JPH09128465A - 信託機関付き電子現金方法 - Google Patents

Abstract

(57)【要約】 【課題】 無条件追跡不能性、電子紙幣発行時の非効率
性を排除し、分割使用／譲渡ができ、二重使用や不正使
用を検出可能とする。 【解決手段】 利用者Ｕは信託機関ＪにＵとその公開情
報Ｎとの対応表を秘密に管理してもらい、Ｊからその署
名した利用許可証（Ｂ，Ｉ）を受取り、発行金額と対応
して公開鍵を用いて（Ｂ，Ｉ）を処理して銀行Ａへ送り
Ａでブラインド署名してもらい、それを処理して電子紙
幣Ｃを得、ＵはＢ，Ｉ，Ｎ，Ｃなどを小売店Ｖへ送り、
ＶはそのＢの正当性、Ｃの正当性を調べ、またＵはＣを
分割し金額ｘを使用することを保証した署名を行い、Ｖ
はＡにＵとの交信履歴情報Ｈを送り、ｘの支払を受け、
ＡはそのＣについての全Ｈを管理し、Ｃの限度額を超え
たかを調べ、超えるとＪに通信して、対応するＮを公開
する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、電気通信システ
ムを利用して電子的な現金を実現する電子現金方法に関
する。

【０００２】

【従来の技術】電子現金はＩＣカードを電子現金の財布
（電子財布）とするような形で広く使われるようにな
る。その際には、電子現金はいかなる物理媒体にも依存
しないで、情報そのものが電子現金となるような形で電
子財布に格納される形態が望ましい。

【０００３】電子現金の一つの実現策は、物理的な手段
によって安全性を保証する方法である。例えば、テレホ
ンカード等の磁気カードによるプリペイドカードは、カ
ード上の磁気状態を他のカードに物理的にコピーするこ
とが困難であるということを安全性の要として成り立っ
ている。しかしながら、この安全性の前提は世の中の製
造技術レベルの推移により大きく変化する。さらに、こ
の方式は、常に物理媒体（磁気カード等）と一体で実現
されるため、情報の形の電子現金のように通信回線で転
送するようなことはできない。

【０００４】別の実現策は、クレジットカードのような
電子的ＩＤカード（電子クレジットカードもしくは電子
小切手）を用いて、後日決済する方法である。電子クレ
ジットカードでは、手書きの署名の代わりにディジタル
署名を用いることにより、処理の完全電子化（情報化）
を実現でき、その決済用情報を通信回線で転送できる。
しかし、この方式の欠点は、利用者のプライバシを保証
できない点である（これは、現行のクレジットカードや
小切手においても同様である）。つまり、クレジットカ
ードを発行・決済する機関は、自由に利用者の購買履歴
を入手できるのはもとより、また、小売店までも利用者
のクレジットカード番号や署名を知ることができる。

【０００５】一方、ブラインド署名（詳細は後述する）
と支払い時でのオンラインチェック（小売店が、利用者
の提示した情報が二重／不正使用されていないかを、管
理センタにオンラインで問い合わせること。）を組み合
わせることにより、上述した情報化、安全性、プライバ
シの問題を解決できる。しかし、各小売店が各利用者の
購買時に必ずセンタにアクセスすることは、処理時間
（利用者の待ち時間）、通信コスト、管理センタでのオ
ンライン処理コスト及びデータベース維持管理コスト等
を考えると、現実的な解とは言えない。従って、現金支
払い時の処理はオフラインで処理できることが望まし
い。

【０００６】プライバシを重視し、オフライン処理可能
な電子現金方式としては、例えば、D.Chaum, A.Fiat an
d M.Naor, “Untraceable Electronic Cash,”Advances
inCryptology-Crypto'88, Lecture Notes in Computer
Science 403, pp.319-327,Springer-Verlag, Berlin(1
988)やT.Okamoto etal. “Disposable Zero-Knowledge
Authentications and Their Applications to Untracea
ble Electronic Cash,”Advances in Cryptology-Cryt
o'89, Lecture Notes in Computer Science 435, pp.48
1-496, Springer-Verlag, Berlin(1989）、特願平２−
８８８３８号「電子現金実施方法及びその装置」などが
ある。

【０００７】まず、利用者のプライバシを保証するため
の基本技術であるブラインド署名について説明する。ブ
ラインド署名では、署名者に文書の内容を秘密にしたま
まで署名を付けてもらう。ＲＳＡ法に基づいた方式が文
献 D.Chaum, “Security without Identification: Tra
nsaction Systems to Make Big Brother Obsolete,”Co
mm. of the ACM, 28, 10, pp.1030-1044(1985)で、ゼロ
知識対話証明に基づいたブラインド署名が文献T.Okamot
o etal. “Divertible Zero-Knowledge Interactive Pr
oofs and Commutative Random Self-Reducible, ”The
Proc. of Eurocrypt'89(1989) で示されている。

【０００８】署名の要求者は、ブラインド署名前処理に
よって文書（ｍ）を乱数（ｒ）で攪乱してブラインドメ
ッセージ（ｘ）を生成する。署名者は、秘密鍵を用いて
ｘに対応する仮の署名（ｙ）を計算する。このとき、ｍ
はｒによって攪乱されているので、署名者は文書（ｍ）
を知ることはできない。要求者は、ブラインド署名後処
理によってｙから乱数（ｒ）の影響を除去して、本来の
文書（ｍ）に対する真の署名（ｙ′）を求めて、ｍと
ｙ′の組を検証者に送信する。検証者は、署名者の公開
鍵を用いてｙ′がｍの署名であることを確認する。ここ
で、検証者はｙとｙ′の対応関係を知ることはできな
い。ブラインド署名の手順 Ａを署名者、Ｐを署名要求者、ｅ_A を署名者Ａの公開情
報とする。Ｆをブラインド署名前処理アルゴリズム、Ｄ
を多重ブラインド署名アルゴリズム、Ｇをブラインド署
名後処理アルゴリズムとする。これらの関数の使用法
は、Ｆ_eAとＤ_eAから作成した仮の署名Ω（＝Ｄ_eA（Ｆ_eA
（ｍ₁ ），…，Ｆ_eA（ｍ_k ))) にＧ_eAを施して、ｋ個の
メッセージｍ₁ ，…，ｍ_k に対するＡの真の署名Ｂ＝Ｄ
_eA（ｍ₁ ，…，ｍ_k ）を算出する。署名者Ａと要求者Ｐ
は以下の手順に従って多重ブラインド署名を作成する。

