2022-019414

第１ 手続の経緯

本願は、平成３０年６月１１日の出願であって、その手続の経緯は以下のとおりである。

第２ 原査定の概要

原査定（令和４年８月２９日付け拒絶査定）の概要は次のとおりである。

１ 理由１

本願請求項１～１３，１５，１７～２３（当審注： 原査定の表記上は理由１の対象は請求項１～２３であるが、令和３年１２月７日付け拒絶理由通知書の記載及び令和４年４月８日提出の手続補正書による特許請求の範囲の補正内容から、実際にはこれらの請求項が対象であるものと解される。）に係る発明は、以下の引用文献Ａに記載された発明であるから、特許法第２９条第１項第３号に該当し、特許を受けることができない。

２ 理由２

本願請求項１～２３に係る発明は、以下の引用文献Ａに記載された発明に基づいて、その発明の属する技術の分野における通常の知識を有する者（以下「当業者」という。）が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。

第３ 当審拒絶理由の概要

当審が令和５年６月２０日付けで通知した拒絶理由（以下「当審拒絶理由」という。）の概要は次のとおりである。

本願請求項１～１１，１７～２３に係る発明は、以下の引用文献１～３に記載された発明に基づいて、その発明の属する技術の分野における通常の知識を有する者（以下「当業者」という。）が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。

第４ 本願発明

本願請求項１～２２に係る発明（以下、それぞれ「本願発明１」～「本願発明２２」という。）は、令和４年８月２３日に提出された手続補正書により補正された特許請求の範囲の請求項１～２２に記載された事項により特定されるものであり、本願発明１～３，１８，１９，２１，２２は次のとおりの発明である。

「【請求項１】

アクセスの対象となる対象サーバ装置に対してネットワークを介して接続し、パケット通信を行うためのパケット通信システムであって、

前記対象サーバ装置との間でパケット通信を行うクライアント装置と、前記クライアント装置と前記対象サーバ装置との間のパケット通信を中継する中継サーバ装置と、を備え、

前記クライアント装置は、

続きを表示（全66行）

前記クライアント装置を送信元とし前記対象サーバ装置をあて先として、前記対象サーバ装置に対して送信すべき所定の送信データをデータ部に含む第１のパケットを作成する処理を行う通信制御部と、

前記第１のパケットの少なくとも一部を暗号化して送信用暗号データを作成するクライアント用暗号化処理部と、

前記クライアント装置を送信元とし前記中継サーバ装置をあて先として、暗号化した前記第１のパケットをカプセル化し、前記送信用暗号データをデータ部に含み、所定のパケット識別コードが書き込まれた第２のパケットを作成して送信するパケット送信部と、

を有し、

前記中継サーバ装置は、

前記第２のパケットを受信し、受信した第２のパケットに前記所定のパケット識別コードが書き込まれている場合、そのデータ部に含まれている前記送信用暗号データを復号して前記第１のパケットを復元する中継サーバ用復号処理部と、

復元された前記第１のパケットの送信元を前記中継サーバ装置に変更することにより第３のパケットを作成し、作成した前記第３のパケットを送信するパケット転送部と、

前記第３のパケットに対する応答として前記対象サーバ装置から返信され、前記所定のパケット識別コードが書き込まれていない第４のパケットを受信し、受信した第４のパケットに前記所定のパケット識別コードが書き込まれていない場合、その少なくとも一部を暗号化して返信用暗号データを作成する中継サーバ用暗号化処理部と、

前記中継サーバ装置を送信元とし前記クライアント装置をあて先として、前記返信用暗号データをデータ部に含む第５のパケットを作成し、作成した前記第５のパケットを送信するパケット返信部と、

を有し、

前記クライアント装置は、更に、

前記第５のパケットを受信し、そのデータ部に含まれている前記返信用暗号データを復号して前記第４のパケットを復元するクライアント用復号処理部と、

復元された前記第４のパケットのあて先を前記クライアント装置に変更することにより第６のパケットを作成するパケット受信部と、

を有し、

前記通信制御部は、更に、前記第６のパケットのデータ部に含まれている返信データを取り出す処理を行い、

複数ｎ台のクライアント装置とこれらｎ台のクライアント装置のそれぞれに対応づけられたｎ台の中継サーバ装置とを備え、

各クライアント装置のパケット送信部は、それぞれ対応づけられた特定の中継サーバ装置宛に第２のパケットを送信し、

各中継サーバ装置のパケット返信部は、それぞれ対応づけられた特定のクライアント装置宛に第５のパケットを送信することを特徴とするパケット通信システム。

【請求項２】

アクセスの対象となる対象サーバ装置に対してネットワークを介して接続し、パケット通信を行うためのパケット通信システムであって、

前記対象サーバ装置との間でパケット通信を行うクライアント装置と、前記クライアント装置と前記対象サーバ装置との間のパケット通信を中継する中継サーバ装置と、を備え、

前記クライアント装置は、

前記クライアント装置を送信元とし前記対象サーバ装置をあて先として、前記対象サーバ装置に対して送信すべき所定の送信データをデータ部に含む第１のパケットを作成する処理を行う通信制御部と、

前記第１のパケットの少なくとも一部を暗号化して送信用暗号データを作成するクライアント用暗号化処理部と、

前記クライアント装置を送信元とし前記中継サーバ装置をあて先として、暗号化した前記第１のパケットをカプセル化し、前記送信用暗号データをデータ部に含み、所定のパケット識別コードが書き込まれた第２のパケットを作成して送信するパケット送信部と、

を有し、

前記中継サーバ装置は、

前記第２のパケットを受信し、受信した第２のパケットに前記所定のパケット識別コードが書き込まれている場合、そのデータ部に含まれている前記送信用暗号データを復号して前記第１のパケットを復元する中継サーバ用復号処理部と、

復元された前記第１のパケットの送信元を前記中継サーバ装置に変更することにより第３のパケットを作成し、作成した前記第３のパケットを送信するパケット転送部と、

前記第３のパケットに対する応答として前記対象サーバ装置から返信され、前記所定のパケット識別コードが書き込まれていない第４のパケットを受信し、受信した第４のパケットに前記所定のパケット識別コードが書き込まれていない場合、その少なくとも一部を暗号化して返信用暗号データを作成する中継サーバ用暗号化処理部と、

