【事件の表示】
　特願２０１７−　１８９１７「セキュリティ装置、攻撃検知方法及びプログラム」拒絶査定不服審判事件〔平成２９年　５月１８日出願公開、特開２０１７−　８５６６３、請求項の数（１１）〕について、次のとおり審決する。
【結　論】
　原査定を取り消す。
　本願の発明は、特許すべきものとする。
【理　由】
第１　手続きの経緯
　本願は，２０１６年（平成２８年）８月４日（パリ条約による優先権主張２０１５年１０月９日，米国）を出願日とする出願である特願２０１６−１５３８１６号の一部を，平成２９年２月３日に新たな特許出願としたものであって，その手続の経緯は以下のとおりである。
　　　令和２年　３月１１日付け　拒絶理由通知
　　　令和２年　４月２０日　　　意見書・手続補正書の提出
　　　令和２年　５月２２日付け　拒絶査定
　　　令和２年　７月２２日　　　審判請求書・手続補正書の提出
第２　原査定の概要
　原査定（令和２年５月２２日付け拒絶査定）の概要は次のとおりである。
　本願請求項１−１１に係る発明は，引用文献１に記載された発明および引用文献２および３に記載された技術に基づいて，その発明の属する技術の分野における通常の知識を有する者（以下，「当業者」という。）が容易に発明できたものであるから，特許法第２９条第２項の規定により特許を受けることができない。
　　　　　　　　　　　　＜引用文献等一覧＞
　　　１.特開２０１４−１４６８６８号公報
　　　２.特開２０１２−２０４９３６号公報
　　　３.特開２００７−０６７８１２号公報
第３　本願発明
　本願の請求項１ないし１１に係る発明（以下，「本願第１発明」ないし「本願第１１発明」という。）は，令和２年７月２２日の手続補正書により補正された以下のとおりの特許請求の範囲の請求項１ないし請求項１１に記載された事項により特定される発明である。
「【請求項１】
　１つ又は複数のバスを介してＣＡＮ（Controller Area Network）プロトコルに従ってフレームの授受を行う複数の電子制御ユニットと接続されるセキュリティ装置であって，
　前記フレームは，ＩＤを格納するＩＤフィールド，ＤＬＣ（Data Length Code）及びデータフィールドを含むデータフレームであり，
　１つの前記バスからフレームを受信する受信部と，
　フレームについての検査内容として，前記データフィールドに格納されたデータの値の検査に係るデータ検査パラメータを保持する保持部と，
　前記受信部により受信されたフレームに関し，前記ＩＤが同値の２つのフレームが送信される時間間隔である送信周期について判定を行うチェック部と，
　前記チェック部において，前記ＩＤが同値の２つのフレームの受信間隔が所定の許容範囲から外れる場合に，前記受信部により受信されたフレームの条件が成立したと判定して前記保持部が保持する前記データ検査パラメータを更新する更新部と，
　前記保持部が保持する前記データ検査パラメータに基づいて，前記受信部により受信されたフレームが攻撃フレームか否かの判定に係る検査を行う検査部とを備え，
　前記更新部は，前記受信部により受信された第１フレームに関連し，前記チェック部において前記ＩＤが同値の２つのフレームの受信間隔が所定の許容範囲から外れると判定された場合に，前記データ検査パラメータを第１検査パラメータに更新し，
　前記検査部は，
更新された
　セキュリティ装置。
【請求項２】
　前記データ検査パラメータは，前記データフィールドに格納された前記データの変化の許容範囲の上限を示す閾値を含み，
　前記更新部における，前記データ検査パラメータの更新は，前記閾値を，より小さい値にする更新であり，
　前記検査部は，前記受信部により受信されたフレームに係る前記データフィールドに格納された前記データの変化が前記データ検査パラメータにおける前記閾値を超えた場合に当該フレームを攻撃フレームと判定する
　請求項１記載のセキュリティ装置。
【請求項３】
　１つ又は複数のバスを介してＣＡＮ（Controller Area Network）プロトコルに従ってフレームの授受を行う複数の電子制御ユニットと接続されるセキュリティ装置であって，
　前記フレームは，ＩＤを格納するＩＤフィールド，ＤＬＣ（Data Length Code）及びデータフィールドを含むデータフレームであり，
　１つの前記バスからフレームを受信する受信部と，
　フレームについての検査内容として，前記ＩＤが同値の２つのフレームが送信される時間間隔である送信周期の検査に係る送信周期検査パラメータを保持する保持部と，
　前記受信部により受信されたフレームに関し，前記ＩＤが同値の１つ以上のフレームが所定の単位時間内に送信される頻度である送信頻度が所定の許容範囲の上限を超えるか否かを判定するチェック部と，
　前記チェック部において，前記ＩＤが同値の１つ以上のフレームが所定の単位時間内に送信される頻度である送信頻度が所定の許容範囲の上限を超える場合に，前記受信部により受信されたフレームの条件が成立したと判定して前記保持部が保持する前記送信周期検査パラメータを更新する更新部と，
　前記保持部が保持する前記送信周期検査パラメータに基づいて，前記受信部により受信されたフレームが攻撃フレームか否かの判定に係る検査を行う検査部とを備え，
　前記更新部は，前記受信部により受信された第１フレームに関連し，前記ＩＤが同値の１つ以上のフレームが所定の単位時間内に送信される頻度である送信頻度が所定の許容範囲の上限を超えると判定された場合に，前記送信周期検査パラメータを第１検査パラメータに更新し，
　前記検査部は，
更新された
　セキュリティ装置。
【請求項４】
　前記送信周期検査パラメータは，前記送信周期の許容範囲を示す閾値を含み，
　前記更新部における，前記送信周期検査パラメータの更新は，前記閾値の更新である
　請求項３記載のセキュリティ装置。
【請求項５】
　前記保持部は更に，前記ＤＬＣの値の検査に係るＤＬＣ検査パラメータと，前記データフィールドに格納されたデータの値の検査に係るデータ検査パラメータとを保持し，
　前記送信周期検査パラメータは，前記送信周期の許容範囲を示す第１の閾値を含み，
　前記ＤＬＣ検査パラメータは，前記ＤＬＣの値の許容範囲を示す第２の閾値を含み，
　前記データ検査パラメータは，前記データの値の許容範囲を示す第３の閾値を含み，
　前記更新部は，前記受信部により受信されたフレームに関し，前記送信頻度が所定の許容範囲の上限を超える場合に，前記受信部により受信されたフレームの条件が成立したと判定して前記送信周期検査パラメータにおける前記第１の閾値と，前記ＤＬＣ検査パラメータにおける前記第２の閾値と，前記データ検査パラメータにおける前記第３の閾値とを更新する
　請求項３記載のセキュリティ装置。
【請求項６】
　前記セキュリティ装置は更に，１つ以上の前記電子制御ユニットに対する攻撃フレームの影響を抑制するように前記検査部による検査結果に応じた処理を行う処理部を備える
　請求項２〜５のいずれか一項に記載のセキュリティ装置。
【請求項７】
　前記検査部は，前記受信部によりフレームの前記ＩＤフィールドが受信された後であって前記データフィールドに後続する部分が受信される前に前記検査を行う
　請求項２〜６のいずれか一項に記載のセキュリティ装置。
【請求項８】
　１つ又は複数のバスを介して複数の電子制御ユニットがＣＡＮ（Controller Area Network）プロトコルに従ってフレームの授受を行う車載ネットワークシステムにおいて用いられる攻撃検知方法であって，
