CN104335683A - 一种用于在联网照明控制系统中提供隐私保护的方法 - Google Patents

Abstract

公开了一种用于联网照明控制系统的方法和相应系统，由此个人可以对于收集的涉及其中他/她正被监视的区域的数据确定各种隐私设置。这些各种设置包括由个人选择可以收集/不可以收集什么特定类型的数据；他/她是否可以与所收集的数据相联系；以及限制可以使用数据的目的。

Description

一种用于在联网照明控制系统中提供隐私保护的方法

本申请涉及光管理系统领域，更具体地，涉及一种在最小地影响使用联网照明控制系统（NLCS）施行总体光管理的能力的同时保护照明控制系统用户的隐私并且允许他们定制其隐私设置的方法和系统。这对于建筑物占用者、建筑物管理者、城市光运营商、停车场光运营商并且一般而言，对于室内和室外环境两者中的总体光管理服务（TLMS）的提供商来说是令人感兴趣的。

NLCS系统是向终端用户产生节能并且向运营商产生潜在的经常性收入来源的总体光管理解决方案和服务的基本部件。NLCS获取和处理数据库中跟踪用户的位置数据的传感器读数、用户偏好和系统参数。该数据的元素具有隐私问题。例如，来自私人办公室的占用传感器数据可以用来推断给定上班族花费多少时间在他/她的办公室中。这具有劳动法和反歧视问题。执法机构可以索要占用数据。占用数据可以用来反对组织（例如，“联邦机构XYZ的雇员花费不足4小时在其办公桌旁，浪费纳税人的钱财”）。以可辨识的方式存储用于视觉受损的个人的光设置可能侵犯用户的隐私权。

牵涉隐私问题的另一个示例涉及光疗领域。光疗是一种用于诸如抑郁和创伤后应激失调之类的各种失调的潜在治疗。可以设想NLCS用于保健设施，其中依照光疗师的处方设置光。因此，光设置可以与患者的健康记录相联系。在这些场合中，如果数据被误用，可以让NLCS的服务提供商承担责任。

又一个示例涉及室外设置，其中紧邻个人的家庭、工作场所或者被监视的其他区域的街灯安装的运动检测器可以提供关于该个人的位置信息。举例而言，可以通过使用从一个人的街道上的邻近街灯获得的相关数据来统计地推断他何时离开或者到达他家。如本文所使用的，术语“家”意在包括其中用户可以驻留的任何类型的结构，诸如但不限于套间、别墅、公寓或者独户住宅。如果该数据进一步与日时相关，那么它可以用来以相对高的准确度查明重复的行为，诸如他们何时出去上班或者夜间何时回家。此外，当街灯时间戳与诸如手机时间和地理位置数据之类的其他加时间戳的数据相关时，可以准确地推断当一个人在他/她的汽车中经过街灯时，他是否在驾驶的同时谈话或者发短信。尽管收集这样的数据可能具有合法的目的，但是可能需要获得被监视人的同意以便符合许多司法管辖区的隐私法律。

对于终端用户（以及系统管理员）的隐私的考虑必须嵌入到NLCS中以便使得它们符合法律和法规并且符合尊重顾客和商业伙伴的隐私的各种公司隐私法则和规则。隐私遵从性将促进TLMS在市场上的采用。

能量效率和占用者的舒适度是总体光管理的主要驱动力。联网照明控制系统（NLCS）中的人造光和电动百叶窗的集成控制对于实现这些目标时最佳地使用自然光和人造光是重要的。

北美飞利浦研究院开发了包括飞利浦传感器、灯、调光镇流器、联网基础设施、用户接口和尚飞（Somfy）电动百叶窗的混合集成照明和日光控制（ILDC）系统。在这样的常规集成照明和窗口覆盖系统中，在一地带（zone）内的传感器和致动器之间通常存在无线连接并且跨地带存在有线连接（因此是“混合的”）以便允许实现建筑物范围的部署。应当指出的是，这样的ILDC系统特别地仅仅是TLMS和NLCS的一个示例。

