JP2006311548A - 画像セットの完全性を保証する方法 - Google Patents

Abstract

【課題】ディジタルウォーターマーキングを使用して、複数の電子的文書からなる一セットのディジタル文書の完全性を保護するための方法を提供する。
【解決手段】本発明に係る方法は、複数の電子的文書からなる一セットの各ディジタル文書について、その文書から情報を抽出し、その情報をウォーターマークに組み込み、そのウォーターマークをセット中の少なくとも一つの別の文書に埋め込むことを含む。文書からの情報の抽出にはハッシュ関数を使用することができる。
【選択図】図１

Description

本発明は一般に、文書のウォーターマーキング（電子透かし技術）に関する。本例示実施形態は、一セットのディジタル文書をウォーターマーキングしてそのセットの完全性を後で判定することができるシステムに特に用途が見出されるものである。

ディジタルカメラ、ビデオレコーダ、スキャナ、およびその他のディジタルシステムは、画像やディジタルオーディオ記録形式のディジタルメディア、およびこれらのメディアの組み合わせを生成するのに現在広く使用されている。法律分野で、ディジタルシステムは法廷場面や事故などを文書化するのに採用されている。この方法に伴う一つの問題は、既存ツールによりディジタルメディアの内容を即座に変更でき、しばしばその変更がオリジナルなしでは人間の目に見えないことである。いったんディジタル画像がカメラまたはその他のディジタルシステムにより作成されると、それは本質的にバイナリビット文字列であるデータファイルになる。その他のタイプのコンピュータファイルのように、画像データファイルは、その出所を記述する補足的なメタデータに付加される。しかし、画像データとメタデータの両方は容易に変更される。データまたはデータに保存された画像を綿密に検証しても、変更検出は困難な場合がある。結果として、ディジタル画像は、法施行において、または特に裁判所での証拠用の法的文書として使用するのに十分信頼できるとは必ずしも考えられていない。

この問題に対する一つの解決策は、ディジタルウォーターマーキング（電子透かし）を使用することである。ディジタルウォーターマーキングは、メディアコンテンツを変更して機械が読み取り可能なコード（「ウォーターマーク」）をデータ内容に埋め込む処理である。埋め込まれたコードがユーザに感知不能であるかまたはほとんど感知不能であるようにデータは変更されるが、適切な計算により検出されることができる。ディジタルウォーターマーキングの様々なアルゴリズムが存在し、画像操作に対する堅牢性（ロバスト性）の点で異なる特性を有する。例えば、脆弱なウォーターマークがディジタル画像に埋め込まれることができる。このようなウォーターマーク画像を変更すると、ウォーターマークは破壊される。さらに堅牢なウォーターマークでは、回転またはサイズ変更などのある種の所定の変更が、ウォーターマークが破壊されずに行われることができる。ディジタルウォーターマーキングシステムは、二つの主なコンポーネント、すなわち、メディアコンテンツにウォーターマークを埋め込む埋め込みコンポーネントと、埋め込まれたウォーターマークを検出し読み込む読み込みコンポーネントとを有する。関連する画像をグループ化するには、一つの画像から導出された共通のウォーターマーク、一般にグループの初期画像または主なメンバ画像が使用されることがある。

ウォーターマーキング技術はしばしば、画像にハッシュ関数を適用することにより画像のハッシュ値、または単に「ハッシュ」を計算する。いったんハッシュが計算されると、ウォーターマークが秘密鍵とディジタル署名アルゴリズムを使用してハッシュから生成される。計算されたハッシュ値は、埋め込まれたウォーターマークを抽出し復号化（デコード）することにより公開鍵を使用してアクセスできる。ウォーターマーク画像が不正変更されたかどうか判定するには、オリジナルと同様の方法でウォーターマーク画像のハッシュ値を計算し、アクセスされたハッシュ値と比較することで十分である。ハッシュ値の差は、画像が変更されたことを示す。

ディジタルウォーターマーキングを使用して、複数の電子的文書（ドキュメント）からなる一セットのディジタル文書の完全性を保護するためのシステムおよび方法を提供する。セット中の文書は一般に、セット中のその他の文書から分離可能であり、また、それぞれの文書の形式も異なるものであってよい。

本発明の一態様の方法は、一セットの各ディジタル文書について、その文書から情報を抽出し、その情報をウォーターマークに組み込み、そのウォーターマークをセット中の少なくとも一つの別の文書に埋め込むことを含む。

情報抽出は、文書の少なくとも一部にハッシュ関数を適用しハッシュを生成することを含んでよい。ハッシュ関数は秘密鍵で暗号化され、秘密鍵は暗号化されたハッシュ関数を復号化するための公開鍵に関連付けられることができる。ハッシュ関数は、セット中の複数の文書に適用され、ハッシュを生成する。セット中の文書は、画像、テキスト、ビデオ、オーディオ、またはそれらの組み合わせであってよい。セット中の文書は、特定の事象に関連するか、または時系列シーケンスを形成していてもよい。セット中の文書はシーケンス（順序）を形成すると見なされ、最初と最後の文書はセット中の文書ごとにシーケンス内で隣接すると見なされ、埋め込まれたウォーターマークはシーケンス内で文書から等間隔に離隔された一つの文書から導出されてもよい。例えば、埋め込まれたウォーターマークは、セット中の各文書がセット中の前の文書とセット中の次の文書のうち少なくとも一つから導出されたウォーターマークが埋め込まれるリングを形成することができる。セット中の各文書は、セット中の少なくとも一つの別の文書から導出されたウォーターマークを含んでよい。ウォーターマークが埋め込まれると、セットの完全性はセット中の残りの文書のウォーターマークの検証により検出されることができる。

