2020-007665

第１　手続の経緯

本願は，平成２８年１月１５日の出願であって，令和１年８月１日付けで拒絶の理由が通知され，同年９月３０日に意見書とともに手続補正書が提出され，令和２年２月２７日付けで拒絶査定（謄本送達日同年３月３日）がなされ，これに対して同年６月３日に拒絶査定不服審判の請求がなされたものである。

第２　原査定の概要

原査定（令和２年２月２７日付け拒絶査定）の概要は次のとおりである。

（進歩性）この出願の下記の請求項に係る発明は、その出願前に日本国内又は外国において、頒布された下記の刊行物に記載された発明又は電気通信回線を通じて公衆に利用可能となった発明に基いて、その出願前にその発明の属する技術の分野における通常の知識を有する者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。

記　　　（引用文献等については引用文献等一覧参照）

・請求項　　　１－５

・引用文献等　１，２

＜引用文献等一覧＞

１．特表２０１４－５３１６４７号公報

２．特開２０１１－６５４４０号公報

第３　本願発明

本願請求項１ないし５に係る発明（以下「本願発明１」ないし「本願発明５」といい，これらを総括していう場合には，単に「本願発明」という。）は，令和１年９月３０日に提出された手続補正書の特許請求の範囲の請求項１ないし５に記載された，次のとおりのものと認める。

「【請求項１】

過去ログに含まれる事象の中から、所定の事象を抽出し、前記所定の事象ごとに、前記所定の事象と関連する複数の関連事象を前記所定の事象を起点とする所定の時間幅にわたって抽出し、

前記所定の事象および前記関連事象に対応するパターンデータを作成し、

前記パターンデータを前記所定の事象の時間順に結合した学習モデルを構築し、

続きを表示（全28行）

前記学習モデルと、発生した事象に応じて入力されるイベントデータとの照合結果をもとに異常の検知を行う処理をコンピュータに実行させ、

前記パターンデータを作成する処理は、事象の種別ごとに予め設定されたマスキングのルールをもとに、前記所定の時間幅にわたって抽出された所定の事象および関連事象に対応するパターンデータを、当該抽出された所定の事象および関連事象の種別に応じたマスキングのルールに基づきマスキングする

ことを特徴とする検知プログラム。

【請求項２】

前記抽出する処理は、前記起点に対して事象ごとに予め設定された終点のルールをもとに、前記所定の事象および前記関連事象の中で前記起点に対する終点が最も長くなる時間幅で抽出を行う

ことを特徴とする請求項１に記載の検知プログラム。

【請求項３】

前記学習モデルを構築する処理は、前記所定の事象ごとに作成されたパターンデータにおいて、互いに共通する共通部をマージして前記学習モデルを構築する

ことを特徴とする請求項１または２に記載の検知プログラム。

【請求項４】

過去ログに含まれる事象の中から、所定の事象を抽出し、前記所定の事象ごとに、前記所定の事象と関連する複数の関連事象を前記所定の事象を起点とする所定の時間幅にわたって抽出し、

前記所定の事象および前記関連事象に対応するパターンデータを作成し、

前記パターンデータを前記所定の事象の時間順に結合した学習モデルを構築し、

前記学習モデルと、発生した事象に応じて入力されるイベントデータとの照合結果をもとに異常の検知を行う処理をコンピュータが実行し、

前記パターンデータを作成する処理は、事象の種別ごとに予め設定されたマスキングのルールをもとに、前記所定の時間幅にわたって抽出された所定の事象および関連事象に対応するパターンデータを、当該抽出された所定の事象および関連事象の種別に応じたマスキングのルールに基づきマスキングする

ことを特徴とする検知方法。

【請求項５】

プロセッサが、

過去ログに含まれる事象の中から、所定の事象を抽出し、前記所定の事象ごとに、前記所定の事象と関連する複数の関連事象を前記所定の事象を起点とする所定の時間幅にわたって抽出し、

前記所定の事象および前記関連事象に対応するパターンデータを作成し、

前記パターンデータを前記所定の事象の時間順に結合した学習モデルを構築し、

前記学習モデルと、発生した事象に応じて入力されるイベントデータとの照合結果をもとに異常の検知を行う処理を実行し、

前記パターンデータを作成する処理は、事象の種別ごとに予め設定されたマスキングのルールをもとに、前記所定の時間幅にわたって抽出された所定の事象および関連事象に対応するパターンデータを、当該抽出された所定の事象および関連事象の種別に応じたマスキングのルールに基づきマスキングする

ことを特徴とする検知装置。」

第４　引用例

１　引用例１に記載された事項

原査定の拒絶の理由において引用した，本願の出願前に既に公知である，特表２０１４－５３１６４７号公報（平成２６年１１月２７日公表。以下，これを「引用例１」という。）には，関連する図面と共に，次の事項が記載されている。（下線は当審で付加。以下同様。）

