【事件の表示】
　特願２０１７−５０１３７７「通信ネットワークに接続された作業環境への攻撃を検出する方法」拒絶査定不服審判事件〔平成２８年　１月１４日国際公開、ＷＯ２０１６／００５２７３、平成２９年　８月１７日国内公表、特表２０１７−５２３７０１、請求項の数（１１）〕について、次のとおり審決する。
【結　論】
　原査定を取り消す。
　本願の発明は、特許すべきものとする。
【理　由】
第１．手続きの経緯
　本願は、２０１５年（平成２７年）７月２日（パリ条約による優先権主張２０１４年７月１１日（ＥＰ）欧州特許庁）を国際出願日とする出願であって、平成３０年４月２６日付けで拒絶理由通知がされ、同年８月８日に意見書が提出されるとともに手続補正がなされ、同年１２月２６日付けで拒絶理由通知がされ、平成３１年４月９日に意見書が提出されるとともに手続補正がなされたが、令和元年７月３日付けで拒絶査定（原査定）がされ、これに対し、同年１１月８日に拒絶査定不服審判の請求がなされたものである。
第２．原査定の概要
　原査定（令和元年７月３日付け拒絶査定）の概要は次のとおりである。
　本願の請求項１〜１１に係る発明は、以下の引用文献１〜４に基づいて、その発明の属する技術の分野における通常の知識を有する者（以下、「当業者」という。）が容易に発明できたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
引用文献等一覧
　１．特開２００３−２６４５９５号公報
　２．あきみち、ほか，「マスタリングＴＣＰ／ＩＰ　ＯｐｅｎＦｌｏｗ編
　　　」，オーム社，２０１３年７月２５日，第１版
　３．特開２００９−２９６３２０号公報
　　　（新たに引用された文献；周知技術を示す文献）
　４．特表２００８−５１９３２７号公報
　　　（新たに引用された文献；周知技術を示す文献）
（当審注：原査定における引用文献２の出版社名に「Ｏｈｍｓｈａ」とあるのは、上記のとおり「オーム社」の誤記と認められる。）
第３　本願発明
　本願の請求項１〜１１に係る発明（以下、それぞれ「本願発明１」〜「本願発明１１」という。）は、平成３１年４月９日になされた手続補正で補正された特許請求の範囲の請求項１〜１１に記載された事項により特定される発明であり、以下のとおりの発明である。
「　　【請求項１】
　通信ネットワーク（１１５）に接続された作業環境（１０１）への攻撃を検出する方法（６００）であって、ネットワーク接続要素（１０５）は前記作業環境（１０１）と前記通信ネットワーク（１１５）の間に介在し、ネットワーク監視要素（１０７）が前記ネットワーク接続要素（１０５）に接続され、前記方法は、
　前記通信ネットワーク（１１５）に接続されたネットワークセキュリティ要素（１０３）によって前記作業環境（１０１）を電子的に模擬するステップ（６０１）、
　前記ネットワークセキュリティ要素（１０３）においてネットワークトラフィック（２０２）を登録するステップ（６０２）、
　登録された前記ネットワークトラフィック（２０２）を所定のネットワークトラフィック（２０４）と比較するステップ（６０３）、
　前記登録されたネットワークトラフィック（２０２）と前記所定のネットワークトラフィック（２０４）の間に乖離がある場合に第１の攻撃警告信号（１１０）をトリガするステップ（６０４）、
　前記ネットワーク接続要素におけるネットワークトラフィックを前記ネットワーク監視要素に複製するステップ、
　前記ネットワーク監視要素（１０７）によって前記ネットワーク接続要素（１０５）においてネットワークトラフィック（３０２）を登録するステップ、
　前記ネットワーク接続要素（１０５）において登録された前記ネットワークトラフィック（３０２）に異常（３０４）が識別された場合に第２の攻撃警告信号（１１２）をトリガするステップ、及び
　第１の攻撃警告信号及び第２の攻撃警告信号に基づいて警告アラートを生成するステップを備える方法（６００）。
　　【請求項２】
　前記ネットワークトラフィック（２０２）を登録するステップ（６０２）が、前記ネットワークセキュリティ要素（１０３）へのアクセスレートを登録するステップを備え、
　前記登録されたネットワークトラフィック（２０２）を前記所定のネットワークトラフィック（２０４）と比較するステップ（６０３）が、登録された前記アクセスレートを所定のアクセスレートと比較するステップを備える、請求項１に記載の方法（６００）。
　　【請求項３】
　前記作業環境（１０１）を電子的に模擬するステップ（６０１）が、前記作業環境（１０１）にインストールされたものと同じソフトウェアの少なくとも部分を備える保護されていない作業環境（１０１ａ）を模擬するステップを備える、請求項１又は請求項２に記載の方法（６００）。
　　【請求項４】
　前記異常（３０４）の前記識別が、前記登録されたネットワークトラフィック（３０２）における異常検索動作の検出に基づく、請求項１〜３のいずれか１項に記載の方法（６００）。
　　【請求項５】
　前記異常（３０４）が識別された場合に前記ネットワーク接続要素（１０５）において登録されたネットワークトラフィック（３０２）をリアルタイムで記録するステップを備える請求項１〜４のいずれか１項に記載の方法（６００）。
　　【請求項６】
　前記第１の攻撃警告信号（１１０）及び前記第２の攻撃警告信号（１１２）に基づいて警告アラート（１１４）を生成するステップを備える請求項１から５のいずれかに記載の方法（６００）。
　　【請求項７】
　前記警告アラート（１１４）を生成するステップが、前記通信ネットワーク（１１５）の更なる作業環境からの更なる攻撃警告信号にも基づく、請求項６に記載の方法（６００）。
　　【請求項８】
