2020-009950

第１　手続きの経緯

本願は，２０１７年（平成２９年）８月１日（パリ条約による優先権主張外国庁受理２０１６年８月１日，中国）を国際出願日とする出願であって，その手続の経緯は以下のとおりである。

令和元年１１月１８日付　拒絶理由通知

令和２年　２月２６日　　意見書，手続補正

令和２年　３月１１日付　拒絶査定

令和２年　７月１６日　　審判請求，手続補正

第２　原査定の概要

原査定（令和２年３月１１日付拒絶査定）の概要は次のとおりである。

本願請求項１－１４に係る発明は，引用文献１に記載された発明および周知技術に基づいて，当業者であれば容易になし得たものであるから，特許法第２９条第２項の規定により特許を受けることができない。

＜引用文献等一覧＞

１．中国特許出願公開第１０４６１８１９４号明細書

第３　本願発明

本願の請求項１ないし１４に係る発明（以下，「本願第１発明」ないし「本願第１４発明」という。）は，令和２年　７月１６日の手続補正書により補正された以下のとおりの特許請求の範囲の請求項１ないし請求項１４に記載された事項により特定されるとおりの発明である。

「【請求項１】

パケット監視方法であって，

仮想拡張可能ローカルエリアネットワークＶＸＬＡＮトンネルエンドポイント（ＶＴＥＰ）が，パケットを受信するステップと，

前記パケットがローカルの被監視ホストからのユーザパケットである場合，前記ＶＴＥＰが，前記パケットとマッチする第１フォワーディングエントリに基づいて，前記ＶＴＥＰが，ミラーパケットを取得するために，該パケットをミラーリングし，前記ＶＴＥＰが，ＶＸＬＡＮパケットを取得するために，監視サーバの識別子を用いて前記ミラーリングパケットをＶＸＬＡＮカプセル化し，前記ＶＴＥＰが，前記ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか，あるいは，前記ミラーリングパケットを前記ＶＴＥＰにローカルにアクセスする前記監視サーバに送信するステップと，

続きを表示（全101行）

前記パケットがローカルホストから前記被監視ホストに送信したユーザパケットである場合，前記パケットとマッチする第２フォワーディングエントリに基づいて，前記ＶＴＥＰが，ミラーパケットを取得するために，該パケットをミラーリングし，前記ＶＴＥＰが，ＶＸＬＡＮパケットを取得するために，監視サーバの識別子を用いて前記ミラーリングパケットをＶＸＬＡＮカプセル化し，前記ＶＴＥＰが，ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか，あるいは，前記ＶＴＥＰが，前記ミラーリングパケットを前記ＶＴＥＰにローカルにアクセスする前記監視サーバに送信するステップと，

前記パケットがリモートＶＴＥＰからのＶＸＬＡＮパケットであり，且つ前記監視サーバの識別子が付加される場合，前記ＶＴＥＰは，前記パケットとマッチする第３フォワーディングエントリに基づいて，前記ＶＸＬＡＮパケットをデカプセル化した後，前記ＶＴＥＰが，デカプセル化したパケットを前記ＶＴＥＰにローカルにアクセスする前記監視サーバに送信するステップと，

を含むことを特徴とする方法。

【請求項２】

前記ローカルの被監視ホストからのユーザパケットのソースアドレスは，前記第１フォワーディングエントリのマッチングルール中のパケットのソースアドレスと同一であり，

前記ローカルホストから前記被監視ホストに送信したユーザパケットの宛先アドレスは，前記第２フォワーディングエントリのマッチングルール中のパケットの宛先アドレスと同一であり，

前記ＶＸＬＡＮパケットに付加された前記監視サーバの識別子は，前記第３フォワーディングエントリのマッチングルールにおける監視サーバの識別子と同一であることを特徴とする請求項１に記載の方法。

【請求項３】

前記被監視ホストがアクセスしたＶＴＥＰは，制御器から送信した監視配置情報を受信し，ローカルフォワーディングテーブルに前記第１フォワーディングエントリを配置し，

前記監視配置情報をすべてのリモートＶＴＥＰに送信するステップと，

前記被監視ホストがアクセスしていないＶＴＥＰは，リモートＶＴＥＰから送信した前記監視配置情報を受信し，ローカルフォワーディングテーブルに前記第２フォワーディングエントリを配置するステップと，

前記監視サーバがアクセスしたＶＴＥＰは，前記リモートＶＴＥＰから送信した前記監視配置情報を受信し，ローカルフォワーディングテーブルに前記第３フォワーディングエントリを配置するステップと，

を更に含み，

前記監視配置情報は，少なくとも，前記被監視ホストのアドレスと，前記被監視ホストが所属するＶＸＬＡＮ識別子と，前記監視サーバのアドレスと，前記監視サーバの識別子とを含むことを特徴とする請求項２に記載の方法。

