【事件の表示】
　特願２００９−５２９６８２「暗号化されたデータ交換を行う方法、および通信システム」拒絶査定不服審判事件〔平成２０年　４月１０日国際公開，ＷＯ２００８／０４０６５５，平成２２年１２月１６日国内公表，特表２０１０−５３９５１９〕について、次のとおり審決する。
【結　論】
　本件審判の請求は，成り立たない。
【理　由】
１．手続の経緯
　本願は，２００７年９月２４日（パリ条約による優先権主張外国庁受理２００６年９月２９日，２００７年１月３日　ドイツ連邦共和国）を国際出願日とする出願であって，
　平成２１年３月３０日付けで特許法第１８４条の４第１項の規定による明細書，請求の範囲，及び，図面（図面の中の説明に限る）の日本語による翻訳文が提出されると共に審査請求がなされ，平成２３年８月２４日付けで審査官により拒絶理由が通知され，これに対して平成２３年１２月２日付けで意見書が提出されると共に手続補正がなされ，平成２３年１２月２０日付けで審査官により拒絶理由が通知され，これに対して平成２４年６月６日付けで意見書が提出されると共に手続補正がなされたが，平成２４年６月２２日付けで審査官により拒絶査定がなされ（発送；平成２４年６月２８日），これに対して平成２４年１０月２５日付けで審判請求がなされたものである。
　
第２．本願発明について
　本願の請求項１に係る発明（以下，これを「本願発明」という）は，平成２３年１２月２日付けの手続補正により補正された特許請求の範囲の請求項１に記載された，次のとおりのものである。
　
「通信システム（１）の第１の通信装置（２）と第２の通信装置（３）との間で，楕円曲線暗号方式で暗号化されたデータ交換を行うための方法において，
　前記第１の通信装置（２）が，楕円曲線上の点（Ｐ）の座標値から問い合わせ（Ｘ１，Ｚ１）を計算し，該問い合わせ（Ｘ１，Ｚ１）を前記第２の通信装置（３）へ送信し，
　前記第１の通信装置（２）の問い合わせに応答して前記第２の通信装置（３）によって，該問い合わせ（Ｘ１，Ｚ１）の値のスカラ倍を計算し，該スカラ倍の結果の一部のみを応答として該第１の通信装置（２）へ返信し，
　前記第１の通信装置（２）は，前記応答と，該第１の通信装置（２）において計算された前記問い合わせの値のスカラ倍のうち前記応答に相当する一部とが同一であるか否かを検出し，
　前記応答と，前記応答に相当する一部とが同一である場合，前記第１の通信装置（２）は前記第２の通信装置（３）とのデータ交換を許可し，
　前記応答と，前記応答に相当する一部とが同一でない場合，前記第１の通信装置（２）は前記第２の通信装置（３）とのデータ交換を拒絶する
ことを特徴とする方法。」
　
第３．引用刊行物に記載の発明
　一方，原審が平成２３年１２月２０日付けの拒絶理由（以下，これを「原審拒絶理由」という）において引用した，本願の第１国出願前に既に公知である，特開昭５７−２０７４５３号公報（１９８２年１２月２０日公開，以下，これを「引用刊行物１」という）には，関連する図面と共に次の事項が記載されている。
　
Ａ．「通常の信号伝送路を利用して鍵の交換を行なうことを公開鍵配送方式という。秘密の鍵用の信号として複雑に計算されている例を挙げると次のようになる。
　一方の通信〔Ａ〕（当審注；「通信〔Ａ〕」は，「通信者〔Ａ〕」の誤記である）は共通のＭおよびＰという値についてＭαを計算しＸを得て（Ｘ≡Ｍα（ｍｏｄ　Ｐ），この値を他方の通信者〔Ｂ〕に渡すＸの値を片割鍵という。他方の通信者〔Ｂ〕は前記Ｍという値についてＭβを計算してＹを得る。Ｙ≡Ｍβ（ｍｏｄ　Ｐ）この値を一方の通信者〔Ａ〕に渡す。次に〔Ａ〕はＹの値をα乗してＫ≡Ｙα（ｍｏｄ　Ｐ）を得る
　Ｋ≡Ｙα≡（Ｍβ）α（ｍｏｄ　Ｐ）であり
〔Ｂ〕はＸの値をβ乗してＫ≡Ｘβ（ｍｏｄ　Ｐ）を得る
　Ｋ≡Ｘβ≡（Ｍα）β（ｍｏｄ　ｐ）である。
したがつて通信者〔Ａ〕〔Ｂ〕はＫとして同じ値を得るからこのＫを共通鍵として暗号の作成・解読に使用する。」（１頁右欄４行〜２０行）
　
Ｂ．「本発明の目的は，公開鍵配送方式において送・受信者が各々作成した秘密鍵が等しいか否かをチェックできる鍵管理方式を提供することにある。
　前述のような公開鍵作成過程を，米国のＩＢＭ社等が使用しＤＥＳ方式と呼ばれている暗号方式へ適用した例では，Ｋは勿論Ｍ，Ｐ，α，βとして８９ビットの値を使用しているため，盗聴者に悪用される機会は少ないが，実際に暗号化と平文化のため使用しているのはその内例えば５６ビットであるから，本発明の要旨とする構成では残余の３３ビットをテストパターンビットとして使用する。
