【事件の表示】
　特願２０１６−５３８５５１「仮想ネットワークにおけるアイデンティティ及びアクセス管理ベースのアクセス制御」拒絶査定不服審判事件〔平成２７年　６月１８日国際公開、ＷＯ２０１５／０８９３１９、平成２８年１２月２２日国内公表、特表２０１６−５４０４４６、請求項の数（１５）〕について、次のとおり審決する。
【結　論】
　原査定を取り消す。
　本願の発明は、特許すべきものとする。
【理　由】
第１　手続の経緯
　本願は、２０１４年（平成２６年）１２月１１日（パリ条約による優先権主張外国庁受理　２０１３年１２月１１日、米国）を国際出願日とする出願であって、平成２９年５月１２日付けの拒絶理由の通知に対し、平成２９年８月２３日に意見書が提出され、平成２９年１０月３１日付けで拒絶査定（原査定）がされ、これに対し、平成３０年３月１４日に拒絶査定不服審判の請求がされると同時に手続補正がされたものである。
第２　原査定の概要
　原査定（平成２９年１０月３１日付け拒絶査定）の概要は次のとおりである。
１．本願請求項１−６，８に係る発明は、以下の引用文献１に記載された発明であるから、特許法第２９条第１項第３号に該当し、特許を受けることができない。
２．本願請求項１−１５に係る発明は、以下の引用文献１に基づいて、その発明の属する技術の分野における通常の知識を有する者（以下、「当業者」という。）が容易に発明できたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
引用文献等一覧
１．国際公開第２０１３／１４５７８０号
第３　審判請求時の補正について
　審判請求時の補正は、特許法第１７条の２第３項から第６項までの要件に違反しているものとはいえない。
　まず、審判請求時の補正によって請求項１の記載
「前記アクセス制御サービスと通信して、前記サービスによって実行される前記リソースインスタンスに関連するポリシの評価に従い、前記リソースインスタンスについての、前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを許可するか否かを決定し」
を
「前記アクセス制御サービスと通信して、
前記リソースインスタンスに関連するポリシを決定し、
アクセス制御
前記
とする補正について検討する。
　当該補正はアクセス制御サービスと通信をして行う事項を限定するものであるから、特許請求の範囲の減縮を目的とするものである。また、当初明細書の【００３７】には「少なくともいくつかの実施形態では、ＶＭＭ２１２は、ホスト２１０におけるリソースインスタンス２１４のプライベートＩＰアドレスの認識に加えて、ホスト２１０におけるリソースインスタンス２１４が担ったロールを認識するまたは見出すこともできる。
ＶＭＭ２１２は、リソースインスタンス２１４が担ったロールを決定すると、アクセス制御サービス２３０と通信して、ロールに関連するポリシが存在するか否かを決定し、そしてポリシが存在する場合には、ネットワークパケットによって示されるターゲットまでの接続が許可されているか否かを決定することができる。
図８は、
オーバーレイネットワーク接続におけるアクセス制御方法のフローチャートである。アクセス制御方法は、
ホストシステムにおける仮想マシンモニタ（ＶＭＭ）によって実行することができる。
８０６に示すように、ロールについてのポリシを識別することができる。
要素８０４〜８０６を実行するために、例えば、ＶＭＭは、プリンシパルについての情報（例えば、ソースリソースインスタンスの一つ以上のリソース識別子などのアイデンティティ情報）、及びターゲットについての情報を、図３に図示するようなアクセス制御サービスに通信することができる。
　請求項９の記載「前記プリンシパルに関連するポリシの評価に従い」を「前記プリンシパルに関連する
ポリシを決定し、前記
　そして、「第４　本願発明」から「第６　対比・判断」までに示すように、補正後の請求項１−１５に係る発明は、独立特許要件を満たすものである。
第４　本願発明
　本願請求項１−１５に係る発明（以下、それぞれ「本願発明１」−「本願発明１５」という。）は、平成３０年３月１４日付けの手続補正で補正された特許請求の範囲の請求項１−１５に記載された事項により特定される発明であり、以下のとおりの発明である。
「　　【請求項１】
　ネットワーク基板と、
　プロバイダネットワークにおいてポリシを管理及び評価するように構成されたアクセス制御サービスを実施する一つ以上のコンピューティングデバイスと、
　一つ以上のリソースインスタンスをその各々が実装する複数のホストデバイスと、を備えており、
　前記ホストデバイスの一つ以上が、各々、
　前記それぞれのホストデバイスにおいてリソースインスタンスからネットワークパケットを取得し、
　前記アクセス制御サービスと通信して、前記リソースインスタンスに関連するポリシを決定し、前記アクセス制御サービスによって実行される前記リソースインスタンスに関連する前記ポリシの評価に従い、前記リソースインスタンスについての、前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを許可するか否かを決定し、
　前記ポリシに従い前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを前記リソースインスタンスが許可された場合には、一つ以上のネットワークパケットを、前記リソースインスタンスから、前記ネットワーク基板にわたるオーバーレイネットワークパスを通じて前記ターゲットに送信し、
　前記ポリシに従い前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを前記リソースインスタンスが許可されなかった場合には、前記ネットワークパケットを前記ターゲットに送信することなく、前記ネットワークパケットを廃棄するように構成された、プロバイダネットワーク。
　　【請求項２】
　前記ターゲットが、前記プロバイダネットワークにおける別のリソースインスタンス、または別のネットワークにおけるエンドポイントである、請求項１に記載のプロバイダネットワーク。
