(57)【要約】      （修正有）【課題】証拠のプライバシーを保護するシステム及び方法を提供する。【解決手段】暗号化された第１の画像が、第１の画像から抽出されたライセンスプレート番号のような第１の情報と、第１の画像が収集された時間のような第１の画像に関連づけられた第１のメタデータとに基づいた対称暗号鍵を用いて、第１の場所で収集された第１の画像を暗号化することにより生成される。第２の画像と第１の画像との間のリンクが、ビジュアル署名の突き合わせによって立証される場合、第１の画像にはアクセスせずに第１のメタデータと第２の画像から抽出された情報とに基づいて、対称暗号鍵が再構成される。再構成された対称暗号鍵は、ライセンスプレート番号が確かに第１の画像から抽出されたという証拠を立証するために、暗号化された画像の解読に使用される。【選択図】なし【特許請求の範囲】
【請求項１】
システムであって、
第１の画像から抽出された第１の識別子情報と前記第１の画像に関連づけられた第１のメタデータとに基づいた対称暗号鍵を用いて前記第１の画像を暗号化することにより生成された、暗号化された第１の画像と、
前記第１のメタデータと、
前記第１の画像から抽出された第１のビジュアル署名と
を受け取るメモリと、
第２の画像と前記第１の画像との間のリンクを立証するために前記第１のビジュアル署名を前記第２の画像から抽出された第２のビジュアル署名と比較する署名突き合わせコンポーネントと、
前記第２の画像から第２の識別子情報を抽出する識別子認識コンポーネントと、
前記第２の画像から抽出された前記第２の識別子情報と前記第１のメタデータとに基づいて、前記第１の画像を暗号化するために使用された前記対称暗号鍵を再構成するための対称鍵再構成コンポーネントであって、前記再構成された対称暗号鍵は、前記第１の画像を再生成するために前記第１の暗号化された画像が解読されることを可能にする、対称鍵再構成コンポーネントと、
前記署名突き合わせコンポーネントと、前記識別子認識コンポーネントと、前記対称鍵再構成コンポーネントとを実装する少なくとも１つのプロセッサと
を備えるシステム。
【請求項２】
前記第１の画像に関連づけられた前記メタデータと前記第２の画像に関連づけられたメタデータとに基づいて条件が満たされるかどうかを判定する条件計算コンポーネントをさらに備える、請求項１に記載のシステム。
【請求項３】
前記対称暗号鍵と前記暗号化された第１の画像とを生成する第１の場所の第１のコンピュータシステムと、前記暗号鍵再構成コンポーネントを含む第２の場所の第２のコンピュータシステムと、をさらに備える、請求項１に記載のシステム。
【請求項４】
証拠のプライバシーを保護するための方法であって、
第１の場所において、車両の第１の画像と関連づけられた第１のメタデータとを取り込み、前記第１の画像から抽出された第１の識別子情報と前記第１のメタデータとに基づいた対称暗号鍵を用いて前記第１の画像を暗号化することにより暗号化された第１の画像を生成することと、
前記第１の場所から間隔をあけられた第２の場所において、車両の第２の画像と関連づけられた第２のメタデータとを取り込むことと、
前記第２の場所と第３の場所との少なくとも１つにおいて、
前記暗号化された第１の画像と前記第１のメタデータとを受け取ることと、
前記第１のメタデータと前記第２のメタデータとに基づいて条件が満たされると判定することと、
前記第１のメタデータと前記第２の画像から抽出された第２の識別子情報とから前記対称暗号鍵を再構成することにより、前記第２の識別子情報が前記第１の識別子情報と一致することを立証することと
を備える方法。
【請求項５】
前記第１の場所と、前記第２の場所と前記第３の場所との少なくとも１つとで、それぞれの公開／非公開鍵のペアのうちのそれぞれの公開鍵の交換によって共有鍵を生成することをさらに備え、前記対称暗号鍵の生成は、前記共有鍵を用いて前記第１のメタデータと前記第１の識別子とを暗号化することを備える、請求項４に記載の方法。
【請求項６】
前記暗号化された画像が生成されると、前記画像と前記抽出された識別子情報は両方とも破棄され、前記第２の場所または前記第３の場所まで利用可能でない、請求項４に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
例示的な実施形態は、オブジェクト認識に関し、個人データのプライバシーを維持しながら車両の識別子を識別するためのシステムおよび方法に関連する特定の応用例を見出す。
【背景技術】
【０００２】
車両の識別は、１つまたは複数のセンサを用いて車両の特性のセットを測定し、それを一意の識別子にマッピングする処理として定義され得る。ライセンスプレートを包含する画像を取り込むためにしばしばビジュアルセンサ（たとえば、カメラ）が使用され、続いて自動ライセンスプレート認識（ＡＬＰＲ）処理が適用される。車両のライセンスプレートを包含する画像を考慮すると、ＡＬＰＲシステムが典型的に、車両のライセンスプレート番号を出力し、車両のライセンスプレート番号が、一意の識別子を構成する。認識された識別子は、料金の自動徴収、速度違反の検挙のような取締り、駐車場の管理、交通パターンの分析のためのデータマイニング、等といった異なる目的のために使用され得る。
【０００３】
しかしながら、駐車場の所有者のような車両の識別子の収集者が、車両の所有者までしばしば遡ることができるデータを所持するので、自動車両識別は、プライバシーの権利に関するいくつかの問題を提起する。権限のない人物がデータにアクセスし、データが収集された合法的な目的以外の目的のためにデータを使用可能であり得る、というリスクもまた存在する。
【０００４】
したがって、一部の国では、政府と市民が、そのようなデータの収集についてより高い関心を持つようになってきており、その収集に規制がかけられている。永続メモリにおける車両の識別子の記憶は、一部のヨーロッパの国ではプライバシーに対する権利の侵害として認識されている。これに対処するために、通行している各々の車両の識別子を一時的なストレージに入れ、（制限速度を超える車両のような）例外的な状況をチェックするためにリアルタイムで直接それにアクセスするナンバープレート認識システムが開発されている。一致が存在しない場合、データがいつまでも記憶されることはない。
【０００５】
たとえ政府規制がない場合でも、駐車場の利用者のプライバシーを保護するために、アイデンティティの処理および記憶を含む駐車場および他の場所における自動車両識別の処理を変更すべきだとするプレッシャーが存在する。
【０００６】
しかしながら、いくつかの規制は、両方の場所でのタイムスタンプと画像が両方とも妥当であるという証明を提供することをサービスオペレータに要求し得る。これは、既知の場所で撮られたタイムスタンピングされた画像を記録することが他の規制を考慮すると運転者のプライバシーの保護を侵害し得る、という問題を提起し得る。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
条件が満たされる場合に車両のようなオブジェクトの一意の識別子の認識を提供し、条件が満たされると判定するために使用される根本的な証拠の妥当性の証明を提供すると同時に識別子に関連づけられた人物のプライバシーを保護するためのシステムおよび方法に対するニーズが依然として存在する。
【課題を解決するための手段】
【０００８】
例示的な実施形態の一態様によると、証拠のプライバシーを保護するための方法は、第１の画像から抽出された第１の情報と第１の画像に関連づけられた第１のメタデータとに基づいた対称暗号鍵を用いて第１の画像を暗号化することにより生成された暗号化された第１の画像を受け取ることを含む。第２の画像と第１の画像との間のリンクが立証される。第１のメタデータが受け取られる。第２の情報が第２の画像から抽出される。第１の画像を暗号化するために使用された対称暗号鍵が、第２の画像から抽出された第２の情報と第１のメタデータとに基づいて再構成される。再構成された対称暗号鍵は、第１の画像を再生成するために第１の暗号化された画像が解読されることを可能にする。
【０００９】
方法のステップの１つ以上は、プロセッサを用いて実行され得る。
【００１０】
例示的な実施形態の別の態様によると、システムは、第１の画像から抽出された第１の識別子情報と第１の画像に関連づけられた第１のメタデータとに基づいた対称暗号鍵を用いて第１の画像を暗号化することにより生成された暗号化された第１の画像と、第１のメタデータと、第１の画像から抽出された第１のビジュアル署名とを受け取るメモリを含む。署名突き合わせコンポーネントが、第２の画像と第１の画像との間のリンクを立証するために第１のビジュアル署名を第２の画像から抽出された第２のビジュアル署名と比較する。識別子認識コンポーネントが、第２の画像から第２の識別子情報を抽出する。対称鍵再構成コンポーネントが、第２の画像から抽出された第２の識別子情報と第１のメタデータとに基づいて、第１の画像を暗号化するために使用された対称暗号鍵を再構成する。再構成された対称暗号鍵は、第１の画像を再生成するために第１の暗号化された画像が解読されることを可能にする。少なくとも１つのプロセッサが、署名突き合わせコンポーネントと、識別子認識コンポーネントと、対称鍵再構成コンポーネントとを実装する。
【００１１】
例示的な実施形態の別の態様によると、証拠のプライバシーを保護するための方法は、第１の場所において、車両の第１の画像と関連づけられた第１のメタデータとを取り込み、第１の画像から抽出された第１の識別子情報と第１のメタデータとに基づいた対称暗号鍵を用いて第１の画像を暗号化することにより暗号化された第１の画像を生成することを含む。第１の場所から間隔をあけられた第２の場所において、車両の第２の画像と関連づけられた第２のメタデータとが取り込まれる。第２の場所と第３の場所との少なくとも１つにおいて、暗号化された第１の画像と第１のメタデータとが受け取られる。方法はさらに、第１のメタデータと第２のメタデータとに基づいて条件が満たされると判定することと、第１のメタデータと第２の画像から抽出された第２の識別子情報とから対称暗号鍵を再構成することにより第２の識別子情報が第１の識別子情報と一致することを立証することとを含む。
【００１２】
第１の画像と第１の場所で抽出された識別子情報は、暗号化された画像が生成されると、それらが第２の場所または第３の場所まで利用可能でないように両方とも破棄され得る。
