【事件の表示】
　特願２０１０−５２７４００「分散ネットワーク内の無許可ルータを検出するためのコンピュータによって実行される方法、データ処理システム、およびコンピュータ・プログラム」拒絶査定不服審判事件〔平成２１年　４月　９日国際公開、ＷＯ２００９／０４３７４５、平成２２年１２月２４日国内公表、特表２０１０−５４１４４１〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
１．手続の経緯・本願発明
　本願は，２００８年９月２２日（パリ条約による優先権主張外国庁受理　２００７年１０月５日　米国）を国際出願日とする出願であって，平成２３年１２月２２日付けで拒絶査定がなされ，これに対し，平成２４年３月２１日に拒絶査定に対する審判請求がなされたものである。
　その請求項１に係る発明は，明細書，特許請求の範囲及び図面の記載からみて，平成２３年９月２６日付け手続補正書により補正された特許請求の範囲の請求項１に記載されたとおりの次のものと認める（以下，「本願発明」という。）。
「【請求項１】
　分散ネットワーク内の無許可ルータを検出するためのコンピュータによって実行される方法であって，
（ａ）宛先装置の物理アドレスを入手するステップと，
（ｂ）少なくとも宛先メディア・アクセス制御フィールド，宛先インターネット・プロトコル・フィールド，および存続時間フィールドを含むデータ・パケットを作成するステップとを有し，
　前記宛先メディア・アクセス制御フィールドが，前記宛先装置の前記物理アドレスを含み，前記宛先インターネット・プロトコル・フィールドが，前記宛先装置が経路指定のために使用可能になっている場合，前記データ・パケットを受信した前記宛先装置に前記データ・パケットを経路指定させるための偽インターネット・プロトコル・アドレスを含み，前記存続時間フィールドが，前記データ・パケットを受信した前記宛先装置に時間超過メッセージをソース装置に返送させるための前記データ・パケットが時間制限を超えたことを示す値を含み，
（ｃ）前記宛先メディア・アクセス制御フィールド内の前記物理アドレスを使用して，前記宛先装置に前記データ・パケットを送信するステップと，
（ｄ）前記宛先装置から前記時間超過メッセージを受信したことに応答して，前記宛先装置が経路指定のために使用可能になっていると判断するステップとをさらに有する，コンピュータによって実行される方法。」
　
　
２．引用発明
　原査定の拒絶の理由に引用された国際公開第２００５／０５７２３３号（以下，「引用例」という。）には，「METHOD AND SYSTEM FOR MONITORING A SELECTED REGION OF AN AIRSPACE ASSOCIATED WITH LOCAL AREA NETWORKS OF COMPUTING DEVICES」（［当審仮訳］：「コンピュータ機器のローカルエリアネットワークに付随する選択空域をモニターする方法とシステム」）（［当審注］：［当審仮訳］は，引用例のパテントファミリーである特表２００７−５２７６５８号公報の記載に基づく。このため，以下の［当審仮訳］の段落番号は，当該公表公報のものをそのまま記載している。）として図面とともに以下の事項が記載されている。
　
（１）「[0061] As shown in Figure 1, an unauthorized AP 119 can also be connected to LAN 101 using a connection port 120. Unauthorized AP 119 could be a malicious AP, a misconfigured AP, or a soft AP. A malicious AP refers to an AP operated by a person having physical access to the facility and connected to LAN 101 without the permission of a network administrator. A misconfigured AP refers to an AP allowable by the network administrator, but whose configuration parameters are, usually inadvertently, incorrectly configured. Note that an incorrect configuration can allow intruders to wirelessly connect to the misconfigured AP (and thus to LAN 101). A soft AP typically refers to a WiFi-enabled computer system connected to a connection port, but also functioning as an AP under the control of software. The software can be either deliberately run on the computer system or inadvertently run in the form of a virus program. Notably, the unauthorized APs create unauthorized wireless connection points on the LAN.
[0062] Unauthorized AP 119 may pose any number of security risks. For example, unauthorized AP 119 may not employ the right security policies or may bypass security policy enforcing elements, e.g. switch 114. Moreover, an intruder, such as unauthorized station 126 can connect to LAN 101 and launch attacks through unauthorized AP 119 (e.g. using the radio signal spillage of unauthorized AP outside the defined geographic region). In one embodiment, unauthorized AP 119 may perform MAC spoofing, thereby making its detection difficult.
