【事件の表示】
　特願２００８−５５４１３０「デバイスの間に悪性アプリケーションの行為情報を使用する装置および方法」拒絶査定不服審判事件〔平成１９年　８月１６日国際公開、ＷＯ２００７／０９１８２９、平成２１年　７月１６日国内公表、特表２００９−５２６３０４〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
１．手続の経緯
　本願は、２００７年２月８日（パリ条約による優先権主張外国庁受理２００６年２月１０日、大韓民国）を国際出願日とする出願であって、平成２３年３月３０日付けで拒絶理由通知がなされ、同年７月５日付けで手続補正がなされたが、同年７月２２日付けで拒絶査定がなされ、これに対し、同年１１月２４日に拒絶査定不服審判の請求がなされるとともに、同日付けで手続補正がなされ、その後、当審において、平成２４年３月８日付けで前置報告書を利用した審尋がなされたのに対し、同年６月１３日付けで回答書が提出されたものである。
　
２．平成２３年１１月２４日付けの手続補正についての補正却下の決定
［補正却下の決定の結論］
　平成２３年１１月２４日付けの手続補正を却下する。
　
［理由］
（１）補正後の請求項１に係る発明
　平成２３年１１月２４日付けの手続補正（以下、「本件手続補正」という。）は、特許請求の範囲の請求項１を、
「アプリケーションの能力をモニターする能力モニター部と、
　アプリケーションの行為をモニターする行為モニター部と、
　前記モニターした能力と行為を形式言語文書で生成するｍＢＤＬ生成部と
　前記形式言語文書を使用しアプリケーションの悪意的行為を制御する制御部、および、
　前記生成された形式言語文書を相互認証された他のデバイスに送信するネットワーク管理部と、
　を含む、
　悪性アプリケーションの行為情報を使用するデバイス。」（平成２３年７月５日付け手続補正書により補正されたもの）
から、
「アプリケーションの能力をモニターする能力モニター部と、
アプリケーションの行為をモニターする行為モニター部と、
前記モニターした能力と行為を形式言語文書で生成するｍＢＤＬ生成部と
前記形式言語文書を使用しアプリケーションの悪意的行為を制御する制御部、および、
前記生成された形式言語文書を相互認証された、パーシング機能を備えるか又はアンチウィルス機能を提供する他のデバイスに送信するネットワーク管理部と、を含む、
悪性アプリケーションの行為情報を使用するデバイス。」
に補正することを含むものである。
　
　上記補正は、補正前の請求項１における「他のデバイス」を「パーシング機能を備えるか又はアンチウィルス機能を提供する他のデバイス」に限定するものであって、平成１８年法律第５５号改正附則第３条第１項によりなお従前の例によるとされる同法による改正前の特許法第１７条の２第４項第２号の特許請求の範囲の減縮を目的とするものに該当する。
　そこで、本件手続補正後の上記請求項１に係る発明（以下、「本願補正発明」という。）が特許出願の際独立して特許を受けることができるものであるか（平成１８年法律第５５号改正附則第３条第１項によりなお従前の例によるとされる同法による改正前の特許法第１７条の２第５項において準用する同法第１２６条第５項の規定に適合するか）について、以下に検討する。
　
（２）引用例
（２−１）引用例１：特開２００５−２３４６６１号公報
（２−１−１）本願の優先権主張の日前に日本国内において頒布され、原査定の拒絶の理由に引用された特開２００５−２３４６６１号公報（以下「引用例１」という。）には、図面とともに次の事項が記載されている。（下線は、当審において付与したものである。以下、同様。）
　
ａ．「【０００１】
　本発明は、ポリシ強制に用いるアクセスポリシを生成するアクセスポリシ生成システム等に関し、特に、ポリシ強制の対象となるプログラムにもとづく動作を収集し、収集した動作からアクセスポリシを生成するアクセスポリシ生成システム、アクセスポリシ生成方法、およびアクセスポリシ生成用プログラムに関する。
【背景技術】
【０００２】
　従来から、制御プログラムにもとづく処理での不正なリソース利用を防止するため、セキュアＯＳ、アクセス制御ミドルウェア、サンドボックス、不正侵入検知システム、不正侵入防止システムなどと呼ばれる各種のポリシ強制システムが利用されている。」
【０００３】
　従来のポリシ強制システムは、与えられたリソース利用の要件（以下、「アクセスポリシ」または単に「ポリシ」という）に従って、ポリシ強制の対象とする制御プログラムにもとづく処理にて特定のリソース（例えば、ファイルシステム、通信デバイスなど）を操作（以下、「アクセス」という）することを制限する機能を持つ。