前記中継サーバ装置を送信元とし前記クライアント装置をあて先として、前記返信用暗号データをデータ部に含む第５のパケットを作成し、作成した前記第５のパケットを送信するパケット返信部と、

を有し、

前記クライアント装置は、更に、

前記第５のパケットを受信し、そのデータ部に含まれている前記返信用暗号データを復号して前記第４のパケットを復元するクライアント用復号処理部と、

復元された前記第４のパケットのあて先を前記クライアント装置に変更することにより第６のパケットを作成するパケット受信部と、

を有し、

前記通信制御部は、更に、前記第６のパケットのデータ部に含まれている返信データを取り出す処理を行い、

前記パケット転送部が、復元された第１のパケットの送信元を示す情報を第３のパケットに埋め込む処理を行い、

前記中継サーバ用暗号化処理部が、受信した第４のパケットに埋め込まれていた前記送信元を示す情報を読み出してパケット返信部に伝達する処理を行い、

前記パケット返信部が、前記送信元を示す情報をあて先となるクライアント装置とする第５のパケットを作成することを特徴とするパケット通信システム。

【請求項３】

アクセスの対象となる対象サーバ装置に対してネットワークを介して接続し、パケット通信を行うためのパケット通信システムであって、

前記対象サーバ装置との間でパケット通信を行うクライアント装置と、前記クライアント装置と前記対象サーバ装置との間のパケット通信を中継する中継サーバ装置と、を備え、

前記クライアント装置は、

前記クライアント装置を送信元とし前記対象サーバ装置をあて先として、前記対象サーバ装置に対して送信すべき所定の送信データをデータ部に含む第１のパケットを作成する処理を行う通信制御部と、

前記第１のパケットの少なくとも一部を暗号化して送信用暗号データを作成するクライアント用暗号化処理部と、

前記クライアント装置を送信元とし前記中継サーバ装置をあて先として、暗号化した前記第１のパケットをカプセル化し、前記送信用暗号データをデータ部に含み、所定のパケット識別コードが書き込まれた第２のパケットを作成して送信するパケット送信部と、

を有し、

前記中継サーバ装置は、

前記第２のパケットを受信し、受信した第２のパケットに前記所定のパケット識別コードが書き込まれている場合、そのデータ部に含まれている前記送信用暗号データを復号して前記第１のパケットを復元する中継サーバ用復号処理部と、

復元された前記第１のパケットの送信元を前記中継サーバ装置に変更することにより第３のパケットを作成し、作成した前記第３のパケットを送信するパケット転送部と、

前記第３のパケットに対する応答として前記対象サーバ装置から返信され、前記所定のパケット識別コードが書き込まれていない第４のパケットを受信し、受信した第４のパケットに前記所定のパケット識別コードが書き込まれていない場合、その少なくとも一部を暗号化して返信用暗号データを作成する中継サーバ用暗号化処理部と、

前記中継サーバ装置を送信元とし前記クライアント装置をあて先として、前記返信用暗号データをデータ部に含む第５のパケットを作成し、作成した前記第５のパケットを送信するパケット返信部と、

を有し、

前記クライアント装置は、更に、

前記第５のパケットを受信し、そのデータ部に含まれている前記返信用暗号データを復号して前記第４のパケットを復元するクライアント用復号処理部と、

復元された前記第４のパケットのあて先を前記クライアント装置に変更することにより第６のパケットを作成するパケット受信部と、

を有し、

前記通信制御部は、更に、前記第６のパケットのデータ部に含まれている返信データを取り出す処理を行い、

前記中継サーバ装置が、更に、通信情報記録部を有し、

前記パケット転送部が、第３のパケットを送信する際に、復元された第１のパケットの送信元を示す情報と前記第３のパケットとの対応関係を示す対応関係情報を前記通信情報記録部に記録する処理を行い、

前記パケット返信部が、第５のパケットを送信する際に、前記通信情報記録部に記録されている前記対応関係情報に基づいて、第５のパケットの送信先を決定することを特徴とするパケット通信システム。」

「【請求項１８】

請求項１～１６のいずれかに記載のパケット通信システムにおける１台のクライアント装置。

【請求項１９】

請求項１～１６のいずれかに記載のパケット通信システムにおけるクライアント用暗号化処理部、パケット送信部、クライアント用復号処理部およびパケット受信部としてコンピュータを機能させるプログラム。」

「【請求項２１】

請求項１～１６のいずれかに記載のパケット通信システムにおける１台の中継サーバ装置。

【請求項２２】

請求項１～１６のいずれかに記載のパケット通信システムにおける中継サーバ用復号処理部、パケット転送部、中継サーバ用暗号化処理部およびパケット返信部としてコンピュータを機能させるプログラム。」

なお、本願発明４～１７，２０は、本願発明１～３のいずれかを減縮した発明である。

第５ 引用文献の記載、引用発明等

１ 引用文献１、引用発明

（１）引用文献１には、図面とともに次の事項が記載されている（下線は当審による。）。

「【０００７】図１は本発明の一実施形態の匿名通信システムの構成図である。

【０００８】本匿名通信システムはクライアント端末１０１，１０２と主装置１１０とサーバＸ（１２０），Ｙ（１２１），Ｚ（１２２）で構成されている。

【０００９】主装置１１０は識別情報インターフェイス設定部１１１とユーザ認証部１１２とアクセス制御部１１３と識別情報制御部１１４と識別情報データベース１１５とローカルＩＤデータベース１１６とグローバルＩＤデータベース１１７で構成されている。

【００１０】主装置１１０と通信先は他の通信先とは隔離された独立のネットワークを介して接続されており、その独立のネットワーク内部では通信先毎に重複するプライベートアドレスが利用可能である。そのため、主装置１１０は通信先毎に個別のネットワーク・インターフェイスを持っている。

