WO2020016973A1 - 制御装置、データ分析システム、制御方法及びコンピュータプログラム - Google Patents

制御装置、データ分析システム、制御方法及びコンピュータプログラム Download PDF

Info

Publication number
WO2020016973A1
WO2020016973A1 PCT/JP2018/026979 JP2018026979W WO2020016973A1 WO 2020016973 A1 WO2020016973 A1 WO 2020016973A1 JP 2018026979 W JP2018026979 W JP 2018026979W WO 2020016973 A1 WO2020016973 A1 WO 2020016973A1
Authority
WO
WIPO (PCT)
Prior art keywords
identification information
control device
point
moving object
secret calculation
Prior art date
Application number
PCT/JP2018/026979
Other languages
English (en)
French (fr)
Inventor
隆夫 竹之内
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2020530795A priority Critical patent/JP7124872B2/ja
Priority to US17/258,945 priority patent/US20210342475A1/en
Priority to PCT/JP2018/026979 priority patent/WO2020016973A1/ja
Priority to DE112018007834.5T priority patent/DE112018007834T5/de
Publication of WO2020016973A1 publication Critical patent/WO2020016973A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/008—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving homomorphic encryption

Definitions

  • the present invention relates to a control device, a data analysis system, a control method, and a computer program.
  • Patent Literature 1 discloses a system in which it is possible to confirm the safety of a person without being aware that the person is asking the person.
  • a pair of a feature amount of a person's face and personal information (for example, a telephone number) of the person or the confirmation requester is registered in the database of the portal server 4 by the confirmation requester.
  • the local server 2 always compares the feature amount of the photographed face with the database, and when a similar feature amount is found, presents the registered personal information and prompts the subject to confirm.
  • the document introduces a template protection technology that can perform only collation between biometric information of the same person, and makes it difficult to use the biometric information for other purposes, collect statistical information, and the like.
  • Patent Document 2 discloses that when tracking the movement of a person in a predetermined traffic use area, a human detection that automatically reads and acquires the physical characteristics of each person and specifies and tracks the same person A tracking system is disclosed.
  • Non-Patent Document 1 is a guidebook published by the Ministry of Economy, Trade and Industry that summarizes considerations regarding handling of camera images. According to this, it is described that feature amount data obtained from an image captured by a surveillance camera or the like corresponds to personal information in principle.
  • Non-Patent Document 1 As described in Non-Patent Document 1, it is expected that utilization of data using images captured by surveillance cameras and security cameras will become widespread in the future. However, feature amount data obtained from an image captured by such a camera is only personal information, and it is strictly warned that the data is provided to a third party without the prior consent of the individual.
  • the above is not limited to images captured by surveillance cameras or security cameras, but is generally applicable to biological information such as fingerprint data and iris data obtained by various organizations for specific purposes. For example, by comparing fingerprint data obtained when entering facility A with fingerprint data obtained when entering another facility B, information indicating that a specific person has moved from facility A to facility B can be obtained. Can be This can be the same information as in the flow line analysis using the feature amount data of the camera. Further, it is considered that the subject of such a flow line analysis is not limited to a person, but can be applied to a vehicle or an animal.
  • these feature amount data, biological information, and other information that can roughly identify an individual are referred to as “moving object identification information”.
  • the present invention has an object to provide a control device, a data analysis system, a control method, and a computer program that can contribute to promoting utilization of identification information of a mobile object collected by the different management entities.
  • the first device that holds the identification information of the first moving object acquired at the first point and the identification information of the second moving object acquired at the second point
  • a requesting unit for requesting each of the second devices to hold, to each of the first and second mobile units to provide identification information of the first and second mobile units to a predetermined secret calculation server;
  • a command unit for commanding a calculation process relating to the movement of the moving object based on the identification information of the first moving object and the identification information of the second moving object.
  • a data analysis system including a predetermined secret calculation server and the above-described control device is provided.
  • the first device that holds the identification information of the first mobile unit obtained at the first point and the identification information of the second mobile unit obtained at the second point are Requesting each of the second devices to hold the identification information of the first and second mobile units to a predetermined secret calculation server, and requesting the predetermined secret calculation server to There is provided a control method of a secret calculation server for instructing a calculation process relating to movement of a moving body based on identification information of a first moving body and identification information of the second moving body.
  • the method is tied to a specific machine, a control device that uses a secret calculation server to obtain a desired calculation result.
  • the first device that holds the identification information of the first moving object acquired at the first point and the identification information of the second moving object acquired at the second point are used.
  • a process of requesting each of the second devices to hold, for providing the identification information of the first and second mobile units to a predetermined secret calculation server; and for the predetermined secret calculation server A computer program is provided for causing a control device to execute a process of instructing a calculation process regarding movement of a moving object based on the identification information of the first moving object and the identification information of the second moving object.
  • This program can be recorded on a computer-readable (non-transitary) storage medium. That is, the present invention can be embodied as a computer program product.
  • FIG. 1 is a diagram illustrating a configuration of a data analysis system according to a first embodiment of the present invention. It is a figure showing composition of the 1st device of the data analysis system of a 1st embodiment of the present invention.
  • FIG. 4 is a diagram illustrating an example of data held by a first device of the data analysis system according to the first embodiment of the present invention.
  • FIG. 2 is a diagram illustrating a configuration of a control device of the data analysis system according to the first embodiment of the present invention.
  • FIG. 3 is a sequence diagram illustrating an operation of the data analysis system according to the first exemplary embodiment of the present invention.
  • FIG. 4 is a diagram for explaining an example of an analysis result by the data analysis system according to the first embodiment of the present invention. It is a figure showing the composition of the data analysis system of a 2nd embodiment of the present invention. It is a figure showing the composition of the 1st device of the data analysis system of a 2nd embodiment of the present invention.
  • FIG. 2 is a diagram showing a modified configuration of the data analysis system of the present invention.
  • FIG. 3 is a diagram illustrating a configuration of a computer that configures a control device of the present invention.
  • connection lines between blocks in the drawings and the like referred to in the following description include both bidirectional and unidirectional.
  • the one-way arrow schematically indicates the flow of a main signal (data), and does not exclude bidirectionality.
  • Ports and interfaces are provided at input / output connection points of each block in the figure, but are not shown.
  • the present invention can be realized by the control device 10 connected to the first device 21, the second device 22, and the secret calculation server 30, as shown in FIG. More specifically, the first device 21 holds the identification information of the first moving body acquired at the first point. The second device 22 holds the identification information of the second moving body acquired at the second point.
  • the control device 10 includes a request unit 11 and an instruction unit 12.
  • the request unit 11 requests each of the first device and the second device to provide identification information of the first and second mobile units to the secure calculation server 30.
  • the instruction unit 12 instructs the secret calculation server 30 to perform a calculation process regarding the movement of the moving body based on the identification information of the first moving body and the identification information of the second moving body.
  • the secret calculation server 30 executes a calculation process relating to the movement of the moving object based on the identification information of the first moving object and the identification information of the second moving object.
  • the secret calculation server 30 since the calculation processing of the identification information of the first and second mobile bodies is performed by the secret calculation server after being appropriately encrypted, the risk of leakage of the identification information of the first and second mobile bodies is suppressed. be able to.
  • FIG. 2 is a diagram showing the configuration of the data analysis system according to the first embodiment of the present invention.
  • FIG. 2 shows a configuration in which the control device 10 is connected to a first device 21, a second device 22, and two secure calculation servers 30.
  • the first device 21 includes, as identification information of the first mobile unit obtained at the first point, facial features of passers-by obtained from images obtained by cameras installed in stations and various facilities. A device that holds data.
  • the second device 22 obtains, as the identification information of the second mobile unit acquired at the second point, from the image acquired by a camera installed at a station or various facilities different from the first point. It is a device that holds the facial feature data of a given passerby.
  • the first device 21 and the second device 22 are managed by different management entities (including a case where data management persons are different in the same organization). Further, it is assumed that the identification information of the first mobile unit and the identification information of the second mobile unit are respectively managed and operated so as not to output data to the outside. That is, the identification information of the first and second mobile units is data acquired under the respective different management entities, and is managed under conditions such as not to be sent out or to be discarded after a certain period of time. Have been.
  • the two secret calculation servers 30 are servers that receive share information in which face feature data is secretly shared from the first device 21 and the second device 22, respectively, and calculate the secret sharing scheme.
  • the control device 10 is a device that instructs the first device 21 and the second device 22 to transmit share information to the secret calculation server 30 and instructs the secret calculation server 30 to perform calculation using the share information and the like. It is.
  • FIG. 3 is a diagram showing a configuration of a first device of the data analysis system according to the first embodiment of the present invention.
  • FIG. 3 shows a configuration including a timer 212, a feature amount extraction unit 213, a feature amount storage unit 214, and a secret sharing unit 215, and connected to the camera 211.
  • the camera 211 is a security camera or the like installed in a station or various facilities.
  • the timer 212 is used to record the shooting date and time.
  • the number of cameras is one, but the number of cameras is not limited.
  • the configuration may be such that a camera for daytime shooting and a camera for nighttime shooting are switched to acquire moving image data. Further, for example, a configuration in which a plurality of cameras having different angles of view and shooting directions may be arranged.
  • the feature extracting unit 213 cuts out an image from the moving image data captured by the camera 211 and extracts facial feature data of a person reflected in the image.
  • the feature amount extraction unit 213 specifies the area of the face of each person from the one image, and extracts a plurality of pieces of face feature data.
  • the feature storage unit 214 stores the face feature data extracted by the feature extraction unit 213 in association with the date and time information acquired from the timer 212.
  • FIG. 4 is a diagram showing an example of face feature data stored in the feature storage unit 214.
  • face feature data face feature data
  • face feature amount information face feature data
  • face nodes predetermined face features
  • the secret sharing unit 215 extracts face feature data from the feature amount storage unit 214, generates share information for transmission to the secret calculation server 30, and transmits the share information to the secret calculation server 30. I do.
  • the first device 21 as described above can also be realized by adding a secret sharing unit 215 to a device that performs a human flow analysis using face authentication data in the same organization (facility). Further, the second device 22 has the same configuration as the first device 21 except that it has at least a camera having a different shooting area from the camera 211, and thus the description is omitted.
  • FIG. 5 is a diagram illustrating a configuration of a control device of the data analysis system according to the first embodiment of the present invention. Referring to FIG. 5, a configuration including a request unit 11, a distribution unit 13, and an instruction unit 12 is shown.
  • the request unit 11 requests the first and second devices 21 and 22 to generate and transmit share information for transmission to the secret calculation server 30 based on a preset flow analysis start condition.
  • a condition for starting a human flow analysis a condition for performing a human flow analysis with a specific accuracy based on a moving image photographed at the first and second points during a fixed period in the past at regular intervals can be considered.
  • the flow analysis start condition is not limited to the above-described periodical condition, and may be, for example, a condition that an explicit instruction for a temporary flow analysis is received from the user.
  • the distribution unit 13 distributes a secret calculation circuit (secret calculation program) for causing the secret calculation server 30 to execute the secret calculation of the content and accuracy corresponding to the above-mentioned flow analysis start condition to the secret calculation server 30.
  • the secret calculation circuit secret calculation program
  • the secret calculation circuit may be created in advance or may be created each time. Further, a plurality of types of secret calculation circuits (secret calculation programs) are distributed to the secret calculation server 30 in advance, and the secret calculation server 30 selects a secret calculation circuit (secret calculation program) according to the contents of the posting. Such a configuration can be adopted.
  • the instruction unit 12 instructs the secret calculation server 30 to execute the secret calculation process at the timing when the generation and transmission of the share information by the request unit 11 are completed.
  • FIG. 6 is a sequence diagram showing the operation of the data analysis system according to the first embodiment of the present invention. In the following description, it is assumed that the distribution of the secret calculation circuit (program) by the distribution unit 13 has been completed.
  • the first and second devices 21 and 22 each store feature amount data (face feature data) (steps S001a and S001b).
  • control device 10 instructs the first and second devices 21 and 22 to transmit share information to the secret calculation server 30, respectively. (Step S003).
  • the first and second devices 21 and 22 extract the face feature data from the feature amount storage unit 214 based on an instruction from the control device 10 and generate share information for transmission to the secret calculation server 30. Each is transmitted to the secret calculation server 30 (steps S004a and S004b).
