JP6396011B2

JP6396011B2 - 画像管理システム

Info

Publication number: JP6396011B2
Application number: JP2013224661A
Authority: JP
Inventors: レッドフィールドキャサリン; 浩行伊達
Original assignee: Secom Co Ltd
Current assignee: Secom Co Ltd
Priority date: 2013-10-29
Filing date: 2013-10-29
Publication date: 2018-09-26
Anticipated expiration: 2033-10-29
Also published as: JP2015088855A

Description

本発明は、防犯や監視のために設置されたカメラが取得した連続して発生する画像へ電子署名を行いサーバへ配信する画像管理システムに関し、特に、カメラ自身が画像への署名処理を行ってもサーバへの画像配信の遅延が最小限に保たれる画像管理システムに関する。

防犯や監視のために設置されたカメラが取得した連続して発生する画像（いわゆる動画像）が証拠として利用されるためには、どのカメラで動画像が取得されたのか確認できることや動画像が改竄されていないこと（すなわち、動画像の真正性が保たれていること）が、ますます重要になってきている。そして、この要望に電子署名技術を採用して対応しようとしている。

従来、「カメラの作成元認証」と「カメラ画像の改竄検知」を目的として、カメラ画像を送信するカメラにて電子署名を行うとき、「１フレーム毎に画像に電子署名を施して送信する方法（方法１）」と「複数のフレームの画像にまとめて電子署名を施して送信する方法（方法２）」が知られている（例えば、特許文献１）。

特開２０１０−２４５５９０号公報

しかしながら、（方法１）では画像に署名処理を施しつつ遅延なく送信するためには、画像取得間隔のうちに署名処理を完了して送信することが不可欠で高性能なカメラが必要となり、標準的なカメラの処理能力では画像取得する間隔では署名処理を完了できない、という課題があった。また、（方法２）では複数のフレーム画像をまとめて送受信するので、利用できるようになるまで遅延が発生し、改竄検知したときに、複数のフレーム画像全部を再送しなければならない、という課題があった。

本発明は、上記問題を鑑みてなされたものであり、遅延を発生させずにカメラ画像へ署名を施すと共に、受信した画像の改竄を検知したときにカメラからサーバへ再送するデータ量をなるべく小さくする画像管理システムを提供することを目的とする。

かかる課題を解決するために、本発明は、動画像データを取得してサーバへ送信する画像取得装置と、動画像データを画像取得装置から受信し記憶するサーバとがネットワークを介して接続され、当該画像取得装置において動画像データを構成する複数の画像データに対して署名を施す画像管理システムであって、前記画像取得装置は、画像データを取得する画像取得手段と、ハッシュ値を算出するハッシュ値算出手段と、前記画像取得手段が取得した画像データごとに順次算出された個別ハッシュ値と画像識別情報を当該画像データに付加して前記サーバへ送信する画像データ送信手段と、前記画像データ送信手段が所定数の画像データを送信し終えると、当該所定数の画像データに対する全体ハッシュ値を算出し、当該全体ハッシュ値を用いて当該所定数の画像データに署名を施し、署名データを生成する署名手段と、前記署名手段が前記署名データを生成すると、当該署名データを前記サーバへ送信させる署名データ送信手段と、を有し、前記サーバは、前記画像取得装置から受信した画像データのハッシュ値を算出し、当該算出したハッシュ値と受信した個別ハッシュ値が一致するかどうかを検証するハッシュ値検証手段と、ハッシュ値検証に失敗した画像データの画像識別情報を前記所定数の画像データにおける再送箇所として抽出する再送箇所候補抽出手段と、前記画像取得装置から受信した署名データを、前記画像取得装置から受信した所定数の画像データを用いて署名検証する署名検証手段と、前記再送箇所を用いて前記所定数の画像データの署名検証に成功すると、前記所定数の画像データと前記署名データを対応づけて記憶手段に記憶させるサーバ制御手段と、を有することを特徴とする画像管理システムを提供する。これにより、署名データを受信し署名検証する前に再送対象画像を抽出しておくことが可能となる。

また、かかる画像管理システムにおいて、前記画像取得装置は、前記サーバ装置の要求に応じて、画像データまたは署名データを再送する再送手段を、さらに有し、前記サーバ装置は、前記再送箇所の画像データを再送するように前記サーバ通信手段を介して前記画像取得装置に要求する再送要求手段を、さらに有し、再送された画像データを用いて前記署名検証手段が署名検証を行うことが好ましい。これにより、抽出した再送対象画像のみを画像再送させることができ、再送データ量の増加を抑制できる。

また、かかる画像管理システムにおいて、前記再送要求手段は、前記再送箇所があらかじめ定めた量を超えたときに、当該再送箇所を除いた署名データを作成して再送するように前記サーバ通信手段を介して前記画像取得装置に要求し、前記署名検証手段は、再送された前記再送箇所を除いた署名データを用いて署名検証を行うことが好ましい。これにより、抽出した再送対象画像数があらかじめ定めた閾値を超えてしまったとき、画像データを再送する処理から、再送対象画像を除いて生成した新しい署名データを再送させる処理に切り替えることで、再送データ量の増加を抑制できる。

また、かかる画像管理システムにおいて、前記画像取得装置は、前記サーバ装置の要求に応じて、署名データを再送する再送手段を、さらに有し、前記サーバ装置は、前記再送箇所を除いた署名データを作成して再送するように前記サーバ通信手段を介して前記画像取得装置に要求する再送要求手段を、さらに有し、再送された前記再送箇所を除いた署名データを用いて前記署名検証手段が署名検証を行うことが好ましい。これにより、画像データの再送を行わずに抽出した再送対象画像を除いて生成した新しい署名データを再送させるため、問題なく受信できている画像に対して真正性を担保できるようしつつ、再送データ量の増加を抑制できる。

