【事件の表示】
　特願２０１３−５４７５３４「ソース付近のサービス妨害拒否から保護するための技術」拒絶査定不服審判事件〔平成２４年　７月　５日国際公開、ＷＯ２０１２／０９１９９２、平成２６年　２月１３日国内公表、特表２０１４−５０４１１１〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
第１　手続の経緯 
　本願は、２０１１年１２月１９日（パリ優先権主張外国庁受理２０１０年１２月２９日、米国）を国際出願日とする出願であって、原審において平成２６年５月２７日付けで拒絶理由が通知され、同年１１月４日付けで手続補正されたが、平成２７年３月２３日付けで拒絶査定がなされ、これに対し、同年７月３１日に拒絶査定不服の審判が請求されるとともに、同日付けで手続補正されたものである。
第２　補正却下の決定 
［補正却下の決定の結論］
　平成２７年７月３１日付けの手続補正を却下する。 
［理由］
１．本願発明と補正後の発明 
　上記手続補正（以下、「本件補正」という。）は、本件補正前の平成２６年１１月４日付けで手続補正された特許請求の範囲の請求項１に記載された 
　「サービス拒否状態の影響を軽減するためのコンピュータにより実現される方法であって、
　実行可能命令を備えて構成される１つまたは複数のコンピュータシステムの制御下で、
　　少なくとも１つの遠隔ネットワークサービスプロバイダに、特定の位置を通じて、１つまたは複数の宛先ネットワークにアドレス指定されたネットワークトラフィックの少なくとも一部分をルーティングさせる１つまたは複数のアクションを行うことであって、特定の位置を通じた前記１つまたは複数の宛先ネットワークは、前記特定の位置から地理的に遠隔にある１つまたは複数のサーバに対応する、ことと、
　　前記特定の位置で、前記１つまたは複数の宛先ネットワークにアドレス指定された前記ネットワークトラフィックの少なくとも一部分に対して、第１の緩和技術群を適用することと、
　　少なくとも、前記１つまたは複数の宛先ネットワークに対するサービス拒否攻撃を示すネットワーク状態の間、前記特定の位置にある１つまたは複数のコンピューティングデバイスに、前記第１の緩和技術群の少なくとも一部に基づいて前記１つまたは複数の宛先ネットワークに指定された前記ネットワークトラフィックをフィルタ処理させることと、
　　前記１つまたは複数の宛先ネットワークに向かってフィルタ処理されたネットワークトラフィックを発信することであって、前記フィルタ処理されたネットワークトラフィックは、非合法と決定された前記１つまたは複数の宛先ネットワークにアドレス指定されたネットワークトラフィックを除く、ことと、
　　前記フィルタ処理されたネットワークトラフィックに対して、緩和デバイスで第２の緩和技術群を適用することであって、前記緩和デバイスは、前記特定の位置よりも前記１つまたは複数の宛先ネットワークに地理的に近位に配置される、ことと、
　を含む、方法。」
という発明（以下、「本願発明」という。）を、 
　「サービス拒否状態の影響を軽減するためのコンピュータにより実現される方法であって、
　実行可能命令を備えて構成される１つまたは複数のコンピュータシステムの制御下で、
　　少なくとも１つの遠隔ネットワークサービスプロバイダに、複数の特定の位置を通じて、１つまたは複数の宛先ネットワークにアドレス指定されたネットワークトラフィックの少なくとも一部分をルーティングさせる１つまたは複数のアクションを行うことであって、前記１つまたは複数の宛先ネットワークは、前記複数の特定の位置から地理的に遠隔にある１つまたは複数のサーバに対応し、前記複数の特定の位置のそれぞれは、前記１つまたは複数の宛先ネットワークに対するサービス拒否攻撃が検出されると、前記複数の特定の位置を通る１つまたは複数の経路を通知し、この通知によって、前記ネットワークトラフィックの少なくとも一部分は、前記通知された１つまたは複数の経路上に存在する前記複数の特定の位置の少なくとも１つにおいて受信される、ことと、
　　前記通知された１つまたは複数の経路上に存在する前記複数の特定の位置の少なくとも１つにおいて、前記１つまたは複数の宛先ネットワークにアドレス指定された前記ネットワークトラフィックの前記少なくとも一部分に対して、第１の緩和技術群を適用することと、
　　少なくとも、前記サービス拒否攻撃を示すネットワーク状態の間、前記複数の特定の位置のそれぞれにある１つまたは複数のコンピューティングデバイスに、前記第１の緩和技術群の少なくとも一部に基づいて前記１つまたは複数の宛先ネットワークにアドレス指定された前記ネットワークトラフィックをフィルタ処理させることと、
　　前記１つまたは複数の宛先ネットワークに向かって前記フィルタ処理されたネットワークトラフィックを発信することであって、前記フィルタ処理されたネットワークトラフィックは、非合法と決定された前記１つまたは複数の宛先ネットワークにアドレス指定されたネットワークトラフィックを除く、ことと、
　　前記フィルタ処理されたネットワークトラフィックに対して、緩和デバイスで第２の緩和技術群を適用することであって、前記緩和デバイスは、前記複数の特定の位置よりも前記１つまたは複数の宛先ネットワークに地理的に近位に配置される、ことと、
　を含む、方法。」
　
という発明（以下、「補正後の発明」という。）に変更することを含むものである。 
　
２．新規事項の有無、シフト補正、補正の目的要件について 
　本件補正は、願書に最初に添付した明細書、特許請求の範囲又は図面に記載した事項の範囲内において、補正前の特許請求の範囲の請求項１に記載された、「特定の位置」に関し、「複数の特定の位置」と限定し、また、「複数の特定の位置のそれぞれ」に関し、「前記複数の特定の位置のそれぞれは、前記１つまたは複数の宛先ネットワークに対するサービス拒否攻撃が検出されると、前記複数の特定の位置を通る１つまたは複数の経路を通知し、この通知によって、前記ネットワークトラフィックの少なくとも一部分は、前記通知された１つまたは複数の経路上に存在する前記複数の特定の位置の少なくとも１つにおいて受信される」と限定し、また、「前記複数の特定の位置」に関し、「前記通知された１つまたは複数の経路上に存在する前記複数の特定の位置」と限定し、また、「第１の緩和技術群を適用する」ことに関し、「前記複数の特定の位置の少なくとも１つにおいて」と限定し、また、「少なくとも一部分」に関し、「前記少なくとも一部分」と限定し、また、「サービス拒否攻撃」に関し、「前記サービス拒否攻撃」と限定し、また、「１つまたは複数のコンピューティングデバイス」に関し、「前記複数の特定の位置のそれぞれにある」と限定し、また、「宛先ネットワークに指定された」に関し、「宛先ネットワークにアドレス指定された」と限定し、また、「フィルタ処理」に関し、「前記フィルタ処理」と限定して、特許請求の範囲を減縮するものであるから、特許法第１７条の２第３項及び第４項の規定に適合するとともに、特許法第１７条の２第５項第２号に掲げる特許請求の範囲の減縮を目的とするものに該当する。
　
３．独立特許要件について 
　本件補正は特許請求の範囲の減縮を目的とするものであるから、上記補正後の発明が特許出願の際独立して特許を受けることができるものであるのかどうか（特許法第１７条の２第６項で準用する同法第１２６条第７項の規定に適合するかどうか）について以下に検討する。 
　
（１）補正後の発明 
　上記「１．本願発明と補正後の発明」の項で補正後の発明として認定したとおりである。 
　
（２）引用発明
Ａ　原審の拒絶理由に引用された、本願の優先権主張の日前に外国において頒布された刊行物である米国特許出願公開第２００７／０１４３８４１号明細書（平成１９年６月２１日公開、以下、「引用例１」という。）には、図面とともに以下の事項が記載されている。 
イ．「TECHNICAL FIELD 
[0001] The present invention relates to a defense device, a defense method, a defense program, and a network-attack defense system for transmitting route information to a repeater that relays a malicious packet addressed to a server or a domain on a network, to control the passage of the malicious packet. 
　BACKGROUND ART 
[0002] Conventionally, network-attack defense systems that include a defense device that defends a server on a network, which undergoes a Denial of Service (DoS) attack or a Distributed Denial of Service (DDOS) attack, and a plurality of routers that relay a packet transmitted to the server, are known. For example, in a network-attack defense system disclosed in Patent document 1 (US Patent Application Publication No. 2002/0083175 Specification), when an attack against a server is detected, a defense device notifies a predetermined router of route information for routing packets through own device, thereby filtering the packets routed through the own device, and transferring the filtered packets to the server. 
