【事件の表示】
　特願２０１４−　９９１１０「表示方法、表示装置および表示プログラム」拒絶査定不服審判事件〔平成２７年１２月　３日出願公開、特開２０１５−２１６５４９、請求項の数（１２）〕について、次のとおり審決する。
【結　論】
　原査定を取り消す。
　本願の発明は、特許すべきものとする。
【理　由】
第１　手続の経緯
　本願は、平成２６年５月１２日の出願であって、平成２９年１２月２２日付けで拒絶理由通知がされ、平成３０年３月１２日付けで手続補正がされ、平成３０年４月５日付けで拒絶査定がされ、これに対して、平成３０年７月１３日に拒絶査定不服審判の請求がされると同時に手続補正がされたものである。
第２　原査定の概要
　原査定（平成３０年４月５日付け拒絶査定）の概要は次のとおりである。
　本願請求項１−１２に係る発明は、以下の引用文献１−４に基づいて、その発明の属する技術の分野における通常の知識を有する者（以下、「当業者」という。）が容易に発明をすることができたものであるから、特許法第２９条第２項の規定により特許を受けることができない。
引用文献等一覧
　１．国立研究開発法人　情報通信研究機構、“攻撃パターンからマルウェアをリアルタイムに特定する相関分析技術を世界で初めて実現”、２０１０年６月１日、＜ＵＲＬ：https://www.nict.go.jp/press/2010/06/01-1.html＞
　２．Kaspersky Lab、Real Threats in Real Time: Kaspersky Lab Launches Worldwide Interactive Cyberthreat Map、２０１４年４月４日、＜ＵＲＬ：https://www.kaspersky.com/about/press-releases/2014_real-threats-in-real-time-kaspersky-lab-launches-worldwide-interactive-cyberthreat-map＞
　３．森　博志、外２名、“長期間のマルウェア動的解析を支援する通信可視化手法とユーザインタフェースの提案”、情報処理学会研究報告、２０１２年７月２０日
　４．井上　大介、“対サイバー攻撃アラートシステムＤＡＥＤＡＬＵＳとその社会展開”、ＮＩＣＴ　ＮＥＷＳ、２０１４年３月、＜ＵＲＬ：https://www.nict.go.jp/publication/NICT-News/1403/page/NICT_1403_01-2p.pdf＞
第３　本願発明
　本願請求項１−１２に係る発明（以下、それぞれ「本願発明１」−「本願発明１２」という。）は、平成３０年７月１３日付けの手続補正で補正された特許請求の範囲の請求項１−１２に記載された事項により特定される発明であり、本願発明１は以下のとおりの発明である。
「【請求項１】
　装置に関して検知されたサイバー攻撃の情報を取得し、
　地球全体を示す画像を配置するとともに、該地球全体を示す画像から離れた前記地球の外側の周囲に複数の装置を示す画像をそれぞれ離間して配置し、前記複数の装置のうち、取得した該サイバー攻撃の情報によりサイバー攻撃の攻撃先装置として示される装置について、前記地球上の異なる複数の位置の攻撃元からの攻撃を示す、前記攻撃先装置の配置位置と、前記地球上の異なる複数の位置との関連性を示す情報、および前記地球全体を示す画像と前記複数の装置を示す画像との間に前記サイバー攻撃の脅威レベルを識別可能な情報を含む画像情報を生成し、
　生成された該画像情報を出力する
　処理をコンピュータが実行することを特徴とする表示方法。」
　また、本願発明２−１２の概要は以下のとおりである。
　本願発明２−１０は、本願発明１を減縮した発明である。
　本願発明１１は、本願発明１に対応する、カテゴリ表現が異なる「表示装置」の発明である。
　本願発明１２は、本願発明１に対応する、カテゴリ表現が異なる「表示プログラム」の発明である。
第４　引用文献、引用発明等
１．引用文献１について
　原査定の拒絶の理由に引用された引用文献１には、図面とともに、以下の記載がある（下線は、特に着目した箇所を示す。以下同様。）。
（１）　「背景」の項目
「現在、ウイルスやワーム、ボットといった
マルウェアに起因するセキュリティインシデント
への
対策を行うために
攻撃の
検知
（２）　「補足資料」の項目の「マクロ−ミクロ相関分析結果の可視化の様子（概観）」の図の説明
「世界中から
飛来する攻撃トラフィックをアニメーション表示するとともに、
（３）　「補足資料」の項目の「マクロ−ミクロ相関分析結果の可視化の様子（詳細）」の図の説明
「個々のトラフィック（パケット）に関する感染マルウェア名だけでなく、
ＩＰアドレス、攻撃元国などの詳細な情報を表示
（４）　「補足資料」の項目の「マクロ−ミクロ相関分析結果の可視化の様子（詳細）」の図
　当該図から、
表示されるＩＰアドレス
が攻撃元のコンピュータのＩＰアドレスであ
互いに異なる位置にある複数のコンピュータ間の攻撃トラフィックが表示され
（５）　「補足資料」の項目の「マクロ−ミクロ相関分析結果の可視化の様子（地球儀バージョン）」の図
　当該図から、
地球の画像上に、どの攻撃元のコンピュータからどの攻撃先のコンピュータへ攻撃が行われているかが表示され
