2016-018696

特願２０１４－　３８７０３「ユーザ認証サーバ，ユーザ認証方法，ユーザ認証サーバ用プログラム」拒絶査定不服審判事件〔平成２７年　９月　７日出願公開，特開２０１５－１６２２１１，請求項の数（４）〕について，次のとおり審決する。

【結　論】 原査定を取り消す。 本願の発明は，特許すべきものとする。

【理　由】 第１．手続の経緯 本願は，平成２６年２月２８日の出願であって， 平成２７年１１月２５日付けで拒絶理由がされ，平成２８年２月８日付けで意見書が提出されると共に手続補正がされ，平成２８年６月１日付けで最後の拒絶理由がされ，平成２８年８月２６日付けで意見書が提出されたが，平成２８年９月９日付けで拒絶査定（原査定）がされ，これに対して，平成２８年１２月１２日付けで拒絶査定不服審判の請求がされると共に手続補正がされ，平成２９年１月２７日付けで審査官により特許法第１６４条第３項の規定に基づく報告がされ，平成２９年１０月２６日付で当審により補正の却下の決定がされる共に拒絶理由（当審拒絶理由）がされ，平成３０年１月８日付けで意見書が提出されると共に手続補正（最新の手続補正）がされたものである。 第２．原査定の概要 原査定（平成２８年９月９日付け拒絶査定）の概要は次のとおりである。 本願請求項１，２，４，５に係る発明は，以下の引用文献Ａ－Ｃに基づいて，その出願前にその発明の属する技術の分野における通常の知識を有する者が容易に発明をすることができたものであるから，特許法第２９条第２項の規定により特許を受けることができない。 ＜引用文献等一覧＞ Ａ：国際公開第２０１１／０８３８６７号 Ｂ：特開２００８－２４２９２６号公報 Ｃ：国際公開第２００７／１１０９５１号 第３．当審拒絶理由の概要 当審拒絶理由の概要は次のとおりである。 （１）平成２８年２月８日付けでした手続補正は，下記の点で願書に最初に添付した明細書，特許請求の範囲又は図面に記載した事項の範囲内においてしたものでないから，特許法第１７条の２第３項に規定する要件を満たしていない。 （２）本件出願は，明細書，特許請求の範囲及び図面の記載が下記の点で不備のため，特許法第３６条第４項第１号及び第６項第１号，第２号に規定する要件を満たしていない。 （３）本願請求項１，２，４，５に係る発明は，引用例１－３に記載された発明に基づいて，当業者が容易に発明をすることができたものであるので，特許法第２９条第２項の規定により特許を受けることができない。 ＜引用文献等一覧＞ １：国際公開第２０１１／０８３８６７号 ２：特開２００８－２４２９２６号公報 ３：国際公開第２００７／１１０９５１号 第４．本願発明 本願請求項１－４に係る発明（以下，それぞれ「本願発明１」－「本願発明４」という。）は，平成３０年１月８日付けの手続補正（以下、「最新の手続補正」という。）で補正された特許請求の範囲の請求項１－４に記載された事項により特定される発明であり，以下のとおりである。 １．本願発明１ 「【請求項１】 ユーザが利用するユーザ端末と通信可能に接続され，ユーザの認証を行うユーザ認証サーバであって， 前記ユーザ端末から，ワンタイムパスワードとユーザの識別子を受信するワンタイムパスワード受信手段と， 前記受信したユーザの識別子を用いて，前記受信したワンタイムパスワードが有効であるか否かを識別するワンタイムパスワード識別手段と， 前記識別の結果，有効であった場合にのみ，前記ユーザ端末から，ワンタイムパスワード以外に認証に用いる認証情報を受信する認証情報受信手段と， 前記認証情報を用いて前記ユーザの認証を行う認証実行手段と， 認証履歴データベースを備え， 前記ユーザについて前記認証を行った際，当該ユーザのユーザ関連情報に含まれるＩＰアドレスを取得し，認証履歴として記憶させる認証履歴記憶手段と， 前記ユーザについて前記認証を行う際，当該ユーザの認証履歴を抽出する認証履歴抽出手段と， 前記抽出した認証履歴に含まれるＩＰアドレスと，取得したユーザ関連情報に含まれるＩＰアドレスとを比較して，差分を抽出する認証履歴差分抽出手段と， 前記抽出した差分が，所定の閾値を超えていた場合，前記ユーザの認証時に警告処理と認証処理の中止の少なくともいずれかを行う警告処理手段と， 警告履歴データベースと， 前記警告処理又は認証処理を中止した場合に，認証を行ったユーザとともに前記警告履歴データベースに警告履歴を記録させる警告履歴記憶手段と， 前記ユーザについて前記認証を行う際，当該ユーザの警告履歴を抽出する警告履歴抽出手段と，を備え， 前記抽出した警告履歴の数が，所定の閾値を超えていた場合，前記ユーザの認証時に警告処理と認証処理の中止のいずれかを行うことを特徴とするユーザ認証サーバ。」 ２．本願発明２－４ 本願発明２は，本願発明１を減縮した発明である。 本願発明３－４は，本願発明１とカテゴリ表現が異なるだけの発明である。 第５．引用文献，引用発明 １．引用文献１について， （１）本願出願前に頒布され原審及び当審において引用した，国際公開第２０１１／０８３８６７号（２０１１年７月１４日国際公開，以下，これを「引用文献１」という）には，関連する図面とともに，次の事項が記載されている（下線は，説明のため当審で付与した。）。 Ａ．「[0006]　本発明は，このような問題に鑑みてなされたものであり，簡易な構成により，第三者のなりすましを防止できる認証装置，認証方法，及び，プログラムを提供することを目的とする。 （中略） [0038]　ユーザの操作に従って，携帯電話２０は，携帯電話２０からインターネット６０を介して社内システム４０に接続を要求するショートメッセージを，携帯電話網（移動体通信網）５０を介して，認証装置１０に送信する（ステップＳ１１）。 認証装置１０は，携帯電話２０からショートメッセージを受信すると，ショートメッセージの送信元アドレスに設定されている電話番号に対応する電話番号が認証ＤＢ１２１にあるか否かを判別して，当該携帯電話２０を認証する（ステップＳ１２）。 認証装置１０は，携帯電話２０の電話番号を用いた認証が成功すると，ワンタイムパスワードをパラメータに含んだ認証装置１０へアクセスするためのＵＲＬを作成する。認証装置１０は，作成したＵＲＬを，携帯電話網５０を介して，携帯電話２０に通知する（ステップＳ１３）。 [0039]　携帯電話２０は，ユーザの操作に従って，認証装置１０から通知されたＵＲＬ先（即ち，認証装置１０）に，インターネット６０を介してアクセスする（ステップＳ１４）。認証装置１０は，携帯電話２０からのアクセスがあると，ＵＲＬに含まれるワンタイムパスワードを用いて，携帯電話２０を認証（ＵＲＬ認証）する（ステップＳ１５）。 [0040]　認証装置１０によりＵＲＬ認証が完了すると，携帯電話２０は，ユーザの操作に従って，ユーザが入力した暗証番号を，インターネット６０を介して認証装置１０に送信する（ステップＳ１６）。認証装置１０は，携帯電話２０から受信した暗証番号を用いて，当該携帯電話２０のユーザを認証する（ステップＳ１７）。 認証装置１０は，この認証が完了すると，携帯電話２０から社内システム４０へのアクセスを許可する（ステップＳ１８）。」 Ｂ．「[0043]　認証装置１０の制御部１３は，移動体通信網５０を介して，携帯電話２０から接続要求ＳＭを受信すると（ステップＳ１０２），接続要求ＳＭの送信元アドレスに設定されている電話番号を用いて，携帯電話２０の認証を行う。即ち，まず，制御部１３は，接続要求ＳＭの送信元アドレスに設定されている電話番号が，認証ＤＢ１２１に登録されているか否かを判別する（ステップＳ１０３）。」 Ｃ．「[0047]　続いて，制御部１３は，乱数などを発生させるなどしてワンタイムパスワードを作成する。制御部１３は，作成したワンタイムパスワードを，さきほどステータスを更新した認証ＤＢ１２１のレコードに記憶する（ステップＳ１０６）。また，制御部１３は，そのときの時刻を，認証ＤＢ１２１の当該レコードの応答時刻に記録する（ステップＳ１０７）。 [0048]　続いて，制御部１３は，インターネット６０を介して認証装置１０にアクセスするためのアドレス情報（例えば，ＵＲＬ（Uniform Resource Locator））を作成する（ステップＳ１０８）。なお，このＵＲＬには，認証装置１０へのアクセス用のＵＲＬ以外に，接続要求ＳＭの送信元アドレスに設定されている電話番号と，ステップＳ１０６で作成したワンタイムパスワードとがパラメータとして付与される。