【事件の表示】
　特願２０００−５５０２４２「第１のコンピュータユニットと第２のコンピュータユニットとの間で暗号キーをコンピュータ支援して交換するための方法および装置」拒絶査定不服審判事件〔平成１１年１１月２５日国際公開、ＷＯ９９／６０７４７、平成１４年　６月　４日国内公表、特表２００２−５１６５２１〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
第１．手続の経緯  
　本願は、平成１１年５月６日（パリ条約による優先権主張外国庁受理１９９８年５月２０日、独国）を国際出願日とする出願であって、平成１２年１１月２０日に特許法第１８４条の５第１項に規定する国内書面が提出されるとともに、同日付けで特許法第１８４条の４第１項に規定する国際出願日における明細書，請求の範囲、図面（図面の中の説明に限る）及び要約の日本語による翻訳文、並びに条約３４条補正翻訳文が提出され、平成２１年７月２８日付けで拒絶理由通知がなされ、同年１０月２９日付けで手続補正がなされたが、同年１１月２０日付けで拒絶査定がなされ、これに対し、平成２２年３月２５日に審判請求がなされるとともに、同日付けで手続補正がなされたものである。そして、同年９月７日付けで審査官から前置報告がなされ、平成２３年２月２５日付けで当審より審尋がなされ、平成２３年８月２６日付けで回答書が提出されたものである。
　
第２．審判請求時の補正について
　平成２２年３月２５日付けの手続補正（以下、「本件補正」という。）の内容は、平成２１年１０月２９日の手続補正により補正された特許請求の範囲の請求項１の記載、
「【請求項１】　第１のコンピュータユニット（Ｕ）と第２のコンピュータユニット（Ｎ）との間で暗号キーをコンピュータ支援して交換するための方法において、
・第１の乱数（ｔ）から、有限群を形成する要素（ｇ）を用いて第１のコンピュータユニット（Ｕ）で第１の値（ｇｔ）を形成し、
・第１の通信（Ｍ１）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第１の通信（Ｍ１）は少なくとも前記第１の値（ｇｔ）を有し、
・第２のコンピュータユニット（Ｎ）で、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第１の入力パラメータは少なくとも１つの第１の項を有し、
　該第１の項は、第１の値（ｇｔ）と秘密ネットキー（ｓ）とのべき乗によって形成され、
・第１のコンピュータユニット（Ｕ）にて、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第２の入力パラメータは少なくとも１つの第２の項を有し、
　該第２の項は、公開ネットキー（ｇｓ）と第１の乱数（ｔ）とのべき乗により形成され、
・第１のコンピュータユニット（Ｕ）にて、第２のハッシュ関数（ｈ２）または第１のハッシュ関数（ｈ１）を用いて第４の入力パラメータを形成し、
　ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために別のパラメータを有し、
　当該別のパラメータからセッションキーを一義的に推定することができ、かつ前記別のパラメータの少なくとも一部は非公開パラメータであり、
・第１のコンピュータユニット（Ｕ）にて、署名項を少なくとも第４の入力パラメータから、第１の署名関数（ＳｉｇＵ）を使用して形成し、
・第３の通信（Ｍ３）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第３の通信（Ｍ３）は少なくとも第１のコンピュータユニット（Ｕ）の署名項を有し、
・第２のコンピュータユニット（Ｎ）にて前記署名項を検証する、
ことを特徴とする方法。」（以下、この特許請求の範囲に記載された請求項１を「補正前の請求項１」という。）を、
　
「【請求項１】　第１のコンピュータユニット（Ｕ）と第２のコンピュータユニット（Ｎ）との間で暗号キーをコンピュータ支援して交換するための方法において、
・第１の乱数（ｔ）から、有限群を形成する要素（ｇ）を用いて第１のコンピュータユニット（Ｕ）で第１の値（ｇｔ）を形成し、
・第１の通信（Ｍ１）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第１の通信（Ｍ１）は少なくとも前記第１の値（ｇｔ）を有し、
・第２のコンピュータユニット（Ｎ）で、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第１の入力パラメータは少なくとも１つの第１の項を有し、
　該第１の項は、第１の値（ｇｔ）と秘密ネットキー（ｓ）とのべき乗によって形成され、
・第１のコンピュータユニット（Ｕ）にて、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第２の入力パラメータは少なくとも１つの第２の項を有し、
　該第２の項は、公開ネットキー（ｇｓ）と第１の乱数（ｔ）とのべき乗により形成され、
・第１のコンピュータユニット（Ｕ）にて、第２のハッシュ関数（ｈ２）または第１のハッシュ関数（ｈ１）を用いて第４の入力パラメータを形成し、
　ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために別のパラメータを有し、
　当該別のパラメータはセッションキーそのものではないが、当該別のパラメータからセッションキーを一義的に推定することができ、かつ前記別のパラメータの少なくとも一部は非公開パラメータであり、
・第１のコンピュータユニット（Ｕ）にて、署名項を少なくとも第４の入力パラメータから、第１の署名関数（ＳｉｇＵ）を使用して形成し、
・第３の通信（Ｍ３）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第３の通信（Ｍ３）は少なくとも第１のコンピュータユニット（Ｕ）の署名項を有し、
・第２のコンピュータユニット（Ｎ）にて前記署名項を検証する、
ことを特徴とする方法。」（以下、この特許請求の範囲に記載された請求項１を「補正後の請求項１」という。）
