【事件の表示】
　特願２０１７−１５３３５４「ファイアウォール装置の制御装置及びプログラム」拒絶査定不服審判事件〔平成２９年１１月１６日出願公開、特開２０１７−２０４８９０、請求項の数（９）〕について、次のとおり審決する。
【結　論】
　原査定を取り消す。
　本願の発明は、特許すべきものとする。
【理　由】
第１　手続の経緯
　本願は、平成２６年２月１７日に出願した特願２０１４−２７４６５号の一部を平成２９年８月８日に新たな特許出願としたものであって、その手続の経緯は以下のとおりである。
　平成３０年　７月１８日付け：拒絶理由通知書
　平成３０年　９月　４日　　：意見書の提出
　平成３１年　２月２８日付け：拒絶査定（以下、「原査定」という。）
　令和　元年　５月１７日　　：審判請求書の提出
　令和　２年　８月３１日付け：拒絶理由（以下、「当審拒絶理由」という
　　　　　　　　　　　　　　　。）通知書
　令和　２年１０月３０日　　：意見書、手続補正書の提出
第２　原査定の概要
　原査定（平成３１年　２月２８日付け拒絶査定）の概要は、次のとおりである。
　本願請求項１ないし９に係る発明は、以下の引用文献ＡないしＣに基づいて、その発明の属する技術の分野における通常の知識を有する者（以下、「当業者」という。）が容易に発明できたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
　　引用文献等一覧
Ａ.特開２００８−１６０８０３号公報
Ｂ.特開２００６−１１５０５９号公報
Ｃ.特開２００９−　７７０３０号公報
第３　当審拒絶理由の概要
　令和　２年　８月３１日付けの当審が通知した拒絶理由の理由は、概略、次のとおりのものである。
１．（進歩性）本願請求項１ないし９に係る発明は、以下の引用文献１ないし７に基づいて、当業者が容易に発明できたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
２．（明確性）本願は、特許請求の範囲の請求項１ないし９の記載が、特許法第３６条第６項第２号に規定する要件を満たしていない。
３．（サポート要件）本願は、特許請求の範囲の請求項１ないし９の記載が、特許法第３６条第６項第１号に規定する要件を満たしていない。
４．（委任省令要件）本願は、発明の詳細な説明の記載について、特許法第３６条第４項第１号に規定する要件を満たしていない。
　　引用文献等一覧
１.特開平１１−１６８５１１号公報
２.特開２００８−１６０８０３号公報（原査定の引用文献Ａ）
３.特開２０１０−　２６５４７号公報
４.特表２０１２−５１７１６１号公報
５.特開２００９−　７７０３０号公報（原査定の引用文献Ｃ）
６.特開２０１１−　６０２４９号公報
７.特開２０００−１７４８０８号公報
第４　本願発明
　本願請求項１ないし９に係る発明は、令和２年１０月３０日に提出された手続補正書の特許請求の範囲の請求項１ないし９に記載された事項により特定されるものであると認められるところ、請求項１ないし９に係る発明（以下、それぞれ「本願発明１」ないし「本願発明９」という。）は、以下のとおりの発明である（補正箇所に下線を付した）。
「　　【請求項１】　複数のネットワークの各ネットワークのアドレスと、前記各ネットワークのそれぞれに関連付けられた
、各ネットワークの管理者
　アカウント情報を使用してアクセスした
管理者
の許可又は不許可を示す
管理者
管理者
　前記制御装置は、
前記複数のネットワークのトポロジ情報を管理する装置から前記トポロジ情報を取得し、前記取得したトポロジ情報と、
管理者
前記通信元の端末及び前記通信先の端末それぞれの最寄りの２つのファイアフォール装置、或いは、前記通信元の端末及び前記通信先の端末による通信が経由する
　　【請求項２】　アカウント情報を使用してアクセスした
管理者
管理者
　　【請求項３】　前記生成手段は、前記一人以上の
管理者
　　【請求項４】　前記一人以上の
管理者
を特
　　【請求項５】　前記所定の集約基準は、通信プロトコルが同一で、かつ、送信元の端末が同一であるルールを１つのルールに集約することと、通信プロトコルが同一で、かつ、送信先の端末が同一であるルールを１つのルールに集約することと、送信元の端末が同一で、かつ、送信先の端末が同一であるルールを１つのルールに集約することの少なくとも１つを含むことを特徴とする請求項４に記載の制御装置。
　　【請求項６】　前記複数のネットワークのトポロジ情報を管理する装置から前記トポロジ情報を取得し、前記取得したトポロジ情報に基づき前記一人以上の
管理者
る請
　　【請求項７】　複数のネットワークの各ネットワークのアドレスと、前記各ネットワークのそれぞれに関連付けられた
、各ネットワークの管理者
　アカウント情報を使用してアクセスした
管理者
許可又は不許可を示す
管理者
　一人以上の
管理者
　前記複数のネットワークのトポロジ情報を管理する装置から前記トポロジ情報を取得し、前記取得したトポロジ情報に基づき前記一人以上の
管理者
　　【請求項８】　ファイアウォール装置に設定したルールに適合したパケットの数を示す情報を当該ファイアウォール装置から取得し、前記取得したパケットの数を示す情報に基づきルールの適用順序を決定する決定手段をさらに備えていることを特徴とする請求項１から７のいずれか１項に記載の制御装置。
　　【請求項９】　請求項１から８のいずれか１項に記載の制御装置としてコンピュータを機能させることを特徴とするプログラム。」
第５　引用文献、引用発明等
　１．引用発明１、引用文献１−４
（１）引用文献１記載事項
ア　段落【００１３】−段落【００２４】
「【００１３】
【発明の実施の形態】ファイアウォールにおいて、例えば、別個のローカルエリアネットワーク（ＬＡＮ）間あるいはＬＡＮのサブネット間でのデータの流れを制御する好ましい技術が実現される。以下で、本発明の実施例は、プロセスに関して説明する。このようなプロセスの効率的なプロトタイプは、汎用ＰＣハードウェア上に実装するためにプログラミング言語Ｃを用いて、コンピュータシステムソフトウェアとして実現されている。専用のファームウェアあるいはハードウェアのコンピュータシステム実装により、さらに効率を向上させることも可能である。
【００１４】１．複数のセキュリティドメインのサポート
複数のセキュリティドメインをサポートする能力により、単一のファイアウォールが、それぞれ別々のセキュリティポリシーを有する複数のユーザをサポートすることが可能
【００１５】図１に、
インターネット１０５への接続にファイアウォールを有する４つのユーザサイト１０１〜１０４
