JPH1083426A - 監視機関つき電子現金方法及びそれを実施するための利用者装置及び監視機関装置 - Google Patents

Abstract

(57)【要約】 【課題】 電子現金の銀行毎の発行状況を監視可能とす
る。 【解決手段】 利用者Ｕが金額Ｘの電子現金の発行を署
名検証鍵Ｎ_U と共に銀行Ｂに送り、銀行ＢはＸとＮ_U の
対をＵと対応して利用者データベースに保持すると共に
監視機関に送り、かつ(X,N_U)に対する署名S_B(X,N_U)を生
成して利用者Ｕに送る。監視機関は(X,N_U)を合計使用金
額Ｙと対応して監視データベースに登録する。利用者は
支払額ｙと、X,N_U,S_B(X,N_U) と、小売店からの情報ｅに
対する署名S_U(e,y) を小売店に送り、小売店は署名S
_B(X,N_U)、S_U(e,y) を検証し、正しければ支払いを受け
る。小売店は利用者との全交信データＨを監視機関に送
り、監視機関はデータＨ中の(X,N_U)が監視データベース
に登録されており、かつ更新した支払合計金額Y+y がＸ
を越えなければ支払金額ｙを小売店の口座に振り込むよ
う銀行に指示し、そうでなければ(X,N_U)を銀行に送り不
正者を特定する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、電気通信システ
ムを介し、又はＩＣカードを介して、分割利用が可能
で、プライバシイを保証し、かつ不正使用を防ぐ電子的
な現金を実現する電子現金方法及びそれを実施するため
の利用者及び監視機関装置に関する。

【０００２】

【従来の技術】電気通信システムを用いた電子資金移動
が普及しつつある。一般に換金可能な証書（手形、小切
手など）は、証書の象徴的機能（証書を保持している人
に対して、証書に記載してある権利が供与されること）
を備えている。証書を電気通信システムで取り扱う場
合、証書はディジタル化されたデータであり、容易にコ
ピーを作成して複数回の不正な換金が可能となる。プリ
ペイドカードのような電子的現金を実現するときにも、
この問題が生じる。すなわち、プリペイドカードをコピ
ーすることで、不正に複数回の換金あるいは商品の購入
が可能となる。一方、クレジットカードでは、このよう
な２重使用の危険性はほとんどないが、その代わりに、
利用者の利用履歴がすべてカード会社に知られてしまう
という欠点がある（つまり、プライバシイが保証されて
ない）。これら問題の解決策として、計算機能を備えた
カードで換金時にカード読み取り装置とカードとの間の
データのやりとりを工夫することで、プライバシイを保
証し、かつカードの２重使用を検出する方法が提案され
ている。たとえば、Chaum, Fiat, Naor:"Untraceable E
lectronic Cash", Proc. of CRYPTO'88 がある。

【０００３】

【発明が解決しようとする課題】しかしながら、Chaum
等の方法では、ある程度の安全性（例えば、不正が成功
する確率が1/2³⁰） を確保するため、利用者の小売店に
対する電子現金による支払処理における質問、応答及び
検証の３手順をその安全性に応じた回数だけ繰り返し
（例えば、３０回）実行する必要があるため、相互交信
量がかなり大きくなる。また、発行された同一電子現金
を分割して利用することができない。従来提案されてい
る分割使用可能な電子現金の分割使用原理は、例えば米
国特許No.5,224,162に示されているように、階層構造を
使った数学的に巧妙な論理に基づいている。しかしなが
ら、実際にこれを実施する場合、処理手順が多く、かつ
演算量が大となる欠点がある。元来、電子現金実施シス
テムにおいては、電子現金の発行者と利用者口座を管理
する金融機関が同一であるため、各金融機関が電子現金
を発行するという想定で構成されており、発行された電
子現金は利用者から小売店、銀行を経て、発行元の銀行
に還流する。従って、それぞれの金融機関が発行する電
子現金の発行量を監視することができない。

【０００４】この発明の第１の目的は、プライバシイを
保証し、不正使用をも防ぐ電子現金方法において、支払
処理における通信量が少なく、分割利用が可能で、特に
各金融機関が発行する電子現金の発行量を監視すること
ができるような電子現金方法を実現することにある。こ
の発明の第２の目的は、上記電子現金方法を実施するた
めの利用者装置及び監視機関装置を実現することにあ
る。

【０００５】

【課題を解決するための手段】この発明による電子現金
方法は以下のステップを含む： (1) 利用者は、銀行に利用者情報Ｕと電子現金の額面に
対応する金額Ｘを送信し、利用者の口座から金額Ｘを引
き下ろすことを要請し、(2) 上記銀行は、上記利用者の
口座から金額Ｘを減額し、上記利用者の署名検証用鍵Ｎ
_U 及び金額Ｘに対してその銀行の署名S_B(X,N_U)を生成し
上記利用者に送付すると共に、上記金額Ｘと上記署名検
証用鍵Ｎ_U の情報を含む署名検証鍵情報ｎを上記利用者
情報Ｕと対応させて利用者データベースに記録し、更に
上記監視機関に上記署名検証鍵情報ｎを送付し、(3) 上
記監視機関は、上記署名検証鍵情報ｎを合計使用金額Ｙ
と対応させて監視データベースに登録し、(4) 上記利用
者は残額ｘと、上記金額Ｘと、上記署名検証鍵Ｎ_U と、
上記署名S_B(X,N_U)とを含む情報を額面Ｘの電子現金Ｃと
して使って支払金額ｙを上記小売店に支払い、上記小売
店は上記電子現金の正当性を検証して受け取り、(5) 上
記小売店は上記電子現金Ｃの情報を含む上記利用者との
全交信データＨを上記監視機関に送信して決済を求め、
(6) 上記監視機関は受信した上記交信データＨ中の上記
電子現金Ｃの正当性を検証し、上記銀行に対し上記小売
店の口座に上記支払金額ｙを振り込むよう指示を与え
る。

【０００６】上記方法のステップ(1) において、利用者
は監視機関の暗号鍵PK_T を使って署名検証鍵Ｎ_U と金額
Ｘを含む組を暗号関数Ｅ_T により暗号化して得たE_T(X,N
_U)と金額Ｘを銀行及び監視機関に送り、更に、署名検証
鍵Ｎ_U をブラインド署名前処理してF(N_U) を銀行に送
り、ステップ(2) で銀行は利用者名Ｕと対応して署名検
証鍵情報ｎをデータベースに記録する代わりにE_T(X,N_U)
を記録し、また、(X,N_U)に対する直接署名の代わりに、
F(N_U) に対するブラインド署名Z(N_U) を利用者に送り、
ステップ(4) で利用者はF(N_U) ブラインド署名後処理に
より得た銀行署名S_B(N_U)を電子現金の一部として使うよ
うにしてもよい。

【０００７】この発明による利用者装置は、利用者署名
用鍵SK_U を生成する鍵生成手段と、金額Ｘと署名検証鍵
Ｎ_U とに対する銀行の署名S_B(X,N_U)と、残額ｘと、額面
Ｘと，署名検証鍵Ｎ_U とを含む電子現金Ｃと、上記署名
用鍵SK_U とを保持するメモリ手段と、支払金額ｙと上記
小売店から受信した任意の情報ｅとに対する署名を上記
署名用鍵SK_U を使って行い、署名S_U(e,y) を生成する署
名生成手段と、上記残額ｘから支払金額ｙを減算して残
額を更新する残額更新手段と、を含む。

【０００８】上記利用者装置において、暗号手段を設
け、監視機関の暗号鍵を使って金額Ｘと署名検証鍵Ｎ_U
を含む情報を暗号化して銀行に送り、更に、ブラインド
前処理手段とブラインド後処理手段を設け、署名検証鍵
Ｎ_U に対する銀行のブラインド署名Z(N_U)を得て、そのZ
(N_U)から銀行の署名S_B(N_U)を得てもよい。この発明によ
る監視機関装置は、発行された電子現金を所有する利用
者に対応する署名検証鍵情報ｎを合計使用金額Ｙと対応
させて登録する監視データベースと、小売店から受信し
た残金ｘ、額面Ｘ、署名検証鍵Ｎ_U 、銀行の署名S_B(X,N
_U)を含む電子現金Ｃと、支払金額ｙとを含む履歴データ
Ｈを保持する履歴データベースと、上記履歴データＨ中
の金額Ｘと検証鍵Ｎ_U に対応する署名検証鍵情報ｎが上
記監視データベースに登録されているか検索し、登録さ
れていなければ不正使用された電子現金であると判定す
る手段と、上記署名検証鍵情報が登録されている場合、
上記履歴データＨ中の支払金額ｙを上記監視データベー
ス中の対応する合計使用金額Ｙに加算する加算手段と、
上記加算手段による加算結果Y+y を額面Ｘと比較する比
較手段と、上記比較手段による比較結果がY+y<X であれ
ば上記監視データベース中の対応する合計使用金額Ｙを
上記加算結果Y+y で更新し、Y+y=X であれば上記監視デ
ータベース中の対応する署名検証鍵情報ｎと合計使用金
額Ｙを削除し、Y+y>X であれば不正使用された電子現金
であると判定して上記ｎ，Ｙを削除すると共に、その署
名検証鍵情報ｎを上記銀行に通知する制御手段、とを含
む。

