2019-015374

特願２０１４－２５２２０５「被疑ファイル収集装置、マルウェア検知システム，および，マルウェア検知方法」拒絶査定不服審判事件〔平成２８年　６月２３日出願公開，特開２０１６－１１５０７２〕について，次のとおり審決する。

【結　論】 本件審判の請求は，成り立たない。

【理　由】 第１　手続の経緯 本願は，平成２６年１２月１２日の出願であって，その手続の経緯は以下のとおりである。 平成２９年１１月　６日　　：出願審査請求書の提出 平成３０年　７月２７日付け：拒絶理由通知 平成３０年　９月１３日　　：意見書，手続補正書の提出 平成３１年　２月２６日付け：拒絶理由通知 平成３１年　３月１４日　　：意見書，手続補正書の提出 令和　１年　８月２８日付け：拒絶査定 令和　１年１１月１８日　　：審判請求書，手続補正書の提出 第２　令和１年１１月１８日にされた手続補正についての補正の却下の決定 ［補正の却下の決定の結論］ 令和１年１１月１８日にされた手続補正（以下，「本件補正」という。）を却下する。 ［理由］ １　本件補正について（補正の内容） （１）本件補正後の特許請求の範囲の記載 本件補正により，特許請求の範囲の請求項の記載は，次のとおり補正された。（下線部は，補正箇所である。以下，この特許請求の範囲に記載された請求項を「補正後の請求項」という。） 「　　【請求項１】 記憶部に被疑ファイルを有する検査対象装置を含むマルウェア検知システムにおいて、 前記検査対象装置に接続可能な、被疑ファイル収集装置と、 前記被疑ファイル収集装置からアクセス可能な、監視装置と、を備え、 ここで、前記被疑ファイル収集装置は、前記被疑ファイルおよび所定のプログラムを記憶する記憶手段と、前記記憶手段に記憶された被疑ファイルを前記監視装置に送出する送出手段と、を有し、 前記所定のプログラムは、接続される前記検査対象装置において実行されるものであり、前記記憶部のうちのマルウェア動作に関連する所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集する収集手段であり、 前記監視装置は、前記被疑ファイル収集装置から受信した被疑ファイルを実行した結果を監視するよう構成されており、 前記検査対象装置は、前記被疑ファイル収集装置に接続し、前記記憶手段に記憶されている前記所定のプログラムを実行する、 マルウェア検知システム。 【請求項２】 前記監視装置は、前記実行された被疑ファイルが行う通信を監視する、 請求項１に記載のマルウェア検知システム。 【請求項３】 前記監視装置は、前記実行された被疑ファイルが送出した情報、および／または、前記 実行された被疑ファイルの通信先を示す情報を監視する、 請求項２に記載のマルウェア検知システム。」 （２）本件補正前の特許請求の範囲 本件補正前の，平成３１年３月１４日にされた手続補正により補正された特許請求の記載は次のとおりである。（以下，この特許請求の範囲に記載された請求項を「補正前の請求項」という。） 「　　【請求項１】 検査対象装置に接続可能な被疑ファイル収集装置であって、 前記検査対象装置により起動されるプログラムを用いて、前記検査対象装置が有する記憶部のうちのマルウェアの動作に関連する所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集するよう構成された収集手段と、 前記被疑ファイルを記憶するよう構成された記憶手段と、 前記被疑ファイルを実行した結果を監視する監視装置に対して、前記記憶手段に蓄積された被疑ファイルを送出するよう構成された送出手段と、を備える、 ことを特徴とする被疑ファイル収集装置。 【請求項２】 前記所定の領域は、マルウェアがアクセスする領域、または、マルウェアが設定を行う領域である、 請求項１に記載の被疑ファイル収集装置。 【請求項３】 前記収集手段は、前記所定の領域から所定の拡張子を有するファイルを前記被疑ファイルとして収集する、 請求項１または２に記載の被疑ファイル収集装置。 【請求項４】 検査対象装置に接続可能な被疑ファイル収集装置と、 前記被疑ファイル収集装置からアクセス可能な監視装置と、を備え、 前記被疑ファイル収集装置は、 前記検査対象装置により起動されるプログラムを用いて、前記検査対象装置が有する記憶部のうちのマルウェアの動作に関連する所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集するよう構成された収集手段と、 前記被疑ファイルを記憶するよう構成された記憶手段と、 前記記憶手段に蓄積された被疑ファイルを前記監視装置に送出するよう構成された送出手段と、を有し、 前記監視装置は、前記被疑ファイル収集装置から受信した被疑ファイルを実行した結果を監視するよう構成された、 ことを特徴とするマルウェア検知システム。 【請求項５】 前記監視装置は、前記実行された被疑ファイルが行う通信を監視する、 請求項４に記載のマルウェア検知システム。 【請求項６】 前記監視装置は、前記実行された被疑ファイルが送出した情報、および／または、前記実行された被疑ファイルの通信先を示す情報を監視する、 請求項５に記載のマルウェア検知システム。 【請求項７】 検査対象装置に接続可能な被疑ファイル収集装置が、前記検査対象装置により起動されるプログラムを用いて、前記検査対象装置が有する記憶部のうちのマルウェアの動作に関連する所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集するステップと、 前記被疑ファイルを記憶手段に記憶するステップと、 前記被疑ファイルを実行した結果を監視する監視装置に対して、前記記憶手段に蓄積された被疑ファイルを送出するステップと、を含む、 ことを特徴とするマルウェア検知方法。」 ２　補正の適否 本件補正は，補正前の請求項１～３，７を削除するとともに，補正前の請求項４に記載された発明を特定するために必要な事項である「マルウェア検知システム」について，「記憶部に被疑ファイルを有する検査対象装置を含む」との限定を付加し，同「記憶手段」について，被疑ファイルおよび「所定のプログラムを記憶する」との限定を付加し，その他の事項の記載順序を整えて請求項１としたものである。 そして，補正前の請求項に記載された発明と補正後の請求項に記載される発明の産業上の利用分野及び解決しようとする課題が同一であるから，本件補正は，特許法１７条の２第５項２号の特許請求の範囲の減縮を目的とするものに該当する。 そこで，本件補正後の請求項１に記載される発明（以下「本件補正発明」という。）が同条第６項において準用する同法第１２６条第７項の規定に適合するか（特許出願の際独立して特許を受けることができるものであるか）について，以下，検討する。 （１）本件補正発明 本件補正発明は，上記「１（１）」の請求項１に記載された下記のとおりのものである（再掲）。 「記憶部に被疑ファイルを有する検査対象装置を含むマルウェア検知システムにおいて、 前記検査対象装置に接続可能な、被疑ファイル収集装置と、 前記被疑ファイル収集装置からアクセス可能な、監視装置と、を備え、 ここで、前記被疑ファイル収集装置は、前記被疑ファイルおよび所定のプログラムを記憶する記憶手段と、前記記憶手段に記憶された被疑ファイルを前記監視装置に送出する送出手段と、を有し、 前記所定のプログラムは、接続される前記検査対象装置において実行されるものであり、前記記憶部のうちのマルウェア動作に関連する所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集する収集手段であり、 前記監視装置は、前記被疑ファイル収集装置から受信した被疑ファイルを実行した結果を監視するよう構成されており、 前記検査対象装置は、前記被疑ファイル収集装置に接続し、前記記憶手段に記憶されている前記所定のプログラムを実行する、 マルウェア検知システム。」 （２）引用文献の記載事項 （２－１）引用文献１に記載されている技術的事項及び引用発明 ア　原査定の拒絶の理由で引用された，本願の出願日前に頒布された又は電気通信回線を通じて公衆に利用可能となった引用文献である，特開２０１０－１９８０５４号公報（平成２２年９月９日出願公開。以下，「引用文献１」という。）には，関連する図面とともに，以下の技術的事項が記載されている。 （当審注：下線は，参考のために当審で付与したものである。以下同様。） Ａ　「【００３４】 以下、本発明の実施形態を、図面に示す実施例を基に説明する。なお、実施形態は下記に限定されるものではない。 最初に、図１に示すコンピュータ検査システムの全体構成図を用いて、本発明の概要を説明する。本システムを構成する要素として、検査サーバ（１）、検査対象コンピュータであるユーザＰＣ（２）、マルウェアの解析システム（４）、駆除ツールの生成システム（５）がある。各システムは、公知のパーソナルコンピュータやワークステーション等で構成することが簡便であり、各要素間は例えばインターネットなどの通信ネットワークで接続する。通信ネットワークはＷＡＮ（ワイドエリアネットワーク）や、ＬＡＮ（ローカルエリアネットワーク）、携帯電話、ＰＨＳ等の公衆回線網でもよい。 【００３５】 検査サーバ（１）から、ユーザＰＣ（２）に対して探索プログラムの送付（１ａ）を行う。ユーザＰＣ（２）上で探索プログラムを起動し、稼働させる（２ａ）ことで、不正な挙動が行うマルウェアがないかどうか探索する。 その結果、不正な挙動が発見された場合には、その実行コードを検出し、検査サーバ（１）に送出（２ｂ）する。 【００３６】 検査サーバ（１）では、実行コードを受信するとすぐに解析を開始（１ｂ）する。本発明では、この解析にマルウェアの解析システム（４）を用いる。解析システム（４）に実行コードを送り、そのコードを静的解析（４ａ）、動的解析（４ｂ）する。このような解析はミクロ解析として様々な技術が提案されており、それらを任意に用いることができる。 静的解析とは、マルウェアのコードを分析し、どのような不正処理を行うかを分析する手法であり、具体的には実行コードを逆アセンブリして処理内容を取得する方法がある。 動的解析とは、マルウェアを実際に動作させて、例えば不正パケットの送出や、ファイル操作処理など、不正処理の詳細を把握する方法である。 これらの解析結果（１ｃ）は検査サーバ（１）に返される。解析結果（１ｃ）はユーザＰＣ（２）の探索プログラム（２ａ）に通知して、探索プログラムから表示するようにしてもよい。」 Ｂ　「【００３８】 （実施例１） 次に、本発明の具体的実施例を示す。実施例１としては、本発明システムを検査サーバ（１）とユーザＰＣ（２）、両者を接続するインターネット（３）で構成し、駆除ツールの生成を含まない構成を説明する。 図２は、検査サーバ（１）の構成図、図３はユーザＰＣ（２）の構成図、図４は本実施例のフローチャートである。 【００３９】 検査サーバ（１）は、インターネット上に配置されるサーバ装置として構成されているが、本発明に必須な要素として、ＣＰＵ（１０）、イーサネット（登録商標）カードや無線ＬＡＮ通信カードなどの通信アダプタ（１１）、ハードディスク等の記憶装置（１２）を備える。この他、公知のように、ＣＰＵ（１０）と協働するメモリや、管理者からの入力を受け付けるキーボード、モニタ等を備えることもできるが、ここでは省略する。 【００４０】 記憶装置（１２）には、ユーザＰＣ（２）で実行する探索プログラム（１２０）を格納し、これは常に最新版に改訂されることが望ましい。 ＣＰＵ（１０）には、探索プログラム送信部（１００）、探索結果受信部（１０１）、不正プログラム解析部（１０２）、解析結果送信部（１０３）を備える。」 