この方法はさらに、文書から情報を抽出し、その情報を画像識別子に組み込むことにより生成された画像識別子を各文書に埋め込むことを含んでよい。セット中の各文書のウォーターマークは、セット中の別の文書の画像識別子を含んでよい。画像識別子の埋め込みは、文書の取り込み（キャプチャ）時に行われることができる。

この方法はさらに、複数セットのうち一つのセット中の少なくとも一つの文書のウォーターマークを複数セットのうち別のセット中の少なくとも一つの文書に埋め込むことにより、複数セットの文書をリンクすることを含んでよい。この方法は、文書ごとに文書関連情報をウォーターマークとして文書に埋め込むことを含んでもよい。

文書に関連する埋め込み情報は、著作権情報、全地球測位システム（ＧＰＳ）位置、および文書が作成された日付のうち少なくとも一つを含むことができる。この方法はさらに、後で欠落または変更されたセット内の文書について、セット中の少なくとも一つの別の文書に埋め込まれたウォーターマークから欠落または変更された文書の情報を回復することを含んでもよい。

別の態様では、システムは、一セットのディジタル文書の各文書ごとに、文書中の情報からディジタルウォーターマークを導出する第一ウォーターマーキングコンポーネントと、セット中の別の文書にディジタルウォーターマークを埋め込む第二ウォーターマーキングコンポーネントとを含む。

第一ウォーターマーキングコンポーネントは、ディジタル文書取り込み（キャプチャ）装置の一部を形成していてよく、文書生成時に、文書から情報を抽出することができる。第一および第二ウォーターマーキングコンポーネントがともに、ディジタル文書取り込み装置の一部を形成してもよい。ディジタル文書取り込み装置は、カメラ、ビデオレコーダ、オーディオレコーダ、スキャナ、およびそれらの組み合わせからなるグループから選択されることができる。このシステムはさらに、セット中の残りの文書の埋め込みウォーターマークの検証により、セットが完全かどうかを判定する認証システムを含むことができる。

別の態様では、一セットのディジタル文書の完全性（integrity）を判定する方法は、一セットのディジタル文書をウォーターマーキングすることを含み、それはセット中の各ディジタル文書ごとに、文書から情報を抽出し、その情報をウォーターマークに組み込み、そのウォーターマークをセット中の少なくとも一つの別の文書に関連付けることを含む。この方法はさらに、複数のディジタル文書のうち少なくとも一つのディジタル文書の埋め込みウォーターマークから、情報が抽出された文書がセットから欠落しているか、文書が承認されずに変更されたか、文書がウォーターマークの埋め込み後にセットに追加されたかどうかのうちの少なくとも一つを判定することを含む。

ここに開示した本例示的実施形態は、ディジタルウォーターマーキング（電子透かし）を使用して一セットのディジタル文書の完全性を保護するためのシステムおよび方法に関する。セット中の文書は一般に、セット中のその他の文書から分離することができる。

本方法は、セットを形成する文書の各々からの情報を、セット中の少なくとも一つの別の文書に関連付けることを含む。一実施形態では、その情報はディジタルウォーターマーク形式でセット中の別の画像に埋め込まれる。各文書はその中に埋め込まれた少なくとも一つの別の文書からの情報を有することができる。ウォーターマークは、公開／秘密鍵システムを使用して暗号化される。ここではディジタル画像について特に言及するが、テキスト、ビデオ、オーディオ、およびこれらの組み合わせを含む、ディジタルメディアのその他の形式もまた、想定されることを理解されたい。

文書の完全性を保護するためのシステムは、第一ウォーターマークが導出される文書に対して一意（unique）の第一ウォーターマーク（文書導出ウォーターマーク）を生成する第一ウォーターマーキングコンポーネントと、例えば、少なくとも一つの別の文書から導出された第二ウォーターマーク（リンキングウォーターマーク）を埋め込むことにより、一つの文書をセット中の別の文書にリンクする第二ウォーターマーキングコンポーネントとを含むことができる。このシステムはまた、セットの完全性をその後検証する認証システムを含むことができる。

法律および法施行分野などの様々な状況では、個別のディジタル画像の法律上の信用性を保証することのみではなく、画像セットが完全であるという保証を提供することが望ましい。例えば、セットに追加されたり、変更されたり、またはセットから除去された画像がないことを保証することは有用なことである。これは、個別の画像をその前後関係・状況（コンテキスト）で考慮できることがしばしば重要だからであり、このコンテキストの一部はセットに属するその他の画像により表されうる。画像セットの完全性を保証する方法で画像セットをウォーターマーキングすることにより、画像の閲覧者は、画像を前後関係なしで閲覧することはないという保証を得ることができる。

各画像は、個別の画像識別子、セット識別子、およびセット全体が関連されるようにする、その他のセットメンバへのリンクでウォーターマーキングされることができる。この方法により、ユーザは以下の一つ以上を順次行うことができる。
１． セットに属する個別画像がいつ不正変更されたか検出する。
２． 所与の画像セットの完全性を、画像の欠落及び後から追加された画像がないかどうかという点について検証する。
３． 所与の画像に対して、同一セットからのその他の全ての画像を識別する。
４． 不正変更された画像のオリジナルコンテンツの少なくとも一部を回復する。
５． セットから欠落した画像のオリジナルコンテンツの少なくとも一部を回復する。

