【事件の表示】
　特願２０１６−５６４９８５「危険ファイルに対応する挙動情報特定方法及び危険ファイルに対応する挙動情報特定装置」拒絶査定不服審判事件〔平成２８年　９月２２日国際公開、ＷＯ２０１６／１４５７４９、平成２９年　７月２７日国内公表、特表２０１７−５２０８２０〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
第１　手続の経緯
　本件審判請求に係る出願（以下，「本願」という。）は，２０１５年６月２５日（パリ条約による優先権主張外国庁受理，２０１５年３月１８日（以下，「優先日」という。），中華人民共和国）を国際出願日とする出願であって，平成２８年１０月２７日付けで特許法第１８４条の５第１項に規定される書面が提出されるとともに，同日付けで特許法第１８４条の４第１項の規定による国際出願日における明細書，請求の範囲，図面（図面の中の説明に限る。）及び要約の翻訳文が提出され，平成２８年１０月２７日付けで審査請求がなされ，平成２９年１１月２７日付けで拒絶理由通知（同年１１月２９日発送）がなされ，平成３０年２月２６日付けで意見書が提出されるとともに，同日付けで手続補正がなされたが，同年６月２７日付けで拒絶査定（同年７月２日謄本送達）がなされたものである。
　これに対して，「原査定を取り消す。本願の発明は特許すべきものとする、との審決を求める。」ことを請求の趣旨として，平成３０年１１月１日付けで本件審判請求がなされるとともに，同日付けで手続補正がなされ，同年１２月１２日付けで審査官により特許法第１６４条第３項に定める報告（前置報告）がなされた。
第２　平成３０年１１月１日付けの手続補正についての補正却下の決定
［補正却下の決定の結論］
　平成３０年１１月１日付けの手続補正を却下する。
［理由］
１　補正の内容
ア　平成３０年１１月１日付けの手続補正（以下，「本件補正」という。）の内容は，平成３０年２月２６日付けの手続補正により補正された特許請求の範囲の請求項１ないし請求項１９の記載，
「【請求項１】
　コンピュータ装置において危険ファイルに対応する挙動情報を特定する方法であって、
　危険ファイルの存在を検知すると、前記コンピュータ装置のリアル環境における少なくとも１つのリアルＡＰＩと同様の少なくとも１つのバーチャルＡＰＩが含まれる前記コンピュータ装置のバーチャル環境において、前記危険ファイルを稼動するステップと、
　バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するステップとを含む、
　ことを特徴とする危険ファイルに対応する挙動情報特定方法。
　【請求項２】
　前記少なくとも１つのバーチャルＡＰＩは、現在実行中のアプリケーションを読取り可能なアプリケーション読取バーチャルＡＰＩを含み、前記バーチャル環境において前記危険ファイルを稼動するステップは、
　前記危険ファイルが前記アプリケーション読取バーチャルＡＰＩを呼び出すと、前記危険ファイルに現在実行中のアプリケーションのアプリケーション情報を提供するステップを含む、
　ことを特徴とする請求項１に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項３】
　さらに、前記バーチャル環境において稼動している危険ファイルがリリーズした少なくとも１つのファイルを取得するステップを含み、
　バーチャル環境において前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するステップは、
　バーチャル環境において、前記危険ファイル及び前記少なくとも１つのファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するステップを含む、
　ことを特徴とする請求項１又は２に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項４】
　前記挙動情報は、
ファイル操作挙動に関する情報、
　レジストリ操作挙動に関する情報、
　プロセス操作挙動に関する情報、及び
　スレッド操作挙動に関する情報のうちの少なくとも１つを含む、
　ことを特徴とする請求項１〜３のいずれか１項に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項５】
　さらに、前記危険ファイルに対応する挙動情報に基づいて、前記コンピュータ装置のリアル環境を修復するステップを含む、
　ことを特徴とする請求項１〜４のいずれか１項に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項６】
　前記危険ファイルに対応する挙動情報に基づいて、前記コンピュータ装置のシステム環境を修復するステップは、
　前記危険ファイルに対応する挙動情報に基づいて、該当する修復操作情報を特定するステップと、
　前記修復操作情報に基づいて、前記コンピュータ装置のリアル環境を修復するステップとを含む、
　ことを特徴とする請求項５に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項７】
　前記修復操作情報は、
　ファイル修復操作に関する情報、
　レジストリ修復操作に関する情報、
　プロセス修復操作に関する情報、及び
　スレッド修復操作に関する情報のうちの少なくとも１つを含む、
　ことを特徴とする請求項６に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項８】
　さらに、所定の終了条件を満足すると、バーチャル環境を閉じるステップを含む、
　ことを特徴とする請求項１〜７のいずれか１項に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項９】
　前記所定の終了条件は、
　バーチャル環境において前記危険ファイルがプロセス終了操作を実行すること、及び
　バーチャル環境における前記危険ファイルの稼動時間が所定時間を超えることのうちの少なくとも１つを含む、
　ことを特徴とする請求項８に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項１０】
　コンピュータ装置において危険ファイルに対応する挙動情報を特定する装置であって、
　危険ファイルの存在を検知すると、前記コンピュータ装置のリアル環境における少なくとも１つのリアルＡＰＩと同様の少なくとも１つのバーチャルＡＰＩが含まれる前記コンピュータ装置のバーチャル環境において、前記危険ファイルを稼動するための装置と、
　バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するための装置とを備える、
　ことを特徴とする危険ファイルに対応する挙動情報特定装置。
　【請求項１１】
　前記少なくとも１つのバーチャルＡＰＩは、現在実行中のアプリケーションを読取り可能なアプリケーション読取バーチャルＡＰＩを含み、前記バーチャル環境において前記危険ファイルを稼動するための装置は、
