2018-012064

特願２０１６－５５２６１１「ウイルス処理方法、装置、システム、機器及びコンピュータ記憶媒体」拒絶査定不服審判事件〔平成２８年　６月２３日国際公開、ＷＯ２０１６／０９５４７９、平成２９年　４月２７日国内公表、特表２０１７－５１１９２３、請求項の数（２５）〕について、次のとおり審決する。

【結　論】 原査定を取り消す。 本願の発明は、特許すべきものとする。

【理　由】 第１　手続の経緯 本願は，２０１５年６月２９日（パリ条約による優先権主張２０１４年１２月１９日（以下，「優先日」という。）；中国）を国際出願日とする出願であって，平成２９年８月２８日付けで審査官により拒絶理由通知がされ，平成２９年１１月３０日に意見書が提出されるとともに手続補正がされ，平成３０年４月１９日付けで拒絶査定（原査定）がされ，これに対し，平成３０年９月７日に拒絶査定不服審判の請求がされると同時に手続補正がされ，令和元年５月３０日付けで当審より拒絶理由通知（以下，「当審拒絶理由通知」という。）がされ，令和元年９月４日に意見書が提出されるとともに手続補正がされたものである。 第２　原査定の概要 原査定（平成３０年４月１９日付け拒絶査定）の概要は次のとおりである。 （１）本願請求項１ないし２９に係る発明は，以下の引用文献１及び２に基づいて，その発明の属する技術の分野における通常の知識を有する者（以下，「当業者」という。）が容易に発明できたものであるから，特許法第２９条第２項の規定により特許を受けることができない。 引用文献等一覧 １．特表２０１４－５２５６３９号公報 ２．米国特許出願公開第２００５／０１８８２７２号明細書 （２）請求項２ないし１２，１４ないし２５，２７，２９に係る発明は不明確であり，本願は，特許法第３６条第６項第２号に規定する要件を満たしていない。 第３　当審拒絶理由の概要 当審でなされた拒絶理由の概要は次のとおりである。 （１）本願請求項１ないし２７は，特許請求の範囲の記載が特許法第３６条第６項第２号に規定する要件を満たしていない。 （２）本願請求項１ないし２７に係る発明は，その出願前に日本国内又は外国において，頒布された下記の刊行物に記載された発明又は電気通信回線を通じて公衆に利用可能となった発明に基いて，その出願前にその発明の属する技術の分野における通常の知識を有する者が容易に発明をすることができたものであるから，特許法第２９条第２項の規定により特許を受けることができない。 引用文献等一覧 Ａ．特表２０１４－５２５６３９号公報（原査定時の引用文献１） Ｂ．特表２０１３－５２９３３５号公報 第４　本願発明 本願請求項１ないし２５に係る発明（以下，それぞれ「本願発明１」ないし「本願発明２５」などという。）は，令和元年９月４日付けの手続補正で補正された特許請求の範囲の請求項１ないし２５に記載された事項により特定される発明であり，以下のとおりの発明である。 「　【請求項１】 ウイルス処理装置により実行されるウイルス処理方法であって、 ウイルス決定ユニットが、クライアントによりスキャンされたウイルス本体挙動に対応するウイルスファミリーの情報を決定するステップと、 命令送信ユニットが、前記ウイルスファミリーの情報とウイルス除去命令との対応関係に基づいて、決定されたウイルスファミリーの情報に対応するウイルス除去命令を前記クライアントに送信し、これにより、前記クライアントが前記ウイルス除去命令を実行してウイルス本体の除去を行うステップと、 を含み、 前記ウイルスファミリーは、挙動が類似する一群のウイルス本体からなり、 前記ウイルス決定ユニットがクライアントによりスキャンされたウイルス本体挙動に対応するウイルスファミリーの情報を決定するステップは、 第１受信サブユニットが、前記クライアントにより報告された、前記クライアントによりスキャンされたウイルス本体挙動を示すウイルス本体挙動情報を含むスキャンログを受信するステップと、 マッチングサブユニットが、前記ウイルス本体挙動情報と、クラウドの挙動チェーンスクリプトライブラリとをマッチングすることで、悪意のあるウイルス本体挙動に対応するウイルスファミリーの情報を決定するステップであって、前記挙動チェーンスクリプトライブラリは、悪意のあるウイルス挙動情報と、挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリである、ステップと、 を含むこと を特徴とするウイルス処理方法。 【請求項２】 前記ウイルス決定ユニットがクライアントによりスキャンされたウイルス本体挙動に対応するウイルスファミリーの情報を決定するステップは、 第２受信サブユニットが、前記クライアントにより報告された識別結果を受信するステップと、 取得サブユニットが、前記クライアントがスキャンされたウイルス本体挙動情報と、クライアントローカルの挙動チェーンスクリプトライブラリとをマッチングして決定したウイルスファミリーの情報を前記識別結果から取得するステップと、 を含むこと を特徴とする請求項１に記載の方法。 【請求項３】 結合分析ユニットが、クライアントにより報告されたスキャンログを分析して更新されたウイルス本体挙動情報を取得するステップと、 ライブラリ更新ユニットが、更新されたウイルス本体挙動情報を利用して前記クラウドの挙動チェーンスクリプトライブラリを更新するステップと、 をさらに含むこと を特徴とする請求項１に記載の方法。 【請求項４】 前記マッチングサブユニットにより前記スキャンログに含まれるウイルス本体挙動情報と、前記クラウドの挙動チェーンスクリプトライブラリとをマッチングして決定した前記ウイルスファミリーの情報が前記識別結果から取得されたウイルスファミリーの情報と一致しない場合、前記命令送信ユニットは、前記スキャンログに含まれるウイルス本体挙動情報と、前記クラウドの挙動チェーンスクリプトライブラリとをマッチングして決定した前記ウイルスファミリーの情報によって、送信するウイルス除去命令を決定し、又は人為的に識別されたウイルスファミリーの情報によって、送信するウイルス除去命令を決定するステップをさらに含むこと を特徴とする請求項２に記載の方法。 【請求項５】 前記ウイルス本体挙動情報は、 プロセス、ロードモジュール、ドライバ、サービス、Ｒｏｏｔｋｉｔ、スタートアップ項目、ＩＥ関連項目、ブートウイルス、システムディレクトリ、デスクトップディレクトリ、スタートメニュー、一般的なソフトウェア、スクリプト、システムコンポーネント、ログインセクション、システムスタートアップ項目等の少なくとも１つをスキャンして取得された挙動情報であること を特徴とする請求項１～４のいずれか一項に記載の方法。 【請求項６】 前記ウイルス除去命令は、 デフォルトのホームページをロックする命令、デフォルトブラウザの検索ホームを変更する命令、指定されたツールソフトウェアをダウンロードする命令又は悪意のあるウイルス本体挙動の関連コンテンツを除去する命令を含むこと を特徴とする請求項１～４のいずれか一項に記載の方法。 