JP2019057880A - 撮影装置、画像処理システム、画像処理プログラム、検索プログラム、及び撮影プログラム - Google Patents

Abstract

【課題】撮影装置としての機能を果たしつつ、被写体のプライバシーを保護することを可能とする。【解決手段】監視カメラ１２は、撮影により得られた画像データに対して、第１段階の鍵を用いて被写体の一部を秘匿化する画像処理を行い、画像処理を経た画像データに対して、画像処理を経た画像データの被写体に関連付けて被写体の第２段階の秘匿化に用いられる第２段階の鍵を付加し、第２段階の鍵が付加された画像データを出力する。【選択図】図１

Description

本開示は、撮影装置、画像処理システム、画像処理プログラム、検索プログラム、及び撮影プログラムに関する。

従来、撮影系により得られた画像データを、秘密鍵を用いて暗号化することによって電子署名データを生成する電子スチルカメラが開示されている（特許文献１参照）。この電子スチルカメラは、画像データ、電子署名データ、及び秘密鍵に対応する公開鍵を一つのファイルにまとめたデータファイルを生成する。

また、入力された画像に含まれる人物の顔の特徴量を抽出し、抽出した特徴量を用いて暗号鍵を生成する画像管理装置が開示されている（特許文献２参照）。この画像管理装置は、生成した暗号鍵を用いて、入力された画像を暗号化する。

特開２００６−９４５３６号公報 特開２０１３−２７０１１号公報

ところで、近年、種々の場所に監視カメラ等の撮影装置が設置されている。また、このような撮影装置により得られた画像を他のサービスで用いることが考えられる。この場合、プライバシー保護の観点等から、撮影装置が、自装置が撮影して得られた画像の被写体に対し、暗号鍵を用いたモザイク処理等の秘匿化処理を行うことが考えられる。しかしながら、被写体全体を秘匿化した場合、撮影装置としての機能を果たせなくなってしまう。

これに対し、例えば、撮影装置により得られた画像の被写体の顔等の被写体の一部を秘匿化することが考えられる。しかしながら、この場合、被写体の一部を秘匿化した画像を、外部に公開される他のサービスに用いた場合、例えば、被写体の服装や仕草等の被写体の秘匿化した部分以外の部分から被写体が特定される場合がある。この場合、被写体のプライバシーが保護されなくなってしまう。

本開示は、以上の事情を鑑みて成されたものであり、撮影装置としての機能を果たしつつ、被写体のプライバシーを保護することができる撮影装置、画像処理システム、画像処理プログラム、検索プログラム、及び撮影プログラムを提供することを目的とする。

開示の技術は、一つの態様として、撮影装置が、撮影により得られた画像データに対して、第１段階の鍵を用いて被写体の一部を秘匿化する画像処理を行う画像処理部と、前記画像処理を経た画像データに対して、前記画像処理を経た画像データの前記被写体に関連付けて前記被写体の第２段階の秘匿化に用いられる第２段階の鍵を付加する付加部と、前記付加部により第２段階の鍵が付加された画像データを出力する出力部と、を備える。

本開示によれば、撮影装置としての機能を果たしつつ、被写体のプライバシーを保護することができる。

第１実施形態に係る画像処理システムの構成の一例を示すブロック図である。 各実施形態に係る監視カメラのハードウェア構成の一例を示すブロック図である。 各実施形態に係る情報処理装置のハードウェア構成の一例を示すブロック図である。 各実施形態に係る検索装置のハードウェア構成の一例を示すブロック図である。 各実施形態に係る端末のハードウェア構成の一例を示すブロック図である。 各実施形態に係る登録処理の一例を示すシーケンス図である。 第１実施形態に係る第１段階の秘匿化処理の一例を示すシーケンス図である。 第１及び第３実施形態に係る第２段階の秘匿化処理の一例を示すシーケンス図である。 第１実施形態に係る動画像の閲覧処理の一例を示すシーケンス図である。 第２実施形態に係る画像処理システムの構成の一例を示すブロック図である。 第２実施形態に係る第１段階の秘匿化処理の一例を示すシーケンス図である。 第２実施形態に係る第２段階の秘匿化処理の一例を示すシーケンス図である。 第２実施形態に係る動画像の閲覧処理の一例を示すシーケンス図である。 第３実施形態に係る画像処理システムの構成の一例を示すブロック図である。 第３実施形態に係る第１段階の秘匿化処理の一例を示すシーケンス図である。 第３実施形態に係る動画像の閲覧処理の一例を示すシーケンス図である。

以下、図面を参照して、本開示の技術を実施するための形態例を詳細に説明する。

［第１実施形態］
まず、図１を参照して、本実施形態に係る画像処理システム１０の構成を説明する。なお、本実施形態では、開示の技術を子供の見守りサービスに適用した形態例を説明する。図１に示すように、画像処理システム１０は、監視カメラ１２、情報処理装置１６、及び検索装置１８を含む。監視カメラ１２は、撮影部１３及び制御部１４を含む。撮影部１３は、イメージセンサを備え、定められたフレームレートで撮影範囲の動画像を撮影し、撮影により得られた動画像データを制御部１４に出力する。監視カメラ１２と情報処理装置１６とは通信可能に接続され、情報処理装置１６及び検索装置１８は、ネットワークＮに接続される。監視カメラ１２が開示の技術の撮影装置の一例である。また、検索装置１８の一例としてはクラウドサーバが挙げられ、検索装置１８に保存される動画像データに対して、インターネット等の公開されたネットワークを経由したアクセスが可能とされる。

また、ネットワークＮには、認証局２０、ＴＳ（TimeStamp）サーバ２２、及び端末２４が接続される。なお、以下では、説明の便宜上、画像処理システム１０のユーザのうち、自身の顔の秘匿を望み、かつ監視カメラ１２による撮影対象の被写体であるユーザを「ユーザＨ」という。また、画像処理システム１０のユーザのうち、ユーザＨと親族関係などにあり、ユーザＨが映る動画像を閲覧するユーザを「ユーザＰ」という。具体的には、例えば、ユーザＨが子供であり、ユーザＰがその子供の親である。また、以下では、監視カメラ１２による撮影により得られた動画像における顔の秘匿を望んでいないユーザ（すなわち、画像処理システム１０に登録していないユーザ）を「ユーザＯ」という。また、以下では、端末２４を区別する場合は、ユーザＨが所持する端末２４を「端末２４Ｈ」といい、ユーザＰが所持する端末２４を「端末２４Ｐ」という。

