【事件の表示】
　特願２００７−５１１６８３「長期患者レベルのデータベースのためのデータ記録マッチングアルゴリズム」拒絶査定不服審判事件〔平成１７年１１月１７日国際公開，ＷＯ２００５／１０９２９１，平成１９年１２月１３日国内公表，特表２００７−５３６６４９〕について，次のとおり審決する。
【結　論】
　本件審判の請求は，成り立たない。
【理　由】
第１　手続の経緯
　本願は，２００５年（平成１７年）５月５日（パリ条約による優先権主張　外国庁受理　２００４年５月５日米国，他４件）を国際出願日とする出願であって，平成１８年１２月２８日に特許法１８４条の４第１項の規定による翻訳文が提出され，平成２２年１０月２９日付けの拒絶理由の通知に対し，平成２３年５月２日付けで意見書が提出されるとともに手続補正がなされたが，平成２３年９月１日付けで拒絶査定がなされ，これに対して平成２４年１月６日付けで審判請求がなされるとともに手続補正がなされたものである。
　なお，平成２４年５月１５日付けで審尋がなされたが，請求人から回答書は提出されなかった。
　
第２　平成２４年１月６日付けの手続補正についての補正却下の決定
［補正却下の決定の結論］
　平成２４年１月６日付けの手続補正（以下，「本件補正」という。）を却下する。
　
［理由］
１　補正の内容
（１）本件補正により，特許請求の範囲の請求項１は，次のとおり補正された。（下線部は，補正箇所である。）
「【請求項１】
　長期リンクのタグを，非識別型の患者データ記録に割り当てる方法であって，
　(a)指定した組のデータ属性のうち幾つかのデータ属性に対応するデータ・フィールドを有する，非識別型の患者データ記録を取得するステップと，
　(b)前記データ・フィールドの複数のサブセットを，リンクするタグと関連付けられる参照データ記録でマッチングするステップと，
　(c)前記ステップ(b)での肯定的なマッチングに応じて，前記リンクするタグを，前記非識別型の患者データ記録に割り当てるステップと，
　を含み，
　前記データ・フィールドの前記複数のサブセットが，階層構造のレベルで構成され，前記ステップ(b)が，前記リンクするタグと関連付けられる前記参照データ記録でレベル毎にマッチングするステップを含
み，前記指定した組のデータ属性が，暗号化したデータ属性を含む
　
（２）本件補正前の特許請求の範囲の請求項１の記載（平成２３年５月２日付けの手続補正）は次のとおりである。
「【請求項１】
　長期リンクのタグを，非識別型の患者データ記録に割り当てる方法であって，
　(a)指定した組のデータ属性のうち幾つかのデータ属性に対応するデータ・フィールドを有する，非識別型の患者データ記録を取得するステップと，
　(b)前記データ・フィールドの複数のサブセットを，リンクするタグと関連付けられる参照データ記録でマッチングするステップと，
　(c)前記ステップ(b)での肯定的なマッチングに応じて，前記リンクするタグを，前記非識別型の患者データ記録に割り当てるステップと，
　を含み，
　前記データ・フィールドの前記複数のサブセットが，階層構造のレベルで構成され，前記ステップ(b)が，前記リンクするタグと関連付けられる前記参照データ記録でレベル毎にマッチングするステップを含む方法。」
　
（３）本件補正は，補正前の請求項１に記載した発明を特定するために必要な事項である「指定した組のデータ属性」について，「暗号化したデータ属性を含む」との限定を付加するものであって，平成１８年法律第５５号改正附則３条１項によりなお従前の例によるとされる同法による改正前の特許法（以下，「平成１８年改正前特許法」という。）１７条の２第４項２号の特許請求の範囲の減縮を目的とするものに該当する。
　
２　補正の適否
　そこで，補正後の請求項１に記載された発明（以下，「本願補正発明」という。）が特許出願の際独立して特許を受けることができるものであるか否か（平成１８年改正前特許法１７条の２第５項において準用する同法１２６条５項の規定に適合するか）について以下に検討する。
　
（１）本願補正発明
　本願補正発明は，上記１（１）に記載したとおりのものである。
　
（２）刊行物の記載事項
ア　原査定の拒絶の理由で引用された，本願の出願の日前に頒布された刊行物である米国特許第６３９７２２４号明細書（以下，「引用例」という。）には，次の事項が記載されている。
　
・発明の分野
ａ　「The present invention relates generally to data management, and more particularly, to a system and method for anonymously linking a plurality of data records.」（１欄７行〜９行）
（翻訳：）本発明は，データ管理，より具体的には，複数のデータレコードを匿名でリンクするためのシステム及び方法に関する。
　
・関連技術
ｂ　「However, for legitimate purposes, it is important to be able to associate multiple records (from one or more data sources) related to a single individual. For example, the linking of related data records is crucial in performing certain research studies, such as horizontal and longitudinal studies. A horizontal study is conducted at one point in time, across multiple lines of service, such as services provided by physicians, pharmacists, hospitals, laboratories, and the like. A longitudinal study, on the other hand, is conducted on services provided over time to the same patient or population. 
　Consequently, the removal of personally identifying information from data records (hereinafter referred to as de-identification or anonymization) to comply with privacy regulations, without degrading the ability to conduct both horizontal and longitudinal studies, is of critical importance to researchers.」（１欄２０行〜３６行）
（翻訳：）しかし，正当な目的のためには，単一の個人に関連する（１又は複数のデータソースからの）複数のレコードを関連付けできることが重要である。例えば，関連するデータレコードのリンクは，特定の横断的及び長期的研究のような調査研究を行う上で重要である。横断的研究は，ある時点において，医師，薬剤師，病院，研究所などが提供するサービスのように，サービスの系列にまたがって行われる。一方，長期的研究は，同じ患者又は集団に対し，時間をかけて提供するサービスにおいて行われる。
　したがって，横断的及び長期的な研究の両方の実行可能性を低下させないような，プライバシーに関する規制に準拠するためのデータレコードからの個人識別情報の除去（以下“非識別化”又は“匿名化”という）は，研究者にとって非常に重要である。」
　
ｃ　「However, the linking of anonymized data records presents at least two problems not fully solved by conventional approaches. First, all of the records pertaining to a single individual need to be identified. As explained below, this can be difficult because records from different data sources may use different types of personal identifiers, many of which may not uniquely identify an individual, or may even change over time for the same individual. 
　Second, the records of an individual should be anonymously linked in such a way that it would be difficult or impossible to discover the identity of the individual to whom the records pertain.……」（１欄３７行〜４９行）
（翻訳：しかし，匿名データレコードのリンクは，従来のアプローチでは完全に解決できない少なくとも２つの問題を呈する。第一に，一個人に関連するすべてのレコードが識別される必要がある。以下に説明するように，これは，異なるデータソースが異なるタイプの個人識別子を用いている，その多くは個人をユニークに識別できない，又は，同じ個人についても時間がたつにつれて変化することにより，困難な場合がある。
　第二に，個人のレコードは，それがレコードに関連する個人の同一性を発見することが困難又は不可能であるような方法で匿名でリンクされていなければならない。・・・）
　
・発明の概要
ｄ　「The present invention solves many or all of the foregoing problems by providing an anonymized linking system and method. In one aspect of the invention, a first identity reference encoding module encodes a first encoded identity reference from a first subset of the identifying elements of a data record. The first encoded identity reference may comprise, for example, a one-way hash of the first subset of identifying elements.
