【事件の表示】
　特願２０１１−５０８０４１「指数難読化」拒絶査定不服審判事件〔平成２１年１１月１２日国際公開、ＷＯ２００９／１３６３６１、平成２３年　７月１４日国内公表、特表２０１１−５２０１５０〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
第１　手続の経緯
　本件請求に係る出願（以下「本願」という。）は，２００８年５月７日（以下「優先日」という。）の欧州特許庁における出願を基礎とするパリ条約による優先権主張を伴った，２００９年５月５日を国際出願日とする出願であって，その手続の経緯の概略は以下のとおりである。
　　平成２２年１１月　８日　　　：国内書面の提出
　　平成２２年１１月３０日　　　：国際出願翻訳文提出書の提出
　　平成２４年　５月　２日　　　：出願審査請求書の提出
　　平成２５年　７月３１日付け　：拒絶理由の通知
　　平成２６年　２月１３日　　　：意見書，手続補正書の提出
　　平成２６年　３月２７日付け　：拒絶査定（同年４月７日謄本送達）
　　平成２６年　８月　７日　　　：審判請求書，手続補正書の提出
　　平成２６年　９月１６日　　　：手続補正書の提出（理由補充）
　　平成２６年１１月２８日　　　：前置報告
　　平成２７年　７月１５日付け　：拒絶理由の通知（当審）
　　平成２７年１０月１６日　　　：意見書，手続補正書の提出
　　平成２７年１１月１７日付け　：拒絶理由の通知（当審）
　　平成２８年　２月２２日　　　：意見書の提出
第２　本願発明
　本願の請求項１乃至請求項５に係る発明は，平成２７年１０月１６日付けの手続補正により補正された特許請求の範囲に記載された，次に引用の記載内容により特定されるものである。
「　【請求項１】
　デバイスでの暗号化処理における利用のために前記デバイスに鍵値aを提供する方法であって，
　第１の決定手段を用いて，λ  0と，a  λ，と，暗号化処理においてべき乗の底値として使用される，乗法群からの，複数の要素xについてxλ = 1と，をみたす値λを決定するステップと，
　第２の決定手段を用いて，ビットストリングsを決定するステップと，
　第３の決定手段を用いて，λより大きく，正の整数bについてy = a + bλをみたす難読化された指数yを決定するステップであって，前記難読化された指数yのビット表現が前記ビットストリングsを具備するものである，ステップと，
　提供手段を用いて，前記暗号化処理での使用のための前記難読化された指数yを示す情報を提供し，これによって前記鍵値aを攻撃者から隠蔽するステップと，
を具備する方法。
　　【請求項２】
　前記難読化された指数yを示す情報が前記ビットストリングsを省略する，請求項１に記載の方法。
　　【請求項３】
　前記ビットストリングsが
（ａ）前記暗号化処理を行うためのデバイスの識別子
（ｂ）前記暗号化処理を行うためのデバイスのユーザのパスワード
（ｃ）前記暗号化処理を行うためのデバイスのユーザのユーザ名
のいずれかを表すものである，請求項１または２に記載の方法。
　　【請求項４】
　前記暗号化処理で用いられる前記複数の要素が，前記乗法群のすべての要素である，請求項１〜３のいずれか１に記載の方法。
　　【請求項５】
　請求項１〜４のいずれか１に記載の方法を実行するよう構成されたシステム。」
第３　当審の拒絶理由
　当審における平成２７年１１月１７日付けの拒絶理由（以下，「当審拒絶理由」という。）の内容は次のとおりである。
『１．（明確性要件）この出願は，特許請求の範囲の記載が下記の点で，特許法第３６条第６項第２号に規定する要件を満たしていない。
・・・（中略）・・・
＜本願の発明特定事項の解釈について＞
　請求人は，平成２７年１０月１６日付け意見書Ｅ．において，以下のとおり主張する。
（ア）「λを決定する具体的な方法にまで請求項１を限定する必要はないものと思量する。」，「選択される実際の方法は重要ではない。」
（イ）「ビットストリングsを決定する具体的な方法にまで請求項１を限定する必要はないものと思量する。」，「ビットストリングsを決定する方法は，ビットストリングが実際に何を表しているかによる。しかし，これは本発明にとって重要ではない。」