ファイアウォール設備は、ここではＬＡＮ１１０の形態であり、ファイアウォールプロセッサ１１１、１１３および１１４、アドミニストレータプロセッサ１１５、ルータ１１６ならびにウェブサーバ１１７を有
ファイアウォールプロセッサ１１３および１１４はそれぞれ単一のサイト
専用であ
ファイアウォールプロセッサ１１１は、２つのサイト１０１および１０２にサービスするように設定され
ファイアウォールプロセッサ１１１は、２つのサイトそれぞれとインターネット１０５との間、および、２つのサイト間の通信に、別々のファイアウォールポリシーを実装
【００１６】図２に、ファイアウォールプロセッサ２１１を通じてインターネット１０５に接続されたユーザサイト２０１を示す。アドミニストレータプロセッサ２１５およびルータ２１６は、ファイアウォールプロセッサ２１１に接続される。ルータ２１６は、ユーザサイト２０１の内部にある別のファイアウォールプロセッサ２１２および２１３に接続される。ファイアウォールプロセッサ２１２は、単一のサブサイト２２３（例として人事（ＨＲ））を保護する。ファイアウォール２１３は、２つのサブサイト（例として、給与（Ｐ）および支払（Ｄ））を、サイト２０１の残りの部分に対して、および、サブサイト２２１と２２２の間の通信に関して、保護するように設定される。これは、ファイアウォールプロセッサ２１３において、図５および図６で例示されるプロセスを用いることによって達成される。
【００１７】
セキュリティポリシーは、アクセスルールのセットによって表現され
アクセスルールのセットは、表（テーブル）形式で表され、ファイアウォールアドミニストレータによってファイアウォールにロードされ
このようなテーブルは、ルール番号、ソースおよびデスティネーションのホストの名称、パケットで要求されることが可能な特殊サービスの名称、および、パケットに対してなされるアクションの指定を含むカテゴリに対して与えられ
が満たさなければならない条件を課して
【００１８】あるルールにおいて、ルールテーブルに与えられたカテゴリが無関係である場合、対応するテーブルエントリは「ワイルドカード」とマークされる。これは、任意のカテゴリあるいはカテゴリの組合せに適用可能である。図３などでは、ワイルドカードエントリにアステリスク（＊）を用いている。「ＦＴＰ」はファイル転送プロトコル(file transfer protocol)を表す。
【００１９】
パケットに対するルール処理において、パケットによって満たされるルールが見つかるまで（または、ルールテーブルの最後まで。その場合、そのパケットは廃棄される。）、ルールは順に適用され
【００２０】カテゴリ名：ルール番号説明：ドメイン内のルールの番号。ルール番号は、一意的である必要はないが、一般に、単一のサービス（例えばＦＴＰ）を表すべきである。
【００２１】カテゴリ名：
ソースホスト
ソースホストグループの識別子またはＩＰアドレス
【００２２】カテゴリ名：
デスティネーションホスト
デスティネーションホストグループの識別子またはＩＰアドレス
【００２３】カテゴリ名：サービス説明：サービスのグループまたはプロトコル／デスティネーションポート／ソースポート。
【００２４】カテゴリ名：
アクション
ルールアクション、例えば、「通過」、「廃棄」または「プロキシ」
イ　段落【００６６】
「【００６６】各ネットワークインタフェースからドメインへの簡便なリンクのために、ドメインテーブルが用いられる。
インタフェースが複数のドメインによって共有されている場合、アドレスレンジが含められ
ウ　段落【００８２】−段落【００８３】
「【００８２】４．動的ルール動的ルールは、例えばルール処理エンジンによって、アクセスルールとともに処理するために、必要が生ずるのに応じてアクセスルールとともに含められるルールである。
動的ルールは、例えば、特定のソースおよびデスティネーションのポート番号のような、固有の現在の情報を含むことが可能であ
動的ルールによれば、
与えられたルールセットを、ネットワークで起こるイベントに基づいて修正することが可能
【００８３】動的ルールの例としては、単一のセッションに対してのみ用いられる「ワンタイム」ルール、指定された期間に対してのみ用いられる時限ルール、および、ある条件が満たされたときにのみ用いられるしきい値ルールがある。他のタイプの動的ルールとしては、ホストグループを定義するルールがある。この動的ルールによれば、アクセスルールセットの他の事項を変更せずに、ホストを追加あるいは削除するようにホストグループを変更することができる。他の動的ルールとしては、ある特定のタイプの処理アプリケーションにおけるルールセットアップを容易にするために用いられるものがある。例えば、ＦＴＰプロキシアプリケーションは、動的ルールを用いて、データ要求に応じてＦＴＰデータチャネルの確立の権限を与えることが可能である。この例における動的ルールは、一般に、ＦＴＰ制御セッションを通じてデータ要求がなされるまではロードされず、また、１回の使用に限定され、制限された期間の間のみアクティブとされる。従って、ルールセットは、すべての要求とともに用いられる別個のデータチャネルルールを含む必要がない。その結果、ルール仕様およびルール処理が単純化されるとともに、セキュリティが改善される。」
エ　請求項１６
「【請求項１６】コンピュータネットワークにおけるファイアウォールを提供する方法において、該方法は、
アクセスルールを複数のドメインに分割
与えられたドメインのアドミニストレータのみが該ドメインのセキュリティポリシーのルールを修正する権限を有するように前記アクセスルールを管理する
（２）引用発明１
　上記（１）を参照すると、引用文献１には、次の発明（以下、「引用発明１」という。）が記載されていると認められる（なお、参考として、括弧内に、摘記箇所に対応する段落番号を示す。以下同様。）。
「　複数のセキュリティドメインをサポートする能力により、単一のファイアウォールが、それぞれ別々のセキュリティポリシーを有する複数のユーザをサポートすることが可能であり（段落【００１４】）、
　インターネット１０５への接続にファイアウォールを有する４つのユーザサイト１０１〜１０４があり、ファイアウォール設備は、ここではＬＡＮ１１０の形態であり、ファイアウォールプロセッサ１１１、１１３および１１４、アドミニストレータプロセッサ１１５、ルータ１１６ならびにウェブサーバ１１７を有し、ファイアウォールプロセッサ１１３および１１４はそれぞれ単一のサイト専用であり、ファイアウォールプロセッサ１１１は、２つのサイト１０１および１０２にサービスするように設定され、ファイアウォールプロセッサ１１１は、２つのサイトそれぞれとインターネット１０５との間、および、２つのサイト間の通信に、別々のファイアウォールポリシーを実装し（段落【００１５】）、
