2015-013637

特願２０１４－５０２７０９「バーチャルマシーンモニタベースのアンチマルウェアセキュリティのためのシステム及び方法」拒絶査定不服審判事件〔平成２４年１０月　４日国際公開、ＷＯ２０１２／１３５１９２、平成２６年　６月１９日国内公表、特表２０１４－５１４６５１〕について、次のとおり審決する。

【結　論】 本件審判の請求は、成り立たない。

【理　由】 １．手続の経緯 本願は，２０１２年３月２７日（パリ条約による優先権主張外国庁受理２０１１年３月２８日（以下，「優先日」という。），米国，２０１１年３月２９日，米国，２０１１年３月３１日，米国）を国際出願日とする出願であって，平成２６年８月８日付けの拒絶理由通知に対して，同年１１月１２日に意見書が提出されるとともに手続補正がなされたが，平成２７年３月１１日付けで拒絶査定がなされ，これに対して，同年７月１７日に拒絶査定不服審判の請求がなされたものである。 ２．本願発明 本願の請求項１に係る発明（以下，「本願発明」という。）は，平成２６年１１月１２日に提出された手続補正書により補正された特許請求の範囲の請求項１に記載された事項により特定される次のとおりのものである。 「電子デバイスをセキュアにするシステムであって， メモリと， プロセッサと， 前記プロセッサによる実行のため前記メモリにある１以上のオペレーティングシステムと， 前記オペレーティングシステムに通信接続される前記電子デバイスのリソースと， 前記リソースにアクセスする前記電子デバイスのすべてのオペレーティングシステムより下位のレベルにおいて前記電子デバイス上で実行されるよう構成されるバーチャルマシーンモニタと， 前記リソースにアクセスする前記電子デバイスのすべてのオペレーティング（当審注：「オペレーティング」は「オペレーティングシステム」の明らかな誤記と認められる。）より下位のレベルにおいて前記電子デバイス上で実行されるよう構成されるセキュリティエージェントと， を有し， 前記バーチャルマシーンモニタは， 前記バーチャルマシーンモニタの上位のレベルから行われる前記リソースのリクエストをインターセプトし， 前記リクエストを前記セキュリティエージェントに通知する， よう構成され， 前記セキュリティエージェントは，前記リクエストがマルウェアを示すか判断するよう構成されるシステム。」 ３．引用例 （１）引用例１ 原査定の拒絶理由で引用された，本願の優先日前に頒布された刊行物である，米国特許出願公開第２０１０／０３３０９６１号明細書（２０１０年１２月３０日出願公開。以下，「引用例１」という。）には，図面とともに，以下の事項が記載されている。（下線は当審において付したものである。） なお，上記引用例１として公開された米国特許出願を優先基礎として出願した国際出願の翻訳を公表した特表２０１２－５３１６７８号公報の内容を当審の仮訳として用いた。 （ア）「[0005] FIG. 1 shows a block diagram of virtualized mobile device 100 that is fabricated in accordance with one or more embodiments of the present invention. As shown in FIG. 1 , virtualized mobile device 100 includes mobile device hardware 200 , virtualization software layer 300 that interacts with mobile device hardware 200 , and virtual machines (“VMs”) 400 1- 400 n that interact with virtualization software layer 300 . As further shown in FIG. 1 , mobile device hardware 200 includes CPU 210 (for example, and without limitation, ARM processor 210 ), memory 220 , various data network interface devices 230 (for example, and without limitation, wifi device 230 ), various telephonic interfaces 240 for example, and without limitation, cellular radio 240 ), various mobile device display and audio input/output devices 250 1- 250 n (for example, and without limitation, LCD display device 250 1, touch screen display device 250 2, audio input/output device 250 3 (for example, and without limitation, a speaker), and so forth), and location determination device 260 (such as, for example, and without limitation, GPS determining device 260 ). [0006] One or more embodiments of inventions described herein provide methods for use of virtualized mobile devices. As used herein, the term mobile device is used in the broadest manner so that it includes devices such as, for example, and without limitation, a mobile and/or cellular telephone; a smart phone; an internet-connected, multimedia, smart phone; a media player; a handheld gaming unit; a calculator; and so forth. [0007] In accordance with one or more embodiments of the present inventions, as shown in FIG. 1 , virtualized mobile device 100 includes virtualization software layer 300 such as, for example, and without limitation, a hypervisor (sometimes referred to as a virtual machine monitor), that runs on mobile device hardware 200 to provide a virtualized mobile device. In accordance with one or more such embodiments, in such a virtualized mobile device, applications that drive the inventive methods described herein, run: (a) on top of operating systems (sometimes referred to as guest operating systems (“guest OSs”), i.e., as a guest of virtualization software layer 300 ) as guest OSs 410 1- 410 n （当審注：「guest OSs 410 1- 410 n」は，図面の記載からみて，「guest OSs 420 1- 420 n」の誤記と認められる。以下，同様。）