"画像入力部に入力された画像に撮像されている人物の顔の特徴量を抽出する特徴量抽出部と、前記特徴量抽出部が抽出した人物の顔の特徴量から暗号鍵を生成する暗号鍵生成部と、前記特徴量抽出部が抽出した人物の顔の特徴量から検索情報を生成する検索情報生成部と、前記暗号鍵生成部が生成した暗号鍵で、この暗号鍵を生成した画像を暗号化する暗号化処理部と、前記検索情報生成部が生成した検索情報と、前記暗号化処理部が暗号化した画像と、を対応づけて記録媒体に登録する登録部と、前記検索情報生成部が生成した検索情報により、前記記録媒体に登録されている暗号化した画像を検索する検索部と、前記検索部により検索された画像を復号化する復号化処理部と、を備えた画像管理装置。前記暗号鍵生成部が生成した暗号鍵から、復号鍵を生成する復号鍵生成部と、前記復号化処理部は、前記検索部により検索された画像を、前記復号鍵生成部が生成した復号鍵で復号化する、請求項1に記載の画像管理装置。前記検索情報生成部は、前記暗号鍵生成部が生成した暗号鍵を、予め定めた一方向性のハッシュ関数に与えたときに得られたハッシュ値を検索情報として生成する、請求項1、または2に記載の画像管理装置。前記特徴量抽出部は、N次元ベクトルで、前記画像入力部に入力された画像に撮像されている人物の顔の特徴量を抽出し、前記暗号鍵生成部は、特徴量の次元毎に、その次元の値を予め定めた閾値で2値化したNビット列を暗号鍵として生成する、請求項1~3のいずれか1項に記載の画像管理装置。画像入力部に入力された画像に撮像されている人物の顔の特徴量を抽出する特徴量抽出ステップと、前記特徴量抽出ステップで抽出した人物の顔の特徴量から暗号鍵を生成する暗号鍵生成ステップと、前記特徴量抽出ステップで抽出した人物の顔の特徴量から検索情報を生成する検索情報生成ステップと、前記暗号鍵生成ステップで生成した暗号鍵で、この暗号鍵を生成した画像を暗号化する暗号化処理ステップと、前記検索情報生成ステップで生成した検索情報と、前記暗号化処理ステップで暗号化した画像と、を対応づけて記録媒体に登録する登録ステップと、前記検索情報生成ステップで生成した検索情報により、前記記録媒体に登録されている暗号化した画像を検索する検索ステップと、前記検索ステップにより検索された画像を復号化する復号化処理ステップと、をコンピュータに実行させる画像管理プログラム。画像入力部に入力された画像に撮像されている人物の顔の特徴量を抽出する特徴量抽出ステップと、前記特徴量抽出ステップで抽出した人物の顔の特徴量から暗号鍵を生成する暗号鍵生成ステップと、前記特徴量抽出ステップで抽出した人物の顔の特徴量から検索情報を生成する検索情報生成ステップと、前記暗号鍵生成ステップで生成した暗号鍵で、この暗号鍵を生成した画像を暗号化する暗号化処理ステップと、前記検索情報生成ステップで生成した検索情報と、前記暗号化処理ステップで暗号化した画像と、を対応づけて記録媒体に登録する登録ステップと、前記検索情報生成ステップで生成した検索情報により、前記記録媒体に登録されている暗号化した画像を検索する検索ステップと、前記検索ステップにより検索された画像を復号化する復号化処理ステップと、をコンピュータが実行する画像管理方法。しかしながら、特許文献1~3等に記載されているものは、データベース等の記録媒体に記録保存されている撮像画像が漏洩した場合に、漏洩した撮像画像が誰にでも確認されるのを防止しているだけであった。一方で、防犯カメラの撮像画像は、上述したように、必要に応じて確認できるように、しばらくの間、データベース等の記録媒体に記録保存している。すなわち、特許文献1~3等に記載されているものは、管理者等の一部の人については、データベース等の記録媒体に暗号化して記録保存されている撮像画像を、復号化して確認できるように構成している。したがって、管理者等の一部の人は、不審者等の特定の人物対象者について記録保存されている撮像画像を確認するとき、記録保存されている撮像画像に撮像されている対象者とは無関係である不特定多数の人の撮像画像についても確認できる。