 [0003] This processing is specifically explained with reference to FIG. 13. FIG. 13 is an explanatory diagram of a network-attack defense system according to the conventional art. As shown in FIG. 13, for example, if a communication terminal (attacker) 94 is attacking a server 92 (victim), when an attack detector 95 detects that the server 92 that receives packets via a router 83 is under attack, the attack detector 95 notifies a defense device 90 that an attack has been detected (see (1) and (2) in FIG. 13). Upon reception of the notice, the defense device 90 notifies a predetermined router 93 of route information for routing the packets through the own device (see (3) in FIG. 13). On the other hand, the router 93 updates a routing table based on the received route information, and relays the packets according to the updated routing table (see (4) in FIG. 13). That is, the router 93 transfers the malicious packet addressed to the server 92 to the defense device 90. As a result, the defense device 90 filters the malicious packet transferred from the router 93, and transfers the filtered packet to the server 92 via the router 83. 」（１頁左欄）
訳文（イ．）「技術分野
［０００１］
　本発明は、悪意のパケットの流れを制御するため、ネットワーク上のサーバ又はドメイン宛の悪意のパケットを中継するリピータへルート情報を送るための防御装置、防御方法、防御プログラム、そしてネットワーク攻撃防御システムに関するものである。
　背景技術
［０００２］　
　従来、Denial of Service（ＤｏＳ）攻撃又はDistributed Denial of Service（ＤＤＯＳ）攻撃を被るネットワーク上のサーバを防御する防御装置及びサーバへのパケット伝送を中継する複数ルータを含むネットワーク攻撃防御システムは、知られていた。例えば、特許文献１（米国特許出願公開第２００２／００８３１７５号明細書）で開示されたネットワーク攻撃防御システムでは、サーバへの攻撃が検出されると、防御装置は、パケットが自身の装置を通るよう所定のルータにルート情報を通知し、それによって自身の装置を通るパケットをフィルターし、フィルターを通過したパケットをサーバに送る。
［０００３］　
　この処理を図１３で具体的に説明する。図１３は従来のネットワーク攻撃防御システムを図解したものである。例えば、図１３に示すように、通信ターミナル（攻撃者）９４がサーバ９２（被害者）を攻撃している場合、攻撃検出器９５が、ルータ８３経由でパケットを受け取っているサーバ９２が攻撃されていることを検出すると、攻撃検出器９５は攻撃が検出されたことを防御装置９０に通知する（図１３の（１）と（２）を参照）。通知を受け取ると、防御装置９０は、所定のルータ９３に、パケットを自身の装置経由にするようルート情報を通知する（図１３の（３）を参照）。一方、ルータ９３は、受け取ったルート情報をもとにルート・テーブルを更新し、これに基づいてパケットを中継する（図１３の（４）を参照）。すなわち、ルータ９３は、サーバ９２宛の悪意のパケットを防御装置９０に送ることになる。その結果、防御装置９０は、ルータ９３から転送された悪意のパケットをフィルターにかけ、それをルータ８３経由でサーバ９２に送ることになる。」
ロ．「[0102] The outline and characteristics of a network-attack defense system that prevents an attack by a plurality of defense devices is explained in a second embodiment, followed by the configuration, processing of a defense device, and effect of the second embodiment. 
[0103] [Outline and characteristic of system (second embodiment)] The outline and the characteristics of the network-attack defense system according to the second embodiment are explained with reference to FIG. 9. FIG. 9 is a configuration diagram of the network-attack defense system according to the second embodiment. 
[0104] As shown in FIG. 9, a network-attack defense system 200 includes, on the network, a defense device 60 that defends the server 20 on the network against an attack, when a DoS attack or a DDOS attack with respect to the server 20 is detected, and the repeaters 30 that relay a packet to be transmitted to the server 20. The server 20 and the communication terminal 40 are connected to the network, and the detector 50 that detect that the server 20 is under attack is provided on the network. 
[0105] Among the elements constituting the network-attack defense system 200 according to the second embodiment, like reference numerals designate like parts as those of the network-attack defense system 100 according to the first embodiment, and the explanation thereof is omitted. In the explanation below, respective repeaters 30 are distinguished from each other as the repeater 30-1 and the repeater 30-2, and the respective servers 20 are distinguished from each other as the server 20-1 and the server 20-2. The respective defense devices 60 are distinguished from each other as a defense device 60-1 and a defense device 60-2, and the respective communication terminals 40 are distinguished from each other as a communication terminal 40-1 and a communication terminal 40-2. 
[0106] In the network-attack defense system 200, a routing table specifying addresses of packets is registered in the defense device 60 and the repeaters 30. As a method for registering the routing table, for example, it can be registered in conformity with a known routing protocol such as OSPF, RIP, or BGP. 
[0107] When the communication terminal 40-1 normally transmits a packet to the server 20-1, the transmitted packet is relayed to the server 20-1 via the repeaters 30-3, 30-2, and 30-1 without being relayed by the defense device 60 according to the respective routing tables of the repeaters 30-1, 30-2, and 30-3. 
[0108] When the communication terminal 40-1 is an attacker, and a malicious packet for an attack is transmitted to the server 20-1, the detector 50 detects the attack to the server 20-1 and transmits attack information indicating detection of an attack to the defense device 60-1 (see (1) and (2) in FIG. 9). The defense device 60 can be connected to a controlling network for controlling the defense device 60 and the like, and the attack information can be transferred via the controlling network. 
[0109] On the other hand, the defense device 60-1 having received the attack information transmitted from the detector 50 selects the repeater 30, which becomes the notification destination of route information for routing the malicious packet through the own device, based on the received attack information (see (3) in FIG. 9). Specifically, as according to the first embodiment, after having specified the attacked server 20-1 from the attack information, the defense device 60-1 determines the repeater 30-1, which becomes the next relay destination with respect to the packet addressed to the specified server 20-1, from the routing table, and selects the repeater 30-2, excluding the repeater 30-1, from the repeaters 30-1 and 30-2 adjacent to the defense device 60-1, as the notification destination. 
[0110] After having selected the repeater 30, the defense device 60-1 notifies the selected-repeater 30-2 of the route information for routing the malicious packet through the own device (see (4) in FIG. 9), and the repeater 30-2 changes the routing table based on the notified route information (see (5) in FIG. 9). As a result, the repeater 30-2 relays the malicious packet addressed to the server 20-1 to the defense device 60-1. That is, the malicious packet is relayed to the server 20-1 via the repeater 30-3, the repeater 30-2, the defense device 60-1, and the repeater 30-1. The defense device 60-1 relays the packet addressed to the server 20-1, while controlling the passage of the malicious packet relayed from the repeater 30-2 based on the attack information. 
[0111] The routing table of the repeater 30-2 is changed in this manner, and the malicious packet is relayed from the repeater 30-2 to the defense device 60-1 and processed. The main feature of the defense device 60 in the network-attack defense system 200 according to the second embodiment lies in that the routing table is changed by selecting the predetermined repeater 30 based on the attack information, and also, the attack information is transmitted to another adjacent defense device 60. 
[0112] That is, the defense device 60-1 notifies the repeater 30-2 of the route information, and then transmits the attack information to the defense device 60-2 adjacent to the defense device 60-1 (see (6) in FIG. 9). As a result, the defense device 60-2 having received the attack information also selects the repeater 30, which becomes the notification destination of the route information for routing the malicious packet through the own device based in the attack information as in the defense device 60-1 (see (7) in FIG. 9). Specifically, the defense device 60-2 specifies the attacked server 20-1 from the received attack information, determines the repeater 30-2 as the next relay destination with respect to the packet addressed to the specified server 20-1 from the routing table, and selects the repeater 30-3, excluding the repeater 30-2, from the repeaters 30-2 and 30-3 adjacent to the defense device 60-2. 
[0113] After having selected the repeater 30, the defense device 60-2 notifies the selected repeater 30-3 of the route information for routing the malicious packet through the own device (see (8) in FIG. 9), and the repeater 30-3 changes the routing table based on the notified route information (see (9) in FIG. 9). As a result, the repeater 30-3 relays the malicious packet addressed to the server 20-1 to the defense device 60-2. That is, the malicious packet is relayed to the server 20-1 via the repeater 30-3, the defense device 60-2, the repeater 30-2, the defense device 60-1, and the repeater 30-1. The defense device 60-2 relays the packet addressed to the server 20-1, while controlling the passage of the relayed malicious packet based on the attack information. 
[0114] Thus, the routing table of the repeater 30-3, which is closer to the attacker than the repeater 30-1, is changed, and the malicious packet is relayed from the repeater 30-3 to the defense device 60-2 and processed. The main feature of the defense device 60 in the network-attack defense system 200 according to the second embodiment lies in that the attack information is transmitted to another adjacent defense device 60, and also, relay of the packet to the own device by the repeater 30 that has changed the routing table is cancelled. 
[0115] That is, the defense device 60-2 transmits the attack information to the other adjacent defense device 60, and determines whether transmission of the malicious packet to the own device has finished (see (10) in FIG. 9). Specifically, in the above example, when the malicious packet does not pass through the defense device 60-1 for a predetermined period of time due to the control of the passage of the malicious packet by the defense device 60-2, the defense device 60-1 determines that the attack from the communication terminal 40-1 has finished. 
[0116] The defense device 60-1 then notifies the repeater 30-2 that has changed the routing table of the route information for not routing the packet addressed to the server 20-1 through the own device (see (11) in FIG. 9), and the repeater 30-2 changes the routing table based on the notified route information (see (12) in FIG. 9). As a result, the repeater 30-2 relays the malicious packet addressed to the server 20-1 not to the defense device 60-1 but to the repeater 30-1. That is, the malicious packet is relayed to the server 20-1 via the repeater 30-3, the defense device 60-2, the repeater 30-2, and the repeater 30-1. 
[0117] [Configuration of defense device (second embodiment)] The configuration of the defense device 60 shown in FIG. 9 is explained next with reference to FIG. 10. FIG. 10 is a block diagram of the configuration of the defense device 60 according to the second embodiment. As shown in FIG. 10, the defense device 60 includes the network interface 11, the packet controller 12, an attack information processor 63, the repeater selector 14, the route-information notifying unit 15, the packet obtaining unit 16, and an attack detection module 67. 
[0118] The packet controller 12 corresponds to a packet control unit in the claims, the attack information processor 63 corresponds to an attack information transmitter, the repeater selector 14 corresponds to a repeater selecting unit, the route-information notifying unit 15 corresponds to a route-information notifying unit, and the attack detection module 67 corresponds to an attack-termination determining unit. Among the elements constituting the defense device 60 according to the second embodiment, like reference numerals designate parts as those of the defense device 10 according to the first embodiment, and the explanation thereof is omitted. 
[0119] In FIG. 10, when the detector 50 detects a DoS attack or a DDOS attack, the attack information processor 63 receives the attack information indicating detection of an attack, and also transmits the received attack information to a defense device adjacent to the own defense device 60. However, the attack information processor 63 does not transmit the attack information to the adjacent relay device, which has transmitted the attack information to the own defense device 60. For example, in the network-attack defense system 200 shown in FIG. 9, if the defense device 60-1 has transmitted the attack information to the defense device 60-2, the attack information processor 63 in the defense device 60-2 does not transmit the attack information again to the defense device 60-1, which is the adjacent relay device having transmitted the attack information. 
