北京市高级人民法院
行 政 判 决 书
(2016)京行终2722号
上诉人（原审被告）国家知识产权局专利复审委员会，住所地北京市海淀区。
法定代表人葛树，副主任。
委托代理人张巍，审查员。
委托代理人朱明雅，审查员。
上诉人（原审第三人）石艳，住湖南省隆回县。
委托代理人郁舜，男，1981年2月16日出生，北京隆诺律师事务所专利代理人。
被上诉人（原审原告）北京网康科技有限公司，住所地北京市海淀区。
法定代表人左英男，副总裁。
委托代理人刘京莉，北京尚淳律师事务所律师。
委托代理人贺小明，北京尚淳律师事务所律师。
上诉人国家知识产权局专利复审委员会（简称专利复审委员会）、上诉人石艳因发明专利权无效行政纠纷一案，不服北京市第一中级人民法院（2015）一中行（知）初字第10号行政判决，向本院提出上诉。本院于2016年5月5日受理后依法组成合议庭，于2015年7月6日公开开庭审理了本案。上诉人专利复审委员会的委托代理人张巍、朱明雅，上诉人石艳的委托代理人郁舜，被上诉人北京网康科技有限公司(简称网康公司)的委托代理人刘京莉、贺小明到庭参加了诉讼。本案现已审理终结。
北京市第一中级人民法院经审理查明：
本专利系名称为“一种网络行为管理系统及方法”的发明专利，其专利号是201010617465.3，专利权人为网康公司，申请日是2010年12月31日，授权公告日为2013年4月3日。本专利授权公告的权利要求书如下：
“1、一种网络行为管理系统，其特征在于，包括审计模块（110）、策略模块（120）、延迟及控制模块（130）；该策略模块（120）用于根据其内置策略实时检测流经该策略模块的数据包，并且复制符合该内置策略的数据包，且将该符合内置策略的数据包发送至该延迟及控制模块（130）；该审计模块（110）用于对所述复制的数据包进行应用层内容审计，以审计该数据包是否为非法数据包，并将该审计结果发送至该延迟及控制模块（130）；还用于配置所述策略模块（120）的内置策略，以及用于关闭该策略模块（120）；该延迟及控制模块（130）用于对所述来自该策略模块（120）的数据包进行延迟处理，并基于来自审计模块（110）的审计结果对该被延迟数据包进行控制和处理。
2、如权利要求1所述的一种网络行为管理系统，其特征在于，所述策略模块（120）将不符合其内置策略的数据包直接通过数据通路传输出去。
3、如权利要求1所述的一种网络行为管理系统，其特征在于，所述策略模块（120）中内置策略为IP地址方式，和/或网卡端口方式，和/或应用类型方式。
4、如权利要求3所述的一种网络行为管理系统，其特征在于，所述应用类型包括访问非法网站类、炒股类、观看在线视频类、网络聊天类、收发电子邮件类、论坛发帖类、玩网络游戏类中的一个或多个。
5、如权利要求3或4所述的一种网络行为管理系统，其特征在于，通过深度包检测设备来确定数据包的应用类型。
6、如权利要求1所述的一种网络行为管理系统，其特征在于，所述延迟及控制模块（130）采用延迟队列方式对其接收到的数据包进行延迟处理。
7、如权利要求1所述的一种网络行为管理系统，其特征在于，所述延迟及控制模块（130）在接收到该数据包为合法数据包这一审计结果后，将该数据包发送至数据通路中继续传输。
8、如权利要求1所述的一种网络行为管理系统，其特征在于，所述延迟及控制模块（130）在接收到该数据包为非法数据包这一审计结果后，阻止该非法数据包传输，或者丢弃该非法数据包，或者断开该非法数据包所属连接。
9、如权利要求1所述的一种网络行为管理系统，其特征在于，该系统包括多个CPU，该延迟及控制模块（130）包括多个延迟队列；并且其每一延迟队列均与该多个CPU中每一CPU一一对应。”
2013年11月22日，石艳请求专利复审委员会宣告本专利无效，理由是：1、本专利不符合《中华人民共和国专利法》（简称专利法）第二十六条第三款的规定，涉及权利要求1-9：（1）本专利说明书没有对“ICG审计模块还用于配置策略模块的内置策略，以及用于关闭该策略模块”进行清楚、完整的说明，本领域技术人员无法清楚审计模块如何对内置策略进行配置，也无法知晓审计模块通过何种方法关闭策略模块；（2）本专利说明书没有对“DPI设备如何确定数据包的应用类型”进行清楚、完整的说明，本领域技术人员无法清楚通过DPI设备如何能够确定数据包的应用类型；（3）本专利说明书没有对“ICG审计模块”进行清楚、完整的说明，说明书中未公开ICG的具体含义，在不清楚ICG的具体含义的情况下，“ICG审计模块”在所属技术领域中也不具有通常的含义。