【事件の表示】
　特願２００４−５０２５７５「ステートフル・インスペクションを備えるファイアウォール」拒絶査定不服審判事件〔平成１５年１１月１３日国際公開、ＷＯ０３／９４４６４、平成１７年１０月２７日国内公表、特表２００５−５３２７１３〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
第１．手続の経緯
　本願は、２００３年５月１日（パリ条約による優先権主張　外国庁受理２００２年５月１日　オーストラリア国）を国際出願日とする出願であって、平成２１年２月２６日付けで拒絶査定がなされ、これに対し、同年６月８日に拒絶査定に対する審判請求がなされるとともに同年７月７日付けで手続補正がなされたものである。
　
第２．補正却下の決定
［補正却下の決定の結論］
　　平成２１年７月７日付けの手続補正を却下する。
　
［理由］
１．本願発明と補正後の発明
　上記手続補正（以下、「本件補正」という。）は、補正前の平成２０年１１月５日付けの手続補正書の特許請求の範囲の請求項１に記載された、
　
　「【請求項１】
　データ・リンク層経由で内部ネットワークに出入りするパケット・フローを制御するためのステートフル・インスペクション・ブリッジ・ネットワーク・セキュリティ・デバイスであって、上記デバイスは第１及び第２のネットワーク・カードとステートフル・インスペクション・ファイアウォールとを含み、パケットが流入する間に、上記第１のネットワーク・カードは各パケットを上記パケットが既存のセッションの一部であるかないかを決定する検査のために上記ファイアウォールへ転送し、
（ｉ）上記パケットが既存のセッションの一部であれば、これはデータ・リンク層経由で上記第２のネットワーク・カードへかつ上記内部ネットワーク上へ転送され、
　（ｉｉ）上記パケットが既存のセッションの一部でなければ、これは上記パケットが上記ネットワークへ受容可能であるか受容可能でないかを決定するルールセットと比較され、
　（ａ）上記パケットが受容可能であれば、これはデータ・リンク層経由で上記第２のネットワーク・カードへかつ上記内部ネットワークへ転送されかつ上記セッションは上記ステートフル・インスペクション・テーブルへ入れられ、
　（ｂ）上記パケットが受容可能でなければ、これはドロップされて消失し、
且つパケットが流出する間に、アウトバウンド・パケットは上記第２のネットワーク・カードを通過し、ここでこれが既存のセッションの一部であるかないかを決定するために検査され、そうであればこれは上記デバイスを出るために上記第１のネットワーク・カードへ転送され、そうでなければこれは上記ルールセットと比較され、上記パケットが受容可能であればこれは上記デバイスを出るためにデータ・リンク層経由で上記第１のネットワーク・カードへ転送され、受容可能でなければこれはドロップされて消失し、上記デバイスは、ルータとハブまたはサーバ・マシンとの間に設置されるネットワーク・セキュリティ・デバイス。」
という発明（以下、「本願発明」という。）を、補正後の特許請求の範囲の請求項１に記載された、
　
　「【請求項１】
　データ・リンク層経由で内部ネットワークに出入りするパケット・フローを制御するためのステートフル・インスペクション・ブリッジ・ネットワーク・セキュリティ・デバイスであって、上記デバイスは第１及び第２のネットワーク・カードとステートフル・インスペクション・ファイアウォールとを含み、パケットが流入する間に、上記第１のネットワーク・カードは各パケットを上記パケットが既存のセッションの一部であるかないかを決定する検査のために上記ファイアウォールへ転送し、
（ｉ）上記パケットが既存のセッションの一部であれば、これはデータ・リンク層経由で上記第２のネットワーク・カードへかつ上記内部ネットワーク上へ転送され、
　（ｉｉ）上記パケットが既存のセッションの一部でなければ、これは上記パケットが上記ネットワークへ受容可能であるか受容可能でないかを決定するルールセットと比較され、
　（ａ）上記パケットが受容可能であれば、これはデータ・リンク層経由で上記第２のネットワーク・カードへかつ上記内部ネットワークへ転送されかつ上記セッションは上記ステートフル・インスペクション・テーブルへ入れられ、
　（ｂ）上記パケットが受容可能でなければ、これはドロップされて消失し、
且つパケットが流出する間に、アウトバウンド・パケットは上記第２のネットワーク・カードを通過し、ここでこれが既存のセッションの一部であるかないかを決定するために検査され、そうであればこれは上記デバイスを出るために上記第１のネットワーク・カードへ転送され、そうでなければこれは上記ルールセットと比較され、上記パケットが受容可能であればこれは上記デバイスを出るためにデータ・リンク層経由で上記第１のネットワーク・カードへ転送され、受容可能でなければこれはドロップされて消失し、上記第１及び第２のネットワーク・カードは公的にルーティングされるＩＰアドレスを保有せず、上記デバイスは、ルータとハブまたはサーバ・マシンとの間に設置されるネットワーク・セキュリティ・デバイス。」
という発明（以下、「補正後の発明」という。）に補正することを含むものである。
　
２．新規事項の有無、補正の目的要件について
　本件補正は、願書に最初に添付した明細書又は図面に記載した事項の範囲内においてした補正であって、補正前の特許請求の範囲の請求項１に記載された「第１のネットワークカード」および「第２のネットワークカード」に関し、「上記第１及び第２のネットワーク・カードは公的にルーティングされるＩＰアドレスを保有せず、」と限定することにより特許請求の範囲を減縮するものであるから、本件補正は、平成１４年法律第２４号改正附則第３条第１項によりなお従前の例によるとされる同法による改正前の特許法第１７条の２第３項（新規事項）及び平成１８年法律第５５号改正附則第３条第１項によりなお従前の例によるとされる同法による改正前の特許法第１７条の２第４項（補正の目的）の規定に適合している。
　
３．独立特許要件について
　上記本件補正は特許請求の範囲の減縮を目的とするものであるから、上記補正後の発明が特許出願の際独立して特許を受けることができるものであるのかどうかについて以下に検討する。
　
（１）補正後の発明
　上記「１．本願発明と補正後の発明」の項で「補正後の発明」として認定したとおりである。
　
（２）引用発明及び周知技術
　Ａ．原審の拒絶理由に引用例１として引用された国際公開第０１／６５３４３号（以下、「引用例１」という。）には「SYSTEM, DEVICE AND METHOD FOR RAPID PACKET FILTERING AND PROCESSING」（邦訳：迅速なパケット・フィルタリング及びパケット・プロセシングのためのシステム、デバイス及び方法）として図面とともに以下の事項が記載されている。
　
　イ．「DETAILED DESCRIPTION OF THE INVENTION