[0120] The attack detection module 67 determines whether the attack has finished, in addition to performing detection and analysis of the attack and generating the normal signature and the illegal signature, based on the statistical information provided by the packet obtaining unit 16 and the attack information provided by the attack information processor 13. Specifically, after having transmitted the attack information to another adjacent defense device 60, the attack detection module 67 determines whether transmission of the malicious packet to the own device has finished. In the example shown in FIG. 9, when the malicious packet does not pass through the defense device 60-1 for a predetermined period of time due to the control of the passage of the malicious packet by the defense device 60-2, the attack detection module 67 of the defense device 60-1 determines that the attack from the communication terminal 40-1 has finished. 
[0121] The route-information notifying unit 15 notifies the repeater 30 selected by the repeater selector 14 of the route information for routing the packet to be transmitted to the victim/target via the own defense device. Further, when the attack detection module 67 determines that the attack has finished, the route-information notifying unit 15 notifies the repeater 30 selected by the repeater selector 14 of the route information for not routing the packet to be transmitted to the victim/target through the own defense device. 
[0122] [Processing at the time of receiving attack information (second embodiment)] The operation at the time of receiving the attack information by the defense device 60 is explained with reference to FIG. 11. FIG. 11 is a flowchart of a process procedure at the time of receiving the attack information. 
[0123] As shown in FIG. 11, when the attack information processor 63 in the defense device 60 receives the attack information transmitted from the detector 50 or the attack information transmitted from another adjacent defense device 60 (step S31), the repeater selector 14 selects at least one repeater 30 as the notification destination of the route information for routing the malicious packet through the own device, based on the received attack information (step S32). 
[0124] Specifically, in the example shown in FIG. 9, when the defense device 60-1 receives the attack information from the detector 50, the repeater selector 14 specifies the attacked server 20-1 based on the attack information, determines the repeater 30-1 as the next relay destination with respect to the packet addressed to the specified server 20-1 from the routing table, and selects the repeater 30-2 as the notification destination, excluding the repeater 30-1 from the repeaters 30-1 and 30-2 adjacent to the defense device 60-1. 
[0125] On the other hand, when the defense device 60-2 receives the attack information from the defense device 60-1, the repeater selector 14 specifies the attacked server 20-1 based on the attack information, determines the repeater 30-2 as the next relay destination with respect to the packet addressed to the specified server 20-1 from the routing table, and selects the repeater 30-3 as the notification destination, excluding the repeater 30-2 from the repeaters 30-2 and 30-3 adjacent to the defense device 60-2. 
[0126] Thereafter, the route-information notifying unit 15 in the defense device 60 notifies the repeater 30 selected by the repeater selector 14 at step S32 of the route information for routing the packet to be transmitted to the victim/target, through the defense device (step S33). Specifically, in this example, the defense device 60-1 transmits to the repeater 30-2 the route information for routing the packet to be transmitted to the server 20-1 through the defense device 60-1, and the defense device 60-2 transmits to the repeater 30-3 the route information for routing the packet to be transmitted to the server 20-1 through the defense device 60-2. 
[0127] The attack detection module 67 in the defense device 60 generates the normal signature based on the suspicious signature and the normal condition information included in the attack information (step S34), and registers the suspicious signature included in the attack information and the normal signature generated at step S34 in the packet controller 12 (filtering unit) (step S35). 
[0128] The attack information processor 63 in the defense device 60 determines the presence of the defense device 60 adjacent to the own device (step S36). When there is the adjacent defense device 60 (step S36, Yes), the attack information processor 63 transmits the attack information received at step S31 to the adjacent defense device (step S37). Specifically, in the above example, since there is the adjacent defense device 60-2, the defense device 60-1 transmits the attack information to the defense device 60-2. However, the defense device 60-2 does not transmit the attack information because there is no adjacent defense device 60. 