続きを表示（全19行）

【００１１】ユーザ認証部１１２はユーザ認証機能付きＩＰｓｅｃトンネルの終端機能を持ち、あらかじめユーザ毎に登録された情報にしたがってユーザを認証する。図２はユーザ認証部１１２の処理を示している。ステップ２０１でトンネル接続確立要求を受け取ると、ステップ２０２でユーザを認証し、ステップ２０３でＶＰＮトンネルを確立する。ステップ２０４でユーザからパケットを受け取ると、ステップ２０５でパケットを復号し、ステップ２０６でパケットをアクセス制御部１１３に送信し、ステップ２０７でユーザへ向かうパケットを受け取ると、ステップ２０８で、パケットをＶＰＮトンネル経由でユーザに向けて送信する。

【００１２】アクセス制御部１１３は図３に示す処理を行う。ステップ３０１に、ユーザからのパケットを受け取ると、ステップ３０２にパケットは通信ポリシに適合するかどうか判定し、適合すれば識別情報制御部１１４にパケットを送信し、適合しなければステップ３０４にパケットを破棄する。ステップ３０５に、ユーザに向けてのパケットを受け取ると、ステップ３０６にパケットは適合ポリシに適合するかどうか判定し、適合すれば、ステップ３０７に、ユーザ認証部１１２にパケットを送信し、適合しなければステップ３０８にパケットを破棄する。

【００１３】識別情報データベース１２１はユーザと通信先の組毎に、送信するユーザ識別情報を保持するもので、表１に示すように、送信元と、送信先と、提供する識別情報の種別と、変換用アドレスと、一時保存ＩＤを含む。

【００１４】

【表１】

［図：0001404455000001.jpg］

ローカルＩＤデータベース１１６は特定の通信先内で一意となるユーザ識別用ＩＤとしてのＩＤを保持するもので、表２に示すように、サーバ名とローカルＩＤの集合からなる。

【００１５】

【表２】

［図：0001404455000002.jpg］

グローバルＩＤデータベース１１７は、ユーザを識別するためのグローバルＩＤを保持するもので、表３に示すように、ユーザ名とグローバルＩＤからなる。

【００１６】

【表３】

［図：0001404455000003.jpg］

識別情報制御部１１４は主装置１１０を経由して送信されるユーザからのパケットに対してユーザを識別する情報を隠蔽または埋め込むもので、図４に示す処理を行う。ステップ４０１で、ユーザからのパケットを受け取ったのであれば、ステップ４０２に、ＩＰｓｅｃトンネルの利用ユーザと送信元をキーとして識別情報データベース１１５を検索し、変換用アドレスを取得し、ステップ４０３に、パケットの送信元情報を変換用アドレスに示された値に変換し、ステップ４０４に、パケットに示された送信先に向けてのパケットを送信し、ステップ４０５にユーザに向けてのパケットを受け取ったのであれば、ステップ４０６にパケットの送信先をユーザのアドレスに戻し、ステップ４０７にアクセス制御部１１３に向けてパケットを送信する。」

「【００１９】ユーザＡ、ユーザＢは、それぞれクライアント端末１０１、クライアント端末１０２を使い、主装置１１０の識別情報設定インターフェイス部１１１に対して、通信先毎に提供する識別情報提供ポリシを設定する。識別情報設定インターフェイス部１１１は、ユーザはＷｅｂブラウザを介して設定を行なうものとする。設定の際には、事前にユーザＡ、ユーザＢはユーザ認証部１１２に対してユーザ認証を行なうものとし、ユーザを送信元とするポリシの内容は、ユーザ本人のみ設定を変更可能であるとする。

【００２０】ユーザ認証部１１２は、ユーザ認証機能につきＩＰｓｅｃトンネルの終端機能を持つ。ユーザＡ、ユーザＢはユーザ認証を行なうために、ユーザ認証部１１２と、自らが使用するクライアント端末１０１、１０２との間で、ユーザ認証機能つきＩＰｓｅｃトンネルを確立する（ステップ２０１、２０２、２０３）。ＩＰｓｅｃトンネル確立の際にあらかじめ登録したＩＤとパスワードを入力することによりユーザ認証が行なわれる。ＩＰｓｅｃによる暗号通信機能があるため、不正ユーザが、ユーザＡからの送信されたものであるとなりすましたパケットを主装置１１０に送った場合でも、そのパケットはユーザ認証における復号処理（ステップ２０５）のエラーパケットとして廃棄され、不正を防ぐことができる。」

「【００２５】以上の事前設定を終え、実際に各ユーザが各サーバに通信する場合の動作を説明する。実際の通信を行なうにあたっても、上に示したユーザ認証およびＩＰｓｅｃトンネルの確立がすでに行なわれているものとする。ユーザＡ、ユーザＢから送信されたパケットは、ユーザ認証部１１２と、ユーザＡ、ユーザＢが使用するクライアント端末１０１、クライアント端末１０２との間で確立されたＩＰｓｅｃトンネルを経由して、ユーザ認証部１１２に送られる。」

「【００３１】ユーザＡがサーバＺにパケットを送った場合、ＩＰアドレスでサーバが識別されないように、識別情報制御部１１４は、送信元アドレスをユーザによらないある一つのアドレスＡＡに変換する。」

「【００３５】各サーバ１２０、１２１、１２２からの返答パケットに対しては、上に述べたものと逆の手順で、クライアント端末１０１、１０２にパケットが送られる（ステップ４０５～４０７、３０５～３０８、２０７～２０８）。このとき、識別情報制御部１１４では、ＩＰアドレスの復元処理（ステップ４０５、４０６）が行なわれる。」

「【図１】

［図：0001404455000004.jpg］

」

（２）引用文献１の段落【００１３】に記載されている「識別情報データベース１２１」は、「識別情報データベース１１５」の誤記と認められる。

（３）上記（１）、（２）から、引用文献１には、次の発明（以下「引用発明」という。）が記載されていると認められる。

「クライアント端末１０１，１０２と主装置１１０とサーバＸ（１２０），Ｙ（１２１），Ｚ（１２２）で構成される匿名通信システムであって、

主装置１１０は識別情報インターフェイス設定部１１１とユーザ認証部１１２とアクセス制御部１１３と識別情報制御部１１４と識別情報データベース１１５とローカルＩＤデータベース１１６とグローバルＩＤデータベース１１７で構成されており、

