【事件の表示】
　特願２００８−５１６０４８「トークン使用可能コンピュータシステムを評価するメカニズム」拒絶査定不服審判事件〔平成１９年　１月　４日国際公開、ＷＯ２００７／００２９５４、平成２０年１２月１８日国内公表、特表２００８−５４６１２２〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
　本願は、２００６年６月２８日（パリ条約による優先権主張外国庁受理２００５年６月２８日，米国）を国際出願日とする出願であって、出願後の手続きの経緯は次のとおりである。
　
拒絶理由の通知　　　　（起案日）平成２２年１１月２６日
意見、手続補正　　　　（提出日）平成２３年１月１７日
拒絶査定　　　　　　　（起案日）平成２３年２月２日
同　謄本送達　　　　　（送達日）平成２３年２月８日
審判請求　　　　　　　（提出日）平成２３年５月２０日
　
２．本願発明
　本願の請求項１２に係る発明は、平成２３年１月１７日付けの手続補正書により補正された特許請求の範囲の請求項１２に記載されたとおりの次の事項により特定されるものである。（以下「本願発明」という。）
　「【請求項１２】
　固定トークンの真正性およびトラステッドコンピュータシステムプラットフォームの完全性を検証するポータブルトークンを備え、
　前記ポータブルトークンは、前記固定トークンの真正性を検証するとともに、前記固定トークンからのＰＣＲ値と前記ポータブルトークン内の不正に改ざんされないようになっている完全性コンテナに記憶された値とを比較することによって、前記トラステッドコンピュータシステムプラットフォームの完全性を検証する、スマートカード。」
　
３．引用文献
３．１　原審で引用された本願優先権主張日前に頒布された刊行物である米国特許出願公開第２００４／０１１７３１８号明細書（ 以下、「引用文献１」という。）には、図面とともに次の記載がある。 
　
Ａ．「ABSTRACT
Methods, apparatus and machine readable medium are described that prevent successfully launching a trusted environment without providing the computing device with an appropriate portable token.
…（中略）… 
[0015］・・・the term “blob”(binary large object)・・・
…（中略）… 
[0021］・・・In general, the fixed token 110 may comprise protected storage for metrics, keys and secrets and may perform various integrity functions in response to requests from the processors 102 1 102 P and the chipset 104 .In one embodiment, the fixed token 110 may store metrics in a trusted manner, may quote metrics in a trusted manner, ・・・
[0022］・・・Similar to the fixed token 110 , the portable token 112 may comprise protected storage for keys and secrets ・・・
[0023］As illustrated in FIG.2, the fixed token 110 may comprise one or more processing units 200, a random number generator 202, and protected storage 204 which may comprise keys 206, secrets208, and/or one or more platform configuration register(PCR)registers 210 for metrics. Similarly, the portable token 112 may comprise one or more processing units 212, a random number generator 214, and protected storage 216 which may comprise keys 218 and/or  secrets220 The processing units 200 , 212 may perform integrity functions for the computing device 100 such as, for example, generating and/or computing symmetric and asymmetric keys.・・・」
（日本語訳：「要約
方法，装置，及び，機械可読媒体が示されている
適切なポータブル・トークンを伴う，コンピュータ・デバイスを用いることなく，信頼された環境を，成功裏に起動することを阻止するものである
・・・・
［００１５］・・・用語“ブロブ”（バイナリ・ラージ・オブジェクト）・・・
・・・・（中略）・・・・
［００２１］・・・一般に，固定トークン１１０は，メトリック，キー，秘密のための，保護された記憶装置を含み得，そして，プロセッサ１０２１・・・・１０２Ｐ，及び，チップセット１０４からの要求への応答における，種々の完全性機能を実行する。一実施例においては，固定トークン１１０は，メトリックを，信頼された方法において，保存し得る，そして，メトリックを，信頼された方法において，引用する。・・・
［００２２］・・・固定トークン１１０と同様に，ポータブル・トークン１１２は，キーと秘密のための，保護された記憶装置を含み得る・・・
［００２３］図２において，
固定トークン１１０は，１つ以上の演算ユニット２００，乱数生成器２０２，及び，キー２０６，秘密２０８，及び／又は，メトリックのための，１つ以上のプラットフォーム・コンフィギュレーション・レジスタ（ＰＣＲ）レジスタ２１０を含み得る，保護された記憶装置２０４を含み得る。同様に，ポータブル・トークン１１２は，１つ以上の演算ユニット２１２，乱数生成器２１４，キー２１８，及び／又は，秘密２２０を含み得る，保護された記憶装置２１６を含み得る
　
Ｂ．「[0031］・・・For example, the fixed token 110 and portable token 112 may be implemented in a manner similar to Trusted Platform Module (TPM) described in detail in the TCPA SPEC.
 [0032]  An example trusted environment  300  is shown in  FIG. 3 . The computing device  100  may utilize the operating modes and the privilege levels of the processors  102 1  . . .  102 P  to establish the trusted environment  300 . As shown, the trusted environment  300  may comprise a trusted virtual machine kernel or monitor  302 , one or more standard virtual machines (standard VMs)  304 , and one or more trusted virtual machines (trusted VMs)  306 . ・・・.」
（日本語訳：「［００３１］・・・例えば，
固定トークン１１０とポータブル・トークン１１２は
トラステッド・プラットフォーム・モジュール（ＴＰＭ）が
実装され
［００３２］信頼された環境３００の例は，図３に示されている。計
算デバイス１００は，信頼された環境３００を確立する
信頼された環境３００は，信頼された仮想マシン・カーネル，あるいは，モニタ３０２，１つ以上の標準の仮想マシン（標準ＶＭ）３０６を含
　
Ｃ．「［0037］Referring now to  FIG. 4 , there is shown a sealed key blob  400  and a protected-key blob  402  that may be used for local attestation. As depicted, the sealed key blob  400  may comprise one or more integrity data areas  404  and one or more encrypted data areas  406 . The integrity data areas  404  may comprise a public key  408 , a seal record  410 , and possibly other non-sensitive data such as a blob header that aids in identifying the blob and/or loading the keys of the blob. Further, the encrypted data areas  406  may comprise usage authorization data  412 , a private key  414 , and a digest value  416 . The seal record  410  of the integrity data areas  404  may indicate to which PCR registers  210 , corresponding metrics, proof values, and possible other sensitive data the asymmetric key pair  408 ,  414  was sealed.
