JPH0752460B2

JPH0752460B2 - 電子現金実施方法及びその装置

Info

Publication number: JPH0752460B2
Application number: JP8883890A
Authority: JP
Inventors: 和夫太田; 龍明岡本
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1989-04-03
Filing date: 1990-04-03
Publication date: 1995-06-05
Anticipated expiration: 2010-06-05
Also published as: JPH0373065A

Description

【発明の詳細な説明】〔産業上の利用分野〕本発明は、電子通信システムを利用して電子的な現金を
実現する電子現金実施方法及びそのための装置に関す
る。

〔従来の技術〕

電子通信システムを使用した電子資金移動が普及しつつ
ある。一般に金融機関（以下の説明ではすべて銀行で代
表する）で換金可能な、例えば手形、小切手等の証書
は、証書のは象徴的機能（証書を保持している人に対し
て証書に記載してある権利が供与されること）を備えて
いる。証書を電気通信システムで取り扱う場合、証書は
ディジタル化されたデータであり、容易にコピーを作成
して複数回の換金が可能となる。プリペイドカードのよ
うな電子的現金を実現する時にも、このような問題が生
じる。すなわち、プリペイドカードをコピーすること
で、不正に複数回の換金または商品の購入が可能とな
る。

この問題の解決策として、計算機能を備えたカードで換
金時にカード読み取り装置とカードとの間のデータのや
り取りを工夫することで、カードの二重使用を検出する
方式が提案されている（例えば、Chaum,Fiat,Naor:‘Un
traceable Electric Cath'Proc of CRYPTO'88）。

上述したchaum等の方式の概要は次の通りである。な
お、以降では利用者の識別情報（口座番号等）をIDで表
わす。

まず、利用者が銀行から一定額面の電子現金を発行して
もらう手順は以下の通りである。

ステップ1:利用者は、ｋ個の乱数a_i（ｉ＝1,・・・,k）
を生成して公開された一方向性関数ｇを用いて次式 x_i＝ｇ（a_i） y_i＝ｇ（a_iID）,i＝1,・・・,k によりx_iとy_iを求める。

ここでは排他的論理和を表わす。

ステップ2:利用者は、公開された一方向性関数ｆを使用
して計算した値ｆ（x_i,y_i）と乱数r_iのｅ乗との積B_iを
次式 B_i＝▲ｒ^e _i▼×ｆ（x_i,y_i）mod n,i＝1,・・・,kで計算
し銀行に提示する。この処理はｆ（x_i,y_i）の内容を銀
行読まれないようにして結果的にｆ（x_i,y_i）に銀行の
署名を得るブラインド署名のための前処理である。ここ
で一般にa mod bは整数ａを整数ｂで割った余りを表わ
す。

ステップ3:銀行は、利用者にIDとそれぞれk/2個のa_iとr
_iを開示させて利用者がステップ１および２を正しく実
行していることを確認する（以下では、ｉ＝1,・・・,k
/2が未開示と仮定して説明する）。

ステップ4:銀行は、未公開のk/2個のB_iの積を取り、ｄ
乗して署名Ｄを次式のように計算する。同時に、利用者
の口座から対応する金額を引き落とす。

ステップ5:利用者は、Ｄから乱数r_iの影響を取り除いた
電子現金Ｃを次式で計算する。

この時次式が成立する。

この処理により得られる電子現金Ｃはｆ（x_i,y_i）に直
接銀行の署名を付けたものと等価である。ここで、e,d
およびｎは銀行によって生成され、次式を満たす。

ｎ＝Ｐ×Ｑ（ＰとＱは素数）ｅ×ｄ＝１（mod l）但し、ｌ＝LCM｛（Ｐ−１），（Ｑ−１）｝であり、LCM
｛a,b｝はａとｂとの最小公倍数を表わす。銀行は電子
現金の額面に対応する情報ｅと鍵ｎを公開し、鍵ｄを秘
密に管理する。

利用者が、小売店で電子現金Ｃを利用して支払う手順は
次の通りである。

ステップ6:利用者は、Ｃを小売店に提出する。

ステップ7:小売店は、ランダムなビット列E₁，・・・，
E_k/2を生成して利用者に送信する。

ステップ8:利用者は、１≦ｉ≦k/2なる未開示対象のｉ
に対して E_i＝１のとき、a_iとy_iを、 E_i＝０のとき、x_iと（a_iID）を小売店に提示する。

ステップ9:小売店は利用者の応答、公開情報ｅおよびｎ
を用いてＣの正当性が次式により成り立つことを確認す
る。

但し、、x_i＝ｇ（a_i） y_i＝ｇ（a_iID）小売店と銀行の間の決済方法は次の通りである。

ステップ10:小売店は、後日、C,ビット列E₁，・・・，E
_k/2と利用者からの応答（a_iとy_i、またはx_iと（a_iI
D）を銀行に提示して、銀行から該当する金額の支払い
を受ける。

ステップ11:銀行はＣ、ビット列E₁，・・・，E_k/2とa_i
（E_i＝１のとき）または（a_iID）（E_i＝０のとき）を
記憶する。

ここで示した方式は、利用者のプライバシィを保障で
き、二重使用を検出できるという特徴を備えている。

まず、利用者のプライバシィの保障について説明する。
情報Ｂはｆ（x,y）を乱数で攪乱したものなので、銀行
および第３者はＢからｆ（x,y）を推定できない。ま
た、銀行と小売店が結託しても、電子現金Ｃと署名Ｄの
対応を知ることができない。従って、誰がＣを発行した
かを知ることができない。これによりChaum等の方式で
は、電子現金Ｃの発行元（利用者）を推定できないの
で、利用者の消費動向等のプライバシィを守ることがで
きる。以降では、ここで使用した署名の技法を「ブライ
ンド署名」と称することにする。

ブラインド署名の技法としては例えばChaumが米国特許N
o.4,759,063においてRSA暗号方式を用いた次のようなブ
ラインド署名技法を提案している。

利用者は文書Ｍに対して攪乱乱数ｒを使って次式（１）Ｗ＝F_eA（Ｍ）＝r^eA×M mod n ・・・（１）で表わされる一方向性関数F_eAにより文書Ｍを攪乱して
攪乱文書Ｗを作成し、銀行に送る。この関数による処理
をブラインド署名前処理と呼ぶ。

銀行は次式（２）で表わされる署名関数D_eAにより攪乱
文書Ｗに署名して署名付攪乱文書Ωを得て、利用者に送
る。

Ω＝D_eA（Ｗ）＝W^dA mod n ・・・（２）利用者は次式（３）で表わされるブラインド署名後処理
関数H_eAにより署名付攪乱文書Ωを処理する。

H_eA（Ω）＝Ω/r mod n ・・・（３）ただし式（１）、（２）、（３）におけるe_A,d_A,nは次
の条件を満すものとする。

e_A×d_A≡１（mod l）ｌ＝LCM｛（Ｐ−１），（Ｑ−１）｝ｎ＝Ｐ×Q, ＰとＱは素数であり、LCM｛a,b｝はａとｂの最小公倍数
を表わす。d_Aは秘密鍵であり、e_A及びｎは公開鍵であ
る。

上式（３）は次のように変形できる。

H_eA（Ω）＝H_eA｛D_eA（F_eA（Ｍ））｝ ≡（r^eA×Ｍ）^dA/r ≡ｒ^eA×dA×M^dA/r ≡M^dA（mod n）・・・（４）式（５）の右辺は明らかに式（２）の中のＷをＭに置き
替えたものである。従って次式 H_eA（Ω）＝D_eA（Ｍ）・・・（５）が成立する。これら式（１）、（２）、（３）がブライ
ンド署名の手順を示しており、そのブラインド署名が可
能てあることを式（４）が証明している。即ち署名付攪
乱文書Ωをブラインド署名後処理関数H_eAにより処理す
ることによって署名付攪乱文書Ωから撹拌乱数ｒの影響
を除去することができ、従って銀行が文書Ｍを直接署名
関数D_eAにより署名したものと同じ署名付文書D_eA（Ｍ）
が得られる。

次に二重使用の検出について説明する。銀行は小売店か
ら送られてきたＣをすでにメモリに蓄積されているすべ
てのＣと比較し、同じＣが２回使用されてないかチェッ
クする。利用者が不正にＣを２回使用すると、１回目の
Ｃに対応してE_i＝１の時a_iがE_i＝０の時（a_iID）が銀
行のメモリ内に記憶されているので、１回目のE_iと２回
目のE_iが異なる場合には、a_i（a_iID）を計算してID
が求まる。銀行はk/2ビットの問い合わせをするので、
１回目と２回目のE_iが全ビット（ｉ＝１〜k/2）で一致
する確率、即ち二重使用されたＣからそれを使用した利
用者のIDを計算できない確率は2^-k/2となる。

〔発明が解決しようとする課題〕

上述したChaum等の方式では、二重使用に対する安全性
を保障するために関数ｆとｇが一方向性であることに加
えて、２成分の不干渉性、即ちＺ＝ｆ（x,y）＝ｆ
（ｘ′,y′）を満たす（x,y）と（ｘ′,y′）と見つけ
ることが困難なことが必要である。ところが、このよう
な２成分の不干渉性を満足する一方向性関数の構成方法
については現在知られていない。

本発明は、上記に鑑みてなされたもので、その目的とす
るところは、特殊な条件を備えた関数ｆを用いることな
く、二重使用を検出することができるとともに、また利
用者のプライバシィを保障することができる電子現金実
施方法とその装置を提供することにある。

〔課題を解決するための手段〕

本発明の電子現金方式は、銀行が発行する電子現金を利
用者が使用し、この電子現金を小売店が受領して銀行と
の間で決済する電子現金処理における電子現金実施方法
であって、利用者は、利用者の識別情報（ID_P）を裸のまま含んだ
秘密情報（S_i）から利用者情報（V_i）を生成し、その利
用者情報（V_i）又はそれを含む情報（M_i）をブラインド
署名前処理器により攪乱して攪乱利用者情報（W_i）を生
成し、銀行に送信する。

銀行は、署名器を使って攪乱利用者情報（W_i）に署名
し、その署名付攪乱利用者情報（Ω_i）を利用者に送信
する。

利用者は、ブラインド署名後処理器を使用して銀行から
受信した署名付攪乱利用者情報から攪乱を除去すること
により銀行の署名が付いた署名付利用者情報（B_vi又はB
_i又はＢ）を得る。

利用者は乱数情報（R_i）から第１通信文計算器を使用し
て認証用情報（X_i）を生成し、その認証用情報又はそれ
を含む情報ｍをブラインド署名前処理器により攪乱して
攪乱認証用情報（Z_i又はＺ）を生成し、銀行に送る。

銀行は署名器を使って攪乱認証用情報（Z_i又はＺ）に署
名し、その署名付攪乱認証情報（Θ_i又はΘ）を利用者
に送る。

利用者はブラインド後処理器を使って署名付攪乱認証用
情報から攪乱を除去することにより銀行の署名が付いた
署名付認証用情報（B_xi又はＣ）を得る。

利用者は小売店での支払い時に利用者情報、認証用情
報、署名付利用者情報、及び署名付認証用情報を電子現
金として提示する。

小売店は、検査器を使用して署名付利用者情報と署名付
認証用情報の妥当性を検査する。また小売店自身の情報
により作成した問い合わせ文q_iを利用者に送る。利用者
は小売店からの問い合わせに対して秘密情報（S_i）と乱
数情報（R_i）を問い合わせ文とを使って応答文（Y_i）を
作成し、小売店に提示する。

小売店は応答文を検査することによって利用者情報と認
証用情報が利用者自身のものであることを確認し、電子
現金を正当なものであると判定する。小売店は決済のた
めに銀行に利用者の提示した情報と共に問い合わせ文と
それに対する応答文を送信する。

銀行は、検査器を使用して署名付利用者情報と署名付認
証用情報の妥当性を検査して、合格の時には受信した利
用者情報と認証用情報の組と同じものが既にメモリ内に
蓄積されている情報の中にないか検査し、あった場合は
それら２組の利用者情報と認証用情報に対応する問い合
わせ文と応答文から利用者の秘密情報を算出して利用者
を同定し、同じ組がなかった場合は小売店から受信した
情報をメモリに蓄積する。

〔作用〕

このようにこの発明によれば識別情報を含んだ秘密情報
から作られた利用者情報と乱数情報から作られた認証用
情報とに対し、それぞれ別々にブラインド署名をするよ
うにしたため利用者情報及び認証用情報を作成するため
の関数には成分の不干渉性の問題は生じない。従って所
望の関数を構成することができる。

更に１度得た署名付利用者情報を銀行が発行した利用許
可証（B_i又はＢ）として使い、必要毎にに認証用情報X_i
と利用許可証を連結した情報に対し、銀行にブラインド
署名させて得た前記署名付認証用情報を銀行が発行した
電子コインとして使うようにすれば電子コインの発行処
理手順を簡略化でき、しかも電子コインを譲渡したり及
び／又は複数回使用したりすることも可能となる。

以下、図面を用いて本発明の実施例を説明する。

第１図は本発明の各実施例に係わる電子現金方式が適用
される銀行（BANK）、利用者（USER）および小売店（SH
OP）の関係を示す構成図である。第１図において、銀行
100、利用者200および小売店300は例えば通信回線等を
介して接続されているが、情報を記録できる例えばICカ
ードを介しての接続であってもよい。

〔第１実施例〕銀行100は、利用者200の電子現金発行要求に応じて利用
者200の身元を確認して利用者の口座から電子現金に対
応する金額を引き落とすか、又は利用者200から現金を
受領した後に、そのことを証明する証拠（電子現金を構
成する情報の一部である後述する署名付利用者情報と署
名付認証用情報）を利用者200にブラインド署名の技法
を用いて発行する。

利用者200は、小売店300に対する支払い時に証拠を小売
店300に提出し、かつ小売店300からの問い合わせに対し
て利用者情報と認証用情報をそれぞれ生成する時に用い
た秘密情報と乱数情報から応答文を生成して小売店に提
出して支払いを済ます。

次に、利用者識別情報としてID_Pを用いる利用者200が電
子現金を銀行100から発行してもらう場合について詳細
に説明する。

まず、銀行は電子現金発行手順において使用されるブラ
インド署名の技法にここではRSA暗号を使うため、必要
な各種パラメータを次の条件を満たすように決定する。

ｎ＝Ｐ×Ｑｅ×ｄ≡１（mod l）但し、ｌ＝LCM｛（Ｐ−１），（Ｑ−１）｝でe,dおよび
ｎを計算して、鍵ｅおよび鍵ｎを公開し、鍵ｄを秘密に
管理する。銀行が発行する電子現金の額面は一定であ
り、公開鍵ｅはその金額に対応している。

ここで、LCM（a,b）は整数ａとｂとの最小公倍数を表わ
し、ＰおよびＱは相異なる２つの大きな素数とする。ま
た、ａ≡ｂ（mod l）は、ａ−ｂがｌの整数倍であるこ
とを表わす。このような各種パラメータの決め方は、例
えばR.L.Rivest etal.“A Method jor Obtaining Digit
al Signatures and Publickey Cryptosystems",Communi
cations of the ACM Vol.21,No.2.pp120-126,1978に記
載されている。

次に利用者200は、自分の識別情報ID_Pを裸のまま埋め込
んだ秘密情報S_iから利用者情報V_iをあらかじめ決めた第
１の一方向性関数に従って生成し、乱数情報R_iからに認
証用情報X_iを前記第２の一方向性関数に従って生成す
る。利用者は銀行にブラインド署名の技法を用いてV_iと
X_iに署名をつけさせる。ここで、ブラインド署名を用い
ている理由は、小売店と銀行が結託しても利用者のプラ
イバシィを保障できるようにするためである。この発明
で重要なことの１つは秘密情報S_iが未加工の識別情報ID
_Pを含んでいることである。

以下に説明する銀行と利用者間の処理におけるブライン
ド署名はChaumの米国特許No.4,759,063に開示されてい
るブラインド署名技法と同様に、RSA暗号（前述したRiv
est等の論文参照）を利用した場合であるが、対話型の
認証方式を用いるブラインド署名（例えば、米国出願N
o.367,650（1989年６月19日出願）参照）を使ってもよ
い。

利用者が銀行から電子現金を発行してもらう手順を第２
図Ａに示し、利用者200及び銀行100の構成を示すブロッ
ク図をそれぞれ第３図及び第４図に示す。なお、以下の
説明ではｉ＝1,…,kとする。

ステップS₁：利用者は、乱数発生器（RANDOMGEN）211を
用いて乱数a_iを生成し、識別情報ID_Pとともに署名器（S
LG EQ）212に供給する。署名器212はa_iとID_Pの連結に利
用者の署名を付けるものであり、その署名付出力g_iはg_i
＝Ｇ（a_i‖ID_P）と表わされ、Ｇは署名関数である。記
号‖は連結を表わし、例えば01110‖110＝01110110であ
る。

ステップS₂：乱数発生器211の出力a_iと署名器212の出力
g_iをID_Pとともに連結器（CONC）213に入力して、秘密情
報S_iを作成する。秘密情報S_iは次式で示すようにID_P、
乱数a_i及び署名g_iの連結であり、従って識別情報ID_Pを
裸のまま含んでする。

S_i＝ID_P‖a_i‖g_i …（６）また素数発生器（PRIM GEN）221を用いて、２つの素数P
_i,Q_iを生成し、乗算器222を用いて素数P_iとQ_iの積N_iを
求める。

ステップS₃：素数L_i，連結器213の出力S_iと乗算器（MU
L）222の出力である素数積N_iから、剰余付きべき乗計算
器（MOD-POWER）223を用いて第１の一方向性関数である
次式で与えられる利用者情報 V_i＝▲Ｓ^Li _i▼ mod N_i …（７）を計算する。

一方乱数発生器（RANDOM GEN）224を用いて生成した秘
密の乱数情報R₁、乗算器222の出力Ｎおよび素数Ｌか
ら、剰余付きべき乗計算器（MOD-POWER）225を用いて第
２の一方向性関数である次式で与えられる認証用情報 X_i＝▲Ｒ^Li _i▼ mod N_i …（８）を計算する。L_iとN_iは式（７），（８）で表わせる一方
向性関数を構成するパラメータとして使われるのでパラ
メータ情報と呼ぶ。

