【事件の表示】
　特願２００４−　２８５２３「移動通信システムにおける最適の暗号化関数を設計する方法及び最適の暗号化装置」拒絶査定不服審判事件〔平成１６年　８月２６日出願公開、特開２００４−２４０４２７〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
第１．手続の経緯
　本願は、平成１６年２月４日（パリ条約による優先権主張、２００３年２月５日、大韓民国）の出願であって、平成１８年１０月１７日付けで拒絶理由が通知され、平成１９年１月１２日付けで意見書が提出されると共に手続補正がなされたが、同年２月２日付けで拒絶査定がなされた。これに対し、同年５月１４日に審判請求がなされ、同年６月１３日付けで手続補正がなされ、同年８月１０日に審査官より前置報告がなされ、平成２１年５月１日付けで当審より審尋がなされ、同年８月６日付けで回答書が提出されたものである。
　
第２．平成１９年６月１３日付け手続補正についての補正却下の決定
［補正却下の決定の結論］
　平成１９年６月１３日付けの手続補正を却下する。
　
［理由］
１．本件補正
　平成１９年６月１３日付けの手続補正（以下、「本件補正」という。）は、平成１９年１月１２日付け手続補正により補正された請求項１（以下、「補正前の請求項１」という。）の
「長さが２ｎである第１入力ビット列を入力して第１暗号化演算を遂行して長さが２ｎである第１暗号化ビット列を出力して長さがｍである第２入力ビット列と第２暗号化演算を遂行して、最終的に長さがｍである第２暗号化ビット列を出力する暗号化装置において、
　前記第１入力ビット列を入力してキースケジューラーから提供される長さが４ｎである暗号化コードによって暗号化することにより、長さが２ｎである第１暗号化ビット列を出力する暗号化部と、
　制御信号に従ってメモリから前記長さがｍである第２入力ビット列を出力して前記第１暗号化ビット列と暗号化演算を遂行して長さがｍである第２暗号化ビット列を出力し、前記制御信号に従って前記メモリに前記第２暗号化ビット列をさらに貯蔵するように制御する制御器と、から構成されることを特徴とする暗号化装置。」
との記載を、
「長さが２ｎである第１入力ビット列を入力して第１暗号化演算を遂行して長さが２ｎである第１暗号化ビット列を出力して長さがｍである第２入力ビット列と第２暗号化演算を遂行して、最終的に長さがｍである第２暗号化ビット列を出力する暗号化装置において、　前記第１入力ビット列を入力してキースケジューラーから提供される長さが４ｎである暗号化コードによって暗号化することにより、長さが２ｎである第１暗号化ビット列を出力する暗号化部と、
　制御信号に従ってメモリから前記長さがｍである第２入力ビット列を出力して前記第１暗号化ビット列と暗号化演算を遂行して長さがｍである第２暗号化ビット列を出力し、前記制御信号に従って前記メモリに前記第２暗号化ビット列をさらに貯蔵するように制御する主制御器と、からなり、
　前記暗号化部は、
　前記第１入力ビット列を長さがｎである第１及び第２サブビット列に分割し、制御信号に従って前記第１サブビット列を入力して第１暗号化コードＫＬ１，１、ＫＬ１，２により暗号化することによって長さがｎである第１暗号化ビット列を出力するか、第２暗号化ビット列を入力して前記第１暗号化コードＫＬ１，１、ＫＬ１，２により暗号化することによって長さがｎである第３暗号化ビット列を出力する第１暗号化部と、
　前記制御信号に従って前記第１暗号化ビット列を入力して第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３及び第３暗号化コードＫＬ１，１、ＫＬ１，２、ＫＬ１，３により暗号化することによって長さがｎである前記第４暗号化ビット列を出力するか、前記第１サブビット列を入力して前記第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３及び前記第３暗号化コードＫＩ１，１、ＫＩ１，２、ＫＩ１，３により暗号化することによって長さがｎである前記第２暗号化ビット列を出力する第２暗号化部と、
　前記第１サブビット列、前記第１暗号化ビット列、及び前記第２暗号化ビット列に同一のサイズの長さがｎである所定の第１暗号化コードＫＬ１，１、ＫＬ１，２と第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３と第３暗号化コードＫＩ１，１、ＫＩ１，２、ＫＩ１，３とを提供するキースケジューラーと、
　前記制御信号に従って複数の多重化器が前記第１サブビット列を出力して前記第１暗号化部に入力されるか、前記第２暗号化部に入力されて前記キースケジューラーから提供される前記第１暗号化コードＫＬ１，１、ＫＬ１，２、第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３、及び第３暗号化コードＫＩ１，１、ＫＩ１，２、ＫＩ１，３によって暗号化演算を遂行するように制御する制御器と、から構成されることを特徴とする暗号化装置。」
との記載に補正することを含むものである。
　
２．補正の適否
　上記補正が、平成１８年法律第５５号改正附則第３条第１項によりなお従前の例によるとされる同法による改正前の特許法第１７条の２第４項各号に掲げるいずれの事項を目的としたものであるのかについて、以下で検討する。
（１）請求項の削除、誤記の訂正、明りようでない記載の釈明を目的とするものであるのかについての検討。
　上記補正は、請求項の削除及び誤記の訂正を目的とするものでないことは明らかである。
　そして、上記補正は、上記拒絶理由通知に係る拒絶の理由について明りようでない記載の釈明を行うことを目的としたものともいえない。
　
（２）同法第１７条の２第４項第２号に規定された、特許請求の範囲の減縮を目的とするものであるのかについての検討。
　上記補正は、補正前の請求項１に記載された
「前記第１入力ビット列を入力してキースケジューラーから提供される長さが４ｎである暗号化コードによって暗号化することにより、長さが２ｎである第１暗号化ビット列を出力する暗号化部」に対し、
「前記暗号化部は、
　前記第１入力ビット列を長さがｎである第１及び第２サブビット列に分割し、制御信号に従って前記第１サブビット列を入力して第１暗号化コードＫＬ１，１、ＫＬ１，２により暗号化することによって長さがｎである第１暗号化ビット列を出力するか、第２暗号化ビット列を入力して前記第１暗号化コードＫＬ１，１、ＫＬ１，２により暗号化することによって長さがｎである第３暗号化ビット列を出力する第１暗号化部と、
　前記制御信号に従って前記第１暗号化ビット列を入力して第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３及び第３暗号化コードＫＬ１，１、ＫＬ１，２、ＫＬ１，３により暗号化することによって長さがｎである前記第４暗号化ビット列を出力するか、前記第１サブビット列を入力して前記第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３及び前記第３暗号化コードＫＩ１，１、ＫＩ１，２、ＫＩ１，３により暗号化することによって長さがｎである前記第２暗号化ビット列を出力する第２暗号化部と、
　前記第１サブビット列、前記第１暗号化ビット列、及び前記第２暗号化ビット列に同一のサイズの長さがｎである所定の第１暗号化コードＫＬ１，１、ＫＬ１，２と第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３と第３暗号化コードＫＩ１，１、ＫＩ１，２、ＫＩ１，３とを提供するキースケジューラーと、
　前記制御信号に従って複数の多重化器が前記第１サブビット列を出力して前記第１暗号化部に入力されるか、前記第２暗号化部に入力されて前記キースケジューラーから提供される前記第１暗号化コードＫＬ１，１、ＫＬ１，２、第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３、及び第３暗号化コードＫＩ１，１、ＫＩ１，２、ＫＩ１，３によって暗号化演算を遂行するように制御する制御器と、から構成される」という記載を付け加えるものである。
　しかし、当該補正によって付け加えられた「暗号化部」を検討すると、
「第１暗号化部」及び「第２暗号化部」が出力する各暗号化ビット列は、すべて「長さがｎ」であることに加えて、
　当該「暗号化部」が有する「キースケジューラー」及び「制御器」は、いずれも暗号化ビット列を出力するものではなく、