每个用户的工作站与相应的传感器、恒温器、百叶窗和灯具关联以便允许实现个性化的集成控制。通常，这些控制可以以手动和自动模式两者操作。在自动模式下，系统将用户偏好与传感器读数（占用和光水平）结合以便通过电动百叶窗和电光的集成控制收集自然光。人造光使用占用和光亮传感器进行调整。如果空间被占用，那么百叶窗打开以便以不造成不舒适（眩光）的程度允许日光进入；而且，将灯调光到这样的水平，使得整体光照满足用户的要求。

与这些各种参数有关的数据可以在中心位置处收集。因此，鉴于上面讨论的隐私问题，存在向每个个别用户提供关于可以如何收集和利用与他/她有关的数据的选项的需要。

本发明解决了照明系统用户的那些隐私问题。在本发明的一个方面中，聚集和存储与个人有关的数据的内容和方法借助于所牵涉的个人设置的选项而可改变。当前（或者操作的）传感器数据可以并且将由NLCS用于总体光管理的目的。由此，系统的操作效率不受这些隐私选择影响。受影响的是存储的数据可以在稍后的时间以其被处理以便解决问题或者改进系统性能或服务质量的方式。

在以下详细描述中，出于解释而不是限制的目的，阐述了公开特定细节的代表性实施例以便提供对于要求保护的本发明的透彻理解。然而，对于已受益于本公开的本领域普通技术人员来说将显而易见的是，偏离本文公开的特定细节的、依照本教导的其他实施例仍然在所附权利要求书的范围内。而且，可以省略对公知装置和方法的描述以便不使对这些代表性实施例的描述模糊不清。这样的方法和装置显然在要求保护的本发明的范围内。例如，本文公开的方法和装置的各方面结合照明控制面板进行描述并且特别适合于用在照明控制面板中。然而，本文描述的方法和装置的一个或多个方面可以在诸如例如其他控制产品之类的其他配置中实现，该其他控制产品诸如个人计算机、平板电脑、按钮控制器、智能电话、语音或姿势识别控制器、窗上用品控制器、恒温器和/或可能安装在照明控制系统中的通风系统。

本发明的上述和其他示例性特征、方面和优点根据以下结合附图进行的详细描述将更加显而易见，在附图中：

图1图示出一种常规集成照明和窗口覆盖系统。

图2图示出常规集成照明和窗口覆盖系统的原理图。

图3图示出一种用于隐私公告选择的样例用户界面。

图4图示出一种用于选择隐私偏好的样例用户界面。

图5图示出一种用于选择去标识的数据元素的样例用户界面。

图6图示出一种用于选择可以使用数据的目的的样例用户界面。

图7图示出一种用于选择选择加入（opt-in）数据元素的样例用户界面。

图8图示出描绘本发明的一个实施例的流程图。

图9图示出用于在室内或办公室环境中实现本发明的示例性系统架构和部件。

图10图示出用于在室外环境中实现本发明的示例性系统架构和部件。

应当理解的是，这些图仅仅出于说明本发明的构思的目的，并不意图作为对本发明限制的限定。将领会的是，相同的参考数字（可能补充有参考字符）在适当的情况下始终用来标识相应的部分。

现有的照明控制和遮阳系统通常独立地操作，从而导致次优的能量效率并且给用户造成不便。人造光和电动百叶窗的集成控制在增强用户舒适度和生产力的同时提供了自然光和人造光的最佳使用。

图1图示出一种常规ILDC系统100，其中每个用户的工作站或地带与相应的传感器、百叶窗和灯具关联以便允许实现个性化的集成控制。系统将用户偏好与传感器读数（占用和光水平）结合以便通过电动百叶窗和电光的集成控制收集自然光。