認証局２０は、画像処理システム１０のユーザの個人情報を管理し、認証局ＩＤ（IDentifier）及び署名鍵等を配布する。ＴＳサーバ２２は、信頼できるタイムスタンプを定められた間隔で提供する。

次に、図２を参照して、本実施形態に係る監視カメラ１２のハードウェア構成を説明する。監視カメラ１２の制御部１４が、開示の技術の撮影プログラムを実行するコンピュータの一例である。図２に示すように、監視カメラ１２は、撮影部１３及び制御部１４を含む。制御部１４は、ＣＰＵ（Central Processing Unit）３０、一時記憶領域としてのメモリ３１、不揮発性の記憶部３２を含む。また、制御部１４は、液晶ディスプレイ等の表示装置３３、キーボード等の入力装置３４、及び情報処理装置１６に接続されるネットワークＩ／Ｆ（InterFace）３５を含む。撮影部１３、ＣＰＵ３０、メモリ３１、記憶部３２、表示装置３３、入力装置３４、及びネットワークＩ／Ｆ３５は、バス３６に接続される。

記憶部３２は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、及びフラッシュメモリ等によって実現される。記憶媒体としての記憶部３２には、撮影プログラム３８が記憶される。ＣＰＵ３０は、記憶部３２から撮影プログラム３８を読み出してからメモリ３１に展開し、展開した撮影プログラム３８を実行する。ＣＰＵ３０が撮影プログラム３８を実行することで、開示の技術の画像処理部、付加部、及び出力部として動作する。

次に、図３を参照して、本実施形態に係る情報処理装置１６のハードウェア構成を説明する。情報処理装置１６が、開示の技術の画像処理プログラムを実行するコンピュータの一例である。図３に示すように、情報処理装置１６は、ＣＰＵ４０、一時記憶領域としてのメモリ４１、不揮発性の記憶部４２を含む。また、情報処理装置１６は、液晶ディスプレイ等の表示装置４３、キーボード等の入力装置４４、及びネットワークＮと監視カメラ１２に接続されるネットワークＩ／Ｆ４５を含む。ＣＰＵ４０、メモリ４１、記憶部４２、表示装置４３、入力装置４４、及びネットワークＩ／Ｆ４５は、バス４６に接続される。

記憶部４２は、ＨＤＤ、ＳＳＤ、及びフラッシュメモリ等によって実現される。記憶媒体としての記憶部４２には、画像処理プログラム４８が記憶される。ＣＰＵ４０は、記憶部４２から画像処理プログラム４８を読み出してからメモリ４１に展開し、展開した画像処理プログラム４８を実行する。ＣＰＵ４０が画像処理プログラム４８を実行することで、開示の技術の取得部、及び第２の画像処理部として動作する。

次に、図４を参照して、本実施形態に係る検索装置１８のハードウェア構成を説明する。検索装置１８が、開示の技術の検索プログラムを実行するコンピュータの一例である。図４に示すように、検索装置１８は、ＣＰＵ５０、一時記憶領域としてのメモリ５１、不揮発性の記憶部５２を含む。また、検索装置１８は、液晶ディスプレイ等の表示装置５３、キーボード等の入力装置５４、及びネットワークＮに接続されるネットワークＩ／Ｆ５５を含む。ＣＰＵ５０、メモリ５１、記憶部５２、表示装置５３、入力装置５４、及びネットワークＩ／Ｆ５５は、バス５６に接続される。

記憶部５２は、ＨＤＤ、ＳＳＤ、及びフラッシュメモリ等によって実現される。記憶媒体としての記憶部５２には、検索プログラム５８が記憶される。ＣＰＵ５０は、記憶部５２から検索プログラム５８を読み出してからメモリ５１に展開し、展開した検索プログラム５８を実行する。ＣＰＵ５０が検索プログラム５８を実行することで、開示の技術の受付部、及び検索部として動作する。

次に、図５を参照して、本実施形態に係る端末２４のハードウェア構成を説明する。図５に示すように、端末２４は、ＣＰＵ６０、一時記憶領域としてのメモリ６１、不揮発性の記憶部６２を含む。また、端末２４は、タッチパネルディスプレイ等の入出力装置６３、及びネットワークＮに接続されるネットワークＩ／Ｆ６５を含む。ＣＰＵ６０、メモリ６１、記憶部６２、入出力装置６３、及びネットワークＩ／Ｆ６５は、バス６６に接続される。

記憶部６２は、フラッシュメモリ等によって実現される。記憶媒体としての記憶部６２には、端末制御プログラム６８が記憶される。ＣＰＵ６０は、記憶部６２から端末制御プログラム６８を読み出してからメモリ６１に展開し、展開した端末制御プログラム６８を実行する。端末２４の例としては、スマートフォン及びタブレットコンピュータ等が挙げられる。なお、端末２４Ｐは、パーソナルコンピュータ等の情報処理装置でもよい。

次に、図６〜図９を参照して、本実施形態に係る画像処理システム１０の作用を説明する。まず、図６を参照して、ユーザの登録を行う登録処理を説明する。

図６のステップＳ１０で、ユーザＨは、端末２４Ｈを操作し、ユーザＨ本人であることを証明し、ユーザＨ自身の個人情報を認証局２０に登録する。なお、ユーザＨは、端末２４Ｈ以外の装置を使用して、ユーザＨ本人であることを証明し、ユーザＨ自身の個人情報を認証局２０に登録してもよい。また、ステップＳ１２で、ユーザＰは、端末２４Ｐを操作し、ユーザＰ本人であることと、ユーザＨと親族関係にあることとを証明し、ユーザＰ自身の個人情報を認証局２０に登録する。なお、ユーザＰは、端末２４Ｐ以外の装置を使用して、ユーザＰ本人であることと、ユーザＨと親族関係にあることとを証明し、ユーザＰ自身の個人情報を認証局２０に登録してもよい。

ステップＳ１４で、認証局２０は、ユーザＨの個人情報を確認し、ユーザＨに対する署名鍵ｇｓｋ、鍵ｍｋ１、検証鍵ｇｐｋ、秘密鍵ｇｕｋ、及び認証局ＩＤ（以下、「ｃＩＤ」ともいう）を生成する。なお、署名鍵ｇｓｋは、ユーザＨが電子署名を生成するための鍵であり、検証鍵ｇｐｋはユーザＨの電子署名の正当性を検証するための鍵であり、秘密鍵ｇｕｋは署名者を特定するための鍵である。また、鍵ｍｋ１は後述する秘匿化処理を行うための鍵を生成するための鍵であり、認証局ＩＤはユーザ固有のＩＤである。さらに、認証局２０は、ユーザＨが暗号化に用いる鍵ｆｋ１及び鍵ｆｋ２を生成する。また、認証局２０は、検証鍵ｇｐｋを外部に公開する。