　　【請求項３】
　前記リソースインスタンス及び前記ターゲットが、共に、前記プロバイダネットワークにおける特定のクライアントのプライベートネットワーク実装内のリソースインスタンスである、請求項１に記載のプロバイダネットワーク。
　　【請求項４】
　前記リソースインスタンスについての、前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを許可するか否かを決定するために、前記アクセス制御サービスが、さらに、前記ターゲットに関連するポリシを決定及び評価するように構成され、前記リソースインスタンスに関連する前記ポリシ及び前記ターゲットに関連する前記ポリシの両方が前記接続を許可する場合に、前記リソースインスタンスについてのみ、前記ターゲットへの接続をオープンにすることを許可する、請求項１に記載のプロバイダネットワーク。
　　【請求項５】
　前記リソースインスタンスが、前記ホストデバイスにおける仮想マシン（ＶＭ）として実装され、各ホストデバイスが、前記それぞれのホストデバイスにおける複数の仮想マシン（ＶＭ）をモニタする仮想マシンモニタ（ＶＭＭ）を含み、前記ホストデバイスにおける前記ＶＭＭが、前述の取得、前述のアクセス及び前述の送信を実行する、請求項１に記載のプロバイダネットワーク。
　　【請求項６】
　前記リソースインスタンスに関連する前記ポリシを評価するために、前記アクセス制御サービスが、
　前記プロバイダネットワークにおける特定のクライアントのプライベートネットワーク実装におけるロールを前記リソースインスタンスが担ったことを決定し、
　前記リソースインスタンスが担った前記ロールに関連するポリシを決定し、
　前記ロールに関連する前記ポリシを評価するように構成された、請求項１に記載のプロバイダネットワーク。
　　【請求項７】
　前記一つ以上のネットワークパケットを、前記リソースインスタンスから、前記ネットワーク基板にわたるオーバーレイネットワークパスを通じて前記ターゲットに送信するために、前記ホストデバイスが、
　カプセル化プロトコルに従い前記一つ以上のネットワークパケットをカプセル化して、一つ以上のカプセル化パケットを生成し、
　前記カプセル化パケットを、前記カプセル化パケットにおけるルーティング情報に従い、前記ターゲットに伝送されるように前記ネットワーク基板に送信するように構成された、請求項１に記載のプロバイダネットワーク。
　　【請求項８】
　前記ネットワーク基板に実装されたオーバーレイネットワーク外部のエンドポイントと通信して、前記オーバーレイネットワークにおける前記エンドポイントについてのアイデンティティを構築し、
　前記アクセス制御サービスにアクセスして、ターゲットリソースインスタンスに関連するポリシの評価に従い、前記エンドポイントについての、前記オーバーレイネットワークを通じた前記ターゲットリソースインスタンスへの接続をオープンにすることを許可することを決定し、
　前述の決定に応答して、一つ以上のネットワークパケットを、前記エンドポイントから、前記ネットワーク基板にわたるオーバーレイネットワークパスを通じて前記ターゲットリソースインスタンスに送信するように構成された一つ以上のネットワークデバイスをさらに備えた、請求項１に記載のプロバイダネットワーク。
　　【請求項９】
　プロバイダネットワーク内のホストデバイスに実装されたカプセル化層プロセスによって、前記ホストデバイスに実装された一つ以上のリソースインスタンスのうちの一つから、ターゲットエンドポイントに導かれるネットワークパケットを取得することと、
　前記プロバイダネットワークにおけるアイデンティティ及びアクセス管理環境に従い、前記リソースインスタンスをプリンシパルとして識別することを決定することと、
　前記プリンシパルに関連するポリシを決定し、前記ポリシの評価に従い、前記プリンシ-パルについての、前記ターゲットエンドポイントへの接続をオープンにすることを許可することを決定することと、
　前記プリンシパルが前記ターゲットエンドポイントへの接続をオープンにすることを許可されたことの前述の決定に応答して、
　一つ以上のカプセル化パケットを生成するためのカプセル化プロトコルに従い、前記リソースインスタンスからの一つ以上のネットワークパケットをカプセル化し、前記ターゲットエンドポイントに導くことと、及び
　前記一つ以上のカプセル化パケットを、前記カプセル化パケットにおけるルーティング情報に従い、前記ターゲットエンドポイントに伝送されるように前記プロバイダネットワークのネットワーク基板に送信することと、を含む、方法。
　　【請求項１０】
　前記リソースインスタンス及び前記ターゲットエンドポイントが、共に、前記プロバイダネットワークにおける特定のクライアントのプライベートネットワーク実装内のリソースインスタンスである、請求項９に記載の方法。
　　【請求項１１】
　前記プリンシパルに関連するポリシの認可ステートメントの評価に従う、前記プリンシパルについての、前記ターゲットエンドポイントへの接続をオープンにすることを許可することの前述の決定が、
　前記カプセル化層プロセスがポリシ評価リクエストを前記プロバイダネットワークにおけるアクセス制御サービスに送信することと、
　前記アクセス制御サービスによって、前記プリンシパルに関連する前記ポリシを決定することと、
　前記アクセス制御サービスによって、前記プリンシパルに関連する前記ポリシにおける一つ以上の認可ステートメントを評価して、前記プリンシパルについての、前記ターゲットエンドポイントに関連するリソースへの接続をオープンにすることを前記ポリシが許可することを決定することと、及び
　前記プリンシパルについての、前記ターゲットエンドポイントへの接続をオープンにすることが許可されたことを、前記カプセル化層プロセスに示すことと、を含む、請求項９に記載の方法。
　　【請求項１２】
