【事件の表示】
　特願２００１−５８５４４９「インテリジェントフィードバックループプロセス制御システム」拒絶査定不服審判事件〔平成１３年１１月２２日国際公開、ＷＯ０１／８９１４６、平成１５年１１月１１日国内公表、特表２００３−５３３９４１〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
１．手続の経緯と本願発明
　本願は、平成１３年５月９日（パリ条約による優先権主張　外国庁受理　平成１２年５月１７日、アメリカ合衆国）を国際出願日とする出願であって、平成１８年４月２５日付けで拒絶査定がなされ、これに対し、同年８月７日に拒絶査定不服審判が請求されるとともに、同日付けで手続補正がなされ、同年９月４日に手続補正がなされ、同年９月６日に手続補正がなされ、平成２０年５月２９日付けで審尋がなされ、同年１２月３日に回答書が提出され、平成２１年５月２０日付けで平成１８年９月４日付けの手続補正が却下されるとともに、同日付けで平成１８年９月６日付けの手続補正が却下され、同年６月８日付けで審尋がなされ、同年１２月１５日に回答書が提出されたものである。
　なお、平成２１年５月２０日付けで行われた平成１８年９月４日付けの手続補正及び平成１８年９月６日付けの手続補正に対する補正却下の決定に対して不服の主張はされていない。
　
　したがって、本願の特許請求の範囲の請求項２に係る発明（以下、「本願発明」という。）は、平成１８年８月７日付け手続補正書により補正された明細書及び図面の記載からみて、その特許請求の範囲の請求項２に記載された以下のとおりのものと認める。
　
「パケットメッセージが多くの送信装置の任意の一つから一つ又は複数の受信装置に送信され、その受信装置はそのようなパケットメッセージの受信およびそれらへの返信に適応している通信システムのデータフローを制御する方法であって、
　各パケットが各パケット内に含まれるアドレス情報に従って定義される場所へ届くネットワークを通じてパケットメッセージを受信し、その場合前記各パケットが前記ネットワークの特定の場所におけるソロパケット内の前記アドレス情報の部分的な制御によって動作するルーターによって一時的な経路に沿って届けられるステップと、
　前記特定の場所の動作に関する情報を集めるステップと、
　前記収集情報に基づいて前記特定の場所に関するデータフローを修正するステップと、
を有する方法。」
　
２．引用発明
（１）これに対して、原査定の拒絶の理由に引用された「斉藤栄太郎，不正アクセスを監視，撃退　犯人発見の精度を競う，日経コミュニケーション，日経ＢＰ社，１９９９年１０月１８日，第３０４号，ｐｐ．１０２−１０９」（以下、「引用例」という。）には、図面とともに以下の事項が記載されている。
　
　図１には、「侵入検知ツールの概要」として、以下の記載がある。
イ．「ネットワーク上を流れるパケットを監視する「ネットワーク監視型」とサーバーなどホスト・マシン上でユーザーの挙動を監視する「ホスト監視型」の２種類に大きく分けられる。前者は主に、パケットの内容を見て不正アクセスを調べる。一方後者は、主に対象となるサーバー上でのユーザーの行動を監視する。」
　
　１０３頁〜１０４頁には、「パケットや挙動で不審者をチェック」として、以下の記載がある。
ロ．「一般に侵入検知ツールは、セグメント上を流れるすべてのパケットを監視する「ネットワーク監視型」と、重要なデータが置かれたファイル・サーバーなど特定のマシン上でユーザの挙動を監視する「ホスト監視型」の２種類に大きく分けられる（図１）。
　一般的な構成としては、ネットワーク監視型の場合は「センサー」などと呼ばれる専用マシン、ホスト監視型の場合は「エージェント」と呼ばれる監視プログラムをそれぞれ監視対象セグメントやサーバーに導入する。さらに、センサーやエージェントからの情報を受け取り、管理者が集中管理するための「コンソール」端末を設置する。