Ａ　「【００２１】

図１は、一実施形態による、ネットワークセキュリティシステム１００を示す幾何ブロック図である。システム１００は、エージェント１２ａ～１２ｎ、少なくとも１つのマネージャ１４、及び少なくとも１つのコンソール（これには、ブラウザベースのバージョンも含まれ得る。）を含む。一部の実施形態において、エージェント、マネージャ、及び／又はコンソールは、単一プラットフォームとして結合される場合もあれば、２、３、又はそれ以上のプラットフォームに分散される場合もある（例えば、図示した例におけるように）。この多段階アーキテクチャの使用によれば、コンピュータネットワーク又はシステムの成長に伴う規模の拡大縮小が可能となる。」

Ｂ　「【００３１】

ネットワークセキュリティシステム１００は、異常検出機能をさらに含む。一実施形態において、マネージャ１４は、未加工ベースラインモジュール３１Ａ、基準ベースラインモジュール３１Ｂ、及びローカルメモリ３２をさらに含む。」

Ｃ　「【００３２】

未加工ベースラインモジュール３１Ａは、イベントマネージャ２６を介してエージェント１２ａ～１２ｎのうちの少なくとも１つから、データベースマネージャ２２を介してイベントデータベース２０から、又はイベントマネージャ２６から、セキュリティイベントのような一組のイベントを受信するように構成される。未加工ベースラインモジュール３１Ａは、イベントにおいて与えられるようなユーザＩＤ及びセッションＩＤを使用して、イベントをユーザごと及びセッションごとにそれぞれグループ化するようにさらに構成される。

【００３３】

セッションによるグループ化は、例えば、イベントのセッション識別子（ＩＤ）（例えば、ウェブセッション識別子）に従って実施される場合がある。他の実施形態において、セッションベースのグループ化は、イベントのタイムスタンプを検査し、一組のイベントのタイムスタンプが時間的に近接している場合、その一組のイベントを同じセッションの一部であるものと判定することにより実施される場合がある。換言すれば、イベントは、イベント（例えば、トランザクション）間の時間的近接度によってグループ化される。

【００３４】

未加工ベースラインモジュール３１Ａは、セッション中に行われたユーザ行動のシーケンス、及びそれらの行動間の時間差を識別し、未加工ベースラインを生成するようにさらに構成される。未加工ベースラインモジュール３１は、未加工ベースラインを、データリストモジュール３０のアクティブリスト及び／又はセッションリストのようなデータリストに記憶するように構成される。」

Ｄ　「【００３５】

基準ベースラインモジュール３１Ｂは、異常を識別するために受信イベントのシーケンスを分析する際の対比の対象となる基準ベースラインを生成するように構成される。基準ベースラインモジュール３１Ｂは、具体的には、未加工ベースラインを使用して、ユーザごとの履歴レコードを形成する時間順に並べられたイベントのシーケンスの共通及び特徴的パターンを識別するように構成される。さらに、特徴的イベントシーケンスにおけるイベントの各々の間の時間差を判定する。

【００３６】

基準ベースラインモジュール３１Ｂは、例えば特定のイベントフローについての全セッションを通しての個々のイベントの発生数を含む、イベントフローに関する統計情報を計算するようにさらに構成される。未加工ベースラインモジュール３１Ａ及び基準ベースラインモジュール３１Ｂは、図示のように独立したモジュールであってもよいし、又は、ルールエンジン１８のような他のコンポーネントと一体化されてもよい。」

Ｅ　「【００４２】

ネットワークセキュリティシステムは、セキュリティイベント及びアプリケーションイベントのようなイベントを監視し、及び分析する。ウェブベースの金融トランザクションの事例においては、アプリケーションイベントには、例えば、銀行残高を照会したり、ユーザのクレジットカードアカウントから入出金する資金の移動を開始したり、支払先を追加したり、又はアカウント情報を更新したりする等のための、例えばウェブクリックによるオンライン金融システムを利用したユーザによる操作のような、ユーザ活動イベント／金融トランザクションイベントが含まれる場合がある。一実施形態において、特定セッション（例えば、ウェブセッション、ログインセッションなど）における、金融システムにおける特定ユーザによるページごとの各移動は、イベントフローとしてグループ化される。従って、イベントフローとは、ユーザごと及びセッションごとのイベントの集合である。あるイベントのユーザ及び／又はセッション情報は、そのイベントにおける種々のフィールドから決定される場合がある。イベントには、例えば、セキュリティイベント、アプリケーションイベント（例えば、金融トランザクションイベント）、及び、セキュリティシステムが監視する対象となるシステムに配備された種々のエージェントにより生成される他のタイプのイベントがある。

