【事件の表示】
　特願２００９−５３５２７４「１つまたは複数のパケット・ネットワーク内で悪意のある攻撃中に制御メッセージを送達する方法および装置」拒絶査定不服審判事件〔平成２０年　５月２９日国際公開、ＷＯ２００８／０６３３４４、平成２２年　３月１８日国内公表、特表２０１０−５０８７６０〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
１．手続の経緯と本願発明
　本件出願は、２００７年１０月２３日（パリ条約による優先権主張外国庁受理２００６年１１月３日、米国）を国際出願日とする出願であって、平成２３年８月１６日付けで拒絶査定がなされ、これを不服として平成２３年１２月２２日付けで審判請求がなされるとともに手続補正がなされたものであって、その請求項１に係る発明（以下、「本願発明」という。）は、平成２３年１２月２２日付け手続補正書の特許請求の範囲の請求項１に記載された以下のとおりのものと認める。
　
「ターゲット装置によって、望まれないトラフィックに対して防御する方法であって、ターゲット装置は１つまたは複数の宛先アドレスを有し、
　１つまたは複数のソースＩＰアドレスから受信されるパケットの分析に基づいて、望まれないトラフィックが前記ターゲット装置によって受信されることを判定するステップと、
　サービス・プロバイダに関連する中央フィルタに告発メッセージを送信するステップとを含み、前記ターゲット装置へのパケットのそれによる送信が制限される、捨てられる、および許可されるのうちの１つまたは複数であると前記告発メッセージ内で指定される少なくとも１つのソース・コンピューティング・デバイスのソース・アドレスを、前記告発メッセージが識別し、前記告発メッセージが、前記中央フィルタからの即座の肯定応答を必要としない告発プロトコルを使用して送信される、方法。」
　
２．引用発明
　原査定の拒絶の理由に引用された米国特許出願公開第２００６／０２４８５８８号明細書(以下、「引用例」という。)には、「DEFENDING DENIAL OF SERVICE ATTACKS IN AN INTER-NETWORKED ENVIRONMENT（インターネットワーク環境でのサービス拒否攻撃の防御）」（（）内は当審仮訳。以下も同様。）に関し、図面とともに以下の事項が記載されている。
　
ア．「［０００３］2. Related Art 
　
［０００４］ An inter-networked environment generally refers to a conglomeration of independent networks. Typically, each network contains multiple end systems, and the networks are connected by routers, which operate using the Internet protocol (IP). For example, in one common scenario, a customer premise equipment (CPE) and a service-provider equipment (SPE) are respectively provided at the edges of enterprise and internet service provider (ISP) networks. The enterprise network contains several user systems which access various servers and services available on the Internet via CPE, SPE and Internet, as is well known in the relevant arts.
　
［０００５］Denial of service (DoS) attacks are often of concern in inter-networked environments. A DoS attack generally floods a target device (end system or routers) with malicious packets which consume various resources (processing, memory/buffer, etc.) on the target device, thereby rendering the target device at least unable to process packets at full potential. Often, the capacity of the target device to process valid user packets is substantially diminished, and it is therefore desirable to 'defend' (somehow avoid/mitigate the attacks, or the effects thereof) against such DoS attacks. 