2、本专利权利要求1不符合专利法第二十六条第四款的规定：（1）本专利权利要求1中网络行为管理系统包括审计模块110、策略模块120、延迟及控制模块130，而说明书全文中所记载的均为ICG审计模块110，本领域技术人员无法得知是否其他审计模块也可以实现所述ICG审计模块所能够实现的功能，因此权利要求1中的“审计模块”得不到说明书的支持；（2）本专利权利要求1中，延迟及控制模块130用于对来自策略模块120的数据包进行延迟处理，并基于来自审计模块110的审计结果对被延迟数据包进行控制和处理，说明书中只公开了基于来自审计模块110的审计结果对被延迟数据进行控制和处理的一种实施方式，本领域技术人员无法得知除了说明书第6页步骤441和步骤442中公开的处理方式外，是否还存在其他的处理方式可以实现延迟及控制模块130基于来自审计模块110的审计结果对被延迟数据包进行处理的特征，因此上述特征得不到说明书的支持。3、本专利权利要求1相对于附件1、附件2、附件3和公知常识的结合，或附件1、附件2、附件4和公知常识的结合，或附件1、附件2、附件5和公知常识的结合，或附件2、附件4、附件6和公知常识的结合不具备创造性，不符合专利法第二十二条第三款的规定；权利要求2的附加技术特征分别被附件1和附件4所公开，权利要求3的部分附加技术特征分别被附件2和附件4所公开，部分附加技术特征属于本领域的常用技术手段，权利要求4的附加技术特征被附件4所公开，权利要求5的附加技术特征是常用的检测数据包的应用类型的技术手段，权利要求6-8的附加技术特征被对比文件1所公开，权利要求9的附加技术特征是本领域技术人员的常用技术手段，因此在其引用的权利要求1不具备创造性时，权利要求2-9也不具备创造性，不符合专利法第二十二条第三款的规定。石艳提交的附件如下：
附件1、公开号为CN101789941A的中国发明专利申请说明书复印件，公开日为2010年07月28日；
附件2、公开号为CN101001242A的中国发明专利申请说明书复印件，公开日为2007年07月18日；
附件3、“网康科技?互联网控制网关用户手册”第53-88页复印件，其中每页的左上角标有“网康科技”字样，每页的左下角标有“北京网康科技有限公司”字样，每页的右上角标有“NS-
ICG用户手册”字样；
附件4、公开号为CN101841465A的中国发明专利申请说明书复印件，公开日为2010年09月22日；
附件5、公开号为CN101567888A的中国发明专利申请说明书复印件，公开日为2009年10月28日；
附件6、公开号为CN1744583A的中国发明专利申请说明书复印件，公开日为2006年03月08日。
石艳于2013年12月20日再次提交了无效宣告程序意见陈述书，随该意见陈述书提交了附件3的编号为（2013）深证字第176129号公证书，在该公证书中记载了在51CTO网站的下载中心下载附件3所涉及的网康科技·互联网控制网关用户手册全文的过程。
经形式审查合格，专利复审委员会于2014年2月7日受理了上述无效宣告请求并将无效宣告请求书、石艳于2013年12月20日提交的意见陈述书及证据副本转给了网康公司，并对本案进行审查。
针对上述无效宣告请求，网康公司于2014年3月21日提交了意见陈述书，主要陈述了以下意见：1、对于附件3，网康公司未公开发布过这样的技术文献，也没有授权任何人公开发布过这样的技术文献，因此对附件3作为对比文件不予认可。2、本专利说明书对“ICG审计模块110是如何配置策略模块120的内置策略，如何控制策略模块120实施所配置的内置策略”、“DPI设备如何确定数据包的应用类型”的描述已经达到了本领域技术人员能够实现的程度，ICG是网康公司推出的一款上网行为管理产品，在本专利申请日之前已经公开销售，因此其含义已经可为本领域技术人员知晓，因此本说明书在此方面的描述已经达到了本领域技术人员能够实现本发明的程度。3、关于“审计模块”，在说明书第6页第26-27行记载，对数据包进行应用层审计不限于采用ICG设备，可以采用任意一种能够审计应用层数据包的设备；关于“延迟及控制模块”，说明书公开了多种延迟和处理措施，放行、阻止或丢弃、修改、控制数据包所属链接，因此权利要求1对“审计模块”和“延迟及控制模块”的概括是以说明书为依据的。