本発明によれば、サーバは、遅延を発生せずに改竄検知可能なカメラ画像を受信して利用できる。また、署名検証に失敗したときに、カメラからサーバへの画像再送を最小限に抑えられる。

本発明を適用した画像管理システムの全体構成を説明する図である。記憶部３１の例を説明する図である。記憶部２１の例を説明する図である。画像管理システムの動作イメージ図である。送信データの例を説明する図である。画像取得装置２の処理フローチャートである。サーバ装置３の処理フローチャートである。画像取得装置２の処理の別例を示すフローチャートである。サーバ装置３の処理の別例を示すフローチャートである。画像取得装置２の処理の別例を示すフローチャートである。サーバ装置３の処理の別例を示すフローチャートである。

以下、本発明に係る画像管理システムの実施の形態について、図を参照しつつ説明する。図１は、画像管理システムの全体構成を示した図である。
図１に示す画像管理システム１は、監視領域を撮影し、署名を付与した動画像データを送信する画像取得装置２、画像取得装置２から署名が付与された動画像データを受信し、署名を検証するサーバ装置３、ネットワーク４から構成される。複数の画像取得装置２を接続してもよい。

まず、画像取得装置２について説明する。画像取得装置２は、例えば防犯カメラや監視カメラとして機能するネットワークカメラであって、図１に示すように、記憶部２１、制御部２２、通信Ｉ／Ｆ部２３、撮像部２４を含んで構成される。

記憶部２１は、ＲＯＭ、ＲＡＭ、磁気ハードディスク等の記憶装置であり、各種プログラムや各種データを記憶し、画像取得装置２ごとに固有の署名鍵２１１とハッシュ値計算鍵２１２を記憶する。

署名鍵２１１は、電子署名に使用する秘密鍵である。画像取得装置２で取得した画像に対して電子署名を施す際に用いられ、署名者の認証をすることで、画像の作成元認証が可能になる。
なお、署名鍵２１１が確かに画像取得装置２のものと証明する電子証明書、すなわち、署名鍵２１１として使用する秘密鍵と対の公開鍵の公開鍵証明書も記憶部２１に記憶しておいてもよい。その場合、署名データに公開鍵証明書を含めることができる。本実施の形態では、署名値が署名データであるとして説明する。

ハッシュ値計算鍵２１２は、ハッシュ値計算に使用する秘密鍵である。ハッシュ値計算鍵２１２は、ＨＭＡＣ（Hash-based Message Authentication Code）という改竄検出方法において、対象データとハッシュ関数とともに使用される。きちんと管理された秘密鍵を用いてハッシュ値計算を行うと、単に対象データのハッシュ値を計算する場合と異なり、ハッシュ値検証の際に、秘密鍵の持ち主によってハッシュ値計算が行われたことを確認することができる。ハッシュ値計算鍵２１２は、一連の画像配信を開始する前に、画像配信先であるサーバ装置３と共有される。安全に秘密鍵を共有する方法は種々存在し、例えば、Diffie-Hellman鍵交換方式などを使用することができる。

制御部２２は、画像取得装置２の各部を統合的に制御する構成部であり、記憶部２１に記憶されている端末プログラムを処理するＣＰＵ等を備える。このため、ハッシュ値計算手段２２１と電子署名手段２２２と画像データ送信手段２２３と署名データ送信手段２２４と再送手段２２５を有する。

ハッシュ値計算手段２２１は、ハッシュ値計算鍵２１２を用いて、処理対象に対しＨＭＡＣによるハッシュ値を生成する。

電子署名手段２２２は、署名鍵２１１を用いて、処理対象に対し電子署名を行い、署名データである署名値を生成する。詳細には、処理対象のハッシュ値を求め、ハッシュ値に対して電子署名を行い、署名値を得る。署名方式は種々存在し、例えば、処理が早くて安全なＥＣＤＭＡ方式（Elliptic Curve Digital Signature Algorithm、楕円曲線電子署名アルゴリズム）などを使用することができる。

画像データ送信手段２２３は、ハッシュ値計算手段２２１と連携して動作し、サーバ装置３へ画像データを送信する。画像データ送信手段２２３は、送信する画像データのハッシュ値をハッシュ値計算手段２２１に生成させ、画像データとハッシュ値を通信Ｉ／Ｆ部２３を介してサーバ装置３へ送信する。また、画像データおよび送信したデータは、作業領域に保存しておき、サーバ装置３から再送要求が来たときに再利用可能にしておく。

署名データ送信手段２２４は、電子署名手段２２２およびハッシュ値計算手段２２１と連携して動作し、サーバ装置３へ署名データを送信する。複数の画像にまとめて署名するため、署名する間隔を規定する画像のフレーム数をカウンタで計数しており、署名するタイミングに達すると、電子署名手段２２２に作業領域中の画像データを用いて対象の複数の画像についての署名値を生成させて署名データとし、送信する署名データのハッシュ値をハッシュ値計算手段２２１に生成させ、署名データとハッシュ値を通信Ｉ／Ｆ部２３を介してサーバ装置３へ送信する。また、署名データおよび送信したデータは、作業領域に保存しておき、サーバ装置３から再送要求が来たときに再利用可能にしておく。

