【事件の表示】
　特願２０１１−１６１３４６「暗号鍵の生成」拒絶査定不服審判事件〔平成２３年１２月１５日出願公開、特開２０１１−２５４５１２〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
第１．手続の経緯
　特願２０１１−５１１９８２号が，２００８年７月２１日（パリ条約による優先権主張外国庁受理，２００８年６月６日（以下，「優先日」という。），アメリカ合衆国）に国際出願され，該出願を原出願とする特許法第４４条第１号の規定による新たな特許出願として，本件審判に係る出願（以下，「本願」という。）が，平成２３年７月２２日に出願され，平成２３年８月５日付けで特許法第１８４条の４第１項の規定による翻訳文が提出され，平成２３年８月５日付けで審査請求がなされると共に同日付けで手続補正がなされ，平成２４年５月１４日付けで手続補正がなされた。
　そして，平成２５年１月２４日付けで拒絶理由通知（平成２５年１月２８日発送）がなされ，これに対して平成２５年４月２５日付けで意見書が提出されるとともに同日付けで手続補正がなされたが，平成２５年８月１日付けで拒絶査定（平成２５年８月５日謄本送達）がなされた。
　これに対して，「原査定を取り消す，本願は特許をすべきものであるとの審決を求める」ことを請求の趣旨として平成２５年１２月５日付けで審判請求がなされると共に同日付けで手続補正がなされ，平成２６年２月１７日付けで審査官により特許法第１６４条第３項に定める報告がなされた。
　
　
第２．本願発明
　
　本願の請求項１に係る発明（以下，「本願発明」という。）は，平成２５年４月２５日付け手続補正により補正された特許請求の範囲の請求項１に記載された事項により特定される，以下のとおりのものである。
　
「　ユーザ機器とネットワーク・エンティティ（２０４）との間の通信を保護するための暗号鍵（１２０）を生成するための方法であって，前記方法は前記ネットワーク・エンティティ（２０４）により開始される認証／暗号鍵配送プロトコルの一部として前記ユーザ機器により実行され，
　前記認証／暗号鍵配送プロトコルを実行することによって前記ユーザ機器により算出された暗号鍵（１１０，１１２）の集合を備えるか又は前記集合から導出される第１パラメータ（１０６）と，トークン（１１６）を備えるか又は前記トークンから導出される第２パラメータとを含む少なくとも２つのパラメータ（１０６，１０８）を提供する工程（３０６）と，
　前記提供されたパラメータ（１０６，１０８）に基づいて暗号鍵（１２０）を生成するために鍵導出関数を適用する工程（３０８）とを有し，
　前記トークン（１１６）はシーケンス番号＜ＳＱＮ＞と匿名鍵＜ＡＫ＞との排他的論理和を備える
ことを特徴とする方法。」 
　
　
第３．先行技術文献記載事項
　
１．引用文献１
　本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能となった文献であって，原審の平成２５年１月２４日付けの拒絶理由通知において引用された，国際公開第２００７／０６２８８２号（平成１９年６月７日国際公開。以下，「引用文献１」という。）には，図面とともに，次の記載がある。
（当審注：下線は，参考のために当審で付与したものである。また，日本語訳は，引用文献１のファミリー文献である特表２００９−５１７９３７号公報の記載を用いた。）
　
Ａ．「3GPP has specified a protocol known as Authentication and Key Agreement (AKA) for performing authentication and session key distribution in Universal Mobile Telecommunications System (UMTS) networks. UMTS AKA is specified in 3GPP TS.33.102 and is a challenge-response based mechanism that uses symmetric cryptography. AKA is typically run in a UMTS Services Identity Module (USIM), which resides on a smart card like device (referred to as a Universal Integrated Circuit Card or UICC) that also provides tamper resistant storage of shared secrets. AKA is run at registration and re-registration of 
a User Equipment (UE - where a UE is defined as the combination of a Mobile Station (MS) and a USIM)
（日本語訳：「【０００３】
　３ＧＰＰは，ユニバーサル移動通信システム（ＵＭＴＳ）ネットワークにおいて認証及びセッション鍵の配布を実行するＡＫＡ（Authentication and Key Agreement）として知られるプロトコルを規定した。ＵＭＴＳ ＡＫＡは3GPP TS.33.102において規定され，対称暗号法を使用するチャレンジレスポンス方式の機構である。通常，ＡＫＡはＵＳＩＭ（UMTS Services Identity Module）において実行する。ＵＳＩＭは，共有秘密の改竄を防止するように格納するスマートカードに類似するデバイス（Universal Integrated Circuit Card又はＵＩＣＣと呼ばれる）上に常駐する。ＡＫＡは，
ユーザ機器（ＵＥ−この場合，ＵＥは移動局（ＭＳ）とＵＳＩＭとの組み合わせとして定義される）
　
　
Ｂ．「The keys, together with the RAND value, XRES and an authentication token (AUTN), are sent by the HSS to the SGSN.」（第２欄第３３行〜第３欄第２行）
（日本語訳：「ＨＳＳは，共有秘密及びランダム値に適切な関数を適用することにより，期待される結果ＸＲＥＳを更に生成する。鍵はＲＡＮＤ値，ＸＲＥＳ及び認証トークン（ＡＵＴＮ）と共に，ＨＳＳによってＳＧＳＮへ送信される。」）
　
　
Ｃ．「3GPP Technical Specification TS 33.220 specifies the so-called Generic Bootstrapping Architecture (GBA). 