4、附件1没有披露（1）策略模块120、（2）根据其内置策略实时检测流经该策略模块的数据包、（3）复制符合该内置策略的数据包、（4）且将该符合的数据包发送给该延迟及控制模块、（5）审计模块110配置策略模块的内置策略、（6）关闭策略模块的内容以及（7）延迟及控制模块基于来自审计的审计结果对该被延迟的数据包进行控制和处理，附件2也没有披露上述七个区别特征，附件3虽然披露了策略的管理，但是没有披露区别特征（5）（6），此外没有披露策略模块如何设置，设置在哪个环节，也没有披露策略模块的功能，另外在没有证据的情况下不认可通过审计模块配置策略模块的内置策略以及关闭策略模块属于本领域的常用技术手段，因此权利要求1相对于附件1、附件2、附件3和常用技术手段的结合具有创造性；附件4没有披露上述区别特征（1）-（5），因此权利要求1相对于附件1、附件2、附件4和常用技术手段的结合具有创造性；附件5是一种网络反馈主机安全防护方法，其出发点与本专利不同，其管理和审计服务器不同于本专利的审计模块，也不存在策略模块，没有披露上述区别特征（1）-（7），因此权利要求1相对于附件1、附件2、附件5和常用技术手段的结合具有创造性；附件6没有披露区别特征（1）-（6），因此权利要求1相对于附件4、附件2、附件6和常用技术手段的结合具有创造性；从属权利要求2-9也具备创造性。
专利复审委员会于2014年3月27日向双方当事人发出了口头审理通知书，定于2014年5月13日举行口头审理。专利复审委员会于2014年3月31日发出转送文件通知书，将网康公司于2014年3月21日提交的意见陈述书转送给石艳。口头审理如期举行，双方当事人均出席了本次口头审理。在口头审理过程中，双方当事人对专利复审委员会合议组成员无回避请求，对对方当事人出庭人员的身份和资格无异议。网康公司当庭表示对附件1、附件2、附件4、附件5、附件6的真实性无异议，对附件3内容的真实性无异议，但对其公开时间有异议，并认为上传的网站不是公知的网站，附件3的上传并没有经过网康公司的正式授权发布，属于非法上传。石艳当庭明确的无效理由与其在无效宣告请求书中的无效理由相同。网康公司当庭主要陈述了以下意见：1、本专利权利要求1的策略模块可以接受审计模块的需求给出数据包，而附件1中防火墙是截取所有的数据包，附件2中嗅探数据也是实时的检测，进行处理后，要控制的数据包有一定的契合的话就改变策略，要求嗅探更换一个新的条件，需要两个或三个条件，其没有实现本专利的复制数据包；2、本专利中采用了旁路的审计模块，把数据包复制到审计模块，同时相关的数据包交给延迟控制模块进行控制，体现了数据通路的多层次话，两个层次的处理方式，对数据处理进行了分流，大大提供了处理速度，对比文件没有披露这样的思路。
2014年8月22日，专利复审委员会经审查作出23623号无效宣告请求审查决定（简称第23623号决定）。专利复审委员会在第23623号决定中认定：
一、关于审查基础及法律适用。
本无效宣告请求审查所针对的文本为本专利的授权公告文本。本案的审理适用2000年修订的专利法。
二、关于证据认定。
附件1、附件2、附件4为公开的专利申请文件的复印件，网康公司未对其真实性、合法性以及关联性提出异议，经专利复审委员会核实，对上述证据的真实性予以认可，附件1、附件2、附件4的公开日均早于本专利的申请日，可以作为评价本专利创造性的现有技术对比文件使用。
三、关于专利法第二十二条第三款。
1、本专利权利要求1请求保护一种网络行为管理系统，附件1公开了一种网络安全设备联动的系统，其中（参见附件1说明书）具体公开了以下内容：系统包括，部署在网络侧集线器与用户主机侧交换机之间的防火墙（相当于权利要求1中的策略模块），以及并联在所述集线器与交换机之间的审计系统（相当于权利要求1中的审计模块）；数据包从网络侧通过所述集线器后，被审计系统和防火墙同时截获，防火墙判断数据包是否是http数据包（相当于权利要求1中的根据其内置策略实时检测流经该策略模块的数据包），若防火墙判定不是http数据包，则向用户主机侧正常转发该数据包；判定是http数据包，则做暂缓处理，将数据包暂存到一个暂存器中（相当于权利要求1中的将符合内置策略的数据包发送给延迟及控制模块，对来自该策略模块的数据包进行延迟处理），之后若未在设定的时间内收到审计系统发来的阻断要求，则向用户主机侧正常转发该数据包；若在设定的时间内收到审计系统发来的阻断要求，则进行丢包或替代后转发等阻断处理（相当于权利要求1中的基于来自审计模块的审计结果对该被延迟数据包进行控制和处理）；审计系统判断是否发出阻断要求的逻辑为：拆接所述数据包，以拆接所得内容与预设的内容规则进行匹配，发现违反规则，则向防火墙发出阻断请求，未发现违反规则，则不作联动处理（相当于对数据包进行应用层内容审计，以审计该数据包是否为非法数据包）。
