【事件の表示】
　特願２００８−　１６７９６「ＫＡＳＵＭＩ暗号化を行う装置および方法」拒絶査定不服審判事件〔平成２０年　７月１０日出願公開、特開２００８−１５８５４２〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
１．手続の経緯
　本件請求に係る出願（以下「本願」と記す。）は
２００１年５月３１日（以下「優先日」と記す。）のアメリカ合衆国での出願、及び、２００１年８月１日のアメリカ合衆国での出願を基礎とするパリ条約に基づく優先権主張を伴って、
２００２年５月３１日に国際出願されたものである特願２００３−５０１１２４号を原出願とする特許法第４４条第１項の規定による新たな特許出願として、
平成２０年１月２８日に出願され（なお、本願は上記原出願の一部を新たな特許出願としたものと認められるので、本願は上記原出願の国際出願の時にしたものとみなす。）、
平成２０年１月２９日付けで特許法第３６条の２第２項の規定による翻訳文が提出され、
同日付けで審査請求がなされるとともに、手続補正書が提出され、
平成２０年４月１１日付けで上申書が提出され、
平成２２年１２月１０日付けで拒絶理由通知（平成２２年１２月２１日発送）がなされ、
平成２３年６月１７日付けで意見書が提出されるとともに、
同日付けで手続補正書が提出され、
平成２３年１０月５日付けで拒絶査定（平成２３年１０月１１日謄本送達、発送）がなされたものである。
　本件審判請求は「原査定を取り消す。本願は特許をすべきものである、との審決を求める。」との趣旨で
平成２４年２月１３日付けで請求されたものであって、
同日付けで手続補正書が提出されている。
　なお、
平成２４年４月２日付けで特許法第１６４条第３項に定める報告（前置報告）がなされ、
平成２４年９月２４日付けで当該報告に対する意見を求める旨の審尋（平成２４年９月２５日発送）がなされ、これに対して
平成２５年２月２５日付けで回答書が提出されている。
　
　
２．本願発明
　本願の請求項１に係る発明（以下「本願発明」と言う。）は、上記平成２４年２月１３日付けの手続補正書により補正された特許請求の範囲、明細書及び図面の記載からみて、本願の特許請求の範囲の請求項１に記載されたとおりの次のものと認める。
　
「１６ビット入力を受け入れ、１６ビット出力を生成する装置であり、
　第１のレジスタ入力および第１のレジスタ出力を有する第１のレジスタと、
　第２のレジスタ入力および第２のレジスタ出力を有する第２のレジスタと、
　第１の入力ｍｕｘ出力を有する第１の入力ｍｕｘであり、入力選択信号の制御下で前記第１のレジスタ出力と前記１６ビット入力の上位９ビットとの間で選択を行う第１の入力ｍｕｘと、
　第２の入力ｍｕｘ出力を有する第２の入力ｍｕｘであり、前記入力選択信号の制御下で前記第２のレジスタ出力と前記１６ビット入力の下位７ビットとの間で選択を行う第２の入力ｍｕｘと、
　Ｓ９出力を有し、前記第１の入力ｍｕｘ出力を受け入れるＳ９回路と、
　第１のオペランド、第２のオペランド、および第１のＸＯＲ出力を有する第１のＸＯＲであり、前記第１のオペランドが前記Ｓ９出力を受け入れ、前記第２のオペランドがゼロ拡張された前記第２の入力ｍｕｘ出力を受け入れる第１のＸＯＲと、
　Ｓ７出力を有し、前記第２の入力ｍｕｘ出力を受け入れるＳ７回路と、
　第１のオペランド、第２のオペランド、および第２のＸＯＲ出力を有する第２のＸＯＲであり、前記第１のオペランドが切り捨てられた前記第１のＸＯＲ出力を受け入れ、前記第２のオペランドが前記Ｓ７出力を受け入れ、前記第２のＸＯＲ出力が前記第１のＸＯＲ出力と連結し前記１６ビット出力を生成する第２のＸＯＲと、
　第１のオペランド、第２のオペランド、および第３のＸＯＲ出力を有する第３のＸＯＲであり、前記第３のＸＯＲ出力が前記第１のレジスタ入力に供給され、前記第１のオペランドが第１のＫＩサブ鍵を受け入れ、前記第２のオペランドが前記第１のＸＯＲ出力を受け入れる第３のＸＯＲと、
　第１のオペランド、第２のオペランド、および第４のＸＯＲ出力を有する第４のＸＯＲであり、前記第４のＸＯＲ出力が前記第２のレジスタ入力に供給され、前記第１のオペランドが第２のＫＩサブ鍵を受け入れ、前記第２のオペランドが前記第２のＸＯＲ出力を受け入れる第４のＸＯＲと、
　を備え、
　前記第３のＸＯＲ出力と前記第４のＸＯＲ出力は、レジスタ制御信号に応じて、前記第１のレジスタと前記第２のレジスタにそれぞれ格納される、そして、前記レジスタ制御信号と前記入力選択信号とは同一である、
　装置。」
　
　
３．先行技術
　
（１）引用文献
　本願の出願前である上記優先日よりも前に頒布又は電気通信回線を通じて公衆に利用可能となり、原審の拒絶の査定の理由である上記平成２２年１２月１０日付けの拒絶理由通知において引用された、下記引用文献には、それぞれ、下記引用文献記載事項が記載されている。（下線は当審付与。）
　
＜引用文献１＞
　“ＥＴＳＩ／ＳＡＧＥ，Ｄｏｃｕｍｅｎｔ　２：　ＫＡＳＵＭＩ　Ｓｐｅｃｉｆｉｃａｔｉｏｎ，Ｓｐｅｃｉｆｉｃａｔｉｏｎ　ｏｆ　ｔｈｅ　３ＧＰＰ　Ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ　ａｎｄ　Ｉｎｔｅｇｒｉｔｙ　Ａｌｇｏｒｉｔｈｍｓ”，１９９９年１２月２３日
　
　＜引用文献記載事項１−１＞
「PREFACE
This specification has been prepared by the 3GPP Task force,and gives a detailed specification of the 3GPP Algorithm KASUMI. 
KASUMI is a block cipher that forms the heart of the 3GPP confidentiality algorithm f8,and the 3GPP integrity algorithm f9
（当審訳：「序文
　この仕様は３ＧＰＰタスクフォースによって準備され、３ＧＰＰアルゴリズムＫＡＳＵＭＩの詳細な仕様を与える。
ＫＡＳＵＭＩは、３ＧＰＰ機密性アルゴリズムｆ８と３ＧＰＰ保全性アルゴリズムｆ９の核心を形成するブロック暗号である。
　
　＜引用文献記載事項１−２＞
「4.4.　Function FI
　
(See figure 3 in Annex 1. The thick and thin lines in this diagram are used to emphasise the difference between the 9-bit and 7-bit data paths respectively).
