WO2023112269A1 - システム、サーバ装置、サーバ装置の制御方法及び記憶媒体 - Google Patents

Abstract

被撮影者のプライバシーを適切に保護するシステムを提供する。システムは、所定エリアを撮影する、カメラ装置と、利用者が所持する、端末と、カメラ装置が撮影した画像データと画像データの取得日時を対応付けて記憶する、サーバ装置と、を含む。端末は、カメラ装置と通信可能になると、利用者に関する利用者情報を含む利用者情報通知をカメラ装置に送信する。カメラ装置は、利用者情報通知の受信に応じて所定エリアを撮影することで得られる第１の画像データと利用者情報をサーバ装置に送信する。サーバ装置は、第１の画像データに利用者に対応する利用者領域が含まれている場合、当該利用者領域に対して利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成する。サーバ装置は、当該生成された第２の画像データを記憶する。

Description

システム、サーバ装置、サーバ装置の制御方法及び記憶媒体

　本発明は、システム、サーバ装置、サーバ装置の制御方法及び記憶媒体に関する。

　防災等の目的で監視カメラが各所に設置されている。近年、監視カメラ等により得られる画像（映像）を用いた技術開発が進められている。

　例えば、特許文献１には、動線に対応する人物を特定する、と記載されている。特許文献１の動線管理装置は、動線管理部と、時間帯特定部と、受信履歴取得部と、人物特定部と、を備える。動線管理部は、１以上の対象人物が行動する行動エリアにおける人物の時刻ごとの位置を示す動線を特定する。時間帯特定部は、特定された動線に基づいて、人物が行動エリアに含まれる所定エリアに滞在している時間帯を特定する。受信履歴取得部は、複数の対象人物のそれぞれが所持する複数の端末から、端末を識別する端末ＩＤと、端末が所定エリアに対応する位置に設置された発信機から受信したビーコンＩＤと、ビーコンＩＤを受信した時刻とを含む受信履歴情報を取得する。人物特定部は、当該受信履歴情報と、端末ＩＤと対象人物とを関連付けた情報とに基づいて、複数の対象人物のうち、特定された時間帯において所定エリアに滞在している可能性が高い対象人物を、特定された動線に対応する対象人物と特定する。

　特許文献２には、１つのモニタリング画面により、所定の期間に亘る人物の活動状況と、ある瞬間での人物の活動状況とを同時にユーザが把握することができるようにする、と記載されている。特許文献１のシステムは、位置情報取得部と、統計情報取得部と、ヒートマップ画像生成部と、マスク画像生成部と、映像出力制御部と、を備える。位置情報取得部は、監視エリアの映像から人物を検出して、人物の位置情報を取得する。統計情報取得部は、人物の位置情報に対して時間的な統計処理を行って、人物の滞留状況に関する統計情報を統計処理の対象期間の設定にしたがって取得する。ヒートマップ画像生成部は、統計情報を可視化したヒートマップ画像を生成する。マスク画像生成部は、人物の位置情報に基づき、人物の画像領域に対応するマスク画像を所定の時刻ごとに生成する。映像出力制御部は、ヒートマップ画像およびマスク画像を背景画像上に重畳したモニタリング映像を所定の時刻ごとに生成して出力する。

特開２０１９－１４４９４１号公報 特開２０１６－０４８８３４号公報

　監視カメラを設置した主体（個人、団体等）は、監視カメラから得られる画像を使って防災、防犯に役立てる。監視カメラは、予め定められたエリアを撮影し、画像データ（映像データ）を取得する。ここで、監視カメラから撮影される利用者は、不特定多数の個人を含む画像データ（映像データ）の収集を行う組織等に対し、自身のプライバシーが保護されていないと感じることがある。

　本発明は、被撮影者のプライバシーを適切に保護することに寄与する、システム、サーバ装置、サーバ装置の制御方法及び記憶媒体を提供することを主たる目的とする。

　本発明の第１の視点によれば、所定エリアを撮影する、カメラ装置と、利用者が所持する、端末と、前記カメラ装置が撮影した画像データと前記画像データの取得日時を対応付けて記憶する、サーバ装置と、を含み、前記端末は、前記カメラ装置と通信可能になると、前記利用者に関する利用者情報を含む利用者情報通知を前記カメラ装置に送信し、前記カメラ装置は、前記利用者情報通知の受信に応じて前記所定エリアを撮影することで得られる第１の画像データと前記利用者情報を前記サーバ装置に送信し、前記サーバ装置は、前記第１の画像データに前記利用者に対応する利用者領域が含まれている場合、前記利用者領域に対して前記利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成し、前記生成された第２の画像データを記憶する、システムが提供される。

　本発明の第２の視点によれば、所定エリアを撮影可能であって、利用者が所持する端末と通信可能となると、前記利用者に関する利用者情報を含む利用者情報通知を前記端末から受信するカメラ装置が撮影した画像データと、前記画像データの取得日時を対応付けて記憶する、記憶部と、前記カメラ装置が前記利用者情報通知の受信に応じて前記所定エリアを撮影することで得られる第１の画像データと前記利用者情報を前記カメラ装置から受信する、受信部と、前記第１の画像データに前記利用者に対応する利用者領域が含まれている場合、前記利用者領域に対して前記利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成し、前記生成された第２の画像データを記憶する、画像データ制御部と、を備える、サーバ装置が提供される。

　本発明の第３の視点によれば、サーバ装置において、所定エリアを撮影可能であって、利用者が所持する端末と通信可能となると、前記利用者に関する利用者情報を含む利用者情報通知を前記端末から受信するカメラ装置が撮影した画像データと、前記画像データの取得日時を対応付けて記憶し、前記カメラ装置が前記利用者情報通知の受信に応じて前記所定エリアを撮影することで得られる第１の画像データと前記利用者情報を前記カメラ装置から受信し、前記第１の画像データに前記利用者に対応する利用者領域が含まれている場合、前記利用者領域に対して前記利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成し、前記生成された第２の画像データを記憶する、サーバ装置の制御方法が提供される。

　本発明の第４の視点によれば、サーバ装置に搭載されたコンピュータに、所定エリアを撮影可能であって、利用者が所持する端末と通信可能となると、前記利用者に関する利用者情報を含む利用者情報通知を前記端末から受信するカメラ装置が撮影した画像データと、前記画像データの取得日時を対応付けて記憶する処理と、前記カメラ装置が前記利用者情報通知の受信に応じて前記所定エリアを撮影することで得られる第１の画像データと前記利用者情報を前記カメラ装置から受信する処理と、前記第１の画像データに前記利用者に対応する利用者領域が含まれている場合、前記利用者領域に対して前記利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成し、前記生成された第２の画像データを記憶する処理と、を実行させるためのプログラムを記憶する、コンピュータ読取可能な記憶媒体が提供される。

　本発明の各視点によれば、被撮影者のプライバシーを適切に保護することに寄与する、システム、サーバ装置、サーバ装置の制御方法及び記憶媒体が提供される。なお、本発明の効果は上記に限定されない。本発明により、当該効果の代わりに、又は当該効果と共に、他の効果が奏されてもよい。

図１は、一実施形態の概要を説明するための図である。 図２は、一実施形態の動作概略を説明するためのフローチャートである。 図３は、第１の実施形態に係る情報処理システムの概略構成の一例を示す図である。 図４は、第１の実施形態に係る情報処理システムの動作を説明するための図である。 図５は、第１の実施形態に係る情報処理システムの動作を説明するための図である。 図６は、第１の実施形態に係る情報処理システムの動作を説明するための図である。 図７Ａ乃至図７Ｃは、第１の実施形態に係る情報処理システムの動作を説明するための図である。 図８は、第１の実施形態に係る端末の処理構成の一例を示す図である。 図９は、第１の実施形態に係る端末の表示の一例を示す図である。 図１０は、第１の実施形態に係るカメラ装置の処理構成の一例を示す図である。 図１１は、第１の実施形態に係るサーバ装置の処理構成の一例を示す図である。 図１２は、第１の実施形態に係る画像データ制御部の動作の一例を示すフローチャートである。 図１３は、第１の実施形態に係る画像情報データベースの一例を示す図である。 図１４Ａ及び図１４Ｂは、第１の実施形態に係る画像データ制御部の動作を説明するための図である。 図１５は、第１の実施形態に係る情報処理システムの動作の一例を示すシーケンス図である。 図１６は、第２の実施形態に係る情報処理システムの概略構成の一例を示す図である。 図１７は、第２の実施形態に係る情報処理システムの動作を説明するための図である。 図１８は、第２の実施形態に係る情報処理システムの動作を説明するための図である。 図１９は、第２の実施形態に係る情報処理システムの動作を説明するための図である。 図２０は、第２の実施形態に係る情報処理システムの動作を説明するための図である。 図２１は、第２の実施形態に係る端末の処理構成の一例を示す図である。 図２２は、第２の実施形態に係る管理者端末の処理構成の一例を示す図である。 図２３は、第２の実施形態に係る管理者端末の表示の一例を示す図である。 図２４は、第２の実施形態に係るサーバ装置の処理構成の一例を示す図である。 図２５は、第２の実施形態に係る管理サーバの処理構成の一例を示す図である。 図２６は、第２の実施形態に係る利用者情報データベースの一例を示す図である。 図２７は、本願開示に係るサーバ装置のハードウェア構成の一例を示す図である。 図２８Ａ及び図２８Ｂは、本願開示の変形例に係る情報処理システムの動作を説明するための図である。 図２９は、本願開示の変形例に係る情報処理システムの動作を説明するための図である。

　はじめに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。また、特段の釈明がない場合には、各図面に記載されたブロックはハードウェア単位の構成ではなく、機能単位の構成を表す。各図におけるブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。なお、本明細書及び図面において、同様に説明されることが可能な要素については、同一の符号を付することにより重複説明が省略され得る。

　一実施形態に係るシステムは、所定エリアを撮影する、カメラ装置１０１と、利用者が所持する、端末１０２と、カメラ装置１０１が撮影した画像データと画像データの取得日時を対応付けて記憶する、サーバ装置１０３と、を含む（図１参照）。

　図２は、一実施形態に係るシステムの動作概略を説明するためのフローチャートである。端末１０２は、カメラ装置１０１と通信可能になると、利用者に関する利用者情報を含む利用者情報通知をカメラ装置１０１に送信する（ステップＳ１）。カメラ装置１０１は、利用者情報通知の受信に応じて所定エリアを撮影することで得られる第１の画像データと利用者情報をサーバ装置１０３に送信する（ステップＳ２）。サーバ装置１０３は、第１の画像データに利用者に対応する利用者領域が含まれている場合、当該利用者領域に対して利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成する（ステップＳ３）。サーバ装置１０３は、当該生成された第２の画像データを記憶する（ステップＳ４）。

