JP2021060926A - 決定方法、情報処理装置、及び決定プログラム - Google Patents

Abstract

【課題】個人情報が有する複数の項目から削除項目の組み合わせを決定するための計算負荷を軽減する。【解決手段】コンピュータは、複数の項目をそれぞれ有する複数の個人情報を受け付け、複数の個人情報それぞれについて、項目値が存在する項目の一部を削除した場合に残される項目に対する評価値に基づき、削除候補の項目を特定する。次に、コンピュータは、複数の項目それぞれについて、項目が削除候補として特定された個人情報の個数を求め、複数の項目それぞれについて求められた個人情報の個数に基づき、削除候補の項目の中から削除項目を決定する。【選択図】図５

Description

本発明は、決定方法、情報処理装置、及び決定プログラムに関する。

Ｓｏｃｉｅｔｙ ５．０及びＤＦＦＴ（Data Free Flow with Trust）が示すように、データ流通は国家的に重要なテーマとなっている。現在、パーソナルデータ流通のための情報銀行の実現に向けて、官民で作業が進められている。

情報銀行システムでは、認定機関が、認定基準を満たす事業者を情報銀行として認定する。個人は、自己の権限においてパーソナルデータを情報銀行に預託し、情報銀行は、預託されたパーソナルデータを、個人の同意の下で情報銀行の利用者である企業等に提供する。そして、情報銀行の利用者は、パーソナルデータの利用に対する報酬として、個人にポイント等の便益を還元する。

パーソナルデータのリスクを算定するモデルとして、日本ネットワークセキュリティ協会（Japan Network Security Association，ＪＮＳＡ）によって策定されたＪＯ（JNSA Damage Operation）モデルが知られている。パーソナルデータのリスクは、パーソナルデータ漏洩時の予想損害賠償額を表す。認定機関の認定基準では、利用者からパーソナルデータが漏洩した場合の責任も、情報銀行が負うことになっている。

また、パーソナルデータの価値を算定するモデルとして、日本情報経済社会推進協会によって策定されたＪＩＰＤＥＣ（Japan Information Processing and Development Center）モデルが知られている。パーソナルデータの価値は、パーソナルデータの仮想的な市場価値を表す。

情報銀行に関連して、匿名化技術に対する特許出願技術動向調査の結果が報告されている（例えば、非特許文献１を参照）。

"ＡＩや非構造化データへの対応技術、ビッグデータ時代のプライバシー保護"、［online］、日経ＸＴＥＣＨ、［令和１年９月１７日検索］、インターネット＜ＵＲＬ：https://tech.nikkeibp.co.jp/atcl/nxt/column/18/00053/00014/＞

情報銀行は、利用者に提供するパーソナルデータのリスク及び価値の金額を算定し、パーソナルデータから高リスク低価値な部分を除外することで、想定利益を最大化することができる。パーソナルデータは、個人情報と呼ばれることもある。

情報銀行が扱う個人情報が複数の項目を有する場合、１つ以上の項目を削除することで、個人情報の価値の金額と個人情報のリスクの金額との差額を増加させることが可能である。しかしながら、項目の個数が増加すると、最適な削除項目の組み合わせを決定するための計算負荷が大きくなる。

なお、かかる問題は、ＪＯモデル及びＪＩＰＤＥＣモデルを用いて個人情報のリスク及び価値を評価する場合に限らず、様々な評価方法により個人情報を評価する場合において生ずるものである。

１つの側面において、本発明は、個人情報が有する複数の項目から削除項目の組み合わせを決定するための計算負荷を軽減することを目的とする。

１つの案では、コンピュータは以下の処理を実行する。
（１）コンピュータは、複数の項目をそれぞれ有する複数の個人情報を受け付ける。
（２）コンピュータは、複数の個人情報それぞれについて、項目値が存在する項目の一部を削除した場合に残される項目に対する評価値に基づき、削除候補の項目を特定する。
（３）コンピュータは、複数の項目それぞれについて、項目が削除候補として特定された個人情報の個数を求める。
（４）コンピュータは、複数の項目それぞれについて求められた個人情報の個数に基づき、削除候補の項目の中から削除項目を決定する。

１つの側面によれば、個人情報が有する複数の項目から削除項目の組み合わせを決定するための計算負荷を軽減することができる。

個人情報テーブルを示す図である。 二値化個人情報テーブルを示す図である。 局所探索法による探索処理を示す図である。 情報処理装置の機能的構成図である。 個人情報制御処理のフローチャートである。 情報処理装置の具体例を示す機能的構成図である。 ５人の人物の二値化個人情報テーブルを示す図である。 パラメータ情報を示す図である。 ｘ＝（１，１，３，３）の場合に条件を満たす列の範囲を示す図である。 ｘ＝（１，３，３，３）の場合に条件を満たす列の範囲を示す図である。 削除候補セル情報を示す図である。 指標を示す図である。 実験結果を示す図である。 個人情報制御処理の具体例を示すフローチャートである。 削除候補特定処理のフローチャート（その１）である。 削除候補特定処理のフローチャート（その２）である。 削除項目決定処理のフローチャートである。 情報処理装置のハードウェア構成図である。

以下、図面を参照しながら、実施形態を詳細に説明する。
ＪＯモデルでは、個人情報が有する属性の経済的損失レベルＥ及び精神的苦痛レベルＰに対する機微情報度Ｆが、次式により計算される。

Ｆ＝５＾（ｍａｘＥ−１）＋１０＾（ｍａｘＰ−１） （１）

ｍａｘＥは、個人情報が有する複数の属性それぞれの経済的損失レベルＥの最大値を表し、ｍａｘＰは、複数の属性それぞれの精神的苦痛レベルＰの最大値を表す。個人情報のリスクは、機微情報度Ｆに所定の定数を乗算することで算定される。

ＪＩＰＤＥＣモデルでは、個人情報が有する属性の有用性レベルＵ及び受容性レベルＲに対する情報価値度Ｇが、次式により計算される。

Ｇ＝６＾（ｍａｘＵ−１）＋８＾（ｍａｘＲ−１） （２）

ｍａｘＵは、個人情報が有する複数の属性それぞれの有用性レベルＵの最大値を表し、ｍａｘＲは、複数の属性それぞれの受容性レベルＲの最大値を表す。個人情報の価値は、情報価値度Ｇに所定の定数を乗算することで算定される。

図１は、個人情報テーブルの例を示している。図１の個人情報テーブルの行は、３人の人物の個人ＩＤに対応し、列は、位置情報、購買情報、生体情報、及び診療情報の項目に対応する。各個人ＩＤは、各人物の個人情報を識別する識別情報であり、各項目は、個人情報が有する属性に対応する。個人情報１０１〜個人情報１０３は、３人の人物の個人情報を表す。

個人情報テーブルの各行及び各列に対応するセルには、項目値又は“Ｎｕｌｌ”が記述されている。例えば、個人情報１０１の個人ＩＤは“ａ”であり、位置情報は“新宿 １３：１３”であり、購買情報は“飲料水”であり、生体情報は“体温 ３６．５”であり、診療情報は“Ｎｕｌｌ”である。このうち、“新宿 １３：１３”、“飲料水”、及び“体温 ３６．５”は、個人情報１０１に存在する項目値に対応し、“Ｎｕｌｌ”は、項目値が欠損していて存在しないことを示す。