　に補正することを含むものと認められる。
（注意：原文の補正前の請求項及び原文の補正後の請求項に「第２のハッシュ関数（ｆ２）」との記載があったが、これは明らかに「第２のハッシュ関数（ｈ２）」の誤記と認められるので、「第２のハッシュ関数（ｈ２）」と誤記訂正した。）
　　
第３．補正の適否
１．新規事項の有無、補正の目的要件
　本件補正は、国際出願日における明細書，請求の範囲、図面（図面の中の説明に限る）、要約の日本語による翻訳文、及び国際出願日における図面（図面の中の説明を除く）、並びに条約３４条補正翻訳文に記載した事項の範囲内においてなされており、特許法第１７条の２第３項の規定に適合する。
　そして、本件補正は、特許法第１７条の２第４項第２号の特許請求の範囲の限定的減縮（請求項に記載した発明を特定するために必要な事項を限定するものであって、その補正前の当該請求項に記載された発明とその補正後の請求項に記載された発明の利用分野及び解決しようとする課題が同一であるもの）を目的とするものである。
　
２．独立特許要件
　補正前の請求項１についてなされた補正、すなわち補正後の請求項１（以下「補正後の発明」という。）が、特許出願の際独立して特許を受けることができるものであるか、（平成１８年法律第５５号改正附則第３条第１項によりなお従前の例によるとされる同法による改正前の特許法第１７条の２第５項において準用する同法第１２６条第５項の規定に適合するか）以下に検討する。
　
（１）補正後の発明
　前記補正前の請求項１についてなされた補正により、補正後の発明は、前記「第２．審判請求時の補正について」の「補正後の請求項１」に記載された以下のものと認められる。
　
「第１のコンピュータユニット（Ｕ）と第２のコンピュータユニット（Ｎ）との間で暗号キーをコンピュータ支援して交換するための方法において、
・第１の乱数（ｔ）から、有限群を形成する要素（ｇ）を用いて第１のコンピュータユニット（Ｕ）で第１の値（ｇｔ）を形成し、
・第１の通信（Ｍ１）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第１の通信（Ｍ１）は少なくとも前記第１の値（ｇｔ）を有し、
・第２のコンピュータユニット（Ｎ）で、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第１の入力パラメータは少なくとも１つの第１の項を有し、
　該第１の項は、第１の値（ｇｔ）と秘密ネットキー（ｓ）とのべき乗によって形成され、
・第１のコンピュータユニット（Ｕ）にて、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第２の入力パラメータは少なくとも１つの第２の項を有し、
　該第２の項は、公開ネットキー（ｇｓ）と第１の乱数（ｔ）とのべき乗により形成され、
・第１のコンピュータユニット（Ｕ）にて、第２のハッシュ関数（ｈ２）または第１のハッシュ関数（ｈ１）を用いて第４の入力パラメータを形成し、
　ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために別のパラメータを有し、
　当該別のパラメータはセッションキーそのものではないが、当該別のパラメータからセッションキーを一義的に推定することができ、かつ前記別のパラメータの少なくとも一部は非公開パラメータであり、
・第１のコンピュータユニット（Ｕ）にて、署名項を少なくとも第４の入力パラメータから、第１の署名関数（ＳｉｇＵ）を使用して形成し、
・第３の通信（Ｍ３）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第３の通信（Ｍ３）は少なくとも第１のコンピュータユニット（Ｕ）の署名項を有し、
・第２のコンピュータユニット（Ｎ）にて前記署名項を検証する、
ことを特徴とする方法。」
　
（２）引用文献 
（２−１）原査定の拒絶の理由に引用された国際公開第９６／３７０６４号（以下、「引用文献１」という。）には、図面とともに次の事項が記載されている。
　 
（ア）「1. Verfahren zum rechnergestutzten Austausch kryptographischer Schlussel zwischen einer ersten Computereinheit (U) und einer zweiten Computereinheit (N) , 
- bei dem aus einer ersten Zufallszahl (t) mit Hilfe eines erzeugenden Elements (g) einer endlichen Gruppe in der ersten Computereinheit (U) ein erster Wert (gt) gebildet wird, 
- bei eine erste Nachricht (Ml) von der ersten Computereinheit (U) an die zweite Computereinheit (N) ubertragen wird, wobei die ersten Nachricht (Ml) mindestens den ersten Wert (gt) aufweist, 
- bei dem in der zweite Computereinheit (N) ein Sitzungsschlussel (K) mit Hilfe einer ersten Hash-Funktion (hl) gebildet wird, wobei eine erste Eingangsgrose der ersten Hash-Funktion (hl) mindestens einen ersten Term aufweist, der gebildet wird durch eine Exponentiation des ersten Werts (gt) mit einem geheimen Netzschlussel (s) , 