　上記システムでは、端末１０２は、利用者の情報（利用者情報；例えば、性別、年代等）をカメラ装置１０１に提供する。利用者情報を提供した利用者がカメラ装置１０１により撮影されると、当該利用者の利用者領域（利用者が撮像されることで生成される画像データ内の領域；利用者が写った領域）に対してプライバシー保護処理が施される。具体的には、画像データに写る利用者が判別不能（特定不能）となるように、利用者領域にモザイクがかけられたり塗りつぶされたりする。このように、利用者情報を提供することに応じて、被撮影者の画像はマスク（隠蔽）されるので、当該被撮影者のプライバシーは適切に保護される。利用者情報（例えば、性別や年代）を提供することと引き換えに、利用者の画像がマスクされるので、不特定多数の個人を含む画像データ（映像データ）の収集を行う組織に対する利用者の不安は低減する。

　以下に具体的な実施形態について、図面を参照してさらに詳しく説明する。

［第１の実施形態］
　第１の実施形態について、図面を用いてより詳細に説明する。

［システムの構成］
　図３は、第１の実施形態に係る情報処理システム（映像解析システム）の概略構成の一例を示す図である。図３に示すように、情報処理システムには、サーバ装置１０と、複数のカメラ装置２０－１及び２０－２と、が含まれる。

　以降の説明において、カメラ装置２０－１及び２０－２を区別する特段の理由がない場合には単に「カメラ装置２０」と表記する。

　図３に示すように、利用者は、端末３０を所持している。例えば、端末３０は、スマートフォンやタブレット等のモバイル端末である。

　サーバ装置１０と各カメラ装置２０は、有線又は無線の通信手段により接続され、相互に通信が可能となるように構成されている。また、利用者が所持する端末３０は、モバイル回線等によりネットワーク上のサーバ等と通信可能に構成されている。さらに、端末３０は、Ｂｌｕｅｔｏｏｔｈ（登録商標）のような近接無線通信手段によりカメラ装置２０と通信可能に構成されている。

　カメラ装置２０は、防犯目的、災害対策、事故対策等のため駅や空港等の公共エリアや、企業等の建物内、敷地内等に設置される。カメラ装置２０は、予め定められた所定エリアを撮影する。例えば、カメラ装置２０－１は、撮影エリアＡ１を撮影する。カメラ装置２０－２は、撮影エリアＡ２を撮影する。

　カメラ装置２０は、定期的又は所定のタイミングで画像データをサーバ装置１０に送信する。その際、カメラ装置２０は、画像データと共にカメラＩＤをサーバ装置１０に送信する。なお、カメラＩＤは、情報処理システムに含まれるカメラ装置２０を識別するためのＩＤである。カメラＩＤには、カメラ装置２０のＭＡＣ（Media Access Control）アドレスやＩＰ（Internet Protocol）アドレスを用いることができる。

　サーバ装置１０は、カメラ装置２０から受信した画像データに関する制御を行う装置である。サーバ装置１０は、各カメラ装置２０から受信した画像データを記憶する。より具体的には、サーバ装置１０は、カメラ装置２０が撮影した画像データと当該画像データの取得日時を対応付けて記憶する。

　さらに、サーバ装置１０は、必要に応じて、カメラ装置２０により撮影された利用者のプライバシーを保護するための処理（以下、プライバシー保護処理と表記する）を実行する。プライバシー保護処理の詳細は後述する。

　なお、図３に示す情報処理システムの構成は例示であって、その構成を限定する趣旨ではない。例えば、情報処理システムには複数のサーバ装置１０が含まれていてもよい。また、図３には２台のカメラ装置２０を図示しているが、カメラ装置２０の台数を限定する趣旨ではない。情報処理システムには、少なくとも１以上のカメラ装置２０が含まれていればよい。

［動作概略］
　続いて、第１の実施形態に係る情報処理システムの動作概略について説明する。

＜属性情報の登録＞
　カメラ装置２０が撮影した画像に顔や身体が写ることに抵抗を覚える利用者は、自身のプライバシーを保護するための事前設定を行う。具体的には、利用者は、端末３０にインストールされたプライバシーマスクアプリケーション（以下、単にアプリケーション又はアプリと表記することもある）を用いて属性情報を端末３０に登録する。

　具体的には、利用者は、端末３０を操作して自身の生体情報（例えば、顔画像）を取得する。例えば、利用者は、所謂、自撮りにより顔画像を取得する。また、利用者は、端末３０を操作して、生体情報が記載された身元確認書類（例えば、運転免許証やパスポート等）を撮影する。

　端末３０（プライバシーマスクアプリケーション）は、利用者の生体情報と身元確認書類に記載された生体情報を用いた認証処理を行う。例えば、端末３０は、自撮りにより取得された顔画像とパスポートに記載された顔画像を用いた１対１認証を行う。

　端末３０は、認証に成功すると、利用者の属性を示す情報（属性情報；人物アノテーション、例えば、性別や年代又はその組み合わせ、又は、国籍）を身元確認書類から取得する。例えば、端末３０は、「４０代男性」や「３０代女性」といった属性情報を身元確認書類から取得する。

　属性情報の生成に成功すると、端末３０は、利用者を識別するための利用者ＩＤを生成する。端末３０は、利用者ＩＤと属性情報を記憶する。

　図４に示すように、各カメラ装置２０は、予め定められた撮影エリアを撮影する。例えば、カメラ装置２０は、１秒間に数回撮影エリアを撮影する。カメラ装置２０は、撮影エリアを撮影するたびに得られる画像データをサーバ装置１０に送信する。その際、カメラ装置２０は、自装置のカメラＩＤと画像データを含む「画像データ記憶要求」をサーバ装置１０に送信する。

　このように、カメラ装置２０は、リアルタイムに画像データをサーバ装置１０に送信する。サーバ装置１０は、カメラ装置２０ごと（カメラＩＤごと）に画像データを記憶する。なお、カメラ装置２０は、リアルタイムに画像データをサーバ装置１０に送信せず、２以上の画像データをまとめてサーバ装置１０に送信してもよい。例えば、カメラ装置２０は、所定間隔（例えば、１０秒ごとに）複数の画像データをまとめてサーバ装置１０に送信してもよい。

　ここで、自身のプライバシーを適切に保護したい利用者は、端末３０を所持して外出する。その際、利用者は、端末３０のプライバシーマスクアプリケーションを起動しておく。

　端末３０は、カメラ装置２０と通信可能になると、利用者（端末３０の所持者）に関する情報を含む「利用者情報通知」をカメラ装置２０に送信する。より具体的には、端末３０は、Ｂｌｕｅｔｏｏｔｈ（登録商標）のような近距離無線通信によりカメラ装置２０と通信可能になると、「利用者情報通知」を定期的又は所定のタイミングで当該カメラ装置２０に送信する（図５参照）。

　利用者情報通知には、端末３０を所持する利用者の利用者ＩＤ、属性情報、日時情報（現在時刻）及び端末３０の位置情報（端末位置）が含まれる。以降の説明において、利用者情報通知に含まれる情報（利用者ＩＤ、属性情報、日時情報及び端末位置）を「利用者情報」と表記する。

　利用者情報通知を受信するとカメラ装置２０は、撮影エリアを撮影することで画像データを取得する。カメラ装置２０は、撮影により得られる画像データをサーバ装置１０に送信する。より具体的には、カメラ装置２０は、カメラＩＤ、画像データ及び端末３０から受信した利用者情報を含む画像データ記憶要求をサーバ装置１０に送信する。

　このように、カメラ装置２０は、端末３０からの利用者情報通知の受信に応じて所定エリアを撮影することで得られる第１の画像データと端末３０から取得した利用者情報をサーバ装置１０に送信する。

　サーバ装置１０は、利用者情報通知に対応する利用者が画像データに含まれる場合（利用者がカメラ装置２０により撮影された場合）には、当該画像内における利用者の位置（利用者位置）を特定する。サーバ装置１０は、端末３０から送信された利用者情報通知に含まれる端末位置に基づき、利用者の位置（画像データ内の位置）を特定する。

　なお、以降の説明において、緯度経度で示される座標系（緯度経度座標系）を「実座標系」と表記する。また、画像データ内の座標系（画像データの中心や左下を原点とする座標系）を「画像座標系」と表記する。端末３０は、実座標系の端末位置（Ｘ、Ｙ）をカメラ装置２０に送信する。サーバ装置１０は、画像座標を用いてプライバシー保護の対象となる利用者の利用者位置（Ｐ、Ｑ）を特定する。即ち、端末３０は、利用者の実座標系における位置情報（座標情報）をカメラ装置２０に送信し、サーバ装置１０はプライバシー保護の対象となる利用者の位置を画像座標系の位置情報（座標情報）で管理する。

　例えば、図６に示す人物４１と人物４２がカメラ装置２０の撮影エリアを移動する場合を考える。人物４１は、時刻ｔ１～時刻ｔ３の間に端末位置（Ｘ１１、Ｙ１１）、（Ｘ１２、Ｙ１２）、（Ｘ１３、Ｙ１３）を通過して移動する。同様に、人物４２は、時刻ｔ１～時刻ｔ３の間に端末位置（Ｘ２１、Ｙ２１）、（Ｘ２２、Ｙ２２）、（Ｘ２３、Ｙ２３）を通過して移動する。

　ここで、人物４１は端末３０を所持している利用者である。端末３０は、時刻ｔ１、ｔ２、ｔ３のそれぞれにおいて、上記３つの端末位置を含む利用者情報通知をカメラ装置２０に送信する。即ち、人物４１は自身のプライバシー保護を希望する利用者であって、当該人物４１が所持する端末３０は、カメラ装置２０に利用者情報通知を送信する。対して、人物４２は端末３０を所持していない。従って、人物４２に関する利用者情報通知がカメラ装置２０に送信されることはない。

　サーバ装置１０は、利用者情報通知を送信する端末３０の所持者である人物４１の利用者位置（画像データ内の位置）を特定する。図６の例では、サーバ装置１０は、時刻ｔ１～ｔ３のそれぞれにおいて、画像座標系における人物４１の位置を特定する。

　利用者の位置が特定されると、サーバ装置１０は、当該利用者のプライバシーを保護するためのプライバシー保護処理を実行する。具体的には、サーバ装置１０は、画像データに含まれる利用者の領域（以下、利用者領域と表記する）に対し画像処理を施すことで利用者を特定不能にする。例えば、サーバ装置１０は、利用者領域にモザイクを施したり、利用者領域を塗りつぶしたりすることで当該利用者領域をマスク（隠蔽）する。

