JPH096880A - 電子現金の分割使用方法 - Google Patents

Abstract

(57)【要約】 【課題】 電子現金の分割使用を可能とする。 【解決手段】 電子現金の額面（例えば１００円）を階
層的構造テーブルの最上位とし、使用最小単位（例えば
７５円）を階層的構造テーブルの最下位層としたテーブ
ルを定め、（１）このテーブルにはあるノードの直下の
子ノードの該当金額の合計が、そのノードの該当金額と
なる、（２）あるノードが一度使われた後は、そのノー
ドと連結するすべての先祖ノードにおよび子孫ノードは
利用しないというルールを適用する。例えば７５円を使
う場合は、ノード００とノード０１０を用いる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、電気通信システ
ムやＩＣカードなどを用いて電子現金による支払い、譲
渡などを行う際に、電子現金をその額面の範囲内で分割
使用する電子現金の分割使用方法に関する。

【０００２】

【従来の技術】電気通信システムを用いた電子資金移動
が普及しつつある。一般に換金可能な証書（手形、小切
手など）は、証書の象徴的機能（証書を保持している人
に対して、証書に記載してある権利が供与されること）
を備えている。証書を電気通信システムで取り扱う場
合、証書はディジタル化されたデータであり、容易にコ
ピーを作成して複数回の換金が可能となる。プリペイド
カードのような電子的現金を実現するときにも、この問
題が生じる。すなわち、プリペイドカードをコピーする
ことで、不正に複数回の換金あるいは商品の購入が可能
となる。一方、クレジットカードでは、このような２重
使用の危険性はほとんどないが、その代わりに、利用者
の利用履歴がすべてカード会社に知られてしまうという
欠点がある（つまり、プライバシが保証されていな
い）。これら問題の解決策として、計算機能を備えたカ
ードで換金時にカード読み取り装置とカードとの間のデ
ータのやりとりを工夫することで、プライバシを保証
し、かつカードの２重使用を検出する方式が提案されて
いる。たとえば、Ｃｈａｕｍ，Ｆｉａｔ，Ｎａｏｒ：
“Ｕｎｔｒａｃｅａｂｌｅ Ｅｌｅｃｔｒｉｃ Ｃａｓ
ｈ”，Ｐｒｏｃ．ｏｆ ＣＲＹＰＴＯ′８８がある。し
かしながら、Ｃｈａｕｍ等の方式では、一回発行された
電子現金を分割して利用する（例えば、１万円の電子現
金を合計利用額が１万円になるまで何回も利用する）こ
とはできない。また、Ｃｈａｕｍ等の方式では、一回毎
の電子現金発行時に、銀行と利用者の間でかなりの量の
通信と処理を行う必要がある。

【０００３】

【発明が解決しようとする課題】この発明の目的は、一
回発行された電子現金を発行時に決められた額になるま
で、何回も分割して利用できる電子現金の分割利用方法
を提供することにある。

【０００４】

【課題を解決するための手段】請求項１の発明によれ
ば、電子現金の額面を階層的構造テーブルの最上位ノー
ドとし、使用最小単位を階層的構造テーブルの最下位層
のノードとし、あるノードの直下の子ノードの該当金額
の合計が、そのノードの該当金額とする階層的構造テー
ブルを定め、使用金額をノードで指定し、あるノードが
一度使われた後は、そのノードのすべての先祖ノード、
およびすべての子孫ノードは利用しない、かつノードは
１回以上使用しないというルールを適用することにより
電子現金の分割使用を可能とする。

【０００５】請求項２の発明によれば、電子現金を利用
する者（以下、利用者という）が有する装置（以下、利
用者側装置という）と、利用者より電子現金を受信する
機関（以下、小売店という）が有する装置（以下、小売
店側装置という）により電子現金を分割使用する請求項
１記載の方法において、上記利用者側装置は電子現金の
額面と対応した値Γ₀ を生成し、上記階層構造における
使用金額と対応したノードと対応した値Ω_i,...jl を生
成し、上記値Γ₀ と上記値Ω_i,...jl （Ｌ＝１，…，
ｔ）を用いて、上記使用金額に対応するノードに対する
値の剰余べき乗根

