【事件の表示】
　特願２０１１−５４７０３９「データ処理システム内で暗号クレデンシャルの動的集合を管理するための方法、装置、コンピュータ・プログラム、およびデータ処理システム」拒絶査定不服審判事件〔平成２２年　８月　５日国際公開、ＷＯ２０１０／０８６８０２、平成２４年　７月１９日国内公表、特表２０１２−５１６６０３〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
１．手続の経緯
　本願は，２０１０年１月２７日（パリ条約による優先権主張外国庁受理２００９年１月３１日，欧州特許庁）を国際出願日とする出願であって，平成２５年８月２９日付けの拒絶理由通知に対して同年１１月２２日付けで意見書が提出されると共に手続補正がなされたが，平成２６年３月２７日付けで拒絶査定（同年４月１日謄本送達）がなされ，これに対して同年７月２８日に拒絶査定不服審判の請求がなされるとともに手続補正がなされたものである。
　
２．本願発明
　平成２６年７月２８日付けの手続補正（以下，「本件補正」という。）により補正された補正後の請求項１は，補正前の請求項１，２，及び５の内容を含むものと認められるところ，この内容は，補正前の請求項５のうち，特に，「請求項１を引用する請求項２を引用する請求項４を引用する請求項５」の内容に対応するものである。
　また，補正後の請求項２は，補正前の請求項６に対応するものである。
　そうすると，本件補正は，補正前の請求項５を補正後の請求項１とし，補正前の請求項６を補正後の請求項２とし，その余の請求項（請求項１〜４及び請求項７〜１２）を削除するものであるから，特許法第１７条の２第５項第１号に掲げられた「請求項の削除」を目的とするものに該当し，適法になされたものである。
　したがって，本願の請求項１に係る発明（以下「本願発明」という。）は，平成２６年７月２８日付けの手続補正書の特許請求の範囲の請求項１に記載された事項により特定される次のとおりのものである。
　
「データ処理システム（１）内で暗号クレデンシャルの動的集合を管理するための方法であって，
　前記集合内の暗号クレデンシャルと，定義済みの複数の群要素のうちのそれぞれの群要素とのマッピングを定義するステップであって，前記マッピングが前記集合内のクレデンシャルとそれぞれの群要素ｇｉとの間で定義される，ステップと，
　秘密値γおよび群ジェネレータｇを使用して前記複数の群要素を生成するステップであって，前記群要素が，ｉ∈｛１，２，３，．．．，ｎ｝の場合にそれぞれの要素
　　【数１】
を含み，ここでｎが前記集合内のクレデンシャルの定義済みの最大数である，ステップと，
　クレデンシャルの前記集合を示す暗号アキュムレータを定期的に生成するステップであって，各証拠が群要素のそれぞれの異なる部分集合の積を含むように，前記暗号アキュムレータが前記群要素ｇｉが前記集合内のクレデンシャルにマッピングされるｉの値について前記群要素ｇｎ＋１−ｉの積を含む，ステップと，
　前記データ処理システム（１）内の前記暗号アキュムレータを定期的に公表するステップと，
　前記集合内の各クレデンシャルに関する証拠を定期的に生成するステップであって，各証拠に関する前記部分集合が前記集合内の前記クレデンシャルとその証拠が生成された前記クレデンシャルに依存するように，前記群要素が，補助要素
　　【数２】
を含み，
　群要素ｇｉにマッピングされた前記集合内の各クレデンシャルについて，前記証拠が，群要素ｇｊが前記集合内の他のクレデンシャルにマッピングされるｊのすべての値について前記群要素ｇｎ＋１−ｊ＋ｉの積を含む，ステップと，
　前記データ処理システム（１）内の前記集合内のクレデンシャルに関する前記証拠を定期的に公表するステップと，
生成された各クレデンシャルを前記データ処理システム（１）のユーザ・コンピュータ（６）に伝送するステップ
を含む，方法。」
３．引用例
（１）引用例１
　原査定の拒絶の理由に引用された，「J. Camenisch et al.，“An Accumulator Based on Bilinear Maps and Efficient Revocation for Anonymous Credentials”，[online]，Cryptology ePrint Archive，International Association for Cryptologic Research (IACR)，2008年12月，Report 2008/539，[2013年8月28日検索］，インターネット，＜URL：http://eprint.iacr.org/2008/539.pdf＞」（以下，「引用例１」という。）には，以下の事項が記載されている。
　
（ア）「Abstract. The success of electronic authentication systems, be it eID card systems or Internet authentication systems such as CardSpace, highly depends on the provided level of user-privacy. Thereby, an important requirement is an efficient means for revocation of the authentication credentials. In this paper we consider the problem of revocation for certificate-based privacy-protecting authentication systems. To date, the most efficient solutions for revocation for such systems are based on cryptographic accumulators. Here, an accumulate of all currently valid certificates is published regularly and each user holds a witness enabling her to prove the validity of her (anonymous) credential while retaining anonymity. Unfortunately, the users' witnesses must be updated at least each time a credential is revoked. For the know solutions, these updates are computationally very expensive for users and/or certificate issuers which is very problematic as revocation is a frequent event as practice shows.
In this paper, we propose a new dynamic accumulator scheme based on bilinear maps and show how to apply it to the problem of revocation of anonymous credentials. In the resulting scheme, proving a credential's validity and updating witnesses both come at (virtually) no cost for credential owners and verifiers. In particular, updating a witness requires the issuer to do only one multiplication per addition or revocation of a credential and can also be delegated to untrusted entities from which a user could just retrieve the updated witness. We believe that thereby we provide the first authentication system offering privacy protection suitable for implementation with electronic tokens such as eID cards or drivers' licenses.」（第１頁７行〜３２行）
（当審仮訳：要約。eIDカードシステムあるいはCardSpaceのようなインターネット認証システムといった電子認証システムの成功は，ユーザープライバシーの提供レベルに大きく依存する。それにより，重要な要求は，認証クレデンシャルの取消しのための効率的な手段である。我々は本稿において，証明書ベースのプライバシー保護認証システムに関する取消しの問題を検討する。現在まで，このようなシステムにおける取消しのための最も効率的な解決策は，暗号アキュムレータに基づいている。ここでは，現在有効な全ての証明書のアキュムレートが定期的に公開され，各ユーザーは，匿名性を保持しながら，彼女の（匿名）クレデンシャルの正当性を証明することができる証拠を保持している。残念なことに，ユーザーの証拠は，少なくともクレデンシャルが取り消されるそのたびに，更新される必要がある。既知の解決策では，これらの更新は，ユーザーおよび／または証明書発行者にとって計算上非常に高価であり，また，プラクティスが示すように，取消しは頻繁に起こるイベントであるため，これは非常に問題である。
　本稿では，双線形マップに基づく新しい動的アキュムレータ方式を提案し，それを匿名クレデンシャルの取消しの問題に適用する方法を示す。得られた方式では，クレデンシャルの有効性の証明及び証拠の更新は共に，クレデンシャルの所有者及び検証者に対して，（事実上）コストを発生しない。特に，証拠の更新は，クレデンシャルの付加あるいは取消し毎に発行者がただ一度だけ乗算することを要求し，ユーザーがそこから更新された証拠をただ取得することだけができるような信頼できないエンティティーに委任されることもできる。我々はそれによって，我々が，eIDカードあるいは運転免許証のような電子トークンを用いて実施するのに適した，プライバシー保護を提供する最初の認証システムを提供すると信じている。）
（イ）「3 A Pairing Based Dynamic Accumulator with Efficient Updates
We define and build a dynamic accumulator with efficient updates and assess its security. With efficient updates we mean that witnesses can be updated by any party without knowledge of any secret key and require only multiplications (no exponentiations) linear in the number of changes to the accumulator. Our construction is based on the broadcast encryption scheme by Boneh, Gentry and Waters.」（第６頁１５〜２２行）
（当審仮訳：3　効率的な更新を有するペアリングベースの動的アキュムレータ
我々は効率的な更新を有する動的アキュムレータを定義して作成し，そしてそのセキュリティを評価する。効率的な更新を有するとは，どんな秘密鍵の知識のないどんな関係者によってでも証拠が更新されることができ，アキュムレータの変更の数に比例する乗算（べき乗は無い）のみを必要とすることを意味する。我々の構築は，Boneh, Gentry及びWaters によるブロードキャスト暗号化方式に基づいている。）
（ウ）「3.1 Definition of Dynamic Accumulators 
A secure accumulator consists of the five algorithms AccGen, AccAdd, AccUpdate, AccWitUpdate, and AccVerify.
