(57)【要約】  送信を要求された対象情報と関連する関連情報を取得し、取得した関連情報が個人情報を含んでいる場合、前記対象情報内の関連部分を加工した後、送信する。これにより、単独では個人を識別し得ない情報であっても、容易に他の情報と照合可能であって、前記他の情報によって特定の個人を識別可能な場合に、個人情報のみならず単独では個人を識別し得ない情報を保護することで、個人情報の保護を強化することができる。
2007122914.tif 000002
【特許請求の範囲】
【請求項１】
特定の個人を識別し得る個人情報を秘匿する個人情報管理装置であって、
対象情報の出力要求を取得する要求取得手段と、
前記出力要求により要求される前記対象情報を読み出す読出手段と、
前記対象情報による、個人の識別容易性を示す識別度数を取得する度数取得手段と、
個人の識別容易性を尺度として、個人を識別し得る情報の集合と個人を識別し得ない情報の集合とを区切る閾値と、前記識別度数とを比較する判断手段と
を備えることを特徴とする個人情報管理装置。
【請求項２】
前記個人情報管理装置は、さらに、
前記識別度数が前記閾値より大きい場合、前記対象情報内の個人の識別を容易化する容易化部分を加工する加工手段と、
前記対象情報に代えて、加工後の前記容易化部分を含む前記対象情報を、加工情報として出力する出力手段と
を備えることを特徴とする請求項１に記載の個人情報管理装置。
【請求項３】
前記個人情報管理装置は、さらに、
前記識別度数が前記閾値より大きい場合、前記対象情報の出力を禁止する禁止手段を備える
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項４】
前記個人情報管理装置は、さらに、
アクセス可能な記憶手段と自装置との隔たりを示す通信距離を取得する第１取得手段を備え、
前記判断手段は、前記通信距離と所定の閾値とを比較し、前記閾値より小さい場合に、前記記憶手段が記憶している関連情報を取得する第２取得手段を含む
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項５】
前記対象情報は、１以上の単位データを含み、
前記度数取得手段は、
単位データ毎に、その単位データによる個人の識別容易性を示す単位データ度数を取得する個別取得手段と、
全ての単位データ度数の演算を行うことで、前記識別度数を取得する演算手段とを含む
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項６】
前記演算手段が行う前記演算は、前記全ての単位データ度数の合算である
ことを特徴とする請求項５に記載の個人情報管理装置。
【請求項７】
前記判断手段は、最も高い単位データ度数を有する単位データを、前記対象情報内の個人の識別を容易化する容易化部分として判断する
ことを特徴とする請求項５に記載の個人情報管理装置。
【請求項８】
前記個別取得手段は、単位データの種類毎に、その種類に属する単位データによる個人の識別容易性を示す度数を含む度数テーブルを有し、前記度数テーブルから、各単位データの属する種類に対応する度数を読み出すことにより、前記単位データ度数を取得する
ことを特徴とする請求項５に記載の個人情報管理装置。
【請求項９】
前記対象情報は、当該対象情報に含まれる単位データの属する種類を示す付帯情報と対応しており、
前記個別取得手段は、前記付帯情報の示す種類と対応する度数を前記度数テーブルから読み出す
ことを特徴とする請求項８に記載の個人情報管理装置。
【請求項１０】
前記付帯情報は、前記出力要求を受信する前において生成されたものであって、
前記個人情報管理装置は、さらに、
前記対象情報に含まれる各単位データの属する種類を判別し、判別した種類を示す前記付帯情報を生成する生成手段を備える
ことを特徴とする請求項９に記載の個人情報管理装置。
【請求項１１】
前記個人情報管理装置は、さらに、
利用者の操作に従って、前記度数テーブルの内容を変更する変更手段を備える
ことを特徴とする請求項８に記載の個人情報管理装置。
【請求項１２】
前記個人情報管理装置は、さらに、
前記対象情報に関連する関連情報を取得する関連情報取得手段を備え、
前記度数取得手段は、前記識別度数に代えて、前記対象情報及び前記関連情報による、個人の識別容易性を示す複合識別度数を取得し、
前記判断手段は、前記識別度数に代えて、前記複合度数と前記閾値とを比較する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１３】
前記関連情報取得手段は、過去に前記出力要求の出力元へ出力された前記関連情報を取得し、
前記度数取得手段は、前記関連情報による、個人の識別容易性を示す履歴度数を取得し、前記対象情報による特定の個人の識別容易性を示す対象度数を取得し、前記履歴度数と対象度数とを加算して前記複合識別度数を取得する
ことを特徴とする請求項１２に記載の個人情報管理装置。
【請求項１４】
当該個人情報管理装置は、互いの保持する情報を相互に利用可能な端末装置と接続されており、
前記関連情報取得手段は、当該個人情報管理装置又は前記端末装置から前記出力元へ過去に出力された前記関連情報を取得する
ことを特徴とする請求項１３に記載の個人情報管理装置。
【請求項１５】
前記対象情報は、前記関連情報と当該対象情報とを関連付ける関連部分を含み、
前記関連情報取得手段は、
前記関連部分と少なくとも一部が同一である関連データを含む前記関連情報を取得する
ことを特徴する請求項１２に記載の個人情報管理装置。
【請求項１６】
前記対象情報は、前記関連情報の記憶されている位置を示すアドレスを含み、
前記関連情報取得手段は、前記アドレスの示す位置から前記関連情報を取得する
ことを特徴とする請求項１２に記載の個人情報管理装置。
【請求項１７】
前記関連情報取得手段は、ネットワークを介して接続された端末装置から、前記関連情報を取得する
ことを特徴とする請求項１２に記載の個人情報管理装置。
【請求項１８】
前記関連情報取得手段は、前記対象情報内の前記関連部分と対応する関連データを含む前記関連情報を取得し、
前記関連データと前記関連部分とは、少なくともその一部が同一であり、
前記判断手段は、前記関連情報の前記関連データ以外の部分に個人情報が含まれているか否かを判断する
ことを特徴する請求項１２に記載の個人情報管理装置。
【請求項１９】
前記関連部分は、１の利用者を識別する第１利用者識別子であり、
前記関連データは、１の利用者を識別する第２利用者識別子であって、
前記関連情報取得手段は、前記対象情報内において、前記第１利用者識別子を抽出し、抽出した前記第１利用者識別子と少なくとも一部が同一の前記第２利用者識別子を含む前記関連情報を取得する
ことを特徴とする請求項１８に記載の個人情報管理装置。
【請求項２０】
前記関連部分は、前記対象情報を識別する第１情報識別子であり、
前記関連データは、前記関連情報を識別する第２情報識別子であり、
前記関連情報取得手段は、前記対象情報内で前記第１情報識別子を抽出し、抽出した前記第１情報識別子と少なくとも一部分が同一の前記第２情報識別子を含む前記関連情報を取得する
ことを特徴とする請求項１８に記載の個人情報管理装置。
【請求項２１】
前記関連部分は、前記関連情報の記憶されている位置を示すアドレスであって、
前記関連情報取得手段は、前記アドレスの示す位置から、前記関連情報を取得する
ことを特徴とする請求項１２に記載の個人情報管理装置。
【請求項２２】
前記関連情報取得手段は、前記対象情報が、氏名、住所、顔画像及び携帯電話番号に属する情報を含んでいるか否かを検証し、含んでいなければ、前記対象情報が個人情報を含んでいないとし、
前記判断手段は、前記関連情報が、氏名、住所、顔画像、携帯電話番号のいずれかに属するデータを含んでいるか否かを検証し、含んでいる場合、前記関連情報が個人情報を含んでいると判断する
ことを特徴とする請求項１２に記載の個人情報管理装置。
【請求項２３】
前記対象情報は、写真であって、
前記関連情報取得手段は、前記写真を画像解析して、前記写真内の、所定の図形又は文字列が写されている前記関連部分を検出し、少なくとも一部が前記図形又は文字列と同一である前記関連情報を取得し、
前記関連情報に個人情報が含まれる場合、前記関連部分の一部又は全部にモザイク加工を施す
ことを特徴とする請求項１２に記載の個人情報管理装置。
【請求項２４】
前記個人情報管理装置は、さらに、
前記関連情報が、個人情報であると判断される場合に、利用者に、個人情報と関連する前記対象情報の出力を要求されていることを通知する通知手段を備える
ことを特徴とする請求項１２に記載の個人情報管理装置。
【請求項２５】
前記個人情報管理装置は、さらに、
前記関連情報が、個人情報であると判断される場合に、
前記関連情報と前記対象情報とを関連付ける前記対象情報内の関連部分及び前記対象情報内の個人情報を加工する加工手段と、
加工後の前記関連部分及び加工後の個人情報とを含む前記対象情報を、加工情報として、前記対象情報に代えて出力する出力手段と
を備えることを特徴とする請求項１２に記載の個人情報管理装置。
【請求項２６】
特定の個人を識別し得る個人情報を秘匿する個人情報管理装置において用いられる個人情報管理方法であって、
対象情報の出力要求を受信する受信ステップと、
前記出力要求により要求される前記対象情報を読み出す読出ステップと、
前記対象情報による、個人の識別容易性を示す識別度数を取得する度数取得ステップと、
個人の識別容易性を尺度として、個人を識別し得る情報の集合と個人を識別し得ない情報の集合とを区切る閾値と、前記識別度数とを比較する判断ステップと
を含むことを特徴とする個人情報管理方法。
【請求項２７】
特定の個人を識別し得る個人情報を秘匿する個人情報管理装置において用いられる個人情報管理プログラムであって、
対象情報の出力要求を受信する受信ステップと、
前記出力要求により要求される前記対象情報を読み出す読出ステップと、
前記対象情報による、個人の識別容易性を示す識別度数を取得する度数取得ステップと、
個人の識別容易性を尺度として、個人を識別し得る情報の集合と個人を識別し得ない情報の集合とを区切る閾値と、前記識別度数とを比較する判断ステップと、
を含むことを特徴とする個人情報管理プログラム。
【請求項２８】
前記個人情報管理プログラムは、
コンピュータ読み取り可能な記録媒体に記録されている
ことを特徴とする請求項２７に記載の個人情報管理プログラム。
【請求項２９】
特定の個人を識別し得る個人情報を秘匿する個人情報管理装置に搭載される集積回路であって、
対象情報の出力要求を取得する要求取得手段と、
前記出力要求により要求される前記対象情報を読み出す読出手段と、
前記対象情報による、個人の識別容易性を示す識別度数を取得する度数取得手段と、
個人の識別容易性を尺度として、個人を識別し得る情報の集合と個人を識別し得ない情報の集合とを区切る閾値と、前記識別度数とを比較する判断手段と
を備えることを特徴とする集積回路。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、特定の個人を識別し得る個人情報の保護に関するものであって、特に、単独では個人情報ではないが、他の情報を参照することで特定の個人を識別できるようになり得る情報の流出を抑制する技術に関する。
【背景技術】
【０００２】
近年、特定の個人を識別し得る個人情報の保護の必要性が取り沙汰されている。
個人情報を保護する技術として、例えば、特許文献１には、監視用カメラで撮影した画像をコンピュータに取り込んで顔画像を検出し、検出した顔画像と記憶装置に登録されている特定人物（例えば指名手配犯）の顔画像とを照合し、一致しない時には、検出した顔画像の部分にモザイク処理を施し、一致した時はモザイク処理を施さずにそのまま画像を残す技術が開示されている。この技術によると、特定人物以外の各人の顔画像、つまり、各人を特定し得る個人情報を保護しつつ、特定人物の情報及び特定人物の周囲の状況を取得することができる。【０００３】
本明細書において、個人に関する情報であって、特定の個人を識別することができる情報を個人情報と呼ぶ。
【特許文献１】特開２００４−６２５６０号公報
【特許文献２】特開２００５−３０１４７７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
特許文献１の技術では、各個人の顔画像はモザイク処理されるが、それ以外の部分は、そのまま残るため、画像内に、例えば、社員章、校章、カバンなどの所持品といった、個人に関する情報が含まれていることがある。これらの情報は、単独では、特定の個人を識別することができない。しかし、これらの情報が、他の情報と容易に照合可能であって、前記他の情報によって、特定の個人が識別可能な場合、これらの情報も保護する必要がある。【０００５】
一方、ネットワークを介して、個人に関する情報を収集し、収集した情報を基に、個人に適した商品、情報、サービスを提供するウェブサービスが考えられている。このウェブサービスのように、様々な情報が集められた場合、単独では、個人を識別することができない情報であっても、集められた他の情報と照合することによって、特定の個人を識別しうる場合がある。従って、単独では、特定の個人を識別し得ない情報であっても、これらの情報をそのまま提供すると、結果として個人情報を流出することと同様になる危険性がある。【０００６】
また、単独では個人を識別し得ない情報であっても、各機器がネットワークを介して、容易に相互の情報の参照が可能な状況下では、この情報を基に参照される個人情報が存在すれば、特定の個人が識別可能な状態になる危険性がある。
本発明は、上記の問題を解決するために、個人情報のみならず単独では個人を識別し得ない情報を保護することで、個人情報の保護を強化することができる個人情報管理装置、方法、プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記の目的を達成するために、本発明は、特定の個人を識別し得る個人情報を秘匿する個人情報管理装置であって、対象情報の出力要求を取得する要求取得手段と、前記出力要求により要求される前記対象情報を読み出す読出手段と、前記対象情報による、個人の識別容易性を示す識別度数を取得する度数取得手段と、個人の識別容易性を尺度として、個人を識別し得る情報の集合と個人を識別し得ない情報の集合とを区切る閾値と、前記識別度数とを比較する判断手段とを備えることを特徴とする。【０００８】
ここで、前記個人情報管理装置は、さらに、前記識別度数が前記閾値より大きい場合、前記対象情報内の個人の識別を容易化する容易化部分を加工する加工手段と、前記対象情報に代えて、加工後の前記容易化部分を含む前記対象情報を、加工情報として出力する出力手段とを備えることを特徴とする。
【発明の効果】
【０００９】
上記の構成によると、前記加工手段は、前記識別度数が、前記閾値より大きい場合、前記対象情報内の、個人の識別を容易化する前記容易化部分を加工する。そのため、実際に出力される加工情報は、前記対象情報と比べて、特定の個人の識別が困難になっており、この加工情報によって特定の個人を識別される危険性を抑制するという優れた効果を奏する。【００１０】
ここで、前記個人情報管理装置は、さらに、前記識別度数が前記閾値より大きい場合、前記対象情報の出力を禁止する禁止手段を備えるように構成してもよい。
この構成によると、前記禁止手段は、前記識別度数が前記閾値よりも大きい場合、前記対象情報の送信を禁止するので、当該個人情報管理装置は、個人を識別し得る前記対象情報を、確実に秘匿することができる。【００１１】
ここで、前記個人情報管理装置は、さらに、アクセス可能な記憶手段と自装置との隔たりを示す通信距離を取得する第１取得手段を備え、前記判断手段は、前記通信距離と所定の閾値とを比較し、前記閾値より小さい場合に、前記記憶手段が記憶している関連情報を取得する第２取得手段を含むように構成してもよい。
個人情報管理装置との隔たりが小さい機器は、例えば、同一の家庭内に設置されている機器などであって、当該個人情報管理装置と同一又は関連の深い人（例えば家族など）の所有物である可能性が高い。従って、各機器の保持する情報は、同一人物に関連する情報、又は、所定の組織（家族など）内の人物に関連する情報であると考え易い。ここで、前記通信距離とは、一例として、当該個人情報管理装置との間のデータの送受信に要する時間、又は、当該個人情報管理装置との間に存在する中継機器の個数である。【００１２】
上記の構成のように、隔たり量が閾値以下の情報を関連情報とし、この関連情報が個人情報を含む場合、対象情報の出力を禁止することで、前記対象情報を基に、前記関連情報に含まれる個人情報を参照される危険を回避し、前記関連情報に含まれる個人情報を確実に秘匿することができるという優れた効果を奏する。
ここで、前記対象情報は、１以上の単位データを含み、前記度数取得手段は、単位データ毎に、その単位データによる個人の識別容易性を示す単位データ度数を取得する個別取得手段と、全ての単位データ度数の演算を行うことで、前記識別度数を取得する演算手段とを含むように構成してもよい。【００１３】
ここで、前記演算手段が行う前記演算は、前記全ての単位データ度数の合算であるように構成してもよい。
この構成によると、前記度数取得手段は、単位データ毎に単位データ度数を取得し、取得した全ての単位データ度数の合計を算出するという簡単な演算により、前記識別度数を取得することができる。【００１４】
ここで、前記判断手段は、最も高い単位データ度数を有する単位データを、前記対象情報内の個人の識別を容易化する容易化部分として判断するように構成してもよい。
この構成によると、単位データ度数の高い単位データほど、個人を識別し易い。上記の構成では、前記加工手段は、最も高い単位データ度数を有する単位データを加工するので、前記対象情報による個人の識別容易性を、効率良く低下させることができる。【００１５】
ここで、前記個別取得手段は、単位データの種類毎に、その種類に属する単位データによる個人の識別容易性を示す度数を含む度数テーブルを有し、前記度数テーブルから、各単位データの属する種類に対応する度数を読み出すことにより、前記単位データ度数を取得するように構成してもよい。
この構成によると、前記個別取得手段は、前記度数テーブルを有しているので、前記度数テーブルから、迅速に前記単位データ度数を取得することができる。【００１６】
ここで、前記対象情報は、当該対象情報に含まれる単位データの属する種類を示す付帯情報と対応しており、前記個別取得手段は、前記付帯情報の示す種類と対応する度数を前記度数テーブルから読み出すように構成してもよい。
また、前記付帯情報は、前記出力要求を受信する前において生成されたものであって、前記個人情報管理装置は、さらに、前記対象情報に含まれる各単位データの属する種類を判別し、判別した種類を示す前記付帯情報を生成する生成手段を備えるように構成してもよい。【００１７】
この構成によると、前記生成手段は、前記出力要求が受信される前に前記付帯情報を生成するので、前記個別取得手段は、前記出力要求が受信された際に、前記付帯情報を基に、迅速に各単位データの属する種類を判別することができる。
ここで、前記個人情報管理装置は、さらに、利用者の操作に従って、前記度数テーブルの内容を変更する変更手段を備えるように構成してもよい。【００１８】
この構成によると、前記変更手段によって、いつでも、前記度数テーブルに、利用者の意図を反映させることが可能となり、利用者にとっての利便性が向上する。
ここで、前記個人情報管理装置は、さらに、前記対象情報に関連する関連情報を取得する関連情報取得手段を備え、前記度数取得手段は、前記識別度数に代えて、前記対象情報及び前記関連情報による、個人の識別容易性を示す複合識別度数を取得し、前記判断手段は、前記識別度数に代えて、前記複合度数と前記閾値とを比較するように構成してもよい。【００１９】
この構成によると、記度数取得手段は、前記対象情報及び前記関連情報による個人の識別容易性を示す前記複合識別度数を取得し、前記比較手段は、前記複合度数と前記閾値とを比較する。そのため、前記対象情報自身は、個人を識別することが困難な情報であっても、前記対象情報と関連する前記関連情報が、特定の個人を容易に識別可能な情報であれば前記対象情報は、加工の対象となる。このようにすることで、前記対象情報と関連する関連情報も保護することができる。【００２０】
ここで、前記関連情報取得手段は、過去に前記出力要求の出力元へ出力された前記関連情報を取得し、前記度数取得手段は、前記関連情報による、個人の識別容易性を示す履歴度数を取得し、前記対象情報による特定の個人の識別容易性を示す対象度数を取得し、前記履歴度数と対象度数とを加算して前記複合識別度数を取得するように構成してもよい。
この構成によると、前記度数取得手段は、前記出力要求の出力元へ過去に出力された前記関連情報による、特定の個人の識別容易性を示す履歴度数を取得し、履歴度数と対象度数の和を前記識別度数としている。そのため、前記履歴度数が大きい場合、つまり、過去に前記出力元へ出力された情報により個人を識別され易い場合、前記対象度数が小さくても、前記対象情報は加工され、前記出力元の有する情報群による個人の識別容易性の上昇を抑制することができる。【００２１】
ここで、前記個人情報管理装置は、互いの保持する情報を相互に利用可能な端末装置と接続されており、前記関連情報取得手段は、当該個人情報管理装置又は前記端末装置から前記出力元へ過去に出力された前記関連情報を取得するように構成してもよい。
前記端末装置と前記個人情報管理装置とは、互いの保持する情報を相互に利用可能であるので、両者が保持する情報は、同一又は関連する複数の人物に関するものである可能性が高い。【００２２】
上記の構成によると、前記度数取得手段は、過去に当該個人情報管理装置から、前記出力要求の出力元へ出力した情報のみならず、前記端末装置から前記出力元へ出力した前記関連情報関する前記履歴度数を取得する。そのため、前記加工手段は、前記端末装置から前記出力元へ、過去に個人の識別容易性の高い情報が出力されている場合にも、前記対象情報を加工する。このようにすることで、前記出力元の有する情報群による個人の識別容易性の上昇を抑制することができる。【００２３】
ここで、前記関連情報取得手段は、前記対象情報内の前記関連部分と対応する関連データを含む前記関連情報を取得し、前記関連データと前記関連部分とは、少なくともその一部が同一であり、前記判断手段は、前記関連情報の前記関連データ以外の部分に個人情報が含まれているか否かを判断するように構成してもよい。
この構成によると、前記対象情報と前記関連情報とに共通するデータを加工すれば、確実に、前記関連情報と、対象情報との関連を消失させることができる。【００２４】
ここで、前記関連部分は、１の利用者を識別する第１利用者識別子であり、前記関連データは、１の利用者を識別する第２利用者識別子であって、前記関連情報取得手段は、前記対象情報内において、前記第１利用者識別子を抽出し、抽出した前記第１利用者識別子と少なくとも一部が同一の前記第２利用者識別子を含む前記関連情報を取得するように構成してもよい。【００２５】
同一組織に属する人に識別子を割り当てる場合、前半が、組織や所属などを表す文字列、後半が個人に固有の文字列というように、識別子の一部分が共通にすることが考えられる。従って、一部分が同一である２つの利用者識別子は、関連のある人物を示すことが容易に推測される。
従って、上記のように、前記対象情報と関連情報とが、同一又は一部分が同一である利用者識別子を含んでいる場合、前記対象情報内の第１利用者識別子を加工すれば、前記対象情報に含まれる第１利用者識別子の示す利用者若しくは、前記利用者と関連のある人物に係る関連情報を確実に秘匿することができる。【００２６】
ここで、前記関連部分は、前記対象情報を識別する第１情報識別子であり、前記関連データは、前記関連情報を識別する第２情報識別子であり、前記関連情報取得手段は、前記対象情報内で前記第１情報識別子を抽出し、抽出した前記第１情報識別子と少なくとも一部分が同一の前記第２情報識別子を含む前記関連情報を取得するように構成してもよい。
同一の機器又は同一のソフトによって生成されたファイルには、付される情報識別子は、連続する数字列、文字列であることが考えられる。そのため、２つのファイルの識別子の全部又は一部が同一であれば、それらのファイルを作成した機器やソフトが同一であり、作成した人が同一人物若しくは、同一の機器を使い得るような関係にある複数の人であることが推察できる。【００２７】
従って、前記対象情報と前記関連情報とが、同一又は一部分が同一である情報識別子を含んでいる場合、前記対象情報内の第１情報識別子を加工すれば、前記個人情報管理装置は、前記対象情報と同一の機器又はソフトによって生成された前記関連情報を秘匿することができる。
ここで、前記関連部分は、前記関連情報の記憶されている位置を示すアドレスであって、前記関連情報取得手段は、前記アドレスの示す位置から、前記関連情報を取得するように構成してもよい。【００２８】
この構成によると、前記関連情報は、前記アドレスの示す位置に記憶されている。そのため、前記対象情報内の前記アドレスを加工すれば、前記対象情報を基に前記関連情報を参照する経路を確実に、断つことができる。
ここで、前記関連情報取得手段は、前記対象情報が、氏名、住所、顔画像及び携帯電話番号に属する情報を含んでいるか否かを検証し、含んでいなければ、前記対象情報が個人情報を含んでいないとし、前記判断手段は、前記関連情報が、氏名、住所、顔画像、携帯電話番号のいずれかに属するデータを含んでいるか否かを検証し、含んでいる場合、前記関連情報が個人情報を含んでいると判断するように構成してもよい。【００２９】
この構成によると、前記判断手段は、前記関連情報が、氏名、住所、顔画像、携帯電話番号のいずれかに属するデータを含んでいる場合、前記関連情報が個人情報を含んでいると判断する。そのため、当該個人情報管理装置は、非常に容易に特定の個人を識別し得る情報を確実に判断することができる。
ここで、前記対象情報は、写真であって、前記関連情報取得手段は、前記写真を画像解析して、前記写真内の、所定の図形又は文字列が写されている前記関連部分を検出し、少なくとも一部が前記図形又は文字列と同一である前記関連情報を取得し、前記関連情報に個人情報が含まれる場合、前記関連部分の一部又は全部にモザイク加工を施すように構成してもよい。【００３０】
この構成によると、前記関連情報取得手段は、写真に写されている文字列、及び、図形によって、前記写真と関連付けられる前記関連情報を取得し、当該個人情報管理装置は、前記関連部分にモザイク加工を施す。そのため、前記対象情報と前記関連情報とのデータの形式が異なっている場合であっても、前記関連情報を確実に秘匿することができる。
ここで、前記個人情報管理装置は、さらに、前記関連情報が、個人情報であると判断される場合に、利用者に、個人情報と関連する前記対象情報の出力を要求されていることを通知する通知手段を備えるように構成してもよい。【００３１】
この構成によると、前記通知手段は、前記対象情報の出力を要求されていることを通知するので、利用者は、個人情報に関連する情報の出力を要求されていることを知ることができる。
【図面の簡単な説明】
【００３２】
【図１】実施の形態１の個人情報管理システム１の構成を示す構成図である。
【図２】ホームサーバ１００及びノートＰＣ３００の機能的構成を示す機能ブロック図である。
【図３】管理情報記憶部１１１の記憶している情報の一例を示す。
【図４】情報記憶部１１０に記憶されている情報の一例を示す。
【図５】ユーザテーブル１４６及び視聴履歴表１５１の詳細を示す。
【図６】写真１５８の具体例を示す。
【図７】加工判断部１０６による判断及び加工の処理を示すフローチャートである。
【図８】加工判断部１０６による判断及び加工の処理を示すフローチャートである。図７から続く。
【図９】加工判断部１０６による判断及び加工の処理を示すフローチャートである。図７から続く。
【図１０】加工判断部１０６による判断及び加工の処理を示すフローチャートである。図７から続く。
【図１１】加工判断部１０６による判断及び加工の処理の途中において生成される対象度数テーブルの詳細を示す。
