JP2017046193A - プライバシ保護を可能とするカメラシステム - Google Patents

Abstract

【課題】市街地などに高密度に設置された多数のカメラからを含むカメラシステムにおいて、カメラで撮影された画像が、不正に利用されることを防止できるカメラシステムを提供する。【解決手段】カメラシステムは，カメラで撮影された画像データを保存し、画像データを前記カメラから入手する、または、利用するには、許可コードが必要であるカメラシステムであり、許可コードは許可コード発行条件に基づき記録サーバから発行される。記録サーバは、許可コードの発行の要請の受付から、許可コード発行までの過程における、カメラ、画像データ、閲覧者、許可コードなどの項目のうちいずれか１つ以上の項目に関する情報を記録する。【選択図】図１

Description

本発明は、カメラが撮影した画像データについて、その閲覧等の利用の履歴を確実に保存することによって、プライバシを保護した運用が可能であるカメラシステム、および、カメラシステムの構成方法に関するものである。画像データとしては、静止画像データ、動画像データがある。画像データには、Exif情報、所有者の所属・氏名、運用者の所属・氏名、運用形態に関する情報、など、その他の情報が組み込まれることがある。例えば、カメラにマイクやＧＰＳ受信機などが付属している場合などにおいては、画像データに、音声データ、位置データ、及び／または、その他の情報、などが組み込まれることがある。カメラとしては、防犯、監視を目的として、防犯カメラ、監視カメラとして、屋外、屋内に設置されるカメラを想定する。画像データの利用としては、単純な視聴の他、画像データに付加された位置データなどを利用した解析、画像処理による特徴抽出などがある。

IT技術の進歩により監視カメラが広く設置されつつある。また、記憶容量やカメラの高精度化により、繊細な画像や音声を撮影及び録音可能な監視カメラの設置も進んできた。また、監視カメラの映像が犯罪捜査に非常に役立つなど、現在の社会には必要な社会インフラになりつつある。また、特に、車載型カメラを監視カメラとして社会の安全・安心に役立てようという場合には、撮影された時間に関する情報に加え、位置に関する情報が重要となる。位置情報は、ＧＰＳ受信機等の付加により取得できる。

家だけではなく公園や道路など様々な場所に監視カメラが設置される状況では、犯罪などとは全く無関係な人々の映像や音声を撮影または録音することになる。定常的に公の場の状況を撮影している。このような定常的な撮影や録音は、多くの人たちの映像や音声を撮影及び録音し、プライバシの侵害になる。また、監視カメラが、Wifiやブルートゥースなどの無線通信機能により、被写体の持つ携帯電話等と通信をする場合には、当該監視カメラは、被写体に対するより多くの情報を得ることに繋がり、プライバシの侵害に繋がる可能性が増大する。

プライバシの侵害が懸念されるが、街を安全にするために監視カメラはますます様々な場所に設置される動きがあり、今後も監視カメラの設置は増え続けると予想される。実際、ごく最近（２０１４年）になり、児童の安全を守るために、東京都、群馬県太田市、群馬県高崎市などの自治体が、小学校の通学路に監視カメラを設置する計画を進めている。ただし、東京都の計画（都内の公立小学校全1300校の通学路に監視カメラをつける計画。1300校に対して合計6500台。）でも、一校あたり僅か5台という超低密度な設置に留まる。近い将来、行政の責任において、通学路を監視カメラネットワークで密に見守るということが現実化すると予想される。その際には、利便性向上、低コスト化と共に、プライバシ保護が特に大きな検討課題となる。

一方、近未来の日本全国の市街地においては監視カメラの設定や高機能化がさらに進み、街路灯程度の単価のネットワークカメラ、あるいは、街路灯内蔵型のネットワークカメラが、街路灯並みの数量・密度で設置され、それらが、インターネットに接続され、各カメラで撮影され保存されている画像ファイルへの迅速なアクセスが可能になると予想される。日本全国において、不審者、容疑者、容疑者車両に対する、人海戦術による追尾、あるいは、ソフトウェアによる自動追尾が、技術的にも、経済的にも、容易に実現可能になると予想される。人海戦術による追尾については、多くのオペレータがネットワークに接続された画像閲覧用の端末を使い、端末モニタに映し出される画像を目視することにより、ターゲットの車両・人を、芋づる式に追尾していくことが考えられる。監視カメラ相互の視野が重なっておらず、いずれの監視カメラの視野にも入らない死角が存在した場合においても、ターゲットの車両・人が移動していった可能性のある近隣の道路を全て調査することで、追尾を継続することができる。例えば、ターゲットの車両が監視カメラの死角となっている交差点に入った場合、ターゲットの車両が移動していった可能性のある近隣の道路を全て調査することで、追尾を継続することができる。ターゲットがどこにも、写っていなければ、まだ、そのエリア内に居る可能性が高いということが分かる。ソフトウェアにおける自動追尾については、人間が目視で行うことを、画像処理により自動的に高速に行えるとメリットがある。ソフトウェアにおける自動追尾については、大型ショッピングモール内などで、既に、実験的に導入されている方法等がある。

このような社会において、監視カメラにより撮影された画像データを、入手し利用する権限のある人間、例えば、市街地に設置された監視カメラを管理・運営する市役所の担当職員が、私的な動機で、前記画像データを悪用する可能性がある。この悪用例としては、例えば、特定の女性・男性を自動追跡するストーカー行為、特定の個人の行動を自動監視する行為、などが挙げられる。このような悪用が出来ないようにする仕組みが必要不可欠である。より厳密に言えば、悪用した事実を隠すことが非常に難しい運用の仕組みを作ることにより、悪用が公になることを恐れる人に対しては悪用を躊躇せざるを得なくし悪用を未然に防ぐこと、また、悪用が公になることを恐れない人に対しては悪用した時点でそれが公になり罰せられることで再犯を防ぐことが、重要である。

つまり、現在の監視カメラの利用や将来考えられる監視カメラの利用形態を考えた場合、監視カメラにより取得された画像データを、目的もなく利用することを防ぐことが必要となる。この防ぐ方法として、取得された画像データを利用するための権限を用意し、その権限を有する人だけが画像データを利用できるようにする方法がある。

撮影または録音された画像や動画音声を閲覧または視聴するための権限を有する人だけが画像を閲覧または視聴できるようにする方法があるとしては、インターネット上の動画配信におけるDigital Right Management技術がある。この技術は、動画を閲覧する場合に、アカウントとパスワードをサーバに送信し、アカウントとパスワードが正しいものであるかをサーバが検証し、アカウントとパスワードが正しい場合、動画の閲覧が可能となる。アカウントとパスワードがサーバに送信されることによりサーバは閲覧者または視聴者や閲覧時間または視聴時間の特定が可能となる。しかし、Digital Right Managementは、動画閲覧に対する制限を可能にするが、多数の監視カメラが撮影または録音した画像や動画や音声の閲覧や視聴に対して制限を行うことは難しい。

特許文献１は監視カメラで撮像した画像を暗号化して保存し、それを閲覧する場合には、サーバから復号鍵を取得する必要があり、撮像された画像の閲覧を制限することが可能となる。しかし、予め登録されている人だけが画像を閲覧することができる。本明細書の発明は、画像の利用の履歴を確実に記録することにより、画像の悪用を防止することを通して、プライバシの保護を高いレベルで実現した運用を可能とするカメラシステムが提供されている。

監視カメラで撮影された画像に映る人物のプライバシを保護するために、人物に対して不鮮明化を施す方法が、非特許文献１や非特許文献２に示されている。これらの方法では、閲覧の権限がない人は不鮮明化が施された画像のみを閲覧することができるが、閲覧の権限がある人は不鮮明化されていない画像を閲覧できる。

しかし、この方法では、監視カメラで撮影された画像を閲覧権限を有する人の行動を制限することは難しい。閲覧権限を有する人は、正当な理由がなくても、画像を閲覧することができてしまう。近い将来、現在の街路灯なみの密度で監視カメラが設置され、それらが、ネットワークに接続され、市役所等の担当者が自由に操作できるようになったとき、「閲覧権限を有する人は、正当な理由がなくても、画像を閲覧することができてしまう」ということは、大きな問題になると考えられる。

特許公開２００８−１７８０５４ 特許公開２０１１−１５１７７０

薮田顕一、北澤仁志、田中聡久、プライバシ保護と被写体の識別を両立させる固定モニタカメラ映像処理手法、電子情報通信学会技術研究報告、Vol.105、No.30、pp.13-18

薮田顕一、北澤仁志、真正性証明とプライバシ保護を両立するカメラシステム、画像電子学会、Vol.38、No.5、pp.694-702

監視カメラで取得された画像データに記録された人物のプライバシを保護することを目的とする。より具体的には、当該画像データを利用する権限を有する人が、画像データを利用することに対する正当な理由がないときに、画像データを利用することを防ぐことを目的とする。

上記目的を達成するために、請求項１に係る発明は、カメラで撮影された画像データを暗号化して保存し、暗号化された当該画像データを前記カメラから入手する、または、復号化する、または、利用するには、許可コードが必要であるカメラシステムであり、当該許可コードは許可コード発行条件に基づき記録サーバから発行されるカメラシステムであり、当該記録サーバは、当該許可コードの発行の要請の受付から、許可コード発行までの過程における、カメラ、画像データ、閲覧者、許可コードなどの項目のうちいずれか１つ以上の項目に関する情報を記録することを特徴とする、または、
カメラで撮影された画像データを保存し、当該画像データを前記カメラから入手する、または、利用するには、許可コードが必要であるカメラシステムであり、当該許可コードは許可コード発行条件に基づき記録サーバから発行されるカメラシステムであり、当該記録サーバは、当該許可コードの発行の要請の受付から、許可コード発行までの過程における、カメラ、画像データ、閲覧者、許可コードなどの項目のうちいずれか１つ以上の項目に関する情報を記録することを特徴とするカメラシステムである。

請求項２に係る発明は、請求項１に係る発明において、カメラ内に画像処理装置を有し、当該カメラで撮影された画像データを当該画像処理装置により分析するカメラであり、その分析結果に基づき当該分析結果を当該カメラ内部に保存する処理、及び／または、その分析結果に基づき当該分析結果を当該カメラ外部に対して知らしめる処理を行うことを特徴とするとしている。

請求項３に係る発明は、請求項１または２に係る発明において、カメラが画像を暗号化する際に利用する暗号キーを、カメラ及び閲覧装置・閲覧ソフトウェアに設定する設定装置・設定ソフトウェアを含み、この設定装置・設定ソフトウェア内部に保持する暗号キーを、カメラ及び閲覧装置・閲覧ソフトウェアのみが知ることを特徴としている。

請求項４に係る発明は、請求項１から３のいずれか１項に係る発明において、カメラが保存する画像データを入手するために、及び／または、暗号化された画像データを復号化するために、当該入手、及び／または、当該復号化の理由を示すための理由コードを必要とするカメラシステムであり、当該理由コードの全部または一部が、電子署名されていることを特徴としている。

請求項５に係る発明は、請求項１から４のいずれか１項に係る発明において、カメラが温度センサ、湿度センサ、照度センサ、放射線センサ、ガスセンサ、加速度センサ、方位センサ、ジャイロセンサ、ＧＰＳ受信器などのセンサを有し、カメラが撮影した画像データに加え、当該センサが取得したデータを合わせて保存、暗号化することを特徴としている。

請求項６に係る発明は、請求項１から５のいずれか１項に係る発明において、カメラがマイクを有し、カメラが撮影した画像データに加え、マイクが録音した音声データを合わせて保存、暗号化することを特徴としている。

請求項７に係る発明は、請求項１から６のいずれか１項に係る発明において、カメラと閲覧装置・閲覧ソフトウェアと記録サーバの間の通信が有線通信または無線通信によるイントラネットまたはインターネットにより行うことを特徴としている。

請求項１に係る発明に基づくカメラシステムの一つのとして、次のような形態がある。監視カメラが取得した画像データは、監視カメラが暗号化して保存する。その暗号化された画像データを入手する、または、復号化する、または、利用する場合には、記録サーバに許可コードの発行要請をする。この際に、発行を要請する人は記録サーバに、発行を要請する人、その人の権限、データを入手または復号化または利用する重要性や緊急度、発行を要請した時刻、入手または復号化または利用を行いたい画像データが取得された時刻、当該画像データを取得した監視カメラの場所、ＩＤなどを通知する。記録サーバはこれらの情報に基づき、許可コードの発行要請の真正性を検証し、発行要請が正しい場合には、予め設定された許可コード発行条件に基づき、許可コードを発行する。許可コードを受け取った人は、監視カメラへ許可コードを送信し、監視カメラは許可コードの真正性を検証し、その許可コードが正しいと監視カメラが判断したならば、許可コードに明記されている条件に応じて、当該監視カメラが記録している画像データを暗号化された形で、許可コードの送信者へ送る。こうして、画像データの入手、復号化、利用が許可されるたびに、当該許可に関する情報が、記録サーバに記録される。

なお、本明細書において利用する暗号化方式としては、共有鍵暗号方式と公開鍵暗号方式のいずれを用いても良い。共有鍵暗号方式の場合には、暗号キーと復号キーが同一となってもよい。

例えば、監視カメラが公園や道路などに設置されて状況下で、その監視カメラが撮影または録音した画像または動画を閲覧した人とその閲覧した時刻を、監視カメラとは異なる記録サーバに記録することで、その記録の真正性を保証する。

また、例えば、市役所の安全安心課が市街地に設置・運営する多くのカメラから、インターネット経由で画像を取得・閲覧する際に、市役所の安全安心課ではない第３者により管理・運営される記録サーバからの許可が必要になる。記録サーバにより、「どの閲覧者に、どの画像を、どの不鮮明度での閲覧を許可するか」を、確実に制御し、その結果を記録することが可能である。一方、記録サーバの管理・運営者は、画像ファイル、暗号キーに、一切、接することはない。これにより、画像ファイルへの不当なアクセスを抑制することが可能となり、一般市民のプライバシを保護することが可能となる。なお、本明細書においては、画像ファイルは、画像データの電子ファイルである。画像データとしては、静止画、動画であり、静止画や動画に音声やその他の情報が付加されたものでもよい。

本発明は、カメラ内部に撮影した画像を暗号化して保存するカメラを用いたカメラシステムであり、暗号化された画像ファイルの、暗号を解除／復号化し、不鮮明化の度合いを調節した画像を出力する閲覧装置を有するカメラシステムであり、記録サーバが、暗号化ファイルを直接取り扱うことなく、許可コードを発行することにより、誰が、どの画像（カメラＩＤ、時刻、不鮮明度）を見るかを、制御し、記録することにより、画像ファイルの悪用を防止する。なお、本明細書においては、暗号化ファイルは、画像ファイルが暗号化されたものである。

本カメラシステムでは、閲覧装置は暗号化ファイルを復号化する復号キーを保持していることを想定している。すなわち、カメラと暗号キー及び／または復号キーを保持し、閲覧者は復号キーを保持するが、記録サーバは暗号キーを保持せず、さらに、復号キーも保持しないことを想定している。すなわち、暗号化ファイルを閲覧するには、その暗号ファイルを復号化するための復号キーを持つ閲覧装置と、記録サーバが発行する許可コードの両方が必要になる。なお、本明細書において、「カメラ」は、「防犯カメラ」、「監視カメラ」などを含む一般的な名称として使用される。

一方、監視カメラが、暗号化ファイルと一緒に、許可コードと復号キーの両方を含む閲覧用コードを出力し、閲覧者は、許可コードではなく、閲覧用コードを閲覧装置に入力するようにしても良い。この場合、閲覧者は復号キーをもつ必要がなくなり、復号キーから暗号キーを推測する可能性もない。閲覧権のコントロールは、記録サーバが行うことになる。その場合でも、記録サーバは、暗号化ファイルに直接取り扱うことはない。

暗号化ファイルは、全国に街路灯と同程度の密度・数量で高密度・大量設置されたカメラ内のメモリあるいはメモリカードに一時的に保存されたのち、上書き消去される。犯罪捜査等で、必要になったときにのみ、読み出される。全てのカメラが、全ての画像ファイルを、クラウドなどに転送するというのは、通信量を無用に増やす欠点があるが、将来、通信が低コストになった場合には実用化されることも有りうると考える。

記録サーバは、予めら定められた許可コード発行条件に基づき、前記の許可コードを発行すること、および、その過程を記録することを行い、暗号化ファイルそのもの、暗号キーや復号キーそのものを扱わないことで、カメラの被写体のプライバシ保護を高いレベルで保障することが可能になる。この記録サーバは、一般社会から高い信頼性を寄せられた第３者機関、例えば、ＮＰＯ等の非営利団体が管理・運営することを想定する。

カメラは、１０−２０年後には、全て高速ネット接続されると考えるが、近い将来においては、近距離低速ネットで相互に繋がり、アクセスポイントから、高速回線でインターネットまたはイントラネットに接続されると考えられる。犯罪が起こった時にのみ、バケツリレー的に暗号化ファイルが、閲覧者に届けられる。

カメラは、インターネットに接続されていなくても良く、例えば、カメラと、カメラの下まで運ばれてきた閲覧装置・閲覧ソフトウェアは、ブルートゥースなどの無線通信を行い、当該閲覧装置、または、当該閲覧ソフトウェアがインストールされたパーソナルコンピュータ（ＰＣ）は、インターネットに接続されているシステムとすることは、現在の高価な無線インターネット接続を個々のカメラに適用する事が困難な場合において、有効である。

閲覧者は、カメラ、及び／または、記録サーバに、画像データの利用が必要な緊急度・重要度・理由などを記述した理由コードを送ることも有効である。理由コードは、裁判所等の第三者機関が事件の緊急度・重要度を判定して電子署名したコードを含んでも良い。

次のような手順が想定される。
１ 閲覧者が、カメラに、閲覧者ＩＤと共に、例えば、「前日の２０時から２１時の間に撮影された画像ファイルをください。」というリクエストをカメラに出す。
２ カメラは、リクエストされた暗号化ファイルに対応する暗号化ファイルのファイルＩＤを、閲覧者に渡す。
３ 閲覧者は、ファイルＩＤと、閲覧が必要な理由等を記述した理由コードを、閲覧者ＩＤと共に、記録サーバに送信する。
４ 記録サーバは、許可コードを、閲覧者に送信する。
５ 閲覧者は、許可コードを、カメラに送信する。
６ カメラは、許可コードに従い、暗号化ファイルを閲覧者に送信する。
７ 閲覧者は、暗号化ファイルと許可コードと復号キーを、閲覧装置に入力し、閲覧許可された画像を利用する。

本発明の作用として、「近い将来、必ず、現実のものとなると思われる、ネットワーク化された膨大な数の監視カメラ群による監視カメラネットワーク」において、「不正使用を抑止し、プライバシ侵害の危険性を抑制し、一般市民がもつ不快感を低減すること」を目的としている。

本カメラシステムは、誰が、どの画像（カメラ、撮影時刻、不鮮明度）を見るかを、制御し、記録する方法を提供することにより、「不正使用を抑止し、プライバシ侵害の危険性を抑制し、一般市民がもつ不快感を低減すること」を実現する。

本発明により、カメラの撮影した画像の利用実績について、確実性と信頼性のある情報公開を可能とする。これにより、 必要な画像データの迅速な入手を可能とすることによる犯罪捜査時における利便性の飛躍的向上に加え、プライバシの確実な保護の実現、が同時に達成できる。本発明により、監視カメラを街路灯並みに高密度・大量導入する上での大きな障害である、一般市民が懸念するプライバシ侵害の問題を解決し、監視カメラの普及を促進し、日本全国、全世界の地域社会の安全・安心を向上させることに寄与する。

図１は監視カメラシステムの実施方法を示した説明図である。（実施例１） 図２は監視カメラシステムの実施方法を示した説明図である。（実施例２） 図３は監視カメラシステムの実施方法を示した説明図である。（実施例３） 図４は監視カメラシステムの実施方法を示した説明図である。（実施例４） 図５は監視カメラシステムの実施方法を示した説明図である。（実施例５） 図６は監視カメラシステムの実施方法を示した説明図である。（実施例６） 図７は監視カメラシステムの実施方法を示した説明図である。（実施例７） 図８は監視カメラシステムの実施方法を示した説明図である。（実施例８） 図９は監視カメラシステムの実施方法を示した説明図である。（実施例９） 図１０は監視カメラシステムの実施方法を示した説明図である。（実施例１０） 図１１は監視カメラシステムの実施方法を示した説明図である。（実施例１１） 図１２は監視カメラシステムの実施方法を示した説明図である。（実施例１２） 図１３は監視カメラシステムの実施方法を示した説明図である。（実施例１３） 図１４は監視カメラシステムの実施方法を示した説明図である。（実施例１４）

図１に示す実施例１は請求項１の実施例である。実施例１においては、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバは、インターネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバで用いられる処理方法、暗号化、及び、復号化の方式は、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバ以外には知られていない。つまり、秘密になっている。秘密になっていることが重要である。

カメラをインターネットに接続することが難しい場合は、カメラと閲覧装置・閲覧ソフトウェア間の通信は短距離無線通信を用いるか、または、短距離無線通信によるアドホックネットワークを用いて、閲覧装置・閲覧ソフトウェアと記録サーバとの間の通信のみインターネットとすることが、有効である。なお、インターネット接続が一般的には便利であると思われるが、インターネット接続の代わりに、どのようなネットワーク接続を用いてもよい。また、上記短距離無線通信としては、ブルートゥース、ジグビーなどを用いてもよい。また、カメラと閲覧装置・閲覧ソフトウェアと記録サーバの間の通信は暗号化通信を用いてもよい。

特に、本カメラシステムの特徴である、通常の通信量は非常に小さく、小さな通信速度で十分であるのに対して、犯罪捜査、徘徊老人捜索などの目的で画像ファイルの送受信が行われる際には非常に大きな通信量となり、大きな通信速度が必要になるという特徴に適した、新たなネットワークの規格を作ることは好ましいことである。近い将来、インターネットの修正版、あるいは、インターネットとは異なるネットワークが実用化された場合には、そのネットワークを用いてもよい。

本発明においては、日本全国の１０００程度の市役所・町役場・村役場などの監視カメラの各運営主体が、それぞれ数十万台〜数百万台程度のカメラを管理運営するシステムを想定している。各運営主体の職員の中で、適当に定められた役職の職員が、個々のカメラに保存された画像データの入手または利用を行うために必要となる許可コードを記録サーバが発行する際に、記録サーバの挙動を規定する許可コード発行条件を設定する閲覧条件設定者となることを想定する。また、同様に、各運営主体の職員の中で、適当に定められた役職の職員が、画像の暗号化や復号化に利用する暗号キーや復号キーを設定する暗号キー設定者となることを想定する。言うまでもないが、市町村以外の法人・任意団体・個人が運営主体となっても良い。

記録サーバは、第３者機関に管理・運営されたものが一つあれば十分である。記録サーバの挙動は、カメラごとに異なっていてもよく、単一の記録サーバがカメラ毎に許可コード発行条件を保有し、カメラ毎に設定された許可コード発行条件に基づき許可コードの発行を行う。

図１に示したカメラシステムは、カメラで撮影され暗号化された画像ファイルを入手または閲覧または利用する場合、記録サーバから発行される許可コードが必要であるカメラシステムであり、記録サーバは、許可コードの発行の要請に対して、許可コード発行条件に基づき、許可コードを発行するカメラシステムである。図１においては、通信３で閲覧装置・閲覧ソフトウェアから記録サーバへ送信される問合せコードが許可コードの発行を要請するコードになる。