　In another aspect, a second identity reference encoding module encodes a second encoded identity reference from a second subset of the identifying elements of the data record. The first and second subsets may be disjoint, or may include one or more identifying elements in common.
　In yet another aspect, an anonymization code assignment module assigns to each of the first and second encoded identity references an identical anonymization code for anonymously representing the individual associated with the data record. In one embodiment, the anonymization code may include a unique serial number.
　In still another aspect, an anonymization code lookup module determines whether each of the first and second encoded identity references has an assigned anonymization code stored within an anonymization code database. In one embodiment, the anonymization code database comprises an anonymous index for linking at least one encoded identity reference to an assigned anonymization code.
　If neither the first nor second encoded identity references are found to have an assigned anonymization code, the anonymization code assignment module may provide a new anonymization code and assign the new anonymization code to both the first and second encoded identity references. If, however, one encoded identity reference is found to have an assigned anonymization code while the other encoded identity reference does not, the anonymization code assignment module may assign the same anonymization code found to be associated with the one encoded identity references to the other encoded identity reference.
　In another aspect, an anonymization code insertion module may insert the assigned anonymization code into the data record, while an identifying element removal module optionally removes the plurality of identifying elements from the data record, thus anonymizing or de-identifying the data record.」（１欄５１行〜３欄２７行）
（翻訳：本発明は，匿名化連携システム及び方法を提供することにより，上記の問題の多く又はすべてを解決する。本発明の一態様では，第１の同一性参照符号化モジュール（an identity reference encoding module）は，データレコードの識別要素の第１のサブセットから，第１の符号化同一性参照（an encoded identity reference）を符号化する。第１の符号化同一性参照は，例えば，要素を識別する第１のサブセットの一方向ハッシュを含んでもよい。
　別の態様において，第２の同一性参照符号化モジュールは，データレコードの識別要素の第２のサブセットから第２の符号化同一性参照を符号化する。第１，第２のサブセットは，ばらばらであっても，１又は複数の共通の識別要素を含んでいてもよい。
　さらに別の態様では，匿名化コード割り当てモジュール（an anonymization code assignment module）は，第１，第２の符号化同一性参照に，データレコードに関連付けられている個人を表わす同一の匿名化コード（an anonymization code）を割り当てる。一実施形態では，匿名化コードはユニークなシリアル番号を含む。
　さらに別の態様では，匿名化コードのルックアップモジュールは，第１，第２の符号化同一性参照のそれぞれが，匿名化コードデータベース（the anonymization code database）内に格納されている，割当て済みの匿名化コード（an assigned anonymization code）を持っているか判定する。一実施形態では，匿名化コードデータベースは，符号化同一性参照を少なくとも１つの割当て済みの匿名化コードにリンクするための“匿名インデックス”を構成する。
　第１，第２の符号化同一性参照の両方が，割当て済みの匿名化コードを持っていなかった場合は，匿名化コード割り当てモジュールは，第１，第２の符号化同一性参照の両方に新しい匿名化コードを割り当てる。しかし，一方の符号化同一性参照が割当て済みの匿名化コードを持っており，他方の符号化同一性参照は持っていない場合，匿名化コード割り当てモジュールは，一方の符号化同一性参照が他方の符号化同一性参照と関連していれば，同じ匿名化コードを割り当てることができる。
　別の局面では，匿名化コード挿入モジュールは，識別要素削除モジュールが追加的にデータレコードから複数の識別要素を削除し，データレコードを匿名化又は非識別化している間に，データレコードに割当て済みの匿名化コードを挿入してもよい。）
　
・実施形態
ｅ　「In one embodiment, each data record 52 includes a plurality of identifying elements 56 for identifying an individual to whom the record 52 pertains. The identifying elements 56 may include, for example, a name, a birth date, an address, a ZIP code, a telephone number, a healthcare identifier, and the like. ……」（５欄２６行〜３１行）
（翻訳：一実施形態では，各データレコード52は，レコード52に関連する個人を識別するための，複数の識別要素56を含む。識別要素56は，例えば，氏名，生年月日，住所，郵便番号（ZIP code），電話番号，医療識別子などを含む。・・・）
　
ｆ　「In one embodiment, the system 50 includes a plurality of identity reference encoding modules 58. For example, as illustrated in the FIG. 2, the system 50 may include first and second identity reference encoding modules 58A-B. However, three or more encoding modules 58 may be provided in alternative embodiments.
　Preferably, the first identity reference encoding module 58A encodes a first encoded identity reference 60A (designated EIR in FIG. 2) from a first subset 62A of the identifying elements 56 of a data record 52. The first encoded identity reference 60A may comprise a one-way hash of the first subset 62A, which may be generated, for example, by applying a cryptographic hash function, such as SHA1 (Secure Hash Algorithm 1) or the like.
　Defined by the National Institute of Standards and Technology (NIST), SHA1 is a cryptographic standard having a cryptographic strength of 160 bits, which makes SHA1 computationally infeasible to reverse. Accordingly, recovering the first subset 62A from the first encoded identifying reference 60A is practically impossible.……
　In alternative embodiments, different encoding techniques may be used, such as encrypting the first subset 60A using symmetric or public key cryptographic algorithms. Nevertheless, the selected encoding technique preferably generates a one-to-one correspondence between the subsets 62 and the encoded identity references 60. In other words, no two subsets 62 share the same encoded identity reference 60, or at least the probability of an unintended collision is acceptably low.」（５欄４２行〜６欄６行）
（翻訳：一実施形態では，システム50は，複数の同一性参照符号化モジュール58を備える。例えば，図に示すように，システム50は，第１，第２の同一性参照符号化モジュール58A-Bを含む。しかし，別の実施形態では，３以上の符号化モジュール58が用意されている。
　好ましくは，第１の同一性参照符号化モジュール58Aは，データレコード52の識別要素56の第１のサブセット62Aから第１の符号化同一性参照60A（図２EIR）を符号化する。第１の符号化同一性参照60Aは，例えば，SHA 1（セキュアハッシュアルゴリズム１）などの暗号化ハッシュ関数を適用することによって生成される，第１のサブセット62Aの一方向ハッシュを含んでもよい。
　国立標準技術研究所（NIST）によって定義された，SHA-1は，160ビットの暗号強度を有する暗号化規格であり，SHA-1を解読することは計算上不可能とされている。したがって，第１の符号化同一性参照60Aから第１サブセット62Aを復元することは事実上不可能である。・・・
　別の実施形態では，対称鍵又は公開鍵暗号アルゴリズムを用いた第１サブセット62Aの暗号化のような，異なる符号化技術が使用される。その場合においても，選択された符号化技術は，サブセット62と符号化同一性参照60との間で１対１の対応関係を生じることが望ましい。換言すれば，２つのサブセット62が同じ符号化同一性参照60を共有することはなく，少なくとも意図しない衝突の可能性は限りなく低い。）
　
ｇ　「Likewise, the second identity reference encoding module 58B preferably encodes a second encoded identity reference 60B from a second subset 62B of the identifying elements 56 of the same data record 52. ……」（６欄７行〜１０行）
（翻訳：同様に，第２の同一性参照符号化モジュール58Bは，好ましくは，同じデータレコード52の識別要素56の第２のサブセット62Bから第２の符号化同一性参照60Bを符号化する。・・・）
　
ｈ　「In one embodiment, the first and second subsets 62A-B may be disjoint, i.e. have no identifying elements 56 in common, or, as depicted, may share one or more common identifying elements 56. Preferably, however, the two subsets 62A-B are not identical, since the resulting encoded identity references 60 would likewise be identical.