【図１２】情報記憶部３１０に記憶されている情報の一例を示す。
【図１３】ホームサーバ１００の動作を示すフローチャートである。
【図１４】テレビ番組の表示の処理を示すフローチャートである。
【図１５】情報の転送処理を示すフローチャートである。
【図１６】サーバ装置４００への情報送信の処理を示すフローチャートである。
【図１７】（ａ）、（ｂ）ホームサーバ１００から出力される警告画面の具体例を示す図である。（ｃ）ホームサーバ１００から送信される電子メールの具体例を示す図である。
【符号の説明】
【００３３】
１    個人情報管理システム
１０    ＬＡＮ
１５    モニタ
２０    インターネット
１００    ホームサーバ
１０１    アンテナ
１０２    放送受信部
１０３    入出力部
１０４    要求受信部
１０５    検索部
１０６    加工判断部
１０７    制御部
１０８    送信部
１０９    ＬＡＮ通信部
１１０    情報記憶部
１１１    管理情報記憶部
１１２    入力部
１１３    表示出力部
１２１    保護対象テーブル
１３３    アクセス履歴テーブル
２０１    対象度数テーブル
３００    ノートＰＣ
４００    サーバ装置
【発明を実施するための最良の形態】
【００３４】
１．  実施の形態１
以下に、本発明の実施の形態１に係る、個人情報管理システム１について、図面を用いて説明する。
１．１  個人情報管理システム１の概要
個人情報管理システム１は、図１に示すように、サーバ装置４００、ホームサーバ１００、ノートＰＣ３００から構成される。【００３５】
ホームサーバ１００とサーバ装置４００とはインターネット２０に接続されている。また、ホームサーバ１００とノートＰＣ３００とは、同一の家庭内に設置されており、互いにＬＡＮ１０で接続されている。
ホームサーバ１００は、テレビ放送を受信する機能を備えており、モニタ１５に受信したテレビ番組を表示させる。また、利用者の操作に従って、受信したテレビ番組を録画する。【００３６】
ホームサーバ１００は、家庭内の複数の利用者によって、利用されるが、利用者毎に、テレビ放送の視聴履歴表を作成する。また、テレビ番組、視聴履歴表の他にも、音楽、写真など様々な情報を記憶している。
サーバ装置４００は、ホームサーバ１００から様々な情報を取得し、取得した情報を基に、ホームサーバ１００の利用者に適した情報やサービスを提供する。一例として、テレビ放送の視聴履歴表を取得し、利用者の好みに合ったテレビ番組を推薦する。【００３７】
ホームサーバ１００は、サーバ装置４００から要求された情報を送信する前に、これらの情報に、個人情報が含まれているか否かを検証する。続いて、個人情報ではない情報であるが、その情報を基に個人情報を参照される可能性があるデータが含まれているか否かを検証する。以下、個人情報、及び、個人情報ではない情報であるが、個人情報を参照するキーになり得る情報を合わせて、保護対象データと呼称する。保護対象データは、一例として、個人の氏名、住所、会社名、ＩＤなどが考えられる。【００３８】
送信を要求された情報に保護対象データが含まれている場合は、必要に応じて送信する情報に含まれる保護対象データを加工した後、送信する。
１．２  ホームサーバ１００
図２は、ホームサーバ１００及びノートＰＣ３００の構成を機能的に示した機能ブロック図である。ホームサーバ１００は、図２に示すように、アンテナ１０１、放送受信部１０２、入出力部１０３、要求受信部１０４、検索部１０５、加工判断部１０６、制御部１０７、送信部１０８、ＬＡＮ通信部１０９、情報記憶部１１０、管理情報記憶部１１１、入力部１１２及び表示出力部１１３から構成される。なお、図中の矢印は、装置内及び装置間の情報の流れを示している。また、具体的な配線などは省略しているが、制御部１０７は、各構成要素と接続されている。【００３９】
ホームサーバ１００は、具体的にはＲＡＭ、ＲＯＭ及びマイクロプロセッサを含んで構成されるコンピュータシステムであって、前記ＲＡＭ、ＲＯＭにはコンピュータプログラムが記憶されている。前記マイクロプロセッサが前記コンピュータプログラムに従って動作することにより、ホームサーバ１００は、その機能の一部を達成する。
以下に、各構成要素について説明する。【００４０】
（１）管理情報記憶部１１１
管理情報記憶部１１１は、ハードディスクから構成され、一例として、図３に示すように、保護対象テーブル１２１、送信閾値１３１、アクセス履歴テーブル１３３を記憶している。なお、管理情報記憶部１１１には、この他にも、制御部１０７によって用いられる各種の画像データ、音声データ、コンピュータプログラムなどが記憶されている。【００４１】
保護対象テーブル１２１は、複数の保護対象情報１２２、１２３、１２４・・・から構成され、各保護対象情報は、保護対象種別名、度数、保護ランクを含んでいる。保護対象種別名は、保護対象データが分類される種類（以下、保護対象種別と呼ぶ）の名称を示している。図３に示すように、保護対象種別には、氏名、住所、声などがある。図３に示す保護対象テーブル１２１に含まれる保護対象種別名は、一例であって、この他にも、電話番号、携帯電話番号、メールアドレス、年齢、性別などが考えられる。以下、保護対象種別名が「Ａ」である保護対象種別を、保護対象種別「Ａ」若しくは単に「Ａ」と、記載する。【００４２】
度数は、その保護対象種別に属する保護対象データによる特定の個人の識別のし易さを、０〜１０の数値で示している。値が大きいほど、その保護対象種別に属する保護対象データによって、特定の個人が識別し易い。
保護ランクは、個人情報に該当するか否かを示しており、保護ランク「Ａ」は個人情報に該当するため必ず秘匿する必要があることを示しており、保護ランク「Ｂ」は、個人情報に該当しないため、必ずしも秘匿する必要がないことを示している。【００４３】
例えば、保護対象情報１２２は、保護対象種別名「氏名」と度数「１０」と保護ランク「Ａ」とを含んでいる。「氏名」に該当する保護対象データは、特定の個人を示す名称であって、非常に容易に、特定の個人を識別可能であるため、ここでは、度数を最大の「１０」としている。また、保護対象種別「氏名」に属する保護対象データは、単体で（つまり、他の情報を参照することなく）、特定の個人を識別し得る個人情報であるので、保護レベルを「Ａ」としている。【００４４】
また、保護対象情報１２４は、保護対象種別名「声」と度数「８」と保護ランク「Ｂ」とを含んでいる。人の「声」に、属する保護対象データは、１の個人と対応する情報ではあるが、過去に録音した音声データ等を解析し、解析結果を比較しなければ、特定の個人を識別することはできないため、度数を「８」、保護ランクを「Ｂ」としている。
また、保護対象情報１２５は、個人情報種別名「ＩＤ」と度数「５」と保護ランク「Ｂ」が含まれている。「ＩＤ」に該当する保護対象データは、「氏名」に属する情報と同様に、特定の個人と１対１に対応している情報ではあるが、「氏名」に属する情報と異なり、それ自体は、単なる文字及び数字の羅列であるため、その文字列のみから特定の個人を識別することは困難であるので、度数を「５」、保護ランクを「Ｂ」としている。【００４５】
保護対象テーブル１２１は、ホームサーバ１００の生産時に製造メーカによって記録されたものであるとしても良いし、出荷後に、入力部１１２が利用者からの操作を受け付け、制御部１０７が記録・編集するように構成してもよい。
送信閾値１３１は、個人を識別可能な情報の集合と識別可能でない情報の集合の境界における、個人の識別容易性を示す（個人の識別容易性を尺度として、個人を識別し得る情報の集合と個人を識別し得ない情報の集合とを区切る閾値である）。加工判断部１０６（詳細は後述する）は、サーバ装置４００から送信を要求された情報及びその情報に関連する情報による個人情報の識別容易性を示す識別度数（計算方法など、詳細は後述する）を算出し、算出した識別度数が送信閾値より大きい場合は、識別度数が小さくなるように、送信を要求された情報を加工した後、送信する。【００４６】
アクセス履歴テーブル１３３は、ホームサーバ１００が外部機器に対して情報を送信した履歴を示しており、複数のアクセス履歴情報１３４、１３５・・・から構成される。各アクセス履歴情報は、日時とＩＰアドレスと送信度数とから構成される。
日時は、外部機器から情報の送信を要求された時を示しており、ＩＰアドレスは要求元である外部機器のＩＰアドレスである。送信度数は、ホームサーバ１００が送信した情報に含まれる保護対象データの度数の合計である。一度に、複数の情報を送信した場合は、全ての情報に含まれる保護対象データの度数の合計である。【００４７】
（２）情報記憶部１１０
情報記憶部１１０は、ハードディスクを含んで構成される。一例として図４に示すように、所有者名１４１、所有者ＩＤ１４３、ユーザテーブル１４６、視聴履歴表１５１、１５３・・・、写真１５８、１６０・・・、動画像１６２、番組コンテンツ１６６及び保護タグ１４２、１４４・・・が記憶されている。【００４８】
所有者名１４１は、ホームサーバ１００の所有者の氏名であり、当該ホームサーバ１００を最初に起動したときに利用者の操作によって、記録されたものである。ここで、所有者名１４１は、単一のテキストデータ「佐藤太郎」のみから構成されており、このテキストデータ「佐藤太郎」は、保護対象データであって、保護対象種別「氏名」に属する。
所有者ＩＤ１４３は、ホームサーバ１００の所有者と一意に対応する識別子である。所有者ＩＤ１４３は、単一の数字列データ「０００１」から構成されており、数字列データ「０００１」は、保護対象種別「ＩＤ」に属する保護対象データである。【００４９】
ユーザテーブル１４６は、図５（ａ）に示すように複数のユーザ情報１７１、１７２・・・から構成され、各ユーザ情報は、ユーザ名とユーザＩＤとを含む。各ユーザ情報は、ホームサーバ１００を利用する人と１対１に対応している。ユーザ名は、利用者を示す名称である。ユーザ名は利用者の操作によって入力、変更されるものであって、各ユーザの氏名、ニックネームなどである。ユーザＩＤは、利用者を一意に示す識別情報である。ユーザテーブル１４６に含まれる利用者ＩＤ「０００１」、「０００２」・・・「０００５」は、いずれも、保護対象種別「ＩＤ」に属する保護対象データである。【００５０】
視聴履歴表１５１、１５３・・・は、各利用者によるテレビ放送の視聴履歴を記録したものであって、それぞれの視聴履歴表は、何れかの利用者と対応する。
図５（ｂ）は、視聴履歴表１５１の詳細を示している。図５（ｂ）に示すように、視聴履歴表１５１は、ユーザＩＤ１７５と複数の視聴履歴情報１７６、１７７、１７８・・・から構成される。ユーザＩＤ１７５は、視聴履歴表１５１と対応する利用者を示しており、ここでは、ユーザテーブル１４６のユーザ情報１７１に含まれるユーザＩＤ「０００１」と一致する。【００５１】
各視聴履歴情報は、日時とチャネルと番組名とジャンルとを含んでいる。番組名は、ユーザＩＤ１７５の示す利用者が視聴したテレビ番組の名称であり、チャネルは、そのテレビ番組の放送されたチャネルである。日時は、利用者が、視聴を開始した時刻である。ジャンルは、その番組の属するジャンルを示す。これらの視聴履歴情報は、いずれも、保護対象種別「視聴履歴」に属する保護対象データである。【００５２】
視聴履歴表１５３・・・の構成は、視聴履歴表１５１と同様である。
写真１５８、１６０・・・は、デジタルカメラ、携帯電話機などによって撮影された静止画像であり、例えば、ＪＰＥＧ形式の情報である。図６（ａ）は、写真１５８の具体例を示している。図６（ｂ）は、写真１５８の破線部１８９を拡大したものである。図６（ａ）に示すように、写真１５８は、ＩＤカードを所持した人物を撮影したものである。写真１５８には、電柱に設置された標識に記載されている文字列１８１「Ｍ市××町〇〇番地」、ＩＤカードに記載された文字列１８２「〇×（株）」、文字列１８３「佐藤太郎」、文字列１８４「ＩＤ５１」及び人物の顔１８６が映っており、これらは、何れも保護対象データである。【００５３】
「Ｍ市××町〇〇番地」は、保護対象種別「住所」に属する。「〇×（株）」は、保護対象種別「会社名」に属する。「佐藤太郎」は、保護対象種別「氏名」に属する。「ＩＤ５１」は、保護対象種別「ＩＤ」に属する。人物の顔１８６は、保護対象種別「顔」に属する。なお、ＩＤカードに記載されている人物の顔写真１８５は、個人が識別できない程度に不鮮明であるので、ここでは、保護対象データとはしていない。【００５４】
写真１６０は、例えば、自然の風景などを写したものであって、保護対象データに属するデータを含んでいない。
動画像１６２は、デジタルビデオカメラによって撮影されたものであり、一例として、ＭＰＥＧ２又はＭＰＥＧ４形式の情報である。動画像１６２は、人物の動作や音声を撮影したものであって、保護対象種別「顔」に属する画像データ及び保護対象種別「声」に該当する音声データを含んでいる。【００５５】
番組コンテンツは、利用者の操作に従って、放送局から放送されたテレビ番組を録画したものである。
保護タグ１４２、１４４、１４７・・・は、情報記憶部１１０に記憶されている何れかの情報と対応しており、対応する情報に含まれる保護対象データの属する保護対象種別を示す。【００５６】
例えば、保護タグ１４２は、所有者名１４１と対応しており、所有者名１４１に含まれる保護対象データが保護対象種別「氏名」に属することを示している。
保護タグ１５２は、視聴履歴表１５１と対応しており、視聴履歴表１５１には、保護対象種別「ＩＤ」に属する保護対象データと保護対象種別「視聴履歴」に属する保護対象データが含まれていることを示している。また、保護タグ１５９は、写真１５８と対応しており、写真１５８に保護対象種別「氏名」、「顔」、「住所」、「ＩＤ」又は「会社名」に属する、複数の保護対象データが含まれていることを示している。【００５７】
（３）アンテナ１０１及び放送受信部１０２
放送受信部１０２は、制御部１０７の制御に従って、アンテナ１０１の受信した放送波から、所定の周波数帯域を選曲して信号処理を施し、所定のチャネルにかかる番組コンテンツを生成する。生成した番組コンテンツを情報記憶部１１０に書き込み、又は表示出力部１１３へ出力する。【００５８】
（４）入力部１１２、表示出力部１１３及びモニタ１５
入力部１１２は、テンキー、決定キーなど各種のボタンを備え、利用者の操作による各種の情報及び指示の入力を受け付ける。入力を受け付けると、受け付けた情報及び指示を制御部１０７へ出力する。
表示出力部１１３は、モニタ１５と接続されている。表示出力部１１３は、放送受信部１０２から、番組コンテンツを受け取り、受け取った番組コンテンツから、画像データ及び音声データを生成し、モニタ１５へ出力する。【００５９】
また、表示出力部１１３は、制御部１０７の制御に従って、メニュー画面などの各種の画像データ、警告音などの各種の音声データをモニタ１５へ出力させる。
モニタ１５は、一例として、液晶ディスプレイであって、スピーカを内蔵している。表示出力部１１３から出力される画像データ、音声データを基に、画面及び音声を生成して表示及び出力する。【００６０】
（５）入出力部１０３
入出力部１０３は、メモリカードなどの記録媒体を装着可能であって、制御部１０７の制御に従って、記録媒体から情報を読み出す。
（６）要求受信部１０４、送信部１０８及びＬＡＮ通信部１０９
要求受信部１０４は、制御部１０７の制御の下で、インターネット２０に接続された外部機器から送信要求を受信し、受信した送信要求を検索部１０５へ出力する。送信要求は、「視聴履歴表」、「所有者名」、「写真」など各種の情報の送信を要求するものであって、送信元の外部機器のＩＰアドレスが含まれている。ここで、外部機器とは、一例として、サーバ装置４００である。【００６１】
送信部１０８は、制御部１０７の制御の下、インターネット２０に接続された外部機器へ、各種の情報を送信する。
ＬＡＮ通信部１０９は、制御部１０７、検索部１０５及び加工判断部１０６の指示に従って、ＬＡＮ１０に接続された端末機器との間で各種の情報の送受信を行う。ＬＡＮ１０に接続された端末機器は、一例としてノートＰＣ３００である。【００６２】
（７）制御部１０７
制御部１０７は、ホームサーバ１００の各構成要素と接続されており、それぞれの動作を制御する機能部である。
電源ボタンが押下され、電力供給が開始されると、制御部１０７は、入出力部１０３、ＬＡＮ通信部１０９を介して、記録媒体の装着の有無、ＬＡＮ１０を介して通信可能な端末機器の有無を確認する。続いて、表示出力部１１３に、利用者に対して、利用者ＩＤの入力を要求するスタート画面の表示を指示する。入力部１１２から、利用者によって入力された利用者ＩＤを受け取る。利用者ＩＤを受け取ると、制御部１０７は、「テレビ放送視聴」、「設定変更」、「メディアからの情報転送」、「コンテンツの再生」・・・といった、ホームサーバ１００が、利用者に提供する機能を表示したメニュー画面の表示を表示出力部１１３に指示する。以後、入力部１１２を介して、利用者による操作を受け付け、受け付けた操作に従って、管理情報記憶部１１１の記憶している情報の変更、記録メディアから情報記憶部１１０へ情報の転送、情報記憶部１１０に記憶されているコンテンツの再生など、各種の処理を行う。特に、情報記憶部１１０に新たに情報を書き込む際には、情報の内容を解析して保護対象データを検索し、その情報内に保護対象データを検出した場合は、検出した保護対象データの属する保護対象種別を示す保護タグを生成し、生成した保護タグをその情報と対応付けて、情報記憶部に書き込む。【００６３】
保護対象データの検出には、音声認識、画像解析、文字認識、住所・氏名識別、人物の顔画像の特定など様々な公知の技術を用いる。これらの技術の一例として、特許文献２には、文字列から地名、住所を特定する技術が開示されている。また、文書データや画像データに記載されているＩＤを検出する方法としては、一例として、上記の公知技術により特定された氏名や団体名と連続して（または近傍に）記載されており、その文字列自体は、意味のない文字の羅列である場合、その文字列をＩＤと判定する方法が考えられる。なお、この判定方法は、一例であって、他の方法を用いても良い。【００６４】
また、要求受信部１０４が、外部機器から送信要求を取得した場合、取得した日時を一時的に記憶し、取得した送信要求を、検索部１０５へ出力させる。また、送信要求に応じて、送信部１０８が、情報を送信すると、記憶している日時と、送信要求に含んで受信した外部機器のＩＰアドレスと、加工判断部１０６の算出した対象度数（詳細は後述する）からなるアクセス履歴情報を生成する。ここで、加工判断部１０６の算出した対象度数を送信度数とする。次に、制御部１０７は、生成したアクセス履歴情報をアクセス履歴テーブル１３３に追加する。【００６５】
（８）検索部１０５
検索部１０５は、インターネット２０及び要求受信部１０４を介して、サーバ装置４００から送信要求を受信する。送信要求を受信すると、受信した送信要求を解読し、要求に該当する情報を、情報記憶部１１０において、検索する。検出した情報及び、その情報と対応する保護タグとを読み出す。【００６６】
続いて、ＬＡＮ１０に通信可能な端末機器が接続されていれば、ＬＡＮ通信部１０９を介して、接続されている端末機器においても、送信要求に該当する情報を検索し、検出した情報及び各情報と対応する保護タグとを読み出す。
例えば、図１のようにノートＰＣ３００が接続されており、受け取った送信要求が写真の送信を要求している場合は、情報記憶部１１０から写真１５８、１６０・・・及び各写真と対応する保護タグを読み出し、続いて、ＬＡＮ通信部１０９を介して、ノートＰＣ３００に送信要求に該当する情報の検索を指示する。ノートＰＣ３００が、写真を記憶していれば、ＬＡＮ通信部１０９を介して、ノートＰＣ３００から、その写真及び対応する保護タグを受け取る。【００６７】
次に、読み出した情報及び保護タグを、加工判断部１０６へ出力する。なお、図４に示す写真１６０のように対応する保護タグがない場合は、情報のみを出力する。
（９）加工判断部１０６
加工判断部１０６は、検索部１０５から情報及び各情報と対応する保護タグとを受け取る。ただし、受け取る情報には、保護タグの無いものもある。タグのない情報は、保護すべきデータを含んでいない。【００６８】
この情報を受け取ると、受け取った各情報について、個人情報保護の観点から、各情報がそのまま送信可能であるか否かを判断し、送信可能でない場合に、その情報に含まれる保護対象データを加工（又は削除）する。
上記の判断及び加工が終了すると、加工後の情報を送信部１０８へ出力する。
図７〜図１０は、加工判断部１０６による上述の判断及び加工の処理を示すフローチャートである。以下に、図７〜図１０を用いて、加工判断部１０６の処理について説明する。なお、説明の便宜上、判断及び加工の対象となっている情報を処理対象情報と呼ぶ。【００６９】
検索部１０５から受け取った処理対象情報に保護タグがない場合（ステップＳ１０１のＮＯ）、加工判断部１０６は、受け取った処理対象情報を、そのまま送信部１０８へ出力し（ステップＳ１０３）、判断及び加工の処理を終了する。
受け取った処理対象情報に保護タグが付されている場合（ステップＳ１０１のＹＥＳ）、受け取った保護タグを基に、処理対象情報に含まれる保護対象データを全て特定する（ステップＳ１０２）。保護対象データの特定には、制御部１０７と同じく、画像認識、文字認識、氏名・住所特定、人物の顔画像特定など公知の技術を用いる。【００７０】
ここで特定したｎ個（ｎは１以上）の保護対象データそれぞれに、識別番号Ｃ１、Ｃ２・・・Ｃｎを付す。識別番号は、その情報内で各保護対象データを特定できる情報であればよいので、単なる通し番号や乱数でもよいし、その保護対象データが保持されているメモリ上のアドレスでもよいし、処理対象情報が画像データであれば、その保護対象データが含まれる画素位置などでもよい。また、これらを結合したものでも良い。【００７１】
次に、加工判断部１０６は、管理情報記憶部１１１から保護対象テーブル１２１を読み出す（ステップＳ１０４）。特定した保護対象データに対応する度数と保護ランクを、保護対象テーブル１２１から抽出し、対象度数テーブルを生成する（ステップＳ１０６）。図１１は、ここで生成される対象度数テーブル２０１の詳細を示す。図１１に示すように、対象度数テーブル２０１は、ｎ個（図中ではｎ＝５）の対象度数演算情報２０２、２０３、２０４、２０５及び２０６から構成される。各対象度数演算情報は、それぞれ、特定された保護対象データと対応している。各対象度数演算情報は、識別番号、度数及び保護ランクを含む。識別番号は、各保護対象データに付された上述の識別番号であり、度数と保護ランクは、識別番号の示す保護対象データの属する保護対象種別に対応する度数と保護ランクである。【００７２】
次に、ステップＳ１０８〜ステップＳ１２６において、加工判断部１０６は、対象度数テーブル２０１に含まれる識別番号Ｃ１〜Ｃ５のそれぞれについて、以下のステップＳ１０９〜ステップＳ１２３の処理を繰り返す。
加工判断部１０６は、識別番号Ｃｘ（０≦ｘ≦５）を含む対象度数演算情報を選択し（ステップＳ１０９）、選択した対象度数演算情報から保護ランクを読み出す（ステップＳ１１１）。保護ランクが「Ｂ」でなければ（ステップＳ１１３のＮＯ）、加工判断部１０６は、次の識別番号Ｃｘに係る処理に移る。【００７３】
保護ランクが「Ｂ」であれば（ステップＳ１１３のＹＥＳ）、情報記憶部１１０内において、識別番号Ｃｘの示す保護対象データと同一のデータを含む他の情報（以下、処理対象情報と関連する情報であって、ホームサーバ１００が容易に検索可能な情報を、関連情報と呼ぶ。本実施の形態では、処理対象情報に含まれる保護対象データと同一のデータを含む情報を関連情報とする。）を検索する（ステップＳ１１４）。ＬＡＮ１０を介して通信可能な端末機器がある場合は、ＬＡＮ通信部１０９を介して、その端末機器に、関連情報の検索を要求する。情報記憶部１１０及びＬＡＮ１０に接続された端末機器から関連情報が検出されなければ（ステップＳ１１６のＮＯ）、加工判断部１０６は、次の識別番号Ｃｘに係る処理に移る。【００７４】
関連情報が検出されると（ステップＳ１１６のＹＥＳ）、加工判断部１０６は、検出した関連情報と対応する保護タグを読み出す（ステップＳ１１７）。
加工判断部１０６は、読み出した保護タグの示す保護対象種別と対応する保護ランクを、保護対象テーブル１２１から検出する（ステップＳ１１９）。検出した保護ランクの中に保護ランク「Ａ」が存在すれば（ステップＳ１２１のＹＥＳ）、識別番号Ｃｘを含む対象度数演算情報に含まれる保護ランクを「Ａ」に変更する（ステップＳ１２３）。【００７５】
保護ランク「Ａ」が含まれていなければ（ステップＳ１２１のＮＯ）、加工判断部１０６は、次の識別番号Ｃｘに係る処理に移る。
ステップＳ１０８〜ステップＳ１２６の繰返しが終了すると、加工判断部１０６は、対象度数テーブルにおいて、保護ランク「Ａ」を含む対象度数演算情報を検出する。処理対象情報において、検出した対象度数演算情報に含まれる識別番号の示す保護対象データを加工する（ステップＳ１４１）。加工の方法は、任意であるが、例えば、処理対象情報が写真であれば、保護対象データの写っている部分にモザイクをかける。処理対象データが、テキストデータであれば、保護対象データの一部を削除したり、意味のない文字列に置き換えたりする。【００７６】
次に、加工判断部１０６は、加工した保護対象データと対応する対象度数演算情報の度数を２で除算し、保護ランクを「Ｂ」に変更する（ステップＳ１４２）。なお、対象度数テーブルに、保護ランク「Ａ」を含む対象度数演算情報が存在しない場合は、ステップＳ１４１〜ステップＳ１４２は省略する。
続いて、加工判断部１０６は、対象度数テーブルを構成する各対象度数演算情報に含まれる度数の和を算出する。算出した和を対象度数と呼ぶ（ステップＳ１４３）。【００７７】
対象度数は、実際に送信要求の送信元へ送信される情報による、個人の識別容易性を示している。対象度数が高いほど、送信される情報から、特定の個人を容易に識別できる。
次に、加工判断部１０６は、管理情報記憶部１１１から、アクセス履歴テーブル１３３を読み出し（ステップＳ１４４）、送信要求に含んで受信したＩＰアドレスと同一のＩＰアドレスを含むアクセス履歴情報を、読み出したアクセス履歴テーブル１３３において検索する（ステップＳ１４６）。【００７８】
該当するアクセス履歴情報が存在すれば（ステップＳ１４７のＹＥＳ）、検出した全てのアクセス履歴情報から送信度数を読み出し（ステップＳ１４８）、読み出した送信度数の総和を算出する。算出した和を履歴度数とする（ステップＳ１４９）。
履歴度数は、送信要求の送信元の機器へ、過去に送信した情報による、個人の識別容易性を示している。【００７９】
ステップＳ１４７において、該当するアクセス履歴情報が存在しない場合（ステップＳ１４７のＮＯ）、履歴度数を「０」とする（ステップＳ１５１）。
続いて、加工判断部１０６は、対象度数と履歴度数とを加算して識別度数を算出する（ステップＳ１５３）。次に、管理情報記憶部１１１から送信閾値１３１を読み出す（ステップＳ１５４）。読み出した送信閾値１３１と算出した識別度数とを比較し、算出した識別度数が、送信閾値１３１以下であれば、加工後の処理対象情報を、送信部１０８へ出力する（ステップＳ１６３）。【００８０】
算出した識別度数が、送信閾値１３１より大きい場合（ステップＳ１５６のＮＯ）、加工判断部１０６は、処理対象情報に含まれる保護対象データを加工又は、削除する（ステップＳ１５７）。何れの保護対象データを加工又は削除するかは、任意であるが、例えば、対象度数テーブルの先頭の対象度数演算情報と対応する保護対象データから順に加工又は削除しても良いし、度数の大きいものを優先的に加工又は削除しても良い。【００８１】
次に、削除した保護対象データと対応する対象度数演算情報に含まれる度数を「０」に変更し、加工した保護対象データと対応する対象度数演算情報に含まれる度数を２で除算する（ステップＳ１５９）。
次に、加工判断部１０６は、ステップＳ１５９の処理後の対象度数テーブルを基に改めて対象度数を算出し、算出した対象度数を用いて識別度数を再計算し（ステップＳ１６１）ステップＳ１５６へ戻る。【００８２】