【図面の簡単な説明】
【００１３】
【図１】図１は、第１の実施形態に係るプライバシーを保護する識別子認識のためのシステムの機能ブロック図である。
【図２】図２は、図１のシステムにおける第１の場所のコンピュータシステムのコンポーネントを示す図である。
【図３】図３は、図１のシステムにおける第２の場所のコンピュータシステムのコンポーネントを示す図である。
【図４】図４は、図１のシステムにおける妥当性検査コンピュータシステムのコンポーネントを示す図である。
【図５】図５は、第２の実施形態に係るプライバシーを保護する識別子認識のための方法を、図表を用いて示す図である。
【図６Ａ】図６Ａは、図５のプライバシーを保護する識別子認識のための方法を示すフローチャートである。
【図６Ｂ】図６Ｂは、図５のプライバシーを保護する識別子認識のための方法を示すフローチャートである。
【図７】図７は、共有鍵の交換なしの２つの場所での共有鍵の作成を、図表を用いて示す図である。
【図８】図８は、第３の実施形態に係るプライバシーを保護する識別子認識のためのシステムの機能ブロック図である。
【図９】図９は、第４の実施形態に係るプライバシーを保護する識別子認識のための方法の第１の部分を、図表を用いて示す図である。
【図１０】図１０は、第４の実施形態に係るプライバシーを保護する識別子認識のための方法の第２の部分を、図表を用いて示す図である。
【図１１Ａ】図１１Ａは、図９および図１０のプライバシーを保護する識別子認識のための方法を示すフローチャートである。
【図１１Ｂ】図１１Ｂは、図９および図１０のプライバシーを保護する識別子認識のための方法を示すフローチャートである。
【発明を実施するための形態】
【００１４】
出願番号第１４／０５４，９９８は、車両の識別子（ライセンスプレート番号）のようなデータのプライバシーを維持するための方法を開示し、この方法は、２つの場所での車両の画像から抽出されたビジュアル署名間の一致が立証され、条件が満たされる場合の、識別子の認識を含む。本システムおよび方法はまた、署名を突き合わせることとライセンスプレート番号を認識することとを区別する。特に、例示的な方法は、ビジュアル署名を突き合わせることと、好結果の一致に関連づけられたメタデータ（たとえば、タイムスタンプ）を検索することとを含み、メタデータは、条件が満たされるかどうかを判定するために使用され得る。例示的なシステムおよび方法はまた、認識された識別子と以前に収集されたメタデータとに基づいて異なる場所で再構成され得る、認識された識別子（および関連づけられたメタデータ）から抽出された情報から導出された、対称暗号鍵を使用する。対称暗号鍵は、安全な手法で（すなわち、非公開鍵自体の交換なしに）サービス提供者によって共有され得る非公開鍵を用いて署名され得る。例示的なシステムおよび方法は、条件が満たされていることを立証するために使用される証拠が改ざんまたは偽造されていないというさらなる保証を提供する。
【００１５】
車両の識別は、複数の場所でおよび／または異なる時間に、たとえば、駐車場の入口および出口または道路上の異なる地点で、所望され得る。単純化のために、互いから距離Ｄだけ間隔をあけられた２つの場所ＸおよびＹが考慮されるが、ＸおよびＹが同一の場所であり得ることまたは同一の場所に近接し得ることが理解されるべきである。
【００１６】
一実施形態において、目的は、ＸおよびＹでの車両のアイデンティティ間の対応を見つけることと、２つのアイデンティティ間の対応が立証された場合にＸおよびＹで取り込まれた関連づけられた情報に依存するある特定の条件が満たされるかどうかを判定することである。条件が満たされる場合、法執行機関またはライセンスプレートに対応する車両の所有者への情報の通信といった、指定された動作がトリガされる。
【００１７】
たとえば、速度取締りの応用例において、ＸおよびＹでの車両のアイデンティティ間の対応がＸおよびＹで取り込まれた画像から立証された場合、取り込まれた画像に関連づけられた情報は、車両がＸおよびＹに存在したときのタイムスタンプ（ＴＸ，ＴＹ）、オプションで、それぞれの地理的な場所（ＬＸ，ＬＹ）、たとえば、ＸおよびＹの地理的な座標を含み得る。チェックされる条件は、識別された車両の速度がしきい値を超えるかどうかであり得る。速度は、時間距離ＴＹ−ＴＸで割ったＬＹとＬＸとの間の距離Ｄとして計算された平均速度であり得る。条件が満たされる場合、たとえば、速度が予め定義されたしきい値を超える場合、たとえば地点Ｙで取り込まれた車両の画像から認識された車両の識別子は、たとえば、識別された車両が速度違反を起こしたとのアラートの生成、速度違反切符の発行のような対応する適切な処理の開始、といった処理を実現するために使用される。
【００１８】
例示的なシステムおよび方法は、条件が満たされたと判定するために使用される証拠を保持しつつもユーザのプライバシーを保護することを提供する。特に、証拠は、識別子が一致する場合およびそうでなければ不明瞭な１つのデータが残っている場合にのみ読み取り可能である。データの所有者（たとえば、車両の運転者）が彼または彼女のデータの処理を安心してサービスオペレータに任せることが想定される。
【００１９】
一実施形態において、第１および第２の場所で収集された暗号化された車両の画像を解読するために使用され得る鍵であって、画像から抽出された情報（識別子）と、条件が満たされるかどうかを判定するために使用される関連づけられたメタデータと、から導出されている鍵を提供することにより、条件が満たされたとの確認をサードパーティに可能にさせ、鍵が確認されることを可能にする、証拠パッケージが作成される。
【００２０】
以下に議論される例示的な方法において実行されるハッシングは、少なくとも１つ（一般的には少なくとも２つ以上）の情報に基づいてハッシュ値（または「ハッシュ」）を生成する一方向暗号化処理である。ハッシュ値を考慮して、元のいくつかの情報が再構成されることはできない（少なくとも必要以上の計算の手間とそのようなデータの膨大な数の例なしにはできない）。２つ以上の情報がハッシュを形成するために使用される場合、これらはまず、予め定義された順序で、組み合わせられ、たとえば、連結される。
【００２１】
本明細書において使用される暗号鍵は情報を、ストリングとして表現され得るバイナリデータに変換する。ストリングは、元の情報を再生成するために、対称暗号化の場合には同一の鍵を用いて、非対称暗号化の場合には異なる鍵を用いて、解読され得る。
【００２２】
図１を参照すると、プライバシーを保護する識別子認識のためのシステム１０が動作する環境が示されている。画像ＩＸ、ＩＹのセット１２、１４が、場所ＸおよびＹで、これらの場所に配置されたカメラのような画像取り込みデバイス１６、１８によって取り込まれる。画像取り込みデバイス１６、１８は、車両がそれぞれの場所を通行する際に各々の車両の画像を、または、応用例に依存していくつかの車両のみを、自動で取り込むように構成される。取り込まれた各々の画像ＩＸ、ＩＹは、たとえば、２つの場所の間の道路、バスの路線、駐車場のレーン、等といった予め定義された経路２４に沿って２つの場所Ｘ、Ｙ間の距離Ｄを移動可能な車両２０、２２の少なくとも一部を含む。各々の画像取り込みデバイス１６、１８、または、別個の情報取り込みコンポーネント２６、２８が、たとえば画像メタデータＴＸ、ＴＹの形態の、各々の画像の取り込みに関連づけられた情報３０、３２、たとえば、それぞれのタイムスタンプおよび／または利用可能な他のタイプの情報、を取り込む。例示的な実施形態において、場所Ｘは経路上、場所Ｙの上流にあるので、所与の車両のために、画像ＩＸおよびそれに関連づけられたメタデータＴＸは、画像ＩＹおよびそれに関連づけられたメタデータＴＹよりも時間的に早く取り込まれる。
【００２３】
システムは、２つの場所に関連づけられたコンピューティングデバイス４０、４２を含み、各々は、メモリ４４、４６と、プロセッサ４８、５０と、外部デバイスおよび／または互いとの通信のための１つ以上の入力／出力デバイス５２、５４、５６、５８と、を有する。それぞれのコンピューティングデバイスのこれらのハードウェアコンポーネントは、データ／制御バス６０、６２によって通信可能に接続される。メモリ４４、４６は、プロセッサ４８、５０によって実行される、例示的な方法の一部を実行するための命令６４、６６を記憶する。データベース６８は、コンピューティングデバイスの１つによって、または、リモートコンピューティングデバイスによってホストされ、画像ＩＸのために計算された画像署名と関連づけられたメタデータＴＸとを記憶する。
【００２４】
たとえば第３の場所Ｚに関連づけられた、第３のコンピューティングデバイス７０は、妥当性検査オーソリティとしての役割を果たし、データ／制御バス８０によってすべてが通信可能に接続されるメモリ７２、プロセッサ７４、および１つ以上の入力／出力デバイス７６、７８を含む。メモリ７２は、プロセッサ７４によって実行される、例示的な方法において妥当性検査を実行するための命令８２を記憶する。コンピューティングデバイスは、画像取り込みデバイス１６、１８、データベース、および互いと、電話線、ローカルエリアネットワーク、またはインターネットのような広域ネットワーク、といった有線または無線リンク８３、８４、８５、８６、８７、８８を介して通信し得る。
【００２５】
図２〜図４は、図５および図６に関連して議論される、これらのコンピューティングデバイスの例示的なソフトウェアコンポーネントを示す。
【００２６】
図２を参照すると、命令６４は、画像ＩＸに基づいてビジュアル署名ＶＸ９２を計算するための署名計算コンポーネント９０と、たとえば識別子ＰＸ９６を生成するために画像ＩＸにＡＬＰＲを実行する識別子認識コンポーネント９４と、（ＰＸ，ＴＸ）のハッシュＨＸ１００を計算するための一方向暗号化コンポーネント（ハッシングコンポーネント）９８と、メモリ４４に記憶され得る非公開鍵ＫＰＲＩＶ１０６を使用してＨＸから対称暗号鍵ＫＸ１０４を生成するための暗号鍵生成コンポーネント１０２と、データベース６８に記憶され得る暗号化された画像ＩＸ′１１０を生成するために対称暗号鍵ＫＸを使用して画像ＩＸを暗号化する画像暗号化コンポーネント１０８と、を含む。
【００２７】