【０００９】上記監視機関装置において、復号手段を設
け、利用者からの暗号化情報E_T(X,N _U)を復号して得た
(X,N_U)を監視データベースに登録するようにしてもよ
い。この発明によれば、電子現金発行を行う機関（銀
行）と決済のための検証処理を行う機関（監視機関）を
分離し、監視機関において銀行の発行した電子現金の流
通量を監視する。一方、利用者の支払い処理を利用者の
署名鍵を用いて行うことにより、分割支払いを可能とし
ている。つまり、支払い額に対して利用者の署名を付け
させることにより、利用者が一定金額以上の支払いをし
た場合、その不正行為を証拠として提示できる。

【００１０】

【発明の実施の形態】図１は、この発明方法が適用され
るシステムの構成の例を示す。電子現金の発行を監視す
る監視機関の装置100 （この監視機関を表す情報をＴと
記す）と、電子現金を発行する機関の装置200 （この銀
行を表す情報をＢと記す）と、発行された電子現金を使
用する利用者の装置300 （この利用者を表す情報をＵと
記す）と、利用者より電子現金を受領する小売店の装置
400 （この小売店を表す情報をＷと記す）とが通信回線
などを介して接続されている。これらは情報を記録でき
るＩＣカード等を介して接続されてもよい。以下に説明
するこの発明の実施例において使用されるディジタル署
名は既に確立した技術として様々な方式が知られてお
り、それらのどれを使ってもよい。

【００１１】図１に示したシステム構成において適応さ
れるこの発明の電子現金実施方法を次ぎに説明する。 第１実施例 (1) 電子現金の発行処理 まず、利用者が、電子現金を発行してもらう場合を図２
を用いて説明する。

【００１２】銀行200 は、あらかじめディジタル署名
（池野、小山著「現代暗号理論」電子情報通信学会、等
を参照）用の公開鍵PK_B 及び秘密鍵SK_B の組を生成して
メモリ20M に保持する。その秘密鍵SK_B と、それを用い
て署名を生成するための署名生成関数Ｓ_B を秘密とす
る。更に、そのディジタル署名を検証するための署名検
証関数Ｖ_B と、その署名検証関数に使用する検証用公開
鍵PK_B を公開する。

【００１３】利用者は、銀行のその利用者300 の口座
（利用者情報Ｕと対応）から発行電子現金の額面と同じ
金額Ｘを引き下ろすことを要請するための手続きを以下
の手順で行う。 ステップ１：利用者300 は、ディジタル署名の鍵生成部
301 を用いて、署名生成鍵SK_U 及び署名検証鍵Ｎ_U を生
成し、メモリ30M に記録する。従って、署名検証鍵Ｎ_U
は利用者情報Ｕと対応している。

【００１４】電子現金の額面と等しい金額Ｘを利用者30
0 の口座から引き下ろすことを要請するメッセージと利
用者情報（利用者識別情報或いは口座番号）ＵをＮ_U と
共に銀行200 に送る。なお、この実施例では、利用者が
新しい電子現金の発行を行う毎に署名検証鍵Ｎ_U を新し
く生成する、即ち、変更する場合について説明するが、
後述するように、同一署名検証鍵Ｎ_U を複数の電子現金
に使用してもよい。

【００１５】ステップ２：銀行200 は、利用者300 の口
座の残高をチェックし、その残高よりＸを減額し、更に
利用者名Ｕと対応させて(X,N_U)を署名検証鍵情報として
利用者データベース201 に記録しておく。そのとき、利
用者300 のディジタル署名のついた引き下ろし依頼メッ
セージがあればそれも一緒に記録しておく。次に、銀行
200 は署名関数Ｓ_B の署名作成部202 を用いて、Ｘ，Ｎ
_U に対する銀行200 のディジタル署名S_B(X,N_U)を計算
し、S_B(X,N_U)を利用者300 に送付するとともに、(X,N_U)
を監視機関100 に送付する。 ステップ３：利用者300 はS_B(X,N_U)をx,X,N_Uと共に額面
Ｘ、残高ｘの電子現金Ｃ={x,X,N_U,S_B(X,N_U)}としてメモ
リ30M に保持する。ただし、残高ｘの初期値はｘ＝Ｘで
ある。

【００１６】ステップ４：監査機関100 は、(X,N_U)を署
名検証鍵情報として監視データベース101 に登録する。
ここで、その(X,N_U)に対応する電子現金の現在までの支
払金額ｙの合計額Ｙの初期値をY=0 として(X,N_U)に対応
して記録する。なお、この第１実施例では、署名検証鍵
Ｎ_U を利用者が生成する例を示しているが、他の機関、
例えば監視機関100 又は銀行200 が生成することにして
もよい。その場合は、電子現金発行依頼に応じて予め監
視機関又は銀行がその署名検証鍵Ｎ_U を生成し利用者30
0 に送信することになる。 (2) 電子現金の支払 次に、利用者300 が、利用者の署名検証鍵Ｎ_U と銀行20
0 より発行された署名S_B(X,N_U)の組を含む額面Ｘ、残高
ｘ（初期値ｘ＝Ｘ）の電子現金Ｃを用いて小売店Ｗで金
額ｙ（ｙ≦ｘ）を支払う場合について図３を用いて説明
する。

【００１７】ステップ１：利用者300 は、メモリ30M か
ら読みだした残高ｘを表示部30D に表示してそれが利用
しようとする金額ｙ以上であることを確認して電子現金
Ｃ={x,X,N_U,S_B(X,N_U)}を小売店400 に送る。 ステップ２：小売店400 は、署名検証部401 を用いて、
電子現金の発行者（銀行200 ）の署名S_B(X,N_U)の正当性
を署名検証関数Ｖ_B により検証する。正しければ、一方
向関数演算部402 により一方向関数ｆを用いて時間TIM
E、小売店400 に対応する情報Ｗから検証のための問い
合わせ情報ｅ=f(TIME,W)を生成し、TIME，Ｗ，ｅを利用
者300 に送る。

【００１８】ステップ３：利用者300 は、一方向関数演
算部306 、比較部307 を用いて、ｅ＝f(TIME,W) の正当
性を検証する。正しければ、署名生成部305 を用いて、
送られてきたｅ及び支払金額y(y≦x)に対する利用者の
署名S_U(e,y) を計算し、ｙ，S _U(e,y) を小売店400 に送
付する。 ステップ４：小売店400 は、利用者署名S_U(e,y) と支払
金額ｙの正当性を、問い合わせ情報ｅと署名検証鍵Ｎ_U
を使って署名検証部404 により検証し、更に、比較部40
3 を用いて、ｙ≦ｘを検証する。いずれも正しければ、
該当支払金額ｙの電子現金による支払いを認め、少なく
とも１つが正しくなければ支払を認めない判定結果OK/N
G を利用者に送る。また、後の決済のため、利用者300
との間の交信データH={x,X,N_U,S_B(N_U),TIME,W,e,y,S
_U(e,y)}を小売店データ蓄積部40D に保持する。

【００１９】なお、小売店400 がTIME，Ｗ，ｅを利用者
300 へ送った後、S_B(X,N_U)の正当性の検証を行ってもよ
い。 ステップ５：利用者300 は小売店400 からの判定結果OK
/NG がOKであれば、メモリ30M の残高ｘを減算部302 に
よりｘ←x-y と更新する。 (3) 決済 最後に、小売店400 と銀行200 の間の決済方法について
図４を用いて説明する。

【００２０】ステップ１：小売店400 は決済のためにま
ず監視機関100 に利用者300 と小売店400 の間の全ての
相互通信データＨ＝{x,X,N_U,S_B(X,N_U),TIME,W,e,y,S
_U(e,y)}を自分の口座を有する銀行200 を経由して（ま
たは直接）送信する。 ステップ２：監視機関100 は、相互通信データＨに含ま
れる利用者300 の署名検証用鍵Ｎ_U と額面Ｘの組(X,N_U)
が監視デーベース101 に登録されているかどうかを検査
する。登録されていれば、制御部114 は加算部107 及び
比較部103 を用いて、以下の処理を行う。まず、(X,N_U)
に対応して記録されている支払金額の合計値ＹをY+y→Y
と更新し、更に更新されたＹがＸを越えてないことを検
査する。また、制御部114 は相互通信データＨを履歴デ
ータベース108 に記録する。履歴データベース108 への
データの書き込みは、好ましくは予め決めた期限付きと
し、期限の切れたデータは消去することによりデータ量
を削減することが好ましい。

