JP7215961B2 - 車載装置および捜索システム - Google Patents

Description

本発明は、車載装置および捜索システムに関する。

特許文献１には、個人情報を守りつつ車両を捜索する技術が示されている。特許文献２には、災害時の被災者所在に関する情報を管理する技術が示されている。特許文献３には、必要に応じて所望のプローブ情報を収集対象から除外する技術が示されている。

特開2018-169880号公報 特開2018-018355号公報 特開2011-158446号公報

自動運転車の増加に伴い、プローブデータといわれる、走行する自動車に装備されている様々なセンサから得られるデータの利活用については、「流通にあたって共通利用に必要な標準やルール、方法等の検討」が必要とされる。特にプライバシー保護の観点から公正で透明な個人情報の処理を行う事が求められる。運転者本人と所持している車両関連情報は事前にデータを利活用する事業者とインフォームドコンセントを実施、その結果をうけたデータの利活用が望まれる。しかし、車両走行中に多量の外部・内部環境のデータを取得する中では、そのデータの管理元と許諾を取ることは困難と予想される。

本発明は、上記の点に鑑みてなされたものであり、その目的とするところは、捜索車両の情報および捜索結果の情報を秘匿しつつ捜索能力の高い車載装置および捜索システムを提供することである。

上記課題を解決する本発明の車載装置は、捜索管理装置から受信した捜索対象情報を用いて、車両に搭載したセンサにより前記捜索対象情報を有する捜索対象を捜索し、捜索結果を前記捜索管理装置に送信するために出力する車載装置であって、前記捜索対象情報には、真正な捜索対象情報と前記真正な捜索対象情報の内容を偽装するための偽装情報とが含まれることを特徴とする。

本発明によれば、捜索対象情報に偽装情報を付与することで、真正な捜索対象情報を車載装置側で把握することはできず、個人情報がより秘匿される。本発明に関連する更なる特徴は、本明細書の記述、添付図面から明らかになるものである。また、上記した以外の、課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

本発明が適用された第１実施形態の捜索システムのブロック図。 第１実施形態の捜索管理装置における捜索対象情報の生成方法を説明するフローチャート。 第１実施形態の捜索管理装置から捜索車両に捜索依頼を配信する方法を説明するフローチャート。 第１実施形態において捜索車両管理情報を登録する方法を説明するフローチャート。 第１実施形態の捜索管理装置側における捜索時の処理の流れを説明するフローチャート。 第１実施形態の車載装置側における捜索時の処理の流れを説明するフローチャート。 第２実施形態の捜索管理装置側における捜索時の処理の流れを説明するフローチャートであり、第１実施形態の図５に対応するフローチャートである。 第２実施形態の車載装置側における捜索時の処理の流れを説明するフローチャートであり、第１実施形態の図６に対応するフローチャートである。。 第１実施形態における捜索車両の捜索登録と配信の処理の流れを説明するラダーチャート。 第２実施形態における捜索情報リストの配信方法の一例を説明する図。 第２実施形態における通常時と捜索時の車両のセンサの動作状態を説明する図。 第２実施形態の捜索システムの捜索時の処理の流れを説明するラダーチャート。 第２実施形態の個人情報の配信方法の一例を説明するラダーチャート。

＜第１実施形態＞
以下、本発明の実施形態について、図面を参照して説明する。
図１は、本発明が適用された第１実施形態の捜索システムのブロック図であり、本実施形態における捜索システムを構成する機能ブロックの概略構成を示す。

捜索システム１は、捜索を要望するセンター側となる捜索管理装置（管理装置）１００と、捜索対象を捜索する車載装置（捜索装置）２００とを有する。本実施形態の捜索管理装置１００は、据え置き型に限定されるものではなく、車載された移動型のものでもよい。車載装置２００は、例えば携帯端末などの車両から独立している装置でも良いし、カーナビゲーションのような車両と一体になっている装置でもよい。