  • control device 10 instructs the secret calculation server 30 to execute a human flow analysis based on the share information (step S005).
  • the secret calculation servers 30 that have received the secret calculation execution instruction cooperate with each other to execute a human flow analysis process based on the share information (step S006).
  • a human flow analysis process A specific example of this flow analysis process will be described later in detail with reference to FIGS.
  • the secret calculation server 30 transmits the result (calculation result) of the human flow analysis to the control device 10 (step S007).
  • the secret calculation server 30 transmits the result (calculation result) of the human flow analysis to the control device 10, but the destination of the result of the human flow analysis (calculation result) is other than the control device 10. May be.
  • the result (calculation result) of the human flow analysis may be transmitted to the first and second devices 21 and 22 that are the providers of the facial feature data.
  • the management subject of the first and second devices 21 and 22 can use the results of the flow analysis (calculation results) to help operate the facilities and improve the guidance display for visitors. Further, the management subject of the first and second devices 21 and 22 can obtain the result (calculation result) of the flow analysis without passing the facial feature data to each other.
  • FIG. 7 shows an example in which matching is performed between a person appearing at the camera at point 1 and a person appearing at the camera at point 2.
  • the number of people who have moved between the point 1 and the point 2 can be calculated by comparing the facial feature data between 2018/1/11 11: 00-11: 30.
  • a desired calculation process can be performed in each of the secret calculation servers 30 while the original face feature data cannot be restored.
  • the respective management subjects are the face feature data acquired at the station A and the face feature data acquired at the B stadium (B stadium). It is possible to obtain a result that XX people have moved from the A station to the B stadium (B stadium) while keeping the face feature data secret. Further, since the result of counting the number of persons to be moved does not include personal information, it can be sold to a third party for a fee. It should be noted that the face feature data can be collated by determining the distance between the two feature vectors and comparing the value with a predetermined threshold value.
  • FIG. 8 shows an example in which matching is performed between a person appearing at the camera at the point 1 and a person appearing at the camera at the point 2 to combine the data and total the required time.
  • FIG. 8 shows an example in which matching is performed between a person appearing at the camera at the point 1 and a person appearing at the camera at the point 2 to combine the data and total the required time.
  • the time required for the person to move between the point 1 and the point 2 can be obtained from the difference in the time when the person was photographed.
  • the point 1 is the A station and the point 2 is the B stadium (B stadium)
  • B stadium B stadium
  • It is possible to obtain a result that the average required time of a person who has moved to (B stadium) is XX minutes.
  • the result of counting the required time does not include personal information, it can be sold to a third party for a fee.
  • face feature data is deleted from the combined data so that the individual cannot be specified.
  • FIG. 9 shows an example in which a person appearing at the camera at the point 1 and a person appearing at the camera at the point 2 are matched, data is combined, and a list of required time for each person is created. . Further, in the example of FIG. 9, a result of performing a human flow analysis is created from a list of the required time for each created person. In the example of the result of the analysis of the people flow shown in FIG. 10, it is possible to obtain information such as the number of people who have moved from the point 1 to the point 2 and the average travel time using a list of the required time for each person. At this time, as shown in FIGS. 9 and 10, the face characteristic data is deleted from the analysis result, and 1, No.
  • a process such as 2, which cannot identify the individual is performed by the anonymization process.
  • the point 1 is the A station and the point 2 is the B stadium (B stadium)
  • the A station is the B stadium (B stadium)
  • the data analysis system of the present invention functions as a system capable of performing various analyzes relating to the movement of the moving object.
  • the threshold value (matching rate) for determining the same person in FIGS. 7 to 9 can be appropriately set according to the required accuracy, camera resolution, and the like. For example, in FIG. 9, when the match rate of 85% or more is obtained, the same person is determined. However, when more strict determination is required, the same person is determined when the match rate is 90% or more. May be determined. When the resolution of the camera is low or the image capturing place is dark and the image quality is degraded, the same person may be determined when the matching rate is 70% or more. As described above, the threshold value (match rate) can be adjusted according to the accuracy (quality) of the facial feature data, the accuracy of the required analysis result, and the like.
  • the face feature data is described as being stored in association with the date and time information.
  • the date and time information need not be individually associated with the face feature data.
  • the configuration may be such that the face feature data recognized in a certain time zone is stored in the feature amount storage unit 214.
  • FIG. 11 is a diagram showing the configuration of the data analysis system according to the second embodiment of the present invention.
  • the configuration difference from the first embodiment shown in FIG. 2 is that a digit number changing function of the face feature data is added to the first and second devices 21a and 22a, The difference is that a digit number change instruction function and a secret calculation instruction function according to the digit number are added.
  • the digit number change instruction by the digit number change instruction function is for instructing to cut off a value equal to or smaller than the designated digit of the feature vector of the face feature data.
  • FIG. 12 is a diagram showing the configuration of the first device 21a of the data analysis system according to the second embodiment of the present invention.
  • the difference from the first apparatus of the first embodiment shown in FIG. 3 is that a digit number instruction receiving unit 216 is added, and a secret sharing unit 215a creates share information from face feature data of a specified number of digits. , To send.
  • Other configurations are the same as those of the first embodiment, and therefore, the following description will focus on the differences.
  • Digit number instruction receiving section 216 when receiving the share information transmission instruction with the digit number instruction from control device 10a, sends the same to secret sharing section 215a.
  • the secret sharing unit 215a When the secret sharing unit 215a receives the share information transmission instruction with the digit number instruction, the secret sharing unit 215a extracts the face feature data from the feature amount storage unit 214 and performs processing to reduce the number of digits of the feature vector. Then, the secret sharing unit 215a generates share information for transmission to the secret calculation server 30 from the face feature data after the digit reduction, and transmits the share information to the secret calculation server 30.
  • FIG. 13 is a diagram illustrating a configuration of a control device 10a according to the second embodiment of the present invention.
  • the difference from the control device of the first embodiment shown in FIG. 5 is that the request unit 11a transmits a share information transmission instruction with a digit number instruction to the first and second devices.
  • Other configurations are the same as those of the first embodiment, and therefore, the following description will focus on the differences.
  • the requesting unit 11a of the present embodiment further includes an adjusting unit 111a that determines the number of digits specified by the share information transmission instruction according to a human flow analysis start condition and a separately input processing speed of the human flow analysis. Then, the request unit 11a transmits a share information transmission instruction specifying the determined number of digits to the first and second devices 21a and 22a. For example, it is assumed that the time required for the analysis of the human flow when the number of digits is not reduced is 30 minutes, while the processing speed (required time) of the analysis of the human flow requested by the user is 15 minutes. In this case, the request unit 11a instructs the first and second devices 21a and 22a to create and transmit share information by reducing the effective digits of the feature vector of the face feature data by X digits.
  • the instruction unit 12 instructs the secret calculation server 30 to execute a human flow analysis process at the timing when the generation and transmission of the share information by the request unit 11a are completed.
  • the distribution unit 13 sets the secret A calculation circuit (secret calculation program) must be created and distributed.
  • FIG. 14 is a sequence diagram showing the operation of the data analysis system according to the second embodiment of the present invention.
  • the distribution of the secret calculation circuit (program) by the distribution unit 13 has been completed. Since the basic flow is the same as that of the first embodiment, the following description will focus on the differences.
  • the difference from the sequence diagram of the first embodiment shown in FIG. 6 is that the number of significant digits of the feature vector of the designated face feature data is specified in the share information transmission instruction in step S003a. .
  • the other flow is the same as that of the first embodiment, and the description is omitted.
  • the present embodiment it is possible to provide a result of a human flow analysis satisfying the required processing speed and processing accuracy.
  • the purpose of this application is to grasp the flow of people from point 1 (first point) to point 2 (second point) in the last 30 minutes within 15 minutes.
  • the embodiment can be suitably applied.
  • the present embodiment can be suitably applied to such uses.
  • the processing time is reduced by reducing the number of digits of the feature vector of the face feature data.
  • the switching of the processing content is not limited to this.
  • the processing time can be shortened by narrowing the temporal range of the facial feature data to be collated.
  • accuracy information (recognition rate) is added to individual face feature data
  • face feature data whose accuracy (recognition rate) is equal to or less than a predetermined value naturally deteriorates the accuracy of the determination of the identity of a person.
  • a method of reducing the number of significant digits of the feature vector of the face feature data whose accuracy (recognition rate) is equal to or less than a predetermined value can be adopted.
  • the facial feature data sent from the first and second devices is small, if the identity of a person is strictly determined, an individual is practically identified and a privacy problem may occur. In such a case, it is effective to delete some of the feature vectors of the face feature data and to reduce the number of significant digits. Furthermore, when the face feature data is small, it is possible to omit (omit) the flow analysis process.
  • a method of estimating the processing speed a method of estimating the processing speed based on the number of data to be verified and the number of AND circuits of the secret calculation circuit (program) can be used. Also, the processing speed may be estimated based on the actual value of the processing time of the secret calculation performed using this system.
  • the identity of a person is determined using face feature data.
  • the identity of a person may be determined using information other than face feature data.
  • the first and second devices hold a feature amount (body shape feature data) of a person's body in addition to the face feature data, these are used together to identify the same person. Sex determination can also be performed. By doing so, a modification that increases the accuracy of the determination of the identity of a person is also possible.
  • the identity of the person may be determined using gait data indicating the characteristics of the person's way of walking. Of course.
  • the present invention is not limited to the above-described embodiments, and further modifications, replacements, and adjustments may be made without departing from the basic technical idea of the present invention.
  • the network configuration, the configuration of each element, and the expression form of a message illustrated in each drawing are examples for helping the understanding of the present invention, and are not limited to the configurations illustrated in these drawings.
  • “A and / or B” is used to mean at least one of A and B. Ports and interfaces are provided at input / output connection points of each block in the figure, but are not shown.
  • a server that performs a secret calculation using a secret sharing scheme has been described as a secret calculation server.
  • a server that performs a secret calculation using homomorphic encryption, perfect homomorphic encryption, or the like may be used.
  • the control devices 10 and 10a request the first and second devices to transmit the encrypted face feature data to the secret calculation server.
  • control device is described as being provided independently, but the control device may be included in either the first device or the second device. Further, the control device may be included in any of the secret calculation servers.
  • the procedures described in the first to third embodiments can be realized by a program that causes a computer (9000 in FIG. 18) that functions as the control devices 10 and 10a to realize the functions as the control devices 10 and 10a.
  • a computer is exemplified by a configuration including a CPU (Central Processing Unit) 9010, a communication interface 9020, a memory 9030, and an auxiliary storage device 9040 in FIG. That is, the CPU 9010 shown in FIG. 18 may execute a share information transmission request program or a flow analysis instruction program, and may update the calculation parameters stored in the auxiliary storage device 9040 or the like.
  • a CPU Central Processing Unit
  • control devices 10 and 10a shown in the first to third embodiments described above are implemented by using the hardware of a processor mounted on the control devices 10 and 10a using the hardware. It can be realized by a computer program that executes the respective processes described above.
  • the predetermined secret calculation server is a plurality of secret calculation servers that perform calculations according to a secret sharing scheme
  • the request unit converts the identification information of the first mobile unit and the identification information of the second mobile unit into share information that is secretly distributed to the first and second devices, and then transmits the secret calculation server Can be adopted.
  • the predetermined calculation processing to be performed by the predetermined secret calculation server the first point and the second point are identified based on identification information of the first mobile unit and identification information of the second mobile unit. It is preferable to perform a process of calculating the number of moving objects that have moved between points.
  • the first point and the second point are identified by comparing identification information of the first mobile unit with identification information of the second mobile unit. It is preferable to perform a process of creating movement data of a moving body that has moved between points.
  • the identification information of the first and second moving objects includes time information indicating the time at which the information was obtained.
  • moving data including a time required for the moving body that has moved between the first point and the second point to move is created. Can also.
  • Reference Signs List 10 10a Control device 11, 11a Request unit 12 Instructing unit 13 Distribution unit 21, 21a First device 22, 22a Second device 30 Secret calculation server 111a Adjustment unit 211 Camera 212 Timer 213 Feature amount extraction unit 214 Feature amount storage Unit 215 Secret sharing unit 216 Digit number instruction receiving unit 9000 Computer 9010 CPU 9020 Communication interface 9030 Memory 9040 Auxiliary storage device