【請求項４】

前記ＶＴＥＰは，前記被監視ホストが本ＶＴＥＰに移入したことを検出した後，すべてのリモートＶＴＥＰに前記被監視ホストのアドレスを送信するステップと，

前記ＶＴＥＰは，ローカルフォワーディングテーブルでマッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索するステップと，

前記ＶＴＥＰは，検索された第２フォワーディングエントリを，マッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリにアップデートするステップと，

を更に含むことを特徴とする請求項３に記載の方法。

【請求項５】

前記ＶＴＥＰは，リモートＶＴＥＰから送信した被監視ホストのアドレスを受信した後，当該被監視ホストが本ＶＴＥＰから移出したか否かを判断するステップと，

当該被監視ホストが本ＶＴＥＰから移出した場合，

前記ＶＴＥＰは，ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリを検索するステップと，

前記ＶＴＥＰは，検索された第１フォワーディングエントリを，マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリにアップデートするステップと，

を更に含むことを特徴とする請求項３に記載の方法。

【請求項６】

前記ＶＴＥＰは，前記監視サーバが本ＶＴＥＰに移入したことを検出した後，すべてのリモートＶＴＥＰに当該監視サーバのアドレスを送信するステップと，

前記ＶＴＥＰは，当該監視サーバに対応する被監視ホストのアドレス及び当該監視サーバの識別子を確認するステップと，

前記ＶＴＥＰは，ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ，或いは，マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索するステップと，

前記ＶＴＥＰは，検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を，パケットをミラーリングして得たミラーリングパケットを前記監視サーバに送信することにアップデートするステップと，

前記ＶＴＥＰは，ローカルフォワーディングテーブルに第３フォワーディングエントリを配置するステップと

を更に含み，

前記第３フォワーディングエントリにおけるマッチングルール中の監視サーバの識別子は，本ＶＴＥＰに移入した当該監視サーバの識別子であることを特徴とする請求項３に記載の方法。

【請求項７】

前記ＶＴＥＰは，リモートＶＴＥＰから送信した監視サーバのアドレスを受信した後，当該監視サーバに対応する被監視ホストのアドレス及び当該監視サーバの識別子を確認するステップと，

前記ＶＴＥＰは，当該監視サーバが本ＶＴＥＰから移出したか否かを判断するステップと，

前記監視サーバが本ＶＴＥＰから移出した場合，

前記ＶＴＥＰは，ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ，或いは，マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索するステップと，

前記ＶＴＥＰは，検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を，パケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後，ＶＸＬＡＮパケットを当該監視サーバが移入したリモートＶＴＥＰに送信することにアップデートするステップと，

前記ＶＴＥＰは，ローカルフォワーディングテーブルでマッチングルールにおいて当該監視サーバの識別子を含む第３フォワーディングエントリを検索し，当該第３フォワーディングエントリを削除するステップと，

前記監視サーバが本ＶＴＥＰから移出していない場合，

前記ＶＴＥＰは，ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ，或いは，マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索するステップと，

前記ＶＴＥＰは，検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を，パケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後，ＶＸＬＡＮパケットを当該監視サーバが移入したリモートＶＴＥＰに送信することにアップデートするステップと，

を更に含むことを特徴とする請求項３に記載の方法。

【請求項８】

仮想拡張可能ローカルエリアネットワークＶＸＬＡＮトンネルエンドポイントＶＴＥＰであって，

プロセッサと，

機械可読記憶媒体と，を含み，

前記機械可読記憶媒体には，前記プロセッサにより実行可能な機械実行可能命令が記憶されており，前記プロセッサは，前記機械実行可能命令により，

パケットを受信し，

前記パケットがローカルの被監視ホストからのユーザパケットである場合，マッチする第１フォワーディングエントリに基づいて，パケットをミラーリングした後，ＶＸＬＡＮパケットを取得するために，監視サーバの識別子を用いてミラーリングパケットをＶＸＬＡＮカプセル化し，ＶＸＬＡＮパケットを前記監視サーバがアクセスしたリモートＶＴＥＰに送信するか，あるいは，前記ミラーリングパケットを前記ＶＴＥＰにローカルにアクセスする前記監視サーバに送信し，

前記パケットがローカルホストから前記被監視ホストに送信したユーザパケットである場合，マッチする第２フォワーディングエントリに基づいて，パケットをミラーリングした後，ＶＸＬＡＮパケットを取得するために，監視サーバの識別子を用いてミラーリングパケットをＶＸＬＡＮカプセル化し，ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか，あるいは，前記ミラーリングパケットを前記ＶＴＥＰにローカルにアクセスする前記監視サーバに送信し，

前記パケットがリモートＶＴＥＰからのＶＸＬＡＮパケットであり，且つ前記監視サーバの識別子が付加される場合，マッチする第３フォワーディングエントリに基づいて，前記ＶＸＬＡＮパケットをデカプセル化した後，デカプセル化したパケットをローカル監視サーバに送信する