【０００９】ステップ１：Ｐはブラインド署名前処理に
より、ｋ個のメッセージ｛ｍ_i ｜ｉ＝１，２，…，ｋ｝
からｋ個のブラインドメッセージｘ_i ＝｛Ｆ_eA（ｍ_i ）
｜ｉ＝１，２，…，ｋ｝を生成して、Ａに送信する。こ
こで、それぞれのｘ_i ＝Ｆ_eA（ｍ_i ）は独立に計算され
ており、関数Ｆ_eAは乱数を使用してｍ_i を隠す。 ステップ２：Ａは仮の署名Ω＝Ｄ_eA（Ｆ_eA（ｍ₁ ），
…，Ｆ_eA（ｍ_k ））をｋ個のブラインドメッセージＦ_eA
（ｍ₁ ），…，Ｆ_eA（ｍ_k ）から生成して、Ｐに送信す
る。

【００１０】ステップ３：Ｐは、Ｇ_eAを用いたブライン
ド署名後処理により、ｍ₁ ，…，ｍ _k に対応したＡの真
のディジタル署名Ｂ＝Ｄ_eA（ｍ₁ ，…，ｍ_k ）を算出す
る。ＲＳＡ法をブラインド署名に使用する場合には、ブ
ラインドメッセージ（ブラインド署名前処理）を、ｘ_i
＝Ｆ_eA（ｍ_i ）＝ｒ_i ^eA×ｍ_i mod ｎ、ここでｒ_iは攪
乱するための乱数、仮の署名を、

【００１１】

【数１】 ブラインド署名後処理を、

【００１２】

【数２】 とそれぞれおいて、署名は、

【００１３】

【数３】 となる。このとき、検証式Ｖ_eA（ｍ₁ ，…，ｍ_k ，Ｂ）
は

【００１４】

【数４】 のとき合格（ＯＫ）を出力する。ここで、（ｅ_A ，ｎ）
はＡの使用するＲＳＡ法の公開鍵であり、次の式をみた
す。 ｎ＝Ｐ×Ｑ ｅ_A ×ｄ_A ≡１（mod Ｌ） ただしＬ＝ＬＣＭ｛（Ｐ−１），（Ｑ−１）｝ ここで、Ｌ＝ＬＣＭ｛ａ，ｂ｝はａとｂの最小公倍数
を、ａ≡ｂ（mod ｎ）は（ａ−ｂ）がｎの倍数であるこ
とを表す。以降ではｄ_A を１／ｅ_A と表すこともある。
以下の Chaum・Fiat・Naor法ではｋ＞１の場合を、後述
する実施例では、ｋ＝１の場合を想定する。

【００１５】ＲＳＡ暗号の構成例は、文献 Rivest, R.
L. etal. “A Method for ObtainingDigital Signature
s and Public-Key Cryptosystems”，Communications o
f the ACM, Vol. 21, No.2, pp.120-126,(1978）に示さ
れている。ブラインド署名の構成法は、例えば、Chaum,
D. “Blind Signature Systems”，US Patent No.:4,7
59,063 や Ohta, K. etal. “Authentication System a
nd Apparatus Therefor”，US patent No.:4,969,189
に示されている。

【００１６】ところで、利用者のブライバシは、ブライ
ンド署名を用いることで、利用者だけの責任において保
証できる。すなわち、攪乱用の乱数ｒの付加と除去を利
用者が実行するので、ｒを秘密にする限りは、誰もがｙ
＝Ωとｙ′＝Ｂの対応関係を知ることはできないことに
注意しよう。しかし、文献 S. von Solms and D.Naccac
he, “On Blind Signature and Perfect Crimes ”，Co
mputers and Security, 11, pp.581-583(1992)にあるよ
うに、この方式は、お金の流れを完全に追跡不能にでき
るので、マネーロンダリングや誘拐犯の完全犯罪に悪用
されるおそれが指摘されている。

【００１７】ここで、代表的な電子現金方式である Cha
um・Fiat・Naor法での、銀行と利用者間での電子現金の
発行処理、利用者の小売店での電子現金の支払い、小売
店と銀行間の決裁処理について述べる。電子現金の発行処理 利用者Ｐが、銀行Ａから電子現金Ｃを発行してもらう手
順を示す。ここで、ＩＤは利用者Ｐの識別情報、ｅ
_A は、利用者が指定する電子現金の金額（例えば１万
円）に対応する銀行のディジタル署名用の公開鍵とす
る。利用者が銀行から電子現金を発行してもらう手順
は、以下の通りである。

【００１８】ステップ１：利用者Ｐは、乱数ａ_i （ただ
し、ｉ＝１，…，Ｋ）を生成して、公開された一方向関
数ｇを用いて、 ｘ_i ＝ｇ（ａ_i ） ｙ_i ＝ｇ（ａ_i （＋）ＩＤ） を求める。（＋）は排他的論理和を示す。

【００１９】ステップ２：Ｐは、公開された一方向関数
ｆとブラインド署名前処理関数Ｆ_eAを用いて、 Ｗ_i ＝Ｆ_eA（ｆ（ｘ_i ，ｙ_i ）） を計算して、銀行に提示する。 ステップ３：銀行Ａは、１からＫの中からランダムにＫ
／２個の部分集合Ｕ＝｛ｉ_j ｝、（ただし１＜ｊ＜Ｋ／
２に対して１＜ｉ _j ＜Ｋ）を選び、それを開示要求とし
て利用者に送信する。（以下では、表記を簡単にするた
めに、Ｕ＝｛Ｋ／２＋１，Ｋ／２＋２，…，Ｋ）｝が開
示要求として指定されたと仮定して説明する。）Ｋ個の
中からランダムにＫ／２個の部分集合の開示を要求する
手順を「抜き打ち検査」とよぶ。

【００２０】ステップ４：利用者Ｐは、銀行Ａから開示
要求を受信すると、指定されたＫ／２個のａ_i とＷ_i を
作成するために関数Ｆ_eAの中で用いた乱数をＡに開示す
る。 ステップ５：銀行Ａは、開示されたＫ／２組のすべてに
ついて正当性の検証を行ない、いずれかの検査に不合格
のときには、以降の処理を中止する。すべての検査に合
格のときには、銀行Ａは開示対象でないｉ（ここでは、
ｉ＝１，２，…，Ｋ／２）に対して、次の手順を行な
う。

【００２１】ステップ６：銀行Ａは、 Ω＝Ｄ_eA（Ｗ₁ ，…，Ｗ_K/2 ） を計算して、利用者Ｐに送信する。 ステップ７：利用者Ｐは、銀行からの受信データΩから
電子現金Ｃを以下のように計算する。

【００２２】Ｃ＝Ｇ_eA（Ω）＝Ｄ_eA（ｆ（ｘ₁ ，ｙ
₁ ），…，ｆ（ｘ_K/2,ｙ_K/2 ））電子現金による支払 つぎに、利用者Ｐが銀行Ａより発行された電子現金Ｃを
用いて小売店Ｖで支払をする場合について説明する。そ
れぞれのｉ（ただしｉ＝１，２，…，Ｋ／２）に対し
て、次の処理を実行する。

