2018-001415

特願２０１５－１８７３９２「コンピュータ装置の動作記録の解析、翻訳を行い、監査に対する情報の出力及びシステムの傾向分析装置。」拒絶査定不服審判事件〔平成２９年　３月　９日出願公開、特開２０１７－　４９９６２、請求項の数（３）〕について、次のとおり審決する。

【結　論】 原査定を取り消す。 本願の発明は、特許すべきものとする。

【理　由】 第１　手続の経緯 本願は，平成２７年９月４日の出願であって，平成２９年４月１９日付けで拒絶理由通知がされ，平成２９年６月７日付けで意見書が提出されるとともに手続補正がされ，平成２９年１０月２０日付けで拒絶査定（原査定）がされ，これに対し，平成３０年１月１７日に拒絶査定不服審判の請求がされると同時に手続補正がされ，平成３０年１０月１日付けで当審より拒絶理由通知がされ，平成３０年１１月７日付けで手続補正がされたものである。 第２　本願発明 本願請求項１－３に係る発明（以下，それぞれ「本願発明１」－「本願発明３」という。）は，平成３０年１１月７日付けの手続補正で補正された特許請求の範囲の請求項１－３に記載された事項により特定される発明であり，本願発明１－３は以下のとおりの発明である。 「　【請求項１】 対象となるコンピュータ装置群が出力する収集ログ情報を読み取り，読み取った収集ログ情報を時系列に解析する為に，収集ログ情報から日時，ユーザ，サーバ，対象，詳細を抽出してメモリ内のログ情報テーブルに配置するとともに，人間の作業に関連したログ情報の詳細と操作とを対応付けた操作マスタを用いて，前記ログ情報テーブルの詳細に前記操作マスタで対応付けられた操作を付加する機能を有するマッピング処理装置と， 前記ログ情報テーブルの，ユーザ，サーバ，対象が同じ行について，詳細の出現パターンをルールマスタに照らし合わせることによって，前記ログ情報テーブルの行の一部を処理対象外とするとともに，一定時間内の同一操作を一つに圧縮し，前記ログ情報テーブルの複数の操作の組み合わせを一つの操作に集約してアクセスログデータとして出力する第１の処理装置と， 前記アクセスログデータを自然言語に翻訳するパス４処理装置と， を備える圧縮，翻訳サーバ。 【請求項２】 前記第１の処理装置は，前記ログ情報テーブルの，ユーザ，サーバ，対象が同じ行について，詳細の出現パターンをルールマスタに照らし合わせることによって，前記ログ情報テーブルの行の一部を処理対象外とするために， 前記メモリ内のログ情報テーブルに配置されたログ情報からユーザ，サーバ，対象を前記ログ情報テーブルとは別のメモリ領域上にサマリとして展開し，展開したサマリを使用し，ログ情報の複数行に渡る同一ユーザ，同一サーバ，同一対象の行を一意の集合とする機能を有するプリパス１処理装置と， この集合と，基本シーケンスとそれに続くシーケンスの組み合わせが対応付けられたルールマスタとを照らし合わせ，前記集合内の詳細の出現パターンと前記ルールマスタのシーケンスの組み合わせとがマッチングした場合，基本シーケンス以外とマッチした前記ログ情報テーブルの行を処理対象外に設定する機能を有するパス１処理装置とを備える，請求項１に記載の圧縮，翻訳サーバ。 【請求項３】 前記第１の処理装置は，一定時間内の同一操作を一つに圧縮し，前記ログ情報テーブルの複数の操作の組み合わせを一つの操作に集約してアクセスログデータとして出力するために， 前記パス１処理装置から出力された前記ログ情報テーブルの日時を使用し，一定時間内に発生したログ情報を判断し，一定時間内にある同一操作をカウントして取りまとめ，複数行になる操作記録を１行の操作記録に変換し有用な操作記録だけを選別する機能を有するパス２処理装置と， 前記パス２処理装置により選別したログ情報テーブルを時系列に走査して，同一ユーザ，同一サーバ，同一対象の行における操作のパターンが，基本操作と複数の従属操作とを対応付けた動作マスタにおける複数の従属操作のパターンとマッチする場合に，マッチした複数の操作のうち，プライオリティが低い操作を選別し特定の操作に吸収圧縮させてアクセスログデータとして出力する機能を有するパス３処理装置とを備える，請求項２に記載の圧縮，翻訳サーバ。」 第３　引用文献，引用発明等 １．引用文献１について （１）原査定の拒絶の理由に引用された引用文献１（特開２０１３－８４２１２号公報）には，図面とともに次の事項が記載されている。（下線は当審で付与した。以下，同様。） Ａ　「【０００５】 この発明は上記事情に着目してなされたもので，その目的とするところは，ログを一元的かつ安全に収集し，利用者がログを効率よく閲覧することができるログ収集システム，方法及びプログラムを提供することにある。」 Ｂ　「【０００９】 以下，図面を参照しながら本開示の一実施形態に係るログ収集システム，方法及びプログラムについて詳細に説明する。なお，以下の実施形態では，同一の番号を付した部分については同様の動作を行うものとして，重ねての説明を省略する。 本実施形態に係るログ収集システムについて図１のブロック図を参照して説明する。 本実施形態に係るログ収集システム１００は，ログ収集サーバ１０１，情報提供サーバ１１１および連携サーバ１２１を含む。また，ログ収集サーバ１０１，情報提供サーバ１１１，連携サーバ１２１および利用者端末１４１は，ネットワーク１３１を介して接続される。なお，ログ収集サーバ１０１と連携サーバ１２１とをそれぞれ分離した場合を想定しているが，これに限らず，ログ収集サーバ１０１と連携サーバ１２１とが一体となっていてもよい。また，図１の例では，情報提供サーバ１１１は１つであるが，複数存在してもよい。 【００１０】 情報提供サーバ１１１は，自サーバにおけるログを収集し，ログ収集サーバ１０１の要求によりまたは所定期間ごとに，ログデータをログ収集サーバ１０１へ送信する。ログデータは，利用者による情報へのアクセスに関するログであり，本実施形態ではログデータとして，利用者の個人情報を扱う情報システムを利用した際に出力されるログ（以下，アクセスログともいう）を想定するが，これに限らず，秘匿情報や機密情報といったセキュリティ強度を高く設定する必要がある情報を扱うシステムを利用した際のログなどでもよい。 