JP4414803B2 - 監視システム - Google Patents

Description

本発明は、監視システムおよび監視方法に係り、特に、監視対象の撮像データの視聴を制限して、プライバシーを保護することのできる監視システムおよび監視方法に関する。

監視システムは、一般に、事故、災害あるいは不審者の行動などを監視をするために、常時あるいは一定間隔毎に監視領域を撮像し記録する。また、前記事故、災害などの不慮の事象の記録の外に、会社、工場などの事業所内で、従業員の作業行動を収集して記録し、記録された監視領域内での作業行動を分析し、生産性向上を目的とした改善活動に利用することがある。このような場合には、監視領域内で発生する事象の外に監視領域内の存在する人物の画像も記録することになる。

このような場合における人物の記録は、監視対象となった人物のプライバシー保護の観点から問題となる。すなわち、一般には監視対象となる従業員の同意は得難く、また、同意なく撮像を強制することはできない。

この点に関し、例えば特許文献１には、撮像された画像中の人物部分にモザイク処理などを加えることにより、人物像を不明瞭にし、あるいは完全に除去することにより、監視画像内の人物のプライバシーの保護を図りつつ監視を行う技術が提案されている。

また、特許文献２には、監視対象の動き等を検知するセンサからのセンサ信号に基づいて、異常が検出されなければ画像そのものの記録を行わず、異常が検出されたときのみ画像を記録する監視システムが示されている。このシステムでは、さらに、異常が検知された部分の画像に関しても、記録後に監視対象者自身の判断で記録された画像を消去可能して、監視対象者のプライバシーを保護することが示されている。
特開２０００−０００２１６号公報（第４頁、第１図） 特開２０００−０９２４７３号公報（第３頁、第１図）

しかしながら、前記従来技術は、プライバシー保護を優先して、撮像した不審者などの人物像を抹消するため、事件などの監視目的には使用できない。しかし、人物像自体は抹消されていても行動自体は記録されている。このため、プライバシー保護は完全ではない。 このような不完全にプロイバシーを保護した画像には、その不当な使用の危険性が残るため、撮像される人物にとっては、撮像自体を許可することへの心理的抵抗感が大きくなる。このため、このような監視システムを工場や事務所のような職場に導入することは困難となる。また、前記従来技術では、画像にモザイク処理などの改変、あるいは消去などを施すため、後日、記録画像としての画像データを使用する必要がある場合おいて、たとえ監視画像内に映っていた人物の同意が得られても、本来の画像データを正しく再現することはできない。

本発明は、これらの問題点に鑑みてなされたもので、監視対象を撮像した撮像データの視聴を制限して、プライバシーを保護することのできる監視システムおよび監視方法を提供することを目的とする。

本発明は上記課題を解決するため、次のような手段を採用した。

撮像装置と、該撮像装置の撮像範囲に指向性を有し、撮像対象から発信される識別情報を受信する受信装置を備え、前記撮像装置が生成した撮像データを、前記受信装置が受信した識別情報に関連するキーで暗号化する。

本発明は、以上の構成を備えるため、監視対象の撮像データの視聴を制限して、プライバシーを保護することのできる監視システムおよび監視方法を提供することができる。

以下、本発明の実施形態を添付図面を参照しながら説明する。図１は、本発明の第１の実施形態に係る監視装置を説明する図である。図において、１０１はビデオカメラ等の撮像装置。１０２は指向性を有するアンテナであり、例えば監視対象となる人物が携帯する無線タグ（ＲＦＩＤ）等の発信器が発信する送信データ（識別情報）を指向性をもって受信する。１０３は前記無線タグの送信データを受信するＲＦＩＤ受信器、１０４は撮像時刻を参照するための時計である。１０５はエンコーダであり、ビデオカメラの画像情報を適当な画像形式(ＪＰＥＧ など)の画像データに変換し、変換した画像データに、前記無線タグから送信されてきた識別情報と、撮像時刻情報を埋めこむ。１０７はネットワーク接続装置であり、エンコーダ１０５の出力データをネットワークを通じて伝送する。１０６は制御部であり、前記各機能ブロックの制御を行う。