　前記フレームは，ＩＤを格納するＩＤフィールド，ＤＬＣ（Data Length Code）及びデータフィールドを含むデータフレームであり，
　前記バスからフレームを受信する受信ステップと，
　前記受信ステップで受信されたフレームに関し，前記ＩＤが同値の２つのフレームが送信される時間間隔である送信周期について判定を行うチェックステップと，
　前記チェックステップにおいて，前記ＩＤが同値の２つのフレームの受信間隔が所定の許容範囲から外れる場合に，フレームについての検査内容を規定する，前記データフィールドに格納されたデータの値の検査に係るデータ検査パラメータを，更新する更新ステップと，
　前記更新ステップで更新された前記データ検査パラメータに基づいて，前記受信ステップで受信されたフレームが攻撃フレームか否かの判定に係る検査を行う検査ステップとを含み，
　前記更新ステップは，前記受信ステップにより受信された第１フレームに関連し，前記チェックステップにおいて前記ＩＤが同値の２つのフレームの受信間隔が所定の許容範囲から外れると判定された場合に，前記データ検査パラメータを第１検査パラメータに更新し，
　前記検査ステップは，
更新された
　攻撃検知方法。
【請求項９】
　１つ又は複数のバスを介して複数の電子制御ユニットがＣＡＮ（Controller Area Network）プロトコルに従ってフレームの授受を行う車載ネットワークシステムにおいて用いられる攻撃検知方法であって，
　前記フレームは，ＩＤを格納するＩＤフィールド，ＤＬＣ（Data Length Code）及びデータフィールドを含むデータフレームであり，
　前記バスからフレームを受信する受信ステップと，
　前記受信ステップで受信されたフレームに関し，前記ＩＤが同値の１つ以上のフレームが所定の単位時間内に送信される頻度である送信頻度が所定の許容範囲の上限を超えるか否かを判定するチェックステップと，
　前記チェックステップにおいて，前記ＩＤが同値の１つ以上のフレームが所定の単位時間内に送信される頻度である送信頻度が所定の許容範囲の上限を超える場合に，フレームについての検査内容を規定する，前記ＩＤが同値の２つのフレームが送信される時間間隔である送信周期の検査に係る送信周期検査パラメータを，更新する更新ステップと，
　前記更新ステップで更新された前記送信周期検査パラメータに基づいて，前記受信ステップで受信されたフレームが攻撃フレームか否かの判定に係る検査を行う検査ステップとを含み，
　前記更新ステップは，前記受信ステップにより受信された第１フレームに関連し，前記ＩＤが同値の１つ以上のフレームが所定の単位時間内に送信される頻度である送信頻度が所定の許容範囲の上限を超えると判定された場合に，前記送信周期検査パラメータを第１検査パラメータに更新し，
　前記検査ステップは，
更新された
　攻撃検知方法。
【請求項１０】
　１つ又は複数のバスを介してＣＡＮ（Controller Area Network）プロトコルに従ってフレームの授受を行う複数の電子制御ユニットと接続される，マイクロプロセッサを含むセキュリティ装置に所定処理を実行させるためのプログラムであって，
　前記フレームは，ＩＤを格納するＩＤフィールド，ＤＬＣ（Data Length Code）及びデータフィールドを含むデータフレームであり，
　前記所定処理は，
　１つの前記バスからフレームを受信する受信ステップと，
　前記受信ステップで受信されたフレームに関し，前記ＩＤが同値の２つのフレームが送信される時間間隔である送信周期について判定を行うチェックステップと，
　前記チェックステップにおいて，前記ＩＤが同値の２つのフレームの受信間隔が所定の許容範囲から外れる場合に，フレームについての検査内容を規定する，前記データフィールドに格納されたデータの値の検査に係るデータ検査パラメータを，更新する更新ステップと，
　前記更新ステップで更新された前記データ検査パラメータに基づいて，前記受信ステップで受信されたフレームが攻撃フレームか否かの判定に係る検査を行う検査ステップとを含み，
　前記更新ステップは，前記受信ステップにより受信された第１フレームに関連し，前記チェックステップにおいて前記ＩＤが同値の２つのフレームの受信間隔が所定の許容範囲から外れると判定された場合に，前記データ検査パラメータを第１検査パラメータに更新し，
　前記検査ステップは，
更新された
　プログラム。
【請求項１１】
　１つ又は複数のバスを介してＣＡＮ（Controller Area Network）プロトコルに従ってフレームの授受を行う複数の電子制御ユニットと接続される，マイクロプロセッサを含むセキュリティ装置に所定処理を実行させるためのプログラムであって，
　前記フレームは，ＩＤを格納するＩＤフィールド，ＤＬＣ（Data Length Code）及びデータフィールドを含むデータフレームであり，
　前記所定処理は，
　１つの前記バスからフレームを受信する受信ステップと，
　前記受信ステップで受信されたフレームに関し，前記ＩＤが同値の１つ以上のフレームが所定の単位時間内に送信される頻度である送信頻度が所定の許容範囲の上限を超えるか否かを判定するチェックステップと，
　前記チェックステップにおいて，前記ＩＤが同値の１つ以上のフレームが所定の単位時間内に送信される頻度である送信頻度が所定の許容範囲の上限を超える場合に，フレームについての検査内容を規定する，前記ＩＤが同値の２つのフレームが送信される時間間隔である送信周期の検査に係る送信周期検査パラメータを，更新する更新ステップと，
　前記更新ステップで更新された前記送信周期検査パラメータに基づいて，前記受信ステップで受信されたフレームが攻撃フレームか否かの判定に係る検査を行う検査ステップとを含み，
　前記更新ステップは，前記受信ステップにより受信された第１フレームに関連し，前記ＩＤが同値の１つ以上のフレームが所定の単位時間内に送信される頻度である送信頻度が所定の許容範囲の上限を超えると判定された場合に，前記送信周期検査パラメータを第１検査パラメータに更新し，
　前記検査ステップは，
更新された
　プログラム。」
第４　引用文献および引用発明
１　引用文献１の記載事項
　原査定の拒絶理由に引用された引用文献１には，図面とともに次の事項が記載されている（下線は，当審が付加した。以下同様。）。
ア　「【技術分野】
【０００１】
　本発明は，
ネットワーク装置
に関する
【背景技術】
【０００２】
　通信異常を検出して通信の中継を制御する技術として，特開２００８−２３６４０８公報には，エラーフレームを送信しているＥＣＵが存在し通信異常となっているバスを検出すると共に，該バスに接続されたメッセージフレームの送信周期が異常であるＥＣＵを特定する情報処理装置を提供するため，多重通信用のバスを介して接続された複数のＥＣＵを中継接続ユニットを介して接続し，この中継接続ユニットでＥＣＵの通信を中継し，中継接続ユニットは通信異常の検出手段として，バスを介してＥＣＵから受信するメッセージフレームｍの数を，各メッセージフレームに付されたＩＤ（識別子）毎にカウントするカウンタと，カウンタでのカウント数を予め設定した単位時間あたりの基準値と比較してメッセージフレームが通信異常であると判定するカウンタ値チェック手段とを備える中継装置が記載されている。
【０００３】
