{C} 中华人民共和国最高人民法院 民 事 判 决 书 （2020）最高法知民终258号 上诉人（原审原告）：上海沪景信息科技有限公司深圳分公司。

经营场所：广东省深圳市南山区粤海街道科技园南区高新南道赋安科技大厦B座1002。

负责人：陈刚，该公司总经理。

委托诉讼代理人：高玉光，北京市信利（深圳）律师事务所律师。

被上诉人（原审被告）：黄小勇，男，1979年6月5日出生，汉族，住广东省深圳市南山区。

上诉人上海沪景信息科技有限公司深圳分公司（以下简称沪景分公司）因与被上诉人黄小勇专利申请权权属纠纷一案，不服广东省深圳市中级人民法院（2018）粤03民初2764号民事判决，向本院提起上诉。

本院于2020年3月23日立案后依法组成合议庭对本案进行了审理。

本案现已审理终结。

沪景分公司上诉请求：1.撤销原审判决；

2.确认申请号为201610855264.4、名称为“一种基于伪装的网络空间安全防御方法及系统”的发明专利申请（以下简称涉案专利申请）的申请权人为沪景分公司；

3.判令黄小勇承担本案一审、二审诉讼费。

事实和理由：第一，原审法院违反法定程序，损害了沪景分公司的合法权益。

原审法院于2018年6月5日受理本案，同年12月13日开庭审理，2019年11月20日作出原审判决。

沪景分公司于2019年11月27日收到原审判决书。

一审程序历经一年零六个月，违反了《中华人民共和国民事诉讼法》（以下简称民事诉讼法）关于审理期限的规定。

第二，原审判决认定事实错误，适用法律错误。

根据沪景分公司提交的证据，可以证明涉案发明创造是迷网系统及/或诱捕系统的核心技术，而黄小勇在沪景分公司的本职工作就是组织参与涉案发明创造专利技术的研发测试。

涉案发明创造系黄小勇在沪景分公司任职期间做出的与其承担本职工作有关的发明创造，为职务发明创造，涉案发明创造的专利申请权应归属于沪景分公司。

黄小勇违反其与沪景分公司签订的《劳动合同书》及保密协议的相关约定，未经沪景分公司许可，擅自将沪景分公司研发团队共同研发的技术方案申请专利，意图据为己有，损害了沪景分公司的合法权益。

黄小勇未作答辩。

沪景分公司向原审法院提起诉讼，原审法院于2018年7月19日立案受理。

沪景分公司起诉请求：1.确认申请号为201610855264.4、名称为“一种基于伪装的网络空间安全防御方法及系统”发明专利为职务发明创造，判令涉案专利申请权属于沪景分公司；

2.黄小勇承担本案全部诉讼费。

原审法院认定事实： （一）黄小勇入职沪景分公司前的经历及黄小勇在沪景分公司处任职情况 黄小勇于2001年毕业于天津大学测量与控制专业本科，毕业后至2011年以前在通信行业就职。

2015年5月31日，黄小勇与深圳颐和网络科技有限公司（以下简称颐和公司）签订劳动合同，2016年4月27日与颐和公司解除劳动合同关系。

2016年5月3日，上海沪景信息科技有限公司与黄小勇签订劳动合同，约定合同为自签订日起的无固定期限的合同，黄小勇在测试管理部门担任测试部经理职务，其工作地点为深圳及根据上海沪景信息科技有限公司业务发展要求派遣的工作地。

在同年4月28日，双方曾签订《保密及竞业限制协议》，约定黄小勇对所知悉的商业秘密负有保密义务。

自前述劳动合同签订日始，黄小勇在沪景分公司处任测试部经理一职直至2017年2月。

黄小勇于该时间从沪景分公司离职时没有办理离职手续。

（二）涉案发明创造专利申请的相关情况 涉案专利申请的申请日为2016年9月27日，申请人和发明人为黄小勇。

涉案专利申请说明书载明：本发明实施例属于网络安全领域，尤其涉及一种基于伪装的网络空间安全防御方法及系统。

该发明的背景技术载明：SDN是由美国斯坦福大学CleanSlate研究组提出的一种新型网络创新架构，可通过软件编程的形式定义和控制网络，被认为是网络领域的一场革命，其本质的特点是控制平面和转发平面的分离。

此外，SDN通过开放的接口支持用户对网络处理行为进行控制，从而为新型互联网体系结构研究提供了新的实验途径，也极大的推动了下一代互联网的发展。

移动目标防御是美国近年来提出的网络空间“改变游戏规则”的革命性技术之一，其机制是构建动态可变形的网络，从而增强网络安全。

2012年美国北卡罗莱纳州立大学的研究小组提出了基于SDN的开放流随机主机转换（OFRHM）方法，利用开放流研究移动目标防御体系结构，实现IP地址的不可预知性及高速变换，同时保持配置的完整性，并最小化操作管理。

