【事件の表示】
　特願２０１７−５２３９４８「悪意があるデータフローのネットワーク侵入を検知および防止するシステムおよび方法」拒絶査定不服審判事件〔平成２９年１２月２８日国際公開、ＷＯ２０１７／２２０１３９、平成３０年　７月２６日国内公表、特表２０１８−５２０５２４、請求項の数（１４）〕について、次のとおり審決する。
【結　論】
　原査定を取り消す。
　本願の発明は、特許すべきものとする。
【理　由】
第１　手続の経緯
　本願は、２０１６年（平成２８年）６月２２日を国際出願日とする出願であって、平成２９年５月２日に手続補正がされ、平成３０年６月２７日付けで拒絶理由通知がされ、平成３０年９月２７日に手続補正がされ、平成３０年１０月５日付けで拒絶理由通知がされ、平成３１年１月１５日に手続補正がされ、平成３１年１月２２日付けで拒絶査定（原査定）がされ、これに対し、平成３１年４月２３日に拒絶査定不服審判の請求がされたものである。
第２　原査定の概要
　原査定（平成３１年１月２２日付け拒絶査定）の概要は次のとおりである。
　本願請求項１−１４に係る発明は、以下の引用文献１−５に基づいて、その発明の属する技術の分野における通常の知識を有する者（以下、「当業者」という。）が容易に発明できたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
　　引用文献等一覧
１．特開２０１６−５１３８号公報
２．特開２０１０−２６８４８３号公報
３．特開２００６−２７９９３０号公報
４．特開２０１５−５０７１７号公報
５．国際公開第２０１３／１５０９２５号
第３　本願発明
　本願請求項１−１４に係る発明（以下、それぞれ「本願発明１」−「本願発明１４」という。）は、平成３１年１月１５日付けの手続補正で補正された特許請求の範囲の請求項１−１４に記載された事項により特定される発明であり、以下のとおりの発明である。
「【請求項１】
　データフローのフローステートを記憶し、システムにわたって前記フローステートを共有および更新するように構成される少なくとも1つのデータストレージまたはメモリと、
　前記データフローのフローステート、および／または前記データフローと所定のパターンとの比較に基づいて、受信されたデータフローをブロック、転送、または複製するように構成される少なくとも1つの共有ステート転送要素FEと、
　複製されたデータフローを受信し、前記データフローが、悪意があるかそれとも許可されているかを分類するように構成される少なくとも1つの検査要素IEと
　を備える、SDN（Software　Defined　Network）において悪意があるデータフローの侵入を検知および防止するシステムであって、
　前記IEは、分類結果に応じて前記データフローの前記フローステートを変化させるように構成され、
　前記FEは、
　前記データフローのフローステートが「許可」である場合、および／または前記データフローが所定の許可されたトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを転送し、
　前記データフローのフローステートが「ブロック」である場合、および／または前記データフローが所定の悪意があるトラフィックのパターンと一致する場合には、受信されたデータフローのパケットをブロックし、
　前記データフローのフローステートが「疑わしい」である場合、および前記データフローが所定の疑わしいトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを前記IEへ複製するように構成される、システム。」
　本願発明２−１２は、請求項１を減縮した発明である。
　本願発明１３は、請求項１に対応する方法の発明であり、本願発明１とカテゴリ表現が異なるだけの発明である。
　本願発明１４は、請求項１に対応するプログラムの発明であり、本願発明１とカテゴリ表現が異なるだけの発明である。
第４　引用例
１．引用文献１について
（１）引用文献記載事項
　原査定の拒絶の理由に引用された引用文献１には、段落【００１６】、段落【００１９】、段落【００２３】、段落【００３１】−段落【００３６】、段落【００４１】−段落【００４２】に、次の事項が記載されている（なお、下線は、強調のために当審が付与した。）。
ア　段落【００１６】
「【００１６】以下、本発明の一実施形態による攻撃防御システム及び通信制御装置について図面を参照して説明する。
　［第１の実施形態】
　図１は、第１の実施形態による攻撃防御システム１の一例を示すブロック図である。
　この図に示すように、
攻撃防御システム１は、ＳＤＮ（SoftwareDefined Networking）スイッチ３０と、ＳＤＮコントローラ装置４０と、ＩＤＳ（Intrusion Detection System：侵入検知システム）５０と、通信制御装置１００とを備え
攻撃防御システム１は、攻撃側コンピュータ装置１０と監視対象コンピュータ装置２０との間の監視対象のネットワークＮＷ１を監視し
イ　段落【００１９】
「【００１９】
ＳＤＮスイッチ（スイッチ装置の一例）３０は、
攻撃側コンピュータ装置１０と監視対象コンピュータ装置２０との間の監視対象のネットワークＮＷ１上に接続され
ＳＤＮスイッチ３０は、
ＳＤＮコントローラ装置４０によって設定された設定情報に基づいて、パケットの通過を制御可能なスイッチであ
ＳＤＮスイッチ３０は、
監視対象のネットワークＮＷ１における攻撃が検出されていない通常時に、監視対象のネットワークＮＷ１を流れるパケットを、監視のためにＩＤＳ５０に転送
ウ　段落【００２３】
「【００２３】記憶部６０は、ＩＤＳ５０が利用する各種情報を記憶する。記憶部６０は、例えば、攻撃側コンピュータ装置１０からの攻撃を検知するための情報、及びＳＤＮスイッチ３０から転送されてきた監視対象のパケットなどを記憶する。また、記憶部６０は、攻撃判定情報記憶部６１を備えている。