where one of ordinary skill in the art of computer virtualization readily appreciates how such guest OSs 410 1- 410 n （当審注：「guest OSs 410 1- 410 n」は，「guest OSs 420 1- 420 n」の誤記と認められる。）are supported by virtualization software layer 300 ; (b) within application containers that are supported by virtualization software layer 300 ; (c) a software module within virtualization software layer 300 ; or (d) some combination of the foregoing. A pending patent application entitled “In-place Shadow Tables for Virtualization,” having U.S. Ser. No. 12/466,159, which was filed on May 14, 2009, is owned by the assignee of the present application, is incorporated by reference herein, and describes methods for providing virtualization software layer 300 for virtualized mobile device 100 . [0008] As one of ordinary skill in the art can appreciate from FIG. 1 , several VMs 400 1- 400 n may be executing on virtualized mobile device computer 100 , and they are protected from each other just as if they were executing on separate devices, i.e., any one VM is not any more vulnerable to any co-located, compromised (i.e., virus infected) VM than it would be if such VMs were located on physically separate handsets. This is referred to as isolation, and isolation is important in mobile devices such as mobile phones to protect the baseband stack, i.e., a part of the mobile phone that interacts with a cellular network. This is because a compromised baseband stack can raise havoc on the entire cellular network. Indeed, many smart phones currently have two processor chips to provide such isolation, and the baseband software is burned into ROM. However, the advent of multicore chips and higher capacity single cores make it advantageous to combine baseband and application functions onto a single chip. [0009] As further indicated in FIG. 1 , guest OSs 410 1- 410 n （当審注：「guest OSs 410 1- 410 n」は，「guest OSs 420 1- 420 n」の誤記と認められる。）execute guest applications. As is well known, the CPU, memory, and devices must all be virtualized to have a VM that is decoupled from actual hardware (for example, where each VM believes it is executing on a dedicated handset, i.e., a physical phone). There are several choices when designing virtualization software. In accordance with one such choice, the guest OS can be run as is, which is known as full virtualization, or in accordance with a second choice, the source code can be modified, which is known as para-virtualization. As is well known, a mobile device typically has one or more processors, each of which is most often an ARM core. [0010] As is known, a typical mobile device includes a large collection of devices, such as, for example and without limitation, a screen, a keyboard and buttons, a radio, a GPS, a Bluetooth device, a camera, an imager, a microphone, a speaker, and so on. [0011] As shown in FIG. 1 , guest OS s 410 1- 410 n （当審注：「guest OSs 410 1- 410 n」は，「guest OSs 420 1- 420 n」の誤記と認められる。）include a set of device drivers (shown illustratively by single guest device drivers 410 1- 410 n). Rather than interact with actual devices, these guest device drivers interact with emulated or virtualized devices. As further shown in FIG. 1 , virtualization software 300 includes device emulators 320 a- 320 m that virtualize the devices of VMs 400 1- 400 n, and virtualization software 300 includes device drivers (shown illustratively by device drivers 310 a and 310 b) that interact with the physical devices of mobile device 100 . A fully virtualized guest OS device driver will attempt to read or write specific physical addresses associated with physical devices; however, virtualization software 300 will mark these pages as non-readable and non-writable so that each access traps to virtualization software 