【００４３】

ステップ２１０において、未加工ベースラインが決定される。本明細書において、未加工ベースラインとは、特定ユーザに関連する一組の履歴的イベントフロー及び時間差情報である。未加工ベースラインは、複数セッションのイベントフローを含む場合がある。それらのイベントフローは、ユーザに関連する履歴レコードを形成する。一実施形態において、イベントフローは、ユーザごと及びセッションごとに、時間順に並べられたイベントのシーケンスに編成される。さらに、各イベントフローについて、シーケンス中のイベントの各々の間における時間差、及び／又は、セッション中で消費された全時間が判定される。あるイベントと次の順番のイベントとの間の時間差は、あるイベントの発生時刻と、次の順番のイベントの発生時刻との間の差をとることによって判定される場合がある。

【００４４】

下記の表１は、データリストのイベントテーブルに含まれることがあるような、ユーザ１に関連する部分的未加工ベースラインの一例である。この未加工ベースラインは、時間差情報を含む。

【００４５】

【表１】

」

Ｆ　「【００４８】

ステップ２２０では、未加工ベースラインに基づいて、時間順に並べられたイベントの特徴的シーケンスが識別される。一実施形態では、未加工ベースラインに関連するイベントフロー及び計時データを分析することにより、特定ユーザの取引又は行動のパターンを判定する。パターン認識又は識別は、ユーザ固有の未加工ベースラインにおいて種々のイベントフローを結合し、それによって、あるパターンが識別されたときに、特徴的イベントシーケンスが時間順に並べられたイベントのシーケンスとして表されるようにすることを含む。」

Ｇ　「【００５６】

ステップ２４０では、特徴的イベントシーケンス、及び関連計時データに基づいて、基準ベースラインが生成される。本明細書において、基準ベースラインとは、取引又は行動のユーザ固有パターンを表すものとして識別された一組の時間順に並べられたイベントの特徴的シーケンスである。基準ベースラインは、各特徴的イベントシーケンスに関連する計時データをさらに含む。」

Ｈ　「【００７９】

他の実施形態において、基準ベースラインは、「異常」及び／又は「正常」なユーザ行動を示す種々のシーケンスを含む。もし現在のセッションの到来フローが基準ベースラインに一致する場合、基準ベースライン中の一致するシーケンスは、「異常」又は「正常」としてフラグを立てられ、又はマーキングされる。もし一致が「異常」シーケンスとの間の一致である場合、ルール条件は「真」に戻り、もし一致が「正常」シーケンスとの間の一致である場合、ルール条件は「偽」に戻る。」

２　引用発明

ア　上記記載事項Ａの「図１は、一実施形態による、ネットワークセキュリティシステム１００を示す幾何ブロック図である。システム１００は、…（中略）…マネージャ１４、…（中略）…を含む。」との記載から，引用例１には，“マネージャを含むネットワークセキュリティシステム”について記載されていて，当該“ネットワークセキュリティシステム”はコンピュータで構成され，“マネージャ”は，当該コンピュータで実行される所定のプログラムであることは当業者にとって自明であるので，引用例１は，“マネージャを含むネットワークセキュリティシステムで実行されるプログラム”について記載されたものであるといえる。

イ　上記記載事項Ｂの「ネットワークセキュリティシステム１００は、異常検出機能をさらに含む。一実施形態において、マネージャ１４は、未加工ベースラインモジュール３１Ａ、基準ベースラインモジュール３１Ｂ、及びローカルメモリ３２をさらに含む。」との記載，及び上記アの認定事項から，引用例１には，“前記ネットワークセキュリティシステムは，異常検出機能を有”すること，及び“前記マネージャは，未加工ベースラインモジュール，基準ベースラインモジュール，及びローカルメモリを含”むことが記載されているといえる。

ウ　上記記載事項Ｃの「未加工ベースラインモジュール３１Ａは、…（中略）…セキュリティイベントのような一組のイベントを受信する」との記載，及び上記イの認定事項から，引用例１には，“前記未加工ベースラインモジュールは，セキュリティイベントのような一組のイベントを受信”することが記載されているといえる。

同じく上記記載事項Ｃの「未加工ベースラインモジュール３１Ａは、イベントにおいて与えられるようなユーザＩＤ及びセッションＩＤを使用して、イベントをユーザごと及びセッションごとにそれぞれグループ化する…（中略）…セッションによるグループ化は、…イベントのセッション識別子（ＩＤ）…に従って実施され…（中略）…イベントは、イベント（例えば、トランザクション）間の時間的近接度によってグループ化され…（中略）…未加工ベースラインモジュール３１Ａは、セッション中に行われたユーザ行動のシーケンス、及びそれらの行動間の時間差を識別し、未加工ベースラインを生成する…未加工ベースラインモジュール３１は、未加工ベースラインを、データリストモジュール３０のアクティブリスト及び／又はセッションリストのようなデータリストに記憶する」との記載，及び上記イの認定事項から，引用例１には，前記未加工ベースラインモジュールは，“イベントにおいて与えられるようなユーザＩＤ及びセッションＩＤを使用して，イベントをユーザごと及びセッションごとにそれぞれグループ化し，セッションによるグループ化は，イベントのセッション識別子（ＩＤ）に従って実施され，前記イベントは，イベント（例えば，トランザクション）間の時間的近接度によってグループ化され，セッション中に行われたユーザ行動のシーケンス，及びそれらの行動間の時間差を識別し，未加工ベースラインを生成し，前記未加工ベースラインを，データリストモジュールのアクティブリスト及び／又はセッションリストのようなデータリストに記憶”することが記載されているといえる。