ＪＯモデルでは、各個人の個人情報において、項目値が存在する項目の経済的損失レベルＥ及び精神的苦痛レベルＰに基づき、式（１）により機微情報度Ｆを計算することで、その個人情報のリスクが算定される。また、ＪＩＰＤＥＣモデルでは、各個人の個人情報において、項目値が存在する項目の有用性レベルＵ及び受容性レベルＲに基づき、式（２）により情報価値度Ｇを計算することで、その個人情報の価値が算定される。

したがって、個人情報のリスク及び価値の算定においては、各項目の項目値の有無のみが重要となる。そこで、図１の個人情報テーブルに存在する項目値を論理値“１”に置き換え、“Ｎｕｌｌ”を論理値“０”に置き換えることで、二値化個人情報テーブルを生成することができる。

図２は、図１の個人情報テーブルを二値化することで生成された、二値化個人情報テーブルの例を示している。図２の二値化個人情報テーブルでは、図１の個人情報１０１〜個人情報１０３が二値化個人情報２０１〜二値化個人情報２０３にそれぞれ置き換えられている。

（Ｅ，Ｐ）は、各項目の経済的損失レベルＥ及び精神的苦痛レベルＰの値を表し、（Ｕ，Ｒ）は、各項目の有用性レベルＵ及び受容性レベルＲの値を表す。経済的損失レベルＥ、精神的苦痛レベルＰ、有用性レベルＵ、及び受容性レベルＲは、各項目に対して設定されたパラメータの一例である。

例えば、位置情報については、（Ｅ，Ｐ）＝（１，１）であり、（Ｕ，Ｒ）＝（１，１）である。購買情報については、（Ｅ，Ｐ）＝（２，１）であり、（Ｕ，Ｒ）＝（３，２）である。生体情報については、（Ｅ，Ｐ）＝（１，２）であり、（Ｕ，Ｒ）＝（３，３）である。診療情報については、（Ｅ，Ｐ）＝（１，３）であり、（Ｕ，Ｒ）＝（３，３）である。

まず、ＪＯモデルを用いて、二値化個人情報２０１〜二値化個人情報２０３に対するリスクを算定してみる。二値化個人情報２０１において、診療情報の値は論理値“０”であり、項目値が存在しないことを示しているため、位置情報、購買情報、及び生体情報のパラメータのみに基づいて、機微情報度Ｆが計算される。

この場合、位置情報、購買情報、及び生体情報の経済的損失レベルＥの最大値は“２”であり、精神的苦痛レベルＰの最大値も“２”である。したがって、機微情報度Ｆは、次式のように計算される。

Ｆ＝５＾（２−１）＋１０＾（２−１）
＝５＋１０
＝１５ （３）

簡単のため、機微情報度Ｆに乗算される定数を１とすると、二値化個人情報２０１に対するリスクは１５円となる。同様にして、二値化個人情報２０２に対するリスクは１１円となり、二値化個人情報２０３に対するリスクは１０１円となる。したがって、二値化個人情報２０１〜二値化個人情報２０３に対する合計リスクは１２７円となる。

次に、ＪＩＰＤＥＣモデルを用いて、二値化個人情報２０１〜二値化個人情報２０３に対する価値を算定してみる。二値化個人情報２０１において、診療情報の値は“０”であり、項目値が存在しないことを示しているため、位置情報、購買情報、及び生体情報のパラメータのみに基づいて、情報価値度Ｇが計算される。

この場合、位置情報、購買情報、及び生体情報の有用性レベルＵの最大値は“３”であり、受容性レベルＲの最大値も“３”である。したがって、情報価値度Ｇは、次式のように計算される。

Ｇ＝６＾（３−１）＋８＾（３−１）
＝３６＋６４
＝１００ （４）

簡単のため、情報価値度Ｇに乗算される定数を１とすると、二値化個人情報２０１に対する価値は１００円となる。同様にして、二値化個人情報２０２に対する価値及び二値化個人情報２０３に対する価値も１００円となる。したがって、二値化個人情報２０１〜二値化個人情報２０３に対する合計価値は３００円となる。

このように、各二値化個人情報に対するリスク及び価値は、項目値が存在する項目のパラメータの最大値に依存するため、二値化個人情報テーブルのいずれかの列を削除すると、リスク及び価値の算定値が変化する。

そこで、個人情報から高リスク低価値な部分を除外して想定利益を最大化するために、想定利益を示す評価値を導入する。例えば、図２の各二値化個人情報に対する評価値として、二値化個人情報に対する価値から二値化個人情報に対するリスクを減算して得られる差分を用いることができる。この場合、二値化個人情報２０１〜二値化個人情報２０３に対する合計評価値は、合計価値から合計リスクを減算することで求められる。

例えば、いずれの列も削除しない場合、合計価値は３００円となり、合計リスクは１２７円となる。したがって、合計評価値は、３００円−１２７円＝１７３円となる。一方、二値化個人情報テーブルから購買情報の列を削除した場合、合計価値は３００円となり、合計リスクは１２３円となる。したがって、合計評価値は、３００円−１２３円＝１７７円となる。また、二値化個人情報テーブルから購買情報及び診療情報の２列を削除した場合、合計価値は３００円となり、合計リスクは３３円となる。したがって、合計評価値は、３００円−３３円＝２６７円となる。

このように、二値化個人情報テーブルからより多くの列を削除することで、合計評価値が増加することもある。個人情報テーブルから高リスク低価値な部分を除外することで、想定利益を最大化するためには、合計評価値が最大になるような削除項目の組み合わせを求めればよい。

このような削除項目の組み合わせを求める単純な方法として、全探索法が挙げられる。全探索法では、削除項目の組み合わせすべてについて合計評価値を計算し、合計評価値が最大になるような削除項目の組み合わせが求められる。

しかしながら、全探索法では、削除項目の組み合わせすべてに対して、個人情報毎に価値及びリスクの計算が繰り返されるため、個人情報テーブルの規模が大きくなると、計算量が増大する。具体的には、ｎ行ｍ列の個人情報テーブルの場合、削除項目の組み合わせの総数は２^ｍ個であり、計算量のオーダはＯ（ｎｍ２^ｍ）となる。

所定のＣＰＵ（Central Processing Unit）、ＯＳ（Operating System）、メモリ、及び実装言語を用いた実験によれば、ｎ＝１０００及びｍ＝３０の場合、１つの組み合わせに対する合計評価値を計算するのに、約０．０１秒かかることが分かっている。したがって、２^３０個の組み合わせに対して合計評価値を計算するには、最低でも約４か月かかることになる。実際には、合計評価値の最大値を求める処理と、合計評価値の最大値に対応する項目の組み合わせを抽出する処理も追加されるため、処理時間はさらに増加する。

そこで、削除項目の組み合わせを高速に決定するために、メタヒューリスティクスの１つである局所探索法を適用することが考えられる。局所探索法では、削除項目をランダムに指定した後、１つの項目を削除する操作又は１つの項目を復活させる操作のいずれかが行われ、合計評価値が最大となる削除項目の組み合わせが選択される。合計評価値が減少しない限り、このような操作が繰り返され、合計評価値が減少した場合又は操作回数が上限回数に到達した場合、処理を終了する。これにより、計算量を抑えながら、徐々に合計評価値を増加させていくことができる。

例えば、図２の二値化個人情報テーブルにおいて、最初に購買情報が削除項目として指定された場合、合計評価値は１７３円から１７７円に増加する。この場合、合計評価値は減少していないため、さらに削除項目が追加される。例えば、診療情報が削除項目として追加された場合、合計評価値は１７７円から２６７円に増加する。しかしながら、局所探索法では局所解が得られることが多く、必ずしも最適解が得られるとは限らない。

