2022-010925

特願２０１９－５３２７９９「原子炉保護システム」拒絶査定不服審判事件〔平成３０年 ８月 ９日国際公開、ＷＯ２０１８／１４４１７３、令和 ２年 ５月２１日国内公表、特表２０２０－５１４７００〕について、次のとおり審決する。

結 論 本件審判の請求は、成り立たない。

理 由 第１ 手続の経緯 本願は、２０１８年（平成３０年）１月２日を国際出願日とする外国語特許出願（パリ条約による優先権主張外国庁受理２０１６年１２月３０日、米国）であって、その手続の経緯の概略は、次のとおりである。 令和 元年 ８月１４日 ：翻訳文の提出 令和 ３年 ８月３１日付け：拒絶理由通知書 同年１１月１０日 ：意見書、手続補正書の提出 令和 ４年 ３月１４日付け：拒絶査定（以下「原査定」という。） （同月２２日 ：原査定の謄本の送達） 同年 ７月１３日 ：審判請求書、手続補正書の提出 第２ 令和４年７月１３日にされた手続補正についての補正の却下の決定 ［補正の却下の決定の結論］ 令和４年７月１３日にされた手続補正を却下する。 ［補正の却下の決定の理由］ １ 本件補正の内容 令和４年７月１３日にされた手続補正（以下「本件補正」という。）は、特許請求の範囲について補正するものであって、本件補正前（令和３年１１月１０日にされた手続補正後をいう。）の特許請求の範囲の請求項１及び本件補正後の特許請求の範囲の請求項１の記載は、それぞれ次の(１)及び(２)に示すとおりである。下線は補正箇所を示す。 (１) 本件補正前 「【請求項１】 複数の機能的に独立したモジュールであって、前記複数の機能的に独立したモジュールの各々のハードウェアが、（１）原子炉安全システムから複数の入力を受け取り、（２）前記複数の入力に少なくとも部分的に基づいて安全措置を論理的に判定するように構成され、前記機能的に独立したモジュールの各々が、デジタルモジュール又は複合型デジタル及びアナログモジュールを備えている、複数の機能的に独立したモジュールと、 前記機能的に独立したモジュールのうちの１つ又は複数に電気的に結合されたアナログモジュールと、 前記複数の機能的に独立したモジュールに結合された表示インタフェースモジュール（ＤＩＭ）と、 前記複数の入力に少なくとも部分的に基づいた前記安全措置の判定を受け取るように、前記複数の機能的に独立したモジュールに通信可能に結合された１つ又は複数の原子炉安全アクチュエータと を備え、 前記ＤＩＭは、前記複数の機能的に独立したモジュールに関連付けられたデータをデジタル表示画面のために表示するときにハードウェアがディスプレイドライバとして機能するべく構成されたフィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路を含む、原子炉保護システム。」 (２) 本件補正後 「【請求項１】 複数の機能的に独立したモジュールであって、前記複数の機能的に独立したモジュールの各々のハードウェアが、（１）原子炉安全システムから複数の入力を受け取り、（２）前記複数の入力に少なくとも部分的に基づいて安全措置を論理的に判定するように構成され、前記機能的に独立したモジュールの各々が、デジタルモジュール又は複合型デジタル及びアナログモジュールを備え、前記複数の機能的に独立したモジュールは、前記安全措置を論理的に判定するときに冗長又は重複するデータの別個の処理を介して１つ又は複数の形態の処理多様性を提供するように構成される、複数の機能的に独立したモジュールと、前記複数の機能的に独立したモジュールのうちの１つ又は複数に電気的に結合されたアナログモジュールと、 前記複数の機能的に独立したモジュールに結合された少なくとも２つの表示インタフェースモジュール（ＤＩＭ）と、 前記複数の入力に少なくとも部分的に基づいた前記安全措置の判定を受け取るように、前記複数の機能的に独立したモジュールに通信可能に結合された１つ又は複数の原子炉安全アクチュエータと を備え、 前記ＤＩＭはそれぞれが、（１）前記複数の機能的に独立したモジュールの中の１つ又は複数のモジュールの一意の部分集合に結合され、（２）フィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路を含み、 各ＦＰＧＡ回路は、前記結合された１つ又は複数のモジュールの一意の部分集合に関連付けられたデータをデジタル表示パネルのために表示するときにハードウェアがディスプレイドライバとして機能するべく構成され、 前記少なくとも２つのＤＩＭのＦＰＧＡ回路は、前記データのデジタル表示までの前記１つ又は複数の形態の処理多様性を維持するべく構成される、原子炉保護システム。」 ２ 本件補正の適否についての当審の判断 (１) 本件補正の目的について ア 本件補正で請求項１についてする補正は、本件補正前の請求項１についての以下の補正事項を含むものである。 (ア) 複数の機能的に独立したモジュールについて、「前記安全措置を論理的に判定するときに冗長又は重複するデータの別個の処理を介して１つ又は複数の形態の処理多様性を提供するように構成される」ものに限定する補正事項。 (イ) 表示インタフェースモジュール（ＤＩＭ）について、 ａ 「少なくとも２つ」に限定する補正事項。 ｂ 本件補正前の「前記複数の機能的に独立したモジュールに結合された」ものを、「前記複数の機能的に独立したモジュールの中の１つ又は複数のモジュールの一意の部分集合に結合され［る］」ものに限定する補正事項。 (ウ) フィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路について、「前記データのデジタル表示までの前記１つ又は複数の形態の処理多様性を維持するべく構成される」ものに限定する補正事項。 イ そして、本件補正前の請求項１に記載された発明と本件補正後の請求項１記載される発明は、産業上の利用分野及び解決しようとする課題が同一である。 ウ したがって、本件補正で請求項１についてする補正は、特許法１７条の２第５項２号に規定する特許請求の範囲の減縮を目的とする補正に該当する。 (２) 独立特許要件について 前記(１)のとおり、本件補正は、特許法１７条の２第５項２号に規定する特許請求の範囲の減縮を目的とする補正である。そこで、本件補正後の請求項１に係る発明（以下「本件補正発明」という。）が、同法１７条の２第６項において準用する同法１２６条７項の規定に適合するか、すなわち、特許出願の際独立して特許を受けることができるものであるかについて、以下検討する。 ア 本件補正発明 本件補正発明は、前記１(２)の本件補正後の請求項１に記載された事項により特定されるとおりのものと認める。 イ 引用文献に記載された事項及び引用発明の認定 (ア) 引用文献に記載された事項 原査定の拒絶の理由に引用され、本願の優先日前に発行された国際公開第２０１５／１１２３０４号（以下「引用文献」という。）には、以下の事項が記載されている。（）内の翻訳は、対応する公表公報である特表２０１７－５０１４１９号公報を参考にした当合議体によるものであり、下線は当合議体が付したものである。 ａ [0002]－[0004] 「TECHNICAL BACKGROUND [0002] This disclosure describes a nuclear reactor protection system and associated methods thereof.」 （［技術的背景］ 本開示は、原子炉保護システム及びその関連する方法を述べる。） 「BACKGROUND [0003] Nuclear reactor protection systems and, generally, nuclear reactor instrumentation and control (I&C) systems provide automatic initiating signals, automatic and manual control signals, and monitoring displays to mitigate the consequences of fault conditions. For example, I&C systems provide protection against unsafe reactor operation during steady state and transient power operation. During normal operation I&C systems measure various parameters and transmit the signals to control systems. During abnormal operation and accident conditions, the I&C systems transmit signals to the reactor protection system and, in some cases a reactor trip system (RTS) and engineered safety features actuation system (ESFAS) of the reactor protection system, to initiate protective actions based on predetermined set points.」 （［背景］ 原子炉保護システム、及び一般的に、原子炉計装制御（Ｉ＆Ｃ）システムは、故障状態がもたらす結果を軽減するため、自動始動信号、自動及び手動制御信号、並びに監視表示を提供する。例えば、Ｉ＆Ｃシステムは、定常状態及び過渡的電力運転中に安全でない原子炉運転に対する保護を提供する。正常運転中、Ｉ＆Ｃシステムは、種々のパラメータを測定し、それらの信号を制御システムに送信する。異常運転及び事故状態中に、Ｉ＆Ｃシステムは、信号を、原子炉保護システムに、幾つかの場合には原子炉保護システムの原子炉トリップシステム（ＲＴＳ）及び工学的安全施設作動システム（ＥＳＦＡＳ）に送信して、所定の設定点に基づいて保護動作を開始する。） 「SUMMARY [0004] In a general implementation according to the present disclosure, a nuclear reactor protection system includes a plurality of functionally independent modules, each of the modules configured to receive a plurality of inputs from a nuclear reactor safety system, and logically determine a safety action based at least in part on the plurality of inputs; and one or more nuclear reactor safety actuators communicably coupled to the plurality of functionally independent modules to receive the safety action determination based at least in part on the plurality of inputs.」 （［概要］ 本開示に係る全体的な実装形態において、原子炉保護システムは、複数の機能的に独立したモジュールであって、モジュールの各々は、原子炉安全システムから複数の入力を受信し、少なくとも部分的に複数の入力に基づいて安全動作を論理的に決定するように構成された、複数の機能的に独立したモジュールと、少なくとも部分的に複数の入力に基づいた安全動作決定を受信するために、複数の機能的に独立したモジュールに通信可能に接続された１つ又は複数の原子炉安全アクチュエータとを含んでいる。） ｂ [0090]、FIG.1 「[0090] FIG. 1 illustrates an example implementation of a system 100 that includes multiple nuclear power systems 150 and a nuclear instrumentation and control (I&C) system 135. Generally, the I&C system 135 provides automatic initiating signals, automatic and manual control signals, and monitoring and indication displays to prevent or mitigate the consequences of fault conditions in the system 100. The I&C system 135 provides normal reactor controls and protection against unsafe reactor operation of the nuclear power systems 150 during steady state and transient power operation. During normal operation, instrumentation measures various process parameters and transmits the signals to the control systems of I&C system 135. During abnormal operation and accident conditions, the instrumentation transmits signals to portions of the I&C system 135 (e.g., a reactor trip system (RTS) 147 and engineered safety features actuation system (ESFAS) 148 (e.g., for mitigating the effects of an accident) that are part of a module protection system (MPS) 145) to initiate protective actions based on predetermined set points.」 （図１は、複数の原子力システム１５０と、原子炉計装及び制御（Ｉ＆Ｃ）システム１３５とを含むシステム１００の例示的な実装形態を図示している。一般的に、Ｉ＆Ｃシステム１３５は、自動始動信号、自動及び手動制御信号、並びに監視及び指示ディスプレイを提供して、システム１００における故障状態の結果を防止又は緩和する。Ｉ＆Ｃシステム１３５は、正常な原子炉制御と、定常状態及び過渡的電力運転中に原子力システム１５０の安全でない原子炉運転に対しての保護とを提供する。正常運転中、計装は、種々のプロセスパラメータを測定し、その信号をＩ＆Ｃシステム１３５の制御システムに送信する。異常運転及び事故状態中、計装は、信号をＩ＆Ｃシステム１３５の複数の部分（モジュール保護システム（ＭＰＳ）１４５の部分である、例えば（例えば、事故の影響を緩和するための）原子炉トリップシステム（ＲＴＳ）１４７及び工学的安全施設作動システム（ＥＳＦＡＳ）１４８）に送信して、所定の設定点に基づいて保護動作を始動する。） 「 ［図：0001403257000001.jpg］ 」 ｃ [0100] 「[0100] The illustrated I&C system 135, generally, includes a main control room 140, a module (or reactor) protection system (MPS) 145, and a non-safety module control system (MCS) 155. The main control room 140 includes a set of controls and indicators 141 for each nuclear power system 150. Each set of controls and indicators 141 includes manual IE controls 142, IE indicators 143, and non IE controls and indicators 144. In some aspects, "IE," may refer to regulatory requirements such as those that define a IE scheme under IEEE Std. 308-2001, section 3.7, endorsed by Nuclear Regulatory Commission Regulatory Guide 1.32, which defines a safety classification of the electric equipment and systems that are essential to emergency reactor shutdown, containment isolation, reactor core cooling, and containment and reactor heat removal, or that are otherwise essential in preventing significant release of radioactive material into the environment. Typically, certain controls and indicators may be "IE" qualified (e.g., the manual IE controls 142 and IE indicators 143) while other controls and indicators may not be "IE" qualified (e.g., the non-IE controls and indicators 144).」 （図示されたＩ＆Ｃシステム１３５は、一般的に、主制御室１４０、モジュール（又は原子炉）保護システム（ＭＰＳ）１４５、及び非安全モジュール制御システム（ＭＣＳ）１５５を含む。主制御室１４０は、各原子力システム１５０のための制御装置及び計器のセット１４１を含む。制御装置及び計器の各セット１４１は、手動１Ｅ制御装置１４２、１Ｅ計器１４３、並びに非１Ｅ制御装置及び計器１４４を含む。幾つかの局面において、「１Ｅ」は、例えば原子力規制委員会規制ガイド１．３２によって承認されたＩＥＥＥ規格３０８－２００１のセクション３．７における１Ｅスキームを規定する要件等のような規制要件を指すことができ、１Ｅスキームは、緊急原子炉停止、格納容器隔離、炉心冷却、及び、格納容器及び原子炉の熱除去にとって必須の、又は別途、環境内への放射性物質の著しい放出を防止するときに必須の、電気機器及びシステムの安全性分類を規定する。通常、或る制御装置及び計器（例えば、手動１Ｅ制御装置１４２及び１Ｅ計器１４３）は「１Ｅ」適格であってもよく、一方、他の制御装置及び計器（例えば、非１Ｅ制御装置及び計器１４４）は「１Ｅ」適格でなくてもよい。） ｄ [0102]－[0104] 「[0102] The MPS 145 is in one-way communication each with the manual IE controls 142 and the IE indicators 143 as shown in FIG. 1. The MPS 145, generally, initiates safety actions to mitigate consequences of design basis events. The MPS 145, generally, includes all equipment (including hardware, software, and firmware) from sensors to the final actuation devices (power sources, sensors, signal conditioners, initiation circuits, logic, bypasses, control boards, interconnections, and actuation devices) required to initiate reactor shutdown.」 （ＭＰＳ１４５は、図１に示すように、手動１Ｅ制御装置１４２及び１Ｅ計器１４３とそれぞれ一方向通信状態にある。ＭＰＳ１４５は、一般的に、安全動作を始動して、設計基準事象の結果を緩和する。ＭＰＳ１４５は、一般的に、原子炉停止を始動するために必要とされる、センサから最終的な作動デバイス（電力源、センサ、信号調節器、始動回路、論理、バイパス、制御ボード、相互接続部、及び作動デバイス）までの（ハードウェア、ソフトウェア、及びファームウェアを含む）全ての機器を含む。） 「[0103] The MPS 145 includes the RTS 147 and the ESFAS 148. The RTS 147, in some aspects, includes four independent separation groups (e.g., a physical grouping of process channels with the same Class-IE electrical channel designation (A, B, C, or D)), which is provided with separate and independent power feeds and process instrumentation transmitters, and each of which groups is physically and electrically independent of the other groups) with independent measurement channels to monitor plant parameters that can be utilized to generate a reactor trip. Each measurement channel trips when the parameter exceeds a predetermined set point. The coincident logic of the RTS 147 may be designed so that no single failure can prevent a reactor trip when required, and no failure in a single measurement channel can generate an unnecessary reactor trip.」 （ＭＰＳ１４５は、ＲＴＳ１４７及びＥＳＦＡＳ１４８を含む。ＲＴＳ１４７は、幾つかの局面において、原子炉トリップを生成するために利用され得るプラントパラメータを監視するため、独立した測定チャネルを有する４つの独立した分離グループ（例えば、同じクラス－１Ｅ電気チャネル指定（Ａ、Ｂ、Ｃ、又はＤ）を有するプロセスチャネルの物理的分類であって、別個でかつ独立した給電部及びプロセス計装送信機が設けられ、また、そのグループのそれぞれが、他のグループと物理的にかつ電気的に独立している、プロセスチャネルの物理的分類）を含む。各測定チャネルは、パラメータが所定の設定点を超えるとトリップする。ＲＴＳ１４７の一致論理は、どの単一の故障も、必要とされるときに原子炉トリップを妨げる可能性がなく、かつ、単一の測定チャネルにおけるどの故障も、不必要な原子炉トリップを生成する可能性がないように設計されてもよい。） 「[0104] The ESFAS 148, in some aspects, includes four independent separation groups with independent measurement channels, which monitor plant parameters, that can be utilized to activate the operation of the engineered safety features (ESF) equipment. Each measurement channel trips when the parameter exceeds a predetermined set point. The ESFAS 148's coincident logic may be designed so that no single failure can prevent a safeguards actuation when required, and no single failure in a single measurement channel can generate an unnecessary safeguards actuation.」 （ＥＳＦＡＳ１４８は、幾つかの局面において、独立した測定チャネルを有する４つの独立した分離グループを含み、独立した測定チャネルはプラントパラメータを監視し、プラントパラメータは、工学的安全施設（ＥＳＦ）機器の運転を起動するのに使用され得る。各測定チャネルは、パラメータが所定の設定点を超えるとトリップする。ＥＳＦＡＳ１４８の一致論理は、どの単一の故障も、必要とされるときに保障措置作動を妨げる可能性がなく、かつ、単一の測定チャネルにおけるどの単一の故障も、不必要なセーフガード作動を生成する可能性がないように設計されてもよい。） ｅ [0105] 「[0105] System 100 may include four echelons of defense, e.g., specific applications of the principle of defense-in-depth to the arrangement of instrumentation and control systems attached to a nuclear reactor for the purpose of operating the reactor or shutting it down and cooling it, as defined in NUREG/CR-6303. Specifically, the four echelons are a control system, a reactor trip or scram system, an ESFAS, and a monitoring and indicator system (e.g., the slowest and the most flexible echelon of defense that includes both Class IE and non-Class IE manual controls, monitors, and indicators required to operate equipment nominally assigned to the other three echelons).」 （システム１００は、ＮＵＲＥＧ／ＣＲ－６３０３に規定されるように、防護の４つの階層、例えば、原子炉を運転するため、又は、原子炉を停止し原子炉を冷却するために原子炉に取り付けられた計装及び制御システムの配置構成に対する深層防護の原理の特定の適用を含んでもよい。特に、４つの階層は、制御システム、原子炉トリップ又はスクラムシステム、ＥＳＦＡＳ、及び、監視及び計器システム（例えば、最も遅くかつ最も柔軟性のある防護の階層であって、他の３つの階層に名目的に割り当てられる機器を運転するために必要とされる、クラス１Ｅと非クラス１Ｅとの双方の手動制御装置、モニター、及び計器を含む、防護の階層）である。） ｆ [0110] 「[0110] In addition to including the four echelons of defense, system 100 includes multiple levels of diversity. Specifically, I&C diversity is a principle of measuring variables or providing actuation means, using different technology, logic or algorithms, to provide diverse ways of responding to postulated plant conditions. Here, diversity is applied to the principle in instrumentation systems of sensing different parameters, using different technologies, logic or algorithms, or means of actuation to provide several ways of detecting and responding to a significant event. Diversity is complementary to the principle of defense-in-depth and increases the chances that defenses at a particular level or depth will be actuated when needed. Generally, there are six attributes of diversity: human diversity, design diversity, software diversity, functional diversity, signal diversity, and equipment diversity. As discussed in more depth in the present disclosure, the MPS 145 may incorporate the six attributes of diversity in order to mitigate the effects of a common-cause failure (e.g., a failure caused by software errors or software- developed logic that could defeat the redundancy achieved by hardware architecture) in the MPS 145.」 （防護の４つの階層を含むことに加えて、システム１００は、複数レベルの多様性を含む。特に、Ｉ＆Ｃ多様性は、異なる技術、論理、又はアルゴリズムを使用して変数を測定するか又は作動手段を提供するという原理であり、想定プラント状態に対応する多様な方法を提供する。ここで、多様性は、異なる技術、論理、又はアルゴリズムを使用して異なるパラメータを検知する計装システム、又は、作動手段の原理に適用されて、重大事象を検出し、重大事象に応答する幾つかの方法を提供する。多様性は、深層防護の原理に相補的であり、特定のレベル又は深度の防護が、必要とされるときに作動されることになる機会を増加させる。一般的に、６つの多様性の属性、すなわち、人間多様性、設計多様性、ソフトウェア多様性、機能多様性、信号多様性、及び機器多様性が存在する。本開示でより詳細に論じるように、ＭＰＳ１４５は、ＭＰＳ１４５における共通原因故障（例えば、ハードウェアアーキテクチャによって達成される冗長性を無効にし得るソフトウェアエラー又はソフトウェア生成論理によって引き起こされる故障）の影響を緩和するために、６つの多様性の属性を組み込んでもよい。） ｇ [0125]－[0136]、FIG.2A－FIG.3B 「[0125] FIGS. 2A-2B illustrate a block diagram of module protection system (MPS) 200 of an I&C system for a nuclear power system 150. In some implementations, the MPS 200 may be similar or identical to the MPS 145 shown in FIG. 1. Generally, the illustrated MPS 200 includes four separation groups of sensors and detectors (e.g., sensors 202a-202d); four separation groups of signal conditioning and signal conditioners (e.g., signal conditioners 204a-204d); four separation groups of trip determination (e.g., trip determinations 208a-208d); two divisions of RTS voting and reactor trip breakers (e.g., division I RTS voting 214, and division II RTS voting 216); and two divisions of engineered safety features actuation system (ESFAS) voting and engineered safety features (ESF) equipment (e.g., division I ESFAS voting 212 and ESF equipment 224, and division II ESFAS voting 218 and ESF equipment 226).」 （図２Ａ～２Ｂは、原子力システム１５０のためのＩ＆Ｃシステムのモジュール保護システム（ＭＰＳ）２００のブロック図を図示している。幾つかの実装形態において、ＭＰＳ２００は、図１に示されたＭＰＳ１４５に類似するか又はそれと同一であってもよい。一般的に、図示されたＭＰＳ２００は、センサ及び検出器の４つの分離グループ（例えば、センサ２０２ａ～２０２ｄ）、信号調節及び信号調節器の４つの分離グループ（例えば、信号調節器２０４ａ～２０４ｄ）、トリップ決定の４つの分離グループ（例えば、トリップ決定２０８ａ～２０８ｄ）、ＲＴＳ投票及び原子炉トリップ遮断器の２つの区分（例えば、区分Ｉ ＲＴＳ投票２１４及び区分ＩＩ ＲＴＳ投票２１６）、及び、工学的安全施設作動システム（ＥＳＦＡＳ）投票及び工学的安全施設（ＥＳＦ）機器の２つの区分（例えば、区分Ｉ ＥＳＦＡＳ投票２１２及びＥＳＦ機器２２４並びに区分ＩＩ ＥＳＦＡＳ投票２１８及びＥＳＦ機器２２６）を含む。） 