300 which has device emulator software decode the appropriate operation. Alternatively, the guest device driver may be para-virtualized so that it makes direct calls to virtualization software 300 . In either case, an emulated device eventually communicates with an actual device driver which, in turn, interacts with a physical device. Thus, the flow is: guest device driver to device emulator to actual device driver to physical device. The actual device driver that interacts with the physical device may be part of virtualization software 300 or it may reside in a special driver VM so that “buggy” driver code does not corrupt the rest of virtualization software 300 , and in some cases, because the actual device driver may assume a particular operating system.」 （当審仮訳：［０００５］図１は，本発明の１つ以上の実施形態に従って製作される仮想モバイル機器１００のブロック図を示す。図１に示すように，仮想モバイル機器１００は，モバイル機器ハードウェア２００，モバイル機器ハードウェア２００と相互に作用する仮想化ソフトウェア層３００，及び仮想化ソフトウェア層３００と相互に作用する仮想計算機（「ＶＭ」）４００１～４００ｎを含む。図１に更に示すように，モバイル機器ハードウェア２００は，ＣＰＵ２１０（例えば，そして限定されるものではないが，ＡＲＭプロセッサ２１０），メモリ２２０，さまざまなデータ・ネットワーク・インターフェース・デバイス２３０（例えば，そして限定されるものではないが，ｗｉｆｉデバイス２３０），さまざまな電話インタフェース２４０（例えば，そして限定されるものではないが，セル方式無線電話２４０），さまざまなモバイル機器表示及び音声入力／出力デバイス２５０１～２５０ｎ（例えば，そして限定されるものではないが，液晶表示デバイス２５０１，タッチスクリーン表示デバイス２５０２，音声入力／出力デバイス２５０３（例えば，そして限定されるものではないが，スピーカ）など）及び位置決定デバイス２６０（例えば，そして限定されるものではないが，ＧＰＳ決定デバイス２６０）を含む。 ［０００６］本願明細書に記載されている発明の１つ以上の実施形態は，仮想モバイル機器の使用方法を提供する。本願明細書で用いるように，用語「モバイル機器」は，それが，例えば，そして限定されるものではないが，携帯及び／又はセル方式電話，スマートフォン，インターネット接続するマルチメディアのスマートフォン，メディア・プレーヤ，ハンドヘルドゲーム装置，計算器などのようなデバイスを含むように，最も幅広く用いられる。 ［０００７］本発明の１つ以上の実施形態によると，図１に示すように，仮想モバイル機器１００は，仮想モバイル機器を提供するためにモバイル機器ハードウェア２００で動作する，例えば，そして限定されるものではない，ハイパーバイザ（仮想計算機モニタと呼ばれることがある）のような仮想化ソフトウェア層３００を含む。１つ以上のこの種の実施形態によると，この種の仮想モバイル機器で，本願明細書に記載されている本発明の方法をドライブするアプリケーションは，（ａ）オペレーティングシステム（ゲスト・オペレーティングシステム（「ゲストＯＳ」），即ち，仮想化ソフトウェア層３００のゲストと呼ばれることがある）において，ゲストＯＳ４１０１～４１０ｎ（当審注：「ゲストＯＳ４１０１～４１０ｎ」は，図面の記載からみて，「ゲストＯＳ４２０１～４２０ｎ」の誤記と認められる。以下，同様。）として（そこではコンピュータ仮想化の当業者は，この種のゲストＯＳ４１０１～４１０ｎ（当審注：「ゲストＯＳ４１０１～４１０ｎ」は，「ゲストＯＳ４２０１～４２０ｎ」の誤記と認められる。）が仮想化ソフトウェア層３００によって，どのようにサポートされるかを容易に理解する），（ｂ）仮想化ソフトウェア層３００でサポートされるアプリケーション・コンテナ内で，（ｃ）仮想化ソフトウェア層３００内のソフトウェア・モジュール，又は（ｄ）前述のいくつかの組み合わせで動作する。２００９年５月１４日に出願された特許文献１である「仮想化のためのインプレース・シャドウテーブル」という名称である係属する特許出願は，本出願の譲受人により所有されて，本願明細書において引用したものとして，仮想化ソフトウェア層３００を仮想モバイル機器１００に提供する方法を記載する。 ［０００８］当業者が図１から理解できるように，いくつかのＶＭ４００１～４００ｎは仮想モバイル機器コンピュータ１００で実行することができ，それらが別々のデバイスで実行しているかのようにそれらは互いから保護される，即ち，いずれのＶＭも，この種のＶＭが物理的に別々のハンドセットに置かれる場合そうであるだろうより，いかなる同じ位置に配置された，障害が起きた（即ち，ウイルスに感染した）ＶＭに対して攻撃されやすいことはない。これは分離と呼ばれ，そして分離は，ベースバンド・スタック，即ち，セルラー電話網と相互に作用する携帯電話の一部を保護するために，携帯電話のようなモバイル機器において重要である。これは，障害が起きたベースバンド・スタックがセルラー電話網全体に大混乱を起こす場合があるからである。実際，多くのスマートフォンはこの種の分離を提供するために現在２つのプロセッサチップを備えていて，ベースバンド・ソフトウェアはＲＯＭに焼きつけられる。しかしながら，マルチコアチップ及びより高い容量の単一コアの出現は，ベースバンド及びアプリケーション機能を単一のチップに結合することを有利にする。 ［０００９］図１に更に示されるように，ゲストＯＳ４１０１～４１０ｎ（当審注：「ゲストＯＳ４１０１～４１０ｎ」は，「ゲストＯＳ４２０１～４２０ｎ」の誤記と認められる。）はゲスト・アプリケーションを実行する。周知のように，ＣＰＵ，メモリ，及びデバイスの全ては，実際のハードウェアから切り離されるＶＭを有するために仮想化されなければならない（例えば，そこにおいて各ＶＭは，それが専用のハンドセット，即ち物理的な電話で実行していると思っている）。仮想化ソフトウェアを設計するときに，いくつかの選択肢がある。１つのそのような選択肢に従って，ゲストＯＳはそのまま動作することができ，それは完全な仮想化として公知であり，又は，第２の選択肢に従って，ソースコードは修正されることができ，それは準仮想化として公知である。周知のように，モバイル機器は通常１つ以上のプロセッサを備え，その各々は多くの場合ＡＲＭコアである。 ［００１０］知られているように，典型的モバイル機器は，例えば，そして限定されるものではないが，スクリーン，キーボード及びボタン，ラジオ，ＧＰＳ，ブルートゥース・デバイス，カメラ，撮像装置，マイクロフォン，スピーカなどのようなデバイスの大きいコレクションを含む。 ［００１１］図１に示すように，ゲストＯＳ４１０１～４１０ｎ（当審注：「ゲストＯＳ４１０１～４１０ｎ」は，「ゲストＯＳ４２０１～４２０ｎ」の誤記と認められる。）は，１組のデバイス・ドライバ（単一のゲスト・デバイス・ドライバ４１０１～４１０ｎによって実例として示される）を含む。実際のデバイスと相互に作用するよりはむしろ，これらのゲスト・デバイス・ドライバは，エミュレートされたか仮想化されたデバイスと相互に作用する。図１に更に示すように，仮想化ソフトウェア３００は，ＶＭ４００１～４００ｎのデバイスを仮想化するデバイス・エミュレータ３２０ａ～３２０ｍを含み，そして仮想化ソフトウェア３００は，モバイル機器１００の物理的デバイスと相互に作用するデバイス・ドライバ（デバイス・ドライバ３１０ａ及び３１０ｂによって実例として示される）を含む。