此外，Cisco公司和美国北卡罗莱纳州-夏洛特分校也提出了在SDN网络中按照概率随机化进行虚拟IP地址的动态变化，以构建移动目标防御系统。

上述方案都是通过基于构建动态可变形的网络实现网络地址变形，将真实网络地址隐藏从而达到增强网络安全的目的，防御恶意攻击者的主动性欠缺，不利于对恶意流量进行研究。

该发明的发明内容载明：本发明实施例提供了一种基于伪装的网络空间安全防御方法及系统，旨在解决现有的方法防御恶意攻击者的主动性欠缺，不利于对恶意流量进行研究的问题。

本发明实施例是这样实现的，一种基于伪装的网络空间安全防御方法，所述方法包括：控制器接收交换机转发的包括网络地址信息的IP分组数据包；

在所述网络地址信息与预存的伪装目标的虚拟网络地址匹配时，控制器下发第一组流表至所述交换机，所述第一组流表存储伪装目标的真实网络地址与伪装目标的虚拟网络地址的对应关系；

所述交换机根据接收的第一组流表，将所述网络地址信息从伪装目标的虚拟网络地址转换为伪装目标的真实网络地址。

本发明实施例的另一目的在于提供一种网络空间安全防御系统，所述系统包括：控制器和交换机；

所述控制器用于接收交换机转发的包括网络地址信息的IP分组数据包；

在所述网络地址信息与预存的伪装目标的虚拟网络地址匹配时，所述控制器下发第一组流表至所述交换机，所述第一组流表存储伪装目标的真实网络地址与伪装目标的虚拟网络地址的对应关系；

所述交换机根据接收的第一组流表，将所述网络地址信息从伪装目标的虚拟网络地址转换为伪装目标的真实网络地址。

在本发明实施例中，控制器接收交换机转发的包括网络地址信息的IP分组数据包，判断所述地址信息是否与预存的伪装目标的虚拟网络地址匹配，如果匹配，则下发存储伪装目标的真实网络地址与伪装目标的虚拟网络地址的对应关系的第一组流表至交换机，交换机根据接收的第一组流表将所述网络地址信息从伪装目标的虚拟网络地址转换为伪装目标的真实网络地址，从而实现了网络伪装目标防御，可以将网络中有限的伪装目标虚拟化成一个复杂的伪装网络，増加恶意流量调入伪装网络的几率，同时可以欺骗恶意流量或者违规流量，为研究其进攻意图提供便利性。

（三）沪景分公司为证明名称为“一种网络传输方法和网络传输装置”、专利号为201510262214.0的发明专利（以下简称在先专利）系案涉发明的基础技术、黄小勇在沪景分公司任职期间参与其诱捕系统的研发，以及诱捕系统系涉案发明创造的核心技术提交的证据及黄小勇的质证情况 1.在先专利的申请日为2015年5月21日，授权公告日为2018年3月2日，专利权人为上海沪景信息科技有限公司，发明人为黄小勇。

2016年4月8日，颐和公司与上海沪景信息科技有限公司签订《转让证明》，由颐和公司将在先专利的申请权转让至上海沪景信息科技有限公司。

在先专利说明书载明：本发明涉及通讯领域，具体涉及一种网络传输方法和网络传输装置。

该发明的背景技术载明：地址解析协议(ARP，AddressResolutionProtocol)是根据IP地址获取物理地址的一个传输控制协议/IP协议。

主机发送信息时将包含目标IP地址的ARP请求报文广播到网络上的所有主机，并接收ARP回应报文，因此确定目标主机的物理地址（MAC，MediaAccessControl）。

ARP是个早期的网络协议，其利用以太网的洪泛特点，能够很方便的用来查询主机的MAC。

互联网协议地址跳板攻击是一种常见的网络渗透技术，攻击者在使用第一台被入侵的主机作为跳板入侵内网主机时，通常都会使用网络扫描技术，通过侦查目标主机的周知端口来发现目标主机的薄弱点，从而发动攻击。

目前，常用的防止局域网安全技术主要有入侵防御系统、入侵检测系统杀毒软件、网络隔离和部署陷阱蜜罐等方法。

然而，现有的局域网安全技术存在以下几个问题：（1）多数是补救技术；

（2）成本较高；

（3）管理不易。

该发明的发明内容载明：本发明提供一种网络传输方法和网络传输装置，用于降低网络安全的维护成本和管理难度，提高网络的安全性和可靠性。

本发明第一方面提供一种网络传输方法，包括：接收来自网络侧设备的报文；

若上述报文为地址解析协议ARP请求报文，则检测上述报文中请求的互联网协议IP地址是否存在于预设的第一伪装地址信息中，其中，上述第一伪装地址信息包含需要伪装的1P地址以及伪物理地址；

若检测到上述报文中请求的IP地址存在于上述第一伪装地址信息中，则向上述网络侧设备发送携带上述第一伪装地址信息中的一伪物理地址的ARP回应报文。

本发明第二方面提供一种网络传输装置，包括：第一接收单元，用于接收来自网络侧设备的报文；

第一检测单元，用于当上述第一接收单元接收到的报文为地址解析协议ARP请求报文时，检测上述报文中请求的互联网协议IP地址是否存在于预设的第一伪装地址信息中，其中，上述第一伪装地址信息包含需要伪装的IP地址以及伪物理地址；

发送单元，用于当上述第一检测单元检测到上述报文中请求的互联网协议IP地址存在于预设的第一伪装地址信息中时，向上述网络侧设备发送携带上述第一伪装地址信息中的一伪物理地址的ARP回应报文。