そして、認証局２０は、生成した署名鍵ｇｓｋ、鍵ｍｋ１、ｃＩＤ、鍵ｆｋ１、及び鍵ｆｋ２を端末２４Ｈに送信する。端末２４Ｈは、認証局２０から送信された署名鍵ｇｓｋ、鍵ｍｋ１、ｃＩＤ、鍵ｆｋ１、及び鍵ｆｋ２を受信し、端末２４Ｈの記憶部６２に記憶する。

ステップＳ１６で、認証局２０は、ユーザＰの個人情報を確認し、ステップＳ１４で送信したものと同じ署名鍵ｇｓｋ、鍵ｍｋ１、ｃＩＤ、及び鍵ｆｋ１を端末２４Ｐに送信する。端末２４Ｐは、認証局２０から送信された署名鍵ｇｓｋ、鍵ｍｋ１、ｃＩＤ、及び鍵ｆｋ１を受信し、端末２４Ｐの記憶部６２に記憶する。

ステップＳ１８で、ユーザＨは、端末２４Ｈを操作し、ステップＳ１４で受信したｃＩＤを用いて匿名で検索装置１８にユーザ登録を行う。

ステップＳ２０で、ユーザＰは、端末２４Ｐを操作し、ステップＳ１６で受信したｃＩＤを用いて匿名で検索装置１８にユーザ登録を行う。

次に、図７を参照して、第１段階の秘匿化処理を説明する。なお、図７に示す処理の実行中、監視カメラ１２の撮影部１３は、所定のフレームレートで撮影範囲内の動画像を撮影しているものとする。また、図７に示す処理が実行される前には、ユーザＨとユーザＰとの間で後述するパスワードｐｗが共有され、端末２４Ｈ、２４Ｐの記憶部６２に記憶されているものとする。また、パスワードｐｗは、ユーザＨにより指定される。

図７のステップＳ３０で、情報処理装置１６のＣＰＵ４０は、ＴＳサーバ２２からタイムスタンプＴｓを取得し、情報処理装置１６の識別情報であるＩＤ_{Ｓｅｒｖｅｒ}及び取得したタイムスタンプＴｓを、端末２４Ｈに送信する。端末２４Ｈは、情報処理装置１６から送信されたＩＤ_{Ｓｅｒｖｅｒ}及びタイムスタンプＴｓを受信する。なお、例えば、ＩＤ_{Ｓｅｒｖｅｒ}を監視カメラ１２に設定しておき、端末２４Ｈは、ＩＤ_{Ｓｅｒｖｅｒ}を監視カメラ１２から受信してもよい。また、端末２４Ｈは、ＴＳサーバ２２からタイムスタンプＴｓを取得してもよい。

ステップＳ３２で、端末２４ＨのＣＰＵ６０は、鍵ｆｋ１、及び受信したタイムスタンプＴｓを用いて、以下に示す（１）式に従って、暗号化されたタイムスタンプを示すｅＴｓを生成する。また、端末２４ＨのＣＰＵ６０は、生成したｅＴｓ、ｃＩＤ、及び受信したＩＤ_{Ｓｅｒｖｅｒ}を用いて、以下に示す（２）式に従って、メッセージＭを生成する。なお、Ｅｎｃ_ｋｍは、鍵ｋを用いてｍを共通鍵暗号方式で暗号化することを表す。また、Ｈ（）はハッシュ関数を表し、「Ａ||Ｂ」は「Ａ」と「Ｂ」とを連結することを表す。

ステップＳ３４で、端末２４ＨのＣＰＵ６０は、Short Group Signatures（下記の参考文献１参照）の署名生成手順（以下に示す（３）式）に従い、署名鍵ｇｓｋを用いてメッセージＭに対する電子署名σ_Ｈ（以下、「署名σ_Ｈ」という）を生成する。なお、署名σ_ＨがユーザＨを特定するための特定情報の一例である。
［参考文献１］Dan Boneh, Xavier Boyen, Hovav Shacham,“Short Group Signatures”, CRYPTO 2004, August 15-19, 2004.

ステップＳ３６で、端末２４ＨのＣＰＵ６０は、鍵ｍｋ１、パスワードｐｗ、署名σ_Ｈ、及びタイムスタンプＴｓを用いて、以下に示す（４）式に従って、第１段階の秘匿化に用いられる第１段階の鍵ｅｋ_Ｈ１を生成する。また、ＣＰＵ６０は、鍵ｍｋ１、パスワードｐｗ、及び鍵ｅｋ_Ｈ１を用いて、以下に示す（５）式に従って、第２段階の秘匿化に用いられる第２段階の鍵ｅｋ_Ｈ２を生成する。換言すると、第１段階の鍵ｅｋ_Ｈ１及び第２段階の鍵ｅｋ_Ｈ２は、被写体であるユーザＨと、ユーザＨが秘匿化された動画像を復元する復元者であるユーザＰとの間で共有される鍵ｍｋ１とパスワードｐｗとを用いて生成される。なお、（４）式及び（５）式における「＋」は、排他的論理和を表す。

ステップＳ３８で、端末２４ＨのＣＰＵ６０は、鍵ｆｋ２及びパスワードｐｗを用いて、以下に示す（６）式に従って、暗号化されたパスワードｅｐｗを生成する。

ステップＳ４０で、端末２４ＨのＣＰＵ６０は、生成したメッセージＭ、署名σ_Ｈ、鍵ｅｋ_Ｈ１、鍵ｅｋ_Ｈ２、パスワードｅｐｗ、ユーザＨの顔の複数の特徴点を示す特徴点情報を監視カメラ１２に送信する。なお、この特徴点情報は、例えば、端末２４Ｈのカメラを用いてユーザＨの顔を撮影して得られた画像データに対して画像解析処理を行い、ユーザＨの顔の複数の特徴点を抽出することによって得ることができる。監視カメラ１２は、端末２４Ｈから送信されたメッセージＭ、署名σ_Ｈ、鍵ｅｋ_Ｈ１、鍵ｅｋ_Ｈ２、パスワードｅｐｗ、及び特徴点情報を受信する。

ステップＳ４２で、監視カメラ１２のＣＰＵ３０は、検証鍵ｇｐｋを用いて、受信した署名σ_Ｈの正当性を検証する。ＣＰＵ３０により、受信した署名σ_Ｈが正当であることが検証されると、ステップＳ４４〜ステップＳ４８の処理が実行される。なお、検証鍵ｇｐｋは、前述したように認証局２０により公開されるため、監視カメラ１２は予め認証局２０から検証鍵ｇｐｋを取得すればよい。

