【事件の表示】
　特願２０１８−　２０８８０「ネットワーク接続自動化」拒絶査定不服審判事件〔平成３０年　７月２６日出願公開、特開２０１８−１１６７０８〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
第１　手続の経緯
　本願は，２０１４年（平成２６年）９月１６日（パリ条約による優先権主張外国庁受理２０１３年９月１７日（以下，「優先日」という。），米国）を国際出願日とする特願２０１６−５４２８７２号の一部を平成３０年２月８日に新たな特許出願としたものであって，その手続の経緯は以下のとおりである。
　平成３１年　１月２８日付け：拒絶理由通知書
　平成３１年　４月２５日　　：意見書，手続補正書，上申書の提出
　令和　１年　８月２７日付け：拒絶査定
　令和　２年　１月　６日　　：審判請求書，手続補正書の提出
第２　令和２年１月６日にされた手続補正についての補正の却下の決定
［補正の却下の決定の結論］
　令和２年１月６日にされた手続補正（以下「本件補正」という。）を却下する。
　
［理由］
１　補正の内容
（１）本件補正後の特許請求の範囲の記載
　本件補正により，特許請求の範囲の請求項１の記載は，次のとおり補正された。（下線は，補正箇所を示すために請求人が付したものである。）
「　【請求項１】
　コンピュータ実装方法であって，
　コンピューティングリソースサービスプロバイダネットワークに接続されているコンピューティングリソースサービスプロバイダのネットワークデバイスで，前記コンピューティングリソースサービスプロバイダネットワークとは別個のカスタマネットワークに接続されたカスタマネットワークデバイスと，前記ネットワークデバイスとの間で確立された専用の物理ネットワーク接続を通じて，暗号認証情報を受信することと，
　認証情報を検証するために運用される認証サービスから，前記カスタマネットワークデバイスに関連するカスタマのキーに基づき，受信した前記暗号認証情報が本物であることを証明する認証を入手することと，
　前記認証サービスが前記暗号認証情報を無事に検証した結果として，前記ネットワークデバイスに，前記専用の物理ネットワーク接続を通じて前記カスタマネットワークデバイスから受信した
前記暗号認証情報
　
前記ネットワークデバイスと前記カスタマネットワークデバイスとを接続する前記専用の物理ネットワーク接続が切断されたことを検知することと，
　
前記カスタマネットワークに以前接続されていた，前記ネットワークデバイスと第２のカスタマネットワークデバイスとの間で，第２の専用の物理ネットワーク接続が確立されたことを判断することと，
　
前記暗号認証情報に基づき，前記ネットワークデバイスに，前記第２の専用の物理ネットワーク接続を通じて前記第２のカスタマネットワークデバイスから受信した前記暗号認証情報を，前記コンピューティングリソースサービスプロバイダの１つ又は複数のサービスに送らせることと，
を備える
（２）本件補正前の特許請求の範囲
　本件補正前の，平成３１年４月２５日にされた手続補正により補正された特許請求の範囲の請求項１の記載は次のとおりである。
「　【請求項１】
　コンピュータ実装方法であって，
　コンピューティングリソースサービスプロバイダネットワークに接続されているコンピューティングリソースサービスプロバイダのネットワークデバイスで，前記コンピューティングリソースサービスプロバイダネットワークとは別個のカスタマネットワークに接続されたカスタマネットワークデバイスと，前記ネットワークデバイスとの間で確立された専用の物理ネットワーク接続を通じて，暗号認証情報を受信することと，
　認証情報を検証するために運用される認証サービスから，前記カスタマネットワークデバイスに関連するカスタマのキーに基づき，受信した前記暗号認証情報が本物であることを証明する認証を入手することと，
　前記認証サービスが前記暗号認証情報を無事に検証した結果として，前記ネットワークデバイスに，前記専用の物理ネットワーク接続を通じて前記カスタマネットワークデバイスから受信したネットワークトラフィックを，前記認証サービスとは異なる前記コンピューティングリソースサービスプロバイダの１つ又は複数のサービスに送らせることと，
を含む，コンピュータ実装方法。」
（３）補正事項
　本件補正は以下の補正事項を含むものである。
ア　補正事項１
　本件補正前の請求項１の
「前記認証サービスが前記暗号認証情報を無事に検証した結果として，前記ネットワークデバイスに，前記専用の物理ネットワーク接続を通じて前記カスタマネットワークデバイスから受信したネットワークトラフィックを，前記認証サービスとは異なる前記コンピューティングリソースサービスプロバイダの１つ又は複数のサービスに送らせることと」
を，本件補正後の請求項１の
「前記認証サービスが前記暗号認証情報を無事に検証した結果として，前記ネットワークデバイスに，前記専用の物理ネットワーク接続を通じて前記カスタマネットワークデバイスから受信した
前記暗号認証情報
とする補正。
イ　補正事項２
　本件補正前の請求項１の「コンピュータ実装方法」に対して，
「
前記ネットワークデバイスと前記カスタマネットワークデバイスとを接続する前記専用の物理ネットワーク接続が切断されたことを検知すること
「
前記カスタマネットワークに以前接続されていた，前記ネットワークデバイスと第２のカスタマネットワークデバイスとの間で，第２の専用の物理ネットワーク接続が確立されたことを判断すること
「
前記暗号認証情報に基づき，前記ネットワークデバイスに，前記第２の専用の物理ネットワーク接続を通じて前記第２のカスタマネットワークデバイスから受信した前記暗号認証情報を，前記コンピューティングリソースサービスプロバイダの１つ又は複数のサービスに送らせること
とを追加的に備えるようにする補正。
２　補正の適否
（１）新規事項について
ア　上記補正事項１では，前記認証サービスが前記暗号認証情報を無事に検証した結果として，前記ネットワークデバイスに，前記カスタマネットワークデバイスから受信した「前記暗号認証情報」を，「前記認証サービスとは異なる前記コンピューティングリソースサービスプロバイダの１つ又は複数のサービス」に送らせることが特定されているところ，暗号認証情報を検証する動作に関連して，本願の願書に最初に添付した明細書，特許請求の範囲又は図面（以下，「当初明細書等」という。）には，以下の（ア）〜（シ）のような記載がある。（下線は関連する箇所を示すために当審で付したものである。）
（ア）「【００１０】
　多様な実施形態では，コンピューティングリソースサービスプロバイダは，カスタマとコンピューティングリソースサービスプロバイダとの間のネットワーク接続性を開始するために，接続時にカスタマルータに１つ又は複数の信号を送信してよい。これらの１つ又は複数の信号は，接続が正しく確立されたこと，及びカスタマがコンピューティングリソースサービスプロバイダに接続する権限を与えられた正しいエンティティであることを検証するために認証要求をさらに含んでよい。カスタマは，カスタマがコンピューティングリソースサービスプロバイダのコンピュータシステムにアクセスする権限を与えられていることを検証するために，コンピューティングリソースサービスプロバイダに応えて１つ又は複数の信号を送信してもよい。これらの１つ又は複数の信号は，１つ又は複数のカスタマコンピュータシステムを起源とする秘密暗号キー等の１つ又は複数の認証用クレデンシャルを使用して生成されるデジタル署名を含んでよい。この署名は，対称暗号アルゴリズム及び／又は非対称暗号アルゴリズムを使用して生成されてよい。
コンピューティングリソースサービスプロバイダは，カスタマから受信された署名が本物であり，このカスタマに一致するかどうかを判断するために，カスタマ信号（又はカスタマ信号に少なくとも部分的に基づいた情報）を認証サービスに送信してよい。カスタマ信号が認証されない場合，コンピューティングリソースサービスプロバイダは多様なサービスへのアクセスを拒否してよい。それ以外の場合，カスタマはカスタマが使用することを選択した１つ又は複数のサービスへのアクセスを許可されてよい。
（イ）「【００１８】
　
認証要求に応えて，カスタマ１０４は，コンピューティングリソースサービスプロバイダルータ１０６に送信される１つ又は複数の信号を通して，追加のデータ（例えば，カスタマ識別番号，ポート番号等）とともにデジタル署名を含んだ１つ又は複数のデータパケットをコンピューティングリソースサービスプロバイダ１０２に提供してもよい。したがって，ルータ１０６は検証のために認証サービス１０８にこれらのデータパケットを送信してよい。認証サービス１０８は，予想カスタマデジタル署名を作成するために暗号キーとともにカスタマ１０４から受信された追加のデータをハッシュするように構成されてもよい。デジタル署名が一致する場合，認証サービス１０８は，カスタマがコンピューティングリソースサービスプロバイダ１０２によって提供される１つ又は複数の他のサービス１１０にアクセスできるようにするようにコンピューティングリソースサービスプロバイダルータ１０６を再構成してよい。
（ウ）「【００３１】
　認証サービス３１２は，上述されたように，コンピューティングリソースサービスプロバイダ３０２とカスタマとの間の接続を認証し，検証するのに役立ててもよい。例えば，カスタマとコンピューティングリソースサービスプロバイダ３０２との間に（例えば，図２に示されるようにコロケーションに設置されたルータを使用することで）直接的な接続が確立された後，
認証サービス３１２は，カスタマがコンピューティングリソースサービスプロバイダによって提供される１つ又は複数のサービスにアクセスする許可を有していることを保証するために，カスタマに認証要求を送信してよい。したがって，認証サービス３１２は，カスタマから認証証拠を受け取り，提供された認証証拠が本物であるかを判断するために１つ又は複数の動作を実行するように構成されてもよい。例えば，認証サービス３１２はアカウントサービス３１０と対話して，提供された認証証拠（例えば，１つ又は複数の暗号キー，パスワード，カスタマ識別番号等）を検証するために必要なカスタマ情報を入手してもよい。
（エ）「【００３８】
　
コンピューティングリソースサービスプロバイダ４０８によって提供される認証サービスはいったんカスタマゲートウェイデバイス４０２からデータパケットを受信すると，受信された認証クレデンシャルは，予想カスタマデジタル署名を生成するために，カスタマと関連付けられた暗号キーとともに，受信されたデータをハッシュするためにハッシュ関数を活用してよい。その結果，コンピューティングリソースサービスプロバイダ４０８は，これらの署名が一致するかどうかを判断するためにカスタマゲートウェイデバイス４０２から受信されたデジタル署名とこの予想カスタマデジタル署名を比較してよい。一致する場合，コンピューティングリソースサービスプロバイダ４０８は，カスタマが，コンピューティングリソースサービスプロバイダによって提供される１つ又は複数の他のサービスにアクセスするのを許可するように独自のゲートウェイデバイスを再構成してよい。
（オ）「【００４２】
　
コンピューティングリソースサービスプロバイダ５０６は，検証のために認証サービス５０８に受信されたカスタマデータパケットを送信してよい。従って，認証サービス５０８は，データパケットから認証証拠を抽出するように構成されてもよい。認証証拠は，受信されたデータのハッシュ，及びコンピューティングリソースサービスプロバイダによって保持され，カスタマに特有の暗号キーを使用して検証されることを必要とするであろうデジタル署名を含んでよい。このようにして，認証サービス５０８は，関連するカスタマ情報を入手するためにコンピューティングリソースサービスプロバイダ５０４によって管理されるアカウントサービス５１０と対話するように構成されてもよい。例えば，アカウントサービス５１０は，上述されたように，コンピューティングリソースサービスプロバイダ５０４のカスタマごとのカスタマアカウント情報を含んでよい。例えば，カスタマアカウントは，受信されたデジタル署名が本物であることを検証し，ひいては，コンピューティングリソースサービスプロバイダ５０４に直接的に接続されるカスタマコンピュータシステムのアイデンティティを検証するために予想カスタマデジタル署名を作成するために使用されてもよい１つ又は複数の暗号キーを含んでよい。したがって，アカウントサービス５１０は認証サービス５０８にこれらのキーを送信するように構成されてもよい。