許可コード発行条件は、閲覧条件設定者が設定・変更可能である。記録サーバは、許可コードの発行の要請の受付から、許可コード発行までの過程における、カメラ、画像ファイル、閲覧者などに関する情報を記録する。カメラ、画像ファイル、閲覧者、などに関する情報の例としては、カメラＩＤ、画像ファイルのファイルＩＤ、閲覧者ＩＤ、許可コード発行時刻、発行した許可コード、などがある。

閲覧条件設定者は、許可コード発行条件を、記録サーバに秘匿的に設定できる。つまり、許可コード発行条件を、閲覧条件設定者と記録サーバのみしか知ることがないように設定できる。例えば、許可コード発行条件を暗号化して、記録サーバに設定し、記録サーバには、その暗号化された許可コード発行条件を復号化するための復号キーを予め設定しておくことで、許可コード発行条件を閲覧条件設定者と記録サーバのみしか知ることがない。運用形態によっては、カメラシステムが適正に運用されることを証明・保障する目的で、閲覧条件設定者が、許可コード発行条件の全部、または、一部を公開することも考えられる。暗号キー設定者は、暗号キーや復号キーを、カメラに秘匿的に設定できる。つまり、画像の暗号化や復号化に利用される暗号キーと復号キーを、暗号キー設定者とカメラのみしか知ることがないように設定できる。例えば、画像の暗号化と復号化に利用される暗号キーや復号キーを別の暗号キーで暗号化して、カメラに設定し、カメラには、当該暗号化された暗号キーや復号キーを復号化するための復号キーを予め設定しておくことで、画像の暗号化や復号化に利用される暗号キーや復号キーを暗号キー設定者やカメラのみしか知ることがない。また、暗号キー設定者は、復号キーを、閲覧者に付与する。復号キーは、それ自身、暗号化されていることが好ましい。閲覧条件設定者と暗号キー設定者は、同一でもよく、例えば、市役所の総務課、安全安心課などが想定される。

閲覧者には、固有の閲覧者ＩＤが付与される。また、閲覧者には、暗号キー設定者から、復号キーを付与される。閲覧者は、閲覧者ＩＤ、カメラＩＤ、当該カメラで撮影された画像の中で閲覧を希望する画像が撮影された時刻範囲、暗号キーを、閲覧装置・閲覧ソフトウェアに入力することにより、閲覧装置・閲覧ソフトウェアから、許可コード発行条件に基づき不鮮明化処理された不鮮明化ファイルを受け取り、利用・閲覧することができる。

図１には暗号キーが一つだけの場合が記述してあるが、暗号キーはカメラに対して複数設定することができる。カメラは、撮影した画像に対して、複数種類の不鮮明化処理を行った上で、それら複数の画像それぞれに対して、異なる暗号キーにより暗号化を行った上で保存することも可能である。また、カメラにより撮影された画像、及び、画像と共に保存されるその他の情報を合わせた画像データにおいて、複数の画像データそれぞれに対して、異なる暗号キーにより暗号化を行った上で保存することも可能である。これら複数の暗号化された画像や画像データ、つまり、暗号化ファイルを、一つのファイルとして保存してもよいし、別々のファイルとして保存してもうよい。なお、本明細書においては、「ファイル」は、一般的な意味での「電子ファイル」を意味する。

また、閲覧者は複数いることを想定している。閲覧者としては、市役所、警察署、カメラを設置する工事業者、カメラシステムを保守管理するメンテナンス業者、自治会、町内会、一般市民、などが考えられる。例えばメンテナンス業者はモザイク処理された不鮮明な画像しか見ることができず、警察や市役所等では不鮮明化されていない画像を見ることができる、という運用方法が想定される。

カメラには、固有のカメラＩＤが設定される。カメラで撮影された画像は、暗号キーにより、暗号化される。暗号化ファイルには、固有のファイルＩＤが付与される。当該ファイルＩＤは、カメラＩＤ、撮影時刻の情報を含む。撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。

カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

閲覧者は画像の閲覧を行う場合、閲覧装置・閲覧ソフトウェアから記録サーバに許可コードの発行要請を行うが、この要請は閲覧装置・閲覧ソフトウェアから問合せコードを記録サーバに送信することにより行う。記録サーバは閲覧装置・閲覧ソフトウェアから送られた問合せコードに対して、予め設定された許可コード発行条件に基づき処理を行い、許可コード発行要請が許可コード発行条件を満たしている場合には、許可コードを閲覧装置・閲覧ソフトウェアに出力する。許可コードは、問合せコードに内蔵された閲覧者ＩＤ、ファイルＩＤに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。閲覧条件コードでは、閲覧時の画像の鮮明度、閲覧可能なファイル数、閲覧可能回数、保存の可否などが規定される。

記録サーバは、閲覧装置・閲覧ソフトウェアとの通信内容を記録する。特に、閲覧者ＩＤ、ファイルＩＤ、閲覧条件コードを記録することにより、どの閲覧者が、どの画像ファイルを、どの不鮮明度で、閲覧することを許されたかを記録する。記録サーバに、カメラが撮影した暗号化された画像ファイル、暗号キー設定者が設定したカメラの暗号キーが、入力されることはない。暗号化された画像に記録サーバが取り扱うことはないため、記録サーバの管理者が画像を閲覧することは不可能である。

記録サーバは、閲覧条件設定者、暗号キー設定者、閲覧者とは異なる第３者により、独立して管理運用されることが好ましい。記録サーバの管理運用者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置でも良いし、市販のノートパソコン、スマートフォン、タブレットＰＣにインストールされた閲覧ソフトウェアでも良い。特に、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置とすることで、より高い安全性が確保できる。

閲覧装置・閲覧ソフトウェアは、閲覧者からの画像の閲覧要求に応じて、カメラ、記録サーバと通信を行い、暗号化された電子ファイルである暗号化ファイルを取得する。閲覧者からの画像の閲覧要求は、カメラＩＤと時刻範囲から構成される。当該暗号化ファイルにファイル変換処理が施され、不鮮明化ファイルが生成される。ファイル変換処理の詳細は、以下のように行われる。

図１のファイル変換処理においては、入力された暗号化ファイルに対して、まず、復号キーを用いて復号化処理が行われ、暗号化が解除され、暗号解除ファイルが生成される。次に、その暗号解除ファイルに対して、さらに、閲覧条件コードで規定されたモザイク処理等の不鮮明化処理を施し、不鮮明化ファイルを作る。なお、暗号解除ファイルは、画像データの電子ファイルであり、静止画、動画像等のデータが、閲覧装置・閲覧ソフトウェアにより解釈が可能である形で埋め込まれたファイルである。

ファイル変換処理により生成された不鮮明化ファイルは、閲覧者に出力される。不鮮明化処理の強度は、閲覧条件コードにより規定された強度で行われる。不鮮明化強度がゼロに設定されている場合は、不鮮明化処理が行われない不鮮明化ファイルを出力する。なお、不鮮明化ファイルは、一般的な画像、または、動画のファイル形式の画像ファイルと、画像ファイルと一体とできない他の種類の情報を記述したファイルの組み合わせでも良い。閲覧条件コードは、記録サーバから入力された許可コードから分離して使用される。 なお、図１に示した閲覧装置・閲覧ソフトウェアの「ファイル変換処理」の過程において生成される一時ファイルである「暗号解除ファイル」を、外部から伺い知ることを困難にするためには、メモリにスクランブルをかけるなどの難読化が有効である。

図１のカメラシステムにおいて、閲覧者がファイルを閲覧する要求である閲覧要求を出してから、不鮮明化ファイルを閲覧者が受け取るまでの処理は、以下のように行われる。

まず、閲覧者は、閲覧したい画像をカメラＩＤと時刻範囲により指定する。閲覧者は、カメラＩＤ と時刻範囲を閲覧装置・閲覧ソフトウェアに閲覧要求として入力する。閲覧者は、閲覧者ＩＤと復号化キーを閲覧装置・閲覧ソフトウェアに予め入力しておくか、カメラＩＤと時刻範囲の入力と同時に閲覧装置・閲覧ソフトウェアに入力する。復号化キーの入力は、閲覧装置・閲覧ソフトウェアが復号キーを必要する段階で行ってもよい。閲覧装置・閲覧ソフトウェアはカメラＩＤと時刻範囲とから成るファイル指定コードを生成し、さらに、閲覧者ＩＤとファイル指定コードからなる閲覧要求コードを閲覧要求コード作製処理が生成する。

次に、図１の通信１により、閲覧装置・閲覧ソフトウェアは、閲覧要求コードを、カメラに送る。カメラは、通信１により、閲覧要求コードを受け取ると、処理１を実施する。処理１は、ファイル指定コードで規定された時刻範囲に撮影された画像が暗号化された、暗号化ファイルのファイルＩＤを検索する。この結果に基づき、閲覧者ＩＤとファイルＩＤからなる問合せコードを作成する。問合せコードを、通信２により、閲覧装置・閲覧ソフトウェアに送信する。なお、図１では、問合せコードにはファイルＩＤが一つだけである例を記してあるが、これは、複数個あってもよい。

なお、閲覧要求コードには、閲覧者が閲覧を希望する理由を記述した理由コードを含んでもよい。理由コードとしては、「刑事事件の捜査に必要」、「徘徊老人の探索に必要」、「カメラの保守管理のための定期検査用に必要」等の理由が考えられる。この場合、問合せコードにも、理由コードを転記することが好ましい。

問合せコードを受けた閲覧装置・閲覧ソフトウェアは、処理２を実施する。処理２は、通信３により、問合せコードを記録サーバに送信する。通信３により問合せコードを受けた記録サーバは、処理３を行う。処理３は、問合せコードが許可コード発行条件を満たすかを確認し、満たしていれば、許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。許可コードは、閲覧者ＩＤとファイルＩＤと閲覧条件コードからなる。許可コードに含まれる閲覧者ＩＤとファイルＩＤは通信３により送られてきた問合せコードに含まれる閲覧者ＩＤとファイルＩＤとする。許可コードに含まれる閲覧条件コードは、予め設定された許可コード発行条件に基づいて決定される。記録サーバは処理３を行うのと同時に、閲覧者ＩＤ、ファイル指定コード、当該処理３が行われた時刻、閲覧条件コードをログに記録する。許可コード発行条件としては、登録された閲覧者ごとに、また、閲覧理由ごとに、１日あたりに閲覧することが可能であるファイル数、閲覧可能な不鮮明度、などの閲覧条件が規定されたテーブルであってもよい。

記録サーバは処理３により生成された許可コードを通信４により閲覧装置・閲覧ソフトウェアに送信する。通信４により許可コードを受けた閲覧装置・閲覧ソフトウェアは、処理４を実施する。処理４は、許可コードから閲覧条件コードを取り出し、保存する。さらに、処理４は、通信５により、許可コードをカメラに送信する。

通信５により、許可コードを受けたカメラは、処理５を実施する。処理５は、閲覧条件コードの真正性を確認し、許可コードにあるファイルＩＤに対応する暗号化ファイルを選び出す。選び出された暗号化ファイルは、通信６により、カメラから閲覧装置・閲覧ソフトウェアに送信される。

通信６により、暗号化ファイルを受けた閲覧装置・閲覧ソフトウェアは、ファイル変換処理により、暗号化ファイルを、不鮮明化ファイルに変換した上で、閲覧者に出力する。画像の不鮮明化処理としては、モザイク化処理などが好適である。

図１には記載されていないが、許可コードで許された閲覧範囲に対して、実際に閲覧した範囲（時間帯、不鮮明化の強度、閲覧回数、コピーの有無、など）を閲覧装置・閲覧ソフトウェアが記録サーバに報告し、記録サーバはそれを記録することを行うことにより、閲覧者が実際に閲覧した範囲を明確に証明することが可能となる。本発明により、閲覧行為が記録されるようになることで、許可コードで許可された範囲の中で、実際に閲覧していない範囲を、きちんと記録してほしいという要求が出て来ることが予想される。見てもいないものを、見たことにされるのを嫌がる閲覧者となりうる人が現れることが予想される。カメラ１台ごとに、静止画一枚ごと、動画１フレームごとに対して、不鮮明度を規定の上、閲覧を許可・記録する方式なら、こうした問題は回避できると考えられる。しかし、特に、後述のように、徘徊老人を芋づる式に追尾していく場合においては、広範囲な領域のカメラに対するアクセスを予め得ておくことは効率的である場合も、考えられる。また、１時間単位で一つのファイルとなることもある動画像のファイルに対しては、フレーム毎に閲覧条件を設定することは、非効率的であることも考えられる。

なお、閲覧条件コードには、閲覧を許可するカメラ、閲覧時の画像の鮮明度、閲覧可能なファイル数、閲覧可能回数、保存の可否などが規定されるが、これらの許可条件を固定値とはせずに、状況に応じて変化する変数としてもよい。例えば、閲覧を許可するカメラについては、あるカメラを起点として、当該カメラの周辺のカメラ、及び、当該カメラから遠いカメラであっても、当該カメラの位置から一筆書きでトレースできる道路上に存在するカメラは許可していくという方法が考えられる。これは、特に、徘徊老人を自宅から出たところから追尾する場合や、一つのカメラに写った容疑車両を追尾する場合において、理にかなった方法である。例えば容疑者を追跡するような場合、あるカメラで特定の時刻に撮影されていることが分かった場合、逃走方向に隣接するカメラでは、その時刻から一定時間後までに撮影された画像の閲覧が許可されることが理にかなっている。また、画像処理により人・車の認証を行い、ターゲットが写っている可能性の高い画像のみを、ターゲット以外を不鮮明化処理した画像として出力することも考えられる。たとえば、この様な条件で許可コードを出力する、許可コード発行条件とすることもできる。

実施例１に限らず、本明細書の全ての実施例では、カメラと閲覧装置・閲覧ソフトウェアと記録データが有線通信または無線通信により接続しており、インターネットまたはイントラネットに接続させることも可能であり、よって、本明細書の全ての実施例は、請求項７の実施例である。

図２に示す実施例２は請求項１の実施例である。実施例２においては、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバは、インターネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバで用いられる処理方法、暗号化、及び、復号化の方式は、カメラ、閲覧装置・閲覧ソフトウェア以外には知られていない。つまり、秘密になっている。秘密になっていることが重要である。

カメラをインターネットに接続することが難しい場合は、カメラと閲覧装置・閲覧ソフトウェア間の通信は短距離無線通信を用いるか、または、短距離無線通信によるアドホックネットワークを用いて、閲覧装置・閲覧ソフトウェアと記録サーバとの間の通信のみインターネットとすることが、有効である。なお、インターネット接続が一般的には便利であると思われるが、インターネット接続の代わりに、どのようなネットワーク接続を用いてもよい。また、上記短距離無線通信としては、ブルートゥース、ジグビーなどを用いてもよい。また、カメラと閲覧装置・閲覧ソフトウェアと記録サーバの間の通信は暗号化通信を用いてもよい。

図２に示したカメラシステムは、カメラで撮影され暗号化された画像ファイルを入手または閲覧する場合、記録サーバから発行される許可コードが必要であるカメラシステムであり、記録サーバは、許可コードの発行の要請に対して、許可コード発行条件に基づき、許可コードを発行するカメラシステムである。図２においては、通信３で閲覧装置・閲覧ソフトウェアから記録サーバへ送信される閲覧要求コードが許可コードの発行要請になる。

許可コード発行条件は、閲覧条件設定者が設定・変更可能である。記録サーバは、許可コードの発行の要請の受付から、許可コード発行までの過程における、閲覧者、カメラ、及び、そのカメラにより撮影・暗号化保存された画像ファイル、閲覧条件、処理を行った時刻、などに関する情報を記録する。カメラ、暗号化された画像ファイル、閲覧者、などに関する情報の例としては、カメラとそのカメラにより撮影・保存された画像ファイルを指定するファイル指定コード、閲覧者ＩＤ、閲覧条件コード、許可コード発行時刻、発行した許可コード、などがある。

閲覧条件設定者は、許可コード発行条件を、記録サーバに秘匿的に設定できる。つまり、許可コード発行条件を、閲覧条件設定者と記録サーバのみしか知ることがないように設定できる。例えば、許可コード発行条件を暗号化して、記録サーバに設定し、記録サーバには、その暗号化された許可コード発行条件を復号化するための復号キーを予め設定しておくことで、許可コード発行条件を閲覧条件設定者と記録サーバのみしか知ることがない。運用形態によっては、カメラシステムが適正に運用されることを証明・保障する目的で、閲覧条件設定者が、許可コード発行条件の全部、または、一部を公開することも考えられる。暗号キー設定者は、暗号キーや復号キーを、カメラに秘匿的に設定できる。つまり、画像の暗号化や復号化に利用される暗号キーと復号キーを、暗号キー設定者とカメラのみしか知ることがないように設定できる。例えば、画像の暗号化と復号化に利用される暗号キーや復号キーを別の暗号キーで暗号化して、カメラに設定し、カメラには、当該暗号化された暗号キーや復号キーを復号化するための復号キーを予め設定しておくことで、画像の暗号化や復号化に利用される暗号キーや復号キーを暗号キー設定者やカメラのみしか知ることがない。また、暗号キー設定者は、復号キーを、閲覧者に付与する。復号キーは、それ自身、暗号化されていることが好ましい。閲覧条件設定者と暗号キー設定者は、同一でもよく、例えば、市役所の総務課、安全安心課などが想定される。

例えば、ある市役所が、市内に数百万台のカメラを設置し、市役所のある部署が、閲覧条件設定者と暗号キー設定者となることが想定される。そして、市役所の他の部署、カメラの設置工事・メンテナンスを行う会社、市内の自治会などを閲覧者として指定し、それぞれに対する許可コード発行条件や許可コード発行条件を設定することが想定される。

閲覧者には固有の閲覧者ＩＤが付与される。また、閲覧者には、暗号キー設定者から、暗号キーを付与される。閲覧者は、閲覧者ＩＤ、カメラＩＤ、当該カメラで撮影された画像の中で閲覧した画像が撮影された時刻範囲、暗号キーを、閲覧装置・閲覧ソフトウェアに入力することにより、閲覧装置・閲覧ソフトウェアから、許可コード発行条件に基づき不鮮明化処理された不鮮明化ファイルを受け取り、利用・閲覧することができる。

図２には暗号キーが一つだけの場合が記述してあるが、暗号キーはカメラに対して複数設定することができる。カメラは、撮影した画像に対して、複数種類の不鮮明化処理を行った上で、それら複数の画像それぞれに対して、異なる暗号キーにより暗号化を行った上で保存することも可能である。また、カメラにより撮影された画像、及び、画像と共に保存されるその他の情報を合わせた画像データにおいて、複数の画像データそれぞれに対して、異なる暗号キーにより暗号化を行った上で保存することも可能である。これら複数の暗号化された画像や画像データ、つまり、暗号化ファイルを、一つのファイルとして保存してもよいし、別々のファイルとして保存してもうよい。

また、閲覧者は複数いてもよい。閲覧者としては、市役所、警察署、設置工事業者、メンテナンス業者、自治会、一般市民、などが考えられる。例えばメンテナンス業者はモザイク処理された不鮮明な画像しか見ることができず、警察や市役所等では不鮮明化されていない画像を見ることができる、という運用方法が想定される。

カメラには、固有のカメラＩＤが設定される。カメラで撮影された画像は、暗号キーにより、暗号化される。暗号化ファイルには、固有のファイルＩＤが付与される。当該ファイルＩＤは、カメラＩＤ、撮影時刻の情報を含む。撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。

カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

閲覧者は画像の閲覧を行う場合、閲覧装置・閲覧ソフトウェアから記録サーバに許可コードの発行の要請を行うが、この要請は閲覧装置・閲覧ソフトウェアから閲覧要求コードを記録サーバに送信することにより行う。記録サーバは、閲覧装置・閲覧ソフトウェアからの閲覧要求コードの入力に対して、予め設定された許可コード発行条件に従い処理を行い、許可コード発行条件を満たしている場合には、許可コードを閲覧装置・閲覧ソフトウェアに出力する。許可コードは、閲覧要求コードに内蔵された閲覧者ＩＤ、ファイル指定コードに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。閲覧条件コードでは、閲覧時の画像の鮮明度、閲覧可能なファイル数、閲覧可能回数、保存の可否などが規定される。

記録サーバは、閲覧装置・閲覧ソフトウェアとの通信内容を記録する。特に、閲覧者ＩＤ、ファイル指定コード、閲覧条件コードを記録することにより、どの閲覧者が、どの画像ファイルを、どの不鮮明度で、閲覧することを許されたかを記録する。記録サーバに、カメラが撮影した暗号化された画像ファイル、暗号キー設定者が設定したカメラの暗号キーが、入力されることはない。暗号化された画像が記録サーバが取得することはないため、記録サーバが暗号化された画像ファイルを取得し、その取得された画像ファイルによる画像に映る人のプライバシの侵害はありえない。

記録サーバは、閲覧条件設定者、暗号キー設定者、閲覧者とは異なる第３者により、独立して管理運用することができる。記録サーバの管理運用者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置でも良いし、市販のノートパソコンにインストールされた閲覧ソフトウェアでも良い。特に、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置とすることで、より高い安全性が確保できる。

閲覧装置・閲覧ソフトウェアは、閲覧者からの閲覧要求に応じて、カメラ、記録サーバと通信を行い、暗号化ファイルを取得する。その暗号化ファイルにファイル変換処理が施され、不鮮明化ファイルが生成される。ファイル変換処理の詳細は、以下のように行われる。

図２のファイル変換処理においては、入力された暗号化ファイルに対して、暗号キーで復号化操作を行い、暗号化が解除され、一般的な画像、または、動画のファイル形式である暗号解除ファイルを作る。次に、その暗号解除ファイルに対して、さらに、閲覧条件コードで規定されたモザイク処理等の不鮮明化処理を施し、不鮮明化ファイルを作る。

ファイル変換処理により生成された不鮮明化ファイルは、閲覧者に出力される。不鮮明化処理の強度は、閲覧条件コードにより規定された強度で行われる。不鮮明化強度がゼロに設定されている場合は、不鮮明化処理が行われない不鮮明化ファイルを出力する。なお、不鮮明化ファイルは、一般的な画像、または、動画のファイル形式である。閲覧条件コードは、記録サーバから入力された許可コードから分離して使用される。なお、図２に示した閲覧装置・閲覧ソフトウェアの「ファイル変換処理」の過程において生成される一時ファイルである「暗号解除ファイル」を、外部から伺い知ることを困難にするためには、メモリにスクランブルをかけるなどの難読化が有効である。

図２のカメラシステムにおける、閲覧者が画像の閲覧要求を出してから、不鮮明化ファイルを閲覧者が受け取るまでの処理は、以下のように行われる。

まず、閲覧者は、閲覧したい画像をカメラＩＤと時刻範囲により指定する。閲覧者は、カメラＩＤ と時刻範囲を閲覧装置・閲覧ソフトウェアに閲覧要求として入力する。閲覧者は、閲覧者ＩＤと復号化キーを閲覧装置・閲覧ソフトウェアに予め入力しておくか、カメラＩＤと時刻範囲の入力と同時に閲覧装置・閲覧ソフトウェアに入力する。復号化キーの入力は、閲覧装置・閲覧ソフトウェアが復号キーを必要とする段階で行ってもよい。閲覧装置・閲覧ソフトウェアはカメラＩＤと時刻範囲とから成るファイル指定コードを生成し、さらに、閲覧者ＩＤとファイル指定コードからなる閲覧要求コードを閲覧要求コード作製処理が生成する。図２では、カメラＩＤ、時刻範囲はそれぞれ一つのみが図示されているが、複数のカメラＩＤに対して、それぞれ、個別に時刻範囲が指定された組み合わせでもよい。