【０００６】

【数３】

【０００７】を求め、〔…〕_-1はヤコビ記号であって、
（ｘ_{j ... jt}／Ｎ）＝−１であり、このｘ_{j ... jt}およ
び電子現金を上記小売店側装置へ送り、上記小売店側装
置は上記受信したｘ_{j ... jt}が（ｘ_{j ... jt}／Ｎ）＝−
１を満たすかを検証し、利用者側装置と同様の処理によ
りΓ₀ とΩ_j1...jl を生成し、

【０００８】

【数４】

【０００９】を満たすかを検証し、以上の検証が正しけ
れば、上記電子現金による上記使用金額の支払いを認め
る。つまりあるノードが一度使われた後は、そのノード
と連結するすべての先祖ノードおよび子孫ノードは利用
しないことを満たしていると認める。

【００１０】請求項３の発明によれば、電子現金を利用
するる者（以下、利用者という）が有する装置（以下、
利用者側装置という）と、利用者より電子現金を受信す
る機関（以下、小売店という）が有する装置（以下、小
売店側装置という）により電子現金を分割使用する請求
項１または２記載の方法において、小売店側装置は値Ｅ
（＝０または１）を利用者側装置へ送り、利用者側装置
は電子現金の額面および使用金額ノードと対応した値Λ
_{j1 ...jt}を生成し、値Λ_{j1 ...jt}と値Ｅとから次の剰余
平方根演算を行い、 Ｙ_{j1 ...jt}＝〔（Λ_{j1 ...jt}）^Y2 mod Ｎ〕_(-1) ^E このＹ_{j1 ...jt}を小売店側装置へ送り、小売店側装置は
受信したＹ_{j1 ...jt}について （Ｙ_{j1 ...jt}／Ｎ）＝（−１）^E （Ｙ_{j1 ...jt}）² ＝ｄ′ｆΛ（Ｃ‖ｊ₁ ‖…‖ｊ_t ‖
Ｎ）mod Ｎ を共に満足するかを検証し、正しければ上記電子現金に
よる上記使用金額の支払いを認める。つまりノードの直
下の子ノードの該当金額の合計が、そのノードの該当金
額となるという条件を満たしていることになる。

【００１１】つまり、この発明においては、電子現金の
構造に対応した階層構成のテーブルを構成し、電子現金
利用時には、このテーブルの構造に対応させる形で、一
定の額面金額内の現金を何回かに分割して使用可能とし
ている。また、上記利用形態における不正使用を検出す
るため、上述のように利用者と小売店との確認で剰余べ
き乗根を利用することは、例えばウィリアムズ数と呼ば
れる合成数を法とする偶数べき乗根を利用することであ
り、ここでは、２つの異なるタイプの偶数べき乗根を用
いて、法である合成数の素因数分解ができるという事実
が重要な役割をする。つまり、利用者が不正使用をすれ
ば、法の素因数分解を通じて、利用者の秘密情報である
利用者のＩＤが露見するしかけになっている。

【００１２】

【発明の実施の形態】

（１）まず電子現金の発行および使用するためのシステ
ム構成の例を図１に示す。電子現金を発行する機関（以
下、銀行という）の装置（以下、銀行側装置という）１
００と、電子現金を発行される者（以下、利用者とい
う）の装置（以下、利用者側装置という）２００と、利
用者より電子現金を受領する機関（以下、小売店とい
う）の装置（以下、小売店側装置という）３００とが通
信回線等を介して接続している。

【００１３】（２）次に電子現金の利用者のプライバシ
を保証するために用いる利用許可証の発行処理について
説明する。まず、銀行で口座を新たに開設した利用者
が、利用許可証を銀行より発行してもらう場合について
説明する。利用者側装置は利用者の識別情報ＩＤｐ（利
用者の口座番号など）を含んだ秘密情報（利用者情報）
より乱数で攪乱したＫ組のブラインド情報を作成し、銀
行側装置は、そのブラインド情報の中でＫ／２組の情報
の開示を求め、開示された情報が正しく作成されていれ
ば、残りの未開示のＫ／２組の情報に対しブラインド署
名を作成し利用者側装置に送信し、利用者側装置は、銀
行側装置から受信したブラインド署名から利用者情報に
対する銀行の署名を計算して、この銀行署名を利用許可
証とする。

