JPH0373065A - 電子現金実施方法及びその装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔産業上の利用分野〕 本発明は、電子通信システムを利用して電子的な現金を
実現する電子現金実施方法及びそのための装置に関する
。

（従来の技術） 電子通信システムを使用した電子資金移動が普及しつつ
ある。一般に金融機関（以下の説明ではすべて銀行で代
表する）で換金可能な、例えば手形、小切手等の証書は
、証書のは象徴的機能（証書を保持している人に対して
証書に記載しである権利が供与されること）を備えてい
る。証書を電気通信システムで取り扱う場合、証書はデ
ィジタル化されたデータであり、容易にコピーを作成し
て複数回の換金が可能となる。プリペイドカードのよう
な電子的現金を実現する時にも、このような問題が生じ
る。すなわち、プリペイドカードをコピーすることで、
不正に複数回の換金または商品の購入が可能となる。

この問題の解決策として、計算機能を備えたカードで換
金時にカード読み取り装置とカードとの間のデータのや
り取りを工夫することで、カードの二重使用を検出する
方式が提案されている（例えば、Ｃｈａｕｓ、　Ｆｉａ
ｔ、　Ｎａｏｒ　　：　　Ｕｎｔｒａｃｅａｂｌｅ　Ｅ
ｉｅｃ−ｔｒｉｃ　Ｃａｔｈ　’　Ｐｒｏｃ　ｏｆ　Ｃ
ＲＹＰＴＯ’　８８）。

上述したｃｈａｕｍ等の方式の概要は次の通りである。

なお、以降では利用者の識別情報（口座番号等）をＩＤ
で表わす。

まず、利用者が銀行から一定額面の電子現金を発行して
もらう手順は以下の通りである。

ステップｌ：利用者は、ｋ個の乱数ａｌ（＋＝１、・・
・、ｋ）を生成して公開された一方向性関数ｇを用いて
次式 ％式％） によりＸｉとｙ′ｉを求める。

ここで■は排他的論理和を表わす。

ステップ２：利用者は、公開された一方向性関数ｆを使
用して計算した値ｆ（ｘｉ、）′ｉ）と乱数ｒ、の０乗
との積Ｂｉを次式 ％式％ ・・・、にで計算し銀行に提示する。この処理はｆ　（
Ｘｉ　、　　３′ｉ　）の内容を銀行読まれないように
して結果的にｆ（ｘ＋、ｙｉ）に銀行の署名を得るブラ
インド署名のための前処理である。ここで−ｉにａ　ｌ
１ｏｄ　ｂは整数ａを整数すで割った余りを表わす。

ステップ３：銀行は、利用者にＩＤとそれぞれに／２個
のａｉ　とｒ′ｉを開示させて利用者がステップｌおよ
び２を正しく実行していることを確認する（以下では、
ｉ＝ｌ、・・・、に／２が未開示と仮定して説明する）
。

ステップ４：銀行は、未公開のに／２個のＢ。

の積を取り、ｄ乗して署名りを次式のように計算する。

同時に、利用者の口座から対応する金額を引き落とす。

Ｄ＝ｒｌ　　　Ｂｔｍｏｄｎ ステップ５：利用者は、Ｄから乱数ｒｉの影響を取り除
いた電子現金Ｃを次式で計算する。

この時次式が成立する。

Ｃ−Ｈｆ　　（Ｘｔ　　、　　）′ｉ　　）’　ｍａｄ
　ｎこの処理により得られる電子現金Ｃはｆ（ｘ、。

ｙ＝）に直接銀行の署名を付けたものと等価である。こ
こで、ｅ、ｄおよびｎは銀行によって生成され、次式を
満たす。

ｎ＝ＰＸＱ　（ＰとＱは素数） ｅＸｄ＝１　　（ｓｏｄ　ｆｆ１） 但し、ｚ＝ｔ、ｃＭ（（ｐ−１）、　　（Ｑ−１）１で
あり、ＬＣＭ　（ａ、ｂｌはａとｂの最小公倍数を表わ
す、銀行は電子現金の額面に対応する情報ｅと鍵ｎを公
開し、鍵ｄを秘密に管理する。

利用者が、小売店で電子現金Ｃを利用して支払う手順は
次の通りである。

ステップ６：利用者は、Ｃを小売店に提出する。

ステップ７：小売店は、ランダムなビット列Ｅｉ、　　
・・・、Ｅｋ／ｌを生成して利用者に送信する。

ステップ８：利用者は、ｌ≦ｉ≦に／２なる未開示対象
のｉに対して Ｅ８−１とき、ａｌとｙｉを、 Ｅｉ＝０のとき、Ｘｉと（ａｔΦＩＤ）を小売店に提示
する。

ステップ９：小売店は利用者の応答、公開情報ｅおよび
ｎを用いてＣの正当性が次式により成り立つことを確認
する。

但し１、Ｘｉ　＝ｇ　（ａｉ　　） ｙｔ　　＝ｇ　　（ａｔ　ｅｌ　Ｄ） 小売店と銀行の間の決済方法は次の通りである。

ステップ１０：小売店は、後日、Ｃ，ビット列Ｅｉ、　
　・・・、Ｅｉ７□と利用者からの応答（ａｉと３′ｉ
ｓまたはＸｉと（ａｚ６９１Ｄ））を銀行に提示して、
銀行から該当する金額の支払いを受け用いた次のような
ブラインド署名技法を提案してステップ１１：銀行はＣ
、ビット列Ｅｉ、　　・・Ｅ　ｋ／２とａ　ｉ　　（Ｅ
ｉ　＝　１のとき）または（ａ６■ＩＤ）（Ｅｉ　＝Ｏ
のとき）を記憶する。

こここで示した方式は、■利用者のプライバシイを保障
でき、■二重使用を検出できるという特徴を備えている
。

まず、利用者のブライバシイの保障について説明する。

情報Ｂはｆ　（ｘ、ｙ）を乱数で撹乱したものなので、
銀行および第３者はＢからｆ（ｘｙ）を推定できない。

また、銀行と小売店が結託しても、電子現金Ｃと署名り
の対応を知ることができない。従って、誰がＣを発行し
たかを知ることができない。これによりＣｈａｕｍ等の
方式では、電子現金Ｃの発行元（利用者）を推定できな
いので、利用者の消費動向等のブライバシイを守ること
ができる。以降では、ここで使用した署名の技法を「ブ
ラインド署名」と称することにする。

ブラインド署名の技法としては例えばＣｈａｕｍが米国
特許Ｎα４，７５９，０６３においてＲ３Ａ暗号方式を
いる。

利用者は文書Ｍに対し撹乱乱数ｒを使って次式％式％（
１） で表わされる一方向性関数Ｆ、Ａにより文書Ｍを撹乱し
て撹乱文書Ｗを作成し、銀行に送る。この関数による処
理をブラインド署名前処理と呼ぶ。

銀行は次式（２）で表わされる署名関数り。Ａにより撹
乱文書Ｗに署名して署名付撹乱文書Ωを得て、利用者に
送る。

Ω＝Ｄ、Ａ（Ｗ）−ＷｄＡＩＩＩＯｄｎ・・・（２）利
用者は次式（３）で表わされるブラインド署名後処理関
数Ｈ６Ａにより署名付撹乱文書Ωを処理する。

！（、Ａ（Ω）−Ω／ｒＩＩＯｄｎ・・・（３）ただし
式（１）、（２）、（３）におけるｅＡ＋ｄＡ　、　　
ｎは次の条件を満すものとする。

ｅＡＸｄＡ＝　ｌ　（ｓｏｄ　ｊり ｆ＝ＬｃＭ（（Ｐ−１）、　　（Ｑ−１，））ｎ＝ＰＸ
Ｑ ＰとＱは素数であり、ＬＣＭ　（ａ、ｂｌはａとｂの最
小公倍数を表わす。ｄＡは秘密鍵であり、ｅＡ及びｎは
公開鍵である。

上式（３）は次のように変形できる。

Ｈ−Ａ（Ω）　＝Ｈ，Ａ　（Ｄ、Ａ　（Ｆ、Ａ　（Ｍ）
　）　１ミ（ｒ″＾×Ｍ）４＾／ｒ ＢｒｅＡＸｄ＾Ｘ　Ｍ　ｄ＾／ｒ ＝Ｍ”　（ｎ＋ｏｄ　ｎ） ・　・　・（４） 式（５）の右辺は明らがｋ式（２）の中のＷをＭに置き
替えたものである。従って次式 ％式％（５） が成立する。これら式（１）、（２）、（３）がブライ
ンド署名の手順を示しており、そのブラインド署名が可
能であることを式（４）が証明している。即ち署名付撹
乱文書Ωをブラインド署名後処理関数Ｈ１により処理す
ることによって署名付撹乱文書Ωから撹乱乱数ｒの影響
を除去することができ、従って銀行が文書Ｍを直接署名
関数ＤａＡにより署名したものと同じ署名付文書り。（
Ｍ）が得られる。

次に、二重使用の検出について説明する。銀行は小売店
から送られてきたＣをすでにメモリに蓄積されているす
べてのＣと比較し、同じＣが２回使用されてないかチエ
ツクする。利用者が不正にＣを２回使用すると、１回目
のＣに対応じてＥ。

＝１の時ａ！がＥｉ＝０の時（ａｔＯＩＤ）が銀行のメ
モリ内に記憶されているので、１回目のＥ８と２回目の
Ｅｉが異なる場合には、ａｔＯ（ａｔＯＩＤ）を計算し
てＩＤが求まる。銀行はに／２ビットの問い合わせをす
るので、１回目と２回目のＥｉが全ビット（ｉ＝１〜に
／２）で一致する確率、即ち二重使用されたＣからそれ
を使用した利用者のＩＤを計算できない確率は２−に／
２となる。

〔発明が解決しようとする課題〕

上述したＣｈａｕｍ等の方式では、二重使用に対する安
全性を保障するために関数ｆとｇが一方向性であること
に加えて、２戒分の不干渉性、即ちＺ−ｆ（χ、　　ｙ
）　＝ｆ　（ｘ’、　　ｙ’）を満たす（ｘ、ｙ）と（
Ｘ・、ｙ・）を見つけることが困難なことが必要である
。ところが、このような２成分の不干渉性を満足する一
方向性関数の構成方法については現在知られていない。

本発明は、上記に鑑みてなされたもので、その目的とす
るところは、特殊な条件を備えた関数ｆを用いることな
く、二重使用を検出することができるとともに、また利
用者のブライバシイを保障することができる電子現金実
施方法とその装置を提供することにある。

［課題を解決するための手段］ 本発明の電子現金方式は、銀行が発行する電子現金を利
用者が使用し、この電子現金を小売店が受領して銀行と
の間で決済する電子現金処理における電子現金実施方法
であって、 利用者は、利用者の識別情報（ＩＤｒ）を裸のまま含ん
だ秘密情報（Ｓｉ）から利用者情報（■、）を生威し、
その利用者情報（Ｖｉ）又はそれを含む情報（Ｍｌ）を
ブラインド署名前処理器により撹乱して撹乱利用者情報
（Ｗｉ）を生威し、銀行に送信する。

銀行は、署名器を使って撹乱利用者情報（Ｗｉ）に署名
し、その署名付撹乱利用者情報（Ω、）を利用者に送信
する。

利用者は、ブラインド署名後処理器を使用して銀行から
受信した署名付撹乱利用者情報から撹乱を除去すること
により銀行の署名が付いた署名付利用者情報（Ｂ□又は
Ｂｉ又はＢ）を得る。

利用者は乱数情報（Ｒｉ　）から第１通信文計算器を使
用して認証用情報（Ｘｉ）を生威し、その認証用情報又
はそれを含む情報ｍをブラインド署名前処理器により撹
乱して撹乱認証用情報（Ｚｉ又はＺ）を生威し、銀行に
送る。

銀行は署名器を使って撹乱認証用情報（Ｚｉ又はＺ）に
署名し、その署名付撹乱認証情報（■ｉ又はｅ）を利用
者に送る。

利用者はブラインド後処理器を使って署名付撹乱認証用
情報から撹乱を除去することにより銀行の署名が付いた
署名付認証用情報（Ｂｉｉ又はＣ）を得る。

利用者は小売店での支払い時に利用者情報、認証用情報
、署名付利用者情報、及び署名付認証用情報を電子現金
として提示する。

小売店は、検査器を使用して署名付利用者情報と署名付
認証用情報の妥当性を検査する。また小売店自身の情報
により作成した問い合わせ文ｑｉを利用者に送る。利用
者は小売店からの問い合わせに対して秘密情報（Ｓｉ）
と乱数情報（Ｒ４）と問い合わせ文とを使って応答文（
Ｙｉ）を作成し、小売店に提示する。

小売店は応答文を検査することによって利用者情報と認
証用情報が利用者自身のものであることを確認し、電子
現金を正当なものであると判定する。小売店は決済のた
めに銀行に利用者の提示した情報と共に問い合わせ文と
それに対する応答文を送信する。

銀行は、検査器を使用して署名付利用者情報と署名付認
証用情報の妥当性を検査して、合格の時には受信した利
用者情報と認証用情報の組と同じものが既にメモリ内に
蓄積されている情報の中にないか検査し、あった場合は
それら２＆［ｌの利用者情報と認証用情報に対応する問
い合わせ文と応答文から利用者の秘密情報を算出して利
用者を同定し、同じ組がなかった場合は小売店から受信
した情報をメモリに蓄積する。

〔作用〕

このようにこの発明によれば識別情報を含んだ秘密情報
から作られた利用者情報と乱数情報から作られた認証用
情報とに対し、それぞれ別々にブラインド署名をするよ
うにしたため利用者情報及び認証用情報を作成するため
の関数には成分の不干渉性の問題は生じない。従って所
望の関数を構成することができる。

更に１度得た署名付利用者情報を銀行が発行した利用許
可証（Ｂｒ又はＢ）として使い、必要毎にに認証用情報
Ｘｉと利用許可証を連結した情報に対し、銀行にブライ
ンド署名させて得た前記署名付認証用情報を銀行が発行
した電子コインとして使うようにすれば電子コインの発
行処理手順を簡略化でき、しかも電子コインを譲渡した
り及び／又は複数回使用したりすることも可能となる。

以下、図面を用いて本発明の詳細な説明する。

第１図は本発明の各実施例に係わる電子現金方式が適用
される銀行（ＲＡＮに）、利用者（ＵＳＥＲ）および小
売店（ＳＨＯＰ）の関係を示す構成図である。

第１図において、銀行１００、利用者２００および小売
店３００は例えば通信回線等を介して接続されているが
、情報を記録できる例えばＩＣカードを介しての接続で
あってもよい。

〔第１実施例］ 銀行１００は、利用者２００の電子現金発行要求に応じ
て利用者２００の身元をｎ認して利用者の口座から電子
現金に対応する金額を引き落とすか、又は利用者２００
から現金を受領した後に、そのことを証明する証拠（電
子現金を構成する情報の一部である後述する署名付利用
者情報と署名付認証用情報）を利用者２００にブライン
ド署名の技法を用いて発行する。

利用者２００は、小売店３００に対する支払い時に証拠
を小売店３００に提出し、かつ小売店３００からの問い
合わせに対して利用者情報と認証用情報をそれぞれ生成
する時に用いた秘密情報と乱数情報から応答文を生成し
て小売店に提出して支払いを済ます。

次に、利用者識別情報としてＩＤＰを用いる利用者２０
０が電子現金を銀行１００から発行してもらう場合につ
いて詳細に説明する。

まず、銀行は電子現金発行手順において使用されるブラ
インド署名の技法にここではＲ５Ａ暗号を使うため、必
要な各種パラメータを次の条件を満たすように決定する
。

ｎ＝ＰＸＱ ｅＸｄミ１　（ｓｏｄ　ｆ） 但し、ｆ＝ＬｃＭ　（（Ｐ−１）、（Ｑ−１））でｅ、
ｄおよびｎを計算して、鍵ｅおよび鍵ｎを公開し、鍵ｄ
を秘密に管理する。銀行が発行する電子現金の額面は一
定であり、公開鍵ｅはその金額に対応じている。

ここで、ＬＣＭ　（ａ、ｂ）は整数ａとｂの最小公倍数
を表わし、ＰおよびＱは相異なる２つの大きな素数とす
る。また、ａミｂ　（ａａｏｄ　ｊりは、ａｂがｌの整
数倍であることを表わす。このような各種パラメータの
決め方は、例えば　Ｒ，Ｌ。

Ｒｊｖｅｓｔ　ｅｔａｌ、　”Ａ　Ｍｅｔｈｏｄ　ｊｏ
ｒ　Ｏｂｔａｉｎｉｎｇ　ＤｉｇｉｔａｌＳｉｇｎａｔ
ｕｒｅｓ　ａｎｄ　Ｐｕｂｌｉｃｋｅｙ　Ｃｒｙｐｔｏ
ｓｙｓｔｅｍｓＣｏｍｍｕｎｉｃａｔｉｏｎｓ　ｏｆ　
ｔｈｅ　ＡＣＭ　Ｖｏｌ、　２１．Ｎｎ２．　ｐｐ１２
０１２６、１９７８に記載されている。

次に利用者２００は、自分の識別情報１０．を裸のまま
埋め込んだ秘密情報Ｓｉから利用者情報Ｖｉをあらかじ
め決めた第１の一方向性関数に従って生威し、乱数情報
Ｒ，から認証用情報Ｘｉを前記第２の一方向性関数に従
って生威する。利用者は銀行にブラインド署名の技法を
用いてＶｌ　とＸｉに署名をつけさせる。ここで、ブラ
インド署名を用いている理由は、小売店と銀行が結託し
ても利用者のブライバシイを保障できるようにするため
である。この発明で重要なことの１つは秘密情報Ｓｉが
未加工の識別情報ＩＤＰを含んでいることである。

以下に説明する銀行と利用者間の処理におけるブライン
ド署名はＣｈａｕ＋ｉの米国特許に４，７５９，０６３
に開示されているブラインド署名技法と同様に、Ｒ３Ａ
暗号（前述したＲｉｖｅｓｔ等の論文参照）を利用した
場合であるが、対話型の認証方式を用いるブラインド署
名（例えば、米国出願Ｎα３６７．６５０（１９８９年
６月１９日出願）参照）を使ってもよい。

利用者が銀行から電子現金を発行してもらう手順を第２
図Ａに示し、利用者２００及び銀行１００の構成を示す
ブロック図をそれぞれ第３図及び第４図に示す。なお、
以下の説明でばｉ−１，・・・ｋとする。

ステップＳ２　：利用者は、乱数発生器（ＲＡＮＤＯＭ
ＧＥＮ）　２１１を用いて乱数ａ８を生威し、識別情報
ＩＤＰとともに署名器（ＳＬＧ　ＥＧＩ）　　２１２に
供給する。署名器２１２はａ！とＩＤｐの連結に利用者
の署名を付けるものであり、その署名付出力ｇ！はｇｉ
　＝ｃ　（ａａ　　ＩＩ　ＩＤｐ　）と表わされ、Ｇは
署名関数である。記号１１は連結を表わし、例えば０１
１１０１１１１０＝０１１１０１１０である。

ステップＳ２　：乱数発生器２１１の出力ａ、と署名器
２１２の出力ｇｒをＩＤアとともに連結器（ｃＯＮＧ）
　２１３に入力して、秘密情報Ｓ！を作成する。秘密情
報Ｓｉは次式で示すようにＩＤｐ、乱数ａ、及び署名ｇ
、の連結であり、従って識別情報ＩＤｐを裸のまま含ん
でする。

Ｓｉ　””　Ｉ　Ｄｒ　　Ｉｆ　ａｔ　　ＩＩ　ｇ＝　
　　　・＝（６）また素数発生器（ＰＲＩＭ　ＧＥＮ）
　　２２１を用いて、２つの素数Ｐ、、Ｑ′ｉを生威し
、乗算器２２２を用いて素数Ｐ、とＱｌの積Ｎｉを求め
る。

ステップＳ３　：素数り８．連結器２１３の出力Ｓｉと
乗算器（ＭＵＬ）　２２２の出力である素数積Ｎ。

から、剰余付きべき乗計算器（ＭＯＤ−ＰＯＷＥＲ）　
２２３を用いて第１の一方向性関数である次式で与えら
れる利用者情報 Ｖｉ　　−Ｓｉ口　　−ｏｄ　　Ｎｌ　　　　　　　　
−（７）を計算する。

一方乱数発生器（ＲＡＮＤＯＭ　ＧＥＮ）　２２４を用
いて生成した秘密の乱数情報Ｒ４、乗算器２２２の出力
Ｎ　および素数Ｌ　から、剰余付きべき乗計算器（ＭＯ
Ｄ−ＰＯ圓ＥＲ）　２２５を用いて第２の一方向性関数
である次式で与えられる認証用情報 Ｘム＝Ｒｔ”　　ｓｏｄ　Ｎｌ　　　　・・・（８）を
計算する。ＬｉとＮ（は式（７）、　（８）で表わせる
一方向性関数を構成するパラメータとして使われるので
パラメータ情報と呼ぶ。

ステップＳ４ニブラインド署名前処理としてＶｌとＸｉ
をそれぞれ撹乱乱数ｒｉとｒ・１で撹乱するための前処
理関数はそれぞれ一方向性関数であり一般に下で次のよ
うに表わすが必ずしも同じ形である必要はない。

ｗｔ　＝Ｆ＊　　（ｒｉ　、ｖｔ　）　　　　　・・・
（９）Ｚｉ　＝Ｆｌｌ　　（ｒ′ｉ、Ｘ＋　ｌ　　　　
　−００第２Ａ図及び第３図に示す実施例においてはこ
の前処理を次のように行う。即ち乱数発生器（ＲＡＮＤ
ＯＭ　ＧＢＮ）　　２２６の生成した撹乱乱数ｒｉ　と
剰余付きべき乗計算器２２３の生成したＶｌと公開鍵ｅ
とｎから剰余乗算・べき乗計算器（ＭＯＤＭＯＬ／ＰＯ
ＷＥＲ）　２２７を用いて、次式で表わされる撹乱利用
者情報 Ｗ　！　　＝Ｆ＊　　（ｒｔ　　、　　　Ｖｔ　　）　
　＝ｒｔ　　ｘｖｉ　　＋ｗｏｄ　　ｎ　　　　−Ｑ　
υを計算する。

一方乱数発生器２２６の生成した撹乱乱数ｒ′ｉと剰余
付きべき乗計算器２２５の生成したＸｉと公開鍵ｅとｎ
から、剰余乗算・べき乗計算器（ＭＯＤ−ＭυＬ／ＰＯ
ＷＥＲ）　２２　Ｂを用いて、次式で表わされる撹乱認
証用情報 Ｚｔ＝Ｆ＊　（ｒＺ＋Ｘｔ　）＝ｒ′ｉＸＸ＋ｍｏｄ　
ｎ　　−・・０７Ｊを計算する。

計算したＷｉとＺＩを銀行に送信する。

ここで、乱数発生器２２６、剰余乗算・べき乗計算器２
２７，２２８はブラインド署名前処理葬２ＯＡを構成し
ている。

ステップＳｉ：銀行は利用者２００からＷｉと２′ｉを
受信すると、メーＦ−リ（ＭＥＭ）　１０１　、　１（
１２にそれぞれ記憶する（第４図参照）。

次に銀行１００は利用者にに／２組の（Ｓｉ。

Ｒｉ　＋　　ｒｉ　ｙ　　ｒコ、　Ｌｉ　、　Ｎｉ　）
を開示させて、利用者が各秘密情報Ｓｉに本人の識別情
報■ＤＰを正しく入れていることを認識し、かつステッ
プＳ３からステップＳ４を正しく実行していることを以
下の手順により確認する。