[0129] The repeaters 30-2 and 30-3 having received the route information according to the processing at step S33 change the routing table based on the notified route information. As a result, the repeater 30-2 relays the malicious packet addressed to the server 20-1 to the defense device 60-1, and the repeater 30-3 relays the malicious packet addressed to the server 20-1 to the defense device 60-2. The defense devices 60-1 and 60-2 relay the packet addressed to the server 20-1, while controlling the passage of the malicious packet relayed from the repeaters 30-2 and 30-3, based on the attack information. 
[0130] [Determination processing of attack termination (second embodiment)] The determination operation of attack termination performed by the defense device 60 is explained with reference to FIG. 12. FIG. 12 is a flowchart of a process procedure of determining attack termination. 
[0131] As shown in FIG. 2, the attack detection module 67 in the defense device 60 determines whether transmission of the malicious packet to the own device has finished (step S41). Specifically, in the example shown in FIG. 9, when the malicious packet does not pass through the defense device 60-1 for a predetermined period of time due to the control of the passage of the malicious packet by the defense device 60-2, the attack detection module 67 in the defense device 60-1 determines that the attack from the communication terminal 40-1 has finished. 
[0132] The route-information notifying unit 15 in the defense device 60 notifies the repeater 30 selected at step S32 in FIG. 11 of the route information for routing the packet to be transmitted to the victim/target through the own device (step S42). Specifically, in the example shown in FIG. 9, the defense device 60-1 notifies the repeater 30-2 having changed the routing table before of the route information for not routing the packet addressed to the server 20-1 through the own device. 
[0133] The packet controller 12 (filtering unit) releases the registered suspicious signature, the normal signature, and the like, to terminate the processing for controlling the passage of the packet based on the released signature (step S43). That is, the packet controller 12 deletes suspicious signature, the normal signature, and the like registered for controlling the malicious packet addressed to the server 20-1. 
[0134] The repeater 30-2 having received the route information according to the processing at step S42 changes the routing table based on the notified route information. As a result, the repeater 30-2 relays the malicious packet addressed to the server 20-1 not to the defense device 60-1 but to the repeater 30-1. Therefore, the malicious packet transmitted from the communication terminal 40-1 is relayed to the server 20-1 via the repeater 30-3, the defense device 60-2, the repeater 30-2, and the repeater 30-1. 
[0135] It is desirable that the operation at step S41 shown in FIG. 12 is started at an optional point in time after the route information for routing the malicious packet through the defense device 60 is notified to the repeater 30, for example, after step S33 shown in FIG. 11. 
[0136] [Effects of the second embodiment] According to the second embodiment, the defense device 60 transmits the attack information to another defense device 60 adjacent to the own device (defense device 60). Further, even when having received the attack information from another defense device 60, the defense device 60 selects the repeater 30, which becomes the notification destination of the route information for routing the malicious packet through the own device, based on the attack information, to control the passage of the malicious packet routed from the selected repeater 30 to the own device. Accordingly, the attack can be prevented by the defense device close to the attack source. 
[0137] According to the second embodiment, when transmission of the malicious packet routed from the repeater 30 to the own device has finished, the route information for not routing the malicious packet through the own device is notified again to the repeater 30. Accordingly, detour of the malicious packet through the defense device 60 can be efficiently changed over.」（７頁左欄〜１０頁左欄）
訳文（ロ．）「［０１０２］　
　複数の防御装置で攻撃を防ぐネットワーク防御システムの概要と特性を、第二実施態様と、それに続く構成、防御装置の処理、そして第二実施態様の効果で説明する。
［０１０３］　
　［システムの概要と特性（第二実施態様）］　第二実施態様に基づく、ネットワーク攻撃防御システムの概要と特性を図９において説明する。図９は、第二実施態様に基づく、ネットワーク攻撃防御システムの構成ダイアグラムである。
［０１０４］　
　図９に示すように、ネットワーク攻撃防御システム２００は、ネットワーク上における、サーバ２０に対するＤｏＳ又はＤＤＯＳ攻撃の検出時、攻撃に対してネットワーク上のサーバ２０を防御する防御装置６０、そしてサーバ２０へのパケットを中継するリピータ３０を含む。サーバ２０と通信端末４０はネットワークに接続され、サーバ２０への攻撃を検出する検出器５０がネットワークに提供される。
［０１０５］　
　第二実施態様に基づくネットワーク攻撃防御システム２００を構成する要素においては、第一実施態様に基づくネットワーク攻撃防御システム１００と同様の参照番号が同様の部品を指すため、説明は割愛する。以下の説明のなかで、それぞれのリピータ３０は、リピータ３０−１とリピータ３０−２として互いに区別され、それぞれのサーバ２０は、サーバ２０−１とサーバ２０−２としてそれぞれ区別される。それぞれの防御装置６０は、防御装置６０−１と防御装置６０−２として区別され、また、それぞれの通信端末４０は、通信端末４０−１と通信端末４０−２として区別される。
［０１０６］　
　ネットワーク攻撃防御システム２００において、パケットのアドレスを特定するルーティング・テーブルは、防御装置６０とリピータ３０に登録される。ルーティング・テーブルの登録方法としては、例えば、ＯＳＰＦ、ＲＩＰ、又はＢＧＰのような既知のルーティング・プロトコルに準拠して登録できる。
［０１０７］　
　通信端末４０−１が正常にパケットをサーバ２０−１に伝送するとき、伝送されるパケットは、リピータ３０−１、３０−２、及び３０−３のそれぞれのルーティング・テーブルに従い防御装置６０に中継されることなく、リピータ３０−３、３０−２、及び３０−１経由でサーバ２０−１に中継される。
［０１０８］　
　通信端末４０−１が攻撃者で、攻撃の悪意のパケットがサーバ２０−１に伝送される場合、検出器５０は、サーバ２０−１への攻撃を検出し、防御装置６０−１への攻撃の検出を示す攻撃情報を防御装置６０−１に伝送する（図９の（１）と（２）を参照）。防御装置６０は、防御装置６０を制御するための制御ネットワークに接続され、攻撃情報は制御ネットワーク経由で送られる。
［０１０９］　