主装置１１０と通信先は他の通信先とは隔離された独立のネットワークを介して接続されており、

ユーザ認証部１１２はユーザ認証機能付きＩＰｓｅｃトンネルの終端機能を持ち、ユーザからパケットを受け取ると、パケットを復号し、パケットをアクセス制御部１１３に送信し、ユーザへ向かうパケットを受け取ると、パケットをＶＰＮトンネル経由でユーザに向けて送信し、

続きを表示（全13行）

アクセス制御部１１３は、ユーザからのパケットを受け取ると、識別情報制御部１１４にパケットを送信し、ユーザに向けてのパケットを受け取ると、ユーザ認証部１１２にパケットを送信し、

識別情報データベース１１５は、送信元と、送信先と、変換用アドレスを含み、

識別情報制御部１１４は、ユーザからのパケットを受け取ったのであれば、ＩＰｓｅｃトンネルの利用ユーザと送信元をキーとして識別情報データベース１１５を検索し、変換用アドレスを取得し、パケットの送信元情報を変換用アドレスに示された値に変換し、パケットに示された送信先に向けてのパケットを送信し、ユーザに向けてのパケットを受け取ったのであれば、パケットの送信先をユーザのアドレスに戻し、アクセス制御部１１３に向けてパケットを送信し、

ユーザＡはクライアント端末１０１を使い、

ユーザ認証部１１２は、ＩＰｓｅｃによる暗号通信機能があり、

実際に各ユーザが各サーバに通信する場合の動作において、

ユーザＡがサーバＺにパケットを送った場合、ＩＰアドレスでサーバが識別されないように、識別情報制御部１１４は、送信元アドレスをユーザによらないある一つのアドレスＡＡに変換し、

サーバ１２２からの返答パケットに対しては、上に述べたものと逆の手順で、クライアント端末１０１にパケットが送られる、

匿名通信システム。」

２ 周知技術

例えば、引用文献２（段落【００２７】～【００３３】、図３等参照）、引用文献３（段落[0192]～[0199]、図１２等参照）に示されているように、ＩＰｓｅｃトンネルにおいて、暗号化したパケットをカプセル化して、新たなパケットを作成すること、及び、ＩＰｓｅｃトンネルにおいて、パケット識別コード（ＥＳＰプロトコルのパケットであることを識別するコード）を書き込むことは、いずれも周知技術であると認められる。

第６ 当審拒絶理由について（引用発明との対比・判断）

１ 本願発明１について

（１）対比

ア 本願発明１と引用発明とを対比すると、次のことがいえる。

（ア）引用発明は、「ユーザＡはクライアント端末１０１を使い」、「ユーザＡがサーバＺにパケットを送った場合、ＩＰアドレスでサーバが識別されないように、識別情報制御部１１４は、送信元アドレスをユーザによらないある一つのアドレスＡＡに変換」するものであるから、「サーバＺ」は「クライアント端末１０１」のアクセスの対象であるといえる。

また、引用発明では、「識別情報制御部１１４」等が「匿名通信システム」を構成する「主装置１１０」に含まれ、「主装置１１０と通信先は他の通信先とは隔離された独立のネットワークを介して接続されて」いるから、引用発明において、「匿名通信システム」は、「サーバＺ」に対してネットワークを介して接続し、「ユーザＡがサーバＺにパケットを送」る、すなわちパケット通信を行うためのものであり、具体的には、「クライアント端末１０１」が「サーバＺ」との間でパケット通信を行い、「主装置１１０」は、「クライアント端末１０１」と「サーバＺ」との間のパケット通信を中継するといえる。

そして、引用発明の「サーバＺ」、「クライアント端末１０１」、「主装置１１０」は、それぞれ、本願発明１の「対象サーバ装置」、「クライアント装置」、「中継サーバ装置」に相当する。

また、引用発明の「匿名通信システム」は、後述する相違点を除き、本願発明１の「パケット通信システム」に相当する。

以上のことから、引用発明は、本願発明１の

「アクセスの対象となる対象サーバ装置に対してネットワークを介して接続し、パケット通信を行うためのパケット通信システムであって、

前記対象サーバ装置との間でパケット通信を行うクライアント装置と、前記クライアント装置と前記対象サーバ装置との間のパケット通信を中継する中継サーバ装置と、を備え」る

ことに相当する構成を含むものである。

（イ）引用発明の「主装置１１０」に含まれる「ユーザ認証部１１２」は、「ユーザ認証機能付きＩＰｓｅｃトンネルの終端機能を持ち、ユーザからパケットを受け取ると、パケットを復号し、パケットをアクセス制御部１１３に送信」するものであり、かつ「ＩＰｓｅｃによる暗号通信機能があ」るとされるものであるから、「ユーザ」が「ユーザＡ」である場合、「ユーザ認証部１１２」が「受け取る」、「復号」前の「パケット」は、「クライアント端末１０１」を送信元とし、「主装置１１０」をあて先として、「クライアント端末１０１」において暗号化されたデータをデータ部に含むものである。

そうすると、引用発明の「クライアント端末１０１」は、暗号化を行って送信用の暗号化されたデータを作成する手段、及び、「クライアント端末１０１」を送信元とし「主装置１１０」をあて先として、送信用の暗号化されたデータをデータ部に含む「復号」前の「パケット」を作成して送信する手段を有するといえる。