GBA provides a mechanism whereby a client terminal (UE) can be authenticated to a Network Authentication Function (NAF) - i.e. the service node or service provider - and secure session keys (Ks_NAF) obtained for use between the UE and the NAF
　
The simple network model for the GBA architecture is illustrated in the schematic diagram of Figure 2. When a UE knows that a bootstrapping procedure is required, it will first perform a bootstrapping authentication with the BSF using the http digest AKA procedure (RFC 3310). Keys CK and IK will be agreed upon between the UE and the BSF (again, these keys must be distinguished from the keys agreed at registration or re-registration and which are used to secure the radio link). The BSF also provides to the UE a unique bootstrapping transaction identifier (B-TID). When a UE and a NAF wishes to obtain session keys from the BSF, the UE delivers the B-TID to the NAF, which the NAF then forwards to the BSF. The B-TID contains an index which the BSF uses to identify the UE and obtain appropriate NAF specific keys (Ks_NAF). The NAF specific keys are then forwarded to the NAF. The lifetime of the key material is set according to the local policy of the BSF.」（第３欄第２１行〜第４欄第１０行）
（日本語訳：「【０００８】
　３ＧＰＰ技術仕様書TS33.220は，いわゆる汎用ブートストラッピングアーキテクチャ（ＧＢＡ）を規定する。
ＧＢＡは
クライアント端末（ＵＥ）がネットワーク認証機能（ＮＡＦ），すなわちサービスノード又はサービスプロバイダと，ＵＥとＮＡＦとの間で使用するために取得されるセキュアセッション鍵（Ｋｓ＿ＮＡＦ）とに対して認証される機構を提供する
【０００９】
　ＧＢＡアーキテクチャの単純なネットワークモデルを図２に概略的に示す。ブートストラッピング手順が必要であることをＵＥが知っている場合，最初に，ＵＥはｈｔｔｐダイジェストＡＫＡ手順（ＲＦＣ３３１０）を使用してＢＳＦと共にブートストラッピング認証を実行する。鍵ＣＫ及びＩＫはＵＥとＢＳＦとの間で一致する（これらの鍵は，登録又は再登録の際に一致し且つ無線リンクをセキュリティ保護するために使用される鍵とは区別される必要がある）。更に，ＢＳＦは，特有のブートストラッピングトランザクション識別子（Ｂ−ＴＩＤ）をＵＥに提供する。ＵＥ及びＮＡＦがＢＳＦからセッション鍵を取得することを希望する場合，ＵＥはＢ−ＴＩＤをＮＡＦに配信し，ＮＡＦはそれをＢＳＦに転送する。Ｂ−ＴＩＤは，ＢＳＦがＵＥを識別し且つ適切なＮＡＦ専用鍵（Ｋｓ＿ＮＡＦ）を取得するために使用する指標を含む。その後，ＮＡＦ専用鍵はＮＡＦに転送される。鍵材料の寿命は，ＢＳＦのローカルポリシーに従って設定される。」）
　
　
Ｄ．「The AKA and GBA protocols have been described above with reference to Figures 1 to 5, both in the context of 2G/3G core network access and IMS access domain. 
A mechanism that allows GBA to be implemented
will now be described
　
As has already been described above with reference to Figure 4, a secure IPsec tunnel can be established between the User Equipment (UE) and the P-CSCF on the basis of the cipher and integrity keys CK, IK. Consider now the case where the S-CSCF derives further keys CK' and IK' as follows:
　　CK' = KDF(CK, P_CSCF_ID)
　　IK' = KDF(IK, P_CSCF_ID)
where 
KDF is a Key Derivation Function (for example as defined for GBA)
　
The steps of the detailed process are illustrated in Figure 6
・
The UE sends a SIP register to the S-CSCF
・
The S-CSCF fetches an Authentication Vector, AV = (RAND, CK, IK, XRES, AUTN), from the HSS
・The S-CSCF derives the two new keys CK' and IK' from CK and IK respectively using some KDF, e.g.,
　　CK' = KDF(CK, P_CSCF_ID)
　　IK' = KDF(IK, P_CSCF_ID)
・The S-CSCF creates a new special AV = (RAND, CK', IK', XRES, AUTN) to the P-CSCF.
・
The P-CSCF receives AV and forwards RAND/AUTN to the UE
・
The UE receives the RAND/AUTN and runs this tuple through the ISIM. The result of this operation is that the UE gets back CK and IK from the ISIM.
・The UE and the P-CSCF establish an IPsec tunnel based on CK' and IK'.
・In the step marked with circle 3 in the Figure, 
the UE derives a service specific key Ks_NAF for the particular NAF it wishes to communicate with
Ks_NAF could be derived by applying a KDF to keys CK
 and IK
 and the NAF_ID, where for example
　　
CK
 = KDF(CK, 
some GBA ID
, 
other param
)
　　
IK
 = KDF(IK, 
some GBA ID
, 
other param
)
The reason for deriving CK and IK is that a NAF may want to have separate integrity and ciphering keys for the security protocol used between the UE and itself. The NAF could then use CK and IK directly. The some GBA ID parameter is an ID that identifies the enhanced GBA system (e.g., the string eGBA, or the string eGBA@operator.com), and is used in order to tie the generated keys to this particular key distribution system and to avoid potential key-collisions.