【００２１】もし、更新された支払合計金額Ｙが額面Ｘ
を越えていなければ、使われた電子現金の発行銀行に対
し、小売店400 が指定した銀行の口座に金額ｙを振り込
むよう指示する。このとき、小売店400 が口座を持つ銀
行は、利用者300 の(X,N_U)に対し署名した銀行200 でな
くても良い。更に、Y+y=X ならば、監視データベース10
1 から(X,N_U)及びそれに対応する支払合計金額Ｙを削除
する。

【００２２】(X,N_U)が監視データベース101 に登録され
ていない場合は、利用者300 による不正支払いが行われ
たものとして、不正者特定処理を行う。また、Y+y>X な
らば、制御部114 は監視データベース101 からＸ，Ｎ_U
の対及びそれに対応するＹを削除すると共に、やはり、
利用者による不正支払いが行われたものとして、不正者
特定処理を行う。

【００２３】ステップ３：不正者特定処理では、監視機
関100 は、(X,N_U)を削除する前に履歴データベース108
より不正行為の証拠となる情報（不正支払に関する全て
の相互通信データＨ）を読み出し、電子現金発行元銀行
200 に送付する。銀行200 は、不正行為の証拠の正当性
を、署名検証部203 によりＮ_U を使って検証し、正しけ
れば(X,N_U)をキーワードとして利用者データベース201
から対応する利用者情報Ｕに該当する不正利用者300 を
特定する。

【００２４】上述において、利用者は署名検証鍵Ｎ_U を
原型のまま含む情報(X,N_U)を銀行及び監視機関に送る場
合を説明したが、一般には、署名検証鍵Ｎ_U の情報をそ
のままの形態も含め、任意の形態に変換して送ってよ
い。この任意の形態の変換をn=f(N_U) で表す。従って、
上述の実施例の説明におけるより一般的な表現として、
利用者は、n=f(N_U) で表される署名検証鍵情報を額面Ｘ
と共に銀行及び監視機関に送る。例えば、利用者は一方
向関数ｆを使って署名検証鍵Ｎ_U を含む情報をn=f(N_U)
のように変換し、(X,n) を銀行200 、更に監視機関100
に送って、それぞれ署名検証鍵情報としてデータベース
201，101に書き込んでもよい。

【００２５】上述の第１実施例において、銀行200 は例
えば一方向性のハッシュ関数ｈによりn=h(X,N_U) なる圧
縮されたデータｎを署名検証鍵情報として生成し、この
署名検証鍵情報ｎと利用者300 の名前Ｕとを対応させて
利用者データベース201 に記憶してもよい。同様に、監
視機関100 も銀行から受けた(X,N_U)を一方向ハッシュ関
数により圧縮して得たデータn=h(X,N_U) を監視データベ
ース101 に合計使用金額Ｙと対応して登録してもよい。
その場合、図４の監視機関100 は小売店400 からの履歴
データＨ中の(X,N_U)を同じ一方向ハッシュ関数ｈにより
圧縮して得られた署名検証鍵情報ｎによりデータベース
101 を検索し、同じ署名検証鍵情報ｎが存在するか、即
ち(X,N_U)が登録されているかを検査する。

【００２６】上述のようにして使用された電子現金の残
額ｘを使って利用者300 が任意の小売店に支払を行う場
合の手順は、上述した利用者300 と小売店400 間の支払
手順と全く同じであり、またそれにともなう小売店と監
視機関100 との間の決済手順も前述と全く同様にして行
うことができる。上述したこの発明の電子現金実施方法
によれば、各銀行200 が発行する電子現金の金額Ｘは全
て監視機関100 に報告されるので、それぞれの銀行によ
る電子現金の発行総量を監視することもできるし、監視
機関100 は常に流通している電子現金の総量を把握する
ことができる。

【００２７】また、この発明によれば、電子現金で支払
を行う場合、使用金額が現残額ｘ以下であることを確認
するだけなので、電子現金の分割使用における処理手順
は前述の米国特許No.5,224,162に示された電子現金の分
割使用手順より著しく簡単であり、かつ、そのための交
信情報量も著しく少なくてすむ。更に、この発明の特徴
とするところは、監視機関100 において、監視データベ
ース101 に保持される監視対象の登録データ(X,N_U)は、
対応する電子現金がその額面Ｘまで全て使いきった時点
で抹消されるので、それ以降、不正により同じ電子現金
が使用されても、小売店から監視機関に決済のため送ら
れるその電子現金のデータ(X,N_U)は既にデータベース10
1 から抹消されているので、不正使用が直ちに露見す
る。また、この方法において特徴的なことは、上述のよ
うにデータベース101 に保持されている監視対象として
の登録データ(X,N_U)は使用済み又は不正発覚時点で抹消
されるので、データベース101 に保持されている登録デ
ータ(X,N_U)は、その時点で有効なものだけである。従っ
て電子現金の発行総量がある程度一定していれば、監視
データベース101 に保持しなければならない登録デー多
量はほぼ一定となり、累積していくことはない。これに
対し、従来の電子現金方式においては、各銀行は不正使
用された電子現金と使用済み電子現金（将来不正使用さ
れる可能性がある）のリストを監視対象として保持しな
ければならず、電子現金の発行量と共に監視データ量が
累積していく問題がある。

【００２８】次に上述の第１実施例における特徴的な利
用者装置300 と監視機関100 の機能構成を以下に説明す
る。図５は上述の第１実施例において利用者300 の処理
手順を実行するための利用者装置の機能ブロック図を示
す。その構成は、図２及び３中の利用者300 が実行する
電子現金発行時の処理機能部300aと、電子現金使用時の
処理機能部300bが互いに入力部311 、制御部312 、メモ
リ30M を共有するように構成されている。電子下金発行
時の機能構成部300aは、入力部311 と、各部の動作を制
御するための制御部312 と、鍵生成部301 と、送信部31
3 と、受信部314 と、メモリ30M とから構成されてい
る。制御部312 は入力部311 からコマンド、利用者情報
Ｕ、額面Ｘが与えられると、電子現金発行要求のため利
用者情報Ｕと額面Ｘを送信部313 から銀行200(B)に送信
すると共に、鍵生成部301 に対し検証鍵Ｎ_U と署名鍵SK
_U の生成を行わせ、Ｘと共にメモり30M に保持させる。
更に生成した鍵Ｎ_U を銀行200 に送信させる。

【００２９】制御部312 は銀行200 から(X,N_U)に対する
署名S_B(X,N_U)を受信部314 で受信すると制御部312 はそ
れをメモり30M に保持する。電子現金使用時の機能構成
部300bは入力部311 と、制御部312 と、メモリ30Mと、
表示部30D と、減算部302 と、署名構成部305 と、一方
向関数部306 と、比較判定部307 と、送信部315 と、受
信部316 とから構成される。小売店400 に対する支払額
が入力部311 から入力されるとメモリ30M から残額ｘを
読み出し、表示部30D に表示し、残額ｘが支払額以上で
あることを確認する。次にメモリ30Mから額面Ｘ、残金
ｘの電子現金Ｃ={x,X,N_U,S_B(X,N_U)}を読み出し、送信部
315 から小売店400 に送信する。これに応答して小売店
400 から問い合わせ情報ｅ、TIME、Ｗを受信部316 によ
り受信するとTIMEとＷを一方向関数部306 により一方向
関数処理してf(TIME,W) を得て、これが受信したｅと一
致するか、比較判定部307 で判定する。一致すれば署名
生成部305 で署名鍵SK_U を使ってｅとｙの組に対する署
名S_U(e,y) を生成し、支払金額ｙと共に小売店400 に送
信する。それと共に減算部302 で残額ｘから支払金額ｙ
を減算して更新した残額ｘでメモリ30M 内の残額ｘを更
新する。

【００３０】監視機関装置100 は図６に示すように、監
視データベース101 と、履歴データベース108 と、加算
部107 と、比較部103 と、これらの動作を制御する加算
部107 と、履歴データベース108 と、受信部112 と、送
信部113 と、受信部115 と、制御部114 とから構成され
ている。受信部112 で銀行200 から(X,N_U)を受信すると
制御部114 は(X,N_U)を監視データベースに登録し、それ
に対応して電子現金の合計使用金額初期値Y=0 を記録す
る。