Ｃ　「【００４５】 探索プログラム（１２０）は、ユーザＰＣ（２）内で稼働、常駐しているプログラムの中からマルウェアの疑いのある怪しいオブジェクトコード（実行コード）を探索して収集する。 本発明ではマルウェアかどうかの解析を検査サーバ（１）で行うことができるため、ユーザＰＣ（２）の負荷や、ユーザへの誤った通知の恐れを考慮する必要がない。そこで、探索プログラム（１２０）はフォールスポジティブを許容する（不正でない対象を、不正と誤判定することを許す状態）という考え方に基づいて、不審なプログラムはすべて抽出することが望ましい。 【００４６】 単純な方法としては、未知のプログラムをすべて抽出することが挙げられる。探索プログラムに検査サーバで検査済みのプログラムの情報を備えておき、そのプログラムリストにないプログラムを抽出する方法がある。 この場合、単純にファイル名だけでなく、ファイル容量やハッシュ値などの比較などを組み合わせて同一性を判定することができる。なお、ファイルバックアップソフトウェア等において、ファイルの同一性の判定技術、差分の抽出技術については公知であり、それらを用いてもよい。」 Ｄ　「図１ 」 イ　引用文献１に記載の上記技術的事項について検討する。 （ア）上記Ａにおける「最初に、図１に示すコンピュータ検査システムの全体構成図を用いて、本発明の概要を説明する。本システムを構成する要素として、検査サーバ（１）、検査対象コンピュータであるユーザＰＣ（２）、マルウェアの解析システム（４）、駆除ツールの生成システム（５）がある。各システムは、公知のパーソナルコンピュータやワークステーション等で構成することが簡便であり、各要素間は例えばインターネットなどの通信ネットワークで接続する。」との記載から，引用文献１には， 「コンピュータ検査システムであって， 本システムを構成する要素として，検査サーバ，検査対象コンピュータであるユーザＰＣ，マルウェアの解析システムがあり，各要素間は通信ネットワークで接続されている」 ことが記載されているといえる。 （イ）上記Ａにおける「検査サーバ（１）から、ユーザＰＣ（２）に対して探索プログラムの送付（１ａ）を行う。ユーザＰＣ（２）上で探索プログラムを起動し、稼働させる（２ａ）ことで、不正な挙動が行うマルウェアがないかどうか探索する。 その結果、不正な挙動が発見された場合には、その実行コードを検出し、検査サーバ（１）に送出（２ｂ）する。」との記載から，引用文献１には， 「検査サーバから，ユーザＰＣに対して探索プログラムの送付を行い，ユーザＰＣ上で探索プログラムを起動し，稼働させることで，不正な挙動が行うマルウェアがないかどうか探索するものであり， その結果，不正な挙動が発見された場合には，その実行コードを検出し，検査サーバに送出する」 ことが記載されているといえる。 （ウ）上記Ａにおける「検査サーバ（１）では、実行コードを受信するとすぐに解析を開始（１ｂ）する。本発明では、この解析にマルウェアの解析システム（４）を用いる。解析システム（４）に実行コードを送り、そのコードを静的解析（４ａ）、動的解析（４ｂ）する。」，及び，「動的解析とは、マルウェアを実際に動作させて、例えば不正パケットの送出や、ファイル操作処理など、不正処理の詳細を把握する方法である。」との記載から，引用文献１には， 「検査サーバでは，実行コードを受信するとすぐに解析を開始するものであり，この解析にマルウェアの解析システムを用いるものであって，解析システムに実行コードを送り，そのコードを動的解析するものであり， 動的解析とは、マルウェアを実際に動作させて，不正処理の詳細を把握する方法である」 ことが記載されているといえる。 （エ）上記Ｂにおける「検査サーバ（１）は、インターネット上に配置されるサーバ装置として構成されているが、本発明に必須な要素として、ＣＰＵ（１０）、イーサネット（登録商標）カードや無線ＬＡＮ通信カードなどの通信アダプタ（１１）、ハードディスク等の記憶装置（１２）を備える。」，及び，「記憶装置（１２）には、ユーザＰＣ（２）で実行する探索プログラム（１２０）を格納し、これは常に最新版に改訂されることが望ましい。」との記載から，引用文献１には， 「検査サーバは，記憶装置を備えるものであり， 記憶装置には，ユーザＰＣで実行する探索プログラムを格納している」 ことが記載されているといえる。 （オ）上記Ｃにおける「探索プログラム（１２０）は、ユーザＰＣ（２）内で稼働、常駐しているプログラムの中からマルウェアの疑いのある怪しいオブジェクトコード（実行コード）を探索して収集する。」，及び，「そこで、探索プログラム（１２０）はフォールスポジティブを許容する（不正でない対象を、不正と誤判定することを許す状態）という考え方に基づいて、不審なプログラムはすべて抽出することが望ましい。」との記載から，引用文献１には， 「探索プログラムは，ユーザＰＣ内で稼働，常駐しているプログラムの中からマルウェアの疑いのある怪しいオブジェクトコード（実行コード）を探索して収集するものであり， 探索プログラムはフォールスポジティブを許容する（不正でない対象を，不正と誤判定することを許す状態）という考え方に基づいて，不審なプログラムはすべて抽出するものである」 ことが記載されているといえる。 ウ　上記イの検討から，引用文献１には次の発明（以下，「引用発明」という。）が記載されているといえる。 