図２は、図１に示す監視装置を用いた監視システムの構成を説明する図である。図において、２０１，２０２，２０３は監視装置、２１１，２１２，２１３は、それぞれ各監視装置に備えたビデオカメラの撮像エリア、２２１，２２２，２２３は、それぞれ各監視装置に備えたアンテナの受信エリアである。

図に示すように、それぞれのビデオカメラは撮像エリアを重複させながら所定範囲を撮像する。また、それぞれのビデオカメラに備えたアンテナは指向性を有しており、その受信エリア２２１，２２２，２２３は前記撮像エリア２１１，２１２，２１３とほぼ一致して重複している。なお、受信エリア２２１，２２２，２２３は前記撮像エリア２１１，２１２，２１３を包含するように設定するのが望ましい。

このような撮像エリアと受信エリアを設定すると、人物２３１がＲＦＩＤ内蔵バッジ２４０を装着して、撮像エリア２１１内にのみ存在するとき、監視装置２０１は、人物２３１の像を撮像すると同時にＲＦＩＤ内蔵バッジ２４０が発するＲＦＩＤ識別情報を受信し、撮像した画像情報に受信したＲＦＩＤ識別情報を付加したデータを生成する。なお、人物２３１は監視装置２０２や２０３の撮像エリアの外に存在しているので、ＲＦＩＤ内蔵バッジ２４０が発するＲＦＩＤ識別情報が監視装置２０２や２０３に受信されることはない。 一方、監視装置２０３の撮像エリア２１３内に存在する人物２３２の像は、監視装置２０３に撮像されるが、ＲＦＩＤ内蔵バッジを装着していないため、監視装置２０３はＲＦＩＤ識別情報のない監視データを生成する。

監視装置２０１、２０２、２０３は、それぞれネットワーク２６０に接続され、監視情報サーバ２５１は、監視装置２０１、２０２、２０３から伝送される監視情報を受信できるようにネットワーク２６０に接続されている。監視装置２０１、２０２、２０３は、それぞれ生成した監視情報データをネットワーク２６０を経由して逐次、監視情報サーバ２５１に伝送する。監視情報サーバ２５１は、監視装置から送付された情報を蓄積する外部記憶装置２５５をそなえ、蓄積した情報を閲覧するためのユーザーインタフェース装置として、情報表示装置２５２、キーボード２５３およびポインティングデバイス２５４を有する。

図３は、監視情報サーバ２５１の内部構成を説明する図である。監視情報サーバ２５１は、ＣＰＵ８０１、メモリ８０２、ネットワークに接続しデータを授受するためのネットワークインターフェース回路８０３、外部記憶ディスク装置２５５とデータを授受するためのディスクインターフェース回路８０４、キーボード２５３を接続するためのキーボードインターフェース回路８０５、マウス２５４を接続するためのマウスインターフェース回路８０６、および画像表示装置２５２を接続し画像表示するためのビデオインターフェース回路８０７がバス８１０を介して互いに接続される。外部記憶装置２５５にはＲＦＩＤと公開暗号キーの対応表を格納したＲＦＩＤ・公開暗号キー対応テーブル８２０、暗号化されていない画像データ８２１、および暗号化された画像データ８２２を格納する。
図４は、ＲＦＩＤ・公開暗号キー対応テーブル８２０を説明する図である。図４に示すように、各ＲＦＩＤタグ固有の識別番号に対応して画像データを暗号化する際に使用する公開暗号キー格納する。管理するＲＦＩＤタグが増加した場合には、対応テーブルの最終行に、識別番号および該番号に対応する開暗号キーの対データを追加する。

ＲＦＩＤ内蔵バッジ２４０を着用する目的は、それを着用している人物２３１を撮像した画像を、人物２３１本人の承諾なく閲覧できないようにしてプライバシーを保護することにある。

撮像した画像データには、その撮像と同時にアンテナ１０２で受信したＲＦＩＤ固有の識別番号を埋め込む。これにより、画像データを蓄積する際に、画像データ中にＲＦＩＤ内蔵バッジを着用していた人物が撮像されているかどうかを判別することができる。ＲＦＩＤ内蔵バッジには、それぞれ異なる固有のＲＦＩＤ識別番号を割り当て、ＲＦＩＤ識別番号とそれを着用している人物との対応を明確にしておく。プライバシー保護のためのＲＦＩＤ内蔵バッジを着用する人物には、該ＲＦＩＤ内蔵バッジのＲＦＩＤ識別番号に一対一に対応させた公開暗号キーを事前に発行し、該公開暗号キーは監視情報サーバ２５１に登録しておく。監視情報サーバ２５１は、ＲＦＩＤ識別番号が埋め込まれている画像データを蓄積する際には全て暗号化する。これにより、蓄積された画像データのうち、暗号化されている画像データは、その暗号化に使用された公開暗号キーを発行した人物本人が所有する復元のための秘密暗号キーを取得できない場合は、画像として参照できないことになる。

