【事件の表示】
　特願２０１４−　　３２２６「情報処理システム、情報処理装置、監視装置、監視方法、及び、プログラム」拒絶査定不服審判事件〔平成２７年　７月２３日出願公開、特開２０１５−１３２９２７、請求項の数（９）〕について、次のとおり審決する。
【結　論】
　原査定を取り消す。
　本願の発明は、特許すべきものとする。
【理　由】
第１ 手続の経緯
　本願は，平成２６年１月１０日の出願であって，平成２９年１１月２９日付けで拒絶の理由が通知され，平成３０年１月３１日に手続補正書が提出され，同年２月６日付けで拒絶査定（謄本送達日同年２月１３日）がなされ，これに対して同年５月１４日に審判請求がなされ，平成３１年１月１８日付けで当審により拒絶の理由が通知され，同年１月２３日に手続補正書が提出されたものである。
第２　原査定の概要
　原査定（平成３０年２月６日付け拒絶査定）の概要は次のとおりである。
　この出願の下記の請求項に係る発明は、その出願前に日本国内又は外国において、頒布された下記の刊行物に記載された発明又は電気通信回線を通じて公衆に利用可能となった発明に基いて、その出願前にその発明の属する技術の分野における通常の知識を有する者が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
・請求項　１〜９
・引用文献等　１〜３
＜引用文献等一覧＞
１.特開２００９−２０８１２号公報
２.特表２００７−５２６５３７号公報
３.米国特許出願公開第２０１１／０１７９４８８号明細書
第３　本願発明
　本願請求項１乃至９に係る発明（以下「本願発明１」乃至「本願発明９」という。）は，平成３１年１月２３日に提出された手続補正書の特許請求の範囲の請求項１乃至９に記載された，次のとおりのものと認める。
「　　【請求項１】
　実行手段で実行された所定のプログラムに係る操作の集合及びユーザ属性を符号化したデータである操作データを生成し、第２の装置に送信する、操作データ生成手段
を含む第１の装置と、
　検出対象の操作の集合及びユーザ属性に係る操作データである操作パターンを記憶する操作パターン記憶手段と、
　前記第１の装置から受信した前記操作データが前記操作パターンに一致した場合、前記実行手段において前記検出対象の操作が実行されたと判定し、当該検出対象の操作の実行を通知する、操作データ判定手段と、
を含む第２の装置と、
を備え、
　前記操作データにおける操作の集合は、前記所定のプログラムにおいて呼び出された関数名ごとのビット列の論理和であるBloom Filterにより表される、
情報処理システム。
　　【請求項２】
　前記操作データ判定手段は、前記操作パターンが表す操作の集合に含まれる全ての操作が、前記操作データが表す操作の集合に含まれる場合、前記検出対象の操作の実行を通知する、
請求項１に記載の情報処理システム。
　　【請求項３】
　前記操作データ判定手段は、前記操作パターンが表す操作の集合と前記操作データが表す操作の集合との一致度、及び、前記操作パターンに付与された重要度をもとに、前記操作データのスコアを算出し、当該算出されたスコアをもとに、前記検出対象の操作の実行を通知するかどうかを決定する、
請求項１または２に記載の情報処理システム。
　　【請求項４】
　前記操作パターン記憶手段は、さらに、前記第１の装置から受信した、指定された期間において生成された前記操作データを、前記操作パターンとして記憶する、
請求項１乃至３のいずれかに記載の情報処理システム。
　　【請求項５】
　実行手段で実行された所定のプログラムに係る操作の集合及びユーザ属性を符号化したデータである操作データを生成し、前記操作データが検出対象の操作の集合及びユーザ属性に係る操作データである操作パターンに一致した場合、前記実行手段において前記検出対象の操作が実行されたと判定して当該検出対象の操作の実行を通知する監視装置に送信する、操作データ生成手段を含み、
　前記操作データにおける操作の集合は、前記所定のプログラムにおいて呼び出された関数名ごとのビット列の論理和であるBloom Filterにより表される、
情報処理装置。
　　【請求項６】
　実行手段で実行された所定のプログラムに係る操作の集合及びユーザ属性を符号化したデータである操作データであって、検出対象の操作の集合及びユーザ属性に係る操作データである操作パターンを記憶する、操作パターン記憶手段と、