・・・・ 
［0038］The protected key blob  402  may comprise one or more integrity data areas  418  and one or more encrypted data areas  420 . The integrity data areas  418  may comprise non-sensitive data such as a blob header that aids in identifying the blob. Further, the encrypted data areas  420  may comprise usage authorization data  422 , the sealed key blob  400 , and a digest value  424 . ・・・・
[0039］Referring now to FIG. 5 and FIG. 6 , there is shown a method to create a protected key blob 402 and a method to use the sealed key blob.・・・the requester is assumed to be the monitor 302 .」
（日本語訳：「［００３７］今，図４を参照すると，ローカル認証に用いられ得る，封印されたキー・ブロブ４００と，保護されたキー・ブロブ４０２とが示されている。図示されているように，
封印されたキー・ブロブ４００は，１つ以上の完全性データ領域４０４と，１つ以上の暗号化データ領域４０６を含み得る。完全性データ領域４０４は，公開キー４０８，封印レコード４１０，そして，あるいは，ブロブを認証，及び／又は，ブロブのキーをロードすることの助けとなる，ブロブ・ヘッダといった，慎重に取り扱わなくても良いデータを含み得る。さらに，暗号化されたデータ領域４０６は，使用許可データ４１２，秘密キー４１４，及び，ダイジェスト値４１６を含み得る
［００３８］
保護されたキー・ブロブ４０２は，１つ以上の完全性データ領域４１８と，１つ以上の暗号化データ領域４２０とを含み得る。完全性データ領域４１８は，ブロブを認証することの助けとなる，ブロブ・ヘッダといった，慎重に取り扱わなくても良いデータを含み得る。さらに，暗号化データ領域４２０は，使用許可データ４２２，封印されたキー・ブロブ４００，そして，ダイジェスト値４２４を含み得る
［００３９］今，図５，及び，図６を参照すると，保護されたキー・ブロブ４０２の生成方法と，封印されたキー・ブロブの使用方法が示されている。・・・
要求者は，モニタ３０２である
　
Ｄ．「[0041]The fixed token 110 in block 504 may create and return the requested sealed key blob 400 .…（中略）…Further, the fixed token 110 may seal the asymmetric key pair 408 , 414 and the usage authorization data 412 to an environment specified by metrics of the PCR registers 210 that were identified by the monitor 302 .As a result of sealing, the fixed token 110 may generate a seal record 410 that identifies PCR registers 210 , metrics of the identified PCR registers 210 , a proof value, and a digest value 416 that attests to asymmetric key pair 408 , 414 , the usage authorization data 412 , and the seal record 410 .」
（日本語訳：「［００４１］ブロック５０４において，固定トークン１１０は，要求された，封印されたキー・ブロブ４００を生成し，返す・・・（中略）・・・さらに，固定トークン１１０は，非対称キー・ペア４０８，４１４，及び，モニタ３０２によって確認された，ＰＣＲレジスタ２１０のメトリックによって特徴付けられた環境のための，使用許可データ４１２を，封印し得る。封印の結果，固定トークン１１０は，ＰＣＲレジスタ２１０を確認する封印レコード４１０，確認されたＰＣＲレジスタ２１０のメトリック，証明値，そして，非対称キー・ペア４０８，４１４，使用許可データ４１２，及び，封印レコード４１０を証明する，ダイジェスト値４１６を生成し得る。」）
　
Ｅ．「[0044］Referring now to FIG. 6 , there is shown a method of loading the asymmetric key pair 408 , 414 of the protected key blob 402 .In block 600 , the monitor 302 and portable token 112 may establish a session for the asymmetric key pair of the portable token 112 that was used to create the protected key blob 402 .In block 602 , the monitor 302 may request the portable token 112 to return the sealed key blob 400 stored in the protected key blob 402 .To this end, the monitor 302 may provide the portable token 112 with the protected key blob 402 and an authentication code that provides proof of possessing or having knowledge of the usage authorization data 422 for the protected key blob 402 .The monitor 302 may provide the portable token 112 with the authentication code in a number of different manners.In one embodiment, the monitor 302 may simply encrypt its copy of the usage authorization data 422 using the public key 218 of the established session and may provide the portable token 112 with the encrypted copy of its usage authorization data 422 .
[0045］In another embodiment, the monitor 302 may generate a message authentication code (MAC) that provides both proof of possessing the usage authorization data 422 and attestation of one or more parameters of the request.In particular, the monitor 302 may provide the portable token 112 with a MAC resulting from applying the HMAC algorithm to a shared secret comprising or based upon the second usage authorization data and a message comprising one or more parameters of the request.…（中略）…
[0046］In block 604 , the portable token 112 may validate the protected key blob 402 and the request for the sealed key blob 400 .In one embodiment, the portable token 112 may compute the authentication code that the portable token 112 expects to receive from the monitor 302 .In particular, the portable token 112 may decrypt the protected key blob 402 to obtain the sealed key blob 400 and the usage authorization data 422 for the protected key blob 402 .The portable token 112 may then compute the authentication code or MAC in the same manner as the monitor 302 using the parameters received from the request and the usage authorization data 422 obtained from the protected key blob 402 .In response to determining that the computed authentication code or MAC does not have the predetermined relationship (e.g. equal) to the authentication code or MAC received from the monitor 302 , the portable token 112 may return an error message, may close the established session, may scrub the protected key blob 402 and associated data from the portable token 112 , and may deactivate the portable token 112 in block 606 .Further, the portable token 112 in block 604 may verify that protected key blob 402 has not been altered.In particular, the portable token 112 may compute a digest value based upon the usage authorization data 422 and the sealed key blob 400 and may determine whether the computed digest value has a predetermined relationship (e.g. equal) to the digest value 424 of the protected key blob 402 .In response to determining that the computed digest value does not have the predetermined relationship, the portable token 112 may return an error message, may close the established session, may scrub the protected key blob 402 and associated data from the portable token 112 , and may deactivate the portable token 112 in block 604 .
