【事件の表示】
　特願２０１１−　　８９２６「情報処理装置、システム、通信監視方法およびプログラム」拒絶査定不服審判事件〔平成２４年　８月　９日出願公開、特開２０１２−１５０６５８〕について、次のとおり審決する。
【結　論】
　本件審判の請求は、成り立たない。
【理　由】
第１　手続の経緯
　本件審判請求に係る出願（以下，「本願」という。）は，平成２３年１月１９日の出願であって，その手続の経緯は以下のとおりである。
　　平成２５年１１月２５日　　　：出願審査請求書の提出
　　平成２６年　７月２２日付け　：拒絶理由の通知
　　平成２６年　９月１８日　　　：意見書，手続補正書の提出
　　平成２６年１１月２５日付け　：拒絶査定
　　平成２７年　２月２７日　　　：審判請求書，手続補正書の提出
　　平成２７年　３月１１日　　　：上申書の提出
　　平成２７年　４月１４日　　　：前置報告
　　平成２７年　８月２０日　　　：上申書の提出
第２　平成２７年２月２７日付けの手続補正についての補正却下の決定
［補正却下の決定の結論］
　平成２７年２月２７日付けの手続補正を却下する。
［理由］
１．補正の内容
　平成２７年２月２７日付けの手続補正（以下，「本件補正」という。）の内容は，平成２６年９月１８日付けの手続補正により補正された特許請求の範囲の記載
「　【請求項１】
　データファイルを取得するファイル取得手段と，
　取得された第１のデータファイルに他の第２のデータファイルを取得するためのプログラムコードが含まれているか否かを検査する第１のファイル検査手段と，
　前記第１のデータファイルに前記プログラムコードが含まれていた場合に，当該プログラムコードに基づいて取得される前記第２のデータファイルを検査する第２のファイル検査手段と，
を備え，
　前記第１のファイル検査手段は，前記第１のデータファイルを実行することなく当該第１のデータファイルに前記プログラムコードが含まれているか否かを検査し，
　前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく当該第２のデータファイルを検査する，情報処理装置。
　　【請求項２】
　前記ファイル取得手段は，ネットワーク・トラフィックからデータを取得するためのリクエストを検出し，当該ネットワーク・トラフィックから当該リクエストに応じて取得されたデータファイルを抽出することにより前記第１のデータファイルを取得することを特徴とする，
請求項１に記載の情報処理装置。
　　【請求項３】
　前記第１のファイル検査手段により前記第１のデータファイルから前記プログラムコードが検出された場合，当該第１のデータファイルおよび当該プログラムコードに基づいて取得される前記第２のデータファイルの送信元の情報を取得する送信元情報取得手段をさらに備えることを特徴とする，
請求項１または請求項２に記載の情報処理装置。
　　【請求項４】
　前記第２のファイル検査手段は，前記第２のデータファイルに予め定められた特定の動作を行うためのプログラムコードが含まれているか否かを検査する，
請求項１乃至請求項３のいずれかに記載の情報処理装置。
　　【請求項５】
　前記第２のファイル検査手段は，少なくとも，前記第２のデータファイルの作成日時の情報，著作権情報，バージョン情報，ファイル名のいずれかを含む，当該第２のデータファイルのメタ情報が予め定められた条件を満たすか否かを検査する，
請求項１乃至請求項４に記載の情報処理装置。
　　【請求項６】
　ネットワークに接続されたクライアント端末と，
　前記クライアント端末によるネットワーク通信を監視する通信監視装置と，を備え，
　前記通信監視装置は，
　前記クライアント端末から出力されたデータを取得するためのリクエストをネットワーク・トラフィックから検出し，当該リクエストに応じて取得されたデータファイルを当該ネットワーク・トラフィックから取得するファイル取得手段と，
　取得された第１のデータファイルに他の第２のデータファイルを取得するためのプログラムコードが含まれているか否かを検査する第１のファイル検査手段と，
　前記第１のデータファイルに前記プログラムコードが含まれていた場合に，当該プログラムコードに基づいて取得される前記第２のデータファイルを検査する第２のファイル検査手段と，
を備え，
　前記第１のファイル検査手段は，前記第１のデータファイルを実行することなく当該第１のデータファイルに前記プログラムコードが含まれているか否かを検査し，
　前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく当該第２のデータファイルを検査する，システム。
　　【請求項７】
　ネットワーク通信の監視方法であって，
　ネットワークに接続されたコンピュータが，ネットワーク・トラフィックからデータを取得するためのリクエストを検出し，当該ネットワーク・トラフィックから当該リクエストに応じて取得されたデータファイルを抽出することにより第１のデータファイルを取得するステップと，
　前記コンピュータが，取得された第１のデータファイルに他の第２のデータファイルを取得するためのプログラムコードが含まれているか否かを検査するステップと，
　前記コンピュータが，前記第１のデータファイルに前記プログラムコードが含まれていた場合に，当該プログラムコードに基づいて取得される前記第２のデータファイルを検査するステップと，
を含み，
　前記プログラムコードが含まれているか否かを検査するステップでは，前記第１のデータファイルを実行することなく当該第１のデータファイルに当該プログラムコードが含まれているか否かを検査し，
　前記第２のデータファイルを検査するステップでは，前記第２のデータファイルを実行することなく当該第２のデータファイルを検査する，通信監視方法。
　　【請求項８】
　ネットワークに接続されたコンピュータを制御するプログラムにおいて，
　ネットワーク・トラフィックからデータを取得するためのリクエストを検出し，当該ネットワーク・トラフィックから当該リクエストに応じて取得されたデータファイルを抽出することにより第１のデータファイルを取得するファイル取得手段と，
　取得された第１のデータファイルに他の第２のデータファイルを取得するためのプログラムコードが含まれているか否かを検査する第１のファイル検査手段と，
　前記第１のデータファイルに前記プログラムコードが含まれていた場合に，当該プログラムコードに基づいて取得される前記第２のデータファイルを検査する第２のファイル検査手段として，
前記コンピュータを機能させ，
　前記第１のファイル検査手段は，前記第１のデータファイルを実行することなく当該第１のデータファイルに前記プログラムコードが含まれているか否かを検査し，
