CN102549614B

CN102549614B - 用于维护用户简档的隐私的隐私库

Info

Publication number: CN102549614B
Application number: CN201080045467.8A
Authority: CN
Inventors: N.奈斯; M.W.邓; E.皮卡; A.谢克德; E.D.范瓦尔肯伯格; A.G.古纳雷斯; F.阿里; S.奥菲尔; B.费尔德鲍姆; V.A.哈; D.J.肯农; M.J.托童希; U.巴拉什; C.多尔克; T.马; 李颖
Original assignee: Microsoft Technology Licensing LLC
Current assignee: Microsoft Technology Licensing LLC
Priority date: 2009-10-07
Filing date: 2010-10-06
Publication date: 2016-11-23
Anticipated expiration: 2030-10-06
Also published as: KR20120092591A; WO2011044232A2; EP2486536A2; CN102549614A; WO2011044232A3; EP2486536A4; JP5662459B2; US8312273B2; JP2013507687A; US20110083013A1; KR101735136B1

Abstract

提供了用于促进网络内容个性化的方法、系统和计算机可读介质，同时保护用来使用户的体验个性化的用户数据的隐私。隐私库可以收集包括用户活动数据、人口学数据、和由用户提交的用户兴趣的用户数据。在一个实施例中，隐私库在用户客户端设备上操作。隐私库将用户数据发送到收集来自多个用户的用户数据的社区库。社区库生成用户是否属于用户段的段规则，其表明了用户的兴趣。段规则随后被传送回隐私库，该隐私库根据对于隐私库可用的用户数据和段规则将一个或多个用户段分配给用户。隐私库可以将用户段传送到一个或多个内容提供商，所述一个或多个内容提供商供应基于提供的用户段所选择的个性化内容。

Description

用于维护用户简档的隐私的隐私库

背景技术

网站可以基于分配给用户的用户段来显示针对该用户的广告或其他内容。用户段定义了用户的一个或多个兴趣区域。可以基于用户行为的统计分析来生成用户段。

发明内容

提供此发明内容来以简要形式介绍一些将在以下具体实施例中进一步描述的概念选集。这个发明内容不旨在标识要求保护主题的关键特征或必要特征，也不旨在孤立地用来帮助确定要求保护主题的范围。

本发明的实施例基于用户兴趣促进个性化在线体验，同时保护被利用来使用户的体验个性化的用户数据的隐私。隐私库可以收集用户数据，包括用户活动数据、人口学数据、和由用户提交的用户兴趣。在一个实施例中，隐私库操作用户客户端设备。隐私库将用户数据发送到收集来自多个用户的用户数据的社区库。社区库生成用于创建用户段的段规则。用户段表明了用户的兴趣。随后段规则被传送回隐私库，其使用对于隐私库可用的段规则和用户数据来确定用户属于哪些段。隐私库可以将用户段传送到一个或多个内容提供商，其供应基于提供的用户段所选择的个性化内容。

附图说明

以下参考附图详细描述了本发明的实施例，其中：

图1是适于实现本发明实施例的示例性计算环境的框图。

图2是适于实现本发明实施例的说明性操作环境的示图；

图3是根据本发明实施例的适于收集用户数据并将相关用户段发送到内容提供商的示例性隐私库计算系统架构的框图；

图4是示出根据本发明实施例的、在操作隐私库和社区库期间发生在各种组件之间的通信的图表；

图5是示出根据本发明实施例的、提供个性化在线体验的方法的流程图；

图6是示出根据本发明实施例的、生成用来为单个用户选择个性化内容的段规则的方法的流程图。

具体实施例

在此具体描述本发明实施例的主题以满足法定要求。然而，描述本身不旨在限制本专利的范围。相反，发明人已经设想所要求保护的主题还可以结合其他现有或将来的技术以其他方式来实现，以包括与在本文档中描述的步骤相似的不同步骤或步骤组合。此外，虽然术语“步骤”和/或“框”可以在此用来意指所采用方法的不同元素，但是除非和除了显式描述单个步骤的顺序时，这些术语不应被解释为暗示在此公开的各种步骤中或者之间的任何特定顺序。

本发明的实施例基于隐式计算的用户兴趣和/或显式指定的用户顺序来促进个性化在线体验，同时保护用来使用户的体验个性化的用户数据的隐私。隐私库可以收集包括用户活动数据、人口学数据、和由用户提交的用户兴趣的用户数据。用户活动数据包括访问的URL、搜索查询、桌面搜索活动、观看的节目、下载的音乐、收听的音乐等。在一个实施例中，隐私库在用户的客户端设备上操作。隐私库将用户数据发送到收集来自多个用户的用户数据的社区库。社区库生成可以用来将单个用户与用户段相关联的段规则。随后段规则被传送回隐私库，隐私库根据隐私库中可用的用户数据和与用户段相关联的段规则将一个或多个用户段分配给用户。隐私库可以将用户段传送到一个或多个内容提供商，内容提供商供应基于提供的用户段所选择的个性化内容。

