【事件の表示】
　特願２０１１−５４６７７１「その暗号変換により特に情報漏洩観測攻撃から保護される暗号回路」拒絶査定不服審判事件〔平成２２年　７月２９日国際公開、ＷＯ２０１０／０８４１０７、平成２４年　７月１２日国内公表，特表２０１２−５１６０９４〕について，次のとおり審決する。
【結　論】
　本件審判の請求は，成り立たない。
【理　由】
第１　手続の経緯
　本願は，平成２２年１月１８日（パリ条約による優先権主張外国庁受理２００９年１月２０日（以下，「優先日」という。），仏国）を国際出願日とする出願であって，その後の手続の経緯の概略は次のとおりである。
　
国内書面（提出日）　　　　　　　　平成２３年７月２０日
出願審査請求（提出日）　　　　　　平成２５年１月１５日
拒絶理由通知（起案日）　　　　　　平成２６年１月１５日
意見，手続補正（提出日）　　　　　平成２６年５月２日
拒絶査定（起案日）　　　　　　　　平成２６年９月４日
拒絶査定謄本送達　　　　　　　　　平成２６年９月９日
審判請求（提出日）　　　　　　　　平成２６年１２月２６日
拒絶理由通知（起案日）　　　　　　平成２７年９月１７日
意見，手続補正（提出日）　　　　　平成２８年３月２５日
　
第２　本願の請求項に係る発明
　本願の特許請求の範囲の請求項に係る発明は，平成２８年３月２５日付の手続補正（以下，「本件補正」という。）により補正された特許請求の範囲の請求項１ないし５に記載された次の事項により特定されるものである。
「【請求項１】
　暗号化アルゴリズムを実行するための関数鍵ｋｃを含む暗号回路（２１）であって，前記回路は，前記回路に専用の第２の鍵ｋｉであって，前記回路のサイドチャネルを利用した攻撃から回路を保護することを可能とする第２の鍵ｋｉを含むことを特徴とする回路であって，
前記関数鍵ｋｃはＸＯＲ演算によって前記２つの鍵を組み合わせることにより前記第２の鍵ｋｉによってマスクされ，入力変数ｘはマスク鍵
　　【数１】
によって暗号化され，
前記暗号回路は，ＦＰＧＡタイプのプログラマブル回路において実現され，
　前記暗号回路は，前記ＦＰＧＡタイプのプログラマブル回路のプログラミングファイル（２５）を暗号化するための第３の鍵ｋｂを含み，
前記第２の鍵ｋｉはＰＵＦ（Ｐｈｙｓｉｃａｌｌｙ　Ｕｎｃｌｏｎａｂｌｅ　Ｆｕｎｃｔｉｏｎ）により生成されることを特徴とする回路。
　　【請求項２】
　前記第２の鍵ｋｉによって導入されるマスキングはＨＯ‐ＤＰＡ攻撃から保護されることを特徴とする，請求項１に記載の回路。
　　【請求項３】
　前記第２の鍵ｋｉの基数は前記関数鍵ｋｃの基数に等しいことを特徴とする，請求項１または２に記載の回路。
　　【請求項４】
　前記第３の鍵ｋｂの基数は前記関数鍵ｋｃの前記基数よりも大きいかまたは等しいことを特徴とする，請求項１に記載の回路。
　　【請求項５】
　前記暗号化アルゴリズムはＤＥＳアルゴリズムであることを特徴とする，請求項１〜４のいずれか１項に記載の回路。」
　
第３　拒絶の理由および意見
１．平成２７年９月１７日付け当審拒絶理由通知の概略は次のとおりである。
『理由１： 
 　この出願は，特許請求の範囲の記載が下記の点で，特許法第３６条第６項第２号に規定する要件を満たしていない。 
　
 　　　　　　　　　　　　　　　　　記 
  
（１）一般に，データの暗号化と復号化とが対となって，データを暗号化する目的が実現されるところ，請求項１−１５に係る発明には，暗号化についての記載がある一方で，復号化については何ら記載されていない。このため，暗号化されたデータをどのように復号化するのかが不明であって，どのように（復号可能に）暗号化するのか明確に記載されたものとは言えない。（復号可能に暗号化しなければ，暗号化することに意味がないことになる。）　
（２）請求項１の「前記回路はｋｃとは別のおよび前記回路のそれぞれの例に専用の，前記回路のサイドチャネルを利用した攻撃から回路を保護することを可能とする第２の鍵ｋｉを含む」との記載は，日本語として不明りょうである。（特に「前記回路のそれぞれの例に専用の」との記載の意味するところが不明である。また，「ｋｃとは別の」，「前記回路のそれぞれの例に専用の」及び「前記回路のサイドチャネルを利用した攻撃から回路を保護することを可能とする」は，それぞれ並列で「第２の鍵ｋｉ」に係っているのか？）
（３）請求項２の「秘密実装によって前記鍵を保護する役割を果たす」との記載において，「秘密実装」の意味するところが不明である。（発明の詳細な説明にも「秘密実装」について具体的な記載がない。）また，「前記鍵」が「関数鍵ｋｃ」を指すのか，「第２の鍵ｋｉ」を指すのか不明りょうである。　
（４）請求項３の「秘密アルゴリズムを保護する役割を果たす」との記載において，「秘密アルゴリズム」の意味するところが不明である。（発明の詳細な説明にも「秘密アルゴリズム」について具体的な記載がない。）　
（５）請求項４には「秘密アルゴリズムは前記鍵ｋｉでのマスキングにより保護される２つの秘密関数（３０，３１）を囲い込みすることによりカスタマイズされる標準暗号アルゴリズムを含む」との記載があるが，（３）と同様に「秘密アルゴリズム」の意味するところが不明であり，「秘密アルゴリズム」が「秘密関数」を「囲い込む」という技術的意味が不明である。（「秘密関数（３０，３１）」とあるが「秘密関数（３１，３２）」の誤記ではないか？また，「秘密関数」は「囲い込みする」対象ではなく，主体ではないのか？）　
（６）請求項６の「第２の鍵ｋｉは前記回路の作成後にセキュアな筐体内の固有の乱数でのカスタム化によってプログラムされる」との記載は，如何なる処理を意味しているのか不明りょうである。（回路の作成後にセキュアな筐体内の固有の乱数でどのようにしてカスタム化するのか？）発明の詳細な説明にも「第２の鍵ｋｉはなお回路の作製後にセキュアな筐体内で単一の乱数を用いてプログラムされうる。」（段落【００４８】）との記載しかなく，どのようなことを意味しているのか不明である。　
（７）請求項７には「ＨＯ−ＤＰＡ高階攻撃」との記載があるが，ここでいう「ＨＯ」は「Ｈｉｇｈ−Ｏｒｄｅｒ」すなわち「高階」であるので，「ＨＯ」と「高階」とで意味が重複した記載となっており不明りょうである。なお，発明の詳細な説明には「ＨＯ−ＤＰＡ攻撃」（段落【００４９】）との記載がある。　
（８）請求項８には「回路に固有の実装鍵としての役割を果たす前記第２の鍵ｋｉの知識は，保護管理プロシージャの，前記管理を担う特権ユーザによる使用を可能にする」との記載において，「知識」は「特権ユーザ」による使用を可能とする，すなわち「知識」は「人」による使用を可能とするとは，如何なることを意味するのか不明りょうである。（発明の詳細な説明にも「回路に固有の実装鍵としての役割を果たす第２の鍵ｋｉの知識により，例えば保護管理プロシージャを，前記管理を担う特権ユーザが使用することが可能となる。」（段落【００１５】）と，同様の記載しかない。）また，「前記管理」が何を指すものか不明である。　
（９）請求項１２の「前記ＦＰＧＡ回路」が何を指すものか不明である。（請求項１２が請求項９を引用する場合には，請求項９の「ＦＰＧＡタイプのプログラマブル回路」を指すとも考えられるが，明確にされたい。また，請求項１０を引用し，請求項９を引用しない場合に何を指すものか不明である。　
（１０）請求項１２の「前記プログラミングファイル（２５）」が，請求項１２が請求項１０を引用しない場合に何を指すものか不明である。（請求項１−９には「プログラミングファイル（２５）」との記載がない。）　
（１１）請求項１２には「これが外部記憶の機密性および前記ＦＰＧＡへの前記鍵ｋｉの移転の機密性を付与する」との記載があるが，「外部記憶」とはどのようなものか，また鍵の移転とは何か，不明りょうである。さらに「前記ＦＰＧＡ」が「前記ＦＰＧＡ回路」と同一のものを指すのか否か不明である。　
（１２）請求項１４には「第３の鍵ｋｂの基数は前記関数鍵ｋｃの前記基数よりも大きいかまたは等しい」との記載があるが，請求項１４が請求項１２を引用しない場合に，請求項１４の「第３の鍵ｋｂ」がどのようなものか不明りょうとなる。　
（１３）請求項１５の「前記暗号化アルゴリズム」が何を指すものか不明である。（請求項１には「暗号アルゴリズム」との記載がある。」　
　
　よって，請求項１−１５に係る発明は明確でない。　
　
理由２：
　この出願は，特許請求の範囲の記載が下記の点で，特許法第３６条第６項第１号に規定する要件を満たしていない。　
　
　　　　　　　　　　　　　　　　　　記
　
（１）請求項１の「前記回路のそれぞれの例に専用の・・・第２の鍵ｋｉ」との記載に対応する記載が，発明の詳細な説明のどこにされているか不明である。（請求項の記載を単に写したにすぎない，【課題を解決するための手段】の段落【０００７】の記載を除く。）　
（２）請求項２の「前記第２の鍵ｋｉは秘密実装によって前記鍵を保護する役割を果たす」との記載に対応する記載が，発明の詳細な説明のどこにされているか不明である。（請求項の記載を単に写したにすぎない，【課題を解決するための手段】の段落【００１０】の記載を除く。）
（３）請求項３の「前記第２の鍵ｋｉは秘密アルゴリズムを保護する役割を果たす」との記載に対応する記載が，発明の詳細な説明のどこにされているか不明である。　
（４）請求項４の「前記秘密アルゴリズムは前記鍵ｋｉでのマスキングにより保護される２つの秘密関数（３０，３１）を囲い込みすることによりカスタマイズされる標準暗号アルゴリズムを含む」との記載に対応する記載が，発明の詳細な説明のどこにされているか不明である。請求項の記載を単に写したにすぎない，【課題を解決するための手段】の段落【００１１】の記載を除く。）　
