、利用者はそれぞれの銀行公開鍵を
保有することが必要となるほか、銀行も他行発行の電子
現金を受け取った場合、不正使用の有無を検査するため
に発行元の銀行に戻す仕組みが必要となるなど、それぞ
れ管理負担が大きい。さらに、電子現金を払い出す銀行
は、必ず発行電子現金を負債として会計処理する発行銀
行となる必要があり、ある程度の信用力をもち、電子現
金の発行管理負担等を担う能力のある銀行でないと事実
上電子現金を利用できないほか、電子現金の発行機関を
１つに限りこれを一元的に管理することが不可能であっ
た。

【００２２】また、前述の電子現金方法は、不正にコピ
ーされた電子現金の使用者を特定する目的で、過去に使
用された全ての電子現金の使用履歴を銀行が保持しなけ
ればならず、かつ決済時にはこれら全ての使用履歴を検
索する必要があり、即時決済を行うには大容量かつ高速
なデータベースが必要になるという問題がある。銀行が
保持すべき電子コインの履歴を削減する一つの方法は、
銀行が利用者に対し預金引き下ろし時に引換証を発行
し、一定期間内に利用者はこの引換証と交換に電子コイ
ンを発行して貰い、この時銀行はコイン番号を記憶して
おき、決済終了後に使用済コインの番号情報を削除する
ことである。しかしながら、この方法では、利用者にと
って引き下ろしの手続きが２回に分割されて不便なほ
か、この引換証を受け取ってから電子現金を発行して貰
うまでの一定の期間に規則性がみられたり、引き出し回
数が多い等の目立った行動パターンがあると、銀行によ
って容易に身元が特定され、コイン番号と紐づけられる
可能性があり、匿名性が完全ではない。

【００２３】このような点から特願平８−２３９２６３
号「発行機関分離型番号登録式電子現金方法および利用
者装置」を提案した。この提案した方法によれば、ま
ず、利用者装置は引換番号Ｒｃ（乱数でもよい）からな
る署名対象Ｃを作成する。ブラインド署名を用いてこの
署名対象Ｃに対する日付情報付の銀行署名ＳＣを入手
し、このＳＣを引換証とし、その後、利用者装置はＲｃ
およびＳＣを発行機関装置へ送付し、発行機関装置はＳ
Ｃに付けられた日付情報付銀行署名ＳＣから、発行され
てから一定期間内にあることを検証するとともに、引換
番号Ｒｃが引換履歴ＨＣに記憶されていないことを確認
し、更に、利用者装置と同じ手順でＲｃよりＣを計算
し、ＳＣがＣに対する銀行署名であることを確認する。
その後、コイン番号Ｒｆ（乱数でもよい）を発行し、Ｒ
ｆに基づいて電子コインＦを発行し、引換番号Ｒｃを引
換履歴ＨＣに、コイン番号Ｒｆに関する情報を発行履歴
ＨＦへそれぞれ記憶する。前記確認のいずれかを満たさ
なかった場合は電子コインの発行を中止する。

【００２４】支払に使用された電子コインＦは決済時に
銀行Ｂへ送信され、銀行Ｂはこれをさらに発行機関装置
に送信し、発行機関装置はコイン番号Ｒｆが記憶されて
いることを確認した後、Ｒｆに関する情報を発行履歴Ｈ
Ｆから削除する。また、Ｒｃの署名に含まれる日付から
一定期間の後、Ｒｃに関する情報を引換履歴ＨＣから削
除する。削除したＲｃ、Ｒｆに関する情報を外部記憶装
置へ保存することもできる。

【００２５】更にこの提案方法の具体例を以下に説明す
る。この方法は図６に示すように信託機関装置６００、
利用者装置７００、銀行装置８００、発行機関装置９０
０、受領者装置１０００、および銀行装置１１００を構
成要素とし、これらは例えば通信回線を介して接続され
ているが、情報を記録できるＩＣカード等を介しての接
続であってもよい。準備 この電子現金方法では、電子現金の利用者Ｕは、まず最
初に、信託機関Ｊと呼ぶ機関により、利用許可証を発行
してもらう。銀行Ａは利用者Ｕの要求に従い、利用者Ｕ
にある金額の電子現金の引換証を発行する。発行機関Ｏ
は、利用者Ｕから提示された電子現金の引換証と交換に
電子現金（または、電子コインと呼ぶ）を発行する。利
用者Ｕは、その電子コインを額面金額になるまで何回で
も各種小売店等の支払いに用いる。最後に、各小売店等
は、利用者の各支払い毎に銀行で決済を行う。