また、他に暗号化ビット列を出力し得る構成は有していないことから、当該補正によって付け加えられた「暗号化部」は、「長さが２ｎである第１暗号化ビット列」を出力するものとはいえない。
　したがって、当該補正によって付け加えられた「暗号化部」は、長さが２ｎである第１暗号化ビット列を出力する暗号化部ではないから、補正前の請求項１に記載された発明の発明特定事項である「前記第１入力ビット列を入力してキースケジューラーから提供される長さが４ｎである暗号化コードによって暗号化することにより、長さが２ｎである第１暗号化ビット列を出力する暗号化部」を限定、すなわち概念的により下位のものにしたものではない。
　よって、上記補正は、同法第１７条の２第４項第２号に規定された、特許請求の範囲の減縮を目的とするものとはいえない。
　
　以上のとおりであるから、本件補正は、平成１８年法律第５５号改正附則第３条第１項によりなお従前の例によるとされる同法による改正前の特許法第１７条の２第４項各号に掲げるいずれの事項も目的としたものではなく、同法第１７条の２第４項の規定に違反するので、同法第１５９条第１項において読み替えて準用する同法第５３条第１項の規定により却下すべきものである。 
　
（３）独立特許要件についての検討
　さらに、上記補正が同法第１７条の２第４項第２号に掲げる特許請求の範囲の減縮を目的としたものであるとして検討しても、下記のように本件補正後の請求項１の記載は特許法第３６条第６項第１号及び同条第６項第２号に規定する要件を満たさず、また、本件補正後の請求項１に係る発明は特許法第２９条第２項の規定により特許を受けることができないものであるから、本件補正は平成１８年法律第５５号改正附則第３条第１項によりなお従前の例によるとされる同法による改正前の特許法第１７条の２第５項において準用する同法第１２６条第５項の規定に違反するので、同法第１５９条第１項において読み替えて準用する同法第５３条第１項の規定により却下すべきものである。 
　
（３−１）特許法第３６条第６項第１号違反について
（Ａ）本件補正後の請求項１に記載された
「前記第１入力ビット列を長さがｎである第１及び第２サブビット列に分割し、制御信号に従って前記第１サブビット列を入力して第１暗号化コードＫＬ１，１、ＫＬ１，２により暗号化することによって長さがｎである第１暗号化ビット列を出力するか、第２暗号化ビット列を入力して前記第１暗号化コードＫＬ１，１、ＫＬ１，２により暗号化することによって長さがｎである第３暗号化ビット列を出力する第１暗号化部」とは、
「第１暗号化部」が、
（ａ）第１入力ビット列を長さがｎである第１及び第２サブビット列に分割すること、
及び、
（ｂ）第１サブビット列を入力して第１暗号化コードＫＬ１，１、ＫＬ１，２により暗号化することによって長さがｎである第１暗号化ビット列を出力するか、第２暗号化ビット列を入力して前記第１暗号化コードＫＬ１，１、ＫＬ１，２により暗号化することによって長さがｎである第３暗号化ビット列を出力すること
の両方を行うことを特定したものと認められるが、当該「第１暗号化部」が、本願の明細書の発明の詳細な説明に記載されたいずれの事項に対応するものであるのかが明確でない。
　例えば、本願の明細書の【００２４】段落、【図４】等に記載された「ＦＬ暗号化部」は、
・３２ビットの信号を入力して第１暗号化コードＫＬ１，１、ＫＬ１，２で暗号化し、３２ビットの信号を出力するものとみても、上記「第１暗号化部」に対応付けることはできず、
（この場合は、ｎ＝３２ビットとしたものであって、上記（ｂ）とは整合するが、ＦＬ暗号化部は、６４ビットの信号を左右３２ビットに分割する機能は有していないから、上記（ａ）とは整合しない。）
・入力された３２ビットの信号を、１６ビットの信号Ｌ０と１６ビットの信号Ｒ０とに分割し、Ｌ０はＫＬ１，１で暗号化すると共に、Ｒ０はＫＬ１，２で暗号化するものとみても、上記「第１暗号化部」に対応付けることはできない。
（この場合は、ｎ＝１６ビットとし、「信号Ｌ０」、「信号Ｒ０」をそれぞれ「第１サブビット列」、「第２サブビット列」と対応づけることによって、上記（ａ）と整合するが、「信号Ｌ０」は、第１暗号化コードＫＬ１，２では暗号化されないから、上記（ｂ）とは整合しない。）
　したがって、本件補正後の請求項１は、明細書の発明の詳細な説明に記載したものではなく、特許法第３６条第６項第１号に規定する要件を満たしていない。
　
（３−２）特許法第３６条第６項第２号違反について
（Ａ）本件補正後の請求項１に記載の
「前記制御信号に従って前記第１暗号化ビット列を入力して第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３及び第３暗号化コードＫＬ１，１、ＫＬ１，２、ＫＬ１，３により暗号化することによって長さがｎである前記第４暗号化ビット列を出力するか、前記第１サブビット列を入力して前記第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３及び前記第３暗号化コードＫＩ１，１、ＫＩ１，２、ＫＩ１，３により暗号化することによって長さがｎである前記第２暗号化ビット列を出力する第２暗号化部」における「前記第１暗号化ビット列」とは、
・「長さが２ｎである第１暗号化ビット列」を指すのか、あるいはこれとは明らかに違う暗号化ビット列である
・「長さがｎである第１暗号化ビット列」を指すのかが特許請求の範囲の記載からは明確でない。
　
（Ｂ）本件補正後の請求項１に記載の「ｎ」には、いかなる値が該当するのかが技術的に明確でない。
　なお、本件補正後の請求項１の「前記第１入力ビット列を入力してキースケジューラーから提供される長さが４ｎである暗号化コードによって暗号化することにより、長さが２ｎである第１暗号化ビット列を出力する暗号化部」との記載からは、キースケジューラーから提供される暗号化コードは長さが４ｎであると把握され、また、同請求項１の「前記第１サブビット列、前記第１暗号化ビット列、及び前記第２暗号化ビット列に同一のサイズの長さがｎである所定の第１暗号化コードＫＬ１，１、ＫＬ１，２と第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３と第３暗号化コードＫＩ１，１、ＫＩ１，２、ＫＩ１，３とを提供するキースケジューラー」との記載からは、「第１暗号化コードＫＬ１，１、ＫＬ１，２」、「第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３」、「第３暗号化コードＫＩ１，１、ＫＩ１，２、ＫＩ１，３」は、いずれも長さがｎであると把握されるが、本願の明細書の発明の詳細な説明には、キースケジューラーが提供する暗号化コードの長さが４ｎであり、かつ、第１暗号化コード、第２暗号化コード及び第３暗号化コードの長さがｎである例の記載は見あたらない。
（例えば、ｎ＝１６（ビット）とすると、キースケジューラーが提供する暗号化コードの長さは６４ビットとなるが、キースケジューラーが提供する暗号化コードの長さが６４ビットである例は本願の明細書の発明の詳細な説明には記載されていない。
　また、ｎ＝３２（ビット）とすると、第１暗号化コード、第２暗号化コード及び第３暗号化コードの長さは３２ビットとなるが、本願の明細書の発明の詳細な説明に記載された第１暗号化コード、第２暗号化コード及び第３暗号化コードの長さはいずれも１６ビットであって、３２ビットではない。）
　
　したがって、本件補正後の請求項１の記載は明確でないから、特許法第３６条第６項第２号に規定する要件を満たしていない。
　
（３−３）特許法第２９条第２項について
（Ａ）本件補正後発明
　本件補正後の請求項１の記載には、上記（３−１）、（３−２）のとおりの不明な点があり、さらに、以下の誤記も認められる。
・「長さがｎである前記第４暗号化ビット列を出力するか、」との記載における「長さがｎである前記第４暗号化ビット列」は、「長さがｎである第４暗号化ビット列」の誤記である。
　（「第４暗号化ビット列」は前記されていない。）
・「第１暗号化コードＫＬ１，１、ＫＬ１，２」、「第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３」、「第３暗号化コードＫＬ１，１、ＫＬ１，２、ＫＬ１，３」及び「第３暗号化コードＫＩ１，１、ＫＩ１，２、ＫＩ１，３」は、それぞれ「第１暗号化コードＫＬｉ，１、ＫＬｉ，２」、「第２暗号化コードＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３」、「第３暗号化コードＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３」及び「第３暗号化コードＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３」を誤記したものである。