ステップＳ４４で、監視カメラ１２のＣＰＵ３０は、撮影部１３による撮影により得られた動画像データに対し、第１段階の鍵ｅｋ_Ｈ１を用いて、被写体であるユーザＨの一部（本実施形態では、顔）を秘匿化（以下、「第１段階の秘匿化」という）する画像処理を行う。本実施形態では、監視カメラ１２のＣＰＵ３０は、第１段階の鍵ｅｋ_Ｈ１を用いて、ユーザＨの顔をモザイク化する画像処理を行う。この際、監視カメラ１２のＣＰＵ３０は、ステップＳ４０で端末２４Ｈから送信された特徴点情報を用いて、動画像データからユーザＨの顔を検出する。なお、以下では、この第１段階の秘匿化が行われて得られた動画像を「ｍｏｖｉｅ１」という。情報処理装置１６の表示装置４３には、このｍｏｖｉｅ１が表示される。

ステップＳ４６で、監視カメラ１２のＣＰＵ３０は、ｍｏｖｉｅ１を示す動画像データに対し、ユーザＨに関連付けて、ユーザＨの第２段階の秘匿化に用いられる第２段階の鍵ｅｋ_Ｈ２を付加する。本実施形態では、ＣＰＵ３０は、ｍｏｖｉｅ１を示す動画像データに対し、ユーザＨに関連付けて、署名σ_Ｈ、鍵ｅｋ_Ｈ２、パスワードｅｐｗ、及びタイムスタンプＴｓをタグ付けした動画像データを生成する。なお、以下では、これらの情報がタグ付けされて生成された動画像データが示す動画像を「ｍｏｖｉｅ１Ａ」という。

ステップＳ４８で、監視カメラ１２のＣＰＵ３０は、ｍｏｖｉｅ１Ａを示す動画像データを情報処理装置１６に出力（送信）する。

次に、図８を参照して、第２段階の秘匿化処理を説明する。図８のステップＳ６０で、情報処理装置１６のＣＰＵ４０は、図７のステップＳ４８で監視カメラ１２から送信されたｍｏｖｉｅ１Ａを示す動画像データを受信する。ステップＳ６２で、ＣＰＵ４０は、予め記憶部４２に記憶された鍵ｍｋ２、及びｍｏｖｉｅ１Ａにタグ付けされたタイムスタンプＴｓを用いて、以下に示す（７）式及び（８）式に従って、ユーザＯの秘匿化に用いる鍵ｅｋ_Ｏ２を生成する。

ステップＳ６４で、ＣＰＵ４０は、ｍｏｖｉｅ１Ａを示す動画像データにタグ付けされた鍵ｅｋ_Ｈ２を取得する。そして、ＣＰＵ４０は、ｍｏｖｉｅ１Ａを示す動画像データに対し、取得した鍵ｅｋ_Ｈ２を用いて、鍵ｅｋ_Ｈ２がタグ付けされたユーザＨ全体を秘匿化（以下、「第２段階の秘匿化」という）する画像処理を行う。本実施形態では、ＣＰＵ４０は、第２段階の秘匿化として、ユーザＨ全体を点に置き換える画像処理を行う。なお、ＣＰＵ４０は、第２段階の秘匿化として、例えば、ユーザＨの輪郭を抽出し、ユーザＨを輪郭で表示する画像処理を行ってもよい。また、ＣＰＵ４０は、第２段階の秘匿化として、例えば、ユーザＨ全体をモザイク化する画像処理を行ってもよい。

ステップＳ６６で、ＣＰＵ４０は、ｍｏｖｉｅ１Ａを示す動画像データに対し、鍵ｅｋ_Ｏ２を用いて、ユーザＨと同様に、ｍｏｖｉｅ１Ａに映っているユーザＨ以外の人物（すなわち、ユーザＯ）の全体を秘匿化する画像処理を行う。なお、以下では、ステップＳ６４及びステップＳ６６の画像処理が行われて得られた動画像データが示す動画像を「ｍｏｖｉｅ２」という。

ステップＳ６８で、ＣＰＵ４０は、ｍｏｖｉｅ２を示す動画像データを検索装置１８に送信する。検索装置１８は、情報処理装置１６から送信されたｍｏｖｉｅ２を示す動画像データを受信し、記憶部５２に記憶する。本実施形態では、検索装置１８は、ｍｏｖｉｅ２を示す動画像データを、例えば、監視カメラ１２毎に分類して記憶部５２に記憶する。ステップＳ７０で、ＣＰＵ４０は、鍵ｅｋ_Ｈ２、鍵ｅｋ_Ｏ１、鍵ｅｋ_Ｏ２、パスワードｐｗ、及びパスワードｅｐｗを情報処理装置１６上から削除する。

次に、図９を参照して、動画像の閲覧処理を説明する。図９のステップＳ８０で、ユーザＰは、端末２４Ｐを操作し、ユーザＨが映っていると想定される監視カメラ１２を示す情報、及びユーザＨが映っていると想定される時間帯に対応するタイムスタンプＴｓ等の検索条件を検索装置１８に送信する。検索装置１８は、端末２４Ｐから送信された検索条件を受信し、受信した検索条件を満たすｍｏｖｉｅ２を検索する。

ステップＳ８２で、ユーザＰは、端末２４Ｐを操作し、検索装置１８により検索されたｍｏｖｉｅ２にタグ付けされたタイムスタンプＴｓを取得する。また、端末２４ＰのＣＰＵ６０は、取得したタイムスタンプＴｓを用いて、図７のステップＳ３２及びステップＳ３４と同様に、メッセージＭに対する署名σ_Ｈを生成する。ステップＳ８４で、端末２４ＰのＣＰＵ６０は、生成した署名σ_Ｈを検索装置１８に送信する。検索装置１８のＣＰＵ５０は、端末２４Ｐから送信された署名σ_Ｈを受け付ける。そして、ＣＰＵ５０は、受け付けた署名σ_Ｈに対応するユーザＨが映っているｍｏｖｉｅ２を検索する。

ステップＳ８６で、ユーザＰは、端末２４Ｐを操作し、検索装置１８により検索されたユーザＨが映っているｍｏｖｉｅ２を取得する。なお、この際、ユーザＰは支払い業者に、取得したｍｏｖｉｅ２に対応する料金を支払う。ステップＳ８８で、端末２４ＰのＣＰＵ６０は、取得したｍｏｖｉｅ２にタグ付けされた署名σ_Ｈ及びタイムスタンプＴｓを用いて、図７のステップＳ３６と同様に、鍵ｅｋ_Ｈ１及び鍵ｅｋ_Ｈ２を生成する。