　
（［０００３］２．関連技術
　
［０００４］インターネットワーク環境とは、一般に、独立したネットワークの集塊をいう。典型的には、各ネットワークは複数のエンドシステムを含み、ルーターで接続され、そのルーターはインターネットプロトコル（ＩＰ）を用いて動作する。例えば、ある通常のシナリオでは、１つの利用者施設内装置（ＣＰＥ）と１つのサービスプロバイダ装置（ＳＰＥ）が、夫々、企業ネットワークとインターネットサービスプロバイダー（ＩＳＰ）ネットワークの境界に設けられる。関連技術でよく知られているように、企業ネットワークは、ＣＰＥ，ＳＰＥ，インターネットを介して各種サーバーやインターネット上で利用可能なサービスにアクセスする複数のユーザーシステムを含む。
　
［０００５］サービス拒否（ＤｏＳ）攻撃は、ネットワーク環境においてしばしば問題となる。ＤｏＳ攻撃は、一般に、ターゲット装置（エンドシステムやルーター）に悪意のあるパケットを氾濫させ、ターゲット装置上の各種のリソース（処理機能、メモリ／バッファ、等）を消費させ、それにより、ターゲット装置が全力でパケットの処理を行うことを少なくとも不可能にする。しばしば、ターゲット装置が有効なユーザーパケットを処理する能力は大幅に削減され、したがって、そのようなＤｏＳ攻撃に対して‘防御する’（何とかして攻撃あるいは攻撃による影響を避ける／和らげる）ことが望ましい。）」（１頁左欄［０００３］−［０００５］）
　
イ．「3. Defending DoS Attacks 
 
［００２２］FIG. 2  is a flowchart illustrating the manner in which DoS attacks can be defended according to an aspect of the present invention. The description is provided with respect to  FIG. 1  merely for illustration. However, the flowchart can be implemented in other systems and environments, without departing from the scope and spirit of various aspects of the present invention. The flowchart begins in step  201 , in which control passes to step  210 . 
　
［００２３］ In step  210 , CPE  150 A receives data packets. In step  220 , CPE  150 A determines whether the received data packets indicate a denial of service (DoS) attack. Various approaches well known in the relevant arts can be used in detecting the DoS attack. However, in general, the determination is based on factors such as frequency of occurrence of a specific type of packets, the resources being consumed due to a type of packets, etc. The manner in which DoS attack can be determined in an example scenario (TCP SYN), is described in sections below. Control passes to step  230  if a DoS attack is deemed to have occurred and to step  210  otherwise. 
　
［００２４］ In step  230 , CPE  150 A notifies other router device(s) of the DoS attack, along with the related information. In an embodiment, all the adjacent routers (CPE  150 B, SPEs  160 A and  160 B) are notified of the attack. Either unicast packets (i.e., destination address of each packet equaling the IP address of the corresponding router sought to be notified) or multicast/broadcast packets can be used for the notification. 
　
［００２５］ The specific information sent depends on the attack type, as well as the manner in which the information can be used by the router devices in defending the attack. The specific information sent in response to a TCP SYN attack is described in sections below. The flowchart ends in step  299 . 
　
［００２６］ As noted above, other routers may collaborate in defending against DoS attacks. For illustration it is assumed that the notification of step  230  is sent to SPE  160 A. The manner in which SPE  160 A may operate in response, is described below with reference to  FIG. 3 . 
　
（３．ＤｏＳ攻撃の防御
　
［００２２］図２は、本発明の態様によりＤｏＳ攻撃から防御される様子を示すフローチャートである。その記述は、単なる例示として図１に関してなされている。しかしながら、そのフローチャートは、本発明の範囲及び種々の態様の趣旨から逸脱することなく、他のシステムや環境で実施し得る。フローチャートはステップ２０１で始まり、コントロールはステップ２１０に渡される。
　
［００２３］ステップ２１０で、ＣＰＥ１５０Ａはデータパケットを受信する。ステップ２２０で、ＣＰＥ１５０Ａは、受信したデータパケットがサービス拒否（ＤｏＳ）攻撃を示すかどうか決定する。関連技術でよく知られた種々のアプローチがＤｏＳ攻撃の検出に用いられ得る。しかしながら、一般に、その決定は、特定のタイプのパケットの発生頻度、あるタイプのパケットに費やされるリソース等の要因に基づいて行われる。例示するシナリオ（ＴＣＰ ＳＹＮ）においてＤｏＳ攻撃が決定されるやり方が、以下のセクションに記述される。もしＤｏＳ攻撃が起こったと見なされればコントロールはステップ２３０に行き、そうでなければステップ２１０に行く。