　よって、上記各記載事項を関連図面に照らし、下線部に着目すれば、引用文献１には、次の発明（以下、「引用発明」という。）が記載されているといえる。
「マルウェアに起因するセキュリティインシデントへの対策を行うために、攻撃の検知をし、
　飛来する攻撃トラフィックをアニメーション表示するとともに、ＩＰアドレス、攻撃元国などの詳細な情報を表示し、ここで、表示されるＩＰアドレスが攻撃元のコンピュータのＩＰアドレスであり、
　互いに異なる位置にある複数のコンピュータ間の攻撃トラフィックが表示され、
　地球の画像上に、どの攻撃元のコンピュータからどの攻撃先のコンピュータへ攻撃が行われているかが表示される、
方法。」
２．引用文献２について
　原査定の拒絶の理由に引用された引用文献２には、第３段落に、以下の記載がある。
「Users can rotate the globe and zoom in to any part of the world to get a closer look at the local threat landscape. Different types of threats detected in real time are marked with different colors. The user can bring a description of each threat up on the screen or disable the display of threat types. In addition to share buttons for users of social networking sites, there are buttons to switch: the background color, the language interface and the display mode (flat map or rotating globe). There is also handy link to check if a computer is infected with malicious software.」
（当審訳：ユーザは地球を回転させて、部分的な脅威の状況をよく見るために、世界のどの部分も拡大することができる。リアルタイムで検出された脅威の異なる種類は、異なる色で印を付けられる。ユーザは各脅威の説明を画面上に出したり、脅威の種類を表示しないようにしたりすることができる。ソーシャルネットワークのサイトのユーザのための共有のボタンに加えて、背景の色、言語インタフェースや表示モード（平らな地図又は回転する地球）を切り替えるボタンがある。コンピュータが悪意のあるソフトウェアに感染しているかを検査する便利なリンクもある。）
３．引用文献３について
　原査定の拒絶の理由に引用された引用文献３には、図面とともに、第３頁の「３．２．２　世界地図ビュー」の項目の第１段落に、以下の記載がある。
「世界地図ビューでは観測した通信データと、ＭａｘＭｉｎｄ社のＧｅｏＩＰと呼ばれるＧｒｏｕｐデータベース（ＩＰアドレスとそれに対応するホストの位置情報のデータベース）を元に、犠牲ホストとその通信先ホストのシンボルを世界地図上に描画する。ローカルネットワークのホストは犠牲ホストのシンボルの上空に表示する。また３．１節で述べたとおり、マルウェア動的解析環境では、
マルウェアが動作している犠牲ホストと実際のインターネット上の
実ホストとの通信を許可せず、ダミーサーバへ通信を転送する場合
世界地図上の
地点の上空に黒塗りのホストシンボルを表示する
４．引用文献４について
　原査定の拒絶の理由に引用された引用文献４には、図面とともに、第２頁の「ＤＡＥＤＡＬＵＳの可視化エンジン」の項目の第１段落に、以下の記載がある。
「図２はＤＡＥＤＡＬＵＳのアラート発報状況を俯瞰的に把握するための可視化エンジンＤＡＥＤＡＬＵＳ−ＶＩＺの表示画面です。
中央の球体がインターネット、その周りを周回している各リングが、ダークネット観測用センサを設置している組織のネットワークを表しています。球体とリングの間を飛び交う流星状のオブジェクトはダークネットへの通信を表しています。
第５　対比・判断
１．本願発明１について
（１）　対比
　本願発明１と引用発明とを対比すると、次のことがいえる。
ア　引用発明は、攻撃先のコンピュータへの「攻撃の検知をし、」「攻撃元のコンピュータの」「ＩＰアドレス、攻撃元国などの詳細な情報を表示」するものであり、引用発明において、「攻撃元のコンピュータの」「ＩＰアドレス、攻撃元国などの詳細な情報を表示」するために、そのような「詳細な情報」を取得することは明らかであるから、引用発明の攻撃先のコンピュータへの「攻撃の検知をし、」「攻撃元のコンピュータの」「ＩＰアドレス、攻撃元国などの詳細な情報」を取得することは、本願発明１の「装置に関して検知されたサイバー攻撃の情報を取得」することに相当する。
