JP3334013B2 - 電子現金流通方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、電子現金流通方法に係
り、特に、電子通信システムで電子的な現金を電子紙幣
として、これにより、電子現金支払い、電子現金発行等
を行うことが可能な電子現金流通方法に関する。

【０００２】

【従来の技術】電気通信システムを用いた電子資金移動
が普及しつつある。一般に換金可能な証書（手形、小切
手等）は、証書の象徴的機能（証書を保持している人に
対して証書に記載してある権利が供与させること）を備
えている。証書を電気通信システムで取り扱う場合に
は、証書の内容をディジタル化したデータとして取り扱
う。また、電子的現金としては、プリペイドカードやク
レジットカードがある。

【０００３】計算機能を備えたカードで換金時にカード
読み取り装置とカードとの間のデータのやりとりを工夫
することで、プライバシを保証し、かつカードの２重使
用を検出する方式が提案されている。例えば、Chaum, F
iat, Naor:'Untraceable Electric Cash', Proc. of CR
YPTO'88 がある。

【０００４】

【発明が解決しようとする課題】しかしながら、上記の
証書は、ディジタル化されたデータであり、容易にコピ
ーを作成して複数回の換金が可能となる。同様にプリペ
ードカードのような電子的現金を実現するときにも、こ
の問題が生じる。即ち、プリペードカードをコピーする
ことで、不正に複数回の換金あるいは、商品の購入が可
能となる。一方、クレジットカードでは、このような２
重使用の危険性はほとんどないが、その代わりに、利用
者の利用履歴がすべてカード会社に知られてしまうとい
う欠点がある（つまり、プライバシが保証されていな
い）。

【０００５】また、Chaum 等の方式では、１回発行され
た電子現金を分割して利用する（例えば、１万円の電子
現金を合計利用額が１万円になるまで何回も利用する）
ことはできない。

【０００６】本発明は、上記の点に鑑みなされたもの
で、従来の方式の問題点を解決し、プライバシを保証
し、いかなる結託による不正使用をも防ぐ電子現金方式
において、一回発行された電子現金を発行時に決められ
た額になるまで何回も分割して利用できるような電子現
金流通方法を提供することを目的とする。

【０００７】

【課題を解決するための手段】図１は、本発明の原理を
説明するための図（その１）である。

【０００８】

【０００９】本発明は、電子現金を発行する機関の装置
（以下、銀行側装置）と、該電子現金を発行される者の
装置（以下、利用者装置）及び利用者より電子現金を受
領する機関の装置（以下、小売店側装置）より構成され
る電子現金システムにおける電子現金流通方法におい
て、 利用者装置は、秘密情報ｕをランダムに生成し、該
秘密情報ｕよりｐ（素数）を法とする剰余演算を用いて
計算した結果Ｉと該結果Ｉに対する利用者の署名情報を
銀行側装置に送信し、 銀行側装置は、結果Ｉより剰余演
算結果ｍを算出し、該銀行装置自身の秘密情報ｘを用い
て該剰余演算結果ｍに対する銀行の署名ｍ ^x mod ｐを求
め、該署名ｍ ^x mod ｐの正当性を証明するための情報と
共に、利用者装置に送信し、 利用者装置は、剰余演算結
果ｍを銀行側装置には隠匿しておくデータｍ’に変形
し、最終的に該データｍ’の値を該銀行側装置に秘密に
したまま、該データｍ’に対する銀行側の署名ｍ’ ^x mo
d ｐをその正当性を保証する情報と共に取得し、該デー
タｍ’と該データｍ’に対する銀行側署名の対を利用許
可証とし、 利用者が、ある金額の電子現金を銀行より引
き出す場合には、利用者装置は、金額に相当する階層を
持つ木構造の全ノード個々に対応する各々の値（ｔ−
値）を計算し、 木構造の最上位のノードより認証用情報
を生成して銀行側装置に送信し、 銀行側装置は、認証用
情報より引出し金額に対応するブラインド署名を作成し
て、利用者装置に送信し、 利用者装置は、銀行側装置か
ら受信したブラインド署名から木構造認証用情報Ｔと利
用許可証に対する銀行の署名を計算して、該木構造認証
用情報Ｔ及び利用許可証と引出し金額に対応する銀行署
名の対である電子現金を取得する。

【００１０】また、本発明は、電子現金の発行を受けた
利用者が、小売店で該電子現金を使用する際に、利用者
装置において、発行金額以内の利用額を定めた後、発行
された該電子現金に対応した木構造のノード中の利用金
額に対応するノードＡを定め、該利用者は、該電子現金
を提示し、 利用者装置は、ノードＡの兄弟ノード並び
に、該ノードＡの先祖ノードの兄弟ノードのそれぞれに
対応する値ｔ−値から剰余演算及び一方向性関数演算に
より求められる値を小売店側装置に送信し、 小売店側装
置は、送信された値から木構造認証用Ｔを求め、利用者
装置に質問情報αを送信し、 利用者装置は、小売店側装
置からの質問情報αに対応した応答文を自分の秘密情報
ｕから計算し、該小売店側装置に送信し、 小売店側装置
は、利用者装置からの応答文の正当性を確認し、正しけ
れば、利用金額の電子現金による支払を認める。

【００１１】また、本発明は、電子現金の発行を受けた
利用者装置より、小売店側装置が受領した電子現金を銀
行で決済する際に、 後日、小売店側装置は決済のために
銀行側装置に利用者装置と該小売店側装置間の相互通信
文を送信し、 銀行側装置は、相互通信文の正当性を検証
して、合格の時には、該相互通信文をメモリに記憶し、
電子現金が不正に使用されると、利用許可証を生成する
時に用いた利用者の秘密情報を算出する。

【００１２】また、本発明は、利用者装置において、秘
密情報ｕをランダムに生成し、該秘密情報ｕより合成数
ｎを法とする剰余演算を用いて計算した結果Ｉと該結果
Ｉに対する利用者の署名情報を銀行側装置に送信し、 銀
行側装置は、結果ＩよりＩ’を算出し、該銀行装置自身
の秘密情報ｄを用いて、銀行署名ｚ＝（Ｉ’） ^d mod ｎ
を求め、利用者装置に送信し、 利用者装置は、Ｉ’を
該Ｉ’のブラインド値ｍに変更すると共に、該ブライン
ド値ｍを銀行に秘密にしたまま、該ブラインド値ｍに対
する該銀行の署名ｗを該銀行署名ｚから取得し、該ブラ
インド値ｍと該銀行署名ｗの組（ｍ，ｗ）を利用許可証
とし、 利用者がある金額の電子現金を銀行から引き出す
場合に、利用者装置は、金額に相当する階層を持つ木構
造の全ノード個々に対応する値（ｔ−値）を計算し、そ
の最上位のノードのｔ−値から素数ｐを法とする剰余演
算により木構造認証用情報Ｔを求め、該木構造認証用情
報Ｔに対して、該利用許可証と秘密の乱数により認証用
情報を生成して、銀行側装置に送信し、 銀行側装置は、
認証用情報により、引出し金額に相当するブラインド署
名を作成し、利用者装置に送信し、 利用者装置は、銀行
側装置から受信したブラインド署名から木構造認証用情
報Ｔと利用許可証に対する銀行の署名を計算して、該木
構造認証用情報Ｔと該利用許可証と、引出し金額に対応
する銀行署名の対を、電子現金として受け取る。