　前記第１の攻撃警告信号（１１０）がトリガされる場合に、ログサーバ（１０９）によって前記ネットワークセキュリティ要素（１０３）における前記登録されたネットワークトラフィック（２０２）のログを取るステップ、及び
　前記第２の攻撃警告信号（１１２）がトリガされる場合に、ログサーバ（１０９）によって前記ネットワーク接続要素（１０５）における前記登録されたネットワークトラフィック（３０２）のログを取るステップ
をさらに備える請求項６又は請求項７のいずれかに記載の方法（６００）。
　　【請求項９】
　前記ネットワークセキュリティ要素（１０３）においてログ取りされた前記ネットワークトラフィック（２０２）及び前記ネットワーク接続要素（１０５）においてログ取りされた前記ネットワークトラフィック（３０２）に基づいて前記攻撃の特徴的特性（４０４）を検出するステップを備える請求項８に記載の方法（６００）。
　　【請求項１０】
　ネットワークセキュリティシステム（１００）であって、
　通信ネットワーク（１１５）への接続を確立するように設計されたネットワーク接続要素（１０５）、及び
　前記ネットワーク接続要素（１０５）に接続されたネットワークセキュリティ要素（１０３）
を備え、
　少なくとも１つの作業環境（１０１）が、該少なくとも１つの作業環境（１０１）を前記通信ネットワーク（１１５）に接続するための前記ネットワーク接続要素（１０５）に接続されることができ、
　前記ネットワークセキュリティ要素（１０３）が、前記少なくとも１つの作業環境（１０１）の模擬に基づいて前記少なくとも１つの作業環境（１０１）への攻撃を検出するように設計され、
　前記ネットワークセキュリティ要素が、
　　前記少なくとも１つの作業環境（１０１）を電子的に模擬するように設計されたエミュレータ（２０１）、
　　前記ネットワークセキュリティ要素（１０３）においてネットワークトラフィック（２０２）を登録するように設計された登録部（２０３）、及び
　　登録された前記ネットワークトラフィック（２０２）を所定のネットワークトラフィック（２０４）と比較し、前記登録されたネットワークトラフィック（２０２）と前記所定のネットワークトラフィック（２０４）の間に乖離がある場合に第１の攻撃警告信号（１１０）をトリガするように設計された攻撃警告部（２０５）、
を備え、
　前記ネットワークセキュリティシステムが、
　　前記ネットワーク接続要素（１０５）に接続されたネットワーク監視要素（１０７）、及び
　第１の攻撃警告信号及び第２の攻撃警告信号に基づいて警告アラートを生成するログサーバをさらに備え、
　前記ネットワーク監視要素（１０７）が、前記ネットワーク接続要素（１０５）においてネットワークトラフィック（３０２）を登録し、前記ネットワーク接続要素（１０５）において登録された前記ネットワークトラフィック（３０２）に異常（３０４）が識別された場合に第２の攻撃警告信号（１１２）をトリガするように設計された、ネットワークセキュリティシステム（１００）。
　　【請求項１１】
　前記第１の攻撃警告信号（１１０）及び前記第２の攻撃警告信号（１１２）に基づいて警告アラート（１１４）を生成し、前記ネットワークセキュリティ要素（１０３）における前記登録されたネットワークトラフィック（２０２）のログを取るとともに前記ネットワーク接続要素（１０５）における前記登録されたネットワークトラフィック（３０２）のログを取り、前記ログ取りされたネットワークトラフィック（４０２）に基づいて前記攻撃の特徴的特性（４０４）を検出するように設計されたログサーバ（１０９）を備えた請求項１０に記載のネットワークセキュリティシステム（１００）。」
第４　引用文献、引用発明等
１．引用文献１の記載事項について
（１）原査定の拒絶の理由に引用された上記引用文献１には、図面とともに次の事項が記載されている（下線は、当審付与。以下同様。）。
「【０００１】
【発明の属する技術分野】この発明は、
パケット中継装置およびオトリ誘導システムに係り、
侵入検知機能とネットワーク中継機能とを連携させるとともに、外部ネットワークからのパケットをオトリネットワークへ誘導することができるパケット中継装置、並びに、これを用いたパケット中継システムおよびオトリ誘導システムに関す
「【００３０】
【発明の実施の形態】実施の形態１．図１は、本発明の実施の形態１によるオトリ誘導システムの一構成例を示したブロック図である。図中の１はオトリ誘導装置、２はパケット中継部、３はオトリ誘導部、４は侵入検知部、５はフィルタリング処理部、６はフィルタリングテーブル、７は内部バス、２０は外部ネットワーク、２１は外部端末装置、３０は内部ネットワーク、３１は内部端末装置、４０はオトリネットワーク、４１はオトリ端末装置である。
【００３１】
オトリ誘導装置１は、外部ネットワーク２０および内部ネットワーク３０に接続され、両ネットワーク間でパケット中継を行うパケット中継装置であ
「【００３５】
侵入検知部４は、外部ネットワーク２０からのパケットのステルス監視を行って、ＤｏＳ（Denial of Service）、スキャニングなどのネットワークレベルの攻撃（不正アクセス）を検出して
監視対象であるパケットデータを予め与えられた不正パケットパターンと比較して、不正アクセスパケットを検出す
このパターンマッチングは、パケット単位だけでなく、送信元又は送信先情報によって特定される一連のパケットに対して行うこともでき
【００３６】
フィルタリング処理部５は、外部ネットワーク２０から送信されたパケットに対し、内部ネットワーク３０への中継、オトリネットワーク４０への誘導、破棄のいずれかの処理（フィルタリング処理）を行って
この処理は、フィルタリングテーブルに基づいて行われ、例えば、内部ネットワーク３０に不正にアクセスしようとする不正アクセスパケットは破棄され、不正アクセスの疑いのある被疑パケットはオトリネットワーク４０へ誘導され、その他の通常パケットは、内部ネットワーク３０へ送出され
