【事件の表示】
　特願２０１１−５４７０４０「データ処理システム内でデータ項目の集合を示す暗号アキュムレータを提供するための方法、装置、コンピュータ・プログラム、およびデータ処理システム（データ処理システム内のデータ項目の検証）」拒絶査定不服審判事件〔平成２２年　８月　５日国際公開、ＷＯ２０１０／０８６８０３、平成２４年　７月１９日国内公表、特表２０１２−５１６６０４〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
１．手続の経緯
　本願は，２０１０年１月２７日（パリ条約による優先権主張外国庁受理２００９年１月３１日，欧州特許庁）を国際出願日とする出願であって，平成２５年８月２９日付けの拒絶理由通知に対して同年１１月２２日付けで意見書が提出されると共に手続補正がなされたが，平成２６年３月２７日付けで拒絶査定（同年４月１日謄本送達）がなされ，これに対して同年７月２８日に拒絶査定不服審判の請求がなされるとともに手続補正がなされたものである。
　
２．本願発明
　平成２６年７月２８日付けの手続補正（以下，「本件補正」という。）により補正された補正後の請求項１は，補正前の請求項１，２及び４〜７の内容を含むものと認められるところ，この内容は，補正前の請求項７のうち，特に，「請求項１を引用する請求項２を引用する請求項４を引用する請求項５を引用する請求項６を引用する請求項７」の内容に対応するものである。
　また，補正後の請求項２は，補正前の請求項８に対応するものである。
　そうすると，本件補正は，補正前の請求項７を補正後の請求項１とし，補正前の請求項８を補正後の請求項２とし，その余の請求項（請求項１〜６及び請求項９〜１１）を削除するものであるから，特許法第１７条の２第５項第１号に掲げられた「請求項の削除」を目的とするものに該当し，適法になされたものである。
　したがって，本願の請求項１に係る発明（以下「本願発明」という。）は，平成２６年７月２８日付けの手続補正書の特許請求の範囲の請求項１に記載された事項により特定される次のとおりのものである。
　
「データ処理システム（１）内でデータ項目の集合を示す暗号アキュムレータを提供するための方法であって，
　複数の群要素を生成するステップであって，秘密値γおよび群ジェネレータｇを使用して各群要素を生成するステップと，
　前記群要素が，ｉ∈｛１，２，３，．．．，ｎ｝の場合にそれぞれの要素
　　【数１】
を含み，ここでｎが前記集合内のデータ項目の定義済みの最大数である，ステップと，
　前記集合内のデータ項目とそれぞれの群要素とのマッピングを定義するステップであって，前記マッピングが前記集合内のデータ項目とそれぞれの群要素ｇｉとの間で定義される，ステップと，
　　前記集合内の前記データ項目にマッピングされた前記群要素に関するそれぞれの群要素の積を含む暗号アキュムレータを定期的に生成するステップと，
　前記データ処理システム（１）内の前記暗号アキュムレータを定期的に公表するステップと，
を含み，さらに，
　前記暗号アキュムレータが，前記群要素ｇｉが前記集合内のデータ項目にマッピングされるｉの値について前記群要素ｇｎ＋１−ｉの積を含む，ステップと，
前記集合内の各データ項目に関する証拠を生成するステップを含み，各証拠が前記群要素のそれぞれの異なる部分集合の積を含み，各証拠に関する前記部分集合が前記集合内の前記データ項目とその証拠が生成された前記データ項目に依存するように，前記群要素が，補助要素
　　【数２】
を含み，
　群要素ｇｉにマッピングされた前記集合内の各データ項目について，前記証拠が，群要素ｇｊが前記集合内の他のデータ項目にマッピングされるｊのすべての値について前記群要素ｇｎ＋１−ｊ＋ｉの積を含む，ステップと，
　データ項目の前記現在の集合に関する前記証拠を定期的に生成するステップと，
　前記データ処理システム（１）内で各証拠を公表するステップ
を含む，方法。」
３．引用例
（１）引用例１
　原査定の拒絶の理由に引用された，「J. Camenisch et al.，“An Accumulator Based on Bilinear Maps and Efficient Revocation for Anonymous Credentials”，[online]，Cryptology ePrint Archive，International Association for Cryptologic Research (IACR)，2008年12月，Report 2008/539，[2013年8月28日検索］，インターネット，＜URL：http://eprint.iacr.org/2008/539.pdf＞」（以下，「引用例１」という。）には，以下の事項が記載されている。
　
（ア）「Abstract. The success of electronic authentication systems, be it eID card systems or Internet authentication systems such as CardSpace, highly depends on the provided level of user-privacy. Thereby, an important requirement is an efficient means for revocation of the authentication credentials. In this paper we consider the problem of revocation for certificate-based privacy-protecting authentication systems. To date, the most efficient solutions for revocation for such systems are based on cryptographic accumulators. Here, an accumulate of all currently valid certificates is published regularly and each user holds a witness enabling her to prove the validity of her (anonymous) credential while retaining anonymity. Unfortunately, the users' witnesses must be updated at least each time a credential is revoked. For the know solutions, these updates are computationally very expensive for users and/or certificate issuers which is very problematic as revocation is a frequent event as practice shows.