相应地，在一个实施例中，提供了其上体现有计算机可执行指令的一个或多个计算机可读介质以用于执行提供个性化在线体验的方法。该方法包括在计算设备处收集单个用户的用户数据。该方法还包括将用户数据的至少一部分发送到社区库。社区库从多个用户接收用户数据的组合并基于该用户数据的组合来生成与用户段相关联的段规则。单个用户段描述了与该单个用户段相关联的类属用户的兴趣，并且其中段规则定义了用来确定该类属用户是否属于单个用户段的标准。该方法还包括从社区库接收一个或者多个段规则。该方法还包括基于一个或多个段规则和用户数据将特定用户段分配给单个用户，并将该特定用户段传送到内容提供商。该方法还包括接收基于特定用户段的个性化内容。

在另一实施例中，提供了生成用来选择用户的个性化内容的用户段的段规则的方法。该方法包括从与不同单个用户相关联的多个隐私库接收用户数据。该方法还包括基于用户数据生成多个用户段的段规则。单个用户段包括用来确定用户是否应当与特定用户段相关联的段规则。单个用户段描述了用户兴趣。该方法还包括将多个段规则中的一个或多个传送到多个隐私库中的至少一个。

在又一实施例中，提供了用于维护用户隐私同时促进系统用户的个性化在线用户体验的计算机化的系统。该系统包括运行在与用户相关联的计算设备上的隐私库。隐私库包括主数据收集器，其通过对通过计算设备执行的用户活动的分析来收集第一手的用户数据。隐私库还包括卫星数据收集器接口，其接收由运行在与用户相关联的其他计算设备上的一个或多个卫星数据收集器收集的补充用户数据。第一手用户数据和补充用户数据统称为用户数据。隐私库还包括用于将用户数据和补充用户数据传送到社区库的社区库接口，该社区库运行在不同的计算机上并且基于用户数据和与附加用户相关联的附加用户数据来生成段规则。隐私库还包括段分配组件，其将隐私库已确定将其与用户相关联的用户段传送到内容提供商，其中内容提供商基于用户段提供内容。

已经简要地描述了本发明实施例的概述，下面描述适于在实现本发明实施例中使用的示例性操作环境。

示例性操作环境

一般参考附图，并开始尤其参考图1，示出了用于实现本发明实施例的示例性操作环境，并且通常将其指定为计算设备100。计算设备100仅是合适的计算环境的一个示例，并且不旨在暗示针对本发明的使用或功能的范围的任何限制。计算环境也不应被解释为对所示出的任意一个组件或组合有任何依赖或者需要。

可以在由诸如个人数字助理或其他手持设备的计算机或其他机器执行的计算机代码或机器可用的指令（包括诸如程序组件的计算机可执行指令）的上下文中描述本发明。通常，包括例程、程序、对象、组件、数据结构等的程序组件指代执行特定任务或实现特定抽象数据类型的代码。可以以多种系统配置来实践本发明的实施例，包括手持设备、消费电子、通用计算机、更专业的计算设备等。还可以在分布式计算环境中实践本发明，其中通过经由通信网络链接的远程处理设备来执行各任务。

继续参考图1，计算设备100包括直接或间接地耦接以下设备的总线110：存储器112、一个或多个处理器114、一个或多个呈现组件116、输入/输出（I/O）端口118、I/O组件120和说明性的电源122。总线110代表可能是一条或多条总线的东西（例如地址总线、数据总线或其组合）。虽然为清楚起见用线示出图1的各个框，但是现实中各种组件的划界不是如此清楚的，并且从比喻上来说，这些线更准确地应为灰的和模糊的。例如，可以将诸如显示设备的呈现组件视为I/O组件120。同时，处理器具有存储器。发明人在此认识到，这是本领域的本性，并且重申图1的框图仅仅对可结合本发明的一个或者多个实施例使用的示例性计算设备的说明。并没有对诸如“工作站”、“服务器”、“膝上计算机”、“手持设备”等之类的类别作出区分，这些都设想为在图1的范围内，并引用为“计算机”或“计算设备”。

计算设备100典型地包括各种计算机存储介质。以示例而非限制的方式，计算机可读介质可以包括随机存取存储器（RAM）、只读存储器（ROM）、电可擦除可编程只读存储器（EEPROM）、闪存存储器或其他存储器技术、紧致盘只读存储器（CD-ROM）、数字多功能盘（DVD）或其他光学或全息介质、磁盒、磁带、磁盘存储或其他磁存储设备、或可以用来对期望的信息进行编码并可以通过计算设备100存取的任意其他介质。

存储器112包括易失性和/或非易失性存储器形式的计算机存储介质。存储器可以是可移除的、不可移除的或其组合。示例存储器包括固态存储器、硬盘驱动器、光盘驱动器等。计算设备100包括从诸如总线110、存储器112或I/O组件120之类的各种机构读取数据的一个或多个处理器114。一个或多个呈现组件116将数据指示呈现给用户或其他设备。示例性呈现组件116包括显示设备、扬声器、打印组件、振动组件等。I/O端口118允许计算设备100逻辑地耦接到包括I/O组件120在内的其他设备，其中一些为内建的。说明性的I/O组件120包括麦克风、操纵杆、游戏手柄、卫星天线、扫描仪、打印机、无线设备等。