　攻撃判定情報記憶部６１は、攻撃側コンピュータ装置１０からの攻撃を検知するための情報を記憶する。
攻撃判定情報記憶部６１は、
攻撃パケットを検知するためにパターン情報などを記憶
エ　段落【００３１】−段落【００３６】
「【００３１】次に、本実施形態による攻撃防御システム１の動作について、図面を参照して説明する。
　図２は、本実施形態による攻撃防御システム１の動作の一例を示す図である。
　図２において、
まず、ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１のパケットをＩＤＳ５０に転送する（ステップＳ１０１）。ここで、ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１を流れるパケットを、自装置を通過させるとともに、ＩＤＳ５０に対して転送
【００３２】
次に、ＩＤＳ５０は、監視対象のネットワークＮＷ１のパケットを監視する（ステップＳ１０２）。
ＩＤＳ５０は、監視した当該パケットと、攻撃判定情報記憶部６１が記憶する情報とに基づいて、監視対象のネットワークＮＷ１における攻撃
を検知
  なお、ステップＳ１０１及びステップＳ１０２の処理が、攻撃防御システム１における通常時の処理に対応し、
通常時は、ステップＳ１０１及びステップＳ１０２の処理が、攻撃が検知されるまで繰り返され
【００３３】ＩＤＳ５０は、監視対象のネットワークＮＷ１における
攻撃を検知した場合に、検知した当該攻撃の種類を特定
　次に、
ＩＤＳ５０は、
生成した検知アラートを通信制御装置１００に送信
検知アラートには、例えば、検知した攻撃の種類、攻撃パケットの内容等のログ情報などが含まれて
【００３４】通信制御装置１００は、検知アラートに対する対応方法を決定する（ステップＳ１０６）。すなわち、
通信制御装置１００は、
検知アラートに含まれる情報に基づいて、攻撃に対する防御方法
を決定
  なお、ステップＳ１０３からステップＳ１０６までの処理が、攻撃防御システム１における攻撃検知時（不正通信検知時）の処理に対応する。
【００３５】次に、通信制御装置１００は、監視対象のネットワークＮＷ１の設定変更依頼をＳＤＮコントローラ装置４０に送信する（ステップＳ１０７）。すなわち、
通信制御装置１００は、決定した防御方法（対応方法）に対応した監視対象のネットワークＮＷ１の設定変更を依頼する設定変更依頼をＳＤＮコントローラ装置４０に送信
【００３６】次に、ＳＤＮコントローラ装置４０は、ＳＤＮスイッチ３０の設定を変更する（ステップＳ１０８）。すなわち、
ＳＤＮコントローラ装置４０は、通信制御装置１００から受信した設定変更依頼に対応したＳＤＮスイッチ３０の設定情報を生成し、
ＳＤＮスイッチ３０に送信
　
これにより、ＳＤＮスイッチ３０が、監視対象のネットワークＮＷ１を流れるパケットを制限して、ＩＤＳ５０が検知した攻撃に対する防御を行
　なお、ステップＳ１０７及びステップＳ１０８の処理が、攻撃防御システム１における防御動作の処理に対応する。」
オ　段落【００４１】−段落【００４２】
「【００４１】次に、図４を参照して、上述したステップＳ２０４における防御処理について説明する。
　図４は、本実施形態による攻撃防御システム１の防御動作の一例を示す第１の図である。
　この図に示す例では、
ＩＤＳ５０が、上述したその他の不正パケットによる攻撃を検知した
場合、通信制御装置１００は、攻撃側コンピュータ装置１０から送信されたパケット（攻撃パケット）を破棄させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行
【００４２】一方、
ＳＤＮスイッチ３０は、
攻撃側コンピュータ装置１０以外の他の機器が送信したパケット（正常パケットＰ２）を通過させ
正常パケットＰ２は、ＳＤＮスイッチ３０を介して監視対象コンピュータ装置２０に転送され
（２）引用発明
　したがって、引用文献１には、次の発明（以下、「引用発明」という。）が記載されていると認められる。
「攻撃防御システム１は、ＳＤＮ（Software Defined Networking）スイッチ３０と、ＳＤＮコントローラ装置４０と、ＩＤＳ（Intrusion Detection System：侵入検知システム）５０と、通信制御装置１００とを備え、
　攻撃防御システム１は、攻撃側コンピュータ装置１０と監視対象コンピュータ装置２０との間の監視対象のネットワークＮＷ１を監視しており、
　ＳＤＮスイッチ３０は、攻撃側コンピュータ装置１０と監視対象コンピュータ装置２０との間の監視対象のネットワークＮＷ１上に接続され、
　ＳＤＮスイッチ３０は、ＳＤＮコントローラ装置４０によって設定された設定情報に基づいて、パケットの通過を制御可能なスイッチであり、
　ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１における攻撃が検出されていない通常時に、監視対象のネットワークＮＷ１を流れるパケットを、ＩＤＳ５０に転送し、
　攻撃判定情報記憶部６１は、攻撃パケットを検知するためにパターン情報などを記憶しており、
　まず、ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１のパケットをＩＤＳ５０に転送する（ステップＳ１０１）、
　ここで、ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１を流れるパケットを、自装置を通過させるとともに、ＩＤＳ５０に対して転送させており、
　次に、ＩＤＳ５０は、監視対象のネットワークＮＷ１のパケットを監視する（ステップＳ１０２）、
