【事件の表示】
　平成　７年特許願第５２２３９２号「効率的な電子マネー」拒絶査定に対する審判事件［平成　７年　８月３１日国際公開、ＷＯ９５／２３４６５、平成　９年　５月２０日国内公表、特表平　９−５０５１６９］について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
１．手続の経緯および本願発明
 
 本願は、１９９５年２月１７日（パリ条約による優先権主張１９９４年 ２月２３日 および１９９４年９月８日　アメリカ合衆国）を国際出願日とする出願であって、「効率的な電子マネー」に関するものと認める。
 
 
２．原査定の理由
 
 一方、原査定の拒絶の理由は、次のとおりである。
  「この出願は、明細書の記載が下記の点で不備と認められるから、特許法第４項または第６項（審決注：本願の出願日は平成７年２月１７日であって、平成５年法の適用対象となるから、「特許法第４項又は第６項」とあるのは「特許法第４項乃至第６項」の誤記と認められる。）に規定する要件を満たしていない。
 
 記
（１）乃至（５）は省略
（６）本願の発明の詳細な説明には、ｅ−マネーの引き出し取引において、使用者ｉの公開鍵Ｐｉが正しくフォーマットされていること、秘密鍵Ｓｉが使用者ｉのアイデンティティＩｉを含んでいることを、ゼロ知識証明またはカット−アンド−チューズ手法を使用して、銀行に対して証明することが記載されている（第１３頁第２４行〜第２６行、第２１頁第２２行〜第２７行）。
  しかしながら、この記載は単に、上記の事項（Ｐｉが正しくフォーマットされていること、ＳｉがＩｉを含んでいること）の証明に利用される手法を特定しているにすぎず、それらの手法を用いるにしても、具体的に証明をどのようにして行うのかということは明らかでない。
  また、保証オペレーションにおいても同様に、Ｐｉが正しくフォーマットされていることを、ゼロ知識証明またはカット−アンド−チューズ手法を使用して、保証当局に対して証明することが記載されている（第２２頁第２１行〜第２４行）。
  そして、証明の中で使用される述部のすべてがＮＰであるためにゼロ知識証明が利用できることが記載されている（第１０頁第５行〜第２４行）が、上述したと同様に、「Ｐｉが正しくフォーマットされること」のゼロ知識証明を具体的にどのようにして行うかということは明らかでない。
  同様に、カット−アンド−チューズ手法については、図面第８図にその手順が記載されているものの、それに対する具体的な説明は発明の詳細な説明において何らされておらず、特にそこで用いられている変数や記法について具体的な定義がなされていない（Ｂ、ｅ、ｘ、Ｒ、Ｌ、Ｅの各変数は、どのような値を表しているのか、変数の右上に付されたインデックスで括弧付きのものとなしのものとがあるが、これらは異なるものをあらわすのか等）と共に、（部分的）構造と署名を検証するとあるが、（部分的）構造及び署名とは何か、どのようにして検証を行うのかという点、Ｓ・・・において・・・証明するとあるが、どのようにして証明を行うのかという点について明らかでないから、この手法についても、それを具体的にどのようにしておこなうのかという点は明らかでない。
  さらに、リフレッシュ・オペレーションについても上記したと同様である。
  してみれば、本願の発明の詳細な説明には、当業者がその実施をできる程度に、発明が明確かつ十分に記載されているものとは認められない。」
 
