【事件の表示】
　特願２０１４−５０２７０９「バーチャルマシーンモニタベースのアンチマルウェアセキュリティのためのシステム及び方法」拒絶査定不服審判事件〔平成２４年１０月　４日国際公開、ＷＯ２０１２／１３５１９２、平成２６年　６月１９日国内公表、特表２０１４−５１４６５１〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
１．手続の経緯
　本願は，２０１２年３月２７日（パリ条約による優先権主張外国庁受理２０１１年３月２８日（以下，「優先日」という。），米国，２０１１年３月２９日，米国，２０１１年３月３１日，米国）を国際出願日とする出願であって，平成２６年８月８日付けの拒絶理由通知に対して，同年１１月１２日に意見書が提出されるとともに手続補正がなされたが，平成２７年３月１１日付けで拒絶査定がなされ，これに対して，同年７月１７日に拒絶査定不服審判の請求がなされたものである。
　
２．本願発明
　本願の請求項１に係る発明（以下，「本願発明」という。）は，平成２６年１１月１２日に提出された手続補正書により補正された特許請求の範囲の請求項１に記載された事項により特定される次のとおりのものである。
　
「電子デバイスをセキュアにするシステムであって，
　メモリと，
　プロセッサと，
　前記プロセッサによる実行のため前記メモリにある１以上のオペレーティングシステムと，
　前記オペレーティングシステムに通信接続される前記電子デバイスのリソースと，
　前記リソースにアクセスする前記電子デバイスのすべてのオペレーティングシステムより下位のレベルにおいて前記電子デバイス上で実行されるよう構成されるバーチャルマシーンモニタと，
　前記リソースにアクセスする前記電子デバイスのすべてのオペレーティング（当審注：「オペレーティング」は「オペレーティングシステム」の明らかな誤記と認められる。）より下位のレベルにおいて前記電子デバイス上で実行されるよう構成されるセキュリティエージェントと，
を有し，
　前記バーチャルマシーンモニタは，
　前記バーチャルマシーンモニタの上位のレベルから行われる前記リソースのリクエストをインターセプトし，
　前記リクエストを前記セキュリティエージェントに通知する，
よう構成され，
　前記セキュリティエージェントは，前記リクエストがマルウェアを示すか判断するよう構成されるシステム。」
　
３．引用例
（１）引用例１
　原査定の拒絶理由で引用された，本願の優先日前に頒布された刊行物である，米国特許出願公開第２０１０／０３３０９６１号明細書（２０１０年１２月３０日出願公開。以下，「引用例１」という。）には，図面とともに，以下の事項が記載されている。（下線は当審において付したものである。）
　なお，上記引用例１として公開された米国特許出願を優先基礎として出願した国際出願の翻訳を公表した特表２０１２−５３１６７８号公報の内容を当審の仮訳として用いた。
　
（ア）「[0005] 
FIG. 1  shows a block diagram of virtualized mobile device  100  that is fabricated in accordance with one or more embodiments of the present invention. As shown in  FIG. 1 , virtualized mobile device  100  includes mobile device hardware  200 , virtualization software layer  300  that interacts with mobile device hardware  200 , and virtual machines (“VMs”)  400 
1
- 400 
n
 that interact with virtualization software layer  300 . As further shown in  FIG. 1 , mobile device hardware  200  includes CPU  210  (for example, and without limitation, ARM processor  210 ), memory  220 
[0006] One or more embodiments of inventions described herein provide methods for use of virtualized mobile devices. As used herein, the term mobile device is used in the broadest manner so that it includes devices such as, for example, and without limitation, a mobile and/or cellular telephone; a smart phone; an internet-connected, multimedia, smart phone; a media player; a handheld gaming unit; a calculator; and so forth.
[0007] In accordance with one or more embodiments of the present inventions, 
as shown in  FIG. 1 , virtualized mobile device  100  includes virtualization software layer  300  such as, for example, and without limitation, a hypervisor (sometimes referred to as a virtual machine monitor), that runs on mobile device hardware  200  to provide a virtualized mobile device.
[0008] As one of ordinary skill in the art can appreciate from  FIG. 1 , several VMs  400 1- 400 n may be executing on virtualized mobile device computer  100 , and they are protected from each other just as if they were executing on separate devices, i.e., any one VM is not any more vulnerable to any co-located, compromised (i.e., virus infected) VM than it would be if such VMs were located on physically separate handsets. This is referred to as isolation, and isolation is important in mobile devices such as mobile phones to protect the baseband stack, i.e., a part of the mobile phone that interacts with a cellular network. This is because a compromised baseband stack can raise havoc on the entire cellular network. Indeed, many smart phones currently have two processor chips to provide such isolation, and the baseband software is burned into ROM. However, the advent of multicore chips and higher capacity single cores make it advantageous to combine baseband and application functions onto a single chip.
[0009] 
As further indicated in  FIG. 1 , guest OSs  410 
1
- 410 
n
 （当審注：「guest OSs  410 
1
- 410 
n
」は，「guest OSs  420 
1
- 420 
n
」の誤記と認められる。）execute guest applications. As is well known, the CPU, memory, and devices must all be virtualized to have a VM that is decoupled from actual hardware (for example, where each VM believes it is executing on a dedicated handset, i.e., a physical phone).
