【事件の表示】
　特願２００４−　　８０３７「不正アクセス統合対応システム」拒絶査定不服審判事件〔平成１７年　７月２８日出願公開、特開２００５−２０２６６４〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
１．手続の経緯・本願発明
　本願は、平成１６年１月１５日の出願であって、特許請求の範囲の請求項１に係る発明は、出願時の特許請求の範囲、明細書及び図面ならびに平成１９年８月１０日付け手続補正書により補正された、特許請求の範囲および明細書の記載からみて、その特許請求の範囲の請求項１に記載された次のとおりのものである。
「広域コンピュータネットワークに接続されたサイト毎に、
　サイト内における複数種類の不正アクセスに関するセンサ及び構成機器の各種ログ情報を時刻、プロトコル、発信元、宛先、イベントの項目を少なくとも含む共通のログ形式にして汎用化し、さらに時系列上で特定ログフィルタにより上記項目に基づき条件合致分配を行い着目する項目に限定した特定要注意ログを抽出するログ集約手段と、
　抽出した特定要注意ログに対し、特定イベントの組合せが設定された特定イベント組合せ検知テーブルに基づき、アクセス経路上のログ情報を関連付けた空間的統合検知および特定のイベント群が時間間隔をおいて発生するログ情報を関連付けた時間的統合検知を含む不正アクセスの統合検知を行う統合検知手段と、
　を備えたことを特徴とする不正アクセス統合対応システム。」
　
２．原査定の理由
　一方、原査定の拒絶の理由の概要は、次のとおりである。
「【理由１】〜【理由３】、および、【理由５】省略
　【理由４】
　この出願は、発明の詳細な説明の記載について下記の点で、特許法第３６条第４項第１号に規定する要件を満たしていない。
　　　　　　　　　　　　　　　　　　記
　
　発明の詳細な説明の欄には、例えば以下の点において記載がなされていないため、その発明の属する技術分野における通常の知識を有する者が請求項１−２、６に係る発明の実施をすることができる程度に明確かつ十分に記載されているということができない。
　本発明は、ＩＤＳだけに頼った不正アクセス検知手法ではなく、各種ネットワーク構成機器からの情報を使用して不正アクセスを見逃す可能性を低減するものであり、その為に統合検知手段において、様々な検知を行うものであると認められる。しかしながら、発明の詳細な説明の記載では、
（１）・・・（省略）・・・
（２）特定統合検知、空間的統合検知、時間的統合検知、汎用統合検知を、各ログ情報や汎用イベント組合せ検知テーブルをどの様に関連付け、どの様に使用することによって実施しているのか不明である。
（３）・・・（省略）・・・
（４）汎用イベント組合せ検知テーブルがどの様なものを表し、どの様に汎用統合検知を行うのか不明である。
（５）・・・（省略）・・・」
３．当審の判断
　そこで、上記拒絶理由での指摘について検討するに、
　上記の拒絶の【理由４】の（２）、および、（４）で指摘の事項における、
　「特定統合検知」、「空間的統合検知」、「時間的統合検知」に関して、本願明細書には、
「【００２１】次に統合検知装置Ｊ２において、各特定要注意ログＦＬ１〜ＦＬｎに対して、更に特定イベントの組合せ検知テーブルＳＫＴ１〜ＳＫＴｎにより特定統合検知を行う(図３の特定統合検知手段Ｊ２−１に相当)。これにより、アクセス経路上の各センサのログ情報を関連付けた空間的統合検知や特定のイベント群が時間間隔をおいて発生するログ情報を関連付けた時間的統合検知が可能となる。これらにより、ＩＤＳ回避不正アクセスやＩＤＳ性能限界による検知見逃しが発生した場合においても、その後の経路上の他のセンサログ(ファイアウォールログ、サービスログ等)から確実にこれを検知することが可能となる。また、意図的に長時間間隔を空けてポートスキャンやバナー取得等の情報収集をしてくる不正アクセスに対しても時間的統合検知により、確実にこれを検知することが可能となる。」（以下、「引用記載１」という）と記載され、
　また、「汎用イベント組合せ検知テーブル」、「汎用統合検知」については、本願明細書に、