　These algorithms are used by the accumulator authority (short authority),an untrusted update entity, a user and a verifier. The authority creates an accumulator key pair (skＡ, pkＡ), the accumulator accφ and a public state stateφ using the AccGen algorithm; it can add a new value i to the accumulator accV using the AccAdd algorithm to obtain a new accumulator accＶ∪{i} and state stateＵ∪{i}, together with a witness witi . The accumulator for a given set of values V, can be computed using the AccUpdate algorithm.
　Throughout these operations, accＶ and witi are of constant size (independent of the number of accumulated values). The authority does some bookkeeping about the values contained in the accumulator and the status of the accumulator when a witness witi was created. These sets are denoted as V and VＷ respectively. The bookkeeping information is made public and is only needed for updating witnesses, it is not needed for verifying that a value is contained in an accumulator.
　Each time an accumulator changes, the old witnesses become invalid. It is however possible to update all witnesses for values i ∈ V contained in the accumulator from the bookkeeping information VＷ. This updating is the most performance intensive operation in existing accumulator systems. We show how it can be efficiently offloaded to an untrusted update entity that runs AccWitUpdate and is only given the accumulator state stateU and the bookkeeping information V and VＷ. The accumulator state stateU also contains book keeping information U, the set of elements ever added to the accumulator (but not necessarily contained in the current accumulator). This is a superset of V and VＷ.
　After users obtained an updated witness wit'i for a value i for the current accumulator, they can prove to any verifier that i is in the accumulator, using the AccVerify algorithm.
AccGen(1k, n) creates an accumulator key pair (skＡ, pkＡ), an empty accumulator accφ(for accumulating up to n values) and an initial state stateφ.
AccAdd(skＡ, i , accＶ , stateＵ) allows the authority to add i to the accumulator. 
　It outputs a new accumulator accＶ∪{i} and state stateＵ∪{i}, together with a witness witi for i .
AccUpdate(pkＡ, V, stateＵ) outputs an accumulator accＶ for values V ⊂ U.
AccWitUpdate(pkＡ, witi , VＷ, accＶ , V, stateＵ) outputs a witness wit'i for accＶ
　if witi was a witness for accＶｗ and i ∈ V .
AccVerify(pkＡ, i , witi , accＶ ) verifies that v ∈ V using an up-to-date witness witi and the accumulator accＶ . （当審注：「v ∈ V」は「i ∈ V」の明らかな誤記である。）In that case the algorithm accepts, otherwise it rejects.」（第６頁２３行〜第７頁２７行）
（当審仮訳：3.1　動的アキュムレータの定義
安全なアキュムレータは，ＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙという５つのアルゴリズムで構成される。
　これらのアルゴリズムは，アキュムレータ機関（「機関」），信頼できない更新エンティティ，ユーザ，および検証者によって使用される。この機関は，ＡｃｃＧｅｎアルゴリズムを使用して，アキュムレータ鍵のペア（ｓｋＡ，ｐｋＡ），アキュムレータａｃｃφ，および公開状態ｓｔａｔｅφを作成する。証拠ｗｉｔiとともに，新しいアキュムレータａｃｃＶ∪{i} および状態ｓｔａｔｅＵ∪{i}を入手するために，ＡｃｃＡｄｄアルゴリズムを使用して，アキュムレータａｃｃＶに新しい値ｉを追加することができる。ＡｃｃＵｐｄａｔｅアルゴリズムを使用して，所与の値の集合Ｖに関するアキュムレータを計算することができる。
　これらの演算全体を通して，ａｃｃＶおよびｗｉｔiは一定のサイズである（蓄積された値の数とは無関係である）。この機関は，証拠ｗｉｔiが作成されたときにアキュムレータに含まれている値およびアキュムレータの状況について何らかのブックキーピングを実行する。これらの集合はそれぞれＶおよびＶＷとして示される。ブックキーピング情報は，公表され，証拠を更新するためにのみ必要とされ，値がアキュムレータに含まれていることを検証するためには必要ではない。
　アキュムレータが変化するたびに，古い証拠は無効になる。しかし，ブックキーピング情報ＶＷからアキュムレータに含まれる値ｉ∈Ｖについてすべての証拠を更新することは可能である。この更新は，既存のアキュムレータ・システムにおいて最も性能集約型の動作である。我々は，それを，ＡｃｃＷｉｔＵｐｄａｔｅを実行し，アキュムレータ状態ｓｔａｔｅＵとブックキーピング情報ＶとＶＷだけが与えられる信頼できない更新エンティティに，効率的にオフロードする方法を示す。アキュムレータ状態ｓｔａｔｅＵは，アキュムレータにこれまでに追加された（が，必ずしも現在のアキュムレータに含まれているわけではない）要素の集合であるブックキーピング情報Ｕも含む。これは，ＶおよびＶＷの超集合である。
　ユーザが現在のアキュムレータに関する値ｉについて更新された証拠ｗｉｔ’iを入手した後，ユーザは，ＡｃｃＶｅｒｉｆｙアルゴリズムを使用して，ｉがアキュムレータ内にあることをすべての検証者に対して証明することができる。
　ＡｃｃＧｅｎ（１ｋ，ｎ）は，アキュムレータ鍵のペア（ｓｋＡ，ｐｋＡ），空のアキュムレータａｃｃφ（ｎ個の値まで蓄積するため），および初期状態ｓｔａｔｅφを作成する。
　ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）は，その機関がアキュムレータにｉを追加できるようにするものである。これは，ｉについて，証拠ｗｉｔiとともに，新しいアキュムレータａｃｃＶ∪{i}  および状態ｓｔａｔｅＵ∪{i}  を出力する。
　ＡｃｃＵｐｄａｔｅ（ｐｋＡ，Ｖ，ｓｔａｔｅＵ）は，値Ｖ⊂Ｕについて，アキュムレータａｃｃＶを出力する。
　ＡｃｃＷｉｔＵｐｄａｔｅ（ｐｋＡ，ｗｉｔi，ＶＷ，ａｃｃＶ，Ｖ，ｓｔａｔｅＵ）は，ｗｉｔiがａｃｃＶｗ に関する証拠であり，ｉ∈Ｖである場合に，ａｃｃＶに関する証拠ｗｉｔ’iを出力する。
　ＡｃｃＶｅｒｉｆｙ（ｐｋＡ，ｉ，ｗｉｔi，ａｃｃＶ）は，最新の証拠ｗｉｔiおよびアキュムレータａｃｃＶを使用して，ｉ∈Ｖであることを検証する。その場合，アルゴリズムは受諾し，そうではない場合，アルゴリズムは拒否する。）
（エ）「3.2 Construction
We now construct the algorithms AccGen, AccAdd, AccUpdate, AccWitUpdate,and AccVerify.
