2017-010406

特願２０１６－５３３８０７「デジタル署名の生成方法及び装置」拒絶査定不服審判事件〔平成２７年　２月１９日国際公開，ＷＯ２０１５／０２１９３４，平成２８年　９月１５日国内公表，特表２０１６－５２８５５５，請求項の数（１０）〕について，次のとおり審決する。

【結　論】 原査定を取り消す。 本願の発明は，特許すべきものとする。

【理　由】 第１．手続の経緯 本願は，２０１４年８月１４日（パリ条約による優先権主張外国庁受理２０１３年８月１６日　中華人民共和国）を国際出願日とする出願であって， 平成２８年２月１７日付けで特許法第１８４条の４第１項の規定による明細書，請求の範囲，及び，図面（図面の中の説明に限る）の日本語による翻訳文が提出されると共に審査請求がなされ，平成２８年１２月８日付けで審査官により拒絶理由が通知され，これに対して平成２９年２月２２日付けで意見書が提出されたが，平成２９年３月１日付けで審査官により拒絶査定がなされ（謄本送達；平成２９年３月１４日），これに対して平成２９年７月１２日付けで審判請求がなされたものである。 第２．原審拒絶査定について 原審における平成２９年３月１日付け拒絶査定（以下，これを「原審拒絶査定」という）は，概略，次のとおりである。 本願の請求項１～本願の請求項１０に係る発明は，以下の引用文献１～３に基づいて，その発明の属する技術の分野における通常の知識を有する者（以下，「当業者」という。）が容易に発明できたものであるから，特許法第２９条第２項の規定により特許を受けることができない。 引用文献一覧； １．S. Shen, et al.，SM2 Digital Signature Algorithm，Internet Engineering Task Force Internet-Draft，［オンライン］，２０１１年１０月２４日，draft-shen-sm2-ecdsa-00，p.1-16，［平成２８年９月２日検索］，インターネット，ＵＲＬ，<https://tools.ietf.org/pdf/draft-shen-sm2-ecdsa-00.pdf> ２．中国特許出願公開第１０２７６１４１５号明細書（２０１２年１０月３１日公開） ３．特開２００５－１４８１４１号公報（２００５年６月９日公開） 第３．本願発明について 本願の請求項１～本願の請求項１０に係る発明（以下，これを「本願発明１」～「本願発明１０」という）は，平成２８年２月１７日付けで特許法第１８４条の４第１項の規定による請求の範囲の日本語による翻訳文の請求項１～請求項１０に記載された，次のとおりのものである。 「【請求項１】 デジタル署名の生成方法であって， 装置が，有効性判定条件を満たすデジタル署名パラメータｒを生成することと， 前記装置が，秘密鍵ｄＡ，値範囲が［１，ｎ－１］の乱数ｋ，前記デジタル署名パラメータｒ及び楕円曲線パラメータｎを用いて，以下の式 に基づいてデジタル署名パラメータｓを生成することと， 前記装置が，生成されたデジタル署名パラメータｓが０であるか否かを判断し，０の場合，前記デジタル署名パラメータｓが０でないものとなるまで，有効性判定条件を満たすデジタル署名パラメータｒを生成し直し，前記秘密鍵ｄＡ，生成し直された値範囲が［１，ｎ－１］の乱数ｋ，前記生成し直されたデジタル署名パラメータｒ及び前記楕円曲線パラメータｎを用いて，デジタル署名パラメータｓを生成し直すことと， 前記装置が，最終的に取得されたデジタル署名パラメータｒ及び０でないデジタル署名パラメータｓのデータ型をバイトストリングに変換し，デジタル署名（ｒ，ｓ）を取得することと，を含むことを特徴とする方法。 【請求項２】 前記装置が に基づいてデジタル署名パラメータｓを生成することは， 前記装置が，デジタル署名パラメータｒと乱数ｋに対して大整数加法演算を行って，大整数加法演算の結果を用いて楕円曲線パラメータｎに対してモジュロ演算を行うことと， 前記装置が，秘密鍵ｄＡに１を加算し，楕円曲線パラメータｎに対してモジュロ逆演算を行うことと， 前記装置が，モジュロ演算の演算結果とモジュロ逆演算の演算結果に対して大整数乗法演算を行うことと， 前記装置が，該大整数乗法演算の結果からデジタル署名パラメータｒを引いて，楕円曲線パラメータｎに対してモジュロ演算を行い，デジタル署名パラメータｓを取得することと，を含むことを特徴とする請求項１に記載の方法。 