【００２６】ここで、信託機関装置６００、利用者装置
７００、銀行装置８００、発行機関装置９００の署名ア
ルゴリズムは全てＲＳＡ方式とする。信託機関装置６０
０、利用者装置７００、発行機関装置９００、それぞれ
の秘密鍵と公開鍵は、（ｄｊ，Ｎｊ）と（ｅｊ，Ｎ
ｊ）、（ｄｕ，Ｎｕ）と（ｅｕ，Ｎｕ）、（ｄ２，Ｎ
２）と（ｅ２，Ｎ２）（利用者装置７００の公開鍵は匿
名公開情報である）である。銀行Ａが使用する署名用の
鍵の法はＮ１（＝ＬＣＭ（ｐ１−１，ｑ１−１））であ
り、ｅ１，ｄ１は日付と額面金額をもとに公開鍵指数部
生成関数ｆ等によって、その都度生成される。公開鍵指
数部生成関数は、一定のアルゴリズムをもち、以下の条
件を満たすものであれば何でもよい。例えば、ｆ
（・_m1) をｍ１番目の素数へのマッピング関数とするこ
と等が考えられる。

【００２７】ｆ（・_m1) ≠ｆ（・_m )・Ｐ（ｆ（・_k ))
mod Ｎ１ ただし、ｍ１≠ｍ， Ｐ（ｆ（・_k ))はｆ（・_k )(ｋ＝
１，２，…ｎ）の多項式 ＧＣＤ（ｆ（・），ＬＣＭ（ｐ１−１，ｑ１−１））
＝１ なお、秘密鍵ｄ１は１／ｆ（・） mod ＬＣＭ（ｐ１−
１，ｑ１−１）を計算することによって求められる。

【００２８】信託機関装置６００の署名、銀行装置８０
０の署名、発行機関装置９００の署名、利用者装置７０
０の署名はそれぞれ、利用許可証の正当性の検査、引換
証の正当性の検査、電子コインの正当性の検査、支払・
譲渡行為確認の検査に使用する。利用者装置の署名で
は、公開鍵中のｅｕは共通としても良いが、Ｎｕは利用
者ごとに定める。また、署名時に使用する一方向性関数
ｇ，ｈもあわせて定め、公開しておく。利用許可証の発行処理 利用者Ｕは、利用許可証を信託機関Ｊから発行してもら
う（図４参照）。この手順は、それぞれの利用者が、Ｎ
ｕの登録時に１度だけ行う。

【００２９】ステップ１：利用者装置７００はＮｕを信
託機関装置６００に送信する。 ステップ２：信託機関装置６００は、利用者装置７００
の身元を何らかの方法で確認をしたのちに、有効期限等
の情報Ｉを生成し、ＮｕおよびＩに対する署名Ｂを演算
する。その後、この署名ＢとＩを利用者装置７００に送
信する。 ステップ３：利用者装置７００は、信託機関装置６００
からの受信データＢ，Ｉと匿名公開情報Ｎｕとを利用許
可証（Ｂ，Ｉ，Ｎｕ）として、記憶装置７０１に記憶す
る。電子現金の引換証の発行処理 つぎに、利用者Ｕが銀行Ａから電子現金の引換証を発行
してもらう手順を示す（図５参照）。ここで、Ｎ１は取
引を行う銀行に対応する公開鍵の法である。

【００３０】また利用者装置７００は、銀行装置８００
から日付情報ＤとそのＤに対する銀行装置８００の署名
ＳＤを受取り、Ｄが正しいものであると検証してある。 ステップ１：利用者装置７００は、日付情報Ｄと引出額
ｗｉ（金額情報：例えば１万円）を公開鍵指数部生成器
７０２に入力し、金額署名用の公開鍵ｅ１を計算する。
続いて、乱数発生器７０３を用いて乱数Ｒｃを生成し
て、記憶装置７０１に記憶し、一方、その乱数Ｒｃと記
憶装置７０１から読みだしたＢより、ハッシュ演算器７
０４を用いてｇ（Ｂ‖Ｒｃ）を計算する。続いて、乱数
生成器７０３を駆動して乱数ｒを生成し、引出額ｗｉと
先に計算したｅ１および公開鍵の法Ｎ１とともにブライ
ンド署名前処理器７０５へ入力し、次式の処理を行う。

