2022-013058
データを処理するための方法及び装置
- 審判番号
- 2022-013058
- 法域
- 特許
- 審判種別
- 拒絶査定不服審判(拒絶査定不服の審決)
- 出願番号
- 特願2019-202640外部サイト(J-PlatPat)へ移動します
- 請求日
- 2022年08月19日
- 審決日
- 2023年03月28日
- 公報発行日
- 2023年04月28日
- 結論
- 原査定取消(特許/登録すべき)
- 当事者
- 【請求人】ベイジン バイドゥ ネットコム サイエンス テクノロジー カンパニー リミテッド
- 【請求人代理人】名古屋国際弁理士法人
- 分類
- P18 .121-WY (H04L) / P18 .537-WY (H04L)
- 条文(本文から自動抽出・参考)
- 特許法第36条第6項第2号、特許法第29条第2項
- データ出所
- 審決公報(XML)
事件の表示
結論
理由
目次 ▾ 16項目
第1 手続の経緯
本願は、令和元年11月7日の出願(パリ条約による優先権主張2019年2月21日、中国)であって、その手続の経緯は次のとおりである。
第2 原査定の概要
原査定(令和4年4月12日付け拒絶査定)の概要は次のとおりである。
1 理由1(明確性)
この出願は、特許請求の範囲の記載が、特許法第36条第6項第2号に規定する要件を満たしていない。
請求項2、7において、「前記EIPアドレスが属するエリア」と補正された。
また、出願人は意見書にて、「EIPの属するエリアは、物理的データセンタの位置している地域を意味します。当業者であれば、従来技術に基づいて、EIPの属するエリアは、物理的データセンタの位置している地域であることを容易に理解できます。したがいまして、「エリア」の技術的な意味は明確であるものと思料致します。」と主張している。
しかしながら、「エリア」とは、その文言自体は、地域や区域[株式会社岩波書店 広辞苑第六版]を示すことは明白であるが、本願のようなネットワーク技術分野では、多くの意味がある。特に、本願の明細書では、段落[72]の[LAN]及び[WAN]のエリアを除くと、段落[6]、[11]に、それぞれ請求項2、7と同じ記載があるのみであるから、明細書から理解することは困難である。
また、「EIP」とは、アドレスなので、「エリア」の意味は、「区域」と考える。「区域」とは、くぎりをつけた地域やしきりをした範囲[株式会社岩波書店 広辞苑第六版]である。また、「EIP」はアドレスであるから、「EIPが属する」というのは、通常、EIPのアドレスが属するアドレス範囲(区域に相当)との意味であろう。しかし、どのようなアドレス範囲を意味するのか、また、何処までの範囲を意味するのか、が不明確である。
よって、意見書の「物理的データセンタの位置している地域」とは、物理的な位置を示すと思われるが、EIPであるアドレスが属するエリアとは、どのようにして物理的な区域を示すことは、明細書等に記載を見つけられないから、技術常識を考慮しても、明細書の記載を基にしない主張は受けいれられない。
さらに、仮に「物理的データセンタの位置している地域」とすると、どのような単位で示すのかどこまでの範囲を意味するのか不明確であり、主張する権利範囲を特定できない。
したがって、依然として、EIPアドレスが属するエリア、どのような「エリア」なのか、また、どこまでの「エリア」を意味するのか、技術的な意味が不明確である。
2 理由2(進歩性)
本願請求項1-13に係る発明は、以下の引用文献1-5に基づいて、その発明の属する技術の分野における通常の知識を有する者(以下「当業者」という。)が容易に発明をすることができたものであるから、特許法第29条第2項の規定により特許を受けることができない。
引用文献等一覧
1.特開2017-050832号公報
2.特開2004-015180号公報
3.木村 明寛 Akihiro KIMURA,URL変換機能を用いた端末-vCPE間接続方式,電子情報通信学会2016年通信ソサイエティ大会講演論文集2 PROCEEDINGS OF THE 2016 IEICE COMMUNICATIONS SOCIETY CONFERENCE,日本, 一般社団法人電子情報通信学会 THE INSTITUTE OF ELECTRONICS,INFORMATION AND COMMUNICATION ENGINEERS,2016年09月06日,39頁