【００１４】銀行側装置は、利用許可証に対応する情報
として、ディジタル署名で用いるＲＳＡ暗号の秘密鍵
（dA, nA）および公開鍵（eA, nA）の対を作成しておき
公開鍵eA, nAを公開しておく。一方、利用者側装置は、
ディジタル署名で用いるＲＳＡ暗号の秘密鍵（dP, nP）
および公開鍵（eP, nP）の対を作成しておき、（eP, n
P）をＩＤｐと対にして公開しておく。

【００１５】利用者が銀行から利用認可証を発行しても
らう手順は、以下の通り。銀行側装置と利用者側装置の
間の交信例を図２に示す。利用者側装置２００の利用許
可証発行処理の構成を図３に、銀行側装置のそれを図４
にそれぞれ示す。以下では、ｉ＝１，２，…，Ｋとす
る。 ステップ１ 利用者側装置は、乱数発生器２０１を用い
て乱数ａ_i,ｒ_i を生成して、ＩＤｐと共に連結器２０４
に入力し、その出力ＩＤｐ‖ａ_i を一方向ハッシュ関数
演算器２０５に入力し、さらにその出力 g（ＩＤｐ‖ａ
_i ）を利用者の署名用秘密鍵（dP_, nP）と共にＲＳＡ署
名器２０６に入力し、（g （ＩＤｐ‖ａ _i ））^dPmod nP
を求める。

【００１６】ステップ２ 署名器２０６の出力をＩＤ_P
‖ａ_i と共に連結器２０７に入力して、Ｓ_i ＝ＩＤ_P ‖
ａ_i ‖（ g（ＩＤ_P ‖ａ_i ））^dPmod nPを求める。さら
に、Ｓ_i を分割器２０８に入力し、Ｓ_i ＝Ｓ_1,i ‖Ｓ
_2,i になるようなＳ_1,i とＳ_{2, i} を求める。 ステップ３ 素数生成器２０２を用いて、Ｐ_i ≡３（mo
d ８）およびＱ_i ≡７（mod ８）を満足する２つの素数
Ｐ_i,Ｑ_i を生成して、乗算器２０３を用いてその積Ｎ_i
＝Ｐ_i Ｑ_i を求める。

【００１７】ステップ４ Ｓ_1,i およびＳ_2,i をＮ_i と
共に剰余べき乗演算器２０９および２１１にそれぞれ入
力し、Ｉ_1,i ＝（Ｓ_1,i )²mod Ｎ_i とＩ₂,_i ＝
（Ｓ₂,_i ）²mod Ｎ_i を求め、それらを連結器２１０に
入力しＩ_i ＝Ｉ_1,i ‖Ｉ_2,i を計算する。 ステップ５ Ｎ_i,Ｉ_i を連結器２１２に入力し、その出
力Ｉ_i ‖Ｎ_i を一方向ハッシュ関数演算器２１３に入力
し、 g（Ｉ_i ‖Ｎ_i ）を得る。一方、ｒ_i を銀行の公開
鍵（eA, nA）と共にＲＳＡ暗号器２１５に入力し、（ｒ
_i ）^eAmod nAを求める。次に、それら出力を剰余乗算器
２１４に入力し、ブラインド情報Ｗ_i ＝（ｒ_i ）^eA g
（Ｉ_i ‖Ｎ_i ）mod nAを求めて、Ｗ_i （ｉ＝１，２，
…，Ｋ）を銀行側装置に送信する。

【００１８】ステップ６ 次に、銀行側装置は、利用者
側装置に、そのうちのＫ／２組のａ _i,Ｐ_i,Ｑ_i （ g（Ｉ
Ｄｐ‖ａ_i ））^dPmod ｎｐ，ＩＤｐ，ｒ_i を開示させ
て、利用者側装置がステップ１からステップ５を正しく
実行していることを確認する。このため、銀行側装置１
００は、１からＫの中からランダムにＫ／２個を選び、
それを開示要求として利用者側装置に送信する（ここで
は、表記を簡単にするため、Ｋ／２＋１，Ｋ／２＋２，
…，Ｋが開示指定されたと仮定して説明する）。Ｋ／２
個でなく、Ｋの一部であればよいが、Ｋ／２とすると処
理効率がよい。