　前記危険ファイルが前記アプリケーション読取バーチャルＡＰＩを呼び出すと、前記危険ファイルに現在実行中のアプリケーションのアプリケーション情報を提供するための装置を備える、
　ことを特徴とする請求項１０に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１２】
　さらに、前記バーチャル環境において稼動している危険ファイルがリリーズした少なくとも１つのファイルを取得するための装置を含み、
　バーチャル環境において前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するための装置は、
　バーチャル環境において、前記危険ファイル及び前記少なくとも１つのファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するための装置を含む、
　ことを特徴とする請求項１０又は１１に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１３】
　前記挙動情報は、
　ファイル操作挙動に関する情報、
　レジストリ操作挙動に関する情報、
　プロセス操作挙動に関する情報、及び
　スレッド操作挙動に関する情報のうちの少なくとも１つを含む、
　ことを特徴とする請求項１０〜１２のいずれか１項に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１４】
　さらに、前記危険ファイルに対応する挙動情報に基づいて、前記コンピュータ装置のリアル環境を修復するための装置を含む、
　ことを特徴とする請求項１０〜１３のいずれか１項に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１５】
　前記危険ファイルに対応する挙動情報に基づいて、前記コンピュータ装置のシステム環境を修復するための装置は、
　前記危険ファイルに対応する挙動情報に基づいて、該当する修復操作情報を特定するための装置と、
　前記修復操作情報に基づいて、前記コンピュータ装置のリアル環境を修復するための装置とを備える、
　ことを特徴とする請求項１４に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１６】
　前記修復操作情報は、
　ファイル修復操作に関する情報、
　レジストリ修復操作に関する情報、
　プロセス修復操作に関する情報、及び
　スレッド修復操作に関する情報のうちの少なくとも１つを含む、
　ことを特徴とする請求項１５に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１７】
　さらに、所定の終了条件を満足すると、バーチャル環境を閉じるための装置を含む、
　ことを特徴とする請求項１０〜１６のいずれか１項に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１８】
　前記所定の終了条件は、
　−バーチャル環境において前記危険ファイルがプロセス終了操作を実行すること、及び
　−バーチャル環境における前記危険ファイルの稼動時間が所定時間を超えることのうち
の少なくとも１つを含む、
　ことを特徴とする請求項１７に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１９】
　コンピュータプログラムを格納した非一時的コンピュータ読取可能な記憶媒体であって、 
　前記コンピュータプログラムが、コンピュータ装置によって実行されるとき、前記コンピュータ装置は、
　危険ファイルの存在を検知すると、前記コンピュータ装置のリアル環境における少なくとも１つのリアルＡＰＩと同様の少なくとも１つのバーチャルＡＰＩが含まれる前記コンピュータ装置のバーチャル環境において、前記危険ファイルを稼動し、
　バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得する、
　ことを特徴とする非一時的コンピュータ読取可能な記憶媒体。」（以下，この特許請求の範囲に記載された請求項各項を「補正前の請求項」という。）
　を，
「【請求項１】
　コンピュータ装置において危険ファイルに対応する挙動情報を特定する方法であって、
　危険ファイルの存在を検知すると、前記コンピュータ装置のリアル環境における少なくとも１つのリアルＡＰＩと同様の少なくとも１つのバーチャルＡＰＩが含まれる前記コンピュータ装置のバーチャル環境において、前記危険ファイルを稼動するステップと、
　バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するステップ
であって、前記バーチャルな実行では、バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果のみをバーチャル化する、ステップ
　ことを特徴とする危険ファイルに対応する挙動情報特定方法。
　【請求項２】
　前記少なくとも１つのバーチャルＡＰＩは、現在実行中のアプリケーションを読取り可能なアプリケーション読取バーチャルＡＰＩを含み、前記バーチャル環境において前記危険ファイルを稼動するステップは、
　前記危険ファイルが前記アプリケーション読取バーチャルＡＰＩを呼び出すと、前記危険ファイルに現在実行中のアプリケーションのアプリケーション情報を提供するステップを含む、
　ことを特徴とする請求項１に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項３】
　さらに、前記バーチャル環境において稼動している危険ファイルがリリーズした少なくとも１つのファイルを取得するステップを含み、
　バーチャル環境において前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するステップは、
　バーチャル環境において、前記危険ファイル及び前記少なくとも１つのファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するステップを含む、
　ことを特徴とする請求項１又は２に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項４】
　前記挙動情報は、
　ファイル操作挙動に関する情報、
　レジストリ操作挙動に関する情報、
　プロセス操作挙動に関する情報、及び
　スレッド操作挙動に関する情報のうちの少なくとも１つを含む、
　ことを特徴とする請求項１〜３のいずれか１項に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項５】
　さらに、前記危険ファイルに対応する挙動情報に基づいて、前記コンピュータ装置のリアル環境を修復するステップを含む、
　ことを特徴とする請求項１〜４のいずれか１項に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項６】
　前記危険ファイルに対応する挙動情報に基づいて、前記コンピュータ装置のシステム環境を修復するステップは、
