【事件の表示】
　特願２００４−１０４５５２「セキュリティチェックシステムおよびセキュリティチェック方法」拒絶査定不服審判事件〔平成１７年１０月２０日出願公開、特開２００５−２９３００７〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
１．手続の経緯 
　
　本願は、平成１６年３月３１日の出願であって、平成２０年１０月７日付けで拒絶理由通知がなされ、同年１２月１２日付けで手続補正がなされたが、平成２１年２月５日付けで拒絶査定がなされ、これに対し、同年３月１９日に審判請求がなされたものである。
　
２．本願発明
　
　本願の特許請求の範囲の請求項１に係る発明（以下、「本願発明」という。）は、上記平成２０年１２月１２日付け手続補正書により補正された明細書及び図面の記載からみて、その特許請求の範囲の請求項１に記載された以下のとおりのものと認める。
　
「【請求項１】
　ネットワークを介して業務用サーバにアクセスするクライアント端末を備え、
　前記クライアント端末は、
　当該クライアント端末が通信を行う際のデータのフィルタリングを行うための条件を示す条件データとして、業務用サーバへのデータの通信を不許可とする制限付き条件データと、前記業務用サーバへのデータの通信を許可する無制限条件データとを予め記憶する条件記憶手段と、
　前記条件データに従って、前記クライアント端末が通信を行う際のデータのフィルタリングを行うフィルタリング手段と、
　前記クライアント端末のセキュリティ状態が、前記クライアント端末に要求されるセキュリティ状態の条件を示すセキュリティ条件に合致するか否かを判断するセキュリティ判断手段と、
　前記セキュリティ判断手段の判断結果にもとづいて、前記クライアント端末が前記業務用サーバにアクセスすることを許可するアクセス許可手段とを含み、
　前記アクセス許可手段は、
　前記クライアント端末がネットワークに最初に接続するときに、前記条件記憶手段が記憶する条件データのうちの前記制限付き条件データを選択することによって、前記クライアント端末が前記業務用サーバにアクセスすることを不許可とし、
　前記クライアント端末がネットワークに接続した後、前記セキュリティ判断手段が前記セキュリティ条件に前記クライアント端末のセキュリティ状態が合致すると判断したことを条件に、選択する条件データを、前記制限付き条件データから前記無制限条件データに切り替えることによって、前記クライアント端末が前記業務用サーバにアクセスすることを許可し、
　前記フィルタリング手段は、前記アクセス許可手段が選択した条件データに従って、前記クライアント端末が通信を行う際のデータのフィルタリングを行う
　ことを特徴とするセキュリティチェックシステム。」
　
３．引用文献
　
　原査定の拒絶の理由に引用された、吉田晃，「ノートＰＣからのウイルス侵入を防げ」，日経Ｉｎｔｅｒｎｅｔ  Ｓｏｌｕｔｉｏｎｓ，日本，日経ＢＰ社，２００３年１１月２２日，第７７号，ｐ．７７〜ｐ．９０（以下、「引用文献」という。）には、次の事項が記載されている。
　
（ア）「社外から持ち込まれるノートＰＣから社内ネットを守るために，多くの企業はセキュリティ・ポリシーで使用方法を定めている。…（中略）…，一人がポリシーを守らなかっただけでも，…（中略）…，業務が事実上ストップしてしまうことさえあり得る。」（７９頁中欄８行目〜右欄１３行目）
　
（イ）「もう一つは，接続されたノートＰＣの健全性をチェックする“検疫”専用のネットワークを構築すること（図４）。検疫ネットは，社内ネットと論理的に切り離す。検疫ネットでノートＰＣをチェックしたあと，問題がなければ社内ネットへの接続を許可する。これにより，汚染されたノートＰＣが接続された場合でも，ウイルスは検疫ネットからは出られず，社内ネットには影響が及ばない（対策２を参照）。」（８０頁右欄７行目〜１７行目）
　
（ウ）「管理サーバーを用いて社内ネットワークに接続されるクライアント端末内のパーソナル・ファイアウォールの制御ルールを集中管理する」態様を示す図（８０頁図３）
　
（エ）「社内ネットワークに接続されるクライアント端末内のパッチやウイルスのパターン・ファイルの適用状況を管理する検疫サーバーを用いたセキュリティチェックシステムの構築例」を示す図（８０頁図４）
　
（オ）「社内ネットワーク上のＰＣがサーバーに接続されている」態様を示す図（８１頁図６）
　