The present invention is of a system, a device and a method for accelerating packet filtration by supplementing a firewall with a pre-filtering module. The pre-filtering module performs a simple comparison with regard to the packets, for example according to whether the packets are received from a connection which has been previously permitted by the firewall. If the packets are received from such a permitted connection, then the pre-filtering module forwards the packets to their destination, optionally performing one or more actions on the packets. Otherwise, the packets are forwarded to the firewall for handling. In addition, preferably packets are forwarded to the firewall for handling if these packets have particular session-control field values which require intervention by the firewall. For example, for the preferred implementation of the present invention with IP networks, and in particular with TCP/IP traffic, such session-control field values include a set SYN/FIN/RST flag for the packet. Such session-control field values are indicative of packets which carry information about the connection state, and are therefore important for the firewall to receive and analyze, in order to determine the state of the connection. Optionally, fragment packets are also forwarded to the firewall if the pre-filtering module is not able to perform certain functions, such as virtual defragmentation for the preferred embodiment of the present invention with IP networks, and in particular with IP traffic. 
　
Once the firewall has determined that a connection is permitted, or has otherwise determined at least one parameter for performing the simple comparison, the firewall preferably sends a message to the pre-filtering module with the details of the new permitted packets. Preferably, once the firewall has transferred responsibility for the connection to the pre-filtering module, or off-loadedthe connection, the firewall does not receive further packets from this connection until a timeout occurs for the connection, or a packet is received with particular session-control field values indicating that the session is finished, for example by having the FIN/RST flag set for the preferred implementation with IP networks, such that the connection is closed. A timeoutoccurs if a packet has not been received by the firewall for a predefined period of time. 」
（６頁２４行−７頁２６行）
　
　（邦訳）
　「発明の詳細な説明
　本発明は、プレ・フィルタリング・モジュールを備えたファイアウォールの設置により、パケットのフィルタリングを高速化するためのシステム、デバイス及び方法に関する。プレ・フィルタリング・モジュールはパケットに関し、例えばパケットは、前回のファイアウォールによって認可された接続から受信されたかどうかに従って、パケットに関する単純な比較を実行する。パケットがこのように認可された接続から受信されている場合、プレ・フィルタリング・モジュールはパケットの宛先へパケットを転送し、随意で１あるいはそれ以上のアクションをパケット上に実行する。そうでなければ、パケットは処理のためにファイアウォールへ転送される。付け加えて、さらに好ましくは、これらのパケットが、ファイアウォールによる介入を必要とする特定のセッション制御フィールド値を持つ場合、パケットは処理のためにこのファイアウォールへ転送される。例えば、ＩＰネットワーク、特にＴＣＰ／ＩＰトラヒックを備えた本発明の好ましい実施にとって、パケットのための一連のSYN/FIN/RSTフラッグを含む。このようなセッション制御フィールド値は、接続状態についての情報を運ぶパケットを表示し、従ってこれらは、ファイアウォールが接続状態を決定するために、これらのパケットを受信し解析するのが重要である。随意で、フラグメント・パケットはまた、プレ・フィルタリング・モジュールが、ＩＰネットワーク、特にＩＰトラヒックを備えた本発明の好ましい実施の形態のための、仮想フラグメントテーション解消のような特定機能を実行できない場合、ファイアウォールへ転送される。
  ひとたびファイアウォールは接続が認可されたと判断すると、あるいは単純な比較を実行するための少なくとも１つのパラメータを決定すると、ファイアウォールは好ましくは、プレ・フィルタリング・モジュールへ、新しく認可されたパケットの詳細と共にメッセージを送信する。好ましくは、ひとたびファイアウォールが接続の責任をプレ・フィルタリング・モジュールへ移動させると、あるいは接続を“オフ・ロードされた”にすると、ファイアウォールは、接続が終了されるために、接続の間にタイムアウトが生じるまで、あるいはパケットが、セッションが終了したことを表示する特定のセッション制御フィールド値（例えばＩＰネットワークを備えた好ましい実施のためにFIN/RSTフラッグがセットされること）と共に、受信されるまで、これらの接続からさらなるパケットを受信しない。“タイムアウト”は、パケットが前もって定められた期間の間ファイアウォールによって受信されない場合に生じる。」
　
　ロ．「Referring now to the drawings, Figure 1 is a schematic block diagram of a system according to the present invention. A system 10 features a protected network 12, which is a packet-switched network, such that data is transmitted in the form of packets. Protected network 12 is separated from an external packet-switched network 14 by a gateway 16, which could optionally be any type of computational device, also termed herein anintermediate node. 