再送手段２２５は、サーバ装置３から再送要求に応答し、画像データおよび署名データの再送を行う。

通信Ｉ／Ｆ部２３は、ネットワーク４を介してサーバ装置３とデータの授受を行う通信インタフェースである。そのため、通信Ｉ／Ｆ部２３は、有線通信又は無線通信に対応し、インターネット等の広域通信網あるいは閉域通信網などのＩＰ網、あるいは携帯電話通信網の各種ネットワークを介してサーバ装置３と通信してもよい。

撮像部２４は、ＣＣＤ素子やＣ−ＭＯＳ素子等の撮像素子、光学系部品等を含んで構成される所謂カメラである。撮像部２４は画像を取得し、制御部２２へ出力する。

次に、サーバ装置３について説明する。サーバ装置３は、防犯カメラや監視カメラとして機能する画像取得装置２から署名が付与された動画像データを受信し、署名を検証し、保管するサーバであり、図１に示すように、記憶部３１、制御部３２、通信Ｉ／Ｆ部３３を含んで構成される。

記憶部３１は、ＲＯＭ、ＲＡＭ、磁気ハードディスク等の記憶装置であり、各種プログラムや各種データを記憶し、装置情報３１１と画像データ３１２と署名データ３１３を記憶する。
装置情報３１１は、サーバ装置３が画像取得装置２から署名が付与された動画像データを受信して処理する場合に使用する署名鍵２１１と対になった公開鍵、ハッシュ値検証に用いるハッシュ値計算鍵２１２と同じハッシュ値計算鍵を画像取得装置２の装置識別子と共に記憶する。

画像データ３１２は署名検証が成功した画像データであり、署名データ３１３は署名検証が成功した画像データの署名データである。画像データ３１２と署名データ３１３は関連付けて記憶されていて、必要に応じて後日署名検証を行うことができる。

ここで、図２と図３を参照し、サーバ装置３の記憶部３１の例を示すとともに、画像取得装置２の記憶部２１との対応関係を説明する。

図２は、サーバ装置３の記憶部３１の例であり、装置情報３１１と画像データ３１２と署名データ３１３を対応付けて記憶している。装置情報３１１は、装置識別子と公開鍵とハッシュ値計算鍵から構成されている。画像データ３１２は署名対象の画像データをすべて含み、対応する署名データ３１３と対応付けられている。
例えば、装置識別子“２”の画像取得装置２の公開鍵は“ＰＫ２”で、ハッシュ値計算鍵は“ＨＫ２”であり、画像データ“Ｆ₁₁, Ｆ₁₂, Ｆ₁₃,・・・, Ｆ_1T”に対しては署名データ“σ₁”、画像データ“Ｆ₂₁, Ｆ₂₂, Ｆ₂₃,・・・, Ｆ_2T”に対しては署名データ“σ₂”という2つのレコードが記憶されている。ここで、Ｆとは１のフレーム画像の画像データのことであり、Ｆ₁₁と表現した場合、署名を施す単位をブロックとすると、添え字で第1ブロックのブロック内での第1フレーム目の画像であることを示している。また、σ₁は第1ブロックの署名データであり、“Ｆ₁₁, Ｆ₁₂, Ｆ₁₃,・・・, Ｆ_1T”は第1ブロックの署名対象がＴフレーム分の画像で構成されていることを示している。

図３は、画像取得装置２の記憶部２１の例であり、サーバ装置３の装置情報３１１の装置識別子“２”で識別される画像取得装置２の記憶部２１を表現している。図３の装置識別子“２”で識別される画像取得装置２の記憶部２１において、署名鍵２１１は“ＳＫ２”であり、ハッシュ値計算鍵２１２は“ＨＫ２”である。図２のサーバ装置３の装置情報３１１に記憶されている装置識別子“２”の画像取得装置２の公開鍵は“ＰＫ２”であり、“ＳＫ２”と対の関係にある。また、ハッシュ値計算鍵は、画像取得装置２とサーバ装置３の間で共有しているので、同じ“ＨＫ２”となっている。

制御部３２は、サーバ装置３の各部を統合的に制御する構成部であり、記憶部３１に記憶されているサーバプログラムを処理するＣＰＵ等を備える。このため、データ受信手段３２１とハッシュ値検証手段３２２と署名検証手段３２３と再送対象抽出手段３２４と再送要求手段３２５を有する。

データ受信手段３２１は、画像取得装置２からデータ（画像データまたは署名データ）を受信し、後述するハッシュ値計算手段２２１を用いて、受信したデータが改竄されていないかのハッシュ値検証を行う。ハッシュ値検証に成功して「ハッシュ値ＯＫ」の場合、受信したデータを作業領域に一時保存する。そして、ハッシュ値検証の結果と受信したデータの種別を判定して、後述する署名検証手段３２３、再送対象抽出手段３２４、再送要求手段３２５に処理を引き継ぐ。

ハッシュ値検証手段３２２は、送信元の画像取得装置２が使用したハッシュ値計算鍵２１２と同じハッシュ値計算鍵を装置情報３１１から特定して、処理対象のＨＭＡＣによるハッシュ値を確認し、確認結果の「ハッシュ値ＯＫ」または「ハッシュ値ＮＧ」を出力する。

署名検証手段３２３は、送信元の画像取得装置２が使用した署名鍵２１１と対になる公開鍵を装置情報３１１から特定して、作業領域に保存された画像データと署名データを用いて、処理対象の電子署名の署名検証を行い、検証結果の「検証ＯＫ」または「検証ＮＧ」を出力する。そのため、データ受信手段３２１が画像取得装置２から受信したデータが署名データであり、ハッシュ値検証手段３２２が出力した確認結果が「ハッシュ値ＯＫ」かつ後述する再送対象抽出手段３２４によるエラー画像（再送画像候補）の蓄積がない場合に動作する。