埋め込みの代わりに、別の画像の画像識別子から導出されたディジタル署名が、他の方法で、例えば、ファイルヘッダとして付加するなどして画像ファイルに関連付けられることができる。しかし、ウォーターマーキングを使用して検証関連情報を直接画像に埋め込む利点は、この情報が画像自体から分離できないことである。個別の画像を不正変更したり、ウォーターマーク情報を変更しようとする試みは全て検出可能となる。

一つの態様では、画像セットをウォーターマーキングする方法は、二段階で各画像をウォーターマーキングする。第一段階では、第一ウォーターマークが作成され（「画像識別子」）、これは各画像を一意に識別し、かつ個別に保護し、画像の不正変更を回避または明らかにする。第二段階では、第二ウォーターマークが作成され、これはセット画像をともにリンクする情報を含み、さらに画像セットを一意に識別する情報を含みうる。

図１は、文書のウォーターマーキングとその後のセット検証のための例示的処理を示す。ステップＳ１００、Ｓ１１０、Ｓ１１２で、画像１、２、…Ｎは、ウォーターマーキングシステムにより個別にまたはグループとして受信される。ここでＮは任意の数である。ステップＳ１１４、Ｓ１１６、Ｓ１１８で、情報が画像１、２、…Ｎから抽出される。ステップＳ１２０、Ｓ１２２、Ｓ１２４で、画像１、２、…Ｎからの抽出情報が任意選択的に（オプションとして）暗号化される。ステップＳ１２６、Ｓ１２８、Ｓ１３０で、画像１、２、…Ｎからの暗号化または未暗号化情報は、各画像の第一ウォーターマークとして任意選択的に埋め込まれる。ステップＳ１３２、Ｓ１３４、Ｓ１３６で、画像１、２、…Ｎからの暗号化または未暗号化情報は、その情報が得られた画像とは別の画像に第二ウォーターマークとして埋め込まれる。第二画像の第二ウォーターマークを作成するのに使用される第一画像からの情報は、第一画像に埋め込まれた第一ウォーターマークを作成するのに使用される第一画像からの情報と同一であっても異なっていてもよい。例えば、著作権情報またはＧＰＳおよび日付情報が、第一画像に第一ウォーターマークとして埋め込まれ、第一画像のサムネイルが第二画像に第二ウォーターマークとして埋め込まれてもよい。ステップＳ１１４〜Ｓ１３６の別法として、ステップＳ１４０で、情報はステップＳ１４２で任意選択的に暗号化された画像１、２、…Ｎのセットから抽出され、ステップＳ１４４でセット中のどの画像にも埋め込まれてよい。ステップＳ１４６で、ウォーターマーキングされた画像セットが分配される。

第一段階（ステップＳ１１４〜Ｓ１２４）で作成されたウォーターマークは、画像または補足情報（例えば、著作権情報、ＧＰＳ位置、および／または日付）から抽出された情報から導出される。抽出された情報により、画像の全部または一部がウォーターマークから再構築されることができる。抽出された情報は、圧縮画像または「サムネイル」、またはこれらの無作為抽出形式であってよい。抽出された情報は、画像全体または重要機能に対応する選択された部分からのものであってよい。例えば、画像は著作権情報または車両のナンバープレートを含み、抽出された情報は著作権登録または登録番号が再構築される十分な情報を含むものであってもよい。埋め込まれる特定の特徴または重要な特徴の選択は主観的な決定であり、人間による入力を必要としうるが、あまり特殊でない選択は自動的に行われてもよい。従って、抽出された情報により、画像内容（ハッシュ値）または補足情報（著作権情報、ＧＰＳ、日付）の一部がウォーターマークから再構築される。

画像変更の検出手段として効果的に機能するために、画像識別子は不正変更耐性ウォーターマークであってよく、これは画像に埋め込まれ、変更が検出されずに、または画像を視覚的に損傷させずにウォーターマークを変更することが不可能であるか、または少なくとも困難であるものである。

情報はハッシュ関数を使用して抽出される（ステップＳ１１４、Ｓ１１６、Ｓ１１８）。ハッシュ関数は、大領域から小範囲の値をマッピングする数学的関数であり、従って圧縮コンポーネント機能を有している。生成されたハッシュは、サイズが十分小さく、知覚的に画像を変更せずに画像に埋め込まれることができる。ハッシュ関数にアクセスせずにハッシュ値から画像をリバースエンジニアリングすることは、ほとんど不可能である。一意に暗号化されたディジタルウォーターマークは、秘密鍵を使用してハッシュ関数の出力を暗号化することにより生成されることができる（ステップＳ１２０、Ｓ１２２、Ｓ１２４）。様々な鍵が、第一および第二ウォーターマークを暗号化するのに使用されうる。あるいは、一つまたは両方のウォーターマークは暗号化されなくてもよい。

一般に、本用途に使用されたハッシュの種類は、「ソフトハッシュ」であり、すなわち、容認できる変更を可能にするが、画像内容が変更された場合、異なるハッシュ値を提供する。例えば、ＪＰＥＧ圧縮は、オリジナル画像の１ビット以上を変更するが、一般にこのような変更は攻撃として検出されないことが望ましい。さらに、ウォーターマーク画像は、オリジナルと同一のハッシュを持たなくてはならず、「ハードハッシュ」を使用するケースではない。従って、ここで使用されるハッシュは一般に、「ハードハッシュ」ではなくて、「ソフトハッシュ」である。