[0063] Notably, an AP delivers data packets between the wired LAN segment and the wireless medium. Depending upon the embodiment, the AP can perform this function by acting as a layer 2 bridge or as a NAT (i.e, network address translator)/router.」（１１頁２８行〜１２頁１７行）
（［当審仮訳］：「【００３４】
　図１に示されている通り，接続ポート１２０を用いて不正アクセス点１１９もＬＡＮ１０１に接続が可能である。不正アクセス点１１９は悪意のあるアクセス点，設定間違いのアクセス点，もしくはソフトアクセス点であり得る。悪意のあるアクセス点とは，施設への物理的アクセスを持つ人物によって操作され，ネットワーク管理者の許可無しにＬＡＮ１０１に接続されたアクセス点のことをいう。設定間違いのアクセス点とは，ネットワーク管理者に許可されたが，設定のパラメタが，たいていの場合うっかりして，正しくなく設定されたものである。不正確な設定によって侵入者が設定間違いのアクセス点に（従って，ＬＡＮ１０１にも）接続が可能になる場合がある。ソフトアクセス点とは，通常，接続ポートにつながったＷｉＦｉが可能なコンピュータシステムで，ソフトウェアのコントロールによりアクセス点としても機能できるものである。ソフトウェアは，意図的にコンピュータシステム上で走ることも，何かの事情でウイルスプログラムの形で走ることもある。特に，不正アクセス点はＬＡＮへの不正無線接続を引き起こす。
【００３５】
　不正アクセス点１１９は様々な保安上の危険性を引き起こす。例えば，不正アクセス点１１９は正しい防衛方針を使わないかも知れないし，防衛方針を実施する要素，たとえばスイッチ１１４を迂回するかも知れない。さらに，不正ステーション１２６といった侵入者がＬＡＮ１０１に接続でき，不正アクセス点１１９を通して（例えば指定区域外の不正アクセス点の無線信号のこぼれを使って）攻撃を開始することができる。一つの実施形態では，不正アクセス点１１９はＭＡＣなりすましを実行でき，従って，検知を難しくしている。
【００３６】
  特に，アクセス点は，接続されたＬＡＮのセグメントと無線媒体の間のデータパケットを配信する。実施形態によっては，アクセス点はこの機能を，レイヤー２ブリッジ，もしくは，ＮＡＴ（即ち，ネットワークアドレス翻訳者）もしくはルーターとして遂行する。」）
　
（２）「[0065] In accordance with one aspect of the invention, a security monitoring system can protect LAN 101 from any type of unauthorized user (i.e., unauthorized AP or unauthorized station). The security monitoring system can include one or more RF sensor/detection devices (e.g. sensor devices 122A and 122B, each generically referenced herein as a sniffer 122) disposed within or in a vicinity of a selected geographic region comprising LAN 101. In one embodiment (shown in Figure 1), sniffer 122 can be connected to LAN 101 via a connection port (e.g. connection port 123A/123B). In another embodiment, sniffer 122 can be connected to LAN 101 using a wireless connection.
[0066] A sniffer 122 is able to monitor wireless activity in a subset of the selected geographic region. Wireless activity can include any transmission of control, management, or data packets between an AP and one or more wireless stations, or among one or more wireless stations. Wireless activity can even include communication for establishing a wireless connection between an AP and a wireless station (called association).
（中略）
[0072] Server 124 (also called security appliance) can be coupled to LAN 101 using a connection port 125. In one embodiment, each sniffer 122 can convey its information about detected wireless activity to server 124 (i.e., over one or more computer networks). Server 124 can then analyze that information, store the results of that analysis, and process the results. In another embodiment, sniffer 122 may filter and/or summarize its information before conveying it to server 124.」（１３頁３〜１５行，１４頁３０行〜１５頁３行）
（［当審仮訳］：「【００３８】
　発明の一つの観点にのっとって，安全監視システムはＬＡＮ１０１を如何なる不正使用者（例えば，不正アクセス点，不正ステーション）から保護することができる。安全監視システムは，一つまたは複数の，ＬＡＮ１０１から成る指定区域内もしくは近傍に配置された，ＲＦセンサー／検知機器（例えば，ここで総称して探知機器１２２と呼ぶこととするセンサー機器１２２Ａと１２２Ｂ）を含むことができる。（図１に示された）一つの実施形態では，探知機器１２２は接続ポート（例えば，接続ポート１２３Ａ／１２３Ｂ）を経由してＬＡＮ１０１に接続可能である。別の実施形態では，探知機器１２２は無線接続でＬＡＮ１０１に接続することもできる。
【００３９】
　探知機器１２２は選択された地理的地域のサブネット内の無線活動を監視することができる。無線活動はアクセス点と一つまたは複数の無線ステーションとの間，もしくは，一つまたは複数の無線ステーション間での，あらゆる，制御パケット，管理パケット，データパケットの通信を含むことができる。無線活動は，アクセス点と無線ステーションとの間の接続を開設する通信（「アソシエーション」と呼ばれる）をも含むことができる。
（中略）
【００４５】
  サーバー１２４（安全確保機器とも呼ばれる）は接続ポート１２５を用いて，ＬＡＮ１０１に接続できる。一つの実施形態では，各々の探知機器１２２は検知された無線活動の情報をサーバー１２４に（一つまたは複数のコンピュータネットワーク上を通して）運ぶことができる。サーバー１２４はその情報を解析し，解析の結果を保存し，そして結果を処理することができる。別の実施形態では，探知機器１２２はサーバー１２４に情報を運ぶ前にその情報にフィルターをかけたり，及び／もしくは，要約することができる。」）
　
（３）「[0093] The security monitoring system detects and automatically classifies wireless activity in the airspace to detect any security policy violations. In a specific embodiment, an action is performed when the security violation is detected. For example, an occurrence of to be denied wireless activity can refer to security violation. For example, in one embodiment if a rouge AP is detected, security policy violation is inferred. In an alternative embodiment, if a client wireless station communicating with a rogue AP is detected, security policy violation is inferred. In yet an alternative embodiment, when an AP other than those specified by the network administrator is detected to be connected to a locked network segment, security policy violation is inferred. According to one embodiment, the action associated with the occurrence of the to be denied wireless activity (e.g. security violation) can be generating and logging an alert. As per another embodiment, the action can be restricting (e.g. electronically) the wireless devices associated with the to be denied wireless activity from engaging in any future wireless communication. In yet another embodiment, the physical location of the source of to be denied wireless activity is predicted and corresponding indication is displayed on a user interface of a display device in relation to the layout of the selected region.」（２１頁９〜２４行）