ＲＦＩＤ内蔵バッジを着用した人物が１台の監視装置の撮像エリア内に複数存在した場合、撮像された画像データには、複数の人物全てが着用するバッジのＲＦＩＤ識別番号が埋め込まれることになる。この場合はそれぞれのＲＦＩＤ識別番号に対応したそれぞれの公開暗号キーを用いて画像データを多重に暗号化する。

このため、暗号化した画像データは、その画像中に撮像されていたＲＦＩＤ内蔵バッジ着用者全員から復元のための秘密暗号キーの提供を受けない場合は、画像として閲覧することができないこととなり、ＲＦＩＤ内蔵バッジ着用者のプロイバシーを保護することができる。

一方、ＲＦＩＤ内蔵バッジ着用者が撮像エリアにいない場合は、その撮像エリア内の事象は誰もが閲覧できる監視画像として蓄積される。したがって、ＲＦＩＤ内蔵バッジを着用していない不審者等の行動は全て記録され閲覧できることになる。ＲＦＩＤ内蔵バッジを着用しない不審者がＲＦＩＤ内蔵バッジ着用者と同じ場所にいた場合、前記不審者を撮像した画像データは、前記ＲＦＩＤ内蔵バッジ着用者の承諾を得ないと閲覧できないこになる。これは、ＲＦＩＤ内蔵バッジ着用者のプライバシー保護の観点から必要である。もし、ＲＦＩＤ内蔵バッジを着用しない不審者の行動が、事件や事故の証拠として必要な場合には、その場に居合せたバッジ着用者に暗号化データ復元のための秘密暗号キーを提供してもらうことで、不審者の行動を記録した画像データを閲覧することができる。

もし、不審者と居合せたバッジ着用者が本人のプライバシー保護を主張し、その撮像画像の第三者への閲覧を拒否し、復元のための秘密暗号キーを提供しない場合には、画像を利用することはできない。しかし、バッジ着用者がその現場に居合せていたのであるから、該バッジ着用者に、目撃した事実を証言してもらうことは可能であり、監視情報の閲覧ができない事を補うことができる。

図５は、図１に示す監視装置の処理を説明する図である。ステップ３０１において、監視装置が起動され処理を開始する。ステップ３０２において、カメラは１フレームの画像を撮像し、撮像データをエンコーダに転送する。ステップ３０３において、エンコーダ１０５は時計１０４を参照して、前記１フレーム分の該画像データを撮像した時刻を取得する。ステップ３０４において、エンコーダはＲＦＩＤ受信器１０３を参照し、現在受信している全てのＲＦＩＤ識別番号を取得する。なお、監視装置の監視エリアにＲＦＩＤ内蔵バッジを着用する人物が存在しない場合には、取得するＲＦＩＤ識別番号は存在しない。 ステップ３０５において、エンコーダは転送された１フレーム分の画像データをＪＰＥＧに圧縮符号化するとともに、ステップ３０３において取得した時刻情報およびステップ３０４において取得したＲＦＩＤ識別情報を、前記圧縮符号化された画像データに付加情報として埋め込み、１フレーム分の監視データを構成する。

ステップ３０６において、ステップ３０５で生成した１フレーム分の監視データをネットワーク接続装置１０７に転送する。ステップ３０７において、転送された１フレーム分の監視データをネットワーク接続装置１０７および外部ネットワーク２６０を介して監視情報サーバ２５１に伝送する。次に、ステップ３０２へ戻り、次の１フレーム分の監視データを生成し、生成した監視データを監視情報サーバへ伝送するという処理を繰り返す。