例えば，ステップＳ１０８の処理により，「http://www.aaa.com?x1=0904567865&x2=93445693」のようなＵＲＬが作成される。この例では，「http://www.aaa.com」は，認証装置１０へのアクセス用ＵＲＬ，パラメータｘ１に設定されている「0904567865」は電話番号，パラメータｘ２に設定されている「93445693」は発行されたワンタイムパスワードを示す。」 Ｄ．「[0052]　認証装置１０の制御部１３は，インターネット６０を介して，携帯電話２０からのアクセスがあると，当該アクセスの際のＵＲＬを用いて，認証を行う。即ち，まず，制御部１３は，このＵＲＬから，ワンタイムパスワードと電話番号とを取得する（ステップＳ１１２）。なお，ＵＲＬから電話番号とワンタイムパスワードとを取得できない場合にはエラーとして処理を終了する。 [0053]　続いて，制御部１３は，ステップＳ１１２で取得した情報を用いて，接続要求ＳＭを送信して認証を与えた携帯電話２０からのアクセスであるか否かを判別する（ステップＳ１１３）。 具体的には，制御部１３は，ステップＳ１１２で取得したワンタイムパスワードと電話番号とが対応付けられて記憶されているレコードが認証ＤＢ１２１に有り，且つ，そのレコードのステータスが接続待ち状態を示す「１」である場合に，認証を与えた携帯電話２０からのアクセスであると判別する。 （中略） [0057]　制御部１３は，所定時間以内であると判別した場合（ステップＳ１１５；Ｙｅｓ），暗証番号入力用の所定の画面を表す画面データを，インターネット６０を介してアクセス元の携帯電話２０に送信（返信）する（ステップＳ１１６）。 このように，認証装置１０は，携帯電話２０からインターネット６０を介したアクセスがあると，そのＵＲＬに含まれる情報を用いて認証を行う。 [0058]　携帯電話２０は，認証装置１０からインターネット６０を介して受信した画面データに従って，暗証番号入力用の画面を表示する（図６，ステップＳ１１７）。ユーザは，携帯電話２０のボタンを押下する等して，予め設定した暗証番号を携帯電話２０に入力して認証装置１０に送信させるための操作を行う。携帯電話２０は，入力された暗証番号を，インターネット６０を介して，認証装置１０に送信する（ステップＳ１１８）。 [0059]　認証装置１０の制御部１３は，インターネット６０を介して，携帯電話２０から暗証番号を受信すると（ステップＳ１１９），暗証番号を用いたユーザ認証を行う。即ち，制御部１３は，認証ＤＢ１２１を参照して，携帯電話２０から受信した暗証番号が，認証を与えた携帯電話２０の暗証番号（即ち，ステップＳ１１２でＵＲＬから取得した電話番号が記憶されている認証ＤＢ１２１のレコードの暗証番号）と一致する否かを判別する（ステップＳ１２０）。」 （２）引用発明 引用文献１に記載された事項を検討する。 ア．上記Ａの「ユーザの操作に従って，携帯電話２０は」「社内システム４０に接続を要求するショートメッセージを，携帯電話網（移動体通信網）５０を介して，認証装置１０に送信する」という記載，及び「認証装置１０は」「受信した暗証番号を用いて，当該携帯電話２０のユーザを認証する」という記載から，引用文献１においては，“ユーザが利用する携帯電話と通信可能に接続された，ユーザの認証を行う認証装置”が読み取れる。 イ．上記Ａの「認証装置１０は」「ワンタイムパスワードをパラメータに含んだＵＲＬを作成」し，「作成したＵＲＬを携帯電話２０に通知する」との記載，「携帯電話２０は，ＵＲＬ先（即ち，認証装置１０）に，インターネット６０を介してアクセス」し，「認証装置１０は，携帯電話２０からのアクセスがあると，ＵＲＬに含まれるワンタイムパスワードを用いて，携帯電話２０を認証（ＵＲＬ認証）する」との記載，上記Ｃの「制御部１３は，認証装置１０にアクセスするためのアドレス情報（例えば，ＵＲＬ）を作成する」との記載，「ＵＲＬには，認証装置１０へのアクセス用のＵＲＬ以外に，接続要求ＳＭの送信元アドレスに設定されている電話番号と作成したワンタイムパスワードとがパラメータとして付与される」との記載，上記Ｄの「認証装置１０の制御部１３は，インターネット６０を介して，携帯電話２０からのアクセスがあると」「ＵＲＬから，ワンタイムパスワードと電話番号とを取得する」との記載から，引用文献１においては，“携帯電話から，ワンタイムパスワードが含まれるＵＲＬを用いて認証装置がアクセスされると，アクセスの際のＵＲＬから，ワンタイムパスワードと電話番号を取得”する“制御部”が読み取れる。 