連携サーバ１２１は，ログ収集サーバ１０１および情報提供サーバ１１１のそれぞれの一時識別子を対応付けて格納する。一時識別子は，利用者を一意に識別する利用者識別子よりも暗号強度が高い識別子を示す。 ログ収集サーバ１０１は，１以上の情報提供サーバ１１１から，それぞれログデータを受信し，連携サーバ１２１に格納される一時識別子に基づいて，それぞれのログを対応付けて管理する。 （途中省略） 【００１２】 以下，ログ収集サーバ１０１，情報提供サーバ１１１および連携サーバ１２１の詳細について説明する。 ログ収集サーバ１０１は，利用者情報格納部１０２，ログ要求部１０３，一時識別子要求部１０４，名称変換部１０５，ログ格納部１０６，ログ削除部１０７およびログ閲覧部１０８を含む。 利用者情報格納部１０２は，ログ収集サーバ１０１での利用者識別子（第１利用者識別子ともいう），一時識別子（第１一時識別子ともいう），および属性情報をそれぞれ対応付け，これらの情報を例えばテーブル形式で格納する。第１利用者識別子は，利用者を一意に識別するための番号またはその他の記号であればよい。一時識別子は，例えば，予め第１利用者識別子と対応付けてランダムに生成した番号またはその他の記号でもよいし，第１利用者識別子を暗号化して生成してもよいし，ＳＡＭＬ（Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）における仮名を用いてもよい。属性情報は，第１利用者識別子とは異なり容易に利用者を特定できる情報であり，例えば，氏名，ニックネーム，所属するカテゴリにおける統一的な呼び名が挙げられる。 なお，利用者情報格納部１０２には上述の第１利用者識別子，一時識別子および属性情報が少なくとも対応付けられていればよく，その他の情報を対応づけて格納してもよい。 【００１３】 ログ要求部１０３は，情報提供サーバ１１１にログデータを要求するためのログ要求信号を生成する。ログ要求部１０３は，情報提供サーバ１１１から変換されたログデータ（第１変換ログデータともいう）を受信する。第１変換ログデータは，情報提供サーバ１１１で生成されるログデータであり，詳細な説明は後述する。また，ログ要求部１０３は，変換ログデータに含まれる情報提供サーバ１１１での一時識別子（第２一時識別子ともいう）に対応するログ収集サーバ１０１での一時識別子を取得するための取得要求信号を生成する。ログ要求部１０３はその後，後述の一時識別子要求部１０４から，情報提供サーバ１１１での一時識別子に対応するログ収集サーバ１０１での一時識別子を受け取る。 一時識別子要求部１０４は，ログ要求部１０３から，取得要求信号と変換ログデータに含まれる情報提供サーバ１１１での一時識別子とを受け取る。一時識別子要求部１０４は，ネットワーク１３１を介して連携サーバ１２１へ情報提供サーバ１１１での一時識別子を送信する。また，一時識別子要求部１０４は，連携サーバ１２１から，送信した情報提供サーバ１１１での一時識別子に対応する，ログ収集サーバ１０１での一時識別子を受け取る。 【００１４】 名称変換部１０５は，ログ要求部１０３から変換ログデータと情報提供サーバ１１１での一時識別子に対応するログ収集サーバ１０１での一時識別子とをそれぞれ受け取る。名称変換部１０５は，利用者情報格納部１０２からログ収集サーバ１０１での一時識別子に対応する属性情報を抽出し，変換ログデータに含まれる一時識別子を抽出した属性情報に変換し，変換されたログデータ（第２変換ログデータともいう）を得る。 ログ格納部１０６は，名称変換部１０５から第２変換ログデータを受け取って格納する。 【００１５】 ログ削除部１０７は，ログ格納部１０６に格納されたログデータを削除する。例えば，指定された期間のログデータを削除したり，指定された利用者のログデータを削除する。なお，ログデータの削除が実行されるタイミングは，利用者によって手動で行われてもよいし，予め指定された時間を経過した後または所定の時間間隔で実行されもよい。 ログ閲覧部１０８は，利用者の入力に応じて，ログ格納部１０６に格納されたログデータから部分ログデータを抽出して，部分ログデータを利用者が閲覧可能な形式に変換し，ログデータをネットワーク１３１を介して利用者端末１４１に送信する。なお，図１では，ログ格納部１０６から部分ログデータを抽出し，利用者端末１４１にログデータを送信する例を示すが，ログ閲覧部１０８が名称変換部１０５から直接第２変換ログデータを受け取って部分ログデータを抽出し，リアルタイムに利用者のログデータを表示してもよい。」 Ｃ　「【００２２】 次に，本実施形態に係るログ収集システムの利用例について図３のブロック図を参照して説明する。本利用例では，患者が病院での検査結果をもとに，かかりつけの診療所で診断を受ける医療サービスを受診した場合を想定する。 図３に示すログ収集システム３００は，ログ収集サーバ１０１，連携サーバ１２１，病院サーバ３０１－１および診療所サーバ３０１－２を含む。ログ収集サーバ１０１および連携サーバ１２１は，図１に示すログ収集サーバ１０１および連携サーバ１２１と同様の動作を行なうので，ここでの詳細な説明は省略する。 【００２３】 病院サーバ３０１－１および診療所サーバ３０１－２は，病院サーバ３０１－１ではログデータが検査データ３０２－１から収集され，診療所サーバ３０１－２ではログデータが診療データ３０２－２から収集される点が異なるが，その他の構成は情報提供サーバ１１１と同様であるため，ここでの説明は省略する。病院サーバ３０１－１には，患者の検査データへのアクセスに関するログがログデータに記録され，診療所サーバ３０１－２には，診療データへのアクセスに関するログがログデータに記録される。 【００２４】 次に，ログ収集サーバ１０１の利用者情報格納部１０２に格納される利用者情報テーブルの一例について図４を参照して説明する。 