【事件の表示】
　特願２００８−１１５１７８「異なる複数のログ情報から抽出されたイベントデータの表示方法」拒絶査定不服審判事件〔平成２１年１１月１２日出願公開、特開２００９−２６５９６５、請求項の数（２）〕について、次のとおり審決する。
【結　論】
　原査定を取り消す。
　本願の発明は、特許すべきものとする。
【理　由】
第１　手続の経緯　
　
　本件審判請求に係る出願（以下，「本願」という。）は，
平成２０年４月２５日を出願日とする出願であって，
平成２３年４月１日付けで審査請求がなされた後に，
平成２４年４月１１日付けで手続補正書が提出され，
平成２４年８月９日付けで拒絶理由通知（同年８月２１日発送）がなされ，
平成２５年２月１４日付けで拒絶査定（同年２月２６日謄本送達）がなされたものである。
　なお，平成２４年９月７日には，刊行物等提出書（同年９月１０日受付）が提出されている。
　
　これに対して，「原査定を取り消す，本願は特許をすべきものであるとの審決を求める」ことを請求の趣旨として，平成２５年５月２４日付けで本件審判請求がなされ，同日付けで手続補正書が提出され，
平成２５年７月８日付けで審査官により特許法第１６４条第３項に定める報告（前置報告）がなされ，同年１１月５日付けで当審により特許法第１３４条第４項の規定に基づく審尋（同年１１月１２日発送）がなされ，
平成２５年１２月１６日付けで回答書の提出がなされた。
　
　
第２　平成２５年５月２４日付けの手続補正（以下，「本件補正」という。）の適否
　
１．補正の内容
　
　本件補正は，特許請求の範囲の請求項１に，
「
前記変換するステップは，前記複数の異なるログ情報のうちの最初のログ情報について，各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて前記表示装置の表示画面上に表示するための表示データに変換し，複数の異なるログ情報にイベントが同時に発生している場合，それらのイベントを対応するイベント発生時刻に対して横に並べて表示するようにし，前記最初のログ情報についての表示データの変換処理が終了した後，次のログ情報を取り出し，これら２つのログ情報について，各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて，前記表示装置の表示画面上に表示する前記表示形式の表示データに変換し，
との事項を追加する補正（以下，「補正事項１」という。）
及び
「
前記ログ情報の全てのイベントデータについて前記表示形式への変換の処理が終了することにより，前記表示データを前記一時記憶手段に格納し，
　前記抽出された複数のイベントデータ
について，前記一時記憶手段に格納された
前記表示形式で
との事項を追加する補正（以下，「補正事項２」という。）
とを含んでいる。
　
　
２．補正の適否
　
　本件補正の補正事項１は，請求項１に記載した発明を特定するために必要な事項である「変換するステップ」について，補正前の請求項３〜５に記載された「前記複数の異なるログ情報のうちの最初のログ情報について，各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて前記表示装置の表示画面上に表示するための表示データに変換し（以上，補正前の請求項４の発明特定事項），複数の異なるログ情報にイベントが同時に発生している場合，それらのイベントを対応するイベント発生時刻に対して横に並べて表示するようにし（以上，補正前の請求項３の発明特定事項），前記最初のログ情報についての表示データの変換処理が終了した後，次のログ情報を取り出し，これら２つのログ情報について，各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて，前記表示装置の表示画面上に表示する前記表示形式の表示データに変換し（以上，補正前の請求項５の発明特定事項）」との限定を付加するものである。
　本件補正の補正事項２は，請求項１に記載した発明を特定するために必要な事項である「変換するステップ」で変換処理をした後に，「前記ログ情報の全てのイベントデータについて前記表示形式への変換の処理が終了することにより，前記表示データを前記一時記憶手段に格納し，前記抽出された複数のイベントデータについて，前記一時記憶手段に格納された前記表示データに基づいて前記表示形式で前記表示装置に表示するようにした」との限定を付加するものである。
　ここで，補正前の請求項５に記載された発明と補正後の請求項１に記載された発明の産業上の利用分野及び解決しようとする課題が同一であるから，本件補正は特許法第１７条の２第５項第２号の特許請求の範囲の減縮を目的とするものに該当する。
　また，本件補正に特許法第１７条の２第３項，第４項の規定に違反するところはない。
　そこで，本件補正後の前記請求項１に記載された発明（以下，「補正発明」という。）が特許法第１７条の２第６項において準用する同法第１２６条第７項の規定に適合するか（特許出願の際独立して特許を受けることができるものであるか）について以下に検討する。
　
（１）引用文献及び先行技術文献の記載事項
　
（１−１）引用文献１の記載事項及び引用発明
　
　本願の出願前に頒布又は電気通信回線を通じて公衆に利用可能となり，原審の拒絶の査定の理由である上記平成２４年８月９日付けの拒絶理由通知において引用された文献である，特開２００６−３０２１７０号公報（平成１８年１１月２日出願公開。以下，「引用文献１」という。）には，関連する図面とともに，以下の技術的事項が記載されている。
　（当審注：下線は，参考のために当審で付与したものである。）
　
Ａ．「【技術分野】
【０００１】
　本発明は，ログ管理方法および装置に係り，特に多数の計算機の構成要素（ソフトウェア，ハードウェアを含む）の出力するログから特定の利用者や利用者行為に関係するログを正しく抽出することが可能なログ検索方法およびログ管理装置，ログ管理を行うシステムに関する。」
　
Ｂ．「【発明を実施するための最良の形態】
【００１６】
　以下，図面を参照して本発明の実施形態について説明する。
図１は，一実施例に係る
ログ管理システム
計算機１０１は，サービス計算機やネットワーク計算機など，ユーザに対してネットワークサービスを提供するための複数の計算機であり，ログ管理装置１０２がログ検索の対象とする計算機構成要素（ソフトウェアやハードウェア等）により構成された管理対象計算機である。
【００１７】
　更に，
設定対象計算機のログを統合して管理するログ管理装置１０２と，管理作業を行う管理者１０４が使用する管理者用計算機１０３を有し，これらは，管理対象計算機１０１と同様にネットワーク１０５に接続している。例えば，ログ管理装置１０２はサーバであり，管理者用計算機１０３はＰＣ又は端末装置である。
管理者１０４は，管理者用計算機１０４を使用して，ネットワーク１０６を介してログ管理装置１０２にアクセスすることで，ログの検索を行う。
【００１８】
　図２は，計算機とソフトウェアプログラムの構成を示す。
図２において，管理対象計算機１０１では，エージェントプログラム２０１が実行される。ログ管理装置１０２では，マネージャプログラム２０２が実行され，管理者用計算機１０３では，ユーザインターフェースプログラムであるＷｅｂブラウザ１０３が実行される。
【００１９】
　
エージェントプログラム２０１は，マネージャプログラム２０２の指示に従い，管理対象計算機１０１のデータ収集と設定変更を行う。マネージャプログラム２０２は，収集したログデータを管理すると共に，Ｗｅｂユーザインターフェースによってログ検索機能を管理者１０４に提供する。
【００２０】
　図３は，管理対象計算機１０１の内部構成を示す。
管理対象計算機１０１は，メモリ３０１と，固定ディスク３０２と，バス３０３と，プロセッサ３０４と，Ｉ／Ｏハードウェア３０５と，通信ハードウェア３０６とを有して構成される。