「コンピュータ検査システムであって， 本システムを構成する要素として，検査サーバ，検査対象コンピュータであるユーザＰＣ，マルウェアの解析システムがあり，各要素間は通信ネットワークで接続されており， 検査サーバから，ユーザＰＣに対して探索プログラムの送付を行い，ユーザＰＣ上で探索プログラムを起動し，稼働させることで，不正な挙動が行うマルウェアがないかどうか探索するものであり， その結果，不正な挙動が発見された場合には，その実行コードを検出し，検査サーバに送出するものであり， 検査サーバでは，実行コードを受信するとすぐに解析を開始するものであり，この解析にマルウェアの解析システムを用いるものであって，解析システムに実行コードを送り，そのコードを動的解析するものであり， 動的解析とは，マルウェアを実際に動作させて，不正処理の詳細を把握する方法であり， 検査サーバは，記憶装置を備えるものであり， 記憶装置には，ユーザＰＣで実行する探索プログラムを格納しており， 探索プログラムは，ユーザＰＣ内で稼働，常駐しているプログラムの中からマルウェアの疑いのある怪しいオブジェクトコード（実行コード）を探索して収集するものであり， 探索プログラムはフォールスポジティブを許容する（不正でない対象を，不正と誤判定することを許す状態）という考え方に基づいて，不審なプログラムはすべて抽出するものである， コンピュータ検査システム。」 （２－２）引用文献２に記載されている技術的事項 ア　原査定の拒絶の理由で引用された，本願の出願日前に頒布された又は電気通信回線を通じて公衆に利用可能となった引用文献である，特開２０１１－１３９１７号公報（平成２３年１月２０日出願公開。以下，「引用文献２」という。）には，関連する図面とともに，以下の技術的事項が記載されている。 Ｅ　「【００４３】 マルウェア収集部２０は、故意に脆弱性を持たせた処理部でありインターネットＮと接続している。そして、マルウェア収集部２０は、インターネットＮを介してシェルコードＶ１及びマルウェアＶ２を侵入させ、侵入してきたマルウェアＶ２を収集すると共に、シェルコードＶ１を動作させることによって生成された動作環境Ｅ１に関する情報を含む環境情報６収集して情報データベース３０へ出力する。」 Ｆ　「【００４８】 収集したマルウェアＶ２は、一旦、情報データベース３０に記憶され、挙動解析が行われる場合にマルウェア解析部４０によって呼び出される。」 イ　上記Ｅ、及びＦの記載から，引用文献２には次の技術が記載されているといえる。 「マルウェア収集部は，マルウェアＶ２を収集するものであり，収集したマルウェアＶ２は，一旦，情報データベースに記憶される。」 （２－３）引用文献３に記載されている技術的事項 ア　原査定の拒絶の理由で引用された，本願の出願日前に頒布された又は電気通信回線を通じて公衆に利用可能となった引用文献である，特開２０１２－０１４３２０号公報（平成２４年１月１９日出願公開。以下，「引用文献３」という。）には，関連する図面とともに，以下の技術的事項が記載されている。 Ｇ　「【００４６】 システム管理者６００は、記録媒体１５０をマルウェア感染端末（図１１の端末装置１４０）に接続し、検体抽出プログラム２０７を実行することによって、マルウェア本体、ならびに、不審な設定変更を抽出する。 システム管理者６００は、抽出結果を別途、記録媒体（書き込み可能）に取り込み、それをベンダへ送付して解析を依頼する。 【００４７】 検体抽出プログラム２０７が端末装置１４０（マルウェア感染端末）のＣＰＵ１４０１で実行される際の動作例は図８に示す通りである。 【００４８】 つまり、検体抽出プログラム２０７は、記録媒体１５０内のホワイトリスト３２１を読み出して端末装置１４０内のメモリ１４０２にロードした後、端末装置１４０内に存在するソフトウェアを検索し（Ｓ８０１）、検出したソフトウェアがホワイトリスト３２１に含まれている適正ソフトウェアと一致するか否かを判断する（Ｓ８０２、Ｓ８０３）。 なお、Ｓ８０１の処理では、端末装置１４０上において、検査対象となる通常起動されている実行ファイル、ハードディスク上の実行可能ファイル、ライブラリ（ＤＬＬ、デバイスドライバ）、ドキュメントファイル、特定パス下に保存されているファイルを、端末装置１４０内でソフトウェアがインストールされているメモリやハードディスクから、ファイルの属性（実行ファイル、ライブラリ、ドキュメントファイルなど）を元に検索する。 そして、一致しない場合（Ｓ８０２でＮＯ又はＳ８０３でＹＥＳ）は、検体抽出プログラム２０７は、Ｓ８０１で検出したソフトウェアを検体一覧に追加する（Ｓ８０４）。 検体一覧は、端末装置１４０のメモリ１４０２内の所定の記憶領域で一時的に記憶される。 また、検体抽出プログラム２０７は、端末装置１４０内のすべてのソフトウェアに対する検査が終了した場合（Ｓ８０５でＹＥＳ）は、端末装置１４０における設定（図５の情報記憶部５０３内の設定情報）を読み込み（Ｓ８０６）、読み込んだ設定がホワイトリスト３２１に含まれている正常設定と一致するか否かを判断する（Ｓ８０７、Ｓ８０８）。 なお、Ｓ８０５において、すべてのソフトウェアに対する検査が終了したか否かの判断は、端末装置内の全てのファイルに対して、Ｓ８０１の処理が完了したか否かで行う。 そして、一致しない場合（Ｓ８０７でＮＯ又はＳ８０８でＹＥＳ）は、検体抽出プログラム２０７は、Ｓ８０６で読み込んだ設定を抽出設定一覧に追加する（Ｓ８０９）。 なお、Ｓ８０６では、ホワイトリストに含まれる特定設定パスを元に端末装置１４０上の設定パスを参照して、設定されている変数と値を読み込む。 抽出設定一覧は、端末装置１４０のメモリ１４０２内の所定の記憶領域で一時的に記憶される。 そして、検体抽出プログラム２０７は、端末装置１４０内のすべての設定に対する検査が終了した際（Ｓ８１０でＹＥＳ）に、端末装置１４０のメモリ１４０２内の検体一覧と抽出設定一覧を記録媒体１５０に出力する。 なお、Ｓ８１０において、すべての設定に対する検査が終了したか否かの判断は、ホワイトリストに含まれるすべての特定設定パスに対する変数、値を検査し終わったか否かで行う。 