　前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく当該第２のデータファイルを検査する，プログラム。」（以下，この特許請求の範囲に記載された請求項を「補正前の請求項」という。）を，
「　【請求項１】
　データファイルを取得するファイル取得手段と，
　取得された第１のデータファイルに他の第２のデータファイルを取得するためのプログラムコードが含まれているか否かを検査する第１のファイル検査手段と，
　前記第１のデータファイルに前記プログラムコードが含まれていた場合に，当該プログラムコードに基づいて取得される前記第２のデータファイルを検査する第２のファイル検査手段と，
を備え，
　前記第１のファイル検査手段は，前記第１のデータファイルを実行することなく当該第１のデータファイルに前記プログラムコードが含まれているか否かを検査し，
　前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく
静的な情報に基づいて
　　【請求項２】
　前記ファイル取得手段は，ネットワーク・トラフィックからデータを取得するためのリクエストを検出し，当該ネットワーク・トラフィックから当該リクエストに応じて取得されたデータファイルを抽出することにより前記第１のデータファイルを取得することを特徴とする，
請求項１に記載の情報処理装置。
　　【請求項３】
　前記第１のファイル検査手段により前記第１のデータファイルから前記プログラムコードが検出された場合，当該第１のデータファイルおよび当該プログラムコードに基づいて取得される前記第２のデータファイルの送信元の情報を取得する送信元情報取得手段をさらに備えることを特徴とする，
請求項１または請求項２に記載の情報処理装置。
　　【請求項４】
　前記第２のファイル検査手段は，前記第２のデータファイルに予め定められた特定の動作を行うためのプログラムコードが含まれているか否かを検査する，
請求項１乃至請求項３のいずれかに記載の情報処理装置。
　　【請求項５】
　前記第２のファイル検査手段は，少なくとも，前記第２のデータファイルの作成日時の情報，著作権情報，バージョン情報，ファイル名のいずれかを含む，当該第２のデータファイルのメタ情報が予め定められた条件を満たすか否かを検査する，
請求項１乃至請求項４に記載の情報処理装置。
　　【請求項６】
　ネットワークに接続されたクライアント端末と，
　前記クライアント端末によるネットワーク通信を監視する通信監視装置と，を備え，
　前記通信監視装置は，
　前記クライアント端末から出力されたデータを取得するためのリクエストをネットワーク・トラフィックから検出し，当該リクエストに応じて取得されたデータファイルを当該ネットワーク・トラフィックから取得するファイル取得手段と，
　取得された第１のデータファイルに他の第２のデータファイルを取得するためのプログラムコードが含まれているか否かを検査する第１のファイル検査手段と，
　前記第１のデータファイルに前記プログラムコードが含まれていた場合に，当該プログラムコードに基づいて取得される前記第２のデータファイルを検査する第２のファイル検査手段と，
を備え，
　前記第１のファイル検査手段は，前記第１のデータファイルを実行することなく当該第１のデータファイルに前記プログラムコードが含まれているか否かを検査し，
　前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく
静的な情報に基づいて
　　【請求項７】
　ネットワーク通信の監視方法であって，
　ネットワークに接続されたコンピュータが，ネットワーク・トラフィックからデータを取得するためのリクエストを検出し，当該ネットワーク・トラフィックから当該リクエストに応じて取得されたデータファイルを抽出することにより第１のデータファイルを取得するステップと，
　前記コンピュータが，取得された第１のデータファイルに他の第２のデータファイルを取得するためのプログラムコードが含まれているか否かを検査するステップと，
　前記コンピュータが，前記第１のデータファイルに前記プログラムコードが含まれていた場合に，当該プログラムコードに基づいて取得される前記第２のデータファイルを検査するステップと，
を含み，
　前記プログラムコードが含まれているか否かを検査するステップでは，前記第１のデータファイルを実行することなく当該第１のデータファイルに当該プログラムコードが含まれているか否かを検査し，
　前記第２のデータファイルを検査するステップでは，前記第２のデータファイルを実行することなく
静的な情報に基づいて
　　【請求項８】
　ネットワークに接続されたコンピュータを制御するプログラムにおいて，
　ネットワーク・トラフィックからデータを取得するためのリクエストを検出し，当該ネットワーク・トラフィックから当該リクエストに応じて取得されたデータファイルを抽出することにより第１のデータファイルを取得するファイル取得手段と，
　取得された第１のデータファイルに他の第２のデータファイルを取得するためのプログラムコードが含まれているか否かを検査する第１のファイル検査手段と，
　前記第１のデータファイルに前記プログラムコードが含まれていた場合に，当該プログラムコードに基づいて取得される前記第２のデータファイルを検査する第２のファイル検査手段として，
前記コンピュータを機能させ，
　前記第１のファイル検査手段は，前記第１のデータファイルを実行することなく当該第１のデータファイルに前記プログラムコードが含まれているか否かを検査し，
　前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく
静的な情報に基づいて
　そして，本件補正は，願書に最初に添付した明細書，特許請求の範囲又は図面に記載した事項の範囲内においてなされており，特許法第１７条の２第３項の規定に適合している。
２．目的要件
　本件補正が，特許法第１７条の２第５項の規定を満たすものであるか否か，すなわち，本件補正が，特許法第１７条の２第５項に規定する請求項の削除，特許請求の範囲の減縮（特許法第３６条第５項の規定により請求項に記載した発明を特定するために必要な事項を限定するものであって，その補正前の当該請求項に記載された発明とその補正後の当該請求項に記載される発明の産業上の利用分野及び解決しようとする課題が同一であるものに限る），誤記の訂正，或いは，明りょうでない記載の釈明（拒絶理由通知に係る拒絶の理由に示す事項についてするものに限る）の何れかを目的としたものであるかについて，以下に検討する。
（１）補正前の請求項と，補正後の請求項とを比較すると，補正後の請求項１〜８はそれぞれ，補正前の請求項１〜８に対応することは明らかである。
（２）本件補正は，下記の補正事項１〜４よりなるものである。
＜補正事項１＞