权利要求1与附件1的区别在于：a、权利要求1中包含独立的延迟及控制模块，而附件1中仅公开了对数据包进行延迟处理，未明确记载实现对数据包进行延迟处理功能的为独立的延迟及控制模块；b、权利要求1中策略模块复制符合该内置策略的数据包，审计模块对所述复制的数据包进行审计，而附件1中数据包被防火墙和审计系统同时截获，审计系统对数据包进行审计，即本专利权利要求1中的审计模块只对符合内置策略的复制的数据包进行审计，而附件1中的审计系统对所有截获的数据包均进行审计；c、权利要求1中的审计模块还用于配置所述策略模块的内置策略及用于关闭该策略模块。基于上述区别所能实现的作用可以确定，本专利权利要求1实际所要解决的技术问题为：如何减少占用资源，提高效率以及如何根据需求进行策略控制。
对于区别特征a，设立独立的延迟及控制模块来执行相应的操作是本领域技术人员的常用技术手段；
对于区别特征b，附件2公开了一种网络设备入侵检测的方法，其中具体公开了以下内容：入侵监测流程启动，嗅探器（相当于策略模块）按照设定的嗅探条件（相当于权利要求1中的内置策略）截取数据包并将其复制后发送至控制平面（相当于权利要求1中的复制符合该内置策略的数据包），由该控制平面（相当于权利要求1中的审计模块）对所述数据包进行解包分析，并将解析结果与预设的特征库进行匹配。即，附件2也是复制符合内置策略的数据包，控制平面对所述复制的数据包进行审计，可见，附件2公开了区别特征b，且其在附件2中所起的作用也是降低资源消耗，不影响数据转发性能，与区别特征b在本专利中所起的作用相同，因此附件2中给出了在附件1的基础上结合附件2的技术启示。
对于区别特征c，附件4公开了一种基于信息交互的内容流控系统，具体公开了以下内容：包括客户端110、应用控制设备120、内容审计设备130和网络服务器140；客户端110向应用控制设备120中的第一预处理模块121发送数据包，第一预处理模块识别该数据包所属类型；若该数据包为论坛发帖或浏览网页数据包，则将该数据包以及由该第一预处理模块121得到的该数据包用户信息、数据包内容部分所属字段等信息直接发送至内容审计设备130中的内容分析模块132，内容分析模块132分析该数据包内容部分所属字段审计该数据包具体内容，而后将该得到的数据包内容中应用控制设备120所关注内容发送至应用控制设备120中的检测控制模块122，检测控制模块122接收内容分析模块132得到的该数据包内容，并根据该数据包的具体内容判定该数据包是否为系统设定的非法数据包；应用控制设备120包括配置模块，用户可以根据内容审计设备130审计内容的能力，配置应用控制设备120识别并分流数据包的应用类型（相当于权利要求1中的内置策略）。可见，在附件4中，由应用控制设备120和内容设备130共同实现根据内置策略实时检测数据包并对数据包进行应用层内容审计的功能，其中应用控制设备120的检测控制模块122和内容审计设备130共同相当于本专利中的审计模块。即，附件4公开了在应用控制设备中包括可根据内容审计设备的审计内容的能力配置内置策略的配置模块，该配置模块和负责内容审计的检测控制模块122都位于应用控制设备120中，而区别特征c中由审计模块来对策略模块的内置策略进行配置，二者的区别在于附件4中对实现配置内置策略的功能设立了单独的配置模块，而是否设立单独的配置模块执行相应的功能是本领域技术人员的常用技术手段，本领域技术人员容易想到根据不同情况，也可以不设置单独的配置模块，而由审计模块来实现该功能。因此，在本领域技术人员面对如何根据需求进行策略控制的技术问题时，在附件4已经给出了根据内容审计设备130审计内容的能力来配置内置策略的技术启示的基础上，本领域技术人员容易想到由审计模块来配置所述策略模块的内置策略，在无需根据内置策略执行相应的功能时关闭该策略模块，并且其具体实施手段也是本领域的常用技术手段。
因此，在附件1的基础上结合附件2、附件4以及本领域的常用技术手段来获得权利要求1的技术方案对于本领域技术人员来说是显而易见的，权利要求1的技术方案不具备突出的实质性特点和显著的进步，因而不具备创造性，不符合专利法第二十二条第三款的规定。