【００３１】 Ｚ＝ｇ（Ｂ‖Ｒｃ）ｒ^e1 mod Ｎ１ （３） この処理結果Ｚを電子コインの金額情報ｗｉ、日付情報
Ｄと共に銀行装置８００に送信する。 ステップ２：銀行装置８００は、秘密鍵作成用情報ｐ
１，ｑ１、およびＤ，ｗｉを秘密鍵指数部生成器８０２
に入力し、金額署名用の秘密鍵ｄ１を計算する。このｄ
１と公開鍵の法Ｎ１を署名生成器８０３へ入力し、受信
情報Ｚに対して次の仮署名処理を行う。

【００３２】 Ｑ＝Ｚ^d1 mod Ｎ１ （４） この仮署名Ｑを利用者装置７００に送信する。同時に利
用者Ｕの口座から該当する金額を引き落とす等の適当な
会計処理を講じる。 ステップ３：利用者装置は、乱数ｒ、公開鍵の法Ｎ１と
受信情報Ｑとをブラインド署名後処理器７０６へ入力
し、次式の処理を行って指定した金額の引換証ＳＣを得
る。

【００３３】 ＳＣ＝Ｑ／ｒ mod Ｎ１ （５） ここで、ＳＣ＝ｇ（Ｂ‖Ｒｃ）^d1 mod Ｎ１となること
になる。引換証と電子現金の交換処理 引き続き、利用者装置７００は引換証を発行機関装置９
００に送り、電子コインに引換える。以下では、この引
換処理の手順を示す（図６参照）。

【００３４】ステップ１：利用者装置７００は、発行機
関装置９００へ引換証ＳＣおよびｗｉ，Ｂ，Ｄ，Ｒｃを
送信する。 ステップ２：発行機関装置９００は受信したＤおよび、
記憶装置９０１に記憶されている引換証の有効日付ＪＤ
を比較器９０２へ入力してＤが有効であることを確認す
る。Ｄが有効な場合は、Ｒｃを検索器９０３へ入力して
Ｒｃが引換履歴ＨＣに記録されていないことを確認す
る。Ｒｃが過去に使用されていない場合は、Ｄおよびｗ
ｉを公開鍵指数部生成器９０４に入力してｅ１を計算
し、これとＢ，Ｒｃ，ＳＣ，Ｎ１を署名検証器９０５へ
入力して、 ｇ（Ｂ‖Ｒｃ）＝ＳＣ^e1 mod Ｎ１ を満たすことを確認する。

【００３５】署名検証結果が正しければ、Ｒｃを引換履
歴ＨＣへ記憶する。更に、乱数発生器９０６を用いてＲ
ｆを生成し、ｗｉ，Ｒｆ，Ｂを発行履歴ＨＦへ記憶す
る。その後、Ｂ，Ｒｆ，ｗｉおよび（ｄ２，Ｎ２）を署
名生成器９０７へ入力して、 Ｆ＝ｇ（Ｂ‖ｗｉ‖Ｒｆ）^d2 mod Ｎ２ を計算し、Ｆ，Ｒｆを利用者装置７００へ返送する。こ
の時、発行機関装置９００と銀行装置８００との間で適
当な会計処理を講じる。

【００３６】ステップ３：利用者装置７００は受信した
Ｆおよび、ｗｉ，Ｒｆを電子コイン情報として記憶装置
７０１へ格納する。電子コインによる支払 つぎに、利用者Ｕが発行機関Ｏにより発行された電子コ
インＦを用いて、受領者Ｍに支払いを行う場合について
説明する（図７参照）。

【００３７】ステップ１：利用者装置７００は、Ｉ，Ｎ
ｕ，Ｂ，Ｒｆ，Ｆ，ｗｉを受領者装置１０００に送る。 ステップ２：受領者装置１０００は、受信したＩ，Ｎｕ
および、記憶装置１００１から読み出したｅｊ，Ｎｊを
署名検証器１００２へ入力し、Ｉ，Ｎｕに対する署名Ｂ
の正当性を、次式を検証することにより確認する。