エ　上記記載事項Ｄの「基準ベースラインモジュール３１Ｂは、異常を識別するために受信イベントのシーケンスを分析する際の対比の対象となる基準ベースラインを生成する…基準ベースラインモジュール３１Ｂは、…未加工ベースラインを使用して、ユーザごとの履歴レコードを形成する時間順に並べられたイベントのシーケンスの共通及び特徴的パターンを識別する…（中略）…基準ベースラインモジュール３１Ｂは、例えば特定のイベントフローについての全セッションを通しての個々のイベントの発生数を含む、イベントフローに関する統計情報を計算する」との記載，及び上記イ及びウの認定事項から，引用例１には，“前記基準ベースラインモジュールは，異常を識別するために受信イベントのシーケンスを分析する際の対比の対象となる基準ベースラインを生成し，前記未加工ベースラインを使用して，ユーザごとの履歴レコードを形成する時間順に並べられたイベントのシーケンスの共通及び特徴的パターンを識別し，例えば特定のイベントフローについての全セッションを通しての個々のイベントの発生数を含む，イベントフローに関する統計情報を計算”することが記載されているといえる。

オ　上記記載事項Ｅの「ネットワークセキュリティシステムは、セキュリティイベント及びアプリケーションイベントのようなイベントを監視し、及び分析する…（中略）…特定セッション…（中略）…における、金融システムにおける特定ユーザによるページごとの各移動は、イベントフローとしてグループ化される。従って、イベントフローとは、ユーザごと及びセッションごとのイベントの集合である」との記載，及び上記アの認定から，引用例１には，“前記ネットワークセキュリティシステムは，セキュリティイベント及びアプリケーションイベントのようなイベントを監視し，及び分析し，特定セッションにおける，金融システムにおける特定ユーザによるページごとの各移動は，イベントフローとしてグループ化され，従って，イベントフローとは，ユーザごと及びセッションごとのイベントの集合であ”ることが記載されているといえる。

カ　上記記載事項Ｅの「未加工ベースラインとは、特定ユーザに関連する一組の履歴的イベントフロー及び時間差情報である。未加工ベースラインは、複数セッションのイベントフローを含む…それらのイベントフローは、ユーザに関連する履歴レコードを形成する。…イベントフローは、ユーザごと及びセッションごとに、時間順に並べられたイベントのシーケンスに編成される」との記載，及び上記ウの認定事項から，引用例１には，“前記未加工ベースラインとは，特定ユーザに関連する一組の履歴的イベントフロー及び時間差情報であり，複数セッションのイベントフローを含み，それらのイベントフローは，ユーザに関連する履歴レコードを形成し，前記イベントフローは，ユーザごと及びセッションごとに，時間順に並べられたイベントのシーケンスに編成され”ることが記載されているといえる。

キ　上記記載事項Ｅの【表１】からは，「セッションＩＤ」ごとに，「イベントタイプ」が「ログイン」，「アカウント残高照会」，「概要」，「支払予定」及び「報酬概要」といった項目が記録されている態様を読取ることができる。そして，上記記載事項Ｅの「下記の表１は、データリストのイベントテーブルに含まれることがあるような、ユーザ１に関連する部分的未加工ベースラインの一例である。」との記載から，当該【表１】は，未加工ベースラインの一部を表していて，上記カの認定事項における，「前記未加工ベースラインとは，特定ユーザに関連する一組の履歴的イベントフロー及び時間差情報であ」ることと照らし合わせると，引用例１には，“前記イベントフローは，イベントタイプが「ログイン」であるイベント毎に，関連する「アカウント残高照会」，「概要」，「支払予定」及び「報酬概要」といった関連イベントが記録され”ていることが記載されているといえる。

ク　上記記載事項Ｆの「未加工ベースラインに基づいて、時間順に並べられたイベントの特徴的シーケンスが識別され」のうち，「時間順に並べられたイベントの特徴的シーケンス」は，引用例１のファミリー文献である，国際公開第２０１３／０３６２６９号（以下，単に「ファミリー文献」という。）の段落[0051]の記載，“a distinctive, temporally-ordered sequence of events based on the raw baseline. In one embodiment, the event flows and timing data associated with the raw baseline are analyzed and a pattern of business or behavior of the particular user is determined. Pattern recognition or identification may involve merging the event flows in the user-specific raw baseline such that when a pattern is identified, the distinctive sequence of events is represented as a temporally- ordered sequence of events. ”からして，「時間順に並べられた特徴的イベントシーケンス」を意味するものと認められる。