プロセッサ３０４は，プログラムを実行して種々のデータ処理を行う。固定ディスク３０２はＨＤＤ（ハードディスクドライブ）のような記憶装置であり，プログラムやデータを格納する。メモリ３０１は，実行するプログラムを格納したり，処理用のデータを一時的に格納する。Ｉ／Ｏハードウェア３０５はモニタへの出力やキーボードからの入力を制御する装置である。通信ハードウェア３０６は，他の計算機との間のネットワーク回線を制御する装置である。
【００２１】
　固定ディスク３０２には，本実施例によるログ検索を実現するためのプログラム及び各種処理データが格納される。プログラムとしては，ＯＳ（オペレーティングシステム）プログラム３０２１，エージェントプログラム２０１（図５に詳述），管理対象計算機１０１で動作する管理対象プログラム３０２２を格納する。管理対象プログラム３０２２で管理対象とするものとしては，ソフトウェア及びハードウェアを問わないログを出力する計算機構の構成要素全てを対象とすることができる。例えば，オペレーティングシステムプログラム，メールサービスプログラム，Ｗｅｂサービスプログラム，認証サービスプログラム，ファイル共有プログラム，プロキシサービスプログラム，ファイアウォールプログラム，通信制御プログラム，アプリケーションプログラム，ルータハードウェア，通信スイッチハードウェア等を管理対象の構成要素として含む。
【００２２】
　
固定ディスク３０２に格納されるデータとしては，
管理対象プログラムが出力する管理対象プログラムログデータ３０２５を格納する。
【００２３】
　メモリ３０１には，固定ディスク３０２内のＯＳプログラム３０２１が，ＯＳプログラム用領域３０１１にロードされ，実行される。ＯＳプログラム３０１１は，Ｉ／Ｏハードウェア３０５や通信ハードウェア３０６の制御，固定ディスク３０２からのデータのロードなどを行う。また，ＯＳプログラム３０１１は，固定ディスク５０２からエージェントプログラム２０１をメモリ領域３０１２にロードし，実行する。
【００２４】
　図４は，ログ管理装置１０２の内部構成を示す。
ログ管理装置１０２は，管理対象計算機１０１と実質的に同様の構成を成し，メモリ４０１と，固定ディスク４０２と，バス４０３と，プロセッサ４０４と，Ｉ／Ｏハードウェア４０５と，通信ハードウェア４０６とを有して構成される。
【００２５】
　
固定ディスク４０２には，
各種データが格納される。
プログラムとしては，ＯＳプログラム４０２１，Ｗｅｂサーバプログラム４０２２，マネージャプログラム２０２（図６に詳述）を格納する。また，
データとしては，
管理対象計算機から収集したログデータを保存する前管理対象プログラムログデータ４０２７を格納する。
【００２６】
　メモリ４０１には，固定ディスク４０２内のＯＳプログラム４０２１が，ＯＳプログラム用領域４０１１にロードされ，実行される。ＯＳプログラム４０１１は，Ｉ／Ｏハードウェア４０５や通信ハードウェア４０６の制御，固定ディスク４０２からのデータのロードなどを行う。また，ＯＳプログラム４０１１は，固定ディスク４０２から，マネージャプログラム２０２をメモリ領域４０１３にロードし，実行する。また，ＯＳプログラム４０１１は，固定ディスク４０２から，Ｗｅｂサーバプログラム４０２１をメモリ領域４０１３にロードし，実行する。
【００２７】
　
マネージャプログラム４０１３は，管理者に対してログ検索を行うためのユーザインターフェースを作成し，Ｗｅｂサーバプログラム４０１２，Ｗｅｂブラウザ２０３を経由して，管理者へ提供する。
　
Ｃ．「【００４２】
　また，
管理対象プログラム３０１３は，自身の動作履歴（例えばユーザログイン，通信許可，データ転送など）を，ログとして適宜管理対象プログラムログデータ３０２５の領域に出力する。
ユーザアカウント一覧データ３０２３が変更されたらその変更履歴をユーザアカウント変更ログデータ３０２４の領域に出力する。
【００４３】
　さらに，
ログ管理装置１０２は，定期的に管理対象プログラム３０１３が出力したログデータ３０２５の内容を収集し，全管理対象プログラムログデータ４０２７に格納する。
エージェントプログラム２０１は，管理対象定義データ４０２３の内容をログ設定定義ファイルに記載された内容をマネージャプログラム２０２に転送する。マネージャプログラム２０２は，転送されたログデータを全管理対象プログラムログデータ４０２７に格納する。
　
Ｄ．「【００４５】
　さて次に，上記の通りログ収集したログ管理装置１０２を使って，管理者１０４がログ検索を行う際の動作について説明する。説明上ここでは，社員番号４３５１，検索対象期間２００４年１２月１日〜１５日，検索対象行為全てで検索する際の動作を説明する。
まず，管理者は，
管理者用計算機１０３のＷｅｂブラウザ２０３を使用して，ログ管理装置１０２が提供するログ検索画面にアクセスする。
【００４６】
　図１９は，ログ管理装置１０２のマネージャプログラム２０２のユーザインターフェース部６０４が提供する検索タップ画面の構成を示す。
管理者は，この画面を使用してログ検索を行う。検索トップ画面１９０１は，タイトル表示エリア１９０２，検索対象入力エリア１９０３，検索対象入力後に検索実行を開始させる検索実行ボタン１９０４から構成される。検索対象入力エリア１９０３には，検索対象利用者を入力するための入力エリア，検索対象期間を入力するためのエリア，検索対象行為を選択するための入力エリアが表示される。検索対象利用者としては，社員番号を入力する。複数指定可とする。入力が空白の場合には，全利用者が検索対象となる。
検索対象期間は，年月日時刻で指定した期間で入力する。
管理者は，
検索したい内容について各入力エリアに入力する。その後，検索実行ボタン１９０４を押すと，検索結果画面に切り替わる。
【００４７】
　図２０は，検索結果を表示するための検索結果画面の構成を示す。
検索結果画面２００１は，タイトル表示エリア２００２，検索結果表示エリア２００３，再検索を行うために検索トップ画面１９０１に戻るための，戻るボタン２００４から構成される。
検索結果表示エリア２００３には，検索トップ画面１９０１で入力した検索対象の情報と，検索の結果得られたログが時系列で表示される。表示されるログの内容は，管理対象プログラム名，時刻，ログの内容である。
【００４８】
　以上，
図１９〜図２０を参照して説明したものが，管理者によるログ検索手順とユーザインターフェースの構成
【００４９】
　図２２は，ログ検索を行う際のマネージャプログラム２０２の動作フローである。
まず，
管理者からのアクセスに応じて，検索トップ画面を表示し（Ｓ２２０２），管理者からの検索要求を受け付ける（Ｓ２２０３）。
次に，
ログ検索を実行すると，管理対象一覧データ４０２３を読み込む（Ｓ２２０４）。
【００５０】
　まず，検索対象期間として指定された時期に有効だった管理対象プログラムのユーザアカウント一覧を復元する（Ｓ２２０５）。ステップＳ２２０５の処理を行うマネージャプログラム２０２の動作フローの詳細を，図２３に示す。
図２３において，エージェントプログラム２０１経由で管理対象プログラムのユーザアカウント一覧データ３０２３及びユーザアカウント変更ログデータ３０２４を取得する（Ｓ２３０２）。そして，ユーザアカウント変更ログデータ３０２４の内容を新しいものから順にユーザアカウント一覧データ３０２３に逆適用し，検索指定期間内で検索指定利用者(社員番号)に対して有効だったアカウント一覧を復元する（Ｓ２３０３）。
【００５１】
　図１３において示した管理対象プログラムＡのユーザアカウント一覧データ３０２３に対して，図１５で示した管理対象プログラムＡのユーザアカウント変更ログデータ３０２４を適用した結果得られる復元後の管理対象プログラムＡのユーザアカウント一覧データを，図１７に示す。また，図１４において示した管理対象プログラムＢのユーザアカウント一覧データ３０２３に対して，図１６で示した管理対象プログラムＢのユーザアカウント変更ログデータ３０２４を適用した結果得られる復元後の管理対象プログラムＢのユーザアカウント一覧データを，図１８に示す。