なお、ここでは、説明を容易にするため、検索部１０５から受け取った情報が１個の場合について説明してきたが、複数の情報を受け取った場合、各情報について、ステップＳ１０１〜ステップＳ１４２を繰り返して、各情報に対して、対象度数テーブルを生成し、全ての対象度数テーブルに含まれる度数の総和を対象度数とする。
１．３  ノートＰＣ３００
ノートＰＣは、図２に示すように、ＬＡＮ通信部３０１、検索部３０５、制御部３０７、情報記憶部３１０、入力部３１２及び表示部３１３から構成されている。また、具体的には図示していないが、制御部１０７は、ノートＰＣ３００を構成する各部と接続されており、各部を制御する。【００８３】
ノートＰＣ３００は、具体的にはＲＡＭ、ＲＯＭ及びマイクロプロセッサを含んで構成されるコンピュータシステムであって、前記ＲＡＭ、ＲＯＭにはコンピュータプログラムが記憶されている。前記マイクロプロセッサが前記コンピュータプログラムに従って動作することにより、ノートＰＣ３００は、その機能の一部を達成する。
以下に、各構成要素について説明する。【００８４】
（１）ＬＡＮ通信部３０１
ＬＡＮ通信部３０１は、ＬＡＮ１０と接続可能なインタフェースを備えており、ＬＡＮ１０に接続されている外部機器と検索部３０５との間で、各種の情報及び指示などの送受信を行う。ここで、外部機器とは、ホームサーバ１００である。
（２）検索部３０５
検索部３０５は、ＬＡＮ通信部３０１を介して、ホームサーバ１００から情報記憶部３１０内の情報の検索、読み出しの指示を受け、指示に従って、情報記憶部３１０内において、情報の検索及び読み出しを行う。【００８５】
（３）情報記憶部３１０
情報記憶部３１０は、ハードディスクを含んで構成され、各種の情報を記憶している。一例として、図１２に示すように、所有者ＩＤ３２１、所有者名３２３、アドレス帳３２５、社員名簿３２７及び各情報と対応する保護タグ３２２、３２４、３２６、３２８を記憶している。【００８６】
所有者名３２３は、ノートＰＣ３００の所有者の名称、所有者ＩＤ３２１は、前記所有者を一意に識別する識別情報である。アドレス帳３２５は、利用者によって作成された情報であって、複数の人の氏名、住所、電話番号などが含まれる。社員名簿３２７は、複数の人の氏名と各人に対応する社員ＩＤとを含んでいる。
保護タグについては、上記の情報記憶部１１０において説明したとおりである。【００８７】
（４）制御部３０７
制御部３０７は、入力部３１２を介して、利用者による各種の情報及び指示の入力を受け付け、受け付けた指示に従って、各部の動作を制御する。
また、ホームサーバ１００の制御部１０７と同様に、情報記憶部３１０に新たな情報を記録する際には、情報の内容を解析して保護対象データを検索し、検出した場合は、検出した保護対象データの属する保護対象種別を示す保護タグを生成し、生成した保護タグをその情報と対応付けて、情報記憶部３１０に書き込む。【００８８】
（５）入力部３１２及び表示部３１３
入力部３１２は、テンキー、文字キー、など各種のキーを備え、利用者による各種の情報及び指示の入力を受け付け、受け付けた情報及び指示を制御部３０７へ出力する。
表示部３１３は、液晶ディスプレイを備え、制御部３０７の制御に従って各種の画面を表示する。
１．４  サーバ装置４００
サーバ装置４００は、操作者の操作に従って、ホームサーバ１００を含む外部の機器から、利用者に係る各種の情報を収集し、収集した情報を基に、利用者の趣味・嗜好に合致したサービスや情報を提供する装置である。【００８９】
サーバ装置４００により提供されるサービスの一例として、テレビ放送の視聴履歴を収集し、利用者の好みに合致するテレビ放送を告知するサービスや、利用者の好みに合致した新作ＤＶＤを案内するサービスが挙げられる。
１．５  動作
以下に、個人情報管理システム１の各機器の動作について、ホームサーバ１００を中心に説明する。【００９０】
（１）ホームサーバ１００の動作
図１３〜図１６は、ホームサーバ１００の動作を示すフローチャートである。以下に、図１３〜図１６のフローチャートを用いて、ホームサーバ１００の動作について説明する。
ホームサーバ１００に電源が投入され、各部に電力供給が開始されると、制御部１０７は、ＬＡＮ通信部１０９を介して、ＬＡＮ１０に、通信可能な他の端末機器が接続されているか否かを確認する（ステップＳ２０１）。ここでは、ノートＰＣ３００が接続されているとして説明する。【００９１】
次に、利用者に利用者ＩＤの入力を要求するメッセージを含むスタート画面を生成し、表示出力部１１３に生成したスタート画面の表示を指示する。表示出力部１１３は、制御部１０７の指示に従って、モニタ１５にスタート画面を表示させる（ステップＳ２０２）。続いて、制御部１０７は、入力部１１２から、利用者により入力された利用者ＩＤを受け取る（ステップＳ２０３）。【００９２】
一方、サーバ装置４００は、操作者の操作に従って、インターネット２０を介してホームサーバ１００に、送信要求を送信する（ステップＳ２０４）。
利用者ＩＤを受け取った後、インターネット２０を介して、要求受信部１０４がサーバ装置４００から、送信要求を受信すると（ステップＳ２０６のＹＥＳ）、制御部１０７は、受信された送信要求を、検索部１０５へ出力するように、要求受信部１０４へ指示する。【００９３】
検索部１０５は、要求受信部１０４から、送信要求を受け取り、送信要求の示す情報の送信処理（詳細は後述する）を開始する（ステップＳ２０７）。
送信要求を受信しなければ（ステップＳ２０６のＮＯ）、制御部１０７は、続いて、ホームサーバ１００が利用者に提供する各種の機能を表示するメニュー画面をモニタ１５に表示させ、利用者による選択操作を受け付ける（ステップＳ２０８）。メニュー画面には、一例として、「設定変更」、「テレビ放送視聴」、「メディアからの情報転送」といった、機能記載した選択肢が並んでいる。【００９４】
入力部１１２を介して、設定変更を要求する操作を受け付けると（ステップＳ２０８の「設定変更」）、利用者の操作に従って、管理情報記憶部１１１に記憶されている保護対象テーブル１２１、送信閾値１３１、情報記憶部１１０に記憶されているユーザテーブル１４６の変更を行う（ステップＳ２０９）。
入力部１１２を介して、テレビ放送の視聴を要求する操作を受け付けると（ステップＳ２０８の「テレビ放送視聴」）、テレビ番組の表示の処理（詳細は後述する)を開始する（ステップＳ２１０）。【００９５】
入力部１１２を介して、メモリカードなどのメディアからの情報の転送を要求する操作を受け付けると（ステップＳ２０８の「メディアからの情報転送」）、制御部１０７は、情報転送の処理（詳細は後述）を行う（ステップＳ２１１）。
また、入力部１１２を介して、その他の処理を要求する操作を受け付けると（ステップＳ２０８の「その他の処理」）、その他の処理を行う（ステップＳ２１２）。【００９６】
ステップＳ２０８において受け付けた操作に応じた処理が終了すると、ステップＳ２０６へ戻る。
（２）テレビ番組の表示
利用者の操作によってテレビ放送の視聴を要求されると、ホームサーバ１００は、テレビ番組の表示の処理を行う。以下に図１４のフローチャートを用いて、テレビ番組の表示の処理について説明する。なおこれは、図１３のステップＳ２１０の詳細である。【００９７】
制御部１０７は、ステップＳ２０３において利用者により入力された利用者ＩＤを含む視聴履歴表を、情報記憶部１１０内において検索する（ステップＳ２１３）。入力された利用者ＩＤを含む視聴履歴表を検出すると（ステップＳ２１６のＹＥＳ）、ステップＳ２１９へ処理を移す。
入力された利用者ＩＤを含む視聴履歴表が検出されなかった場合（ステップＳ２１６のＮＯ）、制御部１０７は、入力された利用者ＩＤを含む新たな視聴履歴表を生成する（ステップＳ２１７）。次に、制御部１０７は、保護タグ「ＩＤ、視聴履歴」を生成し、生成した視聴履歴表と保護タグとを対応付けて、情報記憶部１１０に書き込む（ステップＳ２１８）。【００９８】
続いて、制御部１０７は、入力部１１２を介して、チャネル選択を受け付け（ステップＳ２１９）選択されたチャネルに係る放送の受信を放送受信部１０２に指示する。次に制御部１０７は、選択されたチャネル番号などを含む新たな視聴履歴情報を生成し、利用者により入力された利用者ＩＤを含む視聴履歴表に、生成した視聴履歴情報を追加する（ステップＳ２２１）。なお、具体的には図示していないが、情報記憶部１１０には、ＥＰＧ（Electronic Program Guide）が記憶されており、新たな視聴履歴情報の生成に当たり、制御部１０７は、ＥＰＧから、番組名及びジャンルを取得する。【００９９】
アンテナ１０１及び放送受信部１０２は、制御部１０７の指示に従って、テレビ番組を受信し、表示出力部１１３は受信されたテレビ番組を、モニタ１５に表示させる（ステップＳ２２３）。テレビ番組の表示中に、利用者の操作によりチャネルが変更された場合（ステップＳ２２４のＹＥＳ）、または、１個のテレビ番組が終了した場合（ステップＳ２２６のＹＥＳ）、ステップＳ２２１に戻り、新たな視聴履歴情報を追加する。【０１００】
放送番組の表示の途中、利用者により、視聴終了の操作がされると（ステップＳ２２７のＹＥＳ）、制御部１０７は、テレビ番組の表示処理を終了し、ステップＳ２０６へ戻る。チャネル変更がなく（ステップＳ２２４のＮＯ）、利用者による視聴終了の送さもなければ（ステップＳ２２７のＮＯ）、放送番組が終了するまで（ステップＳ２２６のＮＯ）、放送番組の表示を継続する。【０１０１】
（３）情報の転送
入力部１１２を介して、メモリカードなどのメディアからの情報の転送を要求する操作を受け付けると、ホームサーバ１００は、メディアからの情報の転送処理を行う。以下に図１５に示すフローチャートを用いて、情報の転送処理について説明する。なお、これは、図１３のステップＳ２１１の詳細である。【０１０２】
制御部１０７は、入出力部１０３を介して、記録メディアに記録されている情報を読み出し（ステップＳ２３１）、読み出した情報を解析して保護対象データを検索する（ステップＳ２３２）。解析には、画像認識、文字認識、音声認識など、各種の技術を用いる。
読み出した情報に保護対象データが含まれていない場合（ステップＳ２３４のＮＯ）、読み出した情報をそのまま情報記憶部１１０に書き込む（ステップＳ２３６）。【０１０３】
読み出した情報が保護対象データを含んでいる場合（ステップＳ２３４のＹＥＳ）、検出した保護対象データの属する保護対象種別を示す保護タグを生成し（ステップＳ２３７）、読み出した情報と生成した保護タグとを対応付けて情報記憶部１１０に書き込む（ステップＳ２３９）。
（４）情報送信
要求受信部１０４から送信要求を受け取ると、検索部１０５は、以下に説明する情報送信の処理を開始する。以下に、図１６に示すフローチャートを用いて、情報の送信処理について説明する。これは、図１３のステップＳ２０７の詳細である。【０１０４】
制御部１０７は、要求受信部１０４に、受信された送信要求を検索部１０５へ出力させる。
検索部１０５は、送信要求を受け取り、情報記憶部１１０内において、要求された情報を検索する（ステップＳ２４６）。このとき、ＬＡＮ１０にノートＰＣが接続されていれば（ステップＳ２４７のＹＥＳ）、検索部１０５はＬＡＮ通信部１０９を介して、送信要求の要求する情報の検索を、ノートＰＣ３００に要求する（ステップＳ２４９）。【０１０５】
ノートＰＣ３００の検索部３０５は、ＬＡＮ通信部３０１を介して、ホームサーバ１００からの検索要求を受信する。検索部３０５は、受信した検索要求に従って情報記憶部３１０内を検索し（ステップＳ２５１）、要求に該当する情報を検出すると、検出した情報とその情報に対応する保護タグとを読み出し（ステップＳ２５３）、読み出した情報及び保護タグをＬＡＮ通信部３０１を介して、ホームサーバ１００へ送信する（ステップＳ２５４）。要求に該当する情報が検出されなければ、ステップＳ２５３及び２５４に代えて、該当する情報が存在しないことを示す信号を送信する。【０１０６】
ホームサーバ１００の検索部１０５は、ＬＡＮ通信部１０９を介してノートＰＣ３００から、情報及び保護タグを受け取る。受け取った情報及び情報記憶部１１０において検出した情報、各情報と対応する保護タグを、加工判断部１０６へ出力する。
加工判断部１０６は、検索部１０５から情報及び保護タグを受け取り、受け取った情報について、送信可能か否かの判断および送信可能でない情報の加工を行う（ステップＳ２５７）。ステップＳ２５７の詳細については、すでに、図７〜図１０のフローチャートを用いて説明した通りである。【０１０７】
送信部１０８は、加工判断部１０６から、加工後の情報を受け取り、受け取った情報をインターネット２０を介して、サーバ装置４００へ送信する（ステップＳ２５８）。
制御部１０７は、送信された情報に関して、加工判断部１０６によって算出された対象度数と、サーバ装置４００から送信要求を受信した時刻と、送信要求に含んで受信したサーバ装置４００のＩＰアドレスを含むアクセス履歴情報を生成し、生成したアクセス履歴情報を管理情報記憶部１１１の記憶しているアクセス履歴テーブル１３３に追加する（ステップＳ２６１）。【０１０８】
（５）具体例
上述の情報の送信処理について、サーバ装置４００から、写真の送信を要求する送信要求を受信した場合の例を、図６、図７〜１０及び図１６を参照しながら、具体的に説明する。このとき、ノートＰＣ３００がＬＡＮ１０に接続されており、ホームサーバ１００と通信可能な状態にあるとする。また、サーバ装置４００のＩＰアドレスは「１０．１０５．５．６」であるとする。【０１０９】
検索部１０５は、情報記憶部１１０内及びノートＰＣ３００の情報記憶部３１０内において、写真を検索し、情報記憶部１１０内で写真１５８と写真１６０とを検出する（ステップＳ２４６）。検出した写真１５８と写真１６０及び、写真１５８と対応する保護タグ１５９を読み出し、加工判断部１０６へ出力する。
加工判断部１０６は、検索部１０５から写真１５８、保護タグ１５９及び写真１６０を受け取る。【０１１０】
写真１６０には、対応する保護タグが無いので（ステップＳ１０１のＮＯ）、加工判断部１０６は、そのまま送信部１０８へ出力する（ステップＳ１０３）。
写真１５８には、対応する保護タグ１５９が存在するので（ステップＳ１０１のＹＥＳ）、加工判断部１０６は、写真１５８の画像を解析し、保護対象種別「住所」該当する文字列１８１、保護対象種別「会社名」に該当する文字列１８２、保護対象種別「氏名」に属する文字列１８３、保護対象種別「ＩＤ」に属する文字列１８４、保護対象種別「顔」に該当する人物の顔１８６を検出する（ステップＳ１０２）。検出した５つの保護対象データに、順に識別番号Ｃ１〜Ｃ５を付す。【０１１１】
このとき、保護対象データである人物の顔１８６、文字列１８１、１８２、１８３の検出には、画像解析、文字認識、氏名・住所特定等の技術が用いられる。
また、文字列１８４は、その文字列自体に意味が無く、文字列１８４の文字の大きさを基準として、所定の範囲内に、「会社名」に該当する文字列１８１、「氏名」に該当する文字列１８３、顔写真１８５（人物が特定できるほど不鮮明でなくても良い）が記載されているといった、所定の条件を満たすため、個人情報種別「ＩＤ」に属すると判別する。なお、この方法は一例であって、他の方法を用いても良い。【０１１２】
続いて、管理情報記憶部１１１から保護対象テーブル１２１を読み出す。次に、文字列１８１は、保護対象種別「住所」に属するので、加工判断部１０６は、保護対象情報１２３から度数「８」及び保護ランク「Ａ」を読み出し、識別番号Ｃ１、度数「８」、保護ランク「Ａ」からなる対象度数演算情報２０２を生成する。同様に、他の保護対象データについても、対象度数演算情報２０３、２０４、２０５、２０６を生成し、これらから構成される対象度数テーブル２０１を生成する（ステップＳ１０６）。【０１１３】
次に、加工判断部１０６は、対象度数テーブル２０１において、保護ランク「Ｂ」を含む対象度数演算情報２０３及び２０５を特定する（ステップＳ１０９〜１１３）。
加工判断部１０６は、情報記憶部１１０及び情報記憶部３１０内において、特定した対象度数演算情報２０３と対応する文字列１８２「〇×（株）」と同一の保護対象データを含む関連情報、対象度数演算情報２０５と対応する文字列１８４「ＩＤ５１」と同一の保護対象データを含む関連情報を、検索する（ステップＳ１１４）。ここで、ノートＰＣ３００の備える情報記憶部３１０に記憶されている社員名簿３２７に文字列１８４「ＩＤ５１」と一致する文字列「ＩＤ５１」が含まれているとする（ステップＳ１１６のＹＥＳ）。【０１１４】
加工判断部１０６は、ＬＡＮ通信部１０９を介して社員名簿３２７と対応する保護タグ３２８を読み出す（ステップＳ１１７）。読み出した保護タグ３２８の示す保護対象種別は「氏名」及び「ＩＤ」である。
加工判断部１０６は、保護対象テーブル１２１において、保護対象種別「氏名」、「ＩＤ」を含む保護対象情報１２２、１２５を選択し、選択した保護対象情報１２２、１２５それぞれから保護ランク「Ａ」、「Ｂ」を検出する（ステップＳ１１９）。検出した保護ランクに「Ａ」が含まれているので（ステップＳ１２１のＹＥＳ）、対象度数テーブル２０１において、文字列１８４「ＩＤ５１」と対応する対象度数演算情報２０５の保護ランクを「Ｂ」から「Ａ」に変更する（ステップＳ１２３）。変更後の対象度数テーブル２０１では、対象度数演算情報２０２、２０４、２０５及び２０６に含まれる保護ランクが「Ａ」である。【０１１５】
続いて、加工判断部１０６は、保護ランク「Ａ」を含む対象度数演算情報２０２、２０４、２０５及び２０６と対応する文字列１８１、１８３及び文字列１８４、人の顔１８６を加工する（ステップＳ１４１）。一例として、人の顔１８６の部分にモザイク処理を施し、文字列１８１「Ｍ市××町〇〇番地」の「Ｍ市」以降の部分を周辺の色で塗りつぶし、文字列１８３「佐藤太郎」の後半２文字の部分を周辺の色で塗りつぶし、文字列１８４「ＩＤ５１」の３文字目以降を周辺の色で塗りつぶす。次に、対象度数演算情報２０２、２０４、２０５及び２０６に含まれる保護ランクを「Ｂ」に変更し、それぞれに含まれる度数を２で除算する（ステップＳ１４２）。小数点以下は切り捨てる。【０１１６】
このとき各対象度数演算情報に含まれる度数はそれぞれ、「４」、「３」、「５」、「２」及び「５」である。加工判断部１０６は、これらを加算して、対象度数「１９」を算出する（ステップＳ１４３）。
続いて、加工判断部１０６は、アクセス履歴テーブル１３３において、ＩＰアドレス「１０．１０１．５．６」を含むアクセス履歴情報を検索し（ステップＳ１４６）、アクセス履歴情報１３４を検出する（ステップＳ１４７のＹＥＳ）。検出したアクセス履歴情報１３４から履歴度数「１７」を読み出す（ステップＳ１４８）。検出された履歴情報が１個であるので、この場合、読み出した送信度数「１７」が履歴度数「１７」となる（ステップＳ１４９）。【０１１７】
次に、加工判断部１０６は、対象度数「１９」と履歴度数「１７」とを加算して、識別度数「３６」を算出する（ステップＳ１５３）。送信閾値１３１「３０」を読み出し、識別度数「３６」と送信閾値１３１「３０」とを比較する。識別度数が送信閾値より大きいので（ステップＳ１５６のＮＯ）、写真１５８に含まれる対象データを更に加工する。ここでは、一例として、最大の度数「５」を含む対象度数演算情報２０４及び２０６と対応する文字列１８３「佐藤太郎」と、人物の顔１８６とを更に加工する（ステップＳ１５７）。例えば、文字列１８３「佐藤太郎」を全て背景色で塗りつぶし、人物の顔１８６にさらに複雑なモザイク処理を施す。続いて、対象度数演算情報２０４に含まれる度数を「０」に変更し、対象度数演算情報に含まれる度数「５」を２で除算して「２」とする（ステップＳ１５９）。続いて、変更後の対象度数テーブル２０１に含まれる度数「４」、「３」、「０」、「２」及び「２」を加算して対象度数「１１」を再計算し、続いて、対象度数「１１」と履歴度数「１７」とを加算して、識別度数「２８」を再度算出する（ステップＳ１６１）。【０１１８】
再計算した識別度数「２８」は、判定閾値「３０」以下であるので（ステップＳ１５６のＹＥＳ）、加工判断部１０６は、次に、加工後の写真１５８を送信部１０８へ出力する（ステップＳ１６３）。
送信部１０８は、加工判断部１０６から、写真１６０及び加工後の写真１５８を受け取り、これらをインターネット２０を介してサーバ装置４００へ送信する（ステップＳ２５８）。【０１１９】
制御部１０７は、送信要求を受信した日時と、送信要求に含まれているＩＰアドレス「１０．１０１．５．６」と、送信度数「１１」とを含む新たなアクセス履歴情報を生成する。この送信度数「１２」は、加工判断部１０６が最後に算出した対象度数「１１」である。
次に、生成したアクセス履歴情報を、アクセス履歴テーブル１３３に追加する（ステップＳ２６１）。
１．６  まとめ・効果
以上、説明してきたように、実施の形態１の個人情報管理システム１を構成するホームサーバ１００は、予め、保護対象データの種類ごとに度数と保護レベルとを規定する保護対象テーブル１２１を保持しており、サーバ装置４００から情報の送信を要求されると、保護対象テーブルから、要求に該当する情報（処理対象情報）に含まれる保護対象データそれぞれの度数と保護ランクとを抽出する。【０１２０】
抽出された保護ランクが「Ａ」の保護対象データは、無条件に加工の対象となり、そのまま、サーバ装置４００へ送信されることはない。
さらに、抽出された保護ランクが「Ｂ」の保護対象データについて、その保護対象データと関連する関連情報を検索し、関連情報に保護ランク「Ａ」の保護対象データが含まれていれば、保護ランク「Ｂ」を「Ａ」に変更する。変更後、保護ランク「Ａ」の保護対象データを加工する。【０１２１】
そのため、単独では、個人情報とならない情報であっても、個人情報を含む関連情報と容易に照合できる場合は、その情報をそのままサーバ装置４００へ送信することはない。
単独で個人を識別しうる情報のみならず、容易に照合可能な関連情報の存在によって、個人を識別し得る情報も秘匿することが可能となり、より確実に個人情報を保護することができる。【０１２２】
さらに、加工後の処理対象情報について、対象度数及び履歴度数をそれぞれ算出し、これらの和である識別度数と送信閾値とを比較し、送信閾値より大きい場合、保護ランク「Ｂ」の保護対象データも加工する。
保護ランク「Ｂ」のデータであっても、送信要求を受信した時点ではＬＡＮに接続されていない端末機器の有する個人情報や、今後、ホームサーバ１００などに記録される個人情報によって、今後、保護ランク「Ａ」となる危険性がある。【０１２３】
上記のように、送信閾値による条件を設けて、保護ランク「Ｂ」の情報も、加工することで、このような危険性を、低減することができる。
また、履歴度数を加味して判断するため、ホームサーバ１００から送信した情報が、サーバ装置４００に多数集まることで、個人を特定し得る状態になる危険性を、抑制することができる。【０１２４】
ここで、特許請求の範囲の各請求項に記載した発明と、上記実施の形態１における具体的な構成要素との対応について述べる。
請求項１の要求取得手段は、要求受信部１０４に対応し、読出手段は、検索部１０５に対応し、度数取得手段及び判断手段は、加工判断部１０６に対応する。
請求項２及び請求項２５の加工手段は、加工判断部１０６に対応し、出力手段は、送信部１０８に対応する。【０１２５】
請求項３の禁止手段は、ホームサーバ１００の加工判断部１０６に対応する。
請求項４の第１取得手段は、ホームサーバ１００の検索部１０５に対応する。
請求項１０の生成手段は、ホームサーバ１００の制御部１０７に対応する。
請求項１１の変更手段は、ホームサーバ１００の制御部１０７に対応する。
請求項１２の関連情報取得手段は、ホームサーバ１００の加工判断部１０６に対応する。【０１２６】
請求項２４の通知手段は、ホームサーバ１００の制御部１０７、表示出力部１１３、及び送信部１０８に対応する。そして通知手段による処理の結果、図１７（ａ）に記載した赤色点滅５０１、（ｂ）に記載した危険度表示バー５０２、（ｃ）に記載した受信メール画面５０３等により、利用者に通知される。
１．７  その他の変形例
本発明を上記の実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。【０１２７】
（１）上記の実施の形態１では、処理対象情報に含まれる保護対象データのうち、保護ランク「Ａ」のものは、無条件に加工し、加工後の各保護対象データに対応する度数の総和である対象度数とアクセス履歴テーブルを基に算出した履歴度数から識別度数を算出し、算出した識別度数によって、送信を要求された情報をそのまま送信するか、加工するかを判断しているが、加工の順序、識別度数の算出方法及び判断方法は、これに限るものではない。【０１２８】
一例としては、関連情報に関しても、その関連情報に含まれるすべての保護対象データと対応する度数の総和（関連度数）を算出し、対象度数と関連度数と履歴度数との和を識別度数としても良い。
また、以下のようにしても良い。加工判断部１０６は、保護ランク「Ａ」の保護対象データを含む関連情報の存在により、対象度数演算情報の保護ランクを「Ａ」に書き換える際、関連情報に含まれる保護ランク「Ａ」の保護対象データに対応する度数を、保護対象テーブル１２１から読み出し、保護ランクのみならず、度数も、読み出した度数に書き換える。次に、対象度数テーブルに含まれる度数を全て加算して、対象度数を算出し、対象度数と履歴度数とを足し合わせて識別度数を算出する。算出した識別度数が、送信閾値より大きい場合に、処理対象情報を加工する。【０１２９】
また、履歴情報を加味せずに、対象度数と識別度数とを比較し、処理対象情報を加工するか否かを決定しても良い。
また、保護ランクに基づく加工のみを行い、加工後の処理対象情報を送信してもよい。
（２）また、識別度数に基づく加工のみを行って、送信しても良い。この場合、処理対象情報に含まれる保護対象データの個数に関わらず、保護タグの示す保護対象種別及び保護対象テーブル１２１に基づいて、対象度数を算出しても良い。【０１３０】
具体的には、処理対象情報と対応する保護タグの示す保護対象種別を含む保護対象情報を、保護対象テーブル１２１において特定する。特定した保護対象情報に含まれる度数を読み出す。保護タグが複数の保護対象種別を含んでいる場合は、それぞれの保護対象種別について、度数を読み出す。読み出した度数を全て加算して、対象度数を算出する。このようにした場合、送信要求を受け取った後に、処理対象情報内において、個々の保護対象情報を検出しないので、迅速に加工の要否を判定することができる。特に、識別度数が送信閾値より低い場合は、処理対象情報を迅速に送信することができる。【０１３１】
また、保護タグに、保護対象情報種別及びその保護対象種別に属する保護対象データの個数が含まれているとしても良い。具体的には、３人の人物の氏名が記載されたアドレス帳であれば、そのアドレス帳と対応する保護タグには、個人情報種別「氏名」と個数「３」が含まれる。このとき、加工判断部１０６は、保護対象種別「氏名」と対応する度数「１０」と個数「３」とを掛けて、対象度数「３０」を算出する。【０１３２】
（３）実施の形態１では、処理対象情報に含まれる保護対象データと同一のデータを含む情報を関連情報としているが、同一のデータに限らず部分的に一致するデータを含む情報を関連情報としても良い。
会社などで社員にＩＤを割り振る際に、所属や入社年度が同一の人には、上位数文字は同一の文字列を割り当て、下位の数文字を連番にする場合がある。【０１３３】
また、同一の機器、同一のソフトを使って作成したファイルには、上位の数ビットが同一のファイルＩＤが割り振られる場合がある。例えば、上位８ビットは、利用者の識別情報、続く８ビットは、ソフトの識別情報、下位８ビットは、各ファイルに一意に割り当てられる文字列というように決定される。
従って、一部分が一致する２つの社員ＩＤそれぞれが示す人は、何らかの関連のあると考えられる。また、一部分が一致するファイルＩＤの示すファイルは、同一の人、または、同一の機器を使用可能な環境にある複数の人と関連があると考えられる。そのため、本変形例のように、処理対象情報に含まれる保護対象データと部分的に一致する保護対象データを含んでいる情報を、関連情報とすることで、より確実に個人情報を保護することができる。【０１３４】