「[0126] Generally, the sensors 202a-202d include process sensors that are responsible for measuring different process parameters such as pressure, temperature, level, and neutron flux. Thus, each process parameter of the nuclear power system 150 is measured using different sensors, and is processed by different algorithms, which are executed by different logic engines. In some aspects, neutron flux sensors are responsible for measuring neutron flux from a reactor core from a shutdown condition up to 120 percent of full power. Three types of neutron flux detectors may be used in the MPS 200, including source range, intermediate range, and power range」 （一般的に、センサ２０２ａ～２０２ｄは、例えば圧力、温度、レベル、及び中性子束等の異なるプロセスパラメータを測定することを担当するプロセスセンサを含む。そのため、原子力システム１５０の各プロセスパラメータは、異なるセンサを使用して測定され、異なる論理エンジンによって実行される異なるアルゴリズムによって処理される。幾つかの局面において、中性子束センサは、フルパワーの１２０パーセントまでの停止条件による、炉心からの中性子束を測定することを担当する。ソース範囲、中間範囲、及びパワー範囲を含む、３つの型の中性子束センサを、ＭＰＳ２００内で使用してもよい。） 「[0127] Generally, the signal conditioners 204a-204d receive the measurements from the sensors 202a-202d, process the measurements and provide outputs 206a-206d. In some aspects, the interconnections of the sensors 202a-202d to the signal conditioners 204a-204d may be dedicated copper wires or some other signal transmission method.」 （一般的に、信号調節器２０４ａ～２０４ｄは、センサ２０２ａ～２０２ｄから測定値を受信し、測定値を処理し、出力２０６ａ～２０６ｄを提供する。幾つかの局面において、信号調節器２０４ａ～２０４ｄに対するセンサ２０２ａ～２０２ｄの相互接続部は、専用銅線又は何らかの他の信号送信方法であってもよい。） 「[0128] The signal conditioners 204a-204d each may be comprised of multiple input modules 270a-270n (e.g., indicating any number of modules depending on the number of sensor inputs), as shown in FIG 3A, that are responsible for conditioning, measuring, filtering, and sampling field inputs from the sensors 202a-202d. Each input module 270a-270n may be dedicated to a specific input type, such as 24 V or 48 V digital inputs, 4-20 mA analog inputs, 0- 10 V analog inputs, resistance thermal detector inputs, or thermo-couple inputs.」 （信号調節器２０４ａ～２０４ｄはそれぞれ、（例えば、センサ入力の数に応じて任意の数のモジュールを示す）図３Ａに示された複数の入力モジュール２７０ａ～２７０ｎからなってもよく、入力モジュール２７０ａ～２７０ｎは、センサ２０２ａ～２０２ｄからのフィールド入力を調節し、測定し、フィルタリングし、サンプリングすることを担う。各入力モジュール２７０ａ～２７０ｎは、例えば２４Ｖ又は４８Ｖデジタル入力、４～２０ｍＡアナログ入力、０～１０Ｖアナログ入力、抵抗熱検出器入力、又は熱電対入力等の特定の入力型に専用であってもよい。） 「[0129] Each input module 270a-270n may be comprised of an analog circuit and a digital circuit. The analog circuit is responsible for converting analog voltages or currents into a digital representation. It is also referred to as signal conditioning circuitry. The digital portion of each input module 270a-270n may be located within a logic engine. The logic engine performs all input module control, sample and hold filtering, integrity checks, self-testing, and digital filtering functions. The digital representation of the sensor output is communicated from the signal conditioners 204a-204d to the trip determination 208a-208d through the outputs 206a-206d using, in some examples, a serial interface.」 （各入力モジュール２７０ａ～２７０ｎは、アナログ回路及びデジタル回路からなってもよい。アナログ回路は、アナログ電圧又はアナログ電流をデジタル表現に変換することを担う。アナログ回路は信号調節回路構成とも称される。各入力モジュール２７０ａ～２７０ｎのデジタル部分を、論理エンジン内に配置してもよい。論理エンジンは、全入力モジュール制御、サンプル及びホールドフィルタリング、完全性チェック、自己試験、及びデジタルフィルタリング機能を実行する。センサ出力のデジタル表現は、幾つかの例ではシリアルインタフェースを使用して、出力２０６ａ～２０６ｄを通して信号調節器２０４ａ～２０４ｄからトリップ決定２０８ａ～２０８ｄまで通信される。） 「[0130] With reference to FIG. 3 A as well, the trip determinations 208a-208d, generally, receive sensor input values in a digital format via a serial interface from the signal conditioners 204a-204d as described above. The trip determinations 208a-208d are each comprised of independent safety function modules (SFM) 272a-272n (described more fully with reference to FIG. 5), where a specific module implements one set of safety functions (e.g., a set may be a single safety function or multiple safety functions related to a particular process parameter). For example, a set of safety functions may consist of a group of functions related to a primary variable, such as a high and low trip from the same pressure input. Each SFM 272a-272n contains a unique logic engine dedicated to implementing one set of safety functions. This results in a gate level implementation of each set of safety functions being entirely different from all other sets of safety functions.」 （同様に図３Ａを参照すると、トリップ決定２０８ａ～２０８ｄは、一般的に、上述したように、信号調節器２０４ａ～２０４ｄからシリアルインタフェースを介してデジタルフォーマットでセンサ入力値を受信する。トリップ決定２０８ａ～２０８ｄはそれぞれ、（図５を参照してより完全に述べる）独立した安全機能モジュール（ＳＦＭ）２７２ａ～２７２ｎからなり、そこで、特定のモジュールが安全機能の１つのセットを実装する（例えば、セットは、特定のプロセスパラメータに関連する単一の安全機能又は複数の安全機能であってもよい）。例えば、安全機能のセットは、例えば同じ圧力入力からの高いトリップ及び低いトリップ等の、主要変数に関連する機能のグループからなってもよい。各ＳＦＭ２７２ａ～２７２ｎは、安全機能の１つのセットを実装することに専用の固有の論理エンジンを含む。これは、安全機能の全ての他のセットと全く異なる安全機能の各セットのゲートレベル実装をもたらす。） 「[0131] The sensor input values (e.g., outputs 206a-206d) may be communicated via a deterministic path and are provided to a specific SFM 272a-272n in each trip determination 208a- 208d. These input values may then be converted to engineering units to determine what safety function, or a set of safety functions, is implemented on that specific SFM 272a-272n. The trip determinations 208a-208d provide these engineering unit values to the control system via, in some examples, an isolated, transmit only, fiber optic connection.」 （センサ入力値（例えば、出力２０６ａ～２０６ｄ）は、決定論的経路を介して通信されてもよく、各トリップ決定２０８ａ～２０８ｄ内の特定のＳＦＭ２７２ａ～２７２ｎに提供される。その後、これらの入力値は工学単位に変換されて、どんな安全機能又は安全機能のセットがその特定のＳＦＭ２７２ａ～２７２ｎ上に実装されるかを決定してもよい。トリップ決定２０８ａ～２０８ｄは、これらの工学単位値を、幾つかの例では、絶縁された送信のみの光ファイバ接続を介して制御システムに提供する。） 「[0132] The SFMs in each trip determination 208a-208d make a reactor trip determination based, if required, on a predetermined set point, and provides a trip or no-trip demand signal to each RTS division(e.g., the RTS voting 214 and 216 in divisions I and II, respectively) via isolated, and in some cases triple-redundant, transmit only, serial connections. The SFMs also make an ESFAS actuation determination, if required, based on a predetermined set point, and provides an actuate or do-not-actuate demand signal to each ESFAS division (e.g., the ESFAS voting 212 and 218 in divisions I and II, respectively) via isolated, in some cases, triple-redundant, transmit only, serial connections.」 （各トリップ決定２０８ａ～２０８ｄにおけるＳＦＭは、必要である場合、所定の設定点に基づいて原子炉トリップ決定を行い、トリップ要求又はトリップなし要求信号を、絶縁された、また幾つかの事例では３重冗長性があり送信のみのシリアル接続によって各ＲＴＳ区分（例えば、それぞれ、区分Ｉ及びＩＩのＲＴＳ投票２１４及び２１６）に提供する。ＳＦＭはまた、必要である場合、所定の設定点に基づいてＥＳＦＡＳ作動決定を行い、作動要求又は作動しない要求信号を、絶縁された、幾つかの事例では３重冗長性があり送信のみのシリアル接続によって各ＥＳＦＡＳ区分（例えば、それぞれ、区分Ｉ及びＩＩのＥＳＦＡＳ投票２１２及び２１８）に提供する。） 「[0133] As shown in FIGS. 3A-3B, for instance, a particular trip determination 208a provides a trip or no-trip demand signal to ESFAS voting 212 through output 274a and to ESFAS voting 218 through output 274b. The trip determination 208a provides a trip or no-trip demand signal to RTS voting 214 through output 276a and to RTS voting 216 through output 276b. These outputs are also generally shown in FIG. 2A as outputs 210a-210d from the trip determinations 208a-208d, respectively.」 （図３Ａ～３Ｂに示すように、例えば、特定のトリップ決定２０８ａは、トリップ要求又はトリップなし要求信号を、出力２７４ａを通してＥＳＦＡＳ投票２１２に、また、出力２７４ｂを通してＥＳＦＡＳ投票２１８に提供する。トリップ決定２０８ａは、トリップ要求又はトリップなし要求信号を、出力２７６ａを通してＲＴＳ投票２１４に、また、出力２７６ｂを通してＲＴＳ投票２１６に提供する。これらの出力はまた、それぞれ、トリップ決定２０８ａ～２０８ｄからの出力２１０ａ～２１０ｄとして、図２Ａに全体的に示される。） 「[0134] As further shown in FIG. 3 A, for instance, a particular trip determination 208a provides a trip or no-trip demand signal to monitoring & indication (M&I) outputs 278a and 278b (one per division), as well as to a non-IE output 280. Outputs 278a and 278b provide process information to the MCS for non-safety control functions. Output 280 provides process information and trip status information to the non-IE controls and indicators 144.」 （図３Ａに更に示されるように、例えば、特定のトリップ決定２０８ａは、トリップ要求又はトリップなし要求信号を、監視及び指示（Ｍ＆Ｉ）出力２７８ａ及び２７８ｂ（１区分について１つ）並びに非１Ｅ出力２８０に提供する。出力２７８ａ及び２７８ｂは、非安全制御機能についてプロセス情報をＭＣＳに提供する。出力２８０は、プロセス情報及びトリップ状態情報を非１Ｅ制御装置及び計器１４４に提供する。）」 