　一方、検出器５０から伝送された攻撃情報を受け取った防御装置６０−１はリピータ３０を選択するが、これは受け取った攻撃情報に基づき、悪意のパケットを自身の装置へ導くためのルート情報の通知先となる（図９の（３）を参照）。具体的には、第一実施態様に基づき、攻撃情報から攻撃されたサーバ２０−１を特定した後、防御装置６０−１は、ルーティング・テーブルから、特定したサーバ２０−１宛のパケットに関する次の中継先となるリピータ３０−１を確定し、防御装置６０−１近傍のリピータ３０−１及び３０−２から、通知先として、リピータ３０−２を選択し、リピータ３０−１を除外する。
［０１１０］　
　リピータ３０を選択後、防御装置６０−１は選択されたリピータ３０−２に、自身の装置を通じて悪意のパケットを導くためのルート情報を伝え（図９の（４）参照）、リピータ３０−２は通知されたルート情報に基づきルーティング・テーブルを変更する（図９の（５）参照）。その結果、リピータ３０−２は、サーバ２０−１宛の悪意のパケットを防御装置６０−１に中継する。すなわち、悪意のパケットは、リピータ３０−３、３０−２、防御装置６０−１、そしてリピータ３０−１経由でサーバ２０−１に中継される。防御装置６０−１は、パケットをサーバ２０−１に中継し、一方、攻撃情報に基づき、リピータ３０−２から中継された悪意のパケットの流れを制御する。
［０１１１］　
　リピータ３０−２のルーティング・テーブルはこのようにして変更され、悪意のパケットはリピータ３０−２から防御装置６０−１に中継され、処理される。第二実施態様に基づくネットワーク攻撃防御システム２００の防御装置６０の主機能は、ルーティング・テーブルが攻撃情報に基づき所定のリピータ３０を選択することで変更され、攻撃情報は近傍の他の防御装置６０に伝送されるところにある。
［０１１２］　
　すなわち、防御装置６０−１は、リピータ３０−２にルート情報を通知し、攻撃情報を防御装置６０−１近傍の防御装置６０−２に伝送する（図９の（６）参照）。その結果、攻撃情報を受け取った防御装置６０−２はまたリピータ３０を選択するが、これは、防御装置６０−１の場合のように攻撃情報に基づき、悪意のパケットを自身の装置を通じて導くためのルート情報の通知先となる（図９の（７）参照）。具体的には、防御装置６０−２は、受け取った攻撃情報から攻撃されたサーバ２０−１を特定し、リピータ３０−２を、ルーティング・テーブルから特定されたサーバ２０−１にアドレスされたパケットに関する次の中継先として確定し、防御装置６０−２近傍のリピータ３０−２と３０−３からリピータ３０−３を選択し、リピータ３０−２を除外する。
［０１１３］　
　リピータ３０を選択後、防御装置６０−２は、選択したリピータ３０−３に自身の装置経由で悪意のパケットを導くためのルート情報を通知し（図９の（８）参照）、リピータ３０−３は通知されたルート情報をもとにルーティング・テーブルを変更する（図９の（９）参照）。その結果、リピータ３０−３は、サーバ２０−１宛の悪意のパケットを防御装置６０−２に中継する。すなわち、悪意のパケットは、リピータ３０−３、防御装置６０−２、リピータ３０−２、防御装置６０−１、そしてリピータ３０−１経由でサーバ２０−１に中継される。防御装置６０−２は、パケットをサーバ２０−１に中継し、一方、攻撃情報に基づいて中継された悪意のパケットの流れを制御する。
［０１１４］　
　このように、リピータ３０−１より攻撃者に近いリピータ３０−３のルーティング・テーブルは変更され、悪意のパケットは、リピータ３０−３から防御装置６０−２に中継され、処理される。第二実施態様に基づくネットワーク攻撃防御システム２００の防御装置６０の主機能は、攻撃情報が近傍の別の防御装置６０に伝送され、ルーティング・テーブルを変更したリピータ３０によるパケットの自身の装置への中継がキャンセルされるところにある。
［０１１５］　
　すなわち、防御装置６０−２は、攻撃情報を近隣の他の防御装置６０に伝送し、悪意のパケットの自身の装置への伝送が完了したかどうかを判定する（図９の（１０）参照）。具体的には、上記例において、悪意のパケットが、防御装置６０−２による悪意のパケットの流れ制御によって所定の時間防御装置６０−１を通過しなかった時、防御装置６０−１は、通信端末４０−１からの攻撃が完了したと判定する。
［０１１６］　
　防御装置６０−１は、次にサーバ２０−１にアドレスされたパケットを、自身の装置経由に導かないためのルート情報を、ルール・テーブルを変更したリピータ３０−２に通知し（図９の（１１）参照）、リピータ３０−２は、通知されたルート情報に基づきルーティング・テーブルを変更する（図９の（１２）参照）。その結果、リピータ３０−２は、サーバ２０−１宛の悪意のパケットを、防御装置６０−１ではなくリピータ３０−１に中継する。すなわち、悪意のパケットは、リピータ３０−３、防御装置６０−２、リピータ３０−２、そしてリピータ３０−１経由でサーバ２０−１に中継される。
［０１１７］　
　［防御装置の構成（第二実施態様）］　図９に示す防御装置６０の構成を図１０において説明する。図１０は、第二実施態様に基づく防御装置６０の構成のブロック・ダイアグラムである。図１０に示すように、防御装置６０は、ネットワーク・インターフェース１１、パケット・コントローラ１２、攻撃情報プロセッサ６３、リピータ・セレクタ１４、ルート情報通知ユニット１５、パケット取得ユニット１６、そして攻撃検出モジュール６７を含む。
［０１１８］　
　パケット・コントローラ１２は請求項の「パケット制御ユニット」に相当し、攻撃情報プロセッサ６３は「攻撃情報トランスミッタ」に相当し、リピータ・セレクタ１４は「リピータ選択ユニット」に相当し、ルート情報通知ユニット１５は「ルート情報通知ユニット」に相当し、そして攻撃検出モジュール６７は「攻撃終了確定ユニット」に相当する。第二実施態様に基づく防御装置６０を構成する要素においては、第一実施態様に基づく防御装置１０のそれらと同じ部品の参照番号をつけてあり、説明は割愛する。
［０１１９］　
　図１０において、検出器５０はＤｏＳ攻撃又はＤＤＯＳ攻撃を検出し、攻撃情報プロセッサ６３は攻撃の検出を示す攻撃情報を受け取り、また自身の防御装置６０近傍の防御装置への攻撃情報を送る。しかしながら、攻撃情報プロセッサ６３は、自身の防御装置６０に攻撃情報を送った、近傍の中継装置に攻撃情報を送ることはない。例えば、図９に示すネットワーク攻撃防御システム２００では、防御装置６０−１が攻撃情報を防御装置６０−２に送った場合、防御装置６０−２の攻撃情報プロセッサ６３は、攻撃情報を送った近傍中継装置である防御装置６０−１に再び攻撃情報を送ることはない。
［０１２０］　
　攻撃検出モジュール６７は、攻撃の検出と解析を実施し、パケット取得ユニット１６が提供する統計情報、また攻撃情報プロセッサ１３が提供する攻撃情報をもとに正常署名と不正署名を生成するとともに、攻撃が終了したかどうかを判定する。具体的には、近傍の他の防御装置６０に攻撃情報を送った後、攻撃検出モジュール６７は、悪意のパケットの自身の装置への伝送が終了したかどうかを判定する。図９に示す例において、悪意のパケットが、防御装置６０−１による悪意のパケットの流れ制御のため所定の時間、防御装置６０−１を通過しないと、防御装置６０−１の攻撃検出モジュールは通信端末４０−１からの攻撃が終了したことを確定する。
［０１２１］　
　ルート情報通知ユニット１５は、リピータ・セレクタ１４が選択したリピータ３０に、自身の防御装置経由で被害者／目標にパケットを送るためにルート情報を通知する。さらに、攻撃検出モジュール６７が攻撃の終了を確定すると、ルート情報通知ユニット１５は、リピータ・セレクタ１４が選択したリピータ３０に、自身の防御装置経由でパケットが被害者／目標に送られないためのルート情報を通知する。
［０１２２］　
　［攻撃情報受領時の処理（第二実施態様）］　防御装置６０による攻撃情報受領時の操作を図１１において説明する。図１１は攻撃情報受領時の処理手順のフローチャートである。
［０１２３］　
　図１１に示すように、防御デバイ６０の攻撃情報プロセッサ６３が、検出器５０から送られた攻撃情報又は近傍の他の防御装置６０から送られた攻撃情報を受領すると（ステップＳ３１）、リピータ・セレクタ１４は、受領した攻撃情報に基づき、自身の装置経由で悪意のパケットを導くためのルート情報の通知先として、少なくとも一つのリピータ３０を選択する（ステップＳ３２）。
［０１２４］　
　具体的には、図９の例において、防御装置６０−１が検出器５０からの攻撃情報を受け取ると、リピータ・セレクタ１４は攻撃情報に基づき攻撃されたサーバ２０−１を特定し、ルート・テーブルから、特定されたサーバ２０−１宛のパケットに関し次の中継先としてリピータ３０−１を確定し、防御装置６０−１近傍のリピータ３０−１と３０−２から通知先としてリピータ３０−２を選択し、リピータ３０−１を除外する。
［０１２５］　
　一方、防御装置６０−２が防御装置６０−１から攻撃情報を受け取ると、リピータ・セレクタ１４は攻撃情報に基づき攻撃されたサーバ２０−１を特定し、リピータ３０−２をルーティング・テーブルから特定されたサーバ２０−１宛のパケットに関する次の中継先として確定し、防御装置６０−２近傍のリピータ３０−２と３０−３からリピータ３０−３を通知先として選択し、リピータ３０−２を除外する。
［０１２６］　
　従って、防御装置６０のルート情報通知ユニット１５は、ステップ３２でリピータ・セレクタ１４が選択したリピータ３０に、防御装置経由で、パケットを被害者／目標に送るためのルート情報を通知する（ステップＳ３３）。具体的には、この例において、防御装置６０−１は、リピータ３０−２に防御装置６０−１経由でサーバ２０−１にパケットを送るためのルート情報を送り、そして防御装置６０−２は、リピータ３０−３に防御装置６０−２経由でパケットサーバ２０−１にパケットを送るためのルート情報を送る。
［０１２７］　
　防御装置６０の攻撃検出モジュール６７は、疑わしい署名と攻撃情報に含まれる正常状態情報に基づいて正常署名を生成し（ステップＳ３４）、攻撃情報に含まれる疑わしい署名とパケット・コントローラ１２内のステップＳ３４で生成された正常署名を登録する（フィルタリング・ユニット）（ステップＳ３５）。
［０１２８］　
　防御装置６０内の攻撃情報プロセッサ６３は、自身の装置近傍の防御装置６０の存在を確定する（ステップＳ３６）。近傍の防御装置６０が存在する場合（ステップＳ３６、イエス）、攻撃情報プロセッサ６３は、ステップＳ３１で受け取った攻撃情報を近傍の防御装置に送る（ステップＳ３７）。具体的に、上の例においては、近傍の防御装置６０−２が存在するため、防御装置６０−１は攻撃情報を防御装置６０−２に送る。しかしながら、防御装置６０−２は、近傍の防御装置６０が存在しないため、攻撃情報を送ることはない。
［０１２９］　
　ステップＳ３３での処理に基づきルート情報を受け取ったリピータ３０−２と３０−３は、通知されたルート情報に基づきルーティング・テーブルを変更する。その結果、リピータ３０−２はサーバ２０−１宛の悪意のパケットを、防御装置６０−１に中継し、リピータ３０−３は、サーバ２０−１宛の悪意のパケットを、防御装置６０−２に中継する。防御装置６０−１と６０−２はサーバ２０−１宛のパケットを中継し、同時に、攻撃情報に基づき、リピータ３０−２と３０−３から中継された悪意のパケットの流れを制御する。
［０１３０］　
　［攻撃終了の確定処理（第二実施態様）］　防御装置６０が実行する攻撃終了の確定操作を図１２において説明する。図１２は攻撃終了の確定処理手順のフローチャートである。
［０１３１］　
　図２に示すように、防御装置６０の攻撃検出モジュール６７は、悪意のパケットの自身の防御装置への伝送が終了したことを判定する（ステップＳ４１）。具体的には、図９に示す例において、悪意のパケットが、防御装置６０−２による悪意のパケットの流れ制御により、所定の時間、防御装置６０−１を通過しない時、防御装置６０−１の攻撃検出モジュール６７は、通信端末４０−１からの攻撃は終了したと確定する。
［０１３２］　