每个工作站或地带110、120可以合并运动传感器130和/或电动百叶窗140。此外，可以包括光亮传感器150，其监视外界光水平。

如先前所描述的，运动传感器（占用传感器）130检测运动，激活灯160。此外，百叶窗140能够接收控制叶帘的高度和叶帘相对于水平轴的角度的命令。

每个工作站或地带进一步包括监视相应的工作站并且向至少电动百叶窗提供控制信号的控制传感器170。控制传感器170经由网络175与集中式控制系统180通信，该集中式控制系统可能由服务器185和计算机190表示。从控制单元170获得的信息可以进一步存储在永久存储介质上，该永久存储介质在图1的实施例中被描绘为MySQL数据库195。

图2进一步详细地图示出ILDC系统的集成方面。在这种情况下，占用的（占用）传感器130和眩光控制光传感器205将信号提供给集成控制器210。如所讨论的，占用传感器130在检测到运动时提供信号。眩光控制光传感器提供关于进入工作空间中的眩光或阳光的水平的信号。设定点220提供光传感器230输出被与之相比较的参考点。与设定点220的偏差经推断以导出满足用户的整体光照需求的与自然光相结合的所需的来自照明系统160的人造光的量。换言之，使用占用传感器130和光亮传感器150和/或光传感器230调整人造光。当空间为空闲时，人造光关断。当空间被占用时，百叶窗140打开以便以日光不造成不舒适（眩光）的程度允许日光进入。对人造光进行调光，使得人造光和自然光的组合满足用户的要求。

集成控制器210接收来自设定点220、占用传感器130、光传感器230和眩光控制传感器205的输入以便通过调节窗口覆盖物（例如板条截止角度、窗口覆盖物高度等等）确定用于人造光的量和自然光的量的设置。光传感器230监视工作空间中的光水平并且将该信息作为反馈提供给集成控制器210。

在确定百叶窗的位置时，在ILDC系统中实现开环叶帘高度和板条角度控制算法。使用叶帘电机，算法周期性地适应性调节叶帘高度和板条角度以便避免眩光并且允许实现日光收集。“截止角度”和“截止高度”基于诸如纬度、经度、窗口取向、日期、本地时间和板条几何结构之类的因素计算。用于为叶帘板条计算截止角度（被定义为这样的角度，超出该角度，没有直接辐射透射通过板条）的算法的示例可以见诸“The Impact of Venetian Blind Geometry and Tilt Angle on View, Direct Light Transmission and Interior Illuminance,” A. Tzempelikos, Solar Energy, vol. 82, no. 12, pp. 1172-1191, December 2008，其内容通过引用合并于此。

如上面所指出的，图1的MySQL数据库195准许存储用于每个地带的配置信息，包括设备类型及其位置、用户凭证、用户偏好和其他系统参数。它也用来记录包含若干系统性能和操作度量的实时监视信息的数据。MySQL在试运行系统时配置有系统参数。系统配置参数的示例包括用户凭证、地带控制器的IP地址、设备类型以及设备与用户之间的关联。

在NLCS中，存储在MySQL 195或者类似数据库中的系统性能和操作数据允许实现向用户、网络管理员和设施管理者实时显示系统状态。此外，可以利用存储的数据以供使用型式、节能、故障模式、光分布和占用型式的离线分析。

在现代照明控制系统中，传感器（例如运动）和致动器（例如灯）与个别的用户相联系以便个性化系统性能。用户可以经由用户界面输入其偏好，这些偏好驱动系统行为。将传感器读数、用户偏好和系统参数存储在数据库中。

NLCS中的传感器读数和用户偏好具有隐私和安全性问题。建筑物占用者在其工作场所中具有合理的隐私预期。在欧盟，对于处理可以用来标识个人的占用测量的系统可能存在法规要求。这样的法规包括对于在针对个人收集可辨识数据之前的知情同意的要求以及个人从提供商请求关于他/她的个人数据的处理的信息的权利，包括“忘记”该数据的权利。