【００１３】また、本発明は、電子現金の発行を受けた
利用者が、小売店で該電子現金を使用する際には、発行
金額以内の利用額を定めた後に、発行された電子現金に
対応した木構造のノード中の利用金額に対応するノード
を定め、 利用者装置は、電子現金を提示すると共に、該
当ノードＡに対応する値のｔ−値からｎを法とする剰余
演算により該当ノードＡの値βを計算し、該βを小売店
側装置に送信すると共に、該ノードＡ、並びに該ノード
Ａの先祖ノードの兄弟ノードのそれぞれに対応する値
（ｔ−値）から剰余演算及び一方向関数演算により求め
られる値を該小売店側装置に送信し、 小売店側装置は、
送付された値から木構造認証用情報Ｔを求め、利用者装
置に質問情報αを送り、 利用者装置は、小売店側装置か
らの質問情報αに対応した応答文を自分の秘密情報ｕか
ら計算し、該小売店側装置に送信し、 小売店側装置は、
応答文の正当性を確認し、該応答文が正しければ該当利
用金額の電子現金による支払を認める。

【００１４】また、本発明は、電子現金の発行を受けた
利用者より小売店が受領した電子現金を銀行で決済する
際に、 後日、小売店側装置は、決済のための銀行側装置
に、利用者装置と該小売店側装置との間の相互通信文を
送信し、 銀行側装置は、相互通信文の正当性を検査し
て、合格のときは、該相互通信文をメモリに記憶し、 電
子現金が不正に使用されると、利用許可証を生成する時
に用いた秘密情報を算出する。

【００１５】

【作用】本発明は、電子現金の構造に対応した階層構成
のテーブル（木構造）を構成し、電子現金利用時には、
このテーブルの構造に対応させる形で、一定の額面金額
内の現金を何回かに分割して使用する。

【００１６】また、上記の利用形態における不正使用を
検出するため、離散対数問題の人称方式を用いて、不正
使用が行われると離散対数問題における秘密情報を求め
ることができ、それにより不正利用者のＩＤが露見す
る。

【００１７】さらに、本発明は、上記の利用形態におけ
る不正使用を検出するため、素因数分解に関連する問題
の認証方式を用いて、不正使用が行われると素因数分解
に関連する問題における秘密情報を求めることができ、
それにより不正利用者のＩＤが露見する。

【００１８】

【実施例】以下、図面と共に本発明の実施例を詳細に説
明する。

【００１９】図２は、本発明の一実施例のシステム構成
図を示す。同図に示すシステムは、銀行装置（以下、銀
行と記す）１００、利用者装置（以下、利用者と記す）
２００、小売店装置（以下、小売店と記す）３００から
構成され、通信回線４００で接続されている。銀行１０
０は、利用者２００に対して利用許可証と電子紙幣から
なる電子現金を発行する。利用者２００は、銀行１００
から発行された電子現金を小売店３００に対する支払い
に使用する。小売店３００は、利用者が使用した金額を
銀行１００に請求し、銀行１００にて決済する。

【００２０】［第１の実施例］まず、本発明の第１の実
施例を説明する。本実施例は、不正使用を検出するため
に、離散対数問題の認証方式を用いて、不正者の秘密情
報を取得する例である。

【００２１】（１）利用許可証の発行処理 まず、銀行１００で口座を新たに開設した利用者２００
が、利用許可証を銀行より発行してもらう場合について
説明する。利用許可証は、変更となる事項が少なく利用
者のマスタファイルのイメージで用いられ、電子現金
は、トランザクションのイメージで扱われ、例えば、現
金引き出し処理等に対応する。

【００２２】ここで、ＩＤ_P は利用者の識別情報とす
る。銀行１００は、利用許可証に対応する情報として、
ディジタル署名で用いる秘密鍵ｘ及び公開鍵ｈの対を作
成しておき、ｈ（公開鍵），ｐ，ｑ（素数）、ｇ（位数
をｑ（素数）とする（ｐ−１）以下の正整数）を公開し
ておく。但し、公開鍵ｈ＝ｇ^x mod ｐとする。また、素
数ｑは（ｐ−１）とする。また、銀行１００は、位数を
ｑとするｐ−１以下の正の整数ｇ₁ ，ｇ₂ を公開する。

【００２３】一方、利用者２００は、ディジタル署名で
用いる秘密鍵及び公開鍵の対を作成しておき、公開鍵を
ＩＤ_P と対にして公開しておく。

【００２４】図３は、本発明の第１の実施例の利用許可
証の発行処理を行う場合の銀行及び利用者の構成を示
す。同図において、銀行１００は、乱数ｗを生成する乱
数発生器１０１、及び２つの剰余演算器１０２₁ 、１０
２₂ より構成される。利用者２００は、２つの乱数発生
器２０１₁ 、２０１₂ と、４つの剰余演算器２０２₁ 、
２０２₂ 、２０２₃ 、２０２₄ 、署名作成器２０３と一
方向性関数演算器２０４より構成される。

【００２５】利用者２００の第１の乱数発生器２０１₁
は乱数ｕを生成する。第１の剰余演算器２０２は、乱数
ｕと正整数ｇと素数ｐが入力され、剰余演算を行い、演
算結果Ｉを出力する。この演算結果Ｉは、銀行１００に
送出されると共に、署名作成器２０３及び第２の剰余演
算器２０２₂ にも出力される。署名作成器２０３は、署
名用秘密鍵が入力され、署名Ｓ（Ｉ）が生成され、利用
者識別情報ＩＤ_p と共に銀行１００に送出される。

【００２６】第２の剰余演算器２０２₂ は、第１の剰余
演算器２０２₁ からの出力Ｉと、乱数発生器２０１で生
成された乱数ｓ，ｔ，ｖ、正整数ｇ₂ 、素数ｐ，ｇ、銀
行１００の剰余演算器１０２からｚ，ａ，ｂが入力さ
れ、剰余演算を行う。演算結果は、ｍ’，ｚ’，ａ’，
ｂ’が一方向演算器２０４に入力されると共に、銀行１
００に隠蔽されたブラインド値ｍ’とsign（ｍ’）とし
て出力される。

【００２７】一方向性関数演算器２０４は、出力ｃ’を
第３の剰余演算器２０２に出力する。第３の剰余演算器
２０２₃ は、乱数ｔと素数ｑ，一方向性関数演算器２０
４からの出力ｃ’が入力され、剰余演算された結果ｃを
銀行の第１の剰余演算器１０２に送出する。

【００２８】銀行の剰余演算器１０２₂ は、秘密鍵ｘ、
乱数ｗ、素数ｑ及び利用者２００の第３の剰余演算器２
０２及び署名作成器２０３からの出力ｒによる剰余演算
を行い、その出力を利用者２００の第４の剰余演算器２
０２₄ に入力する。

【００２９】利用者２００の第４の剰余演算器２０２₄
は、乱数ｔ、ｖ，銀行１００から出力されたｒが入力さ
れ、剰余演算を行い、ｒ’を出力する。この出力ｒ’に
上記の剰余演算器２０２₂ からの出力と合わせてsign
（ｍ’）が出力される。

【００３０】利用者２００は、銀行１００から利用許可
証を発行してもらう手順は、以下の通りである。図４
は、本発明の第１の実施例の銀行と利用者間の交信の例
を示す。

【００３１】ステップ１）利用者２００は、乱数発生器
２０１を用いて乱数ｕを生成して、乱数ｕ、正整数ｇ
１、素数ｐを剰余演算器２０２に入力し、出力Ｉ＝ｇ₁
^u modｐを署名作成器２０３に入力し、利用者の署名Ｓ
（Ｉ）を作成し、剰余演算器２０２の出力、利用者の署
名Ｓ（Ｉ）、利用者識別情報ＩＤ_P を銀行１００に送
る。

【００３２】ステップ２）銀行１００は、乱数発生器１
０１を用いて、乱数ｗを生成し、ステップ１の剰余演算
器２０２₁ の出力Ｉ、正整数ｇ₂ 、秘密鍵ｘ、素数ｐ、
正整数ｇ、乱数ｗを剰余演算器１０２に入力し、 ｍ＝Ｉｇ₂ mod ｐ ｚ＝ｍ^x mod ｐ ａ＝ｇ^w mod ｐ ｂ＝ｍ^w mod ｐ が出力される。このうち、剰余演算器１０２の出力ｚ，
ａ，ｂを利用者２００に送る。