　前記操作データを生成する情報処理装置から受信した前記操作データが前記操作パターンに一致した場合、前記実行手段において前記検出対象の操作が実行されたと判定し、当該検出対象の操作の実行を通知する、操作データ判定手段と、
を含み、
　前記操作データにおける操作の集合は、前記所定のプログラムにおいて呼び出された関数名ごとのビット列の論理和であるBloom Filterにより表される、
監視装置。
　　【請求項７】
　第１の装置において、実行手段で実行された所定のプログラムに係る操作の集合及びユーザ属性を符号化したデータである操作データを生成し、第２の装置に送信し
　前記第２の装置において、検出対象の操作の集合及びユーザ属性に係る操作データである操作パターンを記憶し、
　前記第２の装置において、前記第１の装置から受信した前記操作データが前記操作パターンに一致した場合、前記実行手段において前記検出対象の操作が実行されたと判定し、当該検出対象の操作の実行を通知する、
監視方法であって、
　前記操作データにおける操作の集合は、前記所定のプログラムにおいて呼び出された関数名ごとのビット列の論理和であるBloom Filterにより表される、
監視方法。
　　【請求項８】
　コンピュータに、
　実行手段で実行された所定のプログラムに係る操作の集合及びユーザ属性を符号化したデータである操作データを生成し、前記操作データが検出対象の操作の集合及びユーザ属性に係る操作データである操作パターンに一致した場合、前記実行手段において前記検出対象の操作が実行されたと判定して当該検出対象の操作の実行を通知する監視装置に送信する、
処理を実行させる
プログラムであって、
　前記操作データにおける操作の集合は、前記所定のプログラムにおいて呼び出された関数名ごとのビット列の論理和であるBloom Filterにより表される、
プログラム。
　　【請求項９】
　コンピュータに、
　実行手段で実行された所定のプログラムに係る操作の集合及びユーザ属性を符号化したデータである操作データであって、検出対象の操作の集合及びユーザ属性に係る操作データである操作パターンを記憶し、
　前記操作データを生成する情報処理装置から受信した前記操作データが前記操作パターンに一致した場合、前記実行手段において前記検出対象の操作が実行されたと判定し、当該検出対象の操作の実行を通知する、
処理を実行させる
プログラムであって、
　前記操作データにおける操作の集合は、前記所定のプログラムにおいて呼び出された関数名ごとのビット列の論理和であるBloom Filterにより表される、
プログラム。」
第４　引用例
１　引用例１に記載された事項及び引用発明
　原査定の拒絶の理由において引用した，本願の出願前に既に公知である，特開２００９−２０８１２号公報（平成２１年１月２９日公開。以下，これを「引用例１」という。）には，関連する図面と共に，次の事項が記載されている。（下線は説明のために当審で付加。以下同様。）
Ａ　「【００１２】
　図１は、本発明の
操作検知システム
顧客先２１には、顧客先ネットワーク３１に、
クライアントＰＣ３が接続され
サービスベンダ２２には、顧客先ネットワーク３１からネットワーク３０を介して接続されているサービスベンダ内ネットワーク３２に、操作パターン登録サーバ１と、ログ分析サーバ２が接続され
【００１３】
　情報資産管理サーバ４は、処理部と記録部を有し、当該記録部にはアクセスログ／設定変更ログ（情報資産管理サーバ）１５ａと、情報資産ファイル１７のデータベースが格納されている。各種情報システム５も、記録部を有し、これにアクセスログ／設定変更ログ（各種情報システム）１５ｂが格納されている。各種情報システム５は必要に応じ接続され、その台数が限定される必要はない。すなわち、これら情報資産管理サーバ４や各種情報システム５のシステムコンピュータはいずれもアクセスログ／設定変更ログ１５が記録されていることになる。
クライアントＰＣ３は処理部や記録部を有し、当該記録部には、操作ログ１４が格納され
操作ログ１４はクライアントＰＣ３ごとに記録され
【００１４】
　
操作パターン登録サーバ１には、処理部や記録部を有し、当該記録部には、
不正操作パターンＤＢ１２
を有する
処理部にて
操作パターン登録が行われ
Ｂ　「【００１６】
　そして、不正操作パターン登録なしの場合は、Ｓ１０７へ進み（Ｓ１０５）、不正操作パターン登録ありの場合は
、「操作／ログ゛対応テーブル」，「ユーザ毎の標準利用状況テーブル」，「重要情報定義テーブル」を元に「不正操作パターン」を作成し、不正操作パターンＤＢ１２に格納
Ｃ　「【００２０】