示例性系统体系结构

可以在通信网络中实践本发明的实施例，该通信网络向通信地耦接到该通信网络的设备提供服务。图2中示出了包括这样的通信网络中的一些组件的说明性操作环境200。说明性操作环境200包括膝上计算机202、隐私库204、移动设备206、卫星收集器208、基站210、第三方服务器212、第三方收集器214、社区库服务器216、社区库218、内容服务器220和网络230。图2中示出的组件是本发明实施例在操作过程中可以与之进行交互的一些组件。为了简单起见，简要地并重点放在功能上来描述图2中示出的组件。图2中的组件以适于执行它们在说明性操作环境200中相应功能的方式彼此通信地耦接。本发明的实施例不受限于用来便于组件之间通信的通信协议或格式；那些提及的是出于实现的缘故而非意在是限制性的。

膝上计算机202可以类似于之前参考图1描述的计算设备100。隐私库204是运行在膝上计算机202上的应用。隐私库204是这样的应用，其收集用户数据、将一个或多个用户段分配给膝上计算机202的用户、并将用户段传送到诸如内容服务器220的内容提供商，其进而基于由隐私库204提供的用户段来提供个性化的信息。隐私库可以将用户数据传送到社区库，如社区库218。社区库可以通过聚合来自多个用户的用户数据来生成用户段的段规则。段规则可以基于对用户数据的统计分析来生成。隐私库204可以从社区库218接收段规则。如所述，隐私库204随后可以基于段规则将一个或多个段分配给膝上计算机202的用户。

膝上计算机202可以具有若干用户。当多个用户正在使用诸如膝上计算机202的单个计算设备时，隐私库204可以收集信息并将用户段分配给膝上计算机202的单个用户。单个用户可能需要登录，或者在其他情况下与其用户简档相关联，以使得每个用户能够基于单个用户的数据与不同的用户段相关联。本发明的实施例不限于用在膝上计算机202上；隐私库204可以在任意合适的计算设备上操作。将参考图3更详细地解释隐私库204。

移动设备206被描绘为通过空中接口与基站210进行通信的无线通信设备。移动设备206是适于通过包括在说明性操作环境200中的无线网络接收通信和媒体的无线终端。没有示出移动设备206的一些较低层细节以便不使得本发明的实施例变模糊。例如，移动设备206可以包括直接或间接地耦接到以下设备的总线，这些设备包括存储器、一个或多个处理器、一个或多个诸如显示器或扬声器的呈现组件、输入/输出（I/O）端口、I/O组件、和诸如电池的电源。移动设备206可以经由诸如码分多址（“CDMA”）、全球移动通信系统（“GSM”）、或者时分多址（“TDMA”）和其他协议之类的无线协议进行通信，来与基站210进行通信。

移动设备206可以采取各种形式的任一种。以示例的方式，移动设备206可以是移动电话、智能电话、膝上计算设备、桌面计算设备、服务器、个人数字助理（“PDA”）或者这些或其他设备的任意组合。移动设备206能够通过因特网访问内容。可以接收的内容示例包括文本消息、多媒体消息、电子邮件、日历更新、网页、视频、图片和任务提醒。

移动设备206可以与用户相关联。例如，发送到移动设备206的文本消息会目的在该用户。用户是发送到移动设备206的通信（例如，电子邮件、电话呼叫、文本消息）或媒体内容的最终接收者。

卫星收集器208从移动设备206收集用户数据。用户数据可以包括在线活动和人口学数据。卫星收集器208将用户数据发送到在膝上计算机202上操作的隐私库204。在此情况下，膝上计算机202和移动设备206二者都与相同的用户相关联。因此，卫星收集器208帮助收集用户信息，其可以通过隐私库204来汇编以更好地理解用户的兴趣和需要。在一个实施例中，用户将各单独设备注册到隐私库204。可以收集经注册的移动设备的各种属性以允许卫星收集器208和隐私库204彼此进行通信。用户可以能够为卫星收集器208调节隐私设置。用户可以具有针对不同设备上的收集器的不同的隐私设置。与隐私库204中的用户相关联的用户段可以分布到不同的设备。不同设备上的卫星隐私库可以使用用户段或者将用户段分布到不同设备与之进行交互的内容提供商。

基站210是用于与移动设备206进行通信的固定站。如码分多址（“CDMA”）、全球移动通信系统（“GSM”）、或者时分多址（“TDMA”）和其他协议标准之类的空中接口协议可以由基站210使用来与移动设备206进行通信。其他的网络通信接口布置也是可能的。基站控制器（未示出）负责处理与移动设备206的通信量和信令。为清楚起见，仅示出一个基站210而没有其许多组件。移动设备206可以与多个基站同时进行通信。

第三方服务器212是代表第三方执行功能的服务器。合适的第三方的示例包括在线零售店、旅行社、离线零售店、银行、电子银行、电子商务站点、和信用卡公司。第三方可以是与膝上计算机202交互的任意实体。在一个实施例中，第三方服务器212可以访问描述用户购买的信息。如所述，这些可以是在线或者离线的购买。例如，杂货商店可以具有描述特定用户的购买的信息。用户可以给予让第三方将用户数据提交到隐私库204的许可。