　In the construction above, we accumulate the group elements g1,...,gn instead of, e.g., the integers 1,..., n. Depending on the application, one would want to accumulate the latter, or more generally an arbitrary set of size n. In this case, the issuer of the accumulator would need to publish a mapping from this set to the gi values that get actually accumulated. In order to avoid large public parameters during verification the issuer of the accumulator uses a signature scheme to sign the gi together with the value to which they map. Thus, the verifier can check whether a given gi is a (potentially) valid input to the accumulator (cf. discussion in Section 3.3).
　We also note that the algorithm to update the witness does not require any secret information. Thus, the witnesses could be kept up-to-date for the users either by the users themselves, the issuer, or by some third party. In the latter two cases, the users can just retrieve the current valid witness whenever needed. In applications, one would typically define epochs such that the accumulator value and witnesses are only updated at the beginning of each epoch and remain valid throughout the epoch. Finally note that maintaining the witnesses for all users is well within reach of current technologies − indeed, all witnesses can be kept in main memory and the update performed rather quickly.」（第８頁１行〜第９頁６行）
（当審仮訳：３．２　構成
　我々は今からＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙの各アルゴリズムを構成する。
ＡｃｃＧｅｎ（１
ｋ
，ｎ）。
　ＢＭＧｅｎ（１ｋ）を実行して，双線形マップｅ：Ｇ×Ｇ→ＧＴのセットアップｐａｒａｍｓBM＝（ｑ，Ｇ，ＧＴ，ｅ，ｇ）を入手する。
　ランダム値γ∈Ｚｑをピックする。安全なシグニチャ方式，たとえば，ＳＤＨ仮定に基づいて安全なＢＢシグニチャ方式のための鍵のペアｓｋおよびｐｋを生成する。
とする。
ＡｃｃＡｄｄ（ｓｋ
Ａ
，ｉ，ａｃｃ
Ｖ
，ｓｔａｔｅ
Ｕ
）。
　署名鍵ｓｋに基づくｇi｜｜ｉについて
とシグニチャσi  を計算する。
　アルゴリズムは，
と更新されたアキュムレータの値
と
を出力する。
ＡｃｃＵｐｄａｔｅ（ｐｋ
Ａ
，Ｖ，ｓｔａｔｅ
Ｕ
）。
　Ｖ⊂Ｕであるかどうかをチェックし，そうではない場合に⊥を出力する。このアルゴリズムは，ｉ∈Ｖのｉに対して，
を出力する。（当審注：「ｖ∈Ｖ」及び「ｇｎ＋１−ｖ 」は，「ｉ∈Ｖ」及び「ｇｎ＋１−ｉ」の明らかな誤記である。）
ＡｃｃＷｉｔＵｐｄａｔｅ（ｐｋ
Ａ
，ｗｉｔ
i
，Ｖ
Ｗ
，ａｃｃ
Ｖ
，Ｖ，ｓｔａｔｅ
Ｕ
）。
　ｗｉｔiを（ｗ，σi，ｇi）として解析する。ｉ∈ＶおよびＶ∪ＶＷ⊂Ｕである場合，
を計算する。更新された証拠ｗｉｔ’iを（ｗ’，σi，ｇi）として出力する。そうではない場合，⊥を出力する。
ＡｃｃＶｅｒｉｆｙ（ｐｋ
Ａ
，ｉ，ｗｉｔ
i
，ａｃｃ
Ｖ
）。
　ｗｉｔi＝（ｗ，σi，ｇi）を解析する。σiが検証鍵ｐｋに基づくｇi｜｜ｉについて有効なシグニチャであり，ｅ（ｇi，ａｃｃＶ）／ｅ（ｇ，ｗ）＝ｚである場合，受諾を出力する。そうではない場合，拒否を出力する。
　上記の構成においては，例えば整数１，．．．，ｎの代わりに群要素ｇ１，．．．，ｇｎを計算する。用途に応じて，後者，又はサイズｎのより一般的な任意の集合をアキュムレートすることになる。この場合，アキュムレータの発行者は，この集合から，実際にアキュムレートされるｇi の値へのマッピングを公開する必要がある。検証中の大きな公開パラメータを避けるために，アキュムレータの発行者は，マップする値とともにｇi に署名する署名方式を使用する。これにより，検証者は，与えられたｇi が，アキュムレータへの（潜在的に）正当な入力であるかどうかを確認することができる（第３.３節の議論を参照）。
　また，証拠を更新するアルゴリズムは，何の秘密情報も必要としないことも注目される。それゆえ，証拠は，ユーザーのために，ユーザー自身，発行者，または何らかの第３者によって最新にしておくことができる。後者の２つのケースでは，ユーザーは，必要な時にいつでも，現在の有効な証拠を取得することができる。アプリケーションでは，アキュムレータ値及び証拠が各エポックの開始時にのみ更新され，エポックの期間を通じて有効なままであるような，エポックを定義する。最後に，すべてのユーザーのために証拠を更新することは，十分に現在の技術の範囲内である。実際，すべての証拠は，メインメモリに保持され，更新はかなり迅速に実行される。）
　ここで，上記引用例１に記載されている事項について検討する。
（ａ）上記（ア）の「本稿では，双線形マップに基づく新しい動的アキュムレータ方式を提案し，それを匿名クレデンシャルの取消しの問題に適用する方法を示す。」との記載，上記（ウ）の「ＡｃｃＵｐｄａｔｅ（ｐｋＡ，Ｖ，ｓｔａｔｅＵ）は，値Ｖ⊂Ｕについて，アキュムレータａｃｃＶを出力する。」との記載からみて，引用例１には，「動的アキュムレータ方式においてアキュムレータを出力するための方法」が記載されていると認められる。