　防御装置６０のユニット１５のルート情報通知ユニット１５は、図１１のステップＳ３２で選択されたリピータ３０に、自身の装置経由でパケットを被害者／目標に送るためのルート情報を通知する（ステップＳ４２）。具体的には、図９に示す例において、防御装置６０−１は、先にルーティング・テーブルを変更したリピータ３０−２に、自身の装置経由でサーバ２０−１宛のパケットを導かないためのルート情報を通知する。
［０１３３］　
　パケット・コントローラ１２（フィルタリング・ユニット）は、リリースされた署名に基づきパケットの流れを制御するための処理を終了するため、登録された疑わしい署名、正常署名等をリリースする（ステップＳ４３）。すなわち、パケット・コントローラ１２は、サーバ２０−１宛の悪意のパケット制御のため登録された、疑わしい署名、正常署名等を削除する。
［０１３４］　
　ステップＳ４２での処理に基づくルート情報を受け取ったリピータ３０−２は、通知されたルート情報に基づきルーティング・テーブルを変更する。その結果、リピータ３０−２は、サーバ２０−１宛の悪意のパケットを、防御装置６０−１ではなくリピータ３０−１へ中継する。したがって、通信端末４０−１からの悪意のパケットは、リピータ３０−３、防御装置６０−２、リピータ３０−２、そしてリピータ３０−１経由でサーバ２０−１に中継される。
［０１３５］　
　図１２に示したステップＳ４１の操作は、防御装置６０経由で悪意のパケットを導くためのルート情報が、リピータ３０に通知されたあと任意の時間後に、例えば、図１１に示したステップＳ３３の後に開始するのが望ましい。
［０１３６］　
　［第二実施態様の効果］　第二実施態様に基づき、防御装置６０は、攻撃情報を自身の装置（防御装置６０）近傍の他の防御装置に送る。さらに、他の防御装置６０から攻撃情報を受け取った時、防御装置６０はリピータ３０を選択するが、これは、選択されたリピータ３０から自身の装置への悪意のパケットの流れを制御するため、攻撃情報に基づき、自身の装置経由で悪意のパケットを導くためのルート情報の通知先となる。従って、攻撃は、攻撃ソースに近い防御装置によって防ぐことができる。
［０１３７］　
　第二実施態様に基づき、リピータ３０から自身の装置に導かれた悪意のパケットの伝送が終了すると、自身の装置経由で悪意のパケットを導かないためのルート情報がリピータ３０に再度通知される。従って、防御装置６０経由の悪意のパケット６０迂回の効果的な切り替えができる。」
　上記引用例１の記載及び図面並びにこの分野における技術常識を考慮すると、上記イ．の［０００１］における「本発明は、悪意のパケットの流れを制御するため、ネットワーク上のサーバ又はドメイン宛の悪意のパケットを中継するリピータへルート情報を送るための防御装置、防御方法、防御プログラム、そしてネットワーク攻撃防御システムに関するものである。」との記載、同イ．の［０００２］における「従来、Denial of Service（ＤｏＳ）攻撃又はDistributed Denial of Service（ＤＤＯＳ）攻撃を被るネットワーク上のサーバを防御する防御装置及びサーバへのパケット伝送を中継する複数ルータ・・・ネットワーク攻撃防御システムでは、サーバへの攻撃が検出されると、防御装置は、パケットが自身の装置を通るよう所定のルータにルート情報を通知し、それによって自身の装置を通るパケットをフィルターし、フィルターを通過したパケットをサーバに送る。」との記載によれば、引用例１の防御方法は、ＤＤＯＳ攻撃を防ぐための方法である。
　また、上記ロ．の［０１０８］における「通信端末４０−１が攻撃者で、攻撃の悪意のパケットがサーバ２０−１に伝送される場合、検出器５０は、サーバ２０−１への攻撃を検出し、防御装置６０−１への攻撃の検出を示す攻撃情報を防御装置６０−１に伝送する（図９の（１）と（２）を参照）。防御装置６０は、防御装置６０を制御するための制御ネットワークに接続され、攻撃情報は制御ネットワーク経由で送られる。」との記載、同ロ．の［０１１２］における「防御装置６０−１は、リピータ３０−２にルート情報を通知し、攻撃情報を防御装置６０−１近傍の防御装置６０−２に伝送する（図９の（６）参照）。・・・防御装置６０−２は、受け取った攻撃情報から攻撃されたサーバ２０−１を特定し、リピータ３０−２を、ルーティング・テーブルから特定されたサーバ２０−１にアドレスされたパケットに関する次の中継先として確定し、防御装置６０−２近傍のリピータ３０−２と３０−３からリピータ３０−３を選択し、リピータ３０−２を除外する。」との記載、同ロ．の［０１１３］における「リピータ３０を選択後、防御装置６０−２は、選択したリピータ３０−３に自身の装置経由で悪意のパケットを導くためのルート情報を通知し（図９の（８）参照）、リピータ３０−３は通知されたルート情報をもとにルーティング・テーブルを変更する（図９の（９）参照）。・・・悪意のパケットは、リピータ３０−３、防御装置６０−２、リピータ３０−２、防御装置６０−１、そしてリピータ３０−１経由でサーバ２０−１に中継される。」との記載、及び図９によれば、引用例１の防御方法では、防御装置（６０−１）及び防御装置（６０−２）が、地理的に遠隔にある１つのサーバ（２０−１）に悪意のパケットを中継している。また、防御装置（６０−１）及び防御装置（６０−２）のそれぞれは、サーバ（２０−１）に対するＤＤＯＳ攻撃が検出されると、悪意のパケットを導くためのルート情報を通知し、この通知によって、悪意のパケットは、前述の防御装置（６０−１）及び防御装置（６０−２）の少なくとも１つにおいて受信されていることが読み取れる。
　そうすると、引用例１の防御方法は、サーバ（２０−１）は、防御装置（６０−１）及び防御装置（６０−２）から地理的に遠隔にある１つのサーバに対応し、防御装置（６０−１）及び防御装置（６０−２）のそれぞれは、サーバ（２０−１）に対するＤＤＯＳ攻撃が検出されると、悪意のパケットを導くためのルート情報を通知し、この通知によって、悪意のパケットは、前記防御装置（６０−１）及び防御装置（６０−２）の少なくとも１つにおいて受信されるということができる。
　また、上記ロ．の［０１１２］における「防御装置６０−１は、リピータ３０−２にルート情報を通知し、攻撃情報を防御装置６０−１近傍の防御装置６０−２に伝送する（図９の（６）参照）。・・・防御装置６０−２は、受け取った攻撃情報から攻撃されたサーバ２０−１を特定し、リピータ３０−２を、ルーティング・テーブルから特定されたサーバ２０−１にアドレスされたパケットに関する次の中継先として確定し、防御装置６０−２近傍のリピータ３０−２と３０−３からリピータ３０−３を選択し、リピータ３０−２を除外する。」との記載、上記イ．の［０００２］における「ネットワーク攻撃防御システムでは、サーバへの攻撃が検出されると、防御装置は、パケットが自身の装置を通るよう所定のルータにルート情報を通知し、それによって自身の装置を通るパケットをフィルターし、フィルターを通過したパケットをサーバに送る。」との記載、及び図９によれば、引用例１の防御方法は、前述の防御装置（６０−２）、すなわち、防御装置（６０−１）及び防御装置（６０−２）の１つにおいて、サーバ（２０−１）にアドレス指定された悪意のパケットに対して、防御機能を適用していることは明らかである。
　そうすると、引用例１の防御方法は、防御装置（６０−１）及び防御装置（６０−２）の少なくとも１つにおいて、サーバ（２０−１）にアドレス指定された悪意のパケットに対して、防御機能を適用しているということができる。
　また、上記ロ．の［０１１２］における「防御装置６０−１は、リピータ３０−２にルート情報を通知し、攻撃情報を防御装置６０−１近傍の防御装置６０−２に伝送する（図９の（６）参照）。・・・防御装置６０−２は、受け取った攻撃情報から攻撃されたサーバ２０−１を特定し、リピータ３０−２を、ルーティング・テーブルから特定されたサーバ２０−１にアドレスされたパケットに関する次の中継先として確定し、防御装置６０−２近傍のリピータ３０−２と３０−３からリピータ３０−３を選択し、リピータ３０−２を除外する。」との記載、同ロ．の［０１１３］における「リピータ３０を選択後、防御装置６０−２は、選択したリピータ３０−３に自身の装置経由で悪意のパケットを導くためのルート情報を通知し（図９の（８）参照）、リピータ３０−３は通知されたルート情報をもとにルーティング・テーブルを変更する（図９の（９）参照）。・・・悪意のパケットは、リピータ３０−３、防御装置６０−２、リピータ３０−２、防御装置６０−１、そしてリピータ３０−１経由でサーバ２０−１に中継される。」との記載、上記イ．の［０００２］における「ネットワーク攻撃防御システムでは、サーバへの攻撃が検出されると、防御装置は、パケットが自身の装置を通るよう所定のルータにルート情報を通知し、それによって自身の装置を通るパケットをフィルターし、フィルターを通過したパケットをサーバに送る。」との記載、及び図９によれば、引用例１の防御方法は、ＤＤＯＳ攻撃を検出している時、すなわち、ＤＤＯＳ攻撃を示すネットワーク状態の間、防御装置（６０−１）及び防御装置（６０−２）に、前述の防御機能に基づいて前述のサーバ（２０−１）にアドレス指定された前述の悪意のパケットをフィルタ処理していることが読み取れる。
　そうすると、引用例１の防御方法は、ＤＤＯＳ攻撃を示すネットワークの状態の間、防御装置（６０−１）及び防御装置（６０−２）に、防御機能に基づいてサーバ（２０−１）にアドレス指定された悪意のパケットをフィルタ処理させるということができる。
　そして、前述のフィルタ処理は、サーバ（２０−１）に向かってフィルタ処理されたパケットを発信することであって、フィルタ処理されたパケットは、非合法と決定されたサーバ（２０−１）にアドレス指定された悪意のパケットを除くことであることは技術常識である。
　したがって、上記引用例１には、以下の発明（以下、「引用発明１」という。）が記載されているものと認められる。
　「ＤＤＯＳ攻撃を防ぐための方法であって、
　サーバ（２０−１）は、防御装置（６０−１）及び防御装置（６０−２）から地理的に遠隔にある１つのサーバに対応し、前記防御装置（６０−１）及び防御装置（６０−２）のそれぞれは、前記サーバ（２０−１）に対するＤＤＯＳ攻撃が検出されると、悪意のパケットを導くためのルート情報を通知し、この通知によって、前記悪意のパケットは、前記防御装置（６０−１）及び防御装置（６０−２）の少なくとも１つにおいて受信される、ことと、
　前記防御装置（６０−１）及び防御装置（６０−２）の少なくとも１つにおいて、前記サーバ（２０−１）にアドレス指定された前記悪意のパケットに対して、防御機能を適用することと、
　前記ＤＤＯＳ攻撃を示すネットワークの状態の間、前記防御装置（６０−１）及び防御装置（６０−２）に、前記防御機能に基づいて前記サーバ（２０−１）にアドレス指定された前記悪意のパケットをフィルタ処理させることと、
　前記サーバ（２０−１）に向かって前記フィルタ処理されたパケットを発信することであって、前記フィルタ処理されたパケットは、非合法と決定された前記サーバ（２０−１）にアドレス指定された悪意のパケットを除く、ことと、
　を含む方法。」
Ｂ　原審の拒絶理由に引用された、本願の優先権主張の日前に日本国内において頒布された刊行物である特表２００６−５１７０６６号公報（平成１８年７月１３日公開、以下、「引用例２」という。）には、図面とともに以下の事項が記載されている。 
イ．「【０００１】
　本発明は、一般に、通信ネットワーク上でのサービス妨害攻撃および分散サービス妨害攻撃（併せてＤＤｏｓ攻撃と呼ばれる）などのサービス攻撃を軽減することに関する。より詳細には、本発明は、エッジ／顧客ネットワークに向けられたＤＤｏｓ攻撃を検出すること、ならびに、サービスプロバイダネットワークにおけるＤＤｏｓおよび非ＤＤｏｓトラフィックをリダイレクトし、次いで、ＤＤｏｓトラフィックがエッジ／顧客ネットワークに到達する前に選択的にそのトラフィックを除去することによってこのような攻撃を軽減することに関する。」（４頁）
ロ．「【００１１】
