【事件の表示】
　特願２００８−５４２６１２「鍵管理」拒絶査定不服審判事件〔平成１９年　６月　７日国際公開、ＷＯ２００７／０６２６８８、平成２１年　４月３０日国内公表、特表２００９−５１７７０３〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
第１．手続の経緯
　本願は，２００５年１２月０１日を国際出願日とする出願であって，
　平成２０年６月２０日付けで特許法第１８４条の４第１項の規定による明細書，請求の範囲，及び，図面（図面の中の説明に限る），並びに，特許法第１８４条の８第１項の規定による条約第３４条に基づく補正の日本語による翻訳文が提出されると共に審査請求がなされ，平成２３年４月４日付けで審査官により拒絶理由が通知され，これに対して平成２３年７月７日付けで意見書が提出されると共に手続補正がなされたが，平成２３年７月２７日付けで審査官により拒絶査定がなされ，これに対して平成２３年１１月２９日付けで審判請求がなされると共に手続補正がなされ，平成２４年１月２４日付けで審査官により特許法第１６４条第３項の規定に基づく報告がなされ，平成２４年３月８日付けで当審により特許法第１３４条第４項の規定に基づく審尋がなされ，平成２４年６月７日付けで回答書の提出があったものである。
　
第２．本願発明
　本願の請求項１に係る発明（以下，これを「本願発明」という）は，平成２３年１１月２９日付けの手続補正によって補正された，特許請求の範囲の請求項１に記載された次のとおりのものである。
　
「センサネットワークの送信側通信ユニットと受信側通信ユニットとの間の通信の暗号処理のための鍵を生成する方法であって，前記送信側通信ユニットと前記受信側通信ユニットは，秘密関数に関する情報を得るように適合され，
　前記方法は，
　前記送信側通信ユニットにおいて値ｚを選択するステップ（３０１）と，
　前記送信側通信ユニットにおいて，選択された前記値ｚの関数として前記秘密関数を計算して鍵を生成するステップ（３０２）と，
　前記鍵を用いてデータを処理するステップ（３０３）と，
　選択された前記ｚに関連して処理された前記データを，前記受信側通信ユニットに送信するステップ（３０４）と，
　最大ｋ−１個の鍵を生成するためにｐを使用してしまったときは，前記秘密関数ｐを関数ｐ＿ｎｅｗで置換するステップと，
　前記関数ｐの暗号処理に基づいてｐ＿ｎｅｗを生成するステップと
を有し，
　前記秘密関数がほぼｋワイズ独立な関数の集合から選択され，
　前記秘密関数は，前記通信ユニット間で共有され，また，独立かつランダムに事前に前記通信ユニットに設定され，
　前記鍵は前記送信側通信ユニットの有する情報にのみ基づいて生成されており，
　前記通信ユニットのひとつは中央点であり，その他はセンサであり，
　前記鍵は，ｋが前記センサネットワーク内のセンサの数から独立しているにも関わらず，安全に生成されることを特徴とする方法。」
　
第３．引用刊行物に記載の発明
　一方，原審が，平成２３年４月４日付けの拒絶理由で引用した，本願の第１国出願前に既に公知である，特開２００４−１８０１４８号公報（２００４年６月２４日公開，以下，これを「引用刊行物１」という）には，関連する図面と共に，次の事項が記載されている。
　
Ａ．「【００１６】
【発明の実施の形態】
以下，添付図面を参照して，本発明の一実施の形態について詳細に説明する。
図１は，本発明に係る鍵隔離型暗号復号システムの全体構成を示す図である。図１を示す様に，
鍵隔離型暗号復号システム１（暗号データ復号システムに対応）は，特定の暗号文（暗号データに対応）の復号鍵を更新可能に保持する利用者端末１０と，利用者端末１０の通信相手となるｎ台（ｎは自然数）の送信者端末２０−１，…，２０−ｊ，…，２０−ｎ（纏めて「送信者端末２０」と記す，ｊは１〜ｎの整数）と
公開情報データベース２００とを備える
【００１７】
利用者端末１０と送信者端末２０と公開情報データベース２００とは，ネットワークＮを経由して相互に各種データの送受信が可能である
利用者端末１０及び公開情報データベース２００と直接接続されている様に図示しているが，ネットワークＮを介して接続されているものとしても勿論よい
　
Ｂ．「【００２８】
送信者端末２０−１（データ暗号化端末に対応）は，暗号文の送信者Ｓ１により管理される端末装置である。
送信者端末２０−１は
暗号化鍵の算定式ｅ
１
（ｙ）に，公開情報データベース２００から取得されたｐ
ｉ
を代入して暗号化鍵ｅ
１
（ｐ
ｉ
）を計算する
送信者端末２０−１は，この暗号化鍵を用いて平文ｍ
ｉ１
を暗号化し，暗号文ｃ
ｉ１
として，ネットワークＮを経由して利用者端末１０宛に送信する
【００２９】
ｊ台目の送信者端末について一般化すると，送信者端末２０−ｊは，上記暗号文とは異なる暗号文の送信者Ｓｊ∈｛Ｓ１，Ｓ２・・・，Ｓｎ｝により管理される端末装置である。
送信者端末２０−ｊは，上述した手順を経て暗号化鍵ｅ
ｊ
（ｐ
ｉ
）を計算し，この計算結果である暗号化鍵を用いて平文ｍ
ｉｊ
を暗号化した後，暗号化結果である暗号文ｃ
ｉｊ
を利用者端末１０宛に送信する
　
Ｃ．「【００３３】
まず，図３及び図４を参照して，Ｓ１〜Ｓ２１に示す復号鍵更新処理について説明する。
利用者端末１０のＣＰＵ１０ａにより，ｑ個の要素をもつ有限体Ｆｑ上の多項式である第１の多項式（１）
【数９】
　　　　　　　　　ｋ　　　ｔ
ｍｋ＊（ｘ，ｙ）＝Σ　　　Σｂｉｊｘｉｙｉ　　・・・・（１）
　　　　　　　　　ｉ＝０　ｊ＝０
及び，第２の多項式（２）
【数１０】
　　　　　ｋ
ｆ（ｘ）＝Σａｉｘｉ　　　　　　　　　　　・・・・（２）
　　　　　ｉ＝０
がランダムに生成される（Ｓ１）。
【００３４】
続いて，上記有限体Ｆｑの部分集合｛ｐ０，…，ｐｑ０｝⊆Ｆｑのデータが，利用者端末１０から公開情報データベース２００宛に送信される。このデータは，公開情報Ｐとして，暗号文の送信者Ｓｊを少なくとも含む第三者に公開される（Ｓ２）。
【００３５】