　
The function FI takes a 16-bit data input I and 16-bit subkey KI
i,j
The input I is split into two unequal components, a 9-bit left half L
0
 and a 7-bit right half R
0
 where I=L
0
||R
0
　
Similarly the key KI
i,j
 is split into a 7-bit component KI
i,j,1
 and a 9-bit component KI
i,j,2
 where EI
i,j
=KI
i,j,1
||KI
i,j,2
　
The function uses two S-boxes,S7 which maps a 7-bit input to a 7-bit output,and S9 which maps a 9-bit input to a 9-bit output
　
ZE(x)　takes the 7-bit value x and converts it to a 9-bit value by adding two zero bits to the most-significant end
　
TR(x)　takes the 9-bit value x and converts it to a 7-bit value by discarding the two most-significant bits
　
We define the following series of operations:
　　　
L
1
=R
0
R
1
=S9[L
0
](+)ZE(R
0
)
　　　
L
2
=R
1
(+)KI
i,j,2
R
2
=S7[L
1
](+)TR(R
1
)(+)KI
i,j,1
　　　
L
3
=R
2
R
3
=S9[L
2
](+)ZE(R
2
)
　　　
L
4
=S7[L
3
](+)TR(R
3
)
R
4
=R
3
　
　 
The function returns the 16-bit value (L4||R4)
（当審訳：「4.4. 関数FI
（付属書類１における図３を参照。この線図内の太線と細線はそれぞれ９ビットと７ビットのデータパス間の違いを強調するために用いられている。）．
　
関数FIは１６ビットのデータ入力Iと１６ビットのサブキーKI
i,j
を利用する
入力Iは２つの一様でない成分、すなわちI=L
0
||R
0
である９ビットの左部分L
0
と７ビットの右部分R
0
へ分割される
　
同様にキーKI
i,j
は、EI
i,j
=KI
i,j,1
||KI
i,j,2
である、７ビットの成分KI
i,j,1
と９ビットの成分のKI
i,j,2
へ分割される
　
この関数は、２つのＳボックス、すなわち７ビットの入力を７ビットの出力への写像するS7と、９ビットの入力を９ビットの出力への写像するS9、を用いる
これらは次のように定義される：
　
ZE(x)　７ビットの値ｘを受けて、最上位の末端へ２つのゼロビットを加え、９ビットの値へ変換する
　
TR(x)　９ビットの値ｘを使用し、２つの最上位ビットを廃棄して、７ビットの値へ変換する。
　　　
L
1
=R
0
R
1
=S9[L
0
](+)ZE(R
0
)
　　　
L
2
=R
1
(+)KI
i,j,2
R
2
=S7[L
1
](+)TR(R
1
)(+)KI
i,j,1
 
　　　
L
3
=R
2
R
3
=S9[L
2
](+)ZE(R
2
)
　　　
L
4
=S7[L
3
](+)TR(R
3
)
　
この関数は１６ビットの値(L4||R4)を返す
　
　＜引用文献記載事項１−３＞
「
」（第１９頁）
　
　＜引用文献記載事項１−４＞
「/*---------------------------------------------------------------
 *　FI()
 *　　　The FI function (fig 3).　It includes the S7 and S9 tables.
 *　　　Transforms a 16-bit value.
 *----------------------------------------------------------------/
static u16 FI( u16 in, u16 subkey )
{
　　u16 nine, seven;
・・・中略・・・
 /* The sixteen bit input is split into two unequal halves,　*
　* nine bits and seven bits - as is the subkey　　　　　　　*/
　
 
nine　= (u16)(in7)
 
seven = (u16)(in0x7F)
　
 /* Now run the various operations */
　
 
nine　= (u16)(S9[nine]　^ seven)
 
seven = (u16)(S7[seven] ^ (nine  0x7f))
　
 
seven ^= (subkey9)
 
nine　^= (subkey0x1FF)
　
 
nine　= (u16)(S9[nine]　^ seven)
 
seven = (u16)(S7[seven] ^ (nine  0x7f))
　
 
in = (u16)((seven9) + nine)
　
 
return( in )
}」（第２２頁）
　
　
＜引用文献２＞
　特開平１１−２４２４３３号公報（平成１１年９月７日出願公開）
　
　＜引用文献記載事項２−１＞
「【請求項１】　任意の２つのＡ入力データ（１０１）とＢ入力データ（１０２）に対し、上記Ａ入力データを第１の鍵パラメータ（１１１）で第１の非線形変換をし、該第１の非線形変換された出力データと上記Ｂ入力データ（１０２）との排他的論理和をＢ中間データとして出力し、上記Ｂ入力データをそのままＡ中間データとして出力する構成と、
上記Ａ中間データを第２の鍵パラメータで第２の非線形変換をし、該第２の非線形変換された出力データと上記Ｂ中間データとの排他的論理和を次のＢ中間データとして出力し、上記Ｂ中間データをそのまま次のＡ中間データとして出力する構成を備え、
上記の構成を縦続接続して、最終のＡ中間データとＢ中間データを変換後の出力データ（１０３と１０４）とするデータ変換装置。
・・・（中略）・・・
【請求項１１】　第１の非線形変換の入力側から第２の非線形変換の入力側までに存在する第１の非線形変換回路（１３１）と排他的論理和回路（１４１）を第１の副変換処理部（１２１）とし、第２の非線形変換の入力側から次の第１の非線形変換の入力側までに存在する第２の非線形変換回路（１３２）と排他的論理和回路（１４２）を第２の副変換処理部（１２２）とする場合と、