「[0135] Returning to FIG 2A, each RTS division (e.g., RTS voting 214 for division I and RTS voting 216 for division II) receives inputs from the trip determinations 208a-208d as described above via isolated, and in some aspects redundant (e.g., double, triple, or otherwise), receive only, serial connections 210a-210d. The trip inputs are combined in the RTS voting logic so that two or more reactor trip inputs from the trip determinations 208a-208d produce an automatic reactor trip output signal on outputs 228a-228d and 230a-230d (as appropriate for each division) that actuates the trip coils for four of the eight reactor trip breakers (RTB) (shown in FIG. 2B) associated with the respective division. In other words, the RTS voting logic, in this example implementation of the MPS 200, work on a "2 out of 4" logic, meaning that if at least two of the four trip determinations 208a-208d indicate that a reactor "trip" is necessary, then a trip signal is sent to the each of the RTB 264a - 264d and 266a - 266d. This breaker configuration permits safe and simple on-line testing of the MPS 200.」 （図２Ａに戻ると、各ＲＴＳ区分（例えば、区分ＩのためのＲＴＳ投票２１４及び区分ＩＩのためのＲＴＳ投票２１６）は、絶縁され、また幾つかの局面では冗長性（例えば、２重、３重、又はその他）がある受信のみのシリアル接続２１０ａ～２１０ｄによって、上述したようにトリップ決定２０８ａ～２０８ｄから入力を受信する。トリップ入力は、トリップ決定２０８ａ～２０８ｄからの２つ以上の原子炉トリップ入力が自動原子炉トリップ出力信号を出力２２８ａ～２２８ｄ及び２３０ａ～２３０ｄ上に（各区分について適宜）生成するようにＲＴＳ投票論理において組み合せられ、自動原子炉トリップ出力信号は、それぞれの区分に関連する（図２Ｂに示す）８つの原子炉トリップ遮断器（ＲＴＢ）のうちの４つについてトリップコイルを作動させる。換言すれば、ＲＴＳ投票論理は、ＭＰＳ２００のこの例示的な実装形態において、「４分の２」論理に関して働き、原子炉「トリップ」が必要であることを４つのトリップ決定２０８ａ～２０８ｄのうちの少なくとも２つが示す場合、トリップ信号がＲＴＢ２６４ａ～２６４ｄ及び２６６ａ～２６６ｄのそれぞれに送信されることを意味する。この遮断器構成は、ＭＰＳ２００の安全でかつ簡単なオンライン試験を可能にする。） 「[0136] A manual trip 250a provides a direct trip of the RTB 266a-266d (for division I) and manual trip 250b provides a direct trip of the RTB 264a-264d (for division II) as well as input to the automatic actuation, manual trip 234 (for division I) and manual trip 236 (for division II) to ensure the sequence is maintained. （手動トリップ２５０ａは、（区分Ｉのための）ＲＴＢ２６６ａ～２６６ｄの直接トリップを提供し、手動トリップ２５０ｂは、（区分ＩＩのための）ＲＴＢ２６４ａ～２６４ｄの直接トリップを提供すると共に、自動作動、（区分Ｉのための）手動トリップ２３４、及び（区分ＩＩのための）手動トリップ２３６の入力と同様に、シーケンスが維持されることを保証する。） 「 ［図：0001403257000002.jpg］ 」 「 ［図：0001403257000003.jpg］ 」 「 ［図：0001403257000004.jpg］ 」 「 ［図：0001403257000005.jpg］ 」 ｈ [0140]－[0142] 「[0140] The illustrated implementation of the MPS 200 in FIGS . 2A-2B and 3 A-3B ensures a high level of independence between the key elements. This includes independence between the four separation groups of sensors and detectors 202a-202d, the four separation groups of trip determination (labeled "a" through "d"), the two divisions of RTS 214/216 (division I and division II as described), the two divisions of the ESFAS circuitry 212/218 (division I and division II as described), and the two divisions of the ESF equipment 224/226 (division I and division II as described). Based on inputs to an SFM (e.g., in the trip determinations 208a-208d), the MPS 200 implements a set of safety functions independently within each of the four separation groups. Safety function independence is maintained from the sensors 202a-202d to the trip determination output 210a-210d. This configuration, in some aspects, limits SFM failures to those based on that module's inputs. This strategy may help limit the effects of a common-cause failure and enhance signal diversity. This method of independence may also ensure a failure within independent safety functions does not propagate to any of the other safety functions modules. Further, on-line replacement of a failed SFM ensures that the failure can be corrected with minimal, if any, impact to other modules.」 （図２Ａ～２Ｂ及び図３Ａ～３ＢにおけるＭＰＳ２００の図示された実装形態は、主要要素間の高いレベルの独立性を保証する。これは、センサ及び検出器の４つの分離グループ２０２ａ～２０２ｄ、（「ａ」～「ｄ」とラベル付けされる）トリップ決定の４つの分離グループ、ＲＴＳ２１４／２１４の２つの区分（述べた区分Ｉ及び区分ＩＩ）、ＥＳＦＡＳ回路構成２１２／２１８の２つの区分（述べた区分Ｉ及び区分ＩＩ）、及びＥＳＦ機器２２４／２２６の２つの区分（述べた区分Ｉ及び区分ＩＩ）の間の独立性を含む。（例えば、トリップ決定２０８ａ～２０８ｄ内の）ＳＦＭへの入力に基づいて、ＭＰＳ２００は、４つの分離グループの各々の中に安全機能のセットを独立に実装する。安全機能独立性は、センサ２０２ａ～２０２ｄからトリップ決定出力２１０ａ～２１０ｄまで維持される。この構成は、幾つかの局面では、ＳＦＭ故障を、そのモジュールの入力に基づくＳＦＭ故障に限定する。この戦略は、共通原因故障の影響を制限し、信号多様性を高めるのに役立ち得る。独立性のこの方法はまた、独立した安全機能内の故障が、他の安全機能モジュールのいずれかに伝搬しないことを保証し得る。更に、故障したＳＦＭのオンライン置換は、もしあれば他のモジュールに対する影響が最小の状態で故障が正される可能性があることを保証する。） 「[0141] Communication of safety function data within the illustrated MPS 200 is transmitted or received via triple module, redundant, independent, optically isolated, one-way communication paths. This communication scheme may ensure that, apart from interdivisional voting, a safety function is not dependent on any information or resource originating outside its division to accomplish its safety function. Fault propagation between Class IE divisions (e.g., divisions I and II) is prevented by one-way isolation (e.g., optical isolation or otherwise) of the divisional trip signals.」 （図示されたＭＰＳ２００内での安全機能データの通信は、３重モジュールで冗長性があり独立した光学式絶縁一方向通信経路によって送受信される。この通信スキームは、区分間投票を除いて、安全機能が、その安全機能を達成するため、その区分の外部に起因するあらゆる情報又はリソースにも依存しないことを保証し得る。クラス１Ｅ区分（例えば、区分Ｉ及びＩＩ）間の故障伝搬は、区分トリップ信号の一方向絶縁（例えば、光学式絶縁又はその他）によって防止される。） 「[0142] The illustrated implementation of the MPS 200 in FIGS . 2A-2B and 3 A-3B further incorporates redundancy in multiple areas of the illustrated architecture. The redundancy within the MPS 200 includes four separation groups of sensors and detectors (labeled "a" through "d"), trip determination (labeled "a" through "d"), and two divisions of RTS and ESFAS circuitry (division I and division II as described). The MPS 200 also uses two-out-of-four voting so that a single failure of an initiation signal will not prevent a reactor trip or ESF equipment actuation from occurring when required. Additionally, a single failure of an initiation signal will not cause spurious or inadvertent reactor trips or ESF equipment actuations when they are not required.」 （図２Ａ～２Ｂ及び図３Ａ～３ＢにおけるＭＰＳ２００の図示された実装形態は、図示されたアーキテクチャの複数のエリアにおいて冗長性を更に組み込んでいる。ＭＰＳ２００内の冗長性は、（「ａ」～「ｄ」とラベル付けされる）センサ及び検出器の４つの分離グループ、（「ａ」～「ｄ」とラベル付けされる）トリップ決定、及びＲＴＳ及びＥＳＦＡＳ回路構成の２つの区分（述べた区分Ｉ及び区分ＩＩ）を含む。ＭＰＳ２００はまた、原子炉トリップ又はＥＳＦ機器作動が、必要されるときに起こることを、始動信号の単一の故障が妨げないように４分の２投票を用いる。更に、始動信号の単一の故障は、偽りの又は意図しない原子炉トリップ又はＥＳＦ機器作動が必要とされないときに、それらをもたらさないことになる。） ｉ [0143]－[0147] 「[0143] The MPS 200 also incorporates functional independence by implementing each set of safety functions, which is used to mitigate a particular transient event on an independent SFM with a unique logic engine for that particular set of safety functions.」 （ＭＰＳ２００はまた、安全機能の各セットを実装することによって機能独立性を組み込み、安全機能の各セットは、独立したＳＦＭ上での特定の過渡事象を、安全機能のその特定のセットのための固有の論理エンジンによって緩和するのに使用される。） …（中略）… 「[0147] Design diversity is also incorporated by process as each set of programmable digital hardware may be designed by different design teams using different sets of design tools. As one example, the safety function(s) may be implemented in a microprocessor. In this example, the safety function(s) may be evaluated in a sequential manner that, in some aspects, may introduce a dependency of one safety function (A2 for instance) on another safety function (Al for instance) due to the sequential operation of the processing loop. As another example, the safety functions may be implemented in a state-based field programmable gate array (FPGA). In this example, each safety function may be evaluated independently of every other safety function. This latter example may ensure an increased independence by removing any dependence of the processing of one safety function on another safety function.」 （プログラマブルデジタルハードウェアの各セットは、設計ツールの異なるセットを使用して異なる設計チームによって設計され得るため、設計多様性もまたプロセスによって組み込まれる。一例として、安全機能は、マイクロプロセッサに実装されてもよい。この例において、安全機能は、シーケンシャルな方法で評価されてもよく、シーケンシャルな方法は、幾つかの局面において、処理ループのシーケンシャル動作に起因して、１つの安全機能（例えばＡ２）の別の安全機能（例えばＡ１）に対する依存性を導入してもよい。別の例として、安全機能は、状態ベースフィールドプログラマブルゲートアレイ（ＦＰＧＡ）に実装されてもよい。この例において、各安全機能は、全ての他の安全機能と独立に評価されてもよい。