　前記アクセス制御サービスが、さらに、前記ターゲットエンドポイントに関連する前記リソースに関連するポリシの決定及び評価を実行し、前記プリンシパルに関連する前記ポリシ及び前記リソースに関連する前記ポリシの両方が前記接続を許可する場合に、前記プリンシパルについてのみ、前記リソースへの接続をオープンにすることを許可する、請求項１１に記載の方法。
　　【請求項１３】
　前記プリンシパルに関連する前記ポリシにおける各認可ステートメントが、認可を許可または拒否するかについての一つ以上のアクション、前記認可ステートメントが適用される一つ以上のリソース、及び前記示された一つ以上のアクションが前記示された一つ以上のリソースについて許可または拒否されるかを示す、請求項１１に記載の方法。
　　【請求項１４】
　前記カプセル化層プロセスによって、前記アイデンティティ及びアクセス管理環境に従い、前記プリンシパルとして識別されたリソースインスタンスから、別のターゲットエンドポイントに導かれる前記他のネットワークパケットを取得することと、
　前記プリンシパルに関連するポリシの評価に従い、前記プリンシパルについての、前記他のターゲットエンドポイントへの接続をオープンにすることを許可しないことを決定することと、及び
　前述の決定に応答して、前記ネットワークパケットを前記他のターゲットエンドポイントに送信せずに、前記他のネットワークパケットを廃棄することと、をさらに含む、請求項９に記載の方法。
　　【請求項１５】
　前記プリンシパルに関連するポリシの評価に従う、前記プリンシパルについての、前記ターゲットエンドポイントへの接続をオープンにすることを許可することの前述の決定が、
　前記プロバイダネットワークにおける特定のクライアントのプライベートネットワーク実装におけるロールを前記プリンシパルが担ったことを決定することと、ここで、前記プリンシパルに関連する前記ポリシが、前記プリンシパルが担った前記ロールに関連するポリシであり、及び
　前記ロールに関連する前記ポリシを評価して、前記プリンシパルについての、前記ターゲットエンドポイントへの接続をオープンにすることを許可することを決定することと、を含む、請求項９に記載の方法。」
第５　引用文献１、引用発明について
　原査定の拒絶の理由に引用された引用文献１には、図面とともに次の事項が記載されている。なお、下線は当審にて付与したものである。
「[0101]  As illustrated in Fig. 12, in the second exemplary embodiment, the communication system includes the communication policy management apparatus 70.  This communication policy management apparatus 70 determines an access rule indicating access authorization of the virtual machine 320 created by the user terminal 50 with respect to other virtual machines.
[0102]  Fig. 14 illustrates a configuration of the communication policy management apparatus 70 in Fig. 12.
[0103]  As illustrated in Fig. 14, the communication policy management apparatus 70 includes the communication policy storage unit 71 and a policy control unit 72.
[0104]  The communication policy storage unit 71 stores communication policies and resource information.
[0105]  Fig. 15 illustrates communication policies stored in the communication policy storage unit 71.  As illustrated in Fig. 15, the communication policy storage unit 71 stores a resource group ID and access control information corresponding to the resource group per role ID.  For example, when the access control information represents allow, access is permitted, and when the access control information represents deny, access is rejected.  For example, the communication policy in the second row in Fig. 15 indicates that a virtual machine having role ID role_0001 is permitted (allow) to access a resource group having resource group ID resource_group_0002.  Likewise, for example, the communication policy in the third row in Fig. 15 indicates that a virtual machine having role ID role_0002 is not prohibited to access the resource group having resource group ID resource_group_0001.