In this paper, we propose a new dynamic accumulator scheme based on bilinear maps and show how to apply it to the problem of revocation of anonymous credentials. In the resulting scheme, proving a credential's validity and updating witnesses both come at (virtually) no cost for credential owners and verifiers. In particular, updating a witness requires the issuer to do only one multiplication per addition or revocation of a credential and can also be delegated to untrusted entities from which a user could just retrieve the updated witness. We believe that thereby we provide the first authentication system offering privacy protection suitable for implementation with electronic tokens such as eID cards or drivers' licenses.」（第１頁７行〜３２行）
（当審仮訳：要約。eIDカードシステムあるいはCardSpaceのようなインターネット認証システムといった電子認証システムの成功は，ユーザープライバシーの提供レベルに大きく依存する。それにより，重要な要求は，認証クレデンシャルの取消しのための効率的な手段である。我々は本稿において，証明書ベースのプライバシー保護認証システムに関する取消しの問題を検討する。現在まで，このようなシステムにおける取消しのための最も効率的な解決策は，暗号アキュムレータに基づいている。ここでは，現在有効な全ての証明書のアキュムレートが定期的に公開され，各ユーザーは，匿名性を保持しながら，彼女の（匿名）クレデンシャルの正当性を証明することができる証拠を保持している。残念なことに，ユーザーの証拠は，少なくともクレデンシャルが取り消されるそのたびに，更新される必要がある。既知の解決策では，これらの更新は，ユーザーおよび／または証明書発行者にとって計算上非常に高価であり，また，プラクティスが示すように，取消しは頻繁に起こるイベントであるため，これは非常に問題である。
　本稿では，双線形マップに基づく新しい動的アキュムレータ方式を提案し，それを匿名クレデンシャルの取消しの問題に適用する方法を示す。得られた方式では，クレデンシャルの有効性の証明及び証拠の更新は共に，クレデンシャルの所有者及び検証者に対して，（事実上）コストを発生しない。特に，証拠の更新は，クレデンシャルの付加あるいは取消し毎に発行者がただ一度だけ乗算することを要求し，ユーザーがそこから更新された証拠をただ取得することだけができるような信頼できないエンティティーに委任されることもできる。我々はそれによって，我々が，eIDカードあるいは運転免許証のような電子トークンを用いて実施するのに適した，プライバシー保護を提供する最初の認証システムを提供すると信じている。）
（イ）「3 A Pairing Based Dynamic Accumulator with Efficient Updates
We define and build a dynamic accumulator with efficient updates and assess its security. With efficient updates we mean that witnesses can be updated by any party without knowledge of any secret key and require only multiplications (no exponentiations) linear in the number of changes to the accumulator. Our construction is based on the broadcast encryption scheme by Boneh, Gentry and Waters.」（第６頁１５〜２２行）
（当審仮訳：3　効率的な更新を有するペアリングベースの動的アキュムレータ
我々は効率的な更新を有する動的アキュムレータを定義して作成し，そしてそのセキュリティを評価する。効率的な更新を有するとは，どんな秘密鍵の知識のないどんな関係者によってでも証拠が更新されることができ，アキュムレータの変更の数に比例する乗算（べき乗は無い）のみを必要とすることを意味する。我々の構築は，Boneh, Gentry及びWaters によるブロードキャスト暗号化方式に基づいている。）
（ウ）「3.1 Definition of Dynamic Accumulators 
A secure accumulator consists of the five algorithms AccGen, AccAdd, AccUpdate, AccWitUpdate, and AccVerify.
　These algorithms are used by the accumulator authority (short authority),an untrusted update entity, a user and a verifier. The authority creates an accumulator key pair (skＡ, pkＡ), the accumulator accφ and a public state stateφ using the AccGen algorithm; it can add a new value i to the accumulator accV using the AccAdd algorithm to obtain a new accumulator accＶ∪{i} and state stateＵ∪{i}, together with a witness witi . The accumulator for a given set of values V, can be computed using the AccUpdate algorithm.
　Throughout these operations, accＶ and witi are of constant size (independent of the number of accumulated values). The authority does some bookkeeping about the values contained in the accumulator and the status of the accumulator when a witness witi was created. These sets are denoted as V and VＷ respectively. The bookkeeping information is made public and is only needed for updating witnesses, it is not needed for verifying that a value is contained in an accumulator.
　Each time an accumulator changes, the old witnesses become invalid. It is however possible to update all witnesses for values i ∈ V contained in the accumulator from the bookkeeping information VＷ. This updating is the most performance intensive operation in existing accumulator systems. We show how it can be efficiently offloaded to an untrusted update entity that runs AccWitUpdate and is only given the accumulator state stateU and the bookkeeping information V and VＷ. The accumulator state stateU also contains book keeping information U, the set of elements ever added to the accumulator (but not necessarily contained in the current accumulator). This is a superset of V and VＷ.
　After users obtained an updated witness wit'i for a value i for the current accumulator, they can prove to any verifier that i is in the accumulator, using the AccVerify algorithm.
AccGen(1k, n) creates an accumulator key pair (skＡ, pkＡ), an empty accumulator accφ(for accumulating up to n values) and an initial state stateφ.
AccAdd(skＡ, i , accＶ , stateＵ) allows the authority to add i to the accumulator. 
　It outputs a new accumulator accＶ∪{i} and state stateＵ∪{i}, together with a witness witi for i .
AccUpdate(pkＡ, V, stateＵ) outputs an accumulator accＶ for values V ⊂ U.
AccWitUpdate(pkＡ, witi , VＷ, accＶ , V, stateＵ) outputs a witness wit'i for accＶ
　if witi was a witness for accＶｗ and i ∈ V .
AccVerify(pkＡ, i , witi , accＶ ) verifies that v ∈ V using an up-to-date witness witi and the accumulator accＶ . （当審注：「v ∈ V」は「i ∈ V」の明らかな誤記である。）In that case the algorithm accepts, otherwise it rejects.」（第６頁２３行〜第７頁２７行）
（当審仮訳：3.1　動的アキュムレータの定義
安全なアキュムレータは，ＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙという５つのアルゴリズムで構成される。
　これらのアルゴリズムは，アキュムレータ機関（「機関」），信頼できない更新エンティティ，ユーザ，および検証者によって使用される。この機関は，ＡｃｃＧｅｎアルゴリズムを使用して，アキュムレータ鍵のペア（ｓｋＡ，ｐｋＡ），アキュムレータａｃｃφ，および公開状態ｓｔａｔｅφを作成する。証拠ｗｉｔiとともに，新しいアキュムレータａｃｃＶ∪{i} および状態ｓｔａｔｅＵ∪{i}を入手するために，ＡｃｃＡｄｄアルゴリズムを使用して，アキュムレータａｃｃＶに新しい値ｉを追加することができる。ＡｃｃＵｐｄａｔｅアルゴリズムを使用して，所与の値の集合Ｖに関するアキュムレータを計算することができる。
　これらの演算全体を通して，ａｃｃＶおよびｗｉｔiは一定のサイズである（蓄積された値の数とは無関係である）。この機関は，証拠ｗｉｔiが作成されたときにアキュムレータに含まれている値およびアキュムレータの状況について何らかのブックキーピングを実行する。これらの集合はそれぞれＶおよびＶＷとして示される。ブックキーピング情報は，公表され，証拠を更新するためにのみ必要とされ，値がアキュムレータに含まれていることを検証するためには必要ではない。
　アキュムレータが変化するたびに，古い証拠は無効になる。しかし，ブックキーピング情報ＶＷからアキュムレータに含まれる値ｉ∈Ｖについてすべての証拠を更新することは可能である。この更新は，既存のアキュムレータ・システムにおいて最も性能集約型の動作である。我々は，それを，ＡｃｃＷｉｔＵｐｄａｔｅを実行し，アキュムレータ状態ｓｔａｔｅＵとブックキーピング情報ＶとＶＷだけが与えられる信頼できない更新エンティティに，効率的にオフロードする方法を示す。アキュムレータ状態ｓｔａｔｅＵは，アキュムレータにこれまでに追加された（が，必ずしも現在のアキュムレータに含まれているわけではない）要素の集合であるブックキーピング情報Ｕも含む。これは，ＶおよびＶＷの超集合である。
　ユーザが現在のアキュムレータに関する値ｉについて更新された証拠ｗｉｔ’iを入手した後，ユーザは，ＡｃｃＶｅｒｉｆｙアルゴリズムを使用して，ｉがアキュムレータ内にあることをすべての検証者に対して証明することができる。
　ＡｃｃＧｅｎ（１ｋ，ｎ）は，アキュムレータ鍵のペア（ｓｋＡ，ｐｋＡ），空のアキュムレータａｃｃφ（ｎ個の値まで蓄積するため），および初期状態ｓｔａｔｅφを作成する。
　ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）は，その機関がアキュムレータにｉを追加できるようにするものである。これは，ｉについて，証拠ｗｉｔiとともに，新しいアキュムレータａｃｃＶ∪{i}  および状態ｓｔａｔｅＵ∪{i}  を出力する。
　ＡｃｃＵｐｄａｔｅ（ｐｋＡ，Ｖ，ｓｔａｔｅＵ）は，値Ｖ⊂Ｕについて，アキュムレータａｃｃＶを出力する。
　ＡｃｃＷｉｔＵｐｄａｔｅ（ｐｋＡ，ｗｉｔi，ＶＷ，ａｃｃＶ，Ｖ，ｓｔａｔｅＵ）は，ｗｉｔiがａｃｃＶｗ に関する証拠であり，ｉ∈Ｖである場合に，ａｃｃＶに関する証拠ｗｉｔ’iを出力する。
　ＡｃｃＶｅｒｉｆｙ（ｐｋＡ，ｉ，ｗｉｔi，ａｃｃＶ）は，最新の証拠ｗｉｔiおよびアキュムレータａｃｃＶを使用して，ｉ∈Ｖであることを検証する。その場合，アルゴリズムは受諾し，そうではない場合，アルゴリズムは拒否する。）
（エ）「3.2 Construction
We now construct the algorithms AccGen, AccAdd, AccUpdate, AccWitUpdate,and AccVerify.