　
［００２４］ステップ２３０で、ＣＰＥ１５０Ａは関連情報とともにＤｏＳ攻撃を他のルーター装置に通知する。一実施例では、全ての隣接するルーター（ＣＰＥ１５０Ｂ、ＳＰＥｓ１６０Ａ、１６０Ｂ）は攻撃について通知される。その通知には、ユニキャストパケット（即ち、各パケットの宛先アドレスが、通知しようとしているルーターのＩＰアドレスに対応する）か、もしくは、マルチキャスト／ブロードキャストパケットが使用できる。
　
［００２５］送信される個々の情報は、攻撃のタイプ、及び、ルーター装置で攻撃を防御する際にその情報がどのように使用されるかに依存する。ＴＣＰ ＳＹＮ攻撃に対して送信される個々の情報が下記のセクションに記述される。フローチャートはステップ２９９で終了する。
　
［００２６］上記のように、ＤｏＳ攻撃に対する防御時に他のルーターが協働してもよい。例としては、ステップ２３０の通知はＳＰＥ１６０Ａに送られることを仮定している。これに応答してＳＰＥ１６０Ａがどのように動作するかが図３の参照番号とともに以下に記述される。）」（２頁左欄［００２２］−［００２６］）
　
ウ．「4. Collaborative Defense 
　
［００２７］ FIG. 3  is a flowchart illustrating the manner in which routers collaborate to defend against DoS attacks according to an aspect of the present invention. The description is provided with respect to SPE  160 A of  FIG. 1  merely for illustration. However, the flowchart can be implemented in other systems and environments, without departing from the scope and spirit of various aspects of the present invention. The flowchart begins in step  301 , in which control passes to step  310 . 
　
［００２８］ In step  310 , SPE  160 A receives notification (either by unicast or broadcast packets) of DoS attack detected by another system (CPE  150 A in the illustrative example), along with the related information. As noted above, the related information may contain data needed for the actions to be performed corresponding to the DoS attack type, and is described in further detail below for an example scenario (TCP SYN attack). 
　
［００２９］ In step  330 , SPE  160 A examines the related information to determine the action to be performed. The action depends on the specific DoS attack type and the information available in the specific instance. In step  350 , SPE  160 A performs the determined action. In an embodiment, the determined action corresponds to either blocking at least some of the packets causing the DoS attack, forwarding the notification to other routers and/or causing configuration of another system to defend against the DoS attack. The flowchart ends in step  399 . 
　
（４．協働防御
　
［００２７］図３は、本発明の一態様に従い、ＤｏＳ攻撃に対してどのようにルーターが協働するかを示すフローチャートである。単なる例示として、図１のＳＰＥ１６０Ａに関して記述が行われる。しかしながら、そのフローチャートは、本発明の範囲及び種々の態様の趣旨から逸脱することなく、他のシステムや環境で実施し得る。フローチャートはステップ３０１で始まり、コントロールはステップ３１０に渡される。
　
［００２８］ステップ３１０で、ＳＰＥ１６０Ａは、関連情報とともに、他のシステム（例示ではＣＰＥ１５０Ａ）によって検出されたＤｏＳ攻撃についての通知を（ユニキャスト又はブロードキャストパケットで）受信する。上記のように、関連情報は、ＤｏＳ攻撃のタイプに対応して実行される行為に必要とされるデータを含んでもよく、例示のシナリオ（ＴＣＰ ＳＹＮ攻撃）について以下に詳述される。
　
［００２９］ステップ３３０で、ＳＰＥ１６０Ａは、実行すべき行動を決定するために関連情報を検査する。その行動は、個々のＤｏＳ攻撃のタイプと個々のケースで取得可能な情報に依存する。ステップ３５０で、ＳＰＥ１６０Ａは決定した行動を実行する。一例では、その決定した行動は、ＤｏＳ攻撃を引き起こしているパケットの少なくとも一部をブロックすること、通知を他のルーターに転送すること、及び／又は、ＤｏＳ攻撃を防御できるよう他のシステムを構成すること、の何れかに対応する。フローチャートはステップ３９９で終了する。）」（２頁左欄［００２７］−同頁右欄［００２９］）
　
エ．「5. TCP SYN Attack 
　
・・・（中略）・・・
　
［００３３］ In the case of SYN attack, a malicious end system floods the second end system (victim) with TCP connection establishment packets with a spoof (non-existent machine) IP address. As a result, the second end system sends a reply packet, but does not receive the corresponding ACK (or TCP connection termination packet). Accordingly, resources would continue to be allocated due to the malicious packets received from the malicious end system, and the second end system is said to have experienced a TCP SYN DoS attack. 