（５）請求項８の「回路に固有の実装鍵としての役割を果たす前記第２の鍵ｋｉの知識は，保護管理プロシージャの，前記管理を担う特権ユーザによる使用を可能にする」との記載に対応する記載が，発明の詳細な説明のどこにされているか不明である。請求項の記載を単に写したにすぎない，【課題を解決するための手段】の段落【００１５】の記載を除く。）
（６）請求項１１の「ソフトウェアの実装によって実現される・・・回路」との記載に対応する記載が，発明の詳細な説明のどこにされているか不明である。請求項の記載を単に写したにすぎない，【課題を解決するための手段】の段落【００１８】の記載を除く。）
（７）請求項１２の「前記ＦＰＧＡ回路の前記プログラミングファイル（２５）を暗号化するための第３の鍵ｋｂを含み，これが外部記憶の機密性および前記ＦＰＧＡへの前記鍵ｋｉの移転の機密性を付与する」との記載に対応する記載が，発明の詳細な説明のどこにされているか不明である。請求項の記載を単に写したにすぎない，【課題を解決するための手段】の段落【００１９】の記載を除く。）　
　
　よって，請求項１−１５に係る発明は，発明の詳細な説明に記載されたものではない。
　
理由３：
　この出願は，発明の詳細な説明の記載が下記の点で，特許法第３６条第４項第１号に規定する要件を満たしていない。　
　
　　　　　　　　　　　　　　　　　　記　
　
（１）一般に，データの暗号化と復号化とが対となって，データを暗号化する目的が実現されるところ，本願の発明の詳細な説明には，暗号化についての記載がある一方で，復号化については何ら記載されていない。このため，暗号化されたデータをどのように復号化するのかが不明であって，どのように（復号可能に）暗号化するのか，発明の詳細な説明に明確に記載されたものとは言えない。（復号可能に暗号化しなければ，暗号化することに意味がないことになる。）　
（２）発明の詳細な説明の段落【００２７】には，「左のデータレジスタ３」，「右のデータレジスタ４」との記載があるが，図１または第２には対応する項番がなく，それぞれ何を指しているものか不明である。　
（３）発明の詳細な説明の段落【００２７】には，「左のマスクレジスタ５」との記載がある一方で「左のマスクレジスタ１」との記載もあり，整合性が取れていない。（なお，図１，図２によると「左のマスクレジスタ」の項番は「１」であると思われる。）　
（４）発明の詳細な説明の段落【００２７】には，「右のマスクレジスタ６」との記載があるが，これは「右のマスクレジスタ２」の誤記ではないか？　
（５）発明の詳細な説明の段落【００３７】〜【００３９】及び図３には，請求項４に対応する実施例が記載され，これは「別の進行方式を示す」（段落【００３７】）ものであると記載されている。つまり請求項４が引用する請求項１に対応する実施例（段落【００２５】〜【００３６】，【００４０】〜【００５２】図１，図２，図４）とは「別の進行方式」であるものと認められ，また両実施例を組み合わせた実施例については記載されていない。よって発明の詳細な説明は，請求項４に係る発明を実施できる程度に記載されていない。
　
　よって，この出願の発明の詳細な説明は，当業者が請求項１−１５に係る発明を実施することができる程度に明確かつ十分に記載されたものでない。　
　
理由４：　
　この出願の下記の請求項に係る発明は，その出願前に日本国内又は外国において，頒布された下記の刊行物に記載された発明又は電気通信回線を通じて公衆に利用可能となった発明に基いて，その出願前にその発明の属する技術の分野における通常の知識を有する者が容易に発明をすることができたものであるから，特許法第２９条第２項の規定により特許を受けることができない。
　
　　　　　　記　　　（引用文献等については引用文献等一覧参照）　
　
　請求項１−１５には，上記理由１，理由２で指摘したとおり多くの記載不備があるが，不明な点を除き進歩性について判断することとする。　
　　
請求項１，２
　引用文献１，２
　引用文献１には，サブキー（本願発明のｋｃに対応）とマスク（ｋｉに対応）とをＸＯＲ演算し，結果としてマスクされたキーをデータに適用することにより，暗号化アルゴリズムのキー側の入力値をサイドチャネル攻撃から保護することが記載されている。（特に第１頁第５−１３行，第１２頁第２９−３３行を参照）
　引用文献１に記載の発明では，マスクはマスキング表（第１０頁の表）から得られるが，回路固有の値を用いて符号化（マスク）することは，例えば引用文献２（特に段落【００４０】，【００５１】）に記載されているように周知のものであり，これを引用文献１に記載の発明に適用することは，当業者ならば容易に想到し得たものである。
　
請求項３−８　
　引用文献１−３　
　引用文献３（本願明細書の段落【００３７】で開示されている論文）には，ＤＥＳ等の広く用いられるブロック暗号を２つの秘密の外部符号Ｐ１，Ｐ２で囲むことにより，物理アタックから保護することが記載されている。（第１８２頁のＦｉｇ．１と対応する記載を参照のこと）
　
請求項９−１２　
引用文献１−３　
　引用文献１に記載の暗号処理を，周知のＦＰＧＡにより実現すること，またはソフトウェアの実装によって実現することは，当業者が必要に応じて適宜なし得たものである。
　また，ＦＰＧＡを構成するためのプログラミングファイルを暗号化することも，周知技術にすぎない。　
　
請求項１３−１５　
引用文献１−３　
　鍵の基数をどのように設定するかは，当業者が必要に応じて適宜設定し得たものに過ぎない。　
　また，引用文献１に記載の暗号化はＤＥＳを含むものである。（第７頁第６行目−第１０頁第１４行目を参照のこと）　
　　
　拒絶の理由が新たに発見された場合には拒絶の理由が通知される。
　　
　　　　　　　　　　　　引　用　文　献　等　一　覧　
１．国際公開第２００７／１０２８９８号（２００７年９月１３日公開）
　　（対応国内公表：特表２００９−５１６９６４号公報）
２．特開２００３−０５１８２０号公報（２００３年２月２１日公開）
３．Ｃ．Ｃｌａｖｉｅｒ，Ｓｅｃｒｅｔ　Ｅｘｔｅｒｎａｌ　Ｅｎｃｏｄｉｎｇｓ　Ｄｏ　Ｎｏｔ　Ｐｒｅｖｅｎｔ　Ｔｒａｎｓｉｅｎｔ　Ｆａｕｌｔ　Ａｎａｌｙｓｉｓ，ＣＨＥＳ２００７，２００７年，ＬＮＣＳ４７２７，ｐｐ．１８１−１９４』
　
２．平成２７年９月１７日付の当審拒絶理由通知に対する，平成２８年３月２５日付の意見書の内容の概略は次のとおりである。
『【意見の内容】
　審判官殿の御指摘に鑑み，本意見書と同時に提出する手続補正書により，本願特許請求の範囲を下記のとおりに補正した。
「…（中略）…」
　すなわち，補正前の請求項５および請求項９および請求項１２の一部の記載を，請求項１に取り入れるように請求項１を補正した。この補正に際して，請求項１２に関して指摘された記載不備を解消する訂正を行った。
　補正前の請求項７を請求項２とした。この補正に際して，請求項７に関して指摘された記載不備を解消する訂正を行った。
　補正前の請求項１３を請求項３とした。
補正前の請求項１４を請求項４とした。この補正に際して，請求項１４に関して指摘された記載不備を解消する訂正を行った。
補正前の請求項１５を請求項５とした。この補正に際して，請求項１５に関して指摘された記載不備を解消する訂正を行った。
補正前の請求項２乃至請求項６及び請求項８乃至請求項１２については，これらを削除した。
また，補正後の請求項１に記載の「
前記
に
第２の鍵ｋ
ｉ
であって，
また，補正後の請求項１に記載の「
前記暗号回路は，前記ＦＰＧＡタイプのプログラマブル回路のプログラミングファイル（２５）を暗号化するための第３の鍵ｋ
ｂ
を含む
という記載は，明細書の段落００３８，００３９，００４２を根拠とする。特に，明細書の段落００３９の「「ビットストリーム」と呼ばれる，このファイルの暗号化を可能にするＦＰＧＡタイプを使用することが可能である」と，明細書の段落００４２の「別の非機能の鍵ｋｂは「ビットストリーム」ファイル２５の秘密要素，つまり少なくともｋｉまたは実際ｋｃを保護する役割を果たす」との記載から明らかである。
　なお，本願発明は，「暗号化アルゴリズムに対する情報漏洩観測攻撃から保護する」ことを解決課題とする発明であって，暗号化アルゴリズムの保護に関する記載，つまり暗号化に関する記載を特許請求の範囲および発明の詳細な説明に開示するものである。「暗号化アルゴリズムに対する情報漏洩観測攻撃から保護する」という解決課題とは関係のない「復号化」に関する記載は不要であるものと思料する。また明細書に「暗号化」の手順に関する記載がなされていれば，当業者であれば，「暗号化」の手順を辿って「復号化」は容易に可能であるものと思料する。
　よって，「復号化については何ら記載されていない」ことをもってして記載不備の拒絶理由があるとするのは失当であると思料する。
　
審判官殿は，引用文献１と引用文献２の組み合わせで本願請求項１は進歩性がないと御指摘されている。
補正された請求項１によれば，第２の鍵ｋｉは，ＰＵＦ，つまり物理的クローン不能関数によって生成される，暗号回路に専用の鍵であって，関数鍵ｋｃはＸＯＲ演算によって第２の鍵ｋｉによってマスクされ，関数鍵ｋｃを情報漏洩から保護する役割を果たす。そしてＦＰＧＡ回路２５のプログラミングファイルを暗号化するための第３の鍵ｋｂが，ＦＰＧＡタイプのプログラマブル回路２５における秘密要素である第２の鍵ｋｉ，に，ひいては第２の鍵ｋｉによってマスキングされる関数鍵ｋｃに，機密性（物理的にクローンできない秘匿性）を付与することができることになる。