[0047]In response to determining that the request is valid, the portable token 112 in block 608 may provide the monitor 302 with the sealed key blob 400 .The monitor 302 and the fixed token 110 may then establish in block 610 a session for the asymmetric key of the fixed token 110 that was used to create the sealed key blob 400 .In block 612 , the monitor 302 may request that the fixed token 110 load the asymmetric key pair 408 , 414 of the sealed key blob 400 .To this end, the monitor 302 may provide the fixed token 110 with the sealed key blob 400 and an authentication code or MAC that provides proof of possessing or having knowledge of the usage authorization data 412 associated with the sealed key blob 400 .In one embodiment, the monitor 302 may provide the fixed token 110 with a MAC resulting from an HMAC calculation using a shared secret based upon the usage authorization data 412 in a manner as described above in regard to block 602 .
[0048]In block 614 , the fixed token 110 may validate the request for loading the asymmetric key pair 408 , 414 of the sealed key blob 400 .In one embodiment, the fixed token 110 may compute the authentication code that the fixed token 110 expects to receive from the monitor 302 .In particular, the fixed token 110 may decrypt the sealed key blob 400 using the private key 206 of the established session to obtain the asymmetric key pair 408 , 414 , the usage authorization data 412 , the seal record 410 , and the digest value 416 of the sealed key blob 400 .The fixed token 110 may then compute the authentication code or MAC in the same manner as the monitor 302 using the parameters received from the request and the first usage authorization data obtained from the first sealed key blob.In response to determining that the computed authentication code or MAC does not have the predetermined relationship (e.g. equal) to the authentication code or MAC received from the monitor 302 , the fixed token 110 may return an error message, may close the established session, may scrub the first sealed key blob and associated data from the fixed token 110 , and may deactivate the portable token 112 in block 616 .Further, the fixed token 110 in block 614 may verify that sealed key blob 400 has not been altered.In particular, the fixed token 110 may compute a digest value based upon the usage authorization data 412 , the asymmetric key pair 408 , 414 , and the seal record 410 and may determine whether the computed digest value has a predetermined relationship (e.g. equal) to the digest value 416 of the sealed key blob 400 .In response to determining that the computed digest value does not have the predetermined relationship, the fixed token 110 may return an error message, may close the established session, may scrub the sealed key blob 400 and associated data from the fixed token 110 , and may deactivate the portable token 112 in block 616 .