- bei dem in der ersten Computereinheit (U) der Sitzungsschlussel (K) gebildet wird mit Hilfe der ersten Hash-Funktion (hl), wobei eine zweite Eingangsgrose der ersten Hash- Funktion (hl) mindestens einen zweiten Term aufweist, der gebildet wird durch eine Exponentiation eines offentlichen Netzschlussels (gs) mit der ersten Zufallszahl (t), 
- bei dem in der ersten Computereinheit (U) mit Hilfe einer zweiten Hash-Funktion (h2) oder der ersten Hash-Funktion (hl) eine vierte Eingangsgrose gebildet wird, wobei eine dritte Eingangsgrose fur die erste Hash-Funktion (hl) oder fur die zweite Hash-Funktion (h2) zur Bildung der vierten Eingangsgrose mindestens den Sitzungsschlussel (K) aufweist, 
- bei dem in der ersten Computereinheit (U) ein Signaturterm aus mindestens der vierten Eingangsgrose gebildet wird unter Anwendung einer ersten Signaturfunktion (Sigu) , 
- bei dem eine dritte Nachricht (M3) von der ersten Computereinheit (U) an die zweite Computereinheit (N) ubertragen wird, wobei die dritte Nachricht (M3) mindestens den Signaturterm der ersten Computereinheit (U) aufweist, und 
- bei dem in der zweiten Computereinheit (N) der Signaturterm verifiziert wird.」（３８頁〜３９頁特許請求の範囲の請求項１）
（和訳：第１のコンピュータユニット（Ｕ）と第２のコンピュータユニット（Ｎ）との間で暗号キーをコンピュータ支援して交換するための方法において、
・第１の乱数（ｔ）から、有限群を形成する要素（ｇ）を用いて第１のコンピュータユニット（Ｕ）で第１の値（ｇｔ）を形成し、
・第１の通信（Ｍ１）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第１の通信（Ｍ１）は少なくとも前記第１の値（ｇｔ）を有し、
・第２のコンピュータユニット（Ｎ）で、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第１の入力パラメータは少なくとも１つの第１の項を有し、
　該第１の項は、第１の値（ｇｔ）と秘密ネットキー（ｓ）とのべき乗によって形成され、
・第１のコンピュータユニット（Ｕ）にて、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第２の入力パラメータは少なくとも１つの第２の項を有し、
　該第２の項は、公開ネットキー（ｇｓ）と第１の乱数（ｔ）とのべき乗により形成され、
・第１のコンピュータユニット（Ｕ）にて、第２のハッシュ関数（ｈ２）または第１のハッシュ関数（ｈ１）を用いて第４の入力パラメータを形成し、
　ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために少なくとも前記セッションキー（Ｋ）を有し、
・第１のコンピュータユニット（Ｕ）にて、署名項を少なくとも第４の入力パラメータから、第１の署名関数（ＳｉｇＵ）を使用して形成し、
・第３の通信（Ｍ３）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第３の通信（Ｍ３）は少なくとも第１のコンピュータユニット（Ｕ）の署名項を有し、
・第２のコンピュータユニット（Ｎ）にて前記署名項を検証する、
ことを特徴とする方法。）
　
（イ）「Im Anschlus an die Bestatigung des Sitzungsschlussels K durch Uberprufung der Antwort A wird ein Signaturterm berechnet. Hierzu wird mit Hilfe einer zweiten Hash-Funktion h2 eine vierte Eingangsgrose gebildet. Die zweite Hash-Funktion h2 kann, mus aber nicht dieselbe Hash-Funktion sein wie die erste Hash-Funktion hl. Als eine dritte Eingangsgrose fur die zweite Hash-Funktion h2 wird ein Term verwendet, der mindestens den Sitzungsschlussel K enthalt. Weiterhin kann die dritte Eingangsgrose das optionale erste Datenfeld datl oder auch ein optionales zweites Datenfeld dat2 enthalten, wenn deren Verwendung in dem erfindungsgemasen Verfahren vorgese-hen wird.