次いで，Ｓ１で生成された第１の多項式ｍｋ＊（ｘ，ｙ）は，利用者端末１０の入出力インタフェース１０ｈを介して，利用者端末１０から秘密鍵発行装置１００に送付される（Ｓ３）。送付された第１の多項式ｍｋ＊（ｘ，ｙ）は，秘密鍵発行装置１００により受領される（Ｓ４）。更に，受領された第１の多項式ｍｋ＊（ｘ，ｙ）は，秘密鍵発行装置１００に格納される（Ｓ５）。
【００３６】
次に，利用者端末１０のＣＰＵ１０ａにより，Ｓ１で生成された第１の多項式ｍｋ＊（ｘ，ｙ）及び第２の多項式ｆ（ｘ）から，ｕｋ０（ｘ）＝ｆ（ｘ）＋ｍｋ＊（ｘ，ｐ０）が演算される（Ｓ６）。演算結果ｕｋ０（ｘ）は，利用者Ｕの初めての復号鍵として記憶部１０ｅ内に保管される（Ｓ７）。図３のＳ６及びＳ７では，１個目（更新回数０回）の復号鍵が演算及び保管される場合を例示したが，ｉ個目（更新回数ｉ−１回）の復号鍵に関して一般化すると，ｕｋｉ−１（ｘ）が同様の手法で演算及び保管されることになる。
【００３７】
Ｓ８では，利用者端末１０のＣＰＵ１０ａにより，Ｓ１で生成された第１の多項式ｍｋ＊（ｘ，ｙ）及び第２の多項式ｆ（ｘ）から，ｅｊ（ｙ）＝ｆ（Ｓｊ）＋ｍｋ＊（Ｓｊ，ｙ）が演算される。ｊは１〜ｎの整数であるので，演算の結果，ｅ１（ｙ）＝ｆ（Ｓ１）＋ｍｋ＊（Ｓ１，ｙ），ｅ２（ｙ）＝ｆ（Ｓ２）＋ｍｋ＊（Ｓ２，ｙ），…，ｅｎ（ｙ）＝ｆ（Ｓｎ）＋ｍｋ＊（Ｓｎ，ｙ）がそれぞれ得られる。
【００３８】
次いで，Ｓ８で得られたｅｊ（ｙ）は，利用者端末１０の通信部１０ｆにより，送信者端末２０（送信者端末２０−１，…，２０−ｊ，…，２０−ｎ）宛に暗号化鍵として発行される（Ｓ９）。発行された暗号化鍵は，各送信者端末２０により取得される（Ｓ１０）。暗号化鍵の発行後，暗号化鍵ｅｊ（ｙ），第１の多項式ｍｋ＊（ｘ，ｙ），及び第２の多項式ｆ（ｘ）は，記憶部１０ｅから消去される（Ｓ１１）。」
　
Ｄ．「【００４３】
次に，図５を参照してＳ２２〜Ｓ２７に示す暗号文復号処理について説明する。
送信者端末２０−ｊが利用者端末１０宛に暗号文を送信する際には，まず，送信者端末２０−ｊにより，公開情報ＤＢ２００に公開されているｐ
ｉ
が取得される
取得されたｅ
ｊ
（ｙ）にｙ＝ｐ
ｉ
が代入され，送信者端末２０−ｊ用の暗号化鍵ｅ
ｊ
（ｐ
ｉ
）が計算される
【００４４】
続いて，
この暗号化鍵を用いて，共通鍵暗号化方式により平文ｍ
ｉｊ
が暗号化される
暗号化の結果得られた値（暗号文）をｃ
ｉｊ
とすると，例えばｃ
ｉｊ
＝ｍ
ｉｊ
＋ｅ
ｊ
（ｐ
ｉ
）と表される。暗号文ｃ
ｉｊ
は，送信者端末２０−ｊから利用者端末１０宛に送付される
　
１．上記Ａの「鍵隔離型暗号復号システム１（暗号データ復号システムに対応）は，特定の暗号文（暗号データに対応）の復号鍵を更新可能に保持する利用者端末１０と，利用者端末１０の通信相手となるｎ台（ｎは自然数）の送信者端末２０−１，…，２０−ｊ，…，２０−ｎ（纏めて「送信者端末２０」と記す，ｊは１〜ｎの整数）と・・・公開情報データベース２００とを備える」という記載，及び，上記Ａの「利用者端末１０と送信者端末２０と公開情報データベース２００とは，ネットワークＮを経由して相互に各種データの送受信が可能である。・・・ネットワークＮを介して接続されているものとしても勿論よい」という記載から，引用刊行物１には，
“ネットワークＮを介して接続される利用者端末と，利用者端末の通信相手となるｎ台（ｎは自然数）の送信者端末，及び，公開情報データベースとを備える，暗号データ復号システム。”
　が記載されていることが読み取れる。
　
２．上記Ｂの「送信者端末２０−１は，暗号化鍵の算定式ｅ１（ｙ）に，公開情報データベース２００から取得されたｐｉを代入して暗号化鍵ｅ１（ｐｉ）を計算する」という記載，及び，上記Ｂの「送信者端末２０−ｊは，上述した手順を経て暗号化鍵ｅｊ（ｐｉ）を計算し」という記載，並びに，上記Ｄの「送信者端末２０−ｊにより，公開情報ＤＢ２００に公開されているｐｉが取得され・・・取得されたｅｊ（ｙ）にｙ＝ｐｉが代入され，送信者端末２０−ｊ用の暗号化鍵ｅｊ（ｐｉ）が計算される」という記載から，引用刊行物１には，
“送信者端末は，公開情報データベースからｐｉ取得し，取得したｐｉを暗号化鍵の算定式ｅｉ（ｙ）に代入して暗号化鍵を計算する。”
　ことが記載されていると読み取れ，“暗号鍵を計算する”ということは，即ち，“暗号鍵を生成する”ことに他ならないことは，明らかである。
　
３．上記Ｂの「送信者端末２０−１は，この暗号化鍵を用いて平文ｍｉ１を暗号化し，暗号文ｃｉ１として，ネットワークＮを経由して利用者端末１０宛に送信する」という記載，及び，上記Ｂの「計算結果である暗号化鍵を用いて平文ｍｉｊを暗号化した後，暗号化結果である暗号文ｃｉｊを利用者端末１０宛に送信する」という記載，並びに，上記Ｄの「この暗号化鍵を用いて，共通鍵暗号化方式により平文ｍｉｊが暗号化される・・・暗号化の結果得られた値（暗号文）をｃｉｊとすると，例えばｃｉｊ＝ｍｉｊ＋ｅｊ（ｐｉ）と表される。暗号文ｃｉｊは，送信者端末２０−ｊから利用者端末１０宛に送付される」という記載と，上記２．にて検討した事項から，引用刊行物１には，
“送信者端末は，計算で求めた暗号化鍵を用いて平文を暗号化し，暗号化結果である暗号文を利用者端末に送信する。”
　ことが記載されていると読み取れる。
　
４．上記２．において言及した，上記Ｂの記載から，暗号化鍵は，「暗号化鍵の算定式ｅ１（ｙ）に，公開情報データベース２００から取得されたｐｉを代入して暗号化鍵ｅ１（ｐｉ）を計算する」ものであり，上記Ｃに引用した記載中の【数９】によれば，「ｙ」は，“ｔ次の多項式”によって表現されるものであるから，「暗号化鍵の算定式ｅ１（ｙ）」は，“ｔ＋１ワイズ独立な関数”と言えるものであることは明らかであり，上記Ｃに記載の【数９】，及び，【数１０】は，上記Ｃの記載から，「ランダムに生成される」ものであることが読み取れる。
　
　以上，１．〜４．において検討した事項から，引用刊行物１には，次の発明（以下，これを「引用発明」という）が記載されているものと認める。
　
ネットワークＮを介して接続される利用者端末と，利用者端末の通信相手となるｎ台（ｎは自然数）の送信者端末，及び，公開情報データベースとを備える，暗号データ復号システムにおいて，暗号化鍵を生成する方法であって，
　前記方法は，