完全に仮想化されたゲストＯＳデバイス・ドライバは，物理的デバイスと関連した特定の物理アドレスを読込み又は書込むことを試み，しかしながら，デバイス・エミュレータ・ソフトウェアを有する仮想化ソフトウェア３００に対する各アクセストラップが適切な動作を復号化するように，仮想化ソフトウェア３００はこれらのページが読み取れない及び書込みできないものであることを示す。あるいは，ゲスト・デバイス・ドライバが仮想化ソフトウェア３００に直接の呼び出しをするように，それは準仮想化されてもよい。いずれにせよ，エミュレートされたデバイスは，次に，物理的デバイスと相互に作用する実際のデバイス・ドライバと最終的に通信する。このように，流れは，ゲスト・デバイス・ドライバ～デバイス・エミュレータ～実際のデバイス・ドライバ～物理的デバイスである。物理的デバイスと相互に作用する実際のデバイス・ドライバは仮想化ソフトウェア３００の一部であってもよく，又は，そして場合によっては，実際のデバイス・ドライバが特定のオペレーティングシステムを仮定できるので，「バグの多い」ドライバ・コードが残りの仮想化ソフトウェア３００を損なわないように，それは特別なドライバＶＭにあってもよい。） （イ）「[0043] Restrict malware in a mobile device: Security may be breached if a mobile device is compromised by malware. For example, such malware may be used to enable one to listen in on private conversations, track movements, access private information such as URLs, e-mails, contact lists, pins, and so forth. The breach of security may be more serious in the case of mobile devices because, typically, such mobile devices are always on, but the user may not be watching it. As a result, simply alerting the user to suspicious behavior may be useful, but insufficient. In addition to this, prevention of being spied upon by means of one's own mobile device is more difficult than traditional detection of malware. This is because mobile devices are vulnerable to types of attacks that use benign actions on the mobile device. For example, there are many applications that keep track of a user's location and update a remote server－many of these are social networking applications, and the owner of the mobile device may permit such operations. As another example, there are other applications that may spawn some action based on the location of the mobile device, such as “geotagging.” As still another example, there are still other applications that record what a user is saying, and send the recording to a remote server for voice recognition processing. Also, it is possible to combine these applications so that, based on time and place, they will trigger the mobile device to start recording microphone input, and to send that information to a third party server. Although a user may not want this to happen, it is hard to prevent since applications themselves may all be valid applications. Traditional virus detection products will not detect such security breaches. [0044] In accordance with one or more embodiments of the present invention, in a virtualized mobile device, there are one or more “virtual” phones on a mobile device, for example, and without limitation, a handset, which virtual phones execute as a guest application on a guest OS (referred to as a VM) that executes on top of a virtualization software layer (for example, a hypervisor). As was described above, in the virtualized mobile device, each guest OS does not directly access physical devices, but rather, guest OS accesses of guest devices are trapped to the virtualization software layer, and access to the physical devices is actualized by the virtualization software layer to carry out an appropriate operation on the real device. [0045] In accordance with one or more embodiments of the present invention, virtualization software layer 300 collects information related to the status of real device drivers, and sends this information, for example, and without limitation, on a periodic basis, to a virus protection software module in the virtualization software layer or in a specific VM set aside for this purpose (referred to here as a security VM). In accordance with one or more such embodiments, the virus protection software module has a set of rules that may trigger action based on the information it receives concerning one or more of the physical device drivers. For example, and