Att begränsa åtkomst är en abstrakt idé; mekanismen som begränsar den behöver inte vara det.

Federal Circuit har slagit fast att det är abstrakta idéer att styra åtkomst till resurser, verifiera en persons identitet och filtrera innehåll utifrån dess egenskaper, och att ett patentkrav som anger ett av de målen, genomfört med generiska datorkomponenter, inte är patenterbart. Samma domstol har godtagit patentkrav på en beteendebaserad teknik för att identifiera skadlig kod, och på att lagra en verifieringspost i en viss minnesregion eftersom den där är svårare att manipulera. Sakområdet var säkerhet i samtliga fall; skillnaden låg i om patentkravet angav hur skyddet uppnås eller bara att det uppnås.

Förtroendepoäng och riskbedömningar är särskilt utsatta, eftersom ett patentkrav som samlar in signaler, beräknar en poäng och rapporterar den följer mönstret samla in, analysera och visa, som domstolen upprepade gånger har underkänt. Patentbeskrivningen måste framställa signalerna som tekniska – vad en enhet, en anslutning eller ett lagringssystem faktiskt uppvisar – och knyta poängen till något som systemet sedan gör annorlunda: vägrar en session, sätter en fil i karantän, provisionerar om en enhet, isolerar en nod. Säkerhet är en egenskap hos maskinen, och en förbättring av den kan vara en förbättring av själva datorn, men bara när patentkravet når fram till maskinen.

Säkerhetsuppfinningar byggs vanligtvis av delar som var för sig är gamla: hashning, signaturer, nyckelutbyte, utmaning och svar, en andra faktor. En granskare som hittar varje del i ett eget mothåll behöver inte mycket mer än ett skäl att kombinera dem, och ”att förbättra säkerheten” anförs som det skälet så rutinmässigt att det kan tyckas motivera att vilket skydd som helst läggs till i vilket system som helst. Det nya är arrangemanget – vad som är bundet till vad, vilken part som innehar vilken nyckel, i vilken ordning stegen körs – och den attack som arrangemanget stänger.

Det argumentet är starkast när det finns i patentbeskrivningen innan det behövs. En ansökan som namnger den attack som det tidigare arrangemanget var öppet för – en återspelad autentiseringsuppgift, en klonad enhetsidentitet, ett replikeringsmål som inte kan anförtros klartext – och förklarar varför det uppenbara skyddet inte stoppar den, ger svaret på en invändning om bristande uppfinningshöjd något i handlingarna att hänvisa till. En ansökan som bara beskriver arrangemanget lämnar skälet till att det fungerar åt ombudets argumentation, som inte utgör bevisning, eller åt en försäkran som sätts samman i efterhand, vare sig inför granskaren eller flera år senare inför Patent Trial and Appeal Board.