　セキュリティポリシーは、アクセスルールのセットによって表現され、アクセスルールのセットは、表（テーブル）形式で表され、ファイアウォールアドミニストレータによってファイアウォールにロードされ、このようなテーブルは、ルール番号、ソースおよびデスティネーションのホストの名称、パケットに対してなされるアクションの指定を含むカテゴリに対して与えられ（段落【００１７】）、
　パケットに対するルール処理において、パケットによって満たされるルールが見つかるまで（または、ルールテーブルの最後まで。その場合、そのパケットは廃棄される。）、ルールは順に適用され（段落【００１９】）、
　ソースホストのカテゴリは、ソースホストグループの識別子またはＩＰアドレスが満たさなければならない条件を課しており（段落【００２１】）、
　デスティネーションホストのカテゴリは、デスティネーションホストグループの識別子またはＩＰアドレスが満たさなければならない条件を課しており（段落【００２２】）、
　アクションは、ルールアクション、例えば、「通過」、「廃棄」または「プロキシ」であり（段落【００２４】）、
　インタフェースが複数のドメインによって共有されている場合、アドレスレンジが含められ（段落【００６６】）、
　動的ルールは、例えば、特定のソースおよびデスティネーションのポート番号のような、固有の現在の情報を含むことが可能であり、動的ルールによれば、ルールセットを、ネットワークで起こるイベントに基づいて修正することが可能であり（段落【００８２】）、
　アクセスルールを複数のドメインに分割し、与えられたドメインのアドミニストレータのみが該ドメインのセキュリティポリシーのルールを修正する権限を有するように前記アクセスルールを管理する（請求項１６）、
　ファイアウォールプロセッサ。」
（３）引用文献２
　引用文献２には、特に段落【０００４】、【００３８】を参照すると、ネットワークにおけるセキュリティを図るために、ネットワーク上のリソースへのアクセスを制御する際、管理者あるいはユーザ、あるいはその両方に対してフィルタリングポリシー（ルール）の編集・設定を許可することが記載されている。
（４）引用文献３
　引用文献３には、特に段落【００１３】−段落【００１４】、段落【００２１】−段落【００２３】、図１を参照すると、負荷に応じた複数のファイアウォールを設け、高負荷ファイアウォールにより設定されたポリシー（ルールといえる）を、その他のファイアウォールに配付して、ポリシーを記憶する（同一のルールを設定しているといえる）ことが記載されている。
（５）引用文献４
　引用文献４には、特に段落【００１８】−段落【００２３】，段落【００５５】−【００６３】、図１、６を参照すると、送信元と送信先にそれぞれファイアウォール（３０Ａ及び３０Ｂ。複数のファイアウォールといえる）を用意し、送信元及び送信先に基づいて、ファイアウォールの設定を行うことが記載されている。
２　引用発明２、引用文献６
（１）引用文献６記載事項
ア　段落【００４１】−【００４６】
「【００４１】　図１によれば、管理対象ネットワーク（イントラネット４）と、外部ネットワーク（インターネット５又は他企業のネットワーク６）との間に、ファイアウォール装置２及びルータ３が接続されている。ファイアウォール装置２は、管理対象ネットワークに対するポリシ情報に基づいたルール情報を保持する。尚、ファイアウォール装置２は、ファイアウォールとして独立した装置であってもよいし、アクセスコントロールリストに基づくパケット転送制御機能を有する汎用のルータであってもよい。また、ファイアウォール・ソフトウェアを搭載した汎用の計算機であってもよい。
【００４２】　図１のような大規模ネットワークの場合、
多数のファイアウォール装置２が配置され
ルール情報を一元管理するファイアウォール管理装置１を配置
ファイアウォール管理装置１は、各ファイアウォール装置２に保持されるルール情報を設定管理
ファイアウォール管理装置１は、複数のイントラネット４を含む管理対象ネットワーク全体のポリシ情報を維持するように、各ファイアウォール装置２に対してルール情報を設定
・・・中略・・・
【００４６】　図２によれば、
オーダシートは、以下のオーダ要素を含
　　・
送信元アドレス(SrcIP) 「ホスト・グループ」
　　・
宛先アドレス(DstIP) 「ホスト・グループ」
　　・送信元ポート番号(SrcPort) 「サービス・グループ」
　　・宛先ポート番号(DstPort) 「サービス・グループ」
　　・プロトコル(Proto) 「サービス・グループ」
　　・
アクション(Action) 転送許可(allow)又は転送禁止(deny)
イ　段落【００４９】−段落【００６４】
「【００４９】　（Ｓ２１）ファイアウォール管理装置１は、最初に、ポリシ情報記憶部に対して、オーダシートO(k)のポリシ要素P(k)を、適切な評価順序に挿入する。ネットワーク管理者によって配置されるポリシ要素の評価順序によって、干渉関係が変化する。（Ｓ２２）ファイアウォール管理装置１は、ポリシ情報記憶部から、ポリシ要素P(k)と干渉関係(conflict)にあるポリシ要素P(i)を検出する。「干渉関係(conflict)」とは、オーダシートO(j)とポリシ要素P(i)とが、プロトコル、ＩＰアドレス及びポート番号が、互いに共通部分を持つ、即ち互いに素でない関係をいう。（Ｓ２３）ネットワーク管理者に対して、ディスプレイにポリシ情報を表示する。ここで、各ポリシ要素に、干渉関係にある他のポリシ要素のポリシＩＤ（識別子）と、その干渉関係タイプとを表示する。（Ｓ２４）次に、ポリシ情報Pに基づいて、ファイアウォール装置j毎に、ルール情報RL(j)が生成される。ルール情報RL(j)は、複数のルール要素を照合順に並べたものである。（Ｓ２５）生成されたルール情報RL(j)は、各ファイアウォール装置jへ送信される。
【００５０】　図３は、ポリシ要素間の干渉関係タイプを表す説明図である。
【００５１】　図３によれば、７つの干渉関係タイプが表されている。「干渉関係(conflict)」とは、２つのポリシ要素におけるＩＰアドレス、ポート番号及びプロトコルが、互いに共通部分を持つ、即ち互いに素(disjoint)でない関係をいう。具体的には、２つのポリシ要素が、以下の全ての条件を満たす関係にあることをいう。