　なお、利用者領域は、利用者の顔や身体等に相当する画素（顔等が撮像された画素）からなる領域である。即ち、利用者領域は、画像データのうち利用者の身体の全部又は一部が写る領域である。

　図６の例では、サーバ装置１０は、図７Ａ乃至図７Ｃに示すような画像データを生成する。図７Ａは、時刻ｔ１に撮影され、プライバシー保護処理が施された画像データの一例を示す。図７Ｂは、時刻ｔ２に撮影され、プライバシー保護処理が施された画像データの一例を示す。図７Ｃは、時刻ｔ３に撮影され、プライバシー保護処理が施された画像データの一例を示す。

　図７Ａ乃至図７Ｃに示すように、端末３０から利用者情報通知がカメラ装置２０に送信された人物４１の利用者領域にはモザイクが施され、利用者情報通知が送信されていない人物４２はそのまま画像データに写っている。

　サーバ装置１０は、利用者領域にプライバシー保護処理が施された画像データと、プライバシーが保護された利用者の情報と、を対応付けて記憶する。具体的には、サーバ装置１０は、画像データを識別するための画像ＩＤ、画像データが取得された日時、プライバシーが保護された利用者の利用者ＩＤ、利用者位置及び属性情報を対応付けて記憶する。

　例えば、図７Ａの例では、サーバ装置１０は、画像ＩＤ＝ｐＩＤ０１、時刻ｔ１、利用者ＩＤ＝ｕＩＤ０１、利用者位置（Ｐ１、Ｑ１）、２０代女性といった情報を対応付けて記憶する。

　このように、サーバ装置１０は、第１の画像データ（カメラ装置２０が撮影したオリジナルの画像データ）に利用者に対応する利用者領域が含まれている場合、当該利用者領域に対して当該利用者のプライバシーを保護するためのプライバシー保護処理を施す。サーバ装置１０は、プライバシー保護処理を施すことで第２の画像データ（利用者のプライバシーが保護された画像データ）を生成し、当該生成された第２の画像データを記憶する。

　続いて、第１の実施形態に係る情報処理システムに含まれる各装置の詳細について説明する。

［端末］
　端末３０には、スマートフォン、携帯電話機、ゲーム機、タブレット等の携帯端末装置が例示される。端末３０は、利用者の操作を受け付け、サーバ装置１０やカメラ装置２０と通信可能であれば任意の機器、デバイスとすることができる。

　図８は、第１の実施形態に係る端末３０の処理構成（処理モジュール）の一例を示す図である。図８を参照すると、端末３０は、通信制御部２０１と、属性情報生成部２０２と、利用者情報通知部２０３と、記憶部２０４と、を備える。

　利用者のプライバシー保護に関する機能は、端末３０にインストールされたプライバシーマスクアプリケーションにより実現される。即ち、属性情報生成部２０２、利用者情報通知部２０３等は当該アプリケーションにより実現される。

　通信制御部２０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部２０１は、ネットワーク上のサーバからデータ（パケット）を受信する。また、通信制御部２０１は、サーバに向けてデータを送信する。通信制御部２０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部２０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部２０１を介して他の装置とデータの送受信を行う。通信制御部２０１は、他の装置からデータを受信する受信部としての機能と、他の装置に向けてデータを送信する送信部としての機能と、を備える。

　また、通信制御部２０１は、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の近距離無線通信に対応しており、当該近接無線通信によりカメラ装置２０と通信する。通信制御部２０１は、カメラ装置２０と接続が完了すると、その旨を利用者情報通知部２０３に通知する。なお、端末３０とカメラ装置２０がＢｌｕｅｔｏｏｔｈ（登録商標）により通信する場合に必要なペアリング処理は事前に完了しているものとする。

　属性情報生成部２０２は、利用者の属性情報を生成する手段である。属性情報生成部２０２は、利用者の操作に応じて、当該利用者の生体情報（例えば、顔画像）、身元確認書類のコピー（身元確認書類を撮影して得られる画像データ）を取得する。

　属性情報生成部２０２は、図９に示すようなＧＵＩ（Graphical User Interface）を用いて利用者の生体情報及び身元確認書類のコピーを取得する。図９において、利用者は、端末３０に写る自身の顔を視認しつつ、適切なタイミングで「撮影」ボタンを押下する。属性情報生成部２０２は、当該ボタンの押下に応じて利用者の顔領域を含む画像を取得する。

　属性情報生成部２０２は、取得した画像から顔画像を抽出する。なお、属性情報生成部２０２による顔画像の検出処理や顔画像の抽出処理には既存の技術を用いることができるので詳細な説明を省略する。例えば、属性情報生成部２０２は、ＣＮＮ（Convolutional Neural Network）により学習された学習モデルを用いて、画像データの中から顔画像（顔領域）を抽出してもよい。あるいは、属性情報生成部２０２は、テンプレートマッチング等の手法を用いて顔画像を抽出してもよい。

　さらに、属性情報生成部２０２は、身元確認書類に記載された顔画像を取得する（身元確認書類から顔画像を抽出する）。

　属性情報生成部２０２は、２つの顔画像（自撮りにより取得された顔画像、身元確認書類から抽出された顔画像）を用いた認証処理（１対１認証）を実行する。具体的には、属性情報生成部２０２は、２つの顔画像それぞれから特徴量を生成する。

　なお、特徴量の生成処理に関しては既存の技術を用いることができるので、その詳細な説明を省略する。例えば、属性情報生成部２０２は、顔画像から目、鼻、口等を特徴点として抽出する。その後、属性情報生成部２０２は、特徴点それぞれの位置や各特徴点間の距離を特徴量として計算し、複数の特徴量からなる特徴ベクトル（顔画像を特徴づけるベクトル情報）を生成する。

　属性情報生成部２０２は、上記生成された２つの特徴量の間の類似度を計算する。当該類似度には、カイ二乗距離やユークリッド距離等を用いることができる。なお、距離が離れているほど類似度は低く、距離が近いほど類似度が高い。

　類似度が所定の値以上であれば、属性情報生成部２０２は、本人確認（認証）に成功したと判定する。類似度が所定の値より小さければ、属性情報生成部２０２は、本人確認に失敗したと判定する。

　本人確認に成功すると、属性情報生成部２０２は、身元確認書類から属性情報（性別、生年月日等）を読み出す。具体的には、属性情報生成部２０２は、ＯＣＲ（Optical Character Recognition）技術により身元確認書類から性別、生年月日等を読み出す。属性情報生成部２０２は、生年月日から利用者の年代を算出する。

　その後、属性情報生成部２０２は、利用者を識別するための利用者ＩＤを生成する。利用者ＩＤは、利用者を一意に識別できる情報であればどのような情報であってもよい。例えば、属性情報生成部２０２は、身元確認書類から得られるパスポート番号等を利用者ＩＤとしてもよいし、パスポート番号等から生成されたハッシュ値を利用者ＩＤとしてもよい。

　属性情報生成部２０２は、利用者ＩＤ及び属性情報（人物アノテーション；例えば、性別、年代又はその組み合わせ）を記憶部２０４に記憶する。

　このように、属性情報生成部２０２は、利用者の第１の生体情報と、利用者の身元確認書類に記載された第２の生体情報と、を用いた１対１認証に成功した場合に、身元確認書類から属性情報を取得する。なお、属性情報生成部２０２が１対１認証に成功した場合に、利用者情報通知の送信が可能となる。即ち、利用者の属性情報が取得された後でなければ、利用者のプライバシー保護は行われない。

　利用者情報通知部２０３は、利用者の利用者情報（利用者ＩＤ、属性情報、日時情報及び端末位置）をカメラ装置２０に通知する手段である。

　利用者情報通知部２０３は、端末３０とカメラ装置２０が接続されると、記憶部２０４に格納されている利用者ＩＤと属性情報を読み出す。

　また、利用者情報通知部２０３は、自装置の位置情報を生成する。具体的には、利用者情報通知部２０３は、ＧＰＳ（Global Positioning System）衛星からのＧＰＳ信号を受信して測位を実行し、端末３０の緯度及び経度を含む位置情報（端末位置）を生成する。あるいは、利用者情報通知部２０３は、無線アクセスポイントから受信する電波の強度に基づき位置情報を生成してもよい。

　利用者情報通知部２０３は、利用者ＩＤ、属性情報、日時情報（現在時刻）及び端末位置を含む利用者情報通知をカメラ装置２０に送信する。なお、利用者情報通知部２０３は、必要に応じて、日時情報（現在時刻）をカメラ装置２０に送信しなくてもよい。

　利用者情報通知部２０３は、同じカメラ装置２０と通信をしている間は、定期的又は所定のタイミングで上記利用者情報通知をカメラ装置２０に送信する。例えば、利用者情報通知部２０３は、１秒ごとに利用者情報通知をカメラ装置２０に送信する。

　記憶部２０４は、端末３０の動作に必要な情報を記憶する手段である。例えば、記憶部２０４は、利用者ＩＤ及び属性情報等を記憶する。

［カメラ装置］
　カメラ装置２０は、予め定められた撮影エリアを撮影する撮影装置（撮像装置）である。

　図１０は、第１の実施形態に係るカメラ装置２０の処理構成（処理モジュール）の一例を示す図である。図１０を参照すると、カメラ装置２０は、通信制御部３０１と、利用者情報制御部３０２と、記憶部３０３と、を備える。

　通信制御部３０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部３０１は、サーバ装置１０からデータ（パケット）を受信する。また、通信制御部３０１は、サーバ装置１０に向けてデータを送信する。通信制御部３０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部３０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部３０１を介して他の装置とデータの送受信を行う。通信制御部３０１は、他の装置からデータを受信する受信部としての機能と、他の装置に向けてデータを送信する送信部としての機能と、を備える。

　また、通信制御部３０１は、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の近距離無線通信に対応しており、当該近接無線通信により端末３０と通信する。なお、端末３０とカメラ装置２０がＢｌｕｅｔｏｏｔｈ（登録商標）により通信する場合に必要なペアリング処理は事前に完了しているものとする。

　利用者情報制御部３０２は、端末３０から取得する利用者情報通知に関する制御を行う手段である。利用者情報制御部３０２は、端末３０から利用者情報通知を受信する。利用者情報制御部３０２は、利用者情報通知を受信すると、カメラモジュール（レンズ、撮像素子等からなるモジュール）を制御し、撮影エリアを撮影する。即ち、利用者情報通知の受信に応じて、利用者情報制御部３０２は、カメラモジュールに対し撮影エリアを撮影するように指示する。