【００３８】 ｇ（Ｎｕ‖Ｉ）≡Ｂ^ej mod Ｎｊ （６） 続いて、Ｂ，Ｒｆに対する署名Ｆの正当性、つまり電子
コインＦの正当性を検証するため、受信したＢ，ｗｉ，
Ｒｆ，Ｆおよび、記憶装置１００１から読み出したｅ
２，Ｎ２を署名検証器１００３へ入力し、次式を満たす
ことを確認する。 ｇ（Ｂ‖ｗｉ‖Ｒｆ）≡Ｆ^e2 mod Ｎ２ （７） この検査の何れかが不合格のときは以降の処理を中止す
る。

【００３９】ステップ３：この両検査に合格する場合、
受領者装置１０００は乱数生成器１００４を用いて乱数
Ｅ′を生成し、それを受領者装置１０００の識別子ＩＤ
ｖ及びタイマー１００５が出力する時刻印Ｔと共に利用
者装置７００に送る。 ステップ４：利用者装置７００は、電子コインＦのうち
金額ｘを使用することを決め、署名生成器７０７へｘ，
ｄｕ，Ｎｕと受信情報Ｔ，Ｅ′，ＩＤｖを入力し、次式
により署名を行う。

【００４０】 Ｓ＝ｇ（ｘ‖ｈ（ＩＤｖ‖Ｔ‖Ｅ′））^du mod Ｎｕ （８） この署名Ｓ、公開鍵ｅｕ、およびｘを受領者装置１００
０に送る。 ステップ５：受領者装置１０００は、署名検証器１００
６へＳ，ｅｕ，Ｎｕ，ｘ，Ｔ，Ｅ′，ＩＤｖを入力し、
次式が成り立つことを検証する。 ｇ（ｘ‖ｈ（ＩＤｖ‖Ｔ‖Ｅ′））≡Ｓ^eu mod Ｎｕ （９） この検証に合格すれば、受領者装置１０００は、利用者
装置７００のｘに該当する金額の支払いを正当なものと
みなして受領し、記憶装置１００１に格納する。 決済 受領者装置１０００と銀行装置１１００の間の決済方法
について説明する（図８参照）。簡単のため、支払額ｘ
と引き下ろし額ｗｉは同じ値である。すなわち、一つの
電子コインが一度に使い切られる場合について説明す
る。

【００４１】ステップ１：受領者装置１０００は、利用
者装置７００との電子コイン使用時の交信履歴ＨＦ、す
なわちＸ，Ｓ，Ｔ，Ｅ′，ＩＤｖ，ｅｕ，Ｉ，Ｎｕ，
Ｂ，Ｒｆ，Ｆ，ｗｉを銀行装置１１００に提出する。 ステップ２：銀行装置１１００は検証器１１０２を用い
て、電子コインによる支払時の検査と同様に、つまり、
式（６）、（７）、（９）の各検証を行うことによって
ＨＦの正当性を検査する。検証結果が異常ならばＦを不
正コインとみなし、処理を中断する。正常ならば、さら
に交信履歴Ｈを発行機関装置９００に送信する。

【００４２】ステップ３：発行機関装置９００は、銀行
装置１１００と同様にＨＦの正当性を検証する。検証結
果が異常ならば、Ｆを不正コインとみなし、処理を中断
する。正常ならばさらに、Ｒｆを元に発行履歴ＨＦを検
索し、Ｒｆが存在すれば二重使用の不正行為はないと判
断し、Ｒｆに関する情報を発行履歴から削除し、これを
必要に応じて外部記憶装置に保持する。

【００４３】なお、発行機関装置および銀行装置がそれ
ぞれ保有する会計処理装置は、受領者装置からの電子コ
インの預入に際し適当な会計処理を講じる。引換履歴更新処理 公開情報Ｄは一定期間後に新たな公開情報Ｄ′に更新さ
れ、以前の日付情報Ｄに基づいて発行した引換証ＳＣは
期限切れとなり、無効となる。この公開情報Ｄの更新処
理について説明する。