　　・送信元アドレス(SrcIP)が、共通部分を持つ。
　　　宛先アドレス(DstIP)が、共通部分を持つ。
　　・送信元ポート番号(SrcPort)が、共通部分を持つ。
　　・宛先ポート番号(DstPort)が、共通部分を持つ。
　　・プロトコル(Proto)が、同一である。
【００５２】　図３（ａ）は、第１のタイプ(redundancy)を表す。これは、
下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲と完全に一致する
場合、下位ポリシ要素ｇは、不要ポリシ要素と判定され、オーダミスに基づく削除の対象とな
【００５３】　図３（ｂ）は、第２のタイプ(shadowing１)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと相違している。以下の２つの場合が想定される。
（１）上位ポリシ要素ｆ：allow
　　　下位ポリシ要素ｇ：deny
　　　※上位ポリシ要素ｆの範囲から見て、下位ポリシ要素ｇの範囲でdenyとなる。
（２）上位ポリシ要素ｆ：deny
　　　下位ポリシ要素ｇ：allow
　　　※下位ポリシ要素ｇの範囲から見て、上位ポリシ要素ｆの範囲でdenyとなる。
【００５４】　図３（ｃ）は、第３のタイプ(shadowing2)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと同一である。以下の２つの場合が想定される。
（１）上位ポリシ要素ｆ：allow
　　　下位ポリシ要素ｇ：allow
　　　※下位ポリシ要素ｇは、上位ポリシ要素ｆによって実現され、不要ポリシ要素と判定される。下位ポリシ要素ｇの実現ＩＤは、上位ポリシ要素ｆを指示する。
（２）上位ポリシ要素ｆ：deny
　　　下位ポリシ要素ｇ：deny
　　　※下位ポリシ要素ｇは、上位ポリシ要素ｆによって実現され、不要ポリシ要素と判定される。下位ポリシ要素ｇの実現ＩＤは、上位ポリシ要素ｆを指示する。
【００５５】　図３（ｄ）は、第４のタイプ(generalization１)を表す。これは、下位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと相違している。以下の２つの場合が想定される。
（１）上位ポリシ要素ｇ：deny
　　　下位ポリシ要素ｆ：allow
　　　※下位ポリシ要素ｆの範囲から見て、上位ポリシ要素ｇの範囲でdenyとなる。
（２）上位ポリシ要素ｇ：allow
　　　下位ポリシ要素ｆ：deny
　　　※下位ポリシ要素ｆの範囲でdenyとなり、上位ポリシ要素ｇは不要ポリシ要素と判定される。
【００５６】　図３（ｅ）は、第５のタイプ(generalization2)を表す。これは、下位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素ｆのアクションが、上位ポリシ要素ｇのアクションと同一である。以下の２つの場合が想定される。
（１）上位ポリシ要素ｇ：allow
　　　下位ポリシ要素ｆ：allow
　　　※上位ポリシ要素ｆは、下位ポリシ要素ｇによって実現され、不要ポリシ要素と判定される。上位ポリシ要素ｆの実現ＩＤは、下位ポリシ要素ｇを指示する。
（２）上位ポリシ要素ｇ：deny
　　　下位ポリシ要素ｆ：deny
　　　　※下位ポリシ要素ｆの範囲でdenyとなり、上位ポリシ要素ｇは不要ポリシ要素と判定される。上位ポリシ要素ｇの実現ＩＤは、下位ポリシ要素ｆを指示する。
【００５７】　例えば、[generalization2]の場合、下位ポリシ要素ｇでヒットすべきパケットが、上位ポリシ要素ｆにおけるヒットに見える恐れがある。下位ポリシ要素ｇのログカウントが０になっているからといって、ネットワーク管理者が、下位ポリシ要素ｇを削除することは、誤判断となる可能性がある。
【００５８】　図３（ｆ）は、第６のタイプ(correlation１)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと相違している。以下の２つの場合が想定される。
（１）上位ポリシ要素ｆ：allow
　　　下位ポリシ要素ｇ：deny
　　　※上位ポリシ要素ｆの範囲の一部が、下位ポリシ要素ｇの範囲でdenyとなる。
（２）上位ポリシ要素ｆ：deny
　　　下位ポリシ要素ｇ：allow
　　　※下位ポリシ要素ｇの範囲の一部が、上位ポリシ要素ｆの範囲でdenyとなる。
【００５９】　図３（ｇ）は、第７のタイプ(correlation2)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと同一である。
（１）上位ポリシ要素ｆ：allow
　　　下位ポリシ要素ｇ：allow
　　　※上位ポリシ要素ｆと下位ポリシ要素ｇとの範囲で、allowとなる。
（２）上位ポリシ要素ｆ：deny
　　　下位ポリシ要素ｇ：deny
　　　※上位ポリシ要素ｆと下位ポリシ要素ｇとの範囲で、denyとなる。
【００６０】　図４は、本発明における第１のポリシ情報の表示イメージである。
【００６１】　図４によれば、ポリシ情報の各ポリシ要素が、順列に並べて表示されている。ここで、ポリシ要素P(4)とポリシ要素P(5)について注目する。
　　P(4)：tcp, 1.2.3.0/24, 1.2.3.1/32, any, 80, http, allow
　　P(5)：tcp, 1.2.3.0/24, 1.2.3.0/24, any, 80, http, allow
　ポリシ要素P(4)の送信元アドレス1.2.3.0/24は、ポリシ要素P(5)の送信元アドレス1.2.3.0/24と共通する。また、ポリシ要素P(4)の宛先アドレス1.2.3.1/32は、ポリシ要素P(5)の宛先アドレス1.2.3.0/24に含まれる。更に、ポリシ要素P(4)及びP(5)のポート番号及びプロトコルは共通する。このように、上位のポリシ要素P(4)と下位のポリシ要素P(5)とは、「generalization2」の干渉関係にある。この干渉関係が、ポリシ情報のポリシ要素P(4)及びP(5)に表示される。
【００６２】　また、ポリシ要素毎に、「実現ポリシＩＤ」「ログカウント」「順序変更アイコン」が表示される。「実現ポリシＩＤ」は、当該ポリシ要素のアクションが、実際に実現されている他のポリシ要素のポリシＩＤである。図４によれば、上位のポリシ要素P(4)のアクションは、実際にそのポリシ要素P(4)によって実現される。また、下位のポリシ要素P(5)のアクションは、その一部がポリシ要素P(4)によって実現されるけれども、全体としては実際にそのポリシ要素P(5)によって実現される。