また、引用発明では、「パケットを復号し、パケットをアクセス制御部１１３に送信」することに引き続き、それぞれ「主装置１１０」に含まれる構成の動作である、「アクセス制御部１１３は、ユーザからのパケットを受け取ると、識別情報制御部１１４にパケットを送信し」、「識別情報制御部１１４は、ユーザからのパケットを受け取ったのであれば、ＩＰｓｅｃトンネルの利用ユーザと送信元をキーとして識別情報データベース１１５を検索し、変換用アドレスを取得し、パケットの送信元情報を変換用アドレスに示された値に変換し、パケットに示された送信先に向けてのパケットを送信」することがなされるところ、「ユーザＡがサーバＺにパケットを送った場合」では、「識別情報制御部１１４」が「受け取」る「ユーザからのパケット」は、「復号」により暗号化が解除されて復元された、「クライアント端末１０１」が作成した暗号化前の「パケット」であること、暗号化の対象が暗号化前の「パケット」の少なくとも一部であること、「パケットの送信元情報」により示される暗号化前のパケットの送信元は、「クライアント端末１０１」であり、あて先は、「パケットに示された送信先」であって、「サーバＺ」であること、及び、暗号化前のパケットが、「サーバＺ」に対して送信すべき所定の送信データをデータ部に含むことが、いずれも明らかである。

そうすると、引用発明の「クライアント端末１０１」は、「クライアント端末１０１」を送信元とし「サーバＺ」をあて先として、「サーバＺ」に対して送信すべき所定の送信データをデータ部に含む暗号化前の「パケット」を作成する処理を行う手段を有するといえる。

また、「クライアント端末１０１」における送信用の暗号化されたデータを作成する手段の暗号化の対象は、暗号化前の「パケット」の少なくとも一部であるといえる。

（ウ）上記（イ）から、引用発明の「クライアント端末１０１」は、

「クライアント端末１０１」を送信元とし「サーバＺ」をあて先として、「サーバＺ」に対して送信すべき所定の送信データをデータ部に含む暗号化前の「パケット」を作成する処理を行う手段と、

暗号化前の「パケット」の少なくとも一部を暗号化して送信用の暗号化されたデータを作成する手段と、

「クライアント端末１０１」を送信元とし「主装置１１０」をあて先として、送信用の暗号化されたデータをデータ部に含む「復号」前の「パケット」を作成して送信する手段と、

を有するものである。

そして、引用発明の上記構成において、暗号化前の「パケット」を作成する処理を行う手段、送信用の暗号化されたデータを作成する手段、「復号」前の「パケット」は、それぞれ、本願発明１の「第１のパケットを作成する処理を行う通信制御部」、「送信用暗号データを作成するクライアント用暗号化処理部」、「第２のパケット」に相当する。

以上の点について、上記（ア）を踏まえると、引用発明は、本願発明１の

「前記クライアント装置は、

前記クライアント装置を送信元とし前記対象サーバ装置をあて先として、前記対象サーバ装置に対して送信すべき所定の送信データをデータ部に含む第１のパケットを作成する処理を行う通信制御部と、

前記第１のパケットの少なくとも一部を暗号化して送信用暗号データを作成するクライアント用暗号化処理部と」

を有することに相当する構成を含むものである。

また、引用発明の上記構成における、「クライアント端末１０１」が、「クライアント端末１０１」を送信元とし「主装置１１０」をあて先として、送信用の暗号化されたデータをデータ部に含む、「復号」前の「パケット」を作成して送信する手段を有することと、本願発明１の

「前記クライアント装置」は、

「前記クライアント装置を送信元とし前記中継サーバ装置をあて先として、暗号化した前記第１のパケットをカプセル化し、前記送信用暗号データをデータ部に含み、所定のパケット識別コードが書き込まれた第２のパケットを作成して送信するパケット送信部」

を有することとは、

「前記クライアント装置」は、

「前記クライアント装置を送信元とし前記中継サーバ装置をあて先として、前記送信用暗号データをデータ部に含む第２のパケットを作成して送信するパケット送信部」

を有することである点で共通する。

（エ）引用発明は、「ユーザＡがサーバＺにパケットを送った場合」の「サーバ１２２からの返答パケットに対しては、上に述べたものと逆の手順で、クライアント端末１０１にパケットが送られる」ものであるから、それぞれ「主装置１１０」に含まれる構成の動作である、「識別情報制御部１１４」が「ユーザに向けてのパケットを受け取ったのであれば、パケットの送信先をユーザのアドレスに戻し、アクセス制御部１１３に向けてパケットを送信」し、「アクセス制御部１１３」が「ユーザに向けてのパケットを受け取ると、ユーザ認証部１１２にパケットを送信し」、「ユーザ認証部１１２」が「ユーザへ向かうパケットを受け取ると、パケットをＶＰＮトンネル経由でユーザに向けて送信」することにおいて、「識別情報制御部１１４」が「ユーザに向けてのパケットを受け取」ることは、「主装置１１０」が、「パケットに示された送信先に向けてのパケット」に対する「返答」すなわち応答として、「サーバ１２２」（「サーバＺ」）から返信された「ユーザに向けてのパケット」を受信することであるといえる。

また、「ユーザ認証部１１２」が「ユーザへ向かうパケットを受け取ると、パケットをＶＰＮトンネル経由でユーザに向けて送信」することにおける「ユーザへ向かうパケット」は、「識別情報制御部１１４」が「受け取った」「ユーザに向けてのパケット」の「送信先をユーザのアドレスに戻し」たものであり、「ユーザ認証部１１２」は「ＩＰｓｅｃによる暗号通信機能があ」ることから、「ユーザ認証部１１２」が「パケットをＶＰＮトンネル経由でユーザに向けて送信」することは、当該「送信先をユーザのアドレスに戻し」た「パケット」を暗号化して返信用の暗号化されたデータを作成し、「主装置１１０」を送信元とし「ユーザＡが」すなわち「クライアント端末１０１」をあて先として、返信用の暗号化されたデータをデータ部に含む「ＶＰＮトンネル経由」で「送信」する「パケット」を作成し、作成した「ＶＰＮトンネル経由」で「送信」する「パケット」を「送信」することであるといえる。

また、上記暗号化の対象が「送信先をユーザのアドレスに戻し」た「パケット」の少なくとも一部であることは明らかである。

（オ）上記（イ）、（エ）から、引用発明の「主装置１１０」は、

「復号」前の「パケット」を受信し、そのデータ部に含まれている「クライアント端末１０１」で作成された送信用の暗号化されたデータを「復号」して暗号化前の「パケット」を復元する手段と、