4.特表2018-508166号公報
5.特開2018-82421号公報
第3 本願発明
本願請求項1-13に係る発明(以下それぞれ「本願発明1」-「本願発明13」という。)は、令和4年8月19日提出の手続補正書で補正された特許請求の範囲の請求項1-13に記載された事項により特定される発明であって、本願発明1は以下のとおりの発明である。
「【請求項1】データを処理するための方法であって、ターゲットドメインネームにアクセスするためのアクセス要求を受信するステップと、前記ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換するステップと、ドメインネームシステムにおける前記高セキュリティドメインネームに対応するIPアドレスを検索するステップと、前記高セキュリティドメインネームに対応するIPアドレスに従って前記アクセス要求を送信するステップとを含み、前記ターゲットドメインネームに対応するEIPアドレスでは、ブラックホールが有効にされたことに応答して、前記ドメインネームシステムにおける前記高セキュリティドメインネームに対応するIPアドレスを、事前設定された高セキュリティIPアドレスに変更し、アクセス要求を当該事前設定された高セキュリティIPアドレスによりフィルタリングして、前記EIPアドレスに送信するようにし、前記ターゲットドメインネームに対応するEIPアドレスでは、ブラックホールが有効になっていないことに応答して、前記ドメインネームシステムにおける前記高セキュリティドメインネームに対応するIPアドレスを、前記ターゲットドメインネームのEIPアドレスとし、前記アクセス要求を前記EIPアドレスに送信するようにし、前記ブラックホールが有効にされたこととは、高セキュリティドメインネームを介したアクセス要求を除き、EIPアドレスにアクセスする全てのトラフィックを禁止することであり、前記高セキュリティIPアドレスは、ユーザからのアクセスデータのうち悪意のある攻撃トラフィックをクレンジングした正当のトラフィックを前記ターゲットドメインネームのEIPアドレスに転送するように構成される、データを処理するための方法。」
なお、本願発明2-13の概要は以下のとおりである。
本願発明2-5は、本願発明1を減縮した発明である。
本願発明6は、本願発明1に対応する「データを処理するための装置」の発明であり、本願発明1とカテゴリ表現が異なるだけの発明である。
本願発明7-10は、本願発明6を減縮した発明である。
本願発明11-13は、それぞれ本願発明1を引用する「電子機器」、「コンピュータ可読媒体」、「コンピュータプログラム」の発明であり、本願発明1とカテゴリ表現が異なるだけの発明である。
第4 引用文献、引用発明
1 引用文献1、引用発明
原査定の拒絶の理由に引用された上記引用文献1には、図面とともに次の事項が記載されている(下線は当審による。以下同様。)。
「【0008】そこで本件は上記の課題に鑑みてなされたものであり、正常な通信に影響せずにDoS攻撃を防御するネットワークシステム及びDoS攻撃の防御方法を提供することを目的とする。」
「【0013】図1は、ネットワークシステムの一例を示す構成図である。ネットワークシステムには、複数のスイッチ(SW)装置6,6a,6bを含むネットワークA、ネットワークAに接続された宛先サーバ1及び代理サーバ2と、ネットワークA内の通信経路を制御する経路制御サーバ3と、ネットワークAを管理する管理サーバ4とが含まれる。【0014】管理サーバ4は、パーソナルコンピュータなどの操作端末5から操作され、操作に応じて宛先サーバ1、代理サーバ2、及び経路制御サーバ3の監視制御を行う。経路制御サーバ3は、管理サーバ4からの設定に従い、スイッチ装置6,6a,6bに対して通信経路を設定する。スイッチ装置6,6a,6bは、例えばレイヤ2スイッチであり、パケットごとの転送先が登録されたフローテーブルを備える。続きを表示(全24行)【0015】ネットワークAは、例えばSDN(Software Defined Network)であり、経路制御サーバ3からスイッチ装置6,6a,6bのフローテーブルを設定することにより、柔軟に通信経路が設定される。ネットワークAは、外部ネットワークBと接続されており、外部ネットワークBには、パーソナルコンピュータなどの端末7が接続されている。なお、端末7は、1台のみが図示されているが、複数台であってもよい。