　また，上記（ウ）の「安全なアキュムレータは，ＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙという５つのアルゴリズムで構成される。」との記載からみて，引用例１の「アキュムレータ」は，「ＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙという５つのアルゴリズムで構成される」ものである。
　そうすると，引用例１には，「動的アキュムレータ方式において，ＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙという５つのアルゴリズムで構成されるアキュムレータを出力するための方法」が記載されているものと認められる。
（ｂ）上記（ウ）の「これらのアルゴリズムは，アキュムレータ機関（「機関」），信頼できない更新エンティティ，ユーザ，および検証者によって使用される。この機関は，ＡｃｃＧｅｎアルゴリズムを使用して，アキュムレータ鍵のペア（ｓｋＡ，ｐｋＡ），アキュムレータａｃｃφ，および公開状態ｓｔａｔｅφを作成する。証拠ｗｉｔiとともに，新しいアキュムレータａｃｃＶ∪{i} および状態ｓｔａｔｅＵ∪{i}を入手するために，ＡｃｃＡｄｄアルゴリズムを使用して，アキュムレータａｃｃＶに新しい値ｉを追加することができる。ＡｃｃＵｐｄａｔｅアルゴリズムを使用して，所与の集合の値Ｖに関するアキュムレータを計算することができる」との記載からみて，引用例１には，「これらのアルゴリズムは，アキュムレータ機関，信頼できない更新エンティティ，ユーザ，および検証者によって使用され，このアキュムレータ機関は，ＡｃｃＧｅｎアルゴリズムを使用して，アキュムレータ鍵のペア，アキュムレータａｃｃφ，および公開状態ｓｔａｔｅφを作成し，証拠ｗｉｔiとともに，新しいアキュムレータａｃｃＶ∪{i} および状態ｓｔａｔｅＵ∪{i}を入手するために，ＡｃｃＡｄｄアルゴリズムを使用して，アキュムレータａｃｃＶに新しい値ｉを追加することができ，ＡｃｃＵｐｄａｔｅアルゴリズムを使用して，所与の集合の値Ｖに関するアキュムレータを計算することができる」ことが記載されているものと認められる。
（ｃ）上記（ウ）の「この機関は，ＡｃｃＧｅｎアルゴリズムを使用して，アキュムレータ鍵のペア（ｓｋＡ，ｐｋＡ），アキュムレータａｃｃφ，および公開状態ｓｔａｔｅφを作成する。」との記載，上記（ウ）の「ＡｃｃＧｅｎ（１ｋ，ｎ）は，アキュムレータ鍵のペア（ｓｋＡ，ｐｋＡ），空のアキュムレータａｃｃφ（ｎ個の値まで蓄積するため），および初期状態ｓｔａｔｅφを作成する。」との記載，上記（エ）の「ＡｃｃＧｅｎ（１ｋ，ｎ）。
　ＢＭＧｅｎ（１ｋ）を実行して，双線形マップｅ：Ｇ×Ｇ→ＧＴのセットアップｐａｒａｍｓBM＝（ｑ，Ｇ，ＧＴ，ｅ，ｇ）を入手する。ランダム値γ∈Ｚｑをピックする。安全なシグニチャ方式，たとえば，ＳＤＨ仮定に基づいて安全なＢＢシグニチャ方式のための鍵のペアｓｋおよびｐｋを生成する。
とする。」との記載からみて，引用例１には，「ＡｃｃＧｅｎ（１ｋ，ｎ）は，ランダム値γ∈Ｚｑをピックし，安全なシグニチャ方式のための鍵のペアｓｋＡ およびｐｋＡ を生成するとともに，
とおく」ことが記載されているものと認められる。
（ｄ）上記（ウ）の「ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）は，その機関がアキュムレータにｉを追加できるようにするものである。これは，ｉについて，証拠ｗｉｔiとともに，新しいアキュムレータａｃｃＶ∪{i}  および状態ｓｔａｔｅＵ∪{i}  を出力する。」との記載，上記（エ）の「ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）。
　署名鍵ｓｋに基づくｇi｜｜ｉについて
とシグニチャσi  を計算する。
　アルゴリズムは，
と更新されたアキュムレータの値
と
を出力する。」との記載からみて，引用例１には，「ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）は，アキュムレータにｉを追加できるようにするものであり，署名鍵ｓｋに基づくｇi｜｜ｉについて，
を出力する」ことが記載されていると認められる。
（ｅ）上記（ウ）の「ＡｃｃＵｐｄａｔｅ（ｐｋＡ，Ｖ，ｓｔａｔｅＵ）は，値Ｖ⊂Ｕについて，アキュムレータａｃｃＶを出力する。」との記載，上記（エ）の「ＡｃｃＵｐｄａｔｅ（ｐｋＡ，Ｖ，ｓｔａｔｅＵ）。
　Ｖ⊂Ｕであるかどうかをチェックし，そうではない場合に⊥を出力する。このアルゴリズムは，ｉ∈Ｖのｉに対して，
を出力する。」との記載からみて，引用例１には，「ＡｃｃＵｐｄａｔｅ（ｐｋＡ，Ｖ，ｓｔａｔｅＵ）は，Ｖ⊂Ｕであるかどうかをチェックし，ｉ∈Ｖのｉに対して
を出力する」ことが記載されているものと認められる。
（ｆ）上記（ウ）の「ＡｃｃＷｉｔＵｐｄａｔｅ（ｐｋＡ，ｗｉｔi，ＶＷ，ａｃｃＶ，Ｖ，ｓｔａｔｅＵ）は，ｗｉｔiがａｃｃＶｗ に関する証拠であり，ｉ∈Ｖである場合に，ａｃｃＶに関する証拠ｗｉｔ’iを出力する。」との記載，上記（エ）の「ＡｃｃＷｉｔＵｐｄａｔｅ（ｐｋＡ，ｗｉｔi，ＶＷ，ａｃｃＶ，Ｖ，ｓｔａｔｅＵ）。
　ｗｉｔiを（ｗ，σi，ｇi）として解析する。ｉ∈ＶおよびＶ∪ＶＷ⊂Ｕである場合，
を計算する。更新された証拠ｗｉｔ’iを（ｗ’，σi，ｇi）として出力する」との記載からみて，引用例１には，「ＡｃｃＷｉｔＵｐｄａｔｅ（ｐｋＡ，ｗｉｔi，ＶＷ，ａｃｃＶ，Ｖ，ｓｔａｔｅＵ）は，ｉ∈ＶおよびＶ∪ＶＷ⊂Ｕである場合，
を計算して，更新された証拠ｗｉｔ’iを（ｗ’，σi，ｇi）として出力する」ことが記載されているものと認められる。
（ｇ）上記（ウ）の「ＡｃｃＶｅｒｉｆｙ（ｐｋＡ，ｉ，ｗｉｔi，ａｃｃＶ）は，最新の証拠ｗｉｔiおよびアキュムレータａｃｃＶを使用して，ｉ∈Ｖであることを検証する。その場合，アルゴリズムは受諾し，そうではない場合，アルゴリズムは拒否する。」との記載，上記（エ）の「ＡｃｃＶｅｒｉｆｙ（ｐｋＡ，ｉ，ｗｉｔi，ａｃｃＶ）。
　ｗｉｔi＝（ｗ，σi，ｇi）を解析する。σiが検証鍵ｐｋに基づくｇi｜｜ｉについて有効なシグニチャであり，ｅ（ｇi，ａｃｃＶ）／ｅ（ｇ，ｗ）＝ｚである場合，受諾を出力する。そうではない場合，拒否を出力する。」との記載からみて，引用例１には，「ＡｃｃＶｅｒｉｆｙ（ｐｋＡ，ｉ，ｗｉｔi，ａｃｃＶ）は，最新の証拠ｗｉｔiおよびアキュムレータａｃｃＶを使用して，ｉ∈Ｖであることを検証する」ことが記載されているものと認められる。