【００１９】ステップ７ 利用者側装置２００は、銀行
側装置から開示要求を受信すると、銀行側装置の指示す
るＫ／２組のａ_i,Ｐ_i,Ｑ_i,( g ( ＩＤｐ‖ａ_i ））^dPmo
d ｎｐ，ＩＤｐ，ｒ_i を開示する。銀行側装置は、ｉが
開示対象の時、次の手順を行う。 ステップ８ 利用者側装置２００より受信したａ_i,ＩＤ
ｐより( g ( ＩＤｐ‖ａ_i ））^dPmod nPの署名の正当性
を利用者側装置の公開鍵（eP_, nP）を用いて連結器１０
４でａ_i とＩＤｐを連結し、それを一方向ハッシュ関数
演算器１０５へ供給し、一方( g ( ＩＤｐ‖ａ_i ））^dP
mod nPとnP,eP とをＲＳＡ暗号器１０７に入力して暗号
化しこの結果と演算器１０５の出力とを比較器１１１で
検証する。ここで、検証に合格しなければ処理を中断す
る。

【００２０】ステップ９ 利用者側装置２００より受信
したａ_i,Ｐ_i,Ｑ_i,( g ( ＩＤｐ‖ａ _i ））^dPmod ｎP Ｉ
Ｄｐから、乗算器１０３を用いてＮ_i ＝Ｐ_i,Ｑ_i を求
め、さらに、連結器１０８でａ_i ，ＩＤｐを連結してＳ
_i とし、Ｓ_i を分割器１０９で分割し、それぞれ剰余べ
き乗演算器１１０，１１２でＮ_i と剰余べき演算し、そ
の結果を連結器１１１で連結してＩ_i を求める。

【００２１】ステップ１０ 上で計算したＩ_i,Ｎ_i を連
結器１１３で連結し、更に一方向ハッシュ関数演算器１
１４に供給し、受信したｒ_i と公開鍵eA_, nAをＲＳＡ暗
号器１１７へ供給し、その出力と演算器１１４の出力と
を剰余乗算器１１５へ供給してＷ′_i ＝（ｒ_i ）^eA g
(Ｉ_i ‖Ｎ_i ）mod nAを計算する。 ステップ１１ 前に受信したＷ_i の値とＷ′_i の値を比
較器１１６で比較し、一致すれば合格とし、不合格の場
合、処理を中断する。銀行側装置は、Ｋ／２個のすべて
のｉについて上記の検査を行い、いずれかの検査に不合
格のときには、以降の処理を中止する。すべての検査に
合格のときには、銀行側装置は、開示対象でないｉ＝
１，…，Ｋ／２に対して、次の手順でブラインド署名を
行う。

【００２２】ステップ１２ 剰余乗算器１１８とＲＳＡ
署名作成器１１９を用いて、銀行側装置の署名用秘密鍵
（nA，dA）とＷ_i とからＷ＝（Π Ｗ_i ）^dAmod nAを求
め、つまりブラインド署名を作り、このＷを利用者側装
置に送信する。 ステップ１３ 利用者側装置は、銀行側装置からＷを受
信すると、ｒ_i と公開鍵（eA，nA）から、剰余乗算器２
１６、剰余除算器２１７を用いて利用許可証Ｂ＝Ｗ／
（Πｒ_i ）mod nA＝（Π g (Ｉ_i ‖Ｎ_i ）^dAmod nA．を
計算する。Πはｉ＝１からＫ／２までである。