・The UE then contacts the NAF and provides the NAF with an identity that uniquely identifies the CK/IK that resulted from the IMS registration. This identity is (in GBA) called B-TID, and is provided to the UE from the BSF during the AKA procedure, i.e. it is provided by the S-CSCF during the IMS registration procedure (when AKA is run).
・The NAF contacts the S-CSCF and requests the Ks_NAF corresponding to the given B-TID.
・
The S-CSCF derives the Ks_NAF from CK and IK in the same way the UE did
e.g., Ks_NAF = KDF(CK
, IK
, NAF_ID, 
other param
)
・The UE and the NAF can now establish a secure connection based on Ks_NAF
（日本語訳：「【００３７】
　２Ｇ／３Ｇコアネットワークアクセス及びＩＭＳアクセスドメインの双方の場合において，ＡＫＡプロトコル及びＧＢＡプロコルを図１〜図５を参照して上述した。最初にＩＭＳの場合において，次にＳＡＥ／ＬＴＥ高性能３Ｇネットワークの場合において，ＡＫＡの再実行を必要とせずに
ＧＢＡを実現できる機構を以下に説明する
【００３８】
　図４を参照して既に上述したように，セキュアＩＰｓｅｃトンネルは，暗号鍵ＣＫ及び秘匿鍵ＩＫに基づいて，ユーザ機器（ＵＥ）とＰ−ＣＳＣＦとの間に確立される。Ｓ−ＣＳＣＦが更なる鍵ＣＫ’及びＩＫ’を以下のように導出する場合を以下に考察する。
【００３９】
　ＣＫ’＝ＫＤＦ(ＣＫ,P_CSCF_ID)
　ＩＫ'＝ＫＤＦ(ＩＫ,P_CSCF_ID)
式中，
ＫＤＦは鍵導出関数（例えば，ＧＢＡに対して定義されるような関数）である
【００４０】
　
詳細な処理のステップを図６に示す
・
ＵＥはＳＩＰ  Ｒｅｇｉｓｔｅｒ（ＳＩＰレジスタ）をＳ−ＣＳＣＦへ送信する
・
Ｓ−ＣＳＣＦは，認証ベクトルＡＶ＝（ＲＡＮＤ，ＣＫ，ＩＫ，ＸＲＥＳ，ＡＵＴＮ）をＨＳＳから取り出す
・Ｓ−ＣＳＣＦは，例えば以下のような任意のＫＤＦを使用して，２つの新規の鍵ＣＫ’及びＩＫ’をそれぞれＣＫ及びＩＫから導出する。
ＣＫ’＝ＫＤＦ(ＣＫ,P_CSCF_ID)
ＩＫ’＝ＫＤＦ(ＩＫ,P_CSCF_ID)
・Ｓ−ＣＳＣＦは，Ｐ−ＣＳＣＦに対する新規の特別なＡＶ’＝（ＲＡＮＤ，ＣＫ’，ＩＫ’，ＸＲＥＳ，ＡＵＴＮ）を作成する。
・
Ｐ−ＣＳＣＦはＡＶ’を受信し，ＲＡＮＤ／ＡＵＴＮをＵＥに転送する
・
ＵＥはＲＡＮＤ／ＡＵＴＮを受信し，このタプルをＩＳＩＭを介して実行する。この動作の結果，ＵＥはＩＳＩＭからＣＫ及びＩＫを取り戻す
・ＵＥ及びＰ−ＣＳＣＦは，ＣＫ’及びＩＫ’に基づいてＩＰｓｅｃトンネルを確立する。
・図中に丸３で示すステップにおいて，
ＵＥは，通信を希望する特定のＮＡＦに対するサービス専用鍵Ｋｓ＿ＮＡＦを導出する
Ｋｓ＿ＮＡＦは，例えば以下のように，ＫＤＦを鍵ＣＫ”及びＩＫ”とＮＡＦ＿ＩＤとに適用することにより導出される
ＣＫ
＝ＫＤＦ(ＣＫ,＜some GBA ID＞,＜other param＞)
ＩＫ
＝ＫＤＦ(ＩＫ,＜some GBA ID＞,＜other param＞)
　ＣＫ”及びＩＫ”を導出する理由は，ＮＡＦがＵＥとＮＡＦとの間で使用されるセキュリティプロトコルに対する別個の秘匿鍵及び暗号化鍵を有することを希望する場合があるからである。その場合，ＮＡＦはＣＫ”及びＩＫ”を直接使用できる。＜some GBA ID＞パラメータは，高性能ＧＢＡシステムを識別するＩＤであり（例えば，文字列「eGBA」又は文字列「eGBA@operator.com」），生成された鍵をこの特定の鍵配布システムに結び付けるため及び潜在的な鍵の衝突を回避するために使用される。
・その後，ＵＥはＮＡＦに接触し，ＩＭＳ登録の結果生じたＣＫ／ＩＫを一意に識別するアイデンティティをＮＡＦに提供する。このアイデンティティは（ＧＢＡにおいては）Ｂ−ＴＩＤと呼ばれ，ＡＫＡ手順中にＢＳＦからＵＥに提供される。すなわち，このアイデンティティは，（ＡＫＡが実行される場合は）ＩＭＳ登録手順中にＳ−ＣＳＣＦにより提供される。
・ＮＡＦはＳ−ＣＳＣＦに接触し，所定のＢ−ＴＩＤに対応するＫｓ＿ＮＡＦを要求する。
・
Ｓ−ＣＳＣＦは，ＵＥが行なったのと同一の方法でＣＫ及びＩＫからＫｓ＿ＮＡＦを導出する
例えば，Ｋｓ_NAF＝ＫＤＦ(ＣＫ
,ＩＫ
,NAF_ID,＜other param＞)である
・