　前記送信者端末が，前記公開情報データベースからｐｉを取得し，
　取得したｐｉを暗号化鍵の算定式ｅｉ（ｙ）に代入して暗号化鍵を計算し，
　前記送信者端末が，計算で求めた暗号化鍵を用いて平文を暗号化し，
　暗号化結果である暗号文を利用者端末に送信するものであって，
　前記暗号化鍵の算定式ｅｉ（ｙ）は，ランダムに生成される，ｔ＋１ワイズ独立な関数である，前記方法。
　
第４．本願発明と引用発明との対比
１．引用発明においては，「暗号文」を，「送信者端末」から，「利用者端末」に送信しているのであるから，
　引用発明における「送信者端末」，「利用者端末」が，
　本願発明における「送信側通信ユニット」，「受信側通信ユニット」に相当し，
　引用発明における「ネットワークＮ」は，「送信者端末」と,「利用者端末」の通信に用いられるものあり，本件補正発明における「センサネットワーク」も，「送信側通信ユニット」と，「受信側通信ユニット」との“通信”に用いられるものであって，
　引用発明においては，“ネットワークＮを介して接続される利用者端末へ，送信者端末から暗号文を送信するもの”であるから，
　引用発明における「ネットワークＮを介して接続される利用者端末と，利用者端末の通信相手となるｎ台（ｎは自然数）の送信者端末，及び，公開情報データベースとを備える，暗号データ復号システムにおいて，暗号化鍵を生成する方法」と，
　本願発明における「センサネットワークの送信側通信ユニットと受信側通信ユニットとの間の通信の暗号処理のための鍵を生成する方法」とは，
“ネットワークの送信側通信ユニットと受信側通信ユニットとの間の通信の暗号処理のための鍵を生成する方法”である点で共通する。
　
２．引用発明における「ｐｉ」は，「送信者端末」において「暗号化鍵の算定式ｅｉ（ｙ）に代入して暗号化鍵を計算」するために用いられる値であるから，
　本件補正発明における「値ｚ」に相当するので，
　引用発明における「前記送信者端末が，前記公開情報データベースからｐｉ取得し」と，
　本願発明における「前記送信側通信ユニットにおいて値ｚを選択するステップ（３０１）」とは，
“前記送信側通信ユニットにおいて値ｚを得るステップ”点で共通する。
　引用発明における「取得したｐｉを暗号化鍵の算定式ｅｉ（ｙ）に代入して暗号化鍵を計算し」は，
　本願発明における「前記送信側通信ユニットにおいて，選択された前記値ｚの関数として前記秘密関数を計算して鍵を生成するステップ（３０２）」に相当し，
　引用発明における「前記送信者端末が，計算で求めた暗号化鍵を用いて平文を暗号化し」は，
　本願発明における「前記鍵を用いてデータを処理するステップ（３０３）」に相当し，
　引用発明における「暗号化結果である暗号文を利用者端末に送信する」は，
　本願発明における「選択された前記ｚに関連して処理された前記データを，前記受信側通信ユニットに送信するステップ（３０４）」に相当する。　
　
３．引用発明における「暗号化鍵の算定式ｅｉ（ｙ）」は，「ランダムに生成される」のであるから，「ｔ＋１ワイズ独立な関数」から選択されるものと言い得るものである。
　よって，引用発明における「前記暗号化鍵の算定式ｅｉ（ｙ）は，ランダムに生成される，ｔ＋１ワイズ独立な関数である」は，
　本願発明における「前記秘密関数がほぼｋワイズ独立な関数の集合から選択され」に相当する。
　
４．上記Ｃで引用した【数９】と，同じく上記Ｃで引用した「ｊは１〜ｎの整数であるので・・・ｅｊ（ｙ）は，利用者端末１０の通信部１０ｆにより，送信者端末２０（送信者端末２０−１，…，２０−ｊ，…，２０−ｎ）宛に暗号化鍵として発行される」から，引用発明における「暗号化鍵の算定式ｅｉ（ｙ）」は，「ｙ」の関数であって，該「ｙ」は，送信者端末の個数ｎには依存していないことは明らかであるから，このことは，
　本願発明における「前記鍵は，ｋが前記センサネットワーク内のセンサの数から独立しているにも関わらず，安全に生成される」に相当する。
　
　以上１．〜４．において検討した事項から，本願発明と，引用発明との，一致点，及び，相違点は，次のとおりである。
　
［一致点］
　ネットワークの送信側通信ユニットと受信側通信ユニットとの間の通信の暗号処理のための鍵を生成する方法であって，
　前記方法は，
　前記送信側通信ユニットにおいて値ｚを得るステップと，
　前記送信側通信ユニットにおいて，選択された前記値ｚの関数として前記秘密関数を計算して鍵を生成するステップと，
　前記鍵を用いてデータを処理するステップと，
　選択された前記ｚに関連して処理された前記データを，前記受信側通信ユニットに送信するステップとを有し，
　前記秘密関数がほぼｋワイズ独立な関数の集合から選択され，
　前記鍵は，ｋが前記センサネットワーク内のセンサの数から独立しているにも関わらず，安全に生成されることを特徴とする方法。
　
［相違点１］
　“ネットワークの送信側通信ユニットと受信側通信ユニットとの間の通信の暗号処理のための鍵を生成する方法”に関して，
　本願発明においては，「ネットワーク」が，「センサネットワーク」であるのに対して，
　引用発明においては，「ネットワークＮ」が，「センサネットワーク」であるか否かについては，特に，言及されていない点。
　
［相違点２］
　本願発明においては，「送信側通信ユニットと受信側通信ユニットは，秘密関数に関する情報を得るように適合されている」のに対して，
　引用発明においては，「送信者端末」と，「利用者端末」とが，「秘密関数に関する情報得るよう適合されている」か，明確ではない点。
　
［相違点３］
“送信側通信ユニットにおいて値ｚを得るステップ”に関して，
　本願発明においては，「送信側通信ユニットにおいて値ｚを選択する」ものであるのに対して，
　引用発明においては，「送信者端末が，公開情報データベースからｐｉを取得」するものである点。
　
［相違点４］
　本願発明においては，「最大ｋ−１個の鍵を生成するためにｐを使用してしまったときは，前記秘密関数ｐを関数ｐ＿ｎｅｗで置換するステップと，　前記関数ｐの暗号処理に基づいてｐ＿ｎｅｗを生成するステップとを有」するのに対して，
　引用発明においては，「暗号化鍵の算定式ｅｉ（ｙ）」の「生成」，及び，「置換」については，言及されていない点。