　
External network 14 could optionally be the Internet, for example. Gateway 16 is connected to each of external network 14 and protected network 12 through a hardware connector, shown herein as a NIC 17. 
　
Gateway 16 operates a firewall 18 for performing packet analysis and packet filtering. Packets which are permitted to pass through gateway 16 from external network 14 are then received by one of a plurality of protected nodes 20, which are connected to protected network 12. Such network traffic is typically bi-directional, such that packets are received by gateway 16 from protected network 12 for transmission to external network 14 and vice versa. 
　
Firewall 18 is preferably implemented as previously described in U. S. Patent Nos. 5,835,726 and 5,606,668. Firewall 18 features a packet filter 22 for performing packet filtration. Packet filter 22 in turn is preferably composed of an analysis module 24 for analyzing packets and a rule base 26. Rule base 26 preferably contains one or more rules which are defined according to the preferences of the system administrator or other controlling user. Analysis module 24 extracts and compares the contents of the analyzed packets to the rules in rule base 26. If the result of the comparison is such that the packet is permitted according to rule base 26, then packet filter 22 permits the packet to enter protected network 12. 
　
Alternatively, if the packet is not permitted according to rule base 26, then the packet is optionally dropped. The packet may also optionally be determined to be not permitted if rule base 26 does not specifically allow the packet to be passed. 」
（８頁第１３行−９頁１１行）
　（邦訳）
　「図面を参照すると、図１は本発明によるシステムの概略ブロック図である。システム１０は、データがパケットの形態で送られるように、パケット・スイッチング・ネットワークとなっている保護されたネットワーク１２を特徴とする。保護されたネットワーク１２は、随意でいかなるタイプの計算デバイスでもあり、ここでは“中間ノード”と称されるゲートウェイ１６によって外部のパケット・スイッチング・ネットワーク１４から切り離されている。外部ネットワーク１４は随意で、例えばインターネットでありうる。ゲートウェイ１６は、ここではＮＩＣ１７として示されるハードウェア・コネクタを通じて、外部ネットワーク１４、保護されたネットワーク１２の各々に接続される。
  ゲートウェイ１６は、パケット解析及びパケットのフィルタリングを実行するためのファイアウォール１８を作動させる。外部ネットワーク１４からゲートウェイ１６を通過することが認可されたパケットは、保護されたネットワーク１２に接続される、保護された複数のノード２０のうち１つによって受信される。このようなネットワーク・トラヒックは外部ネットワーク１４へ送るために、保護されたネットワーク１２からゲートウェイ１６によってパケットが受信されるように、そしてその逆もまた同様であるように、典型的には双方向である。
  ファイアウォール１８は好ましくは、米国特許第５，８３５，７２６号及び第５，６０６，６６８号に前述されているように実施される。ファイアウォール１８は、パケットのフィルタリング処理を実行するためのパケット・フィルター２２を特徴とする。パケット・フィルター２２は次に、パケットを解析するための解析モジュール２４及び規則ベース２６からなる。規則ベース２６は好ましくは、システム管理者あるいは他の制御ユーザの選択に従って定められる、１つあるいはそれ以上の規則を含む。解析モジュール２４は解析されるパケットの内容を抽出し、規則ベース２６の規則と比較する。比較の結果、パケットが規則ベース２６により認可される場合、パケット・フィルター２２はパケットが保護されたネットワーク２２に入ることを認可する。
  また、パケットが規則ベース２６により認可されない場合、パケットは随意でドロップされる。パケットはまた随意で、規則ベース２６が特にパケットが通過するのを許可しない場合、認可されないように判断する。」
　
　ハ．「These features of firewall 18 are preferably implemented as previously described in U. S. Patent Nos. 5,835,726 and 5,606,668. However, passing all packets through firewall 18 before they are allowed to enter gateway 16 places a large computational burden on firewall 18. Therefore, according to the present invention, gateway 16 also features a pre-filtering module 30 which receives the packets before firewall 18, but which is preferably directly connected to protected network 12. Pre-filtering module 30 also preferably receives instructions from firewall 18, concerning packets which are permitted to enter protected network 12. These instructions are more preferably determined by firewall 18 from an analysis of one or more previously received and related packets, such that if a previously received and related packet has been permitted to enter protected network 12, then the current packet should also be permitted to enter protected network 12. Thus, if pre-filtering module 30 determines that the current packet is permitted to enter, then preferably pre-filtering module 30 passes the packet directly through to protected network 12. 
In order to increase the efficiency of operation of pre-filtering module 30, preferably pre-filtering module 30 can only perform restricted analysis of each packet. Specifically, more preferably only a portion of each packet is analyzed by pre-filtering module 30. Most preferably, pre-filtering module 30 analyzes each packet only with regard to a simple comparison. Bysimple comparison, it is meant that the information is extracted in the form of one or more predefined parameters which are compared to a predefined pattern of such parameters. 
　
In a particularly preferred example of a simple comparison, the packet is only analyzed until pre-filtering module 30 is able to determine whether the packet has been received from a permitted data transmission. Such a permitted transmission may be termed a connection, between a source node which initiates the connection, for example from external network 14, to a destination node which accepts the connection, for example a protected node 20. It is understood that once the connection has been established, communication between the source node and destination may optionally be bi-directional. 