　補正前の請求項１の
「前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく当該第２のデータファイルを検査する」との記載を，
　補正後の請求項１の
「前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく
静的な情報に基づいて
＜補正事項２＞
　補正前の請求項６の
「前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく当該第２のデータファイルを検査する」との記載を，
　補正後の請求項６の
「前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく
静的な情報に基づいて
＜補正事項３＞
　補正前の請求項７の
「前記第２のデータファイルを検査するステップでは，前記第２のデータファイルを実行することなく当該第２のデータファイルを検査する」との記載を，
　補正後の請求項７の
「前記第２のデータファイルを検査するステップでは，前記第２のデータファイルを実行することなく
静的な情報に基づいて
＜補正事項４＞
　補正前の請求項８の
「前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく当該第２のデータファイルを検査する」との記載を，
　補正後の請求項８の
「前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく
静的な情報に基づいて
（３）補正事項１〜４について
　上記補正事項１は，「記第２のファイル検査手段」について，検査処理を「静的な情報」に基づくように限定して下位概念化する補正である。
　そして，これによって当該発明の産業上の利用分野及び解決しようとする課題が格別変更されるものではない。
　したがって，当該補正事項の目的は，請求項に記載した発明特定事項を限定するものであって，その補正前後の当該請求項に記載された発明の産業上の利用分野及び解決しようとする課題が同一であるもの（以下，単に「限定的減縮」という。）に該当する。
　補正事項２〜４についても同様である。
（４）したがって，上記補正事項１〜４は限定的減縮を目的とするものであり，本件補正は，特許法第１７条の２第５項第２号に掲げる特許請求の範囲の減縮を目的とするものに該当すると言えることから，特許法第１７条の２第５項の規定を満たすものである。
３．独立特許要件
　以上のように，本件補正は，限定的減縮を目的とする上記補正事項１〜４を含むものである。そこで，限定的減縮を目的として補正された補正後の請求項１に記載された発明（以下，「本件補正発明」という。）が特許出願の際独立して特許を受けることができるものであるか（特許法第１７条の２第６項において準用する同法第１２６条第７項の規定に適合するか）以下に検討する。
（１）本件補正発明
　本件補正発明は，上記平成２７年２月２７日付け手続補正により補正された特許請求の範囲，明細書及び図面の記載からみて，その特許請求の範囲の請求項１に記載された以下のとおりのものと認める。
「データファイルを取得するファイル取得手段と，
　取得された第１のデータファイルに他の第２のデータファイルを取得するためのプログラムコードが含まれているか否かを検査する第１のファイル検査手段と，
　前記第１のデータファイルに前記プログラムコードが含まれていた場合に，当該プログラムコードに基づいて取得される前記第２のデータファイルを検査する第２のファイル検査手段と，
を備え，
　前記第１のファイル検査手段は，前記第１のデータファイルを実行することなく当該第１のデータファイルに前記プログラムコードが含まれているか否かを検査し，
　前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく静的な情報に基づいて当該第２のデータファイルを検査する，情報処理装置。」
（２）引用文献
　本願出願前に頒布され，原審の拒絶査定の理由である上記平成２６年７月２２日付けの拒絶理由通知（以下，「原審拒絶理由」という。）において引用された，神薗雅紀，“動的解析を利用した難読化ＪａｖａＳｃｒｉｐｔコード解析システムの実装と評価”，コンピュータセキュリティシンポジウム２０１０論文集［第二分冊］，一般社団法人情報処理学会，４５３〜４５８頁（平成２２年１０月１２日発行，以下，「引用文献」という。）には，関連する図面とともに，以下の技術的事項が記載されている。（当審注：下線は，参考のために当審で付与したものである。）
Ａ．「１．はじめに
　近年，Ｗｅｂを介したマルウェアの配布が横行しているが，中でも多段のＷｅｂサイトを経由させマルウェアをダウンロードさせる手法が多く見られている。多段にＷｅｂサイトを経由させる方法としては，ＨＴＴＰ　Ｓｔａｔｕｓ　ｃｏｄｅ（３ｘｘ系ｃｏｄｅ）や〈ｍｅｔａ　ｈｔｔｐ−ｅｑｕｉｖ＝“ｒｅｆｒｅｓｈ”〉タグを利用したもの，ＪａｖａＳｃｒｉｐｔのｌｏｃａｔｉｏｎやｄｏｃｕｍｅｎｔ．ｗｒｉｔｅを利用し他のサイトへ誘導する手法が代表的である。特にＪａｖａＳｃｒｉｐｔを利用する手法では，スクリプトを難読化し追跡を困難とするものが猛威を振るっている。これらのインシデントが発生した際に原因を解明するためには，通信データを解析する必要がある。まず，前者の手法が利用された場合は，ＨＴＴＰ  Ｈｅａｄｅｒ部のＬｏｃａｔｉｏｎに記載されたＵＲＬを追っていくことで基本的には不正サイトのリダイレクト処理を追うことが可能である。これに対し後者の手法が利用された場合，正確にＵＲＬを辿るためにはスクリプトを解読し，リダイレクトや誘導するＵＲＬ，他のスクリプトやファイルダウンロードに指定されたＵＲＬ等を導き出す必要がある。
　また，最終的にダウンロードされる不正なファイルの多くも，アプリケーションの脆弱性を突く難読化されたＪａｖａＳｃｒｉｐｔが埋め込まれているものが多く見られる。特に，Ａｄｏｂｅ　Ｒｅａｄｅｒに複数のゼロデイが存在したこともあり，ｐｄｆ（ＰｏｒｔａｂｌｅＤｏｃｕｍｅｎｔ　Ｆｏｒｍａｔ，以下ｐｄｆと称する）形式のマルウェアが顕著に現れている。
この難読化された不正なｐｄｆファイルを解析するためには，ｐｄｆファイルから圧縮されたＪａｖａＳｃｒｉｐｔコードを抽出し，難読化を解除する必要がある。これらのインシデントを詳細に把握するためには，一般的に図１に示す手順もしくは逆に被害から解析を進めていく必要があり，大変困難な作業となる。
Ｂ．
「
（１）通信データから疑わしいサイトに着目する
　　　　　　　　　　　　　　　　　　　↓
　（２）着目サイトのHTMLから疑わしいスクリプトを抽出する
　　　　　　　　　　　　　　　　　　　↓
　（３）難読化スクリプトを解析する
　　　　他のサイトに誘導するURLや，ダウンロードされた
