2020-003593

特願２０１８－　６２３１２「監視システム」拒絶査定不服審判事件〔令和　１年１０月１０日出願公開、特開２０１９－１７６３０９、請求項の数（２）〕について、次のとおり審決する。

【結　論】 原査定を取り消す。 本願の発明は、特許すべきものとする。

【理　由】 第１　手続の経緯 本願は、平成３０年３月２８日の出願であって、令和元年７月２５日付けで拒絶理由通知がされ、令和元年９月１７日に意見書及び手続補正書が提出され、令和２年１月２１日付けで拒絶査定がされ、これに対し、令和２年３月１６日に拒絶査定不服審判の請求がされると同時に手続補正がされたものである。 第２　原査定の概要 原査定（令和２年１月２１日付け拒絶査定）の概要は次のとおりである。 本願請求項１－７に係る発明は、以下の引用文献１－５に基づいて、その発明の属する技術の分野における通常の知識を有する者（以下、「当業者」という。）が容易に発明できたものであるから、特許法第２９条第２項の規定により特許を受けることができない。 引用文献等一覧 １．特表２０１７－５２７２１６号公報 ２．特開２００６－２５２１０９号公報 ３．特開２００６－１１４９９１号公報 ４．特表２０１９－５０６１０２号公報 ５．国際公開第２０１５／０２５３７３号 なお、上記引用文献４は、本願出願後に公表された文献である。 第３　本願発明 本願請求項１、２に係る発明（以下、それぞれ「本願発明１」、「本願発明２」という。）は、令和２年３月１６日になされた手続補正で補正された特許請求の範囲の請求項１、２に記載された事項により特定される発明であり、本願発明１、２は以下のとおりの発明である（下線部は補正箇所を示す。）。 「　　【請求項１】 複製モジュールと監視装置とを備える監視システムであって、 前記複製モジュールは、 所定のセンサと接続されるゲートウェイとネットワークとの間の通信に特化して設けられ、 前記ゲートウェイからの、第１ヘッダを含む第１原パケットデータを受信する機能と、 前記第１原パケットデータを複製する機能と、 複製した前記第１原パケットデータに前記監視装置を示す第２ヘッダを付加した第１転送パケットデータを生成する機能と、 前記第１転送パケットデータと前記第１原パケットデータとを交互に前記ネットワークに送信する機能と、 を備え、 前記監視装置は、 前記ネットワークを介して前記複製モジュールと通信するものであり、 前記第１転送パケットデータを前記複製モジュールから受信する機能と、 前記第１転送パケットデータに含まれている前記第１ヘッダを参照して前記第１原パケットデータの送信先が正当であるか否かを判定する機能と、 前記第１原パケットデータの送信先が正当ではないと判定された場合に前記第１原パケットデータの送信先が正当でないことを示す第１注意情報を出力する機能と、 前記第１転送パケットデータを前回受信した時点から計測して所定期間以上新たな第１転送パケットデータを受信していない場合には、前記ゲートウェイが動作していないことを示す第２注意情報を更に出力する機能と、 を備える、 監視システム。 【請求項２】 前記複製モジュールは、 前記ネットワークからの、第３ヘッダを含む第２原パケットデータを受信する機能と、 前記第２原パケットデータを複製する機能と、 複製した前記第２原パケットデータに前記監視装置を示す前記第２ヘッダを付加した第２転送パケットデータを生成する機能と、 前記第２原パケットデータを前記ゲートウェイに送信し、前記第２転送パケットデータを前記ネットワークに送信する機能と、 をさらに備え、 前記監視装置は、 前記第２転送パケットデータを前記複製モジュールから受信する機能と、 前記第２転送パケットデータに含まれている前記第３ヘッダを参照して前記第２原パケットデータの送信元が正当であるか否かを判定する機能と、 前記第２原パケットデータの送信元が正当ではないと判定された場合に前記第２原パケットデータの送信元が正当でないことを示す第３注意情報を出力する機能と、 前記第２転送パケットデータを前回受信した時点から計測して所定期間以上新たな第２転送パケットデータを受信していない場合には、前記ゲートウェイが動作していないことを示す第４注意情報を更に出力する機能と、 をさらに備える、 請求項１記載の監視システム。」 第４　引用文献、引用発明等 １　引用文献１について 原査定の拒絶の理由に引用された引用文献１には、図面とともに次の事項が記載されている（下線は当審付与。以下同様。）。 ア　「【発明の概要】 【発明が解決しようとする課題】 【０００３】 [0002]本明細書では、ネットワークの挙動を調査するための追跡システムについて説明する。動作中、ネットワーク内の各スイッチ（またはネットワーク内の少なくともいくつかのスイッチの各々）は、それが処理する各元のパケットが１つまたは複数のパケット検出ルールを満たすか否かを判定することができる。ルールを満たす場合、スイッチはミラーリングされたパケットを生成することができる。ミラーリングされたパケットは、少なくとも元のパケットの情報のサブセットを含む。次に、スイッチはミラーリングされたパケットを負荷分散マルチプレクサーに転送することができる。スイッチはまた、元のパケットを変更されていない形式で元のパケットで指定されたターゲット宛先に送信する。 【課題を解決するための手段】 【０００４】 [0003]ミラーリングされたパケットを受信すると、マルチプレクサーは、少なくとも１つの負荷分散の考慮事項に基づいて、候補となる処理モジュールのセットから処理モジュールを選択することができる。次に、マルチプレクサーは、ミラーリングされたパケットを選択された処理モジュールに送信し、そこで１つまたは複数の処理エンジンを使用して分析される。 【０００５】 [0004]スイッチによってホストされるパケット検出ルールは、アプリケーション特有の目的を考慮して、高い関心値とみなされるパケットのサブセットを選択するように設計できる。この挙動の結果として、追跡システムは、情報が多すぎて分析者が圧倒されることなく、ネットワークの望ましくない挙動（および望ましい可能性のある挙動）を効果的かつ迅速に特定することができる。」 イ　「【００１１】 [0028]前置き事項として、図面のいくつかは、機能、モジュール、特徴、要素などと様々に呼ばれる１つまたは複数の構造的コンポーネントの文脈における概念を記述する。図面に示された様々なコンポーネントは、例えばコンピューター機器上で動作するソフトウェア、ハードウェア（例えば、チップ実装された論理機能）など、および／またはそれらの任意の組み合わせなど、任意の物理的および有形のメカニズムによる任意の方法で実装することできる。ある場合では、図面中の様々なコンポーネントの別個のユニットへの説明された分離は、実際の実装形態において対応する明確な物理的および有形のコンポーネントの使用を反映することができる。代わりに、または加えて、図に示された任意の単一のコンポーネントは、複数の実際の物理コンポーネントによって実装されてもよい。代わりに、または加えて、図面における任意の２つ以上の別個のコンポーネントの描写は、単一の実際の物理的コンポーネントによって実行される異なる機能を反映することができる。以下に説明する図１９のフローチャートは、図に示される機能の１つの例示的な物理的実装形態に関する追加の詳細を提供する。」 ウ　「【００１５】 [0032]以下の説明は、１つまたは複数の特徴を「オプション」として識別することができる。このタイプの表現は、オプションとみなされるかもしれない特徴の網羅的な表示として解釈されるべきではなく、つまり、他の特徴は、字句では明示的に特定されていないが、オプションと見なすことができる。さらに、あらゆる単一のエンティティの記述は、複数のそのようなエンティティの使用を排除することを意図しておらず、同様に、複数のエンティティの記述は、単一のエンティティの使用を排除することを意図していない。さらに、記述は、識別された機能を実行するか、または特定されたメカニズムを実装する代替方法として、特定の特徴を説明する場合があるが、これらの特徴を任意の組み合わせで組み合わせることもできる。最後に、用語「例としての（ｅｘｅｍｐｌａｒｙ）」または「例示的な（ｉｌｌｕｓｔｒａｔｉｖｅ）」は、潜在的に多数ある実装形態のうちの１つの実装形態を指す。 Ａ．説明的な追跡システム Ａ．１．概要 [0033]図１は、追跡システム１０２の一例の概要を示す。追跡システム１０２は、ネットワーク１０４を介して送信される選択されたパケットに関する情報を抽出し、次にそれらのパケットを分析する。１つの使用シナリオでは、分析者は、追跡システム１０２によって提供される情報を使用して、異常なまたは望ましくない事象を調査することができる。他の場合には、分析者は、追跡システム１０２に提供された情報を使用して、ネットワーク１０４における望ましい挙動を調査することができる。全体として、追跡システム１０２によって提供される情報は、どのような事象が調査されているかの原因に関する洞察を提供することができる。 【００１６】 [0034]他の潜在的利点の中でも、追跡システム１０２がネットワーク１０４から情報を選び出す選択性は、人間の分析者または他の消費者に提示される「ノイズ」の量を減少させ、それによってその人の調査を容易にする。