【請求項３】 デジタル署名パラメータｓを生成する前に， 前記装置が，秘密鍵ｄＡ，ｒの有効性判定条件の演算結果ｒ＋ｋ，前記デジタル署名パラメータｒ及び楕円曲線パラメータｎを用いてデジタル署名パラメータｓを生成するように，ｒの有効性判定条件の演算結果ｒ＋ｋを取得すること，をさらに含むことを特徴とする請求項１又は２に記載の方法。 【請求項４】 デジタル署名パラメータｓを生成する前に， 前記装置が，秘密鍵ｄＡ，ｒの有効性判定条件の演算結果（ｒ＋ｋ）　ｍｏｄ　ｎ，前記デジタル署名パラメータｒ及び楕円曲線パラメータｎを用いてデジタル署名パラメータｓを生成するように，ｒの有効性判定条件の演算結果（ｒ＋ｋ）　ｍｏｄ　ｎを取得すること，をさらに含むことを特徴とする請求項１又は２に記載の方法。 【請求項５】 デジタル署名の生成装置であって， ハッシュ値ＺＡ及び署名されるメッセージＭを取得するパラメータ入力インターフェース手段と， 前記パラメータ入力インターフェース手段により取得されたハッシュ値ＺＡ及び署名されるメッセージＭに対してカスケード演算を行い， -M を生成するカスケード演算手段と， 前記カスケード演算手段により生成された -M に対して暗号ハッシュ演算を行い，メッセージダイジェスト情報ｅを生成する暗号ハッシュアルゴリズム演算手段と， 値範囲が［１，ｎ－１］の乱数ｋを生成する乱数発生器と， 前記乱数発生器により生成された乱数ｋに基づいて楕円曲線アルゴリズムスカラー乗法演算（ｘ１，ｙ１）＝ｋＧを行い，楕円曲線点の横座標ｘ１を取得するＥＣＣアルゴリズム演算手段であって，Ｇが楕円曲線パラメータである，ＥＣＣアルゴリズム演算手段と， 前記暗号ハッシュアルゴリズム演算手段により生成されたメッセージダイジェスト情報ｅのデータ型を整数型に変換し，前記ＥＣＣアルゴリズム演算手段により生成された楕円曲線点の横座標ｘ１のデータ型を整数型に変換するデータ型変換手段と， 前記データ型変換手段によりデータ型が変換されたメッセージダイジェスト情報ｅ及び楕円曲線点の横座標ｘ１を用いて，デジタル署名パラメータｒを生成する大整数演算手段と， 前記大整数演算手段により生成されたデジタル署名パラメータｒに対して有効性判定を行う有効性判定手段と， デジタル署名（ｒ，ｓ）を出力するパラメータ出力インターフェース手段と，を含み， 前記デジタル署名パラメータｒが有効性判定条件を満たしていない場合，前記乱数発生器は値範囲が［１，ｎ－１］の乱数ｋを生成し直し，前記ＥＣＣアルゴリズム演算手段は前記乱数発生器により生成し直された乱数ｋに基づいて楕円曲線点の横座標ｘ１を取得し直し，前記データ型変換手段は取得し直された楕円曲線点の横座標ｘ１に対してデータ型の変換を行い，前記大整数演算手段は前記メッセージダイジェスト情報ｅ及び生成し直された楕円曲線点の横座標ｘ１に基づいてデジタル署名パラメータｒを生成し直し，前記有効性判定手段は生成し直されたデジタル署名パラメータｒ及び生成し直された乱数ｋを用いて，生成し直されたデジタル署名パラメータｒに対して有効性判定を行い， 前記大整数演算手段は，秘密鍵ｄＡ，前記乱数発生器により生成された前記乱数ｋ，前記デジタル署名パラメータｒ及び楕円曲線パラメータｎを用いて，以下の式 に基づいてデジタル署名パラメータｓを生成し， 前記有効性判断手段は，前記大整数演算手段により生成されたデジタル署名パラメータｓが０であるか否かを判断し， ０の場合，前記乱数生成器は値範囲が［１，ｎ－１］の乱数ｋを生成し直し，前記大整数演算手段は，デジタル署名パラメータｒを生成し直し，前記生成し直されたデジタル署名パラメータｒが有効性判定条件を満たしているとき，前記秘密鍵ｄＡ，生成し直された値範囲が［１，ｎ－１］の乱数ｋ，前記生成し直されたデジタル署名パラメータｒ及び前記楕円曲線パラメータｎを用いて，デジタル署名パラメータｓを生成し直し， 前記データ型変換手段は，前記大整数演算手段により最終的に生成されたデジタル署名パラメータｒ及び０でないデジタル署名パラメータｓのデータ型をバイトストリングに変換し，前記デジタル署名（ｒ，ｓ）を取得することを特徴とする装置。 