　　　　pdfファイルを把握する
　　　　　　　　　　　　　　　　　　　↓
　（４）誘導されるサイトのURLを通信データから特定し，（２）へ
　　　pdfファイルがダウンロードされている場合は（５）へ
　　　　　　　　　　　　　　　　　　　↓
　（５）pdfファイルからJavaScriptや
　　　　　JavaScriptが利用する情報を抽出する
　　　　　　　　　　　　　　　　　　　↓
　（６）抽出したJavaScriptを解析する
　　　　　　　　　　　　　　　　　　　↓
　（７）解析情報より，インシデントへの対処を行う。
　　　　　　　　　　　　　　　　　　　↓
　　　　　　　　　　　　　　　　　　　終了
図１　一般的なインシデント解析手順と開発システムの対応範囲
（４５４頁左欄　図１）
Ｃ．「４．２．不正ｐｄｆファイル内のＪａｖａＳｃｒｉｐｔ抽出ならびに　動的解析例
　Ｄ３Ｍ　２０１０（ＩＰ：＊＊＊．６３．４４．２４７）が配布する不正なｐｄｆファイル（ｒｅａｄｍｅ．ｐｄｆ；）を２章ならびに３章の開発システムを用い解析する。
まず，
解析対象ファイルはｐｄｆ形式であるのでｐｄｆ内から自動的にＪａｖａＳｃｒｉｐｔを抽出する。
次に，抽出したＪａｖａＳｃｒｉｐｔを動的解析する。解析結果を図１０に示す。
解析結果より，実際のペイロードや脆弱性が利用されるＣｏｌｌａｂ．ｇｅｔＩｃｏｎ　ＡＰＩまで求めることができている。これより，解析対象としたｐｄｆファイルはＣＶＥ−２００９−０９２７を利用した不正なマルウェアであると判断できる。
Ｄ．「
function getIcon(){
・・・（中略）・・・
　Collab.getIcon(buffer+N.bundle);　　CVE-2009-0927
｝
図１０開発システム解析結果より抽出したコード
（４５７頁左欄　図１０）
Ｅ．「
４．３．不正サイトから誘導されマルウェアがダウンロードされるまでの一連の追跡例
　Ｄ３Ｍ　２０１０通信データから不正サイトにアクセスし，多段の誘導によりマルウェアがダウンロードされるまでの一連の処理を，開発システムを用いて解析する。
　図１１に処理の流れと解析結果を示す。まず，疑わしいサイトへのアクセスに着目し，当該ＨＴＭＬ内の不正と思われるコードを特定する。ここでは，ＩＰ：＊＊＊．６．１５８．３　ｉｎｄｅｘ．ｈｔｍｌファイル内に難読化されたＪａｖａＳｃｒｉｐｔが埋め込まれているため，当該コードを解析対象とし，ＪａｖａＳｃｒｉｐｔ動的解析を行う。動的解析結果より，不正コードは
外部スクリプトファイルを実行していることがわかる。
　
次に，動的解析結果より導き出されたＵＲＬ
を確認すると，難読化されたスクリプトファイルであることがわかる。同様に動的解析を行うと，
動関解析結果より，不正コードは＜ｉｆｒａｍｅ＞タグを用い，さらに別のＨＴＭＬを読み込んでいることがわかる。
　さらに，動的解析から導きだされたＵＲＬ（ＩＰ：・＊＊．７５．２１８．１９２／ｉｎｄｅｘ．ｐｈｐ？ｊｌｂｌｏｏｍｂｅｒｇ．ｃｏｍ／ａｍａｚｏｎ．ｃｏｍ／ｒｉｖａｌｓ．ｃｏｍ．ｐｈｐ）を確認すると，＜ｄｉｖ＞タグに記載されたテキストが難読化されたデータ本体であり，ｉｎｎｅｒＨＴＭＬのメソッドを使ってスクリプトから参照されていることがわかる。
開発のシステムでは，前述した疑似的ＤＯＭ環境によりｉｎｎｅｒＨＴＭＬを介したＤＯＭ要素へのアクセスも実現しているため，このようなスクリプトの動的解析も可能である。ただし，当該スクリプトファイルはコード中間部の＜ＳＣＲＩＰＴ＞内の難読化コードが同サイトのスクリプトファイル（／ｐｉｃｓ／ｊｑｕｅｒｙ．ｊｘｘ）を実行し，その情報を利用して難読化を解除する。開発システムでは，他のスクリプトファイルを自動的に呼び込むことはできないため，本処理のみ手動で行い，動的解析システムを実行すると，「＜ｉｆｒａｍｅ　ｓｒｃ＝”／ｐｉｔｓ／ＣｈａｎｇｅＬｏｇ．ｐｄｆ’〉＜／ｉｆｒａｍｅ＞＜ｉｆｒａｎｔｅ　ｓｒｃ＝”／ｐｉｃｓ／ｊａｖａ．ｈｔｍｌ”〉＜／ｉｆｒａｍｅ＞」が生成され，ようやく疑わしいファイルがダウンロードされることがわかる。
・・・（中略）・・・
　
続いて，ダウンロードされたｐｄｆファイルを解析する。図１２に解析概要を示す。まず，提案システムを用いｐｄｆファイルから自動的にＪａｖａＳｃｒｉｐｔならびにページ情報を抽出する。
文字列を操作するａｄｏｂｅ．ｓｕｂｓｔｒより，本スクリプトではｐｄｆの２ページ目の全ての単語の後ろ２ｂｙｔｅに難読化された情報が埋め込まれている。この処理をエミュレートし，提案システムにて解析すると全て難読化を解除したコードを導き出すことができた。解析結果より，
複数の脆弱性
ＣＶＥ−２００９−０９２７）を突くマルウェアであることが判明した。
　ここで，上記引用文献に記載されている事項を検討する。
ア．上記Ａの「この難読化された不正なｐｄｆファイルを解析するためには，ｐｄｆファイルから圧縮されたＪａｖａＳｃｒｉｐｔコードを抽出し，難読化を解除する必要がある。これらのインシデントを詳細に把握するためには，一般的に図１に示す手順もしくは逆に被害から解析を進めていく必要があり，大変困難な作業となる。」との記載，
　上記Ｂの
「（１）通信データから疑わしいサイトに着目する
　　　　　　　　　　　　　　　　　　　↓
　（２）着目サイトのHTMLから疑わしいスクリプトを抽出する
　　　　　　　　　　　　　　　　　　　↓
　（３）難読化スクリプトを解析する
　　　　他のサイトに誘導するURLや，ダウンロードされた
　　　　pdfファイルを把握する
・・・（中略）・・・
図１　一般的なインシデント解析手順と開発システムの対応範囲」との記載，
　上記Ｅの「４．３．不正サイトから誘導されマルウェアがダウンロードされるまでの一連の追跡例
　Ｄ３Ｍ　２０１０通信データから不正サイトにアクセスし，多段の誘導によりマルウェアがダウンロードされるまでの一連の処理を，開発システムを用いて解析する。
　図１１に処理の流れと解析結果を示す。まず，疑わしいサイトへのアクセスに着目し，当該ＨＴＭＬ内の不正と思われるコードを特定する。ここでは，ＩＰ：＊＊＊．６．１５８．３　ｉｎｄｅｘ．ｈｔｍｌファイル内に難読化されたＪａｖａＳｃｒｉｐｔが埋め込まれているため，当該コードを解析対象とし，ＪａｖａＳｃｒｉｐｔ動的解析を行う。動的解析結果より，不正コードは・・・（中略）・・・外部スクリプトファイルを実行していることがわかる。」，「次に，動的解析結果より導き出されたＵＲＬ・・・（中略）・・・を確認すると，難読化されたスクリプトファイルであることがわかる。同様に動的解析を行うと，・・・（中略）・・・動関解析結果より，不正コードは＜ｉｆｒａｍｅ＞タグを用い，さらに別のＨＴＭＬを読み込んでいることがわかる。」との記載からすると，