（カ）「この仕組みはパーソナル・ファイアウォールで実現できる。パーソナル・ファイアウォールを「ウイルスを外に出さない」ためのツールとして活用し，各ノートＰＣ内にウイルスを閉じ込める。パーソナル・ファイアウォールは，クライアントＰＣで動作するソフトウエアである。…（中略）…。接続を許すのは，ＰＣから開始した通信だけ。これもパケット・フィルタリング機能で，許可する通信とそうでない通信を制御する。これが基本機能である。」（８２頁中欄１０行目〜右欄１３行目）
　
（キ）「パーソナル・ファイアウォールの基本機能だけで，このパケットを遮断するのは容易でない。ＰＣから接続の開始を要求するため，遮断するには，あて先ポートやあて先ＩＰアドレスなどをパラメータにしたパケット・フィルタリング・ルールを設定しておかなくてはならない。」（８２頁右欄２８行目〜８３頁左欄７行目）
　
（ク）「社内ネットワークに接続したノートＰＣ上のパーソナル・ファイアウォールがセキュリティチェックを行い、社内ネットワーク上のサーバー等へのアクセスを制限（許可／不許可）している」態様を示す図（８２頁図１）
　
（ケ）「パッチやウイルスのパターン・ファイルの適用状況を管理し，それに合わせてアクセス制限できる」（８２頁図１吹き出し）
　
（コ）「ノートＰＣの利用場所などに応じて，ルールを柔軟に決定できる機能も必要になる。…（中略）…それぞれの環境に合わせた複数のルールを作っておき，それぞれの環境に応じて，ノートＰＣ上で自動的にルールが切り替わるのが望ましい。ウイルスのパターン・ファイルやパッチのバージョンをチェックし，古ければ厳しいルールを割り当て，最新版ならルールを緩くする機能を備えていれば，さらに柔軟に運用できる。」（８３頁中欄１５行目〜８４頁左欄３行目）
　
（サ）「まず，ネットワークに接続されたＰＣは，最初に検疫サーバーだけにアクセスできる…（中略）…ＰＣが検疫をパスすれば，…（中略）…社内ネットにアクセスできる…（中略）…。検疫サーバーとしては，最新のパターン・ファイルやパッチを自動的に適用するツールを配置する予定。ＰＣのウイルス・スキャン状況やパッチ適用状況を確認し，問題があれば最新データを配信する。検疫後，…（中略）…ＰＣに再起動を促す。」（８８頁右欄１３行目〜８９頁中欄１６行目）
　
（シ）「ＤＨＣＰサーバーを利用した検疫システムの構築例」を示す図（８８頁図１）
　
　（ア）における記載「社外から持ち込まれるノートＰＣから社内ネットを守るために，多くの企業はセキュリティ・ポリシーで使用方法を定めている。…（中略）…，一人がポリシーを守らなかっただけでも，…（中略）…，業務が事実上ストップしてしまうことさえあり得る。」、及び引用文献の図面（例えば、（オ）の「社内ネットワーク上のＰＣがサーバーに接続されている」態様を示す図等）からすると、ネットワークを介して業務用サーバにアクセスするノートＰＣを備え、ている態様が記載されていると解される。
　
　（カ）における記載「パーソナル・ファイアウォールは，クライアントＰＣで動作するソフトウエアである。…（中略）…。接続を許すのは，ＰＣから開始した通信だけ。これもパケット・フィルタリング機能で，許可する通信とそうでない通信を制御する。これが基本機能である。」、（キ）における記載「パーソナル・ファイアウォールの基本機能だけで，このパケットを遮断するのは容易でない。ＰＣから接続の開始を要求するため，遮断するには，あて先ポートやあて先ＩＰアドレスなどをパラメータにしたパケット・フィルタリング・ルールを設定しておかなくてはならない」、（コ）における記載「それぞれの環境に合わせた複数のルールを作っておき，それぞれの環境に応じて，ノートＰＣ上で自動的にルールが切り替わるのが望ましい。ウイルスのパターン・ファイルやパッチのバージョンをチェックし，古ければ厳しいルールを割り当て，最新版ならルールを緩くする機能を備え」、（ケ）における記載「パッチやウイルスのパターン・ファイルの適用状況を管理し，それに合わせてアクセス制限できる」、及び（ク）の「社内ネットワークに接続したノートＰＣ上のパーソナル・ファイアウォールがセキュリティチェックを行い、社内ネットワーク上のサーバー等へのアクセスを制限（許可／不許可）している」態様を示す図からすると、ノートＰＣは、ノートＰＣが通信を行う際のパケットのフィルタリングを行うための条件を示すフィルタリング・ルールとして、厳しいフィルタリング・ルールと、緩いフィルタリング・ルールとを予め記憶する機能（以下、「条件記憶手段」という。）、を有していると解される。
　