ウ．上記Ａの「認証装置１０は，携帯電話２０からのアクセスがあると，ＵＲＬに含まれるワンタイムパスワードを用いて，携帯電話２０を認証（ＵＲＬ認証）する」との記載，上記Ｄの「制御部１３は」「取得したワンタイムパスワードと電話番号とが対応付けられて記憶されているレコードが認証ＤＢ１２１に有り，且つ，そのレコードのステータスが接続待ち状態を示す「１」である場合に，認証を与えた携帯電話２０からのアクセスであると判別する」との記載から，引用文献１においては，“取得したワンタイムパスワードと電話番号に基づいて，認証を与えた携帯電話であるかを識別”する“制御部”が読み取れる。 エ．上記Ａの「認証装置１０によりＵＲＬ認証が完了すると，携帯電話２０は」「ユーザが入力した暗証番号を，インターネット６０を介して認証装置１０に送信」し，「認証装置１０は」「受信した暗証番号を用いて，当該携帯電話２０のユーザを認証する」との記載，「認証装置１０は，この認証が完了すると，携帯電話２０から社内システム４０へのアクセスを許可する」との記載，上記Ｄの「制御部１３は，認証ＤＢ１２１を参照して，携帯電話２０から受信した暗証番号が，認証を与えた携帯電話２０の暗証番号（ＵＲＬから取得した電話番号が記憶されている認証ＤＢ１２１のレコードの暗証番号）と一致する否かを判別する」との記載から，引用文献１においては，“識別の結果，認証を与えた携帯電話であった場合にのみ，携帯電話から，暗証番号を受信する制御部”と“暗証番号を用いて携帯電話のユーザの認証を行”う“制御部”が読み取れる。 オ．上記ア．～エ．において検討した事項から，引用文献１には，次の発明（以下，これを「引用発明」という）が記載されているものと認める。 「ユーザが利用する携帯電話と通信可能に接続され，ユーザの認証を行う認証装置であって， 前記携帯電話から，ワンタイムパスワードが含まれるＵＲＬを用いて前記認証装置がアクセスされると，アクセスの際のＵＲＬからワンタイムパスワードと電話番号を取得し， 前記取得したワンタイムパスワードと電話番号に基づいて，認証を与えた携帯電話であるかを識別し， 前記識別の結果，認証を与えた携帯電話であった場合にのみ，携帯電話から，暗証番号を受信し， 前記暗証番号を用いて携帯電話のユーザの認証を行う，制御部 を備えることを特徴とする認証装置。」 ２．引用文献２ 本願出願前に頒布され原審及び当審において引用した，特開２００８－２４２９２６号公報（２００８年１０月９日公開，以下，これを「引用文献２」という）には，関連する図面とともに，次の事項が記載されている。 Ｅ．「【０００１】 本発明は，ワンタイムパスワードを用いてユーザの正当性を認証する認証技術に関する。 （中略） 【００１９】 認証サーバ５は，ユーザ端末（携帯電話１，端末２）からのアクセス要求を認証し，認証に成功した場合に所定のサービスを提供する。図示する認証サーバ５は，１次認証を行う１次認証部５１と，ユーザ端末が携帯電話１か否かを判別する判別部５２と，ユーザ端末が携帯電話１の場合にワンタイムパスワードを生成する第１の生成部５３と，ユーザ端末が端末２の場合にワンタイムパスワードを要求するワンタイムパスワード要求部５４と，ユーザ端末からワンタイムパスワードを受信するワンタイムパスワード受信部５５と，認証用のワンタイムパスワードを生成する第２の生成部５６と，ユーザ端末から送信されたワンタイムパスワードと第２の生成部が生成したワンタイムパスワードとを検証する２次認証部５７と，ユーザ端末に所定のサービスを提供する業務処理部５８と，を有する。」 Ｆ．「【００２２】 ワンタイムパスワード生成キー２０４は，ワンタイムパスワードを生成するための情報であって，固定情報（シード）と可変情報（カウンタ，時刻情報など）とを有する。