捜索管理装置１００は、捜索対象情報作成プログラム１１０と捜索車両管理プログラム１２０と捜索指令管理プログラム１３０を有している。各プログラムは、装置１００内の演算装置が実行することによって、それぞれの機能を提供する。すなわち、動作主体は各演算装置であるが、以降、説明を簡素化するため、各プログラムを主語として説明する。各プログラムを実行する演算装置は、それぞれ別々の装置の演算装置としてもよいし、また、例えば捜索対象情報作成プログラム１１０、捜索車両管理プログラム１２０、捜索指令管理プログラム１３０などの複数のプログラムを全て実行可能な１つの端末やデバイスの演算装置としてもよい。

捜索対象情報作成プログラム１１０は、捜索依頼者からの依頼に応じた捜索対象（例えば歩行者や車両）の真正な捜索対象情報（捜索条件）を作成する捜索対象情報作成部１１１と、真正な捜索対象情報に偽装情報を付与する偽装情報付与部１１２とを有する。捜索対象情報には、複数種別の特徴を捜索する情報が含まれている。捜索車両管理プログラム１２０は、少なくとも１台以上の捜索車両およびその捜索機能を管理する捜索車両管理部１２１と、捜索車両管理部１２１によって管理される管理情報である捜索車両管理情報１２２とを有する。

捜索指令管理プログラム１３０は、捜索対象情報をリスト化した捜索情報リスト１３１と、捜索情報リスト１３１を用いて捜索対象の捜索指示や捜索状況を管理する捜索指示管理部１３２と、車載装置２００との間で情報の送受信を行う管理装置通信部１３５と、管理装置通信部１３５から受信した捜索結果と真正な捜索対象情報とを比較して捜索結果が真正な捜索対象か否かを判断する捜索結果判断部１３３と、捜索依頼者に捜索結果判断部１３３の捜索結果を通知する捜索結果通知部１３４とを有する。

管理装置通信部１３５は、捜索対象エリア内に存在している車両に対して捜索可能か否かを依頼する捜索車両依頼機能と、捜索可能な車両に対して、偽装情報が付与された捜索対象情報を送信して捜索要求を行う捜索要求指示機能と、車両から捜索結果を受信する受信機能とを有する。

車載装置２００は、捜索管理装置１００から受信した捜索対象情報を用いて、車両に搭載したセンサにより捜索対象情報を有する捜索対象を捜索し、その捜索結果を捜索管理装置１００に送信するために出力する。車載装置２００は、捜索管理装置１００から捜索依頼を受信して捜索可否や捜索可能な内容を通知する捜索車両依頼受信機能と、捜索対象情報を受信する捜索指令受信機能と、捜索結果を配信する捜索結果配信機能を有する車両通信部２０１と、捜索機能リスト２０３を用いて歩行者や車両など自車両が捜索可能な機能を管理する捜索機能管理部２０２と、捜索対象を捜索して検知する機能と、検知した画像情報などに時刻・位置情報を付与する時刻・位置情報付与機能と、車両が捜索を開始して検知した結果を車両通信部２０１に通知する機能とを有する捜索実行部２０４と、捜索結果を反映した捜索結果リスト２０７を用いて捜索データの管理を行う捜索データ管理部２０６とを有する。捜索データ管理部２０６は、捜索結果の情報を暗号化して匿名化する暗号化・匿名化処理機能と、匿名化され暗号化された捜索結果の情報を保存する捜索結果保存機能を有する。

図２は、本実施形態の捜索管理装置における捜索対象情報の生成方法を説明するフローチャートである。図２に示すフローチャートは、捜索管理装置１００として車載装置２００側から個人情報を特定されないように真正な捜索対象情報に偽装情報を付与した捜索対象情報を生成するフローである。

まず、捜索対象情報作成プログラム１１０上の捜索対象情報作成部１１１にて、真正な捜索対象情報を取得する（Ｓ２０１）。次に、その真正な捜索対象情報の中に個人情報に該当する項目があるか、個人情報の有無を捜索対象情報作成部１１１で判定する（Ｓ２０２）。ここでいう個人情報とは、例えば、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるものと定義できる。

