2016-013670

特願２０１４－５５２４９８「データ保護方法及びシステム」拒絶査定不服審判事件〔平成２５年　７月２５日国際公開、ＷＯ２０１３／１０７３６２、平成２７年　２月　５日国内公表、特表２０１５－５０４２２２、請求項の数（１０）〕について、次のとおり審決する。

【結　論】 原査定を取り消す。 本願の発明は、特許すべきものとする。

【理　由】 第１　手続の経緯 本件審判請求に係る出願（以下，「本願」という。）は，２０１３年１月１７日（パリ条約による優先権主張外国庁受理２０１２年１月１９日（以下，「優先日」という。），中国）を国際出願日とする出願であって，その手続の経緯は以下のとおりである。 平成２６年　７月１０日　　　：国内書面の提出 平成２６年　８月１８日　　　：出願審査請求書，翻訳文の提出 平成２７年　７月　６日付け　：拒絶理由の通知 平成２７年１１月１３日　　　：意見書，手続補正書の提出 平成２８年　４月２８日付け　：拒絶査定 平成２８年　９月１２日　　　：審判請求書，手続補正書の提出 平成２８年１１月３０日　　　：前置報告 平成２９年　２月２２日　　　：上申書の提出 第２　原査定の概要 原査定（平成２８年４月２８日付け拒絶査定）の概要は次のとおりである。（ただし，平成２８年４月２８日付け拒絶査定において提示された引用文献１－１０は，その起案の内容からみて誤記であり，正しくは平成２７年７月６日付け拒絶理由で提示された引用文献１－１０であることは明らかである。そこで，以下では，平成２７年７月６日付け拒絶理由において提示された引用文献１－１０を記載した。） ＜理由２（特許法第２９条第２項）について＞ 本願請求項１－１０に係る発明は，以下の引用文献１－１０に基づいて，その発明の属する技術の分野における通常の知識を有する者（以下，「当業者」という。）が容易に発明できたものであるから，特許法第２９条第２項の規定により特許を受けることができない。 引用文献等一覧 １．米国特許出願公開第２００７／０２８２７５７号明細書 ２．特開２０００－３５８０２５号公報 ３．特表２００１－５２３９１９号公報 ４．特開２００９－１１１９７１号公報 ５．特開２００５－６３２９２号公報 ６．特開２００８－８４１２５号公報 ７．特開２００８－２５０４７８号公報 ８．Morris Dworkin, Recommendation for Block Cipher Modes of Operation, Methods and Techniques, [online], NIST Special Publication, 800-38A, 2001年, p.1-16, [2015年7月3日検索], retrieved from the Internet <URL:http://csrc.nist.gov/publications/PubsSPs.html> ９．特開２０１０－１０２４４１号公報 １０．北郷達郎，受動から能動へ転換するコンピュータ・セキュリティー，日経エレクトロニクス，2007年10月8日，第962号, p.95-102 第３　審判請求時の補正について 審判請求時の補正は，特許法第１７条の２第３項から第６項までの要件に違反しているものとはいえない。 審判請求時の補正によって請求項１，８に「前記環境情報は，機器の温度環境情報，機器の湿度環境情報，機器の光照射環境情報，機器の物理環境画像情報，機器のネットワーク環境情報，機器と認証サーバーとが双方向身分認証を行う双方向身分認証情報のいずれか１種又は多種を含み，」という事項を追加する補正（以下，「補正事項１」という。），および，請求項２，９を「前記環境情報は，さらに，機器使用者の生物特徴情報を含むことを特徴とする」，「前記環境情報抽出ユニットは，さらに，機器使用者の生物特徴情報を抽出するための生物特徴採集装置を含むことを特徴とする」と変更する補正（以下，「補正事項２」という。）は，特許請求の範囲の減縮を目的とするものであるか，また，当該補正は新規事項を追加するものではないかについて検討する。 まず，上記補正事項１は，補正前の請求項１，８の「環境情報」について，態様を列挙して限定するものであるから，特許請求の範囲の減縮を目的とするものであり，また，上記補正事項１は，補正前の請求項２，９に記載の「環境情報」の態様の一部を列挙するものであり，当初明細書等に記載された事項であり，新規事項を追加するものではないといえる。 次に，上記補正事項２は，補正事項１に応じて補正前の請求項２，９の「環境情報」の態様のうち「機器使用者の生物特徴情報」以外を削除するとともに，「環境情報」の態様のうち「機器使用者の生物特徴情報」を，さらに含む態様であると限定するものであるから，特許請求の範囲の減縮を目的とするものであり，また，上記補正事項２は新規事項を追加するものではないといえる。 そして，「第４　本願発明」から「第６　対比・判断」までに示すように，補正後の請求項１－１０に係る発明は，独立特許要件を満たすものである。 第４　本願発明 本願請求項１－１０に係る発明（以下，それぞれ「本願発明１」－「本願発明１０」という。）は，平成２８年９月１２日付けの手続補正で補正された特許請求の範囲の請求項１－１０に記載された事項により特定される発明であり，以下のとおりの発明である。 「　　【請求項１】 データ保護方法であって，データが所在している機器を１回初期化するプロセスにおいて，セキュリティ環境での機器の環境情報に基づいて環境因子を獲得し，並びに，セキュリティ環境での環境因子を用いて機器における敏感データを暗号化し，且つ暗号化の成功を確認できた後に前記環境因子を廃棄し， 前記機器を起動するたびに，現在の環境での機器の環境情報に基づいて環境因子を獲得し，現在の環境での環境因子を用いて前記機器における暗号化された敏感データを復号し，復号成功の場合，前記機器におけるデータへのアクセスを許可し，復号失敗の場合，前記機器におけるデータへのアクセスを拒否し， そのうち，前記敏感データは，前記機器のセキュリティ環境とバンドルされたオペレーティングシステムを起動する際に必須となる唯一的不揮発性データであり， 前記環境情報は，機器の温度環境情報，機器の湿度環境情報，機器の光照射環境情報，機器の物理環境画像情報，機器のネットワーク環境情報，機器と認証サーバーとが双方向身分認証を行う双方向身分認証情報のいずれか１種又は多種を含み， 前記環境情報に基づいて環境因子を獲得する処理は，一種又は多種の環境情報に対して特徴抽出を行い，予め定められたアルゴリズムに基づいて一定の長さのデータ列を生成して，該データ列を環境因子とする処理を含むことを特徴とする方法。 