入退室管理のための顔認証

顔認証は扉の何を変えるのか。

カード、キーフォブ、暗証番号には共通の性質があります。いずれも本人から切り離せるということです。残業する同僚に貸すことも、自宅に置いてくることも、リーダーから複製されることも、肩越しに盗み見られることもあります。これらを前提とした入退室記録が示すのは、どの認証媒体が提示されたかであって、誰が提示したかではありません。顔認証はこの隔たりをなくします。鍵と本人が同一だからです。

• 発行も再発行も、退職時の回収も不要になります。
• 貸し借りができないため、記録に残るのは媒体ではなく人です。
• 手がふさがった状態でも通れます。荷物を持って通る扉ほど効きます。
• 共連れが可視化されます。1名を想定した扉で、カメラは2つの顔を見ます。

引き換えになるのは、顔が失効させられないという点です。漏えいしたカードは1分で無効化して再発行できますが、漏えいした顔の特徴量はそうはいきません。このページの後半が照合の話ではなく、データをどこに置き誰が触れられるかの話に費やされているのは、そのためです。

照合は実際にどこで動くのか。

これが最初の設計判断であり、以降のほとんどを左右します。実運用で使われる構成は3つあり、どれが適切かは扉の数、ネットワーク断への許容度、そして自社ネットワークの外に何を出してよいかで決まります。

Ayonixは3つのいずれでも動作します。商談上意味を持つのは、いずれの構成でも顔画像や特徴量をベンダーのクラウドへ送る必要がないという点です。官公庁や医療のお客様にとって、この問いに答えられるかどうかがそこで決まります。

既存の扉やリーダーに後付けできるのか。

多くの場合できます。しかも置き換えではなく追加になります。入退室管理のハードウェアは階層になっており、顔認証が接続するのは施錠する層ではなく、判断する層だからです。

1. 扉への接近経路に、実際に人が来る高さと角度で顔を捉えられるようカメラを設置します。
2. 認証サービスが、入室を申し出た本人の登録情報と撮影した一枚を照合し、判定を出します。
3. その判定を、カードリーダーと同じインターフェースで既存のコントローラーへ渡します。コントローラー、電気錠、扉側の金物はそのままです。
4. 既存のカードや暗証番号の経路は併存させます。代替手段として、また来訪者の受け入れ手段として残します。

作業量のほとんどは認証そのものではなく、コントローラーとの接続と名簿の連携に出ます。コントローラーが統一済みの現場なら短期で終わり、複数世代の盤が混在する現場はそれなりにかかります。これは実証の途中ではなく、実証の前に確認しておく価値があります。

入退社に合わせて、登録はどう最新に保つのか。

入退室管理の名簿は退職者処理の質を超えられません。顔認証はこの点を緩めるのではなく、むしろ厳しくします。回収し忘れたカードは、システム上で無効化した時点で使えなくなります。削除し忘れた顔の特徴量は、照合され続けます。

• 登録は、品質の分かっている撮影による、同意にもとづく明示的な行為であること。通路のカメラから切り出した一枚ではありません。
• 名簿は、誰が在籍しているかをすでに把握している仕組みから連携すること。退職者は既存の手続きで消えます。
• 削除は特徴量の実削除であり、監査に対して示せること。
• 来訪者や協力会社には、誰かが閉じるのを覚えていなくても自動で期限切れになる経路を用意すること。

自社の人事系から登録を連携できる状態にまだない場合、誠実な順序は、少人数の手動運用で実証を行い、連携は展開の前に整えることです。展開の後ではありません。

照合できなかったとき、何が起きるのか。

生体認証は、本来通すべき人を一定の割合で通しません。顔認証の導入が評価されるのは、それがどれだけ少ないかではなく、起きたときに扉がどう振る舞うかです。

1. 扉は拒否ではなく代替に回します。カード、暗証番号、インターホンに切り替わり、本人は入室できます。
2. 代替に回った事実を代替として記録します。発生率が可視化され、推測ではなく調整の対象になります。
3. しきい値は運用者とともに、その現場が許容できる代替発生率に合わせて決めます。初期値のまま出荷はしません。
4. ネットワークやサーバーの停止時は既存の認証経路に落ちます。施錠されたままにはしません。

通すべき人を通さなかったことが「事故」になる設計は、評価でどれほど良い数値を出していても、稼働から1か月で止められます。数秒とカード1回で済む設計は生き残り、その代替記録が、どのカメラや照明に手を入れるべきかを教えてくれます。

日本の法令は顔のデータに何を求めるのか。

特定の個人を識別できる顔のデータは、個人情報保護委員会が所管する個人情報保護法の対象となります。したがって入退室管理の導入では、何を保持し、何のために、どれだけの期間、誰が参照できるのかを説明できる必要があります。それも、問われてからではなく設置の前にです。

• 個人情報保護委員会 — 法令等日本における個人データの取扱いを定める法令を、所管する規制当局自身が公開しているページです。
• プライバシー、保存期間、人による確認保存期間の決め方、人による確認を挟む意味、そして導入時に答えられる必要がある問いをまとめています。

2番目の節で述べた設計上の選択が、これらの問いに答えられるかどうかをほぼ決めます。画像も特徴量も自社ネットワークから出ない構成であれば、誰が参照できるかという問いへの答えは短く、確認も容易です。外部サービスへ送る構成では、その答えは長くなります。

入退室管理の実証は、どう設計すべきか。

難しい扉で行ってください。簡単な扉ではありません。明るいロビーで協力的な20名を対象にした実証は、2月の搬入口について何も証明しません。

• 簡単な扉を1か所、難しい扉を1か所選び、両方を測定してください。
• 精度ではなく代替発生率を測ってください。運用者が体感するのはそちらです。
• 交代時間帯を含めてください。人は一人ずつではなく、まとまって来ます。
• 代替経路も試験対象に含めてください。それも系の一部です。

• 顔認証の実証の進め方何を、誰のデータで測るのか。そして本当の結果とデモンストレーションをどう見分けるか。
• 顔認証のためのカメラ設置高さ、角度、照明、距離。エンジンよりも撮影品質を動かす要素です。