　
・・・（中略）・・・
　
［００４０］ With respect to actions (of steps  330  and  350 ) in the case of SYN attacks, as noted above, the packets which would cause ongoing attack can be blocked. Accordingly, the information necessary for identifying such packets (e.g., the IP address(es) used as the source address of the malicious packets and the port number, or in general flow(s)) needs to be contained along with the notification. SPE  160 A may perform additional actions such as notifying administrator of the ISP, or passing the notification to security device specifically deployed to counter DoS attackes. 
　
［００４１］ In one embodiment, all the malicious packets are blocked only if the SYN attack is extremely severe (e.g., the number of open connections exceeding a corresponding threshold), and some of the packets (which would cause SYN attack) may be continued (i.e., the connection is throttled) to be forwarded if the attack is less severe. Accordingly, the packet format (for notification) may need to provide for the severity of the DoS attack as well. An example packet format meeting such requirements for DoS notification is described below.
　
（５．ＴＣＰ ＳＹＮ攻撃
　
　・・・（中略）・・・
［００３３］ＳＹＮ攻撃の場合には、悪意のあるエンドシステムが、なりすまし（実在しないマシンの）ＩＰアドレスのＴＣＰコネクション確立パケットであるＴＣＰ ＳＹＮパケットを第２のエンドシステム（被害者）に氾濫させる。その結果、第２のエンドシステムは応答パケットを送信するけれどもそれに対応するＡＣＫ（あるいはＴＣＰコネクション終了パケット）を受信しない。従って、悪意のあるエンドシステムから受信した悪意のあるパケットによってリソースが割り当てられ続け、第２のエンドシステムはＴＣＰ ＳＹＮ　ＤｏＳ攻撃を経験したと言われる。
　
・・・（中略）・・・
　
［００４０］ＳＹＮ攻撃のケースにおける行動（ステップ３３０及び３５０の）については、上記のように、現在の攻撃を引き起こしているパケットがブロックされる。従って、通知には、そのようなパケットを識別するのに必要な情報（例えば、悪意のあるパケットのソースアドレスとして使われているＩＰアドレス及びポート番号、あるいは、一般にフロー）が含まれる必要がある。ＳＰＥ１６０Ａは、ＩＳＰ管理者へ通知することや、ＤｏＳ攻撃に対抗するために特別に配備された装置にその通知を渡すこと等のような追加的行動を実行してもよい。
　
［００４１］一例では、ＳＹＮ攻撃が極端に深刻である（例えば、オープンなコネクションの数が対応する閾値を超える）場合にのみ、悪意のあるパケットの全てがブロックされ、攻撃があまり深刻でない場合、一部の（ＳＹＮ攻撃を引き起こしている）パケットは転送され続けてもよい（即ち、コネクションが調節される）。従って、（通知のための）パケットフォーマットは、ＤｏＳ攻撃の深刻さも提供する必要がある。ＤｏＳ通知のそのような要請を満たすパケットフォーマットの例が以下に記述される。）」（２頁右欄［００３１］−３頁左欄［００４１］）
　
オ．「6. Packet/Protocol for DoS Notification 
　
［００４２］ In an embodiment, ICMP protocol is extended to send the notification since routers not implementing the extensions would be designed to ignore the corresponding ICMP packets. ICMP packet format and the manner in which the protocol can be extended, is described in further detail in RFC  792 , entitled, “Internet Control Message Protocol: DARPA Internet Program”, available from www.ietf.org. Assuming a type field (byte number  13 ) is determined for the extension, the remaining packet format is depicted (with a offset of 0 bytes) in  FIG. 4 , and is described below. 