　利用者情報制御部３０２は、カメラＩＤ、取得した画像データ及び利用者情報通知に含まれる利用者情報（利用者ＩＤ、属性情報、端末位置等）をサーバ装置１０に通知する。具体的には、利用者情報制御部３０２は、カメラＩＤ、取得した画像データ及び利用者情報を含む「画像データ記憶要求」をサーバ装置１０に送信する。

　なお、カメラモジュールは、利用者情報制御部３０２からの指示がなければ、定期的（例えば、１秒間に数回）に撮影エリアを撮影する。カメラ装置２０は、カメラＩＤと共に取得した画像データを定期的にサーバ装置１０に向けて送信する。カメラ装置２０は、カメラＩＤ及び画像データを含む画像データ記憶要求をサーバ装置１０に送信する。

　記憶部３０３は、カメラ装置２０の動作に必要な情報を記憶する手段である。

［サーバ装置］
　図１１は、第１の実施形態に係るサーバ装置１０の処理構成（処理モジュール）の一例を示す図である。図１１を参照すると、サーバ装置１０は、通信制御部４０１と、画像データ制御部４０２と、記憶部４０３と、を備える。

　通信制御部４０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部４０１は、カメラ装置２０からデータ（パケット）を受信する。また、通信制御部４０１は、カメラ装置２０に向けてデータを送信する。通信制御部４０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部４０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部４０１を介して他の装置とデータの送受信を行う。通信制御部４０１は、他の装置からデータを受信する受信部としての機能と、他の装置に向けてデータを送信する送信部としての機能と、を備える。

　画像データ制御部４０２は、カメラ装置２０から取得する画像データに関する制御を行う手段である。図１２は、第１の実施形態に係る画像データ制御部４０２の動作の一例を示すフローチャートである。図１２を参照しつつ、画像データ制御部４０２の動作を説明する。

　画像データ制御部４０２は、カメラ装置２０から「画像データ記憶要求」を受信する。画像データ制御部４０２は、画像データ記憶要求に含まれるカメラＩＤに基づいて、画像データ（画像データ記憶要求）の送信元を特定する（ステップＳ１０１）。

　画像データ制御部４０２は、画像データ記憶要求に利用者情報が含まれるか否か判定する（ステップＳ１０２）。画像データ記憶要求に利用者情報が含まれていなければ（ステップＳ１０２、Ｎｏ分岐）、画像データ制御部４０２は、画像データを記憶部４０３に記憶する（ステップＳ１０３）。

　具体的には、画像データ制御部４０２は、取得した画像データに対応する画像ＩＤを生成する。さらに、画像データ制御部４０２は、画像ＩＤ、画像データの取得日時（現在時刻）、画像データの格納場所（格納アドレス）を画像情報データベースに登録する（図１３参照）。

　画像情報データベースは、カメラ装置２０から取得した画像データに関する情報を記憶するデータベースである。なお、図１３に示す画像情報データベースは例示であって、記憶する項目等を限定する趣旨ではない。例えば、カメラＩＤから導出されるカメラ装置２０の設置場所等が画像情報データベースに記憶されてもよい。また、画像情報データベースはカメラ装置２０ごとに用意されてもよいし、１つの画像情報データベースにより複数のカメラ装置２０それぞれから取得した画像データに関する情報が記憶されてもよい。

　画像データ制御部４０２は、画像データ記憶要求に利用者情報が含まれていれば（ステップＳ１０２、Ｙｅｓ分岐）、当該利用者情報に対応する利用者の利用者領域が画像データに含まれるか否か判定する（ステップＳ１０４）。即ち、画像データ制御部４０２は、利用者情報通知を送信した端末３０の所持者がカメラ装置２０により撮影されているか否か判定する。

　具体的には、画像データ制御部４０２は、利用者情報に含まれる位置情報（端末３０の位置情報；端末位置）に基づいて、当該端末３０の所持者に関する利用者領域が画像データに含まれるか否か判定する。

　ここで、カメラ装置２０が撮影可能なエリアは予め決まっており、実座標系（緯度、経度）のうち画像として撮影される範囲もまた予め定まる。そこで、システム管理者は、カメラ装置２０ごと（カメラＩＤごと）に、画像として撮影される撮影エリアの座標範囲（実座標系の範囲）を予めサーバ装置１０に登録する。

　画像データ制御部４０２は、カメラ装置２０が撮影エリアを撮影することで得られる画像データに対応する座標範囲に利用者情報の端末位置（端末３０の現在位置）が含まれるか否かを判定し、利用者領域が画像データに含まれるか否か判定する。

　即ち、端末３０とカメラ装置２０がＢｌｕｅｔｏｏｔｈ（登録商標）等により通信可能な状況となり利用者情報通知がカメラ装置２０に送信された際、カメラ装置２０の撮影エリアに利用者が到達しているか否か判定される。

　利用者領域が画像データに含まれていなければ（ステップＳ１０４、Ｎｏ分岐）、画像データ制御部４０２は、通常の画像データと同様に取得した画像データを記憶部４０３に記憶する（ステップＳ１０３）。

　利用者領域が画像データに含まれていれば（ステップＳ１０４、Ｙｅｓ分岐）、画像データ制御部４０２は、画像データ内の利用者領域を特定する（ステップＳ１０５）。具体的には、画像データ制御部４０２は、端末３０の位置情報（Ｘ、Ｙ）を画像座標系の利用者位置（Ｐ、Ｑ）に変換する。画像データ制御部４０２は、システム管理者等が予めサーバ装置１０に入力した座標変換テーブル等を用いて上記変換を行う。

　画像データ制御部４０２は、画像座標系の利用者位置（Ｐ、Ｑ）を中心とした所定範囲の画像領域を抽出する。画像データ制御部４０２は、当該抽出された画像領域を学習モデルに入力し、人物が写る利用者領域を特定する。

　なお、画像データ制御部４０２が用いる学習モデルは、画像にラベル（利用者領域の明示）が付与された教師データを用いた機械学習により生成される。学習モデルの生成には、サポートベクタマシン、ブースティングやニューラルネットワーク等の任意のアルゴリズムを用いることができる。なお、上記サポートベクタマシン等のアルゴリズムは公知の技術を使用することができるので、その説明を省略する。

　例えば、図１４Ａに示すように、画像データ制御部４０２は、端末３０の端末位置（Ｘ、Ｙ）から当該端末３０を所持する利用者の利用者位置（Ｐ、Ｑ）を特定する。その後、画像データ制御部４０２は、図１４Ｂに点線で示す画像領域を学習モデルに入力することで、点線で示される利用者領域を特定する。

　画像データ制御部４０２は、特定された利用者領域に対して、利用者のプライバシーを保護するための画像処理を施す（プライバシー保護処理実行；ステップＳ１０６）。

　例えば、画像データ制御部４０２は、利用者領域にモザイクをかける、利用者領域を塗りつぶす等のプライバシー保護処理を実行する。

　画像データ制御部４０２は、プライバシー保護処理後の画像データを記憶部４０３に記憶する（ステップＳ１０７）。その際、画像データ制御部４０２は、画像データの画像ＩＤ、取得日時、画像データの格納場所に加え、プライバシーが保護された利用者に関する情報（利用者ＩＤ、利用者位置、属性情報）を画像情報データベースに登録する。

　記憶部４０３は、サーバ装置１０の動作に必要な情報を記憶する手段である。画像情報データベースは、記憶部４０３に構築される。記憶部４０３は、少なくとも、第２の画像データ（プライバシー保護処理後の画像データ）と、プライバシーが保護された利用者の利用者位置と、属性情報と、を対応付けて記憶する。さらに、記憶部４０３は、第２の画像データ、利用者位置、属性情報及び利用者ＩＤを対応付けて記憶する。記憶部４０３は、画像ＩＤを介して、画像データと他の情報（利用者位置等）を対応付けて記憶する。

［システムの動作］
　続いて、第１の実施形態に係る情報処理システムの動作について説明する。

　図１５は、第１の実施形態に係る情報処理システムの動作の一例を示すシーケンス図である。図１５を参照し、利用者のプライバシー保護に関する情報処理システムの動作を説明する。

　利用者がカメラ装置２０に近づくと、端末３０は、当該利用者に関する利用者情報通知をカメラ装置２０に送信する（ステップＳ０１）。

　カメラ装置２０は、当該利用者情報通知の受信に応じて、撮影エリアを撮影し画像データを取得する（ステップＳ０２）。

　カメラ装置２０は、取得した画像データ及び利用者情報等を含む画像データ記憶要求をサーバ装置１０に送信する（ステップＳ０３）。

　サーバ装置１０は、画像データのなかから利用者（プライバシー保護を希望する利用者）が写る利用者領域を特定する（ステップＳ０４）。サーバ装置１０は、利用者情報に含まれる、端末３０の緯度経度座標系で示される端末位置に基づいて、画像データにおける利用者領域を特定する。

　サーバ装置１０は、特定した利用者領域に対してプライバシー保護処理を実行する（ステップＳ０５）。例えば、プライバシー保護処理は、利用者領域にモザイクをかける、又は、塗りつぶす処理である。

　以上のように、第１の実施形態に係る情報処理システムにおいて、端末３０は、利用者に関する情報（利用者情報、例えば、属性情報）を、カメラ装置２０を介してサーバ装置１０に提供する。サーバ装置１０は、属性情報を提供する利用者がカメラ装置２０により撮影されていると判定した場合、当該利用者のプライバシーを保護するための処理を実行する。具体的には、サーバ装置１０は、画像データに写る利用者が判別不能（特定不能）となるように、利用者領域にモザイクをかけたり塗りつぶしたりする（利用者領域にプライバシーマスクを付与する）。このように、利用者情報を提供することに応じて、被撮影者の画像はマスク（隠蔽）されるので、当該被撮影者のプライバシーは適切に保護される。また、カメラ装置２０の設置主体は、属性情報によりカメラ装置２０が撮影した利用者の概略（人物像）を把握することができる。即ち、防犯や防災目的には十分な画像データが得られるので、カメラ装置２０の設置主体の業務等に支障が生じることもない。

［第２の実施形態］
　続いて、第２の実施形態について図面を参照して詳細に説明する。

　第１の実施形態では、自身の属性（性別、年代等）をカメラ装置２０に通知する利用者の画像をマスク等することで当該利用者のプライバシーを保護することを説明した。即ち、このようなプライバシー保護処理が施された画像データ（静止画、動画）から当該利用者を特定することはできない。

　ここで、カメラ装置２０が撮影した画像は当該カメラ装置２０を設置した主体が利用するだけでなく、警察等の捜査機関により利用されることもある。しかし、プライバシー保護処理が施された画像からは利用者（被撮影者）を特定できず、捜査機関の犯罪捜査等に支障をきたす可能性がある。