ステップＳ９０で、端末２４ＰのＣＰＵ６０は、ｍｏｖｉｅ２を示す動画像データに対し、生成した鍵ｅｋ_Ｈ２を用いた復元処理を行う。この復元処理の結果、ＣＰＵ６０は、ユーザＨ全体の第２段階の秘匿化が解除され、ユーザＨの顔が秘匿化された動画像を得る。次に、ＣＰＵ６０は、得られた動画像を示す動画像データに対し、生成した鍵ｅｋ_Ｈ１を用いた復元処理を行う。この復元処理の結果、ＣＰＵ６０は、ユーザＨの顔の秘匿化が解除された動画像を得る。

次に、監視カメラ１２による撮影により得られた動画像を、警察等の捜査機関が利用する場合について説明する。捜査機関は、監視カメラ１２の所有者に捜査令状を提示し、ｍｏｖｉｅ１Ａを得る。また、捜査機関は、認証局２０の管理者に捜査令状を提示し、ｍｏｖｉｅ１Ａにタグ付けされた署名σ_Ｈにより特定されるユーザＨの個人情報、鍵ｍｋ１、及び鍵ｆｋ２を得る。また、捜査機関は、情報処理装置を用いて、ｍｏｖｉｅ１Ａにタグ付けされたパスワードｅｐｗから、鍵ｆｋ２を用いてパスワードｐｗを復元する。

また、捜査機関は、情報処理装置を用いて、鍵ｍｋ１、パスワードｐｗ、署名σ_Ｈ、及びｍｏｖｉｅ１Ａにタグ付けされたタイムスタンプＴｓを用いて、上記（４）式に従って、鍵ｅｋ_Ｈ１を生成する。そして、捜査機関は、情報処理装置を用いて、ｍｏｖｉｅ１Ａが示す動画像データに対し、鍵ｅｋ_Ｈ１を用いた復元処理を行うことによって、ユーザＨの顔の秘匿化が解除された動画像を得る。

以上説明したように、本実施形態によれば、監視カメラ１２は被写体であるユーザＨの一部を秘匿化した動画像を生成し、生成した動画像のユーザＨに関連付けて第２段階の鍵ｅｋ_Ｈ２を付加する。また、動画像を外部に公開する際には、情報処理装置１６が、付加された第２段階の鍵ｅｋ_Ｈ２を用いて、ユーザＨ全体を秘匿化した動画像を生成し、検索装置１８に送信する。従って、撮影装置としての機能を果たしつつ、被写体のプライバシーを保護することができる。

また、本実施形態では、鍵ｍｋ１及びパスワードｐｗを入手できる者（すなわち、ユーザＨ本人とユーザＨの親族であるユーザＰ）以外のユーザは、動画像の被写体の秘匿化を解除することができないため、安全性が高い。また、前述したように、捜査機関は第１段階の秘匿化画像を入手でき、認証局からそれを解除するために必要な情報を得られるため、監視カメラ１２により得られた動画像を捜査に役立てることができる。

［第２実施形態］
まず、図１０を参照して、本実施形態に係る画像処理システム１０の構成を説明する。なお、本実施形態では、開示の技術を、観光地で撮影された動画像を閲覧する閲覧サービスに適用した場合について説明する。なお、本実施形態における第１実施形態と同一の構成要素については同一の符号を付して説明を省略する。図１０に示すように、画像処理システム１０は、監視カメラ１２、情報処理装置１６、及び検索装置１８を含む。監視カメラ１２と情報処理装置１６とは通信可能に接続され、情報処理装置１６及び検索装置１８は、ネットワークＮに接続される。また、ネットワークＮには、認証局２０、ＴＳサーバ２２、及び端末２４が接続される。

なお、以下では、画像処理システム１０のユーザを区別するために、ユーザＨとして画像処理システム１０を利用するが、他のユーザＨと友人関係にあり、許可されたユーザＨの動画像を閲覧可能なユーザを「ユーザＦ」という。また、以下では、端末２４を区別する場合は、ユーザＨが所持する端末２４を「端末２４Ｈ」といい、ユーザＦが所持する端末２４を「端末２４Ｆ」といい、ユーザＯが所持する端末２４を「端末２４Ｏ」という。ユーザＯはこのシステムに登録していないが、このシステムが提供するユーザＯ用のアプリケーションなどを「端末２４Ｏ」に搭載しており、ユーザＨと同様に監視カメラ１２との通信や暗号化処理が可能とする。ただし、ユーザＯはシステムに登録していないため検索装置１８にアクセスできず、監視カメラ１２の映像の利用はできないとする。

本実施形態に係る監視カメラ１２、情報処理装置１６、検索装置１８、及び端末２４のハードウェア構成は、各々第１実施形態と同様（図２〜図５参照）であるため説明を省略する。

次に、図１１〜図１３を参照して、本実施形態に係る画像処理システム１０の作用を説明する。ユーザの登録処理は、ユーザＰ（端末２４Ｐ）が存在しないこと以外は、第１実施形態と同様（図６参照）であるため説明を省略する。なお、ユーザＦ（端末２４Ｆ）も、ユーザＨとしてユーザの登録処理を行う。

まず、図１１を参照して、本実施形態に係る第１段階の秘匿化処理を説明する。なお、図１１における図７と同一の処理を実行するステップについては図７と同一の符号を付して説明を省略する。また、図１１におけるユーザＨ（端末２４Ｈ）が実行する処理は、ユーザＦ（端末２４Ｆ）もユーザＨとして実行する。また、図１１に示す処理が実行される前には、ユーザＨとユーザＦとユーザＯとの間で後述するパスワードｐｗが共有され、端末２４Ｈ、２４Ｆ、２４Ｏの記憶部６２に記憶されているものとする。また、パスワードｐｗは、ユーザＨ、Ｆ、Ｏにより指定される。

ステップＳ３６Ａで、端末２４ＨのＣＰＵ６０は、パスワードｐｗ及びタイムスタンプＴｓを用いて、以下に示す（９）式に従って、第１段階の秘匿化に用いられる第１段階の鍵ｅｋ_Ｈ１を生成する。また、端末２４ＨのＣＰＵ６０は、パスワードｐｗ及び鍵ｅｋ_Ｈ１を用いて、以下に示す（１０）式に従って、第２段階の秘匿化に用いられる第２段階の鍵ｅｋ_Ｈ２を生成する。換言すると、第１段階の鍵ｅｋ_Ｈ１及び第２段階の鍵ｅｋ_Ｈ２は、パスワードｐｗを用いて生成される。