内容変更がされておらず、欠落部分／画像情報を回復する必要がないことを確かめようとする場合、さらにもっと画像（例えば、色ヒストグラムまたはハッシュ値としてのその他の画像署名）は「圧縮」されうる。この利点は、より少ない情報がウォーターマークに埋め込まれる場合、より堅牢に検出かつ抽出されるということである。その情報はウォーターマーク画像のハッシュと比較され、画像の不正変更が即座に検出できる。

ある情報／内容を回復しようとする場合、その情報はウォーターマークのハッシュとして埋め込まれ、最終的に秘密鍵または公開鍵で暗号化される（この機能の使用は、抽出後視覚化したいのかどうかによる）。

公開鍵による暗号化は、二つの異なる鍵、すなわち、ウォーターマークの作成者により保持される秘密鍵と、秘密にする必要がない対応する公開鍵とを使用する。公開鍵暗号技術により、画像受信者は、ウォーターマークを暗号化する作成者により使用されるものと異なるが、数学的にこれに関連する公開鍵を使用してウォーターマークを復号化することができる。公開鍵は秘密鍵に基づいて生成され、このペアは互いに一意であるようにされる。

暗号化処理において、ウォーターマーク画像は変更されないままであり、画像ハッシュのみが秘密鍵での暗号化により変更される。このように、ウォーターマーク画像ファイルは誰でも閲覧でき、各受信者は公開鍵を使用して画像の一意のウォーターマークを復号化することにより、画像と画像セットを認証することができる。復号化されたウォーターマークのハッシュと、検証対象画像の同一数学関数により作成されたハッシュが一致した場合、画像の完全性が保証される。本例示的実施形態では、ハッシュ関数は、秘密鍵を使用する適切な暗号化を任意選択的（オプション）に用いて、第一ウォーターマークを兼ねる画像識別子を計算するのに使用される。

図２に示すように、一セットのディジタル画像の信頼性の保護と検証のシステムは、ディジタルカメラ１０またはオーディオレコーダやビデオレコーダ、スキャナなどのその他のディジタル文書取り込み装置を含む。ディジタル文書取り込み装置１０は、メモリカードなどの画像記憶媒体１２を含み、ウォーターマーキングシステム１４を備える。ウォーターマーキングシステムは、画像ファイルまたはその一部のハッシュ値を計算し、例えば、取り込み時、ハッシュ値を画像に埋め込むコードを含む、第一ウォーターマーキングコンポーネント１６を含む（ステップＳ１１４、Ｓ１１６、Ｓ１１８、Ｓ１２６、Ｓ１２８、Ｓ１３０）。ウォーターマーキングシステムは、カメラ専用秘密鍵を使用して、場合によってはその他の画像関連カメラデータ（例えば、焦点距離、日付、時間など）とともに、このハッシュ値を暗号化する暗号化コンポーネント２０を含みうる（ステップＳ１２０、Ｓ１２２、Ｓ１２４）。ディジタル装置１０は、ウォーターマーキングシステムの入力機能、例えば、「ウォーターマーク設定」機能にリンクされるユーザ入力２２を含み、これによりユーザはいつセットをウォーターマーキングするか決定できる。ユーザ入力に応じて、第二ウォーターマーキングコンポーネントは、第二ウォーターマークを適用することにより文書のセットをウォーターマーキングする。

ユーザの秘密鍵に対応する公開鍵で、画像内容は認証システム３０によりその後認証されうる（ステップＳ１４８、Ｓ１５０、Ｓ１５２、Ｓ１５４）。公開鍵は、画像を生成するのに使用されるカメラのシリアルナンバーか、秘密鍵として同一認証局から得られるものであってよい。一実施形態では、公開鍵は画像の境界線に配置され、復号化技術なしに判定されることができる。

図２では、画像生成装置１０は、両方のウォーターマーキングコンポーネント１６、１８を含む。あるいは、第一および／または第二ウォーターマーキングコンポーネントはカメラから遠隔地に配置され、画像記憶媒体１２からデータをアップロードするための有線リンクや無線リンクなどのリンクにより選択的に接続されてもよい。第一および／または第二ウォーターマーキングコンポーネントは、例えば、ウォーターマーキング処理の全部または一部を行うパーソナルコンピュータなどの別の画像処理装置に位置していてもよい。ディジタル文書取り込み装置１０は、第一ウォーターマークを提供しそれを文書に埋め込む第一ウォーターマーキングコンポーネントを含むことができる。画像は画像処理装置のメモリにロードされ、コンピュータの別個の第二ウォーターマーキングコンポーネントが第二ウォーターマークを作成するか又は埋め込む。ウォーターマーキングコンポーネントは、ウォーターマーキングステップ（工程）を行い、関連メモリにウォーターマーク画像を保存するための適切なソフトウェアを備えることができる。

画像、ビデオ、文書画像、識別カード、およびオーディオファイルのためのいくつかのウォーターマーキング技術が利用可能である。

オーディオデータファイルのハッシングは同様に行われることができる。

堅牢（ロバスト）なウォーターマークを達成するためには、容認可能として定義される変換に耐性のある特徴が文書から抽出される。特徴抽出ステップでは、ある一つの動作ステップで、「容認可能な」変更とは何か、及びどのような入力が「知覚的に等しい」と見なされるかを定義する。この態様は、許容できる変形の種類とレベルの両方を考慮するものであり、対象とされる用途に依存しうる。許容できる変形は、圧縮、画像強調、ノイズ付加、グレースケール変換、スケーリング（拡大縮小）、およびこれらの組み合わせなどの信号処理変化を含みうる。選択される特徴は、許容できる変形に対してロバストかつ不変でなくてはならない。このような特徴は、エッジ（画像の縁部）、色／グレースケールヒストグラム、または離散コサイン変換（ＤＣＴ）係数または離散ウェーブレット変換（ＤＷＴ）係数であってよい。低周波数情報または高周波数情報のいずれかを選択できる。低周波数情報（位置、面）は主に画像内容を保護し、高周波数情報は主にエッジ（例えば、車のナンバープレートを示す）を保護する。低周波数の場合、拡大縮小レベルにより、埋め込まれる画像署名に必要な詳細のレベルとサイズ間で許容できる変形を選択できる。

