【事件の表示】
　特願２０１８−　６２３１２「監視システム」拒絶査定不服審判事件〔令和　１年１０月１０日出願公開、特開２０１９−１７６３０９、請求項の数（２）〕について、次のとおり審決する。
【結　論】
　原査定を取り消す。
　本願の発明は、特許すべきものとする。
【理　由】
第１　手続の経緯
　本願は、平成３０年３月２８日の出願であって、令和元年７月２５日付けで拒絶理由通知がされ、令和元年９月１７日に意見書及び手続補正書が提出され、令和２年１月２１日付けで拒絶査定がされ、これに対し、令和２年３月１６日に拒絶査定不服審判の請求がされると同時に手続補正がされたものである。
第２　原査定の概要
　原査定（令和２年１月２１日付け拒絶査定）の概要は次のとおりである。
　本願請求項１−７に係る発明は、以下の引用文献１−５に基づいて、その発明の属する技術の分野における通常の知識を有する者（以下、「当業者」という。）が容易に発明できたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
引用文献等一覧
１．特表２０１７−５２７２１６号公報
２．特開２００６−２５２１０９号公報
３．特開２００６−１１４９９１号公報
４．特表２０１９−５０６１０２号公報
５．国際公開第２０１５／０２５３７３号
　なお、上記引用文献４は、本願出願後に公表された文献である。
第３　本願発明
　本願請求項１、２に係る発明（以下、それぞれ「本願発明１」、「本願発明２」という。）は、令和２年３月１６日になされた手続補正で補正された特許請求の範囲の請求項１、２に記載された事項により特定される発明であり、本願発明１、２は以下のとおりの発明である（下線部は補正箇所を示す。）。
「　　【請求項１】
　
複
と監視装置とを備える監視システム
　
前記複製モジュールは、
　
所定のセンサと接続されるゲートウェイとネットワークとの間の通信に特化して設けられ、
　前記ゲートウェイからの、第１ヘッダを含む第１原パケットデータを受信する
機能
　前記第１原パケットデータを複製する
機能
　複製した前記第１原パケットデータに前記監視装置を示す第２ヘッダを付加した第１転送パケットデータを生成する
機能
　前記第１転送パケットデータと前記第１原パケットデータとを交互に前記ネットワークに送信する
機能
を備え
、
　
前記監視装置は、
　
前記ネットワークを介して前記複製モジュールと通信するものであり、
　
前記第１転送パケットデータを前記複製モジュールから受信する機能と、
　
前記第１転送パケットデータに含まれている前記第１ヘッダを参照して前記第１原パケットデータの送信先が正当であるか否かを判定する機能と、
　
前記第１原パケットデータの送信先が正当ではないと判定された場合に前記第１原パケットデータの送信先が正当でないことを示す第１注意情報を出力する機能と、
　
前記第１転送パケットデータを前回受信した時点から計測して所定期間以上新たな第１転送パケットデータを受信していない場合には、前記ゲートウェイが動作していないことを示す第２注意情報を更に出力する機能と、
を備える、
監視システム
　　【請求項２】
　
前記複製モジュールは、
　
前
を受
機能と
　
前
を複
する機能と
　
複
を生
する機能と
　
前
に送
に送
機能と
をさらに備え、
　
前記監視装置は、
　
前記第２転送パケットデータを前記複製モジュールから受信する機能と、
　
前記第２転送パケットデータに含まれている前記第３ヘッダを参照して前記第２原パケットデータの送信元が正当であるか否かを判定する機能と、
　
前記第２原パケットデータの送信元が正当ではないと判定された場合に前記第２原パケットデータの送信元が正当でないことを示す第３注意情報を出力する機能と、
　
前記第２転送パケットデータを前回受信した時点から計測して所定期間以上新たな第２転送パケットデータを受信していない場合には、前記ゲートウェイが動作していないことを示す第４注意情報を更に出力する機能と、
をさらに備える、
請求項１記載の
監視システム
第４　引用文献、引用発明等
１　引用文献１について
　原査定の拒絶の理由に引用された引用文献１には、図面とともに次の事項が記載されている（下線は当審付与。以下同様。）。
ア　「【発明の概要】
【発明が解決しようとする課題】
【０００３】
　[0002]本明細書では、ネットワークの挙動を調査するための追跡システムについて説明する。動作中、ネットワーク内の各スイッチ（またはネットワーク内の少なくともいくつかのスイッチの各々）は、それが処理する各元のパケットが１つまたは複数のパケット検出ルールを満たすか否かを判定することができる。ルールを満たす場合、スイッチはミラーリングされたパケットを生成することができる。ミラーリングされたパケットは、少なくとも元のパケットの情報のサブセットを含む。次に、スイッチはミラーリングされたパケットを負荷分散マルチプレクサーに転送することができる。スイッチはまた、元のパケットを変更されていない形式で元のパケットで指定されたターゲット宛先に送信する。
【課題を解決するための手段】
【０００４】
　[0003]ミラーリングされたパケットを受信すると、マルチプレクサーは、少なくとも１つの負荷分散の考慮事項に基づいて、候補となる処理モジュールのセットから処理モジュールを選択することができる。次に、マルチプレクサーは、ミラーリングされたパケットを選択された処理モジュールに送信し、そこで１つまたは複数の処理エンジンを使用して分析される。
【０００５】
　[0004]スイッチによってホストされるパケット検出ルールは、アプリケーション特有の目的を考慮して、高い関心値とみなされるパケットのサブセットを選択するように設計できる。この挙動の結果として、追跡システムは、情報が多すぎて分析者が圧倒されることなく、ネットワークの望ましくない挙動（および望ましい可能性のある挙動）を効果的かつ迅速に特定することができる。」
イ　「【００１１】
　[0028]前置き事項として、図面のいくつかは、機能、モジュール、特徴、要素などと様々に呼ばれる１つまたは複数の構造的コンポーネントの文脈における概念を記述する。図面に示された様々なコンポーネントは、例えばコンピューター機器上で動作するソフトウェア、ハードウェア（例えば、チップ実装された論理機能）など、および／またはそれらの任意の組み合わせなど、任意の物理的および有形のメカニズムによる任意の方法で実装することできる。ある場合では、図面中の様々なコンポーネントの別個のユニットへの説明された分離は、実際の実装形態において対応する明確な物理的および有形のコンポーネントの使用を反映することができる。代わりに、または加えて、図に示された任意の単一のコンポーネントは、複数の実際の物理コンポーネントによって実装されてもよい。代わりに、または加えて、図面における任意の２つ以上の別個のコンポーネントの描写は、単一の実際の物理的コンポーネントによって実行される異なる機能を反映することができる。以下に説明する図１９のフローチャートは、図に示される機能の１つの例示的な物理的実装形態に関する追加の詳細を提供する。」
ウ　「【００１５】