ステップＳｉ：銀行は利用者に対し開示要求するに／２
組の情報（Ｓ８．　Ｒ４、ｒｉ　　ｒ　’ｔ　＋し３．
Ｎｉ）を指定するｉＪグループＵ＝（ｊ＝１、・・・ｋ
／２）を決め、そのｉ、グループＵ＝（ｉｊｌ　　＝ｌ
、・・・、に／２）を利用者に送る（以下ではｉ＝ｌ、
・・・、に／２）が未開示と仮定して説明する）。

ステップＳｉ：利用者は、銀行から開示要求を受信する
と、銀行の指定するｉに対応するに／２組の（Ｓｉ、Ｒ
ｉ、ｒｉ、ｒ′ｉ、Ｌｉ、Ｎｉｌを銀行に送る。

銀行は、ｉが開示対象の時、次のステノブＳ。

〜Ｓｉ゜の手順を行う。

ステップＳｓ：ｉを開示′対象とした時、Ｓｉ中の所定
の位置にＩＤｐが入っていることを確認し、利用者２０
０から受信した（Ｓｌ、Ｒｉ，Ｌｉ。

Ｎｉ　）から、剰余べき乗計算器（ＭＯＤ−ＰＯ囚ＥＲ
）１１１及び１２１を用いて、 ｙ’、　　＝Ｓｉ　　ｍｏｄ　　Ｎｉ Ｋｒ　　＝Ｒｉ　　ｍａｄ　　Ｎｉ を計算する。

ステップＳｉ：剰余べき乗計算器１１１　、１２１の出
カシｉ、　＋　ｒｉ　、受信したｒｉ　、　ｒ′ｉ　と
公開鍵ｅとｎから、剰余乗算・べき乗計算器（ＭＯＤ−
ＭＵＬ／ＰＯＩＩＥＲ）　１１２．　１２２を用いて、
Ｗｉ　　＝ｒ、　　ＸＶ′ｉ　　ｍｏｄ　　ｎＺ’ｒ　
　＝ｒ！ＸＸ’＋　　ｓｏｄ　　ｎを計算する。

ステップＳ＋ｏ：メモリ１０１内の値Ｗｉ、と剰余乗算
・べき乗計算器１１２の出力Ｗｉ、を比較器（ＧＯＭＰ
）　１１３において比較する。またメモリ１（１２内の
値Ｚ！と剰余乗算・べき乗計算器１２２の出力Ｚｉを比
較器（ＧＯＭＰ）　１．２３において比較する。

このように銀行は、ｋ／２個のすべてのｉについて検査
して、いずれかの検査に不合格のときには、以降の処理
を中止する。すべての検査に合格のときには、銀行は利
用者の口座から該当する金額を引き落とすか、利用者か
ら該当する金額を受領すると、開示対象でないｉに対し
て次の手順を行う。

ステップＳｉ：公開鍵ｎと秘密ｗｌｄとメモリ１．０１
，１（１２上のＷｉ、、Ｚｉから、剰余べき乗計算器（
ＭＯＤ−ＰＯＷＥＩ＋）　　１３１　、　１４１を用い
て、次式で表わされる署名付撹乱利用者情報Ωｉと署名
付撹乱認証用情報ｅ′ｉをそれぞれ計算し、Ω□と８′
ｉを利用者に送る。

Ｒｉ　　−Ｄｅ　　（Ｗ＋　　）　　＝Ｗｉ　　ｍｏｄ
　　ｎ　　　　−・・Ｏ３）＠＋　　−Ｄｅ　　（Ｌｉ
　　）　　＝Ｚｉ　　ｎｏｄ　　ｎ　　　　＝・Ｑａこ
こで、弐〇３）、０４）で表わされる処理が銀行がＷｉ
と２１に対し行った署名であり、Ｄ′ｉを署名関数と呼
ぶ。剰余べき乗計算器１３１，１４１は署名器１．ＯＡ
を構成する。

ステンプＳｉ□二利用者は、銀行からΩ□と０゜を受信
すると、Ω、と０８から撹乱乱数ｒｌ　とｒ゛、の影響
を取り除いて、銀行の署名の跡が残っている署名付利用
者情報Ｂｖ、と署名付認証用情報ＢＸＩを計算するため
に銀行から受信したΩ、、ｅ。

と乱数発生器２２６の生成した撹乱乱数ｒｉ。

ｒｉ１　と公開鍵ｎから、剰余除算器（ＭＯＤ−ロＩＶ
）　２３Ｌ２３２を用いて、 Ｂｖｉ−Ｈａ　　（ｒｔ　、Ωｉ）＝Ωｉ　／　ｒ　ｔ
　　ｍｏｄ　　ｎ・・・０つ Ｂｘｉ＝Ｈａ　　ｂ’ｔ　、ｅｔ　ｌ　−ｅｒ　／ｒコ
　ｓｏｄ　　ｎ・・・（１６） を計算する。

ここで弐０５）に式００とθつを代入し、式００に弐Ｇ
２）とα滲をそれぞれ代入すると次式が成立する。

ミＶｉｌ１ｏｄ　ｎ、＝Ｄａ　　（Ｖｔ　）ミＸＩ　　
＋ｍｏｄ　　ｎ　　＝Ｄｅ　　　（Ｘｉ　）上記２つの
式は銀行から受信した署名付撹乱利用者情報Ω、と署名
付撹乱認証用情報ｅ′ｉを関数Ｈ，で処理すると、銀行
がＶｉ、Ｘｉに対し直接署名関数り、により処理を行っ
た結果り、（Ｖｉ）。

Ｄ、（Ｘｉ）が得られることを示している。即ち、関数
ＨｏはΩｉｉｉから撹乱乱数ｒム、ｒ゛、の影響を除去
する。この撹乱乱数ｒｉ、ｒ’、の影響を除去する処理
をブラインド署名後処理と呼び、関数Ｈｌを後処理関数
と呼ぶ、除算器２３１と２３２はブラインド署名後込埋
葬２０Ｂを構成している。利用者は情報の組（Ｖｚ　、
Ｂｖｉ、ＸｉＢｘｉｌを電子現金として使用する。

次に、利用者が電子現金を用いて小売店で支払いをする
場合について説明する。利用者と小売店との間の処理手
順例を第２Ｂ図に示す・また・小売店２００のブロック
構成を第５図に示す。

ステップＳｉ．二利用者は電子現金（Ｖ８．　Ｂｖｉｌ
Ｘｉ　、　　ＢＸｉ）　とパラメータ情報（Ｎｉ、Ｌｉ
）を小売店に送る。

ステンブＳ【４：小売店は電子現金（Ｖｉ　、　Ｂｖｉ
。

χｉ　、　Ｂｘｉｌと情報（Ｎｉ　、Ｌｉ　ｌを受信す
ると、それらをメモリ（ＭＥＭ）　　３０１に記憶する
と共に剰余べき乗計算器（ＭＯＤ−ＰＯＷＥＲ）　　３
１１．　３１２を使用して次の検証式ＶＦ。

Ｖｉ　　＝ＶＦａ　　（Ｂｖｉｌ　　＝Ｂｖ４　　ｎｏ
ｄ　　ｎＸ’ｔ　　−ＶＦａ　　（Ｂｘｉ）　　＝Ｂｘ
ｔ　　ｎｏｄ　　ｎを計算する。

ステップ５１５７比較器（ｃＯＭＰ）３１３．　３１４
によりそれぞれに／２個の計算結果ゾ２．テ、と利用者
から受けたＶｉ、Ｘｉがそれぞれ互いに等しいか検査す
る（ｔ＝ｌ、　・・・、　　ｋ／２）。これによって署
名付利用者情報Ｂｙ□及び署名付認証用情報ＢＸｉに付
けられている署名は確がｋ銀行の署名であるか判定でき
る。

ステソブＳＩ６：に／２個の検査に合格すると、乱数発
生器（ＲＡＮＤＯＭ　Ｇ［！Ｎ）　３２１を使用して乱
数γ３をに／２個生生成てメモリ３０１に記憶して、店
のＩＤｖ、時間も、乱数γ′ｉを問い合わせ文ｑｉとし
て利用者に送信する。同時に、公開された一方向性関数
ｆを計算するｆ−計算器（ｆ−ＣＡＬ）３２２を用いて
、 Ｅｉ　−’ｆ　（ＩＤＶ　、ｔ　、γ３）を計算する。

以後では０＜Ｅｉ＜Ｌｉが戒り立つものとする。

ステップＳＩ□：利用者は、小売店からｑｉ＝（ＩＤＶ
ｉｔ、γ、）を受信すると、公開された一方向性関数ｆ
−計算器（ｆ−ＣＡＬ）　２４１を用いて、 Ｅｉ　＝ｒ（Ｑｉ　）　＝ｆ　　（ＩＤｖ　＋ｔ　、Ｔ
Ｉ　）を計算する。

ステップ５Ｉｌｌ：連結器２１３の出力Ｓ８、乗算器２
２２の出力Ｎ１、乱数発生器２２４の出力Ｒ４およびｆ
−計算器２４１の出力Ｅｉを剰余乗算・べき乗計算器（
問Ｄ−ＰＯＷＥＲ）　　２４２に入力して一方向性関数
である次式により Ｙ　ｔ　＝Ｒｒ　×Ｓ　１　　ｍｏｄ　　Ｎｉ　　・０
７）応答文Ｙｉを計算して、小売店に送信する（ｉ＝１
、・・・、に／２）。

ステップＳｉ．：小売店は利用者から応答文Ｙ。

を受信すると、Ｙｉの正当性を、剰余乗算・べき乗計算
器（ＭＯＤ−ＭＵＬ／ＰＯＷＥＩＩ）　　３３１を用い
て、ＡＨ−ＸＨＸＶＬ　　＠ｏｄ　　Ｎｌ　　　・＝０
８）を計算し剰余べき乗計算器（ＭＯＤ−ＰＯＷＥＲ）
　　３３２を用いて、 Ａ’１＝Ｙｉ　　ｍｏｄ　　Ｎｉ　　　　　　、、・０
９を計算する。

ステップＳ２゜：比較器（ｃＯＭＰ＞　３３３を用いて
Ａ。

とＡ′ｒが一致することを確認する。（ｉ＝ｌ、・・・
ｋ／２）。

ここで、剰余べき乗計算器３１１，３１２、比較器３１
３，３１．４は利用者情報Ｖｉと認証用情報Ｘｉの正当
性を検査する検査器３０Ａを構威し、ｆ−計算器３２２
、剰余乗算・べき乗計算器３３１、剰余べき乗計算器３
３２及び比較器３３３は応答文Ｙｉの妥当性を検査する
検査器３０Ｂを構成する。上述では各ステップＳＩ６〜
Ｓ２゜においてすべてのｉ　（ｉ”１．・・・、　　ｋ
／２）についての処理を行うように説明したが、各ｉに
ついてステップＳｌ＆〜Ｓ２゜を繰返すように処理を行
ってもよい。

最後に、小売店と銀行との間の決済方法について説明す
る。小売店と銀行との間の処理手順例を第２Ｃ図に示す
。

ステップＳ２１：小売店は、後日、メモリ３０１内の電
子現金情報｛Ｖｉ、Ｘｔ　、Ｂｖｉ、Ｂｘｔ）と、パラ
メータ情報（Ｎｔ　、Ｌｉ　）と、問い合せ文（ｒＩ）
ｖ、　　ｔ、、　　Ｔｉ　）と応答文Ｙｉを銀行に提出
するＮ＝ｌ、　・・・、　　ｋ／２）。

ステップＳｚｚ：１！行は小売店から（Ｎｔ　、　　Ｌ
ｉ　。

Ｖｉ　、Ｘｔ　、Ｂｖｉ、Ｂｖｉ、ＩＤｖ　、ｔ、ｒｉ
　。

Ｙｉ　）を受信すると、公開鍵ｅとｎを剰余べき乗計算
器（ＭＯＤ−ＰＯＷＥＩ？）　　１．５１　、　１５２
に入力して、次の検証式ＶＦ。

ゾ＋　　−ＶＦ＊　　（Ｂｖ＋ｌ　＝Ｂｙｔ　ｍｏｄ　
　ｎＸ’＋　　＝ＶＦ、　　（Ｂｘｉ）　＝Ｂｘｉ　ｓ
ｏｄ　　ｎを計算する。

ステップＳ０：計算したＶ′ｉ　、　Ｘ’ｔが受信した
Ｖｉ、Ｘｉとそれぞれ等しいか比較器（ｃＯＭＰ）　１
５６゜１５７により検査する（ｉ＝ｌ、・・・、　　ｋ
／２）。これらが等しければＢｖｉ＋　　ＢＸｉに示さ
れている署名は確がｋ銀行のものであると判定する。従
って署名が付けられている情報ｖ、’、ｘ、も信頼でき
るものであると判定する。

ステップＳ！４：すべての検査に合格すると、公開され
た一方向性関数ｆを計算する「−計算器（ｆ　−ＣＡＬ
）　１．５３を用いて、Ｅ（＝ｆ　（ＩＤｙ　、ｔ、ｒ
ｉ　） を計算して、剰余乗算・べき乗計算器（ＭＯＤ−ＭＵＬ
／ＰＯＷＥＩ＋）　１５４を用いて、 Ａｔ　＝ｘ、　ｘｖ、　　ｌ１ｏｄ　　Ｎｔを計算し、
剰余べき乗計算器（ＭＯＤ−ＰＯＷＢＲ）　　１．５５
を用いて、 Ａ′ｉ　＝Ｙ！　　ＩＩｏｄ　　Ｎ６ を計算する。

ステップＳｚｓ：比較器（ＧＯ？ＩＰ）　１５　Ｂを用
いてＡ、とＡ　ｉが一致することを確認する（ｉ＝１゜
・・・、　　ｋ／２）。これによってＥｉとＹｉ　も信
用できるものであることがわかる。

ステップＳｎ：小売店から提出された（Ｎｉ　。

Ｌ＋　、Ｖｒ　、Ｘｔ　、Ｅｔ　、Ｙｉ　）Ｈ＝’、・
＝に／２）をメモリ（ＭＥＭ）　　１６１に記憶して、
店ＩＤｖの口座へ該当する金額を払い込む。

以上では、高次根のべき乗根の計算の困難性に基づく対
話型の認証方式に基づく方式について実現例を説明した
が、Ｍ、Ｔｏｍｐａ　ａｎｄ　Ｈ，Ｗｏｌｌの゛’Ｒａ
ｎｄａ端５ｅｌｆ−Ｒｅｄｕｃｉｂｔｌｉｔｙ　ａｎｄ
　Ｚｅｒｏ　Ｋｎｏｗｌｅｄｇｅ　Ｉｎｔｅｒａｃｔｉ
ｖｅ　Ｐｒｏｏｆｓ　ｏｆ　Ｐｒｏｓｓｅｓｓｔｏｎ　
ｏｆ　ＩｎｆｏｒｍａｔｉｏｎＴｈｅ　Ｐｒｏｃ、　ｏ
ｆ　ＦＯＣ３，１９８７ｐｐ、４７２−４８２で示され
ているような他の対話型の証明方式においても同様の方
式が実現できる。

なお、一般に対話型の認証方式は、健全性（１組のＶｉ
とＸｉに対して２組の正しいＥｉとＹ。

が求まるとき、■、に対応する秘密情報Ｓｉが計算でき
る）を満たすので、■、とＸｉの同じ組を２回以上使用
すると、利用者のＩＤｐが露見する。

次に電子現金の不正な二重使用の検出について証明する
。

前述のように利用者２００が小売店３００に対し電子現
金を使用すると、小売店３００は問い合わせ文Ｑｉ　＝
　（ｉｌ：ｈ　、ｔ、１４　）を利用者２００に与える
。この問い合わせ文ｑｉの内容としては識別情報ｒＤ、
、時間を及び乱数γ、が使われているので、異なる小売
店ではＩＤＶが異なり、同じ小売店でも時間が異なれば
ｔが異なる。従って利用者が同一電子現金を不正に２回
使用するとそれらに対し小売店から与えられる問い合わ
せ文（ｔｐｖ、ｔ、ＴＩ）の内容のいずれかは必ず異っ
ているのでＥｚ　＝ｆ　（ＩＤｖ　、ｔ、Ｔｔ　）も異
なると期待できる。従って式０′Ｉ）から明らかなよう
にそれに対する応答文Ｙｉも異なる。その結果、電子現
金が２回使用されると銀行は１回目と２回目の同一のＶ
ｉとＸｉの組に対し異なる２＆ＩｌのＥｉとＹｉを得る
ことになる。これら２組を（Ｅｉ。

Ｙｉ　）、（Ｅ’ｌ　、　Ｙ’ｌ　）とするとこれらは
いずれもステップＳ＋＊、Ｓｉ６の検査穴〇８）、　０
９）を満足したので次式 ％式％ が得られ、更にＳｉミＶｉ　（鵬ｏｄＮｔ）が成立つの
で次式が得られる。

ここで、Ｌｉが素数なのでり、とＥｉ　　Ｅ′ｉが互い
に素となり α×Ｌ＋βＸ　（ＥｉＥ′ｉ　）　＝１　　　　・・・
（２４）を満足する整数αとβを、ユークリッドの互除
法を用いて計算することができる。従ってＪ　　　　Ｍ
　　ｘＬ＊Ｉ　　ｘ　　ｌ！ｊ−！’１）Ｖ（ｘ　（Ｙ
＝　Ｘ’ｙ’＋　）　ミ５ｉ＝３＋　（ｓｏｄ　Ｎｔ　
）・・・（２５）となるのでＳｉを計算できる。秘密情
報ｓｌは裸のＩＤｐを含んでいるので、電子現金を不正
使用した利用者を特定することができる。

上述の二重使用検出手順は例えば第２Ｃ図のステップＳ
４Ｓとｓｉｔの間に挿入され、その手順を第２Ｄ図と第
４図を参照して説明する。

ステップＳｃ−銀行は受信した（Ｖｉ　、Ｘｉ）と同じ
ものがメモリ１６１の中にあるか探して１、無ければ第
２Ｃ図のステップＳ４．に行き、有れば次に進む。

ステップＳｉ２：既にメモリ１６１内に記憶されている
｛Ｖｉ、Ｘｉ｝と対応する（Ｅ′ｉ、ゾ、）を読出す。

ステップＳＣ３ニユークリツドの互除法計算器（ＥＵＣ
ＬＴＤ’Ｓ　ＡＬＧＯＲＩＴＨＭ）　１７２　ヲ用イｉ
’弐〇ｇｌを満足するαとβを求める。

α×Ｌ＋β（Ｅｉ−Ｅ′ｉ）　＝　１ ステップＳｅａ：剰余除算器（ＭＯＤ−［１１Ｖ）　　
１７１にＹｉ　、　’Ｙ’を及びＮｉを入力してＹ　ｉ
　／　Ｖｉ　１１０ｄ　Ｎ　Ｌを計算し、その結果をα
、β及びＮｔを剰余乗算・べき来宅（ＭＯＤ−ＭＵＬ／
ＰＯＷＥＲ）　　１７３に入力して前式（２５）を計算
してＳｌを得る。

ステップｓｅｓ：ｓ＋の中からＩＤｐを取出す。

以上説明したようにこの発明によれば利用者のＩＤｐを
裸のまま含む秘密情報ＳＬをもとに作成した情報Ｖｉ　
と乱数情報Ｒｉ 情報Ｘｉは互いに別々にブラインド署名前処理（第２Ａ
図のステップＳ４）を受けるのでＣｈａｕｍ等の一方向
性関数ｆ（Ｘｉ、）’、）に要求されるような２成分の
不干渉性条件の問題が無い。逆に言えばＣｈａｕｎ＋等
の電子現金スキームにおいては同一の一方向性関数ｆに
乱数にもとづく情報ＸｉとＩＤにもとづく情報ｙ、の両
方のパラメータを含んでいる事と、しかも情報ｙ、はそ
の乱数によってＩＤと関連づけられている事、即ちｙ、
はＸｌに関連づけられている事が不干渉性の問題を作り
出していると言える。

ところで今述べたように（Ｖｉ　、Ｗｉ　）と（ｘｉ、
ｚム）は互いに独立して処理されており、また式θつ及
び（ｈ）によるブラインド署名の結果得られる情報Ωｉ
と８１も互いに独立して処理されている。更にこれらに
対し弐〇５１．００により後処理をして得られる署名付
情報ＢｖｉとＢＸｉも互いに独立して処理されている。

つまり利用者が電子現金の発行を要求してから電子現金
を得るまでの処理過程においては情報系列（Ｖｉ、Ｗｉ
、、Ｒｉ　、　Ｂｖｔ）と情報系列（Ｘｉ、Ｚｚ、ｅｏ
、　ＢＸりは互いに独立して処理されている。利用者が
第２Ｂ図の電子現金を使用する処理過程において、小売
店からの質問に応答するための応答文ＹｉをステップＳ
。

で作成する段階で初めて秘密情報ＳＬと乱数情報Ｒｉが
１つの関数で関係づけられる。この事実は第２Ａ図に示
す処理過程における情報系列（ｖｉ　。

Ｗｉ、Ω＝　、　Ｂｖｉ）に関する処理と情報系列（Ｘ
ｉ、Ｚｉ、ｅｔ　、Ｂ□）に関する処理を互いに分離し
、互いに異なる時間及び状況において実行してもよいこ
とを意味している。このことを利用したのが次に第６Ａ
〜６Ｄ図及び第７Ａ〜７Ｄ図を参照して説明する第２の
実施例である。

〔第２実施例〕 第２の実施例においては利用者からの要求により銀行は
利用許可証を１回発行し、利用者は電子現金を銀行に発
行してもらう場合は、いつでもその利用許可証と乱数情
報から生成した情報を銀行に提示してそれに証明させる
ことにより電子現金発行の処理手順を簡素化している。

この利用許可証の発行手順において先に述べた秘密情報
Ｓｉに関連する情報系列（Ｖｉ　、　Ｗｔ　、Ｒｉ　、
　Ｂｖｉ）に対応する情報系列が生成され、こうして発
行された利用許可証にもとづいて電子現金を発行する手
順において先に述べた乱数情報Ｒｉに関連する情報系列
（Ｘｚ　、　　Ｚ＊　、　８ｉ　、　Ｂ１１１）に対応
する情報系列が生成される。ここでは簡便化された手順
により発行される電子現金を電子コインと呼びＣで表わ
すことにする。

まず、第６Ａ図の処理フローと第７Ａ図の装置Ｉ！能ブ
ロック図を参照して銀行１００に口座を開設した利用者
２００が、利用許可証を銀行１００より発行してもらう
場合について説明する。ここでＩＤｐは利用者２００の
口座番号等の識別情報とする。