针对网康公司的意见，专利复审委员会认为：①首先，根据本专利说明书的记载可知，本专利中的策略模块位于数据通路上，其用于根据内置策略控制经过该策略模块120的数据包是直接通过该数据通路还是进行延迟处理，而根据附件1的内容可知，防火墙位于集线器后的数据通路上，其根据流经的数据包是否是http数据包来确定是将数据包作暂缓处理还是正常转发，可见，本专利的策略模块和附件1中的防火墙都是位于数据通路上，数据通路上的数据包均全部流经这两个模块，附件1中的防火墙也并非对所有的数据包均作暂缓处理；其次，由附件2说明书以及附图1可知，附件2中明确公开了嗅探器按照设定的嗅探条件截取数据包并将其复制，并且在说明书举例说明了数据嗅探的条件可为截取某个IP地址的数据流，本专利说明书也记载了策略模块的内置策略可为IP地址方式，可见附件2中的嗅探条件即相当于本专利中的内置策略，通过嗅探器的数据流若符合该嗅探条件即被复制发送至控制平面进行解包分析，并且其目的也是为了不对所有数据包进行检测，同时不影响数据转发性能，与区别特征b在本专利中的作用相同，因此其公开了区别特征b，且给出了在附件1的基础上结合该附件的技术启示；第三，对于审计模块可配置策略模块的内置策略以及用于关闭该策略，首先，在现有技术中，对网络行为进行管理时由管理者来配置策略事实上是本领域所公知的，而由审计模块来配置策略模块的内置策略和关闭策略是本领域技术人员可以根据需求设置的，尤其是在附件4中已经公开了根据内容审计设备审计内容的能力来配置内置策略时，更是给了本领域技术人员由审计模块执行相应操作的技术启示，其次，这种设置并未影响符合内置策略的数据包在系统中的流向，即二者是相对独立的，并且实现这种设置的手段又是本领域的常用技术手段，因此该特征并不能带给本专利的技术方案带来突出的实质性特点和显著的进步；②基于上述评述可知，本专利实现了两个层次的处理方式的主要实施手段即在于策略模块一方面将符合内置策略的数据包作延迟处理，另一方面复制符合内置策略的数据包，审计模块对所复制的数据包进行审计，而附件1中已经公开了防火墙将符合内置策略的数据包作延迟处理，附件2中公开了对符合内置策略的数据包进行复制并由控制平面审计，并且也给出了结合的技术启示，因此本领域技术人员有动机在附件1的基础上结合附件2来获得本专利的两个层次的处理方式。综上所述，专利复审委员会对网康公司的意见不予支持。
2、权利要求2引用权利要求1，附件1公开了以下内容：若防火墙判定不是http数据包，则向用户主机侧正常转发该数据包（相当于将不符合内置策略的数据包直接通过数据通路传输过去）。可见，附件1公开了权利要求2的附加技术特征，因此，在其引用的权利要求1不具备创造性时，权利要求2也不具备创造性，不符合专利法第二十二条第三款的规定。
3、权利要求3引用权利要求1，附件2公开了以下内容：IDS可以按照某种方式（按照用户，IP地址，协议端口）进行轮询检测，而按照网卡端口以及应用类型来检测数据包是本领域技术人员常用的技术手段，因此本领域技术人员容易想到将其作为内置策略。因此，在其引用的权利要求1不具备创造性时，权利要求3也不具备创造性，不符合专利法第二十二条第三款的规定。
4、权利要求4引用权利要求3，附件4公开了以下内容：数据包应用类型可以是下载文件、收发邮件、传输文件、聊天、论坛发帖、浏览网页、视频等。因此，在其引用的权利要求1不具备创造性时，权利要求4也不具备创造性，不符合专利法第二十二条第三款的规定。
5、权利要求5引用权利要求3或4，深度包检测设备是本领域公知的一种基于应用层的流量检测和控制技术，通过深度包检测设备来检测数据包的应用类型是本领域的常用技术手段。因此，在其引用的权利要求3或4不具备创造性时，权利要求5也不具备创造性，不符合专利法第二十二条第三款的规定。
6、权利要求6引用权利要求1，附件1公开了以下内容：判定是http数据包，则做暂缓处理，将数据包暂存到一个暂存器中，可为先入先出存储器FIFO原则（相当于权利要求6中的延迟队列方式）。因此，在其引用的权利要求1不具备创造性时，权利要求6也不具备创造性，不符合专利法第二十二条第三款的规定。