　ネットワーク監視型の製品は、米ISSの「RealSecure Network Engine」（以下、RealSecure N/E）や米シスコ・システムズの「NetRanger」などが代表的だ。
　一方ホスト監視型の製品には、米アクセント・テクノロジーズの「Intruder Alert」や米RSAセキュリティの「Kane Security Monitor」などがある。
　ネットワーク監視型とホスト監視型の２種類があるのは、それぞれ得手不得手があり、どちらか一方では多種多様な不正アクセスの手法に対応しきれないからである。
　基本的にネットワーク監視型は、パケットのヘッダーやデータ部分を見て正当性を判断する。このため、クラッカなどが不正アクセスの前段階として利用するポート・スキャンやDoS攻撃などは簡単に発見できる。しかし、クラッカが事前に何らかの方法でID／パスワードを入手して、正規のユーザーになりすましている場合などには、ネットワーク監視型では発見は難しい。
　一方、ユーザの挙動を見るホスト監視型は、たとえ正規のユーザであっても、例えばシステム・ファイルを勝手に書き換えようとするなどの不審な行動をとれば不正アクセスと判断できる。逆にホスト監視型は、ポート・スキャンやDoS攻撃など、パケット・レベルの不正アクセスには基本的には対処できない。」
　
　１０４頁には、「２００以上の「指紋」が決め手」として、以下の記載がある。
ハ．「侵入検知ツールの仕組みを詳しく見ていこう。
　まずはネットワーク監視型から。検知の基本的な流れは、１（なお、引用例の原文においては、１は丸数字の１で記載されている。以下、２、３．．．も同様。）パケットの収集、２攻撃方法データベースとのパターン・マッチング、３管理者への警告と攻撃への対処――となる。
　１のパケットの収集には、パソコンに装着されたNIC（network interface card）を、すべてのパケットを収集する「プロミスキャス・モード」（無差別モード）と呼ぶ特別な状態で利用する。基本的にLANアナライザと同じ仕組みである。
　収集したパケットは直ちに、２の攻撃手法データベースとのパターン・マッチングにかけられる。データベースは、既存の不正アクセス手法の特徴を「シグネチャ」として格納してある。シグネチャとは、犯人が現場に残す指紋のようなものだ（写真１）。
　シグネチャの数は製品ごとに異なるが、似たような攻撃手法を一つのシグネチャと数えるか、すべて別のシグネチャと数えるかなど定義の仕方が異なるため、単純な比較はほとんど意味がない。多くの製品は、２００以上の攻撃手法に対応しており、著名な攻撃手法はほとんど検出できる。
　パターン・マッチングの結果不正アクセスと判断した場合には、管理者へのアラート（警告）や、可能であればTCPコネクションの強制切断などの防御処理が施される（写真２）。
　ホスト監視型も基本的な検知の流れはネットワーク監視型と同じである。１でパケットの代わりにサーバー上のログを監視する。同様に２では、ログとユーザーのファイル・アクセス権限や許可する行動などの規則（ルール）を組み合わせた「ポリシー」を、パターン・マッチングで比較して不正アクセスを検知する。」（なお、引用例の原文においては、脚注を示す指マークが記載されているが、省略した。以下も同様。）
　
　１０４頁〜１０６頁には、「ＤｏＳ攻撃には通信経路をしゃ断」として、次の記載がある。
ニ．「次に、基本機能以外の付加機能を見てみよう。製品ごとの特徴が大きく表れる部分である。
　まずは、ルーターやファイアウォールとの連係機能。ほとんどの製品は、不正アクセスを検知するとTCPコネクションの切断やサーバー上のプロセスの強制終了などが可能だ。しかし、これだけでは不十分である。切断しても繰り返し攻撃してくる可能性は充分ある。また、telnetやFTPなどTCPを利用した通信に関してはコネクションの強制切断が可能だが、ホスト間で送達確認をせず、一方的にパケットを送りつけるUDPを使ったDoS攻撃などは防げない。
　こうした攻撃に対しては、上流になるルーターやファイアウォールでパケットをフィルタリングする必要がある（図２）。
