【事件の表示】
　平成１１年特許願第　１５６８３号「コンピュータネットワークの保安方法」拒絶査定不服審判事件〔平成１１年１１月１６日出願公開、特開平１１−３１６６７７〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
　
１．手続の経緯と本願発明
　本願は平成１１年１月２５日（パリ条約による優先権主張　１９９８年１月２９日　米国）の出願であって、原審において平成１４年９月３日付けで拒絶理由通知がなされ、平成１５年３月２７日付けで意見書が提出されるとともに手続補正がなされ、同年４月１８日付けで拒絶査定がなされた。
　これに対して、同年７月２２日付けで拒絶査定不服の審判請求がなされ、同年８月２１日付けで手続補正がなされたものである。
　
２．平成１５年８月２１日付けの手続補正について補正却下の決定
［補正却下の決定の結論］
　平成１５年８月２１日付けの手続補正を却下する。
　
［理由］
（１）補正後の本願発明
　本件手続補正により、特許請求の範囲は、
「　　【請求項１】
　（Ａ）　コンピュータネットワークの、複数のファイルを含む通信トラフィックストリームを監視するステップと、
　（Ｂ）　前記コンピュータネットワークと一体であるサーバから、監視される通信トラフィックストリームの前記複数のファイルのうち少なくとも１つのファイルに、プローブを挿入するステップとからなり、前記プローブは、前記コンピュータネットワークの少なくとも１つのセキュリティ対策と関連する特定のコンピュータ実行タスクに従う所定の構成を有しており、さらに、
　（Ｃ）　前記プローブがコンピュータネットワーク内で実行されたかを判断するステップと、
　（Ｄ）　プローブが実行された場合には、プローブの実行が行われたコンピュータネットワーク内の位置を識別するステップと
を有することを特徴とするコンピュータネットワークの保安方法。
　　【請求項２】
　（Ｅ）　コンピュータネットワーク内の識別された前記位置の情報を少なくとも含むセキュリティ警告を発生させるステップ
をさらに有することを特徴とする請求項１記載の方法。
　　【請求項３】
　識別された前記位置は、コンピュータネットワーク内の複数のユーザー端末のうちの特定のユーザー端末である
ことを特徴とする請求項２記載の方法。
　　【請求項４】
　前記プローブは、トロイの木馬として構成するコンピュータウィルスである
ことを特徴とする請求項２記載の方法。
　　【請求項５】
　前記プローブの実行は、特定のユーザー端末上を動作するウェブブラウザー上にて実行される
ことを特徴とする請求項３記載の方法。
　　【請求項６】
　前記セキュリティ警告は、トロイの木馬が送信したＵＤＰパケットがあったことに従って発生される
ことを特徴とする請求項４記載の方法。
　　【請求項７】
　複数のユーザー端末を有するプライベートネットワークの保安方法であって、
　（Ａ）　プライベートネットワークとパブリックネットワークとの間の通信トラフィックストリームを監視するステップを有し、前記通信トラフィックストリームは複数のファイルを含み、前記複数のファイルの特定の１つのファイルは、前記複数のユーザー端末の特定の１つに対応付けられており、さらに、
　（Ｂ）　前記プライベートネットワークと前記パブリックネットワークとを分離するファイアウォールから、複数のプローブの少なくとも１つのプローブを、監視される通信トラフィックの前記複数のファイルの特定の１つに挿入するステップを有し、前記少なくとも１つのプローブは、前記プライベートネットワークの少なくとも１つのセキュリティ対策と関連する特定の実行タスクに従う所定の構成を有しており、さらに、
　（Ｃ）　前記ファイルが対応付けられたユーザー端末の特定の１つによりプローブが実行されたかどうかを判断するステップと、
　（Ｄ）　プローブが実行された場合には、プローブの実行が行われた前記ユーザー端末の特定の１つを識別するステップと
を有することを特徴とする方法。
　　【請求項８】
　（Ｅ）　プローブからファイアーウォールへと識別された前記ユーザー端末の指示を少なくとも含んでいるセキュリティ警告を送信するステップ
をさらに有することを特徴とする請求項７記載の方法。
　　【請求項９】