（ｈ）上記（エ）の「上記の構成においては，例えば整数１，．．．，ｎの代わりに群要素ｇ１，．．．，ｇｎを計算する。用途に応じて，後者，又はサイズｎのより一般的な任意の集合をアキュムレートすることになる。この場合，アキュムレータの発行者は，この集合から，実際にアキュムレートされるｇi の値へのマッピングを公開する必要がある。検証中の大きな公開パラメータを避けるために，アキュムレータの発行者は，マップする値とともにｇi に署名する署名方式を使用する。これにより，検証者は，与えられたｇi が，アキュムレータへの（潜在的に）正当な入力であるかどうかを確認することができる」との記載からみて，引用例１には，「上記の構成においては，例えば整数１，．．．，ｎの代わりに群要素ｇ１，．．．，ｇｎを計算するが，用途に応じて，サイズｎのより一般的な任意の集合をアキュムレートすることになる場合，アキュムレータの発行者は，この集合から，実際にアキュムレートされる群要素ｇi の値へのマッピングを公開する必要がある」ことが記載されているものと認められる。
（ｉ）上記引用例１のタイトル「An Accumulator Based on Bilinear Maps and Efficient Revocation for Anonymous Credentials」（双線形マップと匿名のクレデンシャルのための効率的な取消しに基づくアキュムレータ）及び上記（ア）の「本稿では，双線形マップに基づく新しい動的アキュムレータ方式を提案し，それを匿名クレデンシャルの取消しの問題に適用する方法を示す。」との記載からみて，引用例１の動的アキュムレータ方式が，「匿名クレデンシャル」の「集合」からの取消しの問題に適用されるものであることは明らかである。
（ｊ）上記（ｈ）及び（ｉ）の検討から，引用例１には，「上記の構成においては，例えば整数１，．．．，ｎの代わりに群要素ｇ１，．．．，ｇｎを計算するが，用途に応じて，サイズｎのより一般的な任意の匿名クレデンシャルの集合をアキュムレートすることになる場合，アキュムレータの発行者は，この集合から，実際にアキュムレートされる群要素ｇi の値へのマッピングを公開する必要がある」ことが記載されているものと認められる。
（ｋ）上記（エ）の「証拠は，ユーザーのために，ユーザー自身，発行者，または何らかの第３者によって最新にしておくことができる。後者の２つのケースでは，ユーザーは，必要な時にいつでも，現在の有効な証拠を取得することができる。」との記載からみて，引用例１には，「証拠は，ユーザーのために，発行者，または何らかの第３者によって最新にしておくことができ，ユーザーは，必要な時にいつでも，現在の有効な証拠を取得することができる」ことが記載されているものと認められる。
（ｌ）上記（エ）の「アプリケーションでは，アキュムレータ値及び証拠が各エポックの開始時にのみ更新され，エポックの期間を通じて有効なままであるような，エポックを定義する。」との記載からみて，引用例１には，「アプリケーションでは，アキュムレータ値及び証拠が各エポックの開始時にのみ更新され，エポックの期間を通じて有効なままであるような，エポックを定義する」ことが記載されているものと認められる。
（ｍ）上記（ア）の「現在まで，このようなシステムにおける取消しのための最も効率的な解決策は，暗号アキュムレータに基づいている。ここでは，現在有効な全ての証明書のアキュムレートが定期的に公開され，各ユーザーは，匿名性を保持しながら，彼女の（匿名）クレデンシャルの正当性を証明することができる証拠を保持している。」との記載からみて，引用例１には，「暗号アキュムレータは定期的に公開されるものである」ことが記載されているものと認められる。
　上記（ａ）〜（ｍ）の検討から，引用例１には，次のとおりの発明（以下，「引用発明」という。）が記載されていると認められる。
「動的アキュムレータ方式において，ＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙという５つのアルゴリズムで構成されるアキュムレータを出力するための方法であって，
　これらのアルゴリズムは，アキュムレータ機関，信頼できない更新エンティティ，ユーザ，および検証者によって使用され，このアキュムレータ機関は，ＡｃｃＧｅｎアルゴリズムを使用して，アキュムレータ鍵のペア，アキュムレータａｃｃφ，および公開状態ｓｔａｔｅφを作成し，証拠ｗｉｔiとともに，新しいアキュムレータａｃｃＶ∪{i} および状態ｓｔａｔｅＵ∪{i}を入手するために，ＡｃｃＡｄｄアルゴリズムを使用して，アキュムレータａｃｃＶに新しい値ｉを追加することができ，ＡｃｃＵｐｄａｔｅアルゴリズムを使用して，所与の集合の値Ｖに関するアキュムレータを計算することができ，
　ＡｃｃＧｅｎ（１ｋ，ｎ）は，ランダム値γ∈Ｚｑをピックし，安全なシグニチャ方式のための鍵のペアｓｋＡ およびｐｋＡ を生成するとともに，
とおき，
　ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）は，アキュムレータにｉを追加できるようにするものであり，署名鍵ｓｋに基づくｇi｜｜ｉについて，
を出力し，
　ＡｃｃＵｐｄａｔｅ（ｐｋＡ，Ｖ，ｓｔａｔｅＵ）は，Ｖ⊂Ｕであるかどうかをチェックし，ｉ∈Ｖのｉに対して
を出力し，
　ＡｃｃＷｉｔＵｐｄａｔｅ（ｐｋＡ，ｗｉｔi，ＶＷ，ａｃｃＶ，Ｖ，ｓｔａｔｅＵ）は，ｉ∈ＶおよびＶ∪ＶＷ⊂Ｕである場合，
を計算して，更新された証拠ｗｉｔ’iを（ｗ’，σi，ｇi）として出力し，
　ＡｃｃＶｅｒｉｆｙ（ｐｋＡ，ｉ，ｗｉｔi，ａｃｃＶ）は，最新の証拠ｗｉｔiおよびアキュムレータａｃｃＶを使用して，ｉ∈Ｖであることを検証し，
　上記の構成においては，例えば整数１，．．．，ｎの代わりに群要素ｇ１，．．．，ｇｎを計算するが，用途に応じて，サイズｎのより一般的な任意の匿名クレデンシャルの集合をアキュムレートすることになる場合，アキュムレータの発行者は，この集合から，実際にアキュムレートされる群要素ｇi の値へのマッピングを公開する必要があり，
　証拠は，ユーザーのために，発行者，または何らかの第３者によって最新にしておくことができ，ユーザーは，必要な時にいつでも，現在の有効な証拠を取得することができ，
　アプリケーションでは，アキュムレータ値及び証拠が各エポックの開始時にのみ更新され，エポックの期間を通じて有効なままであるような，エポックを定義し，
　暗号アキュムレータは定期的に公開されるものである，
方法。」
４．対比
　本願発明と，引用発明とを対比する。
（ａ）引用発明の「匿名クレデンシャル」が本願発明の「暗号クレデンシャル」または「クレデンシャル」に相当する。
　引用発明は，「用途に応じて，サイズｎのより一般的な任意の匿名クレデンシャルの集合をアキュムレートする」ものであり，引用発明では，「匿名クレデンシャルの集合」におけるクレデンシャルの「取消し」を前提としていることから，引用発明の「匿名クレデンシャルの集合」は，集合の要素が「動的」に変化する点で「動的集合」であるということができる。
　そうすると，引用発明の「匿名クレデンシャルの集合」が本願発明の「暗号クレデンシャルの動的集合」に相当する。
　また，引用発明の「匿名クレデンシャルの集合」は，群要素ｇi を用いてアキュムレータを計算することによって，特定の匿名クレデンシャルが当該集合内にあるか否かを「管理」することができるものであるから，引用発明には，「匿名クレデンシャル（暗号クレデンシャル）」の「動的集合」を「管理」するための「方法」が記載されているものと認められる。