　
With regard to packet analysis, aconnectionis defined according to at least one, and preferably a plurality of, parameters which describe the data transmission to which the packet belongs. Examples of these parameters include but are not limited to, the source address and port of the packet; the destination address and port of the packet; the protocol of the packet and the interface from which the packet was received. The connection is used to classify the packet, and to determine whether the packet is permitted to enter to, or to leave from, protected network 12. 
　
Firewall 18 defines each connection from an analysis of one or more previously received and examined packets. Firewall 18 inspects the contents of such packet or packets, and based upon the output of analysis module 24 with rulebase 26, determines whether packets from the corresponding connection should be permitted to enter and/or leave protected network 12. In addition, from the rules which are stored in rule base 26, analysis module 24 is able to determine one or more actions which should be associated with each connection. Examples of such actions include, but are not limited to, performing an accounting action in order to count the amount of data in the packet, encrypting/decrypting the packet, performing network address translation (NAT) by rewriting the address fields, and so forth. A preferred example for modifying the packet is to mark the packet, by assigning a priority number to the packet by pre-filtering module 30, according to the instructions of firewall 18. This priority number determines the order of transmission of the packet, and hence itspriority. 
　
Firewall 18 then passes the relevant instructions concerning at least whether the packet is permitted to enter protected network 12, and more preferably, the actions which should be taken with subsequent packets from this connection, to pre-filtering module 30. 」
（９頁第２７行−１１頁２５行）
　（邦訳）
　「ファイアウォール１８のこれらの特徴は、好ましくは米国特許第５，８３５，７２６号及び第５，６０６，６６８号に前述されたように実施される。しかしながら、ゲートウェイ１６に入ることを認可される前に、全てのパケットにファイアウォール１８を通過させることは、ファイアウォール１８上に多大な計算上の負荷を生じる。それゆえ、本発明により、ゲートウェイ１６は、ファイアウォール１８よりも前にパケットを受信し、好ましくは保護されたネットワーク１２に直接接続された、プレ・フィルタリング・モジュール３０を特徴とする。また、プレ・フィルタリング・モジュール３０は好ましくは、保護されたネットワーク１２に入ることを認可されたパケットに関して、ファイアウォール１８から通知を受信する。これらの通知は、前に受信され、関連したパケットが保護されたネットワーク１２に入ることを認可された場合、現在のパケットもまた、保護されたネットワーク１２に入ることを認可されるように、さらに好ましくは、１つあるいはそれ以上の、前に受信され、関連するパケットの解析からファイアウォール１８によって決定される。従って、プレ・フィルタリング・モジュール３０が、現在のパケットが入ることは認可されると決定する場合、プレ・フィルタリング・モジュール３０は好ましくはそのパケットを直接、保護されたネットワーク１２へパスする。
  プレ・フィルタリング・モジュール３０の操作効率を増加させるために、好ましくは、プレ・フィルタリング・モジュール３０は各パケットの限定された解析しか実行することができない。明確には、さらに好ましくは、各パケットの１部分のみがプレ・フィルタリング・モジュール３０によって解析される。最も好ましくは、プレ・フィルタリング・モジュール３０は、各パケットを単純な比較に関してのみ解析する。“単純な比較”によって、情報は、１つあるいはそれ以上の前もって定められたパラメータの前もって定められたパターンと比較される該パラメータによって引き出されることが意図される。
  特に好ましい単純な比較の例において、パケットはプレ・フィルタリング・モジュール３０が、そのパケットが認可されたデータ転送から受信されたかどうか決定することができるまで、ただ解析されるのみである。このような認可された送信は、接続を開始するソース・ノード（例えば外部ネットワーク１４）から、接続を受理する宛先ノード（例えば保護されたノード２０）との間の接続と称される。ひとたび接続が確立されると、ソース・ノードと宛先の間の接続は随意で双方向になる。
  パケット解析に関して、“接続”は、データ送信をパケットが属するところに表示する、少なくとも１つの、好ましくは複数のパラメータによって決定される。これらのパラメータの例は、これに限定されないが、ソース・アドレス及びパケットのポート、宛先アドレス及びパケットのポート、及びパケットのプロトコル及びパケットがそこから受信されるインタフェースを含む。接続はパケットを分類するために、及びパケットが保護されたネットワーク１２に入る、あるいはそこから出ることを認可されたかどうか決定するために用いられる。
  ファイアウォール１８は、１つあるいはそれ以上の前に受信され調べられたパケットの解析から各接続を決定する。ファイアウォール１８は、このようなパケット（複数可）の内容を検査し、規則ベース２６を伴った解析モジュール２４の出力に基づいて、対応する接続からのパケットが保護されたネットワーク１２に入ること、及び／又はそこから出ることが認可されるかどうかを決定する。さらに、規則ベース２６中の格納された規則から、解析モジュール２４は、接続と関連付けられる１つあるいはそれ以上のアクションを決定することができる。このようなアクションの例はこれらに限定されないが、パケット中のデータ量を計算するための計算アクション、パケットの暗号化／暗号解読、及びアドレス・フィールドの再書き込みによるネットワーク・アドレス転送（ＮＡＴ）の実行等を含む。パケットを変更するための好ましい例は、ファイアウォール１８の通知に従って、プレ・フィルタリング・モジュール３０により、優先番号をパケットに割り当てることによって、パケットをマークすることである。この優先番号は、パケットの転送の順番を決定し、したがって“優先順位”を決定する。
  ファイアウォール１８は、少なくともパケットが保護されたネットワーク１２に入ることが認可されたかどうかについて関連する通知をパスし、さらに好ましくはこのアクションは、この接続からプレ・フィルタリング・モジュール３０へ、その後に続くパケットに対しても取られるべきである。」
　
　ニ．「For this implementation, pre-filtering module 30 may be described as a device, preferably featuring a memory 36. Pre-filtering module 30 features a connection database 32 for storing the relevant instructions from firewall 18, which is stored in memory 36. Connection database 32 stores at least the parameter or parameters of the packet which are required to define the connection, but also preferably stores at least one action to be performed on packets from that connection. 」
（１２頁２７行−１３頁３行）
　（邦訳）
　「この実施にとって、プレ・フィルタリング・モジュール３０は「デバイス」として、好ましくはメモリ３６を特徴付けるものとして、詳述される。プレ・フィルタリング・モジュール３０は、ファイアウォール１８から関連性の通知を格納するための、メモリ３６に格納される接続データベース３２を特徴付ける。接続データベース３２は、接続を定義するために要求されたパケットの少なくとも１つのパラメータ若しくは複数のパラメータを格納し、しかも、該接続からのパケットでの実行される少なくとも１つのアクションを好ましく格納する。」
　
　ホ．「Figure 3 is a flowchart of an exemplary method for operating the present invention. In step 1, a packet is received by the pre-filtering module. In step 2, at least one parameter of the packet is retrieved by the pre-filtering module. In step 3, the at least one parameter is used for examining the known connections, preferably by performing a look-up in a table of such known connections. 