それはまた、追跡システムのスケーラビリティーと全体的な効率にも寄与する。以下に説明する追跡システム１０２の他の態様は、追跡システム１０２によって提供されるパケット収集機能のスケーラビリティーおよび効率にさらに寄与する。 【００１７】 [0035]ネットワーク１０４は、代表的なスイッチ１０６などの複数のハードウェアスイッチで構成されている。例えば、各スイッチは、特定用途向け集積回路（ＡＳＩＣ）などによって提供される論理機能によって実装されてもよい。図示されていないが、ネットワーク１０４は、加えて、または代わりに、１つまたは複数のソフトウェア実装スイッチを含むことができる。各スイッチは、どのような方法で構築されても、１つまたは複数のルーティングの考慮事項に基づいて、ソースから受信した入力パケットを宛先にルーティングする主要な機能を実行する。ソースは、マルチホップパスに沿った別の「アップストリーム」スイッチ、またはパケットの根源の開始点に対応することができる。同様に、宛先は、パスに沿った別のスイッチ、またはパケットの最終宛先に対応することができる。 【００１８】 [0036]ネットワーク１０４は、図１に高レベル形式でのみ示されている。実際には、ネットワーク１０４は任意のトポロジを有することができる。このトポロジは、ネットワーク１０４内のスイッチの選択と、これらのスイッチの配置（および相互接続）を決定する。さらに、ネットワーク１０４は、任意の環境で使用することができる。ある場合には、例えば、ネットワーク１０４を使用して、データセンター内でパケットをルーティングし、外部エンティティとデータセンターとの間でパケットをルーティングすることができる。別の場合には、ネットワーク１０４は、企業環境で使用されてもよい。別の場合には、ネットワーク１０４は、例えば、２つ以上の環境（例えば、２つ以上のデータセンターの間など）間で情報をルーティングすることによって、データをルーティングすることができる。さらに他の用途も可能である。 【００１９】 [0037]追跡システム１０２は、２つの主要なコンポーネントである、ミラーリング機能、および収集および分析（ＣＡ）フレームワーク１０８を有する。ミラーリング機能は、ネットワーク１０４内の各スイッチのすべてによって提供されるミラーリングメカニズムを集合的に表す。他の実装形態では、スイッチのサブセットは、スイッチの全てではないが、ミラーリングメカニズムを含む。各ミラーリングメカニズムは、そのホスティングスイッチが１つまたは複数のパケット検出ルールに一致する元のパケットを受信すると、ミラーリングされたパケットを生成する。ミラーリングされたパケットは、元のパケットのヘッダー情報など、元のパケットから抽出された情報のサブセットを含む。ミラーリングされたパケットは、新しい宛先アドレス（元のパケットの元の宛先アドレスと比較して）を指定する新しいヘッダーも含む。次に、スイッチは、ミラーリングメカニズムによって割り当てられたアドレスに従って、ミラーリングされたパケットをＣＡフレームワーク１０８に渡す。次に、ＣＡフレームワーク１０８は、実装形態特有の様々な方法でミラーリングされたパケットを処理する。 【００２０】 [0038]より具体的には、スイッチは、１つまたは複数のマルチプレクサー１１０のセットから選択されたマルチプレクサーにミラーリングされたパケットを送信することができる。次に、選択されたマルチプレクサーは、ミラーリングされたパック化されたパケットを、少なくとも１つの負荷分散の考慮事項に基づいて、処理モジュール（ＰＭ）のセットの１つに送信する。次に、選択された処理モジュールは、１つまたは複数の処理エンジンを使用して、ミラーリングされたパケットを（他の以前に受信されたミラーリングされたパケットと共に）処理することができる。 【００２１】 [0039]少なくとも１つの消費エンティティ１１４は、ミラーリングされたパケットを取得するために処理モジュール１１２と対話することができる。次に、消費エンティティ１１４は、１つまたは複数の処理エンジンを使用して、ミラーリングされたパケットについて任意のアプリケーション特有の分析を実行することができる。ある場合では、消費エンティティ１１４は、コンピューティングデバイス上で実行される自動的方法で動作する解析プログラムに対応することができる。別の場合では、消費エンティティ１１４は、人間の分析者の指示の下で、コンピューティングデバイス上で実行される分析プログラムに対応することができる。いくつかのシナリオでは、消費エンティティ１１４はまた、特定のアプリケーションと関連している。この関連性を考慮すると、消費エンティティは、ネットワーク内の事象に特に着目しており、それ自体の用途に影響を与える可能性がある。 【００２２】 [0040]管理モジュール１１６は、追跡システム１０２の任意の態様を制御することができる。例えば、管理モジュール１１６は、ネットワーク１０４を通じて流れる特定のタイプのパケットをキャプチャするのに使用するために、ネットワーク１０４内のスイッチに、特定のパケット検出ルールをロードするように指示することができる。管理モジュール１１６は、任意の消費エンティティと対話することもできる。例えば、消費エンティティ１１４は、ネットワーク内の問題を識別し、それに応答して、スイッチにパケット検出ルールを伝搬するように管理モジュール１１６に要求することができ、これらのルールの結果として生成されたミラーリングされたパケットは、消費エンティティ１１４が問題の原因を識別するのを助ける。 【００２３】 [0041]上記の説明を明確にするために、図１は、ミラーリングされた対応物とともにネットワーク１０４を通じた１つの元のパケットの流れを示す。後述のサブセクション（下記）は、図１の代表的なフローを説明する際に導入された各操作に関する追加の例示的な詳細を提供する。 【００２４】 [0042]図示されているように、任意のソースエンティティ１１８は、それを任意の宛先エンティティ１２２に送信する最終的な意図で、元のパケット（Ｐｏ）１２０をネットワーク１０４に送信する。例えば、限定するものではないが、ソースエンティティ１１８は第１のコンピューティングデバイスに対応し、宛先エンティティ１２２は第２のコンピューティングデバイスに対応することができる。より具体的には、例えば、宛先エンティティ１２２は、特定のアプリケーションをホストするデータセンターに配置されたサーバーコンピューティングデバイスに対応することができる。ソースエンティティ１１８は、任意の目的のためにアプリケーションと対話したい任意のコンピューティングデバイスに対応することができる。 【００２５】 [0043]パケットは、その用語が本明細書で使用されるように、任意の情報単位を指す。１つの特定の実装形態では、元のパケット１２０は、ＩＰプロトコルによって指定されたヘッダーおよびペイロードを有するインターネットプロトコル（ＩＰ）パケットに対応する。より具体的には、元のパケットは、宛先エンティティを識別する仮想ＩＰ（ＶＩＰ）アドレスを提供することができる。宛先エンティティ１２２は、代わりに、直接ＩＰ（ＤＩＰ）アドレスに関連付けられてもよい。他の機能の中でも、ネットワーク１０４内の少なくとも１つのコンポーネントは、ＶＩＰアドレスを宛先エンティティ１２２の適切なＤＩＰアドレスにマッピングする。」 エ　「【００３７】 [0056]マルチプレクサー２２４は、ネットワーク２０６のトップレベルスイッチ２１２および／または他のスイッチに結合することができる。さらに、マルチプレクサー２２４は、１つまたは複数の処理モジュール２２６に直接結合されてもよい。あるいは、図２に示すように、マルチプレクサー２２４は、任意の接続トポロジを使用して、スイッチ２２８を介して処理モジュールに接続することができる。 Ａ．３．ミラーリング機能を有する例示的なスイッチ [0057]図３はミラーリング機能を有する例示的なスイッチ３０２を示しており、これは元のパケットのミラーリングされた対応物であるパケットを生成して転送する能力を有することを意味する。上述したように、スイッチ３０２は、ハードウェアユニット（例えば、ＡＳＩＣ）として実装することができる。 【００３８】 [0058]高レベルの観点から、スイッチ３０２は、３つの主な機能を実行する機能を含むことができる。機能３０４は、スイッチ３０２が、受信した元のパケットをターゲット宛先に転送する従来の役割を実行することを可能にする。機能３０６は、スイッチの動作のミラーリング態様を実行する。そして機能３０８は、様々な管理機能を実行する。より具体的には、説明を容易にするために、図３は、これら３つの機能（３０４、３０６、３０８）を３つの別々のドメインとして示している。しかしながら、いくつかの実装形態では、単一の物理的モジュールが、図３に示された別個のドメインに起因する２つ以上の機能を実行してもよい。 【００３９】 [0059]機能３０４から開始して、受信モジュール３１０は任意のソースから元のパケット１２０を受信する。ソースは、図１のソースエンティティ１１８または別の「アップストリーム」のスイッチに対応することができる。