　【００４３】
　
認証サービス５０８は，予想カスタマデジタル署名を作成し，この署名をカスタマ認証証拠と一致させることを試みるために，カスタマから受信されるデータとともにアカウントサービス５１０からの暗号キーを使用してよい。デジタル署名間で結果的に一致する場合，認証サービス５０８は，カスタマがコンピューティングリソースサービスプロバイダ５０４によって提供される他のサービス５１２にアクセスできるようにするために，コンピューティングリソースサービスプロバイダルータ５０６に１つ又は複数の実行可能なコマンドを送信してよい。
（カ）「【００４４】
　
別の実施形態では，いったんカスタマルータ５０２とコンピューティングリソースサービスプロバイダルータ５０６との間で物理接続が確立されると，カスタマはカスタマ情報及びデジタル署名を含んだ１つ又は複数のデータパケットを，カスタマのアイデンティティを検証するために使用されてもよい，サービスに対する１つ又は複数の適切に構成されたＡＰＩコール等を通して，生成してよい。これらのデータパケットは，認証プロトコルを使用した物理接続上でコンピューティングリソースサービスプロバイダルータ５０６に送信されてもよい。このルータ５０６は，さらなる処理のために認証サービス５０８にこれらのデータパケットを伝送するように構成されてもよい。
　【００４５】
　
認証サービス５０８は，予想カスタマデジタル署名を作成するために必要な１つ又は複数の暗号キーを入手するためにアカウントサービス５１０と対話するように構成されてもよい。したがって，認証サービス５０８は，この予想カスタマデジタル署名を作成するために暗号キー及び受信されたカスタマデータをハッシュするように構成されてもよい。この署名と受信されたカスタマデジタル署名とを比較して，一致しているかどうかを判断してもよい。一致している場合，カスタマ送信は本物と見なされ，カスタマがコンピューティングリソースサービスプロバイダ５０４によって提供される１つ又は複数の他のサービス５１２にアクセスできるようにするために，認証サービス５０８からプロバイダルータ５０６に１つ又は複数の実行可能命令を送信させてもよい。例えば，カスタマ送信が本物であると見なされる場合，コンピューティングリソースサービスプロバイダ５０４は，カスタマがこれらの他のサービス５１２にアクセスするために１つ又は複数のバーチャルインタフェースを設定できるようにしてよい。
（キ）「【００４９】
　
コンピューティングリソースサービスプロバイダルータ６０６は，この認証証拠を受信し，それに応じて検証のために認証サービス６０８に証拠を配信してよい。図５に示されるように，認証サービス６０８は，受信された認証証拠を評価するために必要な関連するカスタマ情報（例えば，暗号キー，カスタマアカウント用クレデンシャル等）を入手するためにアカウントサービス６１０と対話するように構成されてもよい。カスタマによって提供される認証証拠が本物であると確認されると，認証サービス６０８はカスタマによる他のサービス６１２への継続アクセスを可能にしてよい。
（ク）「【００５０】
　代わりに，カスタマとコンピューティングリソースサービスプロバイダ６０４とその関連付けられた他のサービス６１２との間の対話中の任意の時点で，カスタマによって運用される
コンピュータシステムは，接続が不正接続されていないことを保証するためにコンピューティングリソースサービスプロバイダに１つ又は複数の認証要求を送信してよい。
（ケ）「【００５２】
　別の実施形態では，
カスタマは，カスタマのアイデンティティを検証するために使用することのできる，サービスに対する１つ又は複数の適切に構成されたＡＰＩコール等を通して，暗号認証情報を含んだ追加のデータパケットを生成してよい。上述されたように，これらのデータパケットはコンピューティングリソースサービスプロバイダルータ６０６へ認証プロトコルを使用した物理接続を通して送信されてもよい。このルータ６０６は，さらなる処理のために認証サービス６０８にこれらのデータパケットを伝送するように構成されてもよい。
　【００５３】
　上述されたように，
認証サービス６０８は，予想カスタマデジタル署名を作成するために必要な１つ又は複数の暗号キーを入手するためにアカウントサービス６１０と対話するように構成されてもよい。したがって，認証サービス６０８は，この予想カスタマデジタル署名を作成するために暗号キー及び受信されたカスタマデータをハッシュするように構成されてもよい。この署名と，受信されたカスタマデジタル署名とが比較され，一致するかどうかを判定してもよい。一致する場合，カスタマ送信は本物と見なされ，これにより認証サービス６０８は，コンピューティングリソースサービスプロバイダ６０４によって提供される１つ又は複数のサービス６１２への継続的なアクセスを可能とさせてよい。
（コ）「【００６３】
　
カスタマ認証証拠を含んだデータパケットは，カスタマルータを使用して物理接続を通してコンピューティングリソースサービスプロバイダに送信されてもよい。したがって，コンピューティングリソースサービスプロバイダは，カスタマルータからカスタマデータパケットを含んだ信号を受信してよい７１０。カスタマルータを起源とする信号は，カスタマからの信号を分解し，１つ又は複数のデータパケットを抽出するように構成してよいコンピューティングリソースサービスプロバイダルータによって受信されてもよい。認証サービスにアドレス指定可能なデータパケットは，処理のために認証サービスに送信されてもよい。
　【００６４】
　上述されたように，
認証サービスはカスタマのアイデンティティを検証するために受信されたデータパケットからカスタマ認証証拠（例えば，デジタル署名）を抽出するように構成されてもよい。したがって，認証サービスは物理接続を通して受信されるデジタル署名を認証する７１２ことを試みてよい。上述されたように，認証サービスは関連するカスタマ情報を入手するためにアカウントサービスと対話するように構成されてもよい。例えば，認証サービスは，認証証拠を検証するためにアカウントサービスから１つ又は複数のカスタマ暗号キー（例えば，楕円曲線暗号法等の１つ又は複数の暗号方法を使用して生成されるカスタマキー）を入手してよい。例えば，認証サービスは，予想カスタマデジタル署名を作成するために，暗号キーとともに，受信されたカスタマデータをハッシュするように構成されてもよい。この予想カスタマデジタル署名がカスタマからの受信されたデジタル署名に一致する場合，信号は本物であり，カスタマアイデンティティは検証される。
　【００６５】
　
カスタマによって提供される認証証拠が適切である（例えば，デジタル署名の一致が生じる）場合，認証サービスは，コンピューティングリソースサービスプロバイダによって提供される１つ又は複数のサービスへのカスタマのアクセスを可能とする７１４ようにしてもよい。１つ又は複数のサービスに対するカスタマアクセスを可能にするために，認証サービスは，１つ又は複数の実行可能命令をコンピューティングリソースサービスプロバイダルータに送信して，カスタマが１つ又は複数のサービスにアクセスするために１つ又は複数の信号を送信できるようにルータを再構成するように構成されてもよい。例えば，コンピューティングリソースサービスプロバイダルータは，１つ又は複数のサービスの受取人ＩＰアドレスを含んだいずれのデータパケットも１つ又は複数のサービスに配信できるように構成されてもよい。
（サ）「【００６８】
　カスタマは，コロケーションセンタのコンピューティングリソースサービスプロバイダに物理的に接続可能なカスタマルータを通してこれらのデータパケットを受信してよい。したがって，データパケットは処理のために１つ又は複数のカスタマコンピュータシステムに送信されてもよく，これによって１つ又は複数のコンピュータシステムは，カスタマがコンピューティングリソースサービスプロバイダによって提供されるサービスにアクセスする権限を有することを検証するために必要な認証証拠を含んだ要求に応えて１つ又は複数のデータパケットを生成してよい。
認証サービスを使用して生成されるデータパケットの場合と同様に，１つ又は複数のカスタマコンピュータシステムは他の標準的なプロトコルに加えてセキュリティプロトコルに従って構成される１つ又は複数のデータパケットを生成するように構成されてもよい。したがって，これらのデータパケットは処理のためにカスタマルータからコンピューティングリソースサービスプロバイダに送信されてもよい。コンピューティングリソースサービスプロバイダは，カスタマから受信された１つ又は複数のデータパケットを認証サービスに送信してよい。
　【００６９】
　したがって，
認証サービスは，カスタマから認証証拠を受信する８０４ように構成されてもよい。要求された認証証拠のタイプに基づいて，認証サービスは認証証拠を検証するために必要なカスタマアカウント情報を入手するためにアカウントサービスと対話するように構成されてもよい。例えば，認証サービスは，カスタマから受信されたデジタル署名が本物であるかどうかを判断するために使用されてもよい予想カスタマデジタル署名を生成するために，カスタマアカウントと関連付けられた暗号キーを入手してよい。
　【００７０】
　したがって，
認証サービスは，暗号キーを使用して予想カスタマデジタル署名を作成し，これとカスタマから受信されたデジタル署名とを比較することで，これらが一致するかどうかを判断するように構成されてもよい。したがって，認証サービスは，カスタマ認証証拠が本物であるかどうかを判断する８０６ように構成されてもよい。カスタマから受信された認証証拠が認証サービスによって作成される予想カスタマデジタル署名に一致する場合，認証サービスはコンピューティングリソースサービスプロバイダによって提供される１つ又は複数のサービスへの接続を確立してよい８０８。例えば，認証サービスは，コンピューティングリソースサービスプロバイダルータに１つ又は複数の実行可能命令を送信して，コンピューティングリソースサービスプロバイダによって提供される１つ又は複数のサービスにアドレス指定されるカスタマから受信されたいずれのデータパケットも当該１つ又は複数のサービスに当該ルータにより送信されるように構成されてもよい。したがって，カスタマはそのビジネスをサポートするためにこれらのサービスにアクセスすることができるようになる。
（シ）「【００７４】
　
コンピューティングリソースサービスプロバイダルータは，このようにして認証証拠を含んだデータパケットを受信し９０４，コンピューティングリソースサービスプロバイダによって運用される認証サービスにこれらのデータパケットを送信するように構成されてもよい。したがって，認証サービスは，認証証拠を検証するために必要な情報を入手するためにコンピューティングリソースサービスプロバイダによって運用されるアカウントサービスと対話するように構成されてもよい。これによって，認証サービスが，カスタマ認証証拠が本物であるかどうかを判断する９０６ことができるようにしてもよい。例えば，認証サービスはカスタマから受信されたデジタル署名を検証するために使用されてよい予想カスタマデジタル署名を作成するために必要な１つ又は複数の暗号キーを入手してよい。
　【００７５】
　
認証証拠が認証要求を満たす（例えば，提供されたカスタマデジタル署名が認証サービスによって作成された予想カスタマデジタル署名に適合する）場合，認証サービスは，カスタマが現在，コンピューティングリソースサービスプロバイダによって提供される１つ又は複数のサービスにアクセスしているかどうかをさらに判断してよい９０８。コンピューティングリソースサービスプロバイダがカスタマとこれらのサービスとの間ですでに接続を確立している場合，認証サービスは，カスタマがこれらのサービスにアクセスできることが継続するように構成されてもよい。
　【００７６】
　ただし，