第三方收集器上214从第三方服务器212收集描述用户活动的信息。第三方收集器214将这个用户数据传送到隐私库204。如所述，由第三方收集器214提供的用户数据可以包括与用户的兴趣和活动相关的购买信息或其他金融信息。

社区库服务器216可以是与之前描述的计算设备100类似的计算设备。社区库服务器216操作社区库应用218，其与诸如隐私库204之类的隐私库进行交互以生成和共享与用户段相关联的段规则。可以将用户数据从隐私库发送到社区库218。以源隐私库对于社区库218是未知的这样的方式来接收和存储用户数据。本发明的实施例不限于其中社区库应用218和隐私库应用204运行在不同计算设备上的操作环境。例如，在云计算环境中，社区库应用218和隐私库应用204可以运行在相同的服务器上。无论是运行在相同还是不同的设备上，社区库应用218中的数据和隐私库204中的数据逻辑上是彼此分离的以使得可以控制对彼此信息的访问。隐私库204和社区库应用218之间的信息流被仔细地控制以确保维护用户的信息隐私并强制进行用户的隐私偏好。

社区库216分析用户数据以生成一个或多个用户段的段规则。用户段表明用户的兴趣。段规则用于确定用户是否应当与特定的用户段相关联。段规则还可以通过对大批用户数据的统计分析来生成。例如，用户数据的统计分析可以导致这样的段规则，其声明浏览网站X的用户也对产品E感兴趣。

一旦生成段规则，则它们可以分享给隐私库。在一个实施例中，社区库218与隐私库分享段规则，该隐私库不与社区库218分享用户数据。因此，在一个实施例中，社区库218对聚合的用户数据进行分析以生成段规则并将段规则提供给没有提供用户数据的隐私库。隐私库204没有访问由社区库218使用的聚合用户数据以生成段规则。将用于聚合分析和段规则生成的用户数据的收集和存储与用来确定特定用户是否应当与特定段相关联的用户特定数据相分离有助于保护用户的隐私。提高对用户隐私的保护可以鼓励用户分享其否则不想要分享的另外的信息。

内容服务器220存储媒体内容并在接收到对该媒体的请求时将其传送给用户。内容服务器220包括这样的计算设备，其可以包括CPU、短期存储器、长期存储器、和一个或多个网络接口。网络接口用来连接到LAN、WAN（包括因特网）或其他各种通信网络。到WAN或LAN的网络接口可以是有线的、无线的或两者。在一个实施例中，内容服务器220便于将媒体内容（例如电影、网页、视频、MP3、广告等）发送到膝上计算机202或移动设备206。内容服务器220在分组交换网络230上发送媒体内容。内容服务器220还可以包含发送给请求设备的网页。内容服务器220可以附属于在该内容服务器220上产生、生成、或维护媒体内容的内容提供商。在一个实施例中，内容服务器220是广告服务器。

网络230可以包括一个或多个移动网络、一个或多个基于分组的网络，包括因特网、以及公共电话交换网络（“PSTN”）。网络230中的组件可以由多个商业或非商业的实体所拥有和/或操作。网络230被配置为发送各种通信格式，包括电话、电子邮件、文本消息传递、传真、即时消息传递、寻呼、语音邮件、照片、音频文件、网页、视频、电影、电视节目、日历提醒、任务提醒、广告、和包含通信内容的其他文件。

现转至图3，示出了根据本发明实施例、适于收集用户数据并将相关的用户段发送给内容提供商的隐私库300的示例性计算系统体系结构的框图。隐私库300中示出的组件在本质上是示例性的，并且与由隐私库300执行的主要功能相对应。当隐私库300以计算程序来实现时，编程无需分成图3中示出的组件。可以根据需要将编程分成更多或更少的组件。

在一个实施例中，隐私库300在诸如之前参考图1描述的计算设备100之类的计算设备上操作。计算设备可以是膝上计算机、桌面计算机、上网本、或者其他合适的计算设备。计算设备可以与一个或多个用户相关联。贯穿对隐私库300讨论的始终，为简单起见，计算设备被描述为具有单个用户。但是，本发明实施例不限于以下情形，其中隐私库300正在其上操作的计算设备仅与单个用户相关联。

隐私库300中示出的组件包括用户接口组件305、主收集器307、第三方收集器接口309、卫星收集器接口310、用户数据数据仓库320、社区库接口315、内容提供商接口325、成员资格组件330、隐私组件335、和激励组件340。用户接口组件305显示用户接口，通过该用户接口，用户可以查看各种组件中的数据并且调节组件中的设置和偏好。该设置允许用户限制在隐私库300以外传送的用户数据并约束所收集的信息。随着解释受该设置影响的组件，将更详细地解释另外可调节的设置。用户接口组件305可以生成显示在显示器上的用户接口，该显示器通信地耦接到隐私库300正在其上操作的计算设备。

隐私库300在特定用户的隐私范围内操作。给予用户对与外界方共享的信息类型的控制。随着对每个组件的描述，将更加详细地描述加于信息上的限制和控制的类型。当计算机具有多个用户时，隐私库300在用户之间隔离所有的用户数据和偏好。无论计算机具有一个还是多个用户，用户接口可以使用诸如用户ID和密码的防护来限制访问隐私库300中的信息。