7、权利要求7引用权利要求1，附件1中公开了以下内容：若未在设定的时间内收到审计系统发来的阻断要求，则向用户主机侧正常转发该数据包（相当于权利要求7中的将该数据包发送至数据通路中继续传输），而本领域技术人员容易想到当审计系统的审计结果为合法数据包可以在设定的时间内不再发出阻断要求。因此，在其引用的权利要求1不具备创造性时，权利要求7也不具备创造性，不符合专利法第二十二条第三款的规定。
8、权利要求8引用权利要求1，附件1中公开了以下内容：若在设定的时间内收到审计系统发来的阻断要求（相当于权利要求8中的接收到该数据包为非法数据包这一审计结果后），则进行丢包或替代后转发等阻断处理。因此，在其引用的权利要求1不具备创造性时，权利要求8也不具备创造性，不符合专利法第二十二条第三款的规定。
9、权利要求9引用权利要求1，为了实现对数据包的快速的延迟处理，在网络管理行为系统中包含多个CPU，在延迟及控制模块包含多个延迟队列，每个CPU对应于一个延迟队列是本领域技术人员容易想到的，且其具体实施手段也是本领域所公知的，因此，在其引用的权利要求1不具备创造性时，权利要求9也不具备创造性，不符合专利法第二十二条第三款的规定。
综上所述，本专利权利要求1-9相对于附件1、附件2、附件4以及本领域的常用技术手段的结合不具备创造性，不符合专利法第二十二条第三款的规定。由于石艳的该无效理由成立，对于石艳提出的其他无效理由及证据不再予以评述。
根据上述理由，专利复审委员会依法作出第23623号决定，宣告本专利无效。
网康公司不服专利复审委员会作出的第23623号决定并提起诉讼，请求撤销该决定。
北京市第一中级人民法院认为，专利复审委员会将本专利权利要求1的技术方案拆分为若干技术特征，分别与多篇对比文件进行对比，还需要附加公知常识，实际上是将本专利的技术方案拆分成孤立的技术特征，忽视了本专利技术构思的整体性，因而专利复审委员会对权利要求1的创造性的事实认定错误，本领域技术人员无法在附件1的基础上结合附件2、4及本领域的常用技术手段来获得本专利权利要求1的技术方案。因此本专利权利要求1的技术方案相对于附件1、2、4及本领域的常用技术手段具备实质性特点和进步，具备创造性，符合专利法第二十二条第三款的规定。本专利权利要求2-9是权利要求1的从属权利要求，在权利要求1具有创造性的前提下，权利要求2-9也具有创造性，符合专利法第二十二条第三款的规定。第23623号决定的主要证据不足，北京市第一中级人民法院依照《中华人民共和国行政诉讼法》第七十条第（一）项之规定，判决：一、撤销国家知识产权局专利复审委员会于二○一四年八月二十二日作出的第23623号无效宣告请求审查决定；二、国家知识产权局专利复审委员会针对石艳就北京网康科技有限公司拥有的第201010617465.3号名称为“一种网络行为管理系统及方法”的发明专利权提出的无效宣告请求重新作出决定。
专利复审委员会与石艳均不服原审判决并向本院提起上诉，请求撤销原审判决并维持第23623号决定。专利复审委员会与石艳的主要上诉理由均为：专利复审委员会对区别技术特征的认定正确，本专利不具有创造性。
网康公司服从原审判决。
本院经审理查明，原审法院查明事实清楚，证据采信得当，且有第23623号决定、本专利授权公告文本、对比文件及当事人陈述、笔录等证据在案佐证，证据充分，本院对原审法院查明的事实予以确认。
本院认为：
专利法第二十二条第三款规定：“创造性，是指与现有技术相比，该发明具有突出的实质性特点和显著的进步，该实用新型具有实质性特点和进步。”现有技术是指申请日以前在国内外为公众所知的技术。所谓实质性特点是指对本领域技术人员来说，该发明或者实用新型相对于现有技术是非显而易见的，所谓进步是指该发明或者实用新型与现有技术相比能够产生有益的技术效果。发明所实际解决技术问题的确定是判断本领域技术人员是否可以获得相应技术启示的基础。确定发明与最接近的现有技术相比所具有的区别技术特征，是确定涉案发明所实际解决的技术问题，进而判断本领域技术人员是否具有相应技术启示的基础。认定权利要求与最接近现有技术之间的区别技术特征，应当以权利要求记载的技术特征为准，而最接近现有技术的认定应当以对比文件公开的技术内容为准，该技术内容不仅包括明确记载在对比文件中的内容，而且包括对于所属技术领域的技术人员来说，隐含的且可直接地、毫无疑义地确定的技术内容。确定发明实际解决的技术问题，通常要在发明相对于最接近的现有技术存在的区别技术特征的基础上，由本领域技术人员在阅读本案专利说明书后，根据该区别技术特征在权利要求请求保护的技术方案中所产生的作用、功能或者技术效果等来确定。