カスタマが現在コンピューティングリソースサービスプロバイダによって提供される１つ又は複数のサービスにアクセスしていない場合，認証サービスはカスタマとこれらのサービスとの間に接続を確立してよい９１０。例えば，認証サービスは，１つ又は複数の実行可能命令をコンピューティングリソースサービスプロバイダルータに送信し，カスタマコンピュータシステムを起源とするいずれのデータパケットも１つ又は複数のサービスに送信することを当該ルータに許可させるように構成されてもよい。これにより，カスタマは直ちに自らのビジネスを促進するためにこれらのサービスにアクセスすることができる。
イ　上記（ア）の「コンピューティングリソースサービスプロバイダは，カスタマから受信された署名が本物であり，このカスタマに一致するかどうかを判断するために，カスタマ信号（又はカスタマ信号に少なくとも部分的に基づいた情報）を認証サービスに送信してよい。」との記載，
　上記（イ）の「認証要求に応えて，カスタマ１０４は，コンピューティングリソースサービスプロバイダルータ１０６に送信される１つ又は複数の信号を通して，追加のデータ（例えば，カスタマ識別番号，ポート番号等）とともにデジタル署名を含んだ１つ又は複数のデータパケットをコンピューティングリソースサービスプロバイダ１０２に提供してもよい。したがって，ルータ１０６は検証のために認証サービス１０８にこれらのデータパケットを送信してよい。認証サービス１０８は，予想カスタマデジタル署名を作成するために暗号キーとともにカスタマ１０４から受信された追加のデータをハッシュするように構成されてもよい。」との記載，
　上記（ウ）の「認証サービス３１２は，カスタマがコンピューティングリソースサービスプロバイダによって提供される１つ又は複数のサービスにアクセスする許可を有していることを保証するために，カスタマに認証要求を送信してよい。したがって，認証サービス３１２は，カスタマから認証証拠を受け取り，提供された認証証拠が本物であるかを判断するために１つ又は複数の動作を実行するように構成されてもよい。例えば，認証サービス３１２はアカウントサービス３１０と対話して，提供された認証証拠（例えば，１つ又は複数の暗号キー，パスワード，カスタマ識別番号等）を検証するために必要なカスタマ情報を入手してもよい。」との記載，
　上記（エ）の「コンピューティングリソースサービスプロバイダ４０８によって提供される認証サービスはいったんカスタマゲートウェイデバイス４０２からデータパケットを受信すると，受信された認証クレデンシャルは，予想カスタマデジタル署名を生成するために，カスタマと関連付けられた暗号キーとともに，受信されたデータをハッシュするためにハッシュ関数を活用してよい。その結果，コンピューティングリソースサービスプロバイダ４０８は，これらの署名が一致するかどうかを判断するためにカスタマゲートウェイデバイス４０２から受信されたデジタル署名とこの予想カスタマデジタル署名を比較してよい。」との記載，
　上記（オ）の「コンピューティングリソースサービスプロバイダ５０６は，検証のために認証サービス５０８に受信されたカスタマデータパケットを送信してよい。従って，認証サービス５０８は，データパケットから認証証拠を抽出するように構成されてもよい。認証証拠は，受信されたデータのハッシュ，及びコンピューティングリソースサービスプロバイダによって保持され，カスタマに特有の暗号キーを使用して検証されることを必要とするであろうデジタル署名を含んでよい。このようにして，認証サービス５０８は，関連するカスタマ情報を入手するためにコンピューティングリソースサービスプロバイダ５０４によって管理されるアカウントサービス５１０と対話するように構成されてもよい。例えば，アカウントサービス５１０は，上述されたように，コンピューティングリソースサービスプロバイダ５０４のカスタマごとのカスタマアカウント情報を含んでよい。例えば，カスタマアカウントは，受信されたデジタル署名が本物であることを検証し，ひいては，コンピューティングリソースサービスプロバイダ５０４に直接的に接続されるカスタマコンピュータシステムのアイデンティティを検証するために予想カスタマデジタル署名を作成するために使用されてもよい１つ又は複数の暗号キーを含んでよい。したがって，アカウントサービス５１０は認証サービス５０８にこれらのキーを送信するように構成されてもよい。」及び「認証サービス５０８は，予想カスタマデジタル署名を作成し，この署名をカスタマ認証証拠と一致させることを試みるために，カスタマから受信されるデータとともにアカウントサービス５１０からの暗号キーを使用してよい。」との記載，
　上記（カ）の「別の実施形態では，いったんカスタマルータ５０２とコンピューティングリソースサービスプロバイダルータ５０６との間で物理接続が確立されると，カスタマはカスタマ情報及びデジタル署名を含んだ１つ又は複数のデータパケットを，カスタマのアイデンティティを検証するために使用されてもよい，サービスに対する１つ又は複数の適切に構成されたＡＰＩコール等を通して，生成してよい。これらのデータパケットは，認証プロトコルを使用した物理接続上でコンピューティングリソースサービスプロバイダルータ５０６に送信されてもよい。このルータ５０６は，さらなる処理のために認証サービス５０８にこれらのデータパケットを伝送するように構成されてもよい。」及び「認証サービス５０８は，予想カスタマデジタル署名を作成するために必要な１つ又は複数の暗号キーを入手するためにアカウントサービス５１０と対話するように構成されてもよい。したがって，認証サービス５０８は，この予想カスタマデジタル署名を作成するために暗号キー及び受信されたカスタマデータをハッシュするように構成されてもよい。この署名と受信されたカスタマデジタル署名とを比較して，一致しているかどうかを判断してもよい。」との記載，
　上記（キ）の「コンピューティングリソースサービスプロバイダルータ６０６は，この認証証拠を受信し，それに応じて検証のために認証サービス６０８に証拠を配信してよい。図５に示されるように，認証サービス６０８は，受信された認証証拠を評価するために必要な関連するカスタマ情報（例えば，暗号キー，カスタマアカウント用クレデンシャル等）を入手するためにアカウントサービス６１０と対話するように構成されてもよい。」との記載，
　上記（ケ）の「カスタマは，カスタマのアイデンティティを検証するために使用することのできる，サービスに対する１つ又は複数の適切に構成されたＡＰＩコール等を通して，暗号認証情報を含んだ追加のデータパケットを生成してよい。上述されたように，これらのデータパケットはコンピューティングリソースサービスプロバイダルータ６０６へ認証プロトコルを使用した物理接続を通して送信されてもよい。このルータ６０６は，さらなる処理のために認証サービス６０８にこれらのデータパケットを伝送するように構成されてもよい。」及び「認証サービス６０８は，予想カスタマデジタル署名を作成するために必要な１つ又は複数の暗号キーを入手するためにアカウントサービス６１０と対話するように構成されてもよい。したがって，認証サービス６０８は，この予想カスタマデジタル署名を作成するために暗号キー及び受信されたカスタマデータをハッシュするように構成されてもよい。この署名と，受信されたカスタマデジタル署名とが比較され，一致するかどうかを判定してもよい。」との記載，
　上記（コ）の「カスタマ認証証拠を含んだデータパケットは，カスタマルータを使用して物理接続を通してコンピューティングリソースサービスプロバイダに送信されてもよい。したがって，コンピューティングリソースサービスプロバイダは，カスタマルータからカスタマデータパケットを含んだ信号を受信してよい７１０。カスタマルータを起源とする信号は，カスタマからの信号を分解し，１つ又は複数のデータパケットを抽出するように構成してよいコンピューティングリソースサービスプロバイダルータによって受信されてもよい。認証サービスにアドレス指定可能なデータパケットは，処理のために認証サービスに送信されてもよい。」及び「認証サービスはカスタマのアイデンティティを検証するために受信されたデータパケットからカスタマ認証証拠（例えば，デジタル署名）を抽出するように構成されてもよい。したがって，認証サービスは物理接続を通して受信されるデジタル署名を認証する７１２ことを試みてよい。上述されたように，認証サービスは関連するカスタマ情報を入手するためにアカウントサービスと対話するように構成されてもよい。例えば，認証サービスは，認証証拠を検証するためにアカウントサービスから１つ又は複数のカスタマ暗号キー（例えば，楕円曲線暗号法等の１つ又は複数の暗号方法を使用して生成されるカスタマキー）を入手してよい。例えば，認証サービスは，予想カスタマデジタル署名を作成するために，暗号キーとともに，受信されたカスタマデータをハッシュするように構成されてもよい。この予想カスタマデジタル署名がカスタマからの受信されたデジタル署名に一致する場合，信号は本物であり，カスタマアイデンティティは検証される。」との記載，
　上記（サ）の「認証サービスを使用して生成されるデータパケットの場合と同様に，１つ又は複数のカスタマコンピュータシステムは他の標準的なプロトコルに加えてセキュリティプロトコルに従って構成される１つ又は複数のデータパケットを生成するように構成されてもよい。したがって，これらのデータパケットは処理のためにカスタマルータからコンピューティングリソースサービスプロバイダに送信されてもよい。コンピューティングリソースサービスプロバイダは，カスタマから受信された１つ又は複数のデータパケットを認証サービスに送信してよい。」，「認証サービスは，カスタマから認証証拠を受信する８０４ように構成されてもよい。要求された認証証拠のタイプに基づいて，認証サービスは認証証拠を検証するために必要なカスタマアカウント情報を入手するためにアカウントサービスと対話するように構成されてもよい。例えば，認証サービスは，カスタマから受信されたデジタル署名が本物であるかどうかを判断するために使用されてもよい予想カスタマデジタル署名を生成するために，カスタマアカウントと関連付けられた暗号キーを入手してよい。」及び「認証サービスは，暗号キーを使用して予想カスタマデジタル署名を作成し，これとカスタマから受信されたデジタル署名とを比較することで，これらが一致するかどうかを判断するように構成されてもよい。したがって，認証サービスは，カスタマ認証証拠が本物であるかどうかを判断する８０６ように構成されてもよい。」との記載，
　上記（シ）の「コンピューティングリソースサービスプロバイダルータは，このようにして認証証拠を含んだデータパケットを受信し９０４，コンピューティングリソースサービスプロバイダによって運用される認証サービスにこれらのデータパケットを送信するように構成されてもよい。したがって，認証サービスは，認証証拠を検証するために必要な情報を入手するためにコンピューティングリソースサービスプロバイダによって運用されるアカウントサービスと対話するように構成されてもよい。これによって，認証サービスが，カスタマ認証証拠が本物であるかどうかを判断する９０６ことができるようにしてもよい。例えば，認証サービスはカスタマから受信されたデジタル署名を検証するために使用されてよい予想カスタマデジタル署名を作成するために必要な１つ又は複数の暗号キーを入手してよい。」との記載からすると，当初明細書等には，「プロバイダルータがカスタマルータからカスタマの認証証拠（暗号認証情報）を受信すると，プロバイダルータは，受信した認証証拠を認証サービスに送信し，認証サービスが認証証拠の検証を実行すること」が記載されているといえる。
　また，上記（ア）の「カスタマ信号が認証されない場合，コンピューティングリソースサービスプロバイダは多様なサービスへのアクセスを拒否してよい。それ以外の場合，カスタマはカスタマが使用することを選択した１つ又は複数のサービスへのアクセスを許可されてよい。」との記載，
　上記（イ）の「デジタル署名が一致する場合，認証サービス１０８は，カスタマがコンピューティングリソースサービスプロバイダ１０２によって提供される１つ又は複数の他のサービス１１０にアクセスできるようにするようにコンピューティングリソースサービスプロバイダルータ１０６を再構成してよい。」との記載，