由上可见，本发明中在接收到来自网络侧设备的ARP请求报文，且该ARP请求报文请求的IP地址存在于预设的第一伪装地址信息中时，向该网络侧设备发送携带第一伪装地址信息中的一伪物理地址的ARP回应报文，使得恶意的扫描者和攻击者仅能侦测到经伪装的伪物理地址，从而增加了主机及所在局域网抗扫描及抗攻击的能力，提高网络的安全性和可靠性，另外，相对于现有的局域网安全技术，本方案不需要频繁进行升级，有效降低了网络安全的维护成本和管理难度。

沪景分公司主张该在先专利技术是案涉发明的基础技术。

黄小勇质证认为其系该在先专利的唯一发明人，恰可证明黄小勇具有独立进行相关领域技术研发的能力，但不能证明其在沪景分公司处负有研发职责，且在先专利与涉案发明并无关联。

2.沪景分公司内部往来邮件中的相关内容：（1）2016年6月24日黄新建发给李鲜华、黄小勇等人的“产品介绍”并附文档压缩包，写明：“这是公司目前做的四个产品介绍发给大家，看看我们现在的产品能否达到此要求。

”上述产品包括“网络诱捕器系统”“迷网系统”“安全可信接入代理设备（SAP）”。

“网络诱捕器系统”的简述称该系统提供了一种创新的内网异常访问的主动捕获方法，该系统由诱导模块和蜜罐捕获模块组成，系统中的诱导模块支持通过IP地址/Vlan/逻辑Port的伪装功能，将蜜罐捕获模块的地址伪装到多个VLAN上的多个伪装IP地址中。

“迷网系统”的简述称该系统由安全可信接入代理（SAP）设备、安全接入控制器（SAC）和内网攻击诱捕系统组成。

迷网系统将传统的网络安全技术以软硬件结合的方式下沉到网络终端接入层，并通过安全策略集中管理控制平台统一管理和控制，加强了软件定义网络（SDN）的安全性，以促进软件定义网络技术在更广泛的企业网中得到应用。

“安全可信接入代理设备（SAP）”的简述称该设备是一种核心技术完全自主开发的网络安全接入控制设备。

（2）2016年7月11日《上海沪景信息科技有限公司（产品）项目研发工作记录表》部分页面，载明项目名称为“内网关键网段典型用户行为管控平台”，项目组长为黄小勇，项目编号为“cp2016-02”，启动时间为“2016.6.30”，工作分类包括“系统架构设计”“芯片研发”“硬件研发”“软件研发”“测试、质量”，所对应的（人员）姓名为？

、陈刚、鲁志国、苏江明、黄小勇。

（3）2016年7月14日《黄小勇发给黄新建、汤雯详细信息》部分页面，显示产品名称为“内网关键网段典型用户行为管控平台”以及产品项目应用定位情况，在该邮件中，黄小勇阐述了对于公司管理目标的建议。

（4）2016年8月1日韩毅发给黄小勇、苏江明等人的主题为“156项目一期用例”的电子邮件。

（5）发件人为黄小勇，发送时间为2017年1月9日，收件人为官宇、张海娟、韩毅、陈刚，主题为“镜像包出现0端口号问题的处理建议”的电子邮件载明：“官总反映，诱捕系统某版本镜像报文出现端口号为0的情况，误以为是发现的一宗新型攻击，在市场推广时造成极大困扰，严重影响公司形象，可以定义为事故级。

经调查，责任分割如下：研发部：特性研发质量不高，出现低级问题，负主要责任；

测试部：因为是继承特性，没有严格测试，出现漏测情况，负主要责任；

市场部：对异常行为调查不深，轻易定性为攻击，给客户下结论过早，负次要责任。

我作为产品经理提出处理意见如下：韩毅，特性研发人员，负直接责任，罚款1000元；

张海娟，特性测试人员，负直接责任，罚款500元；

陈刚，芯片部经理，负直接领导责任，罚款1000元；

黄小勇，测试部经理，负直接领导责任，罚款1000元。

市场部处理意见请自行研究。

”对上述证据（1）黄小勇质证认为，该产品介绍中涉及的产品与黄小勇测试工作所涉技术均系沪景分公司实施在先专利过程中所进行的后续技术完善，与涉案发明无任何关联。

黄小勇对上述证据（2）、（3）、（5）质证认为，该部分证据仅能证明黄小勇曾在沪景分公司处工作，其中涉及的“内网关键网段典型用户行为管控平台”是基于迷网系统补充的新功能的产品，不能证明沪景分公司产品的技术与涉案发明创造有关。

黄小勇对上述证据（4）质证认为，该证据均系沪景分公司实施在先专利（见在先专利说明书第10页第0066段、第0067段）所留下的记录文档，与涉案发明创造无关。

3.《中科院上海微系统所及沪景信息安全技术联合实验室产品手册》，其中载明了“网络动态伪装取证系统通过IP地址跳变和网络动态变形技术，运用伪装、诱捕等手段，诱导入侵者进入预设陷阱并加以捕获，实现对网络入侵行为主动取证，为网络安全防御提供了一个全新的解决方案。

”（见后页附图）沪景分公司主张，在该手册对上述“网络动态伪装取证系统”构成部分包括“安全可信接入代理设备（SAP）”“安全接入控制器（SAC）”“攻击主动取证系统（ANF）”的介绍当中，可以看到与涉案发明专利申请权利要求1、2、6、7相对应的内容。