次に、通信３により、閲覧装置・閲覧ソフトウェアは、閲覧要求コードを、記録サーバに送る。記録サーバは、通信３により、閲覧要求コードを受け取ると、処理３を行う。処理３は、許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。許可コードは、閲覧者ＩＤとファイル指定コードと閲覧条件コードからなる。許可コードに含まれる閲覧者ＩＤとファイル指定コードは通信３により送られてきた閲覧要求コードに含まれる閲覧者ＩＤとファイル指定コードとする。許可コードに含まれる閲覧条件コードは、予め設定された許可コード発行条件に基づいて決定される。記録サーバは処理3を行うのと同時に、閲覧者ＩＤ、ファイル指定コード、閲覧条件コードをログに記録する。なお、閲覧要求コードには、閲覧者が閲覧を希望する理由を記受した理由コードを含んでもよい。理由コードとしては、「刑事事件の捜査に必要」、「徘徊老人の探索に必要」、「カメラの保守管理のための定期検査用に必要」等の理由が考えられる。この場合、記録サーバには、理由コードも記録されることが望ましい。

通信４により許可コードを受けた閲覧装置・閲覧ソフトウェアは、処理４を実施する。処理４は、許可コードから閲覧条件コードを取り出し、保存する。閲覧装置・閲覧ソフトウェアは、通信５により、許可コードをカメラに送り出す。

通信５により、許可コードを受けたカメラは、処理５を実施する。処理５は、許可コードに記載されたファイル指定コードで規定された時刻範囲に撮影された暗号化ファイルのファイルＩＤを検索し、選び出す。選び出された暗号化ファイルは、通信６により、閲覧装置・閲覧ソフトウェアに送り出される。

通信６により、暗号化ファイルを受けた閲覧装置・閲覧ソフトウェアは、ファイル変換処理により、暗号化ファイルを、不鮮明化ファイルに変換した上で、閲覧者に出力する。画像の不鮮明化処理としては、モザイク化処理などが好適である。

図３に示す実施例３は請求項１の実施例である。実施例３においては、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバは、インターネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバで用いられる処理方法、暗号化、及び、復号化の方式は、カメラ、閲覧装置・閲覧ソフトウェア以外には知られていない。つまり、秘密になっている。秘密になっていることが重要である。

カメラをインターネットに接続することが難しい場合は、カメラと閲覧装置・閲覧ソフトウェア間の通信は短距離無線通信を用いるか、または、短距離無線通信によるアドホックネットワークを用いて、閲覧装置・閲覧ソフトウェアと記録サーバとの間の通信のみインターネットとすることが、有効である。なお、インターネット接続が一般的には便利であると思われるが、インターネット接続の代わりに、どのようなネットワーク接続を用いてもよい。また、上記短距離無線通信としては、ブルートゥース、ジグビーなどを用いてもよい。また、カメラと閲覧装置・閲覧ソフトウェアと記録サーバの間の通信は暗号化通信を用いてもよい。

あるいは、閲覧装置・閲覧ソフトウェアとカメラとの間の通信は、ＳＤカードなどのメモリカードの受け渡しにより行ってもよい。例えば、カメラで撮影され、暗号化された画像ファイルの保存媒体が、カメラに差し込まれたＳＤカードである場合、当該ＳＤカードをカメラから抜出、閲覧装置、あるいは、閲覧ソフトウェアがインストールされたパーソナルコンピュータに挿入することにより、情報、及び、または、暗号化ファイルのやり取りを行っても良い。各カメラを、インターネットに常時接続するのでなく、スタンドアローンとすることで、導入コストを低く押さえることができるが、メンテナンス作業、及び、画像取得作業は、各カメラの設置場所まで作業員が出向く必要があるため、手間がかかることになる。

実施例３において、そしていずれの実施例においても、全国に散在する市役所などのカメラシステムの運営主体が、それぞれ、数百台から数千台程度のカメラを運営するシステムを想定している。各運営主体が、許可コード発行条件を設定する閲覧条件設定者、及び、暗号キーを設定する暗号キー設定者となる。記録サーバは、１つのカメラシステムに対して、１つある必要はなく、複数のカメラシステムに対して、第３者機関に管理・運営された記録サーバが一つあれば十分である。

図３に示したシステムは、カメラで撮影され暗号化された画像ファイルを、入手または閲覧する際に、記録サーバから発行される許可コードが必要であるカメラシステムであり、記録サーバは、許可コードの発行要請に対して、許可コード発行条件に基づき、許可コードを発行するカメラシステムである。図３において、通信３で閲覧装置・閲覧ソフトウェアから記録サーバへ送信される問合せコードが許可コードの発行要請になる。

許可コード発行条件は、閲覧条件設定者が設定・変更可能である。記録サーバは、許可コードの発行の要請の受付から、許可コード発行までの過程における、閲覧者、カメラ、及び、そのカメラにより撮影・暗号化保存された画像ファイル、閲覧条件、処理を行った時刻、などに関する情報を記録する。カメラ、暗号化された画像ファイル、閲覧者、などに関する情報の例としては、カメラとそのカメラにより撮影・保存された画像ファイルを指定するファイル指定コード、閲覧者ＩＤ、閲覧条件コード、許可コード発行時刻、発行した許可コード、などがある。

閲覧条件設定者は、許可コード発行条件を、記録サーバに秘匿的に設定できる。つまり、許可コード発行条件を、閲覧条件設定者と記録サーバのみしか知ることがないように設定できる。例えば、許可コード発行条件を暗号化して、記録サーバに設定し、記録サーバには、その暗号化された許可コード発行条件を復号化するための復号キーを予め設定しておくことで、許可コード発行条件を閲覧条件設定者と記録サーバのみしか知ることがない。運用形態によっては、カメラシステムが適正に運用されることを証明・保障する目的で、閲覧条件設定者が、許可コード発行条件の全部、または、一部を公開することも考えられる。暗号キー設定者は、暗号キーや復号キーを、カメラに秘匿的に設定できる。つまり、画像の暗号化や復号化に利用される暗号キーと復号キーを、暗号キー設定者とカメラのみしか知ることがないように設定できる。例えば、画像の暗号化と復号化に利用される暗号キーや復号キーを別の暗号キーで暗号化して、カメラに設定し、カメラには、当該暗号化された暗号キーや復号キーを復号化するための復号キーを予め設定しておくことで、画像の暗号化や復号化に利用される暗号キーや復号キーを暗号キー設定者やカメラのみしか知ることがない。また、暗号キー設定者は、復号キーを、閲覧者に付与する。復号キーは、それ自身、暗号化されていることが好ましい。閲覧条件設定者と暗号キー設定者は、同一でもよく、例えば、市役所の総務課、安全安心課などが想定される。

閲覧者には固有の閲覧者ＩＤが付与される。また、閲覧者には、暗号キー設定者から、暗号キーを付与される。閲覧者は、閲覧者ＩＤ、カメラＩＤ、当該カメラで撮影された画像の中で閲覧した画像が撮影された時刻範囲、暗号キーを、閲覧装置・閲覧ソフトウェアに入力することにより、閲覧装置・閲覧ソフトウェアから、許可コード発行条件に基づき不鮮明化処理された不鮮明化ファイルを受け取り、閲覧することができる。

また、閲覧者は複数いてもよい。閲覧者としては、市役所、警察署、設置工事業者、メンテナンス業者、自治会、一般市民、などが考えられる。例えばメンテナンス業者はモザイク処理された不鮮明な画像しか見ることができず、警察や市役所等では不鮮明化されていない画像を見ることができる、という運用方法が想定される。

カメラには、固有のカメラＩＤが設定される。カメラで撮影された画像は、暗号キーにより、暗号化される。暗号化ファイルには、カメラＩＤ、撮影時刻を含む、固有のファイルＩＤが付与される。このファイルＩＤは、ファイル名と同一であってもよい。撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。

カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

閲覧者は画像の閲覧を行う場合、閲覧装置・閲覧ソフトウェアから記録サーバに許可コードの発行要請を行うが、この要請は閲覧装置・閲覧ソフトウェアから問合せコードを記録サーバに送信することにより行う。記録サーバは、閲覧装置・閲覧ソフトウェアからの問合せコードに対して、予め設定された許可コード発行条件に従い処理を行い、許可コード発行条件を満たしている場合には、許可コードを閲覧装置・閲覧ソフトウェアに出力する。許可コードは、問合せコードに内蔵された閲覧者ＩＤ、ファイルＩＤに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。閲覧条件コードでは、閲覧時の画像の鮮明度、閲覧可能なファイル数、閲覧可能回数、保存の可否などが規定される。

記録サーバは、閲覧装置・閲覧ソフトウェアとの通信内容を記録する。特に、閲覧者ＩＤ、ファイル指定コード、閲覧条件コードを記録することにより、どの閲覧者が、どの画像ファイルを、どの不鮮明度で、閲覧することを許されたかを記録する。記録サーバに、カメラが撮影した暗号化された画像ファイル、暗号キー設定者が設定したカメラの暗号キーが、入力されることはない。暗号化された画像を記録サーバが取得することはないため、記録サーバが暗号化された画像ファイルを取得し、その取得された画像ファイルによる画像に映る人のプライバシの侵害はありえない。

記録サーバは、閲覧条件設定者、暗号キー設定者、閲覧者とは異なる第３者により、独立して運用することができる。記録サーバの管理者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置でも良いし、市販のノートパソコンにインストールされた閲覧ソフトウェアでも良い。特に、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置とすることで、より高い安全性が確保できる。

閲覧装置・閲覧ソフトウェアは、閲覧者からのファイル閲覧要求に応じて、カメラ、記録サーバと通信を行い、暗号化ファイルを取得する。その暗号化ファイルに対して、ファイル変換処理が施され、不鮮明化ファイルが生成される。ファイル変換処理の詳細は、以下のように行われる。

まず、入力された暗号化ファイルに対して、暗号キーで復号化操作を行い、暗号化が解除され、一般的な静止画、または、動画のファイル形式である暗号解除ファイルを作る。次に、その暗号解除ファイルに対して、さらに、閲覧条件コードで規定されたモザイク処理等の不鮮明化処理・閲覧制限処理を施し、不鮮明化画像を作る。

ファイル変換処理により生成された不鮮明化画像は、閲覧者に対して出力される。不鮮明化処理の強度は、閲覧条件コードにより規定された強度で行われる。不鮮明化強度がゼロに設定されている場合は、実質的には不鮮明化処理が行われない不鮮明化ファイルを出力する。なお、不鮮明化ファイルは、一般的な静止画または動画の、ファイル形式である。閲覧条件コードは、記録サーバから入力された許可コードから分離して使用される。

なお、図３に示した閲覧装置・閲覧ソフトウェアの「ファイル変換処理」の過程において生成される一時ファイルである「暗号解除ファイル」を、外部から伺い知ることを困難にするためには、メモリにスクランブルをかけるなどの難読化が有効である。

本カメラシステムにおける、閲覧者が画像の閲覧要求を出してから、不鮮明化処理された画像を閲覧者が受け取るまでの処理は、以下のように行われる。

まず、閲覧者は、閲覧者ＩＤと復号キーを閲覧装置・閲覧ソフトウェアに入力する。復号キーの入力は、閲覧装置・閲覧ソフトウェアが復号キーを必要する段階で行ってもよい。次に、図３のファイルの選択を行う。ファイルの選択では、閲覧者が、閲覧装置・閲覧ソフトウェアを用いて、カメラから閲覧したい暗号化ファイルを入手する。入手する方法としては、閲覧装置・閲覧ソフトウェアがカメラと通信をして、カメラ内に保存された暗号化ファイルのリストを示し、その中から、閲覧者に入手したいファイルを選択させ、当該ファイルをカメラに送出させる方法が考えられる。あるいは、別の例では、暗号化ファイルが保存されたＳＤカードなどのメモリカードをカメラから抜出し、それを、閲覧装置・閲覧ソフトウェアが稼働しているＰＣなどに挿入する。そして、当該ＳＤカード内に保存された暗号化ファイルのリストを示し、その中から、閲覧者に入手したいファイルを選択させ、当該ファイルを閲覧装置・閲覧ソフトウェアが稼働しているＰＣにコピーする方法が考えられる。

次に、閲覧装置・閲覧ソフトウェアは、閲覧者ＩＤとファイルＩＤからなる問合せコードを作成する。図３では、問合せコードにはファイルＩＤが一つだけの例を記してあるが、これは、複数個あってもよい。

なお、問合せコードには、閲覧者が閲覧を希望する理由を記受した理由コードを含んでもよい。理由コードとしては、「刑事事件の捜査に必要」、「徘徊老人の探索に必要」、「カメラの保守管理のための定期検査用に必要」等の理由が考えられる。

閲覧装置・閲覧ソフトウェアは、通信３により、問合せコードを記録サーバに送信する。通信３により問合せコードを受けた記録サーバは、処理３を実施する。処理３は、予め設定された許可コード発行条件に基づいて許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。同時に、閲覧者ＩＤ、ファイルＩＤ、閲覧条件コードなどをログに記録する。

通信４により許可コードを受けた閲覧装置・閲覧ソフトウェアは、許可コードに示された閲覧者ＩＤ、ファイルＩＤが一致することを確認の上、閲覧条件コードで規定された条件に従い、ファイル変換処理を行う。ファイル変換処理においては、まず、閲覧者から入力された暗号キーにより、暗号を解除し、中間ファイルとして暗号解除ファイルを生成する。この暗号解除ファイルに対して、閲覧条件コードで規定された条件に従い、不鮮明化ファイルに変換した上で、閲覧者に出力する。画像の不鮮明化処理としては、モザイク化処理などが好適である。

図４に示す実施例４は請求項１の実施例である。実施例４においては、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバは、インターネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバで用いられる処理方法、暗号化、及び、復号化の方式は、カメラ、閲覧装置・閲覧ソフトウェア以外には知られていない。つまり、秘密になっている。秘密になっていることが重要である。

カメラをインターネットに接続することが難しい場合は、カメラと閲覧装置・閲覧ソフトウェア間の通信は短距離無線通信を用いるか、または、短距離無線通信によるアドホックネットワークを用いて、閲覧装置・閲覧ソフトウェアと記録サーバとの間の通信のみインターネットとすることが、有効である。なお、インターネット接続が一般的には便利で あると思われるが、インターネット接続の代わりに、どのようなネットワーク接続を用いてもよい。また、上記短距離無線通信としては、ブルートゥース、ジグビーなどを用いてもよい。また、カメラと閲覧装置・閲覧ソフトウェアと記録サーバの間の通信は暗号化通信を用いてもよい。

あるいは、閲覧装置・閲覧ソフトウェアとカメラとの間の通信は、ＳＤカードなどのメモリカードの受け渡しにより行ってもよい。例えば、カメラで撮影され、暗号化された画像ファイルの保存媒体が、カメラに差し込まれたＳＤカードである場合、当該ＳＤカードをカメラから抜出、閲覧装置、あるいは、閲覧ソフトウェアがインストールされたパーソナルコンピュータに挿入することにより、情報、及び、または、暗号化ファイルのやり取りを行っても良い。各カメラを、インターネットに常時接続するのでなく、スタンドアローンとすることで、導入コストを低く押さえることができるが、メンテナンス作業、及び、画像取得作業は、各カメラの設置場所まで作業員が出向く必要があるため、手間がかかることになる。

図４に示したシステムは、カメラで撮影され暗号化された画像ファイルを、入手、または、閲覧、または、利用する場合、記録サーバから発行される許可コードが必要であるカメラシステムであり、記録サーバは、許可コードの発行要請に対して、予め定められた許可コード発行条件に基づいて、許可コードを発行するカメラシステムである。図４においては、通信３で閲覧装置・閲覧ソフトウェアから記録サーバへ送信される問合せコードが許可コードの発行要請にあたる。

許可コード発行条件は、閲覧条件設定者が設定・変更可能である。記録サーバは、許可コードの発行要請の受付から、許可コード発行までの過程における、カメラ、画像ファイル、閲覧者、などに関する情報を記録することを特徴とする、カメラシステムである。カメラ、画像ファイル、閲覧者、などに関する情報の例としては、カメラＩＤ、画像ファイルＩＤ、閲覧者ＩＤ、許可コード発行時刻、発行した許可コード、などがある。

実施例１と同様に、閲覧条件設定者は、許可コード発行条件を、記録サーバに、秘匿的に設定できる。許可コード発行条件は、それ自身、暗号化されていることが好ましい。暗号キー設定者は、暗号キーや復号キーを、カメラに秘匿的に設定できる。また、暗号キー設定者は、復号キーを、閲覧者に付与する。復号キーは、それ自身、暗号化されていることが好ましい。暗号キーや復号キーは、２つ以上のキーから構成されてもよい。実施例４では、暗号キーは、３つのキー、すなわち、キーＡ、キーＢ、キーＣから構成され、画像ファイルの暗号化、復号化、及び、不鮮明化処理は、それらのキーに基づいて行われる。暗号キーは、合成して一つのファイルとしたものとして作製されてもよいし、個別のファイルとして製作されてもよい。キーＡ、キーＢ、キーＣは、暗号キー設定者が、数字・記号・文字を組合せた文字列として設定する。実施例４では、キーＡが、ファイルの暗号化及び復号化を行うキーとして使わる。キーＢ、キーＣは、不鮮明度を制御するコードとして画像ファイルと結合された上で、暗号化される。

実施例４では、カメラが撮影した画像、各種センサからの出力等のデータは、キーＢとキーＣが加えられた上で、キーＡに基づき暗号化され、暗号化ファイルとして保存される。暗号化ファイルは、閲覧装置・閲覧ソフトウェアにおいて、入力されたキーＡにより復号化され、そこに含まれるキーＢ、キーＣは分離され取り出される。復号化された画像データを、入力されたキーの組み合わせで規定される不鮮明化処理を施した上で出力する。

閲覧装置・閲覧ソフトウェアは、入力された暗号キーの中のキーＡによりデータを復号化し、復号化されたデータに含まれているキーＢ、及び、キーＣと一致するものが、暗号キーとして入力されているか否かを判断し、一致するものがあれば、その一致したキーに決められている不鮮明化処理を施した画像を表示し、一致するものがなければ何も表示しないか、あるいは、予め設定された強度で不鮮明化した画像の全て、または、一部を出力する。例えば、閲覧装置に入力された暗号キーに含まれるキーの組み合わせと、不鮮明度の強度の関係として、以下が考えられる。
キーＡ無し：暗号化されたファイルの復号化ができない。画像の出力は無い。
キーＡのみ：不鮮明化の強度３
キーＡとキーＢ：不鮮明化の強度２
キーＡとキーＣ：不鮮明化の強度１
キーＡとキーＢとキーＣ：不鮮明化の強度０。不鮮明化処理を行わない鮮明な画像。

なお、上記で、不鮮明化の強度は、強度０、強度１、強度２、強度３の順に強くなり、より、不鮮明な画像になっていく。なお、カメラで作製される暗号化ファイルに、画像データに加え、音声データ、温度データ、ＧＰＳ位置データ、時刻データなどが含まれる場合、それぞれのデータに対して、画像の不鮮明化・不明瞭化に合わせ、上記のキーの組み合わせで規定される不鮮明化の強度に応じて不明瞭化処理を行ってもよい。

閲覧者に付与するキーの組み合わせで不鮮明化の強度を制御することで、感覚的に分かり易く、本発明のカメラシステムの管理運用者以外の人に対して説明のし易い、プライバシ保護の仕組みとすることが可能になる。記録サーバの役割を、閲覧状況の記録をする役割を主として、閲覧権限の制御をする役割を最小限に抑えることは、記録サーバの管理者・運営者の権限を抑えることに繋がり、プライバシ保護の観点から好ましい。その意味から、閲覧者に付与するキーの組み合わせで不鮮明化の強度を制御することは好ましい。閲覧条件設定者と暗号キー設定者は、同一でもよく、例えば、市役所の総務課、安全安心課などが想定される。

閲覧者は、固有の閲覧者ＩＤが付与される。また、暗号キー設定者から、復号キーを付与される。閲覧者は、カメラシステムの管理運用者や閲覧条件設定者や暗号キー設定者などが定めた条件で不鮮明化処理された不鮮明化処理ファイルを受け取り、閲覧することができる。また、閲覧者は複数いてもよい。閲覧者としては、市役所、警察署、設置工事業者、メンテナンス業者、自治会、一般市民、などが考えられる。例えばメンテナンス業者はモザイク処理された不鮮明な画像しか見ることができず、警察や市役所等では不鮮明化されていない画像を見ることができる、という運用方法が想定される。

図４に示した閲覧者は、キーＡとキーＣを付与されている。上記のように、閲覧者に応じて、付与されるキーの組み合わせを変えることにより、各閲覧者が閲覧することができる画像の不鮮明度を制御することができる。この技術については、 特許文献２に開示されている。

カメラには、固有のカメラＩＤが設定される。カメラが撮影した画像、各種センサからの出力等のデータは、カメラにおいて、キーＢとキーＣが加えられた上で、キーＡに基づき暗号化され、暗号化ファイルとして保存される。カメラで撮影された画像は、暗号化キーの中のキーＢとキーＣと結合された上で、暗号キーの中のキーＡにより、暗号化される。暗号化ファイルには、固有のファイルＩＤが付与される。当該ファイルＩＤは、カメラＩＤ、撮影時刻の情報を含む。撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。

カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

記録サーバは、閲覧装置・閲覧ソフトウェアからの問合せコードの入力に対して、予め設定された許可コード発行条件に従い処理を行い、許可コードを閲覧装置・閲覧ソフトウェアに出力する。許可コードは、問合せコードに内蔵された閲覧者ＩＤ、ファイルＩＤに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。実施例４では、閲覧者に付与される暗号キーを構成するキーＡ、キーＢ、キーＣの組み合わせで、不鮮明化の強度を制御する方式を採用している。閲覧条件コードには、閲覧可能なファイル数、閲覧可能回数、保存の可否などが記述される。なお、閲覧条件コードに、不鮮明化処理の強度の下限、及び／または、上限を規定するパラメータを追加してもよい。閲覧条件設定者は、インターネットを介して、記録サーバへの許可コード発行条件の変更を瞬時に行うことができるので、閲覧者の閲覧条件の中で閲覧する画像の不鮮明度を急に変更する必要が生じた場合には、この機能は、特に、有効である。

記録サーバは、閲覧装置・閲覧ソフトウェアとのやり取りの過程を記録する。特に、閲覧者ＩＤ、ファイルＩＤ、閲覧条件コードを記録することにより、どの閲覧者が、どの画像ファイルを閲覧することを許されたかを記録する。記録サーバに、被写体のプライバシ情報を含む恐れのある暗号化ファイル、暗号キー設定者が設定した暗号キーが、入力されることはない。記録サーバは、閲覧条件設定者、暗号キー設定者、閲覧者とは異なる第３者により、独立して運用することができる。記録サーバの管理者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置でも良いし、市販のノートパソコンにインストールされた閲覧ソフトウェアでも良い。特に、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置とすることで、より高い安全性が確保できる。