第１の非線形変換の出力側から第２の非線形変換の出力側までに存在する排他的論理和回路（１４１）と第２の非線形変換回路（１３２）を第１の副変換処理部（１６１）とし、第２の非線形変換の出力側から次の第１の非線形変換の出力側までに存在する排他的論理和回路（１４２）と第１の非線形変換回路（１３３）を第２の副変換処理部（１６２）とする場合とのいずれかの構成を備え、
上記第１の副変換処理部と、上記第２の副変換処理部とを交互に必要段数接続し、最初の第１の副変換処理部の入力側にデータ選択部（１５６ａと１５６ｂ）を付加し、また、最後の第１と第２のいずれかの副変換処理部の出力側にデータ保持部（１５７ａと１５７ｂ）を付加し、また、鍵パラメータ供給部（１５８）を付加し、
最初に任意の２つのＡ入力データとＢ入力データを上記データ選択部（１５６ａと１５６ｂ）で選択入力し、該選択入力が終わると次回以降は上記データ保持部（１５７ａと１５７ｂ）の出力を選択入力するよう帰還接続をして必要な回数だけ繰り返し変換処理をし
　
　＜引用文献記載事項２−２＞
「【００４８】従って、図１の構成で２つの入力データの長さを変えた構成をしても、各副変換処理部の差分確率ｐは変わらないが、全体の差分確率の値がｐ2以下であるということが判ったデータ変換装置を構成することができる。この場合、排他的論理和回路への入力は、Ａ入力データとＢ入力データとの長さが異なるために、長いデータに対してははみ出た部分（ｎ1−ｎ2ビットの部分）に対しては排他的論理和演算をせずに、短いデータと同じ長さの部分（ｎ2ビット）のみを短いデータと排他的論理和演算する。又は、短いデータに対しては長いデータに比べて不足する部分（ｎ1−ｎ2ビットの部分）に定数を埋めるなどして、長いデータと等長にして排他的論理和演算をする工夫がなされる。また、Ａ入力データとＢ入力データの長さが異なる場合、鍵パラメータもその長さに対応して適切な鍵パラメータを供給する。」
　
　＜引用文献記載事項２−３＞
「【００９５】実施の形態６．本実施の形態では、実施の形態１における第１の副変換処理部１２１と第２の副変換処理部１２２が交互に複数接続されて実行された処理を、基本となる第１の副変換処理部１２１と第２の副変換処理部１２２から構成された処理単位の繰り返し処理で実現したものを説明する。即ち、演算処理が重ならない第１の副変換処理部１２１と第２の副変換処理部１２２を１組の処理単位とし、組になった第２の副変換処理部の出力データを保持して、この出力データを第１の副変換処理部の入力データとして供給し、繰り返し演算を可能にすることで、ハードウェア規模の削減を図る。
【００９６】図１４は、その構成を示すブロック図であり、図において、１２１，１２２は第１、第２の副変換処理部である。１１１，１１２は第１、第２の鍵パラメータである。
非線形変換回路１３１ないし１３２、排他的論理和回路１４１ないし１４２は、実施の形態１における図１の構成要素と同等のものである。１５３は制御部、１５４は繰り返し処理部、１５６ａ，１５６ｂはデータ選択部、１５７ａ，１５７ｂはデータ保持部、１５８は鍵パラメータ供給部である
【００９７】次に、上記構成のデータ変換装置の動作を説明する。
【００９８】任意のＡ入力データ１０１とＢ入力データ１０２は、まず、データ選択部１５６ａ，１５６ｂを経由して第１の副変換処理部１２１へ入力される。次に、Ａ中間データ１０５、Ｂ中間データ１０６は、第２の副変換処理部１２２へ入力される。
ここで、第１及び第２の副変換処理部の動作は、実施の形態１で示したものと同じである。ただし、第１及び第２の副変換処理部中の非線形変換回路へは、下記の繰り返し処理に対応して第１の副変換処理部及び第２の副変換処理部に供給されるべき鍵パラメータが、鍵パラメータ供給部１５８により供給される。第２の副変換処理部１２２から出力されるＡ中間データ１０７及びＢ中間データ１０８は、繰り返し処理部１５４により、それぞれデータ保持部１５７ａとデータ選択部１５６ａ及びデータ保持部１５７ｂとデータ選択部１５６ｂを経由して、それぞれ第１の副変換処理部１２１へＡ入力データ及びＢ入力データとして入力される。以降、上記の繰り返し処理の後、Ａ出力データ１０３とＢ出力データ１０４が出力される
【００９９】このように構成することで、実施の形態１と同様の理由で高速のデータ変換ができ、かつ、副変換処理部の数を少なくすることができ、装置規模を小さくすることができる。
【０１００】なお、上記の実施の形態では、第１の副変換処理部１２１と第２の副変換処理部１２２の１段ずつを縦続接続したものを基本構成として繰り返し処理の単位としているが、第１の副変換処理部と第２の副変換処理部を１組にして、交互に必要な段数分縦続接続したものを繰り返し処理の単位にすることでも、同様の効果があることは明らかである。
【０１０１】図１４に示す構成は、第１の副変換処理部と第２の副変換処理部を１組にして縦続接続しているため、必ず偶数段の副変換処理部により構成される。このように、偶数段の副変換処理部により構成する理由は、Ａ入力データとＢ入力データのデータの桁数が異なる場合でも、適切なデータ変換が行えるようにするためである。例えば、Ａ入力データが７桁であり、Ｂ入力データが９桁であり、鍵パラメータ供給部１５８が７桁用の鍵パラメータ１１１を非線形変換回路１３１に供給し、９桁用の鍵パラメータ１１２を非線形変換回路１３２に供給するものとする。７桁のＡ入力データ１０１は、非線形変換回路１３１において、７桁用の鍵パラメータ１１１により非線形変換され、７桁のＢ中間データ１０６となり、更に、Ａ中間データ１０７として出力される。このＡ中間データ１０７は、データ保持部１５７ａとデータ選択部１５６ａを経由して、再びＡ入力データとなる。このように、７桁のＡ入力データが、必ず７桁用の鍵パラメータ１１１により、非線形変換を受けるためには、副変換処理部を偶数段にしておく必要がある。もし、副変換処理部が奇数段であると、非線形変換回路１３１では、７桁のデータと９桁のデータが交互に非線形変換されることになってしまう。
【０１０２】なお、図示しないが、鍵パラメータ供給部１５８が副変換処理部に対して７桁用と９桁用の鍵パラメータを交互に供給するように制御できるなら、奇数段の副変換処理部が縦続接続されていてもよい。」
　
　＜引用文献記載事項２−４＞
「
」
　
　＜引用文献記載事項２−５＞
「【０１２２】図１９は、図１８における内部非線形変換回路９３１（ないし９３３）の構成を示すブロック図である。
【０１２３】ここで、鍵パラメータ８１１は、３２×３＝９６ビットであり、鍵パラメータ８１１ａ＋鍵パラメータ８１１ｂ＋鍵パラメータ８１１ｃの合計長が３２ビット、鍵パラメータ８１１ｄ＋鍵パラメータ８１１ｅ＋鍵パラメータ８１１ｆの合計長が３２ビット、鍵パラメータ８１１ｇ＋鍵パラメータ８１１ｈ＋鍵パラメータ８１１ｉの合計長が３２ビットとなっている。更に、
鍵パラメータ８１１ａは１６ビット、鍵パラメータ８１１ｂは７ビット、鍵パラメータ８１１ｃは９ビットである
【０１２４】図２０及び図２１は、