黄小勇质证认为该产品手册的制作主体并非沪景分公司，而是沪景分公司所属总公司与中科院上海微系统所联合成立的科研机构，故该证据与本案无关。

而且，上述证据均系沪景分公司实施其总公司从颐和公司受让的在先专利技术的证据，与涉案发明无任何关联。

4.《上海沪景信息科技有限公司测试建议书及自测报告——诱捕系统V1.02016-9-19》，沪景分公司主张其中“2.测试环境2.1功能测试拓扑”项下的“诱捕系统”示意图（见后页附图）反映了涉案发明创造的核心技术。

5.2017年3月国家信息技术安全研究中心对上海沪景信息科技有限公司的网络诱捕系统（V1.0）出具的《测试报告》，沪景分公司主张，在该报告对“4.检测要求和方法4.1.1网络虚拟化配置”的测试步骤第4点“配置虚拟化策略”，即“将蜜罐服务器的真实地址转换为伪装服务器地址”与涉案发明专利申请权利要求的内容是一致的。

6.2017年8月22日上海市机关事务管理局信息中心与上海沪景信息科技有限公司签订的《购销合同》，由上海市机关事务管理局信息中心向上海沪景信息科技有限公司购买“沪景ＡＮＴ入侵检测系统（千兆）”（硬件）和“沪景主动网络诱捕系统Ｖ1.0”（软件）各一部，单价分别为40000元和158000元。

上述合同的《产品验收回执单》注明：沪景主动网络诱捕系统Ｖ1.0（软件）的交付介质为2台MINIPC。

上海市机关事务管理局信息中心为上述购买产品开具了增值税专用发票。

黄小勇对上述证据4、5、6质证认为，上述证据均系沪景分公司实施其总公司从颐和公司受让的在先专利技术的证据，与涉案发明创造无任何关联。

7.2016年12月21日黄小勇填报的《上海沪景信息科技有限公司2016年度工作述职表》、测试部技术线岗位职责及岗位要求一览表，岗位描述及职责为“组织测试部日常工作”，年度完成工作情况概述中载明项目名称为“SAP/诱捕”、工作要点描述为“蜜罐系统研发及测试SAP/诱捕系统客户演示及技术支持”。

黄小勇对上述证据质证认为，沪景分公司测试部门的主要职责是对研发部门的研发技术成果进行测试，黄小勇时任沪景分公司测试部经理，其职责更多是对测试部门进行人事管理与工作安排，故其本职工作没有任何技术研发的内容。

（四）沪景分公司所属总公司上海沪景信息科技有限公司的相关情况 上海沪景信息科技有限公司原名上海沪景机电科技发展有限公司，其于2016年2月5日变更为现名。

同日，该司经营范围由“节能产品专业技术领域内的技术服务、节能设备、电子元器件、灯具、照明电源、五金交电的销售”变更为“从事信息科技、计算机软硬件、网络科技专业领域内的技术开发、技术咨询、技术转让、技术服务，计算机软硬件的研发、安装、销售，集成电路设计，计算机系统集成，数据处理服务，网络综合布线，电子产品的销售”。

沪景分公司于2018年5月31日在其总公司上海沪景信息科技有限公司官网所打印的网页显示了“网络攻击防护检测系统”和“主动网络入侵诱捕系统”的概况。

（五）黄小勇为证明涉案发明创造系其个人的发明创造提交的证据及沪景分公司的质证情况 黄小勇提交沪景分公司所属总公司官网“公司简介”网页以及电子邮件页面，证明该公司系一家以防火墙芯片开发为特色的技术公司，不具备案涉发明OF-SWITCH控制软件开发条件与能力，而黄小勇在颐和公司工作期间就已经开始涉案发明创造的研发。

沪景分公司对黄小勇该部分证据的证明目的不予认可。

黄小勇还提交了网页资料及英文论文，证明黄小勇利用互联网可获取的公开技术资料研发了涉案发明创造的技术方案，而对于该发明的OF-SWITCH交换机，在国内只有华为等极少数公司有生产能力，沪景分公司不具备相关物质技术条件。

黄小勇提交的百度百科“OpenFlow”词条显示：“OpenFlow，一种网上通信协议，属于数据链路层，能够控制网上交换器或路由器的转发平面，借此改变网上数据包所走的网上路径。

OpenFlow能够启动远程的控制器，经由网上交换器，决定网上数据包要由何种路径通过网络交换机。

这个协议的发明者，将它当成SDN的启动器……OpenFlow是这种网络创新思想的强有力的推动者。

OpenFlow交换机将原来完全由交换机/路由器控制的报文转发过程转化为由OpenFlow交换机和控制服务器来共同完成，从而实现了数据转发和路由控制的分离。

控制器可以通过事先规定好的接口操作来控制OpenFlow交换机中的流表，从而达到控制数据转发的目的。

”上述证据经质证，沪景分公司对黄小勇的证明目的不予认可。

（六）沪景分公司主张涉案发明创造系黄小勇所属的沪景分公司内部团队人员共同完成，该团队系临时组合因而没有名称，团队人员包括前述沪景分公司证据2.（5）中发件人为黄小勇、发送时间为2017年1月9日、主题为“镜像包出现0端口号问题的处理建议”的电子邮件中出现的官宇、张海娟、韩毅、陈刚等人，团队研发产品名称为“诱捕系统”。