（ウ）「難読化された指数yを決定する具体的な方法にまで請求項１を限定する必要はないものと思量する。」，「しかし，用いられる実際の方法は重要ではない。」
　したがって，λ，ｓ，ｙの決定方法は，明細書の記載を参酌することで限定的に解釈されるものではなく，請求項１の記載の字句どおりのものとして解釈するものとする。
●理由１（明確性要件）について
・請求項１〜５
　請求項１に記載の「第３の決定手段を用いて，λより大きく，正の整数bについてy = a + bλをみたす難読化された指数yを決定するステップであって，前記難読化された指数yのビット表現が前記ビットストリングsを具備するものである，ステップ」について，
　前記「第３の決定手段」が「難読化された指数yを決定する」際に，どのようにすれば「y = a + bλをみたす」及び「前記難読化された指数yのビット表現が前記ビットストリングsを具備する」の２つ条件を満たすようにｙを決定できるのか，決定処理の具体的内容が特定されておらず，不明瞭である。
　また，本願明細書を参酌しても，請求人が意見書で主張するように本願明細書に記載の手順は一例にすぎず，本願明細書の記載からは「第３の決定手段」なる事項の具体的な技術的範囲を特定できない。
　また，鍵値aが難読化された指数yを，さらに，その「ビット表現が前記ビットストリングsを具備する」ようにする点は，補正後の請求項１に係る発明が実現すべき効果そのものであって，該効果がどのような手段により実現されるのか（つまり，課題を解決するための手段）については「第３の決定手段」と記載されるのみで特定されていない。
　したがって，請求項１は，特許を受けようとする発明の範囲が不明確である。請求項１を引用する請求項２〜５についても同様である。』
第４　請求人の主張
　請求人は，平成２８年２月２２日付け意見書の「Ｃ．理由１（明確性要件）について」において，以下のとおり主張している。
『審判官殿は，請求項１に記載の「第３の決定手段を用いて，λより大きく，正の整数bについてy = a + bλをみたす難読化された指数yを決定するステップであって，前記難読化された指数yのビット表現が前記ビットストリングsを具備するものである，ステップ」について，不明瞭であると認定された。
　前回の意見書でも述べたように，どのようにしてyの値が決定されるかは重要ではない。実際の方法は，本発明にとって重要ではない。このステップは，非常に多くの方法によって実行され得る。審判請求人が特定の方法を指定すると，審判請求人に与えられる権利の保護範囲を過度に限定することになる。
さらに，審判官殿は，どのようにしてこのステップが実行されるかについて，本願明細書の段落［０１０８］〜［０１１５］の記載を検討された。
（１）鍵値をa=3（２進数[11]）とする。
（２）用いられる乗法群を5を法とするG={1,2,3,4}とする。
（３）xλ=1 for all x in G, λ0 and aλなのでλ=4とする。
（４）ビットストリングsをs=4（２進数[100]）とする。
（５）値rをr=1とする。これはS=8（２進数[1000]）であることを意味する。
（６）値bは，従って，b=roundup((S-a)/λ)=2となる。
（７）難読化された指数は，y=a+bλ=11（２進数[1011]）となる。
　そして，審判官殿は，難読化された指数yのビット表現がビットストリングsを具備していないので，本願明細書中のこの例は，要求される方法と合っていないと認定された。
　しかしながら，審判官殿は，（本願明細書の段落［００８２］に記載されている）値rの定義を見落としている。具体的には，rは，r=roundup(log2Ω)または上記の例ではr=roundup(log2λ)と定義される。従って，上記の例の（５）は誤りであり，r=roundup(log2λ)=roundup(log24)=2となる。これはS=16（２進数[10000]）であることを意味し，値bは，b=roundup((S-a)/λ)=4となる。従って，難読化された指数は，y=a+bλ=19（２進数[10011]）となる。このビット表現はビットストリングsを具備している。』