【００２３】（３）更に利用許可証を用いて電子現金を
発行してもらう処理を説明する。次に、利用者が銀行か
ら電子現金を発行してもらう手順を示す。まず、銀行側
装置は、電子現金の金額に対応する情報として、ＲＳＡ
ディジタル署名で用いる秘密鍵（dA′nA′）および公開
鍵（eA′nA′）の対を作成しておき、（eA′nA′）をそ
の金額と共に公開しておく。ここで、銀行側装置と利用
者側装置の間の交信例を図５に示す。利用者側装置２０
０および銀行側装置１００の各電子現金発行処理の構成
を図６Ａ，Ｂにそれぞれ示す。以下では、ｉ＝１，２，
…，Ｋ／２とする。

【００２４】ステップ１ 乱数発生器２０１を用いて生
成した乱数ｂ，ｒと利用許可証Ｂおよび電子現金の発行
金額に相当する銀行側装置の公開鍵（eA′，nA′）から
ｒとeA′nA′とをＲＳＡ暗号器２１５へ供給して認証用
情報を生成し、これとｈ，Ｂとから連結器２０４、一方
向ハッシュ関数演算器２０５、剰余乗算器２１４を用い
て、 Ｚ＝ｒ^eA′ｇ（Ｂ‖ｂ）mod nA′ を計算して引き出す電子現金の金額に相当するブライン
ド情報を得る。

【００２５】ステップ２ このＺを電子現金の金額情報
と共に銀行側装置へ送る。 ステップ３ Ｚを受信した銀行側装置は、Ｚと電子現金
の金額に対応する秘密鍵（dA′nA′）とをＲＳＡ署名生
成器１１９に入力し、Ｚ′＝Ｚ^dA′mod nA′を求め、つ
まり引出し金額に相当するブラインド署名を作成してそ
れを利用者側装置に送付する。同時に、利用者側装置の
口座から該当する金額を引き落とすか、利用者側装置か
ら該当する金額を受領する。

【００２６】ステップ４ 銀行側装置よりＺ′を受信し
た利用者は、乱数ｒと銀行側装置より受信した情報Ｚ′
および公開鍵nA′剰余除算器２１７に入力し、認証用情
報および利用許可証に対する銀行側装置の署名 Ｃ＝Ｚ′／ｒmod nA′＝（ g (Ｂ‖ｂ））^dA′mod nA′ を求める。ここで、Ｃが電子現金に相当する。

【００２７】（４）以上のようにして発行された電子現
金をこの発明により分割使用する方法を説明する。利用
者が、電子現金を用いて小売店で支払いをする場合につ
いて説明する。まず、電子現金の金額およびその使用最
小単位（例えば、１０円単位等）に対応して、階層的構
造テーブルが定められる。たとえば、２５円単位で、１
００円の紙幣を利用する場合の階層的構造テーブルを図
７Ａに示す。電子現金の額面１００円は階層的構造テー
ブルの最上位とされ、使用最小単位２５円は階層的構造
テーブルの最下位層とされる。ここで、例えば、７５円
を使う場合、ノード００とノード０１０が該当するノー
ドとなる。この該当ノードは、以下のルールで定められ
る。

【００２８】１．あるノードの直下の子ノードの該当金
額の合計が、そのノードの該当金額となる。 ２．あるノードが一度使われた後は、そのノードと連結
するすべての先祖ノードおよび子孫ノードは利用しては
ならない。 ３．各ノードは、一回以上使用してはならない。

【００２９】このルールに従うと、先の例では、ノード
００とノード０１０が使用された後で、使用できるノー
ドは、ノード０１１（２５円）のみである。つまり、上
のルールに従うことにより、使用できる合計金額は、額
面通り１００円となると共に、２５円単位でどのような
使い方でもできる。この階層的構造テーブルは、電子現
金の額面金額を大きくし、さらに利用単位金額を小さく
すれば、その階層が増えることになる。例えば、額面が
１００万円で、１円単位で利用できる電子現金の場合、
その階層は、およそ２０となる（ｌｏｇ₂ １０００００
０≒２０）。

【００３０】次に、利用者側装置と小売店側装置の間の
交信例を図８に示す。小売店側装置３００と利用者側装
置２００の電子現金利用手続の処理構成をそれぞれ図
９，１０に示す。多くの場合、利用金額に相当する階層
構造テーブルの該当ノードは複数あるが、各ノードに対
応する処理は、基本的に同じアルゴリズムで行われ、そ
れぞれのノードの処理を並列に行うことができるため、
以下では、１つのノードに対する処理のみを説明する。
この該当ノードをノードｊ₁ ｊ₂ …ｊ_t （ｊ_l ∈｛０，
１｝）とする（図７Ｂ）。また、以下では、ｉ＝１，
２，…，Ｋ／２とする。