　前記危険ファイルに対応する挙動情報に基づいて、該当する修復操作情報を特定するステップと、
　前記修復操作情報に基づいて、前記コンピュータ装置のリアル環境を修復するステップとを含む、
　ことを特徴とする請求項５に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項７】
　前記修復操作情報は、
　ファイル修復操作に関する情報、
　レジストリ修復操作に関する情報、
　プロセス修復操作に関する情報、及び
　スレッド修復操作に関する情報のうちの少なくとも１つを含む、
　ことを特徴とする請求項６に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項８】
　さらに、所定の終了条件を満足すると、バーチャル環境を閉じるステップを含む、
　ことを特徴とする請求項１〜７のいずれか１項に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項９】
　前記所定の終了条件は、
　バーチャル環境において前記危険ファイルがプロセス終了操作を実行すること、及び
　バーチャル環境における前記危険ファイルの稼動時間が所定時間を超えることのうちの少なくとも１つを含む、
　ことを特徴とする請求項８に記載の危険ファイルに対応する挙動情報特定方法。
　【請求項１０】
　コンピュータ装置において危険ファイルに対応する挙動情報を特定する装置であって、
　危険ファイルの存在を検知すると、前記コンピュータ装置のリアル環境における少なくとも１つのリアルＡＰＩと同様の少なくとも１つのバーチャルＡＰＩが含まれる前記コンピュータ装置のバーチャル環境において、前記危険ファイルを稼動するための装置と、
　バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するための装置
であって、前記バーチャルな実行では、バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果のみをバーチャル化する、装置
　ことを特徴とする危険ファイルに対応する挙動情報特定装置。
　【請求項１１】
　前記少なくとも１つのバーチャルＡＰＩは、現在実行中のアプリケーションを読取り可能なアプリケーション読取バーチャルＡＰＩを含み、前記バーチャル環境において前記危険ファイルを稼動するための装置は、
　前記危険ファイルが前記アプリケーション読取バーチャルＡＰＩを呼び出すと、前記危険ファイルに現在実行中のアプリケーションのアプリケーション情報を提供するための装置を備える、
　ことを特徴とする請求項１０に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１２】
　さらに、前記バーチャル環境において稼動している危険ファイルがリリーズした少なくとも１つのファイルを取得するための装置を含み、
　バーチャル環境において前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するための装置は、
　バーチャル環境において、前記危険ファイル及び前記少なくとも１つのファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するための装置を含む、
　ことを特徴とする請求項１０又は１１に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１３】
　前記挙動情報は、
　ファイル操作挙動に関する情報、
　レジストリ操作挙動に関する情報、
　プロセス操作挙動に関する情報、及び
　スレッド操作挙動に関する情報のうちの少なくとも１つを含む、
　ことを特徴とする請求項１０〜１２のいずれか１項に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１４】
　さらに、前記危険ファイルに対応する挙動情報に基づいて、前記コンピュータ装置のリアル環境を修復するための装置を含む、
　ことを特徴とする請求項１０〜１３のいずれか１項に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１５】
　前記危険ファイルに対応する挙動情報に基づいて、前記コンピュータ装置のシステム環境を修復するための装置は、
　前記危険ファイルに対応する挙動情報に基づいて、該当する修復操作情報を特定するための装置と、
　前記修復操作情報に基づいて、前記コンピュータ装置のリアル環境を修復するための装置とを備える、
　ことを特徴とする請求項１４に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１６】
　前記修復操作情報は、
　ファイル修復操作に関する情報、
　レジストリ修復操作に関する情報、
　プロセス修復操作に関する情報、及び
　スレッド修復操作に関する情報のうちの少なくとも１つを含む、
　ことを特徴とする請求項１５に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１７】
　さらに、所定の終了条件を満足すると、バーチャル環境を閉じるための装置を含む、
　ことを特徴とする請求項１０〜１６のいずれか１項に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１８】
　前記所定の終了条件は、
　−バーチャル環境において前記危険ファイルがプロセス終了操作を実行すること、及び
　−バーチャル環境における前記危険ファイルの稼動時間が所定時間を超えることのうちの少なくとも１つを含む、
　ことを特徴とする請求項１７に記載の危険ファイルに対応する挙動情報特定装置。
　【請求項１９】
　コンピュータプログラムを格納した非一時的コンピュータ読取可能な記憶媒体であって、 
　前記コンピュータプログラムが、コンピュータ装置によって実行されるとき、前記コンピュータ装置は、
　危険ファイルの存在を検知すると、前記コンピュータ装置のリアル環境における少なくとも１つのリアルＡＰＩと同様の少なくとも１つのバーチャルＡＰＩが含まれる前記コンピュータ装置のバーチャル環境において、前記危険ファイルを稼動し、
　バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得
し、前記バーチャルな実行では、バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果のみをバーチャル化する
　ことを特徴とする非一時的コンピュータ読取可能な記憶媒体。」（以下，この特許請求の範囲に記載された請求項各項を「補正後の請求項」という。なお，下線は，補正箇所を示すものとして，出願人が付与したものである。）
に補正するものである。
イ　そして，本件補正は，願書に最初に添付した明細書，特許請求の範囲又は図面に記載した事項の範囲内においてなされており，特許法第１７条の２第３項の規定に適合している（同法第１８４条の１２第２項参照）。
２　目的要件
