【事件の表示】
　特願２００３−５８２９４７「暗号化されたアクセスを使う電子的エンティティのセキュリティ化方法」拒絶査定不服審判事件〔平成１５年１０月１６日国際公開、ＷＯ０３／８５８８１、平成１７年　７月２８日国内公表、特表２００５−５２２９１２〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
第１　手続の経緯
　
１　手続の経緯の概要
　
（１）本件に係る出願（以下、「本願」と記す。）は
２００２年４月８日のフランス共和国での出願を基礎とするパリ条約による優先権主張をともなって、
２００３年４月２日に国際出願された出願であって、
平成１６年１０月７日付けで特許法第１８４条の５第１項の規定による書面が提出されると共に、
平成１６年１１月１０日付けで特許法第１８４条の４第１項の規定による翻訳文が提出され、
平成１８年１月３１日付けで審査請求がなされ、
平成２１年６月１１日付けで拒絶理由通知（平成２１年６月２３日発送）がなされ、
平成２１年１２月２４日付けで意見書が提出され、
平成２２年８月２３日付けで拒絶査定（平成２２年８月３１日発送、謄本送達）がなされたものである。
　
（２）本件審判請求は、上記拒絶査定を不服として、「原査定を取り消す、この出願の発明はこれを特許すべきものとする、との審決を求める。」との請求の趣旨で、
平成２３年１月４日付けでなされたものであり、同日付けで手続補正書が提出され、
平成２３年５月９日付けで特許法第１６４条第３項に定める報告（前置報告）がなされ、
平成２３年７月２５日付けで当該報告に対する意見を求める旨の審尋（平成２３年７月２６日発送)がなされ、これに対して
平成２４年１月２６日付けで回答書が提出され、
平成２４年７月３日付けで拒絶理由通知（平成２４年７月１０日発送）がなされ、
平成２４年１０月１０日付けで意見書が提出され、
平成２４年１１月７日付けで、拒絶理由通知（平成２４年１１月１３日発送）がなされ、
平成２４年１２月２７日付けで意見書が提出され、
平成２５年１月１７日に、代理人に意見書・補正書の再考を促す電話連絡をし、上記平成２４年１１月７日付けの拒絶理由通知の指定期間の満了まで待つ旨を約した（平成２５年２月１８日応対記録入力）ものの、当該指定期間内には何らの応答も無かったものである。
　
　
２　手続補正書・拒絶理由・意見書の内容
　
（１）平成２３年１月４日付け手続補正
　上記平成２３年１月４日付けの手続補正書は特許請求の範囲を以下のとおりに補正するものである。
「　【請求項１】
　暗号化アルゴリズムの実行手段を有する暗号化アクセスを有する電子エンティティのセキュリティ化方法であって、
前記アルゴリズムは、演算群の系列を入力文に応用するステップ（「ラウンド」と言う）からなり、該ラウンドは、一連のサブキー（K０、．．．Kｎ）を使い、各サブキーは、初期キー（Ｋ）から実行される巡回プロセスにより継続的に生成されるものであって、
前記巡回プロセスの中間ステップの
サブキー（Ｋｎ）
サブキー
再計算サブキー値
サブキー値とを比較し
　
　　【請求項２】
　最終サブキー（Ｋｎ）値を記憶し、前記サブキーの系列を生成するステップの最終部分の再実行を行い、少なくとも、前記最終サブキーの第２回目の計算を行うことを特徴とする請求項１記載の方法。
　
　　【請求項３】
　前記サブキーの系列の全生成ステップを再実行することを特徴とする請求項２記載の方法。
　
　　【請求項４】
　ＡＥＳアルゴリズムに応用することを特徴とする請求項１乃至３記載の方法。
　
　　【請求項５】
　ＤＥＳアルゴリズムに応用することを特徴とする請求項１乃至４記載の方法。
　
　　【請求項６】
　請求項１乃至５に基づく方法を実行する手段を有することを特徴とする自律型電子エンティティ。
　
　　【請求項７】
　ＩＣカードの形態で構成されることを特徴とする請求項６記載の電子エンティティ。」
　
　
（２）平成２４年１１月７日付け拒絶理由通知
　上記平成２４年１１月７日付けの拒絶理由通知書で通知した理由（以下、「当審拒絶理由」と記す。）は以下のとおりのものである。
　
『Ａ．この出願は、特許請求の範囲及び発明の詳細な説明の記載が下記の点で、特許法第３６条第４項第１号、第６項第２号に規定する要件を満たしていない。
　　　　　　　　　　　　　　　記
１．請求項１について
１．（１）　請求項１の「前記巡回プロセスの中間ステップのサブキー（Ｋｎ）を記憶し」において、当該「中間ステップのサブキー」は、ＦＩＧ．２，ＦＩＧ．３に図示された如く、一連のサブキー（K０、．．．Kｎ）のことであり、一方、当該「（Ｋｎ）」は文字通り（Ｋｎ）のことであるから、前記「前記巡回プロセスの中間ステップのサブキー（Ｋｎ）を記憶し」は、明確でない。（「Kｎ」は「Ｋｉ｜ｉ＝１〜ｎ」等と記すべきものなのでは？）（３６条第６項第２号）
１．（２）　一般的なＤＦＡ（故障差分分析）として、例えば、下記の引用文献等一覧の引用文献１（特開平１０−１５４９７６号公報【００７０】〜【００７２】段落、図１０）に示されているような、平文まで含む「鍵をパラメータとするラウンド関数を繰り返し適用」「鍵をパラメータとするラウンド関数の再計算」（図１０参照）が挙げられる。
　一方、本願請求項１の発明の「再計算」は、要するに、局所的に「サブキー」を再計算するものである。前記一般的なＤＦＡにおける再計算と本願請求項１の発明の再計算とは、再計算の対象が「鍵（サブキー）をパラメータとして含む」再計算であるか「サブキー」の再計算であるかに尽きるが、「鍵をパラメータとして含む再計算」は、「鍵（サブキー）の再計算」を含む再計算であって、作用効果においても、「鍵をパラメータとして含む再計算」は、「鍵（サブキー）の再計算」によるエラー検知をも含めて検出できると解される。
　前記一般的なＤＦＡ（故障差分分析）に対して、本願請求項１〜７の発明は、如何なる課題を解決したものであるのかの説明は明細書又は図面にはない。したがって、明細書の発明の詳細な説明の記載は、発明が解決しようとする課題及び課題を解決するための手段その他のその発明の属する技術分野における通常の知識を有する者が発明の技術上の意義を理解するために必要な事項が記載されているとは認められない。（３６条第４項第１号（委任省令要件））
（なお、請求人は、平成２４年１０月１０日付けの意見書において、「一般的なＤＦＡ（故障差分分析）に対して、本願請求項１〜７の発明が如何なる課題を解決したものであるか説明はない」との「指摘」（課題）は、「本願発明の進歩性と関連するものです。後述のように、請求項１〜７に係る発明は進歩性を有しているものですので、本拒絶理由は解消したものと思料」する旨主張しているが、本願請求項１〜７の発明が如何なる課題を解決したかは、進歩性の判断における動機付けの有無等で決まるものではないので、前記主張は失当である。）
１．（３）　請求項２記載の「最終サブキー（Ｋｎ）値を記憶」することと、請求項１記載の「中間ステップのサブキー（Ｋｎ）を記憶」することとの関係（請求項２に係る発明は、請求項１記載の「中間ステップのサブキー（Ｋｎ）を記憶」することは別に「最終サブキー（Ｋｎ）値を記憶」するのか？請求項１記載の「中間ステップのサブキー（Ｋｎ）を記憶」することを「最終サブキー（Ｋｎ）値を記憶」すると言う下位概念に限定したものなのか？請求項１記載の「中間ステップのサブキー（Ｋｎ）を記憶」することに代えて「最終サブキー（Ｋｎ）値を記憶」するのか？）が明確でない。
　したがって、請求項２〜７に係る発明は明確でない。
　
Ｂ．この出願の下記の請求項に係る発明は、その出願前に日本国内又は外国において頒布された下記の刊行物に記載された発明又は電気通信回線を通じて公衆に利用可能となった発明に基いて、その出願前にその発明の属する技術の分野における通常の知識を有する者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
　　　　　　　　　　　記（引用文献等については引用文献等一覧参照）
（１）引用文献
ａ．引用文献１
　引用文献１には図面とともに次の記載がある。