【請求項６】 デジタル署名パラメータｓを生成する場合，前記大整数演算手段は， 前記デジタル署名パラメータｒと前記乱数発生器により生成された乱数ｋに対して大整数加法演算して，大整数加法演算の結果を用いて楕円曲線パラメータｎに対してモジュロ演算を行い， 秘密鍵ｄＡに１を加算して，楕円曲線パラメータｎに対してモジュロ逆演算を行い， 前記モジュロ演算の結果と前記モジュロ逆演算の結果に対して大整数乗法演算を行い， 前記大整数乗法演算の結果から前記デジタル署名パラメータｒを引いて，楕円曲線パラメータｎに対してモジュロ演算を行い，デジタル署名パラメータｓを取得することを特徴とする請求項５に記載の装置。 【請求項７】 前記有効性判定手段がデジタル署名パラメータｒの有効性判定条件の演算結果ｒ＋ｋを用いてデジタル署名パラメータｒの有効性を判定する場合，前記大整数演算手段は，前記デジタル署名パラメータｒを生成した後に，生成されたデジタル署名パラメータｒ及び前記乱数生成器により生成された前記乱数ｋを用いて，デジタル署名パラメータｒの有効性判定条件の演算結果ｒ＋ｋを生成し， デジタル署名パラメータｓを生成する場合，前記大整数演算手段は， 前記ｒの有効性判定条件の演算結果ｒ＋ｋを用いて楕円曲線パラメータｎに対してモジュロ演算を行い， 秘密鍵ｄＡに１を加算して，楕円曲線パラメータｎに対してモジュロ逆演算を行い， 前記モジュロ演算の結果と前記モジュロ逆演算の結果に対して大整数乗法演算を行い， 前記大整数乗法演算の結果から前記デジタル署名パラメータｒを引いて，楕円曲線パラメータｎに対してモジュロ演算を行い，デジタル署名パラメータｓを取得することを特徴とする請求項５に記載の装置。 【請求項８】 前記有効性判定手段がデジタル署名パラメータｒの有効性判定条件の演算結果（ｒ＋ｋ）　ｍｏｄ　ｎを用いてデジタル署名パラメータｒの有効性を判定する場合，前記大整数演算手段は，前記デジタル署名パラメータｒを生成した後に，生成されたデジタル署名パラメータｒ，前記乱数生成器により生成された前記乱数ｋ及び楕円曲線パラメータｎを用いて，デジタル署名パラメータｒの有効性判定条件の演算結果（ｒ＋ｋ）　ｍｏｄ　ｎを生成し， デジタル署名パラメータｓを生成する場合，前記大整数演算手段は， 秘密鍵ｄＡに１を加算して，楕円曲線パラメータｎに対してモジュロ逆演算を行い， 前記ｒの有効性判定条件の演算結果（ｒ＋ｋ）　ｍｏｄ　ｎと前記モジュロ逆演算の結果に対して大整数乗法演算を行い， 前記大整数乗法演算の結果から前記デジタル署名パラメータｒを引いて，楕円曲線パラメータｎに対してモジュロ演算を行い，デジタル署名パラメータｓを取得することを特徴とする請求項５に記載の装置。 【請求項９】 前記秘密鍵ｄＡを生成する秘密鍵生成手段と， 前記秘密鍵生成手段により生成された前記秘密鍵ｄＡを保存する秘密鍵記憶手段と，をさらに含み， 前記大整数演算手段は，前記秘密鍵記憶手段から前記秘密鍵ｄＡを取得してデジタル署名パラメータｓを生成することを特徴とする請求項５～８のいずれかに記載の装置。 【請求項１０】 前記パラメータ入力インターフェース手段は前記秘密鍵ｄＡを取得し，前記大整数演算手段は前記パラメータ入力インターフェース手段から前記秘密鍵ｄＡを取得してデジタル署名パラメータｓを生成し，或いは 前記装置は秘密鍵記憶手段をさらに含み，前記パラメータ入力インターフェース手段は前記秘密鍵ｄＡを取得し，前記秘密鍵記憶手段は前記パラメータ入力インターフェース手段により取得された前記秘密鍵ｄＡを保存し，前記大整数演算手段は前記秘密鍵記憶手段から前記秘密鍵ｄＡを取得してデジタル署名パラメータｓを生成する，ことを特徴とする請求項５～８のいずれかに記載の装置。」 第４．引用刊行物に記載の事項 １．原審拒絶査定の平成２８年１２月８日付けの拒絶理由（以下，これを「原審拒絶理由」という）に引用された，本願の第１国出願前に既に公知である，引用文献１には，関連する図面と共に，次の事項が記載されている。 Ａ．