適切な埋め込みアルゴリズムは、ハッシュ関数またはその他の適切な処理により導出されたウォーターマークを埋め込むのに使用される。

画像の取り込み時、画像識別子を画像に埋め込むことにより、可能な限り迅速な画像内容の保護が可能になる。あるいは、画像識別子は後の段階で、画像をセットにグループ化する前に作成されてもよい。画像識別子に加えて、第一ウォーターマークはまた、さらなる情報、例えば、画像が撮影された状況（コンテキスト）についての情報（撮影者、カメラ、時間、日付など）を含んでもよい。第一ウォーターマークは、その画像についての情報が得られる第二ウォーターマークにより提供された情報に、補足情報を提供するのに使用される。従って、ハッシュ値の代替として、所与の画像から抽出されたウォーターマーク情報（例えば、著作権情報）を、その画像の第一ウォーターマークまたは別の画像の第二ウォーターマークのいずれかとして単に埋め込むこともできる。

第二段階では、一般にいったんどの画像がセットを形成するかが決定されると、例えば、セットを形成する画像のすべてが作成および／または収集された後、第二ウォーターマークが画像に埋め込まれる（ステップＳ１３２、Ｓ１３４、Ｓ１３６）。後の段階でのセットからの画像の除去、または新しい画像のセットへの追加は、セット中の文書の第二ウォーターマークにより検出可能である。これにより、セットが完全かどうかという検証が可能になる（ステップＳ１５２）。セットリンクデータの他に、第二ウォーターマークはまた、さらなる情報、例えば、画像セットの目的、各画像の目的、またはリンク画像間の関係（例えば、時間と間隔において、または特定の事象に対して）についてのセット識別情報を含むこともできる。第二ウォーターマークは一般に、画像がグループ化される際、画像に埋め込まれる。第一ウォーターマークと第二ウォーターマークについて言及したが、第一および第二ウォーターマークは、単一のウォーターマークとして結合されるか、または第一ウォーターマークが省略されてもよいことが理解されよう。

第二ウォーターマークは、セットをともにリンクする情報を提供する。画像セットの閲覧者がセットの画像をリンクできるこの情報は、いくつかの方法で提供されることができる。選択される情報は、セキュリティ、脆弱性、および画質などの必要条件に依存する。一実施形態では、画像識別子などの一つの画像からの情報は、別の画像の第二ウォーターマークに組み込まれる。

図３は、一セットのＮ個の文書中の各画像、画像１、画像２、…画像Ｎが第一ウォーターマーク４０を持ち、これは第一段階（ステップＳ１２６、Ｓ１２８、Ｓ１３０）で埋め込まれたその画像自身の画像識別子に対応する。この第一ウォーターマーク４０は、各画像内で大きな数字１、２、３、…Ｎにより表される。セット中の別の画像からの情報を含む第二ウォーターマーク４２が、第二段階で付加される（ステップＳ１３２、Ｓ１３４、Ｓ１３６）。この第二ウォーターマーク４２は、各画像内の小さい識別子Ｓ／１、Ｓ／２、…Ｓ／Ｎにより表される。第二ウォーターマークに示された数字１、２、…Ｎは、第二ウォーターマークが導出されたオリジナル（元の）画像を識別する。一例として、各画像は、どの画像も別の画像の画像識別子を含む第二ウォーターマークを含むように、第二ウォーターマーク４２は、セット中の別の画像の画像識別子を備える。回復処理を簡単にするため、この別の画像はセット内のその画像の次または前（例えば、画像取得の時系列、論理的シーケンス、またはその他の選択されたシーケンスの点で）の画像とされるが、それはまた、一つおいて次の画像、または二つおいて次の画像など、その画像からシーケンスにおいて任意所定数の画像だけ等間隔に離隔された画像であってもよい。このような目的のため、セット中の最初と最後の文書は、シーケンス内で互いに隣接していると見なされる（すなわち、どの文書も画像Ｄ＋Ｘの識別子を含み、ここでＸは整数である）。図３では、例えば、次の文書からの画像識別子が第二ウォーターマークで使用される。セット中の各文書が第二ウォーターマークにより形成されたリンキング経路（パス）に従って別の文書から到達できるその他のリンキングシステムもまた、想定できる。