【００２３】ステップ１：利用者Ｐは、電子現金（Ｃ）
を小売店Ｖへ送信する。 ステップ２：小売店Ｖは乱数ビットｅ_i を生成して、利
用者Ｐへ送信する。 ステップ３：利用者Ｐは、ｅ_i ＝１のときａ_i とｙ
_i を、ｅ_i ＝０のときｘ_iとａ_i （＋）ＩＤを小売店Ｖ
へ送信する。 ステップ４：小売店Ｖは、銀行Ａの公開鍵ｅ_A を用い
て、Ｃがメッセージｆ（ｘ₁ ，ｙ₁ ），…，ｆ（ｘ
_K/2 ，ｙ_K/2 ）の正しい署名であることを検査する。 決済 最後に、小売店Ｖと銀行Ａの間の決済方法について説明
する。小売店Ｖは、利用者との電子現金使用時の交信履
歴Ｈを銀行に提出する。銀行はＨの正当性を検査し、検
査に合格すれば、Ｈを記憶しておくと共に小売店の口座
に該当する金額を払い込む（もしくは、何らかの手段で
該当する金額を小売店に支払う）。銀行は、電子現金の
不正使用を見つけると、Ｈとすでに記憶している交信履
歴からＣに対応して記憶しているａ_i とａ_i （＋）ＩＤ
を探し出して、不正者の識別情報ＩＤを確定する。

【００２４】以上が Chaum・Fiat・Naor法であるが利用
者が不正にＣを２回使用すると、ｅ _i ＝１のときａ_i ，
ｅ_i ＝０のときａ_i （＋）ＩＤが銀行に記憶されている
ので、１回目と２回目のｅ_i が異なる場合には、ａ
_i （＋）（ａ_i （＋）ＩＤ）＝ＩＤが成り立つので、銀
行はこれを計算してＩＤを検出できる。銀行は、Ｋ／２
ビットを問い合わせるので、Ｃの二重使用を検出できな
い確率は２^-K/2となる。（通常、Ｋ＝２０程度が推奨さ
れている。）

【００２５】

【発明が解決しようとする課題】前述の電子現金方法
は、 １．電子現金を無条件に追跡不能にでき、その結果とし
てマネーロンダリングや誘拐犯の完全犯罪を許してしま
う問題がある。（無条件追跡不能性）。 ２．電子現金を引き落とすごとに、利用者が決められた
とおりに動作することを検査する「抜き打ち検査技法」
（Ｋ個の情報の提示とＫ／２個の開示要求に答えるこ
と）が必要となり、実際に使用する２倍の情報量をやり
とりせねばならないので非効率である（電子紙幣発行時
の非効率性）。 ３．利用者は発行された電子現金を分割して、その一部
を使用することが出来ない（非分割性）。 ４．利用者は発行された電子現金を、他の利用者に譲渡
することが出来ない（非譲渡性）。

【００２６】この発明の目的は、二重使用や不正使用を
検出する機能は残しながら、上記１〜４を全て解決する
電子現金方法を提供することである。

【００２７】

【課題を解決するための手段】この発明では非常時を除
いて、利用者のプライバシが洩れないようにするため、
信託機関Ｊなるものを用い、信託機関Ｊは、機能が複数
の機関に分かれていても良いとし、利用者は、匿名公開
情報Ｎを信託機関Ｊに登録し、信託機関Ｊは、利用者名
を確認すると、匿名公開情報Ｎに対応させて署名をつけ
利用者に渡す。利用者は、匿名公開情報Ｎ、信託機関Ｊ
の署名を利用許可証として保存する。信託機関Ｊは利用
者名と匿名公開情報の対応づけを秘密に管理する。信頼
できる第三者（例えば、裁判所等）が情報の流れの追跡
を要求した場合にのみ、信託機関Ｊは、匿名公開情報と
利用者名の対応関係を公開する。

【００２８】更にこの発明では電子紙幣の発行手順を、
利用許可証の発行手順と電子紙幣の発行手順に分けるこ
とで、電子紙幣の発行時の情報処理量を削減する（利用
許可証は、一定期間利用できるものとする）ことと、利
用許可証を発行する信託機関Ｊに対して、利用者のプラ
イバシを制限することで、利用許可証発行時の情報処理
量を削減する。

【００２９】またこの発明では利用者が、金額ｘ（ｘ＜
Ｘ）を支払うことを保証する署名を行なうことで、金額
Ｘに相当する電子紙幣Ｃを分割して使用する。利用者が
金額ｘ（ｘ＜Ｘ）を譲渡することを保証する署名を行な
うことで、金額ｘを譲り受けた利用者が、さらにそれを
支払または、譲渡に利用する。

【００３０】

【発明の実施の形態】以下では、この発明の一実施例に
ついて説明する。図１はこの発明の実施に必要とする要
素を示し、信託機関１００、利用者２００、銀行３０
０、小売店４００および、利用者５００よりなり、これ
らは例えば通信回線を介して接続されているが、情報を
記録できるＩＣカード等を介しての接続であってもよ
い。準備 この発明の電子現金方法では、電子現金の利用者は、ま
ず最初に、信託機関と呼ぶ機関により、利用許可証を発
行してもらう。銀行（ここでは、電子現金の発行・決済
者を銀行と呼ぶが、実際は、どのような機関でも良い）
は、利用者の要求に従い、利用者にある金額の電子現金
（または、電子紙幣と呼ぶ）を発行する。利用者は、そ
の電子紙幣を額面金額になるまで何回でも各種小売店の
支払いに用いる。最後に、各小売店は、利用者の各支払
い毎に銀行で決済を行う。

【００３１】今、信託機関Ｊ、銀行Ａ、利用者Ｕの署名
アルゴリズムは全てＲＳＡ方式とし、それぞれの秘密鍵
と公開鍵は、（ｄj ，ｎj ）と（ｅj ，ｎj ），（ｄc
，ｎ _C ）と（ｅc ，ｎ_C ），（ｄ，Ｎ）と（ｅ，Ｎ）
とする（利用者Ｕの公開鍵は匿名公開情報である）。信
託機関Ｊの署名、銀行Ａの署名はそれぞれ、利用許可証
の正当性の検査、電子紙幣の正当性の検査に使用する。