「【００２２】上述の特定ログフィルタＬＦ１〜ＬＦｎ及び特定イベント組合せ検知テーブルＳＫＴ１〜ＳＫＴｎは管理者により管理端末装置ＫＭ１から手動設定することも可能であるが、自動で設定することが可能である。上述の特定ログフィルタによる特定条件のフィルタリングの他に一般的条件(発信元や宛先を特定しないイベント中心の条件)によるフィルタリングを汎用ログフィルタＨＬＦで行い、汎用要注意ログＨＦＬ抽出を並行して実施する。更に、汎用イベント組合せ検知テーブルＨＫＴによる汎用統合検知(図３の汎用統合検知手段Ｊ２−２に相当)を行う。ここで、その検知結果から、継続監視を必要とする条件(発信元、宛先、ＴＣＰポート、イベント等)を抽出し、新規に特定ログフィルタＬＦｎ及び特定イベント組合せ検知テーブルＳＫＴｎを自動作成する(図３の特定ログフィルタＬＦｎ特定イベント組合せ検知テーブルＳＫＴｎ自動作成手段Ｊ２−３に相当)。その際、既存のものと全く同一条件のフィルタが存在しないことを自動で確認する。作成された当該フィルタとテーブルは自動登録され、継続的に監視が強化される。」（以下、「引用記載２」という）と記載され、
　そして、引用記載１には、“「特定統合検知」を行うとアクセス経路上の各センサのログ情報を関連付けた「空間的統合検知」や、特定のイベント群が時間間隔において発生するログ情報を関連付けた「時間的統合検知」が可能となる”と記載されていることは読み取れる。
　また、引用記載１から、「特定統合検知」は、“統合検知装置において、各特定要注意ログに対して、特定イベント組合せ検知テーブルにより行われる”と記載されていることは読み取れる。
　しかしながら、引用記載１の内容からは、「特定イベント組合せ検知テーブル」の構成、および、「特定統合検知」の内容、あるいは、構成については読み取れず、
　「特定イベント組合せテーブル」を「各特定要注意ログ」に対して、どのように用いることで、どのような「特定統合検知」を実施しているか不明である。
　更に、「特定統合検知」と、「空間的統合検知」、あるいは、「時間的統合検知」との関係についても、引用記載１の内容からは読み取ることができないので、
　引用記載１の内容からは、“「特定統合検知」を行う”ことで、何故、「空間的統合検知」、あるいは、「時間的統合検知」が「可能」となるのか不明である。
　また、引用記載２には、
「上述の特定ログフィルタＬＦ１〜ＬＦｎ及び特定イベント組合せ検知テーブルＳＫＴ１〜ＳＫＴｎは管理者により管理端末装置ＫＭ１から手動設定することも可能であるが、自動で設定することが可能である」、あるいは、
「特定ログフィルタによる特定条件のフィルタリングの他に一般的条件(発信元や宛先を特定しないイベント中心の条件)によるフィルタリングを汎用ログフィルタＨＬＦで行い、汎用要注意ログＨＦＬ抽出を並行して実施する。更に、汎用イベント組合せ検知テーブルＨＫＴによる汎用統合検知(図３の汎用統合検知手段Ｊ２−２に相当)を行う。ここで、その検知結果から、継続監視を必要とする条件(発信元、宛先、ＴＣＰポート、イベント等)を抽出し、新規に特定ログフィルタＬＦｎ及び特定イベント組合せ検知テーブルＳＫＴｎを自動作成する」との記載はあるが、
　「特定ログフィルタ」、および、「特定イベント組合せ検知テーブル」と、「特定統合検知」、「空間的統合検知」、および、「時間的統合検知」との関係については、何ら言及されておらず、上記で引用した、引用記載２の記載内容を参酌しても、「特定ログフィルタ」、および、「特定イベント組合せ検知テーブル」と、「特定統合検知」、「空間的統合検知」、および、「時間的統合検知」との関係を読み取ることはできない。
　次に、「汎用イベント組合せ検知テーブル」と「汎用統合検知」については、引用記載２に、「更に、汎用イベント組合せ検知テーブルＨＫＴによる汎用統合検知(図３の汎用統合検知手段Ｊ２−２に相当)を行う。」との記載があることから、この記載から、「汎用イベント組合せ検知テーブル」が「汎用統合検知」に“関連”していることは読み取れる。
　しかしながら、該「汎用イベント組合せテーブル」についての詳細な構成については、引用記載１、引用記載２の何れにも記載されておらず、該「汎用イベント組合せテーブル」と「汎用ログフィルタ」、「汎用要注意ログ」との関係についても、引用記載１、および、引用記載２には説明されていないので、「汎用イベント組合せテーブル」をどのように用いることで、「汎用統合検知」を実現しているか不明である。
　以上のとおりであるから、引用記載１、および、引用記載２の記載内容からは、「特定イベント組合せ検知テーブル」、「特定ログフィルタ」、および、「特定要注意ログ」とを、どのように用いることで、「特定統合検知」、「空間的統合検知」、および、「時間的統合検知」を実施しているか不明であり、また、「汎用イベント組合せテーブル」をどのように用いることで、「汎用統合検知」を実現しているか不明である。
　そして、引用記載１、引用記載２の段落以外では、
　本願明細書の段落【００２４】〜【００２５】に「実施の形態２．」として、