固定情報は，ユーザ毎（またはユーザＩＤ毎）に割り当てられるユニークな文字列である。可変情報は，毎回異なるワンタイムパスワードを生成するための情報である。可変情報としては，例えば，時刻情報（タイムスタンプ）や，ワンタイムパスワードの生成回数を用いることが考えられる。 【００２３】 図３は，セッション情報テーブル６２の一例を示す図である。図示するセッション情報テーブル６２は，セッションＩＤ３０１（セッション情報）とユーザＩＤ３０２とを有する。セッションＩＤ３０１は，認証サーバ５にアクセスしたユーザ端末（携帯電話１または端末２）を識別するための情報であって，ログインからログアウトまでのセッション毎に一意に割り振られる情報である。 （中略） 【００４０】 そして，第１の生成部５３は，生成したワンタイムパスワードを含むワンタイムパスワード確認画面と，セッションＩＤとをユーザ端末に送信する（Ｓ２２）。ユーザ端末は，例えば，図７（ａ）のワンタイムパスワード確認画面７３を出力装置に表示する（Ｓ２３）。ユーザが当該画面のＯＫボタンをクリックすることにより，ユーザ端末は，表示されたワンタイムパスワード，および当該画面に埋め込まれたセッションＩＤを認証サーバ５に送信する（Ｓ２４）。 【００４１】 認証サーバ５のワンタイムパスワード受信部５５は，Ｓ１８と同様に，受信したセッションＩＤがセッション情報テーブル６２に存在するか否かをチェックする（Ｓ２５）。セッション情報テーブル６２に存在する場合，ワンタイムパスワード受信部５５は，セッション情報テーブル６２から対応するユーザＩＤを取得する。そして，ワンタイムパスワード受信部５５は，認証テーブル６１から取得したユーザＩＤに対応するワンタイムパスワード生成キーを取得して第２の生成部５６に送出する。 【００４２】 第２の生成部５６は，送出されたパスワード生成キーに基づいて，Ｓ２１と同様のアルゴリズムによりワンタイムパスワードを生成する（Ｓ２６）。そして，２次認証部５７は，Ｓ２４で受信したワンタイムパスワードと，Ｓ２６で生成したワンタイムパスワードとが一致するか否かを判別する（Ｓ２７）。ワンタイムパスワードが一致した場合，２次認証部５７は，正当なユーザからの要求であると認証し，２次認証に成功した旨を示すログイン後画面をユーザ端末に送信する（Ｓ２８）。」 ３．引用文献３ 本願出願前に頒布され，原審及び当審において引用した，国際公開第２００７／１１０９５１号（２００７年１０月４日公開，以下，これを「引用文献３」という）には，関連する図面とともに，次の事項が記載されている。 Ｇ．「【００２０】 （中略）請求項３記載の発明では，ユーザ識別情報とパスワードの組み合わせに基づく従来のユーザ確認（認証）に加えて，ユーザエージェント情報（及びアクセス元ＩＰアドレス）に基づくユーザ確認を行うので，ユーザ確認の精度を更に向上させることができ，正当なユーザのユーザ識別情報とパスワードを不正に取得した第三者が，正当なユーザになりすまして不正にアクセスしようとした場合にも，これを検知して阻止することが可能となる。 （中略） 【００５９】 一方，ステップ３２の認証処理で認証に成功した場合（請求項３に記載の「ユーザ識別情報とパスワードの組み合わせが記憶手段に記憶されていた場合」に相当）には，ステップ３４の判定が肯定されてステップ３６へ移行し，受信した認証要求パケットのＨＴＴＰデータからアクセス元ＩＰアドレス（送信元ＩＰアドレス）を抽出すると共に，認証要求パケットのＨＴＴＰヘッダからユーザエージェント情報を抽出する。なお，このステップ３６は本発明に係る抽出手段（詳しくは請求項２に記載の抽出手段）に対応している。また，次のステップ３８では，ＨＤＤ１２Ｃに記憶されている使用履歴テーブルから，先のステップ３０で抽出されたユーザＩＤに対応する使用履歴情報を抽出し，抽出した使用履歴情報をメモリ１２Ｂに記憶させる。 （中略） 【００６３】 前述のように，使用履歴情報領域のうちのアクセス元ＩＰアドレス領域及びユーザエージェント情報領域には初期値として空白が設定されるが，オンライン金融取引受付サービ スの利用を申請したユーザによって，オンライン金融取引用ウェブサイトへのアクセスが１回以上行われると，ステップ３６で認証要求パケットから抽出されたアクセス元ＩＰアドレス及びユーザエージェント情報が使用履歴情報として登録される（詳細は後述）。