主收集器307根据隐私库300正在其上运行的计算设备的分析来收集用户数据。例如，主收集器307可以分析并存储用户的网络浏览和其他在线活动。另外，主收集器307可以分析用户对计算设备上的文档和其他程序的使用。主收集器还可以收集用户的人口学信息。在一个实施例中，用户选择将人口学信息输入到隐私库中以在使用户的在线体验个性化中使用。主收集器307将用户数据发送到用户数据数据仓库320以用于存储。在一个实施例中，主收集器307在将用户数据发送到用户数据数据仓库320之前操纵该用户数据。在另一实施例中，所有收集的用户数据被发送到用户数据数据仓库320以供其他组件分析。

卫星收集器接口310从在与相同用户相关联的分离计算设备上操作的卫星收集器（未示出）接收用户数据。例如，卫星收集器可以在与用户相关联的不同膝上计算机或移动电话上操作。卫星收集器接口310接收用户数据信息并将其传送到存储该用户数据的用户数据数据仓库320。

第三方收集器接口309从第三方收集器接收信息。如前所述，第三方收集器可以与具有描述用户或用户活动的信息的实体相关联。可以由第三方收集的用户信息的示例包括描述用户的购买或者其他金融交易的信息。第三方接口309接收用户数据并将其发送到用户数据数据仓库320。

用户数据数据仓库320是这样的计算机存储介质，其可以以表格、数据库或适于存储用户数据的其他数据结构的形式来存储信息。用户数据数据仓库320从各种信息收集器接收信息。例如，主收集器307、卫星收集器接口310、和第三方收集器接口309每个都可以将用户数据发送到用户数据数据仓库320。总体上，用户数据数据仓库320中的信息在下文中称为用户数据。用户数据数据仓库320可以通过由用户接口组件305呈现的用户接口来访问，其中可以由用户查看数据来确认仅符合用户隐私设置的数据被收集了。用户可以添加用户数据或者从用户数据数据仓库320删除用户数据。用户数据包括但不限于用户活动数据、用户人口学数据、和用户兴趣数据。

隐私库300可以通过社区库接口315将用户数据发送到社区库。用户可以调节内容提供商接口325上的设置，以使得没有用户数据与社区库共享。用户可以选择限制某些数据被共享。这允许用户本地控制对他们的用户数据的访问和使用。在一个实施例中，社区库没能访问隐私库中的用户数据。类似地，在一个实施例中，隐私库300没能访问社区库中聚合的用户数据。因此，隐私库仅能访问本地用户数据。

社区库分析用户数据以生成用户段的段规则。用户段表明了用户兴趣。段规则用来基于用户的数据将该用户关联到单独用户段。可以通过对大批用户数据的统计分析来生成段规则。例如，对用户数据的统计分析可以指示浏览了网站X的用户也对产品E感兴趣。或者，更一般地，浏览了网站W的用户对运动感兴趣。由于用户数据可以包括用户活动和人口学数据，段规则可以更具体，例如购买了产品X的年龄在40和50之间的妇女还可能对产品Y感兴趣。

在一个实施例中，社区库（未示出）使用差分隐私技术来模糊由单个用户提供的信息。差分隐私技术包括添加噪声到对在社区库中的用户数据上执行的统计查询的回复中。噪声被仔细地选择以使得其遮蔽了小的回复（回答），但是对大的回复（回答）具有最小的影响。当答复查询返回小的结果时，将很大的数字添加到小的结果将使得结果没有意义。例如，假设噪声在-100到100之间，并且假设某人查询用户数据以确定有多少住在具有很少人口的城镇中的工程师已经浏览了网站X，并且接收到为很小数字的回答，例如65。当由具有+/-100的噪声的差分隐私保护时，该回答将是0和165之间的任意数字（因为-100和100之间的噪声被添加到真实的回答65，其完全遮蔽了该真实的回答）。使用差分隐私保护了向社区库提交数据的各单独用户的隐私。

在保护个体的同时，差分隐私仍旧允许可以用来形成段规则的统计上显著关联的统计分析。例如，从统计的视点来看，将100添加到会返回统计上显著的结果的查询将不会真正地扭曲该结果。例如，如果年龄在20到40之间的1,000,000个人访问了站点X，则将-100和100之间的任意数字添加到1,000,000都不会形成统计差别。以这样的方式，查询社区库中的数据以尝试发现活动和兴趣之间有意义的相互关系的能力是可能的，并同时模糊了单个数据。其他隐私保护也可以用在社区库中。

一旦社区库生成段规则，可以将段规则传送回隐私库300以及在与其他用户相关联的其他计算设备上操作的类似隐私库。如所述，用户可以在内容提供商接口325上调节设置以使得没有用户数据共享给社区库。在这样的情形下，社区库仍然可以通过社区库接口315将段规则发送到隐私库300。因此，即使隐私库300没有贡献用户数据，它们也可以接收段规则。段规则可以存储在用户数据数据仓库320中以供其他组件后续使用。在一个实施例中，用户段被加密，并且由社区库通过社区库接口315将加密秘钥提供给隐私库。在一个实施例中，社区库还将加密秘钥提供给内容提供商，内容提供商希望通过隐私库300使用由社区库提供的段规则来利用与用户相关联的用户段。