さらに上記記載事項Ｆの「未加工ベースラインに関連するイベントフロー及び計時データを分析することにより、特定ユーザの取引又は行動のパターンを判定する。パターン認識又は識別は、ユーザ固有の未加工ベースラインにおいて種々のイベントフローを結合し、それによって、あるパターンが識別されたときに、特徴的イベントシーケンスが時間順に並べられたイベントのシーケンスとして表されるようにする」との記載，及び上記ウ及びキの認定事項から，引用例１には，“前記未加工ベースラインに基づいて，時間順に並べられた特徴的イベントシーケンスが識別され，前記未加工ベースラインに関連するイベントフロー及び計時データを分析することにより，特定ユーザの取引又は行動のパターンを判定し，パターン認識又は識別は，ユーザ固有の未加工ベースラインにおいて種々のイベントフローを結合し，それによって，あるパターンが識別されたときに，特徴的イベントシーケンスが時間順に並べられたイベントシーケンスとして表されるようにされ”ることが記載されているといえる。

ケ　上記記載事項Ｇの「特徴的イベントシーケンス、及び関連計時データに基づいて、基準ベースラインが生成され…（中略）…基準ベースラインとは、取引又は行動のユーザ固有パターンを表すものとして識別された一組の時間順に並べられたイベントの特徴的シーケンスである」との記載のうち，「一組の時間順に並べられたイベントの特徴的シーケンス」は，ファミリー文献の段落[0059]の記載，“A reference baseline is generated, at step 240, based on the distinctive sequence of events and the associated timing data. As used herein, a reference baseline is a set of distinctive temporally-ordered sequences of events that have been identified as being representative of a user-specific pattern of business or behavior. The reference baseline also includes the timing data associated with each distinctive sequence of events.”からして，「一組の時間順に並べられた特徴的イベントシーケンス」を意味するものと認められるから，上記クの認定事項もあわせ，引用例１には，“前記特徴的イベントシーケンス，及び関連計時データに基づいて，取引又は行動のユーザ固有パターンを表すものとして識別された一組の時間順に並べられた特徴的イベントシーケンスである前記基準ベースラインが生成され”ることが記載されているといえる。

コ　上記記載事項Ｈの「基準ベースラインは、「異常」…なユーザ行動を示す種々のシーケンスを含む。もし現在のセッションの到来フローが基準ベースラインに一致する場合、基準ベースライン中の一致するシーケンスは、「異常」…としてフラグを立てられ」との記載，及び上記ケの認定事項から，引用例１には，“前記基準ベースラインは，「異常」なユーザ行動を示す種々のシーケンスを含み，もし現在のセッションの到来フローが基準ベースラインに一致する場合，基準ベースライン中の一致するシーケンスには，「異常」としてフラグを立てる”ことが記載されているといえる。

サ　上記イないしコで認定した各処理は，上記アの認定事項である，“マネージャを含むネットワークセキュリティシステムで実行されるプログラム”によって処理されるものであることを読取ることができるから，以上総合して，引用例１には次の発明（以下「引用発明」という。）が記載されているといえる。

「マネージャを含むネットワークセキュリティシステムで実行されるプログラムであって，

前記ネットワークセキュリティシステムは，異常検出機能を有し，前記マネージャは，未加工ベースラインモジュール，基準ベースラインモジュール，及びローカルメモリを含み，

前記未加工ベースラインモジュールは，セキュリティイベントのような一組のイベントを受信し，イベントにおいて与えられるようなユーザＩＤ及びセッションＩＤを使用して，イベントをユーザごと及びセッションごとにそれぞれグループ化し，セッションによるグループ化は，イベントのセッション識別子（ＩＤ）に従って実施され，前記イベントは，イベント（例えば，トランザクション）間の時間的近接度によってグループ化され，セッション中に行われたユーザ行動のシーケンス，及びそれらの行動間の時間差を識別し，未加工ベースラインを生成し，前記未加工ベースラインを，データリストモジュールのアクティブリスト及び／又はセッションリストのようなデータリストに記憶し，

前記基準ベースラインモジュールは，異常を識別するために受信イベントのシーケンスを分析する際の対比の対象となる基準ベースラインを生成し，前記未加工ベースラインを使用して，ユーザごとの履歴レコードを形成する時間順に並べられたイベントのシーケンスの共通及び特徴的パターンを識別し，例えば特定のイベントフローについての全セッションを通しての個々のイベントの発生数を含む，イベントフローに関する統計情報を計算し，