【請求項２】 前記環境情報は，さらに，機器使用者の生物特徴情報を含むことを特徴とする請求項１に記載の方法。 【請求項３】 前記のセキュリティ環境での環境因子を用いて機器における敏感データを暗号化する処理は，セキュリティ環境での環境因子を用いて，ビットワイズ対称アルゴリズムによって機器における敏感データを暗号化する処理を含み， 前記の現在の環境での環境因子を用いて前記機器における暗号化された敏感データを復号する処理は，現在の環境での環境因子を用いて，暗号化した時と同一のビットワイズ対称アルゴリズムによって，前記暗号化された敏感データを復号する処理を含むことを特徴とする請求項１に記載の方法。 【請求項４】 前記の，復号失敗の場合，前記機器におけるデータへのアクセスを拒否する処理は， 前記敏感データを廃棄することによって，前記機器におけるデータへのアクセスを拒否する処理，又は，セキュリティ環境とバンドルされたオペレーティングシステムを前記機器が起動することを阻止することによって，前記機器におけるデータへのアクセスを拒否する処理を含むことを特徴とする請求項１に記載の方法。 【請求項５】 前記機器におけるデータへのアクセスを拒否する場合，前記方法は，さらに， アラーム情報を送信する処理と，及び／又は， 前記敏感データにアクセスできないようになっている非セキュリティ環境とバンドルされたオペレーティングシステムを前記機器が起動することを，許可する処理とを含むことを特徴とする請求項４に記載の方法。 【請求項６】 環境監視サーバーは，予めセキュリティ環境での前記機器の身分情報を採集しておき，前記機器を毎回起動する前に， 環境監視サーバーは，現在の環境での前記機器の身分情報を採集し，セキュリティ環境での前記機器の身分情報に基づいて現在の環境での前記機器の身分情報を検証するとともに，検証結果に基づいて，前記機器が合法機器であるかどうかを判断し，合法機器であれば，前記機器の現在の環境での動作を許可し，合法機器でなければ，前記機器の現在の環境での動作を禁止することを特徴とする請求項１に記載の方法。 【請求項７】 前記機器が組み込み式機器の場合，前記敏感データは，カーネル及びイメージファイルデータであることを特徴とする請求項１乃至６のいずれか１項に記載の方法。 【請求項８】 データが所在している機器を含むデータ保護システムであって，前記機器は，初期化ユニット，ブート制御ユニット，環境因子獲得ユニット及び暗号化・復号ユニットを含み， 前記初期化ユニットは，前記機器を１回初期化するプロセスにおいて，環境因子獲得ユニットを介して，セキュリティ環境での機器の環境情報に基づいて環境因子を獲得し，暗号化・復号ユニットを介して，前記環境因子を用いて前記機器における敏感データを暗号化し，暗号化の成功を確認できた後に，前記初期化ユニットは，前記環境因子を廃棄し， 前記ブート制御ユニットは，前記機器を起動するたびに，環境因子獲得ユニットを介して，現在の環境での機器の環境情報に基づいて環境因子を獲得し，暗号化・復号ユニットを介して，現在の環境での環境因子を用いて前記暗号化された敏感データを復号し，復号成功の場合，前記ブート制御ユニットは，前記機器におけるデータへのアクセスを許可し，復号失敗の場合，前記機器におけるデータへのアクセスを拒否し， そのうち，前記敏感データは，前記機器のセキュリティ環境とバンドルされたオペレーティングシステムを起動する際に必須となる唯一的不揮発性データであり， 前記システムは，環境情報抽出ユニットをさらに含み， 前記環境情報抽出ユニットは，機器の温度環境情報を抽出するための温度採集装置，機器の湿度環境情報を抽出するための湿度採集装置，機器の光照射環境情報を抽出するための光照射採集装置，機器の物理環境画像情報を抽出するための画像採集装置，機器のネットワーク環境情報を抽出するためのネットワーク検知サーバー，機器と認証サーバーとの双方向身分認証情報を抽出するための認証サーバーのいずれか１種又は多種を含み， 前記環境因子獲得ユニットは，具体的に，一種又は多種の環境情報に対して特徴抽出を行い，予め定められたアルゴリズムに基づいて一定の長さのデータ列を生成して，該データ列を環境因子とすることを特徴とするシステム。 【請求項９】 前記環境情報抽出ユニットは，さらに，機器使用者の生物特徴情報を抽出するための生物特徴採集装置を含むことを特徴とする請求項８に記載のシステム。 【請求項１０】 環境監視サーバーをさらに含み， 前記環境監視サーバーは，予めセキュリティ環境での前記機器の身分情報を採集しておき，前記機器を毎回起動する前に，現在の環境での前記機器の身分情報を採集し，セキュリティ環境での前記機器の身分情報に基づいて現在の環境での前記機器の身分情報を検証するとともに，検証結果に基づいて前記機器が合法機器であるかどうかを判断し，合法機器であれば，前記機器の現在の環境での動作を許可し，合法機器でなければ，前記機器の現在の環境での動作を禁止することを特徴とする請求項８又は９に記載のシステム。」 第５　引用文献，引用発明等 １　引用文献１について 原査定の拒絶の理由に引用された引用文献１（米国特許出願公開第２００７／０２８２７５７号明細書）には，図面とともに次の事項が記載されている。 