これは本願発明特有の効果であって，は明細書の段落００４１，００４２に明確に記載されているところである。
しかしながら，引用文献１，２にはそのような開示はない。
引用文献１に記載されているのは，データｄと物理データｐとを変数とする関数ｆ（ｄ，ｐ）により暗号化するという方法である。ここで，物理データｐを「鍵」とみなしたとしても，引用文献１には，その「鍵」以外の第２の鍵を使用するという発想は記載されていない。まして，引用文献１には，鍵が第２の鍵によってマスクされるという発想は何ら記載されていない。さらに，引用文献１には，第３の鍵が第２の鍵，関数鍵に機密性を付与するという発想は何ら記載されていない。
したがって，引用文献１は，本願発明の進歩性を否定する根拠とはなり得ない。
一方，引用文献２には，マスキングデータＸ0とキーＫ0とをＸＯＲ演算子（記号｜で示す）で，
Ｋ´0＝Ｋ0　｜　Ｘ0
の，マスキングされたキーＫ´0を得るという方法が記載されている（引用文献２の段落００３５，００３６）。
しかしながら，引用文献２には，Ｋ0　，Ｘ0とは別の第３の鍵がＫ0　，Ｘ0に機密性を付与するという発想は何ら記載されていない。
なお，他の引用文献３に，補正された請求項１に係る発明の特徴が示されていないのは明らかである。したがって，各引用文献を組み合わせたとしても「第２の鍵ｋｉは，ＰＵＦ，つまり物理的クローン不能関数によって生成される，暗号回路に専用の鍵であって，関数鍵ｋｃはＸＯＲ演算によって第２の鍵ｋｉによってマスクされ，関数鍵ｋｃを情報漏洩から保護する役割を果たすとともに，ＦＰＧＡ回路２５のプログラミングファイルを暗号化するための第３の鍵ｋｂが，ＦＰＧＡタイプのプログラマブル回路２５における秘密要素である第２の鍵ｋｉ，に，ひいては第２の鍵ｋｉによってマスキングされる関数鍵ｋｃに，機密性（物理的にクローンできない秘匿性）を付与することができる」という本願発明特有の効果は予測されないことから，本願発明は，各引用文献から当業者が容易に想到することができたものではない。
…（後略）…』
　
第４　当審判断
１．補正の内容の検討
　本件補正により，特許請求の範囲は前記「第２　本願の請求項に係る発明」に示されたとおりのものとなった。本件補正により，前記「第３　拒絶の理由および意見」における「理由１〜理由３」に示した理由は，次の「２．特許法第３６条第６項第２号について」「３．特許法第３６条第４項第１号について」の点で解消されていない。また，「理由４」についても，次の「５．特許法第２９条第２項について」の点で解消されていない。以下に詳述する。
　
２．特許法第３６条第６項第２号について
　本件補正により請求項１に係る発明は「暗号
化
，前記
第２の鍵ｋ
ｉ
であって，
前記暗号回路は，ＦＰＧＡタイプのプログラマブル回路において実現され，
　
前記暗号回路は，前記ＦＰＧＡタイプのプログラマブル回路のプログラミングファイル（２５）を暗号化するための第３の鍵ｋ
ｂ
を含み，
前
記第２の鍵ｋ
ｉ
はＰＵＦ（Ｐｈｙｓｉｃａｌｌｙ　Ｕｎｃｌｏｎａｂｌｅ　Ｆｕｎｃｔｉｏｎ）により生成される
　本件補正により請求項１は前記下線が付された事項，特に「前記第２の鍵ｋｉはＰＵＦ（Ｐｈｙｓｉｃａｌｌｙ　Ｕｎｃｌｏｎａｂｌｅ　Ｆｕｎｃｔｉｏｎ）により生成される」事項を有するものとなったものの，「ＰＵＦにより生成される」「第２の鍵ｋｉ」に係る「復号化」の事項は特定されていない。したがって，請求項１に係る発明は，前記暗号化されたデータをどのように復号化するのかが不明であって，どのように（復号可能に）暗号化するのか明確に記載されたものとは言えないので，特許法第３６条第６項第２号に規定する要件を満たしていない。
　即ち，一般に，データの暗号化と復号化とが対となって別々の装置を用い，ある装置（例えば送信側）で暗号化されたデータは別の装置（例えば受信側）で復号化されることによりデータを暗号化する目的が実現されるところ，請求項１に係る発明は「暗号化アルゴリズムを実行するための関数鍵ｋｃを含む暗号回路（２１）であって，・・・第２の鍵ｋｉはＰＵＦ（Ｐｈｙｓｉｃａｌｌｙ　Ｕｎｃｌｏｎａｂｌｅ　Ｆｕｎｃｔｉｏｎ）により生成される」事項を有することから，前記「ＰＵＦにより生成される」「第２の鍵ｋｉ」に係る暗号化と復号化が対となると解されるところ，例えば復号化側の別の装置では（ＰＵＦ（物理的クローン不能関数；意見書の内容参照。）はクローン不能であるから，前記別の装置では第２の鍵ｋｉと同じ鍵を持つことはできないので）復号化できないと解される。暗号化と復号化とが前記別々の装置でなされる場合，ＰＵＦにより生成されたｋｉは回路毎に異なるので「【数１】
によって暗号化され」
た入力変数ｘは別の回路ではｋｉを有せず復号できない。（以下，前記【数１】の数式を「ｋｃ○＋ｋｉ」のフォントを用いて表現する。）
　本願明細書の段落【０００２】には「公共の媒体上を伝達させる必要があるデータへのあらゆる悪意ある強要から守るために，ますます多くの通信および情報処理システムに暗号方法が用いられている。特に，暗号化によってデータの機密性が保証され，暗号ダイジェストによってそれらの正真性が保証され，電子署名によってそれらの認証が保証される。これらそれぞれの場合において，データの送信を担う側とこれらのデータの受信を担う側との間に共通の秘密が機能するが，これら２つの側が同一である場合もある。・・・」と記載され，前記２つの側が同一である場合の言及はあるとしても，請求項１は「同一」である限定は有しておらず，「入力変数ｘをｋｃ○＋ｋｉによって暗号化」すること，「第２の鍵ｋｉはＰＵＦにより生成される」ことと関連付ける復号化は不明であり，前記２つの側（送信側と受信側）が同一である場合，別々である場合のいずれの場合も，暗号化されたデータをどのように復号化するのかが不明であって，どのように（復号可能に）暗号化するのか明確に記載されたものとは言えず，しかも，技術的意義も不明である（復号可能に暗号化しなければ，暗号化することに意味がないことになる。）。
　結局，請求項１に係る発明は，暗号回路が「ｋｃ○＋ｋｉによって暗号化され・・・第２の鍵ｋｉはＰＵＦ（Ｐｈｙｓｉｃａｌｌｙ　Ｕｎｃｌｏｎａｂｌｅ　Ｆｕｎｃｔｉｏｎ）により生成される」事項を有する発明であるにも関わらず，暗号化されたデータをどのように復号化するのかが不明であって，どのように（復号可能に）暗号化するのか明確に記載されたものとは言えず，特許を受けようとする発明が明確でない。
　前記「理由１：（１）」で示した「一般に，データの暗号化と復号化とが対となって，データを暗号化する目的が実現されるところ，請求項１〜１５に係る発明には，暗号化についての記載がある一方で，復号化については何ら記載されていない。このため，暗号化されたデータをどのように復号化するのかが不明であって，どのように（復号可能に）暗号化するのか明確に記載されたものとは言えない。（復号可能に暗号化しなければ，暗号化することに意味がないことになる。）」との指摘に対して，請求人は，前記「２．【意見の内容】」の項において「なお，本願発明は，「暗号化アルゴリズムに対する情報漏洩観測攻撃から保護する」ことを解決課題とする発明であって，暗号化アルゴリズムの保護に関する記載，つまり暗号化に関する記載を特許請求の範囲および発明の詳細な説明に開示するものである。「暗号化アルゴリズムに対する情報漏洩観測攻撃から保護する」という解決課題とは関係のない「復号化」に関する記載は不要であるものと思料する。また明細書に「暗号化」の手順に関する記載がなされていれば，当業者であれば，「暗号化」の手順を辿って「復号化」は容易に可能であるものと思料する。」と主張しているが，前述のとおり，ＰＵＦ（物理的クローン不能関数）により生成された「第２の鍵ｋｉ」を含むマスク鍵（ｋｃ○＋ｋｉ）により暗号化された入力変数ｘを何を用いてどのように復号すれよいか明確でなく「復号化」が容易に可能とはいえない。よって，請求人の主張は採用できない。
３．特許法第３６条第４項第１号について
　前記「２．特許法第３６条第６項第２号について」において言及したように，本件補正により，請求項１は，特に「前記第２の鍵ｋｉはＰＵＦ（Ｐｈｙｓｉｃａｌｌｙ　Ｕｎｃｌｏｎａｂｌｅ　Ｆｕｎｃｔｉｏｎ）により生成される」事項を有するものとなった。
　しかしながら，前記補正をふまえても，発明の詳細な説明は，請求項１に係る発明を実施できる程度に記載したものではない。即ち，前記「１．」で言及したように，請求項１は「ｋｃ○＋ｋｉによって暗号化され・・・第２の鍵ｋｉはＰＵＦ（Ｐｈｙｓｉｃａｌｌｙ　Ｕｎｃｌｏｎａｂｌｅ　Ｆｕｎｃｔｉｏｎ）により生成される」事項を有する回路の発明に係るが，当該暗号化に関連する復号化について発明の詳細な説明には説明されておらず，前記第２の鍵ｋｉはＰＵＦ（物理的クローン不能関数）により生成されるものであるから，マスク鍵（ｋｃ○＋ｋｉ）により暗号化された入力変数ｘを何を用いてどのように復号すればよいのか，暗号化／復号化に係る回路は唯一の回路を用いるのか，別の回路を用いるのか，前記唯一の回路を用いて暗号化と復号化をする技術的意義はどのようなものなのか不明であり，また，別の回路を用いるなら如何にして同じＰＵＦにより生成される第２の鍵ｋｉを有する別の回路が得られるのか不明であり，したがって，発明の詳細な説明は，請求項１に係る発明を実施できる程度に記載されていない。