ステップS₄：ブラインド署名前処理としてV_iとX_iをそれ
ぞれ攪乱乱数r_iとｒ′_iで攪乱するための前処理関数は
それぞれ一方向性関数であり一般に下で次のように表わ
すが必ずしも同じ形である必要はない。

W_i＝F_e｛r_i,V_i｝ …（９） Z_i＝F_e｛ｒ′_i,X_i｝ …（10）第2A図及び第３図に示す実施例においてはこの前処理を
次のように行う。即ち乱数発生器（RANDOM GEN）226の
生成した攪乱乱数r_iと剰余付きべき乗計算器223の生成
したV_iと公開鍵ｅとｎから剰余乗算・べき乗計算器（MO
DMUL/POWER）227を用いて、次式で表わされる攪乱利用
者情報 W_i＝F_e｛r_i,V_i｝＝▲ｒ^e _i▼×V_i mod n …（11）を計算する。

一方乱数発生器226の生成した攪乱乱数ｒ′_iと剰余付き
べき乗計算器225の生成したX_iと公開鍵ｅとｎから、剰
余乗算・べき乗計算器（MOD-MUL/POWER）228を用いて、
次式で表わされる攪乱認証用情報 Z_i＝F_e｛ｒ′_i,X_i｝＝▲ｒ′^e _i▼×X_i mod n …（12）を計算する。

計算したW_iとZ_iを銀行に送信する。

ここで、乱数発生器226、剰余乗算・べき乗計算器227,2
28はブラインド署名前処理器20Aを構成している。

ステップS₅：銀行は利用者200からW_iとZ_iを受信する
と、メモリ（MEM）101,102にそれぞれ記憶する（第４図
参照）。

次に銀行100は利用者にk/2組の（S_i,R_i,r_i,r′_i,L_i,
N_i）を開示させて、利用者が各秘密情報S_iに本人の識別
情報ID_Pを正しく入れていることを認識し、かつステッ
プS₁からステップS₄を正しく実行していることを以下の
手順により確認する。

ステップS₆：銀行は利用者に対し開示要求するk/2組の
情報（S_i,R_i,r_i,r′_i,L_i,N_i）を指定するi_jグループＵ
＝（ｊ＝1,…k/2）を決め、そのi_jグループＵ＝｛i_j｜_j
＝1,…,k/2｝を利用者に送る（以下ではｉ＝1,…,k/2）
が未開示と仮定して説明する）。

ステップS₇：利用者は、銀行から開示要求を受信する
と、銀行の指定するｉに対応するk/2組の｛S_i,R_i,r_i,
r′_i,L_i,N_i｝を銀行に送る。

銀行は、ｉが開示対象の時、次のステップS₈〜S₁₀の手
順を行う。

ステップS₈:iを開示対象とした時、S_i中の所定の位置に
ID_pが入っていることを確認し、利用者200から受信した
｛S_i,R_i,L_i,N_i｝から、剰余べき乗計算器（MOD-POWER）
111及び121を用いて、Ｖ′_i＝▲Ｓ^Li _i▼ mod N_i Ｘ′_i＝▲Ｒ^Li _i▼ mod N_i を計算する。

ステップS₉：剰余べき乗計算器111,121の出力Ｖ′_i,X′
_i、受信したr_i,r′_iと公開鍵ｅとｎから、剰余乗算・べ
き乗計算器（MOD-MUL/POWER）112,122を用いて、Ｗ′_i＝▲ｒ^e _i▼×Ｖ′_i mod n Ｚ′_i＝▲ｒ^e _i▼×Ｘ′_i mod n を計算する。

ステップS₁₀：メモリ101内の値W_iと剰余乗算・べき乗計
算器112の出力Ｗ′_iを比較器（COMP）113において比較
する。またメモリ102内の値Z_iと剰余乗算・べき乗計算
器122の出力Ｚ′_iを比較器（COMP）123において比較す
る。

このように銀行は、k/2個のすべてのｉについて検査し
て、いずれかの検査に不合格のときには、以降の処理を
中止する。すべての検査に合格のときには、銀行は利用
者の口座から該当する金額を引き落とすか、利用者から
該当する金額を受領すると、開示対象でないｉに対して
次の手順を行う。

ステップS₁₁：公開鍵ｎと秘密鍵ｄとメモリ101,102上の
W_i,Z_iから、剰余べき乗計算器（MOD-POWER）131,141を
用いて、次式で表わされる署名付攪乱利用者情報Ω_iと
署名付攪乱認証用情報Θ_iをそれぞれ計算し、Ω_iとΘ_i
を利用者に送る。

Ω_i＝D_e（W_i）＝▲Ｗ^d _i▼ mod n …（13） Θ_i＝D_e（Z_i）＝▲Ｚ^d _i▼ mod n …（14）ここで、式（13），（14）で表わされる処理が銀行がW_i
とZ_iに対し行った署名であり、D_eを署名関数と呼ぶ。剰
余すべき乗計算器131,141は署名器10Aを構成する。

ステップS₁₂：利用者は、銀行からΩ_iとΘ_iを受信する
と、Ω_iとΘ_iから攪乱乱数r_iとｒ′_iの影響を取り除い
て、銀行の署名の跡が残っている署名付利用者情報B_vi
と署名付認証用情報B_xiを計算するために銀行から受信
したΩ_i，Θ_iと乱数発生器226の生成した攪乱乱数r_i,
r′_iと公開鍵ｎから、剰余除算器（MOD-DIV）231,232を
用いて、 B_vi＝H_e｛r_i，Ω_i｝＝Ω_i/r_i mod n …（15） B_xi＝H_e｛ｒ′_i，Θ_i｝＝Θ_i/r′_i mod n …（16）を計算する。

ここで式（15）に式（11）と（13）を代入し、式（16）
に式（12）と（14）をそれぞれ代入すると次式が成立す
る。

B_vi＝H_e｛r_i，Ω_i｝≡▲ｒ^ｅ×ｄ _ｉ▼×▲Ｖ^d _i▼／r_i≡
▲Ｖ^d _i▼ mod n＝D_e（V_i） B_xi＝H_e｛ｒ′_i，Θ_i｝≡▲ｒ′^ｅ×ｄ _ｉ▼×▲Ｘ^d _i▼/
r′_i≡▲Ｘ^d _i▼ mod n＝D_e（X_i）上記２つの式は銀行から受信した署名付攪乱利用者情報
Ω_iと署名付攪乱認証用情報Θ_iを関数H_eで処理すると、
銀行がV_i,X_iに対し直接署名関数D_eにより処理を行った
結果D_e（V_i），D_e（X_i）が得られることを示している。
即ち、関数H_eはΩ_i，Θ_iから攪乱乱数r_i,r′_iの影響を
除去する。この攪乱乱数r_i,r′_iの影響を除去する処理
をブラインド署名後処理と呼び、関数H_eを後処理関数と
呼ぶ。除算器231と232はブラインド署名後処理器20Bを
構成している。利用者は情報の組｛V_i,B_vi,X_i,B_vi｝を
電子現金として使用する。

次に、利用者が電子現金を用いて小売店で支払いをする
場合について説明する。利用者と小売店との間の処理手
順例を第2B図に示す。また、小売店200のブロック構成
を第５図に示す。

ステップS₁₃：利用者は電子現金｛V_i,B_vi,X_i,B_xi｝とパ
ラメータ情報｛N_i,L_i｝を小売店に送る。

ステップS₁₄：小売店は電子現金｛V_i,B_vi,X_i,B_xi｝と情
報｛N_i,L_i｝を受信すると、それらをメモリ（MEM）301
に記憶すると共に剰余べき乗計算器（MOD-POWER）311,3
12を使用して次の検証式VH_e Ｖ′_i＝VF_e｛B_vi｝＝▲Ｂ^e _vi▼ mod n Ｘ′_i＝VF_e｛B_xi｝＝▲Ｂ^e _xi▼ mod n を計算する。

ステップS₁₅：比較器（COMP）313,314によりそれぞれk/
2個の計算結果Ｖ′_i,X′_iと利用者から受けたV_i,X_iがそ
れぞれ互いに等しいか検査する（ｉ＝1,…,k/2）。これ
によって署名付利用者情報B_vi及び署名付認証用情報B_xi
に付けられている署名は確かに銀行の署名であるか判定
できる。

ステップS₁₆:k/2個の検出に合格すると、乱数発生器（R
ANDOM GEN）321を使用して乱数γ_iをk/2個生成してメモ
リ301に記憶して、店のID_v、時間ｔ、乱数γ_iを問い合
わせ文q_iとして利用者に送信する。同時に、公開された
一方向性関数ｆを計算するｆ−計算器（ｆ−CAL）322を
用いて、 E_i＝ｆ（ID_v,t,γ_i）を計算する。以後では０＜E_i＜L_iが成り立つものとす
る。

ステップS₁₇：利用者は、小売店からq_i＝｛ID_v,t,γ_i｝
を受信すると、公開された一方向性関数ｆ−計算器（ｆ
−CAL）241を用いて、 E_i＝ｆ（q_i）＝ｆ（ID_v,t,γ_i）を計算する。

ステップS₁₈：連結器213の出力S_i、乗算器222の出力
N_i、乱数発生器224の出力R_iおよびｆ−計算器241の出力
E_iを剰余乗算・べき乗計算器（MOD-POWER）242に入力し
て一方向性関数である次式により Y_i＝R_i×▲Ｓ^Ei _i▼ mod N_i …（17）応答文Y_iを計算して、小売店に送信する（ｉ＝1,…,k/
2）。

ステップS₁₉：小売店は利用者から応答文Y_iを受信する
と、Y_iの正当性を、剰余乗算・べき乗計算器（MOD-MUL/
POWER）331を用いて、 A_i＝X_i×▲Ｖ^Ei _i▼ mod N_i …（18）を計算し剰余べき乗計算器（MOD-POWER）332を用いて、Ａ′_i＝▲Ｙ^Li _i▼ mod N_i …（19）を計算する。

ステップS₂₀：比較器（COMP）333を用いてA_iとＡ′_iが
一致することを確認する。（ｉ＝1,…,k/2）。

ここで、剰余べき乗計算器311,312、比較器313,314は利
用者情報V_iと認証用情報X_iの正当性を検査する検査器30
Aを構成し、ｆ−計算器322、剰余乗算・べき乗計算器33
1、剰余べき乗計算器332及び比較器333は応答文Y_iの妥
当性を検査する検査器30Bを構成する。上述では各ステ
ップS₁₆〜S₂₀においてすべてのｉ（ｉ＝1,…,k/2）につ
いての処理を行うように説明したが、各ｉについてステ
ップS₁₆〜S₂₀を繰返すように処理を行ってもよい。

最後に、小売店と銀行との間の決済方法について説明す
る。小売店と銀行との間の処理手順例を第2C図に示す。

ステップS₂₁：小売店は、後日、メモリ301内の電子現金
情報｛V_i,X_i,B_vi,B_xi｝と、パラメータ情報｛N_i,L_i｝
と、問い合せ文｛ID_v,t,γ_i｝と応答文Y_iを銀行に提出
する（ｉ＝1,…,k/2）。

ステップS₂₂：銀行は小売店から｛N_i,L_i,V_i,X_i,B_xi,
B_vi,ID_v,t,γ_i,Y_i｝を受信すると、公開鍵ｅとｎを剰余
べき乗計算器（MOD-POWER）151,152に入力して、次の検証式VF_e Ｖ′_i＝VF_e｛B_vi｝＝▲Ｂ^e _vi▼ mod n Ｘ′_i＝VF_e｛B_xi｝＝▲Ｂ^e _xi▼ mod n を計算する。

ステップS₂₃：計算したＶ′_i,X′_iが受信したV_i,X_iとそ
れぞれ等しいか比較器（COMP）156,157により検査する
（ｉ＝1,…,k/2）。これらが等しければB_vi,B_xiに示さ
れている署名は確かに銀行のものであると判定する。従
って署名が付けられている情報V_i,X_iも信頼できるもの
であると判定する。

ステップS₂₄：すべての検査に合格すると、公開された
一方向性関数ｆを計算するｆ−計算器（ｆ−CAL）153を
用いて、 E_i＝ｆ（ID_v,t,γ_i）を計算して、剰余乗算・べき乗計算器（MOD-MUL/POWE
R）154を用いて、 A_i＝X_i×▲Ｖ^Ei _i▼ mod N_i を計算し、剰余べき乗計算器（MOD-POWER）155を用い
て、Ａ′_i＝▲Ｙ^Li _i▼ mod N_i を計算する。

ステップS₂₅：比較器（COMP）158を用いてA_iとＡ′_iが
一致することを確認する（ｉ＝1,…,k/2）。これによっ
てE_iとY_iも信用できるものであることがわかる。

ステップS₂₆：小売店から提出された｛N_i,L_i,V_i,X_i,E_i,
Y_i｝（ｉ＝1,…,k/2）をメモリ（MEM）161に記憶して、
店ID_vの口座へ該当する金額を払い込む。

以上では、高次根のべき乗根の計算の困難性に基づく対
話型の認証方式に基づく方式について実現例を説明した
が、M.Tompa and H.Wollの“Randam Self-Reducibility
and Zero Knowledge Interactive Proofs of Prossess
ion of Information"The Proc.of FOCS,1987 pp.472-48
2で示されているような他の対話型の証明方式において
も同様の方式が実現できる。

なお、一般に対話型の認証方式は、健全性（１組のV_iと
X_iに対して２組の正しいE_iとY_iが求まるとき、V_iに対応
する秘密情報S_iが計算できる）を満たすので、V_iとX_iの
同じ組を２回以上使用すると、利用者のID_pが露見す
る。

次に電子現金の不正な二重使用の検出について証明す
る。

前述のように利用者200が小売店300に対し電子現金を使
用すると、小売店300は問い合わせ文q_i＝｛ID_v,t,γ_i｝
を利用者200に与える。この問い合わせ文q_iの内容とし
ては識別情報ID_v，時間ｔ及び乱数γ_iが使われているの
で、異なる小売店ではID_vが異なり、同じ小売店でも時
間が異なればｔが異なる。従って利用者が同一電子現金
を不正に２回使用するとそれらに対し小売店から与えら
れる問い合わせ文｛ID_v,t,γ_i｝の内容のいずれかは必
ず異っているのでE_i＝ｆ（ID_v,t,γ_i）も異なると期待
できる。従って式（17）から明らかなようにそれに対す
る応答文Y_iも異なる。その結果、電子現金が２回使用さ
れると銀行は１回目と２回目の同一のV_iとX_iの組に対し
異なる２組のE_iとY_iを得ることになる。これら２組を
（E_i,Y_i）、（Ｅ′_i,Y′_i）とするとこれらはいずれも
ステップS₁₉,S₂₀の検査式（18），（19）を満足したの
で次式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^Ei _i▼（mod N_i） …（20） ▲Ｙ′^Li _i▼≡X_i・▲Ｖ^Ｅ′ｉ _i▼（mod N_i） …（21）が成り立つ。これらからが得られ、更に▲Ｓ^Li _i▼≡V_i（mod N_i）が成立つので
次式が得られる。

ここで、L_iが素数なのでL_iとE_i−Ｅ′_iが互いに素とな
り α×Ｌ＋β×（E_i−Ｅ′_i）＝１ …（24）を満足する整数αとβを、ユークリッドの互除法を用い
て計算することができる。従ってとなるのでS_iを計算できる。秘密情報S_iは裸のID_pを含
んでいるので、電子現金を不正使用した利用者を特定す
ることができる。

上述の二重使用検出手順は例えば第2C図のステップS₂₅
とS₂₆の間に挿入され、その手順を第2D図と第４図を参
照して説明する。

ステップS_C1：銀行は受信した（V_i,X_i）と同じものがメ
モリ161の中にあるか探して、無ければ第2C図のステッ
プS₂₆に行き、有れば次に進む。

ステップS_C2：既にメモリ161内に記憶されている（V_i,X
_i）と対応する（Ｅ′_i,Y′_i）を読出す。

ステップS_C3：ユークリッドの互除法計算器（EUCLID'S
ALGORITHM）172を用いて式（19）を満足するαとβを求
める。

α×Ｌ＋β（E_i−Ｅ′_i）＝１ステップS_C4：剰余除算器（MOD-DIV）171にY_i,Y′_i及び
N_iを入力してY_i/Y′_i mod N_iを計算し、その結果をα，
β及びN_iを剰余乗算・べき乗器（MOD-MUL/POWER）173に
入力して前式（25）を計算してS_iを得る。

ステップS_C5：S_iの中からID_pを取出す。

以上説明したようにこの発明によれば利用者のID_pを裸
のまま含む秘密情報S_iをもとに作成した情報V_iと乱数情
報R_iをもとに作成された情報X_iは互いに別々にブライン
ド署名前処理（第2A図のステップS₄）を受けるのでChau
m等の一方向性関数ｆ（x_i,y_i）に要求されるような２成
分の不干渉性条件の問題が無い。逆に言えばChaum等の
電子現金スキームにおいては同一の一方向性関数ｆに乱
数にもとづく情報x_iとIDにもとづく情報y_iの両方のパラ
メータを含んでいる事と、しかも情報y_iはその乱数によ
ってIDと関連づけられている事、即ちy_iはx_iに関連づけ
られている事が不干渉性の問題を作り出していると言え
る。

ところで今述べたように｛V_i,W_i｝と｛X_i,Z_i｝は互いに
独立して処理されており、また式（13）及び（14）によ
るブラインド署名の結果得られる情報Ω_iとΘ_iも互いに
独立して処理されている。更にこれらに対し式（15），
（16）により後処理をして得られる署名付情報B_viとB_xi
も互いに独立して処理されている。つまり利用者が電子
現金の発行を要求してから電子現金を得るまでの処理過
程においては情報系列｛V_i,W_i，Ω_i,B_vi｝と情報系列
｛X_i,Z_i，Θ_i,B_xi｝は互いに独立して処理されている。
利用者が第2B図の電子現金を使用する処理過程におい
て、小売店からの質問に応答するための応答文Y_iをステ
ップS₁₇で作成する段階で初めて秘密情報S_iと乱数情報R
_iが１つの関数で関係づけられる。この事実は第2A図に
示す処理過程における情報系列｛V_i,W_i，Ω_i,B_vi｝に関
する処理と情報系列｛X_i,Z_i，Θ_i,B_xi｝に関する処理を
互いに分離し、互いに異なる時間及び状況において実行
してもよいことを意味している。このことを利用したの
が次に第6A〜6D図及び第7A〜7D図を参照して説明する第
２の実施例である。