　For example, the first subset 62A may comprise a name, a birth date, and a ZIP code, while the second subset 62B may comprise a healthcare identifier and a birth date. In an alternative embodiment, a subset 62A-B may include a telephone number and a birth date.……
　……Moreover, the same subsets 62A-B are preferably used in calculating the first and second encoded identity references 60A-B for each record 52 processed by the system 50.」（６欄１３行〜３１行）
（翻訳：一実施形態では，第１，第２のサブセット62A-Bはばらばら，すなわち，共通の識別要素56を持っていないか，又は，図示のように，１以上の共通の識別要素56を共有していてもよい。しかし，好ましくは，２つのサブセット62A-Bは，同一ではないので，符号化同一性参照60も同一にはならない。
　例えば，第１のサブセット62Aは，氏名，生年月日，郵便番号を含み，第２のサブセット62Bは医療IDと生年月日を含む。別の実施形態では，サブセット62A-Bは，電話番号と生年月日を含む。・・・
　・・・さらに，同サブセット62A-Bは，好ましくは，システム50によって処理された各レコード52のための第１，第２の符号化同一性参照60A-Bを計算する際に使用される。）
　
ｉ　「In alternative embodiments, the system 50 may include one or more additional identity reference encoding modules 58 as needed. Each additional encoding module 58 may be used to encode a different subset 62 of identifying elements 56 to produce an additional encoded identity reference 60. The use of additional encoded identity references 60 may increase, in certain embodiments, the accuracy of identifying all of the data records 52 pertaining to the same individual.」（６欄３２行〜４０行）
（翻訳：別の実施形態では，システム50は，必要に応じて１以上の追加の同一性参照符号化モジュール58を含んでいてもよい。追加の各符号化モジュール58は，異なる識別要素56のサブセット62を符号化し，付加的な符号化同一性参照60を生成するために使用することができる。追加の符号化同一性参照60の使用は，ある実施形態では，同一個人に関連するデータレコード52の全てを特定する精度を高める可能性がある。）
　
ｊ　「In one embodiment, the system 50 also includes an anonymization code lookup module 64. Preferably, the anonymization code lookup module 64 determines whether each of the first and second encoded identity references 60A-B has an assigned anonymization code 66 (designated AC in FIG. 2). In one embodiment, each individual associated with a data record 52 is uniquely represented within the system 50 by an anonymization code 66.……」（６欄４１行〜４８行）
（翻訳：一実施形態では，システム50はまた，匿名化コードルックアップモジュール64を含む。好ましくは，匿名化コードルックアップモジュール64は，第１，第２の符号化同一性参照60A-Bのいずれかが割当て済みの匿名化コード66（図２の“AC”）を持っているか判定する。一実施形態では，データレコード52に関連付けられている各個人が，システム50内で匿名化コード66によってユニークに表される。・・・）
　
ｋ　「In one embodiment, an anonymization code database 68 stores the anonymization code 66 assignments for the encoded identity references 60. ……
　In one embodiment, the anonymization code database 68 may be conceptualized as an anonymous index, which may link each encoded identity reference 60 to an assigned anonymization code 66. Because the encoded identity references 60 may not be reversed to reveal an individual's identity, the anonymization code database 68 is conceptually very different from conventional approaches, such as a Master Patient Index (MPI), which links personally identifiable information to assigned patient codes.
　The anonymization code lookup module 64 is depicted as including a database query module 70. In one embodiment, the database query module 70 queries the anonymization code database 68 to retrieve the anonymization code 66, if any, for each of the first and second encoded identity references 60A-B. ……」（６欄５３行〜７欄１３行）
（翻訳：一実施形態では，匿名化コードデータベース68は，符号化同一性参照60に割当てた匿名化コード66を格納する。・・・
　一実施形態では，匿名化コードデータベース68は，概念的に，各符号化同一性参照60を割当て済みの匿名化コード66にリンクする“匿名インデックス”を構成する。符号化同一性参照60は，個人の同一性を逆方向に明らかにすることはないので，匿名化コードデータベース68は，割り当てられた患者コードに個人を特定できる情報をリンクするMaster Patient Index (MPI)のような従来のアプローチとは，概念的に大きく異なる。
　匿名化コードルックアップモジュール64は，データベースクエリーモジュール70を含むものとして描かれている。一実施形態では，データベースクエリーモジュール70は，匿名化コードデータベース68に，第１，第２の符号化同一性参照60A-Bそれぞれについて，匿名化コード66があれば抽出するように問い合わせることができる。・・・）
　
ｌ　「In the depicted embodiment, the system 50 also includes an anonymization code assignment module 72. In response to neither of the encoded identity references 60A-B having an assigned anonymization code 66 in the anonymization code database 68, the anonymization code assignment module 72 preferably assigns a new, identical anonymization code 66 to the first and second encoded identity references 60A-B. ……」（７欄１７行〜２４行）
（翻訳：図示の実施形態では，システム50は，匿名化コード割り当てモジュール（an anonymization code assignment module）72も含む。符号化同一性参照60A-Bのいずれも匿名化コードデータベース68内の割当て済みの匿名化コード66を持っていなければ，匿名化コード割り当てモジュール72は，好ましくは，第１，第２の符号化同一性参照60A-Bに，新たな同一の匿名化コード66を割り当てる。・・・）
　
ｍ　「If, however, one encoded identity reference 60 has an assigned anonymization code 66, while the other encoded identity reference 60 does not, the anonymization code assignment module 74 preferably assigns the same anonymization code 66 found to be associated with the one encoded identity references 60 to the other encoded identity reference 60. ……」（７欄２８行〜３４行，「the anonymization code assignment module 74」は，「the anonymization code assignment module 72」の誤記である。）
（翻訳：しかし，一方の符号化同一性参照60が，割当て済みの匿名化コード66を持ち，他方の符号化同一性参照60が持っていない場合，匿名化コード割り当てモジュール72は，好ましくは，一方の符号化同一性参照60に関連付けられているのと同じ匿名化コード66を他方の符号化同一性参照60に割り当てる。・・・）　
　
ｎ　「The anonymization code assignment module 72 is depicted as including an anonymization code generation module 74 and a database update module 76. The anonymization code generation module 74 is used, in one embodiment, to generate the new, unique anonymization code 66 to represent an individual, as previously described. Preferably, the database update module 76 is used to update the anonymization code database 68 with the assigned anonymization code 66 corresponding to the first and second encoded identity references 60A-B, as described above.