　以下図面に示す本発明の実施例について説明する。第１図において〔Ａ〕は送信者，〔Ｂ〕は受信者とし，ＰＫＤは公開鍵演算部，ＣＤＫは公開鍵（暗号鍵），ＣＤＣは暗号化・平文化装置，ＣＭＰは比較器，ＣＬは平文の信号源，ＡＣＰは音響カプラ，ＷＴＰは盗聴者を示す。当初，送・受信者〔Ａ〕，〔Ｂ〕がそれぞれＸ，Ｙを演算し１点鎖線の経路と伝送線ＴＬを介して値を交換し，更に演算を進めてＫの値を得る。共通鍵Ｋについて〔Ａ〕側は鍵Ｋ１をテストパターン部例えば３３ビットと暗号鍵例えば５６ビットとに分け，スイッチＳＷ１を図示と反対側に倒しテストパターン部を暗号化装置ＣＤＣの入力に印加する。３３ビットの信号が例えば米国のＤＥＳ方式により暗号化され，伝送線ＴＬを経て受信者〔Ｂ〕に達する。受信者〔Ｂ〕の装置では平文化装置ＣＤＣにおいて共通鍵Ｋ２の暗号鍵部分を使用して解読する。得られた信号を図示と反対側に倒したスイッチＳＷ２により比較器ＣＭＰで比較する。情報の演算処理過程に誤りがなければ，比較器ＣＭＰで比較したとき共通鍵のテストパターン部の比較であるため完全一致を得る筈であり，得られたときＫ１，Ｋ２は等しいことが判る。」（２頁左上欄１０行〜左下欄５行）
　
Ｃ．第１図には，〔Ａ〕が，「ＰＫＤ」，「ＣＬ」，「ＳＷ１」，「ＣＤＣ」，「ＡＣＰ」によって構成され，〔Ｂ〕が，「ＰＫＤ」，「ＣＬ」，「ＳＷ２」，「ＣＤＣ」，「ＡＣＰ」，「ＣＭＰ」で構成されていることが示されている。
　
１．上記Ｂの「本発明の目的は，公開鍵配送方式において送・受信者が各々作成した秘密鍵が等しいか否かをチェックできる鍵管理方式を提供することにある」という記載，及び，上記Ｂの「第１図において〔Ａ〕は送信者，〔Ｂ〕は受信者とし」という記載から，引用刊行物１には，
“送信者〔Ａ〕と受信者〔Ｂ〕が各々作成した秘密鍵が等しいか否かをチェックできる鍵管理方法”が記載されていることが読み取れる。
　
２．上記Ａの「一方の通信〔Ａ〕（当審注；「通信〔Ａ〕」は，「通信者〔Ａ〕」の誤記である）は共通のＭおよびＰという値についてＭαを計算しＸを得て（Ｘ≡Ｍα（ｍｏｄ　Ｐ），この値を他方の通信者〔Ｂ〕に渡すＸの値を片割鍵という」という記載，及び，上記１．において引用した上記Ｂに記載されている事項から，引用刊行物１において，
“送信者〔Ａ〕は，受信者〔Ｂ〕との共有の値ＭおよびＰを用いて，Ｘ≡Ｍα（ｍｏｄ　Ｐ）を計算し，前記Ｘを前記受信者〔Ｂ〕に送信する”ことが読み取れる。
　
３．上記Ａの「他方の通信者〔Ｂ〕は前記Ｍという値についてＭβを計算してＹを得る。Ｙ≡Ｍβ（ｍｏｄ　Ｐ）この値を一方の通信者〔Ａ〕に渡す。次に〔Ａ〕はＹの値をα乗してＫ≡Ｙα（ｍｏｄ　Ｐ）を得る
　Ｋ≡Ｙα≡（Ｍβ）α（ｍｏｄ　Ｐ）であり
〔Ｂ〕はＸの値をβ乗してＫ≡Ｘβ（ｍｏｄ　Ｐ）を得る
　Ｋ≡Ｘβ≡（Ｍα）β（ｍｏｄ　ｐ）である。」という記載，及び，上記１．において引用した上記Ｂに記載されている事項から，引用刊行物１において，
“受信者〔Ｂ〕は，前記ＭとＰを用いて，Ｙ≡Ｍβ（ｍｏｄ　Ｐ）を計算し，前記Ｙを送信者〔Ａ〕に送信し，送信者〔Ａ〕は，Ｋ≡Ｙα（ｍｏｄ　Ｐ）を計算し，受信者〔Ｂ〕は，Ｋ≡Ｘβ（ｍｏｄ　Ｐ）を計算する”ことが読み取れる。
　
４．上記Ｂの「第１図において〔Ａ〕は送信者，〔Ｂ〕は受信者とし，ＰＫＤは公開鍵演算部，ＣＤＫは公開鍵（暗号鍵），ＣＤＣは暗号化・平文化装置，ＣＭＰは比較器，ＣＬは平文の信号源，ＡＣＰは音響カプラ，ＷＴＰは盗聴者を示す」という記載，及び，上記Ｃに指摘した事項から，引用刊行物１において，
“送信者〔Ａ〕は，公開鍵演算部，暗号化・平文化装置，信号源，音響カプラ，及び，ＳＷ１によって構成され，受信者〔Ｂ〕は，公開鍵演算部，暗号化・平文化装置，信号源，音響カプラ，及び，ＳＷ２，並びに，比較器によって構成される装置である”ことが読み取れ，このことと，上記Ｂの「共通鍵Ｋについて〔Ａ〕側はＫ１をテストパターン部例えば３３ビットと暗号鍵例えば５６ビットに分け，スイッチＳＷ１を図示と反対側に倒しテストパターン部を暗号化装置ＣＤＣの入力に印加する。３３ビットの信号が例えば米国のＤＥＳ方式により暗号化され，伝送線ＴＬを経て受信者〔Ｂ〕に達する」という記載から，引用刊行物１には，