（本件補正後の請求項１の記載は、最初のラウンド（奇数ラウンドの１回目）でのみ使用される暗号化コードであるＫＬ１，１などが偶数ラウンド等の他のラウンドでも使用され、暗号化コードＫＬｉ，１（ｉ＝２〜８）等は処理に用いられない記載となっている。）
・「前記第１サブビット列」は、本願の明細書の【００２３】段落の「入力された３２ビットの暗号化された信号Ｒ１（＝Ｌ１）」等の記載における、”信号Ｌ”と記載すべきものを誤ったものと把握される。
（「第１サブビット列」は、最初のラウンドで、しかもＦＬ関数部に限り信号Ｌとして入力されるものであって、以降のラウンドにおいて奇数ラウンド時にＦＬ関数部に入力される信号Ｌ、あるいは偶数ラウンド時にＦＯ関数部に入力される信号Ｌは、いずれも「第１サブビット列」ではない。）
　
　そこで、上記誤記について訂正した上で、本願の明細書及び図面の記載を考慮して、本件補正後の請求項１の記載の用語の意義を検討すると、
　上記（３−１）（Ａ）については、「前記第１入力ビット列を長さがｎである第１及び第２サブビット列に分割し」は、「第１暗号化部」の行う動作ではないと解されるから、「第１暗号化部」は、本願の明細書の発明の詳細な説明に記載の「ＦＬ暗号化部」に対応づけられるものであり、
　上記（３−２）（Ａ）については、「長さがｎの暗号化ビット」を指すものと把握され、
　上記（３−２）（Ｂ）については、ｎは３２ビットであると解され、また、本件補正後の請求項１の「前記第１サブビット列、前記第１暗号化ビット列、及び前記第２暗号化ビット列に同一のサイズの長さがｎである」は、正しくは
”長さがｎ／２（１６ビット）である”と記載すべきものであると把握される。
　
　よって、本件補正後の請求項１に係る発明（以下、「本件補正後発明」という。）は、本願の明細書及び図面の記載をも考慮して、次のとおりのものと認める。
　長さが２ｎである第１入力ビット列を入力して第１暗号化演算を遂行して長さが２ｎである第１暗号化ビット列を出力して長さがｍである第２入力ビット列と第２暗号化演算を遂行して、最終的に長さがｍである第２暗号化ビット列を出力する暗号化装置において、　前記第１入力ビット列を入力してキースケジューラーから提供される長さが４ｎである暗号化コードによって暗号化することにより、長さが２ｎである第１暗号化ビット列を出力する暗号化部と、
　制御信号に従ってメモリから前記長さがｍである第２入力ビット列を出力して前記第１暗号化ビット列と暗号化演算を遂行して長さがｍである第２暗号化ビット列を出力し、前記制御信号に従って前記メモリに前記第２暗号化ビット列をさらに貯蔵するように制御する主制御器と、からなり、
　前記暗号化部は、
　前記第１入力ビット列を長さがｎである第１及び第２サブビット列に分割し、
　制御信号に従って信号Ｌを入力して第１暗号化コードＫＬｉ，１、ＫＬｉ，２により暗号化することによって長さがｎである第１暗号化ビット列を出力するか、第２暗号化ビット列を入力して前記第１暗号化コードＫＬｉ，１、ＫＬｉ，２により暗号化することによって長さがｎである第３暗号化ビット列を出力する第１暗号化部と、
　前記制御信号に従って前記長さがｎである第１暗号化ビット列を入力して第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３及び第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３により暗号化することによって長さがｎである第４暗号化ビット列を出力するか、信号Ｌを入力して前記第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３及び前記第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３により暗号化することによって長さがｎである前記第２暗号化ビット列を出力する第２暗号化部と、
　長さがｎ／２である所定の第１暗号化コードＫＬｉ，１、ＫＬｉ，２と第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３と第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３とを提供するキースケジューラーと、
　前記制御信号に従って複数の多重化器が前記第１サブビット列を出力して前記第１暗号化部に入力されるか、前記第２暗号化部に入力されて前記キースケジューラーから提供される前記第１暗号化コードＫＬｉ，１、ＫＬｉ，２、第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３、及び第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３によって暗号化演算を遂行するように制御する制御器と、から構成されることを特徴とする暗号化装置。
　
（Ｂ）引用発明及び周知技術
（Ｂ−１）引用発明
　原審の拒絶理由に引用された文献である、佐藤証、森岡澄夫，Ｗ−ＣＤＭＡ標準暗号ＫＡＳＵＭＩの小型回路実装，マルチメディア，分散，協調とモバイル（DICOMO　2002）シンポジウム論文集，２００２年７月３日，ｐ．１６１−ｐ．１６４（以下、「引用文献１」という。）には、以下の事項が記載されている。
　
（ア）「１．はじめに
　ＫＡＳＵＭＩ［１］はＭＩＳＴＹ［２］をベースとするデータ長６４ビット，鍵長１２８ビットの共通鍵ブロック暗号で，第三世代移動通信システムＩＭＴ−２０００の通信方式の一つ，Ｗ−ＣＤＭＡの国際標準化プロジェクト３ＧＰＰ（３ｒｄ　Ｇｅｎｅｒａｔｉｏｎ　Ｐａｒｔｎｅｒｓｈｉｐ　Ｐｒｏｊｅｃｔ）によって採用されている．階層構造を持つ８ラウンドのＦｅｉｓｔｅｌ型暗号で，回路実装においては並列処理による高速化や，一つの暗号化関数を繰り返し利用することによる小型化が可能である．」
（引用文献１の第１６１頁左欄第１行乃至同第８行）
　
（イ）「２．ＫＡＳＵＭＩのアルゴリズム
２．１　ラウンド関数
　ＫＡＳＵＭＩはデータ長６４ビット，鍵長１２８ビットの８ラウンドＦｅｉｓｔｅｌ型ブロック暗号で，図１はそのデータ変換部のアルゴリズムを示している．データを左右３２ビットに二分し，奇数ラウンドでは左３２ビットをＦＬ関数→ＦＯ関数と変換した後，右３２ビットをＸＯＲする．偶数ラウンドでは左３２ビットをＦＯ関数→ＦＬ関数の順に変換して右３２ビットとＸＯＲする．また各ラウンド間では左右のデータの入れ替えが行われる．
　ＦＬ関数はＡＮＤ，ＯＲ，ＸＯＲ，１ビット巡回シフトからなる線形変換で，データの他に１６ビットの２つの副鍵ＫＬｉ，１とＫＬｉ，２が入力される．ＦＯ関数は３２ビットデータを左右１６ビットに分割し，左データに副鍵ＫＯｉ，ｊをＸＯＲした後，副鍵ＫＩｉ，ｊを用いたＦＩ関数を施し，さらに右データとのＸＯＲを行うといった一連の処理を左右のデータを入れ替えながら３回繰返す．従って１ラウンドで副鍵ＫＯｉ，ｊと副鍵ＫＩｉ，ｊはそれぞれ３つ（ｊ＝１，２，３）必要となる．」
（同文献の第１６１頁左欄第１８行乃至同頁右欄第５行）
　
（ウ）「２．２　鍵スケジューリング
　ＫＡＳＵＭＩは１２８ビットの秘密鍵を８つの１６ビット鍵Ｋｊ（１＜＝ｊ＜＝８；当審注、「＜＝」は原文中では一つの記号、以下同じ。）分割し，そこから表１に示したルールに従って，各ラウンドｊ（１＜＝ｊ＜＝８）毎に８つの副鍵｛ＫＬｉ，１，ＫＬｉ，２，ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３，ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３｝を生成する．生成に要する演算は｛１，５，８，１３｝−ビット左巡回シフトと，式（１）に示した８つの１６ビット定数ＣｊとのＸＯＲ演算だけである．」
（同文献の第１６１頁右欄第１３行乃至同第１８行）
　
（エ）「２．３　ｆ８とｆ９アルゴリズム
