【事件の表示】
　特願２００３−５５５７３２「負荷を複数のエンティティおよびそのデバイスに分散させるための暗号法」拒絶査定不服審判事件〔平成１５年　７月　３日国際公開、ＷＯ０３／５５１３４、平成１７年　５月１２日国内公表、特表２００５−５１３５６４〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
その１．手続の経緯
　本願は、２００２年１２月１６日（パリ条約による優先権主張外国庁受理２００１年１２月２１日　フランス共和国）を国際出願日とする出願であって、
　平成１６年８月４日付けで特許法第１８４条の４第１項の規定による明細書、請求の範囲の日本語による翻訳文が提出され、同年８月２７日付けで手続補正がなされ、平成１７年９月１５日付けで審査請求がなされ、平成２０年１０月８日付けで審査官により拒絶理由が通知され、これに対して平成２１年１月２１日付けで意見書が提出されると共に手続補正がなされたが、平成２２年２月１６日付けで審査官により拒絶査定がなされ、これに対して同年６月１８日付けで審判請求がなされたものである。
　
その２．本願発明
　本願の請求項１に係る発明は、平成２１年１月２１日付けの手続補正により補正された特許請求の範囲の請求項１に記載された次のとおりのものである。
　
「第１のエンティティは、第１のエンティティにより秘密にされている秘密鍵を使って、前記秘密鍵に関連付けられている公開鍵を使って第２のエンティティにより検証可能な証明を生成する暗号法であって、
　前記方法は、
　証明の少なくとも１つの要素が前記秘密鍵を復元することができないデータ項目のオープンデジタル処理により少なくとも一部生成されるステップを含み、
　前記方法は、さらに、
　−　第１のエンティティが第１のエンティティにより秘密にされている第１の乱数を使って証明の第１の要素を生成する第１のステップと、
　−　１つまたは複数の共通数が証明の第１の要素と関連して生成され、したがって第１のエンティティおよび第２のエンティティが前記１つまたは複数の共通数を認識していなければならない第２のステップと、
　−　少なくとも第１の秘密鍵整数と第１の乱数および前記共通数の少なくとも１つとを組み合わせることにより第１のエンティティは前記秘密鍵のイメージを生成する第３のステップと、
　−　証明の第２の要素は、前記秘密鍵のイメージに対して、エンティティにより実行可能なオープンデジタル処理オペレーションを適用することにより生成され、前記公開鍵の第１の部分を証明の第２の要素に適用し、前記公開鍵の少なくとも第２の部分を前記共通数の少なくとも１つに適用することにより第２のエンティティが証明の第１の要素と証明の第２の要素との一致を検証できるようにする第４のステップを含むことを特徴とする暗号法。」
　
その３．引用刊行物に記載の発明
　一方、原審が拒絶理由に引用した、本願の第１国出願時点で既に公知である、特開２００１−２０９３０８号公報（２００１年８月３日公開、以下、「引用刊行物１」という）には、関連する図面と共に、次の事項が記載されている。
　
Ａ．「【０００６】
【課題を解決するための手段】上記の課題を解決するために、本発明では、証明者と検証者と通信路とからなる検証システムの検証方法を、大きな素数をｐ，ｑ（ｑ|ｐ−１）とし、乗法群Ｚp*での位数がｑとなるＧＦ(ｐ)の元をｇとして、証明者は、ｎ（ｎ≧２）個の任意の整数ｓi（１≦ｓi≦ｑ−１：１≦ｉ≦ｎ）を秘密鍵として秘密に保管し、
ｖi＝ｇ-si modｐ（１≦ｉ≦ｎ）
を公開鍵として公開し、検証者による認証を受ける場合に、
(1)証明者は、乱数ｒ（１≦ｒ≦ｑ−１）を選んで前情報
ｘ＝ｇr modｐ