　引用文献に記載の「システム」は，既存の「一般的なインシデント解析手順」の一部を改良したものであり，
　通信データから不正サイトにアクセスしてＨＴＭＬファイルを読み取り，当該ＨＴＭＬファイル内のスクリプトを動的解析して該スクリプトが外部スクリプトファイルを読み込んでいることを判別していることが読みとれるから，
引用文献には，
“ＨＴＭＬファイルを読み込み，
　前記ＨＴＭＬファイルに対して，スクリプトの抽出・動的解析を行い，前記スクリプトが外部スクリプトファイルを読み込んでいるか否かを判断”することが記載されていると認められる。
イ．上記Ｂの
「（２）着目サイトのHTMLから疑わしいスクリプトを抽出する
　　　　　　　　　　　　　　　　　　　↓
　（３）難読化スクリプトを解析する
　　　　他のサイトに誘導するURLや，ダウンロードされた
　　　　pdfファイルを把握する
　　　　　　　　　　　　　　　　　　　↓
　（４）誘導されるサイトのURLを通信データから特定し，（２）へ
　　　pdfファイルがダウンロードされている場合は（５）へ
　　　　　　　　　　　　　　　　　　　↓
　（５）pdfファイルからJavaScriptや
　　　　　JavaScriptが利用する情報を抽出する
　　　　　　　　　　　　　　　　　　　↓
　（６）抽出したJavaScriptを解析する」との記載，
　上記Ｃの「解析対象ファイルはｐｄｆ形式であるのでｐｄｆ内から自動的にＪａｖａＳｃｒｉｐｔを抽出する。」，「次に，抽出したＪａｖａＳｃｒｉｐｔを動的解析する。解析結果を図１０に示す。」，「解析結果より，実際のペイロードや脆弱性が利用されるＣｏｌｌａｂ．ｇｅｔＩｃｏｎ　ＡＰＩまで求めることができている。これより，解析対象としたｐｄｆファイルはＣＶＥ−２００９−０９２７を利用した不正なマルウェアであると判断できる。」との記載，
　上記Ｄの「function getIcon(){
・・・（中略）・・・
　Collab.getIcon(buffer+N.bundle);　　CVE-2009-0927
｝
図１０開発システム解析結果より抽出したコード」との記載，
　上記Ｅの「続いて，ダウンロードされたｐｄｆファイルを解析する。図１２に解析概要を示す。まず，提案システムを用いｐｄｆファイルから自動的にＪａｖａＳｃｒｉｐｔならびにページ情報を抽出する。」，「文字列を操作するａｄｏｂｅ．ｓｕｂｓｔｒより，本スクリプトではｐｄｆの２ページ目の全ての単語の後ろ２ｂｙｔｅに難読化された情報が埋め込まれている。この処理をエミュレートし，提案システムにて解析すると全て難読化を解除したコードを導き出すことができた。解析結果より・・・（中略）・・・複数の脆弱性・・・（中略）・・・ＣＶＥ−２００９−０９２７）を突くマルウェアであることが判明した。」との記載からすると，
　ダウンロードされたｐｄｆファイルの「動的解析」の解析結果である図１０は，「難読化を解除したコード」であり，該コードが，既知の脆弱性のあるＡＰＩを呼び出すコードを含むか否かを判断することで，「解析対象としたｐｄｆファイル」が不正なマルウェアであると判断できることが読みとれるから，
引用文献には，
“ＨＴＭＬファイル内のスクリプトによりｐｄｆファイルがダウンロードされる場合，前記ｐｄｆファイルに対して，スクリプトの抽出・動的解析により難読化を解除し，難読化を解除したコード内の，既知の脆弱性のあるコードの有無で，マルウェアであるか否かを判断”することが記載されていると認められる。
ウ．以上，ア．〜イ．で指摘した事項から，引用文献には，次の発明（以下，「引用発明」という。）が記載されているものと認める。
「ＨＴＭＬファイルを読み込み，
　前記ＨＴＭＬファイルに対して，スクリプトの抽出・動的解析を行い，前記スクリプトが外部スクリプトファイルを読み込んでいるか否かを判断し，
　ＨＴＭＬファイル内のスクリプトによりｐｄｆファイルがダウンロードされる場合，前記ｐｄｆファイルに対して，スクリプトの抽出・動的解析により難読化を解除し，難読化を解除したコード内の，既知の脆弱性のあるコードの有無で，マルウェアであるか否かを判断するシステム。」
（３）参考文献
ア．参考文献１に記載されている技術的事項
　本願出願前に頒布され，原審拒絶理由において引用された，特開２０１０−１４６５６６号公報（平成２２年７月１日出願公開，以下，「参考文献１」という。）には，関連する図面とともに，以下の技術的事項が記載されている。（当審注：下線は，参考のために当審で付与したものである。）
Ｆ．「【００３７】
　・・・（中略）・・・
　例えば，セキュリティモジュールは未知の実行可能ファイルを受け取る可能性がある（ステップ４４０）。
セキュリティモジュールは，未知の実行可能ファイルが前もって識別されたマルウェアを示すメタデータフィールド属性を含んでいるか否かを決定することによって，未知の実行可能ファイルがマルウェアを含んでいるか否かを決定することができる。
Ｇ．「【００６１】
　ある実施形態では，コンピューティングシステムは悪意実行可能ファイルを受け取る可能性がある。
コンピューティングシステムは，未知の実行可能ファイルがマルウェアを示すメタデータフィールド属性を含んでいるか否かを決定することにより，未知の実行可能ファイルがマルウェアを含んでいるか否かを決定することができる。
Ｈ．「【００６７】
　ある実施形態では，システムは未知の実行可能ファイルを受け取る，および／またはその
未知の実行可能ファイルがマルウェアを示すヘッダフィールド属性を含んでいるか否かを決定することによって，その未知の実行可能ファイルがマルウェアを含んでいるか否かを決定する
イ．参考文献２に記載されている技術的事項
　本願出願前に頒布され，原審の拒絶査定において引用された，特開２０１０−２６２６０９号公報（平成２２年１１月１８日出願公開，以下，「参考文献２」という。）には，関連する図面とともに，以下の技術的事項が記載されている。（当審注：下線は，参考のために当審で付与したものである。）
Ｊ．「【０００２】
マルウェア（ｍａｌｉｃｉｏｕｓ  ｓｏｆｔｗａｒｅ）は，悪意あるコードを含むソフトウェアおよびファイルを指す。コンピュータウイルス，トロイの木馬，ボット，ワーム，スパイウェア等，遠隔地のコンピュータに侵入し攻撃を行うプログラム，他のコンピュータへの感染活動や破壊活動を行うプログラム，および，情報を外部に漏洩する有害な動作を含める。
【０００３】
マルウェアの静的解析は，解析対象となるプログラムの実行前に検査を行い，マルウェアかどうか判定する手法を指す。Ｗｉｎｄｏｗｓ（登録商標；以下，略記する）プログラムでは，プログラム実行前であってもプログラムファイルを検査することで取得できる情報がある。
【０００４】
マルウェアの動的解析は，解析対象となるプログラムを実行後，その挙動を検査してマルウェアか否か判定する手法を指す。
