CN105917350B - 隐私保护传感器装置 - Google Patents

Abstract

本文描述了隐私保护传感器装置。该隐私保护传感器装置包括被配置为输出指示环境中的音频的信号的麦克风。隐私保护传感器装置进一步包括与麦克风一起被集成在装置中的特征提取电路装置，该特征提取电路装置被配置为从由麦克风输出的信号中提取特征，该特征可用于检测在环境中的事件的发生，其中由麦克风输出的信号不能单独地基于该特征而被重建。

Description

隐私保护传感器装置

背景技术

传感器设备正在迅速变得无处不在。例如，传统的移动电话可以包括麦克风、摄像机、加速度计、GPS传感器等。然而，可以在家庭环境中发现的一些传感器可能会引起在家庭环境中的用户对于隐私的关注。例如，传统的电视(和/或电视的配件)可以配备有摄像机和麦克风。由摄像机和/或麦克风输出的信号可以由处理设备来处理，并且电视可以基于对于这样的信号的处理来将内容呈现给观看者。例如，观看者可以可听见地发出陈述“给我看汉Humphrey Bogart主演的电影”，并且电视可以呈现可选择的区片(tile)的列表，其中每个区片代表上述演员主演的相应的电影。同样地，由摄像机输出的信号可以指示观看者执行了特别的手势，并且基于被识别的手势可以将内容呈现给观看者。例如，手腕的轻弹(flick)可以使得频道被改变、可以使得由电视和/或相关联的音频系统输出的音频的音量被改变等。

通常，当包括传感器的设备开启时，传感器本身是开启的并且生成指示传感器的周围的状态的数据。参照上面提到的示例场景，经常不为观看者所知地，当电视开启时，电视的麦克风可以捕获音频。更进一步，一些传统的设备被配置为将所捕获的信号(或由其代表的特征)传输到在云服务中所使用的计算设备，其中计算设备分析该信号以用于语音识别、面部识别、手势识别等目的，并且当词语被识别、当面部被识别等的时候执行动作。云服务然后丢弃所接收的信号。

如上文所述，当用户相应的动作可以被这样的传感器捕获时，用户可能具有对于隐私的关注。例如，恶意的黑客可能潜在地重新编程与传感器进行通信的处理器，由此使得被捕获的信号被传输到由恶意的黑客所选择的数据存储装置(例如，在那里信号可以被保留和回顾，而不为在传感器流中所捕获的动作的那个人所知)。进一步，从包括传感器的设备被传输到在云服务中被使用的计算设备的数据可以包括足够的信息以允许由观看者所说的词语被重建、允许观看者被标识，等等。这再次引起了对于隐私的关注，这是因为数据可能在传输期间被截获。

发明内容

以下是在本文中更为详细地描述的主题的简要发明内容。该发明内容不旨在限制关于权利要求的范围。

本文所描述的各种技术与传感器装置有关，传感器装置可以被配置为在保持在家庭中的人的隐私的同时捕获在家庭环境(家庭)中的信号以及处理这样的信号。该传感器装置包括至少一个传感器，其可以是输出数据的任何合适的传感器，该数据可以被用来检测期望被检测到的事件。因此，该至少一个传感器可以是或包括麦克风、相机、加速度计、振动传感器等。该传感器与特征提取电路装置紧密耦合，该特征提取电路被配置为从由该传感器输出的信号提取特征。为了解释的目的，该传感器将被描述成是麦克风，但是本文中所描述的方面不旨在被限制为麦克风。在示例性实施例中，麦克风可以与特征提取电路装置被集成。因此，例如麦克风可以与特征提取电路装置一起被嵌入到集成电路(IC)中。因此，根据示例，麦克风可以是与特征提取电路装置一起被嵌入到硅中的嵌入式微电机系统(MEMS)麦克风。因此，传感器装置被设计，使得对硬件进行修改的尝试(允许由麦克风输出的信号被截获)导致麦克风和/或相关联的特征提取电路装置被损坏，从而该传感器装置不能够起作用。

特征提取电路装置被配置为接收由麦克风输出的信号以及从信号提取特征，其中该特征可以被用来检测期望被检测到的事件，但是不能够被用来重建由麦克风输出的信号。例如，传感器装置可以被用来检测孩子正在哭的事件。可以确定，从由麦克风输出的信号中提取的特征可以指示孩子是否正在哭。然而，传感器装置的所有者可能期望接近麦克风所说的话没有被针对语义进行分析(例如，当她的谈话的语义被分析时，传感器装置的所有者可能会觉得她的隐私被侵犯)。特征提取电路装置可以从由麦克风输出的信号中提取允许对于期望被检测到的事件(例如孩子正在哭)的检测的特征，同时这些特征不能够被用来执行语义分析或重建由麦克风输出的信号。