銀行１００は利用許可証に対応する情報として、ブライ
ンド署名で用いる秘密鍵ｄ、および公開鍵ｅ、の対を作
成しておき、ｅＡを公開しておく。

ここで、すでに証明したようにブラインド署名によれば
、ある文書Ｍに銀行１００のブラインド署名をつけても
らいたい利用者２００が銀行１００のブラインド署名用
の公開１ｄｅａと撹乱乱数ｒを用いたブラインド署名前
処理関数Ｗ　＝　Ｆ　ｅＡ　（ｒＭ）によって文書Ｍを
撹乱して他人に読めない撹乱文書Ｗとし、それを銀行１
００に送る。銀行１００は秘密鍵ｄ′ｉを用いたブライ
ンド署名作成処理Ω＝Ｄ−ａ（Ｗ）により撹乱文書Ｗに
署名（ブラインド署名）し、その署名付撹乱文書Ωを利
用者２００に送る。Ωを受け取った利用者２００は、Ｗ
を作成するときに用いた撹乱乱数ｒを使って乱数除去関
数ＨｌＡ（Ω）によりΩの中の撹乱乱数ｒの影響を除去
することにより銀行の署名の跡が付いた文書である署名
付文書り。（Ｍ）を得ることができる。ここで、撹乱処
理のためのＦ。は一方向性関数であるブラインド署名前
処理関数、Ｄ、Ａはブラインド署名作成関数、乱数成分
除去処理のためのＨｌはブラインド署名後処理関数、Ｉ
）ｅａ（Ｍ）は公開鍵ｅＡに対応した銀行の署名付文書
を意味する。ブラインド署名の実現方法は、前述のＲ３
Ａ暗号を用いたＣｈａｕ＋ｗの方法およびこの出願の発
明者等の特願昭６３−１５６（１２０に示されている方
法のいずれのブラインド署名を用いてもよい。

利用者２００は自分の識別情報ＩＤｐを裸のまま埋め込
んだ秘密情報Ｓｉからこの実施例で利用者情報と呼ぶＶ
ｉを生成し、利用者２００は銀行１００にブラインド署
名技法を用いてＶｉに署名をつけさせる。この署名の付
いたＶ８、即ちり、Ａ（■１）を利用許可証と呼ぶ。こ
こで、ブラインド署名を用いる理由は、小売店３００と
銀行１００が結託しても利用者２００のブライバシイを
保障できるようにするためである。

第６Ａ図に示す利用者２００が銀行１００から利用許可
証を発行してもらう手順をその処理手順に係わる第７Ａ
図に示す利用者２００と銀行ｌＯＯのブロック構成図を
参照して説明する。以下では、ｉ＝ｌ、・・・、にとす
る。

ステップＳＩ　：利用者２００は乱数発生器（ＲＡＮＤ
ＯＭ　ＧＢＮ）　２０３を用いて乱数ａ′ｉを生成して
ＩＤｐと共に連結器（ｃＯＮＣ）　２０４に入力し、そ
の出力ＩＤｐＨａ＋を署名生成器（ＤＩＧ　　５ＩＧＧ
ＢＮ）２１８に入力し、 ｇｉ　＝Ｑ　（Ｉ　Ｄｐ　ＩＩ　ａ　ｔ　）　　　　　
・・・（２６）を求める。

ステップＳｚ　：署名生成器２１８の出力を（ＩＤｐ１
ｌａｉ）と共に連結器２０４に入力して秘密情報 Ｓｉ　＝　Ｉ　Ｄｐ　Ｉｔ　ａ　ｉ　ＩＩ　ｇｉ　　　
　−（２７）を求めてメモリ２１１に記憶する。また素
数生成器（ＰＲｒ？ＩＥ　ＧＥＮ）　　２０１を用いて
に対の素数（Ｐ８゜Ｑ＋）を生成して、乗算器（ＭＵＬ
）　　２（１２を用いてＰ、とＱｌの積Ｎｌを求めて記
憶する。

ステップＳｉ：素数発生器（ＰＲＩＭＥ　ＧＥＮ）　　
２１３により素数Ｌｉ　　（例えば３以上の素数）を発
生し、ＬｉとＳｉ、ＮＨから剰余べき来宅（ＭＯＤ−Ｐ
Ｏ阿Ｅｉｌ）２０５を用いて、利用者情報 Ｖｚ　＝Ｓｉ　　１ｗｏｄ　　Ｎｔ　　　　　　　−（
２８）を計算してＬｉとＶｉをメモリ（ＭＥ）Ｉ）　　
２１１に記憶する。

ステップＳｉ：Ｎ１　、Ｖｉ　、Ｌｉを連結器（ｃＯＮ
Ｇ）２０６に入力し、ソノ出力Ｍｉ　＝　（Ｎｉ　　Ｉ
Ｉ　ｖ、　　＋＋Ｌｉ）を銀行１００が公開した利用許
可証作成のめたの鍵ｅＡと共にブラインド署名前処理器
（ＢＳＰＲＥ−ＰＩ？０ＣＥＳＳ）　２０７に入力し、
撹乱利用者情報Ｗｉ　＝Ｆ　ｅＡ　（ｒ　ｉ　、　Ｍｔ
　）　　　　　−（２９）を求め、銀行１００に送る。

ここでブラインド署名前処理関数ＦａＡはＲ３Ａ暗号方
式を使ったＣｈａｕｍの式（＋）と同様でもよく、この
出願の発明者等の特願昭６３−１５６（１２０に提案し
たものでもよい。

次に、銀行１００は利用者２００にに／２組の（Ｓｉ　
、Ｌｉ　、Ｐｉ　、Ｑ＝　、ｒ＋　）を開示させて、利
用者２００が各秘密情報Ｓｉに本人の識別情報ＩＤｐ′
ｉを正しく入れていることを確認し、かつステップＳｉ
からステップＳ４を正しく実行していることを以下の手
順で確認する。

ステップＳｉ：銀行１００はランダム選択器（１？ＡＮ
ＤＯＭ　５ＥＬ）　１０１を用いて１乃至にのｉ中から
ランダムにに／２個の異なるｉを選び、そのｉの組を開
示要求””　（ｉＪ　Ｉ　Ｊ＝ｌ、、・・・、　　ｋ／
２）として利用者２００に送信する。ここでは、表記を
簡単にするため銀行１００がｋ／２＋１　、　ｋ／２＋
２　、　　・・・ｋをｉとして選んだとする。従ってｉ
＝ｌ、・・・ｋ／２は開示対象でない。

ステップＳ６　；利用者２００は銀行ｌＯｏから開示要
求Ｕを受信すると、開示制御器（Ｄ　ｌ５ＣＬＯ３ＵＲ
ＥＣＯＮＴ）　　２０８を用いて銀行１００の指示する
に／２組の（Ｓｌ、　　ＬＨ、Ｐｉ　、　Ｑｉ　、ｒｉ
　）を開示する。ここで、ｒ、はステップＳ４でＷｉを
作成するためにブラインド署名前処理関数Ｆ。に用いた
撹乱乱数である。

ステップｓ、：ｍ行１００はｉが開示対象の時、つまり
に／２＋１．Ｓ　ｊ≦にの時、Ｓｉ中の所定の位置にＩ
Ｄｐが入っていることをｆｉＩｇｌし、利用者２００よ
り受信した（Ｓ＋　、Ｌｉ　、Ｐ　ｒ　、Ｑｉ　、　　
ｒｔ　ｌから乗算器（ＭＵＬ）　　１（１２を用いてＮ
！＝Ｐ五×Ｑ。

を求め、剰余べき乗計算器（ＭＯＤ−ＰＯＷＥＲ）　　
１０５を用いて、 Ｖ　（＝　３１　　ｎｏｄ　　Ｎ　（−（３０）でＶｉ
を計算する。

ステップＳ４　：剰余べき乗計算器１０５の出力■０、
受信したｒｉ　と公開鍵ｅＡから連結器（ｃＯＮＣ）１
０４およびブラインド署名前処理器（ＢＳ　ＰＲＥＰＲ
ＯＣＥＳＳ）　１０７を用いて ｖ／１＝Ｆ−ｓ　（ｒｉ　、　　（Ｎｉ　　ＩＩ　ｖｉ
　　ＩＩ　Ｌ＋　）　）でＷを計算する。

ステップＳｉ：前に受信したＷｔの値とＷｉ、の値を比
較器（ｃＯＭＰ）　ｌ　０６で比較し、一致すれば合格
とし、不合格の場合は処理を中断する。

銀行１００はこのようにしてに／２個のすべてのｉにつ
いて上記の検査を行い、いずれかの検査に不合格のとき
には以降の処理を中止する。すべての検査に合格のとき
は、銀行１００は開示対象でないｔ　　（ｉ＝ｌ、・・
・、　　ｋ／２）に対して次の署名手順を行う。

ステップＳ４゜：ｗ、と銀行１００のブラインド署名用
の秘密鍵ｄＡをブラインド署名生成器（ＢＳＧＵＮ）　
１０８に人力し、次式のブラインド署名Ω、＝Ｄ−ａ　
（Ｗｔ　）　　　　　　　　　・・・（３１）を求めて
利用者２００に送る。関数り。は銀行の署名関数であり
、例えばＲ３Ａ暗号方式を使ったＣｈａｕａ＋の式（２
）と同様のものでよい。

ステップＳ４：利用者２００は銀行１００からブライン
ド署名Ω′ｉを受信すると、そのブラインド署名Ω、と
ブラインド署名前処理（ステップＳ４）において使用し
た撹乱乱数ｆＪ　と公開鍵ｅＡからブラインド署名後処
理器（ＢＳ　ＰＯ３Ｔ−ＰＲＯＣＥＳＳ）２０９を用い
て Ｂｉ　＝Ｈａｍ　（ｒｔ　、Ωｉ　）　　　　　　・＝
（３２）を計算することによりΩ、から撹乱乱数ｒｉの
影響を除去する。この関数ＨｌはＣｈａｕｍの式（３）
と同様のものでよい。式（３２）により得られる署名付
利用者情報Ｂｉは次式 Ｂ＋　＝Ｄ−ａ　（Ｍ＋　）　　　　　　　　　＝（３
３）を満足しているのはＣｈａｕｌｌの式（５）と同様
である。

従って式（３２）で得られるＢｉは銀行が公開鍵ｅＡに
対応する秘密鍵ｄＡを使って利用者情報■′ｉを含む文
書Ｍｉ　＝　（Ｎｉ　　ＩＩ　Ｖｉ　　ＩＩ　Ｌｉ　）
に直接署名したものと回しである。利用者２００はこの
ようにして得られた署名付利用者情報Ｂ工を電子コイン
の利用許可証として以後何回でも使用することができる
。

尚上述のステンブＳＩＯではに／２個のＷｉ、について
それぞれ別々のΩｉを得て、ステップＳｉ１においてに
／２個のＢｉを得たが、次のようにメツセージＭＩ、・
・・、　Ｍｋｙｔに対し一括して署名を付けるように処
理することも可能である。即ち、ステップＳ’＋ｏ：銀
行１００は、開示対象でないに／２個のｉ　　（ｉ＝ｌ
、・・・、　　ｋ／２）のすべての撹乱利用者情報Ｗｉ
、を多重化した多重化撹乱利用者情報に対し１つのブラ
インド署名Ωを次式％式％） により計算して利用者２００に送る。

ステップＳ′＋−二利用者２００は銀行１００から・・
・（３１’） 受けたΩと乱数ｒ、と公開鍵ｅＡとからブラインド署名
後込埋葬２０９を用いて１つの署名付利用者情報Ｂを次
式 ％式％（３２） により計算する。この式（３２’）によって得られる署
名付利用者情報は次式 ％式％（３３） を満足する。

式（３１’）、　（３２°）、（３３°）が成立するよ
うな関数Ｄ＊Ａ＋　Ｈ＠Ａは例えばＲ３Ａ暗号方式を使
ったＣｈａｕｗのブラインド署名における前述の式（１
）、　（２）及び（３）を次のようにそれぞれ変形する
ことによって実現できる。

Ｗｉ　　＝　Ｆ　＊ａ　（Ｍｉ　）　−ｒ　＝　　×Ｍ
Ｉｓｏｄ　ｎ　　−（１’）Ω−り。（Ｗｉ、・・・、
　　Ｗｗ／ｌ　）−（ｒＩ　　Ｗｔ　）　　　ｓｏｄ　
　ｎ　　　　　　＝（２’）ＨＩＩＡ　（ｒ　Ｉ　＋　
　”’＋　　ｒｋ／！　＋　　Ω）工Ω／ＩＴ　　　　
ｒｉ　　　ｓｏｄ　　　ｎ　　　　　　　　　　　−（
３’）このように関数をそれぞれ決めると次式が成立す
る。

Ｂ−Ｈ−ａ　（Ｄｏ（Ｗｉ　、　　・・・、　　Ｗｋｉ
ｚ　　）　。

ｒ　ｌ　　＋　　”’＋　　ｒ　ｋ／２　　）ミ■ Ｍ。

ｍａｄ　　ｎ ＝Ｄ−ａ　（Ｍ＋　、　　−、Ｍｉ／ｌ　）以下の説明
において上述のように利用許可証が一括署名により作ら
れた１つのピースＢから成る場合についての式にはその
番号にダッシュをつけて示すが、図に示す処理手順及び
機能ブロック図はに７２ピースのＢｉから成る利用許可
証を使用する場合のみを示しである。

次に利用者２００が銀行１００から電子コインを発行し
てもらう手順を示す。この手順においては、利用者２０
０は乱数情報Ｒｉにもとづく認証用情報Ｘｉを作成し、
これに利用許可証Ｂｉを連結した情報に対し銀行１００
の署名を付けてもらい電子コインとして使用する。この
場合にもその署名にはブラインド署名技法を使う。まず
、銀行１００は電子コインの金額に対応する情報として
、ブラインド署名で用いる秘密鍵ｄ’ｓおよび公開鍵ｅ
′。の対を作成しておき、公開鍵ｅｈを公開しておく。

ここで、銀行１００と利用者２００の間の処理手順例を
第６Ｂ図に示す、利用者２００および銀行１００のブロ
ック構成図を第７Ｂ図に示す。

以下では１＝ｌ、・・・、に／２とする。

ステップＳｌ□：利用者２００は乱数発生器（ＲＡＮＤ
ＯＭ　ＧＥＮ）　　２１４を用いて生成した乱数情報Ｒ
，とメモリ（ＭＥＭ）　２１１より取り出したパラメー
タ情報ＮＩとり、から剰余べき来宅（ＭＯＤ−ＰＯＷＥ
ｉｌ）２１５を用いて、認証用情報 Ｘ＋＝Ｒｉ　ｍａｄ　Ｎ＋　　　　　　　　・・・（３
４）を計算し、Ｘ！とＲ，をメモリ２１１に記憶する。

ステップＳｉ、：　ｉ−１，・・・、に／２のすべてに
ついて、Ｘ！とメモリ２１１より取り出した利用許可証
Ｂｉを連結器（ｃＯＮＣ）　　２１６に入力して連結し
、その出力 ｍ　−Ｘ　＋　ＩＩ　−ＩＩ　Ｘ　＊ｙｔ　Ｉｔ　Ｂ　
ＩＩｔ　−Ｉｆ　Ｂ　＊／ｚ・・・（３５） 又は−括署名による１ピース利用許可証Ｂを用いる場合
に ｍ−Ｘ＝ｌＩ−１１ＸｍｚｇｌｌＢ　　　−−−（３５
’　）を電子コインの金額に対応する公開ｆｉ１ｇ′ｍ
と乱数ｒｐと共にブラインド署名前処理器（ＢＳ　ＰＲ
Ｅ−ＰＲＯＣＥＳＳ）　２１７に入力し、その出力であ
る攪乱認証用情報 Ｚ＝Ｆｅ’Ａ（ｒｐ、ｍ）　　　　　　　　・　＝（３
６）を計算し、電子コインの金額情報と共に銀行１００
へ送る。

ステップＳＩ４：Ｚを受信した銀行１００は、Ｚと電子
コインの金額に対応する秘密１ｄ’ａとをブラインド署
名生成器（ＢＳ　ＧＥＮ）　　１０９に入力し、署名付
撹乱認証用情報 ｅ＝Ｄ　ｅ′ｈ　（Ｚ）　　　　　　　　　・・・（３
７）を求め、それを利用者２００に送付する。同時に利
用者２０００口座から該当する金額を引き落すか、利用
者２００から該当する金額を受領する。

ステップＳ０．：銀行１００より署名付撹乱認証用情報
ｅを受信した利用者２００はブラインド署名前処理葬２
１７で用いた撹乱乱数ｒｐと銀ｊテ１００より受信した
情報ｅおよび公開鍵ｅ７．をブラインド署名後処理器（
ＢＳ　ＰＯＳＴ−ＰＲＯＣＥＳＳ）　２１９に入力し、
次式 ％式％（３８） を計算し、メモリ２１１に記憶する。式（３８）の計算
結果は、次式 ％式％（３９） を満足する。即ちＣは銀行が情報ｍに直接署名を付けた
ものと等価である。このようにして得られたＣを電子コ
インとして使用する。

次に、利用者２００が電子コインＣを用いて小売店３０
０で支払いをする場合について説明する。

利用者２００と小売店３００の間の処理手順例を第６Ｃ
図に示す。小売店３００と利用者２００のブロック構成
図を第７Ｃ図に示す。以下ではｉ−１、・・・、にＩ２
とする。

ステップＳｉ．：利用者２００はメモリ（１１Ｅ門）２
１１より取り出した電子コインＣ１利用許可証Ｂｕ、利
用者情報ｖ、、２証用情報Ｘ８、パラメータ情報Ｎｉ、
Ｌｉを小売店３００に送信する。

ステップＳ０：小売店３００はディジタル署名検査器（
ＤＩＧ　ＳＩＧ　ＶＥＲＩＦＩＥＲ）　　３１９　Ａ、
　　３１９　Ｂを用いて公開鍵ｅ′真により利用許可証
Ｂｉに示されているＭｉ””　（Ｎｉ　Ｉｆ　Ｖ＋　Ｉ
Ｉ　Ｌｉ）に対する銀行の署名の正当性と、公開鍵ｅｌ
、により電子コインＣに示されているｍ−（ＸＩ　ＩＩ
　＝　Ｉｔ　Ｘｋ／ｚｌｌ　Ｂ＋　　Ｉｆ　−１１Ｂｈ
ｚ□）に対する銀行の署名の正当性をそれぞれ次の検証
式ｖＦ、Ａが成立するか計算して検査する。この検査が
不合格の時は以降の処理を中止する。

（Ｎｊｌｌ　Ｖｉｌｌ　ｔ、ｔ）　＝ＶＦｓａ　（Ｂｌ
）　＝Ｂｒ　ｍｏｄ　ｎ　　　　　　　　　　　　　・
・・（４０）（Ｘｉｌ・・・Ｉｆ　Ｘｖｚｚ　ＩＩ　Ｂ
　Ｉ　ＩＩ・・・Ｉｆ　Ｂｂ７ｇ）　　＝ＶＦ、Ａ（ｃ
）　＝Ｃｍｏｄ　ｎ　　　　・・・（４１）又は１Ｍ１
＝Ｖ　Ｆ、Ａ　（Ｂｌ　＝Ｂ”　１ｉｏｄ　ｎ−（４０
’　）（ＸＩ　ＩＩ　・ＩＩ　Ｌ／２１１　Ｂ）　＝Ｖ
Ｆ、、Ａ　（ｃ）　＝ステップＳ＋、１：小売店３００
はタイマ（７４門ＥＲ）３２１より取り出した時刻ｔ、
乱数発生器（ＲＡＮＤＯＭ　ＧＥＮ）　　３０３より取
り出した乱数値Ｔ１および小売店３００の識別情報ＩＤ
ｖを問い合せ文ｑｉとして利用者２００に送付し、これ
らの情報にもとづく所定の応答を要求する。それと共に
それらの情報を使って一方向性関数器（ｆ　−（：ＡＬ
）３２２により Ｅｔ＝ｆ（ｑｉ）　＝ｆ（Ｔ　Ｄｖ、　ｔ　、ｒ　ｉ）
　・・・（４２）を計算する。

ステップＳｉ９；利用者２００は受信したＩＤｖ。

ｔａｒｔ′ｉを一方向性関数器（ｆ−ＣＡＬ）２２１へ
人力して同様の計算ｆ（１０ｖ、ｔ、　　Ｉ１）をし、
その出力値Ｅｉとメモリ２１１より取り出した情報Ｓｉ
、Ｎｉを使って剰余べき来園（ＭＯＤ−ＰＯＷ［Ｒ）２
２２により３’ｔ＝Ｓｉ　ｓｏｄ　Ｎｉを計算し、その
結果ｙ、とメモリ２１１から読出したＲｉ、Ｎうを使っ
てＹｉ＝３’１ＸＲｔ　ｓｏｄ　Ｎ＝を剰余乗算器（Ｍ
ＯＤ−ＭＵＬ）　　２２３を用いて計算し Ｙ＋＝Ｒｔ　・Ｓｉ　＋ｗｏｄ　Ｎｔ　　　　　　・・
・（４３）を得る。このＹｉを応答文として小売店に送
信する。

ステップＳ２゜：小売店３００は一方向性関数器３２２
の出力値Ｅｉ　と先に利用者２００から与えられたＮｉ
、Ｖｉから剰余べき来園（ＭＯＤ−ＰＯＷＥＲ）３０４
によりｙ　１　＝　Ｖ　（ｓｏｄ　Ｎ　ｉを計算し、更
にその結果ｙムとＸＩ　ｓｏｄ　Ｎｔの剰余乗算を剰余
乗算器（ＭＯＤ−ＭＩＩＬ）　３１３によって行いＸｉ
×■−ｏｄＮｉを得る。一方、受信したＹ＋およびＬｉ
、Ｎｔヲ剰余ヘキ来宅（ＭＯＤ−ＰＯＷ［ｉＲ）　３０
５　ニ入力し、Ｙｉ　ｎｏｄ　Ｎｒを計算し、その結果
と剰余乗算器３１３の出力を比較器（ｃＯＭＰ）　　３
０６に入力し、ＹＨ＝）（、Ｈｖｌ　（ｍｏｄ　Ｎｒ　
）　　　・・・（４４）が成立するかどうかを検査する
。この検査に合格すれば小売店３００はその電子コイン
Ｃを正当なものとみなしそれを受け取る。

最後に、小売店３００と銀行１００の間の決済方法につ
いて説明する。小売店３００と銀行１００間の処理手順
例を第６Ｄ図に示す、ｉｉ行１００と小売店３００のブ
ロック構成図を第７Ｄ図に示ず。

ステンプＳ２．：小売店３００は、後日メモリ（ＭＥ旧
３１１内の｛Ｎｉ、Ｌｉ、Ｖｉ、Ｘｉ、Ｂｉ、ｙ、、ｃ
。

Ｉ　Ｄｖ、　ｔ　、　　ｒ＝）　　（ｉ　＝　Ｌ　・・
・、に／２）を銀行１００に提出して、銀行１００から
該当する金額の支払いを受ける。

ステップＳｚｚ：銀行１００は小売店３００からの情報
を受けるとディジタル署名検査器（ＤＩＧ　５ＩＧＶＥ
ＲＩＦｒＥＲ）　１．１．９　Ａ、　　１１９　Ｂを用
いて公開鍵ｅＡにより利用許可証Ｂ１に示されているＭ
、＝（Ｎｉ、　ＩＩ　Ｌｉ　ＩＩ　Ｖｉ）に対する銀行
の署名の正当性を、また公開ｍｅ’Ａにより電子コイン
Ｃに示されているｍ　＝　（Ｘ　＋　ＩＩ　・＝　ＩＩ
χｗｙｚ　ＩＩ　Ｂ　＋　ＩＩ　−Ｉｔ　Ｂ　ｋ／ｚ）
に対する銀行の署名の正当性をそれぞれ式（４０）及び
（４１）が成立するがｋより検査する。又は１ピース利
用許可証Ｂを使う場合は式（４０’　）及び（４１’）
で検査する。この検査にバスした時のみ次のステップに
進む。