[0106]  Fig. 16 illustrates resource information stored in the communication policy storage unit 71.  As illustrated in Fig. 16, the communication policy storage unit 71 stores, per resource group ID, virtual resources included in a resource group and information about the virtual resources that are associated with each other.  In Fig. 16, for example, the communication policy storage unit 71 stores a resource group identified by resource group ID resource_group_0001 and the resource group is associated with resource_0001, resource_0002, and resource_0003 as resources included in the group.  In addition, the communication policy storage unit 71 stores information about each of the resources (for example, IP addresses, MAC addresses, and port numbers used for services).
[0107]  Based on such communication policy and resource information stored in the communication policy storage unit 71 and authentication information supplied from the virtual machine management apparatus 400, the policy control unit 72 creates an access rule about access authorization of the virtual machine 320 created by the user terminal 50.  The policy control unit 72 notifies the control apparatus 10 of the created access rule.
[0108]  Fig. 17 illustrates access rules indicating access authorization of the virtual machine 320 created by the policy control unit 72 with respect to other virtual machines.  In a source field in Fig. 17, information about the virtual machine 320, creation of which is requested by the user terminal 50, is stored (for example, an IP address or a MAC address).  The information stored in the source field is created from the attribute field in the authentication information transmitted from the authentication apparatus 60 to the policy management apparatus 70.
[0109]  In a destination field in Fig. 17, information about a virtual resource is stored (for example, the IP address of the resource, the MAC address of the resource, or resource information about a port number used for a service).  The information stored in the destination field is created from the resource attribute field in the resource information stored in the communication policy storage unit 71.
[0110]  In an access authority field in Fig. 17, information about access control is stored.  The information stored in the access authority field is created from the access authority field in the communication policies stored in the communication policy storage unit 71.
[0111]  In a condition (option) field in Fig. 17, for example, a port number used for a service set in the resource attribute field in the resource information stored in the communication policy storage unit 71 is set.
[0112]  For example, as illustrated in the fourth row in the table in Fig. 17, the policy control unit 72 creates an access rule indicating that a virtual machine having source address 192.168.100.1 is prohibited (deny) to communicate with a virtual machine having a destination address 192.168.0.3 and notifies the control apparatus 10 of the access rule.
[0113]  If change of a virtual machine arranged in a virtual resource 300 is caused, the policy control unit 72 updates a corresponding communication policy and resource information stored in the policy storage unit 71.  For example, when the policy control unit 72 is notified of logical network information by the virtual machine management apparatus 400 and recognizes change of a resource in a resource group, the policy control unit 72 updates the correspondence relationship between the resource group ID and the resource ID included in the resource information.
[0114]  For example, the communication policy management apparatus 70 according to the second exemplary embodiment creates, modifies, and deletes policies, in response to a request from the user terminal 50.  Such communication policy management mechanism (policy management system) may be provided as a Web-based system or an application that operates on a separate PC (Personal Computer).  In addition, the policy management mechanism of the communication policy management apparatus 70 can be provided through an application using GUI (Graphical User Interface).  Alternatively, CLI (Command Line Interface) or an arbitrary mode may be used.