図６は、監視情報サーバ２５１の処理を説明する図である。監視情報サーバは各監視装置から送信される監視情報を受信のためのプログラムを備える。ステップ４０１において、このプログラムが起動されと、まず、ステップ４０２において、ネットワーク２６０を経由する監視装置からの受信データがあるか否かを判別する。受信データが存在しない場合は、再度の受信データの有無確認のためにステップ４０２へ戻る。受信データが存在する場合には、ステップ４０３ないしステップ４０５において受信データ中から必要データを抽出する。

まず、ステップ４０３において、受信データから監視装置番号と撮像時刻データを取得する。ステップ４０４において、受信データからＲＦＩＤ識別番号集合を取得する。ＲＦＩＤ識別番号集合は、監視装置が撮像した１フレームの画像中に含まれる全てのＲＦＩＤ内蔵バッジ着用者のＲＦＩＤ識別番号集合である。従って、ＲＦＩＤ内蔵バッジを着用者が存在しない場合には、ＲＦＩＤ識別番号集合は空集合となる。ステップ４０５において、受信データ内から画像データを抽出する。

ステップ４０６において、ステップ４０４で受信データから抽出したＲＦＩＤ識別番号集合が空集合か否かを判定する。受信したＲＦＩＤ識別番号集合が空集合でない場合には、ステップ４０７において、ＲＦＩＤ識別番号集合に含まれる全てのＲＦＩＤ識別番号のそれぞれに対応する公開暗号キーを抽出し、それぞれの公開暗号キーを用いて前記画像データをそれぞれ多重に暗号化する。したがって、このように暗号化された画像データは、全ての公開暗号キーに対応した復元化暗号キーを取得し、取得した復元化暗号キーを用いて順次復元化しなければ元の画像データを復元できないことになる。一方、ＲＦＩＤ識別集合が空集合の場合には、画像データは暗号化しない。

ステップ４０８において、受信データの監視装置番号と撮像時刻情報を含むファイル名を作成し、該ファイル名を用いて、ここまでに処理した画像データ（暗号化した画像データおよび暗号化しない画像データ）を外部記憶装置へ格納する。例えば、監視装置番号が「Ｎ」、撮像時刻が「Ｔ」の場合、ファイル名を「Ｎ−Ｔ」と命名する。これにより、外部記憶装置に格納された多数の画像データファイルから、特定の監視装置の特定時刻の画像データを容易に検索して利用することができる。

ステップ４０９において、以上の処理を施した画像データに関する情報を後述する（図７，８参照）画像データ管理リストに追加する。次いで、ステップ４０２に戻り、次の受信データを待つ。

図７は、画像データ管理リストを説明する図であり、画像データ管理リストは、監視システムに接続されている監視装置毎に作成する。図７において、５０１は装置番号１の監視装置用の画像データ管理リスト、５０２は装置番号２の監視装置用の画像データ管理リスト、５０３は装置番号Ｋの監視装置用の画像データ管理リストである。図に示すように、各レコードは、画像撮像開始時刻ｔ１、画像撮像終了時刻ｔ２、ＲＦＩＤ識別番号集合 の３種類のフィールドから構成されている。なお、各レコードはＲＦＩＤ識別番号集合毎に作成してある。

図８は、画像データ管理リストの更新処理（図６のステップ４０９）の詳細を説明する図である。

ステップ６０１において、画像データ管理リストの更新プログラムが始動すると、最新の受信監視データの送信元である監視装置番号Ｎ、監視データの撮像時刻Ｔ、およびＲＦＩＤ識別番号集合Ａの情報が、更新プログラムの呼出し元から渡され、ステップ６０２、６０３において、それぞれ、変数名をＮ、ＴおよびＡとした記憶域に格納する。

監視装置番号Ｎの画像データ管理リストを、Ｘ（Ｎ）と記し、Ｘ（Ｎ）の最終レコードをＱと記すこととする。

ステップ６０４において、最終レコードＱの内容を読み込む。ステップ６０５において、最終レコードＱのＲＦＩＤ識別番号集合フィールドの値を読み込み、その値をＲ（Ｑ）とする。ステップ６０６において、最終レコードＱのＲＦＩＤ識別番号集合フィールドの値Ｒ（Ｑ）と、最新の受信監視データに含まれているＲＦＩＤ識別番号集合の値Ａが一致するか否かを判定する。前記Ｒ（Ｑ）と前記Ａの値が一致する場合は、ステップ６０７において、レコードＱの画像撮像終了時刻フィールドｔ２の値を、最新の受信監視データの撮像時刻Ｔの値に置換して画像データ管理リストの更新処理を終了する。