ことを特徴とするＶＴＥＰ。

【請求項９】

前記ローカルの被監視ホストからのユーザパケットのソースアドレスは，前記マッチする第１フォワーディングエントリのマッチングルールにおけるパケットのソースアドレスと同一であり，

前記ローカルホストから前記被監視ホストに送信したユーザパケットの宛先アドレスは，前記マッチする第２フォワーディングエントリのマッチングルールにおけるパケットの宛先アドレスと同一であり，

前記ＶＸＬＡＮパケットに付加される前記監視サーバの識別子と，前記マッチする第３フォワーディングエントリのマッチングルールにおける監視サーバの識別子は，同一であることを特徴とする請求項８に記載のＶＴＥＰ。

【請求項１０】

前記プロセッサは，前記機械実行可能命令により，

前記ＶＴＥＰが前記被監視ホストがアクセスしたＶＴＥＰとしてある場合，

制御器から送信した監視配置情報を受信して保存し，ローカルフォワーディングテーブルに前記第１フォワーディングエントリを配置し，前記監視配置情報をすべてのリモートＶＴＥＰに送信し，

前記ＶＴＥＰが前記被監視ホストがアクセスしていないＶＴＥＰとしてある場合，

リモートＶＴＥＰから送信した前記監視配置情報を受信し，ローカルフォワーディングテーブルに前記第２フォワーディングエントリを配置し，

前記ＶＴＥＰが，前記監視サーバがアクセスしたＶＴＥＰとしてある場合，

前記リモートＶＴＥＰから送信した前記監視配置情報を受信し，ローカルフォワーディングテーブルに前記第３フォワーディングエントリを配置し，

前記監視配置情報は，少なくとも，前記被監視ホストのアドレスと，前記被監視ホストが所属するＶＸＬＡＮ識別子と，前記監視サーバのアドレスと，前記監視サーバの識別子とを含むことを特徴とする請求項９に記載のＶＴＥＰ。

【請求項１１】

前記プロセッサは，前記機械実行可能命令により，

前記被監視ホストが本ＶＴＥＰに移入したことを検出した後，すべてのリモートＶＴＥＰに前記被監視ホストのアドレスを送信し，

ローカルフォワーディングテーブルでマッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し，

検索された第２フォワーディングエントリを，マッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリにアップデートすることを特徴とする請求項１０に記載のＶＴＥＰ。

【請求項１２】

前記プロセッサは，前記機械実行可能命令により，

リモートＶＴＥＰから送信した被監視ホストのアドレスを受信した後，当該被監視ホストが本ＶＴＥＰから移出したか否かを判断し，

当該被監視ホストが本ＶＴＥＰから移出した場合，

ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリを検索し，

検索された第１フォワーディングエントリを，マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリにアップデートすることを特徴とする請求項１０に記載のＶＴＥＰ。

【請求項１３】

前記プロセッサは，前記機械実行可能命令により，

前記監視サーバが本ＶＴＥＰに移入したことを検出した後，すべてのリモートＶＴＥＰに当該監視サーバのアドレスを送信し，

当該監視サーバに対応する被監視ホストのアドレス及び当該監視サーバの識別子を確認し，

ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ，或いは，マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し，

検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を，パケットをミラーリングして得たミラーリングパケットを前記監視サーバに送信することにアップデートし，

ローカルフォワーディングテーブルに第３フォワーディングエントリを配置し，

前記第３フォワーディングエントリにおけるマッチングルールにおける監視サーバの識別子は，本ＶＴＥＰに移入した当該監視サーバの識別子であることを特徴とする請求項１０に記載のＶＴＥＰ。

【請求項１４】

前記プロセッサは，前記機械実行可能命令により，

リモートＶＴＥＰから送信した監視サーバのアドレスを受信した後，当該監視サーバに対応する被監視ホストのアドレス及び当該監視サーバの識別子を確認し，

当該監視サーバが本ＶＴＥＰから移出したか否かを判断し，

前記監視サーバが本ＶＴＥＰから移出した場合，

ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ，或いは，マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し，

検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を，パケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後，ＶＸＬＡＮパケットを当該監視サーバが移入したリモートＶＴＥＰに送信することにアップデートし，

ローカルフォワーディングテーブルでマッチングルール中の当該監視サーバの識別子を含む第３フォワーディングエントリを検索して削除し，

前記監視サーバが本ＶＴＥＰから移出していない場合，

ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ，或いは，マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し，

検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を，パケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後，ＶＸＬＡＮパケットを当該監視サーバが移入したリモートＶＴＥＰに送信することにアップデートすることを特徴とする請求項１０に記載のＶＴＥＰ。」