ルート選択モジュール３１２は、次のホップ３１４に対応して、元のパケットの次の宛先を選択する。次のホップ３１４は、代わりに、元のパケットの最終的なターゲット宛先、またはマルチホップパスに沿った別の「ダウンストリーム」スイッチに対応してもよい。ルート選択モジュール３１２は、次のホップ３１４の選択にあたって、データストア３１６において提供されるルーティング情報を求めることができる。ルート選択モジュール３１２はまた、ＢＧＰのような次のホップ３１４を選択する際に任意のプロトコルを使用することができる。送信モジュール３１８は、元のパケットを次のホップ３１４に送信する。図３には明示されていないが、送信モジュール３１８は、次のホップ３１４に送信する前に、元のパケットを別のパケットにカプセル化するために任意のカプセル化プロトコルを使用することができる。 【００４０】 [0060]ミラーリング機能３０６に関して、マッチングモジュール３２０は、受信された元のパケット１２０が、データストア３２２に記憶されているパケット検出ルールのいずれかと一致するか否かを判定する。例示的なルールを以下に示す。ミラーリングモジュール３２４は、元のパケット１２０が任意の１つまたは複数のパケット検出ルールを満たす場合に、ミラーリングされたパケット３２６を生成する。上述したように、ミラーリングモジュール３２４は、元のパケットのヘッダーなどの元のパケット１２０から情報のサブセットを抽出することによって、ミラーリングされたパケット３２６を生成することができる。ミラーリングモジュール３２４はまた、元のパケット１２０を処理する過程でスイッチ３０２自体によって生成されたメタデータなど、元のパケット１２０には存在しない情報を追加することもできる。いくつかの実装形態では、ミラーリングモジュール３２４は、カリフォルニア州サンノゼのシスコシステムズ社によって提供されるＥｎｃａｐｓｕｌａｔｅｄ Ｒｅｍｏｔｅ Ｓｗｉｔｃｈｅｄ Ｐｏｒｔ Ａｎａｌｙｚｅｒ（ＥＲＳＰＡＮ）技術のような、ミラーリングされたパケット３２６を作成するために利用可能なパケットコピー技術を使用することができる。 【００４１】 [0061]マルチプレクサー選択モジュール３２８は、ミラーパケット３２６を送信する（図１の）マルチプレクサー１１０のセットの中のマルチプレクサーを選択する。図３の文脈では、マルチプレクサー選択モジュール３２８がマルチプレクサー３３２を選択すると仮定する。例えば、マルチプレクサー選択モジュール３２８は、ハッシュアルゴリズムを使用して、元のパケットのＩＰヘッダーのヘッダー内に提供された異なる情報アイテム（ミラーリングされたパケットにコピーされた情報である）などの、ミラーリングされたパケットによって搬送される情報アイテムの任意のタプルをハッシュすることができる。ハッシング演算は、代わりに特定のマルチプレクサーにマッピングされるハッシュ結果を生成する。ミラーリングメカニズムを持つすべてのスイッチは、同じハッシュ関数を使用する。全体的に、ハッシュ操作は、利用可能なマルチプレクサー１１０のセットにわたってミラーリングされたパケットを広げる効果を有する。データストア３３０は、マルチプレクサー選択モジュール３２８がその動作を実行する際に参照する情報を提供することができ、例えば、データストア３３０は、例えば、それぞれのアドレスを提供することによって、利用可能なマルチプレクサー１１０を識別することができる。 【００４２】 [0062]送信モジュール３３４は、ミラーリングされたパケットをマルチプレクサー３３２に送信する。ある場合には、送信モジュール３３４は、ミラーリングされたパケットをトンネリングパケットにカプセル化するために任意のトンネリングプロトコル（ＧＲＥ（Ｇｅｎｅｒｉｃ Ｒｏｕｔｉｎｇ Ｅｎｃａｐｓｕｌａｔｉｏｎ））を使用して、ミラーリングされたパケットをトンネリングパケットにカプセル化し、次にトンネリングプロトコルヘッダーの「先頭に」多重化ＩＰヘッダーを追加することができる。ＧＲＥは、例えばＲＦＣ２７８４に記載されている。送信モジュール３１８は、カプセル化されたミラーリングされたパケット３３６を生成する。」 （当審注：【００４２】における「送信モジュール３１８は、カプセル化されたミラーリングされたパケット３３６を生成する。」という記載は、図３の記載からすると、「送信モジュール３３４は、カプセル化されたミラーリングされたパケット３３６を生成する。」の誤記と認められる。） オ　「【００５９】 [0079]図８は、ミラーリング可能なスイッチ３０２の出力で生成されるカプセル化されたミラーリングされたパケット３３６の例示的な構造を示す。カプセル化されたミラーリングされたパケット３３６は、例えば少なくとも元のパケット１２０のヘッダーを提供することによって、例えば元のパケット１２０内の情報のサブセットに対応して、ミラーリングモジュール３２４によって生成される、上記で指定されたミラーリングされたパケット３２６を含む。カプセル化外部フィールドは、ＧＲＥトンネリングヘッダーなどのミラートンネリングヘッダー８０２を含む。次のカプセル化外部フィールドは、ミラーＩＰヘッダー８０４を含む。他の実装形態は、ミラーリングされたパケット３２６をカプセル化する他の方法を採用することができる。 Ａ．４．例示的なマルチプレクサー [0080]図４は、マルチプレクサー４０２の１つの実装形態を示す。マルチプレクサー４０２は、図１に示すマルチプレクサー１１０のセットの１つに対応し得る。または、マルチプレクサー４０２は、追跡システム１０２によって提供される唯一のマルチプレクサーに対応してもよい。マルチプレクサー４０２は、ハードウェアにより実装されたデバイスまたはソフトウェアにより実装されたデバイス、またはそれらのいくつかの組み合わせに対応することができる。前者の場合、ハードウェアマルチプレクサーは、多重化機能を実行するために再プログラムされ再利用される一般商品スイッチに対応することができる。または、ハードウェアマルチプレクサーは、以下に説明する機能を実行するように構成されたカスタム設計されたコンポーネントに対応することができる。」 カ　「【００６０】 [0081]マルチプレクサー４０２は、多重化機能を管理するための機能４０６と共に、実際の多重化機能を実行するための機能４０４を含む。例えば、機能４０４は、ミラーリングされたパケット４１２を受信するための受信モジュール４１０を含むことができる。（より正確には、ミラーリングされたパケット４１２は、スイッチ３０２の出力で生成されたカプセル化されたミラーリングされたパケット３３６の種類に対応するが、下記では簡潔さのため単に「ミラーリングパケット」４１２と呼ばれる。）機能４０４はまた、１セットの候補処理モジュール１１２の中から処理モジュールを選択するためのＰＭ選択モジュール４１４を含むことができる。ＰＭ選択モジュール４１４は、その動作を実行する際にデータストア４１６内のルーティング情報を求める。ＰＭ選択モジュール４１４が、ミラーリングされたパケット４１２をＰＭ４１８に送信することを選択すると仮定する。送信モジュール４２０は、ミラーリングされたパケット４１２をＰＭ４１８に送信する。そうすることで、送信モジュール４２０は、ミラーリングされたパケット４１２をトンネリングプロトコルヘッダー（ＧＲＥヘッダーなど）にカプセル化し、その情報をさらに別の外部ＩＰヘッダーにカプセル化して、カプセル化されたミラーリングされたパケット４２２を生成することができる。制御関連モジュール４２４は、マルチプレクサーの動作の任意の態様を管理することができる。例えば、制御関連モジュール４２４は、ＰＭのアドレスを識別するデータストア４１６に記憶するためのアドレス情報を提供することができる。インターフェイスモジュール４２６は、例えば、マルチプレクサー４０２の動作を構成するために使用される管理モジュール１１６からの制御命令を受信することによって、（図１の）管理モジュール１１６と対話する。」 キ　「【００６６】 [0087]この段階では、ＰＭ選択モジュール４１４は、特定のＰＭモジュールに関連付けられたアドレスを生成するために、第４のテーブル内のｅｎｔｒｙｚによって与えられた情報を使用することができる。次に、送信モジュール４２０は、例えばカプセル化されたミラーリングされたパケット４２２に対応する、新しいパケットにパケットをカプセル化する。次に、送信モジュール４２０は、カプセル化されたミラーリングされたパケット４２２を選択されたＰＭに送信する。」 ク　「【００６９】 [0090]最終的な解説として、マルチプレクサー１１０は、特にマルチプレクサー１１０が再利用されたハードウェアスイッチまたは他のハードウェアデバイスに対応する場合、高いスループットを有する。この特性は、追跡システム１０４が高トラフィック量を処理することを可能にする１つの特徴であり、この特性はまた、追跡システム１０４のスケーラビリティーを促進する。 Ａ．５．例示的な処理モジュール [0091]図１０は、図１の追跡システム１０２の別のコンポーネントである処理モジュール１００２の１つの実装形態を示す。処理モジュール１００２は、マルチプレクサー１１０からミラーリングされたパケットのストリームを受信する。