“送信者〔Ａ〕の装置は，共通鍵Ｋを，３３ビットのテストパターン部と，５６ビットの暗号鍵とに分け，前記テストパターン部を，前記暗号鍵を用いて暗号化して受信者〔Ｂ〕の装置に送信する”ことが記載されていると読み取れる。
　
５．上記Ｂの「受信者〔Ｂ〕の装置では平文化装置ＣＤＣにおいて共通鍵Ｋ２の暗号鍵部分を使用して解読する。得られた信号を図示と反対側に倒したスイッチＳＷ２により比較器ＣＭＰで比較する。情報の演算処理過程に誤りがなければ，比較器ＣＭＰで比較したとき共通鍵のテストパターン部の比較であるため完全一致を得る」という記載，及び，上記４．において引用した上記Ｂに記載された事項から，引用刊行物１においては，
“受信者〔Ｂ〕の装置は，送信者〔Ａ〕の装置から受信した，暗号化されたテストパターン部を復号し，比較器において，受信者〔Ｂ〕の装置の有するテストパターン部と比較する”ものであることが読み取れる。
　
　以上，１．〜５．において検討した事項から，引用刊行物１には，次の発明（以下，これを「引用発明」という）が記載されているものと認める。
　
　送信者〔Ａ〕の装置と受信者〔Ｂ〕の装置が各々作成した秘密鍵が等しいか否かをチェックできる鍵管理方法であって，
　前記送信者〔Ａ〕の装置は，前記受信者〔Ｂ〕装置との共有の値ＭおよびＰを用いて，Ｘ≡Ｍα（ｍｏｄ　Ｐ）を計算し，前記Ｘを前記受信者〔Ｂ〕の装置に送信し，
　前記受信者〔Ｂ〕の装置は，前記ＭとＰを用いて，Ｙ≡Ｍβ（ｍｏｄ　Ｐ）を計算し，前記Ｙを前記送信者〔Ａ〕の装置に送信し，
　前記送信者〔Ａ〕の装置は，共通鍵Ｋ≡Ｙα（ｍｏｄ　Ｐ）を計算し，
　前記受信者〔Ｂ〕の装置は，共通鍵Ｋ≡Ｘβ（ｍｏｄ　Ｐ）を計算し，
　前記送信者〔Ａ〕の装置は，前記共通鍵Ｋを，３３ビットのテストパターン部と，５６ビットの暗号鍵とに分け，前記テストパターン部を，前記暗号鍵を用いて暗号化して前記受信者〔Ｂ〕の装置に送信し，
　前記受信者〔Ｂ〕の装置は，前記送信者〔Ａ〕の装置から受信した，暗号化された前記テストパターン部を復号し，比較器において，前記受信者〔Ｂ〕の装置の有するテストパターン部と比較する，方法。
　
第４．本願発明と引用発明との対比
１．引用発明において，“送信者〔Ａ〕と，受信者〔Ｂ〕との間で，秘密鍵が等しいかを確認する”ということは，該「秘密鍵」が等しければ，それ以降，該「秘密鍵」を用いて，「送信者〔Ａ〕」と，「受信者〔Ｂ〕」との間で，該「秘密鍵」を用いて暗号化した“メッセージ”の授受を行うことを意図するものであることは明らかである。
　よって，引用発明における「送信者〔Ａ〕の装置と受信者〔Ｂ〕の装置が各々作成した秘密鍵が等しいか否かをチェックできる鍵管理方法」と，
　本願発明における「通信システム（１）の第１の通信装置（２）と第２の通信装置（３）との間で，楕円曲線暗号方式で暗号化されたデータ交換を行うための方法」とは，
“通信装置間で暗号化されたデータ交換を行うための方法”
　である点で共通する。
　
２．引用発明において，「送信者〔Ａ〕の装置」は，「受信者〔Ｂ〕の装置」から「Ｙ」を受信して，「共通鍵Ｋ≡Ｙα（ｍｏｄ　Ｐ）を計算」し，求めた「Ｋを，３３ビットのテストパターン部と，５６ビットの暗号鍵とに分け，前記テストパターン部を，前記暗号鍵を用いて暗号化して前記受信者〔Ｂ〕の装置に送信」するのであるから，
　引用発明における「送信者〔Ａ〕の装置」，「受信者〔Ｂ〕の装置」が，
　本願発明における「第２の通信装置」，「第１の通信装置」に相当し，
　引用発明における「受信者〔Ｂ〕の装置は，前記ＭとＰを用いて，Ｙ≡Ｍβ（ｍｏｄ　Ｐ）を計算し，前記Ｙを前記送信者〔Ａ〕の装置に送信」することと，
　本願発明における「第１の通信装置（２）が，楕円曲線上の点（Ｐ）の座標値から問い合わせ（Ｘ１，Ｚ１）を計算し，該問い合わせ（Ｘ１，Ｚ１）を前記第２の通信装置（３）へ送信」することとは，
“第１の通信装置が，値を計算し，該値を第２の通信装置へ送信する”
　点で共通する。
　
３．引用発明において，「送信者〔Ａ〕の装置は，前記共通鍵Ｋを，３３ビットのテストパターン部と，５６ビットの暗号鍵とに分け，前記テストパターン部を，前記暗号鍵を用いて暗号化して前記受信者〔Ｂ〕の装置に送信」するということは，上記２．において検討した事項を踏まえると，
“受信したＹを用いて計算したＫの一部を，暗号化して，受信者〔Ｂ〕の装置に送信する”ことに他ならないから，
　引用発明における「送信者〔Ａ〕の装置は，前記共通鍵Ｋを，３３ビットのテストパターン部と，５６ビットの暗号鍵とに分け，前記テストパターン部を，前記暗号鍵を用いて暗号化して前記受信者〔Ｂ〕の装置に送信」することと，