　してみれば，引用発明と本願発明とは，後記する点で相違するものの，「暗号クレデンシャルの動的集合を管理するための方法」の点で共通している。
（ｂ）
（ｂ−１）引用発明の「群要素ｇi 」が，本願発明「群要素ｇi 」に相当する。
　引用発明では，「用途に応じて，サイズｎのより一般的な任意の匿名クレデンシャルの集合をアキュムレートすることになる場合，アキュムレータの発行者は，この集合から，実際にアキュムレートされる群要素ｇｉの値へのマッピングを公開する必要があ」る。このとき，集合内の「匿名クレデンシャル（暗号クレデンシャル）」とこれに対応する「群要素」との間で「マッピング」を行っていることは明らかであるから，引用発明は，「集合内の暗号クレデンシャルと群要素とのマッピングを定義するステップ」を含むものである。
　ここで，上記（エ）に引用した記載内容から，引用発明の群要素ｇi は，
のように定義されているから，「定義済みの群要素」であるといえ，また，上記「マッピング」が，「定義済みの複数の群要素のうちのそれぞれの群要素とのマッピング」であることは自明のことである。
　してみれば，引用発明と本願発明とは，「集合内の暗号クレデンシャルと，定義済みの複数の群要素のうちのそれぞれの群要素とのマッピングを定義するステップ」を含む点で共通している。
（ｂ−２）上記（ｂ−１）で検討したように，引用発明は，「集合内の暗号クレデンシャルと群要素とのマッピングを定義するステップ」を含むものであるから，引用発明の「マッピング」が，「集合内」の「匿名クレデンシャル（クレデンシャル）」と「それぞれの群要素ｇｉ」との「間」で「定義される」ことは自明のことである。
（ｂ−３）上記（ｂ−１）及び（ｂ−２）の検討から，引用発明と本願発明とは，「集合内の暗号クレデンシャルと，定義済みの複数の群要素のうちのそれぞれの群要素とのマッピングを定義するステップであって，前記マッピングが前記集合内のクレデンシャルとそれぞれの群要素ｇｉとの間で定義される，ステップ」を含む点で共通している。
　
（ｃ）
（ｃ−１）引用発明の「ランダム値γ」は，ＡｃｃＧｅｎ（１ｋ，ｎ）によって生成されるものであり，当該「ランダム値γ」は第３者に公開されるものではないから，引用発明の「ランダム値γ」は第３者が知ることができないという意味で，「秘密の値」であるということができる。そうすると，引用発明の「ランダム値γ」が本願発明の「秘密値γ」に相当する。
　また，引用発明の「ｇ」が本願発明の「群ジェネレータｇ」に相当する。
　そして，引用発明では，「ＡｃｃＧｅｎ（１ｋ，ｎ）」が，「ランダム値γ∈Ｚｑをピックし，安全なシグニチャ方式のための鍵のペアｓｋＡ およびｐｋＡ を生成するとともに，
とおき」，また，「ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）」が，「署名鍵ｓｋに基づくｇi｜｜ｉについて，
を出力し」ているところ，引用発明の「ＡｃｃＧｅｎ（１ｋ，ｎ）」や「ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）」が「生成」する「
」や「ｇ１ ，．．．,ｇｎ」が本願発明の「複数の群要素」に相当する。
　また，群要素ｇi は，
で定義されているから，「各群要素」が「秘密値γ」および「群ジェネレータｇ」を「使用」して「生成」されていることは，明らかである。
　してみれば，引用発明と本願発明とは，「秘密値γおよび群ジェネレータｇを使用して複数の群要素を生成するステップ」を含む点で共通している。
（ｃ−２）本願発明の「ｎ」は，集合のサイズを意味するものであるから，引用発明の「サイズｎ」が本願発明の「ｎ」に相当する。
　また，引用発明の「サイズｎ」は，「集合」内の「匿名クレデンシャル（クレデンシャル）」の「定義済み」の「最大数」であることは明らかである。
　また，引用発明の「
」や「ｇ１ ，．．．ｇｎ」が本願発明の「ｉ∈｛１，２，３，．．．，ｎ｝の場合」の「群要素
」に相当するから，引用発明の「群要素」が，「ｉ∈｛１，２，３，．．．，ｎ｝の場合」に「それぞれの要素
を含」むことは明らかである。
　してみれば，引用発明と本願発明とは，「群要素が，ｉ∈｛１，２，３，．．．，ｎ｝の場合にそれぞれの要素
を含み，ここでｎが前記集合内のクレデンシャルの定義済みの最大数である，ステップ」を含む点で共通している。
（ｃ−３）上記（ｃ−１）及び（ｃ−２）の検討から，引用発明と本願発明とは，「秘密値γおよび群ジェネレータｇを使用して複数の群要素を生成するステップであって，前記群要素が，ｉ∈｛１，２，３，．．．，ｎ｝の場合にそれぞれの要素
を含み，ここでｎが前記集合内のクレデンシャルの定義済みの最大数である，ステップ」を含む点で共通している。
（ｄ）
（ｄ−１）
　引用発明の「アキュムレータ」が本願発明の「暗号アキュムレータ」に相当する。
　引用発明のアキュムレータは，
の式で計算されるところ，この式において使用されている群要素ｇｉは，匿名クレデンシャルの集合内の各匿名クレデンシャルと「マッピング」されているものであり，また，上記式からみて，アキュムレータは，匿名クレデンシャルの特定の集合に対して「１つの値」が計算されるものと認められるから，引用発明の「アキュムレータ」は，「匿名クレデンシャル（クレデンシャル）の集合」を「示す」ものということができる。
　また，引用発明では，「アキュムレータ値及び証拠が各エポックの開始時にのみ更新され，エポックの期間を通じて有効なままであるような，エポックを定義する」から，この場合，引用発明の「アキュムレータ値」は，エポックの開始のたびに「定期的」に「生成」されるものである。
　してみれば，引用発明と本願発明とは，「クレデンシャルの集合を示す暗号アキュムレータを定期的に生成するステップ」を含む点で共通している。
（ｄ−２）引用発明において，アキュムレータは，
の式で計算されるところ，この式から，「暗号アキュムレータ」が「群要素ｇｉが集合内の匿名クレデンシャル（クレデンシャル）にマッピングされるｉの値について前記群要素ｇｎ＋１−ｉの積を含む」ものであることは明らかである。
　また，引用発明の「証拠ｗｉｔi 」は，「ｗ」を「含」んでおり，
との式からみて，「ｗ」は，「群要素のそれぞれの異なる部分集合の積」であるから，引用発明の「証拠ｗｉｔi 」が本願発明の「証拠」に相当し，「各証拠が群要素のそれぞれの異なる部分集合の積を含むように」なっているということができる。
　そして，引用発明では，アキュムレータと証拠が例えば「エポックの開始時」に同時に更新されるものであるから，「各証拠が群要素のそれぞれの異なる部分集合の積を含むように」，「アキュムレータを生成」しているものと認められる。