　前記ステップ（Ｂ）は、少なくとも１つのユーザー端末からパブリックネットワークへの最初のアクセスがあったことに従って行われる
ことを特徴とする請求項７記載の方法。
　　【請求項１０】
　前記プローブは、少なくとも１つのＪａｖａＳｃｒｉｐｔ命令を含む
ことを特徴とする請求項９記載の方法。
　　【請求項１１】
　前記通信トラフィックストリームは、複数のＴＣＰ／ＩＰパケットからなる
ことを特徴とする請求項７記載の方法。
　　【請求項１２】
　プライベートネットワークとパブリックネットワークとの間のセキュリティを提供するファイアーウォールにおいて用いる方法であって、
　（Ａ）　プライベートネットワークとパブリックネットワークとの間を送信される複数のパケットを含む通信トラフィックストリームを監視するステップを有し、前記通信トラフィックストリームの少なくとも一部がファイアウォールを通過するものであり、さらに、
　（Ｂ）　前記ファイアウォールから、監視される通信トラヒックストリームの前記複数のパケットの少なくとも１つのパケットへとプローブを挿入するステップを有し、前記プローブは、前記プライベートネットワークの少なくとも１つのセキュリティ対策と関連する特定の実行タスクに従う所定の構成を有しており、さらに、
　（Ｃ）　プライベートネットワークにおいてプローブが実行されたかどうかを判断するステップと、
　（Ｄ）　プローブが実行された場合に、プローブが実行されたプライベートネットワーク内の位置を識別するステップと
を有することを特徴とする方法。
　　【請求項１３】
　前記プライベートネットワークは複数のユーザー端末を有するコンピュータネットワークである
ことを特徴とする請求項１２記載の方法。
　　【請求項１４】
　前記ステップ（Ｄ）は、プローブが実行されたことを示す信号をプローブからファイアーウォールへと送信するステップからなる
ことを特徴とする請求項１２記載の方法。
　　【請求項１５】
　前記ステップ（Ｂ）は、少なくとも１つのユーザー端末からのパブリックネットワークへの最初のアクセスがあったことに従って行われる
ことを特徴とする請求項１３記載の方法。
　　【請求項１６】
　（Ａ）プライベートネットワークとパブリックネットワークとの間を交換される複数のパケットへと複数のプローブを挿入するプローバを有し、前記複数のプローブの挿入は、複数のパケットがプライベートネットワークとパブリックネットワークとの間で送信されるときに生じ、そして前記複数のプローブの各プローブは、前記プライベートネットワークの少なくとも１つのセキュリティ対策と関連する特定のコンピュータ実行タスクに従う所定の構成を有しており、さらに、
　（Ｂ）前記複数のパケットを監視し、かつ、前記複数のプローブの特定のプローブがプライベートネットワークにおいて実行されたかを判断するプロセッサと
を有することを特徴とする、プライベートネットワークとパブリックネットワークとの間でネットワークセキュリティを提供するネットワークセキュリティ装置。
　　【請求項１７】
　（Ｃ）前記複数のプローブを記憶するデータベース
をさらに有することを特徴とする請求項１６記載のネットワークセキュリティ装置。
　　【請求項１８】
　（Ｄ）中央ソースから前記複数のプローブをダウンロードする通信チャネル
をさらに有することを特徴とする請求項１６記載のネットワークセキュリティ装置。」
と補正された。
　
　上記本件手続補正の前後における各請求項の対応関係は、上記本件手続補正前の請求項１，２，３，５，７，８，９，１１，１２，１３，１４，１５，１６，１７，１８，１９，２０，２１が、上記本件手続補正後の請求項１，２，３，４，５，６，７，８，９，１０，１１，１２，１３，１４，１５，１６，１７，１８にそれぞれ対応していると認められる。
　
　請求項１の補正は、請求項１に記載した発明を特定するために必要な事項である「前記複数のファイル」について「監視される通信トラフィックストリームの」との限定を付加し、同じく、「プローブを挿入するステップ」について「前記コンピュータネットワークと一体であるサーバから」との限定を付加したものであり、加えて、「プローブ」について「前記プローブは、前記コンピュータネットワークの少なくとも１つのセキュリティ対策と関連する特定のコンピュータ実行タスクに従う所定の構成を有しており、」との限定を付加したものであって、特許法第１７条の２第４項第２号の特許請求の範囲の減縮を目的とするものに該当する。