　
Es kann spater nicht abgestritten werden, das die Daten, die im ersten optionale Datenfeld datl und im zweiten optionalen Datenfeld dat2 enthalten sind, von der ersten Computereinheit U gesendet wurden. 」（１４頁１９行目〜３５行目。）
（和訳：レスポンスＡを検査することによるセッションキーＫの確認に続いて署名項が計算される。この目的のために第２のハッシュ関数ｈ２を用いて第４の入力パラメータが計算される。第２のハッシュ関数ｈ２は第１のハッシュ関数ｈ１と同一であることも可能であるが、必要不可欠ではない。第２のハッシュ関数ｈ２のための第３の入力パラメータとして１つの項が使用され、この項は少なくともセッションキーＫを含んでいる。更に第３の入力パラメータはオプションの第１のデータフィールドｄａｔ１又はオプションの第２のデータフィールドｄａｔ２を含むこともある、すなわち含む場合は、これらのデータフィールドの使用が本発明の方法において企図されている場合である。
  第１のオプションのデータフィールドｄａｔ１及び第２のデータフィールドｄａｔ２の中に含まれているデータが第１のコンピュータ装置Ｕから送信されたことは後に否認できない。）
　
　（ア）における記載から、引用文献１には、
「第１のコンピュータユニット（Ｕ）と第２のコンピュータユニット（Ｎ）との間で暗号キーをコンピュータ支援して交換するための方法において、
・第１の乱数（ｔ）から、有限群を形成する要素（ｇ）を用いて第１のコンピュータユニット（Ｕ）で第１の値（ｇｔ）を形成し、
・第１の通信（Ｍ１）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第１の通信（Ｍ１）は少なくとも前記第１の値（ｇｔ）を有し、
・第２のコンピュータユニット（Ｎ）で、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第１の入力パラメータは少なくとも１つの第１の項を有し、
　該第１の項は、第１の値（ｇｔ）と秘密ネットキー（ｓ）とのべき乗によって形成され、
・第１のコンピュータユニット（Ｕ）にて、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第２の入力パラメータは少なくとも１つの第２の項を有し、
　該第２の項は、公開ネットキー（ｇｓ）と第１の乱数（ｔ）とのべき乗により形成され、
・第１のコンピュータユニット（Ｕ）にて、第２のハッシュ関数（ｈ２）または第１のハッシュ関数（ｈ１）を用いて第４の入力パラメータを形成し、
　ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために少なくとも前記セッションキー（Ｋ）を有し、
・第１のコンピュータユニット（Ｕ）にて、署名項を少なくとも第４の入力パラメータから、第１の署名関数（ＳｉｇＵ）を使用して形成し、
・第３の通信（Ｍ３）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第３の通信（Ｍ３）は少なくとも第１のコンピュータユニット（Ｕ）の署名項を有し、
・第２のコンピュータユニット（Ｎ）にて前記署名項を検証する、
ことを特徴とする方法」に関する発明が記載されていると解される。
　
　そして、前記方法の
「・第１のコンピュータユニット（Ｕ）にて、第２のハッシュ関数（ｈ２）または第１のハッシュ関数（ｈ１）を用いて第４の入力パラメータを形成し、
　ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために少なくとも前記セッションキー（Ｋ）を有し、
・第１のコンピュータユニット（Ｕ）にて、署名項を少なくとも第４の入力パラメータから、第１の署名関数（ＳｉｇＵ）を使用して形成し、」における「第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために少なくとも前記セッションキー（Ｋ）を有」する態様として、（イ）における記載から、第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために、別の項を有し、当該別の項は、少なくともセッションキー（Ｋ）とオプションの第１のデータフィールドｄａｔ１又はオプションの第２のデータフィールドｄａｔ２とを有する態様を含むと解される。
　
　したがって、引用文献１には、次の発明（以下、「引用発明１」という。）が記載されていると認められる。 
　
　第１のコンピュータユニット（Ｕ）と第２のコンピュータユニット（Ｎ）との間で暗号キーをコンピュータ支援して交換するための方法において、
・第１の乱数（ｔ）から、有限群を形成する要素（ｇ）を用いて第１のコンピュータユニット（Ｕ）で第１の値（ｇｔ）を形成し、
・第１の通信（Ｍ１）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第１の通信（Ｍ１）は少なくとも前記第１の値（ｇｔ）を有し、
・第２のコンピュータユニット（Ｎ）で、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第１の入力パラメータは少なくとも１つの第１の項を有し、
　該第１の項は、第１の値（ｇｔ）と秘密ネットキー（ｓ）とのべき乗によって形成され、
・第１のコンピュータユニット（Ｕ）にて、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第２の入力パラメータは少なくとも１つの第２の項を有し、
　該第２の項は、公開ネットキー（ｇｓ）と第１の乱数（ｔ）とのべき乗により形成され、
・第１のコンピュータユニット（Ｕ）にて、第２のハッシュ関数（ｈ２）または第１のハッシュ関数（ｈ１）を用いて第４の入力パラメータを形成し、
　ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために、別の項を有し、当該別の項は、少なくともセッションキー（Ｋ）とオプションの第１のデータフィールドｄａｔ１又はオプションの第２のデータフィールドｄａｔ２とを有し、
・第１のコンピュータユニット（Ｕ）にて、署名項を少なくとも第４の入力パラメータから、第１の署名関数（ＳｉｇＵ）を使用して形成し、
・第３の通信（Ｍ３）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第３の通信（Ｍ３）は少なくとも第１のコンピュータユニット（Ｕ）の署名項を有し、
・第２のコンピュータユニット（Ｎ）にて前記署名項を検証する、
ことを特徴とする方法。
　
（２−２）本願の優先日の前の１９９６年１０月に頒布された刊行物（以下「引用文献２」という）である、「Ｍｅｎｅｚｅｓ，Ａ．Ｊ．，ｅｔ　ａｌ．，ＨＡＮＤＢＯＯＫ　ｏｆ　ＡＰＰＬＩＥＤ　ＣＲＹＰＴＯＧＲＡＰＨＹ，ＣＲＣ　Ｐｒｅｓｓ」に、以下の事項が記載されている。
　
（ウ）「(iv) Station-to-Station protocol (STS)
The following three-pass variation of the basic Diffie-Hellman protocol allows the establishment of a shared secret key between two parties with mutual entity authentication and mutual explicit key authentication. … The method employs digital signatures;
the description below is for the specific case of RSA signatures.」（５１９頁下から１８行目〜１３行目）
（和訳：Ｓｔａｔｉｏｎ−ｔｏ−Ｓｔａｔｉｏｎ　プロトコル（ＳＴＳ）
基礎的なＤｉｆｆｉｅ−Ｈｅｌｌｍａｎプロトコルの３パスによる次のバリエーションは、相互認証及び明示的な相互鍵認証を伴う、２つの主体間における共有秘密鍵を確立することを可能にした。…この方法はデジタル署名を使う；以下の記述は、ＲＳＡ署名の特別なケースである。）
　
（エ）「12.57 Protocol Station-to-Station protocol (STS)
SUMMARY: parties A and B exchange 3 messages.