「実施の形態１で作成された汎用ログフィルタＨＬＦと汎用イベント組合せ検知テーブルＨＫＴ、特定ログフィルタＬＦｎと特定イベント組合せ検知テーブルＳＫＴｎ、ＩＤＳの有する検知シグネチャ(検知ルール)等の統合検知情報を自サイト以外の他サイトへ自動で伝達する」こと、
　本願明細書の段落【００２６】〜【００２７】に「実施の形態３．」として、
「実施の形態１、２機能により検知された不正アクセスに対して、その被害予測を行う」こと、
　本願明細書の段落【００２８】〜【００２９】に「実施の形態４．」として、
「実施の形態３で自動抽出、順列された可用性優先度順対処手法候補一覧に基づき、対処実行管理処理手段が自動で、あるいは、管理者の指示に従って、対処実行指示を対処先に行う」こと、
　本願明細書の段落【００３０】〜【００３１】に「実施の形態５．」として、
「実施の形態３で照会した対処関連情報(統合対処手法データベースＴＳＤ、インシデント−対処リンクデータベースＩＴＬＤ、インシデントデータベースＩＤＤ)さらに照会結果である統合対処手法候補を、当該サイトの統合検知装置から隣接するサイトの統合検知装置へ情報を暗号化して伝達する」こと、
　本願明細書の段落【００３２】〜【００３４】に「実施の形態６．」として、
「コンテンツデータＡ、Ｂ、Ｃ、Ｄの実体をＷｅｂサーバＶＷｂ１等には持たせず、広域ネットワークＷ１上に分散配置したコンテンツ分散保持サーバ群ＶＫＢ１〜ＶＫＢ４に、コンテンツデータを分割分散保持させる」ことが記載されているものの、
「特定統合検知」、「空間的統合検知」、「時間的統合検知」、「汎用統合検知」については、何ら言及されておらず、引用記載１、および、引用記載２以外の本願明細書の記載内容を参酌しても、「特定イベント組合せ検知テーブル」、「特定要注意ログ」、「特定ログフィルタ」とを、どのように用いることで、「特定統合検知」、「空間的統合検知」、および、「時間的統合検知」を実施しているか、また、「汎用イベント組合せテーブル」を用いることで、どのようにして、「汎用統合検知」を実施しているか、不明である。
　よって、本願明細書に記載された内容からは、「特定統合検知」、「空間的統合検知」、「時間的統合検知」、および、「汎用統合検知」を、どのように実施しているのか不明である。
　　
　ここで、審判請求人は、拒絶の【理由４】の（２）、および、（４）について、
　平成１９年４月６日付けの意見書において、
「(２)「特定統合検知、空間的統合検知、時間的統合検知、汎用統合検知を、各ログ情報や汎用イベント組合せ検知テーブルをどの様に関連付け、どの様に使用することによって実施しているのか」
　
特定イベント組合せ検知テーブルとは、特定ログフィルタにより取得されたログから時間的統合検知や空間的統合検知を行うための条件を決めたものです
それが時間間隔をおいて繰り返されていると、それは不正アクセスの検知を回避しようとする意思で行われた不正アクセスとして把握することができ
このような複雑・高度な不正アクセスを検知するための条件を決めたものです
　また、空間的統合検知の場合を例に説明すると、例えば、あるサーバにウィルス攻撃を受け、そのウィルス攻撃が周辺のサーバにも広がっているという事態を検知する場合がこれに相当します。すなわち、
サーバがウィルス攻撃を受けると当該サーバの処理負荷は増大しますが、処理負荷だけをみていても、それがウィルス攻撃に基づくものか他の要因に基づくものか判断はできません。しかしながら、本システムでは、特定ログフィルタにより特定の注目するイベント等に関連するログを取得しているので、これらのログから各装置がそれぞれどのような動作状態となっているかを把握することが可能です
・・・（中略）・・・
汎用イベント組合せ検知テーブルは新たな時間的、空間的条件に基づく統合検知を行うための条件を決めたものです(特定ログフィルタと特定イベント組合せ検知テーブルとの関係に似たものです)
　平成１９年８月１０日付けの手続補正書（方式）において、
「そして統合検知手段では、特定イベント組合せ検知テーブル(ＳＫＴ１〜)を使用する。このテーブルは、特定ログフィルタのフィルタリングにより取得された、図２の時刻、プロトコル、発信元、宛先、イベント等の項目を含む汎用ログ形式の特定要注意ログ(ＦＬ１〜)から時間的統合検知や空間的統合検知を行うための条件を決めたものである。例えば、
ある時間だけのログを見ると不正アクセスとは分からないものでも、時間をおいて繰り返されると、それは不正アクセスの検知を回避しようとする意図で行われた不正アクセスとして把握することができ
　空間的統合検知の場合は、例えば、
