【事件の表示】
　特願２００１−３４４６２７「リスク評価方法」拒絶査定不服審判事件〔平成１５年　５月２３日出願公開、特開２００３−１５０７４８〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
１．手続きの経緯、本願発明
　本願は、平成１３年１１月９日の出願であって、その特許請求の範囲の請求項１ないし６に係る各発明は、平成１６年２月２３日付、及び同年５月１３日付の手続補正書により補正された明細書及び図面の記載からみて、「リスク評価方法」に関するものと認める。
　
２．原査定の拒絶の理由
　平成１６年１月５日付け拒絶理由通知及び平成１６年３月１０日付け拒絶査定からみて、原査定の拒絶の理由の概要は以下のとおりである。
（１）特許法第２９条第１項柱書の規定に関する拒絶の理由（以下「拒絶理由１」という。）
「請求項１ないし６に記載されたリスク評価方法、プログラムは、処理を備えることを特定する記載がなされているものの、いずれの処理を特定する記載も、それらの処理が果たすべき業務上の機能を単に特定するに留まり、その業務上の機能を果たすために、コンピュータのハードウエア資源をどのように用いて具体的に実現された技術的手段であるのかを特定するものではない。
　すなわち、各請求項には、ソフトウエアによる情報処理がハードウエア資源を用いて具体的に実現されたコンピュータ・システムとして特定する記載はなされていない。
　してみれば、各請求項に記載された事項に基づいて把握される発明は、自然法則を利用した技術的思想の創作とは認められない。」
　
（２）特許法第３６条第４項の規定に関する拒絶の理由（以下「拒絶理由２」という。）
「発明の詳細な説明及び図面は発明の概略の記載にとどまり、具体的にどのようなハードウェア及びソフトウェアの情報処理を行っているのか不明確である。特に、発明の実施の形態には適切なプログラムを使うことしか記載しておらず、具体的にどのようなプログラムであるのか不明であり、当業者にとって容易に実施できるとはいえない。
　また、出願人が引用している特願２００１−１３２１７７号（特開２００２−５６１７６号公報）は本願出願当時公知でなく、その内容を参照して実施可能であるということはできない。
　さらに、出願人は図２が周知である旨主張しているが、図２が周知であるからといってそれを実現するためのプログラムをどのように作成するかは周知であるとは言えない。
　よって、この出願の発明の詳細な説明は、当業者が請求項１−６に係る発明を実施することができる程度に明確かつ十分に記載されていない。」
　
３．拒絶理由１についての当審の判断
　平成１６年５月１３日付け手続補正書によって補正された特許請求の範囲の請求項１に係る発明の「リスク評価方法」は、コンピュータが実行する方法であるので、請求項１に係る発明は、その実施にソフトウェアを必要とするところの、いわゆるコンピュータ・ソフトウェア関連発明である。  
　そして、こうしたコンピュータ・ソフトウェア関連発明が、特許法第２条で定義される「発明」、すなわち「自然法則を利用した技術的思想の創作」であるためには、請求項に係る発明において、ソフトウェアによる情報処理が、ハードウェア資源を用いて具体的に実現されていること、つまり、ソフトウェアとハードウェア資源とが協働した具体的手段によって、使用目的に応じた情報の演算又は加工を実現することにより、使用目的に応じた特有の情報処理装置又はその動作方法が構築されていることが必要である。 
　そこで、請求項１に係る発明を構成する後記（ア）、（イ）の各構成要件について、ソフトウェアによる情報処理がハードウェア資源を用いて具体的に実現されているといえるかどうか、つまり、ソフトウェアとハードウェア資源とが協働した具体的手段によって、使用目的に応じた情報の演算又は加工を実現することにより、使用目的に応じた特有の情報処理装置の動作方法が記載されているといえるかどうかを、以下に検討する。 
　本願の請求項１に記載された発明を分説して示すと、以下のとおりである。
【請求項１】
（ア）コンピュータが、ＡＰＩインターフェースのプログラムを実行することによって、前記コンピュータが、セキュリティポリシーと、情報システムに関する情報と、をリスク評価のためのデータ形式とセキュリティポリシー構築のためのデータ形式間の変換規則であるアプリケーションプログラミングインターフェースに基づき、リスク評価用のデータ形式であるリスク評価用データに変換する第１変換ステップと、