　[0032]以下の説明は、１つまたは複数の特徴を「オプション」として識別することができる。このタイプの表現は、オプションとみなされるかもしれない特徴の網羅的な表示として解釈されるべきではなく、つまり、他の特徴は、字句では明示的に特定されていないが、オプションと見なすことができる。さらに、あらゆる単一のエンティティの記述は、複数のそのようなエンティティの使用を排除することを意図しておらず、同様に、複数のエンティティの記述は、単一のエンティティの使用を排除することを意図していない。さらに、記述は、識別された機能を実行するか、または特定されたメカニズムを実装する代替方法として、特定の特徴を説明する場合があるが、これらの特徴を任意の組み合わせで組み合わせることもできる。最後に、用語「例としての（ｅｘｅｍｐｌａｒｙ）」または「例示的な（ｉｌｌｕｓｔｒａｔｉｖｅ）」は、潜在的に多数ある実装形態のうちの１つの実装形態を指す。
Ａ．説明的な追跡システム
Ａ．１．概要
　[0033]図１は、追跡システム１０２の一例の概要を示す。
追跡システム１０２は、ネットワーク１０４を介して送信される選択されたパケットに関する情報を抽出し、次にそれらのパケットを分析する。
【００１６】
　[0034]他の潜在的利点の中でも、追跡システム１０２がネットワーク１０４から情報を選び出す選択性は、人間の分析者または他の消費者に提示される「ノイズ」の量を減少させ、それによってその人の調査を容易にする。それはまた、追跡システムのスケーラビリティーと全体的な効率にも寄与する。以下に説明する追跡システム１０２の他の態様は、追跡システム１０２によって提供されるパケット収集機能のスケーラビリティーおよび効率にさらに寄与する。
【００１７】
　[0035]
ネットワーク１０４は、
複数のハードウェアスイッチで構成されている。
【００１８】
　[0036]ネットワーク１０４は、図１に高レベル形式でのみ示されている。実際には、ネットワーク１０４は任意のトポロジを有することができる。このトポロジは、ネットワーク１０４内のスイッチの選択と、これらのスイッチの配置（および相互接続）を決定する。さらに、
ネットワーク１０４は、任意の環境で使用することができる。
例えば、ネットワーク１０４を使用して、データセンター内でパケットをルーティングし、外部エンティティとデータセンターとの間でパケットをルーティングすることができる。
【００１９】
　[0037]
追跡システム１０２は、２つの主要なコンポーネントである、ミラーリング機能、および収集および分析（ＣＡ）フレームワーク１０８を有する。ミラーリング機能は、ネットワーク１０４内の各スイッチのすべてによって提供されるミラーリングメカニズムを集合的に表す。
【００２０】
　[0038]より具体的には、
スイッチは、１つまたは複数のマルチプレクサー１１０のセットから選択されたマルチプレクサーにミラーリングされたパケットを送信することができる。次に、選択されたマルチプレクサーは、ミラーリングされたパック化されたパケットを、
処理モジュール（ＰＭ）のセットの１つに送信する。
処理モジュールは、１つまたは複数の処理エンジンを使用して、ミラーリングされたパケットを
処理することができる。
【００２１】
　[0039]少なくとも１つの
消費エンティティ１１４は、ミラーリングされたパケットを取得するために処理モジュール１１２と対話することができる。
消費エンティティ１１４は、１つまたは複数の処理エンジンを使用して、ミラーリングされたパケットについて任意のアプリケーション特有の分析を実行することができる。
【００２２】
　[0040]管理モジュール１１６は、追跡システム１０２の任意の態様を制御することができる。例えば、管理モジュール１１６は、ネットワーク１０４を通じて流れる特定のタイプのパケットをキャプチャするのに使用するために、ネットワーク１０４内のスイッチに、特定のパケット検出ルールをロードするように指示することができる。管理モジュール１１６は、任意の消費エンティティと対話することもできる。例えば、消費エンティティ１１４は、ネットワーク内の問題を識別し、それに応答して、スイッチにパケット検出ルールを伝搬するように管理モジュール１１６に要求することができ、これらのルールの結果として生成されたミラーリングされたパケットは、消費エンティティ１１４が問題の原因を識別するのを助ける。
【００２３】
　[0041]上記の説明を明確にするために、図１は、ミラーリングされた対応物とともにネットワーク１０４を通じた１つの元のパケットの流れを示す。後述のサブセクション（下記）は、図１の代表的なフローを説明する際に導入された各操作に関する追加の例示的な詳細を提供する。
【００２４】
　[0042]図示されているように、
任意のソースエンティティ１１８は、それを任意の宛先エンティティ１２２に送信する最終的な意図で、元のパケット（Ｐｏ）１２０をネットワーク１０４に送信する。
ソースエンティティ１１８は第１のコンピューティングデバイスに対応し、宛先エンティティ１２２は第２のコンピューティングデバイスに対応することができる。
【００２５】
　[0043]パケットは、その用語が本明細書で使用されるように、任意の情報単位を指す。１つの特定の実装形態では、
元のパケット１２０は、ＩＰプロトコルによって指定されたヘッダーおよびペイロードを有するインターネットプロトコル（ＩＰ）パケットに対応する。
エ　「【００３７】
　[0056]マルチプレクサー２２４は、ネットワーク２０６のトップレベルスイッチ２１２および／または他のスイッチに結合することができる。さらに、マルチプレクサー２２４は、１つまたは複数の処理モジュール２２６に直接結合されてもよい。あるいは、図２に示すように、マルチプレクサー２２４は、任意の接続トポロジを使用して、スイッチ２２８を介して処理モジュールに接続することができる。
Ａ．３．ミラーリング機能を有する例示的なスイッチ
　[0057]図３は
ミラーリング機能を有する例示的なスイッチ３０２
は元のパケットのミラーリングされた対応物であるパケットを生成して転送する能力を有する
【００３８】
　[0058]高レベルの観点から、
スイッチ３０２は、３つの主な機能を実行する機能を含むことができる。機能３０４は、スイッチ３０２が、受信した元のパケットをターゲット宛先に転送する従来の役割を実行することを可能にする。機能３０６は、スイッチの動作のミラーリング態様を実行する。そして機能３０８は、様々な管理機能を実行する。
【００３９】
　[0059]
機能３０４から開始して、受信モジュール３１０は任意のソースから元のパケット１２０を受信する。
ルート選択モジュール３１２は、次のホップ３１４に対応して、元のパケットの次の宛先を選択する。
送信モジュール３１８は、元のパケットを次のホップ３１４に送信する。
【００４０】
　[0060]
ミラーリング機能３０６に関して、マッチングモジュール３２０は、受信された元のパケット１２０が、データストア３２２に記憶されているパケット検出ルールのいずれかと一致するか否かを判定する。
ミラーリングモジュール３２４は、元のパケット１２０が任意の１つまたは複数のパケット検出ルールを満たす場合に、ミラーリングされたパケット３２６を生成する。
ミラーリングモジュール３２４は、元のパケットのヘッダーなどの元のパケット１２０から情報のサブセットを抽出することによって、ミラーリングされたパケット３２６を生成することができる。
ミラーリングモジュール３２４は、
ミラーリングされたパケット３２６を作成するために利用可能なパケットコピー技術を使用することができる。