再送対象抽出手段３２４は、処理対象の画像データのブロック内フレーム識別番号を蓄積する。そのため、データ受信手段３２１が画像取得装置２から受信したデータが画像データであり、ハッシュ値検証手段３２２が出力した確認結果が「ハッシュ値ＮＧ」の場合に動作する。なお、再送対象抽出手段３２４によって蓄積されたブロック内フレーム識別番号は、エラー画像であったとして、画像取得装置２に画像データを再送させる際に用いる。

再送要求手段３２５は、通信Ｉ／Ｆ部３３を介して画像取得装置２へ、データの再送信を要求する手段である。そのため、データ受信手段３２１が画像取得装置２から受信したデータが署名データの場合に動作する。ハッシュ値検証手段３２２が出力した確認結果が「ハッシュ値ＮＧ」であれば、再送要求手段３２５は、署名データの再送要求を行う。また、ハッシュ値検証手段３２２が出力した確認結果が「ハッシュ値ＯＫ」でも再送対象抽出手段３２４によりエラー画像の蓄積があるとき、再送要求手段３２５は、蓄積されたブロック内フレーム識別番号を用いて該当する画像データの再送要求を行う。

通信Ｉ／Ｆ部３３は、ネットワーク４を介して画像取得装置２との通信を行うインタフェースである。通信Ｉ／Ｆ部３３は有線通信又は無線通信に対応し、インターネット等の広域通信網あるいは閉域通信網などのＩＰ網、あるいは携帯電話通信網の各種ネットワークを介して画像取得装置２と通信してもよい。

図４を参照し、画像管理システムにおける画像データおよび署名データの送受の動作について概略を説明する。

画像取得装置２の撮像部２４は順次画像を取得し、図４では、Ｆ₁, Ｆ₂, Ｆ₃,・・・, Ｆ_T, Ｆ_T+1, Ｆ_T+2,・・・とその取得した画像を示している。署名間隔を定めるフレーム枚数は画像取得装置２の性能に合わせＴと予め定められているものとするので、Ｆ₁, Ｆ₂, Ｆ₃,・・・, Ｆ_Tが制御部２２での署名単位の１つ目のブロック、Ｆ_T+1, Ｆ_T+2,・・・が署名単位の２つ目のブロックということになる。制御部２２では、１つ目のブロックの第１フレームとしてＦ₁をＦ₁₁、1つ目のブロックの第２フレームとしてＦ₂をＦ₁₂として扱う。そして、Ｆ₁₁に対するＨＭＡＣによるハッシュ値を取得し、送信データＰ₁₁を生成して、サーバ装置３へ送信される。サーバ装置３では、受信した送信データＰ₁₁のＨＭＡＣ検証を行い、ＨＭＡＣ検証に成功すれば、Ｐ₁₁から取り出したＦ₁₁を一時的に作業領域に保存する。Ｆ₂, Ｆ₃,・・・, Ｆ_Tについても同様な処理が行われる。

Ｆ_Tまで処理が終わると、Ｆ₁, Ｆ₂, Ｆ₃,・・・, Ｆ_Tを用いて電子署名が行われ、署名値σ₁を１つ目のブロックの署名データとして送信するために、σ₁に対するＨＭＡＣによるハッシュ値を取得し、送信データＰ_1σを生成して、サーバ装置３へ送信される。サーバ装置３では、受信した送信データＰ_1σのＨＭＡＣ検証を行い、ＨＭＡＣ検証に成功すれば、Ｐ_1σから取り出したσ₁と作業領域に一時保存してあるＦ₁, Ｆ₂, Ｆ₃,・・・, Ｆ_Tを用いて、署名検証を行う。署名検証に成功すれば、Ｆ₁, Ｆ₂, Ｆ₃,・・・, Ｆ_Tとσ₁を記憶部３１に正式に記憶する。そして、画像取得装置２へσ₁確認応答を送信する、画像取得装置２は、σ₁確認応答の受信を確認して、画像データ及び署名データの再送に備えて残してあったＦ₁, Ｆ₂, Ｆ₃,・・・, Ｆ_T, σ₁を作業領域から消す。そして、２つ目のブロックのＦ_T+1, Ｆ_T+2,・・・についても、同様に処理が続けられる。

図５は、図４における送信データの構造の例を説明する図である。送信データが画像データか署名データか種別を区別できるようにしている。
図５（ａ）は、画像データを送信する際の送信データの構造の例であり、図４におけるＰ₁₃を説明している。1ブロック目の第3フレームの画像データＦ₁₃を送信する場合、ブロック内フレーム識別番号“３”と画像データＦ₁₃、フレーム識別番号と画像データを用いて計算したハッシュ値のＨＭＡＣ（３, Ｆ₁₃）を送信データとする。
図５（ｂ）は、署名データを送信する際の送信データの構造の例であり、図４におけるＰ_1σを説明している。1ブロック目の署名データσ₁を送信する場合、署名識別番号としてブロックの順番から“１”と署名データσ₁、署名識別番号と署名データを用いて計算したハッシュ値のＨＭＡＣ（１, σ₁）を送信データとする。

図６を参照し、画像取得装置２の詳細な処理フローを説明する。なお、以下に説明する処理フローは、制御部２２で実行される記憶部２１に記憶した各種プログラムによって制御される。