を計算して検証者に通信路を介して送信し、
(2)検証者は、前情報ｘを受信してから、乱数ｅ（１≦ｅ＜ｑ）を選んで証明者に通信路を介して送信し、
(3)証明者は、乱数ｅを受信してから、検証情報
ｙ＝ｒ＋(ｓ1＋ｓ2＋…＋ｓn)×ｅ modｑ
を計算して検証者に通信路を介して送信し、
(4)検証者は、検証情報ｙを受信してから、検証式
ｇy×(ｖ1×ｖ2×…×ｖn)e modｐ＝ｘ
が成り立つか否か検算し、成り立つ場合には証明者の全ての秘密鍵を正当であると判断し、成り立たない場合には不正な秘密鍵が存在すると判断する構成とした。」
　
Ｂ．「【００１１】上記のように構成された本発明の第１の実施の形態における認証方法の手順を説明する。最初に、準備段階を説明する。大きな素数をｐとする。大きな素数とは、離散対数問題を解くことが事実上不可能な程度に大きな素数であるという意味である。（ｐ−１）の素因数をｑとする。乗法群Ｚp*での位数がｑとなるＧＦ(ｐ)の元をｇとする。すなわち、ＧＦ(ｐ)の元の集合
Ｚp*＝｛１,２,・・・,ｐ−１｝
は、当然ＧＦ(ｐ)上の乗法に関して群を成すから、ＧＦ(ｐ)の元のうち、乗法群における位数がｑとなるｇを選ぶと、
ｇq mod p＝１
ｇq' mod p≠１(１≦ｑ'≦ｑ−１)
を満たす。
【００１２】証明者は、３個の任意の整数ｓi（１≦ｓi≦ｑ−１：１≦ｉ≦３）を秘密鍵として秘密に保管する。公開鍵として
ｖi＝ｇ-si modｐ（１≦ｉ≦３）
を公開する。
【００１３】次に、ステップ１を説明する。証明者は、乱数ｒ（１≦ｒ≦ｑ−１）を選んで、前情報
ｘ＝ｇr modｐ
を計算して検証者に送信する。
【００１４】ステップ２で、検証者は、乱数ｅ（１≦ｅ≦ｑ−１）を選んで証明者に送信する。
【００１５】ステップ３で、証明者は、検証情報
ｙ＝ｒ＋(ｓ1＋ｓ2＋ｓ3)×ｅ modｑ
を計算して検証者に送信する。
【００１６】ステップ４で、検証者は、検証式
ｘ＝ｇy×(ｖ1×ｖ2×ｖ3)e modｐ
を検算する。秘密鍵と公開鍵が正しく対応すれば、
    ｇy×(ｖ1×ｖ2×ｖ3)e modｐ
    ＝ｇ^{ｒ＋(ｓ1＋ｓ2＋ｓ3)×ｅ modｑ}
    ×(ｇ-s1×ｇ-s2×ｇ-s3)emodｐ
    ＝ｇ^{ｒ＋(ｓ1＋ｓ2＋ｓ3)×ｅ−(ｓ1＋ｓ2＋ｓ3)×ｅ} modｐ
    ＝ｇr modｐ＝ｘ
となる。したがって、検証式が成り立つ場合には証明者の全ての秘密鍵を正当であると判断する。成り立たない場合には、不正な秘密鍵が存在すると判断する。
【００１７】上記のように、本発明の第１の実施の形態では、認証方法を、複数のSchnorr認証の検証情報を１つにまとめて認証する方法としてので、１回分のSchnorr認証のベキ乗剰余演算回数と通信量で、複数の秘密鍵を検証できる。また、単に複数の秘密鍵を一つの秘密鍵として扱うように拡張した方式のため、安全性は元の方式に等しい。」
　
（あ）上記Ａ、及び、Ｂに記載の乱数ｒは、上記Ａの段落【０００６】の、
「(1)証明者は、乱数ｒ（１≦ｒ≦ｑ−１）を選んで前情報　ｘ＝ｇr modｐ　を計算して」、
及び、「(3)証明者は、乱数ｅを受信してから、検証情報　ｙ＝ｒ＋(ｓ1＋ｓ2＋…＋ｓn)×ｅ modｑ　を計算して」、
並びに、上記Ｂの、
「【００１３】次に、ステップ１を説明する。証明者は、乱数ｒ（１≦ｒ≦ｑ−１）を選んで、前情報
ｘ＝ｇr modｐ
を計算して検証者に送信する」、
「【００１５】ステップ３で、証明者は、検証情報
ｙ＝ｒ＋(ｓ1＋ｓ2＋ｓ3)×ｅ modｑ
を計算して検証者に送信する」、
　との記載から、直接「検証者」には、送信されない値、即ち、「証明者」が秘密にしている値であることは明らかである。