このため、管理者等の一部については、記録保存されている撮像画像に撮像されている不特定多数の人のプライバシが保護されていなかった。例えば、管理者等の一部の人が、対象者について記録保存されている撮像画像を確認したときに、確認した撮像画像に撮像されていた対象者と無関係の人の個人情報を偶然知り、それを周囲の人にもらす可能性がある。また、管理者等の一部の人が、悪意を持って、記録保存されている撮像画像を確認することもある。この発明の目的は、暗号化して記録保存している画像を確認することが許容されている管理者等の一部の人についても、画像を確認したい対象者と無関係の人については、そのプライバシを保護することができる画像管理装置、画像管理プログラム、および画像管理方法を提供することにある。この発明の画像管理装置は、上記課題を解決し、その目的を達するため、以下のように構成している。特徴量抽出部が、画像入力部に入力された画像に撮像されている人物の顔の特徴量を抽出する。画像入力部に入力される画像は、静止画像であってもよいし、動画像であってもよい。動画像の場合は、その動画像を構成するフレーム画像に対して処理を行う。特徴量抽出部は、例えば撮像されている人物の顔の輪郭、目、鼻、口等の顔部品の大きさや形状等を特徴量として抽出する。暗号鍵生成部が、特徴量抽出部が抽出した人物の顔の特徴量から暗号鍵を生成する。検索情報生成部が、特徴量抽出部が抽出した人物の顔の特徴量から検索情報を生成する。暗号化処理部が、暗号鍵生成部が生成した暗号鍵で、この暗号鍵を生成した画像を暗号化する。登録部が、検索情報生成部が生成した検索情報と、暗号化処理部が暗号化した画像と、を対応づけて記録媒体に登録する。したがって、記録媒体に登録されている画像記録保存されている画像は、その画像に撮像されている人物の顔顔の特徴量に基づいて生成された暗号鍵で暗号化されている。すなわち、記録媒体に登録されている画像は、その画像に撮像されている人物によって復号化するのに用いる鍵復号鍵が異なる。復号鍵は、その画像の暗号化に用いた暗号鍵と同じ鍵暗号鍵であってもよいし、異なる鍵暗号鍵と対になる鍵であってもよい。また、画像入力部には、暗号化して記録媒体に記録保存する画像だけでなく、記録媒体に記録保存されている画像を確認するときに、画像を確認する人物検索対象者の顔画像も入力される。特徴量抽出部は、検索対象者の顔画像が画像入力部に入力された場合も、上述したように、対象者の顔の特徴量を抽出し、検索情報生成部は、ここで抽出された検索対象者の顔の特徴量に基づき、検索情報を生成する。検索部が、検索情報生成部が生成した検索情報により、記録媒体に登録されている暗号化した画像、すなわち検索対象者の画像を検索する。そして、復号化処理部が、検索部により検索された画像を復号化する。したがって、記録保存している画像を確認することが許容されている管理者等の一部の人は、暗号化して記録媒体に記録保存されている画像に対して、検索対象者が撮像されている画像を簡単に確認できる。一方で、検索対象者が撮像されていない画像については、復号化しないので、検索対象者とは無関係の人にかかるプライバシは、管理者等の一部の人に対しても保護できる。また、暗号鍵生成部が生成した暗号鍵から、復号鍵を生成する復号鍵生成部を設けてもよい。この場合、復号鍵は、その画像の暗号化に用いた暗号鍵と対になる鍵を生成する。また、検索情報生成部は、暗号鍵生成部が生成した暗号鍵を、予め定めた一方向性のハッシュ関数に与えたときに得られたハッシュ値を検索情報として生成する構成にしてもよい。このように構成すれば、記録媒体に記録保存している暗号化した画像に対応づけている検索情報から、対応する画像の暗号鍵や復号鍵が生成されるのを防止できる。したがって、記録媒体に記録保存されている画像が漏洩した場合においても、記録されている検索情報から、対応する画像が復号化されるのを防止できる。