一方、前記Ｒ（Ｑ）とＡの値（ＲＦＩＤ識別番号集合の値）が一致しない場合は、ステップ６０８において、新規レコードを画像データ管理リストＸ（Ｎ）の最後に追加する。そして、ステップ６０９、６１０において、レコードＳの画像撮像開始時刻フィールド ｔ１、および画像撮像終了時刻フィールドｔ２の値をＴに設定しする。ステップ６１１において、レコードＳのＲＦＩＤ識別番号集合フィールドの値をＡに設定して、画像データ管理リストの更新処理を終了する。

図９は、監視情報サーバ２５１が行う蓄積した監視データの閲覧処理を説明する図である。ステップ７０１において、監視データ閲覧プログラムが起動されると、まず、ステップ７０２において、利用者は閲覧を希望する監視装置番号Ｎ、および表示したい監視時刻Ｔを入力する。ステップ７０３において、これらの入力情報に基づいて監視装置番号Ｎの画像データ管理リストを検索し、撮像開始時刻フィールドｔ１が、表示したい時刻Ｔ以下で、画像撮像終了時刻フィールドｔ２が、表示したい時刻Ｔより大きいレコードを抽出し、抽出したレコードをＥ（Ｎ，Ｔ）とする。ステップ７０４において、撮像時刻がＴ以下で、Ｔに最も近い、監視装置番号Ｎの画像ファイルを、画像ファイル名を基に検索し、検索した画像データファイルをＩ（Ｎ，Ｔ）とする。

ステップ７０５において、前記レコードＥ（Ｎ，Ｔ）のＲＦＩＤ識別番号集合フィールドの値が空集合であるか否かを判定する。ＲＦＩＤ識別番号集合フィールド値が空の場合、プライバシーを保護する対象の人物が撮像されていないことを表している。このため画像データＩ（Ｎ，Ｔ）は暗号化されていない。従って、ステップ７１０において、ファイルＩ（Ｎ，Ｔ）をデコードし、画像を情報表示装置２５２に表示することができる。

一方、ステップ７０５において、ＲＦＩＤ識別番号集合フィールド値が空集合でない場合、ステップ７０６において、ＲＦＩＤ識別番号集合フィールド値に記載されている全てのＲＦＩＤ識別番号に対応した人物に提供してもらう暗号解読キーの取得状況を調査する。ここで、未だ全てのＲＦＩＤ識別番号に対応する人物から暗号解読キーの提供を受けていない場合には、ステップ７０７において、画像ファイルＩ（Ｎ，Ｔ）に撮像されている人物の同意を得て、暗号解読キーを取得する。ステップ７０８にて、再度、レコードＥ（Ｎ，Ｔ）のＲＦＩＤ識別番号集合フィールド値に記載されている全てのＲＦＩＤ識別番号に対応した人物の同意のもとに提供してもらうべき暗号解読キーが全て取得済みか否かを判定する。ここで、全てのプロイバシー保護対象者の同意が得られず全ての暗号解読キーの取得に失敗した場合には、ステップ７１３に移り、画像閲覧を中止する。

ステップ７１４において、これまでに取得した暗号解読キーの全てを、監視情報サーバ内なから破棄して、監視データ閲覧プログラムを終了する。ステップ７０６あるいはステップ７０８における全ての必要な暗号解読キーの取得確認において取得済が確認された場合には、ステップ７０９において、取得した暗号解読キーを用いて画像ファイルＩ（Ｎ，Ｔ）を解読して、非暗号化データとする。ステップ７１０において画像ファイルＩ（Ｎ，Ｔ）をデコードし、情報表示装置２５２に表示する。

ステップ７１１において、次の画像フレームの表示を中止する指示があるか否かを判断する。表示中止指示がある場合には、ステップ７１４に移り、これまでに取得した暗号解読キーの全てを監視情報サーバ内なから破棄して、監視データ閲覧プログラムを終了する。表示中止指示がない場合には、ステップ７１２において、表示時刻Ｔを１フレーム分の時間Δ（通常は１／６０ 秒）程増加させて、再びステップ７０３に戻る。