署名計算コンポーネント９０は、受け取られた画像ＩＸ１２からトリミングされた画像１１２を自動で抽出するトリミングコンポーネントを含み得、トリミングされた画像１１２は、関心オブジェクト（たとえば、ライセンスプレート番号を含む区域）を含むように予測される。署名計算コンポーネント９０は続いて、たとえば、トリミングされた領域（またはさらにトリミングされた領域）の画素のみに基づいて、ビジュアル署名を計算する。計算されたビジュアル署名ＶＸと、（オプションで暗号化された）メタデータＴＸと、オプションでまた、暗号化された画像ＩＸ′が、データベース６８に記憶される。データベース６８は、画像ＩＸ′、および、期限切れの、たとえば条件がもはや満たされ得ない場合の、それらに関連づけられたメタデータ、といったもはや関係のないデータを除去するために定期的にパージされ得る。
【００２８】
図３を参照すると、命令６６は、画像ＩＹに基づいてビジュアル署名ＶＹ１２２を計算するための署名計算コンポーネント１２０（コンポーネント９０に類似）と、たとえば識別子ＰＹ１２６を生成するために画像ＩＹにＡＬＰＲを実行する識別子認識コンポーネント１２４（コンポーネント９４に類似）と、（ＰＹ，ＴＸ）のハッシュＨＹ１３０を計算するための一方向暗号化コンポーネント（ハッシングコンポーネント）１２８（コンポーネント９８に類似）と、メモリ４６に記憶され得る非公開鍵ＫＰＲＩＶ１３６（鍵ＫＰＲＩＶ１０６と同一）を使用してＨＹから暗号鍵ＫＹ１３４を再構成するための暗号鍵再構成コンポーネント１３２（コンポーネント１０２に類似）と、（入力画像ＩＸと同一であるべき）解読された画像１４０を生成するために暗号鍵ＫＹを対称解読鍵として使用して暗号化された画像ＩＸ′１１０を解読する画像解読コンポーネント１３８と、署名ＶＸを検索し、一致があるかどうかを判定するためにそれを署名ＶＹ１２２と比較する署名突き合わせコンポーネント１４４と、ＴＸおよびＴＹに基づいて条件が満たされるかどうかを判定する条件計算コンポーネント１４６と、他のコンポーネントによって計算された情報に基づいて証拠パッケージ１５０を出力する情報処理コンポーネント１４８と、を含む。
【００２９】
署名計算コンポーネント１２０は、受け取られた画像ＩＹ１４からトリミングされた画像１５２を自動で抽出するトリミングコンポーネントを含み得、トリミングされた画像１５２は、関心オブジェクト（たとえば、ライセンスプレート番号を含む区域）を含むように予測される。署名計算コンポーネント１２０は続いて、たとえば、トリミングされた領域（またはさらにトリミングされた領域）の画素のみに基づいて、ビジュアル署名を計算する。計算されたビジュアル署名ＶＹとメタデータＴＹがメモリ４６に記憶され得る。
【００３０】
理解されるように、スケーリング、スキューの除去、画素解像度の低減、画像エンハンスメント技法、カラーからモノクロへの変換、等といった、取り込まれた画像ＩＸ、ＩＹの何らかの前処理が、ビジュアル署名の計算の前および／または最中のいずれかの時間に実行され得る。
【００３１】
署名突き合わせコンポーネント１４４は、画像が場所Ｘで以前に取り込まれた車両のために計算されたビジュアル署名ＶＸから１つ以上の一致する署名を識別するために、各々の新たなビジュアル署名ＶＹを用いてデータベース６８にアクセスする。署名突き合わせコンポーネントは、最も近い一致（Ｖ＊と呼ばれる）であるビジュアル署名ＶＸを、それに関連づけられたメタデータＴＸ（Ｔ＊と呼ばれる）と共に検索する。
【００３２】
識別子認識コンポーネント９４、１２４は、ライセンスプレート番号のような認識された車両の識別子に対応する、それぞれ文字列ＰＸまたはＰＹを生成するために、それぞれ画像ＩＸまたはＩＹに文字認識（ＡＬＰＲ）を実行する。
【００３３】
条件計算コンポーネント１４６は、ＴＹおよびＴ＊の関数である条件が満たされるかどうかを判定するためのテストを実行する。たとえば、コンポーネント１４６は、Ｔ＊とＴＹとの間の時間差に基づいて平均速度を計算する。テストが満足される場合、たとえば、テストの結果が肯定的である場合、情報処理コンポーネント１４８が、テストが満たされたことを追認する証拠パッケージ１５０を出力する。これは、応用例に依存して、たとえば、速度違反切符、未払いの車両料金、駐車券、等といった、違反が行われたとの通知の自動化された生成を含み得る。
【００３４】
図４を参照すると、命令８２は、対称暗号化鍵ＫＸを受け取り、画像ＩＸを得るためにＫＸを用いて暗号化された画像ＩＸ′を解読する画像解読コンポーネント１６０（コンポーネント１２０に類似）と、サービスオペレータによって提供された公開鍵Ｋｐｕｂ１６４と（ＰＸ，ＴＸ）をハッシングすることによって得られた結果とを使用することによって対称暗号鍵ＫＸが妥当であることを確認する暗号署名確認コンポーネント１６２とを含む。報告コンポーネント１６６は、暗号署名が妥当であるかどうかを示す妥当性検査報告１６８と、画像ＩＸ、ＩＹおよびそれらに関連づけられたメタデータのコピーとを、所有者、取締りを担う政府当局、等による使用のために生成し、出力する。
【００３５】
もう一度図１を参照すると、システム１０は、１つ以上のコンピューティングデバイス４０、４２、７０に存在し得る。各々のコンピューティングデバイスは、専用または汎用コンピューティングデバイス、たとえば、デスクトップ、ラップトップ、パームトップコンピュータ、携帯情報端末（ＰＤＡ）、サーバコンピュータ、携帯電話、タブレットコンピュータ、携帯無線呼出し器、それらの組み合わせ、または例示的な方法を実行するための命令を実行可能な他のコンピューティングデバイスといったＰＣであり得る。
【００３６】
システム１０は、ユーザに情報を表示するためのＬＣＤスクリーンまたはコンピュータモニタのような表示デバイス１８０、キーボードまたはタッチスクリーンまたは書き込み可能なスクリーンのようなユーザ入力デバイス１８２、および／または、テキストを入力し、ユーザ入力情報およびコマンド選択をそれぞれのプロセッサ４８、５０、７４に通信するためのマウス、トラックボール、等のようなカーソル制御デバイス、の１つ以上と、入力／出力インターフェース５４、７４、７８の１つ以上を介して通信し得る。表示デバイスおよびユーザ入力デバイスはクライアントコンピューティングデバイス１８４の一部であるように示されているが、他の実施形態において、それらは、システムコンピューティングデバイス４０、４２、７０の１つに直接リンクし得る。
【００３７】
メモリ４４、４６、７２は、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、磁気ディスクまたはテープ、光学ディスク、フラッシュメモリ、またはホログラフィックメモリ、といった任意のタイプの非一時的なコンピュータ読み取り可能な媒体を表現し得る。一実施形態において、メモリ４４、４６、７２は、ランダムアクセスメモリと読み取り専用メモリとの組み合わせを備える。いくつかの実施形態において、プロセッサ４８、５０、７４およびそれぞれのメモリ４４、４６、７２は、単一チップにおいて組み合わせられ得る。
【００３８】
ネットワークインターフェース５２、５４、５６、５８、７６、７８は、それぞれのコンピュータに、ローカルエリアネットワーク（ＬＡＮ）または広域ネットワーク（ＷＡＮ）のようなコンピュータネットワークまたはインターネットを介した他のデバイスとの通信を可能にさせ、変調器／復調器（ＭＯＤＥＭ）、ルータ、ケーブル、および／またはイーサネット（登録商標）ポートを備え得る。
【００３９】
デジタルプロセッサ４８、５０、７４は、たとえば、シングルコアプロセッサ、デュアルコアプロセッサ（またはより一般的にはマルチコアプロセッサ）、デジタルプロセッサおよび協働する数値演算コプロセッサ、デジタルコントローラ、等によって、さまざまに具体化され得る。デジタルプロセッサ４８、５０、７４は、それぞれのコンピュータの動作を制御することに加えて、図７において概説される方法を少なくとも部分的に実行するためにメモリに記憶された命令を実行する。
【００４０】
「ソフトウェア」という用語は、本明細書において使用される場合、ソフトウェアの意思であるタスクを実行するようにコンピュータまたは他のデジタルシステムを構成するようにコンピュータまたは他のデジタルシステムによって実行可能な命令の任意のコレクションまたはセットを含むように意図される。本明細書において使用される「ソフトウェア」という用語は、ＲＡＭ、ハードディスク、光学ディスク、等といった記憶媒体に記憶された命令を含むようにも意図され、ＲＯＭ、等に記憶されたソフトウェアであるいわゆる「ファームウェア」を含むようにも意図される。そのようなソフトウェアは、さまざまな手法で編成されることができ、ライブラリ、リモートサーバ等に記憶されたインターネットベースのプログラム、ソースコード、解釈実行コード、オブジェクトコード、直接的に実行可能なコード、等として編成されたソフトウェアコンポーネントを含み得る。ソフトウェアが、ある特定の機能を実行するためにサーバまたは他の場所に存在する他のソフトウェアへのシステムレベルコードまたはコールを呼び出し得ることが意図される。
【００４１】
図５を参照すると、プライバシーを保護する識別子認識のための方法の概要が示され、それは、図６に関しさらに詳細に説明される方法の一実施形態のいくつかのステップを示す。
【００４２】
方法は、場所Ｘでのビジュアル取り込みの証拠を提供するために、（公開鍵暗号化および共有秘密鍵暗号化とも呼ばれる）非対称鍵暗号化および対称鍵暗号化の一方または両方のような暗号化方法を使用する。そのような暗号化システムは周知である。具体的には、非対称鍵暗号化では、２つの別個の暗号鍵が用いられ、そのうちの一方は、秘密（または非公開）鍵であり、そのうちのもう一方は、非公開鍵と数学的にリンクする公開鍵である。公開鍵は、データを暗号化し、デジタル署名を確認するために使用される一方で、非公開鍵は、解読またはデジタル署名の作成のために使用される。対称鍵暗号化では、同一の暗号鍵またはほぼ同様のそのコピーが、暗号化と解読の両方のために使用され得る。
【００４３】
この実施形態における方法には、３つの主要な当事者が存在する。
１）サービスオペレータ、たとえば、場所ＸおよびＹで動作する、駐車場のオペレータ、料金徴収口のオペレータ、等
２）たとえばＺでの、確認オーソリティ
３）車両、および、車両のライセンスプレートを介して間接的に車両の運転者および／または所有者