続きを表示（全11行）

前記ネットワークセキュリティシステムは，セキュリティイベント及びアプリケーションイベントのようなイベントを監視し，及び分析し，特定セッションにおける，金融システムにおける特定ユーザによるページごとの各移動は，イベントフローとしてグループ化され，従って，イベントフローとは，ユーザごと及びセッションごとのイベントの集合であり，

前記未加工ベースラインとは，特定ユーザに関連する一組の履歴的イベントフロー及び時間差情報であり，複数セッションのイベントフローを含み，それらのイベントフローは，ユーザに関連する履歴レコードを形成し，前記イベントフローは，ユーザごと及びセッションごとに，時間順に並べられたイベントのシーケンスに編成され，

前記イベントフローは，イベントタイプが「ログイン」であるイベント毎に，関連する「アカウント残高照会」，「概要」，「支払予定」及び「報酬概要」といった関連イベントが記録され，

前記未加工ベースラインに基づいて，時間順に並べられた特徴的イベントシーケンスが識別され，前記未加工ベースラインに関連するイベントフロー及び計時データを分析することにより，特定ユーザの取引又は行動のパターンを判定し，パターン認識又は識別は，ユーザ固有の未加工ベースラインにおいて種々のイベントフローを結合し，それによって，あるパターンが識別されたときに，特徴的イベントシーケンスが時間順に並べられたイベントシーケンスとして表されるようにされ，

前記特徴的イベントシーケンス，及び関連計時データに基づいて，取引又は行動のユーザ固有パターンを表すものとして識別された一組の時間順に並べられた特徴的イベントシーケンスである前記基準ベースラインが生成され，

前記基準ベースラインは，「異常」なユーザ行動を示す種々のシーケンスを含み，もし現在のセッションの到来フローが基準ベースラインに一致する場合，基準ベースライン中の一致するシーケンスには，「異常」としてフラグを立てる，

プログラム。」

３　引用例２に記載された事項

原査定の拒絶の理由において引用した，本願の出願前に既に公知である，特開２０１１－６５４４０号公報（平成２３年３月３１日公開。以下，これを「引用例２」という。）には，関連する図面と共に，次の事項が記載されている。

Ｉ　「【００６３】

図７では、分析期間１１２は「２００９／０８／０１　１２：００から２００９／０８／０１　１３：００」であり、判断時間１１４は「１５秒」である。分析基準生成用ファイルの１行目のログデータについて、１行目のログデータのログ発生日時から判断時間１１４「１５秒」以内に発生したログデータであって、１行目のログデータから連続するログデータは、ログデータＩＤ「２」、「３」、「４」のログデータである。すなわち、１行目のログデータに対する分析用グループ１２１１は、１行目から４行目までのログデータとなる。また、分析基準生成用ファイルの２行目のログデータについて、２行目のログデータのログ発生日時から判断時間１１４「１５秒」以内に発生したログデータであって、１行目のログデータから連続するログデータは、ログデータＩＤ「３」、「４」のログデータである。すなわち、２行目のログデータに対する分析用グループ１２１２は、２行目から４行目までのログデータとなる。」

第５　対比・判断

１　本願発明１について

（１）対比

本願発明１と引用発明とを対比する。

ア　引用発明の「未加工ベースラインモジュール」は，「セキュリティイベントのような一組のイベントを受信し，イベントにおいて与えられるようなユーザＩＤ及びセッションＩＤを使用して，イベントをユーザごと及びセッションごとにそれぞれグループ化し，セッションによるグループ化は，イベントのセッション識別子（ＩＤ）に従って実施され，前記イベントは，イベント（例えば，トランザクション）間の時間的近接度によってグループ化され，セッション中に行われたユーザ行動のシーケンス，及びそれらの行動間の時間差を識別し，未加工ベースラインを生成」するものであり，当該「未加工ベースライン」は，「データリストモジュールのアクティブリスト及び／又はセッションリストのようなデータリストに記憶」するものであり，当該「アクティブリスト及び／又はセッションリストのようなデータリスト」は，本願発明１の「過去ログ」に相当し，引用発明の「セキュリティイベントのような一組のイベント」は，本願発明１の「過去ログに含まれる事象」に相当する。

引用発明はまた，「セキュリティイベント及びアプリケーションイベントのようなイベントを監視し，及び分析し，特定セッションにおける，金融システムにおける特定ユーザによるページごとの各移動は，イベントフローとしてグループ化され，従って，イベントフローとは，ユーザごと及びセッションごとのイベントの集合であ」るところ，当該「イベントフロー」として，「イベントタイプが「ログイン」であるイベント毎に，関連する「アカウント残高照会」，「概要」，「支払予定」及び「報酬概要」といった関連イベントが記録され」るものであって，このうち，「イベントタイプが「ログイン」であるイベント」は，本願発明１の「所定の事象」であるといえ，引用発明の「関連する「アカウント残高照会」，「概要」，「支払予定」及び「報酬概要」といった関連イベント」は，本願発明１の「前記所定の事象と関連する複数の関連事象」に相当するといえるから，引用発明と本願発明１とは，後記する点（相違点１）で相違するものの，“過去ログに含まれる事象の中から，所定の事象を抽出し，前記所定の事象ごとに，前記所定の事象と関連する複数の関連事象を抽出”する点で一致する。