　（カ）における記載「パケット・フィルタリング機能で，許可する通信とそうでない通信を制御する。」、及び（キ）における記載「ＰＣから接続の開始を要求するため，遮断するには，あて先ポートやあて先ＩＰアドレスなどをパラメータにしたパケット・フィルタリング・ルールを設定しておかなくてはならない。」からすると、ノートＰＣは、フィルタリング・ルールに従って、前記ノートＰＣが通信を行う際のパケットのフィルタリングを行うフィルタリング機能（以下、「フィルタリング手段」という。）、を有していると解される。
　
　（コ）における記載「それぞれの環境に合わせた複数のルールを作っておき，それぞれの環境に応じて，ノートＰＣ上で自動的にルールが切り替わるのが望ましい。ウイルスのパターン・ファイルやパッチのバージョンをチェックし，古ければ厳しいルールを割り当て，最新版ならルールを緩くする機能を備え」からすると、ノートＰＣは、前記ノートＰＣのセキュリティ状態が、前記ノートＰＣに要求されるセキュリティ状態の条件を示すセキュリティ条件に合致するか否かを判断するセキュリティ判断機能（以下、「セキュリティ判断手段」という。）、を有していると解される。
　
　（ケ）における記載「パッチやウイルスのパターン・ファイルの適用状況を管理し，それに合わせてアクセス制限できる」、及び（ク）の「社内ネットワークに接続したノートＰＣ上のパーソナル・ファイアウォールがセキュリティチェックを行い、社内ネットワークへのアクセスを制限している」態様を示す図からすると、ノートＰＣは、セキュリティ判断手段の判断結果にもとづいて、前記ノートＰＣが業務用サーバにアクセスすることを許可するアクセス許可機能（以下、「アクセス許可手段」という。）、を有していると解される。
　
　（カ）における記載「パケット・フィルタリング機能で，許可する通信とそうでない通信を制御する。」、（キ）における記載「ＰＣから接続の開始を要求するため，遮断するには，あて先ポートやあて先ＩＰアドレスなどをパラメータにしたパケット・フィルタリング・ルールを設定しておかなくてはならない。」、及び（ケ）における記載「パッチやウイルスのパターン・ファイルの適用状況を管理し，それに合わせてアクセス制限できる」からすると、フィルタリング手段は、アクセス許可手段が選択したフィルタリング・ルールに従って、ノートＰＣが通信を行う際のパケットのフィルタリングを行う、態様が記載されていると解される。
　
　よって、（ア）〜（シ）における記載及びその関連する図面からすると、引用文献には、以下の発明（以下「引用発明」という）が記載されていると認められる。 
　
　ネットワークを介して業務用サーバにアクセスするノートＰＣを備え、
　前記ノートＰＣは、
　当該ノートＰＣが通信を行う際のパケットのフィルタリングを行うための条件を示すフィルタリング・ルールとして、厳しいフィルタリング・ルールと、緩いフィルタリング・ルールとを予め記憶する条件記憶手段と、
　前記フィルタリング・ルールに従って、前記ノートＰＣが通信を行う際のパケットのフィルタリングを行うフィルタリング手段と、
　前記ノートＰＣのセキュリティ状態が、前記ノートＰＣに要求されるセキュリティ状態の条件を示すセキュリティ条件に合致するか否かを判断するセキュリティ判断手段と、
　前記セキュリティ判断手段の判断結果にもとづいて、前記ノートＰＣが前記業務用サーバにアクセスすることを許可するアクセス許可手段とを含み、
　前記フィルタリング手段は、前記アクセス許可手段が選択したフィルタリング・ルールに従って、ノートＰＣが通信を行う際のパケットのフィルタリングを行う
　ことを特徴とするセキュリティチェックシステム。
　
４．対比 
　
　本願発明と引用発明とを対比する。
　
　引用発明の「ノートＰＣ」と本願発明の「クライアント端末」とは、ともにネットワークに接続するユーザー（クライアント）が使用する端末である点で共通する。
　
　引用発明の「パケット」と本願発明の「データ」とは、ともにネットワーク上を流れるデータである点で共通する。
　
　引用発明の「フィルタリング・ルール」と本願発明の「条件データ」とは、ともにクライアント端末（ノートＰＣ）がネットワークに接続して通信する際のデータ（パケット）をフィルタリングする条件（ルール）である点で共通する。
　
　引用発明の「条件記憶手段」は、本願発明の「条件記憶手段」に相当する。
　
　引用発明の「フィルタリング手段」は、本願発明の「フィルタリング手段」に相当する。
　
　引用発明の「セキュリティ判断手段」は、本願発明の「セキュリティ判断手段」に相当する。