明細書の段落【００４０】〜【００４５】には
「この暗号化は例えばレジスタ２２の内部で入力変数ｘを暗号化された変数ｙ＝ＤＥＳ（ｘ，ｋｃ）に変換するＤＥＳアルゴリズム２３である。
【００４１】
  非機能の鍵ｋｉが関数鍵ｋｃをマスクする役割を果たす。関数鍵のマスクＭを形成するのはこの鍵ｋｉであり，ＸＯＲ演算子がこれら２つの鍵を組み合わせて
【数７】
にする。鍵ｋｉはしたがってＤＥＳ実装の関数鍵ｋｃを磁気放射または特に瞬間消費の観測による情報漏洩２４から保護する役割を果たす。
…（中略）…
【００４４】
  本発明によれば，暗号アルゴリズム２３の実装は暗号化された変数ｙが変数の暗号鍵ｋｃを保護する鍵ｋｉと関数的に独立するようにされ，・・・
【００４５】
  ＤＥＳアルゴリズムの場合，ｙ＝ＤＥＳ（ｘ，ｋｃ，ｋｉ）であり，ｙはｋｉと関数的に独立である。」ことが記載されているが，これらの記載は前記「入力変数ｘを暗号化された変数ｙ＝ＤＥＳ（ｘ，ｋｃ）に変換するＤＥＳアルゴリズム」との記載をふまえれば，「入力変数ｘはマスク鍵ｋｃ○＋ｋｉによって暗号化され」ることを記載するものではない。前記「入力変数ｘはマスク鍵ｋｃ○＋ｋｉによって暗号化され」たものを何を用いて復号すれば前記入力変数ｘが得られるのか，発明の詳細な説明又は図面のどこにも前記「入力変数ｘはマスク鍵ｋｃ○＋ｋｉによって暗号化され」ることやその復号化やその技術上の意義は記載されていない。
　「非機能の鍵ｋｉが関数鍵ｋｃをマスクする役割を果たす」と記載されているものの，「鍵ｋｉ」が「非機能の鍵ｋｉ」としての役割を如何に実施できるのか発明の詳細な説明には記載されていない。「鍵ｋｉ」を「非機能の鍵ｋｉ」とするためには「マスク鍵ｋｃ○＋ｋｉ」によって暗号化された変数から「マスク鍵ｋｃ○＋ｋｉ」又は「鍵ｋｉ」の関数を無効にする必要があると解せる。しかし，何を用いて如何に関数を無効にし「非機能の鍵ｋｉ」として実施するのか発明の詳細な説明に記載されていない。例えば，「この暗号化は例えばレジスタ２２の内部で入力変数ｘを暗号化された変数ｙ＝ＤＥＳ（ｘ，ｋｃ）に変換するＤＥＳアルゴリズム２３」と記載されているものの，「暗号アルゴリズム２３」により、何を用いて如何に「変数ｙ＝ＤＥＳ（ｘ，ｋｃ）に変換」するのかが記載されておらず，「マスク鍵ｋｃ○＋ｋｉ」によって暗号化された変数から「マスク鍵ｋｃ○＋ｋｉ」又は「鍵ｋｉ」の関数を如何に無効にして「変数ｙ＝ＤＥＳ（ｘ，ｋｃ）」に変換することができるのか、発明の詳細な説明には何ら記載されていない。
　したがって，発明の詳細な説明は，請求項１に係る発明を実施できる程度に記載されていない。
　 前記「理由３：（１）」で示した「一般に，データの暗号化と復号化とが対となって，データを暗号化する目的が実現されるところ，本願の発明の詳細な説明には，暗号化についての記載がある一方で，復号化については何ら記載されていない。このため，暗号化されたデータをどのように復号化するのかが不明であって，どのように（復号可能に）暗号化するのか，発明の詳細な説明に明確に記載されたものとは言えない。（復号可能に暗号化しなければ，暗号化することに意味がないことになる。）」との指摘に対して，請求人は，前記【意見の内容】において，「・・・解決課題とは関係のない「復号化」に関する記載は不要である・・・明細書に「暗号化」の手順に関する記載がなされていれば，当業者であれば，「暗号化」の手順を辿って「復号化」は容易にに可能である」旨主張しているが，前述のとおり，ＰＵＦ（物理的クローン不能関数）により生成された「第２の鍵ｋｉ」を含むマスク鍵（ｋｃ○＋ｋｉ）により暗号化された入力変数ｘを何を用いてどのように復号すればよいのか発明の詳細な説明に記載されておらず，「第２の鍵ｋｉ」を「非機能の鍵ｋｉ」として実施出来るように記載されていない。よって，請求人の主張は採用できない。
　請求項２乃至５に係る発明についても，請求項１を引用するものであり，請求項１に係る発明と同様のことがいえる。
　よって，この出願の発明の詳細な説明は，当業者が請求項１〜５に係る発明を実施することができる程度に明確かつ十分に記載されたものでない。
４．小括
　したがって，発明の詳細な説明の記載は，発明が解決しようとする課題及びその解決手段その他のその発明の属する技術の分野における通常の知識を有する者が発明の技術上の意義を理解するために必要な事項を記載することによりしたものではないので特許法第３６条第４項第１号の規定に違反し，特許請求の範囲の請求項１に記載された発明及びこれを引用する請求項２〜５に係る発明は，特許を受けようとする発明が明確であるとはいえないので特許法第３６条第６項第２号の規定に違反する。
　
５．特許法第２９条第２項について
５．１　引用文献１
（１）本願優先権主張日前に頒布され，当審で引用された刊行物である国際公開第２００７／１０２８９８号公報（以下，「引用文献１」という。）には，図面とともに次の事項が記載されている。（訳はパテントファミリである特表２００９−５１６９６４号公報を参酌した。下線は参考のため当審で付与した。）
ア．「
The present invention relates to methods of protecting a cryptographic hardware engine from targeted cryptoanalysis attacks during operation, and in particular relates to protecting an input value (on the key side) of encryption algorithm substitution (S-box) operations in any given round from side channel attacks through the use of masking methods (false or dummy operations)
…（中略）…
In general, 
side-channel attacks involve externally monitoring power consumption or electromagnetic emissions of the cryptographic hardware during execution of a targeted cipher algorithm
to protect an encryption algorithm against side-channel attacks 
 
SUMMARY OF THE INVENTION
 
The present invention is a deterministic blinding method for encryption algorithms that are susceptible to targeted attacks, especially but not exclusively for those cipher- algorithms employing substitution (S-box) operations or logically combining data with round subkeys, such as by bitwise XOR operations on the input side of cipher S-boxes. The deterministic blinding method of the present, invention controls injected entropy when running a set of false or dummy operations in order to achieve much greater protection of the true operation than purely random blinding or masking techniques.
 
The method generally begins with building a masking table in advance, which contains one line corresponding to the true key and miraerous protection lines that have been built to blind at least some bits of the key in various combinations. When lines from the table are logically combined with a given key y  the method obtains a set of keys, only one of which is true, while all of the others are dummy keys. (For example, in the case of a bitwise XOR combining operation, the line in the table corresponding to a true key would be a mask containing all zero bits, while the protection lines would be masks where at least some bits are ones.)