[0115]  When notified of an access rule by the communication policy management apparatus 70, the control apparatus 10 calculates a packet forwarding path based on the access rule and determines a processing rule for realizing the calculated forwarding path.  The control apparatus 10 notifies the forwarding node 20 and the virtual forwarding node 310 of the determined processing rule.  The control apparatus 10 may set a valid period in the determined processing rule.  In such case, the control apparatus 10 sets the valid period so that, when the valid period elapses after the processing rule is set in the forwarding node 210 and the virtual forwarding node 310 or after a packet matching the matching rule is received last, the processing rule is invalidated or deleted.」
（引用文献１のパテントファミリである特表２０１５−５１５２０５号公報の【０１０１】〜【０１１５】、【０１２０】〜【０１２２】を参照して、当審仮訳）
【０１０１】
  図１２に示すように、第２の実施形態において、
通信システムは、通信ポリシ管理装置７０を含む。通信ポリシ管理装置７０は、ユーザ端末５０が作成する仮想マシン３２０による他の仮想マシンへのアクセスの可否を示すアクセスルールを決定する。
【０１０２】
  図１４は、図１２における通信ポリシ管理装置７０の構成例を示す図である。
【０１０３】
  図１４に示すように、
通信ポリシ管理装置７０は、通信ポリシ記憶部７１と、ポリシ制御部７２とを備えて構成される。
【０１０４】
  
通信ポリシ記憶部７１は、通信ポリシと、リソース情報とを記憶する。
【０１０５】
  図１５は、通信ポリシ記憶部７１が記憶する通信ポリシの一例である。図１５の例では、通信ポリシ記憶部７１は、ロールＩＤ毎に、リソースグループＩＤと、そのリソースグループに対するアクセス制限に関する情報とが記憶される。アクセス制限に関する情報は、例えば、アクセスを許可することをａｌｌｏｗで、アクセスを拒否することをｄｅｎｙで示す。図１５の２行目の通信ポリシは、例えば、ロールＩＤ：ｒｏｌｅ＿０００１の仮想マシンは、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２のリソースグループに、アクセスが許可されている（ａｌｌｏｗ）ことを示す。同様に、図１５の３行目の通信ポリシは、例えば、ロールＩＤ：ｒｏｌｅ＿０００２の仮想マシンが、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１のリソースグループに、アクセスが禁止されていることを示す。
【０１０６】
  図１６は、通信ポリシ記憶部７１が記憶するリソース情報の一例である。図１６の例では、通信ポリシ記憶部７１は、リソースグループＩＤ毎に、そのリソースグループに含まれる仮想リソースと、その仮想リソースの情報とを対応付けて記憶する。図１６を参照すると、通信ポリシ記憶部７１は、例えば、リソースグループＩＤがｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１で特定されるグループに、そのグループに含まれるリソースとしてｒｅｓｏｕｒｃｅ＿０００１と、ｒｅｓｏｕｒｃｅ＿０００２と、ｒｅｓｏｕｒｃｅ＿０００３とを対応付けて記憶し、それぞれのリソースに関する情報（例えば、ＩＰアドレス、ＭＡＣアドレス、および、サービスに利用するポート番号など）を記憶する。
【０１０７】
  
ポリシ制御部７２は、通信ポリシ記憶部７１に記憶されている通信ポリシおよびリソース情報と、仮想マシン管理装置４００から通知される認証情報とに基づいて、ユーザ端末５０が作成する仮想マシン３２０のアクセス可否に関するアクセスルールを作成する。ポリシ制御部７２は、作成したアクセスルールを、制御装置１０に通知する。
【０１０８】
  図１７は、ポリシ制御部７２が作成する、仮想マシン３２０による他の仮想マシンに対するアクセス可否を示すアクセスルールである。図１７において、送信元フィールドには、ユーザ端末５０が作成を要求した仮想マシン３２０に関する情報（例えば、ＩＰアドレスやＭＡＣアドレス）が格納される。送信元フィールドに格納される情報は、認証装置６０がポリシ管理装置７０に送信する認証情報の属性フィールドから作成する。
【０１０９】
  図１７において、宛先フィールドは、仮想リソースに関する情報（例えば、リソースのＩＰアドレス、ＭＡＣアドレス、および、サービスに利用するポート番号の情報）が記憶される。宛先フィールドに格納される情報は、通信ポリシ記憶部７１に記憶されたリソース情報のリソース属性フィールドから作成する。
【０１１０】
  図１７において、アクセス権限フィールドには、アクセス制限に関する情報が格納される。アクセス権限フィールドに格納される情報は、通信ポリシ記憶部７１の通信ポリシのアクセス権限フィールドから作成される。
【０１１１】
  図１７において、条件（オプション）フィールドには、例えば、通信ポリシ記憶部７１に記憶されたリソース情報のリソース属性フィールドに設定されているサービスに利用するポート番号が設定される。
【０１１２】
  ポリシ制御部７２は、例えば、図１７のテーブルの４行目目に示すように、送信元アドレス：１９２．１６８．１００．１の仮想マシンが、宛先アドレス：１９２．１６８．０．３の仮想マシンと通信が不可（ｄｅｎｙ）というアクセスルールを作成し、制御装置１０へ通知する。
【０１１３】
  ポリシ制御部７２は、仮想リソース３００に配置される仮想マシンに変更が生じた場合、ポリシ記憶部７１に記憶する通信ポリシとリソース情報とを更新する。ポリシ制御部７２は、例えば、仮想マシン管理装置４００から論理ネットワーク情報の通知を受け、リソースグループに含まれるリソースに変更があったことに応じて、リソース情報に含まれるリソースグループＩＤとリソースＩＤとの対応関係を更新する。
【０１１４】
  第２の実施形態の通信ポリシ管理装置７０は、ユーザ端末５０からの要求を受けて、ポリシの作成や修正、削除等を行う。このような通信ポリシ管理の仕組み（ポリシ管理システム）は、Ｗｅｂベースのシステムとして提供してもよいし、独立したＰＣ（Personal Computer）上で動くアプリケーションとして提供してもよい。また、通信ポリシ管理装置７０のポリシ管理の仕組みは、ＧＵＩ（Ｇｒａｐｈｉｃａｌ  Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ）を用いたアプリケーションで提供されるだけでなく、ＣＬＩ（Ｃｏｍｍａｎｄ  Ｌｉｎｅ  Ｉｎｔｅｒｆａｃｅ）で提供されてもよいし、その他どのような形態であってもよい。
【０１１５】
  
制御装置１０は、通信ポリシ管理装置７０からアクセスルールの通知を受けると、アクセスルールに基づいてパケットの転送経路を計算し、計算した転送経路を実現するための処理規則を求める。制御装置１０は、求めた処理規則を、転送ノード２０と、仮想転送ノード３１０に通知する。
「[0120]  The forwarding node 20 and the virtual forwarding node 310 receive the processing rule from the control apparatus 10 and set the processing rule (step S108 in Fig. 18).
