空港・出入国管理における顔認識

eGateは実際に何を照合しているのか

eGateが行うのは本人識別ではなく本人確認です。渡航者が旅券や搭乗情報を提示し、システムはその記録に紐づく写真を取り出し、その1件の記録と現地で撮影した画像を照合します。照合対象は1件であるため、渡航者数が増えてもゲートの処理能力は劣化しません。

1. 書類の読み取り：ICチップまたは機械読取領域から、取り出すべき記録を特定します。
2. 登録画像の取得：政府の保有情報または航空会社の搭乗者情報から、その記録の写真を取得します。
3. 現地撮影：ゲートに近づく、または立ち止まった渡航者のフレームをカメラが取得します。
4. 照合：現地の1テンプレートと登録済みの1テンプレートを比較し、スコアを算出します。
5. 判定：閾値を超えればゲートが開き、下回れば拒否ではなく係官への誘導となります。

実務で機能するかどうかを決めるのは最後の工程です。誘導ではなく拒否をするゲートは、本人拒否のたびに事案を発生させます。誘導するゲートであれば数秒と人による確認で済み、これは待ち行列が吸収できる範囲です。

国境における顔認識の現在の規模

CBPはさらに39の港湾と、南西部・北部両国境のすべての歩行者レーンでの運用を報告しています。システムを運用する当局自身による実績値であり、単一の国家規模の導入について公開されている数値としては最も確かなものです。比率ではなく累計の合計です。

ゲートに必要な撮影条件

ゲートでの性能を決める要素はすべて、ソフトウェアを選定する前に決まる光学と設置位置の判断です。実証が期待外れに終わる最も一般的な原因は、顔ではなく空間全体を写す目的で設置されたカメラであり、必要な情報が最初から写っていないフレームは、閾値の調整では回復できません。

処理能力がアーキテクチャを決める理由

入国審査場は待ち行列のシステムであり、生体認証ゲートはその中の1つの処理装置です。重要なのは2つのテンプレートの比較時間（ミリ秒単位）ではなく、渡航者がゲートに到着してからゲートが開くまでの時間です。書類の読み取り、記録の取得、再試行がすべて含まれます。

• 遠隔サービスへの往復は全取引に遅延を加えます。1人あたりの秒数が審査場の行列の長さに直結する場所での話です。
• 障害時、クラウド依存のゲートは完全に停止します。オンプレミスのゲートは、接続の復旧を待つ間もローカル機器で稼働を続けます。
• 初回成功率より再試行の挙動が重要です。総処理能力では、遅い1回より速い2回の方が優ることが多くあります。
• 誘導レーンは実際の誘導率に見合う規模が必要です。さもなければ、ゲートで解消したはずの滞留がそこに生じます。

国境と航空分野の導入が圧倒的にオンプレミスまたはエッジである理由はここにあります。データ保護以前に処理能力と可用性の判断であり、データ保護の観点も同じ方向を示します。

ゲートで対応できない渡航者への備え

生体認証を用いる国境の導入には、必ず処理できない対象者層が存在し、その規模が審査場に必要な有人対応の規模を決めます。標準的な渡航者に合わせて設計し、それ以外を例外として扱うことが、唯一の有人カウンターの前に行列ができる原因です。

• 子ども：顔の変化が速く、以前の登録写真では一致しないことがあり、撮影される身長帯を下回る場合も多くあります。
• 車椅子利用者や身長が標準から外れる渡航者：固定角のカメラでは部分的、あるいは見下ろす画角になります。
• 宗教上の頭部の覆いを着用する渡航者：適法な着用であり、拒否の理由としてはなりません。
• 顔に相違や外傷があり、あるいは手術直後の方：登録写真が実際にもはや本人と異なる場合です。
• 法令上その選択が認められる場合に生体認証を辞退する渡航者：不利益を伴わない通過経路が必要です。

いずれも精度の失敗ではなく、より優れたアルゴリズムで解決するものでもありません。実証で測定した実際の誘導率に見合う有人窓口を何台置くか、ゲートが開かなかったとき係官が何をするよう指示されているか、という処理能力と手順の問題です。照合率だけを測る導入は、旅客が体験する部分を測っていません。

実証で観測される誘導率は不具合報告ではなく設計上の入力値です。その拠点が実際に扱う渡航者層全体について、しかも実証時の集団と最も性質が異なる季節と時間帯に測定すべきです。

調達前に決めておくべきこと

1. 提示された書類に対する本人確認か、ギャラリーに対する本人識別かを明記します。法的義務が異なり、仕様書の生体認証という語ではどちらとも区別できません。
2. 実際のゲート位置を調査し、渡航者が立つ位置での顔の画素数を測定します。
3. ゲート台数より先に、誘導経路、その要員、想定件数を定義します。
4. ネットワークや電源の障害時の動作を定義します。ゲートを閉状態で保持するか解放するかを含みます。
5. 何を保持するかを合意します。現地撮影画像、照合スコア、判定結果、およびそれぞれの保存期間です。
6. 自拠点のカメラで実証を行い、成功した照合だけでなく2種類の誤りの報告を求めます。

アルゴリズムに関する独立した証拠はNISTによるものです。提出されたアルゴリズムを非公開データで測定し結果を公表します。NISTは特定のベンダーを推奨するものではなく認証も発行しないため、良好な結果は候補を絞るものであり、導入を決めるのは実証です。