Как измерять занятость зон без биометрии и хранения лиц

Сначала определите метрику, а не датчик

Большинство проектов по занятости зон проваливаются до выбора датчика, потому что «сколько людей» — это на самом деле четыре разных измерения. Входы за день, люди в помещении прямо сейчас, сколько каждый пробыл и сколько ждёт в очереди требуют разных методов, разного размещения и разной точности. Счётчик, который идеально считает входы, может плохо показывать занятость, а система, настроенная на занятость, пропускает короткие визиты. Сначала сформулируйте точный вопрос для каждой зоны — от него зависит всё остальное.

Занятость — число присутствующих в данный момент — чаще всего считается двумя способами: нарастающим итогом «вошло минус вышло» на проходах либо прямым измерением всей зоны. Первый дешевле, но суммирует каждую ошибку направления за весь день, поэтому к закрытию счёт заметно «уплывает», если его не сбрасывать на заведомо пустое состояние, обычно ночью. Второй надёжнее, но требует покрытия датчиками всего пространства и потому дороже.

Если зона большая и открытая, а нужен не точный счёт, а тренд нагрузки, честнее и полезнее бывает грубая шкала занятости (низкая, средняя, высокая), чем точное число, которое тихо дрейфует. Допустимую погрешность задавайте до выбора железа: метрика, обязанная быть точной, требует более строгих датчиков и валидации, чем та, что лишь поддерживает решение о загрузке или численности персонала.

Выберите метод, который физически не видит лицо

Если нужна занятость и хочется убрать биометрический риск по построению, выбирайте метод, чьи «сырые» данные в принципе не позволяют установить личность. Time-of-flight-датчики излучают свет и по времени отражения строят карту глубины сверху: они уверенно считают направление, не зависят от освещения и работают в темноте, но каждый блок покрывает лишь узкий проём. Тепловизоры улавливают тепловую сигнатуру тела, анонимны по своей природе и работают в темноте, однако разрешение у них низкое, а точность падает, когда температура среды приближается к температуре тела. Радары считают людей неоптическими сигналами и сохраняют приватность, но грубее по точности.

Эти неоптические подходы реализуют более сильную версию минимизации: устройство никогда не видит лицо или опознаваемый признак, поэтому сигнал — это точки глубины или тепловые паттерны, которые не интерпретируются ни оператором, ни злоумышленником как изображение. С точки зрения приватности нельзя потерять или слить то, что не было захвачено. Оборотная сторона — потеря контекста: датчик времени пролёта над дверью отлично делает одну задачу и не скажет ничего об очередях, времени пребывания или типах объектов.

Контекст сохраняют стереозрение и видеодетекция. Две линзы дают глубину и позволяют фильтровать по росту, исключая детей или тележки; модели детекции «по телу» на уже стоящих камерах добавляют направление, зоны, пребывание и очереди. Оба подхода корректны и без распознавания лиц, но требуют осознанной инженерной работы с приватностью, потому что изображение на датчике реально существует до локальной обработки. Вид сверху значительно точнее косого: при наклонной камере люди перекрывают друг друга, а переделанная охранная камера, смотрящая на лица, — почти худшая геометрия для счёта.

Проектируйте конвейер, который остаётся анонимным

Приватность решает не столько линза, сколько архитектура. Безопасный паттерн — детекция только «по телу», инференс на самом устройстве или на вашем железе и передача наружу лишь анонимных агрегированных чисел. Детекция читает силуэт: голову и плечи человека, ведёт этот силуэт по кадру и считает его через виртуальную линию или в зону. Она не читает черты лица и не должна этого делать: входы, занятость, время пребывания и длина очереди работают на анонимных детекциях и «безымянных» треках, которые существуют, только пока человек в кадре.

Конкретные решения, сохраняющие анонимность, проверяемы. Обрабатывайте локально и храните только счёт, удаляя кадры сразу после формирования числа. Не сохраняйте идентификатор трека за пределами поля зрения: трек, закончившийся на краю кадра, должен закончиться, потому что повторная идентификация одного человека между камерами или визитами — это принципиально иная система с иными обязательствами. Где позволяет задача, агрегируйте по интервалам, а не логируйте события; настройте удаление записей и отделите аналитические данные от любого архива системы видеонаблюдения с его собственным регламентом.

«Мы потом обезличим данные» — слабее, чем «мы вообще не собираем идентифицирующие данные». Система, которая захватывает детальные изображения и затем размывает их, всё же имела идентифицируемые данные в какой-то момент; система, читающая сцену как анонимные силуэты, не создаёт личность, которую нужно защищать. Выбор более сильной позиции упрощает и оценку воздействия: можно прямо перечислить, какие записи существуют — суммарные посещения, счётчики зон, сводки пребывания и метки времени, — и ни одна из них не указывает на конкретного человека.