ステップＳ。：ＴＤｖ、ｔ、７ｉを一方向性関数器（ｆ
−ＣＡＬ）１１２へ人力し、その出力値Ｅ；　−ｆ　（
Ｉ　Ｄｖ、　ｔ、　ｒｒ　）を求める。剰余べき来宅（
）１００−ＰＯ匈ＥＲ）　１１３を使ってＹｉ、Ｎｉ、
ＬｉからＹｉｍｏｄＮｉを計算する。また剰余べき乗算
器（ＭＯＤ−ＰＯＷＥＲ）　１１４を使ってＥｉ、Ｖｉ
、Ｎ□からＶｉｎｏｄ　Ｎｌを計算し、更に剰余乗算器
（ＭＯＤ−ＭＵＤ、）１１５を使って剰余べき来宅１１
４の出力とＮｉ。

ＸｉからＸＨ−ＶＨｍｏｄ　Ｎｒを計算する。剰余べき
来宅１１３及び剰余乗算器１１５の出力結果は比較器（
ｃＯＭＰ）　　１１６に入力され、Ｙｉ　＝Ｘｉ　−Ｖ
ｉ　（ｍｏｄ　Ｎｒ　）が成立するかどうかを検査する
。

ステップＳＺ４：以上の検査に合格すれば利用者２００
から提出された（Ｎｒ、Ｌｉ、Ｖｔ、Ｘｉ、Ｂｌ。

Ｙｉ、Ｃ，ＩＤｖ、ｔ、ｒｒ）　Ｎｒｌ、、、、、　ｋ
／２）をメモリ　（ＭＥＭ）　１１１に記憶して、小売
店３００の口座ＬＩＤｖ）へ該当する金額を払い込む。

以上では、高次根のべき乗根の計算の困難性に基づく対
話型の認証方式（特願昭６３−３６３９１号）に基づく
方式について実施例を説明したが、他の対話型の認証方
式においても同様の方式が実現できる。

なお、対話型の認証方式は健全性（同一の■、とＸｉの
組に対して２個の正しいＹｉが求まるとき、ｖｉに対応
する秘密情報Ｓｉが計算できる）をみたすので、同一の
電子コインを２回以上使用すると利用者のＩＤｐが露見
する。つまり、利用者が不正に電子コインを２回使用す
ると第１実施例における第２Ｄ図で説明した場合と同様
に同一の■、とＸｉの組に対して検査式（４４）を満た
す２組の（ＥｉとＹｉ）と（Ｅ′ｉ、Ｖｉ）が得られる
の（Ｙｉ　／￥ｉ）　Ｌｉミ’ｌ／、Ｅ″−”’（ｍｏ
ｄ　Ｎｚ）が成立し、これより （Ｙｉ／ゾＩ）＝ＳＬｉｌ−１１（ＩＩｌｏｄＮｉ）が
得られる。一方、 Ｓ　ｉ　＝　Ｖ　（ｓｏｄ　Ｎ　＝ が成り立つ。ここでり、は素数でありり、とＥ。

−Ｅ′ｉが互いに素となるので３８が計算できる。

Ｓｉは利用者２００のＩＤｐを裸のまま含んでいるので
、不正な利用者がばれる。

以上詳細に説明したように、第２の実施例も第１の実施
例と同様に、（ａ）利用者のブライバシイを保障できる
、（ｂ）二重使用を検出できる、という特徴を備えてい
る。（ａ）についてはブラインド署名を利用しているの
で、利用者の消費動向等のブライバシイを守ることがで
きる。（ｂ）については電子コインが２回以上使用され
ると対話型の認証方式の性質によって利用許可証を生成
するときに用いた秘密情報が露見する。

ところで、利用許可証を発行する時にはに個のデータを
銀行に送り、銀行はその中からに／２個のものを選びそ
れらをそれぞれ作成するのに使用したに／２組のパラメ
ータを開示させるという手順が必要であり、処理上の負
担が大きい。しかし、この発明ではこの処理は利用者が
口座を開設する時のみである。それに対し、電子コイン
を発行する処理は比較的頻度が多いと思われるが、その
発行処理は基本的に１回のブラインド署名作成手順を行
うのみでよく、処理上の負担が少ない。ところが、第１
の実施例では利用許可証と電子コインが一体化した電子
現金として扱われているので、各電子現金の発行手順に
おいてに個のデータを銀行に送り、その中からに／２個
のものを選び開示させるという手順が必要であり処理上
の負担が大きい。

上述のように第２の実施例においては銀行が最初に発行
した利用許可証Ｂｉ（ｉ＝ｌ、・・・、　ｋ／２）又は
Ｂを使って任意の時に電子コインＣの発行を簡便に何回
でも実行できる。このように利用許可証の発行と電子コ
インの発行を分離したこの発明の方法による電子コイン
は更に便利ないくつかの使用形態が可能である。第１の
使用形態は電子コインを他の利用者に譲渡することであ
る。第２の使用形態は同じ電子コインを複数回使用する
ことである。第３の使用形態は電子コインを他の利用者
に譲渡したり複数回使用したりすることである。

以下に第２の実施例においてこれらの機能を実施する電
子コインについて説明する。

〔電子コインの譲渡〕

利用者２００ａが第６Ｂ図の処理手順で発行された電子
コインＣを利用者２００ｂに譲渡する場合について説明
する。ただし利用者２００ｂも利用者２００ａと同様な
手順で銀行から得た利用許可証を有しているものとする
。利用者２００ａと利用者２００ｂの間の処理手順の例
を第８Ａ図に示す。利用者２００ａと利用者２００ｂの
ブロック構成図を第９Ａ図に示す。以下では、ｉ−１゜
２、・・・、に／２とする。なお、以下で記号の上にへ
のついた変数はすべて譲り受け人である利用者２００ｂ
に関するものである。また、変数の意味は特に断わらな
い限り、これまでに定義した意味に従うものとする。

ステップＳ２　：利用者２００ａはメモリ　（ＭＥＭ）
２１１より取り出した利用許可証Ｂｉ又はＢｉ電子コイ
ンＣ１利用者情報Ｖ８．認証用情報Ｘｉ。

パラメータ情報Ｎｉ、Ｌｉを利用者２００ｂに送信する
。

ステップＳ２　：利用者２００ｂはディジタル署名検査
器（ＤＩＧ　ＳＩＧ　ＶＥＲＩＦＩＥＲ）　　５１９　
Ａ、　　５１９Ｂを用いて公開鍵ｅＡにより利用許可証
Ｂｉに示されているＭｉ＝　（Ｎｉ　ＩＩ　Ｖｉ　ＩＩ
　Ｌｉ）に対する銀行の署名の正当性を、また公開鍵ｅ
′６により電子コインＣに示されているｍ＝　（Ｘｌｌ
Ｌ・ｌｌＸ＋＝ｚｚｌｌＢ１１１・・・ｉ１３に／ｚ）
に対する銀行の署名の正当性をそれぞれ次の検証式（４
５）　、　（４６）が成立するか計算して検査する。１
ピース利用許可証Ｂを使う場合は弐（４５’　）及び（
４６’）により検査する。この検査が不合格のときは以
降の処理を中止する。

（Ｎｉ　ＩＩ　Ｖｉ　ＩＩ　Ｌｉ）　＝Ｖ　ＦａＡ（Ｂ
ｉ）　＝Ｂ＝　ｍｏｄ　ｎ　　　　　　　　　　　　・
・・（４５）（Ｘｉ１１・・・ＩＩ　Ｘ１＝ｚｚ　ＩＩ
　Ｂ　＋　Ｉｔ・・・ｔｌＢｈｚ□）＝ＶＦ、Ａ（ｃ１
＝Ｃ”Ａｍｏｄｎ　　　・　・　・（４６）・　・　・
　（４５’） （ｘ、ＩＩ・・・１［χ＋ｚｚｌｌ　Ｂ）　　＝Ｖ　Ｆ
、・Ａ（ｃ）＝Ｃ１Ａ　ｍｏｄ　ｎ　　　　　　　　　
　　　・　・　・　（４６′　）ステンブＳｉ：譲渡人
である利用者２００ａから送ってきた利用者情報Ｖｉ及
び認証用情報Ｘｉが確がｋ譲渡穴自身のものであるかを
確認するため利用者２００ｂは乱数発生器（ＲＡＮＩＩ
ＯＭ　ＧＥＮ）　　５０３より取り出した値ε五を質問
文として利用者２００ａへ送付する。

ステップＳ４　：利用者２００ａは受信したＣ１とメモ
リ（ＭＥＭ）　　２１１より取り出した自分の情報Ｓｉ
、Ｎｉより剰余べき来宅（？ｌ０Ｄ−ＰＯＷＥＲ）　２
２２を使ってＳｉＩＩｏｄ　Ｎ！を計算し、その結果と
メモリ　２１１から読出したＲｉ、Ｎｉから剰余乗算器
（ＭＯＤ−ＭＵＬ）　　２２３を用いてＹ＋＝Ｒｉ’　
Ｓｉ■ｏｄＮｔ を求め、Ｙｉを応答文として利用者２００ｂに送信する
。

ステップＳ５　：利用者２００ｂはεｉと受信したＶｉ
　、Ｎｒを剰余べき来園（ＭＯＤ−ＰＯＷＥＩ？）　５
０４に入力して Ｖ　ｉ　ｍｏｄ　Ｎ　。

を計算し、この結果と受信したＸＩとＮｉを剰余乗算器
（ＭＯＤ−ＭＵＬ）　５１３に人力してＸ（−Ｖｌ　ｓ
ｏｄ　Ｎｔ を計算し、一方、受信したＹｉ、ＬｉとＮｉを剰余べき
来園（ＭＯＤ−ＰＣＶＥＲ）　５０５に入力してＹｒ　
ｓｏｄ　Ｎ１ を計算し、この結果と剰余乗算器５１３の出力を比較器
（ｃＯＭＰ）　　５０６に入力して、一致するかどうか
を検査する。一致すればＶｉ、Ｘ□は譲渡穴２００ａ自
身のものであると判定する。

ステップＳｉ：譲り受入である利用者２００ｂは自分の
利用許可証言、、・・・、　１ｉ、、、　　（又は官）
に譲渡穴２００ａの署名を付けてもらうために官、。

・・・ＩＬ／□　（又は官）を利用者２００ａに送る。

ステップＳｉ　：譲渡穴２００ａは送られてきた官、・
・・ｒ’ｆｌ＊ｙ□　（又は官）に例えば次式（４７）
又は（４７’）のディジタル署名関数を計算する署名器
（ＤＩＧ　ＳＩＧ　ＧＥＮ）　２３３を使って自分の署
名を付けて譲渡証Ｔとして譲り受入２００ｂに送り返す
。

Ｔ＝　（ｆ＋　ＩＩ　−ｔｌ　１３＋／＊）”’ｍｏｄ
　Ｎｉ　・・・（４７）Ｔ−官１′３１ＩｌｏｄＮｉ・
・・（４７′）ただしＮｉは１≦ｉ≦に／２の範囲のあ
らかじめ決めた１つのｉについての値を使用する。

ステップＳｉｌ　：利用者２００ｂは利用者２００ａの
公開鍵Ｎｉと受信したＴをディジタル署名検査器（ＤＩ
Ｇ　ＳＩＧ　ＶＥＲＩＦＩＥＲ）　５１．９　Ｇに入力
してＴの正当性を次式が成立するがｋより検査する。た
だしＮｉは上述のあらかじめ決めた１つのｉに対する値
である。

（ｆ、　ＩＩ　・１口に＊ｙｚ）　　＝Ｔ’　ｌ１ｏｄ
　Ｎｒ　　・・（４８）官−Ｔ’　＋ｌ１ｏｄ　Ｎｔ　
　　　　　　　・・・　（４８’　）この検査に合格す
れば利用者２００ｂはその電子コインＣを正当なものと
みなしそれを受け取る。

次に、利用者２００ｂが利用者２００ａより譲渡された
電子コインを用いて小売店３００で支払いをする場合に
ついて説明する。利用者２００ｂと小売店３００の間の
処理手順例を第８Ｂ図に示す。小売店３００と利用者２
００ｂのブロック構成図を第９Ｂ図に示す。以下ではｉ
＝ｌ、・・・ｋ／２とする。

ステップＳｉ二利用者２００ｂはメモリ（ＭＵＭ）５１
１より取り出した受信情報グループ（Ｎ。

Ｌｉ、Ｖｉ、Ｘ□、Ｂｉ、Ｙｉ、Ｃ，Ｔ、）　とメモリ
５１１より取り出した自分の情報グループ（Ｒｉ，ｆ：
ｉ＋、ｇｔ、εｉ）を小売店３００に送信する。

ステップＳｉ゜：小売店３００はディジタル署名検査器
（ＤＩＧ　ＳＩＧ　ＶＥＲＩＦＩＥＲ）　３１９　Ａ、
　　３１９　Ｂを用いて公開１！ｅ＾により利用者２０
０ａの利用許可証Ｂｉに示された（Ｎｔ　Ｉｔ　ｖｔ　
ＩＩ　Ｌり　ｒ、＝対する銀行の署名の正当性を、また
、公開鍵ｅ／Ａにより電子コインＣに示された（ｘ、Ｉ
Ｉ・・・Ｘｌ＋／□ｌ　Ｂ　、　ＩＩ・・・１ｌＢ＝ｚ
ｚ）に対する銀行の署名の正当性を両式（４５）、　（
４６）に従って検査する。１ピース利用許可証Ｂを使用
する場合は（４５’　）　；　（４６’　）により検査
する。さらに譲渡証Ｔに示されている（ｆ、ｌｌ・・・
ＩＩ官に、２）に対する利用者２００ａの署名の正当性
を両式（４日）に従ったディジタル署名検査器（ＤＩＧ
　ＳＩＧ　ＶＥｉ？ＩＦＩＥｉ＋）　３１９　Ｃニより
検査する。Ｂを使う場合は式（４８”Ｉを使って検査す
る。

ステップＳｉ：小売店３００は更に、受信したｔ　ｉ＋
　ｖｉ、　Ｎｉを剰余べき来園（ＭＯＤ−ＰＯＷＥＲ）
　３１４に入力してＶｌ　ｍｏｄ　Ｎｉを計算し、その
結果と受信したＸｉ、Ｎｉを剰余乗算器（ＭＯＤ−ＭＵ
Ｌ）　３１３に入力してＸｉ・ｖｊＩｌｏｄＮｉを計算
する。一方受信したＹｉ、Ｎｉ、Ｌｉを剰余べき来園（
Ｍｏｉｌ−ＰＯＷＥＲ）３１５に入力してＹ　Ｈｓｏｄ
　Ｎ　ｔを計算し、その結果と剰余乗算器３１３の出力
とを比較器（ｃＯＭＰ）が成立するかどうかを検査する
。この式が成立すれば受信した情報Ｖｉ、Ｘｉは確がｋ
譲渡穴である利用者２０．０　ａ自身のものであると判
定する。

ステップＳｉ：小売店３００は更にディジタル署名検査
器（ＤＩＧ　ＳＩＧ　ＶＥＲＩＦＩＥＲ）　３１９　Ｄ
を用いて公開鍵ｅＡにより譲り受入である利用者２００
ｂの利用許可証言、に示されたＱ＝　＝　（ＦＪｒ　Ｉ
ｆ　Ｖｉ　Ｉｔｆｌ’ｔ）に対する銀行の署名の正当性
を両式（４５）と同様の次式（５０）に従って検査する
。１ピース利用許可証Ｂの場合は（５０”）を使う。

（ｔ３ｉ　Ｉｔ　’？ＩＩＩ　Ｕｔ）　　＝　Ｖ　Ｆ　
−ａ　ｆ官ｉ　１−官ｌ１ｌＯｄｎ・・・（５０） ｒｏｕｔ　　＝ＶＦ、Ａ　（ｆ）　＝官＃Ａｍｏｄ　ｎ
・　・　・　（５０’　　） この検査が不合格の時は以降の処理を中止する。

ステップＳｉ３：小売店３００は譲り受入である利用者
２００ｂの利用者情報、が確がｋ譲り受入２００ｂ自身
のものであるかを確認するため、タイマ（ＴＩ？１ＥＲ
）　３２１より取り出した時刻も、乱数発生器（ＲＡＮ
ＤＯ門ＧＥＮ）３０３より取り出した値Ｔ、および小売
店３００の識別情報ＩＤｖを問い合せ文ｑｉとして利用
者２００ｂに送付する。それと共に一方向性関数器（ｆ
−ＣＡＬ）３２２に問い合せ文ｑ！の成分子Ｄｖ、ｔ、
７．を入力してＥ＝ｆ　（ｑｔ）＝ｆ　（ＩＤｖ、ｔ、
ｒｉ）を計算する。

ステップＳ０：利用者２００ｂは受信したｑｉ＝（ＩＤ
ｖ、ｔ、　　γ１）を一方向性関数器（ｆ−ＣＡＬ）５
２２へ入力し、その出力値Ｅ五−ｆ（ＩＤｖ、ｔ、　　
Ｙｔ）とメモリ５１１より取り出した自身の情報室＝、
Ｒｉより剰余べき来宅（ＭＯＤ−ＰＯＷＥＲ）　５２３
を使って３　ｈ　ｓｏｄ　Ｑ　１を計算し、その結果と
メモリ５１１から読出したφ１３Ｒｉから剰余乗算器（
ＭＯＤ−ＭＯＬ）　５２４を用いて、Ｖｉ　＝？ｉ　　
・ｇｉ　ｍａｄ￥Ｊｉ’　　　　−−−（５１）を求め
、？′ｉを応答文として小売店に送信する。

なお、蓋１は次式（５２）の関係を満足する値であり、
利用者２００ａから電子コインＣを譲り受けた後蓋・　
＝）（、ｌ１ｏｄ　　ｐｉ　　　　　　　　・　・　・
（５２）ここで１／亡、は剰余Ｎ１におけるｔ！の指数
成分としての逆面であり、次式 ％式％） を満す。Ｐ　ｉ　＋　Ｑｉ　＋　ｆ：８から逆面計算に
より１／″ｆ：ｉが計算される。

ステップｓ＋５：小売店３００は一方向性関数器３２２
の出力値Ｅｉと受信した１山を剰余べき来宅（ＭＯＤ−
ＰＯＷＥＲ）　３０４に人力して＝’Ｐｏｄ飢を計算し
、その結果とＸｉ　、　′ＦＪ′ｉを剰余乗算器（ＭＯ
Ｄ−ＭＵＬ）　３１３に入力してｘ、−Ｈｓｏｄ　ｆ；
ｊ＋を得る。一方受信した？五とＱ＝　、ｔ＝を剰余べ
き来宅（ＭＯＤ−ＰＯＷＥＲ）　３０５に入力して９＋
ｍｏｄＲｉを計算し、その結果と剰余乗算器３１３の出
出力を比較器（ＧＯＭＰ）　　３０６に入力し、９ｉ　
：Ｘｉ−＝　（ｍｏｏｄ　’Ｆｊｌ）　　　　・・・（
５４）が成立するかどうかを検査する。この検査に合格
すれば情報、は譲り受入である利用者２００ｂ自身のも
のであると認め、小売店３００はその電子コインＣを正
当なものとみなしそれを受け取る。

このように利用４２　ｏ　ｏ　ｂはステップＳＩ４にお
いて自分自身の乱数情報Ｒｉを使うかわりにＸｚの関数
である式（５２）で与えられる蓋８を使って（４５）の
応答文？′ｉを作成するので、小売店３００が行うステ
ップＳＩ５の検査式（５４）の計算には利用者２００ａ
の認証用情報Ｘｉを使うことができる。

つまり譲渡された電子コインを使用する利用者２００ｂ
は自分の認証用情報Ｙｔを小売店３００に提示する必要
がない。

最後に、小売店３００と銀行１００の間の決済方法につ
いて説明する。小売店３００と銀行１００間の処理手順
例を第８Ｃ図に示す。銀行１００と小売店３００のブロ
ック構成図を第９Ｃ図に示す。

ステップＳ４：小売店３００は、後日、メモリ（ＭＥＭ
）　１１．１内の利用者２００ａに関する情報グループ
（Ｎｔ、Ｌｉ、Ｖｔ、Ｘｉ、Ｂｉ、Ｙｉ、Ｃ，Ｔ）およ
び利用者２００ｂと小売店３００に関する情報グループ
（Ｑ＋、　Ｕｉ、　Ｖｉ、　ｌｉｔ、　９＋、ε！、　
Ｉ　Ｄｖ、　ｔ＋ｒｔ）を銀行１００に提出する（ｉ＝
ｌ、・・・、に／２）。

ステップＳ＋ｙ：ｉ！ｉ行１００はディジタル署名検査
器（ＤＩＧ　ＳｒＧ　ＶＥＲＩＦＩＥＲ）　　１１９　
Ａ、　　１１９　Ｂを用いて公開鍵ｅＡにより利用者２
００ａの利用許可証Ｂｉに示された（Ｎｔ　ＩＩ　Ｖｉ
　Ｉｔ　Ｌりに対する銀行の署名の正当性を、また公開
１！ｅ’ａにより電子コインＣに示された（Ｘｉｌ＋・
・・ｌＩＸ＊ｚ霊Ｉｆ　Ｂ　！　１１・・・１ｌＢｈｚ
□）に対する銀行の署名の正当性を前式（４５）、　（
４６）に従って検査する。さらに、譲渡証Ｔに示されて
いる（［、ＩＩ・・・１ｌｆｉ、、□）に対する利用者
２００ａの署名の正当性を両式（４８）に従ったディジ
タル署名検査器（ＤＩＧ　ＳＩＧ　ＶＥＲｒＦＩＥＲ）
　　１１９Ｃにより検査する。１ピース利用許可証Ｂの
場合はそれぞれ式（４５’　）、　（４６”）及び（４
８’　）を使って検査する。

ステップＳｉ：εｉ、　Ｖ　ｉ、　Ｎ　ｉを剰余べき来
園（ＭＯＤ−ＰＯＷＥＲ）　１１７　ニ入力してｖｌ　
ｌ１ＯｄＮｉを計算し、その結果とＮｉ、Ｘｉを剰余乗
算器（ＭＯＤ−ＭＵＬ）　　１１８に人力してＸｉ　　
・Ｖｉ　ｓｏｄ　Ｎｉを計算する。一方Ｙｉ、Ｎｉ、Ｌ
ｉを剰余べき来園（Ｍｏｌ）−ＰＯＷＥＲ）　　１０３
に入力してＶ４　ｍａｄ　Ｎ（を計算し、その結果と剰
余乗算器１１８の出力を比較器（ｃＯＲＰ）　　１２１
に人力し、両式４９と伺し次式Ｙ＋　＝）（、Ｈｖｉ　
　（ｍｏｄ　Ｎｉ）が成立するかどうかを検査する。こ
の式が成立すれば情報Ｖｉ　、Ｘｉは確がｋ譲渡穴２０
０ａ自身のものであると判定する。