以上にて、端末装置１４０に対する検体抽出プログラム２０７の検査は終了であり、システム管理者６００は、記録媒体１５０を端末装置１４０から抜き取り、前述のように、記録媒体１５０内の検体一覧と抽出設定一覧をベンダに提供して、マルウェアの検出を依頼する。」 イ　引用文献３に記載の上記技術的事項について検討する。 （ア）上記Ｇにおける「システム管理者６００は、記録媒体１５０をマルウェア感染端末（図１１の端末装置１４０）に接続し、検体抽出プログラム２０７を実行することによって、マルウェア本体、ならびに、不審な設定変更を抽出する。」との記載から，引用文献３には， 「記録媒体をマルウェア感染端末に接続し，検体抽出プログラムを実行することによって，マルウェア本体を抽出する」 ことが記載されているといえる。 （イ）上記Ｇにおける「検体抽出プログラム２０７が端末装置１４０（マルウェア感染端末）のＣＰＵ１４０１で実行される際の動作例は図８に示す通りである。」なる記載，及び，「つまり、検体抽出プログラム２０７は、記録媒体１５０内のホワイトリスト３２１を読み出して端末装置１４０内のメモリ１４０２にロードした後、端末装置１４０内に存在するソフトウェアを検索し（Ｓ８０１）、検出したソフトウェアがホワイトリスト３２１に含まれている適正ソフトウェアと一致するか否かを判断する（Ｓ８０２、Ｓ８０３）。 なお、Ｓ８０１の処理では、端末装置１４０上において、検査対象となる通常起動されている実行ファイル、ハードディスク上の実行可能ファイル、ライブラリ（ＤＬＬ、デバイスドライバ）、ドキュメントファイル、特定パス下に保存されているファイルを、端末装置１４０内でソフトウェアがインストールされているメモリやハードディスクから、ファイルの属性（実行ファイル、ライブラリ、ドキュメントファイルなど）を元に検索する。 そして、一致しない場合（Ｓ８０２でＮＯ又はＳ８０３でＹＥＳ）は、検体抽出プログラム２０７は、Ｓ８０１で検出したソフトウェアを検体一覧に追加する（Ｓ８０４）。 検体一覧は、端末装置１４０のメモリ１４０２内の所定の記憶領域で一時的に記憶される。」との記載から，引用文献３には， 「検体抽出プログラムが端末装置（マルウェア感染端末）のＣＰＵで実行される際の動作は，端末装置内に存在するソフトウェアを検索するものであり，端末装置において，特定パス下に保存されているファイルを検索するものであり， 検体抽出プログラムは，検出したソフトウェアを検体一覧に追加するものであり， 検体一覧は，端末装置のメモリ内の所定の記憶領域で一時的に記憶される」 ことが記載されているといえる。 ウ　上記イの検討から，引用文献３には次の技術が記載されているといえる。 「記録媒体をマルウェア感染端末に接続し，検体抽出プログラムを実行することによって，マルウェア本体抽出するものであって， 検体抽出プログラムが端末装置（マルウェア感染端末）のＣＰＵで実行される際の動作は，端末装置内に存在するソフトウェアを検索するものであり，端末装置において，特定パス下に保存されているファイルを検索するものであり， 検体抽出プログラムは，検出したソフトウェアを検体一覧に追加するものであり， 検体一覧は，端末装置のメモリ内の所定の記憶領域で一時的に記憶される。」 （２－４）引用文献４に記載されている技術的事項 原査定の拒絶の理由で引用された，本願の出願日前に頒布された又は電気通信回線を通じて公衆に利用可能となった引用文献である，特開２０１１－２２１７４５号公報（平成２３年１１月４日出願公開。以下，「引用文献４」という。）には，関連する図面とともに，以下の技術的事項が記載されている。 Ｈ　「【００１９】 システムフォルダとは、PCの各種アプリケーションが保存・管理されているフォルダである。マルウェアは、多数の実行ファイルが管理されているフォルダに自身をコピーすることで他の実行ファイルと見分け難くすることを目的として、システムフォルダに感染することが多い。本実施形態では、正規のアプリケーションのインストール先およびマルウェアの感染先がシステムフォルダであることを想定しているが、これ以外であっても、以下の手法を同様に適用することが可能である。」 （２－５）引用文献５に記載されている技術的事項 原査定の拒絶の理由で引用された，本願の出願日前に頒布された又は電気通信回線を通じて公衆に利用可能となった引用文献である，国際公開第２００４／０８４０６３号公（２００４年９月３０日国際公開。以下，「引用文献５」という。）には，関連する図面とともに，以下の技術的事項が記載されている。 Ｉ　「探索の対象となるウィルスが、共有フォルダへ侵入する性質を持つウィルスであることもある。このような共有フォルダへ侵入するウィルスは、おとりフォルダを設けることで、その活動を検出できる。」 （第６ページ第１０行～第１２行） （２－６）引用文献６に記載されている技術的事項 原査定の拒絶の理由で引用された，本願の出願日前に頒布された又は電気通信回線を通じて公衆に利用可能となった引用文献である，特開２００５－５６２４３号公報（平成１７年３月３日出願公開。以下，「引用文献６」という。）には，関連する図面とともに，以下の技術的事項が記載されている。 Ｊ　「【０００２】 ワームとよばれる自己増殖を目的とした不正プログラムがある。ワームは、ネットワーク上のファイル共有や、ネットワークアプリケーションを利用して増殖する。ファイル共有を利用する場合は、以下のように増殖する。まず、ワームに感染した端末が、ネットワーク上の他の端末に、ファイル共有できるものがあるか否かを探す。ファイル共有できるものがあれば、共有フォルダにワームを書き込む。そして、再起動時にワームが動くようにワームを書き込んだ端末の設定変更を行なう。」 （３）対比 ア　本件補正発明と引用発明とを対比する。 （ア）引用発明は，「コンピュータ検査システムであって， 本システムを構成する要素として，検査サーバ，検査対象コンピュータであるユーザＰＣ，マルウェアの解析システムがあり，各要素間は通信ネットワークで接続されており， 検査サーバから，ユーザＰＣに対して探索プログラムの送付を行い，ユーザＰＣ上で探索プログラムを起動し，稼働させることで，不正な挙動が行うマルウェアがないかどうか探索する」 ものである。 してみると，引用発明は，「コンピュータ検査システムであって」，「検査対象コンピュータであるユーザＰＣ」があり，「ユーザＰＣ上で探索プログラムを起動し，稼働させることで，不正な挙動が行うマルウェアがないかどうか探索するもの」であるから，「検査対象コンピュータであるユーザＰＣ上」で「マルウェア」を探索する「検査システム」であるといえ，引用発明の「検査対象コンピュータであるユーザＰＣ」，「マルウェア」は，それぞれ本件補正発明の“検査対象装置”，“マルウェア”に相当するものである。 そして，引用発明は，「不正な挙動が発見された場合には，その実行コードを検出し，検査サーバに送出する」ものであって，「探索プログラムはフォールスポジティブを許容する（不正でない対象を，不正と誤判定することを許す状態）という考え方に基づいて，不審なプログラムはすべて抽出する」ものである。 ここで，「不正な挙動が発見された場合」における「その実行コード」とは，「フォールスポジティブを許容する（不正でない対象を，不正と誤判定することを許す状態）という考え方に基づいて，不審なプログラムはすべて抽出」された実行コードであるから，マルウェアと疑われる実行コードであり，マルウェアに感染していることが疑われる“被疑ファイル”といえ，かかる「その実行コード」が「検査対象コンピュータであるユーザＰＣ」の“記憶部”に記憶されているものであることは明らかであるから，引用発明は，検査対象コンピュータであるユーザＰＣの記憶部に記憶されているマルウェアの被疑ファイルを検査するシステムであるといえる。 よって，本件補正発明と引用発明とは，“記憶部に被疑ファイルを有する検査対象装置を含むマルウェア検知システム”である点で一致している。 （イ）引用発明の「コンピュータ検査システム」は，「本システムを構成する要素として，検査サーバ，検査対象コンピュータであるユーザＰＣ，マルウェアの解析システムがあり，各要素間は通信ネットワークで接続されて」いるものであるから，「検査サーバ」，「検査対象コンピュータであるユーザＰＣ」，及び「マルウェアの解析システム」とを備えており，「各要素間は通信ネットワークで接続されて」いることから，各要素間である「検査サーバ」と「検査対象コンピュータであるユーザＰＣ」，ならびに，「検査サーバ」と「マルウェアの解析システム」とは接続されているものである。 そして，引用発明の「検査サーバ」は，「検査サーバでは，実行コードを受信するとすぐに解析を開始するもの」であって，「その結果，不正な挙動が発見された場合には，その実行コードを検出し，検査サーバに送出する」であるところ，上記（ア）の検討も踏まえると，マルウェアの被疑ファイルである実行コードを，検査対象コンピュータであるユーザＰＣから収集しているといえる。よって，引用発明の「検査サーバ」は，本件補正発明の“被疑ファイル収集装置”に相当するものである。 以上のことから，本件補正発明と引用発明とは，“マルウェア検知システムにおいて”“検査対象装置に接続可能な，被疑ファイル収集装置を備えている”点で一致している。 （ウ）引用発明の「コンピュータ検査システム」は，上記（イ）で検討したとおり，「検査サーバ」と「マルウェアの解析システム」とを備えるものであって，「検査サーバ」と「マルウェアの解析システム」とは「通信ネットワークで接続されて」おり，「検査サーバでは，実行コードを受信するとすぐに解析を開始するものであり，この解析にマルウェアの解析システムを用いるもの」であるから，「マルウェアの解析システム」は，マルウェアを解析するために「検査サーバ」からアクセス可能であることは明らかであって，また，マルウェアを解析することはマルウェアの動作を監視することといえるから，引用発明の「マルウェアの解析システム」は，本件補正発明の“監視装置”に相当するといえる。 そして，上記（イ）で検討したとおり，引用発明の「検査サーバ」は，本件補正発明の“被疑ファイル収集装置”に相当するものであるから，本件補正発明と引用発明とは，“マルウェア検知システムにおいて”“被疑ファイル収集装置からアクセス可能な，監視装置を備えている”点で一致している。 （エ）引用発明は，「検査サーバは，記憶装置を備えるものであり， 記憶装置には，ユーザＰＣで実行する探索プログラムを格納して」いるところ，「探索プログラム」は“所定のプログラム”といえ，「記憶装置」は“記憶手段”といえるから，引用発明の「検査サーバ」は，“所定のプログラムを記憶する記憶手段”を有しているといえる。 そして，引用発明は，「検査サーバでは，実行コードを受信するとすぐに解析を開始するものであり，この解析にマルウェアの解析システムを用いるものであって，解析システムに実行コードを送り，そのコードを動的解析する」ものであるから，引用発明の「検査サーバ」は，「解析システムに実行コードを送」るための，何らかの“送出手段”を備えていることは明らかである。 そして，上記（ア）～（ウ）で検討したとおり，引用発明の「実行コード」，「検査サーバ」，「マルウェアの解析システム」は，それぞれ，本件補正発明の“被疑ファイル”，“被疑ファイル収集装置”，“監視装置”に相当するものであるから，本件補正発明と引用発明とは，後記の点で相違するものの，“被疑ファイル収集装置は，所定のプログラムを記憶する記憶手段と，被疑ファイルを監視装置に送出する送出手段と，を有する”点で一致している。 （オ）引用発明は，「検査サーバから，ユーザＰＣに対して探索プログラムの送付を行い，ユーザＰＣ上で探索プログラムを起動し，稼働させることで，不正な挙動が行うマルウェアがないかどうか探索する」ものであって，「探索プログラムは，ユーザＰＣ内で稼働，常駐しているプログラムの中からマルウェアの疑いのある怪しいオブジェクトコード（実行コード）を探索して収集する」ものである。 してみると，引用発明の「探索プログラム」は，接続されるユーザＰＣ上で稼動，すなわち“実行”されるものであって，「ユーザＰＣ」から「マルウェアの疑いのある怪しいオブジェクトコード（実行コード）を探索して収集する」“収集手段である”といえ，上記（ア）で検討したとおり，マルウェアの“被疑ファイル”が，「検査対象コンピュータであるユーザＰＣ」の“記憶部”に記憶されているものであることは明らかであり，上記（エ）で検討したとおり，引用発明の「探索プログラム」は“所定のプログラム”といえることから，本件補正発明と引用発明とは，後記の点で相違するものの，“所定のプログラムは，接続される検査対象装置において実行されるものであり，記憶部からマルウェアへの感染が疑われる被疑ファイルを収集する収集手段である”点で一致している。 （カ）引用発明は，「この解析にマルウェアの解析システムを用いるものであって，解析システムに実行コードを送り，そのコードを動的解析するものであり，動的解析とは，マルウェアを実際に動作させて，不正処理の詳細を把握する方法」であるから，「マルウェアの解析システム」は「マルウェアを実際に動作させて，不正処理の詳細を把握する」「動的解析」を行うものであり，この動的解析は，被疑ファイルである実行コードを実行させて，その実行した結果を監視して解析を行うように構成されるといえる。 そして，上記（ウ）で検討したとおり，引用発明の「マルウェアの解析システム」は，本件補正発明の“監視装置”に相当するものであるから，本件補正発明と引用発明とは，“監視装置は，被疑ファイル収集装置から受信した被疑ファイルを実行した結果を監視するよう構成されている”点で一致している。 （キ）引用発明は，「検査サーバから，ユーザＰＣに対して探索プログラムの送付を行い，ユーザＰＣ上で探索プログラムを起動し，稼働させることで，不正な挙動が行うマルウェアがないかどうか探索する」ものであって，「検査サーバは，記憶装置を備えるものであり， 記憶装置には，ユーザＰＣで実行する探索プログラムを格納して」いるものであるから，引用発明の「ユーザＰＣ」は，「検査サーバ」に接続し，「検査サーバ」が「備える」「記憶装置」に「格納して」いる「探索プログラム」を稼動，すなわち“実行”しているといえる。 そして，上記（ア），（イ），及び（エ）で検討したとおり，引用発明の「検査対象コンピュータであるユーザＰＣ」，「検査サーバ」，「記憶装置」，「探索プログラム」は，それぞれ，本件補正発明の“検査対象装置”，“被疑ファイル収集装置”，“所定のプログラム”に相当するものであるから，本件補正発明と引用発明とは，“検査対象装置は，被疑ファイル収集装置に接続し，記憶手段に記憶されている所定のプログラムを実行する”点で一致している。 イ　上記（ア）～（キ）の検討から，本件補正発明と引用発明とは，以下の点で一致し，また，以下の点で相違する。 ＜一致点＞ 「記憶部に被疑ファイルを有する検査対象装置を含むマルウェア検知システムにおいて， 前記検査対象装置に接続可能な，被疑ファイル収集装置と， 前記被疑ファイル収集装置からアクセス可能な，監視装置と，を備え， ここで，前記被疑ファイル収集装置は，所定のプログラムを記憶する記憶手段と，被疑ファイルを前記監視装置に送出する送出手段と，を有し， 前記所定のプログラムは，接続される前記検査対象装置において実行されるものであり，前記記憶部からマルウェアへの感染が疑われる被疑ファイルを収集する収集手段であり， 前記監視装置は，前記被疑ファイル収集装置から受信した被疑ファイルを実行した結果を監視するよう構成されており， 前記検査対象装置は，前記被疑ファイル収集装置に接続し，前記記憶手段に記憶されている前記所定のプログラムを実行する， マルウェア検知システム。」 ＜相違点１＞ 本件補正発明は，記憶手段が「被疑ファイル」を記憶し，「前記記憶手段に記憶された」被疑ファイルを監視装置に送出するものであるのに対して，引用発明は，記憶手段が被疑ファイルを記憶する点が特定されていない点。 ＜相違点２＞ 本件補正発明は，記憶部のうちの「マルウェア動作に関連する所定の領域」からマルウェアへの感染が疑われる被疑ファイルを収集するものであるのに対して，引用発明は，そのような特定がなされていない点。 （４）当審の判断 上記相違点について検討する。 ア　相違点１について 上記「（２）（２－２）イ」に示したとおり，引用文献２には，「マルウェア収集部は，マルウェアＶ２を収集するものであり，収集したマルウェアＶ２は，一旦，情報データベースに記憶される」技術が記載されており，また，上記「（２）（２－３）ウ」に示したとおり，引用文献３には，「検体抽出プログラムは，検出したソフトウェアを検体一覧に追加するものであり，検体一覧は，端末装置のメモリ内の所定の記憶領域で一時的に記憶される」技術が記載されており，被疑ファイルの収集装置において，収集した被疑ファイルを記憶手段に記憶することは，一般的行われている技術にすぎない。 一方，引用発明は，「検査サーバは，記憶装置を備える」ものであって，「検査サーバでは，実行コードを受信するとすぐに解析を開始するものであり，この解析にマルウェアの解析システムを用いるものであって，解析システムに実行コードを送」るものであるところ，被疑ファイルである「実行コードを受信」した際に，当該「検査サーバ」に備えられた前記「記憶装置」に「実行コード」，すなわち“被疑ファイル”を記憶するようにすることは，前述したように，被疑ファイル収集装置において，収集した被疑ファイルを記憶手段に記憶することが一般的に行われている技術にすぎないことを勘案すれば，当業者であれば容易になし得る事項である。 