そして、真正な捜索対象情報の中に個人情報に該当する項目があった場合は（Ｓ２０２でＹＥＳ）、個人情報に該当する項目を匿名化する（Ｓ２０３）。個人情報の匿名化とは、特定の個人を識別することができない情報とすることである。個人情報を匿名化する方法としては、個人を特定可能な情報の削除、属性削除、仮名化などの削除、一般化や攪乱などの加工、および、これらを組み合わせたｋ－匿名化などの既知の方法を用いることができる。

その後、匿名化された真正な捜索対象情報に対して、偽装情報付与部１１２によってランダムに偽装情報を付与し、偽装情報が付与された捜索対象情報を生成する（Ｓ２０４）。偽装情報とは、真正な捜索対象情報を隠すために、付与される情報であり、真正な捜索対象情報の内容を偽装するための情報を有している。例えば、真正な捜索対象情報が有する属性の値を上位の値や概念に置き換えて一般化するために用いられる情報である。
偽装情報が付与された捜索対象情報には、真正な捜索対象情報以外がヒットする情報が含まれている。つまり、捜索対象情報には、真正な捜索対象情報と真正な捜索対象情報の内容を偽装するための偽装情報とが含まれる。例えば、真正な捜索対象の情報の属性が女性である場合に、男性という属性の情報を加えたり、真正な捜索対象の情報の属性が６歳である場合に、０歳から１０歳までという概念に置き換えることにより、捜索した際に、真正な捜索対象情報に加えて真正な捜索対象情報以外の情報もヒットさせることができ、車載装置２００に対して真正な捜索対象情報を隠すことができる。

図３は、本実施形態の捜索管理装置から車両に捜索依頼を配信する方法を説明するフローチャートである。まず、特定の条件下の複数の車載装置２００に対して、捜索指示管理部１３２の指示によって管理装置通信部１３５から捜索依頼を配信する（Ｓ３０１）。特定の条件とは、車両が通行している捜索対象エリアの範囲などが該当する。つまり、捜索管理装置１００は、捜索対象エリアに存在する複数の車両に対して捜索依頼の配信を行う。

捜索管理装置１００から捜索依頼の配信を受けた車両は、車載装置２００の車両通信部２０１を通して、捜索可能な車両を識別できるＩＤと、その車両が保持している捜索機能の情報を捜索管理装置１００に送信し、捜索管理装置１００は、これらの情報を車両から受信する（Ｓ３０２）。車両の捜索機能とは、歩行者検知機能、物体認識機能など車両が捜索対象を検知できる機能であり、車両に搭載されているセンサによって検知される。捜索車両管理プログラム１２０の捜索車両管理部１２１が、どの車両がどのような捜索機能を有するかを管理できるようにするために、捜索車両管理情報１２２に捜索車両情報を登録する（Ｓ３０３）。

図４は、本実施形態において捜索車両管理情報を登録する方法を説明するフローチャートであり、車載装置２００として、捜索車両の依頼要求を受け付けるフローである。まず自車両が捜索管理装置１００からの捜索依頼を受信したか否かを判断する（Ｓ４０１）。捜索依頼は、捜索指示管理部１３２の指示によって管理装置通信部１３５から車載装置２００の車両通信部２０１に捜索情報リスト１３１を送信することによって行われる。自車両は、捜索管理装置１００からの捜索依頼を受信すると（Ｓ４０１でＹＥＳ）、捜索機能管理部２０２から捜索機能リスト２０３に格納されている現在利用できる自車両の捜索機能を検索する（Ｓ４０２）。