Landscapes

  • Engineering & Computer Science (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Medical Informatics (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Image Analysis (AREA)

Abstract

異なる管理主体にて収集された移動体の識別情報の利活用を促進する。制御装置は、第１の地点で取得された第１の移動体の識別情報を保持する第１の装置と、第２の地点で取得された第２の移動体の識別情報を保持する第２の装置と、のそれぞれに対して、所定の秘密計算サーバへの前記第１、第２の移動体の識別情報の提供を要求する要求部と、前記所定の秘密計算サーバに対し、前記第１の移動体の識別情報と前記第２の移動体の識別情報とに基づいた移動体の移動に関する計算処理を指示する指示部と、を備える。

Description

制御装置、データ分析システム、制御方法及びコンピュータプログラム
　本発明は、制御装置、データ分析システム、制御方法及びコンピュータプログラムに関する。
　特許文献１に、本人に尋ね人になっている自覚がなくても安否確認ができるというシステムが開示されている。同文献によると、本人の顔の特徴量と、本人或いは確認依頼者の個人情報（たとえば電話番号）の対が、確認依頼者によって、ポータルサーバ４のデータベースに登録される。現地サーバ２は常に、撮影された顔の特徴量を、データベースと照合し、類似する特徴量が見つかれば、登録された個人情報を提示して、被撮影者に確認を促す。さらに、同文献では、同一人の生体情報同士の照合のみが行え、他の用途への転用、統計情報の収集等を困難にするテンプレート保護技術が紹介されている。
　特許文献２には、定められた通行利用領域で人の動きを追跡する際、一人一人の身体的特徴を自動的に読取って取得し、同一人物を特定して追跡することができるという人間検出追跡システムが開示されている。
　非特許文献１は、経済産業省が公表しているカメラ画像の取り扱いに関する配慮事項を整理したガイドブックである。これによると、監視カメラ等で撮影された画像から得られた特徴量データは、原則として個人情報にあたると記載されている。
国際公開第２０１５／１５１１５５号 特開平１１－１７５７３０号公報
経済産業省、"カメラ画像利活用ガイドブック"、［online］、［平成30年6月26日検索］、インターネット〈URL：http://www.meti.go.jp/press/2017/03/20180330005/20180330005-1.pdf〉
　以下の分析は、本発明によって与えられたものである。非特許文献１においても記載されているとおり、今後、監視カメラや防犯カメラで撮影した画像を利用したデータの利活用が普及していくことが想定される。しかしながら、こうしたカメラで撮影された画像から得られた特徴量データはあくまで個人情報であり、本人の事前の同意なくして第三者に提供することは厳に戒められる。
　一方で、動線解析（人流分析）においては、個人を特定し、その個人の動きを把握することは重要ではなく、ある地点にいたユーザのうち、何人のユーザが別の地点に移動したかといった程度の情報でも十分に価値がある。上記個人情報の問題さえ回避できれば、異なる管理主体で動線解析（人流分析）の結果を共有することができるといえる。そして、その用途は単なる店舗設計に止まらず、街作りや防犯対策等にも役立てられると考えられる。
　また上記は、監視カメラや防犯カメラで撮影した画像に限られず、各種の組織が特定の目的をもって入手する指紋データや虹彩データなどの生体情報一般に妥当する。例えば、施設Ａの入場時に得られた指紋データと、別の施設Ｂの入場時に得られた指紋データとを照合することで、特定の人物が、施設Ａから施設Ｂに移動したという情報が得られる。これは、上記カメラの特徴量データによる動線分析と同様の情報となりうる。また、このような動線分析の対象は人に限られず、車両や動物などにも適用可能だと考えられる。以下、これらの特徴量データ、生体情報その他おおよそ個体を識別可能な情報を「移動体の識別情報」という。
　本発明は、上記異なる管理主体にて収集された移動体の識別情報の利活用の促進に貢献できる制御装置、データ分析システム、制御方法及びコンピュータプログラムを提供することを目的とする。
　第１の視点によれば、第１の地点で取得された第１の移動体の識別情報を保持する第１の装置と、第２の地点で取得された第２の移動体の識別情報を保持する第２の装置と、のそれぞれに対して、所定の秘密計算サーバへの前記第１、第２の移動体の識別情報の提供を要求する要求部と、前記所定の秘密計算サーバに対し、前記第１の移動体の識別情報と前記第２の移動体の識別情報とに基づいた移動体の移動に関する計算処理を指示する指示部と、を備える制御装置が提供される。
　第２の視点によれば、所定の秘密計算サーバと、上記した制御装置と、を含むデータ分析システムが提供される。
　第３の視点によれば、第１の地点で取得された第１の移動体の識別情報を保持する第１の装置と、第２の地点で取得された第２の移動体の識別情報を保持する第２の装置と、のそれぞれに対して、所定の秘密計算サーバへの前記第１、第２の移動体の識別情報の提供を要求し、前記所定の秘密計算サーバに対し、前記第１の移動体の識別情報と前記第２の移動体の識別情報とに基づいた移動体の移動に関する計算処理を指示する、秘密計算サーバの制御方法が提供される。本方法は、秘密計算サーバを利用して所望の計算結果を得る制御装置という、特定の機械に結びつけられている。
　第４の視点によれば、第１の地点で取得された第１の移動体の識別情報を保持する第１の装置と、第２の地点で取得された第２の移動体の識別情報を保持する第２の装置と、のそれぞれに対して、所定の秘密計算サーバへの前記第１、第２の移動体の識別情報の提供を要求する処理と、前記所定の秘密計算サーバに対し、前記第１の移動体の識別情報と前記第２の移動体の識別情報とに基づいた移動体の移動に関する計算処理を指示する処理と、を制御装置に実行させるコンピュータプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な（非トランジトリーな）記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。
　本発明によれば、異なる管理主体にて収集された移動体の識別情報の利活用を促進することが可能となる。
本発明の一実施形態の構成を示す図である。 本発明の第１の実施形態のデータ分析システムの構成を示す図である。 本発明の第１の実施形態のデータ分析システムの第１の装置の構成を示す図である。 本発明の第１の実施形態のデータ分析システムの第１の装置が保持するデータの一例を示す図である。 本発明の第１の実施形態のデータ分析システムの制御装置の構成を示す図である。 本発明の第１の実施形態のデータ分析システムの動作を表したシーケンス図である。 本発明の第１の実施形態のデータ分析システムによる人流分析処理の一例を説明するための図である。 本発明の第１の実施形態のデータ分析システムによる人流分析処理の別の一例を説明するための図である。 本発明の第１の実施形態のデータ分析システムによる人流分析処理の別の一例を説明するための図である。 本発明の第１の実施形態のデータ分析システムによる分析結果の一例を説明するための図である。 本発明の第２の実施形態のデータ分析システムの構成を示す図である。 本発明の第２の実施形態のデータ分析システムの第１の装置の構成を示す図である。 本発明の第２の実施形態のデータ分析システムの制御装置の構成を示す図である。 本発明の第２の実施形態のデータ分析システムの動作を表したシーケンス図である。 本発明の第２の実施形態のデータ分析システムの第１の装置が保持するデータの一例を示す図である。 本発明の第３の実施形態のデータ分析システムの第１の装置が保持するデータの一例を示す図である。 本発明のデータ分析システムの変形構成を示す図である。 本発明の制御装置を構成するコンピュータの構成を示す図である。
　はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。また、以降の説明で参照する図面等のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。また、図中の各ブロックの入出力の接続点には、ポート乃至インタフェースがあるが図示省略する。