（い）また、上記Ａに、
「大きな素数をｐ，ｑ（ｑ|ｐ−１）とし、乗法群Ｚp*での位数がｑとなるＧＦ(ｐ)の元をｇとして」、
　と記載され、上記Ｂに、
「乗法群Ｚp*での位数がｑとなるＧＦ(ｐ)の元をｇとする」、
　と記載されている「ｇ」は、上記Ａ、及び、上記Ｂに記載の検証式、
「ｇy×(ｖ1×ｖ2×…×ｖn)e modｐ＝ｘ」に含まれていることから、検証者に公開されている、証明者の公開情報であることは明らかである。
　
　よって、上記Ａ、及び、Ｂに引用の記載内容から、引用刊行物１には、次の発明（以下、「引用発明」という）が記載されているものと認める。
　
　検証システムの検証方法であって、
　離散対数問題を解くことが事実上不可能な程度に大きな素数をｐ、（ｐ−１）の素因数をｑ、乗法群Ｚp*での位数がｑとなるＧＦ(ｐ)の元をｇとし、
　証明者が、複数の秘密の鍵ｓｉ（ｉ≧２）を保管し、該秘密の鍵ｓｉと、前記ｇとを用いて公開鍵ｖｉを計算して、前記公開鍵ｖｉと公開情報ｇを公開するステップと、
　証明者が、証明者の秘密情報である乱数ｒを選択し、前情報ｘを乱数ｒを用いて計算するステップと、
　証明者が、前記前情報ｘを検証者に送信し、それに応答して、検証者が乱数ｅを選んで、証明者に送信するステップと、
　証明者が、検証者から受信した前記乱数ｅと、証明者の秘密情報である乱数ｒと、秘密鍵ｓｉとを用いて、検証情報ｙを計算するステップと、
　証明者が、検証者に対して、前記ｙを送信するステップと、
　検証者が、証明者から受信した、前記ｙと前記公開情報ｇとを用いて、検証式に基づいて、ｇのｙ乗を計算し、更に、公開鍵ｖｉと乱数ｅとを用いて、ｖｉのｅ乗を計算し、これらを掛け合わせた結果が、前記前情報ｘに一致するかを検証するステップからなる。
　検証方法。
　
その４．本願発明と引用発明との対比
　ここで、本願発明と引用発明とを対比すると、
（イ）引用発明における「証明者」、「検証者」が、
　　　本願発明における「第１のエンティティ」、「第２のエンティティ」に相当し、
（ロ）引用発明においても「秘密鍵ｓｉ」、「公開鍵ｖｉ」を用いて、検証に用いる情報である「前情報ｘ」、及び、「検証情報ｙ」を生成しており、これら、「ｘ」、及び、「ｙ」は、「検証者」によって、「公開鍵ｖｉ」を用いて、「検証式」によって検証されるものであり、
　これら一連のステップが、“秘密鍵”、“暗号鍵”を用いた、暗号化の手法に基づくものであることは、当業者に自明の事項であるから、
　引用発明における「検証方法」は、
　本願発明における「第１のエンティティにより秘密にされている秘密鍵を使って、前記秘密鍵に関連付けられている公開鍵を使って第２のエンティティによって検証可能な証明を生成する暗号法」に相当する。
（ハ）上記（あ）で指摘したように、引用発明における「乱数ｒ」は、「証明者」によって秘密にされている「秘密情報」であるから、
　引用発明における「秘密情報である乱数ｒ」は、
　本願発明における「第１のエンティティにより秘密にされている第１の乱数」に相当し、
　引用発明における「前情報ｘ」は、「乱数ｒ」と、「公開情報ｇ」とを用いて計算されるものであるから、
　引用発明における「前情報ｘ」が、
　本願発明における「証明の第１の要素」に相当するので、
　引用発明における「証明者が、証明者の秘密情報である乱数ｒを選択し、前情報ｘを乱数ｒを用いて計算するステップ」は、
　本願発明における「第１のエンティティが第１のエンティティにより秘密にされている第１の乱数を使って証明の第１の要素を生成する第１のステップ」に相当し、