[0049]The fixed token 110 in block 618 may further verify that the environment 300 is appropriate for loading the asymmetric key 408 of the sealed key blob 400 .In particular, the fixed token 110 may determine whether the metrics of the seal record 410 have a predetermined relationship (e.g. equal) to the metrics of the PCR registers 210 and may determine whether the proof value of the seal record 410 indicates that the fixed token 110 created the sealed key blob 400 .In response to determining that the metrics of the seal record 410 do not have the predetermined relationship to the metrics of the PCR registers 210 or determining that the fixed token 110 did not create the sealed key blob 400 , the fixed token 110 may return an error message, may close the established session, may scrub the sealed key blob 400 and associated data from the fixed token 110 , and may deactivate the portable token 112 in block 616 .
[0050]In response to determining that the request and environment are valid, the fixed token 110 in block 620 may provide the monitor 302 with the public key 408 of the sealed key blob 400 and a key handle to reference the asymmetric key pair 408 , 414 stored in protected storage 204 of the fixed token 110 .The monitor 302 may later provide the key handle to the fixed token 110 to establish a session to use the asymmetric key pair 408 , 414 identified by the key handle.
[0051]The methods of FIG. 5 and FIG. 6 in general result in establishing an asymmetric key pair that may be used only if the portable token 112 is present and optionally the environment 300 is appropriate as indicated by the metrics of the PCR registers 210 .」
（日本語訳：「［００４４］今，図６を参照すると，保護されたキー・ブロブ４０２の非対称キー・ペア４０８，４１４のロード方法が示されている。ブロック６００において，
モニタ３０２，及び，ポータブル・トークン１１２は
セッションを確立し得る
モニタ３０２は，ポータブル・トークン１１２に
封印されたキー・ブロブ４００を返すことを要求し得る
モニタ３０２は，ポータブル・トークン１１２に，保護されたキー・ブロブ４０２と
認証コードを与え得る
モニタ３０２は，ポータブル・トークン１１２に
認証コードを与え得る
モニタ３０２は，確立されたセッションの公開キー２１８を使用する使用許可データ４２２のコピーを，単に，暗号化し得，そして，ポータブル・トークン１１２に，それの使用許可データ４２２の暗号化されたコピーを与え得る
［００４５］他の実施例においては，モニタ３０２は，使用許可データ４２２を所有していることの証明，及び，要求の１つ以上のパラメータの認証を与える，メッセージ認証コード（ＭＡＣ）を生成し得る。特に，モニタ３０２は，ポータブル・トークン１１２に，ＨＭＡＣアルゴリズムを，第２の使用許可データから成る，あるいは，第２の許可データに基づいている，共有される秘密と，要求の１つ以上のパラメータから成るメッセージとに適用することがもたらすＭＡＣを，与え得る。
［００４６］ブロック６０４において，
ポータブル・トークン１１２は
モニタ３０２から受信することを期待する，認証コードを計算し
計算された認証コード，あるいは，ＭＡＣが，モニタ３０２から受け取った，認証コード，あるいは，ＭＡＣと，予め決定された関係（例えば，等しい）を持っていないと断定することに応じて，ブロック６０６において，ポータブル・トークン１１２は，エラー・メッセージを返し，確立されたセッションを閉じ，保護されたキー・ブロブ４０２と，関係するデータを，ポータブル・トークン１１２から取り除き得，そして，ポータブル・トークン１１２を，非活性化し得る
ポータブル・トークン１１２は
保護されたキー・ブロブ４０２が，改ざんされていないことを証明し得る
ポータブル・トークン１１２は，使用許可データ４２２と，封印されたキー・ブロブ４００に基づいている，ダイジェスト値を計算し
計算されたダイジェスト値が，保護されたキー・ブロブ４０２のダイジェスト値４２４と，予め定められた関係（例えば，等しい）を有しているかどうか，断定し得る。計算されたダイジェスト値が，予め定められた関係を有していないと断定することに応じて，ポータブル・トークン１１２は，ブロック６０４において，エラー・メッセージを返し，確立されたセッションを閉じ，ポータブル・トークン１１２から，保護されたキー・ブロブ４０２と，関係するデータを取り除き，ポータブル・トークン１１２を非活性にし得る
［００４７］
要求が有効であると断定することに応じて，ポータブル・トークン１１２は，ブロック６０８において，モニタ３０２に，封印されたキー・ブロブ４００を与える
モニタ３０２と，固定トークン１１０は
セッションを確立する
モニタ３０２は，固定トークン１１０が，封印されたキー・ブロブ４００の非対称キー・ペア４０８，４１４をロードすることを，要求する
モニタ３０２は，固定トークン１１０に，封印されたキー・ブロブ４００と，封印されたキー・ブロブ４００に関連する，使用許可データ４１２の知識を，所有している，あるいは，持っていることの証明を与える，認証コード，あるいは，ＭＡＣを与える
［００４８］ブロック６１４において，
固定トークン１１０は，封印されたキー・ブロブ４００の，非対称キー・ペア４０８，４１４をロードするための要求を認証する
固定トークン１１０は，固定トークン１１０が，モニタ３０２から受け取ることを期待する認証コードを計算
計算された認証コード，あるいは，ＭＡＣが，モニタ３０２から受け取った，認証コード，あるいは，ＭＡＣと，予め定められた関係（例えば，等しい）を有していないと断定することに応じて，ブロック６１６において，固定トークン１１０は，エラー・メッセージを返し，確立されたセッションを閉じ，固定トークン１１０から，第１の封印されたキー・ブロブと，関係するデータを取り除き，そして，ポータブル・トークン１１２を非活性化し得る
固定トークン１１０は
封印されたキー・ブロブ４００が，改ざんされていないことを証明し得る