[0010] As is known, a typical mobile device includes a large collection of devices, such as, for example and without limitation, a screen, a keyboard and buttons, a radio, a GPS, a Bluetooth device, a camera, an imager, a microphone, a speaker, and so on.
[0011] 
As shown in  FIG. 1 , guest OS s  410 
1
- 410 
n
 （当審注：「guest OSs  410 
1
- 410 
n
」は，「guest OSs  420 
1
- 420 
n
」の誤記と認められる。）include a set of device drivers (shown illustratively by single guest device drivers  410 
1
- 410 
n
). Rather than interact with actual devices, these guest device drivers interact with emulated or virtualized devices. As further shown in  FIG. 1 , virtualization software  300  includes device emulators  320 
a
- 320 
m
 that virtualize the devices of VMs  400 
1
- 400 
n
, and virtualization software  300  includes device drivers (shown illustratively by device drivers  310 
a
 and  310 
b
) that interact with the physical devices of mobile device  100 .
In either case, an emulated device eventually communicates with an actual device driver which, in turn, interacts with a physical device. Thus, the flow is: guest device driver to device emulator to actual device driver to physical device.
（当審仮訳：［０００５］
図１は，本発明の１つ以上の実施形態に従って製作される仮想モバイル機器１００のブロック図を示す。図１に示すように，仮想モバイル機器１００は，モバイル機器ハードウェア２００，モバイル機器ハードウェア２００と相互に作用する仮想化ソフトウェア層３００，及び仮想化ソフトウェア層３００と相互に作用する仮想計算機（「ＶＭ」）４００
１
〜４００
ｎ
を含む。図１に更に示すように，モバイル機器ハードウェア２００は，ＣＰＵ２１０（例えば，そして限定されるものではないが，ＡＲＭプロセッサ２１０），メモリ２２０
を含む。
［０００６］本願明細書に記載されている発明の１つ以上の実施形態は，仮想モバイル機器の使用方法を提供する。本願明細書で用いるように，用語「モバイル機器」は，それが，例えば，そして限定されるものではないが，携帯及び／又はセル方式電話，スマートフォン，インターネット接続するマルチメディアのスマートフォン，メディア・プレーヤ，ハンドヘルドゲーム装置，計算器などのようなデバイスを含むように，最も幅広く用いられる。
［０００７］本発明の１つ以上の実施形態によると，
図１に示すように，仮想モバイル機器１００は，仮想モバイル機器を提供するためにモバイル機器ハードウェア２００で動作する，例えば，そして限定されるものではない，ハイパーバイザ（仮想計算機モニタと呼ばれることがある）のような仮想化ソフトウェア層３００を含む。
［０００８］当業者が図１から理解できるように，いくつかのＶＭ４００１〜４００ｎは仮想モバイル機器コンピュータ１００で実行することができ，それらが別々のデバイスで実行しているかのようにそれらは互いから保護される，即ち，いずれのＶＭも，この種のＶＭが物理的に別々のハンドセットに置かれる場合そうであるだろうより，いかなる同じ位置に配置された，障害が起きた（即ち，ウイルスに感染した）ＶＭに対して攻撃されやすいことはない。これは分離と呼ばれ，そして分離は，ベースバンド・スタック，即ち，セルラー電話網と相互に作用する携帯電話の一部を保護するために，携帯電話のようなモバイル機器において重要である。これは，障害が起きたベースバンド・スタックがセルラー電話網全体に大混乱を起こす場合があるからである。実際，多くのスマートフォンはこの種の分離を提供するために現在２つのプロセッサチップを備えていて，ベースバンド・ソフトウェアはＲＯＭに焼きつけられる。しかしながら，マルチコアチップ及びより高い容量の単一コアの出現は，ベースバンド及びアプリケーション機能を単一のチップに結合することを有利にする。
［０００９］
図１に更に示されるように，ゲストＯＳ４１０
１
〜４１０
ｎ
（当審注：「ゲストＯＳ４１０
１
〜４１０
ｎ
」は，「ゲストＯＳ４２０
１
〜４２０
ｎ
」の誤記と認められる。）はゲスト・アプリケーションを実行する。周知のように，ＣＰＵ，メモリ，及びデバイスの全ては，実際のハードウェアから切り離されるＶＭを有するために仮想化されなければならない（例えば，そこにおいて各ＶＭは，それが専用のハンドセット，即ち物理的な電話で実行していると思っている）。
［００１０］知られているように，典型的モバイル機器は，例えば，そして限定されるものではないが，スクリーン，キーボード及びボタン，ラジオ，ＧＰＳ，ブルートゥース・デバイス，カメラ，撮像装置，マイクロフォン，スピーカなどのようなデバイスの大きいコレクションを含む。
［００１１］
図１に示すように，ゲストＯＳ４１０
１
〜４１０
ｎ
（当審注：「ゲストＯＳ４１０
１
〜４１０
ｎ
」は，「ゲストＯＳ４２０
１
〜４２０
ｎ
」の誤記と認められる。）は，１組のデバイス・ドライバ（単一のゲスト・デバイス・ドライバ４１０
１
〜４１０
ｎ
によって実例として示される）を含む。実際のデバイスと相互に作用するよりはむしろ，これらのゲスト・デバイス・ドライバは，エミュレートされたか仮想化されたデバイスと相互に作用する。図１に更に示すように，仮想化ソフトウェア３００は，ＶＭ４００
１
〜４００
ｎ
のデバイスを仮想化するデバイス・エミュレータ３２０
ａ
〜３２０
ｍ
を含み，そして仮想化ソフトウェア３００は，モバイル機器１００の物理的デバイスと相互に作用するデバイス・ドライバ（デバイス・ドライバ３１０
ａ
及び３１０
ｂ
によって実例として示される）を含む。
いずれにせよ，エミュレートされたデバイスは，次に，物理的デバイスと相互に作用する実際のデバイス・ドライバと最終的に通信する。このように，流れは，ゲスト・デバイス・ドライバ〜デバイス・エミュレータ〜実際のデバイス・ドライバ〜物理的デバイスである。
（イ）「[0043] 
Restrict malware in a mobile device:
[0044] In accordance with one or more embodiments of the present invention, in a virtualized mobile device, there are one or more “virtual” phones on a mobile device, for example, and without limitation, a handset, which virtual phones execute as a guest application on a guest OS (referred to as a VM) that executes on top of a virtualization software layer (for example, a hypervisor). 