（ニ）引用発明における「乱数ｅ」は、「検証者」が、選択して「証明者」に送信する情報であるから、「検証者」と「証明者」との間の“共通の値”であることは明らかであり、
　引用発明における前記「乱数ｅ」は、「証明者」が、「検証者」に対して、「前情報ｘ」を送信することに応答して、選択され、「証明者」に送信されるものであるから、前記「乱数ｅ」は、前記「前情報ｘ」に“関連する”ものであり、
「検証者」が、前記「乱数ｅ」を選択して、「証明者」に送信した時点で、「検証者」と「証明者」とは、前記「乱数ｅ」を認識していることも明らかであるから、
　引用発明における「乱数ｅ」は、
　本願発明における「共通数」に相当し、
　引用発明における「証明者が、前記前情報ｘを検証者に送信し、それに応答して、検証者が乱数ｅを選んで、証明者に送信するステップ」が、
　本願発明における「１つまたは複数の共通数が証明の第１の要素と関連して生成され、したがって第１のエンティティおよび第２のエンティティが前記１つまたは複数の共通数を認識していなければならない第２のステップ」に相当し、
（ホ）引用発明における「検証情報ｙ」は、「乱数ｅ」と、「秘密鍵ｓｉ」と、「証明者の秘密情報である乱数ｒ」を用いて計算されるものであるから、
　引用発明における「検証情報ｙ」が、
　本願発明における「秘密鍵のイメージ」に相当し、
　引用発明における「複数の秘密鍵ｓｉ」も、
　本願発明における「第１の秘密鍵整数」も、
　“秘密鍵情報”である点で共通し、
　本願発明における「少なくとも第１の秘密鍵整数と第１の乱数および前記共通数の少なくとも１つとを組み合わせることにより第１のエンティティは前記秘密鍵のイメージを生成する」とは、
“秘密鍵のイメージを生成するには、最低限でも、「第１の秘密鍵整数」、「第１の乱数」、そして、「共通数」が複数ある場合は、そのうちの少なくとも１つが必要である”ことを意味していることは明らかであるから、
　引用発明における「証明者が、検証者から受信した前記乱数ｅと、証明者の秘密情報である乱数ｒと、秘密鍵ｓｉとを用いて、検証情報ｙを計算するステップ」と、
　本願発明における「少なくとも第１の秘密鍵整数と第１の乱数および前記共通数の少なくとも１つとを組み合わせることにより第１のエンティティは前記秘密鍵のイメージを生成する第３のステップ」とは、
“秘密鍵情報と第１の乱数および前記共通数の少なくとも１つとを組み合わせることにより第１のエンティティは前記秘密鍵のイメージを生成する第３のステップ”である点で共通し、
（へ）引用発明においては、「検証情報ｙ」、「公開情報ｇ」、「公開鍵ｖｉ」、及び、「乱数ｅ」を用いて、検証式を計算し、該計算結果が、「前情報ｘ」に一致するかを検証している。このとき、「公開鍵ｖｉ」の「乱数ｅ」乗を求ているので、この点が、
　本願発明における「前記公開鍵の少なくとも第２の部分を前記共通数の少なくとも一つに適用する」ことに相当することは明らかである。
　そして、引用発明においては、「証明者」の「公開情報ｇ」の「検証情報ｙ」乗を求めていて、
　引用発明における「公開情報ｇ」と、本願発明における「公開鍵の第１の部分」とは、“公開鍵”である点で共通することから、
　引用発明における「ｇのｙ乗を計算し、更に、公開鍵ｖｉと乱数ｅとを用いて、ｖｉのｅ乗を計算し、これらを掛け合わせた結果が、前記前情報ｘに一致するかを検証するステップ」と、
　本願発明における「証明の第２の要素は、前記秘密鍵のイメージに対して、エンティティにより実行可能なオープンデジタル処理オペレーションを適用することにより生成され、前記公開鍵の第１の部分を証明の第２の要素に適用し、前記公開鍵の少なくとも第２の部分を前記共通数の少なくとも１つに適用することにより第２のエンティティが証明の第１の要素と証明の第２の要素との一致を検証できるようにする第４のステップ」とは、