以下列出了NLCS中的传感器测量的隐私和安全性问题的一些示例：

●来自私人办公室的占用传感器数据可以用来推断给定上班族花费多少时间在他/她的办公室中——这具有劳动法和反歧视问题。　

●可以由雇主针对雇员占用者而使用占用数据（例如门卫在长时间内或者在特定事件期间离开他/她的办公桌）

●配偶可以索取占用数据以用于离婚诉讼

●FBI执法机关可以索取占用数据（比如手机、EZ通收费记录）

●占用数据可能用于反对组织（例如，“联邦机构XYZ的雇员花费不足4小时在其办公桌上，浪费纳税人的钱财”）

●实时占用数据可以被恶意实体利用以便发起协同攻击（例如，将军xyz此时在他的办公室里，或者建筑物90%被占用，这使得它成为高价值目标）

●可以针对个别用户对照明系统进行个性化。视觉受损的用户可能需要更多的光。将视觉受损信息以可辨识的方式存储在数据库中可能侵犯用户的隐私权。　

●光疗是一种用于患有抑郁或者创伤后应激失调的患者的推荐治疗。在养老院、医院或者心理健康设施中，可以针对患者状况量身定制光设置。可以设想一种用于精神科病房的照明控制系统，在精神科病房中光依照来自光疗师的处方进行设置。在这种情况下，给定房间中的设置可能与患者的健康记录相联系。　

●街道位置/运动信息可以被恶意用户用来筹划抢劫。它也可能被执法机关用来不正当地跟踪运动或者确定过去的运动历史。

此外，在许多安装中，NLCS系统与第三方系统接合。举例而言，飞利浦和尚飞已经合伙开发并且销售集成照明和电动叶帘解决方案。在这种情况下，飞利浦系统将向尚飞系统提供房间占用状态信息。可以说，如果数据被误用，飞利浦可能承担责任。因此，开发保护联网照明系统的安全性和用户的隐私的方法是至关重要的。

用于在线行为跟踪的许多协议和方法（cookie等）已经被提出，或者被用于web浏览器和web应用。若干隐私保护协议和方法（P3P、来自微软和Mozilla等的“请勿跟踪（Do-not-track）”协议）已经被提出或者已经被部署以便允许用户控制什么正被跟踪或记录。　

●P3P策略和协议列出了以下用于可辨识信息的目的：

●<current/>针对提供了哪些数据的活动的完成和支持：

●<admin/>网站和系统管理：

●<develop/>研究和开发：

●<tailoring/>一次性量身定制：

●<pseudo-analysis/>假名分析：

●<pseudo-decision/>假名决策：

●<individual-analysis/>个别分析：

●<individual-decision/>个别决策

●<contact/>联系访客以进行服务或产品营销：

●<historical/>历史保护：

●<telemarketing/>经由电话联系访客以进行服务或产品营销：

●<other-purpose>字符串</other-purpose>其他用途：

每种类型的目的（除了current之外）可以具有以下可选的属性：

所需的（Required）

该属性可以采取以下值：

总是：该目的总是所需的；用户不能选择加入（opt-in）或者选择退出（opt-out）他们的数据的这种用途。这在不存在所需的属性时是缺省的。　

选择加入：仅当用户肯定地请求这种用途时，数据可以用于该目的

选择退出：数据可以用于该目的，除非用户请求不以这种方式使用它。

在本发明的一个方面中，个人的个人隐私偏好可以是现有协议（比如P3P）的扩展。在本发明的各个实施例中，可以设想NLCS是一种基于web的应用，其中将照明系统作为web应用进行操作和监视。准许终端用户具有访问这种系统的一定级别，例如设置其隐私偏好或者请求使得其工作空间中的照明更亮（或者更暗）。在另外的实施例中，可以在用户登录时自动地上传他/她在他/她的浏览器上的个人隐私设置（诸如P3P设置）。因此，举例而言，用户无需特别地请求隐私设置变化，因为它们可以根据他/她的浏览器（或者脸书或其他）隐私设置确定。