As was described above, in the virtualized mobile device, each guest OS does not directly access physical devices, but rather, guest OS accesses of guest devices are trapped to the virtualization software layer, and access to the physical devices is actualized by the virtualization software layer to carry out an appropriate operation on the real device.
[0045] In accordance with one or more embodiments of the present invention, 
virtualization software layer  300  collects information related to the status of real device drivers, and sends this information, for example, and without limitation, on a periodic basis, to a virus protection software module in the virtualization software layer or in a specific VM set aside for this purpose (referred to here as a security VM). In accordance with one or more such embodiments, the virus protection software module has a set of rules that may trigger action based on the information it receives concerning one or more of the physical device drivers. For example, and without limitation, a rule might state that an alarm should be raised whenever an audio microphone is enabled and a TCP connection is enabled to a particular set of destination addresses.
（当審仮訳：［００４３］
モバイル機器内の破壊工作ソフト（当審注：「破壊工作ソフト」は，原文では，「malware（マルウェア）」である。）を制限する
［００４４］本発明の１つ以上の実施形態によると，仮想モバイル機器は，モバイル機器，例えば，そして限定されるものではないが，ハンドセットに１つ以上の「仮想」電話があり，その仮想電話は，仮想化ソフトウェア層（例えば，ハイパーバイザ）において実行するゲストＯＳ（ＶＭと呼ばれる）でゲスト・アプリケーションとして実行する。
上で説明されたように，仮想モバイル機器で，各ゲストＯＳは物理的デバイスに直接アクセスしないで，むしろ，ゲストデバイスのゲストＯＳアクセスは仮想化ソフトウェア層にトラップされて，物理的デバイスへのアクセスは，本当のデバイスにおいて適切な動作を行うために仮想化ソフトウェア層により実行される。
［００４５］本発明の１つ以上の実施形態によると，
仮想化ソフトウェア層３００は，本当のデバイス・ドライバの状態に関連した情報を集めて，この情報を，例えば，そして限定されるものではないが，周期的なベースで，仮想化ソフトウェア層の，又はこのために設けられた特定のＶＭ（ここではセキュリティＶＭと称される）のウイルス保護ソフトウェア・モジュールに送る。１つ以上のこの種の実施形態によると，ウイルス保護ソフトウェア・モジュールは，それが物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則を有する。例えば，そして限定されるものではないが，規則は，音声マイクロフォンが使用可能であり，そしてＴＣＰ接続があて先アドレスの特定のセットに可能になるときはいつでも，警報を発しなければならないと記載するだろう。
　ここで，上記引用例１に記載されている事項について検討する。
（ａ）上記（ア）の「図１は，本発明の１つ以上の実施形態に従って製作される仮想モバイル機器１００のブロック図を示す」旨の記載，上記（イ）の「モバイル機器内の破壊工作ソフト（当審注：「破壊工作ソフト」は，原文では，「malware（マルウェア）」である。）を制限する」旨の記載から，引用例１の“仮想モバイル機器１００”は，“モバイル機器内”の“マルウェア”を“制限する”機能を有することが読み取れるから，引用例１には，“モバイル機器内のマルウェアを制限する機能を有する仮想モバイル機器１００”が記載されているものと認められる。