　ＩＤＳ５０は、監視した当該パケットと、攻撃判定情報記憶部６１が記憶する情報とに基づいて、監視対象のネットワークＮＷ１における攻撃を検知し、
　通常時は、ステップＳ１０１及びステップＳ１０２の処理が、攻撃が検知されるまで繰り返され、
　攻撃を検知した場合に、検知した当該攻撃の種類を特定し、
　ＩＤＳ５０は、生成した検知アラートを通信制御装置１００に送信し、
　検知アラートには、例えば、検知した攻撃の種類、攻撃パケットの内容等のログ情報などが含まれており、
　通信制御装置１００は検知アラートに含まれる情報に基づいて、攻撃に対する防御方法を決定し、
　通信制御装置１００は、決定した防御方法に対応した監視対象のネットワークＮＷ１の設定変更を依頼する設定変更依頼をＳＤＮコントローラ装置４０に送信し、
　ＳＤＮコントローラ装置４０は、通信制御装置１００から受信した設定変更依頼に対応したＳＤＮスイッチ３０の設定情報を生成し、ＳＤＮスイッチ３０に送信し、
　これにより、ＳＤＮスイッチ３０が、監視対象のネットワークＮＷ１を流れるパケットを制限して、ＩＤＳ５０が検知した攻撃に対する防御を行い、
　ＩＤＳ５０が、上述したその他の不正パケットによる攻撃を検知した場合、通信制御装置１００は、攻撃側コンピュータ装置１０から送信されたパケット（攻撃パケット）を破棄させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行し、
　ＳＤＮスイッチ３０は、攻撃側コンピュータ装置１０以外の他の機器が送信したパケット（正常パケットＰ２）を通過させ、
　正常パケットＰ２は、ＳＤＮスイッチ３０を介して監視対象コンピュータ装置２０に転送される、
攻撃防御システム。」
２．引用文献２について
　また、原査定の拒絶の理由に引用された上記引用文献２の段落【００２５】−段落【００２６】、段落【００３５】、段落【００３７】には、以下の記載がある。
（１）段落【００２５】−段落【００２６】
「【００２５】
　
システム１０により提供される第２のインライン機能は、深いレベルのパケット検査を容易にする、ある形式のステートフル・パターン・マッチングを実装するトリガー・フィルタ機能５０を備える。
第１に、パケットヘッダ・マッチング動作５２が各パケットを観察し、そのヘッダフィールド値が危険トラフィックの疑いを生じさせるかどうかを判断する。
第２に、パケットコンテンツ・マッチング動作５４が各パケットを観察し、コンテンツ（文字）ストリング及び／又はその正規表現値が危険トラフィックの疑いを生じさせるかどうかを判断する。
パケットヘッダ・マッチング動作５２及びパケットコンテンツ・マッチング動作５４は互いに関連して動作し、検出されたヘッダフィールド値とコンテンツ・ストリング／正規表現値との組み合わせに基づいて、疑わしいパケット・トラフィックを検出する
【００２６】
　上記の説明は、
危険であるか又は疑わしいトラフィックを見つけ出す（そしてその後当該トラフィックをブロックする）トリガー動作に焦点を当てているが、幾つかの状況においては、「良性の」トラフィックの質及び特徴を見つけ出すようにトリガーを実装し、またフィルタを設計できるというような場合もあろう。
　必要なタスクを最大可能速度（データ・フローのライン速度を超えることが好ましい）で実行する能力を保証するために、トリガー・フィルタ機能はアプリケーション特化ハードウェア部品として実装されることが好ましい。より具体的には、並行処理アーキテクチャにおける複数のハードウェア実装パターン・マッチング・コンポーネントの使用を通じて、高速パス・パターン・マッチングのためのプロセスが実行される。この設定はシステムがライン速度で動作することを可能にし、更に将来的な拡張容易性を提供する。」
（２）段落【００３５】
「【００３５】
　脅威検証機能１００は、疑わしいトラフィックに対するより慎重な解析に応答して、３つの処理オプションから１つを選択する。
第１には、そのパケット・トラフィックが良性であると確認された限りにおいて、それはデータ・フロー１４に戻される
第２には、明らかな脅威又は危険が確認された限りにおいて、そのパケット・トラフィックはブロックされ除去される
第３には、（良性か脅威であるか）明確な判断が下せなかった限りにおいて、そのパケット・トラフィックはデータ・フローに戻される１０２が、そのトラフィックのコピーが渡されて１１６、その後更なる検討及び処理が行われ、警報が発せられる必要があるかどうかが判断される。
（３）段落【００３７】
「【００３７】
　
脅威検証機能１００によって渡された１１６（依然として疑わしい）パケット・トラフィックのコピーに対して、
疑わしいパケット・トラフィックのコピーをネットワーク管理者に配信して更なる調査を受けさせることができる。
ライン外のリスク評価機能１３０により、疑わしいパケット・トラフィックを評価することも可能である。
この判断を補助するために、システム１０により、保護されたネットワーク内に存在するマシン及びデバイスの各々、及びそれらの互いに対する相互接続及び動作上の関係に関する情報を格納した資産データベース１３２が維持される。
３．引用文献３について
　また、原査定の拒絶の理由に引用された上記引用文献３の段落【００３５】、段落【００５０】−段落【００５２】には、以下の記載がある。
（１）段落【００３５】
「【００３５】
　フロー比較部２８は、通知されたパケット長平均値、パケット長分散値、パケット到着時間間隔平均値、パケット到着時間間隔分散値、ポート番号、パケット長種類数、ＰＵＳＨパケット出現率、バースト長平均値、バースト長分散値、バースト到着時間間隔平均値、バースト到着時間間隔分散値を、フロー特徴リスト格納部２９に保持してある振る舞い期待値のリストと比較し、トラフィックの転送または廃棄の指示を送信部２７に出す。後述するように、