【0016】端末7は、宛先サーバ1を宛先とするパケットをネットワークAに送信する。つまり、宛先サーバ1は、第1サーバの一例であり、端末7の通信先である。宛先サーバ1は、端末7の(善意の)ユーザに対してサービスを提供する。なお、本実施例において、端末7のIP(Internet Protocol)アドレスを「192.168.1.6」とし、宛先サーバ1のIPアドレスを「10.1.2.3」とする。【0017】例えば、端末7が悪意のあるユーザにより操作された場合、端末7から宛先サーバ1にDoS攻撃が行われることが懸念される。宛先サーバ1は、DoS攻撃を受けた場合、処理能力を奪われるため、サービスの提供が不可能となる。なお、本実施例では、DoS攻撃として、Syn flood攻撃を挙げるが、これに限定されない。【0018】そこで、ネットワークAは、端末7からのTCPコネクションの確立の要求を、宛先サーバ1ではなく、宛先サーバ1と同一のネットワークAに接続された代理サーバ2に送信する。このため、経路制御サーバ3は、端末7からの宛先サーバ1宛ての通信が代理サーバ2で受信されるようにネットワークA内の通信経路を制御する。このときの通信経路は、符号R1により示されている。なお、本実施例では、端末7とのコネクションとして、TCPコネクションを挙げるが、これに限定されない。【0019】代理サーバ2は、第2サーバの一例であり、宛先サーバ1に代わり、端末7からTCPコネクションの確立の要求を受ける。代理サーバ2は、端末7からの要求に応答することにより、その要求がDoS攻撃であるか否かを判定する。なお、本実施例において、代理サーバ2のIPアドレスを「10.1.2.8」とする。【0020】代理サーバ2は、端末7からの要求に応答することにより、その要求がDoS攻撃であるか否かを判定する。より具体的には、代理サーバ2は、TCPのスリーウェイハンドシェイクに基づき、端末7から受信したSYNに対してSYN+ACKを応答する。代理サーバ2は、応答後、所定時間内に端末からACK(応答信号)を受信しない場合、端末7の要求がDoS攻撃であると判定する。このため、代理サーバ2は、簡単にDoS攻撃を判別できる。【0021】代理サーバ2は、端末7の要求がDoS攻撃ではないと判定した場合、TCPコネクションを確立して端末7と通信する。この場合、代理サーバ2は、符号REQで示されるように、管理サーバ4を介し、経路制御サーバ3に、端末7からの宛先サーバ1宛ての通信が宛先サーバ1で受信されるように通信経路の変更を依頼する。【0022】経路制御サーバ3は、宛先サーバ1からの依頼に応じ通信経路を変更する。このときの通信経路は、符号R2により示されている。つまり、経路制御サーバ3は、端末7の要求がDoS攻撃ではない場合、端末7からの通信の経路を、代理サーバ2に至る通信経路R1から、宛先サーバ1に至る通信経路R2に変更する。このため、端末7からの通信は、TCPコネクションの確立前、代理サーバ2で受信され、TCPコネクションの確立後、宛先サーバ1で受信される。【0023】また、代理サーバ2は、端末7の要求がDoS攻撃ではない場合、符号CNで示されるように、管理サーバ4を介し、コネクションに関する情報を宛先サーバ1に送信する。宛先サーバ1は、代理サーバ2から受信したコネクションに関する情報に基づき、代理サーバ2から端末7との通信を引き継ぐ。このため、宛先サーバ1は、代理サーバ2により確立されたコネクションを用いて端末7と通信することができる。【0024】このように、代理サーバ2は、端末7からの通信を受信し、DoS攻撃ではない正常な通信だけを宛先サーバ1に引き継ぐため、宛先サーバ1は、端末7からDoS攻撃の通信を受信することなく、正常な通信だけを受信することができる。よって、本実施例のネットワークシステムによると、正常な通信に影響せずにDoS攻撃を防御できる。」
「【図1】[図:0001396191000001.jpg]」
したがって、上記引用文献1には次の発明(以下「引用発明」という。)が記載されていると認められる。