（ｂ）上記（ア）の「図１に示すように，仮想モバイル機器１００は，モバイル機器ハードウェア２００，モバイル機器ハードウェア２００と相互に作用する仮想化ソフトウェア層３００，及び仮想化ソフトウェア層３００と相互に作用する仮想計算機（「ＶＭ」）４００１〜４００ｎを含む。図１に更に示すように，モバイル機器ハードウェア２００は，ＣＰＵ２１０（例えば，そして限定されるものではないが，ＡＲＭプロセッサ２１０），メモリ２２０・・・を含む」旨の記載から，引用例１の“仮想モバイル機器１００”は，“モバイル機器ハードウェア２００”，“モバイル機器ハードウェア２００と相互に作用する仮想化ソフトウェア層３００”及び“仮想化ソフトウェア層３００と相互に作用する仮想計算機（「ＶＭ」）４００１〜４００ｎ”を含み，“モバイル機器ハードウェア２００”は，“ＣＰＵ２１０”及び“メモリ２２０”を含むことが読み取れる。
　また，上記（ア）の「図１に示すように，仮想モバイル機器１００は，仮想モバイル機器を提供するためにモバイル機器ハードウェア２００で動作する，例えば，そして限定されるものではない，ハイパーバイザ（仮想計算機モニタと呼ばれることがある）のような仮想化ソフトウェア層３００を含む。」旨の記載から，引用例１の“仮想化ソフトウェア層３００”は，“モバイル機器ハードウェア２００”で“動作”し，“仮想計算機モニタ”と呼ばれることが読み取れる。
　してみれば，引用例１には，“仮想モバイル機器１００は，メモリ２２０とＣＰＵ２１０とを含むモバイル機器ハードウェア２００と，モバイル機器ハードウェア２００で動作し，仮想計算機モニタと呼ばれる仮想化ソフトウェア層３００と，仮想化ソフトウェア層３００と相互に作用する仮想計算機（ＶＭ）４００１〜４００ｎとを含む”ことが記載されているものと認められる。
（ｃ）上記（イ）の「仮想化ソフトウェア層３００は，本当のデバイス・ドライバの状態に関連した情報を集めて，この情報を，例えば，そして限定されるものではないが，周期的なベースで，仮想化ソフトウェア層の，又はこのために設けられた特定のＶＭ（ここではセキュリティＶＭと称される）のウイルス保護ソフトウェア・モジュールに送る。１つ以上のこの種の実施形態によると，ウイルス保護ソフトウェア・モジュールは，それが物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則を有する。」旨の記載から，引用例１の“ウイルス保護ソフトウェア・モジュール”は“仮想モバイル機器１００”の“仮想化ソフトウェア層３００”又は“セキュリティＶＭ”にあることが読み取れるから，引用例１には，“仮想モバイル機器１００は，仮想化ソフトウェア層３００又はセキュリティＶＭにウイルス保護ソフトウェア・モジュールを含む”ことが記載されているものと認められる。
（ｄ）上記（ア）の「図１に更に示されるように，ゲストＯＳ４１０１〜４１０ｎ（当審注：「ゲストＯＳ４１０１〜４１０ｎ」は，「ゲストＯＳ４２０１〜４２０ｎ」の誤記と認められる。）はゲスト・アプリケーションを実行する。周知のように，ＣＰＵ，メモリ，及びデバイスの全ては，実際のハードウェアから切り離されるＶＭを有するために仮想化されなければならない（例えば，そこにおいて各ＶＭは，それが専用のハンドセット，即ち物理的な電話で実行していると思っている）。」旨の記載，及び図１の記載から，“各ＶＭ”の“ゲストＯＳ４２０１〜４２０ｎ”が“ゲスト・アプリケーション”を“実行”すること，また，“ＣＰＵ”や“メモリ”などの“デバイス”が，“ＶＭ”のために“仮想化され”ることが読み取れるから，引用例１には，“各ＶＭのゲストＯＳ４２０１〜４２０ｎはゲスト・アプリケーションを実行し，ＣＰＵやメモリなどのデバイスは，ＶＭのために仮想化される”ことが記載されているものと認められる。
（ｅ）上記（ア）の「図１に示すように，ゲストＯＳ４１０１〜４１０ｎ（当審注：「ゲストＯＳ４１０１〜４１０ｎ」は，「ゲストＯＳ４２０１〜４２０ｎ」の誤記と認められる。）は，１組のデバイス・ドライバ（単一のゲスト・デバイス・ドライバ４１０１〜４１０ｎによって実例として示される）を含む。実際のデバイスと相互に作用するよりはむしろ，これらのゲスト・デバイス・ドライバは，エミュレートされたか仮想化されたデバイスと相互に作用する。図１に更に示すように，仮想化ソフトウェア３００は，ＶＭ４００１〜４００ｎのデバイスを仮想化するデバイス・エミュレータ３２０ａ〜３２０ｍを含み，そして仮想化ソフトウェア３００は，モバイル機器１００の物理的デバイスと相互に作用するデバイス・ドライバ（デバイス・ドライバ３１０ａ及び３１０ｂによって実例として示される）を含む。」旨の記載，同じく上記（ア）の「いずれにせよ，エミュレートされたデバイスは，次に，物理的デバイスと相互に作用する実際のデバイス・ドライバと最終的に通信する。このように，流れは，ゲスト・デバイス・ドライバ〜デバイス・エミュレータ〜実際のデバイス・ドライバ〜物理的デバイスである。」旨の記載から，“ゲストＯＳ４２０１〜４２０ｎ”は，“ゲスト・デバイス・ドライバ４１０１〜４１０ｎ”を含むこと，“仮想化ソフトウェア層３００”は，“ＶＭ４００１〜４００ｎのデバイスを仮想化するデバイス・エミュレータ３２０ａ〜３２０ｍ”及び“モバイル機器１００の物理的デバイスと相互に作用するデバイス・ドライバ３１０ａ，３１０ｂ”を含むこと，“通信”の“流れ”は，“ゲスト・デバイス・ドライバ〜デバイス・エミュレータ〜実際のデバイス・ドライバ〜物理的デバイス”であることが読み取れるから，引用例１には，“ゲストＯＳ４２０１〜４２０ｎに含まれるゲスト・デバイス・ドライバ４１０１〜４１０ｎは，仮想化ソフトウェア層３００に含まれるデバイス・エミュレータ３２０ａ〜３２０ｍ及び実際のデバイス・ドライバ３１０ａ，３１０ｂを介して物理的デバイスと通信する”ことが記載されていると認められる。