これにより、記録保存している撮像画像が漏洩した場合であっても、撮像されている個人のプライバシを十分に保護できる。さらに、暗号鍵生成部は、特徴量抽出部が抽出した人物の顔の特徴量を用いて暗号鍵を生成する。例えば、特徴量抽出部が、N次元ベクトルで、画像入力部に入力された画像に撮像されている人物の顔の特徴量を抽出し、暗号鍵生成部が、特徴量の次元毎に、その次元の値を予め定めた閾値で2値化したNビット列を暗号鍵として生成する。これにより、暗号化して記録保存されている画像に撮像されている人物の顔と、検索時に入力された対象者の顔の画像との間における、アングルの違いや、背景の明るさの違い等により生じる、抽出される顔の特徴量の違いを吸収することができる。この発明によれば、暗号化して記録保存している画像を確認することが許容されている管理者等の一部の人に対しても、画像を確認したい対象者と無関係の人については、そのプライバシを保護することができる。以下、この発明の実施形態である画像管理装置について説明する。図1は、この発明の実施形態である画像管理装置1の主要部の構成を示すブロック図である。この画像管理装置1には、撮像装置2、データベース3DB3、および表示装置4が接続されている。撮像装置2は、例えば駅、繁華街、ショッピングセンタ、コンビニエンスストア等に設置されている防犯カメラである。データベース3は、撮像装置2で撮像した撮像画像を記録保存する記録媒体である。表示装置4は、撮像装置2が撮像している撮像画像をリアルタイムで表示したり、データベース3に記録保存されている画像を表示したりするためのモニタである。この画像管理装置1は、撮像装置2の撮像画像を暗号化し、暗号化した撮像画像をデータベース3に登録記録保存する。また、画像管理装置1は、データベース3に記録されている画像を検索し、この検索で得た画像を復号化し、表示装置4に出力する。この画像管理装置1に接続される撮像装置2は、1台であってもよいし、複数台であってもよい。また、撮像装置2の撮像画像を記録保存するデータベース3は、画像管理装置1毎に備える構成であってもよいし、複数の画像管理装置1で共有する構成であってもよい。画像管理装置1は、図1に示すように、制御部11と、画像入力部12と、画像処理部13と、操作部14と、出力部15と、を備えている。制御部11は、画像管理装置1本体各部の動作を制御する。画像入力部12は、撮像装置2を接続している。画像入力部12は、撮像装置2から撮像画像が入力される。また、画像入力部12は、後述する検索画像の入力も受け付ける。画像処理部13は、画像入力部12に入力された登録画像撮像装置2の撮像画像を処理し、この画像を暗号化してデータベース3に記録保存する。また、画像処理部13は、画像入力部12に入力された検索画像を処理し、データベース3に記録保存されている画像の中から該当する画像を検索し、検索した画像を復号化する。操作部14は、キーボードやマウス等の入力デバイスを有し、オペレータによる入力操作を受け付ける。オペレータは、データベース3に記録保存されている画像の確認が許容される管理者等である。出力部15は、表示装置4を接続している。出力部15は、画像入力部12に入力された画像や、データベース3から検索して復号化した画像を、接続されている表示装置4に出力する。出力部15は、上述した表示装置4以外に、プリンタ等の印字装置の接続も行える。次に、上述した画像処理部13の機能構成について説明する。図2は、画像処理部13の機能構成を示す概略のブロック図である。画像処理部13は、特徴量抽出部21と、暗号鍵生成部22と、検索情報生成部23と、暗号化処理部24と、登録部25と、検索部26と、復号鍵生成部27と、復号化処理部28と、を有している。特徴量抽出部21は、画像入力部12に入力された登録画像、または検索画像に撮像されている人物の顔の特徴量を抽出する。輪郭、目、鼻、口等の顔部品の大きさや形状等、特徴量を抽出する項目抽出項目については予め定めている。