〔第２実施例〕第２の実施例においては利用者からの要求により銀行は
利用許可証を１回発行し、利用者は電子現金を銀行に発
行してもらう場合は、いつでもその利用許可証と乱数情
報から生成した情報を銀行に提示してそれに証明させる
ことにより電子現金発行の処理手順を簡素化している。
この利用許可証の発行手順において先に述べた秘密情報
S_iに関連する情報系列｛V_i,W_i，Ω_i,B_vi｝に対応する情
報系列が生成され、こうして発行された利用許可証にも
とづいて電子現金を発行する手順において先に述べた乱
数情報R_iに関連する情報系列｛X_i,Z_i，Θ_i,B_xi｝に対応
する情報系列が生成される。ここでは簡便化された手順
により発行される電子現金を電子コインと呼びＣで表わ
すことにする。

まず、第6A図の処理フローと第7A図の装置機能ブロック
図を参照して銀行100に口座を開設した利用者200が、利
用許可証を銀行100より発行してもらう場合について説
明する。ここでID_pは利用者200の口座番号等の識別情報
とする。

銀行100は利用許可証に対応する情報として、ブライン
ド署名で用いる秘密鍵d_Aおよび公開鍵e_Aの対を作成して
おき、e_Aを公開しておく。ここで、すでに証明したよう
にブラインド署名によれば、ある文書Ｍに銀行100のブ
ラインド署名をつけてもらいたい利用者200が銀行100の
ブラインド署名用の公開鍵e_Aと攪乱乱数ｒを用いたブラ
インド署名前処理関数Ｗ＝F_eA（r,M）によって文書Ｍを
攪乱して他人に読めない攪乱文書Ｗとし、それを銀行10
0に送る。銀行100は秘密鍵d_Aを用いたブラインド署名作
成処理Ω＝D_eA（Ｗ）により攪乱文書Ｗに署名（ブライ
ンド署名）し、その署名付攪乱文書Ωを利用者200に送
る。Ωを受け取った利用者200は、Ｗを作成するときに
用いた攪乱乱数ｒを使って乱数除去関数H_eA（Ω）によ
りΩの中の攪乱乱数ｒの影響を除去することにより銀行
の署名の跡が付いた文書である署名付文書D_eA（Ｍ）を
得ることができる。ここで、攪乱処理のためのF_eAは一
方向性関数であるブラインド署名前処理関数、D_eAはブ
ラインド署名作成関数、乱数成分除去処理のためのH_eA
はブラインド署名後処理関数、D_eA（Ｍ）は公開鍵e_Aに
対応した銀行の署名付文書を意味する。ブラインド署名
の実現方法は、前述のRSA暗号を用いたChaumの方法およ
びこの出願の発明者等の特願昭63-156020に示されてい
る方法のいずれのブラインド署名を用いてもよい。

利用者200は自分の識別情報ID_pを裸のまま埋め込んだ秘
密情報S_iからこの実施例で利用者情報と呼ぶV_iを生成
し、利用者200は銀行100にブラインド署名技法を用いて
V_iに署名をつけさせる。この署名の付いたV_i、即ちD_eA
（V_i）を利用許可証と呼ぶ。ここで、ブラインド署名を
用いる理由は、小売店300と銀行100が結託しても利用者
200のプライバシィを保障できるようにするためであ
る。

第6A図に示す利用者200が銀行100から利用許可証を発行
してもらう手順をその処理手順に係わる第7A図に示す利
用者200と銀行100のブロック構成図を参照して説明す
る。以下では、ｉ＝1,…,kとする。

ステップS₁：利用者200は乱数発生器（RANDOM GEN）203
を用いて乱数a_iを生成してID_pと共に連結器（CONC）204
に入力し、その出力ID_p‖a_iを署名生成器（DIG SIG GE
N）218に入力し、 g_i＝Ｇ（ID_p‖a_i） …（26）を求める。

ステップS₂：署名生成器218の出力を（ID_p‖a_i）と共に
連結器204に入力して秘密情報 S_i＝ID_p‖a_i‖g_i …（27）を求めてメモリ211に記憶する。また素数発生器（PRIME
GEM）201を用いてｋ対の素数（P_i,Q_i）を生成して、乗
算器（MUL）202を用いてP_iとQ_iの積N_iを求めて記憶す
る。

ステップS₃：素数発生器（PRIME GEN）213により素数L_i
（例えば３以上の素数）を発生し、L_iとS_i,N_iから剰余
べき乗器（MOD-POWER）205を用いて、利用者情報 V_i＝▲Ｓ^Li _i▼ mod N_i …（28）を計算してL_iとV_iをメモリ（MEM）211に記憶する。

ステップS₄：N_i,V_i,L_iを連結器（CONC）206に入力し、
その出力M_i＝（N_i‖V_i‖L_i）を銀行100が公開した利用
許可証作成のための鍵e_Aと共にブラインド署名前処理器
（BSPRE-PROCESS）207に入力し、攪乱利用者情報 W_i＝F_eA（r_i,M_i） …（29）を求め、銀行100に送る。ここでブラインド署名前処理
関数F_eAはRSA暗号方式を使ったChaumの式（１）と同様
でもよく、この出願の発明者等の特願昭63-156020に提
案したものでもよい。

次に、銀行100は利用者200にk/2組の｛S_i,L_i,P_i,Q_i,
r_i｝を開示させて、利用者200が各秘密情報S_iに本人の
識別情報ID_pを正しく入れていることを確認し、かつス
テップS₁からステップS₄を正しく実行していることを以
下の手順で確認する。

ステップS₅：銀行100はランダム選択器（RANDOM SEL）1
01を用いて１乃至ｋのｉ中からランダムにk/2個の異な
るｉを選び、そのｉの組を開示要求Ｕ＝｛i_j|j＝1,…,k
/2｝として利用者200に送信する。ここでは、表記を簡
単にするため銀行100がk/2＋1,k/2＋2,…,kをｉとして
選んだとする。従ってｉ＝1,…,k/2は開示対象でない。

ステップS₆：利用者200は銀行100から開示要求Ｕを受信
すると、開示制御器（DISCLOSURECONT）208を用いて銀
行100の指示するk/2組の｛S_i,L_i,P_i,Q_i,r_i｝を開示す
る。ここで、r_iはステップS₄でW_iを作成するためにブラ
インド署名前処理関数F_eAに用いた攪乱乱数である。

ステップS₇：銀行100はｉが開示対象の時、つまりk/2＋
１≦ｉ≦ｋの時、S_i中の所定の位置にID_pが入っている
ことを確認し、利用者200より受信した｛S_i,L_i,P_i,Q_i,r
_i｝から乗算器（MUL）102を用いてN_i＝P_i×Q_iを求め、
剰余べき乗計算器（MOD-POWER）105を用いて、 V_i＝▲Ｓ^Li _i▼ mod N_i …（30）でV_iを計算する。

ステップS₈：剰余べき乗計算器105の出力V_i、受信したr
_iと公開鍵e_Aから連結器（CONC）104およびブラインド署
名前処理器（BS PREPROCESS）107を用いてＷ′_i＝F_eA｛r_i，（N_i‖V_i‖L_i）｝でＷ′を計算する。

ステップS₉：前に受信したW_iの値とＷ′_iの値を比較器
（COMP）106で比較し、一致すれば合格とし、不合格の
場合は処理を中断する。

銀行100は個のようにしてk/2個のすべてのｉについて上
記の検査を行い、いずれかの検査に不合格のときには以
降の処理を中止する。すべての検査に合格のときは、銀
行100は開示対象でないｉ（ｉ＝1,…,k/2）に対して次
の署名手順を行う。

ステップS₁₀：W_iと銀行100のブラインド署名用の秘密鍵
d_Aをブラインド署名生成器（BSGEN）108に入力し、次式
のブラインド署名 Ω_i＝D_eA（W_i） …（31）を求めて利用者200に送る。関数D_eAは銀行の署名関数で
あり、例えばRSA暗号方式を使ったChaumの式（２）と同
様のものでよい。

ステップS₁₁：利用者200は銀行100からブラインド署名
Ω_iを受信すると、そのブラインド署名Ω_iとブラインド
署名前処理（ステップS₄）において使用した攪乱乱数r_i
と公開鍵e_Aからブラインド署名後処理器（BS POST-PROC
ESS）209を用いて B_i＝H_eA（r_i，Ω_i） …（32）を計算することによりΩ_iから攪乱乱数r_iの影響を除去
する。この関数H_eAはChaumの式（３）と同様のものでよ
い。式（32）により得られる署名付利用者情報B_iは次式 B_i＝D_eA（M_i） …（33）を満足しているのはChaumの式（５）と同様である。従
って式（32）で得られるB_iは銀行が公開鍵e_Aに対応する
秘密鍵d_Aを使って利用者情報V_iを含む文書M_i＝（N_i‖V_i
‖L_i）に直接署名したものと同じである。利用者200は
このようにして得られた署名付利用者情報B_iを電子コイ
ンの利用許可証として以後何回でも使用することができ
る。

尚上述のステップS₁₀ではk/2個のW_iについてそれぞれ別
々のΩ_iを得て、ステップS₁₁においてk/2個のB_iを得た
が、次のようにメッセージM₁，…，M_k/2に対し一括して
署名を付けるように処理することも可能である。即ち、ステップＳ′₁₀：銀行100は、開示対象でないk/2個のｉ
（ｉ＝1,…,k/2）のすべての攪乱利用者情報W_iを多重化
した多重化攪乱利用者情報に対し１つのブラインド署名
Ωを次式 Ω＝D_eA（W₁，…，W_k/2） …（31′）により計算して利用者200に送る。

ステップＳ′₁₁：利用者200は銀行100から受けたΩと乱
数r_iと公開鍵e_Aとからブラインド署名後処理器209を用
いて１つの署名付利用者情報Ｂを次式Ｂ＝H_eA（r₁，…，r_k/2，Ω） …（32′）により計算する。この式（32′）によって得られる署名
付利用者情報は次式Ｂ＝D_eA（M₁，…，M_k/2） …（33′）を満足する。

式（31′），（32′），（33′）が成立するような関数
D_eA,H_eAは例えばRSA暗号方式を使ったChaumのブライン
ド署名における前述の式（１），（２）及び（３）を次
のようにそれぞれ変形することによって実現できる。

このように関数をそれぞれ求めると次式が成立する。

以下の説明において上述のように利用許可証が一括署名
により作られた１つのピースＢから成る場合についての
式にはその番号にダッシュをつけて示すが、図に示す処
理手順及び機能ブロック図はk/2ピースのB_iから成る利
用許可証を使用する場合のみを示してある。

次に利用者200が銀行100から電子コインを発行してもら
う手順を示す。この手順においては、利用者200は乱数
情報R_iにもとづく認証用情報X_iを作成し、これに利用許
可証B_iを連結した情報に対し銀行100の署名を付けても
らい電子コインとして使用する。この場合にもその署名
にはブラインド署名技法を使う。まず、銀行100は電子
コインの金額に対応する情報として、ブラインド署名で
用いる秘密鍵ｄ′_Aおよび公開鍵ｅ′_Aの対を作成してお
き、公開鍵ｅ′_Aを公開しておく。ここで、銀行100と利
用者200の間の処理手順例を第６図Ｂ図に示す。利用者2
00および銀行100のブロック構成図を第7B図に示す。以
下ではｉ＝1,…,k/2とする。

ステップS₁₂：利用者200は乱数発生器（RANDOM GEN）21
4を用いて生成した乱数情報R_iとメモリ（MEM）211より
取り出したパラメータ情報N_iとL_iから剰余べき乗器（MO
D-POWER）215を用いて、認証用情報 X_i＝▲Ｒ^Li _i▼ mod N_i …（34）を計算し、X_iとR_iをメモリ211に記憶する。

ステップS₁₃:i＝1,…,k/2のすべてについて、X_iとメモ
リ211より取り出した利用許可証B_iを連結器（CONC）216
に入力して連結し、その出力ｍ＝X₁‖…‖X_k/2‖B₁‖…‖B_k/2 …（35）又は一括署名による１ピース利用許可証Ｂを用いる場合
にｍ−X_i‖…‖X_k/2‖Ｂ …（35′）を電子コインの金額に対応する公開鍵ｅ′_Aと乱数rpと
共にブラインド署名前処理器（BS PRE-PROCESS）217に
入力し、その出力である攪乱認識用情報Ｚ＝Fe′_A（rp,m） …（36）を計算し、電子コインの金額情報と共に銀行100へ送
る。

ステップS₁₄:Zを受信した銀行100は、Ｚと電子コインの
金額に対応する秘密鍵ｄ′_Aとをブラインド署名生成器
（BS GEN）109に入力し、署名付攪乱認証用情報 Θ＝De′_A（Ｚ） …（37）を求め、それを利用者200に送付する。同時に利用者200
の口座から該当する金額を引き落すか、利用者200から
該当する金額を受領する。

ステップS₁₅：銀行100より署名付攪乱認証用情報Θを受
信した利用者200はブラインド署名前処理器217で用いた
攪乱乱数rpと銀行100より受信した情報Θおよび公開鍵
ｅ′_Aをブラインド署名後処理器（BS POST-PROCESS）21
9に入力し、次式Ｃ＝He′_A（rp,Θ） …（38）を計算し、メモリ211に記憶する。式（38）の計算結果
は、次式 He′_A（rp,Θ）＝De′_A（ｍ） …（39）を満足する。即ちＣは銀行が情報ｍに直接署名を付けた
ものと等価である。このようにして得られたＣを電子コ
インとして使用する。

次に、利用者200が電子コインＣを用いて小売店300で支
払いをする場合について説明する。利用者200と小売店3
00の間の処理手順例を第6C図に示す。小売店300と利用
者200のブロック構成図を第7C図に示す。以下ではｉ＝
1,…,k/2とする。

ステップS₁₆：利用者200はメモリ（MEM）211より取り出
した電子コインＣ、利用許可証B_i、利用者情報V_i、認証
用情報X_i、パラメータ情報N_i,L_iを小売店300に送信す
る。

ステップS₁₇：小売店300はディジタル署名検査器（DIG
SIG VERIFIER）319A,319Bを用いて公開鍵ｅ′_Aにより利
用許可証B_iに示されているM_i＝（N_i‖V_i‖L_i）に対する
銀行の署名の正当性と、公開鍵ｅ′_Aにより電子コイン
Ｃに示されているｍ＝（X₁‖…‖X_k/2‖B₁‖…‖B_k/2）
に対する銀行の署名の正当性をそれぞれ次の検証式VF_eA
が成立するか計算して検査する。この検査が不合格の時
は以降の処理を中止する。

（N_i‖V_i‖L_i）＝VF_eA｛B_i｝＝▲Ｂ^eA _i▼ mod n …（4
0）（X₁‖…‖K_k/2‖B₁‖…‖B_k/2）＝ VFe′_A｛Ｃ｝＝Ｃ^ｅ′Ａ mod n …（41）（X₁‖…‖X_k/2‖Ｂ）＝VFe′_A｛Ｃ｝＝Ｃ^ｅ′Ａ mod n
…（41′）ステップS₁₈：小売店300はタイマ（TIMER）321より取り
出した時刻ｔ、乱数発生器（RANDOM GEN）303より取り
出した乱数値γ_iおよび小売店300の識別情報ID_vを問い
合せ文q_iとして利用者200に送付し、これらの情報にも
とづく所定の応答を要求する。それと共にそれらの情報
を使って一方向性関数器（ｆ−CAL）322により E_i＝ｆ（q_i）＝ｆ（ID_v,t,γ_i） …（42）を計算する。

ステップS₁₉：利用者200は受信したID_v,t,γ_iを一方向
性関数器（ｆ−CAL）221へ入力して同様の計算ｆ（ID_v,
t,γ_i）をし、その出力値E_iとメモリ211より取り出した
情報S_i,N_iを使って剰余べき乗器（MOD-POWER）222によ
りy_i＝▲Ｓ^Ei _i▼ mod N_iを計算し、その結果y_iとメモリ
211から読出したR_i,N_iを使ってY_i＝y_i×R_i mod N_iを剰
余乗算器（MOD-MUL）223を用いて計算し Y_i＝R_i・▲Ｓ^Ei _i▼ mod N_i …（43）を得る。このY_iを応答文として小売店に送信する。

ステップS₂₀：小売店300は一方向性関数器322の出力値E
_iと先に利用者200から与えられたN_i,V_iから剰余べき乗
器（MOD-POWER）304によりy_i＝▲Ｖ^Ei _i▼ mod N_iを計算
し、更にその結果y_iとX_i mod N_iの剰余乗算を剰余乗算
器（MOD-MUL）313によって行いX_i×▲Ｖ^Ei _i▼ mod N_iを
得る。一方、受信したY_iおよびL_i,N_iを剰余べき乗器（M
OD-POWER）305に入力し、▲Ｙ^Li _i▼ mod N_iを計算し、
その結果と剰余乗算器313の出力を比較器（COMP）306に
入力し、 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^Ei _i▼（mod N_i） …（44）が成立するかどうかを検査する。この検査に合格すれば
小売店300はその電子コインＣを正当なものとみなしそ
れを受け取る。

最後に、小売店300と銀行100の間の決済方法について説
明する。小売店300と銀行100間の処理手順例を第6D図に
示す。銀行100と小売店300のブロック構成図を第7D図に
示す。

ステップS₂₁：小売店300は、後日メモリ（MEM）311内の
｛N_i,L_i,V_i,X_i,B_i,Y_i,C,ID_v,t,γ_i｝（ｉ＝1,…,k/2）
を銀行100に提出して、銀行100から該当する金額の支払
いを受ける。

ステップS₂₂：銀行100は小売店300からの情報を受ける
とディジタル署名検査器（DIG SIG VERIFIER）119A,119
Bを用いて公開鍵e_Aにより利用許可証B_iに示されているM
_i＝（N_i‖L_i‖V_i）に対する銀行の署名の正当性を、ま
た公開鍵ｅ′_Aにより電子コインＣに示されているｍ＝
（X₁‖…‖X_k/2‖B₁‖…‖B_k/2）に対する銀行の署名の
正当性をそれぞれ式（40）及び（41）が成立するかによ
り検査する。又は１ピース利用許可証Ｂを使う場合は式
（40′）及び（41′）で検査する。この検査にパスした
時のみ次のステップに進む。