「A,B　 The two users using the public key system」（４頁１９行） （Ａ，Ｂ　公開鍵システムを使用する２人のユーザ<当審にて訳出。以下，同じ。>） Ｂ．「dA 　The private key of the user A」（４頁２２行） （ｄＡ　ユーザＡの個別鍵） Ｃ．「e The hash of message M e’ 　　 The hash of message M’ Fq 　　A prime field with q elements G 　　 A base point on the elliptic curve E, with prime order Hv( ) 　The hash function with output of legnth v bits IDA 　 The identifier of user A M 　 The message for signature M!ae 　The message for verification modn 　The operation of modulo n, for example, 23 mod7 = 2 n 　 The degree of base point G (n is a prime factor of #E(Fq)) O 　 The point of infinity (or zero) on the elliptic curre E PA 　 The public key of user A q 　 The number of elements in the finite field Fq x||y 　 The concatenation of x and y, where x and y are bit string or byte string ZA The identifier of user A, part of parameters of elliptic curve and hash value of PA (r,s) The sent signature (r’,s’) The received signature [k]P The k multiple of a point P over elliptic curve, where k is a positive integer」（４頁２４行～４１行） （ｅ　　　　メッセージＭのハッシュ ｅ’　　　メッセージＭ’のハッシュ Ｆｑ　　　　ｑ要素を持つ素体 Ｇ　　　　　素数位数による，楕円曲線Ｅ上のベースポイント Ｈｖ（）　　出力ビット長ｖのハッシュ関数 ＩＤＡ　　　ユーザＡの識別子 Ｍ　　　　　署名のためのメッセージ Ｍ！ａｅ　　検証のためのメッセージ ｍｏｄｎ　　モジューロｎの演算，例えば，２３ｍｏｄ７＝２ ｎ　　　　　ベースポイントＧの次数（ｎは，＃Ｅ（Ｆｑ）の素因数） Ｏ　　　　　楕円曲線Ｅの無限点（或いはゼロ点） ＰＡ　　　　ユーザＡの公開鍵 ｑ　　　　　有限体Ｆｑ上の要素の数 ｘ||ｙ　　　ｘとｙの連結，ここで，ｘとｙは，ビット列，或いは，バイト列である ＺＡ　　　　ユーザＡの識別子，楕円曲線のパラメータの部分，及び，ＰＡのハッシュ値 （ｒ，ｓ）　送られた署名 （ｒ’，ｓ’）受け取られた署名 ［ｋ］Ｐ　　楕円曲線上の点Ｐのｋ倍数　ここで，ｋは，正整数である） Ｄ．「5.2. Generation of Signature 5.2.1. Digital Signature Generation Algorithm Let M be the message for signing, in order to obtain the signature (r, s), the signer A need to perform the following: A1: set M~=ZA || M A2: calculate e=Hv(M~) A3: pick a random number k in [1, n-1] via a random number generator A4: calculate the elliptic curve point (x1, y1)=[k]G A5: calculate r=(e+x1) modn, return to A3 if r=0 or r+k=n A6: calculate s=((1+dA)^(-1)*(k-r*dA)) modn, return to A3 if s=0 A7: the digital signature of M is (r, s)」（６頁下から４行～７頁７行） （５．