　
In step 4a, if an entry is found for the packet, then the action or actions defined for this connection are performed by the pre-filtering module. In step Sa, the packet is forwarded to its destination. Steps 4a and 5a are not performed if the packet has certain session-control field values, such as a set SYN/FIN/RST flag for a packet transmitted over an IP network, in which case the packet is preferably forwarded to the firewall for handling. Such session-control field values are indicative of packets which carry information about the connection state, and are therefore important for the firewall to receive and analyze, in order to determine the state of the connection. 」
（１５頁７行−２０行）
　（邦訳）
　「図３は、本発明を操作するための初歩的な方法のフローチャートである。ステップ１では、パケットが、プレ・フィルタリング・モジュールによって受信される。ステップ２では、パケットの少なくとも１つのパラメータが、プレ・フィルタリング・モジュールによって修復される。ステップ３では、少なくとも１つのパラメータが、好ましくはそのような既知の接続の表に於ける探索を実行することによって、既知の接続を試験するために使用される。
  ステップ４ａでは、パケットのための入場が発見されれば、そうなるとこの接続の間に定義される１つのアクション若しくは複数のアクションが、プレ・フィルタリング・モジュールによって実行される。ステップ５ａでは、パケットがその宛先へ転送する。もしパケットがあるセッション制御フィールド値、例えばIPネットワーク上で転送されたパケットのための一連のSYN/FIN/RSTフラッグなど、を有すれば、そのようなパケットは操作によってファイアウォールへ好ましく転送される場合に於いて、ステップ４ａ及び５ａは実行されない。そのようなセッション制御フィールド値は接続状態についての情報を運ぶパケットを暗示しており、且つ、接続の状態を決定するために、それ故ファイアウォールが受信及び解析することは重要である。」
　
　ヘ．「Turning again to the flowchart of Figure 3, alternatively, in step 4b, if an entry for the packet is not found in the table of connections, then the packet is forwarded to the firewall for handling. In step Sb, if the firewall determines that the connection to which the packet belongs is permitted, then the firewall optionally sends a message to the pre-filtering module with the necessary information concerning the new connection. Such a message preferably includes a key for identifying the new connection, information concerning address translation and optionally information concerning encryption, both of which are processes which involve the modification of the packet itself. The key for identifying the new connection preferably includes such information as the source IP address and port, the destination IP address and port, the protocol field and optionally the interface (s) from which a packet is expected to be received, for anti-spoofing protection. The address translation information includes the translated source IP address and port, the destination IP address and port. 」
（１６頁３行−１７行）
　（邦訳）
　「再度図３のフローチャートへ話を戻せば、代替的に、ステップ４ｂでは、もしパケットための入場が接続の表に於いて発見されれば、パケットは、操作に於いてファイアウォールへ転送される。ステップ５ｂでは、もしファイアウォールがパケットが属する接続が認可されれば、そしてファイアウォールが選択的に、メッセージをプレ・フィルタリング・モジュールへ新しい接続に関する必要な情報を伴い送信される。そのようなメッセージは好ましくは、新しい接続を識別する鍵、アドレス・コード変換に関する情報及び選択的にコード化に関する情報、パケットそれ自体の変更を含むプロセスである両方を含む。新しい接続を認識するための鍵は、ソースIPアドレスとポート、宛先IPアドレスとポート、プロトコル・フィールドと選択的にパケットが受信されると予想されるインタフェースなどの情報を、対なりすまし保護のために好ましくは含んでいる。アドレス・コード変換の情報は、コード変換されたソースIPアドレスとポート、宛先IPアドレスとポートを含んでいる。」