原审法院认为：根据《中华人民共和国专利法》（以下简称专利法）第六条规定，执行本单位的任务或者主要是利用本单位的物质技术条件所完成的发明创造为职务发明创造。

职务发明创造申请专利的权利属于该单位；

申请被批准后，该单位为专利权人。

非职务发明创造，申请专利的权利属于发明人或者设计人；

申请被批准后，该发明人或者设计人为专利权人。

《中华人民共和国专利法实施细则》第十二条规定，执行本单位的任务所完成的职务发明创造，是指在本职工作中作出的发明创造，履行本单位交付的本职工作之外的任务所作出的发明创造，或者退休、调离原单位后或者劳动、人事关系终止后1年内作出的与其在原单位承担的本职工作或者原单位分配的任务有关的发明创造。

沪景分公司在本案中明确主张涉案发明创造系黄小勇在本职工作中参与完成的发明创造，属于职务发明创造，涉案专利申请权应归属沪景分公司所有，故本案审查重点即双方当事人争议焦点应在于涉案发明创造是否系黄小勇在沪景分公司处承担的本职工作中作出。

首先，关于沪景分公司蜜罐系统、诱捕系统及迷网系统之间的关系，以及沪景分公司所属总公司从颐和公司受让的在先专利与上述各系统产品之间的关系问题。

根据2016年6月24日沪景分公司内部邮件中有关公司产品的介绍，“迷网系统”由安全可信接入代理（SAP）设备、安全接入控制器（SAC）和诱捕系统（ANF）组成，是一种以软硬件结合的方式实现传统网络安全的技术。

诱捕系统系迷网系统的组成部分，是一种对内网（局域网）异常访问的主动捕获方法，由诱导模块和蜜罐系统组成，诱导模块可将蜜罐捕获模块的地址伪装到多个虚假的IP地址中。

SAP（安全可信接入代理设备）和SAC（安全接入控制器）亦是迷网系统中的组成部分。

沪景分公司产品介绍中所称的“核心技术完全自主开发”，即沪景分公司欲在传统网络通信协议下使用其自主技术研制SAP和SAC。

沪景分公司提交证据显示诱捕系统（包括诱导模块防火墙硬件和蜜罐系统软件）于2017年后已经研制出成品并在市场销售，而迷网系统（SAP）还处于试制阶段（上述各种系统之间的关系如沪景分公司产品介绍中的图例所示）。

在先专利的名称为“一种网络传输方法和网络传输装置”，涉及传统网络通信领域，其所要解决的技术问题是通过散布假地址实现对恶意流量的诱捕功能，沪景分公司的诱捕系统是对在先专利的后续研发。

迷网系统 诱捕系统 其次，关于黄小勇在沪景分公司处承担的本职工作的内容。

根据黄小勇《上海沪景信息科技有限公司2016年度工作述职表》所填报的年度完成工作情况，其所参与的项目名称为“SAP/诱捕”，工作要点描述为“蜜罐系统研发及测试SAP/诱捕系统客户演示及技术支持”，可以证明黄小勇在沪景分公司工作期间的本职工作为蜜罐系统的研发及测试、诱捕系统及SAP（试制阶段）的测试。

再次，涉案发明创造是否是黄小勇在其本职工作中所作出的发明创造，以及涉案发明创造是否与黄小勇在沪景分公司处的本职工作相关。

对此，原审法院从黄小勇本职工作与涉案发明各自所属技术领域、所要解决的技术问题、技术差距以及技术手段的传承性等四个方面展开论述。

从技术领域角度而言，黄小勇在沪景分公司处所从事的包括蜜罐系统的研发、诱捕系统及SAP的测试等工作，均系实施在先专利，即黄小勇的本职工作属于传统数据通信网络技术领域。

从涉案发明创造的背景技术可知，该发明属于新一代数据通信网络技术领域，基于用以实现新型网络架构SDN网络技术的一种通信标准OpenFlow而研发。

根据在先专利的说明书以及展示沪景分公司上述产品性能的相关证据，均未涉及新一代数据通信网络技术。

因此，虽然二者同属于通信技术领域，但黄小勇的本职工作与涉案发明创造分属于采用不同通信标准的新、旧网络技术领域。

从二者所解决的技术问题角度而言，在先专利涉及一种同时具有ARP代理功能和地址转换功能的网络传输装置和控制该两种功能的一种网络传输方法。

ARP代理功能是传统的蜜罐软件的基本功能，地址转换功能则广泛的存在于防火墙、家用路由器等产品中，上述功能均属于现有的网络安全技术范畴。

沪景分公司将ARP代理功能加入到其防火墙硬件中，与防火墙具有的地址转换功能一同实现了在先专利的诱捕功能，沪景分公司将该部分产品称为诱捕系统。

沪景分公司还研发其称之为SAC和SAP的产品，用以实现ARP代理和地址转换的部分功能，并与诱捕系统组成迷网系统。

沪景分公司的诱捕系统（蜜罐系统）及迷网系统均为解决怎样提高传统网络中的局域网的安全性问题。

从涉案发明创造的背景技术和发明内容可知，由于在新型OpenFlow网络标准下，开放流随机主机转换技术（OFRHM）所构建的移动目标防御系统只能隐藏真实网络地址，存在不能主动防御恶意攻击者的缺陷。