　本発明は、その一実施形態において、図１に示すように、第１の装置２１と、第２の装置２２と、秘密計算サーバ３０とに接続された制御装置１０にて実現できる。より具体的には、第１の装置２１は、第１の地点で取得された第１の移動体の識別情報を保持する。第２の装置２２は、第２の地点で取得された第２の移動体の識別情報を保持する。
　そして、制御装置１０は、要求部１１と、指示部１２とを備える。要求部１１は、前記第１の装置と、前記第２の装置とのそれぞれに対して、秘密計算サーバ３０への前記第１、第２の移動体の識別情報の提供を要求する。
　一方、指示部１２は、秘密計算サーバ３０に対し、前記第１の移動体の識別情報と前記第２の移動体の識別情報とに基づいた移動体の移動に関する計算処理を指示する。
　以上の結果、秘密計算サーバ３０は、前記第１の移動体の識別情報と前記第２の移動体の識別情報とに基づいた移動体の移動に関する計算処理を実行する。これにより、例えば、第１の地点と第２の地点との間を移動したと推測される移動体の数を計算することが可能となる。そして、前記第１、第２の移動体の識別情報の計算処理は、適宜暗号化した上で秘密計算サーバにて行われるので、第１、第２の移動体の識別情報の漏洩リスクを抑えることができる。
［第１の実施形態］
　続いて、本発明の第１の実施形態のデータ分析システムについて図面を参照して詳細に説明する。図２は、本発明の第１の実施形態のデータ分析システムの構成を示す図である。図２を参照すると、第１の装置２１と、第２の装置２２と、２台の秘密計算サーバ３０に、制御装置１０を接続した構成が示されている。
　第１の装置２１は、第１の地点で取得された第１の移動体の識別情報として、駅や各種の施設に設置されたカメラにて取得された画像から得られた通行人の顔特徴データを保持する装置である。
　第２の装置２２は、第２の地点で取得された第２の移動体の識別情報として、第１の地点とは異なる駅や各種の施設に設置されたカメラにて取得された画像から得られた通行人の顔特徴データを保持する装置である。
　ここで、第１の装置２１と第２の装置２２とは、互いに異なる管理主体（同一組織内でデータ管理責任者が異なる場合を含む。）によって管理されているものとする。また、第１の移動体の識別情報と第２の移動体の識別情報は、それぞれデータを外部に出さないように管理・運用されているものとする。即ち、前記第１、第２の移動体の識別情報は、それぞれの別の管理主体の下で取得されたデータであり、外部に出さない、一定期間経過後に破棄する等の条件の下に管理されている。
　２台の秘密計算サーバ３０は、第１の装置２１、第２の装置２２からそれぞれ、顔特徴データを秘密分散したシェア情報を受け取って、秘密分散方式の計算を行うサーバである。
　制御装置１０は、第１の装置２１、第２の装置２２に対し、秘密計算サーバ３０へのシェア情報の送信、及び、秘密計算サーバ３０に対し、シェア情報を用いた計算等を指示する装置である。
　図３は、本発明の第１の実施形態のデータ分析システムの第１の装置の構成を示す図である。図３を参照すると、タイマ２１２と、特徴量抽出部２１３と、特徴量保存部２１４と、秘密分散部２１５とを備え、カメラ２１１と接続された構成が示されている。
　カメラ２１１は、駅や各種の施設に設置された防犯カメラ等である。タイマ２１２は、撮影日時を記録するために用いられる。なお、図３の例では、カメラの台数は１台であるが、カメラの台数に制限はない。例えば、日中撮影用のカメラと、夜間撮影用のカメラを切り替えて動画データを取得可能な構成であってもよい。また例えば、画角や撮影方向の異なるカメラが複数配置された構成であってもよい。
　特徴量抽出部２１３は、カメラ２１１にて撮影された動画データから画像を切り出して、その中に写りこんでいる人物の顔特徴データを抽出する。なお、１つの画像に複数の人物の顔が写りこんでいる場合、特徴量抽出部２１３は、１つの画像からそれぞれの人物の顔の領域を特定し、複数の顔特徴データを抽出する。
　特徴量保存部２１４は、特徴量抽出部２１３にて抽出された顔特徴データにタイマ２１２から取得した日時情報を対応付けて保存する。
　図４は、特徴量保存部２１４にて保存されている顔特徴データの一例を示す図である。図４の例では、タイマ２１２から供給された日時と、顔の特徴量情報（顔特徴データ）とを対応付けたエントリを保存している例が示されている。顔の特徴量情報の１１，２３，４５・・・は、予め定めた顔特徴（顔ノード）間の特徴ベクトルを表している。
　秘密分散部２１５は、制御装置１０からの要求に応じて、特徴量保存部２１４から顔特徴データを取り出して、秘密計算サーバ３０への送付用のシェア情報を生成し、秘密計算サーバ３０に送信する。
　上記のような第１の装置２１は、同一組織（施設）における顔認証データを用いた人流分析を行う装置に、秘密分散部２１５を追加したことでも実現できる。また、第２の装置２２は、少なくともカメラ２１１と撮影領域が異なるカメラを備えるほかは、第１の装置２１と同一の構成であるため、説明を省略する。
　続いて、制御装置１０の構成について図面を参照して詳細に説明する。図５は、本発明の第１の実施形態のデータ分析システムの制御装置の構成を示す図である。図５を参照すると、要求部１１と、配布部１３と、指示部１２とを備えた構成が示されている。
　要求部１１は、予め設定された人流分析開始条件に基づいて、第１、第２の装置２１、２２に対し、秘密計算サーバ３０への送付用のシェア情報の生成と送信を要求する。人流分析開始条件としては、一定の時間毎に、過去一定期間に第１、第２の地点で撮影された動画に基づく、特定の精度の人流分析を行うといった条件が考えられる。また、人流分析開始条件としては、上記のような定期的なものだけでなく、例えば、ユーザから臨時的な人流分析を求める明示的な指示の受信を条件としてもよい。
　配布部１３は、上記人流分析開始条件に対応する内容と精度の秘密計算を秘密計算サーバ３０に実行させるための秘密計算回路（秘密計算プログラム）を、秘密計算サーバ３０に配布する。秘密計算回路（秘密計算プログラム）は、事前に作成したものであってもよいし、その都度、作成するものであってもよい。また、複数種の秘密計算回路（秘密計算プログラム）を、事前に秘密計算サーバ３０側に配布しておき、秘密計算サーバ３０側で、掲載内容に応じた秘密計算回路（秘密計算プログラム）を選択する構成も採用可能である。
　指示部１２は、上記要求部１１によるシェア情報を生成と送信が完了したタイミングで、秘密計算サーバ３０に秘密計算処理の実行を指示する。
　続いて、本実施形態の動作について図面を参照して詳細に説明する。図６は、本発明の第１の実施形態のデータ分析システムの動作を表したシーケンス図である。以下の説明では、配布部１３による秘密計算回路（プログラム）の配布は済んでいるものとして説明する。
　図６を参照すると、まず、第１、第２の装置２１、２２において、それぞれ特徴量データ（顔特徴データ）の蓄積が行われる（ステップＳ００１ａ、Ｓ００１ｂ）。
　その後、前記所定の人流分析開始条件が成立すると（ステップＳ００２）、制御装置１０は、第１、第２の装置２１、２２に対して、それぞれ秘密計算サーバ３０へのシェア情報の送信を指示する（ステップＳ００３）。
　第１、第２の装置２１、２２は、制御装置１０からの指示に基づいて、特徴量保存部２１４から顔特徴データを取り出して、秘密計算サーバ３０への送付用のシェア情報を生成し、秘密計算サーバ３０にそれぞれ送信する（ステップＳ００４ａ、Ｓ００４ｂ）。
　次に、制御装置１０は、秘密計算サーバ３０に対して、シェア情報による人流分析の実行を指示する（ステップＳ００５）。
　次に、秘密計算の実行指示を受けた秘密計算サーバ３０が互いに連携してシェア情報による人流分析処理を実行する（ステップＳ００６）。この人流分析処理の具体例については後に図７～図１０を用いて詳細に説明する。
　最後に、秘密計算サーバ３０は、人流分析の結果（計算結果）を制御装置１０に送信する（ステップＳ００７）。なお、図６の例では、秘密計算サーバ３０が人流分析の結果（計算結果）を制御装置１０に送信することとしているが、人流分析の結果（計算結果）の送信先は、制御装置１０以外でもよい。例えば、顔特徴データの提供元である第１、第２の装置２１、２２に、人流分析の結果（計算結果）を送信してもよい。これにより、第１、第２の装置２１、２２の管理主体は、人流分析の結果（計算結果）に基づいて、施設の運用や、来訪者に対する案内表示の改善に役立てることができる。また、第１、第２の装置２１、２２の管理主体は、顔特徴データを互いに渡すことなく、前記人流分析の結果（計算結果）を得ることができる。
　続いて、上記ステップＳ００６における人流分析処理の具体例について説明する。
［移動人数の集計］