以上の処理により、プライバシー保護対象者が撮像されている画像は本人の同意のもとに提供される暗号解読キーなくしては閲覧することができないことが保証される。

このように、ＲＦＩＤ内蔵バッジ着用者を撮像した画像データは、前記バッジを着用している本人の同意のもとでないと撮像画像を閲覧できないことが保証されるため、工場やオフィスなど日常的な作業空間に監視装置が設置されていたとしても、本人に無断でその行動を記録した画像を第三者が閲覧することはないことをバッジ着用者に説明し納得してもらうことが可能となる。このように、本人のプライバシー保護が保証されているため、監視システムを設置して撮像することに対する嫌悪感、あるいは撮像画像の流用等に対する不安感などの心理的負担を解消しやすいという効果がある。

また、撮像対象者のプライバシー保護を十分に行うことができるため、従来は監視システムを設置することが難しかった空間、例えば、日常業務を行うオフィス空間や工場の作業空間、さらには、病院の病室などの空間に対しても監視装置設置の同意を得やすくなり、監視装置による未監視領域が解消し易くなる。

図１０は、本発明の第２の実施形態に係る監視装置を説明する図である。図において、９０８は暗号器であり、ＲＦＩＤ受信器からＲＦＩＤ識別番号情報が受信されているときに、ビデオカメラ９０１からの画像データを暗号化する。９０９はＲＦＩＤ・暗号キー対応テーブル格納レジスタであり、暗号器９０８で画像データを暗号化する際に用いる公開暗号キーとＲＦＩＤ識別番号情報とを一対一に対応付けたＲＦＩＤ・暗号キー対応テーブルを格納する。９０７はネットワーク接続装置であり、前記対応テーブルデータを受信し、あるいはエンコーダ１０５の出力データをネットワークを介して伝送する。９０６は前記各機能ブロックの制御を行う制御部である。なお、図において図１に示される部分と同一部分については同一符号を付してその説明を省略する。また、画像データ管理リスト、画像データ管理リスト更新ステップ、および監視情報サーバに蓄積した監視データを閲覧するプログラムのアルゴリズムは第１の実施形態と同じものを利用することができる。

図１１は、図１０に示す監視装置の処理を説明する図である。監視装置が起動されると、まず、ステップ１００１において、監視装置が接続されているネットワークを通して、図２に示す監視情報サーバ２５１にアクセスし、ＲＦＩＤ・暗号キー対応情報を取得し、監視装置内のＲＦＩＤ・暗号キー対応テーブル格納レジスタ９０９に格納する。ステップ１００２において、ビデオカメラ１０１により１フレームの画像を撮像し、撮像した画像データを暗号器９０８に転送する。ステップ１００９において、暗号器９０８は、ＲＦＩＤ受信器９０３を参照して、現在受信している全てのＲＦＩＤ識別番号を取得する。ステップ１０１０において、ステップ１００９で取得したＲＦＩＤ識別番号が空集合であるか否かを判定する。

監視装置の監視エリアにＲＦＩＤ内蔵バッジを装着した人物が存在しない場合には、取得するＲＦＩＤ識別番号が存在しないこととなる。このように、取得したＲＦＩＤ識別番号が空集合の場合は、カメラが撮像した１フレーム分の画像データを暗号化することなく、単にＪＰＥＧ等に圧縮符号化する。一方、取得したＲＦＩＤ識別番号が空集合でない場合は、ＲＦＩＤ識別番号集合に含まれる全てのＲＦＩＤ識別番号のそれぞれに対応する公開暗号キーを、ＲＦＩＤ・暗号鍵対応テーブル９０９を参照して取得し、ＪＰＥＧ等に一旦圧縮符号化した画像データを、前記取得した公開暗号キーの全てを用いて多重に暗号化する。なお、前記暗号化されない画像データおよび暗号化した画像データはエンコーダ９０５に転送される。