ステップS₂₃：ID_v,t,γ_iを一方向性関数器（ｆ−CAL）1
12へ入力し、その出力値E_i＝ｆ（ID_v,t,γ_i）を求め
る。剰余べき乗器（MOD-POWER）113を使ってY_i,N_i,L_iか
ら▲Ｙ^Li _i▼ mod N_iを計算する。また剰余べき乗算器
（MOD-POWER）114を使ってE_i,V_i,N_iから▲Ｖ^Ei _i▼ mod
N_iを計算し、更に剰余乗算器（MOD-MUL）115を使って剰
余べき乗器114の出力とN_i,X_iからX_i・▲Ｖ^Ei _i▼ mod N_i
を計算する。剰余べき乗器113及び剰余乗算器115の出力
結果は比較器（COMP）116に入力され、 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^Ei _i▼（mod N_i）が成立するかどうかを検査する。

ステップS₂₄：以上の検査に合格すれば利用者200から提
出された｛N_i,L_i,V_i,X_i,B_i,_i,C,ID_v,t,γ_i｝（ｉ＝1,
…,k/2）をメモリ（MEM）111に記憶して、小売店300の
口座（ID_v）へ該当する金額を払い込む。

以上では、高次根のべき乗根の計算の困難性に基づく対
話型の認証方式（特願昭63-36391号）に基づく方法につ
いて実施例を説明したが、他の対話型の認証方式におい
ても同様の方式が実現できる。

なお、対話型の認証方式は健全性（同一のV_iとX_iの組に
対して２個の正しいY_iが求まるとき、V_iに対応する秘密
情報S_iが計算できる）をみたすので、同一の電子コイン
を２回以上使用すると利用者のID_pが露見する。つま
り、利用者が不正に電子コインを２回使用すると第１実
施例における第2D図で説明した場合と同様に同一のV_iと
X_iの組に対して検査式（44）を満たす２組の（E_iとY_i）
と（Ｅ′_i,Y′_i）が得られるので、（Y_i/Y′_i）^Li≡V_i ^{Ei−Ｅ′ｉ}（mod N_i）が成立し、これより（Y_i/Y′_i）≡S_i ^{Ei−Ｅ′ｉ}（mod N_i）が得られる。一方、 ▲Ｓ^Li _i▼＝V_i mod N_i が成り立つ。ここでL_iは素数でありL_iとE_i−Ｅ′_iが互
いに素となるのでS_iが計算できる。S_iは利用者200のID_p
を裸のまま含んでいるので、不正な利用者がばれる。

以上詳細に説明したように、第２の実施例も第１の実施
例と同様に、（ａ）利用者のプライバシィを保障でき
る、（ｂ）二重使用を検出できる、とう特徴を備えてい
る。（ａ）についてはブラインド署名を利用しているの
で、利用者の消費動向等のプライバシィを守ることがで
きる。（ｂ）については電子コインが２回以上使用され
ると対話型の認証方式の性質によって利用許可証を生成
するときに用いた秘密情報が露見する。

ところで、利用許可証を発行する時にはｋ個のデータを
銀行に送り、銀行はその中からk/2個のものを選びそれ
らをそれぞれ作成するのに使用したk/2組のパラメータ
を開示させるという手段が必要であり、処理上の負担が
大きい。しかし、この発明ではこの処理は利用者が口座
を開設する時のみである。それに対し、電子コインを発
行する処理は比較的頻度が多いと思われるが、その発行
処理は基本的に１回のブラインド署名作成手順を行うの
みでよく、処理上の負担が少ない。ところが、第１の実
施例では利用許可証と電子コインが一体化した電子現金
として扱われているので、各電子現金の発行手順におい
てｋ個のデータを銀行に送り、その中からk/2個のもの
を選び開示させるという手順が必要であり処理上の負担
が大きい。

上述のように第２の実施例においては銀行が最初に発行
した利用許可証B_i（ｉ＝1,…,k/2）又はＢを使って任意
の時に電子コインＣの発行を簡便に何回でも実行でき
る。このように利用許可証の発行と電子コインの発行を
分離したこの発明の方法による電子コインは更に便利な
いくつかの使用形態が可能である。第１の使用形態は電
子コインを他の利用者に譲渡することである。第２の使
用形態は同じ電子コインを複数回使用することである。
第３の使用形態は電子コインを他の利用者に譲渡したり
複数回使用したりすることである。以下に第２の実施例
においてこれらの機能を実施する電子コインについて説
明する。

〔電子コインの譲渡〕

利用者200aが第6B図の処理手順で発行された電子コイン
Ｃを利用者200bに譲渡する場合について説明する。ただ
し利用者200bも利用者200aと同様な手順で銀行から得た
利用許可証を有しているものとする。利用者200aと利用
者200bの間の処理手順の例を第8A図に示す。利用者200a
と利用者200bのブロック構成図を第9A図に示す。以下で
は、ｉ＝1,2,…,k/2とする。なお、以下で記号の上に∧
のついた変数はすべて譲り受け人である利用者200bに関
するものである。また、変数の意味は特に断わらない限
り、これまでに定義した意味に従うものとする。

ステップS₁：利用者200aはメモリ（MEM）211より取り出
した利用許可証B_i又はB,電子コインC,利用者情報V_i，認
証用情報X_i，パラメータ情報N_i,L_iを利用者200bに送信
する。

ステップS₂：利用者200bはディジタル署名検査器（DIG
SIG VERIFIER）519A,519Bを用いて公開鍵e_Aにより利用
許可証B_iに示されているM_i＝（N_i‖V_i‖L_i）に対する銀
行の署名の正当性を、また公開鍵ｅ′_Aにより電子コイ
ンＣにて示されているｍ＝（X₁‖…‖X_k/2‖B₁‖…‖B
_k/2）に対する銀行の署名の正当性をそれぞれ次式の検
証式（45），（46）が成立するか計算して検査する。１
ピース利用許可証Ｂを使う場合は式（45′）及び（4
6′）により検査する。この検査が不合格のときは以降
の処理を中止する。

（N_i‖V_i‖L_i）＝VF_eA｛B_i｝＝▲Ｂ^eA _i▼ mod n …（4
5）（X₁‖…‖X_k/2‖B₁‖…‖B_k/2）＝VFe′_A｛Ｃ｝＝Ｃ
^ｅ′Ａ mod n …（46）（X₁‖…‖X_k/2‖Ｂ）＝VFe′_A｛Ｃ｝＝Ｃ^ｅ′Ａ mod n
…（46′）ステップS₃：譲渡人である利用者200aから送ってきた利
用者情報V_i及び認証用情報X_iが確かに譲渡人自身のもの
であるかを確認するため利用者200bは乱数発生器（RAND
OM GEN）503より取り出した値ε_iを質問文として利用者
200aへ送付する。

ステップS₄：利用者200aは受信したε_iとメモリ（MEM）
211より取り出した自分の情報S_i,N_iより剰余べき乗器
（MOD-POWER）222を使って▲Ｓ^εｉ _i▼ mod N_iを計算
し、その結果とメモリ211から読出したR_i,N_iから剰余乗
算器（MOD-MUL）223を用いて Y_i＝R_i・▲Ｓ^εｉ _i▼ mod N_i を求め、Y_iを応答文として利用者200bに送信する。

ステップS₅：利用者200bはε_iと受信したV_i,N_iを剰余べ
き乗器（MOD-POWER）504に入力して ▲Ｖ^εｉ _i▼ mod N_i を計算し、この結果と受信したX_iとN_iを剰余乗算器（MO
D-MUL）513に入力して X_i・▲Ｖ^εｉ _i▼ mod N_i を計算し、一方、受信したY_i,L_iとN_iを剰余べき乗器（M
OD-POWER）505に入力して ▲Ｙ^Li _i▼ mod N_i を計算し、この結果と剰余乗算器513の出力を比較器（C
OMP）506に入力して、一致するかどうかを検査する。一
致すればV_i,X_iは譲渡人200a自身のものであると判定す
る。

ステップS₆：譲り受人である利用者200bは自分の利用許
可証₁，…，_k/2（又は）に譲渡人200aの署名を付
けてもらうために₁，…，_k/2（又は）を利用者20
0aに送る。

ステップS₇：譲渡人200aは送られてきた₁，…，_k/2
（又は）に例えば次式（47）又は（47′）のディジタ
ル署名関数を計算する署名器（DIG SIG GEN）233を使っ
て自分の署名を付けて譲渡証Ｔとして譲り受人200bに送
り返す。

Ｔ＝（₁‖…‖_k/2）^1/3 mod N_i …（47）Ｔ＝^1/3 mod N_i （47′）ただしN_iは１≦ｉ≦k/2の範囲のあらかじめ決めた１つ
のｉについての値を使用する。

ステップS₈：利用者200bは利用者200aの公開鍵N_iと受信
したＴをディジタル署名検査器（DIG SIG VERIFIER）51
9Cに入力してＴの正当性を次式が成立するかにより検査
する。ただしN_iは上述のあらかじめ決めた１つのｉに対
する値である。

（₁‖…‖_k/2）＝T³ mod N_i …（48）＝T³ mod N_i …（48′）この検査に合格すれば利用者200bはその電子コインＣを
正当なものとみなしそれを受け取る。

次に、両者200bが利用者200aより譲渡された電子コイン
を用いて小売店300で支払いをする場合について説明す
る。利用者200bと小売店300の間の処理手順例を第8B図
に示す。小売店300と利用者200bのブロック構成図を第9
B図に示す。以下ではｉ＝1,…,k/2とする。

ステップS₉：利用者200bはメモリ（MEM）511より取り出
した受信情報グループ｛N_i,L_i,V_i,X_i,B_i,Y_i,C,T,｝とメ
モリ511より取り出した自分の情報グループ｛_i，
_i，_i、_i，ε_i｝を小売店300に送信する。

ステップS₁₀：小売店300はディジタル署名検査器（DIG
SIG VERIFIER）319A,319Bを用いて公開鍵e_Aにより利用
者200aの利用許可証B_iに示された（N_i‖V_i‖L_i）に対す
る銀行の署名の正当性を、また、公開鍵ｅ′_Aにより電
子コインＣに示された（X₁‖…‖X_k/2‖B₁‖…‖B_k/2）
に対する銀行の署名の正当性を前式（45），（46）に従
って検査する。１ピース利用許可証Ｂを使用する場合は
（45′）と（46′）により検査する。さらに譲渡証Ｔに
示されている（₁‖…‖_k/2）に対する利用者200aの
署名の正当性を前式（48）に従ったディジタル署名検査
器（DIG SIG VERIFIER）319Cにより検査する。Ｂを使う
場合は式（48′）を使って検査する。

ステップS₁₁：小売店300は更に、受信したε_i,V_i,N_iを
剰余べき乗器（MOD-POWER）314に入力して▲Ｖ^εｉ _i▼
mod N_iを計算し、その結果と受信したX_i,N_iを剰余乗算
器（MOD-MUL）313に入力してX_i・▲Ｖ^εｉ _i▼ mod N_iを
計算する。一方受信したY_i,N_i,L_iを剰余べき乗器（MOD-
POWER）315に入力して▲Ｙ^Li _i▼ mod N_iを計算し、その
結果と剰余乗算器313の出力とを比較器（COMP）316に入
力し、 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^εｉ _i▼（mod N_i） …（49）が成立するかどうかを検査する。この式が成立すれば受
信した情報V_i,X_iは確かに譲渡人である利用者200a自身
のものであると判定する。

ステップS₁₂：小売店300は更にディジタル署名検査器
（DIG SIG VERIFIER）319Dを用いて公開鍵e_Aにより譲り
受人である利用者200bの利用許可証_iに示された_i＝
（_i‖_i‖_i）に対する銀行の署名の正当性を前式
（45）と同様の次式（50）に従って検査する。１ピース
利用許可証Ｂの場合は（50′）を使う。

（_i‖_i‖_i）＝VF_eA｛_i｝＝▲^eA _i▼ mod n …（50）この検査が不合格の時は以降の処理を中止する。

ステップS₁₃：小売店300は譲り受人である利用者200bの
利用者情報_iが確かに譲り受人200b自身のものである
かを確認するため、タイマ（TIMER）321より取り出した
時刻も、乱数発生器（RANDOM GEN）303より取り出した
値γ_iおよび小売店300の識別情報ID_vを問い合せ文q_iと
して利用者200bに送付する。それと共に一方向性関数器
（ｆ−CAL）322に問い合せ文q_iの成分ID_v,t,γ_iを入力
してＥ＝ｆ（q_i）＝ｆ（ID_v,t,γ_i）を計算する。

ステップS₁₄：利用者200bは受信したq_i＝｛ID_v,t,γ_i｝
を一方向性関数器（ｆ−CAL）522へ入力し、その出力値
E_i＝ｆ（ID_v,t,γ_i）とメモリ511より取り出した自身の
情報_i，_iより剰余べき乗器（MOD-POWER）523を使っ
て▲^Ei _i mod _iを計算し、その結果とメモリ511から
読出した，_iから剰余乗算器（MOD-MUL）524を用いて、を求め、_iを応答文として小売店に送信する。なお、は次式（52）の関係を満足する値であり、利用者200aか
ら電子コインＣを譲り受けた後に事前に計算してメモリ
511に格納しておく。

ここで1/_iは剰余N_iにおける_iの指数成分としての逆
元であり、次式（1/_i）_i）≡1 mod LCM｛（P_i−１），（Q_i−
１）｝ …（53）を満す。P_i,Q_i，_iから逆元計算により1/_iが計算さ
れる。

ステップS₁₅：小売店300は一方向性関数器322の出力値E
_iと受信した_i，_iを剰余べき乗器（MOD-POWER）304
に入力して▲^Ei _i▼ mod _iを計算し、その結果と
X_i，_iを剰余乗算器（MOD-MUL）313に入力してX_i・▲
^Ei _i▼ mod _iを得る。一方受信した_iと_i，_iを
剰余べき乗器（MOD-POWER）305に入力して▲^ｉ _i▼
mod _iを計算し、その結果と剰余乗算器313の出力を比
較器（COMP）306に入力し、 ▲^ｉ _i▼≡X_i・▲^Ei _i▼（mod _i） …（54）が成立するかどうかを検査する。この検査に合格すれば
情報_iは譲り受人である利用者200b自身のものである
と認め、小売店300はその電子コインＣを正当なものと
みなしそれを受け取る。

このように利用者200bはステップS₁₄において自分自身
の乱数情報_iを使うかわりにX_iの関数である式（52）
で与えられるを使って（45）の応答文_iを作成するので、小売店300
が行うステップS₁₅の検査式（54）の計算には利用者200
aの認証用情報X_iを使うことができる。つまり譲渡され
た電子コインを使用する利用者200bは自分の認証用情報
_iを小売店300に提示する必要がない。

最後に、小売店300と銀行100の間の決済方法について説
明する。小売店300と銀行100間の処理手順例を第8C図に
示す。銀行100と小売店300のブロック構成図を第9C図に
示す。

ステップS₁₆：小売店300は、後日、メモリ（MEM）111内
の利用者200aに関する情報グループ｛N_i,L_i,V_i,X_i,B_i,Y
_i,C,T｝および利用者200bと小売店300に関する情報グル
ープ｛_i，_i，_i，_i，_i，ε_i，ID_v,t,γ_i｝を
銀行100に提出する（ｉ＝1,…,k/2）。

ステップS₁₇：銀行100はディジタル署名検査器（DIG SI
G VERIFIER）119A,119Bを用いて公開鍵e_Aにより利用者2
00aの利用許可証B_iに示された（N_i‖V_i‖L_i）に対する
銀行の署名の正当性を、また公開鍵ｅ′_Aにより電子コ
インＣに示された（X₁‖…‖X_k/2‖B_i‖…‖B_k/2）に対
する銀行の署名の正当性を前式（45），（46）に従って
検査する。さらに、譲渡証Ｔに示されている（₁‖…
‖_k/2）に対する利用者200aの署名の正当性を前式（4
8）に従ったディジタル署名検査器（DIG SIG VERIFIE
R）119Cにより検査する。１ピース利用許可証Ｂの場合
はそれぞれ式（45′），（46′）及び（48′）を使って
検査する。

ステップS₁₈：ε_i,V_i,N_iを剰余べき乗器（MOD-POWER）1
17に入力して▲Ｖ^εｉ _i▼ mod N_iを計算し、その結果と
N_i,X_iを剰余乗算器（MOD-MUL）118に入力してX_i・▲Ｖ
^εｉ _i▼ mod N_iを計算する。一方Y_i,N_i,L_iを剰余べき乗
器（MOD-POWER）103に入力して▲Ｖ^Li _i▼ mod N_iを計算
し、その結果と剰余乗算器118の出力を比較器（COMP）1
21に入力し、前式49と同じ次式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^εｉ _i▼（mod N_i）が成立するかどうかを検査する。この式が成立すれば情
報V_i,X_iは確かに譲渡人200a自身のものであると判定す
る。

ステップS₁₉：ディジタル署名検査器119Dを用いて公開
鍵e_Aにより譲り受人200bの利用許可証_iに示された
（_i‖_i‖_i）に対する銀行の署名の正当性を前式
（50）と同じ式により検査する。１ピース利用許可証Ｂ
の場合は式（50′）を使って検査する。またq_i＝｛ID_v,
t,γ_i｝を一方向性関数器（ｆ−CAL）112へ入力し、E_i
＝ｆ（ID_v,t,γ_i）を計算する。その出力値をE_iと_i，
_iを剰余べき乗器（MOD-POWER）114に入力して▲^Ei _i
▼ mod _iを計算し、その結果とX_i，_iを剰余乗算器
（MOD-MUL）115に入力してX_i・▲^Ei _i▼ mod _iを得
る。一方_i，_i，_iを剰余べき乗器（MOD-POWER）11
3に入力して▲^ｉ _i▼ mod _iを計算する。剰余乗算
器115と剰余べき乗器113の出力を比較器（COMP）116に
入力し、前式（54）と同じ次式 ▲^ｉ _i▼≡X_i・▲^Ei _i▼（mod _i）が成立するかどうかを検査する。この式が成立すれば情
報_i確かに譲り受人200b自身のものであると判定す
る。