　The system 50 may also include an identifying element removal module 78 and an anonymization code insertion module 80. In one embodiment, the identifying element removal module 78 removes the identifying elements 56 of the data record 52, resulting in an anonymized data record 82. 」（７欄３９行〜５４行）
（翻訳：匿名化コード割り当てモジュール72は，匿名化コード生成モジュール（an anonymization code generation module）74と，データベース更新モジュール（a database update module）76を含むように図示されている。匿名化コード生成モジュール74は，前述のように，一実施形態では，ある個人を表わすために，新たな，ユニークな匿名化コード66を生成するために使用される。好ましくは，データベース更新モジュール76は，上述のように，第１，第２の符号化同一性参照60A-Bに対応する割当て済みの匿名化コード66により匿名化コードデータベース68を更新するために使用される。
　システム50は，識別要素削除モジュール78及び匿名化コード挿入モジュール80をも含むことができる。一実施形態では，識別要素除去モジュール78は，データレコード52の識別要素56を削除し，匿名化データレコード82とする。）　
　
ｏ　「In one embodiment, the anonymization code insertion module 80 inserts the assigned anonymization code 66 into anonymized data record 82. Since, according to one embodiment, each anonymized record 82 pertaining to the same individual includes the same assigned anonymization code 66, the anonymized records 84 are effectively linked. …… In one embodiment, the anonymized data record 82 may be stored within an output database 84 or similar location. 」（７欄６３行〜８欄６行，「anonymized records 84」は，「anonymized records 82」の誤記である。）
（翻訳：一実施形態では，匿名化コード挿入部80は，割当て済みの匿名化コード66を匿名化データレコード82に挿入する。一実施形態によれば，各匿名化レコード82は，同じ匿名化コード66を含む同一個人が関連付けられているので，匿名化レコード82は効果的にリンクされている。・・・一実施形態では，匿名データレコード82は，出力データベース84又は同様の場所に格納することができる。）　
　
・方法１００（図３）
ｐ　「Referring now to FIG. 3, a schematic flowchart illustrates one embodiment of a method 100 for anonymously linking a plurality of data records 52. The method 100 preferably begins by encoding 102 a first encoded identity reference 60A from a first subset 62A of the identifying elements 56 of a record 52. The record 52 may be obtained, for example, from an input database 54 or the like. As noted above, the first encoded identity reference 60A may comprise a one-way hash of the first subset 62A, which may be generated, for example, by applying a cryptographic hash function, such as SHA1 or the like.
　Thereafter, the method 100 preferably continues by encoding 104 a second encoded identity reference 60B from a second subset 62B of the identifying elements 56 of the same data record 52. ……」（８欄７行〜２１行）
（翻訳：今，図３を参照すれば，概略的なフローチャートは，複数のデータレコード52を匿名でリンクするための方法100の一実施形態を示す。方法100は，好ましくは，レコード52の識別要素56の第１のサブセット62Aからの第１の符号化同一性参照60の符号化102で始まる。レコード52は，例えば，入力データベース54などから得ることができる。上述のとおり，第１符号化同一性参照60Aは，例えば，SHA-1のような暗号化ハッシュ関数を適用することによって生成される，第１サブセット62Aの一方向ハッシュを含んでもよい。
　その後，方法100は，好ましくは，続いて同じデータレコード52の識別要素56の第２のサブセット62Bから第２の符号化同一性参照60Bを符号化する。・・・）　
　
ｑ　「While only two encoded identity references 60A-B are generated in one embodiment, three or more encoded identity references 60 may be generated within the scope of the invention. As previously noted, the use of additional encoded identity references 60 may increase, in certain embodiments, the accuracy of identifying all of the data records 52 pertaining to the same individual.」
（翻訳：一実施形態では，２つのみの符号化同一性参照60A-Bが生成されるが，３以上の符号化同一性参照60が，本発明の範囲内で生成されることがある。前述のとおり，追加の符号化同一性参照60の使用は，特定の実施形態では，同一個人に関連する全てのデータレコード52を特定する精度を高める可能性がある。）
　
ｒ　「In one embodiment, the method 100 continues by determining 106 whether each of the first and second encoded identity references 60A-B has an assigned anonymization code 66. As noted above, the anonymization code 66 is preferably used to uniquely identity an individual associated with a record 52.」（８欄３８行〜４３行）
（翻訳：一実施形態では，方法100は，続いて，第１，第２の符号化同一性参照60A-Bが割当て済みの匿名化コード66を持っているか判定106する。上述のように，匿名化コード66は，好ましくは，レコード52に関連付けられている個人をユニークに識別するために使用される。）　
　
ｓ　「A check 108 is then made as to whether neither of the encoded identity references 60A-B has an assigned anonymization code 66. If neither reference 60A-B has an assigned anonymization code 66, the method 100 continues by assigning 110 new, identical anonymization codes 66 to both the first and second encoded identity references 60A-B.
　If, however, one or both of the encoded identity references 60A-B has an assigned anonymization code 66, the method 100 continues by determining 112 whether one of the encoded identity references 60 has an assigned anonymization code 66 while the other encoded identity reference 60 does not. If so, the method 100 continues by assigning 114 the same anonymization code 66 found to be associated with one of the encoded identity references 60 to the encoded identity reference 60 lacking an assigned anonymization code 66.」（８欄４４行〜６０行）
（翻訳：チェック108は，その後，符号化同一性参照60A-Bのどちらも割当て済みの匿名化コード66を持っていないか判定する。もしいずれの参照60A-Bも割当て済みの匿名化コード66を持っていない場合，方法100は，新たに，同一の匿名化コード66の第１，第２の符号化同一性参照60A-Bの両方への割り当て110を行う。
　しかし，符号化同一性参照60A-Bのいずれか又は両方が割当て済みの匿名化コード66を持つ場合，方法100は，続いて，一方の符号化同一性参照60が割当て済みの匿名化コード66を持ち，他方の符号化同一性参照60は持たないかを判定112する。もしそうであれば，方法100は，一方の符号化同一性参照60に関連する匿名化コードと同一の匿名化コードを，割当て済みの匿名化コード66を持たない符号化同一性参照60に割り当て114る。）　
　
ｔ　「After any of steps 110, 114, or 116, the method 100 continues by inserting 116 the assigned anonymization code 66 into the data record 52. In one embodiment, the method 100 may additionally remove 118 the identifying elements 56 of the data record 52 to create an anonymized data record 82.