この時点で，ＵＥ及びＮＡＦは，Ｋｓ＿ＮＡＦに基づいてセキュア接続を確立できる
　
　
２．引用文献２
　本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能となった文献であって，原審の平成２５年１月２４日付けの拒絶理由通知において引用された，特表２００６−５１８１２１号公報（平成１８年８月３日公表。以下，「引用文献２」という。）には，図面とともに，次の記載がある。
（当審注：下線は，参考のために当審で付与したものである。なお，「○＋」は，丸の中にプラス記号を描いた，排他的論理和演算を示す記号のこととする。）
　
Ｅ．「【００８６】
　ＨＳＳコンピュータ１０８により，また択一的にはＨＳＳコンピュータ１０８に対応付けられている認証センタコンピュータのコンピュータにより，連続したシーケンス番号ＳＱＮ３０２が生成される（ステップ３０１）。
【００８７】
　さらに付加的なステップ（ステップ３０３）において乱数ＲＡＮＤ３０４が形成される。
【００８８】
　さらに，以下に説明する複数の演算に対する入力パラメタとして，あらかじめ設定されるいわゆるＡＭＦ（Authentication Management Field）３０５が使用される。
【００８９】
　またＨＳＳコンピュータ１０８（択一的な実施形態ではＳ−ＣＳＣＦコンピュータ１０９）と移動無線端末装置１０３とだけにわかっている秘密の鍵Ｋ３０６が，以下に説明する演算の枠内で使用される。
【００９０】
　この関連において指摘すべきであるのは，以下で説明する認証ベクトルＡＶの形成が，Ｓ−ＣＳＣＦコンピュータ１０９においてまたはホーム通信ネットワーク１０１の相当するネットワーク要素において行われ得ることであり，この場合に上に述べた量は，各計算ユニットにおいて利用可能である。
【００９１】
　秘密鍵Ｋ３０６と，ＡＭＦ（Authentication Management Field）３０５と，シーケンス番号ＳＱＮ３０２と，乱数ＲＡＮＤ３０４とを使用し，例えば文献[３]および[４]に記載されている第１メッセージ認証関数ｆ１　３０７により（３０７），ＭＡＣ（Message Authentication Code）３０８が，つぎのルールにしたがって形成される。すなわち，
　　　ＭＡＣ ＝  ｆ１Ｋ(ＳＱＮ｜ＲＡＮＤ｜ＡＭＦ)          （１）
にしたがって形成される。
【００９２】
　シンボル「｜」は，この説明の枠内ではこのシンボルの左ないしは右にある量の連結を（Konkatenation）表す。
【００９３】
　以下で使用するメッセージ認証関数ｆ１およびｆ２ならびに鍵生成関数ｆ３，ｆ４，ｆ５は，文献[３]および[４]に記載されている。
【００９４】
　第２メッセージ認証関数ｆ２  ３０９により，秘密鍵Ｋ３０６および乱数ＲＡＮＤ３０４が使用されて，期待していた応答値ＸＲＥＳ  ３１０が形成される。すなわち，
　　　ＸＲＥＳ ＝ ｆ２Ｋ(ＲＡＮＤ)                      （２）
である。
【００９５】
　第１鍵生成関数ｆ３  ３１１により，秘密鍵Ｋ３０６および乱数ＲＡＮＤ３０４が使用されて，トランスファーキーＣＫ３１２が以下のルールにしたがって形成される。すなわち，
　　　ＣＫ ＝ ｆ３Ｋ(ＲＡＮＤ)                          （３）
である。
【００９６】
　さらに第２鍵生成関数ｆ４  ３１３を使用し，また秘密鍵Ｋ３０６および乱数ＲＡＮＤ３０４を使用して，インテグリティキーＩＫ  ３１４が以下のルールにしたがって形成される。すなわち，
　　　ＩＫ ＝ ｆ４Ｋ(ＲＡＮＤ)                          （４）
である。
【００９７】
　第３鍵生成関数ｆ５  ３１５により，ここでも秘密鍵Ｋ  ３０６および乱数ＲＡＮＤ３０４が使用されて，匿名鍵（Anonymitaetsschluessel）ＡＫ３１６が以下のルールにしたがって計算される。すなわち，
　　　ＡＫ ＝ ｆ５Ｋ(ＲＡＮＤ)                          （５）
である。
【００９８】
　
さらにＨＳＳコンピュータ１０８により，認証トークンＡＵＴＮ３２０が以下のルールにしたがって形成される。すなわち
【００９９】
【数１】
ＡＵＴＮ　＝　ＳＱＮ○＋ＡＫ｜ＡＭＦ｜ＭＡＣ　　　　　（６）
である
【０１００】
　上で説明した計算値，すなわち認証トークンＡＵＴＮと，期待していた応答値ＸＲＥＳ３１０と，トランスファーキーＣＫ３１２と，インテグリティキーＩＫ３１４とはＳ−ＣＳＣＦコンピュータ１０９に伝送される。
【０１０１】
　本発明ではＳ−ＣＳＣＦコンピュータ１０９において鍵導出関数ｆ  ３１７を使用してトランスファーキーＣＫ３１２から，またつぎに説明する入力パラメタ３１８を使用して第１の導出鍵ＣＫ１  ３１９を以下のように形成する。
【０１０２】
　本発明の第１実施例では鍵導出関数ｆ ３１７として擬似乱数関数ＰＲＦを使用する。これは例えばHMAC-SHA1方式に基づく。鍵導出関数ｆ３１７は実質的に文献[６]の５．５節に詳述された鍵導出法にしたがって構成される。