【００３７】
フィルタリングテーブル６には、フィルタリング処理を規定するデータが記憶されており、パケットヘッダに含まれる送信元又は送信先に関する情報と、当該パケットに対するフィルタリング処理とが関連づけられて
破棄すべきパケットおよびオトリ誘導すべきパケットとして、パケットの送信元又は送信先情報が記憶されており、送信元又は送信先情報がフィルタリングテーブル６と一致するパケットは、破棄され、あるいは、オトリ誘導される一方、その他のパケットはネットワーク中継され
このフィルタリングテーブル６は、侵入検知部４による検出結果に基づいて更新され
【００３８】
オトリ誘導部３は、内部バス７を介して、フィルタリング処理部５から、オトリ誘導すべきパケットを受信し、オトリネットワーク４０上のオトリ端末装置４１へ送出す
「【００３９】次に動作について説明する。
外部端末装置２１から内部端末装置３１に対して送信されたパケットは、外部ネットワーク２０を介してオトリ誘導装置１により受信され
この受信パケットは、パケット中継部２のフィルタリング処理部５へ入力されるとともに、侵入検知部４にも入力され
この侵入検知部４は、パケット中継部２の入り口でプロミスカスモードかつステルスモードで通信を傍受して
【００４０】
パケットを受信したフィルタリング処理部５は、フィルタリングテーブル６に基づいて、送信元又は送信先情報、例えば、送信元ＩＰ（Internet Protocol）アドレス、送信先ＩＰアドレス、送信元ＴＣＰ（Transmission Control Protocol）ポート番号、送信先ＴＣＰポート番号、送信元ＵＤＰ（User Datagram Protocol）ポート番号または送信先ＵＤＰポート番号をチェックす
【００４１】
この結果、フィルタリングテーブル６において、破棄の指定がされているパケットは、フィルタリング処理部５によって破棄され、オトリ誘導の指定がされているパケットがオトリサイト（オトリネットワーク４０のオトリ端末装置４１）へ誘導され、ともに内部ネットワーク３０には送出されない
一方、破棄および誘導等の指定がされていないパケットは内部ネットワーク３０へ送出され
「【００４２】図２は、図１の
オトリ誘導システムにおけるパケットの流れ
外部ネットワーク２０から内部ネットワーク３０に対して送信されたパケットは、フィルタリングテーブル６に基づいて、＜１＞破棄され、＜２＞オトリネットワーク４０へオトリ誘導され、あるいは、＜３＞内部ネットワーク３０へ中継され
【００４３】
一方、パケットを傍受した侵入検知部４は、所定の不正アクセスパターンによりパターンマッチングを行って、傍受したパケットが不正アクセスパケットかどうかを判別す
不正アクセスパケットを受信した場合、あらかじめ定められたポリシー（不正アクセスの種類とそれに対する対策の関係）に従って、送信元又は送信先情報と、それに関連づけられるフィルタリング処理（破棄又は誘導）を決定し、
フィルタリング処理部５へ通知し、フィルタリングテーブル６が更新され
【００４４】例えば、
不正アクセスが疑われるパケットが検出された場合には、当該パケットがオトリ誘導の対象に追加され、不正アクセスパケットであることが検出された場合には、破棄の対象に追加され
逆に、オトリ誘導又は破棄の対象が、正常アクセスパケットであることが検出された場合には、これらの対象から除外され
この様なポリシーは予め任意に決定され、侵入検知部４に対し与えられて
（当審注：【００４２】中の＜１＞、＜２＞及び＜３＞は、丸数字の１、２及び３を表す。）
「【００４６】また、
外部ネットワーク２０から内部ネットワーク３０へのパケットのうち、不正アクセスの疑いのあるパケットをオトリ端末装置４１に誘導することによって、内部ネットワーク３０への不正アクセスを未然に防止することができる
　したがって、上記引用文献１には次の発明（以下、「引用発明」という。）が記載されていると認められる。
「パケット中継装置およびオトリ誘導システムに係り、侵入検知機能とネットワーク中継機能とを連携させるとともに、外部ネットワークからのパケットをオトリネットワークへ誘導することができるパケット中継装置、並びに、これを用いたパケット中継システムおよびオトリ誘導システムに関し、（【０００１】）
　オトリ誘導装置１は、外部ネットワーク２０および内部ネットワーク３０に接続され、両ネットワーク間でパケット中継を行うパケット中継装置であり、（【００３１】）
　侵入検知部４は、外部ネットワーク２０からのパケットのステルス監視を行って、ＤｏＳ（Denial of Service）、スキャニングなどのネットワークレベルの攻撃（不正アクセス）を検出しており、監視対象であるパケットデータを予め与えられた不正パケットパターンと比較して、不正アクセスパケットを検出し、このパターンマッチングは、パケット単位だけでなく、送信元又は送信先情報によって特定される一連のパケットに対して行うこともでき、（【００３５】）
　フィルタリング処理部５は、外部ネットワーク２０から送信されたパケットに対し、内部ネットワーク３０への中継、オトリネットワーク４０への誘導、破棄のいずれかの処理（フィルタリング処理）を行っており、この処理は、フィルタリングテーブルに基づいて行われ、例えば、内部ネットワーク３０に不正にアクセスしようとする不正アクセスパケットは破棄され、不正アクセスの疑いのある被疑パケットはオトリネットワーク４０へ誘導され、その他の通常パケットは、内部ネットワーク３０へ送出され、（【００３６】）