 
３．当審の判断
 
  そこで、上記拒絶理由での指摘について検討するに、
  本願における「保証オペレーション」については、本願明細書第２２頁第 １２乃至第２３頁第３行に、
 「Ｇ．保証オペレーション
  上述したように、本発明のｅ−マネー・システムは鍵Ｐｉの保証を使用している。この保証は保証当局によってオフ−オフ・ラインで行われる。使用者ｉのマネー・モジュールは電話線２６を通して保証当局３２と通信する。Ｐｉの保証プロセスのステップは図６に示されており、次のとおりである。
１．使用者はランダムなｘを選択し、ブラインドされた保証候補
Ｚ≡ｘｅｃｆ（Ｐｉ，０γ） ｍｏｄＮｃをつくる。そのあと、ブラインドされた保証候補ＺはＩｉを確認することと一緒に保証当局へ送信される。
２．次に、使用者はＰｉが正しいフォーマットにされていることを、例えば、ゼロ知識証明またはカット−アンド−チューズ手法を使用して保証当局に対して証明するので、保証当局がＰｉを知得することはなく、従って、ＰｉとＩｉを関連づけることができないようになっている。
３．この証明が拒否されたときは、保証オペレーションは停止される。そうでなければ、保証当局はＺｄｃを計算し、Ｚｄｃを使用者ｉへ送信する。
４．これを受けて使用者ｉは
ｃｅｒｔ（ｉ）≡Ｚｄｃ／ｘ≡ｆ（Ｐｉ，０γ）ｄｃ ｍｏｄ Ｎｃを計算する。
この保証プロセスを使用すると、保証当局がＰｉを知得することがないのでＰｉとＩｉを相関づけることが不可能になっている。これにより、保証当局は使用者ｉによって行われるｅ−キャッシュ取引について知ることができなくなるので、使用者ｉのプライバシが保護されることになる。」（以下、「引用記載１」という）と記載され、
 
  また、「公開鍵の保証」については、同明細書第８頁第２４行乃至第９頁第３行に、
「使用者ｉは公開鍵Ｐｉの保証（ｃｅｒｔｉｆｉｃａｔｅ）を受けることもできる。公開鍵の保証は使用者ｉのアイデンティティＩｉと使用者が主張する公開鍵Ｐｉとを結ぶリンケージである。本発明では、この保証とは、公開鍵Ｐｉが合法的であり、使用者のアイデンティティが指数に埋め込まれているか、さもなければ公開鍵に埋め込まれているとの証明（ｐｒｏｏｆ）となるものである。保証の例としては、ｆ（Ｐｉ，Ｏγ）に対する信用当局（ｔｒｕｓｔ ａｕｔｈｏｒｉｔｙ）の署名（例えば、ＲＳＡ署名）がある。」（以下、「引用記載２」という）、
 
  さらに、「保証」に関して同明細書第９頁第２９行乃至第１１頁第４行に、
 「保証は次のようにして得られる。候補となる保証ｆ（Ｐ１，０γ）｛審決 注：「Ｐ１」は「Ｐｉ」の誤記と認める｝はＺ≡Ｘecｆ（Ｐｉ，０γ）ｍｏｄＮｃを計算することによってブラインド（ｂｌｉｎｄ）される。ただし、ｘは乱数、ｅｃは信用保証当局の公開ＲＳＡ指数鍵、Ｎｃは保証当局の公開モジュラスである。量Ｚはそのあと使用者ｉから保証当局へ送信される。　
  次に、使用者ｉはＰｉが正しいフォーマットになっていること、つまり、Ｐｉの指数の中の秘密鍵Ｓｉが使用者のアイデンティティＩｉを含んでいることを保証当局に証明する。この証明は、保証当局に対してＰｉを明らかにすることなく行うことができるので、保証当局は使用者ｉのＩｉとＰｉとを関連づけることが不可能になっている。保証当局がＩｉとＰｉとを関連づけることを可能にすると、保証当局はｅ−キャッシュを使用して使用者ｉが行ったすべての取引を知ることが可能になってしまう。 本発明では、使用者のアイデンティティが明らかにされるのは、コインが二重使用されたときだけである。このような相関づけを防止するために、候補となる保証はそれが保証当局に送られる前にブラインドされる。この証明を行うために使用できる１つの手法として、ゼロ知識証明（ｚｅｒｏｋｎｏｗｌｅｄｅ ｐｒｏｏｆ）と呼ばれるものがある（Goldreich、 Micali、 Winderson著「その有効性以外は何ももたらさない証明、またはＮＰにおけるすべての言語はゼロ知識証明システムをもっている（Proofs that yield nothing, but their validity, or All languages in NP have zero-knowledge proof systems）」、J. of the ACM, 38:691-729, 1991 および Goldwasser、 Micali、 Rackoff著「会話型証明システムの知識複雑性（The knowledge complexity of Interactive proof systems）」、SIAM J. on Computing , 181, 1989 pp.186-208 を参照。なお、これらの文献の内容は引用により本明細書の一部分を構成する）。ゼロ知識証明がここで使用できるのは、証明の中で使用される述部のすべてがＮＰ（Nondeterministic polynominal time：非決定性多項式時間）であるためである。もう１つの証明手法は「カット−アンド−チューズ（cut-and-choose）手法である。この後者の手法については、以下に詳しく説明する。
  証明が保証当局に受容し得るものであれば、保証当局はＺｄｃを計算する。ただし、ｄｃは保証当局の秘密ＲＳＡ指数鍵である。そのあと、Ｚｄｃは保証当局から使用者ｉへ送信され、使用者ｉは保証
ｃｅｒｔ（ｉ）＝Ｚｄｃ／ｘ≡ｆ（Ｐｉ，０γ）ｄｃ ｍｏｄ Ｎｃ を計算する。
  以上を要約すると、使用者ｉはＩｉとＰｉとの間のリンケージを設定している保証を保証当局から受け取る。しかし、通常の保証とは対照的に、このリンケージは隠されている。」（以下、「引用記載３」という）、
 