２．署名の生成 ５．２．１．デジタル署名生成アルゴリズム Ｍを署名するためのメッセージとし，署名（ｒ，ｓ）を得るために，署名者Ａは，以下を行う必要がある： Ａ１：Ｍ～＝ＺＡ||Ｍとおく Ａ２：ｅ＝Ｈｖ（Ｍ～）を計算する Ａ３：乱数生成器を用いて，［１，ｎ－１］内の乱数ｋを選ぶ Ａ４：楕円曲線点（ｘ１，ｙ１）＝［ｋ］Ｇを計算する Ａ５：ｒ＝（ｅ＋ｘ１）ｍｏｄｎを計算し，もし，ｒ＝０か，ｒ＋Ｋ＝ｎであればＡ３に戻る。 Ａ６：ｓ＝（（１＋ｄＡ）－１＊（ｋ－ｒ＊ｄＡ））ｍｏｄｎを計算し，もし，ｓ＝０であればＡ３に戻る Ａ７：Ｍのデジタル署名は，（ｒ，ｓ）である） ２．原審拒絶理由で引用された，本願の第１国出願前に既に公知である，引用文献３には，関連する図面と共に，次の事項が記載されている。 Ｅ．「5.1.4.4. Other User Information As teh signer, User A has the identifier IDA of length entlenA bits, denote ENTLA as the two bytes transformed from the integer entlenA. In the digital signature algorithms in this document, both signer and verifier need to obtain ZA by calculating the hash value of ZA. ZA=H256(ENTLA || IDA || a || b || xG || yG || xA || yA)」（６頁１８行～２３行） （５．１．４．４．その他のユーザ情報 署名者として，ユーザＡは，整数のｅｎｔｌｅｎＡから，２バイトとして変換される，ＥＮＴＬＡの名称である，長さｅｎｔｌｅｎＡビットの識別子ＩＤＡを有する。 このドキュメントにおける，デジタル署名アルゴリズムにおいて，証明者と，検証者の双方は，ＺＡのハッシュ値を計算することで，ＺＡを得る必要がある。 ＺＡ＝Ｈ２５６（ＥＮＴＬＡ||ＩＤＡ||ａ||ｂ||ｘＧ||ｙＧ||ｘＡ||ｙＡ||）） Ｆ．「【０１１２】 一般に，ｈ＞３として，ｈ倍算の計算量は，（ｈ－１）倍算と加算の組み合わせの計算量よりも多くなることはないといえる。なぜなら，ｈ倍点公式は，ｈＰ＝（ｈ－１）Ｐ＋Ｐの関係から式を整理して得られるため，式変形の結果，計算量が少なくなることがあり，また，最悪のケースでも，ｈ倍算を（ｈ－１）倍算と加算の組み合わせに置き換えて計算できるからである。したがって，２倍算だけでなく，ｈ倍算を利用することで，計算量をさらに少なくすることができる。もっとも，ｈ進展開したときに，非零桁の個数が多いと，ｈ倍算が利用できる回数が減るため，いつでもｈ進法が２進法よりも計算量が少ないとは限らない。そこで，実施の形態では，いくつかの基数ｓによるｓ進展開を求めて，非零桁の個数により計算量を評価し，複数のｓ進法の中から計算量の少ないものを選ぶことにより，最適なｈ進法を選択し，高速化を図っている。」 第５．引用文献１に記載の発明 １．上記Ａの「A,B　 The two users using the public key system（Ａ，Ｂ　公開鍵システムを使用する２人のユーザ）」という記載から，“Ａが公開鍵システムを使用するユーザ”であることが読み取れる。 ２．上記Ｂの「dA 　The private key of the user A（ｄＡ　ユーザＡの個別鍵）」から，“ｄＡが，ユーザＡの個別鍵”であることが読み取れる。 ３．