【００３３】ステップ３）利用者２００は、乱数発生器
２０１₂ を用いて、乱数ｓ，ｔ，ｖを生成し、剰余演算
器２０２₁ の出力結果であるＩ及び、正整数ｇ₂ 、素数
ｐ，銀行１００から送信されたｚ，ａ，ｂ及び乱数ｓ，
ｔ，ｖを剰余演算器２０２₂に入力し、以下の値を出力
する。

【００３４】ｍ’＝ｍ^s mod ｐ（つまり、ｍ’＝ｇ₁ ^us
ｇ₂ ^s mod ｐ） ｚ’＝ｚ^s modｐ ａ’＝ａ^t ｇ^v mod ｐ ｂ’＝ｂ^st（ｍ’）^v mod ｐ さらに、ｍ’，ｚ’，ｚ’，ｂ’を一方向正関数演算器
２０４に入力し、その出力ｃ’＝Η（ｍ’，ｚ’，
ａ’，ｂ’）をさらに、ｔ，ｑと共に剰余演算器２０２
₃ に入力し、ｃ＝ｃ’／ｔmod ｑを出力する。利用者２
００は、ｃを銀行１００に送る。

【００３５】ステップ４）銀行１００は、ｘ，ｃ，ｗ，
ｑを剰余演算器１０２₂ に入力し、その出力ｒ＝ｘｃ＋
ｗmod ｑを利用者２００に送信する。

【００３６】ステップ５）利用者２００は、ｒ，ｔ，ｖ
を剰余演算器２０２₄ に入力し、ｒ’＝ｒｔ＋ｖmod ｑ
を求める。

【００３７】以上の手順により、利用者２００は、以下
の情報（利用許可証）を得る。

【００３８】ｍ’，sign（ｍ’） ここで、 ｍ’＝ｇ₁ ^usｇ₂ ^s ｍod ｐ， sign（ｍ’）＝｛ｚ’，ａ’，ｂ’，ｒ’｝ となり、一方、銀行１００は、剰余演算器２０２₁ から
の出力Ｉとそれに対する利用者２００の署名Ｓ（Ｉ）を
得る。

【００３９】（２）電子現金の発行処理 次に、利用者が銀行から電子現金を発行してもらう手順
を示す。まず、銀行は、電子現金の金額に対応する情報
として、ＲＳＡディジタル署名で用いる秘密鍵ｄ_n 及び
公開鍵（ｅ_B ，ｎ_B ）の対を作成しておき、公開鍵（ｅ
_B ，ｎ_B ）をその金額と共に公開しておく。ここで、銀
行と利用者の間の交信例を図５に示す。また、図６は、
本発明の第２の実施例の電子現金の発行処理を行う場合
の銀行及び利用者の構成を示す。

【００４０】図６に示す利用者２００は、乱数ｅを生成
する乱数発生器２０１、乱数ｅが入力され、一方向性関
数演算を行い、ｔ_0j1...jn, を出力する一方向性関数演
算器２０４₁ 、ｇ₁ ，ｇ₂ ，Ｐとｔ_0j1...jnが入力さ
れ、剰余演算を行う剰余演算器２０２₂ 、剰余演算器２
０２₁ から出力されたｇ₁ ^r0j,...jn,1 ｇ₂ ^r0j1...jn,
2 mod Ｐが入力され、一方向性関数演算を行い、ｔ
_0j1,...jn-1, …ｔ₀ を出力する一方向性関数演算器２
０４₂ 、ｔ₀ 及びｇ₁ ，ｇ₂ ，Ｐが入力され、木構造認
証用情報Ｔを算出する剰余演算器２０２₂ 、剰余演算器
２０２₂ から出力されたＴと銀行署名ｍ’が入力され、
一方向性関数演算を行い、Ｈ（Ｔ‖ｍ’）を出力する一
方向性関数演算器２０４₃ 、公開鍵ｎ_B ，ｅ_B と、乱数
発生器２０１₂で生成された乱数Ｒにより剰余演算を行
い、認証用情報Ｘを生成し、銀行１００に送出する。ま
た、公開鍵ｎ_{B ,} ｅ_B と乱数Ｒ、銀行１００から入力さ
れるＸ’により銀行１００の署名Ｃを出力する剰余演算
器２０２₄ を有する。

【００４１】銀行１００は、公開鍵ｎ_B ，秘密鍵ｄ
_B と、利用者２００より入力された認証用情報Ｘを用い
て剰余演算を行う剰余演算器１０２を有する。

【００４２】なお、ここで、用いるディジタル署名は、
ブラインド署名が実行できるものであれば何でもよい。
例えば、Schnorr 法を用いたブラインド署名( 「Okamot
o, T., "Provably Secure and Practical Identificati
on Schemes and Corresponding Signature Schemes", P
roceedings of the Crypto 92, pp. 31-53(1993)」のAp
pendix Bで紹介されている) を用いてもよい。

【００４３】ステップ１０１）［準備］

【００４４】

【数１】

【００４５】の電子現金を発行してもらおうとする利用
者２００は、以下のような事前処理を行う。

【００４６】まず、乱数発生器２０１₁ を用いて、秘密
情報ｅを生成する。次に、（ι＋１）の階層を持つ木構
造を考える。図７は、木構造を示す。今、一方向関数演
算器２０４を用いて、最下位のレベルのノード

【００４７】

【数２】

【００４８】ｎ_0j1,j2,...,jι，ｊ_i ∈｛０、１｝に対
応する値（ｔ−値）を以下のように求める。

【００４９】 ｔ_oj1,j2...jv ＝Ｈ（ｅ‖０ｊ１ｊ２．．．Ｊι）． ここで、Ｈは、一方向関数を示し、‖は結合を意味す
る。各ｔ−値を分解して、２つの値（γ値）を以下のよ
うに定める。

【００５０】ｔ_oj1,j2...jv ＝（ｒ_{oj1,j2...jv,1} ）‖
（ｒ_{oj1,j2...jv,2} ） 次に、上記で求めた最下位のノードのｔ−値から順次上
位のノードのｔ−値を、剰余演算器２０２₁ 及び一方向
演算器２０４₂ を用いて、以下の関係を満足するように
求める。つまり、ノードｒ_{0 j1,j2...jv}のｔ−値ｔ
_{0 j1,j2...jv0} は、その２つの子ノードのｔ−値（ｔ
_{0 j1,j2...jv0} ）は、その２つの子ノードのｔ−値（ｔ
_{0 j1,j2...jv1} ）から以下のように一意に定まる。 ｔ_{0 j1,j2,..jv}＝Η（Η（ｇ₁ ^{r0j1,j2...jv0,1} ｇ２^{r0j1,j2...jv0,2} mod ｐ） ‖Η（ｇ₁ ^{r0j1,j2...jv1,1} ｇ₂ ^{r0j1,j2...jv1,2} mod ｐ） ここで、 ｔ_{0 j1j2...jv0}＝（ｒ_{0 j1,j2...jv0,1} ‖ｒ_{0 j1,j2...jv0,2} ） and ｔ_{0 j1j2...jv1}＝ （ｒ_{0 j1,j2...jv1,1} ‖ｒ_{0 j1,j2...jv1,2} ） この手順を繰り返して行くと、最終的に最上位ノードｎ
₀ のｔ−値ｔ₀ を求めることができる。 （例）３階層の例を示す（図７参照）。 ｔ₀ ＝H(H g₁ ^r00,1ｇ₂ ^r00,2 mod ｐ）‖H(g₁ ^r01,1ｇ
₂ ^r01,2 mod ｐ)), ｔ₀₀＝（ｒ_00,1‖ｒ_00,2） ＝H(H g₁ ^r000,1 ｇ₂ ^r000,2 modｐ） ‖H(g₁ ^r001,1 ｇ₂ ^r001,2 modｐ)), ｔ₀₁＝（ｒ_01,1‖ｒ_01,2） ＝H(H g₁ ^r010,1 ｇ₂ ^r010,2 modｐ） ‖H(g₁ ^r011,1 ｇ₂ ^R011,2 modｐ)) ステップ１０２）利用者２００は、準備（ステップ１０
１）で求めたｔ₀ 及びｇ₁ ，ｇ₂ ，p を剰余演算器２０
２₂ に入力して、 Ｔ＝ｇ₁ ^r0,1ｇ₂ ^r0,2mod ｐ（ｔ₀ ＝（ｒ_0,1 ‖
ｒ_0,2 ）） を求める。さらに、乱数発生器２０１₂ を用いて、乱数
Ｒを生成し、Ｔ，ｍ’を一方向関数演算器２０４³ に入
力し、Ｈ（Ｔ‖ｍ’）を求め、その出力Ｈ（Ｔ‖ｍ’）
及びＲ，ｎ_B ，ｅ_B を剰余演算器２０２³ に入力し、 Ｘ＝Ｈ（Ｔ‖ｍ’）Ｒ^eB modｎ_B を出力し、Ｘを銀行に送る。