計算されたダイジェスト値が，封印されたキー・ブロブ４００のダイジェスト値４１６と，予め定められた関係（例えば，等しい）を有しているか断定し得る。計算されたダイジェスト値が，予め定められた関係を有していないと断定することに応じて，固定トークン１１０は，ブロック６１６において，エラー・メッセージを返し，確立されたセッションを閉じ，封印されたキー・ブロブ４００と，関係するデータとを,固定トークン１１０から取り除き，そして，ポータブル・トークン１１２を，非活性化し得る
［００４９］固定トークン１１０は，ブロック６１８において，さらに，環境３００が，封印されたキー・ブロブ４００の非対称キー４０８をロードするために最適であることを証明し得る。特に，
固定トークン１１０は，封印レコード４１０のメトリックが，ＰＣＲレジスタ２１０のメトリックと，予め定められた関係（例えば，等しい）を有しているかどうかを断定
封印レコード４１０のメトリックが，ＰＣＲレジスタ２１０のメトリックと，予め定められた関係を有していないと断定すること
固定トークン１１０は，エラー・メッセージを返し，生成されたセッションを閉じ，封印されたキー・ブロブ４００と，関係するデータとを，固定トークン１１０から取り除き，ポータブル・トークン１１２を非活性化し得る
［００５０］
要求，及び，環境が正当であると断定することに応じて，固定トークン１１０は，ブロック６２０において，モニタ３０２に，封印されたキー・ブロブ４００の公開キー４０８と，固定トークン１１０の，保護された記憶装置２０４に格納された，非対称キー・ペア４０８，４１４を参照するための，キー・ハンドルとを与え得る。
［００５１］図５，及び，図６の方法は，一般的に，ポータブル・トークン１１２が存在し，そして，オプションで，環境３００が，ＰＣＲレジスタ２１０のメトリックによって示されるように，最適である場合に限り用いら得る，非対称キー・ペアの生成をもたらす。」）
　
Ｆ．図１には，計算デバイス１００が，プロセッサ１０２１・・・１０２Ｐ，固定トークン１１０，ポータブル・トークン・インタフェース１２２，チップセット１０４，保護された領域１１６を有するメモリ１０６等から構成されていることが開示されている。
（Ａ）Ａ．の「方法，装置，及び，機械可読媒体が示されている」という記載，及び，「適切なポータブル・トークンを伴う，コンピュータ・デバイスを用いることなく，信頼された環境を，成功裏に起動することを阻止するものである」という記載から，
　引用文献１には，
　“信頼された環境を，適切なポータブル・トークンを有するコンピュータ・デバイスを用いなければ，起動できないようにする”装置が記載されていることが読み取れる。
　
（Ｂ）Ａ．の「固定トークン１１０は，１つ以上の演算ユニット２００，乱数生成器２０２，及び，キー２０６，秘密２０８，及び／又は，メトリックのための，１つ以上のプラットフォーム・コンフィギュレーション・レジスタ（ＰＣＲ）レジスタ２１０を含み得る，保護された記憶装置２０４を含み得る。同様に，ポータブル・トークン１１２は，１つ以上の演算ユニット２１２，乱数生成器２１４，キー２１８，及び／又は，秘密２２０を含み得る，保護された記憶装置２１６を含み得る」という記載，及び，Ｂ．の「固定トークン１１０とポータブル・トークン１１２は・・・トラステッド・プラットフォーム・モジュール（ＴＰＭ）が・・・実装」されるという記載から，
　引用文献１には，
　“ＴＰＭが実装された，演算ユニット，乱数生成器，及び，キー，秘密，ＰＣＲレジスタを含む保護された記憶装置からなる，固定トークンと，ＴＰＭが実装された，演算ユニット，乱数生成器，及び，キー，秘密を含む保護された記憶装置からなる，ポータブル・トークン”
　とが記載されていることが読み取れる。
　
（Ｃ）Ｂ．の「計算デバイス１００は，信頼された環境３００を確立する」という記載，及び，Ｂ．の「信頼された環境３００は，信頼された仮想マシン・カーネル，あるいは，モニタ３０２，１つ以上の標準の仮想マシン（標準ＶＭ）３０６を含」むという記載，ならびに，上記Ｆで参照した図１において，「計算デバイス１００」が，「プロセッサ１０２１・・・１０２Ｐ，固定トークン１１０，ポータブル・トークン・インタフェース１２２，チップセット１０４，保護された領域１１６を有するメモリ１０６等から構成されている」ことが示されていることから，
　引用文献１には，
“計算デバイスは，少なくとも，１つ以上のプロセッサ，固定トークン，ポータブル・トークン・インタフェース，チップセット，及び，保護された領域を有するメモリから構成され，前記計算デバイスによって確立される，信頼された環境が，モニタを有する”
　ことが記載されていると読み取れ，上記（Ａ）で検討した事項と併せると，“起動できないようにする装置”が，「計算デバイス」であることが，引用文献１の記載から読み取れる。
　
（Ｄ）Ｃ．の「封印されたキー・ブロブ４００は，１つ以上の完全性データ領域４０４と，１つ以上の暗号化データ領域４０６を含み得る。完全性データ領域４０４は，公開キー４０８，封印レコード４１０，そして，あるいは，ブロブを認証，及び／又は，ブロブのキーをロードすることの助けとなる，ブロブ・ヘッダといった，慎重に取り扱わなくても良いデータを含み得る。さらに，暗号化されたデータ領域４０６は，使用許可データ４１２，秘密キー４１４，及び，ダイジェスト値４１６を含み得る」という記載から，
　引用文献１に記載の，「封印されたキー・ブロブ」は，
“公開キー，封印レコード，ブロブ・ヘッダを含む，１つ以上の完全性データ領域と，使用許可データ，秘密キー，ダイジェスト値を含む，１つ以上の暗号化データ領域からなる”ことが読み取れ，
　Ｃ．の「保護されたキー・ブロブ４０２は，１つ以上の完全性データ領域４１８と，１つ以上の暗号化データ領域４２０とを含み得る。完全性データ領域４１８は，ブロブを認証することの助けとなる，ブロブ・ヘッダといった，慎重に取り扱わなくても良いデータを含み得る。さらに，暗号化データ領域４２０は，使用許可データ４２２，封印されたキー・ブロブ４００，そして，ダイジェスト値４２４を含み得る」という記載から，
　引用文献１に記載の，「保護されたキー・ブロブ」は，
“ブロブ・ヘッダを含む，１つ以上の完全性データ領域と，使用許可データ，封印されたキー・ブロブ，そして，ダイジェスト値を含む，１つ以上の暗号化データ領域からなる”ことが読み取れる。
　さらに，Ｃ．の「要求者は，モニタ３０２である」という記載，及び，Ｅ．の「モニタ３０２，及び，ポータブル・トークン１１２は，保護されたキー・ブロブ４０２を生成するために用いられるポータブル・トークン１１２の非対称キー・ペアのためのセッションを確立し」という記載から，
　引用文献１において，
“モニタとポータブル・トークンが，セッションを確立する”
　ことが読み取れる。
　また，Ｅ．の「モニタ３０２は，ポータブル・トークン１１２に・・・封印されたキー・ブロブ４００を返すことを要求し得る」という記載，同じくＥ．の「モニタ３０２は，ポータブル・トークン１１２に，保護されたキー・ブロブ４０２と・・・認証コードを与え」るという記載，同じくＥ．の「モニタ３０２は，確立されたセッションの公開キー２１８を使用する使用許可データ４２２のコピーを，単に，暗号化し得，そして，ポータブル・トークン１１２に，それの使用許可データ４２２の暗号化されたコピーを与え」るという記載から，
　引用文献１には，“モニタは，ポータブル・トークンに，保護されたキー・ブロブと，公開鍵で暗号化された使用許可データと送り，ポータブル・トークンに，封印されたキー・ブロブを返すことを要求する”
　ことが記載されていることが読み取れる。
　