　上記（エ）の「一致する場合，コンピューティングリソースサービスプロバイダ４０８は，カスタマが，コンピューティングリソースサービスプロバイダによって提供される１つ又は複数の他のサービスにアクセスするのを許可するように独自のゲートウェイデバイスを再構成してよい。」との記載，
　上記（オ）の「デジタル署名間で結果的に一致する場合，認証サービス５０８は，カスタマがコンピューティングリソースサービスプロバイダ５０４によって提供される他のサービス５１２にアクセスできるようにするために，コンピューティングリソースサービスプロバイダルータ５０６に１つ又は複数の実行可能なコマンドを送信してよい。」との記載，
　上記（カ）の「一致している場合，カスタマ送信は本物と見なされ，カスタマがコンピューティングリソースサービスプロバイダ５０４によって提供される１つ又は複数の他のサービス５１２にアクセスできるようにするために，認証サービス５０８からプロバイダルータ５０６に１つ又は複数の実行可能命令を送信させてもよい。例えば，カスタマ送信が本物であると見なされる場合，コンピューティングリソースサービスプロバイダ５０４は，カスタマがこれらの他のサービス５１２にアクセスするために１つ又は複数のバーチャルインタフェースを設定できるようにしてよい。」との記載，
　上記（キ）の「カスタマによって提供される認証証拠が本物であると確認されると，認証サービス６０８はカスタマによる他のサービス６１２への継続アクセスを可能にしてよい。」との記載，
　上記（ケ）の「一致する場合，カスタマ送信は本物と見なされ，これにより認証サービス６０８は，コンピューティングリソースサービスプロバイダ６０４によって提供される１つ又は複数のサービス６１２への継続的なアクセスを可能とさせてよい。」との記載，
　上記（コ）の「カスタマによって提供される認証証拠が適切である（例えば，デジタル署名の一致が生じる）場合，認証サービスは，コンピューティングリソースサービスプロバイダによって提供される１つ又は複数のサービスへのカスタマのアクセスを可能とする７１４ようにしてもよい。１つ又は複数のサービスに対するカスタマアクセスを可能にするために，認証サービスは，１つ又は複数の実行可能命令をコンピューティングリソースサービスプロバイダルータに送信して，カスタマが１つ又は複数のサービスにアクセスするために１つ又は複数の信号を送信できるようにルータを再構成するように構成されてもよい。例えば，コンピューティングリソースサービスプロバイダルータは，１つ又は複数のサービスの受取人ＩＰアドレスを含んだいずれのデータパケットも１つ又は複数のサービスに配信できるように構成されてもよい。」との記載，
　上記（サ）の「カスタマから受信された認証証拠が認証サービスによって作成される予想カスタマデジタル署名に一致する場合，認証サービスはコンピューティングリソースサービスプロバイダによって提供される１つ又は複数のサービスへの接続を確立してよい８０８。例えば，認証サービスは，コンピューティングリソースサービスプロバイダルータに１つ又は複数の実行可能命令を送信して，コンピューティングリソースサービスプロバイダによって提供される１つ又は複数のサービスにアドレス指定されるカスタマから受信されたいずれのデータパケットも当該１つ又は複数のサービスに当該ルータにより送信されるように構成されてもよい。したがって，カスタマはそのビジネスをサポートするためにこれらのサービスにアクセスすることができるようになる。」との記載，
　上記（シ）の「認証証拠が認証要求を満たす（例えば，提供されたカスタマデジタル署名が認証サービスによって作成された予想カスタマデジタル署名に適合する）場合，認証サービスは，カスタマが現在，コンピューティングリソースサービスプロバイダによって提供される１つ又は複数のサービスにアクセスしているかどうかをさらに判断してよい９０８。コンピューティングリソースサービスプロバイダがカスタマとこれらのサービスとの間ですでに接続を確立している場合，認証サービスは，カスタマがこれらのサービスにアクセスできることが継続するように構成されてもよい。」及び「カスタマが現在コンピューティングリソースサービスプロバイダによって提供される１つ又は複数のサービスにアクセスしていない場合，認証サービスはカスタマとこれらのサービスとの間に接続を確立してよい９１０。例えば，認証サービスは，１つ又は複数の実行可能命令をコンピューティングリソースサービスプロバイダルータに送信し，カスタマコンピュータシステムを起源とするいずれのデータパケットも１つ又は複数のサービスに送信することを当該ルータに許可させるように構成されてもよい。これにより，カスタマは直ちに自らのビジネスを促進するためにこれらのサービスにアクセスすることができる。」との記載
からすると，当初明細書等には，「認証サービスが検証に成功すると，認証サービスはプロバイダルータに命令を送信して，カスタマルータからのデータパケットが「認証サービス以外の１つ又は複数の他のサービス」に送信されるようにプロバイダルータを再構成すること」が記載されているといえる。
ウ　以上のことから，当初明細書等には，カスタマから受信した「認証証拠」を「認証サービス」に送信し，「認証サービス」が検証に成功すると，カスタマから受信した「データパケット」を，「前記認証サービスとは異なる１つ又は複数のサービス」に送らせることは記載されているものの，「認証サービス」が検証に成功すると，カスタマから受信した「認証証拠（暗号認証情報）」を，「前記認証サービスとは異なる１つ又は複数のサービス」に送らせること，すなわち，「前記認証サービスが前記暗号認証情報を無事に検証した結果として，前記ネットワークデバイスに，前記専用の物理ネットワーク接続を通じて前記カスタマネットワークデバイスから受信した
前記暗号認証情報
　また，当初明細書等のその他の記載をみても，「前記認証サービスが前記暗号認証情報を無事に検証した結果として，前記ネットワークデバイスに，前記専用の物理ネットワーク接続を通じて前記カスタマネットワークデバイスから受信した
前記暗号認証情報
　してみれば，請求項１を「前記認証サービスが前記暗号認証情報を無事に検証した結果として，前記ネットワークデバイスに，前記専用の物理ネットワーク接続を通じて前記カスタマネットワークデバイスから受信した
前記暗号認証情報
エ　なお，この点に関して，審判請求人は審判請求書において，以下のとおり主張している。
『（ｂ）補正の根拠の明示
ｂ−１．請求項１に記載されていた「ネットワークトラフィック」を「暗号認証情報」にと補正しました。段落［００５０］及び［００５２］の開示に基づきます。段落［００５０］には「コンピュータシステムは，接続が不正接続されていないことを保証するためにコンピューティングリソースサービスプロバイダに１つ又は複数の認証要求を送信してよい。」との記載があり，段落［００５２］には，「サービスに対する１つ又は複数の適切に構成されたＡＰＩコール等を通して，暗号認証情報を含んだ追加のデータパケットを生成してよい。」との記載があります。』
　しかしながら，上記主張で補正の根拠とされている段落００５０の「コンピュータシステムは，接続が不正接続されていないことを保証するためにコンピューティングリソースサービスプロバイダに１つ又は複数の認証要求を送信してよい。」との記載は，上記（ク）で引用したように，「代わりに，カスタマとコンピューティングリソースサービスプロバイダ６０４とその関連付けられた他のサービス６１２との間の対話中の任意の時点で，カスタマによって運用される
コンピュータシステムは，接続が不正接続されていないことを保証するためにコンピューティングリソースサービスプロバイダに１つ又は複数の認証要求を送信してよい。
前記暗号認証情報
　また，上記主張で補正の根拠とされている段落００５２の「サービスに対する１つ又は複数の適切に構成されたＡＰＩコール等を通して，暗号認証情報を含んだ追加のデータパケットを生成してよい。」との記載は，上記（ケ）で引用したように，「カスタマは，カスタマのアイデンティティを検証するために使用することのできる，
サービスに対する１つ又は複数の適切に構成されたＡＰＩコール等を通して，暗号認証情報を含んだ追加のデータパケットを生成してよい。
前記暗号認証情報
　そうすると，審判請求人が補正の根拠として主張している記載は，いずれも，「前記認証サービスが前記暗号認証情報を無事に検証した結果として，前記ネットワークデバイスに，前記専用の物理ネットワーク接続を通じて前記カスタマネットワークデバイスから受信した
前記暗号認証情報
オ　上記ア〜エのとおり，上記補正事項１は，当初明細書等に記載した事項の範囲内においてされたものではないから，上記補正事項１を含む本件補正は，特許法第１７条の２第３項に規定する要件を満たしていない。
３　補正却下の決定についてのむすび
　上記２のとおり，本件補正は，特許法第１７条の２第３項に規定する要件を満たしていないから，同法第１５９条第１項において読み替えて準用する同法第５３条第１項の規定により却下すべきものである。
第３　本願発明について
１　本願発明
　令和２年１月６日にされた手続補正は，上記のとおり却下されたので，本願の請求項に係る発明は，平成３１年４月２５日にされた手続補正により補正された特許請求の範囲の請求項１ないし２０に記載された事項により特定されるものであるところ，その請求項１に係る発明（以下「本願発明」という。）は，以下のとおりのものである。
「　コンピュータ実装方法であって，
　コンピューティングリソースサービスプロバイダネットワークに接続されているコンピューティングリソースサービスプロバイダのネットワークデバイスで，前記コンピューティングリソースサービスプロバイダネットワークとは別個のカスタマネットワークに接続されたカスタマネットワークデバイスと，前記ネットワークデバイスとの間で確立された専用の物理ネットワーク接続を通じて，暗号認証情報を受信することと，
　認証情報を検証するために運用される認証サービスから，前記カスタマネットワークデバイスに関連するカスタマのキーに基づき，受信した前記暗号認証情報が本物であることを証明する認証を入手することと，
　前記認証サービスが前記暗号認証情報を無事に検証した結果として，前記ネットワークデバイスに，前記専用の物理ネットワーク接続を通じて前記カスタマネットワークデバイスから受信したネットワークトラフィックを，前記認証サービスとは異なる前記コンピューティングリソースサービスプロバイダの１つ又は複数のサービスに送らせることと，
を含む，コンピュータ実装方法。」
２　原査定の拒絶の理由
　原査定の拒絶の理由は，この出願の請求項１に係る発明は，その出願前に頒布された又は電気通信回線を通じて公衆に利用可能となった下記の引用文献１に記載された発明及び引用文献２〜７に記載された技術に基づいて，その出願前にその発明の属する技術の分野における通常の知識を有する者が容易に発明をすることができたものであるから，特許法第２９条第２項の規定により特許を受けることができないというものである。
引用文献１：米国特許出願公開第２００５／００６３４００号明細書
引用文献２：特開２００２−１０８８１８号公報
引用文献３：国際公開第２０１３／０８１９６２号
引用文献４：米国特許出願公開第２００７／０２３４０５４号明細書（周知技術を示す文献）
引用文献５：特開２００５−３３３３５０号公報（周知技術を示す文献）
引用文献６：特開２００４−３１８５８２号公報（周知技術を示す文献）
引用文献７：特開２０１３−１３４５３０号公報（周知技術を示す文献）
３　引用文献及び引用発明
（１）引用文献１の記載事項
　原査定の拒絶の理由で引用された本願の優先日前に頒布された又は電気通信回線を通じて公衆に利用可能となった引用文献である，米国特許出願公開第２００５／００６３４００号明細書（２００５年３月２４日公開。以下「引用文献１」という。）には，図面とともに，次の記載がある。なお，下線部は当審で付与した。
ア　「[0029]　FIG. 2 is a block diagram of a Protected Network 200, according to various embodiments of the invention. 