（４）上記のホームサーバ１００は、外部機器に情報を送信した履歴として、送信度数を含むアクセス履歴テーブル１３３記憶しているが、送信度数に代わって、実際に送信した情報のデッドコピーを含むアクセス履歴テーブルを保持しており、デッドコピー及び保護対象テーブル１２１から履歴度数を算出しても良い。又は、検索部１０５が検出した情報（つまり加工前の情報）のデッドコピーであっても良い。【０１３５】
また、送信度数に代えて、送信要求に従って、検索部１０５が検出した情報（つまり加工前の情報）を示す識別情報、検出した情報の記憶されているアドレスなどを含むアクセス履歴テーブルであっても良い。
この場合、加工判断部１０６は、前記デッドコピー又は前記アドレスに記録されている情報について、保護対象データを検出して、検出した保護対象データに対応する度数を全て加算して、履歴度数を算出する。【０１３６】
（５）また、実施の形態１では、保護ランクによって、各保護対象データを加工するか否かを判断し、保護ランク「Ａ」の保護対象データを加工し、その後さらに、識別度数により、処理対象データに含まれる保護対象データを加工するか否かを判断しているが、何れか一方のみでもよい。
（６）実施の形態１では、処理対象情報に含まれる保護対象データと同一のデータを含む情報を関連情報としているが、これは一例であって、処理対象情報と関連する情報であって、ホームサーバ１００が容易に検索可能な情報であればよい。【０１３７】
一例として、処理対象情報に含まれるファイル名や、保存先のアドレスの示す情報を関連情報としてもよい。この場合、関連情報に保護ランク「Ａ」の情報つまり、個人情報が含まれている場合、処理対象情報に含まれるファイル名、アドレスを加工又は削除する。
（７）また、特定の機器が有する情報を関連情報としても良い。
一例として、同一ＬＡＮ内の機器が有する情報を全て関連情報であるとしても良い。【０１３８】
同一ＬＡＮ内の機器は、同一人物又は家族など関連の深い人によって所有されている場合も多く、そのため、これらの機器の有する情報は、いずれも同一人物に情報又は、深い人々に関する情報である可能性が非常に高い。従って、実施の形態１の様に、処理対象情報内に、関連情報との関連を生じせしめるデータが含まれていなくても、処理対象情報と特定の機器の有する情報に関連があることは容易に推定できる。【０１３９】
なお、この場合、処理対象情報と関連情報との間に関連を生じせしめる原因が処理対象情報の内容には因らないので、処理対象情報を加工しても、関連情報との関連はなくならない。そのため、関連情報が個人を識別し得るデータを含む場合、処理対象情報の送信を中止する。
また、各機器間の通信は、有線に限らず無線であっても良いし、有線と有線を組み合わせても良い。【０１４０】
（８）また、別の例として、ネットワーク上において、ホームサーバ１００の近傍に存在する機器の有する情報を関連情報としても良い。
近傍にある機器とは、例えば、ホームサーバ１００との間の通信に要する時間が所定の閾値以下の位置に存在する機器が考えられる。
この場合、ＬＡＮケーブルには、インターネットとＬＡＮとを接続するルータが接続されていると想定する。ＬＡＮ通信部１０９は、予め、ホームサーバ１００の通信する機器（ＬＡＮ内外を問わない）のアドレスを保持している。検索部１０５がサーバ装置４００からの送信要求に該当する情報を検索する場合及び加工判断部１０６が、関連情報を検索する場合には、まず、記憶しているアドレスの示す機器との通信時間を計測する。計測方法は、一例として、ｐｉｎｇコマンドを送信して、応答信号を受信するまでの時間を計測する。【０１４１】
計測された時間と所定の閾値とを比較し、通信時間が前記閾値以下の機器を特定する。検索部１０５及び加工判断部１０６は、特定された機器の所持する情報において、処理対象情報及び関連情報を検索する。
この場合も、検出された関連情報が個人を識別し得る場合は、処理対象情報の送信を中止する。【０１４２】
また、通信時間を計測する代わりに、中継機器の個数を計数し、ホームサーバ１００との間の中継機器の数が所定の閾値以下の位置に存在する機器の有する情報を関連情報としても良い。
（９）実施の形態１では、ホームサーバ１００は、インターネット２０とＬＡＮ１０とに接続されており、ＬＡＮ内の機器の有する情報の中で、処理対象情報及び関連情報を検索するが、これに限るものではなく、インターネットを介して、通信可能な所定の機器の有する情報の中で検索しても良い。【０１４３】
この場合、ホームサーバ１００は、予め検索対象となる機器のアドレスを登録しておく。このようにすることで、離れた場所に、同一人物又は家族など関連の深い人々の所持する機器が設置されている場合であっても、登録された機器（登録機器と呼ぶ）の情報をまとめて保護することができる。
（１０）さらに、上記の変形例（９）において、ホームサーバ１００を含め登録機器それぞれが、ホームサーバ１００と同様にサーバ装置４００から送信要求を受信し、要求された情報を加工、送信する機能を備えていても良い。【０１４４】
この場合、何れか一つの機器に全ての機器の送信履歴を一括管理し、各機器は、履歴度数を算出する際に、自身が過去にサーバ装置に送った情報のみならず、他の登録機器がサーバ装置４００へ送った情報に関する送信度数も考慮して履歴度数を算出する。
（１１）ホームサーバ１００は、検索部１０５によって検出された処理対象情報に、保護ランク「Ａ」の保護対象データが含まれる場合、利用者に、個人を特定し得る情報、又は、個人を特定し得る情報と関連する情報の送信を要求されていることを告知するために、警告音、警告画面などをモニタ１５に出力してもよい。【０１４５】
より具体的には、検索部１０５は、検出された処理対象情報に、保護ランク「Ａ」の保護対象データが含まれる旨を制御部１０７へ通知する。制御部１０７は、その通知を受け取ると、表示出力部１１３へ警告音の生成及び警告画面の生成を指示する。画面出力部１１３は、制御部１０７からの指示に基づき、警告音及び警告画面を生成し、モニタ１５へ出力する。【０１４６】
なお、表示出力部１１３は、警告音、警告画面などをモニタ１５に出力するのではなく、送信部１０８を介して、自装置とＬＡＮ１０により接続されている他の機器に出力してもよいし、自装置と無線ＬＡＮにより接続されている可搬型の機器に出力してもよい。
さらに、ホームサーバ１００は、警告音、警告画面などで利用者に告知した後に、処理対象情報を、そのまま加工せずに送信するか、送信を中止するか、加工した後送信するかを、利用者に選択させるように構成してもよい。【０１４７】
また、ホームサーバ１００は、保護ランク「Ａ」の保護対象データが、ネットワークに流出した場合に、利用者に、個人情報が流出したことを告知するために、警告音、警告画面などをモニタ１５に出力してもよい。
なお、ホームサーバ１００は、警告音、警告画面などをモニタ１５に出力するのではなく、自装置とＬＡＮ１０により接続されている他の機器に出力してもよいし、自装置と無線ＬＡＮにより接続されている可搬型の機器に出力してもよい。この場合、ホームサーバ１００は、その時点において、使用中である機器に対して優先的に警告音、警告画面などを出力するように構成してもよい。ここで、使用中であるか否かの判断方法の一例として、電源オンであり、且つ、利用者からの入力を受け付けている状態にある機器を、「使用中である機器」とみなすことができる。【０１４８】
また、ホームサーバ１００は、警告音、警告画面などの出力に代えて、ネットワークを介した電子メール、電話網及び携帯電話網を介した電話機への発呼等により、個人情報が要求されている旨、及び個人情報が流出した旨を告知してもよい。
図１７は、上記で説明した警告画面等の具体例を示す図である。
（ａ）は、テレビ、ＰＣ等のモニタであって、モニタ上に赤色点滅５０１が表示されている。利用者は、モニタ上に表示された赤色点滅５０１により、個人情報が要求されている旨、及び個人情報が流出した旨を知ることができる。【０１４９】
（ｂ）は、テレビ、ＰＣ等のモニタであって、モニタ上に危険度表示バー５０２が表示されている。危険度表示バー５０２は、危険度を複数段階で表示する。ここで、危険度は、要求されている個人情報、及び流出した個人情報の重要度を表すものとする。いま同図の危険度表示バー５０２は、危険度を４段階で表すことが可能であって、危険度が「１」である状態を表している。利用者は、モニタ上に表示された危険度表示バー５０２により、個人情報が要求されている旨、及び個人情報が流出した旨を知ることができ、更には、要求された個人情報、及び流出した個人情報の重要度についても知ることができる。【０１５０】
（ｃ）は、ホームサーバ１００から利用者の携帯電話機へ、個人情報が流出した旨を通知する電子メールが送信された場合に、携帯電話機の画面に出力される受信メール画面５０３を表す図である。昨今は、携帯電話機を所持している人は多く、携帯電話機にこの様な警告メールが送信されると、利用者は、いち早く、個人情報が流出した旨を知ることができる。
（１２）実施の形態１において、ホームサーバ１００が、管理する機器の一例として、ＬＡＮ１０で接続されているノートＰＣ３００を例にして説明してきたが、この他にも、携帯電話機、ＰＤＡ、カーナビゲーションシステム、ロボット、ビデオカメラ、ハードディスレコーダー、その他情報家電など、様々な機器が該当する。【０１５１】
また、図３の保護対象テーブル１２１に示すように、ホームサーバ１００が保護する情報として、氏名、住所、声、ＩＤ、会社名、視聴履歴などを一例として説明してきたが、そのほかにも、家計簿、ホームページのアクセス履歴、道路の通行履歴、家庭内の間取りや家具の配置図など、個人に関する様々な情報が考えられる。
（１３）実施の形態１においては、関連情報に保護ランク「Ａ」の保護対象データが含まれている場合、その関連情報と処理対象情報とを関連付ける保護対象データの保護ランクを「Ｂ」から「Ａ」に変更し、加工の対象とした。【０１５２】
しかし、関連情報に保護ランクが「Ａ」の保護対象データが含まれていない場合であっても、処理対象情報と関連情報とが両方揃うと、特定の個人を識別し得る場合は、処理対象情報に含まれる保護対象データを加工の対象としても良い。
例えば、処理対象情報に社員ＩＤが、含まれており、関連情報として、前記社員ＩＤとその社員ＩＤの発行元である会社名の含まれる報告書が検出されたとする。その会社において、その社員ＩＤと対応する人物は、１人に限定されるので、このような構成の処理対象情報と関連情報が揃うと、その社員ＩＤと対応する個人を特定し易くなる危険性がある。【０１５３】
そこで、加工判断部１０６は、予め、保護ランク「Ｂ」同士の保護対象データであっても、両者が揃うことにより、特定の個人の識別が非常に容易になる情報の保護対象種別の組合せを記憶している。ここでは、保護対象種別「ＩＤ」と「会社名」の組合せを記憶している。保護対象テーブル１２１の示すように、保護対象種別「ＩＤ」及び「会社名」は、何れも保護ランク「Ｂ」と定義されている。【０１５４】
加工判断部１０６は、処理対象情報に含まれる保護対象データ（識別番号Ｃｘとする）に関して、関連情報を検出し、検出した関連情報と対応する保護タグを読み出す。読み出した保護タグの示す保護対象種別に、保護ランク「Ｂ」のものしかない場合、識別子Ｃｘの保護対象データの保護対象種別と、保護タグの示す保護対象種別とが、記憶している組合せに一致する場合は、識別番号Ｃｘの示す保護対象データの保護ランクを「Ａ」に変更する。【０１５５】
（１４）ホームサーバ１００及びノートＰＣ３００は、新たな情報を自身の情報記憶部に書き込む際に、その情報の内容を解析して保護対象データを検出し、検出した保護対象データを示す保護タグを生成しているが、これに限るものではない。
例えば、ホームサーバ１００以外の機器は、保護対象データを検出する機能を備えていなくても良い。【０１５６】
また、ホームサーバ１００は、送信要求を受信した際に、加工判断部１０６が、処理対象情報に含まれる保護対象データを検出し、検出した保護対象データの属する保護対象種別を特定しても良い。
これらの場合、加工判断部１０６は、関連情報を検出した後、検出した関連情報を解析して、関連情報が保護ランク「Ａ」の保護対象データが含まれるか否かを判断する。【０１５７】
（１５）上記実施の形態１における加工判断部１０６は、加工処理の一例として、処理対象情報が写真である場合には、保護対象データの写っている部分にモザイク処理を施す旨を記載しているが、本発明において、保護対象データの加工処理はこれに限定されず、その他の様々な加工処理を用いてもよい。
更には、保護対象データの全体に加工処理を施すのではなく、その一部分に加工処理を施す場合も、本発明に含まれる。【０１５８】
具体例として、処理対象情報が写真であり、保護対象データが「顔」である場合、加工処理部１０６は、写真に写っている顔全体にモザイク処理を施すのではなく、目の部分だけにモザイク処理を施し、その他の部分にはモザイク処理を施さないように加工してもよい。個人を特定するために特に重要な目のみを加工することにより、写真から被写体を特定することを困難にしつつ、被写体の顔の表情を残すことができる。【０１５９】
（１６）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレィユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭ又は前記ハードディスクユニットには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、各装置は、その機能を達成する。ここで、コンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。【０１６０】
（１７）上記の各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。【０１６１】
また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）やＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。
更には、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適応などが可能性として有り得る。【０１６２】
（１８）上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしてもよい。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしてもよい。
（１９）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。【０１６３】
また、本発明は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ―ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ  Ｄｉｓｃ）、半導体メモリなど、に記録したものとしてもよい。また、これらの記録媒体に記録されている前記コンピュータプログラム又は前記デジタル信号であるとしてもよい。【０１６４】
また、本発明は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
また、本発明は、マイクロプロセッサとメモリとを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしてもよい。【０１６５】
また、前記プログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
（２０）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
【産業上の利用可能性】
【０１６６】
本発明は、個人情報を保持する機器及び個人情報を保持する機器にアクセス可能な機器を製造、販売する産業において、経営的、継続的、反復的に利用することができる。
【図１】
2007122914.tif 000003
【図２】
2007122914.tif 000004
【図３】
2007122914.tif 000005
【図４】
2007122914.tif 000006
【図５】
2007122914.tif 000007
【図６】
2007122914.tif 000008
【図７】
2007122914.tif 000009
【図８】
2007122914.tif 000010
【図９】
2007122914.tif 000011
【図１０】
2007122914.tif 000012
【図１１】
2007122914.tif 000013
【図１２】
2007122914.tif 000014
【図１３】
2007122914.tif 000015
【図１４】
2007122914.tif 000016
【図１５】
2007122914.tif 000017
【図１６】
2007122914.tif 000018
【図１７】
2007122914.tif 000019
【手続補正書】
【提出日】平成20年1月29日(2008.1.29)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
対象情報の出力要求を取得する取得手段と、
前記対象情報に含まれる個人を特定するために必要な情報と、前記個人を特定するために必要な情報に対応する保護ランク情報を含む対象度数情報とを記憶している記憶手段と、
前記保護ランク情報を用いて、前記個人を特定するために必要な情報と同一の情報を含む関連情報を検索する検索手段と、
前記検索手段で前記関連情報が検索された場合に、前記関連情報を用いて、前記対象度数情報を変更するか否かを決定する決定手段と、
前記決定手段で前記対象度数情報を変更すると決定された場合に、前記対象度数情報を変更する変更手段と、
前記対象度数情報を用いて、前記対象情報を保護するか否かを判断する判断手段と、
前記判断手段で保護すると判断された場合に、前記対象情報を保護する保護手段と
を備えることを特徴とする個人情報管理装置。
【請求項２】
前記対象度数情報は、さらに、前記個人を特定するために必要な情報及び前記保護ランク情報のそれぞれに対応している第１の保護タグ情報を含み、
前記記憶手段は、さらに、前記関連情報と、前記関連情報に対応する第２の保護タグ情報とを記憶しており、
前記決定手段は、前記検索手段で前記関連情報が検索された場合に、前記第２の保護タグ情報に関連する前記第１の保護タグ情報を検索し、前記第１の保護タグ情報に対応している前記保護ランク情報を参照して、前記対象度数情報を変更するか否かを決定する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項３】
前記対象度数情報は、さらに、前記個人を特定するために必要な情報を識別する識別情報を含み、
前記検索手段は、前記保護ランク情報と前記識別情報とを用いて、前記関連情報を検索する
ことを特徴とする請求項２に記載の個人情報管理装置。
【請求項４】
前記個人情報管理装置は、さらに、
前記対象情報を出力する出力手段と、
前記対象度数情報を用いて、個人の識別容易性を示す識別度数を決定する度数決定手段とを備え、
前記記憶手段は、さらに、個人を識別し得る情報の集合と個人を識別し得ない情報の集合とを区切る閾値を記憶しており、
前記判断手段は、前記閾値と前記識別度数とを比較して、前記対象情報を保護するか否かを判断する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項５】
前記判断手段は、前記閾値と前記識別度数とを比較して、前記識別度数が前記閾値より大きい場合に、前記対象情報を保護すると判断し、
前記保護手段は、前記判断手段で前記対象情報を保護すると判断された場合に、前記個人を特定するために必要な情報を加工し、
前記出力手段は、前記判断手段で前記対象情報を保護すると判断された場合に、前記個人を特定するために必要な情報の代わりに、前記保護手段で加工した情報を出力する
ことを特徴とする請求項４に記載の個人情報管理装置。
【請求項６】
前記判断手段は、前記閾値と前記識別度数とを比較し、前記識別度数が前記閾値より大きい場合に、前記対象情報を保護すると判断し、
前記保護手段は、前記判断手段で前記対象情報を保護すると判断された場合に、前記対象情報の出力を禁止する
ことを特徴とする請求項４に記載の個人情報管理装置。
【請求項７】
前記対象度数情報は、さらに、前記個人を特定するために必要な情報に対応した度数を含み、
前記度数決定手段は、前記度数を用いて、前記識別度数を決定する
ことを特徴とする請求項４に記載の個人情報管理装置。
【請求項８】
前記対象情報は、複数の個人を特定するために必要な情報を含み、
前記度数決定手段は、前記複数の個人を特定するために必要な情報のそれぞれに対応した度数の全てを合算した対象度数を用いて、前記識別度数を決定する
ことを特徴とする請求項７に記載の個人情報管理装置。
【請求項９】
前記判断手段は、最も高い度数に対応した個人を特定するために必要な情報を、前記対象情報内の個人の識別を容易化する容易化部分として判断する
ことを特徴とする請求項８に記載の個人情報管理装置。
【請求項１０】
前記記憶手段は、さらに、履歴度数を記憶しており、
前記度数決定手段は、前記履歴度数と前記対象度数とを加算した値を、前記識別度数として決定する
ことを特徴とする請求項８に記載の個人情報管理装置。
【請求項１１】
前記個人情報管理装置は、さらに、関連情報判断手段を備え、
前記取得手段は、さらに、自装置との隔たりを示す通信距離を取得し、
前記関連情報判断手段は、前記通信距離と所定の閾値とを比較し、前記通信距離が前記所定の閾値より小さい場合に、前記検索手段により検索された情報を、前記関連情報であると判断する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１２】
前記取得手段は、さらに、前記対象情報を取得し、
前記個人情報管理装置は、さらに、
前記取得手段で取得した前記対象情報を用いて、前記対象度数情報を生成する生成手段を備える
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１３】
前記変更手段は、利用者の操作に従って、前記対象度数情報を変更する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１４】
当該個人情報管理装置は、互いの保持する情報を相互に利用可能な端末装置と接続されており、
前記検索手段は、当該個人情報管理装置又は前記端末装置から前記関連情報を検索する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１５】
前記対象情報は、前記関連情報の記憶されている位置を示すアドレスを含み、
前記検索手段は、前記アドレスの示す位置から前記関連情報を検索する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１６】
前記検索手段は、ネットワークを介して接続された端末装置から、前記関連情報を検索する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１７】
前記個人を特定するために必要な情報とは、氏名、住所、顔画像及び携帯電話番号のいずれかに属する情報であり、
前記判断手段は、前記関連情報が前記いずれかに属する情報を含んでいる場合、前記対象情報を保護すると判断する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１８】
前記対象情報は、写真であって、
前記個人を特定するために必要な情報は、前記写真内の所定の図形又は文字列である
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１９】
前記個人情報管理装置は、さらに、
前記決定手段で前記対象度数情報を変更すると決定された場合に、利用者に、前記個人を特定するために必要な情報と関連する情報の出力を要求されていることを通知する通知手段を備える
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項２０】
個人情報管理装置で用いられる個人情報管理方法であって、
前記個人情報管理装置は、対象情報に含まれる個人を特定するために必要な情報と、前記個人を特定するために必要な情報に対応する保護ランク情報を含む対象度数情報とを記憶しており、
前記個人情報管理方法は、
前記対象情報の出力要求を取得する取得ステップと、
前記保護ランク情報を用いて、前記個人を特定するために必要な情報と同一の情報を含む関連情報を検索する検索ステップと、
前記関連情報が検索された場合に、前記関連情報を用いて、前記対象度数情報を変更するか否かを決定する決定ステップと、
前記対象度数情報が変更されると決定された場合に、前記対象度数情報を変更する変更ステップと、
前記対象度数情報を用いて、前記対象情報を保護するか否かを判断する判断ステップと、
前記判断手段で保護すると判断された場合に、前記対象情報を保護する保護ステップと
を含むことを特徴とする個人情報管理方法。
【請求項２１】
個人情報管理装置で用いられる個人情報管理プログラムであって、
前記個人情報管理装置は、対象情報に含まれる個人を特定するために必要な情報と、前記個人を特定するために必要な情報に対応する保護ランク情報を含む対象度数情報とを記憶しており、
前記個人情報管理プログラムは、
前記対象情報の出力要求を取得する取得ステップと、
前記保護ランク情報を用いて、前記個人を特定するために必要な情報と同一の情報を含む関連情報を検索する検索ステップと、
前記関連情報が検索された場合に、前記関連情報を用いて、前記対象度数情報を変更するか否かを決定する決定ステップと、
前記対象度数情報が変更されると決定された場合に、前記対象度数情報を変更する変更ステップと、
前記対象度数情報を用いて、前記対象情報を保護するか否かを判断する判断ステップと、
前記判断手段で保護すると判断された場合に、前記対象情報を保護する保護ステップと
を含むことを特徴とする個人情報管理プログラム。
【請求項２２】
個人情報管理装置で用いられる個人情報管理プログラムを記録しているコンピュータ読み取り可能な記録媒体であって、
前記個人情報管理装置は、対象情報に含まれる個人を特定するために必要な情報と、前記個人を特定するために必要な情報に対応する保護ランク情報を含む対象度数情報とを記憶しており、
前記個人情報管理プログラムは、
前記対象情報の出力要求を取得する取得ステップと、
前記保護ランク情報を用いて、前記個人を特定するために必要な情報と同一の情報を含む関連情報を検索する検索ステップと、
前記関連情報が検索された場合に、前記関連情報を用いて、前記対象度数情報を変更するか否かを決定する決定ステップと、
前記対象度数情報が変更されると決定された場合に、前記対象度数情報を変更する変更ステップと、
前記対象度数情報を用いて、前記対象情報を保護するか否かを判断する判断ステップと、
前記判断手段で保護すると判断された場合に、前記対象情報を保護する保護ステップと
を含むことを特徴とする記録媒体。
【請求項２３】
対象情報の出力要求を取得する取得手段と、
前記対象情報に含まれる個人を特定するために必要な情報と、前記個人を特定するために必要な情報に対応する保護ランク情報を含む対象度数情報とを記憶している記憶手段と、
前記保護ランク情報を用いて、前記個人を特定するために必要な情報と同一の情報を含む関連情報を検索する検索手段と、
前記検索手段で前記関連情報が検索された場合に、前記関連情報を用いて、前記対象度数情報を変更するか否かを決定する決定手段と、
前記決定手段で前記対象度数情報を変更すると決定された場合には、前記対象度数情報を変更する変更手段と、
前記対象度数情報を用いて、前記対象情報を保護するか否かを判断する判断手段と、
前記判断手段で保護すると判断された場合に、前記対象情報を保護する保護手段と