　Preferably, a check 120 is then made as to whether more records 52 remain to be processed, e.g., whether more records 52 remain in the input database 54. If so, the method 100 returns to step 102; otherwise, the method 100 is complete.」（９欄５行〜１５行）
（翻訳：ステップ110，114，又は116のいずれかの後，方法100は，続いて，データレコード52に割当て済みの匿名化コード66を挿入116する。一実施形態では，方法100は，追加的に，匿名化データレコード82を作成するために，データレコード52の識別要素56を削除118することがある。
　好ましくは，チェック120は，その後，さらに処理されるべきレコード52が残っているか，例えば，さらなるレコード52が入力データベース54に残っているかどうかが判定される。もしそうであれば，方法100は，ステップ102に戻り，そうでなければ，方法100は完了する。）　
　
イ　上記記載から，引用例には，以下の技術的事項が記載されている。
（ア）引用例に記載された技術は，複数のデータレコードを匿名でリンクするためのシステム及び方法に関する（記載事項ａ）。
　医師，薬剤師，病院，研究所などが，特定の横断的及び長期的研究を行うにあたり，個人に関連する複数のレコードを関連付けできることが重要であり，一方，プライバシーに関する規制に準拠するためには，データレコードからの個人識別情報の除去，すなわち，“匿名化”が重要である（記載事項ｂ）。しかし，匿名データレコードのリンクは，データソースが異なったり，個人を識別するための情報が時間につれて変化することにより，個人をユニークに識別することが困難な場合があり，また，個人のレコードは，個人が識別できないように匿名でリンクされていなければならないという課題があった（記載事項ｃ）。
　
（イ）そこで，引用例に記載された技術は，上記課題を解決するために，データレコードに含まれる識別要素の複数のサブセットを符号化同一性参照（an encoded identity reference）に符号化し，各符号化同一性参照に，データレコードに関連付けられている個人をユニークに識別するための匿名化コード（an anonymization code）を割り当て，匿名化データレコードに挿入することにより，同じ匿名化コードを持つ同一個人の匿名化データレコードが関連付けられ，リンクされるようにしたものである（記載事項ｄ等）。
　
（ウ）具体的な構成は，次のとおり。
ａ　システム50は，第１，第２の同一性参照符号化モジュール58A-Bを備え，第１の同一性参照符号化モジュール58Aは，データレコード52の識別要素の第１のサブセット62Aを第１の符号化同一性参照60Aに符号化し，一方，第２の同一性参照符号化モジュール58Bは，同じく第２のサブセット62Bを第２の符号化同一性参照60Bに符号化する（記載事項ｆ，ｇ，ｐ）。
　ここで，データレコード52に含まれる個人を識別するための識別要素56は，例えば，氏名，生年月日，住所，郵便番号（ZIP code），電話番号，及び医療識別子を含み（記載事項ｅ），識別要素56の第１のサブセット62Aは，氏名，生年月日，及び郵便番号を含み，一方，識別要素56の第２のサブセット62Bは医療ＩＤ，及び生年月日を含む（記載事項ｈ）。
　また，サブセット62の符号化同一性参照60への符号化には，ハッシュ方式や対称鍵又は公開鍵暗号アルゴリズムを用いた暗号化方式が使用され，符号化同一性参照60からサブセット62を復元することは事実上不可能とされている（記載事項ｆ）。
ｂ　匿名化コードデータベース68は，符号化同一性参照60を割当て済みの匿名化コード66にリンクするための“匿名インデックス”を構成し，符号化同一性参照60に割当てた匿名化コード66を格納しており（記載事項ｋ），匿名化コードルックアップモジュール64により，第１，第２の符号化同一性参照60A-Bが割当て済みの匿名化コード66を持っているかを判定する（記載事項ｊ，ｒ）。そして，いずれの符号化同一性参照60A-Bも割当て済みの匿名化コード66を持っていなければ，第１，第２の符号化同一性参照60A-Bに新たな同一の匿名化コード66を割り当て，一方の符号化同一性参照60が割当て済みの匿名化コード66を持っており，他方の符号化同一性参照60が持っていない場合は，一方の符号化同一性参照60の匿名化コード66と同じ匿名化コード66を他方の符号化同一性参照60に割り当てる（記載事項ｌ，ｍ，ｓ）。
ｃ　一方，データレコード52は，識別要素除去モジュール78により識別要素が削除され，匿名化データレコード82とされる（記載事項ｄ，ｎ，ｔ）。
ｄ　そして，割当て済みの匿名化コード66を，データレコード52から識別要素56を削除した匿名化データレコード82に挿入する。この結果，出力データベース84に格納された匿名データレコード82は，同じ匿名化コード66を含む同一個人が関連付けられリンクされることとなる（記載事項ｏ，ｔ）。
　
ウ　以上の技術的事項を，複数のデータレコードを匿名でリンクするための方法の観点から整理すれば，引用例には次の発明（以下，「引用発明」という。）が記載されていると認められる。
　「医師，薬剤師，病院，研究所などが，特定の横断的及び長期的研究を行うために，複数のデータレコードを匿名でリンクするための方法であって，
　入力データベースから，個人を識別するための識別要素として，氏名，生年月日，住所，郵便番号（ZIP code），電話番号，医療識別子を含むデータレコードを取得し，
　前記データレコードの識別要素の，氏名，生年月日，郵便番号を含む第１のサブセットを第１の符号化同一性参照に符号化し，次に同じデータレコードの識別要素の，医療ＩＤ，生年月日を含む第２のサブセットを第２の符号化同一性参照に符号化し，
　ここで，サブセットの符号化同一性参照への符号化にあたっては，ハッシュ方式や対称鍵又は公開鍵暗号アルゴリズムを用いた暗号化方式が使用され，符号化同一性参照からサブセットを復元することは事実上不可能とされており，
　符号化同一性参照を割当て済みの匿名化コードにリンクするための匿名インデックスを構成する匿名化コードデータベースと，出力データベースを備え，
　匿名化コードルックアップモジュールにより，前記第１，第２の符号化同一性参照が匿名化コードデータベース内に格納されている割当て済みの匿名化コードを持っているかどうかを判定し，いずれの符号化同一性参照も割当て済みの匿名化コードを持っていなければ，第１，第２の符号化同一性参照に新たな同一の匿名化コードを割り当て，一方の符号化同一性参照が割当て済みの匿名化コードを持っており，他方の符号化同一性参照が持っていない場合は，一方の符号化同一性参照の匿名化コードと同じ匿名化コードを他方の符号化同一性参照に割り当てることにより，前記第１，第２の符号化同一性参照に同一の匿名化コードを割り当て，
　割り当てた匿名化コードを，前記データレコードの識別要素を削除した匿名化データレコードに挿入し，出力データベースに格納することにより，同じ匿名化コードを含む同一個人が関連付けられリンクされるようにした，方法。」
　
（３）引用発明との対比