　図７は、地点１のカメラに現れた人物と、地点２のカメラに現れた人物とのマッチングを行う例を示している。例えば、図７に示すように、２０１８／１／１１　１１：００－１１：３０の間の顔特徴データを照合することで、地点１と地点２間と移動した人数を計算することができる。秘密分散方式を用いることで、個々の秘密計算サーバ３０において、元の顔特徴データを復元できないようにしたまま、所望の計算処理を行わせることができる。例えば、地点１がＡ駅であり、地点２が、Ｂ球場（Ｂスタジアム）である場合、それぞれの管理主体が、Ａ駅で取得された顔特徴データと、Ｂ球場（Ｂスタジアム）で取得された顔特徴データを秘密にしたまま、Ａ駅からＢ球場（Ｂスタジアム）にＸＸ人移動したといった結果を得ることができる。また、この移動人数の集計結果は、個人情報を含まないため、第三者に有償で販売することなども可能となっている。なお、この顔特徴データの照合は、２つの特徴ベクトル間の距離を求め、その値を所定のしきい値と比較することで実施することができる。
［所要時間の集計］
　図８は、地点１のカメラに現れた人物と、地点２のカメラに現れた人物とのマッチングを行って、データを結合し、所要時間の集計を行う例を示している。例えば、図８に示すように、特定の時間帯の顔特徴データを照合することで、地点１と地点２の双方に出現した人物を特定することができる。そして、その人物が撮影された時間の差により、当該人物が地点１と地点２間の移動に要した時間を求めることができる。同様に、例えば、地点１がＡ駅であり、地点２が、Ｂ球場（Ｂスタジアム）である場合、それぞれの管理主体がそれぞれ管理する顔特徴データを秘密にしたまま、Ａ駅からＢ球場（Ｂスタジアム）に移動した人の平均所要時間がＸＸ分であるといった結果を得ることができる。また、この所要時間の集計結果は、個人情報を含まないため、第三者に有償で販売することなども可能となっている。また、このとき、図８に示すように、結合データには、顔特徴データが削除され、個体を特定できないようになっていることが好ましい。
［人流分析］
　図９は、地点１のカメラに現れた人物と、地点２のカメラに現れた人物とのマッチングを行って、データを結合し、人物の毎の所要時間のリストを作成する例を示している。さらに、図９の例では、作成した人物の毎の所要時間のリストから人流分析を行った結果を作成している。図１０の人流分析を行った結果の例では、人物毎の所要時間のリストを用いて、地点１から地点２に移動した人数やその平均移動時間といった情報を得ることが可能となっている。このとき、図９、図１０に示すように、分析結果からは、顔特徴データが削除され、かつ、Ｎｏ．１、Ｎｏ．２といった匿名化処理により個体を特定できない処理がなされていることが好ましい。同様に、例えば、地点１がＡ駅であり、地点２が、Ｂ球場（Ｂスタジアム）である場合、それぞれの管理主体がそれぞれ管理する顔特徴データを秘密にしたまま、Ａ駅からＢ球場（Ｂスタジアム）に移動した人がＸＸ人いて、その平均所要時間がＸＸ分であるといった結果を得ることができる。そしてこのような情報は、警備員や案内員の最適配置によるセーフティ、おもてなし、観光客の行動傾向分析に基づく観光・街づくり等に役立てることができる。従って、本発明のデータ分析システムは、移動体の移動に関する各種の分析をなしうるシステムとして機能するといえる。
　なお、上記図７から図９において同一人物として判定するしきい値（一致率）は、求められる精度やカメラの解像度等に応じて適宜設定することができる。例えば、図９では８５％以上の一致率が得られた場合に、同一人物として判定しているが、より厳密な判定が求められる場合には、一致率が９０％以上である場合に同一人物と判定するようにしてもよい。また、カメラの解像度が低かったり、撮影場所が暗く画質が低下している場合には、一致率が７０％以上である場合に同一人物と判定するようにしてもよい。このように、しきい値（一致率）は、顔特徴データの精度（品質）や求められる分析結果の精度等に応じて調整することができる。
　なお、上記した例では、顔特徴データは、日時情報を対応付けて保存されているものとして説明したが、顔特徴データの個々に日時情報を対応付けなくてもよい。例えば、一定の時間帯に認識された顔特徴データを、特徴量保存部２１４に保持させる構成であってもよい。
［第２の実施形態］
　続いて、要求される人流分析の処理速度、人流分析の処理精度等に応じて、秘密計算サーバにおける処理内容を切替できるようにした第２の実施形態について図面を参照して詳細に説明する。
　図１１は、本発明の第２の実施形態のデータ分析システムの構成を示す図である。図２に示した第１の実施形態との構成上の差異は、第１、第２の装置２１ａ、２２ａに、顔特徴データの桁数変更機能が追加され、制御装置１０ａにおいて顔特徴データの桁数変更指示機能と桁数に応じた秘密計算の指示機能が追加された点である。この桁数変更指示機能による桁数変更指示は、顔特徴データの特徴ベクトルの指定桁以下の値の切り捨てを指示するものである。
　図１２は、本発明の第２の実施形態のデータ分析システムの第１の装置２１ａの構成を示す図である。図３に示した第１の実施形態の第１の装置との相違点は、桁数指示受信部２１６が追加され、秘密分散部２１５ａが、指定桁数の顔特徴データからシェア情報を作成し、送信する点である。その他の構成は第１の実施形態と同様であるので、以下、その相違点を中心に説明する。
　桁数指示受信部２１６は、制御装置１０ａから、桁数指示付きのシェア情報送信指示を受信すると、秘密分散部２１５ａに送る。
　秘密分散部２１５ａは、桁数指示付きのシェア情報送信指示を受信すると、特徴量保存部２１４から顔特徴データを取り出し、その特徴ベクトルの桁数を削減する処理を行う。そして、秘密分散部２１５ａは、この桁数削減後の顔特徴データから、秘密計算サーバ３０への送付用のシェア情報を生成し、秘密計算サーバ３０に送信する。
　続いて、制御装置１０ａの構成について図面を参照して詳細に説明する。図１３は、本発明の第２の実施形態の制御装置１０ａの構成を示す図である。図５に示した第１の実施形態の制御装置との差異は、要求部１１ａが、第１、第２の装置に対し、桁数指示付きのシェア情報送信指示を送信する点である。その他の構成は第１の実施形態と同様であるので、以下、その相違点を中心に説明する。
　本実施形態の要求部１１ａは、さらに、人流分析開始条件や別途入力された人流分析の処理速度に応じて、シェア情報送信指示にて指定する桁数を決定する調整部１１１ａを備える。そして、要求部１１ａは、第１、第２の装置２１ａ、２２ａに対して、決定後の桁数を指定したシェア情報送信指示を送信する。例えば、桁数の削減を行わない場合の人流分析の所要時間が３０分である一方、ユーザから要求された人流分析の処理速度（所要時間）が１５分である場合が想定される。その場合、要求部１１ａは、第１、第２の装置２１ａ、２２ａに対して、顔特徴データの特徴ベクトルの有効桁をＸ桁だけ削減してシェア情報を作成、送信するよう指示する。
　指示部１２は、上記要求部１１ａによるシェア情報を生成と送信が完了したタイミングで、秘密計算サーバ３０に人流分析処理の実行を指示する。
　なお、第１の実施形態と同様に、事前に、顔特徴データの特徴ベクトルの有効桁数に応じた秘密計算回路（秘密計算プログラム）の配布が済んでいない場合は、配布部１３が、秘密計算回路（秘密計算プログラム）を作成し、配布する必要がある。
　続いて、本実施形態の動作について図面を参照して詳細に説明する。図１４は、本発明の第２の実施形態のデータ分析システムの動作を表したシーケンス図である。以下の説明では、配布部１３による秘密計算回路（プログラム）の配布は済んでいるものとして説明する。基本的な流れは第１の実施形態と同様であるので、以下、その相違点を中心に説明する。
　図６に示した第１の実施形態のシーケンス図との相違点は、ステップＳ００３ａにおいて、シェア情報の送信指示に、指定した顔特徴データの特徴ベクトルの有効桁数が指定されている点である。その他の流れは第１の実施形態と同様であるため説明を省略する。
　本実施形態によれば、要求される処理速度、処理精度を満足する人流分析の結果を提供することが可能となる。例えば、地点２の警備の強化の必要人員を見積もるため、地点１（第１の地点）から地点２（第２の地点）の直近３０分の人流を１５分以内に把握したいといった用途に、本実施形態は好適に適用することができる。同様に、例えば、地点１のイベント会場で販売する商品の量を見積もるため、地点２（第２の地点）から地点１（第１の地点）の直近１時間の人流を１０分以内に把握したいといった用途にも、本実施形態は好適に適用することができる。