（［当審仮訳］：「【００６６】
　安全監視システムは防衛方針への違反行為を検知するために，空域での無線活動を検知して自動的に分類する。特定の実施形態では，防衛方針への違反行為を検知されたときに，処分が実行される。例えば，拒絶されるべき無線活動の発生は防衛方針への違反行為である。例えば，一つの実施形態では，不良アクセス点が検知された時，防衛方針への違反行為が推察される。別の実施形態では，不良アクセス点と顧客無線ステーションとの通信が検知されると，防衛方針への違反行為が推察される。また別の実施形態では，ネットワーク管理者に指定されたアクセス点以外のアクセス点がロックされたネットワークセグメントに接続しようとした場合，防衛方針への違反行為が推察される。一つの実施形態によると，拒絶されるべき無線活動の発生（例えば，防衛方針への違反行為）に付随する処分が生成され，警告が記録されることも可能である。また別の実施形態によっては，処分は，拒絶されるべき無線活動と関連した無線機器を，将来のいかなる無線通信からも（例えば電子的に）制限することもあり得る。また別の実施形態では，拒絶されるべき無線活動の源の物理的な位置が予測され，対応する表示が，選択された領域のレイアウトに対して，表示機器のユーザーインターフェース上に表示される。」）
　
（４）「[0105] In one embodiment of the method 500, the marker packet can be an Ethernet style packet addressed to the broadcast address, i.e., the value of hexadecimal FF:FF:FF:FF:FF:FF in the destination address field of the Ethernet MAC header. For example, the marker packet can be an ARP (Address Resolution Protocol) packet which is often an Ethernet style broadcast packet. Other types of Ethernet broadcast packets including those containing arbitrary payload can also be used. This packet will be received by all APs that are connected to the LAN segment. The APs among these acting as layer 2 bridges then transmit this broadcast packet on the wireless medium after translating it to the 802.11 style packet. If the sniffer has originated the marker packet, it can identify the marker packet on the wireless medium from the source MAC address of the 802.11 style packet, which happens to be that of the sniffer. In an alternative specific embodiment, each of the sniffers is provided with the source MAC addresses of all the other sniffers in the system (e.g. by the security appliance as configuration data). This enables a sniffer to identify marker packet on the wireless medium, which is originated by another sniffer.
[0106] In an alternative embodiment, the marker packet can be an Ethernet style unicast packet addressed to the MAC address of a wireless station associated with (i.e., connected to) an AP. Said MAC address can be inferred by analyzing the prior communication between the wireless station and the AP that is captured by one or more sniffers. This marker packet will be received by the AP if it is connected to the concerned LAN segment. The AP acting as layer 2 bridge then transmits the marker packet on the wireless medium after translating it to the 802.11 style packet. This embodiment can advantageously detect the APs connected to the LAN segment, which block the forwarding of broadcast packets from the LAN to the wireless medium.」（２５頁２８行〜２６頁１８行）
（［当審仮訳］：「【００７８】
　手法５００の一つの実施形態では，マーカーパケットは，放送アドレスにアドレス指定しているイーサーネット型のパケット，即ち，１６進数でＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦの値がイーサーネットＭＡＣ見出しの目的地アドレス領域にあるもの，であり得る。例えば，マーカーパケットは，しばしば，イーサーネット型放送パケットである，ＡＲＰ（アドレス決定プロトコル）パケットであり得る。任意のペイロード（伝送されるパケットのヘッダー部を除いたデータの本体）を持つものを含む他の型のイーサーネット放送パケットもまた使用可能である。このパケットは，ＬＡＮセグメントに接続された全てのアクセス点に受信される。レイヤー２ブリッジとして機能しているアクセス点はこの放送パケットを，８０２．１１型パケットに形を変えた後，無線媒体に送信する。探知機器がマーカーパケットを生成した場合，探知機器は，無線媒体上のマーカーパケットを，たまたま探知機器のそれとなっている，８０２．１１型パケットの発信元ＭＡＣアドレスから同定することができる。別の特定の実施形態では，探知機器のそれぞれにシステム内の他の全ての探知機器の発信元ＭＡＣアドレスが（例えば，安全確保機器から設定データの形で）提供されている。これにより，探知機器が他の探知機器から生成された無線媒体上のマーカーパケットを同定することができる。
【００７９】
　別の実施形態では，マーカーパケットはアクセス点に関した（即ち，接続された）無線ステーションのＭＡＣアドレスにアドレス指定しているイーサーネット型のユニキャストパケットであっても良い。このＭＡＣアドレスは，一つまたは複数の探知機器に捕獲された，アクセス点と無線ステーションとの間の事前の通信を解析することで推察される。このマーカーパケットはアクセス点が懸念されているＬＡＮセグメントに接続されている場合にアクセス点に受信される。レイヤー２ブリッジとして機能しているアクセス点は，その後，マーカーパケットを８０２．１１型パケットに訳した後，マーカーパケットを無線媒体に送信する。この実施形態は，有利に，ＬＡＮセグメントに接続されていて，ＬＡＮから無線媒体への放送パケットの転送を阻むアクセス点を検知できる。」）
　
（５）「[0110] The method 600 according to yet an alternative embodiment of the connectivity test is illustrated in Figure 6. This diagram is merely an example, which should not unduly limit the scope of the claims herein. One of ordinary skill in the art would recognize many variations, modifications, and alternatives. Advantageously, this embodiment can detect rogue APs that implement NAT/router functionality, as well as use authentication and/or encryption on the wireless link. The method 600 can be used for the step 216 and 218 depending upon the specific embodiment. It can also be used for step 402.