そして、自車両を識別できる車両ＩＤと自車両の利用可能な捜索機能の情報を、捜索管理装置１００に送信する（Ｓ４０３）。この送信は、捜索機能管理部２０２の指示で車両通信部２０１から捜索管理装置１００の管理装置通信部１３５に対して行われる。自車両が、捜索管理装置１００から依頼された捜索機能を有していない場合や、捜索管理装置１００からの捜索依頼を受託しない場合は、その車両は依頼要求に対して返信をしなくともよい。車載装置２００から捜索管理装置１００に送信された捜索車両の管理情報は、捜索管理装置１００の捜索車両管理部１２１において捜索車両管理情報１２２として登録される（Ｓ４０４）。

図５は、本実施形態の捜索管理装置側における捜索時の処理の流れを説明するフローチャートであり、捜索管理装置１００側として、捜索可能な車両に捜索対象情報を配信し、その捜査結果を受信し判断するフローになる。まず、捜索可能な車両の車載装置２００に対して、個人情報が匿名化され且つ偽装情報が付与された捜索対象情報を配信する（Ｓ５０１）。偽装情報が付与された捜索対象情報は、捜索管理装置１００の管理装置通信部１３５から車載装置２００の車両通信部２０１に配信される。捜索可能な車両の情報は、捜索車両管理プログラム１２０の捜索車両管理部１２１が保持している捜索車両管理情報１２２を使用する。捜索管理装置１００から捜索要求を受けた捜索車両２０（図１１参照）は、偽装情報が付与された捜索対象情報を用いて捜索対象の捜索を行い、その捜索結果を捜索管理装置１００に送信する。

捜索管理装置１００は、捜索車両２０から捜索結果を受信する（Ｓ５０２）。受信は、配信後しばらく応答を待った後に行ってもよい。捜索管理装置１００は、捜索結果判断部１３３において、真正な捜索対象情報と、受信した捜索結果とを比較し、捜索結果から捜索対象が予測できるか判断する（Ｓ５０３）。捜索結果判断部１３３は、捜索結果の情報から偽装情報を除外し、残った情報から真正な捜索対象を予測する。その後、捜索結果通知部１３４によって、捜索対象であると予想される捜索結果の情報を捜索依頼者に通知する（Ｓ５０４）。

捜索管理装置１００は、捜索結果の情報に基づいて捜索対象である可能性が高いか否かを判断し、可能性が高いと判断した場合は、捜索要求レベルを高くして、該当する捜索車両２０に対して、人物画像や位置情報の配信要求を行っていく。これにより、個人情報が秘匿された状態で、より精度の高い捜索を行うことができる。

図６は、本実施形態の車載装置側における捜索時の処理の流れを説明するフローチャートであり、車載装置２００側として、捜索管理装置１００から捜索対象情報を受信し、捜索対象を検知した後、捜索管理装置１００に検知情報を配信する、捜索時の処理フローになる。まず車載装置２００から配信された偽装情報が付与されている捜索対象情報を、車両通信部２０１で受信する（Ｓ６０１）。

捜索対象情報を受信すると（Ｓ６０１でＹＥＳ）、偽装情報が付与されている捜索対象情報を、捜索実行部２０４によって捜索情報リスト２０５に格納し、偽装情報が付与されている捜索対象情報に基づいて、歩行者や車両などの捜索対象の捜索を実行する（Ｓ６０２）。捜索実行部２０４では捜索対象を検知するまで捜索を実行する（Ｓ６０３）が、偽装情報が付与されている捜索対象情報に基づいて検知を行うので、認識率が１００%でなくとも一定以上の認識率があれば、捜索対象を検知した（ヒットした）と判断する（Ｓ６０３でＹＥＳ）。また、一定の捜索対象エリアや捜索期間において、その検知情報は複数であっても良い。

さらに捜索実行部２０４では、捜索対象を検知したと判断された検知情報に、検知時の時間情報と位置情報を付与する（Ｓ６０４）。検知時に取得した画像情報や時間位置情報などの各種検知情報は、捜索データ管理部２０６を経由し捜索結果リスト２０７として車載装置２００内に保存される（Ｓ６０５）。その後、捜索データ管理部２０６では、検知情報に含まれている個人情報を匿名化して（Ｓ６０６）、車両通信部２０１から捜索管理装置１００に配信する（Ｓ６０７）。捜索データ管理部２０６で匿名化される個人情報には、捜索結果や捜索対象情報に対するヒットの有無の情報も含まれる。