閲覧装置・閲覧ソフトウェアは、閲覧者からの閲覧要求に応じて、カメラ、記録サーバと通信を行い、暗号化ファイルを取得する。その暗号化ファイルに対して、ファイル変換処理が施され、不鮮明化ファイルが生成される。ファイル変換処理の詳細は、以下のように行われる。

実施例４では、閲覧者が閲覧装置・閲覧ソフトウェアに入力した復号キーから、キーＡ、キーＣが分離する。図４に示された閲覧者に付与された復号キーには、キーＡとキーＣのみが含まれる。まず、入力された暗号化ファイルに対して、キーＡで復号化操作を行い、暗号化が解除され、一般的な静止画または動画の、ファイル形式である暗号解除ファイルを作る。次に、その暗号解除ファイルに対して、さらに、暗号キーに含まれるキーの組み合わせで規定される不鮮明化の強度に応じたモザイク処理等の不鮮明化処理さらに、
許可コードに含まれる閲覧条件コードに基づき閲覧制限処理を施し、不鮮明化ファイルを作る。ファイル変換処理により生成された不鮮明化ファイルは、閲覧者に対して出力される。 なお、許可コードに含まれる閲覧条件コードに記述される閲覧可能なファイル数、閲覧可能回数、保存の可否に応じて、上記の処理は制限を受ける。

図４のカメラシステムにおける、閲覧者が閲覧要求を出してから、不鮮明化ファイルを受け取るまでの処理は、以下のようになる。

まず、閲覧者は、閲覧者ＩＤと復号キーを閲覧装置・閲覧ソフトウェアに入力する。復号キーの入力は、閲覧装置・閲覧ソフトウェアが復号キーを必要する段階で行ってもよい。次に、図４のファイルの選択を行う。ファイルの選択では、閲覧者が、閲覧装置・閲覧ソフトウェアを用いて、カメラから閲覧したい暗号化ファイルを入手する。入手する方法としては、閲覧装置・閲覧ソフトウェアがカメラと通信をして、カメラ内に保存された暗号化ファイルのリストを示し、その中から、閲覧者に入手したいファイルを選択させ、当該ファイルをカメラに送出させる方法が考えられる。あるいは、別の例では、暗号化ファイルが保存されたＳＤカードなどのメモリカードをカメラから抜出し、それを、閲覧装置・閲覧ソフトウェアが稼働しているＰＣなどに挿入する。そして、当該ＳＤカード内に保存された暗号化ファイルのリストを示し、その中から、閲覧者に入手したいファイルを選択させ、当該ファイルを閲覧装置・閲覧ソフトウェアが稼働しているＰＣにコピーする方法が考えられる。

次に、閲覧装置・閲覧ソフトウェアは、閲覧者ＩＤとファイルＩＤからなる問合せコードを作成する。図４では、問合せコードにはファイルＩＤが一つだけの例を記してあるが、これは、複数個あってもよい。 なお、問合せコードには、閲覧者が閲覧を希望する理由を記受した理由コードを含んでもよい。理由コードとしては、「刑事事件の捜査に必要」、「徘徊老人の探索に必要」、「カメラの保守管理のための定期検査用に必要」等の理由が考えられる。

閲覧装置・閲覧ソフトウェアは、通信３により、問合せコードを記録サーバに送信する。通信３により問合せコードを受けた記録サーバは、処理３により、許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。処理３は、予め設定された許可コード発行条件に基づいて行われる。同時に、閲覧者ＩＤ、ファイルＩＤ、閲覧条件コードなどをログに記録する。

通信４により許可コードを受けた閲覧装置・閲覧ソフトウェアは、許可コードに示された閲覧ＩＤ、ファイルＩＤが一致することを確認の上、閲覧条件コードで規定された条件に従い、ファイル変換処理を行う。ファイル変換処理においては、まず、閲覧者から入力されたキーＡにより、暗号を解除し、中間ファイルとして暗号解除ファイルを生成する。この暗号解除ファイルに対して、暗号キーに含まれるキーＡ、キーＢ、キーＣなどのキーの組み合わせで規定される条件で、不鮮明化処理を施した不鮮明化ファイルを生成する。その不鮮明化ファイルを、閲覧者に出力する。画像の不鮮明化処理としては、モザイク化処理などが好適である。

図５に示す実施例５は請求項２の実施例である。実施例５と実施例１は、同一のハードウェアで同時に実現することができる。実施例５と実施例１は、同一カメラシステムで実現できる２つの機能を表している。実施例１では、閲覧者から閲覧の要求を出す場合を説明している。一方、実施例５では、カメラ側で異常を検知した際などに、カメラから閲覧者に対して閲覧の要請をする場合を説明している。

図５に示すカメラシステムにおいては、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバは、インターネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバで用いられる処理方法、暗号化、及び、復号化の方式は、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバ以外には知られていない。つまり、秘密になっている。秘密になっていることが重要である。

図５に示したカメラシステムは、カメラで撮影され暗号化された画像ファイルを、閲覧者が入手または閲覧または利用する場合に、記録サーバから発行される許可コードが必要であるカメラシステムであり、記録サーバは、許可コードの発行要請に対して、許可コード発行条件に基づき、許可コードを発行するカメラシステムである。図５においては、問合せコードが許可コードの発行要請になる。

許可コード発行条件は、閲覧条件設定者が設定・変更可能である。記録サーバは、許可コードの発行の要請の受付から、許可コード発行までの過程における、カメラＩＤ、画像ファイルＩＤ、閲覧者ＩＤ、許可コード発行時刻、発行した許可コード、などの情報を記録する。

実施例５では、カメラ内での画像処理により、カメラが取得した画像が画像処理により分析され、その分析結果が画像と関連付けて保存され、その分析結果を閲覧装置・閲覧ソフトウェアに対して知らしめる。なお、音声情報、温度情報、二酸化炭素などのガス濃度情報、など、カメラが取得する画像以外の情報がある場合は、それらを含めて信号処理を行い、火事、喧嘩、不審な動き、交通事故などの異常検知に役立てることは有効である。例えば、音声情報は、喧嘩、交通事故の際に発する異常な音を検知するのに役立つ。また、温度情報、ガス濃度情報は、火災の検出に役立つ。

図５において、閲覧要請コードは、閲覧装置・閲覧ソフトウェアのみに通知されるが、通知先として、閲覧者の携帯電話に電子メール等で通知することも可能である。あるいは、閲覧要請コードを受信した閲覧装置・閲覧ソフトウェアが、閲覧要請コードを受けた旨を、閲覧者の携帯電話などに電子メール等で通知することも有効である。

実施例１と同様に閲覧条件設定者は、許可コード発行条件を、記録サーバに秘匿的に設定できる。許可コード発行条件は、暗号化されていることが好ましい。暗号キー設定者は、暗号キーを、カメラに秘匿的に設定できる。また、暗号キー設定者は、復号キーを、閲覧者に付与する。復号キーは、それ自身、暗号化されていることが好ましい。閲覧条件設定者と暗号キー設定者は、同一でもよく、例えば、市役所の総務課、安全安心課などが想定される。

閲覧者には、固有の閲覧者ＩＤが付与される。また、閲覧者には、暗号キー設定者から、復号キーを付与される。閲覧者は、閲覧者ＩＤ、カメラＩＤ、当該カメラで撮影された画像の中で閲覧した画像が撮影された時刻範囲、復号キーを、閲覧装置・閲覧ソフトウェアに入力することにより、カメラからの閲覧要請コードに対して、閲覧するか否かの可否判断を行う。閲覧要請コードに対して応諾する判断を下した場合には、閲覧装置・閲覧ソフトウェアから、許可コード発行条件に基づき不鮮明化処理された不鮮明化処理ファイルを受け取り、閲覧することができる。

暗号キーはカメラに対して複数設定することができる。カメラは撮影した画像から複数種類の不鮮明化処理を行い画像を保存することができ、その複数の画像それぞれに対して、異なる暗号キーにより暗号化を行うことも可能である。

また、閲覧者は複数いてもよい。閲覧者としては、市役所、警察署、設置工事業者、メンテナンス業者、自治会、一般市民、などが考えられる。例えばメンテナンス業者はモザイク処理された不鮮明な画像しか見ることができず、警察や市役所等では不鮮明化されていない画像を見ることができる、という運用方法が想定される。

カメラには、固有のカメラＩＤが設定される。カメラで撮影された画像は、暗号キーにより、暗号化される。暗号化ファイルには、カメラＩＤ、撮影時刻を含む、固有のファイルＩＤが付与される。このファイルＩＤは、ファイル名と同一であってもよい。撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。

カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

カメラは、撮影された画像に対して、ケンカ、放火、徘徊、落書き、交通事故、路上寝込み、不法投棄、街路灯の点灯異常、などの不審な動きなどを検知する画像処理を行い、不審な動きなどが検知された場合には、予め定められた閲覧者に対して画像の閲覧要請コードを送信する。また、画像が真っ暗であることやノイズが過剰であること等によりカメラの故障の可能性を検知し、画像の閲覧要請を行う機能を付加してもよい。

画像の閲覧要請をインターネットを使った通信で出す機能に加え、カメラ近傍に設置されたサイレン・回転灯などで外部に対して警報を出す機能、及び／または、携帯電話回線で警察署や消防署などに緊急連絡を行う機能を、及び／または、電子メールやその他のWEBサービスへメッセージを送信する機能を、付加してもよい。画像処理の条件、閲覧要請を出す条件、などは、前述の、閲覧条件設定者、暗号キー設定者などにより、事前に、設定される。

記録サーバは、閲覧装置・閲覧ソフトウェアからの問合せコードの入力に対して、予め設定された許可コード発行条件に従い情報処理を行い、許可コードを閲覧装置・閲覧ソフトウェアに出力する。許可コードは、問合せコードに内蔵された閲覧者ＩＤ、ファイルＩＤに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。許可コードにより規定される閲覧権限の強さに応じて、閲覧可能な画像の不鮮明度が規定される。

記録サーバは、閲覧装置・閲覧ソフトウェアとのやり取りの過程を記録する。特に、閲覧者ＩＤ、ファイルＩＤ、閲覧条件コードを記録することにより、どの閲覧者が、どの画像ファイルを、どの不鮮明度で、閲覧することを許されたかを記録する。 記録サーバに、被写体のプライバシ情報を含む暗号化ファイル、暗号キー設定者が設定した暗号キーや復号キーが、入力されることはない。

記録サーバは、閲覧条件設定者、暗号キー設定者、閲覧者とは異なる第３者により、独立して運用することができる。記録サーバの管理者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置でも良いし、市販のノートパソコンにインストールされた閲覧ソフトウェアでも良い。特に、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置とすることで、より高い安全性が確保できる。

閲覧装置・閲覧ソフトウェアは、カメラからのファイル閲覧要請に応じて、カメラ、記録サーバと通信を行い、暗号化ファイルを取得する。その暗号化ファイルに対して、ファイル変換処理が施され、不鮮明化ファイルが生成される。ファイル変換処理の詳細は、以下のように行われる。

まず、入力された暗号化ファイルに対して、暗号キーで復号化操作を行い、暗号化が解除され、一般的な静止画または動画の、ファイル形式である暗号解除ファイルを作る。次に、その暗号解除ファイルに対して、さらに、閲覧条件コードで規定されたモザイク処理等の不鮮明化処理を施し、不鮮明化ファイルを作る。

ファイル変換処理により生成された不鮮明化ファイルは、閲覧者に対して出力される。不鮮明化処理の強度は、閲覧条件コードにより規定された強度で行われる。不鮮明化強度がゼロに設定されている場合は、実質的には不鮮明化処理が行われない不鮮明化ファイルを出力する。なお、不鮮明化ファイルは、一般的な静止画、または、動画のファイル形式である。閲覧条件コードは、記録サーバから入力された許可コードから分離して使用される。

なお、図５に示した閲覧装置・閲覧ソフトウェアの「ファイル変換処理」の過程において生成される一時ファイルである「暗号解除ファイル」を、外部から伺い知ることを困難にするためには、メモリにスクランブルをかけるなど難読化が有効である。

本カメラシステムにおける、カメラが画像の閲覧要請コードを出してから、閲覧者が不鮮明化ファイルを受け取るまでの処理は、以下のように行われる。

まず、カメラは、カメラが撮影した画像、及び／または、画像以外の温度、振動、音波、電磁波などに関するセンシング情報を、カメラシステム管理運用者などにより設定されたアルゴリズムに従い処理を行う。その結果、ケンカ、交通事故、放火、徘徊、痴漢、空き巣、強盗、カメラへの接触、などの異常が検知された場合には、所定の閲覧者に対して、画像等の閲覧要請を行う。

図５の「撮影画像」は、「撮影画像等のセンシング情報」と解釈する。同じく、図５の「画像処理」は、「画像処理等のセンシング情報処理」と解釈する。カメラは、閲覧者ＩＤとファイルＩＤからなる閲覧要請コードを作成する。閲覧要請コードを、通信２により、閲覧装置・閲覧ソフトウェアに送信する。なお、図５では、閲覧要請コードにはファイルＩＤが一つだけの例を記してあるが、これは、複数個あってもよい。なお、図５には示されていないが、閲覧要請コードには、閲覧者が閲覧するべき理由を記受した理由コードを含む。 理由コードとしては、「ケンカと思われる異常な動きが検知された」、「カメラ内部の動作がおかしく故障していることが予想される」、などが考えられる。閲覧要請コードは閲覧装置・閲覧ソフトウェアが受け取るのではなく、閲覧者のスマートフォンやタブレットＰＣなどが受け取ることも可能であり、閲覧者は受け取った閲覧要請コードを閲覧装置・閲覧ソフトウェアに入力することも実施例として考えられる。

閲覧要請コードを受けた閲覧装置・閲覧ソフトウェアは、処理２を実施する。処理２は、閲覧要請コードに含まれる理由コードを分離し、それを、閲覧者に示し、カメラからの閲覧の要請を受諾するか否かの判断を求める。あるいは、閲覧装置・閲覧ソフトウェアは、予め定められた条件に従い、閲覧の要請を受諾するか否かの判断を自動的に行う。閲覧の要請を受諾する判断が下された場合は、閲覧装置・閲覧ソフトウェアは問合せコードを作製し、通信３により、問合せコードを記録サーバに送信する。

通信３により問合せコードを受けた記録サーバは、処理３を実施する。処理３は、予め設定された許可コード発行条件に基づいて許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。

通信４により許可コードを受けた閲覧装置・閲覧ソフトウェアは、処理４を実施する。処理４は、許可コードから閲覧条件コードを取り出し、保存する。閲覧装置・閲覧ソフトウェアは、通信５により、許可コードをカメラに送り出す。通信５により、許可コードを受けたカメラは、処理５を実施する。処理５は、閲覧条件コードの真正性を確認し、許可コードにあるファイルＩＤに対応する暗号化ファイルを選び出す。選び出された暗号化ファイルは、通信６により、閲覧装置・閲覧ソフトウェアに送り出される。

通信６により、暗号化ファイルを受けた閲覧装置・閲覧ソフトウェアは、ファイル変換処理により、暗号化ファイルを、不鮮明化ファイルに変換した上で、閲覧者に出力する。画像の不鮮明化処理としては、モザイク化処理などが好適である。

図６に示す実施例６は請求項２の実施例である。実施例６と実施例１は、同一のハードウェアで同時に実現することができる。実施例６と実施例１は、同一カメラシステムで実現できる２つの機能を表している。実施例１では、閲覧者から閲覧の要求を出す場合を説明している。実施例６では、カメラ側で異常を検知した際などに、カメラから記録サーバに対して閲覧者による閲覧の要請をする場合を説明している。

図６に示すカメラシステムにおいては、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバは、インターネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバで用いられる処理方法、暗号化、及び、復号化の方式は、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバ以外には知られていない。つまり、秘密になっている。秘密になっていることが重要である。

図６に示したカメラシステムは、カメラで撮影され暗号化された画像ファイルを、入手、または、閲覧、または、利用する場合に、記録サーバから発行される許可コードが必要である。記録サーバは、許可コードの発行要請に対して、許可コード発行条件に基づき、許可コードを発行する。図６においては、通信２で記録サーバに送信される閲覧要請コードが許可コード発行要請になる。

許可コード発行条件は、閲覧条件設定者が設定・変更可能である。記録サーバは、許可コードの発行の要請の受付から、許可コード発行までの過程における、カメラＩＤ、画像ファイルＩＤ、閲覧者ＩＤ、許可コード発行時刻、発行した許可コード、などの情報を記録する。カメラ内での画像処理により、カメラで撮影された画像に含まれる情報が画像処理により分析され、その分析結果が画像と関連付けて保存される処理、及び／または、その分析結果を記録サーバに対して知らしめる処理を行う。

実施例１と同様に、閲覧条件設定者は、許可コード発行条件を、記録サーバに、秘匿的に設定できる。許可コード発行条件は、それ自身、暗号化されていることが好ましい。暗号キー設定者は、暗号キーや復号キーを、カメラに秘匿的に設定できる。また、暗号キー設定者は、復号キーを、閲覧者に付与する。復号キーは、それ自身、暗号化されていることが好ましい。閲覧条件設定者と暗号キー設定者は、同一でもよく、例えば、市役所の総務課、安全安心課などが想定される。

閲覧者は、固有の閲覧者ＩＤが付与される。また、暗号キー設定者から、暗号キーを付与される。閲覧者は、記録サーバからの閲覧の要請に対して、閲覧するか否かの可否判断を行う。閲覧の要請に対して応諾する判断を下した場合には、閲覧装置・閲覧ソフトウェアは、カメラから暗号化ファイルを受け取り、不鮮明化処理を施された画像等を出力する。

カメラには、固有のカメラＩＤが設定される。カメラで撮影された画像は、暗号キーにより、暗号化される。暗号化ファイルには、カメラＩＤ、撮影時刻を含む、固有のファイルＩＤが付与される。このファイルＩＤは、ファイル名と同一であってもよい。

撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。カメラは、撮影された画像に対して、ケンカ・放火・徘徊などの不審な動きなどを検知する画像処理を行い、不審な動きなどが検知された場合には、記録サーバを介して、予め定められた閲覧者に対して画像の閲覧の要請を行う。

カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

画像の閲覧の要請をインターネットを使った通信で出す機能に加え、カメラ近傍に設置されたサイレン・回転灯などで外部に対して警報を出す機能、及び／または、携帯電話回線で警察署や消防署などに緊急連絡を行う機能を、付加してもよい。画像処理の条件、閲覧の要請を出す条件、などは、前述の、閲覧条件設定者、暗号キー設定者などにより、事前に、設定される。

記録サーバは、カメラからの閲覧要請コードの入力に対して、予め設定された許可コード発行条件に従い処理を行い、許可コードを閲覧装置・閲覧ソフトウェアに出力する。許可コードは、閲覧要請コードに内蔵された閲覧者ＩＤ、ファイルＩＤ、理由コードに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。許可コードにより規定される閲覧権限の強さに応じて、閲覧可能な画像の不鮮明度が規定される。

記録サーバは、カメラ、閲覧装置・閲覧ソフトウェアとのやり取りの過程を記録する。特に、閲覧者ＩＤ、ファイルＩＤ、閲覧条件コード、理由コードを記録することにより、どの閲覧者が、どの画像ファイルを、どの不鮮明度で、どのような理由で、閲覧することを許可されたかを記録する。記録サーバに、被写体のプライバシ情報を含む暗号化ファイル、暗号キー設定者が設定した暗号キーが、入力されることはないことが、情報セキュリティの観点から望ましい。 記録サーバは、閲覧条件設定者、暗号キー設定者、閲覧者とは異なる第３者により、独立して運用することができる。記録サーバの管理者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置でも良いし、市販のノートパソコンにインストールされた閲覧ソフトウェアでも良い。特に、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置とすることで、より高い安全性が確保できる。閲覧装置・閲覧ソフトウェアは、記録サーバからのファイル閲覧の要請に応じて、カメラ、記録サーバと通信を行い、暗号化ファイルを取得する。その暗号化ファイルに対して、ファイル変換処理が施され、不鮮明化ファイルが生成される。ファイル変換処理の詳細は、以下のように行われる。

まず、入力された暗号化ファイルに対して、復号キーで復号化操作を行い、暗号化が解除され、一般的な静止画または動画の、ファイル形式である暗号解除ファイルを作る。次に、その暗号解除ファイルに対して、さらに、閲覧条件コードで規定されたモザイク処理等の不鮮明化処理を施し、不鮮明化画像を作る。ファイル変換処理により生成された不鮮明化画像は、閲覧者に対して出力される。不鮮明化処理の強度は、閲覧条件コードにより規定された強度で行われる。不鮮明化強度がゼロに設定されている場合は、実質的には鮮明化処理が行われない不鮮明化ファイルを出力する。なお、不鮮明化ファイルは、一般的な静止画、または、動画のファイル形式である。閲覧条件コードは、記録サーバから入力された許可コードから分離して使用される。 なお、図６に示した閲覧装置・閲覧ソフトウェアの「ファイル変換処理」の過程において生成される一時ファイルである「暗号解除ファイル」を、外部から伺い知ることを困難にするためには、メモリにスクランブルをかけるなど難読化が有効である。

本システムにおける、カメラが画像の閲覧の要請を出してから、閲覧者が不鮮明化処理された画像を受け取るまでの処理は、以下のようになる。

まず、カメラは、カメラ自身が撮影した画像、及び／または、画像以外の温度、振動、音波、電磁波などに関するセンシング情報を、所定のアルゴリズムに従い処理を行う。その結果、ケンカ、放火、徘徊、痴漢、空き巣、強盗、などの異常が検知された場合には、所定の閲覧者に対して、画像等の閲覧の要請を行う。

図６の撮影画像は、撮影画像等のセンシング情報とみなすことができる。また、図６の画像処理は、画像処理等のセンシング情報処理とみなすこともできる。

カメラは、閲覧者ＩＤとファイルＩＤからなる閲覧要請コードを作成する。閲覧要請コードを、通信２により、記録サーバに送信する。なお、図６では、閲覧要請コードにはファイルＩＤが一つだけの例を記してあるが、これは、複数個あってもよい。なお、図６には示されていないが、閲覧要請コードには、閲覧者が閲覧するべき理由を記受した理由コードを含む。 理由コードとしては、「ケンカと思われる異常な動きが検知された」、「カメラ内部の動作がおかしく故障していることが予想される」、などが考えられる。

閲覧要請コードを受けた記録サーバは、予め定められた許可コード発行条件に基づいた処理３により、許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。許可コードは、問合せコードに内蔵された閲覧者ＩＤ、ファイルＩＤ、画像閲覧の権限の強さを示す閲覧条件コードに加え、閲覧要請コードに含まれる理由コードが追加されたものとして作成される。

通信４により許可コードを受けた閲覧装置・閲覧ソフトウェアは、処理４を実施する。処理４は、閲覧要請コードに含まれる理由コードを分離し、それを、閲覧者に示し、カメラからの閲覧の要請を受諾するか否かの判断を求める。あるいは、閲覧装置・閲覧ソフトウェアは、予め定められた条件に従い、閲覧の要請を受諾するか否かの判断を自動的に行う。閲覧の要請を受諾する判断が下された場合は、閲覧装置・閲覧ソフトウェアは許可コードを、通信５により、送信する。