“公開鍵を秘密鍵イメージに適用し、公開鍵の少なくとも第２の部分を前記共通数の少なくとも１つに適用した結果とから得られる値が、第２のエンティティにより証明の第１の要素と一致するかを検証できるようにするステップ”である点で共通する。
　
　以上（イ）〜（へ）で検討した事項から、本願発明と引用発明との一致点・相違点は次のとおりである。
　
［一致点］
　第１のエンティティは、第１のエンティティにより秘密にされている秘密鍵を使って、前記秘密鍵に関連付けられている公開鍵を使って第２のエンティティによって検証可能な証明を生成する暗号法であって、
　前記暗号方法は、
　第１のエンティティが第１のエンティティにより秘密にされている第１の乱数を使って証明の第１の要素を生成する第１のステップと、
　１つまたは複数の共通数が証明の第１の要素と関連して生成され、したがって第１のエンティティおよび第２のエンティティが前記１つまたは複数の共通数を認識していなければならない第２のステップと、
　秘密鍵情報と第１の乱数および前記共通数の少なくとも１つとを組み合わせることにより第１のエンティティは前記秘密鍵のイメージを生成する第３のステップと、
　公開鍵を秘密鍵イメージに適用し、前記公開鍵の少なくとも第２の部分を前記共通数の少なくとも１つに適用した結果とから得られる値が、第２のエンティティにより証明の第１の要素と一致するかを検証できるようにするステップを含むことを特徴とする暗号法。
　
［相違点１］
　本願発明においては、
「証明の少なくとも１つの要素が前記秘密鍵を復元することができないデータ項目のオープンデジタル処理により少なくとも一部生成されるステップを含」むのに対して、
　引用発明においては、「オープンデジタル処理」を行う点が明確に示されていない点、
　
［相違点２］
　［秘密鍵情報］が、
　本願発明については、「少なくとも第１の秘密鍵整数」と、「秘密鍵整数」が“１つ”の場合も含み得るのに対して、
　引用発明においては、「複数の秘密の鍵ｓｉ（ｉ≧２）」と、「秘密鍵」が２以上ある点、
　
［相違点３］
「公開鍵を秘密鍵イメージに適用」する点について、
　本願発明においては、
「証明の第２の要素は、前記秘密鍵のイメージに対して、エンティティにより実行可能なオープンデジタル処理オペレーションを適用することにより生成され、前記公開鍵の第１の部分を証明の第２の要素に適用」しているのに対して、
　引用発明においては、
“「検証情報ｙ」と、「公開情報ｇ」とを用いて、直接計算”し、「検証情報ｙ」に対して、「オープンデジタル処理」を施して、「証明の第２の要素」となる数値を演算していない点、
　
その５．当審の判断
　上記相違点について検討する。
（１）［相違点１］、及び、［相違点３］について、
　本願発明における「オープンデジタル処理」とは、本願明細書の発明の詳細な説明の段落【００１３】に記載の定義に従えば、
「「オープンデジタル処理」という表現は、考えられる侵入に対する特定の保護の恩恵を受けないデジタル処理オペレーションを意味すると理解される。このオープンデジタル処理オペレーションは、エンティティにより実行可能である。」
　である。
　このような「考えられる侵入に対する特定の保護の恩恵を受けないデジタル処理オペレーション」については、原審が拒絶理由に引用した、本願の第１国出願前に既に公知である、「松本勉，加藤光幾，今井秀樹，“ＲＳＡ暗号系秘密変換の依頼計算”，電子情報通信学会技術研究報告（ＩＳＥＣ８８−１〜１０），日本，社団法人電子情報通信学会，１９８８年　５月２０日，Ｖｏｌ．８８，Ｎｏ．３３，　ｐ．６１−６４」（以下、「引用刊行物２」という）に、