[0111] As shown, in step 601, the sniffer determines identities (e.g. IP addresses) of devices attached to a wired LAN segment. Software tools such as ettercap, nmap and others can be used for this purpose. These tools scan (for example, using ICMP ping packets, TCP SYN packets etc.) the IP addresses within the address range of the LAN segment to detect active IP addresses on the segment. Alternatively, the sniffer captures and analyzes the ARP (Address Resolution Protocol) transactions on the LAN segment to infer the IP addresses of the devices attached to the LAN. ARP request is used by the requester to query the MAC address corresponding to a given IP address and is a broadcast message on the LAN segment. ARP reply is sent to requester by the device owning the given IP address. The ARP reply is usually a unicast message to the requester and contains the MAC address of the responder. In one specific embodiment, the sniffer captures (e.g. over Ethernet connection) ARP request packets on the wired LAN. The ARP request packet contains IP address of the requester. This information is used by the sniffer to create the list of IP addresses.
[0112] In step 602, sniffer performs ARP poisoning directed to a device (called victim device) detected on the wired LAN segment. The ARP poisoning involves sending ARP reply (usually unsolicited) from the sniffer advertising the sniffer's own MAC address as associated with the victim device's IP address. In one embodiment, the ARP reply is addressed to a broadcast address on the LAN segment. In an alternative embodiment, the ARP reply is unicast to each of the devices detected on the LAN segment, except the victim device. Other techniques to perform ARP poisoning can also be used. The sniffer can ARP poison one or more victims devices at any given time.
[0113] Upon ARP poisoning, the IP packets on the wired LAN segment that are destined to the victim device first arrive at the sniffer. The sniffer records information associated with these packets (e.g. content, header values, length etc.) and forwards them to the victim device (i.e., their correct destination), as shown by step 603. Alternatively, the sniffer fragments (e.g. as in IP packet fragmentation) the victim's packets and forwards one or more fragments to the victim device after storing information associated with the fragments. The fragmentation preferably renders specific characteristics (e.g. lengths) to fragments for ease of their later identification. Additionally, the fragment lengths can be chosen from a predetermined set. This enables a sniffer to identify a marker packet on the wireless medium, which is intercepted (e.g. after ARP poisoning) and forwarded by another sniffer.
[0114] As shown in step 604, the sniffer continues to monitor the packets transmitted by APs on the wireless medium. The characteristics (content, header values, length etc.) of packets detected by the sniffer over the wireless medium are examined. The examination reveals if any packet or a fragment of a packet earlier transferred by the sniffer to the wired LAN segment (i.e. upon ARP poisoning) has appeared on the wireless medium. If the match is detected, the AP that transmits said packet or fragment on the wireless link is inferred to be connected to the LAN segment.
[0115] In an alternative embodiment, NAT/router devices among the IP addresses detected on the LAN segment are identified. This advantageously reduces the number of victim devices (i.e., devices that need to be ARP poisoned). For example, an IP packet is transferred (e.g. by the sniffer) to the wired LAN segment with TTL (Time To Live) value in IP header set equal to 1 and the response to this packet is monitored. In a specific embodiment, the IP packet is addressed to arbitrary IP address and is transferred to the wired LAN segment as Ethernet broadcast packet (e.g. Ethernet destination address of hexadecimal FF:FF:FF:FF:FF:FF). Preferably, the NAT/router devices reply to this packet by ICMP Time Exceeded message. While host devices (e.g. PCs/laptops running Microsoft windows, Linux etc.) and server devices (e.g. mail server, WWW server, file transfer server etc.) do not send any response. In yet an alternative embodiment, NAT devices among the devices detected on the LAN segment are identified. For example, an IP packet addressed to a selected IP address and a selected UDP port is transferred by the sniffer to the wired LAN segment and the response to this packet is monitored. Preferably, the selected UDP port number is chosen to be from the range that is not typically used by UDP based applications (e.g. greater than 61,000). Preferably, the NAT device (i.e. with the selected IP address) does not send any ICMP reply to this packet. While the other devices (i.e. with the selected IP address) respond with ICMP Destination Unreachable message. Other alternative embodiment including, but not limited to, identifying gateway router devices (i.e., router devices that are not APs) from the configuration information received during DHCP (Dynamic Host Configuration Protocol) transactions, identifying non-AP devices from the vendor information derived from the Ethernet MAC address of these devices etc. can also be used to reduce the number of victim devices.