【００３２】利用者用の署名では、公開鍵中のｅは共通
としても良いが、Ｎは利用者ごとに定める。銀行Ａが発
行できる電子紙幣金額を複数にしたい場合には、その各
金額対応の（ｄc ，ｎ_C ）及び（ｅc ，ｎ_C ）の対を作
成しておき、その金額と（ｅc ，ｎ _C ）を共に公開して
おく。また、署名用の一方向性関数ｇ，ｈもあわせて定
め公開しておく。利用許可証の発行処理 利用者Ｕは、利用許可証を信託機関Ｊから発行してもら
う利用者が銀行から利用許可証を発行してもらう手順
は、以下の通りである（図２参照）。この手順は、それ
ぞれの利用者が、Ｎの登録時に１度だけ行なう。

【００３３】ステップ１ 利用者Ｕは、素数生成器２１
０を用いて２つの大きな素数Ｐ，Ｑを生成して、乗算器
２１１を用いて合成数Ｎ（Ｎ＝Ｐ×Ｑ）を計算し、これ
を匿名公開情報Ｎとする。ＲＳＡのもう一つの公開鍵ｅ
は、利用者共通で、例えばｅ＝３とする。さらに、ｅ，
Ｐ，Ｑから、剰余逆算計算器２１２を用いて、 ｄ＝ｅ^-1mod ＬＣＭ（Ｐ−１，Ｑ−１） （１） を計算し、ｄ，Ｎをメモリ２５０に記憶する。

【００３４】ステップ２ 利用者ＵはＮを信託機関Ｊに
送信する。 ステップ３ 信託機関Ｊは、利用者Ｕの身元を何らかの
方法で確認をしたのちに、合格のときには、利用者Ｕと
Ｎの対応関係を対応表１１１を用いて秘密に管理する。 ステップ４ 信託機関Ｊは、有効期限等の情報Ｉを生成
し、ｇ計算器１１２、巾乗剰余計算器１１３を用いて次
の署名演算を行う。

【００３５】 Ｂ＝ｇ（Ｎ‖Ｉ）^djmod ｎj （２） この署名ＢとＩを利用者Ｕに送信する。 ステップ５ 利用者Ｕは、信託機関Ｊからの受信データ
Ｂ，Ｉと匿名公開情報Ｎとを利用許可証（Ｂ，Ｉ，Ｎ）
として、メモリ２５０に記憶する。 注：上記のやりとりを通信回線で行なう場合には、暗号
化処理を併用したほうがよい。電子紙幣の発行処理 つぎに、利用者Ｕが銀行Ａから電子紙幣Ｃを発行しても
らう手順を示す。ここで、（ｅc ，ｎ_C ）は、利用者が
指定する電子紙幣の金額（例えば１万円）に対応する銀
行のディジタル署名用の公開鍵である。利用者Ｕが銀行
Ａから電子紙幣Ｃを発行してもらう手順は、以下の通り
である（図３参照）。

【００３６】ステップ１ 利用者Ｕは、乱数発生器２２
０を用いて乱数ｂを生成して、メモリ２５０に記憶し、
一方、その乱数ｂとメモリ２５０から読みだした利用許
可証（Ｂ，Ｉ，Ｎ）より、ｇ計算器２２１を用いてｇ
（Ｂ‖ｂ）を計算し、更に発行して欲しい利用限度額Ｘ
（金額情報：例えば１万円）と対応する公開鍵（ｅc ，
ｎ_C ）を用い巾乗剰余計算器２２２と剰余乗算器２２３
により次式でブラインド署名前処理を行う。

【００３７】 Ｚ＝ｇ（Ｂ‖ｂ）ｒ^ecmod ｎ_C （３） この処理結果Ｚを電子紙幣の金額情報、つまり利用限度
額Ｘと共に銀行Ａに送信する。 ステップ２ 銀行Ａは、電子紙幣の金額に対応する秘密
鍵（ｄc ，ｎ_C ）と巾乗剰余計算器３１０を用いて受信
情報Ｚに対して次の計算により仮署名を行う。

【００３８】 Θ＝Ｚ^dcmod ｎ_C （４） この仮署名Θを利用者Ｕに送信する。同時に、利用者Ｕ
の口座から該当する金額を引き落として、又は他の手段
で利用者Ｕから該当する金額を受領する。 ステップ３ 利用者Ｕは、指定した金額の公開鍵（ｅc
，ｎ_C ）と、受信情報Θとに対し、剰余逆算計算器２
１２、剰余乗算器２２３を用いて次式によりブラインド
署名後処理を行って指定した金額の電子紙幣Ｃを得る。

【００３９】 Ｃ＝Θ／ｒmod ｎ_C （５） ここで、Ｃ＝ｇ（Ｂ‖ｂ）^dcmod ｎ_C となることに注
意。電子紙幣による支払 つぎに、利用者Ｕが銀行Ａより発行された電子紙幣Ｃを
用いて、小売店Ｖで支払う場合について説明する（図４
および図５参照）。

【００４０】ステップ１ 利用者Ｕは、Ｉ，Ｎ，Ｂ，
ｂ，Ｃを小売店Ｖ４００に送る。 ステップ２ 小売店Ｖ４００は、（Ｉ，Ｎ）に対する署
名Ｂの正当性、つまり利用許可証の正当性を、ｇ計算器
４１０、巾乗剰余計算器４１１、比較器４１２を用い
て、Ｂが次式をみたすかにより確認する。 Ｂ^ej≡ｇ（Ｎ‖Ｉ）（mod ｎj ） （６） また、（Ｂ，ｂ）に対する署名Ｃの正当性、つまり電子
紙幣Ｃの正当性を、巾乗剰余計算器４１１と比較器４１
２を用いて、Ｃが次式をみたすかにより確認する。

【００４１】 Ｃ^ec≡ｇ（Ｂ‖ｂ）（mod ｎ_C ） （７） この検査の何れかが不合格のときは以降の処理を中止す
る。 ステップ３ この両検査に合格すれば、小売店Ｖは乱数
生成器４１３を用いて乱数Ｅ′を生成し、それを小売店
Ｖの識別子ＩＤ_V 及び時刻印Ｔと共に利用者Ｕに送り、
さらに、ｈ計算器４１４によりＥ＝ｈ（ＩＤ_V ‖Ｔ‖
Ｅ′）を計算する。

【００４２】ステップ４ 利用者Ｕは、電子紙幣Ｃのう
ち金額ｘを使用することを決め、ｈ計算器２３０、ｇ計
算器２２１と巾乗剰余計算器２２２を用いて、ｘと受信
情報に対し、次式により署名を行う。 Ｓ＝ｇ（ｘ‖ｈ（ＩＤ_V ‖Ｔ‖Ｅ′））^d mod Ｎ （８） この署名Ｓとｘを小売店Ｖに送る。

【００４３】ステップ５ 小売店Ｖは、電子紙幣Ｃの正
当性の検査に合格した公開鍵（ｅc，ｎ_C ）からその電
子紙幣Ｃの利用限度額Ｘを知り、ｘがＸを超えていない
ことを比較器で確認し、この検査が不合格の時は以後の
処理を中止する。合格の場合、巾乗剰余計算器４１１と
比較器４１２を用いて署名Ｓの正当性を次式で検証す
る。