　本件補正が，特許法第１７条の２第５項に規定する請求項の削除，特許請求の範囲の減縮（特許法第３６条第５項の規定により請求項に記載した発明を特定するために必要な事項を限定するものであって，その補正前の当該請求項に記載された発明とその補正後の当該請求項に記載される発明の産業上の利用分野及び解決しようとする課題が同一であるもの（以下，単に「限定的減縮」という。）に限る。），誤記の訂正，あるいは，明りょうでない記載の釈明（拒絶理由通知に係る拒絶の理由に示す事項についてするものに限る。）のいずれかを目的としたものであるかについて，以下に検討する。
（１）請求項１について
ア　本件補正前の請求項１を本件補正後の請求項１に変更する補正は，下記の補正事項よりなるものである。
【補正事項１】
　本件補正前の請求項１の
「バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するステップ」との記載を，
　本件補正後の請求項１の
「バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するステップ
であって、前記バーチャルな実行では、バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果のみをバーチャル化する、ステップ
イ　補正事項１の目的について検討する。
　上記補正事項１は，本件補正前の請求項１が含む「危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行」について，本願明細書の【００１６】に「バーチャル環境においてバーチャルＡＰＩが呼び出されたとき」と記載されているところ，引き続き「当該バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果を奏するようにバーチャル化されるのが好ましい。」と記載され，バーチャルＡＰＩの実行内容について特定していることに基づき，「前記バーチャルな実行では、バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果のみをバーチャル化する」との限定を加えたものであると認められる。そして，この補正によって当該発明の産業上の利用分野及び解決しようとする課題が格別変更されるものではない。
　従って，上記補正事項１の目的は，限定的減縮に該当する。
（２）請求項１０について
ア　本件補正前の請求項１０を本件補正後の請求項１０に変更する補正は，下記の補正事項よりなるものである。
【補正事項２】
　本件補正前の請求項１０の
「バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するための装置」との記載を，
　本件補正後の請求項１０の
「バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するための装置
であって、前記バーチャルな実行では、バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果のみをバーチャル化する、装置
イ　補正事項２の目的について検討する。
　上記補正事項２は，本件補正前の請求項１０が含む「危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行」について，本願明細書の【００１６】に「バーチャル環境においてバーチャルＡＰＩが呼び出されたとき」と記載されているところ，引き続き「当該バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果を奏するようにバーチャル化されるのが好ましい。」と記載され，バーチャルＡＰＩの実行内容について特定していることに基づき，「前記バーチャルな実行では、バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果のみをバーチャル化する」との限定を加えたものであると認められる。そして，この補正によって当該発明の産業上の利用分野及び解決しようとする課題が格別変更されるものではない。
　従って，上記補正事項２の目的は，限定的減縮に該当する。
（３）請求項１９について
ア　本件補正前の請求項１９を本件補正後の請求項１９に変更する補正は，下記の補正事項よりなるものである。
【補正事項３】
　本件補正前の請求項１９の
「バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得する」との記載を，
本件補正後の請求項１９の
「バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得
し、前記バーチャルな実行では、バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果のみをバーチャル化する
イ　補正事項３の目的について検討する。
　上記補正事項３は，本件補正前の請求項１９が含む「危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行」について，本願明細書の【００１６】に「バーチャル環境においてバーチャルＡＰＩが呼び出されたとき」と記載されているところ，引き続き「当該バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果を奏するようにバーチャル化されるのが好ましい。」と記載され，バーチャルＡＰＩの実行内容について特定していることに基づき，「前記バーチャルな実行では、バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果のみをバーチャル化する」との限定を加えたものであると認められる。そして，この補正によって当該発明の産業上の利用分野及び解決しようとする課題が格別変更されるものではない。
　従って，上記補正事項３の目的は，限定的減縮に該当する。
（４）小括
　したがって，本件補正の目的は，限定的減縮に該当し，特許法第１７条の２第５項第２号に掲げられる事項を目的とするものであると解することができる。
３　独立特許要件
　以上のように，本件補正後の請求項１に記載された発明（以下，「本件補正発明」という。）は，本件補正前の請求項１に対して，限定的減縮を行ったものと認められる。そこで，本件補正発明が特許出願の際独立して特許を受けることができるものであるか（特許法第１７条の２第６項において準用する同法第１２６条第７項の規定に適合するか）以下に検討する。
（１）本件補正発明
　本件補正により，本件補正発明は，前記「１　補正の内容」の補正後の請求項１として引用した，次の記載のとおりのものである。
「コンピュータ装置において危険ファイルに対応する挙動情報を特定する方法であって、
　危険ファイルの存在を検知すると、前記コンピュータ装置のリアル環境における少なくとも１つのリアルＡＰＩと同様の少なくとも１つのバーチャルＡＰＩが含まれる前記コンピュータ装置のバーチャル環境において、前記危険ファイルを稼動するステップと、
　バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するステップであって、前記バーチャルな実行では、バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果のみをバーチャル化する、ステップとを含む、
　ことを特徴とする危険ファイルに対応する挙動情報特定方法。」
（２）引用文献及び参考文献
（２−１）引用文献１
ア　本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能とされ，原審の拒絶査定の理由である上記平成２９年１１月２７日付けの拒絶理由通知において引用された文献である，特開２００２−３４２１０６号公報（２００２年１１月２９日公開。以下，「引用文献１」という。）には，図面とともに，以下の技術的事項が記載されている。
（当審注：下線は，参考のために当審で付与したものである。）
Ａ　「【請求項１】  
コンピュータウィルス検索・駆除方法
コンピュータウィルスが存在する仮想のコンピュータ環境をコンピュータ内にシュミレーションとして作成するステップと、
ウィルス感染を誘発するためにコンピュータウィルスによって感染されるべき複数の対象すなわちバイトを提供するステップと、
シュミレーションとして作成された仮想コンピュータ環境に検索すべき目標対象をロードするステップと、
シュミレーション作成された仮想コンピュータ環境内にある検索されるべき目的対象をアクティブにし、前記目的対象に付着していた可能性のあるウィルスを誘引して感染されるべき複数の対象を感染させると共に、実際に感染した基準サンプルを生成させるステップと、そして、
前記アクティブにするステップで処理した後の複数の対象と、もともと提供された感染されるべき複数の対象とを比較し、変化があるかどうかを調べて、もし変化があれば検索されるべき
目標対象はウィルスを含んでいた
を含んでなるコンピュータウィルス検索・駆除方法。」
Ｂ　「【００１４】本発明は仮想コンピュータ環境中にあるウィルスの検索・駆除・報告・検索のための新しい技術に係るもので、行動・結果に従うウィルス撃退方法の一種である。
本発明はウィルスの再生・拡散が認識される全てのプロセスにおいて、実際のコンピュータ環境をシュミレーションするための仮想コンピュータ環境を使う。同時にウィルスの再生や拡散の手順を観察し、ウィルスの感染方法を学習する。
【００１５】図1は本発明に係るコンピュータウィルス検索・駆除のためのコンピュータシステムの一実施態様におけるブロック図である。図1に示されているように、一般的な
コンピュータシステム1はコンピュータによって実行される
コンピュータシステム1は一般的なCPU、メモリ、OS、周辺保存装置（ハードディスク、フロッピィディスク、など）
を含む。
目標対象１９は、コンピュータシステム２内のハードディスクやフロッピィディスクのブートセクタにあるファイル、及び、ウィルスを持っている可能性のあるインターネットを通してダウンロードされ且つ伝送されるファイル及びデータである。
Ｃ　「【００４７】図２、図３及び図４は、それぞれ、本発明の一実施形態に係るウィルス駆除方法のプロセスの流れ図である。流れ図中の全てのステップは図１のそれぞれの処理ユニットで実行されもので、それにより、ウィルス検索・駆除プロセスの全体を構成する。図２に示されているように、まず検索されるべき目標対象１９は、ハードディスク、フロッピィディスク、インターネット(ステップS101)を通じて入力されたデータから読み込まれる。そして、
目標対象がウィルスを持っている可能性のある対象かどうかの決定がなされる（ステップS102）。
・・・（略）・・・
【００４９】
ステップS103において、コンピュータシュミレーションユニット４は、仮想のCPU、仮想のOS、仮想の周辺保存装置（ハードディスクやフロッピィディスク）、仮想のメモリ、仮想のシステム時計を含む仮想のコンピュータ環境を作り、それにより、内部にウィルスを持っている可能性のある対象を仮想上実行する。
イ　ここで，上記引用文献１に記載されている事項を検討する。
（ア）上記Ｂの【００１５】の「コンピュータシステム1はコンピュータによって実行される」との記載，同じく【００１５】の「コンピュータシステム1は一般的なCPU，メモリ，OS，周辺保存装置（ハードディスク，フロッピィディスク，など）」「を含む。」との記載から，引用文献１には，“ＣＰＵ，メモリ，ＯＳ，周辺保存装置を含むコンピュータシステム”が記載されている。
（イ）上記Ｂの【００１５】の「目標対象１９は，コンピュータシステム２内のハードディスクやフロッピィディスクのブートセクタにあるファイル，及び，ウィルスを持っている可能性のあるインターネットを通してダウンロードされ且つ伝送されるファイル及びデータである。」との記載から，「目標対象」「は」，「ウィルスを持っている可能性のある」「ファイル」が含まれるので，引用文献１には，“ウィルスを持っている可能性のあるファイル”が記載されている。
（ウ）上記（イ）の認定に加え，上記Ｂの【００１４】の「本発明はウィルスの再生・拡散が認識される全てのプロセスにおいて」、「同時にウィルスの再生や拡散の手順を観察し、ウィルスの感染方法を学習する。」との記載の「ウィルス」とは，上記Ａの「目標対象はウィルスを含んでいた」との記載から，目標対象が含むものであるので，引用文献１には，“ウィルスを持っている可能性のあるファイルが含むウィルスの再生や手順を観察し，ウィルスの感染方法を学習する”点が記載されている。
 
（エ）上記Ａの「コンピュータウィルス検索・駆除方法」との記載から，引用文献１には，“ウィルス検索方法”が記載されている。
（オ）上記（イ）での認定に加え，上記Ｃの【００４７】の「目標対象がウィルスを持っている可能性のある対象かどうかの決定がなされる（ステップS102）。」との記載から，引用文献１には，“ウィルスを持っている可能性があるファイルかどうかの決定がなされる”点が記載されている。
（カ）上記Ｂの【００１４】の「本発明はウィルスの再生・拡散が認識される全てのプロセスにおいて、実際のコンピュータ環境をシュミレーションするための仮想コンピュータ環境を使う。」との記載から，引用文献１には，“実際のコンピュータ環境をシュミレーションするための仮想のコンピュータ環境”が記載されている。
（キ）上記（オ）での認定に加え，ステップＳ１０２の次のプロセスであるステップＳ１０３について，上記Ｃの【００４９】の「ステップS103において、コンピュータシュミレーションユニット４は、仮想のCPU、仮想のOS、仮想の周辺保存装置（ハードディスクやフロッピィディスク）、仮想のメモリ、仮想のシステム時計を含む仮想のコンピュータ環境を作り、それにより、内部にウィルスを持っている可能性のある対象を仮想上実行する。」との記載において，「仮想のコンピュータ環境」とは「仮想コンピュータ環境」と同義であると認められるところ，「内部にウィルスを持っている可能性のある対象」とは、上記（イ）での認定より，ウィルスを持っている可能性のあるファイルであると認められることから，引用文献１には，“仮想コンピュータ環境により，ウィルスを持っている可能性があるファイルを実行”する点が記載されている。