　図２は、エッジ／顧客ネットワーク２０４／２０６におけるＤＤｏＳ攻撃を動的に検出しこれらの攻撃を軽減するための本発明の独創的なＤＤｏＳ検出および軽減システムの、例示的な実施形態を示す図である。本発明の独創的なシステムの特徴は、顧客ネットワーク２０４／２０６に向けられたＤＤｏＳ攻撃を検出し、ＩＳＰネットワーク２０２においてこれらの攻撃を軽減することである。重要な点は、本発明の独創的なシステムは、各顧客ネットワークにおいて特別な専用ハードウェアの設置を必要としないということである。さらに、本発明の独創的なシステムは、ＩＳＰネットワーク内においてＤＤｏＳ攻撃を軽減するため、悪意のあるトラフィックは、エッジルータ２２６／２２８、アクセスルータ２１４／２１５、およびアクセスリンク２１６／２１７を介して顧客ネットワーク２０４／２０６に向けて送られることはなく、したがってＤＤｏＳでないトラフィックに対するＤＤｏＳトラフィックの影響が除去されるようになるという点が重要である。
【００１２】
　具体的には、本発明の独創的なＤＤｏＳ検出および軽減システムは、ボーダルータ２２０、２２２、および２２４、ならびにエッジルータ２２６、および２２８を含めたＩＳＰネットワーク２０２内の既存のインフラストラクチャを含み、さらにＩＳＰネットワーク内に配置された１つまたは複数のフィルタルータ２３０（図２には１つのフィルタルータのみを示す）、フィルタルータ２３０内に配置された複数のトラフィックルータ２５０、各ボーダおよびエッジルータから各フィルタルータへの予め設けられたＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４２、２４４、および２４６、ＩＳＰネットワーク内に配置された解析エンジン２３２、各顧客ネットワーク２０４／２０６に関連付けられたセンサ２３４／２３６、ならびに各センサ２３４／２３６に配置された複数のセンサフィルタ２４８を備える。ＩＳＰネットワーク２０２は、複数のコアネットワークルータおよび接続機器（ｃｏｎｎｅｃｔｉｏｎ）をさらに備え、これらのルータおよび接続機器は、解析エンジン２３２、フィルタルータ２３０、ならびにボーダおよびエッジルータ２２０、２２２、２２４、２２６、および２２８を相互に接続する。作図を容易にするため、図２には、このようなコアのルータおよび接続機器を示していない。
【００１３】
　本発明によれば、センサ２３４／２３６は、ＩＳＰネットワーク２０２からエッジルータ２２６／２２８、アクセスリンク２１６／２１７、およびアクセルータ２１４／２１５を経由して顧客ネットワーク２０４／２０６に入るすべてのトラフィックを監視し、起こり得るＤＤｏＳ攻撃に関してセンサフィルタ２４８を介して解析する。ネットワーク２０４などの顧客ネットワークに対するＤＤｏＳ攻撃は、インターネット２０８、ピアの自律システム２１０および２１２、ならびに／またはＩＳＰネットワーク２０２からサービスを受ける他の顧客ネットワーク２０６から発信される可能性がある。センサ２０４などのセンサは、攻撃を検知し、解析エンジン２３２にその攻撃について伝える。このような攻撃の表示を受け取ると、解析エンジン２３２は、各ボーダルータ２２０、２２２、および２２４、ならびに各エッジルータ２２８に新しいルーティング情報を公示する（あるいは、２つ以上のフィルタルータが用いられる場合は、ボーダおよびエッジルータの一部に公示する）よう、１つまたは複数のフィルタルータ２３０を設定する。フィルタルータ２３０は、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４４、および２４６を介して、この新しいルーティング情報をボーダおよびエッジルータに公示する。この新しいルーティング情報は、ボーダおよびエッジルータに、顧客ネットワークに向けられているすべてのＤＤｏＳおよび非ＤＤｏＳトラフィックを経路変更し、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４４、および２４６を使用してフィルタルータ２３０に送るように指示する。トラフィックフィルタ２５０は、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４４、および２４６の入口ポートに予めプロビジョニングされており、ボーダおよびエッジルータからリダイレクトされたトラフィックを自動的にフィルタリングして、ＤＤｏＳトラフィックを除去し、すべての非ＤＤｏＳトラフィックをＩＳＰネットワーク２０２に送り返して顧客ネットワーク２０４に転送する。本発明の独創的な検出および軽減システムを使用した結果、ＤＤｏＳトラフィックは、ＩＳＰ２０２内にあるうちにハイエンドシステムによって除去され、エッジルータ２２６、アクセスリンク２１６、およびアクセスルータ２１４を介し顧客ネットワーク２０４に向けて集約され送られることがなくなり、したがって、これらの資源におけるボトルネックの発生が防止される。したがって、非ＤＤｏＳトラフィックは、ＤＤｏＳ攻撃の影響を受けずに大部分が顧客ネットワーク２０４に向けて引き続き移動することが可能になる。」（７〜８頁）
　上記引用例２記載及び図面並びにこの分野における技術常識を考慮すると、上記イ．の【０００１】における「本発明は、一般に、通信ネットワーク上でのサービス妨害攻撃および分散サービス妨害攻撃（併せてＤＤｏｓ攻撃と呼ばれる）などのサービス攻撃を軽減することに関する。より詳細には、本発明は、エッジ／顧客ネットワークに向けられたＤＤｏｓ攻撃を検出すること、ならびに、サービスプロバイダネットワークにおけるＤＤｏｓおよび非ＤＤｏｓトラフィックをリダイレクトし、次いで、ＤＤｏｓトラフィックがエッジ／顧客ネットワークに到達する前に選択的にそのトラフィックを除去することによってこのような攻撃を軽減することに関する。」との記載、上記ロ．の【００１３】における「センサ２０４などのセンサは、攻撃を検知し、解析エンジン２３２にその攻撃について伝える。このような攻撃の表示を受け取ると、解析エンジン２３２は、各ボーダルータ２２０、２２２、および２２４、ならびに各エッジルータ２２８に新しいルーティング情報を公示する（あるいは、２つ以上のフィルタルータが用いられる場合は、ボーダおよびエッジルータの一部に公示する）よう、１つまたは複数のフィルタルータ２３０を設定する。」との記載、及び図２によれば、引用例２のＤＤｏｓ攻撃と呼ばれるサービス攻撃を軽減する方法は、ＩＳＰ内のフィルタルータにネットワークトラフィックをルーティングさせる設定をすることである。
　したがって、上記引用例２には、以下の発明（以下、「引用発明２」という。）が記載されているものと認められる。
　「ＤＤｏｓ攻撃と呼ばれるサービス攻撃を軽減する方法において、ＩＳＰ内のフィルタルータにトラフィックをルーティングさせる設定をすること。」
Ｃ　原審の拒絶理由に引用された、本願の優先権主張の日前に日本国内において頒布された刊行物である特開２００３−２８３５７１号公報（平成１５年１０月３日公開、以下、「引用例３」という。）には、図面とともに以下の事項が記載されている。
イ．「【０００１】
【発明の属する技術分野】この発明は、通信ネットワークにおいて大量の通信パケット（通信トラフィック）を被攻撃者に向けて送りつけることによって機能障害を引き起こすことを狙った攻撃を防御するための防御方法、およびその防御方法を実現する通信装置ならびにコンピュータプログラムに関する。特に、通信ネットワークにおけるサービス不能（ＤｏＳ，Denial of Service）攻撃、とりわけ分散型サービス不能（ＤＤｏＳ，Distributed Denial of Service ）攻撃を防御するための技術に関する。」（４頁５〜６欄）
ロ．「【００２４】
【発明の実施の形態】以下、図面を参照しこの発明の一実施形態について説明する。図１は、本実施形態が前提とするネットワークの構成である。図１に示すように、通信ネットワークは、複数の通信装置７００１によって接続されている。そして、通信装置７００１には１台または複数台のユーザのコンピュータ７０００を接続することができるようになっている。ユーザのコンピュータ７０００相互間で通信データのやりとりを行う際には、送信元のユーザのコンピュータ７０００が送信したパケットを通信ネットワーク上の各ノードに位置する通信装置７００１が順次転送することにより、そのパケットを宛先のユーザのコンピュータ７０００に届けるようにする。
【００２５】〜【００２８】（略）
【００２９】次に、上述した通信装置同士が協調的に動作することによりネットワーク全体を通してＤＤｏＳ攻撃を防御する方法の概略を説明する。図３は、本実施形態による防御のしくみを示す論理的概略図である。図３において、符号７０００ａは被攻撃者のコンピュータである。被攻撃者のコンピュータ７００１ａとなる可能性があるのは、例えば、著名なウェブサイトのサーバコンピュータなどであり、このコンピュータ７０００ａがＤＤｏＳ攻撃を受けたときに防御のしくみが働く。また、７００１ａ〜７００１ｅは、それぞれネットワークを構成する通信装置（具体的にはルータやスイッチなど）であり、図２を用いて説明した通信装置７００１に相当するものである。
【００３０】これらの通信装置（７００１ａ〜７００１ｅ）のうち、通信装置７００１ａは、被攻撃者のコンピュータ７０００ａに直接に隣接するものであり、つまり被攻撃者のコンピュータ７０００ａ側から見てネットワークへの接点となるものであり、このような位置付けの通信装置を「境界（edge）通信装置」と呼ぶことにする。そして、この境界通信装置が防御指令元としての役割、つまりこの防御のしくみ全体を制御する中心としての役割を果たす。また、通信装置７００１ｂおよび７００１ｃ（シールド通信装置）は、防御指令元からの指令に基づき通信トラフィックを検査するとともに、ＤＤｏＳ攻撃の通信パケットを破棄するなど、シールドとしての役割を果たす。また、通信装置７００１ｅ（プローブ通信装置）は、シールドからさらに上位において防御を行うためのプローブとしての役割を果たす。
【００３１】各通信装置の、防御指令元、シールド、およびプローブとしての、それぞれの具体的な処理内容を以下に記載する。防御指令元が行う処理のひとつはシールドレベルの設定である。ここで、シールドレベルとは、防御指令元から見て、ネットワークの外側への通信装置の接続の段数（深さ）である。図３に示している構成では、シールドレベルは「２」に設定されているため、防御指令元の通信装置７００１ａから見て１段目の通信装置７００１ｂおよび２段目の通信装置７００１ｃがシールドの役割を果たす。図３ではシールドレベルが「２」に設定されている例を示しているが、他のレベルに設定することも可能であり、また動的にレベルを変更することも可能である。例えば、被攻撃者のコンピュータ７０００ａへの攻撃の度合いが大きい場合にはシールドレベルが高くなるように動的に変更することができる。また、防御指令元は、防御指令元から転送され他の通信装置上で稼動する全てのシールドモジュールに対する制御を行う。また、防御指令元は、必要に応じて稼動中のシールドモジュールの動作を停止させることもできる。」（７頁１１欄〜８頁１４欄）
　上記引用例３の記載及び図面並びにこの分野における技術常識を考慮すると、上記イ．の【０００１】における「通信ネットワークにおけるサービス不能（ＤｏＳ，Denial of Service）攻撃、とりわけ分散型サービス不能（ＤＤｏＳ，Distributed Denial of Service ）攻撃を防御するための技術に関する。」との記載、上記ロ．の【００３１】における「防御指令元が行う処理のひとつはシールドレベルの設定である。ここで、シールドレベルとは、防御指令元から見て、ネットワークの外側への通信装置の接続の段数（深さ）である。図３に示している構成では、シールドレベルは「２」に設定されているため、防御指令元の通信装置７００１ａから見て１段目の通信装置７００１ｂおよび２段目の通信装置７００１ｃがシールドの役割を果たす。」との記載、及び図３によれば、引用例３の分散型サービス不能（ＤＤｏＳ，Distributed Denial of Service ）攻撃を防御するための方法は、通信トラフィックに対して、通信装置（７００１ｂ）及び通信装置（７００１ｃ）で複数段階のシールドをすることであって、通信装置（７００１ｂ）を、被攻撃者のコンピュータ（７０００ａ）に地理的に近位に配置することが読み取れる。