　ルーターとの連係機能を備えた製品で代表的なのがシスコのNetRanger。同社製ルーターと連係が可能だ。具体的には、不正アクセス元からのパケットをすべてしゃ断するようにルーターのアクセス・コントロール・リスト（ACL）を書き換えられる。
　以前はシスコ製ルーターと連係可能な製品はNetRangerだけだったが、最近では米コンピュータ・アソシエイツのSessionWall-3などほかのベンダーでも対応している製品がある。」
　
　図２には、「ルーターやファイアウォールとの連携機能を使えば、特定ＩＰアドレスからの通信をしゃ断できる」として、以下の記載がある。
ホ．「実際に不正アクセスをしゃ断するまでのプロセスは、１から４の流れで進む。
１管理者権限でのログインの試みなど許可されていないアクセス
２侵入検知ツールが通信セッションを強制切断
３ルーターやファイアウォールに対して、不正アクセス元のＩＰアドレスからのアクセスをしゃ断するように設定を変更
４以降、不正アクセス元ＩＰアドレスからのパケットをすべてフィルタリング」
　
　
　上記引用例の記載及び関連する図面並びにこの分野の技術常識を考慮すると、
（１）引用例には、上記イ．、ハ．、ニ．、図１などから明らかなように、「パケット」の流れを制御する方法が記載されており、
（２）上記ロ．に記載されるように、「パケット」は「データ部分」を有しており、この部分がパケットメッセージといえることは技術常識であり、
（３）図１から明らかなように、「クラッカ」の端末からの送信された「パケット」を受信する端末として複数の「サーバー」が存在しているから、「パケット」は一つあるいは複数の「サーバー」に送信されるといえるものであり、
（４）「パケット」の受信側である「サーバー」が、「パケット」の「データ部分」（すなわち、パケットメッセージ）の受信に適応していることは技術常識であり、
（５）図１の構成は全体として、「パケット」の送受信を行っているから通信システムであり、
（６）各パケットが各パケット内に含まれるアドレス情報に従って定義される場所へ届くネットワークを通じてパケットメッセージを受信することは、図１で例示されるようなインターネット、ＬＡＮなどにおける一般的動作にすぎないものであり、この点は、平成２１年６月８日付けの審尋Ｂ．４．でも確認したところ、審尋に対する回答において否定する主張は行われておらず、
（７）上記ロ．、ハ．から明らかなように、収集された「パケット」から「不正アクセス」に関する情報を検知しているから、このことは不正アクセスに関する情報を集めるといえるものであり、さらに、上記ニ．、ホ．から明らかなように、この情報に基づいて、「不正アクセス元」に関する「パケット」の流れをしゃ断している。
　
　したがって、上記（１）〜（７）からして、引用例には以下の発明（以下、「引用発明」という。）が記載されていると認められる。
　
「パケットメッセージがクラッカの端末から一つ又は複数のサーバーに送信され、そのサーバーはそのようなパケットメッセージの受信に適応している通信システムのパケットの流れを制御する方法であって、
　各パケットが各パケット内に含まれるアドレス情報に従って定義される場所へ届くネットワークを通じてパケットメッセージを受信するステップと、
　不正アクセスに関する情報を集めるステップと、
　前記不正アクセスに関する情報に基づいて不正アクセス元に関するパケットの流れをしゃ断するステップと、
を有する方法。」
　
３．対比
　本願発明と引用発明とを対比するに、
引用発明の「クラッカの端末」は、上記イ．及び図１からわかるように、パケットを送信するから送信装置であり、ネットワーク上にパケットを送信する装置が多数存在することが技術常識であることを鑑みれば、多くの送信装置の任意の一つといえるものであって、
引用発明の「サーバー」は、パケットを受信するから受信装置であり、