図３は、局所探索法による探索処理の例を示している。横軸は、削除項目の組み合わせの変化を表し、縦軸は、合計評価値を表す。折れ線３０１は、削除項目の組み合わせの変化に対する合計評価値の変化を表し、折れ線３０１上に最適解３２１及び局所解３２２が存在する。局所探索法では、矢印３１１及び矢印３１２が示すように、局所解３２２に対応する削除項目の組み合わせが得られる傾向にある。

図４は、実施形態の情報処理装置（コンピュータ）の機能的構成例を示している。図４の情報処理装置４０１は、記憶部４１１、特定部４１２、及び決定部４１３を含む。

図５は、図４の情報処理装置４０１が行う個人情報制御処理の例を示すフローチャートである。まず、情報処理装置４０１は、複数の項目をそれぞれ有する複数の個人情報を受け付けて、記憶部４１１に格納する（ステップ５０１）。記憶部４１１は、それらの個人情報を記憶する。

次に、特定部４１２は、複数の個人情報それぞれについて、項目値が存在する項目の一部を削除した場合に残される項目に対する評価値に基づき、削除候補の項目を特定する（ステップ５０２）。

次に、決定部４１３は、複数の項目それぞれについて、項目が削除候補として特定された個人情報の個数を求める（ステップ５０３）。そして、決定部４１３は、複数の項目それぞれについて求められた個人情報の個数に基づき、削除候補の項目の中から削除項目を決定する（ステップ５０４）。

図４の情報処理装置４０１によれば、個人情報が有する複数の項目から削除項目の組み合わせを決定するための計算負荷を軽減することができる。

上述したように、個人情報テーブルの合計評価値を最大化するために削除すべき列を計算するには、長い時間がかかるが、各個人情報の評価値を最大化するために削除すべきセルは、高速に計算することができる。その理由は、１人分の個人情報の評価値を最大化するには、残されるセルに対する価値及びリスクを計算して、削除候補のセルを優先度付けするだけで済むからである。

個人情報テーブルにおいて項目値が欠損しているセルが少ない場合、各個人情報の削除候補のセルを示す解は、個人情報テーブルの削除項目を示す解と類似する。例えば、項目値が欠損しているセルが存在しない場合、２つの解は一致する。そして、現実の個人情報においては、項目値が欠損していることが少ない。

そこで、個人情報の削除候補のセルを示す解と類似する削除項目の組み合わせを求めることで、個人情報テーブルの規模が大きい場合であっても、合計評価値を最大化する最適解に近い解を高速に求めることができる。この場合、以下のような手順により、削除項目の組み合わせが求められる。

（Ｐ１）情報処理装置は、個人情報テーブルの各行について、評価値を最大化する削除セルの組み合わせを求める。

（Ｐ２）情報処理装置は、個人情報テーブルの各列について、削除セルに指定されたセルの割合が大きい場合、その列の項目を削除項目に決定し、削除セルに指定されたセルの割合が小さい場合、その列の項目を削除項目から除外する。

（Ｐ３）情報処理装置は、（Ｐ２）の処理を行っていない列の本数が、時間的に全探索可能な本数になるまで、（Ｐ２）の処理を繰り返す。

（Ｐ４）（Ｐ２）の処理を行っていない列の本数が全探索可能な本数になった場合、情報処理装置は、残りの列に対して全探索法により削除項目の組み合わせを求める。

このような手順により、項目値があまり欠損していない個人情報テーブルに対して、評価値をできるだけ最大化するような削除項目の組み合わせを、高速に求めることができる。

図６は、図４の情報処理装置４０１の具体例を示している。図６の情報処理装置６０１は、記憶部６１１、入力部６１２、特定部６１３、決定部６１４、及び出力部６１５を含む。記憶部３１１、特定部６１３、及び決定部６１４は、図４の記憶部４１１、特定部４１２、及び決定部４１３にそれぞれ対応する。

入力部６１２は、複数の個人情報を受け付けて、記憶部６１１内の個人情報テーブル６２１に登録するとともに、個人情報テーブル６２１の各項目に対する複数のパラメータを受け付けて、記憶部６１１内のパラメータ情報６２３に登録する。これにより、個人情報テーブル６２１の各項目に対して、パラメータが設定される。

入力部６１２は、ユーザから入力される個人情報を受け付けてもよく、通信ネットワークを介して、外部の情報処理装置から個人情報を受信してもよい。例えば、各項目に対するパラメータとしては、精神的苦痛レベルＰ、経済的損失レベルＥ、受容性レベルＲ、及び有用性レベルＵが用いられる。

特定部６１３は、個人情報テーブル６２１を二値化することで、二値化個人情報テーブル６２２を生成して、記憶部６１１に格納する。次に、特定部６１３は、二値化個人情報テーブル６２２に含まれる二値化個人情報毎に、各項目に対する複数のパラメータそれぞれの値の範囲に基づいて、複数の評価値を計算し、所定の評価値を実現する項目の組み合わせを特定する。

例えば、評価値としては、価値からリスクを減算して得られる差分を用いることができる。価値とリスクの差分を評価値として用いることで、二値化個人情報テーブル６２２の想定利益を最大化する削除項目の組み合わせを求めることが可能になる。

価値とリスクの差分を評価値として用いる場合、各二値化個人情報に対する評価値は、二値化個人情報に含まれる項目の精神的苦痛レベルＰ、経済的損失レベルＥ、受容性レベルＲ、及び有用性レベルＵそれぞれの値の範囲によって決定される。したがって、これらのパラメータの値の範囲を変更することで、削除されるセルと残されるセルとを個別に指定しなくても、容易に複数の評価値を生成することができる。

そして、所定の評価値に対応する値の範囲を実現する項目の組み合わせを求めることで、所定の評価値を実現する項目の組み合わせを特定することができる。所定の評価値を実現する項目は、残されるセルの項目を表している。

次に、特定部６１３は、複数の項目の中から、特定された組み合わせに含まれる項目を除外することで、削除候補の項目を特定する。そして、特定部６１３は、二値化個人情報テーブル６２２のセルのうち、削除候補の項目に対応するセルを示す削除候補セル情報６２４を生成して、記憶部６１１に格納する。

決定部６１４は、二値化個人情報テーブル６２２の各項目について、その項目が削除候補として特定された個人情報の個数を求める。そして、決定部６１４は、求められた個人情報の個数に基づいて、削除候補の項目の中から削除項目を決定し、削除項目集合６２５を生成して、記憶部６１１に格納する。

出力部６１５は、削除項目集合６２５を出力する。出力部６１５は、削除項目集合６２５を画面上に表示してもよく、通信ネットワークを介して、外部の情報処理装置へ送信してもよい。

図７は、５人の人物の二値化個人情報テーブル６２２の例を示している。図７の二値化個人情報テーブル６２２は、５行６列のテーブルであり、ＩＤ１〜ＩＤ５は、５人の人物の個人ＩＤにそれぞれ対応し、列１〜列６は、６個の項目にそれぞれ対応する。論理値“１”は、項目値が存在するセルを示しており、論理値“０”は、項目値が存在しないセルを示している。

図８は、図７の二値化個人情報テーブル６２２に対して設定されたパラメータ情報６２３の例を示している。図８（ａ）は、精神的苦痛レベルＰ及び経済的損失レベルＥの例を示している。各列の項目の精神的苦痛レベルＰ及び経済的損失レベルＥは、以下の通りである。