　フィルタリングテーブル６には、フィルタリング処理を規定するデータが記憶されており、パケットヘッダに含まれる送信元又は送信先に関する情報と、当該パケットに対するフィルタリング処理とが関連づけられており、破棄すべきパケットおよびオトリ誘導すべきパケットとして、パケットの送信元又は送信先情報が記憶されており、送信元又は送信先情報がフィルタリングテーブル６と一致するパケットは、破棄され、あるいは、オトリ誘導される一方、その他のパケットはネットワーク中継され、このフィルタリングテーブル６は、侵入検知部４による検出結果に基づいて更新され、（【００３７】）
　オトリ誘導部３は、内部バス７を介して、フィルタリング処理部５から、オトリ誘導すべきパケットを受信し、オトリネットワーク４０上のオトリ端末装置４１へ送出し、（【００３８】）
　外部端末装置２１から内部端末装置３１に対して送信されたパケットは、外部ネットワーク２０を介してオトリ誘導装置１により受信され、この受信パケットは、パケット中継部２のフィルタリング処理部５へ入力されるとともに、侵入検知部４にも入力され、この侵入検知部４は、パケット中継部２の入り口でプロミスカスモードかつステルスモードで通信を傍受しており、（【００３９】）
　パケットを受信したフィルタリング処理部５は、フィルタリングテーブル６に基づいて、送信元又は送信先情報、例えば、送信元ＩＰ（Internet Protocol）アドレス、送信先ＩＰアドレス、送信元ＴＣＰ（Transmission Control Protocol）ポート番号、送信先ＴＣＰポート番号、送信元ＵＤＰ（User Datagram Protocol）ポート番号または送信先ＵＤＰポート番号をチェックし、（【００４０】）
　この結果、フィルタリングテーブル６において、破棄の指定がされているパケットは、フィルタリング処理部５によって破棄され、オトリ誘導の指定がされているパケットがオトリサイト（オトリネットワーク４０のオトリ端末装置４１）へ誘導され、ともに内部ネットワーク３０には送出されず、一方、破棄および誘導等の指定がされていないパケットは内部ネットワーク３０へ送出され、（【００４１】）
　オトリ誘導システムにおけるパケットの流れとして、外部ネットワーク２０から内部ネットワーク３０に対して送信されたパケットは、フィルタリングテーブル６に基づいて、＜１＞破棄され、＜２＞オトリネットワーク４０へオトリ誘導され、あるいは、＜３＞内部ネットワーク３０へ中継され、（【００４２】）
　一方、パケットを傍受した侵入検知部４は、所定の不正アクセスパターンによりパターンマッチングを行って、傍受したパケットが不正アクセスパケットかどうかを判別し、不正アクセスパケットを受信した場合、あらかじめ定められたポリシー（不正アクセスの種類とそれに対する対策の関係）に従って、送信元又は送信先情報と、それに関連づけられるフィルタリング処理（破棄又は誘導）を決定し、フィルタリング処理部５へ通知し、フィルタリングテーブル６が更新され、（【００４３】）
　不正アクセスが疑われるパケットが検出された場合には、当該パケットがオトリ誘導の対象に追加され、不正アクセスパケットであることが検出された場合には、破棄の対象に追加され、逆に、オトリ誘導又は破棄の対象が、正常アクセスパケットであることが検出された場合には、これらの対象から除外され、この様なポリシーは予め任意に決定され、侵入検知部４に対し与えられており、（【００４４】）
　外部ネットワーク２０から内部ネットワーク３０へのパケットのうち、不正アクセスの疑いのあるパケットをオトリ端末装置４１に誘導することによって、内部ネットワーク３０への不正アクセスを未然に防止することができる、（【００４６】）
　パケット中継システムおよびオトリ誘導システム。」
（２）また、上記引用文献１には、上記引用発明以外に、従来の技術として、図面とともに次の事項が記載されている。
「【０００２】
【従来の技術】図１３は、
従来の侵入検知システム
「【０００７】
解析装置５１
パケット中継装置１および内部ネットワーク３０を監視し、通信データの記録等を行うことによって、外部ネットワーク２０から内部ネットワーク３０への不正アクセス検知の手掛かりとなる情報を収集す
収集された情報は、解析装置５１において解析され、ネットワーク管理者の管理者端末装置５０へ通知される
　したがって、当該引用文献１には、「パケット中継装置１および内部ネットワーク３０を監視し、通信データの記録等を行うことによって、外部ネットワーク２０から内部ネットワーク３０への不正アクセス検知の手掛かりとなる情報を収集し、収集された情報を解析し、ネットワーク管理者の管理者端末装置５０へ通知する解析装置５１を備える侵入検知システム」という技術的事項についても記載されていると認められる。
（３）また、上記引用文献１には、上記（１）及び（２）以外にも、他の実施の形態として、図面とともに次の事項が記載されている。
「【００８７】実施の形態７．図１１は、本発明の実施の形態７による
オトリ誘導システム
【００８８】通常運用時、
外部ネットワーク２０からのパケットは内部ネットワーク３０へ直接中継されると共に、すべての通信パケットはコピーされ、オトリ端末装置４１へも送信され
パケットを受け取ったオトリ端末装置４１では、受け取ったパケット情報を解析し、特定の閾値を超える数の通信が発生していた場合、その通信情報を
内部ネットワーク３０の監査に用いる
　したがって、当該引用文献１には、「外部ネットワーク２０からのパケットは内部ネットワーク３０へ直接中継されると共に、すべての通信パケットはコピーされ、オトリ端末装置４１へも送信され、パケットを受け取ったオトリ端末装置４１では、受け取ったパケット情報を解析し、特定の閾値を超える数の通信が発生していた場合、その通信情報を内部ネットワーク３０の監査に用いるオトリ誘導システム」という技術的事項についても記載されていると認められる。
２．引用文献２の記載事項について