通信５により、許可コードを受けたカメラは、処理５を実施する。処理５は、閲覧条件コードの真正性を確認し、許可コードにあるファイルＩＤに対応する暗号化ファイルを選び出す。選び出された暗号化ファイルは、通信６により、閲覧装置・閲覧ソフトウェアに送り出される。通信６により、暗号化ファイルを受けた閲覧装置・閲覧ソフトウェアは、ファイル変換処理により、暗号化ファイルを、不鮮明化ファイルに変換した上で、閲覧者に出力する。画像の不鮮明化処理としては、モザイク化処理などが好適である。

図７に示す実施例７は請求項３の実施例である。図７においては、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバは、インターネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバで用いられる処理方法、暗号化、及び、復号化の方式は、カメラ、閲覧装置・閲覧ソフトウェア以外には知られていない。つまり、秘密になっている。秘密になっていることが重要である。

カメラをインターネットに接続することが難しい場合は、カメラと閲覧装置・閲覧ソフトウェア間の通信は短距離無線通信を用いるか、または、短距離無線通信によるアドホックネットワークを用いて、閲覧装置・閲覧ソフトウェアと記録サーバとの間の通信のみインターネットとすることが、有効である。なお、インターネット接続が一般的には便利であると思われるが、インターネット接続の代わりに、どのようなネットワーク接続を用いてもよい。また、上記短距離無線通信としては、ブルートゥース、ジグビーなどを用いてもよい。また、カメラと閲覧装置・閲覧ソフトウェアと記録サーバの間の通信は暗号化通信を用いてもよい。

図７においては、復号キーは閲覧装置・閲覧ソフトウェアに埋め込まれる形となっている。また、実施例１を説明するための図１に対して、暗号キー設定者が決めた暗号キーや復号キーを、カメラ、及び、閲覧装置・閲覧ソフトウェアに、設定する設定装置・設置ソフトウェアが追加されている。その他の点では、実施例７と実施例１は、同様である。

図７に示したカメラシステムは、カメラで撮影され暗号化された画像ファイルを、入手、閲覧、利用する場合には、記録サーバから発行される許可コードが必要である。記録サーバは、許可コードの発行要請に対して、許可コード発行条件に基づき、許可コードを発行する。図７においては、通信３で閲覧装置・閲覧ソフトウェアから記録サーバへ送信される問合せコードが許可コードの発行を要請するコードになる。

許可コード発行条件は、閲覧条件設定者が設定・変更可能である。記録サーバは、許可コードの発行要請の受付から、許可コード発行までの過程における、カメラＩＤ、画像ファイルＩＤ、閲覧者ＩＤ、許可コード発行時刻、発行した許可コード、などの情報を記録する。さらに、暗号キー設定者が決めた暗号キーや復号キーを、カメラや閲覧装置・閲覧ソフトウェアに、設定する設定装置・設定ソフトウェアに関する情報も記録する。

実施例７では、以下のような運用形態を想定している。すなわち、閲覧条件設定者、暗号キー設定者は、ともに、市役所の安全安心課であり、当該市役所が、数十万台のネットワークに接続されたカメラを市街地に設置・運用している。閲覧者としては、安全安心課に加え、町内会、カメラ設置工事会社、カメラメンテナンス会社、等がある。記憶サーバは、カメラシステムの開発・販売会社、あるいは、ＮＰＯなどが管理・運営する。

暗号キー設定者である市役所の安全安心課の職員が、暗号キーや復号キーを決定し、それを、暗号キーや復号キーを設定するための設定装置・設定ソフトに入力することで、各カメラ、各閲覧装置・閲覧ソフトウェアに一括設定をすることが可能となる。

安全安心課の職員により、設定装置・設定ソフトに入力された暗号キーや復号キーは秘匿化されている。つまり、暗号キーや復号キーを設定装置・設定ソフトウェアから取得することは、カメラや閲覧装置・閲覧ソフトウェア以外には知ることができない。例えば、設定装置・設定ソフトウェアへのアクセスには、特別なプロトコルが必要であり、これがカメラや閲覧装置・閲覧ソフトウェア以外には秘密になっている、カメラや閲覧装置・閲覧ソフトウェアの内部は暗号化されており、その復号キーはカメラや閲覧装置・閲覧ソフトウェア以外には秘密になっている。

暗号キーや復号キーは秘匿化されているため、設定装置・設定ソフトウェアを管理する、カメラシステムの設置会社、メンテナンス会社は、暗号キーや復号キーを知る事なく、全てのカメラ、全ての閲覧装置・閲覧ソフトに、暗号キーの設定を行うことことが可能となる。担当の安全安心課の職員は、一度、暗号キーを設定装置・設定ソフトウェアに入力するだけで、あとは、カメラシステムの設置会社、メンテナンス会社に任せることができる。

なお、一括設定の方法としては、インターネットを介して自動設定してもよいし、また、ＳＤカードなどを抜き差しする方式でもよいし、また、ジグビーやブルートゥースなどの近距離無線通信を介して設定されても良い。暗号キーや復号キーと同様に、許可コード発行条件も、同じ設定装置・設定ソフトウェアで設定できるようにしてもよい。 閲覧条件設定者と暗号キー設定者は、同一でもよく、例えば、市役所の総務課、安全安心課などが想定される。

閲覧者は、固有の閲覧者ＩＤが付与される。また、暗号キー設定者から、暗号キーや復号キーが設定された閲覧装置・閲覧ソフトウェアの提供を受ける。閲覧者は、閲覧者ＩＤ、カメラＩＤ、当該カメラで撮影された画像の中で閲覧した画像が撮影された時刻範囲を、閲覧装置・閲覧ソフトウェアに入力することにより、閲覧装置・閲覧ソフトウェアから、所定の条件で不鮮明化処理された不鮮明化処理ファイルを受け取り、閲覧することができる。

カメラには、固有のカメラＩＤが設定される。カメラで撮影された画像は、暗号キーにより、暗号化される。暗号化ファイルには、カメラＩＤ、撮影時刻を含む、固有のファイルＩＤが付与される。このファイルＩＤは、ファイル名と同一であってもよい。

撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

記録サーバは、閲覧装置・閲覧ソフトウェアからの問合せコードの入力に対して、予め設定された許可コード発行条件に従い処理を行い、許可コードを閲覧装置・閲覧ソフトウェアに出力する。許可コードは、問合せコードに内蔵された閲覧者ＩＤ、ファイルＩＤに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。許可コードにより規定される閲覧権限の強さに応じて、閲覧可能な画像の不鮮明度が規定される。

記録サーバは、閲覧装置・閲覧ソフトウェアとのやり取りの過程を記録する。特に、閲覧者ＩＤ、ファイルＩＤ、閲覧条件コードを記録することにより、どの閲覧者が、どの画像ファイルを、どの不鮮明度で、閲覧することを許されたかを記録する。記録サーバに、被写体のプライバシ情報を含む暗号化ファイル、暗号キー設定者が設定した暗号キーや復号キーが、入力されることはない。記録サーバは、閲覧条件設定者、暗号キー設定者、閲覧者とは異なる第３者により、独立して運用することができる。記録サーバの管理者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置でも良いし、市販のノートパソコンにインストールされた閲覧ソフトウェアも良い。特に、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置とすることで、より高い安全性が確保できる。

閲覧装置・閲覧ソフトウェアは、閲覧者からのファイル閲覧要求に応じて、カメラ、記録サーバと通信を行い、暗号化ファイルを取得する。その暗号化ファイルに対して、ファイル変換処理が施され、不鮮明化ファイルが生成される。ファイル変換処理の詳細は、以下のようになる。

まず、入力された暗号化ファイルに対して、暗号キーで復号化操作を行い、暗号化が解除され、一般的な静止画、または、動画のファイル形式である暗号解除ファイルを作る。次に、その暗号解除ファイルに対して、さらに、閲覧条件コードで規定されたモザイク処理等の不鮮明化処理を施し、不鮮明化ファイルを作る。

ファイル変換処理により生成された不鮮明化ファイルは、閲覧者に対して出力される。不鮮明化処理の強度は、閲覧条件コードにより規定された強度で行われる。不鮮明化強度がゼロに設定されている場合は、実質的には不鮮明化処理が行われない不鮮明化ファイルを出力する。なお、不鮮明化画像は、一般的な静止画または動画の、ファイル形式である。閲覧条件コードは、記録サーバから入力された許可コードから分離して使用される。

なお、図７に示した閲覧装置・閲覧ソフトウェアの「ファイル変換処理」の過程において生成される一時ファイルである「暗号解除ファイル」を、外部から伺い知ることを困難にするためには、メモリにスクランブルをかけるなど難読化が有効である。

本カメラシステムにおける、閲覧者が画像の閲覧要求を出してから、不鮮明化処理された画像を受け取るまでの処理は、以下のように行われる。

まず、閲覧者は、閲覧要求として、閲覧したい画像をカメラＩＤと時刻範囲により指定し、閲覧者ＩＤと共に、閲覧装置・閲覧ソフトウェアに入力する。閲覧装置・閲覧ソフトウェアは、カメラＩＤと時刻範囲とから成るファイル指定コードを生成する。さらに、閲覧者ＩＤとファイル指定コードからなる閲覧要求コードを生成する。次に、通信１により、閲覧装置・閲覧ソフトウェアは、閲覧要求コードを、カメラに送る。

カメラは、通信１により、閲覧要求コードを受け取ると、処理１を実施する。処理１は、ファイル指定コードで規定された時刻範囲に撮影された暗号化ファイルのファイルＩＤを検索する。この結果に基づき、閲覧者ＩＤとファイルＩＤからなる問合せコードを作成する。問合せコードを、通信２により、閲覧装置・閲覧ソフトウェアに送信する。なお、図では、問合せコードにはファイルＩＤが一つだけの例を記してあるが、これは、複数個あってもよい。なお、閲覧要求コードには、閲覧者が閲覧を希望する理由を記受した理由コードを含んでもよい。理由コードとしては、「刑事事件の捜査に必要」、「徘徊老人の探索に必要」、「カメラの保守管理のための定期検査用に必要」等の理由が考えられる。この場合、問合せコードにも、理由コードを転記することが好ましい。

問合せコードを受けた閲覧装置・閲覧ソフトウェアは、通信３により、問合せコードを記録サーバに送信する。通信３により問合せコードを受けた記録サーバは、処理３を実施する。処理３は、予め設定された許可コード発行条件に基づいて許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。

通信４により許可コードを受けた閲覧装置・閲覧ソフトウェアは、処理４を実施する。処理４は、許可コードから閲覧条件コードを取り出し、保存する。閲覧装置・閲覧ソフトウェアは、通信５により、許可コードをカメラに送り出す。

通信５により、許可コードを受けたカメラは、処理５により、許可コードに記載されたファイルＩＤに対応する暗号化ファイルを選び出す。選び出された暗号化ファイルは、通信６により、閲覧装置・閲覧ソフトウェアに送り出される。

通信６により、暗号化ファイルを受けた閲覧装置・閲覧ソフトウェアは、ファイル変換処理により、暗号化ファイルを、不鮮明化ファイルに変換した上で、閲覧者に出力する。画像の不鮮明化処理としては、モザイク化処理などが好適である。

図８に示す実施例８は請求項４の実施例である。実施例４においては、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバは、インターネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバで用いられる処理方法、暗号化、及び、復号化の方式は、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバ以外には知られていない。つまり、秘密になっている。秘密になっていることが重要である。

カメラをインターネットに接続することが難しい場合は、カメラと閲覧装置・閲覧ソフトウェア間の通信は短距離無線通信を用いるか、または、短距離無線通信によるアドホックネットワークを用いて、閲覧装置・閲覧ソフトウェアと記録サーバとの間の通信のみインターネットとすることが、有効である。なお、インターネット接続が一般的には便利であると思われるが、インターネット接続の代わりに、どのようなネットワーク接続を用いてもよい。また、上記短距離無線通信としては、ブルートゥース、ジグビーなどを用いてもよい。また、カメラと閲覧装置・閲覧ソフトウェアと記録サーバの間の通信は暗号化通信を用いてもよい。実施例８においては、理由コードの全部、または、一部として、事件の緊急度、及び／または、重要度などに関して記述された第3者機関が発行した電子認証されたコードを用いる。

図８に示したカメラシステムは、カメラで撮影され暗号化された画像ファイルを、入手、閲覧、利用する場合、記録サーバから発行される許可コードが必要である。記録サーバは、許可コードの発行要請に対して、許可コード発行条件に基づき、許可コードを発行する。図８において、通信３で記録サーバに送信される問合せコードが許可コード発行要請になる。

許可コード発行条件は、閲覧条件設定者が、設定・変更可能である。記録サーバは、許可コードの発行要請の受付から、許可コード発行までの過程における、カメラＩＤ、画像ファイルＩＤ、閲覧者ＩＤ、許可コード発行時刻、発行した許可コード、などの情報を記録する。このカメラシステムでは、理由コードの全部、または、一部として、事件の緊急度、及び／または、重要度などに関して記述された第３者機関が発行した電子署名されたコードを用いる。許可コードの発行には問合せコードが必要であり、問合せコードの発行には第３者機関によって電子署名された理由コードが必要であり、理由コードには事件の緊急度、及び／または、重要度などに関して記述された第３者機関に発行され電子署名された電子証明書を用いる。

実施例１と同様に、閲覧条件設定者は、許可コード発行条件を、記録サーバに秘匿的に設定できる。許可コード発行条件は、それ自身、暗号化されていることが好ましい。暗号キー設定者は、暗号キーや復号キーを、カメラに秘匿的に設定できる。また、暗号キー設定者は、復号キーを、閲覧者に付与する。暗号キーや復号キーは、それ自身、暗号化されていることが好ましい。閲覧条件設定者と暗号キー設定者は、同一でもよく、例えば、市役所の総務課、安全安心課などが想定される。

理由コードの電子署名は、例えば、本カメラシステムを管理運用する市役所の部署とは別の部署、裁判所などにより行われる。つまり、前記電子署名を行うのは、閲覧条件設定者、暗号キー設定者、閲覧者、記録サーバの管理・運営者等とは異なる、第３者機関であることをを想定する。理由コードの電子署名を行う者は、閲覧者が示す閲覧理由、閲覧要求範囲に対して、その正当性、緊急性などに関する評価を行い、電子証明書である理由コードを発行する。閲覧要求範囲とは、複数のカメラＩＤ、それぞれのカメラＩＤに対する時刻範囲である。図８では、理由コードの発行者は理由コード認証者であり、理由コード認証者は、通信０ａにある閲覧理由を含む認証要求コードの入力を受け、処理０を行い、理由コードを含む閲覧要求コードを出力し、通信０ｂにより閲覧装置・閲覧ソフトウェアに送信する。

閲覧者は、固有の閲覧者ＩＤが付与される。また、暗号キー設定者から、復号キーを付与される。閲覧者は、閲覧理由、閲覧者ＩＤ、カメラＩＤ、当該カメラで撮影された画像の中で閲覧した画像が撮影された時刻範囲、復号キーを、閲覧装置・閲覧ソフトウェアに入力することにより、閲覧装置・閲覧ソフトウェアから、所定の条件で不鮮明化処理された不鮮明化処理ファイルを受け取り、閲覧することができる。

カメラには、固有のカメラＩＤが設定される。カメラで撮影された画像は、暗号キーにより、暗号化される。暗号化ファイルには、カメラＩＤ、撮影時刻を含む、固有のファイルＩＤが付与される。このファイルＩＤは、ファイル名と同一であってもよい。

撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

記録サーバは、閲覧装置・閲覧ソフトウェアからの問合せコードの入力に対して、予め設定された許可コード発行条件に従い処理を行い、許可コードを閲覧装置・閲覧ソフトウェアに出力する。許可コードは、問合せコードに内蔵された閲覧者ＩＤ、ファイルＩＤに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。許可コードに含められる閲覧条件コードにより規定される閲覧権限の強さに応じて、閲覧可能な画像の不鮮明度が規定される。

記録サーバは、閲覧装置・閲覧ソフトウェアとのやり取りの過程を記録する。特に、閲覧者ＩＤ、ファイルＩＤ、閲覧条件コード、理由コードを記録することにより、どの閲覧者が、どの画像ファイルを、どの不鮮明度で、どのような理由で、閲覧することを許されたかを記録する。

記録サーバに、カメラの被写体のプライバシ情報を含む暗号化ファイル、暗号キー設定者が設定した暗号キーや復号キーが、入力されることはない。記録サーバは、閲覧条件設定者、暗号キー設定者、閲覧者、理由コード認証者とは異なる第３者により、独立して運用することができる。記録サーバの管理者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置でも良いし、市販のノートパソコンにインストールされた閲覧ソフトウェアでも良い。特に、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置とすることで、より高い安全性が確保できる。

閲覧装置・閲覧ソフトウェアは、閲覧者からのファイル閲覧要求に応じて、理由コード認証者、カメラ、記録サーバと通信を行い、暗号化ファイルを取得する。その暗号化ファイルに対して、ファイル変換処理が施され、不鮮明化ファイルが生成される。ファイル変換処理の詳細は、以下のようになる。

まず、入力された暗号化ファイルに対して、暗号キーで復号化操作を行い、暗号化が解除され、一般的な静止画、または、動画のファイル形式である暗号解除ファイルを作る。次に、その暗号解除ファイルに対して、さらに、閲覧条件コードで規定されたモザイク処理等の不鮮明化処理を施し、不鮮明化ファイルを作る。

ファイル変換処理により生成された不鮮明化ファイルは、閲覧者に対して出力される。不鮮明化処理の強度は、閲覧条件コードにより規定された強度で行われる。不鮮明化強度がゼロに設定されている場合は、実質的には不鮮明化処理が行われない不鮮明化画像を出力する。なお、不鮮明化画像は、一般的な静止画または動画の、ファイル形式である。閲覧条件コードは、記録サーバから閲覧装置・閲覧ソフトウェアに入力された許可コードから分離して使用される。なお、図８に示した閲覧装置・閲覧ソフトウェアの「ファイル変換処理」の過程において生成される一時ファイルである「暗号解除ファイル」を、外部から伺い知ることを困難にするためには、メモリにスクランブルをかけるなど難読化が有効である。

実施例８における、閲覧者が画像の閲覧要求を出してから、不鮮明化処理された画像を受け取るまでの情報通信処理は、以下のようになる。

まず、閲覧者は、閲覧要求として、閲覧理由、カメラＩＤ、時刻範囲を、閲覧装置・閲覧ソフトウェアに入力する。閲覧者ＩＤと復号化キーも閲覧装置・閲覧ソフトウェアに入力するが、この入力が行われるのは、、閲覧要求の入力の前であってもよいし、閲覧要求の入力と同時でもよいし、閲覧者ＩＤや復号キーを閲覧装置・閲覧ソフトウェアが必要とする段階でもよい。閲覧理由は、画像を閲覧が必要である理由である。閲覧理由の入力の方法は、例えば、予め用意された選択肢の中から選択する方式が考えられる。選択肢の例として、
（１）犯罪捜査（空き巣、不審者、痴漢、誘拐、強盗、殺人）
（２）徘徊老人の捜索、
（３）システムの動作確認・メンテナンス
などが考えられる。さらに、詳細に理由を入力する欄を設けることも考えられる。

閲覧装置・閲覧ソフトウェアは、閲覧者から入力された閲覧理由、閲覧者ＩＤ、カメラＩＤ、時刻範囲に基づき、認証要求コードを生成する。そして、認証要求コードを、通信０aにより、理由コード認証者に送信する。

理由コード認証者は、閲覧理由を含む認証要求コードの入力を受け、処理０により、認証要求コードの評価を行い、前記認証要求コードの正当性・緊急性に基づきし、電子証明書である理由コードを生成する。そして、理由コードを含む閲覧要求コードを、通信０ｂ
により、閲覧装置・閲覧ソフトウェアに送信する。

認証要求コードに対する評価の方法としては、例えば、限定的な閲覧要求範囲の場合は自動的に認証を出す、一方、広範囲な閲覧要求範囲の場合は、閲覧者から書面での証拠を求めた上で、評価することが考えられる。限定的な閲覧要求範囲の場合とは、閲覧者が希望するカメラの数や画像の撮影された時刻範囲などが、予め設定された範囲内である場合である。広範囲な閲覧要求範囲の場合とは、閲覧者が希望するカメラの数や画像の撮影された時刻範囲が予め設定された範囲外である場合である。

理由コードは、理由コード認証者により電子的に署名された電子証明書である。理由コードには、理由コード認証者が、事件の緊急度、及び／または、重要度などについて判定した結果を含んでも良い。

閲覧装置・閲覧ソフトウェアは、閲覧者から入力されたカメラＩＤと時刻範囲から、ファイル指定コードを生成する。さらに、閲覧者ＩＤ、ファイル指定コード、閲覧理由からなる認証要求コードを生成する。

なお、図８では、閲覧者と、理由コード認証者との間の議論が示されている。議論の中身としては、閲覧者が、理由コード認証者に対して、電話、書面等で、例えば、事件の緊急度、重要度に関する説明を行う。説明の具体的な内容として、例えば、「子供の命に係わる誘拐事件の捜査に必要」、「徘徊老人の保護が必要」、「カメラの保守管理のための定期検査用に必要」などが考えられる。理由コード認証者は、閲覧者からの説明を参考に、事件の緊急度、重要度の判定を下し、その結果に基づき、電子証明書である理由コードを作製し、理由コードを含む閲覧要求コードを、閲覧装置・閲覧ソフトウェアに対して送信する。

次に、通信１により、閲覧装置・閲覧ソフトウェアは、閲覧要求コードを、カメラに送る。カメラは、通信１により、閲覧要求コードを受け取ると、処理１を実施する。処理１は、ファイル指定コードで規定された時刻範囲に撮影された暗号化ファイルのファイルＩＤを検索する。この結果に基づき、閲覧者ＩＤ、ファイルＩＤ、理由コードからなる問合せコードを作成する。問合せコードを、通信２により、閲覧装置・閲覧ソフトウェアに送信する。なお、図８では、問合せコードにはファイルＩＤが一つだけの例を記してあるが、これは、複数個あってもよい。

また、図８には、カメラは１台のみが示されているが、ファイル指定コードに複数のカメラＩＤが指定されている場合には、複数のカメラに対して同時に処理が行われる。なお、閲覧要求コードに含まれる情報の全部、または、一部は、その後の通信においても、引き継がれていくことが望ましい。例えば、図８の通信１、２、３、４、５、６においては、最初の通信１に任意に生成された識別データを付与し、これが、引き継がれることで、通信の一貫性を保障することができる。

問合せコードを受けた閲覧装置・閲覧ソフトウェアは、通信３により、問合せコードを記録サーバに送信する。通信３により問合せコードを受けた記録サーバは、処理３を実施する。処理３は、予め設定された許可コード発行条件に基づいて許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。

通信４により許可コードを受けた閲覧装置・閲覧ソフトウェアは、処理４を実施する。処理４は、許可コードから閲覧条件コードを取り出し、保存する。閲覧装置・閲覧ソフトウェアは、通信５により、許可コードをカメラに送り出す。通信５により、許可コードを受けたカメラは、処理５を実施する。処理５は、閲覧条件コードの真正性を確認し、許可コードにあるファイルＩＤに対応する暗号化ファイルを選び出す。選び出された暗号化ファイルは、通信６により、閲覧装置・閲覧ソフトウェアに送り出される。

通信６により、暗号化ファイルを受けた閲覧装置・閲覧ソフトウェアは、ファイル変換処理により、暗号化ファイルを、不鮮明化ファイルに変換した上で、閲覧者に出力する。画像の不鮮明化処理としては、モザイク化処理などが好適である。