第５　当審の判断
１．３６条６項２号について
（１）特許請求の範囲の記載に基づく判断
　請求項１に記載の「第３の決定手段を用いて，λより大きく，正の整数bについてy = a + bλをみたす難読化された指数yを決定するステップであって，前記難読化された指数yのビット表現が前記ビットストリングsを具備するものである，ステップ」について，
　前記「第３の決定手段」は「難読化された指数yを決定する」際に「y = a + bλをみたす」及び「前記難読化された指数yのビット表現が前記ビットストリングsを具備する」の２つ条件を満たすようにｙを決定するものであるところ，
　どのようにすれば，これらの２条件を満たしたyを決定できるのか，決定処理の具体的内容が，何ら特定されておらず，不明瞭である。
　特に，鍵値aが難読化された指数yを，その「ビット表現が前記ビットストリングsを具備する」ようにする点は，本願請求項１に係る発明が実現すべき効果そのものであって，該効果がどのような手段により実現されるのか（つまり，課題を解決するための手段）については「第３の決定手段」と記載されるのみで，特定されていない。
　したがって，請求項１の記載からは，本願請求項１に係る発明は，不明確である。
（２）本願明細書の発明の詳細な説明の記載の参酌について
　本願明細書には，以下のとおり記載されている。
Ａ．「ここに，【数１６】
である。」（段落【００８１】〜【００８３】）
Ｂ．「RSA公開鍵暗号は，鍵生成，暗号化，及び復号のため，いくつかのプロセスを定義する。これらプロセスは以下のようにまとめられる。
　鍵生成は以下のステップを具備してもよい。
１．２つの大きなランダム（かつ，互いに異なる）素数p及びq（それぞれが概ね同じサイズ）を生成する。
　２．n=p・qを計算する。
　３．Φ=(p-1)(q-1)を計算する。
　４．gcd(e,Φ)=1となるように，ランダム整数e（1eΦ）を選択する。この記述で，gc
dは最大公約数を意味する。
　５．e・d=1 mod Φとなるように，固有の整数d（1dΦ）を計算する。
　６．公開鍵が(n,e)によって与えられる。
　７．秘密鍵がdによって与えられる。」（段落【００９２】〜【００９３】）
Ｃ．「上記したステップ３のΦの定義を所与とする（【数２０】
０≦ｘ＜ｎ
　についてxΦ=1 mod n）。」（段落【００９６】〜【００９８】）
Ｄ．「Ω=Φを使用して，指数dを，任意サイズK1024のストリングに隠蔽してもよい。」（段落【００９８】）
Ｅ．「【数２１】
をa1=d+bΩとして書くことができる。単純化のため，y=a1と定義する。」（段落【０１００】〜【０１０１】）
Ｆ．「仮に，sが，我々が包含することを所望するlビットのビットストリングに関連付けられた数であるとする。」（段落【０１１０】）
Ｇ．「値Sは，sの最下位側にrゼロビットを加えることにより，Kビット値にそれを拡張することによってsから得られる」（段落【０１１１】）
Ｈ．「【数２５】
を定義する。」（段落【０１１２】〜【０１１３】）
　ここで，「ａ１」は請求項１に係る発明の「ｙ」に相当し，秘密鍵「ｄ」は請求項１に係る発明の「ａ」に相当し，「Ω」及び「Φ」は請求項１に係る発明の「λ」に相当する。
　また，請求項１に係る発明の「λ」の計算方法は，上記Ｂ．の２．〜３．であるが，請求項１に記載された定義は，上記Ｃ．であり，請求項１に係る発明の「ｙ」の計算方法は，上記Ｅ．であり，式中のＳは上記Ｇ．で得られ，式中のｂは上記Ｈ．で定義される。
　本願明細書には，このような変数の定義が分散して記載されるものの，計算する手順（アルゴリズム）としては明示されていない。
　当業者であれば，上記のような変数の定義を抽出し，総合的に組み合わせることで，手順を把握できるとしても，請求項１の記載で特定されない前提条件まで含めて，明細書のどの範囲までを，請求項１に記載の，「決定」処理が特定するのか明確に把握できない。
　また，明細書の記載を総合的に組み合わせて把握した手順以外に，さらに，どのような範囲の手順であれば，上記２条件を達成できるのかも記載されていない。
