2021-002950
通信システム
- 審判番号
- 2021-002950
- 法域
- 特許
- 審判種別
- 拒絶査定不服審判(拒絶査定不服の審決)
- 出願番号
- 特願2016-048780外部サイト(J-PlatPat)へ移動します
- 請求日
- 2021年03月05日
- 審決日
- 2022年01月04日
- 公報発行日
- 2022年02月25日
- 結論
- 原査定取消(特許/登録すべき)
- 分類
- P18 .121-WY (H04L)
- 条文(本文から自動抽出・参考)
- 特許法第29条第2項
- データ出所
- 審決公報(XML)
事件の表示
結論
理由
目次 ▾ 13項目
第1 手続の経緯
本願は、平成28年3月11日の出願であって、その手続の経緯は次のとおりである。
第2 原査定の概要
原査定(令和2年12月1日付け拒絶査定)の概要は次のとおりである。
本願請求項1ないし3、6及び7に係る発明は、以下の引用文献4及び1に記載された発明に基いて、本願請求項4に係る発明は、以下の引用文献4、1及び2に記載された発明に基いて、また、本願請求項5に係る発明は、以下の引用文献4、1、2及び3に記載された発明に基いて、その発明の属する技術の分野における通常の知識を有する者(以下、「当業者」という。)が容易に発明をすることができたものであるから、特許法第29条第2項の規定により特許を受けることができない。
引用文献2:嶌田一郎 Ichiro Shimada、ライブネットにおける低速スキャン検知手法 A Slow-Scan Detection Method for Live Network Environments、CSS2014 コンピュータセキュリティシンポジウム2014論文集 合同開催マルウェア対策研究人材育成ワークショップ2014 情報処理学会シンポジウムシリーズ Vol.2014 No.2 [CD-ROM]、日本、一般社団法人情報処理学会 コンピュータセキュリティ研究会、2014年10月15日、第2014巻、P.458-465
第3 本願発明
本願請求項1ないし7に係る発明(以下、それぞれ「本願発明1」ないし「本願発明7」という。)は、令和3年3月5日に提出された手続補正書に係る手続補正(以下、「本件補正」という。)により補正された特許請求の範囲の請求項1ないし7に記載された事項により特定される発明であり、このうち、本願発明1は、以下のとおりの発明である。なお、下線は、本件補正により補正された箇所を示す。
「 第1の通信ポートを備える複数のエンド端末と、第2および第3の通信ポートを備え、前記エンド端末を制御するPLC装置と、第4および第5の通信ポートを備える複数の監視装置と、を含む通信システムであって、続きを表示(全13行)前記第1の通信ポートおよび前記第2の通信ポートは、各々個別の前記第4の通信ポートと接続され、前記第5の通信ポートは、互いに電気的に接続され、前記第3の通信ポートは、前記エンド端末を含まない第1のネットワークに接続され、前記PLC装置は前記エンド端末に対し制御フレームを送信し、前記エンド端末は、他の前記エンド端末または前記PLC装置との間でフレームを送受信し、前記監視装置は、自装置の前記第4の通信ポートが接続されている前記第1の通信ポートから送信された、または自装置の前記第4の通信ポートが接続されている前記第2の通信ポートから送信された、あるいは、自装置の前記第4の通信ポートが接続されている前記第1の通信ポートで受信する、または自装置の前記第4の通信ポートが接続されている前記第2の通信ポートで受信する、フレームの解析を行う解析手段と、前記フレームが正規のフレームであるかを判断する基準と、前記基準に合致する場合に行う処理、又は、合致しない場合に行う処理の少なくとも一方、を記憶する記憶手段と、を備えることを特徴とする通信システム。」
なお、本願発明2ないし7は、本願発明1を減縮したものである。
第4 引用文献、引用発明等
1 引用文献4について
(1)引用文献4記載事項
折りたたみ中(クリックで表示)
原査定の拒絶の理由に引用された引用文献4には、図面とともに次の事項が記載されている。