（ｆ）上記（イ）の「上で説明されたように，仮想モバイル機器で，各ゲストＯＳは物理的デバイスに直接アクセスしないで，むしろ，ゲストデバイスのゲストＯＳアクセスは仮想化ソフトウェア層にトラップされて，物理的デバイスへのアクセスは，本当のデバイスにおいて適切な動作を行うために仮想化ソフトウェア層により実行される。」旨の記載から，“各ゲストＯＳ”から“物理的デバイス”への“アクセス”は，“仮想化ソフトウェア層３００”に“トラップされる”ことが読み取れるから，引用例１には，“仮想化ソフトウェア層３００は，各ゲストＯＳから物理的デバイスへのアクセスをトラップする”ことが記載されていると認められる。
（ｇ）上記（イ）の「仮想化ソフトウェア層３００は，本当のデバイス・ドライバの状態に関連した情報を集めて，この情報を，例えば，そして限定されるものではないが，周期的なベースで，仮想化ソフトウェア層の，又はこのために設けられた特定のＶＭ（ここではセキュリティＶＭと称される）のウイルス保護ソフトウェア・モジュールに送る。」旨の記載から，“仮想化ソフトウェア層３００”は，“本当のデバイス・ドライバの状態に関連した情報”を“ウイルス保護ソフトウェア・モジュール”に“送る”ことが読み取れるから，引用例１には，“仮想化ソフトウェア層３００は，本当のデバイス・ドライバの状態に関連した情報をウイルス保護ソフトウェア・モジュールに送る”ことが記載されているものと認められる。
（ｈ）上記（イ）の「ウイルス保護ソフトウェア・モジュールは，それが物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則を有する。例えば，そして限定されるものではないが，規則は，音声マイクロフォンが使用可能であり，そしてＴＣＰ接続があて先アドレスの特定のセットに可能になるときはいつでも，警報を発しなければならないと記載するだろう。」との記載から，“ウイルス保護ソフトウェア・モジュール”は，“物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則”を有すること，また，“ウイルス保護ソフトウェア・モジュール”は，当該“規則”に基づいて“警報を発する”ことが読み取れるから，引用例１には，“ウイルス保護ソフトウェア・モジュールは，物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則を有し，当該規則に基づいて，警報を発する”ことが記載されているものと認められる。
　上記（ａ）〜（ｈ）の検討から，引用例１には，次のとおりの発明（以下，「引用発明」という。）が記載されていると認められる。
　
「モバイル機器内のマルウェアを制限する機能を有する仮想モバイル機器１００であって，
　仮想モバイル機器１００は，メモリ２２０とＣＰＵ２１０とを含むモバイル機器ハードウェア２００と，モバイル機器ハードウェア２００で動作し，仮想計算機モニタと呼ばれる仮想化ソフトウェア層３００と，仮想化ソフトウェア層３００と相互に作用する仮想計算機（ＶＭ）４００１〜４００ｎとを含み，
　また，仮想モバイル機器１００は，仮想化ソフトウェア層３００又はセキュリティＶＭにウイルス保護ソフトウェア・モジュールを含み，
　各ＶＭのゲストＯＳ４２０１〜４２０ｎはゲスト・アプリケーションを実行し，ＣＰＵやメモリなどのデバイスは，ＶＭのために仮想化され，
　ゲストＯＳ４２０１〜４２０ｎに含まれるゲスト・デバイス・ドライバ４１０１〜４１０ｎは，仮想化ソフトウェア層３００に含まれるデバイス・エミュレータ３２０ａ〜３２０ｍ及び実際のデバイス・ドライバ３１０ａ，３１０ｂを介して物理的デバイスと通信し，
　仮想化ソフトウェア層３００は，各ゲストＯＳから前記物理的デバイスへのアクセスをトラップし，
　仮想化ソフトウェア層３００は，本当のデバイス・ドライバの状態に関連した情報をウイルス保護ソフトウェア・モジュールに送り，
　前記ウイルス保護ソフトウェア・モジュールは，物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則を有し，当該規則に基づいて，警報を発する
　仮想モバイル機器１００。」
（２）参考文献１
　本願の優先日前に頒布された刊行物である，特開２０１０−４００４３号公報（２０１０年２月１８日出願公開。以下，「参考文献１」という。）には，図面とともに，以下の事項が記載されている。（下線は当審において付したものである。）