　例えば，上記で引用した記載を，データの依存関係によって並び替えて，
　Ｂ．（RSA公開鍵暗号系のランダム素数ｐ，ｑから，λを決定，
　　　ランダム整数e及び前記λから，鍵ａを決定）
→Ａ．（前記λから，ｒを決定）
→Ｆ．（所望のｓを決定）
→Ｇ．（前記ｓの最下位側に前記ｒ個のゼロビットを加えて，Ｓを決定）
→Ｈ．（前記Ｓ，前記鍵ａ，前記λから，ｂを決定）
→Ｅ．（前記鍵ａ，前記ｂ，前記λから，ｙを決定）
　とｙの決定方法の１つを認定したとしても，そこからさらに，請求項１に係る発明の範囲に含まれる，ＲＳＡ公開鍵暗号以外の任意の任意暗号方式での決定方式や，ストリングｓを下位ビット側に埋め込む場合の決定方式や，その実現可否までは，把握できない。
　してみれば，請求人の主張に関わらず，明細書の発明の詳細な説明の記載を参酌しても，請求項１に記載の「決定」処理は不明瞭である。
（３）技術常識の参酌について
　なお，仮に，請求項１に記載の「決定」処理について，出力データが特定されていれば，その決定方法（計算方法）も特定できるような技術常識があれば，格別具体的な限定がなくても，前記「決定」処理は明確といえる。
　ここで，本願優先日前に頒布され，平成２５年７月３１日付け拒絶理由乃至上記当審拒絶理由において引用された，Thomas S. Messerges, et al., Power Analysis Attacks of Modular Exponentiation in Smartcards, Lecture Notes in Computer Science, 1999年, Vol.1717, p.148-149,155（以下，「引用文献１」という。）には，以下の技術的事項が記載されている。 （当審注：下線は，参考のために当審で付与したものである。変数の上の「^」は，変数の横「^」で表現した） 
「6 Countermeasures
・・・（中略）・・・
 Message blinding would prevent the MESD and ZESD attacks, but since the same exponent is being used, the SEMD attack would still be effective. To prevent the SEMD attack, exponent blinding, also described in [3], would be necessary.
 In an RSA cryptosystem, the exponent can be blinded by adding a random multiple
1. Blind the message M: M^=(Vi  M)mod N
2. Blind the exponent e:e
^
=e+rΦ(N)
3. exponentiate:S^=(M^e^)mod N
4. unblind the result:S=(Vf  S^ mod N」(155頁)
（当審訳：「６　対策
・・・（中略）・・・
　メッセージブラインディングは，MESDとZESD攻撃を防ぐだろう。しかし同じ指数が使われているから，SEMD 攻撃は，まだ効果的でしょう。SEMD攻撃を防ぐために，同じく［３］で記述された指数ブラインディングは必要であろう。
RSA暗号システムで，指数はランダムな倍数を加えることによってブラインドされることができる。
　概略すれば，累乗法処理は次のように行われるだろう：
1. メッセージMをブラインドする :M^=(Vi　M)mod N
2. 指数eをブラインドする　　　 :e
^
=e+rΦ(N)
3. 累乗する　　　　　　　　　　:S^=(M^e^)mod N
4. 結果をアンブラインドする　　:S=(Vf  S^)mod N」）
　上記記載からすると，引用文献１には，「RSA暗号システムで，メッセージMの累乗処理に用いる指数eを，e+rΦ(N)として，ブラインドする方法」が記載され，引用文献１記載の方法の「e」，「r」，「Φ」は，それぞれ，本願請求項１に係る発明の「a」，「ｂ」，「λ」に相当する。