【０００５】
従来のマルウェア検出手法では，静的解析（段落０００３）と動的解析（段落０００４）が別々のモジュールとして実装されており，それぞれのモジュールが独立して動作していた。
ウ．参考文献３に記載されている技術的事項
　本願出願前に頒布された特表２００８−５２３４７１号公報（平成２０年７月３日公表，以下，「参考文献３」という。）には，関連する図面とともに，以下の技術的事項が記載されている。（当審注：下線は，参考のために当審で付与したものである。）
Ｋ．「【要約】
　本発明は，潜在的なマルウェア装置を安全なプログラムコードへ翻訳するためのシステムと方法を含む。潜在的なマルウェアは，限定的ではなく，ネイティブＣＰＵプログラムコード，プラットホーム独立．ＮＥＴバイトコード，スクリプティングバイトコード等を含むソース言語の異なるいくつかのタイプのいずれか１つから翻訳される。翻訳されたプログラムコードはネイティブＣＰＵにより理解され且つ実行されるプログラムコードにコンパイルされる。
実行
前に，本発明はスキャナーによりメモリ内に記憶された潜在的なマルウェアを探索させる。
Ｌ．「【０００５】
　アンチビールスソフトウェアが何千の既知のコンピュータマルウェアを認識することについてより効率的に且つ洗練されるにつれて，コンピュータマルウェアも同じくより洗練されてきている。
例えば，悪意のあるコンピュータユーザは今やマルウェアを暗号化してマルウェアシグネチャを認識できないパターンの背後に隠す。
【０００６】
　オリゴモルフィック（oligomorphic）マルウェアが生成された時，アンチビールスソフトウェア開発者は，復号化ルーチンはマルウェアのバージョン間で一定に留まることを認識しいていた。アンチビールスソフトウェア開発者は，この弱点を利用して，
マルウェアシグネチャについてのみスキャンするだけではなく，マルウェアに付随していると知られる特定の復号化ルーチンに対してもスキャンする。
Ｍ．「【０００９】
　本発明は，マルウェアに対して計算装置を保護するためのセキュリティモデルを提供する。本発明の１つの実施の形態によると，計算装置に関連した潜在的なマルウェアを安全プログラムコードに翻訳する方法が提供される。本発明のこの実施の形態は，潜在的なマルウェアをメモリ中の識別されたプログラムエントリイで解析することで開始する。
潜在的なマルウェアの初期の解析は，プログラムコードを「基本ブロック」に，基本ブロック中の最後の命令に出会うまで命令を復号するにより分割することから成る。
スキャナーがマルウェアの基本ブロックを探索する。もし，マルウェアが検出されて，そして十分なレベルの正確さでもってマルウェアの識別ができた場合，マルウェアを含んだファイルは感染していると報告される。この場合，本発明によるさらなる解析は必要としない。・
Ｎ．「【００１５】
　図２に示されるように，マルウェア検出システム２００は，ＣＰＵ２０２を含む。当業者には理解されるようにＣＰＵ２０２は，ネイティブプログラムコードの実行をサポートすることによりマルウェア検出システム２００の計算センターとしての役割を果たす。隠れたマルウェアを検出するために使用される１つの従来技術は，仮想ＣＰＵを含む仮想オペレーティング環境内でプログラム実行を「エミュレート」することである。エミュレーション中，行動シグネチャが仮想オペレーティング環境内でのプログラムの観測されたイベントに基づいて生成される。行動シグネチャは，エミュレートされたプログラムがマルウェアであるかどうかを決定するための解析に適している。システムのこのタイプにおいては，プログラム中の各命令は仮想ＣＰＵ上でエミュレートされる。この結果，エミュレーションは多くの時間を要し，本発明により提供されるマルウェア検出インフラストラクチャと比較して顕著な性能の低下を発生する。例えば，ループ内のプログラム命令は，プログラム命令の効果が前の反復で観測されても，各反復についてループを介して仮想ＣＰＵ上でエミュレートされる。さらに，プログラムが多大な計算オーバーヘッドを消費するソフトウェアで実現された仮想ＣＰＵ上でエミュレートされる。これに対して，本発明は実際の又はハードウェアに基づいたＣＰＵ２０２上でプログラムコードを実行する。
マルウェアが実行されないことを保証するために，潜在的なマルウェア中のプログラムコードは実行前に安全なプログラムコードに翻訳される。
【００１６】
　
図２に示すように，マルウェア検出システム２００は，マルウェアを検出するように設計されたスキャナー２０４を含む。
いくつかの既存のスキャナーは上述したタイプのエミュレーションシステムと一緒に動作する。
エ．参考文献４に記載されている技術的事項
　本願出願前に頒布された特開２００７−８０２８１号公報（平成１９年３月２９日出願公開，以下，「参考文献４」という。）には，関連する図面とともに，以下の技術的事項が記載されている。（当審注：下線は，参考のために当審で付与したものである。）
Ｐ．「【０００６】
　ウィルス作者は，先在するウィルス内に変異型を生産し始めた。
実行可能命令コードを単に並び替えるだけで，異なるシグネチャがウィルスの変異形態に生産される。こうした新しいシグネチャは，周知シグネチャのデータベースと比較した場合に，ウィルス・スキャナでは認識できない。
【０００７】
　本質的には，暗号化されたウィルスは，ウィルス暗号化解除ルーチンと暗号化されたウィルス本体から成る。ユーザが感染したプログラムを起動すると，ウィルス暗号化解除ルーチンは，最初にコンピュータの制御を得て，次にウィルス本体を暗号化解除する。次いで，暗号化解除ルーチンは，コンピュータの制御を暗号化解除ウィルスに転送する。
【０００８】
　暗号化ウィルスは，どのような単純なウィルスでも行うように，プログラム及びファイルを感染させる。ウィルスが新しいプログラムを感染させるたびに，このウィルスは，暗号化解除されたウィルス本体及び関連する暗号化解除ルーチンの両方のコピーを生成し，このコピーを暗号化して，この両方を目標に添付する。ウィルス本体のコピーを暗号化するために，暗号化されたウィルスは，ウィルスが感染毎に変化するようにプログラムされた暗号キーを用いる。このキーが変化するので，ウィルス本体の並び替えにより，ウィルスは感染毎に異なって見えるようになる。
【０００９】
　命令の並び替えは，機能的に等価な命令において発生し得る。プログラム内の命令が５＋２の足し算をする場合，これは，２＋５の足し算をする変異プログラム・コードと機能的に同じである。しかしながら，プログラム・コード及び変異型は，異なるシグネチャを生産するであろう。このことは，ウィルス対策ソフトウェアが，一致したウィルス本体から抽出されたウィルスシグネチャを検索することを非常に困難にする。」
Ｑ．「【００１１】