　
［相違点５］
　本願発明においては，「秘密関数は，前記通信ユニット間で共有され，また，独立かつランダムに事前に前記通信ユニットに設定され」ているのに対して，
　引用発明においては，そのような態様は採用していない点。
　
［相違点６］
　本願発明においては，「鍵は前記送信側通信ユニットの有する情報にのみ基づいて生成されて」いるのに対して，
　引用発明においては，「公開情報データベースから取得したｐｉ」を用いている点。
　
［相違点７］
　本願発明においては，「通信ユニットのひとつは中央点であり，その他はセンサであ」るのに対して，
　引用発明における「送信者端末」，「利用者端末」が「センサ」であることについての言及がない点。
　
第５．相違点についての当審の判断
１．［相違点１］，及び，［相違点７］について
　センサネットワークを構成する各センサにおいて暗号鍵を生成する点については，原審が，平成２３年４月４日付けの拒絶理由に引用した，本願の第１国出願前に既に公知である，「LIU, D. et al., Establishing Pairwise Keys in Distributed Sensor Networks, ACM Transactions on Information and System Security, 2005年2月, Vol. 8 No. 1, p.41-77」（以下，これを「引用刊行物２」という）に，
　
Ｅ．「2. POLYNOMIAL-BASED KEY PREDISTRIBUTION FOR SENSOR NETWORKS
In this section, we briefly review the basic polynomial-based key predistribution protocol in [Blundo et al. 1993], which is the basis of our new techniques.
The protocol in [Blundo et al. 1993] was developed for group key predistribution. Since our goal is to establish pairwise keys, for simplicity, we only discuss the special case of pairwise key establishment in the context of sensor networks.
 To predistribute pairwise keys, the (key) setup server randomly generates a bivariate t-degree polynomial 
　　　　　t
f (x, y) =Σａｉｊｘｉｙｊ 　over a finite field Fq, 
　　　　　i, j=0 
where q is a prime number that is large enough to accommodate a cryptographic key, such that it has the property of f (x, y) = f ( y, x). (In the following, we assume all the bivariate polynomials have this property without explicit statement.) It is assumed that each sensor node has a unique ID. For each node i, the setup server computes a polynomial share of f (x, y), that is, f (i, y). This polynomial share is predistributed to node i. Thus, for any two sensor nodes i and j , node i can compute the key f (i, j) by evaluating f (i, y) at point j , and node j can compute the same key f ( j, i) = f (i, j) by evaluating f ( j, y) at point i. As a result, nodes i and j can establish a common key f (i, j ).
 In this approach, each sensor node i needs to store a t-degree polynomial f (i, x), which occupies (t + 1) log q storage space. To establish a pairwise key, both sensor nodes need to evaluate the polynomial at the ID of the other sensor node. (In Section 6, we will present techniques to reduce the computation required to evaluate polynomials.) There is no communication overhead during the pairwise key establishment process.
 The security proof in [Blundo et al. 1993] ensures that this scheme is unconditionally secure and t-collusion resistant. That is, the coalition of no more than t compromised sensor nodes knows nothing about the pairwise key between any two noncompromised nodes.