ア　本願補正発明は，「長期（寿命期間）」の患者記録データベース，すなわち「長期のデータベース」を長期の研究に使用するに当たり，患者のプライバシ侵害リスクを最小化するために，長期のデータベースを構成する患者記録から患者識別情報を分離又は除去し，患者記録を“匿名型”，すなわち“非識別型”で統合することを課題とした発明であるところ（段落【０００２】〜【０００６】参照），引用発明は，「医師，薬剤師，病院，研究所などが，特定の横断的及び長期的研究を行うために，複数のデータレコードを匿名でリンクするための方法」であるから，本願補正発明と引用発明とは，その技術分野及び解決しようとする課題において共通する。
　
イ　本願明細書には，本願補正発明の「タグ」，「参照データ記録」及び「データ属性」に関連して，例えば，次の記載がある。
  「マッチング・アルゴリズムは，内部的な長期の識別子，すなわちタグを，非識別型の患者データ記録に割り当てるように構成される。・・・参照データ記録のデータ属性値と，暗号化したデータ属性値とをマッチングすることによる，入力されてくるデータ記録に，内部的な長期の識別子を割り当てる。」（段落【０００７】），
　「マッチング・アルゴリズムは，入力されてくるデータ記録のマッチング属性の種々のサブセットを，参照データ記録の対応するサブセットと連続的に比較するように構成されている。」（段落【０００８】）
　「何らかの特定のレベルで，データ記録属性の成功したマッチングで，入力されてくるデータ記録は，参照データ記録に関連付けられる内部的な識別子を割り当てることができる。入力されてくるデータ記録が如何なる既存の参照データ記録にもマッチングしない場合では，新たに生成した内部的な識別子を，入力されてくるデータ記録に割り当てることができる。」（段落【０００９】）
　「マッチング・アルゴリズムは，非識別型の患者トランザクションデータ記録に内部的な長期のリンク識別子，すなわちタグを割り当てるように設けられる。個々の患者を識別できる個人情報にアクセスすることなく，長期のデータベースをアセンブリするように，割り当てられた長期のリンク識別子でタグ付けされたデータ記録を，識別子毎に容易にリンクすることができる。好適なマッチング・アルゴリズム（例えば，マルチレベルの決定論的アルゴリズム）は，新たに，又は以前に規定したＩＤが１組の暗号化したデータ属性に割り当てられるべきか否かを決定するように用いることができる。一旦，新たに，又は以前に規定したＩＤが割り当てられると，次に，詳細なトランザクション情報を含む完全なデータ記録をタグ付けするために，ＩＤを，リンクし戻すように用いることできる。」（段落【００１３】）
　「ＬＤＦに対して内部的となる長期の識別子（ＩＤ）又はダミーラベルは，データ記録をタグ付けするように用いることができる。」（段落【００１７】）
　上記記載を参酌すれば，本願補正発明の「タグ」は，データ記録（患者データ記録）をリンクさせるための識別子（ＩＤ）であり，「参照データ記録」は，入力されるデータ記録とマッチングされる既存のデータ記録であり，また，「データ属性」は，データ記録に含まれる，患者を識別するための属性であることが理解できる。すなわち，入力されるデータ記録のデータ属性と参照データ記録のデータ属性とのマッチングに基づき，入力されるデータ記録にタグ（識別子）が割り当てられ，データ記録がリンクされることとなる。
　そうすると，引用発明における「匿名化コード」，出力データベースに格納されている既存の「データレコード」，及び「データレコードの識別要素」は，それらの技術的意義から，それぞれ本願補正発明における「タグ」，「参照データ記録」，及び「データ属性」に相当する。
　また，引用発明における「データレコード」は，前記課題及び識別要素として医療識別子を含むことなどからして，本願補正発明における「患者データ記録」にほかならない。
　
ウ　引用発明は，「入力データベースから，個人を識別するための識別要素として，氏名，生年月日，住所，郵便番号（ZIP code），電話番号，医療識別子を含むデータレコードを取得し，前記データレコードの識別要素の，氏名，生年月日，郵便番号を含む第１のサブセットを第１の符号化同一性参照に符号化し，次に同じデータレコードの識別要素の，医療ＩＤ，生年月日を含む第２のサブセットを第２の符号化同一性参照に符号化」するものであり，識別要素「氏名，生年月日，住所，郵便番号（ZIP code），電話番号，医療識別子」は，データレコードが備える属性であって，第１，第２のサブセットに対応する属性のセットであるから，本願補正発明における「指定した組のデータ属性」に相当する。また，データレコードは，上記複数の属性を備えるのであるから，「幾つかのデータ属性に対応するデータ・フィールドを有する」ことは自明である。
　そうすると，本願補正発明と引用発明とは，後記の点（相違点１）で相違するものの，「指定した組のデータ属性のうち幾つかのデータ属性に対応するデータ・フィールドを有する，患者データ記録を取得するステップ」を含む点で共通する。
  　
エ　引用発明は，「符号化同一性参照を割当て済みの匿名化コードにリンクするための匿名インデックスを構成する匿名化コードデータベース」を備え，「匿名化コードルックアップモジュールにより，前記第１，第２の符号化同一性参照が匿名化コードデータベース内に格納されている割当て済みの匿名化コードを持っているかどうかを判定し，いずれの符号化同一性参照も割当て済みの匿名化コードを持っていなければ，第１，第２の符号化同一性参照に新たな同一の匿名化コードを割り当て，一方の符号化同一性参照が割当て済みの匿名化コードを持っており，他方の符号化同一性参照が持っていない場合は，一方の符号化同一性参照の匿名化コードと同じ匿名化コードを他方の符号化同一性参照に割り当てることにより，前記第１，第２の符号化同一性参照に同一の匿名化コードを割り当て」るものであり，さらに，「割り当てた匿名化コードを，前記データレコードの識別要素を削除した匿名化データレコードに挿入し，出力データベースに格納することにより，同じ匿名化コードを含む同一個人が関連付けられリンクされるようにした」ものである。
　ここで，符号化同一性参照は，データレコードに含まれる識別要素のサブセットを符号化したものであるから，匿名化コードデータベース内に格納されている割当て済みの匿名化コードが，出力データベースに格納されている既存の「データレコード」と関連付けられていることは明らかである。また，匿名化コードルックアップモジュールによる処理は，「匿名化コードデータベース68に，第１，第２の符号化同一性参照60A-Bそれぞれについて，匿名化コード66があれば抽出するように問い合わせる」ものであり，一種のマッチング処理ということができる。
　そうすると，引用発明の上記構成は，実質的に，データレコードに含まれる識別要素のサブセットを，割当て済みの匿名化コードと関連付けられた既存のデータレコードとマッチングし，その結果に応じて，匿名化コードをデータレコードに割り当てる処理であり，少なくとも，肯定的なマッチングであれば，当該匿名化コードをデータレコードに割り当てる処理を含むものである。
　したがって，本願補正発明と引用発明とは，後記の点（相違点１）で相違するものの，「データ・フィールドの複数のサブセットを，リンクするタグと関連付けられる参照データ記録でマッチングするステップ」，及び「前記ステップでの肯定的なマッチングに応じて，前記リンクするタグを，前記患者データ記録に割り当てるステップ」を含む点で共通する。