ステップＳ４０Ｏで、端末２４ＯのＣＰＵ６０は、パスワードｐｗ及びタイムスタンプＴｓを用いて、以下に示す（１１）式に従って、鍵ｅｋ_Ｏ１を生成する。また、端末２４ＯのＣＰＵ６０は、パスワードｐｗ及び鍵ｅｋ_Ｏ１を用いて、以下に示す（１２）式に従って、鍵ｅｋ_Ｏ２を生成する。

ステップＳ４１Ａで、端末２４ＨのＣＰＵ６０は、パスワードｐｗ及びタイムスタンプＴｓを用いて、上記（１１）式に従って、鍵ｅｋ_Ｏ１を生成する。また、端末２４ＨのＣＰＵ６０は、パスワードｐｗ及び鍵ｅｋ_Ｏ１を用いて、上記（１２）式に従って、鍵ｅｋ_Ｏ２を生成する。

ステップＳ４１Ｂで、端末２４ＨのＣＰＵ６０は、生成した鍵ｅｋ_Ｏ１及び鍵ｅｋ_Ｏ２を監視カメラ１２に送信する。監視カメラ１２は、端末２４Ｈから送信された鍵ｅｋ_Ｏ１及び鍵ｅｋ_Ｏ２を受信する。ステップＳ４１Ｏで、端末２４ＯのＣＰＵ６０は、生成した鍵ｅｋ_Ｏ１及び鍵ｅｋ_Ｏ２を監視カメラ１２に送信する。監視カメラ１２は、端末２４Ｏから送信された鍵ｅｋ_Ｏ１及び鍵ｅｋ_Ｏ２を受信する。

ステップＳ４７Ａで、監視カメラ１２のＣＰＵ３０は、端末２４Ｈから送信された鍵ｅｋ_Ｏ１及び鍵ｅｋ_Ｏ２と、端末２４Ｏから送信された鍵ｅｋ_Ｏ１及び鍵ｅｋ_Ｏ２とが同一であるか否かを判定する。この判定が否定判定となった場合は、処理はステップＳ４８に移行し、肯定判定となった場合は、処理はステップＳ４７Ｂに移行する。換言すると、監視カメラ１２のＣＰＵ６０は、パスワードｐｗが同じ被写体（ユーザＨとユーザＯ）を同じグループであると特定して、ステップＳ４７Ｂを実行する。

ステップＳ４７Ｂで、ＣＰＵ３０は、ステップＳ４６の処理を経た動画像データに対し、端末２４Ｈから送信された鍵ｅｋ_Ｏ１及び鍵ｅｋ_Ｏ２と同一の鍵ｅｋ_Ｏ１及び鍵ｅｋ_Ｏ２の送信元の端末２４Ｏを所持するユーザＯに関連付けて、鍵ｅｋ_Ｏ１及び鍵ｅｋ_Ｏ２をタグ付けする。

次に、図１２を参照して、第２段階の秘匿化処理を説明する。なお、図１２における図８と同一の処理を実行するステップについては図８と同一の符号を付して説明を省略する。

図１２のステップＳ６６Ａで、情報処理装置１６のＣＰＵ４０は、ｍｏｖｉｅ１Ａを示す動画像データに対し、ユーザＯ全体を秘匿化する画像処理を行う。本実施形態では、ＣＰＵ４０は、鍵ｅｋ_Ｏ２がタグ付けされているユーザＯについては、タグ付けされた鍵ｅｋ_Ｏ２を用いて、ユーザＯ全体を秘匿化する画像処理を行う。また、ＣＰＵ４０は、鍵ｅｋ_Ｏ２がタグ付けされていないユーザＯについては、第１実施形態に係るステップＳ６６と同様に、ステップＳ６２で生成した鍵ｅｋ_Ｏ２を用いて、ユーザＯ全体を秘匿化する画像処理を行う。

次に、図１３を参照して、動画像の閲覧処理を説明する。なお、図１３における図９と同一の処理を実行するステップについては図９と同一の符号を付して説明を省略する。

図１３のステップＳ８８Ａで、端末２４ＨのＣＰＵ６０は、ｍｏｖｉｅ２にタグ付けされた署名σ_Ｈ及びタイムスタンプＴｓを用いて、図１１のステップＳ３６Ａと同様に、鍵ｅｋ_Ｈ１及び鍵ｅｋ_Ｈ２を生成する。

ステップＳ９２Ａで、端末２４ＨのＣＰＵ６０は、ｍｏｖｉｅ２のユーザＦにタグ付けされた署名σ_Ｈ及びタイムスタンプＴｓを用いて、ステップＳ８８Ａと同様に、鍵ｅｋ_Ｈ１及び鍵ｅｋ_Ｈ２を生成する。ステップＳ９２Ｂで、端末２４ＨのＣＰＵ６０は、ｍｏｖｉｅ２を示す動画像データに対し、ステップＳ９２Ａで生成した鍵ｅｋ_Ｈ２を用いた復元処理を行う。この復元処理の結果、ＣＰＵ６０は、ユーザＦ全体の秘匿化が解除され、ユーザＦの顔が秘匿化された動画像を得る。次に、ＣＰＵ６０は、得られた動画像を示す動画像データに対し、ステップＳ９２Ａで生成した鍵ｅｋ_Ｈ１を用いた復元処理を行う。この復元処理の結果、ＣＰＵ６０は、ユーザＦの顔の秘匿化が解除された動画像を得る。

ステップＳ９２Ｃで、端末２４ＨのＣＰＵ６０は、パスワードｐｗとｍｏｖｉｅ２のユーザＯにタグ付けされた鍵ｅｋ_Ｏ１とを用いて、上記（１２）式に従って、鍵ｅｋ_Ｏ２を生成する。ステップＳ９２Ｄで、端末２４ＨのＣＰＵ６０は、ｍｏｖｉｅ２を示す動画像データに対し、ステップＳ９２Ｃで生成した鍵ｅｋ_Ｏ２を用いた復元処理を行う。この復元処理の結果、ＣＰＵ６０は、ユーザＯ全体の秘匿化が解除された動画像を得る。以上の処理により、ユーザＨ、Ｆ、Ｏの秘匿化が解除された動画像が端末２４Ｈの入出力装置６３に表示される。

なお、ユーザＨがパスワードを忘れた場合は、以下に示す処理によって、パスワードｐｗを復元する。端末２４ＨのＣＰＵ６０は、ｍｏｖｉｅ２のユーザＨにタグ付けされたｅｐｗを取得する。そして、端末２４ＨのＣＰＵ６０は、取得したｅｐｗを、鍵ｆｋ２を用いて復号化することによって、パスワードｐｗを復元する。