イ　引用発明は、「互いに異なる位置にある複数のコンピュータ間の攻撃トラフィック」を「表示」するものであって、「地球の画像上に、どの攻撃元のコンピュータからどの攻撃先のコンピュータへ攻撃が行われているか」を「表示」するものであるから、本願発明１の「地球全体を示す画像を配置するとともに、該地球全体を示す画像から離れた前記地球の外側の周囲に複数の装置を示す画像をそれぞれ離間して配置し、前記複数の装置のうち、取得した該サイバー攻撃の情報によりサイバー攻撃の攻撃先装置として示される装置について、前記地球上の異なる複数の位置の攻撃元からの攻撃を示す、前記攻撃先装置の配置位置と、前記地球上の異なる複数の位置との関連性を示す情報、および前記地球全体を示す画像と前記複数の装置を示す画像との間に前記サイバー攻撃の脅威レベルを識別可能な情報を含む画像情報を生成し、生成された該画像情報を出力する」ことと、「地球全体を示す画像を配置するとともに、」「複数の装置を示す画像をそれぞれ離間して配置し、前記複数の装置のうち、取得した該サイバー攻撃の情報によりサイバー攻撃の攻撃先装置として示される装置について、前記地球上の異なる複数の位置の攻撃元からの攻撃を示す、前記攻撃先装置の配置位置と、前記地球上の異なる複数の位置との関連性を示す情報」「を含む画像情報を生成し、生成された該画像情報を出力する」点で共通する。
ウ　引用発明において、各処理をコンピュータが実行することは明らかであり、引用発明は、各処理を実行することにより、「複数のコンピュータ間の」「攻撃」についての「表示」をする「方法」の発明であるから、引用発明の各処理をコンピュータが実行すること、及び、「複数のコンピュータ間の」「攻撃」についての「表示」をする「方法」は、それぞれ、本願発明の「処理をコンピュータが実行する」こと、及び、「表示方法」に相当する。
　よって、本願発明１と引用発明との一致点・相違点は、次のとおりであるといえる。
［一致点］
「装置に関して検知されたサイバー攻撃の情報を取得し、
　地球全体を示す画像を配置するとともに、複数の装置を示す画像をそれぞれ離間して配置し、前記複数の装置のうち、取得した該サイバー攻撃の情報によりサイバー攻撃の攻撃先装置として示される装置について、前記地球上の異なる複数の位置の攻撃元からの攻撃を示す、前記攻撃先装置の配置位置と、前記地球上の異なる複数の位置との関連性を示す情報を含む画像情報を生成し、
　生成された該画像情報を出力する
　処理をコンピュータが実行することを特徴とする表示方法。」
［相違点１］
　複数の装置を示す画像の配置に関して、本願発明１では、「該地球全体を示す画像から離れた前記地球の外側の周囲に」配置するのに対して、引用発明では、「地球の画像上に」配置する点。
［相違点２］
　画像情報に関して、本願発明１では、「前記地球全体を示す画像と前記複数の装置を示す画像との間に前記サイバー攻撃の脅威レベルを識別可能な情報」を生成・出力するのに対して、引用発明では、そのような情報を生成・出力しない点。
（２）相違点についての判断
　事案に鑑みて、複数の装置を示す画像の表示に関連する、上記相違点１−２についてまとめて検討する。
　引用文献３には、マルウェアが動作する犠牲ホストからの通信の転送先であるダミーサーバを、世界地図の上空に黒塗りのシンボルで表示することが記載されている。
　また、引用文献４には、インターネットを表す中央の球体と、各々が組織のネットワークを表す複数のリングであって、球体を周回する複数のリングと、組織のネットワーク内のダークネットへの通信を表す、球体と各リングとの間を飛び交う流星状のオブジェクトとを表示することが記載されている。
　しかし、本願発明１の上記相違点１−２に係る、「該地球全体を示す画像から離れた前記地球の外側の周囲に」複数の装置を示す画像を配置し、「前記地球全体を示す画像と前記複数の装置を示す画像との間に前記サイバー攻撃の脅威レベルを識別可能な情報」を画像情報として生成・出力すること（以下、「本願発明１の上記相違点１−２に係る構成」という。）は、上記引用文献１−４のいずれにも記載も示唆もされておらず、また、周知技術であるともいえない。
　そして、本願発明１は、本願発明１の上記相違点１−２に係る構成によって、本願明細書の段落【００３４】に記載されるように、「マルウェアまたは不正な通信が視覚化され、脅威を分り易く表示することができる。]との効果を有するものである。
　したがって、本願発明１は、当業者であっても、引用発明、引用文献１−４に記載された技術に基づいて、容易に発明できたものとはいえない。
２．本願発明２−１２について
　上記「第３」のとおり、本願発明２−１０は、本願発明１を減縮した発明であり、本願発明１１は、本願発明１に対応する、カテゴリ表現が異なる「表示装置」の発明であり、本願発明１２は、本願発明１に対応する、カテゴリ表現が異なる「表示プログラム」の発明であって、本願発明１の上記相違点１−２に係る構成と実質的に同一の構成を備えるものである。
　よって、本願発明１と同じ理由により、本願発明２−１２も、当業者であっても、引用発明、引用文献１−４に記載された技術に基づいて、容易に発明できたものとはいえない。
第６　原査定についての判断
　平成３０年７月１３日付けの手続補正で補正された請求項１−１２は、上記「第５」のとおり、本願発明１の上記相違点１−２に係る構成を備えるものであり、当業者であっても、拒絶査定において引用された引用文献１−４に基づいて、容易に発明できたものとはいえない。したがって、原査定の理由を維持することはできない。
第７　むすび
　以上のとおり、原査定の理由によっては、本願を拒絶することはできない。
　また、他に本願を拒絶すべき理由を発見しない。
　よって、結論のとおり審決する。