ステップＳ４．：デイジタル署名検査具１１９Ｄを用い
て公開鍵ｅ、により譲り受け人２００ｂの利用許可証言
、に示され、？、：　（Ｎｉ　ＩＩ　Ｖｉ　ＩＩ　Ｕｉ
）　ニ対する銀行の署名の正当性を両式（５０）と同じ
式により検査する。ｌピース利用許可証Ｂの場合は式（
５０’）を使って検査する。またｑｌ＝（ＩＤｖ。

ｔ、　　ｒ＋）を一方向性関数器（ｆ−ＣＡＬ）１１２
へ入力し、Ｅｉ＝ｆ　（ＩＤｖ、ｔ、　　Ｔｒ）を計算
する。

その出力（ＩｉＥ　ｉ　と１．Ｒｉを剰余べき来園（Ｍ
ＯＤＰＯＷＥＲ）　１１．４に入力して（ｎｏｄ　Ｑｒ
を計算し、その結果とＸｉ　、ｐ＋を剰余乗算器（ＭＯ
Ｄ−ＭＵＬ）１１５に人力してＸｉ・、ｍｏｄ　Ｑ＝を
得る。

方？ｔ、　ｐｉ、　ｉ）ｉを剰余べき来園（ＭＯＤ−Ｐ
ＯＷＥＲ）１１３に入力して９　（ｌ１ｏｄ　Ｑ　ｌを
計算する。剰余乗算器１１５と剰余べき乗器１１３の出
力を比較器（ＧＯＭＰ）、　１１．６に入力し、両式（
５４）と同じ次式が成立するかどうかを検査する。この
式が成立すれば情報、が確がｋ譲り受入２００ｂ自身の
ものであると判定する。

ステップＳ２゜：以上の検査に合格すれば利用者２００
ａから提出された情報｛Ｎｉ、Ｌｉ、Ｖｉ、Ｘｉ。

Ｂｉ、Ｙｉ、Ｃ，Ｔ）および利用者２００ｂと小売店３
００に関する情報（Ｎｉ、亡１、８．官・、９Ｉ、ε・
。

ＩＤｖ、ｔ、ｒｔｌ　　（ｔ−１，−、に／２）をメモ
！Ｊ　１１１に記憶して、小売店３００の口座ＩＤｖへ
該当する金額を払い込む。

尚、上述の電子コインの譲渡で説明した利用者２００ａ
が電子コインを不正に二重使用すれば前に説明したのと
同様に同じくり、Ｘｉ）の組が２つ存在することになり
、銀行１００における第２Ｄ図の処理フローにより二重
使用が検出され、かつその使用者が特定される。それに
対し、電子コインを譲渡された利用者２００ｂが電子コ
インを不正に二重使用したのを検出するためには、銀行
は受信した（９１．Ｘｉ）の組に対し同じ値のものがす
でにメモリ１１１内に記憶されているか検出すればよい
、もし同じ値の（７ｔ、Ｘｔ）があった場合には、メモ
リ内にあるその組に対応する？、。

ＶｉＸ　（Ｙｉ／Ｙ’　ｉ）＝に＋ ミ宮ｉ　（ｍｏｄ　カ、） から宮′ｉを計算することができる。

（電子コインの繰返し使用］ 第２の実施例における第６Ｂ図の手順に従って利用者２
００が得た電子コインを複数回使用する方法について説
明する。ここでは利用者２００がｋ回の利用が許されて
いる電子コインをｊ回目（ｊ≦Ｋ）に利用する際の利用
手順を示す。これは、他の利用者２００に譲渡する場合
でも、小売店３００に支払う場合でも可能であるが、こ
こでは小売店３００での支払いに利用する場合を例にと
り説明する。ここで、利用者２００と小売店３００の間
の処理手順例を第１０図に示し、利用者２００及び小売
店３００のブロック構成図を第１１図に示す。以下では
ｉ＝ｌ、・・・、に／２とする。

ステップＳｉ　：利用者２００はメモリ２１１より取り
出した（Ｎｉ、Ｌ＋、　■＋、Ｂｉ、Ｘｔ、Ｃ）を小売
店３００に送信する。

ステップＳよ　＝小売店３００はディジタル署名検査器
（ＤＩＧ　ＳＩＧ　ＶＥＲＩｊｒＥＲ）　　３１９　Ａ
及び３１９Ｂを用いて公開鍵ｅ、により利用者２００の
利用許可証Ｂｉに示されている（Ｎｔ　ＩＩ　Ｖｌ　Ｉ
Ｉ　Ｌｉ）に対する銀行の署名の正当性を、また公開鍵
ｅ”Ａにより電子コインＣに示されている（Ｘｉｌ・・
・１１Ｌ／ｚ　ＩＩ　Ｂ　Ｉ　ＩＩ・・・ｌｌＢ＊ｚ□
）に対する銀行の署名の正当性を両式（４０）及び（４
１）に従って検査する。

１ピース利用許可証Ｂを使う場合は式（４０”）及び（
４１’）を使って検査する。この検査が不合格のときは
以降の処理を中止する。

ステップＳｉ：小売店３００はタイマ（Ｔｌ門Ｅｉ？）
３２１より取り出した時刻ｔ、乱数発生器（ＲＡＮＤＯ
Ｍ　ＧＥＮ）　　３０３より取り出した乱数値γ。

および小売店の識別情報ＩＤｐを問い合せ文ｑｉとして
利用者２００に送付する。それと共にそれらの情報を一
方向性関数器（ｆ−ＣＡＬ）３２２に入力してＥ（＝ｆ
　（Ｉ　Ｄｖ、ｔ、ｒ＋）を計算する。

ステップＳ４　：利用者２００は受信したｉＤｖ。

ｔ　　Ｔ′ｉを一方向性関数器（ｆ−ＣＡＬ）２２１へ
入力し、その出力値ＥＩ＝ｆ　（ＩＤｖ、ｔ、ｉｔ）メ
モリ２１１より取り出した情報Ｓｉ、Ｎｉを剰余べき東
回（ＭＯＤ−ＰＯＷＥＲ）　２２２に入力してＳｉｍｏ
ｄＮｉを計算する。その計算結果とＮｉ及び後いて、 を求め、ｊと共にＹｉを小売店の問い合わせに対する応
答文として小売店３００に送信する。ここべき東回（Ｍ
ＯＤ−Ｐ（ｌＷ［！Ｒ）　２５３を使って事前に計算し
ておく（事前に計算してメモリに格納しておいてもよ（
ｂ）。

１／Ｌｉは、剰余Ｎｉにおけるり、の指数成分としての
逆光であり、次式 ％式％（（ を満たす、Ｐ！、Ｑ、、Ｌｉをメモリ（ＭＥＭ）　２１
１から読出して逆光計算器（ｒＮＶ　ＥＬＥＭ　ＣＡＬ
）　　２５２に入力して１／Ｌ１を計算する。またＸｌ
の関数ｆ、（Ｘｉ）は一方向性関数器（ｆ−ＣＡＬ）２
５１によって実行されるｊをパラメータとする一方向性
関数であり、例えば次のような実現例がある。

ここでｆは適当な一方向性関数とする。

ｒ、（Ｘ）　＝ｆ　（ｘｌｌ　ｊ）　　　　　・・−（
５８）ステップＳｉ：小売店３００は受信したｊとメモ
リ（ＭＥＭ）　３１１から読出したＸｌとを一方向性関
数器ｆ−（ｃＡＬ）３５０に人力し、ｊをパラメータと
する式（５８）と同様な関数ｆｊ（Ｘｉ）を計算する。

一方向性関数器３２２の出力値Ｅｉと受信したＶｉ、Ｎ
ｉを剰余べき東回（ＭＯＤ−ＰＯＷＥＲ）　３０４に入
力してＶｌ　ｍｏｄ　Ｎｌ　を計算し、その結果とｆｊ
（Ｘｉ）及びＮ１を剰余乗算器（ＭＯＤ−ＭＯＬ）　３
１３に入力してｆ＋（Ｘｔ）　　・Ｖｉ　（ｓｏｄ　Ｎ
ｔ）を得る。

またＹｉ、Ｎｔ、Ｌｉを剰余べき東回（ＭＯＤ−ＰＯＷ
ＥＲ）３０５に入力してＹｉｌｌＯｄＮｉを計算する。

剰余べき乗器３０５と剰余乗算器３１３の出力を比較器
（ＧＯＭＰ）　３０６に入力し、次式％式％） が成立するかどうかを検査する。この式が成立すれば利
用者２００は確がｋ自分の秘密情報Ｓｉを使って応答文
Ｙｉを正しく作成したと判断し、小売店３００はその電
子コインを正当なものとみなしそれを受け取る。

小売店３００と銀行１００の間の処理手順と機能ブロッ
ク図はそれぞれ第６Ｄ図及び第７Ｄ図とほとんど同じな
のでその詳細な説明は省略する。

第６Ｄ図の処理手順と異なる点はステップＳ４ｌにおい
て小売店３００から銀行１００に送られる情報の中に電
子コインＣの使用回数ｊを追加している点である。又、
銀行１００において電子コインの不正二重使用を検出す
るには、第２Ｄ図のステップＳｅｔにおいて受信した（
Ｖｌ、　Ｘｉ、　ｊ　）と同じ値の組がメモリ１１．１
内に既に記憶されているか探しくただし１≦ｊ≦Ｋ）、
以下の処理はＳＣｔ〜ＳＣ５と同じである。即ち同一電
子コインＣに対し同じ値の情報（Ｖｉ、　Ｘｉ、　ｊ　
）の組が２つあった場合、それらに対応する異なる他の
情報の＆ｕ（Ｅｉ。

ｙｔ）及び（Ｅ’、、ゾ８）が存在することになり、前
述のように対応する秘密情報Ｓｉを計算で求めることが
可能となる。ＳＩには識別情報ＩＤｐが入っているので
二重使用者を特定することができる。

〔ｊ回目の使用における電子コインの譲渡〕第２実施例
によれば前述の電子コインの譲渡と複数回使用を組合せ
て実施することも可能である。

以下に利用者２００ａが使用ｊ回目において電子コイン
Ｃを利用者２００ｂに譲渡し、利用者２００ｂが小売店
３００での支払いに利用する場合について説明する。

譲渡穴である利用者２００ａと譲り受入である利用者２
００ｂとの間の処理手順を第１．２Ａ図に、またその場
合の利用者２００ａと２００ｂの機能ブロック図を第１
３Ａ図に示す。以下ではｉ＝１゜・・・、に／２とする
。

ステップＳ２　：まず譲渡穴２００ａはメモリ（ＭＨＭ
）　２１１から読出した自分の有している情報（Ｎｉ、
Ｌｉ、Ｖｔ、Ｂｌ、Ｘｉ、Ｃ）を譲受人２００　ｂニ送
信する。

ステップＳ２　：譲受人２００ｂはディジタル署名検査
器（ＤＩＧ　ＳＩＧ　ＶＥｉ？ＴＦＩＥＲ）　　５１９
　Ａ、　　５１９Ｂを用いて、公開鍵ｅ、により譲渡穴
２００ａの利用許可証ＢｉＣ又はＢ）に示されているＭ
、＝Ｎｉ　ＩＩ　ｖｉ　ＩＩ　ｒ、ｉ又はＭｌ、・・・
、　Ｍ、ｋ２、に対する銀行の署名の正当性を、前検証
式（４５）又は（４５’　）を使って、また公開ｍｅ’
ａにより電子コインＣに示されているＸ１１１・・・Ｉ
Ｉ　Ｘ＋＋ｚｚ　ＩＩ　Ｂ　Ｉ　ＩＩ・・・ＩＩＢ−／
−又はＸｉｌ・・・１１　Ｘ　−ｙ−ＩＩ　Ｂに対する
銀行の署名の正当性を前検証式（４６）又は（４６’　
）を使ってそれぞれ検査する。この検査が不合格の場合
は以降の処理を中止する。

ステップＳ３　：譲受人２００ｂは乱数発生器（ＲＡＮ
ＤＯＭ　ＧＢＮ）　　５０３より発生した乱数εｉを問
い合わせ文として譲渡穴２００ａに送る。

ステップＳ４　：譲渡穴２００ａは受信したε。

とメモリ２１１から読出した自分の情報Ｓ＋、Ｎｔを剰
余べき来宅（ＭＯＤ−ＰＯＷＥＲ）　２２２に入力して
ε　。

ＳＨｌ１ｏｄ　Ｎ４を計算する。その計算結果とメモリ
２１１から読出したＮｉ及び申、と剰余乗算器（ＭＯＤ
−ＭＯＬ）　　２２３に入力して＜Ｊ＞　　　ε益 Ｙｒ　　＝’？ｒ　　・Ｓｉ　　ｓｏｄ　　Ｎ１を計算
し、ｊと共にＹＩを応答文として譲受人魚に説明したも
のと同じであり、式（５６）、　（５７）。

す２１１に記憶しである。

ステップＳｉ：譲受人２００ｂは受信したｊとメモリ　
（ＭＥＭ）　５１１から読出したＸｉとを一方向性関数
器（ｆ−ＣＡＬ）５２１に入力し、ｊをパラメータとす
る前述の式（５８）と同様な関数ｆｊ（Ｘｌ）を計算す
る。一方乱数発生器５０３から発生された乱数εｉと受
信したＶｉ、Ｎｉを剰余べき来宅（ＭＯＤ−ＰＯｌｔＥ
Ｒ）　５０４に入力してＶｌｌｌｏｄＮｉを計算し、そ
の結果と一方向性関数器５２１の出力ｒｊ（ｘｔ）及び
Ｎｉを剰余乗算器（ＭＯＤ−ＭＯＬ）５１３に入力して
ｆ　ｉ　（Ｘｉ）　　・Ｖｉ　ｓｏｄ　Ｎｔを得る。ま
た受信した応答文Ｙｉとメモリ５１１から読出したＮｉ
、Ｌｉを剰余べき来宅（？１ＯＤ−ＰＯ阿ＥＲ）５０５
に入力してＹｉ　ｓｏｄ　Ｎｉを計算する。これれら剰
余べき来宅５０５と剰余乗算器５１３の出力を比較器（
ｃＯＭＰ）　　５０６に人力しＹｉミｆ　ｊ（Ｘｔ）−
Ｖｉ　（ｍｏｄ　Ｎｉ）・・・（６０） が成立するか検査する。この式が成立すれば譲渡穴２０
０ａが確がｋ自分の秘密情報Ｓｉを使って正しく応答文
Ｙｉを作成したと判断する。

ステップＳｉ：譲受人２００ｂはそこで自分の利用許可
証言、、・・・、官、７□　（又は官）をメモリ５１１
から読出して譲渡穴２００ａに送る。

ステップＳｉ：譲渡人２００ａは受けた官、、・・・ｇ
、ｋ２、　　＜又は官）に対し、例えば両式（４７）の
ディジタル署名関数を計算する署名器（ＤＩＧ　ＳＩＧ
　ＧＢＮ）２３３を使って自分の署名を付けて、その結
果Ｔを譲渡証として譲受人２００ｂに送り返す。

ステップＳ２　：ｍ受入２００ｂは譲渡穴２００ａの公
開鍵Ｎｉと受信した譲渡証Ｔをディジタル署名検査器（
ＤＩＧ　ＳＩＧ　ＶＥＲＩＦＩＥＲ）　５１９　Ｃに入
力して両式（４８）が成立するか検査する。１ピース利
用許可証官の場合は式（４８”）により検査する。

この検査に合格すれば、譲受人２００ｂはｊ回目使用の
電子コインＣを正当なものとみなして受け取る。

次に譲受人である利用者２００ｂが利用者２００ａから
譲渡された電子コインＣを用いて小売店３００で支払い
をする場合について説明する。利用者２００ｂと小売店
３００の間の処理手順例を第１２Ｂ図に示す。又、利用
者２００ｂと小売店３００の機能ブロック図を第１３Ｂ
図に示す。以下ではｉ−１，・・・、に／２とする。

ステップＳｉ：利用者２００ｂはメモーリ　（ＭＥＭ）
５１１から読出した受信情報グループ（Ｎｉ、ＬｉＶＨ
，ＸＨ，Ｂ（、Ｙｈ、Ｃ，Ｔ、　　ｊ）と自分の情報グ
ループ（Ｆ３ｒ、亡ｉ、９＝−ｕ正、　ｅ　ｔ）　ヲ小
売店３００　ニ送信する。

ステップＳｉ゜：小売店３００はディジタル署名検査器
（ＤＩＧ　ＳＩＧ　ＶＥＩ？ｆＦＩＥＲ）　　３１９　
Ａと３１９Ｂを用いて公開鍵ｅＡにより譲渡穴２００ａ
の利用許可証Ｂｉに示された（Ｎｉ　ＩＩ　Ｖ！　Ｉｔ
　Ｌｉ）に対する銀行の署名の正当性を、また公開鍵ｅ
ｊ、により電子コインＣに示された（Ｘｌ　Ｉｔ−Ｉｔ
　ｘｉ、ｚｚｌｌ　Ｂ。

１１・・・ＩＩＢ−／□）に対する銀行の署名の正当性
を両式（４５）、　（４６）に従って検査する。１ピー
ス利用許可証Ｂの場合は式（４５’　）、　（４６’　
）を使って検査する。さらに譲渡証Ｔに示された（Ｌｉ
ｌ・・・１１官ア、□）に対する譲渡穴２００ａの署名
の正当性を両式（４８）に従ったディジタル署名検査器
（ＤＩＧＳＩＧ　ＶＥＲＩＦＩＥＲ）　３　Ｌ　９　Ｃ
により検査する。１ピース利用許可証Ｂの場合は式（４
８’　）を使う。

ステップＳｉ１：小売店３００は更に、受信したεｉ．
Ｖｉ、ＮＺを剰余べき来宅（ＭＯＤ−ＰＯＷＥＩ？）　
３１４に人力してＶ８１ＩｌｏｄＮＩを計算し、その結
果と受信したＮｉ、Ｘｌを剰余乗算器（門ＯＤ−Ｍｔｌ
Ｌ）　３１３に入力してＸｉ・ＶＨｍｏｄ　Ｎｒを計算
する。一方、受信したＹｉ、Ｎｉ、Ｌｉを剰余べき来宅
（ＭｏｏＰＯＷＥＲ）　３１５に人力してＹｉＩｗＯｄ
Ｎ□を計算し、その結果と剰余乗算器３１３の出力とを
比較器（ＧＯＭＰ）　３１６に入力し、次式 ％式％） が成立するか検査する。この式が成立すれば、受信した
情報Ｖｉ、Ｘｉは確がｋ譲渡穴である利用者２００ａ自
身のものであると判定する。

ステップＳＩ！：小売店３００は更にディジタル署名検
査器（ＤＩＧ　ＳＩＧ　ＶＥＩ？ＩＦｒＥＲ）　３１９
　Ｄを用いて公開鍵ｅ、により利用者２００ｂの利用許
可証言えに示された（Ｒ５Ｉｆ　ｖ″１１ｉ’ｆ：＋）
に対する銀行の署名の正当性を両式（５０）と同様の式
に従って検査する。１ピース利用許可証官を使う場合は
式（５０’　）と同様な式を使って検査する。この検査
が不合格の時は以降の処理を中止する。

ステップＳｉ．：小売店は譲受人である利用者２００ｂ
の利用者情報Ｖｉの正当性を検査するためのタイマ（Ｔ
ＩＭＥＲ）　３２１の出力時刻む、乱数発生器（ＲＡＮ
ＤＯＭ　Ｇｌｌ！Ｎ）　３０３から出力された乱数Ｔ、
及び小売店の識別情報ＩＤｖを問い合わせ文ｑｉとして
利用者２００ｂに送る。それと共に一方向性関数器（ｆ
−ＣＡＬ）３２２にｌＤｖ、ｔＴｌを入力してＥｉ　−
ｆ　（ＩＤｖ、ｔ、　　Ｉｔ）を計算する。

ステップＳｉ４：利用者２００ｂは受信した１０゜ｔ、
γ′ｉを一方向性関数器（ｆ、−ＣＡＬ）　５２２へ入
力し、その出力ＥＨ＝　ｆ　（Ｉ　Ｄｖ、　ｔ＋　　ｒ
＋）とメモリ（ＭＥＭ）　５１１から読出した自分の情
報室、。

Ｒ，を剰余べき来宅（ＭＯＤ−ＰＯＩ４ＥＩ＋）　５２
３に入力してｇｒ　ｓｏｄ　’ｆ３ｉを計算する。その
計算結果とメモ器（ＭＯＤ−ＭＵＬ）　　５２４に入力
して次式を計算し、？′ｉを応答文としてｊと共に小売
店と同様に次式を満足し、あらかじめ計算してメモリ５
１１内に記憶されている。

ステップＳ＋ｓ：小売店３００は一方向性関数器３２２
の出力Ｅｉと受信したｖ直、￥Ｊｉを剰余べき来宅（列
０Ｄ−ＰＯＷＥＲ）　３０４に入力して□−Ｏｄ’Ｒｉ
を計算する。一方、受信したｊとメモリ（？ｌＥＭ）３
１１から読出したＸ工を一方向性関数器（ｆ−ＣＡＬ）
３５０に入力してｆＪ（Ｘｔ）を計算し、その結果とＮ
ｉ及び剰余べき来宅３０４の出力をを剰余乗算器（ＭＯ
Ｄ−ＭＯＬ）　　３１３に入力シテｆＪ（Ｘｉ）　　・
ｖＩＩＩＯｄ々□を得る。また受信した？１とＩｔ・ｔ
ｌは剰余べき来宅（珂０Ｏ−ＰＯ匈ＥＲ）　３０５に与
えられて？、−０ｄＮ＋が計算される。この計算結果と
剰余乗算器３１３の出力を比較器（ｃＯＭＰ）３０６に
入力し、次式 が成立するかを検査する。この式が成立すれば情報、は
譲受人２００ｂ自身のものであると判定し、小売店３０
０はその電子コインＣを正当なものとみなして受け取る
。

銀行１００と小売店３００との間の処理手順及びそれら
の機能ブロック図は第８Ｃ図及び第９Ｃ図とほとんど同
じなので図示してない。異なる点は第８Ｃ図のステップ
Ｓｉ６において銀行１００に送信する情報のグループに
は利用者２００ｂから受信した使用回数情報ｊも付加さ
れている点である。銀行１００は不正二重使用を検出す
るために受信した情報（Ｖｉ、Ｘｉ、ｊ）と同じ値の組
がメモ’Ｊ　１１１内にあるかを第２Ｄ図のステップＳ
ｉ６で探し、以下の処理はステップＳｃ！−３ｃＳと同
じである。このようにして同じ情報（Ｖｉ、　Ｘｉ、　
ｊ　）の組が２つあった場合、それらに対応する異なる
値の情報の組（Ｅｉ、Ｙｉ）及び（Ｅ′ｉ、Ｙ’＋）が
存在することになり、前述のように対応する秘密情報Ｓ
ｉを計算することが可能となるので二重使用者を特定で
きる。

〔発明の効果〕

以上より、この発明では、銀行、利用者と小売店のプロ
トコルを工夫することで従来方式で問題であった関数ｆ
の２戒分の不干渉性を仮定しなくても従来方式と同等の
機能を有する電子現金を実施できる。