 
…（中略）…
Deterministic blinding may be applied in accord with the present invention as either a global masking method or an inside masking method. The basic idea is to apply each of the lines of a masking table to a key or round subkeys to obtain true and dummy keys or subkeys 
Global masking generates a true cipher key and a set of dummy cipher keys
A bitwise- XOR operation upon the cipher key with the first-order Maskfi] produces a masked key
訳；「【０００１】
  
本発明は，演算中に暗号ハードウェアエンジンを標的暗号解読攻撃から保護する方法に関し，具体的には，マスキング方法（偽またはダミー演算）の使用により，あるラウンドにおける暗号化アルゴリズム置換（Ｓボックス）演算の（キー側の）入力値のサイドチャネル攻撃からの保護に関する
…（中略）…
【０００６】
　一般に，
サイドチャネル攻撃は，標的暗号アルゴリズムの実行中に，暗号ハードウェアの電力消費または電磁放射線を外部から監視する
暗号化アルゴリズムをサイドチャネル攻撃に対して保護する
【課題を解決するための手段】
【０００７】
　本発明は，独占的ではないが特に，置換（Ｓボックス）演算を採用する，または暗号Ｓボックスの入力側でのビット単位のＸＯＲ演算によってなど，データをラウンドサブキーに論理的に組み合わせる暗号アルゴリズムのための，標的攻撃の影響を受けやすい暗号化アルゴリズムのための決定論的結合方法である。本発明の決定論的結合方法は，純粋にランダムなブラインドまたはマスキング手法よりも真の演算のさらなる保護を達成するために，１組の偽またはダミー演算を実行する時に，注入されたエントロピーを制御する。
【０００８】
　
該方法は概して，真のキーおよび様々な組み合わせにおけるキーの少なくともいくつかのビットをブランドするように構築されている幾多の保護列に対応する１列を含む，マスキング表を事前に構築するステップより始まる。該表からの列が論理的に所与のキーと組み合わせられると，該方法は１組のキーを得て，そのうちの１つだけが真である一方で，その他の全てはダミーキーである。（例えば，ビット単位のＸＯＲ連結演算の場合，真のキーに対応する該表中の列は，全０ビットを含むマスクとなる一方で，保護列は少なくともいくつかのビットが１であるマスクとなる。）
…（中略）…
【００１１】
  
決定論的結合は，「大域」マスキング方法または「内部」マスキング方法のいずれかとして，本発明に従って適用することができる。基本概念は，マスキング表の列のそれぞれをキーまたはラウンドサブキーに適用し，真およびダミーキーまたはサブキーを得ることである
大域マスキングは，真の暗号キーおよび１組のダミー暗号キーを生成する
一次マスク［ｉ］による暗号キーがある場合のビット単位ＸＯＲ演算は，マスキングをかけたキーを生じる
イ．「During operation of the cipher using the inside masking method, all of the masks from the pre-constructed mask table are applied in every round to the inputs of all S-boxes. 
Fig. 2 shows a illustrative example of applying a representative one of the 64 masks, such as Mask [15] , to the first S-box Si during the first cipher round. This illustrates the modifications made to the inside of the cipher algorithm when implementing inside masking
…（中略）… 
Each of these groups of bits (mask, subkey, data) is combined with the others using a bitwise XOR operation
in Fig. 2
The mask is here shown as being applied first to the subkey, and then the resulting masked key is applied to the data. However, since the bitwise XOR operation is commutative and associative, it may actually be applied to these three groups (mask, subkey, and data) in any order and still obtain the same S-box input
訳；「【００２８】
　内部マスク方法を使用する暗号の演算中に，事前に構成されたマスク表からのマスクの全ては，ラウンドごとに全Ｓボックスの入力に適用される。
図２は，第１の暗号ラウンド中に，マスク［１５］など，６４マスクのうちの代表的な１つを第１のＳボックスＳ１に適用するステップの説明に有用な例である。これは，内部マスキングを実施する時に，暗号アルゴリズムの内部に行われる変更を図示する
…（中略）…
【００３０】
　
これらのビットの集合のそれぞれ（マスク，サブキー，データ）は，図２の
【００３１】
【数５】
【００３２】
によって記号で表される
ビット単位のＸＯＲ演算を使用して，他のものと組み合わせられる。ここではマスクはまずサブキーに適用されるとして示され，そして結果として生じるマスキングをかけたキーはデータに適用される。しかし，ビット単位のＸＯＲ演算は可換および連合であるため，実際は任意の順番でこれら３つの集団（マスク，サブキー，およびデータ）に適用され，なおも同じＳボックス入力を得ることができる
　
ウ．「
With reference to Fig. 3, exemplary hardware for executing the global masking implementation of the present invention is seen. The memory 31 is a read/write store for data, including masked keys
During each loop of the DES algorithm, a key masking unit 36 reads the (true) cipher key from the memory 31, masks it with one entry from the mask table stored in memory 31, and write the masked key into the memory 31. The DES computation unit 37 reads the masked key and input data (the plaintext or ciphertext message block) from the memory 31, executes the DES cipher algorithm using the masked key, including generating any subkeys from the masked key, and writes the result as output data back into memory 31, 
訳；「【００３４】
　
図３を参照して，本発明の大域マスキングの実施を行うための例示的ハードウェアが図示される。メモリ３１は，マスキングをかけたキーを含む，データに対する読み取り／書き込み格納場所である
ＤＥＳアルゴリズムの各ループ中に，キーマスキングユニット３６は，（「真の」）暗号キーをメモリ３１から読み取り，メモリ３１に格納されるマスク表からの１つの入力によりそれをマスキングし，マスキングをかけたキーをメモリ３１に書き込む。ＤＥＳ計算ユニット３７は，メモリ３１からマスキングをかけたキーおよび入力データ（プレーンテキストまたは暗号テキストメッセージブロック）を読み取り，マスキングをかけたキーから任意のサブキーを生成するステップを含む，マスキングをかけたキーを使用してＤＥＳ暗号アルゴリズムを実行し，結果を出力データとしてメモリ３１に再び書き込む
（２）引用文献１に記載された事項を検討する。
（ア）前記ア．の「本発明は，演算中に暗号ハードウェアエンジンを標的暗号解読攻撃から保護する方法に関し，具体的には，マスキング方法（偽またはダミー演算）の使用により，あるラウンドにおける暗号化アルゴリズム置換（Ｓボックス）演算の（キー側の）入力値のサイドチャネル攻撃からの保護に関する」との記載における「暗号ハードウェアエンジン」に関し，図２と図３の実施態様に関連した前記ア．の「決定論的結合は，「大域」マスキング方法または「内部」マスキング方法のいずれかとして，本発明に従って適用することができる。基本概念は，マスキング表の列のそれぞれをキーまたはラウンドサブキーに適用し，真およびダミーキーまたはサブキーを得ることである」との記載，前記イ．の「図２は，第１の暗号ラウンド中に，マスク［１５］など，６４マスクのうちの代表的な１つを第１のＳボックスＳ１に適用するステップの説明に有用な例である。これは，内部マスキングを実施する時に，暗号アルゴリズムの内部に行われる変更を図示する」との記載，前記ウ．の「図３を参照して，本発明の大域マスキングの実施を行うための例示的ハードウェアが図示される・・・ＤＥＳ暗号アルゴリズムを実行し」との記載から，前記基本概念として，マスクは並列に存在するＳボックス全体（図１参照）に対するキーのビット長や入力データに対応した長さのマスクとして捕らえることができるとともに，図２の内部マスキングは図３のハードウェアにおける内部の実施態様とみることができ，図２，図３に係る記載をあわせて参酌できる。