通知されてきた内容がリスト内の期待値の範囲内である場合には、正規のトラフィックと判断できるので、フロー比較部２８は、トラフィックの転送を指示し
そうでないでない場合には、トラフィックの廃棄を指示する。
（２）段落【００５０】−段落【００５２】
「【００５０】
　次に、本発明の第３の実施形態の不正アクセス遮断装置について説明する。図４に示す第３の実施形態の不正アクセス遮断装置５０は、図１に示した不正アクセス遮断装置２と同様のものであるが、
トラフィックの振る舞いを測定することによる不正トラフィック検出処理を実施する前に、個々のトラフィックにおける単位時間あたりの受信パケット数を測定し閾値を超えたトラフィックを不正トラフィックの可能性があるトラフィックを抽出するように構成されている。以下の説明では、不正トラフィックの可能性があるトラフィックのことを被疑トラフィックと呼ぶ。
被疑トラフィックを不正トラフィック検出処理に転送する被疑トラフィック抽出部５１と、
【００５１】
　被疑トラフィック抽出部５１は、
被疑トラフィック条件格納部５２に格納された被疑トラフィック条件に基づいて、受信したトラフィックの中から不正トラフィックの可能性がある被疑トラフィックのみを抽出して、抽出された被疑トラフィックのコピーを後段の各算出部２１〜２４、３０〜３５およびポート番号検出部２５に転送する機能を有する。
【００５２】
　この不正アクセス遮断装置５０において、
被疑トラフィック抽出部５１の以外の動作は第１の実施の形態の不正アクセス遮断装置２の動作と同じ
４．引用文献４について
　また、原査定の拒絶の理由に引用された上記引用文献４の段落【００６０】−段落【００６５】には、以下の記載がある。
（１）段落【００６０】−段落【００６５】
「【００６０】
　本発明によるコンピュータシステム１では、ＯＦＣ１１によりＯＦＳ２による転送先を設定することで、例えば、図４に示すネットワークが構成される。図４は、ＷＥＢサーバ６０がルータ４０を経由してインターネット１００へ接続する構成例を示す論理構成図である。図４を参照して、
コンピュータシステム１は、ルータ４０を介してインターネット１００に接続されるオープンフロースイッチ群２０（以下、ＯＦＳ群２０と称す）と、ＯＦＳ群２０に接続されるコントローラ１０、侵入検知部３０、負荷分散装置５０、ＷＥＢサーバ６０、ファイアウォール７０を具備する。
【００６１】
　先ず、コントローラ１０は、ＯＦＳ群２０のうち、いずれかのＯＦＳ２のフローテーブルを変更することで侵入検知部３０をＯＦＳ群２０に接続するように通信経路の構成を変更する。ＷＥＢサーバ６０の利用開始前、図５に示すように、ＷＥＢサーバ６０はＯＦＳ群２０を介してルータ４０に接続されている。ＷＥＢサーバ６０がサービスを提供していない間、ＷＥＢサーバ６０に対する不正アクセスを検出する必要がない。このため、サービス利用開始前においては、コントローラ１０の制御により、ＯＦＳ群２０に侵入検知部３０が接続されないことが好ましい。この場合、図示しない他の仮想サーバに対して侵入検知部３０を割り当てることが可能となり、セキュリティ資源を有効活用することができる。
【００６２】
　ここで、ＷＥＢサーバ６０によるサービスを利用開始するための指示が、管理者端末（例えばＣＣ１１）からＯＦＣ１１に送信される。これに応じてＯＦＣ１１はＯＦＳ２のフローテーブルを変更してＷＥＢサーバ６０に対する通信経路に侵入検知部３０を接続するよう制御する。これにより、侵入検知部３０は、図６に示すように、ルータ４０とＷＥＢサーバ６０との間の通信経路（ＯＦＳ群２０−１）に接続される。侵入検知部３０は、インターネット１００からＷＥＢサーバ６０へのパケット通信の監視（ＷＥＢサーバ６０への攻撃などの異常の監視）を開始する。例えば、侵入検知部３０は、ある程度のパケット通信を図示しない記憶装置に一時記憶し、記憶した複数のパケット通信を用いて、予め登録されている異常パタンに該当するか解析する。
【００６３】
　図１０は、本発明によるコンピュータシステム１におけるネットワーク構成変更動作の一例を示すシーケンス図である。図６、図７及び図１０を参照して、コンピュータシステム１において、不正アクセスの検出をトリガとして、セキュリティの高いネットワークに変更する動作の詳細を説明する。
【００６４】
　図６に示すネットワークにおいて
侵入検知部３０は、
記憶部（図示なし）に記憶されている既定の異常パタンと比較し、異常（インシデント）なパケット通信を検出すると、侵入検知情報をコントローラ１０へ通知する（ステップＳ１、Ｓ２：第１の異常通知）。
【００６５】
　
コントローラ１０は、受信した侵入検知情報に基づいて侵入内容を解析し、変更対象のネットワークや変更後のネットワーク構成を特定する（ステップＳ４）。又、コントローラ１０は、特定したネットワーク構成となるように、ＯＦＳ２のフローテーブルを変更する（ステップＳ５、Ｓ６）。
５．引用文献５について
　また、原査定の拒絶の理由に引用された上記引用文献５の段落【０１１３】−【０１７８】（特に、段落【０１１７】、段落【０１２１】、段落【０１２３】、段落【０１４１】、段落【０１４９】）の記載からみて、
当該引用文献５には、
「オープンフローシステムにおいて、フローテーブル２２において、デフォルトエントリ以外にマッチするフローエントリが存在しない未知のパケットについて、アクセス元ホストにアクセス可否を問い合わせ、当該アクセスの可否に応じてフローエントリの登録指示を行い、データパケットのパケットの転送や廃棄の制御を行うこと」
という技術的事項が記載されていると認められる。
第５　対比・判断
１．本願発明１について
（１）対比