使用履歴情報としてアクセス元ＩＰアドレス及びユーザエージェント情報が既に登録されている場合はステップ４２の判定が肯定されてステップ４４へ移行し，ステップ３６で認証要求パケットから抽出したアクセス元ＩＰアドレス及びユーザエージェント情報を，使用履歴情報として登録されているアクセス元ＩＰアドレス及びユーザエージェント情報と照合する。 【００６４】 なお，ＩＰアドレスの照合は以下のようにして行われる。すなわち，ＩＰアドレスは４バイトのデータであるが，本実施形態では，アクセス元ＩＰアドレス領域へのアクセス元ＩＰアドレスの登録に際し，１バイト毎にハッシュ関数を用いてハッシュ値が演算され，４個のハッシュ値がアクセス元ＩＰアドレスとして登録される。このため，ステップ３６で抽出したアクセス元ＩＰアドレスについても１バイト毎にハッシュ値を演算し，得られた４個のハッシュ値をアクセス元ＩＰアドレス領域に登録されている４個のハッシュ値と比較し，ハッシュ値単位での一致率を求める。そして，求めた一致率を使用履歴情報として設定されている照合判定用閾値と比較し，一致率が閾値以上の場合は，今回のアクセス元ＩＰアドレスが登録されているＩＰアドレスと「対応している」と判定し，一致率が閾値未満の場合は，今回のアクセス元ＩＰアドレスが登録されているＩＰアドレスと「対応していない」と判定する。 （中略） 【００７０】 一方，先のステップ４４における照合結果が，「使用履歴情報として登録されているアクセス元ＩＰアドレス及びユーザエージェント情報の組の中に，認証要求パケットから抽出されたアクセス元ＩＰアドレス及びユーザエージェント情報と各々対応していると判定された組が存在していない」という条件（便宜上，第２の条件と称する）を満たす結果であった場合，今回のアクセスは，同一のユーザが過去にオンライン金融取引用ウェブサイトをアクセスした際と，アクセス元及びクライアント端末１８の少なくとも一方が各々相違しているので，認証要求パケット送信元のクライアント端末１８を操作しているユーザは正当なユーザでない可能性が高い。 （中略） 【００７２】 （中略），ステップ４４における照合結果が前述の第２の条件を満たしかつ上記の第３の条件を満たさない場合に，図５に「認証ＮＧ」と表記して示すように，認証を「失敗」と判定する。 （中略） 【００７６】 一方，先のステップ４６で認証が「失敗」と判定された場合はステップ６８へ移行し，使用履歴情報のうちの取引停止フラグに１を設定する。また，ステップ４６で認証が「失敗」と判定された場合にも，認証要求パケット送信元のクライアント端末１８を操作しているユーザが正当なユーザである可能性があり，これを考慮して次のステップ７０では，ステップ３２で抽出したユーザＩＤと対応付けて認証情報ＤＢに記憶されている電子メールアドレスを読み出し，読み出した電子メールアドレスへ再認証要請メールを送信する。例として図６に示すように」 第６．対比・判断 １．本願発明１について （１）対比 ア．引用発明の「ユーザが利用する携帯電話と通信可能に接続され，ユーザの認証を行う認証装置」は，「ユーザが利用する携帯電話」と「ユーザの認証を行う認証装置」とが「通信可能に接続され」ていることから，本願発明１の“ユーザが利用するユーザ端末と通信可能に接続され，ユーザの認証を行うユーザ認証サーバ”に相当する。 イ．引用発明の「前記携帯電話から，ワンタイムパスワードが含まれるＵＲＬを用いて前記認証装置がアクセスされると，アクセスの際のＵＲＬからワンタイムパスワードと電話番号を取得」することは，「携帯電話から」の「ワンタイムパスワード」と「電話番号」を取得しており，「電話番号」はユーザを識別することもできることから，「ユーザの識別子」といえる。そうすると，本願発明１の「前記ユーザ端末から，ワンタイムパスワードとユーザの識別子を受信するワンタイムパスワード受信手段」とは，後記する点で相違するものの，“ユーザ端末から，ワンタイムパスワードとユーザの識別子を得る”点で共通する。 ウ．