第二ウォーターマーク４２はまた、それが導出された画像を識別する情報、例えば、図３の画像１の場合の“画像２”の参照（リファレンス）を含むことができる。

第二ウォーターマーク４２はまた、ユーザまたは認証システムがどのセットから画像が導出されたかを迅速に判定できる情報、すなわち、セット識別子４３を含んでよい。図３で、セット識別子４３は、第二ウォーターマーク４２内でＳにより表される。セット識別子は、第一文書などのセット中の一つの文書の画像識別子、および、いつセットが作成されたか、その内容、セット中の文書数、どのように画像が第二ウォーターマークによりリンクされるかなどの、セットについての情報を提供する特殊に作成された識別子のうちの少なくとも一つである。従って、例えば、画像１は、大きな数字１により表された第一ウォーターマーク４０と、Ｓ／２からなる第二ウォーターマーク４２（すなわち、セット識別子Ｓと画像２の画像識別子）とを含む。各画像は、隣接する次の（または前の）画像を参照することにより他の画像にリンクされ、セット中の最後の画像のウォーターマークは最初の画像のウォーターマークを参照する（逆もまた同じである）。ウォーターマーク参照は、このように画像セットにリングを構築する。

この第一のシステムでは、第二ウォーターマーク４２は画像ごとに異なる。他の画像のウォーターマークの検証により、除去または追加が検出されずに、画像を除去または追加することができない。

ビデオファイルやオーディオファイルなどの大きい文書ファイルに対して、埋め込まれる情報のサイズでは、ウォーターマークが画像の大きな部分を占めずに、イメージファイルなどの小さいファイル内の単一ウォーターマークに所要情報のすべてを埋め込むことは困難である。このような場合、大きい文書ファイルからの情報は、その他のいくつかの文書に分配されることができる。さらに、第一ウォーターマークは省略されでもよい。

図３で示された第一ウォーターマーキングシステムに類似した第二のウォーターマークシステムでは、第二ウォーターマーク４２は、画像ごとに、セット内の次の画像と前の画像の識別子を含む。各画像は、次の画像と前の画像を参照する。ウォーターマーク参照は、次いで画像セットに二重にリンクされたグラフ構造を構築する。一実施形態では、グラフ構造は、例えば、特殊な分解関係、すなわち、階層を示すのに使用される。再び、第二ウォーターマークは画像ごとに異なる。例えば、分解関係は建物、建物内のオフィス、オフィスに位置する物体などでありうる。「オフィス」画像は、例えば、オフィス内の物体画像の一つまたは全部からの情報と、また任意選択的に、オフィスが関係する「建物」画像からの情報とを含む第二ウォーターマークを含んでいてよい。

第三のシステムでは、第二ウォーターマーク４２は、セットに属する画像セットで計算されたハッシュ値を含む（図１のステップＳ１４０、Ｓ１４２、Ｓ１４４参照のこと）。第一ウォーターマーク４０は、上記した方法で作成される（ステップＳ１１４〜Ｓ１３６）か、又は省略されてもよい。本実施形態では、第二ウォーターマーク４２は、セットに属する画像ごとに同一である。文書がセットから欠落すると、このことは残りの文書の結合ハッシュ値を計算し、この結合ハッシュ値と残りの文書のいずれかの第二ウォーターマークのハッシュ値と比較することにより確認されうる。同様に、文書がセットに追加されると、文書の結合ハッシュは、その他の文書のいずれかの第二ウォーターマークのハッシュと一致しないであろう。

第四のシステムでは、第二ウォーターマーク４２は、セットのあらゆる画像の画像識別子を含む。ここでは、第二ウォーターマークは、セットに属する画像ごとに同一である。第一ウォーターマークは不要である。

ウォーターマークの作成者の公開鍵を使用して、別のユーザは画像セットに含まれた情報を読み込むことができる（ステップＳ１４８）。各画像が個別に完全性を保証するウォーターマーク（第一ウォーターマーク４０）を有すること、または対応する第二ウォーターマークを参照することにより、ユーザは変更された画像がないことを確認することができる（ステップＳ１５０）。変更された場合、抽出されたハッシュは別の画像のハッシュに一致しないため、画像の第二ウォーターマークは、それが抽出された画像の完全性を保証するのに使用できる。同一秘密鍵を使用して、画像のすべてがともにウォーターマークされることにより、ユーザはまた、追加された画像がないことを確認できる（ステップＳ１５２）。一実施形態では、ウォーターマーキングシステム１４は、画像セットの作成者でさえも後の段階でオリジナル（元）のウォーターマークを変更できないことを保証する。これは、いったんウォーターマークが埋め込まれると、いかなる手段でもそれを変更することはできないことを保証する既存のウォーターマーキング技術で実現可能である。ユーザはまた、除去された画像がないことを確認することができる。すなわち、各画像に埋め込まれた第二ウォーターマークにより、ユーザはセットの完全性を確認できる（ステップＳ１５２）。例えば、リング構造が使用される場合、第二ウォーターマークを使用してその他の文書へのリンクをたどることにより、リングが閉じられていないかどうかによって完全性が容易に分かる。あるいは、セットに属する画像のハッシュ値が使用される場合、ユーザは提供された画像のハッシュ値が対応するかどうかにより確認できる。確認処理時、ハッシュ関数は再び個別文書に適用され、得られた署名値は埋め込まれたウォーターマークから抽出された署名値と比較される（ステップＳ１５０）。例えば、完全性を証明するには、画像１から抽出されたウォーターマークは、文書２（など）から計算された署名と一致しなくてはならない。ユーザはセット識別子を使用して同一セットのその他の画像を識別することができる。複数の文書が除去および／または交換された場合、受信者にとって追加／除去のすべてを識別することは不可能であるが、ほとんどの目的において、セットの完全性が損なわれたか否かを判定することで十分である。受信者はまた、対応する第二ウォーターマークを使用して、それが埋め込まれた文書がすべてセットから欠落していないことを条件に、除去または変更された画像のオリジナルコンテンツ（ハッシュ値、例えば、サムネイル）の少なくとも一部を回復することもできる。