またあらかじめ利用許可証を発行し、その利用許可証を
使って電子コインを発行するようにすれば、電子コイン
の発行処理は１回のブラインド署名作成手順を行うのみ
でよく処理上の負担が少ない。

さらに、この発明では従来方法では不可能であった利用
者間の電子コインの譲渡を可能としている。つまり、電
子コインを発行された利用者が他の利用者にその電子コ
インを譲渡することができる。ここで、利用者が使用済
の電子コインを他の利用者に譲渡する場合や、複数利用
者に同一電子コインを譲渡する場合は、同一コインを２
回使用の場合と同様に電子コインを不正に処理した利用
者の秘密情報が露見する。

また、１つの電子コインを一定回数以内で複数回利用で
きる方式も可能となる。この方式を用いると利用者は保
持情報量を少なくして（１個のコインを保持する時と同
等の情報量で）、多数のコインを保持することと同等の
効果を得ることができる。

【図面の簡単な説明】

第１図はこの発明が適用される銀行１００、利用者２０
０及び小売店３００の関係を示す図、第２Ａ図はこの発
明の第１実施例における銀行１００と利用者２００間の
電子現金の発行処理手順を示すフロー図、第２Ｂ図は第
１実施例における利用者２００と小売店３００との間の
電子現金の使用処理手順を示すフロー図、第２Ｃ図は第
１実施例における銀行１００と小売店３００の間の処理
手順を示すフロー図、第２Ｄ図は第２Ｃ図において銀行
１００が行う二重使用検出手順を示すフロー図、第３図
は第１実施例における利用者２００の機能ブロック図、
第４図は第１実施例における銀行１００の機能ブロック
図、第５図は第１実施例における小売店３００の機能ブ
ロック図、第６Ａ図はこの発明の第２実施例における銀
行１００と利用者２００の間の利用許可証発行の処理手
順を示すフロー図、第６Ｂ図は第２実施例における銀行
１００と利用者２００の間の電子コインの発行処理手順
を示すフロー図、第６Ｃ図は第２実施例における利用者
２００と小売店３００との間の電子コイン使用処理手順
を示すフロー図、第６Ｄ図は第２実施例における銀行１
００と小売店３００の間の処理手順を示すフロー図、第
７Ａ図は第６Ａ図における銀行１００と利用者２００の
機能ブロック図、第７Ｂ図は第６Ｂ図における銀行１０
０と利用者２００の機能ブロック図、第７Ｃ図は第６Ｃ
図における利用者２００と小売店３００の機能ブロック
図、第７Ｄ図は第６Ｄ図における銀行１００と小売店３
００の機能ブロック図、第８Ａ図は第２実施例における
利用者２００ａと２００ｂ間の電子コインの譲渡処理手
順を示すフロー図、第８Ｂ図は譲受人２００ｂと小売店
３００の間の譲渡された電子コインの使用子１＋［を示
すフロー図、第８Ｃ図は銀行１００と小売店３００の間
の譲渡された電子コインの処理手順を示すフロー図、第
９Ａ図は第８Ａ図における利用者２００ａと２００ｂの
機能ブロック図、第９Ｂ図は第８Ｂ図における利用者２
００ｂと小売店３００の機能ブロック図、第９Ｃ図は第
８Ｃ図における銀行１００と小売店３００の機能ブロッ
ク図、第１０図は第２実施例における複数回使用電子コ
インの利用者２００と小売店３００の間の使用手順を示
すフロー図、第１１図は第１０図における利用者２００
と小売店３００の機能ブロック図、第１２Ａ図は第２実
施例における複数回使用の電子コインの譲渡手順を表わ
す利用者２００ａと２００ｂの間の処理フロー図、第１
．２　Ｂ図は譲渡された複数回使用の電子コインの使用
手順を示すフロー図、第１３Ａ図は第１２Ａ図における
利用者２００ａと２００ｂの機能ブロック図、及び第１
３Ｂ図は第１２Ｂ図における利用者２００ｂと小売店３
００の機能ブロック図である。 特許出願メ

Claims (54)