　また，特表２００７−５２８６２１号公報に記載された中継装置は，不正アクセスを検出して通信経路を切断するとともに，他の通信経路を確保するため，受信したパケットの通信ヘッダをアクセスパターンＤＢに基づいて検証して，不正アクセスを検出したか否かを判定し，不正アクセスを検出したと判定した場合，パケットの送信元の車載通信装置を識別し，車載通信装置のコネクションを切断するための制御信号を送信する。また，制御信号を送信するとともに，経路制御テーブルを更新して他の車載通信装置を経由する通信経路を確保する。
（中略）
【発明が解決しようとする課題】
【０００５】
　ネットワークを介し，不正機器が不正なデータを送信して機器の異常動作を引き起こす不正攻撃（後述するなりすまし攻撃など）が問題になっている。
【０００６】
　このような不正攻撃による通信異常に，特許文献１の技術を適用した場合，メッセージフレームの送出周期を受信周期基準値の下限値と比較し，異常を判定するなどして，周期情報を正常値と比較することになる。また特許文献２の技術によれば，受信したデータのヘッダ情報に基づいて不正アクセスを検出することになる。
【０００７】
　しかし，特許文献１ではなりすまし攻撃についての対処方法については考慮されておらず，特許文献２の方法では，なりすまし攻撃はヘッダが偽装されているため，なりすまし攻撃を検知することができない。
【０００８】
　本発明は上記状況に鑑みて為されたものであり，
なりすまし攻撃について検知および防御することを目的とする
【課題を解決するための手段】
【０００９】
　上記課題を解決するために，
なりすまし攻撃発生時には，同一の識別子を持つデータのデータ送出周期が設計周期より短周期となることから，ネットワーク装置においてデータの受信周期を判定し，設計周期より短い周期でデータを受信した場合に，不正な攻撃が発生していることを検知し，攻撃に対する防御動作（フェールセーフ，不正転送防止，データの破棄，状態の記録，ユーザーまたは他システムへの警告通知，等）を行う
【発明の効果】
【００１０】
　本発明によれば，ネットワーク上で不正な攻撃（例えば後述するなりすまし攻撃）が発生した場合に防御動作を行い不正に対処することが可能となる。
【００１１】
　また不正検知時の誤検知低減，データ確認時の負荷低減，についても可能になる。」
イ　図３
ウ　「【００１７】
　図３は，ネットワークシステム２の内部構成を示している。この
ネットワークシステム上のネットワーク装置はネットワークバス３０１に接続されており，ネットワークバス３０１は例えばＣＡＮバスなどである
ネットワークバス３０１には，
各ハードウェアの制御およびネットワークバスとのデータ送受信を行うＥＣＵ（Electronic Control Unit：電子制御ユニット）３０２，およびネットワークバス間を接続してそれぞれのネットワークバスとデータの送受信を行うゲートウェイ（以下ＧＷ）３０３が接続されている
【００１８】
　ＧＷ３０３はＧＷ機能を有するＥＣＵであってもよく，またＥＣＵ３０２はＥＣＵの機能を有するＧＷであってもよく，ＧＷ３０３とＥＣＵ３０２はそれぞれが両方の機能を有する場合がある。
【００１９】
　また，
ＧＷ３０３やＥＣＵ３０２など，ネットワークバスで接続される装置のことをネットワーク装置と総称する
エ　図４
オ　「【００２２】
　図４は，本発明にかかる
ネットワーク装置であるＧＷ３０３の内部構成
キャッシュやレジスタなどの記憶素子を持ち制御を実行するＣＰＵなどのプロセッサ４０１，複数のネットワークバス３０１に対してデータの送受信を行う通信Ｉ／Ｆ４０２，
クロックなどを使用して時間および時刻の管理を行うタイマ４０３，プログラムおよび不揮発性のデータを保存するＲＯＭ（Read Only Memory）４０４，揮発性のデータを保存するＲＡＭ（Random Access Memory）４０５，ネットワーク装置内部での通信に用いられる内部バス４０６，を備えている
カ　図５
キ　「【００２４】
　次に，ネットワーク装置で動作するソフトウェアモジュールの構成を図５に示す。
ネットワーク装置では，
フィルタテーブル５０４や，
受信時刻テーブル５０５がＲＡＭ４０５に格納されている。また，通信Ｉ／Ｆ４０２の動作および状態を管理して内部バス４０６を介し通信Ｉ／Ｆ４０２に指示を行う通信管理部５０２，タイマ４０３を管理して時間に関する情報取得や制御を行う時間管理部５０３，通信Ｉ／Ｆ４０２から取得したデータの解析やソフトウェアモジュール全体の制御を行う制御部５０１などの各モジュールがプロセッサ４０１によって実行され
また，
異常関連情報を記録しておく異常関連情報ログ５０６を有している
異常関連情報ログ５０６はＲＡＭ４０５に記録される
ク　図６（ａ）
ケ　「＜ネットワークプロトコルの例＞
　図６に，
ネットワークバス３０２で用いられる通信プロトコル
ＣＡＮの通信プロトコルにおけるフレームのデータ構造
【００２６】
　ＣＡＮでは同一バス上に接続されたネットワーク装置が，送信時にバス信号をドミナント（０）に設定し，送信時または受信時にバス信号のドミナント（０）またはリセッシブ（１）を検知することにより通信を行う。
【００２７】
　ＳＯＦ（Start Of Frame）はフレームの開始位置を示しており，フレームの同期を取るためにも用いられている。
【００２８】
　
識別子（ＩＤ）は，フレームで送信するデータのＩＤ（以下，データＩＤ）を示しており，
【００２９】
　識別子（ＩＤ）とＲＴＲ（Remote Transmission Request）ビットからなる部分をアービトレーション・フィールドと呼び，このアービトレーション・フィールドの値によりバスのアービトレーション（調停）を行っている。
【００３０】
　コントロール・フィールドのＲＢ１，ＲＢ０は予約ビットであり，図６（ａ）のフォーマットの例ではどちらもドミナントが設定される。また，
データ長コードは，データ・フィールドのデータ長（バイト数）を表している
【００３１】
　
データ・フィールドは，送信するデータの内容を示しており，
【００３２】
　ＣＲＣ・フィールドには，フレームのＣＲＣが入力され，ＣＲＣ境界はアクノリッジとの境界のために，常にリセッシブで送信される。
【００３３】
　受信ノード（本実施例における，ＥＣＵ３０２やＧＷ３０３）では，正しくデータを受信した場合に，応答のためにこのアクノリッジのビットをドミナントに設定することで送信データの応答を返す。
【００３４】
　ＥＯＦ（End Of Frame）はフレームの終端を示し，７ビットのリセッシブとなっている。
【００３５】
　ＣＡＮバスでは，以上のようなフォーマットでネットワーク装置同士がデータの送受信を行っている。」
コ　「【００３８】
　ここではＣＡＮを例に説明しているが，例えばＦｌｅｘｒａｙ（登録商標）などのプロトコルにおいても周期的なデータの送受信を行っている。またＥｔｈｅｒｎｅｔなどの例においても異なるフォーマットでデータの送受信を行っており，周期的に情報を送るなどの処理を行っており，本発明について同様に適用可能である。
＜通信Ｉ／Ｆにおけるデータ送受信処理＞
　通信Ｉ／Ｆ４０２のデータ受信処理として，例えば設計時に定められた自ネットワーク装置で受信が必要なデータＩＤをプロセッサ４０１がフィルタテーブル５０４から読み出し，通信Ｉ／Ｆ４０２に指定する。受信が必要なデータＩＤの指定を受けた
通信Ｉ／Ｆ４０２は，自ネットワーク装置が接続されているネットワークバス３０１で送信される信号を監視し，指定されたデータＩＤを有するデータ・フレームが，ネットワークバス３０１上で送信された場合に，このデータＩＤを持つデータ・フレームを受信して，データを受信したことをこのデータ・フレームのデータと共にプロセッサ４０１に通知する，といったデータ受信処理を行う