　したがって、上記引用例３には、以下の発明（以下、「引用発明３」という。）が記載されているものと認められる。
　「分散型サービス不能（ＤＤｏＳ，Distributed Denial of Service ）攻撃を防御するための方法において、通信トラフィックに対して、通信装置（７００１ｂ）及び通信装置（７００１ｃ）で複数段階のシールドをすることであって、通信装置（７００１ｂ）を、被攻撃者のコンピュータ（７０００ａ）に地理的に近位に配置すること。」
（３）対比・判断 
　補正後の発明と引用発明１とを対比する。 
ａ．引用発明１の「ＤＤＯＳ攻撃」が、補正後の発明の「サービス拒否攻撃」に相当し、ＤＤＯＳ攻撃を防ぐことが、サービス拒否状態の影響を軽減することといえるから、引用発明１の「ＤＤＯＳ攻撃を防ぐための」は、補正後の発明の「サービス拒否状態の影響を軽減するため」ということができる。
ｂ．引用発明１の「サーバ（２０−１）」は、ＤＤＯＳ攻撃される側の宛先ネットワークに有るから、補正後の発明の「サーバに対応」した「宛先ネットワーク」に相当する。
ｃ．引用発明１の「防御装置（６０−１）及び防御装置（６０−２）」は、ネットワーク上の複数の特定の位置に有ることは明らかであるから、「複数の特定の位置」と称することは任意である。
ｄ．ネットワークトラフィックが、ネットワークに送受信されるパケットからなることは技術常識であり、当該パケットの一部分に悪意のパケットが含まれるから、引用発明１の「悪意のパケット」は、補正後の発明の「ネットワークトラフィックの一部分」ということができる。
ｅ．本願明細書段落【００３７】における「ＰＯＰのそれぞれは、ＰＯＰを通る１つ以上のＢＧＰ経路を宣伝し、それによって関連づけられたＩＳＰに、ＰＯＰを通してデータセンター６０２にトラフィックを回送させてよい。」との記載によれば、補正後の発明の「前記複数の特定の位置を通る１つまたは複数の経路を通知す」ることは、ＰＯＰにトラフィックを通すために、ＰＯＰを通るＢＧＰ経路（ルート情報）を通知することと解される。
　一方、上記引用例１の上記ロ．の［０１１３］における「リピータ３０を選択後、防御装置６０−２は、選択したリピータ３０−３に自身の装置経由で悪意のパケットを導くためのルート情報を通知し（図９の（８）参照）、リピータ３０−３は通知されたルート情報をもとにルーティング・テーブルを変更する（図９の（９）参照）。・・・悪意のパケットは、リピータ３０−３、防御装置６０−２、リピータ３０−２、防御装置６０−１、そしてリピータ３０−１経由でサーバ２０−１に中継される。」との記載によれば、引用発明１の「悪意のパケットを導くためのルート情報を通知す」ることは、防御装置（６０−１）及び防御装置（６０−２）に悪意のパケットを導くために、防御装置（６０−１）及び防御装置（６０−２）を通るルート情報を通知することと解される。
　したがって、引用発明１の「悪意のパケットを導くためのルート情報を通知し」は、補正後の発明の「前記複数の特定の位置を通る１つまたは複数の経路を通知し」ということができる。
　また、引用発明１の「防御装置（６０−１）及び防御装置（６０−２）」は、補正後の発明の「複数の特定の位置」と称することができるから、「前記通知された１つまたは複数の経路上に存在する」ものということができる。
ｆ．本願明細書段落【００３３】における「緩和技術が受信されたトラフィックに適用され得る４１４。例えば、受信されたトラフィックのパケットが分析されてよく、分析によりパケットがＤＤｏＳ攻撃の一部であると識別された場合、パケットは遮断され得る。」との記載によれば、補正後の発明の「緩和技術」は、ＤＤｏＳ攻撃のパケットを遮断し得るものである。一方、引用発明１の「防御機能」は、ＤＤＯＳ攻撃の悪意のパケットを、フィルタ処理するものである。
　したがって、引用発明１の「防御機能」は、補正後の発明の「緩和技術」ということができる。
ｇ．引用発明１の「防御装置（６０−１）及び防御装置（６０−２）」は、補正後の発明の「前記複数の特定の位置のそれぞれにある１つまたは複数のコンピューティングデバイス」に相当する。
　したがって、補正後の発明と引用発明１は、以下の点で一致ないし相違している。
（一致点） 
　「サービス拒否状態の影響を軽減するための方法であって、
　　１つまたは複数の宛先ネットワークは、複数の特定の位置から地理的に遠隔にある１つまたは複数のサーバに対応し、前記複数の特定の位置のそれぞれは、前記１つまたは複数の宛先ネットワークに対するサービス拒否攻撃が検出されると、前記複数の特定の位置を通る１つまたは複数の経路を通知し、この通知によって、前記ネットワークトラフィックの少なくとも一部分は、前記通知された１つまたは複数の経路上に存在する前記複数の特定の位置の少なくとも１つにおいて受信される、ことと、
　前記通知された１つまたは複数の経路上に存在する前記複数の特定の位置の少なくとも１つにおいて、前記１つまたは複数の宛先ネットワークにアドレス指定された前記ネットワークトラフィックの前記少なくとも一部分に対して、第１の緩和技術群を適用することと、
　　少なくとも、前記サービス拒否攻撃を示すネットワーク状態の間、前記複数の特定の位置のそれぞれにある１つまたは複数のコンピューティングデバイスに、前記第１の緩和技術群の少なくとも一部に基づいて前記１つまたは複数の宛先ネットワークにアドレス指定された前記ネットワークトラフィックをフィルタ処理させることと、
　　前記１つまたは複数の宛先ネットワークに向かって前記フィルタ処理されたネットワークトラフィックを発信することであって、前記フィルタ処理されたネットワークトラフィックは、非合法と決定された前記１つまたは複数の宛先ネットワークにアドレス指定されたネットワークトラフィックを除く、ことと、
　を含む、方法。」
（相違点１）
　一致点の「サービス拒否状態の影響を軽減するための方法」に関し、
　補正後の発明は、「コンピュータにより実現される」のに対し、引用発明１は、コンピュータにより実現されるか明らかでない点。
　これに伴って、
　補正後の発明の「方法」は、「実行可能命令を備えて構成される１つまたは複数のコンピュータシステムの制御下で」実現されるのに対し、引用発明１は、その様に実現されるか明らかでない点。
（相違点２）
　補正後の発明は、「少なくとも１つの遠隔ネットワークサービスプロバイダに、複数の特定の位置を通じて、１つまたは複数の宛先ネットワークにアドレス指定されたネットワークトラフィックの少なくとも一部分をルーティングさせる１つまたは複数のアクションを行うことである」ことを含むのに対し、引用発明１は、その様な構成を備えない点。
（相違点３）
　補正後の発明は、「前記フィルタ処理されたネットワークトラフィックに対して、緩和デバイスで第２の緩和技術群を適用することであって、前記緩和デバイスは、前記複数の特定の位置よりも前記１つまたは複数の宛先ネットワークに地理的に近位に配置される」のに対し、引用発明１は、その様な構成を備えない点。
　そこで、まず、上記相違点１について検討する。
　ネットワーク装置一般において、構成要素をコンピュータで実現することは普通のことであり、また、コンピュータを制御する際に実行可能命令を備えることは技術常識である。
　そうすると、引用発明１は、「ＤＤＯＳ攻撃を防ぐための方法」であるところ、ネットワーク装置で、具体的に実現する際、コンピュータにより実現すること、これに伴って、実行可能命令を備えて構成される１つまたは複数のコンピュータシステムの制御下で実現されること、すなわち、上記相違点１に係る構成のようにすることは、当業者が容易に想到し得ることである。
　次に、上記相違点２について検討する。
　上記「（２）引用発明」の項Ｂのとおり、引用例２には、「ＤＤｏｓ攻撃と呼ばれるサービス攻撃を軽減する方法において、ＩＳＰ内のフィルタルータにトラフィックをルーティングさせる設定をすること。」との引用発明２が記載されている。そして、引用発明１と引用発明２とは、ＤＤＯＳ攻撃を防ぐための方法という点で技術分野及び課題が共通し、引用発明１に引用発明２を採用する際に特段の阻害要因は見当たらない。
　そうすると、引用発明１の「前記防御装置（６０−１）及び防御装置（６０−２）のそれぞれ」が、ＤＤＯＳ攻撃が検出されると、悪意のパケットを導くためのルート情報を通知し、この通知によって、前記悪意のパケットが、前記防御装置（６０−１）及び防御装置（６０−２）の少なくとも１つにおいて受信されるに際し、引用発明２を採用し、ＩＳＰ（ネットワークサービスプロバイダ）に、防御装置（６０−１）及び防御装置（６０−２）（複数の特定の位置）を通じて、悪意のパケット（ネットワークトラフィックの一部分）をルーティングさせる設定をすること、すなわち、上記相違点２に係る構成とすることは、当業者が容易に想到し得るものである。
　次に、上記相違点３について検討する。
　上記「（２）引用発明」の項Ｃのとおり、引用例３には、「分散型サービス不能（ＤＤｏＳ，Distributed Denial of Service ）攻撃を防御するための方法において、通信トラフィックに対して、通信装置（７００１ｂ）及び通信装置（７００１ｃ）で複数段階のシールドをすることであって、通信装置（７００１ｂ）を、被攻撃者のコンピュータ（７０００ａ）に地理的に近位に配置すること。」との引用発明３が記載されている。そして、引用発明１と引用発明３とは、ＤＤＯＳ攻撃を防ぐための方法という点で技術分野及び課題が共通し、引用発明１に引用発明３を採用する際に特段の阻害要因は見当たらない。
　そうすると、引用発明１の「防御機能」を適用するに際し、引用発明３を採用し、悪意のパケット（ネットワークトラフィック）に対して、複数段のシールドをして、防御機能を、防御装置（６０−１）及び防御装置（６０−２）よりもサーバ（２０−１）に地理的に近位に配置すること、すなわち、上記相違点３に係る構成とすることは、当業者が容易に想到し得るものである。
　そして、補正後の発明の作用効果も、引用発明１ないし３から当業者が容易に予測できる範囲のものである。 
 　 
　以上のとおり、補正後の発明は引用発明１ないし３に基づいて容易に発明をすることができたものであるから、特許法第２９条第２項の規定により、特許出願の際独立して特許を受けることができないものである。 
 　 
４．結語 
　したがって、本件補正は、特許法第１７条の２第６項において準用する同法第１２６条第７項の規定に違反するので、同法第１５９条第１項において読み替えて準用する同法第５３条第１項の規定により却下すべきものである。  
 　 
第３　本願発明について 
１．本願発明 
　平成２７年７月３１日付けの手続補正は上記のとおり却下されたので、本願発明は、上記「第２　補正却下の決定　１．本願発明と補正後の発明」の項で「本願発明」として認定したとおりである。 
　 
２．引用発明及び周知技術
　引用発明は、上記「第２　補正却下の決定」の項中の「３．独立特許要件について」の項中の「（２）引用発明」の項で認定したとおりである。 
 　 
３．対比・判断 
　本願発明は上記補正後の発明から本件補正に係る限定を省いたものである。 
　そうすると、本願発明の構成に本件補正に係る限定を付加した補正後の発明が、上記「第２　補正却下の決定」の項中の「３．独立特許要件について」の項で検討したとおり、引用発明１ないし３に基づいて容易に発明できたものであるから、本願発明も同様の理由により、容易に発明できたものである。 
　 
４．むすび 
　以上のとおり、本願発明は、引用発明１ないし３に基づいて当業者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。 
　したがって、本願は、その余の請求項に論及するまでもなく拒絶すべきものである。
　よって、結論のとおり審決する。