　加えて、同明細書第１６頁第２２行乃至第１７頁第１３行に、
「Ｂ．マネー・フォーマット
 上述したように、各使用者ｉは公開鍵Ｐｉ≡αＳｉ ｍｏｄｐをもっている。ただし、αとｐは一般に知られており、Ｓｉは秘密鍵である。秘密鍵Ｓｉは使用者ｉのアイデンティティＩｉを含んでいる。図示の例では、
Ｓｉ＝（Ｉｉ，Ｒｉ）であり、Ｒｉは使用者ｉだけが知っているランダムなビット・ストリングである。さらに、使用者ｉはｃｅｒｔ（ｉ）をもっており、これはＰｉが指数Ｓｉに含まれたアイデンティティＩｉをもっていることを保証している。このフォーマットは特定ｅ−コインの二重使用者を明らかにする上で重要である。図示の例では、保証ｃｅｒｔ（ｉ）は（Ｐｉ，０γ）に対する 保証当局の署名である。ただし、０γ｛審決注：「０γ」は「０γ」の誤記と認める｝はγ個のゼロの連（ｒｕｎ）であり、３０＜γ＜５０である。
　例えば、ｃｅｒｔ（ｉ）≡（Ｐｉ，０γ）dc ｍｏｄＮｃであり、ｄｃは保証当局の秘密ＲＳＡ指数、Ｎｃは保証当局のモジュラスである。保証を得るための詳しいプロセスについては、図６を参照して以下に説明する。
　使用者ｉのコインは（Ｐｉ，ｕ，Ｃ）の形式になっている。ただし、保証済みリンケージＣ＝（ｆ（Ｐｉ，ｕ，０γ）ｄ＄ ｍｏｄＮ＄であり、
ｕ≡αｒｍｏｄｐ、ここでｒは各コインごとにｉによって別々に選択され、ｉだけが知っているランダム・エレメントである。指数ｄ＄は特定のコイン単位に対する銀行の秘密ＲＳＡ指数であり、Ｎ＄は銀行のモジュラスである。
銀行は、すべてのｍに対して公開ＲＳＡ指数ｅ＄ももっており、
（ｍｄ＄）ｅ＄ ｍｏｄＮ＄≡ｍのようになっている。」（以下、「引用記載 ４」という）と記載されていて、
　上記引用記載１および３ならびに４の内容から、
　本願において、『「保証オペレーション」は、使用者ｉが保証当局に、使用者ｉの公開鍵Ｐｉを明かすことなく、前記公開鍵Ｐｉと使用者ｉのアイデンティティＩｉとのリンケージを保証してもらうために、使用者ｉが保証当局に対して、例えば、「ゼロ知識証明」または「カット−アンド−チューズ」を用いて、公開鍵Ｐｉが正しいフォーマットになっていることを証明する』点が記載されてはいるが、
　本願で用いられる「ゼロ知識証明」がどのようなものであるかについては、上記引用記載３中に、
「ゼロ知識証明がここで使用できるのは、証明の中で使用される述部のすべてがＮＰ（Nondeterministic polynominal time：非決定性多項式時間）であるためである」と記載されているのみで、
　本願においては、「ゼロ知識証明」が、どのような証明手順（以下、「証明プロトコル」という）で対話証明を行っているかについては、本願明細書および図面中に何ら開示されておらず、示唆をもされていない。
　一般に、「ゼロ知識証明」といっても、証明する問題に応じて、その手順が異なり、「ゼロ知識証明」という用語のみによって、その証明の手順が一意に特定されるものでないことは、当業者にあっては周知の技術知識である。
　しかしながら、本願においては、本願における「ゼロ知識証明」の証明プロトコルに関して、本願明細書および図面に何ら開示されていないので、本願において、「保証オペレーション」の際にどのような「ゼロ知識証明」を行ったかは不明である。
　なお、引用記載３中に、
 「ゼロ知識証明（ｚｅｒｏｋｎｏｗｌｅｄｅ ｐｒｏｏｆ）と呼ばれるものがある（Goldreich、 Micali、 Winderson著「その有効性以外は何ももたらさない証明、またはＮＰにおけるすべての言語はゼロ知識証明システムをもっている（Proofs that yield nothing, but their validity, or All languages in NP have zero-knowledge proof systems）」、J. of the ACM, 38:691-729, 1991 および Goldwasser、Micali、 Rackoff著「会話型証明システムの知識複雑性（The knowledge complexity of Interavtive proof systems）」、SIAM J. on Computing , 181, 1989 pp.186-208 を参照。なお、これらの文献の内容は引用により本明細書の一部分を構成する）」旨の記載があるが、日本の特許法においては、文献名のみの引用で、発明の構成の説明に替えることは認められておらず（特許施行規則第２４条様式２９〔備考６〕参照）、また、たとえ、その文献に記載された「ゼロ知識証明」の説明が文章として加えられていたとしても、「ゼロ知識証明」は証明する問題ごとに異なる「証明プロトコル」を有するものであるから、上記引用された文献における「ゼロ知識証明」をどのようにして、本願に適用したかの説明がなされていない以上、上記引用された文献における「ゼロ知識証明」に関する説明から、本願における「ゼロ知識証明」が明瞭となるとは認められない。