[0121]  The user terminal 50 transmits a packet addressed to the virtual machine 320 (step S109 in Fig. 18).
[0122]  The packet transmitted from the user terminal 50 is sequentially forwarded to the forwarding node 20 and the virtual forwarding node 310.  The forwarding node 20 and the virtual forwarding node 310 forward the packet in accordance with the processing rule set by the control apparatus 10 (step S110 in Fig. 18).」
（当審仮訳）
【０１２０】
  転送ノード２０および仮想転送ノード３１０は、制御装置１０からの処理規則を受け取り、処理規則を設定する（図１８のＳ１０８）。
【０１２１】
  ユーザ端末５０は、仮想マシン３２０宛のパケットを送信する（図１８のＳ１０９）。
【０１２２】
  ユーザ端末５０から送信されたパケットは、転送ノード２０および仮想転送ノード３１０へと順に転送される。
転送ノード２０および仮想転送ノード３１０は、制御装置１０によって設定された処理規則にしたがってパケットを転送する（図１８のＳ１１０）。
　また、図１２を参照すると、
仮想リソース３００の中に仮想転送ノード３１０があり、その配下に仮想マシン３２０が配置されている
　さらに、図１７を参照すると、
アクセスルールには、送信元、宛先ごとにアクセス権限（allow,deny）が設定されている
　以上の記載、特に下線部によれば、上記引用文献１には次の発明（以下、「引用発明」という。）が記載されていると認められる。
　「通信ポリシ管理装置７０を備え、
　通信ポリシ管理装置７０は、ユーザ端末５０が作成する仮想マシン３２０による他の仮想マシンへのアクセスの可否を示すアクセスルールを決定するものであって、
　ここで、仮想リソース３００の中に仮想転送ノード３１０があり、その配下に仮想マシン３２０が配置されており、
　通信ポリシ管理装置７０は、通信ポリシ記憶部７１と、ポリシ制御部７２とを備えて構成され、
　通信ポリシ記憶部７１は、通信ポリシと、リソース情報とを記憶し、
　ポリシ制御部７２は、通信ポリシ記憶部７１に記憶されている通信ポリシおよびリソース情報と、仮想マシン管理装置４００から通知される認証情報とに基づいて、ユーザ端末５０が作成する仮想マシン３２０のアクセス可否に関するアクセスルールを作成し、
　アクセスルールには、送信元、宛先ごとにアクセス権限（allow,deny）が設定されており、
　ポリシ制御部７２は、作成したアクセスルールを、制御装置１０に通知し、
　制御装置１０は、通信ポリシ管理装置７０からアクセスルールの通知を受けると、アクセスルールに基づいてパケットの転送経路を計算し、計算した転送経路を実現するための処理規則を求め、求めた処理規則を、転送ノード２０と、仮想転送ノード３１０に通知し、
　転送ノード２０および仮想転送ノード３１０は、制御装置１０によって設定された処理規則にしたがってパケットを転送する、
　通信システム。」
第６　対比・判断
１．本願発明１について
（１）対比
　本願発明１と引用発明とを対比すると、次のことがいえる。
　引用発明における「通信システム」は、図１２のように仮想マシンやユーザ端末の間を接続するネットワークを有するものであるから、本願発明１における「プロバイダネットワーク」に相当する。
　また、引用発明における「通信ポリシ管理装置７０」は、「通信ポリシ記憶部７１と、ポリシ制御部７２とを備えて構成され」るものであり、「通信ポリシ記憶部７１は、通信ポリシと、リソース情報とを記憶」するものであるからポリシの管理を行っており、「ポリシ制御部７２は、通信ポリシ記憶部７１に記憶されている通信ポリシおよびリソース情報と、仮想マシン管理装置４００から通知される認証情報とに基づいて、ユーザ端末５０が作成する仮想マシン３２０のアクセス可否に関するアクセスルールを作成」することによりポリシを評価してアクセス制御サービスを実施しているから、本願発明１における「プロバイダネットワークにおいてポリシを管理及び評価するように構成されたアクセス制御サービスを実施する一つ以上のコンピューティングデバイス」に相当する。
　さらに、引用発明において「通信ポリシ管理装置７０は、ユーザ端末５０が作成する仮想マシン３２０による他の仮想マシンへのアクセスの可否を示すアクセスルールを決定するものであって、ここで、仮想リソース３００の中に仮想転送ノード３１０があり、その配下に仮想マシン３２０が配置されている」ことは、仮想マシン３２０から他の仮想リソースにある仮想マシンへアクセスすることを意味しており、ここで、引用発明の「仮想マシン３２０」、「仮想リソース３００」はそれぞれ本願発明１の「リソースインスタンス」、「ホストデバイス」に相当するから、本願発明１において「一つ以上のリソースインスタンスをその各々が実装する複数のホストデバイスと、を備え」るとともに、「前記ホストデバイスの一つ以上が、各々、前記それぞれのホストデバイスにおいてリソースインスタンスからネットワークパケットを取得」することに相当する。