　
・・・（中略）・・・
　
［００４４］ Octets  3 _ 6  contain a timestamp when the packet was generated (or when the status was detected). Octets  7 - 10  indicate the first hop router (from CPE  150 A) when sending the packets to the attacker. Octets  11 - 14  contain the IP address of the attacker. Octet  15  indicates the severity level of the attack (as noted above, depending on the severity level, the packet discarding/blocking can be handled differently). 
　
（６．パケット／ＤｏＳ通知のプロトコル
　
［００４２］一例では、通知を送信するためにＩＣＭＰプロトコルが拡張される、なぜなら、拡張を実装していないルーターは対応するＩＣＭＰパケットを無視するはずだからである。ＩＣＭＰパケットのフォーマット及びプロトコルがどのように拡張されるかは、www.ietf.orgから取得できる“Internet Control Message Protocol: DARPA Internet Program”と題されたＲＦＣ７９２に、より詳しく記載されている。拡張のためのタイプフィールド（バイト番号１３）が決められたと仮定して、残りのパケットフォーマットは図４に示され（０バイトのオフセットで）、以下に記述される。
　
・・・（中略）・・・
　
［００４４］オクテット３−６は、そのパケットが生成された（あるいはその状態が検出された）時のタイムスタンプを含む。オクテット７−１０は、パケットを攻撃者に送信するときの（ＣＰＥ１５０Ａからの）最初のホップルーターを示す。オクテット１１−１４は、攻撃者のＩＰアドレスを含む。オクテット１５は、攻撃の深刻度を示す（上記したように、深刻度のレベルに応じて、そのパケットの廃棄／ブロックが異なって扱われる。））」（３頁左欄［００４２］−３頁右欄［００４４］）
　
カ．「7. CPE Implementation 
　
［００４９］FIG. 5  is a block diagram illustrating the details of implementation of CPE  150 A in an embodiment of the present invention. CPE  150 A is shown containing WAN (wide-area network) interface  510 , parsers  520  and  580 , routing table  530 , routing protocol block  540 , forwarding block  550 , memory  560 , DoS Block  570  and LAN interface  590 . Each block is described below in further detail. 
　
・・・（中略）・・・
　
［００５６］ Once a DoS attack is detected, DoS block  570  forms a packet (e.g., according to the format of  FIG. 4 ) representing a notification, and operates in conjunction with forwarding block  550  to cause the packet to be forwarded to SPE  160 A (to notify other routers in the path to the attacker causing DoS). DoS block  570  may, in addition, cause (self) configuration (e.g., cause forwarding block  550  to block packets) of CPE  150 A to defend against the DoS attacks.