　In the construction above, we accumulate the group elements g1,...,gn instead of, e.g., the integers 1,..., n. Depending on the application, one would want to accumulate the latter, or more generally an arbitrary set of size n. In this case, the issuer of the accumulator would need to publish a mapping from this set to the gi values that get actually accumulated. In order to avoid large public parameters during verification the issuer of the accumulator uses a signature scheme to sign the gi together with the value to which they map. Thus, the verifier can check whether a given gi is a (potentially) valid input to the accumulator (cf. discussion in Section 3.3).
　We also note that the algorithm to update the witness does not require any secret information. Thus, the witnesses could be kept up-to-date for the users either by the users themselves, the issuer, or by some third party. In the latter two cases, the users can just retrieve the current valid witness whenever needed. In applications, one would typically define epochs such that the accumulator value and witnesses are only updated at the beginning of each epoch and remain valid throughout the epoch. Finally note that maintaining the witnesses for all users is well within reach of current technologies − indeed, all witnesses can be kept in main memory and the update performed rather quickly.」（第８頁１行〜第９頁６行）
（当審仮訳：３．２　構成
　我々は今からＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙの各アルゴリズムを構成する。
ＡｃｃＧｅｎ（１
ｋ
，ｎ）。
　ＢＭＧｅｎ（１ｋ）を実行して，双線形マップｅ：Ｇ×Ｇ→ＧＴのセットアップｐａｒａｍｓBM＝（ｑ，Ｇ，ＧＴ，ｅ，ｇ）を入手する。
　ランダム値γ∈Ｚｑをピックする。安全なシグニチャ方式，たとえば，ＳＤＨ仮定に基づいて安全なＢＢシグニチャ方式のための鍵のペアｓｋおよびｐｋを生成する。
とする。
ＡｃｃＡｄｄ（ｓｋ
Ａ
，ｉ，ａｃｃ
Ｖ
，ｓｔａｔｅ
Ｕ
）。
　署名鍵ｓｋに基づくｇi｜｜ｉについて
とシグニチャσi  を計算する。
　アルゴリズムは，
と更新されたアキュムレータの値
と
を出力する。
ＡｃｃＵｐｄａｔｅ（ｐｋ
Ａ
，Ｖ，ｓｔａｔｅ
Ｕ
）。
　Ｖ⊂Ｕであるかどうかをチェックし，そうではない場合に⊥を出力する。このアルゴリズムは，ｉ∈Ｖのｉに対して，
を出力する。（当審注：「ｖ∈Ｖ」及び「ｇｎ＋１−ｖ 」は，「ｉ∈Ｖ」及び「ｇｎ＋１−ｉ」の明らかな誤記である。）
ＡｃｃＷｉｔＵｐｄａｔｅ（ｐｋ
Ａ
，ｗｉｔ
i
，Ｖ
Ｗ
，ａｃｃ
Ｖ
，Ｖ，ｓｔａｔｅ
Ｕ
）。
　ｗｉｔiを（ｗ，σi，ｇi）として解析する。ｉ∈ＶおよびＶ∪ＶＷ⊂Ｕである場合，
を計算する。
　更新された証拠ｗｉｔ’iを（ｗ’，σi，ｇi）として出力する。そうではない場合，⊥を出力する。
ＡｃｃＶｅｒｉｆｙ（ｐｋ
Ａ
，ｉ，ｗｉｔ
i
，ａｃｃ
Ｖ
）。
　ｗｉｔi＝（ｗ，σi，ｇi）を解析する。σiが検証鍵ｐｋに基づくｇi｜｜ｉについて有効なシグニチャであり，ｅ（ｇi，ａｃｃＶ）／ｅ（ｇ，ｗ）＝ｚである場合，受諾を出力する。そうではない場合，拒否を出力する。
　上記の構成においては，例えば整数１，．．．，ｎの代わりに群要素ｇ１，．．．，ｇｎを計算する。用途に応じて，後者，又はサイズｎのより一般的な任意の集合をアキュムレートすることになる。この場合，アキュムレータの発行者は，この集合から，実際にアキュムレートされるｇi の値へのマッピングを公開する必要がある。検証中の大きな公開パラメータを避けるために，アキュムレータの発行者は，マップする値とともにｇi に署名する署名方式を使用する。これにより，検証者は，与えられたｇi が，アキュムレータへの（潜在的に）正当な入力であるかどうかを確認することができる（第３.３節の議論を参照）。
　また，証拠を更新するアルゴリズムは，何の秘密情報も必要としないことも注目される。それゆえ，証拠は，ユーザーのために，ユーザー自身，発行者，または何らかの第３者によって最新にしておくことができる。後者の２つのケースでは，ユーザーは，必要な時にいつでも，現在の有効な証拠を取得することができる。アプリケーションでは，アキュムレータ値及び証拠が各エポックの開始時にのみ更新され，エポックの期間を通じて有効なままであるような，エポックを定義する。最後に，すべてのユーザーのために証拠を更新することは，十分に現在の技術の範囲内である。実際，すべての証拠は，メインメモリに保持され，更新はかなり迅速に実行される。）