抽出する特徴量は値である。特徴量抽出部21は、抽出した特徴量に基づくN次元のベクトル以下、特徴ベクトルと言う。を生成する。特徴ベクトルは、数十~数百程度50~200程度の次元ベクトルである。撮像されている人物が同一人物であれば、2つの画像から抽出した特徴ベクトル間の距離は比較的小さいが、2つの画像間における、アングルの違いや、背景の明るさの違い等により、完全に一致することは稀である。撮像されている人物が同一人物でなければ、2つの画像から抽出した特徴ベクトル間の距離は、同位置人物である場合に比べれば極めて大きくなる。暗号鍵生成部22は、特徴ベクトルの次元毎に、その値を予め定めた閾値と比較し、閾値未満であれば0、閾値以上であれば1としたNビット列の暗号鍵を生成する。これにより、同一人物が撮像されている画像であれば、ある程度の確率で同じ暗号鍵を生成することができる。検索情報生成部23は、暗号鍵生成部22が生成した暗号鍵から検索情報を生成する。具体的には、暗号鍵生成部22が生成した暗号鍵を、予め定めている一方向性のハッシュ関数に与え、このときに得られたハッシュ値を検索情報として取得する。上述したように、同一人物が撮像されている画像であれば、ある程度の確率で同じ暗号鍵を生成することができるので、同一人物が撮像されている画像であれば、ある程度の確率で同じ検索情報が得られる。また、暗号鍵は、特徴量抽出部21が抽出した画像登録画像、または検索画像に撮像されている人物の顔の特徴量に基づいて生成していることから、検索情報も特徴量抽出部21が抽出した画像に撮像されている人物の顔の特徴量に基づいて生成されている。暗号化処理部24は、暗号鍵生成部22が生成したNビット列の暗号鍵を用いて、登録画像を暗号化する。暗号化処理部24は、静止画像を暗号化するときは、その静止画像にかかる画像データを暗号鍵で暗号化する。また、暗号化処理部24は、動画像を暗号化するときは、その動画像にかかる動画像データMPEG等により圧縮された動画像データを暗号鍵で暗号化する。登録部25は、暗号化処理部24が暗号化した画像暗号化画像と、検索情報生成部23が生成した検索情報と、を対応づけてデータベース3に登録する。登録部25は、暗号鍵生成部22が生成した暗号鍵については、データベース3に登録した暗号化画像に対応づけない。すなわち、データベース3に記録保存している暗号化画像には、検索情報が対応づけられているが、暗号鍵については対応づけられていない。検索部26は、検索情報生成部23が生成した検索情報を用いて、データベース3に記録保存されている画像を検索する。復号鍵生成部27は、暗号鍵生成部22が生成したNビット列の暗号鍵から、この暗号鍵と対になる復号鍵を生成する。暗号鍵と、復号鍵とは同じ鍵であってもよい。この場合、復号鍵生成部27は、不要にできる。復号化処理部28は、復号鍵生成部27が生成した復号鍵で、検索部26が検索した画像の復号化を行う。画像管理装置1は、復号化処理部28が復号化した画像を出力部15から出力する。この画像管理装置1の動作について詳細に説明する。この画像管理装置1は、登録処理、および検索処理を実行する。登録処理は、撮像装置2の撮像画像を暗号化してデータベース3に登録記録保存する処理である。また、検索処理は、データベース3に記録保存されている暗号化画像の中から、指定する人物が撮像されている画像を検索し、得られた画像を復号化して出力する処理である。まず、登録処理について説明する。図3は、登録処理を示すフローチャートである。画像管理装置1は、撮像装置2の撮像画像が登録画像として画像入力部12に入力されている。特徴量抽出部21は、画像入力部12に入力されたフレーム画像毎に、そのフレーム画像に人物の顔が撮像されているかどうかを判定するs1。画像処理部13は、人物の顔が撮像されていない画像については、以下に示すs2以降の処理を実行しない。すなわち、人物の顔が撮像されていない画像については、データベース3に登録しない。