【００５１】ステップ１０３）Ｘを受信した銀行１００
は、Ｘと電子現金の金額に対応する秘密鍵（ｄ_B ，ｎ
_B ）とを剰余演算器１０２に入力し、 Ｘ’＝Ｘ^dBmod ｎ_B を求め、それを利用者２００に送付する。同時に、利用
者の口座から該当する金額を引き落とすか、利用者から
該当する金額を受領する。

【００５２】ステップ１０４）銀行１００よりＸ’を受
信した利用者２００は、乱数Ｒと銀行１００より受信し
た情報Ｘ’及び公開鍵ｎ_B を剰余演算器２０２₄ に入力
し、銀行の署名 Ｃ＝Ｘ’／Ｒmod ｎ_B ＝（Ｈ（Ｔ‖Ｍ’））^dBmod ｎ_B を求める。ここで、（Ｔ，Ｃ）が電子現金に相当する。

【００５３】なお、利用許可証と、電子現金を一体化さ
せる場合は、上記手続でブラインド署名Ｃを発行する代
わりに、利用許可発行手続において、Ｔをｍ’と見なし
てsign（ｍ’）を発行すればよい。

【００５４】利用許可証と一体化した電子現金発行処理
は以下に述べる通りである。

【００５５】ステップ８０１）［準備］

【００５６】

【数３】

【００５７】の電子現金を発行してもらおうとする利用
者２００は、以下のような事前処理を行う。

【００５８】まず、乱数発生器２０１を用いて、秘密情
報ｅを生成する。次に、（ι＋１）の階層を持つ木構造
を考える。図７は、木構造を示す。今、一方向関数演算
器２０４を用いて、最下位のレベルのノード

【００５９】

【数４】

【００６０】ｎ_0j1,j2,...,jι，ｊ_i ∈｛０、１｝に対
応する値（ｔ−値）を以下のように求める。

【００６１】 ｔ_oj1,j2...jv ＝Ｈ（ｅ‖０ｊ１ｊ２．．．Ｊι）． ここで、Ｈは、一方向関数を示し、‖は結合を意味す
る。各ｔ−値を分解して、２つの値（γ値）を以下のよ
うに定める。

【００６２】ｔ_oj1,j2...jv ＝（ｒ_{oj1,j2...jv,1} ）‖
（ｒ_{oj1,j2...jv,2} ） 次に、上記で求めた最下位のノードのｔ−値から順次上
位のノードのｔ−値を、剰余演算器２０２₁ の及び一方
向演算器２０４を用いて、以下の関係を満足するように
求める。つまり、ノードｒ_{0 j1,j2...jv}のｔ−値ｔ
_{0 j1,j2...jv0} は、その２つの子ノードのｔ−値（ｔ
_{0 j1,j2...jv0} ）は、その２つの子ノードのｔ−値（ｔ
_{0 j1,j2...jv}1 ）から以下のように一意に定まる。 ｔ_{0 j1,j2,..jv}＝Η（Ηｇ₁ ^{r0j1,j2...jv01}ｇ２^{r0j1,j2...jv0,2} mod ｐ） ‖Η（ｇ₁ ^{r0j1,j2...jv1,1} ｇ₂ ^{r0j1,j2...jv1,2} mod ｐ） ここで、 ｔ_{0 j1j2...jv0}＝（ｒ_{0 j1,j2...jv0,1} ‖ｒ_{0 j1,j2...jv0,2} ） and ｔ_{0 j1j2...jv1}＝ （ｒ_{0 j1,j2...jv1,1} ‖ｒ_{0 j1,j2...jv1,2} ） この手順を繰り返して行くと、最終的に最上位ノードｎ
_o のｔ−値ｔ₀ を求めることができる。

【００６３】ステップ８０２）利用者２００は、準備
（ステップ８０１）で求めたｔ₀ 及びｇ₁ ，ｇ₂ ，p を
剰余演算器２０２に入力して、 Ｔ＝ｇ₁ ^r0,1 ₂ ^r0,2mod ｐ（ｔ₀ ＝（ｒ_0,1 ‖
ｒ_0,2 ）） を求める。

【００６４】ステップ８０３）利用者２００は、乱数発
生器２０１を用いて乱数ｕを生成して、乱数ｕ、正整数
ｇ１、素数ｐを剰余演算器２０２に入力し、出力Ｉ＝ｇ
^u ₁mod ｐを署名作成器２０３に入力し、利用者の署名
Ｓ（Ｉ）を作成し、剰余演算器２０２の出力、利用者の
署名Ｓ（Ｉ）、利用者識別情報ＩＤ_P を銀行１００に送
る。

【００６５】ステップ８０４）銀行１００は、乱数発生
器１０１を用いて、乱数ｗを生成し、出力Ｉ、正整数ｇ
₂ 、秘密鍵ｘ、素数ｐ、正整数ｇ、乱数ｗを剰余演算器
１０２に入力し、 ｍ＝Ｉｇ₂ mod ｐ ｚ＝ｍ^x mod ｐ ｚ＝ｍ^x mod ｐ ａ＝ｇ^w mod ｐ ｂ＝ｍ^w mod ｐ が出力される。このうち、剰余演算器２０２の出力ｚ，
ａ，ｂを利用者２００に送る。

【００６６】ステップ８０５）利用者２００は、乱数発
生器２０１を用いて、乱数ｓ，ｔ，ｖを生成し、剰余演
算器２０２の出力結果であるＩ，正整数ｇ₂ 、素数ｐ，
銀行１００から送信されたｚ，ａ，ｂ及び乱数ｓ，ｔ，
ｖを剰余演算器２０２に入力し、以下の値を出力する。

【００６７】ｍ’＝ｍ^s mod ｐ（つまり、ｍ’＝ｇ₁ ^us
ｇ₂ ^s mod ｐ） ｚ’＝ｚ^s modｐ ａ’＝ａ^t ｇ^v mod ｐ ｂ’＝ｂ^st（ｍ’）^v mod ｐ さらに、ｍ’，ｚ’，ｚ’，ｂ’を一方向正関数演算器
２０４に入力し、その出力ｃ’＝Η（ｍ’，ｚ’，
ａ’，ｂ’，Ｔ）をさらに、ｔ，ｑと共に剰余演算器２
０２に入力し、ｃ＝ｃ’／ｔmod ｑを出力する。利用者
２００は、ｃを銀行１００に送る。

【００６８】ステップ８０６）銀行１００は、ｘ，ｃ，
ｗ，ｇを剰余演算器１０２に入力し、その出力ｒ＝ｘｃ
＋ｗmod ｑを利用者２００に送信する。

【００６９】ステップ８０７）利用者２００は、ｒ，
ｔ，ｖを剰余演算器２０２に入力し、ｒ’＝ｒｔ＋ｖmo
d ｑを求める。

【００７０】以上の手順により、利用者は、以下の情報
（利用許可証）を得る。

【００７１】ｍ’，sign（ｍ’） ここで、 ｍ’＝ｇ₁ ^usｇ₂ ^s od ｐ， sign（ｍ’）＝｛ｚ’，ａ’，ｂ’，ｒ’｝ となり、一方、銀行１００は、剰余演算器２０２からの
出力Ｉとそれに対する利用者２００の署名Ｓ（Ｉ）を得
る。