RESULT: key agreement, mutual entity authentication, explicit key authentication.
1. …
2. One-time setup (definition and publication of system parameters).
(a) Select and publish an appropriate system prime p and generator α of Zp*, 2  ≦α≦   p-2. 
…
3. Protocol messages.
      A  → B :  αｘ mod p                  (1)
      A  ← B :  αｙmod p; Ek(SB(αｙ,αｘ))   (2)
      A  → B : Ek(SA(αｘ,αｙ))              (3)
4. Protocol actions. Perform the following steps each time a shared key is required.
The protocol is aborted (with failure) immediately upon any signature failure.
(a) A generates a secret random x, 1≦ x ≦p-2, and sends B message (1).
(b) B generates a secret random y, 1 ≦y ≦ p-2, and computes the shared key k = (αｘ)ｙ mod p.　 B signs the concatenation of both exponentials ordered as in (2), encrypts this  using the computed key, and sends A message (2).
(c) A computes the shared key k = (αｙ)ｘ mod p, decrypts the encrypted data, and uses B’s public key to verify the received value as the signature on the hash of the cleartext exponential received and the exponential sent in message (1).
Upon successful verification, A accepts that k is actually shared with B, and sends B an analogous message (3).
(d) B similarly decrypts the received message (3) and verifies A’s signature therein.
If successful, B accepts that k is actually shared with A.
The attack of Note 12.50 is precluded in the STS protocol due to the signatures over the exchanged exponentials.」（５１９頁下から１２行目〜５２０頁２１行目）
（和訳：１２．５７　プロトコル　Ｓｔａｔｉｏｎ−ｔｏ−Ｓｔａｔｉｏｎプロトコル（ＳＴＳ
要約：主体Ａと主体Ｂとが３つのメッセージを交換する。
結果：キーの認証、相互認証、明示的なキーの認証。
１．…
２．ワンタイムセットアップ（システムパラメーターの定義と発行）
（ａ）適当な素数ｐと有限群Ｚｐ＊の生成元αを選択し、発行する。
　ここで、２≦α≦ｐ−２　　 …
　…
３．プロトコルメッセージ
 A  → B :  αｘ mod p                  (1)
 A  ← B :  αｙ mod p; Ek(SB(αｙ,αｘ))   (2)
 A  → B : Ek(SA(αｘ,αｙ))              (3)
４．プロトコルアクション．　共有鍵を必要とする度に次のステップを実行する。プロトコルは、電子署名のエラーがあれば、直ちにアボート（失敗とともに）する。
（ａ）主体Ａは、秘密の乱数ｘ、ここで１≦ｘ≦ｐ−２、を生成して、主体Ｂにメッセージ（１）を送る。
（ｂ）主体Ｂは秘密の乱数ｙ、ここで１≦ｙ≦ｐ−２、を生成して、
共通鍵ｋ＝（ αｘ）ｙ 　ｍｏｄｐを計算する。主体Ｂは、（２）に示すように、２つのべき数を連結したものに電子署名をして、前記計算した共通鍵を使って暗号化して、メッセージ（２）を主体Ａに送る。
（ｃ）主体Ａは、共通鍵ｋ＝（ αｙ）ｘ 　ｍｏｄｐを計算して、前記暗号文を復号化し、主体Ｂの公開鍵を用いて、受け取った値が受け取ったべき数とメッセージ（１）で送ったべき数とのクリアテキストのハッシュに対する電子署名であることを確認する。確認が成功すると、主体Ａは、ｋを主体Ｂと共有する鍵であることを受諾し、主体Ｂに類似のメッセージ（３）を送る。
（ｄ）主体Ｂは、同様に受け取ったメッセージ（３）を復号化し、主体Ａが電子署名したものであることを確認する。確認が成功すると、主体Ｂは、ｋを主体Ａと共有する鍵であることを受諾する。
　