　また、請求項１の補正は、出願当初の明細書に記載された事項の範囲内でなされており、特許法第１７条の２第３項の規定に合致するものである。
　
　そこで、上記本件手続補正後の特許請求の範囲第１項に記載されている事項により特定される発明（以下、「本願補正発明」という。）が、特許出願の際独立して特許を受けることができるものであるか（特許法第１７条の２第５項において準用する同法第１２６条第４項の規定に適合するか）について以下に検討する。
　
（２）引用例
　これに対して、平成１４年９月３日付けの拒絶の理由に引用された各引用例には以下の事項が記載されている。
　
ａ．引用例１
Shoffner, M.,・Hugues, M.著、神林訳，”ＪａｖａとＷｅｂ実行可能なオブジェクトのセキュリティ”，ＤＤＪ，（株）翔泳社，１９９７年３月１日，第６巻、第３号，p.50-58 
　
ａ−１．「■ソケットとネットワーキング
　あらゆるネットワーク指向の言語同様にＪａｖａは， ＴＣＰ／ＩＰソケットを生成し，利用する機構を提供している．信用できないソフトウェアにソケットへのアクセスを許すことはどう考えても危険なので，ブラウザのＳｅｃｕｒｉｔｙＭａｎａｇｅｒはソケットの使用に様々な制約を課している．この分野で昔から危険視されているものに，ＳＭＴＰポートとそれに関連した偽メールとサービス拒否の脆弱性があるが，ソケットに制限を課さなければより洗練された分散アタックも可能になってしまう．
　たとえば分散ＳＭＴＰアタックとして，与えられたポートのサブネット上でクラックするプログラム（クラケット）は，ランダムなＩＰアドレスを試みて，発見したならばＭＴＡの版番号に基づいた既知のバグを利用することができる．同様のクラケットで，ホストのポート２３に接続してランダムパスワードを用いてルートによるログインを試みることもできよう．隠れた（トロイの馬）クラケットをアクセスのきわめて多いページから異なるクライアントにロードすれば，数万のコピーが様々な場所から与えられたサブネットをアタックし，弱点を探り，そして任意のホストにその結果を報告させるようにできる．そのようなアタックは，ネットワークのあらゆるところから出現することになるのでトレースが困難である．
　仮装問題は，これに関連した脅威である．トロイの馬アプレットは，ブラウザ中にロードされ，クラッカーに対して警告を発し，クラッカーからターゲットマシンへのＴｅｌｎｅｔセッションを中継することでクラッカーのために足跡を消す役割を演じることもある．ダーゲットのログインエントリを調べても，ブラウザを実行しているマシンが怪しいとわかるだけで，しかもログがその証拠になってしまうのだ．
　それより悪質でないものの，より手の込んだトロイの馬アプレットは，クライアントマシンを使って他の分散タスクのための密度の高い数値計算を行なうことができる．明らかにサーバーはコーディネーションオーバーヘッドに見舞われることになるが，ある種の問題にとっては，このようなアプローチが有効であることもわかっている．これらのアクック法は，きわめて特殊なものに思えるかもしれないが，インターネットのような巨大なネットワークにおいては，どんなにありそうもないことでもそのような可能性を考慮しておかなければならないのだ．」（第５５頁右欄１２行〜第５６頁左欄３５行）
　
　上記ａ−１「・・・（　前　略　）・・・隠れた（トロイの馬）クラケットをアクセスのきわめて多いページから異なるクライアントにロードすれば，数万のコピーが様々な場所から与えられたサブネットをアタックし，弱点を探り，そして任意のホストにその結果を報告させるようにできる．」の記載から、隠れた（トロイの馬）クラケットをアクセスのきわめて多いページに挿入することが示されている。また、このことは、ページは通常複数のファイルから構成されていることから、複数のファイルから構成されているページに隠れた（トロイの馬）クラケットを挿入することが示されていると認められる。