この後者の例は、別の安全機能に対する１つの安全機能の処理のあらゆる依存性を除去することによって独立性の増加を保証し得る。） ｊ [0150] 「[0150] FIG. 5 illustrates a block diagram of a safety function module (SFM) 500 of anMPS of an I&C system for a nuclear power system. FIG. 6 illustrates a block diagram of a communications module (CM) 600 of an MPS of an I&C system for a nuclear power system. FIG. 7 illustrates a block diagram of an equipment interface module (EIM) 700 of an MPS of an I&C system for a nuclear power system. FIG. 8 (discussed below) illustrates the communications paths within a chassis (e.g., a mechanical structure that interconnects one or more SFM 500, CM 600, and EIM 700). Generally, the illustrated modules 500, 600, and 700, interconnected within a chassis (as illustrated with chassis 800 and as described below), implement the safety functions of the MPS 200 and make up the separation group level modules (e.g., signal conditioners 204a-204d, trip determinations 208a-208d), the RTS level modules (e.g., RTS voting 214/216), and the ESFAS level modules (e.g., ESFAS voting 212/218). In some aspects, having three types of modules (500, 600, and 700) may minimize the number of line replaceable units, thereby minimizing obsolescence. Further, these modules (500, 600, and 700) may be functionally independent so that a single failure in any individual module (500, 600, and 700) does not propagate to other modules or other safety functions. Further, the combinations of modules (500, 600, and 700) as implemented in FIGS. 8A-8C may provide for discrete, deterministic safety signal paths.」 （図５は、原子力システムのためのＩ＆ＣシステムのＭＰＳの安全機能モジュール（ＳＦＭ）５００のブロック図を図示している。図６は、原子力システムのためのＩ＆ＣシステムのＭＰＳの通信モジュール（ＣＭ）６００のブロック図を図示している。図７は、原子力システムのためのＩ＆ＣシステムのＭＰＳの機器インタフェースモジュール（ＥＩＭ）７００のブロック図を図示している。（以下で論じる）図８は、筐体（例えば、１つ又は複数のＳＦＭ５００、ＣＭ６００、及びＥＩＭ７００を相互接続する機械的構造）内の通信経路を図示している。一般的に、（筐体８００によって図示され、以下で述べられる）筐体内で相互接続された図示されたモジュール５００、６００、及び７００は、ＭＰＳ２００の安全機能を実装し、分離グループレベルモジュール（例えば、信号調節器２０４ａ～２０４ｄ、トリップ決定２０８ａ～２０８ｄ）、ＲＴＳレベルモジュール（例えば、ＲＴＳ投票２１４／２１６）、及びＥＳＦＡＳレベルモジュール（例えば、ＥＳＦＡＳ投票２１２／２１８）を構成する。幾つかの局面において、３つの型のモジュール（５００、６００、及び７００）を有することは、作業ラインで交換可能なユニットの数を最小にし、それにより、旧式化を最小にすることができる。更に、これらのモジュール（５００、６００、及び７００）は、どの個々のモジュール（５００、６００、及び７００）における単一の故障も、他のモジュール又は他の安全機能に伝搬しないように機能的に独立であってもよい。更に、図８Ａ～８Ｃにおいて実装されるモジュール（５００、６００、及び７００）の組合せは、離散的で決定論的な安全信号経路をもたらし得る。） ｋ [0162]－[0165]、FIG.7 「[0162] Turning to FIG. 7, the EIM 700, generally, provides an interface to each component within the nuclear power system within the RTS and/or ESFAS level systems, in order for trip determinations to be voted on and component-level actuations and manipulations to be made. As illustrated, the EIM 700 includes output blocks 720, an equipment feedback block 718, a IE manual input 716, a non-IE manual input 714, a voting engine 722, a priority logic block 721, an equipment control block 723, and communication blocks 724/726/728. Generally, the EIM 700 may perform voting, and in some cases double voting (e.g., two out of three voting for communication and two out of four voting for trip signals), based on trip signals to ensure that failures of a single component do not propagate within channel-level interconnects, RTS-level interconnects, and ESFAS-level interconnects of an MPS of an I&C system for a nuclear power system (e.g., MPS 200). The EIM 700 may perform a priority assignment for the automatic signal from the voting 722, manual actuation/IE input 716, and non-IE input 714.」 （図７を見ると、ＥＩＭ７００は、一般的に、ＲＴＳ及び／又はＥＳＦＡＳレベルシステム内の原子力システム内で各コンポーネントに対するインタフェースを提供して、トリップ決定が投票され、コンポーネントレベルの作動及び操作が行われる。図示されるように、ＥＩＭ７００は、出力ブロック７２０、機器フィードバックブロック７１８、１Ｅ手動入力７１６、非１Ｅ手動入力７１４、投票エンジン７２２、優先度論理ブロック７２１、機器制御ブロック７２３、及び通信ブロック７２４／７２６／７２８を含む。一般的に、ＥＩＭ７００は、トリップ信号に基づいて、投票また幾つかの場合には２重投票（例えば、通信のための３分の２投票及びトリップ信号のための４分の２投票）を実行して、単一のコンポーネントの故障が、原子力システム（例えば、ＭＰＳ２００）のためのＩ＆ＣシステムのＭＰＳのチャネルレベル相互接続、ＲＴＳレベル相互接続、及びＥＳＦＡＳレベル相互接続内で伝搬しないことを保証してもよい。ＥＩＭ７００は、投票７２２、手動作動／１Ｅ入力７１６、及び非１Ｅ入力７１４からの自動信号について優先度割当てを実行してもよい。） …（中略）… 「[0165] The IE manual input block 716 may provide multiple (e.g., up to two or more in some examples) manual input signals 706. This portion of the EIM 700 may be dedicated to manual inputs and is utilized in the priority logic block 721.」 （１Ｅ手動入力ブロック７１６は、複数の（例えば、最大２つ又は幾つかの例ではそれより多い数の）手動入力信号７０６を提供してもよい。ＥＩＭ７００のこの部分は、手動入力に専用であってもよく、優先度論理ブロック７２１において利用される。） 「 ［図：0001403257000006.jpg］ 」 ｌ [0189]－[0190]、FIG.10 「[0189] FIG. 10 illustrates a diversity analysis diagram for an I&C system 135 for a nuclear power system. For the purpose of a diversity analysis, the blocks identified in FIG. 10 represent a level of detail that simplifies system examination. Blocks have been selected to represent a physical subset of equipment and software whose internal failures can be assumed not to propagate to other blocks based on their attributes.」 （図１０は、原子力システムのためのＩ＆Ｃシステム１３５のための多様性分析図を図示している。多様性分析の目的ために、図１０において特定されるブロックは、システム検査を簡略化する或るレベルの詳細を示す。ブロックは、機器及びソフトウェアの物理的サブセットであって、それらの内部故障がそれらの属性に基づいて他のブロックに伝搬しないと仮定され得る、機器及びソフトウェアの物理的サブセットを表すように選択された。） 「[0190] As illustrated, blocks in the diagram of FIG. 10 illustrate an I&C system; in this example, I&C system 135. Block 1002 represents the non-IE monitoring and indication equipment, block 1004a/b represent IE monitoring and indication I and II, respectively, blocks 1006a/b represent Safety Blocks I and II, respectively. Block 1006a includes Separation Groups A and C, RTS I, and ESFAS I, while block 1006b includes Separation Groups B and D, RTS II, and ESFAS II. Block 1008 represents the MCS. As illustrated, connection lines with arrows indicate communication between blocks.」 （図示されるように、図１０の図内のブロックは、Ｉ＆Ｃシステム、この例では、Ｉ＆Ｃシステム１３５を図示している。ブロック１００２は、非１Ｅ監視及び指示機器を表し、ブロック１００４ａ／ｂは、１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表し、ブロック１００６ａ／ｂは、安全ブロックＩ及びＩＩをそれぞれ表す。ブロック１００６ａは、分離グループＡ及びＣ、ＲＴＳ Ｉ、及びＥＳＦＡＳ Ｉを含む一方、ブロック１００６ｂは、分離グループＢ及びＤ、ＲＴＳ ＩＩ、及びＥＳＦＡＳ ＩＩを含む。ブロック１００８はＭＣＳを表す。図示されるように、矢印を有する接続ラインはブロック間の通信を示す。） 「 ［図：0001403257000007.jpg］ 」 ｍ [0197]－[0200] 「[0197] IE monitoring and indication may be accomplished using two divisions of video display units (VDUs) and physical switches. Each division of IE monitoring and indication (M/I) may be a block 1004a/b. With respect to design diversity, each division of M/I may provide plant status information on digital displays to the operator and has manual switches to manually initiate, at the division level, any protective action. With respect to signal diversity, the operator may have all measured variables utilized by the MPS to determine if a trip and/or ESF actuation is needed. Although not as fast, the operator may have multiple measured variables of different physical effects to make the same determination as the MPS.」 （１Ｅ監視及び指示は、ビデオ表示ユニット（ＶＤＵ）及び物理的スイッチの２つの区分を使用して達成されてもよい。１Ｅ監視及び指示（Ｍ／Ｉ）の各区分はブロック１００４ａ／ｂであってもよい。設計多様性に関して、Ｍ／Ｉの各区分は、プラント状態情報をディジタルディスプレー上でオペレータに提供してもよく、また、区分レベルで、任意の保護動作を手動で始動する手動スイッチを有する。信号多様性に関して、オペレータは、ＭＰＳによって利用される全ての被測定変数を有し、トリップ及び／又はＥＦＳ作動が必要とされるかを判定してもよい。同程度に速くはないものの、オペレータは、異なる物理効果の複数の被測定変数を有して、ＭＰＳと同じ判定を行い得る。 「[0198] Diversity Attributes Between Blocks」 （ブロック間の多様性属性） 「[0199] Regarding human diversity, the software of Safety Block I and IE M/I I may be designed by one design team, with Safety Block II and IE M/l II may be designed by a different design team. Additionally, independent verification and validation teams may review the work of each design team to ensure design correctness. The above mentioned design teams are also different from those assigned to the Module Control System (MCS) and the non-IE M/I.」 （人間多様性に関して、安全ブロックＩ及び１Ｅ Ｍ／Ｉ Ｉのソフトウェアは、１つの設計チームによって設計されてもよく、安全ブロックＩＩ及び１Ｅ Ｍ／Ｉ ＩＩは、異なる設計チームによって設計されてもよい。更に、独立した検証及び妥当性確認チームが、各設計チームの作業を再検討して、設計の正しさを保証し得る。先に述べた設計チームは、同様に、モジュール制御システム（ＭＣＳ）及び非１Ｅ Ｍ／Ｉに割り当てられる設計チームとは異なる。） 