「【技術分野】【0001】本発明は、ファイアウォール装置に関し、特に、データを単方向に伝達する用途のファイアウォール装置において安全性を確保する技術に関する。【背景技術】続きを表示(全18行)【0002】図4(a)に一例を示すように、工業プラントでは、コントローラ420の制御下で、計測機器、バルブ類、アクチュエータ機器等のフィールド機器430(430a、430b、430c、…)が稼働している。また、コントローラ420には操作監視端末410が接続され、これらの装置を含んでプラント側ネットワーク400が構成されている。操作監視端末410は、コントローラ420を介して、各フィールド機器430の操作・設定等を行ない、コントローラ420が各フィールド機器430から収集した各種データを取得することができる。【0003】従来、プラント側ネットワーク400は、インターネット等の広域ネットワークに物理的に接続していない独立したネットワークとして構築されているため、外部からの脅威にさらされることなく、安全性が確保されている。【0004】また、工業プラントの運営者は、プラント側ネットワーク400とは別に、オフィス側ネットワーク500を構築しており、複数台のPC510(510a、510b、510c、…)が接続されているものとする。オフィス側ネットワーク500は、インターネット600に接続しており、インターネット600を介した種々のサービスを利用している。【0005】一般に、オフィス側ネットワーク500では、通信プロトコルとしてTCP/IPを利用した標準的な通信が行なわれている。一方、プラント側ネットワーク400では、従来生産制御システム向けの独自プロトコルが用いられていたが、近年では標準化が進み、独自のプロトコルに加え、TCP/IPを利用した標準的な通信を行なうことも多くなっている。【0006】このように、プラント側ネットワーク400とオフィス側ネットワーク500とは別個のネットワークとして運用していたが、プラント側ネットワーク400でTCP/IPを利用するようになると、図4(b)に示すようにプラント側ネットワーク400とオフィス側ネットワーク500とを接続することが容易に可能となる。プラント側ネットワーク400とオフィス側ネットワーク500とが接続されると、例えば、操作監視端末410がフィールド機器430から取得した各種データをオフィス側ネットワーク500のPC510に送信することで、PC510上で各種データを利用できるようになり便利である。【0007】この場合、インターネット600を介した外部からの攻撃からプラント側ネットワーク400を保護するために、プラント側ネットワーク400とオフィス側ネットワーク500との境界にファイアウォール(FW)装置300が設置される。【0008】ここで、ファイアウォール装置300は、パケットフィルタリング型とアプリケーション型とに大別され、パケットフィルタリング型では、通過しようとする通信パケットの内容を検査し、あらかじめ許可された条件、例えば、通信方向、通信プロトコル種別、MACアドレス、IPアドレス、ポート番号等と比較し、条件に合致する通信パケットを中継し、条件に合致しない通信パケットを遮断することで外部からの攻撃からプラント側ネットワーク400を保護する。」
「【図4】[図:0001381515000001.jpg]」
上記【0002】に記載の「工業プラントでは、コントローラ420の制御下で、計測機器、バルブ類、アクチュエータ機器等のフィールド機器430(430a、430b、430c、…)が稼働し」は、上記【図4】(b)を参酌すれば、「工業プラントでは、コントローラ420の制御下で、コントローラ420に接続された計測機器、バルブ類、アクチュエータ機器等のフィールド機器430(430a、430b、430c、…)が稼働し」と言い替えることができる。
また、上記【0006】及び上記【図4】(b)を参酌すれば、引用文献4には、「プラント側ネットワーク400とオフィス側ネットワーク500とが接続された通信システム」が記載されているといえる。
(2)引用発明
前記(1)より、引用文献4には次の発明(以下、「引用発明」という。)が記載されていると認められる。
「 プラント側ネットワーク400とオフィス側ネットワーク500とが接続された通信システムであって、工業プラントでは、コントローラ420の制御下で、コントローラ420に接続された計測機器、バルブ類、アクチュエータ機器等のフィールド機器430(430a、430b、430c、…)が稼働し、コントローラ420には操作監視端末410が接続され、これらの装置を含んでプラント側ネットワーク400が構成され、操作監視端末410は、コントローラ420を介して、各フィールド機器430の操作・設定等を行ない、コントローラ420が各フィールド機器430から収集した各種データを取得することができ、工業プラントの運営者は、プラント側ネットワーク