【請求項７】 挙動スキャンユニットが、ウイルス本体挙動をスキャンするステップと、 ログ報告ユニットが、スキャンログをクラウドサービスプラットフォームに報告するステップと、及び／又は、 ウイルス識別ユニットが、ローカルの挙動チェーンスクリプトライブラリを利用して、前記ウイルス本体挙動を識別し、悪意のあるウイルス本体挙動が識別された場合、前記悪意のあるウイルス本体挙動に対応するウイルスファミリーの情報をクラウドサービスプラットフォームに報告するステップであって、前記挙動チェーンスクリプトライブラリは、悪意のあるウイルス挙動情報と、挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリである、ステップと、 命令処理ユニットが、前記クラウドサービスプラットフォームにより送信されたウイルス除去命令を受信して実行するステップと、 を含み、 前記ウイルスファミリーは、挙動が類似する一群のウイルス本体からなる、 ことを特徴とするウイルス処理方法。 【請求項８】 ウイルス識別ユニットにより悪意のあるウイルス本体挙動が識別された場合、ウイルス除去ユニットが前記悪意のあるウイルス本体挙動に関連するコンテンツを除去するステップをさらに含むこと を特徴とする請求項７に記載の方法。 【請求項９】 ライブラリ更新ユニットが、クラウドの挙動チェーンスクリプトライブラリをロードし、クラウドの挙動チェーンスクリプトライブラリを利用して前記ローカルの挙動チェーンスクリプトライブラリを更新するステップをさらに含むこと を特徴とする請求項７に記載の方法。 【請求項１０】 前記ウイルス除去命令は、 デフォルトのホームページをロックする命令、デフォルトブラウザの検索ホームを変更する命令、指定されたツールソフトウェアをダウンロードする命令又は悪意のあるウイルス本体挙動の関連コンテンツを除去する命令を含むこと を特徴とする請求項７～９のいずれか一項に記載の方法。 【請求項１１】 クライアントによりスキャンされたウイルス本体挙動に対応するウイルスファミリーの情報を決定するためのウイルス決定ユニットと、 前記ウイルスファミリーの情報とウイルス除去命令との対応関係に基づいて、前記ウイルス決定ユニットにより決定されたウイルスファミリーの情報に対応するウイルス除去命令を前記クライアントに送信し、これにより、前記クライアントが前記ウイルス除去命令を実行してウイルス本体の除去を行うための命令送信ユニットと、 を備え、 前記ウイルスファミリーは、挙動が類似する一群のウイルス本体からなり、 前記ウイルス決定ユニットは、 前記クライアントにより報告された、前記クライアントによりスキャンされたウイルス本体挙動を示すウイルス本体挙動情報を含むスキャンログを受信するための第１受信サブユニットと、 前記ウイルス本体挙動情報と、クラウドの挙動チェーンスクリプトライブラリとをマッチングすることで、悪意のあるウイルス本体挙動に対応するウイルスファミリーの情報を決定するためのマッチングサブユニットであって、前記挙動チェーンスクリプトライブラリは、悪意のあるウイルス挙動情報と、挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリである、マッチングサブユニットと、 を備えること を特徴とするウイルス処理装置。 【請求項１２】 前記ウイルス決定ユニットは、 前記クライアントにより報告された識別結果を受信するための第２受信サブユニットと、 前記クライアントがスキャンされたウイルス本体挙動情報と、クライアントローカルの挙動チェーンスクリプトライブラリとをマッチングして決定したウイルスファミリーの情報を前記識別結果から取得するための取得サブユニットと、 を備えること を特徴とする請求項１１に記載の装置。 【請求項１３】 前記クライアントにより報告されたスキャンログを分析して更新されたウイルス本体挙動情報を取得するための結合分析ユニットと、 更新されたウイルス本体挙動情報を利用して前記クラウドの挙動チェーンスクリプトライブラリを更新するためのライブラリ更新ユニットと、 をさらに備えること を特徴とする請求項１１に記載の装置。 【請求項１４】 前記マッチングサブユニットにより決定されたウイルスファミリーの情報が前記取得サブユニットにより取得されたウイルスファミリーの情報と一致しない場合、前記命令送信ユニットが、前記マッチングサブユニットにより決定されたウイルスファミリーの情報によって、送信するウイルス除去命令を決定し、又は人為的に識別されたウイルスファミリーの情報によって、送信するウイルス除去命令を決定すること を特徴とする請求項１２に記載の装置。 【請求項１５】 前記ウイルス本体挙動情報は、 プロセス、ロードモジュール、ドライバ、サービス、Ｒｏｏｔｋｉｔ、スタートアップ項目、ＩＥ関連項目、ブートウイルス、システムディレクトリ、デスクトップディレクトリ、スタートメニュー、一般的なソフトウェア、スクリプト、システムコンポーネント、 ログインセクション、システムスタートアップ項目等の少なくとも１つをスキャンして取得された挙動情報であること を特徴とする請求項１１～１４のいずれか一項に記載の装置。 【請求項１６】 前記ウイルス除去命令は、 デフォルトのホームページをロックする命令、デフォルトブラウザの検索ホームを変更する命令、指定されたツールソフトウェアをダウンロードする命令又は悪意のあるウイルス本体挙動の関連コンテンツを除去する命令を含むこと を特徴とする請求項１１～１４のいずれか一項に記載の装置。 【請求項１７】 ログ報告ユニットとウイルス識別ユニットの少なくとも１つと、挙動スキャンユニットと、命令処理ユニットとを備えており、 前記挙動スキャンユニットは、ウイルス本体挙動をスキャンすることに用いられ、 前記ログ報告ユニットは、スキャンログをクラウドサービスプラットフォームに報告することに用いられ、 前記ウイルス識別ユニットは、ローカルの挙動チェーンスクリプトライブラリを利用して、前記ウイルス本体挙動を識別し、悪意のあるウイルス本体挙動が識別された場合、前記悪意のあるウイルス本体挙動に対応するウイルスファミリーの情報を前記クラウドサービスプラットフォームに報告することに用いられ、前記挙動チェーンスクリプトライブラリは、悪意のあるウイルス挙動情報と、挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリであり、 前記命令処理ユニットは、前記クラウドサービスプラットフォームにより送信されたウイルス除去命令を受信して前記ウイルス除去命令を実行することに用いられ、 前記ウイルスファミリーは、挙動が類似する一群のウイルス本体からなり、 ことを特徴とするウイルス処理装置。 【請求項１８】 前記ウイルス識別ユニットにより悪意のあるウイルス本体挙動が識別された場合、前記悪意のあるウイルス本体挙動に関連するコンテンツを除去するためのウイルス除去ユニットをさらに備えることを特徴とする請求項１７に記載の装置。 【請求項１９】 クラウドの挙動チェーンスクリプトライブラリをロードし、クラウドの挙動チェーンスクリプトライブラリを利用して前記ローカルの挙動チェーンスクリプトライブラリを更新するためのライブラリ更新ユニットをさらに備えること を特徴とする請求項１７に記載の装置。 