　さらに、この複数のファイルをクライアントにロードするためには、通信トラフィックストリームに含まれてネットワークを流れる必要があると認められる。
　加えて、任意のホストにその結果を報告するためには、その任意の「ホスト」は結果の報告を受けるために、ネットワーク上の通信トラフィックストリームを監視していると認められる。
　また、その任意の「ホスト」は結果の報告を受けるために、該ネットワークに接続されているから、ネットワークの一部を構成していると認められる。
　
　また、上記ａ−１「・・・（　前　略　）・・・あらゆるネットワーク指向の言語同様にＪａｖａは， ＴＣＰ／ＩＰソケットを生成し，利用する機構を提供している．信用できないソフトウェアにソケットへのアクセスを許すことはどう考えても危険なので，ブラウザのＳｅｃｕｒｉｔｙＭａｎａｇｅｒはソケットの使用に様々な制約を課している．・・・（　中　略　）・・・ソケットに制限を課さなければより洗練された分散アタックも可能になってしまう．
　たとえば分散ＳＭＴＰアタックとして，与えられたポートのサブネット上でクラックするプログラム（クラケット）は，ランダムなＩＰアドレスを試みて，発見したならばＭＴＡの版番号に基づいた既知のバグを利用することができる．同様のクラケットで，ホストのポート２３に接続してランダムパスワードを用いてルートによるログインを試みることもできよう．」の記載から、クラックするプログラム（クラケット）は、ブラウザのＳｅｃｕｒｉｔｙＭａｎａｇｅｒが課すソケットの使用制限に従い、もし制限が課されていない場合、分散ＳＭＴＰアタックを実行することが示されており、またそのための所定の構成を含んでいると認められる。
　
　さらに、上記ａ−１「・・・（　前　略　）・・・仮装問題は，これに関連した脅威である．トロイの馬アプレットは，ブラウザ中にロードされ，クラッカーに対して警告を発し，クラッカーからターゲットマシンへのＴｅｌｎｅｔセッションを中継することでクラッカーのために足跡を消す役割を演じることもある．ダーゲットのログインエントリを調べても，ブラウザを実行しているマシンが怪しいとわかるだけで，しかもログがその証拠になってしまうのだ．」の記載から、トロイの馬アプレット（クラケットに相当する。）は、実行された場合に、クラッカーに対して警告を発することが示されている。また、Ｔｅｌｅｎｅｔのセッションを中継するためには、クラケットは実行されたマシンのネットワーク内の位置を識別する情報をクラッカーに送っており、クラッカーはその情報を用いネットワーク内の位置を識別しＴｅｌｅｎｅｔの接続を行っていると認められる。
　
　　以上ａ−１の記載より、引用例１には以下の発明（以下「引用例１発明」という。）が記載されている。
　
　ホストがネットワークの、複数のファイルを含む通信トラフィックストリームを監視し、
　ネットワークと一体であるホストと、
　監視される通信トラフィックストリームの前記複数のファイルのうち少なくとも１つのファイルに、クラケットが挿入されており、
　前記クラケットは、ブラウザのＳｅｃｕｒｉｔｙＭａｎａｇｅｒが課すソケットの使用制限に従う所定の構成を有しており、さらに、
　前記クラケットは、実行された際にホストに警告を発し、
　前記クラケットが実行された場合には、実行されたマシンのネットワーク内の位置を識別する、
　クラックの方法。
　
ｂ．引用例２
山本著，”インターネットにおけるセキュリティ・ホール検出 ソフトウェア”，コンピュータソフトウェア，日本ソフトウェア科学会，１９９６年７月１５日，第１３巻、第４号，p.57-65 
　
ｂ−１．「セキュリティ・ホールを発見するソフトウェアは，セキュリティ・スキャナと呼ばれることがある．セキュリティに詳しくない管理者もセキュリティ・スキャナを使えば，自組織が抱えているセキュリティ・ホールを簡単に発見できる．」（第５８頁左欄４行〜８行）
　
ｂ−２．「しかしながら，セキュリティ・スキャナは，幾つかのサービスに対して，実際に侵入する際と同様の攻撃を加えて，セキュリティ・ホールを判断している．このように，新米侵入者がセキュリティ・スキャナから得る知識は少ないとは言いがたい．」（第６２頁右欄７行〜１１行）
　
　以上ｂ−１，ｂ−２の記載から、引用例２には以下の発明（以下「引用例２発明」という。）が記載されている。