ア　引用発明の「監視対象のネットワークＮＷ１を流れるパケット」は、ＳＤＮスイッチ３０により転送制御されるパケットであるから、本願発明の「データフロー」に相当する。
　引用発明においては、「ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１における
攻撃が検出されていない通常時に
パケットを、ＩＤＳ５０に転送し、
パケットをＩＤＳ５０に転送
パケットを監視
（ステップＳ１０２）、
通常時は、ステップＳ１０１及びステップＳ１０２の処理が、攻撃が検知されるまで繰り返され、攻撃を検知した場合に、
検知アラートを通信制御装置１００に送信し、
通信制御装置１００は検知アラートに含まれる情報に基づいて、攻撃に対する防御方法
に対応した監視対象のネットワークＮＷ１の設定変更を依頼する設定変更依頼をＳＤＮコントローラ装置４０に送信し、ＳＤＮコントローラ装置４０は、
設定変更依頼に対応したＳＤＮスイッチ３０の設定情報を
ＳＤＮスイッチ３０に送信し、
ＳＤＮスイッチ３０が、監視対象のネットワークＮＷ１を流れるパケットを制限
　すなわち、「攻撃を検知した場合」に、引用発明は、「検知アラート」を通信制御装置１００に送信し、通信制御装置１００は検知アラートに含まれる情報に基づいて、攻撃に対する防御方法に対応した監視対象のネットワークＮＷ１の設定変更を依頼する「設定変更依頼」をＳＤＮコントローラ装置４０に送信し、ＳＤＮコントローラ装置４０は、設定変更依頼に対応した「ＳＤＮスイッチ３０の設定情報」を生成し、ＳＤＮスイッチ３０に送信し、ＳＤＮスイッチ３０が、監視対象のネットワークＮＷ１を流れるパケットを制限している。
　ここで、ＩＤＳ５０により検知された「検知アラート」、ネットワーク制御装置１００により送信されるネットワークＮＷ１の「設定変更依頼」、「ＳＤＮスイッチ３０の設定情報」というように、その情報の形態は変化しているものの、上記の情報を生成するための元となったパケット（データフロー）の攻撃が検出されている状態が、ＩＤＳ５０、通信制御装置１００、ＳＤＮコントローラ装置４０、ＳＤＮスイッチ３０の全てにおいて、共有、更新されていると認められる。
　また、「攻撃が検出されていない通常時」に、引用発明では、ステップＳ１０１（パケットをＩＤＳ５０に転送）及びステップＳ１０２（パケットを監視）の処理が、攻撃が検知されるまで繰り返されており、ネットワーク制御装置１００に検知アラートが送信されていない。これは、暗に検知アラートが送信されなかったパケット（データフロー）の攻撃を検知されていない状態が、ＩＤＳ５０、通信制御装置１００、ＳＤＮコントローラ装置４０、ＳＤＮスイッチ３０の全てにおいて、共有、更新されていることであるといえる。
　そして、引用発明は、ＩＤＳ５０、通信制御装置１００、ＳＤＮコントローラ装置４０、ＳＤＮスイッチ３０からなる攻撃防御システムであるから、システムにわたって、パケット（データフロー）の攻撃が検知されていない状態、パケット（データフロー）の攻撃が検知されている状態が、共有、更新されているといえる。
　上記のとおりであるから、引用発明は、システムにわたってデータフローの攻撃が検知されているか否かという状態を共有、更新している。
　ここで、引用発明の「パケット（データフローの攻撃が検知されているか否かという状態」は、攻撃が検知されている否かというデータフローの状態を示す情報であるから、本願発明１の「データフローのフローステート」とは、データフローのフローの状態である点で共通している。
　したがって、引用発明は、本願発明１のデータフローの「フローステート」を共有および更新するように構成されることと、「システムにわたってデータフローのフローの状態を共有、更新するように構成され」る点で共通している。
イ　引用発明では、「ＳＤＮスイッチ３０は、攻撃側コンピュータ装置１０と監視対象コンピュータ装置２０との間の監視対象のネットワークＮＷ１上に接続」されているから、ＳＤＮスイッチに入力される信号は、ＳＤＮスイッチに受信されているといえる。
　引用発明では、通常時に「
ＳＤＮスイッチ３０は、
自装置を通過させるとともに、ＩＤＳ５０に対して転送
　また、引用発明は、「ＩＤＳ５０が、上述したその他の不正パケットによる攻撃を検知した場合、通信制御装置１００は、
攻撃側コンピュータ装置１０から送信されたパケット（攻撃パケット）を破棄させる設定を、
ＳＤＮスイッチ３０に対して実行し
　そして、引用発明は、「監視した当該パケットと、攻撃判定情報記憶部６１が記憶する情報とに基づいて、監視対象のネットワークＮＷ１における攻撃を検知」し、「攻撃判定情報記憶部６１は、攻撃パケットを検知するためにパターン情報を記憶」している。ここで、記憶されたパターン情報とパケットとに基づいて攻撃を検知する際に、その比較により行うことは自明であるから、少なくともデータフローと所定のパターンとの比較に基づいて、パケットの転送制御をしているといえる。
　したがって、引用発明の「ＳＤＮスイッチ３０」と本願発明１の「共有ステート転送要素FE」とは、「前記データフローのフローの状態、および／または前記データフローと所定のパターンとの比較に基づいて、受信されたデータフローの通過制御を行」っている点で共通している。
　よって、引用発明と本願発明１とは、「前記データフローのフローの状態、および／または前記データフローと所定のパターンとの比較に基づいて、受信されたデータフローの通過制御を行う構成を少なくとも１つ有し」ている点で共通している。
ウ　引用発明では、「ＳＤＮスイッチ３０は、監視対象のネットワークＮＷ１を流れるパケットを、自装置を通過させるとともに、ＩＤＳ５０に対して転送させて」いるから、イ で検討したとおり、ＩＤＳ５０は、複製されたデータフローを受信しているといえる。