サ　「【００４６】
　本発明の第１の実施形態について以下に示す。ここでは図３におけるＧＷ３０３に本発明を適用した例を示す。
【００４７】
　
ＧＷ３０３が有するフィルタテーブル５０４
フィルタテーブル５０４には，受信するデータ・フレームのデータＩＤ８０２と，各データＩＤごとのデータ送出周期８０３（以下，所定周期）が格納されている
【００４８】
　ＧＷ３０３では，通信Ｉ／Ｆ４０２においてネットワークバス３０１からデータ・フレームを受信した場合，通信管理部５０２がその受信を検知する。そして通信管理部５０２は，データ・フレームの受信を検知したタイミングで，そのデータの受信時刻を時間管理部５０３から取得し，制御部５０１に対して，受信したデータの内容およびデータの受信時刻を通知する。
【００４９】
　通信管理部５０２からこの通知を受信した
制御部５０１は，受信したデータの周期判定処理を行う
【００５０】
　ＩＤ異常検出時処理Ｓ１０２を行う状態では，想定していないデータＩＤを持つデータがネットワークバス上に送信されていることから，不正攻撃が発生している可能性が高いと判断し，このＩＤ異常検出時処理としては，ＩＤに関する異常が発生したとみなして後述する異常検出時処理を行う。
【００５１】
　Ｓ１０１における受信データのデータＩＤがフィルタテーブル５０４に存在しているか否かの判定において，フィルタテーブル５０４にデータ発生バスＩＤが記載されている場合は，データを受信したネットワークバスのＩＤと，フィルタテーブル５０４のデータ発生バスが一致しているか否かについても確認する。これにより，データＩＤの一致だけでなくデータ発生バスの一致についても確認可能なため，本来送出されてくるネットワークバス以外からのデータ送信を把握することができるため，より周期異常を検知しやすくなる。
【００５２】
　ステップＳ１０１の処理において，
受信データのデータＩＤがフィルタテーブル５０４に存在している場合
【００５３】
　ステップＳ１０３の処理で，制御部５０１は，通信管理部５０２からの通知に含まれる
受信時刻と，
受信時刻テーブル５０５に記憶しておいた同一データＩＤの前回受信時刻を比較して，受信データのデータＩＤが示すデータ・フレームの受信周期を計算し，計算した結果の受信周期を，フィルタテーブル５０４の周期と比較する周期判定を行う
この周期判定の結果が異常と判定された場合
短周期検出時処理を行う
【００５４】
　この周期判定で異常と判定される場合とは，前回受信時刻に基づき計算した受信周期が，フィルタテーブル５０４に格納されている該当データＩＤの周期より小さい場合を指す。ここで比較の際には，フィルタテーブル５０４の周期と直接比較する以外に，誤差に対するマージンを計算し，判定を行ってもよい。具体的にはフィルタテーブルに格納されている周期が１０ｍｓであった場合に１０％のマージンを取り，受信周期が９ｍｓより小さい場合に短周期と判定する。これにより，衝突などにより周期が乱れた場合でも，短周期と誤判定する可能性が少なくなる。
【００５５】
　計算した結果の周期をフィルタテーブル５０４と比較して異常でないと判定した場合（Ｓ１０３：Ｙｅｓ）は，終了時処理（Ｓ１０５）を実行する。ここでの終了時処理Ｓ１０５として，データＩＤを受信した受信時刻を，図１３に示すような受信時刻テーブル５０５に記憶し，データＩＤが示すデータの前回受信時刻として使用する。受信時刻テーブル５０５には，データＩＤ（１３０１）毎に，データ・フレームの受信時刻を記録する構成となっており，終了時処理において，データＩＤに対応する前回受信時刻（１３０２）の欄に受信時刻を記録してゆく。
【００５６】
　このようにして制御部５０１ではデータ・フレームが予め決められていた周期よりも短周期で送信されている状態の検出を行う。」
シ　図９
ス　「＜短周期検出時処理＞
　次に，周期判定でデータ・フレーム送信周期の短周期を検出した時に制御部５０１で実行される短周期検出時処理について，図９に示すフローチャートを元に説明する。
この短周期検出時処理では，
更に次の同一データＩＤのデータ・フレームを，一定時間内に受信するか否かを判定する
【００５７】
　そこで制御部５０１は，短周期を検出したデータＩＤを持つデータ・フレームのデータ受信を待つ。このため，通信管理部５０２から通知されるデータ・フレームのデータＩＤを監視し，
短周期を検出したデータＩＤのデータ・フレームの受信が通知された場合
周期異常検出時処理を実行する
短周期を検出したデータＩＤのデータを受信していない場合
には，受信が通知されてきたデータ・フレームについて
待機時間を経過していないかの確認を行う
【００５８】
　待機時間とは，短周期（想定している周期よりも短い周期でのデータ受信）を検出した場合に，基準とする前回受信時刻に対し想定している正常な周期でのデータ受信時刻までの時間を表し，図７（ｂ）の周期Ｔ−時間Ｘの時間に相当する。具体的には下記のような計算式（式１）で求めることが可能となる。
【００５９】
　待機時間＝フィルタテーブルの周期−（データ受信時刻−前回受信時刻）　　…（式１）
　この待機時間についても周期判定の場合と同様，マージンを含む計算を行っても良い。例えば計算した結果の待機時間が２ｍｓ（例えば，１０ｍｓ間隔での受信を想定している場合に，前回の受信から８ｍｓ後に同一データＩＤのデータを受信）の場合に，待機時間を計算で求めた２ｍｓでなく，
衝突の発生などによる送信周期の乱れを考慮してフィルタテーブルに登録されている周期の時間の２０％を待機時間のマージンとし，このマージンに相当する２ｍｓを加算した４ｍｓを待機時間とし
【００６０】
　制御部５０１は，現在の時間が待機時間を経過していない場合（Ｓ９０３：Ｎｏ），には所定時間処理の待機を行い，再度ステップＳ９０１を実行する。また
待機時間が到来した場合
には，タイムアウト処理
を行う
【００６１】
　
タイムアウト処理
では，タイムアウトが発生した場合（待機時間を経過した場合）には，短周期を検出したデータが実際はネットワークバス上の送出周期の乱れにより，周期が短くなっただけの正常なデータであり，なりすましのデータが受信されたものではない可能性が高いため，一旦は短周期と判定されたデータに対してこのデータを正常に受信したと判定された場合に実施する処理（例えばデータの転送処理）を実施する
【００６２】
　このようにしてデータの短周期が検出されたデータＩＤを持つデータ・フレームについて周期性を確認し，不正なデータ送信が無いかを確認する。」
セ　「＜周期異常検出時処理＞
　
周期異常検出時処理としては，周期が異常であったという情報を基に，
異常検出時処理を実施する
＜異常検出時処理＞
　異常検出時処理としては，受信するＩＤが異常であった場合や，周期の異常を検出した場合に制御部５０１によって実行される。
【００６６】
　
異常検出時処理の例としては，（１）受信したデータを処理せずに破棄，（２）異常が発生したことを検出した異常の種類（ＩＤ異常，周期異常）と異常発生回数（累積値）と共に異常ログ情報へ記録，（３）異常を通知するための異常通知処理の実施，などの処理を行う
２　引用発明
　上記１の引用文献１の，特に下線を付加した記載に着目すると，引用文献１には，以下の発明（以下，「引用発明」という。）が記載されていると認められる。