　
　引用発明の「アクセス許可手段」は、本願発明の「アクセス許可手段」に相当する。
　
　よって、本願発明と引用発明とは、以下の点で一致し、また、相違している。
　
（一致点）
　
　ネットワークを介して業務用サーバにアクセスするクライアント端末を備え、
　前記クライアント端末は、
　当該クライアント端末が通信を行う際のデータのフィルタリングを行うための条件を示す条件データとして、厳しい条件データと、緩い条件データとを予め記憶する条件記憶手段と、
　前記条件データに従って、前記クライアント端末が通信を行う際のデータのフィルタリングを行うフィルタリング手段と、
　前記クライアント端末のセキュリティ状態が、前記クライアント端末に要求されるセキュリティ状態の条件を示すセキュリティ条件に合致するか否かを判断するセキュリティ判断手段と、
　前記セキュリティ判断手段の判断結果にもとづいて、前記クライアント端末が前記業務用サーバにアクセスすることを許可するアクセス許可手段とを含み、
　前記フィルタリング手段は、前記アクセス許可手段が選択したフィルタリング・ルールに従って、クライアント端末が通信を行う際のデータのフィルタリングを行う
　ことを特徴とするセキュリティチェックシステム。
　
（相違点１）
　
　本願発明における条件データが「業務用サーバへのデータの通信を不許可とする制限付き条件データと、前記業務用サーバへのデータの通信を許可する無制限条件データ」であるのに対して、引用発明は、「厳しいフィルタリング・ルールと、緩いフィルタリング・ルール」である点。
　
（相違点２）
　
　本願発明におけるアクセス許可手段が、「前記クライアント端末がネットワークに最初に接続するときに、前記条件記憶手段が記憶する条件データのうちの前記制限付き条件データを選択することによって、前記クライアント端末が前記業務用サーバにアクセスすることを不許可とし、前記クライアント端末がネットワークに接続した後、前記セキュリティ判断手段が前記セキュリティ条件に前記クライアント端末のセキュリティ状態が合致すると判断したことを条件に、選択する条件データを、前記制限付き条件データから前記無制限条件データに切り替えることによって、前記クライアント端末が前記業務用サーバにアクセスすることを許可」する態様を有する点。
　
　換言すれば、
　
　本願発明では、クライアント端末がネットワークに最初に接続するときに業務用サーバにアクセスすることを不許可とする態様を含んでいるのに対して、引用発明では、クライアント端末がネットワークに最初に接続するときに業務用サーバへのアクセスすることを不許可とするかどうか不明である点（以下、「相違点２−１」という。）、及び、
　
　本願発明では、セキュリティ条件を判断して「条件データ」を切り替えることによって業務用サーバへのアクセスを許可する態様を含んでいるのに対して、引用発明では、セキュリティ条件を判断して「フィルタリング・ルール（本願発明の「条件データ」に相当）」を切り替えることによって業務用サーバへのアクセスを許可するかどうか不明である点。（以下、「相違点２−２」という。）
　
５．判断
　
　相違点１について検討する。
　
　セキュリティ判断前に業務サーバへのアクセスを完全に不許可とすることは、社内ネットワークのセキュリティ確保の技術分野において周知であり、しかも、（イ）に「接続されたノートＰＣの健全性をチェックする“検疫”専用のネットワークを構築すること（図４）。検疫ネットワークは，社内ネットと論理的に切り離す。検疫ネットでノートＰＣをチェックしたあと，問題がなければ社内ネットへの接続を許可する。」と示されているように、引用文献に記載された事項でもあることからみれば、厳しいフィルタリング・ルールとして、「業務用サーバへのデータの通信を不許可とする」ルールを採用することは、当業者の通常の創作能力の範囲内のものである。
　セキュリティ条件にクライアント端末のセキュリティ状態が合致すると判断された場合に、どの程度ユーザのアクセスを許容するかは当事者の裁量に他ならず、緩いフィルタリング・ルールとして、「業務用サーバへのデータの通信を許可する」ルールを採用することは、当業者の通常の創作能力の範囲内のものである。
　よって、相違点１は格別のものではない。
　
　相違点２−１について検討する。
　