　ここで，上記引用例１に記載されている事項について検討する。
（ａ）上記（ア）の「本稿では，双線形マップに基づく新しい動的アキュムレータ方式を提案し，それを匿名クレデンシャルの取消しの問題に適用する方法を示す。」との記載，上記（ウ）の「ＡｃｃＵｐｄａｔｅ（ｐｋＡ，Ｖ，ｓｔａｔｅＵ）は，値Ｖ⊂Ｕについて，アキュムレータａｃｃＶを出力する。」との記載からみて，引用例１には，「動的アキュムレータ方式においてアキュムレータを出力するための方法」が記載されていると認められる。
　また，上記（ウ）の「安全なアキュムレータは，ＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙという５つのアルゴリズムで構成される。」との記載からみて，引用例１の「アキュムレータ」は，「ＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙという５つのアルゴリズムで構成される」ものである。
　そうすると，引用例１には，「動的アキュムレータ方式において，ＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙという５つのアルゴリズムで構成されるアキュムレータを出力するための方法」が記載されているものと認められる。
（ｂ）上記（ウ）の「これらのアルゴリズムは，アキュムレータ機関（「機関」），信頼できない更新エンティティ，ユーザ，および検証者によって使用される。この機関は，ＡｃｃＧｅｎアルゴリズムを使用して，アキュムレータ鍵のペア（ｓｋＡ，ｐｋＡ），アキュムレータａｃｃφ，および公開状態ｓｔａｔｅφを作成する。証拠ｗｉｔiとともに，新しいアキュムレータａｃｃＶ∪{i} および状態ｓｔａｔｅＵ∪{i}を入手するために，ＡｃｃＡｄｄアルゴリズムを使用して，アキュムレータａｃｃＶに新しい値ｉを追加することができる。ＡｃｃＵｐｄａｔｅアルゴリズムを使用して，所与の集合の値Ｖに関するアキュムレータを計算することができる」との記載からみて，引用例１には，「これらのアルゴリズムは，アキュムレータ機関，信頼できない更新エンティティ，ユーザ，および検証者によって使用され，このアキュムレータ機関は，ＡｃｃＧｅｎアルゴリズムを使用して，アキュムレータ鍵のペア，アキュムレータａｃｃφ，および公開状態ｓｔａｔｅφを作成し，証拠ｗｉｔiとともに，新しいアキュムレータａｃｃＶ∪{i} および状態ｓｔａｔｅＵ∪{i}を入手するために，ＡｃｃＡｄｄアルゴリズムを使用して，アキュムレータａｃｃＶに新しい値ｉを追加することができ，ＡｃｃＵｐｄａｔｅアルゴリズムを使用して，所与の集合の値Ｖに関するアキュムレータを計算することができる」ことが記載されているものと認められる。
（ｃ）上記（ウ）の「この機関は，ＡｃｃＧｅｎアルゴリズムを使用して，アキュムレータ鍵のペア（ｓｋＡ，ｐｋＡ），アキュムレータａｃｃφ，および公開状態ｓｔａｔｅφを作成する。」との記載，上記（ウ）の「ＡｃｃＧｅｎ（１ｋ，ｎ）は，アキュムレータ鍵のペア（ｓｋＡ，ｐｋＡ），空のアキュムレータａｃｃφ（ｎ個の値まで蓄積するため），および初期状態ｓｔａｔｅφを作成する。」との記載，上記（エ）の「ＡｃｃＧｅｎ（１ｋ，ｎ）。
　ＢＭＧｅｎ（１ｋ）を実行して，双線形マップｅ：Ｇ×Ｇ→ＧＴのセットアップｐａｒａｍｓBM＝（ｑ，Ｇ，ＧＴ，ｅ，ｇ）を入手する。ランダム値γ∈Ｚｑをピックする。安全なシグニチャ方式，たとえば，ＳＤＨ仮定に基づいて安全なＢＢシグニチャ方式のための鍵のペアｓｋおよびｐｋを生成する。
とする。」との記載からみて，引用例１には，「ＡｃｃＧｅｎ（１ｋ，ｎ）は，ランダム値γ∈Ｚｑをピックし，安全なシグニチャ方式のための鍵のペアｓｋＡ およびｐｋＡ を生成するとともに，
とおく」ことが記載されているものと認められる。
（ｄ）上記（ウ）の「ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）は，その機関がアキュムレータにｉを追加できるようにするものである。これは，ｉについて，証拠ｗｉｔiとともに，新しいアキュムレータａｃｃＶ∪{i}  および状態ｓｔａｔｅＵ∪{i}  を出力する。」との記載，上記（エ）の「ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）。
　署名鍵ｓｋに基づくｇi｜｜ｉについて
とシグニチャσi  を計算する。
　アルゴリズムは，
と更新されたアキュムレータの値
と
を出力する。」との記載からみて，引用例１には，「ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）は，アキュムレータにｉを追加できるようにするものであり，署名鍵ｓｋに基づくｇi｜｜ｉについて，
を出力する」ことが記載されていると認められる。
（ｅ）上記（ウ）の「ＡｃｃＵｐｄａｔｅ（ｐｋＡ，Ｖ，ｓｔａｔｅＵ）は，値Ｖ⊂Ｕについて，アキュムレータａｃｃＶを出力する。」との記載，上記（エ）の「ＡｃｃＵｐｄａｔｅ（ｐｋＡ，Ｖ，ｓｔａｔｅＵ）。
　Ｖ⊂Ｕであるかどうかをチェックし，そうではない場合に⊥を出力する。　このアルゴリズムは，ｉ∈Ｖのｉに対して，
を出力する。」との記載からみて，引用例１には，「ＡｃｃＵｐｄａｔｅ（ｐｋＡ，Ｖ，ｓｔａｔｅＵ）は，Ｖ⊂Ｕであるかどうかをチェックし，ｉ∈Ｖのｉに対して
を出力する」ことが記載されているものと認められる。
（ｆ）上記（ウ）の「ＡｃｃＷｉｔＵｐｄａｔｅ（ｐｋＡ，ｗｉｔi，ＶＷ，ａｃｃＶ，Ｖ，ｓｔａｔｅＵ）は，ｗｉｔiがａｃｃＶｗ に関する証拠であり，ｉ∈Ｖである場合に，ａｃｃＶに関する証拠ｗｉｔ’iを出力する。」との記載，上記（エ）の「ＡｃｃＷｉｔＵｐｄａｔｅ（ｐｋＡ，ｗｉｔi，ＶＷ，ａｃｃＶ，Ｖ，ｓｔａｔｅＵ）。
　ｗｉｔiを（ｗ，σi，ｇi）として解析する。ｉ∈ＶおよびＶ∪ＶＷ⊂Ｕである場合，
を計算する。更新された証拠ｗｉｔ’iを（ｗ’，σi，ｇi）として出力する」との記載からみて，引用例１には，「ＡｃｃＷｉｔＵｐｄａｔｅ（ｐｋＡ，ｗｉｔi，ＶＷ，ａｃｃＶ，Ｖ，ｓｔａｔｅＵ）は，ｉ∈ＶおよびＶ∪ＶＷ⊂Ｕである場合，