図１９における非線形変換回路９５１及び９５２ａ，９５２ｂをＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）又はＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）で実現する場合の変換テーブルＳ７，Ｓ９の例である
　
　＜引用文献記載事項２−６＞
「
」
　
　
＜引用文献３＞
　市川哲也他，「秘密鍵暗号ＭＩＳＴＹ１のＨ／Ｗ実装における一方法」，１９９８年暗号と情報セキュリティシンポジウム講演論文集，１９９８年１月３１日，ＳＣＩＳ’９８−９．１．Ａ
　
　＜引用文献記載事項３−１＞
「
」（第２頁右欄下部）
　
　＜引用文献記載事項３−２＞
「図２及び表１より、ＦＯ関数の個数を８個から４個、１個と減らしていくと当然、回路規模は減少していくが、ＦＯ関数１個の暗号演算コアでも、約９．５Ｋゲートになることがわかる。
　しかし、小型携帯機器などに組み込むことを考えると消費電力を上げる要因のひとつでもあるゲート規模をさらにもっと小さくする必要がある。
　今回は、ＦＯ関数を行使している要素の一部を用いてＦＯ関数を実現することにより、アルゴリズムＭＩＳＴＹ１を小規模なＨ／Ｗで実現するアーキテクチャの検討を行う。ここで暗号演算コアの回路規模を５Ｋゲート以下とし、この暗号演算コアに「制御回路」および「拡大鍵レジスタ」を合わせたもの（これを小型版ＭＩＳＴＹ１と呼ぶ）を１０Ｋゲート以下で実現することを目標とする。」（第３頁左欄２８行目〜右欄本文９行目）
　
　＜引用文献記載事項３−３＞
「
」（第３頁右欄上部）
　
　＜引用文献記載事項３−４＞
「これらより、
少なくとも、ＦＬ関数、ＦＬ
−１
関数（ＦＬ関数の逆関数）、Ｓ７関数およびＳ９関数を用意すればアルゴリズムＭＩＳＴＹ１を実現できることがわかる
（・・・中略・・・）
各方式に必要な回路として以下の回路が考えられる。（概算）
（方式１）
○１（当審注：「○」とこれに続く数字は、該数字を「○」で囲った文字を意味する。以下同様。）　ＦＬ関数、ＦＬ−１関数、Ｓ７関数およびＳ９関数
○２　
レジスタ（１２８個）、セレクタ（１５３個）
○３　制御回路
（・・・中略・・・）
　次に、演算サイクル数の比較を行ってみる。アルゴリズムＭＩＳＴＹ１を実現するまでに要するサイクル数は、
方式１では、ＦＩ関数を実現するのに２〜３サイクル要する
　
　
（２）参考文献
　本願の出願前である上記優先日よりも前に頒布又は電気通信回線を通じて公衆に利用可能となった下記参考文献には、それぞれ、下記参考文献記載事項が記載されている。（下線は当審付与。）
　
＜参考文献１＞
　特開平２−２２４５１６号公報（平成２年９月６日出願公開）
　
　
　＜参考文献記載事項１−１＞
「マルチプレクサ３の出力は８ビットのバス104を介してマルチプレクサ４の一方の入力端に供給されている。マルチプレクサ４は、バス104と後述するデータラッチ７からの１５ビットの出力データのバス110の一方を選択し、１５ビットのデータバス107へ出力する。バス104が選択された場合、バス104の内容はバス107の下位８ビットへ出力される。
このマルチプレクサ４は、制御信号106がハイレベルの場合に、バス104を選択し制御信号106がローレベルの場合に、バス110を選択する。
　
　＜参考文献記載事項１−２＞
「
データラッチ７はバス109の内容を制御信号106の立下りエッジでラッチする
　
　＜参考文献記載事項１−３＞
「一方、時刻Ｄにおいても、信号103がローレベルになると、データラッチ２にラッチされた時刻ｔ=ｔ０-21.3msにおける音声データの上位８ビットがバス102，104を夫々介してマルチプレクサ４に入力される。
この時、制御信号106はハイレベルであり、この８ビット音声データはバス107へ出力される
　時刻Ｄから100ns経過した時刻Ｅにおいて、
制御信号106がハイレベルからローレベルへ遷移すると、バス109へ出力された乗算結果がデータラッチ７へラッチされると共に、乗算結果を論理反転したデータがバス110，117を介して加算器５へ入力される
　
　＜参考文献記載事項１−４＞
「
」
　
　
＜参考文献２＞
　石井周志他，「ＫＡＳＵＭＩ暗号の強度評価に関する一考察」，電子情報通信学会技術研究報告，２０００年１２月８日，第１００巻　第５０９号，ｐ．２７−３３
　
　
＜参考文献記載事項２−１＞
「本論では攻撃方程式の導出を容易にするために、FO関数とFI関数の等価変換を行った。図１に等価変換後のKASUMIを示す。FO関数は３段のFI関数で構成され、
FI関数は２種類のS-box、S7とS9から成り立っている。ここでS7は７bit入出力のS-boxであり、代数次数は３である。S9は９bit入出力のS-boxであり、代数次数は２である
　・S7とS9のS-boxの構造（ただし代数次数の変化なし）
　・FL関数の構造と位置（線形変換である点に変更なし）
　・FI関数におけるS7の個数(1個→2個)」（第２８頁１８行目（空行除く。）〜２８行目）
　
　＜参考文献記載事項２−２＞
「
」（第２９頁上部）
　
　
４．引用発明
　
（１）引用文献１は引用文献記載事項１−１記載のとおり「ブロック暗号」であるところの「ＫＡＳＵＭＩ」のアルゴリズムを詳述する文献であり、該「ＫＡＳＵＭＩ」のアルゴリズムは引用文献記載事項１−２、１−３記載の如きＦＩ関数と呼ばれる関数を含んでいる。そして引用文献記載事項１−４には該ＦＩ関数を実現するためのプログラムが開示されている。
　してみると、引用文献１には
「ブロック暗号であるＫＡＳＵＭＩのアルゴリズムにおけるＦＩ関数を計算するための手段」
が記載されていると言える。
　
（２）引用文献記載事項１−２における「関数FIは１６ビットのデータ入力Iと１６ビットのサブキーKIi,jを利用する。」「この関数は１６ビットの値(L4||R4)を返す。」との記載、引用文献記載事項１−４における「static u16 FI( u16 in, u16 subkey ) 」との記載等から、
「該ＦＩ関数は、１６ビットのデータ入力と１６ビットのサブキーが入力され、１６ビットの出力を返す関数」
であると言える。
　
（３）引用文献記載事項１−２における「入力Iは２つの一様でない成分、すなわちI=L0||R0である９ビットの左部分L0と７ビットの右部分R0へ分割される」「この関数は、２つのＳボックス、すなわち７ビットの入力を７ビットの出力への写像するS7と、９ビットの入力を９ビットの出力への写像するS9、を用いる。」「S9[L0]」との記載、引用文献記載事項１−３における上の「S9」のブロック、引用文献記載事項１−４における５６行目（空行除く。以下同様。）の「S9[nine]」等の記載から、上記「ＦＩ関数を計算するための手段」は
「前記データ入力の９ビットの左部分を９ビットの出力へ写像する第１のＳボックス手段」
を備えると言える。
　