（ウ）「【００５５】
　また，
ＩＯリクエストを行うのに必要なリソースがメモリ１２２に保存された基準よりｋ倍以上大きい場合，
ＩＯリクエストがマルウェアによる攻撃であると判断し
（３）参考文献２
　本願の優先日前に頒布された刊行物である，特開２０１０−１８２０１９号公報（２０１０年８月１９日出願公開。以下，「参考文献２」という。）には，図面とともに，以下の事項が記載されている。（下線は当審において付したものである。）
（エ）「【００３０】
　（第１の処理例）
　まず，第１の処理例を説明する。第１の処理例では，
プロセスが本来アクセスするファイル以外のファイルにプロセスがアクセスした場合に，コンピュータウィルス（特にボット）による異常が発生したと判定する
【００３１】
　正常プロファイル記憶部１６に格納されている正常プロファイルには，正常な端末のプロセスがアクセスしたファイルを識別する情報（本実施形態ではファイル名称）が記録されている。監視対象の端末で動作しているプロセス４００，４１０，４２０，４３０のうち，プロセス４００，４１０，４２０は，正常な端末のプロセスがアクセスしたファイルと同一のファイルにアクセスしているため，異常ではない（コンピュータウィルスの可能性が低い）と判定される。しかし，
プロセス４３０は，正常な端末のプロセスがアクセスしたファイルとは異なるファイルにアクセスしているため，異常である（コンピュータウィルスの可能性が高い）と判定される
　
４．対比
　本願発明と，引用発明とを比較する。
　
（ａ）引用発明の「仮想モバイル機器１００」は，メモリ２２０やＣＰＵ２１０を含む電子的なデバイスであるといえるから，引用発明の「仮想モバイル機器１００」が本願発明の「電子デバイス」に相当する。
　また，引用発明の「メモリ２２０」，「ＣＰＵ２１０」がそれぞれ本願発明の「メモリ」，「プロセッサ」に相当することは明らかである。
　
（ｂ）引用発明の「ゲストＯＳ」が本願発明の「オペレーティングシステム」に相当し，引用発明では，「各ＶＭのゲストＯＳ４２０１〜４２０ｎはゲスト・アプリケーションを実行し，ＣＰＵやメモリなどのデバイスは，ＶＭのために仮想化され」ているものであるから，引用発明の“ゲストＯＳ４２０１〜４２０ｎ”が，“メモリ”に記憶されて，“ＣＰＵ”で実行されることは自明のことである。
　してみれば，引用発明の「ゲストＯＳ４２０１〜４２０ｎ」が本願発明の「プロセッサによる実行のためメモリにある１以上のオペレーティングシステム」に相当する。
（ｃ）引用発明の「物理的デバイス」は，“メモリ２２０”や“ＣＰＵ２１０”などの“ハードウェアリソース”を含むものであるから，引用発明の「物理的デバイス」が本願発明の「電子デバイスのリソース」に対応する。
　また，引用発明の「ゲストＯＳ４２０１〜４２０ｎに含まれるゲスト・デバイス・ドライバ４１０１〜４１０ｎ」は，「物理的デバイス」と「通信」するところ，これは，“ゲスト・デバイス・ドライバ４１０１〜４１０ｎ”を含む“ゲストＯＳ４２０１〜４２０ｎ”が，“物理的デバイス”と“通信”しているとみることもできるから，“物理的デバイス”は，“ゲストＯＳ４２０１〜４２０ｎ”に“通信接続”されているということができる。
　してみれば，引用発明の「物理的デバイス」が本願発明の「オペレーティングシステムに通信接続される電子デバイスのリソース」に相当する。
（ｄ）引用発明では，「仮想化ソフトウェア層３００は，各ゲストＯＳから物理的デバイスへのアクセスをトラップし」ているから，“各ゲストＯＳ”は，“物理的デバイス”に“アクセス”するものである。
　また，上記（ｃ）の検討から，引用発明の「物理的デバイス」は本願発明の「リソース」に相当するものである。
　してみれば，引用発明の“仮想モバイル機器１００”の“すべての”「ゲストＯＳ４２０１〜４２０ｎ」が本願発明の「リソースにアクセスする電子デバイスのすべてのオペレーティングシステム」に相当する。
　
（ｅ）引用発明の「仮想化ソフトウェア層３００」は，“仮想計算機モニタ”すなわち，“バーチャルマシンモニタ”と“呼ばれる”ものであり，“各ゲストＯＳから物理的デバイスへのアクセスをトラップ”するという本願発明の「バーチャルマシーンモニタ」と同様の機能を有するものであるから，引用発明の「仮想化ソフトウェア層３００」が本願発明の「バーチャルマシーンモニタ」に相当する。
　また，“仮想化ソフトウェア層３００”の“各ゲストＯＳから物理的デバイスへのアクセスをトラップ”する機能は，“各ゲストＯＳ”と“物理的デバイス”との間，すなわち“各ゲストＯＳより物理的デバイスに近いレベル”において実行されるところ，これは，言い換えれば，“各ゲストＯＳより下位のレベル”において“実行され”るといえるものである。
　
（ｆ）上記（ｄ）及び（ｅ）の検討から，“各ゲストＯＳから物理的デバイスへのアクセスをトラップ”する機能を有する「仮想化ソフトウェア層３００」が本願発明の「リソースにアクセスする電子デバイスのすべてのオペレーティングシステムより下位のレベルにおいて前記電子デバイス上で実行されるよう構成されるバーチャルマシーンモニタ」に相当する。