　原査定の拒絶の理由に引用された上記引用文献２には、図面とともに次の事項が記載されている。
「６．４　選択的ポートミラーリング
　
OpenFlowを利用したポートミラーリング
　６．４．１　単純なポートミラーリング
　まず最初に、パケットの選別を行わない単純なポートミラーリングを考えます。ネットワーク構成は、図6.7のようになっています。
　この例では、
OpenFlowスイッチの物理ポート１からの入力パケットを、すべて物理ポート2と3へと送信しています
　したがって、当該引用文献２には、「OpenFlowスイッチにおいて、物理ポート１からの入力パケットを、すべて物理ポート２及び３へ送信する、ポートミラーリング」という技術的事項が記載されていると認められる。
３．引用文献３の記載事項について
　原査定の拒絶の理由に引用された上記引用文献３には、図面とともに次の事項が記載されている。
「【００２０】
　本発明のさらに他のアスペクト（側面）に係る監視制御方法は、監視対象とされる複数の伝送装置と監視制御装置との間に介在し、
複数の伝送装置から発せられるそれぞれの障害に係るアラーム情報を集約して監視制御装置に通知する
伝送監視制御システム
波及障害となるアラーム情報をマスクす
　したがって、上記引用文献３には、「複数の伝送装置から発せられるそれぞれの障害に係るアラーム情報を集約して、波及障害となるアラーム情報をマスクし、監視制御装置に通知する伝送監視制御システム」という技術的事項が記載されていると認められる。
４．引用文献４の記載事項について
　原査定の拒絶の理由に引用された上記引用文献４には、図面とともに次の事項が記載されている。
「【００６３】
イベント／アラーム関連エンジン
　本実施例では、アプライアンスであるＮｅｔＧａｉｎ　Ｅｎｔｅｒｐｒｉｓｅ　Ｍａｎａｇｅｒ（６００）は、装置、サービス、およびアプリケーションなどの様々な個別の資源（６０４）からの、統一されたアラーム管理（６０６）を提供する。アラームの失敗情報は、関連ルールのインテリジェントセットを介して、
冗長な情報を削除し、問題の原因を孤立させ素速く特定し解決する。アラーム管理処理
【００６４】
　
アラーム関連ルールは、各アラームに適用され
アラーム根本原因ルール
【００６５】
　
アラーム根本原因ルール
従属的なアラームの前に根本原因であるアラームが到着した場合（１００２）、従属的なアラームは、根本原因が時間窓内で確定するまで送信されない
根本原因を素早く特定するとももに、従属的なアラームから焦点をそらす
　したがって、上記引用文献４には、「冗長な情報を削除し、問題の原因を孤立させ素速く特定し解決するアラーム管理処理であって、アラーム関連ルールとして、従属的なアラームの前に根本原因であるアラームが到着した場合、従属的なアラームは、根本原因が時間窓内で確定するまで送信されない、というアラーム根本原因ルールが適用されるアラーム管理処理」という技術的事項が記載されていると認められる。
第５　対比・判断
１．本願発明１について
（１）対比
　上記本願発明１と上記引用発明とを対比すると、次のことがいえる。
ア．引用発明の「オトリ誘導システム」は、「外部ネットワーク２０および内部ネットワーク３０に接続され」た「オトリ誘導装置１」が「両ネットワーク間でパケット中継を行うパケット中継装置」として、「外部ネットワーク２０」からの「攻撃（不正アクセス）」を「検出」するものであり、「例えば、内部ネットワーク３０に不正にアクセスしようとする不正アクセスパケットは破棄され、不正アクセスの疑いのある被疑パケットはオトリネットワーク４０へ誘導され、その他の通常パケットは、内部ネットワーク３０へ送出され」るという一連の「方法」を実施するシステムといえる。また、前記「攻撃（不正アクセス）」は、前記「オトリ誘導装置１」である「パケット中継装置」を介して、「外部ネットワーク２０」に接続された「内部ネットワーク３０」の「内部端末装置３１」に対して送信されたパケットから検出されるものであるから、
　引用発明の「外部ネットワーク２０」、「内部端末装置３１」、「攻撃（不正アクセス）」及び「オトリ誘導装置１」である「パケット中継装置」は、それぞれ本願発明１の「通信ネットワーク（１１５）」、「作業環境（１０１）」、「攻撃」及び「ネットワーク接続要素（１０５）」に相当し、引用発明の上記「オトリ誘導システム」が実施する一連の「方法」は、後述する相違点を除き、本願発明１における「方法」に相当するといえる。
　また、引用発明の「侵入検知部４」は、前記「オトリ誘導装置１」の１つの構成として「接続され」ているということができ、「パケット中継部２の入り口でプロミスカスモードかつステルスモードで通信を傍受して」いること、すなわち、「オトリ誘導装置１」の入り口で、プロミスカスモード（無差別形式）で受信パケットを傍受していることから、本願発明１の「前記ネットワーク接続要素（１０５）に接続され」た「ネットワーク監視要素（１０７）」に相当するといえる。
　以上のことから、引用発明の「オトリ誘導システム」が実施する一連の方法と、本願発明１の「方法」とは、「通信ネットワーク（１１５）に接続された作業環境（１０１）への攻撃を検出する方法（６００）であって、ネットワーク接続要素（１０５）は前記作業環境（１０１）と前記通信ネットワーク（１１５）の間に介在し、ネットワーク監視要素（１０７）が前記ネットワーク接続要素（１０５）に接続され」る点で共通しているといえる。
　