【００５２】
　それから，
復元したアカウント一覧から検索対象利用者（社員番号）が同じアカウント名（複数可）を抽出し，解析定義データ４０２４の内容に従いログ解析を行い，抽出したアカウント名が記載されているログをログデータから全て抽出する（Ｓ２２０６）。
【００５３】
　さらに，
Ｓ２２０６で抽出したログデータに対して解析定義データ４０２４の内容に従いログ解析を行い，ログデータから利用者使用物特定情報（ＩＰアドレスなど。複数可）を抽出する。その後，記載されている管理対象プログラムそれぞれに対して，Ｓ２２０７で抽出された利用者使用物特定情報を含むログを，再度全管理プログラムのログデータから抽出する（Ｓ２２０９）。
【００５４】
　次に，検索指定行為として指定された行為（複数指定可）に当てはまる管理対象プログラムを行為定義データ４０２５から求める（Ｓ２２１１）。そして，
Ｓ２２０６及びＳ２２０９で抽出したログデータから，Ｓ２２１１で求められた管理対象プログラム（複数指定可）以外の管理対象プログラムが出力したログを削除する（Ｓ２２１２）。
最後に，
Ｓ２２１２で残ったログデータを時刻でソートし，検索結果画面２００１を表示する。
【００５５】
　
図２４〜図２７は，検索元の管理対象プログラムのログデータと検索結果ログデータの例示である。
図２４は，管理対象プログラムＡのログデータであり，管理対象一覧データ４０２３の管理対象ＩＤ００１の示す通り，プログラム種別・バージョンはAuth Server V2.0であり，ログ解析には，図８に示したログ解析データを使用する。
【００５６】
　図２５は，管理対象プログラムＢのログデータであり，管理対象一覧データ４０２３の管理対象ＩＤ００２の示す通り，プログラム種別・バージョンはWeb Proxy V1.1であり，ログ解析には，図９に示したログ解析データを使用する。
図２６は，管理対象プログラムＣのログデータであり，管理対象一覧データ４０２３の管理対象ＩＤ００３の示す通り，プログラム種別・バージョンはWeb Server V1.0であり，ログ解析には，図１０に示したログ解析データを使用する。
【００５７】
　図２４〜図２６に示す検索元ログデータに対して，図１７〜図１８に示した復元後のユーザアカウント一覧データを適用してログ抽出を行う。その後，管理対象プログラムＡのログデータの一つ『20041201103930 suzuki login-succeed from 192.168.20.10』に含まれるＩＰアドレス『192.168.20.10』をログ解析データの内容に従い抽出する。
【００５８】
　さらに，図２４〜図２６に示した検索元ログデータに対して，ＩＰアドレスが『192.168.20.10』のものを抽出し，最終的に抽出したログ検索結果（検索対象行為は『（全て）』であるので行為に関する限定は行われない）を示したものが，図２７である。」
　
（ア）上記Ｂの「ログ管理システム」，「ログ管理装置１０２はサーバであり，管理者用計算機１０３はＰＣ又は端末装置である。」及び「設定対象計算機のログを統合して管理するログ管理装置１０２と，管理作業を行う管理者１０４が使用する管理者用計算機１０３を有し，これらは，管理対象計算機１０１と同様にネットワーク１０５に接続している。」との記載等から，「管理対象計算機，ログ管理装置，及び管理者用計算機を有するログ管理システム」が読み取れる。
　上記Ｃの「ログ管理装置１０２は，定期的に管理対象プログラム３０１３が出力したログデータ３０２５の内容を収集し，全管理対象プログラムログデータ４０２７に格納する。」との記載，上記Ｂの「ログ管理装置１０２は，管理対象計算機１０１と実質的に同様の構成を成し，メモリ４０１と，固定ディスク４０２と，バス４０３と，プロセッサ４０４と，Ｉ／Ｏハードウェア４０５と，通信ハードウェア４０６とを有して構成される。」，「固定ディスク４０２には，（中略）各種データが格納される。」及び「データとしては，（中略）管理対象計算機から収集したログデータを保存する前管理対象プログラムログデータ４０２７を格納する。」との記載等から，「ログ管理装置は，メモリ及び固定ディスクを備え，固定ディスクに管理対象計算機の管理対象プログラムが出力したログデータの内容を収集し，全管理対象プログラムログデータに格納する」旨が読み取れる。
　さらに，上記Ｃから，「管理対象プログラムは，自身の動作履歴（例えばユーザログイン，通信許可，データ転送など）を，ログとして適宜管理対象プログラムログデータの領域に出力」することが読み取れる。
　
（イ）上記Ｄの「管理者用計算機１０３のＷｅｂブラウザ２０３を使用して，ログ管理装置１０２が提供するログ検索画面にアクセスする。」，「管理者は，この画面を使用してログ検索を行う。」，「検索したい内容について各入力エリアに入力する。その後，検索実行ボタン１９０４を押すと，検索結果画面に切り替わる。」及び「管理者からのアクセスに応じて，検索トップ画面を表示し（Ｓ２２０２），管理者からの検索要求を受け付ける」という記載等から，「管理者用計算機の画面に，ログ検索の結果を表示する」ことが読み取れる。
　また，上記Ｄの「検索結果表示エリア２００３には，検索トップ画面１９０１で入力した検索対象の情報と，検索の結果得られたログが時系列で表示される。表示されるログの内容は，管理対象プログラム名，時刻，ログの内容である。」及び「ログデータを時刻でソートし，検索結果画面２００１を表示する」との記載等から，「ログデータに時刻のデータが含まれる」ことが読み取れる。
　
（ウ）上記Ｄの「図２２は，ログ検索を行う際のマネージャプログラム２０２の動作フローである。」，「ログ検索を実行すると，管理対象一覧データ４０２３を読み込む」，「復元したアカウント一覧から検索対象利用者（社員番号）が同じアカウント名（複数可）を抽出し，解析定義データ４０２４の内容に従いログ解析を行い，抽出したアカウント名が記載されているログをログデータから全て抽出する（Ｓ２２０６）。」，「Ｓ２２０６で抽出したログデータに対して解析定義データ４０２４の内容に従いログ解析を行い，ログデータから利用者使用物特定情報（ＩＰアドレスなど。複数可）を抽出する。その後，記載されている管理対象プログラムそれぞれに対して，Ｓ２２０７で抽出された利用者使用物特定情報を含むログを，再度全管理プログラムのログデータから抽出する（Ｓ２２０９）。」，「Ｓ２２０６及びＳ２２０９で抽出したログデータから，Ｓ２２１１で求められた管理対象プログラム（複数指定可）以外の管理対象プログラムが出力したログを削除する（Ｓ２２１２）。」及び「Ｓ２２１２で残ったログデータを時刻でソートし，検索結果画面２００１を表示する。」という記載等から，「ログ管理装置のマネージャプログラムは，管理対象一覧データを読み込み，検索対象利用者（社員番号）が同じアカウント名を抽出して，抽出したアカウント名が記載されているログをログデータから全て抽出し，その後，利用者使用物特定情報を含むログを，全管理プログラムのログデータから抽出して，不要なログデータは削除した上で，時刻でソートして検索結果画面に表示する」旨が読み取れる。
　
（エ）さらに，上記Ｄの「表示されるログの内容は，管理対象プログラム名，時刻，ログの内容である」及び「図２４〜図２７は，検索元の管理対象プログラムのログデータと検索結果ログデータの例示である。」という記載等から，「管理対象プログラム名，時刻，ログの内容等を，ログデータとして各行毎に一覧表示して」いることが読み取れる。
　
（オ）そうすると，引用文献１には，以下の発明（以下，「引用発明」という。）が記載されている。
　
「管理対象計算機，ログ管理装置，及び管理者用計算機を有するログ管理システムにおいて用いられるログ管理方法であって，
　前記ログ管理装置は，メモリ及び固定ディスクを備え，該固定ディスクに前記管理対象計算機の管理対象プログラムが出力したログデータの内容を収集し，全管理対象プログラムログデータに格納するものであり，         　