而涉案发明创造即为解决这一问题，将网络中有限的伪装目标虚拟化为一个复杂的伪装网络，欺骗恶意流量的同时可以增加恶意流量的调入比率，从而对恶意流量的研究提供便利。

虽然沪景分公司技术与涉案发明创造均可提供“散布假地址”功能，但由于涉案发明创造涉及新型OpenFlow网络标准下大型网络的控制和交换技术，除了“散布假地址”功能之外，还可提供“隐藏真网络，散布假网络”的功能，其技术方案的其他功能亦实现于大型网络中，相比前述沪景分公司仅涉及局域网中主机的网络安全技术，二者所要解决的技术问题显然存在实质性差异。

从技术差距的角度而言，二者存在如下三个方面的技术差距：第一是通信标准的不同。

如前所述，在先专利以及沪景分公司为实施该专利的诱捕系统和迷网系统均属传统网络通信标准领域的技术范畴。

涉案发明创造系围绕完全不同于传统网络通信技术的新一代网络通信标准OpenFlow研发的技术方案。

第二是二者路由控制技术所涉网络不同。

在先专利公告文件以及沪景分公司有关其诱捕系统、迷网系统的证据材料显示，沪景分公司的技术仅涉及传统网络中的局域网中的主机，并不具有在互联网等大型网络中提供路由和交换功能的能力。

涉案发明创造的背景技术OpenFlow网络技术是为实现在大型网络的路由功能和交换功能，故涉案发明创造系应用于大型网络的技术方案。

第三是技术方案的不同。

在先专利对于实现诱捕功能所采用的“网络传输方法”技术方案如下：判断来自网络侧的请求报文是否与预设条件中的ARP请求报文相匹配，如果匹配成功，则响应一带伪装MAC地址的ARP响应报文，即散布假地址；

如果匹配不成功，则响应真实的MAC地址。

该专利同时还提供了一种实现上述技术方案的网络传输装置。

沪景分公司产品说明中所述的“IP地址跳变和网络动态变形技术”的功能系通过其采用芯片架构的SAP和SAC实现。

然而，沪景分公司有关SAP的所有证据仅提及前述功能，并未显示其SAP和SAC系采用何种技术方案予以实现上述功能。

涉案专利申请“一种基于伪装的网络空间安全防御方法”涉及基于OpenFlow协议的SDN控制器和OF-Switch交换机，其用于实现“隐藏真网络，散布假网络”的技术方案如下：控制器接收交换机转发的网络地址信息，当该地址信息与预存的伪装目标的虚拟网络地址匹配时，控制器下发存储伪装目标真实网络地址与伪装目标虚拟网络地址的对应关系的第一组流表至交换机；

交换机根据接收的第一组流表，将所述网络地址信息从伪装目标的虚拟网络地址转换为伪装目标的真实网络地址。

该专利同时提供了一种用于实现上述技术方案的网络安全防御系统，该系统必须包括基于OpenFlow协议的SDN控制器和OF-Switch交换机等部件。

由此可见，在先专利技术方案并未涉及到OpenFlow控制器和OF-Switch交换机，在先专利的ARP报文亦不同于案涉发明中OpenFlow控制器下发的流表。

综上，黄小勇的本职工作与涉案发明创造之间存在根本性的技术差距，二者属于不同的技术。

从二者的技术手段之间的传承性而言，如前所述，由于黄小勇的本职工作与涉案发明创造所涉技术领域是新、旧代际的网络通信技术领域，由此决定涉案发明创造的技术起步点远高于沪景分公司的技术。

沪景分公司的技术核心是传统网络通信标准下局域网中的防火墙硬件及芯片技术，黄小勇在沪景分公司处工作时接触的也仅限于该通信标准的局域网中的蜜罐系统软件研发以及SAP的测试。

然而，涉案发明创造则涉及新一代网络通信标准下的大型网络的路由控制技术。

因此，二者之间并不存在技术手段之间的传承关系。

此外，由于黄小勇具有测量与控制专业高等教育背景，且自本科毕业后一直在通信行业任职，其在颐和公司工作期间作为唯一发明人研发了在先专利，上述事实可以证明黄小勇个人具备在网络通信领域的研发能力。

最后，当事人对自己提出的主张，有责任提供证据证明。

沪景分公司主张黄小勇在本职工作中参与完成涉案发明创造并意图申请专利据为己有，应对此承担相应的举证责任。

综观沪景分公司提交的在案证据，仅能证明沪景分公司在从事在先专利的后续研发，即通过其诱捕系统和迷网系统实现在先专利所要解决的提高传统网络通信标准下局域网安全性能的问题，沪景分公司的技术亦限于传统网络通信技术领域，没有任何证据可以证明沪景分公司在黄小勇在职期间围绕涉案发明创造所属的新一代通信标准OpenFlow网络技术展开立项、研发、试制等工作，以及黄小勇参与到该部分工作当中。

因此，应由沪景分公司自行承担举证不能的不利后果。

综上，原审法院判决：驳回沪景分公司的诉讼请求。

案件受理费1000元，由沪景分公司负担。

本院二审期间，沪景分公司围绕其上诉请求，向本院提交了三份新证据：证据1为张江国家自主创新示范区专项发展资金项目可行性方案，拟证明沪景分公司的诱捕系统与涉案专利申请的技术方案密切相关；