【００３１】以後、小売店400 から受信部115 により電
子現金Ｃ={x,X,N_U,S_B(X,N_U)}による支払手順の履歴デー
タＨ={x,X,N_U,S_B(X,N_U),TIME,W,e,y,S_U(e,y)}を受信す
ると、制御部114 は受信データ中の(X,N_U)が監視データ
ベース101 に既に登録されているか検索し、登録されて
いなければその電子現金による支払いは不正なものとし
て電子現金の発行銀行に(X,N_U)を通知する。既に登録さ
れていればその(X,N_U)に対応する監視データベース101
中の合計使用金額ＹとデータＨ中の支払金額ｙとを加算
部107 で加算する。その加算結果を比較部103 でデータ
Ｈ中の額面Ｘと比較する114 にその比較結果がY+y＞Xで
あれば不正使用であると判定し、監視データベース101
から(X,N_U)及びそれと対応するＹを削除すると共に(X,N
_U)を電子現金発行銀行に通知する。Y+y＜Xであればその
電子現金の使用は不正のないものと判定、履歴データベ
ースにデータＨを記録すると共に、監視データベース10
1中の対応する合計使用金額Ｙを加算部107 の加算結果
により更新する。Y+y=X の場合、その電子現金の額面Ｘ
が全額使用されてしまったことを意味し、従って監視デ
ータベース101 から(X,N_U)とそれに対応するＹを削除す
る。

【００３２】上述の第１実施例では、同一利用者が電子
現金の発行を要求する毎に異なる署名検証鍵Ｎ_U を生成
するため、額面Ｘが同じでも同一利用者の複数の電子現
金を区別することができる。同一利用者が常に同一署名
検証鍵Ｎ_U を使用できるようにするには、電子現金毎に
異なる変数値Ｒ（例えば乱数）を生成し、前述のデータ
(X,N_U)の代わりに(X,N_U,R)を使用すればよい。即ち、銀
行200 では利用者情報Ｕに対応してデータ(X,N_U,R)又は
n=h(X,N_U,R) を記録する。また、監視機関100ではデー
タ(X,N_U)を登録する代わりに(X,N_U,R)又はn=h(X,N_U,R)
を登録する。利用者は小売店400 にデータ(X,N_U,R)及び
S_B(X,N_U,R)を含む電子現金Ｃを送る。決済においては、
監視機関100 は小売店からのデータＨ中の(X,N_U,R)又は
それを変換したｎが監視データベース101 に登録されて
いるかを検査する。その他の具体的手順は前述と同様で
ある。 第２実施例 ところで、図２、３及び４を参照に説明した実施例で
は、銀行と電子現金の発行を求める場合に、利用者は自
分の署名検証鍵Ｎ_U を銀行に提出するので、銀行は利用
者の情報Ｕと(X,N_U)との対応関係を知っている。一方、
小売店では電子現金の支払を受ける場合に利用者から
(X,N_U)を受け取る。そこで、もし銀行が小売店と結託す
れば、銀行は小売店で電子現金を使用した利用者の情報
Ｕを得ることができることになるので、図２、３及び４
の実施例はプライバシ保護の面で十分といえない。この
点を改善した実施例を以下に図７、８及び９を参照して
説明する。

【００３３】この第２実施例では、電子現金発行処理に
おいて利用者は銀行に利用者の(X,N _U)の対が知られない
ようにするため、(X,N_U)を監視機関の暗号化鍵で暗号化
して銀行に与える。また、銀行の電子現金発行手順にお
いて、銀行にＮ_U が知れないようにするため、銀行の電
子現金に対する署名はブラインド署名を行う。以下、図
７、８、９を参照して詳細に説明する。 (1) 電子現金の発行処理 まず、利用者が、電子現金を発行してもらう場合を図７
を用いて説明する。

【００３４】監視機関100 は、予め公開鍵暗号方式用の
公開鍵PK_T と秘密鍵SK_T を生成してメモリ10M に保持し
ておき、銀行200 はブラインド署名方式用の各額面Ｘに
対応した対の公開鍵PK_B と秘密鍵SK_B を生成して保持し
ているものとする。監視機関100 は、公開鍵暗号用の暗
号化関数Ｅ_T と公開鍵PK_T を公開すると共に、公開鍵PK
_T と対をなす復号用の秘密鍵SK_T と、それを用いる復号
関数Ｄ_T を秘密に保持する。

【００３５】銀行200 は、ブラインド署名用の公開鍵PK
_B と署名検証関数Ｖ_B を公開すると共に、ブラインド署
名用公開鍵PK_B と対をなすブラインド署名用秘密鍵SK_B
と、それを用いた署名生成関数Ｓ_B を秘密に保持する。
利用者300 は、銀行200 の利用者300 の口座から電子現
金の額面金額Ｘを引き下ろすことを要請するための手続
きを以下の手順で行う。

【００３６】ただし、この実施例では利用者は電子現金
の発行を要求するときは常に同一の署名検証鍵Ｎ_U を使
う場合で説明する。従って、この場合、同一利用者の複
数の電子現金をそれぞれ区別できるように、前述した変
数値（例えば乱数）Ｒを(X,N _U)と組み合わせて使用す
る。 ステップ１：利用者300 は、ディジタル署名の鍵生成部
301 を用いて、署名生成鍵SK_U 及び署名検証鍵Ｎ_U を生
成し、乱数生成部30R により変数値として乱数Ｒを生成
する。なお、この実施例では乱数Ｒを使うことにより安
全性をより高めているが、乱数Ｒの代わりに他のどの様
な任意の変数値を使ってもよい。

【００３７】次に、監視機関100 の暗号化用公開鍵PK_T
を使って公開されている暗号関数Ｅ _T を計算する暗号部
303 によりE_T(X,N_U,R)を計算し、金額Ｘを利用者300 の
口座から引き下ろすことを要請するメッセージをE_T(X,N
_U,R)とともに銀行200 に送る。このメッセージは、利用
者300 のディジタル署名等で認証されていることが望ま
しい。前述の第１実施例で説明したと同様に、利用者は
Ｎ_U を所望の関数で変換してｎを生成し、銀行200 に対
しＸを引き下ろすように要請すると共に暗号化情報E
_T(X,n) を生成して銀行へ送るようにしてもよい。

【００３８】ステップ２：銀行200 は、利用者300 の口
座の残高をチェックし、その残高よりＸを減額し、更に
利用者名Ｕと対応させてE_T(X,N_U,R)を署名検証鍵情報と
して利用者データベース201 に記録しておく。利用者30
0 の署名のついた引き下ろし依頼メッセージがあればそ
れも一緒に記録しておく。銀行200 は暗号化データE
_T(X,N_U,R)を復号する復号秘密鍵SK_T を持っていないの
で、(X,N_U,R)を知ることはできない。

【００３９】次に、{X,E_T(X,N_U,R)}を監視機関装置100
に送付する。 ステップ３：監視機関100 は、復号関数Ｄ_T の復号部10
2 を用いて、E_T(X,N_U,R)を復号化して(X,N_U,R)を求め
る。次に、銀行200 から送られてきたＸと復号化により
得られたＸの同一性を比較部103 により検証する。それ
が正しければ、(X,N_U,R)を署名検証鍵情報として監視デ
ータベース105 に登録すると共に、それに対応して利用
金額の合計額Ｙの初期値Y=0 を記憶する。

【００４０】ステップ４：利用者300 は、額面金額Ｘに
対応する銀行のブラインド署名公開鍵PK_B を用いて、ブ
ラインド署名生成部304 によりF(N_U) を生成し（ブライ
ンド署名前処理と呼ばれている）、それを銀行200 に送
る。銀行200 はF(N_U) をブラインド署名作成部203 に入
力し、ブラインド署名秘密鍵SK_B を使ってブラインド署
名Z(N_U) を生成し、それを利用者300 に送る。

【００４１】利用者300 は、ブラインド署名公開鍵PK_B
を使ってブラインド署名抽出部308によりZ(N_U) から銀
行の署名S_B(N_U)を得る（一般にブラインド署名後処理と
呼ばれている）。ブラインド署名の実現法については、
ＲＳＡ法を用いた方式が、Chaum, Fiat,Naorによる"Un-
traceable Electronic Cash", Proc. of CRYPTO'88"に
紹介されており、更にSchnorr法を用いたブラインド署
名がT.Okamotoによる"Provably Secure and Practical
Identification Schemes and Corresponding Signature
Schemes", Proc. of CRYPTO'92, pp.31-53, 1993のApp
endix Bで紹介されている。