　前記管理対象プログラムは，自身の動作履歴（例えばユーザログイン，通信許可，データ転送など）を，ログとして適宜前記管理対象プログラムログデータの領域に出力し，前記管理者用計算機の画面に，時刻データを含むログ検索の結果を表示するものであり，
　前記ログ管理装置のマネージャプログラムは，管理対象一覧データを読み込み，検索対象利用者（社員番号）が同じアカウント名を抽出して，抽出したアカウント名が記載されているログをログデータから全て抽出し，その後，利用者使用物特定情報を含むログを，全管理プログラムのログデータから抽出して，不要なログデータは削除した上で，管理対象プログラム名，時刻，ログの内容等を，ログデータとして各行毎に一覧表示して，時刻でソートして検索結果画面に表示するようにした
　ことを特徴とするログ管理方法。」
　
　
（１−２）引用文献２の記載事項
　
　本願の出願前に頒布又は電気通信回線を通じて公衆に利用可能となり，上記平成２５年１１月５日付けの審尋で援用した上記平成２５年７月８日付けの前置報告書において引用された文献である，国際公開第０１／２０４５６号（２００１年３月２２日公開。以下，「引用文献２」という。）には，関連する図面とともに，以下の技術的事項が記載されている。
　（当審注：下線は，参考のために当審で付与したものである。）
　
Ｅ．「技術分野
　本発明は，複数のオペレーティングシステムの情報を管理するシステムに関する。特に，複数のオペレーティングシステム（以下ＯＳと略す） のトレースログ情報を管理し編集・表示を行うシステムに関する。」（明細書第１頁第３行目〜第６行目）
　
Ｆ．「制御プログラム２０１は，複数ＯＳの動作状態を管理するものであり，本実施例ではＯＳ１とＯＳ２の２つのＯＳを交互に切り替えて各々時分割で動作させているものとする。
ＯＳ１は，ＯＳ１が管理している時刻情報３１２を持ち，更にこの時刻管理３１２に基づいたＯＳ１の動作履歴を表す動作トレース情報３１１を持つ。同様にＯＳ２もＯＳ２の時刻情報３２２と動作トレ一ス情報３２１とを持つ。
　制御プログラム２０１は，ＯＳ１の動作卜レース情報３１１とＯＳ２の動作トレース情報３２１にチェックポイントトレースを各ＯＳに格納させる（８０１，８０２）。このチェックポイントトレ一スとしては，ＯＳ間の同時刻の基準に用いるため，ＯＳ１とＯＳ２で共通して発生する動作情報である各ＯＳ間で互いに関係付けられるィベン卜のトレースを用いる。従って，記録されたチェックポイント卜レースは，各ＯＳ間で少なくとも対応関係が確定できれば良く，各ＯＳが全く同じイベントをログに残しているとは限らない。トレ一スログ編集・表示プログラム４０１は，ＯＳ１で記録された動作トレース情報３１１とＯＳ２で記録された動作トレース情報３２１を読み出す（８０３，８０４）。トレースログ編集・表示プログラム４０１は，２つの動作トレース情報３１１，３２１からチェックポイントトレースをサーチし，チェックポイントトレースが見つかった場合は，各ＯＳの動作トレース情報間で対応関係を求める。そして，それぞれ対応するチェックポイントトレースが，
ＯＳによって記録された時刻が異なる場合でも，実際には同時に発生したとして２つの動作トレース情報内のトレースを編集し（８０５），その結果をディスプレイ装置１０２に表示する（８０６）。
　第２図は，本発明を用いたトレースログ編集・表示システムを実現するための，計算機システムのハードウェア構成を示した図である。計算機１０１では，演算装置１０４がアドレス変換装置１０７を経由してシステムバス１１０に接続されている。システムバス１０１には，主記憶装置１０３，割込装置１０８，タイマ１０９, ビデオアダプタ１１１が接続され，ビデオアダプタはディスプレイ装置１０２が接続されている主記憶装置１０３は，各ＯＳで共有され，複数のＯＳが共通に使用する共通領域１０３−１と，ＯＳ１のための領域１０３−２，およびＯＳ２のための領域１０３−３の３つに大きく分割されている。共通領域１０３−１には制御プログラム２０１が格納されている。ＯＳ１用の領域１０３−２は，ＯＳ１が動作するために用いる記憶領域で，ＯＳ１のプログラム３１０自身と，ＯＳ１が管理している時刻情報であるＯＳ１管理時刻３１２，及びＯＳ１の動作トレース情報３１１が格納されている。同様にしてＯＳ２用の領域１０３−３には，ＯＳ２のプログラム３２０，ＯＳ２管理時刻３２２，及びＯＳ２の動作トレース情報３２１が格納されている。主記憶上に設けられた各領域のアドレスを記憶するために，２つのアドレスレジスタ（１０５，１０６）を備えている。アドレスレジスタ１０５は，共通領域１０３−１を指し示すためのものであり，アドレスレジスタ１０６は現在制御プログラム２０１によって選択され，動作中のＯＳの領域を指し示すためのものである。第２図では，アドレスレジスタ１０６がＯＳ１用の領域１０３−２を指している。これは制御プログラム２０１によって，現在ＯＳ１が動作中であることを意味している。
　第３図は，本発明を用いたトレースログ編集・表示システムの動作を概略フローで示したものである。チェックポイントトレ一スを，予めＯＳ１の動作トレース情報及びＯＳ２の動作トレース情報に格納させておく（８０１，８０２）。ＯＳ１とＯＳ２の動作トレース情報をトレース発生順に表示するために，トレースログ編集・表示プログラムがＯＳ１の動作トレース情報とＯＳ２の動作トレース情報を読み出す（８０３，８０４）。ＯＳ１の動作トレース情報とＯＳ２の動作トレース情報をサーチし，各動作トレース情報に含まれるトレースから両ＯＳで同時に発生したとみなすことができるチェックポイントトレースを求める。
このトレース情報を，両ＯＳで同一時刻の基準とし，ＯＳ１とＯＳ２のトレース情報をトレース発生順にマージ編集する（８０５）。マージ編集したＯＳ１とＯＳ２のトレース情報をディスプレイ装置などに表示する(８０６）。
　次に，チェックポイントトレースとして制御プログラム２０１によるＯＳ切り替えのトレースを用いた場合の例を，第４図，第５図を用いて詳細に説明する。第４図は，一連の発生したトレースのモデルケースを示している。本図は上から下へ時間軸をとっている。左側にＯＳ１が実際に動作した状況を，右側にＯＳ２の状況を記述している。」（明細書第４頁第６行目〜第６頁第２４行目）
　
Ｇ．「まずＯＳ１の管理時刻１０時００分００秒にＡ１（５０１−１）が発生しトレースが採られた。さらに，１０時００分０１秒にＡ２（５０１−２），１０時００分０３秒にＡ３（５０１−３）のトレースが採られた。
その後，ＯＳ１の管理時刻１０時００分０５秒に制御プログラム２０１からの指令に基づきＯＳ切り替え（５０３−１）が発生し，ＯＳ１のトレースにＳＷ１（５０１−４）が採られ，動作するＯＳがＯＳ２に切り替わった。その時点でＯＳ２の管理時刻は１０時００分３５秒であった。これはＯＳ１の管理時刻と ＯＳ２の管理時刻が３０秒ずれていたことを意味する。
　ＯＳ１とＯＳ２の動作トレース情報（３１１，３２１）には，トレース結果がＯＳによる管理時刻順に格納されている。ここで，各トレースにはトレース名称が対応付けられて格納されるものとする。なお，トレース名称は，ＯＳまたは制御プログラム２０１により管理されるトレースコードであっても良い。従って，ＯＳ１のトレースとしてＡ１〜Ａ４，ＳＷ１〜ＳＷ３（５０１−５〜５０１−７）がＯＳ１内で発生した順にＯＳ１の管理時刻とともに格納されている。ＯＳ２の動作トレース情報３２１にも同様に，Ｂ１〜Ｂ４，ＳＷ１〜ＳＷ３(５０２−１〜５０２−７）がＯＳ２内で発生した順にＯＳ２の管理時刻とともに格納されている。