実行可能コードのためのシグネチャを生成する方法。実行可能コードのためのエントリ・アドレスを求める。エントリ・アドレスから開始して，
この方法は実行可能コードをステップスルーし，第１の種類の命令を廃棄する。更に，少なくとも１つの種類の分岐命令を廃棄して次に進行する。終了条件に達するまで，ニーモニック・コード・リストが，廃棄されなかった命令をニーモニック形式で発行することにより生成される。
・・・（中略）・・・
【００１６】
　
本実施形態が目的とする利点は，実行可能コードにおいて，種々の変異型アーチファクトがないシグネチャソースを抽出することである。本実施形態が目的とする別の利点は，実行可能コードの変異形態内で一致したシグネチャを計算することである。
（４）対比
ア．本件補正発明と引用発明とを対比する。
（ア）引用発明の「ＨＴＭＬファイル」に含まれる「スクリプト」が，マルウェア検査対象の「ｐｄｆファイル」をダウンロードするものといえるから，引用発明の「ＨＴＭＬファイル」，「スクリプト」及び「ｐｄｆファイル」は，それぞれ本件補正発明の「第１のデータファイル」，「プログラムコード」及び「第２のデータファイル」に相当する。
　引用発明の「システム」は，システムが情報処理装置で構成されることは技術常識からみて明らかであるから，本件補正発明の「情報処理装置」に対応する。
（イ）上記（ア）の検討から，引用発明の「ＨＴＭＬファイル」は本件補正発明の「第１のデータファイル」に相当し，データを読み込むことでデータを取得できることは技術常識であるから，
　引用発明の「ＨＴＭＬファイルを読み込」むことは，本件補正発明の“データファイルを取得”することに相当する。
（ウ）引用発明の「前記ＨＴＭＬファイルに対して，スクリプトの抽出・動的解析を行い，前記スクリプトが外部スクリプトファイルを読み込んでいるか否かを判断」することと，
　本件補正発明の「取得された第１のデータファイルに他の第２のデータファイルを取得するためのプログラムコードが含まれているか否かを検査」すること，及び「前記第１のデータファイルを実行することなく当該第１のデータファイルに前記プログラムコードが含まれているか否かを検査」することを対比すると，
　「ＨＴＭＬファイル」に対して内部のスクリプトが外部スクリプトファイルを読み込んでいるか否かを判断することは，
　取得された「ＨＴＭＬファイル」に外部スクリプトファイルを取得する「スクリプト」が含まれているか否かを検査していることに他ならないから，
　両者は，後記する点で相違するものの，
“取得された第１のデータファイルに他の第２のデータファイルを取得するためのプログラムコードが含まれているか否かを検査”する点で共通しているといえる。
（エ）引用発明の「ＨＴＭＬファイル内のスクリプトによりｐｄｆファイルがダウンロードされる場合，前記ｐｄｆファイルに対して，スクリプトの抽出・動的解析により難読化を解除し，難読化を解除したコード内の，既知の脆弱性のあるコードの有無で，マルウェアであるか否かを判断」することと，
　本件補正発明の「前記第１のデータファイルに前記プログラムコードが含まれていた場合に，当該プログラムコードに基づいて取得される前記第２のデータファイルを検査」すること，及び「前記第２のデータファイルを実行することなく静的な情報に基づいて当該第２のデータファイルを検査」することを対比すると，
　引用発明の「ＨＴＭＬファイル内のスクリプトによりｐｄｆファイルがダウンロードされる場合」は，
　ＨＴＭＬファイル（第１のデータファイル）内に，ｐｄｆファイル（第２のデータファイル）をダウンロードするスクリプト（プログラムコード）が含まれる場合といえるから，
本件補正発明の「前記第１のデータファイルに前記プログラムコードが含まれていた場合」に相当する。
　また，引用発明の「前記ｐｄｆファイルに対して，スクリプトの抽出・動的解析により難読化を解除し，難読化を解除したコード内の，既知の脆弱性のあるコードの有無で，マルウェアであるか否かを判断」することは，
　ｐｄｆファイル（第２のデータファイル）を検査することといえる。
　したがって，両者は，後記する点で相違するものの，
“前記第１のデータファイルに前記プログラムコードが含まれていた場合に，当該プログラムコードに基づいて取得される前記第２のデータファイルを検査”する点で共通しているといえる。
イ．以上から，本件補正発明と引用発明とは，以下の点で一致し，また，以下の点で相違する。
（一致点）
「データファイルを取得し，
取得された第１のデータファイルに他の第２のデータファイルを取得するためのプログラムコードが含まれているか否かを検査し，
前記第１のデータファイルに前記プログラムコードが含まれていた場合に，当該プログラムコードに基づいて取得される前記第２のデータファイルを検査する，
　情報処理装置。」
（相違点１）
　本件補正発明は「第１のデータファイル」を「実行することなく」検査し，「前記第２のデータファイル」を「実行することなく静的な情報に基づいて」検査しているのに対して，
　引用発明は，検査に動的解析を用いている点。
（相違点２）
　本件補正発明は，「取得」処理，第１のデータファイルの「検査」処理，第２のデータファイルの「検査」処理の各処理を行う「ファイル取得手段」，「第１のファイル検査手段」，「第２のファイル検査手段」を備えることが特定されているのに対し，
　引用発明は，「ファイル取得手段」，「第１のファイル検査手段」，「第２のファイル検査手段」を別個の手段として備えることが特定されていない点。
（５）当審の判断
　上記相違点１及び２について検討する。
ア．相違点１について
　引用発明では，データファイルに対して，動的解析を行っているところ，
引用文献の上記Ａの「この難読化された不正なｐｄｆファイルを解析するためには，ｐｄｆファイルから圧縮されたＪａｖａＳｃｒｉｐｔコードを抽出し，難読化を解除する必要がある。これらのインシデントを詳細に把握するためには，一般的に図１に示す手順もしくは逆に被害から解析を進めていく必要があり，大変困難な作業となる。」との記載，上記Ｂの「図１　一般的なインシデント解析手順と開発システムの対応範囲」との記載からすると，従来は，一般的な解析手順として，難読化されていないＨＴＭＬファイルやＰＤＦファイルを動的解析でない，すなわち，静的な手法を用いて解析していたと解するのが妥当である。
　一方，検査対象となるデータファイルを実行する前，すなわち，実行することなく，データファイルを検査するための具体的方法は，例えば参考文献１（上記Ｆ〜Ｈを参照），参考文献２（上記Ｊを参照），参考文献３（上記Ｋ〜Ｎを参照），参考文献４（上記Ｐ，Ｑを参照）に記載されるように，本願の出願前には，情報セキュリティの技術分野において普通に採用されていた周知技術であり，このような場合，データファイルを実行せずに検査するのであるから，挙動パターンのような動的な情報は生成されておらず，該検査には，メタデータやデータのパターン，復号化ルーチンのパターンのような静的な情報しか用いることができないことは明らかである。