【請求項２０】 前記ウイルス除去命令は、 デフォルトのホームページをロックする命令、デフォルトブラウザの検索ホームを変更する命令、指定されたツールソフトウェアをダウンロードする命令又は悪意のあるウイルス本体挙動の関連コンテンツを除去する命令を含むこと を特徴とする請求項１７～１９のいずれか一項に記載の装置。 【請求項２１】 請求項１１～１４のいずれか一項に記載の装置を備えるクラウド処理プラットフォームと、 請求項１７～１９のいずれか一項に記載の装置を備えるクライアントと、 備えること を特徴とするウイルス処理システム。 【請求項２２】 １つ以上のプロセッサと、 メモリと、 前記メモリに記憶され、前記１つ以上のプロセッサにより実行される時に、 クライアントによりスキャンされたウイルス本体挙動に対応するウイルスファミリーの情報を決定し、 前記ウイルスファミリーの情報とウイルス除去命令との対応関係に基づいて、決定されたウイルスファミリーの情報に対応するウイルス除去命令を前記クライアントに送信し、 これにより、前記クライアントが前記ウイルス除去命令を実行してウイルス本体の除去を行い、 前記クライアントにより報告された、前記クライアントによりスキャンされたウイルス本体挙動情報を含むスキャンログを受信し、 前記ウイルス本体挙動情報と、クラウドの挙動チェーンスクリプトライブラリとをマッチングすることで、悪意のあるウイルス本体挙動に対応するウイルスファミリーの情報を決定する１つ以上のプログラムと、 を備え、 前記挙動チェーンスクリプトライブラリは、悪意のあるウイルス挙動情報と、挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリであり、 前記ウイルスファミリーは、挙動が類似する一群のウイルス本体からなる、 ことを特徴とする機器。 【請求項２３】 １つ以上のプロセッサと、 メモリと、 前記メモリに記憶され、前記１つ以上のプロセッサにより実行される時に、 ウイルス本体挙動をスキャンし、 スキャンログをクラウドサービスプラットフォームに報告し、及び／又は、 ローカルの挙動チェーンスクリプトライブラリを利用して、前記ウイルス本体挙動を識別し、悪意のあるウイルス本体挙動が識別された場合、前記悪意のあるウイルス本体挙動に対応するウイルスファミリーの情報をクラウドサービスプラットフォームに報告し、 前記クラウドサービスプラットフォームにより送信されたウイルス除去命令を受信して前記ウイルス除去命令を実行する１つ以上のプログラムと、 を備え、 前記ウイルスファミリーは、挙動が類似する一群のウイルスからなり、 前記挙動チェーンスクリプトライブラリは、悪意のあるウイルス挙動情報と、挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリである、 ことを特徴とする機器。 【請求項２４】 不揮発性コンピュータ記憶媒体であって、１つ以上のプログラムが記憶され、前記１つ以上のプログラムが１つの機器により実行される時に、前記機器は、 クライアントによりスキャンされたウイルス本体挙動に対応するウイルスファミリーの情報を決定し、 前記ウイルスファミリーの情報とウイルス除去命令との対応関係に基づいて、決定されたウイルスファミリーの情報に対応するウイルス除去命令を前記クライアントに送信し、 これにより、前記クライアントが前記ウイルス除去命令を実行してウイルス本体の除去を行い、 前記クライアントにより報告された、前記クライアントによりスキャンされたウイルス本体挙動情報を含むスキャンログを受信し、 前記ウイルス本体挙動情報と、クラウドの挙動チェーンスクリプトライブラリとをマッチングすることで、悪意のあるウイルス本体挙動に対応するウイルスファミリーの情報を決定し、 前記挙動チェーンスクリプトライブラリは、悪意のあるウイルス挙動情報と、挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリであり、 前記ウイルスファミリーは、挙動が類似する一群のウイルス本体からなる、 ことを特徴とする不揮発性コンピュータ記憶媒体。 【請求項２５】 不揮発性コンピュータ記憶媒体であって、１つ以上のプログラムが記憶され、前記１つ以上のプログラムが１つの機器により実行される時、前記機器は、 ウイルス本体挙動をスキャンし、 スキャンログをクラウドサービスプラットフォームに報告し、及び／又は、 ローカルの挙動チェーンスクリプトライブラリを利用して、前記ウイルス本体挙動を識別し、悪意のあるウイルス本体挙動が識別された場合、前記悪意のあるウイルス本体挙動に対応するウイルスファミリーの情報をクラウドサービスプラットフォームに報告し、 前記クラウドサービスプラットフォームにより送信されたウイルス除去命令を受信して前記ウイルス除去命令を実行し、 前記ウイルスファミリーは、挙動が類似する一群のウイルス本体からなり、 前記挙動チェーンスクリプトライブラリは、悪意のあるウイルス挙動情報と、挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリである、 ことを特徴とする不揮発性コンピュータ記憶媒体。」 第５　引用文献，引用発明等 １　引用文献１について 原査定の拒絶の理由に引用文献１として引用され，当審拒絶理由通知（引用文献Ａ）にも引用された特表２０１４－５２５６３９号公報には，図面とともに次の事項が記載されている。（下線は当審により付与。以下同様。） Ａ　「【０００６】 アンチウィルスアプリケーションは、ローカルデバイス上にインストールされたアンチウィルスアプリケーションを用いてマルウェアが検出される場合であっても、適切な駆除コードを有しない場合がある。 　例えば、アンチウィルスアプリケーションは、ヒューリスティック検出技法を含む場合があり、この技法によれば、ソフトウェアは、システムファイルを既知のマルウェアのシグネチャと比較することによってではなく、システムファイルを評価して、マルウェアに類似する特性を検出することによってマルウェアを検出することができる。このタイプの検出を用いると、アンチウィルスソフトウェアは、特定のマルウェアを表すシグネチャを用いることなくマルウェアを検出することが可能である。この技法は、ファイルを特定の既知のマルウェアとして認識するのではなく、ファイルをマルウェアの一般的な特性と一致するものとして認識することによってマルウェアを検出するので、検出されたマルウェアに対処する定義ファイルの一部として特定の駆除コードが利用可能でない可能性がある。ここでもまた、ユーザーは、検出されたマルウェアに対処する適正な駆除コードを含む次のソフトウェア更新を待機した状態のままにされる場合がある。 【０００７】 このため、従来技術に関連付けられたこれらの問題及び他の問題に対処する必要がある。」 Ｂ　「【００２４】 図３を参照すると、例示的な実施形態において、クラウド技術を用いて動的マルウェア駆除を提供するプロセスが示される。