400とは別に、オフィス側ネットワーク500を構築しており、複数台のPC510(510a、510b、510c、…)が接続され、オフィス側ネットワーク500は、インターネット600に接続し、プラント側ネットワーク400でTCP/IPを利用するようになり、プラント側ネットワーク400とオフィス側ネットワーク500とを接続する場合、インターネット600を介した外部からの攻撃からプラント側ネットワーク400を保護するために、プラント側ネットワーク400とオフィス側ネットワーク500との境界にファイアウォール装置300が設置され、ファイアウォール装置300は、パケットフィルタリング型とアプリケーション型とに大別され、パケットフィルタリング型では、通過しようとする通信パケットの内容を検査し、あらかじめ許可された条件、例えば、通信方向、通信プロトコル種別、MACアドレス、IPアドレス、ポート番号等と比較し、条件に合致する通信パケットを中継し、条件に合致しない通信パケットを遮断することで外部からの攻撃からプラント側ネットワーク400を保護する、通信システム。」
2 引用文献1について
(1)引用文献1記載事項
折りたたみ中(クリックで表示)
原査定の拒絶の理由に引用された上記引用文献1には、図面とともに次の事項が記載されている。
「【技術分野】【0001】本発明は、例えば、不正なパケットをフィルタリングする機能等を備えたファイアウォール装置、及びそれを用いた通信システム、通信方法に関する。」
「【0004】本発明の目的とするところは、ハードウェアによりファイアウォール装置を構成することで、OSに依存することなく、更に端末の状態によらず、独立してフィルタリング等の基本動作を行うことができるようにし、更にはファイアウォール機能とリモートコントロール機能とを明確に分離することで制御データ等の書き換えを端末による制御なくして独立して実行可能とすることにある。」
「【0017】この図1に示されるように、ファイアウォール装置1a、1b・・・を集中管理する遠隔制御センタ3は、端末データベース(DB)4と制御データDB5を有している。各端末2a、2b・・・は、ファイアウォール装置1a、1b・・・、ネットワーク6を介して、端末相互間で或いは遠隔制御センタ3と通信自在となっている。尚、以下の説明では、ファイアウォール装置1a、1b・・・を総称するときは符号1を用い、端末2a、2b・・・を総称するときは符号2を用いることとする。」
「【0019】図2に示されるように、このファイアウォール装置1は、ネットワークインタフェース(I/F)部11、ファイアウォール・コア部12、遠隔制御データ格納部13、制御部14、制御データ格納部15、ログデータ格納部16、端末I/F部17を有する。【0020】ネットワークI/F部11は、LANやWAN等のネットワーク6を介した通信の為のI/Fである。例えば、遠隔制御センタ3からパケットがネットワーク6を介して送信されると、当該パケットがネットワークI/F部11を介してファイアウォール・コア部12に送られる。ファイアウォール・コア部12は、制御データ格納部15に格納されている制御データに基づいて、データトラフィックを制御する為のものである。即ち、ファイアウォール・コア部12は、通過パケットを制限することができ、通過を許可していない不正パケットを破棄する、所謂パケットフィルタリングの機能を有する。この場合、ファイアウォール・コア部12は、上記パケットを制御データ格納部15に格納されている制御データ(通過条件)と比較し、通過の可否を決定する。この詳細は後述する。【0021】遠隔制御データ格納部13は、遠隔制御センタ3からネットワーク6を介して送信された遠隔制御データを格納する為のものである。この遠隔制御データ格納部13は、ネットワーク6を介して遠隔制御センタ3等から送信された遠隔制御データ等の書き込みのみが可能となっており、当該遠隔制御データ等は制御部14によってのみ読み出しが可能となっている。即ち、ファイアウォール・コア部12は、遠隔制御データを遠隔制御データ格納部13に格納することはできても、当該遠隔制御データ格納部13より遠隔制御データを読み出すことはできない。ここで、遠隔制御データとは、遠隔制御センタ3からネットワーク6を介して送られたパケットのデータ部に含まれるもので、制御データやファームウェア等のソフトウェア、制御命令等を含むものである。【0022】制御部14は、端末2又は遠隔制御センタ3からのパケットに含まれる制御命令に従ってファイアウォール装置1の制御を司る為のものである。より具体的には、ファイアウォール装置1の動作モードの設定、制御データの更新、ファームウェア等のソフトウェアの更新、ログデータに関する操作等の制御を司る。制御データ格納部15は、ファイアウォール・コア部12が動作する為の制御データを格納する為のものである。ログデータ格納部16は、ファイアウォール装置1の動作履歴を記録する為のものである。端末I/F部17は、ファイアウォール装置1と端末2との間の通信の為のI/Fである。」