 It is theoretically possible to use the general group key distribution protocol in [Blundo et al. 1993] in sensor networks. However, the storage cost for a polynomial share is exponential in terms of the group size, making it prohibitive in sensor networks. In this paper, we will focus on the problem of pairwise key establishment.」(４４頁２０行〜４５頁７行)
（センサネットワークのための多項式ベース鍵事前配布
この節では，我々の新しい手法の基礎である，［Ｂｌｕｎｄｏ　他　１９９３年］における基礎的な多項式ベース鍵事前配布プロトコルを，簡単に総括する。［Ｂｌｕｎｄｏ　他　１９９３年］）におけるプロトコルは，グループ鍵の事前配信のために開発された。我々の目標は，一対の鍵の生成であるから，簡単のために，センサネットワークのコンテキストおいて，一対の鍵生成の特別な事例についてのみ議論する。
　一対の鍵を事前配布するために，（鍵）設定サーバは，無作為に，有限体Ｆｑ上に，２変数ｔ次多項式，
　　　　　t
f (x, y) =Σａｉｊｘｉｙｊ 
　　　　　i, j=0 
　を生成する。
　ここで，ｑは，f (x, y) = f ( y, x)という性質を有するような，暗号鍵を提供するのに十分大きい素数である（以下では，明確な記述は除いて，全ての２変数多項式が，この性質を有すると仮定する）。それぞれのセンサ・ノードは，個別のＩＤを有すると仮定する。それぞれのノードｉについて，設定サーバは，共有多項式ｆ（ｘ，ｙ），即ち，ｆ（ｉ，ｙ）を計算する。共有多項式は，ノードｉに，事前配布される。それ故，任意の２つのセンサ・ノードｉ，及び，ｊについて，ノードｉは，ｊ点のｆ（ｉ，ｊ）を求めることで，鍵ｆ（ｉ，ｊ）を計算することができ，そして，ノードｊは，ｉ点におけるｆ（ｊ，ｙ）を求めることで，ｆ（ｉ，ｊ）と同じ鍵ｆ（ｊ，ｉ）を計算することができる。結果として，ノードｉ，及び，ノードｊは，共通鍵ｆ（ｉ，ｊ）を生成することができる。
　このやり方においては，それぞれのセンサ・ノードｉは，（ｔ＋１）ｌｏｇｑの格納領域を占める，ｔ次多項式ｆ（ｉ，ｘ）を格納する必要がある。一対の鍵を生成するために，両方のセンサ・ノードは，他方のセンサ・ノードのＩＤで，多項式の解を求める必要がある。（６節において，多項式の解を求めるために要求される計算を減らす手法を示す。）一対の鍵生成過程の間の通信のオーバーヘッドはない。
　［Ｂｌｕｎｄｏ　他　１９９３年］における安全性証明は，このスキームが，無条件に安全で，かつ，ｔ人結託に耐性を有することを保証している。それ故,高々，秘密漏洩したｔ個のノードが結託しても，任意の，秘密漏洩していない，２つのノード間の一対の鍵について，何も知ることはない。
　センサネットワークにおいて，［Ｂｌｕｎｄｏ　他　１９９３年］における一般的な，グループ鍵配布プロトコルを用いることは，理論上可能である。しかしながら，多項式を共有するための格納負荷は，センサネットワークにおいて，それを禁止するようにすることである，グループ・サイズに関して，指数関数的である。我々は，一対の鍵生成の問題に着目する。）
　
　と記載されているように，当業者には，本願の出願前に，既に，公知の技術事項であり，
　また，「センサネットワーク」において，「中央」となるものを含むよう構成する点についても，平成２３年４月４日付けの拒絶理由で引用された本願の第１国出願前に既に公知である，「SHI, E. et al., DESIGNING SECURE SENSOR NETWORKS, IEEE Wireless Communications, 2004年12月, Volume 11 Issue 6, p.38-43」（以下，これを「引用刊行物３」という）に，
　
Ｆ．「THE BASE STATION AS A POINT OF TRUST
Sensor networks are usually deployed with one or more base stations. A base station is a much more powerful node with rich computational, memory, and radio resources. A base station usually exists in the form a PC or server. It serves as the data sink/processor, and as the interface between the sensor network and the external world. It is reasonable to assume that a base station is physically protected or has tamper-robust hardware, so we can conveniently rule out base station compromise. Thus, the base station can act as a central trusted authority in protocol design. Given the numerous security breaches of recent “secure” systems, we need to be very careful with such assumptions, and do our best to retain a maximum level of security in case even the base station is compromised. 
