Zjednodušeně - jde o to, jak programátor napsal daný program, tedy jak formuloval kód. Antivirus zjišťuje strukturu kódu zejména tím, že porovnává databázi už známých virů (respektive jejich kódy) s programy (jejich kódy), které tím kontroluje. Může se potom stát, že autor programu (třeba i nevědomky) použil kód, který je podobný (nebo se za určitých podmínek může chovat), jako nějaký, již známý, virus. Do karantény ho odloží, aby, pokud se ukáže, že je ten kód neškodný (nebo mu to určíš ty výjimkou), šel snadno obnovit kvůli funkčnosti programu, který chceš používat. V truhle je totiž sice stále přítomný v počítači, ale neaktivní, takže nemůže potenciálně škodit. Takže pokud je něco v truhle, a přitom všechno funguje, tak truhlu klidně vyčisti, pokud jsi si jistý, že je soubor neškodný, tak ho přidej do výjimek a obnov ho.