Protected Network 200 is either physically or logically divided into a Restricted Subset 205 and a Less-Restricted Subset 210. Access to Protected Network 200 is possible through an Access Point 215 (a communication device) and an optional Router 220.
this access is under the control of a GateKeeper 225. GateKeeper 225 is configured to enforce a security policy against one or more Access Device 230 requesting access to Less-Restricted Subset 210.
Access Device 230 and Access Point 215 are connected by a communication channel such as a cable
[0030]　In various embodiments, 
Protected Network 200 includes a corporate network, telephone network, private network, local area network, wide area network, wireless network, communication network, government network, university network, and/or the like. Restricted Subset 205 is a subset of Protected Network 200 including at least GateKeeper 225.
Restricted Subset 205 includes
a server configured to function as GateKeeper 225.
（当審訳：[0029]　図2は，本発明の様々な実施形態に従った保護ネットワーク200のブロック図である。
保護ネットワーク200は，物理的にまたは論理的に，制限されたサブセット205と制限のより少ないサブセット210に分割されている。保護ネットワーク200へのアクセスは，アクセスポイント215(通信装置)及び任意のルータ220を介して可能である。
このアクセスは，ゲートキーパ225の制御下にある。ゲートキーパ225は，制限のより少ないサブセット210へのアクセスを要求する1つ又は複数のアクセス装置230に対してセキュリティポリシーを実施するように構成されている
アクセス装置230とアクセスポイント215は，ケーブル
のような通信チャネルによって接続されている
[0030]　様々な実施形態において，
保護ネットワーク200は，企業内ネットワーク，電話ネットワーク，私設ネットワーク，ローカルエリアネットワーク，ワイドエリアネットワーク，無線ネットワーク，通信ネットワーク，政府ネットワーク，大学ネットワークなどを含む。制限されたサブセット205は，少なくともゲートキーパ225を含む保護ネットワーク200のサブセットである
制限されたサブセット205は，
ゲートキーパ225として機能するように構成されたサーバを含む
イ　「ＦＩＧ．２
」
ウ　「[0035]　Access Device 230 is a computing device configured to operate as an end point (EP) in a communication channel including Access Point 215 and Access Device 230. In various embodiments, 
Access Device 230 is a personal computer, a personal digital assistant, a telephone, a wireless device, a communication device such as a router, Ethernet card, wireless card, another access point, a network device, or the like.
（当審訳：[0035]　アクセス装置230は，アクセスポイント215とアクセスデバイス230を含む通信チャネルのエンドポイント(EP)として動作するように構成されたコンピューティングデバイスである。様々な実施形態において，
アクセス装置230は，パーソナルコンピュータ，パーソナルデジタルアシスタント，電話，無線通信装置，ルータのような通信デバイス，イーサネットカード，無線カード，他のアクセスポイント，ネットワーク装置等である。
エ　「[0048]　Access Control 320 is responsive to 
a Policy Auditor 325 included in GateKeeper 225
（当審訳：[0048]　アクセス制御320は，
ゲートキーパ225に含まれるポリシー監査部325
オ　「[0051]　FIG. 4 is a flowchart illustrating 
a method of granting access to Less-Restricted Subset 210 (FIG. 2)
an Update Port Log Step 410 and a Restrict Port Step 420, are used to prepare an open (unused) communication port on Access Point 215 for receiving a request for access to Less-Restricted Subset 210. This request is received from Access Device 230 in a Receive Access Request Step 430. In response, GateKeeper 225 authenticates a user, obtains audit data, and applies a security policy in an Authenticate User Step 440, an Obtain Audit Data Step 450 and an Apply Security Policy Step 460, respectfully. If the security policy is satisfied, then in a Reconfigure Port Step 470 GateKeeper 225 reconfigures the communication port of Access Point 215, to which Access Device 230 has connected.
the reconfigured communication port is used to pass communication between Access Device 230 and one or more element of Less-Restricted Network 205（当審注：「205」は「210」の誤記である。） in a Communicate Step 480.
　・・・
 [0055]　In optional 
Authenticate User Step 440, Policy Auditor 325 authenticates the identity of Access Device 230 and/or a user of Access Device 230.
This authentication
the authentication may include receipt of a user name and password
（当審訳：[0051]　図4は，本発明の様々な実施形態による，
制限のより少ないサブセット210(図2)へのアクセスを許可する方法
アップデートポートログステップ410と制限ポートステップ420は，制限のより少ないサブセット210へのアクセス要求を受け付けるためのアクセス・ポイント215の開放(未使用の)通信ポートを準備するために使用される。この要求は，アクセス要求受信ステップ430において，アクセス装置230から受信される。これに応答して，ゲートキーパ225は，ユーザ認証ステップ440でユーザを認証し，監査データ取得ステップ450で監査データを取得し，セキュリティポリシー適用ステップ460でセキュリティポリシーを適用する。セキュリティポリシーが満たされている場合，ポート再構成ステップ470でゲートキーパ225はアクセスデバイス230が接続されるアクセスポイント215の通信ポートを再構成する
再構成された通信ポートは，通信ステップ480において，アクセス装置230と制限のより少ないネットワーク205（当審注：「205」は「210」の誤記である。）の1つ以上の要素との間の通信を通過させるために使用される
　・・・
[0055]　オプションの
ユーザ認証ステップ440で，ポリシー監査部325は，アクセス装置230のアイデンティティの認証，および/またはアクセス装置230のユーザの認証を行う
この認証
認証は，ユーザ名及びパスワードの受信
を含むことができる
カ　「[0066]　
In Communicate Step 480, communication occurs between Access Device 230 and elements of Less-Restricted Subset 210 via the communication port reconfigured in Reconfigure Port Step 470.
general network traffic does not need to pass through GateKeeper 225
（当審訳：[0066]　
通信ステップ480で，通信は，ポート再構成ステップ470で再構成された通信ポートを介して，アクセス装置230と制限のより少ないサブセット210のとの間で生じる
一般的なネットワークトラフィックは，ゲートキーパ225を通過する必要がなく
（２）引用発明
　引用文献１に記載されている事項について検討する。
ア　上記（１）アの「保護ネットワーク200は，物理的にまたは論理的に，制限されたサブセット205と制限のより少ないサブセット210に分割されている」との記載から，引用文献１には，
“物理的にまたは論理的に，制限されたサブセット205と制限のより少ないサブセット210に分割されている保護ネットワーク200”が記載されている。
　上記（１）オの「制限のより少ないサブセット210(図2)へのアクセスを許可する方法」との記載から，引用文献１には，
“制限のより少ないサブセット210へのアクセスを許可する方法”が記載されている。
　以上から，引用文献１には，
“物理的にまたは論理的に，制限されたサブセット205と制限のより少ないサブセット210に分割されている保護ネットワーク200における制限のより少ないサブセット210へのアクセスを許可する方法”が記載されていると認められる。
イ　上記（１）アの「保護ネットワーク200へのアクセスは，アクセスポイント215(通信装置)及び任意のルータ220を介して可能である」，「このアクセスは，ゲートキーパ225の制御下にある」，「ゲートキーパ225は，制限のより少ないサブセット210へのアクセスを要求する1つ又は複数のアクセス装置230に対してセキュリティポリシーを実施するように構成されている」，「アクセス装置230とアクセスポイント215は，ケーブル・・・のような通信チャネルによって接続されている」との記載から，引用文献１には，
“保護ネットワーク200へのアクセスは，アクセスポイント215(通信装置)及び任意のルータ220を介して可能であり，
　このアクセスは，ゲートキーパ225の制御下にあり，
　ゲートキーパ225は，制限のより少ないサブセット210へのアクセスを要求する1つ又は複数のアクセス装置230に対してセキュリティポリシーを実施するように構成されており，
　アクセス装置230とアクセスポイント215は，ケーブルのような通信チャネルによって接続されて”いることが記載されていると認められる。
ウ　上記（１）アの「保護ネットワーク200は，企業内ネットワーク，電話ネットワーク，私設ネットワーク，ローカルエリアネットワーク，ワイドエリアネットワーク，無線ネットワーク，通信ネットワーク，政府ネットワーク，大学ネットワークなどを含む」，「制限されたサブセット205は，少なくともゲートキーパ225を含む保護ネットワーク200のサブセットである」，「制限されたサブセット205は，・・・ゲートキーパ225として機能するように構成されたサーバを含む」との記載から，引用文献１には，