　セキュリティ判断前に業務サーバへのアクセスを完全に不許可とすることは、社内ネットワークのセキュリティ確保の技術分野において周知であり、しかも、（イ）に「接続されたノートＰＣの健全性をチェックする“検疫”専用のネットワークを構築すること（図４）。検疫ネットワークは，社内ネットと論理的に切り離す。検疫ネットでノートＰＣをチェックしたあと，問題がなければ社内ネットへの接続を許可する。」と示されているように、引用文献に記載された事項でもあることからみれば、引用発明に記載されたセキュリティチェックシステムの実現にあたり、社内ネットワーク接続時にまず設定されるフィルタリング・ルールとして、業務サーバへのアクセスを完全に不許可にするフィルタリング・ルールを採用することは、当業者の通常の創作能力の範囲内のものである。
　よって、相違点２−１は格別のものではない。
　
　相違点２−２について検討する。
　
　（コ）に「それぞれの環境に合わせた複数のルールを作っておき，それぞれの環境に応じて，ノートＰＣ上で自動的にルールが切り替わるのが望ましい。ウイルスのパターン・ファイルやパッチのバージョンをチェックし，古ければ厳しいルールを割り当て，最新版ならルールを緩くする機能を備えていれば，さらに柔軟に運用できる」と記載されていることからみれば、引用発明に記載されたアクセス許可手段の構成として、セキュリティ判断の結果、セキュリティ条件にクライアント端末のセキュリティ状態が合致すると判断された場合に、業務サーバへのアクセスを不許可とする厳しいフィルタリング・ルールから、業務サーバへのアクセスを許可する緩いフィルタリング・ルールに切り替える構成を採用することは、当業者の通常の創作能力の範囲内のものである。
　なお、引用文献も、本願発明と同様に、セキュリティ状態がセキュリティ条件に合致しないクライアント端末がネットワークへアクセスすることを防止するということを目的としており、クライアント端末のセキュリティ状態をセキュリティ条件に合致させてからネットワークに接続するための解決手段（例えば、（サ）における「ＰＣのウイルス・スキャン状況やパッチ適用状況を確認し，問題があれば最新データを配信する」という記載等）が提案されている。そして、（イ）における記載「接続されたノートＰＣの健全性をチェックする“検疫”専用のネットワークを構築すること（図４）。検疫ネットは，社内ネットと論理的に切り離す。検疫ネットでノートＰＣをチェックしたあと，問題がなければ社内ネットへの接続を許可する。」、及び引用文献の図面（例えば、（エ）の「検疫サーバーを用いたセキュリティチェックシステムの構築例」を示す図、及び（シ）の「ＤＨＣＰサーバーを利用した検疫システムの構築例」を示す図）からすると、検疫システム（検疫サーバー）は周知技術に過ぎない。してみれば、相違点２−２が、（ウ）の「社内ネットワークに接続されるクライアント端末内のパーソナル・ファイアウォールの制御ルールを集中管理する管理サーバー」に、（エ）の「社内ネットワークに接続されるクライアント端末内のパッチやウイルスのパターン・ファイルの適用状況を管理する検疫サーバー」の機能を持たせることにより、セキュリティ条件にクライアント端末のセキュリティ状態が合致しないと判断された場合であっても、クライアント端末内のウイルスのパターン・ファイルやパッチのバージョンを更新してセキュリティ状態を改善させる構成を採用することを意味していると仮定しても、これは、当業者の通常の創作能力の範囲内のものである。また、（ケ）に「パッチやウイルスのパターン・ファイルの適用状況を管理し，それに合わせてアクセス制限できる」と記載されていることからみれば、相違点２−２が、セキュリティの状態を監視して、セキュリティ状態に応じてアクセス制限を切り替える構成を採用することを意味していると仮定しても、これは、当業者の通常の創作能力の範囲内のものである。
　よって、相違点２−２は格別のものではない。
　
　上記で検討したごとく、相違点１及び相違点２は格別のものではなく、そして、本願発明の構成によってもたらされる効果も、当業者であれば当然に予測可能なものに過ぎず格別なものとは認められない。 
　
　したがって、本願発明は、引用発明及び周知技術に基づいて、容易に発明できたものである。
　
６．むすび 
　
　以上のとおり、本願の請求項１に係る発明は、その出願前日本国内又は外国において頒布された刊行物に記載された発明又は電気通信回線を通じて公衆に利用可能となった発明に基いて、その出願前にその発明の属する技術の分野における通常の知識を有する者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。