 また、本願に用いられている「カット−アンド−チューズ」に関しても、
 引用記載３に、
「もう１つの証明手法は「カット−アンド−チューズ（cut-and-choose）手法である。この後者の手法については、以下に詳しく説明する」と記載されているが、
本願明細書第１５頁第５乃至７行に、
「図８および図９は、Ｐｉが初期保証において正しい構造となっていることを証明するために使用されるカット−アンド−チューズ（cut-and- choose）手法および本発明のリフレッシュ保証オペレーションを示す図である」と記載されているのみであって、明細書中に他に説明がされていない。
　よって、本願明細書中の記載内容からは、本願で用いられている「カット−アンド−チューズ」がどのようなものか不明である。
　ついで、図８を参照して、本願で用いられている「カット−アンド−チューズ」がどのようなものか理解可能であるかを検討すると、図８で用いられている記号は、本願明細書特許請求の範囲および発明の詳細な説明の欄で用いられている記号と対応しておらず、また、用いられている記号、およびその処理手順に関する説明がされていない。
　したがって、図８を参照しても、本願で用いられている「カット−アンド−チューズ」がどのようなものであるか不明である。
　更に、従来から知られた「カット−アンド−チューズ」法が適用可能についても検討すると、
　従来の「カット−アンド−チューズ」法は、「誰が銀行に対してｅ−キャッシュの発行を要求したかを、ｅ−キャッシュからは読み取れないようにするため、発行要求者は、発行要求者の識別情報（以下、「ＩＤ」という）を含む、例えばＫ個の情報をブラインド化して銀行に送り、銀行は発行要求者に対して、送られてきた情報の半分のブラインドを解除することを要求する。そして、解除された情報中に発行要求者のＩＤが正しく埋め込まれていた場合、銀行は解除されなかった残りのＫ／２に対して署名し、これをｅ−キャッシュとして発行する」というものである（例えば、本願明細書第２頁第７行乃至第９行に論文名が記載されたＣｈａｕｍの論文等を参照されたい）。
　この従来の「カット−アンド−チューズ」法（以下、「従来法」という）によれば、流通しているｅ−キャッシュに対して誰が発行要求を出したかは秘匿できるが、銀行に対して、ブラインド化された情報の中身を秘匿することができない。
  したがって、従来法では、本願明細書第２２頁に記載された「保証オペレーション」における「保証当局がＰｉを知得することはなく」点は実現不可能であると認められる。
  また、引用記載１に、「例えば、ゼロ知識証明またはカット−アンド−チューズ手法を使用して保証当局に対して証明する」と記載されてはいるが、「ゼロ知識証明」および「カット−アンド−チューズ手法」以外の証明方法について、本願明細書および図面には開示も示唆もされておらず、「Ｐｉの指数の中の秘密鍵Ｓｉが使用者のアイデンティティＩｉを含んでいることを保証当局に対してＰｉを明らかにすることなく証明する。」ことが当業者にとって自明の事項とは認められないので、
　結局のところ、本願明細書および図面の内容からでは、本願における「保証オペレーション」がどのように実現されているのか不明である。 
  そして、上記引用記載１、２および４の内容から、本願において使用されるｅ−キャッシュあるいはｅ−マネーのマネーフォーマットにおいて、使用者ｉの公開鍵Ｐｉがマネーに組み込まれており、この使用者ｉの公開鍵Ｐｉが使用者のアイデンティティＩｉとの間のリンケージに対する保証を保証当局から受けていることを必要としていることは明らかであり、
  本願明細書請求項１、３、４および１２乃至１４ならびに１６および１７において記載された電子コインは、上記ｅ−キャッシュあるいはｅ−マネーそのものであるから、
  前記電子コインは、上記保証を保証当局から受けていることを必要としているものであって、
  上述したように本願における「保証オペレーション」の実現手法が不明である以上、同請求項１、３，４および１２乃至１４ならびに１６および１７中に記載された電子コインをどのように構成しているのか、本願明細書および図面の記載からは不明であるから、
  本願明細書の発明の詳細な説明の欄および図面に、本願明細書の特許請求の範囲請求項各項に記載された発明が、その発明の属する技術の分野における通常の知識を有する者がその実施をすることができる程度に明確かつ十分に記載されているとは認められない。
 