（イ）コンピュータが、リスク評価プログラムを実行することによって、前記コンピュータが、前記リスク評価用データに基づいてリスク評価を実行し、評価結果であるリスク評価レポートを出力するリスク評価ステップと、
　を含むことを特徴とするリスク評価方法。
　
　前記（ア）には、ハードウエア資源として「コンピュータ」が記載されているものの、「コンピュータ」に関する記載は、「ＡＰＩインターフェースのプログラムを実行することによって、セキュリティポリシーと、情報システムに関する情報と、をリスク評価のためのデータ形式とセキュリティポリシー構築のためのデータ形式間の変換規則であるアプリケーションプログラミングインターフェースに基づき、リスク評価用のデータ形式であるリスク評価用データに変換する」というコンピュータが実現しようとしている機能を抽象的に特定しているにすぎず、「セキュリティポリシーと、情報システムに関する情報とを、リスク評価用のデータ形式であるリスク評価用データに変換する」ことが、どのようなデータ形式の情報を、コンピュータが具体的にどのように情報処理を行うことにより実現されるのか具体的に提示されているとは認められない。
　
　前記（イ）には、ハードウエア資源として「コンピュータ」が記載されているものの、「コンピュータ」に関する記載は、「リスク評価プログラムを実行することによって、前記コンピュータが、前記リスク評価用データに基づいてリスク評価を実行し、評価結果であるリスク評価レポートを出力する」というコンピュータが実現しようとしている機能を抽象的に特定しているにすぎず、コンピュータが、具体的にどのような情報をどのように情報処理することによりリスク評価を実行し、リスク評価の結果を得るのか具体的に提示されているとは認められない。
　
　以上の検討を踏まえた上で、請求項１に係る発明の構成を全体として検討すると、請求項１の記載では、ハードウエア資源としての「コンピュータ」が実現しようとしている機能を抽象的に特定しているだけであって、具体的に、どのような情報をどのように情報処理して行われるのか具体的に提示されていないから、「セキュリティポリシーや現状の情報システムの構成に基づき、リスク評価を実行する」という目的を達成するための情報処理がハードウエア資源であるコンピュータをどのように用いてどのような情報の演算または加工をして実現されるのか提示するものではない。
　よって、請求項１に係る発明は、ソフトウエアとハードウエア資源とが協働した具体的手段によって、使用目的に応じた情報の演算又は加工を実現することにより、使用目的に応じた特有の情報処理装置の動作方法が記載されているとはいえない。
　
　したがって、本願の請求項１に記載された発明は、特許法第２条第１項に定義された「自然法則を利用した技術思想の創作」には該当しないから、特許法第２９条第１項柱書に規定する要件を満たしていない。
　
４．拒絶理由２についての当審の判断
（１）本願の請求項１に係る発明の特定事項である「コンピュータが、ＡＰＩインターフェースのプログラムを実行することによって、前記コンピュータが、セキュリティポリシーと、情報システムに関する情報と、をリスク評価のためのデータ形式とセキュリティポリシー構築のためのデータ形式間の変換規則であるアプリケーションプログラミングインターフェースに基づき、リスク評価用のデータ形式であるリスク評価用データに変換する第１変換ステップ」に関して、発明の詳細な説明に、
「まず、セキュリティポリシー構築プログラム８がセキュリティポリシー１０を構築する。このようなセキュリティポリシー構築プログラム８は、本願発明者が特願２００１−１３２１７７号において説明したプログラムを利用することが好ましい。このセキュリティポリシー構築プログラム８は、セキュリティポリシー１０だけでなく、セキュリティポリシー構築に利用した現状システム１２と情報資産１３も出力する。情報資産１３は、情報システムの構成を表す情報である。この情報は、情報システムの主にホストやクライアントに関する情報であるシステム情報や、ネットワークの構成情報であるネットワーク情報、人材、施設・設備を含む情報である。現状システム１２は、団体の概要、組織等を表す情報である。この情報はセキュリティポリシー実施・保守に関する組織体制に関する情報を含む情報である。」（段落【００４１】ないし段落【００４４】）とあり、