　引用文献１（【０００３】【０００６】【０００７】【００２９】【００５３】〜【００５４】【００７０】〜【００８５】段落、図６、図７、図１０、図１２参照）には、外部から物理的衝撃を加えて内部回路を誤動作させ、その出力を観察して装置内部の秘密情報を推測する攻撃法に対して防御可能とすることを目的とし、「タンパーフリー装置」「ＩＣカード」「ＤＥＳやＦＥＡＬのようなラウンド関数を用いる暗号アルゴリズム」が記載されるとともに、「データ処理」するステップ、「データ処理に対応する誤動作検出処理（同一処理を行い、２つの結果が一致するかどうか比較する）」ステップ、「誤動作が検出されたか」否かに応じて「処理結果の出力を禁止する」ステップ（図６のＳ２２〜Ｓ２６参照）が記載されている。ラウンドに係る詳細（ラウンド数４の場合）について、図１０、図１２に関連して、鍵をパラメータとするラウンド関数を繰り返し適用し、平文データを暗号化して暗号化データを生成し、再度鍵をパラメータとするラウンド関数を繰り返し適用し、両方の暗号化データを比較して、比較部から誤動作検出の通知を受けた場合、次段以降の処理を停止させ、最終段の比較部から誤動作検出の通知を受けた場合、出力制御部を制御して最終的な処理結果が外部に出力されないようにする旨記載されている。前記「鍵」に関し、ラウンドごと生成されたサブキーが用いられることは慣用技術であり（必要なら、引用文献４の第３４頁図３．１参照。）、引用文献１の「ＤＥＳ」に付随する記載されているに等しい事項である。また、図６と【００５３】〜【００５４】の、特に「次に」から、ステップ２２の暗号化とステップ２３の誤動作検出処理（同一処理）との間に時間差があることがよみとれる。
　
ｂ．引用文献２
　引用文献２には図面とともに次の記載がある。
あ．「４．Protection for the Key Scheduling Part in DES 
 In this section,we consider how to resist DFA to attack the key scheduling circuit of DES.Since the operations performed on the resisters in the key scheduling circuit are merely circular- left-shift(Ci and Di as described in Fig.1),their Hamming weight is constant in each round.The TSC checker for the Berger code can be used here to detect the errors induced in these two shift resisters 」（II−６９８頁右欄３５行〜４２行）
訳；「４．DESにおけるキースケジューリング部のための保護
　このセクションでは、我々は、DESのキースケジューリング回路を攻撃するDFAに対抗する方法を考える。キースケジュール回路におけるレジスタ上で成される操作はほとんどが循環左シフト（図１ではＣｉとＤｉで記述されている。）なので、これらのハミング重みは各ラウンドにおいて一定である。バーガコードのためのTSCチェッカはここではこれら二つのシフトレジスタに生じさせるエラーを検出するのに用いることができる。」
い．「As shown in Fig.3,we assume that the 56-bit secret key is stored・・・It receives the total 56 bits from both C and D,and produces a 48-bit output as a subkey ski,for the ith round.」（II−６９９頁左欄１０行〜１７行）
訳；「図３に示された様に、我々は５６ビット秘密キーが貯えられていると仮定する・・・ＣとＤの両方から全部で５６ビットを受け取り、そして、第ｉ番目のラウンドのためのサブキーＳＫｉとして４８ビットの出力が生成される。」
　あ．〜い．の記載とFig.1とFig.3を参照すると、DFAに対抗するために、サブキーの生成系列に生じたエラーをチェック（検知）する技術をよみとることができる。
　
ｃ．引用文献３
　引用文献３には「４　ブロック暗号に対する現実的な攻撃モデル」の項に、「拡大鍵の１ビットにビットエラーを起こす」ことが記載されている。（４頁１７行〜１８行）
　
（２）請求項１に係る発明について
請求項１に係る発明は、平成２３年１月４日付け補正書により補正された請求項１に記載されたとおりの次の事項により特定されるものである。
　「暗号化アルゴリズムの実行手段を有する暗号化アクセスを有する電子エンティティのセキュリティ化方法であって、
前記アルゴリズムは、演算群の系列を入力文に応用するステップ（「ラウンド」と言う）からなり、該ラウンドは、一連のサブキー（K０、．．．Kｎ）を使い、各サブキーは、初期キー（Ｋ）から実行される巡回プロセスにより継続的に生成されるものであって、
前記巡回プロセスの中間ステップのサブキー（Ｋｎ）を記憶し、少なくとも、前記巡回プロセスのステップの一部の再実行を行い、記憶されたものに対応するサブキーを再計算し、前記対応する再計算サブキー値と前記記憶したサブキー値とを比較し、前記２つの値が異なる場合は、前記アルゴリズムを実施して作成した暗号文（ＭＣ）の送出を禁止することを特徴とする暗号化アクセスを有する電子エンティティのセキュリティ方法。」
　
［対比］
　請求項１に係る発明（以下、「本願発明」という。）と引用文献１のものとの対比
ア．引用文献１の「ＩＣカード」は本願発明の「電子エンティティ」に相当し、引用文献１の「外部から物理的衝撃を加えて内部回路を誤動作させその出力を観察して装置内部の秘密情報を推測する攻撃法に対して防御」、図６から「セキュリティ化方法」に相当する事項をよみとることができる。
イ．引用文献１の「ＤＥＳ」と図１０、１２から「アルゴリズムは、演算群の系列を入力文に応用するステップ（「ラウンド」と言う）からなり、該ラウンドは、一連のサブキー（K０、．．．Kｎ）を使い、」に相当する事項をよみとることができる。また、「ＤＥＳ」のサブキー生成が「各サブキーは、初期キー（Ｋ）から実行される巡回プロセスにより継続的に生成されるもの」であることは記載されているに等しい事項である（必要なら引用文献４第３４頁図３．１参照）。
ウ．図１０の「鍵保管部５」から、鍵を適宜「記憶」することができると解される。図６の「同一処理」（再実行）、「比較」をふまえれば、図６のステップ２２のデータ処理の結果は「記憶」されていて再実行の結果と比較されると解することができ、当該同一処理に先行する「データ処理」の結果には鍵が含まれて「記憶」されていることと技術的に等価であるとみることができる。よって、「巡回プロセスの中間ステップのサブキー（Ｋｎ）を記憶」に相当する事項をよみとることができる。
エ．イ．で言及した事項と、引用文献１の「データ処理」ステップ、「データ処理に対応する誤動作検出処理（同一処理を行い、２つの結果が一致するかどうか比較する）」ステップから、本願発明の「少なくとも、前記巡回プロセスのステップの一部の再実行（同一処理）を行い、記憶されたものに対応するサブキーを再計算し」および「値」と「値とを比較し」に相当する事項をよみとることができる。
オ．引用文献１の「２つの結果が一致するかどうか比較する」「誤動作が検出されたか」否かに応じて「処理結果の出力を禁止する」から、「前記２つの値が異なる場合は、前記アルゴリズムを実施して作成した暗号文（ＭＣ）の送出を禁止する」に相当する事項をよみとることができる。
　
　以上の点をふまえると、本願発明と引用文献１のものとは、次の点で一致し、そして、相違する。
　
〈一致点〉
　暗号化アルゴリズムの実行手段を有する暗号化アクセスを有する電子エンティティのセキュリティ化方法であって、
前記アルゴリズムは、演算群の系列を入力文に応用するステップ（「ラウンド」と言う）からなり、該ラウンドは、一連のサブキー（K０、．．．Kｎ）を使い、各サブキーは、初期キー（Ｋ）から実行される巡回プロセスにより継続的に生成されるものであって、