　第２の実施形態では、捜査機関等が、プライバシーが保護された利用者の身元を特定可能とする場合について説明する。

　以下、第１の実施形態と第２の実施形態の相違点を中心に説明する。

　図１６は、第２の実施形態に係る情報処理システムの概略構成の一例を示す図である。図１６を参照すると、第１の実施形態に係る情報処理システムの構成に管理サーバ４０が追加されている。

　管理サーバ４０は、プライバシーの保護を希望する利用者の身元情報を管理するサーバである。管理サーバ４０は、利用者ＩＤと、利用者の身元に関する身元情報と、を対応付けて記憶する。管理サーバ４０は、警察等の公的機関や公的機関から委託を受けた企業等により運営、管理される。より具体的には、管理サーバ４０は、カメラ装置２０の設置主体等とは異なる機関、団体等により運営、管理される。

　利用者の端末３０（プライバシーマスクアプリケーション）は、利用者の属性情報を取得した際、当該利用者の利用者ＩＤと身元情報（例えば、氏名、性別、年齢、住所等）を管理サーバ４０に送信する。より具体的には、端末３０は、利用者ＩＤと身元情報を含む身元情報登録要求を管理サーバ４０に送信する（図１７参照）。

　事件等の捜査過程において、捜査機関は、カメラ装置２０の設置主体（以下、カメラ管理者と表記する）に対しカメラ装置２０が撮影した画像データ（静止画、動画）の提供を依頼する。具体的には、捜査官等は、カメラ装置２０と情報提供を要求する期間（開始日時、終了日時；以下、開示要求期間と表記する）を指定して画像データの閲覧をカメラ管理者に依頼する。

　依頼を受けたカメラ管理者（カメラ装置２０の設置主体）は、管理者端末５０を操作して、閲覧を要求されたカメラ装置２０のカメラＩＤと日時（時間帯）をサーバ装置１０に入力する。具体的には、管理者端末５０は、カメラＩＤと検索期間を含む「画像データ検索要求」をサーバ装置１０に送信する（図１８参照）。

　サーバ装置１０は、取得したカメラＩＤと検索期間（検索の開始日時、終了日時）に対応する画像データを記憶部４０３から読み出し、読み出した画像データを含む応答を管理者端末５０に送信する。その際、画像データにプライバシーが保護された利用者（モザイク等がかけられた利用者）が含まれている場合、サーバ装置１０は、当該利用者の利用者ＩＤと利用者位置も併せて管理者端末５０に通知する。

　例えば、サーバ装置１０は、画像ＩＤ、利用者ＩＤ及び利用者位置の組み合わせからなるリストを管理者端末５０に送信する。あるいは、サーバ装置１０は、利用者領域（プライバシー保護処理が適用された領域）に対応する利用者ＩＤが書き込まれた画像データを管理者端末５０に送信する。例えば、サーバ装置１０は、図１９に示すような画像データを管理者端末５０に送信する。

　カメラ管理者は、サーバ装置１０から取得した画像データ（例えば、図１９に示す少なくとも１以上の画像データ）を捜査機関に提供する。具体的には、カメラ管理者は、管理者端末５０を操作して、サーバ装置１０から取得した画像データをＵＳＢ（Universal Serial Bus）メモリ等の外部記憶装置に格納する。管理者等は、当該外部記憶装置を捜査機等に提出する。あるいは、カメラ管理者は、Ｅメール等の手段を用いて画像データを捜査機関に提供してもよい。

　捜査官等は、捜査機関端末６０を操作して、カメラ管理者から提供された画像データを視認（確認）する。捜査官等は、プライバシーが保護された利用者であって、身元を確認したい利用者を発見した場合には、当該利用者の利用者ＩＤを管理サーバ４０に入力する。具体的には、捜査機関端末６０は、利用者ＩＤを含む身元情報提供要求を管理サーバ４０に送信する（図２０参照）。

　管理サーバ４０は、取得した利用者ＩＤに対応する身元情報を含む応答を捜査機関端末６０に送信する。

　このように、サーバ装置１０は、第１の外部装置（管理者端末５０）から、記憶された画像データの検索に関する検索条件を取得する。サーバ装置１０は、検索条件に合致する画像データを抽出し、当該抽出された画像データを上記第１の外部装置に送信する。管理サーバ４０は、第２の外部装置（捜査機関端末６０）から、利用者ＩＤを含む身元情報提供要求を受信し、利用者ＩＤに対応する身元情報を上記第２の外部装置に送信する。

　続いて、第２の実施形態の情報処理システムに含まれる各装置の詳細について説明する。

［端末］
　図２１は、第２の実施形態に係る端末３０の処理構成（処理モジュール）の一例を示す図である。図２１を参照すると、第１の実施形態に係る端末３０の構成に身元情報提供部２０５が追加されている。

　身元情報提供部２０５は、利用者の身元情報（例えば、氏名、性別、生年月日、住所等）を管理サーバ４０に提供する手段である。身元情報提供部２０５は、利用者の身元確認書類（例えば、パスポート等）から身元情報を取得する。より具体的には、身元情報提供部２０５は、ＯＣＲ技術等を用いて身元確認書類から身元情報を読み取る。

　属性情報生成部２０２が利用者の利用者ＩＤを生成すると、身元情報提供部２０５は、当該利用者ＩＤと身元情報を含む身元情報登録要求を管理サーバ４０に送信する。

［管理者端末］
　図２２は、第２の実施形態に係る管理者端末５０の処理構成（処理モジュール）の一例を示す図である。図２２を参照すると、管理者端末５０は、通信制御部５０１と、検索要求部５０２と、記憶部５０３と、を備える。

　通信制御部５０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部５０１は、サーバ装置１０からデータ（パケット）を受信する。また、通信制御部５０１は、サーバ装置１０に向けてデータを送信する。通信制御部５０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部５０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部５０１を介して他の装置とデータの送受信を行う。通信制御部５０１は、他の装置からデータを受信する受信部としての機能と、他の装置に向けてデータを送信する送信部としての機能と、を備える。

　検索要求部５０２は、サーバ装置１０に画像データの検索を要求する手段である。検索要求部５０２は、カメラ管理者（カメラ装置２０の設置主体）の操作に応じて、サーバ装置１０から取得する画像データの詳細を入力するためのＧＵＩ（Graphical User Interface）等を表示する。即ち、検索要求部５０２は、サーバ装置１０が画像データを検索する際の条件（検索条件）をカメラ管理者等から取得する。

　例えば、検索要求部５０２は、図２３に示すようなＧＵＩを用いて、提供要求対象（検索対象）となる画像データを撮影したカメラ装置２０のカメラＩＤと検索期間を取得する。検索要求部５０２は、取得したカメラＩＤと検索期間を含む画像データ検索要求をサーバ装置１０に送信する。

　このように、検索要求部５０２は、捜査官等が閲覧を希望する画像を取得したカメラ装置２０のカメラＩＤと撮影時間帯を取得し、これらの情報をサーバ装置１０に送信する。なお、カメラ管理者は、システムに含まれるカメラ装置２０の設置場所と各カメラ装置２０のカメラＩＤを対応付けたリストを参照し、捜査官等が閲覧を希望するカメラ装置２０のカメラＩＤを特定すればよい。

　検索要求部５０２は、サーバ装置１０から画像データ検索要求に対する応答（肯定応答、否定応答）を受信する。

　肯定応答を受信した場合には、検索要求部５０２は、その旨をカメラ管理者に通知する。さらに、検索要求部５０２は、カメラ管理者の操作に応じて、取得した画像データを表示したり、当該画像データをＵＳＢメモリに格納したりする。

　否定応答を受信した場合には、検索要求部５０２は、検索条件（カメラＩＤ、検索期間）に対応する画像データは記憶されていない旨をカメラ管理者に通知する。

　記憶部５０３は、管理者端末５０の動作に必要な情報を記憶する手段である。

［サーバ装置］
　図２４は、第２の実施形態に係るサーバ装置１０の処理構成（処理モジュール）の一例を示す図である。図２４を参照すると、第２の実施形態に係るサーバ装置１０の構成に検索要求処理部４０４が追加されている。

　検索要求処理部４０４は、管理者端末５０から受信する画像データ検索要求を処理する手段である。検索要求処理部４０４は、画像情報データベースにアクセスし、画像データ検索要求に含まれる検索条件（カメラＩＤ、検索期間）に対応するエントリを抽出する。

　検索要求処理部４０４は、抽出したエントリの格納場所フィールドを参照し、対応する画像データを記憶部４０３から読み出す。検索要求処理部４０４は、読み出した画像データ（画像ＩＤ付きの画像データ）を含む肯定応答を管理者端末５０に送信する。なお、検索条件に合致するエントリが画像情報データベースに存在しない場合には、検索要求処理部４０４は、画像データ検索要求に対する応答として否定応答を管理者端末５０に送信する。

　ここで、読み出した画像データにプライバシー保護処理が適用された画像データが含まれる場合、検索要求処理部４０４は、当該プライバシー保護処理が適用された利用者を特定するための情報を管理者端末５０に通知する。具体的には、検索要求処理部４０４は、プライバシー保護処理が適用された利用者の利用者ＩＤと利用者位置を管理者端末５０に通知する。

　その際、検索要求処理部４０４は、プライバシー保護処理が施された画像データの画像ＩＤ、利用者ＩＤ及び利用者位置を対応付けたリストを検索条件に合致する画像データと共に管理者端末５０に送信してもよい。検索要求処理部４０４は、画像データと上記リストを含む肯定応答を管理者端末５０に送信してもよい。

　あるいは、検索要求処理部４０４は、抽出したエントリの利用者位置フィールドの設定値（利用者位置）に基づいて画像データ内のマスク処理等が施された利用者領域を特定し、当該特定した領域の近辺に利用者ＩＤを書き込んでもよい。具体的には、検索要求処理部４０４は、図１９に示すような画像データを生成してもよい。検索要求処理部４０４は、利用者ＩＤが書き込まれた画像データを管理者端末５０に送信することで、プライバシーが保護された利用者の利用者ＩＤと利用者位置を管理者端末５０に通知してもよい。

　このように、サーバ装置１０は、検索条件に合致する画像データとして抽出された画像データにプライバシー保護処理が適用された画像データ（第２の画像データ）が含まれるか否か判定する。サーバ装置１０は、第２の画像データが含まれる場合には、抽出された第２の画像データにおいてプライバシーが保護された利用者に対応する利用者ＩＤと利用者位置を外部装置（管理者端末５０）に通知する。その際、サーバ装置１０は、抽出された第２の画像データの利用者位置に応じた場所に利用者ＩＤを書き込み第３の画像データを生成し、当該生成された第３の画像データを外部装置に送信してもよい。