図４は、異なる種類のディジタル文書のセットの保護を示す図３に類似したウォーターマーキングシステムを示す。例えば、文書テキスト画像４４（文書１）、自然風景画像４６（画像２）、およびビデオシーケンス４８（ビデオＮ）が一セットに結合されている。第一段階（ステップＳ１１４、Ｓ１１６、Ｓ１１８）では、様々なハッシュ関数が、これらの異なる文書及びデータタイプに対して適切な署名値を計算する。本実施形態では、第一ウォーターマークは作成されない。適切なウォーターマーキング方法（ビデオ、文書テキスト画像、自然風景画像など）が適用され、リンキングウォーターマーク４２として次の文書に毎回これらのハッシュ値を埋め込み、リング構造を作成する（ステップＳ１３２、Ｓ１３４、Ｓ１３６）。ビデオ４８は大量の情報を含んでいるため、ビデオの異なる部分に基づいて、二つ以上のハッシュＮ₁、Ｎ₂がビデオ用に作成され、第一ハッシュＮ₁はリンキングウォーターマーク４２として文書１に組み込まれ、第二ハッシュＮ₂はリンキングウォーターマーク４２として画像２に組み込まれる。この場合、画像２は、二つのリンキングウォーターマーク４２を含む。チェック処理時、ハッシュ関数は再び個別の文書に適用され、得られた署名値は埋め込まれたリンキングウォーターマーク４２から抽出された署名値と比較される。完全性を証明するには、例えば、画像２から抽出されたリンキングウォーターマーク４２は、文書１（など）について計算された署名と一致しなくてはならない。

ここに記述されたウォーターマーキング方法はまた、階層セット構造を保護するのに繰り返して使用されることができ、セットは図５に示すように、順に高レベルセットにグループ化されることができる。各高レベルのセットグループ化ステップにおいては、各低レベルセットのメンバから一つの画像を高レベルグループでウォーターマーキングするだけで十分とすることができ、逆もまた同じである。最低レベル６０で、すべてのメンバ画像は、対応するセットウォーターマーク４３によりリンクされ、高レベル６２、６４で、セットは一つの低レベルセットメンバ画像により毎回リンクされることができる。このことは、セット階層の完全性を検証し、欠落した画像がない限り、セット階層を再構築するのに十分である。

いったんセットが保護されると、セットの不正変更が検出されるという保証とともに、裁判所職員や相手側弁護人を含むその他のユーザ、情報処理サービスなどにそのセットが分配されることができる。

画像ファイルの認証時、認証システム３０（図２）は、チェックハッシュを生成する検証対象の画像ファイルをハッシングするためのハッシュ化コンポーネント７０と、公開鍵を使用して真の画像ファイルからディジタルカメラシステム１０により生成された真のハッシュを表す第一ウォーターマーク４０を復号化するための復号化コンポーネント７２とを含む。認証システムはさらに、チェックハッシュを真のハッシュと比較し一致するかどうかをチェックするための比較コンポーネント７４を含む。二つのハッシュが一致した場合、画像ファイルは信頼できること、すなわち、その画像ファイルは変更されていないことが確かである。認証システムはまた、セットが完全であることを判定するセット認証コンポーネント７６を含むことができる。例えば、セット認証コンポーネントは、セット中の各画像がセット中の第二ウォーターマークのチェックハッシュに対応する真のハッシュを有することを判定する。セット認証コンポーネント７６は、セット中のどの画像に第二ウォーターマークが対応するかを判定するために第二ウォーターマークの情報を使用することができる。例えば、画像１のウォーターマーク４２は、情報が作成された画像ファイルがセットの画像２であることを示す情報を含む。

認証されている個別画像が変更された場合、チェックハッシュと真のハッシュは密接に一致しなくなり、完全性出力コンポーネント７８から画像信頼性出力信号により画像の信頼性は確固たるものではないとして示される。そうでなければ、認証システムは画像信頼性出力信号により画像の信頼性を示す。セットの完全性が損なわれた場合、セット完全性出力信号により完全性の欠如が示される。そうでなければ、認証システムの完全性出力コンポーネント７８は、セット完全性出力信号によりセットの完全性を示す。

以下のシナリオは本技術の一使用法を例示する。この例では、保険金請求調査員は自動車事故を調査している。この調査員は、認証局から秘密鍵と公開鍵を得ている。調査者はディジタルカメラまたは電話カメラを事故現場に持って行き、この現場の写真を何枚か撮影する。撮影し終えると、カメラの「ウォーターマーク設定」機能を選択し、画像セットを作成する。これにより、保険金請求調査員の秘密鍵を使用するセットウォーターマーキング処理をトリガされる。これ以降、画像セットは安全に保護され不正変更できない。認証局から利用可能な保険金請求調査員の公開鍵を使用して、別のユーザは、画像セットがこの特定の調査員により作成されて、関連写真のすべてがオリジナルコンテンツとともにあることをチェックできる。

図６は、同一事象、この場合、乗客のうち一人がケガをした自動車事故に関連する複数セットの文書がウォーターマーキングされる同様のシナリオを示す。文書の第一セット１３０は、事故直後収集された文書を含む。このセットは、異なるディジタルメディアを含む文書、すなわち、警察報告１３２、事故現場で警察が撮影した写真画像１３４、事故に遭った二人の運転手による事故の聴取結果からなるテキスト報告１３６、および事故の目撃者によるビデオ１３８を含む。文書の第二セット１４０は、保険支払査定人により撮影された写真画像１４２と、事象に続いて生成された、修理センターからの請求書からなるテキスト文書１４４とを含む。第三セット１５０は、再び別個に集められたケガ人に関する文書を含む。第三セットは、放射線画像１５２と、放射線専門医の報告１５４とを含む。これらの関連セットのすべては、順次かつ個別に作成され、複数セット１３０、１４０、１５０を備える階層１６０にともにリンクされることができる。