　本願発明における「第１の通信装置（２）の問い合わせに応答して前記第２の通信装置（３）によって，該問い合わせ（Ｘ１，Ｚ１）の値のスカラ倍を計算し，該スカラ倍の結果の一部のみを応答として該第１の通信装置（２）へ返信」することとは，
“第１の通信装置から受信した値から，第２の通信装置によって計算した値の一部を，前記第１の通信装置に返信する”点で共通する。
　
４．引用発明における「受信者〔Ｂ〕の装置は，前記送信者〔Ａ〕の装置から受信した，暗号化された前記テストパターン部を復号し，比較器において，前記受信者〔Ｂ〕の装置の有するテストパターン部と比較する」ことと，
　本願発明における「第１の通信装置（２）は，前記応答と，該第１の通信装置（２）において計算された前記問い合わせの値のスカラ倍のうち前記応答に相当する一部とが同一であるか否かを検出」することとは，
“第１の通信装置は，第２の通信装置から受信した値と，前記第１の通信装置が有する値とが同一であるか否か検出する”点で共通する。
　
　以上１．〜４．において検討した事項から，本願発明と，引用発明との，一致点，及び，相違点は，次のとおりである。
　
［一致点］
　第１の通信装置と第２の通信装置との間で，暗号化されたデータ交換を行うための方法において，
　第１の通信装置が，値を計算し，前記値を第２の通信装置へ送信し，
　前記第１の通信装置から受信した値から，前記第２の通信装置によって計算した値の一部を，前記第１の通信装置に返信し，
　前記第１の通信装置は，前記第２の通信装置から受信した値と，前記第１の通信装置が有する値とが同一であるか否か検出する，方法。
　
［相違点１］
“暗号化されたデータ交換”に関して，
　本願発明においては，「楕円曲線方式で暗号化されたデータ交換」であるのに対して，
　引用発明においては，「楕円曲線暗号」については言及されていない点。
　
［相違点２］
“第１の通信装置が，値を計算し”に関して，
　本願発明においては，「楕円曲線上の点（Ｐ）の座標値から問い合わせ（Ｘ１，Ｚ１）を計算」しているのに対して，
　引用発明においては，「受信者〔Ｂ〕の装置は，前記ＭとＰを用いて，Ｙ≡Ｍβ（ｍｏｄ　Ｐ）を計算」するものであって，「楕円曲線」との関係が言及されていない点。
　
［相違点３］
“値を第２の通信装置へ送信”する点に関して，
　本願発明においては，「問い合わせ（Ｘ１，Ｚ１）を前記第２の通信装置（３）へ送信」しているのに対して，
　引用発明においては，「Ｙ」を「送信者〔Ａ〕の装置に」，“問い合わせ”として送信する点については言及されていない点。
　
［相違点４］
“第１の通信装置から受信した値から，前記第２の通信装置によって計算した値”に関して，
　本願発明においては，「第１の通信装置（２）の問い合わせに応答して前記第２の通信装置（３）によって，該問い合わせ（Ｘ１，Ｚ１）の値のスカラ倍を計算」するものであるのに対して，
　引用発明においては，「送信者〔Ａ〕の装置は，共通鍵Ｋ≡Ｙα（ｍｏｄ　Ｐ）を計算」するものであって，受信した値のスカラ倍を計算するものではない点。
　
［相違点５］
“第２の通信装置から受信した値と，第１の通信装置が有する値とが同一であるか否か検出する”点に関して，
　本願発明においては，「応答と，該第１の通信装置（２）において計算された前記問い合わせの値のスカラ倍のうち前記応答に相当する一部とが同一であるか否か」を検出するものであるのに対して，
　引用発明においては，「送信者〔Ａ〕の装置」において，“スカラ倍”の計算などは行っていない点。
　
［相違点６］
　本願発明においては，「応答と，前記応答に相当する一部とが同一である場合，前記第１の通信装置（２）は前記第２の通信装置（３）とのデータ交換を許可し，前記応答と，前記応答に相当する一部とが同一でない場合，前記第１の通信装置（２）は前記第２の通信装置（３）とのデータ交換を拒絶する」という処理を行っているのに対して，
　引用発明においては，「テストパターン部と比較」した後の処理に関しては，特に，言及されていない点。
　
第５．相違点に対する当審の判断
１．［相違点１］〜［相違点５］について
　原審拒絶理由において引用された，本願の第１国出願前に既に公知である，特開２０００−１８７４３８号公報（２０００年７月４日公開，以下，これを「引用刊行物２」という）に，
　