　ノート１２．５０の攻撃は、交換されるべき数に基づく電子署名によるＳＴＳプロトコルにおいて不可能にされる。）
　
（オ）「12.58 Remark (key confirmation in STS protocol) Encryption under key k provides mutual key confirmation plus allows the conclusion that the party knowing the key is that which signed the exponentials.  」（５２０頁２２行目〜２４行目。）
（和訳：１２．５８注意（ＳＴＳプロトコルにおける鍵確認）共通鍵ｋによる暗号化は、相互に鍵確認できることを提供するとともに、前記共通鍵ｋを知っている主体が前記べき数を電子署名した主体であることを結論付けることを可能にする。)
　
　前記（ウ）〜（オ）から、引用文献２には、次の発明（以下「引用発明２」という）が記載されている。
　
　主体Ａと主体Ｂとの２者間で共有する暗号鍵をコンピュータ支援して交換するための方法において、
・主体Ａが、第１の乱数（ｘ）を生成し、有限群を形成する要素（α）を用いて第１の値（αx）を形成し、前記第１の値を有する第１のメッセージを主体Ａから主体Ｂに伝送し、
・主体Ｂで、第２の乱数（ｙ）を生成し、有限群を形成する要素（α）を用いて第２の値（αｙ）を形成し、共通の暗号鍵（ｋ）を計算し、
　　　ｋ＝（ αｘ）ｙ 　ｍｏｄｐ
・主体Ａで、共通の暗号鍵（ｋ）を主体Ｂから受信した前記第２の値（αｙ）と第１の乱数（ｘ）とのべき乗により計算し、
・その際に、主体Ｂにおいて、共通の暗号鍵（ｋ）を一義的に推定することができるべき数(αｙ,αｘ)に主体Ｂが電子署名し、共通鍵ｋを用いて暗号化したメッセージを主体Ａに送信し、主体Ａが、受け取った前記メッセージを共通鍵ｋを用いて復号化し、当該メッセージが主体Ｂによる電子署名がなされていることを検証し、同様に、主体Ａにおいて、共通の暗号鍵（ｋ）を一義的に推定することができるべき数(αｘ,αｙ)に主体Ａが電子署名し、共通鍵ｋを用いて暗号化したメッセージを主体Ｂに送信し、主体Ｂが、受け取った前記メッセージを共通鍵ｋを用いて復号化し、当該メッセージが主体Ａによる電子署名がなされていることを検証することで、各主体Ａ及びＢとの間での相互認証と共通鍵を有していることを可能にする方法。
　
（３）対比 
　引用発明１の発明特定事項は、
「・第１のコンピュータユニット（Ｕ）にて、第２のハッシュ関数（ｈ２）または第１のハッシュ関数（ｈ１）を用いて第４の入力パラメータを形成し、
　ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために、別の項を有し、当該別の項は、少なくともセッションキー（Ｋ）とオプションの第１のデータフィールドｄａｔ１又はオプションの第２のデータフィールドｄａｔ２とを有し、
・第１のコンピュータユニット（Ｕ）にて、署名項を少なくとも第４の入力パラメータから、第１の署名関数（ＳｉｇＵ）を使用して形成し、」における発明特定事項「ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために、別の項を有し、当該別の項は、少なくともセッションキー（Ｋ）とオプションの第１のデータフィールドｄａｔ１又はオプションの第２のデータフィールドｄａｔ２とを有し」を除いて、全て本願発明の発明特定事項と同一である。
　
　そして、前記引用発明１の発明特定事項「ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために、別の項を有し、当該別の項は、少なくともセッションキー（Ｋ）とオプションの第１のデータフィールドｄａｔ１又はオプションの第２のデータフィールドｄａｔ２とを有し」と本願発明の発明特定事項「ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために別のパラメータを有し、
　当該別のパラメータはセッションキーそのものではないが、当該別のパラメータからセッションキーを一義的に推定することができ、かつ前記別のパラメータの少なくとも一部は非公開パラメータであり、」とを比較する。
　
　引用発明１の「別の項」は、本願発明の「別のパラメータ」に相当する。
　そして、引用発明１の「別の項」の有する「セッションキー（Ｋ）とオプションの第１のデータフィールドｄａｔ１又はオプションの第２のデータフィールドｄａｔ２」のうち、「セッションキー（Ｋ）」は、セッションキーそのものであるから当然、当該「別の項」から「セッションキーを一義的に推定することができ」るものであって、かつ前記「別の項」の少なくとも「セッションキー」は「非公開」のパラメータである。
　よって、引用発明１の「第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために、別の項を有し、当該別の項は、少なくともセッションキー（Ｋ）とオプションの第１のデータフィールドｄａｔ１又はオプションの第２のデータフィールドｄａｔ２とを有」することと、補正後の発明の「第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために別のパラメータを有し、当該別のパラメータはセッションキーそのものではないが、当該別のパラメータからセッションキーを一義的に推定することができ、かつ前記別のパラメータの少なくとも一部は非公開パラメータであ」ることとは、ともに、「第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために別のパラメータを有し、当該別のパラメータからセッションキーを一義的に推定することができ、かつ前記別のパラメータの少なくとも一部は非公開パラメータであ」る点で共通する。