前記巡回プロセスの中間ステップのサブキー（Ｋｎ）を記憶し、少なくとも、前記巡回プロセスのステップの一部の再実行（同一処理）を行い、記憶されたものに対応するサブキーを再計算し、前記対応する再計算値と前記記憶した値とを比較し、前記２つの値が異なる場合は、前記アルゴリズムを実施して作成した暗号文（ＭＣ）の送出を禁止することを特徴とする暗号化アクセスを有する電子エンティティのセキュリティ方法。
　
〈相違点〉
　対応する再計算値と前記記憶した値とを比較が、本願発明は、対応する再計算「サブキー」値と前記記憶した「サブキー」値とを比較しているのに対し、引用文献１の発明では、そのような「サブキー」値と「サブキー」値の比較をするものではない点。　
［当審判断］
　前記相違点について検討する。
　引用文献２には、DFAに対抗するために、局所的に、サブキーの生成系列に生じたエラーをチェック（検知）する技術が示されている。引用文献３には、局所的に、拡大鍵（サブキーに相当する。）にビットエラーを起こす攻撃が記載されている。
　引用文献１のものは、DFA攻撃に対する防御のために、局所的に限らず、攻撃者が生じさせたエラーを検出する技術思想のものである。してみれば、拡大鍵ないしサブキーの生成系列に対してビットエラーを起こす攻撃に対処すべく、当該拡大鍵ないしサブキーの生成系列に対して起こすエラーを検知することは自然な着想であり、引用文献１の対応する再計算値と記憶した値との比較に関し、対応する再計算「サブキー」値と記憶した「サブキー」値とを比較すると成すことは、前記技術を参酌することにより当業者が容易になし得ることである。
　そして、前記構成の採用による作用効果も、当然予想される範囲内のものであって格別顕著なものとは認められない。
　
（３）請求項２〜７について
　請求項２、３の「最終部分の再実行」、「全生成ステップを再実行」の事項は、引用文献１の「同一処理」からよみとることができ、請求項４、５の「ＡＥＳ」、「ＤＥＳ」も本件出願時には周知であり、請求項６、７の「自律型電子エンティティー」「ＩＣカードの形態」も処理装置を備えることが自明の引用文献１の「ＩＣカード」からよみとることができ、これらの点をふまえれば、上記請求項１の発明と同様に請求項２〜７に係る発明は引用文献１〜３に記載された発明に基いて当業者が容易になし得ることである。
　よって、本願請求項１〜７に係る発明は、引用文献１〜３に記載された発明に基いて、当業者が容易に発明することができたものである。
　
［引用文献等一覧］
１．特開平１０−１５４９７６号公報　　（拒絶査定の引用文献１）
２．Lih-Yang Wang 他３名著「On the Hardware Design for DES Cipher in Tamper Resistant Devices against Differential Fault Analysisi」ISCAS 2000-IEEE international Symposium on Circuits and Systems,May 28-31,2000,Geneva,Switzerland,頁II−６９７〜II−７００ 
３．盛合志帆，“故障利用暗号攻撃によるブロック暗号の解読”，1997年暗号と情報セキュリティ・シンポジウム予稿集，電子情報通信学会情報セキュリティ研究専門委員会，1997年 1月20日，6A　（拒絶査定の引用文献３）
４．岡本栄司，“暗号理論入門”，共立出版株式会社，1993年 2月25日，初版，pp.33-51　　（拒絶査定の引用文献２）』
　
（３）平成２４年１２月２７日付けの意見書
　上記平成２４年１２月２７日付けの意見書における意見の内容は以下のとおりである。
「【意見の内容】
１．拒絶理由について
（１）審判長殿は、本願は特許法３６条第４項第１項、第６項第２号に規定する要件を満たしていないと認定されました。
（２）また、審判長殿は、請求項１〜７に係る発明は、引用文献１〜４の記載に基づいて、その出願前にその発明の属する技術の分野における通常の知識を有する者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができないと認定されました。
２．特許法３６条第４項第１項、第６項第２号について
（１）平成２４年１１月７付け拒絶理由通知書１．（１）について
　審判長殿は、「中間ステップのサブキー（Ｋｎ）」との記載が明確ではないと指摘されました。しかしながら、請求項１には、「各サブキーは、初期キー（Ｋ）から実行される巡回プロセスにより継続的に生成される」と記載されるように、「中間ステップのサブキー（Ｋｎ）」は、請求項１に記載される「一連のサブキー（K０、．．．Kｎ）」に対応するものであることは明確であるものと思料いたします。
　また、上述のように、「中間ステップのサブキー（Ｋｎ）」は「一連のサブキー（K０、．．．Kｎ）」に対応するものであるので、「前記巡回プロセスのステップの一部の再実行を行い」との構成は最後のサブキーのみ記憶することにより実行されるものではなく、中間ステップのサブキーを記憶することにより実行されるものです。
　したがって、請求項１に記載される発明は、特許法３６条第６項第２号に規定する要件を満たしているものと思料いたします。
（２）平成２４年１１月７日付け拒絶理由通知書１．（２）について
　「一般的なＤＦＡ（故障差分分析）に対して、本願請求項１〜７の発明が如何なる課題を解決したものであるか説明はない」との審判長殿のご指摘は、本願発明の進歩性と関連するものです。後述のように、請求項１〜７に係る発明は進歩性を有しているものですので、本拒絶理由は解消したものと思料いたします。
（３）平成２４年７月１０日付け拒絶理由通知書１．（３）について
　上述のように、請求項２が引用する請求項１において、「一連のサブキー（K０、．．．Kｎ）」に対応する「中間ステップのサブキー（Ｋｎ）」を記憶しています。したがって、「前記サブキーの系列を生成するステップの最終部分の再実行を行い」との構成を有する請求項２に係る発明は、特許法３６条第６項第２号に規定する要件を満たしているものと思料いたします。
３．特許法２９条第２項について
（１）引用文献
（イ）引用文献１（特開平１０−１５４９７６号公報）には、外部から物理的衝撃を加えて内部回路を誤動作させその出力を観察して装置内部の秘密情報を推測する攻撃法に対して防御可能なタンパーフリー装置が記載されています。（段落００３９〜００４４、図１、２を参照）。
（ロ）引用文献２（Lih-Yang Wang 他３名著　「On the Hardware Design fro DES Cipher in Tamper Resistant Devices against Differential Fault Analysis」 ISCAS 2000-I
EEE international Symposium on Circuits and Systems, May 28-31, 2000, Geneva, Switzerland, 頁ＩＩ−６９７〜ＩＩ−７００）には、ＤＥＳのキースケジューリング回路を攻撃する方法に対抗する方法について記載されています。
（ハ）引用文献３（盛合志帆，故障利用暗号攻撃によるブロック暗号の解読，１９９７年暗号と情報セキュリティ・シンポジウム予稿集，電子情報通信学会情報セキュリティ研究専門委員会，１９９７年１月３０日，６Ａ）には、耐タンパーデバイスに対する攻撃法に関する攻撃モデルについて記載されています。
（ニ）引用文献４（岡本栄司，暗号理論入門，共立出版株式会社，１９９３年２月２５日
，初版，ｐｐ．３３−５１）には、対照暗号について記載されています。
（２）本願発明と引用文献との対比
（イ）請求項１について
（Ａ）本願の請求項１に記載された発明（以下、本願発明という）は、
「暗号化アルゴリズムの実行手段を有する暗号化アクセスを有する電子エンティティのセキュリティ化方法であって、
前記アルゴリズムは、演算群の系列を入力文に応用するステップ（「ラウンド」と言う）からなり、該ラウンドは、一連のサブキー（Ｋ０、．．．Ｋｎ）を使い、各サブキーは、初期キー（Ｋ）から実行される巡回プロセスにより継続的に生成されるものであって、
前記巡回プロセスの中間ステップのサブキー（Ｋｎ）を記憶し、少なくとも、前記巡回プロセスのステップの一部の再実行を行い、記憶されたものに対応するサブキーを再計算し、前記対応する再計算サブキー値と前記記憶したサブキー値とを比較し、前記２つの値が異なる場合は、前記アルゴリズムを実施して作成した暗号文（ＭＣ）の送出を禁止することを特徴とする暗号化アクセスを有する電子エンティティのセキュリティ方法。」を要旨とするものであります。