（Ｅ）Ｅ．の「ポータブル・トークン１１２は・・・モニタ３０２から受信することを期待する，認証コードを計算し・・・計算された認証コード・・・が，モニタ３０２から受け取った，認証コード・・・と，予め決定された関係（例えば，等しい）を持っていないと断定することに応じて，ブロック６０６において，ポータブル・トークン１１２は，エラー・メッセージを返し，確立されたセッションを閉じ，保護されたキー・ブロブ４０２と，関係するデータを，ポータブル・トークン１１２から取り除き得，そして，ポータブル・トークン１１２を，非活性化し得る」という記載から，
　引用文献１には，
“ポータブル・トークンが，モニタから受信することを期待する認証コードを計算し，計算された認証コードと，モニタから受信した認証コードとが，予め定められた関係を有するか判定する”
　ことが記載されていると取れる。
　
（Ｆ）Ｅ．の「保護されたキー・ブロブ４０２が，改ざんされていないことを証明し得る。・・・ポータブル・トークン１１２は，使用許可データ４２２と，封印されたキー・ブロブ４００に基づいている，ダイジェスト値を計算し，・・・計算されたダイジェスト値が，保護されたキー・ブロブ４０２のダイジェスト値４２４と，予め定められた関係・・・を有しているかどうか，断定し得る。計算されたダイジェスト値が，予め定められた関係を有していないと断定することに応じて，ポータブル・トークン１１２は，・・・エラー・メッセージを返し，確立されたセッションを閉じ，ポータブル・トークン１１２から，保護されたキー・ブロブ４０２と，関係するデータを取り除き，ポータブル・トークン１１２を非活性にし得る」という記載から，
　引用文献１には，
　“ポータブル・トークンは，保護されたキー・ブロブが，改ざんされていないことを証明するために，使用許可データと，封印されたキー・ブロブとに基づいているダイジェスト値を計算し，計算されたダイジェスト値が，保護されたキー・ブロブのダイジェスト値と，予め定められた関係を有しているかを判定する”
　ことが記載されていると読み取れる。
　
 （Ｇ）Ｅ．の「要求が有効であると断定することに応じて，ポータブル・トークン１１２は，・・・モニタ３０２に，封印されたキー・ブロブ４００を与える」という記載と，上記（Ｅ），及び，（Ｆ）で検討した事項から，
　引用文献１には，
　“ポータブル・トークンは，ポータブル・トークンが計算した認証コードと，モニタから受信した認証コードが，予め定められた関係を有し，ポータブル・トークンが計算したダイジェスト値と，保護されたキー・ブロブのダイジェスト値とが，予め定められた関係を有していた場合に，モニタに，封印されたキー・ブロブを与える”
　ことが記載されていると読み取れる。
　
（Ｈ）Ｅ．の「モニタ３０２と，固定トークン１１０は・・・セッションを確立する。・・・モニタ３０２は，固定トークン１１０が，封印されたキー・ブロブ４００の非対称キー・ペア４０８，４１４をロードすることを，要求する。・・・モニタ３０２は，固定トークン１１０に，封印されたキー・ブロブ４００と，封印されたキー・ブロブ４００に関連する，使用許可データ４１２の知識を，所有している，あるいは，持っていることの証明を与える，認証コード・・・を与える」という記載から，
　引用文献１には，
“モニタと，固定トークンが，セッションを確立し，モニタは，固定トークンに，封印されたキー・ブロブと，認証コードとを与え，固定トークンが，封印されたキー・ブロブの非対称鍵ペアをロードすることを要求する”
　ことが記載されていると読み取れる。
　
（Ｉ）Ｅ．の「固定トークン１１０は，封印されたキー・ブロブ４００の，非対称キー・ペア４０８，４１４をロードするための要求を認証する」 という記載，及び，上記Ｅ．の「固定トークン１１０は，固定トークン１１０が，モニタ３０２から受け取ることを期待する認証コードを計算」という記載，並びに，上記Ｅ．の「計算された認証コード・・・が，モニタ３０２から受け取った，認証コード・・・と，予め定められた関係（例えば，等しい）を有していないと断定する」という記載から，
　引用文献１には，
“固定トークンは，非対称鍵ペアをロードするための要求を認証するために，モニタから受け取ることを期待する認証コードを計算し，計算した認証コードと，モニタから受け取った認証コードとが，予め定められた関係を有しているかを判定する”ことが記載されていると読み取れる。
　
（Ｊ）Ｅ．の「固定トークン１１０は・・・封印されたキー・ブロブ４００が，改ざんされていないことを証明し得る。特に，固定トークン１１０は，使用許可データ４１２，非対称キー・ペア４０８，４１４，及び，封印レコード４１０に基づくダイジェスト値を計算し，そして，計算されたダイジェスト値が，封印されたキー・ブロブ４００のダイジェスト値４１６と，予め定められた関係（例えば，等しい）を有しているか断定し得る」という記載から，
　引用文献１には，
“固定トークンは，封印されたキー・ブロブが，改ざんされていないことを証明するために，使用許可データ，非対称鍵ペア，及び，封印レコードに基づくダイジェスト値を計算し，計算されたダイジェスト値が，封印されたキー・ブロブのダイジェスト値と，予め定められた関係を有しているか判定する”
　ことが記載されていると読み取れる。
　
（Ｋ）Ｅ．の「固定トークン１１０は・・・環境３００が，封印されたキー・ブロブ４００の非対称キー４０８をロードするために最適であることを証明し得る。・・・固定トークン１１０は，封印レコード４１０のメトリックが，ＰＣＲレジスタ２１０のメトリックと，予め定められた関係（例えば，等しい）を有しているかどうかを断定し，封印レコード４１０の証明値が，固定トークン１１０が，封印されたキー・ブロブ４００を生成したことを示しているかどうかを断定し得る」という記載から，
　引用文献１には，
“固定トークンは，環境が，封印されたキー・ブロブの非対称鍵ペアをロードするために最適であることを証明するために，封印レコードのメトリックが，ＰＣＲレジスタのメトリックと予め定められた関係を有していることを判定し，封印レコードの証明値が，固定トークンが，封印されたキー・ブロブを生成したことを示しているかどうかを判定する”
　ことが記載されていると読み取れる。
　
（Ｌ）Ｅ．の「要求，及び，環境が正当であると断定することに応じて，固定トークン１１０は，ブロック６２０において，モニタ３０２に，封印されたキー・ブロブ４００の公開キー４０８と，固定トークン１１０の，保護された記憶装置２０４に格納された，非対称キー・ペア４０８，４１４を参照するための，キー・ハンドルとを与え得る。」という記載から，
　引用文献１には，
“固定トークンは，要求と環境が正当であると判定されると，モニタに，封印されたキー・ブロブの公開鍵を与える”
　ことが記載されていると読み取れる。
　
　以上（Ａ）〜（Ｌ）において検討した事項から，引用文献１には，次の発明（以下，「引用発明」という）が記載されていると認める。
　
「信頼された環境を，適切なポータブル・トークンを有するコンピュータ・デバイスを用いなければ，起動できないようにする計算デバイスであって，
　前記計算デバイスは，少なくとも，１つ以上のプロセッサ，ＴＰＭが実装された，演算ユニット，乱数生成器，及び，キー，秘密，ＰＣＲレジスタを含む保護された記憶装置からなる固定トークン，ポータブル・トークン・インタフェース，チップセット，及び，保護された領域を有するメモリから構成され，
　前記計算デバイスによって確立される信頼された環境は，モニタを有し，
　前記モニタと，ＴＰＭが実装された，演算ユニット，乱数生成器，及び，キー，秘密を含む保護された記憶装置からなる，ポータブル・トークンが，セッションを確立し，