【０００４】
　図２０は、ポリシ強制システムの一般的な構成を示すブロック図である。このポリシ強制システム５００は、プログラム制御により動作するコンピュータ（具体的には、例えば中央処理装置、プロセッサ、データ処理装置）によって構成され、アクセス監査手段５０２と、リソース５０３と、ポリシ記憶部５０４とを含む。
【０００５】
　アクセス監査手段５０２は、ポリシ強制の対象となるプログラム５０１に従って動作するコンピュータシステム５００のリソース５０３へのアクセスを監視し、ポリシ記憶部５０４に保存されているポリシの内容に従って、リソース５０３へのアクセスの可否を判定する。
【０００６】
　そして、アクセス監査手段５０２は、アクセスが許可されている場合にはそのままリソース５０３へのアクセスを許し、アクセスが許可されていない場合にはリソース５０３へのアクセスを中断する。」
　
ｂ．「【００４４】
　以下、本発明の実施の形態について図面を参照して説明する。
実施の形態１．
　図１は、本発明の第１の実施の形態におけるアクセスポリシ生成システム１００の構成の例を示すブロック図である。
【００４５】
　アクセスポリシ生成システム１００は、プログラム制御により動作するコンピュータ（中央処理装置、プロセッサ、データ処理装置）により構成される。また、アクセスポリシ生成システム１００には、各種の情報を入力する入力装置１１０が接続されている。なお、入力装置１１０をシステム１００に含めるようにしてもよい。
【００４６】
　図１に示すように、アクセスポリシ生成システム１００は、対象プログラム１０１と、アクセス監査手段１０２と、リソース１０３と、ポリシ記憶部１０４と、ポリシ生成手段１０５と、アクセス記憶部１０６と、汎化手段１０７とを含む。
【００４７】
　対象プログラム１０１は、システム１００上で動作するプログラムであって、アクセス監査の対象となるプログラムを意味する。」
　
ｃ．「【００４８】
　アクセス監査手段１０２は、「監査モード」と「ルール生成モード」のうち何れか一方のモードで動作する。「監査モード」と「ルール生成モード」の何れとするかの設定は、入力装置１１０からのユーザ入力によって行われる。
【００４９】
　
「監査モード」では、アクセス監査手段１０２は、対象プログラム１０１にもとづくリソース１０３へのアクセスを監視し、ポリシ記憶部１０４に格納されたアクセスポリシにもとづいてポリシ強制を行う。
【００５０】
　「ポリシ強制」とは、設定されているアクセスポリシにもとづいて、アクセスを許可するか禁止するか判定し、許可すると判定したアクセスを受け入れ、禁止すると判定したアクセスを拒否する処理を意味する。
【００５１】
　「ルール生成モード」では、アクセス監査手段１０２は、対象プログラム１０１にもとづくリソース１０３へのアクセスを監視するが、ポリシ強制は行わずに、検知したアクセスの内容をアクセス記憶部１０６に格納する処理を行う。
【００５２】
　リソース１０３は、対象プログラム１０１が動作する基盤プログラム（例えばオペレーティングシステム）上で管理されるシステムリソースを意味する。具体的には、ファイルシステムや通信デバイスなどが該当する。
【００５３】
　なお、「アクセス」とは、対象プログラム１０１にもとづく基盤プログラムに対する命令であって、システムリソース１０３の操作のための操作命令を意味する。また、「アクセス」を、システムリソース１０３の操作の意味で用いることもある。」
　
ｄ．「【００５７】
　ポリシ記憶部１０４は、ポリシ生成手段１０５によって生成された許可ポリシを記憶する記憶装置である。
【００５８】
　
アクセス記憶部１０６は、アクセス監査手段１０２によって検知されたアクセスにもとづくアクセス情報を一時的に記憶する記憶装置である。なお、アクセス情報は、アクセスの種類と、アクセスの対象とを含む情報である。
　
ｅ．「【００６０】
　
汎化手段１０７は、アクセス記憶部１０６に一時的に保存されたアクセス情報を汎化する処理を行う。汎化処理は、例えば、アクセス情報中に含まれるパラメータ（アクセスの対象）を汎化することによって行われる。
【００６１】
　
ポリシ生成手段１０５は、汎化手段１０７によって汎化されたパラメータをアクセスポリシに変換し、ポリシ記憶部１０４に格納する処理を行う。
　
ｆ．「【００６３】
　次に、本例のアクセスポリシ生成システム１００の動作について説明する。
　ここでは、ルール生成モードが設定されているときのアクセスポリシ生成システム１００の動作について詳細に説明する。
【００６４】
　
図２は、ルール生成モードが設定されているときにアクセスポリシ生成システム１００が実行するアクセスポリシ生成処理の例を示すフローチャートである。