撮像部２４が画像の取得を開始すると、制御部２２は処理を開始する。署名間隔を定めるフレーム枚数は画像取得装置２の性能に合わせＴと予め定められているものとする。この署名間隔をカウントする作業領域に用意したカウンタを‘０’に設定し、リセットする（ステップＳ１）。そして、画像データ送信手段２２３は、撮像部２４が順次出力する画像データを処理対象フレームとして指定し（ステップＳ２）、カウンタを１つカウントアップする（ステップＳ３）。そして、カウンタの値と処理対象フレームの画像データを処理対象としてハッシュ値計算手段２２１にハッシュ値計算鍵２１２を用いてＨＭＡＣによるハッシュ値を計算させる（ステップＳ３）。そして、カウンタの値をブロック内フレーム識別番号とし、このブロック内フレーム識別番号とハッシュ値計算手段２２１が出力したハッシュ値とともに画像データを送信データとして、通信Ｉ／Ｆ部２３を介してサーバ装置３へ送信する（ステップＳ５）。ここで、画像データ及び送信データを作業領域に保存しておく。

次に、制御部２２は、撮像部２４が撮像を終了しているか否か、撮像終了判定を行い（ステップＳ６）、撮像終了でなければ（ステップＳ６−Ｎｏ）、カウンタの値がＴに達しているかどうか判定する（ステップＳ７）。カウンタの値がＴでなければ（ステップＳＳ７−Ｎｏ）、撮像部２４が取得している画像を同じブロックの画像として処理を進めるために、ステップＳ２へ戻る。一方、カウンタの値がＴであれば（ステップＳＳ７−Ｙｅｓ）、Ｔフレーム分の画像データに電子署名を行うため、ステップＳ９へ進む。一方、撮像部２４が撮像終了であれば（ステップＳ６−Ｙｅｓ）、終了フラグをセットし（ステップＳ８）、Ｔ未満のフレーム数ではあるが1ブロック分として画像データに電子署名を行うため、ステップＳ９へ進む。

ステップＳ９では、署名データ送信手段２２４は、電子署名手段２２２に作業領域に保存してあるＴフレーム分の画像に署名鍵２１１を用いて電子署名を付与させ、署名データを生成させる。その後、署名データに識別子を付与して署名識別番号とし、署名識別番号と署名データを処理対象としてハッシュ値計算手段２２１にはハッシュ値計算鍵２１２を用いて署名データを送信する際に使用するＨＭＡＣによるハッシュ値を計算させる。この署名識別番号とハッシュ値計算手段２２１が出力したハッシュ値とともに署名データを送信データとして、通信Ｉ／Ｆ部２３を介してサーバ装置３へ送信する（ステップ１０）。ここで、署名データ及び送信データを作業領域に保存しておく。そして、再送手段２２５は、サーバ装置３からの確認応答を待つ（ステップＳ１１）

サーバ装置３から通信Ｉ／Ｆ部２３を介して、確認応答を受信すると（ステップＳ１１−Ｙｅｓ）、再送手段２２５は、１ブロック分の処理が完了したとして、作業領域に保存しておいた画像データ、署名データ、送信データを削除する（ステップＳ１２）。そして、制御部２２は、終了フラグがセットされているか確認する（ステップＳ１３）。終了フラグがセットされていなければ（ステップＳ１３−Ｎｏ）、撮像部２４が取得している画像を別のブロックの画像として処理を進めるために、ステップＳ１へ戻る。終了フラグがセットされていれば（ステップＳ１３−Ｙｅｓ）、処理を終了する。

一方、ステップＳ１１で確認応答を受信しなかったとき、すなわち、画像データ再送要求または署名データ再送要求を受信すると（ステップＳ１１−Ｎｏ）、再送手段２２５は、署名データ再送要求を受信していれば、作業領域に保存してある署名データの送信データを用いて再送するために、ステップＳ１０へ戻る。また、画像データ再送要求を受信していると、再送要求のあったフレーム識別番号に対応する作業領域に保存してある画像データの送信データを用いて再送を行い（ステップＳ１５）、ステップＳ１１へ戻る。なお、画像データ再送要求で複数のフレーム識別番号が指定されていたときは、ステップＳ１５は再送要求があったすべての画像データを送り終えるまで、再送処理を繰り返す。

図７を参照し、サーバ装置３の詳細な処理フローを説明する。なお、以下に説明する処理フローは、制御部３２で実行される記憶部３１に記憶した各種プログラムによって制御される。

サーバ装置３は、画像取得装置２から通信Ｉ／Ｆ部３３を介してデータを受信して、本フローの処理を開始する。データ受信手段３２１がデータを受信すると（ステップＳ３０１）、まず、ハッシュ値検証手段３２２を用いてハッシュ値検証を行う（ステップＳ３０２）。ハッシュ値検証の結果を判定し（ステップＳ３０３）、ハッシュ値検証に成功して“ハッシュ値ＯＫ”を得ると（ステップＳ３０３−Ｙｅｓ）、データ受信手段３２１は、受信したデータが画像データか署名データかを判定する（ステップＳ３０４）。受信したデータが画像データであれば（ステップＳ３０４−Ｙｅｓ）、データ受信手段３２１は、作業領域に受信した画像データを一時保存し（ステップ３０５）、次のデータの受信にそなえ、Ｓ３０１へ戻る。

一方、ステップＳ３０３において、ハッシュ値検証に失敗して“ハッシュ値ＮＧ”となると、データ受信手段３２１は、受信したデータが画像データか署名データかを判定する（ステップＳ３０６）。受信したデータが画像データであれば（ステップＳ３０６−Ｙｅｓ）、再送対象抽出手段３２４は、画像データを受信した際のエラー画像として再送画像候補に画像データのブロック内フレーム識別番号を蓄積し（ステップＳ３０７）、次のデータの受信にそなえてＳ３０１へ戻る。また、受信したデータが署名データであれば（ステップＳ３０６−Ｎｏ）、署名データ再送要求を通信Ｉ／Ｆ部３３を介して画像取得装置２へ送信し（ステップＳ３０８）、次のデータの受信にそなえてＳ３０１へ戻る。