【００４４】ステップ１：銀行装置８００はＤ，ＳＤの
期限切れ検査を行い、一定期間経過していれば記憶装置
８０１内の公開情報ＤをＤ′へ更新するとともに、Ｄ′
に対する署名ＳＤ′を計算して、Ｄ′，ＳＤ′を発行機
関装置９００に通知する。 ステップ２：発行機関装置９００は記憶装置９０１内の
Ｄ，ＳＤを通知された日付情報Ｄ′，ＳＤ′に更新する
と共に、以前の日付情報Ｄに基づく引換履歴ＨＣを削
除、または外部記憶装置へ移動する。引換処理におい
て、以前の日付情報Ｄが利用者装置７００から発行機関
装置９００に送付されてきた場合、対応する日付情報を
記憶装置９０１から読み出せないため、比較器９０２で
の比較結果が不良となり、引換処理は中断される。

【００４５】上述において各装置内に示すブロック構成
は機能を示し、必ずしも１つの機器として存在するもの
ではない。以上の説明から理解されるように、この発明
による利用者装置は、図６中の記憶装置２０１、匿名検
証器２０２、２０８、引換番号発生器２０３、ハッシュ
演算器２０４、乱数生成器２０５、ブラインド署名前処
理器２０６、ブラインド署名後処理器２０７、を備え、
この装置は当然電子現金の受領を可能とされるから図７
中の記憶装置４０１を備えかつ、銀行装置、発行機関装
置、受領者装置に対し、それぞれ送信する手段を有して
いる。

【００４６】この特願平８−２３９２６３号の方法によ
れば、発行機関が全ての電子現金の発行・還収を一元的
に管理するため、各銀行がそれぞれ個別に電子現金の発
行管理業務、不正使用のチェックなどを行う必要がな
い。また複数の銀行が同一の電子現金発行機関を利用す
るため、利用者はどの銀行から引き出した電子現金かを
意識することなく扱うことができる。

【００４７】

【発明が解決しようとする課題】前述した特願平８−２
３９２６３号の電子現金方法では、銀行から引出してき
た電子現金や、受領した電子現金のうち、一部を他への
支払いに使用した電子現金を預入れることができないと
いう課題がある。これは、上記に該当する電子現金を実
名を明かしながら銀行に送金すると、銀行は、支払者の
公開鍵と実名の対応付けが可能になり、以降、銀行は支
払者の購買履歴などを知る事ができるようになってしま
うため、支払者のプライバシを確保できなくなってしま
うからである。

【００４８】この問題に対する簡単な解決方法として、
上記に該当する電子現金を銀行に預入れる際に、支払者
本人に対して支払いを行った（自己宛て支払い）後に預
入れを行うという方法が考えられる。しかし、このよう
な方法を毎回繰り返すと、特定の支払者（預け入れ者本
人）から受領した電子現金を数多く預入れることになっ
てしまい、電子現金の履歴情報から簡単に公開鍵と実名
の対応付けが可能になってしまう。

【００４９】この発明の目的は、自己宛て支払いするこ
となく、プライバシを守ったまま実名を明かしながら銀
行に預入れすることを可能にすることにある。

【００５０】

【課題を解決するための手段】この発明では預け入れ専
用コインを導入することにより上記課題を解決する。以
下に、預け入れ専用コインを用いた預け入れ方法の例を
示す。預け入れ者装置は、銀行装置に電子現金を預入れ
る際に、まず、発行機関（ここでは、電子現金発行機関
とするが、実際は銀行が信用する機関であれば、どのよ
うな機関であってもよい）装置にアクセスし、発行機関
装置に対して通常の支払処理を行い、かつ預け入れ者の
実名をブラインドした情報を発行機関装置に送信し、発
行機関装置は、預け入れ者装置からの支払いが正当であ
ることを確認し、預け入れ者装置から送信されてきた、
「預け入れ者の実名をブラインドした情報」に対して支
払金額対応の発行機関秘密鍵で署名を作成し、作成した
署名情報を預け入れ者装置に送信し、預け入れ者装置
は、発行機関装置から送られてきた発行機関署名情報を
アンブラインドし、預け入れ者装置の実名に対する発行
機関署名情報（以下、預入れ専用コインという）を取出
し、預入れ専用コインおよび預け入れ者装置の実名を銀
行装置に送信し、銀行装置は、預け入れ専用コインの正
当性を検証し、その預け入れ専用コインが正当である場
合には、預け入れ者装置の口座を増額する。