イ　引用発明の「未加工ベースライン」は，「特定ユーザに関連する一組の履歴的イベントフロー及び時間差情報であり」，当該「イベントフロー」は，「イベントタイプが「ログイン」であるイベント毎に，関連する「アカウント残高照会」，「概要」，「支払予定」及び「報酬概要」といった関連イベントが記録され」ていることから，上記アの対比を踏まえると，「未加工ベースラインに関連するイベントフロー」には，「イベントタイプが「ログイン」であるイベント」及び「関連する「アカウント残高照会」，「概要」，「支払予定」及び「報酬概要」といった関連イベント」が含まれ，これらは，本願発明１の「所定の事象」及び「前記所定の事象と関連する複数の関連事象」に相当するといえることから，結局，「未加工ベースライン」は，「所定の事象および」「関連事象に対応する」情報を含んでいるといえる。

そして，引用発明の「特徴的イベントシーケンス」は，「未加工ベースラインに基づいて」「時間順に並べられた特徴的イベントシーケンスが識別され」るものであるところ，本願発明１の「パターンデータ」に相当するといえるから，引用発明と本願発明１とは，“前記所定の事象および前記関連事象に対応するパターンデータを作成”する点で一致する。

ウ　引用発明の「基準ベースライン」は，「基準ベースラインモジュール」によって，「異常を識別するために受信イベントのシーケンスを分析する際の対比の対象となる」ものとして「生成」され，「前記未加工ベースラインを使用して，ユーザごとの履歴レコードを形成する時間順に並べられたイベントのシーケンスの共通及び特徴的パターン」が「識別」されるものであり，上記イの対比を踏まえれば，本願発明１の「学習モデル」に相当する。

引用発明の「基準ベースライン」はまた，「特徴的イベントシーケンス，及び関連計時データに基づいて，取引又は行動のユーザ固有パターンを表すものとして識別された一組の時間順に並べられた特徴的イベントシーケンス」であることから，上記イの対比を踏まえると，引用発明と本願発明１とは，“前記パターンデータを前記所定の事象の時間順に結合した学習モデルを構築”する点で一致する。

エ　引用発明は，「マネージャを含むネットワークセキュリティシステムで実行されるプログラムであって，」「前記ネットワークセキュリティシステムは，異常検出機能を有」するものである。そして，引用発明の「基準ベースライン」は，「「異常」なユーザ行動を示す種々のシーケンスを含み」，「もし現在のセッションの到来フローが基準ベースラインに一致する場合，基準ベースライン中の一致するシーケンスには，「異常」としてフラグを立てる」処理が行われることから，上記ウの認定事項を踏まえると，引用発明と本願発明１とは，“前記学習モデルと，発生した事象に応じて入力されるイベントデータとの照合結果をもとに異常の検知を行う”点で一致する。

オ　引用発明の「マネージャを含むネットワークセキュリティシステムで実行されるプログラム」は，「マネージャを含むネットワークセキュリティシステム」であるコンピュータで実行されるプログラムであることは自明であり，上記ア～エで対比した処理を行うプログラムであって，とりわけ上記エの対比から，“検知プログラム”であるといえることから，引用発明と本願発明１とは，“処理をコンピュータに実行させることを特徴とする検知プログラム”の点で一致する。

カ　以上，アないしオの検討から，引用発明と本願発明１とは，次の一致点及び相違点を有する。

〈一致点〉

「過去ログに含まれる事象の中から，所定の事象を抽出し，前記所定の事象ごとに，前記所定の事象と関連する複数の関連事象を抽出し，

前記所定の事象および前記関連事象に対応するパターンデータを作成し，

前記パターンデータを前記所定の事象の時間順に結合した学習モデルを構築し，

前記学習モデルと，発生した事象に応じて入力されるイベントデータとの照合結果をもとに異常の検知を行う処理をコンピュータに実行させることを特徴とする検知プログラム。」

〈相違点１〉

本願発明１が，「前記所定の事象ごとに、前記所定の事象と関連する複数の関連事象を前記所定の事象を起点とする所定の時間幅にわたって」抽出する処理が行われるのに対し，引用発明は，「セキュリティイベントのような一組のイベントを受信し，イベントにおいて与えられるようなユーザＩＤ及びセッションＩＤを使用して，イベントをユーザごと及びセッションごとにそれぞれグループ化し，セッションによるグループ化は，イベントのセッション識別子（ＩＤ）に従って実施され，前記イベントは，イベント（例えば，トランザクション）間の時間的近接度によってグループ化され，セッション中に行われたユーザ行動のシーケンス，及びそれらの行動間の時間差を識別し，未加工ベースラインを生成」するものではあるが，「所定の事象を起点とする所定の時間幅にわたって」抽出する処理を行うことは特定されていない点。