内容提供商接口325与诸如广告服务器之类的一个或多个内容提供商连接。内容提供商接口325可以向内容提供商发送成员资格组件330已经确定用户与之相关联的用户段。用户段可以包括内容提供商可以使用来为用户选择内容的内容规则。在其他实施例中，通过社区库向内容提供商提供内容规则。由社区库提供的内容规则通过段ID与用户段相关联。内容提供商随后可以基于用户段选择内容，并将其返回到隐私库300正在其上操作的计算设备。内容提供商接口325还可以在用户访问内容提供商的网页时接收来自该内容提供商的对用户段的请求。内容提供商还可以在用户段对于内容提供商可能有用的其他情形下请求用户段。在一个实施例中，当用户同意共享该用户与之关联的用户段时，内容提供商向用户提供激励，例如现金回扣奖金。可以在激励组件340中跟踪激励节目。激励还可以由社区库给予以鼓励用户与社区库共享另外的信息。由社区库给予的任何补偿都可以在激励组件340中跟踪。

成员资格组件330将用户段分配给隐私库300的用户。成员资格组件330使用与用户段相关联的段规则来将用户段分配给用户。通常，段规则指示如果用户的用户数据符合段规则中的标准，则用户应当与用户段相关联。在一个实施例中，用户可以显式地选择其希望与之关联的用户段。用户还可以选择查看成员资格组件330已将其分配给用户的用户段。用户还可以删除与用户相关联的用户段。因此，用户可以通过显式地添加或去除用户段来覆盖由成员资格组件330作出的用户段分配。该覆盖可以通过由用户接口组件305生成的用户接口来发生。

隐私组件335控制隐私库300以外的数据流。隐私组件335可以约束向社区库发送的用户数据的类型。隐私组件335还可以约束通过内容提供商接口325向内容提供商发送的用户段的类型。例如，用户可以指示他/她不与某个可用用户段相关联。换言之，允许用户覆盖由成员资格组件330作出的用户段选择。隐私组件335还可以允许用户约束通过各种收集器收集的信息的类型。在一个实施例中，用户需要对于任何信息离开隐私库300给出显式许可。换言之，隐私组件335中的缺省设置可以防止共享用户数据而没有用户许可。在一个实施例中，实体可以向将另外的信息提供给社区库或内容提供商的用户提供激励。例如，取决于隐私设置，如果选择了更加从宽的隐私标准，则可以增加另外的点数或者准予现金回扣。这可以允许内容提供商提供对于用户更有吸引力的内容，并且导致用户进入与附属于内容提供商的实体的交易。如所述，可以通过激励组件340来跟踪激励。

现转至图4，根据本发明的实施例，提供了示出在隐私库和社区库的操作期间在各种组件之间出现的通信的图表。隐私库可以在桌面计算设备402上操作，并且类似于之前描述的隐私库300。通信通过其发生的各种组件包括手机406、银行服务器412、桌面计算设备402、社区库服务器416和广告服务器420。手机406可以类似于之前参考图2描述的移动设备。银行服务器412可以类似于之前参考图2描述的第三方服务器212。桌面计算机402可以类似于之前参考图1描述的计算设备100。社区库服务器416可以类似于之前参考图2描述的社区库服务器216。广告服务器420可以类似于之前参考图2描述的内容服务器220。

初始地，用户数据430从在手机406上操作的卫星收集器（未示出）发送到在桌面计算机402上操作的隐私库（未示出）。类似地，用户数据432从在银行服务器412上操作的第三方收集器发送到在桌面402上操作的隐私库。除了用户数据430和432，在桌面402上操作的隐私库可以从主收集器接收另外的用户数据，该主收集器通过分析经由桌面计算机402发生的活动来收集用户数据。如之前解释的，来自每个源的组合用户数据可以存储在桌面计算机402上的数据仓库中。

将用户数据434的某部分发送到社区库服务器416，其中该部分用户数据由社区库应用（未示出）来接收。在一个实施例中，部分用户数据434是还没有被隐私库更改的原始用户数据。在不同的实施例中，部分用户数据434是组合用户数据的总结或平均。社区库应用使用用户数据来生成段规则。部分用户数据434与由许多其他用户提供的用户数据相结合以使得社区库应用能够生成统计上显著并准确地表示用户的活动和兴趣之间相互关系的段规则。社区库服务器416将一个或多个段规则436发送到桌面计算机402。该一个或多个段规则436可以包括由社区库生成的每个段规则或者仅包括社区库确定其可能与桌面计算机402的用户相关的段规则436。

接下来，桌面402将特定的用户段440发送到广告服务器420。可以响应于来自未示出的广告服务器420的请求来发送特定的用户段440。在一个实施例中，对该特定的用户段440进行加密。桌面计算机402将具有解密设备以使得可以通过桌面计算机402来利用用户段。类似地，可以将加密秘钥438发送到广告服务器420以使得广告服务器可以利用用户段440来提供个性化的内容。在一个实施例中，广告服务器420为使用加密秘钥付费。广告服务器420可以在有机会将广告呈现给用户时请求用户段。在接收到用户段时，广告服务器420使用用户段440中的内容规则来生成或选择符合该内容规则的广告。在可替换实施例中，内容规则没有嵌入在用户段440中，而是通过社区库416分离地发送到广告服务器。内容规则通常表明了与用户段相关联的用户兴趣。例如，内容规则可以规定与特定用户段440相关联的用户正打算到加拿大旅游。