ステップS₂₀：以上の検査に合格すれば利用者200aから
提出された情報｛N_i,L_i,V_i,X_i,B_i,Y_i,C,T｝および利用
者200bと小売店300に関する情報｛_i，_i，_i，
_i，_i，ε_i,ID_v,t,γ_i｝（ｉ＝1,…,k/2）をメモリ1
11に配置して、小売店300の口座ID_vへ該当する金額を払
い込む。

尚、上述の電子コインの譲渡で説明した利用者200aが電
子コインを不正に二重使用すれば前に説明したのと同様
に同じ（V_i,X_i）の組が２つ存在することになり、銀行1
00における第2D図の処理フローにより二重使用が検出さ
れ、かつその使用者が特定される。それに対し、電子コ
インを譲渡された利用者200bが電子コインを不正に二重
使用したのを検出するためには、銀行は受信した（_i,
X_i）の組に対し同じ値のものがすでにメモリ111内に記
憶されているか検出すればよい。もし同じ値の（_i,
X_i）があった場合には、メモリ内にあるその組に対応す
る_i，_i，_iを第22D図の処理手順に使って、次式▲
^α _i▼×（_i／′_i）^β≡_i
^{α×ｉ＋β×（εｉ−ε′ｉ）} ≡_i（mod _i）から_iを計算することができる。

〔電子コインの繰返し使用〕

第２の実施例における第6B図の手順に従って利用者200
が得た電子コインを複数回使用する方法について説明す
る。ここでは利用者200がＫ回の利用が許されている電
子コインをｊ回目（ｊ≦Ｋ）に利用する際の利用手順を
示す。これは、他の利用者200に譲渡する場合でも、小
売店300に支払う場合でも可能であるが、ここでは小売
店300での支払いに利用する場合を例にとり説明する。
ここで、利用者200と小売店300の間の処理手順例を第10
図に示し、利用者200及び小売店300のブロック構成図を
第11図に示す。以下ではｉ＝1,…,k/2とする。

ステップS₁：利用者200はメモリ211より取り出した
｛N_i,L_i,V_i,B_i,X_i,C｝を小売店300に送信する。

ステップS₂：小売店300ディジタル署名検査器（DIG SIG
VERIFIER）319A及び319Bを用いて公開鍵e_Aにより利用
者200の利用許可証B_iに示されている（_i‖V_i‖L_i）に対
する銀行の署名の正当性を、また公開鍵ｅ′_Aにより電
子コインＣに示されている（X₁‖…‖X_k/2‖B₁‖…‖B
_k/2）に対する銀行の署名の正当性を前式（40）及び（4
1）に従って検査する。１ピース利用許可証Ｂを使う場
合は式（40′）及び（41′）を使って検査する。この検
査が不合格のときは以降の処理を中止する。

ステップS₃：小売店300はタイマ（TIMER）321より取り
出した時刻t,.乱数発生器（RANDOM GEN）303より取り出
した乱数値γ_iおよび小売店の識別情報ID_vを問い合せ文
q_iとして利用者200に送付する。それと共にそれらの情
報を一方向性関数器（ｆ−CAL）322に入力してE_i＝ｆ
（ID_v,t,γ_i）を計算する。

ステップ₄：利用者200は受信したID_v,t,γ_iを一方向性
関数（ｆ−CAL）221へ入力し、その出力値E_i＝ｆ（ID_v,
t,γ_i）メモリ211より取り出した情報S_i，N_iを剰余べき
乗器（MOD-POWER）222に入力して▲Ｓ^Ei _i▼ mod N_iを計
算する。その計算結果N_i及び後述の情報▲Ψ^<j> _i▼を剰
余乗算器（MOD-MUL）223を用いて、 Y_i＝▲Ψ^<j> _i▼・▲Ｓ^Ei _i▼mod N_i …（55）を求め、ｊと共にY_iを小売店の問い合わせに対する応答
文として小売店300に送信する。ここで、▲Ψ^<j> _i▼は
以下の関係を満足する値であり、剰余べき乗器（MOD-PO
WER）253を使って事前に計算しておく（事前に計算して
メモリに格納しておいてもよい）。

▲Ψ^<j> _i▼＝f_j(X_i)^1/Li mod N_i …（56） 1/L_iは、剰余N_iにおけるL_iの指数成分としての逆元であ
り、次式（1/L_i）×L_i≡1 mod LCM｛（P_i−１），（Q_i−１〕｝
…（57）を満たす。P_i、Q_i,L_iをメモリ（MEM）211から読出して逆
元計算器（INV ELEM CAL）252に入力して1/L_iを計算す
る。またX_iの関数f_j（X_i）は一方向性関数器（ｆ−CA
L）251によって実行されるｊをパラメータとする一方向
性関数であり、例えば次のような実現例がある。ここで
ｆは適当な一方向性関数とする。

f_j（Ｘ）＝ｆ（ｘ‖ｊ） …（58）ステップS₅：小売店300は受信したｊとメモリ（MEM）31
1から読出したX_iとを一方向性関数器ｆ−（CAL）350に
入力し、ｊをパラメータとする式（58）と同様な関数f_j
（X_i）を計算する。一方向性関数器322の出力値E_iと受
信したV_i,N_iを剰余べき乗器（MOD-POWER）304に入力し
て▲Ｖ^Ei _i▼ mod N_iを計算し、その結果とf_j（X_i）及び
N_iを剰余乗算器（MOD-MUL）313に入力してf_j（X_i）・▲
Ｖ^Ei _i▼（mod N_i）を得る。またY_i、N_i,L_iを剰余べき乗
器（MOD-POWER）305に入力して▲Ｙ^Li _i▼ mod N_iを計算
する。剰余べき乗器305と剰余乗算器313の出力を比較器
（COMP）306に入力し、次式 ▼Ｙ^Li _i▼≡f_j（X_i）・▲Ｖ^Ei _i▼（mod N_i） …（59）が成立するかどうかを検査する。この式が成立すれば利
用者200は確かに自分の秘密情報S_iを使って応答文Y_iを
正しく作成したと判断し、小売店300はその電子コイン
を正当なものとみなしそれを受け取る。

小売店300と銀行100の間の処理手順と機能ブロック図は
それぞれ第6D図及び第7D図とほとんど同じなのでその詳
細な説明は省略する。第6D図の処理手順と異なる点はス
テップS₂₁において小売店300から銀行100に送られる情
報の中に電子コインＣの使用回数ｊを追加している点で
ある。又、銀行100において電子コインの不正二重使用
を検出するには、第2D図のステップS_C1において受信し
た（V_i,X_i,j）と同じ値の組がメモリ111内に既に記憶さ
れているか探し（ただし１≦ｊ≦Ｋ）、以下の処理はS
_C2〜S_C5と同じである。即ち同一電子コインＣに対し同
じ値の情報（V_i,X_i,j）の組が２つあった場合、それら
に対応する異なる他の情報の組（E_i,Y_i）及び（Ｅ′_i,
Y′_i）が存在することになり、前述のように対応する秘
密情報S_iを計算で求めることが可能となる。S_iには識別
情報ID_pが入っているので二重使用者を特定することが
できる。

〔ｊ回目の使用における電子コインの譲渡〕

第２実施例によれば前述の電子コインの譲渡と複数回使
用を組合せて実施することも可能である。

以下に利用者200aが使用ｊ回目において電子コインＣを
利用者200bに譲渡し、利用者200bが小売店300での支払
いに利用する場合について説明する。

譲渡人である利用者200aと譲り受人である利用者200bと
の間の処理手順を第12A図に、またその場合の利用者200
aと200bの機能ブロック図を第13A図に示す。以下ではｉ
＝1,…,k/2とする。

ステップS₁：まず譲渡人200aはメモリ（MEM）211から読
出した自分の有している情報｛N_i,L_i,V_i,B_i,X_i,C｝を譲
受人200bに送信する。

ステップS₂：譲受人200bはディジタル署名検査器（DIG
SIG VERIFIER）519A,519Bを用いて、公開鍵e_Aにより譲
渡人200aの利用許可証B_i（又はＢ）に示されているM_i＝
N_i‖V_i‖L_i又はM_i，…，M_k/2に対する銀行の署名の正当
性を、前検証式（45）及び（45′）を使って、また公開
鍵ｅ′_Aにより電子コインＣに示されているX₁‖…‖X
_k/2‖B₁‖…‖B_k/2又はX₁‖…‖X_k/2‖Ｂに対する銀行
の署名の正当性を前検証式（46）又は（46′）を使って
それぞれ検査する。この検査が不合格の場合は以降の処
理を中止する。

ステップS₃：譲受人200bは乱数発生器（RANDOM GEN）50
3より発生した乱数ε_iを問い合わせ文として譲渡人200a
に送る。

ステップS₄：譲渡人200aは受信したε_iとメモリ211から
読出した自分の情報S_i,N_iを剰余べき乗器（MOD-POWER）
222に入力して▲Ｓ^εｉ _i▼ mod N_iを計算する。その計
算器結果とメモリ211から読出したN_i及び▲Ψ^<j> _i▼と
剰余乗算器（MOD-MUL）223に入力して Y_i＝▲Ψ^<j> _i▼・▲Ｓ^εｉ _ｉ▼ mo N_i を計算し、ｊと共にY_iを応答文として譲受人200bに返送
する。ここで▲Ψ^<j> _i▼は第11図を参照に説明したもの
と同じであり、式（56），（57），（58）を満足する▲
Ψ^<j> _i▼をあらかじめ計算してメモリ211に記憶してあ
る。

ステップS₅：譲受人200bは受信したｊとメモリ（MEM）5
11から読出したX_iとを一方向性関数器（ｆ−CAL）521に
入力し、ｊをパラメータとする前述の式（58）と同様な
関数f_j（X_i）を計算する。一方乱数発生器503から発生
された乱数ε_iと受信したV_i,N_iを剰余べき乗器（MOD-PO
WER）504に入力して▲Ｖ^εｉ _i▼ mod N_iを計算し、その
結果と一方向性関数器521の出力f_j（X_i）及びN_iを剰余
乗算器（MOD-MUL）513に入力してf_j（X_i）・▲Ｖ^εｉ _i
▼ mod N_iを得る。また受信した応答文Y_iをメモリ511か
ら読出したN_i,L_iを剰余べき乗器（MOD-POWER）505に入
力して▲Ｙ^Li _i▼ mod N_iを計算する。これら剰余べき乗
器505と剰余乗算器513の出力を比較器（COMP）506に入
力し ▲Ｙ^Li _i▼≡f_j（X_i）・▲Ｖ^εｉ _i▼（mod N_i）…（60）が成立するか検査する。この式が成立すれば譲渡人200a
が確かに自分の秘密情報S_iを使って正しく応答文Y_iを作
成したと判断する。

ステップS₆：譲受人200bはそこで自分の利用許可証
₁，…，_k/2（又は）をメモリ511から読出して譲
渡人200aに送る。

ステップS₇：譲渡人200aは受けた₁，…，_k/2（又は
）に対し、例えば前式（47）のディジタル署名関数を
計算する署名器（DIG SIG GEN）233を使って自分の署名
を付けて、その結果Ｔを譲渡証として譲受人200bに送り
返す。

ステップS₈：譲受人200bは譲渡人200aの公開鍵N_iと受信
した譲渡証Ｔをディジタル署名検査器（DIG SIG VERIFI
ER）519Cに入力して前式（48）が成立するか検査する。
１ピース利用許可証の場合は式（48′）により検査す
る。この検査に合格すれば、譲受人200bはｊ回目使用の
電子コインＣを適当なものとみなして受け取る。

次に譲受人である利用者200bが利用者200aから譲渡され
た電子コインＣを用いて小売店300で支払いをする場合
について説明する。利用者200bと小売店300の間の処理
手順例を第12B図に示す。又、利用者200bと小売店300の
機能ブロック図を第13B図に示す。以下ではｉ＝1,…,k/
2とする。

ステップ₉：利用者200bはメモリ（MEM）511から読出し
た受信情報グループ｛N_i,L_i,V_i,X_i,B_i,Y_i,C,T,j｝と自
分の情報グループ｛_i，_i，_i，_i，ε_i｝を小売
店300に送信する。

ステップ位置S₁₀：小売店300はディジタル署名検査器
（DIG SIG VERIFIER）319Aと319Bを用いて公開鍵e_Aによ
り譲渡人200aの利用許可証B_iに示された（N_i‖V_i‖L_i）
に対する銀行の署名の正当性を、また公開鍵ｅ′_Aによ
り電子コインＣに示された（X₁‖…X_k/2‖B₁‖…‖B_k/2
に対する銀行の署名の正当性を前式（45），（46）に従
って検査する。１ピース利用許可証Ｂの場合は式（4
5′），（46′）を使って検査する。さらに譲渡証Ｔに
示された（_i‖…‖_k/2）に対する譲渡人200aの署名
の正当性を前式（48）に従ったディジタル署名検査器
（DIG SIG VERIFIER）319Cにより検査する。１ピース利
用許可証Ｂの場合は式（48′）を使う。

ステップS₁₁：小売店300は更に、受信したε_i,V_i,N_iを
剰余べき乗器（MOD-POWER）314に入力して▲Ｖ^ε _i▼ mo
d N_iを計算し、その結果と受信したN_i,X_iを剰余乗算器
（MOF-MUL）313に入力してX_i・▲Ｖ^εｉ _i▼ N_iを計算
する。一方、受信したY_i,N_i,L_iを剰余べき乗器（MOD-PO
WER）315に入力して▲Ｙ^Li _i▼ mdo N_iを計算し、その結
果と剰余乗算器313の出力とを比較器（COMP）316に入力
し、次式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^εｉ _i▼（mod N_i）が成立するか検査する。この式が成立すれば、受信した
情報V_i,X_iは確かに譲渡人である利用者200a自身のもの
であると判定する。

ステップS₁₂：小売店300は更にディジタル署名検査器
（DIG SIG VERIFIER）319Dを用いて公開鍵e_Aにより利用
者200bの利用許可証_iに示された（_i‖_i‖_i）に
対する銀行の署名の正当性を前式（50）と同様の式に従
って検査する。１ピース利用許可証を使う場合は式
（50′）と同様な式を使って検査する。この検査が不合
格の時は以降の処理を中止する。

ステップS₁₃：小売店は譲受人である利用者200bの利用
者情報_iの正当性を検査するためのタイマ（TIMER）32
1の出力時刻t,乱数発生器（RANDOM GEN）303から出力さ
れた乱数γ_i及び小売店の識別情報ID_vを問い合わせ文q_i
として利用者200bに送る。それと共に一方向性関数器
（ｆ−CAL）322にID_v,t,γ_iを入力してE_i＝ｆ（ID_v,t,
γ_iを計算する。

ステップS₁₄：利用者200bは受信したID_v、t,γ_iを一方
向性関数器（ｆ−CAL）522へ入力し、その出力E_i＝ｆ
（ID_v,t,γ_i）とメモリ（MEM）511から読出した自分の
情報_i，_iを剰余べき乗器（MOD-POWER）523に入力し
て▲^Ei _i▼ mod _iを計算する。その計算結果とメモ
リ511から読出された，_iを剰余乗算器（MOD-MUL）524に入力して次式を計算し、_iを応答文としてｊと共に小売店300に送
る。尚、は先に説明したと同様に次式を満足し、あらかじめ計算してメモリ511
内に記憶されている。

ステップ位置S₁₅：小売店300は一方向性関数器322の出
力E_iと受信した_i，_iを剰余べき乗器（MOD-POWER）3
04に入力して▲^Ei _i▼ mod _iを計算する。一方、受
信したｊとメモリ（MEM）311から読出したX_iを一方向性
関数器（ｆ−CAL）350に入力してf_j（X_i）を計算し、そ
の結果とN_i及び剰余べき乗器304の出力を剰余乗算器（M
OD-MUL）313に入力してf_j（X_i）・▲^Ei _i▼ mod _iを
得る。また受信した_iと_i，_iは剰余べき乗器（MOD
-POWER）305に与えられて▲^ｉ _i▼ mod N_iが計算さ
れる。この計算結果と剰余乗算器313の出力を比較器（C
OMP）306に入力し、次式 ▲^ｉ _i▼≡f_j（X_i）・▲^Ei _i▼（mod _i）が成立するかを検査する。この式が成立すれば情報_i
は譲受人200b自身のものであると判定し、小売店300は
その電子コインＣを正当なものとみなして受け取る。

銀行100と小売店300との間の処理手順及びそれらの機能
ブロック図は第8C図及び第9C図とほとんど同じなので図
示してない。異なる点は第8C図のステップS₁₆において
銀行100に送信する情報のグループには利用者200bから
受信した使用回数情報ｊも付加されている点である。銀
行100は不正二重使用を検出するために受信した情報（V
_i,X_i,j）と同じ値の組がメモリ111内にあるかを第2D図
のステップS_C1で探し、以下の処理はステップS_C2〜S_C5
と同じである。このようにして同じ情報（V_i,X_i,j）の
組が２つあった場合、それらに対応する異なる値の情報
の組（E_i,Y_i）及び（Ｅ′_i,Y′_i）が存在することにな
り、前述のように対応する秘密情報S_iを計算することが
可能となるので、二重使用者を特定できる。

〔発明の効果〕

以上より、この発明では、銀行，利用者と小売店のプロ
トコルを工夫することで従来方式で問題であった関数ｆ
の２成分の不干渉性を仮定しなくても従来方式と同等の
機能を有する電子現金を実施できる。

またあらかじめ利用許可証を発行し、その利用許可証を
使って電子コインを発行するようにすれば、電子コイン
の発行処理は１回のブラインド署名作成手順を行うのみ
でよく処理上の負担が少ない。

さらに、この発明では従来方法では不可能であった利用
者間の電子コインの譲渡を可能としている。つまり、電
子コインを発行された利用者が他の利用者にその電子コ
インを譲渡することができる。ここで、利用者が使用済
の電子コインを他の利用者に譲渡する場合や、複数利用
者に同一電子コインを譲渡する場合は、同一コインを２
回使用の場合と同様に電子コインを不正に処理した利用
者の秘密情報が露見する。

また、１つの電子コインを一定回数以内で複数回利用で
きる方式も可能となる。この方式を用いると利用は保持
情報量を少なくして（１個のコインを保持する時の同等
の情報量で）、多数のコインを保持することと同等の効
果を得ることができる。