（ク）上記（ウ）の認定，及び，上記Ｂの【００１４】の「実際のコンピュータ環境をシュミレーションするための仮想コンピュータ環境を使う。同時にウィルスの再生や拡散の手順を観察し，ウィルスの感染方法を学習する。」との記載から，引用文献１には，“仮想コンピュータ環境において，ウィルスを持っている可能性があるファイルが含むウィルスの再生や拡散の手順を観察し，ウィルスの感染方法を学習する”点が記載されている。
ウ　以上，（ア）ないし（ク）で検討した事項を踏まえると，引用文献１には，次の発明（以下，「引用発明」という。）が記載されているものと認められる。
「ＣＰＵ，メモリ，ＯＳ，周辺保存装置を含むコンピュータシステムにおいて，ウィルスを持っている可能性のあるファイルが含むウィルスの再生や手順を観察し，ウィルスの感染方法を学習するウィルス検索方法であって，
ウィルスを持っている可能性があるファイルかどうかの決定がなされると，実際のコンピュータ環境をシュミレーションするための仮想コンピュータ環境により，ウィルスを持っている可能性があるファイルを実行し，
仮想コンピュータ環境において，ウィルスを持っている可能性があるファイルが含むウィルスの再生や拡散の手順を観察し，ウィルスの感染方法を学習する，
　ウィルスを持っている可能性のあるファイルが含むウィルスの再生や手順を観察し，ウィルスの感染方法を学習するウィルス検索方法。」
（２−２）引用文献２
ア　本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能とされ，原審の拒絶査定の理由である上記平成２９年１１月２７日付けの拒絶理由通知において引用された文献である，特開２０１２−６４２０８号公報（２０１２年３月２９日公開。以下，「引用文献２」という。）には，図面とともに，以下の技術的事項が記載されている。
（当審注：下線は、参考のために当審で付与したものである。）
Ｄ　「【００３３】
　ここで注意すべき点は、従来技術のようにウイルス特徴コードを利用することにより疑わしいファイルにおいてネットワークウイルスが存在するかどうかを判断するのとは異なり、本発明は、該疑わしいファイルを開くことによりその中に実行可能なプログラム、システムデータに対する変更、システムの弱点への攻撃が存在するかどうか及び該疑わしいファイルにネットワークアクセス要求等の情報が存在するかどうかに基づいてそれが悪質ファイル又は動作に属するかどうかを判断する。そのため、一般のウイルス対策ソフトウェアでは提供できない未知ウイルス及び特殊ウイルスを検知する能力を強化することができる。
図５は、
ネットワークウイルス分析の処理フローである。
まずステップＳ１３１を行い、捕獲された各クライアント２１のネットワーク通信サービスにおいて存在した疑わしいファイルサンプルをサンドボックスに移動するとともに、該サンドボックスにおいて該疑わしいファイルサンプルを開き、そしてステップＳ１３２に進む。
・・・（略）・・・
【００３５】
　
ステップＳ１３３において、該実行可能なプログラム又は攻撃プログラムコードによって実行される動作パターンが安全であるかどうか、例えば疑わしいファイルサンプルがシステムの弱点に対する攻撃、ブートセクター又はファイルシステムへの不法アクセスを行うかどうかを判断する
イ　ここで，上記引用文献２に記載されている事項を検討する。
（ア）上記Ｄの【００３３】の「図５は、」「ネットワークウイルス分析の処理フローである。」との記載から，引用文献２には，“ウイルス分析の処理フロー”が記載されている。
（イ）上記Ｄの【００３３】の「まずステップＳ１３１を行い、捕獲された各クライアント２１のネットワーク通信サービスにおいて存在した疑わしいファイルサンプルをサンドボックスに移動するとともに、該サンドボックスにおいて該疑わしいファイルサンプルを開き、そしてステップＳ１３２に進む。」との記載から，引用文献２には，“疑わしいファイルサンプルをサンドボックスに移動するとともに、該サンドボックスにおいて該疑わしいファイルサンプルを開”くことが記載されている。
（ウ）上記Ｄの【００３３】に続く処理として，上記Ｄの【００３５】の「ステップＳ１３３において、該実行可能なプログラム又は攻撃プログラムコードによって実行される動作パターンが安全であるかどうか、例えば疑わしいファイルサンプルがシステムの弱点に対する攻撃、ブートセクター又はファイルシステムへの不法アクセスを行うかどうかを判断する」と記載されているところ，実行される動作パターンが安全であるかどうかを判断するためには，実行される動作パターンについて観測（すなわち，モニタリング）がなされるものと認められるから，引用文献２には，“動作パターンが安全であるかどうか判断するためモニタリングする”ことが記載されている。
ウ　以上，（ア）ないし（ウ）で検討した事項を踏まえると，引用文献２には，次の発明が記載されているものと認められる。
「疑わしいファイルサンプルをサンドボックスに移動するとともに、該サンドボックスにおいて該疑わしいファイルサンプルを開き，動作パターンが安全であるかどうか判断するためモニタリングする，ウイルス分析の処理フロー。」
（２−３）参考文献１
ア　本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能とされた文献である，藤野  朗稚　他，「自動化されたマルウェア動的解析システムで収集した大量ＡＰＩコールログ」，ＣＳＳ２０１３コンピュータセキュリティシンポジウム２０１３論文集，一般社団法人情報処理学会，２０１３年１０月１４日，情報処理学会シンポジウムシリーズ　Ｖｏｌ．２０１３  Ｎｏ．４，ｐ．６１８−６２５（以下，「参考文献１」という。）には，図面とともに，以下の技術的事項が記載されている。
（当審注：下線は、参考のために当審で付与したものである。）
Ｅ　「本研究で利用するデータセットを収集するために使われたオープンソースソフトウェアであるCuckoo Sandbox[3]はその一例であり，
マルウェア解析における一連のデータ解析と記録をすべて自動化する．
仮想マシン上での実行時のＡＰＩコールの詳細な記録
（２−４）参考文献２
ア　本願の優先日前に頒布又は電気通信回線を通じて公衆に利用可能とされた文献である，米国出願公開第２００２／００５６０７６号明細書（２００２年５月９日公開。以下，「参考文献２」という。）には，図面とともに，以下の技術的事項が記載されている。
Ｆ　「［0041］　
In case of an API call, the call is passed to a procedure that attaches the relevant ordinal number to the call, and passes control to the virtual API. This virtual API contains procedures that simulate the response, but not the functionality, of the real operating system API. 