 However, scalability becomes a major concern if we make use of a central trusted authority in attack defense mechanisms. For instance, a simple way to establish pairwise keys between sensor nodes is to have the base station act as an intermediary: each node is configured with a secret key that it shares with the base station. We call the secret key node A shares with the base station ＫＡ, and similarly ＫＢ　is the shared key between node B and the base station. If nodes A and B wish to establish a shared secret key ＫＡＢ, the base station can act as a trusted intermediary to establish that key, for example, by sending a random　ＫＡＢ encrypted with ＫＡ to node A and encrypted with ＫＢ to node B. However, nonces or other mechanisms need to be used to ensure key freshness [2].」（３９頁左欄４７行〜右欄１４行）
（信用のポイントとしての,ベース・ステーション
センサネットワークは，通常，１つ以上のベース・ステーションを配置している。ベース・ステーションは，豊富な計算力，記憶容量，及び，通信資源を有する，非常に強力なノードである。ベース・ステーションは，通常，ＰＣ，或いは，サーバの形式で存在する。それは，データ・シンク／プロセッサ，及び，センサネットワークと，外界とのインターフェースとして機能する。ベース・ステーションは，物理的に保護されるか，或いは，耐タンパなハードウェアを有していると仮定しておく。従って，ベース・ステーションの情報漏洩は，都合良く無視することができる。それ故，ベース・ステーションは，プロトコルの構造において，中央の信頼された機関として振る舞うことができる。最近の“セキュア”システムの，多数のセキュリティ違反を仮定して，このような仮定は慎重に行う必要があり，そして，万一，ベース・ステーションが，セキュリティ侵害されることあった場合に備えて，最高レベルのセキュリティを保つよう，最善を尽くす。
　しかしながら，もし，攻撃防御機構として，中央の信頼された機関を活用するとしたら，スケーラビリティは，重要な関心事となる。例えば，センサ・ノード間の一対の鍵を生成するための簡単な方法は，仲介者として振る舞うベース・ステーションを有することです：それぞれのノードは，ベース・ステーションと共有する秘密鍵が設定されている。ベース・ステーションと，ノードＡとが共有する鍵を，ＫＡ，そして，同様に，ＫＢは，ノードＢと，ベース・ステーションとの間で共有される鍵である。もし，ノードＡと，ノードＢが，共有秘密鍵ＫＡＢの作成を望むとすると，ベース・ステーションは，例えば，ノードＡのために，ＫＡで暗号化された，及び，ノードＢのために，ＫＢで暗号化された，ランダムなＫＡＢを送信することで，信頼された仲介者として振る舞うことができる。しかしがら，使い捨て乱数データ，或いは，他の機構が，鍵の更新を保証するために用いられることが，必要である。）
　
　と記載されているように，当業者には，本願の出願前に，既に，公知の技術事項であって，
引用刊行物２に記載の発明における「センサ」は，それぞれ，一種の通信機器であることは明らかであり，また，引用刊行物２に記載の発明においては，ｔ次の有限体上の多項式を用いて，「一対の鍵」，即ち，暗号鍵の生成を行っているので，引用発明と，引用刊行物２に記載の発明とは，通信機器間で送受される情報を暗号化するための暗号鍵を，有限体上の多項式を用いて生成する技術である点で共通するので，引用刊行物２に記載の発明における「センサ」において「暗号化鍵」の生成を，引用発明に記載の手法を採用することで，行うように構成することは，当業者が適宜行い得る事項である。
　また，引用発明２におけるネットワークを，センサーネットワークとした場合において，該センサネットワークにおいて，中央となるノードを設けることも，上記指摘のとおり，引用刊行物３に記載の発明が，本願の第１国出願前に既に公知である以上，当業者が適宜なし得る事項である。
　よって，相違点１，及び，相違点７は，格別のものではない。
　
２．［相違点２］について
　引用発明においては，「秘密関数に関する情報を得るように適合されている」という明文の記載はないが，上記Ｃで引用した記載から，「利用者端末」において，「暗号鍵の算定式」（本件補正発明におけるい「秘密関数」に相当）を計算するための多項式が生成され，「利用者端末」は，該「多項式」を用いることで「暗号鍵の算定式」を求めているから，“「多項式」を用いる”ができることが，正しく，「秘密関数に関する情報を得るように適合されている」ことを意味し，また，上記Ｂで引用した記載から，「利用者端末」は「暗号鍵の算定式」を取得しているのであるから，これは正しく，「秘密関数に関する情報を得るように適合されている」ことを意味している。
　よって，相違点２は，格別のものではない。
　
３．［相違点３］，及び，［相違点６］について
　「ｚ」を，「送信側通信ユニットにおいて選択する」点については，原審が平成２３年４月４日付けの拒絶理由に引用した，本願の第１国出願前に既に公知である，特開昭６１−１４１２３１号公報（１９８６年６月２８日公開，以下，これを「引用刊行物４」という）に，
　
Ｇ．「第１図は送信系を示しており，端子（ＩＴ）には音声信号ＳＡが供給される。この音声信号ＳＡは，Ａ／Ｄ変換器（２Ｔ）でデジタル信号に変換されたのち，時間軸圧縮回路（３Ｔ）でフレーム毎に時間軸圧縮されて合成器（４Ｔ）に供給される。この合成器（４Ｔ）では，後述するＭ系列符号発生器からのＭ系列符号の識別信号（以下，キーコードともいう）ＣＫＥＹが付加される。このキーコードＣＫＥＹとしては１フレーム後のＭ系列符号に対応するものとされる。
合成器（４Ｔ）の出力信号はエンコーダ（５Ｔ）に供給され，誤り訂正符号，例えばＢＣＨ符号ＣＢＣＨが付加される。第２図は，このエンコーダ（５Ｔ）の出力信号を示している。尚，同図において，ＦＳは後に付加されるフレーム同期信号である。
このエンコーダ（５Ｔ）の出力信号はインターリバ（６Ｔ）に供給されて，インターリーブされたのち，スクランブル回路を構成するイクスクル−シブオア回路（７Ｔ）の一方の入力側に供給される。
また，（８Ｔ）はＭ系列符号発生器であり，スクランブル制御回路（９Ｔ）によって，所定タイミング毎にその生成多項式ｆ（ｘ）が変えられる。この発生器（８Ｔ）にはパルス発生器（１０Ｔ）よりフレーム同期信号ＦＳ及びビットクロック信号ＣＬＫＢＴが供給されると共に，制御回路（９Ｔ）には，フレーム同期信号ＦＳが供給される。パルス発生器（１０Ｔ）にはクロック発生器（１１Ｔ）からクロック信号ＣＬＫＴが供給され，上述したフレーム同期信号ＦＳ，ビットクロック信号ＣＬＫＢＴの他に，回路各部で使用されるパルス，クロック信号が発生される。尚，制御回路（９Ｔ）により上述したキーコードＣＫＥＹが発生され，これが合成器（４Ｔ）に供給される。」（２頁左上欄１５行〜左下欄７行）
　