【００４４】
方法はＳ１００で始まる。
【００４５】
Ｓ１０２では、場所Ｘで、車両の第１の画像ＩＸだけでなく、画像ＩＸが取り込みデバイス１６、２６によって取り込まれた時間ＴＸのようなメタデータが収集される。
【００４６】
Ｓ１０４で、画像ＩＸのビジュアル署名ＶＸが（たとえば、署名計算コンポーネント９０によって）計算される。署名は、ＴＸまたはＴＸ′と共に（および／または一意のイベントＩＤと共に）、データベース６８に記憶され得る。
【００４７】
Ｓ１０６で、ＡＬＰＲのような識別子認識が、（たとえば、識別子認識コンポーネント９４によって）ライセンスプレート番号ＰＸのような識別子を得るためにＩＸに実行される。
【００４８】
Ｓ１０８で、情報（ＰＸ，ＴＸ）が、（たとえば、ハッシングコンポーネント９８によって）暗号化された（ハッシングされた）情報ＨＸを得るために暗号化され、たとえば、一方向ハッシュ関数を用いてハッシングされる。
【００４９】
Ｓ１１０で、ハッシュ値ＨＸが、（たとえば、暗号鍵生成コンポーネント１０２によって）対称暗号鍵ＫＸを得るために非公開鍵ＫＰＲＩＶを用いて署名される。
【００５０】
Ｓ１１２で、対称暗号鍵ＫＸを使用して、画像ＩＸが、（たとえば、画像暗号化コンポーネント１０８によって）暗号化された画像ＩＸ′を得るために暗号化される。
【００５１】
Ｓ１１４で、暗号化された画像ＩＸ′が、関連づけられたメタデータＴＸおよび／またはＴＸ′（たとえば共有鍵を用いてＴＸを暗号化することによって生成された、暗号化されたＴＸの値）と共に、データベース６８に記憶される。これらは、署名ＶＸを用いてリンクを作るために一意のイベントＩＤと共に記憶され得る。
【００５２】
Ｓ１１６で、元の画像ＩＸならびにＰＸ、ＨＳＸ、およびＫＸは破棄され得るので、第２の場所Ｙまで利用可能にされない。方法はかくして、識別子が記憶されずに、数秒または１秒未満の間、瞬間的に維持されるだけ、という要求を満足し得る。
【００５３】
Ｓ１１８で、暗号化された画像ＩＸ′が公開され得る。ＩＸ′は、暗号化され、暗号化スキームを破ることによる他は、オペレータも他の誰もＩＸ′を解読できないので、たとえば、ＩＸ′は、確認オーソリティに、または何らかのサードパーティに、または誰にでも、開示され得る。これは、画像に包含される情報が非公開であることを保証するので、そのような情報に伴い得る任意のプライバシー規制を遵守する。暗号化された画像ＩＸ′は後に、場所Ｘの機器においてメタデータＴＸを生成するのに使用されるクロックが正確であることを保証し得るために使用され得る。
【００５４】
ステップＳ１０２〜Ｓ１１８は、場所Ｘで、たとえば、場所Ｘのコンピュータシステム４０によって、または部分的に手動で、サービスオペレータの制御下で実行され得る。
【００５５】
Ｓ１２０では、場所Ｙで、車両の新たな（第２の）画像ＩＹだけでなく、画像ＩＹが取り込まれた時間ＴＹのようなメタデータが（取り込みデバイス１８、２８によって）収集される。
【００５６】
Ｓ１２２で、画像ＩＹのビジュアル署名ＶＹが（たとえば、署名計算コンポーネント１２０によって）計算される。
【００５７】
Ｓ１２４で、ビジュアル署名の突き合わせが（たとえば、署名突き合わせコンポーネント１４４によって）実行され、一致があるかどうかを判定するために、ＶＹが、場所Ｘから受け取られた（たとえば、データベース６８から検索された）１つ以上の署名ＶＸと比較される。
【００５８】
Ｓ１２６で、一致が見つかった場合、方法はＳ１２８に進み、そうでなければ、方法はＳ１２０に戻るか終了する。
【００５９】
Ｓ１２８で、メタデータＴＸが検索され（または、ＴＸを生成するためにＴＸ′が検索され、解読され）、ＴＸおよびＴＹが、たとえば、ＴＸとＴＹとの間の差に基づいて、またオプションで第１および第２の場所の間の距離Ｄに基づいて、車両が、ＸとＹとの間で予め定義された速度を超えたかどうか、または、駐車場等において許可された時間を超えたかどうか、等といった条件が満たされるかどうかを判定するために（たとえば、条件計算コンポーネント１４６によって）使用される。
【００６０】
Ｓ１３０で、条件が満たされる場合、方法はＳ１３２に進み、そうでなければ、方法はＳ１２０に戻るか終了する。
【００６１】
Ｓ１３２で、ＡＬＰＲのような識別子認識が、（たとえば、識別子認識コンポーネント１２４によって）ライセンスプレート番号ＰＹのような識別子を得るためにＩＹに実行される。
【００６２】
Ｓ１３４で、情報（ＰＹ，ＴＸ）が、（たとえば、ハッシングコンポーネント１２８によって）（ＡＬＰＲが正しく実行されたのであれば、ＨＸと同一の値であるべき）ハッシュ値ＨＹを生み出すために暗号化され、たとえば、情報（ＰＸ，ＴＸ）のために使用されたのと同一の一方向ハッシュ関数を用いてハッシングされる。
【００６３】
Ｓ１３６で、ハッシュ値ＨＹが、（たとえば、暗号鍵生成コンポーネント１３２によって）（ＰＸとＰＹとが同一であることを想定すると、ＫＸと同一であるべき）暗号鍵ＫＹを得るために非公開鍵ＫＸｐｒｉｖを用いて署名される。
【００６４】
Ｓ１３８で、暗号化された画像ＩＸ′が検索され、Ｓ１４０で、暗号化された画像ＩＸ′が、（たとえば、解読コンポーネント１３８によって）画像ＩＸを得るために（対称鍵であると想定される）ＫＹを用いて解読される。
【００６５】
Ｓ１４２で、ＩＸ、ＩＹ、ＴＸ、およびＫＹを含む証拠パッケージが、（たとえば、情報処理コンポーネント１４８によって）生成され、妥当性検査オーソリティおよび／または車両の所有者に提供される。
【００６６】
Ｓ１４４で、車両の所有者に違反を通知するといった動作が開始され得る。
【００６７】
Ｓ１２０〜Ｓ１４４は、場所Ｙで、たとえば、場所Ｙのコンピュータシステムによって、または部分的に手動で、サービスオペレータまたは第２のサービスオペレータの制御下で実行され得る。
【００６８】
暗号化された画像ＩＸ′を考慮すると、ＫＸを提供される、任意の者、たとえば、車両の所有者または場所Ｚの妥当性検査サービスは、
ａ）ＩＸを得るためにＫＸを用いてＩＸ′を解読し（Ｓ１４６）、
ｂ）ＨＳＸが（ＰＸ，ＴＸ）をハッシングすることによって得られた結果の署名であるかどうかを判定するためにサービスオペレータの公開鍵Ｋｐｕｂを使用することによって署名ＫＸを確認することができる（Ｓ１４８）。したがって、２つの値は、それらが同一かどうかを見るために比較され得、そうである場合、署名が確認される。
【００６９】
方法はＳ１５０で終了する。
【００７０】
例示的な方法は、以下のようないくつかの利点を提供し得る。
ａ．それは、安全な手法で、たとえ元々取り込まれたデジタル画像が削除されたとしても、場所Ｘで撮られた画像ＩＸを車の所有者またはオーソリティに提供することを、オペレータに可能にさせる。
ｂ．それは、２つのビジュアル署名が一致しない限り、この画像へのアクセスを可能にすることを回避する。
ｃ．それは、条件が満たされたという強力な証拠を提供する。
【００７１】
理解されるように、自動ライセンスプレート認識は、特に画像取り込み時に光が不足している場合、いくつかの誤りにさらされる。場所Ｙで、画像自体は利用可能であるので、誤りは人間のオペレータによって対処され得る。場所Ｘで、ライセンスプレートが良好に認識されなかった場合、ＰＹがＰＸと異なるがゆえに異なるハッシュＨＹを生成するので、オペレータはＰＹに基づいて画像ＩＸ′を復号することができない。いくつかの実施形態において、システムは、ゼロを文字のＯとして、文字のＢを８として認識する、等といった一般的な認識誤りである、ＰＹについて考えられるさまざまなバリエーションを試みて、ＩＸ′が成功裏に復号されることを可能にし得る。一致しないライセンスプレートが回復される機会を制限するために、制限された回数の受け入れられる置換のみが、この処理において許可され得る。一致が場所Ｂで見つからない場合、この工程は場所Ａで実行されることもできる。
【００７２】
別の代替例として、たとえば、ライセンスプレートに曖昧な文字が存在する場合、ハッシングコンポーネント９８、１２８の一方または両方が、２つ以上のハッシュ値ＨＸ、ＨＹ（よって、２つ以上の暗号鍵ＫＸ、ＫＹ）を自動で生成して、異なる置換が自動で互いと比較されることを可能にし得る。たとえば、ライセンスプレートが文字のＯを有する場合、ハッシュ値は、文字のＯと数字の０の両方を用いて作成され得る。
【００７３】
鍵を作成し、場所間で共有するためのさまざまな方法が存在する。一実施形態において、場所ＸおよびＹは、ピアとして扱われる。２つのコンピューティングデバイスは各々、公開／非公開鍵のペア、ＫＸｐｕｂ、ＫＸｐｒｉｖと、ＫＹｐｕｂ、ＫＹｐｒｉｖとをそれぞれ有し得る。非公開鍵は、秘密にされ、共有されない。２つの場所は、それらの公開鍵を互いに交換し、動的な手法で共有秘密鍵を構築し得る。たとえば、図７に示すように、２つのオペレータ（ここでは、サービスオペレータと場所のオペレータとして示されているが、ＸおよびＹの２つの場所のオペレータにも同等に適用可能である）は、それらの間で秘密鍵Ｋｓｈａｒｅｄを送信したり、秘密鍵Ｋｓｈａｒｅｄが危険にさらされるリスクを冒したりせずに、同一の秘密鍵Ｋｓｈａｒｅｄのコピー１９０、１９２を有することを望む。場所Ｘのオペレータは、公開および非公開鍵のペアＫＸｐｕｂ、ＫＸｐｒｉｖ１９４、１９６を有し、場所Ｙのオペレータは、公開および非公開鍵のペアＫＹｐｕｂ、ＫＹｐｒｉｖ１９８、２００を有する。２つのオペレータは、両者のための同一の共有鍵Ｋｓｈａｒｅｄ＿ＸＹを生成するために、それらの公開鍵を交換し、残りの鍵を（ＫＹｐｕｂをＫＸｐｒｉｖと、ＫＸｐｕｂをＫＹｐｒｉｖと）組み合わせる。これは、公開および非公開鍵のペアを両者ともに所有する２つのパーティ間での鍵の共有（または鍵の交換）のための公知のアルゴリズムであるディフィーヘルマンアルゴリズムを使用することによって行われ得る。このアルゴリズムを使用する結果として、両方のパーティは、同一の秘密鍵Ｋｓｈａｒｅｄ＿ＸＹを有するので、それらは、非対称暗号化よりも（時間および計算の観点で）はるかに速やかな対称暗号化を使用してそれらの非公開の通信を続けることができる。
【００７４】