【００７２】上記の処理は、口座開設時に特に処理は行
わずに、現金引出し時毎に上記の処理を行う。

【００７３】（３）電子現金の支払 次に、利用者が銀行より発行された電子現金を用いて小
売店で支払をする場合について説明する。

【００７４】まず、電子現金の金額及びその使用最小単
位（例えば、１０円単位等）に対応して階層的構造テー
ブルが定められる。（ここでは、先程述べたように、

【００７５】

【数５】

【００７６】の紙幣とし、使用最小単位が１円とする。
例えば、図８に示す、１円単位で、４円の紙幣を利用す
る場合の階層的構造テーブルにおいて、例えば、３円を
使う場合、ノードｎ₀₀とノードｎ₀₁₀ が該当するノード
となる。この該当ノードは、以下のルールで定められ
る。 １．あるノードの直下の子ノードの該当金額の合計がそ
のノードの該当金額となる。 ２．あるノードが一度使われた後は、そのノードと連結
する全ての親（先祖）ノード及び子（子孫）ノードは利
用してはならない。 ３．各ノードは、１回以上使用してはならない。

【００７７】このルールに従うと、先の例では、ノード
ｎ₀₀とノードｎ₀₁₀ が使用された後で、使用できるノー
ドは、ノードｎ₀₁₁ のみである。つまり上記のルールに
従うことにより、使用できる合計金額は、額面通り、４
円となると共に、１円単位でどのような使い方でもでき
る。この階層的構造テーブルは、電子現金の額面金額を
大きくし、さらに、利用単位金額を小さくすれば、その
階層が増えることになる。例えば、額面が１万円で、１
０円単位で利用できる電子現金の場合、その階層は、お
よそ１０となる。

【００７８】

【数６】

【００７９】図９は、本発明の第１の実施例の利用者と
小売店間の交信例を示し、図１０は、本発明の第１の実
施例の電子現金支払処理を行う場合の利用者と小売店の
構成を示す。

【００８０】図１０に示す利用者２００の構成は、３つ
の剰余演算器２０２₁ 、２０２₂ 、２０２₃ 、一方向性
関数演算器２０４より構成され、小売店３００は、３つ
の剰余演算器３０２₁ 、３０２₂ 、３０３₃ 、一方向関
数演算器３０４、関数演算器３０５、比較器３０６より
構成される。

【００８１】多くの場合、利用金額に相当する階層構造
テーブルの該当ノードは、複数あるが、各ノードに対応
する処理は、基本的に同じアルゴリズムで行われ、それ
ぞれのノードの処理を並列に行うことができるため、以
下では、１つのノードに対する処理のみを説明する。

【００８２】この該当ノードをｎ_0j1j2...jkとする。

【００８３】ステップ２０１）利用者２００は、まず、 ｍ’（＝ｇ₁ ^usｇ₂ mod ｐ）， sign（ｍ’）＝｛ｚ’，ａ’，ｂ’，ｒ’｝ 及び銀行１００の署名Ｃを小売店３００に送る。

【００８４】さらに、利用者２００は、ｇ₁ ，ｇ₂ ，
ｐ，ｒ_0j1j2...jk,1，ｒ_{0j1j2....jk, 2} を剰余演算器２
０２₁ に入力して以下の値βを求める。

【００８５】 β＝ｇ₁ ^{r0j1j2...jk,1} ｇ₂ ^{r0j1j2...jk,2} mod ｐ． さらに、ｇ₁ 、ｇ₂ 及びノードｎ_0j1j2...jk並びにその
先祖の兄弟のードのｒ−値を剰余演算器２０２₂ 及び一
方向関数演算器２０４に入力し、以下を出力し、これを
βとともに小売店３００に送る。

【００８６】

【数７】

【００８７】ここで、ｂがビット（０もしくは、１）の
ときは、ｂ’はｂを反転させた値を意味する。

【００８８】ステップ２０２）小売店３００は、送られ
てきた情報をｇ₁ ，ｇ₂ ，ｐと共に剰余演算器３０２₁
及び一方向関数演算器３０４に入力し、ノードｎ
_{0j1,j2...j k} の全ての先祖のノードｔ−値を求め、最終
的にｔ₀ を求め、さらに、その値をｇ₁ , ｇ₂ ，ｐとと
もに剰余演算器３０２に入力することにより、Ｔが求め
られる。 小売店３００は、小売店名、時間等の情報を
関数演算器３０５に入力し、その出力αを利用者２００
に送る。

【００８９】ステップ２０３）利用者２００は、秘密情
報ｕ，ｓ並びにαｒ_0j1j2...jk,1，ｒ_0j1j2...jk,1，ｒ
_0j1j2...jk,2，ｑを剰余演算器２０２₃ に入力し、 ｙ₁ ＝ｒ_0j1j2...jk,1＋α（ｕｓ）mod ｑ， （１） ｙ₂ ＝ｒ_0j1j2...jk,2＋αｓmod ｑ （２） を求め、それらを小売店３００に送る。

【００９０】ステップ２０４）小売店３００は、剰余演
算器３０２₂ 、３０２₃ 及び比較器３１１を用いて、ｙ
₁ ，ｙ₂ が以下の関係を満足するかどうかを検証する。

【００９１】

【数８】

【００９２】この検査が不合格のときは処理を中断す
る。この検査に合格すれば、小売店３００はその電子現
金のノードｎ_j1...jk に該当する金額の支払いを正当な
ものとみなし、それを受け取る。

【００９３】（４）決済 最後に小売店３００と銀行１００の間の決済方法につい
て説明する。小売店３００は、利用者２００との電子現
金利用時の交信履歴Ｈを銀行１００に提出し、銀行から
該当する金額の支払を受ける。銀行は、Ｈの正当性を検
査し、検査に合格すれば、Ｈを記憶し、小売店の口座へ
該当する金額を払い込む。銀行は、電子現金の不正利用
を見つけると、Ｈを取り出して、それらの情報より不正
者の秘密情報ｕを算出し、それよりＩ，ＩＤ_P を確定す
る。

【００９４】［第２の実施例］以下に本発明の第２の実
施例を説明する。

【００９５】本発明の第２の実施例は、不正使用を検出
するために、素因数分解に関連する問題の認証方式を用
いて不正者の秘密情報を取得する例である。この方法
は、素因数分解に関連する問題における秘密情報を求
め、この秘密情報により不正利用者のＩＤが露見すると
いうものである。

【００９６】（１）利用許可証の発行処理 まず、銀行１００で口座を新しく開設した利用者２００
が、利用許可証を銀行１００より発行してもらう場合に
ついて説明する。ここで、ＩＤ_P は、利用者２００の識
別情報とする。銀行１００は、利用許可証に対応する情
報として、ＲＳＡディジタル署名で用いる秘密鍵ｄ及び
公開鍵（ｅ，ｎ）の対を作成しておき、公開鍵（ｅ，
ｎ）を公開しておく。ここで、ｎは、素数の積となる合
成数、ｅは、ｎの素因数から１引いた数と互いに素とな
るような整数である。また、秘密鍵ｄは、ｘ＝（ｘ^e ）
^d mod ｎとなるような値である。さらに、銀行１００
は、整数ａ，ｂを公開しておく。