Юридическая граница: подсчёт — это не идентификация (152-ФЗ)

Правовая позиция «только счёт» строится на том, что агрегированные числа, которые нельзя связать с конкретным лицом, обычно не являются персональными данными, а система, создающая личности или профили, — является. По российскому 152-ФЗ изображение человека, зафиксированное камерой, относится к персональным данным по статье 3, но биометрическими данные становятся только по статье 11 — когда оператор целенаправленно использует изображение для установления личности, например при распознавании лиц. Запись для общей безопасности, даже если на ней различимы лица, биометрией не признаётся: критерий — цель использования, а не сам факт фиксации. Это следует из разъяснений Роскомнадзора, и именно поэтому отказ от идентификации радикально упрощает правовой режим.

Подсчёт и идентификация — разные деятельности: подсчёт — это движение как анонимный агрегат, идентификация — сопоставление внешности с человеком или профилем. Система, которая ведёт человека между камерами, хранит биометрические шаблоны или выводит поведение, добавляет обязательства (письменное согласие на биометрию по статье 11, уведомление оператора, особые меры защиты) — без какого-либо улучшения самой цифры занятости. Когда нужен только счёт, выбор тепловизора или time-of-flight делает разговор о соответствии проще.

Это общая информация, а не юридическая консультация, и речь о российской юрисдикции. Требования меняются от страны к стране и от сценария к сценарию: даже «бескамерный» подсчёт по Wi-Fi или Bluetooth-идентификаторам устройств во многих режимах считается обработкой персональных данных. Сверяйте свои обязательства со специалистом по защите данных и фиксируйте цель каждой камеры до запуска.

• Запускайте инференс на краю и не давайте «сырым» кадрам покидать объект или устройство.
• Проверьте, что не создаются шаблоны лиц, «походочные» сигнатуры или иные биометрические данные.
• Делайте зоны взаимоисключающими, чтобы перекрывающиеся камеры не считали одного человека дважды.
• Разместите таблички о наблюдении и, в рабочем коллективе, уведомите сотрудников под подпись.
• Ведите письменный реестр цели каждой камеры, чтобы оценка воздействия была простой.

Проверяйте точность в худших условиях, прежде чем доверять цифре

Паспортные показатели точности приводятся в условиях, далёких от реальной площадки. На счёт реально влияют геометрия и физика: группа, идущая плечом к плечу через широкий проём, недосчитывается, потому что датчик видит один силуэт; перекрытия из тележек, зонтов, багажа и плотной толпы прячут людей от любого метода, которому нужен чистый обзор; косой угол камеры накладывает людей друг на друга; а контровой свет на входе утром и на закате — самый сложный случай для видеодетекции. Ширина проёма относительно зоны покрытия датчика важнее заявленной точности самого датчика.

Есть две ошибки, которые носят не технический, а определительный характер. Человек, задержавшийся в дверях, может порождать повторные пересечения, если не добавить правило удержания: трек должен «устояться» несколько кадров, прежде чем засчитаться. А персонал, клинеры, доставка и просто прохожие — обычно главный источник расхождения системы с ручной проверкой. Исключать персонал можно, никого не называя: по паттернам и настроенным правилам — зонам только для сотрудников, расписанию или границам счётной зоны, а не по базе «кто есть кто».

Что бы вы ни внедряли, сверяйте результат с ручным счётом в худших условиях — в час пик, при худшем освещении и на самом широком входе, — потому что точность именно в таких условиях и есть единственная значимая цифра. Повторите проверку после любого перемещения камеры. Счёт, обязанный быть точным, заслуживает измерения всей зоны или ночного сброса; счёт, который лишь поддерживает решение о загрузке и численности персонала, допускает дрейф, если ошибка известна и стабильна.

Исключение персонала и определение очереди без идентификации

В рознице и на рабочих площадках чистая цифра занятости или трафика обычно должна исключать сотрудников, которые многократно пересекают вход на перерывы, по доставке и делам. Исключение персонала не требует распознавания лиц или этапа «зачисления»: оно работает через исключение движения, попадающего в настроенные служебные зоны и расписания, либо просто через определение счётной зоны так, чтобы служебные территории в неё не входили. Цель — починить знаменатель, а не называть людей.

Аналогично, метрика длины очереди или времени ожидания требует определения, где очередь начинается, — в реальном пространстве это редко ровная линия. Явно задайте границу зоны, окно удержания и триггер подсчёта до сравнения результатов. Все описанные измерения работают на анонимных детекциях людей с безымянными треками; добавление идентификации увеличивает юридические риски, ничего не улучшая в самих метриках.