を備えることを特徴とする集積回路。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００２
【補正方法】変更
【補正の内容】
【０００２】
［０００５］
一方、ネットワークを介して、個人に関する情報を収集し、収集した情報を基に、個人に適した商品、情報、サービスを提供するウェブサービスが考えられている。このウェブサービスのように、様々な情報が集められた場合、単独では、個人を識別することができない情報であっても、集められた他の情報と照合することによって、特定の個人を識別しうる場合がある。従って、単独では、特定の個人を識別し得ない情報であっても、これらの情報をそのまま提供すると、結果として個人情報を流出することと同様になる危険性がある。
［０００６］
また、単独では個人を識別し得ない情報であっても、各機器がネットワークを介して、容易に相互の情報の参照が可能な状況下では、この情報を基に参照される個人情報が存在すれば、特定の個人が識別可能な状態になる危険性がある。
本発明は、上記の問題を解決するために、個人情報のみならず単独では個人を識別し得ない情報を保護することで、個人情報の保護を強化することができる個人情報管理装置、方法、プログラムを提供することを目的とする。
課題を解決するための手段
［０００７］
上記の目的を達成するために、本発明は、対象情報の出力要求を取得する取得手段と、前記対象情報に含まれる個人を特定するために必要な情報と、前記個人を特定するために必要な情報に対応する保護ランク情報を含む対象度数情報とを記憶している記憶手段と、前記保護ランク情報を用いて、前記個人を特定するために必要な情報と同一の情報を含む関連情報を検索する検索手段と、前記検索手段で前記関連情報が検索された場合に、前記関連情報を用いて、前記対象度数情報を変更するか否かを決定する決定手段と、前記決定手段で前記対象度数情報を変更すると決定された場合に、前記対象度数情報を変更する変更手段と、前記対象度数情報を用いて、前記対象情報を保護するか否かを判断する判断手段と、前記判断手段で保護すると判断された場合に、前記対象情報を保護する保護手段とを備えることを特徴とする。
［０００８］
ここで、前記対象度数情報は、前記個人を特定するために必要な情報及び前記保護ランク情報のそれぞれに対応している第１の保護タグ情報を含み、前記記憶手段は、さらに、前記関連情報と、前記関連情報に対応する第２の保護タグ情報とを記憶しており、前記決定手段は、前記検索手段で前記関連情報が検索された場合に、前記第２の保護タグ情報に関連する前記第１の保護タグ情報を検索し、前記第１の保護タグ情報に対応している前記保護ランク情報を参照して、前記対象度数情報を変更するか否かを決定するように構成してもよい。
ここで、前記対象度数情報は、さらに、前記個人を特定するために必要な情報を識別する識別情報を含み、前記検索手段は、前記保護ランク情報と前記識別情報とを用いて、前記関連情報を検索するように構成してもよい。
ここで、前記個人情報管理装置は、さらに、前記対象情報を出力する出力手段と、前記対象度数情報を用いて、個人の識別容易性を示す識別度数を決定する度数決定手段とを備え、前記記憶手段は、さらに、個人を識別し得る情報の集合と個人を識別し得ない情報の集合とを区切る閾値を記憶しており、前記判断手段は、前記閾値と前記識別度数とを比較して、前記対象情報を保護するか否かを判断するように構成してもよい。
ここで、前記判断手段は、前記閾値と前記識別度数とを比較して、前記識別度数が前記閾値より大きい場合に、前記対象情報を保護すると判断し、前記保護手段は、前記判断手段で前記対象情報を保護すると判断された場合に、前記個人を特定するために必要な情報を加工し、前記出力手段は、前記判断手段で前記対象情報を保護すると判断された場合に、前記個人を特定するために必要な情報の代わりに、前記保護手段で加工した情報を出力するように構成してもよい。
発明の効果
［０００９］
上記の構成によると、前記対象情報自身は、個人を識別することが困難な情報であっても、前記対象情報と関連する前記関連情報が、特定の個人を容易に識別可能な
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０００３
【補正方法】変更
【補正の内容】
【０００３】
情報であれば前記対象情報は、保護の対象となる。このようにすることで、前記対象情報と関連する関連情報も保護することができる。
また、上記の構成によると、前記保護手段は、前記識別度数が、前記閾値より大きい場合、前記対象情報を加工する。そのため、実際に出力される情報は、特定の個人の識別が困難になっており、特定の個人を識別される危険性を抑制するという優れた効果を奏する。
［００１０］
ここで、前記保護手段は、前記判断手段で前記対象情報を保護すると判断された場合に、前記対象情報の出力を禁止するように構成してもよい。
この構成によると、前記保護手段は、前記識別度数が前記閾値よりも大きい場合、前記対象情報の送信を禁止するので、当該個人情報管理装置は、個人を識別し得る前記対象情報を、確実に秘匿することができる。
［００１１］
ここで、前記個人情報管理装置は、さらに、関連情報判断手段を備え、前記取得手段は、さらに、自装置との隔たりを示す通信距離を取得し、前記関連情報判断手段は、前記通信距離と所定の閾値とを比較し、前記通信距離が前記所定の閾値より小さい場合に、前記検索手段により検索された情報を、前記関連情報であると判断するように構成してもよい。
個人情報管理装置との隔たりが小さい機器は、例えば、同一の家庭内に設置されている機器などであって、当該個人情報管理装置と同一又は関連の深い人（例えば家族など）の所有物である可能性が高い。従って、各機器の保持する情報は、同一人物に関連する情報、又は、所定の組織（家族など）内の人物に関連する情報であると考え易い。ここで、前記通信距離とは、一例として、当該個人情報管理装置との間のデータの送受信に要する時間、又は、当該個人情報管理装置との間に存在する中継機器の個数である。
［００１２］
上記の構成のように、隔たり量が閾値以下の情報を関連情報とし、この関連情報が個人情報を含む場合、対象情報の出力を禁止することで、前記対象情報を基に、前記関連情報に含まれる個人情報を参照される危険を回避し、前記関連情報に含まれる個人情報を確実に秘匿することができるという優れた効果を奏する。
ここで、前記対象度数情報は、さらに、前記個人を特定するために必要な情報に対応した度数を含み、前記度数決定手段は、前記度数を用いて、前記識別度数を決定するように構成してもよい。
［００１３］
ここで、前記対象情報は、複数の個人を特定するために必要な情報を含み、前記
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】０００４
【補正方法】変更
【補正の内容】
【０００４】
度数決定手段は、前記複数の個人を特定するために必要な情報のそれぞれに対応した度数の全てを合算した対象度数を用いて、前記識別度数を決定するように構成してもよい。
この構成によると、前記度数決定手段は、個人を特定するために必要な情報毎に度数を取得し、取得した全ての度数の合計を算出するという簡単な演算により、前記識別度数を取得することができる。
［００１４］
ここで、前記判断手段は、最も高い度数に対応した個人を特定するために必要な情報を、前記対象情報内の個人の識別を容易化する容易化部分として判断するように構成してもよい。
この構成によると、度数の高い情報ほど、個人を識別し易い。上記の構成では、前記保護手段は、最も高い度数を有する情報を加工するので、前記対象情報による個人の識別容易性を、効率良く低下させることができる。
［００１５］
［００１６］
［００１７］
ここで、前記取得手段は、さらに、前記対象情報を取得し、前記個人情報管理装置は、さらに、前記取得手段で取得した前記対象情報を用いて、前記対象度数情報を生成する生成手段を備えるように構成してもよい。
また、前記変更手段は、利用者の操作に従って、前記対象度数情報を変更するよ
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】０００５
【補正方法】変更
【補正の内容】
【０００５】
うに構成してもよい。
この構成によると、前記変更手段によって、いつでも、利用者の意図を反映させることが可能となり、利用者にとっての利便性が向上する。
［００１８］
この構成によると、前記変更手段によって、いつでも、前記度数テーブルに、利用者の意図を反映させることが可能となり、利用者にとっての利便性が向上する。
ここで、前記個人情報管理装置は、さらに、前記対象情報に関連する関連情報を取得する関連情報取得手段を備え、前記度数取得手段は、前記識別度数に代えて、前記対象情報及び前記関連情報による、個人の識別容易性を示す複合識別度数を取得し、前記判断手段は、前記識別度数に代えて、前記複合度数と前記閾値とを比較するように構成してもよい。
［００１９］
［００２０］
ここで、前記記憶手段は、さらに、履歴度数を記憶しており、前記度数決定手段は、前記履歴度数と前記対象度数とを加算した値を、前記識別度数として決定するように構成してもよい。
この構成によると、前記度数決定手段は、前記出力要求の出力元へ過去に出力された前記関連情報による、特定の個人の識別容易性を示す履歴度数を取得し、履歴度数と対象度数の和を前記識別度数としている。そのため、前記履歴度数が大きい場合、つまり、過去に前記出力元へ出力された情報により個人を識別され易い場合、前記対象度数が小さくても、前記対象情報は加工され、前記出力元の有する情報群による個人の識別容易性の上昇を抑制することができる。
［００２１］
ここで、当該個人情報管理装置は、互いの保持する情報を相互に利用可能な端末装置と接続されており、前記検索手段は、当該個人情報管理装置又は前記端末装置から前記関連情報を検索するように構成してもよい。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】０００６
【補正方法】変更
【補正の内容】
【０００６】
前記端末装置と前記個人情報管理装置とは、互いの保持する情報を相互に利用可能であるので、両者が保持する情報は、同一又は関連する複数の人物に関するものである可能性が高い。
［００２２］
上記の構成によると、前記度数決定手段は、過去に当該個人情報管理装置から、前記出力要求の出力元へ出力した情報のみならず、前記端末装置から前記出力元へ出力した前記関連情報関する前記履歴度数を取得する。そのため、前記保護手段は、前記端末装置から前記出力元へ、過去に個人の識別容易性の高い情報が出力されている場合にも、前記対象情報を加工する。このようにすることで、前記出力元の有する情報群による個人の識別容易性の上昇を抑制することができる。
［００２３］
［００２４］
［００２５］
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】０００７
【補正方法】変更
【補正の内容】
【０００７】
［００２６］
［００２７］
前記対象情報は、前記関連情報の記憶されている位置を示すアドレスを含み、前記検索手段は、前記アドレスの示す位置から前記関連情報を検索するように構成してもよい。
［００２８］
この構成によると、前記関連情報は、前記アドレスの示す位置に記憶されている。そのため、前記対象情報内の前記アドレスを加工すれば、前記対象情報を基に前記関連情報を参照する経路を確実に、断つことができる。
ここで、前記個人を特定するために必要な情報とは、氏名、住所、顔画像及び携帯電話番号のいずれかに属する情報であり、前記判断手段は、前記関連情報が前記いずれかに属する情報を含んでいる場合、前記対象情報を保護すると判断するように構成してもよい。
［００２９］
この構成によると、前記判断手段は、前記関連情報が、氏名、住所、顔画像、携帯
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】０００８
【補正方法】変更
【補正の内容】
【０００８】
電話番号のいずれかに属するデータを含んでいる場合、前記関連情報が個人情報を含んでいると判断する。そのため、当該個人情報管理装置は、非常に容易に特定の個人を識別し得る情報を確実に判断することができる。
ここで、前記対象情報は、写真であって、前記個人を特定するために必要な情報は、前記写真内の所定の図形又は文字列であるように構成してもよい。
［００３０］
この構成によると、前記関連情報取得手段は、写真に写されている文字列、及び、図形によって、前記写真と関連付けられる前記関連情報を取得し、前記対象情報を確実に秘匿することができる。
ここで、前記個人情報管理装置は、さらに、前記決定手段で前記対象度数情報を変更すると決定された場合に、利用者に、前記個人を特定するために必要な情報と関連する情報の出力を要求されていることを通知する通知手段を備えるように構成してもよい。
［００３１］
この構成によると、前記通知手段は、前記対象情報の出力を要求されていることを通知するので、利用者は、個人情報に関連する情報の出力を要求されていることを知ることができる。
図面の簡単な説明
［００３２］
［図１］実施の形態１の個人情報管理システム１の構成を示す構成図である。
［図２］ホームサーバ１００及びノートＰＣ３００の機能的構成を示す機能ブロック図である。
［図３］管理情報記憶部１１１の記憶している情報の一例を示す。
［図４］情報記憶部１１０に記憶されている情報の一例を示す。
［図５］ユーザテーブル１４６及び視聴履歴表１５１の詳細を示す。
［図６］写真１５８の具体例を示す。
［図７］加工判断部１０６による判断及び加工の処理を示すフローチャートである。
【手続補正書】
【提出日】平成20年10月1日(2008.10.1)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
対象情報の出力要求を取得する取得手段と、
前記対象情報に含まれる個人を特定するために必要な情報と、前記個人を特定するために必要な情報に対応する保護ランク情報を含む対象度数情報とを記憶している記憶手段と、
前記保護ランク情報を用いて、前記個人を特定するために必要な情報と同一の情報を含む関連情報を検索する検索手段と、
前記検索手段で前記関連情報が検索された場合に、前記関連情報を用いて、前記対象度数情報を変更するか否かを決定する決定手段と、
前記決定手段で前記対象度数情報を変更すると決定された場合に、前記対象度数情報を変更する変更手段と、
前記対象度数情報を用いて、前記対象情報を保護するか否かを判断する判断手段と、
前記判断手段で保護すると判断された場合に、前記対象情報を保護する保護手段と
を備えることを特徴とする個人情報管理装置。
【請求項２】
前記対象度数情報は、さらに、前記個人を特定するために必要な情報及び前記保護ランク情報のそれぞれに対応している第１の保護タグ情報を含み、
前記記憶手段は、さらに、前記関連情報と、前記関連情報に対応する第２の保護タグ情報とを記憶しており、
前記決定手段は、前記検索手段で前記関連情報が検索された場合に、前記第２の保護タグ情報に関連する前記第１の保護タグ情報を検索し、前記第１の保護タグ情報に対応している前記保護ランク情報を参照して、前記対象度数情報を変更するか否かを決定する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項３】
前記対象度数情報は、さらに、前記個人を特定するために必要な情報を識別する識別情報を含み、
前記検索手段は、前記保護ランク情報と前記識別情報とを用いて、前記関連情報を検索する
ことを特徴とする請求項２に記載の個人情報管理装置。
【請求項４】
前記個人情報管理装置は、さらに、
前記対象情報を出力する出力手段と、
前記対象度数情報を用いて、個人の識別容易性を示す識別度数を決定する度数決定手段とを備え、
前記記憶手段は、さらに、個人を識別し得る情報の集合と個人を識別し得ない情報の集合とを区切る閾値を記憶しており、
前記判断手段は、前記閾値と前記識別度数とを比較して、前記対象情報を保護するか否かを判断する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項５】
前記判断手段は、前記閾値と前記識別度数とを比較して、前記識別度数が前記閾値より大きい場合に、前記対象情報を保護すると判断し、
前記保護手段は、前記判断手段で前記対象情報を保護すると判断された場合に、前記個人を特定するために必要な情報を加工し、
前記出力手段は、前記判断手段で前記対象情報を保護すると判断された場合に、前記個人を特定するために必要な情報の代わりに、前記保護手段で加工した情報を出力する
ことを特徴とする請求項４に記載の個人情報管理装置。
【請求項６】
前記判断手段は、前記閾値と前記識別度数とを比較し、前記識別度数が前記閾値より大きい場合に、前記対象情報を保護すると判断し、
前記保護手段は、前記判断手段で前記対象情報を保護すると判断された場合に、前記対象情報の出力を禁止する
ことを特徴とする請求項４に記載の個人情報管理装置。
【請求項７】
前記対象度数情報は、さらに、前記個人を特定するために必要な情報に対応した度数を含み、
前記度数決定手段は、前記度数を用いて、前記識別度数を決定する
ことを特徴とする請求項４に記載の個人情報管理装置。
【請求項８】
前記対象情報は、複数の個人を特定するために必要な情報を含み、
前記度数決定手段は、前記複数の個人を特定するために必要な情報のそれぞれに対応した度数の全てを合算した対象度数を用いて、前記識別度数を決定する
ことを特徴とする請求項７に記載の個人情報管理装置。
【請求項９】
前記判断手段は、最も高い度数に対応した個人を特定するために必要な情報を、前記対象情報内の個人の識別を容易化する容易化部分として判断する
ことを特徴とする請求項８に記載の個人情報管理装置。
【請求項１０】
前記記憶手段は、さらに、履歴度数を記憶しており、
前記度数決定手段は、前記履歴度数と前記対象度数とを加算した値を、前記識別度数として決定する
ことを特徴とする請求項８に記載の個人情報管理装置。
【請求項１１】
前記個人情報管理装置は、さらに、関連情報判断手段を備え、
前記取得手段は、さらに、自装置との隔たりを示す通信距離を取得し、
前記関連情報判断手段は、前記通信距離と所定の閾値とを比較し、前記通信距離が前記所定の閾値より小さい場合に、前記検索手段により検索された情報を、前記関連情報であると判断する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１２】
前記取得手段は、さらに、前記対象情報を取得し、
前記個人情報管理装置は、さらに、
前記取得手段で取得した前記対象情報を用いて、前記対象度数情報を生成する生成手段を備える
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１３】
前記変更手段は、利用者の操作に従って、前記対象度数情報を変更する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１４】
当該個人情報管理装置は、互いの保持する情報を相互に利用可能な端末装置と接続されており、
前記検索手段は、当該個人情報管理装置又は前記端末装置から前記関連情報を検索する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１５】
前記対象情報は、前記関連情報の記憶されている位置を示すアドレスを含み、
前記検索手段は、前記アドレスの示す位置から前記関連情報を検索する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１６】
前記検索手段は、ネットワークを介して接続された端末装置から、前記関連情報を検索する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１７】
前記個人を特定するために必要な情報とは、氏名、住所、顔画像及び携帯電話番号のいずれかに属する情報であり、
前記判断手段は、前記関連情報が前記いずれかに属する情報を含んでいる場合、前記対象情報を保護すると判断する
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１８】
前記対象情報は、写真であって、
前記個人を特定するために必要な情報は、前記写真内の所定の図形又は文字列である
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項１９】
前記個人情報管理装置は、さらに、
前記決定手段で前記対象度数情報を変更すると決定された場合に、利用者に、前記個人を特定するために必要な情報と関連する情報の出力を要求されていることを通知する通知手段を備える
ことを特徴とする請求項１に記載の個人情報管理装置。
【請求項２０】
個人情報管理装置で用いられる個人情報管理方法であって、
前記個人情報管理装置は、対象情報に含まれる個人を特定するために必要な情報と、前記個人を特定するために必要な情報に対応する保護ランク情報を含む対象度数情報とを記憶しており、
前記個人情報管理方法は、
前記対象情報の出力要求を取得する取得ステップと、
前記保護ランク情報を用いて、前記個人を特定するために必要な情報と同一の情報を含む関連情報を検索する検索ステップと、
前記関連情報が検索された場合に、前記関連情報を用いて、前記対象度数情報を変更するか否かを決定する決定ステップと、
前記対象度数情報が変更されると決定された場合に、前記対象度数情報を変更する変更ステップと、
前記対象度数情報を用いて、前記対象情報を保護するか否かを判断する判断ステップと、
前記判断手段で保護すると判断された場合に、前記対象情報を保護する保護ステップと
を含むことを特徴とする個人情報管理方法。
【請求項２１】
個人情報管理装置で用いられる個人情報管理プログラムであって、
前記個人情報管理装置は、対象情報に含まれる個人を特定するために必要な情報と、前記個人を特定するために必要な情報に対応する保護ランク情報を含む対象度数情報とを記憶しており、
前記個人情報管理プログラムは、
前記対象情報の出力要求を取得する取得ステップと、
前記保護ランク情報を用いて、前記個人を特定するために必要な情報と同一の情報を含む関連情報を検索する検索ステップと、
前記関連情報が検索された場合に、前記関連情報を用いて、前記対象度数情報を変更するか否かを決定する決定ステップと、
前記対象度数情報が変更されると決定された場合に、前記対象度数情報を変更する変更ステップと、
前記対象度数情報を用いて、前記対象情報を保護するか否かを判断する判断ステップと、
前記判断手段で保護すると判断された場合に、前記対象情報を保護する保護ステップと
を含むことを特徴とする個人情報管理プログラム。
【請求項２２】
個人情報管理装置で用いられる個人情報管理プログラムを記録しているコンピュータ読み取り可能な記録媒体であって、
前記個人情報管理装置は、対象情報に含まれる個人を特定するために必要な情報と、前記個人を特定するために必要な情報に対応する保護ランク情報を含む対象度数情報とを記憶しており、
前記個人情報管理プログラムは、
前記対象情報の出力要求を取得する取得ステップと、
前記保護ランク情報を用いて、前記個人を特定するために必要な情報と同一の情報を含む関連情報を検索する検索ステップと、
前記関連情報が検索された場合に、前記関連情報を用いて、前記対象度数情報を変更するか否かを決定する決定ステップと、
前記対象度数情報が変更されると決定された場合に、前記対象度数情報を変更する変更ステップと、
前記対象度数情報を用いて、前記対象情報を保護するか否かを判断する判断ステップと、
前記判断手段で保護すると判断された場合に、前記対象情報を保護する保護ステップと
を含むことを特徴とする記録媒体。
【請求項２３】
対象情報の出力要求を取得する取得手段と、
前記対象情報に含まれる個人を特定するために必要な情報と、前記個人を特定するために必要な情報に対応する保護ランク情報を含む対象度数情報とを記憶している記憶手段と、
前記保護ランク情報を用いて、前記個人を特定するために必要な情報と同一の情報を含む関連情報を検索する検索手段と、
前記検索手段で前記関連情報が検索された場合に、前記関連情報を用いて、前記対象度数情報を変更するか否かを決定する決定手段と、
前記決定手段で前記対象度数情報を変更すると決定された場合には、前記対象度数情報を変更する変更手段と、
前記対象度数情報を用いて、前記対象情報を保護するか否かを判断する判断手段と、
前記判断手段で保護すると判断された場合に、前記対象情報を保護する保護手段と
を備えることを特徴とする集積回路。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、特定の個人を識別し得る個人情報の保護に関するものであって、特に、単独では個人情報ではないが、他の情報を参照することで特定の個人を識別できるようになり得る情報の流出を抑制する技術に関する。
【背景技術】
【０００２】
近年、特定の個人を識別し得る個人情報の保護の必要性が取り沙汰されている。
個人情報を保護する技術として、例えば、特許文献１には、監視用カメラで撮影した画像をコンピュータに取り込んで顔画像を検出し、検出した顔画像と記憶装置に登録されている特定人物（例えば指名手配犯）の顔画像とを照合し、一致しない時には、検出した顔画像の部分にモザイク処理を施し、一致した時はモザイク処理を施さずにそのまま画像を残す技術が開示されている。この技術によると、特定人物以外の各人の顔画像、つまり、各人を特定し得る個人情報を保護しつつ、特定人物の情報及び特定人物の周囲の状況を取得することができる。
【０００３】
本明細書において、個人に関する情報であって、特定の個人を識別することができる情報を個人情報と呼ぶ。
【特許文献１】特開２００４−６２５６０号公報
【特許文献２】特開２００５−３０１４７７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
特許文献１の技術では、各個人の顔画像はモザイク処理されるが、それ以外の部分は、そのまま残るため、画像内に、例えば、社員章、校章、カバンなどの所持品といった、個人に関する情報が含まれていることがある。これらの情報は、単独では、特定の個人を識別することができない。しかし、これらの情報が、他の情報と容易に照合可能であって、前記他の情報によって、特定の個人が識別可能な場合、これらの情報も保護する必要がある。
【０００５】
一方、ネットワークを介して、個人に関する情報を収集し、収集した情報を基に、個人に適した商品、情報、サービスを提供するウェブサービスが考えられている。このウェブサービスのように、様々な情報が集められた場合、単独では、個人を識別することができない情報であっても、集められた他の情報と照合することによって、特定の個人を識別しうる場合がある。従って、単独では、特定の個人を識別し得ない情報であっても、これらの情報をそのまま提供すると、結果として個人情報を流出することと同様になる危険性がある。
【０００６】
また、単独では個人を識別し得ない情報であっても、各機器がネットワークを介して、容易に相互の情報の参照が可能な状況下では、この情報を基に参照される個人情報が存在すれば、特定の個人が識別可能な状態になる危険性がある。
本発明は、上記の問題を解決するために、個人情報のみならず単独では個人を識別し得ない情報を保護することで、個人情報の保護を強化することができる個人情報管理装置、方法、プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記の目的を達成するために、本発明は、対象情報の出力要求を取得する取得手段と、前記対象情報に含まれる個人を特定するために必要な情報と、前記個人を特定するために必要な情報に対応する保護ランク情報を含む対象度数情報とを記憶している記憶手段と、前記保護ランク情報を用いて、前記個人を特定するために必要な情報と同一の情報を含む関連情報を検索する検索手段と、前記検索手段で前記関連情報が検索された場合に、前記関連情報を用いて、前記対象度数情報を変更するか否かを決定する決定手段と、前記決定手段で前記対象度数情報を変更すると決定された場合に、前記対象度数情報を変更する変更手段と、前記対象度数情報を用いて、前記対象情報を保護するか否かを判断する判断手段と、前記判断手段で保護すると判断された場合に、前記対象情報を保護する保護手段とを備えることを特徴とする。