without limitation, a rule might state that an alarm should be raised whenever an audio microphone is enabled and a TCP connection is enabled to a particular set of destination addresses. In accordance with one or more such embodiments, a security server (for example, management server 500 ) may transmit “rules sets,” for example, and without limitation, to the mobile device on a periodic basis. Further, in accordance with one or more further such embodiments, raising an alarm includes sending alerts to a user such as, for example and without limitation, by providing a voice message and/or text message and/or providing a message on a screen and/or blinking a screen display. In addition, in accordance with one or more further embodiments, raising an alarm may entail locking the mobile device to one or more predetermined applications related to or associated with a particular set of rules. Such locking may occur by sending control information to one or more transformers of transformer stack 350 , or such locking may occur by disabling communications to one or more of the VMs in the mobile device.」 （当審仮訳：［００４３］モバイル機器内の破壊工作ソフト（当審注：「破壊工作ソフト」は，原文では，「malware（マルウェア）」である。）を制限する：モバイル機器が破壊工作ソフト（マルウェア）によって損なわれる場合は，セキュリティは破られることが可能である。例えば，この種の破壊工作ソフト（マルウェア）は，人が，個人的な会話を盗聴し，動きを追跡し，個人情報，例えばＵＲＬ，電子メール，連絡先リスト，暗証番号などにアクセスすることを可能にするために用いることができる。通常，この種のモバイル機器が常にオンであるが，ユーザがそれを見守っていることができないので，セキュリティの侵害はモバイル機器の場合にはより重大である場合がある。その結果，単にユーザに疑わしい挙動に対して警戒させることは有用であるが，不十分でもあるかもしれない。これに加えて，自分自身のモバイル機器によってスパイされることの防止は，従来の破壊工作ソフト（マルウェア）の検出よりも困難である。これは，モバイル機器がモバイル機器に関して無害の作用を使用する攻撃のタイプに弱いからである。例えば，ユーザの位置を追跡して，遠隔サーバを更新する多くのアプリケーションがあり，これらの多くはソーシャル・ネットワーキング・アプリケーションであり，そしてモバイル機器の所有者はこの種の動作を許可する。別の例として，モバイル機器の位置に基づいてなんらかの作用，例えば「ジオタギング」を生むことができる他のアプリケーションがある。更に別の実施例として，ユーザが言っていることを記録して，記録を音声認識処理のためのリモートサーバに送信する，更に他のアプリケーションがある。また，時間と場所に基づいて，それらがマイクロフォン入力を記録し始めて，その情報を第三者サーバに送信するためにモバイル機器を起動させるように，これらのアプリケーションを組み合わせることは可能である。これが起こることをユーザが望むことがないにもかかわらず，アプリケーション自体は全て有効なアプリケーションであるので，それは防止するのが難しい。従来のウイルス検出製品はこの種のセキュリティ侵害を検出しない。 ［００４４］本発明の１つ以上の実施形態によると，仮想モバイル機器は，モバイル機器，例えば，そして限定されるものではないが，ハンドセットに１つ以上の「仮想」電話があり，その仮想電話は，仮想化ソフトウェア層（例えば，ハイパーバイザ）において実行するゲストＯＳ（ＶＭと呼ばれる）でゲスト・アプリケーションとして実行する。上で説明されたように，仮想モバイル機器で，各ゲストＯＳは物理的デバイスに直接アクセスしないで，むしろ，ゲストデバイスのゲストＯＳアクセスは仮想化ソフトウェア層にトラップされて，物理的デバイスへのアクセスは，本当のデバイスにおいて適切な動作を行うために仮想化ソフトウェア層により実行される。 ［００４５］本発明の１つ以上の実施形態によると，仮想化ソフトウェア層３００は，本当のデバイス・ドライバの状態に関連した情報を集めて，この情報を，例えば，そして限定されるものではないが，周期的なベースで，仮想化ソフトウェア層の，又はこのために設けられた特定のＶＭ（ここではセキュリティＶＭと称される）のウイルス保護ソフトウェア・モジュールに送る。１つ以上のこの種の実施形態によると，ウイルス保護ソフトウェア・モジュールは，それが物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則を有する。例えば，そして限定されるものではないが，規則は，音声マイクロフォンが使用可能であり，そしてＴＣＰ接続があて先アドレスの特定のセットに可能になるときはいつでも，警報を発しなければならないと記載するだろう。１つ以上のこの種の実施形態によると，セキュリティサーバ（例えば，管理サーバ５００）は，「規則セット」を，例えば，そして限定されるものではないが，周期的なベースでモバイル機器に送信できる。更に，１つ以上の更なるこの種の実施形態によると，警報を発することは，例えば，そして限定されるものではないが，音声メッセージ及び／又はテキストメッセージを提供することによって，そして／あるいはスクリーン上にメッセージを提供することによって，そして／あるいはスクリーン表示を明滅させることによって，ユーザに警報を送ることを含む。加えて，１つ以上の更なる実施形態によると，警報を発することは，規則の特定のセットに関するか又は関連した１つ以上の所定のアプリケーションにモバイル機器をロックすることを必要とする場合がある。この種のロックは，トランスフォーマー・スタック３５０の１つ以上のトランスフォーマーに制御情報を送ることによって発生する場合があり，又はこの種のロックは，モバイル機器のＶＭの１つ以上への通信を不能にすることによって発生する場合がある。） ここで，上記引用例１に記載されている事項について検討する。 （ａ）上記（ア）の「図１は，本発明の１つ以上の実施形態に従って製作される仮想モバイル機器１００のブロック図を示す」旨の記載，上記（イ）の「モバイル機器内の破壊工作ソフト（当審注：「破壊工作ソフト」は，原文では，「malware（マルウェア）」である。）を制限する」旨の記載から，引用例１の“仮想モバイル機器１００”は，“モバイル機器内”の“マルウェア”を“制限する”機能を有することが読み取れるから，引用例１には，“モバイル機器内のマルウェアを制限する機能を有する仮想モバイル機器１００”が記載されているものと認められる。 （ｂ）上記（ア）の「図１に示すように，仮想モバイル機器１００は，モバイル機器ハードウェア２００，モバイル機器ハードウェア２００と相互に作用する仮想化ソフトウェア層３００，及び仮想化ソフトウェア層３００と相互に作用する仮想計算機（「ＶＭ」）４００１～４００ｎを含む。