　トレースログ編集・表示プログラムでは，ＯＳ１，ＯＳ２の動作トレース情報（３１１，３２１）からチェックポイントトレースとして用いるＳＷｚ（ｚ＝１〜３）をサーチする。そして，ＳＷｚとＳＷｚ＋１の間に少なくとも１つのトレースがある場合には，ＳＷｚとＳＷｚ＋１が記録された間の時間は，その動作トレース情報を持つＯＳが動作していたと判断する。ＳＷｚとＳＷｚ＋１の間に１つもトレースが存在しない場合には，他のＯＳが動作していたか，または自ＯＳが動作していたがトレースが１つも記録されなかったと判断する。本実施例では，ＳＷ１とＳＷ２の間はＯＳ２の動作トレース情報にＢ１，Ｂ２のトレースが存在するためＯＳ２が動作していたことになる。ＳＷ２とＳＷ３の間はＡ４のトレースが存在するためＯＳ１が動作していたことになる。ＯＳ切り替えはＯＳ１とＯＳ２が順番に切り替わることを考慮すると，ＳＷ１以前はＯＳ１が，ＳＷ３以降はＯＳ２が動作していたことになる。
　なおチェックポイントトレースの対応をとる場合，チェックポイントトレースは両ＯＳに共通して生じるため，各ＯＳが管理する時刻の値にかかわらず，同じ時間間隔の動作トレース情報の中には，どちらのＯＳでも同じ数のチェックポイントトレースが含まれることになる。そこで各動作トレース情報に格納されているイベント名称またはコードの一致を見るとともに，チェックボイントとなる共通イベントのトレースを動作トレース情報の先頭から順に追うことによって，一致を図ることができる。
　
第５図は，第４図に示されたＯＳ１の動作トレ一ス情報３１１とＯＳ２の動作トレース情報３１２を元に実際に発生したトレース順にトレースログ編集・表示プログラムが編集・表示した結果である。
同時発生であることを示すために，各ＯＳのトレースＳＷ１，ＳＷ２，ＳＷ３を並べた上で太枠で囲って表示している。
　
Ｈ．「この結果を，
縦軸の上から下へ時間軸を取り，左列にＯＳ１のトレースを，右列にＯＳ２のトレースを表示する。トレースの発生順は，上記相対時間の計算結果の小さい順に上から１行に１卜レースの形式で表示する。そして同期卜レース（５０４−３，５０５−１）は，ＯＳ１とＯＳ２で同時に発生しているので同一行に表示する。
　
（１−３) 先行技術文献１の記載事項
　本願の出願前に頒布又は電気通信回線を通じて公衆に利用可能となった文献である，特開２００７−２３３６６１号公報（平成１９年９月１３日出願公開。以下，「先行技術文献１」という。) には，以下の技術的事項が記載されている。
（当審注：下線は，参考のために当審で付与したものである。）
　
Ｉ．「【００６５】
　例えば，図１０に示した例であれば，ログ紐付情報記憶部１３に記憶されている紐付情報から，仮想ＩＤ「ａ０００１」によって紐付けられている社員コード「００１」，ユーザ名「ｔａｎａｋａ」，メールアドレス「ｘｘｘ＠ｙｙｙ．ｃｏｍ」，電話番号「０３−１１１１−０１２３」を含むログデータを同一の社員にかかるものであると特定する。その結果，図４に示したセキュリティ・ゲート管理サーバ３０におけるログＮｏ．「１」のレコード，図５に示したセキュリティ・キャビネット管理サーバ４０におけるログＮｏ．「１」のレコード，図６に示した認証システム５０におけるログＮｏ．「１」のレコード，図７に示したメールサーバ６０におけるログＮｏ．「１」のレコード，図８に示した情報漏洩ツールにおけるログＮｏ．「１」のレコード，図９に示したＰＢＸシステムにおけるログＮｏ．「１」及び「３」のレコードが特定され，これらのレコードの情報を仮想ＩＤ「ａ０００１」について設けられたテーブルに統合ログとして記録し，統合ログ格納部１６に格納する。
【００６６】
　このようにして
作成された統合ログを，時間をキーにソートすると，社員毎の行動履歴やコンピュータの操作履歴を，時系列に沿って把握することが可能になる。
１．「２００５年１月１９日」「０８時５０分３０秒」に「ゲート０１」を通過し，
２．「２００５年１月１９日」「０９時１５分４８秒」に「キャビネット１００１」を開けて，
３．「２００５年１月１９日」「０９時２４分４５秒」に「認証システム」により認証され，
４．「２００５年１月１９日」「１０時１２分４６秒」に「情報漏洩防止ツール」が管理するシステムに「ログイン」し，
５．「２００５年１月１９日」「１０時４５分２３秒」に「ｘｘｘ＠ｙｙｙ.ｃｏｍ」から「ｃｃｃ＠ｙｙｙ.ｃｏｍ」宛にメールを「送信」し，
６．「２００５年１月１９日」「１３時３２分０２秒」に「０３−１１１１−０１２３」から「０３−１２３４−５６７８」に電話を「発呼」し，・・・
といった，出社から退社までの行動や操作を把握することが可能になる。このような情報は，組織内における内部統制の他，セキュリティ検診，ビジネス・コンプライアンス，フォレンジック，証跡管理などにおいて，有益な情報として活用することができるので，これらのデータをレポート形式で定期的に出力することとしてもよい。
【００６７】
　このように時系列に沿って整理された統合ログに対して，一般に不正が発生しやすい行動パターン等をルール化してルール記憶部１８に記憶させておくと，統合ログがルール記憶部１８に記憶されたルールに該当する場合には，何らかの不正行為が行われた可能性があると判定することが可能である。不正のルールは，一のログ毎に対比するためのルールであってもよいし，一連の行動を示す複数のログをまとめて対比するためのルールであってもよい。また，社員毎の通常の行動パターンをユーザプロファイル記憶部１９に記憶させておくと，統合ログがユーザプロファイル記憶部１９に記憶されたプロファイルと乖離している場合には，何らかの不正行為が行われた可能性があると判定することも可能である。判定に用いるプロファイルは，一のログ毎の判定に用いてもよいし，一連の行動を示す複数のログをまとめて判定することに用いてもよい。」
　
（１−４）先行技術文献２の記載事項
　本願の出願前に頒布又は電気通信回線を通じて公衆に利用可能となった文献である，特開２００２−３１８７３４号公報（平成１４年１０月３１日出願公開。以下，「先行技術文献２」という。）には，以下の技術的事項が記載されている。
（当審注：下線は，参考のために当審で付与したものである。）
　
Ｊ．「【００４７】以下，この手順を図６のフローチャートに基づいて説明する。
【００４８】まず，
前記フォーマット変換処理部２６が，前記分析条件で設定した分析対象通信ログを取り出し，所定のフォーマットに変換処理し，変換処理後の通信ログを前記統一ログ格納部２１に格納する（ステップＳ７−１）。このフォーマット変換は，例えば，表示位置，表示順序，タイムスタンプの位置等，対象ファシリティやログ記録プログラムによって異なるフォーマットを統一フォーマットに揃えるものである。
【００４９】例えば，ｆｔｐの動作を記録した第１のログ（syslog）が図７（ａ）に示すものであり，ｆｔｐにおけるファイルの移動を記録した第２のログ（xferlog）が図７（ｂ）に示すものであるとする。ここで，第１のログは，{月，日，時間，サーバ，デーモン，［ＰＩＤ］動作（接続ＩＰ，アカウントを含む）}という書式であるのに対して，第２のログは，｛曜日，月，日，時間，年，接続ＩＰ，ファイルサイズ，ファイル名，転送モード，入出力，アカウント，プロトコル｝という書式になっている。このままでは，後で説明する統合処理を行ったとしても，図８のようになりその分析が困難であるため，この実施形態では，前記フォーマット変換処理部２６が，これらを，図９に示すような書式に揃える。この書式では，図７（ａ）と図７（ｂ）の書式のタイムスタンプの書式を合わせ，接続ＩＰの表示位置とアカウントの表示位置が揃えられている。
【００５０】ついで，前記整合性判別部２７が，前記統一ログ格納部２１に格納された同一イベントについてのログ間の整合性を判別する（ステップＳ７−２）。
【００５１】例えば，同一イベントとして，ｆｔｐの動作に関して記録された全ログ（/var/log/all.log）が図１０（ａ）に示すものであり，認証に関するログ（/var/log/auth.log）が図１０（ｂ）に示すものであるとする。ここで，図１０（ａ）の書式は，｛月，日，時間，サーバ，デーモン（若しくはサービス），［ＰＩＤ］動作（接続ＩＰ，アカウントを含む）｝となっており，説明の便宜上前記フォーマット統一を行う前のものである。この場合，図１０（ｂ）のログをそれぞれ図１０（ａ）のログの記述に当てはめると，９，１６，１７行目になる。