図４に示す利用者情報テーブルには，ユーザＩＤ（第１利用者識別子）４０１，（第１）一時識別子４０２および氏名４０３がそれぞれ対応付けられて格納される。例えば，ユーザＩＤ４０１「Ａ００１」は，一時識別子４０２として「ａａａ１１１ｂｂｂ」が付与され，氏名４０３は「山田太郎」である。このように，利用者ごとにログ収集サーバ１０１での一時識別子が付与される。 【００２５】 次に，情報提供サーバ１１１の利用者情報格納部１１２に格納される利用者情報テーブルの一例について図５を参照して説明する。図５（ａ）は，情報提供サーバ１１１の一例として病院サーバ３０１－１に格納されるテーブルを示し，図５（ｂ）は，情報提供サーバ１１１の一例として診療所サーバ３０１－２に格納されるテーブルを示す。 図５（ａ）に示す病院サーバ３０１－１の利用者情報テーブルには，ユーザＩＤ（第２利用者識別子）５０１－１，（第２）一時識別子５０２－１，氏名５０３－１がそれぞれ対応付けられて格納される。具体的に，ユーザＩＤ５０１－１「Ｄａａａ」，一時識別子「ｈｓ１１１１」，氏名「Ｙａｍａｄａ」が対応付けられる。 一方，図５（ｂ）に示す診療所サーバ３０１－２の利用者情報テーブルには，ユーザＩＤ（第２利用者識別子）５０１－２と（第２）一時識別子５０２－２とが対応付けられて格納される。具体的に，ユーザＩＤ５０２－２（当審注：「５０２－２」は「５０１－２」の誤記と認められる。）「１０１１」と一時識別子５０２－２「ｃｌ９９９９」とが対応付けられる。 【００２６】 次に，連携サーバ１２１の一時識別子格納部１２２に格納される一時識別子変換テーブルの一例について図６を参照して説明する。 図６に示す一時識別子変換テーブルには，ユーザＩＤ６０１，ログ収集サーバ１０１での一時識別子４０２，情報提供サーバ（病院サーバ）３０１－１での一時識別子５０２－１および情報提供サーバ（診療所サーバ）３０１－２での一時識別子５０２－２がそれぞれ対応付けられて格納される。具体的に，ログ収集サーバ１０１での一時識別子４０２「ａａａ１１１ｂｂｂ」と，情報提供サーバ（病院サーバ）３０１－１での一時識別子５０２－１「ｈｓ１１１１」と，情報提供サーバ（診療所サーバ）３０１－２での一時識別子５０２－２「ｃｌ９９９９」とが対応付いている。 【００２７】 次に，情報提供サーバ１１１において出力されるログデータの一例について図７を参照して説明する。 図７（ａ）は，病院サーバ３０１－１におけるログデータ７００－１の出力例を示し，図７（ｂ）は，診療所サーバ３０１－２におけるログデータ７００－２の出力例を示す。図７（ａ）および図７（ｂ）のそれぞれのログデータ７００は，日時，アクセス者，対象者，対象データ，操作および結果に関するログを１組として出力する。通常のログデータでは，アクセス者および対象者がそれぞれのサーバでのユーザＩＤを用いて記録されている。具体的には，図７（ａ）では，アクセス者として病院サーバ３０１－１のユーザＩＤ５０１－１「Ｄａａａ」が，対象者としてユーザＩＤ５０１－１「Ｄｃｃｃ」が記録される。 【００２８】 次に，情報提供サーバ１１１において出力される変換ログデータの一例について図８を参照して説明する。 図８（ａ）は，病院サーバ３０１－１における変換ログデータ８００－１の出力例を示し，図８（ｂ）は，診療所サーバ３０１－２におけるログデータ８００－２（当審注：「ログデータ８００－２」は，「変換ログデータ８００－２」の誤記と認められる。）の出力例を示す。図８（ａ）および図８（ｂ）に示すように，ユーザＩＤ５０１－１が対応する一時識別子５０２－１に変換される。具体的には，図５（ａ）に示す利用者情報テーブルを参照すると，ユーザＩＤ５０１－１「Ｄａａａ」が対応する一時識別子５０２－１「ｈｓ１１１１」に変換され，ユーザＩＤ５０１－１「Ｄｃｃｃ」が対応する一時識別子５０２－１「ｋ９９９９」に変換される。 【００２９】 次に，ログ収集サーバ１０１のログ格納部１０６に格納されるログ保管テーブルの一例について図９を参照して説明する。 図９に示すログ保管テーブルには，アクセス日時９０１，アクセス者９０２，対象サーバ９０３，対象利用者９０４，対象データ９０５，操作９０６および結果９０７が，それぞれ対応付けられて格納される。具体的には，例えば，アクセス日時９０１「２０１１／３／１ １０：００」，アクセス者９０２「山田太郎」，対象サーバ９０３「病院」，対象利用者９０４「田中三郎」，対象データ９０５「検査データ」，操作９０６「閲覧」，および結果９０７「成功」が対応付けられる。このように，アクセス者９０２として，ユーザＩＤや一時識別子ではなく，属性情報（ここでは氏名）が格納されることにより，同一人物かどうかを容易にかつ一意に判別できる。 例えば，図５に示すように，同じ病院内でも利用者によって入力する氏名表記が一致しないこともあり，病院と診療所とでは組織体系が異なり，患者や医療従事者のユーザＩＤは異なることが多いと考えられる。本実施形態に係るログ収集システム３００によれば，ログ収集サーバ１０１に格納されている氏名に変換されるので，同一人物であるかどうかが容易かつ一意に判別できる。」 Ｄ　「【図３】 」 Ｅ　「【図４】 」 Ｆ　「【図５】 」 Ｇ　「【図６】 」 Ｈ　「【図７】 」 Ｉ　「【図８】 」 Ｊ　「【図９】 」 （２）したがって，上記引用文献１には次の発明（以下，「引用発明」という。）が記載されていると認められる。 