図９は、捜索車両の捜索登録と配信の処理の流れを説明するラダーチャートである。
図９に示すセンター１０は、捜索管理装置１００を有し、車両２０は、車載装置２００を有している。センター１０の捜索管理装置１００は、捜索依頼者からの真正な捜索対象情報を取得すると、捜索対象情報作成部１１１により、個人情報に該当する項目が匿名化され偽装情報が付与された捜索対象情報を作成し、捜索情報リスト１３１として格納する。

そして、捜索対象エリアに存在する車両２０に対して捜索情報リスト１３１を配信し、各車両２０による捜索可否の確認を行う（Ｓ９０１）。各車両２０は、捜索管理装置１００から提供された捜索情報リスト１３１から、自己の車両２０のセンサによって検知できる捜索項目を照会して（Ｓ９０２）、捜索機能リスト２０３を作成し、捜索車両情報として車両ＩＤとともに捜索管理装置１００に提供する（Ｓ９０３）。これにより、捜索者であって情報提供者にもなる車両２０と、センター１０との間で配信する情報の内容について合意が行われる。

図１０は、捜索情報リストの配信方法の一例を説明する図である。ここでは、センター１０に捜索情報の配信登録を行い、登録した情報のみを配信する処理が行われる。例えば、図１０に示すように捜索対象情報の項目として「子供」、「ナンバープレート」、「動物」の３つを有する捜索情報リスト１３１が各車両２０Ａ～２０Ｃに配信される。各車両２０Ａ～２０Ｃは、これらの項目の中から自己の車両２０が検出できる捜索項目をセンター１０に配信する。

例えば車両２０Ａは、「子供」、「ナンバープレート」、「動物」の全てを捜索する機能を有していることをセンター１０に伝え、車両２０Ｂは、「子供」を捜索する機能を有していることをセンター１０に伝え、車両２０Ｃは、「子供」と「動物」の２つを捜索する機能を有していることをセンター１０に伝えることができる。

センター１０は、捜索機能リスト２０３の情報に基づき、各車両２０の中から捜索対象を検知可能な車両２０Ａを捜索車両２０として登録する。そして、登録した捜索車両２０に対して捜索対象の捜索結果である検知情報の配信要求を行う。捜索車両２０は、捜索対象情報の項目を検出するのに適合したセンサを用いて捜索対象の検知を行う。

図１１は、通常時と捜索時における車両のセンサの動作状態を説明する図である。車載装置２００は、捜索対象情報に応じて車両に搭載されたセンサのセンサ精度を変更してもよい。例えば、図１１に示すように、通常時の自動運転中は、車両前方の検知センサを動作させて前方検知範囲Ｓａ内の検知を行っているが、捜索時には、捜索対象情報の項目に合わせて、捜索対象を検知できるように、車両前方の検知センサに加えて車両側方の検知センサと車両後方の検知センサを動作させて、左右の検知範囲Ｓｂ、Ｓｃ、および後方の検知範囲Ｓｄを検知してもよい。このように左右の検知範囲Ｓｂ、Ｓｃと後方の検知範囲Ｓｄを加えることによって、車両に搭載されたセンサのセンサ精度を向上させることができる。例えば先行車両のナンバープレートの番号を捜索する場合には、前方の検知センサのみを動作させ、歩行者を捜索する場合には、センサ精度を変更すべく、全方位の検知センサを動作させてもよい。