復元された暗号化前の「パケット」の送信元を「変換用アドレス」に変更することにより「パケットに示された送信先に向けてのパケット」を作成し、作成した「パケットに示された送信先に向けてのパケットを送信」する手段と、

「パケットに示された送信先に向けてのパケット」に対する応答として「サーバＺ」から返信された「ユーザに向けてのパケット」を受信し、「送信先をユーザのアドレスに戻し」た「パケット」の少なくとも一部を暗号化して返信用の暗号化されたデータを作成する手段と、

「主装置１１０」を送信元とし「クライアント端末１０１」をあて先として、返信用の暗号化されたデータをデータ部に含む「ＶＰＮトンネル経由」で「送信」する「パケット」を作成し、作成した「ＶＰＮトンネル経由」で「送信」する「パケット」を「送信」する手段と

を有するといえる。

そして、引用発明の上記構成において、返信用の暗号化されたデータをデータ部に含む「ＶＰＮトンネル経由」で「送信」する「パケット」、「ＶＰＮトンネル経由」で「送信」する「パケット」を「送信」する手段は、それぞれ、本願発明１の「前記返信用暗号データをデータ部に含む第５のパケット」、「パケット返信部」に相当する。

また、上記（ア）、（ウ）を踏まえると、引用発明の上記構成における、「主装置１１０」が、「復号」前の「パケット」を受信し、そのデータ部に含まれている送信用の暗号化されたデータを「復号」して暗号化前の「パケット」を復元する手段を有することと、本願発明１の

「前記中継サーバ装置は、

前記第２のパケットを受信し、受信した第２のパケットに前記所定のパケット識別コードが書き込まれている場合、そのデータ部に含まれている前記送信用暗号データを復号して前記第１のパケットを復元する中継サーバ用復号処理部」

を有することとは、

「前記中継サーバ装置は、

前記第２のパケットを受信し、そのデータ部に含まれている前記送信用暗号データを復号して前記第１のパケットを復元する中継サーバ用復号処理部」

を有することである点で共通し、引用発明の上記構成における、「主装置１１０」が、復元された暗号化前の「パケット」の送信元を「変換用アドレス」に変更することにより「パケットに示された送信先に向けてのパケット」を作成し、作成した「パケットに示された送信先に向けてのパケットを送信」する手段を有することと、本願発明１の

「前記中継サーバ装置」は、

「復元された前記第１のパケットの送信元を前記中継サーバ装置に変更することにより第３のパケットを作成し、作成した前記第３のパケットを送信するパケット転送部」

を有することとは、

「前記中継サーバ装置」は、

「復元された前記第１のパケットの送信元を特定のアドレスに変更することにより第３のパケットを作成し、作成した前記第３のパケットを送信するパケット転送部」

を有することである点で共通し、引用発明の上記構成における、「主装置１１０」が、「パケットに示された送信先に向けてのパケット」に対する応答として「サーバＺ」から返信された「ユーザに向けてのパケット」を受信し、「送信先をユーザのアドレスに戻し」た「パケット」の少なくとも一部を暗号化して返信用の暗号化されたデータを作成する手段を有することと、本願発明１の

「前記中継サーバ装置」は、

「前記第３のパケットに対する応答として前記対象サーバ装置から返信され、前記所定のパケット識別コードが書き込まれていない第４のパケットを受信し、受信した第４のパケットに前記所定のパケット識別コードが書き込まれていない場合、その少なくとも一部を暗号化して返信用暗号データを作成する中継サーバ用暗号化処理部」

を有することとは、

「前記中継サーバ装置」は、

「前記第３のパケットに対する応答として前記対象サーバ装置から返信された第４のパケットを受信し、少なくとも一部を暗号化して返信用暗号データを作成する中継サーバ用暗号化処理部」

を有することである点で共通し、また、引用発明の「主装置１１０」は、本願発明１の

「前記中継サーバ装置を送信元とし前記クライアント装置をあて先として、前記返信用暗号データをデータ部に含む第５のパケットを作成し、作成した前記第５のパケットを送信するパケット返信部」

に相当する構成を有するものである。

（カ）上記（エ）の返信用の暗号化されたデータは、「サーバ１２２からの返答パケットに対して」、「クライアント端末１０１にパケットが送られる」際に、「送信先をユーザのアドレスに戻し」た「パケット」を暗号化したものであるから、「クライアント端末１０１」は、返信用の暗号化されたデータをデータ部に含む「パケット」を受信し、そのデータ部に含まれている返信用の暗号化されたデータを復号して、「送信先をユーザのアドレスに戻し」た「パケット」を復元する手段を有すること、及び、「送信先をユーザのアドレスに戻し」た「パケット」から、そのデータ部に含まれている返信データを取り出す処理を行うことが、いずれも明らかである。

また、本願発明１の「第６のパケット」は、その「あて先」が「前記クライアント装置に変更された」ものであるから、引用発明の「送信先をユーザのアドレスに戻し」た「パケット」は、本願発明１の「第６のパケット」に相当する。

この点について、上記（ア）、（オ）を踏まえると、引用発明の「クライアント端末１０１」が上記手段を有することと、本願発明１の

「前記クライアント装置は、更に、

前記第５のパケットを受信し、そのデータ部に含まれている前記返信用暗号データを復号して前記第４のパケットを復元するクライアント用復号処理部」

を有することとは、

「前記クライアント装置は、更に、

前記第５のパケットを受信し、そのデータ部に含まれている前記返信用暗号データを復号してパケットを復元するクライアント用復号処理部」

を有することである点で共通する。

また、引用発明の「クライアント端末１０１」が上記処理を行うことと、本願発明１の

「前記通信制御部は、更に、前記第６のパケットのデータ部に含まれている返信データを取り出す処理を行う」こととは、

「前記クライアント装置は、あて先が前記クライアント装置に変更された第６のパケットのデータ部に含まれている返信データを取り出す処理を行う」

ことである点で共通する。

イ 上記アから、本願発明１と引用発明とは、以下の点で一致する。

（一致点）

「アクセスの対象となる対象サーバ装置に対してネットワークを介して接続し、パケット通信を行うためのパケット通信システムであって、

前記対象サーバ装置との間でパケット通信を行うクライアント装置と、前記クライアント装置と前記対象サーバ装置との間のパケット通信を中継する中継サーバ装置と、を備え、

前記クライアント装置は、

前記クライアント装置を送信元とし前記対象サーバ装置をあて先として、前記対象サーバ装置に対して送信すべき所定の送信データをデータ部に含む第１のパケットを作成する処理を行う通信制御部と、