列１ Ｐ＝３，Ｅ＝３
列２ Ｐ＝２，Ｅ＝１
列３ Ｐ＝１，Ｅ＝３
列４ Ｐ＝１，Ｅ＝３
列５ Ｐ＝２，Ｅ＝２
列６ Ｐ＝２，Ｅ＝２

図８（ｂ）は、受容性レベルＲ及び有用性レベルＵの例を示している。各列の項目の受容性レベルＲ及び有用性レベルＵは、以下の通りである。

列１ Ｒ＝１，Ｕ＝１
列２ Ｒ＝２，Ｕ＝２
列３ Ｒ＝３，Ｕ＝２
列４ Ｒ＝１，Ｕ＝３
列５ Ｒ＝２，Ｕ＝３
列６ Ｒ＝１，Ｕ＝３

特定部６１３は、例えば、以下のような手順により、削除候補セル情報６２４を生成する。

（Ｐ１１）特定部６１３は、二値化個人情報テーブル６２２の各行の二値化個人情報について、項目値が存在するすべてのセルを選択する。そして、特定部６１３は、パラメータ情報６２３を参照して、選択されたセルの列に対応する項目の精神的苦痛レベルＰの最大値ｐ、経済的損失レベルＥの最大値ｅ、受容性レベルＲの最大値ｒ、及び有用性レベルＵの最大値ｕを求める。

（Ｐ１２）特定部６１３は、精神的苦痛レベルＰ、経済的損失レベルＥ、受容性レベルＲ、及び有用性レベルＵそれぞれを要素とするパラメータベクトルｘ＝（ｘ１，ｘ２，ｘ３，ｘ４）の集合Ｓを生成する。

Ｓ＝｛（ｘ１，ｘ２，ｘ３，ｘ４）｜
１≦ｘ１≦ｐ，１≦ｘ２≦ｅ，１≦ｘ３≦ｒ，１≦ｘ４≦ｕ｝ （１１）

変数ｘ１は、精神的苦痛レベルＰを表す整数であり、変数ｘ１の値の範囲は、１≦ｘ１≦ｐである。変数ｘ２は、経済的損失レベルＥを表す整数であり、変数ｘ２の値の範囲は、１≦ｘ２≦ｅである。変数ｘ３は、受容性レベルＲを表す整数であり、変数ｘ３の値の範囲は、１≦ｘ３≦ｒである。変数ｘ４は、有用性レベルＵを表す整数であり、変数ｘ４の値の範囲は、１≦ｘ４≦ｕである。

（Ｐ１３）特定部６１３は、集合Ｓに含まれる各パラメータベクトルｘの評価値ｖを、次式により計算する。

ｖ＝（８＾（ｘ３−１）＋６＾（ｘ４−１））
−（１０＾（ｘ１−１）＋５＾（ｘ２−１）） （１２）

式（１２）の右辺の（８＾（ｘ３−１）＋６＾（ｘ４−１））は価値を表し、（１０＾（ｘ１−１）＋５＾（ｘ２−１））はリスクを表す。特定部６１３は、すべてのパラメータベクトルｘを評価値ｖの降順にソートする。

（Ｐ１４）特定部６１３は、最大の評価値ｖを有するパラメータベクトルｘから順に、次の条件を満たす項目の集合を生成する。
（Ｃ１）項目値が存在するセルの列に対応する項目の精神的苦痛レベルＰが、ｘ１以下である。
（Ｃ２）項目値が存在するセルの列に対応する項目の経済的損失レベルＥが、ｘ２以下である。
（Ｃ３）項目値が存在するセルの列に対応する項目の受容性レベルＲが、ｘ３以下である。
（Ｃ４）項目値が存在するセルの列に対応する項目の有用性レベルＵが、ｘ４以下である。

（Ｐ１５）特定部６１３は、（Ｐ１４）で生成された集合に含まれる項目の精神的苦痛レベルＰの最大値ｗ１、経済的損失レベルＥの最大値ｗ２、受容性レベルＲの最大値ｗ３、及び有用性レベルＵの最大値ｗ４を求める。

（Ｐ１６）パラメータベクトルｘとベクトル（ｗ１，ｗ２，ｗ３，ｗ４）とが一致する場合、特定部６１３は、二値化個人情報の項目値が存在する項目に対するパラメータの最大値として、パラメータベクトルｘが達成できると判定する。そして、特定部６１３は、（Ｐ１４）で生成された集合に含まれる項目を、残すべき項目に決定する。一方、パラメータベクトルｘとベクトル（ｗ１，ｗ２，ｗ３，ｗ４）とが一致しない場合、特定部６１３は、パラメータベクトルｘが達成されないと判定し、次に大きな評価値ｖを有するパラメータベクトルｘについて、（Ｐ１４）の処理を繰り返す。

（Ｐ１７）特定部６１３は、残すべき項目以外の項目を削除候補の項目に決定し、二値化個人情報の項目値が存在するセルのうち、削除候補の項目に対応するセルを、削除候補セルに決定する。そして、特定部６１３は、削除候補セルを示す削除候補セル情報６２４を生成する。

このような手順によれば、各二値化個人情報について、残されるセルの項目に対する評価値が最大になるように削除候補セルが決定される。したがって、その評価値よりも小さな評価値を実現する項目を求める必要がなくなり、評価値を最大化する削除候補セルを効率良く決定することができる。これにより、削除候補セル情報６２４を生成する処理の計算量のオーダはＯ（ｎｍ）となり、高々多項式時間で削除候補セル情報６２４を生成することができる。

例えば、図７のＩＤ１の二値化個人情報の場合、すべてのセルが論理値“１”を有するため、すべてのセルが選択される。そして、図８のパラメータ情報６２３を参照して、（ｐ，ｅ，ｒ，ｕ）＝（３，３，３，３）に決定される。この場合、次のような集合Ｓが生成される。

Ｓ＝｛（ｘ１，ｘ２，ｘ３，ｘ４）｜
１≦ｘ１≦３，１≦ｘ２≦３，１≦ｘ３≦３，１≦ｘ４≦３｝ （１３）

集合Ｓの各要素の評価値ｖを式（１２）により計算し、それらの要素を評価値の降順にソートすると、次のようなソート結果が得られる。

（１，１，３，３），（１，２，３，３），（２，１，３，３），（２，２，３，３），
（１，３，３，３），．．．，（３，３，１，１）

まず、ｘ＝（１，１，３，３）の場合に、ＩＤ１の二値化個人情報に対するパラメータの最大値として、パラメータベクトルｘが達成されるか否かが判定される。

図９は、図８のパラメータ情報６２３において、ｘ＝（１，１，３，３）の場合に上記（Ｃ１）〜（Ｃ４）の条件を満たす列の範囲を示している。図９（ａ）は、（Ｃ１）及び（Ｃ２）の条件を満たす列の範囲を示している。図９（ａ）の網掛領域９０１は、精神的苦痛レベルＰが１以下であり、かつ、経済的損失レベルＥが１以下である範囲を表す。

図９（ｂ）は、（Ｃ３）及び（Ｃ４）の条件を満たす列の範囲を示している。図９（ｂ）の網掛領域９０２は、受容性レベルＲが３以下であり、かつ、有用性レベルＵが３以下である範囲を表す。

網掛領域９０２内には列１〜列６が含まれているが、網掛領域９０１内にはいずれの列も含まれていないため、（Ｃ１）〜（Ｃ４）のすべての条件を満たす列は存在しない。したがって、ｘ＝（１，１，３，３）の場合にパラメータベクトルｘは達成されないことが分かり、ソート結果における次の順位の（１，２，３，３）が選択される。

ｘ＝（１，２，３，３）の場合も、ｘ＝（１，１，３，３）の場合と同様にして、パラメータベクトルｘは達成されないことが分かる。したがって、ソート結果における次の順位の（２，１，３，３）が選択される。