捜索車両２０の車載装置２００は、検知センサにより検知した検知情報と捜索対象情報とのマッチングを行う。そして、捜索対象を検知したと判断した場合には、その検知情報を整形する処理が行われる。検知情報の整形処理では、検知情報に含まれている画像情報や位置情報などの個人情報を匿名化する処理が行われる。匿名化処理により、例えば捜索対象の位置情報（経度・緯度）は、市町村名の情報に変更される。そして、車載装置２００は、整形された検知情報を捜索結果としてセンター１０の捜索管理装置１００に配信する。

センター１０は、複数の捜索車両２０から検知情報を取得すると、情報の解析を行う。検知情報は、個人情報が匿名化されており、偽装情報と一致した情報も含まれている。センター１０の捜索管理装置１００では、検知情報から偽装情報を除外し、残った情報が真正な捜索対象情報であるかを予測する。そして、真正な捜索対象情報であると予測された場合には、公的機関などから、その捜索車両２０に格納されている検知画像や位置情報などの個人情報を取得する。

例えば、センター１０が保持している真正な捜索対象情報が、性別が女性、年齢が１１歳、身長が１２０ｃｍ、服装がカジュアル、赤系であり、この真正な捜索対象情報に対して、センター１０で性別が男性という偽装情報が付与された場合、車両での捜索結果とセンター１０への送信情報は、性別、年齢、身長、服装の情報になる。そして、センター１０では、偽装情報である性別を検知情報から除外し、年齢、身長、服装という捜索対象情報を抽出し、真正な捜索対象情報と比較して捜索結果を判断する。そして、捜索している人物の可能性が高いとセンター１０が判断した場合は、捜索要求レベルを高くして、該当する車両に対して、人物画像や位置情報の配信要求を行う。このように、車載装置２００は、捜索要求レベルによって、捜索管理装置１００への捜索結果開示の内容を変更して送信する。

本実施形態の捜索システム１では、捜索管理装置１００において個人情報を匿名化して偽装情報が付与された捜索対象情報が作成され、その捜索対象情報が車載装置２００に配信される。そして、車載装置２００では、偽装情報が付与された捜索対象情報を用いて捜索対象の捜索が行われる。捜索対象の捜索は、車両２０のセンサによって行われ、センサの検知情報は、個人情報が車載装置２００で匿名化されて捜索管理装置に配信される。

本実施形態の捜索システム１によれば、捜索管理装置１００において真正な捜索対象情報に対して個人情報が匿名化され且つ偽装情報が付与された捜索対象情報が作成され、車載装置２００では、捜索管理装置１００で作成された捜索対象情報を用いて捜索対象の捜索が行われるので、捜索対象の個人情報を捜索者である車載装置２００が把握することはできず、個人情報がより秘匿される。そして、車載装置２００は、捜索結果に含まれる個人情報を匿名化して捜索管理装置１００に提供するので、捜索車両による捜索結果の開示を積極的に促し、その開示範囲を増大させることができる。また、車両に保持した個人情報の開示は、公開鍵を持つ機関に限定して提供することで、捜索者はより捜索精度を向上させる。

＜第２実施形態＞
次に、本発明の第２実施形態について説明する。なお、第１実施形態と同様の構成要素には同一の符号を付することでその詳細な説明を省略する。

本実施形態において特徴的なことは、車載装置２００において公開鍵を使って匿名化前の検知情報を暗号化し、その暗号化した検知情報を車載装置２００に保存する構成にしたことである。

図７は、本実施形態の捜索管理装置１００側における捜索時の処理の流れを説明するフローチャートである。図７に示すフローチャートは、第１実施形態の図５に対応するフローチャートであり、捜索管理装置１００として、車両２０側で検知時に取得した画像情報（検知結果画像）を暗号化するための捜索時の処理フローになる。捜索管理装置１００は、捜索指示管理部１３２の指示により、捜索可能な車両２０に対して、管理装置通信部１３５から偽装情報が付与された捜索対象情報と共に、公開鍵の配信も行う（Ｓ７０１）。

図８は、本実施形態の車載装置側における捜索時の処理の流れを説明するフローチャートである。図８に示すフローチャートは、第１実施形態の図６に対応するフローチャートであり、車載装置２００側として、公開鍵を使った検知結果画像を暗号化するための捜索時の処理フローになる。