[0116] In yet an alternative embodiment, the sniffer generates and transfers packets on the wired LAN segment destined to the victim device. The information gathered from the earlier captured victim device's packet (e.g. subsequent to ARP poisoning the victim device) can be used to generate these packets. For example, the packets are generated addressed to UDP/TCP port inferred from the earlier captured packet. Preferably, whenever the sniffer switches to a new radio channel for monitoring wireless activity, one or more packets are generated and transferred to the victim device. This advantageously increases the chance of detecting these packets on the wireless medium. Notably, in a specific embodiment, the UDP/TCP packets generated by the sniffer contain null payload. In another specific embodiment, the TCP header and payload in the packets generated by the sniffer can be the same as those in the earlier captured packet. In yet another specific embodiment, UDP/TCP packets are generated with a non-null payload but with an incorrect value of the CRC or Cyclic Redundancy Checksum (e.g. in the UDP or TCP checksum field), so that eventually they will be rejected by the recipient device (e.g. client wireless station). Techniques such as these can advantageously avoid confusing or disrupting the UDP/TCP application on the client wireless station due to the packets generated by the sniffer. The sniffer may additionally fragment the generated TCP packet prior to transferring it to the wired LAN. Other embodiments of packet generation are possible and will be apparent to those with ordinary skill in the art.」（２７頁２２行〜３０頁１１行）
（［当審仮訳］：「【００８３】
　接続性テストのまた別の実施形態による手法６００が図６に示されている。この図解は単に例であって，この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例，修正案，代替案を認識するだろう。有利にも，この実施形態は，無線リンクの，認証，及び／もしくは，暗号化を使うのみならず，ＮＡＴ／ルーター機能を提供する不良アクセス点を検知できる。手法６００は，実施形態によって，ステップ２１６と２１８に使用可能である。また，ステップ４０２にも使用可能である。
【００８４】
　示されている通り，ステップ６０１では，探知機器は，接続されたＬＡＮセグメントに付属した機器の身元情報（例えばＩＰアドレス）を決定する。「ｅｔｔｅｒｃａｐ」，「ｎｍａｐ」，他，といったソフトウェアツールがこの目的に使用される。これらのツールは，（例えば，ＩＣＭＰピンパケットやＴＣＰ  ＳＹＮ  パケットなど用いて），セグメント上の動作中のＩＰアドレスを検知するためにＬＡＮセグメントのアドレス範囲内のＩＰアドレスを走査する。もう一つの方法として，探知機器は，ＬＡＮに付属した機器のＩＰアドレスを推察するために，ＬＡＮセグメント上のＡＲＰ（アドレス決定プロトコル）取引を捕捉して解析する。ＡＲＰ要請は，要請者によって，与えられたＩＰアドレスに相当するＭＡＣアドレスを問い合わせるために用いられ，ＬＡＮセグメント上の放送メッセージである。ＡＲＰ応答は与えられたＩＰアドレスを所有する機器によって要請者に送られる。ＡＲＰ応答は通常，要請者へのユニキャストメッセージで，応答者のＭＡＣアドレスを含んでいる。一つの特定の実施形態では，探知機器は，接続されたＬＡＮ上のＡＲＰ要請を（例えばイーサーネット接続上で）捕獲する。ＡＲＰ要請パケットは要請者のＩＰアドレスを含む。この情報は探知機器によってＩＰアドレスの一覧を作るために用いられる。
【００８５】