　
（７．ＣＰＥの実装
　
［００４９］図５は、本発明の一実施例におけるＣＰＥ１５０Ａの実装の詳細を示すブロック図である。ＣＰＥ１５０Ａは、ＷＡＮ（ワイドエリアネットワーク）インターフェース５１０，解析器５２０及び５８０，ルーティングテーブル５３０，ルーティングプロトコルブロック５４０、転送ブロック５５０、メモリー５６０、ＤｏＳブロック５７０、ＬＡＮインターフェース５９０を含むことが示されている。各ブロックは以下に詳述される。
　
・・・（中略）・・・
　
［００５６］いったんＤｏＳ攻撃が検出されると、ＤｏＳブロック５７０は通知を表すパケットを（例えば図４のフォーマットに従って）形成し、そのパケットがＳＰＥ１６０Ａに転送されるために（ＤｏＳを引き起こしている攻撃者への経路上の他のルーターに通知するために）転送ブロック５５０と協働する。加えて、ＤｏＳブロック５７０は、ＤｏＳ攻撃に対して防御するようにＣＰＥ１５０Ａを（自己）構成（例えば、転送ブロック５５０にパケットをブロックさせる）してもよい。）」（３頁右欄［００４９］−４頁左欄［００５６］）
　
　上記引用例の記載及び図面ならびにこの分野における技術常識を考慮すると、
ａ．上記引用例には、ＦＩＧ．２にあるように、ＣＰＥ１５０Ａが受けたＤｏＳ攻撃を他のルータに通知することでＤｏＳ攻撃を示すパケットに対して防御する方法が記載されている（摘記事項イ）から、
　「ＣＰＥ１５０Ａによって、ＤｏＳ攻撃を示すパケットに対して防御する方法」が記載されている。
ｂ．ＣＰＥ１５０Ａは、「インターネットプロトコル（ＩＰ）を用いて動作する」（摘記事項アの［０００４］）から、ＩＰアドレスを有していることは技術常識であり、
　「ＣＰＥ１５０ＡはＩＰアドレスを有し」ている。
ｃ．上記ＤｏＳ攻撃としては、ＣＰＥ１５０Ａに対するＳＹＮ攻撃（なりすましＩＰアドレスからのＴＣＰコネクション確立パケットであるＴＣＰ ＳＹＮパケットの氾濫）が例示され（摘記事項エの［００３３］）、ＦＩＧ．２のステップ２２０では、ＣＰＥ１５０Ａが受信したパケットについて、特定のタイプのパケットの発生頻度などの要因に基づいてＤｏＳ攻撃を示すパケットであるか否かが判定されているから（摘記事項イの［００２３］）、
　「なりすましＩＰアドレスから受信されるＴＣＰ ＳＹＮパケットの分析に基づいて、ＤｏＳ攻撃を示すパケットが前記ＣＰＥ１５０Ａによって受信されることを判定するステップ」が記載されている。
ｄ．ＦＩＧ．２のステップ２３０では、ＣＰＥ１５０ＡがＳＰＥ１６０ＡにＤｏＳ通知を送信する（摘記事項イの［００２４］−［００２６］）から、
　「ＳＰＥ１６０ＡにＤｏＳ通知を送信するステップ」が記載されている。
ｅ．上記ＤｏＳ通知のフォーマット（ＦＩＧ．４）によれば、該ＤｏＳ通知はＤｏＳ攻撃の深刻度（オクテット１５）及び攻撃者のソースＩＰアドレス（オクテット１１−１４）を含んでおり（摘記事項オの［００４４］）、ＦＩＧ．３のステップ３３０において、ＳＰＥ１６０Ａは上記ＤｏＳ通知を検査して、実行すべき行動を決定し（即ち、判断し）（摘記事項ウの［００２９］）、該ＤｏＳ攻撃が極端に深刻な場合にはパケットはブロックされ、ＤｏＳ攻撃があまり深刻でない場合にはパケットの一部が転送され続ける（即ち、制限される）（摘記事項エの［００４１］）から、
　「前記ＣＰＥ１５０Ａへのパケットのそれによる送信が制限される、ブロックされるのうちの１つまたは複数であると前記ＤｏＳ通知内のＤｏＳ攻撃深刻度に基づいてＳＰＥ１６０Ａにより判断される攻撃者のソースＩＰアドレスを、前記ＤｏＳ通知が含」んでいる。
ｆ．上記ＤｏＳ通知は、ＩＣＭＰプロトコルを拡張したＩＣＭＰパケットで送信される（摘記事項オの［００４２］）から、
　「前記ＤｏＳ通知が、ＩＣＭＰプロトコルを使用して送信される」ものである。
　
　以上を総合すると、上記引用例には、以下の発明（以下、「引用発明」という。）が開示されている。
　
「ＣＰＥ１５０Ａによって、ＤｏＳ攻撃を示すパケットに対して防御する方法であって、ＣＰＥ１５０ＡはＩＰアドレスを有し、