上述したように、マルチプレクサー１１０は、ネットワーク１０４を通じる同じパスに関係するミラーリングされたパケットを同じ処理モジュールに転送する。したがって、一実装形態では、処理モジュール１００２によって受信されるミラーリングされたパケットのストリームは、他の処理モジュールによって処理されるフローに関するミラーリングされたパケットを含まない。 【００７０】 [0092]カプセル解除モジュール１００４は、受信したミラーリングされたパケットから外部ヘッダーを除去する。例えば、図９のカプセル化されたミラーリングされたパケット４２２に関して、カプセル解除モジュール１００４は、（図３の）ミラーリングモジュール３２４によって生成された元のミラーパケット３２６を残すために、ヘッダー（８０２、８０４、９０２、９０４）を除去する。しかしながら、以下の説明を簡単にするために、処理モジュール１００２によって処理されるミラーリングされた情報は、以降、単にミラーリングされたパケットと呼ばれる。他の実装形態では、処理モジュール１００２は、外部ヘッダーに提供される少なくともいくつかの情報を、この情報が有用な診断情報を提供する限り、保持することができる。 【００７１】 [0093]処理モジュール１００２は、ミラーリングされたパケットのストリーム上で動作する１つまたは複数の処理エンジン１００６の集合を含むことができる。例えば、少なくとも１つのトレースアセンブリモジュール１００８は、ネットワーク１０４を通じる同じフローまたはパスに関するミラーリングパケットの集合をまとめてグループ化することができる。図１の例では、例えば、トレースアセンブリモジュール１００８は、ミラーリングされたパケットシーケンス１３８を生成するために、スイッチ１０６、１２６および１２８によって生成されたミラーリングされたパケットを単一のグループに組み立てることができる。トレースアセンブリモジュール１００８は、ミラーリングされたパケットを、それらが作成された順序に従ってグループ内で順序付けすることもできる。トレースアセンブリモジュール１００８は、タイムスタンプ、シーケンス番号、および／またはミラーリングされたパケットによってキャプチャされた他の情報を参照することによって、その機能を実行することができる。 【００７２】 [0094]少なくとも１つのフィルタおよび選択（ＦＳ）モジュール１０１０は、受信されたミラーリングされたパケットのストリームから１つまたは複数のタイプのパケットを取り出すことができる。例えば、ＦＳモジュール１０１０は、特定のＴＣＰフラグ、または特定のエラー条件、または特定のアプリケーションなどに関係するパケットなどを取り出すことができる。ＦＳモジュール１０１０は、例えば、正規表現機能または同様のものを使用することによって、受信したミラーリングされたパケットにおいて提供された情報をマッチングルールと照合することによってその機能を実行することができる。 【００７３】 [0095]アーカイブモジュール１０１２は、受信された未処理のミラーリングされたパケットおよび／または他の処理エンジン１００６によって生成された任意のより高いレベルの情報を記憶する。アーカイブモジュール１０１２は、そのような情報を、単一のサイトまたは複数のサイトにまたがる分散型で提供される、１つまたは複数の物理ストレージメカニズムに対応するデータストア１０１４に記憶することができる。例えば、ある場合では、アーカイブモジュール１００４は、処理モジュール１００２によって受信された未処理のミラーリングされたパケットのすべてを記憶することができる。加えて、または代わりに、アーカイブモジュール１０１２は、トレースアセンブリモジュール１００８によって生成されたトレースを記憶することができる。加えて、または代わりに、アーカイブモジュール１０１２は、ＦＳモジュール１０１０によって識別されたミラーリングされたパケットの選択されたサブセットを記憶することができる。 【００７４】 [0096]より具体的には、アーカイブモジュール１０１２は、ミラーリングされたパケットを消費する消費エンティティの予測されるニーズに応じて、異なるタイプのミラーリングされたパケットに対して異なる方法でミラーリングされたパケットを記憶することができる。いくつかの場合では、アーカイブモジュール１０１２は、ミラーリングされたパケットの完全なトレースを記録することができる。他の場合には、アーカイブモジュール１０１２は、これらのパスのための完全なトレースを必ずしも記憶する必要はなく、パス内で生成された特定のミラーリングされたパケットを記憶することができる。例えば、特定のスイッチでパケットドロップが発生したことを示す明示的な情報がキャプチャされた場合、アーカイブモジュール１０１２は、パケットドロップの時点までのホップシーケンス全体をキャプチャすることを控えることができる。」 ケ　「【００７９】 [00101]管理モジュール１１６は、任意のアプリケーション特有の理由のために、同様に、インターフェイスモジュール１０１８を使用して、処理モジュール１００２に命令を送信することができる。例えば、管理モジュール１１６は、性能データを処理モジュール１００２に事前に求めることができる。管理モジュール１１６は、性能データを使用して、上述した方法のいずれかでミラーリング機能の挙動を変更することができる。管理モジュール１１６と処理モジュール１００２との間のさらに別の環境特有の対話が実行されてもよい。 Ａ．６．例示的な消費エンティティ [00102]図１１は、図１のコンテキストで導入された消費エンティティ１１４の１つの実装形態を示す。上述のように、消費エンティティ１１４は、ミラーリングされたパケットに関する分析を実行する際に人間の分析者が用いる、コンピューティングデバイスに対応することができる。代わりに、または加えて、消費エンティティは、任意のタイプのコンピューティングデバイスを実行する１つまたは複数の分析プログラムに対応することができる。 【００８０】 [00103]消費エンティティ１１４は、例えば、処理モジュール１１２によって提供される１つまたは複数のＡＰＩを通じて、処理モジュール１１２と対話するためのインターフェイスモジュール１１０２を含む。消費エンティティ１１４は、処理モジュール１１２によってキャプチャされ、処理される、任意の情報を取得することができる。ある場合では、消費エンティティ１１４は、処理モジュール１１２の集合全体に情報要求を行うことができ、所望の情報を保持する特定の処理モジュール（１つまたは複数）は、所望の情報を提供することによって応答する。代わりに、または加えて、処理モジュール１１２は、消費エンティティ１１４にミラーリングされたパケット情報を自動的に提供することができる。例えば、消費エンティティ１１４は、所望のパケット関連情報を受信する目的で１つまたは複数の事象ハンドラを登録することができる。処理モジュール１１２は、遭遇したときに所望の情報を提供することによって、これらの事象ハンドラに応答することができる。消費エンティティ１１４は、収集した情報をデータストア１１０４に記憶することができる。上述したように、消費エンティティ１１４は、命令および他のフィードバックを処理モジュール１１２に送信することもできる。 【００８１】 [00104]消費エンティティ１１４は、受信したミラーリングパケット情報を解析するための１つまたは複数のアプリケーション特有の処理エンジン１１０６を提供することができる。ある場合では、例えば、処理エンジンは、収集されたミラーパケットのヘッダー内のＴＣＰヘッダー情報を検査することができる。その情報は、通信するエンティティ間に確立された接続の数を示す。処理エンジンは、フラッド攻撃または他の異常条件が発生したか否かを判定するために、接続数をしきい値と比較できる。 【００８２】 [00105]別の処理エンジンは、壊れたリンク、または失われたもしくは破損した情報フローに寄与している可能性がある誤動作コンポーネントに対してネットワーク１０４を調べることができる。そのような処理エンジンは、パケットの切り捨てが早すぎるシーケンス（例えば、パケットが意図された宛先に到達しなかった場合）を特定することなどによる様々な証拠に基づいて、および／または欠落したホップ、異常ルートなどを含むパケットのシーケンスに基づいて、故障の存在を判定することができる。加えて、または代わりに、処理エンジンは、ＢＧＰまたはその他のルーティング情報、スイッチによって追加されたエラー条件メタデータ、ピング関連パケット情報などのいずれの証拠も調べることができる。つまり、ＢＧＰ情報はリンクの故障や不正挙動など、ネットワーク内のルーティング問題を直接明らかにすることができる。エラー条件情報は、特定の交換機がその破損または他の要因のためにパケットをドロップしたことを明らかにすることができる。ピング関連パケット情報は、ネットワーク内の２つのエンティティ間の接続性の問題を明らかにすることができる。上述したように、ピングアプリケーションは、リモートエンティティにテストメッセージを送信し、リモートエンティティによるピングメッセージに対する応答をリッスンすることによってリモートエンティティへの接続の品質をテストするアプリケーションに対応する。 