【００５１】以上の方法により、自己宛て支払いするこ
となく、プライバシを守ったまま実名を明かしながら銀
行に預入れすることが可能になる。

【００５２】

【発明の実施の形態】以下では、この発明を特願平８−
２３９２６３号「発行機関分離型番号登録式電子現金方
法および支払者装置」に適用した場合の実施例について
説明する。この発明が適用されるシステム構成例を図１
に示す。発行機関装置１００と、銀行装置２００と、支
払者装置３００と、預け入れ者装置４００とが例えば通
信回線を介して接続されている、通信回線を用いること
なく、情報を記録できるＩＣカード等を介しての接続で
あってもよい。 準備 この実施例で前提としている電子現金方法は以下の通り
である。

【００５３】銀行（ここでは、電子現金の決済者を銀行
と呼ぶが、実際は、どのような機関でも良い）装置は、
支払者装置の要求に従い、ある一定金額の電子コイン引
換証を発行する。支払者装置は、電子コイン引換証（ま
たは引換券と呼ぶ）を電子現金発行機関（または発行機
関と呼ぶ）装置に渡し、発行機関装置は、引換券の限度
額までの電子現金（または、電子コインと呼ぶ）を発行
する。支払い者装置は、その電子コインを預け入れ者装
置への支払いに用いる。

【００５４】各預け入れ者装置は、支払者装置から支払
われた電子コインを発行機関装置に支払う。発行機関装
置は預け入れ者装置に預け入れ専用コインを発行する。
預け入れ者装置は預け入れ専用コインを銀行装置に預け
入れる。ここでは、発行機関装置の署名方法はＲＳＡ署
名を用いた例を示す。ｙ円に対応する発行機関装置の公
開鍵はｅｙ，Ｎ ｙ円に対応する発行機関装置の秘密鍵はｄｙ ｘ−ｙ円に対応する発行機関装置の公開鍵はｅｘｙ，Ｎ ｘ−ｙ円に対応する発行機関装置の秘密鍵はｄｘｙ とする。

【００５５】また、銀行装置と預け入れ者装置は、秘密
情報ＳＩＤを共有しているものとする。引換券の発行処
理、電子コインの発行処理および電子コインによる支払
は前述した特願平８−２３９２６３号の電子現金方法と
同様の処理を行う。預入れ専用コインの取得 預け入れ者装置４００と発行機関装置１００間の預け入
れ専用コイン取得方法について説明する（図２参照）。

【００５６】今、預け入れ者の所持金をｘ円、銀行に預
け入れたい金額をｙ円とする。 ステップ１ 預け入れ者装置４００は、発行機関装置１００に対して
匿名でアクセスし、発行機関装置１００にｘ円の支払を
行う。ここでの支払処理は、特願平８−２３９２６３号
の方法と同様の処理である。

【００５７】図２中で、支払装置４２０は、図７中の利
用者装置７００相当の装置であり、受領装置１２０は、
図７中の受領者装置１０００相当の装置であり、電子現
金検証装置１６０は、図８中の発行機関装置９００相当
の装置である。 ステップ２ 預け入れ者装置４００は、乱数Ｒ１およびＲ２を乱数生
成装置４６０で発生し、預け入れ者の識別情報ＩｄＵ、
ｙ円に対する公開鍵を用いてブラインド装置４ ３０でＺ＝（ＩｄＵ‖Ｒ１）×Ｒ２^ey mod Ｎ （ブラ
インド処理） （ここで、「‖」は結合を示す）なるＺを生成し、ｙと
共に発行機関装置１００に送信する。ステップ３発行機
関装置１００では、ｘ円の電子現金およびＺを受取る
と、Ｚに対するｙ円用署名Ｃｗｉを署名装置１３０で以
下の計算により求め、 Ｃｗｉ＝Ｚ^dy mod Ｎ （発行機関署名作成） さらに、ｘ−ｙ円分の電子現金Ｃおよび乱数Ｒｆをコイ
ン発行装置１５０で特願平８−２３９２６３号の方法と
同様の方法で作成し、これらＣｗｉおよびＣを預け入れ
者装置４００に送信する。