［管理サーバ］
　図２５は、第２の実施形態に係る管理サーバ４０の処理構成（処理モジュール）の一例を示す図である。図２５を参照すると、管理サーバ４０は、通信制御部６０１と、身元情報登録制御部６０２と、身元情報提供制御部６０３と、記憶部６０４と、を備える。

　通信制御部６０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部６０１は、捜査機関端末６０からデータ（パケット）を受信する。また、通信制御部６０１は、捜査機関端末６０に向けてデータを送信する。通信制御部６０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部６０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部６０１を介して他の装置とデータの送受信を行う。通信制御部６０１は、他の装置からデータを受信する受信部としての機能と、他の装置に向けてデータを送信する送信部としての機能と、を備える。

　身元情報登録制御部６０２は、利用者の身元情報に関する登録を制御する手段である。例えば、身元情報登録制御部６０２は、利用者の端末３０から身元情報登録要求を受信し、当該利用者の利用者ＩＤと身元情報を取得する。

　身元情報登録制御部６０２は、利用者ＩＤと身元情報を対応付けて利用者情報データベースに記憶する（図２６参照）。なお、図２６に示す利用者情報データベースは例示であって、記憶する項目等を限定する趣旨ではない。例えば、生体情報として「顔画像」が利用者情報データベースに登録されていてもよい。

　身元情報提供制御部６０３は、捜査機関端末６０からの身元情報提供要求を処理する手段である。身元情報提供要求を受信すると、身元情報提供制御部６０３は、当該要求に含まれる利用者ＩＤをキーとして利用者情報データベースを検索し、対応する身元情報を特定する。

　利用者ＩＤに対応する身元情報が存在すれば、身元情報提供制御部６０３は、当該身元情報を含む肯定応答を捜査機関端末６０に送信する。利用者ＩＤに対応する身元情報が存在しなければ、身元情報提供制御部６０３は、その旨を示す否定応答を捜査機関端末６０に送信する。

　記憶部６０４は、管理サーバ４０の動作に必要な情報を記憶する手段である。利用者情報データベースは、記憶部６０４に構成される。

［捜査機関端末］
　捜査機関端末６０には、スマートフォン、携帯電話機、ゲーム機、タブレット等の携帯端末装置やコンピュータ（パーソナルコンピュータ、ノートパソコン）等が例示される。捜査機関端末６０は、捜査官等の操作を受け付け、管理サーバ４０等と通信可能であれば任意の機器、デバイスとすることができる。また、捜査機関端末６０の構成等は当業者にとって明らかであるので、詳細な説明を省略する。

　以上のように、第２の実施形態では、管理サーバ４０が、プライバシー保護を希望する利用者の身元情報を管理（記憶）する。捜査機関は、カメラ管理者からプライバシー保護処理が適用された画像データとプライバシーが保護された利用者の利用者ＩＤを取得し、管理サーバ４０に利用者ＩＤを送信することで対応する身元情報を入手可能となる。即ち、第１の実施形態で説明したように属性情報（例えば、性別、年代等）を提供することでプライバシーが保護された利用者であっても、捜査機関が必要と判断した場合に、当該利用者の身元情報が捜査機関に提供される。その結果、プライバシー保護処理が実行されても、捜査機関の犯罪捜査等に支障は生じない。

　続いて、情報処理システムを構成する各装置のハードウェアについて説明する。図２７は、サーバ装置１０のハードウェア構成の一例を示す図である。

　サーバ装置１０は、情報処理装置（所謂、コンピュータ）により構成可能であり、図２７に例示する構成を備える。例えば、サーバ装置１０は、プロセッサ３１１、メモリ３１２、入出力インターフェイス３１３及び通信インターフェイス３１４等を備える。上記プロセッサ３１１等の構成要素は内部バス等により接続され、相互に通信可能に構成されている。

　但し、図２７に示す構成は、サーバ装置１０のハードウェア構成を限定する趣旨ではない。サーバ装置１０は、図示しないハードウェアを含んでもよいし、必要に応じて入出力インターフェイス３１３を備えていなくともよい。また、サーバ装置１０に含まれるプロセッサ３１１等の数も図２７の例示に限定する趣旨ではなく、例えば、複数のプロセッサ３１１がサーバ装置１０に含まれていてもよい。

　プロセッサ３１１は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）等のプログラマブルなデバイスである。あるいは、プロセッサ３１１は、ＦＰＧＡ（Field Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）等のデバイスであってもよい。プロセッサ３１１は、オペレーティングシステム（ＯＳ；Operating System）を含む各種プログラムを実行する。

　メモリ３１２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等である。メモリ３１２は、ＯＳプログラム、アプリケーションプログラム、各種データを格納する。

　入出力インターフェイス３１３は、図示しない表示装置や入力装置のインターフェイスである。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。

　通信インターフェイス３１４は、他の装置と通信を行う回路、モジュール等である。例えば、通信インターフェイス３１４は、ＮＩＣ（Network Interface Card）等を備える。

　サーバ装置１０の機能は、各種処理モジュールにより実現される。当該処理モジュールは、例えば、メモリ３１２に格納されたプログラムをプロセッサ３１１が実行することで実現される。また、当該プログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transitory）なものとすることができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。また、上記プログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。

　なお、管理サーバ４０等もサーバ装置１０と同様に情報処理装置により構成可能であり、その基本的なハードウェア構成はサーバ装置１０と相違する点はないので説明を省略する。また、カメラ装置２０は、利用者を撮影するためのカメラモジュール等を備えていればよい。

　情報処理装置であるサーバ装置１０は、コンピュータを搭載し、当該コンピュータにプログラムを実行させることでサーバ装置１０の機能が実現できる。また、サーバ装置１０は、当該プログラムによりサーバ装置１０の制御方法を実行する。

［変形例］
　なお、上記実施形態にて説明した情報処理システムの構成、動作等は例示であって、システムの構成等を限定する趣旨ではない。

　上記実施形態では、属性情報（人物アノテーション）が提供された場合には、当該属性情報を提供する利用者のプライバシーを最大限保護するために、秘匿性の高いプライバシー保護処理を実行することを説明した。しかし、当該事実は、属性情報を提供しない利用者のプライバシーを保護することを妨げるものではない。サーバ装置１０は、必要に応じて、属性情報を提供していない利用者の利用者領域に対してプライバシー保護処理を適用してもよい。即ち、サーバ装置１０は、画像データ収集目的に沿ったプライバシー保護処理を上記利用者の利用者領域に適用してもよい。その際、サーバ装置１０は、通常の利用者と属性情報を提供する利用者でプライバシー保護処理の内容を変更してもよい。例えば、サーバ装置１０は、通常の利用者の利用者領域にはモザイクをかけ、属性情報を提供する利用者の利用者領域を塗りつぶしてもよい。

　サーバ装置１０は、同一人物の利用者領域であってもその部位（顔、身体）ごとに異なる内容のプライバシー保護処理を適用してもよい。例えば、顔領域にはモザイクを施し身体領域は塗りつぶす等の対応をしてもよい。

　サーバ装置１０は、利用者の属性情報を記憶した場合、その旨を利用者に通知してもよい。具体的には、端末３０は、メールアドレス等の連絡先を含む利用者情報通知を、カメラ装置２０を介してサーバ装置１０に送信する。サーバ装置１０は、当該利用者の利用者領域にプライバシー保護処理を適用し、当該プライバシー保護処理が適用された画像データと属性情報を記憶した際、上記連絡先のその旨を通知してもよい。

　あるいは、サーバ装置１０は、プライバシー保護処理が適用された画像データが保存期間経過等を理由として削除された場合には、その旨を利用者（端末３０）に通知してもよい。また、プライバシー保護処理が適用された画像データが削除された場合には、サーバ装置１０は、当該画像データでプライバシーが保護されていた利用者の情報（利用者ＩＤ、属性情報等）も併せて削除してもよい。

　サーバ装置１０は、上記属性情報を記憶した旨の通知や画像データを削除した旨の通知を利用者の端末３０から利用者情報通知を受信したいことに応じて送信してもよい。具体的には、図５に示す端末３０からの利用者情報通知の送信タイミングで、上記属性情報が記憶された事実が端末３０に通知されてもよい。

　サーバ装置１０は、プライバシー保護処理を実行する際、利用者の属性情報に応じてプライバシー保護処理の内容を変更してもよい。例えば、サーバ装置１０は、性別や年代に応じてプライバシー保護処理の内容を変更してもよい。例えば、サーバ装置１０は、性別や年代に応じて利用者領域を塗りつぶす際の色彩や模様を変更してもよい。即ち、サーバ装置１０は、利用者の属性情報に応じて利用者に与えるプライバシーマスクを変更してもよい（図２８Ａ及び図２８Ｂ参照）。図２８Ａでは、男性の利用者に対して横線のプラバシーマスクが与えられている。図２８Ｂでは、女性の利用者に対して目の細かいモザイクによるプラバシーマスクが与えられている。このように、サーバ装置１０は、利用者の属性（年代、性別）ごとに、モザイクの粗密を変えたプラバシーマスクや模様（斜線、横線）を変えたプラバシーマスクを利用者領域に施してもよい。

　サーバ装置１０は、プライバシー保護処理を実行する際、利用者（利用者領域）をキャラクタやアバターに置き換えてもよい。さらに、サーバ装置１０は、利用者の属性情報（性別、年代）に応じて、置き換えるキャラクタやアバターを選択してもよい。また、端末３０は、プライバシー保護処理の実行時に使用するキャラクタやアバターの画像データを利用者情報としてカメラ装置２０（サーバ装置１０）に送信してもよい。

　サーバ装置１０は、プライバシー保護処理が適用された画像データに、利用者の属性情報を書き込んでもよい。例えば、サーバ装置１０は、図２９に示すような画像データを記憶してもよい。

　サーバ装置１０は、予め定められたポリシーに基づいてプライバシー保護処理の実行有無やプライバシー保護処理の内容を決定してもよい。例えば、上記ポリシーには「通常の利用者（属性情報を提供しない利用者）にはプライバシー保護処理を適用しない」、「女性の利用者にはアバターＢ１を適用し、男性の利用者にはアバターＢ２を適用する」といった内容が記載される。あるいは、上記ポリシーは「昼間に撮影された利用者にはプライバシー保護処理を適用し、夜間に撮影された利用者にはプライバシー保護処理を適用しない」といった内容であってもよい。どのようなポリシーを設定するかに関し、カメラ管理者は、カメラ装置２０の設置目的等を鑑みて決定すればよい。