「ログ収集サーバ１０１，情報提供サーバ１１１および連携サーバ１２１を含むログ収集システム１００におけるログ収集サーバ１０１であって， ログ収集サーバ１０１，情報提供サーバ１１１，連携サーバ１２１および利用者端末１４１は，ネットワーク１３１を介して接続され， 情報提供サーバ１１１は，自サーバにおけるログを収集し，ログ収集サーバ１０１の要求によりまたは所定期間ごとに，ログデータをログ収集サーバ１０１へ送信するものであり， ログ収集サーバ１０１は，利用者情報格納部１０２，ログ要求部１０３，一時識別子要求部１０４，名称変換部１０５，ログ格納部１０６，ログ削除部１０７およびログ閲覧部１０８を含み， 利用者情報格納部１０２は，ログ収集サーバ１０１での利用者識別子（第１利用者識別子ともいう），一時識別子（第１一時識別子ともいう），および属性情報をそれぞれ対応付け，これらの情報を例えばテーブル形式で格納し， 第１利用者識別子は，利用者を一意に識別するための番号であればよく， 一時識別子は，予め第１利用者識別子と対応付けてランダムに生成した番号でもよく， 属性情報は，容易に利用者を特定できる情報であり，例えば，氏名が挙げられ， ログ要求部１０３は，情報提供サーバ１１１から変換されたログデータ（第１変換ログデータともいう）を受信し， ログ要求部１０３は，変換ログデータに含まれる情報提供サーバ１１１での一時識別子（第２一時識別子ともいう）に対応するログ収集サーバ１０１での一時識別子を取得するための取得要求信号を生成し，その後，後述の一時識別子要求部１０４から，情報提供サーバ１１１での一時識別子に対応するログ収集サーバ１０１での一時識別子を受け取り， 一時識別子要求部１０４は，ネットワーク１３１を介して連携サーバ１２１へ情報提供サーバ１１１での一時識別子を送信し，また，一時識別子要求部１０４は，連携サーバ１２１から，送信した情報提供サーバ１１１での一時識別子に対応する，ログ収集サーバ１０１での一時識別子を受け取り， 名称変換部１０５は，ログ要求部１０３から変換ログデータと情報提供サーバ１１１での一時識別子に対応するログ収集サーバ１０１での一時識別子とをそれぞれ受け取り，名称変換部１０５は，利用者情報格納部１０２からログ収集サーバ１０１での一時識別子に対応する属性情報を抽出し，変換ログデータに含まれる一時識別子を抽出した属性情報に変換し，変換されたログデータ（第２変換ログデータともいう）を得， ログ格納部１０６は，名称変換部１０５から第２変換ログデータを受け取って格納し， ログ閲覧部１０８は，利用者の入力に応じて，ログ格納部１０６に格納されたログデータから部分ログデータを抽出して，部分ログデータを利用者が閲覧可能な形式に変換し，ログデータをネットワーク１３１を介して利用者端末１４１に送信し， 情報提供サーバ１１１の一例である病院サーバ３０１－１ではログデータが検査データ３０２－１から収集され，また，情報提供サーバ１１１の一例である診療所サーバ３０１－２ではログデータが診療データ３０２－２から収集され， 病院サーバ３０１－１には，患者の検査データへのアクセスに関するログがログデータに記録され，診療所サーバ３０１－２には，診療データへのアクセスに関するログがログデータに記録され， ログ収集サーバ１０１の利用者情報格納部１０２に格納される利用者情報テーブルには，ユーザＩＤ（第１利用者識別子）４０１，（第１）一時識別子４０２および氏名４０３がそれぞれ対応付けられて格納され，例えば，ユーザＩＤ４０１「Ａ００１」は，一時識別子４０２として「ａａａ１１１ｂｂｂ」が付与され，氏名４０３は「山田太郎」であり， 病院サーバ３０１－１の利用者情報テーブルには，ユーザＩＤ（第２利用者識別子）５０１－１，（第２）一時識別子５０２－１，氏名５０３－１がそれぞれ対応付けられて格納され，具体的に，ユーザＩＤ５０１－１「Ｄａａａ」，一時識別子「ｈｓ１１１１」，氏名「Ｙａｍａｄａ」が対応付けられ， 診療所サーバ３０１－２の利用者情報テーブルには，ユーザＩＤ（第２利用者識別子）５０１－２と（第２）一時識別子５０２－２とが対応付けられて格納され，具体的に，ユーザＩＤ５０１－２「１０１１」と一時識別子５０２－２「ｃｌ９９９９」とが対応付けられ， 連携サーバ１２１の一時識別子格納部１２２に格納される一時識別子変換テーブルには，ユーザＩＤ６０１，ログ収集サーバ１０１での一時識別子４０２，情報提供サーバ（病院サーバ）３０１－１での一時識別子５０２－１および情報提供サーバ（診療所サーバ）３０１－２での一時識別子５０２－２がそれぞれ対応付けられて格納され，具体的に，ログ収集サーバ１０１での一時識別子４０２「ａａａ１１１ｂｂｂ」と，情報提供サーバ（病院サーバ）３０１－１での一時識別子５０２－１「ｈｓ１１１１」と，情報提供サーバ（診療所サーバ）３０１－２での一時識別子５０２－２「ｃｌ９９９９」とが対応付いており， 病院サーバ３０１－１におけるログデータ７００－１，及び診療所サーバ３０１－２におけるログデータ７００－２のそれぞれは，日時，アクセス者，対象者，対象データ，操作および結果に関するログを１組として出力し， 通常のログデータでは，アクセス者および対象者がそれぞれのサーバでのユーザＩＤを用いて記録されており，具体的には，病院サーバ３０１－１におけるログデータ７００－１では，アクセス者として病院サーバ３０１－１のユーザＩＤ５０１－１「Ｄａａａ」が，対象者としてユーザＩＤ５０１－１「Ｄｃｃｃ」が記録され， 病院サーバ３０１－１における変換ログデータ８００－１及び診療所サーバ３０１－２における変換ログデータ８００－２は，ユーザＩＤ５０１－１が対応する一時識別子５０２－１に変換され，具体的には，ユーザＩＤ５０１－１「Ｄａａａ」が対応する一時識別子５０２－１「ｈｓ１１１１」に変換され，ユーザＩＤ５０１－１「Ｄｃｃｃ」が対応する一時識別子５０２－１「ｋ９９９９」に変換され， ログ収集サーバ１０１のログ格納部１０６に格納されるログ保管テーブルには，アクセス日時９０１，アクセス者９０２，対象サーバ９０３，対象利用者９０４，対象データ９０５，操作９０６および結果９０７が，それぞれ対応付けられて格納され，具体的には，アクセス日時９０１「２０１１／３／１ １０：００」，アクセス者９０２「山田太郎」，対象サーバ９０３「病院」，対象利用者９０４「田中三郎」，対象データ９０５「検査データ」，操作９０６「閲覧」，および結果９０７「成功」が対応付けられ， アクセス者９０２として，ユーザＩＤや一時識別子ではなく，属性情報（ここでは氏名）が格納されることにより，同一人物かどうかを容易にかつ一意に判別でき， ログを一元的かつ安全に収集し，利用者がログを効率よく閲覧することができるログ収集システム３００におけるログ収集サーバ１０１。」 ２．引用文献２について （１）また，原査定の拒絶の理由に引用された引用文献２（特開２０１３－１５２６５７号公報）には，図面とともに次の事項が記載されている。 Ｋ　「【０００５】 前記目的を達成するために本発明は，画像データに基づく画像形成処理及び原稿から画像データを読み取る画像読取処理のいずれか一方又は両方を実行する画像処理装置における動作履歴の内容を予め定められた置換文字で表現したログデータを自然言語に変換して出力するログ変換工程をコンピューターに実行させるログ変換プログラムであって，前記ログ変換工程は，前記画像処理装置で発生した異常項目に応じて，前記ログデータのうち前記異常項目に対応して予め設定された一又は複数のログ項目の情報のみを抽出して出力するものであることを特徴とするログ変換プログラムとして構成される。 具体的に，前記ログ変換工程は，前記置換文字と前記自然言語との対応関係が予め定められたログ対応情報に基づいて前記ログデータを前記自然言語に変換するものであることが考えられる。 ここに，前記ログデータは，例えば前記画像処理装置の異常発生直前における前記画像処理装置の使用環境に関する情報を含むものである。なお，前記ログデータの出力とは，表示出力又は印字出力などである。 本発明によれば，前記ログデータのうち前記異常項目各々の発生時に参照するべきログ項目の情報のみを迅速且つ容易に確認させることが可能となる。なお，前記画像処理装置における前記ログデータが自然言語で出力されるため，そのログデータに含まれる特定文字と自然言語との対応関係を熟知した開発者などの特定の者でなくても前記ログデータの内容を容易に把握することができる。 【０００６】 ところで，本発明は，前記ログ変換プログラムを実行する情報処理装置の発明として捉えてもよい。 即ち，本発明は，画像データに基づく画像形成処理及び原稿から画像データを読み取る画像読取処理のいずれか一方又は両方を実行する画像処理装置における動作履歴の内容を予め定められた置換文字で表現したログデータを自然言語に変換して出力するログ変換手段を備えてなる情報処理装置であって，前記ログ変換手段は，前記画像処理装置で発生した異常項目に応じて，前記ログデータのうち前記異常項目に対応して予め設定された一又は複数のログ項目の情報のみを抽出して出力するものであることを特徴とする情報処理装置として捉えることができる。」 Ｌ　「【００１９】 ここで，図３は，前記ログデータの一例を示している。図３に示すように，例えばハードディスクドライブの状態（ＨＤＤ　ｓｔａｔｕｓ）は，記録時に付される時系列番号（２４，２５，・・・３１）ごとに「１」又は「２」と表現されている。この「１」及び「２」が前記置換文字であり，「１」はハードディスクドライブが「通常状態」であることを，「２」はハードディスクドライブが「アクセス中」であることを示している。このように前記置換文字で表現されたログデータは自然言語で表現されたものではないため，ユーザーやサービスマンなどが参照してもその内容を容易に確認することはできない。そのため，当該ログ変換処理では，以下の処理工程により前記ログデータを自然言語に変換して表示させる。」 Ｍ　「【００２６】 ［ステップＳ８］ 続くステップＳ８において，前記ＣＰＵ１１１は，前記ステップＳ７における自然言語への変換後の前記ログ項目の内容を一括してテキストデータとして前記表示部１２に表示出力させる。これにより，前記情報処理装置１０を操作するユーザーやサービスマンは，自然言語で表現されたログデータを参照して容易にそのログデータの内容を確認することができる。なお，前記ステップＳ８の実行によって一連の前記ログ変換処理は終了し，処理は前記ステップＳ１に移行する。 ここに，図４は，前記ステップＳ８で表示出力されるログデータの内容の一例を示している。図４に示すように，例えば「ＨＤＤ　ｓｔａｔｕｓ」の項目の内容は，前記置換文字の「２」ではなく，自然言語により「ＨＤＤアクセス中」と表示されている。 なお，ここでは前記ログデータの変換結果を表示出力する場合を例に挙げたが，前記ログデータの変換結果をプリンター又は複合機などの画像形成装置により印字出力することも考えられる。また，前記ログデータの変換結果をテキストデータなどの所定形式のファイルデータとして出力することも考えられる。」 Ｎ　「【図３】 」 Ｏ　「【図４】 」 （２）したがって，上記引用文献２には次の技術的事項が記載されていると認められる。 「画像処理装置における動作履歴の内容を予め定められた置換文字で表現したログデータを自然言語に変換して出力するログ変換工程をコンピューターに実行させるログ変換プログラムにおいて， 前記ログ変換工程は，前記置換文字と前記自然言語との対応関係が予め定められたログ対応情報に基づいて前記ログデータを前記自然言語に変換するものであり， 前記画像処理装置における前記ログデータが自然言語で出力されるため，そのログデータに含まれる特定文字と自然言語との対応関係を熟知した開発者などの特定の者でなくても前記ログデータの内容を容易に把握することができること。」 ３．引用文献３について （１）また，拒絶査定において周知技術を示す文献として引用された引用文献３（特開２０１２－２０８５６５号公報）には，図面とともに次の事項が記載されている。 Ｐ　「ログ管理方法は，ファイル操作のログを管理するログ管理方法であって，（Ａ）所定期間内に操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得するステップと，（Ｂ）ログデータに記録されている複数のログイベントを，ログイベント間の関連性に基づいて一又は複数のグループとして集約するステップと，を備える。」（【要約】） Ｑ　「【００７５】 このように本実施の形態に係るログ管理方法によれば，ログデータ２１Ａに記録されている複数のログイベントが，ログイベント間の関連性に基づいて一又は複数のグループに集約される。