　平成２３年１月４日付けの審判請求書において説明しました通り、本願発明は、上記の構成を含むことにより、極めて情報量の小さいサブキーＫｎを用いて、効率的に、暗号化に対する攻撃を検知することができ、実用的であり、全ての装置に簡単に備えることができるという格別の効果を奏します。
（Ｂ）一方、引用文献１〜４には、サブキーを再計算し、再計算したサブキーと記憶したサブキーとを比較し、異なる場合は暗号文の送出を禁止することについては何の記載もございませんし、またこの点について何の示唆もございません。
　従いまして、引用文献１〜４には、本願発明の構成要素である、
　「（ａ）前記巡回プロセスの中間ステップのサブキー（Ｋｎ）を記憶し、少なくとも、前記巡回プロセスのステップの一部の再実行を行い、記憶されたものに対応するサブキーを再計算し、前記対応する再計算サブキー値と前記記憶したサブキー値とを比較し、前記２つの値が異なる場合は、前記アルゴリズムを実施して作成した暗号文（ＭＣ）の送出を禁止する」ことは開示されておりません。
（Ｃ）審判長殿は、「引用文献１の発明において、攻撃の対象であるサブ鍵を直接比較するものとすること、すなわち、上記相違点にかかる構成を採用することは、当業者が極めて自然に着想することである」と指摘されました。
（Ｄ）しかしながら、引用文献１に記載の発明は、エラー検出の技術的問題を解決するものであるため、当業者は、引用文献１により提供される方法を変更しないものと思料します。
　すなわち、サブキーにエラーが生じると、暗号化されたデータの結果にもエラーが生じます。従って、当業者は、引用文献２及び３に記載のモデルからのサブキーに対する攻撃を考慮する場合、引用文献１により提供される、暗号化されたデータを比較する方法によってその攻撃を検出することができます。そのため、当業者が引用文献１に記載された方法を変更する理由はありません。
　従って、当業者は、引用文献２及び３に記載のモデルに対して防御可能な構成とするために、引用文献１に記載の発明を、サブキー生成処理を再度実行して、両方のサブキーを比較する構成とする明確な動機付けを有しません。そのため、引用文献１の技術と引用文献２及び３の技術を結び付けることはできません。
（Ｅ）また、引用文献１には、暗号アルゴリズムの結果（暗号化されたデータ）を比較することが、全暗号アルゴリズムにおけるエラーを検出するのに適していることが教示されています（段落００７３を参照）。このエラーがサブキーに関連するものか否かは問題となりません。
　全暗号アルゴリズムの結果が送信される場合のみエラーの存在が問題となるので、先行技術においては、全アルゴリズムの結果のみを比較することが適しているものと認められます（引用文献１の段落０００６と、引用文献３の「拡大鍵の格納されているメモリに１ビットエラーを起こしたり、あるいは０または１をセットすることで生じる暗号文と正しい暗号文の差分を解析して解を求める」を参照）。つまり、先行技術においては、エラーが生じる暗号アルゴリズムのステップがどこであっても、送信される結果が誤っている（そして攻撃者に情報を提供する）場合のみ、そのエラーが問題となるので、その結果を比較することが適しているものと認められます。
（Ｆ）また、引用文献３には、「４　ブロック暗号に対する現実的な攻撃モデル」に記載された攻撃に対する対策が示されておらず、参照もされていません。そのため、当業者は、その対策として従来の方法を使用するものと思料します。すなわち、当業者は、鍵生成プロセスにおける攻撃を含む、全暗号アルゴリズムにおける攻撃を検出するために、引用文献１に記載の発明のように、全暗号アルゴリズムを繰り返し、（サブキーではなく）全暗号アルゴリズムから生じる暗号化されたデータを比較するものと思料します。
（Ｇ）以上説明したように、当業者は、引用文献２及び３に記載のモデルに対して防御可能な構成とするために、引用文献１に記載の発明を、サブキー生成処理を再度実行して、両方のサブキーを比較する構成とする明確な動機付けを有しません。従って、引用文献１〜４に記載の発明からは、本願発明の構成要素（ａ）を構成することができませんし、そのため上述した本願発明に特有の効果を奏することもできません。
　従いまして、本願発明は、引用文献１〜４に記載された発明に基づいて当業者が容易に想到し得る発明ではございません。
（ロ）その他の請求項について
　本願の請求項２〜７は、請求項１の従属項であり、それぞれ、請求項２〜７に記載された構成に加えて請求項１に記載の構成を全て含んでおり、上記のように各引用文献にはない構成及び特有の効果を有するものです。
４．むすび
　以上詳述しましたように、本願は、特許法３６条第４項第１項、第６項第２号に規定する要件を満たすものであり、且つ本願の請求項１〜７に係る発明は、引用文献１〜４の存在があっても当業者が容易に発明することができたものではなく、特許法第２９条第２項によって拒絶されるべきものではないと思料いたします。従いまして、原査定を取り消す、この出願の発明はこれを特許すべきものとする、との審決を求めるものであります。』
　
　
　
第２　記載要件（特許法第３６条）について
　
１　当審拒絶理由のＡ．１．（１）で指摘した点について
　本願の請求項１には、当該指摘の通り「前記巡回プロセスの中間ステップのサブキー（Ｋｎ）を記憶し」との記載がある。
　ＦＩＧ．２，ＦＩＧ．３の記載や請求人による意見書での「中間ステップのサブキー（Ｋｎ）」は「一連のサブキー（K０、．．．Kｎ）」に対応するもの」であるとする釈明などからみて、該「中間ステップのサブキー」は「一連のサブキー（K０、．．．Kｎ）」にほかならないものと解することができる。
　この前提に従えば、「Ｋｎ」は「一連のサブキー（K０、．．．Kｎ）」の中の最終のサブキーを意味するものにほかならない。
　してみると「中間ステップのサブキー（Ｋｎ）」なる記載における「（Ｋｎ）」との記載は、本来は「Ｋｉ｜ｉ＝１〜ｎ」等と記すべきものであるところ、これが「Ｋｎ」と記載されていることで、「中間ステップのサブキー」とは最終のサブキーのみを意味すると言う、上記前提と矛盾する解釈が可能なものとなる。
　したがって、「前記巡回プロセスの中間ステップのサブキー（Ｋｎ）を記憶し」との記載を明確でないものとした当審拒絶理由のＡ．１．（１）に誤りはない。
　そして、当該不備については、平成２４年７月３日付けの拒絶理由通知の理由Ａ．の１．１においても指摘し、さらに当審拒絶理由で指摘し、かつ「Ｋｉ｜ｉ＝１〜ｎ」等と記すべき旨の補正の示唆をして、２度にわたる補正の機会を設けたにも関わらず、請求人はその補正を怠り、当該不備は放置されたままであるから、当然、本願の請求項１の記載は依然として当該不備が解消されていないものである。
　したがって、本願請求項１〜７に係る発明は明確でなく、この出願の特許請求の範囲の記載は、特許法第３６条第６項第２号に規定する要件を満たしていないものである。
　
２　当審拒絶理由のＡ．１．（２）で指摘した点について
　当該指摘の通り一般的なＤＦＡ（故障差分分析）に対して、本願請求項１〜７の発明が、如何なる課題を解決したものであるのかの説明は明細書又は図面にはない。
　なお、発明の詳細な説明には【発明が解決しようとする課題】の欄に
「現在まで、実際に、AESタイプのアルゴリズムに対して、DFAタイプの攻撃方法を実際使うことはできないと考えられてきた。しかしながら、本発明に基づく研究が、明らかにしたことであるが、DFAタイプの３つの攻撃が、関数Fの応用と最終「ラウンド」の開始端と同期すると、前記入力キーKが128ビットで符号化されている場合、最終サブキーの全オクテットを検出することができるのである。現在、アルゴリズムAESを使用しているほとんどシステムは、入力キーKが128ビットで符号化されている。この情報を知ることにより、入力キーを検出することができる。」とあるが、これは一般的なＤＦＡの問題を開示するものに過ぎず、引用文献１などを参照するまでもなく一般的なＤＦＡ対策として、当業者であればその解決方法を十分に心得ている解決済みの課題と言える程度のものにすぎず、本願発明の特徴によって始めてこれが解決されると言うものではない。