　
オ　引用発明は，「医師，薬剤師，病院，研究所などが，特定の横断的及び長期的研究を行うために，複数のデータレコードを匿名でリンクするための方法」であって，匿名化コードを匿名化データレコードに割り当て，匿名化コードを含む同一個人が関連付けられリンクされるようにするものであり，本願補正発明と引用発明とは，後記の点（相違点１）で相違するものの，「長期リンクのタグを患者データ記録に割り当てる方法」である点で共通する。
　
カ　以上のことから，本願補正発明と引用発明との一致点及び相違点は，次のとおりである。
［一致点］
　「長期リンクのタグを，患者データ記録に割り当てる方法であって，
　(a)指定した組のデータ属性のうち幾つかのデータ属性に対応するデータ・フィールドを有する，患者データ記録を取得するステップと，
　(b)前記データ・フィールドの複数のサブセットを，リンクするタグと関連付けられる参照データ記録でマッチングするステップと，
　(c)前記ステップ(b)での肯定的なマッチングに応じて，前記リンクするタグを，前記患者データ記録に割り当てるステップと，
　を含む方法。」
　
［相違点１］
　本願補正発明は，「非識別型の患者データ記録を取得」し，タグを「非識別型の患者データ記録に割り当てる」のに対し，引用発明は，「患者データ記録を取得」し，タグを「患者データ記録に割り当てる」ものの，当該「患者データ記録」が「非識別型」であることは明示されていない点。
［相違点２］
　本願補正発明は，「データ・フィールドの複数のサブセットが，階層構造のレベルで構成」され，「ステップ(b)が，リンクするタグと関連付けられる参照データ記録でレベル毎にマッチングするステップを含む」のに対し，引用発明は，データ・フィールドの複数のサブセットを，リンクするタグと関連付けられる参照データ記録でマッチングするについてマッチングする」ことは特定されているものの，複数のサブセットが「階層構造のレベルで構成」されていること，及び「レベル毎にマッチング」することは特定されていない点。
［相違点３］
　本願補正発明は，データ属性が暗号化したデータ属性を含むのに対し，引用発明は，データ属性が暗号化したデータ属性を含むことは明示されていない点。
　
（４）判断
　以下，相違点について検討する。
ア　相違点１及び相違点３について
　相違点１及び相違点３は，いずれも「非識別型の患者データ記録」に関連することから，まとめて検討する。
（ア）本願明細書には，相違点１に係る，「患者データ記録を取得」し，タグを「患者データ記録に割り当てる」点に関連して，例えば，次の記載がある。
　「長期のデータベースにおけるアセンブリのために，患者トランザクションデータ記録は，まず，データ記録のデータ・フィールドが標準化した共通の形式となるように処理され，次に，暗号化される。・・・本発明のマッチング・アルゴリズムは，データ記録の暗号化した属性の値を評価し，これにより，内部的な長期のリンク識別子をデータ記録に割り当てる。」（段落【００１４】）
　「データ供給者によって取得した，又は作成した生データ記録のこれら幾つかのデータ・フィールドは，機密の個人情報を含むことができる（例えば，記録番号，カードホルダＩＤ，生年月日，及び患者ＩＤ）。これら機密のデータ・フィールドは，ＬＤＦなどの他の相手に対するデータ記録のリリースの前に，データ供給者によって暗号化される必要がある。更に，個々のプライバシを保護するために，何らかの状況下でリリースしたデータ記録から個人情報を検索できないような態様で，機密のデータ・フィールドを暗号化することを要求することができる。」（段落【００２４】）
　上記記載によれば，本願補正発明は，個人情報を含む患者データ記録（生データ記録）を取得した後，個人情報を検索できないようにデータ属性を暗号化し，この結果得られた「非識別型の患者データ記録」に，長期のリンク識別子（タグ）を割り当てる方法を含むものであり，本願補正発明に特定された「非識別型の患者データ記録を取得」とは，患者データ記録を取得した後，データ属性を暗号化し，非識別型とする態様を含むと解される。
　他方，引用発明は，「割り当てた匿名化コードを，前記データレコードの識別要素を削除した匿名化データレコードに挿入し，出力データベースに格納することにより，同じ匿名化コードを含む同一個人が関連付けられリンクされるようにした」ものであり，匿名化コードが割り当てられるデータレコードは，識別要素が削除され，匿名化（非識別化）されている。
　すなわち，引用発明は，取得したデータレコードについて，識別要素を削除して匿名化データレコードとし，匿名化コードを割り当てるものであるから，本願補正発明と同様に，「非識別型の患者データ記録を取得」し，「リンクするタグを，非識別型の患者データ記録に割り当て」ているということができる。
　したがって，引用発明は，実質的に，相違点１に係る構成を備える。
（イ）そうすると，相違点１及び相違点３に係る本願補正発明と引用発明との実質的な相違点は，患者データ記録を非識別型とするにあたり，本願補正発明は，データ属性を暗号化しているのに対し，引用発明は，データ属性である識別要素を削除している点である。
　しかしながら，引用発明に，「サブセットの符号化同一性参照への符号化にあたっては，ハッシュ方式や対称鍵又は公開鍵暗号アルゴリズムを用いた暗号化方式が使用され，符号化同一性参照からサブセットを復元することは事実上不可能」とされることが特定されているように，識別要素を暗号化することによっても情報を匿名化（非識別化）できることは，当業者にとって周知の事項であり，引用発明において，データレコードを匿名化（非識別化）するにあたり，識別要素を削除することに換えて，識別要素を暗号化する技術手段を採用することは，当業者が容易に想到し得たことであり，この結果，「指定した組のデータ属性が，暗号化したデータ属性を含む」構成となることは必然である。
（ウ）以上のとおりであるから，相違点１及び相違点３は，格別のことではない。
　
イ　相違点２について
　（ア）本願明細書には，「複数のサブセットが，階層構造のレベルで構成」され，「レベル毎にマッチングする」点に関連して，例えば，次の記載がある。
　「好適なマッチング処理では，マッチング規則が，レベルの階層構造で種々のマッチング属性サブセットを識別し，優先させるように確立される。入力されてくるデータ記録は，レベル毎に評価される。何らかの特定のレベルで，データ記録属性の成功したマッチングで，入力されてくるデータ記録は，参照データ記録に関連付けられる内部的な識別子を割り当てることができる。入力されてくるデータ記録が如何なる既存の参照データ記録にもマッチングしない場合では，新たに生成した内部的な識別子を，入力されてくるデータ記録に割り当てることができる。」（段落【０００９】）
　「図２（図２Ａ〜２Ｃ）は，マッチング規則２００の組の一例を示し，マッチング規則２００は，種々のトランザクションシナリオ（例えば，シナリオ２０１−２０４）の下で，患者トランザクションデータ記録に対するＩＤの割り当てのために使用できる。マッチング規則２００は，ＩＤに対応する参照記録値に対してデータ記録の様々なサブセットの属性／データ・フィールドの値の成功したマッチングに基づいて，データ記録（例えば，データ記録２１０）にＩＤを割り当てる。以下，サブセット毎に属性／データ・フィールドのマッチングを，“レベル毎の”マッチングと称する。」（段落【００２０】）