イ　相違点２について 上記「（２）（２－４）」に示したとおり，引用文献４には，「マルウェアの感染先がシステムフォルダであることを想定している」ことが記載され，上記「（２）（２－５）」に示したとおり，引用文献５には，「探索の対象となるウィルスが、共有フォルダへ侵入する性質を持つウィルスであることもある」ことが記載され，上記「（２）（２－６）」に示したとおり，引用文献６には，「ワームは、ネットワーク上のファイル共有や、ネットワークアプリケーションを利用して増殖する」ことが記載されている。 してみると，ウィルスやワームなどのマルウェアが，システムフォルダや共有フォルダなどの，“記憶部のうちのマルウェア動作に関連する所定の領域”に感染することは，本願出願時において当業者に広く知られていた事実であると認められる。 一方，引用発明も，「探索プログラムは，ユーザＰＣ内で稼働，常駐しているプログラムの中からマルウェアの疑いのある怪しいオブジェクトコード（実行コード）を探索して収集する」ものであるところ，探索プログラムが，ユーザＰＣの“記憶部のうちのマルウェア動作に関連する所定の領域”から被疑ファイルである実行コードを収集するとすることは，前述したように，ウィルスやワームなどのマルウェアが，“記憶部のうちのマルウェア動作に関連する所定の領域”に感染するという広く知られていた事実を勘案すれば，当業者であれば容易になし得るものと認められる。 ウ　小括 上記ア及びイで検討したとおり，相違点１及び相違点２に係る構成は，引用発明，及び引用文献２～６に記載された技術に基づいて，当業者が容易に想到し得たものであり，そして，これらの相違点を総合的に勘案しても，本件補正発明の奏する作用効果は，引用発明，及び引用文献２～６に記載された技術の奏する作用効果から予測される範囲内のものにすぎず，格別顕著なものということはできない。 したがって，本件補正発明は，引用発明，及び引用文献２～６に記載された技術に基づいて，当業者が容易に発明をすることができたものであり，特許法第２９条第２項の規定により，特許出願の際独立して特許を受けることができない。 ３　本件補正についてのむすび よって，本件補正は，特許法第１７条の２第６項において準用する同法第１２６条第７項の規定に違反するので，同法第１５９条第１項の規定において読み替えて準用する同法第５３条第１項の規定により却下すべきものである。 よって，上記補正の却下の決定の結論のとおり決定する。 第３　本願発明について １　本願発明の認定 令和１年１１月１８日にされた手続補正は，上記のとおり却下されたので，本願の請求項に係る発明は，平成３１年３月１４日にされた手続補正により補正された特許請求の範囲の請求項１～７に記載された事項により特定されるものであるところ，その請求項４に係る発明（以下，「本願発明」という。）は，その請求項４に記載された事項により特定される，上記「第２[理由]１（２）」の請求項４に記載された下記のとおりのものである。 「検査対象装置に接続可能な被疑ファイル収集装置と、 前記被疑ファイル収集装置からアクセス可能な監視装置と、を備え、 前記被疑ファイル収集装置は、 前記検査対象装置により起動されるプログラムを用いて、前記検査対象装置が有する記憶部のうちのマルウェアの動作に関連する所定の領域からマルウェアへの感染が疑われる被疑ファイルを収集するよう構成された収集手段と、 前記被疑ファイルを記憶するよう構成された記憶手段と、 前記記憶手段に蓄積された被疑ファイルを前記監視装置に送出するよう構成された送出手段と、を有し、 前記監視装置は、前記被疑ファイル収集装置から受信した被疑ファイルを実行した結果を監視するよう構成された、 ことを特徴とするマルウェア検知システム。」 ２　原査定の拒絶の理由 原査定の拒絶の理由は，この出願の請求項４に係る発明は，本願の出願日前に頒布された又は電気通信回線を通じて公衆に利用可能となった下記の引用文献Ａ～Ｆに記載された発明に記載された技術に基づいて，その出願前にその発明の属する技術の分野における通常の知識を有する者が容易に発明をすることができたものであるから，特許法第２９条第２項の規定により特許を受けることができない，というものである。 Ａ.特開２０１０－１９８０５４号公報 Ｂ.特開２０１１－１３９１７号公報 Ｃ.特開２０１２－０１４３２０号公報 Ｄ.特開２０１１－２２１７４５号公報 Ｅ.国際公開第２００４／０８４０６３号 Ｆ.特開２００５－５６２４３号公報 ３　引用文献 原査定の拒絶の理由に引用された，引用文献Ａ～Ｆ，及びその記載事項は，上記「第２[理由]２（２）（２－１）～（２－６）」に記載したとおりである。 ４　対比・判断 本願発明は，上記「第２[理由]２（１）」で検討した本件補正発明の「マルウェア検知システム」について，「記憶部に被疑ファイルを有する検査対象を含む」との限定を削除し，同「記憶手段」について，被疑ファイルおよび「所定のプログラムを記憶する」との限定を削除し，その他の事項の記載順序を変更したものである そうすると，本願発明の発明特定事項を全て含み，さらに他の事項を付加したものに相当する本件補正発明が，上記「第２[理由]２（３），（４）」に記載したとおり，引用発明，及び引用文献２～６に記載の技術に基づいて，当業者が容易に発明をすることができたものであるから，本願発明も，引用発明，及び引用文献２～６に記載の技術に基づいて，当業者が容易に発明をすることができたものである。 第４　むすび 以上のとおり，本願の請求項４に係る発明は，特許法第２９条第２項の規定により特許を受けることができないものであるから，その余の請求項に係る発明について検討するまでもなく，本願は拒絶すべきものである。 よって，結論のとおり審決する。