　図８は、本発明における操作ログ記録の一実施形態を示すフローチャートである。まず、
クライアントＰＣ３に、利用者の操作を記録するエージェントプログラムをインストール
エージェントプログラム（クライアントＰＣ３の処理部による処理）は、利用者がクライアントＰＣ３を利用して行った操作を、すべて「操作ログ１４」に記録する
【００２１】
　図９は、本発明におけるログの収集／分析の一実施形態を示すフローチャートである。これらは、
ログ分析サーバ２の処理部
クライアントＰＣ３の操作ログ１４
を収集し、正規化して、ログ分析サーバ２のログ格納ＤＢ１６に格納する
不正操作パターンに基づき、正規化ログを分析する
不正操作パターンに類似するログがあるかを判断する
【００２２】
　不正操作パターンに類似するログが無い場合はＳ３０５へ進み、
不正操作パターンに類似するログがある場合は、悪意のある操作の通報を行う
Ｄ　「【００２８】
　図１２は、「操作／ログ対応テーブル」と、「重要情報定義テーブル」と、「不正操作パターン」とから、「不正操作パターン比較テーブル」を作成する処理の例を示したものである。
図１２の「不正操作パターン比較テーブル」は、「パターン」と、「比較ログ内容」と、「ログ名」と、「比較操作対象」の各項目
図１３は正規化ログの例
【００２９】
　
図１４は、図１２の「不正操作パターン比較テーブル（パターン１の例）」と図１３の「正規化ログ（例）」の比較結果
Ｅ　
図１２
Ｆ　
図１３
Ｇ
図１４
　上記記載事項Ｄ乃至Ｇから，引用例１には，“一連の操作が時系列として正規化ログとして記録され，不正操作パターンテーブルと比較され”ることを読み取ることができるから，上記記載事項Ａ乃至Ｃの記載も踏まえ，引用例１には，次の発明（以下「引用発明」という。）が記載されているといえる。
「操作検知システムであって，
　顧客先２１には，顧客先ネットワーク３１にクライアントＰＣ３が接続されており，サービスベンダ２２には，顧客先ネットワーク３１からネットワーク３０を介して接続されているサービスベンダ内ネットワーク３２に，操作パターン登録サーバ１と，ログ分析サーバ２が接続され，
　前記クライアントＰＣ３は処理部や記録部を有し，当該記録部には操作ログ１４が格納され，前記操作ログ１４は前記クライアントＰＣ３ごとに記録され，
　前記操作パターン登録サーバ１には，処理部や記録部を有し，当該記録部には不正操作パターンＤＢ１２を有し，処理部にて操作パターン登録が行われ，操作／ログ対応テーブル，ユーザ毎の標準利用状況テーブル，重要情報定義テーブルを元に不正操作パターンを作成して前記不正操作パターンＤＢ１２に格納し，
　前記クライアントＰＣ３に，利用者の操作を記録するエージェントプログラムがインストールされ，前記エージェントプログラム（クライアントＰＣ３の処理部による処理）は，利用者がクライアントＰＣ３を利用して行った操作を，すべて前記操作ログ１４に記録し，
　前記ログ分析サーバ２の処理部は，前記クライアントＰＣ３の操作ログ１４を収集し，正規化して，ログ分析サーバ２のログ格納ＤＢ１６に格納し，
　一連の操作が時系列として正規化ログとして記録され，不正操作パターンテーブルと比較され，前記不正操作パターンに基づき，正規化ログを分析して，前記不正操作パターンに類似するログがあるかを判断し，
　前記不正操作パターンに類似するログがある場合は，悪意のある操作の通報を行う
操作検知システム。」
２　引用例２に記載された事項
　原査定の拒絶の理由において引用した，本願の出願前に既に公知である，特表２００７−５２６５３７号公報（平成１９年９月１３日公開。以下，これを「引用例２」という。）には，関連する図面と共に，次の事項が記載されている。
Ｈ　「【００１０】
　本発明の一側面によると、イベント履歴サーバは、
特定ユーザによってアクセスされたＵＲＬを反映するユーザ特有のブルーム（Ｂｌｏｏｍ）フィルタを生成し、このブルームフィルタを用いて、特定ユーザが以前に特定のＵＲＬにアクセスしたかどうかを効率的に評価する
３　引用例３に記載された事項
　原査定の拒絶の理由において引用した，本願の出願前に既に公知である，米国特許出願公開第２０１１／０１７９４８８号明細書（２０１１年７月２１日公開。以下，これを「引用例３」という。）には，関連する図面と共に，次の事項が記載されている。
Ｉ　“ABSTRACT
Kernel-based intrusion detection using Bloom filters is disclosed.