引用発明は「取得したワンタイムパスワードと電話番号に基づいて，認証を与えた携帯電話であるかを識別」しているところ，得られたワンタイムパスワードが，認証を与えた携帯電話の，有効なものであるかを識別しているといえるから，引用発明の「制御部」と，本願発明１の「前記受信したユーザの識別子を用いて，前記受信したワンタイムパスワードが有効であるか否かを識別するワンタイムパスワード識別手段」とは，後記する点で相違するものの，“得られたワンタイムパスワードが有効であるか否かを識別する”点で共通する。 エ．引用発明の「識別の結果，認証を与えた携帯電話であった場合にのみ，携帯電話から，暗証番号を受信し，暗証番号を用いて携帯電話のユーザの認証を行う」ことは，当該暗証番号が，認証に用いる情報であることは明らかであり，引用発明の「暗証番号」が，ワンタイムパスワード以外の認証用の情報であることは明らかである。 そうすると，引用発明の「暗証番号」，「暗証番号を用いて携帯電話のユーザの認証を行う」「制御部」が，それぞれ本願発明１の「ワンタイムパスワード以外に認証に用いる認証情報」，「認証情報を用いて前記ユーザの認証を行う認証実行手段」に相当するので，本願発明１の「識別の結果，有効であった場合にのみ，前記ユーザ端末から，ワンタイムパスワード以外に認証に用いる認証情報を受信する認証情報受信手段と，前記認証情報を用いて前記ユーザの認証を行う認証実行手段」とは，後記する点で相違するものの，“識別の結果，得られたワンタイムパスワードが有効であった場合にのみ，携帯電話から，ワンタイムパスワード以外に認証に用いる認証情報を受信する手段と，前記認証情報を用いて前記ユーザの認証を行う手段”である点で共通する。 オ．以上ア．～エ．において検討した事項から，本願発明１と，引用発明との，一致点，及び，相違点は，次のとおりである。 ＜一致点＞ 「ユーザが利用するユーザ端末と通信可能に接続され，ユーザの認証を行うユーザ認証サーバであって， 前記ユーザ端末から，携帯電話から，ワンタイムパスワードとユーザの識別子を得る手段と， 前記得られたワンタイムパスワードが有効であるか否かを識別する手段と， 前記識別の結果，有効であった場合にのみ，前記ユーザ端末から，ワンタイムパスワード以外に認証に用いる認証情報を受信する手段と， 前記認証情報を用いて前記ユーザの認証を行う手段と， を備えることを特徴とするユーザ認証サーバ。」 ＜相違点１＞ “ワンタイムパスワードとユーザの識別子を得る手段”に関して， 本願発明１は「ユーザ端末から，ワンタイムパスワードとユーザの識別子を受信するワンタイムパスワード受信手段」であるのに対して，引用発明は“携帯電話からのアクセス情報（ＵＲＬ）からワンタイムパスワードを取得”する点。 ＜相違点２＞ “識別する手段”に関して， 本願発明１は「受信したユーザの識別子を用いて，前記受信したワンタイムパスワードが有効であるか否かを識別する」のに対して，引用発明は，“ワンタイムパスワードと電話番号に基づいて，認証を与えた携帯電話であるかを識別”する点。 ＜相違点３＞ 本願発明１の「ユーザ認証サーバ」は，「認証履歴データベースを備え，前記ユーザについて前記認証を行った際，当該ユーザのユーザ関連情報に含まれるＩＰアドレスを取得し，認証履歴として記憶させる認証履歴記憶手段と，前記ユーザについて前記認証を行う際，当該ユーザの認証履歴を抽出する認証履歴抽出手段と，前記抽出した認証履歴に含まれるＩＰアドレスと，取得したユーザ関連情報に含まれるＩＰアドレスとを比較して，差分を抽出する認証履歴差分抽出手段と，前記抽出した差分が，所定の閾値を超えていた場合，前記ユーザの認証時に警告処理と認証処理の中止の少なくともいずれかを行う警告処理手段」を備えるのに対して，引用発明はそのように特定されていない点。 ＜相違点４＞ 本願発明１は「警告履歴データベースと，前記警告処理又は認証処理を中止した場合に，認証を行ったユーザとともに前記警告履歴データベースに警告履歴を記録させる警告履歴記憶手段と，前記ユーザについて前記認証を行う際，当該ユーザの警告履歴を抽出する警告履歴抽出手段と，を備え，前記抽出した警告履歴の数が，所定の閾値を超えていた場合，前記ユーザの認証時に警告処理と認証処理の中止のいずれかを行う」のに対して，引用発明ではそのように特定していな点。 （２）相違点についての当審の判断 相違点４について検討すると，本願発明１の「前記警告処理又は認証処理を中止した場合に，認証を行ったユーザとともに前記警告履歴データベースに警告履歴を記録させる手段と，前記ユーザについて前記認証を行う際，当該ユーザの警告履歴を抽出する手段と前記抽出した警告履歴の数が，所定の閾値を超えていた場合，前記ユーザの認証時に警告処理と認証処理の中止のいずれかを行うこと」（以下，これを「相違点４に係る構成」という。）は，上記引用文献１－３には記載されておらず，本願出願前において周知技術であったともいえない。 したがって，他の相違点を判断するまでもなく，本願発明１は，当業者であっても引用発明及び引用文献２－３に記載された技術的事項に基づいて容易に発明できたものとはいえない。 ２．本願発明２について 本願発明２は，本願発明１を減縮する発明であり，上記相違点４に係る構成を備えるものであるので，本願発明１と同じ理由により，当業者であっても，引用発明及び引用文献２－３に記載された技術的事項に基づいて容易に発明できたものとはいえない。 ３．本願発明３及び本願発明４について 本願発明３及び本願発明４は，本願発明１のカテゴリ表現が異なるだけの発明であり，上記相違点４に係る構成を備えるものであるため，本願発明１と同じ理由により，当業者であっても，引用発明及び引用文献２－３に記載された技術的事項に基づいて容易に発明できたものとはいえない。 第７．原査定についての判断 最新の手続補正により，補正後の請求項１－４は，上記相違点４に係る構成を有するものとなった。上記相違点４に係る構成は，原査定における引用文献Ａ－Ｃには記載されておらず，本願出願前における周知技術でもない。よって，本願発明１－４は，当業者であっても，原査定における引用文献Ａ－Ｃに基づいて容易に発明できたものではない。 したがって，原査定を維持することはできない。 第８．当審拒絶理由について １．特許法第１７条の２第３項について 当審では，「ワンタイムパスワード受信手段」が「ワンタイムパスワード」のみを受信する態様を包含するとして，当初明細書等に記載されたものではないいとの拒絶の理由を通知しているが，最新の手続補正により「ワンタイムパスワードとユーザの識別子を受信するワンタイムパスワード受信手段」と補正された結果，この拒絶の理由は解消した。 ２．特許法第３６条第６項第２号について 当審では，「前記入力されたワンタイムパスワード」に関して，「前記」に相当する記載がないとの拒絶の理由を通知しているが，最新の手続補正により「前記受信したユーザ識別子を用いて，前記受信したワンタイムパスワードが有効であるか否かを識別するワンタイムパスワード識別手段」と補正された結果，この拒絶の理由は解消した。 ３．特許法第３６条第４項第１号，及び，同第６項第１号について 当審では，「ワンタイムパスワード受信手段」が，「ワンタイムパスワード」のみを受信する態様を包含するとして，本願明細書の発明の詳細な説明に記載されたものではなく，本願明細書の発明の詳細な説明は，経済産業省令で定めるところにより，その発明の属する技術分野における通常の知識を有する者がその実施をすることができる程度に明確かつ十分に記述したものでないとの拒絶理由を通知しているが，最新の手続補正により「ワンタイムパスワードとユーザの識別子を受信するワンタイムパスワード受信手段」と補正された結果，この拒絶の理由は解消した。 ４．特許法第２９条第２項について 当審では，本願請求項１，２，４，５に係る発明は，引用例１－３に記載された発明に基づいて，当業者が容易に発明をすることができたものとの拒絶理由を通知しているが，最新の手続補正により，本願発明１－４に上記相違点４に係る構成を補正された結果，この拒絶の理由は解消した。 第９．むすび 以上のとおり，本願発明１－４は，当業者が引用発明及び引用文献２－３に記載された技術的事項に基づいて容易に発明することができたものではない。 したがって，原査定の理由によっては，本願を拒絶することはできない。 また，他に本願を拒絶すべき理由を発見しない。 よって，結論のとおり審決する。