　
　よって、補正後の発明と引用発明１とは、以下の点で一致し、また、相違している。 
　 
（一致点） 
　第１のコンピュータユニット（Ｕ）と第２のコンピュータユニット（Ｎ）との間で暗号キーをコンピュータ支援して交換するための方法において、
・第１の乱数（ｔ）から、有限群を形成する要素（ｇ）を用いて第１のコンピュータユニット（Ｕ）で第１の値（ｇｔ）を形成し、
・第１の通信（Ｍ１）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第１の通信（Ｍ１）は少なくとも前記第１の値（ｇｔ）を有し、
・第２のコンピュータユニット（Ｎ）で、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第１の入力パラメータは少なくとも１つの第１の項を有し、
　該第１の項は、第１の値（ｇｔ）と秘密ネットキー（ｓ）とのべき乗によって形成され、
・第１のコンピュータユニット（Ｕ）にて、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第２の入力パラメータは少なくとも１つの第２の項を有し、
　該第２の項は、公開ネットキー（ｇｓ）と第１の乱数（ｔ）とのべき乗により形成され、
・第１のコンピュータユニット（Ｕ）にて、第２のハッシュ関数（ｈ２）または第１のハッシュ関数（ｈ１）を用いて第４の入力パラメータを形成し、
　ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために別のパラメータを有し、
　当該別のパラメータからセッションキーを一義的に推定することができ、かつ前記別のパラメータの少なくとも一部は非公開パラメータであり、
・第１のコンピュータユニット（Ｕ）にて、署名項を少なくとも第４の入力パラメータから、第１の署名関数（ＳｉｇＵ）を使用して形成し、
・第３の通信（Ｍ３）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第３の通信（Ｍ３）は少なくとも第１のコンピュータユニット（Ｕ）の署名項を有し、
・第２のコンピュータユニット（Ｎ）にて前記署名項を検証する、
ことを特徴とする方法。
　
（相違点）
　「別のパラメータからセッションキーを一義的に推定することができ、かつ前記別のパラメータの少なくとも一部は非公開パラメータ」において、補正後の発明は、「別のパラメータはセッションキーそのものではない」のに対して、引用発明１は、別の項は「セッションキー」を有する点。
　
（４）判断 
　相違点について検討する。
　引用発明１と引用発明２とはともに、第１の主体及び第２の主体の２者間で暗号鍵を共有する技術であって、その際に前記共通鍵を一義的に推定できる値に対してそれぞれ電子署名をすることで相手を認証することを目的とする点において、両者は共通の技術分野に属しているといえる。
　そうすると、共通鍵を一義的に推定できる値に対してそれぞれ電子署名をすることで相手を認証することを目的で、引用発明１の「セッションキー（Ｋ）」に替えて引用発明２の共通鍵を計算するためのべき数（引用発明１の（ｇｔ，ｇｓ）に相当）を用いることは、当業者ならば容易に想到し得たものである。
　そして、その際、「セッションキー（Ｋ）」に替えて用いる（ｇｔ，ｇｓ）が第３の入力パラメータに、（ｇｔ，ｇｓ）の計算に用いられる（ｔ，ｓ）が「別のパラメータ」にそれぞれ相当することは当業者にとって自明である。
　よって、相違点は格別のものではない。
　
　上記で検討したごとく、相違点は格別のものではなく、そして、補正後の発明の構成によってもたらされる効果も、当業者であれば当然に予測可能なものに過ぎず格別なものとは認められない。
　
　したがって、補正後の発明は引用発明１及び引用発明２に基づいて容易に発明できたものであるから、特許法第２９条第２項の規定により、特許出願の際独立して特許を受けることができないものである。
　
３．むすび 
　以上のとおり、補正後の発明は、特許出願の際独立して特許を受けることができるものではないから、本件補正は、平成１８年法律第５５号改正附則第３条第１項によりなお従前の例によるとされる同法による改正前の特許法第１７条の２第５項の規定により準用する特許法第１２６条第５項の規定に違反するものであり、特許法第１５９条第１項において読み替えて準用する同法第５３条第１項の規定により却下すべきものである。
　
第３．本願発明について 
１．本願発明
　平成２２年３月２５日付けの手続補正は上記のとおり却下されたので、本願の請求項１に係る発明（以下、同項記載の発明を「本願発明」という。）は、平成２１年１０月２９日付けの手続補正により補正された特許請求の範囲の請求項１に記載された事項により特定される、以下のとおりのものである。 
　
「第１のコンピュータユニット（Ｕ）と第２のコンピュータユニット（Ｎ）との間で暗号キーをコンピュータ支援して交換するための方法において、