第４　引用文献および引用発明

２　引用発明

上記１の引用文献１の，特に下線を付加した記載に着目すると，引用文献１には，以下の発明（以下，「引用発明」という。）が記載されていると認められる。

「従来技術において監視データを格納する、または監視プロトコルに依存することによって生じる過度の負荷の問題を効果的に解決する、ＳＤＮネットワークメッセージ監視方法であって，

ＳＤＮネットワークメッセージ監視方法はＳＤＮコントローラ上で応用され，ＳＤＮコントローラは，

ＳＤＮコントローラが，ミラーリング トンネルを決定するステップであって，ミラーリング トンネルは，監視対象ホストが配置されている送信元ＳＤＮスイッチング デバイスと，監視サーバが配置されている宛先ＳＤＮスイッチング デバイスとの間のトンネルであるステップと，

ＳＤＮコントローラが，ミラーリング トンネル上の送信元ＳＤＮスイッチング デバイスと宛先ＳＤＮスイッチング デバイスとの間に，テーブルＩＤ１のミラーリング フロー テーブルを作成して公開するステップであって，これにより，送信元ＳＤＮスイッチング デバイスと宛先ＳＤＮスイッチング デバイスは，ミラーリング フロー テーブルを受信し，テーブルＩＤが１の場合，ミラーリング フロー テーブルはマルチレベル フロー テーブルの第１レベル フロー テーブルに格納されるステップと，

を実行するＳＤＮネットワークメッセージ監視方法であり，

具体的には，ＳＤＮコントローラは送信元ＳＤＮスイッチング デバイス用に，テーブルＩＤが１のミラーリング フロー テーブルを作成し，ミラーリング フロー テーブルのテーブルＩＤは１であるため，送信元ＳＤＮスイッチング デバイスはマルチレベル フロー テーブルの第１レベル フロー テーブルに保存しており，テーブルＩＤが１のミラーリング フロー テーブルのマッチング項目は，監視対象ホストのアドレス情報であり，アクション項目は，元のデータメッセージをコピーし，コピーしたデータメッセージをカプセル化し，ミラータグを追加してカプセル化されたものを取得することであり，メッセージ，およびカプセル化されたメッセージテキストは発信ポートから転送され，カプセル化されたメッセージの送信元ＭＡＣアドレスは送信元ＳＤＮスイッチング デバイスのＭＡＣアドレスであり，カプセル化されたメッセージの宛先ＭＡＣアドレスは宛先ＳＤＮスイッチング デバイスのＭＡＣアドレスであり，

送信元ＳＤＮスイッチング デバイスがデータパケットを受信すると，マルチレベルフローテーブルの第1レベルフローテーブルで，データパケットの送信元ホスト情報または宛先ホスト情報と一致するミラーリング フロー テーブルを検索し，マッチング項目にマッチするミラーリング フロー テーブルがある場合，データパケットは，監視対象ホストから送信されるデータパケットであるか，あるいは，監視対象ホストに送信されるデータパケットであると判断され，ミラーリングされ，マッチング項目にマッチするミラーリング フロー テーブルのアクション項目に従って，ミラーリングされたデータパケットは，カプセル化されて，ミラーリング ラベルが付加されたカプセル化メッセージが生成され，カプセル化メッセージは出力ポートを介して転送され，

宛先ＳＤＮスイッチング デバイスはミラーリング フロー テーブルを，マルチレベル フロー テーブルの第１レベルのフローテーブルに保存しており，テーブルＩＤが１のミラーリング フロー テーブルのマッチング項目は，カプセル化されたパケットの宛先ＭＡＣアドレスとミラーリング ラベルであり，アクション項目は，送信元ＳＤＮスイッチング デバイスによってミラーリングされカプセル化されたパケットデータから，ミラーリング ラベルを剥がしてカプセル化を解除することであり，得られたメッセージは，出力ポートを介して監視サーバに転送される

ＳＤＮネットワークメッセージ監視方法。」

第５　対比・判断

１　本願第１発明について

（１）対比

本願第１発明と引用発明とを対比すると，次のことが認められる。

ア　引用発明は，「ＳＤＮネットワークメッセージ監視方法」であり，「送信元ＳＤＮスイッチング デバイスがデータパケットを受信すると，」「データパケットは，監視対象ホストから送信されるデータパケットであるか，あるいは，監視対象ホストに送信されるデータパケットであると判断され，ミラーリングされ，」「ミラーリングされたデータパケットは，カプセル化されて，ミラーリング ラベルが付加されたカプセル化メッセージが生成され，カプセル化メッセージは出力ポートを介して転送され，」「宛先ＳＤＮスイッチング デバイスは」「送信元ＳＤＮスイッチング デバイスによってミラーリングされカプセル化されたパケットデータから，ミラーリング ラベルを剥がしてカプセル化を解除することであり，得られたメッセージは，出力ポートを介して監視サーバに転送」している。

よって，引用発明は，「監視対象ホストから送信されるデータパケット」および「監視対象ホストに送信されるデータパケット」を「監視サーバに転送」して監視する方法であるといえる。