【００４１】
　[0061]
マルチプレクサー選択モジュール３２８は、ミラーパケット３２６を送信する
マルチプレクサー１１０のセットの中のマルチプレクサーを選択する。
【００４２】
　[0062]
送信モジュール３３４は、ミラーリングされたパケットをマルチプレクサー
に送信する。
送信モジュール３３４は、ミラーリングされたパケットをトンネリングパケットにカプセル化するために任意のトンネリングプロトコル
を使用して、ミラーリングされたパケットをトンネリングパケットにカプセル化し、次にトンネリングプロトコルヘッダーの「先頭に」多重化ＩＰヘッダーを追加することができる。
カプセル化されたミラーリングされたパケット３３６を生成する。
（当審注：【００４２】における「送信モジュール
３１８
３３４
オ　「【００５９】
　[0079]図８は、ミラーリング可能なスイッチ３０２の出力で生成されるカプセル化されたミラーリングされたパケット３３６の例示的な構造を示す。
カプセル化されたミラーリングされたパケット３３６は、例えば少なくとも元のパケット１２０のヘッダーを提供することによって、例えば元のパケット１２０内の情報のサブセットに対応して、ミラーリングモジュール３２４によって生成される、
ミラーリングされたパケット３２６を含む。
カプセル化外部フィールドは、ミラーＩＰヘッダー８０４を含む。
Ａ．４．例示的なマルチプレクサー
　[0080]図４は、マルチプレクサー４０２の１つの実装形態を示す。マルチプレクサー４０２は、図１に示すマルチプレクサー１１０のセットの１つに対応し得る。または、マルチプレクサー４０２は、追跡システム１０２によって提供される唯一のマルチプレクサーに対応してもよい。マルチプレクサー４０２は、ハードウェアにより実装されたデバイスまたはソフトウェアにより実装されたデバイス、またはそれらのいくつかの組み合わせに対応することができる。前者の場合、ハードウェアマルチプレクサーは、多重化機能を実行するために再プログラムされ再利用される一般商品スイッチに対応することができる。または、ハードウェアマルチプレクサーは、以下に説明する機能を実行するように構成されたカスタム設計されたコンポーネントに対応することができる。」
カ　「【００６０】
　[0081]
マルチプレクサー
は、
ミラーリングされたパケット４１２を受信するための受信モジュール４１０を含む
ミラーリングされたパケット４１２は、スイッチ３０２の出力で生成されたカプセル化されたミラーリングされたパケット３３６の種類に対応する
送信モジュール４２０は、ミラーリングされたパケット４１２をトンネリングプロトコルヘッダー（ＧＲＥヘッダーなど）にカプセル化し、その情報をさらに別の外部ＩＰヘッダーにカプセル化して、カプセル化されたミラーリングされたパケット４２２を生成することができる。
キ　「【００６６】
　[0087]この段階では、ＰＭ選択モジュール４１４は、特定のＰＭモジュールに関連付けられたアドレスを生成するために、第４のテーブル内のｅｎｔｒｙｚによって与えられた情報を使用することができる。次に、送信モジュール４２０は、例えばカプセル化されたミラーリングされたパケット４２２に対応する、新しいパケットにパケットをカプセル化する。次に、
送信モジュール４２０は、カプセル化されたミラーリングされたパケット４２２を選択されたＰＭに送信する。
ク　「【００６９】
　[0090]最終的な解説として、マルチプレクサー１１０は、特にマルチプレクサー１１０が再利用されたハードウェアスイッチまたは他のハードウェアデバイスに対応する場合、高いスループットを有する。この特性は、追跡システム１０４が高トラフィック量を処理することを可能にする１つの特徴であり、この特性はまた、追跡システム１０４のスケーラビリティーを促進する。
Ａ．５．例示的な処理モジュール
　[0091]図１０は、図１の追跡システム１０２の別のコンポーネントである処理モジュール１００２の１つの実装形態を示す。
処理モジュール
は、マルチプレクサー１１０からミラーリングされたパケットのストリームを受信する。
【００７０】
　[0092]カプセル解除モジュール１００４は、受信したミラーリングされたパケットから外部ヘッダーを除去する。例えば、図９のカプセル化されたミラーリングされたパケット４２２に関して、カプセル解除モジュール１００４は、（図３の）ミラーリングモジュール３２４によって生成された元のミラーパケット３２６を残すために、ヘッダー（８０２、８０４、９０２、９０４）を除去する。しかしながら、以下の説明を簡単にするために、処理モジュール１００２によって処理されるミラーリングされた情報は、以降、単にミラーリングされたパケットと呼ばれる。他の実装形態では、処理モジュール１００２は、外部ヘッダーに提供される少なくともいくつかの情報を、この情報が有用な診断情報を提供する限り、保持することができる。
【００７１】
　[0093]
処理モジュール
は、ミラーリングされたパケットのストリーム上で動作する１つまたは複数の処理エンジン１００６の集合を含むことができる。
【００７２】
　[0094]少なくとも１つのフィルタおよび選択（ＦＳ）モジュール１０１０は、受信されたミラーリングされたパケットのストリームから１つまたは複数のタイプのパケットを取り出すことができる。例えば、ＦＳモジュール１０１０は、特定のＴＣＰフラグ、または特定のエラー条件、または特定のアプリケーションなどに関係するパケットなどを取り出すことができる。ＦＳモジュール１０１０は、例えば、正規表現機能または同様のものを使用することによって、受信したミラーリングされたパケットにおいて提供された情報をマッチングルールと照合することによってその機能を実行することができる。
【００７３】
　[0095]アーカイブモジュール１０１２は、受信された未処理のミラーリングされたパケットおよび／または他の処理エンジン１００６によって生成された任意のより高いレベルの情報を記憶する。アーカイブモジュール１０１２は、そのような情報を、単一のサイトまたは複数のサイトにまたがる分散型で提供される、１つまたは複数の物理ストレージメカニズムに対応するデータストア１０１４に記憶することができる。例えば、ある場合では、アーカイブモジュール１００４は、処理モジュール１００２によって受信された未処理のミラーリングされたパケットのすべてを記憶することができる。加えて、または代わりに、アーカイブモジュール１０１２は、トレースアセンブリモジュール１００８によって生成されたトレースを記憶することができる。加えて、または代わりに、アーカイブモジュール１０１２は、ＦＳモジュール１０１０によって識別されたミラーリングされたパケットの選択されたサブセットを記憶することができる。
【００７４】
　[0096]より具体的には、アーカイブモジュール１０１２は、ミラーリングされたパケットを消費する消費エンティティの予測されるニーズに応じて、異なるタイプのミラーリングされたパケットに対して異なる方法でミラーリングされたパケットを記憶することができる。いくつかの場合では、アーカイブモジュール１０１２は、ミラーリングされたパケットの完全なトレースを記録することができる。他の場合には、アーカイブモジュール１０１２は、これらのパスのための完全なトレースを必ずしも記憶する必要はなく、パス内で生成された特定のミラーリングされたパケットを記憶することができる。例えば、特定のスイッチでパケットドロップが発生したことを示す明示的な情報がキャプチャされた場合、アーカイブモジュール１０１２は、パケットドロップの時点までのホップシーケンス全体をキャプチャすることを控えることができる。」
ケ　「【００７９】
　[00101]管理モジュール１１６は、任意のアプリケーション特有の理由のために、同様に、インターフェイスモジュール１０１８を使用して、処理モジュール１００２に命令を送信することができる。例えば、管理モジュール１１６は、性能データを処理モジュール１００２に事前に求めることができる。管理モジュール１１６は、性能データを使用して、上述した方法のいずれかでミラーリング機能の挙動を変更することができる。管理モジュール１１６と処理モジュール１００２との間のさらに別の環境特有の対話が実行されてもよい。
Ａ．６．例示的な消費エンティティ
　[00102]図１１は、図１のコンテキストで導入された消費エンティティ１１４の１つの実装形態を示す。上述のように、消費エンティティ１１４は、ミラーリングされたパケットに関する分析を実行する際に人間の分析者が用いる、コンピューティングデバイスに対応することができる。代わりに、または加えて、消費エンティティは、任意のタイプのコンピューティングデバイスを実行する１つまたは複数の分析プログラムに対応することができる。
【００８０】
　[00103]
消費エンティティ１１４は、例えば、処理モジュール１１２によって提供される１つまたは複数のＡＰＩを通じて、処理モジュール１１２と対話するためのインターフェイスモジュール１１０２を含む。消費エンティティ１１４は、処理モジュール１１２によってキャプチャされ、処理される、任意の情報を取得することができる。
処理モジュール１１２は、消費エンティティ１１４にミラーリングされたパケット情報を自動的に提供することができる。
【００８１】
　[00104]
消費エンティティ１１４は、受信したミラーリングパケット情報を解析するための１つまたは複数のアプリケーション特有の処理エンジン１１０６を提供することができる。ある場合では、例えば、処理エンジンは、収集されたミラーパケットのヘッダー内のＴＣＰヘッダー情報を検査することができる。その情報は、通信するエンティティ間に確立された接続の数を示す。処理エンジンは、フラッド攻撃または他の異常条件が発生したか否かを判定するために、接続数をしきい値と比較できる。
【００８２】
　[00105]別の処理エンジンは、壊れたリンク、または失われたもしくは破損した情報フローに寄与している可能性がある誤動作コンポーネントに対してネットワーク１０４を調べることができる。そのような処理エンジンは、パケットの切り捨てが早すぎるシーケンス（例えば、パケットが意図された宛先に到達しなかった場合）を特定することなどによる様々な証拠に基づいて、および／または欠落したホップ、異常ルートなどを含むパケットのシーケンスに基づいて、故障の存在を判定することができる。加えて、または代わりに、処理エンジンは、ＢＧＰまたはその他のルーティング情報、スイッチによって追加されたエラー条件メタデータ、ピング関連パケット情報などのいずれの証拠も調べることができる。つまり、ＢＧＰ情報はリンクの故障や不正挙動など、ネットワーク内のルーティング問題を直接明らかにすることができる。エラー条件情報は、特定の交換機がその破損または他の要因のためにパケットをドロップしたことを明らかにすることができる。ピング関連パケット情報は、ネットワーク内の２つのエンティティ間の接続性の問題を明らかにすることができる。上述したように、ピングアプリケーションは、リモートエンティティにテストメッセージを送信し、リモートエンティティによるピングメッセージに対する応答をリッスンすることによってリモートエンティティへの接続の品質をテストするアプリケーションに対応する。
【００８３】
　[00106]さらに他のタイプの処理エンジン１１０６を消費エンティティ１１４によって使用することができ、上記の例は、説明の精神で記述したものであって、限定するものではない。
【００８４】
　[00107]処理エンジンは、ルールベースのエンジン、人工知能エンジン、機械訓練モデルなど、任意の方法で実装することができる。例えば、１つのルールベース処理エンジンは、診断ルールのセットを反映するマッピングテーブルまたは分岐アルゴリズムを採用することができる。各ルールは、ＩＦ−ＴＨＥＮ形式で構成することができる。すなわち、証拠集合｛Ｘ１，Ｘ２，．．．，Ｘｎ｝がキャプチャされたミラーリングされたパケットに存在する場合、ネットワークは異常Ｙの被害を受けている可能性が高い、ということを指定することができる。これらのルールの特定の性質は、監視されているネットワーク１０４の性質、分析の目的、および／または他の要因に応じて、本質的に環境特有である。
【００８５】
　[00108]いくつかの場合では、処理エンジンは一連のテストを動的に実行することもでき、後続のテストは、前のテスト（１つまたは複数）の結果によってトリガーされ、前のテスト（複数可）で生成された結論に依存する場合がある。
【００８６】
　[00109]
少なくとも１つのアクション行使モジュール１１０８は、処理エンジン１１０６のいずれかによって提供される分析の結果に基づいてアクションを取ることができる。例えば、１つのアクション行使モジュールは、人間の分析者に、例えば、アラート信号、検出された障害の原因のテキストによる説明などを、任意の形式で分析の結果を通知することができる。
【００８７】
　[00110]インターフェイスモジュール１１１０は、消費エンティティ１１４が管理モジュール１１６と対話することを可能にする。例えば、消費エンティティ１１４は、少なくとも処理モジュール１１２がそうする理由と同じ理由で管理モジュール１１６に要求を送信することができる。例えば、処理エンジンは、受信しているパケットのタイプを変更したり、受信しているパケットの量を変更したりすることがある。この目的のために、処理エンジンは、ネットワーク１０４内のスイッチに更新されたパケット検出ルールを送信するように命令し、管理モジュール１１６に要求を行うことができる。更新されたルールは、スイッチによって有効にされると、処理エンジンの目的を達成する。
【００８８】
　[00111]図１および図１１に関する最後の注記として、これらの図は、消費エンティティから分離されたエージェントとしての処理モジュール１１２を示す。他の実装形態では、
処理モジュール１１２によって実行される
１つまたは複数の機能は、代わりに消費エンティティによって実行することができる。
処理モジュール１１２は完全に取り除くことができ、消費エンティティはミラーリングされたパケットをマルチプレクサー１１０から直接受信することができる。
Ａ．７．例示的な管理モジュール
　[00112]最後に、図１２は、管理モジュール１１６の１つの実装形態を示している。管理モジュール１１６は、ネットワークスイッチ、マルチプレクサー１１０、処理モジュール１１２などの様々な動作を制御するために、少なくとも１つの制御モジュール１２０２を使用することができる。例えば、制御モジュール１２０２は、パケット検出ルールの複数セットをスイッチに提供することができ、それによりスイッチのその後のミラーリング挙動を管理する。制御モジュール１２０２は、管理者からの明示的な指示、消費エンティティに関連付けられた人間の分析者による明示的な要求、任意の処理モジュールまたは消費エンティティによる自動化された要求などの１つまたは複数の要因に基づいて新しいルールを生成することができる。」