この共有秘密鍵Ｋｓｈａｒｅｄ＿ＸＹ１９０、１９２を使用して、図５におけるＫｐｒｉｖのように、それらは、それぞれＰＸ（またはＰＹ）およびＴＸに基づいて、場所ＸおよびＹにおいて同一の暗号鍵Ｋ（Ｋ＝ＫＸ＝ＫＹ）を作成することができる。再び、鍵Ｋは、ＰＸおよびＴＸをハッシングし、続いてＫｓｈａｒｅｄ＿ＸＹを用いて（ハッシュの）結果を暗号化することによって生成される。Ｋはかくして、ＫＸについて上述したように、ハッシュを暗号化した結果である。このアプローチは、単一の中央の公開／非公開鍵のペアの必要性を回避する。
【００７５】
ＩＸ′を公開することはオプションである。しかしながら、それは、ＩＸがアポステリオリに偽造されたものでないことを証明することによって証拠を裏打ちするのに役立ち得る。公開することは、一般市民または選択された人々または組織のいずれにも利用可能な情報を作ることを含み得る。
【００７６】
別の実施形態において、サービスグローバルオペレータ、たとえば、駐車場のオペレータ、料金徴収口のオペレータ、等もまた、方法における当事者である。場所Ｓのサービスグローバルオペレータと、場所Ｘのローカルオペレータと、場所Ｙのローカルオペレータと、場所Ｚの妥当性検査オーソリティと、車および車両のプレートを介して間接的に車の運転者および／または所有者と、の５つの当事者がかくして考慮され得る。システムは、図８に示すように構成されることができ、同様の要素は、同一の参照番号を付与される。この実施形態は、命令２２４を記憶するメモリ２２２、プロセッサ２２６、入力／出力デバイス２２８、２３０およびバス２３２を有し、コンピューティングデバイス４０、４２、等のように構成された、グローバルサービスオペレータコンピューティングデバイス２２０を追加する。
【００７７】
方法を実行する前に、
ａ．場所Ｓのサービスオペレータが、公開／非公開鍵のペアＫＳｐｕｂ、ＫＳｐｒｉｖを作成し、
ｂ．場所Ｘのオペレータが、公開／非公開鍵のペアＫＸｐｕｂ、ＫＸｐｒｉｖを作成し、
ｃ．場所Ｙのオペレータが、公開／非公開鍵のペアＫＹｐｕｂ、ＫＹｐｒｉｖを作成し、
ｄ．各々の場所が、（ＫＳｈａｒｅｄ＿ＸＳおよびＫＳｈａｒｅｄ＿ＹＳと表された）サービスオペレータとの秘密鍵を共有する。これは、図７に示すように、ディフィーヘルマンアルゴリズムと、サービスオペレータおよび場所のオペレータの公開および非公開鍵のペア（たとえば、ＫＸｐｒｉｖ）と、を使用することによって行われ得る。このアルゴリズムを使用する結果として、ＸおよびＳの両者が同一の秘密鍵ＫＳｈａｒｅｄ＿ＸＳを有することにより、それらは、非対称暗号化よりも（時間および計算の観点で）はるかに速やかな対称暗号化を使用してそれらの非公開の通信を続けることができるだろう。
【００７８】
図９および図１０は、この実施形態における例示的な方法の一部の概要を提供する。図１１は、指摘する点を除いては図６Ａおよび図６Ｂの方法と類似して図８のシステムを用いて実行され得る方法のより詳細な図を提供する。方法を実行するために生成される命令および方法は、図２〜図４に示す命令と同様、メモリ４４、４６、７２、２２２に記憶され得る。
【００７９】
場所Ｘで、第１の画像１２ＩＸおよび関連づけられたメタデータ３０ＴＸが（たとえば、取り込みデバイス１６、２６によって）取り込まれる（Ｓ２０２）。画像ＩＸのビジュアル署名ＶＸが、（たとえば、署名計算コンポーネント９０によって）生成され（Ｓ２０４）、ＴＸまたはＴＸ′と共に（および／または一意のイベントＩＤと共に）、メモリおよび／またはデータベース６８に記憶される。
【００８０】
ＡＬＰＲのような識別子認識が、（たとえば、識別子認識コンポーネント９４によって）ライセンスプレート番号ＰＸを得るためにＩＸに実行される（Ｓ２０６）。
【００８１】
情報（ＬＸ，ＩＸ，ＰＸ，ＴＸ）の一部または全部が、ハッシュＨＳＸを生成するために、一方向ハッシュ関数を使用して、（たとえば、ハッシングコンポーネント９８によって）ハッシングされる（Ｓ２０８）。ハッシュにおいて、ＬＸは、場所Ｘを一意に識別する値である。この目的のために、ＩＸは、画像の画素値、画像の予め定義された部分、または画像のビジュアル署名であり得る。理解されるように、３つ以上の情報を合わせて備えるハッシュを考慮すると、元の情報を再構成することは非常に困難である。
【００８２】
Ｓ２１０で、ハッシュＨＳＸが、（たとえば、暗号署名生成コンポーネント１０２によって）暗号署名データＳＸを得るために場所Ｘのための非公開鍵ＫＸｐｒｉｖを用いて署名される。
【００８３】
Ｓ２１２で、乱数ｓａｌｔが（たとえば、乱数ジェネレータ２４０（図２）を使用して）生成される。鍵Ｋが続いて、上述したＫＸと類似するが、ここでは（ＰＸ，ＴＸ，ｓａｌｔ）とＫｓｈａｒｅｄ＿ＸＳのような共有鍵とに基づいて、生成される。これは、（たとえば、ハッシングコンポーネント９８によって）ハッシュ値ＨＸＳを生成するために一方向ハッシュ関数を使用して（ＰＸ，ＴＸ，ｓａｌｔ）をハッシングすること（Ｓ２１４）と、（たとえば暗号鍵生成コンポーネント１０２によって実行される）対称暗号鍵Ｋを得るためにＫｓｈａｒｅｄ＿ＸＳのような共有鍵を用いてＨＸＳを鍵ハッシングすることまたは暗号化すること（Ｓ２１６）とを含む。
【００８４】
Ｓ２１８で、ＩＸが、（たとえば、コンポーネント１０８によって）ＩＸ′を得るために安全な対称暗号関数およびＫを使用して暗号化される。
【００８５】
Ｓ２２０で、情報（Ｓａｌｔ，ＴＸ，ＬＸ）が、（たとえば、コンポーネント２４２によって）Ｍ′を得るためにＫｐｕｂを使用して暗号化され得る。
【００８６】
Ｓ２２２で、（ＩＸ，ＰＸ，ｓａｌｔ，ＨＸＳ，ＨＳＸ，Ｋ）が破棄される。
【００８７】
追加のメタデータとして、値（ＩＸ′，Ｍ′）が、メモリまたはデータベース６８に、同一のイベントＩＤを用いて、ＴＸ（またはＴＸ′）およびビジュアル署名ＶＸと関連づけられて記憶され得る（Ｓ２２４）。ＳＸが、たとえば、車両の所有者、オーソリティ、または別のサードパーティに開示され得る（Ｓ２２６）。
【００８８】
ステップＳ２０２〜Ｓ２２６は、場所Ｘでサービスオペレータの制御下、たとえば、場所Ｘのコンピュータシステムによって、または部分的に手動で、実行され得る。
【００８９】
場所Ｙで、以下が実行され得る。
【００９０】
Ｓ２２８で、車両の新たな（第２の）画像ＩＹだけでなく、画像ＩＹが取り込まれた時間ＴＹのようなメタデータが（たとえば、取り込みデバイス１８、２８によって）収集される。
【００９１】
Ｓ２３０で、画像ＩＹのビジュアル署名ＶＹが（たとえば、コンポーネント１２０によって）計算される。
【００９２】
Ｓ２３２で、（たとえば、コンポーネント１４４によって）ビジュアル署名の突き合わせが実行され、一致があるかどうかを判定するために、ＶＹが、場所Ｘから受け取られた１つ以上の署名ＶＸと比較される（それによって、第２の画像ＩＹと第１の画像ＩＸとの間のリンクを立証する）。
【００９３】
Ｓ２３４で、一致が見つかった場合、方法はＳ２３６に進み、そうでなければ、方法はＳ２２８に戻るか終了する。
【００９４】
Ｓ２３６で、一致があった場合、ＴＸが検索され、（たとえば、コンポーネント１４６によって）メタデータＴＸとＴＹとに基づいて、条件が満たされるかどうかについての判定が行われる。このステップは、場所Ｙで、または、たとえば、ＴＸが、ＴＸ′を形成するために場所Ｓの公開鍵ＫＳｐｕｂを用いて暗号化された場合（たとえば、場所Ｙが、ＴＸ′を解読するための対応する非公開鍵ＫＸｐｒｉｖを有しない場合）には中央の場所で、実行され得る。
【００９５】
Ｓ２３８で、条件が満たされる場合、方法はＳ２４０に進み、そうでなければ、方法はＳ２２８に戻るか終了する。
【００９６】
Ｓ２４０で、一致があり、条件が満たされる場合、画像ＩＹが、（たとえば、画像暗号化コンポーネント２５０、図３によって）ＩＹ′を得るために対称暗号化関数およびＫｓｈａｒｅｄ＿ＹＳ１９２を使用して暗号化される。
【００９７】
Ｓ２４２で、暗号化された画像ＩＹ′が、Ｍ′、ＩＸ′と共に、データベース６８から検索され、中央オペレータに送られる。
【００９８】
オプションで、Ｓ２４４では、（ＬＹ，ＩＹ，ＴＹ）の一部または全部が、ハッシュＨＳＹを生成するために（たとえば、ハッシングコンポーネント１２８によって）ハッシングされ得、ハッシュは、続いて開示（Ｓ２４６）され得る暗号署名ＳＹを得るために場所Ｙの非公開鍵ＫＹｐｒｉｖを使用して署名される。ここで、ＬＹは、場所Ｙのための識別子である。ＩＹは、画像自体または署名ＶＹであり得る。
【００９９】
ステップＳ２３０〜Ｓ２４６は、場所Ｙで、コンピュータシステム４２を使用して、またはオペレータによって部分的に手動で実行され得る。
【０１００】
中央の場所Ｓ（または場所Ｙ）で、以下が実行され得る。
【０１０１】
Ｓ２４８で、暗号化された画像ＩＹ′が、対称鍵Ｋｓｈａｒｅｄ＿ＹＳ１９０を使用して解読される。
【０１０２】
Ｓ２５０で、識別子認識（たとえば、ＡＬＰＲ）が、（たとえば、図３のコンポーネント１２４と類似する識別子認識コンポーネントによって）ライセンスプレート番号のような識別子ＰＹを得るために画像ＩＹに実行される。
【０１０３】
Ｓ２５２で、Ｍ′が、（ｓａｌｔ，ＴＸ，ＬＸ）を得るために、非公開鍵ＫＳｐｒｉｖを使用して解読される。
【０１０４】
鍵Ｋが、（ＰＹ，ＴＸ，ｓａｌｔ）とＫｓｈａｒｅｄ＿ＸＳとに基づいて生成される。これは、（正しく実行された場合、ＨＸＳと同一であるべき）ＨＹＳを生成するために（ＰＹ，ＴＸ，ｓａｌｔ）をハッシングすること（Ｓ２５４）と、Ｋを得るために共有鍵Ｋｓｈａｒｅｄ＿ＸＳを使用してＨＹＳを暗号化または鍵ハッシングすることとを含み得る。
【０１０５】
Ｓ２５８で、暗号化された画像ＩＸ′が、（たとえば、図３のコンポーネント１３８と類似する画像解読コンポーネントによって）画像ＩＸを得るために対称鍵Ｋを使用して解読され得る。
【０１０６】
情報（ｓａｌｔ，ＨＹＳ，Ｋ）が破棄され得る（Ｓ２６０）。
【０１０７】
Ｓ２６２で、以下の情報（ＰＹ，ＬＸ，ＩＸ，ＴＸ，ＬＹ，ＩＹ，ＴＹ，ＩＸ′）の一部または全部が、妥当性検査オーソリティまたは車の所有者といったサードパーティに、たとえば安全な手法で、提供され得る。ステップＳ２５０〜Ｓ２６２は、場所Ｓのコンピュータシステム２２０を使用して、または中央の場所のオペレータによって部分的に手動で、実行され得る。
【０１０８】