【図面の簡単な説明】

第１図はこの発明が適用される銀行100、利用者200及び
小売店300の関係を示す図、第2A図はこの発明の第１実
施例における銀行100と利用者200間の電子現金の発行処
理手順を示すフロー図、第2B図は第１実施例における利
用者200と小売店300との間の電子現金の使用処理手順を
示すフロー図、第2C図は第１実施例における銀行100と
小売店300の間の処理手順を示すフロー図、第2D図は第2
C図において銀行100が行う二重使用検出手順を示すフロ
ー図、第３図は第１実施例における利用者200の機能ブ
ロック図、第４図は第１実施例における銀行100の機能
ブロック図、第５図は第１実施例における小売店300の
機能ブロック図、第6A図はこの発明の第２実施例におけ
る銀行100と利用者200の間の利用許可証発行の処理手順
を示すフロー図、第6B図は第２実施例における銀行100
と利用者200の間の電子コインの発行処理手順を示すフ
ロー図、第6C図は第２実施例における利用者200と小売
店300との間の電子コイン使用処理手順を示すフロー
図、第6D図は第２実施例における銀行100と小売店300の
間の処理手順を示すフロー図、第7A図は第6A図における
銀行100と利用者200の機能ブロック図、第7B図は第6B図
における銀行100と利用者200の機能ブロック図、第7C図
は第6C図における利用者200と小売店300の機能ブロック
図、第7D図は第6D図における銀行100と小売店300の機能
ブロック図、第8A図は第２実施例における利用者200aと
200b間の電子コインの譲渡処理手順を示すフロー図、第
8B図は譲受人200bと小売店300の間の譲渡された電子コ
インの使用手順を示すフロー図、第8C図は銀行100と小
売店300の間の譲渡された電子コインの処理手順を示す
フロー図、第9A図は第8A図における利用者200aと200bの
機能ブロック図、第9B図は第8B図における利用者200bと
小売店300の機能ブロック図、第9C図は第8C図における
銀行100と小売店300の機能ブロック図、第10図は第２実
施例における複数回使用電子コインの利用者200と小売
店300の間の使用手順を示すフロー図、第11図は第10図
における利用者200と小売店300の機能ブロック図、第12
A図は第２実施例における複数回使用の電子コインの譲
渡手順を表わす利用者200aと200bの間の処理フロー図、
第12B図は譲渡された複数回使用の電子コインの使用手
順を示すフロー図、第13A図は第12A図における利用者20
0aと200bの機能ブロック図、及び第13B図は第12B図にお
ける利用者200bと小売店300の機能ブロック図である。