コ　「【図１】
」
サ　「【図３】
」
シ　以上ア〜サより、特に下線部に着目すると、引用文献１には、次の発明（以下、「引用発明」という。）が記載されていると認められる。
「追跡システム１０２は、ネットワーク１０４を介して送信される選択されたパケットに関する情報を抽出し、次にそれらのパケットを分析するものであり、
　ネットワーク１０４は、複数のハードウェアスイッチで構成されており、
　ネットワーク１０４は、任意の環境で使用することができ、例えば、ネットワーク１０４を使用して、データセンター内でパケットをルーティングし、外部エンティティとデータセンターとの間でパケットをルーティングすることができ、
　追跡システム１０２は、２つの主要なコンポーネントである、ミラーリング機能、および収集および分析（ＣＡ）フレームワーク１０８を有し、ミラーリング機能は、ネットワーク１０４内の各スイッチのすべてによって提供されるミラーリングメカニズムを集合的に表し、
　スイッチは、１つまたは複数のマルチプレクサー１１０のセットから選択されたマルチプレクサーにミラーリングされたパケットを送信することができ、次に、選択されたマルチプレクサーは、ミラーリングされたパック化されたパケットを、処理モジュール（ＰＭ）のセットの１つに送信し、処理モジュールは、１つまたは複数の処理エンジンを使用して、ミラーリングされたパケットを処理することができ、
　消費エンティティ１１４は、ミラーリングされたパケットを取得するために処理モジュール１１２と対話することができ、消費エンティティ１１４は、１つまたは複数の処理エンジンを使用して、ミラーリングされたパケットについて任意のアプリケーション特有の分析を実行することができるものであり、
　任意のソースエンティティ１１８は、それを任意の宛先エンティティ１２２に送信する最終的な意図で、元のパケット（Ｐｏ）１２０をネットワーク１０４に送信し、ソースエンティティ１１８は第１のコンピューティングデバイスに対応し、宛先エンティティ１２２は第２のコンピューティングデバイスに対応することができ、
　元のパケット１２０は、ＩＰプロトコルによって指定されたヘッダーおよびペイロードを有するインターネットプロトコル（ＩＰ）パケットに対応し、
　ミラーリング機能を有する例示的なスイッチ３０２は元のパケットのミラーリングされた対応物であるパケットを生成して転送する能力を有し、
　スイッチ３０２は、３つの主な機能を実行する機能を含むことができ、機能３０４は、スイッチ３０２が、受信した元のパケットをターゲット宛先に転送する従来の役割を実行することを可能にし、機能３０６は、スイッチの動作のミラーリング態様を実行し、そして機能３０８は、様々な管理機能を実行し、
　機能３０４から開始して、受信モジュール３１０は任意のソースから元のパケット１２０を受信し、ルート選択モジュール３１２は、次のホップ３１４に対応して、元のパケットの次の宛先を選択し、送信モジュール３１８は、元のパケットを次のホップ３１４に送信し、
　ミラーリング機能３０６に関して、マッチングモジュール３２０は、受信された元のパケット１２０が、データストア３２２に記憶されているパケット検出ルールのいずれかと一致するか否かを判定し、ミラーリングモジュール３２４は、元のパケット１２０が任意の１つまたは複数のパケット検出ルールを満たす場合に、ミラーリングされたパケット３２６を生成し、ミラーリングモジュール３２４は、元のパケットのヘッダーなどの元のパケット１２０から情報のサブセットを抽出することによって、ミラーリングされたパケット３２６を生成することができ、ミラーリングモジュール３２４は、ミラーリングされたパケット３２６を作成するために利用可能なパケットコピー技術を使用することができ、
　マルチプレクサー選択モジュール３２８は、ミラーパケット３２６を送信するマルチプレクサー１１０のセットの中のマルチプレクサーを選択し、
　送信モジュール３３４は、ミラーリングされたパケットをマルチプレクサーに送信するものであり、送信モジュール３３４は、ミラーリングされたパケットをトンネリングパケットにカプセル化するために任意のトンネリングプロトコルを使用して、ミラーリングされたパケットをトンネリングパケットにカプセル化し、次にトンネリングプロトコルヘッダーの「先頭に」多重化ＩＰヘッダーを追加することができ、カプセル化されたミラーリングされたパケット３３６を生成し、
　カプセル化されたミラーリングされたパケット３３６は、例えば少なくとも元のパケット１２０のヘッダーを提供することによって、例えば元のパケット１２０内の情報のサブセットに対応して、ミラーリングモジュール３２４によって生成される、ミラーリングされたパケット３２６を含み、カプセル化外部フィールドは、ミラーＩＰヘッダー８０４を含み、
　マルチプレクサーは、ミラーリングされたパケット４１２を受信するための受信モジュール４１０を含み、ミラーリングされたパケット４１２は、スイッチ３０２の出力で生成されたカプセル化されたミラーリングされたパケット３３６の種類に対応するものであり、
　送信モジュール４２０は、ミラーリングされたパケット４１２をトンネリングプロトコルヘッダー（ＧＲＥヘッダーなど）にカプセル化し、その情報をさらに別の外部ＩＰヘッダーにカプセル化して、カプセル化されたミラーリングされたパケット４２２を生成することができ、
　送信モジュール４２０は、カプセル化されたミラーリングされたパケット４２２を選択されたＰＭに送信し、
　処理モジュールは、マルチプレクサー１１０からミラーリングされたパケットのストリームを受信し、
　処理モジュールは、ミラーリングされたパケットのストリーム上で動作する１つまたは複数の処理エンジン１００６の集合を含むことができ、
　消費エンティティ１１４は、例えば、処理モジュール１１２によって提供される１つまたは複数のＡＰＩを通じて、処理モジュール１１２と対話するためのインターフェイスモジュール１１０２を含み、消費エンティティ１１４は、処理モジュール１１２によってキャプチャされ、処理される、任意の情報を取得することができ、
　処理モジュール１１２は、消費エンティティ１１４にミラーリングされたパケット情報を自動的に提供することができ、
　消費エンティティ１１４は、受信したミラーリングパケット情報を解析するための１つまたは複数のアプリケーション特有の処理エンジン１１０６を提供することができ、ある場合では、例えば、処理エンジンは、収集されたミラーパケットのヘッダー内のＴＣＰヘッダー情報を検査することができ、その情報は、通信するエンティティ間に確立された接続の数を示し、処理エンジンは、フラッド攻撃または他の異常条件が発生したか否かを判定するために、接続数をしきい値と比較でき、
　少なくとも１つのアクション行使モジュール１１０８は、処理エンジン１１０６のいずれかによって提供される分析の結果に基づいてアクションを取ることができ、例えば、１つのアクション行使モジュールは、人間の分析者に、例えば、アラート信号、検出された障害の原因のテキストによる説明などを、任意の形式で分析の結果を通知することができ、