「ネットワーク装置に関し，なりすまし攻撃について検知および防御することを目的とし，
　なりすまし攻撃発生時には，同一の識別子を持つデータのデータ送出周期が設計周期より短周期となることから，ネットワーク装置においてデータの受信周期を判定し，設計周期より短い周期でデータを受信した場合に，不正な攻撃が発生していることを検知し，攻撃に対する防御動作（フェールセーフ，不正転送防止，データの破棄，状態の記録，ユーザーまたは他システムへの警告通知，等）を行うネットワーク装置であって，
　ネットワークシステム上のネットワーク装置はネットワークバス３０１に接続されており，ネットワークバス３０１は例えばＣＡＮバスなどであり，
　ネットワークバス３０１には，各ハードウェアの制御およびネットワークバスとのデータ送受信を行うＥＣＵ（Electronic Control Unit：電子制御ユニット）３０２，およびネットワークバス間を接続してそれぞれのネットワークバスとデータの送受信を行うゲートウェイ（以下ＧＷ）３０３が接続されており，ＧＷ３０３やＥＣＵ３０２など，ネットワークバスで接続される装置のことをネットワーク装置と総称しており，
　ネットワーク装置であるＧＷ３０３の内部構成では，キャッシュやレジスタなどの記憶素子を持ち制御を実行するＣＰＵなどのプロセッサ４０１，複数のネットワークバス３０１に対してデータの送受信を行う通信Ｉ／Ｆ４０２，クロックなどを使用して時間および時刻の管理を行うタイマ４０３，プログラムおよび不揮発性のデータを保存するＲＯＭ（Read Only Memory）４０４，揮発性のデータを保存するＲＡＭ（Random Access Memory）４０５，ネットワーク装置内部での通信に用いられる内部バス４０６，を備えており，
　ネットワーク装置では，フィルタテーブル５０４や，受信時刻テーブル５０５がＲＡＭ４０５に格納されており，また，通信Ｉ／Ｆ４０２の動作および状態を管理して内部バス４０６を介し通信Ｉ／Ｆ４０２に指示を行う通信管理部５０２，タイマ４０３を管理して時間に関する情報取得や制御を行う時間管理部５０３，通信Ｉ／Ｆ４０２から取得したデータの解析やソフトウェアモジュール全体の制御を行う制御部５０１などの各モジュールがプロセッサ４０１によって実行されており，また，異常関連情報を記録しておく異常関連情報ログ５０６を有しており，異常関連情報ログ５０６はＲＡＭ４０５に記録されており，
　ネットワークバス３０２で用いられる通信プロトコルであるＣＡＮの通信プロトコルにおけるフレームのデータ構造において，識別子（ＩＤ）は，フレームで送信するデータのＩＤ（以下，データＩＤ）を示しており，データ長コードは，データ・フィールドのデータ長（バイト数）を表しており，データ・フィールドは，送信するデータの内容を示しており，
　通信Ｉ／Ｆ４０２は，自ネットワーク装置が接続されているネットワークバス３０１で送信される信号を監視し，指定されたデータＩＤを有するデータ・フレームが，ネットワークバス３０１上で送信された場合に，このデータＩＤを持つデータ・フレームを受信して，データを受信したことをこのデータ・フレームのデータと共にプロセッサ４０１に通知する，といったデータ受信処理を行っており，
　ＧＷ３０３が有するフィルタテーブル５０４には，受信するデータ・フレームのデータＩＤ８０２と，各データＩＤごとのデータ送出周期８０３（以下，所定周期）が格納されており，
　制御部５０１は，受信したデータの周期判定処理を行っており，受信データのデータＩＤがフィルタテーブル５０４に存在している場合に，受信時刻と，受信時刻テーブル５０５に記憶しておいた同一データＩＤの前回受信時刻を比較して，受信データのデータＩＤが示すデータ・フレームの受信周期を計算し，計算した結果の受信周期を，フィルタテーブル５０４の周期と比較する周期判定を行い，この周期判定の結果が異常と判定された場合，短周期検出時処理を行っており，この短周期検出時処理では，更に次の同一データＩＤのデータ・フレームを，一定時間内に受信するか否かを判定し，短周期を検出したデータＩＤのデータ・フレームの受信が通知された場合，周期異常検出時処理を実行し，短周期を検出したデータＩＤのデータを受信していない場合には，受信が通知されてきたデータ・フレームについて待機時間を経過していないかの確認を行い，衝突の発生などによる送信周期の乱れを考慮してフィルタテーブルに登録されている周期の時間の２０％を待機時間のマージンとし，このマージンに相当する２ｍｓを加算した４ｍｓを待機時間とし，待機時間が到来した場合には，タイムアウト処理を行い，
　タイムアウト処理では，タイムアウトが発生した場合（待機時間を経過した場合）には，短周期を検出したデータが実際はネットワークバス上の送出周期の乱れにより，周期が短くなっただけの正常なデータであり，なりすましのデータが受信されたものではない可能性が高いため，一旦は短周期と判定されたデータに対してこのデータを正常に受信したと判定された場合に実施する処理（例えばデータの転送処理）を実施し，
　周期異常検出時処理としては，周期が異常であったという情報を基に，異常検出時処理を実施し，異常検出時処理の例としては，（１）受信したデータを処理せずに破棄，（２）異常が発生したことを検出した異常の種類（ＩＤ異常，周期異常）と異常発生回数（累積値）と共に異常ログ情報へ記録，（３）異常を通知するための異常通知処理の実施，などの処理を行う
ネットワーク装置。」
３　引用文献２の記載および記載技術
　原査定の拒絶理由に引用された引用文献２には，図面とともに次の事項が記載されている。
ア　「【課題】
送信エラーが発生した場合であっても，所定の通信周期において受信すべきデータを受信できない状態が発生することを防止するとともに，特別なデータの送信をできる限り行う
【解決手段】
再送制御部が，通信周期における１周期内に検出された送信エラーの検出回数または継続時間が送信停止判定閾値を超えた場合に，当該通信周期における再送処理を禁止
して，再送制御部が，送信エラーとなったデータがモータＥＣＵに対して送信の開始を指示するデータである場合には，他のデータの場合よりも再送処理の禁止を判断する送信停止判定閾値を高くするようにＨＶ−ＥＣＵを構成する
イ　上記アの記載の，特に下線部に着目すると，引用文献２には，以下の技術（以下，「引用文献２記載技術」という。）が記載されていると認められる。
「送信エラーが発生した場合であっても，所定の通信周期において受信すべきデータを受信できない状態が発生することを防止するとともに，特別なデータの送信をできる限り行うために，
　再送制御部が，通信周期における１周期内に検出された送信エラーの検出回数または継続時間が送信停止判定閾値を超えた場合に，当該通信周期における再送処理を禁止して，再送制御部が，送信エラーとなったデータがモータＥＣＵに対して送信の開始を指示するデータである場合には，他のデータの場合よりも再送処理の禁止を判断する送信停止判定閾値を高くするようにＨＶ−ＥＣＵを構成した技術。」
４　引用文献３の記載および記載技術
　原査定の拒絶理由に引用された引用文献３には，図面とともに次の事項が記載されている。
ア　「【技術分野】
【０００１】
　本発明はフレーム監視装置に関し，特に
ＣＡＮバス上のフレームを監視するフレーム監視装置に関する
（中略）
【発明が解決しようとする課題】
【０００７】