ステップ１００３にて、エンコーダ９０５は、時計を参照して、１フレーム分の該画像データを撮像した時刻を取得し、ステップ１００４において、ＲＦＩＤ受信器１０３を参照して、現在受信している全てのＲＦＩＤ識別番号を取得する。ステップ１００５において、エンコーダ１０５は、暗号器９０８から転送されてきた１フレーム分の画像データに、ステップ１００３で取得した時刻情報、ステップ１００４で取得したＲＦＩＤ識別情報を付加情報として埋め込み、１フレーム分の監視データと構成する。ステップ１００６において、ステップ１００５で生成した１フレーム分の監視データをネットワーク接続装置９０７に転送する。ステップ１００７において、ネットワーク接続装置９０７は前記１フレーム分の監視データを外部ネットワークを経由して監視情報サーバ２５１に伝送する。次にステップ１００２へ戻り、次の１フレーム分の監視情報を生成し監視情報サーバ２５１に伝送するという処理を繰り返す。

図１２は、監視情報サーバの処理を説明する図である。監視情報サーバは各監視装置から送信される監視情報を受信のためのプログラムを備える。ステップ１１０１において、このプログラムが起動されると、まず、ステップ１１０２において、ネットワーク経由での監視装置からの受信データがあるか否かを判別する。受信データが存在しない場合は、再度の受信データの有無確認のためにステップ１１０２へ戻る。受信データが存在する場合は、ステップ１１０３ないしステップ１１０５において受信データ中から必要データを抽出する。

まず、ステップ１１０３において、受信データから監視装置番号および撮像時刻データを取得する。ステップ１１０４において、受信データからＲＦＩＤ識別番号集合を取得する。ＲＦＩＤ識別番号集合は、監視装置が撮像した１フレームの画像中に存在するＲＦＩＤ内蔵バッジ着用者の全てのＲＦＩＤ識別番号の集合である。従って、ＲＦＩＤ内蔵バッジ着用者が存在しない場合は、ＲＦＩＤ識別番号集合は空集合となる。ステップ１１０５において、受信データ内の画像データを抽出する。この場合、ＲＦＩＤ識別番号集合が空集合でない場合、抽出した画像データは送信元の監視装置により、暗号化されたデータとなっている。ステップ１１０８において、受信データの監視装置番号と撮像時刻情報を含むファイル名を作成し、該ファイル名で、ここまでに処理した画像データを外部記憶装置に格納する。例えば、監視装置番号がＮで、撮像時刻がＴの場合、ファイル名をＮ−Ｔとする命名する。これにより、外部記憶装置に格納された多数の画像データファイルから、特定の監視装置の特定時刻の画像データを容易に探しだして利用に供することができる。 ステップ１１０９において、ステップ１１０３ないしステップ１１０８で処理した画像データに関する情報を、図７に示す画像データ管理リストに追加する。ステップ１１０９の詳細な動作アルゴリズムは、図８のフローチャートを用いて前記において説明したとおりである。ステップ１１０３からステップ１１０９までの一連の処理により、ある監視装置から伝送されてきた１フレーム分の監視データの処理が完結する。続いて、再び次の受信データを待つために、ステップ１１０２へ戻る。

本実施形態においては、監視装置２０１，２０２，２０３で撮像した画像を暗号化して監視情報サーバ２５１に伝送する。すなわち、プライバシー保護を必要とする画像がネットワーク伝送路を流れる際に、既に暗号化されており、たとえデータを傍受されたとしても、プライバシー保護すべき画像データが容易に復元されことはなく、プロバシー保護効果をより高めることができる。さらに、暗号化処理をそれぞれの撮像装置内で実行する。このため、監視システムに接続されている監視装置の台数が増加しても、暗号化処理の負荷を各監視装置に分散して監視情報サーバの負荷の増加を軽減することができる。

以上説明したように、本発明の各実施形態によれば、プライバシーが保護されるべき人物はＩＤ信号発信手段を常時着用し、監視装置側では、撮像した画像に対し、撮像時刻、撮像時刻に受信したＩＤ信号発信手段の識別番号とを対応付けた監視情報を生成し管理するため、プライバシーを保護すべき対象の人物が撮像された画像情報か否かを容易に、かつ確実に判別できる。

また、プライバシーが保護されるべき人物が撮像された画像は、該プライバシー保護対象者本人しか復元解読できない暗号化方法で暗号化されるので、プライバシーが保護されるべき人物の同意のもとでないと撮像画像を復元し閲覧できない。このため、撮像画像の復元と閲覧に、本人の同意が必ず必要であることが保証されるため、工場やオフィスなどの日常的な作業空間であって、プライバシー保護の観点から監視装置の設置の同意を得にくい場所であっても、設置の同意が得易くなる。