【００６３】　「ログカウント」は、ファイアウォール装置から受信したルール要素毎の「アクセスログ」を集計したものである。ログカウントによって、そのポリシ要素によって照合されたパケット数を知ることができる。
【００６４】　図４によれば、ポリシ要素P(5)のログカウントは、０となっている。しかしながら、ポリシ要素P(5)は、ポリシ要素P(4)と「generalization2」の干渉関係にあるために、ポリシ要素P(5)にヒットすべきアクセスログが、ポリシ要素P(4)のログカウントに加算されている可能性がある。この場合、ネットワーク管理者が、「ログカウントが０であるポリシ要素P(5)を、不要ポリシ要素として削除する」との判断は、誤っている可能性がある。」
ウ　段落【００７８】−段落【００９３】
「【００７８】　図８は、本発明におけるファイアウォール管理装置の機能構成図である。
【００７９】　図８によれば、ファイアウォール管理装置１は、ディスプレイ部１０１と、オペレータ操作部１０２と、オーダシート入力部１０３と、通信インタフェース部１０４とを有する。ファイアウォール管理装置１は、ファイアウォール装置２に対するルール情報を生成する際に、ネットワーク管理者によって閲覧可能なディスプレイ部１０１に、ポリシ情報を表示する。オペレータ操作部１０２は、ネットワーク管理者によって操作可能であって、ポリシ情報のポリシ要素の評価順序が変更される。オーダシート入力部１０３は、電子帳票としてのオーダシートを入力する。オーダシート入力部１０３は、光学スキャナによる読み取りであってもよいし、Ｗｅｂサーバを用いたフォームの入力であってもよいし、テキストファイルやＣＳＶ(Comma Separated Values)形式ファイルのアップロードであってもよい。通信インタフェース部１０４は、ファイアウォール装置２と、ネットワーク又はシリアルケーブルを介して通信する。
【００８０】　また、図８によれば、
ファイアウォール管理装置１は、ポリシ情報記憶部１１０と、干渉関係検出部１１１と、表示制御部１１２と、経路情報記憶部１１３と、ルール情報生成部１１４と、ルール情報記憶部１１５とを有
【００８１】　
ポリシ情報記憶部１１０は、ポリシＩＤと、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶
【００８２】　
干渉関係検出部１１１は、ポリシ情報記憶部１１０を用いて、送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある第１のポリシ要素及び第２のポリシ要素を検出
【００８３】　表示制御部１１２は、第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシＩＤとを表示する。また、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシＩＤとを表示する。表示制御部１１２は、ポリシ要素のポリシＩＤを、オーダシートのオーダＩＤに対応付ける。
【００８４】　また、表示制御部１１２は、ポリシ要素毎に、ネットワーク管理者によって評価順序を変更する操作インタフェースを表示する。ネットワーク管理者は、その操作インタフェースを認識しながら、オペレータ操作部１０２を操作する。オペレータ操作部１０２を介したネットワーク管理者の操作に基づいて、干渉関係検出部１１１が実行される。具体的には、当該ポリシ要素の評価順序が変更された際に、干渉関係検出部１１１が実行される。
【００８５】　更に、表示制御部１１２は、下位ポリシ要素が、上位ポリシ要素によって当該アクションが実際に実現されている場合、下位ポリシ要素に、上位ポリシ要素のポリシＩＤを表示する。具体的には、「実現ポリシＩＤ」として表示される。
【００８６】　更に、表示制御部１１２は、ポリシ要素毎に、当該ポリシ要素によって判定されたパケット数を、アクセスログのカウント数として表示する。ネットワーク管理者は、アクセスログのカウント数が所定閾値以下となるポリシ要素について、不要ルールとして検討することができる。また、このようなポリシ要素を強調的に表示することによって、ネットワーク管理者の視覚に訴えることができる。
【００８７】　尚、表示制御部１１２は、ルール要素毎に、当該ルール要素によって判定されたパケット数を、アクセスログのカウント数として表示することも好ましい。
【００８８】　
経路情報記憶部１１３は、ポリシ情報の対象となるパケットが通過すると想定される、複数のファイアウォール装置jの構成情報に基づいて計算された各ファイアウォール装置jの通過順番を表す経路情報Ｒ、
を記憶
【００８９】　
ルール情報生成部１１４は、ポリシ情報に基づいて、経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報のルール要素の照合順序を変更
ポリシ情報から、ファイアウォール装置毎のルール情報を生成
【００９０】　ルール情報記憶部１１５は、ファイアウォール装置j毎のルール情報RL(j)を記憶する。ルール情報記憶部１１５は、通信インタフェース部１０４を介して、各ファイアウォール装置jへルール情報RL(j)を送信する。又は、ファイアウォール管理装置における、ネットワーク管理者によって閲覧可能なディスプレイに、ルール情報RL(j)を表示させるものであってもよい。ネットワーク管理者は、ルール情報RL(j)を参照しながら、ファイアウォール装置の管理コンソールに直接的に手動で入力することもできる。
【００９１】　以上、詳細に説明したように、本発明のポリシ情報表示方法、管理装置及びプログラムによれば、ポリシ要素間の干渉関係を表示することによって、ネットワーク管理者が、不要ポリシ要素を誤って判断しないようにすることができる。
【００９２】　特に、本発明によれば、
オーダシートとポリシ要素とが対応付けられると共に、ネットワーク管理者は、ポリシ情報のみの整理によって、複数のファイアウォール装置に保持されるルール情報を整理することができる
【００９３】　前述した本発明の種々の実施形態について、本発明の技術思想及び見地の範囲の種々の変更、修正及び省略は、当業者によれば容易に行うことができる。前述の説明はあくまで例であって、何ら制約しようとするものではない。本発明は、特許請求の範囲及びその均等物として限定するものにのみ制約される。」
（２）引用発明２