【００５２】前記整合性判別部２７は，前記全ログを，前記ログ記録プログラム４の種類に応じて最も適切な方法で切り出してファシリティ毎のログと比較する。この例では，「デーモン名」をキーとして前記図１０（ａ）の全ログを切り出して，前記図１０（ｂ）と比較する。この結果，両者が一致しない場合には，どちらかのログが改竄されたものと判断することができる。なお，ここで，デーモン名で全ログを切り出すのは，前記デーモン名（若しくはサービス名）は，ファシリティ毎に固定されているからである。一方ＰＩＤ（プロセスＩＤ）は，ファシリティ別の記録では同一ＰＩＤの記述が複数のログに分散されることになり好ましくない。
【００５３】このような最適な切り出し方法は，ログの書式によって異なるものであるから，この実施形態では，実際にはこの工程（ステップＳ７−２）を，前記書式統一工程（ステップＳ７−１）後に行うようにする。このことで，一定の方法で前記比較整合を行うことが可能になる。
【００５４】次に，前記ログ統合処理部２８が，前記所定のフォーマットに変換された複数の分析対象ログを統合する（ステップＳ７−３）。ここで，統合するのは，個々のログファイルからでは不正アタックの有無が分からない場合があるからである。
【００５５】例えば，同一イベントについてのシステムログ（syslog）のうち，第１のログ（/var/log/info.log）が図１１（ａ）に示すものであり，第２のログ（/var/log/auth.log）が図１１（ｂ）に示すものである場合について考える。この場合，セッションＰＩＤ［２４２５］のｆｔｐセッションは不正アクセスの疑いがある。しかし，第１のログを見る限りでは，その痕跡はＰＩＤ［２４２１］の３回入力にわずかに残る程度で，それさえもＰＩＤ［２４２５］とのはっきりとした関連は分からない。逆に第２のログには，ＰＩＤ［２４２１］の失敗の記録が残っていて，p51-dn09.***.ne.jpがブルートフォース（BruteForse）を仕掛けているのがはっきりと分かる。しかし，このログからではこのアタックが成功したかの判別はできない。また，このログにはＰＩＤ［２４２１］の表示はない。
【００５６】しかしながら，これらの動きは図１２に示す全ログ（/var/log/all.log）を見るとはっきりと現れている。すなわち，この一連のアタックは，2/16 15:09:04から始まっていて，手口はＴｅｌｎｅｔを利用したｆｔｐへのブルートフォースアタックであることが判る。
【００５７】このような分析は，図１１（ａ），図１１（ｂ）の個々のログからは得ることができない。従って，この２つのログを結合して分析する必要があるのである。
【００５８】以下，この実施形態のログ結合方法について説明する。
【００５９】この
ログ統合処理部２８は，前述したフォーマット統一工程で各ログのフォーマットを統一した後，これらを結合し，図９のような結合済みのログを得る。
これら２つのログはフォーマットが異なるものであるから，単純に結合したのではその分析を行うことが困難である。このため，２つのログの書式を前述した方法で統一してからこれらを結合するのである。
【００６０】しかし，このような例において，問題になるのは，図８（ｂ）のログにｆｔｐの動作を特定する記述がないことである。図８及び図９の例では，ｆｔｐが一つしかないためその特定は容易であるが，例えば，
同一時刻範囲に複数のｆｔｐセッションがある場合にはその特定ができないために，有効な分析が行えないことになる。
【００６１】このため，この実施形態では，上記ログ統合処理部２８で，ログファイルの各行がどのセッションに属するかを判別し，属するセッションが不明な行を適切なセッションに振分ける処理を行う。
【００６２】図１３（ａ）は同時刻範囲に複数のセッションがある場合の第１のログ（syslog）の例，図１３（ｂ）は第２のログ（xferlog）の例である。この２つのログを前記ログフォーマット変換処理部２６で上記と同様にフォーマットを統一した後，このログ統合処理部２８で統合しタイムスタンプ順に並べたのものが図１４である。
【００６３】この図１４の統合済みログでは，同一時刻に重複しているセッションがあったり，同一ＩＰからのセッションがあったりするため解析するのはかなり困難である。
【００６４】このため，このログ統合処理部２８では，まず，セッションの属性を判別する（ステップＳ７−４）。この場合，前記図１３（ａ）のログをＰＩＤ毎に分け，同一セッションであると判断できる行を分類すると，図１５（ａ）〜（ｃ）に示すように，３つのセッションが存在することがわかる。従って，この結果から，各セッションの，ＰＩＤ，ＩＰ及び接続時間は図１６に示すようであると判別する（ステップＳ７−５）。
【００６５】このデータを利用することで，前記図１３（ｂ）のログは，図１７（ａ）〜（ｃ）に示すようにいずれかのセッションに分類できる。
【００６６】前記ログ統合処理部２８は，前記図１５及び図１７をセッション毎タイムスタンプ順に並べて，図１８（ａ）〜（ｃ）の結果を得る（ステップＳ７−６）。このような統合済みログは前記統合済み分析対象ログ格納部２２内に格納される。
【００６７】ついで，前記区分振分け部２９が，前記統合されたログを，ファシリティ毎に区分する（ステップＳ７−７）。この実施形態では，前記統合済み分析対象ログ格納部に格納されたログを取り出し，ログ中の各行を，デーモン名（サービス名）に注目して振分けを行う。」
　
（１−５）先行技術文献３の記載事項
　本願の出願前に頒布又は電気通信回線を通じて公衆に利用可能となった文献である，特開２００８−９７２３６号公報（平成２０年４月２４日出願公開。以下，「先行技術文献３」という。）には，以下の技術的事項が記載されている。
（当審注：下線は，参考のために当審で付与したものである。）
　
Ｋ．「【発明を実施するための最良の形態】
【００１６】
　以下，本発明の実施の形態を図面を参照して説明する。
　図１は，発明の概要を示す図である。本発明に係るグループ作業解析装置は，個人作業ログ記憶手段１，共同作業判定手段２，共同作業ログ生成手段３，共同作業ログ記憶手段４，およびグループ作業履歴生成手段５で構成される。
【００１７】
　個人作業ログ記憶手段１は，複数の作業者それぞれが行った作業に対応付けて作成され，作業者，作業時間帯，および他の作業情報を含む個人作業ログを記憶する。他の作業情報としては，たとえば，作業の場所，作業概要，共同作業者の名前などが含まれる。
【００１８】
　共同作業判定手段２は，解析対象となるグループに所属する作業者を指定した共同作業解析要求を受け取ると，個人作業ログ記憶手段１に記憶された個人作業ログのうち個別の２人の作業者の個人作業ログ同士を比較する。さらに，共同作業判定手段２は，作業時間帯に重複があり，かつ他の作業情報のうちの少なくとも一部が一致する場合，比較した個人作業ログで示される作業が互いに共同作業であると判定する。たとえば，作業時間帯に重複があり，作業の場所が同一であれば，共同作業と判定される。また，共同作業判定手段２は，個人作業ログ記憶手段１内の個人作業ログのうち，共同作業と判定されなかった個人作業ログに対して個人作業であることを示すフラグを設定する。
【００１９】
　共同作業ログ生成手段３は，共同作業と判定された個人作業ログに基づいて共同作業ログを生成し，共同作業ログ記憶手段４に格納する。
　グループ作業履歴生成手段５は，共同作業ログ記憶手段４内の共同作業ログに基づいて共同作業を時系列で並べ，個人作業ログ記憶手段１内の個人作業フラグが設定された個人作業ログに基づいて，個人作業を作業者毎に時系列で並べることで，グループ作業履歴６を生成する。
【００２０】