本发明提供了一种用于在维持NLCS的整体功能性的同时保护各个别照明系统用户的隐私权的系统和方法。换言之，在本发明中，准许各个别用户修改聚集和存储数据的内容和方法。在本发明的各个实施例中，当前（或操作的）传感器数据可以并且将继续由NLCS用于总体光管理的目的。由此，系统的操作效率不受这些隐私选择影响。受影响的是存储的数据可以在稍后的时间以其加以处理以便解决问题或者改进系统性能或服务质量的方式。换言之，数据可用于分析，但是如果个别用户如下文所描述的调用了隐私限制，那么该数据不能与该用户关联。

如下文所描述的，本发明构思准许用户调用各种隐私选项的多种方法。在本发明的一个实施例中并且如图3中所描绘的，显示适当的隐私策略公告310以供用户接受320或者拒绝330。用户在进一步进行之前被提示做出选择。

如果用户选择了接受选项，那么显示附加的GUI界面，其向用户呈现各种隐私选项。图4图示出一个示例性GUI菜单，其显示了“选择退出”410、“选择去标识”420、“选择限制使用”430和“选择加入”440选择。

应当指出的是，在本发明的各个实施例中，在系统初始部署时，在新占用者周期性地移入地带中时，或者当改变隐私策略时，显示这些选择菜单。此外，所构思的是图3例示的GUI屏幕是可选的。换言之，可以直接向用户呈现图4所例示的GUI屏幕，从而要求他在选择或者拒绝可用的隐私选项时采取肯定的动作。现在，将更详细地讨论这些选项。

“选择退出”选择410：

该选择准许用户从照明系统收集的任何可辨识数据中选择退出。换言之，该选择导致禁止记录隐私敏感数据元素（例如占用、运动、光水平、温度等等）。结果，系统将不会存储选择退出数据元素。

“选择去标识”选择420：

对该选项的选择导致将图5所例示的GUI菜单呈现给用户。对于选择的每一个数据元素，数据将被存储，使得它不能与个别用户相联系，从而保护用户的隐私。系统可以提供所请求的隐私，但是保留用于统计分析的数据元素的效用。本发明的各个实施例通过施行以下功能中的一个或多个而实现该特征：

- 从存储隐私敏感信息的数据库表中移除主键（例如，不将占用传感器的ID存储在占用记录表中）；

- 在室外照明的情况下，不存储街灯的地理位置或者街灯的ID；

- 存储用于用户ID、房间ID、占用传感器ID等的哑值（例如对于每个用户每天使用随机假名）。该方法允许在不标识所牵涉的（多个）用户的情况下将个别用户数据用于统计分析；

- 将偏移的未来值用于日期时间字段；

- 组合来自多个用户的数据，使得数据匿名化；以及

- 组合来自多个传感器的数据（例如，“OR（或）”占用信息），使得信息不能被追踪到用户。

本发明的附加实施例以限制用于统计分析的数据元素的效用为代价（即，一些信息丢失）提供所请求的隐私。本发明的这些实施例通过施行以下功能中的一个或多个而实现该特征：

- 使用基于时间的平均（例如，仅仅存储许多天内的移动平均）；以及

- 利用某种随机噪声（即虚假数据）对数据随机化。

“选择限制使用”选择430：

对该选项的选择导致将图6所例示的GUI菜单呈现给用户，该GUI菜单列出可以使用所收集的数据的目的（例如研究和开发、系统性能分析、能量审计、一次性量身定制、趋势分析、调试、个性化等等）。

“选择加入”选择440：

对该选项的选择导致将图7所例示的GUI菜单呈现给用户，由此向他/她提供选择加入收集过程中可用的各种数据元素的选择。换言之， 给予用户对于系统收集的数据类型的控制——系统将仅仅存储所选择的选择加入数据元素。