したがって，本願第１発明と引用発明とは，「パケット監視方法」である点で共通しているといえる。

イ　引用発明では，「送信元ＳＤＮスイッチング デバイスがデータパケットを受信」している。

ここで，本願第１発明の「仮想拡張可能ローカルエリアネットワークＶＸＬＡＮトンネルエンドポイント（ＶＴＥＰ）」は，仮想スイッチとも呼ばれ，ＳＤＮにおけるスイッチング デバイスであることは技術常識であるから，本願第１発明の「仮想拡張可能ローカルエリアネットワークＶＸＬＡＮトンネルエンドポイント（ＶＴＥＰ）」と，引用発明の「送信元ＳＤＮスイッチング デバイス」とは，「ＳＤＮスイッチング デバイス」である点で共通しているといえる。

したがって，本願第１発明と引用発明とは，ＳＤＮスイッチング デバイスが「データパケットを受信するステップ」「を含む」点で共通しているといえる。

しかし，本願第１発明のＳＤＮスイッチング デバイスが「仮想拡張可能ローカルエリアネットワークＶＸＬＡＮトンネルエンドポイント（ＶＴＥＰ）」であるのに対して，引用発明のＳＤＮスイッチング デバイスは，「仮想拡張可能ローカルエリアネットワークＶＸＬＡＮトンネルエンドポイント（ＶＴＥＰ）」でない点で相違している。

ウ　引用発明において，「送信元ＳＤＮスイッチング デバイスがデータパケットを受信すると，マルチレベルフローテーブルの第1レベルフローテーブルで，データパケットの送信元ホスト情報」「と一致するミラーリング フロー テーブルを検索し，マッチング項目にマッチするミラーリング フロー テーブルがある場合，データパケットは，監視対象ホストから送信されるデータパケットであるか，あるいは，監視対象ホストに送信されるデータパケットであると判断され，ミラーリングされ，」「ミラーリングされたデータパケットは，カプセル化されて，ミラーリング ラベルが付加されたカプセル化メッセージが生成され，カプセル化メッセージは出力ポートを介して転送され，」「宛先ＳＤＮスイッチング デバイスは」「送信元ＳＤＮスイッチング デバイスによってミラーリングされカプセル化されたパケットデータから，ミラーリング ラベルを剥がしてカプセル化を解除することであり，得られたメッセージは，出力ポートを介して監視サーバに転送」しており，「カプセル化されたメッセージの宛先ＭＡＣアドレスは宛先ＳＤＮスイッチング デバイスのＭＡＣアドレスであ」るとされている。

ここで，引用発明の「データパケット」，「送信元ＳＤＮスイッチング デバイス」，「監視対象ホストから送信されるデータパケット」，「宛先ＳＤＮスイッチング デバイス」は，それぞれ，本願第１発明の「パケット」，「前記ＶＴＥＰ」，「ローカルの被監視ホストからのユーザパケット」，「監視サーバがアクセスしたリモートＶＴＥＰ」に対応するといえる。

また，引用発明において「マルチレベルフローテーブルの第1レベルフローテーブルで，データパケットの送信元ホスト情報」「と一致するミラーリング フロー テーブルを検索し，マッチング項目にマッチするミラーリング フロー テーブルがある場合」には，「ミラーリング フロー テーブル」内に，「データパケット」が監視対象となる「送信元ホスト情報」とマッチするエントリが存在しているといえるから，引用発明は，ミラーリング フロー テーブル内に，本願第１発明と同様に，（被監視ホストからのユーザパケットである場合に）「パケットとマッチする」「エントリ」が存在しているといえる。ここで，当該「エントリ」を「第１フォワーディングエントリ」と呼ぶことは任意である。

さらに，「データパケットは，」「監視対象ホストから送信されるデータパケットである」「と判断され，ミラーリングされ，」「ミラーリングされたデータパケットは，カプセル化されて，ミラーリング ラベルが付加されたカプセル化メッセージが生成され，カプセル化メッセージは出力ポートを介して転送され，」「宛先ＳＤＮスイッチング デバイスは」「送信元ＳＤＮスイッチング デバイスによってミラーリングされカプセル化されたパケットデータから，ミラーリング ラベルを剥がしてカプセル化を解除することであり，得られたメッセージは，出力ポートを介して監視サーバに転送」しているから，引用発明は，本願第１発明と同様に，前記ＳＤＮスイッチング デバイスが「ミラーパケットを取得するために、該パケットをミラーリングし、」カプセル化「パケットを取得するために、」「前記ミラーリングパケットを」「カプセル化し、」前記カプセル化「パケットを監視サーバがアクセスした」ＳＤＮスイッチング デバイス「に送信」しているといえる。