　
　上記イ．〜ヘ．の記載及び関連する図面並びにこの分野における技術常識を考慮すると、
　引用例１では、上記ロ．の記載および関連する【図１】示されるように「外部ネットワーク」と「保護されたネットワーク」の間に「ＮＩＣ」として示される「ハードウェア・コネクタ」を通じて「中間ノード」であるゲートウェイが接続され、双方向の通信が行われている。上記「中間ノード」は、「ファイアウォール」を含み、「ファイアウォール」は、パケットの内容を「規則ベース」の１つ以上の規則と比較して、パケットが認可された場合に、保護されたネットワークに入ることを認可している。また、認可されない場合に、パケットは「ドロップ」されている。技術常識より、ドロップすればパケットは「消失」することとなる。ここで、ファイアウォールと保護されたネットワークの間には、ハードウェア・コネクタ（ＮＩＣ）があるので、認可されたパケットは、「保護されたネットワークに接続されたハードウェア・コネクタ（ＮＩＣ）」へ転送されることにもなる。
　上記イ．〜ヘ．の記載および関連する図面には、「プレ・フィルタリング・モジュール」を備えたファイアウォールについて記載があり、プレ・フィルタリング・モジュールは、パケットが前回のファイアウォールによって認可された接続（コネクション）から受信されたものか否かを解析し、認可された接続（コネクション）であれば、保護されたネットワークに転送している。ここで、認可された接続（コネクション）は、図３に関する記載から「既知の接続（コネクション）」であり、認可され転送されるパケットは、「認可された接続（コネクション）の一部」であるといえる。また、プレ・フィルタリング・モジュールと保護されたネットワークの間には、ハードウェア・コネクタがあるので、認可されたパケットは、「保護されたネットワークに接続されたハードウェア・コネクタ（ＮＩＣ）」へ転送されることにもなる。
　特に上記イ．，上記ニ，上記ヘ．および【図３】に記載されているように、プレ・フィルタリング・モジュールにおいてパケットが既知の接続（コネクション）から受信されたものでないと解析された場合、すなわち、既知の接続（コネクション）の一部でなければ、ファイヤウォールに転送される。ファイアウォールではパケットの内容を「規則ベース」の１つ以上の規則と比較して、パケットが認可されるか否か解析している。認可されれば、ファイアウォールはプレ・フィルタリング・モジュールへ「認可された新しい接続（コネクション）を認識するための情報」を送信し、プレ・フィルタリング・モジュールのメモリに「接続データベース」として入れられる。
　なお、上述のように、プレ・フィルタリング・モジュールを備えたファイアウォールは、一連のパケットが既知の接続（コネクション）の一部であるのか否かという状態（ｓｔａｔｅ：ステート）に応じて解析しているので技術常識から、ステートフル・インスペクションを行うファイアウォールであるといえ、このステートフル・インスペクションにより、保護されたネットワークのセキュリティを図っているものである。
　
　以上のことから、上記引用例１には以下の発明（以下、「引用発明」という。）が開示されている。
　
（引用発明）
　「外部ネットワークから保護されたネットワークに出入りするパケット・フローを制御するためのステートフル・インスペクションによるネットワーク・セキュリティを行う中間ノードであって、上記中間ノードは外部ネットワークに接続されたハードウェア・コネクタ（ＮＩＣ）及び保護されたネットワークに接続されたハードウェア・コネクタ（ＮＩＣ）とプレ・フィルタリング・モジュールを備えたファイアウォールとを含み、パケットが外部ネットワークから流入する間に、上記外部ネットワークに接続されたハードウェア・コネクタ（ＮＩＣ）は各パケットを上記パケットが既知の認可された接続（コネクション）の一部であるかないかを解析するために上記プレ・フィルタリングモジュールへ転送し、
　上記パケットが既知の認可された接続（コネクション）の一部であれば、上記保護されたネットワークに接続されたハードウェア・コネクタ（ＮＩＣ）へかつ上記保護された内部ネットワーク上へ転送され、
　上記パケットが既知の認可された既存の接続（コネクション）の一部でなければ、ファイアウォールにおいて上記パケットが上記保護されたネットワークへ認可されるか否かを決定する規則ベースの１以上の規則と比較され、
　上記パケットが認可されるのであれば、上記保護されたネットワークに接続されたハードウェア・コネクタ（ＮＩＣ）へかつ上記保護された内部ネットワーク上へ転送されかつ認可された新しい接続（コネクション）を認識するための情報は接続データベースに入れられ、
　上記パケットが認可されなければ、ドロップされ消失し、
上記中間ノードは、外部ネットワークと保護されたネットワークとの間に設置される中間ノード。」
　
　Ｂ．同じく原審の拒絶の理由に引用例５として引用された「ＳＵＲＶＥＹ＠ＳＥＲＶＥＲ　攻撃・侵入検知システム　アクセスを水際で監視　限界を知って運用すべき」，日経インターネットテクノロジー５月号，１９９９年４月２２日発行，ｐ．１０２−１０９（以下、「引用例２」という。）には以下の事項が記載されている。
　イ．「「ステルス・モード」で監視
　ネットワーク監視型の代表的な製品が，米Internet Security Systems (ISS) 社のRealSecure Network Engine (RealSucure/NE) だ。この製品は「ステルス・モード」と呼ぶ方法でネットワークを監視する（図４）。監視を行うハードウェアにＮＩＣ(Network Interface Card) を２枚装着し，一方をインターネットに，もう一方を社内ＬＡＮに接続する。このときインターネットに接続したカードにはＩＰアドレスを振らない。管理者のコンソールとのやりとりは社内ＬＡＮを経由して行う。（こちらにはＩＰアドレスを振る）。