　また、引用発明では、ＩＤＳ５０が攻撃を検知した場合、パケットを制限して検知した攻撃に対する防御を行い、監視対象のネットワークＮＷ１における攻撃が検出されていない通常時に、自装置（ＳＤＮスイッチ３０）を通過（すなわち、監視対象コンピュータ２０へ転送）させている。
　ここで、攻撃は悪意をもってなされるから、攻撃が検出されたデータフローは、ネットワークにおける悪意のあるデータフローである。そして、攻撃が検出されていない通常時は、受信されたパケットを転送しているから、ＳＤＮスイッチ３０を通過させることを許可している状態といえる。
　よって、引用発明の「ＩＤＳ５０」は、悪意があるかそれとも許可されているかを分類しているといえる　
　したがって、引用発明の「ＩＤＳ５０」は、本願発明の「検査要素IE」と「複製されたデータフローを受信し、前記データフローが、悪意があるかそれとも許可されているかを分類するように構成されている」点で共通しているといえる。
エ　引用発明は、ＳＤＮ（Software Defined Networking）スイッチ３０を備えた攻撃防御システムであるから、当該攻撃防御システムはＳＤＮシステムといい得るものである。
　また、攻撃が検知されたデータフローである攻撃パケットは悪意のあるデータフローであり、攻撃パケットを破棄する処理は悪意があるデータフローの侵入を防止しているといえるから、引用発明のＩＤＳ（Intrusion Detection System：侵入検知システム）５０を備えた攻撃防御システムは、「SDN（Software Defined Network）において悪意があるデータフローを侵入を検知および防止するシステム」である点において、本願発明１と共通する。
オ　引用発明では、アにおいて検討したとおり、データフローの攻撃が検知されているか否かという状態は、ＩＤＳ５０、通信制御装置１００、ＳＤＮコントローラ装置４０、ＳＤＮスイッチ３０に当該状態を共有することによりその状態を変更させており、ウにおいて検討したとおり、ＩＤＳ５０においてデータフローを悪意があるか、許可されているかに分類している。
　すなわち、引用発明のＩＤＳ５０、通信制御装置１００、ＳＤＮコントローラ装置４０、ＳＤＮスイッチ３０は、ＩＤＳ５０における分類結果に応じて前記データフローの前記フローの状態を変化させるように構成されているといえる。
　したがって、引用発明の「ＩＤＳ５０、通信制御装置１００、ＳＤＮコントローラ装置４０、ＳＤＮスイッチ３０」は、本願発明１の「検査要素IE」と「分類結果に応じて前記データフローの前記フローの状態を変化させるように構成され」ている点で共通している。
カ　引用発明では、「ＳＤＮスイッチ３０は、攻撃側コンピュータ装置１０以外の他の機器が送信したパケット（正常パケットＰ２）を通過させ」、「正常パケットＰ２は、ＳＤＮスイッチ３０を介して監視対象コンピュータ装置２０に転送され」、通常時に「
ＳＤＮスイッチ３０は、
自装置を通過させる
キ　引用発明では、「ＩＤＳ５０が、上述したその他の不正パケットによる攻撃を検知した場合、通信制御装置１００は、攻撃側コンピュータ装置１０から送信されたパケット（攻撃パケット）を破棄させる設定を、ＳＤＮコントローラ装置４０を介してＳＤＮスイッチ３０に対して実行し」ており、引用発明は、攻撃側コンピュータ装置１０と監視対象コンピュータ装置２０との間の監視対象のネットワークＮＷ１を監視しており、攻撃側コンピュータから送信されたパケット（攻撃パケット）は監視対象コンピュータ２０へと転送されるパケットが廃棄された状態、すなわち転送がブロックされた状態であるから、当該「破棄」は、本願発明１の「ブロック」に対応するといえる。
　また、引用発明の攻撃を検知する処理に関して、イにおいて検討したとおり、データフローのフロー状態、データフローと所定のパターンとの比較に基づいている。
　したがって、引用発明１の「ＳＤＮスイッチ３０」と本願発明１の「共有ステート転送要素FE」とは、「前記データフローのフローの状態が「ブロック」である場合、および／または前記データフローが所定の悪意があるトラフィックのパターンと一致する場合には、受信されたデータフローのパケットをブロックし」ている点で共通している。
　したがって、本願発明１と引用発明の一致点及び相違点は、次のとおりである。
　[一致点]
　システムにわたってデータフローのフローの状態を共有、更新するように構成され、
　前記データフローのフローの状態、および／または前記データフローと所定のパターンとの比較に基づいて、受信されたデータフローの通過制御を行う構成を有し、
　複製されたデータフローを受信し、前記データフローが、悪意があるかそれとも許可されているかを分類するように構成される、
　SDN（Software Defined Network）において悪意があるデータフローを侵入を検知および防止するシステムであって、
　分類結果に応じて前記データフローの前記フローの状態を変化させるように構成され、
　前記通過制御を行う構成は、
　前記データフローのフローステートが「許可」である場合、および／または前記データフローが所定の許可されたトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを転送し、
　前記データフローのフローの状態が「ブロック」である場合、および／または前記データフローが所定の悪意があるトラフィックのパターンと一致する場合には、受信されたデータフローのパケットをブロックする、システム。　　
［相違点１］
　本願発明１は、「データフローのフローステートを記憶し、システムにわたって前記フローステートを共有及び更新するように構成される少なくとも１つのデータストレージまたはメモリ」を備えているのに対し、引用発明は「データフローのフローステートを記憶し」ている「少なくとも１つのデータストレージまたはメモリ」を備えることが特定されていない点。