　また、請求人は意見書において、『「一般的なＤＦＡ（故障差分分析）に対して、本願請求項１〜７の発明が如何なる課題を解決したものであるか説明はない」との審判長殿のご指摘は、本願発明の進歩性と関連するものです。後述のように、請求項１〜７に係る発明は進歩性を有しているものですので、本拒絶理由は解消したものと思料いたします。』と主張し、「後述」される進歩性に関する主張では「本願発明は、上記の構成を含むことにより、極めて情報量の小さいサブキーＫｎを用いて、効率的に、暗号化に対する攻撃を検知することができ、実用的であり、全ての装置に簡単に備えることができるという格別の効果を奏します。」とその効果の釈明がなされている。
　しかしながら、本願発明における比較対象となるサブキーのビット数等が限定されているわけでもなく、また上述の如くその意味の不明確な「巡回プロセスの中間ステップのサブキー（Ｋｎ）」であり、これは必ずしも最終キー（Ｋｎ）のみを意味するものではないのであるから、「極めて情報量の小さいサブキー」と認め得るものではなく（なお、ＤＥＳの各ラウンドでは６４ビットが入力されるが、その半分の３２ビットが４８ビットの拡大鍵によって変換され、残りの半分の３２ビットは実質的な変換がされないので、出力を比較する場合の実質的な処理量は、拡大鍵を比較する場合よりも小さい。）、この主張をもって、本願の発明の詳細な説明に本願の請求項１〜７に係る発明の技術上の意義を理解するために必要な事項が十分に記載されているとすることは到底できない。
　そして、当該不備についても、補正の機会を設けたにも関わらず、特許請求の範囲に対しても発明の詳細な説明に対しても補正はなされておらず、本願の発明の詳細な説明の記載は、依然として本願の請求項１〜７に係る発明の技術上の意義を理解するために必要な事項が十分に記載されておらず、特許法第３６条第４項第１号の経済産業省令で定めるところによる記載がされていないままのものである。
　したがって、この出願の発明の詳細な説明の記載は、特許法第３６条第４項第１号に規定する要件を満たしていないものである。
　
３　当審拒絶理由のＡ．１．（３）で指摘した点について
　当該指摘の通り、本願の請求項１には「中間ステップのサブキー（Ｋｎ）を記憶」する旨の記載があり、当該請求項１を引用する請求項２には、「最終サブキー（Ｋｎ）値を記憶」する旨の記載がある。
　そして、本願の請求項１にも請求項２にも、該「最終サブキー（Ｋｎ）値を記憶」することと、「中間ステップのサブキー（Ｋｎ）を記憶」することとの関係（請求項２に係る発明は、請求項１記載の「中間ステップのサブキー（Ｋｎ）を記憶」することは別に「最終サブキー（Ｋｎ）値を記憶」するのか？請求項１記載の「中間ステップのサブキー（Ｋｎ）を記憶」することを「最終サブキー（Ｋｎ）値を記憶」すると言う下位概念に限定したものなのか？請求項１記載の「中間ステップのサブキー（Ｋｎ）を記憶」することに代えて「最終サブキー（Ｋｎ）値を記憶」するのか？）に関する記載がみあたらない。
　したがって、「最終サブキー（Ｋｎ）値を記憶」する旨の記載を明確でないとした当審拒絶理由のＡ．１．（３）に誤りはない。
　この点に付いて請求人は意見書において
『上述のように、請求項２が引用する請求項１において、「一連のサブキー（K０、．．．Kｎ）」に対応する「中間ステップのサブキー（Ｋｎ）」を記憶しています。したがって、「前記サブキーの系列を生成するステップの最終部分の再実行を行い」との構成を有する請求項２に係る発明は、特許法３６条第６項第２号に規定する要件を満たしているものと思料いたします。』と主張しているが、当審拒絶理由で指摘した「最終サブキー（Ｋｎ）値を記憶」することと、「中間ステップのサブキー（Ｋｎ）を記憶」することとの関係については何の釈明もなく、当該不備に基づく拒絶理由を覆し得るものではない。
　そして、当該不備についても、補正の機会を設けたにも関わらず、請求人はその補正をせず、本願の請求項１の記載は、依然として当該不備が解消されていないものである。
　したがって、本願請求項１〜７に係る発明は明確でなく、この出願の特許請求の範囲の記載は、特許法第３６条第６項第２号に規定する要件を満たしていないものである。
　
４　小結
　以上のとおり、この出願の特許請求の範囲及び発明の詳細な説明の記載は、特許法第３６条第４項第１号、第６項第２号に規定する要件を満たしていないものである。
　
　
　
第３　進歩性（特許法第２９条第２項）について
　
１　本願発明の認定
　本願の請求項１に係る発明（以下「本願発明」と言う。）は、上記平成２３年１月４日付けの手続補正書により補正された明細書及び図面の記載からみて、次のものと認める。
　
「暗号化アルゴリズムの実行手段を有する暗号化アクセスを有する電子エンティティのセキュリティ化方法であって、
前記アルゴリズムは、演算群の系列を入力文に応用するステップ（「ラウンド」と言う）からなり、該ラウンドは、一連のサブキー（K０、．．．Kｎ）を使い、各サブキーは、初期キー（Ｋ）から実行される巡回プロセスにより継続的に生成されるものであって、
前記巡回プロセスの中間ステップのサブキー（Ｋｉ｜ｉ＝１〜ｎ）を記憶し、少なくとも、前記巡回プロセスのステップの一部の再実行を行い、記憶されたものに対応するサブキーを再計算し、前記対応する再計算サブキー値と前記記憶したサブキー値とを比較し、前記２つの値が異なる場合は、前記アルゴリズムを実施して作成した暗号文（ＭＣ）の送出を禁止することを特徴とする暗号化アクセスを有する電子エンティティのセキュリティ方法。」
　
　なお、「中間ステップのサブキー（Ｋｎ）」との記載は上記第２で検討したように明確なものではないので、本来は「中間ステップのサブキー（Ｋｉ｜ｉ＝１〜ｎ）」と記載すべきものと解釈し、上記のように認定した。
　
２　引用文献に記載される事項
　
（１）　当審拒絶理由のＢ．において引用文献１として引用された、特開平１０−１５４９７６号公報（平成１０年６月９日出願公開。以下「引用文献１」と記す。）には、次の記載がある。（下線は当審付与。）
　
ア　「【特許請求の範囲】
【請求項１】内部に外部からの入力データに対して所定のデータ変換処理を施して出力するための手段を備え、内部情報への不正アクセスを防止するために内部回路全体を物理的手段により外部から保護したタンパーフリー装置であって、
前記データ変換処理の誤動作を検出する手段と、
誤動作が検出された場合に前記処理の出力に所定の規制を施す出力規制手段とを備えたことを特徴とするタンパーフリー装置。
【請求項２】
入力データに所定の処理を施して外部に出力する機能を有し、外部から自装置内部に存在するデータにアクセスすることおよび外部から該機能を変更させることを不能とするために内部回路全体を物理的手段により外部から保護したタンパーフリー装置であって、入力データに対して鍵情報を用いた所定のデータ変換処理を施す手段と、前記入力データおよび前記所定のデータ変換処理により得られたデータをもとにして、前記所定のデータ変換処理において誤動作が発生したか否かを検出する手段と、この検出の結果、前記所定のデータ変換処理において誤動作が発生したと判断された場合、前記所定のデータ変換処理により得られたデータを外部に出力させないように制御する手段とを備えたことを特徴とするタンパーフリー装置
【請求項３】入力データに所定の処理を施して外部に出力する機能を有し、外部から自装置内部に存在するデータにアクセスすることおよび外部から該機能を変更させることを不能とするために内部回路全体を物理的手段により外部から保護したタンパーフリー装置であって、
予め定められた、鍵情報を用いて行う複数種類のデータ変換処理のうち実行すべきもの指示する情報を入力する手段と、
入力データに対して、指示されたデータ変換処理を施す手段と、
前記入力データおよび前記所定のデータ変換処理により得られたデータをもとにして、前記データ変換処理において誤動作が発生したか否かを検出する手段と、
この検出の結果、前記所定のデータ変換処理において誤動作が発生したと判断された場合、前記所定のデータ変換処理により得られたデータを外部に出力させないように制御する手段とを備えたことを特徴とするタンパーフリー装置。