イ．引用発明の「オトリネットワーク４０上のオトリ端末装置４１」は、「オトリ誘導装置１」である「パケット中継装置」を介して「外部ネットワーク２０」に接続されており、「外部ネットワーク２０から内部ネットワーク３０へのパケットのうち、不正アクセスの疑いのあるパケット」が「誘導」されることによって、「内部ネットワーク３０への不正アクセスを未然に防止することができる」ものであるから、当該「オトリ端末装置４１」は、「内部ネットワーク３０」上の「内部端末装置３１」の「オトリ」であり、当該「オトリ」であることは、本願発明１の「電子的に模擬する」ことに相当するといえる。よって、引用発明の「オトリ端末装置４１」は、後述する相違点を除き、本願発明１における「前記作業環境（１０１）を電子的に模擬する」「ネットワークセキュリティ要素（１０３）」に相当するといえる。
　したがって、引用発明は、本願発明１の「前記通信ネットワーク（１１５）に接続されたネットワークセキュリティ要素（１０３）によって前記作業環境（１０１）を電子的に模擬するステップ（６０１）」との構成を有するといえる。
ウ．引用発明の「外部ネットワーク２０から内部ネットワーク３０へのパケットのうち、不正アクセスの疑いのあるパケット」は、「オトリネットワーク４０上のオトリ端末装置４１」に「誘導」されることから、当該「誘導」されるパケットの流れは、本願発明１の「ネットワークトラフィック（２０２）」に相当する。
　そして、引用発明の「フィルタリング処理部５」は、「外部ネットワーク２０から送信されたパケットに対し、内部ネットワーク３０への中継、オトリネットワーク４０への誘導、破棄のいずれかの処理（フィルタリング処理）」を行っており、この処理は、「フィルタリングテーブル」に基づいて行われ、
　当該「フィルタリングテーブル６」は、「フィルタリング処理を規定するデータが記憶されており、パケットヘッダに含まれる送信元又は送信先に関する情報と、当該パケットに対するフィルタリング処理とが関連づけられており、破棄すべきパケットおよびオトリ誘導すべきパケットとして、パケットの送信元又は送信先情報が記憶されて」いることから、引用発明の「フィルタリングテーブル６」は、「オトリネットワーク４０上のオトリ端末装置４１」に「誘導」されるパケットに関する情報を、「登録」しているといえる。
　したがって、引用発明の
「フィルタリングテーブル６」において
前記ネットワークセキュリティ要素（１０３）において
エ．引用発明の「侵入検知部４」は、「傍受したパケットが不正アクセスパケットかどうか」の「判別」を、「所定の不正アクセスパターンによりパターンマッチング」により行っていることから、「傍受したパケット」と、「所定の不正アクセスパターン」を比較しているといえる。よって、引用発明の「所定の不正アクセスパターン」は、本願発明１の「所定のネットワークトラフィック（２０４）」に相当するといえる。
　したがって、引用発明は、本願発明１の「前記登録された前記ネットワークトラフィック（２０２）を所定のネットワークトラフィック（２０４）と比較するステップ（６０３）」との構成を有するといえる。
オ．引用発明の「侵入検知部４」は、「所定の不正アクセスパターンによりパターンマッチングを行って、傍受したパケットが不正アクセスパケットかどうかを判別し、不正アクセスパケットを受信した場合、あらかじめ定められたポリシー（不正アクセスの種類とそれに対する対策の関係）に従って、送信元又は送信先情報と、それに関連づけられるフィルタリング処理（破棄又は誘導）を決定し、フィルタリング処理部５へ通知し、フィルタリングテーブル６が更新され」るという動作を行っていることから、前記「傍受したパケット」と、前記「所定の不正アクセスパターン」を比較した結果に応じて、「傍受したパケット」の「フィルタリング処理」を実施するために「フィルタリング処理部５」に「通知」を行っている。
　したがって、引用発明の「侵入検知部４」の上記動作と、本願発明１に記載された「前記登録されたネットワークトラフィック（２０２）と前記所定のネットワークトラフィック（２０４）
の間に乖離がある場合に第１の攻撃警告信号（１１０）をトリガ
とを比較した結果に応じて通知
カ．引用発明において、「外部端末装置２１から内部端末装置３１に対して送信されたパケットは、外部ネットワーク２０を介してオトリ誘導装置１により受信され」ることから、引用発明における当該「外部端末装置２１から内部端末装置３１に対して送信されたパケット」の流れは、本願発明１における「前記ネットワーク接続要素におけるネットワークトラフィック」に相当する。
　そして、「この受信パケットは、パケット中継部２のフィルタリング処理部５へ入力される
とともに、
にも入力され
にも入力され
　したがって、引用発明は、本願発明１の「前記ネットワーク接続要素におけるネットワークトラフィックを前記ネットワーク監視要素に複製するステップ」との構成を有するといえる。
キ．上記カ．で示したように、引用発明における「外部端末装置２１から内部端末装置３１に対して送信されたパケット」の流れは、本願発明１における「前記ネットワーク接続要素におけるネットワークトラフィック」に相当し、同じく本願発明１における「ネットワークトラフィック（３０２）」に相当するといえる。
　そして、引用発明の「フィルタリングテーブル６」は、「フィルタリング処理を規定するデータが記憶されており、パケットヘッダに含まれる送信元又は送信先に関する情報と、当該パケットに対するフィルタリング処理とが関連づけられており、破棄すべきパケットおよびオトリ誘導すべきパケットとして、パケットの送信元又は送信先情報が記憶されており、」「送信元又は送信先情報がフィルタリングテーブル６と一致するパケットは、破棄され、あるいは、オトリ誘導される一方、その他のパケットはネットワーク中継され」るものであり、「このフィルタリングテーブル６」は、「侵入検知部４による検出結果に基づいて更新され」る（【００３８】）こと、
　また、上記ア．で示したように、引用発明の「侵入検知部４」は、「オトリ誘導装置１」の入り口で、プロミスカスモード（無差別形式）で受信パケットを傍受し、