明確にするために、マルウェア駆除の動作は、限定ではないが、任意のタイプの悪意のあるソフトウェアの影響を除去し、無効にし、隔離し（すなわち、システムの他のエリアへの有害な影響の拡散を阻止するようにシステムの単一のエリア内に孤立させ）、及び／又は修復しようとする動作を含む任意の動作を指す。示される実施形態では、動的マルウェア駆除を提供することは、デバイス上でマルウェアを検出するプロセスから始まる。デバイスは、例えば図１において上述したデバイスのうちの任意のもの等の、マルウェアによる影響を受ける可能性がある任意のデバイスであり得る。マルウェアはマルウェアを検出することが可能な任意の所望の技法を用いてデバイス上で検出することができる。デバイス上でマルウェアを検出するプロセスは、デバイスのファイルをデバイス上に記憶された既知のマルウェアシグネチャと比較することを含むことができる。代替的に、マルウェアを検出するプロセスは、デバイス上の疑わしいファイルに関する情報をパッケージ化してネットワークデバイスに送信し、そのファイルがマルウェアであるか否かに関して判断することを含むことができる。マルウェアは、ヒューリスティック検出技術、すなわち挙動に基づく検出技術を用いてデバイス上で検出することもできる。ステップ３０２においてマルウェアが検出されない場合、デバイス上でマルウェアを検出することを試みるプロセスが継続する。例えば、マルウェアの検索は、継続的に、又は以下で説明するようにデバイスにおける或る特定の発現に応答して実行することができる。 【００２５】 一方、ステップ３０２においてマルウェアが検出される場合、ステップ３０４において、デバイス上で、検出されたマルウェアに対する適切な駆除手順が利用可能であるか否かが判断される。１つの実施形態では、マルウェアを検出する役割を果たすアンチウィルスアプリケーションは、検出された特定のマルウェアに対し、アンチウィルスアプリケーションの一部として駆除コードが利用可能であるか否かを判断することができる。１つの実施形態では、検出された特定のマルウェアに対する駆除手順が利用可能でないか、期限切れであるか、又は十分な結果をもたらす可能性が低い場合、デバイスにおいて適切な駆除手順が利用可能でないことがある。デバイスにおいて適切な駆除手順が利用可能である場合、３０６において、ローカルで利用可能な駆除手順を利用して、検出されたマルウェアを除去し、マルウェアの影響を修復する。１つの実施形態では、ローカルで利用可能な駆除手順を用いて、検出されたマルウェアを除去し、マルウェアの影響を修復すること（３０６）は、デバイス上にインストールされたアンチウィルスアプリケーションの一部であるプログラムコードを実行することを含むことができる。ローカルで利用可能な駆除手順を用いてマルウェアを除去し、マルウェアの影響を修復することは、任意の所望の方法で実行することができる。 【００２６】 デバイスにおいて適切な駆除手段が利用可能でない場合、検出されたマルウェアに関する情報は、３０８において、デバイスのネットワーク接続を用いて通信ネットワークを介してサーバーに送信することができる。１つの実施形態では、サーバーはインターネット接続によりデバイスにアクセス可能とすることができる。しかしながら、サーバーは図１において上記で検討したような任意の所望のネットワーク接続によってデバイスにアクセス可能とすることができる。１つの実施形態では、サーバーは、デバイス上にインストールされたアンチウィルスアプリケーションのプロバイダーと連携するサーバーとすることができる。受信デバイスはサーバーとして説明されるが、受信デバイスは、デバイスから送信された情報を受信し、それに応じて情報を処理することが可能な任意のネットワークデバイスとすることができることが理解されよう。１つの実施形態では、デバイスからマルウェアの検出に関する情報を受信することが可能な複数のサーバーが存在することができる。適切なサーバーは、検出されるマルウェアのタイプ、デバイスのロケーション等に従って決定することができる。したがって、サーバーは、情報を受信し、デバイスに適切な応答を提供することが可能な任意のネットワークデバイスとすることができる。 【００２７】 １つの実施形態では、サーバーに送信される情報は、検出されたマルウェアとして特定されるファイルのハッシュを含むことができる。１つの実施形態では、サーバーに送信される情報は暗号化することができる。情報は、秘密鍵暗号化（すなわち対称暗号化）又は公開暗号化（すなわち非対称暗号化）を用いて暗号化することができる。一方、サーバーに送信される情報は、サーバーが検出されたマルウェアに関連付けられた適切な駆除応答を特定することを可能にすることができる任意の情報を含むことができる。例えば、１つの実施形態では、サーバーがこの情報を用いて、特定のタイプのマルウェアと対応する駆除応答とを相互参照するデータベース検索を実行することができる。 【００２８】 ３１０において、サーバーは、検出されたマルウェアに関する情報の受信に応答して、適切な駆除応答を用いて応答することができる。以下で更に詳細に説明されるように、様々な実施形態において、サーバーによって提供される応答は、例えばデバイス上にインストールされたアンチウィルスアプリケーションの一部としてデバイス上に既に存在する駆除コードを参照することの命令、デバイスによって実行される駆除ルーチン、デバイス上の既存の駆除コードを参照することの命令とデバイスによって実行される駆除ルーチンとの組合せ、又は異なるネットワークデバイスから駆除応答を取得することの命令を含むことができる。一方、応答は、デバイスが検出されたマルウェアを除去し、マルウェアの影響を修復することを可能にすることができる任意のコンテンツを含むことができる。ステップ３１２において、デバイスは応答を利用して検出されたマルウェアを除去し、マルウェアの影響を修復することができる。」 Ｃ　「【００４７】 図５を参照すると、１つの実施形態では、クラウド技術を用いた動的マルウェア駆除の要求を受信し処理するプロセスは、５０２において、デバイス４０２からネットワーク４２６を介してサーバー４０４においてマルウェア駆除要求４１８を受信することから始まる。受信デバイスはサーバーとして説明されているが、受信デバイスは、以下で説明するようにマルウェア駆除要求を受信し、要求を処理することが可能な任意のネットワークデバイスとすることができることが理解されよう。１つの実施形態では、ネットワーク４２６はインターネットとすることができるが、ネットワーク４２６は、例えば図１において上記で検討したネットワークのうちの任意のもの等の、デバイス４０２とサーバー４０４との間の通信を容易にすることが可能な任意の通信ネットワークとすることができる。１つの実施形態では、要求４１８は、デバイス上にインストールされたアンチウィルスアプリケーションのプロバイダーと提携するサーバー４０４によって受信することができる。１つの実施形態では、要求４１８はＤＮＳ要求とすることができる。要求４１８は、デバイス上で検出される特定のタイプのマルウェアを特定することができる。