　前記「暗号ハードウェアエンジン」から「暗号ハードウェア」をよみとることができ，前記ウ．の「図３を参照して，本発明の大域マスキングの実施を行うための例示的ハードウェアが図示される。メモリ３１は，マスキングをかけたキーを含む，データに対する読み取り／書き込み格納場所である・・・ＤＥＳアルゴリズムの各ループ中に，キーマスキングユニット３６は，（「真の」）暗号キーをメモリ３１から読み取り，メモリ３１に格納されるマスク表からの１つの入力によりそれをマスキングし，マスキングをかけたキーをメモリ３１に書き込む。ＤＥＳ計算ユニット３７は，メモリ３１からマスキングをかけたキーおよび入力データ（プレーンテキストまたは暗号テキストメッセージブロック）を読み取り，マスキングをかけたキーから任意のサブキーを生成するステップを含む，マスキングをかけたキーを使用してＤＥＳ暗号アルゴリズムを実行し，結果を出力データとしてメモリ３１に再び書き込む」との記載から，「ＤＥＳ暗号アルゴリズムを実行するための暗号キーを含むＤＥＳ計算ユニット，キーマスキングユニット，メモリを含む暗号ハードウェア」をよみとることができる。
（イ）前記（ア）で言及した「暗号ハードウェア」に関連し，前記ア．の「演算中に暗号ハードウェアエンジンを標的暗号解読攻撃から保護する方法に関し，・・・マスキング方法（偽またはダミー演算）の使用により，あるラウンドにおける暗号化アルゴリズム置換（Ｓボックス）演算の（キー側の）入力値のサイドチャネル攻撃からの保護に関する・・・サイドチャネル攻撃は，標的暗号アルゴリズムの実行中に，暗号ハードウェアの電力消費または電磁放射線を外部から監視する・・・暗号化アルゴリズムをサイドチャネル攻撃に対して保護する」との記載，及び，マスキング方法にマスクを用いることは自明である点とから「マスクを用いるマスキング方法（偽またはダミー演算）の使用により，あるラウンドにおける暗号化アルゴリズム置換（Ｓボックス）演算の（キー側の）入力値のサイドチャネル攻撃からのハードウェアエンジンを保護することを可能とするマスクを含むハードウェア」をよみとることができる。
　
（ウ）前記（ア）（イ）で言及した「キー」，「マスキングをかけたキー」に関し，前記ア．の「大域マスキングは，真の暗号キーおよび１組のダミー暗号キーを生成する・・・一次マスク［ｉ］による暗号キーがある場合のビット単位ＸＯＲ演算は，マスキングをかけたキーを生じる」との記載から，「前記キーはＸＯＲ演算によって前記キーとマスクとを用いてマスキングをかけたキーを生じさせ」ることをよみとることができ，前記イ．の「これらのビットの集合のそれぞれ（マスク，サブキー，データ）は，図２の・・・ビット単位のＸＯＲ演算を使用して，他のものと組み合わせられる。ここではマスクはまずサブキーに適用されるとして示され，そして結果として生じるマスキングをかけたキーはデータに適用される。しかし，ビット単位のＸＯＲ演算は可換および連合であるため，実際は任意の順番でこれら３つの集団（マスク，サブキー，およびデータ）に適用され，なおも同じＳボックス入力を得ることができる」との記載，前記ウ．の「ＤＥＳ計算ユニット３７は，メモリ３１からマスキングをかけたキーおよび入力データ（プレーンテキストまたは暗号テキストメッセージブロック）を読み取り，マスキングをかけたキーから任意のサブキーを生成するステップを含む，マスキングをかけたキーを使用してＤＥＳ暗号アルゴリズムを実行し，結果を出力データとしてメモリ３１に再び書き込む」との記載から「入力データは前記マスキングをかけたキーによってＸＯＲ演算が適用されて暗号化され」ることをよみとることができる。
　これらをあわせて「前記キーはＸＯＲ演算によって前記キーとマスクとを用いてマスキングをかけたキーを生じさせ，入力データは前記マスキングをかけたキーによってＸＯＲ演算が適用されて暗号化され」ることをよみとることができる。
　
（エ）前記ア．の「該方法は概して，真のキーおよび様々な組み合わせにおけるキーの少なくともいくつかのビットをブランドするように構築されている幾多の保護列に対応する１列を含む，マスキング表を事前に構築するステップより始まる。該表からの列が論理的に所与のキーと組み合わせられると，該方法は１組のキーを得て，そのうちの１つだけが真である一方で，その他の全てはダミーキーである。（例えば，ビット単位のＸＯＲ連結演算の場合，真のキーに対応する該表中の列は，全０ビットを含むマスクとなる一方で，保護列は少なくともいくつかのビットが１であるマスクとなる。）」との記載から，「マスクは事前に構築されたマスキング表を用いて生成される」ことをよみとることができる。
　
　前記（ア）〜（エ）によれば，引用文献１には，前記ア．に記載された「演算中に暗号ハードウェアエンジンを標的暗号解読攻撃から保護する」ことを目的とした次の発明（以下，「引用発明」と呼ぶ。）が示されている。
　
「ＤＥＳ暗号アルゴリズムを実行するための暗号キーを含むＤＥＳ計算ユニット，キーマスキングユニット，メモリを含む暗号ハードウェアであって，
　前記ハードウェアは，マスクを用いるマスキング方法（偽またはダミー演算）の使用により，あるラウンドにおける暗号化アルゴリズム置換（Ｓボックス）演算の（キー側の）入力値のサイドチャネル攻撃からのハードウェアエンジンを保護することを可能とするマスクを含むハードウェアであって，
　前記キーはＸＯＲ演算によって前記キーとマスクとを用いてマスキングをかけたキーを生じさせ，入力データは前記マスキングをかけたキーによってＸＯＲ演算が適用されて暗号化され
　前記マスクは事前に構築されたマスキング表を用いて生成されることを特徴とする暗号ハードウェア。」
　
５．２　引用文献２
（１）引用文献２の記載
　本願優先権主張日前に頒布され当審で引用された刊行物である特開２００３−５１８２０号公報（以下，「引用文献２」という。）には，図面とともに次の事項が記載されている。
あ．「【０００２】
【従来の技術】ＣＰＵの外部のメモリ，それが揮発性であれ非揮発性であれ，に保存されるデータを暗号化する方法が知られている。その方法によると，データをメモリから使用不可能な物理的手段（データを秘密にするための電気センサ手段でアタックすることにより）によりデータを直接読み出す。この方法の欠点はデータ暗号キーを非揮発メモリ（例えばＥＥＰＲＯＭ又はＯＴＰメモリ）に保存しなければならないことである。キー自身が物理的アタックで得られるので，これはシステムの弱点となる。
【０００３】安全性を高めるために，実際の暗号キーをスクランブルすることが行なわれている。しかし，スクランブル条件は全ての集積回路チップに対して同じである。従って，侵害者にとっては，認証されたチップの非揮発メモリからキーを取得して，そのキーを認証されない方法で工業的に再生されたチップにコピーしてクローン又は模倣すること，又は暗号エレメントを推測することができる。
【０００４】
【発明が解決しようとする課題】本発明の目的は
集積回路内のデータを保護してデータに対する侵害を避ける方法を提供すること
【０００５】特に，本発明は集積回路チップの内部又は外部のメモリに保存されるデータのマスク，符号化，スクランブル，暗号化等をする方法を提供することを目的とする。
【０００６】
【課題を解決するための手段】上記目的を達成するために，本発明は，メモリに少なくともひとつの第１データを蓄積する方法において，
集積回路の少なくともひとつの物理的パラメータネットワークから得られる少なくともひとつの第２物理データを前記第１データと組合せ，この組合せの結果のみを蓄積する
【０００７】本発明の実施例によると，
前記第２物理データは，前記物理的パラメータネットワークを集積化する前記集積回路の物理的及び製造上のばらつきに敏感である
　
い．「【００２８】物理的パラメータネットワークは，データが正当な集積回路チップから来たものであることを保証する認証方法として公知である。特に，
物理的パラメータネットワークは認証された製造に特有の技術パラメータを再生することができない集積回路のクローンの大規模な侵害製造を検出するために用いられる
【００２９】本発明によると，物理的パラメータネットワークは，集積回路の製造に関連する値（デジタルワードで変換可能）を少なくとも提供する。この値は可溶性ネットワーク又はアナログと異なって，デジタルワードはチップを目視することによっては検出できないという意味で観察することはできない。
【００３０】本発明によると，蓄積されるデータは，従来の方法によるクリアな及び単なる暗号化で蓄積されるのではない。侵害者にとって完全に理解不能で利用不能な形で蓄積される。それは，組合されるデジタルワードが集積回路チップに特有だからである。さらに，物理的パラメータネットワークは好ましくは技術的及び製造プロセスのばらつきに敏感である。符号化に使われるワードは集積回路の製造に関連している。
【００３１】本発明によると，「符号化」は，保護されるデータ及び物理的パラメータネットワーク（必要ならば他のデータを使って）から来るデータに適用される任意のデジタル処理をいう。簡単のために，「符号化」は，
本発明では，組合せ，暗号化等，
マスク，及びより一般にデータの保護を含む
【００３２】本発明によると，組合せを構成した集積回路の内部又は外部のメモリに保存されたデータを読み出すには，物理的パラメータネットワークにより提供されるデジタルワードを再度使用して保護されたデータを復号し，通常用いられる回路に平文のクリアな形態に提供することが必要である。
」
　
う．「【００４４】図３は本発明の第１実施例における集積回路チップ１０を示す。この例は，蓄積及び読取り方法のＥＥＰＲＯＭ１１に蓄積されるキー（例えば非対称暗号化プロトコル，ＲＳＡ）のスクランブルへの応用に関する。
【００４５】集積回路チップをプライベートキーの導入により個別化すると，
キーが安全装置（図示なし）により回路１３に提供され，本発明により，
マスク，符号化，暗号化又は組合せ（ＣＯＭＢ）が行なわれる。回路１３は更に，チップと一体の物理的パラメータネットワーク１７に結合してデジタルデータを蓄積するレジスタ１４（ＲＥＧ）から来る２進ワードｐを受けとる。回路１３で実行される組合せの結果ｆ（ｄ，ｐ）はＥＥＰＲＯＭ１１に提供される
【００４６】本発明の好ましい実施例によると，ひとたびプライベートキーがスクランブル形態でＥＥＰＲＯＭに蓄積されると，組合せ回路１３は非有効化される。これが，図３で，回路１３とキーの保存に必要な他の接続とが点線で示される理由である。これらの素子はチップの個別化のみのために使用される。