Ｄ．「【請求項１】楕円曲線がｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂである，２の拡大体上の楕円曲線暗号の実行方法であって，各座標成分が前記楕円曲線上の点である点Ｐ１（ｘ１，ｙ１），Ｐ２（ｘ２，ｙ２）の加算をＰ３（ｘ３，ｙ３）とし，点Ｐ１（ｘ１，ｙ１），Ｐ２（ｘ２，ｙ２）の減算をＰ４（ｘ４，ｙ４）とした場合，前記ｘ１を入力するステップと，前記
入力されたｘ１を射影空間のＸ座標，Ｚ座標［Ｘ１，Ｚ１］に変換するステップ
点Ｐ１（ｘ１，ｙ１）のスカラー倍を計算することを特徴とする楕円曲線暗号実行方法
　
Ｅ．「【００２７】ベースポイント生成部１０７は，楕円曲線上のアーベル群において，上記ｒを位数とする部分巡回群の生成元を求める。例えば，＃Ｅ（Ｆｑ）＝ｋｒの場合は，第１のステップでＥ（Ｆｑ）上の任意の点（ｘ１，ｙ１）を求める。次に第２のステップでｒ（ｘ１，ｙ１）＝０かつｋ（ｘ１，ｙ１）≠０の場合，Ｇ＝（ｘ１，ｙ１）をベースポイントとする。他の場合は，第１のステップへ戻る。
【００２８】ここで，
ｒ（ｘ１，ｙ１）は，（ｘ１，ｙ１）のスカラー倍（ｒ倍）演算を実行するという意味である
【００２９】以上，楕円曲線生成部１０１により，原始多項式ｆ（ｘ），楕円曲線ｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂのパラメタａ，ｂ，ベースポイントＧ，ベースポイントの位数ｒを生成した。これらは公開する情報である。
【００３０】次に公開鍵／秘密鍵生成部１０２は，以下の手順で公開鍵と秘密鍵を生成する。入力を原始多項式ｆ（ｘ），楕円曲線ｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂのパラメタａ，ｂ，ベースポイントＧとし，出力を公開鍵Ｑ，秘密鍵ｄとすると，第１のステップで乱数２＜ｄ＜ｒ−１を生成し，第２のステップでＱ＝  ｄＧすなわちＧのスカラ倍（ｄ倍）点を求める。
【００３１】公開鍵は，公開する情報であり，秘密鍵は秘密にする情報である。
Ｑ，Ｇからｄを求める問題は，離散対数問題といわれるものであり，楕円曲線において，ベースポイントの位数ｒのビット長の指数オーダの計算量を必要とする
　
　と記載され，同じく，原審拒絶理由に引用された，本願の第１国出願前に既に公知である，米国特許出願公開第２００６／０１７９３１９号明細書（２００６年８月１０日公開，以下，これを「引用刊行物３」という）に，
　
Ｆ．「［0034］The multiplicative representation of group operations is used herein, but the treatment is equally applicable to additive groups, such as 
elliptic curves
（［００３４］群演算の乗法表現がここに用いられる。しかしながら，処理は，
楕円曲線
　
　と記載され，同じく，原審拒絶理由に引用された，本願の第１国出願前に既に公知である，「岡本龍明・太田和夫共編，暗号　ゼロ知識証明　数論，共立出版株式会社，1995年6月1日，p.228-231」（以下，これを「引用刊行物４」という）に，
　
Ｇ．「７．５．１  楕円曲線
　まず公開鍵暗号が定義される有限体上の楕円曲線について簡単に述べる．有限体上の楕円曲線の要素の集合は， Ｆｑ（ｑは５以上の素数ｐのｒ乗）をｑ個の要素をもつ有限体とし，ａ， ｂ∈Ｆｑを４ａ３＋２７ｂ２≠０なる要素とするとき，
｛（ｘ，ｙ）∈Ｆ２ｑ｜ｙ２＝ｘ３＋ａｘ＋ｂ｝Ｕ｛Ｏ｝
と表される．以後これをＥ（Ｆｑ）と表す．また， ＦｑをＥの定義体とよぶ．ここでＯは無限遠点で，楕円曲線にはこれが零元になるような加法が定義される．また加法は１０回程度の定義体Ｆｑ上の乗算により容易に実現される．この加法によりＥ（Ｆｑ） は有限体と同様に有限可換群になり，有限体上と同様に離散対数問題（ＥＤＬＰ）が定義される．ｑが２もしくは３のｒ乗の場合の楕円曲線の一般形を含め楕円曲線の詳細については文献［５０，５４］を参照されたい． ＥＤＬＰについては，３章，５章，にも解説されている．
７．５．２  原理