（４）引用文献記載事項１−２における「ZE(x)　７ビットの値ｘを受けて、最上位の末端へ２つのゼロビットを加え、９ビットの値への変換する。」「R1=S9[L0](+)ZE(R0)」との記載、引用文献記載事項１−３における上部の「S9」のブロックの下の排他的論理和とその右の「zero-extend」との記載、引用文献記載事項１−４における「nine　= (u16)(in7);」、５６行目の「nine　= (u16)(S9[nine]　^ seven);」との記載等から、上記「ＦＩ関数を計算するための手段」は
「該第１のＳボックス手段の出力と前記データ入力の７ビットの右部分の最上位の末端がゼロビットとなされたものとが入力され、これらの排他的論理和を出力する第１の排他的論理和手段」
を備えると言える。
　
（５）引用文献記載事項１−２における「入力Iは２つの一様でない成分、すなわちI=L0||R0である９ビットの左部分L0と７ビットの右部分R0へ分割される」「この関数は、２つのＳボックス、すなわち７ビットの入力を７ビットの出力への写像するS7と、９ビットの入力を９ビットの出力への写像するS9、を用いる。」「L1=R0」「S7[L1]」との記載、引用文献記載事項１−３における上の「S7」のブロック、引用文献記載事項１−４における「seven = (u16)(in0x7F)」、５７行目の「S7[seven]」との記載等から、上記「ＦＩ関数を計算するための手段」は
「前記データ入力の７ビットの右部分を７ビットの出力へ写像する第２のＳボックス手段」
を備えると言える。
　
（６）引用文献記載事項１−２における「TR(x)　９ビットの値ｘを使用し、２つの最上位ビットを廃棄して、７ビットの値へ変換する。「S7[L1](+)TR(R1)」との記載、引用文献記載事項１−３における上部の「S7」のブロックの下の排他的論理和とその右の「truncate」との記載、引用文献記載事項１−４における５７行目の「seven = (u16)(S7[seven] ^ (nine  0x7f));」等の記載から、上記「ＦＩ関数を計算するための手段」は
「該第２のＳボックス手段の出力と前記第１の排他的論理和手段の出力の最上位ビットを廃棄する変換をしたものとが入力され、これらの排他的論理和を出力する第２の排他的論理和手段」
を備えると言える。
　
（７）引用文献記載事項１−２における「同様にキーKIi,jは、EIi,j=KIi,j,1||KIi,j,2である、７ビットの成分KIi,j,1と９ビットの成分のKIi,j,2へ分割される。」「L2=R1(+)KIi,j,2」との記載、引用文献記載事項１−３における「KIi,j,2」が入力される排他的論理和、引用文献記載事項１−４における「nine　^= (subkey0x1FF);」等の記載から、上記「ＦＩ関数を計算するための手段」は
「前記第１の排他的論理和手段の出力と前記サブキーの９ビットの成分との排他的論理和を出力する第３の排他的論理和手段」
を備えると言える。
　
（８）引用文献記載事項１−２における「同様にキーKIi,jは、EIi,j=KIi,j,1||KIi,j,2である、７ビットの成分KIi,j,1と９ビットの成分のKIi,j,2へ分割される。」「R2=S7[L1](+)TR(R1)(+)KIi,j,1」との記載、引用文献記載事項１−３における「KIi,j,1」が入力される排他的論理和、引用文献記載事項１−４における「seven ^= (subkey9);」等の記載から、上記「ＦＩ関数を計算するための手段」は
「前記第２の排他的論理和手段の出力と前記サブキーの７ビットの成分との排他的論理和を出力する第４の排他的論理和手段」
を備えると言える。
　
（９）引用文献記載事項１−２における「この関数は、２つのＳボックス、すなわち７ビットの入力を７ビットの出力への写像するS7と、９ビットの入力を９ビットの出力への写像するS9、を用いる。」「S9[L2]」との記載、引用文献記載事項１−３における下部の「S9」のブロック、引用文献記載事項１−４における６０行目の「S9[nine]」等の記載から、上記「ＦＩ関数を計算するための手段」は
「前記第３の排他的論理和手段の出力を９ビットの出力へ写像する第３のＳボックス手段」
を備えると言える。
　
（１０）引用文献記載事項１−２における「ZE(x)　７ビットの値ｘを受けて、最上位の末端へ２つのゼロビットを加え、９ビットの値へ変換する。」「R3=S9[L2](+)ZE(R2)」との記載、引用文献記載事項１−３における下部の「S9」のブロックの下の排他的論理和とその右の「zero-extend」との記載、引用文献記載事項１−４における６０行目の「nine　= (u16)(S9[nine]　^ seven);」等の記載から、上記「ＦＩ関数を計算するための手段」は
「該第３のＳボックス手段の出力と前記第４の排他的論理和手段の出力の最上位の末端がゼロビットとなされたものとが入力されこれらの排他的論理和を出力する第５の排他的論理和手段」
を備えると言える。
　
（１１）引用文献記載事項１−２における「この関数は、２つのＳボックス、すなわち７ビットの入力を７ビットの出力への写像するS7と、９ビットの入力を９ビットの出力への写像するS9、を用いる。」「L3=R2」「S7[L3]」との記載、引用文献記載事項１−３における下部の「S7」のブロック、引用文献記載事項１−４における６１行目の「S7[seven]」等の記載から、上記「ＦＩ関数を計算するための手段」は
「前記第４の排他的論理和手段の出力を７ビットの出力へ写像する第４のＳボックス手段」
を備えると言える。
　
（１２）引用文献記載事項１−２における「TR(x)　９ビットの値ｘを使用し、２つの最上位ビットを廃棄して、７ビットの値へ変換する。」「L4=S7[L3](+)TR(R3)」との記載、引用文献記載事項１−３における下部の「S7」のブロックの下の排他的論理和とその右の「truncate」との記載、引用文献記載事項１−４における６１行目の「seven = (u16)(S7[seven] ^ (nine  0x7f));」等の記載から、上記「ＦＩ関数を計算するための手段」は
「該第４のＳボックス手段の出力と前記第５の排他的論理和手段の出力の２つの最上位ビットを廃棄する変換をしたものとが入力されこれらの排他的論理和を出力する第６の排他的論理和手段」
を備えると言える。
　
（１３）引用文献記載事項１−２における「この関数は１６ビットの値(L4||R4)を返す。」との記載、引用文献記載事項１−３における細下部の矢線、引用文献記載事項１−４における「in = (u16)((seven9) + nine);」「return( in );」等の記載から、上記「ＦＩ関数を計算するための手段」は
「前記第６の排他的論理和手段の出力と前記第５の排他的論理和手段の出力を結合して前記１６ビットの出力とする手段」
を備えると言える。
　
（１４）よって、引用文献１には、下記引用発明が記載されていると認められる。
　
＜引用発明＞
「ブロック暗号であるＫＡＳＵＭＩのアルゴリズムにおけるＦＩ関数を計算するための手段であって、