このように，複数のログイベントを一又は複数のグループに集約することにより，ログデータのデータ量を削減することが可能となる。」 （２）したがって，上記引用文献３には次の技術的事項が記載されていると認められる。 「ログデータを取得するステップと， ログデータに記録されている複数のログイベントを，ログイベント間の関連性に基づいて一又は複数のグループとして集約するステップと，を備え， 複数のログイベントを一又は複数のグループに集約することにより，ログデータのデータ量を削減することが可能となる ログ管理方法。」 ４．引用文献４について （１）また，拒絶査定において周知技術を示す文献として引用された引用文献４（特開２０１０－２６２４９１号公報）には，図面とともに次の事項が記載されている。 Ｒ　「【０００２】 情報漏洩事故が社会問題となっている。情報漏洩対策として，情報処理装置において，ファイル操作やメール送受信といった操作に関する操作ログ（単にログともいう）を取得し，漏洩事故発生時の原因究明や不正の抑止に活用する方法が多く知られている。 【０００３】 情報処理装置が備えるOSは，記憶装置に記録するまたは記録されているデータを管理するための仕組みとしてファイルシステムを備える。ユーザがファイル操作を行うときは，ファイルシステムを介してファイルが操作されるため，ファイルシステムを監視することで，ファイル操作ログを取得することができる。 【０００４】 しかしながら，ユーザが行った一つの操作に対して，記憶装置へのファイル操作を行うファイルシステムでは複数の操作が行われることがある。このような場合，ファイルシステムの操作ログは複数取得されることになってしまい，分かりづらい。例えば，電子ファイルを作成した場合，ファイルシステムからは「作成」「削除」「作成」「変更」のような複数の操作が行われる。 【０００５】 これに対し，これらを実操作に対応したログにして，分析を容易にするために，あらかじめ定義したパターンと一致する処理が，所定の時間以内に行われた場合に，複数の操作から一つの実操作を表すログを作成する手法が提案されている（特許文献１）。」 （２）したがって，上記引用文献４には次の技術的事項が記載されていると認められる。 「ファイルシステムの操作ログを実操作に対応したログにして，分析を容易にするために，あらかじめ定義したパターンと一致する処理が，所定の時間以内に行われた場合に，複数の操作から一つの実操作を表すログを作成する手法。」 第４　対比・判断 １．本願発明１について （１）対比 本願発明１と引用発明とを対比すると，次のことがいえる。 （ア）引用発明の「情報提供サーバ１１１」，「ログデータ」は本願発明１の「コンピュータ装置」，「収集ログ情報」にそれぞれ相当する。 引用発明の「情報提供サーバ１１１」は，「自サーバにおけるログを収集し，ログ収集サーバ１０１の要求によりまたは所定期間ごとに，ログデータをログ収集サーバ１０１へ送信するものであり」，また，「情報提供サーバ１１１の一例である病院サーバ３０１－１ではログデータが検査データ３０２－１から収集され，また，情報提供サーバ１１１の一例である診療所サーバ３０１－２ではログデータが診療データ３０２－２から収集され」るものであるから，引用発明の「情報提供サーバ１１１」の「一例」である「病院サーバ３０１－１」及び「診療所サーバ３０１－２」は，「ログ収集サーバ１０１」へ「送信」するための「ログデータ」を“出力”する“コンピュータ装置”である点で，本願発明１の“対象となるコンピュータ装置群”に対応するものといえる。 そうすると，引用発明の「病院サーバ３０１－１」及び「診療所サーバ３０１－２」で収集されて「ログ収集サーバ１０１」へ「送信」される「ログデータ」が，本願発明１の「対象となるコンピュータ装置群が出力する収集ログ情報」に相当する。 （イ）引用発明の「ログ収集サーバ１０１」は，「利用者情報格納部１０２，ログ要求部１０３，一時識別子要求部１０４，名称変換部１０５，ログ格納部１０６，ログ削除部１０７およびログ閲覧部１０８を含」んでいるところ，これらの「利用者情報格納部１０２」，「ログ要求部１０３」，「一時識別子要求部１０４」，「名称変換部１０５」，「ログ格納部１０６」，「ログ削除部１０７」および「ログ閲覧部１０８」は，「病院サーバ３０１－１」及び「診療所サーバ３０１－２」から受信した「ログデータ」に対する“処理”を行う“装置”であるといえるから，“処理装置”とみることができ，当該“処理”の結果，「ログ収集サーバ１０１のログ格納部１０６に格納されるログ保管テーブル」には，「アクセス日時９０１，アクセス者９０２，対象サーバ９０３，対象利用者９０４，対象データ９０５，操作９０６および結果９０７が，それぞれ対応付けられて格納され，具体的には，アクセス日時９０１「２０１１／３／１ １０：００」，アクセス者９０２「山田太郎」，対象サーバ９０３「病院」，対象利用者９０４「田中三郎」，対象データ９０５「検査データ」，操作９０６「閲覧」，および結果９０７「成功」が対応付けられ」るものである。 そして，引用発明の「アクセス日時９０１」は，「アクセス者９０２」が，「対象サーバ９０３」の「対象データ９０５」にアクセスした日時を示す情報である一方，本願明細書の【００１３】の 「１０１ユーザＡが１０４サーバαのファイル１０７甲，１０５サーバβのファイル１０８乙と１０９丙， １０２ユーザＢが１０５サーバβのファイル１０８乙と１０９丙， １０３ユーザＣが１０６サーバγのファイル１１０丁を操作すると， コンピュータ１０４サーバα，１０５サーバβ，１０６サーバγはそれぞれ操作された時にコンピュータの動作状況を１１１ログ情報としてそれぞれ出力する。」 との記載，及び同【００１５】の 「・日時　　　　：ユーザがファイルにアクセスした日時分秒。 ・ユーザ　　　：ファイルにアクセスした人又はアカウントを持つ機能。 ・対象　　　　：操作に関連した事象。 ファイルアクセスの場合は，アクセスされたファイルやディレクトリ。」 