証拠が疑われる場合、Ｓ２６４で、Ｚの妥当性検査オーソリティが、ハッシュ関数は公開されたものであり得るのでＫＸｐｕｂとハッシュの値（ＬＸ，ＩＸ，ＰＹ，ＴＸ）を使用して、以前に開示された暗号署名ＳＸが妥当であるかをチェックし得る。同様の妥当性検査が、（ＬＹ，ＩＹ，ＴＹ）を用いてＳＹについて実行され得る。妥当性検査オーソリティはまた、暗号化された第１の画像ＩＸ′が、（Ｋの再構成後に）Ｋを使用して第１の画像ＩＸから生成されたことと、Ｋが、公開され得る第１の識別子情報ＰＸ＝ＰＹをＸとＹの両方で使用されたハッシング関数を使用してハッシングすることによって第１の識別子情報ＰＸ＝ＰＹおよびメタデータＴＸ（およびオプションでＬＸ）から生成されたことと、の条件が満たされたことを、ＴＸおよびＴＹに基づいてチェックし得る。
【０１０９】
図９〜１１に示す実施形態は、図５〜６の実施形態に対しいくつかの利点を有する。たとえば、非公開鍵を遠隔の場所に配布する必要がなく、ｓａｌｔの形態でランダム性を導入することにより、対称暗号鍵Ｋを生成する際に向上したセキュリティが達成され得る。加えて、鍵Ｋは決して開示されない。
【０１１０】
要するに、図５〜６と図９〜１１とに示した例示的な方法は、
１．暗号化された画像ＩＸ′を生成するために、画像から抽出された情報ＰＸと関連づけられたメタデータＴＸとに基づいた対称暗号鍵ＫＸ（またはＫ）を用いて初期（第１の）画像ＩＸを暗号化することと、
２．オプションで、初期画像ＩＸ、抽出された情報ＰＸ、およびメタデータＴＸの存在を立証する暗号署名ＳＸを公開することと、
３．暗号化された画像ＩＸ′とメタデータＴＸのオプションで暗号化されたバージョンまたはＴＸ′とを、暗号化された画像ＩＸ′の解読を防止する形態で保ちながら、初期画像ＩＸ、抽出された情報ＰＸ、および暗号鍵ＫＸ（またはＫ）を破棄することと、
４．新たな（第２の）画像ＩＹと初期画像ＩＸとの間のリンク、
【数１】
2015119479.tif 000002
を立証し、（オプションで、暗号化された形態ＴＸ′の）初期画像ＩＸに関連づけられたメタデータＴＸを検索することと、
５．第２の画像ＩＹから（同一の）情報ＰＹを抽出し、メタデータＴＸ′（暗号化された場合）を解読し、初期画像ＩＸを暗号化するために使用された対称暗号鍵ＫＸを再構成し、暗号化された画像ＩＸ′の解読をサードパーティに可能にさせて画像ＩＸを再生成することと、
６．オプションで、証拠ＫＸｐｕｂ、ステップ２において生み出された署名ＳＸによってチェックされ得るハッシュ（ＬＸ，ＩＸ，ＰＹ，ＴＸ）を生み出すことと
を含むことができ、ＳＹは、同様に証拠として使用され得る。
７．これらのすべてのステップは、非公開鍵を交換する必要なく、分散化された手法で実行され得る。
【０１１１】
例示的なシステムおよび方法は、サービスオペレータが、たとえば、法的な理由により、両方の場所でのタイムスタンプと画像が両方とも妥当であるという証明を提供しながら、運転者のプライバシーの保護を要求する規制を遵守することを可能にする。運転者のプライバシーを保護するために、証拠は、運転者が彼のデータの処理をサービスオペレータに安心して任せられるという想定の下、条件が満たされる場合にしか読み取られない。そうでなければ、証拠は不透明なデータとして残る。
【０１１２】
図５、６および図９〜１１に示した方法は、コンピュータで実行され得るコンピュータプログラム製品において実現され得る。コンピュータプログラム製品は各々、ディスク、ハードドライブ、等といった、制御プログラムが記録（記憶）される非一時的なコンピュータ可読記録媒体を備え得る。一般的な形態の非一時的なコンピュータ可読媒体は、たとえば、フロッピー（登録商標）ディスク、フレキシブルディスク、ハードディスク、磁気テープ、または任意の他の磁気記憶媒体、ＣＤ−ＲＯＭ、ＤＶＤ、または任意の他の光学媒体、ＲＡＭ、ＰＲＯＭ、ＥＰＲＯＭ、ＦＬＡＳＨ−ＥＰＲＯＭ、または他のメモリチップまたはカートリッジ、またはコンピュータが読み取り、使用することができる任意の他の非一時的な媒体を含む。コンピュータプログラム製品は、それが存在するコンピュータに統合されることも（たとえば、内蔵されたＲＡＭのハードドライブ）、または分離されることも（たとえば、コンピュータと動作可能に接続された外部のハードドライブ）、または分離されかつローカルエリアネットワーク（ＬＡＮ）またはインターネットのようなデジタルデータネットワークを介してアクセスされることもできる（たとえば、リダンダントアレイオブインエクスペンシブオブインディペンデントディスクズ（ＲＡＩＤ）またはデジタルネットワークを介してコンピュータによって間接的にアクセスされる他のネットワークサーバストレージ）。
【０１１３】
あるいは、方法は、制御プログラムが、電波および赤外線によるデータ通信中などに生成されるもののような音波または光波といった伝送媒体を使用するデータ信号として組み込まれる、伝送可能な搬送波のような一時的な媒体において実現され得る。
【０１１４】
例示的な方法は、１つ以上の汎用コンピュータ、専用コンピュータ（単数または複数）、プログラムされたマイクロプロセッサまたはマイクロコントローラおよび周辺用集積回路素子、ＡＳＩＣまたは他の集積回路、デジタルシグナルプロセッサ、離散素子回路のような配線電子回路または配線論理回路、ＰＬＤ、ＰＬＡ、ＦＰＧＡ、グラフィカルカードＣＰＵ（ＧＰＵ）、またはＰＡＬ、等といったプログラマブル論理デバイス上で実現され得る。一般的に、図５〜６および図９〜１１に示すフローチャートをその下で実現できる有限ステートマシンを実現できる任意のデバイスが、方法を実現するために使用され得る。理解されるように、方法のステップはすべてコンピュータで実現され得るが、いくつかの実施形態では、ステップの１つ以上は、少なくとも部分的に手動で実行され得る。
【０１１５】
例示的な方法のステップのいくつかのさらなる詳細がここで説明される。
【０１１６】
取り込まれた画像１２、１４（ＩＸおよびＩＹ）は、ＪＰＥＧ、ＧＩＦ、ＪＢＩＧ、ＢＭＰ、ＴＩＦＦ、等または画像用に使用される他の一般的なファイル形式のような、オプションで処理の前に別の適切な形式に変換され得る、任意の適切なファイル形式で、システム１０により受け取られ得る。入力画像は処理中、データメモリに記憶され得る。画像は、写真、またはビデオ画像のような画像のシーケンスから抽出された画像、といった個々の画像であり得る。一般的に、各々の入力デジタル画像は、画像を形成する画素のアレイについての画像データを含む。画像データは、Ｌ＊ａ＊ｂ＊またはＲＧＢのような色分解のセットの各々のためのグレースケール値のような色素値を含み得、すなわち、異なる色が表現され得る別の他の色空間において表され得る。一般的に、「グレースケール」は、任意の単一の色チャネルの光学密度値であるが、（Ｌ＊ａ＊ｂ＊、ＲＧＢ、ＹＣｂＣｒ、等）で表される光学密度値のことを言う。方法はまた、黒および白（モノクローム）の画像にも適する。「色」という用語は、色相、彩度、および明度といった絶対的な色値と、色相、彩度、および明度の差といった相対的な色値と、を含むがこれに限定されない、指定され得る色の任意の態様のことを言うために使用される。いくつかの実施形態において、色（すなわち、画素値）は、約８００ｎｍ〜２５００ｎｍの近赤外線（ＮＩＲ）領域のような電磁波スペクトルの非可視領域のことを言い得る。
【０１１７】
所与の場所Ｘ、Ｙでの画像の取り込みは、任意の適切な手法でトリガされ得る。一実施形態では、車両の存在を検出し、撮影（およびことによるとフラッシュ）をトリガするループセンサが、局所的に、たとえば、地中に配置され得る。一実施形態では、カメラ１６、１８が画像のシーケンスを備えるビデオを撮影し、動き検出アルゴリズムまたはオブジェクト検出アルゴリズム（または両者の組み合わせ）が用いられ、画像シーケンス中の車両の存在を検出し、それに応じてシーケンスから１つの画像を選択する。画像は、フルカラー、モノクローム、ＮＩＲ（近赤外線）、またはそれらの組み合わせで取り込まれ得る。
【０１１８】
いくつかの実施形態において、同一の画像取り込みデバイスが、たとえば駐車場において、画像ＩＸおよびＩＹの両方を取り込むために使用され得る。
【０１１９】
関連づけられたメタデータ３０、３２は各々、所定の条件が満たされているかどうかについての判定が行われることを可能にするに足る情報を含み得る。タイムスタンプ、車両の現在の速度、ＧＰＳロケーション、支払い情報、気象情報、等の１つ以上といった、１つ以上の異なるタイプの情報が収集され得る。
【０１２０】
例示的な実施形態において、ビジュアル署名ＶＸ、ＶＹは、車両（または車両の一部）を一意に識別するに足る情報を包含するとともに、視点または光の条件のバリエーションに適応するに足るほどロバストであるべきである。それはまた、ビジュアル署名を考慮したところで元の画像も識別子もビジュアル署名から再構成されることができないような手法で構成される。
【０１２１】
例示的な実施形態において、ビジュアル署名ＶＸ、ＶＹは、ライセンスプレート、またはライセンスプレート番号を含むライセンスプレートのうちの少なくともライセンスプレート番号の部分、を含む領域のような、識別子を包含すると予測される画像の領域から抽出される。この領域を識別するために、画像の対応する部分を抽出する検出アルゴリズムが実行され得る。
【０１２２】
関心領域が識別され、この領域を含むトリミングされた画像が生成されると、ビジュアル署名ＶＸ、ＶＹが、トリミングされた領域で計算され得る。一般的に、ビジュアル署名は、トリミングされた画像の画素の統計的な表現である。たとえば、トリミングされた画像のパッチのセットが、１つまたは複数のスケールの格子で、たとえば高密度に、抽出される。パッチは、画像の分割によって、特定の関心点検出器を適用することによって、規則的な格子を考慮することによって、または単に画像のパッチのランダムなサンプリングによって、得られることができる。例示的な実施形態において、パッチは、トリミングされた画像全体または画像の少なくとも一部分または大部分にわたり、オプションで複数のスケールの、規則的な格子で、抽出される。たとえば、少なくとも１０個または少なくとも２０個または少なくとも５０個のパッチが、各々のトリミングされた画像から抽出される。各々のパッチは、少なくとも４０画素または少なくとも１００画素、および最大１，０００，０００画素まで、またはそれ以上を備え得る。
【０１２３】
