Head Count: Privacy-Preserving Face-Based Crowd Monitoring

Resumo Técnico: Head Count – Monitoramento de Multidões Baseado em Rosto com Preservação de Privacidade

1. O Problema

O monitoramento automatizado de multidões é essencial para o planejamento urbano, segurança pública e gestão de eventos. Existem duas tarefas principais:

• Contagem de fluxo (Footfall): Contar pessoas em um local específico em um momento dado.
• Fluxo de multidão (Crowd Flow): Estimar quantas pessoas se movem entre diferentes locais ao longo do tempo.

O desafio central reside na reidentificação de indivíduos entre diferentes câmeras ou momentos para calcular o fluxo. Métodos tradicionais baseados em dispositivos (como endereços MAC de smartphones) tornaram-se obsoletos devido à randomização de endereços MAC nos sistemas operacionais modernos. O uso direto de dados biométricos (como rostos) para reidentificação levanta sérias preocupações de privacidade e violações de regulamentações como o GDPR, pois exige o armazenamento e vinculação de informações de identificação pessoal (PII).

O objetivo do trabalho é desenvolver um sistema capaz de contar o fluxo de pessoas entre locais não sobrepostos usando reconhecimento facial, sem jamais revelar a identidade dos indivíduos ou armazenar dados biométricos brutos.

2. Metodologia

Os autores propõem um pipeline (fluxo de processamento) que transforma dados faciais ruidosos em identificadores estáveis e criptografados, permitindo a computação de interseções de conjuntos sem expor os dados originais. O sistema opera em seis etapas principais:

1. Extração de Embeddings Faciais:

   • Câmeras detectam rostos e utilizam uma Rede Neural Profunda (DNN) pré-treinada para extrair vetores de alta dimensão (embeddings) que representam as características visuais únicas de cada pessoa.
   • Imagens da mesma pessoa geram vetores similares, mas não idênticos, devido a variações de pose, iluminação e oclusão.

2. SimHash (Preservação de Similaridade):

   • Os vetores contínuos são convertidos em strings binárias compactas usando SimHash (uma técnica de Locality-Sensitive Hashing - LSH).
   • O SimHash garante que entradas similares (do mesmo rosto) produzam códigos binários com uma pequena distância de Hamming, servindo como uma ponte entre os dados contínuos e o espaço discreto necessário para os próximos passos.

3. Extratores Difusos (Fuzzy Extractors) para Estabilidade:

   • Como as strings binárias do SimHash ainda podem variar ligeiramente entre capturas da mesma pessoa, são utilizados Extratores Difusos.
   • Esta etapa gera um identificador estável, reprodutível e não reversível (não pode ser usado para reconstruir a imagem original).
   • O extrator produz uma chave secreta ($R$) e dados públicos auxiliares ($P$). Se uma nova captura estiver dentro de uma tolerância de erro (distância de Hamming) definida, o sistema usa $P$ para reconstruir a mesma chave $R$, garantindo consistência entre câmeras diferentes.

4. Filtros de Bloom (Bloom Filters) para Representação Compacta:

   • Os identificadores estáveis são inseridos em Filtros de Bloom, uma estrutura de dados probabilística que representa um conjunto de forma eficiente em termos de espaço.
   • Isso permite que as câmeras armazenem grandes conjuntos de identificadores sem revelar seus valores reais.

5. Criptografia Homomórfica Total (FHE):

   • Para garantir a privacidade durante a transmissão e processamento, os Filtros de Bloom são criptografados usando Fully Homomorphic Encryption (FHE).
   • O FHE permite realizar operações aritméticas (como multiplicação e adição) diretamente sobre os dados criptografados.
   • As câmeras enviam apenas os filtros criptografados para um servidor central. O servidor calcula a interseção (pessoas presentes em ambos os locais) realizando operações no domínio criptografado, sem nunca ter acesso aos dados em texto plano.

6. Descriptografia e Estimativa de Cardinalidade:

   • Um cliente autorizado descriptografa o resultado da interseção.
   • O número de bits definidos no filtro de interseção resultante é usado para estimar o tamanho da interseção (número de pessoas que apareceram em ambos os locais) usando uma fórmula matemática padrão de cardinalidade de Filtros de Bloom.

3. Principais Contribuições

• Mudança de Paradigma: Transição de identificadores baseados em dispositivos (que falham devido à randomização de MAC) para identificadores baseados em biometria (rostos), sem comprometer a privacidade.
• Pipeline de Privacidade Integrada: Combinação inovadora de Extratores Difusos (para lidar com a variabilidade biométrica) e Filtros de Bloom Criptografados com FHE (para computação segura de interseções).
• Eliminação de Dados Reversíveis: O sistema garante que a imagem original e os embeddings brutos sejam descartados imediatamente após a extração do identificador estável, impossibilitando a reidentificação ou rastreamento de indivíduos.
• Validação de Viabilidade: Demonstração de que é possível realizar estimativas de fluxo de multidão precisas entre locais distintos mantendo a anonimidade total.

4. Resultados e Avaliação

Os autores realizaram uma avaliação preliminar utilizando o conjunto de dados SCface (130 indivíduos, múltiplas imagens sob diferentes condições de luz e pose).

• Configuração: As imagens foram divididas entre duas "câmeras" virtuais (A e B). O sistema tentou reconstruir o mesmo identificador para a mesma pessoa em ambas as câmeras.
• Métricas: Foram avaliados a Precisão, Recall e F1-score variando o tamanho do SimHash (64, 128, 256 bits) e a taxa de erro relativa ($r$).
• Desempenho:
  • Com $n_{bits} \ge 128$ e uma taxa de erro relativa $r \ge 20\%$, o sistema alcançou precisão e recall quase perfeitos (ex: Recall de 0,996 e Precisão de 1,000 para 256 bits com 25% de erro).
  • Isso demonstra que os extratores difusos conseguem corrigir eficazmente as variações do SimHash causadas por mudanças de pose e iluminação.
  • Taxas de erro mais baixas aumentaram o número de Falsos Negativos (falha em reconhecer a mesma pessoa), indicando que uma tolerância adequada é crucial para a robustez.
• Conclusão da Avaliação: O componente de extrator difuso é confiável para estabilizar embeddings faciais ruidosos em identificadores determinísticos, viabilizando a etapa subsequente de interseção criptografada.

5. Significado e Impacto

Este trabalho preenche uma lacuna crítica na análise de dados urbanos inteligentes (Smart Cities). Até então, não existia uma solução prática para estimar o fluxo de pessoas entre locais usando biometria facial sem violar a privacidade ou depender de dispositivos móveis.

• Conformidade Regulatória: O sistema oferece uma alternativa técnica viável para cumprir o GDPR, permitindo a análise estatística de multidões sem coletar PII (Informação Pessoal Identificável).
• Aplicabilidade: Pode ser utilizado em planejamento de transporte, gestão de eventos de grande porte e segurança pública, fornecendo dados de fluxo precisos sem a necessidade de vigilância intrusiva ou rastreamento individual.
• Futuro: Os autores planejam testar o sistema em cenários de vídeo contínuo, populações maiores e condições de imagem mais diversas para refinar os limites operacionais do método.

Em resumo, o "Head Count" demonstra que é possível contar pessoas que se movem entre câmeras diferentes preservando a anonimidade, combinando técnicas avançadas de criptografia e processamento de sinais biométricos.