【００４２】ここで、利用者300 はＣ={x,X,N_U,R,S
_B(N_U)}を額面Ｘ、残高ｘの電子現金としてメモリ30M に
保持する。ただし、残高ｘの初期値はx=X である。この
第２実施例では、署名検証鍵Ｎ_U を利用者300 が生成す
る例を示しているが、他の機関、例えば監視機関100 が
生成することにしてもよい。その場合は、利用者300 は
暗号鍵Ｋ_U を作り、E_T(K_U)を銀行200 を経由して監視機
関100 に送り監視機関100 はE_T(K) を復号してＫを求
め、生成したＮ_U をＫで暗号化してE_K(N_U)とし、そのE_K
(N_U)を銀行経由で利用者に送信する。利用者300 は暗号
鍵Ｋを使って受信したE_K(N_U)を復号してＮ_U を得る。 (2) 電子現金の支払 次に、利用者300 が、利用者の署名検証鍵Ｎ_U と銀行20
0 より発行された署名S_B(N_U)との組を額面Ｘ、残高ｘ
（初期値ｘ＝Ｘ）の電子現金Ｃとして用いて小売店Ｗで
金額ｙ（ｙ≦ｘ）を支払う場合について図８を用いて説
明する。一般にブラインド署名では、所望の種類の額面
Ｘにそれぞれ対応して固有な対の鍵SK_B、PK_B を生成す
ることが可能である。従って、額面を提示すれば、使用
すべきブラインド署名検証鍵PK_B がわかる。即ち、署名
S_B(N_U)は署名検証鍵Ｎ_U と額面Ｘの両方の情報を含んで
いることと同じである。

【００４３】ステップ１：利用者300 は、メモリ30M か
ら読みだした残高ｘを表示部30D に表示してそれが利用
しようとする金額ｙ以上であることを確認して電子現金
Ｃ＝{x,X,N_U,R,S_B(N_U)} を小売店400 に送る。 ステップ２：小売店400 は、署名検証部401 により額面
Ｘに対応する公開鍵PK _B を用いて、電子現金の発行者
（銀行200 ）の署名S_B(N_U)の正当性を署名検証関数Ｖ_B
により検証する。正しければ、一方向関数演算部402 に
より一方向関数ｆを用いて時間TIME、小売店400 に対応
する情報Ｗから検証のための問い合わせ情報ｅ=f(TIME,
W)を生成し、TIME，Ｗ，ｅを利用者300 に送る。

【００４４】ステップ３：利用者300 は、一方向関数演
算部306 、比較部307 を用いて、ｅ＝f(TIME,W) の正当
性を検証する。正しければ、署名生成部305 を用いて、
送られてきたｅ及び支払金額ｙ（ｙ≦ｘ）に対する利用
者の署名S_U(e,y) を計算し、ｙ，S_U(e,y) を小売店400
に送付する。 ステップ４：小売店400 は、署名検証部401 を用いて、
利用者署名S_U(e,y) と支払金額ｙの正当性を問い合わせ
情報ｅと署名検証鍵Ｎ_U を使って検証し、更に、比較部
403 を用いて、ｙ≦ｘを検証する。いずれも正しけれ
ば、該当支払金額ｙの電子現金による支払いを認める。
また、後の決済のため、利用者300 との間の交信データ
H={x,X,N_U,R,S_B(N_U),TIME,W,e,y,S_U(e,y)}を小売店デー
タ蓄積部40D に保持する。、少なくとも１つが正しくな
ければ支払を認めない判定結果OK/NG を利用者に送る。
また、後の決済のため、利用者300との間の交信データH
={x,X,N_U,R,S_B(N_U),TIME,W,e,y,S_U(e,y)}を小売店デー
タ蓄積部40Dに保持する。

【００４５】なお、小売店400 がTIME，Ｗ，ｅを利用者
300 へ送った後、S_B(N_U)の正当性の検証を行ってもよ
い。 ステップ５：利用者300 は小売店400 からの判定結果OK
/NG がOKであれば、メモリ30M の残高ｘを減算部302 に
よりｘ←x-y と更新する。 (3) 決済 最後に、小売店Ｗと銀行Ｂの間の決済方法について図９
を用いて説明する。

【００４６】ステップ１：小売店400 は決済のためにま
ず監視機関100 に利用者300 と小売店400 の間の全ての
相互通信データH={x,X,N_U,R,S_B(N_U),TIME,W,e,y,S_U(e,
y)}を決済銀行名とともに送信する。 ステップ２：監視機関100 の制御部114 は、相互通信デ
ータＨに含まれる利用者300 の署名検証用鍵Ｎ_U と、乱
数Ｒと、額面Ｘの組(X,N_U,R)が監視デタベース105 に登
録されているかどうかを検査する。登録されていれば、
制御部114 は加算部107 及び比較部103 を用いて、以下
の処理を行う。まず、(X,N_U,R)に対応して記録されてい
る利用金額の合計値ＹをY+y→Yに更新し、更に更新され
たＹがＸを越えてないことを検査する。また、制御部11
4 は相互通信データＨを履歴データベース108 に記録す
る。

【００４７】もし、更新された合計支払額Ｙが額面Ｘを
越えてなければ、使用された電子現金の発行銀行200 に
対し、小売店400 の指定した銀行の口座に金額ｙを振り
込むよう指示する。このとき、小売店400 が口座を持つ
銀行は、利用者300 の検証用鍵Ｎ_U にブラインド署名し
た銀行200 （電子現金を発行した銀行）でなくても良
い。更に、Y+y=X ならば、監視データベース105 から
(X,N_U,R)及びそれに対応するＹを削除する。

【００４８】(X,N_U,R)が監視データベース105 に登録さ
れていない場合は、利用者による不正支払いが行われた
ものとして、不正者特定処理を行う。また、Y+y>X なら
ば、制御部114 は監視データベース105 から(X,N_U,R)及
びそれに対応するＹを削除すると共に、やはり、利用者
による不正支払いが行われたものとして、不正者特定処
理を行う。

【００４９】ステップ３：不正者特定処理では、制御部
114 は、履歴データベース108 より不正行為の証拠とな
る情報Ｈを読み出し、情報Ｈ中の(X,N_U,R)を暗号部116
により公開鍵PK_T を使って暗号化してE_T(X,N_U,R)を得
て、情報Ｈと共に電子現金の発行元銀行200 に送付す
る。銀行200 は、不正行為の証拠である情報Ｈ中のS
_U(e,y),S_B(N_U)の正当性を鍵Ｎ_U,PK_B を使って署名検証
部203 により検証し、正しければE_T(X,N_U,R)をキーとし
て利用者データベース201 から対応する不正利用者情報
Ｕに該当する不正利用者300 を特定する。あるいは、監
視機関100 に暗号部116を設ける代わりに、銀行200 に
暗号部を設けて、監視機関100 から受けた(X,N_U,R)を暗
号化してE_T(X,N_U,R)を得てもよい。

【００５０】更に、小売店400 が実名Ｗを監視機関100
に教えたくない場合は、小売店が監視機関に送る通信デ
ータＨ中には仮名W'を用いて実名Ｗ を使わないように
する。また、小売店400 は決済銀行に400 とＷの対応を
通知しておくため、その銀行は監視機関より受け取った
Ｗへの振り込み依頼を小売店400 への振り込み依頼であ
ると判断する。

【００５１】次に上述の第２実施例における特徴的な利
用者装置300 と監視機関100 の機能構成を以下に説明す
る。図１０は上述の第１実施例において利用者300 の処
理手順を実行するための利用者装置の機能ブロック図を
示す。その構成は、図７及び８中の利用者300 が実行す
る電子現金発行時の処理機能部300aと、電子現金使用時
の処理機能部300bが互いに入力部311 、制御部312 、メ
モリ30M を共有するように構成されている。

【００５２】電子下金発行時の機能構成部300aは、入力
部311 と、各部の動作を制御するための制御部312 と、
鍵生成部301 と、暗号化部303 と、ブラインド署名前処
理部304 と、ブラインド署名後処理部308 と、送信部31
3 と、受信部314 と、メモリ30M とから構成されてい
る。制御部312 は入力部311 からコマンド、利用者情報
Ｕ、額面Ｘが与えられると、電子現金発行要求のため利
用者情報Ｕと額面Ｘを送信部313 から銀行200(B)に送信
すると共に、鍵生成部301 に対し検証鍵Ｎ_U と署名鍵SK
_U の生成を行わせ、Ｘと共にメモり30M に保持させる。
また、監視機関100 の暗号化用公開鍵PK_T を使って暗号
化部303 によりX,N_U,Rを暗号化して得たE_T(X,N_U,R)を銀
行200 に送信する。更に銀行のブラインド署名用公開鍵
PK_B を使ってブラインド署名前処理部304 により検証鍵
Ｎ_U を前処理し、得られたF(N_U) を銀行200 に送信す
る。