　上記の（１）を参照すると、引用文献６には、次の発明（以下、「引用発明２」という。）が記載されていると認められる。
「　ルール情報を一元管理するファイアウォール管理装置１を配置し、
　ファイアウォール管理装置１は、各ファイアウォール装置２に保持されるルール情報を設定管理し、ファイアウォール管理装置１は、複数のイントラネット４を含む管理対象ネットワーク全体のポリシ情報を維持するように、各ファイアウォール装置２に対してルール情報を設定し（段落【００４２】）、
　オーダシートは、以下のオーダ要素を含み、送信元アドレス(SrcIP) 「ホスト・グループ」、宛先アドレス(DstIP) 「ホスト・グループ」、アクション(Action) 転送許可(allow)又は転送禁止(deny)（段落【００４６】）、
　下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲と完全に一致する場合、下位ポリシ要素ｇは、不要ポリシ要素と判定され、オーダミスに基づく削除の対象となり（段落【００５２】）、ファイアウォール管理装置１は、ポリシ情報記憶部１１０と、干渉関係検出部１１１と、表示制御部１１２と、経路情報記憶部１１３と、ルール情報生成部１１４と、ルール情報記憶部１１５とを有し、これら機能構成部は、プログラムを実行することによって実現され（段落【００８０】）、
　ポリシ情報記憶部１１０は、ポリシＩＤと、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶し（段落【００８１】）、干渉関係検出部１１１は、ポリシ情報記憶部１１０を用いて、送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある第１のポリシ要素及び第２のポリシ要素を検出し（段落【００８２】）、
　経路情報記憶部１１３は、ネットワーク管理者によって与えられた、各ファイアウォール装置jの通過順番を表す経路情報Ｒを記憶し（段落【００８８】）、ルール情報生成部１１４は、ポリシ情報に基づいて、経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報のルール要素の照合順序を変更し、ポリシ情報から、ファイアウォール装置毎のルール情報を生成し（段落【００８９】）、
　オーダシートとポリシ要素とが対応付けられると共に、ネットワーク管理者は、ポリシ情報のみの整理によって、複数のファイアウォール装置に保持されるルール情報を整理することができる（段落【００９２】）、
　ファイアウォール管理装置」
第６　対比・判断
１　本願発明１について
（１）対比
　本願請求項１に係る発明と引用発明１とを対比する。
ア　引用発明１は、「インターネット１０５への接続にファイアウォールを有する４つのユーザサイト１０１〜１０４があり、ファイアウォール設備は、ここではＬＡＮ１１０の形態であり、ファイアウォールプロセッサ１１１、１１３および１１４、アドミニストレータプロセッサ１１５、ルータ１１６ならびにウェブサーバ１１７を有し、ファイアウォールプロセッサ１１３および１１４はそれぞれ単一のサイト専用であり、ファイアウォールプロセッサ１１１は、２つのサイト１０１および１０２にサービスするように設定され、ファイアウォールプロセッサ１１１は、２つのサイトそれぞれとインターネット１０５との間、および、２つのサイト間の通信に、別々のファイアウォールポリシーを実装し」ており、ＬＡＮがローカルエリアネットワークであることは技術常識であるから、引用発明１の「ユーザサイト１０４−１０５」は、ＬＡＮ（ローカルエリアネットワーク）を分割した複数のネットワークといえる。
　また、引用発明１の「ソースおよびデスティネーションのホストの名称」に対応した「ソースホストグループのＩＰアドレス」「デスティネーションホストグループのＩＰアドレス」は、ネットワークのアドレスといえる。
　そして、引用発明１の「ファイアウォール」は、「アクセスルールのセット」をロードし、当該アクセスルールのセットは、「ソースホストグループのＩＰアドレス」「デスティネーションホストグループのＩＰアドレス」を含んでおり、ロードする際には何らかの記憶媒体から読み出されていることから、複数のネットワークの各ネットワークのアドレスを保持されているといえる。
　したがって、引用発明１の「ファイアウォール」と本願発明１の「複数のネットワークの各ネットワークのアドレスと、
前記各ネットワークのそれぞれに関連付けられた、各ネットワークの管理者のアカウント情報と、
イ　引用発明１の「与えられたドメインのアドミニストレータのみ」が「該ドメインのセキュリティポリシーのルールを修正」する権限を有していることから、引用発明の「アドミニストレータ」は、本願発明１の「各ネットワークの管理者」に相当する。
　また、引用発明１の「ファイアウォールプロセッサ」においては、「与えられたドメインのアドミニストレータのみが該ドメインのセキュリティポリシーのルールを修正する権限を有するように前記アクセスルールを管理」しており、「アクセスルール」は、「ソースホストグループのＩＰアドレス」、「デスティネーションホストグループのＩＰアドレス」を含み、「例えば、「通過」、「廃棄」または「プロキシ」であ」るから、アドミニストレータ（各ネットワークの管理者）が通信元又は通信先となって行う許可、不許可を示すアクセスルールを編集させる編集手段を備えているといえる。
　よって、引用発明１の「ファイアウォールプロセッサ」は、本願発明１の「
アカウント情報を使用してアクセスした
ウ　引用発明１の「ファイアウォールプロセッサ」において、「アクセスルールのセット」は、「ファイアウォールアドミニストレータによってファイアウォールにロードされ」ているから、編集したルールをファイアウォール装置に設定する設定手段を当然に備えているといえる。
　よって、引用発明１「ファイアウォールプロセッサ」は、本願発明１の「一人以上の管理者が編集したルールをファイアウォール装置に設定する設定手段と、を備えている制御装置」と「一人以上の管理者が編集したルールをファイアウォール装置に設定する設定手段と、を備えている制御装置」である点で共通している。
エ　引用発明１の「ファイアウォールプロセッサ」において設定される、「アクセスルールのセット」には、「ソースホストグループのＩＰアドレス」、「デスティネーションホストグループのＩＰアドレス」を含んでおり、「与えられたドメインのアドミニストレータのみが該ドメインのセキュリティポリシーのルールを修正する権限を有するように前記アクセスルールを管理」しているから、編集したルールの通信元及び通信先に基づき、ルールを生成する生成手段を備えていると認められる。