“保護ネットワーク200は，企業内ネットワーク，電話ネットワーク，私設ネットワーク，ローカルエリアネットワーク，ワイドエリアネットワーク，無線ネットワーク，通信ネットワーク，政府ネットワーク，大学ネットワークなどを含むものであり，
　制限されたサブセット205は，少なくともゲートキーパ225を含む保護ネットワーク200のサブセットであり，
　制限されたサブセット205は，ゲートキーパ225として機能するように構成されたサーバを含”むことが記載されていると認められる。
エ　上記（１）ウの「アクセス装置230は，パーソナルコンピュータ，パーソナルデジタルアシスタント，電話，無線通信装置，ルータのような通信デバイス，イーサネットカード，無線カード，他のアクセスポイント，ネットワーク装置等である」との記載から，引用文献１には，
“アクセス装置230は，ルータのような通信デバイスであ”ることが記載されていると認められる。
オ　上記（１）オの「アップデートポートログステップ410と制限ポートステップ420は，制限のより少ないサブセット210へのアクセス要求を受け付けるためのアクセス・ポイント215の開放(未使用の)通信ポートを準備するために使用される」，「この要求は，アクセス要求受信ステップ430において，アクセス装置230から受信される」，「これに応答して，ゲートキーパ225は，ユーザ認証ステップ440でユーザを認証し，監査データ取得ステップ450で監査データを取得し，セキュリティポリシー適用ステップ460でセキュリティポリシーを適用する。セキュリティポリシーが満たされている場合，ポート再構成ステップ470でゲートキーパ225はアクセスデバイス230が接続されるアクセスポイント215の通信ポートを再構成する」，「再構成された通信ポートは，通信ステップ480において，アクセス装置230と制限のより少ないネットワーク205（当審注：「205」は「210」の誤記である。）の1つ以上の要素との間の通信を通過させるために使用される」との記載から，引用文献１には，
“アップデートポートログステップ410と制限ポートステップ420は，制限のより少ないサブセット210へのアクセス要求を受け付けるためのアクセス・ポイント215の開放(未使用の)通信ポートを準備するために使用され，
　この要求は，アクセス要求受信ステップ430において，アクセス装置230から受信され，
　これに応答して，ゲートキーパ225は，ユーザ認証ステップ440でユーザを認証し，監査データ取得ステップ450で監査データを取得し，セキュリティポリシー適用ステップ460でセキュリティポリシーを適用し，
　セキュリティポリシーが満たされている場合，ポート再構成ステップ470でゲートキーパ225はアクセスデバイス230が接続されるアクセスポイント215の通信ポートを再構成し，
　再構成された通信ポートは，通信ステップ480において，アクセス装置230と制限のより少ないネットワーク210の1つ以上の要素との間の通信を通過させるために使用され”ることが記載されていると認められる。
カ　上記（１）オの「ユーザ認証ステップ440で，ポリシー監査部325は，アクセス装置230のアイデンティティの認証，および/またはアクセス装置230のユーザの認証を行う」，「この・・・認証は，ユーザ名及びパスワードの受信・・・を含むことができる。」との記載，及び上記（１）エの「ゲートキーパ225に含まれるポリシー監査部325」との記載から，引用文献１には，
“ユーザ認証ステップ440で，ゲートキーパ225に含まれるポリシー監査部325は，アクセス装置230のアイデンティティの認証，および/またはアクセス装置230のユーザの認証を行い，この認証は，ユーザ名及びパスワードの受信を含むことができ”ることが記載されていると認められる。
キ　上記（１）カの「通信ステップ480で，通信は，ポート再構成ステップ470で再構成された通信ポートを介して，アクセス装置230と制限のより少ないサブセット210のとの間で生じる」，「一般的なネットワークトラフィックは，ゲートキーパ225を通過する必要がなく」との記載から，引用文献１には，
“通信ステップ480で，通信は，ポート再構成ステップ470で再構成された通信ポートを介して，アクセス装置230と制限のより少ないサブセット210との間で生じ，
　一般的なネットワークトラフィックは，ゲートキーパ225を通過する必要がない”ことが記載されていると認められる。
ク　まとめ
　上記ア〜キの検討から，引用文献１には，次の発明（以下，「引用発明」という。）が記載されていると認められる。
　なお，引用発明の各構成を，それぞれに付した符号（ａ）〜（ａ−８），及び（ｂ）〜（ｂ−８）により，以下，構成ａ〜構成ａ−８，及び構成ｂ〜構成ｂ−８と称する。
（引用発明）
（ａ）物理的にまたは論理的に，制限されたサブセット205と制限のより少ないサブセット210に分割されている保護ネットワーク200における制限のより少ないサブセット210へのアクセスを許可する方法であって，
（ｂ）（ｂ−１）保護ネットワーク200へのアクセスは，アクセスポイント215(通信装置)及び任意のルータ220を介して可能であり，
（ｂ−２）このアクセスは，ゲートキーパ225の制御下にあり，
（ｂ−３）ゲートキーパ225は，制限のより少ないサブセット210へのアクセスを要求する1つ又は複数のアクセス装置230に対してセキュリティポリシーを実施するように構成されており， 
（ｂ−４）アクセス装置230とアクセスポイント215は，ケーブルのような通信チャネルによって接続されており，
（ｂ−５）保護ネットワーク200は，企業内ネットワーク，電話ネットワーク，私設ネットワーク，ローカルエリアネットワーク，ワイドエリアネットワーク，無線ネットワーク，通信ネットワーク，政府ネットワーク，大学ネットワークなどを含むものであり，
（ｂ−６）制限されたサブセット205は，少なくともゲートキーパ225を含む保護ネットワーク200のサブセットであり，
（ｂ−７）制限されたサブセット205は，ゲートキーパ225として機能するように構成されたサーバを含み，
（ｂ−８）アクセス装置230は，ルータのような通信デバイスであり，
（ａ−１）アップデートポートログステップ410と制限ポートステップ420は，制限のより少ないサブセット210へのアクセス要求を受け付けるためのアクセス・ポイント215の開放(未使用の)通信ポートを準備するために使用され，
（ａ−２）この要求は，アクセス要求受信ステップ430において，アクセス装置230から受信され，
（ａ−３）これに応答して，ゲートキーパ225は，ユーザ認証ステップ440でユーザを認証し，監査データ取得ステップ450で監査データを取得し，セキュリティポリシー適用ステップ460でセキュリティポリシーを適用し，
（ａ−４）セキュリティポリシーが満たされている場合，ポート再構成ステップ470でゲートキーパ225はアクセスデバイス230が接続されるアクセスポイント215の通信ポートを再構成し，
（ａ−５）再構成された通信ポートは，通信ステップ480において，アクセス装置230と制限のより少ないネットワーク210の1つ以上の要素との間の通信を通過させるために使用され，
（ａ−６）ユーザ認証ステップ440で，ゲートキーパ225に含まれるポリシー監査部325は，アクセス装置230のアイデンティティの認証，および/またはアクセス装置230のユーザの認証を行い，この認証は，ユーザ名及びパスワードの受信を含むことができ，
（ａ−７）通信ステップ480で，通信は，ポート再構成ステップ470で再構成された通信ポートを介して，アクセス装置230と制限のより少ないサブセット210との間で生じ，
（ａ−８）一般的なネットワークトラフィックは，ゲートキーパ225を通過する必要がない，
方法。
（３）引用文献２の記載事項
ア　同じく原査定に引用され，本願の優先日前に頒布された又は電気通信回線を通じて公衆に利用可能となった特開２００２−１０８８１８号公報（２００２年４月１２日公開。以下「引用文献２」という。）には，次の記載がある。
「【０００１】
【発明の属する技術分野】本発明は，データセンター，セキュリティポリシー作成方法及びセキュリティシステムに係り，特に，ユーザのデータ等を集中的に管理するデータセンター，セキュリティポリシー作成方法及びセキュリティシステムに関する。」
「【００３１】図１に本発明のシステム構成図の例を示す。図１のシステムは，ユーザシステム２０１〜２０Ｎ，データセンター１００から構成されている。
ユーザシステム２０１〜２０Ｎは，
専用線１３１〜１２Ｎを介して，データセンター１００と接続されている
「【００３３】
データセンター１００は，ユーザのインターネットサーバ１１１〜１１Ｎ，ファイアウォール１０１１〜１０１２，ルータ１０２１〜１０２２，認証サーバ１０３，
セキュリティポリシー作成支援装置１０６
から構成され
イ　上記記載から，引用文献２には，次の技術が記載されていると認められる。
「ユーザのインターネットサーバ１１１〜１１Ｎ，ファイアウォール１０１１〜１０１２，ルータ１０２１〜１０２２，認証サーバ１０３，セキュリティポリシー作成支援装置１０６等から構成されるデータセンターに，ユーザシステム２０１〜２０Ｎを，専用線１３１〜１２Ｎを介して接続する技術。」
（４）引用文献３の記載事項
ア　同じく原査定に引用され，本願の優先日前に頒布された又は電気通信回線を通じて公衆に利用可能となった国際公開第２０１３／０８１９６２号（２０１３年６月６日公開。以下「引用文献３」という。）には，次の記載がある。
「[0030] Figure 1 illustrates an example system environment, according to at least some embodiments. The system 100 may include a provider network 105 with 
one or more data centers 110 maintained to provide services to clients, such as cloud computing services or cloud storage services
（当審訳：[0030]　図１は，少なくともいくつかの実施形態による，例示的なシステム環境を図示する。システム１００は，
クラウドコンピューティングサービスまたはクラウドストレージサービス等のサービスをクライアントに提供するように維持される１つ以上のデータセンター１１０
「[0033] The connectivity service provided by connectivity coordinator 114 may include a number of techniques implemented 
to help clients of the provider network establish and manage dedicated network paths from the client networks 162 to the resource collections 120
 a cross-network connection 191 including a physical link or cable between client-side router 142B and endpoint router 132B
established
（当審訳：[0033]　接続性コーディネータ１１４によって提供される接続性サービスは，種々の実施形態において，
プロバイダネットワークのクライアントが，クライアントネットワーク１６２からリソースコレクション１２０への専用のネットワーク経路を確立し，管理するのを補助するために
クライアント側ルータ１４２Ｂとエンドポイントルータ１３２Ｂとの間の物理リンクまたはケーブルを含む，クロスネットワーク接続１９１が
確立され
イ　上記記載から，引用文献３には，次の技術が記載されていると認められる。
「クラウドコンピューティングサービスまたはクラウドストレージサービス等のサービスをクライアントに提供するように維持される１つ以上のデータセンター１１０。」
「プロバイダネットワークのクライアントが，クライアントネットワーク１６２からリソースコレクション１２０への専用のネットワーク経路を確立し，管理するのを補助するためにクライアント側ルータ１４２Ｂとエンドポイントルータ１３２Ｂとの間の物理リンクまたはケーブルを含む，クロスネットワーク接続１９１を確立する技術。」
（５）引用文献４の記載事項
　同じく原査定に引用され，本願の優先日前に頒布された又は電気通信回線を通じて公衆に利用可能となった米国特許出願公開第２００７／０２３４０５４号明細書（２００７年１０月４日公開。以下「引用文献４」という。）には，次の記載がある。
　「[0021]　In some embodiments of the invention 