【０１０３】
　
これにより，第１導出鍵ＣＫ１は，つぎのルールにしたがって形成される。すなわち
　　　
ＣＫ１ ＝ ｆK(ＣＫ｜Ｐａｒ１｜random)            （７）
にしたがって形成され，ここで入力パラメタＰａｒ１はオプションであり，randomは，有利な乱数素材，例えば，つぎのルールにしたがって形成される。すなわち
　　　
random ＝ ＲＡＮＤ｜ＡＵＴＮ｜ＸＲＥＳ            （８）
であり
　
　
第４．引用発明の認定
　
１．引用文献１に記載されている事項について検討する。
　
（１）　上記Ｄ．には，「the UE derives a service specific key Ks_NAF for the particular NAF it wishes to communicate with.（ＵＥは，通信を希望する特定のＮＡＦに対するサービス専用鍵Ｋｓ＿ＮＡＦを導出する）」，及び「The UE and the NAF can now establish a secure connection based on Ks_NAF.（この時点で，ＵＥ及びＮＡＦは，Ｋｓ＿ＮＡＦに基づいてセキュア接続を確立できる）」と記載されている。さらに，上記Ａ．に「a User Equipment (UE - where a UE is defined as the combination of a Mobile Station (MS) and a USIM)（ユーザ機器（ＵＥ−この場合，ＵＥは移動局（ＭＳ）とＵＳＩＭとの組み合わせとして定義される））」と記載されていることから，上記Ｄ．記載の「ＵＥ」は「ユーザ機器」のことであるといえるし，上記Ｃ．に「a Network Authentication Function (NAF)（ネットワーク認証機能（ＮＡＦ））」と記載されていることから，上記Ｄ．記載の「ＮＡＦ」は「ネットワーク認証機能」のことであるといえる。
　そして，上記Ｄ．からは，「ネットワーク認証機能（ＮＡＦ）」，「ホーム加入者サーバ（ＨＳＳ）」，「サービングコールセッション制御機能（Ｓ−ＣＳＣＦ）」，及び「プロキシコールセッション制御機能（Ｐ−ＣＳＣＦ）」を含むネットワーク側の各構成が協働して，ユーザ機器との間で，プロトコルを実行することが読み取れるから，上記「ネットワーク認証機能」は，「ネットワーク・エンティティ」の一部を構成するといえる。
　さらに，上記Ｄ．の記載によると，ユーザ機器とネットワーク認証機能は，サービス専用鍵Ｋｓ＿ＮＡＦに基づいてセキュア接続を確立できるのであるから，「サービス専用鍵Ｋｓ＿ＮＡＦ」は「暗号鍵」といえるものである。
　してみると，上記Ｄ．には，「ユーザ機器とネットワーク・エンティティとの間のセキュア接続を確立するための暗号鍵を導出する方法」が記載されているといえる。
　
（２）
ア．上記Ｄ．には，「A mechanism that allows GBA to be implemented・・・（中略）・・・will now be described（ＧＢＡを実現できる機構を以下に説明する）」と記載され，当該記載における「ＧＢＡ」について，上記Ｃ．には，「GBA provides a mechanism whereby a client terminal (UE) can be authenticated to a Network Authentication Function (NAF) - i.e. the service node or service provider - and secure session keys (Ks_NAF) obtained for use between the UE and the NAF（ＧＢＡは・・・（中略）・・・クライアント端末（ＵＥ）がネットワーク認証機能（ＮＡＦ），すなわちサービスノード又はサービスプロバイダと，ＵＥとＮＡＦとの間で使用するために取得されるセキュアセッション鍵（Ｋｓ＿ＮＡＦ）とに対して認証される機構を提供する）」と記載されていることから，上記Ｄ．には，認証／暗号鍵配送プロトコルについて記載されているといえる。
　してみると，上記（１）において示した「暗号鍵を導出する方法」は，上記Ｄ．に記載された認証／暗号鍵配送プロトコルの一部として行われているといえる。
　
イ．また，上記Ｄ．において，上記認証／暗号鍵配送プロトコルについての具体的な説明は，「The steps of the detailed process are illustrated in Figure 6:　・The UE sends a SIP register to the S-CSCF.　・The S-CSCF fetches an Authentication Vector, AV = (RAND, CK, IK, XRES, AUTN), from the HSS.・・・（後略）・・・（詳細な処理のステップを図６に示す。・ＵＥはＳＩＰ  Ｒｅｇｉｓｔｅｒ（ＳＩＰレジスタ）をＳ−ＣＳＣＦへ送信する。・Ｓ−ＣＳＣＦは，認証ベクトルＡＶ＝（ＲＡＮＤ，ＣＫ，ＩＫ，ＸＲＥＳ，ＡＵＴＮ）をＨＳＳから取り出す。・・・（後略）・・・）」との記載から始められていることから，上記認証／暗号鍵配送プロトコルは，「ＳＩＰ  Ｒｅｇｉｓｔｅｒ（ＳＩＰレジスタ）」を受信した「Ｓ−ＣＳＣＦ」によって開始されているといえる。