Ａ　「[0035] FIG. 5 is an example method 500 for a biometric device protected system. In this instance, the multiple user login entry device 202 could be a computer terminal including a biometric device and optional related computer terminal user interface devices such as a display, mouse and keyboard. In the method 500 of FIG. 5 , the user logs onto the multi-user encrypted disk system by allowing the biometric device to scan a portion of the user (step 502 ). Such scans may include scans of the eye, fingerprint, handprint, or any other biometrically obtained user parameter. In this instance, it is assumed that the biometric device used contains or has access to a mathematical comparison means for verifying the minutiae obtained from the user compares to data in a template. Thus, the biometric device itself can return an indication of a successful biometric match. Returning to FIG. 3 , the biometric device performs an on-device mathematical comparison of the user biometrics (step 504 ). [0036] Upon successful match of the biometric minutiae, the biometric device provides a private key to the computer system (step 506 ). The private key may then be stored in a secure storage location (step 508 ). The private key is used to access the disk decryption key hidden in a secure location on the computer (step 510 ). The encrypted disk is then decrypted using the disk decryption key (step 512 ). Once the encrypted disk having the OS is decrypted, the decrypted OS boots up (step 514 ). A login program or utility of the OS can then access the stored private key (step 516 ) by retrieving it from the secure location. The recovered private key is then used to login the specific biometrically identified user onto the OS computer system (step 518 ). Thus the user has access to the OS and other computer system resources without a second login or second use of the biometric identification device (step 520 ). The computer system may then optionally delete the private key from the secure location to enhance security of the private key (step 522 ). The next user of the system can then simply use the biometric identification technique to log onto the OS directly because the OS is up and running.」 （当審訳：　[0035]　図５はバイオメトリック装置で保護されたシステムの方法の例５００である。この場合，多数のユーザログインエントリー装置２０２はバイオメトリック装置と，ディスプレイ，マウスとキーボードのようなオプションの関連コンピュータ端末ユーザインタフェース装置を含むコンピュータ端末であってもよい。図５の方法５００では，バイオメトリック装置がユーザの一部をスキャンすることによって，ユーザは，マルチユーザの暗号化ディスクシステムにログオンする（ステップ502）。このようなスキャンは，目，指紋，手相，あるいは他のいかなるバイオメトリック的に得られるユーザパラメータのスキャンを含んでもよい。この場合，使用されるバイオメトリック装置が，テンプレートのデータと比較するユーザから得られる特徴量を検証するための数学的比較手段を含むか，アクセスをすることが想定される。それで，バイオメトリック装置自体が，バイオメトリックの照合成功の表示を返すことができる。図３に戻って，バイオメトリック装置は，装置上でのユーザバイオメトリクスの数学的な比較を実行する（ステップ504）。 [0036]　バイオメトリック特徴量の照合が成功した時に，バイオメトリック装置はコンピュータシステムに秘密キーを提供する（ステップ506）。それから，秘密キーは安全な保存場所に保管されてもよい（ステップ508）。秘密キーは，コンピュータ上の安全な場所に隠されたディスク復号キーにアクセスするために使われる（ステップ510）。それから，暗号化されたディスクはディスク復号キーを使って復号される（ステップ512）。ＯＳを有する暗号化されたディスクが復号されると，復号されたＯＳはブートする（ステップ514）。それから，ログインプログラムあるいはＯＳのユーティリティーが，安全な場所から検索することによって，保管された秘密キーにアクセスすることができる（ステップ516）。それから，取り戻された秘密キーは，特定のバイオメトリックにより識別されたユーザがＯＳコンピュータシステムにログオンするのに使用される（ステップ518）。それで，２回目のログイン，あるいは，バイオメトリック認証装置の２回目の使用をすることなしに，ユーザはＯＳと他のコンピュータシステム資源へのアクセスをする（ステップ520）。それから，コンピュータシステムは秘密キーの安全性を高めるために，オプションとして安全な場所から秘密キーを削除してもよい（ステップ522）。それから，ＯＳが動作していることから，次のシステムのユーザは直接ＯＳにログオンするためにバイオメトリック認証技術を単に使用することができる。） したがって，上記引用文献１には次の発明（以下，「引用発明」という。）が記載されていると認められる。 「バイオメトリック装置で保護されたシステムにおいてコンピュータシステム資源にアクセスする方法であって， ユーザが，暗号化されたディスクシステムにログオンするときに，指紋等の，バイオメトリック認証により得られたユーザパラメータをスキャンし， ユーザから得られた特徴量をテンプレートのデータと比較し， 照合が成功すると，秘密キーが提供され，秘密キーを用いて安全に保管された復号キーにアクセスし， 復号キーを用いてＯＳを有する暗号化されたディスクを復号し，復号されたＯＳを起動し， ユーザはＯＳ及び他のコンピュータシステム資源にアクセスすることを特徴とする方法。」 ２　引用文献２について 原査定の拒絶の理由に引用された引用文献２（特開２０００－３５８０２５号公報）には，図面とともに次のＢの事項が記載されている。 Ｂ　「【００２６】次に，図１を参照して，動作を説明する。ここでは，パーソナルコンピュータ（以下，ＰＣと称する）上に保存された内容を秘匿したいデータのユーザ本人のみ復号化できる暗号化を行うことを想定して説明する。 【００２７】ユーザがＰＣ上においてデータファイル等の暗号化を行おうとする場合，まず，指紋センサ１０は，ユーザ自身の指の指紋を入力する。続いて，指紋センサ１０は入力された指紋画像を指紋固有値計算部３へ出力する。隆線抽出部１１はこの指紋画像を読み取り，隆線パターンを抽出し，その結果を出力する。次に，特異点検出部１２は隆線抽出部１１において得られた隆線情報からコア特異点及びデルタ特異点の位置を検出し，その座標値を決定する。続いて，主紋様判定部１４は，隆線抽出部１１と特異点検出部１２から得られた隆線情報及び特異点情報に基づいて，紋様パターン（主分類）を決定する。また節線抽出部１３は入力指紋画像に含まれる第一関節線（以下節線）の位置と方向を検出して決定する。 【００２８】次に，特徴計算部１５では，特異点検出部１２，主紋様判定部１４及び節線抽出部１３から入力された特異点，主紋様，及び節線位置の情報に基づいて，主紋様判定部１４で決定された紋様パターンに応じた特異点間と節線の間の位置関係から計算される特徴量を計算し，それらを組み合わせて次のような固有値を計算する。 【００２９】具体例として，まず主紋様の判定結果が１つのコアと１つのデルタを持つ蹄状紋である場合を考えると，特異点検出部１２で求められたコアＣとデルタＤの座標から，コア－デルタ間交差隆線数，すなわち２点間を結ぶ線分と，その区間において交差する指紋の隆線の数を求める。これは隆線抽出部１３から得られた隆線記述と上記の線分の記述から交差数を計数することで求められる。また同様に節線位置情報から，コア－節線間交差隆線数とデルタ－節線間交差隆線数を求める。 【００３０】これによって求められた，主紋様の判定結果，コア－デルタ間交差隆線数，コア－節線間交差隆線数とデルタ－節線間交差隆線数を個々の特徴とし，最終的にはこれら複数の特徴に独立のビットフィールドを与え，それぞれの計算された特徴量をコード化して埋め込むことで，入力された指紋からその指紋の固有値を計算し，指紋固有値計算部３の計算結果として出力する。 【００３１】前述した説明では主紋様の判定結果が蹄状紋の場合について述べたが，突起弓状紋の場合も同様にこれらを特徴とすることができる。また渦状紋の場合は最大でコアが２つ，デルタが２つあるが，その場合はそれら４点の相互間の組合せ６種の全てあるいは一部についてそれぞれ上記の特徴量を計算することができる。弓状紋の場合は例えば最大曲率点から末節線におろした垂線を横切る交差隆線数を用いる。 【００３２】同一の指を複数回押捺した場合，その主紋様，特異点や節線間の交差隆線数は不変である上に，主紋様の判定結果，特異点や節線間の交差隆線数の計算結果はそれぞれ安定して観測，計算できる。従って固有値も不変で指紋に固有の値とすることができる。 【００３３】一方，これらの値は自然界において幅広く分布し，全く同一である確率はきわめて小さいので，指紋が異なれば異なった固有値が計算されることになり，従ってユーザ本人以外の指紋を入力して同一の固有値を計算させることはほとんど不可能であると言える。 【００３４】暗号鍵計算部４は，特徴計算部４から出力された指紋固有値を元に暗号処理に用いる鍵を計算する。もちろん指紋固有値そのものをそのまま鍵とすることもできるが，固有値を第３者に知られる可能性を減らすため，あるいはデータ暗号化に用いる鍵と固有値のビット数が異なる場合には特に，あらかじめ適当に定めるハッシュ関数を用いて鍵を決定することができる。