　楕円曲線に基づく公開鍵暗号は，有限体上の離散対数問題に基づく公開鍵暗号において有限体の要素を楕円曲線の要素に，有限体上の乗法を楕円曲線上の加法に対応させることにより定義される．このとき有限体の要素のｒ乗は楕円曲線の要素のｒ倍に対応し，通常有限体の要素のｒ乗を計算するのに用いる高速指数演算法も楕円曲線の要素のｒ倍を計算するのに用いることができる．次に楕円曲線に基づく公開鍵暗号の具体的な構成例を二つ紹介する［２３］．以下Ｅ ：ｙ２＝ｘ３＋ａｘ＋ｂをＦｑ 上定義された楕円曲線とし，ｆ（ｘ）＝ｘ３＋ａｘ＋ｂとし， また位数（ｎＰ＝Ｏとなる最小の正整数ｎ）が大きな素数で割れる要素Ｐ∈Ｅ（Ｆｑ）をベースポイントとする．またＥ（Ｆｑ）およびＰはシステム内で公開する．
　
１）
楕円曲線に基づくＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵配送
ＡとＢが鍵を共有する場合を考える
〔鍵生成〕Ａは，正整数ｘ
Ａ
を選びこれを秘密鍵として保持し，Ｅ上で
　　　　　　　Ｙ
Ａ
＝ｘ
Ａ
Ｐ
を計算し， Ｅ（Ｆ
ｑ
）の要素Ｙ
Ａ
を公開鍵として公開ファイルに登録する．同様にＢも，正整数ｘ
Ｂ
を秘密鍵として保持し，Ｅ（Ｆ
ｑ
）の要素Ｙ
Ｂ
を公開鍵として公開ファイルに登録する
〔鍵共有〕Ａは，公開ファイルからＢの公開鍵Ｙ
Ｂ
を取ってきてＥ上で
　　　　　　　Ｋ
Ａ，Ｂ
＝ｘ
Ａ
Ｙ
Ｂ
＝ｘ
Ａ
ｘ
Ｂ
Ｐ
を計算する．同様にＢは公開ファイルからＡの公開鍵Ｙ
Ａ
を取ってきて
Ｅ上で
　　　　　　　Ｋ
Ｂ，Ａ
＝ｘ
Ｂ
Ｙ
Ａ
＝ｘ
Ｂ
ｘ
Ａ
Ｐ
を計算する． ＡとＢはＥ（Ｆ
ｑ
）の要素Ｋ
Ａ，Ｂ
＝Ｋ
Ｂ，Ａ
を鍵として共有
する
　
　と記載されているように，楕円曲線暗号，楕円曲線暗号におけるスカラ倍，及び，楕円曲線に基づくＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵配送は，本願の第１国出願前に，当業者には既に周知の技術事項であった。
　引用発明は，その構成から“離散対数問題の困難性に基礎を置く，一般的なＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵配送方法”を用いていることは明らかである。
　そして，「楕円曲線に基づくＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵配送」は，上記で指摘した引用刊行物４にも記載されているとおり，本願の第１国出願前には，当業者に周知の技術事項であるから，引用発明において，“一般的なＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵配送”を，“楕円曲線に基づくＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵配送”に置き換えることは，当業者が適宜なし得る事項である。
　このとき，楕円暗号方式により，鍵を共有する通信装置間で，互いの通信装置の認証，或いは，互いが共有する情報の検証を行うためにチャレンジ・レスポンスの手法を用いることは，例えば，引用刊行物３に，
　
Ｈ．「［0063］As in MQV, 
the HMQV protocol's communication is identical to the basic DH exchange earlier shown in FIG.1, with the possible addition of certificates
・・・・・・（中略）・・・・・・
［0065］ Challenge-Response Signatures 
　
［0066］ Although it should now be clear how the HMQV protocol differs from the MQV protocol, there is another aspect of the present invention that is, in a sense, even more fundamental: a main technical tool that stands as the core design and analysis element behind HMQV is a new form of interactive signatures, referred to as “
challenge-response signatures
（［００６３］ＭＱＶと同様に，