　
　幾つかのサービスに対して、実際に侵入する際と同様の攻撃を加えて、セキュリティ・ホールを発見する、セキュリティ・スキャナ。
　
（３）対比
　本願補正発明と引用例１発明とを対比すると、引用例１発明の「ホスト」「ネットワーク」「クラケット」は、本願補正発明の「サーバ」「コンピュータネットワーク」「プローブ」にそれぞれ相当する。
　
　また、引用例１発明の「ブラウザのＳｅｃｕｒｉｔｙＭａｎａｇｅｒが課すソケットの制限」は「コンピュータネットワークの少なくとも１つのセキュリティ対策と関連」しており、また、「ソケット」は「コンピュータ実行タスク」であることから、引用例１発明も本願補正発明と同様に、「前記コンピュータネットワークの少なくとも１つのセキュリティ対策と関連する特定のコンピュータ実行タスクに従う所定の構成を有して」いると認められる。
　
　さらに、引用例１発明で「前記クラケットは、実行された際にホストに警告を発し」た場合、警告を受けたホストは、当然クラケットがネットワーク内で実行されたかを判断していることから、本願補正発明の「ファイルが対応付けられたユーザー端末の特定の１つによりプローブが実行されたかどうかを判断するステップ」に対応すると認められる。
　
　加えて、ホストは、警告が発せられた場合、クラケットが実行されたマシンのネットワーク内の位置を識別していることから、引用例１発明は、本願補正発明の「プローブが実行された場合には、プローブの実行が行われた前記ユーザー端末の特定の１つを識別するステップ」を行っていると認められる。
　
　してみると、両者は次の点で一致している。
　
　コンピュータネットワークの、複数のファイルを含む通信トラフィックストリームを監視するステップと、
　前記コンピュータネットワークと一体であるサーバと、
　監視される通信トラフィックストリームの前記複数のファイルのうち少なくとも１つのファイルに、プローブを挿入されており、
　前記プローブは、前記コンピュータネットワークの少なくとも１つのセキュリティ対策と関連する特定のコンピュータ実行タスクに従う所定の構成を有しており、さらに、
　前記プローブがコンピュータネットワーク内で実行されたかを判断するステップと、
　プローブが実行された場合には、プローブの実行が行われたコンピュータネットワーク内の位置を識別するステップと
を有する方法。
　
　一方、両者は以下の点で相違している。
　
（相違点１）
　本願補正発明が「前記コンピュータネットワークと一体であるサーバから、監視される通信トラフィックストリームの前記複数のファイルのうち少なくとも１つのファイルに、プローブを挿入するステップ」を有しているのに対して、引用例１発明はクラケットをいつ、どこから挿入したかの明示が無い点。
　
（相違点２）
　本願補正発明が「コンピュータネットワークの保安方法」であるのに対して、引用例１発明が「クラックの方法」である点。
　
（４）相違点について
（相違点１）に関して
　例えば、山口　英，”ネットワークセキュリティ”，電子情報通信学会誌，（社）電子情報通信学会，１９９２年７月，Ｖｏｌ．７５　Ｎｏ．７，ｐ．７５５−７５８　には、
「情報の改ざん　　ネットワーク上を流れる情報の内容を勝手に変更することも脅威として考えなければならない．例えば，ワークステーションをゲートウェイとして用いてネットワーク間相互接続を行っている場合，そのゲートウェイでは簡単なプログラムを作成するだけで情報の改ざんを行うことが可能である．これによって，ネットワーク利用者に被害を与えたり，不当な利益を得ることが可能となる．」（第７５６頁左欄２１行〜２９行）とあり、
また、成田　雅和，”インターネットを企業インフラとして利用する（第２回・実践編）品質保証やセキュリティなどの欠点もユーザ側で解決できるものが多い”，日経オープンシステム，日経ＢＰ社，１９９７年１２月，第５７号，ｐ．２６４−２７３　には、
「２）データが改ざんされる可能性がある
　盗聴される可能性があるということは，通過する組織によってデータが改ざんされる可能性があるということでもある。公開しているＷＷＷサーバーのコンテンツ・データを書き換えられる可能性もある。書き換えられた結果が違法であるような場合，インターネット上のみならず，実社会でのトラブルに発展する可能性もある。」（第２６７頁右欄５行〜１０行）