【００４４】 Ｓ^e ≡ｇ（ｘ‖Ｅ）（mod Ｎ） （９） この検証に合格すれば、小売店Ｖは、利用者のｘに該当
する金額の支払いを正当なものとしてみなし、それを受
けとる。決済 小売店Ｖと銀行Ａの間の決済方法について説明する（図
６参照）。小売店Ｖは、利用者との電子紙幣使用時の交
信履歴Ｈつまり利用者ＵからのＩ，Ｎ，Ｂ，ｂ，Ｃ、小
売店Ｖから利用者ＵへのＩＤ_V ，Ｔ，Ｅ′、更に利用者
Ｕからのｘ，Ｓを銀行Ａに提出する。銀行Ａは、Ｈの正
当性を検査し、電子紙幣による支払時の検査と同様に、
つまり、式（６）、（７）、（９）の各検証を行い、そ
の全検査に合格すれば、Ｈを記憶しておくと共に小売店
Ｖの口座に該当する金額を払い込むことにより、もしく
は、他の手段で該当する金額を小売店Ｖに支払う。

【００４５】銀行Ａは、電子紙幣Ｃが、限度額Ｘを超え
て使用されないように履歴Ｈを管理する。例えば、Ｃと
金額ｘのみを第一のデータベースに保持し、電子紙幣Ｃ
のもとでの支払履歴Ｈを保持した第二のデータベースと
をＣをキーにして検索できるようにしておく。Ｃの元で
の支払合計額が限度額Ｘを超えたかどうかは第一のデー
タベースを検索することで分かる。限度額を超えている
場合には、第二のデータベースを検索し、Ｃのもとでの
全支払履歴を不正使用の証拠として提出する。信託機関
Ｊは、Ｈに含まれるＮから、対応表１１１を用いて利用
者名Ｕを捜し出し不正者を特定する。電子紙幣による譲渡 最後に、利用者Ｕ₁ が銀行Ａより発行された電子紙幣Ｃ
を用いて、利用者Ｕ₂に譲渡する場合について説明する
（図７乃至９参照）。利用者Ｕ₁ の利用許可証を
（Ｂ₁ ，Ｉ₁ ，Ｎ₁ ）、電子紙幣を（Ｃ，ｂ）、利用者
Ｕ₂ の利用許可証を（Ｂ₂ ，Ｉ₂ ，Ｎ₂ ）とする。

【００４６】ステップ１ 利用者Ｕ₁ は、利用許可証
（Ｂ₁ ，Ｉ₁ ，Ｎ₁ ）、電子紙幣（ｂ，Ｃ）を利用者Ｕ
₂ に送る。 ステップ２ 利用者Ｕ₂ は、（Ｉ₁ ，Ｎ₁ ）に対する署
名Ｂ₁ の正当性（利用許可証の正当性）を、ｇ計算器５
１０、巾乗剰余計算器５１１、比較器５１２を用いて、
Ｂ₁ が次式をみたすかにより検証する。

【００４７】 Ｂ₁ ^ej≡ｇ（Ｎ₁ ‖Ｉ₁ ）（mod ｎj ） （10） また、（Ｂ₁ ，ｂ）に対する署名Ｃの正当性（電子紙幣
の正当性）を、ｇ計算器５１０、巾乗剰余計算器５１
１、比較器５１２を用いて、Ｃが次式をみたすかにより
検証する。 Ｃ^ec≡ｇ（Ｂ₁ ‖ｂ）（mod ｎ_C ） （11） この何れかの検査が不合格のときは以降の処理を中止す
る。

【００４８】ステップ３ この両検査に合格すれば、利
用者Ｕ₂ は、乱数生成器５１３を用いて乱数Ｅ′を生成
し、それを利用者Ｕ₂ に対する署名Ｂ₂ 及び時刻印Ｔと
共にＵに送り、さらに、ｈ計算器５１４によりＥ＝ｈ
（Ｂ₂ ‖Ｔ‖Ｅ′）を計算する。 ステップ４ 利用者Ｕ₁ は、電子紙幣Ｃのうち金額ｘを
譲渡することを決め、ｈ計算器５１４、ｇ計算器５１
０、巾乗剰余計算器５１１を用いて、下記の署名を行
う。

【００４９】 Ｓ₁ ＝ｇ（ｘ‖ｈ（Ｂ₂ ‖Ｔ‖Ｅ′））^d1mod Ｎ₁ （12） この署名Ｓ₁ と金額ｘを利用者Ｕ₂ に送る。 ステップ５ 利用者Ｕ₂ は、比較器５１２を用いて、ｘ
が、電子紙幣Ｃの利用限度額Ｘを超えていないことを確
認し、この検査が不合格の時は以後の処理を中止する。

【００５０】合格の場合、巾乗剰余計算器５１１と比較
器５１２を用いて署名Ｓ₁ の正当性を次式により検証す
る。 Ｓ₁ ^e1≡ｇ（ｘ‖Ｅ）（mod Ｎ₁ ） （13） この検証に合格すれば、利用者Ｕ₂ は、利用者のｘに該
当する金額の譲渡を正当なものとしてみなし、それを受
けとる。

【００５１】ステップ６ 利用者Ｕ₂ は、利用許可証
（Ｂ₂ ，Ｉ₂ ，Ｎ₂ ）と、利用者Ｕ₁との電子紙幣譲渡
時の交信履歴Ｈ₁ （Ｉ₁ ，Ｎ₁ ，Ｂ₁ ，ｂ，Ｃ，ｘ，
Ｔ，Ｅ′，Ｓ₁ ）を小売店Ｖに送る。 ステップ７ 小売店Ｖ４００は、（Ｉ₂ ，Ｎ₂ ）に対す
る署名Ｂ₂ の正当性（利用許可証の正当性）を、ｇ計算
器４１０、巾乗剰余計算器４１１と比較器４１２を用い
て、Ｂ₂ が次式をみたすかにより検証する。

【００５２】 Ｂ₂ ^ej≡ｇ（Ｎ₂ ‖Ｉ₂ ）（mod ｎj ） （14） さらに、交信履歴Ｈ₁ の正当性も確認する（電子紙幣の
譲渡の正当性、電子紙幣による支払の検査と同じ）。こ
の検査が不合格のときは以降の処理を中止する。 ステップ８ これらの検査に合格すれば、小売店Ｖは、
乱数生成器４１３を用いて乱数Ｅ_V ′を生成し、それを
小売店Ｖの識別子ＩＤ_V 及び時刻印Ｔ′と共に利用者Ｕ
₂ に送り、さらに、ｈ計算器４１４によりＥ_V ＝ｈ（Ｉ
Ｄ_V ‖Ｔ′‖Ｅ _V ′）を計算する。