しかしながら、要求４１８は、受信デバイス４０４が検出されたマルウェアに関連付けられた適切な駆除応答を特定することを可能にすることができる任意の情報を含むことができる。 【００４８】 ステップ５０４において、サーバー４０４は要求４１８のマルウェア定義部分を特定する。要求４１８のマルウェア定義部分は、デバイス４０２上で検出された特定のタイプのマルウェアを特定し、それによってサーバー４０４がこの検出されたマルウェアに関連付けられた適切な駆除応答４２０を特定することを可能にすることができる。１つの実施形態では、要求４１８のマルウェア定義部分を特定することは、デバイス４０２からの要求４１８を復号することを含むことができる。別の実施形態では、要求４１８のマルウェア定義部分を特定することは、要求をパースすることを含むことができる。例えば、要求４１８は、デバイス４０２上にインストールされたアンチウィルスアプリケーションと関連付けられたバージョン情報及びライセンス情報と、デバイス４０２の地理的ロケーション及び／又はネットワークロケーション等とを含むことができ、これらは要求４１８のマルウェア定義部分と分離することができる。 【００４９】 サーバー４０４は、要求４１８のマルウェア定義部分を突き止めると、５０６において、特定されたマルウェア定義に一致するレコードを検索することができる。１つの実施形態では、サーバー４０４は、既知のマルウェア脅威を対応する駆除応答と関連付けるデータストア４２８においてデータベースルックアップを実行し、要求４１８において特定された特定のマルウェア定義に一致するレコードを取り出すことができる。別の実施形態では、要求４１８のマルウェア定義部分が、マルウェアとして検出されたファイルのハッシュを含む場合、そのハッシュを用いて、既知のマルウェア及び対応するマルウェア駆除応答４２０を表すファイルハッシュのデータストア４２８を検索することができる。 【００５０】 ５０８において、特定のマルウェア定義に一致するレコードが突き止められない場合、５１０において、特定のマルウェア定義に対応する新たなマルウェアレコードを作成することができる。１つの実施形態では、マルウェア定義は上記で説明したデータストア４２８に加えることができる。新たなマルウェアレコードは、マルウェア定義を含んでいた要求４１８に関する追加情報を組み込むことができる。例えば、マルウェアレコードは、デバイス４０２のシステム情報、デバイス４０２のロケーション等のような、サーバー４０４によって受信された要求４１８を開始したデバイスに関する情報を提供することができる。１つの実施形態では、新たなマルウェアレコードの作成によって、新たなマルウェア脅威が観察されたことのアラートを提供することができる。例えば、アラートは、アンチウィルスアプリケーションのプロバイダーに関連する１人又は複数人の人物に提供することができる。そのようなアラートは、新たに観察されたマルウェアに対する適切な駆除応答４２０を決定するプロセスを開始することができる。 【００５１】 ５０８において、要求のマルウェア定義部分に一致するレコードが突き止められた場合、５１２において、突き止められたレコードに利用可能な駆除応答４２０が関連付けられているか否かが判断される。１つの実施形態では、突き止められたレコードが存在するデータストア４２８に関連付けられた駆除フィールドがヌルでない場合、駆除応答４２０が存在すると判断することができる。５１２において、駆除応答４２０が利用可能でないと判断される場合、例えば、要求４１８のマルウェア定義に一致するマルウェア定義が以前に記録されたが、適切な駆除応答４２０がまだ決定していない場合、又は５１０において新たなマルウェアレコードが作成された場合、５１４において要求をキューイングすることができる。この要求は、このマルウェアを根絶させる適切な駆除応答４２０が決定されるまで保持することができる。１つの実施形態では、サーバーは、駆除応答４２０が利用可能になったときに提供されることの表示をデバイスに送信することができる。サーバーは、キューイングされた要求に応答して、マルウェア定義に一致するレコードを監視し続けて、駆除応答４２０が利用可能であるか否かを判断することができる。１つの実施形態では、要求４１８に関連付けられたマルウェアについて駆除応答４２０が利用可能であるとき、マルウェア定義に一致するデータストア４２８のレコードを、そのレコードの駆除フィールド内に適切な駆除応答４２０を含めるように更新することができる。 【００５２】 ５１２又は５１６のいずれかにおいて駆除応答４２０が利用可能であるとき、５１８において、要求４１８に対する駆除応答４２０がデバイスに送信される。上記で説明したように、応答４２０は、駆除応答４２０をデバイスに送達することが可能な任意の所望のネットワークプロトコルを利用することができる。駆除応答は、上記で説明した応答のうちの任意のものの形態をとることができる。さらに言えば、応答４２０は、ネットワークを介してマルウェア駆除を提供することが可能な任意の形態をとることができる。」 Ｄ　上記Ｃの【００５２】における「応答４２０」の「ネットワークを介してマルウェア駆除を提供することが可能な任意の形態」について，上記Ｂの【００２８】の記載から，「例えばデバイス上にインストールされたアンチウィルスアプリケーションの一部としてデバイス上に既に存在する駆除コードを参照することの命令、デバイスによって実行される駆除ルーチン、デバイス上の既存の駆除コードを参照することの命令とデバイスによって実行される駆除ルーチンとの組合せ、又は異なるネットワークデバイスから駆除応答を取得することの命令を含むことができる。一方、応答は、デバイスが検出されたマルウェアを除去し、マルウェアの影響を修復することを可能にすることができる任意のコンテンツを含むことができ」ることが読み取れ， また，サーバー４０４に要求４１８を送信するデバイスでのマルウェア検出プロセスについて，上記Ｂの【００２４】の記載から，「マルウェアを検出するプロセスは、デバイス上の疑わしいファイルに関する情報をパッケージ化してネットワークデバイスに送信し、そのファイルがマルウェアであるか否かに関して判断することを含むことができる。マルウェアは、ヒューリスティック検出技術、すなわち挙動に基づく検出技術を用いてデバイス上で検出することもできる」ことが読み取れる。 以上，上記ＡないしＤの記載から，上記引用文献１には次の発明（以下，「引用発明」という。）が記載されていると認められる。 