各々のパッチについて、形状、色、および／または勾配（ＳＩＦＴ）特徴のような低レベル特徴が抽出される（Ｄ．Ｌｏｗｅ，“Ｄｉｓｔｉｎｃｔｉｖｅ  ｉｍａｇｅ  ｆｅａｔｕｒｅｓ  ｆｒｏｍ  ｓｃａｌｅ−ｉｎｖａｒｉａｎｔ  ｋｅｙｐｏｉｎｔｓ”，ＩＪＣＶ，２００４を参照）。パッチについて抽出された低レベル特徴の表現であるベクトルまたはヒストグラムといった、パッチ記述子が生成される。すべてのパッチの記述子に基づいて、画像の全体的なビジュアル署名が生成される。特に、統計がこれらのパッチ記述子について計算され、続いて統計が集約される。
【０１２４】
各々のビジュアル署名は、Ｄ次元空間における（トリミングされた）画像の固定長のベクトル表現である。一実施形態において、ビジュアル署名は、フィッシャーベクトル（ＦＶ）に基づく。トレーニングされたＧＭＭが、関心範囲内の任意の画像のコンテンツ（たとえば、関心範囲がライセンスプレートである場合には、任意のライセンスプレート画像）を記述するように意図される。フィッシャーカーネル表現がフィッシャーベクトルの集約によって生成され得る。Ｃｓｕｒｋａ  ｅｔ  ａｌ．，  Ｖｉｓｕａｌ  Ｃａｔｅｇｏｒｉｚａｔｉｏｎ  ｗｉｔｈ  Ｂａｇｓ  ｏｆ  Ｋｅｙｐｏｉｎｔｓ，  ＥＣＣＶ  Ｗｏｒｋｓｈｏｐ，  ２００４のバッグオブビジュアルワードのような他の画像表現が使用され得る。
【０１２５】
フィッシャーベクトルは、ライセンスプレートの処理において見出される光度的および幾何学的なばらつきの範囲においてロバストネスを示す。簡潔には、フィッシャーベクトルは、局所的なパッチ記述子を固定長の表現に集約することによって機能する。まず、ＳＩＦＴ記述子が、規則的な格子で複数のスケールで抽出されたパッチから抽出され、それらの次元数がオプションで、主成分分析（ＰＣＡ）を使用して減じられる。ビジュアルボキャブラリーが、画像のヘルドアウトセットから抽出されたパッチ記述子を用いてガウス混合モデル（ＧＭＭ）を推定することにより構築される。他のアプローチでは、画像のパッチの局所的な記述子がクラスタに割り当てられる。たとえば、ビジュアルボキャブラリーは、トレーニング画像から抽出された局所的な記述子をたとえばＫ平均法クラスタリング分析を使用してクラスタリングすることにより前もって得られる。各々のパッチのベクトルが続いて、最近傍のクラスタに割り当てられ、割り当てのヒストグラムが生成され得る。他のアプローチでは、上述したフィッシャーベクトルのケースにおけるように、確率論的枠組みが用いられる。たとえば、すべての局所的な記述子が発せられるガウス混合モデル（ＧＭＭ）のような基礎となる生成モデルが存在することが想定される。各々のパッチはかくして、重みのベクトルによって特徴づけられることができ、混合モデルを形成するガウシアン関数のセット（たとえば、少なくとも５個または１０個）の各々につき１つの重みである。このケースでは、ビジュアルボキャブラリーが、エクスペクテーションマキシマイゼーション（ＥＭ）アルゴリズムを使用して推定され得る。いずれのケースにおいても、ボキャブラリーにおける各々のビジュアルワードは、典型的な低レベル特徴のグルーピングに対応する。ビジュアルワードは各々、（デジタルというよりもむしろ）ビジュアルオブジェクトのタイプ（たとえば、直線、曲線、等といった文字の特徴）、特徴的な背景（たとえば、明るいまたは暗い表面、等）、等といった中間レベルの画像特徴に（ほぼ）対応し得る。ビジュアル署名に割り当てられる画像を考慮すると、各々の抽出された局所的な記述子は、前もってトレーニングされたボキャブラリーのなかで最もそれに近いビジュアルワードに、または、確率的なモデルのケースでは確率論的な手法ですべてのビジュアルワードに、割り当てられる。ヒストグラムが、各々のビジュアルワードの発生を蓄積することによって計算される。ヒストグラムは、ビジュアル署名としての役割を果たすことができ、または、それに基づいてビジュアル署名を出力する生成モデルに入力され得る。
【０１２６】
フィッシャーベクトルは、ＧＭＭパラメータについての対数尤度の導関数として計算される。たとえば、平均のみが考慮される場合、表現が
【数２】
2015119479.tif 000003
によって付与されることが示され得る。ここで、γ（Ｘｔ）は、ｉ個目のガウシアンへのｔ個目のパッチのソフトな割り当ての確率であり、ｘｔ，ｄは、ｉ個目のパッチのｄ個目の成分であり、ｍｉ，ｄおよびＳｉ，ｄは、対角共分散を想定して、ｉ個目のガウシアンの平均および標準偏差のｄ個目の成分である。ここで、ｉ＝１．．．Ｋおよびｄ＝１．．．Ｄである。平均についての導関数のみが使用される場合には、結果として生じるフィッシャーベクトルは、Ｋ×Ｄ個の要素の連結ｆｉｄである。ベクトルの平方根およびｌ２の正規化が使用され得る。
【０１２７】
トリミングされた画像についての空間情報を含めるために、画像は、少なくとも３つの領域といった領域に区画化され得、パッチあたりの統計が領域レベルで集約され、続いて領域レベルの表現が画像表現を形成するために連結される。
【０１２８】
例示的なビジュアル署名は、固定の次元数Ｄであり、すなわち、各々の画像表現は同数の要素を有する。一般的に、各々の画像表現は、少なくとも３０次元、または少なくとも６０次元、または少なくとも１００次元、または少なくとも５００次元、および１０００次元まで、またはそれ以上の次元を有し、各々の次元は、それぞれの特徴の値を有し、それは、より少ない次元に減じられ得る。
【０１２９】
例として、低レベル特徴は、パッチあたり１つのＳＩＦＴ記述子のような勾配特徴を含む。たとえば、Ｌｏｗｅ，“Ｄｉｓｔｉｎｃｔｉｖｅ  ｉｍａｇｅ  ｆｅａｔｕｒｅｓ  ｆｒｏｍ  ｓｃａｌｅ−ｉｎｖａｒｉａｎｔ  ｋｅｙｐｏｉｎｔｓ”，ＩＪＣＶ，ｖｏｌ．６０（２００４）を参照。ＳＩＦＴ特徴を用いる１つの例示的な例において、特徴は、５つのスケールで（１６画素毎に）規則的な格子で３２×３２画素のパッチから抽出される。これらの記述子の次元数は、１２８次元から３２次元に減じられ得る。抽出され得る他の適切な局所的な記述子は、単純な９６次元の色の特徴を含み、パッチが４×４個の下位領域に細分され、各々の下位領域において平均および標準偏差が３つのチャネル（Ｒ、Ｇ、およびＢ）について計算される。これらは単に例示的な例にすぎず、追加のおよび／または他の特徴が使用され得る。以下の例では、６４個のガウシアンのビジュアルボキャブラリーがＧＭＭにおいて使用され、平均パラメータに対する勾配のみが考慮される。トリミングされた画像は、４つの領域（４つの垂直なストライプ）に分割される。これは、３２×６４×４＝８，１９２次元のＦＶ表現を結果としてもたらす。表現は、処理を高速化するために、従来の技法（ローカリティセンシティブハッシング（ＬＳＨ）、直積量子化、主成分分析（ＰＣＡ）、等）を使用してインデックスされ、圧縮され得る。
【０１３０】
ビジュアル署名は、ビジュアル署名からの識別子からの認識を可能にしないものである。ＦＶのようなビジュアル署名は、元の画像がそれについて再構成されることができないという所望の特性を実現するので、ビジュアル署名から元の画像（またはライセンスプレート番号）を回復するための実現可能な手法がないがゆえに元の画像のハッシュ鍵として見られ得る。これは、個々のパッチのアイデンティティが集約処理において失われるからである。結果としてこれは、サービスオペレータが、すべての車両のアイデンティティへのアクセスを有するのではなく、動作のトリガを引き起こすごく一部の車両（たとえば、制限速度を超えて走行する車両）のアイデンティティへのアクセスしか有しないので、プライバシーの問題を減じる。パスワードを記憶するために使用されるハッシング関数のように、元の画像を回復するための唯一の方法は、すべての可能な画像とのブルートフォースの突き合わせの実行を試みることである。
【０１３１】
署名／メタデータのペア（ＶＸ，ＴＸまたはＴＸ′）は共にリンクさせられてデータベース６８に記憶されるので、署名突き合わせコンポーネント１４４が署名ＶＸと新たな画像ＩＹのビジュアル署名ＶＹとの間の一致を見つけるたびに、署名突き合わせコンポーネント１４４は、関連づけられたメタデータを戻すことができる。
【０１３２】
ビジュアル探索（Ｓ１２４、Ｓ２３２）
クエリビジュアル署名ＶＹを考慮すると、最もそれに近い一致（単数または複数）についてデータベース６８が探索される。使用される類似度は、用いられるビジュアル署名のタイプに依存し得る。コサイン距離が、ＦＶについての適切な類似度であることが示されている。しかしながら、ユークリッド距離およびマンハッタン距離といった他の類似度もまた意図される。ユークリッド距離、ドット積、ｃｈｉ２距離、カルバックライブラー（ＫＬ）ダイバージェンス、ジェンセンシャノンダイバージェンス、等が、たとえば、バッグオブビジュアルワード方法において、他のタイプのビジュアル署名についての類似を計算するのに使用され得る。
【０１３３】
データベース６８に記憶されたビジュアル署名ＶＸの数が十分に少ない（たとえば、数千個オーダーのビジュアル署名である）場合には、最も近い一致Ｖ＊の探索は、網羅的に、すなわち、ビジュアルクエリをすべてのデータベースの項目と比較することにより、行われ得る。データベース６８がより多くの数の画像を包含する場合、網羅的な探索は時間の浪費であり得る。このケースでは、近似探索技法が用いられ得る。
【０１３４】
フィッシャーベクトルはフィッシャーカーネルの明示的な埋め込みであるので、２つのそのような画像記述子ＶＸおよびＶＹ間の対応するコサイン類似度は、ドット積ＶＸＴＶＹである。候補のプレートがデータベースにおけるすべての画像に対し比較され、類似が十分に高いという条件で、最も近い一致のアイデンティティが割り当てられる。
【０１３５】
一実施形態において、ビジュアル署名（たとえば、ＦＶ）は（識別子を形成する文字列の観点で）、たとえば、類似が実際の類似についての良好なインジケータであるベクトル空間にビジュアル署名を埋め込むためのメトリックを学習することによって得られる、射影を適用することにより、より識別力のあるものにされ得る。ＦＶは、特に学習された射影と組み合わせると、ライセンスプレート画像の突き合わせに特に適していることが実験的に示されている。フィッシャーベクトルもまた、ＡＬＰＲを実行すること、続いてシーケンスを比較すること、を要する標準的なライセンスプレート突き合わせアプローチを凌ぐものであることが以下に示される。
【０１３６】