The Bloom filter data object contains data representative of expected system-call behavior associated with a computer program.
（当審仮訳：要約
　
ブルームフィルタを使用したカーネルベースの侵入検出が開示される。
ブルームフィルタのデータオブジェクトは、コンピュータプログラムに関連した予測されるシステムコール挙動を表すデータを含んでいる。
第５　対比・判断
１　本願発明１について
（１）　対比
　本願発明１と引用発明とを対比する。
（あ）引用発明の「クライアントＰＣ３」は，本願発明１の「第１の装置」に対応し，「利用者の操作を記録するエージェントプログラム」によって，「利用者がクライアントＰＣ３を利用して行った操作を，すべて前記操作ログ１４に記録」するものであり，当該「利用者がクライアントＰＣ３を利用して行った操作」は，本願発明１の，“実行手段で実行された所定のプログラムに係る操作”といい得，また当該操作を，「すべて前記操作ログ１４に記録」することから，当該「操作の集合」も生成しているといえる。
　「ログ分析サーバ２の処理部」は，「前記クライアントＰＣ３の操作ログ１４を収集し，正規化して，ログ分析サーバ２のログ格納ＤＢ１６に格納」していて，当該「ログ分析サーバ２」は，「サービスベンダ２２」側にあることから，本願発明１の“第２の装置”に相当する。また，当該「操作ログ１４」の「収集」にあたっては，「顧客先２１」側の「クライアントＰＣ３」から当該「操作ログ１４」の“送信”が行われることは明らかでり，当該“送信”の際には，所定の“符号化”が行われることも技術常識である。
　以上を総合すると，引用発明の「クライアントＰＣ３」と本願発明１の「第１の装置」とは，下記の点（相違点１）で異なるものの，“実行手段で実行された所定のプログラムに係る操作の集合を符号化したデータである操作データを生成し，第２の装置に送信する，操作データ生成手段を含む”点で一致する。
（い）引用発明の「操作パターン登録サーバ１」の「記録部」に有る「不正操作パターンＤＢ１２」は，「ログ分析サーバ２の処理部」が，「クライアントＰＣ３の操作ログ１４を収集し，正規化して，ログ分析サーバ２のログ格納ＤＢ１６に格納」した上で，「前記不正操作パターン」，すなわち，「操作／ログ対応テーブル，ユーザ毎の標準利用状況テーブル，重要情報定義テーブルを元に」生成された「不正操作パターン」を「格納」するものであるから，本願発明１の「操作パターン記憶手段」と，“検出対象の操作の集合に係る操作データである操作パターンを記憶”している点で共通しているといえる。
　また引用発明は，当該「不正操作パターンＤＢ１２」を利用し，「ログ分析サーバ２の処理部」が，「正規化ログを分析して，前記不正操作パターンに類似するログがあるかを判断」していることから，下記の点（相違点１）で相違するものの，引用発明の「操作パターン登録サーバ１」と本願発明１の「第２の装置」とは，“検出対象の操作の集合に係る操作データである操作パターンを記憶する操作パターン記憶手段”を含む点で一致する。
（う）引用発明の「ログ分析サーバ２の処理部」は，「前記クライアントＰＣ３の操作ログ１４を収集し，正規化して，ログ分析サーバ２のログ格納ＤＢ１６に格納し，前記不正操作パターンに基づき，正規化ログを分析して，前記不正操作パターンに類似するログがあるかを判断し」た上で，「前記不正操作パターンに類似するログがある場合は，悪意のある操作の通報を行う」ことから，本願発明１の「第２の装置」とは，“前記第１の装置から受信した前記操作データが前記操作パターンに一致した場合、前記実行手段において前記検出対象の操作が実行されたと判定し、当該検出対象の操作の実行を通知する、操作データ判定手段”を含む点で一致する。
（え）以上，（あ）乃至（う）の検討から，引用発明と本願発明１とは，次の一致点及び相違点を有する。
〈一致点〉
　実行手段で実行された所定のプログラムに係る操作の集合を符号化したデータである操作データを生成し，第２の装置に送信する，操作データ生成手段
を含む第１の装置と，
　検出対象の操作の集合に係る操作データである操作パターンを記憶する操作パターン記憶手段と，
　前記第１の装置から受信した前記操作データが前記操作パターンに一致した場合，前記実行手段において前記検出対象の操作が実行されたと判定し，当該検出対象の操作の実行を通知する，操作データ判定手段と，