Ｈ．「即ち，第７図Ａはフレーム同期信号ＦＳを示すものであり，また同図Ｂはデコーダ（５Ｒ）（第２図参照）の出力信号を示すものであり，１８，　５Ａ，　Ｃ３・・・等はキーコードＣＫＥＹを示している。あるフレーム同期信号ＦＳののちに，キーコード分離回路（４Ｒ）（第２図参照）でキーコードＣＫＥＹが分離され制御回路（９Ｒ）に供給される。このキーコードＣＫＥＹは次のフレームをスクランブルしているＭ系列符号ＳＮの初期値を示すものである。このキーコードＣＫＥＹが供給されると，制御回路（９Ｒ）のマイコン（２５）の出力端子Ｏ１〜Ｏ１０には，第７図Ｄに示すようにキーコードＣＫＥＹに基づく初期値設定データが出力される。そして，次のフレーム同期信号ＦＳに同期して回路（２２），（２３）のイネーブル端子にプリセットイネーブル信号ＳＫ（第７図Ｃに図示）が供給され，回路（２２），（２３）のＤフリップフロップの初期値は，第７図Ｅに示すようにキーコードＣＫＥＹに対応したものとされる。即ち，発生器（８Ｒ）からはスクランブルされたときと同じ初期値のＭ系列符号ＳＭが発生され，デスクランブルが良好になされる。」（５頁右下欄１行〜６頁左上欄１行）
　
　と記載され，ここで，上記Ｇ，及び，Ｈで引用した記載中の「ＣＫＥＹ」は，引用発明における「ｐｉ」に相当するものであり，上記Ｇの記載にもあるとおり，該「ＣＫＥＹ」は，送信系の有する制御回路によって生成されるものであり，引用刊行物４に係る発明は，上記Ｇ，及び，Ｈの記載内容から，「送信系」において，該「ＣＫＥＹ」と，「Ｍ系列符号発生器」の「生成多項式ｆ（ｘ）」とを用いて，送信信号を「スクランブル」，即ち，一種の暗号化を行うものであるから，暗号化に用いる値を，送信側内部から取得するよう構成することは，本願の第１国出願前に既に公知の技術事項である。
　よって，引用発明においても，「送信者端末」が，前記「ｐｉ」を「公開情報データベース」から取得することに代えて，「送信者端末」内部から取得するように構成することは，当業者が適宜なし得る事項である。
　よって，相違点３，及び，相違点６は，格別のものではない。
　
４．［相違点４］について
　本件補正発明において，“最大ｋ−１個の鍵を生成するためにｐを使用してしまったときは，秘密関数ｐを関数ｐ＿ｎｅｗで置換するステップ”，及び，“関数ｐの暗号処理に基づいてｐ＿ｎｅｗを生成するステップ”を有しているのは，補正後の請求項１に記載された内容からみて，「センサネットワークの送信側通信ユニットと受信側通信ユニットとの間の通信の暗号処理のための鍵を生成する方法」である。
　即ち，本件補正発明においては，「秘密関数ｐ」を，どこで「生成」するかについては，特段，限定されていない。
　したがって，本件補正発明は，「送信側通信ユニット」で，“秘密関数ｐを生成し，前記生成した秘密関数ｐを用いて，秘密関数の置換を行う”態様，「受信側通信ユニット」で，“秘密関数ｐを生成し，前記生成した秘密関数ｐを用いて，秘密関数の置換を行う”態様，及び，「送信側通信ユニット」，「受信側通信ユニット」の何れでもない場所において，“秘密関数ｐを生成し，前記生成した秘密関数ｐを用いて，秘密関数の置換を行う”態様の，何れかを含むものである。
　ここで，「通信ユニット」で，“秘密関数ｐを生成し，前記生成した秘密関数ｐを用いて，秘密関数の置換を行う”態様については，原審が，平成２３年４月４日付けの拒絶理由で引用した，本願の第１国出願前に既に公知である，特開平０９−２１２０８９号公報（１９９７年８月１５日公開，以下，これを「引用刊行物５」という）に，
　
Ｉ．「【００５６】（実施の形態３）実施の形態２では，あらかじめ端末排除の回数分の多項式を選択し，これに対応した分配鍵情報を各端末に格納しておく。そして端末排除のたびにこれを順番に使用し，その都度排除した端末以外で，新しい秘密鍵が共有されるものであった。これに対し，実施の形態３では，１つの分配鍵情報を格納し，端末排除のたびにこれを更新して新しい分配鍵情報を各端末で求めるといった方法である。実施の形態２に比べて端末における分配鍵情報の格納領域が削減できる。また実施の形態２が端末排除の回数があらかじめ格納している分配鍵情報の個数に依存して有限であったのに対し，実施の形態３ではこの制限がない。図４は，端末T3の構成を示したものであり，図３に分配鍵情報を更新する部分を追加している。１，２，３は図３と同じである。
端末T3は秘密鍵算出部３の出力として前記１次多項式f(x)の傾きaと切片bを求める。なお，図では秘密鍵算出部は，端末T1を排除して残りの端末で共有する秘密鍵としてaを出力しているが，これは上記求めた傾きa,bを用いて例えばbまたはa+bなどを秘密鍵としてもよい。４は秘密鍵算出部２で求めた前記aとbをそれぞれ固定の秘密変換して，その結果のa'，b'を新たな傾きと切片とする新しい１次多項式f'(x)=a'x+b' modpを求める変換部である
　
　と記載されているとおり，本願の第１国出願前に，当業者には周知の技術事項である。
　また，本願発明において，「最大ｋ−１個の鍵を生成するためにｐを使用してしまったとき」とは，“暗号システムへの攻撃者によって，最大ｋ−１個の鍵が取得された可能性が発生した場合”と，暗号のセキュリティ上の意味合いは同義であることは，暗号の技術分野においては周知の事項である。
　そして，同じく，原審が，平成２３年４月４日付けの拒絶理由に引用した，本願の第１国出願前に既に公知である，「HANAOKA, Y., et al., Information-Theoretically Secure Key Insulated Encryption: Models, Bounds and Constructions, IEICE Transactions on Fundamentals, 2004年10月, Vol. E87-A No.10, p.2521-2532」（以下，これを「引用刊行物６」という）に，
　
Ｊ．「In KIE， if the trusted device is not compromised， then user's secret keys of at most t different stage can be exposed and still have the encrypted message of the remaining stages to be unaffected. Exposure of t+1 stages even without the exposure of trusted device could break the system.」（２５２１頁右欄末行〜２５２２頁左欄５行）
（ＫＩＥにおいては，信頼されたデバイスが，セキュリティ侵害されていなければ，高々ｔの異なるステージのユーザの秘密鍵が暴露されたときに，侵されていない，残りのステージの暗号化されたメッセージを持つことができる。ｔ＋１のステージの暴露が，信頼されたデイバイスの暴露がなしで，システムを破壊することができる。）