【００４７】別の実施例によると，いわゆる個別化素子は活性を維持し，保護データを製品の寿命の間登録することを可能とする。
【００４８】この蓄積されたキーを通常の認証方法で読出し利用可能とするために，
集積回路チップ１０は復号回路１５を含み，キーを通常の暗号ユニット（ＣＲＹＰＴＯ）１６に送り返す
回路１５は，回路１３と同様に，レジスタ１４からの物理データｐを読取り要求毎に受けとる。それは，ＥＥＰＲＯＭからの蓄積データｆ（ｄ，ｐ）を復号してキーを復元する
　
（２）引用文献２に記載された技術
　前記あ．には「集積回路内のデータを保護してデータに対する侵害を避ける方法を提供すること」を目的とすることが記載され，前記あ．の「集積回路の少なくともひとつの物理的パラメータネットワークから得られる少なくともひとつの第２物理データを前記第１データと組合せ，この組合せの結果のみを蓄積する・・・前記第２物理データは，前記物理的パラメータネットワークを集積化する前記集積回路の物理的及び製造上のばらつきに敏感である」との記載，前記い．の「物理的パラメータネットワークは認証された製造に特有の技術パラメータを再生することができない集積回路のクローンの大規模な侵害製造を検出するために用いられる」との記載から，「集積回路の物理的及び製造上のばらつきに敏感であり再生することができない技術パラメータであり，集積回路の少なくともひとつの物理的パラメータネットワークから得られる物理データ」をよみとることができ，前記「集積回路の物理的及び製造上のばらつきに敏感であり再生することができない」ことは前記「クローン・・・検出するため」の点をふまえると「物理的アンクローンナブル」であると換言できるものである。前記い．の「本発明では，組合せ，暗号化等，・・・マスク，及びより一般にデータの保護を含む」との記載，前記う．の「キーが安全装置（図示なし）により回路１３に提供され，本発明により，・・・マスク，符号化，暗号化又は組合せ（ＣＯＭＢ）が行なわれる。回路１３は更に，チップと一体の物理的パラメータネットワーク１７に結合してデジタルデータを蓄積するレジスタ１４（ＲＥＧ）から来る２進ワードｐを受けとる。回路１３で実行される組合せの結果ｆ（ｄ，ｐ）はＥＥＰＲＯＭ１１に提供される・・・集積回路チップ１０は復号回路１５を含み，キーを通常の暗号ユニット（ＣＲＹＰＴＯ）１６に送り返す・・・回路１５は，回路１３と同様に，レジスタ１４からの物理データｐを読取り要求毎に受けとる。それは，ＥＥＰＲＯＭからの蓄積データｆ（ｄ，ｐ）を復号してキーを復元する」との記載から，チップと一体の物理的パラメータネットワーク１７から得られる２進ワードｐが「マスク」であり，組合わせの結果ｆ（ｄ，ｐ）におけるｄがキーであるものをよみとることができる。
　これらをあわせると，「集積回路内のデータを保護してデータ（キー）に対する侵害を避ける方法を提供するために，マスクは，集積回路の物理的及び製造上のばらつきに敏感であり再生することができない技術パラメータであり集積回路の少なくともひとつの物理的パラメータネットワークから得られる（生成される）物理データ（マスク）である技術」をよみとることができる。
　
５．３　参考文献
（１）参考文献１
　本願優先権主張日前に頒布された刊行物である特表２００４−５１９１１１号公報（以下，「参考文献１」という。）には，図面とともに次の事項が記載されている。
え．「【０００７】
発明の要約
フィールドプログラマブルゲートアレイ（ＦＰＧＡ）は，ＦＰＧＡに書き込まれたＦＰＧＡプログラム（データシーケンス）によって制御される論理を実現する。本発明のひとつの局面に関連して，その
メモリアレイに書き込まれるべきＦＰＧＡプログラムはまず暗号化されて，ＦＰＧＡに書き込まれる前に所定の暗号キーに関連して解読されねばならない
【０００８】
本発明の他の局面に関連して，
暗号化されたＦＰＧＡプログラムによってプログラムされるべきＦＰＧＡを実装する集積回路（ＩＣ）は，暗号化されたＦＰＧＡプログラムを受け取ってそれを適切な暗号キーに関連して解読して解読されたＦＰＧＡプログラムを生成する内部解読回路を有する
暗号化されたＦＰＧＡプログラムは，適正な暗号キーに関連してＦＰＧＡプログラムを解読することのできる解読回路を装備していないＦＰＧＡをプログラムするためには使用され得ない
解読回路とＦＰＧＡが同じＩＣ内に実装されている
【０００９】
本発明の他の実施の形態においては，
解読回路とＦＰＧＡは個別のＩＣチップに実装されているが，しかし，それらのチップは相互接続されて同じＩＣパッケージ内に収容されており
【００１０】
したがって，
ＦＰＧＡプログラムが意図する特定の組のＦＰＧＡ以外のＦＰＧＡをプログラムするためのＦＰＧＡプログラムの使用を阻止するため
　
（２）参考文献１に記載された技術
　前記え．の「メモリアレイに書き込まれるべきＦＰＧＡプログラムはまず暗号化されて，ＦＰＧＡに書き込まれる前に所定の暗号キーに関連して解読されねばならない・・・暗号化されたＦＰＧＡプログラムによってプログラムされるべきＦＰＧＡを実装する集積回路（ＩＣ）は，暗号化されたＦＰＧＡプログラムを受け取ってそれを適切な暗号キーに関連して解読して解読されたＦＰＧＡプログラムを生成する内部解読回路を有する・・・暗号化されたＦＰＧＡプログラムは，適正な暗号キーに関連してＦＰＧＡプログラムを解読することのできる解読回路を装備していないＦＰＧＡをプログラムするためには使用され得ない・・・解読回路とＦＰＧＡが同じＩＣ内に実装されている・・・解読回路とＦＰＧＡは個別のＩＣチップに実装されているが，しかし，それらのチップは相互接続されて同じＩＣパッケージ内に収容されており・・・ＦＰＧＡプログラムが意図する特定の組のＦＰＧＡ以外のＦＰＧＡをプログラムするためのＦＰＧＡプログラムの使用を阻止するため」との記載から，参考文献１には，ＦＰＧＡプログラムが意図する特定の組のＦＰＧＡ以外のＦＰＧＡをプログラムするためのＦＰＧＡプログラムの使用を阻止するために，回路（集積回路（ＩＣ））は，ＦＰＧＡタイプのプログラマブル回路（ＦＰＧＡ）において実現され，
　前記回路は，前記ＦＰＧＡタイプのプログラマブル回路のプログラミングファイル（ＦＰＧＡプログラム）を暗号化する（暗号化されたＦＰＧＡプログラム）ための暗号キー（第３の鍵ｋｂに相当）を含むことに相当する技術が示されている。
　
（３）参考文献２
　本願優先権主張日前に頒布された刊行物である特表２００８−５１２９０９号公報（以下，「参考文献２」という。）には，図面とともに次の事項が記載されている。
お．「【請求項１】
暗号機能性を提供するための集積回路チップ
  第１の揮発性ランダム・アクセス・メモリと，
  少なくとも１つのプロセッサと，
  
暗号化および復号化を実行するための少なくとも１つの暗号エンジン
  外部から供給された要求およびデータを受信し，結果を戻すためのインタフェースと，
  前記
チップ上に存在する少なくとも１つの固定暗号鍵
  少なくとも一部が
プログラマブル・ハードウェアを有する
暗号化命令が，前記インタフェースを介して暗号化形態で供給され，前記固定暗号鍵を用いて前記少なくとも１つの暗号エンジンによって復号化され，プログラマブル・ハードウェアを有する前記フロー制御回路の前記一部をプログラミングするために用いられる
を含む，集積回路チップ。」
　
か．「【０００６】
  本発明は，いずれかの特定の暗号エンジンの使用には限定されない。実際，本発明は，複数の別個の暗号エンジンを用いることができる。この点で，本明細書中で用いる場合，
「暗号エンジン」という言葉は，
暗号アルゴリズムを実行するように設計された
回路を指す
…（中略）…
【００１３】
  従って，本発明の目的は，
単一のセキュアな集積回路チップ上に暗号処理要素を設けること
…（中略）…
【００２４】
　本発明は，一般的に，単一チップ上にセキュアな暗号機能を提供するためのシステムおよび方法を対象とする。また，本発明は，本明細書において，セキュアなチップ上の暗号化技術（ＣＯＡＣＨ）を提供するものとして記載する。一般的な観点からは，本発明は，複数の暗号エンジンにアクセスして利用すると共にこれらのエンジンを制御し利用するための適用可能アルゴリズムにアクセスし利用することができる暗号システムの外側の世界と内部との間でセキュアな通信を確立するためのセキュアな方法を提供する。更に具体的には，本発明は，この高度化した柔軟な暗号機能性をセキュアな方法および環境において与えるための
フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）を含む単一チップを用いる
ＦＰＧＡをプログラミングするためのセキュアな機構を提供する
…（中略）…
【００２８】
　図１に，本発明のアーキテクチャ全体を示す。本明細書において最も詳細に記載する本発明は，暗号機能を実行するためのセキュアな単一チップを対象とする。しかしながら，前述のように，本明細書中において述べる機構および手順は，
適切な暗号キーを所有する信頼されたエンティティによってセキュアな方法でのみプログラミングすることができるようにＦＰＧＡ回路を用いる
（４）参考文献２に記載された技術
　前記お．の「暗号機能性を提供するための集積回路チップ・・・ 暗号化および復号化を実行するための少なくとも１つの暗号エンジン・・・チップ上に存在する少なくとも１つの固定暗号鍵・・・プログラマブル・ハードウェアを有する・・・暗号化命令が，前記インタフェースを介して暗号化形態で供給され，前記固定暗号鍵を用いて前記少なくとも１つの暗号エンジンによって復号化され，プログラマブル・ハードウェアを有する前記フロー制御回路の前記一部をプログラミングするために用いられる」との記載，前記か．の「「暗号エンジン」という言葉は・・・暗号アルゴリズムを実行するように設計された・・・回路を指す・・・フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）を含む単一チップを用いる・・・ＦＰＧＡをプログラミングするためのセキュアな機構を提供する・・・適切な暗号キーを所有する信頼されたエンティティによってセキュアな方法でのみプログラミングすることができるようにＦＰＧＡ回路を用いる」との記載から，参考文献２には前記か．に記載された，単一のセキュアな集積回路チップ上に暗号処理要素を設けることを目的とした「暗号化回路（暗号機能性を提供するための集積回路チップ）は，ＦＰＧＡタイプのプログラマブル回路（ＦＰＧＡ）において実現され，