　なりすましＩＰアドレスから受信されるＴＣＰ ＳＹＮパケットの分析に基づいて、ＤｏＳ攻撃を示すパケットが前記ＣＰＥ１５０Ａによって受信されることを判定するステップと、
　ＳＰＥ１６０ＡにＤｏＳ通知を送信するステップとを含み、前記ＣＰＥ１５０Ａへのパケットのそれによる送信が制限される、ブロックされるのうちの１つまたは複数であると前記ＤｏＳ通知内のＤｏＳ攻撃深刻度に基づいてＳＰＥ１６０Ａにより判断される攻撃者のソースＩＰアドレスを、前記ＤｏＳ通知が含み、前記ＤｏＳ通知が、ＩＣＭＰプロトコルを使用して送信される、方法。」
　
３．対比
　本願発明と引用発明とを対比するに、
ａ．引用発明の「ＣＰＥ１５０Ａ」はＤｏＳ攻撃の対象となる装置であるから、本願発明の「ターゲット装置」に含まれる。
ｂ．引用発明の「ＤｏＳ攻撃を示すパケット」は、「なりすましＩＰアドレスから」の多数のパケットであって、望まれないトラフィックであることは明らかであるから、本願発明の「望まれないトラフィック」に含まれる。
ｃ．引用発明の（ＣＰＥ１５０Ａの）「ＩＰアドレス」は、本願発明の（ターゲット装置の）「１つまたは複数の宛先アドレス」に含まれる。
ｄ．引用発明の「なりすましＩＰアドレス」は攻撃者のソースＩＰアドレスであるから、本願発明の「１つまたは複数のソースＩＰアドレス」に含まれる。
ｅ．引用発明の「ＳＰＥ１６０Ａ」は、「service-provider equipment」（摘記事項アの［０００４］）とあるように「サービス・プロバイダに関連する」ものであり、また、上記「ＤｏＳ攻撃を示すパケット」を「制限」したり「ブロック」したりするものであって「フィルタ」と言いうるものであるから、本願発明の「サービス・プロバイダに関連する中央フィルタ」に相当する。
ｆ．引用発明の「ＤｏＳ通知」は、ＤｏＳ攻撃を受けたことを、ターゲット装置である「ＣＰＥ１５０Ａ」から、サービス・プロバイダに関連する中央フィルタである「ＳＰＥ１６０Ａ」へ、通知するものであるから、後述するように通知の内容に差異はあるものの、本願発明の「告発メッセージ」に相当する。
ｇ．引用発明の「ブロックされ」たパケットを捨てることは通常の処理であるから、引用発明の「制限される、ブロックされるのうちの１つ」と本願発明の「制限される、捨てられる、および許可されるのうちの１つまたは複数である」とは、「制限される、捨てられるのうちの１つまたは複数である」で共通し、本願発明はさらに「許可される」を含む点で相違する。
ｈ．引用発明の「攻撃者」がコンピューティング・デバイスであることは自明であって、引用発明の「攻撃者のソースＩＰアドレス」は本願発明の「少なくとも１つのソース・コンピューティング・デバイスのソース・アドレス」に相当する。
ｉ．引用発明の（ソースＩＰアドレスを、前記ＤｏＳ通知が）「含」むことにより、該ＤｏＳ通知は、該ソースＩＰアドレスを特定し、識別するメッセージとなることは明らかであるから、引用発明の（ソースＩＰアドレスを、前記ＤｏＳ通知が）「含み」と、本願発明の（ソース・アドレスを、前記告発メッセージが）「識別し」とは、表現上異なるものの実質的に同義である。
ｊ．引用発明の「ＩＣＭＰプロトコル」と本願発明の「前記中央フィルタからの即座の肯定応答を必要としない告発プロトコル」とは、「所定のプロトコル」である点で共通している。
　
　以上を総合すると、両者は以下の点で一致ないし相違している。
　
（一致点）
「ターゲット装置によって、望まれないトラフィックに対して防御する方法であって、ターゲット装置は１つまたは複数の宛先アドレスを有し、
　１つまたは複数のソースＩＰアドレスから受信されるパケットの分析に基づいて、望まれないトラフィックが前記ターゲット装置によって受信されることを判定するステップと、
　サービス・プロバイダに関連する中央フィルタに告発メッセージを送信するステップとを含み、前記ターゲット装置へのパケットのそれによる送信が制限される、捨てられるのうちの１つまたは複数である少なくとも１つのソース・コンピューティング・デバイスのソース・アドレスを、前記告発メッセージが識別し、前記告発メッセージが、所定のプロトコルを使用して送信される、方法。」
　
（相違点１）
　「ソース・コンピューティング・デバイス」により「送信」される「ターゲット装置へのパケット」に関し、