　なお、上記した実施形態では、顔特徴データの特徴ベクトルの桁数を削減することで処理時間を短縮する例を挙げて説明したが、処理内容の切替はこれに限られない。例えば、顔特徴データの特徴ベクトルのうち、いくつかを削除（ベクトルの次元の削減）することで処理内容を切り替える形態も採用可能である。また、照合を行う顔特徴データの時間的範囲を狭めることでも処理時間を短縮することができる。これらのいずれか１つ以上を用いることで、データ量の削減機能、処理の高速化機能、又は計算量の削減機能を達成することができる。
　また、処理時間を短縮するという観点のほか、プライバシーの保護の観点で、あえて人物の同一性判定の精度を落としたいというニーズも想定される。この場合も同様に、顔特徴データの特徴ベクトルのうち、いくつかを削除したり、有効桁数を削減するといった処理内容の切替を行うことで、人物の同一性判定の精度を落とすことができる。
　また、例えば、図１５に示すように、個々の顔特徴データに精度情報（認識率）が付加されている場合には、精度情報を用いて処理速度や判定精度を調節することも可能である。例えば、精度（認識率）が所定値以下の顔特徴データは、人物の同一性判定の精度も当然に劣化するので、照合の対象から外すことで秘密分散による計算を高速化することができる。また、精度（認識率）が所定値以下の顔特徴データの特徴ベクトルの有効桁数を削減する方法も採用可能である。
　また、第１、第２の装置から送られた顔特徴データが少ない場合には、人物の同一性判定を厳密に行うと、実質的に個人が特定されてしまいプライバシーの問題が生じうる。その場合も上記した顔特徴データの特徴ベクトルのうち、いくつかを削除したり、有効桁数を削減することが有効である。さらには、顔特徴データが少ない場合には、人流分析処理を実施しない（省略する）ことも可能である。
　また、上記処理速度を見積もる方法としては、照合の対象となるデータ数や、上記秘密計算回路（プログラム）のＡＮＤ回路の数で処理速度を見積もる方法等を利用することができる。また、このシステムを用いて実施した秘密計算の処理時間の実績値に基づいて処理速度を見積もってもよい。
［第３の実施形態］
　上記した第１、第２の実施形態では、顔特徴データを用いて人物の同一性判定を行っていたが、顔特徴データ以外の情報を用いて、人物の同一性判定を行ってもよいことはもちろんである。例えば、図１６に示すように、第１、第２の装置で顔特徴データ以外に、人物の体型の特徴量（体型特徴データ）を保持している場合、これらを併用して、人物の同一性判定を行うこともできる。このようにすることで、人物の同一性判定の精度を高める変形も可能である。また、上記人物の体型の特徴量（体型特徴データ）に代えて、又は、併せて、人の歩き方の特徴を示す歩容データを用いて、人物の同一性判定を行ってもよいことはもちろんである。
　以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、各図面に示したネットワーク構成、各要素の構成、メッセージの表現形態は、本発明の理解を助けるための一例であり、これらの図面に示した構成に限定されるものではない。また、以下の説明において、「Ａ及び／又はＢ」は、Ａ及びＢの少なくともいずれかという意味で用いる。また、図中の各ブロックの入出力の接続点には、ポート乃至インタフェースがあるが図示省略する。
　例えば、上記した実施形態では、移動体の識別情報として顔特徴データを用いるものとして説明したが、顔特徴データ以外の生体情報や、機器のＩＤ等を移動体の識別情報として用いることも可能である。
　例えば、上記した実施形態では、２台の秘密計算サーバを用いる例を挙げて説明したが、３台以上の秘密計算サーバを用いてもよい（図１７参照）。
　例えば、上記した実施形態では、秘密計算サーバとして秘密分散方式で秘密計算を行うサーバを用いるものとして説明したが、準同型暗号、完全同型暗号等を用いて秘密計算を行うサーバを用いることもできる。制御装置１０、１０ａは、第１、第２の装置に対して、暗号化した顔特徴データの秘密計算サーバへの送信を要求することになる。
　例えば、上記した実施形態では、制御装置が独立して設けられているものとして説明したが、制御装置は第１の装置、または第２の装置のいずれかに含まれてもよい。また、制御装置は秘密計算サーバのいずれかに含まれてもよい。
　また、上記した第１～第３の実施形態に示した手順は、制御装置１０、１０ａとして機能するコンピュータ（図１８の９０００）に、制御装置１０、１０ａとしての機能を実現させるプログラムにより実現可能である。このようなコンピュータは、図１８のＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）９０１０、通信インタフェース９０２０、メモリ９０３０、補助記憶装置９０４０を備える構成に例示される。すなわち、図１８のＣＰＵ９０１０にて、シェア情報送信要求プログラムや人流分析指示プログラムを実行し、その補助記憶装置９０４０等に保持された各計算パラメーターの更新処理を実施させればよい。
　即ち、上記した第１～第３の実施形態に示した制御装置１０、１０ａの各部（処理手段、機能）は、制御装置１０、１０ａに搭載されたプロセッサに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することができる。
　最後に、本発明の好ましい形態を要約する。
［第１の形態］
　（上記第１の視点による制御装置参照）
［第２の形態］
　上記した制御装置において、
　前記第１、第２の移動体の識別情報として、それぞれの別のカメラにて撮影された人物の顔特徴データを用いることができる。
［第３の形態］
　上記した制御装置において、
　前記第１、第２の移動体の識別情報として、それぞれの別のカメラにて撮影された人物の体型データを含むデータを用いることができる。
［第４の形態］
　上記した制御装置において、
　前記第１、第２の移動体の識別情報としては、それぞれの別の管理主体の下で取得されたデータが想定される。
［第５の形態］
　上記した制御装置において、
　前記所定の秘密計算サーバは、秘密分散方式により計算を行う複数台の秘密計算サーバであり、
　前記要求部は、前記第１、第２の装置に対し、第１の移動体の識別情報及び前記第２の移動体の識別情報を秘密分散したシェア情報に変換してから、前記秘密計算サーバに送信させる構成を採ることができる。
［第６の形態］
　上記した制御装置において、
　前記所定の秘密計算サーバに行わせる前記所定の計算処理として、前記第１の移動体の識別情報と、前記第２の移動体の識別情報とに基づいて前記第１の地点と前記第２の地点との間を移動した移動体の数を計算する処理を行わせることが好ましい。
［第７の形態］
　上記した制御装置において、
　前記所定の秘密計算サーバに行わせる前記所定の計算処理として、前記第１の移動体の識別情報と、前記第２の移動体の識別情報との照合による前記第１の地点と前記第２の地点との間を移動した移動体の移動データを作成する処理を行わせることが好ましい。
［第８の形態］
　上記した制御装置において、
　前記第１、第２の移動体の識別情報が、当該情報が取得された時刻を示す時刻情報を含む場合、
　前記所定の秘密計算サーバに行わせる前記所定の計算処理として、前記第１の地点と前記第２の地点との間を移動した移動体が前記移動に要した時間を含む移動データを作成させることもできる。
［第９の形態］
　上記した制御装置において、
　前記移動データは、個体を特定できないように処理がなされていることが好ましい。
［第１０の形態］
　上記した制御装置は、
　要求される処理時間又は処理精度を満たすために、前記計算処理の内容を切り替える調整部を備える構成を採ることができる。
［第１１の形態］
　前記調整部は、前記第１、第２の移動体の識別情報を構成する特徴量データを削減させることにより、前記計算処理の内容を切り替えることができる。
［第１２の形態］
　（上記第２の視点によるデータ処理システム参照）
［第１３の形態］
　（上記第３の視点による秘密計算サーバの制御方法参照）
［第１４の形態］
　（上記第４の視点によるコンピュータプログラム参照）
　なお、上記第１２～第１４の形態は、第１の形態と同様に、第２～第１１の形態に展開することが可能である。
　なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。
　１０、１０ａ　制御装置
　１１、１１ａ　要求部
　１２　指示部
　１３　配布部
　２１、２１ａ　第１の装置
　２２、２２ａ　第２の装置
　３０　秘密計算サーバ
　１１１ａ　調整部
　２１１　カメラ
　２１２　タイマ
　２１３　特徴量抽出部
　２１４　特徴量保存部
　２１５　秘密分散部
　２１６　桁数指示受信部
　９０００　コンピュータ
　９０１０　ＣＰＵ
　９０２０　通信インタフェース
　９０３０　メモリ
　９０４０　補助記憶装置