【００５８】図２中で、コイン発行装置１５０は、図６
中の発行機関装置９００相当の装置である。 ステップ４ 預け入れ者装置４００は、Ｃを署名検証装置４５０で検
証し、合格すればＣを電子コインとして記憶装置４１０
に保存すると共に、アンブラインド装置４４０で Ｃｗ＝Ｃｗｉ／Ｒ２ mod Ｎ （アンブラインド処
理） なるＣｗを計算し、Ｃｗを預け入れ専用コインとして記
憶装置４１０に保存する。銀行への預入れ 預入れ専用コインを用いた預入れ方法について説明する
（図３参照）。 ステップ１ 預け入れ者装置４００は、発行機関装置１００から取得
したＣｗの他に、ＩｄＵ、Ｒ１およびｙを銀行装置２０
０に送信する。 ステップ２ 銀行装置２００は、署名検証装置２２０で （ＩｄＵ ‖ Ｒ１）^ey mod Ｎ を計算し、Ｃｗと等しいことを検証した後、時間情報Ｔ
ｓおよび乱数情報Ｒｓをそれぞれ時間取得装置２４０、
乱数生成装置２３０で生成し、Ｔｓ，Ｒｓを預け入れ者
装置４００に送信する。 ステップ３ 預け入れ者装置４００は、ハッシュ装置４７０で Ｈ＝ｈ（Ｃｗ ‖ ＳＩＤ ‖ Ｔｓ ‖ Ｒｓ） を計算し、（ｈ（ｘ）はｘをハッシュすることを示
す）、Ｈを銀行装置２００に送信する。 ステップ４ 銀行装置２００は、ハッシュ検証装置２５０でＨがｈ
（Ｃｗ ‖ ＳＩＤ ‖ Ｔｓ ‖ Ｒｓ）と等しいこ
とを検証し、検証が正しかった場合には、預け入れ者装
置の口座をｙ円増額する。

【００５９】

【発明の効果】従来、銀行装置から引出してきた電子現
金や、受領した電子現金のうち、一部を他への支払いに
使用した電子現金をプライバシを保ったまま預入れでき
ないという課題があった。しかしこの発明によれば預け
入れ専用コインを発行機関装置から発行してもらい、こ
のコインを銀行装置に預け入れることによって、自己宛
て支払いすることなく、プライバシを守ったまま実名を
明かしながら銀行装置に預入れすることを可能にする。

【図面の簡単な説明】

【図１】この発明を実施するためのシステム構成例を示
すブロック図。

【図２】この発明における預入れ専用コイン取得に必要
な機能構成例を示すブロック図。

【図３】この発明における預入れ処理に必要な機能構成
例を示すブロック図。

【図４】特願平８−２３９２６３号明細書に示す電子現
金方法が適用されるシステム構成例を示すブロック図。

【図５】前記先願方法における電子現金引換証発行処理
に必要な機能構成例を示すブロック図。

【図６】前記先願方法における引換証と電子現金の交換
処理に必要な機能構成例を示すブロック図。

【図７】前記先願方法における電子コインによる支払い
処理に必要な機能構成例を示すブロック図。

【図８】前記先願方法における決済処理に必要な機能構
成例を示すブロック図。

───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 17/60 410 G09C 1/00 660 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (7)