　本願発明では「制限される、捨てられる、および許可されるのうちの１つまたは複数であると前記告発メッセージ内で指定される」のに対し、
　引用発明では「制限される、ブロックされるのうちの１つまたは複数であると前記ＤｏＳ通知内のＤｏＳ攻撃深刻度に基づいてＳＰＥ１６０Ａにより判断される」点。
　
（相違点２）
　「所定のプロトコル」が、
　本願発明では「中央フィルタからの即座の肯定応答を必要としない告発プロトコル」であるのに対し、
　引用発明では「ＩＣＭＰプロトコル」である点。
　
４．検討
　上記相違点につき検討する。
　
（相違点１）について
　引用例には、ＤｏＳ攻撃深刻度とターゲット装置へのパケットに対する処理との関連性について、「ＳＹＮ攻撃が極端に深刻である（例えば、オープンなコネクションの数が対応する閾値を超える）場合にのみ、悪意のあるパケットの全てがブロックされ、攻撃があまり深刻でない場合、一部の（ＳＹＮ攻撃を引き起こしている）パケットは転送され続けてもよい（即ち、コネクションが調節される）」（摘記事項エの［００４１］）、「深刻度のレベルに応じて、そのパケットの廃棄／ブロックが異なって扱われる」（摘記事項オの［００４４］）と記載されており、ＤｏＳ攻撃深刻度が大きいほどターゲット装置へのパケットの転送をより厳しく制限するよう処理しているから、逆に、ＤｏＳ攻撃深刻度が極めて軽微な場合などには「ターゲット装置へのパケット」が「許可される」という処理を付加することは、当業者が適宜なし得る変更に過ぎない。
　そして、引用例には、ＤｏＳ通知を送信するＣＰＥ１５０Ａ自体がＤｏＳ攻撃のパケットをブロックする機能を備えることも示唆されている（「加えて、ＤｏＳブロック５７０は、ＤｏＳ攻撃に対して防御するようにＣＰＥ１５０Ａを（自己）構成（例えば、転送ブロック５５０にパケットをブロックさせる）してもよい。」（摘記事項カの［００５６］）参照）から、ＣＰＥ１５０ＡにＤｏＳ攻撃パケットに対する処理を判断させるようにして、ＤｏＳ通知において、「ＤｏＳ攻撃深刻度」を通知する代わりに、「ターゲット装置へのパケット」の処理、即ち「制限される、捨てられる、および許可されるのうちの１つまたは複数である」を指定するよう構成することは、当業者が必要に応じて適宜なし得るものである。
　以上より、引用発明の「制限される、ブロックされるのうちの１つまたは複数であると前記ＤｏＳ通知内のＤｏＳ攻撃深刻度に基づいてＳＰＥ１６０Ａにより判断される」構成を、本願発明のように「制限される、捨てられる、および許可されるのうちの１つまたは複数であると前記告発メッセージ内で指定される」構成とすることは、当業者が必要に応じて適宜なし得るものである。
　
（相違点２）について
　引用例に記載されたＲＦＣ７９２（“Internet Control Message Protocol: DARPA Internet Program”）（摘記事項オの［００４２］）に、「The ICMP messages typically report errors in the processing of datagrams. To avoid the infinite regress of messages about messages etc., no ICMP messages are sent about ICMP messages.（ＩＣＭＰメッセージは、典型的にはデータグラムの処理におけるエラーを報告する。メッセージについてのメッセージ等のような無限の逆行を回避するため、ＩＣＭＰメッセージに関しては何のＩＣＭＰメッセージも送信されない。）」（１頁）とあるように、ＩＣＭＰが受信側からの肯定応答を必要としないプロトコルであることは周知であって、引用発明の「ＩＣＭＰプロトコル」は、本願発明の「中央フィルタからの即座の肯定応答を必要としない告発プロトコル」に相当するものであるから、上記相違点２は、実質的な相違と言うことはできない。
　
　そして、本願発明が奏する効果も引用発明及び周知技術から容易に予測できる範囲内のものである。
　
５．むすび
　以上のとおり、本願発明は、上記引用発明及び周知技術に基づいて、当業者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
　
　よって、結論のとおり審決する。