【００８３】 [00106]さらに他のタイプの処理エンジン１１０６を消費エンティティ１１４によって使用することができ、上記の例は、説明の精神で記述したものであって、限定するものではない。 【００８４】 [00107]処理エンジンは、ルールベースのエンジン、人工知能エンジン、機械訓練モデルなど、任意の方法で実装することができる。例えば、１つのルールベース処理エンジンは、診断ルールのセットを反映するマッピングテーブルまたは分岐アルゴリズムを採用することができる。各ルールは、ＩＦ－ＴＨＥＮ形式で構成することができる。すなわち、証拠集合｛Ｘ１，Ｘ２，．．．，Ｘｎ｝がキャプチャされたミラーリングされたパケットに存在する場合、ネットワークは異常Ｙの被害を受けている可能性が高い、ということを指定することができる。これらのルールの特定の性質は、監視されているネットワーク１０４の性質、分析の目的、および／または他の要因に応じて、本質的に環境特有である。 【００８５】 [00108]いくつかの場合では、処理エンジンは一連のテストを動的に実行することもでき、後続のテストは、前のテスト（１つまたは複数）の結果によってトリガーされ、前のテスト（複数可）で生成された結論に依存する場合がある。 【００８６】 [00109]少なくとも１つのアクション行使モジュール１１０８は、処理エンジン１１０６のいずれかによって提供される分析の結果に基づいてアクションを取ることができる。例えば、１つのアクション行使モジュールは、人間の分析者に、例えば、アラート信号、検出された障害の原因のテキストによる説明などを、任意の形式で分析の結果を通知することができる。別の場合では、アクション行使モジュールは、不正挙動であると判定されたネットワーク１０４の一部の性能を事前に無効にしたり、変更したりすることができる。例えば、その種類のアクション行使モジュールは、特定のサーバーや攻撃されている他のリソースへの通信ルートを無効にしたり、悪意のある疑いのあるエンティティを起源とするトラフィックをブロックしたりすることができる。 【００８７】 [00110]インターフェイスモジュール１１１０は、消費エンティティ１１４が管理モジュール１１６と対話することを可能にする。例えば、消費エンティティ１１４は、少なくとも処理モジュール１１２がそうする理由と同じ理由で管理モジュール１１６に要求を送信することができる。例えば、処理エンジンは、受信しているパケットのタイプを変更したり、受信しているパケットの量を変更したりすることがある。この目的のために、処理エンジンは、ネットワーク１０４内のスイッチに更新されたパケット検出ルールを送信するように命令し、管理モジュール１１６に要求を行うことができる。更新されたルールは、スイッチによって有効にされると、処理エンジンの目的を達成する。 【００８８】 [00111]図１および図１１に関する最後の注記として、これらの図は、消費エンティティから分離されたエージェントとしての処理モジュール１１２を示す。他の実装形態では、処理モジュール１１２によって実行されるものとして上で説明した１つまたは複数の機能は、代わりに消費エンティティによって実行することができる。実際、いくつかの実装形態では、処理モジュール１１２は完全に取り除くことができ、消費エンティティはミラーリングされたパケットをマルチプレクサー１１０から直接受信することができる。 Ａ．７．例示的な管理モジュール [00112]最後に、図１２は、管理モジュール１１６の１つの実装形態を示している。管理モジュール１１６は、ネットワークスイッチ、マルチプレクサー１１０、処理モジュール１１２などの様々な動作を制御するために、少なくとも１つの制御モジュール１２０２を使用することができる。例えば、制御モジュール１２０２は、パケット検出ルールの複数セットをスイッチに提供することができ、それによりスイッチのその後のミラーリング挙動を管理する。制御モジュール１２０２は、管理者からの明示的な指示、消費エンティティに関連付けられた人間の分析者による明示的な要求、任意の処理モジュールまたは消費エンティティによる自動化された要求などの１つまたは複数の要因に基づいて新しいルールを生成することができる。」 コ　「【図１】 」 サ　「【図３】 」 シ　以上ア～サより、特に下線部に着目すると、引用文献１には、次の発明（以下、「引用発明」という。）が記載されていると認められる。 「追跡システム１０２は、ネットワーク１０４を介して送信される選択されたパケットに関する情報を抽出し、次にそれらのパケットを分析するものであり、 ネットワーク１０４は、複数のハードウェアスイッチで構成されており、 ネットワーク１０４は、任意の環境で使用することができ、例えば、ネットワーク１０４を使用して、データセンター内でパケットをルーティングし、外部エンティティとデータセンターとの間でパケットをルーティングすることができ、 追跡システム１０２は、２つの主要なコンポーネントである、ミラーリング機能、および収集および分析（ＣＡ）フレームワーク１０８を有し、ミラーリング機能は、ネットワーク１０４内の各スイッチのすべてによって提供されるミラーリングメカニズムを集合的に表し、 スイッチは、１つまたは複数のマルチプレクサー１１０のセットから選択されたマルチプレクサーにミラーリングされたパケットを送信することができ、次に、選択されたマルチプレクサーは、ミラーリングされたパック化されたパケットを、処理モジュール（ＰＭ）のセットの１つに送信し、処理モジュールは、１つまたは複数の処理エンジンを使用して、ミラーリングされたパケットを処理することができ、 消費エンティティ１１４は、ミラーリングされたパケットを取得するために処理モジュール１１２と対話することができ、消費エンティティ１１４は、１つまたは複数の処理エンジンを使用して、ミラーリングされたパケットについて任意のアプリケーション特有の分析を実行することができるものであり、 任意のソースエンティティ１１８は、それを任意の宛先エンティティ１２２に送信する最終的な意図で、元のパケット（Ｐｏ）１２０をネットワーク１０４に送信し、ソースエンティティ１１８は第１のコンピューティングデバイスに対応し、宛先エンティティ１２２は第２のコンピューティングデバイスに対応することができ、 元のパケット１２０は、ＩＰプロトコルによって指定されたヘッダーおよびペイロードを有するインターネットプロトコル（ＩＰ）パケットに対応し、 ミラーリング機能を有する例示的なスイッチ３０２は元のパケットのミラーリングされた対応物であるパケットを生成して転送する能力を有し、 スイッチ３０２は、３つの主な機能を実行する機能を含むことができ、機能３０４は、スイッチ３０２が、受信した元のパケットをターゲット宛先に転送する従来の役割を実行することを可能にし、機能３０６は、スイッチの動作のミラーリング態様を実行し、そして機能３０８は、様々な管理機能を実行し、 機能３０４から開始して、受信モジュール３１０は任意のソースから元のパケット１２０を受信し、ルート選択モジュール３１２は、次のホップ３１４に対応して、元のパケットの次の宛先を選択し、送信モジュール３１８は、元のパケットを次のホップ３１４に送信し、 ミラーリング機能３０６に関して、マッチングモジュール３２０は、受信された元のパケット１２０が、データストア３２２に記憶されているパケット検出ルールのいずれかと一致するか否かを判定し、ミラーリングモジュール３２４は、元のパケット１２０が任意の１つまたは複数のパケット検出ルールを満たす場合に、ミラーリングされたパケット３２６を生成し、ミラーリングモジュール３２４は、元のパケットのヘッダーなどの元のパケット１２０から情報のサブセットを抽出することによって、ミラーリングされたパケット３２６を生成することができ、ミラーリングモジュール３２４は、ミラーリングされたパケット３２６を作成するために利用可能なパケットコピー技術を使用することができ、 マルチプレクサー選択モジュール３２８は、ミラーパケット３２６を送信するマルチプレクサー１１０のセットの中のマルチプレクサーを選択し、 送信モジュール３３４は、ミラーリングされたパケットをマルチプレクサーに送信するものであり、送信モジュール３３４は、ミラーリングされたパケットをトンネリングパケットにカプセル化するために任意のトンネリングプロトコルを使用して、ミラーリングされたパケットをトンネリングパケットにカプセル化し、次にトンネリングプロトコルヘッダーの「先頭に」多重化ＩＰヘッダーを追加することができ、カプセル化されたミラーリングされたパケット３３６を生成し、 カプセル化されたミラーリングされたパケット３３６は、例えば少なくとも元のパケット１２０のヘッダーを提供することによって、例えば元のパケット１２０内の情報のサブセットに対応して、ミラーリングモジュール３２４によって生成される、ミラーリングされたパケット３２６を含み、カプセル化外部フィールドは、ミラーＩＰヘッダー８０４を含み、 マルチプレクサーは、ミラーリングされたパケット４１２を受信するための受信モジュール４１０を含み、ミラーリングされたパケット４１２は、スイッチ３０２の出力で生成されたカプセル化されたミラーリングされたパケット３３６の種類に対応するものであり、 