上記Ｃの「e The hash of message M（ｅ　メッセージＭのハッシュ）」という記載から，“ｅがメッセージＭのハッシュ値”であることが読み取れ，同じく，上記Ｃの「G A base point on the elliptic curve E, with prime order（Ｇ　　素数位数による，楕円曲線Ｅ上のベースポイント）」という記載から，“Ｇは，素数位数による，楕円曲線Ｅ上のベースポイント”であることが読み取れ，同じく，上記Ｃの「Hv( ) 　The hash function with output of legnth v bits（Ｈｖ（）　　出力ビット長ｖのハッシュ関数）」という記載から，“Ｈｖ（）が，出力ビット長ｖのハッシュ関数”であることが読み取れ，同じく，上記Ｃの「M 　 The message for signature（Ｍ　　署名のためのメッセージ）」という記載から，“Ｍが，署名のためのメッセージ”であることが読み取れ，同じく，上記Ｃの「PA 　The public key of user A（ＰＡ　　ユーザＡの公開鍵）」という記載から“ＰＡが，ユーザＡの公開鍵”であることが読み取れ，同じく，上記Ｃの「x||y 　The concatenation of x and y, where x and y are bit string or byte string（ｘ||ｙ　　ｘとｙの連結，ここで，ｘとｙは，ビット列，或いは，バイト列である）」という記載から，“||が，２つのビット列，或いは，バイト列の連結”であることが読み取れ，同じく，上記Ｃの「ZA The identifier of user A, part of parameters of elliptic curve and hash value of PA（ＺＡ　　ユーザＡの識別子，楕円曲線のパラメータの部分，及び，ＰＡのハッシュ値）」という記載と，上記Ｅの「In the digital signature algorithms in this document, both signer and verifier need to obtain ZA by calculating the hash value of ZA. ZA=H256(ENTLA || IDA || a || b || xG || yG || xA || yA（このドキュメントにおける，デジタル署名アルゴリズムにおいて，証明者と，検証者の双方は，ＺＡのハッシュ値を計算することで，ＺＡを得る必要がある。 ＺＡ＝Ｈ２５６（ＥＮＴＬＡ||ＩＤＡ||ａ||ｂ||ｘＧ||ｙＧ||ｘＡ||ｙＡ||）」という記載と，「||」について，上記において検討した事項から，“ＺＡは，ユーザＡに関する複数のパラメータを連結した値のハッシュ値”であることが読み取れ，同じく，上記Ｃの「(r,s) The sent signature（（ｒ，ｓ）　送られた署名）」から，“ｒ，ｓが，送信された署名のパラメータ”であることが読み取れ，同じく，上記Ｃの「[k]P The k multiple of a point P over elliptic curve, where k is a positive integer（［ｋ］Ｐ　　楕円曲線上の点Ｐのｋ倍数　ここで，ｋは，正整数である）」という記載から，“［ｋ］Ｐが，楕円曲線上の点Ｐのｋ倍数”であることが読み取れる。 ４．上記１．～３．において検討した事項と，上記Ｄに引用した引用文献１の記載内容から，引用文献１には，次の発明（以下，これを「引用発明」という）が記載されているものと認める。 「署名者であるユーザＡは， Ａ１：ハッシュ値ＺＡとメッセージＭとの連結　Ｍ～＝ＺＡ||Ｍを求め， Ａ２：前記Ｍ～のハッシュ値　ｅ＝Ｈｖ（Ｍ～）を計算し， Ａ３：乱数生成器を用いて，［１，ｎ－１］範囲内の乱数ｋを選択し， Ａ４：楕円曲線のベースポイントＧのｋ倍数である楕円曲線点（ｘ１，ｙ１）＝［ｋ］Ｇを計算し， Ａ５：ｒ＝（ｅ＋ｘ１）ｍｏｄｎを計算し，ｒ＝０か，ｒ＋Ｋ＝ｎであれば，Ａ３に戻り，そうでなれば，次のｓを求める。 Ａ６：ユーザＡの個別鍵ｄＡについて， ｓ＝（（１＋ｄＡ）－１＊（ｋ－ｒ＊ｄＡ））ｍｏｄｎを計算し，もし，ｓ＝０であればＡ３に戻り，そうでなければ，得られた，ｒ，ｓが，求める署名パラメータｒ，ｓである， 一連の演算を行うことで，署名を得る方法。」 第６．本願発明１と引用発明との対比 １．