　しかし，ＣＡＮバスに接続されているノードの故障や，設計段階におけるデバック時等において，ＣＡＮバス上に送出されるべきでない不適切なフレームがＣＡＮバス上に送出される場合があり，このようなＣＡＮバス上のフレームを検出できることが望まれていた。
【０００８】
　本発明はこのような点に鑑みてなされたものであり，
ＣＡＮバス上に送出される不適切なフレームを検出することができるフレーム監視装置を提供することを目的とする
イ　「【００２２】
　次に，図２のハードウェア構成例によって実現されるフレーム監視装置１０の機能について説明する。
　図３は，フレーム監視装置の機能ブロック図である。図に示すように
フレーム監視装置１０は，フレーム受信部１１，受信フレーム情報記憶部１２，フレーム比較・判断部１３，およびフレーム情報記憶部１４を有している
（中略）
【００２９】
　図３の説明に戻る。
フレーム比較・判断部１３は，受信フレーム情報記憶部１２に記憶されている情報と，フレーム情報記憶部１４に記憶されている情報とを比較し，ＣＡＮバス３１上に送出されているフレームが未定義ＩＤのフレームであるか，未定義ＤＬＣのフレームであるか，通信周期異常のフレームであるか判断する
受信フレーム情報記憶部１２に記憶されているＩＤ（受信されたフレームのＩＤ）が，フレーム情報記憶部１４のＩＤの欄に記憶されていなければ，フレーム比較・判断部１３は，未定義ＩＤのフレームがＣＡＮバス３１上に送出されていると判断する
受信されたフレームのＤＬＣが，フレーム情報記憶部１４のＤＬＣの欄に記憶されていなければ，フレーム比較・判断部１３は，未定義ＤＬＣのフレームがＣＡＮバス３１上に送出されていると判断する
受信されたフレームの受信周期が，フレーム情報記憶部１４の通信周期の欄に記憶されていなければ，フレーム比較・判断部１３は，通信周期異常のフレームがＣＡＮバス３１上に送出されていると判断する
ウ　上記アおよびイの記載の，特に下線部に着目すると，引用文献３には，以下の技術（以下，「引用文献３記載技術」という。）が記載されていると認められる。
「ＣＡＮバス上のフレームを監視するフレーム監視装置に関し，
　ＣＡＮバス上に送出される不適切なフレームを検出することができるフレーム監視装置であって，
　フレーム監視装置１０は，フレーム受信部１１，受信フレーム情報記憶部１２，フレーム比較・判断部１３，およびフレーム情報記憶部１４を有しており，
　フレーム比較・判断部１３は，受信フレーム情報記憶部１２に記憶されている情報と，フレーム情報記憶部１４に記憶されている情報とを比較し，ＣＡＮバス３１上に送出されているフレームが未定義ＩＤのフレームであるか，未定義ＤＬＣのフレームであるか，通信周期異常のフレームであるか判断しており，
　受信フレーム情報記憶部１２に記憶されているＩＤ（受信されたフレームのＩＤ）が，フレーム情報記憶部１４のＩＤの欄に記憶されていなければ，フレーム比較・判断部１３は，未定義ＩＤのフレームがＣＡＮバス３１上に送出されていると判断し，
　受信されたフレームのＤＬＣが，フレーム情報記憶部１４のＤＬＣの欄に記憶されていなければ，フレーム比較・判断部１３は，未定義ＤＬＣのフレームがＣＡＮバス３１上に送出されていると判断し，
　受信されたフレームの受信周期が，フレーム情報記憶部１４の通信周期の欄に記憶されていなければ，フレーム比較・判断部１３は，通信周期異常のフレームがＣＡＮバス３１上に送出されていると判断する
フレーム監視装置。」
第５　対比・判断
１　本願第１発明について
（１）対比
　本願第１発明と引用発明とを対比すると，次のことが認められる。
ア　引用発明は，「ネットワーク装置に関し，なりすまし攻撃について検知および防御することを目的とし，なりすまし攻撃発生時には，同一の識別子を持つデータのデータ送出周期が設計周期より短周期となることから，ネットワーク装置においてデータの受信周期を判定し，設計周期より短い周期でデータを受信した場合に，不正な攻撃が発生していることを検知し，攻撃に対する防御動作（フェールセーフ，不正転送防止，データの破棄，状態の記録，ユーザーまたは他システムへの警告通知，等）を行うネットワーク装置であって，ネットワークシステム上のネットワーク装置はネットワークバス３０１に接続されており，ネットワークバス３０１は例えばＣＡＮバスなどであり，ネットワークバス３０１には，各ハードウェアの制御およびネットワークバスとのデータ送受信を行うＥＣＵ（Electronic Control Unit：電子制御ユニット）３０２，およびネットワークバス間を接続してそれぞれのネットワークバスとデータの送受信を行うゲートウェイ（以下ＧＷ）３０３が接続されており，ＧＷ３０３やＥＣＵ３０２など，ネットワークバスで接続される装置のことをネットワーク装置と総称して」いる。
　ここで，引用発明の「ゲートウェイ（以下ＧＷ）」は，「ＥＣＵ（Electronic Control Unit：電子制御ユニット）」に，「ＣＡＮバス」を介して接続される「ネットワーク装置」であるといえ，引用発明の「ＥＣＵ（Electronic Control Unit：電子制御ユニット）」は，本願第１発明の「電子制御ユニット」に相当し，引用発明の「ネットワーク装置と総称」される「ＧＷ」と本願第１発明の「セキュリティ装置」とは「装置」である点で共通しているから，引用発明も，本願第１発明同様，「１つ又は複数のバスを介して」「複数の電子制御ユニットと接続される」「装置」であるといえる。
　また，引用発明において，「ネットワークバス３０２で用いられる通信プロトコルであるＣＡＮの通信プロトコルにおけるフレームのデータ構造」を用いていることから，引用発明も，本願第１発明同様，「電子制御ユニットと」の間で「ＣＡＮ（Controller Area Network）プロトコルに従ってフレームの授受を行」っているといえる。
　さらに，引用発明の「ゲートウェイ（以下ＧＷ）」は，「データの受信周期を判定し，設計周期より短い周期でデータを受信した場合に，不正な攻撃が発生していることを検知し，攻撃に対する防御動作（フェールセーフ，不正転送防止，データの破棄，状態の記録，ユーザーまたは他システムへの警告通知，等）を行」っており，一般に，不正な攻撃が発生していることを検知したり，攻撃に対する防御動作を行う装置を「セキュリティ装置」と呼ぶことから，引用発明の「ゲートウェイ（以下ＧＷ）」も，本願第１発明同様，「セキュリティ装置」であるといえる。
　したがって，本願第１発明と引用発明とは，「１つ又は複数のバスを介してＣＡＮ（Controller Area Network）プロトコルに従ってフレームの授受を行う複数の電子制御ユニットと接続されるセキュリティ装置であ」る点で共通しているといえる。
イ　引用発明の「ネットワークバス３０２で用いられる通信プロトコルであるＣＡＮの通信プロトコルにおけるフレームのデータ構造において，識別子（ＩＤ）は，フレームで送信するデータのＩＤ（以下，データＩＤ）を示しており，データ長コードは，データ・フィールドのデータ長（バイト数）を表して」いるとされる。
　ここで，引用発明の，「フレームのデータ構造に」おいて「データのＩＤ（以下，データＩＤ）を示」す「識別子（ＩＤ）」，「フレームのデータ構造に」おける「データ長コード」，「データ・フィールド」は，それぞれ，本願第１発明の「ＩＤを格納するＩＤフィールド」，「ＤＬＣ（Data Length Code）」，「データフィールド」に相当する。
　したがって，本願第１発明と引用発明とは，「前記フレームは，ＩＤを格納するＩＤフィールド，ＤＬＣ（Data Length Code）及びデータフィールドを含むデータフレームであ」る点で共通しているといえる。