したがって，本願第１発明と引用発明とは，「前記パケットがローカルの被監視ホストからのユーザパケットである場合、」前記ＳＤＮスイッチング デバイスが「前記パケットとマッチする第１フォワーディングエントリに基づいて、」前記ＳＤＮスイッチング デバイスが「ミラーパケットを取得するために、該パケットをミラーリングし、」前記ＳＤＮスイッチング デバイスがカプセル化「パケットを取得するために、」「前記ミラーリングパケットを」「カプセル化し、」前記ＳＤＮスイッチング デバイスが前記カプセル化「パケットを監視サーバがアクセスした」ＳＤＮスイッチング デバイス「に送信する」「ステップ」「を含む」点で共通しているといえる。

しかし，上述したように，本願第１発明のＳＤＮスイッチング デバイスが「ＶＴＥＰ」であるのに対して，引用発明のＳＤＮスイッチング デバイスは，「ＶＴＥＰ」でない点で相違している。

また，本願第１発明のカプセル化したパケットが「ＶＸＬＡＮパケット」であるのに対して，引用発明のカプセル化したパケットは，「ＶＸＬＡＮパケット」でない点でも相違している。

さらに，本願第１発明では，パケットをカプセル化する際に，「監視サーバの識別子を用いて」いるのに対して，引用発明では，パケットをカプセル化する際に，「カプセル化されたメッセージの宛先ＭＡＣアドレスは宛先ＳＤＮスイッチング デバイスのＭＡＣアドレスであ」るとされており，「監視サーバの識別子を用いて」いない点でも相違している。

そして，本願第１発明では，ミラーリングされたパケットの送信先として，選択的に，「前記ＶＴＥＰにローカルにアクセスする前記監視サーバに送信」しているのに対して，引用発明では，ミラーリングされたパケットをカプセル化しないで，送信元ＳＤＮスイッチング デバイスに「ローカルにアクセスする前記監視サーバに送信」する構成を備えていない点でも相違している。

エ　引用発明において，「送信元ＳＤＮスイッチング デバイスがデータパケットを受信すると，マルチレベルフローテーブルの第1レベルフローテーブルで，データパケットの」「宛先ホスト情報と一致するミラーリング フロー テーブルを検索し，マッチング項目にマッチするミラーリング フロー テーブルがある場合，データパケットは，」「監視対象ホストに送信されるデータパケットであると判断され，ミラーリングされ，」「ミラーリングされたデータパケットは，カプセル化されて，ミラーリング ラベルが付加されたカプセル化メッセージが生成され，カプセル化メッセージは出力ポートを介して転送され，」「宛先ＳＤＮスイッチング デバイスは」「送信元ＳＤＮスイッチング デバイスによってミラーリングされカプセル化されたパケットデータから，ミラーリング ラベルを剥がしてカプセル化を解除することであり，得られたメッセージは，出力ポートを介して監視サーバに転送」しており，「カプセル化されたメッセージの宛先ＭＡＣアドレスは宛先ＳＤＮスイッチング デバイスのＭＡＣアドレスであ」るとされている。

ここで，引用発明の「データパケット」，「送信元ＳＤＮスイッチング デバイス」，「「監視対象ホストに送信されるデータパケット」，「宛先ＳＤＮスイッチング デバイス」は，それぞれ，本願第１発明の「パケット」，「前記ＶＴＥＰ」，「被監視ホストに送信したユーザパケット」，「監視サーバがアクセスしたリモートＶＴＥＰ」に対応するといえる。

また，引用発明において「マルチレベルフローテーブルの第1レベルフローテーブルで，データパケットの」「宛先ホスト情報」「と一致するミラーリング フロー テーブルを検索し，マッチング項目にマッチするミラーリング フロー テーブルがある場合」には，「ミラーリング フロー テーブル」内に，「データパケット」が監視対象となる「宛先ホスト情報」とマッチするエントリが存在しているといえるから，引用発明は，ミラーリング フロー テーブル内に，本願第１発明と同様に，（被監視ホストに送信したユーザパケットである場合に）「パケットとマッチする」「エントリ」が存在しているといえる。ここで，当該「エントリ」を「第２フォワーディングエントリ」と呼ぶことは任意である。

さらに，「データパケットは，」「監視対象ホストに送信されるデータパケットである」「と判断され，ミラーリングされ，」「ミラーリングされたデータパケットは，カプセル化されて，ミラーリング ラベルが付加されたカプセル化メッセージが生成され，カプセル化メッセージは出力ポートを介して転送され，」「宛先ＳＤＮスイッチング デバイスは」「送信元ＳＤＮスイッチング デバイスによってミラーリングされカプセル化されたパケットデータから，ミラーリング ラベルを剥がしてカプセル化を解除することであり，得られたメッセージは，出力ポートを介して監視サーバに転送」しているから，引用発明は，本願第１発明と同様に，前記ＳＤＮスイッチング デバイスが「ミラーパケットを取得するために、該パケットをミラーリングし、」カプセル化「パケットを取得するために、」「前記ミラーリングパケットを」「カプセル化し、」前記カプセル化「パケットを監視サーバがアクセスした」ＳＤＮスイッチング デバイス「に送信」しているといえる。