以上説明したように、本実施形態によれば、ユーザＨはユーザＨ本人のみならず、パスワードｐｗを共有するユーザＦ及びユーザＯの秘匿化を解除することができるため、旅行先等で一緒に行動している友人の映像も閲覧することができる。また、パスワードｐｗを知らない他のユーザは、ユーザＨ、Ｆ、Ｏの秘匿化を解除することができないため、安全性が高い。また、第１実施形態と同様に捜査機関は秘匿化される前の動画像を入手できるため、監視カメラ１２により得られた動画像を捜査に役立てることができる。

［第３実施形態］
まず、図１４を参照して、本実施形態に係る画像処理システム１０の構成を説明する。なお、本実施形態では、開示の技術を、個人用の映像記録サービスに適用した場合について説明する。なお、本実施形態における第１実施形態と同一の構成要素については同一の符号を付して説明を省略する。図１４に示すように、画像処理システム１０は、監視カメラ１２、情報処理装置１６、及び検索装置１８を含む。監視カメラ１２と情報処理装置１６とは通信可能に接続され、情報処理装置１６及び検索装置１８は、ネットワークＮに接続される。また、ネットワークＮには、認証局２０、ＴＳサーバ２２、及び端末２４が接続される。本実施形態では、個人が、本人が映った映像を閲覧するためのサービスであるため、全てのユーザがユーザＨとなる。

本実施形態に係る監視カメラ１２、情報処理装置１６、検索装置１８、及び端末２４のハードウェア構成は、各々第１実施形態と同様（図２〜図５参照）であるため説明を省略する。

次に、図１５及び図１６を参照して、本実施形態に係る画像処理システム１０の作用を説明する。ユーザの登録処理は、ユーザＰ（端末２４Ｐ）が存在しないこと以外は、第１実施形態と同様（図６参照）であるため説明を省略する。

まず、図１５を参照して、本実施形態に係る第１段階の秘匿化処理を説明する。なお、図１５における図７と同一の処理を実行するステップについては図７と同一の符号を付して説明を省略する。

ステップＳ３６Ｂで、端末２４ＨのＣＰＵ６０は、鍵ｆｋ２、署名σ_Ｈ、及びタイムスタンプＴｓを用いて、以下に示す（１３）式に従って、第１段階の秘匿化に用いられる第１段階の鍵ｅｋ_Ｈ１を生成する。また、ＣＰＵ６０は、鍵ｆｋ２、及び鍵ｅｋ_Ｈ１を用いて、以下に示す（１４）式に従って、第２段階の秘匿化に用いられる第２段階の鍵ｅｋ_Ｈ２を生成する。換言すると、本実施形態では、第１段階の鍵ｅｋ_Ｈ１及び第２段階の鍵ｅｋ_Ｈ２は、パスワードを用いずに、被写体であるユーザＨ固有の鍵ｆｋ２を用いて生成される。

なお、本実施形態では、パスワードｐｗを用いないため、ステップＳ４６で、ｍｏｖｉｅ１Ａにパスワードｅｐｗはタグ付けされない。

本実施形態に係る第２段階の秘匿化処理は、第１実施形態と同様（図８参照）であるため説明を省略する。

次に、図１６を参照して、動画像の閲覧処理を説明する。なお、図１６における図９と同一の処理を実行するステップについては図９と同一の符号を付して説明を省略する。

図１６のステップＳ８８Ｂで、端末２４ＨのＣＰＵ６０は、ｍｏｖｉｅ２にタグ付けされた署名σ_Ｈ及びタイムスタンプＴｓを用いて、図１５のステップＳ３６Ｂと同様に、鍵ｅｋ_Ｈ１及び鍵ｅｋ_Ｈ２を生成する。

以上説明したように、本実施形態によれば、ユーザＨに固有の鍵ｆｋ２を入手できない他のユーザは、ユーザＨの秘匿化を解除することができないため、安全性が高い。また、第１実施形態と同様に捜査機関は秘匿化される前の動画像を入手できるため、監視カメラ１２により得られた動画像を捜査に役立てることができる。

なお、上記各実施形態では、監視カメラ１２が動画像を撮影する場合について説明したが、これに限定されない。監視カメラ１２が静止画像を撮影する形態としてもよい。

また、第１段階の鍵ｅｋ_Ｈ１及び第２段階の鍵ｅｋ_Ｈ２を、被写体固有の鍵ｆｋ２を用いて生成するか、パスワードｐｗを用いて生成するか、又は被写体と復元者との間で共有される鍵ｍｋ１及びパスワードｐｗを用いて生成するかが選択可能とされてもよい。この場合、例えば、ユーザが端末２４を操作し、上記各実施形態で提供されるサービスの何れを利用するかを選択する形態が例示される。この場合、画像処理システム１０は、選択されたサービスに応じて、上記各実施形態の何れかの動作を行う。

また、上記各実施形態でＣＰＵがソフトウェア（プログラム）を実行することにより実行した各種処理を、ＣＰＵ以外の各種のプロセッサが実行してもよい。この場合のプロセッサとしては、ＦＰＧＡ（Field-Programmable Gate Array）等の製造後に回路構成を変更可能なＰＬＤ（Programmable Logic Device）、及びＡＳＩＣ（Application Specific Integrated Circuit）等の特定の処理を実行させるために専用に設計された回路構成を有するプロセッサである専用電気回路等が例示される。また、各種処理を、これらの各種のプロセッサのうちの１つで実行してもよいし、同種又は異種の２つ以上のプロセッサの組み合わせ（例えば、複数のＦＰＧＡ、及びＣＰＵとＦＰＧＡとの組み合わせ等）で実行してもよい。また、これらの各種のプロセッサのハードウェア的な構造は、より具体的には、半導体素子等の回路素子を組み合わせた電気回路である。

また、上記各実施形態では、撮影プログラム３８が記憶部３２に予め記憶（インストール）されている態様を説明したが、これに限定されない。撮影プログラム３８は、ＣＤ−ＲＯＭ（Compact Disk Read Only Memory）、ＤＶＤ−ＲＯＭ（Digital Versatile Disk Read Only Memory）、及びＵＳＢ（Universal Serial Bus）メモリ等の記録媒体に記録された形態で提供されてもよい。また、撮影プログラム３８は、ネットワークを介して外部装置からダウンロードされる形態としてもよい。