　前記回路は，前記ＦＰＧＡタイプのプログラマブル回路のプログラミングファイル（暗号化命令が，前記インタフェースを介して暗号化形態で供給，および，ＦＰＧＡをプログラミングするためのセキュアな機構）を暗号化するための固定暗号鍵（第３の鍵ｋｂに相当）を含む」ことに相当する技術が示されている。
　
５．４　対比
　本件補正により補正された請求項１に係る発明（以下「本願発明」と呼ぶ）は，前記「第４　当審判断」の「２．」で言及したように特許法第３６条第６項第２号を満たしておらず明確でなく，前記「３．」で言及したように特許法第３６条４項１号を満たしておらず発明の詳細な説明には当業者が実施できるように記載されていないものの，一応，本願明細書，特許請求の範囲，及び，図面の記載を，その字句どおりのものとして，本願発明と引用発明との対比を行う。
　
（１）引用発明の「ＤＥＳ暗号アルゴリズムを実行するための暗号キーを含むＤＥＳ計算ユニット，キーマスキングユニット，メモリを含む暗号ハードウェア」は，暗号ハードウェアに関し，前記ア．に「本発明は，演算中に暗号ハードウェアエンジンを標的暗号解読攻撃から保護する方法に関」するとの記載から「暗号ハードウェアエンジン」は回路を含むことは通常である点（例えば参考文献２の前記か．参照）をふまえると，本願発明の「暗号化アルゴリズムを実行するための関数鍵ｋｃを含む暗号回路」と実質的な差異はない。
　
（２）引用発明の「マスク」は，「サイドチャネル攻撃からのハードウェアエンジンを保護することを可能とするマスク」であるから秘密な情報であることは自明であり，本願発明の「第２の鍵ｋｉ」は「前記第２の鍵ｋｉによってマスク」するものであることからもマスクと呼べるものであり，引用発明の「マスク」は本願発明の「第２の鍵ｋｉ」と実質的な差異はない。
　してみれば，引用発明の「前記ハードウェアは，マスクを用いるマスキング方法（偽またはダミー演算）の使用により，あるラウンドにおける暗号化アルゴリズム置換（Ｓボックス）演算の（キー側の）入力値のサイドチャネル攻撃からのハードウェアエンジンを保護することを可能とするマスクを含む暗号ハードウェア」と本願発明の「前記回路は，前記回路に専用の第２の鍵ｋｉであって，前記回路のサイドチャネルを利用した攻撃から回路を保護することを可能とする第２の鍵ｋｉを含むことを特徴とする回路」とは「前記回路は，第２の鍵ｋｉであって，前記回路のサイドチャネルを利用した攻撃から回路を保護することを可能とする第２の鍵ｋｉを含むことを特徴とする回路」の点で共通する。
　
（３）引用発明の「マスキングをかけたキー」は本願発明の「マスク鍵」に相当する。引用発明の「前記キーはＸＯＲ演算によって前記キーとマスクとを用いてマスキングをかけたキーを生じさせ，入力データは前記マスキングをかけたキーによってＸＯＲ演算が適用されて暗号化され」ることと本願発明の「前記関数鍵ｋｃはＸＯＲ演算によって前記２つの鍵を組み合わせることにより前記第２の鍵ｋｉによってマスクされ，入力変数ｘはマスク鍵
　　【数１】
によって暗号化され」ることとに実質的な差異はない。
　
（４）本願発明の「ＰＵＦ」（物理的クローン不能関数）は上位概念では手段とみることができ，引用発明で用いられる「事前に構築されたマスキング表」も上位概念では手段とみることができる。してみれば，引用発明の「前記マスクは事前に構築されたマスキング表を用いて生成されることを特徴とする暗号ハードウェア」と本願発明の「前記第２の鍵ｋｉはＰＵＦ（Ｐｈｙｓｉｃａｌｌｙ　Ｕｎｃｌｏｎａｂｌｅ　Ｆｕｎｃｔｉｏｎ）により生成されることを特徴とする回路」とは，上位概念において「前記第２の鍵ｋｉは手段を用いることにより生成されることを特徴とする回路」の点で共通する。
　
　
　前記（１）〜（４）によれば，本願発明と引用発明とは次の点で一致し，そして，次の点で相違が認められる。
［一致点］
「暗号化アルゴリズムを実行するための関数鍵ｋｃを含む暗号回路であって，前記回路は，第２の鍵ｋｉであって，前記回路のサイドチャネルを利用した攻撃から回路を保護することを可能とする第２の鍵ｋｉを含むことを特徴とする回路であって，
前記関数鍵ｋｃはＸＯＲ演算によって前記２つの鍵を組み合わせることにより前記第２の鍵ｋｉによってマスクされ，入力変数ｘはマスク鍵
　　【数１】
によって暗号化され，
前記第２の鍵ｋｉは手段を用いることにより生成されることを特徴とする回路。」
　
〈相違点１〉
　回路に係る第２の鍵ｋｉ（マスク）であることに関し，本願発明は「回路に専用の」第２の鍵ｋｉであるのに対し，引用発明は，そのような事項を有していない点。
　
〈相違点２〉　
　本願発明は，「暗号回路は，ＦＰＧＡタイプのプログラマブル回路において実現され，
　前記暗号回路は，前記ＦＰＧＡタイプのプログラマブル回路のプログラミングファイルを暗号化するための第３の鍵ｋｂを含」むのに対し，引用発明は，そのような事項を有していない点。
　
〈相違点３〉
　前記第２の鍵ｋｉは手段を用いることにより生成されることに関し，本願発明は，「ＰＵＦ（Ｐｈｙｓｉｃａｌｌｙ　Ｕｎｃｌｏｎａｂｌｅ　Ｆｕｎｃｔｉｏｎ）」により生成されるのに対し，引用発明は，そのような事項を有していない点。
　
５．５　当審判断
〈相違点１〉〈相違点３〉について 
　引用文献２には，前記４．２（２）で言及したように，集積回路内のデータを保護してデータ（キー）に対する侵害を避ける方法を提供するために，マスクは，集積回路の物理的及び製造上のばらつきに敏感であり再生することができない技術パラメータであり集積回路の少なくともひとつの物理的パラメータネットワークから得られる（生成される）物理データ（マスク）である技術が示されており，前記集積回路の物理的及び製造上のばらつきに敏感であり再生することができない，かつ，物理的パラメータネットワークから得られる（生成される）物理データ（マスク）は，回路に専用のマスクを示す技術であるといえるとともに，前記「集積回路の物理的及び製造上のばらつきに敏感であり再生することができない」ことは前記「クローン・・・検出する」ことができる点をふまえると「物理的アンクローンナブル」であると換言できるものであり，即ち，引用文献２には「マスクは，物理的アンクローンナブルな物理的パラメータネットワーク（Ｆｕｎｃｔｉｏｎ；関数，機能）により生成される」技術が示されている。
　そして，引用発明と引用文献２とはいずれも暗号化保護のための技術に係るものである。
　してみれば，引用発明において，回路に係る第２の鍵ｋｉ（マスク）であることに関し，「前記回路に専用の」第２の鍵ｋｉであると成すこと，および，引用発明において，前記第２の鍵ｋｉ（マスク）は所定の手段を用いることにより生成されることに関し，「ＰＵＦ（Ｐｈｙｓｉｃａｌｌｙ　Ｕｎｃｌｏｎａｂｌｅ　Ｆｕｎｃｔｉｏｎ）」により生成されると成すことは，前記引用文献２の前記技術を参酌することにより当業者が容易になし得ることである。
　
〈相違点２〉について
　前記「４．３　参考文献」で言及したように，参考文献１には，ＦＰＧＡプログラムが意図する特定の組のＦＰＧＡ以外のＦＰＧＡをプログラムするためのＦＰＧＡプログラムの使用を阻止するために，回路（集積回路（ＩＣ））は，ＦＰＧＡタイプのプログラマブル回路（ＦＰＧＡ）において実現され，
　前記回路は，前記ＦＰＧＡタイプのプログラマブル回路のプログラミングファイル（ＦＰＧＡプログラム）を暗号化する（暗号化されたＦＰＧＡプログラム）ための暗号キー（第３の鍵ｋｂに相当）を含むことに相当する技術が示され，参考文献２には単一のセキュアな集積回路チップ上に暗号処理要素を設けることを目的とした「暗号化回路（暗号機能性を提供するための集積回路チップ）は，ＦＰＧＡタイプのプログラマブル回路（ＦＰＧＡ）において実現され，
　前記回路は，前記ＦＰＧＡタイプのプログラマブル回路のプログラミングファイル（暗号化命令が，前記インタフェースを介して暗号化形態で供給，および，ＦＰＧＡをプログラミングするためのセキュアな機構）を暗号化するための固定暗号鍵（第３の鍵ｋｂに相当）を含む」ことに相当する技術が示されており，これら例にみられるように，ＦＰＧＡプログラムが意図する特定の組のＦＰＧＡ以外のＦＰＧＡをプログラムするためのＦＰＧＡプログラムの使用を阻止するため，あるいは，単一のセキュアな集積回路チップ上に暗号処理要素を設けることを目的として「暗号化回路は，ＦＰＧＡタイプのプログラマブル回路において実現され，
　前記回路は，前記ＦＰＧＡタイプのプログラマブル回路のプログラミングファイルを暗号化するための鍵を含む」技術は周知の技術であったと認められる。
　してみれば，引用発明において「前記暗号回路は，ＦＰＧＡタイプのプログラマブル回路において実現され，
　前記暗号回路は，前記ＦＰＧＡタイプのプログラマブル回路のプログラミングファイルを暗号化するための第３の鍵ｋｂを含」むと成すことは前記周知の技術を参酌することにより当業者が容易になし得ることである。
　
６．小括
　したがって，本願発明は，前記引用発明，引用文献２ないし周知慣用の技術に基いて当業者が容易になし得るものであり，本願発明の奏する作用効果は，前記引用発明，引用文献２ないし前記周知慣用の技術の奏する作用効果から当然予測される範囲内のものにすぎず，格別顕著なものということはできない。
　以上のとおり，本願発明は，特許法第２９条第２項の規定により特許を受けることができないから，他の請求項に係る発明について検討するまでもなく，本願は拒絶されるべきものである。
　
７．平成２８年３月２５日付意見書について
　請求人は意見書において進歩性に関し，「引用文献１」，「引用文献２」には，「関数ｆ（ｄ，ｐ）」，「Ｋ´0＝Ｋ0｜Ｘ0」等記載されていると主張していることから，前記引用文献１，２は原審拒絶理由に示された引用文献１（特開２００３−５１８２０号公報），引用文献２（特表２００４−５２７７８７号公報）のことであると認められ，当審拒絶理由に示した引用文献１，２に対応していないので，当審拒絶理由に対する意見として適切ではなく，前記請求人の主張は採用できない。
　
第５　むすび
　以上のとおり，本願は，特許法第３６条第６項第２号，第４項第１号の規定に違反し，また，本願発明は，特許出願前に日本国内又は外国において，頒布された刊行物に記載された発明又は電気通信回線を通じて公衆に利用可能となった発明に基いて当業者が容易に発明をすることができたものであって，特許法第２９条第２項の規定により特許を受けることができないものであるから，本願は，拒絶すべきものである。
　
　よって，結論のとおり審決する。