ハッシュ関数は計算結果から入力の値を求めることができないような（逆関数推定不可能な）写像関数である。 【００３５】 データ暗号化部５では暗号鍵計算部４で計算された鍵を用い，ＰＣ上に用意された平文データファイルに対して暗号化処理を行う。暗号化処理には例えば共通暗号鍵を用いる方式であるＤＥＳなどの共通鍵暗号方式を用いることとする。計算後，暗号化鍵は削除する。これにより，暗号化データ記憶部６に保存されるデータファイルの内容は暗号化された状態で保存されるため，この暗号化に用いられた鍵の値を知ることができなければ，第３者がこのデータファイルを復号化することは不可能となる。 【００３６】 次に，このデータファイルを暗号化したユーザ本人が後になって復号化する際には，次のように行う。ユーザがＰＣの暗号化データ記憶部６にあるこのデータファイルの復号化（暗号の解除による内容の復帰）を行おうとする場合，暗号化データ記憶部６に保存されているデータファイルを指定した後に，暗号化の際に使用した指の指紋を，指紋センサ１０に対して入力する。指紋センサ１０はこの指紋を読み取り，隆線抽出部１１へ出力する。 【００３７】特異点検出部１２は隆線抽出部１１で得られた隆線情報から暗号化の際と同様にコア特異点及びデルタ特異点の位置を検出し，その座標値を決定する。主紋様判定部１４は，隆線抽出部１１と特異点検出部１２から得られた隆線情報及び特異点情報に基づいて，紋様パターン（主分類）を決定する。また節線抽出部１３は入力指紋画像に含まれる第一関節線（以下節線）の位置と方向を検出して決定する。 【００３８】特徴計算部１５は，特異点検出部１２，主紋様判定部１４及び節線抽出部１３から入力された特異点，主紋様，及び節線位置の情報に基づいて，暗号化の際の固有値計算と同様な特徴量を計算し，それらを組み合わせて暗号化の際と同じ計算法により固有値を計算する。暗号鍵計算部４は，特徴計算部１５から出力された指紋固有値を元に，暗号化の際と同様に復号処理に用いる鍵を計算する。 【００３９】データ復号化部７は復号化に際して暗号鍵計算部４で計算された鍵を用い，暗号化データ記憶部６に保存されているデータファイルに対して復号化処理を行う。復号化処理には暗号化の際と同じ方式を用いる。これにより，暗号化データ記憶部６に保存されたデータファイルの内容は復号化され，元の平文ファイルデータの内容が復帰されるので指紋を入力したユーザは内容を読むことが可能になる。 【００４０】このような動作によって，情報処理装置１に対し，暗号化の際と復号化の際に正当なユーザの正しい同一の指紋が入力されたときにのみ，復号化が許可されることになる。この場合，ユーザは復号化のための鍵や復号化動作を起動するパスワードを覚えておくという煩雑性もなく，またパスワードを忘れて復号化できなくなるという恐れもなくなる。また，正しい指紋を入力しなければ復号化することはできないため，第３者がデータファイルのユーザになりすまして，データを不正に読み出すことを防ぐことができる。 【００４１】さらに，データファイルの復号化に用いる秘密鍵を情報処理装置１内に保存しておく必要がないため，秘密鍵が不正に読み出され，復号化処理を実行されてファイルの中身を解読されることを防止でき，セキュリティの高いデータ保存を実現することができる。」 したがって，上記引用文献２には， 「指紋等のバイオメトリクスデータから特徴量を求め，特徴量を元に鍵を計算し，鍵を用いてファイルを暗号化し，暗号化の計算後に鍵を削除し，データの復号の際には改めて入力されたバイオメトリクスデータから特徴量を求め，特徴量を元に鍵を計算し，鍵を用いてファイルの復号化を行う」 旨の発明（以下，「引用文献２発明」という。）が記載されていると認められる。 ３　その他の文献について また，引用文献３（特表２００１－５２３９１９号公報）の段落【００５３】－【００６１】には，「特徴をハッシュして暗号キーとする」旨の技術が記載されている。 引用文献４（特開２００９－１１１９７１号公報）の段落【００７５】－【００８２】には，「バイオメトリックパラメータを使用して暗号文を解読する」旨の技術が記載されている。 引用文献５（特開２００５－６３２９２号公報）の段落【００３１】－【００４１】には，「温度，湿度，紫外線量，通信ネットワークの状況等を測定する外部センサによって検出した使用環境に応じて，暗号化されたデジタル情報へのアクセスの可否を決定する」旨の技術が記載されている。 引用文献６（特開２００８－８４１２５号公報）の段落【００３３】－【００４３】には，「情報処理装置において，背景画像の特徴情報が一致した場合に起動処理を行う」旨の技術が記載されている。 引用文献７（特開２００８－２５０４７８号公報）の段落【００５３】－【００７５】には，「管理サーバと相互認証を行って起動キーを受信した携帯通信端末から転送された起動キーを用いて，情報端末がゲストＯＳを起動するところ，情報端末が，携帯通信端末を介することなく，管理サーバから直接起動キーを受け取るように構成する」旨の技術が記載されている。 引用文献８（Morris Dworkin, Recommendation for Block Cipher Modes of Operation, Methods and Techniques, [online], NIST Special Publication, 800-38A, 2001年, p.1-16, [2015年7月3日検索], retrieved from the Internet <URL:http://csrc.nist.gov/publications/PubsSPs.html>）の（6.3 The Cipher Feedback Mode, 6.4 The Output Feedback Mode, 6.5 The Counter Mode）には，「暗号／復号化にビットワイズ対称アルゴリズムを用いる」旨の技術が記載されている。 引用文献９（特開２０１０－１０２４４１号公報）の段落【００３１】－【００３６】には，「ＯＳ－Ａに障害が発生すると，ＯＳ－Ｂが稼働を開始する」旨の技術が記載されている。 