　そして，上記（１）に示したように，上記Ｄ．からは，「ネットワーク認証機能（ＮＡＦ）」，「ホーム加入者サーバ（ＨＳＳ）」，「サービングコールセッション制御機能（Ｓ−ＣＳＣＦ）」，及び「プロキシコールセッション制御機能（Ｐ−ＣＳＣＦ）」を含むネットワーク側の各構成が協働して，ユーザ機器との間で，プロトコルを実行することが読み取れるから，上記「Ｓ−ＣＳＣＦ」は，「ネットワーク・エンティティ」の一部を構成するといえる。
　
ウ．さらに，上記Ｄ．には「the UE derives a service specific key Ks_NAF for the particular NAF it wishes to communicate with.（ＵＥは，通信を希望する特定のＮＡＦに対するサービス専用鍵Ｋｓ＿ＮＡＦを導出する）」と記載されているから，上記「暗号鍵を導出する方法」は，ユーザ機器において実行されるといえる。
　
エ．上記ア．ないしウ．に示したことから，上記Ｄ．には，上記「暗号鍵を導出する方法」は，「ネットワーク・エンティティにより開始される認証／暗号鍵配送プロトコルの一部としてユーザ機器により実行され」ることが，記載されているといえる。
　
（３）
ア．上記Ｄ．には，「the UE derives a service specific key Ks_NAF for the particular NAF it wishes to communicate with. ・・・（中略）・・・ Ks_NAF could be derived by applying a KDF to keys CK and IK and the NAF_ID, where for example:
　　CK = KDF(CK, some GBA ID, other param)
　　IK = KDF(IK, some GBA ID, other param).
（ＵＥは，通信を希望する特定のＮＡＦに対するサービス専用鍵Ｋｓ＿ＮＡＦを導出する。・・・（中略）・・・Ｋｓ＿ＮＡＦは，例えば以下のように，ＫＤＦを鍵ＣＫ”及びＩＫ”とＮＡＦ＿ＩＤとに適用することにより導出される：
ＣＫ＝ＫＤＦ(ＣＫ,＜some GBA ID＞,＜other param＞)
ＩＫ＝ＫＤＦ(ＩＫ,＜some GBA ID＞,＜other param＞)）」と記載されている。
　そして，上記Ｄ．には，「The UE receives the RAND/AUTN and runs this tuple through the ISIM. The result of this operation is that the UE gets back CK and IK from the ISIM. （ＵＥはＲＡＮＤ／ＡＵＴＮを受信し，このタプルをＩＳＩＭを介して実行する。この動作の結果，ＵＥはＩＳＩＭからＣＫ及びＩＫを取り戻す。）」と記載されており，当該「the UE gets back CK and IK from the ISIM（ＵＥはＩＳＩＭからＣＫ及びＩＫを取り戻す）」処理は，上記（２）で記載した認証／暗号鍵配送プロトコルの一部として行われているといえるから，「ＣＫ」及び「ＩＫ」は，認証／暗号鍵配送プロトコルを実行することによってユーザ機器により算出されるものといえる。
　
イ．また，上記Ｄ．には，「The S-CSCF derives the Ks_NAF from CK and IK in the same way the UE did. ・・・（中略）・・・ e.g., Ks_NAF = KDF(CK, IK, NAF_ID, other param)　（Ｓ−ＣＳＣＦは，ＵＥが行なったのと同一の方法でＣＫ及びＩＫからＫｓ＿ＮＡＦを導出する。・・・（中略）・・・例えば，Ｋｓ_NAF＝ＫＤＦ(ＣＫ,ＩＫ,NAF_ID,＜other param＞)である。）」と記載されているから，上記Ｄ．からは，ユーザ機器（ＵＥ）においても「Ｋｓ_NAF＝ＫＤＦ(ＣＫ,ＩＫ,NAF_ID,＜other param＞)」との式に基づいて，サービス専用鍵（Ｋｓ＿ＮＡＦ）を導出していることが読み取れる。そして，「サービス専用鍵Ｋｓ＿ＮＡＦ」が「暗号鍵」といえるものであることは，上記（１）で示したとおりである。
　
ウ．さらに，上記Ｄ．に「KDF is a Key Derivation Function (for example as defined for GBA)（ＫＤＦは鍵導出関数（例えば，ＧＢＡに対して定義されるような関数）である。）」と記載されているから，上記「ＫＤＦ」は「鍵導出関数」であるといえる。加えて，暗号鍵ＣＫと秘匿鍵ＩＫは，いずれもその上位概念においては「暗号鍵」と呼べるものであることは当業者にとって自明である。