Claims

【特許請求の範囲】

【請求項１】銀行が利用者に対し電子現金を発行し、利
用者はその電子現金を使って第３者に支払いをし、銀行
は使用された電子現金を持っている最後のパーティとの
間で決済をする電子現金実施方法であり次の工程を含
む：利用者は（ａ）自分の識別情報を含んだ秘密情報から第１の一
方向性関数により利用者情報を作成し、（ｂ）銀行に対し前記利用者情報を含む情報にブライ
ンド署名をさせて署名付利用者情報を得、（ｃ）乱数情報から第２の一方向性関数により認証用
情報を作成し、（ｄ）銀行に対し前記認証用情報を含む情報にブライ
ンド署名をさせて署名付認証用情報を得、（ｅ）前記利用者情報と、前記署名付利用者情報と、
前記認証用情報と、及び前記署名付認証用情報とを含む
電子現金情報を前記銀行が発行した電子現金として第３
者に渡し、前記第三者は（ｆ）受け取った前記電子現金情報中の前記署名付利
用者情報と前記署名付認証用情報の正当性を検証し、（ｇ）前記正当性が検証されたならば問い合せ文を作
成して前記利用者に与え、前記利用者は（ｈ）少くとも自分の作成した前記秘密情報と前記第
３者から受け取った前記問い合せ文とを使って応答文を
作成して前記第三者に与え、前記第３者は（ｉ）受け取った前記電子現金情報中の前記利用者情
報と前記認証用情報とを使って前記応答文の正当性を検
査し、前記応答文が正当であれば前記電子現金を正当な
ものとして受け、（ｊ）必要に応じて少くとも前記電子現金情報と、前
記第３者の前記問い合せ文と、前記利用者の前記応答文
とを第４者に渡す。
【請求項２】前記銀行は、使用された前記電子現金を保有する最後のパーティから
前記電子現金情報と、前記第３者の作成した前記問い合
せ文と、前記利用者が作成した前記応答文とを含む情報
を決済のため受けると、前記電子現金情報中の前記署名
付利用者情報と前記署名付認証用情報の正当性と前記第
３者の前記問い合せ文に対する前記利用者の前記応答文
の正当性を検査する工程を含む請求項１項記載の電子現
金実施方法。
【請求項３】前記決済のための工程は前記電子現金情報
中の前記利用者情報と前記認証用情報の組と同じ値の組
が前記銀行の有するメモリに蓄積されている情報の中に
あるか検査することにより前記利用者による前記電子現
金の不正使用の検出を行い、前記電子現金情報と前記問い合せ文及び前記応答文とを
含む情報を前記メモリに蓄積する工程を含む請求項２項
記載の電子現金実施方法。
【請求項４】前記利用者は前記署名付利用者情報を前記
銀行が発行した利用許可証として保持し、前記利用者は
必要毎に前記認証用情報と前記利用許可証を含む情報に
対し前記銀行にブラインド署名をさせ、それによって得
た前記署名付認証用情報を前記銀行が発行した電子コイ
ンとして用い、前記利用者は前記電子コインの使用に際
し前記第３者に対し少くとも前記利用許可証と、前記電
子コインと、前記利用者情報と、前記認証用情報を含む
情報の組を前記電子現金として与え、各前記第３者及び
前記銀行は前記署名付利用者情報と前記署名付認証用情
報の正当性の検証を前記利用許可証と前記電子コインの
正当性の検証として行う工程を含む請求項２項記載の電
子現金実施方法。
【請求項５】前記最後のパーティは前記第３者であり、
第４者は前記銀行であり、前記第３者の作成した前記問
い合せ文は前記第３者の識別情報と時刻情報を含んでい
る請求項４項記載の電子現金実施方法。
【請求項６】前記第３者は自分の秘密情報と自分の利用
許可証を有しており、前記利用者からの前記応答文が正
当であれば前記第３者は自分の利用許可証を前記利用者
に与え、前記利用者は前記第３者の利用許可証に対し署
名をし、その署名付利用用許可証を譲渡証として前記第
３者に与える工程を含む請求項４項記載の電子現金実施
方法。
【請求項７】前記最後のパーティは前記第４者であり、
前記第４者は前記第３者から少くとも前記利用者が出し
た利用許可証と、前記電子コインと、前記利用者情報
と、前記認証用情報と、前記応答文と、前記第３者が出
した自分の前記利用許可証と、自分の利用者情報と、前
記問い合せ文とを受け取り、前記第４者は：前記利用者の利用許可証と、前記電子コインのそれぞれ
の正当性を検証し、前記第３者の前記問い合せ文に対する前記利用者の前記
応答文の正当性を検証し、前記第３者の利用許可証の正当性を検証し、前記第４者自身の問い合せ文を作成して前記第３者に与
え、前記第３者は：前記第４者から受けた前記問い合せ文と、前記第３者自
身の前記秘密情報と、前記利用者の前記認証用情報から
作成した情報と、を使って応答文を作成し、前記第４者
に与え、前記第４者は：前記第３者の前記利用者情報と、前記第４者の問い合せ
文と、前記利用者の前記認証用情報を使って前記第３者
の前記応答文の正当性を検証し、前記第４者は：前記第３者の前記利用者情報と、前記第４者の前記問い
合せ文と、前記利用者の前記認証用情報とを使って前記
第３者の前記応答文の正当性を検証し、前記電子現金情
報と、前記第３者の問い合せ文と、前記利用者の応答文
と、前記第３者の利用許可証と、前記第３者の利用者情
報と、前記第４者の問い合せ文と前記第３者の応答文
と、を含む情報を前記銀行に与える請求項６項記載の電
子現金実施方法。
【請求項８】前記銀行は更に前記第４者の問い合せ文に
対する前記第３者の応答文の正当性を検証する工程を含
み、前記銀行は前記利用者の前記認証用情報と前記第３
者の前記利用者情報の組と同じ値の組が前記銀行の有す
る前記メモリに蓄積されている情報の中にあるか検査す
ることにより前記第３者による前記電子コインの不正使
用の検出を行う工程を含む請求項７項記載の電子現金実
施方法。
【請求項９】前記銀行はあらかじめ決めた複数回ｋの前
記電子コインの使用を許可しており、前記利用者は前記
電子コインのｊ回目、ただしｉ≦ｊ≦ｋ、の使用におい
て前記第３者からの前記問い合せ文に対し、前記利用者
の前記秘密情報と前記値ｊをパラメータとして変化する
一方向性関数により前記利用者の前記認証用情報から計
算した情報とから前記応答文を作成し、前記応答文を前
記値ｊと共に前記第３者に与え、前記第３者は前記問い
合せ文と、前記利用者の前記認証用情報と、前記利用者
の前記利用者情報と前記値ｊを使って前記応答文の正当
性を検証し、前記第４者へ与える情報中に前記値ｊを含
めて与える工程を含む請求項４項記載の電子現金実施方
法。
【請求項１０】前記第３者は前記利用者からの応答文が
正当であると検証すると前記第３者の利用許可証を前記
利用者に与え、前記利用者は受けた前記第３者の利用許
可証に署名をして譲渡証として前記第３者に与え、前記
第３者は前記譲渡証の正当性を検証する工程を含む請求
項９項記載の電子現金実施方法。
【請求項１１】前記銀行は前記最後のパーティから前記
値ｊも受け取り、前記銀行は前記利用者情報と前記認証
用情報と前記値ｊとの組と同じ値の組が前記銀行の前記
メモリに蓄積されている情報の中にあるか検査すること
によって前記利用者による前記電子コインの不正使用を
検出する工程を含む請求項９又は10項記載の電子現金実
施方法。
【請求項１２】前記利用者情報を含む情報に前記ブライ
ンド署名させる工程は：前記利用者が前記利用者情報を含む情報を撹乱乱数を変
数とする一方向性のブラインド署名前処理関数により処
理して撹乱利用者情報として前記銀行に与える工程と、前記銀行が前記撹乱利用者情報の一部に署名関数により
署名し、署名付撹乱利用者情報として前記利用者に返す
工程と、前記利用者は受けた前記署名付撹乱利用者情報からブラ
インド署名後処理関数により前記撹乱乱数の影響を除去
することにより前記署名付利用者情報を得る工程、とを含む請求項1,2又は４項記載の電子現金実施方法。
【請求項１３】前記利用者は前記秘密情報をｋ個、ｋは
２以上の整数を作成し、またそれらｋ個の前記秘密情報
にそれぞれ対応して前記利用者情報及び前記撹乱利用者
情報をそれぞれｋ個作成し、前記銀行はｋ個の前記撹乱利用者情報を受けると、その
うちあらかじめ決めた個数の前記銀行が選択した前記撹
乱利用者情報の作成にそれぞれ使われた前記秘密情報と
前記撹乱乱数を含む作成データの組を与えるよう前記利
用者に要求し、それによって前記利用者から得た作成デ
ータの組により対応する撹乱利用者情報を計算し、それ
ら計算結果が前記利用者から受けた前記撹乱利用者情報
の対応するものとそれぞれ一致することを検証する工程
を含む請求項12項記載の電子現金実施方法。
【請求項１４】前記撹乱利用者情報の前記一部は前記銀
行が前記利用者から受けたｋ個の前記撹乱利用者情報の
うち前記検証で使用した以外のあらかじめ決めた第２の
個数の前記撹乱利用者情報であり、前記銀行は前記署名
関数により前記あらかじめ決めた第２の個数の前記撹乱
利用者情報に対して署名を付け、前記署名付撹乱利用者
情報を作成し前記利用者に与える工程を含む請求項13項
記載の電子現金実施方法。
【請求項１５】前記利用者情報を含む情報に前記ブライ
ンド署名させる工程と前記認証用情報を含む情報にブラ
インド署名をさせる工程は次の工程を含む：前記利用者は：それぞれが前記識別情報ID_Pを含む前記
秘密の情報S_iをｋ個、ｋは２以上の整数を作成し、前記
乱数情報R_iをｋ個作成し、ｋ個の前記秘密情報とｋ個の
前記乱数情報から前記第１及び第２一方向性関数により
それぞれｋ個の前記利用者情報V_iとｋ個の前記認証用情
報X_iを作成し、ｋ個の前記利用者情報V_iをそれぞれ変数
として一方向性の第１ブラインド署名前処理関数に与え
ることによりそれぞれ撹乱処理された対応するｋ個の前
記撹乱利用者情報W_iを作成し、ｋ個の前記認証用情報X_i
をそれぞれ変数として一方向性の第２ブラインド署名前
処理関数に与えることによりそれぞれ撹乱処理された対
応するｋ個の前記撹乱認証用情報Z_iを作成し、これらｋ
個の前記撹乱利用者情報W_iとｋ個の前記撹乱認証用情報
Z_iを前記銀行に与え、前記銀行は：各ｋ組の前記撹乱利用情報W_iと前記撹乱認
証用情報Z_iを受け取ると、それらの中からそれぞれｋ個
より少ないあらかじめ決めた第１の個数k₁の前記撹乱利
用者情報と前記撹乱認証用情報を選択し、選択した前記
撹乱利用者情報と前記撹乱認証用情報の作成に前記利用
者によってそれぞれ使われた前記秘密情報S_iと前記乱数
情報R_iとをそれぞれ含む前記第１の個数k₁の情報の組を
指定して前記利用者に対し要求し、前記利用者は：前記銀行の指定した前記第１の数の前記
情報の組を前記銀行に与え、前記銀行は：受け取った前記情報の組により前記第１の
数k₁の対応する撹乱利用者情報W_iと前記第１の数に対応
する撹乱認証用情報Z_iをそれぞれ計算し、それら計算さ
れた撹乱利用者情報W_iと計算された撹乱認証用情報Ｚ′
_iがそれぞれ選択した前記撹乱利用者情報W_i及び前記撹
乱認証用情報Z_iのそれぞれ対応するものと一致すること
を検証し、受け取った前記情報の組の中のすべての前記
秘密情報S_iの中に前記利用者の前記識別情報ID_Pが含ま
れていることを確認し、前記利用者から受け取ったｋ個
の前記撹乱利用者情報W_iのうち前記選択したｋ個以外の
あらかじめ決めた第２の個数k₂の前記撹乱利用者情報に
対しそれぞれ第１署名関数により署名して前記第２の個
数k₂の署名付撹乱利用者情報Ω_iを作成して前記利用者
に与え、前記利用者から受け取ったｋ個の前記撹乱認証
用情報Z_iのうち前記選択したk₁個以外の前記第２の個数
k₂の前記撹乱認証用情報に対しそれぞれ第２署名関数に
より署名して前記第２の個数の署名付撹乱認証用情報Θ
_iを作成して前記利用者に与え、前記利用者は：受け取った前記署名付撹乱利用者情報Ω
_iと前記署名付撹乱認証用情報Θ_iに対しそれぞれ第１及
び第２ブラインド署名後処理関数により撹乱除去処理を
してそれぞれk₂個の前記署名付利用者情報B_viと前記署
名付認証用情報B_xiを得る、工程を含み、前記電子現金の使用における前記署名付利
用者情報と前記署名付認証用情報に係わる処理はすべて
前記第２の数k₂の署名付利用者情報と前記第２の数k₂の
署名付認証用情報に対して実行される請求項１項記載の
電子現金実施方法。
【請求項１６】前記利用者はｋ個の素数L_iと、ｋ対の秘
密の素数P_i,Q_iと、ｋ個の素数積P_i×Q_i＝N_iを作成し、
前記秘密情報S_iと前記乱数情報R_iから前記利用者情報V_i
と前記認証用情報X_iをそれぞれ次式で表される前記第１
及び第２一方向性関数により計算する工程を含む請求項15項記載の電子現金実
施方法。
【請求項１７】前記最後のパーティは前記第３者であ
り、前記第４者は前記銀行であり、前記利用者は前記電
子現金を前記第３者に対し使用するにあたってk₂組の
｛V_i,B_vi,X_i,B_xi｝を電子現金情報としてN_iとL_iと共に
前記第３者に与え、前記第３者は前記問い合せ文q_iを前
記利用者に与えると共に問い合せ文関数E_i＝ｆ（q_i）に
より問い合せ文情報E_iをk₂個のｉについて計算し、前記
利用者は受け取った前記問い合せ文q_iから前記問い合せ
文関数E_i＝ｆ（q_i）によりk₂個の問い合せ文情報E_iを計
算し、次式で表わせる応答文 Y_i＝R_i・▲Ｓ^Ei _i▼ mod N_i をk₂個作成して前記第３者に与え、前記第３者は受け取った応答文Y_iを使って次式で表わさ
れる検証式、 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^Ei _i▼（mod N_i）がk₂個のすべてのｉについて成立することにより前記応
答文Y_iの正当性を検証する工程を含む請求項16項記載の
電子現金実施方法。
【請求項１８】前記第３者は前記電子現金を決済するた
めのk₂個のすべてのｉについての前記電子現金情報
｛V_i,B_vi,X_i,B_xi｝と、前記問い合せ文q_iと前記応答文Y
_iとL_i及びN_iを前記銀行に与え、前記銀行は前記第３者から受けた情報を使って、次式で
表わされる検証式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^Ei _i▼（mod N_i）がk₂個のすべてのｉについて成立することにより前記問
い合せ文q_iに対する前記応答文Y_iの正当性を検証する工
程を含む請求項17項記載の電子現金実施方法。
【請求項１９】前記銀行は前記第３者から受け取った前
記利用者情報と前記認証用情報の組｛V_i,X_i｝と同じ値
の組が前記銀行の前記メモリ内にあるか検査し、なかっ
た場合は前記第３者から受けた情報を前記メモリに記憶
し、あった場合は前記メモリ内に記憶されている対応す
る問い合せ文ｑ′_iと応答文Ｙ′_iを読出し、前記読出し
た問い合せ文ｑ′_iから問い合せ情報Ｅ′_i＝ｆ
（ｑ′_i）を計算し、次式 α・L_i＋β（E_i−Ｅ′_i）＝１を満たす整数αとβをユークリッド互除法により解き、
更に次式 ▲Ｖ^α _i▼・（Y_i/Y′_i）^βmod N_i＝S_i より秘密情報S_iを計算し、前記計算した秘密情報S_iの中
から前記電子現金を不正使用した前記利用者の識別情報
ID_Pを得る工程を含む請求項18項記載の電子現金実施方
法。
【請求項２０】前記利用許可証を得る工程は前記利用者が：それぞれが前記識別情報を含む前記秘密
情報S_iをｋ個、ｋは２以上の整数、作成し、ｋ個の前記
秘密情報S_iから前記第１の一方向性関数により前記利用
者情報V_iをｋ個作成し、各前記利用者情報V_iを含む情報
M_iを変数として一方向性の第１ブラインド署名前処理関
数に与えることによりそれぞれ撹乱処理された対応する
ｋ個の前記撹乱利用者情報W_iを作成し、それを前記銀行
に与え、前記銀行が:k個の前記撹乱利用者情報W_iを受け取ると、
それらの中からｋ個より少ないあらかじめ決めた第１の
個数k₁の前記撹乱利用者情報を選択し、選択した前記撹
乱利用者情報の作成に前記利用者によってそれぞれ使わ
れた前記秘密情報S_iを含む情報の組を指定して前記利用
者に対し要求し、前記利用者が：前記銀行の指定した前記第１の個数k₁の
前記情報の組を前記銀行に与え、前記銀行が：受け取った前記情報の組により前記第１の
個数k₁の対応する撹乱利用者情報W_iを計算し、それら計
算された撹乱利用者情報Ｗ′_iが前記選択した撹乱利用
者情報W_iの対応するものと一致することを検証し、受け
取った前記情報の組の中の全ての前記秘密情報S_iの中に
前記利用者の前記識別情報ID_Pが含まれていることを確
認し、前記利用者から受け取ったｋ個の前記撹乱利用者情報W_i
のうち前記選択したk₁個以外のあらかじめ決めた第２の
個数k₂の前記撹乱利用者情報に対しそれぞれ第１署名関
数により署名してk₂個の署名付撹乱利用者情報Ω_iを作
成して前記利用者に与え、前記利用者が：受け取ったk₂個の前記署名付撹乱利用者
情報Ω_iに対しそれぞれ第１ブラインド署名後処理関数
により撹乱除去処理をしてk₂個の前記署名付利用者情報
B_viを得る、工程を含み、前記利用者はk₂個の前記署名付利用者情報
を前記銀行が発行した前記利用許可証として使用する請
求項４項記載の電子現金実施方法。
【請求項２１】前記電子コインの発行は、前記利用者が前記乱数情報R_iをk₂個作成し、前記第２の
個数k₂の前記乱数情報R_iから前記第２一方向性関数によ
りk₂個の前記認証用情報X_iを作成し、k₂個の前記利用許
可証B_iとk₂個の前記認証用情報X_iを含む情報ｍを変数と
して一方向性の第２ブラインド署名前処理関数に与える
ことにより前記撹乱認証用情報Ｚを作成して前記銀行に
与え、前記銀行は与えられた前記撹乱認証用情報Ｚに対し第２
署名関数により署名をして前記署名付撹乱認証用情報Θ
を作成して前記利用者に与え、前記利用者は前記署名付撹乱認証用情報Θに対し第２ブ
ラインド後処理関数を使って撹乱除去処理をして前記署
名塚認証用情報を前記電子コインＣとして得る工程を含
む請求項20項記載の電子現金実施方法。
【請求項２２】前記利用者はｋ個の素数L_iと、ｋ対の秘
密の素数P_i,Q_iと、ｋ個の素数積N_i＝P_i×Q_iを作成し、
ｋ個の前記秘密情報S_iからｋ個の前記利用者情報V_iを次
式で表わされる前記第１の一方向性関数 V_i＝▲Ｓ^Li _i▼ mod N_i,i＝l,…,k により計算する工程を含む請求項21項記載の電子現金実
施方法。
【請求項２３】以下において前記k₂個のｉをｉ＝l,…，
k₂とすると、前記利用者は前記認証用情報X_iを次式 X_i＝▲Ｒ^Li _i▼ mod N_i,i＝l,…，k₂ で表わされる前記第２一方向性関数によってk₂個作成す
る工程を含む請求項22項記載の電子現金実施方法。
【請求項２４】前記最後のパーティは前記第３者であ
り、前記第４者は前記銀行であり、前記利用者は前記電
子コインＣの使用において、前記電子コインＣとk₂個の
前記利用許可証B_iと、k₂個の前記利用者情報V_iと、k₂個
の前記認証用情報X_iとを含む前記電子現金情報とk₂個の
前記素数L_iと、k₂個のN_iとを前記第３者に与え、前記第
３者はk₂個の前記問い合せ文q_iを作成して前記利用者に
与えると共に問い合せ文関数E_i＝ｆ（q_i）によりk₂個の
問い合せ文情報E_iを計算し、前記利用者は与えられた前
記問い合せ文q_iから前記問い合せ文関数により問い合せ
文情報E_iを作成し、その問い合せ文情報E_iと前記秘密情
報S_iと前記乱数情報R_iとを使って次式 Y_i＝R_i・▲Ｓ^Ei _i▼ mod N_i,i＝l,…，k₂ によりk₂個の前記応答文Y_iを作成して前記第３者に与
え、前記第３者は自分で作成した問い合せ文情報E_iと、
前記利用者から与えられた前記利用者情報V_iと、前記認
証用情報X_iとを使って次式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^Ei _i▼（mod N_i）,i＝l,…，k₂ が成立することにより前記応答文Y_iの正当性を検証し、
前記電子コインを正当なものとして認証する工程を含む
請求項23項記載の電子現金実施方法。
【請求項２５】前記第３者は前記電子コインの決済のた
め前記電子現金情報V_i,X_i,B_i,CとN_iと前記素数L_iと、前
記問い合せ文q_iと、前記応答文Y_iとを含む情報を前記銀
行に与え、前記銀行は次式で表わされる検証式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^Ei _i▼（mod N_i）,i＝l,…，k₂ が成立することによって前記問い合せ文q_iに対する前記
応答文Y_iの正当性を検証する工程を含む請求項24項記載
の電子現金実施方法。
【請求項２６】前記銀行は前記第４者から受け取った前
記利用者情報と前記認証用情報の組｛V_i,X_i｝と同じ値
の組が前記銀行の前記メモリ内にあるか検査し、なかっ
た場合は前記第４者から受けた情報を前記メモリに記憶
し、あった場合は前記メモリ内に記憶されている対応す
る問い合せ文ｑ′_iと応答文Ｙ′_iを読出し、前記読出し
た問い合せ文ｑ′_iから問い合せ情報Ｅ′_i＝ｆ
（ｑ′_i）を計算し、次式 α・L_i＋β（E_i−Ｅ′_i）＝１を満たす整数αとβをユークリッド互除去法により解
き、更に次式 ▲Ｖ^α _i▼・（Y_i/Y′_i）^β mod N_i＝S_i より秘密情報S_iを計算し、前記計算した秘密情報S_iの中
から前記電子コインを不正使用した前記利用者の識別情
報ID_Pを得る工程を含む請求項25項記載の電子現金実施
方法。
【請求項２７】前記最後のパーティは前記第４者であ
り、前記利用者は前記第３者に対し前記電子コインを与
えるにあたって前記電子現金情報｛V_i,X_i,B_i,C｝と、N_i
と、前記素数L_iとを含む情報を前記第３者に与え、前記第３者は前記問い合せ文ε_iをk₂個作成して前記利
用者に与え、前記利用者は前記問い合せ文ε_iと前記乱数情報R_iと前
記秘密情報S_iとを使って次式 Y_i＝R_i・▲Ｓ^εｉ _i▼ mod N_i,i＝l,…，k₂ によりk₂個の前記応答文Y_iを作成して前記第３者に与
え、前記第３者は次式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^εｉ _i▼（mod N_i）,i＝l,…，k₂ が成立することによって前記応答文Y_iの正当性を検証
し、自分の持っているk₂個の利用許可証_iを前記利用
者に与え、前記利用者は受け取った前記第３者の利用許
可証₁，…，_k2に対し署名を付けて譲渡証Ｔを作成
し、前記第３者に与える工程を含む請求項23項記載の電
子現金実施方法。
【請求項２８】前記第３者は前記電子コインの使用にあ
たって、N_iと、L_iと、前記電子現金情報｛V_i,X_i,B_i,C｝
と、前記譲渡証Ｔと、前記問い合せ文ε_iと、前記応答
文Y_iと、前記第３者の利用許可証_iと、前記第３者の
利用許可証_iの作成に係わった前記第３者の公開素数
積_i、素数_i、利用者情報_iとを前記第４者に与
え、前記第４者は次式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^εｉ _i（mod N_i）,i＝l,…，k₂ が成立することによって前記利用者の応答文Y_iの正当性
を検証し、問い合せ文q_iを作成して前記第３者に与える
と共に問い合せ文関数E_i＝ｆ（q_i）により問い合せ文情
報E_iを計算し、前記第３者は与えられた問い合せ文q_iから前記問い合せ
文関数E_i＝ｆ（q_i）により問い合せ文情報E_iを計算して
次式から応答文_iを作成し、前記第４者に与え、前記第４
者は前記利用者の認証用情報X_iを使って次式 ▲^ｉ _i▼≡X_i・▲^Ei _i▼（mod _i）,i＝l,…，k₂ が成立することにより前記第３者の応答文_iの正当性
を検証する工程を含む請求項27項記載の電子現金実施方
法。
【請求項２９】前記第４者は前記電子コインの決済のた
め前記銀行に対し前記電子現金情報｛V_i,X_i,B_i,C｝と、
前記利用者の情報N_i,L_i,Y_iと、前記譲渡証Ｔと、前記第
３者の情報｛_i，_i，_i，_i，ε_i，_i｝と前記第
４者の問い合せ文q_iを前記銀行に与え、前記銀行は次式
で表わされる検証式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^εｉ _i▼（mod N_i）,i＝l,…，k₂ ▲^ｉ _i▼≡X_i・▲^Ei _i▼（mod _i）が成立することによって前記利用者の応答文Y_iと前記第