　上記実施形態では、端末３０は、生体情報（顔画像）を用いた認証処理を実行し、認証に成功した場合に、属性情報を生成することを説明した。しかし、端末３０は、当該認証処理を実行せず、属性情報を生成してもよい。例えば、端末３０は、撮影された身元確認書類から属性情報を生成してもよいし、利用者からの自己申告に基づいて属性情報を生成してもよい。即ち、情報処理システムが虚偽の属性情報が登録されることを許容できる場合には、利用者の生体認証は不要である。換言すれば、上記実施形態では、属性情報の信頼性を担保するため、生体認証に成功した利用者の身元確認書類から属性情報が取得されている。

　上記実施形態では、サーバ装置１０は、プライバシー保護処理が適用された画像データ（画像ＩＤ）を記憶することを説明した。さらに、サーバ装置１０は、プライバシー保護処理が適用された画像データとオリジナルの画像データを対応付けて記憶してもよい。また、この場合、第２の実施形態に係るサーバ装置１０は、プライバシー保護処理が適用された画像データと利用者ＩＤ、利用者位置を管理者端末５０に送信するのではなく、オリジナルの画像データを管理者端末５０に送信してもよい。即ち、捜査機関に対し、プライバシー保護処理が適用された画像データ（映像データ）ではなくオリジナルの画像データが提供されてもよい。

　上記実施形態では、プライバシーの保護を希望する利用者は、端末３０のプライバシーマスクアプリケーションを起動しておくことを前提として説明を行った。しかし、端末３０は、カメラ装置２０と通信可能になると（近距離無線通信の通信可能エリアに利用者が進入すると）、プライバシーマスクアプリケーションの起動を促すような表示をしてもよい。例えば、端末３０は、プライバシーマスクアプリケーションの起動を促すポップアップを表示し、当該表示に応じて利用者がプライバシーマスクアプリケーションを起動してもよい。

　端末３０にインストールされたプライバシーマスクアプリケーションは、カメラ装置２０との通信履歴を利用者が閲覧可能としてもよい。その際、プライバシーマスクアプリケーションは、カメラ装置２０に利用者情報を送信した日時や場所等を含む通信履歴を表示してもよい。

　上記第２の実施形態において、サーバ装置１０は、利用者ＩＤに代えて又は加えて利用者の属性情報を管理者端末５０に送信してもよい。即ち、利用者の属性情報（人物アノテーション）が捜査機関に提供されてもよい。

　第２の実施形態において、捜査機関端末６０が送信する身元情報提供要求には、複数の利用者ＩＤが含まれていてもよい。捜査機関端末６０は、異なる画像データから得られる複数の利用者ＩＤを１つの身元情報提供要求で管理サーバ４０に送信してもよい。

　第２の実施形態では、捜査機関端末６０が身元情報提供要求を管理サーバ４０に送信する場合について説明した。しかし、サーバ装置１０が、利用者ＩＤを含む身元情報提供要求を管理サーバ４０に送信してもよい。サーバ装置１０は、管理サーバ４０から取得した身元情報を管理者端末５０に送信してもよい。

　上記実施形態では、端末３０が、利用者の現在位置（端末３０の端末位置）を、カメラ装置２０を介してサーバ装置１０に通知することを説明した。しかし、端末３０は、定期的又は所定のタイミングで、端末位置を含む利用者情報をサーバ装置１０に直接通知してもよい。サーバ装置１０は、端末３０から取得した端末位置とカメラ装置２０の設置位置に基づいて、利用者がカメラ装置２０の撮影エリアに入っていると判断した場合には、当該利用者のプライバシーを保護する処理を実行してもよい。このような対応によって、Ｂｌｕｅｔｏｏｔｈ（登録商標）のような近距離無線通信に対応していないカメラ装置がシステムに含まれる場合であっても、利用者のプライバシーを適切に保護できる。

　あるいは、端末３０が計測する位置情報の精度等に起因して、当該端末３０の位置情報からプライバシー保護処理を適用する利用者を特定するのが困難な場合には、生体認証を用いて当該プライバシー保護処理を適用する利用者が特定されてもよい。この場合、利用者は、事前に自身の生体情報（例えば、顔画像）及び属性情報をサーバ装置１０に登録しておく。サーバ装置１０は、カメラ装置２０から取得した画像から顔領域を抽出し、当該抽出した顔領域（顔画像）と事前に登録された顔画像を用いた生体認証を行う。生体認証により利用者が特定された場合には、サーバ装置１０は、当該特定された利用者に対してプライバシー保護処理を適用する。また、上記端末３０の端末位置を用いた利用者の特定と生体情報を用いた利用者の特定を組み合わせることで、より精度よく利用者の特定が行われてもよい。例えば、端末３０の端末位置により利用者が写る大まかな領域が特定され、当該特定された大まかな領域のなかから最終的なプライバシー保護処理の適用者が生体認証により特定されてもよい。

　なお、上述のように、利用者の端末３０がカメラ装置２０を介さず、直接サーバ装置１０と通信する場合、生体認証によって利用者を特定し、当該利用者に対してプライバシー保護処理を適用することができる。この点、端末３０が、カメラ装置２０と通信する場合には、以下の２つの方法により利用者の特定が可能となる。第１の方法は、端末３０が利用者の生体情報をカメラ装置２０に送信し、カメラ装置２０は撮影した画像と生体情報をサーバ装置１０に送信する方法である。サーバ装置１０は、当該画像から生体認証によって利用者を特定する。このような方法によって、サーバ装置１０は、カメラ装置２０と利用者の対応付け（利用者の特定）が可能である。第２の方法は、端末３０は位置情報をカメラ装置２０に送信し、カメラ装置２０は、取得した位置情報、自装置の位置情報及び撮影画像をサーバ装置１０に送信する方法である。サーバ装置１０は、２つの位置情報により画像内の利用者を特定する。このような方法によっても、サーバ装置１０は、カメラ装置２０と利用者の対応付け（利用者の特定）が可能である。

　端末３０とカメラ装置２０は、Ｂｌｕｅｔｏｏｔｈ（登録商標）以外の手段により互いに通信をしてもよい。例えば、ＺｉｇＢｅｅ（登録商標）等により、端末３０とカメラ装置２０は通信を行ってもよい。あるいは、無線ＬＡＮ（Local Area Network）に対応する規格によって、端末３０とカメラ装置２０は通信を行ってもよい。

　上記実施形態では、サーバ装置１０の内部に画像情報データベースが構成される場合について説明したが、当該データベースは外部のデータベースサーバ等に構築されてもよい。即ち、サーバ装置１０の一部の機能は別のサーバに実装されていてもよい。

　上記実施形態では、サーバ装置１０がプライバシー保護処理を実行する場合について説明した。しかし、画像データを取得したカメラ装置２０が、プライバシー保護処理を実行してもよい。カメラ装置２０は、プライバシー保護処理が適用された画像データと対応する利用者の情報（利用者ＩＤ、利用者位置等）をサーバ装置１０に送信してもよい。このように、カメラ装置２０は、サーバ装置１０が有する機能のうち全部又は一部の機能を有していてもよい。

　上記実施形態では、カメラ装置２０は撮影エリアが固定されていることを前提として説明をした。しかし、カメラ装置２０は、撮影エリアが時間と共に変化するカメラ（撮像装置）であってもよい。

　各装置（サーバ装置１０、カメラ装置２０、端末３０等）間のデータ送受信の形態は特に限定されないが、これら装置間で送受信されるデータは暗号化されていてもよい。これらの装置間では、利用者の顔画像が含まれる画像データ等が送受信され、これらの情報を適切に保護するためには、暗号化されたデータが送受信されることが望ましい。

　上記説明で用いた流れ図（フローチャート、シーケンス図）では、複数の工程（処理）が順番に記載されているが、実施形態で実行される工程の実行順序は、その記載の順番に制限されない。実施形態では、例えば各処理を並行して実行する等、図示される工程の順番を内容的に支障のない範囲で変更することができる。

　上記の実施形態は本願開示の理解を容易にするために詳細に説明したものであり、上記説明したすべての構成が必要であることを意図したものではない。また、複数の実施形態について説明した場合には、各実施形態は単独で用いてもよいし、組み合わせて用いてもよい。例えば、実施形態の構成の一部を他の実施形態の構成に置き換えることや、実施形態の構成に他の実施形態の構成を加えることも可能である。さらに、実施形態の構成の一部について他の構成の追加、削除、置換が可能である。