したがって，本願第１発明と引用発明とは，「前記パケットが」「前記被監視ホストに送信したユーザパケットである場合，前記パケットとマッチする第２フォワーディングエントリに基づいて，」前記ＳＤＮスイッチング デバイスが「ミラーパケットを取得するために、該パケットをミラーリングし、」前記ＳＤＮスイッチング デバイスがカプセル化「パケットを取得するために、」「前記ミラーリングパケットを」「カプセル化し、」前記ＳＤＮスイッチング デバイスが前記カプセル化「パケットを監視サーバがアクセスした」ＳＤＮスイッチング デバイス「に送信する」「ステップ」「を含む」点で共通しているといえる。

しかし，本願第１発明では，監視対象となるユーザパケットが「ローカルホストから前記被監視ホストに送信したユーザパケットである場合」とされているのに対して，引用発明では，監視対象となるユーザパケットが「前記被監視ホストに送信したユーザパケットである場合」であり，「ローカルホストから」のものに限定されていない点で相違している。

加えて，上述したように，本願第１発明のＳＤＮスイッチング デバイスが「ＶＴＥＰ」であるのに対して，引用発明のＳＤＮスイッチング デバイスは，「ＶＴＥＰ」でない点で相違している。

また，本願第１発明のカプセル化したパケットが「ＶＸＬＡＮパケット」であるのに対して，引用発明のカプセル化したパケットは，「ＶＸＬＡＮパケット」でない点でも相違している。

さらに，本願第１発明では，パケットをカプセル化する際に，「監視サーバの識別子を用いて」いるのに対して，引用発明では，パケットをカプセル化する際に，「カプセル化されたメッセージの宛先ＭＡＣアドレスは宛先ＳＤＮスイッチング デバイスのＭＡＣアドレスであ」るとされており，「監視サーバの識別子を用いて」いない点でも相違している。

そして，本願第１発明では，ミラーリングされたパケットの送信先として，選択的に，「前記ＶＴＥＰにローカルにアクセスする前記監視サーバに送信」しているのに対して，引用発明では，ミラーリングされたパケットをカプセル化しないで，送信元ＳＤＮスイッチング デバイスに「ローカルにアクセスする前記監視サーバに送信」する構成を備えていない点でも相違している。

（２）一致点・相違点

本願第１発明と，引用発明とは，以下アの点で一致し，以下イの点で相違する。

ア　一致点

「パケット監視方法であって，

ＳＤＮスイッチング デバイスがデータパケットを受信するステップと，

前記パケットがローカルの被監視ホストからのユーザパケットである場合，前記ＳＤＮスイッチング デバイスが，前記パケットとマッチする第１フォワーディングエントリに基づいて，前記ＳＤＮスイッチング デバイスが，ミラーパケットを取得するために，該パケットをミラーリングし，前記ＳＤＮスイッチング デバイスが，カプセル化パケットを取得するために，前記ミラーリングパケットをカプセル化し，前記ＳＤＮスイッチング デバイスが，前記カプセル化パケットを監視サーバがアクセスしたＳＤＮスイッチング デバイスに送信するステップと，

前記パケットが前記被監視ホストに送信したユーザパケットである場合，前記パケットとマッチする第２フォワーディングエントリに基づいて，前記ＳＤＮスイッチング デバイスがミラーパケットを取得するために、該パケットをミラーリングし前記ＳＤＮスイッチング デバイスがカプセル化パケットを取得するために、前記ミラーリングパケットをカプセル化し、前記ＳＤＮスイッチング デバイスが前記カプセル化パケットを監視サーバがアクセスしたＳＤＮスイッチング デバイスに送信するステップと，

を含む方法。」

イ　相違点

（ア）　相違点１

本願第１発明のＳＤＮスイッチング デバイスが「仮想拡張可能ローカルエリアネットワークＶＸＬＡＮトンネルエンドポイント（ＶＴＥＰ）」であるのに対して，引用発明のＳＤＮスイッチング デバイスは，「仮想拡張可能ローカルエリアネットワークＶＸＬＡＮトンネルエンドポイント（ＶＴＥＰ）」でない点。

（イ）　相違点２

本願第１発明のカプセル化したパケットが「ＶＸＬＡＮパケット」であるのに対して，引用発明のカプセル化したパケットは，「ＶＸＬＡＮパケット」でない点。

（ウ）　相違点３

本願第１発明では，パケットをカプセル化する際に，「監視サーバの識別子を用いて」いるのに対して，引用発明では，パケットをカプセル化する際に，「監視サーバの識別子を用いて」いない点。