「[0200] Design diversity is the use of different approaches including both software and hardware to solve the same or similar problem. To limit the potential and the consequences of a CCF, Safety Block I 1004a and IE M/I I block 1006a may use a different programmable technology than Safety Block II and IE M/I II. MCS and Non-IE M/I may also have a different programmable technology. Along with other attributes discussed below, different hardware designs may have different failure modes and, thus, reduce the possibility of a CCF affecting more than one block. For example, except for M/I blocks, blocks may be physically separated into different rooms. This is intended to further reduce coupling factors that could create the condition for multiple components to be involved in a CCF event.」 （設計多様性は、同じか又は類似の問題を解決するために、ソフトウェアとハードウェアとの双方を含む異なるアプローチを使用することである。ＣＣＦの可能性及び結果を制限するため、安全ブロックＩ １００４ａ及び１Ｅ Ｍ／Ｉ Ｉ ブロック１００６ａは、安全ブロックＩＩ及び１Ｅ Ｍ／Ｉ ＩＩとは異なるプログラマブル技術を使用してもよい。ＭＣＳ及び非１Ｅ Ｍ／Ｉもまた、異なるプログラマブル技術を有してもよい。以下で論じる他の属性と共に、異なるハードウェア設計は、異なる故障モードを有してもよく、ひいては、ＣＣＦが２つ以上のブロックに影響を及ぼす可能性を減少させてもよい。例えば、Ｍ／Ｉブロックを除いて、ブロックは、異なる部屋に物理的に分離されてもよい。これは、複数のコンポーネントがＣＣＦ事象に関わる状態を生成し得る結合因子を更に減少させることが意図されている。） ｎ [0209]、FIG.11 「[0209] Another analysis guideline is the Echelon Requirement. In order to provide blocks representing a level of detail that simplifies system examination, the four conceptual echelons of defense are not only combined (e.g., RTS and ESFAS) in some blocks but are also divided into separate blocks (e.g., Safety Block I and II, IE M/I I and II). In some aspects, separation groups, RTS, and ESFAS are grouped into safety blocks according to the programmable technology on which they are based. For example, each half of MPS (e.g., two of four separation groups, one of two divisions of ESFAS, and one of two divisions of RTS) or one safety block may have sufficient diversity attributes. Different design teams (human diversity) utilizing different programmable digital hardware based on different programmable technology (design and equipment diversity) which requires the use of different design tools (software diversity). The M/I echelons may also be split into separate blocks. The IE M/I blocks may be split to identify that they have similar diversity attributes as safety blocks. How the chosen blocks fall into the four echelons of defense is illustrated FIG. 11, which shows diagram 1100.」 （別の分析指針は階層要件である。システム検査を簡略化する詳細レベルを表すブロックを提供するため、防護の４つの概念的な階層が、幾つかのブロックにおいて組み合わされる（例えば、ＲＴＳ及びＥＳＦＡＳ）だけでなく、別個のブロック（例えば、安全ブロックＩ及びＩＩ、１Ｅ Ｍ／Ｉ Ｉ及びＩＩ）に分割される。幾つかの局面において、分離グループ、ＲＴＳ、及びＥＳＦＡＳは、それらが基づくプログラマブル技術に従って安全ブロックにグループ化される。例えば、ＭＰＳのそれぞれの半分（例えば、４つの分離グループのうちの２つ、ＥＳＦＡＳの２つの区分のうちの１つ、及びＲＴＳの２つの区分のうちの１つ）又は１つの安全ブロックは、十分な多様性属性を有してもよい。異なる設計チーム（人間多様性）は、異なるプログラマブル技術（設計及び機器多様性）に基づいて異なるプログラマブルデジタルハードウェアを利用し、異なるプログラマブル技術は、異なる設計ツール（ソフトウェア多様性）の使用を必要とする。Ｍ／Ｉ階層は、同様に別個のブロックに分割されてもよい。１Ｅ Ｍ／Ｉブロックは、分割されて、１Ｅ Ｍ／Ｉブロックが安全ブロックと類似の多様性属性を有することを特定してもよい。選択されたブロックがどのようにして防護の４つの階層の中に入るかが図１１に図示され、図１１はダイアグラム１１００を示す。） 「 ［図：0001403257000008.jpg］ 」 ｏ [0211] 「[0211] Another analysis guideline is the Postulated Common-Cause Failure of Blocks. The IE M/I blocks involve a combination of video display units (digital hardware) and manual controls (non-digital hardware). The VDUs may be designed for indication only and do not have the capability to control equipment. The manual controls in each IE M/I block 1004a/b provide the operator the ability to initiate, at the division level, any protective action that is automatically performed by Safety Block I or II. With the indication and manual control being, in some examples, different hardware (e.g., digital vs. open/close contact switches), a CCF can be assumed to affect one or the other, but not both. For both a software and hardware CCF, a fail-as-is condition results in one division of operator displays indicating false safe operating conditions or failure of one division of manual switches. The VDUs may have little or no control capabilities so they may not provide spurious actuation; however, with a software CCF the VDUs may provide false indication of a successful actuation or provide incorrect plant conditions requiring an operator to initiate spurious protective actions.」 （別の分析指針はブロックの想定共通原因故障である。１Ｅ Ｍ／Ｉブロックは、ビデオ表示ユニット（デジタルハードウェア）と手動制御装置（非デジタルハードウェア）との組合せを含む。ＶＤＵは、指示のためだけに設計されてもよく、機器を制御する能力を持たない。各１Ｅ Ｍ／Ｉブロック１００４ａ／ｂ内の手動制御は、安全ブロックＩ又はＩＩによって自動的に実行される任意の保護動作を区分レベルで始動する能力をオペレータに提供する。指示及び手動制御が、幾つかの例において異なるハードウェア（例えば、デジタル対オープン／クローズ接点スイッチ）である状態で、ＣＣＦは、両方ではないが、一方又は他方に影響を及ぼすと仮定され得る。ソフトウェアＣＣＦとハードウェアＣＣＦの双方について、故障したままの状態は、１つの区分のオペレータ表示が、誤った安全運転状態又は１つの区分の手動スイッチの故障を示すことをもたらす。ＶＤＵは、制御能力をほとんど又は全く有していない場合があるため、誤った作動を提供しない場合がある。しかしながら、ソフトウェアＣＣＦの場合、ＶＤＵは、成功裡の作動の誤った指示を提供するか又は不正確なプラント状態を提供し、オペレータが誤った保護動作を始動することを要求する場合がある。） ｐ [0218] 「[0218] Another analysis guideline is Output Signals. In some aspects, the I&C architecture may prevent errors from propagating backwards into the output of a previous block. All information from Safety Block I and II to IE M/I may be sent through optically-isolated transmit- only communication engines (as shown in CM 600). Signals from IE M/I to safety blocks may be open/close contacts from manual switches whose position or contact state cannot be changed by a CCF in safety blocks. The communication between safety blocks may be data sent from separation group A and C to Division II of ESFAS and RTS, and separation group B and D to Division I of ESFAS and RTS. The four separation groups are independent and redundant; however, for illustrative purposes of FIG. 10, the separation groups are grouped into safety blocks according to the programmable technology it uses. Similar to communication between safety blocks and IE M/I, communication from separation groups to any division of RTS and ESFAS may be through optically isolated transmit-only communication engines. Non-safety inputs to safety blocks may be to the ESFAS EIMs, which may be limited to isolated open/close contacts.」 （別の分析指針は出力信号である。幾つかの局面において、Ｉ＆Ｃアーキテクチャは、エラーが後方に伝搬して前のブロックの出力に入るのを防止し得る。安全ブロックＩ及びＩＩから１Ｅ Ｍ／Ｉへの全ての情報は、（ＣＭ６００内に示される）光学的に絶縁された送信のみの通信エンジンを通して送出され得る。１Ｅ Ｍ／Ｉから安全ブロックへの信号は、手動スイッチからのオープン／クローズ接点であってもよく、手動スイッチの位置又は接点状態を、安全ブロック内のＣＣＦは変更できない。安全ブロック間の通信情報は、分離グループＡ及びＣからＥＳＦＡＳ及びＲＴＳの区分ＩＩに、また、分離グループＢ及びＤからＥＳＦＡＳ及びＲＴＳの区分Ｉに送出されるデータであってもよい。４つの分離グループは、独立しかつ冗長性がある。しかしながら、図１０の例証のために、分離グループは、それらが使用するプログラマブル技術に従って安全ブロックにグループ化される。安全ブロックと１Ｅ Ｍ／Ｉとの間の通信と同様に、分離グループからＲＴＳ及びＥＳＦＡＳの任意の区分への通信は、光学的に絶縁された送信のみの通信エンジンを通してもよい。安全ブロックへの非安全入力は、ＥＳＦＡＳ ＥＩＭに対するものであってもよく、絶縁されたオープン／クローズ接点に限定されてもよい。） (イ) 引用文献からの読み取れる事項の認定 前記(ア)ｇの[0135]、[0136]及びFIG.2Aの記載から、引用文献から、「区分ＩのためのＲＴＳ投票２１４に区分Ｉのための手動トリップ２３４が入力され、区分ＩＩのためのＲＴＳ投票２１６に区分ＩＩのための手動トリップ２３６が入力される」ことが読み取れる。 (ウ) 引用発明の認定 前記(ア)に摘記した引用文献の記載事項及び前記(イ)で認定した引用文献から読み取れる事項を総合すると、引用文献には次の発明（以下「引用発明」という。）が記載されていると認められる。 ＜引用発明＞ 「原子炉保護システムであって、（[0004]） 複数の機能的に独立したモジュールであって、モジュールの各々は、原子炉安全システムから複数の入力を受信し、少なくとも部分的に複数の入力に基づいて安全動作を論理的に決定するように構成された、複数の機能的に独立したモジュールと、少なくとも部分的に複数の入力に基づいた安全動作決定を受信するために、複数の機能的に独立したモジュールに通信可能に接続された１つ又は複数の原子炉安全アクチュエータとを含んでおり、（[0004]） システム１００は、複数の原子力システム１５０と、原子炉計装及び制御（Ｉ＆Ｃ）システム１３５とを含み、Ｉ＆Ｃシステム１３５は、自動始動信号、自動及び手動制御信号、並びに監視及び指示ディスプレイを提供して、システム１００における故障状態の結果を防止又は緩和し、（[0090]） Ｉ＆Ｃシステム１３５は、主制御室１４０、モジュール（又は原子炉）保護システム（ＭＰＳ）１４５、及び非安全モジュール制御システム（ＭＣＳ）１５５を含み、主制御室１４０は、各原子力システム１５０のための制御装置及び計器のセット１４１を含み、制御装置及び計器の各セット１４１は、手動１Ｅ制御装置１４２、１Ｅ計器１４３、並びに非１Ｅ制御装置及び計器１４４を含み、（[0100]） ＭＰＳ１４５は、手動１Ｅ制御装置１４２及び１Ｅ計器１４３とそれぞれ一方向通信状態にあり、（[0102]） ＭＰＳ１４５は、ＲＴＳ１４７及びＥＳＦＡＳ１４８を含み、ＲＴＳ１４７は、原子炉トリップを生成するために利用され得るプラントパラメータを監視するため、独立した測定チャネルを有する４つの独立した分離グループ（例えば、同じクラス－１Ｅ電気チャネル指定（Ａ、Ｂ、Ｃ、又はＤ）を有するプロセスチャネルの物理的分類であって、別個でかつ独立した給電部及びプロセス計装送信機が設けられ、また、そのグループのそれぞれが、他のグループと物理的にかつ電気的に独立している、プロセスチャネルの物理的分類）を含み、（[0103]） ＥＳＦＡＳ１４８は、独立した測定チャネルを有する４つの独立した分離グループを含み、独立した測定チャネルはプラントパラメータを監視し、プラントパラメータは、工学的安全施設（ＥＳＦ）機器の運転を起動するのに使用され、（[0104]） システム１００は、制御システム、原子炉トリップ又はスクラムシステム、ＥＳＦＡＳ、及び、監視及び計器システムの防護の４つの階層を含み、（[0105]） システム１００は、複数レベルの多様性を含み、多様性は、異なる技術、論理、又はアルゴリズムを使用して異なるパラメータを検知する計装システム、又は、作動手段の原理に適用されて、重大事象を検出し、重大事象に応答する幾つかの方法を提供し、一般的に、６つの多様性の属性、すなわち、人間多様性、設計多様性、ソフトウェア多様性、機能多様性、信号多様性、及び機器多様性が存在し、（[0110]） ＭＰＳ２００は、センサ及び検出器の４つの分離グループ（例えば、センサ２０２ａ～２０２ｄ）、信号調節及び信号調節器の４つの分離グループ（例えば、信号調節器２０４ａ～２０４ｄ）、トリップ決定の４つの分離グループ（例えば、トリップ決定２０８ａ～２０８ｄ）、ＲＴＳ投票及び原子炉トリップ遮断器の２つの区分（例えば、区分Ｉ ＲＴＳ投票２１４及び区分ＩＩ ＲＴＳ投票２１６）、及び、工学的安全施設作動システム（ＥＳＦＡＳ）投票及び工学的安全施設（ＥＳＦ）機器の２つの区分（例えば、区分Ｉ ＥＳＦＡＳ投票２１２及びＥＳＦ機器２２４並びに区分ＩＩ ＥＳＦＡＳ投票２１８及びＥＳＦ機器２２６）を含み、（[0125]） 信号調節器２０４ａ～２０４ｄはそれぞれ、複数の入力モジュール２７０ａ～２７０ｎからなり、（[0128]） 各入力モジュール２７０ａ～２７０ｎは、アナログ回路及びデジタル回路からなり、（[0129]） トリップ決定２０８ａ～２０８ｄは、信号調節器２０４ａ～２０４ｄからシリアルインタフェースを介してデジタルフォーマットでセンサ入力値を受信し、トリップ決定２０８ａ～２０８ｄはそれぞれ、独立した安全機能モジュール（ＳＦＭ）２７２ａ～２７２ｎからなり、各ＳＦＭ２７２ａ～２７２ｎは、安全機能の１つのセットを実装することに専用の固有の論理エンジンを含み、（[0130]） 各トリップ決定２０８ａ～２０８ｄにおけるＳＦＭは、必要である場合、所定の設定点に基づいて原子炉トリップ決定を行い、トリップ要求又はトリップなし要求信号を、絶縁された、３重冗長性があり送信のみのシリアル接続によって各ＲＴＳ区分（例えば、それぞれ、区分Ｉ及びＩＩのＲＴＳ投票２１４及び２１６）に提供し、（[0132]） 特定のトリップ決定２０８ａは、トリップ要求又はトリップなし要求信号を、監視及び指示（Ｍ＆Ｉ）出力２７８ａ及び２７８ｂ（１区分について１つ）並びに非１Ｅ出力２８０に提供し、（[0134]） 区分ＩのためのＲＴＳ投票２１４に区分Ｉのための手動トリップ２３４が入力され、区分ＩＩのためのＲＴＳ投票２１６に区分ＩＩのための手動トリップ２３６が入力され、（前記(イ)の認定事項） ＭＰＳ２００の実装形態は、主要要素間の高いレベルの独立性を保証し、これは、センサ及び検出器の４つの分離グループ２０２ａ～２０２ｄ、トリップ決定の４つの分離グループ、ＲＴＳ２１４／２１４の２つの区分、ＥＳＦＡＳ回路構成２１２／２１８の２つの区分、及びＥＳＦ機器２２４／２２６の２つの区分の間の独立性を含み、（[0140]） ＭＰＳ２００の実装形態は、アーキテクチャの複数のエリアにおいて冗長性を更に組み込んでおり、ＭＰＳ２００内の冗長性は、センサ及び検出器の４つの分離グループ、トリップ決定、及びＲＴＳ及びＥＳＦＡＳ回路構成の２つの区分を含み、（[0142]） ＭＰＳ２００はまた、安全機能の各セットを実装することによって機能独立性を組み込み、（[0143]） プログラマブルデジタルハードウェアの各セットは、設計ツールの異なるセットを使用して異なる設計チームによって設計され得るため、設計多様性もまたプロセスによって組み込まれ、安全機能は、状態ベースフィールドプログラマブルゲートアレイ（ＦＰＧＡ）に実装されてもよく、この例は、別の安全機能に対する１つの安全機能の処理のあらゆる依存性を除去することによって独立性の増加を保証し、（[0147] 原子力システムのためのＩ＆ＣシステムのＭＰＳの安全機能モジュール（ＳＦＭ）５００、通信モジュール（ＣＭ）６００、機器インタフェースモジュール（ＥＩＭ）７００は、ＭＰＳ２００の安全機能を実装し、分離グループレベルモジュール（例えば、信号調節器２０４ａ～２０４ｄ、トリップ決定２０８ａ～２０８ｄ）、ＲＴＳレベルモジュール（例えば、ＲＴＳ投票２１４／２１６）、及びＥＳＦＡＳレベルモジュール（例えば、ＥＳＦＡＳ投票２１２／２１８）を構成し、（[0150]） ＥＩＭ７００は、ＲＴＳ及び／又はＥＳＦＡＳレベルシステム内の原子力システム内で各コンポーネントに対するインタフェースを提供して、トリップ決定が投票され、コンポーネントレベルの作動及び操作が行われ、出力ブロック７２０、機器フィードバックブロック７１８、１Ｅ手動入力７１６、非１Ｅ手動入力７１４、投票エンジン７２２、優先度論理ブロック７２１、機器制御ブロック７２３、及び通信ブロック７２４／７２６／７２８を含み、（[0162]） １Ｅ手動入力ブロック７１６は、複数の手動入力信号７０６を提供し、（[0165]） ブロックは、機器及びソフトウェアの物理的サブセットであって、それらの内部故障がそれらの属性に基づいて他のブロックに伝搬しないと仮定され得る、機器及びソフトウェアの物理的サブセットを表し、（[0189]） Ｉ＆Ｃシステム１３５は、１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ、安全ブロックＩ及びＩＩをそれぞれ表すブロック１００６ａ／ｂを有し、（[0190]） １Ｅ監視及び指示は、ビデオ表示ユニット（ＶＤＵ）及び物理的スイッチの２つの区分を使用して達成され、１Ｅ監視及び指示（Ｍ／Ｉ）の各区分はブロック１００４ａ／ｂであり、設計多様性に関して、Ｍ／Ｉの各区分は、プラント状態情報をディジタルディスプレー上でオペレータに提供し、（[0197]） 設計多様性は、同じか又は類似の問題を解決するために、ソフトウェアとハードウェアとの双方を含む異なるアプローチを使用することであり、安全ブロックＩ １００４ａ及び１Ｅ Ｍ／Ｉ Ｉ ブロック１００６ａは、安全ブロックＩＩ及び１Ｅ Ｍ／Ｉ ＩＩとは異なるプログラマブル技術を使用し、（[0200]） 分離グループ、ＲＴＳ、及びＥＳＦＡＳは、それらが基づくプログラマブル技術に従って安全ブロックにグループ化され、ＭＰＳのそれぞれの半分（例えば、４つの分離グループのうちの２つ、ＥＳＦＡＳの２つの区分のうちの１つ、及びＲＴＳの２つの区分のうちの１つ）又は１つの安全ブロックは、十分な多様性属性を有し、異なるプログラマブル技術（設計及び機器多様性）に基づいて異なるプログラマブルデジタルハードウェアを利用し、１Ｅ Ｍ／Ｉブロックは、分割されて、１Ｅ Ｍ／Ｉブロックが安全ブロックと類似の多様性属性を有し、（[0209]） １Ｅ Ｍ／Ｉブロックは、ビデオ表示ユニット（デジタルハードウェア）と手動制御装置（非デジタルハードウェア）との組合せを含む、（[0211]） 安全ブロックＩ及びＩＩから１Ｅ Ｍ／Ｉへの全ての情報は、光学的に絶縁された送信のみの通信エンジンを通して送出される、（[0218]） 原子炉保護システム」 ウ 特開２０１６－１８０９４４号公報に記載された事項及び周知技術の認定 (ア) 特開２０１６－１８０９４４号公報に記載された事項 本審決において新たに引用される特開２０１６－１８０９４４号公報には、以下の事項が記載されている。下線は当合議体が付したものである。 「【００２９】 ［第１の実施形態の説明：図１］ 図１を用いて、表示装置の第１の実施形態の構成を説明する。 図１は、表示装置を説明するブロック図である。図１に示すように、表示装置１００は、液晶パネル１０１、ｍ本の走査線Ｒ１～Ｒｍを駆動する走査線駆動回路１０３、ｎ本のデータ信号線Ｃ１～Ｃｎを駆動するデータ信号線駆動回路１０２、制御回路１０４から構成される。 制御回路１０４は、表示データ記憶部１０５、データ比較部１０６を有しているが、これら２つの要素は、制御回路１０４の外部に設けてもよい。 【００３０】 制御回路１０４は、特に指定はしないがＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇｔａｅ Ａｒｒａｙ）やＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）など、その内部にあらかじめ制御動作プログラムを格納した回路によって構成できる。そして、走査線駆動回路１０３とデータ信号線駆動回路１０２、および表示データ記憶部１０５、データ比較部１０６の各動作自体や動作タイミングを制御する。」 「 ［図：0001403257000009.jpg］ 」 (イ) 周知技術の認定 前記(ア)で例示した特開２０１６－１８０９４４号公報の記載と、本願優先日の技術常識によれば、以下の内容は本願優先日における周知技術といえる。 ＜周知技術＞ 「表示装置の制御回路を、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）で構成すること」 エ 対比 (ア) 対比分析 本件補正発明と引用発明を対比する。 ａ 引用発明の「原子炉保護システム」は、本件補正発明の「原子炉保護システム」に相当する。 ｂ(ａ) 引用発明の「ＭＰＳ２００の安全機能を実装［する］」「原子力システムのためのＩ＆ＣシステムのＭＰＳの安全機能モジュール（ＳＦＭ）５００、通信モジュール（ＣＭ）６００、機器インタフェースモジュール（ＥＩＭ）７００」が構成する「分離グループレベルモジュール（例えば、信号調節器２０４ａ～２０４ｄ、トリップ決定２０８ａ～２０８ｄ）、ＲＴＳレベルモジュール（例えば、ＲＴＳ投票２１４／２１６）、及びＥＳＦＡＳレベルモジュール（例えば、ＥＳＦＡＳ投票２１２／２１８）」は、「ＭＰＳ２００の実装形態は、主要要素間の高いレベルの独立性を保証し、これは、センサ及び検出器の４つの分離グループ２０２ａ～２０２ｄ、トリップ決定の４つの分離グループ、ＲＴＳ２１４／２１４の２つの区分、ＥＳＦＡＳ回路構成２１２／２１８の２つの区分、及びＥＳＦ機器２２４／２２６の２つの区分の間の独立性を含［む］」ことを勘案すれば、引用発明の「複数の機能的に独立したモジュールであって、モジュールの各々は、原子炉安全システムから複数の入力を受信し、少なくとも部分的に複数の入力に基づいて安全動作を論理的に決定するように構成された、複数の機能的に独立したモジュール」に該当するモジュールであることが理解できる。 (ｂ) そして、引用発明の「複数の機能的に独立したモジュール」は、本願発明の「複数の機能的に独立したモジュール」に相当する。 (ｃ) 引用発明の「モジュールの各々は、原子炉安全システムから複数の入力を受信し、少なくとも部分的に複数の入力に基づいて安全動作を論理的に決定するように構成され［る］」ことは、モジュールは通常ハードウェアにより構成されることを勘案すれば、本件補正発明の「前記複数の機能的に独立したモジュールの各々のハードウェアが、（１）原子炉安全システムから複数の入力を受け取り、（２）前記複数の入力に少なくとも部分的に基づいて安全措置を論理的に判定するように構成され［る］」ことに相当する。 (ｄ) 引用発明の「信号調節器２０４ａ～２０４ｄ」である「複数の入力モジュール２７０ａ～２７０ｎ」が、「アナログ回路及びデジタル回路からな［る］」こと、「トリップ決定２０８ａ～２０８ｄは、信号調節器２０４ａ～２０４ｄからシリアルインタフェースを介してデジタルフォーマットでセンサ入力値を受信［する］」ことからみて、引用発明の「複数の機能的に独立したモジュール」の各々が、「デジタルモジュール又は複合型デジタル及びアナログモジュールを備え［る］」ものであることは明らかである。 (ｅ) 引用発明は、「ＭＰＳ２００の実装形態は、アーキテクチャの複数のエリアにおいて冗長性を更に組み込んでおり、ＭＰＳ２００内の冗長性は、センサ及び検出器の４つの分離グループ、トリップ決定、及びＲＴＳ及びＥＳＦＡＳ回路構成の２つの区分を含［む］」ものであり、かつ、「ＭＰＳのそれぞれの半分（例えば、４つの分離グループのうちの２つ、ＥＳＦＡＳの２つの区分のうちの１つ、及びＲＴＳの２つの区分のうちの１つ）又は１つの安全ブロックは、十分な多様性属性を有［する］」ものであるから、前記(ａ)も勘案すると、引用発明の「複数の機能的に独立したモジュール」は、「前記安全措置を論理的に判定するときに冗長又は重複するデータの別個の処理を介して１つ又は複数の形態の処理多様性を提供するように構成される」ものであるといえる。 (ｆ) 前記(ｂ)～(ｅ)をまとめると、本件補正発明と引用発明は、「複数の機能的に独立したモジュールであって、前記複数の機能的に独立したモジュールの各々のハードウェアが、（１）原子炉安全システムから複数の入力を受け取り、（２）前記複数の入力に少なくとも部分的に基づいて安全措置を論理的に判定するように構成され、前記機能的に独立したモジュールの各々が、デジタルモジュール又は複合型デジタル及びアナログモジュールを備え、前記複数の機能的に独立したモジュールは、前記安全措置を論理的に判定するときに冗長又は重複するデータの別個の処理を介して１つ又は複数の形態の処理多様性を提供するように構成される、複数の機能的に独立したモジュール」を備える点で一致する。 ｃ(ａ) 引用発明の「機器インタフェースモジュール（ＥＩＭ）」に含まれる、「複数の手動入力信号７０６を提供」する「１Ｅ手動入力ブロック７１６」は、手動入力信号７０６を提供するという機能単位を構成するものであるから、「モジュール」であるといえる。 (ｂ) また、引用発明の「１Ｅ手動入力ブロック７１６」は、「区分ＩのためのＲＴＳ投票２１４に区分Ｉのための手動トリップ２３４が入力され、区分ＩＩのためのＲＴＳ投票２１６に区分ＩＩのための手動トリップ２３６が入力され［る］」よう構成されるものであると解されるから、前記ｂ(ａ)を勘案すると、「複数の機能的に独立したモジュール」に電気的に結合されたものであるといえる。 (ｃ) 前記(ａ)及び(ｂ)を踏まえると、本件補正発明と引用発明は、「前記複数の機能的に独立したモジュールのうちの１つ又は複数に電気的に結合されたモジュール」を備える点で共通する。 ｄ(ａ) 引用発明の「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」は、「ビデオ表示ユニット（ＶＤＵ）及び物理的スイッチの２つの区分を使用して達成され」、「プラント状態情報をディジタルディスプレー上でオペレータに提供し」、「ビデオ表示ユニット（デジタルハードウェア）と手動制御装置（非デジタルハードウェア）との組合せを含む」ものであり、監視及び指示という機能単位を構成するものであるから、「モジュール」であるといえる。 (ｂ) また、引用発明の「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」は、デジタルハードウェアであるビデオ表示ユニット（ＶＤＵ）によって、プラント状態情報をディジタルディスプレー上でオペレータに提供するものであるところ、プラント状態情報をディジタルディスプレー上に表示するためには、引用発明の「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」が表示インタフェースの機能を備える必要があることは技術常識から見て明らかである。 （ｃ） 前記（ａ）及び（ｂ）から、引用発明の「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」は、本件補正発明の「２つの表示インタフェースモジュール（ＤＩＭ）」に相当するといえる。 （ｄ） さらに、引用発明は、「安全ブロックＩ及びＩＩから１Ｅ Ｍ／Ｉへの全ての情報は、光学的に絶縁された送信のみの通信エンジンを通して送出される」ものであり、「安全ブロックＩ及びＩＩ」は、「複数の機能的に独立したモジュール」である分離グループ、ＲＴＳ、及びＥＳＦＡＳ（前記ｂ（ａ）参照）がグループ化されたものであることや、「特定のトリップ決定２０８ａは、トリップ要求又はトリップなし要求信号を、監視及び指示（Ｍ＆Ｉ）出力２７８ａ及び２７８ｂ（１区分について１つ）並びに非１Ｅ出力２８０に提供」することから、前記ｂ(ａ)も勘案すると、「複数の機能的に独立したモジュール」と「１Ｅ監視及び指示Ｉ及びＩＩ」が結合されていることは明らかである。 （ｅ） 前記（ｃ）及び（ｄ）をまとめると、本件補正発明と引用発明は、「前記複数の機能的に独立したモジュールに結合された少なくとも２つの表示インタフェースモジュール（ＤＩＭ）」を備える点で一致する。 ｅ 引用発明の「少なくとも部分的に複数の入力に基づいた安全動作決定を受信するために、複数の機能的に独立したモジュールに通信可能に接続された１つ又は複数の原子炉安全アクチュエータ」は、本件補正発明の「前記複数の入力に少なくとも部分的に基づいた前記安全措置の判定を受け取るように、前記複数の機能的に独立したモジュールに通信可能に結合された１つ又は複数の原子炉安全アクチュエータ」に相当するから、本件補正発明と引用発明は、「前記複数の入力に少なくとも部分的に基づいた前記安全措置の判定を受け取るように、前記複数の機能的に独立したモジュールに通信可能に結合された１つ又は複数の原子炉安全アクチュエータ」を備える点で一致する。 ｆ(ａ) 引用発明の「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」は、前記ｄ(ｄ)で検討したように、「複数の機能的に独立したモジュール」である分離グループ、ＲＴＳ、及びＥＳＦＡＳがグループ化された「安全ブロックＩ及びＩＩ」から情報が送出されるものであり、情報を送信する「安全ブロックＩ及びＩＩ」における「分離グループ、ＲＴＳ、及びＥＳＦＡＳ」が「前記複数の機能的に独立したモジュールの中の１つ又は複数のモジュールの一意の部分集合」に相当するから、引用発明の「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」は、「（１）前記複数の機能的に独立したモジュールの中の１つ又は複数のモジュールの一意の部分集合に結合され［た］」ものであるといえる。 (ｂ) 引用発明の「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」は、「１Ｅ Ｍ／Ｉ Ｉ ブロック１００６ａは、１Ｅ Ｍ／Ｉ ＩＩとは異なるプログラマブル技術を使用」するものであり、「異なるプログラマブル技術（設計及び機器多様性）に基づいて異なるプログラマブルデジタルハードウェアを利用［する］」安全ブロックと類似の多様性を有するものであるから、「プログラマブルデジタルハードウェア」を利用するものであるといえ、本件補正発明の「フィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路」は「プログラマブルデジタルハードウェア」の一形態であることはよく知られている。 （ｃ） 前記（ａ）及び（ｂ）をまとめると、本件補正発明と引用発明は、「前記ＤＩＭはそれぞれが、（１）前記複数の機能的に独立したモジュールの中の１つ又は複数のモジュールの一意の部分集合に結合され、（２）プログラマブルデジタルハードウェアを含［む］」点で共通する。 ｇ(ａ) 引用発明の「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」は、前記ｄ(ａ)のとおり、「プラント状態情報をディジタルディスプレー上でオペレータに提供」するものであり、かつ、前記ｆ(ｂ)のとおり、「１Ｅ Ｍ／Ｉ Ｉ ブロック１００６ａは、１Ｅ Ｍ／Ｉ ＩＩとは異なるプログラマブル技術を使用」するものであり、「異なるプログラマブル技術（設計及び機器多様性）に基づいて異なるプログラマブルデジタルハードウェアを利用［する］」安全ブロックと類似の多様性を有するものであるから、「前記データのデジタル表示までの前記１つ又は複数の形態の処理多様性を維持するべく構成される」ものであるといえる。 (ｂ) したがって、前記ｆも踏まえると、本件補正発明と引用発明は、「前記少なくとも２つのＤＩＭのプログラマブルデジタルハードウェアは、前記データのデジタル表示までの前記１つ又は複数の形態の処理多様性を維持するべく構成される」点で共通する。 (イ) 一致点及び相違点 前記(ア)の対比分析の結果をまとめると、本願発明と引用発明の一致点及び相違点は、それぞれ次のａ及びｂに示すとおりである。 ａ 一致点 「複数の機能的に独立したモジュールであって、前記複数の機能的に独立したモジュールの各々のハードウェアが、（１）原子炉安全システムから複数の入力を受け取り、（２）前記複数の入力に少なくとも部分的に基づいて安全措置を論理的に判定するように構成され、前記機能的に独立したモジュールの各々が、デジタルモジュール又は複合型デジタル及びアナログモジュールを備え、前記複数の機能的に独立したモジュールは、前記安全措置を論理的に判定するときに冗長又は重複するデータの別個の処理を介して１つ又は複数の形態の処理多様性を提供するように構成される、複数の機能的に独立したモジュールと、前記複数の機能的に独立したモジュールのうちの１つ又は複数に電気的に結合されたモジュールと、 前記複数の機能的に独立したモジュールに結合された少なくとも２つの表示インタフェースモジュール（ＤＩＭ）と、 前記複数の入力に少なくとも部分的に基づいた前記安全措置の判定を受け取るように、前記複数の機能的に独立したモジュールに通信可能に結合された１つ又は複数の原子炉安全アクチュエータと を備え 前記ＤＩＭはそれぞれが、（１）前記複数の機能的に独立したモジュールの中の１つ又は複数のモジュールの一意の部分集合に結合され、（２）プログラマブルデジタルハードウェアを含み、 前記少なくとも２つのＤＩＭのプログラマブルデジタルハードウェアは、前記データのデジタル表示までの前記１つ又は複数の形態の処理多様性を維持するべく構成される 原子炉保護システム」である点。 ｂ 相違点 (ａ) 相違点１ 複数の機能的に独立したモジュールのうちの１つ又は複数に電気的に結合されたモジュールについて、本件補正発明は「アナログモジュール」であるのに対して、引用発明は「１Ｅ手動入力ブロック７１６」がアナログモジュールであるか明らかでない点。 (ｂ) 相違点２ 本件補正発明は、ＤＩＭそれぞれが「フィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路」を含み、「各ＦＰＧＡ回路は、前記結合された１つ又は複数のモジュールの一意の部分集合に関連付けられたデータをデジタル表示パネルのために表示するときにハードウェアがディスプレイドライバとして機能するべく構成され［る］」のに対して、引用発明は「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」が利用する「プログラマブルデジタルハードウェア」が、データをデジタル表示パネルのために表示するときにハードウェアがディスプレイドライバとして機能するべく構成されるフィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路であるか明らかでない点。 オ 判断 (ア) 相違点についての判断 前記相違点について検討する。 ａ 相違点１について 引用発明の１Ｅ Ｍ／Ｉブロックに含まれる「手動制御装置（非デジタルハードウェア）」からも明らかなように、手動制御装置を非デジタルハードウェアで構成することは一般的なことであるから、引用発明の「１Ｅ手動入力ブロック７１６」を非デジタルハードウェアの代表的な形態であるアナログモジュールとすることは、ごく一般的な設計事項にすぎない。 ｂ 相違点２について (ａ) まず、一般に、「プログラマブルデジタルハードウェア」として、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路は、例えば引用発明でも「プログラマブルデジタルハードウェアの各セットは、設計ツールの異なるセットを使用して異なる設計チームによって設計され得るため、設計多様性もまたプロセスによって組み込まれ、安全機能は、状態ベースフィールドプログラマブルゲートアレイ（ＦＰＧＡ）に実装されてもよく」とされているように、本願優先日前に周知であるから、引用発明の「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」が利用する「プログラマブルデジタルハードウェア」として、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路を採用することに困難性はない。 （ｂ） また、引用発明の「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」は、デジタルハードウェアであるビデオ表示ユニット（ＶＤＵ）によって、プラント状態情報をディジタルディスプレー上でオペレータに提供するものであるところ、プラント状態情報をディジタルディスプレー上に表示するためには、ディスプレイドライバとして機能するハードウェアが必要であることは技術常識であるから、引用発明の「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」がディスプレイドライバとして機能するハードウェアを有することは自明であるか、又は、「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」がディスプレイドライバとして機能するハードウェアを有するように構成することは、技術常識から見て当業者が容易になし得ることである。 （ｃ） また、前記ウで示したとおり、「表示装置の制御回路を、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）で構成すること」は周知技術であるから、前記(ａ)のように「１Ｅ監視及び指示Ｉ及びＩＩをそれぞれ表すブロック１００４ａ／ｂ」が利用する「プログラマブルデジタルハードウェア」として、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路を採用する際に、当該フィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路をビデオ表示ユニット（ＶＤＵ）の制御回路として構成することは当業者が容易になし得たことである。 (ｄ) このとき、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路で構成した制御回路が、相違点２に係る本件補正発明の「データをデジタル表示パネルのために表示するときに」「ディスプレイドライバとして機能する」「ハードウェア」に相当することとなる。 ｃ 総合検討 前記相違点１～２を総合的に勘案しても、本件補正発明の奏する効果としては、引用発明及び周知技術からは予測困難な効果であり、かつ、格別顕著な効果を認めることはできない。 したがって、本件補正発明は、引用発明及び周知技術に基づいて、当業者が容易に発明をすることができたものである。 (イ) 請求人の主張に対する判断 ａ 請求人の主張 請求人は、審判請求書において以下の主張をしている。 本願発明によれば、少なくとも２つの表示インタフェースモジュール（ＤＩＭ）のフィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路を、異なるデータ及びグラフィック処理アルゴリズムによってプログラムされ得る異なるＦＰＧＡによって構成することができるので、データ表示の冗長性をソフトウェア処理多様性によって維持することができる。 このような本願発明の構成に対し、上記拒絶理由においては、「しかしながら、ディスプレイドライバとしての機能するＦＰＧＡを搭載した表示インターフェースモジュールは多種多様なものが市販され、当業者に広く知られており、引用文献１に記載された発明の表示手段としてこれを用いることも適宜なし得たことである。そして、効果として主張する、限られた条件下で設計多様性等を担保できる特徴は、ＦＰＧＡがすべからく備えているものである」と認定されて「よって、本願請求項１に係る発明は、引用文献１及び周知の技術事項に基づいて、当業者が容易になし得たことである」と結論づけられている。 しかしながら、ＦＰＧＡに関し、引用文献１には「安全機能は、状態ベースフィールドプログラマブルゲートアレイ（ＦＰＧＡ）に実装されてもよい」（段落０１２０）、「通信エンジン６０６は、例えばＦＰＧＡ等のプログラマブル論理、マイクロプロセッサ、又は述べた相互接続の間で通信をスケジュールするようにプログラムされる他の離散的論理からなる」（段落０１３２）と記載されているので、このような一般的な「状態ベースフィールドプログラマブルゲートアレイ（ＦＰＧＡ）」の記載から、当業者が本願発明のような、異なるデータ及びグラフィック処理アルゴリズムによってプログラムされ得る異なるＦＰＧＡによる構成を想到することは困難と考えられる。 また、上記拒絶理由において言及されるように「ディスプレイドライバとしての機能するＦＰＧＡを搭載した表示インターフェースモジュールは多種多様なものが市販され、当業者に広く知られて」いるとしても、本願発明のような、異なるデータ及びグラフィック処理アルゴリズムによってプログラムされ得る異なるＦＰＧＡによる構成に想到することはやはり困難と考えられる。 上記拒絶理由において言及されるような一般的な「ディスプレイドライバとしての機能するＦＰＧＡを搭載した表示インターフェースモジュール」を使用する当業者が、例えば、本願当初明細書の段落０３０３に「いくつかの実施形態では、各ＤＳ２０００は、１対のＤＩＭ２００２及び１対の表示パネル２００４を含む。データ表示の冗長性を提供するために、ＤＳ２０００内の各ＤＩＭ２００２に同じＭＰＳ又はＰＰＳデータが提供される。言い換えれば、ＤＳ２０００内の両方のＤＩＭ２００２が、同じＳＤＩＳ出力に接続される。冗長性は、設計多様性を提供するために、各ＤＩＭ２００２内で異なるタイプのＦＰＧＡ２００６を使用することによって、さらに提供される」と記載されるような、同じＳＤＩＳ出力に接続される２つのＤＩＭ２００２において、さらに設計多様性を高めるべく異なるタイプのＦＰＧＡ２００６を使用するための動機づけを得ることはできないからである。 いわゆる後知恵のない当業者であれば、上述した引用文献１の「状態ベースフィールドプログラマブルゲートアレイ（ＦＰＧＡ）」等の記載からＦＰＧＡの使用に想到することはあっても、２つの系統のＤＩＭが存在すれば、そこで十分な設計多様性が確保されていると考え、異なるタイプのＦＰＧＡの使用にまで想到することはないと思われる。 そうすると、「ディスプレイドライバとしての機能するＦＰＧＡを搭載した表示インターフェースモジュール」が周知であるという理由のみによって、「よって、本願請求項１に係る発明は、引用文献１及び周知の技術事項に基づいて、当業者が容易になし得たことである」と結論づけることは妥当とはいえない。 したがって、上記拒絶理由における上記認定及び結論は妥当とはいえないので、本願発明は、いずれの引用文献にも記載されていない特徴を有し、かかる特徴によって、いずれの引用文献に記載された発明からも得ることのできない顕著な効果を奏するとともに、当業者が容易に発明をすることができたものではない。 ｂ 請求人の主張についての検討 審判請求書における請求人の主張について検討する。 請求人の主張する「少なくとも２つの表示インタフェースモジュール（ＤＩＭ）のフィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路を、異なるデータ及びグラフィック処理アルゴリズムによってプログラムされ得る異なるＦＰＧＡによって構成すること」は当業者が容易になし得たことであることについては、前記(ア)ｂで相違点２について検討したとおりである。 特に、「引用文献１では、２つの系統のＤＩＭが存在すれば、そこで十分な設計多様性が確保されていると考え、異なるタイプのＦＰＧＡの使用にまで想到することはない」との主張について検討すると、引用発明は、「設計多様性は、同じか又は類似の問題を解決するために、ソフトウェアとハードウェアとの双方を含む異なるアプローチを使用することであり、１Ｅ Ｍ／Ｉ Ｉ ブロック１００６ａは、１Ｅ Ｍ／Ｉ ＩＩとは異なるプログラマブル技術を使用し、」「異なるプログラマブル技術（設計及び機器多様性）に基づいて異なるプログラマブルデジタルハードウェアを利用」するもの（前記エ(ア)ｇ(ａ)参照）、すなわち、１Ｅ Ｍ／Ｉ Ｉブロックと１Ｅ Ｍ／Ｉ ＩＩブロックが異なるプログラマブル技術（設計及び機器多様性）に基づいて異なるプログラマブルハードウェアを利用することまで開示するものであるから、異なるＦＰＧＡの使用にまで想到することはないとの請求人の主張は、引用文献の記載から見て根拠がないものである。 よって、請求人の主張は採用できない。 カ 独立特許要件についての当審の判断のまとめ 以上検討のとおり、本件補正発明は、引用発明及び周知技術に基づいて、当業者が容易に発明をすることができたものであるから、特許法２９条２項の規定により、特許出願の際独立して特許を受けることができない。 (３) 本件補正の適否についての当審の判断のまとめ 前記(２)に示したとおり、本件補正発明は、特許出願の際独立して特許を受けることができないものであるから、本件補正は、特許法１７条の２第６項で準用する同法１２６条７項の規定に違反するものであり、同法１５９条１項で読み替えて準用する同法５３条１項の規定により却下されるべきものである。 よって、前記補正の却下の決定の結論のとおり決定する。 第３ 本願発明について １ 本願発明 本件補正は、前記第２のとおり却下されたので、本願の請求項１に係る発明（以下「本願発明」という。）は、本件補正前の特許請求の範囲の請求項１（前記第２の１(１)参照）に記載された事項により特定されるとおりのものである。 ２ 原査定における拒絶の理由の概要 原査定の拒絶の理由のうち、本願発明についての理由５（進歩性の欠如）の概要は、次のとおりである。 理由５ （進歩性の欠如） 本願発明は、本願の出願前に発行された下記の引用文献１に記載された発明に基いて、その出願前にその発明の属する技術の分野における通常の知識を有する者が容易に発明をすることができたものであるから、特許法２９条２項の規定により特許を受けることができない。 記 １．国際公開第２０１５／１１２３０４号 ３ 引用文献に記載された事項、引用発明の認定、周知技術文献に記載された事項及び周知技術の認定 引用文献に記載された事項、引用発明の認定、周知技術文献に記載された事項及び周知技術の認定は、前記第２の２(２)イ及びウにおいて示したとおりである。 ４ 対比・判断 本願発明は、本件補正発明に対して、 (１) 複数の機能的に独立したモジュールについて、「前記安全措置を論理的に判定するときに冗長又は重複するデータの別個の処理を介して１つ又は複数の形態の処理多様性を提供するように構成される」との限定を省くととともに、 (２) 表示インタフェースモジュール（ＤＩＭ）について、「少なくとも２つ」との限定を省き、「前記複数の機能的に独立したモジュールの中の１つ又は複数のモジュールの一意の部分集合に結合され［る］」との限定を省いて、「前記複数の機能的に独立したモジュールに結合された」とするとともに、 (３) フィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路について、「前記データのデジタル表示までの前記１つ又は複数の形態の処理多様性を維持するべく構成される」との限定を省いた、 ものである。 そして、本願発明の発明特定事項を全て含み、当該発明特定事項の一部を限定したものに相当する本件補正発明が、前記第２の２(２)において説示したとおり、引用発明及び周知技術に基づいて当業者が容易に発明をすることができたものであるから、同様の理由により、本願発明も、引用発明及び周知技術に基づいて当業者が容易に発明をすることができたものである。 第４ むすび 以上のとおり、本願発明は、特許法２９条２項の規定により、特許を受けることができない。 したがって、他の請求項に係る発明について検討するまでもなく、本願は拒絶されるべきものである。 よって、結論のとおり審決する。