在已经选择了适当的广告后，将广告442发送到桌面计算机402。广告442还可以包含针对用户共享用户段440的激励。图4中示出的通信在本质上仅是示例性的。为简单起见已经忽略了通信的各种底层细节。另外，其他通信可以作为该过程的一部分发生，例如确认消息和建立通信会话的其他协议消息等等。为简单起见也忽略了这些消息。

现转至图5，示出了根据本发明的实施例的提供个性化在线体验的方法500。在线体验包括通过可以是有线或无线通信网络交换的信息。信息可以包括广告、网页、电子邮件、即时消息、视频等。在线体验可以通过使用诸如膝上计算机、手机、PDA等的计算设备发生。在步骤510处，收集单独用户的用户数据。在一个实施例中，通过在执行该方法的计算设备上的主收集器来收集用户数据。用户数据还可以从正在不同的计算设备上收集信息的卫星收集器或第三方收集器接收或收集。无论是本地收集还是远程收集，用户数据都描述单一单独用户。

在步骤520处，将一些用户数据发送到社区库。社区库从多个用户接收用户数据的组合并基于用户数据的组合生成段规则。可以基于与用户段相关联的段规则和与用户相关联的用户数据将用户段分配给单独用户。段规则指示如果用户如用户数据所指示已经执行了一个或多个活动、具有特定人口学特性、和/或具有显式提供的兴趣，则用户段应当与用户相关联。用户段可以包括用户段ID、用户段的简描述、和允许内容提供商基于用户段选择内容的内容规则。

在步骤530处，从社区库接收一个或多个段规则。段规则可以随着生成新的段规则或更新旧的段规则而周期地接收。一个或多个用户段可以本地存储在操作该方法的计算设备上。在步骤540处，将特定的用户段分配给单独用户。基于与用户段相关联的段规则将用户段分配给用户。段规则指示如果用户与特定用户数据相关联，则应当将用户段分配给用户。用户数据可以包括描述用户的人口学信息和用户活动两者。用户活动可以包括在线活动，如浏览、网站访问和购买。用户数据还可以包括离线的活动，例如金融交易、杂志订阅、和可能与用户兴趣相关的其他信息。

在步骤550处，将特定的用户段发送到内容提供商。可以响应于从内容提供商接收的针对用户段的请求将用户段发送到内容提供商。在一个实施例中，内容提供商是广告服务器。在步骤560处，接收个性化的内容。个性化的内容基于特定的用户段。个性化内容可以是广告，但是个性化内容还可以是特定的新文章、电影、歌曲、或者基于特定用户段中的信息可以吸引用户的其他内容。

该方法还可以包括从单独用户接收有关对可以被发送到内容提供商的用户段的限制的指令。当接收到这样的指令时，仅符合指令的用户段被发送到内容提供商。换言之，不可以向用户分配受约束的用户段，即使他们相反适合该用户段。

现转至图6，示出了根据本发明的实施例、生成用来为单独用户选择个性化内容的段规则的方法600。方法600可以由与在多个计算设备上操作的隐私库进行交互的社区库服务器来执行。在步骤610处，从多个隐私库接收用户数据，每个隐私库与单独用户相关联。如前所述，用户数据可以包括用户活动、用户人口学信息、和描述用户的其他信息。在步骤620处，基于聚合的用户数据生成多个段规则。可以通过对从多个隐私库收集的用户数据进行统计分析来生成段规则。段规则指示与特定用户数据相关联的用户将具有一个或多个特定的兴趣。

在步骤630处，将多个段规则中的一个或多个传送到多个隐私库的至少一个。在一个实施例中，该方法还包括将与段规则一起使用的一个或多个加密的用户段传送到隐私库。还可以将解密密钥传送到一个或多个内容提供商以使得他们可以访问加密的用户段。

已经说明性而非约束性地描述本发明的实施例。将会理解，特定的特征和子组合是有用的，并且可以采用这些特定的特征和子组合而无需参考其他特征和子组合。这通过权利要求的范围来设想并在其范围之内。

Claims

1.一种提供个性化在线体验的方法，所述方法包括：

在计算设备上收集单独用户的用户数据；

基于定义用户数据的共享限制的设置将用户数据的至少一部分发送到社区库，其中所述社区库接收来自多个用户的用户数据的组合，其中所述社区库使用差分隐私来保护所述用户数据的源，从而致使应用到低于第一阈值数目的用户的用户数据是无意义的，同时维护应用到高于第二阈值数目的用户的用户数据的可行性，该差分隐私包括添加噪声到对在社区库中的用户数据上执行的统计查询的回复中，其中所述社区库基于所述用户数据的组合生成与用户段相关联的段规则，其中单独用户段描述与所述单独用户段相关联的类属用户的兴趣，并且其中段规则定义用来确定所述类属用户是否属于所述单独用户段的标准；