を計算して，更新された証拠ｗｉｔ’iを（ｗ’，σi，ｇi）として出力する」ことが記載されているものと認められる。
（ｇ）上記（ウ）の「ＡｃｃＶｅｒｉｆｙ（ｐｋＡ，ｉ，ｗｉｔi，ａｃｃＶ）は，最新の証拠ｗｉｔiおよびアキュムレータａｃｃＶを使用して，ｉ∈Ｖであることを検証する。その場合，アルゴリズムは受諾し，そうではない場合，アルゴリズムは拒否する。」との記載，上記（エ）の「ＡｃｃＶｅｒｉｆｙ（ｐｋＡ，ｉ，ｗｉｔi，ａｃｃＶ）。
　ｗｉｔi＝（ｗ，σi，ｇi）を解析する。σiが検証鍵ｐｋに基づくｇi｜｜ｉについて有効なシグニチャであり，ｅ（ｇi，ａｃｃＶ）／ｅ（ｇ，ｗ）＝ｚである場合，受諾を出力する。そうではない場合，拒否を出力する。」との記載からみて，引用例１には，「ＡｃｃＶｅｒｉｆｙ（ｐｋＡ，ｉ，ｗｉｔi，ａｃｃＶ）は，最新の証拠ｗｉｔiおよびアキュムレータａｃｃＶを使用して，ｉ∈Ｖであることを検証する」ことが記載されているものと認められる。
（ｈ）上記（エ）の「上記の構成においては，例えば整数１，．．．，ｎの代わりに群要素ｇ１，．．．，ｇｎを計算する。用途に応じて，後者，又はサイズｎのより一般的な任意の集合をアキュムレートすることになる。この場合，アキュムレータの発行者は，この集合から，実際にアキュムレートされるｇi の値へのマッピングを公開する必要がある。検証中の大きな公開パラメータを避けるために，アキュムレータの発行者は，マップする値とともにｇi に署名する署名方式を使用する。これにより，検証者は，与えられたｇi が，アキュムレータへの（潜在的に）正当な入力であるかどうかを確認することができる」との記載からみて，引用例１には，「上記の構成においては，例えば整数１，．．．，ｎの代わりに群要素ｇ１，．．．，ｇｎを計算するが，用途に応じて，サイズｎのより一般的な任意の集合をアキュムレートすることになる場合，アキュムレータの発行者は，この集合から，実際にアキュムレートされる群要素ｇi の値へのマッピングを公開する必要がある」ことが記載されているものと認められる。
（ｉ）上記引用例１のタイトル「An Accumulator Based on Bilinear Maps and Efficient Revocation for Anonymous Credentials」（双線形マップと匿名のクレデンシャルのための効率的な取消しに基づくアキュムレータ）及び上記（ア）の「本稿では，双線形マップに基づく新しい動的アキュムレータ方式を提案し，それを匿名クレデンシャルの取消しの問題に適用する方法を示す。」との記載からみて，引用例１の動的アキュムレータ方式が，「匿名クレデンシャル」の「集合」からの取消しの問題に適用されるものであることは明らかである。
（ｊ）上記（ｈ）及び（ｉ）の検討から，引用例１には，「上記の構成においては，例えば整数１，．．．，ｎの代わりに群要素ｇ１，．．．，ｇｎを計算するが，用途に応じて，サイズｎのより一般的な任意の匿名クレデンシャルの集合をアキュムレートすることになる場合，アキュムレータの発行者は，この集合から，実際にアキュムレートされる群要素ｇi の値へのマッピングを公開する必要がある」ことが記載されているものと認められる。
（ｋ）上記（エ）の「証拠は，ユーザーのために，ユーザー自身，発行者，または何らかの第３者によって最新にしておくことができる。後者の２つのケースでは，ユーザーは，必要な時にいつでも，現在の有効な証拠を取得することができる。」との記載からみて，引用例１には，「証拠は，ユーザーのために，発行者，または何らかの第３者によって最新にしておくことができ，ユーザーは，必要な時にいつでも，現在の有効な証拠を取得することができる」ことが記載されているものと認められる。
（ｌ）上記（エ）の「アプリケーションでは，アキュムレータ値及び証拠が各エポックの開始時にのみ更新され，エポックの期間を通じて有効なままであるような，エポックを定義する。」との記載からみて，引用例１には，「アプリケーションでは，アキュムレータ値及び証拠が各エポックの開始時にのみ更新され，エポックの期間を通じて有効なままであるような，エポックを定義する」ことが記載されているものと認められる。
（ｍ）上記（ア）の「現在まで，このようなシステムにおける取消しのための最も効率的な解決策は，暗号アキュムレータに基づいている。ここでは，現在有効な全ての証明書のアキュムレートが定期的に公開され，各ユーザーは，匿名性を保持しながら，彼女の（匿名）クレデンシャルの正当性を証明することができる証拠を保持している。」との記載からみて，引用例１には，「暗号アキュムレータは定期的に公開されるものである」ことが記載されているものと認められる。
　上記（ａ）〜（ｍ）の検討から，引用例１には，次のとおりの発明（以下，「引用発明」という。）が記載されていると認められる。
「動的アキュムレータ方式において，ＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙという５つのアルゴリズムで構成されるアキュムレータを出力するための方法であって，
　これらのアルゴリズムは，アキュムレータ機関，信頼できない更新エンティティ，ユーザ，および検証者によって使用され，このアキュムレータ機関は，ＡｃｃＧｅｎアルゴリズムを使用して，アキュムレータ鍵のペア，アキュムレータａｃｃφ，および公開状態ｓｔａｔｅφを作成し，証拠ｗｉｔiとともに，新しいアキュムレータａｃｃＶ∪{i} および状態ｓｔａｔｅＵ∪{i}を入手するために，ＡｃｃＡｄｄアルゴリズムを使用して，アキュムレータａｃｃＶに新しい値ｉを追加することができ，ＡｃｃＵｐｄａｔｅアルゴリズムを使用して，所与の集合の値Ｖに関するアキュムレータを計算することができ，
　ＡｃｃＧｅｎ（１ｋ，ｎ）は，ランダム値γ∈Ｚｑをピックし，安全なシグニチャ方式のための鍵のペアｓｋＡ およびｐｋＡ を生成するとともに，
とおき，
　ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）は，アキュムレータにｉを追加できるようにするものであり，署名鍵ｓｋに基づくｇi｜｜ｉについて，