を含む第２の装置と，
を備える，
情報処理システム。
〈相違点１〉
　本願発明１の「第１の装置」によって生成され，「第２の装置」に対して「送信」される「操作データ」は，「実行手段で実行された所定のプログラムに係る操作の集合」のみならず，「ユーザ属性」も生成及び送信され，さらに，「第２の装置」の「操作パターン記憶手段」に「記憶」されるところの「操作パターン」が，「検出対象の操作の集合及びユーザ属性に係る操作データ」であるのに対し，引用発明はそのような「ユーザ属性」に係る構成が特定されていない点。
〈相違点２〉
　本願発明１が，「前記操作データにおける操作の集合」が，「前記所定のプログラムにおいて呼び出された関数名ごとのビット列の論理和であるBloom Filterにより表される」ものであるのに対し，引用発明は，操作データにおける操作の集合がどのようなものであるか特定されていない点。
（２）　相違点についての判断
　事案に鑑み，先に相違点２につき検討する。
　引用発明は，「顧客先２１」の「クライアントＰＣ３」においてなされた操作が，「クライアントＰＣ３」の「記録部」に「操作ログ１４」として格納され，「サービスベンダ２２」側にある「ログ分析サーバ２」の「処理部」によって，当該「操作ログ１４」が「収集」及び「正規化」されて「ログ格納ＤＢ１６に格納」される。そして，「一連の操作が時系列として正規化ログとして記録され，不正操作パターンテーブルと比較され，前記不正操作パターンに基づき，正規化ログを分析して，前記不正操作パターンに類似するログがあるか」が「判断」されるものであり，当該操作を「呼び出された関数名ごとのビット列の論理和として」，すなわち時系列の情報を排除して構成することや，「Bloom Filterにより表」すことは，上記引用例２の記載事項Ｈ及び引用例３の記載事項Ｉの記述からブルームフィルタを用いること自体が周知技術であったとしても，当業者にとって容易になし得たとまではいえない。
　そして，当該構成を採用することによって，本願発明１は，監視装置が，監視対象のシステムに係る詳細情報を用いることなく，システムにおける不正な操作や異常な操作を検出でき（本願明細書段落１２３），さらに，対象装置における不正な操作や異常な操作の検出において，監視装置が対象装置から収集するデータ量を低減できる（同段落１２７）と共に，対象装置における不正な操作や異常な操作を高速に検出できる（同段落１２９）といった，引用発明及び周知技術に対して有利な効果を奏するものである。
　したがって，本願発明１は，当業者であっても，引用例１乃至３に記載された技術的事項に基づいて容易に発明できたものとはいえない。
２　本願発明２乃至５について
　本願発明２乃至５は，本願発明１を直接もしくは間接的に引用するものであるから，本願発明１と同じ理由により，当業者であっても，引用例１乃至３に記載された技術的事項に基づいて容易に発明できたものとはいえない。
３　本願発明６乃至９について
　本願発明６乃至９も，本願発明１の上記相違点と同等な構成を有するものであって，本願発明１と同じ理由により，当業者であっても，引用例１乃至３に記載された技術的事項に基づいて容易に発明できたものとはいえない。
第６　当審拒絶理由の概要
＜特許法３６条６項１号について＞
　当審から，請求項１乃至９は，「実行手段で実行された所定のプログラムに係る操作の集合を符号化したデータである操作データ」，及び「検出対象の操作の集合に係る操作データである操作パターン」の点につき，発明の詳細な説明に記載されたものではない旨の拒絶の理由を通知しているが，平成３１年１月２３日付けの手続補正において，上記，「第３　本願発明」の項に掲げたとおりに補正された結果，この拒絶の理由は解消した。
第７　原査定についての判断
　平成３１年１月２３日付けの補正により，補正後の請求項１乃至９は，上記相違点に係る技術的事項を有するものとなった。当該構成は，原査定における引用文献１乃至３には記載されておらず，本願出願前における周知技術でもないので，本願発明１乃至９は，当業者であっても，原査定における引用文献１乃至３に基づいて容易に発明できたものではない。したがって，原査定を維持することはできない。
第８　むすび
　以上のとおり，原査定の理由によっては，本願を拒絶することはできない。
　また，他に本願を拒絶すべき理由を発見しない。
　よって，結論のとおり審決する。