　処理モジュール１１２によって実行される１つまたは複数の機能は、代わりに消費エンティティによって実行することができ、処理モジュール１１２は完全に取り除くことができ、消費エンティティはミラーリングされたパケットをマルチプレクサー１１０から直接受信することができる、
　追跡システム１０２及び消費エンティティ１１４。」
２　引用文献２について
　原査定の拒絶の理由に引用された引用文献２には、図面とともに次の事項が記載されている。
「【００１７】
　図３は、ネットワークセグメントＡ１０１からネットワークセグメントＢ１０２宛にネットワークアクセス信号１０４が送信される場合の
ネットワークアクセス制御装置
　まず、ネットワークセグメントＡ１０１からネットワークアクセス信号１０４が送信される。その場合、ネットワークアクセス制御装置ａ１１０では、信号観測機能部１１１によりネットワークセグメントＡ１０１との間の通信回線に信号があるかどうかを観測している。
【００１８】
　信号観測機能部１１１は、ネットワークアクセス信号１０４を観測すると、そのネットワークアクセス信号１０４を信号解読機能部１１２に渡す。
　
信号解読機能部１１２は、ネットワークアクセス信号１０４に含まれるデータを解読し、制御条件に一致するか否かをチェックする。
　ここに、
制御条件とは、信号を制御するための条件をいい、
例えば、ネットワークアクセス信号１０４がウィルス等から発信されたおそれがある場合にその対策として信号を制御する
【００１９】
　このため、信号解読機能部１１２は、ネットワークアクセス信号１０４に含まれるデータを解読する。その情報としては、例えば、送信元および受信先のIPアドレスや通信プロトコルなどが挙げられる。
【００２０】
　図４は、
制御条件テーブル
　このテーブル
は、異なるネットワークセグメント間の通信を制御するに際し、通常のフィルタリングを行うときに用いられる。
　図４に示す
制御条件テーブルでは、ウィルス対策をする場合の制御条件の内容の一例を具体的に示している。 その制御条件は、
送信元、送信先、通信プロトコルである。
【００２１】
　その具体的な内容は、セグメントＢからセグメントＡへのプロトコルＸによる通信、およびセグメントＡからセグメントＢへのプロトコルＹ，Ｚによる通信のみを許可し、それ以外の通信を遮断するというものである。
　ここに、セグメントとは、ネットワークセグメントに属するパーソナルコンピュータ、ルータ、ネットワークプリンタ等のネットワーク機器をいう。これらは、ＩＰアドレスの範囲や、複数のＩＰアドレスで表現される。」
　以上より、特に下線部に着目すると、引用文献２には、次の技術事項が記載されていると認められる。
「信号解読機能部１１２は、ネットワークアクセス信号１０４に含まれるデータを解読し、制御条件に一致するか否かをチェックし、
　制御条件とは、信号を制御するための条件をいい、例えば、ネットワークアクセス信号１０４がウィルス等から発信されたおそれがある場合にその対策として信号を制御するものであり、
　制御条件テーブルは、異なるネットワークセグメント間の通信を制御するに際し、通常のフィルタリングを行うときに用いられ、
　制御条件テーブルでは、ウィルス対策をする場合の制御条件の内容の一例を具体的に示しており、 その制御条件は、送信元、送信先、通信プロトコルである、
　ネットワークアクセス制御装置。」
３　引用文献３について
　原査定の拒絶の理由に引用された引用文献３には、次の事項が記載されている。
「【００１１】
　パケットフィルタリング装置が、パケットの通過を制御する単位としては、主に、ＩＰアドレス単位とＩＰアドレスとポート番号の組の単位が用いられる。
【００１２】
　ＩＰアドレス単位の制御は、外部ネットワークの特定端末と内部ネットワークの特定端末との間で送受されるすべてのパケットを通過させるルールで実現できる。具体的には、外部ネットワークにダイヤルアップやホットスポットを用いて接続したパソコンのＩＰアドレスを202.123.12.1、内部ネットワークの電子メールサーバのＩＰアドレスを202.32.21.1とした場合、このパソコンから電子メールサーバへの通信のパケットを許可するルールは、Allow 202.123.12.1 202.32.21.1、のように記述できる。このルールにおいて、Allowは通過を許可することを、202.123.12.1は送信元ＩＰアドレスを、202.32.21.1は宛先ＩＰアドレスを表す。パケットフィルタリング装置は、このルールに適合するパケットをすべて通過させる。このように送信元ＩＰアドレスと宛先ＩＰアドレスの組で特定されるパケットを通過させたり、通過させなかったりする制御をＩＰアドレス単位の制御と呼ぶ。
【００１３】
　ＩＰアドレスとポート番号の組の単位の制御は、
外部ネットワーク上の特定の端末の特定ポートから送信されるデータが、内部ネットワーク上の特定の端末のアプリケーションが待ち受けている特定ポートへ通過することを許可するルール
例えば、
音声データの通過を許可するルールは、Allow 202.123.12.2 12345 202.32.21.2 23456のように記述
このルールにおいてAllowは許可することを、202.123.12.2、12345、202.32.21.2、23456は、それぞれ、送信元IPアドレス、送信元ポート番号、宛先IPアドレス、宛先ポート番号を表す。パケットフィルタリング装置は、このルールに適合するパケットをすべて通過させる。
　以上より、特に下線部に着目すると、引用文献３には、次の技術事項が記載されていると認められる。
「外部ネットワーク上の特定の端末の特定ポートから送信されるデータが、内部ネットワーク上の特定の端末のアプリケーションが待ち受けている特定ポートへ通過することを許可するルールとして、例えば、音声データの通過を許可するルールを、Allow 202.123.12.2 12345 202.32.21.2 23456のように記述し、このルールにおいてAllowは許可することを、202.123.12.2、12345、202.32.21.2、23456は、それぞれ、送信元IPアドレス、送信元ポート番号、宛先IPアドレス、宛先ポート番号を表し、パケットフィルタリング装置は、このルールに適合するパケットをすべて通過させること。」
４　引用文献４について
　原査定の拒絶の理由に引用された引用文献４には、図面とともに次の事項が記載されている。
「【００３２】
　図４Ａは、
ルーティングハイジャックを特定するためのプロセス
ＢＧＰルーティングデータを収集する
ハイジャックされたことが疑われるルートを
分析し
【００３３】
　疑わしいルートの分析は、修復（ステップ４５６）を必要とし得る安全なケースの特定につながるであろう。
たとえば、ヒューマンエラー、リークおよびＡＳ経路破損によって引き起こされる偽のルートを検出する
適切な修復策を特定する
修復は、ハイジャックされたルートを顧客に警告して知らせること、（無害な間違いの場合）「ハイジャック犯」に警告すること、および上流のインターネットサービスプロバイダに警告することも含み得
　以上より、特に下線部に着目すると、引用文献４には、次の技術事項が記載されていると認められる。