在本发明的附加实施例中，要求用户在能够选择各个选项之前登陆或者以其他方式验证自己。此外，个人在做出关于已经分配给他的特定房间或者办公室空间的这些选择时将受限制。中心服务器或数据库将维持实现这些特征所需的口令、工作空间分配和其他数据。在另外的实施例中，该中心位置也将防止用户（不经意地或者以其他方式）做出违反公司政策或者政府法律的选择。因此，举例而言，用户不可以选择记录与“他的”办公室空间有关的数据，除非共享该空间的任何和全部工作人员也做出该选择。

图8图示出本发明的一个示例性实施例。在框812-818处，做出这是否是系统的“第一次使用”（框812）、“新用户”（框814）、“修改的隐私策略”（框816）和“审查隐私偏好时间”（框818）的确定。如果这些准则中任何一个为“是”，那么方法继续到框820，其中出现“显示隐私公告”。

接着，框822提示用户选择他的隐私偏好。接着，系统确定用户做出了哪个初始选择：“选择退出”（框824）、“去标识”（框830）、“限制使用”（框838）或者“选择加入”（框850）。这些选择与图4的项410-440相应。如果选择是“选择退出”（框824），那么系统继续到框826，其中对（多个）选择退出偏好进行记录和加时间戳。在框828处，系统接着通过禁止记录隐私敏感数据元素而施行所请求的功能。

如果选择是“去标识”（框830），那么系统向用户呈现选择菜单（框832）并且随后的选择被记录和加时间戳（框834）。在框836处，系统接着通过依照选择的用户偏好对数据元素去标识而施行所请求的功能。

类似地，如果选择是“限制使用”（框838），那么系统向用户呈现选择菜单（框840）并且随后的选择被记录和加时间戳（框842）。在框848处，系统接着通过阻挡数据元素的非授权使用而施行所请求的功能。

如果选择是“选择加入”（框850），那么系统向用户呈现选择菜单（框852）并且随后的选择被记录和加时间戳（框854）。在框856处，系统接着通过允许实现记录选择加入数据的同时禁止记录其余的隐私敏感数据元素而施行所请求的功能。

图9图示出用于实现如这里所示的示例性处理中所描绘的本发明原理的系统900。在该示例性系统实施例900中，从多个地带910、912接收输入数据。该输入数据从一个或多个占用传感器916、光传感器918和恒温器922获得。如图1和图2中类似地图示出的，集成控制器926位于每个地带中以便利用这些输入数据项控制位于每个地带中的一个或多个照明灯具914和电动百叶窗920。地带1描绘了单个膝上型计算机924和工作站928的存在，而地带2描绘了存在两个工作站。本发明不限于此，因为办公室环境下可以合理预期的任何数量的这样的设备都可以存在于每个地带中。此外，如所图示的，本发明构思诸如智能电话930和平板电脑/控制面板932之类的附加输入设备。任何和全部这样的设备都能够经由无线或有线LAN和网关950链接以便与建筑物管理系统（BMS）计算机960通信。因此，任何这样的设备都具有向用户提供如上面所描述的隐私设置的选择的能力。当然，系统要求设备的正确配置以及在隐私设置的这种设置/改变之前实现适当的用户控制安全性。

如上面所描述的，一旦为一个或多个用户选择了用户隐私选项，系统就依照那些选择将数据记录到数据库940上。该数据库随后可由建筑物管理系统计算机960访问以便生成各种分析和报告，包括在NLCS领域中公知的那些分析和报告。

应当指出的是，尽管在图9中描绘成以太网LAN 934，但是可替换的实施例可以包括远程和有线通信网络的其他公知的部件，例如ISA、PCI、PCMCIA总线，电路、电路卡或其他设备的一个或多个内部连接，以及这些和其他通信媒介的部分和组合。

膝上型计算机924、工作站928、智能电话930和平板电脑/控制面板932可以代表手持式计算器、专用或通用处理系统、台式计算机、膝上型计算机、掌上电脑或者个人数字助理（PDA）设备等等，以及可以施行所说明的操作的这些和其他设备的部分或组合。