　「マッチング規則２００の下では，ＩＤを割り当てることができる前に，値がデータ記録２１０に成功裏にマッチングするのに必要とされる属性／データ・フィールドの数とタイプを，データ記録２１０の特性に従って変えることができる。例えば，データ記録２１０が第三者要求を表すシナリオ２０１の下では，カードホルダＩＤ，生年月日，及び患者の性別が，ＩＤに対応する参照値を有するとき，成功したＩＤマッチングを宣言できる。そのようなマッチングは，レベル１のマッチングとして規定できる。データ記録２１０が既知の処方番号を有するシナリオ２０２の下では，追加の属性（例えば，生年月日，及び／又は，患者の性別）値が参照値とマッチングする場合，成功したＩＤマッチングを宣言できる。そのようなマッチングは，レベル２のマッチングとして規定できる。データ記録２１０がキャッシュ・トランザクションを表すシナリオ２０３の下では，生年月日，患者の性，患者の名前，及び郵便のジップコード属性が参照値を有するとき，成功したＩＤマッチングを宣言できる。そのようなマッチングは，レベル３のマッチングとして規定できる。・・・同様に，データ記録２１０が政府患者トランザクションを表すシナリオ２０４の下では，社会保険番号，軍隊ＩＤ又は運転免許番号の属性が，マッチングの参照値を有するとき，成功したＩＤマッチングを宣言できる（レベル４のマッチング）。・・・」（段落【００２１】）
　「ステップ３０５では，第１の指定レベル用のデータ属性の値は，マッチングデータベース３０４ｃの参照データ記録と比較される。比較結果が，ステップ３０６で評価される。その結果が否定的であれば，ステップ３０７で，次に高い指定レベル“ｎ”用のデータ属性の値が，参照データ記録と比較される。この比較結果は，ステップ３０８で評価される。その結果が否定的であれば，ステップ３０７は，次に高い指定レベル“ｎ＋１”用のデータ属性の値と参照記録と比較するように繰り返すことができる。」（段落【００２９】）
　「マッチングステップ３０５又は３０７のいずれかの結果が，肯定的であれば，次に，マッチングしたデータ記録及び関連したＩＤは，マッチング結果の組３０７ｂの“成功裏にマッチングした記録”として含められる。マッチング結果の組３０７ｂは，ステップ３０５及び３０７で，データ属性サブセットの何らかのあるレベルでマッチングすることができる，１つを超える参照データ記録の複製を含むことができる。マッチング結果の組３０７ｂは，単一のＩＤのみが，対象のデータ記録と関連付けることができるように，更にステップ３１２で処理される。このため，マッチングされる複製のデータ属性（“複製”）が，ステップ３１１で，マッチング結果の組３０７ｂにおいて検索される。
次に，ステップ３１２で，その複製は，除去処理３１４に従うことによって，複数の
ＩＤ
　「マッチング結果の組３０７が空（対象のデータ記録においてデータ属性のレベルが，ステップ３０５及び３０７で成功裏にマッチングしなかったときの場合とできる）であれば，新たなＩＤが，ステップ３２２でデータ記録に割り当てられる。逆に，マッチング結果の組３０７が，空でなく，単一の参照記録を含む場合，単一の参照記録と関連付けられたＩＤは，マッチング属性の組に割り当てられる。」（段落【００３３】）
　上記記載によれば，本願補正発明は，含まれるデータ属性の種類や数が異なる複数のサブセットについて順次マッチングを行い，その結果に応じて，ＩＤ（タグ）をデータ記録に割り当てるものであり，「階層構造のレベルで構成」とは，複数のサブセットを構成するデータ属性の種類や数が異なることであり，「レベル毎にマッチング」とは，前記複数のサブセットについて，それぞれマッチングを行うことと解される。
（イ）他方，引用発明は，第１，第２のサブセットを第１，第２の符号化同一性参照に符号化し，複数のサブセットを符号化した複数の符号化同一性参照のそれぞれについて，匿名化コードデータベース内に格納されている割当て済みの匿名化コードを持っているかどうかを判定し，その結果に応じて，匿名化コードを符号化同一性参照に割り当てるものであり，前記のとおり，第１のサブセットは，識別要素として，氏名，生年月日，郵便番号を含み，第２のサブセットは，識別要素として，医療ＩＤ，生年月日を含むものであることから，第１，第２のサブセットを構成する識別要素（データ属性）の種類や数が異なり，さらに，第１，第２の符号化同一性参照について，それぞれ割当て済みの匿名化コードを持っているかどうかを判定していることから，第１，第２のサブセットについて，それぞれマッチングを行っているということができる。
　　そうすると，引用発明においても，本願補正発明と同様に，複数のサブセットが，「階層構造のレベルで構成」され，「レベル毎にマッチング」しているということができる。
　また，仮に，本願補正発明における「階層構造のレベルで構成」及び「レベル毎にマッチング」が，何らかの序列を伴うものであるとしても，引用発明において，第１，第２のサブセットや第１，第２の符号化同一性参照についての判定に序列を定めることは，当業者が適宜なし得る設計事項である。
　相違点２は，格別のことではない。
　
ウ　そして，これらの相違点を総合的に勘案しても，本願補正発明の奏する作用効果は，引用例に記載された発明の奏する作用効果から予測される範囲内のものにすぎず，格別顕著なものということはできない。
　
エ　以上のとおりであるから，本願補正発明は，引用例に記載された発明に基づいて，当業者が容易に発明をすることができたものであり，特許法２９条２項の規定により，特許出願の際独立して特許を受けることができないものである。
　
（５）本件補正についてのむすび
　よって，本件補正は，平成１８年改正前特許法１７条の２第５項において準用する同法１２６条５項の規定に違反してなされたものであるから，同法１５９条１項において読み替えて準用する同法５３条１項の規定により却下すべきものである。
　
第３　本願発明について
１　本願発明
　平成２４年１月６日付けの手続補正は，上記のとおり却下されたので，本願の請求項１ないし１１に係る発明は，平成２３年５月２日付け手続補正書の特許請求の範囲の請求項１ないし１２に記載された事項により特定されるものであるところ，その請求項１に係る発明（以下，「本願発明」という。）は，平成２３年５月２日付けの手続補正書によって補正された明細書，特許請求の範囲及び図面の記載からみて，その請求項１に記載された事項により特定される，前記第２［理由］１（２）のとおりのものである。
　
２　引用刊行物
　原査定の拒絶の理由で引用された引用例及びその記載事項は，前記第２の［理由］２（２）に記載したとおりである。
　
３　対比・判断
　本願発明は，前記第２の［理由］２で検討した本願補正発明から，「暗号化したデータ属性を含む」との限定事項を削除したものである。
　そうすると，本願発明の発明特定事項を全て含み，さらに他の事項を付加したものに相当する本願補正発明が，前記第２の［理由］２（３），（４）に記載したとおり，引用例に記載された発明に基づいて，当業者が容易に発明をすることができたものであるから，本願発明も，同様の理由により，当業者が容易に発明することができたものである。
　
４　むすび
　以上のとおり，本願の請求項１に係る発明は，特許法２９条２項の規定により特許を受けることができないから，他の請求項に係る発明について検討するまでもなく，本願は拒絶されるべきものである。
　よって，結論のとおり審決する。