（当審訳：［0041］　
ＡＰＩコールの場合、コールは、関連する序数をコールに付与し、仮想ＡＰＩに制御を渡すプロシージャに送られる。この仮想ＡＰＩは、実オペレーティングシステムＡＰＩの機能ではなく，応答をシミュレートするプロシージャを含む。
（３）対比
　本件補正発明と引用発明とを対比する。
ア　引用発明の「ウィルスを持っている可能性のあるファイル」は，明らかに危険性のあるファイルであることから，本件補正発明の「危険ファイル」に相当するといえる。
イ　引用発明の「ウィルスの再生や手順」は，再生や手順といった挙動を示すものであるから，本件補正発明の「挙動情報」に相当する。
ウ　上記イでの認定に加え，引用発明の「ウィルスの再生や手順を観察し，ウィルスの感染方法を学習するウィルス検索方法」は，観察し，ウィルスの感染方法を学習するには，引用発明の「ウィルスの再生や手順」を特定することは明らかであるので，本件補正発明の「挙動情報を特定する方法」に相当する。
エ　上記アの検討結果を踏まえると，引用発明の「ウィルスを持っている可能性があるファイルかどうかの決定がなされ」ることは，ウィルスを持っている可能性のあるファイルの存在が前提となることから，本件補正発明の「危険ファイルの存在を検知する」ことに相当するといえる。
オ　引用発明の「実際のコンピュータ環境」は，本件補正発明の「リアル環境」に相当し，引用発明の「仮想コンピュータ環境」は，本件補正発明の「バーチャル環境」に相当する。
　そして，引用発明の「シュミレーションする」とは，同様の環境を構築することを意味するものと認められるので，引用発明の「実際のコンピュータ環境をシュミレーションするための仮想コンピュータ環境」は，本件補正発明の「リアル環境」「と同様の」「バーチャル環境」に相当するといえる。
カ　上記アでの認定に加え，引用発明の「ファイルを実行」するとは，ファイルを稼働することを意味するのは明らかであるので，引用発明の「ウィルスを持っている可能性があるファイルを実行」することは，本件補正発明の「前記危険ファイルを稼動する」ことに相当する。
キ　上記イでの認定に加え，引用発明の「ウィルスを持っている可能性があるファイルが含むウィルスの再生や拡散の手順を観察し，ウィルスの感染方法を学習する」ことは,観察するために観察対象の情報の取得が行われるのは明らかであるから，本件補正発明の「前記危険ファイルに対応する挙動情報を取得する」ことに相当する。
ク　以上，アないしキで検討した事項を踏まえると，本件補正発明と引用発明とは，以下の点で一致し，また，以下の点で相違する。
［一致点］
「危険ファイルに対応する挙動情報を特定する方法であって，
　危険ファイルの存在を検知すると，リアル環境と同様のバーチャル環境において，前記危険ファイルを稼動するステップと，
　バーチャル環境において，前記危険ファイルに対応する挙動情報を取得するステップを含む，
　ことを特徴とする危険ファイルに対応する挙動情報特定方法。」
［相違点１］
　本件補正発明が「コンピュータ装置において」なされる方法であるのに対して、引用発明は「コンピュータシステムにおいて」なされる方法であるものの，コンピュータシステムが装置であるとは特定されていない点。
［相違点２］
　本件補正発明の「前記コンピュータ装置のリアル環境」及び「前記コンピュータ装置のバーチャル環境」との関係が，「少なくとも１つのリアルＡＰＩと同様の少なくとも１つのバーチャルＡＰＩが含まれる」のに対して，引用発明の「実際のコンピュータ環境」及び「仮想コンピュータ環境」との関係は，「同様」であることは読み取れるものの，ＡＰＩの関係については明記されていない点。
［相違点３］
　本件補正発明の「バーチャル環境において」，「前記危険ファイルに対応する挙動情報を取得するステップ」が，「稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリング」するのに対して，引用発明は，「仮想コンピュータ環境において」，「ウィルスを持っている可能性があるファイルが含むウィルスの再生や拡散の手順を観察し，ウィルスの感染方法を学習する」ことは記載されているものの，「稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリング」することについては，特に明記されていない点。
［相違点４］
　本件補正発明が「前記バーチャルな実行では，バーチャルＡＰＩの機能が実際には実行されず，バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果のみをバーチャル化する，ステップ」を含むのに対して，引用発明には，特に明記されていない点。
（４）判断
　上記相違点１，相違点２，相違点３及び相違点４について検討する。
ア　相違点１について
　引用発明におけるコンピュータシステムは，ＣＰＵ，メモリ，ＯＳ，周辺保存装置を含むものであるところ，これらの構成を含む装置を構成することで，コンピュータ装置とすることは，当業者ならば容易になし得る周知慣用技術である。
　してみると，相違点１は，実質的な相違点とはいえないものである。
イ　相違点２について
　参考文献１（上記Ｅ参照）に記載されるように，“マルウェア解析における一連のデータ解析と記録において，仮想マシン上での実行時のＡＰＩコールの詳細な記録を自動化”することは，本願の優先日前において，当業者が普通に採用している周知技術であった。
　してみると，引用発明の，実際のコンピュータ環境をシュミレーションするための仮想コンピュータ環境において，ウィルスを持っている可能性があるファイルを実行する際，仮想コンピュータ環境上でＡＰＩコールを行うべく，実際のコンピュータ環境でのＡＰＩをシュミレーションするために仮想コンピュータ環境でＡＰＩを備えることは，当業者ならば容易に想到し得たことである。