　該ＦＩ関数は、１６ビットのデータ入力と１６ビットのサブキーが入力され、１６ビットの出力を返す関数であり、
　前記データ入力の９ビットの左部分を９ビットの出力へ写像する第１のＳボックス手段と、
　該第１のＳボックス手段の出力と前記データ入力の７ビットの右部分の最上位の末端がゼロビットとなされたものとが入力され、これらの排他的論理和を出力する第１の排他的論理和手段と、
　前記データ入力の７ビットの右部分を７ビットの出力へ写像する第２のＳボックス手段と、
　該第２のＳボックス手段の出力と前記第１の排他的論理和手段の出力の最上位ビットを廃棄する変換をしたものとが入力され、これらの排他的論理和を出力する第２の排他的論理和手段と、
　前記第１の排他的論理和手段の出力と前記サブキーの９ビットの成分との排他的論理和を出力する第３の排他的論理和手段と、
　前記第２の排他的論理和手段の出力と前記サブキーの７ビットの成分との排他的論理和を出力する第４の排他的論理和手段と、
　前記第３の排他的論理和手段の出力を９ビットの出力へ写像する第３のＳボックス手段と、
　該第３のＳボックス手段の出力と前記第４の排他的論理和手段の出力の最上位の末端がゼロビットとなされたものとが入力されこれらの排他的論理和を出力する第５の排他的論理和手段と、
　前記第４の排他的論理和手段の出力を７ビットの出力へ写像する第４のＳボックス手段と、
　該第４のＳボックス手段の出力と前記第５の排他的論理和手段の出力の２つの最上位ビットを廃棄する変換をしたものとが入力されこれらの排他的論理和を出力する第６の排他的論理和手段と、
　前記第６の排他的論理和手段の出力と前記第５の排他的論理和手段の出力を結合して前記１６ビットの出力とする手段
を備えるＦＩ関数を計算するための手段。」
　
　
５．対比
　以下に、本願発明と引用発明とを比較する。
　
（１）引用発明は「ブロック暗号であるＫＡＳＵＭＩのアルゴリズムにおけるＦＩ関数を計算するための手段」であり、本願発明は「１６ビット入力を受け入れ、１６ビット出力を生成する装置」であるところ、前者の「ＦＩ関数」は「１６ビットのデータ入力と１６ビットのサブキーが入力され、１６ビットの出力を返す関数」であるから、両者は「１６ビット入力を受け入れ、１６ビット出力を生成する手段」である点で共通する。
　
（２）引用発明における「データ入力の９ビットの左部分」は、本願発明における「１６ビット入力の上位９ビット」に、
引用発明における「データ入力の７ビットの右部分」は本願発明における「１６ビット入力の下位７ビット」に、
それぞれ相当するものであり、
更に、
引用発明における「第１のＳボックス手段」および「第３のＳボックス手段」は、本願発明における「Ｓ９回路」に、
引用発明における「第１の排他的論理和手段」および「第５の排他的論理和手段」は、本願発明における「第１のＸＯＲ」に、
引用発明における「第２のＳボックス手段」および「第４のＳボックス手段」は、本願発明における「Ｓ７回路」に、
引用発明における「第２の排他的論理和手段」および「第６の排他的論理和手段」は、本願発明における「第２のＸＯＲ」に、
引用発明における「第３の排他的論理和手段」は、本願発明における「第３のＸＯＲ」に、
引用発明における「第４の排他的論理和手段」は、本願発明における「第４のＸＯＲ」に、
それぞれ対応付けることができる。
　
（３）本願発明における「Ｓ９回路」は「第１の入力ｍｕｘ出力」を受け入れるものであるところ、該「第１の入力ｍｕｘ出力」は「前記第１のレジスタ出力と前記１６ビット入力の上位９ビットとの間で選択を行う第１の入力ｍｕｘ」の出力であり、更に、該「第１のレジスタ出力」は「第３のＸＯＲ出力」が格納される「第１のレジスタ」の出力であるから、該「Ｓ９回路」は「後記第３のＸＯＲ出力又は前記１６ビット入力の上位９ビット」を受け入れるものともとらえることができる。
　してみると、引用発明における「第１のＳボックス手段」および「第３のＳボックス手段」と、本願発明における「Ｓ９回路」とは
「Ｓ９出力を有し、後記第３のＸＯＲ出力又は前記１６ビット入力の上位９ビットを受け入れるＳ９手段」
と言えるものである点で共通する。
　
（４）本願発明における「第１のＸＯＲ」は「ゼロ拡張された前記第２の入力ｍｕｘ出力」を受け入れるものであるところ、該「第２の入力ｍｕｘ出力」は「前記第２のレジスタ出力と前記１６ビット入力の下位７ビットとの間で選択を行う第２の入力ｍｕｘ」の出力であり、更に該「第２のレジスタ出力」は「第４のＸＯＲ出力」が格納される「第２のレジスタ」の出力であるから、該「第１のＸＯＲ」は「ゼロ拡張された後記第４のＸＯＲ出力又は前記１６ビット入力の下位７ビット」を受け入れるものともとらえることができる。
　してみると、引用発明における「第１の排他的論理和手段」及び「第５の排他的論理和手段」と、本願発明における「第１のＸＯＲ」とは
「第１のオペランド、第２のオペランド、および第１のＸＯＲ出力を有する第１のＸＯＲであり、前記第１のオペランドが前記Ｓ９出力を受け入れ、前記第２のオペランドがゼロ拡張された後記第４のＸＯＲ出力又は前記１６ビット入力の下位７ビットを受け入れる第１のＸＯＲ」
と言えるものである点で共通する。
　
（５）本願発明における「Ｓ７回路」は「前記第２の入力ｍｕｘ出力」を受け入れるものであるところ、該「第２の入力ｍｕｘ出力」は「前記第２のレジスタ出力と前記１６ビット入力の下位７ビットとの間で選択を行う第２の入力ｍｕｘ」の出力であり、更に該「第２のレジスタ出力」は「第４のＸＯＲ出力」が格納される「第２のレジスタ」の出力であるから、該「Ｓ７回路」は「第４のＸＯＲ出力」を受け入れるものともとらえることができる。
　してみると、引用発明における「第２のＳボックス手段」および「第４のＳボックス手段」と、本願発明における「Ｓ７回路」とは
「Ｓ７出力を有し、後記第４のＸＯＲ出力又は前記１６ビット入力の下位７ビットを受け入れるＳ７手段」
と言えるものである点で共通する。
　
（６）引用発明における「第２の排他的論理和手段」は「該第２のＳボックス手段の出力と前記第１の排他的論理和手段の出力の最上位ビットを廃棄する変換をしたものとが入力され、これらの排他的論理和を出力する」ものであり、同「第６の排他的論理和手段」は「該第４のＳボックス手段の出力と前記第５の排他的論理和手段の出力の２つの最上位ビットを廃棄する変換をしたものとが入力されこれらの排他的論理和を出力する」ものであるから、引用発明における「第２のＸＯＲ」と同様に、
「第１のオペランド、第２のオペランド、および第２のＸＯＲ出力を有する第２のＸＯＲであり、前記第１のオペランドが切り捨てられた前記第１のＸＯＲ出力を受け入れ、前記第２のオペランドが前記Ｓ７出力を受け入れ、前記第２のＸＯＲ出力が前記第１のＸＯＲ出力と連結し前記１６ビット出力を生成する第２のＸＯＲ」
と言えるものである。
　
（７）本願発明における「第３のＸＯＲ出力」は「前記第１のレジスタ入力」に供給されるものであるところ、該「第１のレジスタ入力」が入力される「第１のレジスタ」の出力は「第１の入力ｍｕｘ」で選択され「Ｓ９回路」に受け入れられるのであるから、該「第３のＸＯＲ出力」は「前記Ｓ９手段」に供給されるともとらえることができる。