【請求項４】入力データに所定の処理を施して外部に出力する機能を有し、外部から自装置内部に存在するデータにアクセスすることおよび外部から該機能を変更させることを不能とするために内部回路全体を物理的手段により外部から保護したタンパーフリー装置であって、
予め定められた、複数の鍵情報のうち使用すべきもの指示する情報を入力する手段と、
入力データに対して、指示された前記鍵情報を用いた所定のデータ変換処理を施す手段と、
入力データに対して、指示されたデータ変換処理を施す手段と、
前記入力データおよび前記所定のデータ変換処理により得られたデータをもとにして、前記データ変換処理において誤動作が発生したか否かを検出する手段と、
この検出の結果、前記所定のデータ変換処理において誤動作が発生したと判断された場合、前記所定のデータ変換処理により得られたデータを外部に出力させないように制御する手段とを備えたことを特徴とするタンパーフリー装置。
【請求項５】
前記検出する手段は、前記入力データに対して、前記所定のデータ変換処理と同一の処理を施し、得られた結果が前記所定のデータ変換処理により得られた結果と一致するか否かによって、誤動作が発生したか否かを検出することを特徴とする請求項１ないし４のいずれか１項に記載のタンパーフリー装置
【請求項６】前記データ変換処理を施す手段における前記データ変換処理を行う回路と、前記検出する手段における前記処理を行う回路とを、同一半導体基板上で距離を離して設けたことを特徴とする請求項５に記載のタンパーフリー装置。
【請求項７】前記検出する手段は、前記データ変換処理の結果得られたデータに対して、前記所定のデータ変換処理の逆変換処理を施し、得られた結果が前記入力データと一致するか否かによって、誤動作が発生したか否かを検出することを特徴とする請求項１ないし４のいずれか１項に記載のタンパーフリー装置。
【請求項８】前記データ変換処理と前記逆変換処理とをパイプライン的に並列動作させるようにしたことを特徴とする請求項７に記載のタンパーフリー装置。
【請求項９】
暗号アルゴリズムが積暗号である場合、各ラウンド処理毎に前記誤動作の検出を行うようにしたことを特徴とする請求項１ないし４のいずれか１項に記載のタンパーフリー装置
【請求項１０】入力データに所定のデータ変換処理を施して外部に出力する機能を有し、外部から自装置内部に存在するデータにアクセスすることおよび外部から該機能を変更させることを不能とするために内部回路全体を物理的手段により外部から保護したタンパーフリー装置であって、
前記所定のデータ変換処理が準同型性を持つ場合、入力データに乱数を混入させたものに対して該データ変換処理を施し、得られた結果から、該乱数の影響を取り除いて、出力することを特徴とするタンパーフリー装置。
【請求項１１】前記所定のデータ変換処理は、暗号化処理、復号化処理、ディジタル署名、またはディジタル署名の署名検証であることを特徴とする請求項１ないし１０のいずれか１項に記載のタンパーフリー装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、放射線や他の物理手段により誤動作を生じさせ内部に封入された秘密を分解せずに暴こうとする攻撃に対して安全なタンパーフリー装置に関する。
【０００２】
【従来の技術】現在、コンピュータや記憶装置あるいは通信網など、情報を電子化して処理、保存、通信などする技術がかなり高度化されるとともに、ますます研究開発が盛んになってきている。また、このような技術は、実際に、様々な分野において様々な形で利用されている。中でも、情報を第３者から秘匿した状態で蓄積や転送などするための基盤技術である暗号技術の重要性は非常に高まっており、盛んに研究開発が行われているとともに、電子課金の情報、機密情報、著作権に係る情報あるいはプライバシーに関する情報などを扱うシステムに実際に利用されている。
【０００３】暗号技術を研究開発する場合、主に新たな暗号方式を提供するだけではなく、その新たな暗号方式における暗号解読の困難性を検証することも重要なテーマである。しかして、従来は、暗号解読は通信路の盗聴を前提としており、暗号化や復号を行う装置自体は、安全であって危険にさらされることはない、という前提があった。特に、例えばＩＣカードのように、分解や走査されることにより内部の情報を読み取ることを困難にしたタンパーフリー装置（タンパープルーフ装置あるいはタンパーレジスト装置とも呼ばれる）は、鍵の安全な保管装置としてだけではなく、計算能力（ＣＰＵ）も封入することで、鍵を外部に知られることなく、暗号化、復号化、認証処理などのデータ処理が可能な、安全なデータ処理装置を構成できるものと考えられていた。なお、タンパーフリー装置については、例えば、「“Ｓｕｐｅｒ　ｄｉｓｔｒｉｂｕｔｉｏｎ　：　Ｔｈｅ　Ｃｏｎｃｅｐｔ　ｔｈｅ　Ａｒｃｈｉｔｅｃｔｕｒｅ”、　Ｍａｓａｊｉ　Ｋａｗａｈａｒａ、　ＴＨＥ　ＴＲＡＮＳＡＣＴＩＯＮ　ＯＦ　ＴＨＥ　ＩＥＩＣＥ、Ｖｏｌ．Ｅ７３、　Ｎｏ．７、　ＪＵＬＹ　１９９０」に開示されている。
【０００４】ところが、ＢｒａｎｓｏｎやＬｉｎｄｓｔｒｏｍは、タンパーフリー装置を分解や操作することなく、内部の秘密情報を暴く新しい暗号解析技術を提示した（例えば、インターネットにおける“ｈｔｔｐ：／／ｗｗｗ．ｂｅｌｌｃｏｒｅ．ｃｏｍ／ＰＲＥＳＳ／ＡＤＶＳＲＹ９６／ｆａｃｔｓ．ｈｔｍｌ”）。その技術は、タンパーフリー装置に外部から放射線や電子、熱や振動など物理的な衝撃を加え、内部装置を誤動作（内部のレジスタが１ｂｉｔ反転する）させ、誤動作の結果得られた出力データを幾つか蓄積し、これら出力データに与えた誤動作の影響の仕方を観察することにより、内部情報を推測するというものである。このような技術は、これまでは想定されていなかったもので、ＩＣカードのようなタンパーフリーな暗号装置を利用者が手軽に利用できるようになったという社会背景と、暗号装置自身は攻撃されないことを前提としてきた従来の研究開発の指針とを考慮すると、既存の概念にある程度の転換を迫るものと言える。
【０００５】ＢｉｈａｍとＳｈａｍｉｒも同じ原理に基づいてＤＥＳのようなブロック暗号を解読する方法を提案した（例えば、インターネットにおける“ｈｔｔｐ：／／ｗｗｗ．ＣＳ．ｔｅｃｎｉｏｎ．ａｃ．ｉｌ／〜ｂｉｈａｍ／ｄｆａ．ｈｔｍｌ”）。計算機によるシミュレーションの結果、この方法によれば、例えば約２００個程度の出力データの観察によりＤＥＳの５６ｂｉｔの鍵を手に入れることが可能であることが示されている。」
　
イ　「【０００６】
【発明が解決しようとする課題】従来のタンパーフリー装置は、外部から放射線や電子、熱や振動などの物理的衝撃を加えることによって暗号化回路などの内部回路を誤動作させ、誤動作の反映された出力データを蓄積し観察することによって内部の秘密情報を推測する新しい暗号解読法に対して、対策が施されていないという問題があった。
【０００７】本発明は、上記事情を考慮してなされたもので、
外部から物理的衝撃を加えて内部回路を誤動作させその出力を観察して装置内部の秘密情報を推測する攻撃法に対して防御可能なタンパーフリー装置
　
ウ　「【００７０】以下では、図１〜図６を用いて説明したタンパーフリー装置のデータ処理部２の処理がラウンド関数を用いる場合の構成例について説明する。
ＤＥＳやＦＥＡＬ
・・・（中略）・・・
【００８１】以降、このような動作が最終段（ここでは４段目）まで繰り返される（ステップＳ３６〜Ｓ４３）。そして、最終段の誤動作検出処理が実行され（ステップＳ４４）、誤動作が検出された場合（ステップＳ４５）、最終的な処理結果の外部への出力は禁止され（ステップＳ４６）、誤動作が検出されなかった場合（ステップＳ４５）、最終的な処理結果が外部へ出力される（ステップＳ４７）。
【００８２】なお、図１０〜図１２では、ラウンド数が４段である場合について説明したが、もちろん、本構成は、所望のラウンド数のものに適用可能である。ところで、図１０や図１１の構成において、ラウンド対応部分を１組の回路で共用し、回路量を削減することも可能である。
【００８３】そのような構成の一例として、図１３に、データ処理部２と誤動作検出部３の両方で暗号化を行う場合の構成例を示す。また、図１４に、データ処理部２で暗号化を行い、誤動作検出部３で復号化を行う場合の構成例を示す。伝える。