「クラウド技術を用いた動的マルウェア駆除の要求を受信し処理するプロセスであって， デバイス４０２からネットワーク４２６を介してサーバー４０４においてマルウェア駆除要求４１８を受信し（ステップ５０２）， ここで，要求４１８は，デバイス上で検出される特定のタイプのマルウェアを特定することができ，また，要求４１８は，受信デバイス４０４が検出されたマルウェアに関連付けられた適切な駆除応答を特定することを可能にすることができる任意の情報を含むことができるものであり， サーバー４０４は要求４１８のマルウェア定義部分を特定し（ステップ５０４）， 要求４１８のマルウェア定義部分は，デバイス４０２上で検出された特定のタイプのマルウェアを特定し，それによってサーバー４０４がこの検出されたマルウェアに関連付けられた適切な駆除応答４２０を特定することを可能にすることができるものであり，また，例えば，要求４１８は，デバイス４０２上にインストールされたアンチウィルスアプリケーションと関連付けられたバージョン情報及びライセンス情報と，デバイス４０２の地理的ロケーション及び／又はネットワークロケーション等とを含むことができ，これらは要求４１８のマルウェア定義部分と分離することができるものであり， サーバー４０４は，要求４１８のマルウェア定義部分を突き止めると，特定されたマルウェア定義に一致するレコードを検索することができ，既知のマルウェア脅威を対応する駆除応答と関連付けるデータストア４２８においてデータベースルックアップを実行し，要求４１８において特定された特定のマルウェア定義に一致するレコードを取り出すことができ（ステップ５０６）， ステップ５０８において，特定のマルウェア定義に一致するレコードが突き止められない場合，特定のマルウェア定義に対応する新たなマルウェアレコードを作成することができ（ステップ５１０），新たなマルウェアレコードの作成によって，新たなマルウェア脅威が観察されたことのアラートを提供することができ，アラートは，アンチウィルスアプリケーションのプロバイダーに関連する１人又は複数人の人物に提供することができ，そのようなアラートは，新たに観察されたマルウェアに対する適切な駆除応答４２０を決定するプロセスを開始することができ， ステップ５０８において，要求のマルウェア定義部分に一致するレコードが突き止められた場合，突き止められたレコードに利用可能な駆除応答４２０が関連付けられているか否かが判断され（ステップ５１２）， ステップ５１２において，駆除応答４２０が利用可能でないと判断される場合，要求をキューイングすることができ（ステップ５１４）， この要求は，このマルウェアを根絶させる適切な駆除応答４２０が決定されるまで保持することができ， ステップ５１２又は５１６のいずれかにおいて駆除応答４２０が利用可能であるとき，要求４１８に対する駆除応答４２０がデバイスに送信され（ステップ５１８）， 駆除応答４２０は，ネットワークを介してマルウェア駆除を提供することが可能な任意の形態をとることができ，例えばデバイス上にインストールされたアンチウィルスアプリケーションの一部としてデバイス上に既に存在する駆除コードを参照することの命令，デバイスによって実行される駆除ルーチン，デバイス上の既存の駆除コードを参照することの命令とデバイスによって実行される駆除ルーチンとの組合せ，又は異なるネットワークデバイスから駆除応答を取得することの命令を含むことができ， マルウェアを検出するプロセスは，デバイス上の疑わしいファイルに関する情報をパッケージ化してネットワークデバイスに送信し，そのファイルがマルウェアであるか否かに関して判断することを含むことができ，また，マルウェアは，ヒューリスティック検出技術，すなわち挙動に基づく検出技術を用いてデバイス上で検出することもできる， プロセス。」 ２　引用文献２について 原査定の拒絶の理由に引用文献２として引用された米国特許出願公開第２００５／０１８８２７２号明細書には，図面とともに次の事項が記載されている。 Ｅ　「［0025］　The dynamic behavior evaluation module 204 records the “interesting” behaviors exhibited by the executing code module 212 in a file, referred to as a behavior signature 210 . Once the code module 212 has completed its execution in the dynamic behavior evaluation module 204 , the behavior signature 210 is stored for subsequent use. A more detailed description of dynamic behavior evaluation modules may be found in co-pending patent applications entitled “System and Method for Gathering Behaviors for a .NET Code Module” and “System and Method for Gathering Behaviors for a Win32 Code Module”, which are incorporated herein by reference. 」 （当審訳　「［0025］　動的挙動評価モジュール204は，実行コード・モジュール212によって示される“関心”行動を，行動シグネチャ210と称するファイルに記録する。コードモジュール212は，一旦動的挙動評価モジュール204においてその実行を完了すると，行動シグネチャ210が，その後の使用のために記憶される。動的挙動評価モジュールのより詳細な説明は，「NETコードモジュールのための収集行動のシステムおよび方法」及び「Win32コードモジュールのための収集行動のシステムおよび方法」という表題の同時係属中の特許出願（参照により本明細書に援用される）に見出され得る。」） ３　引用文献Ｂについて 当審拒絶理由通知に引用された特表２０１３－５２９３３５号公報（以下，「引用文献Ｂ」という）の段落【０００５】，【００１０】～【００２０】，【００２６】～【００４７】，【００５３】，図１，図３には，サーバが，マルウェアの挙動シーケンスを収集して同様の挙動シーケンスをクラスタリングし，挙動シーケンスのクラスタを分析してマルウェアファミリの挙動シーケンスを説明する行動シグネチャを生成してクライアントに分配し，クライアントは，ソフトウェアの挙動と行動シグネチャとの一致を判断してマルウェアファミリを検出する技術が記載されている。 第６　対比・判断 １　本願発明１について （１）対比 本願発明１と引用発明とを対比する。 ア　引用発明の「デバイス４０４」は，その上で「マルウェア」（本願発明における「ウィルス」に相当する）が検出されるコンピュータである点で，本願発明１における「クライアント」に相当する。 