[相違点２]
　本願発明は、システムにわたって共有及び更新する、データフローのフローの状態として、「データフローのフローステート」を用いているのに対し、引用発明は、「データフローの攻撃が検知されているか否かという状態」を用いている点。
［相違点３］
　「データフローのフローの状態、および／または前記データフローと所定のパターンとの比較に基づいて、受信されたデータフローの通過制御を行う構成」として、本願発明が、「ブロック、転送、または複製するように構成される少なくとも1つの共有ステート転送要素FE」を有しているのに対し、引用発明が、「受信されたデータフローをブロックまたは転送及び複製するように構成される少なくとも1つのＳＤＮスイッチ３００」を有している点。
［相違点４］
　「複製されたデータフローを受信し、前記データフローが、悪意があるかそれとも許可されているかを分類」し、「分類結果に応じて前記データフローの前記フローステートを変化させるように構成され」る主体となる構成として、本願発明１は、少なくとも１つの検査要素（IE）を有しているのに対して、引用発明においては、ＩＤＳ５０、通信制御装置１００、ＳＤＮコントローラ４０により行っている点。
［相違点５］
　本願発明１では、「前記FEは」、「前記データフローのフローステートが「疑わしい」である場合、および前記データフローが所定の疑わしいトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを前記IEへ複製するように構成される」のに対して、引用発明には、そのような構成が記載されていない点
（２）判断
　[相違点１］及び［相違点５]について
　事案に鑑みて、相違点５について先に検討する。
　検討にあたって、相違点５は「
前記
　上記引用文献１−５のうち、フローの状態、トラフィックのパターンが「許可」および「ブロック」である場合と区別される「疑わしい」場合についての制御に関し、記載や示唆があるのは、以下のとおり、引用文献２，３のみである。
　
ア　上記「第４」の「２．」を参照すると、引用文献２には、ネットワーク上に「インライン」配置される脅威検証機能１００によって渡された（図１の矢印１１６参照。）、（依然として疑わしい）パケット・トラフィックのコピーに対して、更なる調査を受けさせることが記載されており、これは疑わしい場合に受信されたデータフローについて更なる調査をさせることに対応している。
　また、引用文献２にはトラフィックのパターンマッチング（データフローが所定の疑わしいトラフィックパターンと一致するかどうかに対応）により、疑わしいパケットを検出することも記載されている。
　さらに、引用文献２には、（疑わしいパケット・トラフィックについての評価の）判断を補助するために、保護されたネットワーク内に存在するマシン及びデバイスの各々、及びそれらの互いに対する相互接続及び動作上の関係に関する情報を格納した資産データベース１３２を有すること（トラフィックの評価のために、メモリに状態を記憶していることに対応）が記載されている。
　しかしながら、本願発明１のように、「データストレージまたはメモリ」に記憶され「システムにわたって共有及び更新されるデータフローのフローステート」について、「前記データフローのフローステートが「疑わしい」である場合、および前記データフローが所定の疑わしいトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを前記IEへ複製するように構成される」点についての記載や示唆はない。
イ　上記「第４」の「３．」を参照すると、引用文献３には、個々のトラフィックにおける単位時間あたりの受信パケット数を測定し閾値を超えたトラフィックを不正トラフィックの可能性があるトラフィックであるとして、被疑トラフィックと判定し、当該被疑トラフィックのコピーをさらなる検査のために転送することが記載されている。
　ここで、被疑トラフィックは不正トラフィックと疑わしいトラフィックであるから、疑わしい場合に検査のために複製して転送することは記載されていると認められる。
　しかしながら、本願発明１のように、「データストレージまたはメモリ」に記憶され「システムにわたって共有及び更新されるデータフローのフローステート」について、「前記データフローのフローステートが「疑わしい」である場合、および前記データフローが所定の疑わしいトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを前記IEへ複製するように構成される」点についての記載や示唆はない。
ウ　上記「第４」の「４．」を参照すると、引用文献４には、記憶されている既定の異常パタンと比較し、異常なパケット通信を検出し、侵入検知情報をコントローラ１０へ通知し、コントローラ１０は、受信した侵入検知情報に基づいて侵入内容を解析し、変更対象のネットワークや変更後のネットワーク構成を特定し、特定したネットワーク構成となるように、ＯＦＳ２のフローテーブルを変更することが記載されている。
　ここで、パターンによりパケット（データフロー）の状態を検出している点で本願発明１と一致しているものの、「疑わしい」の場合についての記載はなく、引用文献４においても、パターン、フローステートの両方について記載されておらず、パターンとは別のパラメータであるフローステートに基づいて「疑わしい」状態を特定することは記載も示唆もされていない。
　さらに、「システムにわたって共有および更新されるデータフローのフローテート」について、「データストレージまたはメモリ」に記憶されることも記載も示唆もされていない。　
エ　本願発明６において、さらに引用されている引用文献５についても、念のため検討する。