とあるように、ネットワークと一体であるワークステーションが、ネットワーク上を流れる情報を改ざんすることは周知の技術である。
　引用例１発明も上記周知技術もクラックの方法であることには変わりないことから、引用例１発明のクラックの方法においてクラケットを挿入する際、上記周知技術を適用し、ネットワークと一体であるホスト（上記周知技術の、「ネットワークと一体であるワークステーション」に対応する。）が、複数のファイルを含む通信トラフィックストリーム（上記周知技術の、「ネットワーク上を流れる情報」に対応する。）の前記複数のファイルのうち少なくとも１つのファイルに、クラケットを挿入する（上記周知技術の、「改ざん」に対応する。）ようにすることは、当業者であれば適宜為し得る事項であると認められる。
　
（相違点２）に関して
　引用例１発明も、引用例２発明の「実際に侵入する際と同様の攻撃を加え」ることも、共に、クラックの方法であることには変わりないことから、引用例１の発明を「コンピュータネットワークの保安方法」（引用例２発明の、「セキュリティ・スキャナ」に対応する。）に用いることは、当業者であれば、適宜為し得ることである。
　
　そして、本願補正発明の作用効果も、引用例１発明、引用例２発明及び周知技術から当業者が予測できる範囲のものである。
　したがって、本願補正発明は、引用例１発明、引用例２発明、及び、周知技術に基づいて、当業者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許出願の際独立して特許を受けることができないものである。
　
（５）むすび
　以上のとおり、本件手続補正は、特許法第１７条の２第５項で準用する同法第１２６条第４項の規定に違反するものであり、特許法第１５９条第１項で準用する特許法第５３条第１項の規定により却下されるべきものである。
　
３．本願発明について
　平成１５年８月２１日付けの手続補正は上記のとおり却下されたので、本願の請求項１に係る発明（以下、同項記載の発明を「本願発明」という。）は、平成１５年３月２７日付手続補正書の特許請求の範囲の請求項１に記載された事項により特定される、以下のとおりのものである。
「（Ａ）コンピュータネットワークの、複数のファイルを含む通信トラフィックストリームを監視するステップと、
（Ｂ）　前記複数のファイルのうち少なくとも１つのファイルにプローブを挿入するステップと、
（Ｃ）　前記プローブがコンピュータネットワーク内で実行されたかを判断するステップと、
（Ｄ）　プローブが実行された場合には、プローブの実行が行われたコンピュータネットワーク内の位置を識別するステップと
を有することを特徴とするコンピュータネットワークの保安方法。」
　
（１）引用例
　原査定の拒絶の理由に引用された引用例、および、その記載事項は、前記「２．（２）」に記載したとおりである。
　
（２）対比・判断
　本願発明は、前記２．で検討した本願補正発明から「前記複数のファイル」の限定事項である「監視される通信トラフィックストリームの」を省き、「プローブを挿入するステップ」の限定事項である「前記コンピュータネットワークと一体であるサーバから」を省き、さらに、「プローブ」の限定事項である「前記プローブは、前記コンピュータネットワークの少なくとも１つのセキュリティ対策と関連する特定のコンピュータ実行タスクに従う所定の構成を有しており、」を省いたものである。
　
　そうすると、本願発明の構成要件を全て含み、さらに特定の限定を施したものに相当する本願補正発明が、前記「２．（４）」に記載したとおり、引用例１発明、引用例２発明、及び、周知技術に基づいて、当業者が容易に発明をすることができたものであるから、本願発明も、同様の理由により、引用例１発明、引用例２発明、及び、周知技術に基づいて、当業者が容易に発明をすることができたものである。
　
（３）むすび
　以上のとおり、本願発明は、引用例１発明、引用例２発明、及び、周知技術に基づいて、当業者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
　よって、結論のとおり審決する。