「ルーティングハイジャックを特定するためのプロセスにおいて、ＢＧＰルーティングデータを収集し、ハイジャックされたことが疑われるルートを分析し、たとえば、ヒューマンエラー、リークおよびＡＳ経路破損によって引き起こされる偽のルートを検出し、適切な修復策を特定し、修復は、ハイジャックされたルートを顧客に警告して知らせること、（無害な間違いの場合）「ハイジャック犯」に警告すること、および上流のインターネットサービスプロバイダに警告することも含み得ること。」
５　引用文献５について
　原査定の拒絶の理由に引用された引用文献５には、次の事項が記載されている。
「[0099]　本
ＦＷ／ＵＴＭセキュリティアプライアンス２０２
[0100]　ＵＴＭの機能としてどのような機能を含めるかはケースバイケースであり、様々である。例えば、このＵＴＭの中に、アンチスパム機能が入っている場合は、その機能によって不正メール(ブラックリスト等に掲載され受信拒否等されたメール）、
スパムメール等の不正な行為等が、内部の記憶手段に記憶される。
[0101]　このＵＴＭは、請求の範囲のセキュリティ装置の好適な一例に相当する。
[0102]　このような装置によって、情報システムのセキュリティを達成することが可能である。なお、記憶手段に記憶されたセキュリティ情報は、いわゆる「ログ」と呼ばれることもある。
　また、外部からの要求だけでなく、
重度の障害やエラー、不正アクセス等が発生した場合においては、自発的に警告を発する
管理者に報告するメールや、危険を示すランプを点灯させること
　特に、本実施の形態において特徴的なことは、ネットワーク等を介して外部（例えば運用管理センター１０）から問い合わせがあった場合に、それに応じて、セキュリティ情報を外部に提供する機能を備えていることである。また、セキュリティ情報には、上記ファイアーウォールで検出された各種脅威の他、ＵＴＭの様々な機能で検出された各種脅威が含まれている。これらが上述した表に内部にログとして記憶されており、外部（運用管理センター１０）からの要求に応じてそれらの情報を提供する。」
　以上より、特に下線部に着目すると、引用文献５には、次の技術事項が記載されていると認められる。
「ＦＷ／ＵＴＭセキュリティアプライアンス２０２において、スパムメール等の不正な行為等が、内部の記憶手段に記憶され、重度の障害やエラー、不正アクセス等が発生した場合においては、自発的に警告を発し、管理者に報告するメールや、危険を示すランプを点灯させること。」
第５　対比・判断
１　本願発明１について
（１）対比
　本願発明１と引用発明とを対比すると、次のことがいえる。
ア　引用発明の「スイッチ」は、「受信モジュール３１０」が「任意のソースから元のパケット１２０を受信」するものであり、「ソース」は「コンピューティングデバイスに対応」するものであるから、引用発明の「ソース」と、本願発明１の「
所定のセンサと接続されるゲートウェイ
　また、引用発明の「元のパケット１２０」は、「ＩＰプロトコルによって指定されたヘッダーおよびペイロードを有するインターネットプロトコル（ＩＰ）パケットに対応」するものであるから、引用発明の「ヘッダー」及び「元のパケット１２０」は、それぞれ本願発明１の「第１ヘッダ」及び「第１ヘッダを含む第１原パケットデータ」に相当する。
　よって、引用発明の「任意のソースから元のパケット１２０を受信」することと、本願発明１の「
前記ゲートウェイ
イ　引用発明の「スイッチ」は、「ミラーリングモジュール３２４」が「元のパケット１２０が任意の１つまたは複数のパケット検出ルールを満たす場合に、ミラーリングされたパケット３２６を生成」するものであり、「ミラーリングされたパケット３２６」は、「元のパケットのヘッダーなどの元のパケット１２０から情報のサブセットを抽出することによって」、「パケットコピー技術を使用」して作成されるものであるから、引用発明の「パケットコピー技術を使用」して「ミラーリングされたパケット３２６を生成」することは、本願発明１の「前記第１原パケットデータを複製する機能」に相当し、引用発明の「ミラーリングされたパケット３２６」は、本願発明１の「複製した前記第１原パケットデータ」に相当する。
　また、引用発明の「スイッチ」は、上述のように、パケットをコピーして「ミラーリングされたパケット３２６を生成」するものであるから、「複製モジュール」といい得るものである。
ウ　引用発明の「スイッチ」は、「送信モジュール３３４」が「ミラーリングされたパケットをトンネリングパケットにカプセル化するために任意のトンネリングプロトコルを使用して、ミラーリングされたパケットをトンネリングパケットにカプセル化し、次にトンネリングプロトコルヘッダーの「先頭に」多重化ＩＰヘッダーを追加することができ」、「カプセル化されたミラーリングされたパケット３３６を生成」するものであるから、引用発明の「多重化ＩＰヘッダー」と、本願発明１の「
前記監視装置を示す
　よって、引用発明の「ミラーリングされたパケットをトンネリングパケットにカプセル化し、次にトンネリングプロトコルヘッダーの「先頭に」多重化ＩＰヘッダーを追加」して「カプセル化されたミラーリングされたパケット３３６を生成」することと、本願発明１の「複製した前記第１原パケットデータに
前記監視装置を示す
エ　引用発明の「スイッチ」は、「送信モジュール３１８」が「元のパケットを次のホップ３１４に送信」し、「送信モジュール３３４」が「ミラーリングされたパケットをマルチプレクサーに送信」するものであるから、引用発明の「元のパケットを次のホップ３１４に送信」し、「ミラーリングされたパケットをマルチプレクサーに送信」することと、本願発明１の「前記第１転送パケットデータと前記第１原パケットデータとを
交互に
オ　引用発明の「消費エンティティ１１４」は、「ミラーリングされたパケット」を「受信」して「分析」し、「分析の結果を通知する」ものであり、「ミラーリングされたパケット」を監視しているといえるから、本願発明１の「監視装置」に相当する。また、引用発明の「スイッチ」を備える「追跡システム１０２」及び「消費エンティティ１１４」は、本願発明１の「複製モジュールと監視装置とを備える監視システム」に相当する。
カ　引用発明の「消費エンティティ１１４」は、「スイッチ」から送信された「ミラーリングされたパケット３３６」が「カプセル化」された「ミラーリングされたパケット」を、「ネットワーク１０４」及び「マルチプレクサー」を介して「受信」するものであるから、当該「消費エンティティ１１４」は、「前記ネットワークを介して前記複製モジュールと通信するもの」であって、本願発明１の「前記第１転送パケットデータを前記複製モジュールから受信する機能」を備えているものであるといえる。
キ　引用発明の「収集されたミラーパケットのヘッダー内のＴＣＰヘッダー情報を検査」し、「フラッド攻撃または他の異常条件が発生したか否かを判定」することと、本願発明１の「前記第１転送パケットデータに含まれている
前記第１ヘッダ
前記第１原パケットデータの送信先が正当であるか否かを