あるサーバ(センサや構成機器でもよい)がウィルス攻撃を受け、そのウィルス攻撃が周辺のサーバにも広がっているという事態を検知する場合がこれに相当する。サーバがウィルス攻撃を受けると該サーバの処理負荷は増大するが、処理負荷だけをみていても、それがウィルス攻撃に基づくものか他の要因に基づくものか判断はできない。しかしながら、特定ログフィルタにより特定の注目するイベント等に関連するログを取得しているので、これらのログから各装置がそれぞれどのような動作状態となっているか把握することが可能である
・・・（中略）・・・
統合検知をどのようにして行うかについては、上記(ａ)で説明した通りであり、その内容は明細書段落番号００１９〜００２１の記載から自明と考える
　そして、上記引用の主張１、および、主張２の下線で指摘した部分において、　審判請求人は、
　「時間的統合検知」について、
“何らかの「ログ」が、ある「時間間隔」をおいて「繰り返し」発生している場合は、それが、「不正アクセス」であると把握できる”と、また、
　「空間的統合検知」について、
“特定ログフィルタにより特定の注目するイベント等に関するログを取得することで、各装置がそれぞれどのような動作状態となっているか把握することが可能であり、このようなログから、あるサーバとその周辺のサーバの処理負荷の増加が時間差を持って発生したことを把握することも可能であり、この時間差のあるログから、処理負荷の増大が、ウィルス攻撃によるものであるか否か判断できる”と説明しているが、
　「時間的統合検知」に関しては、引用記載１に、
「特定のイベント群が時間間隔をおいて発生するログ情報を関連付けた時間的統合検知」との記載があるのみで、引用記載１における、この記載内容と、
　主張１、および、主張２の「時間的統合検知」の説明における、
「
ある時間だけのログを見ると不正アクセスとは分からないものでも、時間をおいて繰り返されると、それは不正アクセスの検知を回避しようとする意図で行われた不正アクセスとして把握する
　“どのような「特定イベント群」”の、“どのような「時間間隔」”で発生する、“どのような「ログ」”を、“どう処理する”、あるいは、“どうのように監視する”ことで“
不正アクセスの検知を回避しようとする意図で行われた不正アクセスとして把握する
　次に、「空間的統合検知」の説明における、
「ウィルス攻撃」についての説明は、本願明細書に記載された内容に基づかないものであるから、主張１、および、主張２における「空間的統合検知」に付いての主張は採用できない。
　また、仮に、該「ウィルス攻撃」についての説明が本願明細書の記載内容に基づくものであったとしても、本願明細書中には、該「空間的統合検知」について、引用記載１中の「アクセス経路上の各センサのログ情報を関連付けた空間的統合検知」程度の内容しか存在しておらず、この程度の内容では、
　“どのような「アクセス経路上」に、どのように配置されている「各センサ」の、どのような「ログ情報」を、どのように「関連付け」る”ことで、「空間的統合検知」を実施しているのか不明であり、
　また、主張１、および、主張２に、
「
特定ログフィルタにより特定の注目するイベント等に関連するログを取得しているので、これらのログから各装置がそれぞれどのような動作状態となっているかを把握することが可能です
　主張１、および、主張２からは、「サーバの処理負荷の増加」が、「ウィルス攻撃」によるものと、“特定可能”であるのか不明であるから、
　本願明細書の記載内容、および、主張１、主張２における上記引用の説明内容を加味しても、どのようにして、「空間的統合検知」を実施しているのか不明である。
　また、「汎用イベント組合せテーブル」と「汎用統合検知」についても、主張１、主張２の内容を加味しても、本願明細書の記載内容からでは、「汎用イベント組合せテーブル」をどのように用いることで、「汎用統合検知」を実施しているか不明である。
　よって、審判請求人の、平成１９年４月６日付けの意見書、および、同年８月１０日付けの手続補正書（方式）における、拒絶の【理由４】の（２）、および、（４）に対する主張の内容を加味しても、拒絶の【理由４】の（２）、および、（４）で指摘の事項は、依然として不明のままである。
　
　以上のとおりあるから、本願明細書は、本願の請求項１に記載の発明について、経済産業省令で定めるところにより、その発明の属する技術分野に属する通常の知識を有するものがその実施をすることができる程度に明確かつ十分に記載したものではない。
　
４．むすび
　したがって、原査定の、その他の拒絶の理由を検討するまでもなく、本願は、特許法第３６条第４項第１号に規定する要件を満たしていない。 
　よって，結論のとおり審決する。