「DoS攻撃の防御方法であって、ネットワークシステムには、ネットワークA、ネットワークAに接続された宛先サーバ1及び代理サーバ2と、ネットワークA内の通信経路を制御する経路制御サーバ3と、ネットワークAを管理する管理サーバ4とが含まれ、ネットワークAは、外部ネットワークBと接続されており、外部ネットワークBには、パーソナルコンピュータなどの端末7が接続されており、代理サーバ2は、宛先サーバ1に代わり、端末7からTCPコネクションの確立の要求を受け、代理サーバ2は、端末7からの要求に応答することにより、その要求がDoS攻撃であるか否かを判定し、端末7の要求がDoS攻撃ではないと判定した場合、経路制御サーバ3に、端末7からの宛先サーバ1宛ての通信が宛先サーバ1で受信されるように通信経路の変更を依頼し、端末7からの通信は、TCPコネクションの確立前、代理サーバ2で受信され、TCPコネクションの確立後、宛先サーバ1で受信され、このように、代理サーバ2は、端末7からの通信を受信し、DoS攻撃ではない正常な通信だけを宛先サーバ1に引き継ぐため、宛先サーバ1は、端末7からDoS攻撃の通信を受信することなく、正常な通信だけを受信することができ、正常な通信に影響せずにDoS攻撃を防御できる、方法。」
2 引用文献2
原査定の拒絶の理由に引用された引用文献2には、図面とともに次の事項が記載されている(以下「引用文献2記載の技術的事項」という。)。
「【0017】【発明の実施の形態】===ネットワーク構成と電子メールの流通経路===図1は本発明の実施例における電子メールの選別転送方法が実施されるネットワーク構成図である。この図では、インターネット20と、2つのキャリアA,Bの移動体通信網10を含んで構成されたネットワークが示されている。本発明の主体となるアドレス変換サーバー1は、インターネット20上に設置されて、Webサーバーとメールサーバーの基本機能を備えている。そして、携帯電話機2A,2B宛の電子メールの流通経路に介在して迷惑メールの送達確率を激減させる「迷惑メール撃退サービス」を提供している。」
「【0035】本実施例では、ある携帯アドレス123@idoutai.ne.jpの電話機Bから、携帯アドレスがabc@keitai.ne.jpの会員電話機Aに電子メールを送達させようとするとき、電話機Bのユーザは携帯アドレスabc@keitai.ne.jpに宛てて電子メールを送信するのではなく、電話機Aのキャリアのドメイン名keitai.ne.jpに応じてあらかじめ決められているドメイン名(移転ドメイン名:例えばkeitai2.ne.jp)に変更した移転メールアドレスabc@keitai2.ne.jpに宛てて電子メールを送信することとしている。なお、携帯電話機Aのキャリアと移転ドメイン名との対応関係は、前もって適宜な方法(広告・放送・会員からの直接通知など)で、電話機Bのユーザに告知されることとしている。【0036】移転メールアドレスabc@keitai2.ne.jpを宛先として電話機Bから送信された電子メールはアドレス変換サーバー1に送達する。アドレス変換サーバー1は、送達された電子メールについて、まず、この電子メールがキャリアBの携帯電話機2から送信されたものであるかどうか、すなわち特定のメールサーバーを経由してきたかどうかを判定する。本実施例では、メールヘッダに記載されているReceived:の項に記載されている送信元のメールサーバー名を取得し、このサーバー名が携帯電話機2のキャリアのメールサーバー名に一致すれば、送達された電子メールを転送対象とする。もちろん、IPパケットのヘッダにも電子メールの経路に関する情報が記載されており、このIPパケットの経路情報に基づいて転送対象メールとそれ以外とを判別するようにしてもよい。なお、転送対象でない電子メールについてはその場で削除したり、そのまま放置したり、あるいは転送できない旨の電子メールを送信元アドレスに返送したりするなど適宜に棄却すればよい。」
3 引用文献3
原査定の拒絶の理由に引用された引用文献3には、図面とともに次の事項が記載されている(以下「引用文献3記載の技術的事項」という。)。
「図1にURL取得以降の提案方式の接続構成を示す。端末は、認証後に取得するURLにウェブブラウザを用いてアクセスする(図中1)。これにより、プロキシにHTTPリクエストが送信される。プロキシはHTTPリクエストからプロキシのドメイン名を含むURLを検索し、一致したURLのパラメータ部分からコンテンツサーバのドメイン名を抽出することで、コンテンツサーバへのHTTPリクエストを、IPトンネル接続を用いて代理する(図中2)。続くコンテンツサーバからのHTTPレスポンスに対して、プロキシはコンテンツサーバのドメイン名を含むURLを検索し、一致したURLのドメイン名部分をプロキシのドメイン名に変換する処理およびパラメータ部分にアプリケーションサーバのドメイン名に追加する処理を行う(図中3)。プロキシはURL変換処理後、レスポンスメッセージを端末に送信する(図中4)。端末は、URL変換処理済みのレスポンスメッセージをもとに以降のHTTPリクエストを生成するため、プロキシ設定を行わずともプロキシにHTTPリクエストを送信できる。」