　上記オ．で示したように、引用発明の「侵入検知部４」は、「所定の不正アクセスパターンによりパターンマッチングを行って、傍受したパケットが不正アクセスパケットかどうかを判別し、不正アクセスパケットを受信した場合、あらかじめ定められたポリシー（不正アクセスの種類とそれに対する対策の関係）に従って、送信元又は送信先情報と、それに関連づけられるフィルタリング処理（破棄又は誘導）を決定し、フィルタリング処理部５へ通知し、フィルタリングテーブル６が更新され、」
　そして、「不正アクセスが疑われるパケットが検出された場合には、当該パケットがオトリ誘導の対象に追加され、不正アクセスパケットであることが検出された場合には、破棄の対象に追加され、逆に、オトリ誘導又は破棄の対象が、正常アクセスパケットであることが検出された場合には、これらの対象から除外され」る（【００４４】）ことから、
　まとめると、引用発明の「侵入検知部４」（上記ア．に示したように、本願発明１の「ネットワーク監視要素（１０７）」に相当。）は、「外部端末装置２１から内部端末装置３１に対して送信されたパケット」を、プロミスカスモード（無差別形式）で傍受し、「フィルタリングテーブル６」に対し、当該傍受したパケットを、「オトリ誘導の対象に追加」、「破棄の対象に追加」、或いは逆に、「対象から除外」するという「更新」、すなわち「登録」を行っているといえる。
　したがって、引用発明は、本願発明１の「前記ネットワーク監視要素（１０７）によって前記ネットワーク接続要素（１０５）においてネットワークトラフィック（３０２）を登録するステップ」との構成を有するといえる。
ク．引用発明の「侵入検知部４」は、「所定の不正アクセスパターンによりパターンマッチングを行って、傍受したパケットが不正アクセスパケットかどうかを判別」していることから、当該「侵入検知部４」によって、「不正アクセスパケット」であるとの「判別」がなされることは、本願発明１の「異常（３０４）が識別された場合」に相当する。
　そして、上記オ．で示したように、引用発明の「侵入検知部４」は、「所定の不正アクセスパターンによりパターンマッチングを行って、傍受したパケットが不正アクセスパケットかどうかを判別し、不正アクセスパケットを受信した場合、あらかじめ定められたポリシー（不正アクセスの種類とそれに対する対策の関係）に従って、送信元又は送信先情報と、それに関連づけられるフィルタリング処理（破棄又は誘導）を決定し、フィルタリング処理部５へ通知し、フィルタリングテーブル６が更新され」るという動作を行っていることから、前記「傍受したパケット」が、前記「不正アクセスパケット」であるとの「判別」がなされた場合、すなわち、「不正アクセスパケットを受信した場合」、「傍受したパケット」の「フィルタリング処理」を実施するために「フィルタリング処理部５」に「通知」を行っている。
　したがって、引用発明の「侵入検知部４」の上記動作と、本願発明１に記載された「前記ネットワーク接続要素（１０５）において登録された前記ネットワークトラフィック（３０２）に異常（３０４）が識別された場合に
第２の攻撃警告信号（１１２）をトリガ
通知
　したがって、本願発明１と引用発明との間には、次の一致点、相違点があるといえる。
＜一致点＞
「　通信ネットワーク（１１５）に接続された作業環境（１０１）への攻撃を検出する方法（６００）であって、ネットワーク接続要素（１０５）は前記作業環境（１０１）と前記通信ネットワーク（１１５）の間に介在し、ネットワーク監視要素（１０７）が前記ネットワーク接続要素（１０５）に接続され、前記方法は、
　前記通信ネットワーク（１１５）に接続されたネットワークセキュリティ要素（１０３）によって前記作業環境（１０１）を電子的に模擬するステップ（６０１）、
　ネットワークトラフィック（２０２）を登録するステップ（６０２）、
　登録された前記ネットワークトラフィック（２０２）を所定のネットワークトラフィック（２０４）と比較するステップ（６０３）、
　前記登録されたネットワークトラフィック（２０２）と前記所定のネットワークトラフィック（２０４）とを比較した結果に応じて通知するステップ（６０４）、
　前記ネットワーク接続要素におけるネットワークトラフィックを前記ネットワーク監視要素に複製するステップ、
　前記ネットワーク監視要素（１０７）によって前記ネットワーク接続要素（１０５）においてネットワークトラフィック（３０２）を登録するステップ、
　前記ネットワーク接続要素（１０５）において登録された前記ネットワークトラフィック（３０２）に異常（３０４）が識別された場合に通知するステップ、
を備える方法（６００）。」
＜相違点＞
（相違点１）「ネットワークトラフィック（２０２）を登録する」ことが、本願発明１では、「前記ネットワークセキュリティ要素（１０３）において」なされるのに対し、引用発明では、「オトリ誘導装置１」である「パケット中継装置」における「フィルタリングテーブル６」において、なされる点。
（相違点２）「登録されたネットワークトラフィック（２０２）」と「所定のネットワークトラフィック（２０４）」とを比較した結果に応じて通知がなされるのは、本願発明１では、両者
の間に乖離がある場合
の間に乖離がある場合
（相違点３）「登録されたネットワークトラフィック（２０２）」と「所定のネットワークトラフィック（２０４）」とを比較した結果に応じてなされる通知は、本願発明１では、「第１の攻撃警告信号（１１０）をトリガ」するものであるのに対し、引用発明では、「侵入検知部４」から「フィルタリング処理部５」への通知であって、本願発明１のような特定がなされていない点。