「【0036】ファイアウォール・コア部12は、ネットワークI/F部11を介してパケットを受けると、当該パケットを解析し、遠隔制御データが含まれているか否かを判断する(ステップS1)。そして、遠隔制御データが含まれている場合には、当該遠隔制御データを遠隔制御データ格納部13に格納し(ステップS2)、本処理を終了する。【0037】一方、パケットに遠隔制御データが含まれていない場合には、ファイアウォール・コア部12は、制御データ格納部15に格納されている制御データとの照合を行う(ステップS3)。尚、この制御データには、ログ条件、通過条件が含まれる。そして、ファイアウォール・コア部12は、パケットのログデータがログ条件に合致しているか否かを判断し(ステップS4)、ログ条件に合致している場合にはログデータをログデータ格納部16に書き込み(ステップS5)、ステップS6に移行する。ログ条件に合致していない場合には、通過条件に照らして通過すべきか否かを判断する(ステップS6)。【0038】このステップS6で、ファイアウォール・コア部12は、制御データ格納部15に格納されている制御データに含まれる通過条件に係るテーブル(図3(b))を参照して、パケットを通過させるべきでないと判断した場合には、当該パケットを破棄し(ステップS7)、本処理を終了する。一方、通過させるべきと判断した場合には、端末I/F部17に当該パケットを送信し(ステップS8)、本処理を終了する。」
「【図1】[図:0001381515000002.jpg]」
「【図2】[図:0001381515000003.jpg]」
(2)引用発明1
前記(1)より、引用文献1には次の発明(以下、「引用発明1」という。)が記載されていると認められる。
「 通信システムであって、ファイアウォール装置1a、1b・・・を集中管理する遠隔制御センタ3は、端末データベース(DB)4と制御データDB5を有し、各端末2a、2b・・・は、ファイアウォール装置1a、1b・・・、ネットワーク6を介して、端末相互間で或いは遠隔制御センタ3と通信自在となっており、ファイアウォール装置1は、ネットワークインタフェース(I/F)部11、ファイアウォール・コア部12、遠隔制御データ格納部13、制御部14、制御データ格納部15、ログデータ格納部16、端末I/F部17を有し、遠隔制御データ格納部13は、遠隔制御センタ3からネットワーク6を介して送信された遠隔制御データを格納する為のものであり、ここで、遠隔制御データとは、遠隔制御センタ3からネットワーク6を介して送られたパケットのデータ部に含まれるもので、制御データやファームウェア等のソフトウェア、制御命令等を含むものであり、ファイアウォール・コア部12は、ネットワークI/F部11を介してパケットを受けると、当該パケットを解析し、遠隔制御データが含まれているか否かを判断し、遠隔制御データが含まれている場合には、当該遠隔制御データを遠隔制御データ格納部13に格納し、一方、パケットに遠隔制御データが含まれていない場合には、ファイアウォール・コア部12は、制御データ格納部15に格納されている制御データとの照合を行い、制御データ格納部15に格納されている制御データに含まれる通過条件に係るテーブルを参照して、パケットを通過させるべきでないと判断した場合には、当該パケットを破棄し、一方、通過させるべきと判断した場合には、端末I/F部17に当該パケットを送信する、通信システム。」
3 引用文献2について
引用文献2の第461頁の5.1節、5.2節、図2に記載された事項を参酌すれば、引用文献2には、「事前に設けられたホワイトリスト作成期間において、データバス上のパケットを解析して、ホワイトリストに登録すること」が記載されているといえる。
4 引用文献3について
引用文献3の【0085】及び【0095】並びに【図13】に記載された事項を参酌すれば、引用文献3には、「ファイアウォール処理部やフィルタリング処理部等の処理によってパケットの中継が拒否されたパケットがあった場合、管理者にメールで通知すること」が記載されているといえる。