ｘ＝（２，１，３，３）の場合、（Ｃ１）〜（Ｃ４）のすべての条件を満たす列は列２のみであるが、列２のパラメータは（Ｐ，Ｅ，Ｒ，Ｕ）＝（２，１，２，２）であるため、（ｗ１，ｗ２，ｗ３，ｗ４）＝（２，１，２，２）となる。この場合、パラメータベクトルｘとベクトル（ｗ１，ｗ２，ｗ３，ｗ４）とが一致しないため、ｘ＝（２，１，３，３）の場合にパラメータベクトルｘは達成されないことが分かり、ソート結果における次の順位の（２，２，３，３）が選択される。

ｘ＝（２，２，３，３）の場合、（Ｃ１）〜（Ｃ４）のすべての条件を満たす列は列２、列５、及び列６であり、（ｗ１，ｗ２，ｗ３，ｗ４）＝（２，２，２，３）となる。この場合、パラメータベクトルｘとベクトル（ｗ１，ｗ２，ｗ３，ｗ４）とが一致しないため、ｘ＝（２，２，３，３）の場合にパラメータベクトルｘは達成されないことが分かり、ソート結果における次の順位の（１，３，３，３）が選択される。

図１０は、ｘ＝（１，３，３，３）の場合に上記（Ｃ１）〜（Ｃ４）の条件を満たす列の範囲を示している。図１０（ａ）は、（Ｃ１）及び（Ｃ２）の条件を満たす列の範囲を示している。図１０（ａ）の網掛領域１００１は、精神的苦痛レベルＰが１以下であり、かつ、経済的損失レベルＥが３以下である範囲を表す。

図１０（ｂ）は、（Ｃ３）及び（Ｃ４）の条件を満たす列の範囲を示している。図１０（ｂ）の網掛領域１００２は、受容性レベルＲが３以下であり、かつ、有用性レベルＵが３以下である範囲を表す。

網掛領域１００１内には列３及び列４が含まれており、網掛領域１００２内には列１〜列６が含まれている。したがって、（Ｃ１）〜（Ｃ４）のすべての条件を満たす列は列３及び列４であり、（ｗ１，ｗ２，ｗ３，ｗ４）＝（１，３，３，３）となる。この場合、パラメータベクトルｘとベクトル（ｗ１，ｗ２，ｗ３，ｗ４）とが一致するため、列３及び列４の項目が、残すべき項目に決定され、列１、列２、列５、及び列６の項目が、削除候補の項目に決定される。

列３及び列４のセルを残し、それ以外のセルを削除することで、ＩＤ１の二値化個人情報に対する評価値ｖを最大化することができ、この場合の評価値ｖは、次式のように計算される。

ｖ＝（８＾（３−１）＋６＾（３−１））−（１０＾（１−１）＋５＾（３−１））
＝（６４＋３６）−（１＋２５）
＝７４ （１４）

ＩＤ２〜ＩＤ５の二値化個人情報に対しても同様の処理を行うことで、各二値化個人情報に対する削除候補セルが決定される。

図１１は、図７の二値化個人情報テーブル６２２から生成された削除候補セル情報６２４の例を示している。図１１の削除候補セル情報６２４において、網掛されたセルは、削除候補セルを表す。削除候補セルの論理値は、論理値“１”から論理値“０”に変更されている。ＩＤ１〜ＩＤ５の二値化個人情報それぞれに対する評価値ｖを最大化した場合の合計評価値Ｖ０は、３１６円である。

次に、決定部６１４は、例えば、以下のような手順により、削除項目集合６２５を生成する。

（Ｐ２１）決定部６１４は、二値化個人情報テーブル６２２のｊ番目（ｊ＝１〜ｍ）の列を削除するか否かを判定するための指標ｆｊを、次式により計算する。

ｆｊ＝Ｎ１（ｊ）／Ｎ２（ｊ） （２１）

Ｎ１（ｊ）は、削除候補セル情報６２４において、ｊ番目の列に含まれる削除候補セルの個数を表し、Ｎ２（ｊ）は、二値化個人情報テーブル６２２において、ｊ番目の列に含まれる論理値“１”のセルの個数を表す。

指標ｆｊが１に近い列は、削除候補セルの割合が大きいため、削除すべき列であると言える。一方、指標ｆｊが０に近い列は、削除候補セルの割合が小さいため、残すべき列であると言える。指標ｆｊが１／２に近い列は、削除すべきか否かが必ずしも明確ではない。そこで、決定部６１４は、二値化個人情報テーブル６２２のｍ本の列を、｜ｆｊ−１／２｜の値の降順にソートする。

（Ｐ２２）決定部６１４は、ソート結果における先頭のｍ−ｓ本の列について、｜ｆｊ−１／２｜の最大値を有する列から順に、次のような操作を繰り返す。
（Ｏ１）決定部６１４は、ｆｊ−１／２が正である場合、ｊ番目の列の項目を削除項目に決定する。
（Ｏ２）決定部６１４は、ｆｊ−１／２が負である場合、ｊ番目の列の項目を残される項目に決定する。

（Ｐ２３）決定部６１４は、残りのｓ本の列について、全探索法により削除項目を決定する。残りの列の本数が少ない場合は、全探索法により短時間で最適解を求めることができる。全探索法の対象となる列の本数ｓは、あらかじめシミュレーション等によって決定することができる。

（Ｐ２４）決定部６１４は、（Ｐ２２）で決定された削除項目と（Ｐ２３）で決定された削除項目とを含む、削除項目集合６２５を生成する。

（Ｐ２５）決定部６１４は、削除項目集合６２５に含まれる項目以外の項目を残した場合の合計評価値Ｖ（ｓ）を計算し、各二値化個人情報に対する評価値ｖを最大化した場合の合計評価値Ｖ０と、合計評価値Ｖ（ｓ）との誤差ＥＶを、次式により計算する。

ＥＶ＝Ｖ０−Ｖ（ｓ） （２２）

ＥＶ＝０の場合、削除項目集合６２５は、各二値化個人情報に対する評価値ｖを最大化する理想的な解を示している。

このような手順によれば、削除項目集合６２５を生成する処理の計算量のオーダはＯ（ｎｍ＋ｍｌｏｇｍ＋ｎｍ２^ｓ）となる。この計算量には、削除候補セル情報６２４を生成する処理の計算量も含まれている。

図１２は、図７の二値化個人情報テーブル６２２と図１１の削除候補セル情報６２４とを用いて計算された、列１〜列６の指標ｆｊ（ｊ＝１〜６）を示している。この場合、指標ｆ１〜指標ｆ６は、次式のように計算される。

列１ ｆ１＝４／４＝１ （２３）
列２ ｆ２＝３／５ （２４）
列３ ｆ３＝０／４＝０ （２５）
列４ ｆ４＝１／４ （２６）
列５ ｆ５＝２／４＝１／２ （２７）
列６ ｆ６＝３／５ （２８）

列１〜列６を｜ｆｊ−１／２｜の降順にソートすると、次のようなソート結果が得られる。

列１，列３，列４，列２，列６，列５

ただし、｜ｆｊ−１／２｜が同じ値である複数の列については、ｊの昇順にソートされている。ｓ＝３である場合、ソート結果の先頭の３本の列について、削除するか否かが判定される。

列１については、ｆ１−１／２＝１／２＞０であるため、列１の項目は削除項目に決定される。次に、列３については、ｆ３−１／２＝−１／２＜０であるため、列３の項目は残される項目に決定される。次に、列４については、ｆ４−１／２＝−１／４＜０であるため、列４の項目も残される項目に決定される。