（相違点４）「前記ネットワーク接続要素（１０５）において登録された前記ネットワークトラフィック（３０２）に異常（３０４）が識別された場合」になされる通知は、本願発明１では、「第２の攻撃警告信号（１１２）をトリガ」するものであるのに対し、引用発明では、「侵入検知部４」から「フィルタリング処理部５」への通知であって、本願発明１のような特定がなされていない点。
（相違点５）本願発明１では、「第１の攻撃警告信号及び第２の攻撃警告信号に基づいて警告アラートを生成するステップ」を備えるのに対し、引用発明では、そのような特定がなされていない点。
（２）相違点についての判断
　事案に鑑み、「攻撃警告信号」に関して互いに関連する、相違点３〜５について、先にまとめて検討する。
　相違点３に係る本願発明１の通知である「
第１の
第２の
第１の
第２の
　ここで、前者の「第１の攻撃警告信号（１１０）」は、「前記ネットワークセキュリティ要素（１０３）」において「登録」（相違点１参照）された、特定の「前記ネットワークトラフィック（２０２）」のみを攻撃に関する検出対象とするものである一方、
　後者の「第２の攻撃警告信号（１１２）」は、「前記ネットワーク接続要素（１０５）において登録された」「前記ネットワークトラフィック（３０２）」のすべてを攻撃に関する検出対象とするものであることから、両者は検出対象が異なる別々の信号であって、前者が対象とする「前記ネットワークトラフィック（２０２）」よりも、後者が対象とする「前記ネットワークトラフィック（３０２）」は、「上位のネットワークトラフィック」を監視するものということができる。
　そうすると、相違点５に係る本願発明１の「第１の攻撃警告信号及び第２の攻撃警告信号に基づいて警告アラートを生成する」という構成は、「警告アラート」を、下位・上位の関係である「ネットワークトラフィック（２０２）」及び「ネットワークトラフィック（３０２）」をそれぞれ攻撃に関する検出対象とする「第１の攻撃警告信号」及び「第２の攻撃警告信号」に基づいて生成することで、「攻撃がより高い信頼性で検出されるという効果を有する」（本願の明細書の段落【００３９】を参照）ものであるといえる。
　一方、引用発明における、上記相違点３及び相違点４に係る「通知」は、いずれも、すべてのパケットを傍受して監視する「侵入検知部４」から「フィルタリング処理部５」への「フィルタリング処理」を決定するための通知であることから、
　相違点３及び相違点４に係る引用発明の「通知」は、同一の「傍受したパケット」に基づき決定されるものであり、本願発明１のように、下位・上位の関係である「ネットワークトラフィック」をそれぞれ攻撃に関する検出対象とするものではない。
　ここで、複数のアラーム情報から、波及障害或いは冗長となるアラーム情報をマスク或いは削除してアラーム情報を集約して送信することは、上記「第４．３．」の引用文献３、及び上記「第４．４．」の引用文献４に記載されているとおり、本願優先日前において周知技術であったといえる。
　しかしながら、引用発明における上記相違点３及び相違点４に係る、同一の「傍受したパケット」に基づき決定される「通知」に対し、当該周知技術を付加したとしても、下位・上位の関係である「ネットワークトラフィック」を検出対象とするものである本願発明１の上記相違点５に係る「第１の攻撃警告信号及び第２の攻撃警告信号に基づいて警告アラートを生成する」構成には至らない。
　また、引用文献２には、上記「第４．２．」に示したように、「OpenFlowスイッチにおいて、物理ポート１からの入力パケットを、すべて物理ポート２及び３へ送信する、ポートミラーリング」という技術的事項が記載されているに過ぎず、上記相違点３〜５に係る一連の構成は記載も示唆もされていない。
　また、引用文献１には、従来の技術、及び、他の実施の形態として、上記「第４．１．（２）」及び「第４．１．（３）」に示した、上記引用発明以外のその他の技術的事項が特定されているが、いずれも、上記相違点３〜５に係る一連の構成は記載も示唆もされていない。
　さらに、上記相違点３〜５に係る一連の構成が、周知技術であるとも認められない。
　したがって、上記相違点１、２について判断するまでもなく、本願発明１は、当業者であっても引用発明、引用文献１に記載されたその他の技術的事項、及び引用文献２〜４に記載された技術的事項に基づいて容易に発明できたものであるとはいえない。
２．本願発明１０について
　本願発明１０は、本願発明１に対応するシステムの発明であり、本願発明１の上記相違点３〜５に係る一連の構成を備えるものであるから、本願発明１と同じ理由により、当業者であっても引用発明、引用文献１に記載されたその他の技術的事項、及び引用文献２〜４に記載された技術的事項に基づいて容易に発明できたものであるとはいえない。
３．本願発明２〜９について
　本願発明２〜９も、本願発明１の上記相違点３〜５に係る一連の構成を備えるものであるから、本願発明１と同じ理由により、当業者であっても引用発明、引用文献１に記載されたその他の技術的事項、及び引用文献２〜４に記載された技術的事項に基づいて容易に発明できたものであるとはいえない。
４．本願発明１１について
　本願発明１１も、本願発明１０と同様に、上記相違点３〜５に係る一連の構成を備えるものであるから、本願発明１０と同じ理由により、当業者であっても引用発明、引用文献１に記載されたその他の技術的事項、及び引用文献２〜４に記載された技術的事項に基づいて容易に発明できたものであるとはいえない。
第６　むすび
　以上のとおり、本願発明１〜１１は、当業者が引用発明、引用文献１に記載されたその他の技術的事項、及び引用文献２〜４に記載された技術的事項に基づいて容易に発明をすることができたものではない。したがって、原査定の理由によっては、本願を拒絶することはできない。
　また、他に本願を拒絶すべき理由を発見しない。
　よって、結論のとおり審決する。