the access authentication request comprises an access signature generated with use of an access private key of the access entity, in which the network element is adapted to authenticate the access with use of the access signature
[0022]　In some embodiments of the invention 
the network element is adapted to determine a validity of the access signature with use of the access public key
（当審訳：[0021]　本発明のいくつかの実施形態では，
アクセス認証要求は，アクセスエンティティのアクセス秘密鍵を用いて生成されたアクセス署名を含み，その場合，ネットワーク要素は，アクセス署名を使用してアクセスを認証するように適合される
[0022]　本発明のいくつかの実施形態では，
ネットワーク要素は，アクセス者公開鍵の使用により，アクセス署名の正当性を判断するようになっており
（６）引用文献５の記載事項
　同じく原査定に引用され，本願の優先日前に頒布された又は電気通信回線を通じて公衆に利用可能となった特開２００５−３３３３５０号公報（２００５年１２月２日公開。以下「引用文献５」という。）には，次の記載がある。
「【００２２】
　ステップＳ４０１において，利用者Ｂの端末１０４が利用者Ａの家のネットワーク利用端末１０１へ，回線１０２を介した通信の要求を送信する。すると，ステップＳ４０２において，ネットワーク利用端末１０１が認証サーバへ認証開始を要求する情報を送信し，ステップＳ４０３において，認証サーバは乱数などを生成して，チャレンジとしてそれをネットワーク利用端末１０１へ送信する。ステップＳ４０４において，ネットワーク利用端末１０１は，端末１０４へチャレンジを送信する。
端末１０４は，利用者Ｂの秘密鍵によるチャレンジへの署名（これをｓＢとする。）を行ない，ステップＳ４０５にネットワーク利用端末１０１へ送信する
ｓＢを受信したネットワーク利用端末１０１は，利用者Ａの秘密鍵によるチャレンジへの署名（これをｓＡとする。）を行ない，ステップＳ４０６において，ｓＡとｓＢとを認証サーバ１０５へ送信する
認証サーバ１０５は
ディレクトリサーバに対して利用者Ａと利用者Ｂとの公開鍵を要求し，ステップＳ４０８において，利用者Ａと利用者Ｂとの返信を受ける
ｓＡとｓＢとの検証，すなわち，公開鍵でｓＡとｓＢを復号化し，ステップＳ４０３で送信したチャレンジが得られるかを検証する
（７）引用文献６の記載事項
　同じく原査定に引用され，本願の優先日前に頒布された又は電気通信回線を通じて公衆に利用可能となった特開２００４−３１８５８２号公報（２００４年１１月１１日公開。以下「引用文献６」という。）には，次の記載がある。
「【００２２】
通信端末２０は，例えば，パーソナルコンピュータ（以下，「ＰＣ」）２０−１，冷蔵庫２０−２，オーディオ２０−３や，ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔｓ：情報携帯端末），携帯電話，各種家電製品などであり，可搬でありうる。通信端末２０は，ＴＣＰ／ＩＰを実装し，１０ＢＡＳＥ−Ｔ／１００ＢＡＳＥ−Ｔや無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などによりハブやＬＡＮスイッチ，ルータなどのＳＷ３０と接続される。そして，エッジルータ４０から広告されたネットワーク（回線）を識別するための上位６４ビット（プレフィクス）と，自身の備えるＬＡＮカードなどに割り当てられたＭＡＣアドレスから生成した下位６４ビット（インタフェースＩＤ）とから１２８ビットのＩＰｖ６アドレス（以下，単に「ＩＰアドレス」と記載）を生成する機能を有する。また，
自身に装着したＨＷキー１０が備えるメモリ内のデジタル証明書及び秘密鍵を用いて，通信開始時及び通信中定期的に認証サーバ５１との間でＰＫＩ認証を行う機能を有する
（８）引用文献７の記載事項
　同じく原査定に引用され，本願の優先日前に頒布された又は電気通信回線を通じて公衆に利用可能となった特開２０１３−１３４５３０号公報（２０１３年７月８日公開。以下「引用文献７」という。）には，次の記載がある。
「【００５４】
　図２は，本実施形態に係る認証方法を示すシーケンス図である。
　ステップＳ１において，ユーザ端末１０は，認証要求を認証サーバ２０へ送信する。
【００５５】
　ステップＳ２において，認証サーバ２０は，ステップＳ１で認証要求を受信したことに応じて，チャレンジ用の乱数（Ｒ）を生成する。
【００５６】
　ステップＳ３において，認証サーバ２０は，ステップＳ２で生成された乱数（Ｒ）を，ユーザ端末１０へ送信する。
【００５７】
　ステップＳ４において，
ユーザ端末１０は，ステップＳ３で受信した乱数（Ｒ）と第１の認証コード（Ｗ１）とを用いて，一方向性ハッシュ関数演算によりレスポンス値（Ｒｅｓ）を生成する
【００５８】
　ステップＳ５において，
ユーザ端末１０は，ステップＳ４で生成されたレスポンス値（Ｒｅｓ）を，第２の認証コード（Ｗ２，Ｗ３，・・・）により暗号化し，暗号化レスポンス値（ＥＲ）を生成する
【００５９】
　ステップＳ６において，
ユーザ端末１０は，ステップＳ５で生成された暗号化レスポンス値（ＥＲ）と，ユーザ識別情報（ＩＤ）とを，認証サーバ２０へ送信する
【００６０】
　ステップＳ７において，
認証サーバ２０は，ステップＳ６で受信したユーザ識別情報（ＩＤ）に関連付けられている第１の認証コード（Ｗ１）及び第２の認証コード（Ｗ２，Ｗ３，・・・）を，ユーザ情報テーブル２２１から抽出する
【００６１】
　ステップＳ８において，
認証サーバ２０は，ステップＳ６で受信された暗号化レスポンス値（ＥＲ）を，ステップＳ７で抽出された第２の認証コード（Ｗ２，Ｗ３，・・・）を逆順に用いて復号し，第１の検証用レスポンス値（Ｃ）を生成する
【００６２】
　ステップＳ９において，
認証サーバ２０は，ステップＳ２で生成された乱数（Ｒ）と，ステップＳ７で抽出された第１の認証コード（Ｗ１）とを用いて，一方向性ハッシュ関数演算により第２の検証用レスポンス値（Ｒｅｓ’）を生成する
【００６３】
　ステップＳ１０において，
認証サーバ２０は，ステップＳ８で生成された第１の検証用レスポンス値（Ｃ）と，ステップＳ９で生成された第２の検証用レスポンス値（Ｒｅｓ’）とを比較する。そして，認証サーバ２０は，両者が同一であれば正規ユーザと判断してＡｃｋを出力し，相違すれば不正ユーザと判断してＮａｋを出力する
【００６４】
　ステップＳ１１において，認証サーバ２０は，ステップＳ１０で出力された認証結果（Ａｃｋ又はＮａｋ）を，ユーザ端末１０へ送信する。」
４　対比・判断
　本願発明と引用発明とを対比する。
（１）構成ａによれば，引用発明の「制限のより少ないサブセット210へのアクセスを許可する方法」は，「ゲートキーパ225」によって実行される方法であるところ，構成ｂ−７によれば，引用発明の「ゲートキーパ225」の機能は「サーバ」で実行される機能であるから，上記「方法」は，「コンピュータ」で実行される「方法」であるといえる。そうすると，引用発明の「ゲートキーパ225」によって実行される「方法」は，本願発明の「コンピュータ実装方法」に相当する。
（２）
（２−１）構成ｂ−５によれば，引用発明の「保護ネットワーク200」は，「企業内ネットワーク，電話ネットワーク，私設ネットワーク，ローカルエリアネットワーク，ワイドエリアネットワーク，無線ネットワーク，通信ネットワーク，政府ネットワーク，大学ネットワークなどを含むもの」であるところ，引用発明の「企業内ネットワーク」の“サービス”を提供する「企業」，「電話ネットワーク」の“サービス”を提供する「電話会社」，「政府ネットワーク」の“サービス”を提供する「政府」，「大学ネットワーク」の“サービス”を提供する「大学」は，「保護ネットワーク200」を通じてそれぞれの“サービス”を提供する“サービスプロバイダ”であるといえるから，引用発明の「保護ネットワーク200」を通じて“サービス”を提供する“サービスプロバイダ”と本願発明の「コンピューティングリソースサービスプロバイダ」とは，“サービスプロバイダ”である点で共通する。
　そうすると，引用発明の「保護ネットワーク200」と，本願発明の「コンピューティングリソースサービスプロバイダネットワーク」とは，“サービスプロバイダネットワーク”である点で共通する。
　また，構成ｂ−１によれば，引用発明の「アクセスポイント215(通信装置)及び任意のルータ220」は，“ネットワークデバイス”であるということができ，構成ｂ−１によれば，「保護ネットワーク200へのアクセスは，アクセスポイント215(通信装置)及び任意のルータ220を介して可能であ」ることから，引用発明における「アクセスポイント215(通信装置)及び任意のルータ220」は，「保護ネットワーク200」に“接続されている”といえる。
　してみれば，引用発明の「保護ネットワーク200」に“接続されている”「アクセスポイント215(通信装置)及び任意のルータ220」と，本願発明の「コンピューティングリソースサービスプロバイダネットワークに接続されているコンピューティングリソースサービスプロバイダのネットワークデバイス」とは，“サービスプロバイダネットワークに接続されているサービスプロバイダのネットワークデバイス”である点で共通する。
（２−２）構成ｂ−８によれば，引用発明の「アクセス装置230」は，「ルータのような通信デバイス」であるから，“ネットワークデバイス”であるといえ，「企業内ネットワーク，電話ネットワーク，私設ネットワーク，ローカルエリアネットワーク，ワイドエリアネットワーク，無線ネットワーク，通信ネットワーク，政府ネットワーク，大学ネットワークなど」の「保護ネットワーク200」を利用する“カスタマ”の“ネットワーク”に接続されるものであるから，本願発明の「カスタマネットワークデバイス」に相当する。
　また，当該“カスタマ”の“ネットワーク”は，「保護ネットワーク200」とは“別個”のネットワークであることは明らかである。
　そうすると，引用発明の「アクセス装置230」と，本願発明の「前記コンピューティングリソースサービスプロバイダネットワークとは別個のカスタマネットワークに接続されたカスタマネットワークデバイス」とは，“前記サービスプロバイダネットワークとは別個のカスタマネットワークに接続されたカスタマネットワークデバイス”の点で共通する。
（２−３）構成ｂ−４によれば，引用発明の「ケーブルのような通信チャネル」は，“物理ネットワーク”にほかならないから，引用発明の「アクセス装置230とアクセスポイント215」とを「接続」する「ケーブルのような通信チャネル」と，本願発明の「カスタマネットワークデバイスと，前記ネットワークデバイスとの間で確立された専用の物理ネットワーク接続」とは，“カスタマネットワークデバイスと，前記ネットワークデバイスとの間で確立された物理ネットワーク接続”である点で共通する。
（２−４）構成ｂ−１によれば，引用発明の「保護ネットワーク200へのアクセスは，アクセスポイント215(通信装置)及び任意のルータ220を介して可能であり」，また構成ａ−６によれば，引用発明の「ユーザ認証ステップ440で，ゲートキーパ225に含まれるポリシー監査部325」は，「アクセス装置230のユーザの認証を行い，この認証は，ユーザ名及びパスワードの受信を含むことができ」ることから，「ユーザ認証ステップ440」で，「ポリシー監査部325」は，「アクセス装置230」から「ユーザ名及びパスワード」を受信して，「アクセス装置230のユーザの認証を行」うものと認められる。
　ここで，「ポリシー監査部325」が受信する「ユーザ名及びパスワード」を「アクセスポイント215(通信装置)」が受信する際に，「アクセス装置230とアクセスポイント215」とを「接続する」「ケーブルのような通信チャネル」を“通じて”受信することは明らかである。
　また，構成ａ−６によれば，引用発明の「ユーザ名及びパスワード」は，ユーザの認証を行うための“認証情報”といえるものであるから，本願発明の「暗号認証情報」とは，共に“認証情報”である点で共通する。
　そうすると，引用発明の「アクセス装置230とアクセスポイント215」とを「接続する」「ケーブルのような通信チャネル」を“通じて” 「ユーザ名及びパスワード」を受信することと，本願発明の「カスタマネットワークデバイスと，前記ネットワークデバイスとの間で確立された専用の物理ネットワーク接続を通じて，暗号認証情報を受信すること」とは，“カスタマネットワークデバイスと，前記ネットワークデバイスとの間で確立された物理ネットワーク接続を通じて，認証情報を受信すること”である点で共通する。