Claims (15)

  1. 　第１の地点で取得された第１の移動体の識別情報を保持する第１の装置と、第２の地点で取得された第２の移動体の識別情報を保持する第２の装置と、のそれぞれに対して、所定の秘密計算サーバへの前記第１、第２の移動体の識別情報の提供を要求する要求部と、
    　前記所定の秘密計算サーバに対し、前記第１の移動体の識別情報と前記第２の移動体の識別情報とに基づいた移動体の移動に関する計算処理を指示する指示部と、
    　を備える制御装置。
  2. 　前記第１、第２の移動体の識別情報は、それぞれの別のカメラにて撮影された人物の顔特徴データを含む請求項１の制御装置。
  3. 　前記第１、第２の移動体の識別情報は、それぞれの別のカメラにて撮影された人物の体型データを含む請求項１又は２の制御装置。
  4. 　前記第１、第２の移動体の識別情報は、それぞれの別の管理主体の下で取得されたデータである請求項１から３いずれか一の制御装置。
  5. 　前記所定の秘密計算サーバは、秘密分散方式により計算を行う複数台の秘密計算サーバであり、
    　前記要求部は、前記第１、第２の装置に対し、第１の移動体の識別情報及び前記第２の移動体の識別情報を秘密分散したシェア情報に変換してから、前記秘密計算サーバに送信させる請求項１から４いずれか一の制御装置。
  6. 　前記所定の計算処理は、前記第１の移動体の識別情報と、前記第２の移動体の識別情報とに基づいて前記第１の地点と前記第２の地点との間を移動した移動体の数を計算する処理である請求項１から５いずれか一の制御装置。
  7. 　前記所定の計算処理は、前記第１の移動体の識別情報と、前記第２の移動体の識別情報との照合による前記第１の地点と前記第２の地点との間を移動した移動体の移動データを作成する処理である請求項１から５いずれか一の制御装置。
  8. 　前記第１、第２の移動体の識別情報は、当該情報が取得された時刻を示す時刻情報を含み、
    　前記所定の計算処理は、前記第１の地点と前記第２の地点との間を移動した移動体が前記移動に要した時間を含む移動データを作成する処理である請求項１から５いずれか一の制御装置。
  9. 　前記移動データは、個体を特定できないように処理がなされている請求項７又は８の制御装置。
  10. 　さらに、要求される処理時間を満たすために、前記計算処理の内容を切り替える調整部を備える請求項６から９いずれか一の制御装置。
  11. 　さらに、要求される処理精度を満たすために、前記計算処理の内容を切り替える調整部を備える請求項６から９いずれか一の制御装置。
  12. 　前記調整部は、前記第１、第２の移動体の識別情報を構成する特徴量データを削減させることにより、前記計算処理の内容を切り替える請求項１０又は１１の制御装置。
  13. 　所定の秘密計算サーバと、
    　第１の地点で取得された第１の移動体の識別情報を保持する第１の装置と、第２の地点で取得された第２の移動体の識別情報を保持する第２の装置と、のそれぞれに対して、所定の秘密計算サーバへの前記第１、第２の移動体の識別情報の提供を要求する要求部と、
    　前記所定の秘密計算サーバに対し、前記第１の移動体の識別情報と前記第２の移動体の識別情報とに基づいた移動体の移動に関する計算処理を指示する指示部と、
    　を備える制御装置と、
    　を含むデータ分析システム。
  14. 　第１の地点で取得された第１の移動体の識別情報を保持する第１の装置と、第２の地点で取得された第２の移動体の識別情報を保持する第２の装置と、のそれぞれに対して、所定の秘密計算サーバへの前記第１、第２の移動体の識別情報の提供を要求し、
    　前記所定の秘密計算サーバに対し、前記第１の移動体の識別情報と前記第２の移動体の識別情報とに基づいた移動体の移動に関する計算処理を指示する、
    　秘密計算サーバの制御方法。
  15. 　第１の地点で取得された第１の移動体の識別情報を保持する第１の装置と、第２の地点で取得された第２の移動体の識別情報を保持する第２の装置と、のそれぞれに対して、所定の秘密計算サーバへの前記第１、第２の移動体の識別情報の提供を要求する処理と、
    　前記所定の秘密計算サーバに対し、前記第１の移動体の識別情報と前記第２の移動体の識別情報とに基づいた移動体の移動に関する計算処理を指示する処理と、
    　を制御装置に実行させるコンピュータプログラム。
PCT/JP2018/026979 2018-07-18 2018-07-18 制御装置、データ分析システム、制御方法及びコンピュータプログラム WO2020016973A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2020530795A JP7124872B2 (ja) 2018-07-18 2018-07-18 制御装置、データ分析システム、制御方法及びコンピュータプログラム
US17/258,945 US20210342475A1 (en) 2018-07-18 2018-07-18 Control apparatus, data analysys system, conrol method, and computer program
PCT/JP2018/026979 WO2020016973A1 (ja) 2018-07-18 2018-07-18 制御装置、データ分析システム、制御方法及びコンピュータプログラム
DE112018007834.5T DE112018007834T5 (de) 2018-07-18 2018-07-18 Steuervorrichtung, datenanalysesystem, steuerverfahren und computerprogramm