【００３１】なお、以下の手順で用いる記号の意味をこ
こでまとめて記しておく。

【００３２】

【数５】

【００３３】なお、以上において、（／）は、ヤコビ記
号を意味する。ヤコビ記号の効率的計算法は、例えば、
藤崎、森田、山本著の「数論への出発（数学セミナー増
刊）」（日本評論社）の１６６頁に記されている。 ステップ１ 利用者側装置２００は、まず、Ｃ，Ｎ_i よ
りランダム関数Γ演算器２２０を用いて、Γ_i,0 を求め
る。

【００３４】

【数６】

【００３５】次に、Ｃと利用金額と対応するノードｊ₁
…ｊ_t とＮ_i をランダム関数Ω演算器２２１に入力し、
Ω_i,j1...jl （Ｌ＝１，…，ｔ）を生成する。

【００３６】

【数７】

【００３７】さらに、Γ_i,0 ，Ω_i,j1...jl （Ｌ＝１，
…，ｔ），Ｎ_i より剰余べき乗演算器２２２、剰余乗算
器２２３、剰余べき乗根演算器２２４を用いて、利用金
額に対応するノードに対する値の剰余べき乗根Ｘ
_i,j1...jt を求める。ここでＮ_i はウィリアムズ数であ
る。

【００３８】

【数８】

【００３９】ステップ２ 利用者側装置２００は、ｂ，
（Ｉ_i ，Ｎ_i ，Ｘ_i,j1...jt ）（ｉ＝１，…，Ｋ／２）
および（Ｂ，Ｃ）を小売店側装置３００に送る。 ステップ３ 小売店側装置３００は、連結器３０４、一
方向ハッシュ関数演算器３０５、剰余乗算器３０９、Ｒ
ＳＡ暗号器３１０、比較器３１１を用いて、公開鍵（e
A, nA) によりＢのＩ_i ‖Ｎ_i に対する署名の正当性を
（つまり、Ｂ^eA＝（Πｇ（Ｉ_i ‖Ｎ_i ））mod nAが成立
するかどうかを、Πはｉ＝１からＫ／２まで）、また、
連結器３１２、一方向ハッシュ関数演算器３１３、ＲＳ
Ａ暗号器３１４、比較器３１５を用いて公開鍵（eA′,n
A ′) によりＣのＢ‖ｂに対する署名の正当性を（つま
り、Ｃ^eA' ＝（ｇ（Ｂ‖ｂ））mod nA′が成立するかど
うかを）検査する。この検査が、不合格のときは以降の
処理を中止する。

【００４０】ステップ４ 小売店側装置３００は、ヤコ
ビ記号演算器３１６および比較器３１７を用いて、Ｘ
_i,j1...jt が以下の関係を満足するかどうかを検証す
る。この検査が、不合格のときは以降の処理を中止す
る。 （Ｘ_i,j1...jt ／Ｎ_i ）＝−１， 次に、Ｃ，Ｎ_i よりランダム関数Γ演算器３２４を用い
て、

【００４１】

【数９】

【００４２】を求める。また、Ｃ，ｊ_1...ｊ_t ，Ｎ_i を
ランダム関数Ω演算器３２１に入力し、Ω
_i,j1...jl （Ｌ＝１，…，ｔ）を生成する。

【００４３】

【数１０】

【００４４】さらに、

【００４５】

【数１１】

【００４６】より剰余べき乗演算器３２２、剰余乗算器
３２３、剰余除算器３１９、比較器３２０を用いて、Ｘ
_i,j1...jt が以下の関係を満足するかどうかを検証す
る。この検査が、不合格のときは以降の処理を中止す
る。つまり、あるノードが一度使われた後は、そのノー
ドと連結するすべての先祖ノードおよび子孫ノードは利
用してはならないというルール２を満たしているかが検
証される。