その後、列２、列５、及び列６を対象として全探索法により最適解が探索され、列５及び列６の項目が削除項目に決定される。この場合、残される列２、列３、及び列４の項目に対する合計評価値Ｖ（ｓ）は２７８円となり、誤差ＥＶは３８円となる。

次に、実施形態の削除項目決定方法を用いた実験により得られた効果について、説明する。実験環境としては、上述した所定のＣＰＵ、ＯＳ、メモリ、及び実装言語の組み合わせが用いられる。

ｎ行ｍ列の個人情報テーブルの場合、全探索法では計算量のオーダがＯ（ｎｍ２^ｍ）であるのに対して、実施形態の削除項目決定方法ではＯ（ｎｍ＋ｍｌｏｇｍ＋ｎｍ２^ｓ）となる。したがって、ｓが十分に小さい場合、実施形態の削除項目決定方法の方が、全探索法よりも計算負荷が軽減され、高速に解を求めることができる。

例えば、ｎ＝１０００及びｍ＝３０の場合、全探索法で解を求めるためには、最低でも約４か月かかる。一方、ｎ＝１０００、ｍ＝３０、及びｓ＝１０の場合、実施形態の削除項目決定方法では、３３秒程度で解を求めることができる。この処理時間は、実験を１００回繰り返した場合の平均値である。

図１３は、実施形態の削除項目決定方法と局所探索法の正答率を実験により比較した結果を示している。この実験では、項目値の欠損率がα％（α＝１，２，３，４，５，１０，２０，３０）である１００個の個人情報テーブルをランダムに生成し、各個人情報テーブルに対する解を２つの方法でそれぞれ求めて、正答率が比較されている。正答率は、求められた解が最適解にどれだけ近いかを示す指標である。

図１３において、実施形態の削除項目決定方法の行の分数は、削除項目決定方法の正答率が局所探索法の正答率よりも高い割合を表し、局所探索法の行の分数は、局所探索法の正答率が削除項目決定方法の正答率よりも高い割合を表す。例えば、欠損率が１％である場合、削除項目決定方法の正答率が局所探索法の正答率よりも高い割合は、２５／１００である。

α＝１，２，３，４，５，１０，２０，３０のいずれの場合も、実施形態の削除項目決定方法の方が局所探索法よりも良い解を与えることが分かる。特に、欠損率が１０％以下の場合、局所探索法の方が良い解を与えることはほとんどない。

図１４は、図６の情報処理装置６０１が行う個人情報制御処理の具体例を示すフローチャートである。まず、入力部６１２は、複数の個人情報を受け付けて個人情報テーブル６２１に登録し（ステップ１４０１）、個人情報テーブル６２１の各項目に対する複数のパラメータを受け付けて、パラメータ情報６２３に登録する（ステップ１４０２）。そして、特定部６１３は、削除候補特定処理を行って、削除候補セル情報６２４を生成する（ステップ１４０３）。

次に、入力部６１２は、全探索法の対象となる列の本数ｓを受け付け（ステップ１４０４）、決定部６１４は、削除項目決定処理を行って、削除項目集合６２５を生成する（ステップ１４０５）。そして、出力部６１５は、削除項目集合６２５を出力する（ステップ１４０６）。

図１５Ａ及び図１５Ｂは、図１４のステップ１４０３における削除候補特定処理の例を示すフローチャートである。まず、特定部６１３は、個人情報テーブル６２１を二値化することで、二値化個人情報テーブル６２２を生成する（ステップ１５０１）。

次に、特定部６１３は、二値化個人情報テーブル６２２の行を示す制御変数ｉに１を設定し（ステップ１５０２）、ｉ番目の行の二値化個人情報について、項目値が存在するセルに対応する項目の集合Ｊを生成する（ステップ１５０３）。

次に、特定部６１３は、パラメータ情報６２３を参照して、集合Ｊに含まれる項目の各パラメータの最大値を特定する（ステップ１５０４）。これにより、精神的苦痛レベルＰの最大値ｐ、経済的損失レベルＥの最大値ｅ、受容性レベルＲの最大値ｒ、及び有用性レベルＵの最大値ｕが特定される。

次に、特定部６１３は、パラメータベクトルｘの集合Ｓを生成し（ステップ１５０５）、集合Ｓの各要素の評価値ｖを、式（１２）により計算する（ステップ１５０６）。そして、特定部６１３は、集合Ｓの要素を評価値ｖの降順にソートする（ステップ１５０７）。

次に、特定部６１３は、ソート結果における順位を示す制御変数ｊに１を設定し（ステップ１５０８）、順位ｊの要素であるパラメータベクトルｖ１（ｊ）について、上記（Ｃ１）〜（Ｃ４）の条件を満たす項目の集合Ｄｊを生成する（ステップ１５０９）。

次に、特定部６１３は、集合Ｄｊに含まれる項目のパラメータに基づいて、最大パラメータベクトルｖ２（ｊ）＝（ｗ１，ｗ２，ｗ３，ｗ４）を生成する（ステップ１５１０）。そして、特定部６１３は、ｖ１（ｊ）とｖ２（ｊ）とを比較する（ステップ１５１１）。

ｖ１（ｊ）とｖ２（ｊ）が一致しない場合（ステップ１５１１，ＮＯ）、特定部６１３は、ｊを１だけインクリメントして（ステップ１５１２）、ステップ１５０９以降の処理を繰り返す。

一方、ｖ１（ｊ）とｖ２（ｊ）が一致する場合（ステップ１５１１，ＹＥＳ）、特定部６１３は、集合Ｄｊに含まれる項目を、残すべき項目に決定し、それ以外の項目を削除候補の項目に決定する（ステップ１５１３）。そして、特定部６１３は、ｉを二値化個人情報テーブル６２２の行の総数ｎと比較する（ステップ１５１４）。

ｉがｎに達していない場合（ステップ１５１４，ＮＯ）、特定部６１３は、ｉを１だけインクリメントして（ステップ１５１６）、ステップ１５０３以降の処理を繰り返す。一方、ｉがｎに達している場合（ステップ１５１４，ＹＥＳ）、特定部６１３は、各行の削除候補の項目に対応するセルを示す、削除候補セル情報６２４を生成する（ステップ１５１５）。

図１６は、図１４のステップ１４０５における削除項目決定処理の例を示すフローチャートである。まず、決定部６１４は、二値化個人情報テーブル６２２の列を示す制御変数ｊに１を設定し（ステップ１６０１）、ｊ番目の列に対する指標ｆｊを、式（２１）により計算する（ステップ１６０２）。そして、決定部６１４は、ｊを二値化個人情報テーブル６２２の列の総数ｍと比較する（ステップ１６０３）。

ｊがｍに達していない場合（ステップ１６０３，ＮＯ）、決定部６１４は、ｊを１だけインクリメントして（ステップ１６１２）、ステップ１６０２以降の処理を繰り返す。一方、ｊがｍに達している場合（ステップ１６０３，ＹＥＳ）、決定部６１４は、二値化個人情報テーブル６２２のｍ本の列を、｜ｆｊ−１／２｜の値の降順にソートする（ステップ１６０４）。