　疑わしいアクセスを検知すると，その内容がコンソールにリアルタイムで表示される（写真１）。危急の度合いを３段階に設定可能で，見つけても単にログをとるだけにしたり，やや危急度が高いものはメールで管理者に知らせるといったことが可能だ。「管理者の権限でＦＴＰ(File Transfer Protocol） 接続している」などの明らかに危険なＴＣＰセッションを見つけると，セッションに割り込んで直ちに切断してしまうこともできる。」
（１０４頁右欄２０行−１０５頁左欄１２行）
　
（３）対比・判断
　引用発明の「外部ネットワークに接続されたハードウェア・コネクタ（ＮＩＣ）」、「保護されたネットワークに接続されたハードウェア・コネクタ（ＮＩＣ）」は、それぞれパケットを中間ノードに流入させるインターフェイスおよびパケットを中間ノードから流出させるインターフェイスであるといえ、さらに技術常識としてＮＩＣはNetwork Interface Cardの略であるから、それぞれ補正後の発明の「第１のネットワークカード」、「第２のネットワークカード」に相当する。 
　引用発明の「保護されたネットワーク」は、その内部のユーザからみれば内部のネットワークとなるから、補正後の発明の「内部ネットワーク」に相当する。
　引用発明の「ステートフル・インスペクションによるセキュリティを行う中間ノード」は、ネットワーク・セキュリティ保護のための装置（デバイス）であるから、補正後の発明の「ステートフル・インスペクション・ブリッジ・ネットワーク・セキュリティ・デバイス」と「ステートフル・インスペクション・ネットワーク・セキュリティ・デバイス」である点で共通する。
　引用発明の「プレ・フィルタリング・モジュール」は「ファイアウォール」に備えられているから、「ファイアウォール」の一部分であり、また、引用発明の「ファイアウォール」は、ステートフル・インスペクションを行っている。したがって、引用発明の「プレ・フィルタリング・モジュール」及び「ファイアウォール」の両者は、補正後の発明の「ステートフル・インスペクション・ファイアウォール」および、これを短く称呼した「ファイアウォール」に相当する。
　引用発明の「既知の接続（コネクション）」に関して、「既知」であるから「既存」といえ、引用発明の「接続（コネクション）」は「セッション」を意味しているといえるので、引用発明の「既知の接続（コネクション）」は補正後の発明の「既存のセッション」に相当する。
　引用発明の「認可」、「解析」は、それぞれ補正後の発明の「受容」、「検査」に相当する。
　引用発明の「１以上の規則」は、補正後の発明の「ルールセット」に相当する。
　引用発明の「認可された新しい接続（コネクション）を認識するための情報」は、補正後の発明と同様の表現を用いれば「接続（コネクション）」であり、接続（コネクション）はセッションに含まれるものであるから、補正後の発明の「セッション」に相当する。
　引用発明の「接続データベース」と補正後の発明の「ステートフル・インスペクション・テーブル」は、両者ともに「記憶する手段」である点で一致する。
　
　したがって、補正後の発明と引用発明は、以下の点で一致ないし相違している。
（一致点）
　「内部ネットワークに出入りするパケット・フローを制御するためのステートフル・インスペクション・ネットワーク・セキュリティ・デバイスであって、上記デバイスは第１及び第２のネットワーク・カードとステートフル・インスペクション・ファイアウォールとを含み、パケットが流入する間に、上記第１のネットワーク・カードは各パケットを上記パケットが既存のセッションの一部であるかないかを決定する検査のために上記ファイアウォールへ転送し、
（ｉ）上記パケットが既存のセッションの一部であれば、これは上記第２のネットワーク・カードへかつ上記内部ネットワーク上へ転送され、
（ｉｉ）上記パケットが既存のセッションの一部でなければ、これは上記パケットが上記ネットワークへ受容可能であるか受容可能でないかを決定するルールセットと比較され、
　（ａ）上記パケットが受容可能であれば、上記第２のネットワーク・カードへかつ上記内部ネットワークへ転送されかつセッションは記憶する手段へ入れられ、
　（ｂ）上記パケットが受容可能でなければ、これはドロップされて消失される、
ネットワーク・セキュリティ・デバイス。」
　
（相違点）
（１）補正後の発明では、パケットが「データ・リンク層経由」でデバイスに流入し、かつ、パケットが「データ・リンク層経由」で内部ネットワークへ転送されているが、引用発明では、どのような層を経由してパケットがデバイスに流入し、どのような層を経由して内部ネットワークに転送されているのか不明である点。
（２）ステートフル・インスペクション・ネットワーク・セキュリティ・デバイスに関し、補正後の発明では、「ステートフル・インスペクション・ブリッジ・ネットワーク・セキュリティ・デバイス」であるとされているが、引用発明では、ステートフル・インスペクションによるセキュリティを行うデバイスであり、ブリッジ・デバイスではない点。
（３）「記憶する手段」に関し、補正後の発明は「ステートフル・インスペクション・テーブル」であるのに対し、引用発明は、「接続データベース」である点。
（４）補正後の発明では、「パケットが流出する間に、アウトバウンド・パケットは上記第２のネットワーク・カードを通過し、ここでこれが既存のセッションの一部であるかないかを決定するために検査され、そうであればこれは上記デバイスを出るために上記第１のネットワーク・カードへ転送され、そうでなければこれは上記ルールセットと比較され、上記パケットが受容可能であればこれは上記デバイスを出るためにデータ・リンク層経由で上記第１のネットワーク・カードへ転送され、受容可能でなければこれはドロップされて消失」する構成を有しているのに対し、引用発明では、このようなパケットが流出する方向の構成について記載されていない点
（５）補正後の発明では、「第１及び第２のネットワーク・カードは公的にルーティングされるＩＰアドレスを保有」していないのに対し、引用発明では、第１及び第２のネットワーク・カードがＩＰアドレスを有するかどうか不明な点。