　
エ．上記ア．ないしウ．に示したことから，上記Ｄ．には，「ユーザ機器により算出された暗号鍵であるＣＫとＩＫを含む集合から導出されたＣＫ及びＩＫと，＜other param＞を含む，少なくとも２つのパラメータに暗号鍵を導出する鍵導出関数を適用する」ことが記載されているといえる。
　
２．上記１．の（１）ないし（３）に示したことから，引用文献１には，次の発明（以下，「引用発明」という。）が記載されていると認められる。
　
 「ユーザ機器とネットワーク・エンティティとの間のセキュア接続を確立するための暗号鍵を導出する方法であって，
　前記方法は，ネットワーク・エンティティにより開始される認証／暗号鍵配送プロトコルの一部としてユーザ機器により実行され，
　前記認証／暗号鍵配送プロトコルを実行することによってユーザ機器により算出された暗号鍵であるＣＫとＩＫを含む集合から導出されたＣＫ及びＩＫと，＜other param＞を含む，少なくとも２つのパラメータに暗号鍵を導出する鍵導出関数を適用する
ことを特徴とする方法。」
　
　
第５．対比
　
１．引用発明と本願発明を対比する。
　
（１）　引用発明における「セキュア接続を確立する」ことは，本願発明の「通信を保護する」ことに相当する。
　してみると，引用発明の「ユーザ機器とネットワーク・エンティティとの間のセキュア接続を確立するための暗号鍵を導出する方法」は，本願発明の「ユーザ機器とネットワーク・エンティティとの間の通信を保護するための暗号鍵を生成するための方法」に相当するといえる。
　
（２）　引用発明の「前記方法は，ネットワーク・エンティティにより開始される認証／暗号鍵配送プロトコルの一部としてユーザ機器により実行され」ることは，本願発明の「前記方法は前記ネットワーク・エンティティにより開始される認証／暗号鍵配送プロトコルの一部として前記ユーザ機器により実行され」ることに相当するといえる。
　
（３）
ア．引用発明の「ＣＫ」及び「ＩＫ」と，本願発明の「第１パラメータ」とは，共に，ユーザ機器により算出された暗号鍵の集合から導出されたものといえるから，引用発明の「前記認証／暗号鍵配送プロトコルを実行することによってユーザ機器により算出された暗号鍵であるＣＫとＩＫを含む集合から導出されたＣＫ及びＩＫ」は，本願発明の，「前記集合」すなわち「前記認証／暗号鍵配送プロトコルを実行することによって前記ユーザ機器により算出された暗号鍵（１１０，１１２）の集合」から「導出される第１パラメータ」に相当する。
　
イ．引用発明の「＜other param＞」と，本願発明「第２パラメータ」とは，共に，「第１パラメータ」と共に，暗号鍵を生成するために鍵導出関数が適用されるパラメータである点で共通する。
　
ウ．引用発明は，「ＣＫ及びＩＫと，＜other param＞を含む，少なくとも２つのパラメータに暗号鍵を導出する鍵導出関数を適用する」構成であるから，少なくとも，「ＣＫ及びＩＫと，＜other param＞を含む，少なくとも２つのパラメータ」を「提供する工程」を備えているといえる。
　
エ．引用発明の「暗号鍵を導出する鍵導出関数を適用する」ことは，本願発明の「暗号鍵を生成するために鍵導出関数を適用する」ことに相当する。
　
オ．上記ア．〜エ．において示したことから，引用発明と，本願発明とは，「前記認証／暗号鍵配送プロトコルを実行することによって前記ユーザ機器により算出された暗号鍵の集合を備えるか又は前記集合から導出される第１パラメータと，第２パラメータとを含む少なくとも２つのパラメータを提供する工程と，前記提供されたパラメータに基づいて暗号鍵を生成するために鍵導出関数を適用する工程」を有する点で一致する。
　
２．上記１．において示したことから，本願発明と引用発明の一致点及び相違点は，次のとおりである。
　
［一致点］ 
「ユーザ機器とネットワーク・エンティティとの間の通信を保護するための暗号鍵を生成するための方法であって，前記方法は前記ネットワーク・エンティティにより開始される認証／暗号鍵配送プロトコルの一部として前記ユーザ機器により実行され，
　前記認証／暗号鍵配送プロトコルを実行することによって前記ユーザ機器により算出された暗号鍵の集合を備えるか又は前記集合から導出される第１パラメータと，第２パラメータとを含む少なくとも２つのパラメータを提供する工程と，
　前記提供されたパラメータに基づいて暗号鍵を生成するために鍵導出関数を適用する工程とを有する，
ことを特徴とする方法。」
　
［相違点］
　本願発明の「第２パラメータ」は，「トークンを備えるか又は前記トークンから導出される」ものであって，さらに「前記トークンはシーケンス番号＜ＳＱＮ＞と匿名鍵＜ＡＫ＞との排他的論理和を備える」のに対して，引用発明の「＜other param＞」は，そのようなものでない点。
　
　
第６．判断
　
１．相違点について
（１）　上記Ｅ．（引用文献２）には，「これにより，第１導出鍵ＣＫ１は，つぎのルールにしたがって形成される。すなわち，