第5 対比・判断
1 本願発明1について
(1)対比
本願発明1と引用発明とを対比する。
ア 本願発明1の「エンド端末」は、本願明細書の【0002】に「工場内の工作機器、センサやカメラといったエンドポイントの端末(以下、「エンド端末」と呼ぶ。)」との記載を参酌すれば、工場等においてエンドポイント(末端)に接続されている端末のことを意味するものと認められる。
そして、引用発明において、「コントローラ420」に接続された「計測機器、バルブ類、アクチュエータ機器等のフィールド機器430(430a、430b、430c、…)」は、「プラント側ネットワーク400」の末端に接続された端末であるから、本願発明1の「複数のエンド端末」に相当する。
また、引用発明において、各「フィールド機器430」が接続された「コントローラ420」と通信をするための「通信ポート」を備えるものと認められ、これを、「第1の通信ポート」と称することは任意である。
よって、引用発明の「フィールド機器430(430a、430b、430c、…)」は、本願発明1の「第1の通信ポートを備える複数のエンド端末」に相当する。
イ 引用発明の「コントローラ420の制御下で、コントローラ420に接続された計測機器、バルブ類、アクチュエータ機器等のフィールド機器430(430a、430b、430c、…)が稼働し」との構成によれば、「コントローラ420」は、「フィールド機器430(430a、430b、430c、…)」を制御するものといえる。
また、本願発明1の「PLC装置」の「PLC」は、プログラマブルロジックコントローラの略称であり、コントローラの一種であることは本願出願時の技術常識である。
また、引用発明の「コントローラ420」は「フィールド機器430(430a、430b、430c、…)」と「操作監視端末410」に接続されていることから、「フィールド機器430(430a、430b、430c、…)」と通信するための「通信ポート」と、「操作監視端末410」と通信するための「通信ポート」を備えていると認められ、前者を「第2の通信ポート」、後者を「第3の通信ポート」と称することは任意である。
そうすると、引用発明の「コントローラ420」と本願発明1の「第2および第3の通信ポートを備え、前記エンド端末を制御するPLC装置」とは、「第2および第3の通信ポートを備え、前記エンド端末を制御するコントローラ」である点において共通する。
ウ 引用発明の「ファイアウォール装置300」は、「プラント側ネットワーク400」と「オフィス側ネットワーク500」との境界に設置され、「通過しようとする通信パケットの内容を検査」するものであるから、「プラント側ネットワーク400」と「オフィス側ネットワーク500」との間に流れる「通信パケット」を監視する「監視装置」といい得るものである。
また、当該「ファイアウォール装置300」は、「プラント側ネットワーク400」に接続される「通信ポート」と「オフィス側ネットワーク500」に接続される「通信ポート」とを備えていると認められ、前者を「第5の通信ポート」、後者を「第4の通信ポート」と称することは任意である。
よって、引用発明の「ファイアウォール装置300」と、本願発明1の「第4および第5の通信ポートを備える複数の監視装置」とは、「第4および第5の通信ポートを備える監視装置」である点において共通する。
エ 引用発明の「通信システム」は、「フィールド機器430(430a、430b、430c、…)」、「コントローラ420」及び「ファイアウォール装置300」を含むものである。
よって、前記アないしウを参酌すれば、引用発明の「通信システム」と、本願発明1の「第1の通信ポートを備える複数のエンド端末と、
第2および第3の通信ポートを備え、前記エンド端末を制御するPLC装置と、
第4および第5の通信ポートを備える複数の監視装置と、
を含む通信システム」とは、
「第1の通信ポートを備える複数のエンド端末と、第2および第3の通信ポートを備え、前記エンド端末を制御するコントローラと、第4および第5の通信ポートを備える監視装置と、を含む通信システム」である点において共通する。
オ 引用発明において、「フィールド機器430(430a、430b、430c、…)」及び「コントローラ420」は、「ファイアウォール装置300」に直接接続されていないから、本願発明1の「前記第1の通信ポートおよび前記第2の通信ポートは、各々個別の前記第4の通信ポートと接続され」との構成を備えない。