ウ　引用発明の「ＧＷ３０３の内部構成では，」「複数のネットワークバス３０１に対してデータの送受信を行う通信Ｉ／Ｆ４０２」「を備えており，」「通信Ｉ／Ｆ４０２は，自ネットワーク装置が接続されているネットワークバス３０１で送信される信号を監視し，指定されたデータＩＤを有するデータ・フレームが，ネットワークバス３０１上で送信された場合に，このデータＩＤを持つデータ・フレームを受信して，データを受信したことをこのデータ・フレームのデータと共にプロセッサ４０１に通知する，といったデータ受信処理を行って」いるとされている。
　ここで，引用発明の「通信Ｉ／Ｆ４０２」は，「データ・フレームが，ネットワークバス３０１上で送信された場合に，このデータＩＤを持つデータ・フレームを受信して」いるから，引用発明の「通信Ｉ／Ｆ４０２」は，本願第１発明の「１つの前記バスからフレームを受信する受信部」に相当するといえる。
　したがって，本願第１発明と引用発明とは，「１つの前記バスからフレームを受信する受信部」「を備え」ている点で共通しているといえる。
エ　引用発明の「ＧＷ３０３が有するフィルタテーブル５０４には，受信するデータ・フレームのデータＩＤ８０２と，各データＩＤごとのデータ送出周期８０３（以下，所定周期）が格納されており，制御部５０１は，受信したデータの周期判定処理を行っており，受信データのデータＩＤがフィルタテーブル５０４に存在している場合に，受信時刻と，受信時刻テーブル５０５に記憶しておいた同一データＩＤの前回受信時刻を比較して，受信データのデータＩＤが示すデータ・フレームの受信周期を計算し，計算した結果の受信周期を，フィルタテーブル５０４の周期と比較する周期判定を行い，この周期判定の結果が異常と判定された場合，短周期検出時処理を行っており，この短周期検出時処理では，更に次の同一データＩＤのデータ・フレームを，一定時間内に受信するか否かを判定し，短周期を検出したデータＩＤのデータ・フレームの受信が通知された場合，周期異常検出時処理を実行し，」「周期異常検出時処理としては，周期が異常であったという情報を基に，異常検出時処理を実施し，異常検出時処理の例としては，（１）受信したデータを処理せずに破棄，（２）異常が発生したことを検出した異常の種類（ＩＤ異常，周期異常）と異常発生回数（累積値）と共に異常ログ情報へ記録，（３）異常を通知するための異常通知処理の実施，などの処理を行う」とされている。
　ここで，引用発明の「ＧＷ３０３が有するフィルタテーブル５０４」に「格納された」「各データＩＤごとのデータ送出周期」に基づいて，「ＧＷ３０３」の「制御部５０１は，受信したデータの周期判定処理を行って」おり，引用発明の「受信したデータの周期判定」，「各データＩＤごとのデータ送出周期」，「フィルタテーブル５０４」は，それぞれ，本願第１発明の「フレームについての検査内容」，「データフィールドに格納されたデータの値の検査に係るデータ検査パラメータ」，「保持部」に対応するといえる。
　したがって，本願第１発明と引用発明とは，「フレームについての検査内容として，前記データフィールドに格納されたデータの値の検査に係るデータ検査パラメータを保持する保持部」を「備え」ている点で共通しているといえる。
オ　引用発明の「ＧＷ３０３」の「制御部５０１は，受信したデータの周期判定処理を行っており，受信データのデータＩＤがフィルタテーブル５０４に存在している場合に，受信時刻と，受信時刻テーブル５０５に記憶しておいた同一データＩＤの前回受信時刻を比較して，受信データのデータＩＤが示すデータ・フレームの受信周期を計算し，計算した結果の受信周期を，フィルタテーブル５０４の周期と比較する周期判定を行」っている。
　ここで，引用発明の「ＧＷ３０３」の「制御部５０１」は，「受信データ」と「同一データＩＤの前回受信」した「データ・フレームの受信周期を計算し，計算した結果の受信周期を，フィルタテーブル５０４の周期と比較する周期判定を行」っており，引用発明の「ＧＷ３０３」の「制御部５０１」，「同一データＩＤ」の「データ・フレーム」，「周期判定」は，それぞれ，本願第１発明の「チェック部」，「ＩＤが同値の２つのフレーム」，「送信周期について判定」に対応するから，引用発明の「ＧＷ３０３」の「制御部５０１」は，本願第１発明の「チェック部」と同様に，「前記受信部により受信されたフレームに関し，前記ＩＤが同値の２つのフレームが送信される時間間隔である送信周期について判定を行」っているといえる。
　したがって，本願第１発明と引用発明とは，「前記受信部により受信されたフレームに関し，前記ＩＤが同値の２つのフレームが送信される時間間隔である送信周期について判定を行うチェック部」を「備え」ている点で共通しているといえる。
カ　引用発明の「ＧＷ３０３が有するフィルタテーブル５０４には，受信するデータ・フレームのデータＩＤ８０２と，各データＩＤごとのデータ送出周期８０３（以下，所定周期）が格納されており，」「制御部５０１は，受信したデータの周期判定処理を行っており，受信データのデータＩＤがフィルタテーブル５０４に存在している場合に，受信時刻と，受信時刻テーブル５０５に記憶しておいた同一データＩＤの前回受信時刻を比較して，受信データのデータＩＤが示すデータ・フレームの受信周期を計算し，計算した結果の受信周期を，フィルタテーブル５０４の周期と比較する周期判定を行い，この周期判定の結果が異常と判定された場合，短周期検出時処理を行っており，この短周期検出時処理では，更に次の同一データＩＤのデータ・フレームを，一定時間内に受信するか否かを判定し，短周期を検出したデータＩＤのデータ・フレームの受信が通知された場合，周期異常検出時処理を実行し，」「周期異常検出時処理としては，周期が異常であったという情報を基に，異常検出時処理を実施し，異常検出時処理の例としては，（１）受信したデータを処理せずに破棄，（２）異常が発生したことを検出した異常の種類（ＩＤ異常，周期異常）と異常発生回数（累積値）と共に異常ログ情報へ記録，（３）異常を通知するための異常通知処理の実施，などの処理を行」っている。
　ここで，引用発明の「短周期検出時処理」では，「更に次の同一データＩＤのデータ・フレームを，一定時間内に受信するか否かを判定し，短周期を検出したデータＩＤのデータ・フレームの受信が通知された場合，周期異常検出時処理を実行し」ており，「一定時間内に受信するか否か」の「判定」は，「フィルタテーブル５０４に」「格納され」た「各データＩＤごとのデータ送出周期８０３」に基づいて行うものであるから，引用発明の「ＧＷ３０３」の「制御部５０１」は，本願第１発明の「検査部」と同様に，「前記保持部が保持する前記データ検査パラメータに基づいて，前記受信部により受信されたフレームが攻撃フレームか否かの判定に係る検査を行」っているといえる。
　したがって，本願第１発明と引用発明とは，「前記保持部が保持する前記データ検査パラメータに基づいて，前記受信部により受信されたフレームが攻撃フレームか否かの判定に係る検査を行う検査部とを備え」ている点で共通しているといえる。
（２）一致点・相違点
　本願第１発明と，引用発明とは，以下アの点で一致し，以下イの点で相違する。
ア　一致点
「１つ又は複数のバスを介してＣＡＮ（Controller Area Network）プロトコルに従ってフレームの授受を行う複数の電子制御ユニットと接続されるセキュリティ装置であって，