【００５３】制御部312 は銀行200 からF(N_U) に対する
ブラインド署名Z(N_U) を受信するとブラインド署名後処
理部308 により銀行のブラインド署名用公開鍵PK_B を使
って銀行の署名S_B(N_U)を抽出し、それをメモり30M に保
持する。電子現金使用時の機能構成部300bは入力部311
と、制御部312 と、メモリ30Mと、表示部30D と、減算
部302 と、署名構成部305 と、一方向関数部306 と、比
較判定部307 と、送信部315 と、受信部316 とから構成
される。小売店400 に対する支払額が入力部311 から入
力されるとメモリ30M から残額ｘを読み出し、表示部30
D に表示し、残額ｘが支払額以上であることを確認す
る。次にメモリ30Mから額面Ｘ、残金ｘの電子現金Ｃ=
{x,X,N_U,S_B(N_U)}を読み出し、送信部315 から小売店400
に送信する。これに応答して小売店400 から問い合わ
せ情報ｅ、TIME、Ｗを受信部316 により受信するとTIME
とＷを一方向関数部306 により一方向関数処理してf(TI
ME,W) を得て、これが受信したｅと一致するか、比較判
定部307で判定する。一致すれば署名生成部305 で署名
鍵SK_U を使ってｅとｙの組に対する署名S_U(e,y) を生成
し、支払金額ｙと共に小売店400 に送信する。それと共
に減算部302 で残額ｘから支払金額ｙを減算して更新し
た残額ｘでメモリ30M 内の残額ｘを更新する。

【００５４】監視機関装置100 は図１１に示すように、
メモリ10M と、監視データベース101 と、復号部102
と、比較部103 と、履歴データベース108 と、加算部10
7 と、比較部103 と、これらの動作を制御する加算部10
7 と、履歴データベース108 と、受信部112 と、送信部
113 と、受信部115 と、これらの各部の動作を制御する
制御部114 とから構成されている。受信部112 で銀行20
0 からＸとE_T(X,N_U,R)が受信されると、復号部102 は暗
号用秘密鍵SK_T を使って(X,N_U,R)を復号し、得られた金
額Ｘと受信したＸが一致するかを比較部103 でチェック
し、一致すればＮ _U と(X,N_U,R)の対と、それに対応する
利用合計金額の初期値Y=0 を監視データベース101 に登
録する。

【００５５】以後、小売店400 から受信部115 により電
子現金Ｃ={x,X,N_U,R,S_B(N_U)}による支払手順の履歴デー
タＨ={x,X,N_U,R,S_B(N_U),TIME,W,e,y,S_U(e,y)} を受信す
ると、制御部114 は受信データ中の(X,N_U,R)が監視デー
タベース101 に既に登録されているか検索し、登録され
ていなければその電子現金による支払いは不正なものと
して電子現金の発行銀行に(X,N_U,R)を通知する。既に登
録されていればその(X,N_U,R)に対応する監視データベー
ス101 中の合計使用金額ＹとデータＨ中の支払金額ｙと
を加算部107 で加算する。

【００５６】その加算結果を比較部103 でデータＨ中の
額面Ｘと比較する114 にその比較結果がY+y＞Xであれば
不正使用であると判定し、監視データベース101 から
(X,N_U,R)及びそれと対応するＹを削除すると共に(X,N_U,
R)を電子現金発行銀行に通知する。Y+y＜Xであればその
電子現金の使用は不正のないものと判定、履歴データベ
ースにデータＨを記録すると共に、監視データベース10
1 中の対応する合計使用金額Ｙを加算部107 の加算結果
により更新する。Y+y=X の場合、その電子現金の額面Ｘ
が全額使用されてしまったことを意味し、従って監視デ
ータベース101 から(X,N_U,R)とそれに対応するＹを削除
する。

【００５７】上述の第２実施例において、利用者はET
(X,N_U,R)を銀行及び監視機関に送る代わりに、まず、
(X,N_U)をハッシュ関数で署名検証鍵情報n=h(X,N_U) に変
換し、(n,R) を暗号化して得たE_T(X,N_U,R)を銀行及び監
視機関に送ってもよい。その場合、銀行はE_T(n,R) を署
名検証鍵情報として利用者データベースに記録紙、監視
機関はE_T(n,R)又は(n,R)を署名検証鍵情報として関しデ
ータベースに登録する。

【００５８】第１実施例で述べたと同様に、利用者の署
名検証鍵Ｎ_U を電子現金発行毎に変えれば、変数Ｒを使
用してもしなくてもよい。使用しない場合、銀行は利用
者名Ｕに対応して(X,N_U)を利用者データベース201 に記
録し、監視機関100 は(X,N_U)またはE_T(X,N_U)を登録す
る。変数Ｒを使用する場合は、その変数Ｒを上述の第２
実施例と全く同様に扱えばよいし、あるいは変数Ｒを利
用者、銀行、監視機関間の通信の安全性を高めるために
のみ使用する。後者の場合、小売店400 への支払電子現
金Ｃには変数Ｒを含めないので、決済において、小売店
400 からの情報Ｈ中に含まれる利用者の署名検証鍵Ｎ_U
が監視データベース105 に登録されているかを検査する
ためには、予め監視データベース105 に(X,N_U)とE_T(X,N
_U,R)の対を登録しておく。決済時に(X,N_U)をキーワード
として検索し、それが登録されていれば、必要に応じて
（即ち不正利用者検出の必要があれば）検出したE_T(X,N
_U,R)を銀行に送る。

【００５９】

【発明の効果】この発明の第１実施例では、銀行と小売
店が結託すると利用者のプライバシイが保証されなくな
るという欠点があるが、銀行が不正をしなければ利用者
のプライバシイを保証でき、かつ不正使用を検出でき
る、という特徴を備えている。この発明の第２実施例で
は、Chaum らの方式と同様に、銀行が小売店と結託して
も利用者のプライバシイを保証でき、かつ不正使用を検
出できる、という特徴を備えている。

【００６０】更に、この発明のいずれかの方法でも、Ch
aum らの方式よりも支払処理における通信量を少なくす
ることができる。また、分割利用が可能で、更に電子現
金の発行者と利用者の口座を管理する金融機関を階層的
に分離することができる。例えば、Chaum 等の方法で
は、電子現金の支払において、不正が成功する確率が1/
2³⁰ のとき、処理回数を３０回実行する必要があるた
め、一方向関数の出力サイズを128 ビットとすると、少
なくとも(3×128×30)＝11520 ビットの通信量を必要と
する。

【００６１】一方、この発明での支払処理においては、
ｙ，ｅ及びそれに対する利用者の署名のサイズが通信量
となる。ｙ，ｅ（更にTIME，Ｗ）のサイズの合計は高々
２００ビット程度あれば十分である。署名のサイズを10
24ビットとすると高々1200ビット程度となる。従って、
この発明の通信量は、支払処理時における通信量を１０
倍程度少なくすることが可能である。

【００６２】また、この発明では発行した電子現金を合
計が額面金額になるまで何回でも分割して利用が可能で
ある。更に、電子現金発行を行う機関（銀行）と決済の
ための検証処理を行う機関（監視機関）を分離し、監視
機関において銀行の発行した電子現金の流通量を監視す
ることを可能としている。つまり、監視機関では、銀行
が発行した電子現金の総量と銀行に還流してきた電子現
金の総量を知ることができるため、各時点で流通してい
る電子現金量を監視することが可能となる。

【図面の簡単な説明】

【図１】この発明が適用されるシステム構成の例を示す
図。

【図２】この発明の第１実施例における電子現金の発行
方法を機能的に示すブロック図。

【図３】この発明の第１実施例における電子現金の支払
方法を機能的に示すブロック図。

【図４】この発明の第１実施例における電子現金の決済
方法を機能的に示すブロック図。

【図５】この発明の第１実施例における利用者装置の機
能構成を示すブロック図。

【図６】この発明の第１実施例における監視機関装置の
機能構成を示すブロック図。

【図７】の発明の第２実施例における電子現金の発行方
法を機能的に示すブロック図。

【図８】この発明の第２実施例における電子現金の支払
方法を機能的に示すブロック図。

【図９】この発明の第２実施例における電子現金の決済
方法を機能的に示ブロック図。

【図１０】この発明の第２実施例における利用者装置の
機能構成を示すブロック図。

【図１１】この発明の第２実施例における監視機関装置
の機能構成を示す。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｇ０９Ｃ 1/00 ６４０ 7259−5Ｊ Ｇ０９Ｃ 1/00 ６４０Ｄ ６６０ 7259−5Ｊ ６６０Ｃ 7259−5Ｊ ６６０Ｂ Ｈ０４Ｌ 9/32 Ｇ０６Ｆ 15/30 Ｚ Ｈ０４Ｌ 9/00 ６７５Ｄ ６７５Ｂ