ウ　相違点３について
　相違点２についての検討と同じく，“マルウェア解析における一連のデータ解析と記録において，仮想マシン上での実行時のＡＰＩコールの詳細な記録を自動化”することは，本願の優先日前において，当業者が普通に採用している周知技術であった。
　また，引用文献２には，“疑わしいファイルサンプルをサンドボックスに移動するとともに、該サンドボックスにおいて該疑わしいファイルサンプルを開き，動作パターンが安全であるかどうか判断するためモニタリングする”発明が記載されている。
　そして，引用発明，参考文献１記載の上記周知技術，引用文献２記載の発明は，それぞれ，仮想コンピュータ環境，仮想マシン，サンドボックスといった仮想の環境において，ウィルス，マルウェア，疑わしいファイルサンプルといった危険なソフトウェアの解析を行う技術に関するものであるので，引用発明の，仮想コンピュータ環境において，ウィルスを持っている可能性があるファイルのウィルスの再生や拡散の手順を観察し，ウィルスの感染方法を学習する際，仮想コンピュータ環境上での実行時のＡＰＩコールを記録し，当該ＡＰＩコールが安全であるかどうか判断するためにモニタリングすることは，当業者ならば容易に想到し得たことである。
エ　相違点４について
　参考文献２（上記Ｆ参照）に記載されるように，“ＡＰＩコールは，仮想ＡＰＩに制御を渡し，仮想ＡＰＩは，実オペレーティングシステムＡＰＩの機能ではなく，応答をシミュレートする”ことは，本願の優先日前において，当業者が普通に採用している周知技術であった。
　してみると，引用発明における，バーチャル環境において，危険ファイルに対する挙動情報を取得する際，ＡＰＩコールとして，仮想ＡＰＩに制御を渡し，実オペレーションシステムＡＰＩの機能ではなく，応答をシミュレートすることは，当業者ならば容易に想到し得たことである。
エ　小括
　上記で検討したごとく，相違点１，相違点２，相違点３及び相違点４に係る構成は，いずれも当業者が容易に想到し得たものであり，そして，これらの相違点を総合的に勘案しても，本件補正発明の奏する作用効果は，引用発明，引用文献２に記載された発明，参考文献１及び参考文献２に記載された周知技術の奏する作用効果から予測される範囲内のものにすぎず，格別顕著なものということはできない。
　したがって，本件補正発明は，引用発明，引用文献２に記載された発明，参考文献１及び参考文献２に記載された周知技術に基づいて，当業者が容易に発明をすることができたものであり，特許法第２９条第２項の規定により，特許出願の際独立して特許を受けることができない。
４　むすび
　以上のように，上記「３　独立特許要件」で指摘したとおり，補正後の請求項１に記載された発明は，特許出願の際独立して特許を受けることができるものではないから，本件補正は，特許法第１７条の２第６項において準用する同法第１２６条第７項の規定に違反するので，同法第１５９条第１項において読み替えて準用する同法第５３条第１項の規定により却下すべきものである。
　よって，補正却下の決定の結論のとおり決定する。
第３　原審査定について
１　本願発明の認定
　平成３０年１１月１日付けの手続補正は上記のとおり却下されたので，本願の請求項１に係る発明（以下，「本願発明」という。）は，平成３０年２月２６日付け手続補正書の特許請求の範囲の請求項１に記載された事項により特定される，以下のとおりのものである。
「コンピュータ装置において危険ファイルに対応する挙動情報を特定する方法であって、
　危険ファイルの存在を検知すると、前記コンピュータ装置のリアル環境における少なくとも１つのリアルＡＰＩと同様の少なくとも１つのバーチャルＡＰＩが含まれる前記コンピュータ装置のバーチャル環境において、前記危険ファイルを稼動するステップと、
　バーチャル環境において、稼動中に危険ファイルにより呼び出されたバーチャルＡＰＩのバーチャルな実行に基づいて、前記危険ファイルの挙動をモニタリングし、前記危険ファイルに対応する挙動情報を取得するステップとを含む、
　ことを特徴とする危険ファイルに対応する挙動情報特定方法。」
２　引用文献及び参考文献
　原査定の拒絶の理由に引用された，引用文献及びその記載事項は，前記「第２　平成３０年１１月１日付けの手続補正についての補正却下の決定」の「３　独立特許要件」の「（２）引用文献及び参考文献」に記載したとおりである。
３　対比・判断 
　本願発明は，前記「第２　平成３０年１１月１日付けの手続補正についての補正却下の決定」の「３　独立特許要件」で検討した本件補正発明から，「前記バーチャルな実行では、バーチャルＡＰＩの機能が実際には実行されず、バーチャルＡＰＩに対応するリアルＡＰＩを呼び出した効果のみをバーチャル化する、ステップ」との限定を省いたものである。
　そうすると，本願発明の発明特定事項を全て含む本件補正発明が，上記「第２　平成３０年１１月１日付けの手続補正についての補正却下の決定」の「３　独立特許要件」の「（３）対比」及び「（４）判断」に記載したとおり，引用発明，引用文献２に記載された発明，参考文献１及び参考文献２に記載された周知技術に基づいて当業者が容易に発明をすることができたものであるから，上記特定の限定を省いた本願発明も同様の理由により，引用発明，引用文献２に記載された発明，参考文献１に記載された周知技術に基づいて，当業者が容易に発明をすることができたものである。
４　むすび
　以上のとおり，本願の請求項１に係る発明は，特許法第２９条第２項の規定により特許を受けることができないものであるから，その余の請求項に係る発明について検討するまでもなく，本願は拒絶すべきものである。
　よって，結論のとおり審決する。