　上記「第４」の「５．」を参照すると、引用文献５は、オープンフローシステム（ＳＤＮシステムに相当）における制御を行っている点で一致しているものの、「疑わしい」の場合についての記載はなく、本願発明１のように、「データストレージまたはメモリ」に記憶され「システムにわたって共有及び更新されるデータフローのフローステート」について、「前記データフローのフローステートが「疑わしい」である場合、および前記データフローが所定の疑わしいトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを前記IEへ複製するように構成される」点についての記載や示唆はない。
オ　アーエにおいて検討したとおり、引用文献２−５にはいずれも、「データストレージまたはメモリ」に記憶され「システムにわたって共有および更新されるデータフロー」について、「データフローのフローステートが「疑わしい」場合、及び、データフローが所定の疑わしいパターンである場合に、受信されたデータフローのパケットを前記IEに複製すること」点について記載も示唆もない。
　そして、引用発明において、引用文献２−５をどのように組み合わせても、本願発明１の「データストレージまたはメモリ」に記憶され「システムにわたって共有及び更新されるデータフローのフローステート」について、「前記データフローのフローステートが「疑わしい」である場合、および前記データフローが所定の疑わしいトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを前記IEへ複製するように構成される」との構成には至らないし、上記の引用文献２−５を引用発明に組み込ませるべき起因、動機付けも見出せない。
カ　また、本願発明１のように、「データストレージまたはメモリ」に記憶され「システムにわたって共有及び更新されるデータフローのフローステート」について、「前記データフローのフローステートが「疑わしい」である場合、および前記データフローが所定の疑わしいトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを前記IEへ複製するように構成される」点が、周知技術であるとも認められない。　
　よって、当業者といえども、引用発明及び引用文献２−５に記載された技術的事項に基づいて、本願発明１のように、「データストレージまたはメモリ」に記憶され「システムにわたって共有及び更新されるデータフローのフローステート」について、「前記データフローのフローステートが「疑わしい」である場合、および前記データフローが所定の疑わしいトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを前記IEへ複製するように構成される」、という構成を容易に想到することはできない。
　
　したがって、他の相違点について検討するまでもなく、本願発明１は、当業者であっても引用発明及び引用文献２−５に記載された技術的事項に基づいて容易に発明できたものであるとはいえない。
　２．本願発明２−１２について
　本願発明２−１２は、本願発明１を減縮した発明であって、本願発明２−１２も、本願発明１の上記相違点１及び相違点５に係る「データストレージまたはメモリ」に記憶され「システムにわたって共有及び更新されるデータフローのフローステート」について、「前記データフローのフローステートが「疑わしい」である場合、および前記データフローが所定の疑わしいトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを前記IEへ複製するように構成される」という構成と同一の構成を備えるものであるから、本願発明１と同じ理由により、当業者であっても、引用発明及び引用文献２−５に記載された技術的事項に基づいて容易に発明できたものとはいえない。
３．本願発明１３−１４について
　本願発明１３は、本願発明１に対応する方法の発明であり、本願発明１の上記相違点１及び相違点５に係る「データストレージまたはメモリ」に記憶され「システムにわたって共有及び更新されるデータフローのフローステート」について、「前記データフローのフローステートが「疑わしい」である場合、および前記データフローが所定の疑わしいトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを前記IEへ複製するように構成される」という構成と同一の構成を備えるものであるから、本願発明１と同じ理由により、当業者であっても、引用発明及び引用文献２−５に記載された技術的事項に基づいて容易に発明できたものとはいえない。　　
第６　原査定について
　原査定は、請求項１−１４について上記引用文献１−５に基づいて、当業者が容易に発明できたものであるから、特許法第２９条第２項の規定により特許を受けることができないというものである。
　しかしながら、平成３１年１月１５日付け手続補正により補正された請求項１は、上記相違点１及び相違点５に係る、「データストレージまたはメモリ」に記憶され「システムにわたって共有及び更新されるデータフローのフローステート」について、「前記データフローのフローステートが「疑わしい」である場合、および前記データフローが所定の疑わしいトラフィックのパターンと一致する場合には、受信されたデータフローのパケットを前記IEへ複製するように構成される」という構成を有するものとなっており、上記のとおり、引用発明及び引用文献２−５に記載された技術的事項に基づいて、当業者が容易に発明できたものではない。
　したがって、原査定を維持することはできない。
第７　むすび
　したがって、原査定の理由によっては、本願を拒絶することはできない。
　また、他に本願を拒絶すべき理由を発見しない。
　よって、結論のとおり審決する。