次に、決定部６１４は、集合Ｋを空集合に設定し（ステップ１６０５）、ソート結果における順位を示す制御変数ｋに１を設定して（ステップ１６０６）、ｆｋと１／２を比較する（ステップ１６０７）。ｆｊが１／２よりも大きい場合（ステップ１６０７，ＹＥＳ）、決定部６１４は、ソート結果における順位ｋの列の項目を集合Ｋに追加して（ステップ１６０８）、ｋとｍ−ｓを比較する（ステップ１６０９）。一方、ｆｊが１／２以下である場合（ステップ１６０７，ＮＯ）、決定部６１４は、ステップ１６０９以降の処理を行う。

ｋがｍ−ｓに達していない場合（ステップ１６０９，ＮＯ）、決定部６１４は、ｋを１だけインクリメントして（ステップ１６１３）、ステップ１６０７以降の処理を繰り返す。一方、ｋがｍ−ｓに達している場合（ステップ１６０９，ＹＥＳ）、決定部６１４は、順位ｍ−ｓ＋１〜順位ｍのｓ本の列について、全探索法により削除項目を決定する（ステップ１６１０）。このとき、決定部６１４は、ｓ本の列の集合の各部分集合Ｈについて、二値化個人情報テーブル６２２から集合Ｋ及び部分集合Ｈに含まれる列をすべて削除した場合の合計評価値を計算し、最大の合計評価値を有する部分集合Ｈ０を求める。

次に、決定部６１４は、集合Ｋ及び部分集合Ｈ０に含まれる列の項目を要素とする、削除項目集合６２５を生成する（ステップ１６１１）。そして、決定部６１４は、合計評価値Ｖ（ｓ）を計算し、誤差ＥＶを式（２２）により計算する。

図４の情報処理装置４０１及び図６の情報処理装置６０１の構成は一例に過ぎず、情報処理装置の用途又は条件に応じて一部の構成要素を省略又は変更してもよい。例えば、図６の情報処理装置６０１において、事前に個人情報テーブル６２１及びパラメータ情報６２３が記憶部６１１に格納されている場合は、入力部６１２を省略することができる。

図５及び図１４〜図１６のフローチャートは一例に過ぎず、情報処理装置の構成又は条件に応じて一部の処理を省略又は変更してもよい。例えば、図６の情報処理装置６０１において、事前に個人情報テーブル６２１及びパラメータ情報６２３が記憶部６１１に格納されている場合は、図１４のステップ１４０１及びステップ１４０２の処理を省略することができる。個人情報テーブル６２１を二値化することなく、削除候補セル情報６２４及び削除項目集合６２５を生成する場合は、図１５Ａのステップ１５０１の処理を省略することができる。

価値とリスクの差分の代わりに、価値又はリスクのみを含む評価値を用いることもできる。ＪＩＰＤＥＣモデル以外の評価方法により価値を算定してもよく、ＪＯモデル以外の評価方法によりリスクを算定してもよい。

図１に示した個人情報テーブルは一例に過ぎず、個人情報テーブルは、受け付けられる個人情報の属性に応じて変化する。図２及び図７に示した二値化個人情報テーブルと図８〜図１０に示したパラメータ情報は一例に過ぎず、二値化個人情報テーブル及びパラメータ情報は、二値化される前の個人情報テーブルに応じて変化する。図３に示した探索処理は一例に過ぎず、探索処理は、個人情報テーブルに応じて変化する。

図１１に示した削除候補セル情報と図１２に示した指標ｆｊは一例に過ぎず、削除候補セル情報及び指標ｆｊは、二値化個人情報テーブルに応じて変化する。図１３に示した実験結果は一例に過ぎず、正答率は、個人情報テーブル及び実験環境に応じて変化する。

式（１）〜式（２８）は一例にすぎず、情報処理装置は、別の計算式を用いて個人情報制御処理を行ってもよい。

図１７は、図４の情報処理装置４０１及び図６の情報処理装置６０１のハードウェア構成例を示している。図１７の情報処理装置は、ＣＰＵ（Central Processing Unit）１７０１、メモリ１７０２、入力装置１７０３、出力装置１７０４、補助記憶装置１７０５、媒体駆動装置１７０６、及びネットワーク接続装置１７０７を含む。これらの構成要素はハードウェアであり、バス１７０８により互いに接続されている。

メモリ１７０２は、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、フラッシュメモリ等の半導体メモリであり、処理に用いられるプログラム及びデータを格納する。メモリ１７０２は、図４の記憶部４１１又は図６の記憶部６１１として用いることができる。

ＣＰＵ１７０１（プロセッサ）は、例えば、メモリ１７０２を利用してプログラムを実行することにより、図４の特定部４１２及び決定部４１３として動作する。ＣＰＵ１７０１は、メモリ１７０２を利用してプログラムを実行することにより、図６の特定部６１３及び決定部６１４としても動作する。

入力装置１７０３は、例えば、キーボード、ポインティングデバイス等であり、オペレータ又はユーザからの指示又は情報の入力に用いられる。出力装置１７０４は、例えば、表示装置、プリンタ、スピーカ等であり、オペレータ又はユーザへの問い合わせ又は指示、及び処理結果の出力に用いられる。処理結果は、削除項目集合６２５であってもよい。入力装置１７０３及び出力装置１７０４は、図６の入力部６１２及び出力部６１５としてそれぞれ用いることができる。

補助記憶装置１７０５は、例えば、磁気ディスク装置、光ディスク装置、光磁気ディスク装置、テープ装置等である。補助記憶装置１７０５は、ハードディスクドライブ又はフラッシュメモリであってもよい。情報処理装置は、補助記憶装置１７０５にプログラム及びデータを格納しておき、それらをメモリ１７０２にロードして使用することができる。補助記憶装置１７０５は、図４の記憶部４１１又は図６の記憶部６１１として用いることができる。

媒体駆動装置１７０６は、可搬型記録媒体１７０９を駆動し、その記録内容にアクセスする。可搬型記録媒体１７０９は、メモリデバイス、フレキシブルディスク、光ディスク、光磁気ディスク等である。可搬型記録媒体１７０９は、ＣＤ−ＲＯＭ（Compact Disk Read Only Memory）、ＤＶＤ（Digital Versatile Disk）、ＵＳＢ（Universal Serial Bus）メモリ等であってもよい。オペレータ又はユーザは、この可搬型記録媒体１７０９にプログラム及びデータを格納しておき、それらをメモリ１７０２にロードして使用することができる。

このように、処理に用いられるプログラム及びデータを格納するコンピュータ読み取り可能な記録媒体は、メモリ１７０２、補助記憶装置１７０５、又は可搬型記録媒体１７０９のような、物理的な（非一時的な）記録媒体である。

ネットワーク接続装置１７０７は、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等の通信ネットワークに接続され、通信に伴うデータ変換を行う通信インタフェース回路である。情報処理装置は、プログラム及びデータを外部の装置からネットワーク接続装置１７０７を介して受信し、それらをメモリ１７０２にロードして使用することができる。ネットワーク接続装置１７０７は、図６の入力部６１２及び出力部６１５として用いることができる。

なお、情報処理装置が図１７のすべての構成要素を含む必要はなく、用途又は条件に応じて一部の構成要素を省略することも可能である。例えば、オペレータ又はユーザとのインタフェースが不要な場合は、入力装置１７０３及び出力装置１７０４を省略してもよい。可搬型記録媒体１７０９又は通信ネットワークを使用しない場合は、媒体駆動装置１７０６又はネットワーク接続装置１７０７を省略してもよい。

開示の実施形態とその利点について詳しく説明したが、当業者は、特許請求の範囲に明確に記載した本発明の範囲から逸脱することなく、様々な変更、追加、省略をすることができるであろう。