　仮に前記方法が本願の優先日前に技術常識であったとすれば，「第３の決定手段」が「難読化された指数yを決定する」際に，「ｂ」を乱数で決定し，次に，数式「y = a + bλ」により，ｙを算出できることは当業者にとって明瞭である。
　しかるに，例えそうだとしても，さらに「前記難読化された指数yのビット表現が前記ビットストリングsを具備する」条件についてまで，ビットストリングsを埋め込む方法までが技術常識であるとはいえない。
　もし仮に，「前記難読化された指数yのビット表現が前記ビットストリングsを具備する」条件を満たす計算方法までが技術常識であるとすれば，引用文献１記載の方法と本願請求項１に係る発明の構成上の実質的な差異は明瞭でない。
　換言すれば，本願請求項１に係る発明が特許法第２９条第２項の規定を満たすのであれば，「前記難読化された指数yのビット表現が前記ビットストリングsを具備する」条件を満たす「難読化された指数yを決定する」方法は技術常識とはいえない。
　そうすると，本願優先日の技術常識に照らしても，請求項１に記載の「第３の決定手段を用いて，λより大きく，正の整数bについてy = a + bλをみたす難読化された指数yを決定するステップであって，前記難読化された指数yのビット表現が前記ビットストリングsを具備するものである，ステップ」が，明確であったとはいえない。
２．請求人の主張についての検討
（１）請求人の主張を踏まえた，本願請求項１に記載の用語の解釈
　請求人は，平成２７年１０月１６日付け意見書において「難読化された指数yを決定する具体的な方法にまで請求項１を限定する必要はないものと思量する。」，「しかし，用いられる実際の方法は重要ではない。」と主張し，
　当審は，該主張を踏まえ，λの決定方法は，「明細書の記載を参酌することで限定的に解釈されるものではなく，請求項１の記載の字句どおりのものとして解釈するものとする」として，上記当審拒絶理由を通知し，
　請求人は，再度，平成２８年２月２２日付け意見書において「前回の意見書でも述べたように，どのようにしてyの値が決定されるかは重要ではない。実際の方法は，本発明にとって重要ではない。このステップは，非常に多くの方法によって実行され得る。審判請求人が特定の方法を指定すると，審判請求人に与えられる権利の保護範囲を過度に限定することになる。」と主張したものである。
　したがって，本願請求項１に記載の「第３の決定手段を用いて，λより大きく，正の整数bについてy = a + bλをみたす難読化された指数yを決定するステップであって，前記難読化された指数yのビット表現が前記ビットストリングsを具備するものである，ステップ」の解釈において，
　その発明特定事項は，「どのようにしてyの値が決定されるか重要ではない」ものであり，yを決定する構成を限定的に解釈することは，請求人により意識的に除外されているものであるから，明細書の記載を参酌することで限定的に解釈されるものではなく，請求項１の記載の字句どおりのものとして解釈されるべきものであると認める。
（２）請求人の主張を踏まえた，「決定」処理の明確性について
　上記で検討したとおり，請求項１に記載の「第３の決定手段を用いて，λより大きく，正の整数bについてy = a + bλをみたす難読化された指数yを決定するステップであって，前記難読化された指数yのビット表現が前記ビットストリングsを具備するものである，ステップ」について，
　前記「第３の決定手段」が「難読化された指数yを決定する」際に，どのようにすれば「y = a + bλをみたす」及び「前記難読化された指数yのビット表現が前記ビットストリングsを具備する」の２つの条件を満たすようにｙを決定するための，決定処理の具体的内容が特定されていないことを，請求人自身が自認しているといえるものである。
　また，請求人は，平成２８年２月２２日付け意見書において「このステップは，非常に多くの方法によって実行され得る。」と主張するが，「非常に多くの方法」がどのようなものであるのか，何ら具体的に説示していない。