判断发明或实用新型对本领域的技术人员来说是否显而易见，要确定的是现有技术整体上是否存在某种技术启示，即现有技术中是否给出将该发明或者实用新型的区别技术特征应用到最接近的现有技术以解决其存在的技术问题的启示，这种启示会使本领域的技术人员在面对相应的技术问题时，有动机改进最接近的现有技术并获得该发明或者实用新型专利技术。当上述区别技术特征为公知常识或为与最接近的现有技术相关的技术手段，或者为另一份对比文件披露的相关技术手段，且该技术手段在该对比文件中所起的作用与该区别技术特征在要求保护的发明或者实用新型中为解决相关技术问题所起的作用相同，通常可以认定存在相应的技术启示。发明的技术效果是判断创造性的重要因素。如果发明相对于现有技术所产生的技术效果在质或量上发生明显变化，超出了本领域技术人员的合理预期，可以认定发明具有预料不到的技术效果。在认定是否存在预料不到的技术效果时，应当综合考虑发明所属技术领域的特点,尤其是技术效果的可预见性、现有技术中存在的技术启示等因素。
本案中，首先，专利复审委员会认定本专利权利要求1与附件1的区别特征a为：“权利要求1中包含独立的延迟及控制模块，而附件1中仅公开了对数据包进行延迟处理，未明确记载实现对数据包进行延迟处理功能的为独立的延迟及控制模块。”经审查，本专利权利要求1中的延迟及控制模块，对来自策略模块的数据包进行延迟处理，并在审计模块对复制的数据包进行审计后，基于由审计模块发送至该延迟及控制模块的审计结果，对该被延迟数据包进行控制和处理。而附件1中，防火墙判定数据包为http数据包时，将该数据包暂存在暂存器中，之后再根据审计系统发来的审计结果对该数据包进行相应的处理（若未在设定的时间内收到审计系统发来的阻断要求，则向用户主机侧正常转发该数据包，同时清除暂存记录；若在设定的时间内收到审计系统发来的阻断要求，则进行丢包或替代后转发等阻断处理，同时清除暂存记录）。由以上对比可以看出，本专利权利要求1中的延迟及控制模块直接接收审计模块发送的审计结果、并直接对被延迟的数据包进行控制和处理，与附件1中由防火墙接收审计系统发来的审计结果、再根据审计结果对暂存器中暂存的数据包进行相应处理相比，本专利权利要求1中的数据信号传输路径更为快捷、占用资源更少，因而效率更高。本专利权利要求1中的延迟及控制模块无论在通信连接关系上，还是在实现的技术效果上，都与附件1中的暂存器存在显著不同。本专利权利要求1中的延迟及控制模块可以根据审计结果直接、独立地对被延迟的数据包进行控制和处理，而附件1中的暂存器只是对数据包进行暂存，其无法直接、独立地实现这样的操作，而必须依靠防火墙的指令再进行后续操作。本专利权利要求1与附件1的区别特征a不仅仅是延迟及控制模块是独立还是非独立的区别，而是本专利因为有了延迟及控制模块与附件1相比具有数据信号传输路径更为快捷、占用资源更少，因而效率更高的实质性特点和显著的进步。此外，专利复审委员会虽主张“设立独立的延迟及控制模块来执行相应的操作是本领域技术人员的常用技术手段”，但其未予充分说明或提供有效证据证明该主张。因此，专利复审委员会与石艳有关专利复审委员会对本专利权利要求1与附件1的区别特征a的认定正确的上诉理由依据不足，本院不予支持。
其次，专利复审委员会认定本专利权利要求1与附件1的区别特征b为：“权利要求1中策略模块复制符合该内置策略的数据包，审计模块对所述复制的数据包进行审计，而附件1中数据包被防火墙和审计系统同时截获，审计系统对数据包进行审计，即本专利权利要求1中的审计模块只对符合内置策略的复制的数据包进行审计，而附件1中的审计系统对所有截获的数据包均进行审计。”经审查，附件2中的嗅探器截取数据包并对其进行复制，完全不同于本专利权利要求1中的策略模块实时检测数据包并对符合内置策略的数据包进行复制。附件2涉及一种网络设备对网络流量异常的检测方法，其目的在于，在降低网络资源消耗并且不影响数据转发功能的前提下，实现网络设备入侵检测，因此只在检测到异常后才启动相应的安全策略。为此，附件2的嗅探器按照一定的过滤条件，将一部分数据包复制并送往控制平面进行分析，嗅探并不影响数据流的转发。也就是说，附件2的嗅探器在嗅探期间，数据流不受影响，并无数据包被延迟处理，而只有部分数据包被复制后发送至控制平面。而本专利权利要求1中的策略模块对符合内置策略的数据包进行复制，并将该数据包发送至延迟及控制模块进行延迟处理，也就是说，这些符合内置策略的数据包在延迟及控制模块收到审计结果之前，不会通过数据通路传输出去。