【００９７】一方、利用者２００は、ディジタル署名で
用いる秘密鍵及び公開鍵の対を作成しておき、公開鍵を
ＩＤ_P と対にして公開しておく。

【００９８】利用者２００が銀行１００から利用許可証
を発行してもらう手順は、以下の通りである。銀行１０
０と利用者２００の間の交信例を図１１に示し、利用許
可証発行に関する処理を行う場合の銀行１００と利用者
２００の構成を図１２に示す。図１２に示す利用者２０
０は、２つの乱数発生器２０１₁ 、２０１₂ 、剰余演算
器２０２₁ 、２０２₂ 、署名作成器２０３より構成さ
れ、銀行１００は、剰余演算器１０２を有する。

【００９９】ステップ３０１）利用者２００は、乱数発
生器２０１₁ を用いて乱数ｕを生成して、乱数ｕ、整数
ａ、合成数ｎを剰余演算器２０２₁ に入力し、その出力
Ｉ＝ａ^u mod ｎを署名作成器２０３に入力して利用者の
署名Ｓ（Ｉ）を作成し、ＩとＳ（Ｉ）、ＩＤ_P を銀行１
００に送出する。

【０１００】ステップ３０２）利用者２００は、乱数発
生器２０１₂ を用いて乱数ｓ，ｔを生成し、Ｉ，ｚ，
ｂ，ｕ，ｓ，ｔ，ｅ，ｎを剰余演算器２０２₂ に入力
し、以下の値を出力する。

【０１０１】 ｗ＝ｚ^t ｓmod ｎ， ｍ＝ａ^utｂ^t ｓ^e mod ｎ 以上の手順により、利用者２００は、利用許可証（ｍ，
ｗ）を得る。ここで、ｍ＝ｗ^e mod ｎとなる。

【０１０２】一方、銀行１００は、利用者２００の署名
作成器２０３の出力Ｉとそれに対する利用者２００の署
名を得る。

【０１０３】（２）電子現金の発行処理 次に、利用者２００が銀行１００から電子現金を発行し
てもらう手順を示す。まず、銀行１００は、電子現金の
金額に対応する情報として、ＲＳＡディジタル署名で用
いる秘密鍵ｄ_B 及び公開鍵（ｅ_B ，ｎ_B ）の対を作成し
ておき、公開鍵（ｅ_B ，ｎ_B ）をその金額と共に公開し
ておく。なお、公開鍵のｎ_B は、先に用いたｎと同一で
もよい。ここで、銀行１００と利用者２００の間の交信
例を図１３に示し、この場合の銀行１００と利用者２０
０の構成を図１４に示す。

【０１０４】図１４に示す利用者２００は、２つの乱数
発生器２０１₁ 、２０１₂ 、４つの剰余演算器２０
２₁ 、２０２₂ 、２０２₃ 、２０２₄ 、３つの一方向性
関数演算器２０４₁ 、２０４₂ 、２０４₃ より構成され
る。また、銀行１００は、剰余計算機１０２を有する。

【０１０５】なお、ここで用いるディジタル署名は、ブ
ラインド署名が実行できるものであれば何でもよい。例
えば、Schnorr 法を用いたブラインド署名( 「Okamoto,
T.,"Provably Secure and Practical Identification
Schemes and CorrespondingSignature Schemes", Proce
edings of the Crypto 92, pp. 31-53(1993)」のAppend
ix Bで紹介されている) を用いてもよい。

【０１０６】ステップ４０１）［準備］

【０１０７】

【数９】

【０１０８】の電子現金を発行してもらおうとする利用
者２００は、以下のような事前処理を行う。

【０１０９】まず、乱数発生器２０１₁ を用いて秘密情
報ｅを生成する。次に、（ι＋１）段の階層を持つ木構
造（図７）を考える。今、一方向関数演算器２０４₁ を
用いて、最下位のレベルのノード

【０１１０】

【数１０】

【０１１１】ｎ_0j1j2....jι_,ji ∈｛０，１｝に対応す
る値（ｔ−値）を以下のように求める。

【０１１２】ｔ_0j1j2....jι＝Η（ｅ‖０j1j2...jι) ここで、Ηは、一方向関数を、‖は結合を意味する。各
ｔ−値を分解して３つの値（ｒ−値）を以下のように求
める。 ｔ_0j1j2...jv＝（ｒ_oj1j2...jv,1‖ｒ_oj1j2...jv,2‖ｒ
_oj1j2...jv,3） 次に、上で求めた最下位のノードｔ−値から順次上位の
ノードｔ−値を、剰余演算器２０２₁ 及び一方向関数演
算器２０４₂ を用いて、以下の関係を満足するように求
める。つまり、ノードｎ_0j1j2...jvのｔ−値ｔ
_0j1j2...jv0 は、その２つの子ノードのｔ−値（ｔ
_0j1j2...jv0 とｔ_0j1j2...jv1 ）から以下のように一意
に定まる。 ｔ_0j1j2...jv＝Η（Η（ａ^{r0j1jw...jv0,1}ｂ^{r0j1j2...jv0,2}ｒ_{0j1j2...jv0,3} ^e mod ｎ）‖ Η（ａ^{r0j1jw...jv1,1}ｂ^{r0j1j2...jv1,2}ｒ_{0j1j2...jv1 3} ^e mod ｎ）） ここで、 ｔ_0j1j2....jι₀ ＝（ｒ_0j1j2....jι_0,1 ‖ｒ_0j1j2....jι_0,2 ‖ｒ
_0j1j2....jι_0,3 ）， ｔ_0j1j2....jι₁ ＝（ｒ_0j1j2....jι_1,1 ‖ｒ_0j1j2....jι_1,2 ‖ｒ
_0j1j2....jι_1,3 ）_. この手順を繰り返していくと、最終的に最上位ノードの
ｎ₀ のｔ−値ｔ₀ を求めることができる。

【０１１３】ステップ４０２）利用者２００は、準備で
求めたｔ₀ 及びａ，ｂ，ｎを剰余演算器２０２₂ に入力
して Ｔ＝ａ^r0,1ｂ^r0,2ｒ_0,3 ^e mod ｎ（ｔ₀ ＝ｒ_0,1 ‖ｒ
_0,2 ‖ｒ_0,3 ） を求める。さらに、乱数発生器２０１₂ を用いて、乱数
Ｒをを生成し、Ｔ，ｍを一方向関数演算器２０４₃ に入
力し、Η（Ｔ‖ｍ）を求め、その出力及びＲ，ｎ _B ，ｅ
_B を剰余演算器２０２₄ に入力し、 Ｘ＝Η（Ｔ‖ｍ）Ｒ^eB mod ｎ を出力し、銀行１００に送る。

【０１１４】ステップ４０３）ブラインド情報Ｘを受信
した銀行１００は、Ｘと電子紙幣の金額に対応する秘密
鍵（ｄ_B ，ｎ_B ）とを剰余演算器１０２に入力し、ブラ
インド署名 Ｘ’＝Ｘ^dB mod ｎ_B を求め、それを利用者２００に送付する。同時に、利用
者２００の口座から該当する金額を引き落とすか、利用
者２００から該当する金額を受領する。

【０１１５】ステップ４０４）銀行１００よりＸ’を受
信した利用者２００は、乱数Ｒと銀行１００より受信し
た情報及び公開鍵ｎ_B を剰余演算器２０２₄ に入力し、
銀行１００の署名 Ｃ＝Ｘ’／Ｒ mod ｎ_B ＝（Ｈ（Ｔ‖ｍ））^dBmod ｎ_B を求める。ここで、（Ｔ，Ｃ）が電子現金に相当する。

【０１１６】（３）電子現金の支払 次に、利用者２００が銀行１００より発行された電子現
金を用いて小売店で支払をする場合について説明する。

【０１１７】現金に対する木構造については、先に説明
したものと同一であるため、説明を省略する。

【０１１８】次に、利用者２００と小売店３００間で電
子現金の支払時の交信例を図１５に示し、その場合の利
用者２００と小売店３００の構成を図１６に示す。

【０１１９】利用者２００は、３つの剰余演算器２０２
₁ 、２０２₂ 、２０２₃ と、一方向性関数演算器２０４
より構成される。小売店３００は、３つの剰余演算器３
０２ ₁ 、３０２₂ 、３０２₃ 、関数演算器３０５、比較
器３１１より構成される。