送信モジュール４２０は、ミラーリングされたパケット４１２をトンネリングプロトコルヘッダー（ＧＲＥヘッダーなど）にカプセル化し、その情報をさらに別の外部ＩＰヘッダーにカプセル化して、カプセル化されたミラーリングされたパケット４２２を生成することができ、 送信モジュール４２０は、カプセル化されたミラーリングされたパケット４２２を選択されたＰＭに送信し、 処理モジュールは、マルチプレクサー１１０からミラーリングされたパケットのストリームを受信し、 処理モジュールは、ミラーリングされたパケットのストリーム上で動作する１つまたは複数の処理エンジン１００６の集合を含むことができ、 消費エンティティ１１４は、例えば、処理モジュール１１２によって提供される１つまたは複数のＡＰＩを通じて、処理モジュール１１２と対話するためのインターフェイスモジュール１１０２を含み、消費エンティティ１１４は、処理モジュール１１２によってキャプチャされ、処理される、任意の情報を取得することができ、 処理モジュール１１２は、消費エンティティ１１４にミラーリングされたパケット情報を自動的に提供することができ、 消費エンティティ１１４は、受信したミラーリングパケット情報を解析するための１つまたは複数のアプリケーション特有の処理エンジン１１０６を提供することができ、ある場合では、例えば、処理エンジンは、収集されたミラーパケットのヘッダー内のＴＣＰヘッダー情報を検査することができ、その情報は、通信するエンティティ間に確立された接続の数を示し、処理エンジンは、フラッド攻撃または他の異常条件が発生したか否かを判定するために、接続数をしきい値と比較でき、 少なくとも１つのアクション行使モジュール１１０８は、処理エンジン１１０６のいずれかによって提供される分析の結果に基づいてアクションを取ることができ、例えば、１つのアクション行使モジュールは、人間の分析者に、例えば、アラート信号、検出された障害の原因のテキストによる説明などを、任意の形式で分析の結果を通知することができ、 処理モジュール１１２によって実行される１つまたは複数の機能は、代わりに消費エンティティによって実行することができ、処理モジュール１１２は完全に取り除くことができ、消費エンティティはミラーリングされたパケットをマルチプレクサー１１０から直接受信することができる、 追跡システム１０２及び消費エンティティ１１４。」 ２　引用文献２について 原査定の拒絶の理由に引用された引用文献２には、図面とともに次の事項が記載されている。 「【００１７】 図３は、ネットワークセグメントＡ１０１からネットワークセグメントＢ１０２宛にネットワークアクセス信号１０４が送信される場合のネットワークアクセス制御装置ａ１１０の動作を示す。 まず、ネットワークセグメントＡ１０１からネットワークアクセス信号１０４が送信される。その場合、ネットワークアクセス制御装置ａ１１０では、信号観測機能部１１１によりネットワークセグメントＡ１０１との間の通信回線に信号があるかどうかを観測している。 【００１８】 信号観測機能部１１１は、ネットワークアクセス信号１０４を観測すると、そのネットワークアクセス信号１０４を信号解読機能部１１２に渡す。 信号解読機能部１１２は、ネットワークアクセス信号１０４に含まれるデータを解読し、制御条件に一致するか否かをチェックする。 ここに、制御条件とは、信号を制御するための条件をいい、具体例を挙げれば、次のようなものである。例えば、ネットワークアクセス信号１０４がウィルス等から発信されたおそれがある場合にその対策として信号を制御するとする。その場合の制御条件は、該当するプロトコルと、送信元、受信先によって決まる。または、受信先でウィルス対策が済んでいるか否かによって決定してもよい。 【００１９】 このため、信号解読機能部１１２は、ネットワークアクセス信号１０４に含まれるデータを解読する。その情報としては、例えば、送信元および受信先のIPアドレスや通信プロトコルなどが挙げられる。 【００２０】 図４は、制御条件テーブルの内容の一例を示す。 このテーブルは、異なるネットワークセグメント間の通信を制御するに際し、通常のフィルタリングを行うときに用いられる。これは、ファイアウォールの場合のフィルタリングテーブルに相当するものである。 図４に示す制御条件テーブルでは、ウィルス対策をする場合の制御条件の内容の一例を具体的に示している。 その制御条件は、図４の例では、送信元、送信先、通信プロトコルである。 【００２１】 その具体的な内容は、セグメントＢからセグメントＡへのプロトコルＸによる通信、およびセグメントＡからセグメントＢへのプロトコルＹ，Ｚによる通信のみを許可し、それ以外の通信を遮断するというものである。 ここに、セグメントとは、ネットワークセグメントに属するパーソナルコンピュータ、ルータ、ネットワークプリンタ等のネットワーク機器をいう。これらは、ＩＰアドレスの範囲や、複数のＩＰアドレスで表現される。」 以上より、特に下線部に着目すると、引用文献２には、次の技術事項が記載されていると認められる。 「信号解読機能部１１２は、ネットワークアクセス信号１０４に含まれるデータを解読し、制御条件に一致するか否かをチェックし、 制御条件とは、信号を制御するための条件をいい、例えば、ネットワークアクセス信号１０４がウィルス等から発信されたおそれがある場合にその対策として信号を制御するものであり、 制御条件テーブルは、異なるネットワークセグメント間の通信を制御するに際し、通常のフィルタリングを行うときに用いられ、 制御条件テーブルでは、ウィルス対策をする場合の制御条件の内容の一例を具体的に示しており、 その制御条件は、送信元、送信先、通信プロトコルである、 ネットワークアクセス制御装置。」 ３　引用文献３について 原査定の拒絶の理由に引用された引用文献３には、次の事項が記載されている。 「【００１１】 パケットフィルタリング装置が、パケットの通過を制御する単位としては、主に、ＩＰアドレス単位とＩＰアドレスとポート番号の組の単位が用いられる。 【００１２】 ＩＰアドレス単位の制御は、外部ネットワークの特定端末と内部ネットワークの特定端末との間で送受されるすべてのパケットを通過させるルールで実現できる。具体的には、外部ネットワークにダイヤルアップやホットスポットを用いて接続したパソコンのＩＰアドレスを202.123.12.1、内部ネットワークの電子メールサーバのＩＰアドレスを202.32.21.1とした場合、このパソコンから電子メールサーバへの通信のパケットを許可するルールは、Allow 202.123.12.1 202.32.21.1、のように記述できる。このルールにおいて、Allowは通過を許可することを、202.123.12.1は送信元ＩＰアドレスを、202.32.21.1は宛先ＩＰアドレスを表す。パケットフィルタリング装置は、このルールに適合するパケットをすべて通過させる。このように送信元ＩＰアドレスと宛先ＩＰアドレスの組で特定されるパケットを通過させたり、通過させなかったりする制御をＩＰアドレス単位の制御と呼ぶ。 【００１３】 ＩＰアドレスとポート番号の組の単位の制御は、外部ネットワーク上の特定の端末の特定ポートから送信されるデータが、内部ネットワーク上の特定の端末のアプリケーションが待ち受けている特定ポートへ通過することを許可するルールで実現できる。例えば、外部ネットワーク上のＩＰ電話端末のＩＰアドレスを202.123.12.2、この端末で音声データを送信するアプリケーションが起動されているポート番号を12345とし、内部ネットワークのＩＰ電話端末のＩＰアドレスを202.32.21.2、この端末で音声データを受信するアプリケーションが起動されているポート番号を23456とする。この場合、この音声データの通過を許可するルールは、Allow 202.123.12.2 12345 202.32.21.2 23456のように記述できる。このルールにおいてAllowは許可することを、202.123.12.2、12345、202.32.21.2、23456は、それぞれ、送信元IPアドレス、送信元ポート番号、宛先IPアドレス、宛先ポート番号を表す。パケットフィルタリング装置は、このルールに適合するパケットをすべて通過させる。このように、送信元ＩＰアドレス、送信元ポート番号、宛先IPアドレス、宛先ポート番号の組で特定されるパケットを通過させたり、通過させなかったりする制御をＩＰアドレスとポート番号の組の単位の制御と呼ぶ。」 以上より、特に下線部に着目すると、引用文献３には、次の技術事項が記載されていると認められる。 「外部ネットワーク上の特定の端末の特定ポートから送信されるデータが、内部ネットワーク上の特定の端末のアプリケーションが待ち受けている特定ポートへ通過することを許可するルールとして、例えば、音声データの通過を許可するルールを、Allow 202.123.12.2 12345 202.32.21.2 23456のように記述し、このルールにおいてAllowは許可することを、202.123.12.2、12345、202.32.21.2、23456は、それぞれ、送信元IPアドレス、送信元ポート番号、宛先IPアドレス、宛先ポート番号を表し、パケットフィルタリング装置は、このルールに適合するパケットをすべて通過させること。」 ４　引用文献４について 原査定の拒絶の理由に引用された引用文献４には、図面とともに次の事項が記載されている。 「【００３２】 図４Ａは、ルーティングハイジャックを特定するためのプロセスのハイレベル概要を示すフローチャートである。ハイジャック特定プロセスは、図２および図３に関して上記したＢＧＰルーティングデータを収集すること（ステップ４５０）を含む。ＢＧＰルーティングデータは、経路発信元などの経路属性情報を含む。以下にさらに詳細に開示される一連のステップによって、無害なルーティング通知をフィルタリングして取り除く（ステップ４５２）。一連のフィルタリングステップは、フォールスポジティブを排除し、ハイジャックされた可能性のあるルートを含むインターネットルーティングの変更をとらえる。ハイジャックされたことが疑われるルートをさらに分析して（ステップ４５４）、新たな発信元、当該新たな発信元を受け入れるピアの数、および誤って方向付けられたピアにわたるハイジャックの平均時間などの、ルートに関連する特性を特定する。 【００３３】 疑わしいルートの分析は、修復（ステップ４５６）を必要とし得る安全なケースの特定につながるであろう。たとえば、ヒューマンエラー、リークおよびＡＳ経路破損によって引き起こされる偽のルートを検出することができ、適切な修復策を特定することができる。修復は、ハイジャックされたルートを顧客に警告して知らせること、（無害な間違いの場合）「ハイジャック犯」に警告すること、および上流のインターネットサービスプロバイダに警告することも含み得て、これら全てにより、誤った通知を（ソースから）完全に停止させるか、または（他者によって）フィルタリングして取り除くことができ、その結果、誤ったルートがインターネット上で辿られたり、さらに伝搬されたりすることがなくなる。」 以上より、特に下線部に着目すると、引用文献４には、次の技術事項が記載されていると認められる。 「ルーティングハイジャックを特定するためのプロセスにおいて、ＢＧＰルーティングデータを収集し、ハイジャックされたことが疑われるルートを分析し、たとえば、ヒューマンエラー、リークおよびＡＳ経路破損によって引き起こされる偽のルートを検出し、適切な修復策を特定し、修復は、ハイジャックされたルートを顧客に警告して知らせること、（無害な間違いの場合）「ハイジャック犯」に警告すること、および上流のインターネットサービスプロバイダに警告することも含み得ること。」 ５　引用文献５について 原査定の拒絶の理由に引用された引用文献５には、次の事項が記載されている。 「[0099]　本ＦＷ／ＵＴＭセキュリティアプライアンス２０２は、ファイアーウォールを含むＵＴＭ機能を備えた装置である。 [0100]　ＵＴＭの機能としてどのような機能を含めるかはケースバイケースであり、様々である。例えば、このＵＴＭの中に、アンチスパム機能が入っている場合は、その機能によって不正メール(ブラックリスト等に掲載され受信拒否等されたメール）、スパムメール等の不正な行為等が、内部の記憶手段に記憶される。この記憶される不正メールやスパムメール等の情報は、代表的なセキュリティ情報である。このように、セキュリティに関する情報、各種脅威や、不正行為情報（不正メールやスパムメールに関する情報）一般をセキュリティ情報と呼ぶ。そして、外部からの要求（管理者の操作等）によって適宜そのようなセキュリティ情報を見ることが可能である場合もある。 [0101]　このＵＴＭは、請求の範囲のセキュリティ装置の好適な一例に相当する。 [0102]　このような装置によって、情報システムのセキュリティを達成することが可能である。なお、記憶手段に記憶されたセキュリティ情報は、いわゆる「ログ」と呼ばれることもある。 また、外部からの要求だけでなく、重度の障害やエラー、不正アクセス等が発生した場合においては、自発的に警告を発することもある。管理者に報告するメールや、危険を示すランプを点灯させることも好適である。 特に、本実施の形態において特徴的なことは、ネットワーク等を介して外部（例えば運用管理センター１０）から問い合わせがあった場合に、それに応じて、セキュリティ情報を外部に提供する機能を備えていることである。また、セキュリティ情報には、上記ファイアーウォールで検出された各種脅威の他、ＵＴＭの様々な機能で検出された各種脅威が含まれている。これらが上述した表に内部にログとして記憶されており、外部（運用管理センター１０）からの要求に応じてそれらの情報を提供する。」 以上より、特に下線部に着目すると、引用文献５には、次の技術事項が記載されていると認められる。 「ＦＷ／ＵＴＭセキュリティアプライアンス２０２において、スパムメール等の不正な行為等が、内部の記憶手段に記憶され、重度の障害やエラー、不正アクセス等が発生した場合においては、自発的に警告を発し、管理者に報告するメールや、危険を示すランプを点灯させること。」 第５　対比・判断 １　本願発明１について （１）対比 本願発明１と引用発明とを対比すると、次のことがいえる。 ア　引用発明の「スイッチ」は、「受信モジュール３１０」が「任意のソースから元のパケット１２０を受信」するものであり、「ソース」は「コンピューティングデバイスに対応」するものであるから、引用発明の「ソース」と、本願発明１の「所定のセンサと接続されるゲートウェイ」とは、「通信機器」である点で共通する。そして、引用発明の「ネットワーク１０４」は、本願発明１の「ネットワーク」に相当する。 また、引用発明の「元のパケット１２０」は、「ＩＰプロトコルによって指定されたヘッダーおよびペイロードを有するインターネットプロトコル（ＩＰ）パケットに対応」するものであるから、引用発明の「ヘッダー」及び「元のパケット１２０」は、それぞれ本願発明１の「第１ヘッダ」及び「第１ヘッダを含む第１原パケットデータ」に相当する。 よって、引用発明の「任意のソースから元のパケット１２０を受信」することと、本願発明１の「前記ゲートウェイからの、第１ヘッダを含む第１原パケットデータを受信する機能」とは、「通信機器からの、第１ヘッダを含む第１原パケットデータを受信する機能」である点で共通する。 イ　引用発明の「スイッチ」は、「ミラーリングモジュール３２４」が「元のパケット１２０が任意の１つまたは複数のパケット検出ルールを満たす場合に、ミラーリングされたパケット３２６を生成」するものであり、「ミラーリングされたパケット３２６」は、「元のパケットのヘッダーなどの元のパケット１２０から情報のサブセットを抽出することによって」、「パケットコピー技術を使用」して作成されるものであるから、引用発明の「パケットコピー技術を使用」して「ミラーリングされたパケット３２６を生成」することは、本願発明１の「前記第１原パケットデータを複製する機能」に相当し、引用発明の「ミラーリングされたパケット３２６」は、本願発明１の「複製した前記第１原パケットデータ」に相当する。 また、引用発明の「スイッチ」は、上述のように、パケットをコピーして「ミラーリングされたパケット３２６を生成」するものであるから、「複製モジュール」といい得るものである。 ウ　引用発明の「スイッチ」は、「送信モジュール３３４」が「ミラーリングされたパケットをトンネリングパケットにカプセル化するために任意のトンネリングプロトコルを使用して、ミラーリングされたパケットをトンネリングパケットにカプセル化し、次にトンネリングプロトコルヘッダーの「先頭に」多重化ＩＰヘッダーを追加することができ」、「カプセル化されたミラーリングされたパケット３３６を生成」するものであるから、引用発明の「多重化ＩＰヘッダー」と、本願発明１の「前記監視装置を示す第２ヘッダ」とは、「第２ヘッダ」である点で共通し、引用発明の「カプセル化されたミラーリングされたパケット３３６」は、「第１転送パケットデータ」といい得るものである。 よって、引用発明の「ミラーリングされたパケットをトンネリングパケットにカプセル化し、次にトンネリングプロトコルヘッダーの「先頭に」多重化ＩＰヘッダーを追加」して「カプセル化されたミラーリングされたパケット３３６を生成」することと、本願発明１の「複製した前記第１原パケットデータに前記監視装置を示す第２ヘッダを付加した第１転送パケットデータを生成する機能」とは、「複製した前記第１原パケットデータに第２ヘッダを付加した第１転送パケットデータを生成する機能」である点で共通する。 エ　引用発明の「スイッチ」は、「送信モジュール３１８」が「元のパケットを次のホップ３１４に送信」し、「送信モジュール３３４」が「ミラーリングされたパケットをマルチプレクサーに送信」するものであるから、引用発明の「元のパケットを次のホップ３１４に送信」し、「ミラーリングされたパケットをマルチプレクサーに送信」することと、本願発明１の「前記第１転送パケットデータと前記第１原パケットデータとを交互に前記ネットワークに送信する機能」とは、「前記第１転送パケットデータと前記第１原パケットデータとを前記ネットワークに送信する機能」である点で共通する。 