　ステップ６０２では，探知機器は接続されたＬＡＮセグメント上に検知された（「犠牲者機器」と呼ばれる）機器に向けた「ＡＲＰ毒殺」を遂行する。ＡＲＰ毒殺は（通常頼んでいない）ＡＲＰ応答を，探知機器から，探知機器自身のＭＡＣアドレスを犠牲者機器のＩＰアドレスと関連しているとして送ることを含む。一つの実施形態では，ＡＲＰ応答はＬＡＮセグメントの放送アドレスへと向けられる。別の実施形態では，ＡＲＰ応答は，ＬＡＮセグメント上で検知された，犠牲者機器を除く，各機器へのユニキャストである。ＡＲＰ毒殺を実施する他の技術も用いられる。探知機器は，いつでも，一つまたは複数の犠牲者機器にＡＲＰ毒殺を実行できる。
【００８６】
　ＡＲＰ毒殺があり次第，犠牲者機器行きの，接続されたＬＡＮセグメント上のＩＰパケットは，まず探知機器に到着する。探知機器は，ステップ６０３に示されているように，パケットに関する情報（例えば，内容物，見出の値，長さ，など）を記録して，犠牲者機器（パケットの正しい目的地）へと転送する。もしくは，探知機器は（ＩＰパケットフラグメンテーションでのように）犠牲者機器のパケットを切断して，一つまたは複数の断片を，断片に関しての情報を記憶した後に，犠牲者機器に転送する。フラグメンテーション（切断）は，好ましくは，断片を後で同定する事を容易にするために，（例えば，長さ，といった）特定の情報を提供する。さらに，断片の長さは，予め定められた一式から選ばれることも可能である。これによって，探知機器が，他の探知機器によって（例えばＡＲＰ毒殺の後）傍受されて転送された，無線媒体上のマーカーパケットを同定することが可能になる。
【００８７】
　ステップ６０４に示されている通り，探知機器はアクセス点から無線媒体上に送信されるパケットを監視し続ける。無線媒体上で探知機器に検知されたパケットの特徴（内容物，見出の値，長さ，など）は，検査される。この検査は，以前に探知機器から接続されたＬＡＮセグメントへと転送されたパケット，もしくは，パケットの断片，が無線媒体に出現したか，を，明らかにする。適合が検知された場合，そのパケット，もしくは断片を無
線リンクで送信したアクセス点がＬＡＮセグメントに接続されていることが推察される。
【００８８】
　別の実施形態では，ＬＡＮセグメント上で検知されたＩＰアドレスのうち，ＮＡＴ／ルーター機器が同定される。これは，有利に，犠牲者機器（ＡＲＰ毒殺が必要な機器）の数を減らす。例えば，ＩＰパケットが（例えば，探知機器によって）接続されたＬＡＮセグメントへ，ＩＰ見出しのＴＴＬ（有効期限）の値が１に設定されて送られる，そしてこのパケットへの反応が監視される。特定の実施形態では，このＩＰパケットは，任意のＩＰアドレス宛で，接続されたＬＡＮセグメントへとイーサーネット放送パケット（例えば，１６進数のＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦのイーサーネット目的地アドレス）として転送される。望ましくは，ＮＡＴ／ルーター機器はこのパケットに対しＩＣＭＰの「時間超過」メッセージで反応する。一方で，ホスト機器（例えば，マイクロソフトウィンドウズ（登録商標），リニックス，他，を走らせているＰＣ／ラップトップ）やサーバー機器（メールサーバー，ＷＷＷサーバー，ファイル転送サーバーなど）は何の反応も送らない。また別の実施形態では，ＬＡＮセグメントで検知された機器の中で，ＮＡＴ機器が同定される。例えば，選択されたＩＰアドレスと選択されたＵＤＰポートへ向けられたＩＰパケットが探知機器によって接続されたＬＡＮセグメントへと転送され，このパケットに対する反応が監視される。望ましくは，選択されたＵＤＰポート番号はＵＤＰに基づいたアプリケーションが通常使用する範囲外（例えば，６１，０００以上）から選ばれる。望ましくは，（選択されたＩＰアドレスを持つ）ＮＡＴ機器は，このパケットに対してＩＣＭＰ反応を送らない。一方で，（選択されたＩＰアドレスを持つ）他の機器は，ＩＣＭＰの「目的地到達不可能」メッセージで反応する。これらに限定されないが，ゲートウェイルーター機器（つまり，アクセス点でないルーター機器）をＤＨＣＰ（動的ホスト設定プロトコル）取引中に受信された設定情報から同定すること，アクセス点でない機器をこれらの機器のイーサーネットＭＡＣアドレスから導かれた製造供給元情報から同定すること，他，を含む他の実施形態が，また，犠牲者機器の数を減らすのに使用できる。
【００８９】
　また他の実施形態では，探知機器は犠牲者機器へ宛てたパケットを生成し，接続されたＬＡＮセグメントへと転送する。以前（例えば，犠牲者機器のＡＲＰ毒殺のあとなど）に捕獲された犠牲者機器のパケットから集められた情報がこれらのパケットを生成するのに用いられる。例えば，パケットが，以前に捕獲されたパケットから推測されたＵＤＰ／ＴＣＰポートに向けて生成される。望ましくは，探知機器が無線活動を監視するために新しい無線通信路に切り換えるたびに，一つまたは複数のパケットが生成されて犠牲者機器に転送される。これにより，有利に，無線媒体上でこれらのパケットを検知する機会が増加する。特に，特定の実施形態では，探知機器によって生成されたＵＤＰ／ＴＣＰパケットは空値ペイロードを持つ。他の実施形態では，探知機器によって生成されたパケット中のＴＣＰ見出しとペイロードは以前に捕獲されたパケットのそれらと同じでも良い。また別の実施形態では，ＵＤＰ／ＴＣＰパケットは，最終的にそれらが受信機器（例えば顧客無線ステーション）に拒否されるように，空値でないペイロードで，（例えば，ＵＤＰもしくはＴＣＰのチェックサム領域内の）ＣＲＣ（巡回冗長検査）の正しくない値をもって生成される。これらの技術は，有利に，探知機に生成されたパケットが顧客無線ステーション上のＵＤＰ／ＴＣＰアプリケーションを混同させたり混乱させたりすることを避けられる。探知機器は，加えて，生成されたＴＣＰパケットを接続されたＬＡＮに転送する前にパケットをフラグメント化することもある。パケット生成の他の実施形態も可能であり，当業者には明白である。」）