【０００８】
ここで、前記対象度数情報は、前記個人を特定するために必要な情報及び前記保護ランク情報のそれぞれに対応している第１の保護タグ情報を含み、前記記憶手段は、さらに、前記関連情報と、前記関連情報に対応する第２の保護タグ情報とを記憶しており、前記決定手段は、前記検索手段で前記関連情報が検索された場合に、前記第２の保護タグ情報に関連する前記第１の保護タグ情報を検索し、前記第１の保護タグ情報に対応している前記保護ランク情報を参照して、前記対象度数情報を変更するか否かを決定するように構成してもよい。
【０００９】
ここで、前記対象度数情報は、さらに、前記個人を特定するために必要な情報を識別する識別情報を含み、前記検索手段は、前記保護ランク情報と前記識別情報とを用いて、前記関連情報を検索するように構成してもよい。
ここで、前記個人情報管理装置は、さらに、前記対象情報を出力する出力手段と、前記対象度数情報を用いて、個人の識別容易性を示す識別度数を決定する度数決定手段とを備え、前記記憶手段は、さらに、個人を識別し得る情報の集合と個人を識別し得ない情報の集合とを区切る閾値を記憶しており、前記判断手段は、前記閾値と前記識別度数とを比較して、前記対象情報を保護するか否かを判断するように構成してもよい。
【００１０】
ここで、前記判断手段は、前記閾値と前記識別度数とを比較して、前記識別度数が前記閾値より大きい場合に、前記対象情報を保護すると判断し、前記保護手段は、前記判断手段で前記対象情報を保護すると判断された場合に、前記個人を特定するために必要な情報を加工し、前記出力手段は、前記判断手段で前記対象情報を保護すると判断された場合に、前記個人を特定するために必要な情報の代わりに、前記保護手段で加工した情報を出力するように構成してもよい。
【発明の効果】
【００１１】
上記の構成によると、前記対象情報自身は、個人を識別することが困難な情報であっても、前記対象情報と関連する前記関連情報が、特定の個人を容易に識別可能な情報であれば前記対象情報は、保護の対象となる。このようにすることで、前記対象情報と関連する関連情報も保護することができる。
また、上記の構成によると、前記保護手段は、前記識別度数が、前記閾値より大きい場合、前記対象情報を加工する。そのため、実際に出力される情報は、特定の個人の識別が困難になっており、特定の個人を識別される危険性を抑制するという優れた効果を奏する。
【００１２】
ここで、前記保護手段は、前記判断手段で前記対象情報を保護すると判断された場合に、前記対象情報の出力を禁止するように構成してもよい。
この構成によると、前記保護手段は、前記識別度数が前記閾値よりも大きい場合、前記対象情報の送信を禁止するので、当該個人情報管理装置は、個人を識別し得る前記対象情報を、確実に秘匿することができる。
【００１３】
ここで、前記個人情報管理装置は、さらに、関連情報判断手段を備え、前記取得手段は、さらに、自装置との隔たりを示す通信距離を取得し、前記関連情報判断手段は、前記通信距離と所定の閾値とを比較し、前記通信距離が前記所定の閾値より小さい場合に、前記検索手段により検索された情報を、前記関連情報であると判断するように構成してもよい。
【００１４】
個人情報管理装置との隔たりが小さい機器は、例えば、同一の家庭内に設置されている機器などであって、当該個人情報管理装置と同一又は関連の深い人（例えば家族など）の所有物である可能性が高い。従って、各機器の保持する情報は、同一人物に関連する情報、又は、所定の組織（家族など）内の人物に関連する情報であると考え易い。ここで、前記通信距離とは、一例として、当該個人情報管理装置との間のデータの送受信に要する時間、又は、当該個人情報管理装置との間に存在する中継機器の個数である。
【００１５】
上記の構成のように、隔たり量が閾値以下の情報を関連情報とし、この関連情報が個人情報を含む場合、対象情報の出力を禁止することで、前記対象情報を基に、前記関連情報に含まれる個人情報を参照される危険を回避し、前記関連情報に含まれる個人情報を確実に秘匿することができるという優れた効果を奏する。
ここで、前記対象度数情報は、さらに、前記個人を特定するために必要な情報に対応した度数を含み、前記度数決定手段は、前記度数を用いて、前記識別度数を決定するように構成してもよい。
【００１６】
ここで、前記対象情報は、複数の個人を特定するために必要な情報を含み、前記度数決定手段は、前記複数の個人を特定するために必要な情報のそれぞれに対応した度数の全てを合算した対象度数を用いて、前記識別度数を決定するように構成してもよい。
この構成によると、前記度数決定手段は、個人を特定するために必要な情報毎に度数を取得し、取得した全ての度数の合計を算出するという簡単な演算により、前記識別度数を取得することができる。
【００１７】
ここで、前記判断手段は、最も高い度数に対応した個人を特定するために必要な情報を、前記対象情報内の個人の識別を容易化する容易化部分として判断するように構成してもよい。
この構成によると、度数の高い情報ほど、個人を識別し易い。上記の構成では、前記保護手段は、最も高い度数を有する情報を加工するので、前記対象情報による個人の識別容易性を、効率良く低下させることができる。
【００１８】
ここで、前記取得手段は、さらに、前記対象情報を取得し、前記個人情報管理装置は、さらに、前記取得手段で取得した前記対象情報を用いて、前記対象度数情報を生成する生成手段を備えるように構成してもよい。
また、前記変更手段は、利用者の操作に従って、前記対象度数情報を変更するように構成してもよい。
【００１９】
この構成によると、前記変更手段によって、いつでも、利用者の意図を反映させることが可能となり、利用者にとっての利便性が向上する。
ここで、前記記憶手段は、さらに、履歴度数を記憶しており、前記度数決定手段は、前記履歴度数と前記対象度数とを加算した値を、前記識別度数として決定するように構成してもよい。
【００２０】
この構成によると、前記度数決定手段は、前記出力要求の出力元へ過去に出力された前記関連情報による、特定の個人の識別容易性を示す履歴度数を取得し、履歴度数と対象度数の和を前記識別度数としている。そのため、前記履歴度数が大きい場合、つまり、過去に前記出力元へ出力された情報により個人を識別され易い場合、前記対象度数が小さくても、前記対象情報は加工され、前記出力元の有する情報群による個人の識別容易性の上昇を抑制することができる。
【００２１】
ここで、当該個人情報管理装置は、互いの保持する情報を相互に利用可能な端末装置と接続されており、前記検索手段は、当該個人情報管理装置又は前記端末装置から前記関連情報を検索するように構成してもよい。
前記端末装置と前記個人情報管理装置とは、互いの保持する情報を相互に利用可能であるので、両者が保持する情報は、同一又は関連する複数の人物に関するものである可能性が高い。
【００２２】
上記の構成によると、前記度数決定手段は、過去に当該個人情報管理装置から、前記出力要求の出力元へ出力した情報のみならず、前記端末装置から前記出力元へ出力した前記関連情報関する前記履歴度数を取得する。そのため、前記保護手段は、前記端末装置から前記出力元へ、過去に個人の識別容易性の高い情報が出力されている場合にも、前記対象情報を加工する。このようにすることで、前記出力元の有する情報群による個人の識別容易性の上昇を抑制することができる。
【００２３】
前記対象情報は、前記関連情報の記憶されている位置を示すアドレスを含み、前記検索手段は、前記アドレスの示す位置から前記関連情報を検索するように構成してもよい。
この構成によると、前記関連情報は、前記アドレスの示す位置に記憶されている。そのため、前記対象情報内の前記アドレスを加工すれば、前記対象情報を基に前記関連情報を参照する経路を確実に、断つことができる。
【００２４】
ここで、前記個人を特定するために必要な情報とは、氏名、住所、顔画像及び携帯電話番号のいずれかに属する情報であり、前記判断手段は、前記関連情報が前記いずれかに属する情報を含んでいる場合、前記対象情報を保護すると判断するように構成してもよい。
この構成によると、前記判断手段は、前記関連情報が、氏名、住所、顔画像、携帯電話番号のいずれかに属するデータを含んでいる場合、前記関連情報が個人情報を含んでいると判断する。そのため、当該個人情報管理装置は、非常に容易に特定の個人を識別し得る情報を確実に判断することができる。
【００２５】
ここで、前記対象情報は、写真であって、前記個人を特定するために必要な情報は、前記写真内の所定の図形又は文字列であるように構成してもよい。
この構成によると、前記関連情報取得手段は、写真に写されている文字列、及び、図形によって、前記写真と関連付けられる前記関連情報を取得し、前記対象情報を確実に秘匿することができる。
【００２６】
ここで、前記個人情報管理装置は、さらに、前記決定手段で前記対象度数情報を変更すると決定された場合に、利用者に、前記個人を特定するために必要な情報と関連する情報の出力を要求されていることを通知する通知手段を備えるように構成してもよい。
この構成によると、前記通知手段は、前記対象情報の出力を要求されていることを通知するので、利用者は、個人情報に関連する情報の出力を要求されていることを知ることができる。
【発明を実施するための最良の形態】
【００２７】
１．  実施の形態１
以下に、本発明の実施の形態１に係る、個人情報管理システム１について、図面を用いて説明する。
１．１  個人情報管理システム１の概要
個人情報管理システム１は、図１に示すように、サーバ装置４００、ホームサーバ１００、ノートＰＣ３００から構成される。
【００２８】
ホームサーバ１００とサーバ装置４００とはインターネット２０に接続されている。また、ホームサーバ１００とノートＰＣ３００とは、同一の家庭内に設置されており、互いにＬＡＮ１０で接続されている。
ホームサーバ１００は、テレビ放送を受信する機能を備えており、モニタ１５に受信したテレビ番組を表示させる。また、利用者の操作に従って、受信したテレビ番組を録画する。
【００２９】
ホームサーバ１００は、家庭内の複数の利用者によって、利用されるが、利用者毎に、テレビ放送の視聴履歴表を作成する。また、テレビ番組、視聴履歴表の他にも、音楽、写真など様々な情報を記憶している。
サーバ装置４００は、ホームサーバ１００から様々な情報を取得し、取得した情報を基に、ホームサーバ１００の利用者に適した情報やサービスを提供する。一例として、テレビ放送の視聴履歴表を取得し、利用者の好みに合ったテレビ番組を推薦する。
【００３０】
ホームサーバ１００は、サーバ装置４００から要求された情報を送信する前に、これらの情報に、個人情報が含まれているか否かを検証する。続いて、個人情報ではない情報であるが、その情報を基に個人情報を参照される可能性があるデータが含まれているか否かを検証する。以下、個人情報、及び、個人情報ではない情報であるが、個人情報を参照するキーになり得る情報を合わせて、保護対象データと呼称する。保護対象データは、一例として、個人の氏名、住所、会社名、ＩＤなどが考えられる。
【００３１】
送信を要求された情報に保護対象データが含まれている場合は、必要に応じて送信する情報に含まれる保護対象データを加工した後、送信する。
１．２  ホームサーバ１００
図２は、ホームサーバ１００及びノートＰＣ３００の構成を機能的に示した機能ブロック図である。ホームサーバ１００は、図２に示すように、アンテナ１０１、放送受信部１０２、入出力部１０３、要求受信部１０４、検索部１０５、加工判断部１０６、制御部１０７、送信部１０８、ＬＡＮ通信部１０９、情報記憶部１１０、管理情報記憶部１１１、入力部１１２及び表示出力部１１３から構成される。なお、図中の矢印は、装置内及び装置間の情報の流れを示している。また、具体的な配線などは省略しているが、制御部１０７は、各構成要素と接続されている。
【００３２】
ホームサーバ１００は、具体的にはＲＡＭ、ＲＯＭ及びマイクロプロセッサを含んで構成されるコンピュータシステムであって、前記ＲＡＭ、ＲＯＭにはコンピュータプログラムが記憶されている。前記マイクロプロセッサが前記コンピュータプログラムに従って動作することにより、ホームサーバ１００は、その機能の一部を達成する。
以下に、各構成要素について説明する。
【００３３】
（１）管理情報記憶部１１１
管理情報記憶部１１１は、ハードディスクから構成され、一例として、図３に示すように、保護対象テーブル１２１、送信閾値１３１、アクセス履歴テーブル１３３を記憶している。なお、管理情報記憶部１１１には、この他にも、制御部１０７によって用いられる各種の画像データ、音声データ、コンピュータプログラムなどが記憶されている。
【００３４】
保護対象テーブル１２１は、複数の保護対象情報１２２、１２３、１２４・・・から構成され、各保護対象情報は、保護対象種別名、度数、保護ランクを含んでいる。保護対象種別名は、保護対象データが分類される種類（以下、保護対象種別と呼ぶ）の名称を示している。図３に示すように、保護対象種別には、氏名、住所、声などがある。図３に示す保護対象テーブル１２１に含まれる保護対象種別名は、一例であって、この他にも、電話番号、携帯電話番号、メールアドレス、年齢、性別などが考えられる。以下、保護対象種別名が「Ａ」である保護対象種別を、保護対象種別「Ａ」若しくは単に「Ａ」と、記載する。
【００３５】
度数は、その保護対象種別に属する保護対象データによる特定の個人の識別のし易さを、０〜１０の数値で示している。値が大きいほど、その保護対象種別に属する保護対象データによって、特定の個人が識別し易い。
保護ランクは、個人情報に該当するか否かを示しており、保護ランク「Ａ」は個人情報に該当するため必ず秘匿する必要があることを示しており、保護ランク「Ｂ」は、個人情報に該当しないため、必ずしも秘匿する必要がないことを示している。
【００３６】
例えば、保護対象情報１２２は、保護対象種別名「氏名」と度数「１０」と保護ランク「Ａ」とを含んでいる。「氏名」に該当する保護対象データは、特定の個人を示す名称であって、非常に容易に、特定の個人を識別可能であるため、ここでは、度数を最大の「１０」としている。また、保護対象種別「氏名」に属する保護対象データは、単体で（つまり、他の情報を参照することなく）、特定の個人を識別し得る個人情報であるので、保護レベルを「Ａ」としている。
【００３７】
また、保護対象情報１２４は、保護対象種別名「声」と度数「８」と保護ランク「Ｂ」とを含んでいる。人の「声」に、属する保護対象データは、１の個人と対応する情報ではあるが、過去に録音した音声データ等を解析し、解析結果を比較しなければ、特定の個人を識別することはできないため、度数を「８」、保護ランクを「Ｂ」としている。
また、保護対象情報１２５は、個人情報種別名「ＩＤ」と度数「５」と保護ランク「Ｂ」が含まれている。「ＩＤ」に該当する保護対象データは、「氏名」に属する情報と同様に、特定の個人と１対１に対応している情報ではあるが、「氏名」に属する情報と異なり、それ自体は、単なる文字及び数字の羅列であるため、その文字列のみから特定の個人を識別することは困難であるので、度数を「５」、保護ランクを「Ｂ」としている。
【００３８】
保護対象テーブル１２１は、ホームサーバ１００の生産時に製造メーカによって記録されたものであるとしても良いし、出荷後に、入力部１１２が利用者からの操作を受け付け、制御部１０７が記録・編集するように構成してもよい。
送信閾値１３１は、個人を識別可能な情報の集合と識別可能でない情報の集合の境界における、個人の識別容易性を示す（個人の識別容易性を尺度として、個人を識別し得る情報の集合と個人を識別し得ない情報の集合とを区切る閾値である）。加工判断部１０６（詳細は後述する）は、サーバ装置４００から送信を要求された情報及びその情報に関連する情報による個人情報の識別容易性を示す識別度数（計算方法など、詳細は後述する）を算出し、算出した識別度数が送信閾値より大きい場合は、識別度数が小さくなるように、送信を要求された情報を加工した後、送信する。
【００３９】
アクセス履歴テーブル１３３は、ホームサーバ１００が外部機器に対して情報を送信した履歴を示しており、複数のアクセス履歴情報１３４、１３５・・・から構成される。各アクセス履歴情報は、日時とＩＰアドレスと送信度数とから構成される。
日時は、外部機器から情報の送信を要求された時を示しており、ＩＰアドレスは要求元である外部機器のＩＰアドレスである。送信度数は、ホームサーバ１００が送信した情報に含まれる保護対象データの度数の合計である。一度に、複数の情報を送信した場合は、全ての情報に含まれる保護対象データの度数の合計である。
【００４０】
（２）情報記憶部１１０
情報記憶部１１０は、ハードディスクを含んで構成される。一例として図４に示すように、所有者名１４１、所有者ＩＤ１４３、ユーザテーブル１４６、視聴履歴表１５１、１５３・・・、写真１５８、１６０・・・、動画像１６２、番組コンテンツ１６６及び保護タグ１４２、１４４・・・が記憶されている。
【００４１】
所有者名１４１は、ホームサーバ１００の所有者の氏名であり、当該ホームサーバ１００を最初に起動したときに利用者の操作によって、記録されたものである。ここで、所有者名１４１は、単一のテキストデータ「佐藤太郎」のみから構成されており、このテキストデータ「佐藤太郎」は、保護対象データであって、保護対象種別「氏名」に属する。
所有者ＩＤ１４３は、ホームサーバ１００の所有者と一意に対応する識別子である。所有者ＩＤ１４３は、単一の数字列データ「０００１」から構成されており、数字列データ「０００１」は、保護対象種別「ＩＤ」に属する保護対象データである。
【００４２】
ユーザテーブル１４６は、図５（ａ）に示すように複数のユーザ情報１７１、１７２・・・から構成され、各ユーザ情報は、ユーザ名とユーザＩＤとを含む。各ユーザ情報は、ホームサーバ１００を利用する人と１対１に対応している。ユーザ名は、利用者を示す名称である。ユーザ名は利用者の操作によって入力、変更されるものであって、各ユーザの氏名、ニックネームなどである。ユーザＩＤは、利用者を一意に示す識別情報である。ユーザテーブル１４６に含まれる利用者ＩＤ「０００１」、「０００２」・・・「０００５」は、いずれも、保護対象種別「ＩＤ」に属する保護対象データである。
【００４３】
視聴履歴表１５１、１５３・・・は、各利用者によるテレビ放送の視聴履歴を記録したものであって、それぞれの視聴履歴表は、何れかの利用者と対応する。
図５（ｂ）は、視聴履歴表１５１の詳細を示している。図５（ｂ）に示すように、視聴履歴表１５１は、ユーザＩＤ１７５と複数の視聴履歴情報１７６、１７７、１７８・・・から構成される。ユーザＩＤ１７５は、視聴履歴表１５１と対応する利用者を示しており、ここでは、ユーザテーブル１４６のユーザ情報１７１に含まれるユーザＩＤ「０００１」と一致する。
【００４４】
各視聴履歴情報は、日時とチャネルと番組名とジャンルとを含んでいる。番組名は、ユーザＩＤ１７５の示す利用者が視聴したテレビ番組の名称であり、チャネルは、そのテレビ番組の放送されたチャネルである。日時は、利用者が、視聴を開始した時刻である。ジャンルは、その番組の属するジャンルを示す。これらの視聴履歴情報は、いずれも、保護対象種別「視聴履歴」に属する保護対象データである。
【００４５】
視聴履歴表１５３・・・の構成は、視聴履歴表１５１と同様である。
写真１５８、１６０・・・は、デジタルカメラ、携帯電話機などによって撮影された静止画像であり、例えば、ＪＰＥＧ形式の情報である。図６（ａ）は、写真１５８の具体例を示している。図６（ｂ）は、写真１５８の破線部１８９を拡大したものである。図６（ａ）に示すように、写真１５８は、ＩＤカードを所持した人物を撮影したものである。写真１５８には、電柱に設置された標識に記載されている文字列１８１「Ｍ市××町〇〇番地」、ＩＤカードに記載された文字列１８２「〇×（株）」、文字列１８３「佐藤太郎」、文字列１８４「ＩＤ５１」及び人物の顔１８６が映っており、これらは、何れも保護対象データである。
【００４６】
「Ｍ市××町〇〇番地」は、保護対象種別「住所」に属する。「〇×（株）」は、保護対象種別「会社名」に属する。「佐藤太郎」は、保護対象種別「氏名」に属する。「ＩＤ５１」は、保護対象種別「ＩＤ」に属する。人物の顔１８６は、保護対象種別「顔」に属する。なお、ＩＤカードに記載されている人物の顔写真１８５は、個人が識別できない程度に不鮮明であるので、ここでは、保護対象データとはしていない。
【００４７】
写真１６０は、例えば、自然の風景などを写したものであって、保護対象データに属するデータを含んでいない。
動画像１６２は、デジタルビデオカメラによって撮影されたものであり、一例として、ＭＰＥＧ２又はＭＰＥＧ４形式の情報である。動画像１６２は、人物の動作や音声を撮影したものであって、保護対象種別「顔」に属する画像データ及び保護対象種別「声」に該当する音声データを含んでいる。
【００４８】
番組コンテンツは、利用者の操作に従って、放送局から放送されたテレビ番組を録画したものである。
保護タグ１４２、１４４、１４７・・・は、情報記憶部１１０に記憶されている何れかの情報と対応しており、対応する情報に含まれる保護対象データの属する保護対象種別を示す。
【００４９】
例えば、保護タグ１４２は、所有者名１４１と対応しており、所有者名１４１に含まれる保護対象データが保護対象種別「氏名」に属することを示している。
保護タグ１５２は、視聴履歴表１５１と対応しており、視聴履歴表１５１には、保護対象種別「ＩＤ」に属する保護対象データと保護対象種別「視聴履歴」に属する保護対象データが含まれていることを示している。また、保護タグ１５９は、写真１５８と対応しており、写真１５８に保護対象種別「氏名」、「顔」、「住所」、「ＩＤ」又は「会社名」に属する、複数の保護対象データが含まれていることを示している。
【００５０】
（３）アンテナ１０１及び放送受信部１０２
放送受信部１０２は、制御部１０７の制御に従って、アンテナ１０１の受信した放送波から、所定の周波数帯域を選曲して信号処理を施し、所定のチャネルにかかる番組コンテンツを生成する。生成した番組コンテンツを情報記憶部１１０に書き込み、又は表示出力部１１３へ出力する。
【００５１】
（４）入力部１１２、表示出力部１１３及びモニタ１５
入力部１１２は、テンキー、決定キーなど各種のボタンを備え、利用者の操作による各種の情報及び指示の入力を受け付ける。入力を受け付けると、受け付けた情報及び指示を制御部１０７へ出力する。
表示出力部１１３は、モニタ１５と接続されている。表示出力部１１３は、放送受信部１０２から、番組コンテンツを受け取り、受け取った番組コンテンツから、画像データ及び音声データを生成し、モニタ１５へ出力する。
【００５２】
また、表示出力部１１３は、制御部１０７の制御に従って、メニュー画面などの各種の画像データ、警告音などの各種の音声データをモニタ１５へ出力させる。
モニタ１５は、一例として、液晶ディスプレイであって、スピーカを内蔵している。表示出力部１１３から出力される画像データ、音声データを基に、画面及び音声を生成して表示及び出力する。
【００５３】
（５）入出力部１０３
入出力部１０３は、メモリカードなどの記録媒体を装着可能であって、制御部１０７の制御に従って、記録媒体から情報を読み出す。
（６）要求受信部１０４、送信部１０８及びＬＡＮ通信部１０９
要求受信部１０４は、制御部１０７の制御の下で、インターネット２０に接続された外部機器から送信要求を受信し、受信した送信要求を検索部１０５へ出力する。送信要求は、「視聴履歴表」、「所有者名」、「写真」など各種の情報の送信を要求するものであって、送信元の外部機器のＩＰアドレスが含まれている。ここで、外部機器とは、一例として、サーバ装置４００である。
【００５４】
送信部１０８は、制御部１０７の制御の下、インターネット２０に接続された外部機器へ、各種の情報を送信する。
ＬＡＮ通信部１０９は、制御部１０７、検索部１０５及び加工判断部１０６の指示に従って、ＬＡＮ１０に接続された端末機器との間で各種の情報の送受信を行う。ＬＡＮ１０に接続された端末機器は、一例としてノートＰＣ３００である。
【００５５】
（７）制御部１０７
制御部１０７は、ホームサーバ１００の各構成要素と接続されており、それぞれの動作を制御する機能部である。
電源ボタンが押下され、電力供給が開始されると、制御部１０７は、入出力部１０３、ＬＡＮ通信部１０９を介して、記録媒体の装着の有無、ＬＡＮ１０を介して通信可能な端末機器の有無を確認する。続いて、表示出力部１１３に、利用者に対して、利用者ＩＤの入力を要求するスタート画面の表示を指示する。入力部１１２から、利用者によって入力された利用者ＩＤを受け取る。利用者ＩＤを受け取ると、制御部１０７は、「テレビ放送視聴」、「設定変更」、「メディアからの情報転送」、「コンテンツの再生」・・・といった、ホームサーバ１００が、利用者に提供する機能を表示したメニュー画面の表示を表示出力部１１３に指示する。以後、入力部１１２を介して、利用者による操作を受け付け、受け付けた操作に従って、管理情報記憶部１１１の記憶している情報の変更、記録メディアから情報記憶部１１０へ情報の転送、情報記憶部１１０に記憶されているコンテンツの再生など、各種の処理を行う。特に、情報記憶部１１０に新たに情報を書き込む際には、情報の内容を解析して保護対象データを検索し、その情報内に保護対象データを検出した場合は、検出した保護対象データの属する保護対象種別を示す保護タグを生成し、生成した保護タグをその情報と対応付けて、情報記憶部に書き込む。
【００５６】
保護対象データの検出には、音声認識、画像解析、文字認識、住所・氏名識別、人物の顔画像の特定など様々な公知の技術を用いる。これらの技術の一例として、特許文献２には、文字列から地名、住所を特定する技術が開示されている。また、文書データや画像データに記載されているＩＤを検出する方法としては、一例として、上記の公知技術により特定された氏名や団体名と連続して（または近傍に）記載されており、その文字列自体は、意味のない文字の羅列である場合、その文字列をＩＤと判定する方法が考えられる。なお、この判定方法は、一例であって、他の方法を用いても良い。
【００５７】
また、要求受信部１０４が、外部機器から送信要求を取得した場合、取得した日時を一時的に記憶し、取得した送信要求を、検索部１０５へ出力させる。また、送信要求に応じて、送信部１０８が、情報を送信すると、記憶している日時と、送信要求に含んで受信した外部機器のＩＰアドレスと、加工判断部１０６の算出した対象度数（詳細は後述する）からなるアクセス履歴情報を生成する。ここで、加工判断部１０６の算出した対象度数を送信度数とする。次に、制御部１０７は、生成したアクセス履歴情報をアクセス履歴テーブル１３３に追加する。
【００５８】
（８）検索部１０５
検索部１０５は、インターネット２０及び要求受信部１０４を介して、サーバ装置４００から送信要求を受信する。送信要求を受信すると、受信した送信要求を解読し、要求に該当する情報を、情報記憶部１１０において、検索する。検出した情報及び、その情報と対応する保護タグとを読み出す。
【００５９】
続いて、ＬＡＮ１０に通信可能な端末機器が接続されていれば、ＬＡＮ通信部１０９を介して、接続されている端末機器においても、送信要求に該当する情報を検索し、検出した情報及び各情報と対応する保護タグとを読み出す。
例えば、図１のようにノートＰＣ３００が接続されており、受け取った送信要求が写真の送信を要求している場合は、情報記憶部１１０から写真１５８、１６０・・・及び各写真と対応する保護タグを読み出し、続いて、ＬＡＮ通信部１０９を介して、ノートＰＣ３００に送信要求に該当する情報の検索を指示する。ノートＰＣ３００が、写真を記憶していれば、ＬＡＮ通信部１０９を介して、ノートＰＣ３００から、その写真及び対応する保護タグを受け取る。
【００６０】
次に、読み出した情報及び保護タグを、加工判断部１０６へ出力する。なお、図４に示す写真１６０のように対応する保護タグがない場合は、情報のみを出力する。