　また、引用発明において「ポリシ制御部７２は、通信ポリシ記憶部７１に記憶されている通信ポリシおよびリソース情報と、仮想マシン管理装置４００から通知される認証情報とに基づいて、ユーザ端末５０が作成する仮想マシン３２０のアクセス可否に関するアクセスルールを作成」することは、本願発明１において「前記アクセス制御サービスによって実行される前記リソースインスタンスに関連する前記ポリシの評価に従い、前記リソースインスタンスについての、前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを許可するか否かを決定」することに相当する。
　さらに、引用発明において
「ポリシ制御部７２は、作成したアクセスルールを、制御装置１０に通知し、
　制御装置１０は、通信ポリシ管理装置７０からアクセスルールの通知を受けると、アクセスルールに基づいてパケットの転送経路を計算し、計算した転送経路を実現するための処理規則を求め、求めた処理規則を、転送ノード２０と、仮想転送ノード３１０に通知し、
　転送ノード２０および仮想転送ノード３１０は、制御装置１０によって設定された処理規則にしたがってパケットを転送する」ことは、アクセルルールに基づいたアクセス制御を仮想転送ノードにて行うものであり、ここで、「アクセスルールには、送信元、宛先ごとにアクセス権限（allow,deny）が設定されて」おり、アクセスが許可される（allow）場合には、宛先（本願発明１における「ターゲット」に相当する）にパケットを送信し、アクセスが許可されない（deny）場合にはパケットを廃棄するものであるから、本願発明１において、
「前記ポリシに従い前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを前記リソースインスタンスが許可された場合には、一つ以上のネットワークパケットを、前記リソースインスタンスから、前記ターゲットに送信し、
　前記ポリシに従い前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを前記リソースインスタンスが許可されなかった場合には、前記ネットワークパケットを前記ターゲットに送信することなく、前記ネットワークパケットを廃棄するように構成」
することに相当する。
　したがって、本願発明１と引用発明との間には、次の一致点、相違点があるといえる。
（一致点）
　プロバイダネットワークにおいてポリシを管理及び評価するように構成されたアクセス制御サービスを実施する一つ以上のコンピューティングデバイスと、
　一つ以上のリソースインスタンスをその各々が実装する複数のホストデバイスと、を備えており、
　前記ホストデバイスの一つ以上が、各々、
　前記それぞれのホストデバイスにおいてリソースインスタンスからネットワークパケットを取得し、
　前記アクセス制御サービスによって実行される前記リソースインスタンスに関連する前記ポリシの評価に従い、前記リソースインスタンスについての、前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを許可するか否かを決定し、
　前記ポリシに従い前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを前記リソースインスタンスが許可された場合には、一つ以上のネットワークパケットを、前記リソースインスタンスから前記ターゲットに送信し、
　前記ポリシに従い前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを前記リソースインスタンスが許可されなかった場合には、前記ネットワークパケットを前記ターゲットに送信することなく、前記ネットワークパケットを廃棄するように構成された、プロバイダネットワーク。
（相違点）
（相違点１）本願発明１は、「前記ポリシに従い前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを前記リソースインスタンスが許可された場合には、一つ以上のネットワークパケットを、前記リソースインスタンスから、前記ネットワーク基板にわたるオーバーレイネットワークパスを通じて前記ターゲットに送信」するものであるのに対し、引用発明は、そのような特定はされていない点。
（相違点２）本願発明１は、「前記ホストデバイスの一つ以上が、各々、前記それぞれのホストデバイスにおいてリソースインスタンスからネットワークパケットを取得し」た後に、「前記アクセス制御サービスと通信して、前記リソースインスタンスに関連するポリシを決定」するものであるのに対し、引用発明は、ポリシ制御部７２において、「前記リソースインスタンスに関連するポリシを決定」するものであるとはいえるものの、その決定が、「前記ホストデバイスの一つ以上が、各々、前記それぞれのホストデバイスにおいてリソースインスタンスからネットワークパケットを取得し」た後に、「前記アクセス制御サービスと通信して」するものではない点。
（２）相違点についての判断
　事案に鑑み、まず、相違点２について検討する。相違点２に係る本願発明１の、「前記ホストデバイスの一つ以上が、各々、前記それぞれのホストデバイスにおいてリソースインスタンスからネットワークパケットを取得し」た後に、「前記アクセス制御サービスと通信して、前記リソースインスタンスに関連するポリシを決定」することについて、引用発明においても、通信ポリシ管理装置７０のポリシ制御部７２が、通信ポリシとして保存されているロールIDごとのアクセス権限を認識（決定）した後に、アクセスルールを作成しているから、「前記リソースインスタンスに関連するポリシを決定」はしているものと認められる。