本発明の第１の実施形態に係る監視装置を説明する図である。 図１に示す監視装置を用いた監視システムの構成を説明する図である。 監視情報サーバの内部構成を説明する図である。 ＲＦＩＤ・公開暗号キー対応テーブルを説明する図である。 図１に示す監視装置の処理を説明する図である。 監視情報サーバの処理を説明する図である。 画像データ管理リストを説明する図である。 画像データ管理リストの更新処理の詳細を説明する図である。 監視情報サーバが行う蓄積した監視データの閲覧処理を説明する図である。 本発明の第２の実施形態に係る監視装置を説明する図である。 図１０に示す監視装置の処理を説明する図である。 監視情報サーバの処理を説明する図である。

符号の説明

１０１ ビデオカメラ
１０２ 指向性アンテナ
１０３ ＲＦＩＤ受信器
１０４ 時計
１０５ エンコーダ
１０６ 制御部
１０７ ネットワーク接続装置
２０１，２０２，２０３ 監視装置
２１１，２１２，２１３ 撮像範囲
２２１，２２２，２２３ 受信範囲
２３１ ＲＦＩＤ内蔵バッジ着用人物
２３２ ＲＦＩＤ内蔵バッジ未着用人物
２４０ ＲＦＩＤ内蔵バッジ
２５１ 監視情報サーバ
２５２ 情報表示手段
２５３ キーボード
２５４ ポインティングデバイス
２５５ 外部記憶装置
２６０ ネットワーク
５０１，５０２，５０３ 画像データ管理リスト
８０１ ＣＰＵ
８０２ メモリ
８０３ ネットワークインターフェース回路
８０４ ディスクインターフェース回路
８０５ キーボードインターフェース回路
８０６ マウスインターフェース回路
８０７ ビデオインターフェース回路
８１０ バス
９０６ 制御部
９０７ ネットワーク接続装置
９０８ 暗号器
９０９ ＲＦＩＤ・暗号キー対応テーブル格納レジスタ

Claims (8)

1. 撮像装置と、
   該撮像装置の撮像範囲に指向性を有し、撮像対象から発信される識別情報を受信する受信装置を備え、
   前記撮像装置が生成した撮像データを、前記受信装置が受信した識別情報に関連するキーで暗号化することを特徴とする監視システム。
2. 撮像装置と、
   該撮像装置の撮像範囲に指向性を有し、撮像対象から発信される識別情報を受信する受信装置と、
   前記撮像装置が生成した撮像データに、撮像時刻を表す撮像時刻情報および受信装置が受信した識別情報を対応付けした画像データを生成するエンコーダと、
   画像データに含まれる撮像データを前記識別情報に関連するキーで暗号化する監視情報サーバを備えたことを特徴とする監視システム。
3. 請求項２記載の監視システムにおいて、
   前記監視情報サーバは、暗号化した撮像データに前記撮像時刻情報および識別情報を付加して記録装置に記録することを特徴とする監視システム。
4. 請求項２記載の監視システムにおいて、
   前記キーは、識別情報に関連して記憶した公開鍵であることを特徴とする監視システム。
5. 請求項３記載の監視システムにおいて、
   監視情報サーバは、画像データの管理リストを備え、撮像データを撮像装置毎および識別番号の集合毎に撮像開始時刻・撮像終了時刻を付加して管理することを特徴とする監視システム。
6. 撮像装置と、
   該撮像装置の撮像範囲に指向性を有し、撮像対象から発信される識別情報を受信する受信装置と、
   前記撮像装置が生成した撮像データを、前記識別情報に関連するキーで暗号化する暗号化装置と、
   該暗号化装置の暗号化データに、撮像時刻を表す撮像時刻情報および前記受信装置が受信した識別情報を付加するエンコーダを備えたことを特徴とする監視システム
7. 請求項６記載の監視システムにおいて、
   監視情報サーバを備え、該サーバは、画像データの管理リストを備え、エンコーダ出力データを撮像装置毎および識別番号の集合毎に撮像開始時刻・撮像終了時刻を付加して管理することを特徴とする監視システム。
8. 請求項６記載の監視システムにおいて、
   前記キーは、識別情報に関連して記憶した公開鍵であることを特徴とする監視システム。

Images