特徴量抽出部21は、s1で人物の顔が撮像されている画像であると判定すると、撮像されている人物の顔の特徴量を抽出し、ここで抽出した特徴量に基づく、N次元の特徴ベクトルを生成するs2。例えば、図4Aに示す人物Aの顔が撮像されている場合、特徴ベクトルA=x1,x2,x3,xnを生成し、図4Bに示す人物Bの顔が撮像されている場合、特徴ベクトルB=y1,y2,y3,ynを生成し、図4Cに示す人物Cの顔が撮像されている場合、特徴ベクトルC=z1,z2,z3,znを生成する。このs2で生成する特徴ベクトルの各次元の値は特徴量である。暗号鍵生成部22は、特徴量抽出部21が生成した特徴ベクトルから、暗号鍵を生成するs3。s3では、予め定めた閾値Thを用い、特徴ベクトルの次元毎に、その値が、予め定めている閾値Th以上であれば1、閾値Th未満であれば0としたNビット列の暗号鍵を生成する。また、検索情報生成部23は、暗号鍵生成部22が生成した暗号鍵から検索情報を生成するs4。検索情報生成部23は、暗号鍵生成部22が生成した暗号鍵を、予め定めている一方向性のハッシュ関数に与え、このときに得られたハッシュ値を検索情報として取得する。暗号鍵生成部22が生成した暗号鍵を検索情報から得ることは理論的にいえば不可能ではないが、実質的には非常に困難である。暗号化処理部24は、暗号鍵生成部22が生成した暗号鍵で、この暗号鍵を生成した人物の顔が撮像されている登録画像を暗号化するs5。すなわち、登録画像に撮像されている人物の顔の特徴量に基づいて生成した暗号鍵により、この人物の顔が撮像されている登録画像を暗号化する。s4と、s5にかかる処理の順番は、どちらが先であってもよい。登録部25は、暗号化処理部24が暗号化した暗号化画像と、検索情報生成部23が生成した検索情報と、を対応づけてデータベース3に記録保存するs6。このとき、暗号鍵生成部22が生成した暗号鍵については、データベース3に記録する暗号化画像に対応づけない。なお、データベース3に記録保存する画像は、静止画像であってもよいし、動画像であってもよい。動画像の場合は、暗号鍵を生成した人物が撮像されている動画像にかかる動画像データを生成し、この動画像データを暗号鍵で暗号化すればよい。このように、データベース3には、暗号化画像と、検索情報とが対応づけて登録され、これが記録保存される。次に、検索処理について説明する。図5は、この検索処理を示すフローチャートである。オペレータが、データベース3に記録保存されている暗号化画像に対して、検索する人物検索対象者の顔が撮像されている画像検索画像を画像入力部12に入力する。この検索画像の入力は、例えば、検索対象者の顔画像が撮像されている写真等をスキャナで読み取らせて入力する構成であってもよいし、検索対象者が撮像されている写真等の画像データを入力する構成であってもよいし、さらには、撮像装置2で撮像した検索対象者が撮像されているフレーム画像を入力する構成であってもよい。この検索処理では、画像入力部12に検索画像が入力されるとs11、上述した登録処理と同様に、特徴量抽出部21が、画像入力部12に入力された検索画像に撮像されている人物の顔の特徴量を抽出し、N次元の特徴ベクトルを生成するs12。暗号鍵生成部22は、特徴量抽出部21が生成した特徴ベクトルから、暗号鍵を生成するs13。s13は、上述したs3と同じ処理である。一般に、同一人物であっても、撮像画像における周辺の明るさや、顔の向き等のアングルの相違により、完全に一致する可能性は極めて低いが、顔の特徴量が同じであることから特徴ベクトルが大きく異なることはなく、ある程度近似したもの極めて近いものになる。そして、上述したように、暗号鍵は、特徴ベクトルを、次元毎に、予め定めた閾値Thで2値化したNビット列であるので、同一人物である場合、暗号鍵生成部22で生成される暗号鍵は、ある程度の確率で一致する。検索情報生成部23は、暗号鍵生成部22が生成した暗号鍵から検索情報を生成するs14。