　してみると、引用発明における「第３の排他的論理和手段」と、本願発明における「第３のＸＯＲ」とは
「第１のオペランド、第２のオペランド、および第３のＸＯＲ出力を有する第３のＸＯＲであり、前記第３のＸＯＲ出力が前記Ｓ９手段に供給され、前記第１のオペランドが第１のＫＩサブ鍵を受け入れ、前記第２のオペランドが前記第１のＸＯＲ出力を受け入れる第３のＸＯＲ」
と言えるものである点で共通する。
　
（８）本願発明における「第４のＸＯＲ出力」は「前記第２のレジスタ入力」に供給されるものであるところ、該「第２のレジスタ入力」が入力される「第２のレジスタ」の出力は「第２の入力ｍｕｘ」で選択され「Ｓ７回路」に受け入れられるとともにゼロ拡張されたものが「第１のＸＯＲ」に受け入れられるのであるから、該「第４のＸＯＲ出力」は「第１のＸＯＲ及びＳ７手段」に供給されるものともとらえることができる。
　してみると、引用発明における「第４の排他的論理和手段」と、本願発明における「第４のＸＯＲ」とは
「第１のオペランド、第２のオペランド、および第４のＸＯＲ出力を有する第４のＸＯＲであり、前記第４のＸＯＲ出力が第１のＸＯＲ及びＳ７手段に供給され、前記第１のオペランドが第２のＫＩサブ鍵を受け入れ、前記第２のオペランドが前記第２のＸＯＲ出力を受け入れる第４のＸＯＲ」
と言えるものである点で共通する。
　
（９）よって、本願発明は、下記一致点で引用発明と一致し、下記相違点を有する点で引用発明と相違する。
　
＜一致点＞
「１６ビット入力を受け入れ、１６ビット出力を生成する手段であり、
　Ｓ９出力を有し、後記第３のＸＯＲ出力又は前記１６ビット入力の上位９ビットを受け入れるＳ９手段と、
　第１のオペランド、第２のオペランド、および第１のＸＯＲ出力を有する第１のＸＯＲであり、前記第１のオペランドが前記Ｓ９出力を受け入れ、前記第２のオペランドがゼロ拡張された後記第４のＸＯＲ出力又は前記１６ビット入力の下位７ビットを受け入れる第１のＸＯＲと、
　Ｓ７出力を有し、後記第４のＸＯＲ出力又は前記１６ビット入力の下位７ビットを受け入れるＳ７手段と、
　第１のオペランド、第２のオペランド、および第２のＸＯＲ出力を有する第２のＸＯＲであり、前記第１のオペランドが切り捨てられた前記第１のＸＯＲ出力を受け入れ、前記第２のオペランドが前記Ｓ７出力を受け入れ、前記第２のＸＯＲ出力が前記第１のＸＯＲ出力と連結し前記１６ビット出力を生成する第２のＸＯＲと、
　第１のオペランド、第２のオペランド、および第３のＸＯＲ出力を有する第３のＸＯＲであり、前記第３のＸＯＲ出力が前記Ｓ９手段に供給され、前記第１のオペランドが第１のＫＩサブ鍵を受け入れ、前記第２のオペランドが前記第１のＸＯＲ出力を受け入れる第３のＸＯＲと、
　第１のオペランド、第２のオペランド、および第４のＸＯＲ出力を有する第４のＸＯＲであり、前記第４のＸＯＲ出力が第１のＸＯＲ及びＳ７手段に供給され、前記第１のオペランドが第２のＫＩサブ鍵を受け入れ、前記第２のオペランドが前記第２のＸＯＲ出力を受け入れる第４のＸＯＲと、
　を備える
手段。」
　
＜相違点１＞
　本願発明は１６ビット入力を受け入れ、１６ビット出力を生成する「装置」であり、
Ｓ９手段はＳ９「回路」であり、
Ｓ７手段はＳ７「回路」であり、
第１のレジスタ入力および第１のレジスタ出力を有する第１のレジスタと、
第２のレジスタ入力および第２のレジスタ出力を有する第２のレジスタと、
第１の入力ｍｕｘ出力を有する第１の入力ｍｕｘであり、入力選択信号の制御下で前記第１のレジスタ出力と前記１６ビット入力の上位９ビットとの間で選択を行う第１の入力ｍｕｘと、
第２の入力ｍｕｘ出力を有する第２の入力ｍｕｘであり、前記入力選択信号の制御下で前記第２のレジスタ出力と前記１６ビット入力の下位７ビットとの間で選択を行う第２の入力ｍｕｘと、
を備え、
Ｓ９回路は「前記第１の入力ｍｕｘ出力」を受け入れ、
第１のＸＯＲは「前記第２の入力ｍｕｘ出力」を受け入れ、
Ｓ７回路は「前記第２の入力ｍｕｘ出力」を受け入れ、
前記第３のＸＯＲ出力が「前記第１のレジスタ入力」に供給され、
前記第４のＸＯＲ出力が「前記第２のレジスタ入力」に供給され、
「前記第３のＸＯＲ出力と前記第４のＸＯＲ出力は、レジスタ制御信号に応じて、前記第１のレジスタと前記第２のレジスタにそれぞれ格納される」
ように構成されている。
（これに対し、引用文献１にはＦＩ関数を計算するための手段を「装置」として実現することは記載されておらず、このためＳ９手段やＳ７手段を「回路」として構成することも記載されておらず、更に「第１のレジスタ」「第２のレジスタ」「第１の入力ｍｕｘ」「第２の入力ｍｕｘ」やこれらを制御する「レジスタ制御信号」や「入力選択信号」に関する記載もない。）
　
＜相違点２＞
　本願発明においては「前記レジスタ制御信号と前記入力選択信号とは同一」である。
（これに対し、引用文献１には「レジスタ制御信号」や「入力選択信号」に関する記載はないのであるから、「レジスタ制御信号」や「入力選択信号」の関係も記載されてはいない。）
　
　
６．判断
　以下に、上記相違点について検討する。
　
（１）相違点１について
　暗号のアルゴリズムを回路によってハードウエア実装するか、コンピュータプログラムによってソフトウエア実装するかは、要求仕様等に応じて適宜に選択される設計事項にほかならず、ハードウエア実装することも従来から適宜に採用されていることであるから、引用発明における手段を回路によってハードウエア実装しようとすることは、当業者であれば普通に着想することである。
　そして、その際に同じ単位処理を繰り返し行う部分を、該単位処理を行う回路を共通の回路としその入出力に選択回路と保持回路を設ける所謂再帰回路として構成することも、従来から適宜に採用されている常套手段にほかならないものである（必要があれば引用文献記載事項２−１、２−３、３−１〜３−４等参照）。
　してみると、引用発明を「装置」として実現すべく、各「Ｓボックス手段」や各「排他的論理和手段」を「回路」として構成するとともに、同じ処理が繰り返される部分、すなわち、「第１のＳボックス手段」「第１の排他的論理和手段」「第２のＳボックス手段」および「第２の排他的論理和手段」に対応する回路と、「第３のＳボックス手段」「第５の排他的論理和手段」「第４のＳボックス手段」および「第６の排他的論理和手段」に対応する回路を共通の回路とし、これに選択回路と保持回路を設けて再帰回路を構成すること、即ち上記相違点１に係る構成を有するものとすることは、当業者であれば容易に想到し得たものである。
　
（２）相違点２について