【００４７】

【数１２】

【００４８】ここで、ｄ_i は、±１，±２のいずれかの
値である。 ステップ５ 小売店側装置は、乱数発生器３０１より取
り出した値Ｅ_i ∈｛０，１｝（ｉ＝１，…，Ｋ／２）を
利用者側装置に質問情報として送付する。 ステップ６ 利用者側装置は、ランダム関数Λ演算器２
２５を用いて、Ｃ，ｊ_{1. ..}ｊ_t ，Ｎ_i よりΛ_i,j1...jt
を計算する。

【００４９】

【数１３】

【００５０】次に、剰余平方根演算器２２６を用いて、
Λ_i,j1...jt およびＥ_i より、Ｙ_{i, j1...jt} を計算す
る。

【００５１】

【数１４】

【００５２】利用者側装置は、Ｙ_i,j1...jt を小売店側
装置に送る。 ステップ７ 小売店は、ヤコビ記号演算器３２５および
比較器３２６を用いて、Ｙ_i,j1...jt が以下の関係を満
足するかどうかを検証する。この検査が、不合格のとき
は以降の処理を中止する。 （Ｙ_i,j1...jt ／Ｎ_i ）＝（−１）^Ei 次に、Ｃ，ｊ₁ …ｊ_t ，Ｎ_i をランダム関数Λ演算器３
２８に入力し、さらにその出力およびＹ_i,j1...jt ，Ｎ
_i に対し、剰余べき乗演算器３２７、剰余除算器３２
９、比較器３３０を用いて、以下の関係を満足するかど
うかを検証する。

【００５３】

【数１５】

【００５４】ここで、ｄ′_i は、±１，±２のいずれか
の値である。この検査に合格すれば、小売店側装置は、
その電子現金のノードｊ₁ …ｊ_t に該当する金額の支払
を正当なものとみなし、それを受け取る。つまり、これ
らの検証によりあるノードの直下の子ノードの該当金額
の合計が、そのノードの該当金額となるというルール１
の条件を満たしているかの検証を行っている。

【００５５】（５）決済 最後に、小売店と銀行の間の決済方法について説明す
る。小売店側装置３００は、利用者側装置２００との電
子現金利用時の交信履歴Ｈを銀行側装置に提出し、銀行
側装置から該当する金額の支払いを受ける。銀行側装置
は、Ｈの正当性を検査し、検査に合格すれば、Ｈを記憶
して、小売店の口座へ該当する金額を払い込む。銀行側
装置は、電子現金の不正利用を見つけると、Ｈを取り出
して、それらの情報より不正者のＩＤを確定する。

【００５６】つまり第２１段落に記載されたルール２．
に違反した場合、子ノードに対応するＸを２乗してゆ
き、親ノードの平方根でヤコビ記号が１となるものを得
ることと、親ノードに対応するＸは、親ノードの平方根
でヤコビ記号が−１となるものであることから、ヤコビ
記号が１となる平方根と−１となる平方根が揃ったこと
により、Ｎを素因数分解することができ、Ｎの素因数を
用いて、Ｉから利用者の秘密情報Ｓを計算でき、またル
ール３．に違反した場合、Ｅはランダムに１か−１かが
指定されたものであり、ＹはΛの平方根でヤコビ記号が
Ｅにより指定されたものだから、同じΛを用いてＹを生
成すると、１／２の確率でヤコビ記号が１と−１となる
平方根が揃うことになり、Ｋ／２個の添字ｉについて手
続きを実行すれば、ヤコビ記号が１となる平方根と−１
となる平方根が圧倒的確率で揃うことにより、Ｎを素因
数分解することができ、Ｎの素因数を用いて、Ｉから利
用者の秘密情報Ｓを計算できる。

【００５７】上述において、利用許可証Ｂ，電子現金Ｃ
に対する検証は他の手法を用いてもよく、従って上述に
おいてｉ＝０としてもよい。

【００５８】

【発明の効果】この発明は、階層的構造テーブルを用
い、そのノードにより使用金額を決定することにより、
一回発行された電子現金を発行時に決められた額になる
まで、何回も分割して利用できる。