（ｄ−３）上記（ｄ−１）及び（ｄ−２）の検討から，引用発明と本願発明とは，「クレデンシャルの集合を示す暗号アキュムレータを定期的に生成するステップであって，各証拠が群要素のそれぞれの異なる部分集合の積を含むように，前記暗号アキュムレータが前記群要素ｇｉが前記集合内のクレデンシャルにマッピングされるｉの値について前記群要素ｇｎ＋１−ｉの積を含む，ステップ」を含む点で共通している。
（ｅ）引用発明の「暗号アキュムレータ」は，「定期的に公開される」ものであるから，引用発明と本願発明とは，後記する点で相違するものの，「暗号アキュムレータを定期的に公表するステップ」を含む点で共通している。
（ｆ）
（ｆ−１）引用発明の「証拠ｗｉｔi 」が本願発明の「証拠」に相当し，引用発明において，証拠ｗｉｔi に含まれる「ｗ」は，「集合内の各匿名クレデンシャル（クレデンシャル）」毎に計算されるものであるから，引用発明の「証拠ｗｉｔi 」と，本願発明の「集合内の各クレデンシャルに関する証拠」とは，「集合内の各クレデンシャルに関する証拠」の点で共通している。
　引用発明では，「アキュムレータ値及び証拠が各エポックの開始時にのみ更新され」るから，各エポックの開始のたびに，「定期的に」，証拠が生成されるものである。
　してみれば，引用発明と本願発明とは，「集合内の各クレデンシャルに関する証拠を定期的に生成するステップ」を含む点で共通している。
（ｆ−２）ここで，本願発明の
「前記集合内の各クレデンシャルに関する証拠を定期的に生成するステップであって，各証拠に関する前記部分集合が前記集合内の前記クレデンシャルとその証拠が生成された前記クレデンシャルに依存するように，前記群要素が，補助要素
　　【数２】
を含み，
　群要素ｇｉにマッピングされた前記集合内の各クレデンシャルについて，前記証拠が，群要素ｇｊが前記集合内の他のクレデンシャルにマッピングされるｊのすべての値について前記群要素ｇｎ＋１−ｊ＋ｉの積を含む，ステップ」
との事項は，本願明細書の【００６０】〜【００６１】段落の記載に対応しているものと認められるところ，当該段落には，次のとおり記載されている。
「　【００６０】
　図２のステップ２４では、クレデンシャル・ロジック３は、署名鍵ｓｋに基づくｇｉ｜｜ｉについて
【数３６】
およびシグニチャσｉを計算することにより、
アキュムレータ内の各クレデンシャルＣに関する証拠を生成する
　　【００６１】
　したがって、
各クレデンシャルiについて、アキュムレータ証拠ｗは、群要素のそれぞれの異なる部分集合の積として計算される
この部分集合は、有効な集合内のクレデンシャルのｉ値に依存し、各証拠が生成されるクレデンシャルのｉ値にも依存する
群要素ｇ
ｉ
にマッピングされたそれぞれの有効なクレデンシャルについて、証拠は、群要素ｇ
ｉ
が他の有効なクレデンシャルにマッピングされるｊのすべての値について群要素ｇ
ｎ＋１−ｊ＋ｉ
の積を含む
したがって、証拠生成は、前に定義された補助群要素ｇ
ｎ＋２
，．．．，ｇ
２ｎ
を利用する
証拠は、ｗｉｔ
ｉ
＝（ｗ，σ
ｉ
，ｇ
ｉ
）として出力される
　この記載によれば，【００６０】段落には，「アキュムレータ証拠ｗ」の計算式が記載され，【００６１】段落には，「アキュムレータ証拠ｗ」の計算式の説明が記載されているものと認められる。
　一方で，引用発明の「証拠ｗｉｔｉ」に含まれる「ｗ」は以下の式で計算されるものであるところ，この計算式は，上記した本願の「アキュムレータ証拠ｗ」の計算式と同じである。
　そうすると，引用発明の「ｗ」の計算式においても，本願明細書の【００６１】段落に記載された「アキュムレータ証拠ｗ」の計算式の説明が同様に適用できることは明らかであるから，引用発明の「ｗ」の計算式も，「各クレデンシャルiについて、アキュムレータ証拠ｗは、群要素のそれぞれの異なる部分集合の積として計算され」，「この部分集合は、有効な集合内のクレデンシャルのｉ値に依存し、各証拠が生成されるクレデンシャルのｉ値にも依存する（各証拠に関する前記部分集合が前記集合内の前記クレデンシャルとその証拠が生成された前記クレデンシャルに依存する）」ようになっており，「群要素ｇｉにマッピングされたそれぞれの有効なクレデンシャルについて、証拠は、群要素ｇｉが他の有効なクレデンシャルにマッピングされるｊのすべての値について群要素ｇｎ＋１−ｊ＋ｉの積を含み（群要素ｇｉにマッピングされた前記集合内の各クレデンシャルについて，前記証拠が，群要素ｇｊが前記集合内の他のクレデンシャルにマッピングされるｊのすべての値について前記群要素ｇｎ＋１−ｊ＋ｉの積を含み）」，「証拠生成は、前に定義された補助群要素ｇｎ＋２，．．．，ｇ２ｎを利用する（前記群要素が，補助要素
を含む）」ようになっているものと認められる。
　してみれば，引用発明と本願発明とは，「各証拠に関する前記部分集合が前記集合内の前記クレデンシャルとその証拠が生成された前記クレデンシャルに依存するように，前記群要素が，補助要素
を含み，
　群要素ｇｉにマッピングされた前記集合内の各クレデンシャルについて，前記証拠が，群要素ｇｊが前記集合内の他のクレデンシャルにマッピングされるｊのすべての値について前記群要素ｇｎ＋１−ｊ＋ｉの積を含む，ステップと」を含む点で共通している。
（ｆ−３）上記（ｆ−１）及び（ｆ−２）の検討から，引用発明と本願発明とは，「集合内の各クレデンシャルに関する証拠を定期的に生成するステップであって，各証拠に関する部分集合が前記集合内の前記クレデンシャルとその証拠が生成された前記クレデンシャルに依存するように，前記群要素が，補助要素
を含み，
　群要素ｇｉにマッピングされた集合内の各クレデンシャルについて，証拠が，群要素ｇｊが前記集合内の他のクレデンシャルにマッピングされるｊのすべての値について前記群要素ｇｎ＋１−ｊ＋ｉの積を含む，ステップ」を含む点で共通している。
（ｇ）上記（ｆ−１）に記載したように，引用発明の「証拠ｗｉｔi 」は，本願発明の「集合内の各クレデンシャルに関する証拠」に相当するものである。
　引用発明では，「証拠は，ユーザーのために，発行者，または何らかの第３者によって最新にしておくことができ，ユーザーは，必要な時にいつでも，現在の有効な証拠を取得することができ」るものであるから，引用発明において，「各証拠」が「公表」されていることは明らかである。
　してみれば，引用発明と本願発明とは，後記する点で相違するものの，「集合内の各クレデンシャルに関する証拠を公表するステップ」を含む点で共通している。
　そうすると，本願発明と引用発明とは，
「暗号クレデンシャルの動的集合を管理するための方法であって，
　前記集合内の暗号クレデンシャルと，定義済みの複数の群要素のうちのそれぞれの群要素とのマッピングを定義するステップであって，前記マッピングが前記集合内のクレデンシャルとそれぞれの群要素ｇｉとの間で定義される，ステップと，
　秘密値γおよび群ジェネレータｇを使用して前記複数の群要素を生成するステップであって，前記群要素が，ｉ∈｛１，２，３，．．．，ｎ｝の場合にそれぞれの要素
を含み，ここでｎが前記集合内のクレデンシャルの定義済みの最大数である，ステップと，