　よって、引用発明１の「ファイアウォールプロセッサ」は、本願発明１の「
前記複数のネットワークのトポロジ情報を管理する装置から前記トポロジ情報を取得し、前記取得したトポロジ情報と、
前記通信元の端末及び前記通信先の端末それぞれの最寄りの２つのファイアフォール装置、或いは、前記通信元の端末及び前記通信先の端末による通信が経由する複数のファイアウォール装置のそれぞれに設定する
（２）一致点・相違点
　したがって、本願発明１と引用発明１の一致点及び相違点は、次のとおりである。
［一致点］
「　複数のネットワークの各ネットワークのアドレスを保持する保持手段と、
　管理者に対して、該アカウント情報に関連付けられたネットワークの端末が通信元又は通信先となって行う通信の許可又は不許可を示すルールを該管理者に編集させる第１編集手段と、
　一人以上の管理者が編集したルールをファイアウォール装置に設定する設定手段と、を備えている制御装置であって、
　前記制御装置は、前記一人以上の管理者が編集したルールの通信元及び通信先に基づき、ルールを生成する手段をさらに備えている、
　制御装置。」
［相違点１］　本願発明１の保持手段は、「
前記各ネットワークのそれぞれに関連付けられた、各ネットワークの管理者のアカウント情報
［相違点２］　本願発明１の「管理者」は、「アカウント情報を使用してアクセスし」ているのに対して、引用発明１の「アドミニストレータ」は、そのような特定がされていない点。
［相違点３］　本願発明１は、「
前記複数のネットワークのトポロジ情報を管理する装置から前記トポロジ情報を取得し、前記取得したトポロジ情報と、
前記通信元の端末及び前記通信先の端末それぞれの最寄りの２つのファイアフォール装置、或いは、前記通信元の端末及び前記通信先の端末による通信が経由する複数のファイアウォール装置のそれぞれに設定する
（３）判断
　事案に鑑みて、相違点３について、先に検討する。
　引用文献１−７には、「
前記複数のネットワークのトポロジ情報を管理する装置から前記トポロジ情報を取得し、前記取得したトポロジ情報と、
前記通信元の端末及び前記通信先の端末それぞれの最寄りの２つのファイアフォール装置、或いは、前記通信元の端末及び前記通信先の端末による通信が経由する複数のファイアウォール装置のそれぞれに設定する
　したがって、他の相違点について判断するまでもなく、本願発明１は、当業者であっても引用発明１、引用文献２−７に記載された技術的事項に基づいて容易に発明できたものであるとはいえない。
２．　本願発明２−６について
　本願発明２−６は、いずれも、請求項１を引用しており、本願発明２−６も、相違点３に係る本願発明１の構成と同一の構成を備えるものであるから、本願発明１と同じ理由により、当業者であっても、引用文献１−７に基いて容易に発明できたものとはいえない。
３．本願発明７について
（１）対比
　本願請求項７に係る発明（以下、「本願発明７」という）と引用発明２とを対比する。
ア　引用発明２の「ファイアウォール管理装置」は、「複数のイントラネット４を含む管理対象ネットワーク全体のポリシ情報を維持するように、各ファイアウォール装置２に対してルール情報を設定」する構成であり、「ポリシ記憶部１１０」を有しており、「ポリシ記憶部１１０」は、送信元／宛先アドレス範囲を記憶しているから、引用発明２の「ファイアウォール管理装置」は、複数のネットワークの各ネットワークアドレスを保持しているといえる。
　よって、引用発明２の「ファイアウォール管理装置」の「ポリシ記憶部」は、本願発明７の「複数のネットワークの各ネットワークのアドレス
と、前記各ネットワークのそれぞれに関連付けられた、各ネットワークの管理者のアカウント情報と、
イ　引用発明２の「ファイアウォール管理装置」は、ポリシＩＤと、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報から、ファイアウォール装置毎のルール情報を生成しているから、ネットワークの端末が通信元又は通信先となって行うアクセスルールを編集させる第１編集手段を備えているといえる。
　また、引用発明２の「アクション」には、「転送許可(allow)又は転送禁止(deny)」が含まれており、当該「アクション」を含む「ポリシー情報」に基づいて「ルール」を生成しているから、引用発明２の「ルール」は、「通信の許可又は不許可を示すルール」といえる。
　よって、引用発明２の「ファイアウォール管理装置」は、本願発明７の「
アカウント情報を使用してアクセスした管理者に対して、該アカウント情報に関連付けられた
ウ　引用発明２の「ファイアウォール管理装置」は、「各ファイアウォール装置２に保持されるルール情報を設定管理し」ており、「ネットワーク管理者」は、「複数のファイアウォール装置に保持されるルール情報を整理」いるから、ネットワーク管理者が編集したルールをファイアウォール装置に設定する設定手段を備えているといえる。
　よって、引用発明２の「ファイアウォール管理装置」は、本願発明７の「一人以上の管理者が編集したルールをファイアウォール装置に設定する設定手段」と「一人以上の管理者が編集したルールをファイアウォール装置に設定する設定手段」を備えている点で一致している。
エ　引用発明２の「ファイアウォール管理装置」の「経路情報記憶部１１３」は、ネットワーク管理者から各ファイアウォール装置jの通過順番を表す経路情報Ｒを記憶しており、経路情報はトポロジ情報に相当するから、複数のネットワークのトポロジ情報を管理する者からトポロジ情報を取得しているといえる。
　また、引用発明２の「ファイアウォール装置」の「ルール情報生成部１１４」は、ポリシ情報に基づいて、経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報のルール要素の照合順序を変更し、ポリシ情報から、ファイアウォール装置毎のルール情報を生成しており、経路情報（トポロジ情報）に基づいて上位のファイアウォールからルールが生成されているといえる。
　よって、引用発明２の「ルール情報生成部」は、本願発明７の「前記複数のネットワークのトポロジ情報を管理する装置から前記トポロジ情報を取得し、前記取得したトポロジ情報に基づき前記一人以上の
管理者
オ　引用発明２の「ファイアウォール管理装置」は、「各ファイアウォール装置２に保持されるルール情報を設定管理し」ているから、本願発明の「制御装置」と「制御装置」である点で一致している。
（２）相違点・一致点