【図面の簡単な説明】

【図１】この発明が適用されるシステム例を示すブロッ
ク図。

【図２】利用許可証発行手続における交信例を示す図。

【図３】利用者側装置における利用許可証発行処理の構
成を示すブッロク図。

【図４】銀行側装置における利用許可証発行処理の構成
を示すブッロク図。

【図５】電子現金発行手順における交信例を示す図。

【図６】Ａ，Ｂはそれぞれ電子現金発行処理における利
用者側装置および銀行側装置の各構成を示すブロック
図。

【図７】電子現金の階層的構造テーブルを示す図。

【図８】この発明による電子現金の利用手続における交
信例を示す図。

【図９】図８の交信における利用者側装置での電子現金
利用処理の構成を示すブロック図。

【図１０】図８の交信における小売店側装置での電子現
金利用処理の構成を示すブロック図。

フロントページの続き (51)Int.Cl.⁶ 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｇ０７Ｆ 7/08 Ｂ

Claims (3)

【特許請求の範囲】
1. 【請求項１】 電子現金の額面を階層的構造テーブルの
   最上位ノードとし、使用最小単位を階層的構造テーブル
   の最下位層のノードとし、あるノードの直下の子ノード
   の該当金額の合計が、そのノードの該当金額とする階層
   的構造テーブルを定め、 使用金額をノードで指定し、 あるノードが一度使われた後は、そのノードのすべての
   先祖ノード、およびすべての子孫ノードは利用しない、
   かつ各ノードは１回以上使用しないというルールを適用
   する電子現金の分割使用方法。
2. 【請求項２】 電子現金を利用する者（以下、利用者と
   いう）が有する装置（以下、利用者側装置という）と、 利用者より電子現金を受領する機関（以下、小売店とい
   う）が有する装置（以下、小売店側装置という）により
   電子現金を分割使用する請求項１記載の方法において、 上記利用者側装置は電子現金の額面と対応した値Γ₀ を
   生成し、上記階層構造における使用金額と対応したノー
   ドと対応した値Ω_j,...jl を生成し、 上記値Γ₀ と上記値Ω_j,...jl （Ｌ＝１，…，ｔ）を用
   いて、上記使用金額に対応するノードに対する値の剰余
   べき乗根 【数１】 を求め、〔…〕_-1はヤコビ記号であって、（ｘ_{j ... jt}
   ／Ｎ）＝−１であり、 このｘ_{j ... jt}および電子現金を上記小売店側装置へ送
   り、 上記小売店側装置は上記受信したｘ_{j ... jt}が（ｘ
   _{j1... jt}／Ｎ）＝−１を満たすかを検証し、 利用者側装置と同様の処理によりΓ₀ とΩ_j1...jl を生
   成し、 【数２】 を満たすかを検証し、 以上の検証が正しければ、上記電子現金による上記使用
   金額の支払いを認める。
3. 【請求項３】 電子現金を利用するる者（以下、利用者
   という）が有する装置（以下、利用者側装置という）
   と、 利用者より電子現金を受信する機関（以下、小売店とい
   う）が有する装置（以下、小売店側装置という）により
   電子現金を分割使用する請求項１または２記載の方法に
   おいて、 小売店側装置は値Ｅ（＝０または１）を利用者側装置へ
   送り、 利用者側装置は電子現金の額面および使用金額ノードと
   対応した値Λ_{j1 ...jt}を生成し、 値Λ_{j1 ...jt}と値Ｅとから次の剰余平方根演算を行い、 Ｙ_{j1 ...jt}＝〔（Λ_{j1 ...jt}）^Y2 mod Ｎ〕_(-1) ^E このＹ_{j1 ...jt}を小売店側装置へ送り、 小売店側装置は受信したＹ_{j1 ...jt}について （Ｙ_{j1 ...jt}／Ｎ）＝（−１）^E （Ｙ_{j1 ...jt}）² ＝ｄ′ｆΛ（Ｃ‖_j1‖…‖_jt‖Ｎ）mo
   d Ｎ を共に満足するかを検証し、正しければ上記電子現金に
   よる上記使用金額の支払いを認める。