  なお、審判請求人は、平成１２年５月２９日付けの審判請求書の請求の理由において、
 「指摘（６）： 審査官がご指摘の「セロ知識証明」等に関する技術に対する記載不備のご指摘は、本願請求項２０〜２３に関することがらと関連するからと思料いたします。本願出願人は上記技術は公知技術であるので、当業者であれば、容易に実施できると考えております。しかしながら、本願発明の特許を受けるべく、不本意ですが、請求項２０〜２３を削除いたしましたので、記載不備理由は解消するものと考える」旨主張すると共に、
 平成１２年５月３１日付けの手続補正書によって、本願明細書中の「引出し取引」、「保証オペレーション」および「リフレッシュ・オペレーション」に関連する請求項の削除を行っているが、上述したように「保証オペレーション」は、本願で使用されるｅ−キャッシュのフォーマットに関連するものであって、この「保証オペレーション」がどのように行われているか不明であると言うことは、即ち、本願で用いられているｅ−キャッシュがどのように作成されているか不明であることを意味している。
　したがって、明示的に関連している請求項を削除したとしても拒絶の理由が解消すると言うものではなく、従って、審判請求人の上記主張は採用できない。
 
 
４．むすび
　
　したがって、本願は、特許法第３６条第４項に規定する要件を満たしていない。
  よって、結論のとおり審決する。