「[図:0001396191000002.jpg]」
4 引用文献4
原査定の拒絶の理由に引用された引用文献4には、図面とともに次の事項が記載されている(以下「引用文献4記載の技術的事項」という。)。
「【0003】従来の技術として、トラフィック洗浄技術に基づきTCPパケットを検出することによってICMP/TCP/UDPフラッディング攻撃に対する防護を実現する方法が開示されており、これはTCP/UDPパケットを再送することによって実現される。この従来の技術はTCP/UDP層のパケットのみに有効であり、暗号解読を必要とする開放型システム間相互接続基準参照モデル(OSI)の第7層であるアプリケーション層のHTTPフラッディング攻撃を予防することができない。」
5 引用文献5
原査定の拒絶の理由に引用された引用文献5には、図面とともに次の事項が記載されている(以下「引用文献5記載の技術的事項」という。)。
「【0051】幾つかの実施形態では、SCMサーバ212が通信において潜在的なサイバーセキュリティ脅威を検出した場合、SCMサーバ212は当該通信を検疫する。幾つかの実施形態では、SCMサーバ212が、洗浄された通信をその目的地に送信する前に、アラームを鳴らし、送信器に当該潜在的なサイバーセキュリティ脅威を警告し、および/または当該通信を洗浄してもよい。SCMサーバ212が、当該通信のソースを隔離してさらなる通信を防いでもよい。SCMコンピュータデバイス212が、将来の分析のために、感染したファイルを記録してもよい。幾つかの実施形態では、SCMコンピュータデバイス212が、応答を経験に基づいて長期分析的応答からリアルタイム応答に移動できるように、SCMコンピュータデバイスが脅威ベクトルを統計的に識別するためのトレンディングを使用してもよい。」
第5 対比・判断
1 本願発明1について
(1)対比
本願発明1と引用発明とを比較すると、次のことがいえる。
ア 引用発明の「DoS攻撃の防御方法」は、「端末7」と「宛先サーバ1」との間の「通信経路」を制御しているから、「DoS攻撃の通信」又は「正常な通信」に係るデータを処理しているといえる。したがって、引用発明の「DoS攻撃の防御方法」は、本願発明1の「データを処理するための方法」に相当する。
イ 引用発明の「代理サーバ2」が、「宛先サーバ1に代わり、端末7からTCPコネクションの確立の要求を受け」ることは、本願発明1の「ターゲットドメインネームにアクセスするためのアクセス要求を受信するステップ」と、「アクセス要求を受信するステップ」である点で共通するといえる。
(2)一致点・相違点
したがって、本願発明1と引用発明との間には、次の一致点、相違点があるといえる。
[一致点]
「データを処理するための方法であって、アクセス要求を受信するステップを含む、方法。」
[相違点1]
本願発明1では、「アクセス要求」は、「ターゲットドメインネームにアクセスするための」ものであるのに対し、引用発明ではそのように特定されていない点。
[相違点2]
本願発明1では、「前記ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換するステップ」を備えるのに対し、引用発明ではそのように特定されていない点。
[相違点3]
本願発明1では、「ドメインネームシステムにおける前記高セキュリティドメインネームに対応するIPアドレスを検索するステップ」を備えるのに対し、引用発明ではそのように特定されていない点。
[相違点4]
本願発明1では、「前記高セキュリティドメインネームに対応するIPアドレスに従って前記アクセス要求を送信するステップ」を備えるのに対し、引用発明ではそのように特定されていない点。
[相違点5]