を出力し，
　ＡｃｃＵｐｄａｔｅ（ｐｋＡ，Ｖ，ｓｔａｔｅＵ）は，Ｖ⊂Ｕであるかどうかをチェックし，ｉ∈Ｖのｉに対して
を出力し，
　ＡｃｃＷｉｔＵｐｄａｔｅ（ｐｋＡ，ｗｉｔi，ＶＷ，ａｃｃＶ，Ｖ，ｓｔａｔｅＵ）は，ｉ∈ＶおよびＶ∪ＶＷ⊂Ｕである場合，
を計算して，更新された証拠ｗｉｔ’iを（ｗ’，σi，ｇi）として出力し，
　ＡｃｃＶｅｒｉｆｙ（ｐｋＡ，ｉ，ｗｉｔi，ａｃｃＶ）は，最新の証拠ｗｉｔiおよびアキュムレータａｃｃＶを使用して，ｉ∈Ｖであることを検証し，
　上記の構成においては，例えば整数１，．．．，ｎの代わりに群要素ｇ１，．．．，ｇｎを計算するが，用途に応じて，サイズｎのより一般的な任意の匿名クレデンシャルの集合をアキュムレートすることになる場合，アキュムレータの発行者は，この集合から，実際にアキュムレートされる群要素ｇi の値へのマッピングを公開する必要があり，
　証拠は，ユーザーのために，発行者，または何らかの第３者によって最新にしておくことができ，ユーザーは，必要な時にいつでも，現在の有効な証拠を取得することができ，
　アプリケーションでは，アキュムレータ値及び証拠が各エポックの開始時にのみ更新され，エポックの期間を通じて有効なままであるような，エポックを定義し，
　暗号アキュムレータは定期的に公開されるものである，
方法。」
４．対比
　本願発明と，引用発明とを対比する。
（ａ）引用発明の「アキュムレータ」が本願発明の「暗号アキュムレータ」に相当する。
　引用発明において，ＡｃｃＵｐｄａｔｅ（ｐｋＡ，Ｖ，ｓｔａｔｅＵ）によって出力されたアキュムレータは，例えば検証者等に「提供」されて，ＡｃｃＶｅｒｉｆｙ（ｐｋＡ，ｉ，ｗｉｔi，ａｃｃＶ）アルゴリズムを実行するために使用されるものであるから，引用発明の「アキュムレータを出力する」ことが本願発明の「暗号アキュムレータを提供する」ことに相当する。
　引用発明は，「サイズｎのより一般的な任意の匿名クレデンシャルの集合をアキュムレートすることになる場合，アキュムレータの発行者は，この集合から，実際にアキュムレートされる群要素ｇi の値へのマッピングを公開する必要があ」るものである。
　ここで，引用発明の「サイズｎのより一般的な任意の匿名クレデンシャルの集合」を構成する個々の「匿名クレデンシャル」が本願発明の「データ項目」に相当するから，引用発明の「サイズｎのより一般的な任意の匿名クレデンシャルの集合」が本願発明の「データ項目の集合」に相当する。
　また，引用発明の「サイズｎのより一般的な任意の匿名クレデンシャルの集合をアキュムレートする」ための「アキュムレータ」が本願発明の「データ項目の集合を示す暗号アキュムレータ」に相当する。
　してみれば，引用発明の「動的アキュムレータ方式において，ＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙという５つのアルゴリズムで構成されるアキュムレータを出力するための方法」と本願発明の「データ処理システム（１）内でデータ項目の集合を示す暗号アキュムレータを提供するための方法」とは，後記する点で相違するものの，「データ項目の集合を示す暗号アキュムレータを提供するための方法」の点で共通している。
（ｂ）
（ｂ−１）引用発明の「ランダム値γ」は，ＡｃｃＧｅｎ（１ｋ，ｎ）によって生成されるものであり，当該「ランダム値γ」は第３者に公開されるものではないから，引用発明の「ランダム値γ」は第３者が知ることができないという意味で，「秘密の値」であるということができる。そうすると，引用発明の「ランダム値γ」が本願発明の「秘密値γ」に相当する。
　また，引用発明の「群要素ｇi 」及び「ｇ」が本願発明の「群要素ｇi 」及び「群ジェネレータｇ」にそれぞれ相当する。
　そして，引用発明では，「ＡｃｃＧｅｎ（１ｋ，ｎ）」が，「ランダム値γ∈Ｚｑをピックし，安全なシグニチャ方式のための鍵のペアｓｋＡ およびｐｋＡ を生成するとともに，
と
を生成」し，また，「ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）」が，「署名鍵ｓｋに基づくｇi｜｜ｉについて，
を出力し」ているところ，引用発明の「ＡｃｃＧｅｎ（１ｋ，ｎ）」や「ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）」が「生成」する「
」や「ｇ１ ，．．．，ｇｎ」が本願発明の「複数の群要素」に相当する。
　また，上記（エ）に引用した記載から，引用発明の群要素ｇi  は，
で定義されているから，「各群要素」が「秘密値γ」および「群ジェネレータｇ」を「使用」して「生成」されていることは，明らかである。
　してみれば，引用発明と本願発明とは，「複数の群要素を生成するステップであって，秘密値γおよび群ジェネレータｇを使用して各群要素を生成するステップ」を含む点で共通している。
（ｂ−２）本願発明の「ｎ」は，集合のサイズを意味するものであるから，引用発明の「サイズｎ」が本願発明の「ｎ」に相当する。
　また，引用発明の「サイズｎ」は，「集合」内の「匿名クレデンシャル（データ項目）」の「定義済み」の「最大数」であることは明らかである。
　また，引用発明の「
」や「ｇ１ ，．．．ｇｎ」が本願発明の「ｉ∈｛１，２，３，．．．，ｎ｝の場合」の「群要素
」に相当するから，引用発明の「群要素」が，「ｉ∈｛１，２，３，．．．，ｎ｝の場合」に「それぞれの要素
を含」むことは明らかである。
　してみれば，引用発明と本願発明とは，「群要素が，ｉ∈｛１，２，３，．．．，ｎ｝の場合にそれぞれの要素
を含み，ここでｎが前記集合内のデータ項目の定義済みの最大数である，ステップ」を含む点で共通している。
（ｂ−３）上記（ｂ−１）及び（ｂ−２）の検討から，引用発明と本願発明とは，「複数の群要素を生成するステップであって，秘密値γおよび群ジェネレータｇを使用して各群要素を生成するステップと，前記群要素が，ｉ∈｛１，２，３，．．．，ｎ｝の場合にそれぞれの要素
を含み，ここでｎが前記集合内のデータ項目の定義済みの最大数である，ステップ」とを含む点で共通している。
　