（エ）　相違点４

本願第１発明では，ミラーリングされたパケットの送信先として，選択的に，「前記ＶＴＥＰにローカルにアクセスする前記監視サーバに送信」しているのに対して，引用発明では，ミラーリングされたパケットをカプセル化しないで，送信元ＳＤＮスイッチング デバイスに「ローカルにアクセスする前記監視サーバに送信」する構成を備えていない点。

（オ）　相違点５

本願第１発明では，監視対象となるユーザパケットが「ローカルホストから前記被監視ホストに送信したユーザパケットである場合」とされているのに対して，引用発明では，監視対象となるユーザパケットが「前記被監視ホストに送信したユーザパケットである場合」であり，「ローカルホストから」のものに限定されていない点。

（カ）　相違点６

本願第１発明では，「前記パケットがリモートＶＴＥＰからのＶＸＬＡＮパケットであり，且つ前記監視サーバの識別子が付加される場合，前記ＶＴＥＰは，前記パケットとマッチする第３フォワーディングエントリに基づいて，前記ＶＸＬＡＮパケットをデカプセル化した後，前記ＶＴＥＰが，デカプセル化したパケットを前記ＶＴＥＰにローカルにアクセスする前記監視サーバに送信するステップ」を含んでいるのに対して，引用発明では，このようなステップを含んでいない点。

（３）相違点についての判断

事案に鑑みて，まず，相違点４について検討する。

本願第１発明の相違点４に係る構成より，ＶＴＥＰにローカルにアクセスする監視サーバの存在を許容し，監視サーバがローカルにアクセスされるものか，リモートでアクセスされるものかに応じて，カプセル化の要否を判定しているといえ，引用発明のような，リモートのＳＤＮスイッチング デバイスに接続（アクセス）された監視サーバのみの存在を前提とし，ミラーリングされたデータパケットをすべてカプセル化する監視方法に比べて，本願第１発明は，ＶＴＥＰにローカルにアクセスしていないリモートの監視サーバに対しては，ミラーリングパケットをＶＸＬＡＮカプセル化して送信し，ＶＴＥＰにローカルにアクセスしているローカルの監視サーバに対しては，ミラーリングパケットをＶＸＬＡＮカプセル化することなく送信する構成となっており，これにより，監視サーバを配置する位置が引用発明のようなリモートの配置だけでなく，ローカルな配置にもでき，ローカルに配置した際には，不必要なカプセル化処理を削減できるものとなっているといえる。

したがって，引用発明は，リモートのＳＤＮスイッチング デバイスに接続（アクセス）された監視サーバのみの存在を前提とし，ミラーリングされたデータパケットをすべてカプセル化する監視方法であるから，引用発明に対して，周知の技術であるＶＸＬＡＮおよびＶＸＬＡＮパケットの技術を引用発明に適用したとしても，当業者は本願第１発明の相違点４に係る構成を容易に想到することができない。

エ　小括

したがって，上記その他の相違点について判断するまでもなく，本願第１発明は，引用発明および周知の技術に基づいて，当業者が容易に発明できたものであるとはいえない。

また，本願第１発明は，上記相違点１に係る構成を採用することにより，引用発明に周知技術を適用しても想定しえなかった効果である，監視サーバを配置する位置が柔軟に選択でき，不必要なカプセル化処理を削減できることを可能としている。

２　本願第２発明ないし本願第１４発明について

本願第２発明ないし本願第７発明は，いずれも，本願第１発明と同一の構成を備えるものであるから，本願第１発明と同じ理由により，引用発明および周知の技術に基づいて，当業者が容易に発明できたものであるとはいえない。

また，本願第８発明は，本願第１発明の，発明のカテゴリを，単に，「方法」から「仮想拡張可能ローカルエリアネットワークＶＸＬＡＮトンネルエンドポイントＶＴＥＰ」へと変更したものであり，同様の構成を備えているから，本願第１発明と同様の理由により，引用発明および周知の技術に基づいて，当業者が容易に発明できたものであるとはいえない。

さらに，本願第９発明ないし本願第１４発明は，いずれも，本願第８発明と同一の構成を備えるものであるから，本願第８発明と同じ理由により，引用発明および周知の技術に基づいて，当業者が容易に発明できたものであるとはいえない。

第６　原査定について

審判請求時の補正により、本願第１発明ないし本願第１４発明は，各ステップの主体が「ＶＴＥＰ」であることが限定されるとともに，監視サーバの一部が「ＶＴＥＰにローカルにアクセスする」ものであることが限定されたものとなっており、当業者であっても、拒絶査定において引用された引用文献１および周知技術に基づいて、容易に発明できたものとはいえない。したがって、原査定の理由を維持することはできない。

第７　むすび

以上のとおり，原査定の理由によっては，本願を拒絶することはできない。

また，他に本願を拒絶すべき理由を発見しない。

よって，結論のとおり審決する。