３者の応答文_iの正当性を検証する工程を含む請求項2
8項記載の電子現金実施方法。
【請求項３０】前記銀行は前記第４者から受け取った前
記利用者情報と前記認証用情報の組｛V_i,X_i｝と同じ値
の組が前記銀行の前記メモリ内にあるか検査し、なかっ
た場合は前記第４者から受けた情報を前記メモリに記憶
し、あった場合は前記メモリ内に記憶されている対応す
る問い合せ文ｑ′_iと応答文Ｙ′_iを読出し、前記読出し
た問い合せ文ｑ′_iから問い合せ情報Ｅ′_i＝ｆ
（ｑ′_i）を計算し、次式 α・L_i＋β（E_i−Ｅ′_i）＝１を満す整数αとβをユークリッド互除法により解き、更
に次式 ▲Ｖ^α _i▼・（Y_i/Y′_i）^βmod N_i＝S_i より秘密情報S_iを計算し、前記計算した秘密情報S_iの中
から前記電子コインを不正使用した前記利用者の識別情
報ID_Pを得る工程を含む請求項29項記載の電子現金実施
方法。
【請求項３１】前記銀行は前記第４者から受け取った前
記第３者の前記利用者情報_iと前記利用者の前記認証
用情報X_iの組｛_i，X_i｝と同じ値の組が前記銀行の前
記メモリ内に記憶されているか検査し、なかった場合は
受け取った情報を前記メモリ内に記憶し、あった場合は
前記メモリ内に記憶されている対応する前記第４者の問
い合せ文ｑ′_iとそれに対する前記第３者の応答文´_i
を読み出し、前記読出した問い合せ文ｑ′_iから問い合
せ情報Ｅ′_i＝ｆ（ｑ′_i）を計算し、次式 α・_i＋β・（E_i−Ｅ′_i）＝１を満足する整数αとβをユークリッドの互除法により解
き、更に次式 ▲^α _i▼・（_i／′_i）^βmod _i＝_i から秘密情報_iを計算し、前記計算した秘密情報_iの
中から電子コインを不正使用した前記第３者の識別情報
を得る工程を含む請求項29又は30項記載の電子現金実施
方法。
【請求項３２】前記銀行はあらかじめ決めた複数Ｋ回の
前記電子コインの使用を許可しており、前記最後のパー
ティは前記第３者であり、前記第４者は前記銀行であ
り、前記利用者は前記電子コインのｊ回目、ただし１≦ｊ≦
ｋ、の使用において前記第３者に前記電子現金情報
｛V_i,X_i,B_i,C｝と情報｛N_i,L_i｝を与え、前記第３者は前記問い合せ文q_iを作成して前記利用者に
与えると共に問い合せ文関数E_i＝ｆ（q_i）によって問い
合せ文情報E_iを計算し、前記利用者は前記問い合せ文q_iから前記問い合せ文関数
E_i＝ｆ（q_i）により問い合せ文情報E_iを計算して次式 ▲Ψ^<j> _i▼＝f_j（X_i）^1/Limod N_i,i＝l,…，k₂ Y_i＝▲Ψ^<j> _i▼・▲Ｓ^Ei _i▼mod N_i から前記応答文Y_iを作成して前記第３者にｊと共に与
え、ここでf_j(X_i)はｊをパラメータとして変化するX_iの
関数であり、前記第３者は次式 ▲Ｙ^Li _i▼≡f_j(X_i)・▲Ｖ^Ei _i▼（mod N_i）,i＝l,…，k₂ が成立することによって前記応答文Y_iの正当性を検証す
る工程を含む請求項23項記載の電子現金実施方法。
【請求項３３】前記銀行はあらかじめ決めた複数Ｋ回の
前記電子コインの使用を許可しており、前記利用者は前記電子コインのｊ回目、１≦ｊ≦ｋ、の
使用において前記第３者に前記電子現金情報｛V_i,X_i,
B_i,C｝と情報｛N_i,L_i｝を与え、前記第３者は前記問い合せ文ε_iを作成して前記利用者
に与え、前記利用者は前記問い合せ文ε_iを使って次式 ▲Ψ^<j> _i▼＝f_j(X_i)^1/Limod N_i,i＝l,…，k₂ Y_i＝▲Ψ^<j> _i▼・▲Ｓ^εｉ _i▼ mod N_i により前記応答文Y_iを作成して前記第３者にｊと共に与
え、ここでf_j(X_i)はｊをパラメータとして変化するX_iの
関数であり、前記第３者は次式 ▲Ｙ^Li _i▼≡f_j(X_i)・▲Ｖ^εｉ _i▼（mod N_i）,i＝l,…，
k₂ が成立することによって前記応答文Y_iの正当性を検証
し、前記第３者が持っている利用許可証_i,i＝l,…，k
₂、を前記利用者に与え、前記利用者は自分の素数積N_iを使って前記第３者の利用
許可証_iに対し署名を付けて譲渡証Ｔとして前記第３
者に与える工程を含む請求項23項記載の電子現金実施方
法。
【請求項３４】前記最後のパーティは前記第４者であ
り、前記第３者は前記電子コインの使用にあたって前記
電子現金情報｛V_i,X_i,B_i,C｝と前記利用者の情報｛N_i,L
_i,T,Y_i,j｝と前記第３の情報｛_i，_i，_i，ε_i｝を
前記第４者に与え前記第４者は次式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^εｉ _i▼（mod N_i）が成立することにより前記利用者の応答文Y_iの正当性を
検証し、問い合せ文q_iを作成して第３者へ与えると共に
問い合せ文関数E_i＝ｆ（q_i）により問い合せ文情報E_iを
計算し、前記第３者は前記第４者からの問い合せ文q_iから前記問
い合せ文関数E_i＝ｆ（q_i）により問い合せ文情報E_iを計
算して次式 ▲Ψ^<j> _i▼＝f_j(X_i)^1/ｉmod _i,i＝l,…，k₂ _i ＝▲Ψ^<j> _i▼・▲^Ei _i▼ mod _i により応答文_iを作成してして前記第４者に与え、前記第４者は次式 ▲^ｉ _i▼＝f_j(X_i)・▼^Ei _i（mod _i）,i＝l,…，k
₂ が成立することにより前記第３者の応答文_iの正当性
を検証する工程を含む請求項33項記載の電子現金実施方
法。
【請求項３５】前記銀行は前記電子コインの決済のため
前記最後のパーティから前記電子現金情報｛V_i,X_i,B_i,
C｝と、前記利用者の情報｛N_i,L_i,Y_i,j｝と、前記第３
者の問い合せ文q_iを含む情報を受け取ると、前記問い合
せ文関数E_i＝ｆ（q_i）により問い合せ文情報E_iを計算
し、前記利用者情報V_iと前記認証用情報X_iと前記ｊの組
｛V_i,X_i,j｝と同じ値の組が前記銀行の前記メモリ内に
記憶されているか検査し、同じ値の組があった場合は前
記メモリ内から対応する前記第３者の問い合せ文q_iとそ
れに対する前記利用者の応答文Y_iを読出し、前記読出し
た問い合せ文ｑ′_iから問い合せ文情報Ｅ′_i＝ｆ（ｑ′
_i）を計算して次式 α・L_i＋β・（E_i−Ｅ′_i）＝1,i＝l,…，k₂ を満足する整数αとβをユークリッドの互除法により解
いて更に次式 ▲Ｖ^α _i▼・（Y_i/Y′_i）^βmod N_i＝S_i,i＝l,…，k₂ から秘密情報S_iを計算し、その計算した秘密情報S_iの中
から前記電子コインを不正使用した前記利用者の識別情
報ID_Pを得る工程を含む請求項32項記載の電子現金実施
方法。
【請求項３６】前記利用者情報を含む情報に前記ブライ
ンド署名をさせる工程は、前記利用者が、それぞれが前記識別情報を含むｋ個の前
記秘密情報S_i、ｋは２以上の整数、を作成し、ｋ個の前
記秘密情報S_iから前記第１の一方向性関数により前記利
用者情報V_iをｋ個作成し、各前記利用者情報V_iを含む情
報M_iを変数として一方向性の第１ブラインド署名前処理
関数に与えることによりそれぞれ撹乱処理された対応す
るｋ個の前記撹乱利用者情報W_iを作成し、それを前記銀
行に与え、前記銀行がｋ個の前記撹乱利用者情報W_iを受け取るとそ
れらの中からｋ個より少ないあらかじめ決めた第１の個
数k₁の前記撹乱利用情報を選択し、選択した前記撹乱利
用者情報の作成に前記利用者によってそれぞれ使われた
前記秘密情報S_iを含む情報の組を指定して前記利用者に
対し要求し、前記利用者が前記銀行の指定した前記第１の個数k₁の前
記情報の組を前記銀行に与え、前記銀行が受け取った前記情報の組により前記第１の個
数k₁の対応する撹乱利用者情報Ｗ′_iを計算し、それら
計算された撹乱利用者情報Ｗ′_iが前記選択した撹乱利
用者情報W_iの対応するものと一致することを検証し、受
け取った前記情報の組の中のすべての前記秘密情報S_iの
中に前記利用者の前記識別情報ID_Pが含まれていること
を確認し、前記利用者から受け取ったｋ個の前記撹乱利
用者情報W_iのうち前記選択したk₁個以外のあらかじめ決
めた第２の個数k₂の前記撹乱利用者情報から得た多重撹
乱利用者情報に対し第１署名関数により署名をして署名
付撹乱利用者情報Ωを作成して前記利用者に与え、前記利用者が受け取った前記署名付撹乱利用者情報Ωに
対し第１ブラインド署名後処理関数により撹乱除去処理
をして前記署名付利用者情報Ｂを得る工程を含み、前記
利用者は前記署名付利用者情報Ｂを前記銀行が発行した
前記利用許可証として使用する請求項４項記載の電子現
金実施方法。
【請求項３７】前記電子コインの発行は、前記利用者が前記乱数情報R_iをk₂個作成し、それらから
第２一方向性関数によりk₂個の前記認証用情報X_iを作成
し、k₂個の前記認証用情報X_iと前記利用許可証Ｂを含む
情報ｍを変数として一方向性の第２ブラインド署名前処
理関数に与えることにより前記撹乱認証用情報Ｚを作成
して前記銀行に与え、前記銀行は与えられた前記撹乱認証用情報Ｚに対し第２
署名関数により署名をして前記署名付撹乱認証用情報Θ
を作成して前記利用者に与え、前記利用者は前記署名付撹乱認証用情報Θに対し第２ブ
ラインド署名後処理関数を使って撹乱除去処理をして前
記署名付認証用情報を前記電子コインＣとして得る工程
を含む請求項36項記載の電子現金実施方法。
【請求項３８】前記利用者はｋ個の素数L_iと,k対の秘密
の素数P_i,Q_iと、ｋ個の素数積N_i＝P_i×Q_iを作成し、ｋ
個の前記秘密情報S_iからｋ個の前記利用者情報V_iを次式 V_i＝▲Ｓ^Li _i▼ mod N_i,i＝l,…,k で表わされる前記第１の一方向性関数により計算する工
程を含む請求項37項記載の電子現金実施方法。
【請求項３９】以下において前記k₂個のｉをｉ＝l,…，
k₂とすると、前記利用者は前記認証用情報X_iを次式 X_i＝▲Ｒ^Li _i▼ mod N_i,i＝l,…，k₂ で表わされる前記第２一方向性関数によって作成する工
程を含む請求項38項記載の電子現金実施方法。
【請求項４０】前記最後のパーティは前記第３者であ
り、前記第４者は前記銀行であり、前記利用者は前記電
子コインＣの使用において、前記電子コインＣと前記利
用許可証Ｂと、k₂個の前記利用者情報V_iと、k₂個の前記
認証用情報X_iとを含む前記電子現金情報とk₂個の前記素
数L_iとk₂個のN_iとを前記第３者に与え、前記第３者は前記問い合せ文q_iを作成して前記利用者に
与えると共に問い合せ文関数E_i＝ｆ（q_i）によりk₂個の
問い合せ文情報E_iを計算し、前記利用者は与えられた前
記問い合せ文q_iから前記問い合せ文関数により問い合せ
文情報E_iを作成し、その問い合せ文情報E_iと前記秘密情
報S_iと前記秘密乱数情報R_iとを使って次式 Y_i＝R_i・▲Ｓ^Ei _i▼ mod N_i,i＝l,…，k₂ によりk₂個の前記応答文Y_iを作成して前記第３者に与
え、前記第３者は自分で作成した問い合せ文情報E_iと、前記
利用者から与えられた前記利用者情報V_iと、前記認証用
情報X_iとを使って次式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^Ei _i▼（mod N_i）,i＝l,…，k₂ が成立することにより前記応答文Y_iの正当性を検証する
工程を含む請求項39項記載の電子現金実施方法。
【請求項４１】前記第３者は前記電子コインの決済のた
め前記電子現金情報V_i,X_i,B,Cと、N_iと、前記問い合せ
文q_iと、前記応答文Y_iとを含む情報を前記銀行に与え、前記銀行は次の検証式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^Ei _i▼（mod N_i）,i＝l,…，k₂ が成立することによって前記問い合せ文q_iに対する前記
応答文Y_iの正当性を検証する工程を含む請求項40記載の
電子現金実施方法。
【請求項４２】前記銀行は前記第４者から受け取った前
記利用者情報と前記認証用情報の組｛V_i,X_i｝と同じ値
の組が前記銀行の前記メモリ内にあるか検査し、なかっ
た場合は前記第４者から受けた情報を前記メモリに記憶
し、あった場合は前記メモリ内に記憶されている対応す
る問い合せ文ｑ′_iと応答文Ｙ′_iを読出し、前記読出し
た問い合せ文ｑ′_iから問い合せ文情報Ｅ′_i＝ｆ（ｑ′
_i）を計算し、次式、 α・L_i＋β（E_i−Ｅ′_i）＝１を満す整数のα，βをユーリッド互除法により解き、更
に次式 ▲Ｖ^α _i▼・（Y_i/Y′_i）^βmod N_i＝S_i より秘密情報S_iを計算し、前記計算した秘密情報S_iの中
から前記電子コインを不正使用した前記利用者の識別情
報ID_Pを得る工程を含む請求項41項記載の電子現金実施
方法。
【請求項４３】前記最後のパーティは前記第４者であ
り、前記利用者は前記第３者に対し前記電子コインを与
えるにあたって前記電子現金情報｛V_i,X_i,B,C｝と、N_i
と、前記素数L_iとを含む情報を前記第３者に与え、前記第３者は前記問い合せ文ε_iをk₂個作成して前記利
用者に与え、前記利用者は前記問い合せ文ε_iと前記秘密乱数情報R_i
と前記秘密情報S_iとを使って次式 Y_i＝R_i・▲Ｓ^εｉ _i▼ mod N_i,i＝l,…，k₂ によりk₂個の前記応答文を作成して前記第３者に与え、前記第３者は次式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^εｉ _i▼（mod N_i）,i＝l,…，k₂ が成立することによって前記応答文の正当性を検証し、
自分の持っている利用許可証を前記利用者に与え、前
記利用者は受け取った前記第３者の利用許可証に対し
署名を付けて譲渡証Ｔを作成し、前記第３者に与える工
程を含む請求項39項記載の電子現金実施方法。
【請求項４４】前記第３者は前記電子コインの使用にあ
たってN_iと、L_iと、前記電子現金情報｛V_i,X_i,B,C｝
と、前記譲渡証Ｔと、前記問い合せ文ε_iと、前記応答
文Y_iと、前記第３者の利用許可証と、前記第３者の利
用許可証の作成に係わった前記第３者の素数積_i、
素数_i、利用者情報_iとを前記第４者に与え、前記第４者は次式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^εｉ _i▼（mod N_i）,i＝l,…，k₂ が成立することによって前記利用者の応答文Y_iの正当性
を検証し、問い合せ文q_iを作成して前記第３者に与える
と共に問い合せ文関数E_i＝ｆ（q_i）により問い合せ文情
報E_iを計算し、前記第３者は与えられた問い合せ文q_iから前記問い合せ
文関数E_i＝ｆ（q_i）により問い合せ文情報E_iを計算して
次式から応答文_iを作成し、前記第４者に与え、前記第４者は前記利用者の認証用情報X_iを使って次式 ▲^ｉ _i▼≡X_i・▲^Ei _i▼（mod _i）,i＝l,…，k₂ が成立することにより前記第３者の応答文_iの正当性
を検証する工程を含む請求項43項記載の電子現金実施方
法。
【請求項４５】前記第４者は前記電子コインの決済のた
め前記銀行に対し前記電子現金情報｛V_i,X_i,B,C｝と、
前記利用者の情報N_i,L_i,X_iと、前記譲渡証Ｔと、前記第
３者の情報｛_i，_i，_i，，ε_i，_i｝と前記第
４者の情報を前記銀行に与え、前記銀行は次式 ▲Ｙ^Li _i▼≡X_i・▲Ｖ^εｉ _i▼（mod N_i）,i＝l,…，k₂ ▲^ｉ _i▼≡X_i・▲^Ei _i▼（mod _i）が成立することによって前記利用者の応答文Y_iと前記第
３者の応答文_iの正当性を検証する工程を含む請求項4
4項記載の電子現金実施方法。
【請求項４６】前記銀行は前記第４者から受け取った前
記利用者情報と前記認証用情報の組｛V_i,X_i｝と同じ値
の組が前記銀行の前記メモリ内にあるか検査し、なかっ
た場合は前記第４者から受けた情報を前記メモリに記憶
し、あった場合は前記メモリ内に記憶されている対応す
る問い合せ文ｑ′_iと応答文Ｙ′_iを読出し、前記読出し
た問い合せ文ｑ′_iから問い合せ情報Ｅ′_i＝ｆ
（ｑ′_i）を計算し、次式 α・L_i＋β（E_i−Ｅ′_i）＝１を満たす整数αとβをユーリッド互除法により解き、更
に次式 ▲Ｖ^α _i▼・（Y_i/Y′_i）^βmod N_i＝S_i より秘密情報S_iを計算し、前記計算した秘密情報S_iの中
から前記電子コインを不正使用した前記利用者の識別情
報ID_Pを得る工程を含む請求項45項記載の電子現金実施
方法。
【請求項４７】前記銀行は前記第４者から受け取った前
記第３者の前記利用者情報_iと前記利用者の前記認証
用情報X_iの組｛_i,X_i｝と同じ値の組が前記銀行の前記
メモリ内に記憶されているか検査し、なかった場合は受
け取った情報を前記メモリ内に記憶し、あった場合は前
記メモリ内に記憶されている対応する前記第４者の問い
合せ文ｑ′_iとそれに対する前記第３者の応答文´_iを
読出し、前記読出した問い合せ文ｑ′_iから問い合せ情
報Ｅ′_i＝ｆ（ｑ′_i）を計算し、次式 α・_i＋β・（E_i−Ｅ′_i）＝１を満足する整数αとβをユークリッドの互除法により解
き、更に次式 ▲^α _i▼・（_i／′_i）^βmod _i＝_i から秘密情報_iを計算し、前記計算した秘密情報_iの
中から前記電子コインを不正使用した前記第３者の識別
情報を得る工程を含む請求項45又は46項記載の電子現金
実施方法。
【請求項４８】前記銀行はあらかじめ決めた複数Ｋ回の
前記電子コインの使用を許可しており、前記最後のパー
ティは前記第３者であり、前記第４者は前記銀行であ
り、前記利用者は前記電子コインのｊ回目、ただし１≦ｊ≦
Ｋ、の使用において前記第３者に前記電子現金情報
｛V_i,X_i,B,C｝と情報｛N_i,L_i｝を与え、前記第３者は前記問い合せ文q_iを作成して前記利用者に
与えると共に問い合せ文関数E_i＝ｆ（q_i）によって問い
合せ文情報E_iを計算し、前記利用者は前記問い合せ文q_iから前記問い合せ文関数
E_i＝ｆ（q_i）により問い合せ文情報E_iを計算して次式 ▲Ψ^<j> _i▼＝f_j(X_i)^1/Limod N_i,i＝l,…，k₂ Y_i＝▲Ψ^<j> _i▼・▲Ｓ^Ei _i▼ mod N_i から前記応答文Y_iを作成して前記第３者にｊと共に与
え、ここでf_j(X_i)はｊをパラメータとして変化するX_iの
関数であり、前記第３者は次式 ▲Ｙ^Li _i▼≡f_j(X_i)・▲Ｖ^Ei _i▼（mod N_i）,i＝l,…，k₂ が成立することによって前記応答文Y_iの正当性を検証す
る工程を含む請求項39項記載の電子現金実施方法。
【請求項４９】前記銀行はあらかじめ決めた複数Ｋ回の
前記電子コインの使用を許可しており、前記利用者は前記電子コインのｊ回目、１≦ｊ≦Ｋ、の
使用において前記第３者に前記電子現金情報｛V_i,X_i,B,
C｝と情報｛N_i,L_i｝を与え、前記第３者は前記問い合せ文情報ε_iを作成して前記利
用に与え、前記利用者は前記問い合せ文情報ε_iを使って次式 ▲Ψ^<j> _i▼＝f_j(X_i)^1/Limod N_i,i＝l,…，k₂ Y_i＝▲Ψ^<j> _i▼・▲Ｓ^Ei _i▼ mod N_i により前記応答文Y_iを作成して前記第３者にｊと共に与
え、ここでf_j(X_i)はｊをパラメータとして変化するX_iの
関数であり、前記第３者は次式 ▲Ｙ^Li _i▼≡f_j(X_i)・▲Ｖ^εｉ _i▼（mod N_i）,i＝l,…，
k₂ が成立することにより前記応答文Y_iの正当性を検証し、
前記第３者が持っている利用許可証を前記利用者に与
え、前記利用者は自分の素数積N_iを使って前記第３者の利用
許可証に対し署名を付けて譲渡証Ｔとして前記第３者
に与える工程を含む請求項39項記載の電子現金実施方
法。
【請求項５０】前記最後のパーティは前記第４者であ
り、前記第３者は前記電子コインの使用にあたって前記
電子現金情報｛V_i,X_i,B,C｝と前記利用者の情報｛N_i,
L_i,T,Y_i,j｝と前記第３者の情報｛_i，_i，，ε_i｝
を前記第４者に与え、前記第４者は次式 ▲Ｙ^Li _i▼≡X_i，▲Ｖ^εｉ _i▼（mod N_i）が成立することにより前記利用者の応答文Y_iの正当性を
検証し、問い合せ文q_iを作成して前記第３者へ与えると
共に問い合せ文関数E_i＝ｆ（q_i）により問い合せ文情報
E_iを計算し、前記第３者は前記第４者からの問い合せ文q_iから前記問
い合せ文関数E_i＝ｆ（q_i）により問い合せ文情報E_iを計
算して次式 _i＝▲Ψ^<j> _i▼・▲^Ei _i▼ mod _i により応答文_iを作成して前記第４者に与え、前記第４者は次式 ▲^ｉ _i▼≡X_i，▲^Ei _i▼（mod _i）,i＝l,…，k₂ が成立することにより前記第３者の応答文_iの正当性
を検証する工程を含む請求項49項記載の電子現金実施方
法。
【請求項５１】前記銀行は前記電子コインの決済のため
前記最後のパーティから前記電子現金情報｛V_i,X_i,B,
C｝と、前記利用者の情報｛N_i,L_i,Y_i,j｝と、前記第３
者の問い合せ文q_iを含む情報を受け取ると、前記問い合
せ文関数E_i＝ｆ（q_i）により問い合せ文情報E_iを計算
し、前記利用者情報V_iと前記認証用情報X_iと前記ｊの組
｛V_i,X_i,j｝と同じ値の組が前記銀行の前記メモリ内に
記憶されているか検査し、同じ値の組があった場合は前
記メモリ内から対応する前記第３者の問い合せ文ｑ′_i
とそれに対する前記利用者の応答文Y_iを読出し、前記読
出した問い合せ文から問い合せ文情報Ｅ′_i＝ｆ
（ｑ′_i）を計算して次式 α・L_i＋β・（E_i−Ｅ′_i）＝１ｉ＝l,…，k₂ を満足する整数α，βをユークリッドの互除法により解
いて更に次式 ▲Ｖ^α _i▼・（Y_i/Y′_i）^β mod N_i＝S_i から秘密情報S_iを計算し、その計算した秘密情報S_iの中
から前記電子コインを不正使用した前記利用者の識別情
報ID_Pを得る工程を含む請求項48項記載の電子現金実施
方法。
【請求項５２】銀行が利用者に対し電子現金を発行し、
利用者がその電子現金を使って第３者に支払をする電子
現金を実施する利用者装置において、識別情報を含む秘密情報を作成する秘密情報作成手段
と、前記秘密情報作成手段から出力された前記秘密情報から
第１一方向性関数を使って利用者情報を作成する利用者
情報作成手段と、前記利用者情報作成手段から出力された前記利用者情報
を含む情報に対し一方向性のブラインド署名前処理をし
て撹乱利用者情報を作る第１ブラインド署名前処理手段
と、前記銀行が前記撹乱利用者情報に署名した署名付撹乱利
用者情報から撹乱を除去して署名付利用者情報を作るブ
ラインド署名後処理手段と、秘密乱数情報を発生する秘密乱数情報発生手段と、前記秘密乱数情報発生手段から出力された前記秘密乱数
情報から第２一方向性関数を使って認証用情報を作成す
る認証用情報作成手段と、前記認証用情報作成手段から出力された前記認証用情報
を含む情報に対し一方向性のブラインド署名前処理をし
て撹乱認証用情報を作る第２ブラインド署名前処理手段
と、前記銀行が前記撹乱認証用情報に署名した署名付撹乱認
証用情報から撹乱を除去して署名付認証用情報を作る第
２ブラインド署名後処理手段と、前記第３者の問い合せ文に対し少くとも前記秘密情報を
使って応答文を作成する応答文作成手段とを含む利用者
装置。
【請求項５３】前記第２ブラインド署名前処理手段は前
記認証用情報と前記署名付利用者情報を連結して連結文
を作るための連結手段と、前記連結文を撹乱数で撹乱し
て前記撹乱利用者情報を作成する一方向性前処理関数器
とを含む請求項52項記載の利用者装置。
【請求項５４】前記第３者から与えられた前記第３者の
署名付利用者情報に前記利用者が署名を付けるための一
方向性署名関数器を含む請求項53項記載の利用者装置。