　ＫＡＳＵＭＩの使用モードには，秘匿アルゴリズムｆ８と、ＭＡＣ（Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）を生成する完全性アルゴリズムｆ９の２つが規定されている．図２上はＫＡＳＵＭＩをＯＦＢ（Ｏｕｔｐｕｔ　ＦｅｅｄＢａｃｋ）モードで使用するｆ８アルゴリズムである．各サイクルで入力される６４ビットの平文ブロックＩＤＢｉは，鍵ストリームブロックＫＳＢｉとＸＯＲされ暗号文のデータ出力ＯＤＢｉとなる．ＫＳＢｉを生成するための６４ビットの初期ベクタＩＶは，システム・パラメタであるＣＯＵＮＴ（３２ビット），ＢＥＡＲＥＲ（５ビット），ＤＩＲＥＣＴＩＯＮ（１ビット）および連続する２６ビットの‘０’で与えられる．まずＩＶをＫＡＳＵＭＩで暗号化して全てのサイクルで共通に仕様するデータＡを求めるが，ここで用いる鍵は、ＣＫ（Ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ　Ｋｅｙ）とＭＫｆｂ（Ｋｅｙ　Ｍｏｄｉｆｉｅｒ；当審注、「ＭＫｆｂ」は、「ＫＭｆｂ」の誤記と思量される。）をＸＯＲしたものである．」
（同文献の第１６１頁右欄下から２３行乃至同欄下から１２行）
　
（オ）「３．２　ｆ８とｆ９のデータパス共有化
　図２で示したｆ８とｆ９アルゴリズムの回路実装では，ＫＡＳＵＭＩの暗号化部を一つだけ実装して繰り返し使用するループアーキテクチャとし，また両者に共通のコンポーネントを共有化して小型化を図ることができる．」
（同文献の第１６３頁左欄下から２６行乃至同欄下から２２行）
（カ）「４．実験結果と考察
　３章の小型アーキテクチャに基づき，ＫＡＳＵＭＩのハードウェアを，０．１１μｍＣＭＯＳスタンダードセル・ライブラリおよびＦＰＧＡを用いて実装した結果を，従来実装とともに表３−４に示す．表には６４ビットの暗号化または復号化一回に要するサイクル数を示しており，５６サイクル版と３２サイクル版はそれぞれ図４と図５の実装に対応し，また８サイクル版はＦＩ関数やＦＯ関数を分割せずに１ラウンド分を実装し，奇数ラウンドと偶数ラウンドではＦＬ関数をＦＯ関数の順序をセレクタで切り替えている．」
（同文献の第１６３頁右欄下から１６行乃至同欄下から８行）
　
（キ）図１（同文献の第１６１頁左欄）
「ＫＡＳＵＭＩのアルゴリズム」という表題の下で、平文６４ビットが入力されて暗号文６４ビットが出力されることが図示されており、ＦＬ関数及びＦＯ関数はいずれも３２ビットのデータが入力されて、３２ビットのデータが出力されるものであることも読み取れる。
　
（ク）図２（同文献の第１６２頁左欄）
「ｆ８，ｆ９　アルゴリズム」という表題の下で、同図上部に「ｆ８」として、Ａと０ととの排他的論理和の結果と、ＣＫとがＫＡＳＵＭＩに入力されてＫＳＢ１が出力され、当該ＫＳＢ１とＩＤＢ１との排他的論理和の結果がＯＤＢ１として出力されることが図示されている。
　
（ケ）図４（同文献の第１６２頁右欄）
「小型回路のデータパス（７サイクル／ラウンド版）」との表題の下で、ＫＬ、ＫＯ、ＫＩがいずれも「Ｋｅｙ　Ｓｃｈｅｄｕｌｅｒ」から提供されていることが図示されている。
　
（ａ）上記（エ）の記載及び上記（ク）の記載を併せると、引用文献１には、データＡと０との排他的論理和の結果をＫＡＳＵＭＩに入力して鍵ストリームブロックＫＳＢ１を出力し、長さが６４ビットである入力された平文ブロックＩＤＢ１と当該鍵ストリームブロックＫＳＢ１との排他的論理和の結果である暗号文のデータＯＤＢ１を出力するｆ８アルゴリズムが記載されている。
　そして、上記（キ）の記載から、ＫＡＳＵＭＩは平文６４ビットを入力して暗号文６４ビットが出力する暗号化演算を遂行するものと解されることから、ＫＡＳＵＭＩの入力であるデータＡと０との排他的論理和、及び、ＫＡＳＵＭＩの出力である鍵ストリームブロッＫＳＢ１は共に長さが６４ビットであると認められる。
　さらに、共に長さが６４ビットである鍵ストリームブロックＫＳＢ１と入力された平文ブロックＩＤＢ１との排他的論理和の結果として得られるデータの長さは６４ビットとなることは自明であるから、暗号文のデータＯＤＢ１は長さが６４ビットであると解される。
　加えて、上記（オ）の記載から、ｆ８アルゴリズムは回路として実装されるものと解されることから、引用文献１には
　長さが６４ビットであるデータＡと０との排他的論理和を入力して暗号化演算を遂行して長さが６４ビットである鍵ストリームブロックＫＳＢ１を出力し、長さが６４ビットである入力された平文ブロックＩＤＢ１と当該鍵ストリームブロックＫＳＢ１との排他的論理和の結果である、長さが６４ビットである暗号文のデータＯＤＢ１を出力する回路
が記載されたものと認められる。
　
（ｂ）上記（ア）の記載から、ＫＡＳＵＭＩは長さが１２８ビットの鍵を用いて暗号化処理を行うものであることが読み取れると共に、上記（イ）、（ウ）及び（ケ）の記載を併せると、長さが１２８ビットの鍵は１６ビットの鍵に分割されて副鍵とされ、当該副鍵のいずれもがキースケジューラから提供されることが読み取れるから、ＫＡＳＵＭＩは長さが１２８ビットの鍵がキースケジューラから提供されて暗号化するものであるといえる。
　また、上記（ク）の記載から、暗号化を行うＫＡＳＵＭＩにはデータＡと０との排他的論理和の結果が入力され、鍵ストリームブロックＫＳＢ１を出力するものがあることも読み取れ、上記（ａ）で述べた通り鍵ストリームブロックＫＳＢ１は長さが６４ビットである。
　よって、引用文献１に記載された回路には
　データＡと０との排他的論理和の結果を入力してキースケジューラから提供される長さが１２８ビットである鍵によって暗号化することにより、長さが６４ビットである鍵ストリームブロックＫＳＢ１を出力するＫＡＳＵＭＩ
を有することが認められる。
　
（ｃ）上記（エ）及び上記（ク）の記載から、引用文献１に記載された回路には
　長さが６４ビットである入力された平文ブロックＩＤＢ１と鍵ストリームブロックＫＳＢ１との排他的論理和をとり、長さが６４ビットである暗号文のデータＯＤＢ１を出力する手段
も有するものと認められる。
　
（ｄ）上記（イ）及び上記（キ）の記載から、引用文献１に記載されたＫＡＳＵＭＩは、入力されたデータを長さが３２ビットである左３２ビットと右３２ビットに分割するものであり、また、奇数ラウンドでは奇数ラウンドにおける左３２ビットをＦＬ関数→ＦＯ関数と変換すると共に、偶数ラウンドでは偶数ラウンドにおける左３２ビットをＦＯ関数→ＦＬ関数の順に変換するものであって、
　ＦＬ関数は入力された３２ビットの長さのデータを２つの副鍵ＫＬｉ，１とＫＬｉ，２で変換し、３２ビットの長さのデータを出力するものであり、
　ＦＯ関数は入力された３２ビットの長さのデータを３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３と、３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３とにより変換して、３２ビットの長さのデータを出力するものであること
が読み取れることから、引用文献１に記載のＫＡＳＵＭＩにおけるＦＬ関数及びＦＯ関数は、それぞれ
　ＦＬ関数は、奇数ラウンドでは、奇数ラウンドにおける左３２ビットが入力されて２つの副鍵ＫＬｉ，１とＫＬｉ，２で変換し、３２ビットの長さの奇数ラウンドにおけるＦＬ関数の変換結果を出力するものであり、また、偶数ラウンドでは、偶数ラウンドにおけるＦＯ関数の変換結果が入力されて２つの副鍵ＫＬｉ，１とＫＬｉ，２で変換し、３２ビットの長さの偶数ラウンドにおけるＦＬ関数の変換結果を出力するものであり、
　ＦＯ関数は、奇数ラウンドでは、３２ビットの長さの奇数ラウンドにおけるＦＬ関数の変換結果が入力されて３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３と、３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３とにより変換して、３２ビットの長さの奇数ラウンドにおけるＦＯ関数の変換結果を出力するものであり、また、偶数ラウンドでは、偶数ラウンドにおける左３２ビットが入力されて３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３と、３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３とにより変換して、３２ビットの長さの偶数ラウンドにおけるＦＯ関数の変換結果を出力するものであると認められる。