(57)【特許請求の範囲】
1. 【請求項１】 銀行装置から電子現金引換証を発行して
   もらい、その電子現金引換証を発行機関装置へ送って電
   子現金を発行してもらい、その電子現金を受領した装置
   が電子現金を銀行装置へ送って決済することができる電
   子現金方法における預け入れ者装置による電子現金を銀
   行装置へ預け入れる方法において、 預け入れ者装置は発行機関装置にアクセスして、その発
   行機関装置に対して電子現金による支払処理を行い、 かつ、預け入れ者装置の識別情報を発行機関装置に知ら
   せることなく預け入れ者装置の識別情報及び金額に対す
   る発行機関署名を要求し、 発行機関装置は預け入れ者装置からの支払いが正当であ
   ることを確認して預け入れ者装置からの要求に応じて上
   記発行機関署名を作成し、預け入れ者装置に送信し、 預け入れ者装置は受取った発行機関署名を処理して預け
   入れ専用コインを取得し、 その預け入れ専用コインおよび預け入れ者装置識別情報
   名を銀行装置に送信し、 銀行装置は受取った預け入れ専用コインの正当性を検証
   し、その預け入れ専用コインが正当であれば、預け入れ
   者装置の口座をその預け入れ専用コインの金額分増額す
   ることを特徴とする匿名電子現金預け入れ方法。
2. 【請求項２】 預け入れ者装置は発行機関装置への上記
   署名要求を、預け入れ者装置の識別情報名を撹拌した情
   報を発行機関装置へ送信することにより行い、 発行機関装置は受取った預け入れ者装置の識別情報名を
   撹拌した情報に対する署名を作成して上記発行機関署名
   とし、 預け入れ者装置は受取った発行機関署名に対し、上記識
   別情報の撹拌を解く処理を行って上記預け入れ者装置の
   識別情報に対する上記発行機関装置の署名を得て、上記
   預け入れ専用コインとすることを特徴とする請求項１記
   載の匿名電子現金預け入れ方法。
3. 【請求項３】 預け入れ者装置は上記識別情報の撹拌
   を、上記電子現金による支払金額と対応して、ブライン
   ド署名におけるブラインド処理により行い、 発行機関装置は上記署名作成を上記支払金額と対応して
   行い、 上記預け入れ者装置は発行機関装置から送られてきた上
   記発行機関署名に対し、ブラインド署名におけるアンブ
   ラインド処理を行って上記預け入れ専用コインを得るこ
   とを特徴とする請求項２記載の匿名電子現金預け入れ方
   法。
4. 【請求項４】 預け入れ者装置は上記識別情報の撹拌
   を、上記電子現金による支払金額より少ない預け入れ金
   額と対応して、ブラインド署名におけるブラインド処理
   を行い、かつその預け入れ金額を発行機関装置に送信
   し、 発行機関装置は上記署名作成を上記預け入れ金額と対応
   して行い、 かつ上記支払金額と上記預け入れ金額の差額と対応した
   電子現金を作成して預け入れ者装置へ送信し、 預け入れ者装置は発行機関装置から送られてきた上記発
   行機関署名に対し、ブラインド署名におけるアンブライ
   ンド処理を行って上記預け入れ専用コインを得ることを
   特徴とする請求項２記載の匿名電子現金預け入れ方法。
5. 【請求項５】 上記銀行装置は上記預け入れ専用コイン
   が正当であることを検証すると、その検証ごとに異なる
   情報のチャレンジを生成して預け入れ者装置へ送信し、 預け入れ者装置は上記チャレンジと上記預け入れ専用コ
   インと上記銀行装置と共有の秘密情報を一方向性関数で
   処理して銀行装置へ送信し、 上記銀行装置は上記一方向関数処理情報を検証し、この
   検証に合格することを、上記口座増額の条件とすること
   を特徴とする請求項１乃至４の何れかに記載の匿名電子
   現金預け入れ方法。
6. 【請求項６】 電子現金、自己の識別情報、金額と対応
   した公開鍵を記憶する記憶手段と、 預け入れ金額ｙに応じた公開鍵で上記識別情報を、ブラ
   インド署名におけるブラインド処理を行うブラインド手
   段と、 上記ブラインド処理された情報と金額ｙを発行機関装置
   へ送る手段と、 金額ｘ（ｘ≧ｙ）の電子現金を上記発行機関装置へ支払
   う処理を行う手段と、 上記発行機関装置より受信された署名を、ブラインド署
   名におけるアンブラインド処理を行うアンブラインド手
   段と、 上記アンブラインド処理された情報と上記識別情報と上
   記預け入れ金額ｙを銀行装置へ送信する手段とを具備す
   る預け入れ者装置。
7. 【請求項７】 金額ｘの電子現金から預け入れ金額ｙ
   （ｙ≦ｘ）を銀行装置に預け入れる預け入れ者装置とし
   てコンピュータを機能させるためのプログラムを記録し
   た記録媒体であって、上記プログラムは上記コンピュータに、 上記預け入れ金額ｙに応じて、上記預け入れ者装置の識
   別情報を、ブラインド署名におけるブラインド処理を行
   い、 上記ブラインド処理された情報と金額ｙを発行機関装置
   へ送信し、 金額ｘの電子現金を発行機関装置へ支払い、 発行機関装置より受信された署名を、ブラインド署名に
   おけるアンブラインド処理を行い、 そのアンブラインド処理された情報と上記識別情報と金
   額ｙを銀行装置へ送る処理を実行させるためのものであ
   ることを特徴とするコンピュータ読み取り可能な記録媒
   体。