　このような構成により，解析対象となるグループに所属する作業者を指定した共同作業解析要求が入力されると，個別の２人の作業者の個人作業ログ同士が比較され，作業時間帯に重複があり，かつ他の作業情報のうちの少なくとも一部が一致する場合，比較した個人作業ログで示される作業が互いに共同作業であると判定される。次に，共同作業と判定された個人作業ログに基づいて共同作業ログが生成され，共同作業ログ記憶手段４に格納される。そして，共同作業と各作業者の個人作業とが個別に時系列に並べられたグループ作業履歴６が生成される。
　・・・（中略）・・・
【００５９】
　作業ログ収集部１２０は，収集した作業ログを，個人作業ログ記憶部１３０に格納する。
　図８は，個人作業ログ記憶部のデータ構造例を示す図である。個人作業ログ記憶部１３０には，名前，年月日，番号（Ｎｏ．），開始時刻，終了時刻，作業時間，作業概要，場所，共同作業者，共同作業フラグ，および共同作業番号の欄が設けられている。
【００６０】
　名前の欄には，作業者の名前が設定される。年月日の欄には，個人作業が行われた期日が設定される。番号の欄には，個人作業ログ記憶部１３０内での識別番号が設定される。開始時刻の欄には，作業の開始時刻が設定される。終了時刻の欄には，作業終了時刻が設定される。作業時間の欄には，作業時間が分単位で設定される。作業概要の欄には，作業概要が設定される。場所の欄には，作業を行った場所が設定される。共同作業者の欄には，共同作業者の名前が設定される。
【００６１】
　共同作業フラグと共同作業番号との欄は，共同作業と判定された場合に使用される。共同作業フラグの欄は，共同作業か否かを示すフラグが設定される。本実施の形態では，個人作業ログで示される作業が共同作業の場合，共同作業であることを示す共同作業フラグとして「１」が設定される。また，個人作業ログで示される作業が個人作業の場合，個人作業であることを示す個人作業フラグとして「０」が設定される。」
　
Ｌ．「【０１１０】
　図１４は，共同作業ログ記憶部のデータ構造例を示す図である。共同作業ログ記憶部１５０には，番号（Ｎｏ．），年月日，開始時刻，終了時刻，作業時間，作業概要，場所，共同作業参加者，メイン作業者，および作業パターンの欄が設けられている。各欄の横方向に並べられた情報同士が互いに関連付けられ，１つの共同作業ログを構成している。
【０１１１】
　識別番号の欄には，共同作業ログを一意に識別するための番号（共同作業番号）が設定される。開始時刻の欄には，共同作業の開始時刻が設定される。終了時刻の欄には，共同作業の終了時刻が設定される。作業概要の欄には，共同作業の概要が設定される。場所の欄には，共同作業が行われた場所が設定される。共同作業参加者の欄には，共同作業に参加した作業者の名前が設定される。メイン作業者の欄には，作業時間帯を通じて共同作業に加わっていた作業者の名前が設定される。
【０１１２】
　図１４には，既に識別番号「１」〜「３」の共同作業ログが登録されている状況で，個人作業ログ記憶部１３０内の番号「１０」の個人作業ログと番号「１１」の個人作業ログとに基づいて新たに追加された共同作業ログを示している。
【０１１３】
　新たに追加された共同作業ログには，共同作業番号「４」が付与されている。「年月日」，「開始時刻」，「終了時刻」，「作業時間」，「作業概要」，「場所」の欄には，個人作業ログ記憶部１３０内の番号「１０」の個人作業ログの対応する情報が設定されている。共同作業参加者の欄には，作業者Ａと作業者Ｂとの名前が設定されている。
【０１１４】
　また，番号「１０」の個人作業ログと番号「１１」の個人作業ログとの間の作業時間帯の重複関係は第１のパターンである。そのため，メイン作業者の欄には，作業者Ａと作業者Ｂとの名前が設定されている。そして，作業パターンの欄には，第１のパターンを示す識別番号「１」が設定されている。」
　
　
（２）対比
　
（２−１）引用発明の「管理対象計算機の管理対象プログラムが出力したログデータ」は，引用文献１の図１１に記載されているような行為定義データで定義されたデータをログの内容として含むものであり，本願のイベントデータも操作ログ等を含んでいることから，補正発明の「複数のログ情報中のイベントデータ」に相当し，引用発明のログデータの「時刻」は，補正発明の「イベント発生時刻のデータ」に相当する。
　引用発明の「前記管理対象プログラムは，自身の動作履歴（例えばユーザログイン，通信許可，データ転送など）を，ログとして適宜前記管理対象プログラムログデータの領域に出力し，前記管理者用計算機の画面に，時刻データを含むログ検索の結果を表示するもの」という事項から，引用発明では，ログ管理システム内のログデータを検索して検索結果を検索結果画面に表示することができ，さらに，引用発明も表示装置を備えたものであるので，引用発明と補正発明とは，「記憶装置に格納されている異なる複数のログ情報中の複数のイベントデータを表示装置上に表示するための方法」である点で一致するといえる。
　また，引用発明の「時刻データを含むログ検索の結果を表示する」という事項及び「固定ディスクに管理対象計算機の管理対象プログラムが出力したログデータの内容を収集し，全管理対象プログラムログデータに格納するもの」という事項から，引用発明でも，ログに時刻に関するデータを含み，検索のための何らかのデータベースを構築しているものとみられ，引用発明と補正発明とは，「何れかの記憶装置からイベント発生時刻のデータを含むログ情報を取り込んでログ情報のデータベースを構築するステップ」を有する点で一致するといえる。
　
（２−２）引用発明の「検索対象利用者（社員番号）が同じアカウント名を抽出して，抽出したアカウント名が記載されているログをログデータから全て抽出」することは，補正発明の「指定された検索条件に一致する複数のイベントデータを前期データベースから抽出」することに相当する。
　また，引用発明には，固定ディスク以外にもメモリが備えられており，このようなメモリを一時保存に用いることは技術常識であることから，引用文献１には明記されていないものの，引用発明においても，「抽出したログデータ」を「メモリ等に一時的に格納させ」ていることは明らかである。
　したがって，引用発明と補正発明とは，「指定された検索条件に一致する複数のイベントデータを前記データベースから抽出して一時記憶手段に格納するステップ」を有する点で一致するといえる。
　
（２−３）引用発明の「管理対象プログラム名，時刻，ログの内容等を，ログデータとして各行毎に一覧表示して，時刻でソートして検索結果画面に表示する」ことは，補正発明の「複数のイベントデータを，抽出された複数のイベントデータの各イベント発生時刻を前記表示装置の表示画面上の一方の表示軸に沿って昇順又は降順に表示し，前記一方の表示軸に沿って表示された各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて前記表示装置の表示画面上に表示する」ことに相当する。
　したがって，引用発明と補正発明とは，「複数のイベントデータを，抽出された複数のイベントデータの各イベント発生時刻を前記表示装置の表示画面上の一方の表示軸に沿って昇順又は降順に表示し，前記一方の表示軸に沿って表示された各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて前記表示装置の表示画面上に表示する表示形式の表示データに変換するステップ」を有する点で一致するといえる。
　
（２−４）引用発明では，「管理対象一覧データを読み込み，検索対象利用者（社員番号）が同じアカウント名を抽出して，抽出したアカウント名が記載されているログをログデータから全て抽出し，その後，利用者使用物特定情報を含むログを，全管理プログラムのログデータから抽出して，不要なログデータは削除した上で，管理対象プログラム名，時刻，ログの内容等を，ログデータとして各行毎に一覧表示して，時刻でソートして検索結果画面に表示する」点や，引用発明においても，「管理者用計算機に検索結果を表示している」こと，「時刻でソートして」いることが記載されており，さらに表示するデータはログデータを加工したものであることから，引用発明も補正発明と同様に「前記変換するステップは，前記複数の異なるログ情報のうちの最初のログ情報について，各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて前記表示装置の表示画面上に表示するための表示データに変換し」及び「前記抽出された複数のイベントデータについて，前記表示データに基づいて前記表示形式で前記表示装置に表示する」ものであるといえる。