また、前記ウを参酌すれば、引用発明の「ファイアウォール装置300」は、複数あるものとは特定されていないから、本願発明1の「前記第5の通信ポートは、互いに電気的に接続され」との構成を備えない。
カ 前記イによれば、「コントローラ420」の「第3の通信ポート」は、「操作監視端末410」に接続するものであり、「操作監視端末410」は、「プラント側ネットワーク400」に属するものであることからすれば、「プラント側ネットワーク400」に接続しているといえ、ここで「プラント側ネットワーク400」を「第1のネットワーク」と称することは任意である。
もっとも、前記アによれば、「プラント側ネットワーク400」の末端に「フィールド機器430(430a、430b、430c、…)」が接続されていることから、当該「第1のネットワーク」は「エンド端末」を備えるものである。
よって、引用発明と、本願発明1の「前記第3の通信ポートは、前記エンド端末を含まない第1のネットワークに接続され」とは、「前記第3の通信ポートは、第1のネットワークに接続され」との共通の構成を備える。
キ 引用発明において、「コントローラ420」は「フィールド機器430(430a、430b、430c、…)」を制御する関係にあり、また、引用発明は、「操作監視端末410は、コントローラ420を介して、各フィールド機器430の操作・設定等を行ない」との構成を備えることから、「コントローラ420」が、「フィールド機器430(430a、430b、430c、…)」を操作・設定等の制御を行うためのデータを送信しているものと認められる。
また、引用発明は、「プラント側ネットワーク400でTCP/IPを利用する」ことを前提としており、「TCP/IP」のネットワークインタフェース層においては、「フレーム」形式でデータが送信されることは本願出願時における技術常識である。
そうすると、引用発明においては、操作・設定等の制御を行うためのデータを「フレーム」形式で、すなわち「制御フレーム」として送信しているといい得るものである。
よって、前記ア及びイを参酌すれば、引用発明と、本願発明1の「前記PLC装置は前記エンド端末に対し制御フレームを送信し」とは、「前記コントローラは前記エンド端末に対し制御フレームを送信し」との共通の構成を備える。
ク 引用発明の「コントローラ420が各フィールド機器430から収集した各種データを取得することができ」との構成からすると、「フィールド機器430(430a、430b、430c、…)」は、「コントローラ420」との間で「各種データ」を送受信する機能を備え、前記キを参酌すれば、当該「各種データ」は、「フレーム」形式で送受信されるといえる。
よって、前記ア、イ及びキを参酌すれば、引用発明と、本願発明1の「前記エンド端末は、他の前記エンド端末または前記PLC装置との間でフレームを送受信し」とは、「前記エンド端末は、前記コントローラとの間でフレームを送受信し」との限度において一致ないし共通する。
ケ 引用発明において、「ファイアウォール装置300」が、「通過しようとする通信パケットの内容を検査し、あらかじめ許可された条件、例えば、通信方向、通信プロトコル種別、MACアドレス、IPアドレス、ポート番号等と比較」することは、「通信パケット」を「解析」することといい得るものであるから、「ファイアウォール装置300」は、「通信パケット」を「解析」する「解析手段」として機能するものといえる。
また、引用発明の「ファイアウォール装置300」が解析対象とする「通信パケット」と、本願発明1の「フレーム」とは、「通信データ」である点において共通する。
また、引用発明の「ファイアウォール装置300」が解析対象とする「通過しようとする通信パケット」は、前記ウを参酌すれば、「第4の通信ポート」が接続されている通信ポートから送信された、あるいは、「第4の通信ポート」が接続されている前記通信ポートで受信する「通信パケット」の何れか一方を含むものといえる。
よって、引用発明の「ファイアウォール装置300」と、本願発明1の
「自装置の前記第4の通信ポートが接続されている前記第1の通信ポートから送信された、または自装置の前記第4の通信ポートが接続されている前記第2の通信ポートから送信された、あるいは、自装置の前記第4の通信ポートが接続されている前記第1の通信ポートで受信する、または自装置の前記第4の通信ポートが接続されている前記第2の通信ポートで受信する、フレームの解析を行う解析手段」とは、