　しかしながら、引用発明は、ユーザ端末からのアクセスルールの変更の指示を受け付けた場合に、すべての通信ポリシを参照してアクセスルールの変更を行い、各転送ノード、仮想転送ノードに当該アクセスルールを実現するための処理規則を事前に配信しておくものであり、引用発明において、通信ポリシ監視装置７０がポリシを決定してアクセスルールを作成するのは、ユーザ端末からアクセスルールの変更を指示されたときのみであるから、本願発明１のように「前記ホストデバイスの一つ以上が、各々、前記それぞれのホストデバイスにおいてリソースインスタンスからネットワークパケットを取得し」た後に、「前記アクセス制御サービスと通信して、前記リソースインスタンスに関連するポリシを決定」するものではないし、また、引用発明をそのように変更しようとする動機付けも存在しない。
　これに対し、本願発明１は、「前記ホストデバイスの一つ以上が、各々、前記それぞれのホストデバイスにおいてリソースインスタンスからネットワークパケットを取得し」た後に、「前記アクセス制御サービスと通信して、前記リソースインスタンスに関連するポリシを決定」し、当該決定されたポリシをアクセス制御サービスが評価する、という構成を有しており、このような構成とすることによって、すべての処理規則を事前に配信しておかなくとも、ソース、ターゲット両方に関連するポリシが存在する場合に、両方のポリシを評価した上で接続の可否を決定することができるという効果を奏するものであるから、このような構成とすることが単なる設計的事項であるとはいえない。
　したがって、上記相違点１について判断するまでもなく、本願発明１は、当業者であっても、引用発明に基づいて容易に発明できたものであるとはいえない。
２．本願発明２−８について
　本願発明２−８も、本願発明１と同様に、「前記ホストデバイスの一つ以上が、各々、前記それぞれのホストデバイスにおいてリソースインスタンスからネットワークパケットを取得し」た後に、「前記アクセス制御サービスと通信して、前記リソースインスタンスに関連するポリシを決定」するという構成を有するものであるから、本願発明１と同じ理由により、当業者であっても、引用発明に基づいて容易に発明できたものとはいえない。
３．本願発明９−１５について
　本願発明９−１５も、本願発明１の相違点２に実質的に対応する、「プロバイダネットワーク内のホストデバイスに実装されたカプセル化層プロセスによって、前記ホストデバイスに実装された一つ以上のリソースインスタンスのうちの一つから、ターゲットエンドポイントに導かれるネットワークパケットを取得」し、「前記プロバイダネットワークにおけるアイデンティティ及びアクセス管理環境に従い、前記リソースインスタンスをプリンシパルとして識別することを決定することと、前記プリンシパルに関連するポリシを決定」するという構成を有するものであるから、本願発明１と同じ理由により、当業者であっても、引用発明に基づいて容易に発明できたものとはいえない。
第７　原査定について
１．理由１（特許法第２９条第１項第３号）について
　審判請求時の補正により、本願発明１−６，８は、「前記ホストデバイスの一つ以上が、各々、前記それぞれのホストデバイスにおいてリソースインスタンスからネットワークパケットを取得し」た後に、「前記アクセス制御サービスと通信して、前記リソースインスタンスに関連するポリシを決定し、前記アクセス制御サービスによって実行される前記リソースインスタンスに関連する前記ポリシの評価に従い、前記リソースインスタンスについての、前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを許可するか否かを決定し」という事項を有するものとなっているため、引用文献１に記載された発明であるとはいえない。したがって、原査定の理由を維持することはできない。
２．理由２（特許法第２９条第２項）について
　審判請求時の補正により、本願発明１−８は、「前記ホストデバイスの一つ以上が、各々、前記それぞれのホストデバイスにおいてリソースインスタンスからネットワークパケットを取得し」た後に、「前記アクセス制御サービスと通信して、前記リソースインスタンスに関連するポリシを決定し、前記アクセス制御サービスによって実行される前記リソースインスタンスに関連する前記ポリシの評価に従い、前記リソースインスタンスについての、前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを許可するか否かを決定し」という事項を有するものとなっており、本願発明９−１５は、「プロバイダネットワーク内のホストデバイスに実装されたカプセル化層プロセスによって、前記ホストデバイスに実装された一つ以上のリソースインスタンスのうちの一つから、ターゲットエンドポイントに導かれるネットワークパケットを取得」し、「前記プロバイダネットワークにおけるアイデンティティ及びアクセス管理環境に従い、前記リソースインスタンスをプリンシパルとして識別することを決定することと、前記プリンシパルに関連するポリシを決定」するという事項を有するものとなっているため、本願発明１−１５は、当業者であっても、拒絶査定において引用された引用文献１に基づいて、容易に発明できたものとはいえない。したがって、原査定の理由を維持することはできない。
第８　むすび
　以上のとおり、原査定の理由によっては、本願を拒絶することはできない。
　また、他に本願を拒絶すべき理由を発見しない。
　よって、結論のとおり審決する。