【特許請求の範囲】
1. （１）銀行が利用者に対し電子現金を発行し、利用者は
   その電子現金を使って第３者に支払いをし、銀行は使用
   された電子現金を持っている最後のパーティとの間で決
   済をする電子現金実施方法であり次の工程を含む： 利用者は （ａ）自分の識別情報を含んだ秘密情報から第１の一方
   向性関数により利用者情報を作成し、 （ｂ）銀行に対し前記利用者情報を含む情報にブライン
   ド署名をさせて署名付利用者情報を得、 （ｃ）乱数情報から第２の一方向性関数により認証用情
   報を作成し、 （ｄ）銀行に対し前記認証用情報を含む情報にブライン
   ド署名をさせて署名付認証用情報を得、 （ｅ）前記利用者情報と、前記署名付利用者情報と、前
   記認証用情報と、及び前記署名付認証用情報とを含む電
   子現金情報を前記銀行が発行した電子現金として第３者
   に渡し、 前記第三者は （ｆ）受け取った前記電子現金情報中の前記署名付利用
   者情報と前記署名付認証用情報の正当性を検証し、 （ｇ）前記正当性が検証されたならば問い合せ文を作成
   して前記利用者に与え、 前記利用者は （ｈ）少くとも自分の作成した前記秘密情報と前記第３
   者から受け取った前記問い合せ文とを使って応答文を作
   成して前記第三者に与え、 前記第３者は （ｉ）受け取った前記電子現金情報中の前記利用者情報
   と前記認証用情報とを使って前記応答文の正当性を検査
   し、前記応答文が正当であれば前記電子現金を正当なも
   のとして受け、 （ｊ）必要に応じて少くとも前記電子現金情報と、前記
   第３者の前記問い合せ文と、前記利用者の前記応答文と
   を第４者に渡す。
2. （２）前記銀行は、 使用された前記電子現金を保有する最後のパーティから
   前記電子現金情報と、前記第３者の作成した前記問い合
   せ文と、前記利用者が作成した前記応答文とを含む情報
   を決済のため受けると、前記電子現金情報中の前記署名
   付利用者情報と前記署名付認証用情報の正当性と前記第
   ３者の前記問い合せ文に対する前記利用者の前記応答文
   の正当性を検査する工程を含む請求項１項記載の電子現
   金実施方法。
3. （３）前記決済のための工程は前記電子現金情報中の前
   記利用者情報と前記認証用情報の組と同じ値の組が前記
   銀行の有するメモリに蓄積されている情報の中にあるか
   検査することにより前記利用者による前記電子現金の不
   正使用の検出を行い、前記電子現金情報と前記問い合せ
   文及び前記応答文とを含む情報を前記メモリに蓄積する
   工程を含む請求項２項記載の電子現金実施方法。
4. （４）前記利用者は前記署名付利用者情報を前記銀行が
   発行した利用許可証として保持し、前記利用者は必要毎
   に前記認証用情報と前記利用許可証を含む情報に対し前
   記銀行にブラインド署名をさせ、それによって得た前記
   署名付認証用情報を前記銀行が発行した電子コインとし
   て用い、前記利用者は前記電子コインの使用に際し前記
   第３者に対し少くとも前記利用許可証と、前記電子コイ
   ンと、前記利用者情報と、前記認証用情報を含む情報の
   組を前記電子現金として与え、各前記第３者及び前記銀
   行は前記署名付利用者情報と前記署名付認証用情報の正
   当性の検証を前記利用許可証と前記電子コインの正当性
   の検証として行う工程を含む請求項２項記載の電子現金
   実施方法。
5. （５）前記最後のパーティは前記第３者であり、第４者
   は前記銀行であり、前記第３者の作成した前記問い合せ
   文は前記第３者の識別情報と時刻情報を含んでいる請求
   項４項記載の電子現金実施方法。
6. （６）前記第３者は自分の秘密情報と自分の利用許可証
   を有しており、前記利用者からの前記応答文が正当であ
   れば前記第３者は自分の利用許可証を前記利用者に与え
   、前記利用者は前記第３者の利用許可証に対し署名をし
   、その署名付利用用許可証を譲渡証として前記第３者に
   与える工程を含む請求項４項記載の電子現金実施方法。
7. （７）前記最後のパーティは前記第４者であり、前記第
   ４者は前記第３者から少くとも前記利用者が出した利用
   許可証と、前記電子コインと、前記利用者情報と、前記
   認証用情報と、前記応答文と、前記第３者が出した自分
   の前記利用許可証と、自分の利用者情報と、前記問い合
   せ文とを受け取り、前記第４者は： 前記利用者の利用許可証と、前記電子コインのそれぞれ
   の正当性を検証し、 前記第３者の前記問い合せ文に対する前記利用者の前記
   応答文の正当性を検証し、 前記第３者の利用許可証の正当性を検証し、前記第４者
   自身の問い合せ文を作成して前記第３者に与え、 前記第３者は： 前記第４者から受けた前記問い合せ文と、前記第３者自
   身の前記秘密情報と、前記利用者の前記認証用情報から
   作成した情報と、を使って応答文を作成し、前記第４者
   に与え、 前記第４者は： 前記第３者の前記利用者情報と、前記第４者の問い合せ
   文と、前記利用者の前記認証用情報を使って前記第３者
   の前記応答文の正当性を検証し、 前記第４者は： 前記第３者の前記利用者情報と、前記第４者の前記問い
   合せ文と、前記利用者の前記認証用情報とを使って前記
   第３者の前記応答文の正当性を検証し、前記電子現金情
   報と、前記第３者の問い合せ文と、前記利用者の応答文
   と、前記第３者の利用許可証と、前記第３者の利用者情
   報と、前記第４者の問い合せ文と前記第３者の応答文と
   、を含む情報を前記銀行に与える請求項６項記載の電子
   現金実施方法。
8. （８）前記銀行は更に前記第４者の問い合せ文に対する
   前記第３者の応答文の正当性を検証する工程を含み、前
   記銀行は前記利用者の前記認証用情報と前記第３者の前
   記利用者情報の組と同じ値の組が前記銀行の有する前記
   メモリに蓄積されている情報の中にあるか検査すること
   により前記第３者による前記電子コインの不正使用の検
   出を行う工程を含む請求項７項記載の電子現金実施方法
   。
9. （９）前記銀行はあらかじめ決めた複数回にの前記電子
   コインの使用を許可しており、前記利用者は前記電子コ
   インのｊ回目、ただしｉ≦ｊ≦ｋ、の使用において前記
   第３者からの前記問い合せ文に対し、前記利用者の前記
   秘密情報と前記値ｊをパラメータとして変化する一方向
   性関数により前記利用者の前記認証用情報から計算した
   情報とから前記応答文を作成し、前記応答文を前記値ｊ
   と共に前記第３者に与え、前記第３者は前記問い合せ文
   と、前記利用者の前記認証用情報と、前記利用者の前記
   利用者情報と前記値ｊを使って前記応答文の正当性を検
   証し、前記第４者へ与える情報中に前記値ｊを含めて与
   える工程を含む請求項４項記載の電子現金実施方法。
10. （１０）前記第３者は前記利用者からの応答文が正当で
    あると検証すると前記第３者の利用許可証を前記利用者
    に与え、前記利用者は受けた前記第３者の利用許可証に
    署名をして譲渡証として前記第３者に与え、前記第３者
    は前記譲渡証の正当性を検証する工程を含む請求項９項
    記載の電子現金実施方法。
11. （１１）前記銀行は前記最後のパーティから前記値ｊも
    受け取り、前記銀行は前記利用者情報と前記認証用情報
    と前記値ｊとの組と同じ値の組が前記銀行の前記メモリ
    に蓄積されている情報の中にあるか検査することによっ
    て前記利用者による前記電子コインの不正使用を検出す
    る工程を含む請求項９又は１０項記載の電子現金実施方
    法。
12. （１２）前記利用者情報を含む情報に前記ブラインド署
    名させる工程は： 前記利用者が前記利用者情報を含む情報を撹乱乱数を変
    数とする一方向性のブラインド署名前処理関数により処
    理して撹乱利用者情報として前記銀行に与える工程と、 前記銀行が前記撹乱利用者情報の一部に署名関数により
    署名し、署名付撹乱利用者情報として前記利用者に返す
    工程と、 前記利用者は受けた前記署名付撹乱利用者情報からブラ
    インド署名後処理関数により前記撹乱乱数の影響を除去
    することにより前記署名付利用者情報を得る工程、 とを含む請求項１、２又は４項記載の電子現金実施方法
    。
13. （１３）前記利用者は前記秘密情報をｋ個、ｋは２以上
    の整数を作成し、またそれらｋ個の前記秘密情報にそれ
    ぞれ対応して前記利用者情報及び前記撹乱利用者情報を
    それぞれｋ個作成し、 前記銀行はｋ個の前記撹乱利用者情報を受けると、その
    うちあらかじめ決めた個数の前記銀行が選択した前記撹
    乱利用者情報の作成にそれぞれ使われた前記秘密情報と
    前記撹乱乱数を含む作成データの組を与えるよう前記利
    用者に要求し、それによって前記利用者から得た作成デ
    ータの組により対応する撹乱利用者情報を計算し、それ
    ら計算結果が前記利用者から受けた前記撹乱利用者情報
    の対応するものとそれぞれ一致することを検証する工程
    を含む請求項１２項記載の電子現金実施方法。
14. （１４）前記撹乱利用者情報の前記一部は前記銀行が前
    記利用者から受けたｋ個の前記撹乱利用者情報のうち前
    記検証で使用した以外のあらかじめ決めた第２の個数の
    前記撹乱利用者情報であり、前記銀行は前記署名関数に
    より前記あらかじめ決めた第２の個数の前記撹乱利用者
    情報に対して署名を付け、前記署名付撹乱利用者情報を
    作成し前記利用者に与える工程を含む請求項１３項記載
    の電子現金実施方法。
15. （１５）前記利用者情報を含む情報に前記ブラインド署
    名させる工程と前記認証用情報を含む情報にブラインド
    署名をさせる工程は次の工程を含む：前記利用者は：そ
    れぞれが前記識別情報ＩＤ＿ｐを含む前記秘密の情報Ｓ
    ＿ｉをｋ個、ｋは２以上の整数を作成し、前記乱数情報
    Ｒ＿ｉをｋ個作成し、ｋ個の前記秘密情報とｋ個の前記
    乱数情報から前記第１及び第２一方向性関数によりそれ
    ぞれｋ個の前記利用者情報Ｖ＿ｉとｋ個の前記認証用情
    報Ｘ＿ｉを作成し、ｋ個の前記利用者情報Ｖ＿ｉをそれ
    ぞれ変数として一方向性の第１ブラインド署名前処理関
    数に与えることによりそれぞれ撹乱処理された対応する
    ｋ個の前記撹乱利用者情報Ｗ＿ｉを作成し、ｋ個の前記
    認証用情報Ｘ＿ｉをそれぞれ変数として一方向性の第２
    ブラインド署名前処理関数に与えることによりそれぞれ
    撹乱処理された対応するｋ個の前記撹乱認証用情報Ｚ＿
    ｉを作成し、これらｋ個の前記撹乱利用者情報Ｗ＿ｉ、
    とｋ個の前記撹乱認証用情報Ｚ＿ｉを前記銀行に与え、 前記銀行は：各ｋ組の前記撹乱利用情報Ｗ＿ｉと前記撹
    乱認証用情報Ｚ＿ｉを受け取ると、それらの中からそれ
    ぞれｋ個より少ないあらかじめ決めた第１の個数ｋ＿１
    の前記撹乱利用者情報と前記撹乱認証用情報を選択し、
    選択した前記撹乱利用者情報と前記撹乱認証用情報の作
    成に前記利用者によってそれぞれ使われた前記秘密情報
    Ｓ＿ｉと前記乱数情報Ｒ＿ｉとをそれぞれ含む前記第１
    の個数ｋ＿１の情報の組を指定して前記利用者に対し要
    求し、 前記利用者は：前記銀行の指定した前記第１の数の前記
    情報の組を前記銀行に与え、 前記銀行は：受け取った前記情報の組により前記第１の
    数ｋ＿１の対応する撹乱利用者情報Ｗ＿ｉと前記第１の
    数に対応する撹乱認証用情報Ｚ＿ｉをそれぞれ計算し、
    それら計算された撹乱利用者情報Ｗ＿ｉと計算された撹
    乱認証用情報Ｚ＿ｉがそれぞれ選択した前記撹乱利用者
    情報Ｗ＿ｉ及び前記撹乱認証用情報Ｚ＿ｉのそれぞれ対
    応するものと一致することを検証し、受け取った前記情
    報の組の中のすべての前記秘密情報Ｓ＿ｉの中に前記利
    用者の前記識別情報ＩＤ＿ｐが含まれていることを確認
    し、前記利用者から受け取ったｋ個の前記撹乱利用者情
    報Ｗ＿ｉのうち前記選択したｋ個以外のあらかじめ決め
    た第２の個数ｋ＿２の前記撹乱利用者情報に対しそれぞ
    れ第１署名関数により署名して前記第２の個数ｋ＿２の
    署名付撹乱利用者情報Ω＿ｉを作成して前記利用者に与
    え、前記利用者から受け取ったｋ個の前記撹乱認証用情
    報Ｚ＿ｉのうち前記選択したｋ＿１個以外の前記第２の
    個数ｋ＿２の前記撹乱認証用情報に対しそれぞれ第２署
    名関数により署名して前記第２の個数の署名付撹乱認証
    用情報■＿ｉを作成して前記利用者に与え、 前記利用者は：受け取った前記署名付撹乱利用者情報Ω
    ＿ｉと前記署名付撹乱認証用情報■＿ｉに対しそれぞれ
    第１及び第２ブラインド署名後処理関数により撹乱除去
    処理をしてそれぞれｋ＿２個の前記署名付利用者情報Ｂ
    ＿ｖ＿ｉと前記署名付認証用情報Ｂ＿ｘ＿ｉを得る、 工程を含み、前記電子現金の使用における前記署名付利
    用者情報と前記署名付認証用情報に係わる処理はすべて
    前記第２の数ｋ＿２の署名付利用者情報と前記第２の数
    ｋ＿２の署名付認証用情報に対して実行される請求項１
    項記載の電子現金実施方法。
16. （１６）前記利用者はｋ個の素数Ｌ＿ｉと、ｋ対の秘密
    の素数Ｐ＿ｉ、Ｑ＿ｉと、ｋ個の素数積Ｐ＿ｉ×Ｑ＿ｉ
    ＝Ｎ＿ｉを作成し、前記秘密情報Ｓ＿ｉと前記乱数情報
    Ｒ＿ｉから前記利用者情報Ｖ＿ｉと前記認証用情報Ｘ＿
    ｉをそれぞれ次式で表される前記第１及び第２一方向性
    関数 ▲数式、化学式、表等があります▼ ▲数式、化学式、表等があります▼ により計算する工程を含む請求項１５項記載の電子現金
    実施方法。
17. （１７）前記最後のパーティは前記第３者であり、前記
    第４者は前記銀行であり、前記利用者は前記電子現金を
    前記第３者に対し使用するにあたってｋ＿２組の｛Ｖ＿
    ｉ、Ｂ＿ｖ＿ｉ、Ｘ＿ｉ、Ｂ＿ｘ＿ｉ｝を電子現金情報
    としてＮ＿ｉとＬ＿ｉと共に前記第３者に与え、前記第
    ３者は前記問い合せ文ｑ＿ｉを前記利用者に与えると共
    に問い合せ文関数Ｅ＿ｉ＝ｆ（ｑ＿ｉ）により問い合せ
    文情報Ｅ＿ｉをｋ＿２個のｉについて計算し、前記利用
    者は受け取った前記問い合せ文ｑ＿ｉから前記問い合せ
    文関数Ｅ＿ｉ＝ｆ（ｑ＿ｉ）によりｋ＿２個の問い合せ
    文情報Ｅ＿ｉを計算し、次式で表わせる応答文 Ｙ＿ｉ＝Ｒ＿ｉ・Ｓ＿ｉ＾Ｅ＾ｉｍｏｄＮ＿ｉをｋ＿２
    個作成して前記第３者に与え、 前記第３者は受け取った応答文Ｙ＿ｉを使って次式で表
    わされる検証式、 Ｙ＿ｉ≡Ｘ＿ｉ・Ｖ＿ｉ＾Ｅ＾ｉ（ｍｏｄＮｉ）がｋ＿
    ２個のすべてのｉについて成立することにより前記応答
    文Ｙ＿ｉの正当性を検証する工程を含む請求項１６項記
    載の電子現金実施方法。
18. （１８）前記第３者は前記電子現金を決済するためのｋ
    ＿２個のすべてのｉについての前記電子現金情報｛Ｖ＿
    ｉ、Ｂ＿ｖ＿ｉ、Ｘ＿ｉ、Ｂ＿ｘ＿ｉ｝と、前記問い合
    せ文ｑ＿ｉと前記応答文Ｙ＿ｉとＬ＿ｉ及びＮ＿ｉを前
    記銀行に与え、 前記銀行は前記第３者から受けた情報を使って、次式で
    表わされる検証式 Ｙ＿ｉ＾Ｌ＾ｉ≡Ｘ＿ｉ・Ｖ＿ｉ＾Ｅ＾ｉ（ｍｏｄＮ＿
    ｉ）がｋ＿２個のすべてのｉについて成立することによ
    り前記問い合せ文ｑ＿ｉに対する前記応答文Ｙ＿ｉの正
    当性を検証する工程を含む請求項１７項記載の電子現金
    実施方法。
19. （１９）前記銀行は前記第３者から受け取った前記利用
    者情報と前記認証用情報の組｛Ｖ＿ｉ、Ｘ＿ｉ｝と同じ
    値の組が前記銀行の前記メモリ内にあるか検査し、なか
    った場合は前記第３者から受けた情報を前記メモリに記
    憶し、あった場合は前記メモリ内に記憶されている対応
    する問い合せ文ｑ′＿ｉと応答文Ｙ′＿ｉを読出し、前
    記読出した問い合せ文ｑ′＿ｉから問い合せ情報Ｅ′＿
    ｉ＝ｆ（ｑ′＿ｉ）を計算し、次式 α・Ｌ＿ｉ＋β（Ｅ＿ｉ−Ｅ′＿ｉ）＝１ を満たす整数αとβをユークリッド互除法により解き、
    更に次式 Ｖ＿ｉ＾α・（Ｙ＿ｉ／Ｙ′＿ｉ）＾βｍｏｄＮ＿ｉ＝
    Ｓ＿ｉより秘密情報Ｓ＿ｉを計算し、前記計算した秘密
    情報Ｓ＿ｉの中から前記電子現金を不正使用した前記利
    用者の識別情報ＩＤ＿ｐを得る工程を含む請求項１８項
    記載の電子現金実施方法。
20. （２０）前記利用許可証を得る工程は 前記利用者が：それぞれが前記識別情報を含む前記秘密
    情報Ｓ＿ｉをｋ個、ｋは２以上の整数、作成し、ｋ個の
    前記秘密情報Ｓ＿ｉから前記第１の一方向性関数により
    前記利用者情報Ｖ＿ｉをｋ個作成し、各前記利用者情報
    Ｖ＿ｉを含む情報Ｍ＿ｉを変数として一方向性の第１ブ
    ラインド署名前処理関数に与えることによりそれぞれ撹
    乱処理された対応するｋ個の前記撹乱利用者情報Ｗ＿ｉ
    を作成し、それを前記銀行に与え、 前記銀行が：ｋ個の前記撹乱利用者情報Ｗ＿ｉを受け取
    ると、それらの中からｋ個より少ないあらかじめ決めた
    第１の個数ｋ＿１の前記撹乱利用者情報を選択し、選択
    した前記撹乱利用者情報の作成に前記利用者によってそ
    れぞれ使われた前記秘密情報Ｓ＿ｉを含む情報の組を指
    定して前記利用者に対し要求し、 前記利用者が：前記銀行の指定した前記第１の個数ｋ＿
    １の前記情報の組を前記銀行に与え、前記銀行が：受け
    取った前記情報の組により前記第１の個数ｋ＿１の対応
    する撹乱利用者情報Ｗ＿ｉを計算し、それら計算された
    撹乱利用者情報Ｗ＿ｉが前記選択した撹乱利用者情報Ｗ
    ＿ｉの対応するものと一致することを検証し、受け取っ
    た前記情報の組の中の全ての前記秘密情報Ｓ＿ｉの中に
    前記利用者の前記識別情報ＩＤ＿ｐが含まれていること
    を確認し、 前記利用者から受け取ったｋ個の前記撹乱利用者情報Ｗ
    ＿ｉのうち前記選択したｋ＿ｉ個以外のあらかじめ決め
    た第２の個数ｋ＿２の前記撹乱利用者情報に対しそれぞ
    れ第１署名関数により署名してｋ＿２個の署名付撹乱利
    用者情報Ω＿ｉを作成して前記利用者に与え、 前記利用者が：受け取ったｋ＿２個の前記署名付撹乱利
    用者情報Ω＿ｉに対しそれぞれ第１ブラインド署名後処
    理関数により撹乱除去処理をしてｋ＿２個の前記署名付
    利用者情報Ｂ＿ｖ＿ｉを得る、工程を含み、前記利用者
    はｋ＿２個の前記署名付利用者情報を前記銀行が発行し
    た前記利用許可証として使用する請求項４項記載の電子
    現金実施方法。
21. （２１）前記電子コインの発行は、 前記利用者が前記乱数情報Ｒ＿ｉをｋ＿２個作成し、前
    記第２の個数ｋ＿２の前記乱数情報Ｒ＿ｉから前記第２
    一方向性関数によりｋ＿２個の前記認証用情報Ｘ＿ｉを
    作成し、ｋ＿２個の前記利用許可証Ｂ＿ｉとｋ＿２個の
    前記認証用情報Ｘ＿ｉを含む情報ｍを変数として一方向
    性の第２ブラインド署名前処理関数に与えることにより
    前記撹乱認証用情報Ｚを作成して前記銀行に与え、 前記銀行は与えられた前記撹乱認証用情報Ｚに対し第２
    署名関数により署名をして前記署名付撹乱認証用情報■
    を作成して前記利用者に与え、前記利用者は前記署名付
    撹乱認証用情報■に対し第２ブラインド後処理関数を使
    って撹乱除去処理をして前記署名塚認証用情報を前記電
    子コインＣとして得る工程を含む請求項２０項記載の電
    子現金実施方法。
22. （２２）前記利用者はｋ個の素数Ｌ＿ｉと、ｋ対の秘密
    の素数Ｐ＿ｉ、Ｑ＿ｉと、ｋ個の素数積Ｎ＿ｉ＝Ｐ＿ｉ
    ×Ｑ＿ｉを作成し、ｋ個の前記秘密情報Ｓ＿ｉからｋ個
    の前記利用者情報Ｖ＿ｉを次式で表わされる前記第１の
    一方向性関数 Ｖ＿ｉ＝Ｓ＿ｉ＾Ｌ＾ｉｍｏｄＮ＿ｉ、ｉ＝ｌ、・・・
    、ｋにより計算する工程を含む請求項２１項記載の電子
    現金実施方法。
23. （２３）以下において前記ｋ＿２個のｉをｉ＝ｌ、・・
    ・、ｋ＿２とすると、前記利用者は前記認証用情報Ｘ＿
    ｉを次式 Ｘ＿ｉ＝Ｒ＿ｉ＾Ｌ＾ｉｍｏｄＮｉ、ｉ＝ｌ、・・・、
    ｋ＿２で表わされる前記第２一方向性関数によってｋ＿
    ２個作成する工程を含む請求項２２項記載の電子現金実
    施方法。
24. （２４）前記最後のパーティは前記第３者であり、前記
    第４者は前記銀行であり、前記利用者は前記電子コイン
    Ｃの使用において、前記電子コインＣとｋ＿２個の前記
    利用許可証Ｂ＿ｉと、ｋ＿２個の前記利用者情報Ｖ＿ｉ
    と、ｋ＿２個の前記認証用情報Ｘ＿ｉとを含む前記電子
    現金情報とｋ＿２個の前記素数Ｌ＿ｉと、ｋ＿２個のＮ
    ＿ｉとを前記第３者に与え、前記第３者はｋ＿２個の前
    記問い合せ文ｑ＿ｉを作成して前記利用者に与えると共
    に問い合せ文関数Ｅ＿ｉ＝ｆ（ｑ＿ｉ）によりｋ＿２個
    の問い合せ文情報Ｅ＿ｉを計算し、前記利用者は与えら
    れた前記問い合せ文ｑ＿ｉから前記問い合せ文関数によ
    り問い合せ文情報Ｅ＿ｉを作成し、その問い合せ文情報
    Ｅ＿ｉと前記秘密情報Ｓ＿ｉと前記乱数情報Ｒ＿ｉとを
    使って次式Ｙ＿ｉ＝Ｒ＿ｉ・Ｓ＿ｉ＾Ｅ＾ｉｍｏｄＮ＿
    ｉ、ｉ＝ｌ、・・・、ｋ＿２ によりｋ＿２個の前記応答文Ｙ＿ｉを作成して前記第３
    者に与え、前記第３者は自分で作成した問い合せ文情報
    Ｅ＿ｉと、前記利用者から与えられた前記利用者情報Ｖ
    ＿ｉと、前記認証用情報Ｘ＿ｉとを使って次式 Ｙ＿ｉ＾Ｌ＾ｉ≡Ｘ＿ｉ・Ｖ＿ｉ＾Ｅ＾ｉ（ｍｏｄＮ＿
    ｉ）、ｉ＝ｌ、・・・、ｋ＿２ が成立することにより前記応答文Ｙ＿ｉの正当性を検証
    し、前記電子コインを正当なものとして認証する工程を
    含む請求項２３項記載の電子現金実施方法。
25. （２５）前記第３者は前記電子コインの決済のため前記
    電子現金情報Ｖ＿ｉ、Ｘ＿ｉ、Ｂ＿ｉ、ＣとＮ＿ｉと前
    記素数Ｌ＿ｉと、前記問い合せ文ｑ＿ｉと、前記応答文
    Ｙ＿ｉとを含む情報を前記銀行に与え、前記銀行は次式
    で表わされる検証式 Ｙ＿ｉ＾Ｌ＾ｉ≡Ｘ＿ｉ・Ｖ＿ｉ＾Ｅ＾ｉ（ｍｏｄＮ＿
    ｉ）、ｉ＝ｌ、・・・、ｋ＿２ が成立することによって前記問い合せ文ｑ＿ｉに対する
    前記応答文Ｙ＿ｉの正当性を検証する工程を含む請求項
    ２４項記載の電子現金実施方法。
26. （２６）前記銀行は前記第４者から受け取った前記利用
    者情報と前記認証用情報の組｛Ｖ＿ｉ、Ｘ＿ｉ｝と同じ
    値の組が前記銀行の前記メモリ内にあるか検査し、なか
    った場合は前記第４者から受けた情報を前記メモリに記
    憶し、あった場合は前記メモリ内に記憶されている対応
    する問い合せ文ｑ′＿ｉと応答文Ｙ′＿ｉを読出し、前
    記読出した問い合せ文ｑ′＿ｉから問い合せ情報Ｅ′＿
    ｉ＝ｆ（ｑ′＿ｉ）を計算し、次式 α・Ｌ＿ｉ＋β（Ｅ＿ｉ−Ｅ′＿ｉ）＝１ を満たす整数αとβをユークリッド互除去法により解き
    、更に次式 Ｖ＿ｉ＾α・（Ｙ＿ｉ／Ｙ′＿ｉ）ｍｏｄＮ＿ｉ＝Ｓ＿
    ｉより秘密情報Ｓ＿ｉを計算し、前記計算した秘密情報
    Ｓ＿ｉの中から前記電子コインを不正使用した前記利用
    者の識別情報ＩＤ＿ｐを得る工程を含む請求項２５項記
    載の電子現金実施方法。
27. （２７）前記最後のパーティは前記第４者であり、前記
    利用者は前記第３者に対し前記電子コインを与えるにあ
    たって前記電子現金情報｛Ｖ＿ｉ、Ｘ＿ｉ、Ｂ＿ｉ、Ｃ
    ｝と、Ｎ＿ｉと、前記素数Ｌ＿ｉとを含む情報を前記第
    ３者に与え、 前記第３者は前記問い合せ文ε＿ｉをｋ＿２個作成して
    前記利用者に与え、 前記利用者は前記問い合せ文ε＿ｉと前記乱数情報Ｒ＿
    ｉと前記秘密情報Ｓ＿ｉとを使って次式Ｙ＿ｉ＝Ｒ＿ｉ
    ・Ｓ＿ｉ＾ε＾ｉｍｏｄＮ＿ｉ、ｉ＝ｌ、・・・、ｋ＿
    ２ によりｋ＿２個の前記応答文Ｙ＿ｉを作成して前記第３
    者に与え、前記第３者は次式 Ｙ＿ｉ＾Ｌ＾ｉ≡Ｘ＿ｉ・Ｖ＿ｉ＾ε＾ｉ（ｍｏｄＮ＿
    ｉ）、ｉ＝ｌ、・・・、ｋ＿２ が成立することによって前記応答文Ｙ＿ｉの正当性を検
    証し、自分の持っているｋ＿２個の利用許可証■＿ｉを
    前記利用者に与え、前記利用者は受け取った前記第３者
    の利用許可証■＿１、・・・、■＿ｋ＿ｚに対し署名を
    付けて譲渡証Ｔを作成し、前記第３者に与える工程を含
    む請求項２７項記載の電子現金実施方法。
28. （２８）前記第３者は前記電子コインの使用にあたって
    、Ｎ＿ｉと、Ｌ＿ｉと、前記電子現金情報｛Ｖ＿ｉ、Ｘ
    ＿ｉ、Ｂ＿ｉ、Ｃ｝と、前記譲渡証Ｔと、前記問い合せ
    文ε＿ｉと、前記応答文Ｙ＿ｉと、前記第３者の利用許
    可証■＿ｉと、前記第３者の利用許可証■＿ｉの作成に
    係わった前記第３者の公開素数積■＿ｉ、素数■＿ｉ、
    利用者情報■＿ｉとを前記第４者に与え、前記第４者は
    次式 Ｙ＿ｉ＾Ｌ＾ｉ≡Ｘ＿ｉ・Ｖ＿ｉ＾ε＾ｉ（ｍｏｄＮ＿
    ｉ）、ｉ＝ｌ、・・・、ｋ＿２ が成立することによって前記利用者の応答文Ｙ＿ｉの正
    当性を検証し、問い合せ文ｑ＿ｉを作成して前記第３者
    に与えると共に問い合せ文関数Ｅ＿ｉ＝ｆ（ｑ＿ｉ）に
    より問い合せ文情報Ｅ＿ｉを計算し、前記第３者は与え
    られた問い合せ文ｑ＿ｉから前記問い合せ文関数Ｅ＿ｉ
    ＝ｆ（ｑ＿ｉ）により問い合せ文情報Ｅ＿ｉを計算して
    次式 ■＿ｉ＝Ｘ＿ｉ＾１＾／■＾ｉｍｏｄ■＿ｉ■＿ｉ＝■
    ＿ｉ・■＿ｉｍｏｄ■＿ｉ、 ｉ＝ｌ、・・・、ｋ＿２ から応答文■＿ｉを作成し、前記第４者に与え、前記第
    ４者は前記利用者の認証用情報Ｘ＿ｉを使って次式 ■＿ｉ≡Ｘ＿ｉ・■＿ｉ（ｍｏｄ■＿ｉ）、ｉ＝ｌ、・
    ・・、ｋ＿２ が成立することにより前記第３者の応答文■＿ｉの正当
    性を検証する工程を含む請求項２７項記載の電子現金実
    施方法。
29. （２９）前記第４者は前記電子コインの決済のため前記