这样，本专利权利要求1中的数据流实际上被一分为二，一部分被发送至延迟及控制模块进行延迟处理，而另一部分通过数据通路传输出去。并且，本专利的审计模块和延迟及控制模块处理完全相同的数据包，显然更有针对性且处理效率更高。而附件2中并未公开延迟及控制模块，因此不可能公开有关审计模块与延迟及控制模块之间的相互关系及相应技术效果。而且这两种不同的技术手段所带来的技术效果也完全不同。附件2的嗅探器在探测到网络流量异常后，才启动相应的安全策略，因此其安全策略存在一定的滞后性，并且其无法给出利用审计模块和延迟及控制模块处理完全相同的数据包，从而实现针对性强、效率更高的控制的技术启示。而本专利权利要求1中的策略模块将待审计的数据包发送至延迟及控制模块进行延迟处理，从源头实现了对网络行为的管理，使得控制能更有针对性且更高效。附件2中嗅探器按照一定的过滤条件将一部分数据包复制并送往控制平面进行分析，其不同于本专利权利要求1中的区别特征b，且其所起的作用也不同于区别特征b在本专利中的所起的作用。据此，附件2中不存在将区别特征b结合到附件1的启示，专利复审委员会与石艳有关专利复审委员会对本专利权利要求1与附件1的区别特征b的认定正确的上诉理由依据不足，本院不予支持。
再次，专利复审委员会认定本专利权利要求1与附件1的区别特征c为：“权利要求1中的审计模块还用于配置所述策略模块的内置策略及用于关闭该策略模块。”经查，附件4中用户通过配置模块配置应用控制设备120识别并分流数据包的应用类型，该配置模块与内容审计设备130并无直接联系，用户只不过在配置应用控制设备120时可参照考虑内容审计设备130内容审计的能力而已，而配置模块与检测控制模块122更无任何关联，因而附件4中的配置模块与审计模块是完全独立的两个模块。而本专利权利要求1中由审计模块配置策略模块的内置策略，同时审计模块还承担了对内置策略筛选后数据进一步判断是否合法的作用。此外，专利复审委员会虽主张“本领域技术人员容易想到由审计模块来配置所述策略模块的内置策略，在无需根据内置策略执行相应的功能时关闭该策略模块，并且其具体实施手段也是本领域的常用技术手段”，但其未予充分说明或提供有效证据证明该主张。特别是，本专利权利要求1中审计模块与策略模块之间的数据传递是双向的，一方面审计模块给策略模块配置内置策略，另一方面策略模块将符合内置策略的数据包发送给审计模块，审计模块在进一步判断数据是否需要进行延迟处理。可见，与附件4不同，本专利权利要求1中的审计模块单独配置内置策略，其还承担了对内置策略筛选后的数据进一步判断是否合法的作用。即本案的网络行为管理系统中，审计模块承担了配置内置策略和基于内置策略进一步判断的作用。根据这种网络架构，策略模块、延迟及控制模块的数据处理负担较小，能够提高数据处理效率。这种将内置策略的设置与进一步判断集中于审计模块中进行处理的网络架构，无论在附件1、2、4中均没有技术启示。因此，专利复审委员会与石艳有关专利复审委员会对本专利权利要求1与附件1的区别特征c的认定正确的上诉理由依据不足，本院不予支持。
据此，专利复审委员会对本专利权利要求1的创造性的事实认定错误，本领域技术人员无法在附件1的基础上结合附件2、4及本领域的常用技术手段来获得本专利权利要求1的技术方案。因此本专利权利要求1的技术方案相对于附件1、2、4及本领域的常用技术手段具备实质性特点和显著的进步，因而具备创造性，符合专利法第二十二条第三款的规定。在此基础上，本专利权利要求2-9是权利要求1的从属权利要求，在本专利权利要求1具有创造性的前提下，权利要求2-9也具有创造性，符合专利法第二十二条第三款的规定。因此，专利复审委员会与石艳有关本专利全部权利要求均不具有创造性的上诉理由依据不足，本院不予支持。
综上，专利复审委员会与石艳的上诉主张缺乏事实及法律依据，其上诉请求本院不予支持。原审判决认定事实清楚，适用法律正确，判决结论正确，依法应予维持。依据《中华人民共和国行政诉讼法》第八十九条第一款第（一）项之规定，判决如下：
驳回上诉，维持原判。
一审案件受理费一百元，由国家知识产权局专利复审委员会负担（于本判决生效后七日内交纳）；二审案件受理费一百元，由国家知识产权局专利复审委员会与石艳各负担五十元（均已交纳）。
本判决为终审判决。
审 判 长 刘晓军
审 判 员 孔庆兵
代理审判员 蒋 强
二〇一六年七月二十七日
书 记 员 赵静怡