図１乃至図１７を参照しながら説明した実施形態に関し、さらに以下の付記を開示する。
（付記１）
コンピュータによって実行される決定方法であって、
前記コンピュータが、
複数の項目をそれぞれ有する複数の個人情報を受け付け、
前記複数の個人情報それぞれについて、項目値が存在する項目の一部を削除した場合に残される項目に対する評価値に基づき、削除候補の項目を特定し、
前記複数の項目それぞれについて、項目が削除候補として特定された個人情報の個数を求め、
前記複数の項目それぞれについて求められた個人情報の個数に基づき、前記削除候補の項目の中から削除項目を決定する、
ことを特徴とする決定方法。
（付記２）
前記コンピュータは、前記複数の項目各々に対して設定された複数のパラメータそれぞれの値の範囲に基づいて、複数の評価値を計算し、前記複数の評価値のうち所定の評価値を実現する項目の組み合わせを、前記残される項目として特定し、前記複数の項目から前記項目の組み合わせを除外することで、前記削除候補の項目を特定することを特徴とする付記１記載の決定方法。
（付記３）
前記コンピュータは、前記複数の個人情報それぞれについて、前記残される項目に対する評価値が最大になるように、前記削除候補の項目を特定することを特徴とする付記１又は２記載の決定方法。
（付記４）
前記残される項目に対する評価値は、前記複数の個人情報それぞれの価値と、前記複数の個人情報それぞれのリスクとの差分を表すことを特徴とする付記１乃至３のいずれか１項に記載の決定方法。
（付記５）
複数の項目をそれぞれ有する複数の個人情報を記憶する記憶部と、
前記複数の個人情報それぞれについて、項目値が存在する項目の一部を削除した場合に残される項目に対する評価値に基づき、削除候補の項目を特定する特定部と、
前記複数の項目それぞれについて、項目が削除候補として特定された個人情報の個数を求め、前記複数の項目それぞれについて求められた個人情報の個数に基づき、前記削除候補の項目の中から削除項目を決定する決定部と、
を備えることを特徴とする情報処理装置。
（付記６）
前記特定部は、前記複数の項目各々に対して設定された複数のパラメータそれぞれの値の範囲に基づいて、複数の評価値を計算し、前記複数の評価値のうち所定の評価値を実現する項目の組み合わせを、前記残される項目として特定し、前記複数の項目から前記項目の組み合わせを除外することで、前記削除候補の項目を特定することを特徴とする付記５記載の情報処理装置。
（付記７）
前記特定部は、前記複数の個人情報それぞれについて、前記残される項目に対する評価値が最大になるように、前記削除候補の項目を特定することを特徴とする付記５又は６記載の情報処理装置。
（付記８）
前記残される項目に対する評価値は、前記複数の個人情報それぞれの価値と、前記複数の個人情報それぞれのリスクとの差分を表すことを特徴とする付記５乃至７のいずれか１項に記載の情報処理装置。
（付記９）
複数の項目をそれぞれ有する複数の個人情報を受け付け、
前記複数の個人情報それぞれについて、項目値が存在する項目の一部を削除した場合に残される項目に対する評価値に基づき、削除候補の項目を特定し、
前記複数の項目それぞれについて、項目が削除候補として特定された個人情報の個数を求め、
前記複数の項目それぞれについて求められた個人情報の個数に基づき、前記削除候補の項目の中から削除項目を決定する、
処理をコンピュータに実行させるための決定プログラム。
（付記１０）
前記コンピュータは、前記複数の項目各々に対して設定された複数のパラメータそれぞれの値の範囲に基づいて、複数の評価値を計算し、前記複数の評価値のうち所定の評価値を実現する項目の組み合わせを、前記残される項目として特定し、前記複数の項目から前記項目の組み合わせを除外することで、前記削除候補の項目を特定することを特徴とする付記９記載の決定プログラム。
（付記１１）
前記コンピュータは、前記複数の個人情報それぞれについて、前記残される項目に対する評価値が最大になるように、前記削除候補の項目を特定することを特徴とする付記９又は１０記載の決定プログラム。
（付記１２）
前記残される項目に対する評価値は、前記複数の個人情報それぞれの価値と、前記複数の個人情報それぞれのリスクとの差分を表すことを特徴とする付記９乃至１１のいずれか１項に記載の決定プログラム。

１０１〜１０３ 個人情報
２０１〜２０３ 二値化個人情報
３０１ 折れ線
３１１、３１２ 矢印
３２１ 最適解
３２２ 局所解
４０１、６０１ 情報処理装置
４１１、６１１ 記憶部
４１２、６１３ 特定部
４１３、６１４ 決定部
６１２ 入力部
６１５ 出力部
６２１ 個人情報テーブル
６２２ 二値化個人情報テーブル
６２３ パラメータ情報
６２４ 削除候補セル情報
６２５ 削除項目集合
９０１、９０２、１００１、１００２ 網掛領域
１７０１ ＣＰＵ
１７０２ メモリ
１７０３ 入力装置
１７０４ 出力装置
１７０５ 補助記憶装置
１７０６ 媒体駆動装置
１７０７ ネットワーク接続装置
１７０８ バス
１７０９ 可搬型記録媒体

Claims (6)

1. コンピュータによって実行される決定方法であって、
   前記コンピュータが、
   複数の項目をそれぞれ有する複数の個人情報を受け付け、
   前記複数の個人情報それぞれについて、項目値が存在する項目の一部を削除した場合に残される項目に対する評価値に基づき、削除候補の項目を特定し、
   前記複数の項目それぞれについて、項目が削除候補として特定された個人情報の個数を求め、
   前記複数の項目それぞれについて求められた個人情報の個数に基づき、前記削除候補の項目の中から削除項目を決定する、
   ことを特徴とする決定方法。
2. 前記コンピュータは、前記複数の項目各々に対して設定された複数のパラメータそれぞれの値の範囲に基づいて、複数の評価値を計算し、前記複数の評価値のうち所定の評価値を実現する項目の組み合わせを、前記残される項目として特定し、前記複数の項目から前記項目の組み合わせを除外することで、前記削除候補の項目を特定することを特徴とする請求項１記載の決定方法。
3. 前記コンピュータは、前記複数の個人情報それぞれについて、前記残される項目に対する評価値が最大になるように、前記削除候補の項目を特定することを特徴とする請求項１又は２記載の決定方法。
4. 前記残される項目に対する評価値は、前記複数の個人情報それぞれの価値と、前記複数の個人情報それぞれのリスクとの差分を表すことを特徴とする請求項１乃至３のいずれか１項に記載の決定方法。
5. 複数の項目をそれぞれ有する複数の個人情報を記憶する記憶部と、
   前記複数の個人情報それぞれについて、項目値が存在する項目の一部を削除した場合に残される項目に対する評価値に基づき、削除候補の項目を特定する特定部と、
   前記複数の項目それぞれについて、項目が削除候補として特定された個人情報の個数を求め、前記複数の項目それぞれについて求められた個人情報の個数に基づき、前記削除候補の項目の中から削除項目を決定する決定部と、
   を備えることを特徴とする情報処理装置。
6. 複数の項目をそれぞれ有する複数の個人情報を受け付け、
   前記複数の個人情報それぞれについて、項目値が存在する項目の一部を削除した場合に残される項目に対する評価値に基づき、削除候補の項目を特定し、
   前記複数の項目それぞれについて、項目が削除候補として特定された個人情報の個数を求め、
   前記複数の項目それぞれについて求められた個人情報の個数に基づき、前記削除候補の項目の中から削除項目を決定する、
   処理をコンピュータに実行させるための決定プログラム。
   

Images