また、「現状システム１２や、情報資産１３は、請求項の情報システムに関する情報の一例に相当する。これらのセキュリティポリシー８や、現状システム１２、情報資産１３は、セキュリティポリシー構築プログラムが規定するデータ形式（セキュリティポリシー構築用のデータ形式）となっている。本実施の形態では、セキュリティポリシー１０は、セキュリティポリシー構築プログラム８で構築したが、手作業によって構築されたセキュリティポリシーでもかまわない。外部ＡＰＩインターフェース１４は、セキュリティポリシー１０と、現状システム１２と情報資産１３を所定のＡＰＩ（アプリケーション・プログラミング・インターフェース）の仕様に基づき、リスク評価用のデータ形式に変換するプログラムである。ここで、所定のＡＰＩ（アプリケーション・プログラミング・インターフェース）とは、リスク評価のためのデータ形式、及び、セキュリティポリシー構築のためのデータ形式、及び、これらの形式間の変換規則、を含む規約である。すなわち、本実施の形態において、「所定のＡＰＩの仕様に基づきリスク評価用のデータ形式に変換する」とは、上記ＡＰＩが規定するセキュリティポリシー構築用のデータ形式から、リスク評価用のデータ形式に変換することである。この変換後のデータは、図１中のリスク評価用データ１６である。本実施の形態においては、リスク評価を自動的に実行させるために、リスク評価を実行するプログラムであるリスク評価プログラム２０を利用している。そして、本実施の形態において特徴的な事項は、このリスク評価プログラム２０が理解できるようなデータ形式がＡＰＩ（アプリケーションプログラミングインターフェース）として定義されていることである。このようなＡＰＩを定義することによって、セキュリティポリシー１０、現状システム１２及び情報資産１３を、このＡＰＩに即して変換し、変換後のセキュリティポリシー１０等をリスク評価プログラム２０に供給することができる。」（段落【００４５】ないし段落【００５０】）とあるが、セキュリティーポリシー、現状システム、情報資産が、それぞれ具体的にどのようなデータ形式のどのような情報であるのか不明であり、また、それらの情報が具体的にどのように処理されて、どのようなデータ形式のリスク評価用のデータ形式に変換されるのか具体的な情報処理等が不明であり、そうすると、発明の詳細な説明は、請求項１に係る発明の上記特定事項について、当業者がその実施をすることができる程度に明確かつ十分に記載されているとは認められない。
　
（２）本願の請求項１に係る発明の特定事項である「コンピュータが、リスク評価プログラムを実行することによって、前記コンピュータが、前記リスク評価用データに基づいてリスク評価を実行し、評価結果であるリスク評価レポートを出力するリスク評価ステップ」に関して、発明の詳細な説明に、
「リスク評価プログラム２０は、セキュリティポリシー１０や、現状システム１２及び情報資産１３に基づきリスク評価を実行する。本実施の形態では、このリスク評価プログラム２０が上述したＢＳ７７９９におけるリスク評価を実行するためのプログラムである場合を例にして説明する。このリスク評価プログラム２０は、上述したリスク評価を実行する。そして、評価結果であるリスク評価レポート２２を出力する。さらに、このリスク評価においては、リスク評価の結果に基づき、適宜、管理策（Controls）が選択される。これは図２で説明したとおりである。選択の結果によって、現状システム１２やセキュリティポリシー１０にも変更が加えられる。変更が加えられたこれらデータが、管理策データ２４として図１に示されている。」（段落【００５１】ないし段落【００５３】）とあるが、リスク評価用データが具体的にどのような内容のデータであるのか不明であり、また、リスク評価についても、単にその処理の概要が記載されているだけであって、リスク評価用データを具体的にどのように情報処理することによりリスク評価を実行するのか不明であり、さらに、その評価結果として、具体的にどのような内容のデータをリスク評価レポートとして出力するのか不明であり、そうすると、発明の詳細な説明は、請求項１に係る発明の上記特定事項について、当業者がその実施をすることができる程度に明確かつ十分に記載されているとは認められない。
　
（３）よって、本願の発明の詳細な説明は、当業者が請求項１に係る発明を実施することができる程度に明確かつ十分に記載されているとは認められない。
　
５．むすび
　以上のとおり、本願の請求項１に記載された発明は、特許法第２９条第１項柱書に規定する要件を満たしておらず、特許を受けることができない。
　また、本願は、特許法第３６条第４項に規定する要件を満たしていないから、特許を受けることができない。
　よって、結論のとおり審決する。