図１に更に示すように，モバイル機器ハードウェア２００は，ＣＰＵ２１０（例えば，そして限定されるものではないが，ＡＲＭプロセッサ２１０），メモリ２２０・・・を含む」旨の記載から，引用例１の“仮想モバイル機器１００”は，“モバイル機器ハードウェア２００”，“モバイル機器ハードウェア２００と相互に作用する仮想化ソフトウェア層３００”及び“仮想化ソフトウェア層３００と相互に作用する仮想計算機（「ＶＭ」）４００１～４００ｎ”を含み，“モバイル機器ハードウェア２００”は，“ＣＰＵ２１０”及び“メモリ２２０”を含むことが読み取れる。 また，上記（ア）の「図１に示すように，仮想モバイル機器１００は，仮想モバイル機器を提供するためにモバイル機器ハードウェア２００で動作する，例えば，そして限定されるものではない，ハイパーバイザ（仮想計算機モニタと呼ばれることがある）のような仮想化ソフトウェア層３００を含む。」旨の記載から，引用例１の“仮想化ソフトウェア層３００”は，“モバイル機器ハードウェア２００”で“動作”し，“仮想計算機モニタ”と呼ばれることが読み取れる。 してみれば，引用例１には，“仮想モバイル機器１００は，メモリ２２０とＣＰＵ２１０とを含むモバイル機器ハードウェア２００と，モバイル機器ハードウェア２００で動作し，仮想計算機モニタと呼ばれる仮想化ソフトウェア層３００と，仮想化ソフトウェア層３００と相互に作用する仮想計算機（ＶＭ）４００１～４００ｎとを含む”ことが記載されているものと認められる。 （ｃ）上記（イ）の「仮想化ソフトウェア層３００は，本当のデバイス・ドライバの状態に関連した情報を集めて，この情報を，例えば，そして限定されるものではないが，周期的なベースで，仮想化ソフトウェア層の，又はこのために設けられた特定のＶＭ（ここではセキュリティＶＭと称される）のウイルス保護ソフトウェア・モジュールに送る。１つ以上のこの種の実施形態によると，ウイルス保護ソフトウェア・モジュールは，それが物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則を有する。」旨の記載から，引用例１の“ウイルス保護ソフトウェア・モジュール”は“仮想モバイル機器１００”の“仮想化ソフトウェア層３００”又は“セキュリティＶＭ”にあることが読み取れるから，引用例１には，“仮想モバイル機器１００は，仮想化ソフトウェア層３００又はセキュリティＶＭにウイルス保護ソフトウェア・モジュールを含む”ことが記載されているものと認められる。 （ｄ）上記（ア）の「図１に更に示されるように，ゲストＯＳ４１０１～４１０ｎ（当審注：「ゲストＯＳ４１０１～４１０ｎ」は，「ゲストＯＳ４２０１～４２０ｎ」の誤記と認められる。）はゲスト・アプリケーションを実行する。周知のように，ＣＰＵ，メモリ，及びデバイスの全ては，実際のハードウェアから切り離されるＶＭを有するために仮想化されなければならない（例えば，そこにおいて各ＶＭは，それが専用のハンドセット，即ち物理的な電話で実行していると思っている）。」旨の記載，及び図１の記載から，“各ＶＭ”の“ゲストＯＳ４２０１～４２０ｎ”が“ゲスト・アプリケーション”を“実行”すること，また，“ＣＰＵ”や“メモリ”などの“デバイス”が，“ＶＭ”のために“仮想化され”ることが読み取れるから，引用例１には，“各ＶＭのゲストＯＳ４２０１～４２０ｎはゲスト・アプリケーションを実行し，ＣＰＵやメモリなどのデバイスは，ＶＭのために仮想化される”ことが記載されているものと認められる。 （ｅ）上記（ア）の「図１に示すように，ゲストＯＳ４１０１～４１０ｎ（当審注：「ゲストＯＳ４１０１～４１０ｎ」は，「ゲストＯＳ４２０１～４２０ｎ」の誤記と認められる。）は，１組のデバイス・ドライバ（単一のゲスト・デバイス・ドライバ４１０１～４１０ｎによって実例として示される）を含む。実際のデバイスと相互に作用するよりはむしろ，これらのゲスト・デバイス・ドライバは，エミュレートされたか仮想化されたデバイスと相互に作用する。図１に更に示すように，仮想化ソフトウェア３００は，ＶＭ４００１～４００ｎのデバイスを仮想化するデバイス・エミュレータ３２０ａ～３２０ｍを含み，そして仮想化ソフトウェア３００は，モバイル機器１００の物理的デバイスと相互に作用するデバイス・ドライバ（デバイス・ドライバ３１０ａ及び３１０ｂによって実例として示される）を含む。」旨の記載，同じく上記（ア）の「いずれにせよ，エミュレートされたデバイスは，次に，物理的デバイスと相互に作用する実際のデバイス・ドライバと最終的に通信する。このように，流れは，ゲスト・デバイス・ドライバ～デバイス・エミュレータ～実際のデバイス・ドライバ～物理的デバイスである。」旨の記載から，“ゲストＯＳ４２０１～４２０ｎ”は，“ゲスト・デバイス・ドライバ４１０１～４１０ｎ”を含むこと，“仮想化ソフトウェア層３００”は，“ＶＭ４００１～４００ｎのデバイスを仮想化するデバイス・エミュレータ３２０ａ～３２０ｍ”及び“モバイル機器１００の物理的デバイスと相互に作用するデバイス・ドライバ３１０ａ，３１０ｂ”を含むこと，“通信”の“流れ”は，“ゲスト・デバイス・ドライバ～デバイス・エミュレータ～実際のデバイス・ドライバ～物理的デバイス”であることが読み取れるから，引用例１には，“ゲストＯＳ４２０１～４２０ｎに含まれるゲスト・デバイス・ドライバ４１０１～４１０ｎは，仮想化ソフトウェア層３００に含まれるデバイス・エミュレータ３２０ａ～３２０ｍ及び実際のデバイス・ドライバ３１０ａ，３１０ｂを介して物理的デバイスと通信する”ことが記載されていると認められる。 （ｆ）上記（イ）の「上で説明されたように，仮想モバイル機器で，各ゲストＯＳは物理的デバイスに直接アクセスしないで，むしろ，ゲストデバイスのゲストＯＳアクセスは仮想化ソフトウェア層にトラップされて，物理的デバイスへのアクセスは，本当のデバイスにおいて適切な動作を行うために仮想化ソフトウェア層により実行される。」旨の記載から，“各ゲストＯＳ”から“物理的デバイス”への“アクセス”は，“仮想化ソフトウェア層３００”に“トラップされる”ことが読み取れるから，引用例１には，“仮想化ソフトウェア層３００は，各ゲストＯＳから物理的デバイスへのアクセスをトラップする”ことが記載されていると認められる。 （ｇ）上記（イ）の「仮想化ソフトウェア層３００は，本当のデバイス・ドライバの状態に関連した情報を集めて，この情報を，例えば，そして限定されるものではないが，周期的なベースで，仮想化ソフトウェア層の，又はこのために設けられた特定のＶＭ（ここではセキュリティＶＭと称される）のウイルス保護ソフトウェア・モジュールに送る。」旨の記載から，“仮想化ソフトウェア層３００”は，“本当のデバイス・ドライバの状態に関連した情報”を“ウイルス保護ソフトウェア・モジュール”に“送る”ことが読み取れるから，引用例１には，“仮想化ソフトウェア層３００は，本当のデバイス・ドライバの状態に関連した情報をウイルス保護ソフトウェア・モジュールに送る”ことが記載されているものと認められる。 （ｈ）上記（イ）の「ウイルス保護ソフトウェア・モジュールは，それが物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則を有する。例えば，そして限定されるものではないが，規則は，音声マイクロフォンが使用可能であり，そしてＴＣＰ接続があて先アドレスの特定のセットに可能になるときはいつでも，警報を発しなければならないと記載するだろう。」との記載から，“ウイルス保護ソフトウェア・モジュール”は，“物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則”を有すること，また，“ウイルス保護ソフトウェア・モジュール”は，当該“規則”に基づいて“警報を発する”ことが読み取れるから，引用例１には，“ウイルス保護ソフトウェア・モジュールは，物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則を有し，当該規則に基づいて，警報を発する”ことが記載されているものと認められる。 上記（ａ）～（ｈ）の検討から，引用例１には，次のとおりの発明（以下，「引用発明」という。）が記載されていると認められる。 