计算机960可以是可操作来执行计算机指令代码或者代码和逻辑操作的组合的中央处理单元（CPU）或者专用的硬件/软件，诸如PAL、ASIC、FGPA。在一个实施例中，处理器960可以包括代码，该代码在由处理器执行时施行本文所说明的操作。该代码可以包含在处理器存储器中，可以被读取或者从诸如CD-ROM或者软盘之类的存储介质下载，可以由诸如键盘或小键盘输入之类的人工输入设备提供，或者可以经由外部输入970之一从磁性或光学介质读取。应当指出的是，在本发明的附加实施例中，这些外部输入970也可以包括与天气有关的信号和/或来自互联网或第三方系统的信号（例如需求响应信号）。

如本领域技术人员将认识的，术语处理器、处理系统、计算机或计算机系统可以代表与一个或多个存储单元和其他设备通信的一个或多个处理单元，这些其他设备例如外设，其电连接到该至少一个处理单元且与该至少一个处理单元通信。此外，所说明的设备可以经由内部总线（例如，串行、并行、ISA总线，微通道总线，PCI总线，PCMCIA总线，USB等等）或者电路、电路卡或其他设备的一个或多个内部连接以及这些和其他通信媒介的部分和组合或者外部网络（例如互联网和内联网）电子地连接到该一个或多个处理单元。在其他实施例中，硬件电路系统可以代替软件指令或者结合软件指令使用以便实现本发明。例如，本文说明的元件也可以实现为分立的硬件元件或者可以集成到单个单元中。

如将被理解的，所说明的操作可以使用不同的处理器顺序地或者并行地施行以便确定特定值。处理系统710可以进一步通过例如诸如互联网、内联网、广域网（WAN）、城域网（MAN）、局域网（LAN）、地面广播系统、有线网络、卫星网络、无线网络或者电话网络（POTS）以及这些和其他网络类型的部分或组合之类的全球计算机通信网络通过一个或多个网络连接从一个或多个服务器接收数据或者向一个或多个服务器发送数据。如将领会的，网络934也可以包括内部网络或者电路、电路卡或其他设备的一个或多个内部连接以及这些和其他通信媒介的部分和组合或者外部网络（例如互联网和内联网）。

图10为依照本发明另一实施例的使用包含各种传感器的街灯的室外照明系统的框图。参照图10，该系统包括安装在多个街灯10-1至10-n中的照明单元12-1至12-n。依照本发明，照明单元12-1至12-n中的每一个包括一个或多个照明元件以及用于监视其安装区域的一个或多个传感器。在一个可替换的实施例中，这些传感器不必集成到照明单元中，而是相反地为TLMS中的可以与一个或多个照明单元和/或与照明管理器18通信的另一个无线或有线设备。在另外的实施例中，照明单元不必总是与本地服务器14直接通信，换言之，它们也可以形成网状网络，其中照明单元使用其他附近的照明单元与本地服务器14通信。

如图10中所图示的，通信网络包括通过本地服务器14与照明管理器18通信。尽管图10图示出与照明单元12的无线通信，但是应当指出的是，本发明并不限于该实施例，因为本发明构思了其他类型的通信，包括上面关于图9所描述的各种通信手段。当从这些传感器收集数据时，将其发送至照明管理器18，在那里，它被加时间戳并且以关于其起源位置的适当索引存储。

尽管已示出、描述和指出本发明的应用到其优选实施例的基本新颖特征，但是将理解的是，本领域技术人员在不脱离本发明的精神的情况下，可以在所公开的设备的形式和细节方面且在其操作方面做出所描述的装置的各种省略和替换以及改变。所明确意图的是，以基本上相同的方式施行基本上相同的功能以实现相同的结果的那些元素的所有组合都在本发明的范围内。还完全意图和构思从一个描述的实施例到另一个实施例的元素替换。例如，本文提出的任何数值被认为仅仅是示例性的并且被提出以便提供作为本发明而要求保护的主题的示例。因此，如所附权利要求书中所记载的本发明不受本文提供的数值示例的限制。