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/026979 WO2020016973A1 (ja) 2018-07-18 2018-07-18 制御装置、データ分析システム、制御方法及びコンピュータプログラム

Publications (1)

Publication Number Publication Date
WO2020016973A1 true WO2020016973A1 (ja) 2020-01-23

Family

ID=69164796

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/026979 WO2020016973A1 (ja) 2018-07-18 2018-07-18 制御装置、データ分析システム、制御方法及びコンピュータプログラム

Country Status (4)

Country Link
US (1) US20210342475A1 (ja)
JP (1) JP7124872B2 (ja)
DE (1) DE112018007834T5 (ja)
WO (1) WO2020016973A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023021673A1 (ja) * 2021-08-19 2023-02-23 日本電気株式会社 サーバ装置、システム、ｏｄデータ生成方法及び記憶媒体
WO2024053183A1 (ja) * 2022-09-08 2024-03-14 株式会社Ｊｖｃケンウッド 人物検索装置および人物検索方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010033474A (ja) * 2008-07-31 2010-02-12 Omron Corp 属性別人数集計装置、属性別人数集計方法、および属性別人数集計システム
JP2016071639A (ja) * 2014-09-30 2016-05-09 日本電信電話株式会社 監視情報共有システム、照合装置、監視装置及びプログラム
JP2017151832A (ja) * 2016-02-26 2017-08-31 株式会社日立製作所 待ち時間算出システム
JP2018028784A (ja) * 2016-08-17 2018-02-22 富士通株式会社 移動体群検出プログラム、移動体群検出装置、及び移動体群検出方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6898165B2 (ja) * 2017-07-18 2021-07-07 パナソニック株式会社 人流分析方法、人流分析装置及び人流分析システム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010033474A (ja) * 2008-07-31 2010-02-12 Omron Corp 属性別人数集計装置、属性別人数集計方法、および属性別人数集計システム
JP2016071639A (ja) * 2014-09-30 2016-05-09 日本電信電話株式会社 監視情報共有システム、照合装置、監視装置及びプログラム
JP2017151832A (ja) * 2016-02-26 2017-08-31 株式会社日立製作所 待ち時間算出システム
JP2018028784A (ja) * 2016-08-17 2018-02-22 富士通株式会社 移動体群検出プログラム、移動体群検出装置、及び移動体群検出方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023021673A1 (ja) * 2021-08-19 2023-02-23 日本電気株式会社 サーバ装置、システム、ｏｄデータ生成方法及び記憶媒体
WO2024053183A1 (ja) * 2022-09-08 2024-03-14 株式会社Ｊｖｃケンウッド 人物検索装置および人物検索方法

Also Published As

Publication number Publication date
JPWO2020016973A1 (ja) 2021-07-15
US20210342475A1 (en) 2021-11-04
JP7124872B2 (ja) 2022-08-24
DE112018007834T5 (de) 2021-04-08

Similar Documents

Publication Publication Date Title
JP4975272B2 (ja) ユーザ端末
CN109740516B (zh) 一种用户识别方法、装置、电子设备及存储介质
KR102511365B1 (ko) 생체 정보를 인증하는 방법 및 장치
US20150104103A1 (en) Surveillance camera that respects privacy
WO2020016973A1 (ja) 制御装置、データ分析システム、制御方法及びコンピュータプログラム
CN104079552A (zh) 认证系统及其操作方法
WO2021180004A1 (zh) 视频分析方法、视频分析的管理方法及相关设备
JP7136224B2 (ja) 認証候補抽出装置、認証システム、認証候補抽出方法及びプログラム
Kim et al. Stabilized adaptive sampling control for reliable real-time learning-based surveillance systems
KR102091088B1 (ko) Ip 카메라를 이용한 얼굴 영상 획득 방법 및 장치
JP2017068627A (ja) 画像処理端末及び画像処理サーバ
KR101982203B1 (ko) 개인정보 보호가 가능한, 영상 인식을 위한 단말 장치, 서버 장치 및 시스템
US20210084229A1 (en) System, method and apparatus for networking independent synchronized generation of a series of images
KR102561306B1 (ko) 영상 처리 장치 및 방법
WO2018092378A1 (ja) 情報処理装置、情報処理方法、及びプログラム
US11075906B2 (en) Method and system for securing communications between a lead device and a secondary device
WO2019181047A1 (ja) 情報処理装置、人物検索システム、場所推定方法及びプログラムが格納された非一時的なコンピュータ可読媒体
Tariq et al. IEEE access special section editorial: lightweight security and provenance for internet of health things
JP7140202B2 (ja) 秘密計算サーバ、システム、秘密計算方法及びプログラム
Choi et al. A distributed cloud based video storage system with privacy protection
JPWO2022254484A5 (ja) システム、認証方法、認証端末、認証端末の制御方法及びプログラム
CN111491136A (zh) 一种影像传输系统和方法
US20230022561A1 (en) Method and system for authenticating a user
EP3732825B1 (en) Method and system for securing communications between a lead device and a secondary device
CN115273166A (zh) 用于分享冰箱内景图像的方法及系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18927093

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020530795

Country of ref document: JP

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 18927093

Country of ref document: EP

Kind code of ref document: A1