　また，解析対象の実行前に検査を行う静的解析と，解析対象の実行後に検査を行う動的解析の両方を行うことも，例えば，参考文献２（上記Ｉを参照）に記載されているように，情報セキュリティの技術分野において普通に採用されていた周知技術である。そして，難読化されたマルウェアが出現しても，従来の難読化されていないマルウェアが依然として存在することは技術常識であり，検査対象のデータファイルが，難読化されたマルウェアを含むのか，難読化されていないマルウェアを含むのかを検査前に知ることはできないのであるから，動的解析を行う引用発明において，難読化されていないマルウェアの静的解析も行うようにするか否かは，当業者が必要に応じて選択し得た事項であり，静的解析も行うことの阻害要因も認められない。
　さらに，難読化されたマルウェアを実行前に検出する方法も，参考文献３（上記Ｋ〜Ｎを参照），参考文献４（上記Ｐ，Ｑを参照）に記載されるように，本願の出願前には，情報セキュリティの技術分野において普通に採用されていた周知技術であった。
　してみると，引用発明において，上記周知技術を適用して，検査を静的に，すなわち，実行することなく静的な情報に基づいて行うように構成すること，すなわち，上記相違点１に係る構成とすることは，当業者が容易に想到し得たことである。
イ．相違点２について
　一連の情報処理を実現する際に，そのための所定の纏まりをもった機能実現手段の組合わせによって実現することは，情報処理分野における常とう手法であるから，引用発明における「取得」処理，第１のデータファイルの「検査」処理，第２のデータファイルの「検査」処理の各処理の機能実現手段として「ファイル取得手段」，「第１のファイル検査手段」，「第２のファイル検査手段」を備えること，すなわち上記相違点２に係る構成とすることは，当業者が容易に想到し得たことである。
ウ．小括
　上記で検討したごとく，相違点１及び相違点２に係る構成は当業者が容易に想到し得たものであり，そして，これらの相違点を総合的に勘案しても，本件補正発明の奏する作用効果は，上記引用発明及び当該技術分野の周知技術の奏する作用効果から予測される範囲内のものにすぎず，格別顕著なものということはできない。
　したがって，本件補正発明は，上記引用発明及び当該技術分野の周知技術に基づいて，当業者が容易に発明をすることができたものであり，特許法第２９条第２項の規定により，特許出願の際独立して特許を受けることができない。
エ．付記
　なお，請求人は，平成２７年８月２０日付け上申書において「しかしながら，文献１に記載されたシステムは，記憶装置に保存されたＨＴＭＬファイルおよびＰＤＦファイルを対象として不正コードの検査を行っています。
　一方，本願発明は，出願当初明細書の段落【００２３】にも記載している通り，ネットワーク・トラフィックをキャプチャして解析し，不正コードの検査を行います。したがって，文献１に，不正コードを検査する手法として静的な情報に基づいて検査する周知技術を適用したとしても，本願発明とは異なる構成となるものと考えます。」と主張している。
　しかしながら，本件補正発明（補正後の請求項１に記載された発明）は，　「データファイル」を検査する「情報処理装置」であって，ネットワーク・トラフィックをキャプチャする点は特定されていない。
　したがって，請求人の主張は，補正後の請求項１の記載に基づくものではなく失当である。
４．むすび
　以上のように，本件補正は，上記「３．独立特許要件」で指摘したとおり，補正後の請求項１に記載された発明が，特許出願の際独立して特許を受けることができるものではないから，特許法第１７条の２第６項において準用する同法第１２６条第７項の規定に違反するので，同法第１５９条第１項において読み替えて準用する同法第５３条第１項の規定により却下すべきものである。
　よって，上記補正却下の決定の結論のとおり決定する。
第３　本願発明について
１．本願発明の認定
　平成２７年２月２７日付けの手続補正は上記のとおり却下されたので，補正後の請求項１に対応する補正前の請求項に係る発明（以下，「本願発明」という。）は，平成２６年９月１８日付けの手続補正により補正された特許請求の範囲の請求項１に記載された事項により特定される，以下のとおりのものである。
「データファイルを取得するファイル取得手段と，
　取得された第１のデータファイルに他の第２のデータファイルを取得するためのプログラムコードが含まれているか否かを検査する第１のファイル検査手段と，
　前記第１のデータファイルに前記プログラムコードが含まれていた場合に，当該プログラムコードに基づいて取得される前記第２のデータファイルを検査する第２のファイル検査手段と，
を備え，
　前記第１のファイル検査手段は，前記第１のデータファイルを実行することなく当該第１のデータファイルに前記プログラムコードが含まれているか否かを検査し，
　前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく当該第２のデータファイルを検査する，情報処理装置。」
２．引用文献に記載されている技術的事項及び引用発明の認定
　原査定の拒絶の理由に引用された，引用発明は，前記「第２　平成２７年２月２７日付けの手続補正についての補正却下の決定」の「３．独立特許要件」の「（２）引用文献」に記載したとおりである。
３．対比・判断
　本願発明は，前記「第２　平成２７年２月２７日付けの手続補正についての補正却下の決定」の「３．独立特許要件」で検討した本件補正発明の「前記第２のファイル検査手段は，前記第２のデータファイルを実行することなく静的な情報に基づいて当該第２のデータファイルを検査する」事項から，「静的な情報に基づいて」検査する点を削除したものである。
　そうすると，本願発明の発明特定事項を全て含む本件補正発明が，前記「第２　平成２７年２月２７日付けの手続補正についての補正却下の決定」の「３．独立特許要件」の「（２）引用文献」〜「（５）当審の判断」に記載したとおり，引用発明及び当該技術分野の周知技術に基づいて当業者が容易に発明をすることができたものであるから，上記特定の限定を省いた本願発明も同様の理由により，引用発明及び当該技術分野の周知技術に基づいて，当業者が容易に発明をすることができたものである。
４．むすび
　以上のとおり，本願の請求項１に係る発明は，特許法第２９条第２項の規定により特許を受けることができないものであるから，その余の請求項に係る発明について検討するまでもなく，本願は拒絶すべきものである。
　よって，結論のとおり審決する。