ク　引用発明の「アクション行使モジュール」は、「処理エンジン１１０６のいずれかによって提供される分析の結果に基づいて」、「人間の分析者に、例えば、アラート信号、検出された障害の原因のテキストによる説明などを、任意の形式で分析の結果を通知する」ものである。そして、「処理エンジン１１０６」は、「フラッド攻撃または他の異常条件が発生したか否かを判定するために、接続数をしきい値と比較」するものであり、「フラッド攻撃または他の異常条件が発生したか否か」に関する分析の結果を提供する際に、「判定」を行うことは明らかであるから、引用発明は、「判定が行われた場合」に「アラート信号、検出された障害の原因のテキストによる説明」を「通知する」機能を行うものであるといえる。また、引用発明の「アラート信号、検出された障害の原因のテキストによる説明」は、人間の分析者に注意を促すための情報又は注意すべき事項を示す情報、すなわち「注意情報」といい得るものである。
　よって、引用発明の「処理エンジン１１０６のいずれかによって提供される分析の結果に基づいて」、「人間の分析者に、例えば、アラート信号、検出された障害の原因のテキストによる説明などを、任意の形式で分析の結果を通知する」ことと、本願発明１の「
前記第１原パケットデータの送信先が正当ではないと
前記第１原パケットデータの送信先が正当でないことを示す第１
（２）一致点・相違点
　以上から、本願発明１と引用発明とは、以下の点において一致ないし相違する。
［一致点］
「複製モジュールと監視装置とを備える監視システムであって、
　前記複製モジュールは、
　通信機器からの、第１ヘッダを含む第１原パケットデータを受信する機能と、
　前記第１原パケットデータを複製する機能と、
　複製した前記第１原パケットデータに第２ヘッダを付加した第１転送パケットデータを生成する機能と、
　前記第１転送パケットデータと前記第１原パケットデータとを前記ネットワークに送信する機能と、
を備え、
　前記監視装置は、
　前記ネットワークを介して前記複製モジュールと通信するものであり、
　前記第１転送パケットデータを前記複製モジュールから受信する機能と、
　前記第１転送パケットデータに含まれているヘッダを参照して判定を行う機能と、
　判定が行われた場合に注意情報を出力する機能と、
を備える、
監視システム。」
［相違点］
＜相違点１＞
　本願発明１の「複製モジュール」は、「所定のセンサと接続されるゲートウェイとネットワークとの間の通信に特化して設けられ」ており、「第１原パケットデータ」を「前記ゲートウェイ」から受信するのに対し、引用発明の「スイッチ」は、「所定のセンサと接続されるゲートウェイとネットワークとの間の通信に特化して設けられ」ることが特定されておらず、「元のパケット１２０」を「任意のソース」から受信する点。
＜相違点２＞
　本願発明１の「第２ヘッダ」は、「前記監視装置を示す」ものであるのに対し、引用発明においては、「多重化ＩＰヘッダー」が「消費エンティティ１１４」を示すものであることについて特定されていない点。
＜相違点３＞
　本願発明１の「複製モジュール」は、「前記第１転送パケットデータ」と「前記第１原パケットデータ」とを「交互に」送信するのに対し、引用発明の「スイッチ」においては、「元のパケット」の送信と「ミラーリングされたパケット」の送信が「交互に」行われることが特定されていない点。
＜相違点４＞
　本願発明１の「監視装置」は、「前記第１転送パケットデータに含まれている前記第１ヘッダを参照して前記第１原パケットデータの送信先が正当であるか否かを判定する」のに対し、引用発明の「消費エンティティ１１４」は、「ミラーパケット」の「ＴＣＰヘッダー」を参照して「判定」処理を行うものの、「前記第１ヘッダ」を参照して「前記第１原パケットデータの送信先が正当であるか否か」を「判定」することは特定されていない点。
＜相違点５＞
　本願発明１の「監視装置」は、「前記第１原パケットデータの送信先が正当ではないと判定された場合に前記第１原パケットデータの送信先が正当でないことを示す第１注意情報を出力する」のに対し、引用発明の「消費エンティティ１１４」は、「アラート信号、検出された障害の原因のテキストによる説明など」により「分析の結果」の「通知」を行うものの、「前記第１原パケットデータの送信先が正当ではないと判定された場合」に「前記第１原パケットデータの送信先が正当でないことを示す第１注意情報」を出力することは特定されていない点。
＜相違点６＞
　本願発明１の「監視装置」は、「前記第１転送パケットデータを前回受信した時点から計測して所定期間以上新たな第１転送パケットデータを受信していない場合には、前記ゲートウェイが動作していないことを示す第２注意情報を更に出力する機能」を備えるのに対し、引用発明では、そのような構成は特定されていない点。
（３）相違点についての判断
＜相違点３について＞
　事案に鑑みて、相違点３について先に検討する。
　引用発明の「スイッチ」は、「任意のソースから元のパケット１２０を受信」した後、「送信モジュール３１８」が「元のパケットを次のホップ３１４に送信」する一方で、「受信された元のパケット１２０が、データストア３２２に記憶されているパケット検出ルールのいずれかと一致するか否かを判定」し、「元のパケット１２０が任意の１つまたは複数のパケット検出ルールを満たす場合」に「ミラーリングされたパケット３２６を生成」して、「送信モジュール３３４」が「ミラーリングされたパケットをマルチプレクサーに送信」するものであり、「元のパケット」の送信と「ミラーリングされたパケット」の送信とを行うものではあるが、引用文献１には、これらの送信処理を「交互に」行うことについては記載も示唆もされていない。
　そして、上記相違点３に係る本願発明１の構成は、引用文献２−５のいずれにも記載も示唆もなく、本願出願日前における周知技術であるともいえない。
　また、引用発明の「スイッチ」は、パケット検出ルールを用いてミラーリングするパケットの絞り込みを行っているため、元のパケットの数よりもミラーリングされたパケットの数の方が通常は少なくなるものである。そのため、引用発明において、元のパケットとミラーリングされたパケットとを「交互に」送信するという構成を採用することには必然性がなく、また、引用発明において、これらを「交互に」送信するためにミラーリングするパケットの絞り込みを行わないように変更することには、引用発明の、情報が多すぎて分析者が圧倒されることがないようにするという目的からして、技術的な阻害要因があるといえる。そうすると、引用発明において上記相違点３に係る本願発明１の構成を採用することは、当業者であっても容易であるとはいえない。
　したがって、本願発明１は、他の相違点について検討するまでもなく、当業者であっても、引用発明、引用文献２−５に記載された技術事項に基づいて容易に発明できたものであるとはいえない。
２　本願発明２について
　本願発明２も、上記相違点３に係る本願発明１の構成と同一の構成を備えるものであるから、本願発明１と同じ理由により、当業者であっても、引用発明、引用文献２−５に記載された技術事項に基づいて容易に発明できたものであるとはいえない。
第６　原査定について
　本願発明１、２は、上記相違点３に係る本願発明１の構成を有しており、当該構成は、原査定における引用文献１−５には記載されておらず、本願出願日前における周知技術でもないので、本願発明１、２は、当業者であっても、原査定における引用文献１−５に基づいて容易に発明できたものではない。
　したがって、原査定を維持することはできない。
第７　むすび
　以上のとおり、原査定の理由によっては、本願を拒絶することはできない。
　また、他に本願を拒絶すべき理由を発見しない。
　よって、結論のとおり審決する。