　前記フレームは，ＩＤを格納するＩＤフィールド，ＤＬＣ（Data Length Code）及びデータフィールドを含むデータフレームであり，
　１つの前記バスからフレームを受信する受信部と，
　フレームについての検査内容として，前記データフィールドに格納されたデータの値の検査に係るデータ検査パラメータを保持する保持部と，
　前記受信部により受信されたフレームに関し，前記ＩＤが同値の２つのフレームが送信される時間間隔である送信周期について判定を行うチェック部と，
　前記保持部が保持する前記データ検査パラメータに基づいて，前記受信部により受信されたフレームが攻撃フレームか否かの判定に係る検査を行う検査部とを備えた
セキュリティ装置。」
イ　相違点
　本願第１発明では，「前記チェック部において，前記ＩＤが同値の２つのフレームの受信間隔が所定の許容範囲から外れる場合に，前記受信部により受信されたフレームの条件が成立したと判定して前記保持部が保持する前記データ検査パラメータを更新する更新部」を備え，「前記更新部は，前記受信部により受信された第１フレームに関連し，前記チェック部において前記ＩＤが同値の２つのフレームの受信間隔が所定の許容範囲から外れると判定された場合に，前記データ検査パラメータを第１検査パラメータに更新し，」「前記検査部は，更新された前記第１検査パラメータに基づいて，前記第１フレームが攻撃フレームか否かの判定に係る前記検査を行う」のに対して，引用発明では，「前記チェック部において，前記ＩＤが同値の２つのフレームの受信間隔が所定の許容範囲から外れる場合に，前記受信部により受信されたフレームの条件が成立したと判定して前記保持部が保持する前記データ検査パラメータを更新する更新部」を備えておらず，「前記更新部は，前記受信部により受信された第１フレームに関連し，前記チェック部において前記ＩＤが同値の２つのフレームの受信間隔が所定の許容範囲から外れると判定された場合に，前記データ検査パラメータを第１検査パラメータに更新し」ておらず，「前記検査部は，更新された前記第１検査パラメータに基づいて，前記第１フレームが攻撃フレームか否かの判定に係る前記検査を行」っていない点。
（３）相違点についての判断
　引用文献２および３には，いずれも，データフレームの「ＩＤが同値の２つのフレームの受信間隔が所定の許容範囲から外れる場合に，前記受信部により受信されたフレームの条件が成立したと判定して前記保持部が保持する前記データ検査パラメータを更新する」処理や，「ＩＤが同値の２つのフレームの受信間隔が所定の許容範囲から外れると判定された場合に，前記データ検査パラメータを第１検査パラメータに更新」する処理，および，「更新された前記第１検査パラメータに基づいて，前記第１フレームが攻撃フレームか否かの判定に係る前記検査を行う」処理について，いずれも，記載も示唆もされていない。
　本願第１発明の上記相違点に係る構成より，「送信周期を乱すように作用する攻撃フレームが送信された場合等において，送信周期が異常であることに基づいて検査パラメータを攻撃フレームの検知に有用となるように更新することで，適切に攻撃フレームを検知でき」（本願明細書段落【００２１】），「例えば，送信頻度の異常が検知されたことに基づいて送信周期検査パラメータでの送信周期の許容範囲を狭く変更すること等により，適切に攻撃フレームを検知できる」（本願明細書段落【００２４】）という，引用文献１ないし３から，当業者といえど予測しえなかった効果を奏しているといえる。
　したがって，引用発明に，引用文献２および３に記載の技術を適用しても，当業者は本願第１発明の上記相違点に係る構成を容易に想到することができない。
（４）　小括
　したがって，本願第１発明は，引用発明，引用文献２および３に記載の技術に基づいて，当業者が容易に発明できたものであるとはいえない。
２　本願第２発明ないし本願第１１発明について
（１）本願第２発明
　本願第２発明は，本願第１発明と同一の構成を備えるものであるから，本願第１発明と同じ理由により，引用発明，引用文献２および３に記載の技術に基づいて，当業者が容易に発明できたものであるとはいえない。
（２）本願第３発明
　本願第３発明の「更新部」が更新している対象は，本願第１発明では「データ検査パラメータ」であるところ，本願第３発明では，「送信周期検査パラメータ」に限定したものとなっており，本願第１発明における「更新部」に関する上記相違点と同様の構成を備えているといえるから，本願第１発明と同様の理由により，引用発明，引用文献２および３に記載の技術に基づいて，当業者が容易に発明できたものであるとはいえない。
（３）本願第４発明およびし本願第５発明
　本願第４発明および本願第５発明は，本願第３発明と同一の構成を備えるものであるから，本願第３発明と同じ理由により，引用発明，引用文献２および３に記載の技術に基づいて，当業者が容易に発明できたものであるとはいえない。
（４）本願第６発明および本願第７発明
　そして，本願第６発明および本願第７発明は，本願第１発明または本願第３発明と同一の構成を備えるものであるから，本願第１発明または本願第３発明と同じ理由により，引用発明，引用文献２および３に記載の技術に基づいて，当業者が容易に発明できたものであるとはいえない。
（５）本願第８発明
　本願第８発明は，本願第１発明の，発明のカテゴリを，単に，「セキュリティ装置」から「攻撃検知方法」へと変更したものであり，同様の構成を備えているから，本願第１発明と同様の理由により，引用発明，引用文献２および３に記載の技術に基づいて，当業者が容易に発明できたものであるとはいえない。
（６）本願第９発明
　本願第９発明は，本願第３発明の，発明のカテゴリを，単に，「セキュリティ装置」から「攻撃検知方法」へと変更したものであり，同様の構成を備えているから，本願第３発明と同様の理由により，引用発明，引用文献２および３に記載の技術に基づいて，当業者が容易に発明できたものであるとはいえない。
（７）本願第１０発明
　本願第１０発明は，本願第１発明の，発明のカテゴリを，単に，「セキュリティ装置」から「セキュリティ装置に所定処理を実行させるためのプログラム」へと変更したものであり，同様の構成を備えているから，本願第１発明と同様の理由により，引用発明，引用文献２および３に記載の技術に基づいて，当業者が容易に発明できたものであるとはいえない。
（８）本願第１１発明
　本願第１０発明は，本願第３発明の，発明のカテゴリを，単に，「セキュリティ装置」から「セキュリティ装置に所定処理を実行させるためのプログラム」へと変更したものであり，同様の構成を備えているから，本願第３発明と同様の理由により，引用発明，引用文献２および３に記載の技術に基づいて，当業者が容易に発明できたものであるとはいえない。
第６　原査定について
　審判請求時の補正により，本願第１発明ないし本願第１１発明は，「検査部」が，「前記第１検査パラメータに基づいて，前記第１フレームが攻撃フレームか否かの判定に係る前記検査を行う」際に，「前記第１検査パラメータ」が「更新された」ものであることが限定されたものとなっており，当業者であっても，拒絶査定において引用された引用文献１ないし引用文献３に基づいて，容易に発明できたものとはいえない。したがって，原査定の理由を維持することはできない。
第７　むすび
　以上のとおり，原査定の理由によっては，本願を拒絶することはできない。
　また，他に本願を拒絶すべき理由を発見しない。
　よって，結論のとおり審決する。