【００５３】ステップ９ 利用者Ｕ₂ は、譲渡された金
額ｘのうち金額ｙを使用することを決め、ｇ計算器５１
０、ｈ計算器５１４と巾乗剰余計算器５１１を用いて、
次式の署名を行う。 Ｓ₂ ＝ｇ（ｙ‖ｈ（ＩＤ_V ‖Ｔ′‖Ｅ_V ′））^d2mod Ｎ₂ （15） この署名Ｓ₂ とｙを小売店Ｖに送る。

【００５４】ステップ１０ 小売店Ｖ４００は、比較器
４１２を用いて、ｙが、電子紙幣Ｃの譲渡金額ｘを超え
ていないことを確認し、この検査が不合格の時は以後の
処理を中止する。合格の場合、巾乗剰余計算器４１１と
比較器４１２を用いて署名Ｓ₂ の正当性を、 Ｓ₂ ^e2≡ｇ（ｙ‖Ｅ_V ）（mod Ｎ₂ ） （16） をみたすことで検証する。

【００５５】この検証に合格すれば、小売店Ｖは、利用
者のｙに該当する金額の支払いを正当なものとしてみな
し、それを受けとる。以上のように電子紙幣の分割使用
（支払、譲渡）の際に受取る側は電子紙幣の支払限度額
との比較しかしないが、その電子紙幣についての履歴を
銀行で管理することにより不正を発見することができ
る。

【００５６】なお、上記の実施例では、利用者名と匿名
公開情報の対応関係を１つの信託機関Ｊとして実現する
場合をのべた。信託機関Ｊの機能を複数の部局に分割し
て、これらの部署が協力した場合にのみ、利用者名と匿
名公開情報の対応関係を知ることができるようにしても
よい。また、実施例の署名方法は全てＲＳＡ署名にのっ
とったが、この発明は、任意の一方向性関数ｇ，ｈ，デ
ィジタル署名方法、ブラインド署名可能な署名方法によ
り実現出来る（ＲＳＡ以外のブラインド署名可能な署名
方法については、文献T. Okamoto etal. "Divertible
Zero-Knowledge Interactive Proofs and Commutative
Random Self-Reducible," The Proc. of Eurocrypt'89
(1989) を参照されたい。また、ディジタル署名方法、
一方向性関数については、岡本栄司著「暗号理論入門」
（共立出版）を参照されたい）。また、不正発見時に銀
行Ａは対応する電子紙幣Ｃに関連するすべての匿名公開
情報Ｎを信託機関Ｊへ送ればよく、履歴Ｈのすべてを必
ずしも送らなくてもよい。

【００５７】

【発明の効果】以上述べたこの発明の効果は以下のとお
り。プライバシの保護と犯罪対策 クレジットカードでは利用者名が直接小売店Ｖに見える
ので、プライバシを保証できない。

【００５８】Chaum・Fiat・Naor法では、ブラインド署
名を用いるので、利用者のプライバシは守られている
が、そのことが犯罪の温床になることが指摘されてい
る。この発明では、信託機関のみが匿名公開情報Ｉと利
用者名の対応を知っているが、小売店には、匿名公開情
報Ｉだけしか見えないので、信託機関が小売店と結託し
ない限り、利用者のプライバシは守られている。

【００５９】さらに、信託機関を複数の機関に分割した
場合には、複数の部署が結託しないかぎり、信託機関で
さえ、利用者のプライバシを侵すことは出来なくなる。
マネーロンダリングや、誘拐犯による犯罪に対処するた
め、信頼できる第三者（例えば裁判所）からの要請によ
り、信託機関は利用者名とＮ（またはＢ）の関係を公開
することとする。これによってＮによる取引は停止とな
る。あるいは、Ｎによる取引を追跡することで犯人を逮
捕できるようになる。通信量について Chaum・Fiat・Naor法では、ブラインド署名で且つ、利
用者に正しくＩＤをコインに埋め込んでもらわなければ
いけないため、電子現金を引き落とすごとに、利用者が
決められたとおりに動作することを検査する「抜き打ち
検査技法」（Ｋ個の情報の提示とＫ／２個の開示要求に
答えること）が必要となり、実際に使用する２倍の情報
量をやりとりせねばならないので非効率である。

【００６０】この発明では、電子紙幣の発行手順を、利
用許可証の発行手順と電子紙幣の発行手順に分けること
で、電子紙幣の発行時の情報処理量を削減する（利用許
可証は、一定期間利用できるものとする）ことと、利用
許可証を発行する信託機関Ｊに対して、利用者のプライ
バシを制限することで、利用許可証発行時の情報処理量
を削減している(Chaum・Fiat・Naor法では、安全性の観
点から、通常、Ｋ＝２０程度が推奨されている。一方、
本発明では、Ｃｈａｕｍ・Ｆｉａｔ・Ｎａｏｒ法流にい
うと、これをＫ＝１とできるので、使用許可証の発行処
理での通信量を１／２０に削減できる）。二重使用、分割、譲渡について この発明では、交信履歴が、銀行に戻ることで換金が行
われるので、利用者が電子現金Ｃを二回以上（分割した
場合は良い）使用すると、銀行はＣを基にして、交信履
歴ファイルを検索してこの事実を検出できる。交信履歴
情報Ｈには、Ｃと共にＮが含まれているので、銀行は第
三者（例えば裁判所）の許可のもとで、信託機関Ｊから
Ｎに対応する利用者名Ｕを知ることができ、不正者を特
定できる。

【００６１】この発明では、二重使用の検出アルゴリズ
ムをそのまま利用して、 Chaum・Fiat・Naor法では出来
なかった、分割、譲渡を行なうことが出来る。実際、金
額ｘ（ｘ＜Ｘ）を支払う（／譲渡する）ことを保証する
署名を行なうことで、金額Ｘに相当する電子紙幣Ｃを分
割して（／譲渡して）使用出来る。

【図面の簡単な説明】

【図１】この発明を実施するための構成要素を示すブロ
ック図。

【図２】図１中の利用者と銀行間での利用許可証発行処
理を示すブロック図。

【図３】図１中の利用者と銀行間での電子紙幣発行処理
を示すブロック図。

【図４】図１中の利用者と小売店での電子紙幣による支
払処理に関する利用者の処理を示すブロック図。

【図５】図１中の利用者と小売店での電子紙幣による支
払処理に関する小売店の処理を示すブロック図。

【図６】図１中の小売店と銀行間の決済処理を示すブロ
ック図。

【図７】図１中の利用者２００と利用者５００での電子
紙幣による譲渡処理に関する利用者２００の処理を示す
ブロック図。

【図８】図１中の利用者２００と利用者５００での電子
紙幣による譲渡処理に関する利用者５００の処理を示す
ブロック図。

【図９】図１中の利用者５００と小売店での電子紙幣に
よる支払処理に関する利用者５００の処理を示すブロッ
ク図。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｈ０４Ｌ 9/32 Ｇ０６Ｆ 15/30 ３３０ Ｈ０４Ｌ 9/00 ６７５Ａ