・第１の乱数（ｔ）から、有限群を形成する要素（ｇ）を用いて第１のコンピュータユニット（Ｕ）で第１の値（ｇｔ）を形成し、
・第１の通信（Ｍ１）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第１の通信（Ｍ１）は少なくとも前記第１の値（ｇｔ）を有し、
・第２のコンピュータユニット（Ｎ）で、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第１の入力パラメータは少なくとも１つの第１の項を有し、
　該第１の項は、第１の値（ｇｔ）と秘密ネットキー（ｓ）とのべき乗によって形成され、
・第１のコンピュータユニット（Ｕ）にて、セッションキー（Ｋ）を第１のハッシュ関数（ｈ１）を用いて形成し、
　ここで第１のハッシュ関数（ｈ１）の第２の入力パラメータは少なくとも１つの第２の項を有し、
　該第２の項は、公開ネットキー（ｇｓ）と第１の乱数（ｔ）とのべき乗により形成され、
・第１のコンピュータユニット（Ｕ）にて、第２のハッシュ関数（ｈ２）または第１のハッシュ関数（ｈ１）を用いて第４の入力パラメータを形成し、
　ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために別のパラメータを有し、
　当該別のパラメータからセッションキーを一義的に推定することができ、かつ前記別のパラメータの少なくとも一部は非公開パラメータであり、
・第１のコンピュータユニット（Ｕ）にて、署名項を少なくとも第４の入力パラメータから、第１の署名関数（ＳｉｇＵ）を使用して形成し、
・第３の通信（Ｍ３）を第１のコンピュータユニット（Ｕ）から第２のコンピュータユニット（Ｎ）に伝送し、
　ここで第３の通信（Ｍ３）は少なくとも第１のコンピュータユニット（Ｕ）の署名項を有し、
・第２のコンピュータユニット（Ｎ）にて前記署名項を検証する、
ことを特徴とする方法。」
　
２．引用文献 
　原査定の拒絶の理由に引用された引用文献１は、前記「第３．補正の適否」の「２．独立特許要件」の「（２）引用文献」の「（２−１）」に記載したとおりである。
　
３．対比・判断 
　本願発明と引用発明１とを比較すると、
　引用発明１の発明特定事項は、
「・第１のコンピュータユニット（Ｕ）にて、第２のハッシュ関数（ｈ２）または第１のハッシュ関数（ｈ１）を用いて第４の入力パラメータを形成し、
　ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために、別の項を有し、当該別の項は、少なくともセッションキー（Ｋ）とオプションの第１のデータフィールドｄａｔ１又はオプションの第２のデータフィールドｄａｔ２とを有し、
・第１のコンピュータユニット（Ｕ）にて、署名項を少なくとも第４の入力パラメータから、第１の署名関数（ＳｉｇＵ）を使用して形成し、」における発明特定事項「ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために、別の項を有し、当該別の項は、少なくともセッションキー（Ｋ）とオプションの第１のデータフィールドｄａｔ１又はオプションの第２のデータフィールドｄａｔ２とを有し」を除いて、全て本願発明の発明特定事項と同一である。
　
　そこで、前記引用発明１の発明特定事項「ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために、別の項を有し、当該別の項は、少なくともセッションキー（Ｋ）とオプションの第１のデータフィールドｄａｔ１又はオプションの第２のデータフィールドｄａｔ２とを有し」と本願発明の発明特定事項「ここで第１のハッシュ関数（ｈ１）または第２のハッシュ関数（ｈ２）に対する第３の入力パラメータが第４の入力パラメータの形成のために別のパラメータを有し、
　当該別のパラメータからセッションキーを一義的に推定することができ、かつ前記別のパラメータの少なくとも一部は非公開パラメータであり、」とを比較する。
　
　引用発明１の「別の項」は、本願発明の「別のパラメータ」に相当する。
　そして、引用発明１の「別の項」の有する「セッションキー（Ｋ）とオプションの第１のデータフィールドｄａｔ１又はオプションの第２のデータフィールドｄａｔ２」のうち、「セッションキー（Ｋ）」は、セッションキーそのものであるから当然、当該「別の項」から「セッションキーを一義的に推定することができ」るものであって、かつ前記「別の項」の少なくとも「セッションキー」は「非公開」のパラメータである。
　
　そうすると、本願発明の構成は、すべて引用発明１に示されているものであって、本願発明は、引用発明１と同一ということになる。
　よって、本願発明は、引用文献１に記載された発明であるから、特許法第２９条第１項第３号に該当し、特許を受けることができない。
　よって、原審における平成２１年７月２８日付けの拒絶理由の「理由Ｂ．」において指摘したとおり、本願特許請求の範囲の請求項１に係る発明は、その出願前に日本国内又は外国において頒布された刊行物に記載された発明であるから、特許法第２９条第１項第３号に該当し、特許を受けることができない。
　
４．むすび 
　以上のとおり、本願の請求項１に係る発明は、その出願前日本国内又は外国において頒布された刊行物に記載された発明であるから、特許法第２９条第１項第３号に該当し、特許を受けることができない。
　
　よって、結論のとおり審決する。