　
（２−５）よって，補正発明は，下記一致点で引用発明と一致し，下記相違点で引用発明と相違する。
　
（一致点）
「記憶装置に格納されている異なる複数のログ情報中の複数のイベントデータを表示装置上に表示するための方法であって，
　何れかの記憶装置からイベント発生時刻のデータを含むログ情報を取り込んでログ情報のデータベースを構築するステップと，
　指定された検索条件に一致する複数のイベントデータを前記データベースから抽出して一時記憶手段に格納するステップと，
　該一時記憶手段に格納された複数のイベントデータを，抽出された複数のイベントデータの各イベント発生時刻を前記表示装置の表示画面上の一方の表示軸に沿って昇順又は降順に表示し，前記一方の表示軸に沿って表示された各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて前記表示装置の表示画面上に表示する表示形式の表示データに変換するステップとを有し，
　前記変換するステップは，前記複数の異なるログ情報のうちの最初のログ情報について，各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて前記表示装置の表示画面上に表示するための表示データに変換し，
　前記抽出された複数のイベントデータについて，前記表示データに基づいて前記表示形式で前記表示装置に表示するようにしたことを特徴とする
異なる複数のログ情報から抽出されたイベントデータの表示方法。
　
（相違点１）
　補正発明は，「前記変換するステップは，前記複数の異なるログ情報のうちの最初のログ情報について，各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて前記表示装置の表示画面上に表示するための表示データに変換し，複数の異なるログ情報にイベントが同時に発生している場合，それらのイベントを対応するイベント発生時刻に対して横に並べて表示するようにし，前記最初のログ情報についての表示データの変換処理が終了した後，次のログ情報を取り出し，これら２つのログ情報について，各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて，前記表示装置の表示画面上に表示する前記表示形式の表示データに変換し」ているのに対して，引用発明ではそのようには変換されていないこと。
　
（相違点２）
　補正発明では，「前記ログ情報の全てのイベントデータについて前記表示形式への変換の処理が終了することにより，前記表示データを前記一時記憶手段に格納し」と記載されているが，引用発明では，一時記憶手段に格納するということまでは言及されていないこと。
　
　
（３）判断
　
　上記相違点１及び相違点２について検討する。
　
（３−１）相違点１について
　
　引用文献２には，「トレースログ情報を管理し編集・表示を行うシステム」について記載されており，上記Ｆには，「ＯＳ１は，ＯＳ１が管理している時刻情報３１２を持ち，更にこの時刻管理３１２に基づいたＯＳ１の動作履歴を表す動作トレース情報３１１を持つ。同様にＯＳ２もＯＳ２の時刻情報３２２と動作トレ一ス情報３２１とを持つ。」及び「このトレース情報を，両ＯＳで同一時刻の基準とし，ＯＳ１とＯＳ２のトレース情報をトレース発生順にマージ編集する（８０５）。マージ編集したＯＳ１とＯＳ２のトレース情報をディスプレイ装置などに表示する（８０６）。」と記載されている。また，上記Ｇには，「縦軸の上から下へ時間軸を取り，左列にＯＳ１のトレースを，右列にＯＳ２のトレースを表示する。トレースの発生順は，上記相対時間の計算結果の小さい順に上から１行に１卜レースの形式で表示する。そして同期卜レース（５０４−３，５０５−１）は，ＯＳ１とＯＳ２で同時に発生しているので同一行に表示する。」と記載されている。
　ここで，引用文献２の「マージ編集」は，補正発明の「変換処理」に相当するものと認められる。しかしながら，引用文献２では，「マージ編集」して，「同一行に表示する」点が開示されているものの，引用文献２の第５図に示されるように，それぞれのトレース情報（ログ）に対して，管理時刻の欄が設けられており，引用文献２の「マージ編集」に係る技術思想を引用発明に組み合わせたとしても，補正発明のように，「複数の異なるログ情報にイベントが同時に発生している場合に，それらのイベントに対応するイベント発生時刻に対して横に並べて表示する」ようにはならないものである。
　
　先行技術文献１にも，同じ時刻のログを横に並べるという点が開示されていない。
　また，先行技術文献２には，上記Ｊの【００６０】等に記載されているように，統合されたログにおいて，同一時刻に重複しているセッションがあった場合に関する記述があるが，プロセスＩＤ毎に分けて，同一のセッションであるものを纏める技術であるものの，同一時刻の関連するセッションを横に並べて表示する点については，開示されていない。
　次に，先行技術文献３には，上記Ｋで記載のように収集した個人作業ログを元に，上記Ｌに記載の共同作業ログ記憶部の情報として再構成しているが，共同作業番号に基づいて共同作業ログが作成されており，共同作業者として同一欄に複数の作業者が記載されているものの，異なるイベントを横に並べて表示するようにはなっていない。
　先行技術文献１〜３においても，異なるイベントの同じ時刻のログを表示する際に，補正発明のように表示する手法は開示されていない。
　
　したがって，相違点１について，当業者が容易に想到するとはいえない。
　
（３−２）相違点２について
　
　引用発明では，上記Ｂに記載されているように「メモリ」又は「固定ディスク」を有しており，引用発明においても，「メモリに一次記憶する」旨の記載はないものの，検索結果表示エリアに表示する前に，当該メモリを用いて，検索結果を一時保存しているものと認められる。したがって，相違点２については，当業者が適宜なし得る程度のことに過ぎず，その効果も格別なものでもない。
　
（３−３）小括
　
　以上の理由により，補正発明は，相違点２については容易に想到するといえるものの，相違点１については，引用発明のみならずこれまでに調査した公知技術と同等とは扱えないものであり，当業者が容易に発明をすることができたとはいえない。
　よって，本件補正の補正事項１及び補正事項２は，特許法第１７条の２第６項において準用する同法第１２６条第７項の規定に適合する。
　
　なお，その他の補正事項は，明細書の全文を対象とした補正であり，具体的には，段落【０００３】，【０００５】，【０００６】，【０００７】，【００１０】，【００１１】，【００１５】及び【００３９】において，用語の統一等を施したもので，誤記の訂正と認められる。
　よって，その他の補正事項についても，特許法第１７条の２第６項において準用する同法第１２６条第７項の規定に適合する。
　
　
３．むすび
　
　本件補正は，特許法第１７条の２第３項〜第６項の規定に適合する。
　
　
第３　本願発明
　本件補正は上記のとおり，特許法第１７条の２第３項〜第６項の規定に適合するから，本願の請求項１〜２に係る発明は，本件補正により補正された特許請求の範囲の請求項１〜２に記載された事項により特定されるとおりのものである。
　そして，本願については，原査定の拒絶理由を検討してもその理由によって拒絶すべきものとすることはできない。
　また，他に本願を拒絶すべき理由を発見しない。
　よって，結論のとおり審決する。