図９に示す実施例９は、請求項１の実施例である。図９においては、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバは、インターネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバで用いられる処理方法、暗号化、及び、復号化の方式は、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバ以外には知られていない。つまり、秘密になっている。秘密になっていることが重要である。

カメラをインターネットに接続することが難しい場合は、カメラと閲覧装置・閲覧ソフトウェア間の通信は短距離無線通信を用いるか、または、短距離無線通信によるアドホックネットワークを用いて、閲覧装置・閲覧ソフトウェアと記録サーバとの間の通信のみインターネットとすることが、有効である。なお、インターネット接続が一般的には便利であると思われるが、インターネット接続の代わりに、どのようなネットワーク接続を用いてもよい。また、上記短距離無線通信としては、ブルートゥース、ジグビーなどを用いてもよい。また、カメラと閲覧装置・閲覧ソフトウェアと記録サーバの間の通信は暗号化通信を用いてもよい。

図９に示したカメラシステムは、カメラで撮影され暗号化された画像ファイルを、入手または閲覧または利用する場合、記録サーバから発行される許可コードが必要であるカメラシステムであり、記録サーバは、許可コードの発行要請に対して、許可コード発行条件に基づき、許可コードを発行するカメラシステムである。図９において、通信３で記録サーバに送信される問合せコードが許可コード発行要請になる。

許可コード発行条件は、閲覧条件設定者が設定・変更可能である。記録サーバは、許可コードの発行の要請の受付から、許可コード発行までの過程における、閲覧者、カメラ、及び、そのカメラにより撮影・暗号化保存された画像ファイル、閲覧条件、処理を行った時刻、などに関する情報を記録する。カメラ、暗号化された画像ファイル、閲覧者、などに関する情報の例としては、カメラとそのカメラにより撮影・保存された画像ファイルを指定するファイル指定コード、閲覧者ＩＤ、閲覧条件コード、許可コード発行時刻、発行した許可コード、などがある。

実施例１と同様に、閲覧条件設定者は、許可コード発行条件を、記録サーバに、秘匿的に設定できる。許可コード発行条件は、暗号化されていることが好ましい。暗号キー設定者は、暗号キーや復号キーを、カメラに秘匿的に設定できる。また、暗号キー設定者は、復号キーを、閲覧者に付与する。暗号キーは、暗号化されていることが好ましい。閲覧条件設定者と暗号キー設定者は、同一でもよく、例えば、市役所の総務課、安全安心課などが想定される。

閲覧者には、固有の閲覧者ＩＤが付与される。また、閲覧者には、暗号キー設定者から、復号キーを付与される。閲覧者は、閲覧者ＩＤ、カメラＩＤ、当該カメラで撮影された画像の中で閲覧を希望する画像が撮影された時刻範囲、暗号キーを、閲覧装置・閲覧ソフトウェアに入力することにより、閲覧装置・閲覧ソフトウェアから、許可コード発行条件に基づき不鮮明化処理された不鮮明化ファイルを受け取り、利用・閲覧することができる。

また、閲覧者は複数いることを想定している。閲覧者としては、市役所、警察署、カメラを設置する工事業者、カメラシステムを保守管理するメンテナンス業者、自治会、町内会、一般市民、などが考えられる。例えばメンテナンス業者はモザイク処理された不鮮明な画像しか見ることができず、警察や市役所等では不鮮明化されていない画像を見ることができる、という運用方法が想定される。

カメラには、固有のカメラＩＤが設定される。カメラで撮影された画像は、暗号キーにより、暗号化される。暗号化ファイルには、カメラＩＤ、撮影時刻を含む、固有のファイルＩＤが付与される。このファイルＩＤは、ファイル名と同一であってもよい。撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。

カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

図９では、通信５によりカメラに送信された許可コードに基づき、暗号化ファイルが閲覧装置・閲覧ソフトウェアに転送される。この際に、カメラ内部でファイル変換処理によって前記暗号化ファイルは暗号化不鮮明化ファイルに変換され、通信６により閲覧装置・閲覧ソフトウェアに送信される。ファイル変換処理の詳細は、以下のように行われる。

まず、許可コードにより指定された暗号化ファイルに対して、復号キーで復号化操作が行われ、暗号化が解除され、一般的な静止画または動画の、ファイル形式である暗号解除ファイルが作成される。次に、その暗号解除ファイルに対して、閲覧条件コードで規定されたモザイク処理等の不鮮明化処理・閲覧制限処理を施し、不鮮明化ファイルを作る。不鮮明化処理の強度は、閲覧条件コードにより規定された強度で行われる。不鮮明化強度がゼロに設定されている場合は、不鮮明化処理が行われない不鮮明化画像である。なお、不鮮明化ファイルは、一般的な画像または動画の、ファイル形式の画像ファイルと、画像ファイルと一体とできない他の種類の情報を記述したファイルの組み合わせでも良い。閲覧条件コードは、閲覧装置・閲覧ソフトウェアから入力された許可コードから分離して使用される。不鮮明化ファイルが再び暗号キーを用いて再び暗号化されることにより、暗号化不鮮明化ファイルが作成される。

閲覧者は画像の閲覧を行う場合、閲覧装置・閲覧ソフトウェアから記録サーバに許可コードの発行要請を行うが、この要請は閲覧装置・閲覧ソフトウェアから問合せコードを記録サーバに送信することにより行う。記録サーバは閲覧装置・閲覧ソフトウェアから送られた問い合わせコードに対して、予め設定された許可コード発行条件に基づき処理を行い、許可コード発行条件を満たしている場合には、許可コードを閲覧装置・閲覧ソフトウェアに出力する。許可コードは、問合せコードに内蔵された閲覧者ＩＤ、ファイルＩＤに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。閲覧条件コードでは、閲覧時の画像の鮮明度、閲覧可能なファイル数、閲覧可能回数、保存の可否などが規定される。

記録サーバは、閲覧装置・閲覧ソフトウェアとの通信内容を記録する。特に、閲覧者ＩＤ、ファイルＩＤ、閲覧条件コードを記録することにより、どの閲覧者が、どの画像ファイルを、どの不鮮明度で、閲覧することを許されたかを記録する。記録サーバに、カメラが撮影した暗号化された画像ファイル、暗号キー設定者が設定したカメラの暗号キーが、入力されることはない。暗号化された画像を記録サーバが取り扱うことはないため、記録サーバの管理者が画像を閲覧することは不可能である。

記録サーバは、閲覧条件設定者、暗号キー設定者、閲覧者とは異なる第３者により、独立して管理運用されることが好ましい。記録サーバの管理運用者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧者からのファイル閲覧要求に応じて、監視カメラ、記録サーバと通信を行い、暗号化された不鮮明化ファイルを取得する。その暗号化ファイルに対して、復号キーによる復号化処理が行われ、不鮮明化ファイルが生成される。

図９のカメラシステムにおいて、閲覧者が画像の閲覧要求を出してから、不鮮明化処理された画像を受け取るまでの処理は、以下のように行われる。

まず、閲覧者は、閲覧要求として、カメラＩＤ、時刻範囲を、閲覧装置・閲覧ソフトウェアに入力する。閲覧者ＩＤと復号化キーも閲覧装置・閲覧ソフトウェアに入力するが、この入力が行われるのは、、閲覧要求の入力の前であってもよいし、閲覧要求の入力と同時でもよいし、閲覧者ＩＤや復号キーを閲覧装置・閲覧ソフトウェアが必要とする段階でもよい。閲覧装置・閲覧ソフトウェアはカメラＩＤと時刻範囲とから成るファイル指定コードを生成し、さらに、閲覧者ＩＤとファイル指定コードからなる閲覧要求コードを生成する。

次に、図９の通信１により、閲覧装置・閲覧ソフトウェアは、閲覧要求コードを、カメラに送る。カメラは、通信１により、閲覧要求コードを受け取ると、処理１を実施する。処理１は、ファイル指定コードで規定された時刻範囲に撮影された画像が暗号化された暗号化ファイルのファイルＩＤを検索する。この結果に基づき、閲覧者ＩＤとファイルＩＤからなる問合せコードを作成する。問合せコードを、通信２により、閲覧装置・閲覧ソフトウェアに送信する。なお、図９では、問合せコードにはファイルＩＤが一つだけである例を記してあるが、これは、複数個あってもよい。

なお、閲覧要求コードには、閲覧者が閲覧を希望する理由を記受した理由コードを含んでもよい。理由コードとしては、「刑事事件の捜査に必要」、「徘徊老人の探索に必要」、「カメラの保守管理のための定期検査用に必要」等の理由が考えられる。この場合、問合せコードにも、理由コードを転記することが好ましい。

問合せコードを受けた閲覧装置・閲覧ソフトウェアは、処理２を実施する。処理２は、通信３により、問合せコードを記録サーバに送信する。通信３により問合せコードを受けた記録サーバは、処理３を行う。処理３は、許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。許可コードは、閲覧者ＩＤとファイルＩＤと閲覧条件コードからなる。許可コードに含まれる閲覧者ＩＤとファイルＩＤは通信３により送られてきた問合せコードに含まれる閲覧者ＩＤとファイルＩＤとする。許可コードに含まれる閲覧条件コードは、予め設定された許可コード発行条件に基づいて決定される。記録サーバは処理３を行うのと同時に、閲覧者ＩＤ、ファイル指定コード、当該処理３が行われた時刻、閲覧条件コードをログに記録する。許可コード発行条件としては、登録された閲覧者ごとに、また、閲覧理由ごとに、１日あたりに閲覧することが可能であるファイル数、閲覧可能な不鮮明度、などの閲覧条件が規定されたテーブルであってもよい。

通信４により許可コードを受けた閲覧装置・閲覧ソフトウェアは、処理４を実施する。処理４は、許可コードから閲覧条件コードを取り出し、保存する。さらに、処理４は、通信５により、許可コードをカメラに送信する。

通信５により、許可コードを受けたカメラは、閲覧条件コードの真正性を確認し、許可コードにあるファイルＩＤに対応する暗号化ファイルを選び出す。さらに、その暗号化ファイルを、ファイル変換処理により、閲覧条件コードに指定された不鮮明化処理を施した暗号化不鮮明化ファイルへと変換する。画像の不鮮明化処理としては、モザイク化処理などが好適である。変換された暗号化不鮮明化ファイルは、通信６により、閲覧装置・閲覧ソフトウェアに送り出される。

通信６により、暗号化不鮮明化ファイルを受けた閲覧装置・閲覧ソフトウェアは、復号化処理により、暗号化不鮮明化ファイルを、不鮮明化ファイルに変換し、閲覧者に出力する。

図１０に実施例１０を示す。実施例１０では、実施例５ににおいて、カメラ側で異常を検知した際などに、カメラから閲覧者に対して閲覧の要請を行った際に、同時に、警察・消防などへ通報する場合を説明している。

図１０に示すカメラシステムにおいては、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバは、インターネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバで用いられる処理方法、暗号化、及び、復号化の方式は、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバ以外には知られていない。つまり、秘密になっている。秘密になっていることが重要である。

図１０に示したカメラシステムは、カメラで撮影され暗号化された画像ファイルを、閲覧者が入手または閲覧する場合に、記録サーバから発行される許可コードが必要であるカメラシステムであり、記録サーバは、許可コードの発行の要請に対して、許可コード発行条件に基づき、許可コードを発行するカメラシステムである。図１０においては、問合せコードが許可コードの発行要請になる。

許可コード発行条件は、閲覧条件設定者が設定・変更可能である。記録サーバは、許可コードの発行の要請の受付から、許可コード発行までの過程における、カメラＩＤ、画像ファイルＩＤ、閲覧者ＩＤ、許可コード発行時刻、発行した許可コード、などの情報を記録する。

実施例１０では、カメラ内での画像処理により、カメラが取得した画像に含まれる情報が画像処理により分析され、その分析結果が画像と関連付けて保存され、その分析結果をカメラの周囲および警察・消防などの公共機関、閲覧装置・閲覧ソフトウェアに対して知らしめる。なお、音声情報、温度情報、二酸化炭素などのガス濃度情報、など、カメラが取得する画像以外の情報がある場合は、それらを含めて信号処理を行い、火事、喧嘩、不審な動き、交通事故などの異常検知に役立てることは有効である。例えば、音声情報は、喧嘩、交通事故の際に発する異常な音を検知するのに役立つ。また、温度情報、ガス濃度情報は、火災の検出に役立つ。

図１０において、閲覧要請コードは、閲覧装置・閲覧ソフトウェアのみに通知されるが、通知先として、閲覧者の携帯電話に電子メール等で通知することも可能である。あるいは、閲覧要請コードを受信した閲覧装置・閲覧ソフトウェアが、閲覧要請コードを受けた旨を、閲覧者の携帯電話などに電子メール等で通知することも有効である。

実施例１と同様に、閲覧条件設定者は、許可コード発行条件を、記録サーバに秘匿的に設定できる。許可コード発行条件は、暗号化されていることが好ましい。暗号キー設定者は、暗号キーや復号キーを、カメラに秘匿的に設定できる。また、暗号キー設定者は、復号キーを、閲覧者に付与する。暗号キーや復号キーは、それ自身、暗号化されていることが好ましい。閲覧条件設定者と暗号キー設定者は、同一でもよく、例えば、市役所の総務課、安全安心課などが想定される。

閲覧者は、固有の閲覧者ＩＤが付与される。また、閲覧者には、暗号キー設定者から、暗号キーを付与される。閲覧者は、閲覧者ＩＤ、カメラＩＤ、当該カメラで撮影された画像の中で閲覧した画像が撮影された時刻範囲、暗号キーを、閲覧装置・閲覧ソフトウェアに入力することにより、閲覧装置・閲覧ソフトウェアから、許可コード発行条件に基づき不鮮明化処理された不鮮明化処理ファイルを受け取り、閲覧することができる。

カメラには、固有のカメラＩＤが設定される。カメラで撮影された画像は、暗号キーにより、暗号化される。暗号化ファイルには、カメラＩＤ、撮影時刻を含む、固有のファイルＩＤが付与される。このファイルＩＤは、ファイル名と同一であってもよい。撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。

カメラは、撮影された画像に対して、ケンカ、放火、徘徊、落書き、交通 事故、路上寝込み、不法投棄、街路灯の点灯異常、などの不審な動きなどを検知する画像処理を行い、不審な動きなどが検知された場合には、予め定められた閲覧者に対して画像の閲覧要請を行う。また、画像が真っ暗であることやノイズが過剰であること等によりカメラの故障の可能性を検知し、画像の閲覧要請を行う機能を付加してもよい。

さらに、画像の閲覧の要請をインターネットを使った通信で出す機能に加え、カメラ近傍に設置されたサイレン・回転灯などの警報装置で外部に対して警報を出す機能、及び／または、警察署や消防署などに緊急連絡を行う機能を持つ。

画像の閲覧要請をインターネットを使った通信で出す機能に加え、カメラ近傍に設置されたサイレン・回転灯などで外部に対して警報を出す機能、及び／または、携帯電話回線で警察署や消防署などに緊急連絡を行う機能を、及び／または、電子メールやその他のWEBサービスへメッセージを送信する機能を、付加してもよい。画像処理の条件、閲覧要請を出す条件、などは、前述の、閲覧条件設定者、暗号キー設定者などにより、事前に、設定される。

カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

記録サーバは、閲覧装置・閲覧ソフトウェアからの問合せコードの入力に対して、予め設定された許可コード発行条件に従い処理を行い、許可コードを閲覧装置・閲覧ソフトウェアに出力する。許可コードは、問合せコードに内蔵された閲覧者ＩＤ、ファイルＩＤに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。許可コードにより規定される閲覧権限の強さに応じて、閲覧可能な画像の不鮮明度が規定される。

記録サーバは、閲覧装置・閲覧ソフトウェアとのやり取りの過程を記録する。特に、閲覧者ＩＤ、ファイルＩＤ、閲覧条件コードを記録することにより、どの閲覧者が、どの画像ファイルを、どの不鮮明度で、閲覧することを許されたかを記録する。 記録サーバに、被写体のプライバシ情報を含む暗号化ファイル、暗号キー設定者が設定した暗号キーが、入力されることはない。

記録サーバは、閲覧条件設定者、暗号キー設定者、閲覧者とは異なる第３者により、独立して運用することができる。記録サーバの管理者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置でも良いし、市販のノートパソコンにインストールされた閲覧ソフトウェアでも良い。特に、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置とすることで、より高い安全性が確保できる。

閲覧装置・閲覧ソフトウェアは、カメラからのファイル閲覧要請に応じて、カメラ、記録サーバと通信を行い、暗号化ファイルを取得する。その暗号化ファイルに対して、ファイル変換処理が施され、不鮮明化ファイルが生成される。ファイル変換処理の詳細は、以下のように行われる。

まず、入力された暗号化ファイルに対して、復号キーで復号化操作を行い、暗号化が解除され、一般的な静止画または動画の、ファイル形式である暗号解除ファイルを作る。次に、その暗号解除ファイルに対して、さらに、閲覧条件コードで規定されたモザイク処理等の不鮮明化処理を施し、不鮮明化ファイルを作る。

ファイル変換処理により生成された不鮮明化画像は、閲覧者に対して出力される。不鮮明化処理の強度は、閲覧条件コードにより規定された強度で行われる。不鮮明化強度がゼロに設定されている場合は、実質的には不鮮明化処理が行われない不鮮明化ファイルを出力する。なお、不鮮明化ファイルは、一般的な静止画または動画の、ファイル形式である。閲覧条件コードは、記録サーバから入力された許可コードから分離して使用される。

なお、図１０に示した閲覧装置・閲覧ソフトウェアの「ファイル変換処理」の過程において生成される一時ファイルである「暗号解除ファイル」を、外部から伺い知ることを困難にするためには、メモリにスクランブルをかけるなどの難読化が有効である。

本システムにおける、カメラが画像の閲覧要請を出してから、閲覧者が不鮮明化処理された画像を受け取るまでの処理は、以下のように行われる。

まず、カメラは、自身が撮影した画像、及び／または、画像以外の温度、振動、音波、電磁波などに関するセンシング情報を、所定のアルゴリズムに従い処理を行う。その結果、ケンカ、交通事故、放火、徘徊、痴漢、空き巣、強盗、カメラへの接触、などの異常が検知された場合には、所定の閲覧者に対して、画像等の閲覧の要請を行う。

図１０の「撮影画像」は、「撮影画像等のセンシング情報」と解釈する。同じく、図１０の「画像処理」は、「画像処理等のセンシング情報処理」と解釈する。カメラは、閲覧者ＩＤとファイルＩＤからなる閲覧要請コードを作成する。閲覧要請コードを、通信２により、閲覧装置・閲覧ソフトウェアに送信する。なお、図１０では、閲覧要請コードにはファイルＩＤが一つだけの例を記してあるが、これは、複数個あってもよい。なお、図１０には示されていないが、閲覧要請コードには、閲覧者が閲覧するべき理由を記受した理由コードを含む。 理由コードとしては、「ケンカと思われる異常な動きが検知された」、「カメラ内部の動作がおかしく故障していることが予想される」、などが考えられる。

閲覧要請コードを受けた閲覧装置・閲覧ソフトウェアは、処理２を実施する。処理２は、閲覧要請コードに含まれる理由コードを分離し、それを、閲覧者に示し、カメラからの閲覧の要請を受諾するか否かの判断を求める。あるいは、閲覧装置・閲覧ソフトウェアは、予め定められた条件に従い、閲覧の要請を受諾するか否かの判断を自動的に行う。閲覧の要請を受諾する判断が下された場合は、閲覧装置・閲覧ソフトウェアは問合せコードを作製し、通信３により、問合せコードを記録サーバに送信する。

通信３により問合せコードを受けた記録サーバは、処理３を実施する。処理３は、予め設定された許可コード発行条件に基づいて許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。

通信４により許可コードを受けた閲覧装置・閲覧ソフトウェアは、処理４を実施する。処理４は、許可コードから閲覧条件コードを取り出し、保存する。閲覧装置・閲覧ソフトウェアは、通信５により、許可コードをカメラに送り出す。通信５により、許可コードを受けたカメラは、処理５により、許可コードに記載されたファイルＩＤに対応する暗号化ファイルを選び出す。選び出された暗号化ファイルは、通信６により、閲覧装置・閲覧ソフトウェアに送り出される。

通信６により、暗号化ファイルを受けた閲覧装置・閲覧ソフトウェアは、ファイル変換処理により、暗号化ファイルを、不鮮明化ファイルに変換した上で、閲覧者に出力する。画像の不鮮明化処理としては、モザイク化処理などが好適である。

図１１に、実施例１１を示す。実施例１１では、実施例６において、カメラ側で異常を検知した際などに、カメラから記録サーバに対して閲覧の要請を行った際に、同時に、警察・消防などへ通報する場合を説明している。

図１１に示すシステムにおいては、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバは、インターネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバの内部での情報処理は、共通のコード、ファイルを処理できるように、共通の規格となっている。そして、その規格は、秘密になっていることが重要である。特に、カメラ、閲覧装置・閲覧ソフトウェアで用いられる暗号化、及び、復号化の方式は、秘密になっていることが重要である。

図１１に示したカメラシステムは、カメラで撮影され暗号化された画像ファイルを、入手、閲覧、利用する場合に、記録サーバから発行される許可コードが必要である。記録サーバは、許可コードの発行要請に対して、予め定められた許可コード発行条件で、許可コードを発行する。

図１１に示したカメラシステムは、カメラで撮影され暗号化された画像ファイルを、入手、または、閲覧、または、利用する場合に、記録サーバから発行される許可コードが必要である。記録サーバは、許可コードの発行要請に対して、許可コード発行条件に基づき、許可コードを発行する。図１１においては、通信２で記録サーバに送信される閲覧要請コードが許可コード発行要請になる。

許可コード発行条件は、閲覧条件設定者が設定・変更可能である。記録サーバは、許可コードの発行の要請の受付から、許可コード発行までの過程における、カメラＩＤ、画像ファイルＩＤ、閲覧者ＩＤ、許可コード発行時刻、発行した許可コード、などの情報を記録する。カメラ内での画像処理により、カメラで撮影された画像に含まれる情報が画像処理により分析され、その分析結果が画像と関連付けて保存される処理、及び／または、その分析結果を周囲および警察・消防などの公共機関、閲覧装置・閲覧ソフトウェアに対して知らしめる処理、を行う。

実施例１と同様に、閲覧条件設定者は、許可コード発行条件を、記録サーバに、秘匿的に設定できる。許可コード発行条件は、それ自身、暗号化されていることが好ましい。暗号キー設定者は、暗号キーや復号キーを、カメラに秘匿的に設定できる。また、暗号キー設定者は、復号キーを、閲覧者に付与する。暗号キーや復号キーは、それ自身、暗号化されていることが好ましい。閲覧条件設定者と暗号キー設定者は、同一でもよく、例えば、市役所の総務課、安全安心課などが想定される。

閲覧者は、固有の閲覧者ＩＤが付与される。また、暗号キー設定者から、復号キーを付与される。閲覧者は、記録サーバからの閲覧の要請に対して、閲覧するか否かの可否判断を行う。閲覧の要請に対して応諾する判断を下した場合には、閲覧装置・閲覧ソフトウェアは、カメラから暗号化ファイルを受け取り、不鮮明化処理を施された画像等を出力する。