車載装置２００は、捜索管理装置１００から送信された公開鍵と、偽装情報が付与された捜索対象情報とを、車両通信部２０１で受信する（Ｓ８０１）。さらに、捜索実行部２０４や捜索データ管理部２０６で、画像情報などの検知情報を、車載装置２００内に保存する際は、この公開鍵を利用して暗号化を行う（Ｓ８０２）。

秘密鍵による復号化に関しては、捜索システム外で行っても良い。検索結果から真正な捜索対象情報に近い結果を保持する車両ＩＤから該当する車両を特定し、その車両内に保存されている暗号化された検知情報を取得し、秘密鍵を使って復号化を行ってもよく、また、暗号化された検知情報を捜索管理装置１００に送信し、復号化しても良い。

捜索車両２０の車載装置２００は、検知情報の整形において、検知情報に含まれている個人情報の匿名化と、検知情報の暗号化を行う。検知情報の暗号化は、公開鍵を使用して行われる。センター１０の捜索管理装置１００は、複数の捜索車両２０から検知情報を取得すると、秘密鍵を用いて復号化を行い、情報の解析を行う。

図１２は、捜索システム１の捜索時の処理の流れを説明するラダーチャートである。
図１２に示すように、捜索システム１による捜索時に、センター１０の捜索管理装置１００では、公開鍵と秘密鍵を作成する。そして、真正な捜索対象情報に偽装情報を付与して、配信用の捜索対象情報を作成する（Ｓ１２０１）。そして、センター１０から捜索車両２０に対して捜索結果要求と公開鍵の提供を行う（Ｓ１２０２）。

車両２０の車載装置２００は、捜索結果要求に付加された捜索対象情報に基づいて、捜索対象を捜索するのに必要なセンサ構成に変更し、センサにより検知した検知項目に対して捜索結果を判断する。捜索結果が捜索対象であった場合、検知時間や位置情報などの個人情報を匿名化する。検知した個人情報は、公開鍵を使用して暗号化する（Ｓ１２０３）。なお、すぐに検知できない場合、一定の期間、捜索を行う。そして、捜索結果の情報をセンター１０に配信する（Ｓ１２０４）。

センター１０の捜査管理装置１００では、捜査結果情報から偽装情報を除去し、真正な捜索対象か否かを判断する（Ｓ１２０５）。真正な捜索対象であった場合には特定の機関から個人情報の開示要求を行う。

図１３は、個人情報の配信方法の一例を説明するラダーチャートである。
図１３に示すように、センター１０は、捜索車両２０に対して捜索結果の情報として、個人情報取得の要求を行う（Ｓ１３０１）。捜索車両２０は、要求元に個人情報のアクセス権があるか確認する。そして、暗号化された捜索結果である個人情報を検索する（Ｓ１３０２）。そして、要求元に個人情報のアクセス権があることが確認できた場合に、暗号化された捜索結果（個人情報）をセンター１０に配信する（Ｓ１３０３）。センター１０は、秘密鍵を使用して検索結果を復号化する（Ｓ１３０４）。

本実施形態の捜索システム１によれば、車載装置２００において取得した検知情報を公開鍵を用いて暗号化し、検知結果に含まれている個人情報を匿名化してから捜索管理装置１００に配信するので、個人情報の開示範囲を限定することができる。

上述の各実施形態の捜索システム１によれば、情報の利活用の際に匿名化や暗号化、偽装情報を付与することで、個人情報を秘匿化して情報の扱いを容易にすることができる。例えば、センター１０側で捜索対象情報を匿名化した上で偽装情報を埋め込み、その埋め込んだ項目を把握しておく。捜索車両２０は、匿名化されて偽装情報が埋め込まれた捜索対象情報に基づいて捜索を行い、捜索結果である検知情報をセンター１０に通知する。センター１０は、把握している真正な捜索対象情報を元に、捜索対象か否か判断する。これにより、捜索対象の個人情報は、センター１０以外で把握することはできない。また、捜索車両２０で取得した検知情報をセンター１０で管理している公開鍵で暗号化することで、特定のアクセス権限がある機関にしか個人情報が含まれる検知情報を閲覧できないようにできる。