「モバイル機器内のマルウェアを制限する機能を有する仮想モバイル機器１００であって， 仮想モバイル機器１００は，メモリ２２０とＣＰＵ２１０とを含むモバイル機器ハードウェア２００と，モバイル機器ハードウェア２００で動作し，仮想計算機モニタと呼ばれる仮想化ソフトウェア層３００と，仮想化ソフトウェア層３００と相互に作用する仮想計算機（ＶＭ）４００１～４００ｎとを含み， また，仮想モバイル機器１００は，仮想化ソフトウェア層３００又はセキュリティＶＭにウイルス保護ソフトウェア・モジュールを含み， 各ＶＭのゲストＯＳ４２０１～４２０ｎはゲスト・アプリケーションを実行し，ＣＰＵやメモリなどのデバイスは，ＶＭのために仮想化され， ゲストＯＳ４２０１～４２０ｎに含まれるゲスト・デバイス・ドライバ４１０１～４１０ｎは，仮想化ソフトウェア層３００に含まれるデバイス・エミュレータ３２０ａ～３２０ｍ及び実際のデバイス・ドライバ３１０ａ，３１０ｂを介して物理的デバイスと通信し， 仮想化ソフトウェア層３００は，各ゲストＯＳから前記物理的デバイスへのアクセスをトラップし， 仮想化ソフトウェア層３００は，本当のデバイス・ドライバの状態に関連した情報をウイルス保護ソフトウェア・モジュールに送り， 前記ウイルス保護ソフトウェア・モジュールは，物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則を有し，当該規則に基づいて，警報を発する 仮想モバイル機器１００。」 （２）参考文献１ 本願の優先日前に頒布された刊行物である，特開２０１０－４００４３号公報（２０１０年２月１８日出願公開。以下，「参考文献１」という。）には，図面とともに，以下の事項が記載されている。（下線は当審において付したものである。） （ウ）「【００５５】 また，ＩＯリクエストを行うのに必要なリソースがメモリ１２２に保存された基準よりｋ倍以上大きい場合，アクセス制御モジュール１３５は，ＩＯリクエストがマルウェアによる攻撃であると判断し，ＩＯリクエストを完全に遮断してＩＯリクエストが処理されないようにする。ｋ値は設計者またはユーザによって設定及び変更されても良い。マルウェアは，第１乃至第ｍサブドメイン１４０－１，・・・，１４０－ｍのうち少なくとも一つに設けられてもよい。」 （３）参考文献２ 本願の優先日前に頒布された刊行物である，特開２０１０－１８２０１９号公報（２０１０年８月１９日出願公開。以下，「参考文献２」という。）には，図面とともに，以下の事項が記載されている。（下線は当審において付したものである。） （エ）「【００３０】 （第１の処理例） まず，第１の処理例を説明する。第１の処理例では，プロセスが本来アクセスするファイル以外のファイルにプロセスがアクセスした場合に，コンピュータウィルス（特にボット）による異常が発生したと判定する。図４は，第１の処理例による処理のイメージを示している。 【００３１】 正常プロファイル記憶部１６に格納されている正常プロファイルには，正常な端末のプロセスがアクセスしたファイルを識別する情報（本実施形態ではファイル名称）が記録されている。監視対象の端末で動作しているプロセス４００，４１０，４２０，４３０のうち，プロセス４００，４１０，４２０は，正常な端末のプロセスがアクセスしたファイルと同一のファイルにアクセスしているため，異常ではない（コンピュータウィルスの可能性が低い）と判定される。しかし，プロセス４３０は，正常な端末のプロセスがアクセスしたファイルとは異なるファイルにアクセスしているため，異常である（コンピュータウィルスの可能性が高い）と判定される。なお，判定は個々のファイル毎に行ってもよいし，DLLファイル，定義ファイル，実行ファイル等のファイル種別毎に行ってもよい。」 ４．対比 本願発明と，引用発明とを比較する。 （ａ）引用発明の「仮想モバイル機器１００」は，メモリ２２０やＣＰＵ２１０を含む電子的なデバイスであるといえるから，引用発明の「仮想モバイル機器１００」が本願発明の「電子デバイス」に相当する。 また，引用発明の「メモリ２２０」，「ＣＰＵ２１０」がそれぞれ本願発明の「メモリ」，「プロセッサ」に相当することは明らかである。 （ｂ）引用発明の「ゲストＯＳ」が本願発明の「オペレーティングシステム」に相当し，引用発明では，「各ＶＭのゲストＯＳ４２０１～４２０ｎはゲスト・アプリケーションを実行し，ＣＰＵやメモリなどのデバイスは，ＶＭのために仮想化され」ているものであるから，引用発明の“ゲストＯＳ４２０１～４２０ｎ”が，“メモリ”に記憶されて，“ＣＰＵ”で実行されることは自明のことである。 してみれば，引用発明の「ゲストＯＳ４２０１～４２０ｎ」が本願発明の「プロセッサによる実行のためメモリにある１以上のオペレーティングシステム」に相当する。 （ｃ）引用発明の「物理的デバイス」は，“メモリ２２０”や“ＣＰＵ２１０”などの“ハードウェアリソース”を含むものであるから，引用発明の「物理的デバイス」が本願発明の「電子デバイスのリソース」に対応する。 また，引用発明の「ゲストＯＳ４２０１～４２０ｎに含まれるゲスト・デバイス・ドライバ４１０１～４１０ｎ」は，「物理的デバイス」と「通信」するところ，これは，“ゲスト・デバイス・ドライバ４１０１～４１０ｎ”を含む“ゲストＯＳ４２０１～４２０ｎ”が，“物理的デバイス”と“通信”しているとみることもできるから，“物理的デバイス”は，“ゲストＯＳ４２０１～４２０ｎ”に“通信接続”されているということができる。 してみれば，引用発明の「物理的デバイス」が本願発明の「オペレーティングシステムに通信接続される電子デバイスのリソース」に相当する。 （ｄ）引用発明では，「仮想化ソフトウェア層３００は，各ゲストＯＳから物理的デバイスへのアクセスをトラップし」ているから，“各ゲストＯＳ”は，“物理的デバイス”に“アクセス”するものである。 また，上記（ｃ）の検討から，引用発明の「物理的デバイス」は本願発明の「リソース」に相当するものである。 してみれば，引用発明の“仮想モバイル機器１００”の“すべての”「ゲストＯＳ４２０１～４２０ｎ」が本願発明の「リソースにアクセスする電子デバイスのすべてのオペレーティングシステム」に相当する。 （ｅ）引用発明の「仮想化ソフトウェア層３００」は，“仮想計算機モニタ”すなわち，“バーチャルマシンモニタ”と“呼ばれる”ものであり，“各ゲストＯＳから物理的デバイスへのアクセスをトラップ”するという本願発明の「バーチャルマシーンモニタ」と同様の機能を有するものであるから，引用発明の「仮想化ソフトウェア層３００」が本願発明の「バーチャルマシーンモニタ」に相当する。 また，“仮想化ソフトウェア層３００”の“各ゲストＯＳから物理的デバイスへのアクセスをトラップ”する機能は，“各ゲストＯＳ”と“物理的デバイス”との間，すなわち“各ゲストＯＳより物理的デバイスに近いレベル”において実行されるところ，これは，言い換えれば，“各ゲストＯＳより下位のレベル”において“実行され”るといえるものである。 （ｆ）上記（ｄ）及び（ｅ）の検討から，“各ゲストＯＳから物理的デバイスへのアクセスをトラップ”する機能を有する「仮想化ソフトウェア層３００」が本願発明の「リソースにアクセスする電子デバイスのすべてのオペレーティングシステムより下位のレベルにおいて前記電子デバイス上で実行されるよう構成されるバーチャルマシーンモニタ」に相当する。 （ｇ）引用発明の「ウイルス保護ソフトウェア・モジュール」は，“仮想化ソフトウェア層３００”から“本当のデバイス・ドライバの状態に関連した情報”を受信し，所定の“規則”に基づいて“警報を発する”ものであるところ，この“警報”は，“モバイル機器内のマルウェアを制限する”ために実行されるものであるから，引用発明の「ウイルス保護ソフトウェア・モジュール」は，「セキュリティ」に関する機能を有するということができる。 また，引用発明の「ウイルス保護ソフトウェア・モジュール」は，当該セキュリティに関する機能を，仮想化ソフトウェア層３００からの情報を受信することによって，実行する点で，仮想化ソフトウェア層３００にとっての「エージェント」であるとみることもできる。 してみれば，引用発明の「ウイルス保護ソフトウェア・モジュール」が本願発明の「セキュリティエージェント」に相当する。 （ｈ）上記（ｃ）及び（ｅ）の検討から，引用発明の「物理的デバイス」，「仮想化ソフトウェア層３００」が本願発明の「リソース」，「バーチャルマシーンモニタ」にそれぞれ相当する。 また，引用発明の「物理的デバイスへのアクセス」は，“リソース”を使用することを要求（リクエスト）することに他ならないから，引用発明の「物理的デバイスへのアクセス」が本願発明の「リソースのリクエスト」に相当する。 また，上記（ｅ）の検討から，“各ゲストＯＳ”は，“バーチャルマシンモニタ”より「上位のレベル」にあるということができるから，引用発明の「各ゲストＯＳから物理的デバイスへのアクセス」が本願発明の「バーチャルマシーンモニタの上位のレベルから行われるリソースのリクエスト」に相当する。 