【０１２０】以下では、１つのノード（ｎ_0j1...jk) に
対する処理のみを説明する。ステップ５０１）利用者２
００は、まず、（ｍ，ｗ，Ｃ）を小売店３００に送る。
さらに、利用者２００はａ，ｂ，ｎ，ｒ_0j1j2...jk,1，
ｒ_{0j1j2...jk,2,} ｒ _0j1j2...jk,3を剰余演算器２０２₁
に入力して以下の値βを求める。 β＝ａ^{r0j1j2...jk,1} ｂ^{r0j1j2...jk,2} ｒ_0j1j2...jk,e
^e mod ｎ. さらに、ａ，ｂ，及びノードｎ_0j1j2...jk並びにその先
祖の兄弟ノードｒ−値を剰余演算器２０２₂ 及び一方向
関数演算器２０４に入力し、以下を出力し、これをβと
ともに小売店３００に送る。

【０１２１】

【数１１】

【０１２２】ここで、ｂがビット（０もしくは１）のと
き、ｂ’は、ｂをビット反転させた値を意味する。

【０１２３】ステップ５０２）小売店３００は、送られ
てきた情報をａ，ｂ，ｎと共に剰余演算器３０２₁ に入
力することにより、木構造認証用情報Ｔが求められる。

【０１２４】小売店３００は、小売店名、時間等の情報
を関数演算器３０５に入力し、その出力（質問情報）α
を利用者２００に送る。

【０１２５】ステップ５０３）利用者２００は、秘密情
報ｕ，ｔ，ｓ並びに、α，ｒ_{0j1j2. ..jk,1}，ｒ
_0j1j2...jk,1，ｅ，ｎを剰余演算器２０２₃ に入力し、

【０１２６】

【数１２】

【０１２７】を求め、それらを小売店３００に送る。

【０１２８】ステップ５０４）小売店３００は、剰余計
算器３０２₂ 、３０２₃ 及び比較器３１１を用いてｙ
１，ｙ２が以下の関係を満足するかどうか検証する。

【０１２９】

【数１３】

【０１３０】この検査が不合格のときは、処理を中断す
る。この検査に合格すれば、小売店３００は、その電子
紙幣のノードｎ_j1...jk に該当する金額の支払いを正当
なものとみなし、それを受け取る。

【０１３１】（４）決済 最後に小売店３００と銀行１００の間の決済方法につい
て説明する。小売店３００は、利用者２００との電子現
金利用時の交信履歴Ｈを銀行１００に提出し、銀行１０
０から該当する金額の支払いを受ける。銀行１００は、
Ｈの正当性を検査し、検査に合格すれば、Ｈを記憶し、
小売店３００の口座に該当する金額を払い込む。銀行１
００は、電子現金の不正利用を見つけると、Ｈを取り出
して、それらの情報より不正者の秘密鍵ｕを算出し、そ
れよりＩ，ＩＤ_P を確定する。

【０１３２】最後に、不正使用があった場合の処理につ
いて説明する。

【０１３３】図１７は、不正使用を説明するための図で
ある。不正使用には、以下の２つのパターンがあり、第
１には、木構造の先祖−子孫関係にあるノードを利用し
たとき、図１７において、×印のついている２つのノー
ドＡ，Ｂを利用した場合、第２には、同じノードを２重
に利用した場合とがある。

【０１３４】まず、第１のパターンでは、ノードＢを利
用すると、ノードＢに対応するβ−値及び関連δ値（前
述のステップ２０１）が小売店３００に送られる（最終
的には銀行１００）。これにより、ｔ−値（ｒ−値）を
計算できる。

【０１３５】一方、ノードＡを利用すると、ノードＡに
対応するｙ₁ ，ｙ₂ （前述のステップ２０３）が送られ
る。ノードＡのｒ−値が計算できるので、（１）、
（２）の式より不正者の秘密情報ｕ，ｓが算出できる。

【０１３６】また、第２のパターンでは、同じノードを
２回利用すると、前述のステップ２０３が異なる２つの
値のα（α₁ 、α₂ ）に対して実行される。つまり、
（１）、（２）式がα＝α₁ 、α＝α₂ に対して成立す
る。 ｙ₁₁＝ｒ_...,1 ＋α₁ （ｕｓ） ｙ₂₁＝ｒ_...,2 ＋α₁ ｓ ｙ₁₂＝ｒ_...,1 ＋α₂ （ｕｓ） ｙ₂₂＝ｒ_...,2 ＋α₂ ｓ 以上の４つの連立方程式を４つの未知数ｒ_...,1 、ｒ
_...,2 、ｕ，ｓについてとけば、これらの未知数を求め
ることができる。従って、秘密情報ｕの値を算出するこ
とができる。

【０１３７】

【発明の効果】上述のように、本発明によれば、Chaum
等の方式と同様に、利用者のプライバシを保証でき、か
つ不正使用を検出できる。さらに、本発明では、従来の
chaumらの方法では不可能であった一回発行された電子
現金を発行時に決められた額になるまで、何回も分割し
て利用できるような電子現金方式を実現することができ
る。決められた額以上の支払いを行うと、その不正使用
者のＩＤ並びにその秘密情報を算出することにより、不
正使用の証拠とすることができる。

【図面の簡単な説明】

【図１】本発明の原理を説明するための図である。

【図２】本発明の一実施例のシステム構成図である。

【図３】本発明の第１の実施例の利用許可証の発行処理
を行う場合の銀行及び利用者の構成図である。

【図４】本発明の第１の実施例の銀行と利用者間の交信
の例を示す図である。

【図５】本発明の第１の実施例の銀行と利用者間の交信
例を示す図である。

【図６】本発明の第２の実施例の電子現金の発行処理を
行う場合の銀行及び利用者の構成図である。

【図７】木構造を示す図である。

【図８】三階層の電子現金の木構造を示す図である。

【図９】本発明の第１の実施例の利用者と小売店間の交
信例を示す図である。

【図１０】本発明の第１の実施例の電子現金支払処理を
行う場合の利用者と小売店の構成図である。

【図１１】本発明の第２の実施例の利用許可証の発行処
理時の銀行と利用者間の交信例を示す図である。

【図１２】本発明の第２の実施例の利用許可証発行時の
銀行と利用者の構成図である。

【図１３】本発明の第２の実施例の電子現金の発行処理
時の銀行と利用者間の交信例を示す図である。

【図１４】本発明の第２の実施例の電子現金の発行時の
銀行と利用者の構成図である。

【図１５】本発明の第２の実施例の電子現金支払時の利
用者と小売店間の交信例を示す図である。

【図１６】本発明の第２の実施例の電子現金支払時の利
用者と小売店の構成図である。

【図１７】不正使用を説明するための図である。

【符号の説明】

１００ 銀行 １０１ 乱数発生器 １０２ 剰余演算器 ２００ 利用者 ２０１ 乱数発生器 ２０２ 剰余演算器 ２０３ 署名作成器 ２０４ 一方向性関数演算器 ３００ 小売店 ３０２ 剰余演算器 ３０４ 一方向性関数演算器 ３０５ 関数演算器 ３１１ 比較器 ４００ 通信回線

フロントページの続き (56)参考文献 特開 平４−367070（ＪＰ，Ａ) 特開 平３−73065（ＪＰ，Ａ) 特開 平５−20344（ＪＰ，Ａ) 理想的電子現金方式，電子情報通信学 会技術研究報告，1991年７月15日，Ｖｏ ｌ．91 Ｎｏ．127，ｐ．39−47 Ｕｎｔｒａｃｅａｂｌｅ Ｏｆｆ−Ｌ ｉｎｅ Ｃａｓｈ ｉｎ Ｗａｌｌｅｔ ｗｉｔｈ Ｏｂｓｅｒｖｅｒｓ，Ｌｅ ｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍ ｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏｌ. 773，ｐ．302−318 Ｓｉｎｇｌｅ Ｔｅｒｍ Ｏｆｆ−Ｌ ｉｎｅ Ｃｏｉｎｓ，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏｌ．765，ｐ．292 −301 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 17/60 410 G09C 1/00 660 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (6)