　と記載されているように，本願発明のような，“有限体の鍵生成多項式を用いた暗号手法において，該鍵の生成多項式が，所定の数の暗号鍵が暴露されると危険になる”ことは，当業者には，周知の技術事項である。
　したがって，引用発明において，鍵の生成多項式が，“所定の数の鍵が取得可能となるような条件が発生し”，鍵の生成多項式の更新の必要が生じた場合に，該生成多項式を，新しい多項式に更新することは，当業者が適宜なし得る事項である。
　よって，相違点４は，格別のものではない。
　
　なお，鍵の生成多項式の更新に関しては，例えば，本願の第１国出願前に既に公知である，特開２０００−１０１５６３号公報（２０００年４月７日公開，以下，これを「周知技術文献１」という）に，
　
Ｋ．「【００４１】ステップ３０１）　ユーザＡ計算機６００とユーザＢ計算機５００が同期して走行している。
ステップ３０２）　ユーザＡ計算機６００とユーザＢ計算機５００において，第１の認証関数保持部６０１と第２の認証関数保持部５０１に格納される関数の取決めを行う。ここで関数（認証情報）は，
ｆ（ｔ）＝ａ０ｔ０＋ａ１ｔ１＋・・・＋ａｎ−１ｔｎ−１＋ａｎｔｎ但し，ｎ次多項式ｆ（ｔ）の係数ａ０，ａ１，・・・ａｎ−１，ａｎが共有情報に該当し，ｆ（ｔ）が認証情報に該当する。なお，ｔは時間を表す。
・・・・・（中略）・・・・・
【００４４】ステップ３０６）　第２の認証関数値算出部５０３は算出された関数値ｆ（ｔ）’とユーザＡ計算機６００から受信した関するｆ（ｔ）を認証関数値比較部５０５に転送し，認証関数値比較部５０５は，関数値同士を比較して認証を行う。
ステップ３０７）　ここで，通信回数計測部５０６において，関数の使用回数が一定値を超えたかを判定し，新たな認証関数係数と時間から認証関数を生成し，認証関数係数部５０８において生成した新たな認証関数係数を更新する。」
　
Ｌ．「【００５６】第１には，鍵を生成する関するｆ（ｔ）を一定時間（例えば１時間）毎に変更する。なお，変更部分は例えば係数とする。変更方法は，本発明で提案した暗号化の仕組みの中で行うものとする。第２は，鍵を変更する時間巾から一定時間（例えば１時間）に最大何回鍵が生成されるか分かるので，それ以上のサンプルを収集しないとｆ（ｔ）は計算できないようにすることにより，ｆ（ｔ）をわかりにくくする。つまり，ｎ次元関数Ｆ（ｔ）を解くには少なくともｎ個の数式が必要となり，従って，ｎ−１回鍵情報を生成した時点で関数を交換すれば第三者に解かれることがない。第３には，通信する２者間の計算機間で同期をとる。」
　
　と記載されていて，上記引用の周知技術文献１に記載の内容からも，
“暗号鍵を生成するｎ次多項式ｆ（ｔ）を，通信を行う装置間で共有し，該ｎ次多項式ｆ（ｔ）は，ｎ個の多項式が取得できると，即ち，ｎ回の鍵の生成を行い，該ｎ回の鍵の値を全て取得できたとすると，該多項式を構成する係数値を算出することが可能となることから，鍵の生成をｎ−１回行った時点で，該多項式を，送信を行う装置内で，該装置内の情報を用いて新たな係数値を生成して，多項式を更新する”ことは，当業者には，本願の第１国出願前に既に，周知の技術事項であり，該多項式の“暗号処理に基づいて生成する”点についても，上記Ｊに，「変更方法は，本発明で提案した暗号化の仕組みの中で行うものとする」との記載があるとおり，当業者には周知の技術事項である。
　したがって，この点からみても，引用発明において，“ｔ＋１ワイズ独立な関数である，暗号化鍵の算定式ｅｉ（ｙ）”を用いて，鍵生成を行う場合に，ｔ個の鍵を生成した時点で，「暗号化鍵の算定式ｅｉ（ｙ）」の暗号化の仕組みの中で，新たな暗号鍵の算定式を算出して，算出した新たな暗号鍵の算定式を用いて，該算定式の更新を行うように構成することは，当業者が適宜なし得る事項である。
　
５．［相違点５］について
“秘密関数は，通信ユニット間で共有される”点については，引用刊行物４に，
　
Ｍ．「次に，第４図は受信系を示すものである。
同図において，（１３Ｒ）はＤＰＳＫ復調器を示し，図示せずもアンテナより得られる信号がＦＭ復調された後，分離された信号ＳＭＯＤが供給される。
この復調器（１３Ｒ）で復調された信号はフレーム同期分離回路（１２Ｒ）に供給され，この分離回路（１２Ｒ）で分離されたフレーム同期信号ＦＳは，Ｍ系列符号発生器（８Ｒ），デスクランブル制御回路（９Ｒ）及びパルス発生器（１０Ｒ）に供給される。
パルス発生器（ｌ０Ｒ）からはフレーム同期信号ＦＳに同期したピットクロック信号ＣＬＫＢＲが発生され，発振器（８Ｒ）に供給される。尚，パルス発生器（１０Ｒ）からは，ビットクロック信号ＣＬＫＢＲの他に，回路各部で使用されるパルス，クロック信号等が発生される。
Ｍ系列符号発生器（８Ｒ）は上述した送信系の発生器（８Ｔ）と同様に構成され，デスクランブル制御回路（９Ｒ）も上述した制御回路（９Ｔ）と同様にマイコン（２０）及びランチ回路（２１）を有して構成される（第３図参照）。発生器（８Ｒ）は制御回路（９Ｒ）によって，所定タイミング毎にその生成多項式ｆ（ｘ）が変えられる。この発生器（８Ｒ）からのＭ系列符号ＳＭはデスクランブル回路を構成するイクスクルーシブオア回路（７Ｒ）の一方の入力側に供給される。このイクスクルーシブオア回路（７Ｒ）の他方の入力側には，同期分離回路（１２Ｒ）から，フレーム同期信号ＦＳが分離された残りの信号，即ちスクランブルされている信号ＳＳＣが供給される。」（３頁右下欄１３行〜４頁右上欄１行）
　
　と記載され，該記載中に，「Ｍ系列符号発生器（８Ｒ）は上述した送信系の発生器（８Ｔ）と同様に構成され，・・・発生器（８Ｒ）は制御回路（９Ｒ）によって，所定タイミング毎にその生成多項式ｆ（ｘ）が変えられる」と記載されているように，本願の第１国出願前に，当業者には，周知の技術事項であり，引用刊行物４において，受信系の構成は，送信系とは，任意，独立に構築可能であることも明らかである。
　そして，引用発明も，引用刊行物４に記載の発明も，生成多項式を用いて鍵を生成する暗号系を有する通信システムである点で共通するので，
　引用発明においても，「暗号鍵の算定式」を，システムの要求に応じて，共有化する場合には，各送信者端末に，当該「算定式」を，独立かつランダムに設定することは，当業者が適宜行い得る事項である。
　よって，相違点５は，格別のものではない。
　
　上記で検討したごとく，相違点１〜７はいずれも格別のものではなく，そして，本願発明の構成によってもたらされる効果も，当業者であれば当然に予測可能なものに過ぎず格別なものとは認められない。
　
第６．むすび
　したがって，本願発明は，本願の特許出願前に日本国内又は外国において頒布された刊行物に記載された発明又は電気通信回線を通じて公衆に利用可能となった発明に基づいて当業者が容易に発明をすることができたものであるので，特許法第２９条第２項の規定により特許を受けることができない。
　
　よって，結論のとおり審決する。