続きを表示（全17行）

前記第１のパケットの少なくとも一部を暗号化して送信用暗号データを作成するクライアント用暗号化処理部と、

前記クライアント装置を送信元とし前記中継サーバ装置をあて先として、前記送信用暗号データをデータ部に含む第２のパケットを作成して送信するパケット送信部と、

を有し、

前記中継サーバ装置は、

前記第２のパケットを受信し、そのデータ部に含まれている前記送信用暗号データを復号して前記第１のパケットを復元する中継サーバ用復号処理部と、

復元された前記第１のパケットの送信元を特定のアドレスに変更することにより第３のパケットを作成し、作成した前記第３のパケットを送信するパケット転送部と、

前記第３のパケットに対する応答として前記対象サーバ装置から返信された第４のパケットを受信し、少なくとも一部を暗号化して返信用暗号データを作成する中継サーバ用暗号化処理部と、

前記中継サーバ装置を送信元とし前記クライアント装置をあて先として、前記返信用暗号データをデータ部に含む第５のパケットを作成し、作成した前記第５のパケットを送信するパケット返信部と、

を有し、

前記クライアント装置は、更に、

前記第５のパケットを受信し、そのデータ部に含まれている前記返信用暗号データを復号してパケットを復元するクライアント用復号処理部

を有し、

前記クライアント装置は、あて先が前記クライアント装置に変更され第６のパケットのデータ部に含まれている返信データを取り出す処理を行うパケット通信システム。」

ウ また、本願発明１と引用発明とは、以下の点で相違する。

（相違点１）

「第２のパケットを作成」する処理について、本願発明１では、「暗号化した前記第１のパケットをカプセル化」することが行われるものであるのに対して、引用発明では、「クライアント端末１０１」が「復号」前の「パケット」を作成」する際に、そのような処理が行われることが特定されるものではない点。

（相違点２）

「第２のパケット」の内容について、本願発明１では、「所定のパケット識別コードが書き込まれた」ものであるのに対し、引用発明では、「復号」前の「パケット」にそのようなデータが書き込まれることが特定されるものではない点。

（相違点３）

「前記第１のパケットを復元する」ことが、本願発明１では、「受信した第２のパケットに前記所定のパケット識別コードが書き込まれている場合」に行われるのに対して、引用発明では、そのような場合に暗号化前の「パケット」を復元することが特定されるものではない点。

（相違点４）

「第３のパケットを作成」する処理の「前記第１のパケットの送信元」の「変更」先が、本願発明１では、「前記中継サーバ装置」であるのに対して、引用発明では、「変換用アドレス」である点。

（相違点５）

本願発明１では、「第４のパケット」が、「前記所定のパケット識別コードが書き込まれていない」ものであり、「中継サーバ用暗号化処理部」の「暗号化」が、「受信した第４のパケットに前記所定のパケット識別コードが書き込まれていない場合」に行われるのに対して、引用発明では、「ユーザに向けてのパケット」が、本願発明１のように特定されるものではなく、また、「パケットをＶＰＮトンネル経由でユーザに向けて送信」する際に暗号化が行われるものの、本願発明１のような場合に行われることが特定されるものではない点。

（相違点６）

「中継サーバ用暗号化処理部」の「暗号化」が、本願発明１では、「第４のパケット」を対象として行われるのに対して、引用発明では、「ユーザに向けてのパケット」を対象としてではなく、「送信先をユーザのアドレスに戻し」た「パケット」を対象として行われる点。

（相違点７）

「クライアント用復号処理部」が「復元する」ものが、本願発明１では、「前記第４のパケット」であるのに対して、引用発明では、「送信先をユーザのアドレスに戻し」た「パケット」である点。

（相違点８）

本願発明１の「前記クライアント装置」は、「復元された前記第４のパケットのあて先を前記クライアント装置に変更することにより第６のパケットを作成するパケット受信部」を有するのに対して、引用発明の「クライアント端末１０１」はそれを有するものではない点。

（相違点９）

「前記クライアント装置」における「データ部に含まれている返信データを取り出す処理」の実行主体が、本願発明１では、「前記通信制御部」であるのに対して、引用発明では、暗号化前の「パケット」を作成する処理の実行主体と同一であることが特定されるものではない点。

（相違点１０）

本願発明１は、

「複数ｎ台のクライアント装置とこれらｎ台のクライアント装置のそれぞれに対応づけられたｎ台の中継サーバ装置とを備え、

各クライアント装置のパケット送信部は、それぞれ対応づけられた特定の中継サーバ装置宛に第２のパケットを送信し、

各中継サーバ装置のパケット返信部は、それぞれ対応づけられた特定のクライアント装置宛に第５のパケットを送信する」

ものであるのに対して、引用発明は、「クライアント端末１０１，１０２」のそれぞれに対応付けられた複数の「主装置１１０」を備えることや、対応付けられた「クライアント端末」と「主装置１１０」との間でパケットを送受信することが特定されるものではない点。

（２）判断

事案に鑑みて、相違点１０について先に検討する。

中継サーバ装置が、複数のクライアント装置のいずれかと他の通信装置との間で送受信されるパケットを中継する際、他の通信装置から中継サーバ装置を宛先として送信されたパケットを受信して、複数のクライアント装置のうちの適切なクライアント装置に送信するために、複数ｎ台のクライアント装置とこれらｎ台のクライアント装置のそれぞれに対応づけられたｎ台の中継サーバ装置とを備えるものとした上で、各クライアント装置が、それぞれ対応付けられた特定の中継サーバ装置宛にパケットを送信し、かつ、各中継サーバ装置が、それぞれ対応付けられた特定のクライアント装置宛にパケットを送信することは、引用文献１～３には記載されておらず、本願の出願日前において周知技術であったともいえない。