从所述社区库接收一个或多个段规则；

基于所述一个或多个段规则和所述用户数据将特定用户段分配给所述单独用户；

将所述特定用户段传送到内容提供商；以及

基于所述特定用户段接收个性化内容。

2.如权利要求1所述的方法，其中从在所述计算设备上运行的应用、在与所述单独用户相关联的移动设备上运行的移动收集器应用、和由向所述单独用户提供服务的实体操作的服务收集器中的一个或多个中接收所述用户数据。

3.如权利要求1所述的方法，其中可以根据应用到高于第二阈值数目的用户的数据来生成统计上显著的段规则。

4.如权利要求1所述的方法，其中所述方法还包括从所述单独用户接收有关在可以被发送到所述社区库的用户数据上的限制的指令。

5.如权利要求1所述的方法，其中所述方法还包括从所述单独用户接收有关在可以被发送到所述内容提供商的用户段上的限制的指令。

6.如权利要求1所述的方法，其中所述一个或多个用户段包括由内容提供商使用来确定是否应当将特定内容显示给与单独用户段相关联的用户的内容规则。

7.一种生成用户段的段规则的方法，所述用户段用来为用户选择个性化内容，所述方法包括：

基于定义用户数据的共享限制的设置从与不同的单独用户相关联的多个隐私库中接收用户数据，其中使用差分隐私来保护所述用户数据的源，从而致使应用到低于第一阈值数目的用户的用户数据是无意义的，同时维护应用到高于第二阈值数目的用户的用户数据的可行性，该差分隐私包括添加噪声到对在社区库中的用户数据上执行的统计查询的回复中；

基于所述用户数据生成多个用户段的段规则，其中单独用户段包括用来确定用户是否应当与特定用户段相关联的段规则，并且其中所述单独用户段描述用户兴趣；以及

将所述多个段规则中的一个或多个传送到所述多个隐私库中的至少一个以便将一个或多个用户段分配给相应的单独用户。

8.如权利要求7所述的方法，其中所述多个隐私库驻留在与所述不同的单独用户相关联的客户端设备上。

9.如权利要求8所述的方法，其中所述方法还包括将一个或多个加密的用户段传送到所述多个隐私库中的至少一个，并且其中所述方法还包括将所述一个或多个加密的用户段中的一个或多个的加密密钥传送到内容提供商，从而允许所述内容提供商利用所述一个或多个加密的用户段来为与所述一个或多个用户段相关联的用户选择相关的内容。

10.如权利要求7所述的方法，其中所述方法还包括使用差分隐私来保护所述用户数据的源，从而致使应用到低于第一阈值数目的用户的数据是无意义的，同时维护应用到高于第二阈值数目的用户的数据的可行性，其中可以根据应用到高于第二阈值数目的用户的数据来生成统计上显著的段规则。

11.如权利要求7所述的方法，其中单独用户段包括唯一ID、所述用户单独段的简短可读描述、在确定用户是否属于所述单独用户段时所使用的一个或多个段规则、和由内容提供商使用来确定是否应当为与所述单独用户段相关联的用户显示特定内容的内容规则。

12.一种用于维护用户隐私同时促进计算机化系统的用户的个性化在线用户体验的计算机化系统，所述计算机化系统包括：

运行在与所述用户相关联的计算设备上的隐私库，所述隐私库包括：

(1)主数据收集器，其通过分析利用所述计算设备执行的用户活动来收集第一手用户数据；

(2)卫星数据收集器接口，其接收由运行在与所述用户相关联的其他计算设备上的一个或多个卫星数据收集器收集的补充用户数据，其中所述第一手用户数据和所述补充用户数据被统称为用户数据；

(3)社区库接口，用于将基于定义用户数据的共享限制的用户隐私设置而收集的用户数据和所述补充用户数据传送到社区库，所述社区库在不同的计算机上操作，其中使用差分隐私来保护所述用户数据的源，从而致使应用到低于第一阈值数目的用户的用户数据是无意义的，同时维护应用到高于第二阈值数目的用户的用户数据的可行性，该差分隐私包括添加噪声到对在社区库中的用户数据上执行的统计查询的回复中，并且所述社区库根据所述用户数据和与另外用户相关联的另外用户数据生成一个或多个用户段的段规则；以及

(4)内容提供商接口，其将所述隐私库已经确定为与所述用户相关联的用户段传送到内容提供商，其中所述内容提供商基于所述用户段来提供内容。

13.如权利要求12所述的计算机化系统，其中所述隐私库还包括第三方收集器接口，其提供包括描述由所述用户作出的购买的信息的第三方用户数据，并且其中所述第三方用户数据也被传送到所述社区库。

14.如权利要求12所述的计算机化系统，其中所述隐私库还包括隐私管理组件，其允许所述用户做以下之中的一个或多个：指定与所述社区库共享的用户数据的类型；指定哪部分的用户数据可以由成员资格组件使用来确定所述用户属于哪些用户段；以及指定所述一个或多个用户段中的哪个可以与内容提供商共享。

15.如权利要求12所述的计算机化系统，其中所述用户段包括唯一ID、所述用户段的简短可读描述、用来确定用户是否属于所述用户段的段规则、和由内容提供商使用来确定是否应当向与所述用户段相关联的用户显示特定内容的内容规则。