（ｇ）引用発明の「ウイルス保護ソフトウェア・モジュール」は，“仮想化ソフトウェア層３００”から“本当のデバイス・ドライバの状態に関連した情報”を受信し，所定の“規則”に基づいて“警報を発する”ものであるところ，この“警報”は，“モバイル機器内のマルウェアを制限する”ために実行されるものであるから，引用発明の「ウイルス保護ソフトウェア・モジュール」は，「セキュリティ」に関する機能を有するということができる。
　また，引用発明の「ウイルス保護ソフトウェア・モジュール」は，当該セキュリティに関する機能を，仮想化ソフトウェア層３００からの情報を受信することによって，実行する点で，仮想化ソフトウェア層３００にとっての「エージェント」であるとみることもできる。
　してみれば，引用発明の「ウイルス保護ソフトウェア・モジュール」が本願発明の「セキュリティエージェント」に相当する。
（ｈ）上記（ｃ）及び（ｅ）の検討から，引用発明の「物理的デバイス」，「仮想化ソフトウェア層３００」が本願発明の「リソース」，「バーチャルマシーンモニタ」にそれぞれ相当する。
　また，引用発明の「物理的デバイスへのアクセス」は，“リソース”を使用することを要求（リクエスト）することに他ならないから，引用発明の「物理的デバイスへのアクセス」が本願発明の「リソースのリクエスト」に相当する。
　また，上記（ｅ）の検討から，“各ゲストＯＳ”は，“バーチャルマシンモニタ”より「上位のレベル」にあるということができるから，引用発明の「各ゲストＯＳから物理的デバイスへのアクセス」が本願発明の「バーチャルマシーンモニタの上位のレベルから行われるリソースのリクエスト」に相当する。
　また，引用発明の「トラップ」は，上記物理的デバイスへのアクセスが当該物理的デバイスに到達する前の段階で阻止，すなわち，“インターセプト”されることであるから，引用発明の「トラップ」が本願発明の「インターセプト」に相当する。
　してみれば，引用発明の「仮想化ソフトウェア層３００は，各ゲストＯＳから物理的デバイスへのアクセスをトラップし」が本願発明の「バーチャルマシーンモニタは，バーチャルマシーンモニタの上位のレベルから行われるリソースのリクエストをインターセプトし」に相当する。
（ｉ）引用発明の「本当のデバイス・ドライバの状態に関連した情報」は，これを所定の規則と照らし合わせることで，警報を発するか否かを判断するための情報であり，当該警報は，「モバイル機器内のマルウェアを制限する」ために行われることを考慮すると，上記「本当のデバイス・ドライバの状態に関連した情報」は，「マルウェアの可能性を示す情報」であるということができる。
　一方，本願発明の「リクエスト」は，セキュリティエージェントが「マルウェアを示すか判断する」ためのものである。
　してみれば，引用発明の「本当のデバイス・ドライバの状態に関連した情報」と本願発明の「リクエスト」とは，共に「マルウェアの可能性を示す情報」を含む点で共通している。
　そして，上記（ｇ）の検討から，引用発明の「ウイルス保護ソフトウェア・モジュール」が本願発明の「セキュリティエージェント」に相当することから，引用発明の「仮想化ソフトウェア層３００は，本当のデバイス・ドライバの状態に関連した情報をウイルス保護ソフトウェア・モジュールに送」ることと本願発明の「リクエストをセキュリティエージェントに通知」することとは，後記する点で相違するものの，「マルウェアの可能性を示す情報をセキュリティエージェントに通知」することである点で共通している。
（ｊ）引用発明の「物理的デバイス・ドライバの１つ以上に関して受け取る情報」は，上記（ｉ）で検討した「本当のデバイス・ドライバの状態に関連した情報」のことであるから，上記（ｉ）での検討から，引用発明の「物理的デバイス・ドライバの１つ以上に関して受け取る情報」と本願発明の「リクエスト」とは，共に「マルウェアの可能性を示す情報」である点で共通している。
　また，上記（ｉ）での検討を踏まえると，引用発明の“警報を発するか否かを判断すること”は，すなわち，“マルウェアを示すか判断すること”に他ならない。
　してみれば，引用発明の「ウイルス保護ソフトウェア・モジュールは，物理的デバイス・ドライバの１つ以上に関して受け取る情報に基づいて動作を起動させることができる一組の規則を有し，当該規則に基づいて，警報を発する」ことと本願発明の「前記セキュリティエージェントは，前記リクエストがマルウェアを示すか判断する」こととは，後記する点で相違するものの，「セキュリティエージェントは，マルウェアの可能性を示す情報がマルウェアを示すか判断する」点で共通している。
（ｋ）引用発明は，“仮想モバイル機器１００”を構成する“メモリ２２０とＣＰＵ２１０とを含むモバイル機器ハードウェア２００と，モバイル機器ハードウェア２００で動作し，仮想計算機モニタと呼ばれる仮想化ソフトウェア層３００と，仮想化ソフトウェア層３００と相互に作用する仮想計算機（ＶＭ）４００１〜４００ｎ”が相互に関連して動作することで，全体として“システム”として動作し，“モバイル機器内のマルウェアを制限する機能”を実現しているものと認められる。