　　　ＣＫ１ ＝ ｆK(ＣＫ｜Ｐａｒ１｜random)            （７）
にしたがって形成され，ここで入力パラメタＰａｒ１はオプションであり，randomは，有利な乱数素材，例えば，つぎのルールにしたがって形成される。すなわち，
　　　random ＝ ＲＡＮＤ｜ＡＵＴＮ｜ＸＲＥＳ            （８）
であり」と記載されている。
　さらに，上記Ｅ．（引用文献２）には，「【００９８】　さらにＨＳＳコンピュータ１０８により，認証トークンＡＵＴＮ３２０が以下のルールにしたがって形成される。すなわち，
【００９９】【数１】
ＡＵＴＮ　＝　ＳＱＮ○＋ＡＫ｜ＡＭＦ｜ＭＡＣ　　　　　（６）
である。」と記載されているから，認証トークン（ＡＵＴＮ）が，シーケンス番号（ＳＱＮ）と匿名鍵（ＡＫ）の排他的論理和を備えることが記載されているといえる。
　してみると，引用文献２には，シーケンス番号（ＳＱＮ）と匿名鍵（ＡＫ）の排他的論理和を備える認証トークン（ＡＵＴＮ）と他の値を連結（conkatenation）することで導出した「random」と，暗号鍵ＣＫに鍵導出関数を適用することで導出鍵を生成することが記載されているといえる。
　
（２）　上記Ｄ．には，「The P-CSCF receives AV and forwards RAND/AUTN to the UE ・・・（中略）・・・The UE receives the RAND/AUTN and runs this tuple through the ISIM.（・Ｐ−ＣＳＣＦはＡＶ’を受信し，ＲＡＮＤ／ＡＵＴＮをＵＥに転送する・・・（中略）・・・。・ＵＥはＲＡＮＤ／ＡＵＴＮを受信し，このタプルをＩＳＩＭを介して実行する。）」と記載されているから，引用文献１には，トークン（ＡＵＴＮ）が，Ｐ−ＣＳＣＦとユーザ機器（ＵＥ）との間で共有されていること，すなわち，ユーザ機器において，トークン（ＡＵＴＮ）が利用可能であることが記載されているといえる。そして，上記Ｂ．には，「an authentication token (AUTN)（認証トークン（ＡＵＴＮ））」と記載されていることから，引用文献１記載の上記トークン（ＡＵＴＮ）は，「認証トークン（ＡＵＴＮ）」といえるものである。
　そして，引用文献１記載の「認証トークン（ＡＵＴＮ）」と，引用文献２記載の「認証トークン（ＡＵＴＮ）」とは，いずれも認証トークンである点で一致するといえる。
　
（３）　上記Ｄ．に記載された「＜other param＞」は，その具体的な意味が引用文献１において定義されたものではないが，「param」が「parameter（パラメータ）」の意味であることは，当業者にとって自明であるから，「＜other param＞」は，その字義のとおりに解すると，単に，他のパラメータの意味であるといえる。すると，引用発明において，各パラメータに基づいて暗号鍵を生成するために鍵導出関数を適用する際に，「＜other param＞」として，ユーザ機器が利用可能な具体的な値を，当該パラメータとして適用することは，当業者が当然なし得ることといえる。
　
（４）　上記（１）に示したように，「認証トークン（ＡＵＴＮ）」が，シーケンス番号（ＳＱＮ）と匿名鍵（ＡＫ）の排他的論理和を備えることと，少なくとも「認証トークン（ＡＵＴＮ）」を含むパラメータと暗号鍵に鍵導出関数を適用することは，引用文献２にみられるように公知である。また，上記（２）に示したように，引用文献１に記載された「認証トークン（ＡＵＴＮ）」は，引用文献２に記載された「認証トークン（ＡＵＴＮ）」と一致するものであって，当該「認証トークン（ＡＵＴＮ）」をユーザ機器が利用可能であることが，引用文献１に記載されている。さらに，上記（３）に示したように，ユーザ機器が利用可能な具体的な値を，引用発明の「＜other param＞」に適用することは，当業者が当然なし得ることである。
　してみると，シーケンス番号（ＳＱＮ）と匿名鍵（ＡＫ）の排他的論理和を備える「認証トークン（ＡＵＴＮ）」を含むパラメータと暗号鍵に鍵導出関数を適用することが公知であるから，当該公知の「認証トークン（ＡＵＴＮ）」と一致する引用文献１記載の「認証トークン（ＡＵＴＮ）」を，引用発明の「＜other param＞」に適用して，上記相違点に係る構成とすることは，当業者が容易になし得ることである。
　
　
２．小括
　上記で検討したごとく，相違点は格別のものではなく，そして，本願発明の奏する作用効果は，上記引用発明，及び引用文献２に記載の発明の奏する作用効果から予測される範囲内のものにすぎず，格別顕著なものということはできない。
　したがって，本願発明は，上記引用発明，及び引用文献２に記載の発明に基づいて，当業者が容易に発明をすることができたものである。
　
　
第７．むすび
　
　以上のとおり，本願発明は，特許法第２９条第２項の規定により特許を受けることができないから，他の請求項に係る発明について検討するまでもなく，本願は拒絶されるべきものである。
　よって，上記結論のとおり審決する。