　クレデンシャルの前記集合を示す暗号アキュムレータを定期的に生成するステップであって，各証拠が群要素のそれぞれの異なる部分集合の積を含むように，前記暗号アキュムレータが前記群要素ｇｉが前記集合内のクレデンシャルにマッピングされるｉの値について前記群要素ｇｎ＋１−ｉの積を含む，ステップと，
　前記暗号アキュムレータを定期的に公表するステップと，
　前記集合内の各クレデンシャルに関する証拠を定期的に生成するステップであって，各証拠に関する前記部分集合が前記集合内の前記クレデンシャルとその証拠が生成された前記クレデンシャルに依存するように，前記群要素が，補助要素
を含み，
　群要素ｇｉにマッピングされた前記集合内の各クレデンシャルについて，前記証拠が，群要素ｇｊが前記集合内の他のクレデンシャルにマッピングされるｊのすべての値について前記群要素ｇｎ＋１−ｊ＋ｉの積を含む，ステップと，
　前記集合内のクレデンシャルに関する前記証拠を公表するステップ
を含む，方法。」
の点で一致し，以下の点で相違する。
　
［相違点１］
　本願発明は，「データ処理システム（１）」を前提とし，「データ処理システム（１）内で」暗号クレデンシャルを管理し，「データ処理システム（１）内の」暗号アキュムレータを公表し，「データ処理システム（１）内の」証拠を公表しているのに対して，引用発明は，本願発明のような「データ処理システム」の構成は明確に特定されていない点。
［相違点２］
　本願発明は，証拠を「定期的に」公表しているのに対して，引用発明は，そのことが明確に特定されていない点。
［相違点３］
　本願発明は，「生成された各クレデンシャルをデータ処理システム（１）のユーザ・コンピュータ（６）に伝送するステップ」を有しているのに対して，引用発明はそのようになっていない点。
５．判断  
　上記各相違点について検討する。
　
［相違点１］について
　引用発明には，ＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙの各アルゴリズムを用いる主体として，「アキュムレータ機関」，「信頼できない更新エンティティ」，「ユーザ」，および「検証者」が特定されている。
　そして，引用発明において，上記各アルゴリズムを用いたデータの処理がコンピュータで実行されることを前提としていることは，上記（エ）の「最後に，すべてのユーザーのために証拠を更新することは，十分に現在の技術の範囲内である。実際，すべての証拠は，メインメモリに保持され，更新はかなり迅速に実行される。」との記載からみても明らかである。
　してみれば，引用発明において，各主体におけるＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙの各アルゴリズムの処理をコンピュータに実行させるようにし，全体としてデータ処理システムの構成とすることにより，「データ処理システム（１）内で」暗号クレデンシャルを管理し，「データ処理システム（１）内の」暗号アキュムレータを公表し，「データ処理システム（１）内の」証拠を公表するように構成することは，当業者が容易に想到し得たことである。
［相違点２］について
　引用発明では，各エポックの開始時に証拠を定期的に生成しており，「ユーザーは，必要な時にいつでも，現在の有効な証拠を取得することができ」るようになっているものであるから，そのようにするために，定期的に生成された証拠を「定期的に」公表するように構成することは，当業者が容易に想到し得たことである。
［相違点３］について
　匿名のクレデンシャルシステムにおいて，クレデンシャルを生成してユーザに送信することは周知技術である。
　例えば，「Jan Camenisch，Els Van Herreweghen，Design and implementation of the idemix anonymous credential system，Proceeding CCS '02 Proceedings of the 9th ACM conference on Computer and communications security，November 18,2002，Pages 21-30」には，「Thus, a user U can obtain a credential C from an (issuing) organization OI ; and then show the credential C to another (verifying) organization OV.・・・Obtaining a credential from OI and showing it to OV works as follows (cf. Figure 1). First, U contacts OI and establishes a pseudonym N with OI . If N is eligible to get a credential with an attribute attr, OI produces a credential C by signing a statement containing attr and N and sends C to U.」（第２２頁２２〜４７行）（当審仮訳：このように，ユーザUが（発行）機関OIからクレデンシャルCを取得することができる。その後，別の（検証）機関OVにクレデンシャルCを提示する。・・・OIからクレデンシャルを取得し，OVにそれを示すことは，次のように動作する。最初に，Uが OI と連絡を取って，OI との間で仮名Nを確立する。もしNが属性 attr でクレデンシャルを受けとる資格があれば，OIはATTRとNを含む文に署名することによってクレデンシャルCを生成し，UにCを送信する。）
と記載されている。
　また，引用発明は，各アルゴリズムを用いたデータの処理をコンピュータで実行させることを前提としていることから，ユーザが，「ユーザ・コンピュータ」を有していることは自明のことである。
　してみれば，引用発明を暗号クレデンシャルを用いた認証システム適用した際に，クレデンシャルの発行機関が，「生成された各クレデンシャル」を「データ処理システム（１）のユーザ・コンピュータ（６）に伝送する」ように構成することは，当業者が容易に想到し得たことである。
　
　そして，本願発明の作用効果も，引用発明，引用例１の記載事項及び周知技術から当業者が予測できる範囲のものである。
　
　したがって，本願発明は，引用発明，引用例１の記載事項及び周知技術に基づいて当業者が容易に発明をすることができたものである。
　
６．むすび
　以上のとおり，本願発明は，引用発明，引用例１の記載事項及び周知技術に基づいて，当業者が容易に発明をすることができたものであるから，特許法第２９条第２項の規定により特許を受けることができない。
　したがって，本願は他の請求項について検討するまでもなく拒絶されるべきものである。
　よって，結論のとおり審決する。