条件計算コンポーネント１４６は、２つ（以上）の場所で収集されたメタデータに基づいてさまざまなメトリックを計算し得る。たとえば、タイムスタンプおよびＧＰＳ座標が使用されて平均速度が推論され得る。これは、制限速度を超過しているかどうかを判定するために、しきい値速度、たとえば、最大制限速度と比較され得る。気象条件（たとえば、検出された降雨または視界）に関連する情報のケースでは、これは、車両の平均速度が、通常の掲示制限速度よりも遅いものであり得る気象に関連する制限速度を超過したかどうかを判定するために使用され得る。
【０１３７】
いくつかの応用例では、「入場」時に取り込まれた画像が「券」に関連づけられる。かくして、メタデータは、券のＩＤ、券のステータス（支払い済み、未払い）、支払い額、（たとえば支払い額に基づいた）許可された時間、等を含み得る。たとえば、利用者に２時間の時間にわたる駐車を許可するために券にお金が支払われたが、利用者が４時間にわたって駐車した場合、未払いの額がオプションで科料を伴って計算され得る。このケースでは、Ｓ１２４で適用されるテスト条件は、たとえば、いくらかの余裕を可能にするように、計算された時間と許可された時間との間の関係を定義し得る。たとえば、条件は、計算された時間が許可された時間を５分、１０分、または１５分といった少なくとも所定の長さだけ、または、許可された時間の何パーセントかだけ超過した場合にテストが満たされると指定し得る。
【０１３８】
理解されるように、テストは、２つ以上の条件を含むことができ、所与のテストは、テストが満たされるためには条件の１つ以上（またはすべて）が満足されることを要求し得る。いくつかのケースにおいて、条件は、選択肢で評価され得る。たとえば、１つの条件は、条件１が満足される場合、条件２をテストし、そうでなければ条件３をテストすることを指定し得る。異なる条件は、メタデータの同一の部分または異なる部分に依拠し得る。たとえば、１つの条件は、気象または一日のうちの時間／曜日に関連し、別の条件は、車両の計算された速度、駐車場における滞在期間、等に関連し得る。
【０１３９】
ＡＬＰＲのような識別子認識が、画像の取り込み後および画像の暗号化前の任意の時間に第１の場所Ｘで実行され得る。一実施形態において、Ｓ１２８、Ｓ２３６でメタデータについて実行されるテストが肯定される（たとえば、掲示制限速度を上回る速度、支払い額に対応しない駐車持続時間、券にお金を支払わずに駐車場を出場すること）場合にのみ、続いて識別子認識、たとえば、ＡＬＰＲが実行される。ＡＬＰＲは、このケースでは第２の場所Ｙまたは中央の場所Ｓで実行され得る。ＡＬＰＲは、トリミングまたは他の処理の前または後に、画像ＩＸ、ＩＹに実行され得る。たとえば、任意の適切なＡＬＰＲシステムが、トリミングされた画像におけるライセンスプレート番号を認識するのに使用され得る。ビデオシーケンスにおけるように複数の画像ＩＸ、ＩＹが場所ＸまたはＹで得られた場合、これらは、それぞれ、画像ＩＸまたはＩＹと同一であるとみなされる。
【０１４０】
ライセンスプレート番号の認識のケースにおいて、車両の識別子（時にレジストレーションプレート番号またはライセンスプレート番号と呼ばれる）は、文字および数字のような予め定義されたアルファベットから導き出された文字列（有限の文字セット）を含む。ライセンスプレート番号は、それが搭載された車両を発行地域のデータベース内で一意に識別する数字またはアルファベットのコードであり得る。
【０１４１】
ライセンスプレート認識コンポーネント９４、１２４は、トリミングされた（または元の）画像ＩＸ、ＩＹにおける文字に対応するように予測される有限のアルファベットから導き出された文字列を識別するために、光学文字認識（ＯＣＲ）を単独で、または他の技法と組み合わせて使用し得る。空間および有限のアルファベットにおけるもの以外の文字は無視され得る。いくつかの実施形態において、認識コンポーネント９４、１２４は、発行の状態といった追加のテキスト情報を抽出し得る。ロゴもまた、記憶されたロゴデータベースから認識され得る。
【０１４２】
理解されるように、ライセンスプレート番号およびライセンスプレートの画像は、例示的なものにすぎず、例示的な実施形態を説明するために使用されている。他の実施形態では、ＡＳＣＩＩ、ＵＮＩＣＯＤＥ、および／またはＵＴＦ−８の文字のより大きなセットがアルファベットとして使用され得る。
【０１４３】
システムによって開始される動作は、応用例のタイプに依存し得る。ライセンスプレートのケースでは、トリガされる動作は、識別されたそれぞれのライセンスプレート番号に関連づけられる（たとえば、違反者を起訴する、駐車場のオペレータにアラートする、駐車の罰金を科す、等）。
【０１４４】
いくつかの実施形態において、ビジュアル署名突き合わせコンポーネント１４４が１００％の精度をもたらすものと想定することが合理的である。そのようなケースでは、以下の動作が実行され得る。
【０１４５】
１．場所Ｘで、場所Ｘで取り込まれた画像のすべてが署名の計算後に破棄され得る。
【０１４６】
２．場所Ｙで、違反していない車両の画像および署名のすべてが、Ｓ１４２の後に破棄され得る。
【０１４７】
しかしながら、１００％の精度は実際には常に可能であるわけではない。たとえば、以下の失敗の原因が見出され得る。第一に、ビジュアル署名突き合わせコンポーネント１４４は時に、たとえば、最も近い一致における信頼度が非常に低いがゆえに何の結果も戻さない。そのようなケースでは、ステップＳ１３４等は、単に実行されない。これはまた、Ｖ＊として検索されるべきであった対応する署名がことによるといつまでもデータベースに残っていることを意味する。二度と必要とされ得ない署名でデータベースが占められるようになることを回避するために、データベースは定期的にパージされ得、その最も古い項目が、たとえば、それらが所定の長さの時間を超えてシステム内にある場合に除去される。Ｓ１２８でテストされる条件が所定の長さの時間後に満たされ得ない（たとえば、計算された速度が制限速度をもはや超過し得ない）ケースにおいて、指定された条件を満たし得ない署名ＶＸはパージされ得る。
【０１４８】
第二の失敗の原因は、署名突き合わせコンポーネント１４４が所定の信頼度しきい値よりも高い信頼度を有する誤った結果を戻し得る、誤検出である。これは、車両の所有者が誤って駐車券／速度違反切符を受け取ることまたは他の動作が行われることをもたらし得る。そのようなケースでは、誤りがわかったときに人間のオペレータがそのような誤りを修正し得ることを保証することが所望され得る。たとえば、プロシージャが、車両の運転者、サービス提供者、または法執行機関がシステムを疑うために確立され得る。失敗が起こったことを確認するのを支援するために、暗号化された画像ＩＸ′はデータベースに記憶されるかまたは証拠パッケージにおいて確認オーソリティに配布されることができる。ＩＸおよびＩＹの両方が、Ｓ１４２で出力される証拠パッケージに含まれ得る。証拠パッケージへのアクセスを許可された人物（たとえば、警察官）のみが、画像を解読するために必要とされる非公開鍵へのアクセスを有し得る。
【０１４９】
例示的なシステムおよび方法が用途を見出し得る場合の例は、以下を含む。
【０１５０】
１．二地点間の取締り、たとえば、中距離／長距離での速度の取締り。
【０１５１】
２．駐車場の入場および出場の監視。車両が駐車場を出場する際に、署名突き合わせコンポーネントが、車両のビジュアル署名を入場トランザクションと関連づける。券が入場時に顧客に配布されることを想定すると、メタデータは、タイムスタンプ、券の番号、およびその券についての支払いステータスを含み得る。出場時に、Ｓ１２８でのメタデータの処理が、券が支払い済みであること、支払われた額が正しい持続時間に対応することをチェックする。券の取り換えを回避するために券が入場および出場時に同一の車に関連づけられているかどうかを確かめることもまた可能である。ゲートを有する駐車場では、それは、行って問題を解決するようにとのオペレータへのアラートをトリガし得る。ゲートのない駐車場では、罰金が顧客に科せられ得る。
【０１５２】
券のない駐車場のケースでは、車両が駐車場を出場する際に、署名突き合わせコンポーネントが、車両のビジュアル署名を入場トランザクションに関連づける。駐車料金の支払い時に、利用者が、ビジュアル署名をライセンスプレート番号のような情報に関連づけ得る。メタデータは、そのライセンスプレート番号についてのタイムスタンプおよび支払いステータスを含み得る。出場時、Ｓ１２８でのメタデータの処理が、ライセンスプレート番号について支払われた額が正しい持続時間に対応することをチェックする。ゲートを有する駐車場では、それは、行って問題を解決するようにとのオペレータへのアラートをトリガし得る。ゲートのない駐車場では、罰金が顧客に科せられ得る。
【０１５３】
３．自動料金：これは、車両ＩＤを自動支払いに加入した運転者の銀行口座／クレジットカードに関連づけることを含み得る。
【０１５４】
４．違反の取締り：これは、起訴のために違反車両のＩＤを車両の所有者のアイデンティティに関連づけることを含み得る。
【０１５５】
５．駐車場の管理：これは、車両ＩＤを発行された駐車券に関連づけ、駐車場の出場時に自動でゲートを開けること、または、車両ＩＤを加入した顧客の口座に関連づけ、自動ですべてのゲートを開けることを含み得る。
【０１５６】
６．車両の流れの分析／データマイニング：これは、移動回数の測定、挙動のパターンの分析、等のために、繰り返し通行する車両ＩＤを追跡することを含み得る。
【図１】
2015119479.tif 000004
【図２】
2015119479.tif 000005
【図３】
2015119479.tif 000006
【図４】
2015119479.tif 000007
【図５】
2015119479.tif 000008
【図６Ａ】
2015119479.tif 000009
【図６Ｂ】
2015119479.tif 000010
【図７】
2015119479.tif 000011
【図８】
2015119479.tif 000012
【図９】
2015119479.tif 000013
【図１０】
2015119479.tif 000014
【図１１Ａ】
2015119479.tif 000015
【図１１Ｂ】
2015119479.tif 000016