（９）加工判断部１０６
加工判断部１０６は、検索部１０５から情報及び各情報と対応する保護タグとを受け取る。ただし、受け取る情報には、保護タグの無いものもある。タグのない情報は、保護すべきデータを含んでいない。
【００６１】
この情報を受け取ると、受け取った各情報について、個人情報保護の観点から、各情報がそのまま送信可能であるか否かを判断し、送信可能でない場合に、その情報に含まれる保護対象データを加工（又は削除）する。
上記の判断及び加工が終了すると、加工後の情報を送信部１０８へ出力する。
図７〜図１０は、加工判断部１０６による上述の判断及び加工の処理を示すフローチャートである。以下に、図７〜図１０を用いて、加工判断部１０６の処理について説明する。なお、説明の便宜上、判断及び加工の対象となっている情報を処理対象情報と呼ぶ。
【００６２】
検索部１０５から受け取った処理対象情報に保護タグがない場合（ステップＳ１０１のＮＯ）、加工判断部１０６は、受け取った処理対象情報を、そのまま送信部１０８へ出力し（ステップＳ１０３）、判断及び加工の処理を終了する。
受け取った処理対象情報に保護タグが付されている場合（ステップＳ１０１のＹＥＳ）、受け取った保護タグを基に、処理対象情報に含まれる保護対象データを全て特定する（ステップＳ１０２）。保護対象データの特定には、制御部１０７と同じく、画像認識、文字認識、氏名・住所特定、人物の顔画像特定など公知の技術を用いる。
【００６３】
ここで特定したｎ個（ｎは１以上）の保護対象データそれぞれに、識別番号Ｃ１、Ｃ２・・・Ｃｎを付す。識別番号は、その情報内で各保護対象データを特定できる情報であればよいので、単なる通し番号や乱数でもよいし、その保護対象データが保持されているメモリ上のアドレスでもよいし、処理対象情報が画像データであれば、その保護対象データが含まれる画素位置などでもよい。また、これらを結合したものでも良い。
【００６４】
次に、加工判断部１０６は、管理情報記憶部１１１から保護対象テーブル１２１を読み出す（ステップＳ１０４）。特定した保護対象データに対応する度数と保護ランクを、保護対象テーブル１２１から抽出し、対象度数テーブルを生成する（ステップＳ１０６）。図１１は、ここで生成される対象度数テーブル２０１の詳細を示す。図１１に示すように、対象度数テーブル２０１は、ｎ個（図中ではｎ＝５）の対象度数演算情報２０２、２０３、２０４、２０５及び２０６から構成される。各対象度数演算情報は、それぞれ、特定された保護対象データと対応している。各対象度数演算情報は、識別番号、度数及び保護ランクを含む。識別番号は、各保護対象データに付された上述の識別番号であり、度数と保護ランクは、識別番号の示す保護対象データの属する保護対象種別に対応する度数と保護ランクである。
【００６５】
次に、ステップＳ１０８〜ステップＳ１２６において、加工判断部１０６は、対象度数テーブル２０１に含まれる識別番号Ｃ１〜Ｃ５のそれぞれについて、以下のステップＳ１０９〜ステップＳ１２３の処理を繰り返す。
加工判断部１０６は、識別番号Ｃｘ（０≦ｘ≦５）を含む対象度数演算情報を選択し（ステップＳ１０９）、選択した対象度数演算情報から保護ランクを読み出す（ステップＳ１１１）。保護ランクが「Ｂ」でなければ（ステップＳ１１３のＮＯ）、加工判断部１０６は、次の識別番号Ｃｘに係る処理に移る。
【００６６】
保護ランクが「Ｂ」であれば（ステップＳ１１３のＹＥＳ）、情報記憶部１１０内において、識別番号Ｃｘの示す保護対象データと同一のデータを含む他の情報（以下、処理対象情報と関連する情報であって、ホームサーバ１００が容易に検索可能な情報を、関連情報と呼ぶ。本実施の形態では、処理対象情報に含まれる保護対象データと同一のデータを含む情報を関連情報とする。）を検索する（ステップＳ１１４）。ＬＡＮ１０を介して通信可能な端末機器がある場合は、ＬＡＮ通信部１０９を介して、その端末機器に、関連情報の検索を要求する。情報記憶部１１０及びＬＡＮ１０に接続された端末機器から関連情報が検出されなければ（ステップＳ１１６のＮＯ）、加工判断部１０６は、次の識別番号Ｃｘに係る処理に移る。
【００６７】
関連情報が検出されると（ステップＳ１１６のＹＥＳ）、加工判断部１０６は、検出した関連情報と対応する保護タグを読み出す（ステップＳ１１７）。
加工判断部１０６は、読み出した保護タグの示す保護対象種別と対応する保護ランクを、保護対象テーブル１２１から検出する（ステップＳ１１９）。検出した保護ランクの中に保護ランク「Ａ」が存在すれば（ステップＳ１２１のＹＥＳ）、識別番号Ｃｘを含む対象度数演算情報に含まれる保護ランクを「Ａ」に変更する（ステップＳ１２３）。
【００６８】
保護ランク「Ａ」が含まれていなければ（ステップＳ１２１のＮＯ）、加工判断部１０６は、次の識別番号Ｃｘに係る処理に移る。
ステップＳ１０８〜ステップＳ１２６の繰返しが終了すると、加工判断部１０６は、対象度数テーブルにおいて、保護ランク「Ａ」を含む対象度数演算情報を検出する。処理対象情報において、検出した対象度数演算情報に含まれる識別番号の示す保護対象データを加工する（ステップＳ１４１）。加工の方法は、任意であるが、例えば、処理対象情報が写真であれば、保護対象データの写っている部分にモザイクをかける。処理対象データが、テキストデータであれば、保護対象データの一部を削除したり、意味のない文字列に置き換えたりする。
【００６９】
次に、加工判断部１０６は、加工した保護対象データと対応する対象度数演算情報の度数を２で除算し、保護ランクを「Ｂ」に変更する（ステップＳ１４２）。なお、対象度数テーブルに、保護ランク「Ａ」を含む対象度数演算情報が存在しない場合は、ステップＳ１４１〜ステップＳ１４２は省略する。
続いて、加工判断部１０６は、対象度数テーブルを構成する各対象度数演算情報に含まれる度数の和を算出する。算出した和を対象度数と呼ぶ（ステップＳ１４３）。
【００７０】
対象度数は、実際に送信要求の送信元へ送信される情報による、個人の識別容易性を示している。対象度数が高いほど、送信される情報から、特定の個人を容易に識別できる。
次に、加工判断部１０６は、管理情報記憶部１１１から、アクセス履歴テーブル１３３を読み出し（ステップＳ１４４）、送信要求に含んで受信したＩＰアドレスと同一のＩＰアドレスを含むアクセス履歴情報を、読み出したアクセス履歴テーブル１３３において検索する（ステップＳ１４６）。
【００７１】
該当するアクセス履歴情報が存在すれば（ステップＳ１４７のＹＥＳ）、検出した全てのアクセス履歴情報から送信度数を読み出し（ステップＳ１４８）、読み出した送信度数の総和を算出する。算出した和を履歴度数とする（ステップＳ１４９）。
履歴度数は、送信要求の送信元の機器へ、過去に送信した情報による、個人の識別容易性を示している。
【００７２】
ステップＳ１４７において、該当するアクセス履歴情報が存在しない場合（ステップＳ１４７のＮＯ）、履歴度数を「０」とする（ステップＳ１５１）。
続いて、加工判断部１０６は、対象度数と履歴度数とを加算して識別度数を算出する（ステップＳ１５３）。次に、管理情報記憶部１１１から送信閾値１３１を読み出す（ステップＳ１５４）。読み出した送信閾値１３１と算出した識別度数とを比較し、算出した識別度数が、送信閾値１３１以下であれば、加工後の処理対象情報を、送信部１０８へ出力する（ステップＳ１６３）。
【００７３】
算出した識別度数が、送信閾値１３１より大きい場合（ステップＳ１５６のＮＯ）、加工判断部１０６は、処理対象情報に含まれる保護対象データを加工又は、削除する（ステップＳ１５７）。何れの保護対象データを加工又は削除するかは、任意であるが、例えば、対象度数テーブルの先頭の対象度数演算情報と対応する保護対象データから順に加工又は削除しても良いし、度数の大きいものを優先的に加工又は削除しても良い。
【００７４】
次に、削除した保護対象データと対応する対象度数演算情報に含まれる度数を「０」に変更し、加工した保護対象データと対応する対象度数演算情報に含まれる度数を２で除算する（ステップＳ１５９）。
次に、加工判断部１０６は、ステップＳ１５９の処理後の対象度数テーブルを基に改めて対象度数を算出し、算出した対象度数を用いて識別度数を再計算し（ステップＳ１６１）ステップＳ１５６へ戻る。
【００７５】
なお、ここでは、説明を容易にするため、検索部１０５から受け取った情報が１個の場合について説明してきたが、複数の情報を受け取った場合、各情報について、ステップＳ１０１〜ステップＳ１４２を繰り返して、各情報に対して、対象度数テーブルを生成し、全ての対象度数テーブルに含まれる度数の総和を対象度数とする。
１．３  ノートＰＣ３００
ノートＰＣは、図２に示すように、ＬＡＮ通信部３０１、検索部３０５、制御部３０７、情報記憶部３１０、入力部３１２及び表示部３１３から構成されている。また、具体的には図示していないが、制御部１０７は、ノートＰＣ３００を構成する各部と接続されており、各部を制御する。
【００７６】
ノートＰＣ３００は、具体的にはＲＡＭ、ＲＯＭ及びマイクロプロセッサを含んで構成されるコンピュータシステムであって、前記ＲＡＭ、ＲＯＭにはコンピュータプログラムが記憶されている。前記マイクロプロセッサが前記コンピュータプログラムに従って動作することにより、ノートＰＣ３００は、その機能の一部を達成する。
以下に、各構成要素について説明する。
【００７７】
（１）ＬＡＮ通信部３０１
ＬＡＮ通信部３０１は、ＬＡＮ１０と接続可能なインタフェースを備えており、ＬＡＮ１０に接続されている外部機器と検索部３０５との間で、各種の情報及び指示などの送受信を行う。ここで、外部機器とは、ホームサーバ１００である。
（２）検索部３０５
検索部３０５は、ＬＡＮ通信部３０１を介して、ホームサーバ１００から情報記憶部３１０内の情報の検索、読み出しの指示を受け、指示に従って、情報記憶部３１０内において、情報の検索及び読み出しを行う。
【００７８】
（３）情報記憶部３１０
情報記憶部３１０は、ハードディスクを含んで構成され、各種の情報を記憶している。一例として、図１２に示すように、所有者ＩＤ３２１、所有者名３２３、アドレス帳３２５、社員名簿３２７及び各情報と対応する保護タグ３２２、３２４、３２６、３２８を記憶している。
【００７９】
所有者名３２３は、ノートＰＣ３００の所有者の名称、所有者ＩＤ３２１は、前記所有者を一意に識別する識別情報である。アドレス帳３２５は、利用者によって作成された情報であって、複数の人の氏名、住所、電話番号などが含まれる。社員名簿３２７は、複数の人の氏名と各人に対応する社員ＩＤとを含んでいる。
保護タグについては、上記の情報記憶部１１０において説明したとおりである。
【００８０】
（４）制御部３０７
制御部３０７は、入力部３１２を介して、利用者による各種の情報及び指示の入力を受け付け、受け付けた指示に従って、各部の動作を制御する。
また、ホームサーバ１００の制御部１０７と同様に、情報記憶部３１０に新たな情報を記録する際には、情報の内容を解析して保護対象データを検索し、検出した場合は、検出した保護対象データの属する保護対象種別を示す保護タグを生成し、生成した保護タグをその情報と対応付けて、情報記憶部３１０に書き込む。
【００８１】
（５）入力部３１２及び表示部３１３
入力部３１２は、テンキー、文字キー、など各種のキーを備え、利用者による各種の情報及び指示の入力を受け付け、受け付けた情報及び指示を制御部３０７へ出力する。
表示部３１３は、液晶ディスプレイを備え、制御部３０７の制御に従って各種の画面を表示する。
１．４  サーバ装置４００
サーバ装置４００は、操作者の操作に従って、ホームサーバ１００を含む外部の機器から、利用者に係る各種の情報を収集し、収集した情報を基に、利用者の趣味・嗜好に合致したサービスや情報を提供する装置である。
【００８２】
サーバ装置４００により提供されるサービスの一例として、テレビ放送の視聴履歴を収集し、利用者の好みに合致するテレビ放送を告知するサービスや、利用者の好みに合致した新作ＤＶＤを案内するサービスが挙げられる。
１．５  動作
以下に、個人情報管理システム１の各機器の動作について、ホームサーバ１００を中心に説明する。
【００８３】
（１）ホームサーバ１００の動作
図１３〜図１６は、ホームサーバ１００の動作を示すフローチャートである。以下に、図１３〜図１６のフローチャートを用いて、ホームサーバ１００の動作について説明する。
ホームサーバ１００に電源が投入され、各部に電力供給が開始されると、制御部１０７は、ＬＡＮ通信部１０９を介して、ＬＡＮ１０に、通信可能な他の端末機器が接続されているか否かを確認する（ステップＳ２０１）。ここでは、ノートＰＣ３００が接続されているとして説明する。
【００８４】
次に、利用者に利用者ＩＤの入力を要求するメッセージを含むスタート画面を生成し、表示出力部１１３に生成したスタート画面の表示を指示する。表示出力部１１３は、制御部１０７の指示に従って、モニタ１５にスタート画面を表示させる（ステップＳ２０２）。続いて、制御部１０７は、入力部１１２から、利用者により入力された利用者ＩＤを受け取る（ステップＳ２０３）。
【００８５】
一方、サーバ装置４００は、操作者の操作に従って、インターネット２０を介してホームサーバ１００に、送信要求を送信する（ステップＳ２０４）。
利用者ＩＤを受け取った後、インターネット２０を介して、要求受信部１０４がサーバ装置４００から、送信要求を受信すると（ステップＳ２０６のＹＥＳ）、制御部１０７は、受信された送信要求を、検索部１０５へ出力するように、要求受信部１０４へ指示する。
【００８６】
検索部１０５は、要求受信部１０４から、送信要求を受け取り、送信要求の示す情報の送信処理（詳細は後述する）を開始する（ステップＳ２０７）。
送信要求を受信しなければ（ステップＳ２０６のＮＯ）、制御部１０７は、続いて、ホームサーバ１００が利用者に提供する各種の機能を表示するメニュー画面をモニタ１５に表示させ、利用者による選択操作を受け付ける（ステップＳ２０８）。メニュー画面には、一例として、「設定変更」、「テレビ放送視聴」、「メディアからの情報転送」といった、機能記載した選択肢が並んでいる。
【００８７】
入力部１１２を介して、設定変更を要求する操作を受け付けると（ステップＳ２０８の「設定変更」）、利用者の操作に従って、管理情報記憶部１１１に記憶されている保護対象テーブル１２１、送信閾値１３１、情報記憶部１１０に記憶されているユーザテーブル１４６の変更を行う（ステップＳ２０９）。
入力部１１２を介して、テレビ放送の視聴を要求する操作を受け付けると（ステップＳ２０８の「テレビ放送視聴」）、テレビ番組の表示の処理（詳細は後述する)を開始する（ステップＳ２１０）。
【００８８】
入力部１１２を介して、メモリカードなどのメディアからの情報の転送を要求する操作を受け付けると（ステップＳ２０８の「メディアからの情報転送」）、制御部１０７は、情報転送の処理（詳細は後述）を行う（ステップＳ２１１）。
また、入力部１１２を介して、その他の処理を要求する操作を受け付けると（ステップＳ２０８の「その他の処理」）、その他の処理を行う（ステップＳ２１２）。
【００８９】
ステップＳ２０８において受け付けた操作に応じた処理が終了すると、ステップＳ２０６へ戻る。
（２）テレビ番組の表示
利用者の操作によってテレビ放送の視聴を要求されると、ホームサーバ１００は、テレビ番組の表示の処理を行う。以下に図１４のフローチャートを用いて、テレビ番組の表示の処理について説明する。なおこれは、図１３のステップＳ２１０の詳細である。
【００９０】
制御部１０７は、ステップＳ２０３において利用者により入力された利用者ＩＤを含む視聴履歴表を、情報記憶部１１０内において検索する（ステップＳ２１３）。入力された利用者ＩＤを含む視聴履歴表を検出すると（ステップＳ２１６のＹＥＳ）、ステップＳ２１９へ処理を移す。
入力された利用者ＩＤを含む視聴履歴表が検出されなかった場合（ステップＳ２１６のＮＯ）、制御部１０７は、入力された利用者ＩＤを含む新たな視聴履歴表を生成する（ステップＳ２１７）。次に、制御部１０７は、保護タグ「ＩＤ、視聴履歴」を生成し、生成した視聴履歴表と保護タグとを対応付けて、情報記憶部１１０に書き込む（ステップＳ２１８）。
【００９１】
続いて、制御部１０７は、入力部１１２を介して、チャネル選択を受け付け（ステップＳ２１９）選択されたチャネルに係る放送の受信を放送受信部１０２に指示する。次に制御部１０７は、選択されたチャネル番号などを含む新たな視聴履歴情報を生成し、利用者により入力された利用者ＩＤを含む視聴履歴表に、生成した視聴履歴情報を追加する（ステップＳ２２１）。なお、具体的には図示していないが、情報記憶部１１０には、ＥＰＧ（ElectronicProgram Guide）が記憶されており、新たな視聴履歴情報の生成に当たり、制御部１０７は、ＥＰＧから、番組名及びジャンルを取得する。
【００９２】
アンテナ１０１及び放送受信部１０２は、制御部１０７の指示に従って、テレビ番組を受信し、表示出力部１１３は受信されたテレビ番組を、モニタ１５に表示させる（ステップＳ２２３）。テレビ番組の表示中に、利用者の操作によりチャネルが変更された場合（ステップＳ２２４のＹＥＳ）、または、１個のテレビ番組が終了した場合（ステップＳ２２６のＹＥＳ）、ステップＳ２２１に戻り、新たな視聴履歴情報を追加する。
【００９３】
放送番組の表示の途中、利用者により、視聴終了の操作がされると（ステップＳ２２７のＹＥＳ）、制御部１０７は、テレビ番組の表示処理を終了し、ステップＳ２０６へ戻る。チャネル変更がなく（ステップＳ２２４のＮＯ）、利用者による視聴終了の送さもなければ（ステップＳ２２７のＮＯ）、放送番組が終了するまで（ステップＳ２２６のＮＯ）、放送番組の表示を継続する。
【００９４】
（３）情報の転送
入力部１１２を介して、メモリカードなどのメディアからの情報の転送を要求する操作を受け付けると、ホームサーバ１００は、メディアからの情報の転送処理を行う。以下に図１５に示すフローチャートを用いて、情報の転送処理について説明する。なお、これは、図１３のステップＳ２１１の詳細である。
【００９５】
制御部１０７は、入出力部１０３を介して、記録メディアに記録されている情報を読み出し（ステップＳ２３１）、読み出した情報を解析して保護対象データを検索する（ステップＳ２３２）。解析には、画像認識、文字認識、音声認識など、各種の技術を用いる。
読み出した情報に保護対象データが含まれていない場合（ステップＳ２３４のＮＯ）、読み出した情報をそのまま情報記憶部１１０に書き込む（ステップＳ２３６）。
【００９６】
読み出した情報が保護対象データを含んでいる場合（ステップＳ２３４のＹＥＳ）、検出した保護対象データの属する保護対象種別を示す保護タグを生成し（ステップＳ２３７）、読み出した情報と生成した保護タグとを対応付けて情報記憶部１１０に書き込む（ステップＳ２３９）。
（４）情報送信
要求受信部１０４から送信要求を受け取ると、検索部１０５は、以下に説明する情報送信の処理を開始する。以下に、図１６に示すフローチャートを用いて、情報の送信処理について説明する。これは、図１３のステップＳ２０７の詳細である。
【００９７】
制御部１０７は、要求受信部１０４に、受信された送信要求を検索部１０５へ出力させる。
検索部１０５は、送信要求を受け取り、情報記憶部１１０内において、要求された情報を検索する（ステップＳ２４６）。このとき、ＬＡＮ１０にノートＰＣが接続されていれば（ステップＳ２４７のＹＥＳ）、検索部１０５はＬＡＮ通信部１０９を介して、送信要求の要求する情報の検索を、ノートＰＣ３００に要求する（ステップＳ２４９）。
【００９８】
ノートＰＣ３００の検索部３０５は、ＬＡＮ通信部３０１を介して、ホームサーバ１００からの検索要求を受信する。検索部３０５は、受信した検索要求に従って情報記憶部３１０内を検索し（ステップＳ２５１）、要求に該当する情報を検出すると、検出した情報とその情報に対応する保護タグとを読み出し（ステップＳ２５３）、読み出した情報及び保護タグをＬＡＮ通信部３０１を介して、ホームサーバ１００へ送信する（ステップＳ２５４）。要求に該当する情報が検出されなければ、ステップＳ２５３及び２５４に代えて、該当する情報が存在しないことを示す信号を送信する。
【００９９】
ホームサーバ１００の検索部１０５は、ＬＡＮ通信部１０９を介してノートＰＣ３００から、情報及び保護タグを受け取る。受け取った情報及び情報記憶部１１０において検出した情報、各情報と対応する保護タグを、加工判断部１０６へ出力する。
加工判断部１０６は、検索部１０５から情報及び保護タグを受け取り、受け取った情報について、送信可能か否かの判断および送信可能でない情報の加工を行う（ステップＳ２５７）。ステップＳ２５７の詳細については、すでに、図７〜図１０のフローチャートを用いて説明した通りである。
【０１００】
送信部１０８は、加工判断部１０６から、加工後の情報を受け取り、受け取った情報をインターネット２０を介して、サーバ装置４００へ送信する（ステップＳ２５８）。
制御部１０７は、送信された情報に関して、加工判断部１０６によって算出された対象度数と、サーバ装置４００から送信要求を受信した時刻と、送信要求に含んで受信したサーバ装置４００のＩＰアドレスを含むアクセス履歴情報を生成し、生成したアクセス履歴情報を管理情報記憶部１１１の記憶しているアクセス履歴テーブル１３３に追加する（ステップＳ２６１）。
【０１０１】
（５）具体例
上述の情報の送信処理について、サーバ装置４００から、写真の送信を要求する送信要求を受信した場合の例を、図６、図７〜１０及び図１６を参照しながら、具体的に説明する。このとき、ノートＰＣ３００がＬＡＮ１０に接続されており、ホームサーバ１００と通信可能な状態にあるとする。また、サーバ装置４００のＩＰアドレスは「１０．１０５．５．６」であるとする。
【０１０２】
検索部１０５は、情報記憶部１１０内及びノートＰＣ３００の情報記憶部３１０内において、写真を検索し、情報記憶部１１０内で写真１５８と写真１６０とを検出する（ステップＳ２４６）。検出した写真１５８と写真１６０及び、写真１５８と対応する保護タグ１５９を読み出し、加工判断部１０６へ出力する。
加工判断部１０６は、検索部１０５から写真１５８、保護タグ１５９及び写真１６０を受け取る。
【０１０３】
写真１６０には、対応する保護タグが無いので（ステップＳ１０１のＮＯ）、加工判断部１０６は、そのまま送信部１０８へ出力する（ステップＳ１０３）。
写真１５８には、対応する保護タグ１５９が存在するので（ステップＳ１０１のＹＥＳ）、加工判断部１０６は、写真１５８の画像を解析し、保護対象種別「住所」該当する文字列１８１、保護対象種別「会社名」に該当する文字列１８２、保護対象種別「氏名」に属する文字列１８３、保護対象種別「ＩＤ」に属する文字列１８４、保護対象種別「顔」に該当する人物の顔１８６を検出する（ステップＳ１０２）。検出した５つの保護対象データに、順に識別番号Ｃ１〜Ｃ５を付す。
【０１０４】
このとき、保護対象データである人物の顔１８６、文字列１８１、１８２、１８３の検出には、画像解析、文字認識、氏名・住所特定等の技術が用いられる。
また、文字列１８４は、その文字列自体に意味が無く、文字列１８４の文字の大きさを基準として、所定の範囲内に、「会社名」に該当する文字列１８１、「氏名」に該当する文字列１８３、顔写真１８５（人物が特定できるほど不鮮明でなくても良い）が記載されているといった、所定の条件を満たすため、個人情報種別「ＩＤ」に属すると判別する。なお、この方法は一例であって、他の方法を用いても良い。
【０１０５】
続いて、管理情報記憶部１１１から保護対象テーブル１２１を読み出す。次に、文字列１８１は、保護対象種別「住所」に属するので、加工判断部１０６は、保護対象情報１２３から度数「８」及び保護ランク「Ａ」を読み出し、識別番号Ｃ１、度数「８」、保護ランク「Ａ」からなる対象度数演算情報２０２を生成する。同様に、他の保護対象データについても、対象度数演算情報２０３、２０４、２０５、２０６を生成し、これらから構成される対象度数テーブル２０１を生成する（ステップＳ１０６）。
【０１０６】
次に、加工判断部１０６は、対象度数テーブル２０１において、保護ランク「Ｂ」を含む対象度数演算情報２０３及び２０５を特定する（ステップＳ１０９〜１１３）。
加工判断部１０６は、情報記憶部１１０及び情報記憶部３１０内において、特定した対象度数演算情報２０３と対応する文字列１８２「〇×（株）」と同一の保護対象データを含む関連情報、対象度数演算情報２０５と対応する文字列１８４「ＩＤ５１」と同一の保護対象データを含む関連情報を、検索する（ステップＳ１１４）。ここで、ノートＰＣ３００の備える情報記憶部３１０に記憶されている社員名簿３２７に文字列１８４「ＩＤ５１」と一致する文字列「ＩＤ５１」が含まれているとする（ステップＳ１１６のＹＥＳ）。
【０１０７】
加工判断部１０６は、ＬＡＮ通信部１０９を介して社員名簿３２７と対応する保護タグ３２８を読み出す（ステップＳ１１７）。読み出した保護タグ３２８の示す保護対象種別は「氏名」及び「ＩＤ」である。
加工判断部１０６は、保護対象テーブル１２１において、保護対象種別「氏名」、「ＩＤ」を含む保護対象情報１２２、１２５を選択し、選択した保護対象情報１２２、１２５それぞれから保護ランク「Ａ」、「Ｂ」を検出する（ステップＳ１１９）。検出した保護ランクに「Ａ」が含まれているので（ステップＳ１２１のＹＥＳ）、対象度数テーブル２０１において、文字列１８４「ＩＤ５１」と対応する対象度数演算情報２０５の保護ランクを「Ｂ」から「Ａ」に変更する（ステップＳ１２３）。変更後の対象度数テーブル２０１では、対象度数演算情報２０２、２０４、２０５及び２０６に含まれる保護ランクが「Ａ」である。
【０１０８】
続いて、加工判断部１０６は、保護ランク「Ａ」を含む対象度数演算情報２０２、２０４、２０５及び２０６と対応する文字列１８１、１８３及び文字列１８４、人の顔１８６を加工する（ステップＳ１４１）。一例として、人の顔１８６の部分にモザイク処理を施し、文字列１８１「Ｍ市××町〇〇番地」の「Ｍ市」以降の部分を周辺の色で塗りつぶし、文字列１８３「佐藤太郎」の後半２文字の部分を周辺の色で塗りつぶし、文字列１８４「ＩＤ５１」の３文字目以降を周辺の色で塗りつぶす。次に、対象度数演算情報２０２、２０４、２０５及び２０６に含まれる保護ランクを「Ｂ」に変更し、それぞれに含まれる度数を２で除算する（ステップＳ１４２）。小数点以下は切り捨てる。
【０１０９】
このとき各対象度数演算情報に含まれる度数はそれぞれ、「４」、「３」、「５」、「２」及び「５」である。加工判断部１０６は、これらを加算して、対象度数「１９」を算出する（ステップＳ１４３）。
続いて、加工判断部１０６は、アクセス履歴テーブル１３３において、ＩＰアドレス「１０．１０１．５．６」を含むアクセス履歴情報を検索し（ステップＳ１４６）、アクセス履歴情報１３４を検出する（ステップＳ１４７のＹＥＳ）。検出したアクセス履歴情報１３４から履歴度数「１７」を読み出す（ステップＳ１４８）。検出された履歴情報が１個であるので、この場合、読み出した送信度数「１７」が履歴度数「１７」となる（ステップＳ１４９）。
【０１１０】
次に、加工判断部１０６は、対象度数「１９」と履歴度数「１７」とを加算して、識別度数「３６」を算出する（ステップＳ１５３）。送信閾値１３１「３０」を読み出し、識別度数「３６」と送信閾値１３１「３０」とを比較する。識別度数が送信閾値より大きいので（ステップＳ１５６のＮＯ）、写真１５８に含まれる対象データを更に加工する。ここでは、一例として、最大の度数「５」を含む対象度数演算情報２０４及び２０６と対応する文字列１８３「佐藤太郎」と、人物の顔１８６とを更に加工する（ステップＳ１５７）。例えば、文字列１８３「佐藤太郎」を全て背景色で塗りつぶし、人物の顔１８６にさらに複雑なモザイク処理を施す。続いて、対象度数演算情報２０４に含まれる度数を「０」に変更し、対象度数演算情報に含まれる度数「５」を２で除算して「２」とする（ステップＳ１５９）。続いて、変更後の対象度数テーブル２０１に含まれる度数「４」、「３」、「０」、「２」及び「２」を加算して対象度数「１１」を再計算し、続いて、対象度数「１１」と履歴度数「１７」とを加算して、識別度数「２８」を再度算出する（ステップＳ１６１）。