证据2为诱捕网络主动防护检测系统，拟证明沪景分公司的诱捕系统产品及其网络应用环境与涉案专利申请的技术方案密切相关；

证据3为社保缴费记录及企业公示报告，拟证明黄小勇的前任职单位注销前，其专利技术、全体技术人员及相应业务整体转移给沪景分公司。

黄小勇提交书面质证意见，认为：对于证据1的真实性、合法性认可，关联性与证明目的不认可。

从形式看，该证据首页注明该文件产生于2017年5月18日，而黄小勇已于2017年3月从沪景分公司离职，且涉案专利申请日为2016年6月2日，故该文件与黄小勇、涉案发明创造均无关。

从内容看，该证据涉及的技术方案并不涉及开放流（OpenFlow）以及OFRHM等相关技术，故与涉案发明创造无关。

对于证据2的真实性、合法性认可，关联性与证明目的不认可。

该证据仅为沪景分公司某产品前面板照片，不能反应任何网络应用环境，涉案发明创造是计算机软件的相关发明，不依赖于沪景分公司的任何产品形态，故该证据与涉案发明创造无关。

对于证据3的真实性、合法性认可，关联性与证明目的不认可。

该证据不能证明沪景分公司的前述证明目的。

本院的认证意见为：对于证据1，本院确认该证据的真实性、合法性，由于该证据中涉及的技术方案内容即为沪景分公司主张的“诱捕系统”“蜜罐系统”，故对于其与本案的关联性，本院将结合查明的事实，在本判决说理部分一并予以认定。

对于证据2，本院确认该证据的真实性、合法性，但由于该证据仅能反映沪景分公司某一产品的外观，即使认定该产品系沪景分公司的诱捕系统产品，也不能证明沪景分公司的诱捕系统产品及其网络应用环境与涉案专利申请的技术方案相关，故本院对该证据不予采信。

对于证据3，本院确认该证据的真实性、合法性，但由于该证据仅能证明案外人颐和公司企业变更的相关情况，与涉案发明创造是否为黄小勇任职沪景分公司期间在本职工作中作出的发明创造无关，故本院对该证据不予采信。

本院经审理查明，原审法院查明的事实属实，本院予以确认。

本院认为，根据沪景分公司的上诉请求、理由，本案二审的焦点问题是：1.涉案专利申请权是否应归属于沪景分公司；

2.原审法院是否严重违反法定程序，损害了沪景分公司的合法权益。

（一）涉案专利申请权是否应归属于沪景分公司 围绕这一焦点问题，当事人在二审中的主要争议在于，涉案发明创造是否为黄小勇任职沪景分公司期间在本职工作中作出的发明创造。

沪景分公司上诉主张，涉案发明创造与该公司的SAP/诱捕、蜜罐系统等产品密切相关，而黄小勇在沪景分公司的本职工作就是组织、参与迷网系统及/或诱捕系统的研发测试，故涉案发明创造与黄小勇在沪景分公司的本职工作密切相关，属于黄小勇在本职工作中作出的发明创造，为职务发明创造。

对此，本院认为，判断一项发明创造是否为发明人在本职工作中作出的发明创造，应当具体考察发明人的工作职责范围、具体工作内容等是否与发明创造的研发存在关联，不能简单地认为，只要发明创造与发明人所在单位的业务领域具有一定联系就认定该发明创造为发明人在本职工作中作出的发明创造。

1.黄小勇的工作职责范围与涉案发明创造的研发是否存在关联 关于黄小勇的工作职责范围，本院认为，确定发明人的工作职责范围，可以结合发明人的职务、岗位职责、所在部门的业务范围等因素予以综合确定。

本案中，自2016年5月3日入职沪景分公司至2017年2月离职，黄小勇一直担任沪景分公司“测试部经理”一职。

根据沪景分公司在原审中提交的证据“黄小勇填报的《上海沪景信息科技有限公司2016年度工作述职表》”，以及“测试部技术线岗位职责及岗位要求一览表”，可知黄小勇作为测试部经理其岗位职责为“组织测试部日常工作”，岗位要求为“完成产品测试相关工作”，其参与的项目名称为“SAP/诱捕”，工作要点描述为“蜜罐系统研发及测试SAP/诱捕系统客户演示及技术支持”。

此外，根据沪景分公司在原审中提交的证据“发件人为黄小勇、主题为‘镜像包出现0端口号问题的处理建议’的电子邮件”，可知在沪景分公司内部参与诱捕系统项目工作的部门包括研发部、测试部、市场部等部门；

该邮件还对沪景分公司诱捕系统出现事故级问题时各部门的责任划分予以明确，“研发部：特性研发质量不高，出现低级问题，负主要责任；

测试部：因为是继承特性，没有严格测试，出现漏测情况，负主要责任；

市场部：对异常行为调查不深，轻易定性为攻击，给客户下结论过早，负次要责任。

”可见，沪景分公司内部设有专门的研发部门即“研发部”，而黄小勇担任经理的部门为“测试部”，该部门的业务范围是对研发部的研发成果进行测试。

因此，无论是考察黄小勇的职务、岗位职责，还是考察黄小勇所在部门的业务范围，其工作职责范围均不涉及“研发”的工作内容与职责，与涉案发明创造的研发不具有关联性。

2.黄小勇的具体工作内容是否与涉案发明创造的研发存在关联 黄小勇的工作职责范围虽与涉案发明创造的研发不具有关联性，但黄小勇是否基于“测试新开发产品”等具体工作内容从而获得重要数据、技术启发，进而研发出涉案发明创造，对此问题，本院分析如下。