　上記の説明により、本発明の産業上の利用可能性は明らかであるが、本発明は、管理カメラを含む情報処理システムなどに好適に適用可能である。

　上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
　所定エリアを撮影する、カメラ装置と、
　利用者が所持する、端末と、
　前記カメラ装置が撮影した画像データと前記画像データの取得日時を対応付けて記憶する、サーバ装置と、
　を含み、
　前記端末は、前記カメラ装置と通信可能になると、前記利用者に関する利用者情報を含む利用者情報通知を前記カメラ装置に送信し、
　前記カメラ装置は、前記利用者情報通知の受信に応じて前記所定エリアを撮影することで得られる第１の画像データと前記利用者情報を前記サーバ装置に送信し、
　前記サーバ装置は、前記第１の画像データに前記利用者に対応する利用者領域が含まれている場合、前記利用者領域に対して前記利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成し、前記生成された第２の画像データを記憶する、システム。
［付記２］
　前記利用者情報には、前記利用者の属性情報が含まれ、
　前記サーバ装置は、
　前記第２の画像データと、前記プライバシーが保護された利用者の前記第２の画像データにおける利用者位置と、前記属性情報と、を対応付けて記憶する、付記１に記載のシステム。
［付記３］
　前記利用者情報には、前記利用者を識別するための利用者ＩＤがさらに含まれ、
　前記サーバ装置は、前記第２の画像データ、前記利用者位置、前記属性情報及び前記利用者ＩＤを対応付けて記憶する、付記２に記載のシステム。
［付記４］
　前記サーバ装置は、第１の外部装置から前記記憶された画像データの検索に関する検索条件を取得すると共に、前記検索条件に合致する画像データを抽出し、前記抽出された画像データを前記第１の外部装置に送信する、付記３に記載のシステム。
［付記５］
　前記サーバ装置は、前記検索条件に合致する画像データとして抽出された画像データに前記第２の画像データが含まれる場合には、前記抽出された第２の画像データにおいてプライバシーが保護された利用者に対応する前記利用者ＩＤと前記利用者位置を前記第１の外部装置に通知する、付記４に記載のシステム。
［付記６］
　前記サーバ装置は、前記抽出された第２の画像データの前記利用者位置に応じた場所に前記利用者ＩＤを書き込み第３の画像データを生成し、前記生成された第３の画像データを前記第１の外部装置に送信する、付記５に記載のシステム。
［付記７］
　前記利用者ＩＤと、前記利用者の身元に関する身元情報と、を対応付けて記憶する管理サーバをさらに含み、
　前記管理サーバは、第２の外部装置から、前記利用者ＩＤを含む身元情報提供要求を受信し、前記利用者ＩＤに対応する前記身元情報を前記第２の外部装置に送信する、付記６に記載のシステム。
［付記８］
　前記利用者情報には、前記端末の緯度経度座標系で示される端末位置が含まれ、
　前記サーバ装置は、前記端末位置に基づいて、前記画像データにおける前記利用者領域を特定する、付記２乃至７のいずれか一項に記載のシステム。
［付記９］
　前記端末は、前記利用者の第１の生体情報と、前記利用者の身元確認書類に記載された第２の生体情報と、を用いた１対１認証に成功した場合に、前記利用者情報通知の送信を可能とする、付記２乃至８のいずれか一項に記載のシステム。
［付記１０］
　前記端末は、前記１対１認証に成功した場合に、前記身元確認書類から前記属性情報を取得する、付記９に記載のシステム。
［付記１１］
　前記属性情報は、前記利用者の性別、年代及び性別と年代の組み合わせのうちいずれか１つである、付記２乃至１０のいずれか一項に記載のシステム。
［付記１２］
　前記プライバシー保護処理は、前記利用者領域にモザイクをかける、又は、塗りつぶす処理である、付記１乃至１１のいずれか一項に記載のシステム。
［付記１３］
　所定エリアを撮影可能であって、利用者が所持する端末と通信可能となると、前記利用者に関する利用者情報を含む利用者情報通知を前記端末から受信するカメラ装置が撮影した画像データと、前記画像データの取得日時を対応付けて記憶する、記憶部と、
　前記カメラ装置が前記利用者情報通知の受信に応じて前記所定エリアを撮影することで得られる第１の画像データと前記利用者情報を前記カメラ装置から受信する、受信部と、
　前記第１の画像データに前記利用者に対応する利用者領域が含まれている場合、前記利用者領域に対して前記利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成し、前記生成された第２の画像データを記憶する、画像データ制御部と、
　を備える、サーバ装置。
［付記１４］
　サーバ装置において、
　所定エリアを撮影可能であって、利用者が所持する端末と通信可能となると、前記利用者に関する利用者情報を含む利用者情報通知を前記端末から受信するカメラ装置が撮影した画像データと、前記画像データの取得日時を対応付けて記憶し、
　前記カメラ装置が前記利用者情報通知の受信に応じて前記所定エリアを撮影することで得られる第１の画像データと前記利用者情報を前記カメラ装置から受信し、
　前記第１の画像データに前記利用者に対応する利用者領域が含まれている場合、前記利用者領域に対して前記利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成し、前記生成された第２の画像データを記憶する、サーバ装置の制御方法。
［付記１５］
　サーバ装置に搭載されたコンピュータに、
　所定エリアを撮影可能であって、利用者が所持する端末と通信可能となると、前記利用者に関する利用者情報を含む利用者情報通知を前記端末から受信するカメラ装置が撮影した画像データと、前記画像データの取得日時を対応付けて記憶する処理と、
　前記カメラ装置が前記利用者情報通知の受信に応じて前記所定エリアを撮影することで得られる第１の画像データと前記利用者情報を前記カメラ装置から受信する処理と、
　前記第１の画像データに前記利用者に対応する利用者領域が含まれている場合、前記利用者領域に対して前記利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成し、前記生成された第２の画像データを記憶する処理と、
　を実行させるためのプログラムを記憶する、コンピュータ読取可能な記憶媒体。

　なお、引用した上記の先行技術文献の各開示は、本書に引用をもって繰り込むものとする。以上、本発明の実施形態を説明したが、本発明はこれらの実施形態に限定されるものではない。これらの実施形態は例示にすぎないということ、及び、本発明のスコープ及び精神から逸脱することなく様々な変形が可能であるということは、当業者に理解されるであろう。即ち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得る各種変形、修正を含むことは勿論である。

１０　　　サーバ装置
２０　　　カメラ装置
２０－１　カメラ装置
２０－２　カメラ装置
３０　　　端末
４０　　　管理サーバ
４１　　　人物
４２　　　人物
５０　　　管理者端末
６０　　　捜査機関端末
１０１　　カメラ装置
１０２　　端末
１０３　　サーバ装置
２０１　　通信制御部
２０２　　属性情報生成部
２０３　　利用者情報通知部
２０４　　記憶部
２０５　　身元情報提供部
３０１　　通信制御部
３０２　　利用者情報制御部
３０３　　記憶部
３１１　　プロセッサ
３１２　　メモリ
３１３　　入出力インターフェイス
３１４　　通信インターフェイス
４０１　　通信制御部
４０２　　画像データ制御部
４０３　　記憶部
４０４　　検索要求処理部
５０１　　通信制御部
５０２　　検索要求部
５０３　　記憶部
６０１　　通信制御部
６０２　　身元情報登録制御部
６０３　　身元情報提供制御部
６０４　　記憶部

Claims (15)

1. 　所定エリアを撮影する、カメラ装置と、
   　利用者が所持する、端末と、
   　前記カメラ装置が撮影した画像データと前記画像データの取得日時を対応付けて記憶する、サーバ装置と、
   　を含み、
   　前記端末は、前記カメラ装置と通信可能になると、前記利用者に関する利用者情報を含む利用者情報通知を前記カメラ装置に送信し、
   　前記カメラ装置は、前記利用者情報通知の受信に応じて前記所定エリアを撮影することで得られる第１の画像データと前記利用者情報を前記サーバ装置に送信し、
   　前記サーバ装置は、前記第１の画像データに前記利用者に対応する利用者領域が含まれている場合、前記利用者領域に対して前記利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成し、前記生成された第２の画像データを記憶する、システム。
2. 　前記利用者情報には、前記利用者の属性情報が含まれ、
   　前記サーバ装置は、
   　前記第２の画像データと、前記プライバシーが保護された利用者の前記第２の画像データにおける利用者位置と、前記属性情報と、を対応付けて記憶する、請求項１に記載のシステム。
3. 　前記利用者情報には、前記利用者を識別するための利用者ＩＤがさらに含まれ、
   　前記サーバ装置は、前記第２の画像データ、前記利用者位置、前記属性情報及び前記利用者ＩＤを対応付けて記憶する、請求項２に記載のシステム。
4. 　前記サーバ装置は、第１の外部装置から前記記憶された画像データの検索に関する検索条件を取得すると共に、前記検索条件に合致する画像データを抽出し、前記抽出された画像データを前記第１の外部装置に送信する、請求項３に記載のシステム。
5. 　前記サーバ装置は、前記検索条件に合致する画像データとして抽出された画像データに前記第２の画像データが含まれる場合には、前記抽出された第２の画像データにおいてプライバシーが保護された利用者に対応する前記利用者ＩＤと前記利用者位置を前記第１の外部装置に通知する、請求項４に記載のシステム。
6. 　前記サーバ装置は、前記抽出された第２の画像データの前記利用者位置に応じた場所に前記利用者ＩＤを書き込み第３の画像データを生成し、前記生成された第３の画像データを前記第１の外部装置に送信する、請求項５に記載のシステム。
7. 　前記利用者ＩＤと、前記利用者の身元に関する身元情報と、を対応付けて記憶する管理サーバをさらに含み、
   　前記管理サーバは、第２の外部装置から、前記利用者ＩＤを含む身元情報提供要求を受信し、前記利用者ＩＤに対応する前記身元情報を前記第２の外部装置に送信する、請求項６に記載のシステム。
8. 　前記利用者情報には、前記端末の緯度経度座標系で示される端末位置が含まれ、
   　前記サーバ装置は、前記端末位置に基づいて、前記画像データにおける前記利用者領域を特定する、請求項２乃至７のいずれか一項に記載のシステム。
9. 　前記端末は、前記利用者の第１の生体情報と、前記利用者の身元確認書類に記載された第２の生体情報と、を用いた１対１認証に成功した場合に、前記利用者情報通知の送信を可能とする、請求項２乃至８のいずれか一項に記載のシステム。
10. 　前記端末は、前記１対１認証に成功した場合に、前記身元確認書類から前記属性情報を取得する、請求項９に記載のシステム。
11. 　前記属性情報は、前記利用者の性別、年代及び性別と年代の組み合わせのうちいずれか１つである、請求項２乃至１０のいずれか一項に記載のシステム。
12. 　前記プライバシー保護処理は、前記利用者領域にモザイクをかける、又は、塗りつぶす処理である、請求項１乃至１１のいずれか一項に記載のシステム。
13. 　所定エリアを撮影可能であって、利用者が所持する端末と通信可能となると、前記利用者に関する利用者情報を含む利用者情報通知を前記端末から受信するカメラ装置が撮影した画像データと、前記画像データの取得日時を対応付けて記憶する、記憶部と、
    　前記カメラ装置が前記利用者情報通知の受信に応じて前記所定エリアを撮影することで得られる第１の画像データと前記利用者情報を前記カメラ装置から受信する、受信部と、
    　前記第１の画像データに前記利用者に対応する利用者領域が含まれている場合、前記利用者領域に対して前記利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成し、前記生成された第２の画像データを記憶する、画像データ制御部と、
    　を備える、サーバ装置。
14. 　サーバ装置において、
    　所定エリアを撮影可能であって、利用者が所持する端末と通信可能となると、前記利用者に関する利用者情報を含む利用者情報通知を前記端末から受信するカメラ装置が撮影した画像データと、前記画像データの取得日時を対応付けて記憶し、
    　前記カメラ装置が前記利用者情報通知の受信に応じて前記所定エリアを撮影することで得られる第１の画像データと前記利用者情報を前記カメラ装置から受信し、
    　前記第１の画像データに前記利用者に対応する利用者領域が含まれている場合、前記利用者領域に対して前記利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成し、前記生成された第２の画像データを記憶する、サーバ装置の制御方法。
15. 　サーバ装置に搭載されたコンピュータに、
    　所定エリアを撮影可能であって、利用者が所持する端末と通信可能となると、前記利用者に関する利用者情報を含む利用者情報通知を前記端末から受信するカメラ装置が撮影した画像データと、前記画像データの取得日時を対応付けて記憶する処理と、
    　前記カメラ装置が前記利用者情報通知の受信に応じて前記所定エリアを撮影することで得られる第１の画像データと前記利用者情報を前記カメラ装置から受信する処理と、
    　前記第１の画像データに前記利用者に対応する利用者領域が含まれている場合、前記利用者領域に対して前記利用者のプライバシーを保護するためのプライバシー保護処理を施すことで第２の画像データを生成し、前記生成された第２の画像データを記憶する処理と、
    　を実行させるためのプログラムを記憶する、コンピュータ読取可能な記憶媒体。

Images