との記載からすると，本願発明１の「日時」は，「ユーザ（ファイルにアクセスした人）」が，「サーバ（α，β，γ）」の「対象（ファイル）」にアクセスした日時分秒を意味しているものと認められることから，引用発明の「アクセス日時９０１」，「アクセス者９０２」，「対象サーバ９０３」，「対象データ９０５」は本願発明１の「日時」，「ユーザ」，「サーバ」，「対象」に相当するといえる。 また，引用発明では，「ログ保管テーブル」に「アクセス日時９０１，アクセス者９０２，対象サーバ９０３，対象利用者９０４，対象データ９０５，操作９０６および結果９０７が，それぞれ対応付けられて格納され」るものであるから，上記“処理装置”は，ログデータから，「アクセス日時９０１」，「アクセス者９０２」，「対象サーバ９０３」及び「対象データ９０５」を“抽出”する処理を実行しているといえる。 してみれば，引用発明の「利用者情報格納部１０２，ログ要求部１０３，一時識別子要求部１０４，名称変換部１０５，ログ格納部１０６，ログ削除部１０７およびログ閲覧部１０８」と本願発明１の「収集ログ情報から日時，ユーザ，サーバ，対象，詳細を抽出してメモリ内のログ情報テーブルに配置するとともに，人間の作業に関連したログ情報の詳細と操作とを対応付けた操作マスタを用いて，前記ログ情報テーブルの詳細に前記操作マスタで対応付けられた操作を付加する機能を有するマッピング処理装置」とは，後記する点で相違するものの，“収集ログ情報から日時，ユーザ，サーバ，対象を抽出する処理を実行する処理装置”である点で共通する。 （ウ）引用発明の「ログ収集サーバ１０１」と本願発明１の「圧縮，翻訳サーバ」とは，ともに，「サーバ」である点で共通する。 したがって，本願発明１と引用発明との間には，次の一致点，相違点があるといえる。 （一致点） 「対象となるコンピュータ装置群が出力する収集ログ情報から日時，ユーザ，サーバ，対象を抽出する処理を実行する処理装置 を備えるサーバ。」 （相違点） （相違点１）本願発明１の「圧縮，翻訳サーバ」は，「収集ログ情報を読み取り，読み取った収集ログ情報を時系列に解析する為に，収集ログ情報から日時，ユーザ，サーバ，対象，詳細を抽出してメモリ内のログ情報テーブルに配置するとともに，人間の作業に関連したログ情報の詳細と操作とを対応付けた操作マスタを用いて，前記ログ情報テーブルの詳細に前記操作マスタで対応付けられた操作を付加する機能を有するマッピング処理装置」を備えているのに対して， 引用発明の「ログ収集サーバ１０１」は，収集ログ情報から日時，ユーザ，サーバ，対象を抽出する処理を実行する処理装置を備えるものの，上記したような「マッピング処理装置」を備えるものではない点。 （相違点２）本願発明１の「圧縮，翻訳サーバ」は，「前記ログ情報テーブルの，ユーザ，サーバ，対象が同じ行について，詳細の出現パターンをルールマスタに照らし合わせることによって，前記ログ情報テーブルの行の一部を処理対象外とするとともに，一定時間内の同一操作を一つに圧縮し，前記ログ情報テーブルの複数の操作の組み合わせを一つの操作に集約してアクセスログデータとして出力する第１の処理装置」を備えているのに対して， 引用発明の「ログ収集サーバ１０１」は，そのような処理装置を備えていない点。 （相違点３）本願発明１の「圧縮，翻訳サーバ」は，「前記アクセスログデータを自然言語に翻訳するパス４処理装置」を備えているのに対して， 引用発明の「ログ収集サーバ１０１」は，そのような処理装置を備えていない点。 （２）相違点についての判断 上記相違点１について検討すると，本願発明１の「圧縮，翻訳サーバ」は，「収集ログ情報から日時，ユーザ，サーバ，対象，詳細を抽出してメモリ内のログ情報テーブルに配置するとともに，人間の作業に関連したログ情報の詳細と操作とを対応付けた操作マスタを用いて，前記ログ情報テーブルの詳細に前記操作マスタで対応付けられた操作を付加する機能を有するマッピング処理装置」を備えており，ここで「ログ情報テーブルに配置」される「人間の作業に関連したログ情報の詳細」とは，本願明細書の段落【００１５】の 「・詳細　　　　：操作に関連した事象で日時，ユーザ，対象以外の付加情報。 ファイルアクセスの場合は，ＡｃｃｅｓｓＶａｌｕｅ，対象のＩＰアドレス，ファイルアクセスの場合は，ＡｃｃｅｓｓＶａｌｕｅ，対象のＩＰアドレス，セッション情報。」 との記載を参酌すると，「操作に関連した事象で日時，ユーザ，対象以外の付加情報であり，ファイルアクセスの場合は，ＡｃｃｅｓｓＶａｌｕｅ，対象のＩＰアドレス，セッション情報」のことを指すものであり，また，「操作」とは，同【００１５】の 「・操作　　　　：ＯＳ，アプリケーションが判断するファイルに対する情報。（ｌｏｇｏｎ，ｌｏｇｏｆｆ，ｗｒｉｔｅ，ｒｅａｄ等々）」との記載によれば，「ＯＳ，アプリケーションが判断するファイルに対するｌｏｇｏｎ，ｌｏｇｏｆｆ，ｗｒｉｔｅ，ｒｅａｄ等の情報」を指すものと認められるところ，引用発明には，このような「詳細」と「操作」とを対応付けた「操作マスタ」は特定されておらず，また，そのような「操作マスタ」を用いて，「ログ情報テーブル」に配置された「詳細」に「操作マスタ」で対応付けられた「操作」を「付加する」ことも全く特定されていない。 また，上記した「操作マスタ」を用いて「ログ情報テーブル」に配置された「詳細」に「操作マスタ」で対応付けられた「操作」を「付加する」ことが当該技術分野における周知技術であるということもできない。 また，上記引用文献２～４にも，上記したような，「詳細」と「操作」とを対応付けた「操作マスタ」を用いて，「ログ情報テーブル」に配置された「詳細」に「操作マスタ」で対応付けられた「操作」を「付加する」ことは記載も示唆もされていない。 そうすると，当業者であっても，引用発明に引用文献２～４に記載の技術的事項を適用して，上記相違点１に係る「収集ログ情報を読み取り，読み取った収集ログ情報を時系列に解析する為に，収集ログ情報から日時，ユーザ，サーバ，対象，詳細を抽出してメモリ内のログ情報テーブルに配置するとともに，人間の作業に関連したログ情報の詳細と操作とを対応付けた操作マスタを用いて，前記ログ情報テーブルの詳細に前記操作マスタで対応付けられた操作を付加する機能を有するマッピング処理装置」を備えることを容易に想到することができたとはいえない。 