　
　上記記載及び図面の記載並びに当該技術分野の技術常識を考慮すると，
ア．上記（１），（２），（３），（５）の[0110]（［当審仮訳］の【００８３】）の記載によれば，引用例にはローカルエリアネットワーク（ＬＡＮ）１０１に接続された不正アクセス点を検知する方法が記載されていると認められ，上記（１）の[0061]，[0063]（［当審仮訳］の【００３４】，【００３６】）及び（５）の[0110]（［当審仮訳］の【００８３】）の記載によれば，当該不正アクセス点は無許可のルーターを含むことは明らかである。また，図１に示されるローカルエリアネットワーク（ＬＡＮ）１０１は，明らかに分散ネットワークといえる。
　
イ．上記（５）の[0115]（［当審仮訳］の【００８８】）には，探知機器が，ＬＡＮセグメント上で検知されたＩＰアドレスのうちＮＡＴ／ルーター機器を同定するために，ＩＰパケットをＬＡＮセグメントを送ること，当該ＩＰパケットは，任意のＩＰアドレス宛で，イーサーネット目的アドレスがＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦのイーサーネット放送パケットであり，ＩＰ見出しのＴＴＬの値が１に設定されることが記載されている。
　したがって，少なくともイーサーネット目的アドレス，宛先ＩＰアドレス及びＴＴＬを含むＩＰパケットが生成されていることは明らかであり，イーサーネット目的アドレスがイーサーネット放送アドレスであり，宛先ＩＰアドレスが任意のＩＰアドレスであり，ＴＴＬが１であるといえる。また，探知機器はイーサーネット放送アドレスを使用して当該ＩＰパケットを送信しているといえる。
　
ウ．上記（５）の[0115]（［当審仮訳］の【００８８】）には，当該ＩＰパケットの送信により，ＮＡＴ／ルーター機器は当該ＩＰパケットに対してＩＣＭＰの「時間超過メッセージ」で反応し，一方，ホスト機器やサーバー機器は何の反応も送らないことから，ＮＡＴ／ルーター機器を同定することが記載されている。したがって，「時間超過メッセージ」を受信したことに応答してルーター機器であることを判断していると認められる。
　
　したがって，引用例には以下の発明（以下，「引用発明」という。）が記載されていると認める。
「分散ネットワークに接続された無許可ルーターを検知するための方法であって，
　少なくともイーサーネット目的アドレス，宛先ＩＰアドレス及びＴＴＬを含むＩＰパケットを生成し，
　前記イーサーネット目的アドレスがイーサーネット放送アドレスであり，前記宛先ＩＰアドレスが任意のＩＰアドレスであり，前記ＴＴＬが１であり，
　イーサーネット放送アドレスを使用して，当該ＩＰパケットを送信し，
　時間超過メッセージを受信したことに応答してルーター機器であることを判断する方法。」
　
　
３．対比・判断
　本願発明と引用発明とを対比すると，
（１）引用発明の「分散ネットワークに接続された無許可ルーター」は，「分散ネットワーク内の無許可ルーター」といえる。また，上記（２）の[0072]（［当審仮訳］の【００４５】）の記載に照らせば，検知するための方法は探知機器及び安全確保機器（サーバー１２４）を用いて行われるものであるから，コンピュータにより実行される方法といえる。
　したがって，本願発明と引用発明とは「分散ネットワーク内の無許可ルータを検出するためのコンピュータによって実行される方法」である点で差異はない。
　また，各処理をステップと称することや，各ステップに識別符号（「（ａ）」等）を付けることは任意である。
　
（２）引用発明の「イーサーネット目的アドレス」，「宛先ＩＰアドレス」，「ＴＴＬ」，「ＩＰパケット」と，本願発明の「宛先メディア・アクセス制御フィールド」，「宛先インターネット・プロトコル・フィールド」，「存続時間フィールド」，「データ・パケット」とは，それぞれ表現が異なる（すなわち，情報の内容で表現するか，当該情報を格納するフィールドで表現するかが異なる。）のみであって実質的な差異はない。
　
（３）引用発明のイーサーネット放送アドレス（ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ）は本願発明の「物理アドレス」に相当するものであるから，以下の相違点２は別として，両者は「前記宛先メディア・アクセス制御フィールドが，物理アドレスを含み」の点で一致している。
　また，引用発明のイーサーネット放送アドレスはＬＡＮセグメント上の機器に対してＩＰパケットを送信すること意図していることは明らかであるから，引用発明においてＩＰパケットが受信される機器は本願発明の「宛先装置」に対応する。
　そして，引用発明の「イーサーネット放送アドレスを使用して，当該ＩＰパケットを送信し」は，「前記宛先メディア・アクセス制御フィールド内の前記物理アドレスを使用して，前記宛先装置に前記データ・パケットを送信する」点で本願発明と差異はない。
　
（４）引用発明の「前記宛先ＩＰアドレスが任意のＩＰアドレスであり」は，宛先ＩＰアドレスが，そのために設けられたフィールドに含まれるのは技術常識であるから，以下の相違点１は別として，「前記宛先インターネット・プロトコル・フィールドが，所定のインターネット・プロトコル・アドレスを含み」の点で本願発明と一致している。
　
（５）引用発明においてＴＴＬの値が１であることは，ＩＰパケットを受信した機器がルーター機器ならばＩＣＭＰの「時間超過メッセージ」で反応する（すなわち，「返信する」。）ようにするためのものであることは明らかである。また，「時間超過メッセージ」の返信先を「ソース装置」と称するのは任意である。