Claims (4)

【特許請求の範囲】
1. 【請求項１】 利用者Ｕは、ディジタル署名（以下署名
   と呼ぶ）用の秘密情報Ｐに対応した公開情報Ｎを少くと
   も１つの部局からなる信託機関Ｊに送信し、 信託機関Ｊは、利用者Ｕと公開情報Ｎの対応を秘密に管
   理し（以後、Ｎを匿名公開情報と呼ぶ）、匿名公開情報
   Ｎに対するＪの署名Ｂを生成して利用者Ｕに送信し、 利用者Ｕは、匿名公開情報Ｎと信託機関Ｊの署名Ｂを利
   用許可証として、Ｎに対応する秘密情報Ｐとともに記憶
   し（利用許可証の発行）、 次に利用者Ｕは、銀行Ａに対して利用許可証（Ｂ，Ｎ）
   と金額Ｘを示して金額Ｘの電子紙幣Ｃの発行を要求し、 銀行Ａは、利用者Ｕに対して利用許可証（Ｂ，Ｎ）に関
   連しかつ、Ｘに相当する電子紙幣Ｃを署名により発行し
   （電子紙幣の発行）、 利用者Ｕは、小売店Ｖに対して、利用許可証（Ｂ，Ｎ）
   と電子紙幣Ｃを示し、さらに、匿名公開情報Ｎに対応す
   る秘密情報Ｐを使って、金額ｘ（ｘ＜Ｘ）を支払うこと
   を保証する署名により支払を行ない（電子紙幣の支払
   い）、 小売店Ｖは、銀行Ａに、支払の履歴情報Ｈを引き渡すこ
   とで、金額ｘに該当する金額を得（電子紙幣の換金）、 銀行Ａは、電子紙幣Ｃのもとでの支払の合計が、限度額
   Ｘを超えていないことを確認し（電子紙幣の管理）、合
   計が、Ｘを超えている場合は、信託機関Ｊに対して電子
   紙幣Ｃのもとでの全支払履歴の少くとも匿名公開情報Ｎ
   を提出し、 信託機関Ｊは受信した匿名公開情報を用いて、管理情報
   中の利用者Ｕと匿名公開情報Ｎの対応を公開することが
   出来るが、通常の決済時には利用者名を明かすことなく
   支払が可能なことを特徴とする信託機関付き電子現金方
   法。
2. 【請求項２】 請求項１の信託機関付き電子現金方法に
   おいて、 利用者Ｕ₁ は、利用者Ｕ₂ に対して、Ｕ₁ の利用許可証
   （Ｂ₁ ，Ｎ₁ ）と電子紙幣Ｃを示し、 さらに、Ｕ₁ の匿名公開情報Ｎ₁ に対応する秘密情報Ｐ
   ₁ を使って、金額ｘ（ｘ＜Ｘ）を譲渡することを保証す
   る署名により譲渡を行ない（電子紙幣の譲渡）、 利用者Ｕ₂ は、小売店Ｖに対して、譲渡時の譲渡の履歴
   Ｈ₁ と自己の利用許可証（Ｂ₂ ，Ｎ₂ ）を示し、さら
   に、自己の匿名公開情報Ｎ₂ に対応する秘密情報Ｐ₂ を
   使って、金額ｙ（ｙ＜ｘ）を支払うことを保証する署名
   により支払を行なう（電子紙幣の支払い／譲渡）ことを
   特徴とする電子現金方法。
3. 【請求項３】 利用者Ｕは、２つの大きな素数Ｐ，Ｑを
   生成して、これらを用いて合成数Ｎ（Ｎ＝Ｐ×Ｑ）を計
   算し、さらに、ｅ（利用者共通）、Ｐ，Ｑから、 ｄ＝ｅ^-1mod ＬＣＭ（Ｐ−１，Ｑ−１） を計算し、ｄ，Ｎをメモリに記憶し、Ｎを信託機関Ｊに
   送信し、（ＬＣＭ（ａ，ｂ）はａとｂの最小公倍数） 信託機関Ｊは、利用者ＵとＮの対応関係を対応表を用い
   て秘密に管理し、有効期限等の情報Ｉを生成し、信託機
   関Ｊの署名用秘密鍵（ｄj ，ｎj ）、 Ｂ＝ｇ（Ｎ‖Ｉ）^djmod ｎj の署名計算を行い、（ｇは一方向性関数）、その署名Ｂ
   とＩを利用者Ｕに送信し、 利用者Ｕは、信託機関Ｊからの受信データ（Ｂ，Ｉ，
   Ｎ）を利用許可証として、メモリに記憶し、 つぎに、利用者Ｕは、乱数ｂを生成して、メモリに記憶
   し、その乱数ｂとメモリから読みだした利用許可証
   （Ｂ，Ｉ，Ｎ）より、ｇ（Ｂ‖ｂ）を計算し、更に金額
   情報（例えば１万円）と対応した銀行Ａの公開情報（ｅ
   c ，ｎ_C ）を用いて、 Ｚ＝ｇ（Ｂ‖ｂ）ｒ^ecmod ｎ_C を計算し、この計算結果Ｚを電子紙幣の上記金額情報と
   共に銀行Ａに送信し、 銀行Ａは、受信情報Ｚと電子紙幣の金額に対応する秘密
   鍵（ｄc ，ｎ_C ）とを用いて Θ＝Ｚ^dcmod ｎ_C を計算し、その結果を利用者Ｕに送信し、 利用者Ｕは、受信情報Θと、公開鍵（ｅc ，ｎ_C ）とを
   用いて Ｃ＝Θ／ｒmod ｎ_C で計算して指定した金額の電子紙幣Ｃを得、つぎに、利
   用者Ｕは、Ｉ，Ｎ，Ｂ，ｂ，Ｃを小売店Ｖに送り、 小売店Ｖは（Ｉ，Ｎ）に対する署名Ｂの正当性を、信託
   機関Ｊの署名用公開鍵（ｅj ，ｎj ）を用いて、Ｂが、 Ｂ^ej≡ｇ（Ｎ‖Ｉ）（mod ｎj ） をみたすかを検査し、（Ｂ，ｂ）に対する電子紙幣Ｃの
   正当性を、銀行Ａの公開鍵（ｅc ，ｎ_C ）を用いて、Ｃ
   が Ｃ^ec≡ｇ（Ｂ‖ｂ）（mod ｎ_C ） をみたすかを検査し、この両検査が不合格のときは以降