カメラには、固有のカメラＩＤが設定される。カメラで撮影された画像は、暗号キーにより、暗号化される。暗号化ファイルには、カメラＩＤ、撮影時刻を含む、固有のファイルＩＤが付与される。このファイルＩＤは、ファイル名と同一であってもよい。

撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。カメラは、撮影された画像に対して、ケンカ・放火・徘徊などの不審な動きなどを検知する画像処理を行い、不審な動きなどが検知された場合には、記録サーバを介して、予め定められた閲覧者に対して画像の閲覧の要請を行う。

画像の閲覧の要請をインターネットを使った通信で出す機能に加え、カメラ近傍に設置されたサイレン・回転灯などの警報装置で外部に対して警報を出す機能、及び／または、携帯電話回線で警察署や消防署などに緊急連絡を行う機能を持つ。 画像処理の条件、閲覧の要請を出す条件、警報の発報や緊急連絡を行う条件、などは、前述の、閲覧条件設定者、暗号キー設定者などにより、事前に、設定される。

カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

記録サーバは、カメラからの閲覧要請コードの入力に対して、予め設定された許可コード発行条件に従い処理を行い、許可コードを閲覧装置・閲覧ソフトウェアに出力する。許可コードは、閲覧要請コードに内蔵された閲覧者ＩＤ、ファイルＩＤ、理由コードに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。許可コードにより規定される閲覧権限の強さに応じて、閲覧可能な画像の不鮮明度が規定される。

記録サーバは、カメラ、閲覧装置・閲覧ソフトウェアとのやり取りの過程を記録する。特に、閲覧者ＩＤ、ファイルＩＤ、閲覧条件コード、理由コードを記録することにより、どの閲覧者が、どの画像ファイルを、どの不鮮明度で、どのような理由で、閲覧することを許可されたかを記録する。記録サーバに、カメラの被写体のプライバシ情報を含む暗号化ファイル、暗号キー設定者が設定した暗号キーや復号キーが、入力されることはないことが、情報セキュリティの観点から望ましい。 記録サーバは、閲覧条件設定者、暗号キー設定者、閲覧者とは異なる第３者により、独立して運用することができる。記録サーバの管理者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置でも良いし、市販のノートパソコンにインストールされた閲覧ソフトウェアでも良い。特に、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置とすることで、より高い安全性が確保できる。閲覧装置・閲覧ソフトウェアは、記録サーバからのファイル閲覧の要請に応じて、カメラ、記録サーバと通信を行い、暗号化ファイルを取得する。その暗号化ファイルに対して、ファイル変換処理が施され、不鮮明化ファイルが生成される。ファイル変換処理の詳細は、以下のように行われる。

まず、入力された暗号化ファイルに対して、暗号キーで復号化操作を行い、暗号化が解除され、一般的な静止画または動画の、ファイル形式である暗号解除ファイルを作る。次に、その暗号解除ファイルに対して、さらに、閲覧条件コードで規定されたモザイク処理等の不鮮明化処理を施し、不鮮明化ファイルを作る。ファイル変換処理により生成された不鮮明化ファイルは、閲覧者に対して出力される。不鮮明化処理の強度は、閲覧条件コードにより規定された強度で行われる。不鮮明化強度がゼロに設定されている場合は、実質的には不鮮明化処理が行われない不鮮明化画像を出力する。なお、不鮮明化画像は、一般的な静止画、または、動画のファイル形式である。閲覧条件コードは、記録サーバから入力された許可コードから分離して使用される。なお、図１１に示した閲覧装置・閲覧ソフトウェアの「ファイル変換処理」の過程において生成される一時ファイルである「暗号解除ファイル」を、外部から伺い知ることを困難にするためには、メモリにスクランブルをかけるなど難読化が有効である。

本システムにおける、カメラが画像の閲覧の要請を出してから、閲覧者が不鮮明化処理された画像を受け取るまでの処理は、以下のようになる。

まず、カメラは、自身が撮影した画像、及び／または、画像以外の温度、振動、音波、電磁波などに関するセンシング情報を、所定のアルゴリズムに従い処理を行う。その結果、ケンカ、放火、徘徊、痴漢、空き巣、強盗、などの異常が検知された場合には、所定の閲覧者に対して、画像等の閲覧の要請を行う。

図１１の撮影画像は、撮影画像等のセンシング情報とみなすことができる。また、図１１の画像処理は、画像処理等のセンシング情報処理とみなすことができる。

カメラは、閲覧者ＩＤとファイルＩＤからなる閲覧要請コードを作成する。閲覧要請コードを、通信２により、記録サーバに送信する。なお、図１１では、閲覧要請コードにはファイルＩＤが一つだけの例を記してあるが、これは、複数個あってもよい。なお、図１１には示されていないが、閲覧要請コードには、閲覧者が閲覧するべき理由を記受した理由コードを含む。 理由コードとしては、「ケンカと思われる異常な動きが検知された」、「カメラ内部の動作がおかしく故障していることが予想される」、などが考えられる。

閲覧要請コードを受けた記録サーバは、処理３を実施する。処理３は、予め設定された許可コード発行条件に基づいて許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。許可コードは、問合せコードに内蔵された閲覧者ＩＤ、ファイルＩＤ、画像閲覧の権限の強さを示す閲覧条件コードに加え、閲覧要請コードに含まれる理由コードが追加されたものとして作成される。

通信４により許可コードを受けた閲覧装置・閲覧ソフトウェアは、処理４を実施する。処理４は、閲覧要請コードに含まれる理由コードを分離し、それを、閲覧者に示し、カメラからの閲覧の要請を受諾するか否かの判断を求める。あるいは、閲覧装置・閲覧ソフトウェアは、予め定められた条件に従い、閲覧の要請を受諾するか否かの判断を自動的に行う。閲覧の要請を受諾する判断が下された場合は、閲覧装置・閲覧ソフトウェアは許可コードを、通信５により、送信する。

通信５により、許可コードを受けたカメラは、処理５を実施する。処理５は、閲覧条件コードの真正性を確認し、許可コードにあるファイルＩＤに対応する暗号化ファイルを選び出す。選び出された暗号化ファイルは、通信６により、閲覧装置・閲覧ソフトウェアに送り出される。通信６により、暗号化ファイルを受けた閲覧装置・閲覧ソフトウェアは、ファイル変換処理により、暗号化ファイルを、不鮮明化ファイルに変換した上で、閲覧者に出力する。画像の不鮮明化処理としては、モザイク化処理などが好適である。

図１２に、実施例１２を示す。実施例１２は請求項１や２の実施例であり、暗号化ファイルがカメラ内部ではなくカメラ外部にも保存される場合の実施例となっている。実施例１２では、暗号化ファイルがカメラ外部に保存される場合の実施例である。カメラ側で異常を検知した際などに、カメラから閲覧者に対して閲覧要請コードを送出すると同時に、必要となる暗号化ファイルをクラウドストレージへ転送するカメラシステムを説明している。これにより、カメラが低速回線で接続されている際に、必要となるファイルをあらかじめクラウドストレージへ送り出すことによりタイムラグを解消したり、カメラが破壊された際にそれまでの画像が失われることを防ぐ。

図１２に示すシステムにおいては、カメラ、閲覧装置・閲覧ソフトウェア、クラウドストレージ、記録サーバは、インターネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバの内部での情報処理は、共通のコード、ファイルを処理できるように、共通の規格となっている。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバで用いられる処理方法、暗号化、及び、復号化の方式は、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバ以外には知られていない。つまり、秘密になっている。秘密になっていることが重要である。

図１２にカメラシステムは、閲覧者が入手または閲覧する場合に、記録サーバから発行される許可コードが必要であるカメラシステムであり、記録サーバは、許可コードの発行の要請に対して、許可コード発行条件に基づき、許可コードを発行するカメラシステムである。図１２においては、問合せコードが許可コードの発行要請になる。

許可コード発行条件は、閲覧条件設定者が設定・変更可能である。記録サーバは、許可コードの発行の要請の受付から、許可コード発行までの過程における、カメラＩＤ、画像ファイルＩＤ、閲覧者ＩＤ、許可コード発行時刻、発行した許可コード、などの情報を記録する。

カメラ内での画像処理により、カメラが取得した画像に含まれる情報が画像処理により分析され、その分析結果が画像と関連付けて保存され、その分析結果を閲覧装置・閲覧ソフトウェアに対して知らしめると同時に、閲覧要請で必要とされるファイルをクラウドストレージへ転送する処理、を行う。

、閲覧要請コードは、閲覧装置・閲覧ソフトウェアのみに通知されるが、通知先として、閲覧者の携帯電話に電子メール等で通知することも可能である。あるいは、閲覧要請コードを受信した閲覧装置・閲覧ソフトウェアが、閲覧要請コードを受けた旨を、閲覧者の携帯電話などに電子メール等で通知することも有効である。

実施例１と同様に、閲覧条件設定者は、許可コード発行条件を、記録サーバに秘匿的に設定できる。許可コード発行条件は、暗号化されていることが好ましい。暗号キー設定者は、暗号キーと復号キーを、カメラに秘匿的に設定できる。また、暗号キー設定者は、復号キーを、閲覧者に付与する。暗号キーと復号キーは、それ自身、暗号化されていることが好ましい。閲覧条件設定者と暗号キー設定者は、同一でもよく、例えば、市役所の総務課、安全安心課などが想定される。

閲覧者は、固有の閲覧者ＩＤが付与される。また、暗号キー設定者から、復号キーを付与される。閲覧者は、カメラ側からの閲覧要請に対して、閲覧するか否かの可否判断を行う。閲覧要請に対して応諾する判断を下した場合には、閲覧装置・閲覧ソフトウェアから、許可コード発行条件に基づき不鮮明化処理された不鮮明化処理ファイルを受け取り、閲覧することができる。

カメラには、固有のカメラＩＤが設定される。カメラで撮影された画像は、暗号キーにより、暗号化される。暗号化ファイルには、カメラＩＤ、撮影時刻を含む、固有のファイルＩＤが付与される。このファイルＩＤは、ファイル名と同一であってもよい。撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。

カメラは、撮影された画像に対して、ケンカ、放火、徘徊、落書き、交通事故、路上寝込み、不法投棄、街路灯の点灯異常、などの不審な動きなどを検知する画像処理を行い、不審な動きなどが検知された場合には、予め定められた閲覧者に対して画像の閲覧要請を行う。また、画像が真っ暗であることやノイズが過剰であること等によりカメラの故障の可能性を検知し、画像の閲覧要請を行う機能を付加してもよい。

画像の閲覧要請をインターネットを使った通信で出す機能に加え、カメラ近傍に設置されたサイレン・回転灯などで外部に対して警報を出す機能、及び／または、携帯電話回線で警察署や消防署などに緊急連絡を行う機能を、及び／または、電子メールやその他のWEBサービスへメッセージを送信する機能を、付加してもよい。画像処理の条件、閲覧要請を出す条件、などは、前述の、閲覧条件設定者、暗号キー設定者などにより、事前に、設定される。

カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

閲覧要請を行う際に、やがて必要となる暗号化ファイルを前もってクラウドストレージへ転送することにより、カメラとインターネット間の回線速度の低さの影響を小さくすること、カメラが破壊された際に画像ファイルが失われることを防ぐこと、が期待される。

クラウドストレージは、閲覧者、閲覧条件設定者が設置したサーバを利用してもよいし、第３者の提供するストレージサービスを利用してもよい。クラウドストレージは、カメラから送られてくる暗号化ファイルを保存する。ストレージ容量がいっぱいになった際に古いファイルから、あるいは、ファイルごとに期限を設定し期限の過ぎたファイルから、削除されるように設定されてもよい。

クラウドストレージは、通信５により閲覧装置・閲覧ソフトウェアから、許可コードを受けると、処理6を行う。処理６は、許可コードからファイルＩＤを取り出し、ファイルIDに対応する暗号化ファイルを閲覧装置・閲覧ソフトウェアへ通信６により送信する処理である。

記録サーバは、閲覧装置・閲覧ソフトウェアからの問合せコードの入力に対して、予め設定された許可コード発行条件に従い処理を行い、許可コードを閲覧装置・閲覧ソフトウェアに許可コードを送信する。許可コードは、問合せコードに内蔵された閲覧者ＩＤ、ファイルＩＤに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。許可コードにより規定される閲覧権限の強さに応じて、閲覧可能な画像の不鮮明度が規定される。

記録サーバは、閲覧装置・閲覧ソフトウェアとのやり取りの過程を記録する。特に、閲覧者ＩＤ、ファイルＩＤ、閲覧条件コードを記録することにより、どの閲覧者が、どの画像ファイルを、どの不鮮明度で、閲覧することを許されたかを記録する。記録サーバに、カメラの被写体のプライバシ情報を含む暗号化ファイル、暗号キー設定者が設定した暗号キーや復号キーが、入力されることはない。

記録サーバは、閲覧条件設定者、暗号キー設定者、閲覧者とは異なる第３者により、独立して運用することができる。記録サーバの管理者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置でも良いし、市販のノートパソコンにインストールされた閲覧ソフトウェアでも良い。特に、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置とすることで、より高い安全性が確保できる。

閲覧装置・閲覧ソフトウェアは、カメラからのファイル閲覧要請に応じて、カメラ、記録サーバ、クラウドストレージと通信を行い、暗号化ファイルを取得する。その暗号化ファイルに対して、ファイル変換処理が施され、不鮮明化ファイルが生成される。ファイル変換処理の詳細は、以下のようになる。

まず、入力された暗号化ファイルに対して、暗号キーで復号化操作を行い、暗号化が解除され、一般的な静止画または動画の、ファイル形式である暗号解除ファイルを作る。次に、その暗号解除ファイルに対して、さらに、閲覧条件コードで規定されたモザイク処理等の不鮮明化処理を施し、不鮮明化ファイルを作る。

ファイル変換処理により生成された不鮮明化ファイルは、閲覧者に対して出力される。不鮮明化処理の強度は、閲覧条件コードにより規定された強度で行われる。不鮮明化強度がゼロに設定されている場合は、実質的には不鮮明化処理が行われない不鮮明化画像を出力する。なお、不鮮明化画像は、一般的な静止画または動画の、ファイル形式である。閲覧条件コードは、記録サーバから入力された許可コードから分離して使用される。

なお、図１２に示した閲覧装置・閲覧ソフトウェアの「ファイル変換処理」の過程において生成される一時ファイルである「暗号解除ファイル」を、外部から伺い知ることを困難にするためには、メモリにスクランブルをかけるなど難読化が有効である。

本システムにおける、カメラが画像の閲覧要請を出してから、閲覧者が不鮮明化処理された画像を受け取るまでの処理は、以下のようになる。

まず、カメラは、カメラ自身が撮影した画像、及び／または、画像以外の温度、振動、音波、電磁波などに関するセンシング情報を、所定のアルゴリズムに従い処理を行う。その結果、ケンカ、交通事故、放火、徘徊、痴漢、空き巣、強盗、カメラへの接触、カメラの不具合などの異常が検知された場合には、所定の閲覧者に対して、画像等の閲覧要請を行う。

図１２の「撮影画像」は、「撮影画像等のセンシング情報」と解釈できる。同じく、図１２の「画像処理」は、「画像処理等のセンシング情報処理」と解釈できる。閲覧要請として、カメラは、閲覧者ＩＤとファイルＩＤからなる閲覧要請コードを作成し、カメラは、閲覧要請コードを、通信２により、閲覧装置・閲覧ソフトウェアに送信する。なお、図１２では、閲覧要請コードにはファイルＩＤが一つだけの例を記してあるが、これは、複数個あってもよい。なお、図１２には示されていないが、閲覧要請コードには、閲覧者が閲覧するべき理由を記受した理由コードを含む。 理由コードとしては、「ケンカと思われる異常な動きが検知された」、「カメラ内部の動作がおかしく故障していることが予想される」、などが考えられる。

カメラは閲覧要請コードを通信２に送信すると同時に、閲覧要請コードに含まれるファイルIDを持つ暗号化ファイルをクラウドストレージへ転送する。

閲覧要請コードを受けた閲覧装置・閲覧ソフトウェアは、処理２を実施する。処理２では、閲覧要請コードに含まれる理由コードを分離し、それを、閲覧者に示し、カメラからの閲覧要請を受諾するか否かの判断を求める。あるいは、閲覧装置・閲覧ソフトウェアは、予め定められた条件に従い、閲覧要請を受諾するか否かの判断を自動的に行う。閲覧要請を受諾する判断が下された場合は、閲覧装置・閲覧ソフトウェアは問合せコードを生成し、通信３により、問合せコードを記録サーバに送信する。

通信３により問合せコードを受けた記録サーバは、処理３を実施する。処理３は、予め設定された許可コード発行条件に基づいて許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。

通信４により許可コードを受けた閲覧装置・閲覧ソフトウェアは、処理４を実施する。処理４は、許可コードから閲覧条件コードを取り出し、保存する。さらに、処理４は、通信５により、許可コードをクラウドストレージに送り出す。

通信５により、許可コードを受けたクラウドストレージは、処理５を実施する。処理５は、閲覧条件コードの真正性を確認し、許可コードにあるファイルＩＤに対応する暗号化ファイルを選び出す。選び出された暗号化ファイルは、通信６により、クラウドストレージから閲覧装置・閲覧ソフトウェアに送信される。図１３では、通信５で許可コードを送信しているが、一般的なクラウドストレージサービスを利用するために、ファイルＩＤのみを送信することにしてもよい。

通信６により、暗号化ファイルを受けた閲覧装置・閲覧ソフトウェアは、ファイル変換処理により、暗号化ファイルを、不鮮明化ファイルに変換した上で、閲覧者に出力する。画像の不鮮明化処理としては、モザイク化処理などが好適である。

図１３に、実施例１３を示す。実施例１３は請求項５の実施例である。ただし、他の実施例において、画像以外のセンシング情報を利用している実施例も請求項５の実施例となる。実施例１３では、カメラにＧＰＳ受信器が内蔵されており、カメラの正確な位置情報、撮影画像の正確な時刻情報を得ることのできるシステムである。車載カメラ、ウェアラブル端末としての利用を想定している。

図１３に示すカメラシステムにおいては、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバは、インターネットまたはイントラネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバで用いられる処理方法、暗号化、及び、復号化の方式は、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバ以外には知られていない。つまり、秘密になっている。秘密になっていることが重要である。

図１３に示すカメラシステムは、カメラで撮影され暗号化された画像ファイルを入手または閲覧または利用する場合、記録サーバから発行される許可コードが必要であるカメラシステムであり、記録サーバは、許可コードの発行の要請に対して、許可コード発行条件に基づき、許可コードを発行するカメラシステムである。図１３においては、通信３で閲覧装置・閲覧ソフトウェアから記録サーバへ送信される閲覧要求コードが許可コードの発行要請となる。

許可コード発行条件は、閲覧条件設定者が設定・変更可能である。記録サーバは、許可コードの発行の要請の受付から、許可コード発行までの過程における、カメラ、暗号化された画像ファイル、閲覧者、などに関する情報を記録する。カメラ、暗号化された画像ファイル、閲覧者、などに関する情報の例としては、カメラとそのカメラにより撮影・保存された画像ファイルを指定するファイル指定コード、画像の撮影された時刻および位置、閲覧者ＩＤ、閲覧条件コード、許可コード発行時刻、発行した許可コード、などがある。

実施例１と同様に、閲覧条件設定者は、許可コード発行条件を、記録サーバに秘匿的に設定できる。許可コード発行条件は、暗号化されていることが好ましい。運用形態によっては、カメラシステムが適正に運用されることを証明・保障する目的で、閲覧条件設定者が、許可コード発行条件の全部、または、一部を公開することも考えられる。暗号キー設定者は、暗号キーや復号キーを、カメラに秘匿的に設定できる。また、暗号キー設定者は、復号キーを、閲覧者に付与する。暗号キーや復号キーは、それ自身、暗号化されていることが好ましい。閲覧条件設定者と暗号キー設定者は、同一でもよく、例えば、市役所の総務課、安全安心課などが想定される。

閲覧者には、固有の閲覧者ＩＤが付与される。また、閲覧者には、暗号キー設定者から、暗号キーを付与される。閲覧者は、閲覧者ＩＤ、カメラＩＤ、当該カメラで撮影された画像の中で閲覧を希望する画像が撮影された時刻範囲、暗号キーを、閲覧装置・閲覧ソフトウェアに入力することにより、閲覧装置・閲覧ソフトウェアから、許可コード発行条件に基づき不鮮明化処理された不鮮明化ファイルを受け取り、利用・閲覧することができる。

また、閲覧者は複数いてもよい。閲覧者としては、市役所、警察署、設置工事業者、メンテナンス業者、自治会、一般市民、などが考えられる。例えばメンテナンス業者はモザイク処理された不鮮明な画像しか見ることができず、警察や市役所等では不鮮明化されていない画像を見ることができる、という運用方法が想定される。

カメラには、固有のカメラＩＤが設定される。カメラにはＧＰＳ信号受信器が内蔵され、カメラの正確な位置、正確な時刻が得られる。カメラの起動時に、カメラＩＤおよびカメラの位置情報は記録サーバに送られ、カメラＩＤ・位置リストとして保存される。位置情報の更新は起動時だけではなく、定期的に行われてもよい。位置情報に加えて、その位置にカメラが存在していた時刻を記録サーバに送ってもよい。

カメラで撮影された画像は、暗号キーにより、暗号化される。暗号化ファイルには、カメラＩＤ、撮影時刻、撮影位置を含む、固有のファイルＩＤが付与される。このファイルＩＤは、ファイル名と同一であってもよい。カメラが固定される場合には、撮影位置は含まなくてもよい。撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。

カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

記録サーバはカメラから送られるカメラＩＤ・位置情報を記録し、リスト化する。カメラが移動する場合は、記録サーバは、一定期間の過去のカメラＩＤ・位置情報を記録しておく。カメラから位置情報に合わせて時刻も送る場合には、位置情報と時刻も合わせてリスト化する。

記録サーバは、閲覧装置・閲覧ソフトウェアからの閲覧要求コードの入力に対して、予め設定された許可コード発行条件に従い処理を行い、許可コードを閲覧装置・閲覧ソフトウェアに出力する。許可コードは、閲覧要求コードに内蔵された閲覧者ＩＤ、カメラ・ファイル指定コードに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。閲覧条件コードでは、閲覧時の画像の鮮明度、閲覧可能なファイル数、閲覧可能回数、保存の可否などが規定される。

記録サーバは、閲覧装置・閲覧ソフトウェアとのやり取りの過程を記録する。特に、閲覧者ＩＤ、カメラＩＤ、時刻範囲、閲覧条件コードを記録することにより、どの閲覧者が、どのカメラのどの画像ファイルを、どの不鮮明度で、閲覧することを許されたかを記録する。

記録サーバに、カメラの被写体のプライバシ情報を含む恐れのある暗号化ファイル、暗号キー設定者が設定した暗号キーや復号キーが、入力されることはない。記録サーバは、閲覧条件設定者、暗号キー設定者、閲覧者とは異なる第３者により、独立して運用することができる。記録サーバの管理者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置でも良いし、市販のノートパソコンにインストールされた閲覧ソフトウェアでも良い。特に、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置とすることで、より高い安全性が確保できる。

閲覧装置・閲覧ソフトウェアは、閲覧者からの閲覧要求に応じて、カメラ、記録サーバと通信を行い、暗号化ファイルを取得する。その暗号化ファイルに対して、ファイル変換処理が施され、不鮮明化ファイルが生成される。ファイル変換処理の詳細は、以下のようになる。