Claims (18)

【特許請求の範囲】
1. 【請求項１】 電子現金の発行を監視する監視機関と、
   電子現金を発行する銀行と、電子現金を利用する利用者
   と、電子現金により支払を受ける小売店とより構成され
   た電子現金システムの監視機関付き電子現金方法におい
   て、以下のステップを含む： (1) 上記利用者は、銀行に利用者情報Ｕと電子現金の額
   面に対応する金額Ｘを送信し、利用者の口座から金額Ｘ
   を引き下ろすことを要請し、 (2) 上記銀行は、上記利用者の口座から金額Ｘを減額
   し、上記利用者の署名検証用鍵Ｎ_U 及び金額Ｘに対して
   その銀行の署名S_B(X,N_U)を生成し上記利用者に送付する
   と共に、上記金額Ｘと上記署名検証用鍵Ｎ_U の情報を含
   む署名検証鍵情報ｎを上記利用者情報Ｕと対応させて利
   用者データベースに記録し、更に上記監視機関に上記署
   名検証鍵情報を送付し、 (3) 上記監視機関は、上記署名検証鍵情報ｎを監視デー
   タベースに登録し、 (4) 上記利用者は上記金額Ｘと、上記署名検証鍵Ｎ_U
   と、上記署名S_B(X,N_U)とを含む情報を額面Ｘの電子現金
   Ｃとして使って支払金額ｙを上記小売店に支払い、 上記小売店は上記電子現金の正当性を検証して受け取
   り、 (5) 上記小売店は上記電子現金Ｃの情報を含む上記利用
   者との全交信データＨを上記監視機関に送信して決済を
   求め、 (6) 上記監視機関は受信した上記交信データＨ中の上記
   電子現金Ｃの正当性を検証し、上記銀行に対し上記小売
   店の口座に上記支払金額ｙを振り込むよう指示を与え
   る。
2. 【請求項２】 請求項１の方法において、上記ステップ
   (1) で上記監視機関は上記署名検証鍵情報と対応させて
   合計使用金額Ｙを上記監視データベースに記録し、上記
   ステップ(2) で上記利用者は上記電子現金内に残額ｘを
   上記電子現金の情報に含めて上記小売店に送る。
3. 【請求項３】 請求項２の方法において、上記ステップ
   (4) は以下のステップを含む： (4a) 上記小売店は任意の情報ｅを生成し、それを上記
   利用者に送り、 (4b) 上記利用者は、支払金額ｙと送られてきた上記情
   報ｅとに対する利用者の署名S_U(e,y) を生成し、上記電
   子現金Ｃと，上記支払金額ｙと上記利用者の署名S_U(e,
   y)を上記小売店に送付し、 (4c) 上記小売店は、上記銀行の署名S_B(X,N_U)の正当性
   を検証し、また上記利用者署名S_U(e,y) の正当性を上記
   検証鍵Ｎ_U を用いて検証し、更に上記支払金額ｙが上記
   電子現金の残額ｘ以下であることを検証し、いずれの検
   証も正しければ、上記支払金額ｙの上記電子現金による
   支払いを認める。
4. 【請求項４】 請求項２又は３の方法において、上記ス
   テップ(6) は以下のステップを含む： (6a) 上記監視機関は、上記相互通信データＨより得ら
   れる上記署名検証鍵情報ｎが上記監視データベースに登
   録されているかどうかを検査し、 (6b) 登録されていれば、上記署名検証鍵情報に対応す
   る合計使用金額ＹをY+y に更新し、 (6c) その更新された合計使用金額Y+y が上記額面Ｘを
   越えないことを検査し、この検査が正しければ上記小売
   店の銀行口座に金額ｙを振り込むように上記銀行に指示
   し、 (6d) 更に、Y+y=X ならば、上記監視データベースから
   上記署名検証鍵情報とそれに対応する合計使用金額Ｙを
   削除し、 (6e) 上記検査の何れかでも合格でない場合は上記利用
   者による不正支払いが行われたものとして、上記監視デ
   ータベースから上記署名検証鍵情報とそれに対応する合
   計使用金額Ｙを削除し、上記銀行に上記署名検証鍵情報
   を送り、上記利用者データベースより不正利用者名を特
   定する。
5. 【請求項５】 請求項１、２又は３の方法において、上
   記ステップ(1) は上記利用者が変数値Ｒを生成して、上
   記検証鍵Ｎ_U と共に上記銀行及び上記監視機関に送るス
   テップを含み、上記ステップ(2) は上記銀行が上記署名
   検証鍵Ｎ_U と上記変数値Ｒを含む情報を上記署名検証鍵
   情報として記録するステップを含み、上記ステップ(3)
   は上記監視機関が上記署名検証鍵Ｎ_U と上記変数値Ｒを
   含む情報で上記署名検証鍵情報として上記監視データベ
   ースに登録するステップを含む。
6. 【請求項６】 電子現金の発行を監視する監視機関と、
   電子現金を発行する銀行と、電子現金を利用する利用者
   と、電子現金の支払いを受ける小売店とより構成され、
   上記監視機関は暗号関数Ｅ_T を公開し、上記銀行は署名
   検証関数Ｖ_B を公開した電子現金システムの電子現金方
   法において、以下のステップを含む： (1) 上記利用者は、銀行に利用者情報Ｕと電子現金の額
   面に対応する金額Ｘを送信して銀行に金額Ｘを利用者の
   口座から引き下ろすことを要請すると共に、上記額面Ｘ
   と、上記署名検証鍵Ｎ_U とを含む署名検証鍵情報を暗号
   化して、暗号化情報Ｅ_T を得て銀行に送り、 (2) 上記銀行は、上記利用者の口座から金額Ｘを減額
   し、上記金額Ｘと上記暗号化情報Ｅ_T を上記監視機関に
   送付すると共に、上記暗号化情報Ｅ_T を上記利用者情報
   Ｕに対応させて署名検証鍵情報として利用者データベー
   スに記録し、 (3) 上記監視機関は、上記暗号化情報Ｅ_T を復号化して
   署名検証鍵情報を得て、上記署名検証鍵情報と暗号化情
   報Ｅ_T の少なくともいずれか一方を監視データベースに
   登録し、 (4) 上記利用者は、上記署名検証鍵情報と上記額面金額
   Ｘに対するブラインド署名を銀行に要求し、上記額面金
   額Ｘに対応した銀行の署名S_B(n) を得て、 (5) 上記利用者は上記署名S_B(n) と、上記額面Ｘと、上
   記署名検証鍵Ｎ_U とを含む情報を額面Ｘの電子現金Ｃと
   して使って支払金額ｙを上記小売店に支払い、上記小売
   店は上記電子現金の正当性を検証して受け取り、 (6) 上記小売店は上記電子現金Ｃの情報を含む上記利用
   者との全交信データＨを上記監視機関に送信して決済を
   求め、 (7) 上記監視機関は受信した上記交信データＨ中の上記
   電子現金Ｃの正当性を検証し、上記銀行に対し上記小売
   店の口座に上記支払金額ｙを振り込むよう指示を与え
   る。
7. 【請求項７】 請求項６の方法において、上記ステップ
   (3) は上記監視機関が上記署名検証鍵情報と上記暗号化
   情報Ｅ_T の上記少なくとも一方を合計使用金額Ｙと対応
   させて上記監視データベースに登録するステップを含
   み、上記ステップ(4) は上記利用者が上記電子現金の残
   額ｘを上記電子現金の情報に含めて上記小売店に送るス
   テップを含む。
8. 【請求項８】 請求項７の方法において、上記ステップ
   (4) は以下のステップを含む： (4a) 上記小売店は、任意の情報ｅを生成し、それを利
   用者に送り、 (4b) 上記利用者は、支払金額ｙと、送られてきた上記
   情報ｅとに対する利用者の署名S_U(e,y)を生成し、上記
   電子現金Ｃ＝{x,X,N_U,S_B(n)}と、{y,S_U(e,y)}を小売店
   に送付し、 (4c) 上記小売店は、上記銀行の署名S_B(n) の正当性を
   署名検証関数Ｖ_B を用いて検証し、更に利用者署名S
   _U(e,y) の正当性を上記署名検証鍵Ｎ_U を用いて検証
   し、いずれの検証も正しければ、該当支払金額ｙの電子
   現金による支払いを認める。
9. 【請求項９】 請求項７又は８の方法において、上記ス
   テップ(7) は以下のステップを含む： (7a) 上記監視機関は、上記相互通信データＨより得ら
   れる上記署名検証鍵情報及び上記暗号化情報Ｅ_T の上記
   いずれか一方が上記監視データベースに登録されている