　また、上記（イ）、（ウ）及び（ケ）の記載からみて、２つの副鍵ＫＬｉ，１とＫＬｉ，２、３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３、３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３は、いずれも長さが１６ビットであり、また、いずれもＫＡＳＵＭＩ内のキースケジューラによって提供されるものであると解される。
　そして、上記（イ）、（ウ）及び（カ）の記載を併せると、当該ＫＡＳＵＭＩは奇数ラウンドと偶数ラウンドでＦＬ関数とＦＯ関数の順序を切り替えるセレクタを有するものと認められる。
　
　したがって、引用文献１には
　ＫＡＳＵＭＩは、
　奇数ラウンドでは、奇数ラウンドにおける左３２ビットが入力されて２つの副鍵ＫＬｉ，１とＫＬｉ，２で変換し、３２ビットの長さの奇数ラウンドにおけるＦＬ関数の変換結果を出力するものであり、また、偶数ラウンドでは、偶数ラウンドにおけるＦＯ関数の変換結果が入力されて２つの副鍵ＫＬｉ，１とＫＬｉ，２で変換し、３２ビットの長さの偶数ラウンドにおけるＦＬ関数の変換結果を出力するものであるＦＬ関数と、
　奇数ラウンドでは、３２ビットの長さの奇数ラウンドにおけるＦＬ関数の変換結果が入力されて３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３と、３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３とにより変換して、３２ビットの長さの奇数ラウンドにおけるＦＯ関数の変換結果を出力するものであり、また、偶数ラウンドでは、偶数ラウンドにおける左３２ビットが入力されて３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３と、３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３とにより変換して、３２ビットの長さの偶数ラウンドにおけるＦＯ関数の変換結果を出力するものであるＦＯ関数と、
　いずれも長さが１６ビットである２つの副鍵ＫＬｉ，１とＫＬｉ，２、３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３、３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３を提供するキースケジューラと、
　奇数ラウンドと偶数ラウンドでＦＬ関数とＦＯ関数の順序を切り替えるセレクタと
を有すること
が記載されたものと認められる。
　
　以上のことから、引用文献１には、以下の発明（以下、「引用発明」という。）が記載されたものと認められる。
　
　長さが６４ビットであるデータＡと０との排他的論理和を入力して暗号化演算を遂行して長さが６４ビットである鍵ストリームブロックＫＳＢ１を出力し、長さが６４ビットである入力された平文ブロックＩＤＢ１と当該鍵ストリームブロックＫＳＢ１との排他的論理和の結果である、長さが６４ビットである暗号文のデータＯＤＢ１を出力する回路であって、
　データＡと０との排他的論理和の結果を入力してキースケジューラから提供される長さが１２８ビットである鍵によって暗号化することにより、長さが６４ビットである鍵ストリームブロックＫＳＢ１を出力するＫＡＳＵＭＩと、
　長さが６４ビットである入力された平文ブロックＩＤＢ１と鍵ストリームブロックＫＳＢ１との排他的論理和をとり、長さが６４ビットである暗号文のデータＯＤＢ１を出力する手段とを有し、
　前記ＫＡＳＵＭＩは、
　入力されたデータを長さが３２ビットである左３２ビットと右３２ビットに分割するものであり、
　奇数ラウンドでは、奇数ラウンドにおける左３２ビットが入力されて２つの副鍵ＫＬｉ，１とＫＬｉ，２で変換し、３２ビットの長さの奇数ラウンドにおけるＦＬ関数の変換結果を出力するものであり、また、偶数ラウンドでは、偶数ラウンドにおけるＦＯ関数の変換結果が入力されて２つの副鍵ＫＬｉ，１とＫＬｉ，２で変換し、３２ビットの長さの偶数ラウンドにおけるＦＬ関数の変換結果を出力するものであるＦＬ関数と、
　奇数ラウンドでは、３２ビットの長さの奇数ラウンドにおけるＦＬ関数の変換結果が入力されて３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３と、３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３とにより変換して、３２ビットの長さの奇数ラウンドにおけるＦＯ関数の変換結果を出力するものであり、また、偶数ラウンドでは、偶数ラウンドにおける左３２ビットが入力されて３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３と、３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３とにより変換して、３２ビットの長さの偶数ラウンドにおけるＦＯ関数の変換結果を出力するものであるＦＯ関数と、
　いずれも長さが１６ビットである２つの副鍵ＫＬｉ，１とＫＬｉ，２、３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３、３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３を提供するキースケジューラと、
　奇数ラウンドと偶数ラウンドでＦＬ関数とＦＯ関数の順序を切り替えるセレクタと
を有する回路。
　
（Ｂ−２）周知技術
（Ｂ−２−１）周知技術１
　本願の優先権主張の基となる出願の出願日前に頒布された刊行物である、特開２００２−２９７０３０号公報（２００２年１０月９日公開）は、【００９２】段落乃至同【０１０１】段落及び【図２５】に、メモリ１１０から処理対象となるデータである平文を読み出して暗号処理回路１０１に対して制御信号を送って暗号化処理を行い、データレジスタ１０４に出力されて保持された暗号文を当該メモリ１１０の暗号結果の領域に書き込む制御回路が記載されており、メモリからデータを読み出す、とは、メモリからデータを出力することに他ならず、暗号文をメモリの暗号結果の領域に書き込む、とは、メモリに暗号文をさらに貯蔵することに他ならず、メモリからのデータの読み出し及びメモリへのデータの書き込みを制御信号に従って行うことは技術常識であることからみて、
　暗号化技術において、制御信号に従ってメモリから処理対象となるデータを出力して暗号化処理を行って暗号文を出力し、前記制御信号に従ってメモリに暗号文をさらに貯蔵するように制御する制御回路を設けることは、同刊行物に記載されているように本願の優先権主張の基となる出願の出願日前に周知の技術（周知技術１）といえる。
　
（Ｂ−２−２）周知技術２
　本願の優先権主張の基となる出願の出願日前に頒布された刊行物である、国際公開２００２／０９８０５２号（２００２年１２月５日公開）には、その［１０４９］段落乃至［１０５１］段落及びＦｉｇ．３の記載から、ＫＡＳＵＭＩの構成として、ＫＡＳＵＭＩ計算制御器(KASUMI calculation controller 320)から、制御信号(control signal)であるKASUMI_DATA_FLOWがＫＡＳＵＭＩラウンド３３０に送られて制御がなされることが読み取れ、その［１０５１］段落乃至［１０５４］段落及びＦｉｇ．４の記載から、ＫＡＳＵＭＩラウンドは、複数の多重化器（mux)と、一つのＦＬ関数４２５と、一つのＦＯ関数４３０を含んで構成され、KASUMI_DATA_FLOWによって多重化器が制御されることによりＫＡＳＵＭＩの偶数ラウンド及び奇数ラウンドを構成するデータフローセレクタが形成されることが読み取れ、その［１０６９］段落乃至［１０７２］段落及びＦｉｇ．９から、ＫＡＳＵＭＩの奇数ラウンドではKASUMI_DATA_FLOWが１に設定されることによりＦＬ関数→ＦＯ関数というデータフローが形成され、偶数ラウンドではKASUMI_DATA_FLOWが０に設定されることによりＦＯ関数→ＦＬ関数というデータフローが形成されることがそれぞれ読み取れるから、
　ＫＡＳＵＭＩの実装において、制御信号に従って複数の多重化器を制御することで、ＦＯ関数とＦＬ関数とのデータフローを形成してＫＡＳＵＭＩの奇数ラウンド及び偶数ラウンドの演算を制御するＫＡＳＵＭＩ計算制御器を設けることは、同刊行物に記載されているように本願の優先権主張の基となる出願の出願日前に周知の技術（周知技術２）といえる。
　
（Ｃ）対比
　引用発明と、本件補正後発明とを対比する。