したがって，上記相違点２及び相違点３について判断するまでもなく，本願発明１は，当業者であっても引用発明及び引用文献２～４に記載の技術的事項に基づいて容易に発明できたものであるとはいえない。 ２．本願発明２－３について 本願発明２－３は，本願発明１を減縮した発明であり，上記相違点１に係る構成と同一の構成を備えるものであるから，本願発明１と同様の理由により，当業者であっても，引用発明及び引用文献２～４に記載の技術的事項に基づいて容易に発明できたものとはいえない。 第５　原査定の概要及び原査定についての判断 原査定は，請求項１について上記引用文献１－４に基づいて，当業者が容易に発明できたものであるから，特許法第２９条第２項の規定により特許を受けることができないというものである。しかしながら，平成３０年１１月７日付け手続補正により補正された請求項１は，上記相違点１に係る構成を有するものとなっており，上記のとおり，本願発明１－３は，引用発明及び引用文献２～４に記載の技術的事項に基づいて，当業者が容易に発明できたものではない。したがって，原査定を維持することはできない。 第６　当審拒絶理由について １．特許法第３６条第６項第２号について （１）当審では，請求項１の「監査等を行う際に人間が行った行動分析をしやすくする為に，コンピュータなど機械が出力するログ情報など人間が作業したログ以外を排除し」との記載における，「コンピュータなど機械が出力するログ情報など人間が作業したログ以外を排除し」とは，如何なるログ情報を如何なる情報処理を実行することによって「排除」することを特定しているのかが不明確であるとの拒絶の理由を通知しているが，平成３０年１１月７日付けの手続補正において，請求項１が，前記「第２　本願発明」に記載したとおりに補正された結果，この拒絶の理由は解消した。 （２）当審では，請求項１の「人間の行動に基づきログを取りまとめる事によって，収集ログを０００分の１から２０００分の１に圧縮し」との記載では，どのような情報をどのように処理することによって，「ログを取りまとめ」，「収集ログを・・・圧縮」しているのかが不明確であるとの拒絶の理由を通知しているが，平成３０年１１月７日付けの手続補正において，請求項１が，前記「第２　本願発明」に記載したとおりに補正された結果，この拒絶の理由は解消した。 （３）当審では，請求項１の「翻訳に必要な制御情報を付加し」との記載における「翻訳に必要な制御情報」とは，具体的にどのような情報のことを指しているのかが不明確であるとの拒絶の理由を通知しているが，平成３０年１１月７日付けの手続補正において，請求項１が，前記「第２　本願発明」に記載したとおりに補正された結果，この拒絶の理由は解消した。 （４）当審では，請求項２の「この集合とルールマスタとを突合せ，ルールマスタにマッチングした場合，ルールマスタに定義した変換ルールに従って，コンピュータ動作を集約し」との記載では，「ルールマスタ」がどのようなものであるのか，また，「ルールマスタに定義した変換ルールに従って，コンピュータ動作を集約し」とは，どのような情報をどのように処理することによって，「集約」が行われるのかが特定されておらず，発明の構成が不明確であるとの拒絶の理由を通知しているが，平成３０年１１月７日付けの手続補正において，請求項２が，前記「第２　本願発明」に記載したとおりに補正された結果，この拒絶の理由は解消した。 （５）当審では，請求項３の「同一ユーザ，同一サーバ，同一対象の行について，特定の操作の前後一定時間内に発生した操作に対してプライオリティを付け，プライオリティが低い操作を選別し特定の操作に吸収圧縮させる」との記載では，どのような情報処理を実行することで，「特定の操作に吸収圧縮させ」ているのかが不明確であるとの拒絶の理由を通知しているが，平成３０年１１月７日付けの手続補正において，請求項３が，前記「第２　本願発明」に記載したとおりに補正された結果，この拒絶の理由は解消した。 ２．特許法第３６条第６項第１号について （１）当審では，請求項１の「人間の行動に基づきログを取りまとめる事によって，収集ログを１０００分の１から２０００分の１に圧縮」「する機能を有するマッピング処理装置」との記載は，発明の詳細な説明の記載と対応したものとはいえないとの拒絶の理由を通知しているが，平成３０年１１月７日付けの手続補正において，請求項１が，前記「第２　本願発明」に記載したとおりに補正された結果，この拒絶の理由は解消した。 （２）当審では，請求項２の「処理装置」は，請求項２の「前記メモリ内のログ情報テーブルに配置されたログ情報からユーザ，サーバ，対象を前記ログ情報テーブルとは別のメモリ領域上にサマリとして展開し，展開したサマリを使用し，ログ情報の複数行に渡る同一ユーザ，同一サーバ，同一対象の行を一意の集合とし，この集合とルールマスタとを突合せ，ルールマスタにマッチングした場合，ルールマスタに定義した変換ルールに従って，コンピュータ動作を集約」するとの記載内容からすると，本願明細書の発明の詳細な説明における「プリパス１処理装置及びパス１処理装置」に対応する構成であると認められるが，本願明細書の発明の詳細な説明の記載をみても，「プリパス１処理装置及びパス１処理装置」が，「自然言語に変換」する機能を有することは記載されていないとの拒絶の理由を通知しているが，平成３０年１１月７日付けの手続補正において，請求項２が，前記「第２　本願発明」に記載したとおりに補正された結果，この拒絶の理由は解消した。 第７　むすび 以上のとおり，本願発明１－３は，当業者が引用発明及び引用文献２～４に記載の技術的事項に基づいて容易に発明をすることができたものではない。 したがって，原査定の理由によっては，本願を拒絶することはできない。 また，他に本願を拒絶すべき理由を発見しない。 よって，結論のとおり審決する。