〈相違点２〉

本願発明１が，「パターンデータを作成する処理は、事象の種別ごとに予め設定されたマスキングのルールをもとに、前記所定の時間幅にわたって抽出された所定の事象および関連事象に対応するパターンデータを、当該抽出された所定の事象および関連事象の種別に応じたマスキングのルールに基づきマスキングする」ものであるのに対し，引用発明は，そのような構成を有しない点。

（２）相違点についての判断

事案に鑑み，先に相違点２について検討する。

本願発明は，従来，間欠的で長期間にわたる事象を伴う異常を検知することが困難であるという問題があり（段落【０００４】），当該間欠的で長期間にわたる事象を伴う異常としては，メールやＷｅｂを連携した高度な標的型攻撃による異常があり，一例としてやり取り型標的型メール攻撃による異常があって，このやり取り型標的型メール攻撃では，攻撃元から標的へのメール間隔が数日に及ぶ場合があり（段落【０００５】），攻撃元から標的へのメールが間欠的で長期間にわたって行われる場合には，過去の時系列データにおいてメール間に生じた数々の別事象が混じ，リアルタイムに得られた時系列データとの照合を行った場合に，メール間に生じた数々の別事象との不一致により異常の検知精度が低減することがあり，また，異常検知のために保持する過去の時系列データのデータ量が膨大なものとなり，高速に照合を行うことが困難なものとなることを解決しようとする課題とするものである。（段落【０００６】）

そして本願発明は，予め設定された，事象に対応した事象の発生を示す起点および事象の終了を示す終点の適用ルールがあり，当該適用ルールには，各事象においてアノマリ・パターンを時間的に整合した形とするためのマスキングについてのルール（マスキング・パターン），具体的には，（ａ）：ワイルドカード（合致），（ｂ）：パディング（直前を延長），（ｃ）：０（ＮＵＬＬ）の適用などといったものがあり（【００３８】），とりわけ，関連期間内の各事象について，実体がない期間のパターンデータについては，マスキング・パターンで補填されることにより，当該パターンデータの各事象を時間的に整合した形とすることができるという効果を奏するものである。（段落【００４１】及び【００２４】の「学習モデル構築部１２は、期間Ｔ２にわたって抽出された特定事象および関連事象の内容に対応するパターンデータ（以下、アノマリ・パターンとも呼ぶ）を作成する。」との記載を参照。）

一方，「パターンデータを作成する処理」において，「事象の種別ごとに予め設定されたマスキングのルールをもとに、前記所定の時間幅にわたって抽出された所定の事象および関連事象に対応するパターンデータを、当該抽出された所定の事象および関連事象の種別に応じたマスキングのルールに基づきマスキングする」ことは，引用発明においても，上記第４　３に示した引用例２においても記載も示唆もされておらず，したがって当業者といえども相違点２に係る構成を導き出すことは容易とはいえず，また，相違点２に係る構成は，本願の出願前に周知な構成ともいえない。

したがって，上記その余の相違点について判断するまでもなく，本願発明１は，当業者であっても，引用発明及び引用例２に記載された技術的事項に基づいて容易に発明できたものとはいえない。

２　本願発明２及び３について

本願発明２及び３は，本願発明１を直接または間接的に引用するものであり，本願発明１と同じ理由により，当業者であっても，引用発明及び引用例２に記載された技術的事項に基づいて容易に発明できたものとはいえない。

３　本願発明４及び５について

本願発明４及び５は，本願発明１と単にカテゴリーのみ異なるものであり，本願発明１と同じ理由により，当業者であっても，引用発明及び引用例２に記載された技術的事項に基づいて容易に発明できたものとはいえない。

第６　原査定について

＜特許法２９条２項について＞

上記第５に示したとおり，本願発明１ないし５は「前記パターンデータを作成する処理は、事象の種別ごとに予め設定されたマスキングのルールをもとに、前記所定の時間幅にわたって抽出された所定の事象および関連事象に対応するパターンデータを、当該抽出された所定の事象および関連事象の種別に応じたマスキングのルールに基づきマスキングする」という事項を有するものであり，当該事項は，拒絶査定において引用された引用文献１及び２（上記第４の引用例１及び２）には記載も示唆もされておらず，したがって本願発明１ないし５は，引用文献１及び２に記載された発明に基づいて当業者が容易に発明できたものとはいえない。したがって，原査定の理由を維持することはできない。

第７　むすび

以上のとおり，原査定の理由によっては，本願を拒絶することはできない。

また，他に本願を拒絶すべき理由を発見しない。

よって，結論のとおり審決する。