　引用発明における「長さが６４ビットであるデータＡと０との排他的論理和」は、長さが６４ビットのデータであることは自明であり、当該「長さが６４ビットであるデータＡと０との排他的論理和」は、本件補正後発明における「長さが２ｎである第１入力ビット列」に相当する。
　引用発明における「暗号化演算」、「長さが６４ビットである鍵ストリームブロックＫＳＢ１」、「長さが６４ビットである入力された平文ブロックＩＤＢ１」、「長さが６４ビットである暗号文のデータＯＤＢ１」は、本件補正後発明における「第１暗号化演算」、「長さが２ｎである第１暗号化ビット列」、「長さがｍである第２入力ビット列」、「長さがｍである第２暗号化ビット列」にそれぞれ相当し、引用発明において、「長さが６４ビットである入力された平文ブロックＩＤＢ１と当該鍵ストリームブロックＫＳＢ１との排他的論理和」とは、平文ブロックＩＤＢ１の暗号化を遂行するものに他ならない。
　したがって、引用発明における「長さが６４ビットであるデータＡと０との排他的論理和を入力して暗号化演算を遂行して長さが６４ビットである鍵ストリームブロックＫＳＢ１を出力し、長さが６４ビットである入力された平文ブロックＩＤＢ１と当該鍵ストリームブロックＫＳＢ１との排他的論理和の結果である、長さが６４ビットである暗号文のデータＯＤＢ１を出力する回路」は、本件補正後発明の
「長さが２ｎである第１入力ビット列を入力して第１暗号化演算を遂行して長さが２ｎである第１暗号化ビット列を出力して長さがｍである第２入力ビット列と第２暗号化演算を遂行して、最終的に長さがｍである第２暗号化ビット列を出力する暗号化装置」と同じものである。
　
　引用発明における「キースケジューラ」及び「長さが１２８ビットである鍵」は、本件補正後発明の「キースケジューラー」及び「長さが４ｎである暗号化コード」にそれぞれ相当するから、引用発明の「データＡと０との排他的論理和の結果を入力してキースケジューラから提供される長さが１２８ビットである鍵によって暗号化することにより、長さが６４ビットである鍵ストリームブロックＫＳＢ１を出力するＫＡＳＵＭＩ」と、本件補正後発明の「前記第１入力ビット列を入力してキースケジューラーから提供される長さが４ｎである暗号化コードによって暗号化することにより、長さが２ｎである第１暗号化ビット列を出力する暗号化部」とは、同じものである。
　
　引用発明における「長さが６４ビットである入力された平文ブロックＩＤＢ１と鍵ストリームブロックＫＳＢ１との排他的論理和をとり、長さが６４ビットである暗号文のデータＯＤＢ１を出力する手段」と、本件補正後発明の「制御信号に従ってメモリから前記長さがｍである第２入力ビット列を出力して前記第１暗号化ビット列と暗号化演算を遂行して長さがｍである第２暗号化ビット列を出力し、前記制御信号に従って前記メモリに前記第２暗号化ビット列をさらに貯蔵するように制御する主制御器」とは、
　長さがｍである第２入力ビット列を出力して第１暗号化ビット列と暗号化演算を遂行して長さがｍである第２暗号化ビット列を出力する手段
である点では一致する。
　
　引用発明の「前記ＫＡＳＵＭＩは、入力されたデータを長さが３２ビットである左３２ビットと右３２ビットに分割するものであり」における「入力されたデータ」とは、「長さが６４ビットであるデータＡと０との排他的論理和」に他ならないから、引用発明の「長さが３２ビットである左３２ビット」と「右３２ビット」とは、それぞれ本件補正後発明における「第１サブビット列」及び「第２サブビット列」に相当し、引用発明における「入力されたデータを長さが３２ビットである左３２ビットと右３２ビットに分割するものであり」と、本件補正後発明における「前記第１入力ビット列を長さがｎである第１及び第２サブビット列に分割し」とは、同じものである。
　引用発明における「２つの副鍵ＫＬｉ，１とＫＬｉ，２」、「３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３」、「３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３」、「３２ビットの長さの奇数ラウンドにおけるＦＬ関数の変換結果」、「３２ビットの長さの偶数ラウンドにおけるＦＬ関数の変換結果」、「３２ビットの長さの奇数ラウンドにおけるＦＯ関数の変換結果」、「３２ビットの長さの奇数ラウンドにおけるＦＬ関数の変換結果」、「左３２ビット」は、それぞれ、本件補正後発明における「第１暗号化コードＫＬ１，１、ＫＬ１，２」、「第２暗号化コードＫＯ１，１、ＫＯ１，２、ＫＯ１，３」、「第３暗号化コードＫＩ１，１、ＫＩ１，２、ＫＩ１，３」、「長さがｎである第１暗号化ビット列」、「長さがｎである第３暗号化ビット列」、「長さがｎである第４暗号化ビット列」、「長さがｎである第２暗号化ビット列」、「信号Ｌ」に相当する。
　引用発明の「奇数ラウンドでは、奇数ラウンドにおける左３２ビットが入力されて２つの副鍵ＫＬｉ，１とＫＬｉ，２で変換し、３２ビットの長さの奇数ラウンドにおけるＦＬ関数の変換結果を出力するものであり、また、偶数ラウンドでは、偶数ラウンドにおけるＦＯ関数の変換結果が入力されて２つの副鍵ＫＬｉ，１とＫＬｉ，２で変換し、３２ビットの長さの偶数ラウンドにおけるＦＬ関数の変換結果を出力するものであるＦＬ関数」において、副鍵による変換とは暗号化することに他ならないから、当該ＦＬ関数と、本件補正後発明における「制御信号に従って信号Ｌを入力して第１暗号化コードＫＬｉ，１、ＫＬｉ，２により暗号化することによって長さがｎである第１暗号化ビット列を出力するか、第２暗号化ビット列を入力して前記第１暗号化コードＫＬｉ，１、ＫＬｉ，２により暗号化することによって長さがｎである第３暗号化ビット列を出力する第１暗号化部」とは、
”第１サブビット列を入力して第１暗号化コードＫＬｉ，１、ＫＬｉ，２により暗号化することによって長さがｎである第１暗号化ビット列を出力するか、第２暗号化ビット列を入力して前記第１暗号化コードＫＬｉ，１、ＫＬｉ，２により暗号化することによって長さがｎである第３暗号化ビット列を出力する第１暗号化手段”
である点で一致する。
　
　引用発明における「奇数ラウンドでは、３２ビットの長さの奇数ラウンドにおけるＦＬ関数の変換結果が入力されて３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３と、３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３とにより変換して、３２ビットの長さの奇数ラウンドにおけるＦＯ関数の変換結果を出力するものであり、また、偶数ラウンドでは、偶数ラウンドの左３２ビットが入力されて３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３と、３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３とにより変換して、３２ビットの長さの偶数ラウンドにおけるＦＯ関数の変換結果を出力するものであるＦＯ関数」において、副鍵による変換とは暗号化することに他ならないから、引用発明のＦＯ関数と、本件補正後発明における「制御信号に従って前記第１暗号化ビット列を入力して第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３及び第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３により暗号化することによって長さがｎである第４暗号化ビット列を出力するか、信号Ｌを入力して前記第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３及び前記第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３により暗号化することによって長さがｎである前記第２暗号化ビット列を出力する第２暗号化部」とは
”前記第１暗号化ビット列を入力して第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３及び第３暗号化コードＫＬｉ，１、ＫＬｉ，２、ＫＬｉ，３により暗号化することによって長さがｎである第４暗号化ビット列を出力するか、前記第１サブビット列を入力して前記第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３及び前記第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３により暗号化することによって長さがｎである前記第２暗号化ビット列を出力する第２暗号化手段”