ＨＭＱＶプロトコルの通信は，前の図１に示す，可能な証明書の附加を含め，基本的なＤＨ鍵交換と一致する
・・・・・・（中略）・・・・・・
［００６５］チャレンジ−レスポンス署名
　
［００６６］ＨＭＱＶプロトコルがどのようにＭＱＶプロトコルと異なるかについて現在明らかでなければならないが，ある意味では，さらに基本的である本発明の：ＨＭＱＶの背後の中心的なデザインと分析要素として存在する主要な技術的なツールは，フィアット-シャミア方法論を用いたシュノアの認証スキームの新しい変形に基づいて実行される“
チャレンジ−レスポンス署名
　
　との記載が存在し，或いは，本願の第１国出願前に既に公知である，特開平１１−２３４２５９号公報（１９９９年８月２７日公開，以下，これを「周知技術文献」という）に，
　
Ｉ．「【００２１】まず，機器Aは，自分の公開鍵PAと認証子certAを機器Bに送る（処理301a）。同様に，機器Bは，自分の公開鍵PBと認証子certBを機器Aに送る（処理301b）。次に，機器A101は，乱数mAの生成（処理201a），乱数nAの生成（処理202a），乱数kAの生成（処理203a）を行う。201a〜203aの処理順序は制限されない。ここで，乱数mAと乱数kAは機器A101が秘密に保持する。また，乱数nAは，機器B102へのチャレンジである。続いて，機器A101は，乱数kAを機器Bの公開鍵PBを用いて暗号化してcAを生成する（処理204a）。この暗号変換は，
楕円曲線暗号を用いる
【００２２】（１）  乱数mA とベースポイントGから，QA1 = mAG を計算する。
（２）  乱数mA と機器Bの公開鍵PBから，QA2 = mAPB を計算する。
（３）  cA = [QA2] x + kA を計算する。ここで，[QA2] xは点QA2のx座標である。[QA2] xの値が分からなければ， cAからkAを知ることはできない。
・・・・・・（中略）・・・・・
【００２５】ここで，機器A101が行う処理201a〜204aと機器B102が行う処理201b〜204bは，それぞれの機器で同時に実行することが可能である。次に，
機器A101はcAとnAとQA1を機器B102に送る
【００２６】（１）  機器A101の秘密鍵sAとQB1から，QB2 = sAQB1 を得る。この式は，sAQB1 =sA (mBG) = mB (sAG) = mB (PA) = QB2 より成り立つことが分かる。QB2の値は，機器A101と機器B102しか知ることができない。
（２）  kB = cB - [QB2] xを計算する。
・・・・・・（中略）・・・・・
【００２９】次に，機器A101は，kBとnAとnB を用いて，レスポンスrAを以下のように計算する。
rA = h( kB || nA || nB )  （処理206a）
ここで，演算X||Yは，ビット列Xとビット列Yを結合することを表す。また，関数h(X)は，ハッシュ関数である。ハッシュ関数とは，任意長のデータを固定長のデータに圧縮する非可逆的な関数であり，デジタル署名や認証などの目的で広く用いられる。ハッシュ関数の演算負荷は，楕円暗号演算処理の数%しかなく小さいので，本発明の処理速度向上に寄与する。
同様に，機器B102は，kAとnAとnBを用いて，レスポンスrBを以下のように計算する
rB = h( kA || nB || nA )  （処理206b
ここで，機器A101が行う処理205aおよび206aと，機器B102が行う処理205bと206bは，それぞれの機器で同時に実行することが可能である。また，この処理206a，206bでは，ハッシュ関数を使う代わりに同様に計算負荷が小さい共通鍵暗号を用いても良い。すなわち，nAとnB とを，kAを鍵とした共通鍵暗号を用いてレスポンスrBを作成しても良い。
【００３０】次に，機器A101は，機器B102にレスポンスrAを送る（処理303a）。同様に，機器B102は，機器A101にレスポンスrBを送る（処理303b）。次に，機器A101はkAとnAとnB を用いてh( kA || nB || nA )を計算し，その結果が機器B102から受け取ったレスポンスrBと等しいことを検証する（処理207a）。これによって，機器Aが受け取った，機器B201の公開鍵に対応する秘密鍵を，機器B201が保持していることを認証する。機器B201が秘密鍵sBを保持していなければ，機器B201はkAを取得することができず，したがって，正しいレスポンスrBを生成できない。同様な方法で，機器B102は，機器A101のレスポンスrAを検証する（処理207b）。