ステップＳ３０４において、受信したデータが署名データであれば（ステップＳ３０４−Ｎｏ）、画像データを受信した際にエラー画像として再送画像候補が抽出されていないかを判定する（ステップＳ３０９）。そして、再送画像候補が抽出されていなければ（ステップＳ３０９−Ｎｏ）、署名検証手段３２３を呼びだし、受信した署名データと一時保存してある画像データを用いて、署名検証を行う（ステップＳ３１０）。署名検証の結果を判定し（ステップＳ３１１）、署名検証に成功すると（ステップＳ３１１−Ｙｅｓ）、データ受信手段３２１は画像取得装置２に通信Ｉ／Ｆ部３３を介して署名データの確認応答を送信し（ステップＳ３１２）、署名検証に成功した画像データ及び署名データを記憶部３１の画像データ３１２及び署名データ３１３にそれぞれ記憶させる（ステップＳ３１３）。そして、次のデータの受信にそなえてＳ３０１へ戻る。一方、ステップＳ３１１において、署名検証に失敗すると（ステップＳ３１１−Ｎｏ）、署名データ再送要求を通信Ｉ／Ｆ部３３を介して画像取得装置２へ送信し（ステップＳ３０８）、次のデータの受信にそなえてＳ３０１へ戻る。

ステップＳ３０９において、再送画像候補が抽出されていると（ステップＳ３０９−Ｙｅｓ）、抽出された再送画像候補についての画像データ再送要求を通信Ｉ／Ｆ部３３を介して画像取得装置２へ送信し（ステップＳ３２１）、すべての再送画像候補について再送画像取得を完了するまで、ステップＳ３２２〜Ｓ３２５の処理を行う。ステップＳ３２２では、データ受信手段３２１は、ステップＳ３０１と同様、画像データを受信する。そして、ステップＳ３２３では、ステップＳ３０２と同様、受信した画像データについてハッシュ値検証を行う。そして、ステップＳ３２４では、ハッシュ値検証の結果を判定する。結果判定の結果、ハッシュ値検証に成功して“ハッシュ値ＯＫ”を得ると（ステップＳ３２４−Ｙｅｓ）、ステップＳ３０５と同様、作業領域に受信した画像データを一時保存する（ステップＳ３２５）。そして、再送候補画像の候補から当該画像データのフレーム識別番号を削除する。一方、結果判定の結果、ハッシュ値検証に失敗して“ハッシュ値ＮＧ”を得ると（ステップＳ３２４−Ｎｏ）、そのまま次の処理へ進む。すなわち、再送候補画像の候補から当該画像データのフレーム識別番号が蓄積されたまま残る。そして、受信したすべての再送画像候補についての処理を終えると、ステップＳ３０９へ進み、再送画像取得が完了しているか判定する。再送画像取得が完了していれば再送画像候補はなく（ステップＳ３０９−Ｎｏ）、署名検証をするために、ステップＳ３１０へ進む。再送画像取得が完了してない、すなわち、再送画像候補がまだ残っている場合は（ステップＳ３０９−Ｙｅｓ）、ステップＳ３２１へ進み、画像再送処理を繰り返す。

このように、署名対象の画像データの送信と署名データの送信を別タイミングにし、処理時間が短く画像取得をする間隔の中で実行できる「軽い演算」であるハッシュ値計算処理と、処理時間が長く画像取得をする間隔では実行できない「重い演算」である電子署名処理とを組み合わせることで、複数の画像にまとめて電子署名を付与する場合でも遅延を発生せずに画像の送信が可能になるとともに再送候補抽出を行え、画像の再送を最小限にすることができる。

本来、複数の画像にまとめて署名を行い、その署名検証が完了しないことには、画像の真正性を担保することはできない。ところが、ハッシュ値計算にも秘密鍵を組み合わせることで、署名検証とは異なるが真正性が担保された画像をすぐに送信できる。そして、第三者でも画像の真正性を確認可能とするため、後から複数の画像にまとめて電子署名処理を行う。そして、ハッシュ値計算は「軽い演算」であり、１つ前のブロックで電子署名処理による遅延がたとえ生じても、次のブロックの画像データを送信していく中で徐々に解消することができるため、適切な署名間隔を設定することで実質的な遅延を生じさせなくすることが可能になる。これにより、リアルタイム監視目的で監視センター等におかれたサーバ装置に配信された画像を用いる場合でも、電子署名を導入したことによる影響をほとんど受けることなく画像監視を行うことができる。

本発明は、上記実施の形態に限定されるものではなく、幾多の変更及び変形が可能である。例えば、サーバ装置３に改竄を検出することなく受信できている画像データだけでも真正性を担保できるように、画像の再送は行わず、きちんと受信できている画像データに対する電子署名を新たに作成させ、その署名データを送信させるようにしてもよい。この変形例を図８と図９を参照して説明する。