　また，決定処理の対象である「難読化された指数y」なるデータを「ビット表現が前記ビットストリングsを具備する」ように限定する点は，請求項１に係る発明が「実現すべき効果」そのものであって，該効果がどのような手段により実現されるのか（つまり，課題を解決するための手段）については「第３の決定手段」と記載されるのみで何ら特定されていない。
　例えば，本願明細書の段落【０１１１】には，「値Sは，sの最下位側にrゼロビットを加えることにより，Kビット値にそれを拡張することによってsから得られる（即ち，これらrゼロビットは，Sの最下位ビットとなる）。xΩに対する値S+xのバイナリ表現が，sについてのバイナリストリングで開始してもよいことに注意しなければならない（即ち，我々が包含することを所望するバイナリストリング）。」と記載され，「難読化された指数yのビット表現」の上位側に「ビットストリングs」が具備される態様のみが開示されるところ，本願請求項１の記載では「難読化された指数yのビット表現」が「ビットストリングs」が具備する態様は格別特定されておらず，請求人の主張する「非常に多くの方法」に「難読化された指数yのビット表現」の下位側に「ビットストリングs」が具備されるような方法までが，包含されるのか特定できない。
　してみれば，請求項１に記載の，決定処理を実行する「第３の決定手段」とは，出力データの満たすべき数学的性質のみが定義され，ハードウェア資源と協働してどのように実現されるかも，その数学的アルゴリズムの種類すらも何ら特定されていないブラックボックスである事項であり，当該技術分野の技術常識を参酌しても，このようなブラックボックスである事項の技術的範囲は，不明瞭というほかない。
（３）請求人の主張における，本願発明の前提条件
　請求人は，平成２８年２月２２日付け意見書において「前回の意見書でも述べたように，どのようにしてyの値が決定されるかは重要ではない。実際の方法は，本発明にとって重要ではない。」と主張している。
　他方，請求人は，同意見書において「しかしながら，審判官殿は，（本願明細書の段落［００８２］に記載されている）値rの定義を見落としている。具体的には，rは，r=roundup(log2Ω)または上記の例ではr=roundup(log2λ)と定義される。」と主張している。
　後者の主張からすると，請求項１に記載の，決定処理を実行する「第３の決定手段」の実現方法の１つにおいて，請求項１において特定されていない変数「ｒ」をroundup(log2λ)で算出することが「前提」であることが読み取れ，このような本願発明の動作に必須の条件は「重要」な事項であるといえる。
　そうすると後者の主張は，前者の「どのようにしてyの値が決定されるかは重要ではない」との主張と矛盾する。
　また，請求項１の記載では，そのような動作の前提条件については何ら特定していない。
　従って，請求人の主張は，矛盾している，又は，請求項１の記載に基づくものではないため，失当である。
（４）請求人の主張を踏まえた，明細書の発明の詳細な説明の記載の参酌
　通常このような「特許請求の範囲の記載の技術的意義が一義的に明確に理解することができない」ような特段の事情がある場合は，明細書の発明の詳細な説明の記載を参酌して解釈することが許されるところ，請求人は「どのようにしてyの値が決定されるかは重要ではない。実際の方法は，本発明にとって重要ではない。」と主張しており，明細書の発明の詳細な説明を参酌しても，それによって発明特定事項は特定されないため，請求項１に記載の決定処理は依然として不明瞭である。
３．請求項２〜５について
　また，請求項２〜５に係る発明は，上記１．及び２．で指摘した，明確でない構成を内包し，かつ，本願の請求項２〜請求項５に記載された内容を加味しても，上記１．及び２．で指摘の，本願の請求項１に係る発明における，明確でない構成が，明確になるものではない。
４．小括
　よって，本願の請求項１〜５に係る発明は，平成２８年２月２２日付け意見書の請求人の主張を考慮しても，特許を受けようとする発明の範囲が不明確である。
第６　むすび
　したがって，本願の請求項１〜５に係る発明は，特許法第３６条第６項第２号の規定により特許を受けることができないものであるから，本願は拒絶すべきものである。 
　よって，結論のとおり審決する。