また、上記各実施形態では、画像処理プログラム４８が記憶部４２に予め記憶（インストール）されている態様を説明したが、これに限定されない。画像処理プログラム４８は、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、及びＵＳＢメモリ等の記録媒体に記録された形態で提供されてもよい。また、画像処理プログラム４８は、ネットワークを介して外部装置からダウンロードされる形態としてもよい。

また、上記各実施形態では、検索プログラム５８が記憶部５２に予め記憶（インストール）されている態様を説明したが、これに限定されない。検索プログラム５８は、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、及びＵＳＢメモリ等の記録媒体に記録された形態で提供されてもよい。また、検索プログラム５８は、ネットワークを介して外部装置からダウンロードされる形態としてもよい。

また、上記各実施形態では、端末制御プログラム６８が記憶部６２に予め記憶（インストール）されている態様を説明したが、これに限定されない。端末制御プログラム６８は、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、及びＵＳＢメモリ等の記録媒体に記録された形態で提供されてもよい。また、端末制御プログラム６８は、ネットワークを介して外部装置からダウンロードされる形態としてもよい。

１０ 画像処理システム
１２ 監視カメラ
１３ 撮影部
１４ 制御部
１６ 情報処理装置
１８ 検索装置
２４、２４Ｆ、２４Ｈ、２４Ｐ 端末
３０、４０、５０、６０ ＣＰＵ
３８ 撮影プログラム
４８ 画像処理プログラム
５８ 検索プログラム
６８ 端末制御プログラム

Claims (12)

1. 撮影により得られた画像データに対して、第１段階の鍵を用いて被写体の一部を秘匿化する画像処理を行う画像処理部と、
   前記画像処理を経た画像データに対して、前記画像処理を経た画像データの前記被写体に関連付けて前記被写体の第２段階の秘匿化に用いられる第２段階の鍵を付加する付加部と、
   前記付加部により第２段階の鍵が付加された画像データを出力する出力部と、
   を備えた撮影装置。
2. 前記画像処理部は、前記被写体の撮影時に前記被写体が所持する端末から送信された、前記被写体の一部の複数の特徴点を示す特徴点情報を用いて、前記撮影により得られた画像データから前記被写体の一部を検出する
   請求項１に記載の撮影装置。
3. 撮影により得られた画像データに対して、第１段階の鍵を用いて被写体の一部を秘匿化する画像処理を行う第１の画像処理部と、前記画像処理を経た画像データに対して、前記画像処理を経た画像データの前記被写体に関連付けて前記被写体の第２段階の秘匿化に用いられる第２段階の鍵を付加する付加部と、前記付加部により第２段階の鍵が付加された画像データを出力する出力部と、を備えた撮影装置、及び
   前記撮影装置から出力された画像データから前記第２段階の鍵を取得する取得部と、前記撮影装置から出力された画像データに対して、前記取得部により取得された前記第２段階の鍵を用いて、前記第２段階の鍵に関連付けられた被写体全体を秘匿化する画像処理を行う第２の画像処理部と、を備えた情報処理装置
   を含む画像処理システム。
4. 前記付加部は、前記第１の画像処理部による画像処理を経た画像データの前記被写体に関連付けて前記被写体を特定するための特定情報を付加し、
   前記特定情報を受け付ける受付部と、前記付加部による処理を経た画像データから、前記受付部により受け付けられた特定情報に対応する被写体を検索する検索部と、を備えた検索装置
   を更に含む請求項３に記載の画像処理システム。
5. 前記第１段階の鍵及び前記第２段階の鍵は、ユーザにより指定されたパスワードを用いて生成された鍵であり、
   前記パスワードが同じ複数の被写体を、同じグループであると特定する特定部
   を更に含む請求項３又は請求項４に記載の画像処理システム。
6. 前記第１段階の鍵及び前記第２段階の鍵を、被写体固有の鍵を用いて生成するか、パスワードを用いて生成するか、又は被写体と復元者との間で共有される鍵及びパスワードを用いて生成するかが選択可能である
   請求項３から請求項５の何れか１項に記載の画像処理システム。
7. 前記第１段階の鍵及び前記第２段階の鍵は、被写体固有の鍵、パスワード、又は被写体と復元者との間で共有される鍵及びパスワードを用いて、前記特定情報を暗号化することによって生成され、
   前記画像処理を経た画像データに付加された前記特定情報を用いて、前記第１段階の鍵及び前記第２段階の鍵を生成する生成部
   を更に含む請求項４に記載の画像処理システム。
8. 前記第１段階の鍵及び前記第２段階の鍵は、パスワードを用いて生成された鍵であり、
   前記付加部は、前記画像処理を経た画像データの前記被写体に関連付けて、前記パスワードを暗号化した情報を更に付加し、
   付加された前記パスワードを暗号化した情報から、前記パスワードを特定する特定部
   を更に含む請求項４に記載の画像処理システム。
9. 前記第２の画像処理部は、前記画像データにおける前記第１段階の鍵を用いた秘匿化が行われていない被写体に対して、被写体全体を秘匿化する画像処理を行う、
   請求項３から請求項８の何れか１項に記載の画像処理システム。
10. 撮影により得られた画像データに対して、第１段階の鍵を用いて被写体の一部を秘匿化する画像処理を行う画像処理部と、前記画像処理を経た画像データに対して、前記画像処理を経た画像データの前記被写体に関連付けて前記被写体の第２段階の秘匿化に用いられる第２段階の鍵を付加する付加部と、前記付加部により第２段階の鍵が付加された画像データを出力する出力部と、を備えた撮影装置から出力された画像データから前記第２段階の鍵を取得し、
    前記撮影装置から出力された画像データに対して、前記第２段階の鍵を用いて、前記第２段階の鍵に関連付けられた被写体全体を秘匿化する画像処理を行う
    処理をコンピュータに実行させる画像処理プログラム。
11. 被写体を特定するための特定情報を受け付け、
    撮影により得られた画像データに対して、第１段階の鍵を用いて被写体の一部を秘匿化する画像処理、及び第２段階の鍵を用いて前記被写体全体を秘匿化する画像処理が行われ、かつ前記被写体に関連付けられて前記特定情報が付加された画像データから、受け付けた特定情報に対応する被写体を検索する
    処理をコンピュータに実行させる検索プログラム。
12. 撮影により得られた画像データに対して、第１段階の鍵を用いて被写体の一部を秘匿化する画像処理を行い、
    前記画像処理を経た画像データに対して、前記画像処理を経た画像データの前記被写体に関連付けて前記被写体の第２段階の秘匿化に用いられる第２段階の鍵を付加し、
    第２段階の鍵が付加された画像データを出力する
    処理をコンピュータに実行させる撮影プログラム。