である点で一致する。
　
　引用発明における「いずれも長さが１６ビットである２つの副鍵ＫＬｉ，１とＫＬｉ，２、３つの副鍵ＫＩｉ，１，ＫＩｉ，２，ＫＩｉ，３、３つの副鍵ＫＯｉ，１，ＫＯｉ，２，ＫＯｉ，３を提供するキースケジューラ」と、本件補正後発明における「長さがｎ／２である所定の第１暗号化コードＫＬｉ，１、ＫＬｉ，２と第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３と第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３とを提供するキースケジューラー」とは、同じものである。
　
　引用発明における「奇数ラウンドと偶数ラウンドでＦＬ関数とＦＯ関数の順序を切り替えるセレクタ」は、左３２ビットがＦＬ関数に入力されるか、ＦＯ関数に入力されるように選択するものといえるから、当該セレクタは、本件補正後発明における「前記制御信号に従って複数の多重化器が前記第１サブビット列を出力して前記第１暗号化部に入力されるか、前記第２暗号化部に入力されて前記キースケジューラーから提供される前記第１暗号化コードＫＬｉ，１、ＫＬｉ，２、第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３、及び第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３によって暗号化演算を遂行するように制御する制御器」と、
”第１サブビット列を出力して第１暗号化手段に入力されるか、第２暗号化手段に入力されるように選択する手段”
である点で一致する。
　
　したがって、引用発明と本件補正後発明とは、以下の一致点で一致し、相違点で相違する。
（一致点）
　長さが２ｎである第１入力ビット列を入力して第１暗号化演算を遂行して長さが２ｎである第１暗号化ビット列を出力して長さがｍである第２入力ビット列と第２暗号化演算を遂行して、最終的に長さがｍである第２暗号化ビット列を出力する暗号化装置において、
　前記第１入力ビット列を入力してキースケジューラーから提供される長さが４ｎである暗号化コードによって暗号化することにより、長さが２ｎである第１暗号化ビット列を出力する暗号化部と、
　長さがｍである第２入力ビット列を出力して第１暗号化ビット列と暗号化演算を遂行して長さがｍである第２暗号化ビット列を出力する手段と、からなり、
　前記暗号化部は、前記第１入力ビット列を長さがｎである第１及び第２サブビット列に分割し、
　信号Ｌを入力して第１暗号化コードＫＬｉ，１、ＫＬｉ，２により暗号化することによって長さがｎである第１暗号化ビット列を出力するか、第２暗号化ビット列を入力して前記第１暗号化コードＫＬｉ，１、ＫＬｉ，２により暗号化することによって長さがｎである第３暗号化ビット列を出力する第１暗号化手段と、
　前記第１暗号化ビット列を入力して第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３及び第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３により暗号化することによって長さがｎである第４暗号化ビット列を出力するか、信号Ｌを入力して前記第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３及び前記第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３により暗号化することによって長さがｎである前記第２暗号化ビット列を出力する第２暗号化手段と、
　長さがｎ／２である所定の第１暗号化コードＫＬｉ，１、ＫＬｉ，２と第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３と第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３とを提供するキースケジューラーと、
　第１サブビット列を出力して第１暗号化手段に入力されるか、第２暗号化手段に入力されるように選択する手段と
から構成されることを特徴とする暗号化装置
　
（相違点）
（相違点１）
　本件補正後発明は、
「制御信号に従ってメモリから前記長さがｍである第２入力ビット列を出力して前記第１暗号化ビット列と暗号化演算を遂行して長さがｍである第２暗号化ビット列を出力し、前記制御信号に従って前記メモリに前記第２暗号化ビット列をさらに貯蔵するように制御する主制御器」を有するのに対して、引用発明は、当該主制御器に対応する手段を有していることが明らかではない点。
　
（相違点２）
　本件補正後発明は、「第１暗号化部」及び「第２暗号化部」が「制御信号」に従っており、また、「制御信号に従って複数の多重化器が前記第１サブビット列を出力して前記第１暗号化部に入力されるか、前記第２暗号化部に入力されて前記キースケジューラーから提供される前記第１暗号化コードＫＬｉ，１、ＫＬｉ，２、第２暗号化コードＫＯｉ，１、ＫＯ１，２、ＫＯｉ，３、及び第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３によって暗号化演算を遂行するように制御する制御器」を有しているのに対して、引用発明は、ＦＬ関数及びＦＯ関数が制御信号に従っていることは明らかではなく、また、当該制御器に対応する手段を有するものであるのかも明らかではない点。
　
（Ｄ）判断
　上記相違点について判断する。
（相違点１）について；
　暗号化技術において、制御信号に従ってメモリから処理対象となるデータを出力して暗号化処理を行って暗号文を出力し、前記制御信号に従ってメモリに暗号文をさらに貯蔵するように制御する制御回路を設けることは、本願の優先権主張の基となった出願の出願日前に周知の技術（周知技術１）であり、当該周知の技術を引用発明に適用することにより、制御信号に従ってメモリから処理対象となるデータである、長さが６４ビットである入力された平文ブロックＩＤＢ１を出力して鍵ストリームブロックＫＳＢ１と暗号化処理を行って長さが６４ビットである暗号文のデータＯＤＢ１を出力し、前記制御信号に従ってメモリに当該暗号文のデータＯＤＢ１をさらに貯蔵するように制御する制御回路を設けることは当業者が容易に想到し得た事項である。
　したがって、相違点１は、格別のものではない。
　
（相違点２）について；
　ＫＡＳＵＭＩの実装において、制御信号に従って複数の多重化器を制御することで、ＦＯ関数とＦＬ関数とのデータフローを形成してＫＡＳＵＭＩの奇数ラウンド及び偶数ラウンドの演算を制御するＫＡＳＵＭＩ計算制御器を設けることは本願の優先権主張の基となる出願の出願日前に周知の技術（周知技術２）であり、ＦＯ関数とＦＬ関数のデータフローを形成してＫＡＳＵＭＩの奇数ラウンド及び偶数ラウンドの演算を制御する、ということは、ＦＬ関数及びＦＯ関数の入力、暗号化処理及び出力が制御信号に従って行われることを意味することが明らかであって、また、当該ＫＡＳＵＭＩ計算制御器は、本件補正後発明における「制御信号に従って複数の多重化器が前記第１サブビット列を出力して前記第１暗号化部に入力されるか、前記第２暗号化部に入力されて前記キースケジューラーから提供される前記第１暗号化コードＫＬｉ，１、ＫＬｉ，２、第２暗号化コードＫＯｉ，１、ＫＯｉ，２、ＫＯｉ，３、及び第３暗号化コードＫＩｉ，１、ＫＩｉ，２、ＫＩｉ，３によって暗号化演算を遂行するように制御する制御器」と同じものであるといえる。
　よって、引用発明において、ＦＯ関数とＦＬ関数の順序を切り替える機構の実装に当たって当該周知の技術を考慮してＫＡＳＵＭＩ計算制御器を設け、ＦＬ関数及びＦＯ関数が制御信号に従うよう構成することは、当業者が容易に想到し得た事項である。
　したがって、相違点２は、格別のものではない。
　
（本件補正後発明の奏する効果について）
　本件補正後発明が奏する効果についても、引用発明及び周知の技術から当業者が容易に予測し得たものにすぎない。
　
（Ｅ）特許法第２９条第２項の結論
　したがって、本件補正後発明は、引用発明及び周知の技術に基づいて当業者が容易に発明をすることができたものであるので、特許法第２９条第２項の規定により特許を受けることができないものである。
　
（３−４）独立特許要件のまとめ