【００６５】
　
アクセスポリシ生成処理において、アクセス監査手段１０２は、対象プログラムにもとづくアクセスの有無を監視し、対象プログラム１０１にもとづくアクセスが発生するたびに、アクセスの種類とアクセスの対象とを含むアクセス情報をアクセス記憶部１０６に格納する（ステップＳ１０１）。
　
ｇ．「【００６８】
　図３は、アクセス記憶部１０６に格納されたアクセス情報の例を示す説明図である。この例では、図３に示すように、アクセスの種類とアクセスの対象とを含むアクセス情報が表形式で格納される。
【００６９】
　
「アクセスの種類（アクセス名）」は、例えば、ファイルの作成（「ｃｒｅａｔｅ」）、ファイルの読み込み（「ｒｅａｄ」）など、対象プログラム１０１にもとづくリソース１０３へのアクセスの内容を示す情報である。
　
ｈ．「【００８６】
　上記のようにして汎化処理を行うと、６つあったアクセス情報（図３参照）が、図６に示すように、２つの汎化された２つのアクセス情報で表現される。
【００８７】
　
汎化処理を終了すると、ポリシ生成手段１０５は、汎化手段１０７によって汎化されたアクセス情報を、許可ポリシとしてポリシ記憶部１０４に格納する（ステップＳ１０４：ポリシ生成処理）。
　
ｉ．「【０１２１】
　
なお、上述した各実施の形態では特に言及していないが、本発明は、上述した各処理をコンピュータに実行させるソフトウェアが搭載されたサーバ装置に適用できることは勿論である。また、上述したアクセスポリシ生成システムの一部がインターネットや専用回線などの通信ネットワークを介して接続されていてもよく、そのような通信ネットワークに接続される機器に適用することもできる。
　
（２−１−２）ここにおいて、００６４段落の「図２は、ルール生成モードが設定されているときにアクセスポリシ生成システム１００が実行するアクセスポリシ生成処理の例を示すフローチャートである。」という記載、００６５段落の「アクセスポリシ生成処理において、アクセス監査手段１０２は、対象プログラムにもとづくアクセスの有無を監視し、対象プログラム１０１にもとづくアクセスが発生するたびに、アクセスの種類とアクセスの対象とを含むアクセス情報をアクセス記憶部１０６に格納する（ステップＳ１０１）。」という記載、及び００６９段落の「『アクセスの種類（アクセス名）』は、例えば、ファイルの作成（『ｃｒｅａｔｅ』）、ファイルの読み込み（『ｒｅａｄ』）など、対象プログラム１０１にもとづくリソース１０３へのアクセスの内容を示す情報である。」という記載から、引用例１の「アクセス監査手段１０２」は、「ルール生成モードが設定されているとき」の「アクセスポリシ生成処理」において、「対象プログラム」１０１にもとづくリソース１０３への「アクセスの有無を監視」し、「リソース１０３」への「アクセスが発生するたびに」、「アクセスの種類（アクセス名）とアクセスの対象とを含むアクセス情報をアクセス記憶部１０６に格納」していることは明らかである。
　また、０１２１段落の「なお、上述した各実施の形態では特に言及していないが、本発明は、上述した各処理をコンピュータに実行させるソフトウェアが搭載されたサーバ装置に適用できることは勿論である。また、上述したアクセスポリシ生成システムの一部がインターネットや専用回線などの通信ネットワークを介して接続されていてもよく、そのような通信ネットワークに接続される機器に適用することもできる。」という記載から、「アクセスポリシ生成システム１００」を「サーバ」に搭載する場合もあることは明らかである。
　
（２−１−３）また、００６０段落の「汎化手段１０７は、アクセス記憶部１０６に一時的に保存されたアクセス情報を汎化する処理を行う。汎化処理は、例えば、アクセス情報中に含まれるパラメータ（アクセスの対象）を汎化することによって行われる。」という記載、及び００５８段落の「アクセス記憶部１０６は、アクセス監査手段１０２によって検知されたアクセスにもとづくアクセス情報を一時的に記憶する記憶装置である。なお、アクセス情報は、アクセスの種類と、アクセスの対象とを含む情報である。」という記載から、引用例１の「汎化手段１０７」は、「アクセス記憶部１０６に一時的に保存された」対象プログラム１０１にもとづくリソース１０３への「アクセスの種類（アクセス名）」と「アクセスの対象」とを含む「アクセス情報」を汎化処理していることは明らかである。