Ｃ．「Ｃｌｉｅｎｔが秘密（ｐ，ｑ，λ（ｎ），ｄ）をなるべく漏らさずＳｅｒｖｅｒの計算力を使ってＲＳＡ暗号系の秘密変換を高速化する依頼計算プロトコルを考える」、
　と記載され、また、本願の第１国出願前に既に公知である、特開平０６−０１９３９３号公報（１９９４年１月２８日公開、以下、「周知文献１」という）に、
Ｄ．「【００１３】
【作用】上述の如く構成すれば、補助装置が計算する値は、主装置が保持する秘密情報ｄに依存していないのでこれからｄに関する秘密が主装置外に漏れることはない。このことは本発明の全てに対して成立する」、
　との記載があるように、当該技術分野においては、周知の技術事項であり、
　ここで、引用発明においては、検証式の計算において、「検証者」側で、「公開情報ｇ」の「検証情報ｙ」乗を計算しているが、引用発明においても、「公開情報ｇ」、及び、「検証情報ｙ」は、ともに、公開情報であり、該情報からは、「秘密鍵ｓｉ」を算出することができないので、前記計算を、「証明者」側で行うことも、その他の「エンティティ」で行うことも可能であることは自明であるから、
　引用発明においても、ステップの途中の計算において、何れかの「エンティティ」で、「オープンデジタル処理」が行える構成を採用することは、当業者が適宜なし得る事項である。
　また、数式処理においては、最終的な結論が一致するように、途中の計算過程を変更可能であることは、当該技術分野と言わず、数式処理一般における技術常識であるから、
　引用発明においても、「検証情報ｙ」を直接「公開情報ｇ」に適用することに替えて、最終的な結論が一致するよう、前記「検証情報ｙ」に、「オープンデジタル処理」を施したものを用いるよう変形することは、当業者が適宜行い得る事項である。
よって、相違点１、及び、相違点３は、格別のものでない。
　
（２）［相違点２］について、
　引用発明においては、引用刊行物１に、
Ｅ．「【００１７】上記のように、本発明の第１の実施の形態では、認証方法を、複数のSchnorr認証の検証情報を１つにまとめて認証する方法としてので、１回分のSchnorr認証のベキ乗剰余演算回数と通信量で、複数の秘密鍵を検証できる。また、単に複数の秘密鍵を一つの秘密鍵として扱うように拡張した方式のため、安全性は元の方式に等しい」、
　との記載があるように、「数のSchnorr認証の検証情報を１つにまとめて認証する方法」であり、元の「１回分のSchnorr認証」においては、「秘密鍵」は１つであることは、当業者にとって周知の技術事項であるから（必要であれば、本願の第１国出願前に既に公知である、「宇根正志、岡本龍明“最近のデジタル署名における理論的研究動向について”，金融研究，第１９巻別冊第１号，日本銀行金融研究所，2000年　4月　発行，p55-104」の76頁を参照されたい）、
　引用発明においても、秘密鍵を１つとして実行し得ることは明らかである。
　よって、相違点２は格別のものでない。
　
　上記で検討したごとく、相違点１〜３はいずれも格別のものではなく、そして、本願発明の構成によってもたらされる効果も、当業者であれば容易に予測できる程度のものであって、格別なものとは認められない。
　以上のとおりであるから、本願発明は、引用発明、及び、当該技術分野における周知の技術事項とから、当業者が容易になし得たものである。
　
その６．むすび
　したがって、本願発明は、引用刊行物に記載された発明に基づいて当業者が容易に発明することができたものであるので、特許法第２９条第２項の規定により特許を受けることができない。
　
　よって、結論のとおり審決する。