   かどうかを検査し、 (7b) 登録されていれば、上記署名検証鍵情報及び上記
   暗号化情報Ｅ_T の上記少なくとも一方に対応する合計使
   用金額ＹをY+y に更新し、 (7c) その更新された合計使用金額Y+y が上記額面Ｘを
   越えないことを検査し、この検査が正しければ上記小売
   店の銀行口座に金額ｙを振り込むように上記銀行に指示
   し、 (7d) 更に、Y+y=X ならば、上記監視データベースから
   上記署名検証鍵情報及び上記暗号化情報Ｅ_T の上記少な
   くとも一方とそれに対応する合計使用金額Ｙを削除し、 (7e) 上記検査の何れかでも合格でない場合は上記利用
   者による不正支払いが行われたものとして、上記監視デ
   ータベースから上記署名検証鍵情報及び上記暗号化Ｅ_T
   の上記少なくとも一方とそれに対応する合計使用金額Ｙ
   を削除し、上記銀行に上記署名検証鍵情報ｎ及び上記暗
   号化情報Ｅ_T の上記少なくとも一方を送り、上記利用者
   データベースより不正利用者名を特定する。
10. 【請求項１０】 請求項４又は９の方法において、上記
    署名検証鍵情報は上記額面Ｘと上記署名検証鍵Ｎ_U との
    組で構成する。
11. 【請求項１１】 請求項１、２、３、６、７又は８の方
    法において、上記ステップ(1) は上記利用者が上記検証
    鍵Ｎ_U を生成するステップを含む。
12. 【請求項１２】 請求項６、７又は８の方法において、
    上記ステップ(1) は上記利用者が変数値Ｒを生成し、上
    記検証鍵Ｎ_U と上記変数値Ｒを含む情報を上記署名検証
    鍵情報とするステップを含む。
13. 【請求項１３】 請求項１、２、３、６、７又は８の方
    法において、上記監視機関は上記利用者のための上記署
    名検証鍵Ｎ_U を生成し、上記利用者に送るステップを含
    む。
14. 【請求項１４】 請求項１、２、３、６、７又は８の方
    法において、上記署名検証鍵情報は上記額面Ｘと上記署
    名検証鍵Ｎ_U の組を予め決めた一方向ハッシュ関数ｈに
    より処理をして得る。
15. 【請求項１５】 電子現金の発行を監視する監視機関
    と、電子現金を発行する銀行と、電子現金を利用する利
    用者と、電子現金により支払を受ける小売店とより構成
    された電子現金システムを実行する利用者装置であり、 利用者署名用鍵SK_U を生成する鍵生成手段と、 金額Ｘと署名検証鍵Ｎ_U とに対する銀行の署名S_B(N_U)
    と、残額ｘと、額面Ｘと，署名検証鍵Ｎ_U とを含む電子
    現金Ｃと、上記署名用鍵SK_U とを保持するメモリ手段
    と、 支払金額ｙと上記小売店から受信した任意の情報ｅとに
    対する署名を上記署名用鍵SK_U を使って行い、署名S
    _U(e,y) を生成する署名生成手段と、 上記残額ｘから支払金額ｙを減算して残額を更新する残
    額更新手段と、を含む。
16. 【請求項１６】 電子現金の発行を監視する監視機関
    と、電子現金を発行する銀行と、電子現金を利用する利
    用者と、電子現金の支払いを受ける小売店とより構成さ
    れた電子現金システムを実施する監視機関装置であり、 発行された電子現金を所有する利用者に対応する署名検
    証鍵情報を合計使用金額Ｙと対応させて登録する監視デ
    ータベースと、 小売店から受信した残金ｘ、額面Ｘ、署名検証鍵Ｎ_U 、
    銀行の署名S_B(X,N_U)を含む電子現金Ｃと、支払金額ｙと
    を含む履歴データＨを保持する履歴データベースと、 上記履歴データＨ中の金額Ｘと検証鍵Ｎ_U に対応する署
    名検証鍵情報が上記監視データベースに登録されている
    か検索し、登録されていなければ不正使用された電子現
    金であると判定する手段と、 上記署名検証鍵情報が登録されている場合、上記履歴デ
    ータＨ中の支払金額ｙを上記監視データベース中の対応
    する合計使用金額Ｙに加算する加算手段と、 上記加算手段による加算結果Y+y を額面Ｘと比較する比
    較手段と、 上記比較手段による比較結果がY+y<X であれば上記監視
    データベース中の対応する合計使用金額Ｙを上記加算結
    果Y+y で更新し、Y+y=X であれば上記監視データベース
    中の対応する署名検証鍵情報と合計使用金額Ｙを削除
    し、Y+y>X であれば不正使用された電子現金であると判
    定して上記署名検証鍵情報及び上記合計使用金額Ｙを削
    除すると共に、その署名検証鍵情報を上記銀行に通知す
    る制御手段、とを含む。
17. 【請求項１７】 電子現金の発行を監視する監視機関
    と、電子現金を発行する銀行と、電子現金を利用する利
    用者と、電子現金により支払を受ける小売店とより構成
    された電子現金システムを実行する利用者装置であり、 利用者署名用鍵SK_U 及び署名検証鍵Ｎ_U を生成する鍵生
    成手段と、 監視機関の公開暗号鍵PK_T を使って上記金額Ｘと上記署
    名検証鍵Ｎ_U を暗号化して暗号化情報Ｅ_T を生成し、銀
    行に与える暗号化手段と、 上記署名検証鍵Ｎ_U に対しブラインド署名前処理を行っ
    て上記銀行に与えるブラインド署名前処理手段と、 上記銀行から受信した上記署名検証鍵に対するブライン
    ド署名Z(N_U) を処理して上記銀行の署名S_B(N_U)を得るブ
    ラインド署名後処理手段と、 上記残額ｘ、額面Ｘ、署名検証鍵Ｎ_U 及び署名S_B(N_U)を
    含む電子現金Ｃと、上記利用者署名用鍵SK_U と上記監視
    機関の公開暗号鍵PK_T とを保持するメモリ手段と、 支払金額ｙと上記小売店から受信した任意の情報ｅとに
    対する署名を上記署名用鍵SK_U を使って行い、署名S
    _U(e,y) を生成する署名生成手段と、 上記残額ｘから支払金額ｙを減算して残額を更新する残
    額更新手段、とを含む。
18. 【請求項１８】 電子現金の発行を監視する監視機関
    と、電子現金を発行する銀行と、電子現金を利用する利
    用者と、電子現金の支払いを受ける小売店とより構成さ
    れ、上記監視機関は暗号関数Ｅ_T を公開し、上記銀行は
    署名検証関数Ｖ _B を公開した電子現金システムを実施す
    る監視機関装置であり、 公開暗号関数Ｅ_T を複合するための秘密複合鍵SK_T を保
    持するメモリと、 上記利用者が生成した署名検証鍵を含む署名検証鍵情報
    に対する暗号化情報Ｅ _T(n) を、上記秘密複合鍵SK_T を
    使って復号して署名検証鍵情報を得る復号手段と、 復号された上記署名検証鍵情報とそれに対応する合計使
    用金額Ｙとを登録する監視データベースと、 小売店から受信した残金ｘ、額面Ｘ、署名検証鍵Ｎ_U 、
    銀行の署名S_B(N_U)を含む電子現金Ｃと、支払金額ｙとを
    含む履歴データＨを保持する履歴データベースと、 上記履歴データＨ中の金額Ｘと検証鍵Ｎ_U に対応する署
    名検証鍵情報が上記監視データベースに登録されている
    か検索し、登録されていなければ不正使用された電子現
    金であると判定する手段と、 上記署名検証鍵情報が登録されている場合、上記履歴デ
    ータＨ中の支払金額ｙを上記監視データベース中の対応
    する合計使用金額Ｙに加算する加算手段と、 上記加算手段による加算結果Y+y を額面Ｘと比較する比
    較手段と、 上記比較手段による比較結果がY+y<X であれば上記監視
    データベース中の対応する合計使用金額Ｙを上記加算結
    果Y+y で更新し、Y+y=X であれば上記監視データベース
    中の対応する署名検証鍵情報と合計使用金額Ｙを削除
    し、Y+y>X であれば不正使用された電子現金であると判
    定して上記署名検証鍵情報及び合計使用金額Ｙを削除す
    ると共に、その署名検証鍵情報を上記銀行に通知する制
    御手段、とを含む。