よって、他の相違点について検討するまでもなく、本願発明１は、当業者であっても、引用文献１～３に記載された発明に基づいて容易に発明をすることができたものであるとはいえない。

２ 本願発明２について

（１）対比

本願発明２と引用発明とを対比すると、本願発明２における本願発明１と共通の発明特定事項については上記１（１）アと同様であることから、両者は、同イの一致点において一致し、また、同ウの相違点１～９において相違するほか、次の相違点１１において相違する。

（相違点１１）

本願発明２は、

「前記パケット転送部が、復元された第１のパケットの送信元を示す情報を第３のパケットに埋め込む処理を行い、

前記中継サーバ用暗号化処理部が、受信した第４のパケットに埋め込まれていた前記送信元を示す情報を読み出してパケット返信部に伝達する処理を行い、

前記パケット返信部が、前記送信元を示す情報をあて先となるクライアント装置とする第５のパケットを作成する」

ものであるのに対して、引用発明は、「主装置１１０」に含まれる構成がそのような処理を行うことについて特定されるものではない点。

（２）判断

事案に鑑みて、相違点１１について先に検討する。

中継サーバ装置が、複数のクライアント装置のいずれかと他の通信装置との間で送受信されるパケットを中継する際、他の通信装置から中継サーバ装置を宛先として送信されたパケットを受信して、複数のクライアント装置のうちの適切なクライアント装置に送信するために、中継サーバ装置において、クライアント装置から送信されたパケットの送信元を示す情報をパケットに埋め込む処理を行い、他の通信装置に送信し、かつ、他の通信装置から送信されたパケットに埋め込まれている送信元を示す情報を読み出して、当該送信元を示す情報を宛先となるクライアント装置とするパケットを作成することは、引用文献１～３には記載されておらず、本願の出願日前において周知技術であったともいえない。

よって、他の相違点について検討するまでもなく、本願発明２は、当業者であっても、引用文献１～３に記載された発明に基づいて容易に発明をすることができたものであるとはいえない。

３ 本願発明３について

（１）対比

本願発明３と引用発明とを対比すると、本願発明３における本願発明１と共通の発明特定事項については上記１（１）アと同様であることから、両者は、同イの一致点において一致し、また、同ウの相違点１～９において相違するほか、次の相違点１２において相違する。

（相違点１２）

本願発明３は、

「前記中継サーバ装置が、更に、通信情報記録部を有し、

前記パケット転送部が、第３のパケットを送信する際に、復元された第１のパケットの送信元を示す情報と前記第３のパケットとの対応関係を示す対応関係情報を前記通信情報記録部に記録する処理を行い、

前記パケット返信部が、第５のパケットを送信する際に、前記通信情報記録部に記録されている前記対応関係情報に基づいて、第５のパケットの送信先を決定する」

ものであるのに対して、引用発明は、「主装置１１０」に含まれる構成がそのような処理を行うことについて特定されるものではない点。

（２）判断

事案に鑑みて、相違点１２について先に検討する。

中継サーバ装置が、複数のクライアント装置のいずれかと他の通信装置との間で送受信されるパケットを中継する際、他の通信装置から中継サーバ装置を宛先として送信されたパケットを受信して、複数のクライアント装置のうちの適切なクライアント装置に送信するために、中継サーバ装置が、他の通信装置にパケットを送信する際に、クライアント装置から送信されたパケットの送信元を示す情報と他の通信装置に送信するパケットとの対応関係を示す対応関係情報を記録し、クライアント装置にパケットを送信する際に、対応関係情報に基づいて、パケットの送信先を決定することは、引用文献１～３には記載されておらず、本願の出願日前において周知技術であったともいえない。

よって、他の相違点について検討するまでもなく、本願発明３は、当業者であっても、引用文献１～３に記載された発明に基づいて容易に発明をすることができたものであるとはいえない。

４ 本願発明４～１７，２０について

本願発明４～１７，２０は、本願発明１～３のいずれかを減縮した発明であり、相違点１０～１２のいずれかに係る構成を含むことから、本願発明１～３のいずれかと同様の理由により、当業者であっても、引用文献１～３に記載された発明に基づいて容易に発明をすることができたものであるとはいえない。

５ 本願発明１８，１９，２１，２２について

本願発明１８，１９，２１，２２は、「請求項１～１６のいずれかに記載のパケット通信システム」における、それぞれ、「クライアント装置」、（「クライアント装置」に含まれる構成に関する）「プログラム」、「中継サーバ装置」、（「中継サーバ装置」に含まれる構成に関する）「プログラム」の発明であるから、いずれも、本願発明１～１６のいずれかの「パケット通信システム」が存在することを前提とするものである。

そして、本願発明１～１６については、上記１～４で述べたとおり、引用文献１～３に記載された発明に基づいて当業者が容易に発明をすることができたものであるとはいえないから、本願発明１８，１９，２１，２２も、引用文献１～３に記載された発明に基づいて当業者が容易に発明をすることができたものであるとはいえない。

６ 小括

以上のとおりであるから、当審拒絶理由は解消した。

第７ 原査定について

令和５年８月２３日に提出された手続補正書により補正された請求項１～２２は、相違点１０～１２のいずれかに係る技術的事項を有するものとなった。

そして、少なくとも相違点１０～１２は実質的な相違点であるから、請求項１～１３，１６～２２は原査定における引用文献Ａに記載された発明ではなく、また、相違点１０～１２に係る技術的事項は、いずれも原査定における引用文献Ａには記載されておらず、本願出願日前における周知技術でもないので、本願発明１～２２は、当業者であっても、原査定における引用文献Ａに基づいて容易に発明をすることができたものではない。

よって、原査定を維持することはできない。

第８ むすび

以上のとおり、原査定の理由によって、本願を拒絶することはできない。

また、他に本願を拒絶すべき理由を発見しない。

よって、結論のとおり審決する。