（６）補正後の発明では、デバイスは、ルータとハブまたはサーバ・マシンとの間に設置されるのに対し、引用発明では、デバイスは、外部ネットワークと保護されるネットワークとの間に設置されている点。
　
　上記相違点について検討する。
　まず、上記相違点（１）、（２）、（５）、（６）について検討する。
　引用発明のファイアウォールは、外部ネットワークと保護されたネットワークの間に設置されることは記載されているが、ネットワーク機器（ルータ，ハブ等）や情報機器（サーバ、クライアント等）との位置関係においてどのように接続されるかは記載がない。
　上記Ｂ．のイ．に記載したように引用例２には、ネットワークのパケットを監視する手法として、パケットの監視を行うハードウェアにＮＩＣ（ Network Interface Card ）を２枚装着し、一方をインターネットに他方をＬＡＮに接続して監視すること、そして、該２枚のＮＩＣにはＩＰアドレスを振らない、すなわち、ＩＰアドレスを保有しないで監視を行うことが記載されている。
　ここで、ファイアウォールというパケットの監視を行っている引用発明に引用例２記載のパケットの監視に関する手法を採用し、ファイアウォールによるパケット監視位置をインターネットという外部ネットワークとＬＡＮという内部ネットワークとの間とすることは当業者であれば適宜実施できることであり、その際、インターネットに接続される一方のＮＩＣをネットワーク機器、例えば、ルータからの経路に接続し、ＬＡＮに接続される他方のＮＩＣをＬＡＮの情報機器、例えば、サーバへの経路に接続することを当業者であれば容易に設定可能である。したがって、相違点（６）は格別なものでない。
　また、引用発明の２枚のハードウェア・コネクタ（ＮＩＣ）、すなわち、ネットワーク・カードは、引用例２記載の技術を採用することからＩＰアドレスを保有しないものとなる。したがって、相違点（５）は格別なものでない。
　さらに、引用発明のファイアウォールはインターネットとＬＡＮの間でパケットを監視することになるので、データ・リンク層経由でパケットを流入させ、受容可能となった際、ＬＡＮに対してデータ・リンク層経由でパケットを流出させることを当業者であれば容易に想到する。そうすれば、引用発明のファイアウォールはブリッジとして振る舞う、すなわち、ブリッジ・デバイスとなる。したがって、相違点（１），（２）は格別なものでない。
　
　ついで、上記相違点（３）について検討する。
　「セッション」を記憶する手段に関し、引用発明では「データベース」とのみ記載されており、どのような形式で記憶しているのか不明であるが、情報通信分野において、記憶する情報をテーブルの形式で記憶することは、周知の手法にすぎないので、引用発明においても「データベース」を「テーブル」の形式とすることは当業者にとって容易に実施し得ることである。
　なお、記憶される「セッション」は、ファイアウォールにおいてステートフル・インスペクションに用いられるので、引用発明の「セッション」を記憶する「テーブル」は、「ステートフル・インスペクション・テーブル」というべきものになる。
　
　最後に、上記相違点（４）について検討する。
　引用発明におけるデバイスは、外部ネットワークから保護されたネットワークに対して流入するパケットに対してファイアウォールとして機能し、保護されたネットワークにセキュリティを提供している。引用発明では、外部ネットワークと保護されたネットワーク間で双方向に通信が行われており、また、引用例１の段落【０００４】には、ファイアウォールによりセキュリティを提供する当該技術の背景に関する記載として「単一ネットワーク内及び接続しているネットワーク間の両方での不法な通信の試みを防ぐ」という記載があることから、当業者であれば、引用発明の外部ネットワーク側を「保護されるネットワーク」として、外部ネットワークに流出する方向へのアウトバウンド・パケットに対してもセキュリティを提供すること、すなわち上記相違点（４）に係る構成を有するようにすることを容易に想到するものである。
　
　そして、補正後の発明に関する作用・効果も、引用例１および引用例２記載の発明から当業者が予測できる範囲のものである。
　
　以上のとおりであるから、上記補正後の発明は上記引用例１および引用例２記載の発明に基いて容易に発明することができたものであるから、特許法第２９条第２項の規定により、特許出願の際独立して特許を受けることができないものである。
　
４．結語
　以上のとおり、本件補正は、補正後の発明が特許出願の際独立して特許を受けることができないものであるから、平成１８年法律第５５号附則第３条第１項によりなお従前の例によるとされる同法による改正前の特許法第１７条の２第５項において準用する特許法第１２６条第５項の規定に適合していない。
　したがって、本件補正は、特許法第１５９条第１項において読み替えて準用する同法第５３条第１項の規定により却下すべきものである。
　
第３．本願発明について
１．本願発明
　本件補正は上記のとおり却下されたので、本願発明は、上記「第２．補正却下の決定」の「１．本願発明と補正後の発明」の項で「本願発明」として認定したとおりである。　
　
２．引用発明及び周知技術
　引用発明及び周知技術は、上記「第２．補正却下の決定」の項中の「（２）引用発明及び周知技術」及び「（３）対比・判断」の項で認定したとおりである。
　
３．対比・判断
　そこで、本願発明と引用発明とを対比するに、本願発明は上記補正後の発明から、当該補正に係る構成を省いたものである。
　そうすると、本願発明の構成に当該補正に係る限定を付加した補正後の発明が、上記「第２．補正却下の決定」の項中の「３．独立特許要件について」の項で検討したとおり、引用例１および引用例２記載の発明に基いて容易に発明することができたものであるから、上記補正後の発明から当該補正に係る限定を省いた本願発明も、同様の理由により、容易に発明できたものである。
　
４．むすび
　以上のとおり、本願発明は、上記引用例１および引用例２に記載の発明に基いて当業者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
　
　よって、結論のとおり審決する。