また，引用発明では，「マルウェアは，ヒューリスティック検出技術，すなわち挙動に基づく検出技術を用いてデバイス上で検出」し，それにより，「デバイス４０２からネットワーク４２６を介してサーバー４０４においてマルウェア駆除要求４１８を受信」し，「サーバー４０４は要求４１８のマルウェア定義部分を特定」するものであるところ，引用発明の「挙動」は本願発明１の「ウイルス本体挙動」に相当し，また，引用発明の「マルウェア定義部分」と本願発明１の「ウイルスファミリー情報」とは，上位概念では「ウイルスに関する情報」である点で共通するといえるから，引用発明の「ヒューリスティック検出技術，すなわち挙動に基づく検出技術を用いてデバイス上で検出」された「マルウェア」について，「サーバー４０４」上の構成が，「マルウェア駆除要求４１８を受信」し「要求４１８のマルウェア定義部分を特定」することと，本願発明１の「ウイルス決定ユニットが，クライアントによりスキャンされたウイルス本体挙動に対応するウイルスファミリーの情報を決定するステップ」とは，上位概念では，“ウイルス決定ユニットが，クライアントによりスキャンされたウイルス本体挙動に対応するウイルスに関する情報を決定するステップ”である点で共通する。 イ　引用発明の「駆除応答４２０」は，「ネットワークを介してマルウェア駆除を提供することが可能な任意の形態をとることができ，例えばデバイス上にインストールされたアンチウィルスアプリケーションの一部としてデバイス上に既に存在する駆除コードを参照することの命令，デバイスによって実行される駆除ルーチン，デバイス上の既存の駆除コードを参照することの命令とデバイスによって実行される駆除ルーチンとの組合せ，又は異なるネットワークデバイスから駆除応答を取得することの命令を含むことができ」るものであるから，本願発明１の「ウイルス除去命令」に相当するものといえる。 そして，引用発明の「サーバー４０４」は，「要求４１８のマルウェア定義部分を突き止めると，特定されたマルウェア定義に一致するレコードを検索することができ，既知のマルウェア脅威を対応する駆除応答と関連付けるデータストア４２８においてデータベースルックアップを実行し，要求４１８において特定された特定のマルウェア定義に一致するレコードを取り出」しているところ，ここでの「既知のマルウェア脅威」は，「要求４１８において特定された特定のマルウェア定義」によって示されるものであり，「マルウェア（ウィルス）に関する情報」といえるから，引用発明の「既知のマルウェア脅威」と「対応する駆除応答」とを「関連付けるデータストア４２８」と，本願発明１の「ウイルスファミリー情報とウイルス除去命令との対応関係」とは，上位概念では，“ウイルスに関する情報とウイルス除去命令との対応関係”である点で共通する。 ウ　引用発明の「サーバー４０４」では，「ステップ５０８において，要求のマルウェア定義部分に一致するレコードが突き止められた場合，突き止められたレコードに利用可能な駆除応答４２０が関連付けられているか否かが判断され（ステップ５１２）」，「ステップ５１２又は５１６のいずれかにおいて駆除応答４２０が利用可能であるとき，要求４１８に対する駆除応答４２０がデバイスに送信され（ステップ５１８）」るから，上記イの検討を踏まえると，引用発明の「サーバー４０４」上の構成が上記プロセスを行うことと，本願発明１の「命令送信ユニット」が「ウイルスファミリーの情報とウイルス除去命令との対応関係に基づいて，決定されたウイルスファミリー情報に対応するウイルス除去命令を前記クライアントに送信」する「ステップ」とは，“命令送信ユニットが，ウイルスに関する情報とウイルス除去命令との対応関係に基づいて，決定されたウイルスに関する情報に対応するウイルス除去命令を前記クライアントに送信するステップ”である点で共通する。 また，引用発明の「駆除応答４２０」は，「ネットワークを介してマルウェア駆除を提供することが可能な任意の形態をとることができ，例えばデバイス上にインストールされたアンチウィルスアプリケーションの一部としてデバイス上に既に存在する駆除コードを参照することの命令，デバイスによって実行される駆除ルーチン，デバイス上の既存の駆除コードを参照することの命令とデバイスによって実行される駆除ルーチンとの組合せ，又は異なるネットワークデバイスから駆除応答を取得することの命令を含むことができ」るものであるから，引用発明では，デバイスが「駆除応答４２０」に基づいてマルウェアの駆除を実行しているといえるので，上記の検討を踏まえると，引用発明の「サーバー４０４」から「送信」される「駆除応答４２０」により，デバイスがマルウェアの駆除を実行することと，本願発明１の「これにより，前記クライアントが前記ウイルス除去命令を実行してウイルス本体の除去を行うステップ」とは，“これにより，前記クライアントが前記ウイルス除去命令を実行してウイルス本体の除去を行うステップ”である点で共通する。 エ　引用発明の「検出されたマルウェアに関連付けられた適切な駆除応答４２０を特定する」「サーバー４０４」は本願発明１の「ウイルス処理装置」に相当するといえ，上記ア～ウの検討も踏まえると，引用発明と本願発明１とは，「ウイルス処理装置により実行されるウイルス処理方法」である点で共通する。 上記アないしエの対比によれば，本願発明１と引用発明とは，次の点で一致し，そして相違する。 ［一致点］ ウイルス処理装置により実行されるウイルス処理方法であって， ウイルス決定ユニットが，クライアントによりスキャンされたウイルス本体挙動に対応するウイルスに関する情報を決定するステップと， 命令送信ユニットが，前記ウイルスに関する情報とウイルス除去命令との対応関係に基づいて，決定されたウイルスに関する情報に対応するウイルス除去命令を前記クライアントに送信し，これにより，前記クライアントが前記ウイルス除去命令を実行してウイルス本体の除去を行うステップと， を含む， ウイルス処理方法。 ［相違点１］ ウイルスに関する情報に関し， 本願発明１では，「ウイルスファミリー情報」であり， ウイルス本体挙動に対応する当該「ウイルスファミリー情報」を決定し，当該「ウイルスファミリー情報」とウイルス除去命令との対応関係に基づいて，決定された当該「ウイルスファミリー情報」に対応するウイルス除去命令を前記クライアントに送信して実行しており，ここで，「前記ウイルスファミリーとは，挙動が類似するウイルス群であ」るのに対して， 引用発明では，ウイルス本体挙動に対応した「ウイルスに関する情報」を決定しているものの，「ウイルスファミリー情報」を決定するものではなく，また，ウイルス除去命令に対応させるものも「ウイルスファミリー情報」ではなく，「ウイルスに関する情報」である点。 ［相違点２］ 本願発明１は，「前記ウイルス決定ユニットがクライアントによりスキャンされたウイルス本体挙動に対応するウイルスファミリーの情報を決定するステップは， 第１受信サブユニットが，前記クライアントにより報告された，前記クライアントによりスキャンされたウイルス本体挙動を示すウイルス本体挙動情報を含むスキャンログを受信するステップと， マッチングサブユニットが，前記ウイルス本体挙動情報と，クラウドの挙動チェーンスクリプトライブラリとをマッチングすることで，悪意のあるウイルス本体挙動に対応するウイルスファミリーの情報を決定するステップであって，前記挙動チェーンスクリプトライブラリは，悪意のあるウイルス挙動情報と，挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリである，ステップと， を含む」のに対して，引用発明は，そのような処理のステップを含んでいない点。 （２）相違点についての判断 事案に鑑み，相違点２について，先に検討する。 上記相違点２に係る本願発明１の構成のうち，「マッチングサブユニットが，前記ウイルス本体挙動情報と，クラウドの挙動チェーンスクリプトライブラリとをマッチングすることで，悪意のあるウイルス本体挙動に対応するウイルスファミリーの情報を決定するステップであって，前記挙動チェーンスクリプトライブラリは，悪意のあるウイルス挙動情報と，挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリである，ステップ」については，上記引用文献Ｂ，２に記載されておらず，特に，「悪意のあるウイルス挙動情報と，挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリである」，「挙動チェーンスクリプトライブラリ」とは，クライアントで検出された「ウイルス本体挙動情報」をもとに「ウイルスファミリー情報」を特定するためのものであって「ウイルス処理装置」内に存在するものであるところ，そのような構成は上記引用文献Ｂ，２に記載も示唆もされておらず，また，本願優先日前において周知技術であるともいえない。 そうすると，引用発明に基づいて，相違点２に係る本願発明１の構成とすることは，当業者が容易になし得ることであるとはいえない。 したがって，本願発明１は，相違点１を検討するまでもなく，当業者であっても引用発明，引用文献Ｂ，２に記載された技術的事項，及び，周知技術に基づいて容易に発明できたものであるとはいえない。 ２　本願発明２ないし２５について 本願発明７，１１，１７，２１ないし２５は，本願発明１と実質同様の構成を有するか，カテゴリーが異なるだけであり，本願発明１の相違点２に係る構成と同一または同様の構成を備えるものであるから，本願発明１と同様の理由により，引用発明，引用文献Ｂ，２に記載された技術的事項，及び，周知技術に基づいて容易に発明できたものであるとはいえない。 本願発明２ないし６，８ないし１０，１２ないし１６，１８ないし２０は，本願発明１，７，１１，１７を更に限定したものであるので，本願発明１と同様の理由により，引用発明，引用文献Ｂ，２に記載された技術的事項，及び，周知技術に基づいて容易に発明できたものであるとはいえない。 第７　原査定についての判断 （１）特許法第２９条第２項について 令和元年９月４日付けの手続補正により，補正後の請求項１ないし２５は，「マッチングサブユニットが，前記ウイルス本体挙動情報と，クラウドの挙動チェーンスクリプトライブラリとをマッチングすることで，悪意のあるウイルス本体挙動に対応するウイルスファミリーの情報を決定するステップであって，前記挙動チェーンスクリプトライブラリは，悪意のあるウイルス挙動情報と，挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリである，ステップ」という技術的事項または実質的に同様の技術的事項を有するものとなった。当該技術的事項は，上記第６の１（２）でも示したとおり，原査定における引用文献１及び２には記載されておらず，本願優先日前における周知技術でもないので，本願発明１ないし２５は，当業者であっても，原査定における引用文献１及び２に基づいて容易に発明できたものではない。 したがって，原査定の理由１を維持することはできない。 （２）特許法第３６条第６項第２号について 令和元年９月４日付けの手続補正により，請求項１は「挙動チェーンスクリプトライブラリは，悪意のあるウイルス挙動情報と，挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリである」との記載を含むよう補正されており，原査定の理由２を維持することはできない。 第８　当審拒絶理由について （１）特許法第３６条第６項第２号について ア　当審では，請求項１ないし１１に記載の動作の主体が不明であるとの拒絶の理由を通知しているが，令和元年９月４日付けの手続補正において，各動作（ステップ）を実行する動作主体を明確にするよう補正がされた結果，この拒絶の理由は解消した。 イ　当審では，請求項２と請求項４の差異が不明確であり，また，請求項１３と請求項１５の差異が不明確であるとの拒絶の理由を通知しているが，令和元年９月４日付けの手続補正において，旧請求項４及び旧請求項１５を削除する補正がされた結果，この拒絶の理由は解消した。 ウ　当審では，請求項１の「前記ウイルス本体挙動情報と，ウイルスファミリーの悪意のあるウイルス本体挙動情報を含むクラウドの挙動チェーンスクリプトライブラリとをマッチングし，悪意のあるウイルス本体挙動に対応するウイルスファミリー情報を決定する」との記載では，「挙動チェーンスクリプトライブラリ」が具体的にどのような構成のものであるのかが不明確であるため，「ウイルス本体挙動情報」と，「挙動チェーンスクリプトライブラリ」とを「マッチング」することによって，どのようにして，「ウイルスファミリー情報を決定する」ことができるのかが不明確であり，請求項２ないし２７についても同様であるとの拒絶の理由を通知しているが，令和元年９月４日付けの手続補正において，「挙動チェーンスクリプトライブラリは，悪意のあるウイルス挙動情報と，挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリである」との記載を含むよう補正がされた結果，この拒絶の理由は解消した。 （２）特許法第２９条第２項について 当審では，本願請求項１ないし２７に係る発明は，引用文献Ａ（原査定の引用文献１）及びＢに基づいて，当業者が容易に発明できたものであるから，特許法第２９条第２項の規定により特許を受けることができないとの拒絶の理由を通知しているが，令和元年９月４日付けの手続補正において，補正後の請求項１ないし２５は，「マッチングサブユニットが，前記ウイルス本体挙動情報と，クラウドの挙動チェーンスクリプトライブラリとをマッチングすることで，悪意のあるウイルス本体挙動に対応するウイルスファミリーの情報を決定するステップであって，前記挙動チェーンスクリプトライブラリは，悪意のあるウイルス挙動情報と，挙動が類似するウイルス群であるウイルスファミリーのウイルスファミリー情報とが互いに関連付けられたライブラリである，ステップ」という技術的事項または実質的に同様の技術的事項を有するものとなり，そして，上記第６の１（２）で検討のとおり，当該技術的事項は，引用文献１，２，Ｂには記載されておらず，本願優先日前における周知技術でもないので，本願発明１ないし２５は，当業者であっても，引用文献Ａ及びＢに基づいて容易に発明できたものとはいえない。よって，この拒絶の理由は解消した。 第９　むすび 以上のとおり，本願発明１ないし２５は，当業者が引用発明，引用文献Ｂ，２に記載された技術的事項，及び，周知技術に基づいて容易に発明することができたものではない。 したがって，原査定の拒絶理由を検討してもその理由によって拒絶すべきものとすることはできない。 また，他に本願を拒絶すべき理由を発見しない。 よって，結論のとおり審決する。