　したがって，両者は「前記存続時間フィールドが，前記データ・パケットを受信した前記宛先装置に時間超過メッセージをソース装置に返送させるための前記データ・パケットが時間制限を超えたことを示す値を含み」の点で一致している。
　
（６）引用発明は，ＴＴＬの値が１であることに対して，ルーター機器ならばＩＣＭＰの時間超過メッセージを返信することにより反応し，ホスト機器やサーバー機器は何の反応も送らないことから，ルーター機器を同定するものであるから，「前記宛先装置から前記時間超過メッセージを受信したことに応答して，前記宛先装置が経路指定のために使用可能になっていると判断する」点で本願発明と差異はない。
　
　したがって，本願発明と引用発明とを対比すると，両者は，以下の点で一致し，また，相違している。
（一致点）
「分散ネットワーク内の無許可ルータを検出するためのコンピュータによって実行される方法であって，
（ｂ）少なくとも宛先メディア・アクセス制御フィールド，宛先インターネット・プロトコル・フィールド，および存続時間フィールドを含むデータ・パケットを作成するステップとを有し，
　前記宛先メディア・アクセス制御フィールドが，物理アドレスを含み，前記宛先インターネット・プロトコル・フィールドが，所定のインターネット・プロトコル・アドレスを含み，前記存続時間フィールドが，前記データ・パケットを受信した前記宛先装置に時間超過メッセージをソース装置に返送させるための前記データ・パケットが時間制限を超えたことを示す値を含み，
（ｃ）前記宛先メディア・アクセス制御フィールド内の前記物理アドレスを使用して，前記宛先装置に前記データ・パケットを送信するステップと，
（ｄ）前記宛先装置から前記時間超過メッセージを受信したことに応答して，前記宛先装置が経路指定のために使用可能になっていると判断するステップとをさらに有する，コンピュータによって実行される方法。」
　
（相違点１）
　「宛先インターネット・プロトコル・フィールド」が含む「所定のインターネット・プロトコル・アドレス」に関し，本願発明が「前記宛先装置が経路指定のために使用可能になっている場合，前記データ・パケットを受信した前記宛先装置に前記データ・パケットを経路指定させるための偽インターネット・プロトコル・アドレス」であるのに対し，引用発明は「任意のＩＰアドレス」の記載にとどまる点。
　
（相違点２）
　本願発明は，「（ａ）宛先装置の物理アドレスを入手するステップ」を更に有しており，宛先メディア・アクセス制御フィールドが含む物理アドレスが「前記宛先装置の前記物理アドレス」であるのに対し，引用発明は当該ステップを有しておらず，イーサーネット目的アドレス（宛先メディア・アクセス制御フィールドの物理アドレス）が「イーサーネット放送アドレス」である点。
　
　以下，上記各相違点についての検討する。
（相違点１について）
　ルーター機器とは受信パケットの「経路指定」のために使用される装置であって，受信したデータ・パケットの宛先ＩＰアドレスが自分宛以外のものであれば，ルーター機器は当該データ・パケットを経路指定しようと動作するものであるから，単にルーター機器か否かの判別のためだけであるならば，宛先ＩＰアドレスを実在しないものを含めて任意のＩＰアドレスとしてよいことは明らかであり，引用発明においてルーター機器はＴＴＬが１のＩＰパケットに対して時間超過メッセージで反応するのであるから，引用発明の「任意のＩＰアドレス」はルーター機器に対して本願発明の「偽インターネット・プロトコル・アドレス」と同様の作用を為していることは明らかである。したがって，相違点１は格別でなく，当業者が適宜なし得ることに過ぎない。
　
（相違点２について）
　引用例の[0116]（上記２．（５）参照。【当審仮訳】の【００８９】。）には，探知機器は以前に捕獲された犠牲者機器のパケットから集められた情報を用いて犠牲者機器へ宛てたパケットを生成し，接続されたＬＡＮセグメントへと転送することが示されており，また，引用例の[0106]（上記２．（４）参照。【当審仮訳】の【００７９】。）には，マーカーパケットをイーサーネット型の放送パケットに代えてユニキャストパケットとすること，すなわち，イーサーネットＭＡＣ見出しの目的地アドレス領域（本願発明の「宛先メディア・アクセス制御フィールド」に相当。）を放送アドレスに代えて事前の通信を解析することで推察されるＭＡＣアドレスとすることが示唆されている。
　ここで，引用例の「0111」（上記２．（５）参照。【当審仮訳】の【００８４】。）には，事前にＬＡＮセグメント内の各機器のＩＰアドレスを取得しておくことが記載されており，ＡＲＰによりＩＰアドレスからＭＡＣアドレスが取得可能であることが技術常識であるところ，上述のように[0106]には事前にＭＡＣアドレスを得ておくことも示唆にされているから，「（ａ）宛先装置の物理アドレスを入手するステップ」を更に有することは格別ではない。
　そして，上記（３）のとおり，引用発明のイーサーネット放送アドレスはＬＡＮセグメント上の機器に対してＩＰパケットを送信すること意図していることは明らかであるから，引用発明において，ＩＰパケットのイーサーネット目的アドレス（すなわち，宛先メディア・アクセス制御フィールドの物理アドレス）をイーサーネット放送アドレスに代えて事前に入手したＬＡＮセグメント上の機器のＭＡＣアドレス（すなわち，宛先装置の物理アドレス）とすることは，当業者が容易に採用し得ることである。
　
　そして，本願発明の作用効果も，引用発明に基づいて当業者が予測し得る範囲のものであり，格別なものではない。
　
　
４．むすび
　以上のとおり，本願発明は，引用発明に基づいて当業者が容易に発明をすることができたものであるから，特許法第２９条第２項の規定により，特許を受けることができない。
　
　よって，結論のとおり審決する。