まず、入力された暗号化ファイルに対して、暗号キーで復号化操作を行い、暗号化が解除され、一般的な静止画、または、動画のファイル形式である暗号解除ファイルを作る。次に、その暗号解除ファイルに対して、さらに、閲覧条件コードで規定されたモザイク処理等の不鮮明化処理・閲覧制限処理を施し、不鮮明化ファイルを作る。

ファイル変換処理により生成された不鮮明化画像は、閲覧者に対して出力される。不鮮明化処理の強度は、閲覧条件コードにより規定された強度で行われる。不鮮明化強度がゼロに設定されている場合は、実質的には鮮明化処理が行われない不鮮明化画像を出力する。なお、不鮮明化画像は、一般的な静止画、または、動画のファイル形式である。閲覧条件コードは、記録サーバから入力された許可コードから分離して使用される。

なお、図１３に示した閲覧装置・閲覧ソフトウェアの「ファイル変換処理」の過程において生成される一時ファイルである「暗号解除ファイル」を、外部から伺い知ることを困難にするためには、メモリにスクランブルをかけるなど難読化が有効である。

本システムにおける、閲覧者が閲覧要求を行って、不鮮明化ファイルを閲覧者が受け取るまでの処理は、以下のように行われる。

まず、閲覧者は、閲覧要求を行うため、閲覧したい画像をカメラＩＤと時刻範囲と位置範囲により指定する。具体的には、閲覧装置・閲覧ソフトウェアに、カメラＩＤと時刻範囲と位置情報を入力する。閲覧者は、閲覧者ＩＤと復号化キーも閲覧装置・閲覧ソフトウェアに入力するが、この入力が行われるのは、、閲覧要求の入力の前であってもよいし、閲覧要求の入力と同時でもよいし、閲覧者ＩＤや復号キーを閲覧装置・閲覧ソフトウェアが必要とする段階でもよい。閲覧装置・閲覧ソフトウェアはカメラＩＤと時刻範囲と位置範囲とから成るファイル指定コードを生成し、さらに、閲覧者ＩＤとファイル指定コードからなる閲覧要求コードを生成する。

次に、通信３により、閲覧装置・閲覧ソフトウェアは、閲覧要求コードを、記録サーバに送る。記録サーバは、閲覧要求コードを受け取ると、処理３を実施する。処理３は閲覧要求コードで指定されたカメラＩＤと位置範囲と時刻範囲、および、予め設定された許可コード発行条件、カメラＩＤ・位置リストまたはカメラＩＤ・位置・時刻リストに基づいて許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。同時に、閲覧者ＩＤ、カメラＩＤ、時刻範囲、位置範囲、閲覧条件コードをログに記録する。

なお、閲覧要求コードには、閲覧者が閲覧を希望する理由を記述した理由コードを含んでもよい。理由コードとしては、「刑事事件の捜査に必要」、「徘徊老人の探索に必要」、「カメラの保守管理のための定期検査用に必要」等の理由が考えられる。この場合、記録サーバには、理由コードも記録されることが望ましい。

通信４により許可コードを受けた閲覧装置・閲覧ソフトウェアは、処理４を実施する。処理４は、許可コードから閲覧条件コードを取り出し、保存する。さらに、処理４は、通信５により、許可コードをカメラに送り出す。

通信５により、許可コードを受けたカメラは、処理５を実施する。処理５は、閲覧条件コードの真正性を確認し、許可コードで指定された時刻範囲に合致する暗号化ファイルのファイルＩＤを検索し、選び出す。選び出された暗号化ファイルは、通信６により、閲覧装置・閲覧ソフトウェアに送信される。

通信６により、暗号化ファイルを受けた閲覧装置・閲覧ソフトウェアは、ファイル変換処理により、暗号化ファイルを、不鮮明化ファイルに変換した上で、閲覧者に出力する。画像の不鮮明化処理としては、モザイク化処理などが好適である。

図１４に示す実施例１４は請求項１の実施例である。実施例１４と実施例１の相違点は、実施例１４ではカメラが取得した画像データを暗号化しないで保存するのに対して、実施例１ではカメラが取得した画像データを暗号化して保存する点である。実施例１４においても、実施例１と同様に、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバは、インターネットに接続され、相互に通信を行うことができる。カメラ、閲覧装置・閲覧ソフトウェア、記録サーバで用いられるデータの形式、データ処理の方式は、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバ以外には知られていない。つまり、秘密になっている。秘密になっていることが重要である。このことにより、特に、暗号化をしなくても、意図しない画像データの外部への漏えいを防止することができる。すなわち、カメラ、閲覧装置・閲覧ソフトウェア、記録サーバからなるカメラシステムで用いられるデータの形式、データ処理の方式が、秘密になっていることで、個々の画像データは、暗号化しなくても、意図せずに外部に漏えいすることを防止できる。これにより、暗号化に伴う信号処理の付加を小さくすることが出来る。

カメラをインターネットに接続することが難しい場合は、カメラと閲覧装置・閲覧ソフトウェア間の通信は短距離無線通信を用いるか、または、短距離無線通信によるアドホックネットワークを用いて、閲覧装置・閲覧ソフトウェアと記録サーバとの間の通信のみインターネットとすることが、有効である。なお、インターネット接続が一般的には便利であると思われるが、インターネット接続の代わりに、どのようなネットワーク接続を用いてもよい。また、上記短距離無線通信としては、ブルートゥース、ジグビーなどを用いてもよい。また、カメラと閲覧装置・閲覧ソフトウェアと記録サーバの間の通信は暗号化通信を用いることが望ましい。

特に、本カメラシステムの特徴である、通常の通信量は非常に小さく、小さな通信速度で十分であるのに対して、犯罪捜査、徘徊老人捜索などの目的で画像ファイルの送受信が行われる際には非常に大きな通信量となり、大きな通信速度が必要になるという特徴に適した、新たなネットワークの規格を作ることは好ましいことである。近い将来、インターネットの修正版、あるいは、インターネットとは異なるネットワークが実用化された場合には、そのネットワークを用いてもよい。

本発明においては、日本全国の１０００程度の市役所・町役場・村役場などの監視カメラの各運営主体が、それぞれ数十万台〜数百万台程度のカメラを管理運営するシステムを想定している。各運営主体に勤務する職員の中で、適当に定められた役職の職員が、個々のカメラに保存された画像データの入手または利用を行うために必要となる許可コードを記録サーバが発行する際に、記録サーバの挙動を規定する許可コード発行条件を設定する閲覧条件設定者となることを想定する。言うまでもないが、市町村以外の法人・任意団体・個人が運営主体となっても良い。画像データは、カメラシステム内で、個々の運営主体が定めた暗号キーにより暗号化されない非暗号化データとして取り扱われるため、システム内部におけるデータ形式、データ処理の方式が外部に漏れることがないように、特に、注意を払う必要がある。

記録サーバは、第３者機関に管理・運営されたものが一つあれば十分である。記録サーバの挙動は、監視カメラごとに異なっていてもよく、単一の記録サーバがカメラ毎に許可コード発行条件を保有し、カメラ毎に設定された許可コード発行条件に基づき動作する。

図１４に示したカメラシステムは、カメラで撮影され画像データの非暗号化ファイルを入手または利用する場合、記録サーバから発行される許可コードが必要であるカメラシステムであり、記録サーバは、許可コードの発行の要請に対して、許可コード発行条件に基づき、許可コードを発行するカメラシステムである。図１４においては、通信３で閲覧装置・閲覧ソフトウェアから記録サーバへ送信される問合せコードが許可コードの発行を要請するコードになる。なお、本実施例１４の説明においては、カメラで取得された画像データの暗号化されない電子ファイルを、非暗号化ファイルとしている。

許可コード発行条件は、閲覧条件設定者が設定・変更可能である。記録サーバは、許可コードの発行の要請の受付から、許可コード発行までの過程における、カメラ、画像ファイル、閲覧者などに関する情報を記録する。カメラ、画像ファイル、閲覧者、などに関する情報の例としては、カメラＩＤ、画像ファイルのファイルＩＤ、閲覧者ＩＤ、許可コード発行時刻、発行した許可コード、などがある。

閲覧条件設定者は、許可コード発行条件を、記録サーバに設定できる。許可コード発行条件は、暗号化されていることが好ましい。運用形態によっては、カメラシステムが適正に運用されることを証明・保障する目的で、閲覧条件設定者が、許可コード発行条件の全部、または、一部を公開することも考えられる。閲覧条件設定者は、例えば、市役所の総務課、安全安心課などが想定される。

閲覧者には、固有の閲覧者ＩＤが付与される。閲覧者は、閲覧者ＩＤ、カメラＩＤ、当該カメラで撮影された画像の中で閲覧を希望する画像が撮影された時刻範囲を、閲覧装置・閲覧ソフトウェアに入力することにより、閲覧装置・閲覧ソフトウェアから、許可コード発行条件に基づき不鮮明化処理された不鮮明化ファイルを受け取り、利用・閲覧することができる。

また、閲覧者は複数いることを想定している。閲覧者としては、市役所、警察署、カメラを設置する工事業者、カメラシステムを保守管理するメンテナンス業者、自治会、町内会、一般市民、などが考えられる。例えばメンテナンス業者はモザイク処理された不鮮明な画像しか見ることができず、警察や市役所等では不鮮明化されていない画像を見ることができる、という運用方法が想定される。

カメラには、固有のカメラＩＤが設定される。カメラで撮影された画像は、カメラＩＤ、撮影時刻、その他の情報とともに、暗号化されないで、非暗号化ファイルとして保存される。非暗号化ファイルには、カメラＩＤ、撮影時刻を含む、固有のファイルＩＤが付与される。このファイルＩＤは、ファイル名と同一であってもよい。撮影された画像は、適当に設定された時間間隔で撮影された静止画でもよいし、適当に設定された時間の間に録画された動画でもよい。

カメラの時計の狂い等により、２つ以上のファイルが、同一時刻に生成される可能性がある。このような場合においても、固有のファイルＩＤが生成されることを保障する目的で、ファイルＩＤの中に、撮影された画像ファイル内部の情報の一部、乱数などを付加することが考えられる。固有のファイルＩＤを付与された暗号化ファイルは、カメラ内部に保存される。また、ファイルＩＤに番号を含ませて、暗号化ファイルの生成の度に当該番号を１つ増加させることで、異なるファイルＩＤを与えることも可能である。

閲覧者は画像の閲覧を行う場合、閲覧装置・閲覧ソフトウェアから記録サーバに許可コードの発行要請を行うが、この要請は閲覧装置・閲覧ソフトウェアから問合せコードを記録サーバに送信することにより行う。記録サーバは閲覧装置・閲覧ソフトウェアから送られた問い合わせコードに対して、予め設定された許可コード発行条件に基づき処理を行い、許可コード発行条件を満たしている場合には、許可コードを閲覧装置・閲覧ソフトウェアに出力する。許可コードは、問合せコードに内蔵された閲覧者ＩＤ、ファイルＩＤに加え、画像閲覧の権限の強さを示す閲覧条件コードが追加されたものとして作成される。閲覧条件コードでは、閲覧時の画像の鮮明度、閲覧可能なファイル数、閲覧可能回数、保存の可否などが規定される。

記録サーバは、閲覧装置・閲覧ソフトウェアとの通信内容を記録する。特に、閲覧者ＩＤ、ファイルＩＤ、閲覧条件コードを記録することにより、どの閲覧者が、どの非暗号化ファイルを、どの程度の強度の不鮮明度で、閲覧することを許されたかを記録する。記録サーバに、非暗号化ファイルそのものが、入力されることはない。非暗号化ファイルそのものには、記録サーバが扱うことはないため、記録サーバの管理者が画像を閲覧することは不可能である。

記録サーバは、閲覧条件設定者、閲覧者とは異なる第３者により、独立して管理運用されることが好ましい。記録サーバの管理運用者としては、民間のサーバ提供会社、市役所の情報メディア部門、社団法人、特定非営利活動法人などが想定される。

閲覧装置・閲覧ソフトウェアは、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置でも良いし、市販のノートパソコン（ノート型パーソナルコンピュータ、ノート型ＰＣ）にインストールされた閲覧ソフトウェアでも良い。特に、閲覧用ソフトウェアがインストールされた専用に開発された閲覧装置とすることで、より高い安全性が確保できる。

閲覧装置・閲覧ソフトウェアは、閲覧者からの画像の閲覧要求に応じて、カメラ、記録サーバと通信を行い、非暗号化ファイルを取得する。当該非暗号化ファイルにファイル変換処理が施され、不鮮明化ファイルが生成される。ファイル変換処理の詳細は、以下のように行われる。

図１４のファイル変換処理においては、入力された非暗号化ファイルに対して、閲覧条件コードで規定されたモザイク処理等の不鮮明化処理を施し、不鮮明化ファイルを作る。

ファイル変換処理により生成された不鮮明化ファイルは、閲覧者に出力される。不鮮明化処理の強度は、閲覧条件コードにより規定された強度で行われる。不鮮明化強度がゼロに設定されている場合は、不鮮明化処理が行われない不鮮明化ファイルを出力する。なお、不鮮明化ファイルは、一般的な画像または動画の、ファイル形式の画像ファイルと、画像ファイルと一体とできない他の種類の情報を記述したファイルの組み合わせでも良い。閲覧条件コードは、記録サーバから入力された許可コードから分離して使用される。

図１４のカメラシステムにおいて、閲覧者がファイルを閲覧する要求である閲覧要求コードを出してから、不鮮明化ファイルを閲覧者が受け取るまでの処理は、以下のように行われる。

まず、閲覧者は、閲覧したい画像をカメラＩＤと時刻範囲により指定する。カメラＩＤ と時刻範囲を閲覧者ＩＤを、閲覧装置・閲覧ソフトウェアに入力する。閲覧装置・閲覧ソフトウェアはカメラＩＤと時刻範囲とから成るファイル指定コードを生成し、さらに、閲覧者ＩＤとファイル指定コードからなる閲覧要求コードを生成する。

次に、図１４の通信１により、閲覧装置・閲覧ソフトウェアは、閲覧要求コードを、カメラに送る。カメラは、通信１により、閲覧要求コードを受け取ると、処理１を実施する。処理１は、ファイル指定コードで規定された時刻範囲に撮影された画像に対応する非暗号化ファイルのファイルＩＤを検索する。この結果に基づき、閲覧者ＩＤとファイルＩＤからなる問合せコードを作成する。問合せコードを、通信２により、閲覧装置・閲覧ソフトウェアに送信する。なお、図１４では、問合せコードにはファイルＩＤが一つだけである例を記してあるが、これは、複数個あってもよい。

なお、閲覧要求コードには、閲覧者が閲覧を希望する理由を記述した理由コードを含んでもよい。理由コードとしては、「刑事事件の捜査に必要」、「徘徊老人の探索に必要」、「カメラの保守管理のための定期検査用に必要」等の理由が考えられる。この場合、問合せコードにも、理由コードを転記することが好ましい。

問合せコードを受けた閲覧装置・閲覧ソフトウェアは、処理２を実施する。処理２は、通信３により、問合せコードを記録サーバに送信する。通信３により問合せコードを受けた記録サーバは、処理３を行う。処理３は、許可コードを生成し、通信４により閲覧装置・閲覧ソフトウェアに送り出す。許可コードは、閲覧者ＩＤとファイルＩＤと閲覧条件コードからなる。許可コードに含まれる閲覧者ＩＤとファイルＩＤは通信３により送られてきた問合せコードに含まれる閲覧者ＩＤとファイルＩＤとする。許可コードに含まれる閲覧条件コードは、予め設定された許可コード発行条件に基づいて決定される。記録サーバは処理３を行うのと同時に、閲覧者ＩＤ、ファイル指定コード、当該処理３が行われた時刻、閲覧条件コードをログに記録する。許可コード発行条件としては、登録された閲覧者ごとに、また、閲覧理由ごとに、１日あたりに閲覧することが可能であるファイル数、閲覧可能な不鮮明度、などの閲覧条件が規定されたテーブルであってもよい。

記録サーバは処理３により生成された許可コードを通信４により閲覧装置・閲覧ソフトウェアに送信する。許可コードを受けた閲覧装置・閲覧ソフトウェアは、処理４を実施する。処理４は、許可コードから閲覧条件コードを取り出し、保存する。さらに、処理４は、通信５により、許可コードをカメラに送信する。

通信５により、許可コードを受けたカメラは、処理５を実施する。処理５は、閲覧条件コードの真正性を確認し、許可コードにあるファイルＩＤに対応する非暗号化ファイルを選び出す。選び出された非暗号化ファイルは、通信６により、カメラから閲覧装置・閲覧ソフトウェアに送信される。

通信６により、非暗号化ファイルを受けた閲覧装置・閲覧ソフトウェアは、ファイル変換処理により、非暗号化ファイルを、不鮮明化ファイルに変換した上で、閲覧者に出力する。画像の不鮮明化処理としては、モザイク化処理などが好適である。

図１４では、カメラ内部の処理１で生成された問合せコードが、通信２、処理２、通信３により、閲覧装置・閲覧ソフトウェアを介して記録サーバに送られている。しかし、通信２によりカメラから閲覧装置・閲覧ソフトウェアへ問合せコードを送るのではなく、通信２において、カメラから直接直接記録サーバへ問合せコードを送る構成とし、処理２と通信３を削除してもよい。この場合、処理２、通信３は不要となる。カメラから直接記録サーバに送信された問合せコードは、処理３に入力されることになる。

同様に、図１４における通信４、処理４、通信５は削除し、許可コードが、記録サーバから閲覧装置・閲覧ソフトウェアに送信されるのではなく、記録サーバからカメラに送信されるようにしてもよい。この場合は、通信５、処理５、通信６の内容を修正し、非暗号化ファイルと共に閲覧条件コードが、閲覧装置・閲覧ソフトウェアに送信されるようにする必要がある。

前記のような通信相手の変更は、通信２、処理２、通信３、及び／または、通信４、処理４、通信５を含む他の実施例にも、適用可能である。

実施例１５は、記録サーバの動作、特に、記録サーバが記録した情報の開示方法の実施例である。実施例１５は、図１に示した実施例１の内容を全て包含する。実施例１５のうち、、実施例１に含まれていない部分を説明する。

記録サーバが記録したデータの開示方法としては、予め定められたＵＲＬにアクセスするという方法が考えられる。市役所などのカメラ群の所有者、及び／または、管理者、及び／または、運用者が、カメラ群を含むカメラシステムの運用方法を説明したウェアサイトを提供し、当該ウェブサイトから、記録サーバが記録した情報を開示する、記録サーバのウェブサイトにリンクが張られるという方法が想定される。ここでいうカメラ群とは、図１に示したカメラシステムから、閲覧装置・閲覧ソフトウェアと記録サーバを除いたものである。

あるいは、記録サーバに「記録サーバが記録した情報の一部の開示」を要求する電子メールを送信すると、当該電子メールが送信されたアドレス宛に、要求された「記録サーバが記録した情報の一部」が、記録サーバにより送信される方法が、考えられる。「記録サーバが記録した情報の一部」の指定の仕方として、カメラの設置場所、時間帯、閲覧者などの条件で指定することが想定される。

あるいは、一般市民が、記録サーバに電子メールを送信すると、当該アドレスに、問泡絵に対する答えが、記録サーバが送信される方法が、考えられる。

記録サーバが記録した情報を開示する方法、条件は、閲覧条件設定者が決定することが想定される。

記録サーバの所有者、及び／または、管理者、及び／または、運用者は、閲覧条件設定者が決定した「記録サーバが記録した情報を開示する方法、条件」が、厳密に守られることを、保障する責任がある。また、記録サーバの所有者、及び／または、管理者、及び／または、運用者は、閲覧条件設定者が決定した「許可コード発行条件」が、厳密に守られることを、保障する責任がある。

記録サーバの所有者、及び／または、管理者、及び／または、運用者は、社会的に十分に高い信頼性を持つ必要がある。本発明に基づくカメラシステムの信頼性は、特に、記録サーバの所有者、及び／または、管理者、及び／または、運用者に制約される場合が多くあると想定される。

実施例１から実施例１５において、カメラにマイクを設置し、画像に加えて音声を画像ファイルと合わせて保存するように、実施例１から実施例１５を拡張することができる。この拡張による実施例は、請求項６の実施例である。

将来、カメラが街中の至る所に配置されることが考えられる。その際に、プライバシの侵害を防ぐ用途に利用できる。また、カメラに限らず、IT機器により記録されたデータの閲覧履歴を記録することにより、画像だけではなく様々なデータのプライバシの保護にも適用できる。

Claims (7)

1. カメラで撮影された画像データを暗号化して保存し、暗号化された当該画像データを前記カメラから入手する、または、復号化する、または、利用するには、許可コードが必要であるカメラシステムであり、当該許可コードは許可コード発行条件に基づき記録サーバから発行されるカメラシステムであり、当該記録サーバは、当該許可コードの発行の要請の受付から、許可コード発行までの過程における、カメラ、画像データ、閲覧者、許可コードなどの項目のうちいずれか１つ以上の項目に関する情報を記録することを特徴とする、または、
   カメラで撮影された画像データを保存し、当該画像データを前記カメラから入手する、または、利用するには、許可コードが必要であるカメラシステムであり、当該許可コードは許可コード発行条件に基づき記録サーバから発行されるカメラシステムであり、当該記録サーバは、当該許可コードの発行の要請の受付から、許可コード発行までの過程における、カメラ、画像データ、閲覧者、許可コードなどの項目のうちいずれか１つ以上の項目に関する情報を記録することを特徴とするカメラシステム。
2. カメラ内に画像処理装置を有し、当該カメラで撮影された画像データを当該画像処理装置により分析するカメラであり、その分析結果に基づき当該分析結果を当該カメラ内部に保存する処理、及び／または、その分析結果に基づき当該分析結果を当該カメラ外部に対して知らしめる処理を行うことを特徴とする請求項１に記載のカメラシステム。
3. カメラが画像を暗号化する際に利用する暗号キーや復号キーを、カメラ及び閲覧装置・閲覧ソフトウェアに設定する設定装置・設定ソフトウェアを含み、この設定装置・設定ソフトウェア内部に保持する暗号キーや復号キーを、カメラ及び閲覧装置・閲覧ソフトウェアのみに知らしめることを特徴とする請求項１または請求項２に記載のカメラシステム。
4. カメラが保存する画像データを入手するために、及び／または、暗号化された画像データを復号化するために、当該入手、及び／または、当該復号化の理由を示すための理由コードを必要とするカメラシステムであり、当該理由コードの全部または一部が、電子署名されていることを特徴とする請求項１から請求項３のいずれか１項に記載のカメラシステム。
5. カメラが温度センサ、湿度センサ、照度センサ、放射線センサ、ガスセンサ、加速度センサ、方位センサ、ジャイロセンサ、ＧＰＳ受信器などのセンサを有し、カメラが撮影した画像データに加え、当該センサが取得したデータを合わせて保存、暗号化することを特徴とする請求項１から請求項４のいずれか１項に記載のカメラシステム。
6. カメラがマイクを有し、カメラが撮影した画像データに加え、マイクが録音した音声データを合わせて保存、暗号化することを特徴とする請求項１から請求項５のいずれか１項に記載のカメラシステム。
7. カメラと閲覧装置・閲覧ソフトウェアと記録サーバの間の通信が有線通信または無線通信によるイントラネットまたはインターネットにより行うことを特徴とする請求項１から請求項６のいずれか１項に記載のカメラシステム。