引用文献１０（北郷達郎，受動から能動へ転換するコンピュータ・セキュリティー，日経エレクトロニクス，2007年10月8日，第962号, p.95-102）の（図５（ａ）ＡＲＭ社の「ＴｒｕｓｕｔＺｏｎｅ」）には，「セキュア・モードで動作する保護領域用のＯＳ及びアプリケーションソフトウェア，並びに，通常モードで動作する通常のＯＳ及びアプリケーションソフトウェアを設けて，セキュア・モードのプログラムは通常モードで利用するメモリ等にアクセスできるが，逆はできないようにする」旨の技術が記載されている。 第６　対比・判断 １　本願発明１について （１）対比 本願発明１と引用発明とを対比すると，次のことがいえる。 ア　引用発明は，「バイオメトリック装置で保護されたシステムにおいてコンピュータシステム資源にアクセスする方法」であるところ，「コンピュータシステム資源」はシステムによって保護されたデータを含むと解されるから，上位概念では，“データ保護方法”であるといえる。 そうすると，引用発明と本願発明１とは，“データ保護方法”である点で共通するといえる。 イ　引用発明では，「ユーザが，暗号化されたディスクシステムにログオンする」ところ，「ディスクシステム」にログオンする時には，「復号キーを用いてＯＳを有する暗号化されたディスクを復号し，復号されたＯＳを起動」することから，「ディスク」には「ＯＳ」が予め暗号化されて記憶されているといえる。そして，引用発明の「バイオメトリック装置で保護されたシステム」は「ＯＳ」を有し，上位概念では“機器”といえ，引用発明の「ＯＳ」は，“セキュリティ環境で保管された暗号キー”を用いて予め暗号化が行われること，“機器のオペレーティングシステムを起動する際に必須となるデータ”であることは自明であるから，引用発明の「ＯＳ」は本願発明１の「敏感データ」に相当するといえる。 一方，本願発明１では，「データが所在している機器を１回初期化するプロセスにおいて，セキュリティ環境での機器の環境情報に基づいて環境因子を獲得し，並びに，セキュリティ環境での環境因子を用いて機器における敏感データを暗号化し，且つ暗号化の成功を確認できた後に前記環境因子を廃棄」し，「そのうち，前記敏感データは，前記機器のセキュリティ環境とバンドルされたオペレーティングシステムを起動する際に必須となる唯一的不揮発性データであ」るところ，「敏感データ」は「機器のセキュリティ環境とバンドルされたオペレーティングシステムを起動する際に必須となる唯一的不揮発性データ」であり，また，「環境因子」は「敏感データ」を予め暗号化する時に用いることから，“セキュリティ環境で保管された暗号キー”とみることができる。 そうすると，引用発明の「ＯＳを有する」「ディスクシステム」を暗号化しておくことと， 本願発明１の「データが所在している機器を１回初期化するプロセスにおいて，セキュリティ環境での機器の環境情報に基づいて環境因子を獲得し，並びに，セキュリティ環境での環境因子を用いて機器における敏感データを暗号化し，且つ暗号化の成功を確認できた後に前記環境因子を廃棄し」，「敏感データは，前記機器のセキュリティ環境とバンドルされたオペレーティングシステムを起動する際に必須となる唯一的不揮発性データであり，前記環境情報は，機器の温度環境情報，機器の湿度環境情報，機器の光照射環境情報，機器の物理環境画像情報，機器のネットワーク環境情報，機器と認証サーバーとが双方向身分認証を行う双方向身分認証情報のいずれか１種又は多種を含み，前記環境情報に基づいて環境因子を獲得する処理は，一種又は多種の環境情報に対して特徴抽出を行い，予め定められたアルゴリズムに基づいて一定の長さのデータ列を生成して，該データ列を環境因子とする処理を含むこと」とは，後記する点で相違するものの， “セキュリティ環境で保管された暗号キーを用いて機器における敏感データを予め暗号化しておき”，“そのうち，前記敏感データは，前記機器のオペレーティングシステムを起動する際に必須となるデータである”点で共通しているといえる。 ウ　引用発明では，「ユーザが，暗号化されたディスクシステムにログオンするときに，指紋等の，バイオメトリック認証により得られたユーザパラメータをスキャンし，ユーザから得られた特徴量をテンプレートのデータと比較し，照合が成功すると，秘密キーが提供され，秘密キーを用いて安全に保管された復号キーにアクセスし，復号キーを用いてＯＳを有する暗号化されたディスクを復号し，復号されたＯＳを起動し，ユーザはＯＳ及び他のコンピュータシステム資源にアクセスする」ところ，「指紋等の，バイオメトリック認証により得られたユーザパラメータ」の「特徴量」の照合結果に応じて「ＯＳを有する暗号化されたディスク」の「復号キー」へのアクセスを可能とすることから，「指紋等の，バイオメトリック認証により得られたユーザパラメータ」は“機器の認証情報”とみることができ，“機器を起動する時に，機器の認証情報を用いて復号キーを獲得”するといえる。 また，上記イでの検討より，「ディスク」には“敏感データ”が予め暗号化されて記憶されているといえ，「ＯＳを有する暗号化されたディスク」の復号が成功すれば，「ユーザはＯＳ及び他のコンピュータシステム資源へのアクセスが許可され，復号が失敗すれば，「ユーザはＯＳ及び他のコンピュータシステム資源」へのアクセスが拒否されることから，“前記復号キーを用いて前記機器における暗号化された敏感データを復号し，復号成功の場合，前記機器におけるデータへのアクセスを許可し，復号失敗の場合，前記機器におけるデータへのアクセスを拒否”するといえる。 一方，本願発明１では，「前記機器を起動するたびに，現在の環境での機器の環境情報に基づいて環境因子を獲得し，現在の環境での環境因子を用いて前記機器における暗号化された敏感データを復号し，復号成功の場合，前記機器におけるデータへのアクセスを許可し，復号失敗の場合，前記機器におけるデータへのアクセスを拒否」するところ，機器を起動する時に，「現在の環境での機器の環境情報」に基づいて獲得した「環境因子」を用いて前記機器における暗号化された「敏感データ」を復号可能とすることから，「現在の環境での機器の環境情報」は“機器の認証情報”，「環境因子」は“復号キー”とみることができる。 