   の処理を中止し、この両検査に合格すれば、小売店Ｖは
   乱数Ｅ′を生成し、それを小売店Ｖの識別子ＩＤ _V 及び
   時刻印Ｔと共に利用者Ｕに送り、さらにこれらについて
   Ｅ＝ｈ（ＩＤ_V ‖Ｔ‖Ｅ′）を計算し（ｈは一方向性関
   数）、 利用者Ｕは、電子紙幣Ｃのうち使用する金額ｘと、小売
   店Ｖからの受信情報に対し、利用者Ｕの秘密鍵（ｄ，
   Ｎ）とを用いて、 Ｓ＝ｇ（ｘ‖ｈ（ＩＤ_V ‖Ｔ‖Ｅ′））^d mod Ｎ を計算して署名し、この署名Ｓとｘを小売店Ｖに送り、 小売店Ｖは、ｘが、電子紙幣Ｃの利用限度額Ｘを超えて
   いないことを検査し、この検査が不合格の時は以後の処
   理を中止し、合格の場合、署名Ｓの正当性を、Ｓが Ｓ^e ≡ｇ（ｘ‖Ｅ）（mod Ｎ） を満たすことで検証し、 この検証に合格すれば、小売店Ｖは、利用者Ｕのｘに該
   当する金額の支払いを正当なものとしてみなし、それを
   受けとり、 次に、小売店Ｖは、利用者Ｕの電子紙幣使用時の交信履
   歴Ｈを銀行に提出し、 銀行は、Ｈの正当性を検査し、検査に合格すれば、Ｈを
   記憶しておくと共に小売店に該当する金額を支払う、 銀行Ａは、電子紙幣Ｃごとにその履歴Ｈを管理し、限度
   額ｘを超えて使用されたかを調べ、限度額を超えるとそ
   の電子紙幣Ｃについての全支払履歴Ｈ中の少くともＮを
   信託機関Ｊへ提出し、 信託機関Ｊは、提出されたＮから、対応表を用いて利用
   者名Ｕを捜し出し不正者を特定することを特徴とする信
   託機関付き電子現金方法。
4. 【請求項４】 請求項３の信託機関付き電子現金方法に
   おいて、 利用者Ｕ₁ は、利用許可証（Ｂ₁ ，Ｉ₁ ，Ｎ₁ ）、電子
   紙幣（ｂ，Ｃ）を利用者Ｕ₂ に送り、 利用者Ｕ₂ は、（Ｉ₁ ，Ｎ₁ ）に対する署名Ｂ₁ の正当
   性を、 Ｂ₁ ^ej≡ｇ（Ｎ₁ ‖Ｉ₁ ）（mod ｎj ） をＢ₁ がみたすことで検査し、（Ｂ₁ ，ｂ）に対する電
   子紙幣Ｃの正当性を、Ｃが Ｃ^ec≡ｇ（Ｂ₁ ‖ｂ）（mod ｎ_C ） をみたすことで検査し、この何れかの検査が不合格のと
   きは以降の処理を中止し、この両検査に合格すれば、利
   用者Ｕ₂ は、乱数Ｅ′を生成し、それを利用者Ｕ ₂ に対
   する署名Ｂ₂ 及び時刻印Ｔと共に利用者Ｕ₁ に送り、さ
   らにＥ＝ｈ（Ｂ₂‖Ｔ‖Ｅ′）を計算し、 利用者Ｕ₁ は、電子紙幣Ｃのうちの譲渡する金額ｘにつ
   いて署名計算 Ｓ₁ ＝ｇ（ｘ‖ｈ（Ｂ₂ ‖Ｔ‖Ｅ′））^d1mod Ｎ₁ を行い、その署名Ｓ₁ とｘを利用者Ｕ₂ に送り、 利用者Ｕ₂ は、ｘが、電子紙幣Ｃの利用限度額Ｘを超え
   ていないことを検査し、この検査が不合格の時は以後の
   処理を中止し、合格の場合は署名Ｓ₁ の正当性を、Ｓ₁
   が Ｓ₁ ^e1≡ｇ（ｘ‖Ｅ）（mod Ｎ₁ ） を満たすことで検証し、 この検証に合格すれば、利用者Ｕ₂ は、利用者Ｕ₁ のｘ
   に該当する金額の譲渡を正当なものとしてみなし、それ
   を受けとり、 利用者Ｕ₂ は、利用許可証（Ｂ₂ ，Ｉ₂ ，Ｎ₂ ）と、利
   用者Ｕ₁ との電子紙幣譲渡時の交信履歴Ｈ₁ （Ｉ₁ ，Ｎ
   ₁ ，Ｂ₁ ，ｂ，Ｃ，ｘ，Ｔ，Ｅ′，Ｓ₁ ）を小売店Ｖに
   送り、 小売店Ｖは、（Ｉ₂ ，Ｎ₂ ）に対する署名Ｂ₂ の正当性
   を、Ｂ₂ が Ｂ₂ ^ej≡ｇ（Ｎ₂ ‖Ｉ₂ ）（mod ｎj ） をみたすことで確認（利用許可証の正当性）し、さら
   に、交信履歴Ｈ₁ の正当性も確認し、 この何れかの検査が不合格のときは以降の処理を中止
   し、 この両検査に合格すれば、小売店Ｖは、乱数Ｅ_V ′を生
   成し、それを小売店Ｖの識別子ＩＤ_V 及び時刻印Ｔ′と
   共に利用者Ｕ₂ に送り、さらに、Ｅ_V ＝ｈ（ＩＤ_V ‖
   Ｔ′‖Ｅ_V ′）を計算し、 利用者Ｕ₂ は、譲渡された金額ｘのうち使用する金額ｙ
   についての署名計算 Ｓ₂ ＝ｇ（ｙ‖ｈ（ＩＤ_V ‖Ｔ′‖Ｅ_V ′））^d2 mod
   Ｎ₂ を行い、この署名Ｓ₂ とｘを小売店Ｖに送り、 小売店Ｖは、ｙが、電子紙幣Ｃの譲渡金額ｘを超えてい
   ないことを確認し、この検査が不合格の時は以後の処理
   を中止し、 合格の場合、署名Ｓ₂ の正当性を、Ｓ₂ が Ｓ₂ ^e2≡ｇ（ｙ‖Ｅ_V ）（mod Ｎ₂ ） を満たすことで検証し、この検証に合格すれば、小売店
   Ｖは、利用者Ｕ₂ のｙに該当する金額の支払いを正当な
   ものとしてみなし、それを受けとることを特徴とする信
   託機関付き電子現金方法。