　前記モニタは，前記ポータブル・トークンに，保護されたキー・ブロブと，公開鍵で暗号化された使用許可データと送り，ポータブル・トークンに，封印されたキー・ブロブを返すことを要求し，
　前記ポータブル・トークンが，前記モニタから受信することを期待する認証コードを計算し，計算された認証コードと，モニタから受信した認証コードとが，予め定められた関係を有するか判定し，
　前記ポータブル・トークンは，前記保護されたキー・ブロブが，改ざんされていないことを証明するために，前記使用許可データと，前記封印されたキー・ブロブとに基づいているダイジェスト値を計算し，計算されたダイジェスト値が，前記保護されたキー・ブロブのダイジェスト値と，予め定められた関係を有しているかを判定し，
　前記ポータブル・トークンは，前記ポータブル・トークンが計算した認証コードと，モニタから受信した認証コードが，予め定められた関係を有し，前記ポータブル・トークンが計算したダイジェスト値と，保護されたキー・ブロブのダイジェスト値とが，予め定められた関係を有していた場合に，モニタに，要求された前記封印されたキー・ブロブを与え，
　前記モニタと，固定トークンが，セッションを確立し，前記モニタは，前記固定トークンに，前記封印されたキー・ブロブと，認証コードとを与え，前記固定トークンが，封印されたキー・ブロブの非対称鍵ペアをロードすることを要求し，
　前記固定トークンは，非対称鍵ペアをロードするための要求を認証するために，前記モニタから受け取ることを期待する認証コードを計算し，計算した認証コードと，前記モニタから受け取った認証コードとが，予め定められた関係を有しているかを判定し，
　前記固定トークンは，前記封印されたキー・ブロブが，改ざんされていないことを証明するために，使用許可データ，非対称鍵ペア，及び，封印レコードに基づくダイジェスト値を計算し，計算されたダイジェスト値が，封印されたキー・ブロブのダイジェスト値と，予め定められた関係を有しているか判定し，
　前記固定トークンは，環境が，前記封印されたキー・ブロブの非対称鍵ペアをロードするために最適であることを証明するために，前記封印されたキー・ブロブに含まれた，封印レコードのメトリックが，ＰＣＲレジスタのメトリックと予め定められた関係を有していることを判定し，前記封印レコードの証明値が，前記固定トークンが，封印されたキー・ブロブを生成したことを示しているかどうかを判定し，
　前記固定トークンは，要求と環境が正当であると判定されると，モニタに，封印されたキー・ブロブの公開鍵を与えることを特徴とする，計算デバイス。」
　
３．２　同じく、原審で引用された本願優先権主張日前に頒布された刊行物である特表２００３−５０７７８４号公報（ 以下、「引用文献２」という。）には、図面とともに次の記載がある。
　
あ．「【００４３】
  信用される装置２４は、図３に示すように、多数のブロックを含む。システムをリセットした後、信用される装置２４は、プラットホーム１０（システムクロック及びモニタ上のディスプレイを含む）のオペレーティングシステムが適正にセキュアの態様で走っていることを保証するために、セキュアブートプロセスを実行する。セキュアブートプロセスの間に、信用される装置２４は、コンピューティングプラットホーム１０の完全性のメトリックスを取得する。信用される装置２４は、セキュアデータ伝送、及び例えば暗号化／暗号解読及びサイン／証明を介してスマートカードと信用される装置２４との間の認証も行なうことができる。」
　
い．「【００２６】
  説明されることは、物理的に信用される装置、又はモジュールのコンピューティングプラットホームへの組み込みであり、その物理的に信用される装置又はモジュールの機能は、プラットホームの完全性のメトリックスを提供し、それにより「信用されるプラットホーム」を形成する確実に測定されたデータに対してプラットホームのアイデンティティを結合することである。アイデンティティ及び完全性のメトリックスは、プラットホームの信頼性を保証するために準備される信用される当事者（Trusted Party:ＴＰ）によって提供される予想される値と比較される。一致する場合、意味合い（implication）は、プラットホームの少なくとも一部が完全性のメトリックスの範囲に応じて正確に動作していることである。
　　【００２７】
  本明細書において、用語、「信用される（trusted）」は、物理的又は論理的なコンポーネントに関連して使用されたとき、物理的又は論理的なコンポーネントが常に予想された態様で動作することを意味するために使用される。コンポーネントの動作は、予測可能であり、既知である。信用されるコンポーネントは、無許可の修正に対して高度の抵抗力を有する。
…（中略）…
　　【００２９】
  ユーザは、プラットホームと他のデータを交換する前に、プラットホームの正確な動作を確認する。ユーザは、信用される装置にそのアイデンティティ及び完全性のメトリックスを提供することをリクエストすることによって、これを行なう。…（中略）…ユーザは、アイデンティティ及び完全性のメトリックスの証明を受け取り、これらを真であると信じられる値と比較する。これらの適切な値は、ユーザによって信用されるＴＰ又はその他のエンティティによって提供される。信用される装置によって報告されるデータが、ＴＰによって提供されるものと同じである場合、ユーザは、プラットホームを信用する。このことは、ユーザがエンティティを信用するためである。エンティティは、あらかじめアイデンティティを確認し、プラットホームの適切な完全性のメトリックスを判定しているので、プラットホームを信用する。
　　【００３０】
  コンピューティングエンティティのユーザは、例えば、このような信用されるトークン装置の使用によって、コンピュータエンティティとの信用のレベルを確立することができる。信用されるトークン装置は、データ処理能力を有する個人の、及び携帯型の装置であり、この場合、ユーザは、高レベルの信用を有する。これは、ユーザを識別するために、信用されるプラットホームによって使用されてもよい。信用されるトークン装置は、次の機能を実行することができる。すなわち、
　・例えば、音声又はビジュアルディスプレイによってユーザに容易に分かる態様で、コンピューティングプラットホームの正確な動作を確認すること、
　・モニタリングコンポーネントが関連するコンピュータプラットホームの正確な動作の証明を提供するためにモニタリングコンポーネントにチャレンジすること、及び、
　・モニタリングコンポーネントがコンピューティングエンティティの正確な動作の満足な証明を提供したかどうかに応じて、コンピューティングプラットホームとトークン装置の相互作用のレベルを確立し、正確な動作のこのような証明がトークン装置によって受信されない場合、コンピュータエンティティとの特定の相互作用を制止すること。」
　
う．「【００２５】
…（中略）…コンピュータプラットホームのユーザに対して個人的な信用されるトークン装置も、本発明の実施形態において使用するために適しているとして説明されており、好適な例において、このトークン装置は、スマートカードである。」
　
４．対比・判断
４．１　本願発明と引用文献１発明との対比
ア．引用発明における「固定トークン」，「信頼された環境」が，本願発明における「固定トークン」，「トラステッドコンピュータシステムプラットフォーム」に相当し，