図８は、画像取得装置２の処理フローを説明する図である。なお、図８では、図６と共通する処理ステップについては図６と同じステップ番号を付与している。そして、ステップＳ１〜ステップＳ１３の処理は図６と同じであるため、説明を省略する。ステップＳ１１−ＮｏからステップＳ２４に進み、受信したデータ再送要求の内容を判定する。データ再送要求が「署名データ再送要求」であるときは、ステップ１０へ進み、作業領域に一時保存してある署名データを再送させる。一方、データ再送要求が「再署名要求」である場合、要求に含まれるフレーム識別番号を用いて、作業領域内に一時保存してある画像のうち、該当するフレーム識別番号の画像を削除して、署名対象を変更する（ステップＳ２５）。その後、ステップ９へ進み、電子署名処理を行い、生成した署名データを送信する。

図９は、サーバ装置３の処理フローを説明する図である。なお、図９では、図７と共通する処理ステップについては図７と同じステップ番号を付与している。そして、ステップＳ３０１〜ステップＳ３１４の処理は図７と同じであるため、説明を省略する。ステップＳ３０９において、Ｓ３０７で抽出されたエラー画像の抽出状況を判定し、エラー画像があると判断すると（ステップＳ３０９−Ｙｅｓ）、エラー画像として抽出したフレーム識別番号を含む再署名要求を送信する（ステップＳ３３１）。次に、後の署名検証に備え、署名対象から除かれるエラー画像の抽出状況を削除する（ステップＳ３３２）。そして、再署名要求の応答結果のデータを受信するため、ステップＳ３０１へ進む。

また、検出された再送画像候補の量に応じて、画像の再送と新しい署名値の送信を組み合わせ、処理を切り替えるようにしてもよい。この変形例を図１０と図１１を参照して説明する。

図１０は、画像取得装置２の1ブロック分の画像データ送信後の処理フローを説明する図である。なお、図１０では、図６と共通する処理ステップについては図６と同じステップ番号を付与している。そして、ステップＳ１〜ステップＳ１３の処理は図６と同じであるため、説明を省略する。ステップＳ１１−ＮｏからステップＳ３４に進み、受信したデータ再送要求の内容を判定する。
判定した結果、データ再送要求が「署名データ再送要求」であるときは、ステップ１０へ進み、作業領域に一時保存してある署名データを再送させる。
また、判定した結果、データ再送要求が「画像データ再送要求」である場合、要求に含まれるフレーム識別番号を用いて、作業領域内に一時保存してある画像のうち、該当するフレーム識別番号の画像の画像データを再送し（ステップＳ３５）、ステップＳ１１へ進む。なお、画像データ再送要求で複数のフレーム識別番号が指定されていたときは、ステップＳ３５は再送要求があったすべての画像データを送り終えるまで、再送処理を繰り返す。
また、判定した結果、データ再送要求が「再署名要求」である場合、要求に含まれるフレーム識別番号を用いて、作業領域内に一時保存してある画像のうち、該当するフレーム識別番号の画像を削除して、署名対象を変更する（ステップＳ３６）。その後、ステップ９へ進み、電子署名処理を行い、生成した署名データを送信する。

図１１は、サーバ装置３の処理フローを説明する図である。なお、図１１では、図７および図９と共通する処理ステップについては図７、図９と同じステップ番号を付与している。そして、ステップＳ３０１〜ステップＳ３１４の処理は図７と同じであるため、説明を省略する。ステップＳ３０９において、Ｓ３０７で抽出されたエラー画像の抽出状況を判定し、エラー画像があると判断すると（ステップＳ３０９−Ｙｅｓ）、エラー画像として抽出したフレーム識別番号の数を計数し、あらかじめ定めた閾値を超えていないか判定する（ステップＳ３４１）。
閾値判定の結果、閾値以下、すなわち、画像データを再送してもかまわない枚数であると判定すると（ステップＳ３４１−Ｎｏ）、図７で前述のとおり、ステップＳ３２１〜ステップＳ３２５の画像データ再送要求を行う処理を行い、再送画像をすべて取得し終えたことをステップＳ３０９で確認すると署名検証処理を行うため、ステップＳ３１０へ進む。
一方、閾値判定の結果、閾値より多い、すなわち、画像再送した場合は画像再送量が多くなると判定すると（ステップＳ３４１−Ｙｅｓ）、図９で前述のとおりのステップＳ３３１〜ステップＳ３３２の再署名要求を行う処理を行い、再署名要求の応答結果のデータを受信するため、ステップＳ３０１へ進む。
処理を切り替えに使用する閾値は、画像管理システム１の環境に応じて定めればよく、例えば、ネットワーク４の回線種別等に応じて予めサーバ装置３に設定しておけばよい。

また、本実施の形態ではハッシュ値計算鍵２１２が記憶部２１に記憶されている場合を説明したが、画像取得装置２が起動され、画像取得を開始するまでの間に、サーバ装置３と通信を行ってハッシュ値計算鍵を共有し、画像取得装置２が再起動するたびに、ハッシュ値計算鍵が変わるようにしてもよい。その場合は、ハッシュ値計算鍵は記憶部２１に記憶せずに、作業領域に一時保存するようにすればよい。

また、本実施の形態ではハッシュ値計算鍵を使用してＨＭＡＣによるハッシュ値を用いてハッシュ値検証を行う場合を説明したが、ハッシュ値計算鍵を使用しないでハッシュ値計算およびハッシュ値検証を行うようにしてもよい。この場合は、ネットワーク上で暗号化通信を用いるなどして、別途サーバ装置３と画像取得装置２の間で送信データの送信元認証を行わせるようにすればよい。

また、本実施の形態ではサーバ装置３の署名検証処理の前に再送画像候補の有無を確認する場合を説明したが、署名データを受信したらまず署名検証を行い、検証ＮＧになったのを確認してから再送画像候補の状況を用いて再送処理を行うようにしてもかまわない。