以上、本発明の実施形態について詳述したが、本発明は、前記の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の精神を逸脱しない範囲で、種々の設計変更を行うことができるものである。例えば、前記した実施の形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。さらに、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

１ 捜索システム
１０ センター
２０ 車両（捜索車両）
１００ 捜索管理装置（管理装置）
１１０ 捜索対象情報作成プログラム
１１１ 捜索対象情報作成部
１１２ 偽装情報付与部
１２０ 捜索車両管理プログラム
１２１ 捜索車両管理部
１２２ 捜索車両管理情報
１３０ 捜索指令管理プログラム
１３１ 捜索情報リスト
１３２ 捜索指示管理部
１３３ 捜索結果判断部
１３４ 捜索結果通知部
１３５ 管理装置通信部
２００ 車載装置（捜索装置）
２０１ 車両通信部
２０２ 捜索機能管理部
２０３ 捜索機能リスト
２０４ 捜索実行部
２０５ 捜索情報リスト
２０６ 捜索データ管理部
２０７ 捜索結果リスト

Claims (9)

1. 捜索管理装置から受信した捜索対象情報を用いて、車両に搭載したセンサにより前記捜索対象情報を有する捜索対象を捜索し、捜索結果を前記捜索管理装置に送信するために出力する車載装置であって、
   前記捜索対象情報には、真正な捜索対象情報と前記真正な捜索対象情報の内容を偽装するための偽装情報とが含まれることを特徴とする車載装置。
2. 前記捜索対象情報には、複数種別の特徴を捜索する情報を含むことを特徴とする請求項１に記載の車載装置。
3. 前記捜索結果と前記捜索対象情報に対するヒットの有無を匿名化することを特徴とする請求項１に記載の車載装置。
4. 前記捜索によりヒットした情報があった場合に、匿名化前の情報を前記捜索管理装置から受け取った公開鍵で暗号化して保存することを特徴とする請求項１に記載の車載装置。
5. 前記捜索対象情報に応じて車両に搭載されたセンサのセンサ精度を変更することを特徴とする請求項１に記載の車載装置。
6. 捜索要求レベルによって、前記捜索管理装置への捜索結果開示の内容を変更して送信することを特徴とする請求項１に記載の車載装置。
7. 複数の捜索装置と該複数の捜索装置を管理する管理装置とを備える捜索システムであって、
   前記管理装置は、真正な捜索対象情報を取得し、該真正な捜索対象情報に偽装情報を付与した捜索対象情報を作成して前記複数の捜索装置に配信し、
   前記捜索装置は、偽装情報が付与された捜索対象情報を用いて捜索対象を捜索し、捜索結果を前記管理装置に提供し、
   前記管理装置は、前記捜索装置から提供された捜索結果の情報から前記偽装情報を除外し、前記真正な捜索対象情報と比較して、前記捜索結果が捜索対象のものであるか否かを判断することを特徴とする捜索システム。
8. 前記管理装置は、真正な捜索対象情報に含まれている個人情報を匿名化し且つ前記真正な捜索対象情報に偽装情報を付与した捜索対象情報を作成し、
   前記捜索装置は、匿名化され且つ偽装情報が付与された捜索対象情報を用いて捜索対象を捜索し、捜索結果に含まれている個人情報を匿名化して前記管理装置に提供することを特徴とする請求項７に記載の捜索システム。
9. 前記管理装置は、前記捜索対象情報と公開鍵を配信し、
   前記捜索装置は、前記個人情報が匿名化された捜索結果の情報を前記公開鍵を用いて暗号化して保存することを特徴とする請求項８に記載の捜索システム。
   

Images