　上記の如く引用発明を再帰回路で構成した場合には、繰り返し回数は２回のサイクル、すなわち、選択回路でデータ入力が選択されて保持回路で第３の排他的論理和手段及び第４の排他的論理和手段の出力を保持する１回目のサイクルと、選択回路で保持回路の出力が選択されて第６の排他的論理和手段の出力と前記第５の排他的論理和手段の出力を結合して１６ビットの出力とする２回目のサイクルのみで計算がなされることは明らかであるところ、このような２回のサイクルの再帰回路の制御における選択回路の制御と保持回路の制御が同じ信号でよいことは当業者の技術常識にほかならないものであり（必要があれば参考文献記載事項１−１〜１−４等参照）、上記相違点２に係る構成は、引用発明を再帰回路で構成する際に、当業者が必然的に想到する設計事項にすぎないものである。
　
（３）してみると、本願発明の構成は引用文献１記載の発明に基づいて、当業者が容易に想到し得たものである。
　また、本願発明の効果は、当業者であれば容易に予測し得る程度のものであって、格別顕著なものではない。
　よって、本願発明は、引用文献１記載の発明に基づいて、当業者が容易に発明をすることができたものである。
　
７．他の観点での検討
（１）引用文献記載事項２−３、２−４等に記載の実施の形態６（以下「引用発明２」と記す。）と本願発明とを対比すると、
前者における「データ保持部１５７ａ」は後者における「第１のレジスタ」に、
前者における「データ保持部１５７ｂ」は後者における「第２のレジスタ」に、
前者における「データ選択部１５６ａ」は後者における「第１の入力ｍｕｘ」に、
前者における「データ選択部１５６ｂ」は後者における「第２の入力ｍｕｘ」に、
前者における「非線形変換回路１３１」は後者における「Ｓ９回路」に、
前者における「排他的論理和回路１４１」は後者における「第１のＸＯＲ」に、
前者における「非線形変換回路１３２」は後者における「Ｓ７回路」に、
前者における「排他的論理和回路１４２」は後者における「第２のＸＯＲ」に対応付けることができる。
　
　してみると、本願発明は下記引用発明２との一致点で引用発明２と一致し、下記引用発明２との相違点で引用発明２と相違する。
　
＜引用発明２との一致点＞
「１６ビット入力を受け入れ、１６ビット出力を生成する装置であり、
　第１のレジスタ入力および第１のレジスタ出力を有する第１のレジスタと、
　第２のレジスタ入力および第２のレジスタ出力を有する第２のレジスタと、
　第１の入力ｍｕｘ出力を有する第１の入力ｍｕｘであり、入力選択信号の制御下で前記第１のレジスタ出力と前記１６ビット入力のＮビットとの間で選択を行う第１の入力ｍｕｘと、
　第２の入力ｍｕｘ出力を有する第２の入力ｍｕｘであり、前記入力選択信号の制御下で前記第２のレジスタ出力と前記１６ビット入力の１６−Ｎビットとの間で選択を行う第２の入力ｍｕｘと、
　出力を有し、前記第１の入力ｍｕｘ出力を受け入れる第１の非線形変換回路と、
　第１のオペランド、第２のオペランド、および第１のＸＯＲ出力を有する第１のＸＯＲであり、前記第１のオペランドが前記第１の非線形変換回路の出力を受け入れ、前記第２のオペランドがＮビットにされた前記第２の入力ｍｕｘ出力を受け入れる第１のＸＯＲと、
　出力を有し、前記第２の入力ｍｕｘ出力を受け入れる第２の非線形変換回路と、
　第１のオペランド、第２のオペランド、および第２のＸＯＲ出力を有する第２のＸＯＲであり、前記第１のオペランドが１６−Ｎビットにされた前記第１のＸＯＲ出力を受け入れ、前記第２のオペランドが前記第２の非線形変換回路の出力を受け入れ、前記第２のＸＯＲ出力が前記第１のＸＯＲ出力と連結し前記１６ビット出力を生成する第２のＸＯＲと、
　を備え、
　第１の入力ｍｕｘと第２の入力ｍｕｘに入力する出力は、レジスタ制御信号に応じて、前記第１のレジスタと前記第２のレジスタにそれぞれ格納される、
　装置。」
　
＜引用発明２との相違点１＞
　Ｎは「９」であり、第１のＸＯＲの第２のオペランドが「ゼロ拡張された」第２の入力ｍｕｘ出力であり、第２のＸＯＲの第１のオペランドが「切り捨てられた」第１のＸＯＲ出力であり、
第１の非線形変換回路は「Ｓ９出力」を有する「Ｓ９回路」であり、第２の非線形変換回路は「Ｓ７出力」を有する「Ｓ７回路」であり、
「第１のオペランド、第２のオペランド、および第３のＸＯＲ出力を有する第３のＸＯＲであり、前記第３のＸＯＲ出力が前記第１のレジスタ入力に供給され、前記第１のオペランドが第１のＫＩサブ鍵を受け入れ、前記第２のオペランドが前記第１のＸＯＲ出力を受け入れる第３のＸＯＲと、
　第１のオペランド、第２のオペランド、および第４のＸＯＲ出力を有する第４のＸＯＲであり、前記第４のＸＯＲ出力が前記第２のレジスタ入力に供給され、前記第１のオペランドが第２のＫＩサブ鍵を受け入れ、前記第２のオペランドが前記第２のＸＯＲ出力を受け入れる第４のＸＯＲと、」
を備え、
「前記第３のＸＯＲ出力と前記第４のＸＯＲ出力」が前記第１のレジスタと前記第２のレジスタにそれぞれ格納される点。
（これに対して、引用発明２においてはＮは７であり、このため「排他的論理和回路１４１」では「データ選択部１５６ｂ」の出力が切り捨てられ、「排他的論理和回路１４２」では「データ選択部１５６ａ」の出力がゼロ拡張されると解される（なお、当該「切り捨て」「ゼロ拡張」は引用文献記載事項２−２から読み取ることができる。）。また、「非線形変換回路」は鍵パラメータが供給されるタイプのもので、本願発明における「第３のＸＯＲ」「第４のＸＯＲ」に相当する回路を設けることを直接示唆する記載は引用文献２にはない。）
　
＜引用発明２との相違点２＞
「前記レジスタ制御信号と前記入力選択信号とは同一である」点。
（これに対し、引用文献２には「レジスタ制御信号」や「入力選択信号」の関係も記載されてはいない。）
　
（２）該相違点について検討するに、
（引用発明２との相違点１について）入力の９ビットの非線形変換を初段で行うタイプのもので「非線形変換回路」をＲＯＭ等で実現し、別の排他的論路和回路に鍵を供給するタイプの変換は、「ＭＩＳＴＹ」あるいは「ＫＡＳＵＭＩ」におけるＦＩ回路等として、当業者にとっては周知のものであり（必要があれば引用文献記載事項１−２〜１−４、２−５、２−６、３−１、参考文献記載事項２−１、２−２等参照。）、引用発明２の「非線形変換回路」や「排他的論理和回路」をこのような構成のものとすることは当業者が必要に応じて適宜なし得る設計変更にすぎない。
（引用発明２との相違点２について）更に、上記６．（２）で述べたように、「前記レジスタ制御信号と前記入力選択信号と」を同一とすることは、再帰回路の繰り返し回数を２回とした際には、当業者であれば必然的に想到する設計事項にすぎない。
　したがって、本願発明は引用文献２に記載される発明からも、当業者が容易に発明し得たものであると言える。
　
　
８．むすび
　上記のとおり、本願請求項１に係る発明は、その出願前に日本国内又は外国において頒布された刊行物に記載された発明又は電気通信回線を通じて公衆に利用可能となった発明に基いて、当業者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができないものであり、本願を拒絶すべきものとした原審の拒絶査定は妥当なものである。
　
　よって、上記結論のとおり審決する。