そうすると，引用発明の「ユーザが，暗号化されたディスクシステムにログオンするときに，指紋等の，バイオメトリック認証により得られたユーザパラメータをスキャンし，ユーザから得られた特徴量をテンプレートのデータと比較し，照合が成功すると，秘密キーが提供され，秘密キーを用いて安全に保管された復号キーにアクセスし，復号キーを用いてＯＳを有する暗号化されたディスクを復号し，復号されたＯＳを起動し，ユーザはＯＳ及び他のコンピュータシステム資源にアクセスする」ことと， 本願発明１の「前記機器を起動するたびに，現在の環境での機器の環境情報に基づいて環境因子を獲得し，現在の環境での環境因子を用いて前記機器における暗号化された敏感データを復号し，復号成功の場合，前記機器におけるデータへのアクセスを許可し，復号失敗の場合，前記機器におけるデータへのアクセスを拒否」することとは，後記する点で相違するものの， “前記機器を起動する時に，機器の認証情報を用いて復号キーを獲得し，前記復号キーを用いて前記機器における暗号化された敏感データを復号し，復号成功の場合，前記機器におけるデータへのアクセスを許可し，復号失敗の場合，前記機器におけるデータへのアクセスを拒否”する点で共通しているといえる。 したがって，本願発明１と引用発明との間には，次の一致点，相違点があるといえる。 （一致点） 「　データ保護方法であって， セキュリティ環境で保管された暗号キーを用いて機器における敏感データを予め暗号化しておき， 前記機器を起動する時に，機器の認証情報を用いて復号キーを獲得し，前記復号キーを用いて前記機器における暗号化された敏感データを復号し，復号成功の場合，前記機器におけるデータへのアクセスを許可し，復号失敗の場合，前記機器におけるデータへのアクセスを拒否し， そのうち，前記敏感データは，前記機器のオペレーティングシステムを起動する際に必須となるデータである，方法。」 （相違点） （相違点１） 機器の敏感データを予め暗号化することに関し， 本願発明１では，「データが所在している機器を１回初期化するプロセスにおいて，セキュリティ環境での機器の環境情報に基づいて環境因子を獲得し，並びに，セキュリティ環境での環境因子を用いて機器における敏感データを暗号化し」，「敏感データは，前記機器のセキュリティ環境とバンドルされたオペレーティングシステムを起動する際に必須となる唯一的不揮発性データであり，前記環境情報は，機器の温度環境情報，機器の湿度環境情報，機器の光照射環境情報，機器の物理環境画像情報，機器のネットワーク環境情報，機器と認証サーバーとが双方向身分認証を行う双方向身分認証情報のいずれか１種又は多種を含み，前記環境情報に基づいて環境因子を獲得する処理は，一種又は多種の環境情報に対して特徴抽出を行い，予め定められたアルゴリズムに基づいて一定の長さのデータ列を生成して，該データ列を環境因子とする処理を含む」のに対して， 引用発明では，「ＯＳを有する」「ディスクシステム」を予め暗号化しておくものの，予め暗号化することが「データが所在している機器を１回初期化するプロセスにおいて」行われることや，「セキュリティ環境での機器の環境情報」に基づいて獲得した「環境因子」を用いて機器の「敏感データ」を暗号化することは言及されておらず，如何なる情報に基づき暗号化するか不明である点。 （相違点２） 機器の敏感データを予め暗号化した後の“暗号キー”の扱いに関し， 本願発明１では，「データが所在している機器を１回初期化するプロセスにおいて」，「暗号化の成功を確認できた後に前記環境因子を廃棄」するのに対して， 引用発明では，「ＯＳを有する」「ディスクシステム」を暗号化した後に，“暗号キー”を廃棄することは言及されていない点。 （相違点３） 機器を起動する時の敏感データの復号に関し， 本願発明１では，「機器を起動するたびに，現在の環境での機器の環境情報に基づいて環境因子を獲得し，現在の環境での環境因子を用いて前記機器における暗号化された敏感データを復号」するのに対して， 引用発明では，「指紋等の，バイオメトリック認証により得られたユーザパラメータをスキャンし，ユーザから得られた特徴量をテンプレートのデータと比較し，照合が成功すると，秘密キーが提供され，秘密キーを用いて安全に保管された復号キーにアクセス」可能とするものの，「現在の環境での機器の環境情報」に基づいて獲得した「環境因子」を用いて機器の「敏感データ」を復号することは言及されていない点。 （２）相違点についての判断 ア　相違点１について 引用発明では，「ＯＳを有する」「ディスクシステム」が予め暗号化されていると解され，そのための「復号キー」に対応する“セキュリティ環境で保管された暗号キー”が存在することは自明であるものの，“暗号キー”が如何にして生成されるかは不明である。仮に「復号キー」と同様に，“暗号キー”は，「指紋等の，バイオメトリック認証」により得られたユーザパラメータをスキャンし，ユーザから得られた特徴量をテンプレートのデータと比較し，照合が成功すると提供される「秘密キー」を用いてアクセス可能であったとしても，「指紋等の，バイオメトリック認証」の過程で得られる「特徴量」を“暗号キー”として用いるとは認められず，“暗号キー”はバイオメトリック認証処理後に，照合結果に基づき「秘密キー」を介してアクセス可能となる“セキュリティ環境で保管された暗号キー”であるに過ぎない。 また，引用文献２発明のような，「指紋等のバイオメトリクスデータから特徴量を求め，特徴量を元に鍵を計算し，鍵を用いてファイルを暗号化し，暗号化の計算後に鍵を削除し，データの復号の際には改めて入力されたバイオメトリクスデータから特徴量を求め，特徴量を元に鍵を計算し，鍵を用いてファイルの復号化を行う」ことが，本願の優先日前には当該技術分野における公知発明であったことを考慮しても，「指紋等のバイオメトリクスデータ」の特徴量を暗号化に用いる技術に基づき，本願発明１の「セキュリティ環境での機器の環境情報」から得られる「環境因子」を“敏感データ”の暗号化に利用することを着想できたとはいえない。 