(57)【特許請求の範囲】
1. 【請求項１】 電子現金を発行する機関の装置（以下、
   銀行側装置）と、該電子現金を発行される者の装置（以
   下、利用者装置）及び利用者より電子現金を受領する機
   関の装置（以下、小売店側装置）より構成される電子現
   金システムにおける電子現金流通方法において、 前記利用者装置は、秘密情報ｕをランダムに生成し、該
   秘密情報ｕよりｐ（素数）を法とする剰余演算を用いて
   計算した結果Ｉと該結果Ｉに対する利用者の署名情報を
   前記銀行側装置に送信し、 前記銀行側装置は、前記結果Ｉより剰余演算結果ｍを算
   出し、該銀行装置自身の秘密情報ｘを用いて該剰余演算
   結果ｍに対する銀行の署名ｍ ^x mod ｐを求め、該署名ｍ
   ^x mod ｐの正当性を証明するための情報と共に、前記利
   用者装置に送信し、 前記利用者装置は、前記剰余演算結果ｍを前記銀行側装
   置には隠匿しておくデータｍ’に変形し、最終的に該デ
   ータｍ’の値を該銀行側装置に秘密にしたまま、該デー
   タｍ’に対する銀行側の署名ｍ’ ^x mod ｐをその正当性
   を保証する情報と共に取得し、該データｍ’と該データ
   ｍ’に対する銀行側署名の対を利用許可証とし、 前記利用者が、ある金額の電子現金を前記銀行より引き
   出す場合には、前記利用者装置は、金額に相当する階層
   を持つ木構造の全ノード個々に対応する各々の値（ｔ−
   値）を計算し、 前記木構造の最上位のノードより認証用情報を生成して
   前記銀行側装置に送信し、 前記銀行側装置は、前記認証用情報より引出し金額に対
   応するブラインド署名を作成して、前記利用者装置に送
   信し、 前記利用者装置は、前記銀行側装置から受信した前記ブ
   ラインド署名から木構造認証用情報Ｔと前記利用許可証
   に対する前記銀行の署名を計算して、該木構造認証用情
   報Ｔ及び利用許可証と前記引出し金額に対応する銀行署
   名の対である電子現金を取得することを特徴とする電子
   現金流通方法。
2. 【請求項２】 前記電子現金の発行を受けた前記利用者
   が、小売店で該電子 現金を使用する際に、前記利用者装
   置において、発行金額以内の利用額を定めた後、発行さ
   れた該電子現金に対応した木構造のノード中の利用金額
   に対応するノードＡを定め、該利用者は、該電子現金を
   提示し、 前記利用者装置は、前記ノードＡの兄弟ノード並びに、
   該ノードＡの先祖ノードの兄弟ノードのそれぞれに対応
   する値ｔ−値から剰余演算及び一方向性関数演算により
   求められる値を前記小売店側装置に送信し、 前記小売店側装置は、送信された前記値から木構造認証
   用Ｔを求め、前記利用者装置に質問情報αを送信し、 前記利用者装置は、前記小売店側装置からの前記質問情
   報αに対応した応答文を自分の前記秘密情報ｕから計算
   し、該小売店側装置に送信し、 前記小売店側装置は、前記利用者装置からの前記応答文
   の正当性を確認し、正しければ、前記利用金額の電子現
   金による支払を認める請求項１記載の電子現金流通方
   法。
3. 【請求項３】 前記電子現金の発行を受けた前記利用者
   装置より、前記小売店側装置が受領した電子現金を銀行
   で決済する際に、 後日、前記小売店側装置は決済のために前記銀行側装置
   に前記利用者装置と該小売店側装置間の相互通信文を送
   信し、 前記銀行側装置は、前記相互通信文の正当性を検証し
   て、合格の時には、該相互通信文をメモリに記憶し、 前記電子現金が不正に使用されると、前記利用許可証を
   生成する時に用いた前記利用者の秘密情報を算出する請
   求項１または、２記載の電子現金流通方法。
4. 【請求項４】 前記利用者装置は、秘密情報ｕをランダ
   ムに生成し、該秘密情報ｕより合成数ｎを法とする剰余
   演算を用いて計算した結果Ｉと該結果Ｉに対する利用者
   の署名情報を前記銀行側装置に送信し、 前記銀行側装置は、前記結果ＩよりＩ’を算出し、該銀
   行装置自身の秘密情報ｄを用いて、銀行署名ｚ＝
   （Ｉ’） ^d mod ｎを求め、前記利用者装置に送信し、 前記利用者装置は、前記Ｉ’を該Ｉ’のブラインド値ｍ
   に変更すると共に、該ブラインド値ｍを前記銀行に秘密
   にしたまま、該ブラインド値ｍに対する該銀行の署名ｗ
   を該銀行署名ｚから取得し、該ブラインド値ｍと該銀行
   署名ｗの組（ｍ ，ｗ）を利用許可証とし、 前記利用者がある金額の電子現金を前記銀行から引き出
   す場合に、前記利用者装置は、金額に相当する階層を持
   つ木構造の全ノード個々に対応する値（ｔ−値）を計算
   し、その最上位のノードのｔ−値から素数ｐを法とする
   剰余演算により木構造認証用情報Ｔを求め、該木構造認
   証用情報Ｔに対して、該利用許可証と秘密の乱数により
   認証用情報を生成して、前記銀行側装置に送信し、 前記銀行側装置は、前記認証用情報により、引出し金額
   に相当するブラインド署名を作成し、前記利用者装置に
   送信し、 前記利用者装置は、前記銀行側装置から受信した前記ブ
   ラインド署名から前記木構造認証用情報Ｔと利用許可証
   に対する銀行の署名を計算して、該木構造認証用情報Ｔ
   と該利用許可証と、引出し金額に対応する銀行署名の対
   を、電子現金として受け取る請求項１記載の電子現金流
   通方法。
5. 【請求項５】 前記電子現金の発行を受けた前記利用者
   が、前記小売店で該電子現金を使用する際には、発行金
   額以内の利用額を定めた後に、発行された電子現金に対
   応した木構造のノード中の利用金額に対応するノードを
   定め、 前記利用者装置は、前記電子現金を提示すると共に、該
   当ノードＡに対応する値のｔ−値からｎを法とする剰余
   演算により該当ノードＡの値βを計算し、該βを前記小
   売店側装置に送信すると共に、該ノードＡ、並びに該ノ
   ードＡの先祖ノードの兄弟ノードのそれぞれに対応する
   値（ｔ−値）から剰余演算及び一方向関数演算により求
   められる値を該小売店側装置に送信し、 前記小売店側装置は、送付された値から前記木構造認証
   用情報Ｔを求め、前記利用者装置に質問情報αを送り、 前記利用者装置は、前記小売店側装置からの前記質問情
   報αに対応した応答文を自分の秘密情報ｕから計算し、
   該小売店側装置に送信し、 前記小売店側装置は、前記応答文の正当性を確認し、該
   応答文が正しければ該当利用金額の電子現金による支払
   を認める請求項４記載の電子現金流通方法。
6. 【請求項６】 前記電子現金の発行を受けた利用者より
   前記小売店が受領した電子現金を前記銀行で決済する際
   に、 後日、前記小売店側装置は、決済のための前記銀行側装
   置に、前記利用者装置 と該小売店側装置との間の相互通
   信文を送信し、 前記銀行側装置は、前記相互通信文の正当性を検査し
   て、合格のときは、該相互通信文をメモリに記憶し、 前記電子現金が不正に使用されると、前記利用許可証を
   生成する時に用いた秘密情報を算出する請求項４また
   は、５記載の電子現金流通方法。