「自装置の前記第4の通信ポートが接続されている通信ポートから送信された、あるいは、自装置の前記第4の通信ポートが接続されている前記通信ポートで受信する、通信データの解析を行う解析手段」である点において共通する。
コ 引用発明の「ファイアウォール装置300」は、「あらかじめ許可された条件、例えば、通信方向、通信プロトコル種別、MACアドレス、IPアドレス、ポート番号等と比較し、条件に合致する通信パケットを中継し、条件に合致しない通信パケットを遮断する」において、「予め許可された条件」に合致する「通信パケット」を正規な「通信パケット」と判断して「中継」する処理を実行し、合致しない「通信パケット」を正規でない「通信パケット」と判断して「遮断」する処理を実行するものといえる。
よって、前記ケを参酌すれば、引用発明の「予め許可された条件」と本願発明1の「前記フレームが正規のフレームであるかを判断する基準」は、「前記通信データが正規の通信データであるかを判断する基準」である点で共通し、また、引用発明の「中継」及び「遮断」はそれぞれ、本願発明1の「前記基準に合致する場合に行う処理」及び「合致しない場合に行う処理」に相当する。
そして、「ファイアウォール装置300」は、「通信パケット」の比較の対象とする「予め許可された条件」と、比較の結果実行する処理(「中継」及び「遮断」)とを記憶する何らかの記憶手段を備えるものと認められる。
よって、引用発明の「ファイアウォール装置300」と、本願発明1の「前記フレームが正規のフレームであるかを判断する基準と、前記基準に合致する場合に行う処理、又は、合致しない場合に行う処理の少なくとも一方、を記憶する記憶手段」とは、「前記通信データが正規の通信データであるかを判断する基準と、前記基準に合致する場合に行う処理、又は、合致しない場合に行う処理の少なくとも一方、を記憶する記憶手段」である点において共通する。
(2)一致点、相違点
したがって、本願発明1と引用発明は、次の点において一致ないし相違する。
[一致点]
「 第1の通信ポートを備える複数のエンド端末と、第2および第3の通信ポートを備え、前記エンド端末を制御するコントローラと、第4および第5の通信ポートを備える監視装置と、を含む通信システムであって、続きを表示(全11行)前記第3の通信ポートは、第1のネットワークに接続され、前記コントローラは前記エンド端末に対し制御フレームを送信し、前記エンド端末は、前記コントローラとの間でフレームを送受信し、前記監視装置は、自装置の前記第4の通信ポートが接続されている通信ポートから送信された、あるいは、自装置の前記第4の通信ポートが接続されている前記通信ポートで受信する、通信データの解析を行う解析手段、前記通信データが正規の通信データであるかを判断する基準と、前記基準に合致する場合に行う処理、又は、合致しない場合に行う処理の少なくとも一方、を記憶する記憶手段と、を備えることを特徴とする通信システム。」
[相違点]
<相違点1>
共通点の「コントローラ」が、本願発明1では「PLC装置」であるのに対し、引用発明の「コントローラ420」が、「PLC装置」に限定されていない点。
<相違点2>
共通点の「監視装置」が、本願発明1では、「複数の監視装置」であるのに対し、引用発明の「ファイアウォール装置300」が、「複数」あるものとして特定していない点。
<相違点3>
前記相違点2に関連し、本願発明1は、「前記第1の通信ポートおよび前記第2の通信ポートは、各々個別の前記第4の通信ポートと接続され」との構成を備えるのに対し、引用発明において、「フィールド機器430(430a、430b、430c、…)」及び「コントローラ420」の通信ポートはいずれも「ファイアウォール装置300」の通信ポートに接続されていない点。
<相違点4>
前記相違点2に関連し、本願発明1は、「前記第5の通信ポートは、互いに電気的に接続され」との構成を備えるのに対し、引用発明の「ファイアウォール装置300」は複数あるものと特定されていないため、当該「ファイアウォール装置300」の通信ポートが互いに電気的に接続されていない点。
<相違点5>
共通点である「第1のネットワーク」が、本願発明1においては「前記エンド端末を含まない」ものであるのに対し、引用発明の「プラント側ネットワーク400」は「フィールド機器430(430a、430b、430c、…)」(エンド端末)を含む点。
<相違点6>
前記相違点3に関連し、共通点である「解析手段」が、
本願発明1では、