　引用発明における「ポータブル・トークン」も，本願発明における「固定トークンの真正性およびトラステッドコンピュータシステムプラットフォームの完全性を検証するポータブルトークン」も，共に，“ポータブルトークン”である点で共通する。
　
イ．引用発明において，「ポータブル・トークンが，前記モニタから受信することを期待する認証コードを計算し，計算された認証コードと，モニタから受信した認証コードとが，予め定められた関係を有するか判定」することは，“ポータブル・トークンが，モニタの真正性を検証する”ことに他ならないから，
　引用発明における「ポータブル・トークンが，前記モニタから受信することを期待する認証コードを計算し，計算された認証コードと，モニタから受信した認証コードとが，予め定められた関係を有するか判定」することと，
　本願発明における「ポータブルトークンは、前記固定トークンの真正性を検証する」こととは，“ポータブルトークンが検証対象の真正性を検証する”点で共通する。
　
ウ．引用発明において，「環境が，前記封印されたキー・ブロブの非対称鍵ペアをロードするために最適であることを証明するために，前記封印されたキー・ブロブに含まれた，封印レコードのメトリックが，ＰＣＲレジスタのメトリックと予め定められた関係を有していることを判定」することは，「ＰＣＲレジスタ」は，「固定トークン」が有し，「封印されたキー・ブロブ」は，「ポータブル・トークン」から受け取ったものであるから，結果として，“固定トークンの有するＰＣＲレジスタのメトリックと，ポータブル・トークンから得た封印レコードのメトリックとの間に，予め定められた関係を有しているか判定する”ことである。
　そして，引用発明において，「計算デバイス」に含まれる「固定トークン」の有する「ＰＣＲレジスタのメトリック」が，「封印レコードのメトリック」と「予め定められた関係」を有すると言うことは，前記「ＰＣＲレジスタのメトリック」が改ざんされていないことを確認すること，即ち，前記「計算デバイス」によって確立される「信頼された環境」の完全性を証明するものであるとも言える。
　よって，引用発明における「環境が，前記封印されたキー・ブロブの非対称鍵ペアをロードするために最適であることを証明するために，前記封印されたキー・ブロブに含まれた，封印レコードのメトリックが，ＰＣＲレジスタのメトリックと予め定められた関係を有していることを判定」することと，
　本願発明における「固定トークンからのＰＣＲ値と前記ポータブルトークン内の不正に改ざんされないようになっている完全性コンテナに記憶された値とを比較することによって、前記トラステッドコンピュータシステムプラットフォームの完全性を検証する」こととは，
“固定トークンからのＰＣＲ値とポータブルトークンからの値とを比較することによって，トラステッドコンピュータシステムプラットフォームの完全性を検証する”点で共通する。
　
エ．そして，引用発明における「計算デバイス」も，本願発明における「スマートカード」も，“デバイス”である点で共通する。
　
　以上の対比によれば、本願発明と引用文献１発明とは、次の事項を有する点で一致し、そして、次の点で相違する。
　〈一致点〉
　固定トークン，トラステッドコンピュータシステムプラットフォーム，ポータブルトークンを備え，
　ポータブルトークンが検証対象の真正性を検証するとともに，固定トークンからのＰＣＲ値とポータブルトークンからの値とを比較することによって，トラステッドコンピュータシステムプラットフォームの完全性を検証する，デバイス。
　
〈相違点１〉
“ポータブルトークンが，真正性を検証する検証対象”が，
　本願発明においては，「固定トークン」であるのに対して，
　引用発明においては，「計算デバイス」によって確立される「モニタ」である点。
　
〈相違点２〉
“固定トークンからのＰＣＲ値とポータブルトークンからの値とを比較する”のが，
　本願発明においては，「ポータブルトークン」であるのに対して，
　引用発明においては，「固定トークン」である点。
　
〈相違点３〉
“ポータブルトークンからの値”が，
　本願発明においては，「ポータブルトークン内の不正に改ざんされないようになっている完全性コンテナに記憶された値」であるに対して，
　引用発明においては，「封印されたキー・ブロブに含まれた，封印レコードのメトリック」である点。
　
〈相違点４〉
　“デバイス”が，
　本願発明においては，「スマートカード」であるのに対して，
　引用発明においては，「計算デバイス」である点。
　
４．２　当審判断
ア．〈相違点１〉について
　上記３．２のあ．に引用した，引用文献２の，段落【００４３】に，
「スマートカードと信用される装置２４との間の認証も行なうことができる」，
　と記載されていて，「信頼される装置２４」が，引用発明における「固定トークン」に相当するものであるから，「固定トークン」を，直接,“真正性を検証する検証対象”とするようなことは，本願の第１国出願前に既に公知の技術事項である。
　よって，引用発明において，引用文献２に記載の発明における手法を適用し，
“「ポータブル・トークン」が，「固定トークン」の真正性を検証する”
　よう構成することは，当業者が適宜なし得る事項である。
　よって，相違点１は，格別のものではない。
　
イ．〈相違点２〉，及び，相違点４について
　上記３．２のい．に引用した，引用文献２の，段落【００２９】に，
「 ユーザは、プラットホームと他のデータを交換する前に、プラットホームの正確な動作を確認する。ユーザは、信用される装置にそのアイデンティティ及び完全性のメトリックスを提供することをリクエストすることによって、これを行なう。…（中略）…ユーザは、アイデンティティ及び完全性のメトリックスの証明を受け取り、これらを真であると信じられる値と比較する」，
　と記載されていて，「プラットフォーム」の完全性を，「プラットフォーム」ではなく，「ユーザ」，即ち，別の検証者が検証する手法を用いることは，本願の第１国出願前に既に公知であり，引用文献２に記載の発明における，前記「プラットフォーム」が，引用発明における「固定トークン」に相当し，
　上記４．２のア．で検討した点を踏まえると，引用文献２に記載の発明における「スマートカード」が，引用発明における「ポータブル・トークン」に相当するので，
　引用発明において，引用文献２に記載の発明おける前記手法を適用して，
“ポータル・トークンが，ＰＣＲ値とポータブルトークンからの値とを比較する”
　よう構成すること，及び，
“「計算デバイス」が行う処理を「スマートカード」で実現する”
　ことは，当業者が適宜なし得る事項である。
　よって，相違点２，及び，相違点４は，格別のものではない。
　
ウ．相違点３について
　引用発明における「ポータブル・トークン」も，「保護された記憶装置」を有しているので，該「記憶装置」に，「封印されたキー・ブロブに含まれた，封印レコードのメトリック」を格納することは，当業者が適宜なし得る事項である。
　よって，相違点３は，格別のものではない。
　
　そして、本願発明により奏する効果も、引用文献１発明及び引用文献２に記載された事項から当然予想される範囲内のものにすぎず、格別顕著なものとは認められない。
　
５．むすび
　以上のとおり、本願発明は、引用文献１発明及び引用文献２に記載された事項に基いて、当業者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
　したがって、本願は、他の請求項について検討するまでもなく、拒絶されるべきものである。
　よって、結論のとおり審決する。