　また，引用発明の「モバイル機器内のマルウェアを制限する」ことは，「電子デバイスをセキュアにする」ことに他ならない。
　してみれば，引用発明の「モバイル機器内のマルウェアを制限する機能を有する仮想モバイル機器１００」が本願発明の「電子デバイスをセキュアにするシステム」に相当する。
　以上の検討から，本願発明と引用発明とは，
　
「電子デバイスをセキュアにするシステムであって，
　メモリと，
　プロセッサと，
　前記プロセッサによる実行のため前記メモリにある１以上のオペレーティングシステムと，
　前記オペレーティングシステムに通信接続される前記電子デバイスのリソースと，
　前記リソースにアクセスする前記電子デバイスのすべてのオペレーティングシステムより下位のレベルにおいて前記電子デバイス上で実行されるよう構成されるバーチャルマシーンモニタと，
　セキュリティエージェントと，
を有し，
　前記バーチャルマシーンモニタは，
　前記バーチャルマシーンモニタの上位のレベルから行われる前記リソースのリクエストをインターセプトし，
　マルウェアの可能性を示す情報を前記セキュリティエージェントに通知する，
よう構成され，
　前記セキュリティエージェントは，マルウェアの可能性を示す情報がマルウェアを示すか判断するよう構成されるシステム。」
　
の点で一致し，以下の点で相違する。  
　
［相違点１］
　セキュリティエージェントが，
　本願発明では，「前記リソースにアクセスする前記電子デバイスのすべてのオペレーティングシステムより下位のレベルにおいて前記電子デバイス上で実行されるよう構成される」のに対して，
　引用発明は，そのように構成されるか否か明確ではない点。
［相違点２］
　バーチャルマシーンモニタがセキュリティエージェントに通知する情報が，
　本願発明では，「リクエスト」であるのに対して，
　引用発明では，「本当のデバイス・ドライバの状態に関連した情報」である点。
［相違点３］
　マルウェアの可能性を示す情報を含むのが，
　本願発明では，「リクエスト」であるのに対して，
　引用発明では，「物理的デバイス・ドライバの１つ以上に関して受け取る情報」である点。
５．判断  
　上記各相違点について，検討する。
 　 
［相違点１］について
　上記「４．対比」の（ｅ）で検討したように，引用発明の“仮想化ソフトウェア層３００”は，“各ゲストＯＳより下位のレベル”において“実行されるように構成され”ているものであるところ，引用発明の“ウイルス保護ソフトウェア・モジュール”は，“仮想モバイル機器１００”の“仮想化ソフトウェア層３００又はセキュリティＶＭ”に含まれるものであるから，このうちの“仮想化ソフトウェア層３００”に含まれるように構成すれば，結果として，“ウイルス保護ソフトウェア・モジュール”が“各ゲストＯＳより下位のレベル”において“実行されるように構成され”ることは明らかである。
　してみれば，引用発明の“ウイルス保護ソフトウェア・モジュール”を“仮想化ソフトウェア層３００”に含まれるようにすることにより，ウイルス保護ソフトウェア・モジュール（セキュリティエージェント）が，リソースにアクセスする電子デバイスのすべてのオペレーティングシステムより下位のレベルにおいて前記電子デバイス上で実行されるように構成すること，すなわち，上記相違点１に係る構成とすることは，当業者が容易に想到し得たことである。
［相違点２］及び［相違点３］について
　引用発明の“本当のデバイス・ドライバの状態に関連した情報”とは，“本当のデバイスドライバ”，すなわち“実際のデバイス・ドライバ３１０ａ，３１０ｂ”の“状態に関連した情報”のことであり，この情報には，少なくとも，当該“実際のデバイス・ドライバ３１０ａ，３１０ｂ”が“物理的デバイス”に“アクセス”したという情報，すなわち，リソースへの“リクエスト”の情報が含まれているものと認められる。
　ここで，“リソース”に対する“リクエスト（又はアクセス）”の情報のみを用いて“マルウェア”を示すかを“判断する”ことは，例えば参考文献１（上記（ウ）の記載参照）や参考文献２（上記（エ）の記載参照）等に記載されているように，情報セキュリティの技術分野においては周知技術であったと認められる。
　そうすると，リソースへのリクエストの情報を含む各種の情報からマルウェアを示すか否かを判断している引用発明において，上記周知技術を適用し，リクエストの情報のみを用いてマルウェアを示すか否かを判断するように構成すること，すなわち，上記相違点２及び相違点３に係る構成とすることは，当業者が容易に想到し得たことである。
　そして，本願発明の作用効果も，引用発明及び周知技術から当業者が予測できる範囲のものである。
　
　したがって，本願発明は，引用発明及び周知技術に基づいて，当業者が容易に発明をすることができたものである。
　
６．むすび  
　以上のとおり，本願発明は，引用発明及び周知技術に基づいて，当業者が容易に発明をすることができたものであるから，特許法第２９条第２項の規定により特許を受けることができない。
　したがって，本願は他の請求項について検討するまでもなく拒絶されるべきものである。
　よって，結論のとおり審決する。