オ　引用発明の「消費エンティティ１１４」は、「ミラーリングされたパケット」を「受信」して「分析」し、「分析の結果を通知する」ものであり、「ミラーリングされたパケット」を監視しているといえるから、本願発明１の「監視装置」に相当する。また、引用発明の「スイッチ」を備える「追跡システム１０２」及び「消費エンティティ１１４」は、本願発明１の「複製モジュールと監視装置とを備える監視システム」に相当する。 カ　引用発明の「消費エンティティ１１４」は、「スイッチ」から送信された「ミラーリングされたパケット３３６」が「カプセル化」された「ミラーリングされたパケット」を、「ネットワーク１０４」及び「マルチプレクサー」を介して「受信」するものであるから、当該「消費エンティティ１１４」は、「前記ネットワークを介して前記複製モジュールと通信するもの」であって、本願発明１の「前記第１転送パケットデータを前記複製モジュールから受信する機能」を備えているものであるといえる。 キ　引用発明の「収集されたミラーパケットのヘッダー内のＴＣＰヘッダー情報を検査」し、「フラッド攻撃または他の異常条件が発生したか否かを判定」することと、本願発明１の「前記第１転送パケットデータに含まれている前記第１ヘッダを参照して前記第１原パケットデータの送信先が正当であるか否かを判定する機能」とは、「前記第１転送パケットデータに含まれているヘッダを参照して判定を行う機能」である点で共通する。 ク　引用発明の「アクション行使モジュール」は、「処理エンジン１１０６のいずれかによって提供される分析の結果に基づいて」、「人間の分析者に、例えば、アラート信号、検出された障害の原因のテキストによる説明などを、任意の形式で分析の結果を通知する」ものである。そして、「処理エンジン１１０６」は、「フラッド攻撃または他の異常条件が発生したか否かを判定するために、接続数をしきい値と比較」するものであり、「フラッド攻撃または他の異常条件が発生したか否か」に関する分析の結果を提供する際に、「判定」を行うことは明らかであるから、引用発明は、「判定が行われた場合」に「アラート信号、検出された障害の原因のテキストによる説明」を「通知する」機能を行うものであるといえる。また、引用発明の「アラート信号、検出された障害の原因のテキストによる説明」は、人間の分析者に注意を促すための情報又は注意すべき事項を示す情報、すなわち「注意情報」といい得るものである。 よって、引用発明の「処理エンジン１１０６のいずれかによって提供される分析の結果に基づいて」、「人間の分析者に、例えば、アラート信号、検出された障害の原因のテキストによる説明などを、任意の形式で分析の結果を通知する」ことと、本願発明１の「前記第１原パケットデータの送信先が正当ではないと判定された場合に前記第１原パケットデータの送信先が正当でないことを示す第１注意情報を出力する機能」とは、「判定が行われた場合に注意情報を出力する機能」である点で共通する。 （２）一致点・相違点 以上から、本願発明１と引用発明とは、以下の点において一致ないし相違する。 ［一致点］ 「複製モジュールと監視装置とを備える監視システムであって、 前記複製モジュールは、 通信機器からの、第１ヘッダを含む第１原パケットデータを受信する機能と、 前記第１原パケットデータを複製する機能と、 複製した前記第１原パケットデータに第２ヘッダを付加した第１転送パケットデータを生成する機能と、 前記第１転送パケットデータと前記第１原パケットデータとを前記ネットワークに送信する機能と、 を備え、 前記監視装置は、 前記ネットワークを介して前記複製モジュールと通信するものであり、 前記第１転送パケットデータを前記複製モジュールから受信する機能と、 前記第１転送パケットデータに含まれているヘッダを参照して判定を行う機能と、 判定が行われた場合に注意情報を出力する機能と、 を備える、 監視システム。」 ［相違点］ ＜相違点１＞ 本願発明１の「複製モジュール」は、「所定のセンサと接続されるゲートウェイとネットワークとの間の通信に特化して設けられ」ており、「第１原パケットデータ」を「前記ゲートウェイ」から受信するのに対し、引用発明の「スイッチ」は、「所定のセンサと接続されるゲートウェイとネットワークとの間の通信に特化して設けられ」ることが特定されておらず、「元のパケット１２０」を「任意のソース」から受信する点。 ＜相違点２＞ 本願発明１の「第２ヘッダ」は、「前記監視装置を示す」ものであるのに対し、引用発明においては、「多重化ＩＰヘッダー」が「消費エンティティ１１４」を示すものであることについて特定されていない点。 ＜相違点３＞ 本願発明１の「複製モジュール」は、「前記第１転送パケットデータ」と「前記第１原パケットデータ」とを「交互に」送信するのに対し、引用発明の「スイッチ」においては、「元のパケット」の送信と「ミラーリングされたパケット」の送信が「交互に」行われることが特定されていない点。 ＜相違点４＞ 本願発明１の「監視装置」は、「前記第１転送パケットデータに含まれている前記第１ヘッダを参照して前記第１原パケットデータの送信先が正当であるか否かを判定する」のに対し、引用発明の「消費エンティティ１１４」は、「ミラーパケット」の「ＴＣＰヘッダー」を参照して「判定」処理を行うものの、「前記第１ヘッダ」を参照して「前記第１原パケットデータの送信先が正当であるか否か」を「判定」することは特定されていない点。 ＜相違点５＞ 本願発明１の「監視装置」は、「前記第１原パケットデータの送信先が正当ではないと判定された場合に前記第１原パケットデータの送信先が正当でないことを示す第１注意情報を出力する」のに対し、引用発明の「消費エンティティ１１４」は、「アラート信号、検出された障害の原因のテキストによる説明など」により「分析の結果」の「通知」を行うものの、「前記第１原パケットデータの送信先が正当ではないと判定された場合」に「前記第１原パケットデータの送信先が正当でないことを示す第１注意情報」を出力することは特定されていない点。 ＜相違点６＞ 本願発明１の「監視装置」は、「前記第１転送パケットデータを前回受信した時点から計測して所定期間以上新たな第１転送パケットデータを受信していない場合には、前記ゲートウェイが動作していないことを示す第２注意情報を更に出力する機能」を備えるのに対し、引用発明では、そのような構成は特定されていない点。 （３）相違点についての判断 ＜相違点３について＞ 事案に鑑みて、相違点３について先に検討する。 引用発明の「スイッチ」は、「任意のソースから元のパケット１２０を受信」した後、「送信モジュール３１８」が「元のパケットを次のホップ３１４に送信」する一方で、「受信された元のパケット１２０が、データストア３２２に記憶されているパケット検出ルールのいずれかと一致するか否かを判定」し、「元のパケット１２０が任意の１つまたは複数のパケット検出ルールを満たす場合」に「ミラーリングされたパケット３２６を生成」して、「送信モジュール３３４」が「ミラーリングされたパケットをマルチプレクサーに送信」するものであり、「元のパケット」の送信と「ミラーリングされたパケット」の送信とを行うものではあるが、引用文献１には、これらの送信処理を「交互に」行うことについては記載も示唆もされていない。 そして、上記相違点３に係る本願発明１の構成は、引用文献２－５のいずれにも記載も示唆もなく、本願出願日前における周知技術であるともいえない。 また、引用発明の「スイッチ」は、パケット検出ルールを用いてミラーリングするパケットの絞り込みを行っているため、元のパケットの数よりもミラーリングされたパケットの数の方が通常は少なくなるものである。そのため、引用発明において、元のパケットとミラーリングされたパケットとを「交互に」送信するという構成を採用することには必然性がなく、また、引用発明において、これらを「交互に」送信するためにミラーリングするパケットの絞り込みを行わないように変更することには、引用発明の、情報が多すぎて分析者が圧倒されることがないようにするという目的からして、技術的な阻害要因があるといえる。そうすると、引用発明において上記相違点３に係る本願発明１の構成を採用することは、当業者であっても容易であるとはいえない。 したがって、本願発明１は、他の相違点について検討するまでもなく、当業者であっても、引用発明、引用文献２－５に記載された技術事項に基づいて容易に発明できたものであるとはいえない。 ２　本願発明２について 本願発明２も、上記相違点３に係る本願発明１の構成と同一の構成を備えるものであるから、本願発明１と同じ理由により、当業者であっても、引用発明、引用文献２－５に記載された技術事項に基づいて容易に発明できたものであるとはいえない。 第６　原査定について 本願発明１、２は、上記相違点３に係る本願発明１の構成を有しており、当該構成は、原査定における引用文献１－５には記載されておらず、本願出願日前における周知技術でもないので、本願発明１、２は、当業者であっても、原査定における引用文献１－５に基づいて容易に発明できたものではない。 したがって、原査定を維持することはできない。 第７　むすび 以上のとおり、原査定の理由によっては、本願を拒絶することはできない。 また、他に本願を拒絶すべき理由を発見しない。 よって、結論のとおり審決する。