　そして、００６１段落の「ポリシ生成手段１０５は、汎化手段１０７によって汎化されたパラメータをアクセスポリシに変換し、ポリシ記憶部１０４に格納する処理を行う。」という記載、及び００８７段落の「汎化処理を終了すると、ポリシ生成手段１０５は、汎化手段１０７によって汎化されたアクセス情報を、許可ポリシとしてポリシ記憶部１０４に格納する（ステップＳ１０４：ポリシ生成処理）。」という記載から、引用例１の「ポリシ生成手段１０５」は、この「汎化」処理された「アクセスの種類（アクセス名）」と「アクセスの対象」とを含む「アクセス情報」から「許可ポリシ」を生成して、「ポリシ記憶部１０４」に格納していることは明らかである。
　
（２−１−４）また、００４９段落の「『監査モード』では、アクセス監査手段１０２は、対象プログラム１０１にもとづくリソース１０３へのアクセスを監視し、ポリシ記憶部１０４に格納されたアクセスポリシにもとづいてポリシ強制を行う。」という記載から、引用例１において、「監査モード」が設定されているときには、「アクセス監査手段１０２」は、「対象プログラム１０１」にもとづく「リソース１０３へのアクセスを監視し、ポリシ記憶部１０４に格納されたアクセスポリシにもとづいてポリシ強制を行」っていることは明らかである。
　
（２−１−５）以上を総合すると、引用例１には、次の発明（以下、「引用発明１」という。）が記載されているものと認められる。
　
「アクセスポリシ生成システム１００を搭載したサーバであって、
　ルール生成モードが設定されているときのアクセスポリシ生成処理において、対象プログラム１０１にもとづくリソース１０３へのアクセスの有無を監視し、リソース１０３へのアクセスが発生するたびに、アクセスの種類（アクセス名）とアクセスの対象とを含むアクセス情報をアクセス記憶部１０６に格納するアクセス監査手段１０２と、
　前記アクセス記憶部１０６に一時的に保存された前記対象プログラム１０１にもとづくリソース１０３へのアクセスの種類（アクセス名）と、アクセスの対象とを含むアクセス情報を汎化手段によって汎化処理し、この汎化処理されたアクセスの種類（アクセス名）とアクセスの対象とを含むアクセス情報から許可ポリシを生成して、ポリシ記憶部１０４に格納するポリシ生成手段１０５とからなり、
　監査モードが設定されているときには、前記対象プログラム１０１にもとづく前記リソース１０３へのアクセスを監視し、前記ポリシ記憶部１０４に格納されたアクセスポリシにもとづいてポリシ強制を行う前記アクセス監査手段１０２を備える、
　アクセスポリシ生成システム１００を搭載したサーバ。」
　
（２−２）引用例２：特開２００４−２８７８１０号公報
（２−２−１）本願の優先権主張の日前に日本国内において頒布され、原査定の拒絶の理由に引用された特開２００４−２８７８１０号公報（以下「引用例２」という。）には、図面とともに次の事項が記載されている。
　
ｊ．「【０００１】
【発明の属する技術分野】
本発明は、ソフトウェアの障害や設定の誤りにもとづく不正動作がなされることを防止する不正アクセス防止システム、不正アクセス防止方法、および不正アクセス防止プログラムに関する。」
　
ｋ．「【００８７】
図１１は、図１０に示された操作フローグラフを、後述する図１８に示すイベント表を参照して生成したイベントフローグラフの例を示す説明図である。図１８を参照すると、操作「ｏｐｅｎ」にはイベント「ｒｅａｄ　ｏｐｅｎ」とイベント「ｗｒｉｔｅ　ｏｐｅｎ」とが対応付けされており、操作「ｒｅａｄ」にはイベント「ｒｅａｄ」が対応付けされており、操作「ｗｒｉｔｅ」に対応付けされたイベントは存在せず、操作「ｃｌｏｓｅ」にはイベント「ｃｌｏｓｅ」が対応付けされている。
　
ｌ．「【０１６８】
実施の形態３．
図３９は、本発明の第３の実施の形態における不正アクセス防止システムの構成の例を示すブロック図である。以下の説明において、上述した第１の実施の形態における不正アクセス防止システム１００と同一の構成および処理を行う部分については、同一の符号を付与してその詳細な説明を省略する。
【０１６９】
第３の実施の形態では、監視対象プログラム２１ａを静的に解析するのではなく、実際に動作させて現実の動作履歴を収集し、収集したイベント列を利用して監視ルールの生成を支援する。
【０１７０】
図３９に示すように、
不正アクセス防止システム１００ｂは、入出力装置１と、サーバ装置２と、ルール作成装置３ｂと、記憶装置４とを備える。不正アクセス防止システム１００ｂは、
ＷＷＷサーバやネットワークサーバとして機能するパーソナルコンピュータによって構成される。
【０１７１】
ルール作成装置３ｂは、監視ルール作成部３１Ｂと、プロファイル部３４と、動作結果記憶部３５とを含む。
【０１７２】
図４０は、プロファイル部３４の構成例を示すブロック図である。図４０に示すように、プロファイル部３４は、正常入力生成部３４ａと、入力パターン記憶部３４ｂと、イベント列収集部３４ｃとを含む。」