（ｃ）引用発明では，「用途に応じて，サイズｎのより一般的な任意の匿名クレデンシャルの集合をアキュムレートすることになる場合，アキュムレータの発行者は，この集合から，実際にアキュムレートされる群要素ｇｉの値へのマッピングを公開する必要があ」る。このとき，引用発明の「集合」内の「匿名クレデンシャル（データ項目）」と，これに対応する「それぞれの群要素」との間で「マッピング」を行っていることは明らかであるから，引用発明は，「集合内の匿名クレデンシャル（データ項目）とそれぞれの群要素とのマッピングを定義するステップ」を含んでいるものと認められる。
　また，「マッピングが集合内の匿名クレデンシャル（データ項目）とそれぞれの群要素ｇｉとの間で定義される」ことは自明のことである。
　してみれば，引用発明と本願発明とは，「集合内のデータ項目とそれぞれの群要素とのマッピングを定義するステップであって，前記マッピングが前記集合内のデータ項目とそれぞれの群要素ｇｉとの間で定義される，ステップ」を含む点で共通している。
（ｄ）
（ｄ−１）上記（ｃ）に記載したように，引用発明では，「集合」内の「匿名クレデンシャル（データ項目）」と「それぞれの群要素」との「マッピング」を行っていることは明らかであるから，引用発明の「群要素」が，本願発明の「集合内のデータ項目にマッピングされた群要素」に相当する。
　また，引用発明では，アキュムレータとして，
を計算しているところ，この式は，「それぞれの群要素の積」を「含」んでいることから，引用発明の「ａｃｃＶ」が本願発明の「それぞれの群要素の積を含む暗号アキュムレータ」に相当する。
（ｄ−２）引用発明では，「アキュムレータ値及び証拠が各エポックの開始時にのみ更新され，エポックの期間を通じて有効なままであるような，エポックを定義する」から，この場合，引用発明の「アキュムレータ値」は，エポックの開始のたびに「定期的」に「生成」されるものである。
（ｄ−３）上記（ｄ−１）及び（ｄ−２）の検討から，引用発明と本願発明とは，「集合内のデータ項目にマッピングされた群要素に関するそれぞれの群要素の積を含む暗号アキュムレータを定期的に生成するステップ」を含む点で共通している。
（ｅ）引用発明の「暗号アキュムレータ」は，「定期的に公開される」ものであるから，引用発明と本願発明とは，後記する点で相違するものの，「暗号アキュムレータを定期的に公表するステップ」を含む点で共通している。
（ｆ）引用発明において，アキュムレータは，
の式で計算されるところ，この式から，「暗号アキュムレータ」が，「群要素ｇｉが集合内のデータ項目にマッピングされるｉの値について前記群要素ｇｎ＋１−ｉの積を含む」ものであることは明らかである。
　してみれば，引用発明と本願発明とは，「暗号アキュムレータが，群要素ｇｉが集合内のデータ項目にマッピングされるｉの値について前記群要素ｇｎ＋１−ｉの積を含む，ステップ」を含む点で共通している。
（ｇ）引用発明の「証拠ｗｉｔｉ」は，「集合内の各匿名クレデンシャル（データ項目）」毎に計算されるものであるから，引用発明の「証拠ｗｉｔｉ 」が，本願発明の「集合内の各データ項目に関する証拠」に相当し，また，引用発明では，「ＡｃｃＡｄｄ（ｓｋＡ，ｉ，ａｃｃＶ，ｓｔａｔｅＵ）」の処理において「証拠ｗｉｔｉ 」を「生成」していることから，引用発明と本願発明とは，「集合内の各データ項目に関する証拠を生成するステップ」を含む点で共通している。
　ここで，本願発明の
「前記集合内の各データ項目に関する証拠を生成するステップを含み，各証拠が前記群要素のそれぞれの異なる部分集合の積を含み，各証拠に関する前記部分集合が前記集合内の前記データ項目とその証拠が生成された前記データ項目に依存するように，前記群要素が，補助要素
　　【数２】
を含み，
　群要素ｇｉにマッピングされた前記集合内の各データ項目について，前記証拠が，群要素ｇｊが前記集合内の他のデータ項目にマッピングされるｊのすべての値について前記群要素ｇｎ＋１−ｊ＋ｉの積を含む，ステップ」
との事項は，本願明細書の【００６０】〜【００６１】段落の記載に対応しているものと認められるところ，当該段落には，次のとおり記載されている。
「　【００６０】
　図２のステップ２４では、クレデンシャル・ロジック３は、署名鍵ｓｋに基づくｇｉ｜｜ｉについて
【数３６】
およびシグニチャσｉを計算することにより、
アキュムレータ内の各クレデンシャルＣに関する証拠を生成する
　　【００６１】
　したがって、
各クレデンシャルiについて、アキュムレータ証拠ｗは、群要素のそれぞれの異なる部分集合の積として計算される
この部分集合は、有効な集合内のクレデンシャルのｉ値に依存し、各証拠が生成されるクレデンシャルのｉ値にも依存する
群要素ｇ
ｉ
にマッピングされたそれぞれの有効なクレデンシャルについて、証拠は、群要素ｇ
ｉ
が他の有効なクレデンシャルにマッピングされるｊのすべての値について群要素ｇ
ｎ＋１−ｊ＋ｉ
の積を含む
したがって、証拠生成は、前に定義された補助群要素ｇ
ｎ＋２
，．．．，ｇ
２ｎ
を利用する
証拠は、ｗｉｔ
ｉ
＝（ｗ，σ
ｉ
，ｇ
ｉ
）として出力される
　この記載によれば，【００６０】段落には，「アキュムレータ証拠ｗ」の計算式が記載され，【００６１】段落には，「アキュムレータ証拠ｗ」の計算式の説明が記載されているものと認められる。
　一方で，引用発明の「証拠ｗｉｔｉ」に含まれる「ｗ」は以下の式で計算されるものであるところ，この計算式は，上記した本願の「アキュムレータ証拠ｗ」の計算式と同じである。
　そうすると，引用発明の「ｗ」の計算式においても，本願明細書の【００６１】段落に記載された「アキュムレータ証拠ｗ」の計算式の説明が同様に適用できることは明らかであるから，引用発明の「ｗ」の計算式も，「各クレデンシャルiについて、アキュムレータ証拠ｗは、群要素のそれぞれの異なる部分集合の積として計算され（各証拠が前記群要素のそれぞれの異なる部分集合の積を含み）」，「この部分集合は、有効な集合内のクレデンシャルのｉ値に依存し、各証拠が生成されるクレデンシャルのｉ値にも依存する（各証拠に関する前記部分集合が前記集合内の前記データ項目とその証拠が生成された前記データ項目に依存する）」ようになっており，「群要素ｇｉにマッピングされたそれぞれの有効なクレデンシャルについて、証拠は、群要素ｇｉが他の有効なクレデンシャルにマッピングされるｊのすべての値について群要素ｇｎ＋１−ｊ＋ｉの積を含み（群要素ｇｉにマッピングされた前記集合内の各データ項目について，前記証拠が，群要素ｇｊが前記集合内の他のデータ項目にマッピングされるｊのすべての値について前記群要素ｇｎ＋１−ｊ＋ｉの積を含み）」，「証拠生成は、前に定義された補助群要素ｇｎ＋２，．．．，ｇ２ｎを利用する（前記群要素が，補助要素