　以上のとおりであるから、本件補正後の請求項１は、特許法第３６条第６項第１号及び第２号に規定する要件を満たしておらず、また、本件補正後の請求項１に係る発明は、特許法第２９条第２項の規定により特許を受けることができないものであるから、特許出願の際独立して特許を受けることができないものである。
　
３．補正却下のむすび
　本件補正は、上記（１）、（２）の通り平成１８年法律第５５号改正附則第３条第１項によりなお従前の例によるとされる同法による改正前の特許法第１７条の２第４項の規定に違反するので、同法第１５９条第１項において読み替えて準用する同法第５３条第１項の規定により却下すべきものである。 
　また、本件補正を同法第４項第２号に規定する特許請求の範囲の減縮を目的とするものであるとみても、上記（３−４）のとおり、同法第１７条の２第５項において準用する同法第１２６条第５項の規定に違反するので、同法第１５９条第１項において読み替えて準用する同法第５３条第１項の規定により却下すべきものである。 
　
第３．本願発明
　上記のとおり、平成１９年６月１３日付け手続補正は却下されたので、本願の請求項１に係る発明（以下、「本願発明」という。）は、平成１９年１月１２日付け手続補正により補正された請求項１に記載されたとおりの次のものと認める。
　
「長さが２ｎである第１入力ビット列を入力して第１暗号化演算を遂行して長さが２ｎである第１暗号化ビット列を出力して長さがｍである第２入力ビット列と第２暗号化演算を遂行して、最終的に長さがｍである第２暗号化ビット列を出力する暗号化装置において、
　前記第１入力ビット列を入力してキースケジューラーから提供される長さが４ｎである暗号化コードによって暗号化することにより、長さが２ｎである第１暗号化ビット列を出力する暗号化部と、
　制御信号に従ってメモリから前記長さがｍである第２入力ビット列を出力して前記第１暗号化ビット列と暗号化演算を遂行して長さがｍである第２暗号化ビット列を出力し、前記制御信号に従って前記メモリに前記第２暗号化ビット列をさらに貯蔵するように制御する制御器と、から構成されることを特徴とする暗号化装置。」
　
第４．引用発明及び周知技術
　引用発明については、上記「第２．平成１９年６月１３日付け手続補正についての補正却下の決定」の項中の「２．補正の適否」の項中の「（３）独立特許要件についての検討」の項中の「（３−３）特許法第２９条第２項について」の項中の「（Ｂ）引用発明及び周知技術」の項中の「（Ｂ−１）引用発明」の項中で認定した通りであり、周知技術については、上記「第２．平成１９年６月１３日付け手続補正についての補正却下の決定」の項中の「２．補正の適否」の項中の「（３）独立特許要件についての検討」の項中の「（３−３）特許法第２９条第２項について」の項中の「（Ｂ）引用発明及び周知技術」の項中の「（Ｂ−２）周知技術」の項中の「（Ｂ−２−１）周知技術１」の項中で認定した通りである。
　
第５．対比
　本願発明と、引用発明とを対比する。
　引用発明における「長さが６４ビットであるデータＡと０との排他的論理和」は、長さが６４ビットのデータであることは自明であり、当該「長さが６４ビットであるデータＡと０との排他的論理和」は、本願発明における「長さが２ｎである第１入力ビット列」に相当する。
　引用発明における「暗号化演算」、「長さが６４ビットである鍵ストリームブロックＫＳＢ１」、「長さが６４ビットである入力された平文ブロックＩＤＢ１」、「長さが６４ビットである暗号文のデータＯＤＢ１」は、本願発明における「第１暗号化演算」、「長さが２ｎである第１暗号化ビット列」、「長さがｍである第２入力ビット列」、「長さがｍである第２暗号化ビット列」にそれぞれ相当し、引用発明において、「長さが６４ビットである入力された平文ブロックＩＤＢ１と当該鍵ストリームブロックＫＳＢ１との排他的論理和」とは、平文ブロックＩＤＢ１の暗号化を遂行するものに他ならない。
　したがって、引用発明における「長さが６４ビットであるデータＡと０との排他的論理和を入力して暗号化演算を遂行して長さが６４ビットである鍵ストリームブロックＫＳＢ１を出力し、長さが６４ビットである入力された平文ブロックＩＤＢ１と当該鍵ストリームブロックＫＳＢ１との排他的論理和の結果である、長さが６４ビットである暗号文のデータＯＤＢ１を出力する回路」は、本願発明の
「長さが２ｎである第１入力ビット列を入力して第１暗号化演算を遂行して長さが２ｎである第１暗号化ビット列を出力して長さがｍである第２入力ビット列と第２暗号化演算を遂行して、最終的に長さがｍである第２暗号化ビット列を出力する暗号化装置」と同じものである。
　
　引用発明における「キースケジューラ」及び「長さが１２８ビットである鍵」は、本願発明の「キースケジューラー」及び「長さが４ｎである暗号化コード」にそれぞれ相当するから、引用発明の「データＡと０との排他的論理和の結果を入力してキースケジューラから提供される長さが１２８ビットである鍵によって暗号化することにより、長さが６４ビットである鍵ストリームブロックＫＳＢ１を出力するＫＡＳＵＭＩ」と、本願発明の「前記第１入力ビット列を入力してキースケジューラーから提供される長さが４ｎである暗号化コードによって暗号化することにより、長さが２ｎである第１暗号化ビット列を出力する暗号化部」とは、同じものである。
　
　引用発明における「長さが６４ビットである入力された平文ブロックＩＤＢ１と鍵ストリームブロックＫＳＢ１との排他的論理和をとり、長さが６４ビットである暗号文のデータＯＤＢ１を出力する手段」と、本願発明の「制御信号に従ってメモリから前記長さがｍである第２入力ビット列を出力して前記第１暗号化ビット列と暗号化演算を遂行して長さがｍである第２暗号化ビット列を出力し、前記制御信号に従って前記メモリに前記第２暗号化ビット列をさらに貯蔵するように制御する制御器」とは、
　長さがｍである第２入力ビット列を出力して第１暗号化ビット列と暗号化演算を遂行して長さがｍである第２暗号化ビット列を出力する手段
である点では一致する。
　
　したがって、本願発明と引用発明とは、以下の一致点で一致し、相違点で相違する。
　
（一致点）
　長さが２ｎである第１入力ビット列を入力して第１暗号化演算を遂行して長さが２ｎである第１暗号化ビット列を出力して長さがｍである第２入力ビット列と第２暗号化演算を遂行して、最終的に長さがｍである第２暗号化ビット列を出力する暗号化装置において、
　前記第１入力ビット列を入力してキースケジューラーから提供される長さが４ｎである暗号化コードによって暗号化することにより、長さが２ｎである第１暗号化ビット列を出力する暗号化部と、
　長さがｍである第２入力ビット列を出力して第１暗号化ビット列と暗号化演算を遂行して長さがｍである第２暗号化ビット列を出力する手段と、から構成されることを特徴とする暗号化装置。
　
（相違点）
　本願発明は、
「制御信号に従ってメモリから前記長さがｍである第２入力ビット列を出力して前記第１暗号化ビット列と暗号化演算を遂行して長さがｍである第２暗号化ビット列を出力し、前記制御信号に従って前記メモリに前記第２暗号化ビット列をさらに貯蔵するように制御する制御器」を有するのに対して、引用発明は、当該制御器に対応する手段を有していることが明らかではない点。
　
第６．判断
　上記相違点について判断する。
　暗号化技術において、制御信号に従ってメモリから処理対象となるデータを出力して暗号化処理を行って暗号文を出力し、前記制御信号に従ってメモリに暗号文をさらに貯蔵するように制御する制御回路を設けることは、本願の優先権主張の基となった出願の出願日前に周知の技術（周知技術１）であり、当該周知の技術を引用発明に用いることにより、制御信号に従ってメモリから処理対象となるデータである、長さが６４ビットである入力された平文ブロックＩＤＢ１を出力して鍵ストリームブロックＫＳＢ１と暗号化処理を行って長さが６４ビットである暗号文のデータＯＤＢ１を出力し、前記制御信号に従ってメモリに当該暗号文のデータＯＤＢ１をさらに貯蔵するように制御する制御回路を設けることは当業者が容易に想到し得た事項である。
　したがって、当該相違点は、格別のものではない。
　
　また、本願発明の奏する効果も、引用発明及び周知の技術に基づいて当業者が容易に予測し得た程度のものである。
　
第７．むすび
　以上のとおり、本願の請求項１に係る発明は、引用発明及び周知の技術に基づいて当業者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
　
　よって、結論のとおり審決する。