「 自装置の前記第4の通信ポートが接続されている前記第1の通信ポートから送信された、または自装置の前記第4の通信ポートが接続されている前記第2の通信ポートから送信された、あるいは、自装置の前記第4の通信ポートが接続されている前記第1の通信ポートで受信する、または自装置の前記第4の通信ポートが接続されている前記第2の通信ポートで受信する、フレームの解析を行う解析手段」との構成を備えるのに対し、
引用発明において、「フィールド機器430(430a、430b、430c、…)」及び「コントローラ420」の通信ポートはいずれも「ファイアウォール装置300」の通信ポートに接続されていないため、「フィールド機器430(430a、430b、430c、…)」が、自身の通信ポートに接続されている「フィールド機器430(430a、430b、430c、…)」又は「コントローラ420」の通信ポートへ送信する又は当該通信ポートが受信するデータを解析するものではない点。
<相違点7>
共通点である「解析手段」が解析の対象とする「通信データ」が、本願発明1では「フレーム」であるのに対し、引用発明では、「通信パケット」である点。
(3)相違点についての判断
事案に鑑みて、先に上記相違点3について検討する。
引用発明1は「各端末2a、2b・・・は、ファイアウォール装置1a、1b・・・、ネットワーク6を介して、端末相互間で或いは遠隔制御センタ3と通信自在となっており」との構成を含むように、複数の端末(エンド端末)の通信ポートの各々が個別のファイアウォール装置(監視装置)の通信ポートと接続されてなる構成は本願出願時における公知技術と認められる。
しかしながら、仮に、引用発明に前記公知技術を適用することができるとしても、引用発明における「フィールド機器430(430a、430b、430c、…)」(エンド端末)の「第1の通信ポート」が、各々個別の「監視装置」の「第4の通信ポート」に接続されてなる構成が得られるにすぎず、当該構成に加えて、「コントローラ420」の「第2の通信ポート」が、別の「監視装置」の「第4の通信ポート」に接続されてなる構成、すなわち、相違点3に係る本願発明1の「前記第1の通信ポートおよび前記第2の通信ポートは、各々個別の前記第4の通信ポートと接続され」との構成には到達しない。加えて、引用発明の課題(引用文献4の【0007】に記載の、インターネット600を介した外部からの攻撃からプラント側ネットワーク400を保護すること)及び引用発明1の課題(引用文献1【0004】に記載の、ハードウェアによりファイアウォール装置を構成することで、OSに依存することなく、更に端末の状態によらず、独立してフィルタリング等の基本動作を行うことができるようにすること等)を参酌すれば、引用発明に前記公知技術を適用することにより「フィールド機器430(430a、430b、430c、…)」(エンド端末)毎に「監視装置」を接続する構成とした場合に、さらに「コントローラ420」から見て「フィールド機器430(430a、430b、430c、…)」(エンド端末)側に別の「監視装置」を接続する構成を採用すべきことが当業者にとって自明又は設計的変更であるということはできない。
また、相違点3に係る本願発明1の構成は、引用文献2及び3のいずれにも記載されておらず、本願出願時における周知技術であったともいえない。
したがって、他の相違点について判断するまでもなく、本願発明1は、当業者であっても引用発明及び引用文献1ないし3に記載された技術的事項に基づいて容易に発明をすることができたものであるとはいえない。
2 本願発明2ないし7について
本願発明2ないし7は、本願発明1を減縮したものであり、上記相違点3に係る本願発明1の構成を備えるものであるから、本願発明1と同じ理由により、当業者であっても、引用発明及び引用文献1ないし3に記載された技術的事項に基づいて容易に発明をすることができたものであるとはいえない。
第6 原査定について
前記第5のとおり、本願発明1ないし7は上記相違点3に係る本願発明1の構成を備えるものであり、当業者であっても、拒絶査定において引用された引用文献4及び引用文献1ないし3に記載された発明に基づいて、容易に発明をすることができたものとはいえない。
したがって、原査定の理由を維持することはできない。
第7 むすび
以上のとおり、原査定の理由によっては、本願を拒絶することはできない。
また、他に本願を拒絶すべき理由を発見しない。
よって、結論のとおり審決する。
審決本文(J-PlatPat)
J-PlatPatの審決検索トップを開きます。番号入力で「審判番号」を選び、下の番号を貼り付けて検索してください。
2021-002950