引用発明の「パケットの流れを制御する」ことは、パケットにより送受信されるデータ部分の流れ（フロー）の制御することになるから、「データフローを制御する」ことになり、
引用発明の「不正アクセス」は、「不正アクセス元」の動作であって、「不正アクセス元」はネットワーク上の場所であるから「特定の場所」といえるものであり、ネットワーク上の任意の場所を「特定の場所」といえる点は、平成２１年６月８日付けの審尋Ｂ．３．でも確認したところ、審尋に対する回答において否定する主張は行われておらず、
引用発明の「不正アクセスに関する情報」は、集められているから、収集情報であり、
引用発明の「パケットの流れをしゃ断する」ことは、不正アクセス元からのパケットにより送信されるデータ部分の流れ（フロー）について、しゃ断しない状態からしゃ断する状態に修正することであるから、本願発明の「データフローを修正する」に含まれる。
　
　したがって、本願発明と引用発明は、以下の点で一致ないし相違する。
　
＜一致点＞
「パケットメッセージが多くの送信装置の任意の一つから一つ又は複数の受信装置に送信され、その受信装置はそのようなパケットメッセージの受信に適応している通信システムのデータフローを制御する方法であって、
　各パケットが各パケット内に含まれるアドレス情報に従って定義される場所へ届くネットワークを通じてパケットメッセージを受信するステップと、
　特定の場所の動作に関する情報を集めるステップと、
　前記収集情報に基づいて前記特定の場所に関するデータフローを修正するステップと、
を有する方法。」
　
＜相違点１＞
　「受信装置」に関して、本願発明は「およびそれら（すなわち、送信装置）への返信に適応している」のに対し、引用発明では不明な点。
＜相違点２＞
「各パケットが各パケット内に含まれるアドレス情報に従って定義される場所へ届くネットワークを通じてパケットメッセージを受信するステップ」について、本願発明では「その場合前記各パケットが前記ネットワークの特定の場所におけるソロパケット内の前記アドレス情報の部分的な制御によって動作するルーターによって一時的な経路に沿って届けられる」と付加しているのに対して、引用発明では不明な点。
　
４．当審の判断
　そこで、まず上記相違点１について検討するに、パケットメッセージの受信装置において、例えば、ＡＣＫ、ＮＡＣＫなどのように、送信装置への返信を行うことは技術常識であるから、引用発明において送信装置への返信に適応する程度のことは、当業者が適宜なし得るものである。
　次に、上記相違点２について検討するに、まず、「アドレス情報の部分的な制御によって動作するルーター」とは、一般的なルーターを説明を付加しているにすぎないものであって、この点は、平成２１年６月８日付けの審尋Ｂ．２．でも確認したところ、審尋に対する回答において否定する主張は行われておらず、また、引用例の図１などを参照してわかるように、不正アクセス元（すなわち、ネットワークの特定の場所）のパケットは、ルーターによって一時的な経路に沿って届けられている。さらに、不正アクセス元の個々のパケットはソロパケットといえるものであり、この点は、平成２１年６月８日付けの審尋Ｂ．１．でも確認したところ、審尋に対する回答において否定する主張は行われていない。
　したがって、引用発明において、「その場合前記各パケットが前記ネットワークの特定の場所におけるソロパケット内の前記アドレス情報の部分的な制御によって動作するルーターによって一時的な経路に沿って届けられる」との説明を付加することは、一般的動作の単なる付加である。また、この点についても、平成２１年６月８日付けの審尋Ｂ．４．でも確認したところ、審尋に対する回答において否定する主張は行われていない。
　そして、作用・効果も、引用発明から自明の範囲内にすぎない。
　
５．むすび
　以上のとおり、本願発明は、引用発明に基づいて、当業者が容易に発明をすることができたものと認められるから、特許法第２９条第２項の規定により特許を受けることができない。
　
　よって、結論のとおり審決する。