    銀行に対し前記電子現金情報｛Ｖ＿ｉ、Ｘ＿ｉ、Ｂ＿ｉ
    、Ｃ｝と、前記利用者の情報Ｎ＿ｉ、Ｌ＿ｉ、Ｙ＿ｉと
    、前記譲渡証Ｔと、前記第３者の情報｛■＿ｉ、■＿ｉ
    、■＿ｉ、■＿ｉ、ε＿ｉ、■＿ｉ｝と前記第４者の問
    い合せ文ｑ＿ｉを前記銀行に与え、前記銀行は次式で表
    わされる検証式 ▲数式、化学式、表等があります▼ ▲数式、化学式、表等があります▼ が成立することによって前記利用者の応答文Ｙ＿ｉと前
    記第３者の応答文■＿ｉの正当性を検証する工程を含む
    請求項２８項記載の電子現金実施方法。
30. （３０）前記銀行は前記第４者から受け取った前記利用
    者情報と前記認証用情報の組｛Ｖ＿ｉ、Ｘ＿ｉ｝と同じ
    値の組が前記銀行の前記メモリ内にあるか検査し、なか
    った場合は前記第４者から受けた情報を前記メモリに記
    憶し、あった場合は前記メモリ内に記憶されている対応
    する問い合せ文ｑ′＿ｉと応答文Ｙ′＿ｉを読出し、前
    記読出した問い合せ文ｑ′＿ｉ。 から問い合せ情報Ｅ′＿ｉ＝ｆ（ｑ′＿ｉ）を計算し、
    次式 α・Ｌ＿ｉ＋β（Ｅ＿ｉ−Ｅ′＿ｉ）＝１ を満す整数αとβをユークリッド互除法により解き、更
    に次式 Ｖ＿ｉ・（Ｙ＿ｉ／Ｙ′＿ｉ）ｍｏｄＮ＿ｉ＝Ｓ＿ｉよ
    り秘密情報Ｓ＿ｉを計算し、前記計算した秘密情報Ｓ＿
    ｉの中から前記電子コインを不正使用した前記利用者の
    識別情報ＩＤ＿ｐを得る工程を含む請求項２９項記載の
    電子現金実施方法。
31. （３１）前記銀行は前記第４者から受け取った前記第３
    者の前記利用者情報■＿ｉと前記利用者の前記認証用情
    報Ｘ＿ｉの組｛■＿ｉ、Ｘ＿ｉ｝と同じ値の組が前記銀
    行の前記メモリ内に記憶されているか検査し、なかった
    場合は受け取った情報を前記メモリ内に記憶し、あった
    場合は前記メモリ内に記憶されている対応する前記第４
    者の問い合せ文ｑ′＿ｉとそれに対する前記第３者の応
    答文■＿ｉを読み出し、前記読出した問い合せ文ｑ′＿
    ｉから問い合せ情報Ｅ′＿ｉ＝ｆ（ｑ′＿ｉ）を計算し
    、次式α・■＿ｉ＋β・（Ｅ＿ｉ−Ｅ′＿ｉ）＝１を満
    足する整数αとβをユークリッドの互除法により解き、
    更に次式 ■＿ｉ＾α・（■＿ｉ／■＿ｉ）ｍｏｄ■＿ｉ＝■＿ｉ
    から秘密情報■＿ｉを計算し、前記計算した秘密情報■
    ＿ｉの中から前記電子コインを不正使用した前記第３者
    の識別情報を得る工程を含む請求項２９又は３０項記載
    の電子現金実施方法。
32. （３２）前記銀行はあらかじめ決めた複数Ｋ回の前記電
    子コインの使用を許可しており、前記最後のパーティは
    前記第３者であり、前記第４者は前記銀行であり、 前記利用者は前記電子コインのｊ回目、ただし１≦ｊ≦
    ｋ、の使用において前記第３者に前記電子現金情報｛Ｖ
    ＿ｉ、Ｘ＿ｉ、Ｂ＿ｉ、Ｃ｝と情報｛Ｎ＿ｉ、Ｌ＿ｉ｝
    を与え、 前記第３者は前記問い合せ文ｑ＿ｉを作成して前記利用
    者に与えると共に問い合せ文関数Ｅ＿ｉ＝ｆ（ｑ＿ｉ）
    によって問い合せ文情報Ｅ＿ｉを計算し、前記利用者は
    前記問い合せ文ｑ＿ｉから前記問い合せ文関数Ｅ＿ｉ＝
    ｆ（ｑ＿ｉ）により問い合せ文情報Ｅ＿ｉを計算して次
    式 ▲数式、化学式、表等があります▼、 ▲数式、化学式、表等があります▼ から前記応答文Ｙ＿ｉを作成して前記第３者にｊと共に
    与え、ここでｆ＿ｊ（Ｘ＿ｉ）はｊをパラメータとして
    変化するＸ＿ｉの関数であり、 前記第３者は次式 Ｙ＿ｉ＾Ｌ＾ｉ≡ｆ＿Ｊ（Ｘ＿ｉ）・Ｖ＿ｉ＾Ｅ＾ｉ（
    ｍｏｄＮ＿ｉ）、ｉ＝ｌ、・・・、ｋ＿２ が成立することによって前記応答文Ｙ＿ｉの正当性を検
    証する工程を含む請求項２３項記載の電子現金実施方法
    。
33. （３３）前記銀行はあらかじめ決めた複数Ｋ回の前記電
    子コインの使用を許可しており、前記利用者は前記電子
    コインのｊ回目、１≦ｊ≦ｋ、の使用において前記第３
    者に前記電子現金情報｛Ｖ＿ｉ、Ｘ＿ｉ、Ｂ＿ｉ、Ｃ｝
    と情報｛Ｎ＿ｉ、Ｌ＿ｉ｝を与え、 前記第３者は前記問い合せ文ε＿ｉを作成して前記利用
    者に与え、 前記利用者は前記問い合せ文ε＿ｉを使って次式▲数式
    、化学式、表等があります▼、 ▲数式、化学式、表等があります▼ により前記応答文Ｙ＿ｉを作成して前記第３者にｊと共
    に与え、ここでｆ＿ｊ（Ｘ＿ｉ）はｊをパラメータとし
    て変化するＸ＿ｉの関数であり、 前記第３者は次式 ▲数式、化学式、表等があります▼、 が成立することによって前記応答文Ｙ＿ｉの正当性を検
    証し、前記第３者が持っている利用許可証■＿ｉ、ｉ＝
    １、・・・、ｋ＿２、を前記利用者に与え、前記利用者
    は自分の素数積Ｎ＿ｉを使って前記第３者の利用許可証
    ■＿ｉに対し署名を付けて譲渡証Ｔとして前記第３者に
    与える工程を含む請求項２３項記載の電子現金実施方法
    。
34. （３４）前記最後のパーティは前記第４者であり、前記
    第３者は前記電子コインの使用にあたって前記電子現金
    情報｛Ｖ＿ｉ、Ｘ＿ｉ、Ｂ＿ｉ、Ｃ｝と前記利用者の情
    報｛Ｎ＿ｉ、Ｌ＿ｉ、Ｔ、Ｙ＿ｉ、ｊ｝と前記第３者の
    情報｛■＿ｉ、■＿ｉ、■＿ｉ、ε＿ｉ｝を前記第４者
    に与え、 前記第４者は次式 ▲数式、化学式、表等があります▼ が成立することにより前記利用者の応答文Ｙ＿ｉの正当
    性を検証し、問い合せ文ｑ＿ｉを作成して前記第３者へ
    与えると共に問い合せ文関数Ｅ＿ｉ＝ｆ（ｑ＿ｉ）によ
    り問い合せ文情報Ｅ＿ｉを計算し、前記第３者は前記第
    ４者からの問い合せ文ｑ＿ｉから前記問い合せ文関数Ｅ
    ＿ｉ＝ｆ（ｑ＿ｉ）により問い合せ文情報Ｅ＿ｉを計算
    して次式 ▲数式、化学式、表等があります▼、 ▲数式、化学式、表等があります▼ により応答文■＿ｉを作成して前記第４者に与え、前記
    第４者は次式 ▲数式、化学式、表等があります▼、 が成立することにより前記第３者の応答文■＿ｉの正当
    性を検証する工程を含む請求項３３項記載の電子現金実
    施方法。
35. （３５）前記銀行は前記電子コインの決済のため前記最
    後のパーティから前記電子現金情報｛Ｖ＿ｉ、Ｘ＿ｉ、
    Ｂ＿ｉ、Ｃ）と、前記利用者の情報｛Ｎ＿ｉ、Ｌ＿ｉ　
    Ｙｉ、ｊ）と、前記第３者の問い合せ文ｑ＿ｉを含む情
    報を受け取ると、前記問い合せ文関数Ｅ＿ｉ＝ｆ（ｑ＿
    ｉ）により問い合せ文情報Ｅ＿ｉを計算し、前記利用者
    情報Ｖ＿ｉと前記認証用情報Ｘ＿ｉと前記ｊの組｛Ｖ＿
    ｉ、Ｘ＿ｉ、ｊ｝と同じ値の組が前記銀行の前記メモリ
    内に記憶されているか検査し、同じ値の組があった場合
    は前記メモリ内から対応する前記第３者の問い合せ文ｑ
    ＿ｉとそれに対する前記利用者の応答文Ｙ＿ｉを読出し
    、前記読出した問い合せ文ｑ′＿ｉから問い合せ文情報
    Ｅ′＿ｉ＝ｆ（ｑ′ｉ）を計算して次式 α・Ｌ＿ｉ＋β・（Ｅ＿ｉ−Ｅ′＿ｉ）＝１、ｉ＝１、
    ・・・、ｋ＿２ を満足する整数αとβをユークリッドの互除法により解
    いて更に次式 Ｖ＿ｉ＾α・（Ｙ＿ｉ／Ｙ′＿ｉ）ｍｏｄＮ＿ｉ＝Ｓ＿
    ｉ、ｉ＝１、・・・、ｋ＿２ から秘密情報Ｓ＿ｉを計算し、その計算した秘密情報Ｓ
    ＿ｉの中から前記電子コインを不正使用した前記利用者
    の識別情報ＩＤ＿ｐを得る工程を含む請求項３２項記載
    の電子現金実施方法。
36. （３６）前記利用者情報を含む情報に前記ブラインド署
    名をさせる工程は、 前記利用者が、それぞれが前記識別情報を含むｋ個の前
    記秘密情報Ｓ＿ｉ、ｋは２以上の整数、を作成し、ｋ個
    の前記秘密情報Ｓ＿ｉから前記第１の一方向性関数によ
    り前記利用者情報Ｖ＿ｉをｋ個作成し、各前記利用者情
    報Ｖ＿ｉを含む情報Ｍ＿ｉを変数として一方向性の第１
    ブラインド署名前処理関数に与えることによりそれぞれ
    撹乱処理された対応するｋ個の前記撹乱利用者情報Ｗ＿
    ｉを作成し、それを前記銀行に与え、 前記銀行がｋ個の前記撹乱利用者情報Ｗ＿ｉを受け取る
    とそれらの中からｋ個より少ないあらかじめ決めた第１
    の個数ｋ＿１の前記撹乱利用情報を選択し、選択した前
    記撹乱利用者情報の作成に前記利用者によってそれぞれ
    使われた前記秘密情報Ｓ＿ｉを含む情報の組を指定して
    前記利用者に対し要求し、 前記利用者が前記銀行の指定した前記第１の個数ｋ＿１
    の前記情報の組を前記銀行に与え、 前記銀行が受け取った前記情報の組により前記第１の個
    数ｋ＿１の対応する撹乱利用者情報Ｗ′＿ｉを計算し、
    それら計算された撹乱利用者情報Ｗ′＿ｉが前記選択し
    た撹乱利用者情報Ｗ＿ｉの対応するものと一致すること
    を検証し、受け取った前記情報の組の中のすべての前記
    秘密情報Ｓ＿ｉの中に前記利用者の前記識別情報ＩＤ＿
    ｐが含まれていることを確認し、前記利用者から受け取
    ったｋ個の前記撹乱利用者情報Ｗ＿ｉのうち前記選択し
    たｋ＿１個以外のあらかじめ決めた第２の個数ｋ＿２の
    前記撹乱利用者情報から得た多重撹乱利用者情報に対し
    第１署名関数により署名をして署名付撹乱利用者情報Ω
    を作成して前記利用者に与え、 前記利用者が受け取った前記署名付撹乱利用者情報Ωに
    対し第１ブラインド署名後処理関数により撹乱除去処理
    をして前記署名付利用者情報Ｂを得る工程を含み、前記
    利用者は前記署名付利用者情報Ｂを前記銀行が発行した
    前記利用許可証として使用する請求項４項記載の電子現
    金実施方法。
37. （３７）前記電子コインの発行は、 前記利用者が前記乱数情報Ｒ＿ｉをｋ＿２個作成し、そ
    れらから第２一方向性関数によりｋ＿２個の前記認証用
    情報Ｘ＿ｉを作成し、ｋ＿２個の前記認証用情報Ｘ＿ｉ
    と前記利用許可証Ｂを含む情報ｍを変数として一方向性
    の第２ブラインド署名前処理関数に与えることにより前
    記撹乱認証用情報Ｚを作成して前記銀行に与え、 前記銀行は与えられた前記撹乱認証用情報Ｚに対し第２
    署名関数により署名をして前記署名付撹乱認証用情報■
    を作成して前記利用者に与え、前記利用者は前記署名付
    撹乱認証用情報、■に対し第２ブラインド署名後処理関
    数を使って撹乱除去処理をして前記署名付認証用情報を
    前記電子コインＣとして得る工程を含む請求項３６項記
    載の電子現金実施方法。
38. （３８）前記利用者はｋ個の素数Ｌ＿ｉと、ｋ対の秘密
    の素数Ｐ＿ｉ、Ｑ＿ｉと、ｋ個の素数積Ｎ＿ｉ＝Ｐ＿ｉ
    ×Ｑ＿ｉを作成し、ｋ個の前記秘密情報Ｓ＿ｉからｋ個
    の前記利用者情報Ｖ＿ｉを次式 Ｖ＿ｉ＝Ｓ＿ｉ＾Ｌ＾ｉｍｏｄＮ＿ｉ、ｉ＝１、・・・
    、ｋで表わされる前記第１の一方向性関数により計算す
    る工程を含む請求項３７項記載の電子現金実施方法。
39. （３９）以下において前記ｋ＿２個のｉをｉ＝１、・・
    ・ｋ＿２とすると、前記利用者は前記認証用情報Ｘ＿ｉ
    を次式 Ｘ＿ｉ＝Ｒ＿ｉ＾Ｌ＾ｉｍｏｄＮｉ、ｉ＝１、・・・、
    ｋ＿２で表わされる前記第２一方向性関数によって作成
    する工程を含む請求項３８項記載の電子現金実施方法。
40. （４０）前記最後のパーティは前記第３者であり、前記
    第４者は前記銀行であり、前記利用者は前記電子コイン
    Ｃの使用において、前記電子コインＣと前記利用許可証
    Ｂと、ｋ＿２個の前記利用者情報Ｖ＿ｉと、ｋ＿２個の
    前記認証用情報Ｘ＿ｉとを含む前記電子現金情報とｋ＿
    ２個の前記素数Ｌ＿ｉとｋ＿２個のＮ＿ｉとを前記第３
    者に与え、 前記第３者は前記問い合せ文ｑ＿ｉを作成して前記利用
    者に与えると共に問い合せ文関数Ｅ＿ｉ＝ｆ（ｑ＿ｉ）
    によりｋ＿２個の問い合せ文情報Ｅ＿ｉを計算し、前記
    利用者は与えられた前記問い合せ文ｑ＿ｉから前記問い
    合せ文関数により問い合せ文情報Ｅ＿ｉを作成し、その
    問い合せ文情報Ｅ＿ｉと前記秘密情報Ｓ＿ｉと前記秘密
    乱数情報Ｒ＿ｉとを使って次式Ｙ＿ｉ＝Ｒ＿ｉ・Ｓ＿ｉ
    ＾Ｅ＾ｉｍｏｄＮｉ、ｉ＝１、・・・、ｋ＿２ によりｋ＿２個の前記応答文Ｙ＿ｉを作成して前記第３
    者に与え、 前記第３者は自分で作成した問い合せ文情報Ｅ＿ｉと、
    前記利用者から与えられた前記利用者情報Ｖ＿ｉと、前
    記認証用情報Ｘ＿ｉとを使って次式 Ｙ＿ｉ＾Ｌ＾ｉ≡Ｘ＿ｉ・Ｖ＿ｉ＾Ｅ＾ｉ（ｍｏｄＮ＿
    ｉ）、ｉ＝１、・・・、ｋ＿２ が成立することにより前記応答文Ｙ＿ｉの正当性を検証
    する工程を含む請求項３９項記載の電子現金実施方法。
41. （４１）前記第３者は前記電子コインの決済のため前記
    電子現金情報Ｖ＿ｉ、Ｘ＿ｉ、Ｂ、Ｃと、Ｎ＿ｉと、前
    記問い合せ文ｑ＿ｉと、前記応答文Ｙ＿ｉとを含む情報
    を前記銀行に与え、 前記銀行は次の検証式 Ｙ＿ｉ＾Ｌ＾ｉ≡Ｘ＿ｉ・Ｖ＿ｉ＾Ｅ＾ｉ（ｍｏｄＮ＿
    ｉ）、ｉ＝１、・・・、ｋ＿２ が成立することによって前記問い合せ文ｑ＿ｉに対する
    前記応答文Ｙ＿ｉの正当性を検証する工程を含む請求項
    ４０記載の電子現金実施方法。
42. （４２）前記銀行は前記第４者から受け取った前記利用
    者情報と前記認証用情報の組｛Ｖ＿ｉ、Ｘ＿ｉ｝と同じ
    値の組が前記銀行の前記メモリ内にあるか検査し、なか
    った場合は前記第４者から受けた情報を前記メモリに記
    憶し、あった場合は前記メモリ内に記憶されている対応
    する問い合せ文ｑ′＿ｉと応答文Ｙ′＿ｉを読出し、前
    記読出した問い合せ文ｑ′＿ｉから問い合せ情報Ｅ′＿
    ｉ＝ｆ（ｑ′＿ｉ）を計算し、次式、 α・Ｌ＿ｉ＋β（Ｅ＿ｉ−Ｅ′＿ｉ）＝１ を満す整数のα、βをユーリッド互除法により解き、更
    に次式 Ｖ＿ｉ＾α・（Ｙ＿ｉ／Ｙ′＿ｉ）＾βｍｏｄＮｉ＝Ｓ
    ＿ｉより秘密情報Ｓ＿ｉを計算し、前記計算した秘密情
    報Ｓ＿ｉの中から前記電子コインを不正使用した前記利
    用者の識別情報ＩＤ＿ｐを得る工程を含む請求項４１項
    記載の電子現金実施方法。
43. （４３）前記最後のパーティは前記第４者であり、前記
    利用者は前記第３者に対し前記電子コインを与えるにあ
    たって前記電子現金情報｛Ｖ＿ｉ、Ｘ＿ｉ、Ｂ、Ｃ｝と
    、Ｎ＿ｉと、前記素数Ｌ＿ｉとを含む情報を前記第３者
    に与え、 前記第３者は前記問い合せ文ε＿ｉをｋ＿２個作成して
    前記利用者に与え、 前記利用者は前記問い合せ文ε＿ｉと前記秘密乱数情報
    Ｒ＿ｉと前記秘密情報Ｓ＿ｉとを使って次式Ｙ＿ｉ＝Ｒ
    ＿ｉ・Ｓ＿ｉ＾ε＾ｉｍｏｄＮ＿ｉ、ｉ＝１、・・・、
    ｋ＿２ によりｋ＿２個の前記応答文を作成して前記第３者に与
    え、 前記第３者は次式 Ｙ＿ｉ≡Ｘ＿ｉ・Ｖ＿ｉ＾ε＾ｉ（ｍｏｄＮ＿ｉ）、ｉ
    ＝１、・・・、ｋ＿２ が成立することによって前記応答文の正当性を検証し、
    自分の持っている利用許可証■を前記利用者に与え、前
    記利用者は受け取った前記第３者の利用許可証■に対し
    署名を付けて譲渡証Ｔを作成し、前記第３者に与える工
    程を含む請求項３９項記載の電子現金実施方法。
44. （４４）前記第３者は前記電子コインの使用にあたって
    Ｎ＿ｉと、Ｌ＿ｉと、前記電子現金情報｛Ｖ＿ｉ、Ｘ＿
    ｉ、Ｂ、Ｃ｝と、前記譲渡証Ｔと、前記問い合せ文ε＿
    ｉと、前記応答文Ｙ＿ｉと、前記第３者の利用許可証■
    と、前記第３者の利用許可証■の作成に係わった前記第
    ３者の素数積■＿ｉ、素数■＿ｉ、利用者情報■＿ｉと
    を前記第４者に与え、 前記第４者は次式 ▲数式、化学式、表等があります▼、 が成立することによって前記利用者の応答文Ｙ＿ｉの正
    当性を検証し、問い合せ文ｑ＿ｉを作成して前記第３者
    に与えると共に問い合せ文関数Ｅ＿ｉ＝ｆ（ｑ＿ｉ）に
    より問い合せ文情報Ｅ＿ｉを計算し、前記第３者は与え
    られた問い合せ文ｑ＿ｉから前記問い合せ文関数Ｅ＿ｉ
    ＝ｆ（ｑ＿ｉ）により問い合せ文情報Ｅ＿ｉを計算して
    次式 ■＿ｉ＝Ｘ＿＾１＾／＾■＾ｉｍｏｄ■＿ｉ■＿ｉ＝■
    ＿ｉ・■＿ｉ＾Ｅ＾ｉｍｏｄ■＿ｉ、ｉ＝１、・・・、
    ｋ＿２ から応答文■＿ｉを作成し、前記第４者に与え、前記第
    ４者は前記利用者の認証用情報Ｘ＿ｉを使って次式 ■＿ｉ≡Ｘ＿ｉ・■＿ｉ＾Ｅ＾ｉ（ｍｏｄ■＿ｉ）、ｉ
    ＝１、・・・、ｋ＿２ 正当性を検証する工程を含む請求項４３項記載の電子現
    金実施方法。
45. （４５）前記第４者は前記電子コインの決済のため前記
    銀行に対し前記電子現金情報｛Ｖ＿ｉ、Ｘ＿ｉ、Ｂ、Ｃ
    ｝と、前記利用者の情報Ｎ＿ｉ、Ｌ＿ｉ、Ｙ＿ｉと、前
    記譲渡証Ｔと、前記第３者の情報｛■＿ｉ、■＿ｉ、■
    ＿ｉ、■、ε＿ｉ、■＿ｉ｝と前記第４者の情報を前記
    銀行に与え、前記銀行は次式 ▲数式、化学式、表等があります▼、 ■＿ｉ≡Ｘ＿ｉ・■＿ｉ＾Ｅ＾ｉ（ｍｏｄ■＿ｉ）が成
    立することによって前記利用者の応答文Ｙ＿ｉと前記第
    ３者の応答文■＿ｉの正当性を検証する工程を含む請求
    項４４項記載の電子現金実施方法。
46. （４６）前記銀行は前記第４者から受け取った前記利用
    者情報と前記認証用情報の組｛Ｖ＿ｉ、Ｘ＿ｉ｝と同じ
    値の組が前記銀行の前記メモリ内にあるか検査し、なか
    った場合は前記第４者から受けた情報を前記メモリに記
    憶し、あった場合は前記メモリ内に記憶されている対応
    する問い合せ文ｑ′＿ｉと応答文Ｙ′＿ｉを読出し、前
    記読出した問い合せ文ｑ′＿ｉから問い合せ情報Ｅ′＿
    ｉ＝ｆ（ｑ′＿ｉ）を計算し、次式 α・Ｌ＿ｉ＋β（Ｅ＿ｉ−Ｅ′＿ｉ）＝１ を満たす整数αとβをユーリッド互除法により解き、更
    に次式 Ｖ＿ｉ＾α・（Ｙ＿ｉ／Ｙ′＿ｉ）＾βｍｏｄＮ＿ｉ＝
    Ｓ＿ｉより秘密情報Ｓ＿ｉを計算し、前記計算した秘密
    情報Ｓ＿ｉの中から前記電子コインを不正使用した前記
    利用者の識別情報ＩＤ＿ｐを得る工程を含む請求項４５
    項記載の電子現金実施方法。
47. （４７）前記銀行は前記第４者から受け取った前記１３
    者の前記利用者情報■＿ｉと前記利用者の前記認証用情
    報Ｘ＿ｉの組｛Ｖ＿ｉ、Ｘ＿ｉ｝と同じ値の組が前記銀
    行の前記メモリ内に記憶されているか検査し、なかった
    場合は受け取った情報を前記メモリ内に記憶し、あった
    場合は前記メモリ内に記憶されている対応する前記第４
    者の問い合せ文ｑ′＿ｉとそれに対する前記第３者の応
    答文■＿ｉを読出し、前記読出した問い合せ文ｑ′＿ｉ
    から問い合せ情報Ｅ′＿ｉ＝ｆ（ｑ′＿ｉ）を計算し、
    次式 α・■＿ｉ＋β・（Ｅ＿ｉ−Ｅ′＿ｉ）＝１を満足する
    整数αとβをユークリッドの互除法により解き、更に次
    式 ■＿ｉ＾α・（■＿ｉ／■＿ｉ）＾βｍｏｄ　■＿ｉ＝
    ■＿ｉから秘密情報■＿ｉを計算し、前記計算した秘密
    情報■＿ｉの中から前記電子コインを不正使用した前記
    第３者の識別情報を得る工程を含む請求項４５又は４６
    項記載の電子現金実施方法。
48. （４８）前記銀行はあらかじめ決めた複数ｋ回の前記電
    子コインの使用を許可しており、前記最後のパーティは
    前記第３者であり、前記第４者は前記銀行であり、 前記利用者は前記電子コインのｊ回目、ただし１≦ｊ≦
    ｋ、の使用において前記第３者に前記電子現金情報｛Ｖ
    ＿ｉ、Ｘ＿ｉ、Ｂ、Ｃ｝と情報｛Ｎ＿ｉ、Ｌ＿ｉ｝を与
    え、 前記第３者は前記問い合せ文ｑ＿ｉを作成して前記利用
    者に与えると共に問い合せ文関数Ｅ＿ｉ＝ｆ（ｑ＿ｉ）
    によって問い合せ文情報Ｅ＿ｉを計算し、前記利用者は
    前記問い合せ文ｑ＿ｉから前記問い合せ文関数Ｅ＿ｉ＝
    ｆ（ｑ＿ｉ）により問い合せ文情報Ｅ＿ｉを計算して次
    式 ▲数式、化学式、表等があります▼、 ▲数式、化学式、表等があります▼ から前記応答文Ｙ＿ｉを作成して前記第３者にｊと共に
    与え、ここでｆ＿ｊ（Ｘ＿ｉ）はｊをパラメータとして
    変化するＸ＿ｉの関数であり、 前記第３者は次式 ▲数式、化学式、表等があります▼、 が成立することによって前記応答文Ｙ＿ｉの正当性を検
    証する工程を含む請求項３９項記載の電子現金実施方法
    。
49. （４９）前記銀行はあらかじめ決めた複数ｋ回の前記電
    子コインの使用を許可しており、前記利用者は前記電子
    コインのｊ回目、１≦ｊ≦ｋ、の使用において前記第３
    者に前記電子現金情報｛Ｖ＿ｉ、Ｘ＿ｉ、Ｂ、Ｃ｝と情
    報｛Ｎ＿ｉ、Ｌ＿ｉ｝を与え、 前記第３者は前記問い合せ文情報ε＿ｉを作成して前記
    利用に与え、 前記利用者は前記問い合せ文情報ε＿ｉを使って次式 ▲数式、化学式、表等があります▼、 ▲数式、化学式、表等があります▼ により前記応答文Ｙ＿ｉを作成して前記第３者にｊと共
    に与え、ここでｆ＿ｊ（Ｘ＿ｉ）はｊをパラメータとし
    て変化するＸ＿ｉの関数であり、 前記第３者は次式 ▲数式、化学式、表等があります▼、 が成立することにより前記応答文Ｙ＿ｉの正当性を検証
    し、前記第３者が持っている利用許可証■を前記利用者
    に与え、 前記利用者は自分の素数積Ｎ＿ｉを使って前記第３者の
    利用許可証■に対し署名を付けて譲渡証Ｔとして前記第
    ３者に与える工程を含む請求項３９項記載の電子現金実
    施方法。
50. （５０）前記最後のパーティは前記第４者であり、前記
    第３者は前記電子コインの使用にあたって前記電子現金
    情報｛Ｖ＿ｉ、Ｘ＿ｉ、Ｂ、Ｃ｝と前記利用者の情報｛
    Ｎ＿ｉ、Ｌ＿ｉ、Ｔ、Ｙ＿ｉ、ｊ｝と前記第３者の情報
    ｛■＿ｉ、■＿ｉ、■、ε＿ｉ｝を前記第４者に与え、 前記第４者は次式 ▲数式、化学式、表等があります▼ が成立することにより前記利用者の応答文Ｙ＿ｉの正当
    性を検証し、問い合せ文ｑ＿ｉを作成して前記第３者へ
    与えると共に問い合せ文関数Ｅ＿ｉ＝ｆ（ｑ＿ｉ）によ
    り問い合せ文情報Ｅ＿ｉを計算し、前記第３者は前記第
    ４者からの問い合せ文ｑ＿ｉから前記問い合せ文関数Ｅ
    ＿ｉ＝ｆ（ｑ＿ｉ）により問い合せ文情報Ｅ＿ｉを計算
    して次式 ▲数式、化学式、表等があります▼、 ▲数式、化学式、表等があります▼ により応答文■＿ｉを作成して前記第４者に与え、前記
    第４者は次式 ■＿ｉ≡Ｘ＿ｉ、■＿ｉ＾Ｅ＾ｉ（ｍｏｄ■＿ｉ）、ｉ
    ＝１、・・・、ｋ＿２ が成立することにより前記第３者の応答文■＿ｉの正当
    性を検証する工程を含む請求項４９項記載の電子現金実
    施方法。
51. （５１）前記銀行は前記電子コインの決済のため前記最
    後のパーティから前記電子現金情報｛Ｖ＿ｉ、Ｘ＿ｉ、
    Ｂ、Ｃ｝と、前記利用者の情報｛Ｎ＿ｉ、Ｌ＿ｉ、Ｙ＿
    ｉ、ｊ｝と、前記第３者の問い合せ文ｑ＿ｉを含む情報
    を受け取ると、前記問い合せ文関数Ｅ＿ｉ＝ｆ（ｑ＿ｉ
    ）により問い合せ文情報Ｅ＿ｉを計算し、前記利用者情
    報Ｖ＿ｉと前記認証用情報Ｘ＿ｉと前記ｊの組｛Ｖ＿ｉ
    、Ｘ＿ｉ、ｊ｝と同じ値の組が前記銀行の前記メモリ内
    に記憶されているか検査し、同じ値の組があった場合は
    前記メモリ内から対応する前記第３者の問い合せ文ｑ′
    ＿ｉとそれに対する前記利用者の応答文Ｙ＿ｉを読出し
    、前記読出した問い合せ文から問い合せ文情報Ｅ′＿ｉ
    ＝ｆ（ｑ′＿ｉ）を計算して次式 α・Ｌ＿ｉ＋β・（Ｅ＿ｉ−Ｅ′＿ｉ）＝１ｉ＝１、・
    ・・、ｋ＿２ を満足する整数α、βをユークリッドの互除法により解
    いて更に次式 Ｖ＿ｉ＾α・（Ｙ＿ｉ／Ｙ′＿ｉ）＾βｍｏｄ　Ｎ＿ｉ
    ＝Ｓ＿ｉから秘密情報Ｓ＿ｉを計算し、その計算した秘
    密情報Ｓ＿ｉの中から前記電子コインを不正使用した前
    記利用者の識別情報ＩＤ＿ｐを得る工程を含む請求項４
    ８項記載の電子現金実施方法。
52. （５２）銀行が利用者に対し電子現金を発行し、利用者
    がその電子現金を使って第３者に支払をする電子現金を
    実施する利用者装置において、 識別情報を含む秘密情報を作成する秘密情報作成手段と
    、 前記秘密情報作成手段から出力された前記秘密情報から
    第１一方向性関数を使って利用者情報を作成する利用者
    情報作成手段と、 前記利用者情報作成手段から出力された前記利用者情報
    を含む情報に対し一方向性のブラインド署名前処理をし
    て撹乱利用者情報を作る第１ブラインド署名前処理手段
    と、 前記銀行が前記撹乱利用者情報に署名した署名付撹乱利
    用者情報から撹乱を除去して署名付利用者情報を作るブ
    ラインド署名後処理手段と、秘密乱数情報を発生する秘
    密乱数情報発生手段と、 前記秘密乱数情報発生手段から出力された前記秘密乱数
    情報から第２一方向性関数を使って認証用情報を作成す
    る認証用情報作成手段と、 前記認証用情報作成手段から出力された前記認証用情報
    を含む情報に対し一方向性のブラインド署名前処理をし
    て撹乱認証用情報を作る第２ブラインド署名前処理手段
    と、 前記銀行が前記撹乱認証用情報に署名した署名付撹乱認
    証用情報から撹乱を除去して署名付認証用情報を作る第
    ２ブラインド署名後処理手段と、前記第３者の問い合せ
    文に対し少くとも前記秘密情報を使って応答文を作成す
    る応答文作成手段とを含む利用者装置。
53. （５３）前記第２ブラインド署名前処理手段は前記認証
    用情報と前記署名付利用者情報を連結して連結文を作る
    ための連結手段と、前記連結文を撹乱数で撹乱して前記
    撹乱利用者情報を作成する一方向性前処理関数器とを含
    む請求項５２項記載の利用者装置。
54. （５４）前記第３者から与えられた前記第３者の署名付
    利用者情報に前記利用者が署名を付けるための一方向性
    署名関数器を含む請求項５３項記載の利用者装置。