Claims (20)

1. 一种用于保护其中数据能够被中央照明控制系统收集和存储的空间中的个人的隐私的方法，该方法包括：

向个人显示菜单，个人可以通过该菜单选择与这样的数据有关的各种隐私设置；

记录个人做出的一个或多个选择；以及

依照所记录的选择收集数据。

2. 权利要求1的方法，其中中央照明控制系统为混合集成照明和日光控制系统，并且所述数据与个人的工作空间有关。

3. 权利要求1的方法，其中收集步骤包括获得来自设备的信息，所述设备包括照相机、灯、传感器、调光镇流器、用户接口、电动百叶窗及其组合。

4. 权利要求3的方法，其中所述传感器选自这样的组，该组包括占用传感器、运动检测器、光传感器、热传感器、温度传感器、湿度传感器及其组合。

5. 权利要求1的方法，进一步包括：

依照所记录的选择报告任何收集的数据。

6. 权利要求2的方法，其中隐私设置包括“选择退出”选项，由此个人可以指定一个或多个数据元素类别，对于所述类别，不收集与他的工作空间关联的数据。

7. 权利要求2的方法，其中隐私设置包括“选择去标识”选项，由此个人可以指定一个或多个数据元素类别，对于所述类别，准许收集与他的工作空间关联的数据，但是所述收集的数据不能够与他的工作空间相联系。

8. 权利要求2的方法，其中隐私设置包括“选择限制使用”选项，由此个人可以限制准许所收集的与他的工作空间关联的数据用于什么目的。

9. 权利要求2的方法，其中隐私设置包括“选择加入”选项，由此个人可以指定一个或多个数据元素类别，对于所述类别，准许收集与他的工作空间关联的数据。

10. 一种用于保护其中数据能够被联网照明控制系统（NLCS）依照个人的偏好收集和存储的区域中的个人的隐私的方法，该方法包括：

当个人登录到NLCS系统中时，从他的浏览器设置自动地上传个人的隐私设置；

记录所述隐私设置；以及

依照隐私设置收集数据。

11. 一种中央照明控制系统，提供对其中数据能够被中央照明控制系统收集和存储的区域中的个人的隐私的保护，该系统包括：

多个设备，对于所述设备可以获得与区域有关的数据；

网络，其用于将数据传送至中心计算机；

用于向个人提供菜单的构件，他可以通过该菜单选择与收集数据有关的各种隐私设置，并且将所述设置发送至中心计算机；以及

数据库，其与中心计算机关联，在中心计算机中依照所述隐私选择收集数据。

12. 权利要求11的系统，其中设备包括照相机、灯、传感器、调光镇流器、用户接口、电动百叶窗及其组合。

13. 权利要求12的方法，其中所述传感器选自这样的组，该组包括占用传感器、运动检测器、光传感器、热传感器、温度传感器、湿度传感器及其组合。

14. 权利要求11的系统，其中中心计算机依照所述选择生成收集的数据报告。

15. 权利要求11的系统，其中用于提供的构件选自这样的组，该组包括专用或通用处理系统、台式计算机、膝上型计算机、掌上电脑、个人数字助理（PDA）、智能电话及其组合。

16. 一种计算机可读非暂时性介质，在其中存储了用于使得至少一个处理单元执行依照权利要求1的方法的指令。

17. 权利要求1的方法，其中中央照明控制系统涉及室外照明设施。

18. 权利要求17的方法，其中数据涉及紧邻个人的家庭的一个或多个室外区域。

19. 权利要求17的方法，其中数据涉及紧邻个人的工作场所的一个或多个室外区域。

20. 权利要求11的方法，其中所述多个设备中的一个或多个位于外部照明单元内。