【００３０】次に，機器A101は，機器B102にレスポンスrAを送る（処理303a）。同様に，
機器B102は，機器A101にレスポンスrBを送る（処理303b
次に，機器A101はkAとnAとnB を用いてh( kA || nB || nA )を計算し，その結果が機器B102から受け取ったレスポンスrBと等しいことを検証する（処理207a
　
　と記載されてもいるように，本願の第１国出願前に，当業者には周知の技術事項であって，引用刊行物３に記載の発明も，周知技術文献に記載された周知技術も，楕円曲線上のＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵配送に基礎を置くものであることは明らかであるから，引用発明において，通常のＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵配送を用いることに替えて，引用刊行物２に記載の発明，及び，引用刊行物３に記載の発明，並びに，周知技術文献に記載された周知技術において用いられている，楕円曲線に基づくＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵配送を採用することは，当業者が適宜なし得る事項である。
　このとき，本願発明は，問合せとして“楕円曲線上の点のｘ座標から計算した値を送信”し，応答として，“送信された値をスカラ倍した値の一部を返信”しており，“求めた値の一部を返信する”点は，引用発明でも行っているので，本願発明において，楕円曲線上の座標から計算した値を，チャレンジとし，該チャレンジをスカラ倍したものをレスポンスとする”点について更に検討すると，
　本願発明においては，“楕円曲線上の座標点”に対してどのような「計算」を行うかについては何ら言及されておらず，任意の「計算」を含む態様である。
　ここで，双方が正しい鍵を所有していることを認証するためには，チャレンジに対して，レスポンス側が，自らが有する個別鍵でチャレンジを暗号化し，チャレンジ側に返送し，チャレンジ側が，レスポンス側の公開鍵を用いて復号し，送信したチャレンジであるか確認するといった態様が，当該技術分野における一般的な態様である。これを楕円曲線暗号に当てはめた場合，本願発明における「スカラ倍」とは，レスポンス側の秘密鍵で暗号化する処理を指すものと解されるので（本願明細書の段落【００５１】〜段落【００５６】の記載内容による），引用発明においても，楕円曲線を採用する場合に，同様の処理を行うことは，当業者が適宜なし得る事項である。
　よって，相違点１〜相違点５は，格別のものではない。
　
２．［相違点６］について
　周知技術文献にも，
　
Ｊ．「００３１】次に，機器A101は，機器B102の認証子certBを検証する（処理208a）。認証子certBの検証は，一例として従来の技術で説明したデジタル署名アルゴリズムであるECDSAに従い，鍵管理機関131の公開鍵PLAを用いて行われる。これによって，機器A101は，機器B102の公開鍵PBが正しいことを確認する。したがって，処理207aと処理208aの検証結果が共に正しければ，機器A101は機器B102が正しい秘密鍵を持っていることを確認でき，機器A101は機器B102を正しい機器と認証する。
もし，処理207aと処理208aの検証結果のどちらかが正しくなければ，機器A101は機器B102を不正な機器と判断し，認証処理を中止する
　といった記載があるように，検証の結果が正しくなければ，その後の処理を行わないようにすることは，当該技術分野にあっては，本願の第１国出願前に，当業者には周知の技術事項に過ぎない。
　よって，相違点６は，格別のものではない。
　
　上記で検討したごとく，相違点１〜相違点６はいずれも格別のものではなく，そして，本願発明の構成によってもたらされる効果も，当業者であれば当然に予測可能なものに過ぎず格別なものとは認められない。
　
第６．むすび
　したがって，本願発明は，本願の特許出願前に日本国内又は外国において頒布された刊行物に記載された発明又は電気通信回線を通じて公衆に利用可能となった発明に基づいて当業者が容易に発明をすることができたものであるので，特許法第２９条第２項の規定により特許を受けることができない。
　
　よって，結論のとおり審決する。