　
ｍ．「【０１７４】
正常入力生成部３４ａは、監視対象プログラム２１ａへの入力（サーバへのリクエスト）を行う機能を有する。正常入力生成部３４ｂは、入力パターン記憶部３４ｂに格納されている入力パターンに従って、正常入力を生成する。この入力パターンを作成するには、サーバ運用者が実際に適当なクライアントプログラムを用いて、監視対象プログラム２１ａ（サーバ）に適当なリクエストを行ってその内容を記録しておく方法、スクリプト言語によってリクエストの内容と送信方法を記述する方法などがある。また、正常入力生成部３４ａを、サーバソフトウェア用のテストツールを利用することで実現するようにしてもよい。
【０１７５】
正常入力生成部３４ａから入力されたリクエストは、監視対象プログラム２１ａに入力され、その入力内容とサーバ装置２の内部状態に応じて、アクセス制御部２２からイベントが発行される。
【０１７６】
イベント列収集部３４ｃは、入力したイベントを動作結果記憶部３５に順に格納し、アクセス制御部２２には常に「許可」を返す。
【０１７７】
図４１は、プロファイル部３４によって動作結果記憶部３５に格納されたイベントのリストの例を示す説明図である。上述した第１の実施の形態では、監視対象解析部３３による静的解析によって操作の対象を特定するのは一般に困難であるため、イベントフローグラフには操作の対象が空白のままであったが（図１１参照）、プロファイル部３４で生成されたイベントは、実際に監視対象プログラムを動作させているため、対象が必ず設定される。一方で、イベントはグラフ構造にはならず、順序のみが決定したリスト（グラフでない）である。
【０１７８】
図４２は、監視ルール作成部３１Ｂの構成例を示すブロック図である。図４２に示すように、監視ルール作成部３１Ｂは、監視ポリシー編集部３１ａと、ポリシー翻訳部３１ｂと、違反検査部３１ｄと、アクセス判定・対応部２４とを含む。なお、この例では、アクセス判定・対応部２４が監視ルール作成部３１Ｂに含まれているため、サーバ装置２のアクセス判定部２３は必ずしも必要でない。」
　
（２−２−２）ここにおいて、０１６９段落の「第３の実施の形態では、監視対象プログラム２１ａを静的に解析するのではなく、実際に動作させて現実の動作履歴を収集し、収集したイベント列を利用して監視ルールの生成を支援する。」という記載から、「不正アクセス防止システム１００ｂ」は、「監視対象プログラム２１ａ」を「実際に動作させて現実の動作履歴を収集し、収集したイベント列を利用して監視ルールの生成」を行っていることは明らかであり、また、００８７段落の「図１１は、図１０に示された操作フローグラフを、後述する図１８に示すイベント表を参照して生成したイベントフローグラフの例を示す説明図である。図１８を参照すると、操作『ｏｐｅｎ』にはイベント『ｒｅａｄ　ｏｐｅｎ』とイベント『ｗｒｉｔｅ　ｏｐｅｎ』とが対応付けされており、操作『ｒｅａｄ』にはイベント『ｒｅａｄ』が対応付けされており、操作『ｗｒｉｔｅ』に対応付けされたイベントは存在せず、操作『ｃｌｏｓｅ』にはイベント『ｃｌｏｓｅ』が対応付けされている。」という記載から、図３９に示される第３の実施の形態における「イベント」には、「ｒｅａｄ　ｏｐｅｎ」や「ｗｒｉｔｅ　ｏｐｅｎ」すなわち、リード操作やライト操作が含まれていることは明らかである。
　
（２−２−３）以上を総合すると、引用例２には、次の発明（以下、「引用発明２」という。）が記載されているものと認められる。
　
「入出力装置１と、サーバ装置２と、ルール作成装置３ｂと、記憶装置４とからなり、ＷＷＷサーバやネットワークサーバとして機能するパーソナルコンピュータによって構成される不正アクセス防止システム１００ｂにおいて、
　監視対象プログラム２１ａ実際に動作させて現実の動作履歴を収集し、収集したリード操作やライト操作等のイベント列を利用して監視ルールの生成を行う不正アクセス防止システム１００ｂ。」
　
（２−３）引用例３：特開２００４−９４４０５号公報
（２−３−１）本願の優先権主張の日前に日本国内において頒布され、原査定の拒絶の理由に引用された特開２００４−９４４０５号公報（以下「引用例３」という。）には、図１，２とともに次の事項が記載されている。
　
ｎ．「（５７）【要約】
【課題】
複数の異なるタイプのシステムでドキュメントのセキュリティポリシーを共有するためのセキュリティポリシー管理装置を提供する。
【解決手段】