本願発明1では、「前記ターゲットドメインネームに対応するEIPアドレスでは、ブラックホールが有効にされたことに応答して、前記ドメインネームシステムにおける前記高セキュリティドメインネームに対応するIPアドレスを、事前設定された高セキュリティIPアドレスに変更し、アクセス要求を当該事前設定された高セキュリティIPアドレスによりフィルタリングして、前記EIPアドレスに送信するようにし、前記ターゲットドメインネームに対応するEIPアドレスでは、ブラックホールが有効になっていないことに応答して、前記ドメインネームシステムにおける前記高セキュリティドメインネームに対応するIPアドレスを、前記ターゲットドメインネームのEIPアドレスとし、前記アクセス要求を前記EIPアドレスに送信するようにし、前記ブラックホールが有効にされたこととは、高セキュリティドメインネームを介したアクセス要求を除き、EIPアドレスにアクセスする全てのトラフィックを禁止することであり、前記高セキュリティIPアドレスは、ユーザからのアクセスデータのうち悪意のある攻撃トラフィックをクレンジングした正当のトラフィックを前記ターゲットドメインネームのEIPアドレスに転送するように構成される」のに対し、引用発明ではそのように特定されていない点。
(3)相違点についての判断
事案に鑑みて、相違点5について先に検討する。
本願発明1の相違点5に係る「前記ターゲットドメインネームに対応するEIPアドレスでは、ブラックホールが有効にされたことに応答して、前記ドメインネームシステムにおける前記高セキュリティドメインネームに対応するIPアドレスを、事前設定された高セキュリティIPアドレスに変更し、アクセス要求を当該事前設定された高セキュリティIPアドレスによりフィルタリングして、前記EIPアドレスに送信するようにし、前記ターゲットドメインネームに対応するEIPアドレスでは、ブラックホールが有効になっていないことに応答して、前記ドメインネームシステムにおける前記高セキュリティドメインネームに対応するIPアドレスを、前記ターゲットドメインネームのEIPアドレスとし、前記アクセス要求を前記EIPアドレスに送信するようにし、前記ブラックホールが有効にされたこととは、高セキュリティドメインネームを介したアクセス要求を除き、EIPアドレスにアクセスする全てのトラフィックを禁止することであり、前記高セキュリティIPアドレスは、ユーザからのアクセスデータのうち悪意のある攻撃トラフィックをクレンジングした正当のトラフィックを前記ターゲットドメインネームのEIPアドレスに転送するように構成される」点について、引用文献2-5には記載も示唆もなく、当該構成が周知であったとも認められない。
したがって、他の相違点について検討するまでもなく、本願発明1は、当業者であっても引用発明及び引用文献2-5記載の技術的事項に基づいて容易に発明できたものであるとはいえない。
2 本願発明2-13について
本願発明2-13は、本願発明1の上記相違点5に係る構成と(実質的に)同一の構成を備えるものであるから、本願発明1と同様の理由により、当業者であっても、引用発明及び引用文献2-5記載の技術的事項に基づいて容易に発明できたものとはいえない。
第6 原査定の理由1(明確性)についての判断
令和4年8月19日提出の審判請求書における、『「EIPアドレスが属するエリア」は、「中国-香港」、「中国-北京」、「アジア-太平洋-シンガポール」、「ヨーロッパ-パリ」などのような、EIPアドレスに対応する物理的データセンタが位置する地理的エリアであって、ネットワーク遅延が少なく、応答速度が速いことが保証されることを考慮して、地理上の位置、又はアクセス時のネットワーク遅延によって、区分した地理的エリアを意味します。当業者の技術常識を考慮すれば、当業者であれば、「EIPアドレスが属するエリア」が、ネットワーク遅延が少なく、応答速度が速いことを保証する地理的エリアを意味することは理解できるものと思料いたします。』との主張を踏まえれば、「EIPアドレスが属するエリア」の技術的な意味は明確であり、請求項2、7にかかる発明は明確である。
第7 むすび
以上のとおり、本願発明1-13は、当業者が引用発明及び引用文献2-5記載の技術的事項に基づいて容易に発明をすることができたものではない。
また、本願発明2、7は、明確である。
したがって、原査定の理由によっては、本願を拒絶することはできない。
また、他に本願を拒絶すべき理由を発見しない。
よって、結論のとおり審決する。
審決本文(J-PlatPat)
J-PlatPatの審決検索トップを開きます。番号入力で「審判番号」を選び、下の番号を貼り付けて検索してください。
2022-013058