１・・・画像管理システム
２・・・画像取得装置
２１・・・記憶部
２１１・・・署名鍵
２１２・・・ハッシュ値計算鍵
２２・・・制御部
２２１・・・ハッシュ値計算手段
２２２・・・電子署名手段
２２３・・・画像データ送信手段
２２４・・・署名データ送信手段
２２５・・・再送手段
２３・・・通信Ｉ／Ｆ部
２４・・・撮像部
３・・・サーバ装置
３１・・・記憶部
３１１・・・装置情報
３１２・・・画像データ
３１３・・・署名データ
３２・・・制御部
３２１・・・データ受信手段
３２２・・・ハッシュ値検証手段
３２３・・・署名検証手段
３２４・・・再送対象抽出手段
３２５・・・再送要求手段
３３・・・通信Ｉ／Ｆ部
４・・・ネットワーク

Claims

動画像データを取得してサーバへ送信する画像取得装置と、動画像データを画像取得装置から受信し記憶するサーバとがネットワークを介して接続され、当該画像取得装置において動画像データを構成する複数の画像データに対して署名を施す画像管理システムであって、
前記画像取得装置は、
画像データを取得する画像取得手段と、
ハッシュ値を算出するハッシュ値算出手段と、
前記画像取得手段が取得した画像データごとに順次算出された個別ハッシュ値と画像識別情報を当該画像データに付加して前記サーバへ送信する画像データ送信手段と、
前記画像データ送信手段が複数の画像データを送信し終えると、当該複数の画像データに対する全体ハッシュ値を算出し、当該全体ハッシュ値を用いて当該複数の画像データに署名を施し、署名データを生成する署名手段と、
前記署名手段が前記署名データを生成すると、当該署名データを前記サーバへ送信する署名データ送信手段と、
前記サーバの要求に応じて、前記画像データまたは前記署名データを再送する再送手段と、を有し、
前記サーバは、
前記画像取得装置から受信した画像データごとにハッシュ値を算出し、当該算出したハッシュ値と当該画像データの前記個別ハッシュ値が一致するかどうかを検証するハッシュ値検証手段と、
ハッシュ値検証に失敗した画像データの画像識別情報を前記複数の画像データにおける再送箇所として抽出する再送箇所候補抽出手段と、
前記再送箇所の画像データの再送または前記再送箇所の画像データを含む複数の画像データに対する署名データの再送を前記画像取得装置に要求する再送要求手段と、
前記画像取得装置から受信した署名データを、前記画像取得装置から受信した画像データを用いて署名検証する署名検証手段と、
前記署名検証手段が署名検証に成功した署名データが施された画像データを当該署名データと対応づけて記憶手段に記憶させるサーバ制御手段と、
を有し、
前記再送要求手段が前記再送箇所の画像データを再送するように前記画像取得装置に要求すると、前記署名検証手段は、当該要求に応じて再送された画像データを用いて署名検証を行い、
前記再送要求手段は、前記再送箇所があらかじめ定めた量を超えたときに、前記複数の画像データから当該再送箇所の画像データを除いたデータに対する署名データを前記複数の画像データに対する署名データとして新たに作成して再送するように前記画像取得装置に要求し、
前記署名検証手段は、当該要求に応じて再送された署名データと、前記複数の画像データから前記再送箇所の画像データを除いたデータとを用いて署名検証を行うことを特徴とする画像管理システム。
動画像データを取得してサーバへ送信する画像取得装置と、動画像データを画像取得装置から受信し記憶するサーバとがネットワークを介して接続され、当該画像取得装置において動画像データを構成する複数の画像データに対して署名を施す画像管理システムであって、
前記画像取得装置は、
画像データを取得する画像取得手段と、
ハッシュ値を算出するハッシュ値算出手段と、
前記画像取得手段が取得した画像データごとに順次算出された個別ハッシュ値と画像識別情報を当該画像データに付加して前記サーバへ送信する画像データ送信手段と、
前記画像データ送信手段が複数の画像データを送信し終えると、当該複数の画像データに対する全体ハッシュ値を算出し、当該全体ハッシュ値を用いて当該複数の画像データに署名を施し、署名データを生成する署名手段と、
前記署名手段が前記署名データを生成すると、当該署名データを前記サーバへ送信する署名データ送信手段と、
前記サーバの要求に応じて、前記画像データまたは前記署名データを再送する再送手段と、を有し、
前記サーバは、
前記画像取得装置から受信した画像データごとにハッシュ値を算出し、当該算出したハッシュ値と当該画像データの前記個別ハッシュ値が一致するかどうかを検証するハッシュ値検証手段と、
ハッシュ値検証に失敗した画像データの画像識別情報を前記複数の画像データにおける再送箇所として抽出する再送箇所候補抽出手段と、
前記再送箇所の画像データの再送または前記再送箇所の画像データを含む複数の画像データに対する署名データの再送を前記画像取得装置に要求する再送要求手段と、
前記画像取得装置から受信した署名データを、前記画像取得装置から受信した画像データを用いて署名検証する署名検証手段と、
前記署名検証手段が署名検証に成功した署名データが施された画像データを当該署名データと対応づけて記憶手段に記憶させるサーバ制御手段と、
を有し、
前記再送要求手段が前記複数の画像データから前記再送箇所を除いたデータに対する署名データを前記複数の画像データに対する署名データとして新たに作成して再送するように前記画像取得装置に要求すると、前記署名検証手段は、当該要求に応じて再送された署名データと、前記複数の画像データから前記再送箇所の画像データを除いたデータとを用いて署名検証を行うことを特徴とする画像管理システム。