そうすると，引用発明において，「セキュリティ環境での機器の環境情報」に基づいて獲得した「環境因子」を用いて機器の「ＯＳを有する」「ディスクシステム」を暗号化すること，さらに，「環境情報は，機器の温度環境情報，機器の湿度環境情報，機器の光照射環境情報，機器の物理環境画像情報，機器のネットワーク環境情報，機器と認証サーバーとが双方向身分認証を行う双方向身分認証情報のいずれか１種又は多種を含み，前記環境情報に基づいて環境因子を獲得する処理は，一種又は多種の環境情報に対して特徴抽出を行い，予め定められたアルゴリズムに基づいて一定の長さのデータ列を生成して，該データ列を環境因子とする処理を含む」ように変更することへの動機付けが存在するとはいえない。 加えて，引用文献３－１０に記載の技術を参酌しても，本願発明１のような「セキュリティ環境での機器の環境情報」であって，「機器の温度環境情報，機器の湿度環境情報，機器の光照射環境情報，機器の物理環境画像情報，機器のネットワーク環境情報，機器と認証サーバーとが双方向身分認証を行う双方向身分認証情報のいずれか１種又は多種を含」む「環境情報」から得られる「環境因子」を“敏感データ”の暗号化に利用することが，本願の優先日前に当該技術分野における周知技術であったとは認められない。 してみると，引用発明において，セキュリティ環境での機器の環境情報に基づいて獲得した環境因子を用いて，機器のセキュリティ環境とバンドルされたオペレーティングシステムを起動する際に必須となる唯一的不揮発性データである敏感データを暗号化すること，すなわち，上記相違点１に係る構成とすることは，当業者が適宜なし得たものであるとはいえない。 イ　まとめ 上記相違点２，３について判断するまでもなく，本願発明１は，当業者であっても，引用発明及び引用文献２－１０に記載された技術的事項に基づいて容易に発明できたものであるとはいえない。 ２　本願発明２－７について 本願発明２－７は，本願発明１を減縮した発明であり，本願発明１の「データが所在している機器を１回初期化するプロセスにおいて，セキュリティ環境での機器の環境情報に基づいて環境因子を獲得し，並びに，セキュリティ環境での環境因子を用いて機器における敏感データを暗号化し」，「敏感データは，前記機器のセキュリティ環境とバンドルされたオペレーティングシステムを起動する際に必須となる唯一的不揮発性データであり，前記環境情報は，機器の温度環境情報，機器の湿度環境情報，機器の光照射環境情報，機器の物理環境画像情報，機器のネットワーク環境情報，機器と認証サーバーとが双方向身分認証を行う双方向身分認証情報のいずれか１種又は多種を含み，前記環境情報に基づいて環境因子を獲得する処理は，一種又は多種の環境情報に対して特徴抽出を行い，予め定められたアルゴリズムに基づいて一定の長さのデータ列を生成して，該データ列を環境因子とする処理を含む」こと，と同一の構成を備えるものであるから，本願発明１と同じ理由により，当業者であっても，引用発明及び引用文献２－１０に記載された技術的事項に基づいて容易に発明できたものとはいえない。 ３　本願発明８－１０について 本願発明８－１０は，本願発明１，２，６に対応する「システム」の発明であり，本願発明１の「データが所在している機器を１回初期化するプロセスにおいて，セキュリティ環境での機器の環境情報に基づいて環境因子を獲得し，並びに，セキュリティ環境での環境因子を用いて機器における敏感データを暗号化し」，「敏感データは，前記機器のセキュリティ環境とバンドルされたオペレーティングシステムを起動する際に必須となる唯一的不揮発性データであり，前記環境情報は，機器の温度環境情報，機器の湿度環境情報，機器の光照射環境情報，機器の物理環境画像情報，機器のネットワーク環境情報，機器と認証サーバーとが双方向身分認証を行う双方向身分認証情報のいずれか１種又は多種を含み，前記環境情報に基づいて環境因子を獲得する処理は，一種又は多種の環境情報に対して特徴抽出を行い，予め定められたアルゴリズムに基づいて一定の長さのデータ列を生成して，該データ列を環境因子とする処理を含む」こと，と対応する構成を備えるものであるから，本願発明１と同じ理由により，当業者であっても，引用発明及び引用文献２－１０に記載された技術的事項に基づいて容易に発明できたものとはいえない。 第７　原査定について ＜理由２（特許法第２９条第２項）について＞ 審判請求時の補正により，本願発明１－１０は， 「データが所在している機器を１回初期化するプロセスにおいて，セキュリティ環境での機器の環境情報に基づいて環境因子を獲得し，並びに，セキュリティ環境での環境因子を用いて機器における敏感データを暗号化し」，「敏感データは，前記機器のセキュリティ環境とバンドルされたオペレーティングシステムを起動する際に必須となる唯一的不揮発性データであり，前記環境情報は，機器の温度環境情報，機器の湿度環境情報，機器の光照射環境情報，機器の物理環境画像情報，機器のネットワーク環境情報，機器と認証サーバーとが双方向身分認証を行う双方向身分認証情報のいずれか１種又は多種を含み，前記環境情報に基づいて環境因子を獲得する処理は，一種又は多種の環境情報に対して特徴抽出を行い，予め定められたアルゴリズムに基づいて一定の長さのデータ列を生成して，該データ列を環境因子とする処理を含む」 という事項を有するものとなっており，当業者であっても，拒絶査定において引用された引用文献１－１０に基づいて，容易に発明できたものとはいえない。 したがって，原査定の理由２を維持することはできない。 第８　むすび 以上のとおり，本願発明１－１０は，当業者が引用発明及び引用文献２－１０に記載された技術的事項に基づいて容易に発明をすることができたものではない。したがって，原査定の理由によっては，本願を拒絶することはできない。 また，他に本願を拒絶すべき理由を発見しない。 よって，結論のとおり審決する。