また，引用発明の「トラップ」は，上記物理的デバイスへのアクセスが当該物理的デバイスに到達する前の段階で阻止，すなわち，“インターセプト”されることであるから，引用発明の「トラップ」が本願発明の「インターセプト」に相当する。 してみれば，引用発明の「仮想化ソフトウェア層３００は，各ゲストＯＳから物理的デバイスへのアクセスをトラップし」が本願発明の「バーチャルマシーンモニタは，バーチャルマシーンモニタの上位のレベルから行われるリソースのリクエストをインターセプトし」に相当する。 （ｉ）引用発明の「本当のデバイス・ドライバの状態に関連した情報」は，これを所定の規則と照らし合わせることで，警報を発するか否かを判断するための情報であり，当該警報は，「モバイル機器内のマルウェアを制限する」ために行われることを考慮すると，上記「本当のデバイス・ドライバの状態に関連した情報」は，「マルウェアの可能性を示す情報」であるということができる。 一方，本願発明の「リクエスト」は，セキュリティエージェントが「マルウェアを示すか判断する」ためのものである。 してみれば，引用発明の「本当のデバイス・ドライバの状態に関連した情報」と本願発明の「リクエスト」とは，共に「マルウェアの可能性を示す情報」を含む点で共通している。 そして，上記（ｇ）の検討から，引用発明の「ウイルス保護ソフトウェア・モジュール」が本願発明の「セキュリティエージェント」に相当することから，引用発明の「仮想化ソフトウェア層３００は，本当のデバイス・ドライバの状態に関連した情報をウイルス保護ソフトウェア・モジュールに送」ることと本願発明の「リクエストをセキュリティエージェントに通知」することとは，後記する点で相違するものの，「マルウェアの可能性を示す情報をセキュリティエージェントに通知」することである点で共通している。 （ｊ）引用発明の「物理的デバイス・ドライバの１つ以上に関して受け取る情報」は，上記（ｉ）で検討した「本当のデバイス・ドライバの状態に関連した情報」のことであるから，上記（ｉ）での検討から，引用発明の「物理的デバイス・ドライバの１つ以上に関して受け取る情報」と本願発明の「リクエスト」とは，共に「マルウェアの可能性を示す情報」である点で共通している。 また，上記（ｉ）での検討を踏まえると，引用発明の“警報を発するか否かを判断すること”は，すなわち，“マルウェアを示すか判断すること”に他ならない。 してみれば，引用発明の「ウイルス保護ソフトウェア・モジュールは，物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則を有し，当該規則に基づいて，警報を発する」ことと本願発明の「前記セキュリティエージェントは，前記リクエストがマルウェアを示すか判断する」こととは，後記する点で相違するものの，「セキュリティエージェントは，マルウェアの可能性を示す情報がマルウェアを示すか判断する」点で共通している。 （ｋ）引用発明は，“仮想モバイル機器１００”を構成する“メモリ２２０とＣＰＵ２１０とを含むモバイル機器ハードウェア２００と，モバイル機器ハードウェア２００で動作し，仮想計算機モニタと呼ばれる仮想化ソフトウェア層３００と，仮想化ソフトウェア層３００と相互に作用する仮想計算機（ＶＭ）４００１～４００ｎ”が相互に関連して動作することで，全体として“システム”として動作し，“モバイル機器内のマルウェアを制限する機能”を実現しているものと認められる。 また，引用発明の「モバイル機器内のマルウェアを制限する」ことは，「電子デバイスをセキュアにする」ことに他ならない。 してみれば，引用発明の「モバイル機器内のマルウェアを制限する機能を有する仮想モバイル機器１００」が本願発明の「電子デバイスをセキュアにするシステム」に相当する。 以上の検討から，本願発明と引用発明とは， 「電子デバイスをセキュアにするシステムであって， メモリと， プロセッサと， 前記プロセッサによる実行のため前記メモリにある１以上のオペレーティングシステムと， 前記オペレーティングシステムに通信接続される前記電子デバイスのリソースと， 前記リソースにアクセスする前記電子デバイスのすべてのオペレーティングシステムより下位のレベルにおいて前記電子デバイス上で実行されるよう構成されるバーチャルマシーンモニタと， セキュリティエージェントと， を有し， 前記バーチャルマシーンモニタは， 前記バーチャルマシーンモニタの上位のレベルから行われる前記リソースのリクエストをインターセプトし， マルウェアの可能性を示す情報を前記セキュリティエージェントに通知する， よう構成され， 前記セキュリティエージェントは，マルウェアの可能性を示す情報がマルウェアを示すか判断するよう構成されるシステム。」 の点で一致し，以下の点で相違する。 ［相違点１］ セキュリティエージェントが， 本願発明では，「前記リソースにアクセスする前記電子デバイスのすべてのオペレーティングシステムより下位のレベルにおいて前記電子デバイス上で実行されるよう構成される」のに対して， 引用発明は，そのように構成されるか否か明確ではない点。 ［相違点２］ バーチャルマシーンモニタがセキュリティエージェントに通知する情報が， 本願発明では，「リクエスト」であるのに対して， 引用発明では，「本当のデバイス・ドライバの状態に関連した情報」である点。 ［相違点３］ マルウェアの可能性を示す情報を含むのが， 本願発明では，「リクエスト」であるのに対して， 引用発明では，「物理的デバイス・ドライバの１つ以上に関して受け取る情報」である点。 ５．判断 上記各相違点について，検討する。 ［相違点１］について 上記「４．対比」の（ｅ）で検討したように，引用発明の“仮想化ソフトウェア層３００”は，“各ゲストＯＳより下位のレベル”において“実行されるように構成され”ているものであるところ，引用発明の“ウイルス保護ソフトウェア・モジュール”は，“仮想モバイル機器１００”の“仮想化ソフトウェア層３００又はセキュリティＶＭ”に含まれるものであるから，このうちの“仮想化ソフトウェア層３００”に含まれるように構成すれば，結果として，“ウイルス保護ソフトウェア・モジュール”が“各ゲストＯＳより下位のレベル”において“実行されるように構成され”ることは明らかである。 してみれば，引用発明の“ウイルス保護ソフトウェア・モジュール”を“仮想化ソフトウェア層３００”に含まれるようにすることにより，ウイルス保護ソフトウェア・モジュール（セキュリティエージェント）が，リソースにアクセスする電子デバイスのすべてのオペレーティングシステムより下位のレベルにおいて前記電子デバイス上で実行されるように構成すること，すなわち，上記相違点１に係る構成とすることは，当業者が容易に想到し得たことである。 ［相違点２］及び［相違点３］について 引用発明の“本当のデバイス・ドライバの状態に関連した情報”とは，“本当のデバイスドライバ”，すなわち“実際のデバイス・ドライバ３１０ａ，３１０ｂ”の“状態に関連した情報”のことであり，この情報には，少なくとも，当該“実際のデバイス・ドライバ３１０ａ，３１０ｂ”が“物理的デバイス”に“アクセス”したという情報，すなわち，リソースへの“リクエスト”の情報が含まれているものと認められる。 ここで，“リソース”に対する“リクエスト（又はアクセス）”の情報のみを用いて“マルウェア”を示すかを“判断する”ことは，例えば参考文献１（上記（ウ）の記載参照）や参考文献２（上記（エ）の記載参照）等に記載されているように，情報セキュリティの技術分野においては周知技術であったと認められる。 そうすると，リソースへのリクエストの情報を含む各種の情報からマルウェアを示すか否かを判断している引用発明において，上記周知技術を適用し，リクエストの情報のみを用いてマルウェアを示すか否かを判断するように構成すること，すなわち，上記相違点２及び相違点３に係る構成とすることは，当業者が容易に想到し得たことである。 そして，本願発明の作用効果も，引用発明及び周知技術から当業者が予測できる範囲のものである。 したがって，本願発明は，引用発明及び周知技術に基づいて，当業者が容易に発明をすることができたものである。 ６．むすび 以上のとおり，本願発明は，引用発明及び周知技術に基づいて，当業者が容易に発明をすることができたものであるから，特許法第２９条第２項の規定により特許を受けることができない。 したがって，本願は他の請求項について検討するまでもなく拒絶されるべきものである。 よって，結論のとおり審決する。