図７と図８は、ここに示されたものとはまた異なる実施形態の一例を示す。図７は、画像コレクション７０２の完全性が保存されるようにウォーターマーキングされる四つの画像Ｉ₁、Ｉ₂、Ｉ₃、およびＩ₄のシーケンスを示す。図８は、シーケンスＩ₁〜Ｉ₄の次の画像Ｉ₃のサムネイルＴ₃と、シーケンスＩ₁〜Ｉ₄の前の画像Ｉ₁のサムネイルＴ₁を使用して、画像コレクション７０２の画像Ｉ₂のウォーターマークを暗号化し復号化する方法を示す。シーケンスＩ₁〜Ｉ₄のその他の画像は、ウォーターマークで同様に暗号化かつ復号化されることができる。

図８の図示例では、ウォーターマーキング符号器（エンコーダ）８０２は、第一暗号／復号鍵Ｋ₁を使用して、画像Ｉ₂内のサムネイルＴ₃を暗号化し、ウォーターマーク画像Ｉ’₂を生成する。次に、図８では、ウォーターマーキング符号器８０２は、第二暗号／復号鍵Ｋ₂を使用して、ウォーターマーク画像Ｉ’₂内のサムネイルＴ₁を暗号化し、ウォーターマーク画像Ｉ”₂を生成する。

生成されたウォーターマーク画像Ｉ”₂は、同様にウォーターマーキングされたシーケンス７０２のその他の画像とともに分配される。コレクション７０２の完全性は、画像群の一つ以上のウォーターマークを抽出することにより検証されることができる。ウォーターマークを復号化する際、ウォーターマーク復号器（デコーダ）８０４は、暗号／復号鍵Ｋ₁を使用して、ウォーターマーク画像Ｉ”₂からシーケンスＩ₁〜Ｉ₄の次の画像Ｉ₃のサムネイルＴ₃を復号化する。同様に、ウォーターマーク復号器８０４は、暗号／復号鍵Ｋ₂を使用して、ウォーターマーク画像Ｉ”₂からシーケンスＩ₁〜Ｉ₄の前の画像Ｉ₁のサムネイルＴ₁を復号化する。

この例では、画像のシーケンスは、たった一つのウォーターマーク（例えば、前の画像または次の画像の識別情報かサムネイル）を、シーケンスＩ₁〜Ｉ₄の画像に付加することにより判定され、コレクション７０２を識別でき（例えば、第一ウォーターマーク画像Ｉ’₂のみを使用して）、二重チェーンとは反対に単一チェーンが提供されることが理解される。さらに、図８に示される例で、ウォーターマーク復号器８０４は、サムネイルＴ₃を復号化する際、ウォーターマーク画像Ｉ”₂に導入されたノイズの影響を受けるべきでない。従って、ウォーターマーク復号器のノイズの影響の受け易さにより、二つ以上のウォーターマークがオリジナル画像に付加されうる。

また、チェーンの順序が保存されうることが理解される。さらに、図８の例では、サムネイルＴ₁またはＴ₃のうちの一つでウォーターマーキングされる代わりか、またはそれに付け加えて、生成されたウォーターマークされた画像Ｉ’₂またはＩ”₂は、オリジナル画像Ｉ₁の識別情報（例えば、著作権情報、文書が作成された日付、文書が作成された位置、または日付、署名、量などの変更の影響を受け易い画像の感知情報）でウォーターマーキングされることが理解される。また、この例では、一つの符号器８０２／復号器／８０４のペアと二つの暗号Ｋ₁／復号鍵Ｋ₂を使用する代わりに、単一暗号／復号鍵が二つの異なるウォーターマーキング符号器／復号器で使用できることが理解される。

一セットのディジタル画像の信頼性の保護と検証のための例示的方法のフロー図である。 一セットのディジタル画像の信頼性の保護と検証のためのシステムの概略図である。 一例示的実施形態による一セットのディジタル画像の個別ウォーターマーキングとセットウォーターマーキングの概略図である。 第二の例示的実施形態による様々なディジタルメディアを備える一セットのディジタル文書のセットウォーターマーキングの概略図である。 第三の例示的実施形態による文書セットの階層に対するディジタルウォーターマーキングの概略図である。 第四の例示的実施形態による事象に関する文書のウォーターマーキングの概略図である。 第五の例示的実施形態による一セットの文書のウォーターマーキングの概略図である。 第五の例示的実施形態による一セットの文書のウォーターマーキングの概略図である。

Claims (3)

1. 一セットのディジタル文書の各ディジタル文書について、
   前記文書から情報を抽出し、
   前記情報をウォーターマークに組み込み、
   前記ウォーターマークを前記セット中の少なくとも一つの別の文書に埋め込むこと
   を含む方法。
2. 前記文書からの情報抽出は、前記文書の少なくとも一部にハッシュ関数を適用しハッシュを形成することを含む、請求項１記載の方法。
3. 前記セット中の各文書は、前記セット中の少なくとも一つの異なる別の文書から導出されたウォーターマークを含む、請求項１記載の方法。

Images