を含む）」ようになっているものと認められる。
　してみれば，引用発明と本願発明とは，「集合内の各データ項目に関する証拠を生成するステップを含み，各証拠が群要素のそれぞれの異なる部分集合の積を含み，各証拠に関する前記部分集合が前記集合内の前記データ項目とその証拠が生成された前記データ項目に依存するように，前記群要素が，補助要素
を含み，
　群要素ｇｉにマッピングされた集合内の各データ項目について，証拠が，群要素ｇｊが前記集合内の他のデータ項目にマッピングされるｊのすべての値について前記群要素ｇｎ＋１−ｊ＋ｉの積を含む，ステップ」を含む点で共通している。
　
（ｈ）引用発明は，「アキュムレータ値及び証拠が各エポックの開始時にのみ更新され」るものであるから，各エポックの開始のたびに，「定期的に」証拠が生成されるものである。
　そして，「定期的」に「生成」される「証拠」が「匿名クレデンシャル（データ項目）の現在の集合に関する証拠」であることは明らかである。
　してみれば，引用発明と本願発明とは，「データ項目の現在の集合に関する証拠を定期的に生成するステップ」を含む点で共通している。
（ｉ）引用発明では，「証拠は，ユーザーのために，発行者，または何らかの第３者によって最新にしておくことができ，ユーザーは，必要な時にいつでも，現在の有効な証拠を取得することができ」るものであるから，引用発明において，「各証拠」が「公表」されていることは明らかである。
　してみれば，引用発明と本願発明とは，後記する点で相違するものの，「各証拠を公表するステップ」を含む点で共通している。
　そうすると，本願発明と引用発明とは，
　
「データ項目の集合を示す暗号アキュムレータを提供するための方法であって，
　複数の群要素を生成するステップであって，秘密値γおよび群ジェネレータｇを使用して各群要素を生成するステップと，
　前記群要素が，ｉ∈｛１，２，３，．．．，ｎ｝の場合にそれぞれの要素
を含み，ここでｎが前記集合内のデータ項目の定義済みの最大数である，ステップと，
　前記集合内のデータ項目とそれぞれの群要素とのマッピングを定義するステップであって，前記マッピングが前記集合内のデータ項目とそれぞれの群要素ｇｉとの間で定義される，ステップと，
　　前記集合内の前記データ項目にマッピングされた前記群要素に関するそれぞれの群要素の積を含む暗号アキュムレータを定期的に生成するステップと，
　前記暗号アキュムレータを定期的に公表するステップと，
を含み，さらに，
　前記暗号アキュムレータが，前記群要素ｇｉが前記集合内のデータ項目にマッピングされるｉの値について前記群要素ｇｎ＋１−ｉの積を含む，ステップと，
前記集合内の各データ項目に関する証拠を生成するステップを含み，各証拠が前記群要素のそれぞれの異なる部分集合の積を含み，各証拠に関する前記部分集合が前記集合内の前記データ項目とその証拠が生成された前記データ項目に依存するように，前記群要素が，補助要素
を含み，
　群要素ｇｉにマッピングされた前記集合内の各データ項目について，前記証拠が，群要素ｇｊが前記集合内の他のデータ項目にマッピングされるｊのすべての値について前記群要素ｇｎ＋１−ｊ＋ｉの積を含む，ステップと，
　データ項目の前記現在の集合に関する前記証拠を定期的に生成するステップと，
　各証拠を公表するステップ
を含む，方法。」
　
の点で一致し，以下の点で相違する。
　
［相違点１］
　本願発明は，「データ処理システム（１）」を前提とし，「データ処理システム（１）内で」暗号アキュムレータを提供し，「データ処理システム（１）内の」暗号アキュムレータを公表し，「データ処理システム（１）内で」証拠を公表しているのに対して，引用発明は，本願発明のような「データ処理システム」の構成は明確に特定されていない点。
５．判断  
　上記相違点について検討する。
　
［相違点１］について
　引用発明には，ＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙの各アルゴリズムを用いる主体として，「アキュムレータ機関」，「信頼できない更新エンティティ」，「ユーザ」，および「検証者」が特定されている。
　そして，引用発明において，上記各アルゴリズムを用いたデータの処理がコンピュータで実行されることを前提としていることは，上記（エ）の「最後に，すべてのユーザーのために証拠を更新することは，十分に現在の技術の範囲内である。実際，すべての証拠は，メインメモリに保持され，更新はかなり迅速に実行される。」との記載からみても明らかである。
　してみれば，引用発明において，各主体におけるＡｃｃＧｅｎ，ＡｃｃＡｄｄ，ＡｃｃＵｐｄａｔｅ，ＡｃｃＷｉｔＵｐｄａｔｅ，およびＡｃｃＶｅｒｉｆｙの各アルゴリズムの処理をコンピュータに実行させるようにし，全体としてデータ処理システムの構成とすることにより，「データ処理システム（１）内で」暗号アキュムレータを提供し，「データ処理システム（１）内の」暗号アキュムレータを公表し，「データ処理システム（１）内で」証拠を公表するように構成することは，当業者が容易に想到し得たことである。
　そして，本願発明の作用効果も，引用発明及び引用例１の記載事項から当業者が予測できる範囲のものである。
　
　したがって，本願発明は，引用発明及び引用例１の記載事項に基づいて当業者が容易に発明をすることができたものである。
　
６．むすび
　以上のとおり，本願発明は，引用発明及び引用例１の記載事項に基づいて，当業者が容易に発明をすることができたものであるから，特許法第２９条第２項の規定により特許を受けることができない。
　したがって，本願は他の請求項について検討するまでもなく拒絶されるべきものである。
　よって，結論のとおり審決する。