【００８４】選択回路２１１は、外部からのデータ入力時には、入力データを暗号部２０１側に伝え、その他ではラウンド関数の実行のために、選択回路２１２の出力を伝える。
【００８５】選択回路２１２は、最終段のラウンド関数の実行までは、暗号部２０１の出力を選択回路２１１に伝え、最終段のラウンド関数の実行結果は、出力制御部４に伝える。」
　
（２）　
　当審拒絶理由のＢ．において引用文献２として引用された、Lih-Yang Wang 他３名著「On the Hardware Design for DES Cipher in Tamper Resistant Devices against Differential Fault Analysisi」ISCAS 2000-IEEE international Symposium on Circuits and Systems,May 28-31,2000,Geneva,Switzerland,頁II−６９７〜II−７００（ 以下「引用文献２」と記す。）には、次の記載がある。
　
ア　「４．Protection for the Key Scheduling Part in DES 
 In this section,we consider how to resist DFA to attack the key scheduling circuit of DES.Since the operations performed on the resisters in the key scheduling circuit are merely circular- left-shift(Ci and Di as described in Fig.1),their Hamming weight is constant in each round.The TSC checker for the Berger code can be used here to detect the errors induced in these two shift resisters 」（II−６９８頁右欄３５行〜４２行）
訳；「４．DESにおけるキースケジューリング部のための保護
　このセクションでは、我々は、DESのキースケジューリング回路を攻撃するDFAに対抗する方法を考える。キースケジュール回路におけるレジスタ上で成される操作はほとんどが循環左シフト（図１ではＣｉとＤｉで記述されている。）なので、これらのハミング重みは各ラウンドにおいて一定である。バーガコードのためのTSCチェッカはここではこれら二つのシフトレジスタに生じさせるエラーを検出するのに用いることができる。」
　
イ　「As shown in Fig.3,we assume that the 56-bit secret key is stored・・・It receives the total 56 bits from both C and D,and produces a 48-bit output as a subkey ski,for the ith round.」（II−６９９頁左欄１０行〜１７行）
訳；「図３に示された様に、我々は５６ビット秘密キーが貯えられていると仮定する・・・ＣとＤの両方から全部で５６ビットを受け取り、そして、第ｉ番目のラウンドのためのサブキーＳＫｉとして４８ビットの出力が生成される。」
　
（３）　当審拒絶理由のＢ．において引用文献３として引用された、盛合志帆，“故障利用暗号攻撃によるブロック暗号の解読”，1997年暗号と情報セキュリティ・シンポジウム予稿集，電子情報通信学会情報セキュリティ研究専門委員会，1997年 1月20日，6A（以下「引用文献３」と記す。）には、次の記載がある。
　
ア　「４　ブロック暗号に対する現実的な攻撃モデル
モデル１：　拡大鍵の１ｂｉｔにビットエラーを起こす（または書き換える）　このモデルでは、拡大鍵の格納されているメモリに１bitビットエラーを起こしたり、あるいは０または１をセットすることで生じる暗号文と正しい暗号文の差分を解析して鍵を求める。」（４頁１７行〜２０行）
　
　
３　引用発明の認定
　
（１）引用文献１には上記２（１）アに記載の如き「タンパーフリー装置」を説明する文献であるところ、これは上記２（１）イに記載の如く「外部から物理的衝撃を加えて内部回路を誤動作させその出力を観察して装置内部の秘密情報を推測する攻撃法に対して防御可能な」ものであるから、引用文献１には
「外部から物理的衝撃を加えて内部回路を誤動作させその出力を観察して装置内部の秘密情報を推測する攻撃法に対する防御方法」が記載されているとも言える。
　
（２）
ア　引用文献１には該「タンパーフリー装置」として、上記２（１）アの【請求項２】のとおりの
「入力データに所定の処理を施して外部に出力する機能を有し、外部から自装置内部に存在するデータにアクセスすることおよび外部から該機能を変更させることを不能とするために内部回路全体を物理的手段により外部から保護したタンパーフリー装置であって、
入力データに対して鍵情報を用いた所定のデータ変換処理を施す手段と、
前記入力データおよび前記所定のデータ変換処理により得られたデータをもとにして、前記所定のデータ変換処理において誤動作が発生したか否かを検出する手段と、
この検出の結果、前記所定のデータ変換処理において誤動作が発生したと判断された場合、前記所定のデータ変換処理により得られたデータを外部に出力させないように制御する手段とを備えたことを特徴とするタンパーフリー装置」
が記載されている。
　
イ　また、引用文献１には、同【請求項５】のとおりの
「前記検出する手段は、前記入力データに対して、前記所定のデータ変換処理と同一の処理を施し、得られた結果が前記所定のデータ変換処理により得られた結果と一致するか否かによって、誤動作が発生したか否かを検出することを特徴とする請求項１ないし４のいずれか１項に記載のタンパーフリー装置」
も記載されている。
　
ウ　そして、同【請求項９】や上記２（１）ウの記載等から見て、さらに
「前記データ変換処理の暗号アルゴリズムがＤＥＳ又はＦＥＡＬの積暗号であり、各ラウンド処理毎に前記誤動作の検出を行うようにした」ものも記載されていると言える。
　
エ　したがって、上記「防御方法」は
「入力データに所定の処理を施して外部に出力する機能を有し、外部から自装置内部に存在するデータにアクセスすることおよび外部から該機能を変更させることを不能とするために内部回路全体を物理的手段により外部から保護したタンパーフリー装置であって、
入力データに対して鍵情報を用いた所定のデータ変換処理を施す手段と、
前記入力データおよび前記所定のデータ変換処理により得られたデータをもとにして、前記所定のデータ変換処理において誤動作が発生したか否かを検出する手段と、
この検出の結果、前記所定のデータ変換処理において誤動作が発生したと判断された場合、前記所定のデータ変換処理により得られたデータを外部に出力させないように制御する手段とを備え、
　前記検出する手段は、前記入力データに対して、前記所定のデータ変換処理と同一の処理を施し、得られた結果が前記所定のデータ変換処理により得られた結果と一致するか否かによって、誤動作が発生したか否かを検出するものであり、
　前記データ変換処理の暗号アルゴリズムがＤＥＳ又はＦＥＡＬの積暗号であり、各ラウンド処理毎に前記誤動作の検出を行うようにしたタンパーフリー装置の防御方法」
であるとも言える。
　
（３）よって、引用文献１には下記の引用発明が記載されていると認められる。
　
＜引用発明＞
「外部から物理的衝撃を加えて内部回路を誤動作させその出力を観察して装置内部の秘密情報を推測する攻撃法に対する防御方法であって、
　入力データに所定の処理を施して外部に出力する機能を有し、外部から自装置内部に存在するデータにアクセスすることおよび外部から該機能を変更させることを不能とするために内部回路全体を物理的手段により外部から保護したタンパーフリー装置であって、
入力データに対して鍵情報を用いた所定のデータ変換処理を施す手段と、
前記入力データおよび前記所定のデータ変換処理により得られたデータをもとにして、前記所定のデータ変換処理において誤動作が発生したか否かを検出する手段と、