（２−５）上記（２−１）〜（２−４）より，引用発明と本願発明とは，“サービスプロバイダネットワークに接続されているサービスプロバイダのネットワークデバイスで，前記サービスプロバイダネットワークとは別個のカスタマネットワークに接続されたカスタマネットワークデバイスと，前記ネットワークデバイスとの間で確立された物理ネットワーク接続を通じて，認証情報を受信すること”を含む点で共通する。
（３）上記ａ−３によれば，引用発明の「ゲートキーパ225」は，「ユーザ認証ステップ440でユーザを認証」するものであり，また，上記ａ−６によれば，引用発明の「ユーザ認証ステップ440」で，「ゲートキーパ225に含まれるポリシー監査部325」は，「アクセス装置230」から「ユーザ名及びパスワード」を「受信」することで，「アクセス装置230のユーザ」の「認証」を行うものであるから，引用発明の「ゲートキーパ225」は，本願発明の「認証情報を検証するために運用される認証サービス」に相当する。
　そして，前記「アクセス装置230」から「ユーザ名及びパスワード」を「受信」することで，「アクセス装置230のユーザ」の「認証」を行うことは，「受信」した「ユーザ名及びパスワード」が“本物であることを証明する認証を入手すること”であるといえる。
　そうすると，引用発明の，「ユーザ認証ステップ440」で，「ゲートキーパ225に含まれるポリシー監査部325」が，「アクセス装置230」から「ユーザ名及びパスワード」を「受信」することで，「アクセス装置230のユーザ」の「認証」を行うことと，本願発明の「認証情報を検証するために運用される認証サービスから，前記カスタマネットワークデバイスに関連するカスタマのキーに基づき，受信した前記暗号認証情報が本物であることを証明する認証を入手すること」とは，“認証情報を検証するために運用される認証サービスから，受信した前記認証情報が本物であることを証明する認証を入手すること”である点で共通する。
（４）
（４−１）引用発明における構成ａ−４の「セキュリティポリシーが満たされている場合」とは，構成ａ−３において，「ゲートキーパ225」が，「ユーザ認証ステップ440でユーザを認証し，監査データ取得ステップ450で監査データを取得し，セキュリティポリシー適用ステップ460でセキュリティポリシーを適用し」て，最終的に「セキュリティポリシーが満たされている場合」のことであり，この場合，「ユーザ認証ステップ440」で「ユーザ」が「認証」されていることから，引用発明の「ユーザ認証ステップ440」で「ユーザ」が「認証」されている場合と，本願発明の「前記認証サービスが前記暗号認証情報を無事に検証した」場合とは，“前記認証サービスが前記認証情報を無事に検証した”場合である点で共通する。
（４−２）構成ａ−４，構成ａ−５によれば，引用発明では，「セキュリティポリシーが満たされている場合」に，「ゲートキーパ225は，ポート再構成ステップ470でアクセスデバイス230が接続されるアクセスポイント215の通信ポートを再構成し」，「再構成された通信ポートは，通信ステップ480において，アクセス装置230と制限のより少ないネットワーク210の1つ以上の要素との間の通信を通過させるために使用され」るものである。
　また，構成ａ−７，ａ−８によれば，引用発明では，「通信ステップ480で，通信は，ポート再構成ステップ470で再構成された通信ポートを介して，アクセス装置230と制限のより少ないサブセット210との間で生じ」，「一般的なネットワークトラフィックは，ゲートキーパ225を通過する必要がない」ものである。
　ここで，引用発明の「一般的なネットワークトラフィック」は，「アクセス装置230と制限のより少ないサブセット210との間で生じ」る「通信」のトラフィックであるから，本願発明の「前記専用の物理ネットワーク接続を通じて前記カスタマネットワークデバイスから受信したネットワークトラフィック」とは，“前記物理ネットワーク接続を通じて前記カスタマネットワークデバイスから受信したネットワークトラフィック”である点で共通する。
（４−３）また，構成（ａ−７），（ａ−８）によれば，引用発明では，「通信ステップ480で，通信は，」「アクセス装置230と制限のより少ないサブセット210との間で生じ」，「一般的なネットワークトラフィックは，ゲートキーパ225を通過する必要がない」ものであるところ，「制限のより少ないサブセット210」は，「企業内ネットワーク，電話ネットワーク，私設ネットワーク，ローカルエリアネットワーク，ワイドエリアネットワーク，無線ネットワーク，通信ネットワーク，政府ネットワーク，大学ネットワークなどを含む」「保護ネットワーク200」を分割したサブセットのうち，“認証サービス”を提供する「ゲートキーパ225」が含まれる「制限されたサブセット205」とは“異なる”“企業内ネットワークサービス”や“電話ネットワークサービス”等を提供するものとみることができるから，引用発明の「制限のより少ないサブセット210」と本願発明の「前記認証サービスとは異なる前記コンピューティングリソースサービスプロバイダの１つ又は複数のサービス」とは，“前記認証サービスとは異なる前記サービスプロバイダの１つ又は複数のサービス”である点で共通する。
（４−４）上記（４−１）の検討を踏まえると，引用発明において，「ユーザ認証ステップ440」で「ユーザ」が「認証」されると，その“結果”として，「ゲートキーパ225」は，「ポート再構成ステップ470でアクセスデバイス230が接続されるアクセスポイント215の通信ポートを再構成し」，これによって，「ゲートキーパ225」は，「アクセスポイント215」（本願発明の「ネットワークデバイス」）に，「ネットワークトラフィック」を“前記認証サービスとは異なる前記サービスプロバイダの１つ又は複数のサービス”に“送らせ”ているとみることができる。
（４−５）上記（４−１）〜（４−４）より，引用発明と本願発明とは，“前記認証サービスが前記認証情報を無事に検証した結果として，前記ネットワークデバイスに，前記物理ネットワーク接続を通じて前記カスタマネットワークデバイスから受信したネットワークトラフィックを，前記認証サービスとは異なる前記サービスプロバイダの１つ又は複数のサービスに送らせること”を含む点で共通する。
　
（５）一致点・相違点
　したがって，本願発明と引用発明とは，次の一致点及び相違点を有する。
［一致点］
　コンピュータ実装方法であって，
　サービスプロバイダネットワークに接続されているサービスプロバイダのネットワークデバイスで，前記サービスプロバイダネットワークとは別個のカスタマネットワークに接続されたカスタマネットワークデバイスと，前記ネットワークデバイスとの間で確立された物理ネットワーク接続を通じて，認証情報を受信することと，
　認証情報を検証するために運用される認証サービスから，受信した前記認証情報が本物であることを証明する認証を入手することと，
　前記認証サービスが前記認証情報を無事に検証した結果として，前記ネットワークデバイスに，前記物理ネットワーク接続を通じて前記カスタマネットワークデバイスから受信したネットワークトラフィックを，前記認証サービスとは異なる前記サービスプロバイダの１つ又は複数のサービスに送らせることと，
を含む，コンピュータ実装方法。
［相違点１］
　本願発明では，サービスを提供する「サービスプロバイダ」が，「コンピューティングリソースサービスプロバイダ」であり，また，「サービスプロバイダ」のネットワークが，「コンピューティングリソースサービスプロバイダネットワーク」であるのに対して，引用発明では，「サービスプロバイダ」が，「コンピューティングリソースサービスプロバイダ」ではなく，また，「サービスプロバイダ」のネットワークが，「コンピューティングリソースサービスプロバイダネットワーク」ではない点。
［相違点２］
　サービスプロバイダのネットワークデバイスとカスタマネットワークデバイスとを接続する「物理ネットワーク接続」が，本願発明では，「専用の物理ネットワーク接続」であるのに対して，引用発明の物理ネットワーク接続は，「専用の」ものであるとは特定されていない点。
［相違点３］
　ユーザを認証するための「認証情報」が，本願発明では，「暗号認証情報」であり，受信した「前記暗号認証情報」が本物であることを証明する際に，「前記カスタマネットワークデバイスに関連するカスタマのキーに基づ」いて証明するのに対して，引用発明の「認証情報」は，「ユーザ名及びパスワード」である点。
（６）当審の判断
ア　相違点１について
　引用文献２（上記３（３）の記載を参照）に「ユーザのインターネットサーバ１１１〜１１Ｎ，ファイアウォール１０１１〜１０１２，ルータ１０２１〜１０２２，認証サーバ１０３，セキュリティポリシー作成支援装置１０６等から構成されるデータセンター」が記載され，また，引用文献３（上記３（４）の記載を参照）に「クラウドコンピューティングサービスまたはクラウドストレージサービス等のサービスをクライアントに提供するように維持される１つ以上のデータセンター１１０」が記載されているように，ユーザに「コンピューティングリソース」を提供するデータセンター（コンピューティングリソースサービスプロバイダ）は，本願優先日前に当該技術分野における周知技術であったものと認められる。
　そして，引用発明の「保護ネットワーク200」と引用文献２，３に記載される「データセンター」のネットワークとは，いずれも，不正なアクセスを防止する必要があるネットワークであるという点で共通しており，また，本願発明の構成が，「コンピューティングリソースサービスプロバイダネットワーク」に特有の構成であるとも認められない。
　してみれば，引用発明に上記周知技術を適用して，引用発明の「保護ネットワーク200」を「データセンター」のネットワーク（コンピューティングリソースサービスプロバイダネットワーク）とし，また，「保護ネットワーク200」のサービスプロバイダを「コンピューティングリソースサービスプロバイダ」とすることは，当業者が容易に想到し得たことである。
イ　相違点２について
　引用文献２（上記３（３）の記載を参照）には，「データセンターに，ユーザシステム２０１〜２０Ｎを，専用線１３１〜１２Ｎを介して接続する技術」が記載され，引用文献３（上記３（４）の記載を参照）には，「プロバイダネットワークのクライアントが，クライアントネットワーク１６２からリソースコレクション１２０への専用のネットワーク経路を確立し，管理するのを補助するためにクライアント側ルータ１４２Ｂとエンドポイントルータ１３２Ｂとの間の物理リンクまたはケーブルを含む，クロスネットワーク接続１９１を確立する技術」が記載されているように，データセンターとクライアントとの接続を「専用線」とすることは，本願優先日前に当該技術分野における周知技術であったものと認められる。
　そして，引用発明の「保護ネットワーク200」と引用文献２，３に記載される「データセンター」のネットワークとは，いずれも，不正なアクセスを防止する必要があるネットワークであるという点で共通していることから，引用発明のアクセス装置230とアクセスポイント215とを接続する「ケーブルのような通信チャネル」を「専用」の「ネットワーク」とすることで，上記相違点２に係る構成とすることは，当業者が容易に想到し得たことである。
ウ　相違点３について
　ユーザの秘密鍵を用いて生成した署名（本願発明の「暗号認証情報」に相当）を当該ユーザの公開鍵（本願発明の「前記カスタマネットワークデバイスに関連するカスタマのキー」に相当）を用いて検証する署名認証技術は，例えば，引用文献４（上記３（５）の記載を参照），引用文献５（上記３（６）の記載を参照），引用文献６（上記３（７）の記載を参照），引用文献７（上記３（８）の記載を参照）に記載されているように，本願優先日前に当該技術分野における周知技術であったものと認められる。
　そして，ユーザを認証するために，ユーザ名とパスワードを用いるか，ユーザのキーによる署名認証技術を用いるかは，当業者が必要に応じて適宜選択しうる設計的事項である。
　してみれば，引用発明において，ユーザ名とパスワードによる認証に代えて，上記周知の署名認証技術を採用し，ユーザを認証するための「認証情報」を「暗号認証情報」とし，受信した「前記暗号認証情報」を「前記カスタマネットワークデバイスに関連するカスタマのキー」に基づいて証明するように構成することは，当業者が容易に想到し得たことである。
エ　そして，これらの相違点を総合的に勘案しても，本願発明の奏する作用効果は，引用発明及び引用文献２〜７に記載された技術の奏する作用効果から予測される範囲内のものにすぎず，格別顕著なものということはできない。
第４　むすび
　以上のとおり，本願発明は，引用文献１に記載された発明及び引用文献２〜７に記載された技術に基づいて，当業者が容易に発明をすることができたものであるから，特許法第２９条２項の規定により特許を受けることができない。
　したがって，他の請求項に係る発明について検討するまでもなく，本願は拒絶されるべきものである。
　よって，結論のとおり審決する。