複数の異なるタイプの装置に共通に適用されるセキュリティポリシー、及び該セキュリティポリシーの適用先を管理するセキュリティサーバ１であって、セキュリティサーバ１は、セキュリティクライアント１００にセキュリティポリシーを配布する際に、セキュリティクライアント１００で利用可能なすべてのセキュリティポリシー情報を配布する。
　
ｏ．「【００４１】
図１に示すように、セキュリティサーバ１と呼ぶＤＳＰの管理主体が、異なるタイプの複数のシステムにＤＳＰを配布するシステムを考える。ＤＳＰには表１に示されるようなセキュリティポリシー情報が記述されている。また、ＤＳＰ以外にもポリシーを記述するために使用するポリシー用定義ファイルをセキュリティサーバ１は保持する。
　
ｐ．「【００４３】
図２は、セキュリティサーバ１とセキュリティクライアント１００の物理的な関係を示している。なお、セキュリティクライアント１００の内部構造はセキュリティサーバ１の内部構成と基本的に同じであるため記述を省略している。セキュリティサーバ１は主に、ＤＳＰを配布するためのプログラムを記憶するためのプログラム記憶媒体（ＲＯＭやＨＤＤなど）５と、プログラムを実行するためのＣＰＵ、ＲＡＭ２と、ＤＳＰや設定情報などを記録するための大容量記録媒体（ＨＤＤなど）６と、クライアントと通信するためのネットワークインタフェースボード４とで構成される。
【００４４】
セキュリティサーバの大容量記録媒体６には、ポリシー配布先となるシステム（セキュリティクライアントと呼ぶ）を管理する配布先管理ファイル（添付したｓｅｃｕｒｉｔｙ＿ｃｌｉｅｎｔ＿ｒｅｇｉｓｔｒｙ．ｘｍｌファイル）と、ＤＳＰのファイル（添付したｐｏｌｉｃｙ．ｘｍｌファイル）と、ポリシー用定義ファイル（ｐｏｌｉｃｙ＿ｔｅｒｍｉｎｏｌｏｇｙ．ｘｍｌ　ファイル）を保管しておく。
【００４５】
ここで、セキュリティサーバ１によるセキュリティポリシーの配布方法、及びセキュリティクライアント１００のセキュリティポリシーの反映方法について説明する。
セキュリティサーバ１は、まず、図３に示されるように大容量記録媒体６から配布先管理ファイルとＤＳＰファイルの内容とを読み出す。次に、配布先管理ファイルの内容から配布先となるセキュリティクライアント１００のＩＰアドレスを取得し、取得したＩＰアドレスを基に配布先セキュリティクライアント１００にネットワークインタフェースボード４経由で接続する。接続に成功すると、大容量記録媒体６から読み出したＤＳＰファイルの内容を送信ポリシーデータとしてセキュリティクライアント１００に送信する。
　
ｑ．「【００５１】
以上の処理では、特に送信ポリシーデータの記述様式について説明しなかったが、添付したｐｏｌｉｃｙ．ｘｍｌファイルのようにＸＭＬで記述するとよい。送信ポリシーデータは、図１に示されるように様々なシステムタイプのセキュリティクライアント１００に送付することになるため、セキュリティクライアントのＯＳなどに依存しないＸＭＬによって記述しておけば同一の内容を様々なセキュリティクライアントに統一的に送付することができる。
　
（２−３−２）上記記載から、引用例３には、次の発明（以下、「引用発明３」という。）が記載されているものと認められる。
　
「複数の異なるタイプのシステムでドキュメントのセキュリティポリシーを共有するために、セキュリティサーバ１から、セキュリティクライアント１００に送信される送信ポリシーデータをＸＭＬ形式で記述するセキュリティポリシー配布方法。」
　
（３）対比
　本願補正発明と引用発明１とを対比すると、次のことがいえる。
　
ア．引用発明１の「対象プログラム１０１」は、「アプリケーション」プログラムも含むと解されるから、引用発明１の「対象プログラム１０１にもとづくリソース１０３へのアクセスの有無を監視し、リソース１０３へのアクセスが発生するたびに、アクセスの種類（アクセス名）とアクセスの対象とを含むアクセス情報をアクセス記憶部１０６に格納するアクセス監査手段１０２」と、本願補正発明の「アプリケーションの能力をモニターする能力モニター部」及び「アプリケーションの行為をモニターする行為モニター部」とは、「アプリケーションの動作をモニターするモニター部」である点で共通するといえる。
　
イ．また、引用発明１の「前記ポリシ記憶部１０４に格納されたアクセスポリシにもとづいてポリシ強制を行う」ことは、アプリケーションの悪意的行為を制御しているといえるので、引用発明１の「監査モードが設定されているときには、前記対象プログラム１０１にもとづく前記リソース１０３へのアクセスを監視し、前記ポリシ記憶部１０４に格納されたアクセスポリシにもとづいてポリシ強制を行う前記アクセス監査手段１０２」と、本願補正発明の「前記形式言語文書を使用しアプリケーションの悪意的行為を制御する制御部」とは、「アプリケーションの悪意的行為を制御する制御部」である点で共通している。