この検出の結果、前記所定のデータ変換処理において誤動作が発生したと判断された場合、前記所定のデータ変換処理により得られたデータを外部に出力させないように制御する手段とを備え、
　前記検出する手段は、前記入力データに対して、前記所定のデータ変換処理と同一の処理を施し、得られた結果が前記所定のデータ変換処理により得られた結果と一致するか否かによって、誤動作が発生したか否かを検出するものであり、
　前記データ変換処理の暗号アルゴリズムがＤＥＳ又はＦＥＡＬの積暗号であり、各ラウンド処理毎に前記誤動作の検出を行うようにしたタンパーフリー装置の防御方法」
　
　
４対比
　以下に、引用発明と本願発明とを比較する。
　
（１）引用発明は「タンパーフリー装置の防御方法」であるから、本願発明と同様に「電子エンティティのセキュリティ方法」と言えるものである。
　また、引用発明における「タンパーフリー装置」は、その「データ変換処理の暗号アルゴリズムがＤＥＳ又はＦＥＡＬの積暗号」であることから、「暗号化アルゴリズムの実行手段を有する暗号化アクセスを有する」と言える。
　したがって、引用発明も本願発明と同様に
「暗号化アルゴリズムの実行手段を有する暗号化アクセスを有する電子エンティティのセキュリティ化方法」
と言えるものである。
　
（２）引用発明においては、その「データ変換処理の暗号アルゴリズムがＤＥＳ又はＦＥＡＬの積暗号」であるから、引用発明も本願発明と同様に「前記アルゴリズムは、演算群の系列を入力文に応用するステップ（「ラウンド」と言う）からなり、該ラウンドは、一連のサブキー（K０、．．．Kｎ）を使い、各サブキーは、初期キー（Ｋ）から実行される巡回プロセスにより継続的に生成されるもの」と言える。
　
（３）この「データ変換処理の暗号アルゴリズムがＤＥＳ又はＦＥＡＬの積暗号」であることからみて、各ラウンドでのキースケジューリングがなされ、何らかの形でサブキーの記憶がなされることは明らかであるから、引用発明においても本願発明と同様に「前記巡回プロセスの中間ステップのサブキー（Ｋｉ｜ｉ＝１〜ｎ）を記憶」することが行われることは明らかである。
　
（４）引用発明においては、「前記検出する手段は、前記入力データに対して、前記所定のデータ変換処理と同一の処理を施し」ているのであるところ、当該「データ変換処理」はその「暗号アルゴリズムがＤＥＳ又はＦＥＡＬの積暗号」であり、そのキースケジューリングも当然「ラウンド処理」の一部であるはずであるから、本願発明と同様に「少なくとも、前記巡回プロセスのステップの一部の再実行を行い、記憶されたものに対応するサブキーを再計算し」ていることも明らかである。
　
（５）引用発明においては「前記検出する手段は、前記入力データに対して、前記所定のデータ変換処理と同一の処理を施し、得られた結果が前記所定のデータ変換処理により得られた結果と一致するか否かによって、誤動作が発生したか否かを検出するもの」であり、しかも「各ラウンド処理毎に前記誤動作の検出を行う」のであるから、引用発明と本願発明とは「前記再計算で得られた値と前記巡回プロセスで得られた値とを比較し」ている点で共通すると言える。
　
（６）引用発明における「タンパーフリー装置」は「この検出の結果、前記所定のデータ変換処理において誤動作が発生したと判断された場合、前記所定のデータ変換処理により得られたデータを外部に出力させないように制御する手段」を備えるのであるから、引用発明も本願発明と同様に
「前記２つの値が異なる場合は、前記アルゴリズムを実施して作成した暗号文（ＭＣ）の送出を禁止する」ものと言える。
　
（７）よって、本願発明は、下記一致点で引用発明と一致し、下記相違点を有する点で引用発明と相違する。
　
＜一致点＞
「暗号化アルゴリズムの実行手段を有する暗号化アクセスを有する電子エンティティのセキュリティ化方法であって、
前記アルゴリズムは、演算群の系列を入力文に応用するステップ（「ラウンド」と言う）からなり、該ラウンドは、一連のサブキー（K０、．．．Kｎ）を使い、各サブキーは、初期キー（Ｋ）から実行される巡回プロセスにより継続的に生成されるものであって、
前記巡回プロセスの中間ステップのサブキー（Ｋｉ｜ｉ＝１〜ｎ）を記憶し、少なくとも、前記巡回プロセスのステップの一部の再実行を行い、記憶されたものに対応するサブキーを再計算し、前記再計算で得られた値と前記巡回プロセスで得られた値とを比較し、前記２つの値が異なる場合は、前記アルゴリズムを実施して作成した暗号文（ＭＣ）の送出を禁止する暗号化アクセスを有する電子エンティティのセキュリティ方法。」
　
＜相違点＞
　本願発明においては「前記対応する再計算サブキー値」と「前記記憶したサブキー値」を比較している。
（これに対し、引用文献１には「サブキー」を比較する旨の記載は無い。）
　
　
５　当審判断
（１）以下に、上記相違点について検討するに、引用文献１とその技術分野を同じくする引用文献２には、ＤＦＡに対抗するために、局所的に、サブキーの生成系列に生じたエラーをチェック（検知）する技術が示されている。
　同じく引用文献１とその技術分野を同じくする引用文献３には、局所的に、拡大鍵（サブキーに相当する。）にビットエラーを起こす攻撃が記載されている。
　してみると、引用文献１のものにおいて、拡大鍵ないしサブキーの生成系列に対してビットエラーを起こす攻撃に対処すべく、当該拡大鍵ないしサブキーの生成系列に対して起こすエラーを検知することは自然な着想であり、引用文献１において、「前記対応する再計算サブキー値」と「前記記憶したサブキー値」を比較する構成、すなわち上記相違点に係る構成を採用することは、引用文献２、３等に記載の事項を参酌することにより当業者が容易になし得ることである。　　
　
（２）したがって、本願発明の構成は引用文献１〜３に記載された発明に基づいて、当業者が容易に想到し得たものである。
　また、本願発明の効果は、当業者であれば容易に予測し得る程度のものであって、格別顕著なものではない。
　よって、本願発明は、引用文献１〜３に記載された発明に基づいて、当業者が容易に発明をすることができたものである。
　
６　請求人の主張等について、
　なお、請求人は、上記平成２４年１２月２７日付けの意見書の「（２）平成２４年１１月７日付け拒絶理由通知書１．（２）について」において、
『（Ｇ）以上説明したように、当業者は、引用文献２及び３に記載のモデルに対して防御可能な構成とするために、引用文献１に記載の発明を、サブキー生成処理を再度実行して、両方のサブキーを比較する構成とする明確な動機付けを有しません。従って、引用文献１〜４に記載の発明からは、本願発明の構成要素（ａ）を構成することができませんし、そのため上述した本願発明に特有の効果を奏することもできません。
　従いまして、本願発明は、引用文献１〜４に記載された発明に基づいて当業者が容易に想到し得る発明ではございません。』と主張している。
　しかしながら、当該分野においては、攻撃に対する対策を施すことは普遍的な課題であるから、その動機付けも当業者が普遍的に有するものにほかならない。そして、そのために同様の目的を有する技術思想の適用を適宜試みることは、当業者の通常の創作能力の発揮に過ぎないものである。
　したがって、この意見書の主張は、当審拒絶理由で通知した理由Ｂ．を覆す根拠とはならない。
　
　
７　むすび
　以上のとおり、本願請求項１に係る発明は、その出願前に日本国内において頒布された刊行物に記載された発明又は電気通信回線を通じて公衆に利用可能となった発明に基づいて、当業者が容易に発明をすることができたものであるから、他の請求項についての検討をするまでもなく、本願は、特許法第２９条第２項の規定により特許を受けることができない。
　
　
　
第４　むすび
　上記第２のとおり、本願の特許請求の範囲及び発明の詳細な説明の記載は、特許法第３６条第４項第１号、第６項第２号に規定する要件を満たしておらず、上記第３のとおり、この出願の請求項１に係る発明は、特許法第２９条第２項の規定により特許を受けることができないものであるから、原査定を取り消し、この出願の発明はこれを特許すべきものとする審決をすることはできない。
　
　よって、上記結論のとおり審決する。