引用発明における「ユーザＡの個別鍵ｄＡ」，「署名パラメータｒ，ｓ」，「乱数ｋ」が，それぞれ，本願発明１の「秘密鍵ｄＡ」，「デジタル署名パラメータｒ」，「デジタル署名パラメータｓ」，「乱数ｋ」に相当し，引用発明における「ｎ」は，「ベースポイントＧの次数」であって，“楕円曲線のパラメータ”と言い得るものであるから，本願発明１における「楕円曲線パラメータｎ」に相当し，このことから，引用発明における「署名を得る方法」が，本願発明１における「デジタル署名の生成方法」に相当する。 ２．引用発明における「Ａ５：ｒ＝（ｅ＋ｘ１）ｍｏｄｎを計算し，ｒ＝０か，ｒ＋Ｋ＝ｎであれば，Ａ３に戻り，そうでなれば，次のｓを求める。」と， 本願発明１における「装置が，有効性判定条件を満たすデジタル署名パラメータｒを生成すること」とは， “有効性判定条件を満たすデジタル署名パラメータｒを生成すること”である点で共通する。 ３．引用発明における「Ａ６：ユーザＡの個別鍵ｄＡについて， ｓ＝（（１＋ｄＡ）－１＊（ｋ－ｒ＊ｄＡ））ｍｏｄｎを計算し」と， 本願発明１における「前記装置が，秘密鍵ｄＡ，値範囲が［１，ｎ－１］の乱数ｋ，前記デジタル署名パラメータｒ及び楕円曲線パラメータｎを用いて，以下の式 ｓ＝（（１＋ｄＡ）－１・（ｒ＋ｋ）－ｒ）ｍｏｄｎ に基づいてデジタル署名パラメータｓを生成すること」とは， “秘密鍵ｄＡ，値範囲が［１，ｎ－１］の乱数ｋ，デジタル署名パラメータｒ及び楕円曲線パラメータｎを用いて，所定の式に基づいてデジタル署名パラメータｓを生成すること”である点で共通する。 ４．引用発明において，「もし，ｓ＝０であればＡ３に戻り」とは，「ｓ」の判定を行っていることに他ならないので， 引用発明における「もし，ｓ＝０であればＡ３に戻り」と， 本願発明１における「前記装置が，生成されたデジタル署名パラメータｓが０であるか否かを判断し，０の場合，前記デジタル署名パラメータｓが０でないものとなるまで，有効性判定条件を満たすデジタル署名パラメータｒを生成し直し，前記秘密鍵ｄＡ，生成し直された値範囲が［１，ｎ－１］の乱数ｋ，前記生成し直されたデジタル署名パラメータｒ及び前記楕円曲線パラメータｎを用いて，デジタル署名パラメータｓを生成し直すこと」とは， “生成されたデジタル署名パラメータｓが０であるか否かを判断し，０の場合，前記デジタル署名パラメータｓが０でないものとなるまで，有効性判定条件を満たすデジタル署名パラメータｒを生成し直し，秘密鍵ｄＡ，生成し直された値範囲が［１，ｎ－１］の乱数ｋ，前記生成し直されたデジタル署名パラメータｒ及び楕円曲線パラメータｎを用いて，デジタル署名パラメータｓを生成し直すこと”である点で共通する。 ５．引用発明における「そうでなければ，得られた，ｒ，ｓが，求める署名パラメータｒ，ｓである」と， 本願発明１における「装置が，最終的に取得されたデジタル署名パラメータｒ及び０でないデジタル署名パラメータｓのデータ型をバイトストリングに変換し，デジタル署名（ｒ，ｓ）を取得すること」とは， “最終的に取得されたデジタル署名パラメータｒ及び０でないデジタル署名パラメータｓによって，デジタル署名（ｒ，ｓ）を取得すること”である点で共通する。 ５．以上，上記１．～４．において検討した事項から，本願発明１と，引用発明との，一致点，及び，相違点は，次のとおりである。 ［一致点］ デジタル署名の生成方法であって， 有効性判定条件を満たすデジタル署名パラメータｒを生成することと， 秘密鍵ｄＡ，値範囲が［１，ｎ－１］の乱数ｋ，前記デジタル署名パラメータｒ及び楕円曲線パラメータｎを用いて，所定の式に基づいてデジタル署名パラメータｓを生成することと， 生成されたデジタル署名パラメータｓが０であるか否かを判断し，０の場合，前記デジタル署名パラメータｓが０でないものとなるまで，有効性判定条件を満たすデジタル署名パラメータｒを生成し直し，前記秘密鍵ｄＡ，生成し直された値範囲が［１，ｎ－１］の乱数ｋ，前記生成し直されたデジタル署名パラメータｒ及び前記楕円曲線パラメータｎを用いて，デジタル署名パラメータｓを生成し直すことと， 最終的に取得されたデジタル署名パラメータｒ及び０でないデジタル署名パラメータｓによって，デジタル署名（ｒ，ｓ）を取得することとを，含む方法。 ［相違点１］ 本願発明１においては，「デジタル署名の生成方法」を「装置」が行っているのに対して， 引用発明においては，「装置」についての言及がない点。 ［相違点２］ “所定の式”に関して， 本願発明１においては，“所定の式”が， 「ｓ＝（（１＋ｄＡ）－１・（ｒ＋ｋ）－ｒ）ｍｏｄｎ」 であるのに対して， 引用発明においては， 「ｓ＝（（１＋ｄＡ）－１＊（ｋ－ｒ＊ｄＡ））ｍｏｄｎ」 である点。 ［相違点３］ 本願発明１においては，「最終的に取得されたデジタル署名パラメータｒ及び０でないデジタル署名パラメータｓのデータ型をバイトストリングに変換し」ているのに対して， 引用発明においては，「データ型」の変換に関する言及がない点。 第７．相違点についての当審の判断 上記相違点２について検討すると，原審拒絶理由で引用され引用文献の何れにも，本願発明に記載の式，「ｓ＝（（１＋ｄＡ）－１・（ｒ＋ｋ）－ｒ）ｍｏｄｎ」（以下，これを「式１」という）を示唆するような記載は存在しない。 引用文献３に，上記Ｆで引用した記載が存在し，Ｆに引用の記載中に，「 一般に，ｈ＞３として，ｈ倍算の計算量は，（ｈ－１）倍算と加算の組み合わせの計算量よりも多くなることはないといえる。なぜなら，ｈ倍点公式は，ｈＰ＝（ｈ－１）Ｐ＋Ｐの関係から式を整理して得られるため，式変形の結果，計算量が少なくなることがあり，また，最悪のケースでも，ｈ倍算を（ｈ－１）倍算と加算の組み合わせに置き換えて計算できるからである」とあり，当該記載内容によれば，“式変形を行えば，計算量が少なくなる”ことが示唆されていることは読み取れる。 しかしながら，当該記載内容は，本願発明１における従来技術の式であって，引用文献１にも記載されている式 「ｓ＝（（１＋ｄＡ）－１・（ｋ－ｒ・ｄＡ））ｍｏｄｎ」（以下，これを「式２」という） をどのように変形するかについては，何ら示されていない。 「式２」を，「式１」に変形する点については，本願明細書の段落【００３８】に開示されているが，仮に，当該式変形が，当業者にとって容易なものであったとしても，従来，式２で行っていた処理を，式１で行うようにする点について，何れの文献にも示唆されておらず，また，式２に対して，何らかの変形を行った後に，処理を行う点についても，何ら示されていない以上，引用発明と，引用文献３に記載された事項から，従来技術における式２に替えて，本願発明における式１を採用することを，当業者が容易に想到し得たとは認められない。 したがって，上記相違点１，及び，相違点３について判断するまでもなく，本願発明１は，当業者であっても，引用発明及び引用文献３に記載された技術的事項に基づいて容易に発明できたものとはいえない。 第８．他の請求項に係る発明について １．本願発明２～本願発明４について 本願の請求項２～本願の請求項４は，本願の請求項１を引用するものであるから，本願発明２～本願発明４は，［相違点２］に係る構成を内包している。 従って，上記「第７．相違点についての当審の判断」において検討したとおり，本願発明２～本願発明４は，当業者であっても，引用発明及び引用文献３に記載された技術的事項に基づいて容易に発明できたものとはいえない。 ２．本願発明５～本願発明１０について 本願発明５は，本願発明１と発明のカテゴリが相違するものの，［相違点２］に係る構成を有している。 そして，本願の請求項６～本願の請求項１０は，本願の請求項５を引用するものであるから，本願発明６～本願発明１０も，［相違点２］に係る構成を有している。 従って，上記「第７．相違点についての当審の判断」において検討したとおり，本願発明５～本願発明１０は，当業者であっても，引用発明及び引用文献３に記載された技術的事項に基づいて容易に発明できたものとはいえない。 第９．むすび 以上のとおり，本願発明１～本願発明１０は，当業者が引用発明及び引用文献３に記載された技術的事項に基づいて容易に発明をすることができたものではない。したがって，原査定の理由によっては，本願を拒絶することはできない。 また，他に本願を拒絶すべき理由を発見しない。 よって，結論のとおり審決する。