s14は、上述したs4と同じ処理である。また、上述したように、同一人物である場合、暗号鍵生成部22で生成される暗号鍵が、ある程度の確率で一致することから、検索情報も同じ確率で一致する。検索部26は、s14で生成した検索情報をキーにして、データベース3を検索するs15。s15では、データベース3に記録保存されている画像中から、検索情報が一致する画像暗号化された画像を検索する。上述したように、同一人物である場合、検索情報がある程度の確率で一致することから、データベース3に記録保存されている画像の中で、今回入力された検索画像に撮像されている人物が撮像されている画像については、ある程度の割合で検索できる。また、データベース3に記録保存されている画像の中で、今回入力された検索画像に撮像されている人物が撮像されていない画像が、誤って検索されることもない。復号鍵生成部27は、s15で検索された画像があればs16、s13で生成した暗号鍵で暗号化された画像を復号するのに用いる復号鍵を生成するs17。復号鍵は、s13で生成した暗号鍵に対になる鍵である。例えば、暗号鍵を公開鍵とした場合における、秘密鍵が復号鍵である。なお、s13で生成した暗号鍵を、復号鍵とする構成であってもよい。この場合、s15にかかる処理を不要にできる。また、画像処理部13は、s15で検索された画像がなければ、該当画像なしを制御部11に通知するs18。復号化処理部28は、検索部26によるデータベース3の検索により得られた暗号化画像を、s17で生成した復号鍵で復号するs19。画像管理装置1は、復号化処理部28が復号化した画像を出力部15から出力する。このように、画像管理装置1は、オペレータが用いた検索画像に撮像されている人物については、データベース3を検索し、記録保存されている当該人物が撮像されている画像を復号化して出力する。一方、オペレータが用いた検索画像に撮像されていない人物については、データベース3から検索されることがないので、オペレータ等に対しても検索対象者以外の人のプライバシを十分に保護することができる。また、データベース3には、暗号化した画像と、検索情報と、を対応づけて登録しているだけであるので、このデータベース3に記録保存している画像が漏洩しても、データベース3に記録保存している暗号化画像が復号化されて確認されるのを防止できる。したがって、データベース3に記録保存している画像の漏洩に対するプライバシの保護も十分に確保できる。なお、登録画像に撮像されている人物が複数人である場合は、撮像されている人物毎に暗号鍵を生成し、生成した暗号鍵毎に、画像を暗号化してデータベース3に記録保存すればよい。また、上記の例では、同一人物が撮像されている場合、生成する暗号鍵、および検索情報を、ある程度の確率で一致させるために、特徴ベクトルに対して、予め定めた閾値Thを用いてNビット列の暗号鍵を生成し、この暗号鍵を予め定めた一方向性のハッシュ関数に与え、このときに得られたハッシュ値を検索情報とする構成としたが、以下のように最近傍法を利用してもよい。まず、予め特徴ベクトル空間に対し、ランダムに代表点をK個生成しておく。撮像されている人物の顔画像から取得された特徴ベクトルの値を求める際、この特徴ベクトル空間中で、最も近傍にある代表点を探索する。そして、このベクトルあるいは、探索した代表点のIDから、暗号鍵を生成する。この方法であれば、代表点の近傍にある特徴ベクトルからはすべて同じ鍵を生成することができる。また、任意の特徴ベクトルに対して、K種類の鍵を生成することから、代表点の個数であるKを十分に大きくしておけば、上記の例と同様の効果を奏する。なお、この場合、Kを大きくすると、最近傍点を探索する際に必要な計算量が大きくなるが、公知のVP木のようなデータ構造を導入することで、その計算量が十分に抑えられる。また、画像管理装置1は、上述した登録機能のみを有する第1の装置と、上述した検索機能のみを有する第2の装置と、の2つの装置に分けて構成してもよい。"