　
ウ．引用発明１の「アクセスポリシ生成システム１００を搭載したサーバ」も「アプリケーションの悪意的行為」情報、すなわち「悪性アプリケーションの行為情報」を使用しているといえる。
　また、引用発明１の「サーバ」は、上位概念では「デバイス」であるといえるから、引用発明１の「アクセスポリシ生成システム１００を搭載したサーバ」は、本願補正発明の「悪性アプリケーションの行為情報を使用するデバイス」に相当するといえる。
　
　上記ア．〜ウ．の事項を踏まえると、本願補正発明と引用発明１とは、
「アプリケーションの動作をモニターするモニター部と、
　アプリケーションの悪意的行為を制御する制御部とを含む、
　悪性アプリケーションの行為情報を使用するデバイス。」
　である点で一致し、次の点で相違する。
　
（相違点１）
　「アプリケーションの動作をモニターするモニター部」が、本願補正発明は、「アプリケーションの能力をモニターする能力モニター部」と「アプリケーションの行為をモニターする行為モニター部」から構成されているのに対して、引用発明１は、「対象プログラム１０１にもとづくリソース１０３へのアクセスの有無を監視し、リソース１０３へのアクセスが発生するたびに、アクセスの種類（アクセス名）とアクセスの対象とを含むアクセス情報をアクセス記憶部１０６に格納するアクセス監査手段１０２」である点。
　
（相違点２）
　本願補正発明においては、「前記モニターした能力と行為を形式言語文書で生成するｍＢＤＬ生成部」を備えているのに対して、引用発明１においては、「アクセスポリシ」の具体的な記述形式は明記されていない点。
　
（相違点３）
　「アプリケーションの悪意的行為を制御する制御部」が、本願補正発明においては、「前記形式言語文書を使用」して「アプリケーションの悪意的行為を制御」しているのに対して、引用発明１においては、このように構成されていない点。
　
（相違点４）
　本願補正発明においては、「前記生成された形式言語文書を相互認証された、パーシング機能を備えるか又はアンチウィルス機能を提供する他のデバイスに送信するネットワーク管理部」を備えているのに対して、引用発明１においては、このような構成を備えるとはされていない点。
　
（４）判断
　そこで、上記相違点１〜４について検討する。
　
（相違点１について）
　本願補正発明における「アプリケーションの能力をモニターする能力モニター部」のモニターする「能力」とは、本願明細書の「【００４６】能力モニター部２１０は、悪性アプリケーションの能力（ｃａｐａｂｉｌｉｔｙ、ｍａｌｃａｐ）をモニターする。いかなるファイルをアクセスするのか、またはいかなるネットワーク作業を実行するのかなどをモニターする。」との記載からすると、例えば、悪性アプリケーションが「いかなるファイルをアクセスする」ことができるか、または、「いかなるネットワーク作業を実行する」ことができるか、という「能力」であると解される。しかるに、引用発明１の「アクセス監査手段１０２」は、「対象プログラム１０１にもとづくリソース１０３へのアクセスの有無を監視し、リソース１０３へのアクセスが発生するたびに、アクセスの種類（アクセス名）とアクセスの対象とを含むアクセス情報をアクセス記憶部１０６に格納する」ものであるから、対象プログラム１０１がアクセスする「アクセスの種類（アクセス名）とアクセスの対象とを含むアクセス情報」、すなわち、いかなるファイルをアクセスするのか、ネットワーク上のいかなる作業を実行するのか等の「能力」を把握できることは明らかである。
　そして、上記引用発明２によれば、「入出力装置１と、サーバ装置２と、ルール作成装置３ｂと、記憶装置４とからなり、ＷＷＷサーバやネットワークサーバとして機能するパーソナルコンピュータによって構成される不正アクセス防止システム１００ｂにおいて、監視対象プログラム２１ａ実際に動作させて現実の動作履歴を収集し、収集したリード操作やライト操作等のイベント列を利用して監視ルールの生成を行う不正アクセス防止システム１００ｂ」、すなわち、不正動作を制御するためのルールを作成するために、イベントフローすなわち行為を監視することは公知であり、ここで、引用発明１と引用発明２とは、共に、不正動作を制御するためのルールを作成するという共通する課題を解決しようとするものであるから、引用発明１に対して引用発明２を適用することにより、引用発明１の「アクセス監査手段１０２」に、「能力モニター部」のみならず、「行為モニター部」の機能をも持たせて、本願補正発明のように構成することは、当業者が容易になし得たことである。
　よって、相違点１は格別なものではない。
　
（相違点２〜４について）