沪景分公司与黄小勇均认可，黄小勇的本职工作主要围绕蜜罐系统、SAP/诱捕系统工作项目，两者均从属于沪景分公司的迷网系统产品；

双方的分歧在于，沪景分公司上诉称涉案发明创造是迷网系统及/或诱捕系统的核心技术，黄小勇则主张涉案发明创造与蜜罐系统、SAP/诱捕系统无关。

本院认为，首先，从技术领域来看，根据沪景分公司的产品介绍以及《网络诱捕系统V1.0测试报告》，可知沪景分公司的诱捕系统系迷网系统的组成部分，是一种对内网（局域网）异常访问的主动捕获方法，由诱导模块和蜜罐系统组成，主要涉及“对已经渗透入内部网络的未知特征木马和病毒具有发现和捕获作用”的局域网防御，同时，诱捕系统与安全可信接入代理设备（SAP）、安全接入控制器（SAC）共同组成迷网系统，是一种以软硬件结合的方式实现传统网络安全的技术。

另一方面，根据涉案专利申请说明书“背景技术”部分的记载，可知涉案发明创造涉及软件定义网络（SDN，SoftwareDefineNetwork），这是一种新型网络创新架构，其核心技术OpenFlow（开放流）通过将网络设备控制面与数据面分离开来，从而实现网络流量的灵活控制，使网络作为管道变得更加智能。

可见，涉案发明创造与沪景分公司迷网系统产品所处技术领域不同，前者属于新型网络即软件定义网络技术领域，而后者属于传统网络领域。

其次，从解决的技术问题来看，沪景分公司的诱捕系统、蜜罐系统及迷网系统是为了在传统网络环境中解决局域网的安全性问题；

而涉案发明创造则是基于新型软件定义网络（SDN），为了解决开放流随机主机突变技术（OFRHM）所构建的移动目标防御系统只能隐藏真实网络地址，存在不能主动防御恶意攻击者的问题。

可见，涉案发明创造与沪景分公司迷网系统产品所解决的技术问题大相径庭。

由于涉案发明创造与黄小勇本职工作涉及的沪景分公司迷网系统产品在技术领域、所解决的技术问题等方面存在实质差异，故可以认定黄小勇的具体工作内容与涉案发明创造的研发不具有关联性。

综上，综合考虑黄小勇任职沪景分公司期间的工作职责范围、具体工作内容，根据沪景分公司在本案中提交的证据，不能认定涉案发明创造系黄小勇任职沪景分公司期间在本职工作中作出的发明创造。

原审法院对此认定并无不当，沪景分公司该项上诉理由不能成立，本院不予支持。

（二）原审法院是否严重违反法定程序，损害了沪景分公司的合法权益 沪景分公司上诉称，原审法院对本案的审理超出民事诉讼法关于审理期限的规定，严重违反法定程序，损害了其合法权益。

本院认为，根据民事诉讼法第一百七十条第一款第四项以及《最高人民法院关于适用的解释》第三百二十五条的规定，沪景分公司关于原审法院超出审理期限严重违反法定程序的上诉理由不能成立，本院不予支持。

综上所述，沪景分公司的上诉请求不能成立，应予驳回；

原审判决认定事实清楚，适用法律正确，应予维持。

依照《中华人民共和国民事诉讼法》第一百七十条第一款第一项规定，判决如下： 驳回上诉，维持原判。

二审案件受理费1000元，由上海沪景信息科技有限公司深圳分公司负担。

本判决为终审判决。

审判长　　岑宏宇 审判员　　何　鹏 审判员　　陈瑞子 二〇二〇年六月二十四日                                                  法官助理 李易忱                                                     书记员  郑帅                              裁判要点 案　　号 （2020）最高法知民终258号 案　　由 专利申请权权属纠纷 合议庭 审判长：岑宏宇 审判员：何鹏、陈瑞子 法官助理：李易忱 书记员：郑帅 裁判日期 2020年6月24日 涉案专利 “一种基于伪装的网络空间安全防御方法及系统”发明专利（申请号：201610855264.4） 关键词 权属；

职务发明创造；

本职工作 当事人 上诉人（原审原告）：上海沪景信息科技有限公司深圳分公司；

被上诉人（原审被告）：黄小勇。

裁判结果 驳回上诉，维持原判。

原判决主文：驳回上海沪景信息科技有限公司深圳分公司的全部诉讼请求。

涉案法条 《中华人民共和国专利法》第六条；

《中华人民共和国专利法实施细则》第十二条。

法律问题 本职工作中职务发明创造的认定 裁判观点 判断一项发明创造是否为发明人在本职工作中作出的发明创造，应当具体考察发明人的工作职责范围、具体工作内容等是否与发明创造的研发存在关联，不能简单地认为，只要发明创造与发明人所在单位的业务领域具有一定联系就认定该发明创造为发明人在本职工作中作出的发明创造。

注：本摘要并非判决书之组成部分，不具有法律效力。