【０１１１】
再計算した識別度数「２８」は、判定閾値「３０」以下であるので（ステップＳ１５６のＹＥＳ）、加工判断部１０６は、次に、加工後の写真１５８を送信部１０８へ出力する（ステップＳ１６３）。
送信部１０８は、加工判断部１０６から、写真１６０及び加工後の写真１５８を受け取り、これらをインターネット２０を介してサーバ装置４００へ送信する（ステップＳ２５８）。
【０１１２】
制御部１０７は、送信要求を受信した日時と、送信要求に含まれているＩＰアドレス「１０．１０１．５．６」と、送信度数「１１」とを含む新たなアクセス履歴情報を生成する。この送信度数「１２」は、加工判断部１０６が最後に算出した対象度数「１１」である。
次に、生成したアクセス履歴情報を、アクセス履歴テーブル１３３に追加する（ステップＳ２６１）。
１．６  まとめ・効果
以上、説明してきたように、実施の形態１の個人情報管理システム１を構成するホームサーバ１００は、予め、保護対象データの種類ごとに度数と保護レベルとを規定する保護対象テーブル１２１を保持しており、サーバ装置４００から情報の送信を要求されると、保護対象テーブルから、要求に該当する情報（処理対象情報）に含まれる保護対象データそれぞれの度数と保護ランクとを抽出する。
【０１１３】
抽出された保護ランクが「Ａ」の保護対象データは、無条件に加工の対象となり、そのまま、サーバ装置４００へ送信されることはない。
さらに、抽出された保護ランクが「Ｂ」の保護対象データについて、その保護対象データと関連する関連情報を検索し、関連情報に保護ランク「Ａ」の保護対象データが含まれていれば、保護ランク「Ｂ」を「Ａ」に変更する。変更後、保護ランク「Ａ」の保護対象データを加工する。
【０１１４】
そのため、単独では、個人情報とならない情報であっても、個人情報を含む関連情報と容易に照合できる場合は、その情報をそのままサーバ装置４００へ送信することはない。
単独で個人を識別しうる情報のみならず、容易に照合可能な関連情報の存在によって、個人を識別し得る情報も秘匿することが可能となり、より確実に個人情報を保護することができる。
【０１１５】
さらに、加工後の処理対象情報について、対象度数及び履歴度数をそれぞれ算出し、これらの和である識別度数と送信閾値とを比較し、送信閾値より大きい場合、保護ランク「Ｂ」の保護対象データも加工する。
保護ランク「Ｂ」のデータであっても、送信要求を受信した時点ではＬＡＮに接続されていない端末機器の有する個人情報や、今後、ホームサーバ１００などに記録される個人情報によって、今後、保護ランク「Ａ」となる危険性がある。
【０１１６】
上記のように、送信閾値による条件を設けて、保護ランク「Ｂ」の情報も、加工することで、このような危険性を、低減することができる。
また、履歴度数を加味して判断するため、ホームサーバ１００から送信した情報が、サーバ装置４００に多数集まることで、個人を特定し得る状態になる危険性を、抑制することができる。
【０１１７】
ここで、特許請求の範囲の各請求項に記載した発明と、上記実施の形態１における具体的な構成要素との対応について述べる。
請求項１の要求取得手段は、要求受信部１０４に対応し、読出手段は、検索部１０５に対応し、度数取得手段及び判断手段は、加工判断部１０６に対応する。
請求項２及び請求項２５の加工手段は、加工判断部１０６に対応し、出力手段は、送信部１０８に対応する。
【０１１８】
請求項３の禁止手段は、ホームサーバ１００の加工判断部１０６に対応する。
請求項４の第１取得手段は、ホームサーバ１００の検索部１０５に対応する。
請求項１０の生成手段は、ホームサーバ１００の制御部１０７に対応する。
請求項１１の変更手段は、ホームサーバ１００の制御部１０７に対応する。
請求項１２の関連情報取得手段は、ホームサーバ１００の加工判断部１０６に対応する。
【０１１９】
請求項２４の通知手段は、ホームサーバ１００の制御部１０７、表示出力部１１３、及び送信部１０８に対応する。そして通知手段による処理の結果、図１７（ａ）に記載した赤色点滅５０１、（ｂ）に記載した危険度表示バー５０２、（ｃ）に記載した受信メール画面５０３等により、利用者に通知される。
１．７  その他の変形例
本発明を上記の実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。
【０１２０】
（１）上記の実施の形態１では、処理対象情報に含まれる保護対象データのうち、保護ランク「Ａ」のものは、無条件に加工し、加工後の各保護対象データに対応する度数の総和である対象度数とアクセス履歴テーブルを基に算出した履歴度数から識別度数を算出し、算出した識別度数によって、送信を要求された情報をそのまま送信するか、加工するかを判断しているが、加工の順序、識別度数の算出方法及び判断方法は、これに限るものではない。
【０１２１】
一例としては、関連情報に関しても、その関連情報に含まれるすべての保護対象データと対応する度数の総和（関連度数）を算出し、対象度数と関連度数と履歴度数との和を識別度数としても良い。
また、以下のようにしても良い。加工判断部１０６は、保護ランク「Ａ」の保護対象データを含む関連情報の存在により、対象度数演算情報の保護ランクを「Ａ」に書き換える際、関連情報に含まれる保護ランク「Ａ」の保護対象データに対応する度数を、保護対象テーブル１２１から読み出し、保護ランクのみならず、度数も、読み出した度数に書き換える。次に、対象度数テーブルに含まれる度数を全て加算して、対象度数を算出し、対象度数と履歴度数とを足し合わせて識別度数を算出する。算出した識別度数が、送信閾値より大きい場合に、処理対象情報を加工する。
【０１２２】
また、履歴情報を加味せずに、対象度数と識別度数とを比較し、処理対象情報を加工するか否かを決定しても良い。
また、保護ランクに基づく加工のみを行い、加工後の処理対象情報を送信してもよい。
（２）また、識別度数に基づく加工のみを行って、送信しても良い。この場合、処理対象情報に含まれる保護対象データの個数に関わらず、保護タグの示す保護対象種別及び保護対象テーブル１２１に基づいて、対象度数を算出しても良い。
【０１２３】
具体的には、処理対象情報と対応する保護タグの示す保護対象種別を含む保護対象情報を、保護対象テーブル１２１において特定する。特定した保護対象情報に含まれる度数を読み出す。保護タグが複数の保護対象種別を含んでいる場合は、それぞれの保護対象種別について、度数を読み出す。読み出した度数を全て加算して、対象度数を算出する。このようにした場合、送信要求を受け取った後に、処理対象情報内において、個々の保護対象情報を検出しないので、迅速に加工の要否を判定することができる。特に、識別度数が送信閾値より低い場合は、処理対象情報を迅速に送信することができる。
【０１２４】
また、保護タグに、保護対象情報種別及びその保護対象種別に属する保護対象データの個数が含まれているとしても良い。具体的には、３人の人物の氏名が記載されたアドレス帳であれば、そのアドレス帳と対応する保護タグには、個人情報種別「氏名」と個数「３」が含まれる。このとき、加工判断部１０６は、保護対象種別「氏名」と対応する度数「１０」と個数「３」とを掛けて、対象度数「３０」を算出する。
【０１２５】
（３）実施の形態１では、処理対象情報に含まれる保護対象データと同一のデータを含む情報を関連情報としているが、同一のデータに限らず部分的に一致するデータを含む情報を関連情報としても良い。
会社などで社員にＩＤを割り振る際に、所属や入社年度が同一の人には、上位数文字は同一の文字列を割り当て、下位の数文字を連番にする場合がある。
【０１２６】
また、同一の機器、同一のソフトを使って作成したファイルには、上位の数ビットが同一のファイルＩＤが割り振られる場合がある。例えば、上位８ビットは、利用者の識別情報、続く８ビットは、ソフトの識別情報、下位８ビットは、各ファイルに一意に割り当てられる文字列というように決定される。
従って、一部分が一致する２つの社員ＩＤそれぞれが示す人は、何らかの関連のあると考えられる。また、一部分が一致するファイルＩＤの示すファイルは、同一の人、または、同一の機器を使用可能な環境にある複数の人と関連があると考えられる。そのため、本変形例のように、処理対象情報に含まれる保護対象データと部分的に一致する保護対象データを含んでいる情報を、関連情報とすることで、より確実に個人情報を保護することができる。
【０１２７】
（４）上記のホームサーバ１００は、外部機器に情報を送信した履歴として、送信度数を含むアクセス履歴テーブル１３３記憶しているが、送信度数に代わって、実際に送信した情報のデッドコピーを含むアクセス履歴テーブルを保持しており、デッドコピー及び保護対象テーブル１２１から履歴度数を算出しても良い。又は、検索部１０５が検出した情報（つまり加工前の情報）のデッドコピーであっても良い。
【０１２８】
また、送信度数に代えて、送信要求に従って、検索部１０５が検出した情報（つまり加工前の情報）を示す識別情報、検出した情報の記憶されているアドレスなどを含むアクセス履歴テーブルであっても良い。
この場合、加工判断部１０６は、前記デッドコピー又は前記アドレスに記録されている情報について、保護対象データを検出して、検出した保護対象データに対応する度数を全て加算して、履歴度数を算出する。
【０１２９】
（５）また、実施の形態１では、保護ランクによって、各保護対象データを加工するか否かを判断し、保護ランク「Ａ」の保護対象データを加工し、その後さらに、識別度数により、処理対象データに含まれる保護対象データを加工するか否かを判断しているが、何れか一方のみでもよい。
（６）実施の形態１では、処理対象情報に含まれる保護対象データと同一のデータを含む情報を関連情報としているが、これは一例であって、処理対象情報と関連する情報であって、ホームサーバ１００が容易に検索可能な情報であればよい。
【０１３０】
一例として、処理対象情報に含まれるファイル名や、保存先のアドレスの示す情報を関連情報としてもよい。この場合、関連情報に保護ランク「Ａ」の情報つまり、個人情報が含まれている場合、処理対象情報に含まれるファイル名、アドレスを加工又は削除する。
（７）また、特定の機器が有する情報を関連情報としても良い。
一例として、同一ＬＡＮ内の機器が有する情報を全て関連情報であるとしても良い。
【０１３１】
同一ＬＡＮ内の機器は、同一人物又は家族など関連の深い人によって所有されている場合も多く、そのため、これらの機器の有する情報は、いずれも同一人物に情報又は、深い人々に関する情報である可能性が非常に高い。従って、実施の形態１の様に、処理対象情報内に、関連情報との関連を生じせしめるデータが含まれていなくても、処理対象情報と特定の機器の有する情報に関連があることは容易に推定できる。
【０１３２】
なお、この場合、処理対象情報と関連情報との間に関連を生じせしめる原因が処理対象情報の内容には因らないので、処理対象情報を加工しても、関連情報との関連はなくならない。そのため、関連情報が個人を識別し得るデータを含む場合、処理対象情報の送信を中止する。
また、各機器間の通信は、有線に限らず無線であっても良いし、有線と有線を組み合わせても良い。
【０１３３】
（８）また、別の例として、ネットワーク上において、ホームサーバ１００の近傍に存在する機器の有する情報を関連情報としても良い。
近傍にある機器とは、例えば、ホームサーバ１００との間の通信に要する時間が所定の閾値以下の位置に存在する機器が考えられる。
この場合、ＬＡＮケーブルには、インターネットとＬＡＮとを接続するルータが接続されていると想定する。ＬＡＮ通信部１０９は、予め、ホームサーバ１００の通信する機器（ＬＡＮ内外を問わない）のアドレスを保持している。検索部１０５がサーバ装置４００からの送信要求に該当する情報を検索する場合及び加工判断部１０６が、関連情報を検索する場合には、まず、記憶しているアドレスの示す機器との通信時間を計測する。計測方法は、一例として、ｐｉｎｇコマンドを送信して、応答信号を受信するまでの時間を計測する。
【０１３４】
計測された時間と所定の閾値とを比較し、通信時間が前記閾値以下の機器を特定する。検索部１０５及び加工判断部１０６は、特定された機器の所持する情報において、処理対象情報及び関連情報を検索する。
この場合も、検出された関連情報が個人を識別し得る場合は、処理対象情報の送信を中止する。
【０１３５】
また、通信時間を計測する代わりに、中継機器の個数を計数し、ホームサーバ１００との間の中継機器の数が所定の閾値以下の位置に存在する機器の有する情報を関連情報としても良い。
（９）実施の形態１では、ホームサーバ１００は、インターネット２０とＬＡＮ１０とに接続されており、ＬＡＮ内の機器の有する情報の中で、処理対象情報及び関連情報を検索するが、これに限るものではなく、インターネットを介して、通信可能な所定の機器の有する情報の中で検索しても良い。
【０１３６】
この場合、ホームサーバ１００は、予め検索対象となる機器のアドレスを登録しておく。このようにすることで、離れた場所に、同一人物又は家族など関連の深い人々の所持する機器が設置されている場合であっても、登録された機器（登録機器と呼ぶ）の情報をまとめて保護することができる。
（１０）さらに、上記の変形例（９）において、ホームサーバ１００を含め登録機器それぞれが、ホームサーバ１００と同様にサーバ装置４００から送信要求を受信し、要求された情報を加工、送信する機能を備えていても良い。
【０１３７】
この場合、何れか一つの機器に全ての機器の送信履歴を一括管理し、各機器は、履歴度数を算出する際に、自身が過去にサーバ装置に送った情報のみならず、他の登録機器がサーバ装置４００へ送った情報に関する送信度数も考慮して履歴度数を算出する。
（１１）ホームサーバ１００は、検索部１０５によって検出された処理対象情報に、保護ランク「Ａ」の保護対象データが含まれる場合、利用者に、個人を特定し得る情報、又は、個人を特定し得る情報と関連する情報の送信を要求されていることを告知するために、警告音、警告画面などをモニタ１５に出力してもよい。
【０１３８】
より具体的には、検索部１０５は、検出された処理対象情報に、保護ランク「Ａ」の保護対象データが含まれる旨を制御部１０７へ通知する。制御部１０７は、その通知を受け取ると、表示出力部１１３へ警告音の生成及び警告画面の生成を指示する。画面出力部１１３は、制御部１０７からの指示に基づき、警告音及び警告画面を生成し、モニタ１５へ出力する。
【０１３９】
なお、表示出力部１１３は、警告音、警告画面などをモニタ１５に出力するのではなく、送信部１０８を介して、自装置とＬＡＮ１０により接続されている他の機器に出力してもよいし、自装置と無線ＬＡＮにより接続されている可搬型の機器に出力してもよい。
さらに、ホームサーバ１００は、警告音、警告画面などで利用者に告知した後に、処理対象情報を、そのまま加工せずに送信するか、送信を中止するか、加工した後送信するかを、利用者に選択させるように構成してもよい。
【０１４０】
また、ホームサーバ１００は、保護ランク「Ａ」の保護対象データが、ネットワークに流出した場合に、利用者に、個人情報が流出したことを告知するために、警告音、警告画面などをモニタ１５に出力してもよい。
なお、ホームサーバ１００は、警告音、警告画面などをモニタ１５に出力するのではなく、自装置とＬＡＮ１０により接続されている他の機器に出力してもよいし、自装置と無線ＬＡＮにより接続されている可搬型の機器に出力してもよい。この場合、ホームサーバ１００は、その時点において、使用中である機器に対して優先的に警告音、警告画面などを出力するように構成してもよい。ここで、使用中であるか否かの判断方法の一例として、電源オンであり、且つ、利用者からの入力を受け付けている状態にある機器を、「使用中である機器」とみなすことができる。
【０１４１】
また、ホームサーバ１００は、警告音、警告画面などの出力に代えて、ネットワークを介した電子メール、電話網及び携帯電話網を介した電話機への発呼等により、個人情報が要求されている旨、及び個人情報が流出した旨を告知してもよい。
図１７は、上記で説明した警告画面等の具体例を示す図である。
（ａ）は、テレビ、ＰＣ等のモニタであって、モニタ上に赤色点滅５０１が表示されている。利用者は、モニタ上に表示された赤色点滅５０１により、個人情報が要求されている旨、及び個人情報が流出した旨を知ることができる。
【０１４２】
（ｂ）は、テレビ、ＰＣ等のモニタであって、モニタ上に危険度表示バー５０２が表示されている。危険度表示バー５０２は、危険度を複数段階で表示する。ここで、危険度は、要求されている個人情報、及び流出した個人情報の重要度を表すものとする。いま同図の危険度表示バー５０２は、危険度を４段階で表すことが可能であって、危険度が「１」である状態を表している。利用者は、モニタ上に表示された危険度表示バー５０２により、個人情報が要求されている旨、及び個人情報が流出した旨を知ることができ、更には、要求された個人情報、及び流出した個人情報の重要度についても知ることができる。
【０１４３】
（ｃ）は、ホームサーバ１００から利用者の携帯電話機へ、個人情報が流出した旨を通知する電子メールが送信された場合に、携帯電話機の画面に出力される受信メール画面５０３を表す図である。昨今は、携帯電話機を所持している人は多く、携帯電話機にこの様な警告メールが送信されると、利用者は、いち早く、個人情報が流出した旨を知ることができる。
【０１４４】
（１２）実施の形態１において、ホームサーバ１００が、管理する機器の一例として、ＬＡＮ１０で接続されているノートＰＣ３００を例にして説明してきたが、この他にも、携帯電話機、ＰＤＡ、カーナビゲーションシステム、ロボット、ビデオカメラ、ハードディスレコーダー、その他情報家電など、様々な機器が該当する。
また、図３の保護対象テーブル１２１に示すように、ホームサーバ１００が保護する情報として、氏名、住所、声、ＩＤ、会社名、視聴履歴などを一例として説明してきたが、そのほかにも、家計簿、ホームページのアクセス履歴、道路の通行履歴、家庭内の間取りや家具の配置図など、個人に関する様々な情報が考えられる。
【０１４５】
（１３）実施の形態１においては、関連情報に保護ランク「Ａ」の保護対象データが含まれている場合、その関連情報と処理対象情報とを関連付ける保護対象データの保護ランクを「Ｂ」から「Ａ」に変更し、加工の対象とした。
しかし、関連情報に保護ランクが「Ａ」の保護対象データが含まれていない場合であっても、処理対象情報と関連情報とが両方揃うと、特定の個人を識別し得る場合は、処理対象情報に含まれる保護対象データを加工の対象としても良い。
【０１４６】
例えば、処理対象情報に社員ＩＤが、含まれており、関連情報として、前記社員ＩＤとその社員ＩＤの発行元である会社名の含まれる報告書が検出されたとする。その会社において、その社員ＩＤと対応する人物は、１人に限定されるので、このような構成の処理対象情報と関連情報が揃うと、その社員ＩＤと対応する個人を特定し易くなる危険性がある。
【０１４７】
そこで、加工判断部１０６は、予め、保護ランク「Ｂ」同士の保護対象データであっても、両者が揃うことにより、特定の個人の識別が非常に容易になる情報の保護対象種別の組合せを記憶している。ここでは、保護対象種別「ＩＤ」と「会社名」の組合せを記憶している。保護対象テーブル１２１の示すように、保護対象種別「ＩＤ」及び「会社名」は、何れも保護ランク「Ｂ」と定義されている。
【０１４８】
加工判断部１０６は、処理対象情報に含まれる保護対象データ（識別番号Ｃｘとする）に関して、関連情報を検出し、検出した関連情報と対応する保護タグを読み出す。読み出した保護タグの示す保護対象種別に、保護ランク「Ｂ」のものしかない場合、識別子Ｃｘの保護対象データの保護対象種別と、保護タグの示す保護対象種別とが、記憶している組合せに一致する場合は、識別番号Ｃｘの示す保護対象データの保護ランクを「Ａ」に変更する。
【０１４９】
（１４）ホームサーバ１００及びノートＰＣ３００は、新たな情報を自身の情報記憶部に書き込む際に、その情報の内容を解析して保護対象データを検出し、検出した保護対象データを示す保護タグを生成しているが、これに限るものではない。
例えば、ホームサーバ１００以外の機器は、保護対象データを検出する機能を備えていなくても良い。
【０１５０】
また、ホームサーバ１００は、送信要求を受信した際に、加工判断部１０６が、処理対象情報に含まれる保護対象データを検出し、検出した保護対象データの属する保護対象種別を特定しても良い。
これらの場合、加工判断部１０６は、関連情報を検出した後、検出した関連情報を解析して、関連情報が保護ランク「Ａ」の保護対象データが含まれるか否かを判断する。
【０１５１】
（１５）上記実施の形態１における加工判断部１０６は、加工処理の一例として、処理対象情報が写真である場合には、保護対象データの写っている部分にモザイク処理を施す旨を記載しているが、本発明において、保護対象データの加工処理はこれに限定されず、その他の様々な加工処理を用いてもよい。
更には、保護対象データの全体に加工処理を施すのではなく、その一部分に加工処理を施す場合も、本発明に含まれる。
【０１５２】
具体例として、処理対象情報が写真であり、保護対象データが「顔」である場合、加工処理部１０６は、写真に写っている顔全体にモザイク処理を施すのではなく、目の部分だけにモザイク処理を施し、その他の部分にはモザイク処理を施さないように加工してもよい。個人を特定するために特に重要な目のみを加工することにより、写真から被写体を特定することを困難にしつつ、被写体の顔の表情を残すことができる。
【０１５３】
（１６）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレィユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭ又は前記ハードディスクユニットには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、各装置は、その機能を達成する。ここで、コンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
【０１５４】
（１７）上記の各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。
【０１５５】
また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（FieldProgrammable Gate Array）やＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。
更には、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適応などが可能性として有り得る。
【０１５６】
（１８）上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしてもよい。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしてもよい。
（１９）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。
【０１５７】
また、本発明は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ―ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ  Ｄｉｓｃ）、半導体メモリなど、に記録したものとしてもよい。また、これらの記録媒体に記録されている前記コンピュータプログラム又は前記デジタル信号であるとしてもよい。
【０１５８】
また、本発明は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
また、本発明は、マイクロプロセッサとメモリとを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしてもよい。
【０１５９】
また、前記プログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
（２０）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
【産業上の利用可能性】
【０１６０】
本発明は、個人情報を保持する機器及び個人情報を保持する機器にアクセス可能な機器を製造、販売する産業において、経営的、継続的、反復的に利用することができる。
【図面の簡単な説明】
【０１６１】
【図１】実施の形態１の個人情報管理システム１の構成を示す構成図である。
【図２】ホームサーバ１００及びノートＰＣ３００の機能的構成を示す機能ブロック図である。
【図３】管理情報記憶部１１１の記憶している情報の一例を示す。
【図４】情報記憶部１１０に記憶されている情報の一例を示す。
【図５】ユーザテーブル１４６及び視聴履歴表１５１の詳細を示す。
【図６】写真１５８の具体例を示す。
【図７】加工判断部１０６による判断及び加工の処理を示すフローチャートである。
【図８】加工判断部１０６による判断及び加工の処理を示すフローチャートである。図７から続く。
【図９】加工判断部１０６による判断及び加工の処理を示すフローチャートである。図７から続く。
【図１０】加工判断部１０６による判断及び加工の処理を示すフローチャートである。図７から続く。
【図１１】加工判断部１０６による判断及び加工の処理の途中において生成される対象度数テーブルの詳細を示す。
【図１２】情報記憶部３１０に記憶されている情報の一例を示す。
【図１３】ホームサーバ１００の動作を示すフローチャートである。
【図１４】テレビ番組の表示の処理を示すフローチャートである。
【図１５】情報の転送処理を示すフローチャートである。
【図１６】サーバ装置４００への情報送信の処理を示すフローチャートである。
【図１７】（ａ）、（ｂ）ホームサーバ１００から出力される警告画面の具体例を示す図である。（ｃ）ホームサーバ１００から送信される電子メールの具体例を示す図である。
【符号の説明】
【０１６２】
１    個人情報管理システム
１０    ＬＡＮ
１５    モニタ
２０    インターネット
１００    ホームサーバ
１０１    アンテナ
１０２    放送受信部
１０３    入出力部
１０４    要求受信部
１０５    検索部
１０６    加工判断部
１０７    制御部
１０８    送信部
１０９    ＬＡＮ通信部
１１０    情報記憶部
１１１    管理情報記憶部
１１２    入力部
１１３    表示出力部
１２１    保護対象テーブル
１３３    アクセス履歴テーブル
２０１    対象度数テーブル
３００    ノートＰＣ
４００    サーバ装置
【手続補正３】
【補正対象書類名】図面
【補正対象項目名】全図
【補正方法】変更
【補正の内容】
【図１】
2007122914.tif 000020
【図２】
2007122914.tif 000021
【図３】
2007122914.tif 000022
【図４】
2007122914.tif 000023
【図５】
2007122914.tif 000024
【図６】
2007122914.tif 000025
【図７】
2007122914.tif 000026
【図８】
2007122914.tif 000027
【図９】
2007122914.tif 000028
【図１０】
2007122914.tif 000029
【図１１】
2007122914.tif 000030
【図１２】
2007122914.tif 000031
【図１３】
2007122914.tif 000032
【図１４】
2007122914.tif 000033
【図１５】
2007122914.tif 000034
【図１６】
2007122914.tif 000035
【図１７】
2007122914.tif 000036
【国際調査報告】
2007122914.tif 000037
2007122914.tif 000038