　相違点２〜４は互いに関連しているので纏めて検討すると、引用発明３によれば、「複数の異なるタイプのシステムでドキュメントのセキュリティポリシーを共有するために、セキュリティサーバ１から、セキュリティクライアント１００に送信される送信ポリシーデータをＸＭＬ形式の文書で記述するセキュリティポリシー配布方法」は公知であり、ここで、引用発明３において、「ＸＭＬ形式の文書で記述する」ためには、ＸＭＬ形式の文書生成部が備えられていることは当然のことであり、また、引用発明３において、「ＸＭＬ形式の文書で記述」された「ポリシーデータ」を分析あるいは解析するためには、引用発明３の「セキュリティサーバ１」及び「セキュリティクライアント１００」には、分析あるいは解析に必要なパーシング機能が備えられていることも自明の事項である。
　そして、引用発明３における「セキュリティサーバ１」と「セキュリティクライアント１００」とは「セキュリティポリシー情報」の送受を行なっているので、相互認証されていることは当然であると認められるから、引用発明１及び引用発明３に接した当業者が、引用発明１の「アクセス監査手段１０２」に、「能力モニター部」と「行為モニター部」の機能を持たせた際に、この「能力」と「行為」をＸＭＬ形式で記述すると共に、引用発明１の「アクセスポリシ生成システム１００を搭載したサーバ」から、このＸＭＬ形式で記述した「能力」と「行為」に関する情報をパーシング機能を備えた他のデバイスに送信するようにして、本願補正発明のように構成することは、当業者が容易になし得たことである。
　よって、相違点２〜４は格別なものではない。
　
（本願補正発明の作用効果について）
　そして、本願補正発明の構成によってもたらされる効果も、引用発明１、引用発明２、及び引用発明３から当業者が容易に予測することができる程度のものであって、格別のものとはいえない。
　
　したがって、本願補正発明は、引用発明１、引用発明２、及び引用発明３に基いて、当業者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により、特許出願の際独立して特許を受けることができないものである。
　
（５）むすび
　よって、本件手続補正は、平成１８年法律第５５号改正附則第３条第１項によりなお従前の例によるとされる同法による改正前の特許法第１７条の２第５項において準用する同法第１２６条第５項の規定に違反するので、同法第１５９条第１項において読み替えて準用する同法第５３条第１項の規定により却下されるべきものである。
　
３．補正却下の決定を踏まえた検討
（１）本願発明
　平成２３年１１月２４日付けの手続補正は、上記のとおり却下されたので、本願の請求項１に記載された発明は、平成２３年７月５日付け手続補正書の特許請求の範囲の請求項１に記載されたとおりの次のものと認める。（以下、「本願発明」という。）
「アプリケーションの能力をモニターする能力モニター部と、
　アプリケーションの行為をモニターする行為モニター部と、
　前記モニターした能力と行為を形式言語文書で生成するｍＢＤＬ生成部と
　前記形式言語文書を使用しアプリケーションの悪意的行為を制御する制御部、および、
　前記生成された形式言語文書を相互認証された他のデバイスに送信するネットワーク管理部と、
　を含む、
　悪性アプリケーションの行為情報を使用するデバイス。」
　
（２）引用例
　これに対して、原査定の拒絶の理由に引用された引用例１、２及び３とその記載事項は、上記２．（２）（２−１）（２−２）（２−３）にそれぞれ記載したとおりである。
　
（３）対比・判断
　本願発明は、上記２．で検討した本願補正発明における「パーシング機能を備えるか又はアンチウィルス機能を提供する他のデバイス」について、「パーシング機能を備えるか又はアンチウィルス機能を提供する」という技術的限定を省いたものである。
　そうすると、本願発明の構成要件を全て含み、さらに特定の限定を施したものに相当する本願補正発明が、上記２．（４）に記載したとおり、引用発明１、引用発明２、及び引用発明３に基いて、当業者が容易に発明をすることができたものであるから、上記特定の限定を省いた本願発明は、同様に、引用発明１、及び引用発明２及び引用発明３に基いて、当業者が容易に発明をすることができたものである。
　
（４）むすび
　以上のとおり、本願発明は、引用発明１、引用発明２及び引用発明３に基いて、当業者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
　したがって、本願は、他の請求項について検討するまでもなく、拒絶されるべきものである。
　よって、結論のとおり審決する。