　したがって、本願発明１と引用発明２の一致点及び相違点は、次のとおりである。
［一致点］
「　複数のネットワークの各ネットワークのアドレスと、を保持する保持手段と、
　ネットワークの端末が通信元又は通信先となって行う通信のルールを編集させる第１編集手段と、
　編集したルールをファイアウォール装置に設定する設定手段と、
　前記複数のネットワークのトポロジ情報を管理するものから前記トポロジ情報を取得し、前記取得したトポロジ情報に基づき通信のルールを設定する設定手段、
を備えている制御装置。」
［相違点４］
　本願発明７の保持手段が、各ネットワークのアドレスのそれぞれに関連づけられた管理者のアカウント情報を保持し、管理者がアカウント情報を使用してアクセスしているのに対し、引用発明２においてはそのような点について特定されていない点。
［相違点５］
　本願発明７の削除手段は、トポロジ情報を装置から取得し、前記一人以上の管理者が編集したルールのうち、ファイアウォール装置を経由しない通信のルールを削除する削除手段を備えているのに対し、引用発明２の削除手段は、管理者からトポロジ情報を取得し、ルールの削除については記載がない点。
（３）判断
　事案に鑑みて、相違点５について、先に検討を行う。
　引用発明２においては、「下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲と完全に一致する場合、下位ポリシ要素ｇは、不要ポリシ要素と判定され、オーダミスに基づく削除の対象となり」、「経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報のルール要素の照合順序を変更し、ポリシ情報から、ファイアウォール装置毎のルール情報を生成」している。
　これは、上位のファイアウォール装置と下位のファイアウォール装置それぞれのルールについて、送信元／宛先アドレス範囲及びポート番号範囲が完全に一致する場合、上位のファイアウォールで阻止されたルール（下位のファイアウォールを経由しないルール）を下位のファイアウォール装置のルールとして削除することといえる。
　しかしながら、当該ルールの削除が行われるのは上位のファイアウォール装置を
経由した
　そして、引用文献１−５、７のいずれにも当該相違点５に係る「トポロジ情報を装置から取得し、前記一人以上の管理者が編集したルールのうち、ファイアウォール装置を経由しない通信のルールを削除する削除手段」については記載されておらず、本願の出願日前において周知技術であるとも言えない。
　したがって、他の相違点について判断するまでもなく、本願発明７は、当業者であっても引用発明２、引用文献１−５、７に記載された技術的事項に基づいて容易に発明できたものであるとはいえない。
４．　本願発明８−９について
　本願発明８および９は、いずれも、請求項１あるいは請求項７を引用しており、本願発明８−９も、上記相違点３に係る本願発明１の構成、又は、上記相違点５に係る本願発明７の構成のいずれかと同一の構成を備えるものであるから、本願発明１、又は、本願発明７のいずれかと同じ理由により、当業者であっても、引用文献１−７に基いて容易に発明できたものとはいえない。
第７　当審拒絶理由の理由２（明確性要件）、理由３（サポート要件）、理由４（委任省令要件）について
１　理由２（明確性要件違反）について
（１）補正前の請求項１−９に記載の「ユーザ」がいかなるものであるのか不明である旨の拒絶理由は、前記「ユーザ」が、明細書の【００２２】の記載に基づいて、補正後の請求項１−９において、「管理者」に補正されたことにより、解消した。
２　理由３（サポート要件違反）、理由４（委任省令要件）について
（１）明細書の段落【０００４】−【０００５】、段落【００１１】−段落【００１２】、段落【００２２】−段落【００２３】を参照すると、本願発明は、「ネットワーク構成の全体を管理しているネットワーク管理者でなくとも安全にファイアウォール装置にルールの設定を行える、ファイアウォール装置の制御装置を提供する」という課題を解決するために、（ネットワーク全体の構成を通常知らない）サブネットワークの管理者がルールを設定・編集することが記載されている。そして、サブネットワークの管理者は管理者であり、ユーザではないため、明細書には、本願発明１の「アカウント情報を使用してアクセスしたユーザに対して、該アカウント情報に関連付けられたネットワークの端末が通信元又は通信先となって行う通信のルールを該ユーザに編集させる第１編集手段」に関して、ユーザがルールを編集することが記載されておらず、このような構成の技術的意義が不明であるという拒絶理由に対し、請求項１−９に記載の「ユーザ」を、明細書の【００２２】の記載に基づいて、補正後の請求項１−９において「管理者」に補正されることにより、解消した。
（２）明細書の段落【００２４】を参照すると、ネットワーク全体の構成を知らなくとも（サブネットワークの管理者であっても）、セキュリティの設定を行うことができる発明であるが、補正前の請求項１−６，８−９の「前記制御装置は、前記一人以上のユーザが編集したルールの通信元及び通信先に基づき、複数のファイアウォール装置のそれぞれに設定するルールを生成する生成手段をさらに備えていること」に関して、当該複数のファイアウォール装置の位置について何ら言及がないため、本願発明の課題を解決できないものを超えたものを含む構成となっており、このような構成の技術的意義が不明であるという拒絶理由通知に対して、補正前の請求項１に記載の「複数のファイアウォール装置」を明細書の段落【００２２】に基づいて、補正後の請求項１−６，８−９の「
前記通信元の端末及び前記通信先の端末それぞれの最寄りの２つのファイアフォール装置、或いは、前記通信元の端末及び前記通信先の端末による通信が経由する
第８　原査定について
　本願発明１−９は、いずれも、請求項１あるいは請求項７を少なくとも引用しており、上記相違点３に係る本願発明１の構成、又は、上記相違点５に係る本願発明７の少なくとも１つを備えるものとなり、上記引用文献Ａ−Ｃには、上記相違点３に係る本願発明１の構成、又は、上記相違点５に係る本願発明７の構成のいずれも記載されておらず、本願の出願日前において周知技術であるともいえないから、上記引用文献Ａ−Ｃに基づいて、当業者が容易に発明することができたものではない。
　したがって、原査定を維持することはできない。
第９　むすび
　以上のとおり、原査定の理由によって、本願を拒絶することはできない。
　他に本願を拒絶すべき理由を発見しない。
　よって、結論のとおり審決する。