在另一个示例性实施例中，该传感器装置可以被配置为提取特征，该特征可以被用来执行对于该传感器装置的所有者的语言中的预定义的词语集合的机器翻译。因此，特征提取电路装置可以从由麦克风输出的信号中提取特征，该特征可以由机器翻译系统用于检测人已经说了在预定义的词语集合中的词语。但是，由特征提取电路装置提取的特征可能不包括用于允许机器翻译系统标识在预定义集合以外的词语的足够的信息。没有被特征提取电路装置提取的信号的特征被立即丢弃。

传感器装置可以进一步包括无线收发器，该无线收发器可以将从(例如，由麦克风输出的)信号提取的特征(直接地或间接地)传输到在云服务中所利用的计算设备。云服务的计算设备可以接收特征以及例如基于这样的特征检测期望被检测到的事件的发生。继续上文提出的示例，云服务中的计算装置可以标识孩子正在哭。输出信号可以被传输到通知设备，该通知设备可能处于传感器装置所位于的环境中。通知设备可以被配置为向人通知事件的发生。

在示例实施例中，传感器装置中的特征提取电路装置是预配置的和静态的。因此，黑客不能重新编程该特征提取电路装置以从由麦克风输出的信号中提取其它特征。在另一个示例性实施例中，传感器装置可以被配置为具有多个预定义的特征提取模式。例如，在第一模式中，特征提取电路装置可以被配置为从由麦克风输出的信号中提取第一特征集合，其中第一特征集合可以被用来检测所说的话中的语义。在第二模式中，特征提取电路装置可以被配置为从由麦克风输出的信号中提取第二特征集合，其中第二特征集合包括可以被用来确定说话者的身份的信息。在第三模式中，特征提取电路装置可以被配置为从由麦克风输出的信号中提取第三特征集合，其中第三特征集合包括可以被用来检测孩子何时在哭的信息。然而，第一特征集合可以不包括用于允许对于说话者的身份的检测或者对于孩子何时在哭的检测的足够的信息。类似地，第二特征集合可以不包括用于允许对于所说的词语的语义或者当孩子何时在哭的检测的足够的信息。同样地，第三特征集合可以不包括用于允许对于所说的词语的语义的检测或者对于说话者的身份的检测的足够的信息。因此，特征提取电路装置可以包括三个分离的电路，其中只有一个电路可以在给定的时间点上是活跃的。

这样的传感器装置可以特别地很好地适合于各种不同的应用。在示例性实施例中，该传感器装置可以被用来与电视、游戏控制台等相连。例如，关于支持对语音命令的识别的电视，传感器装置可以被配置为提取可以由语音识别系统用来标识相对少量的词语(语音命令)的特征；然而，该语音识别系统可以不能够使用这些特征来检测其它词语。进一步，该传感器装置可以特别地很好地适合于家庭安全应用，其中该传感器装置被配置为从可以被用来标识窗户破坏、门被破开等的音频信号中提取特征。然而，所提取的特征可以不能够被用来重建由麦克风输出的信号，并且可以进一步不能够被用来标识讲话中的词语。该传感器装置可以进一步特别地很好地适用于人可以需要帮助的应用中。例如，对于有点老的人，在家庭中包括这样的传感器装置以检测跌倒、呼救声等可能是有利的，同时减轻了人对于隐私的关注。

上述发明内容呈现了简化的总结以提供本文所讨论的系统和/或方法的一些方面的基本了解。该总结不是本文讨论的系统和/或方法的广泛的概述。它不旨在标识关键/重要元素或描绘这样的系统和/或方法的范围。它的唯一目的是以简化的形式呈现一些概念作为在后文呈现的更详细的描述的前奏。

附图说明

图1图示了包括隐私保护传感器装置的示例性的环境。

图2图示了示例性隐私保护传感器装置。

图3图示了可以从隐私保护传感器装置接收特征并且根据这些特征来检测事件的示例性的服务器计算设备。

图4图示了用于构建隐私保护传感器装置的示例性的方法的流程图。

图5图示了关于隐私保护传感器装置的操作的示例性方法的流程图。

图6图示了可以由隐私保护传感器装置执行的示例性方法的流程图。

图7图示了可以由被配置为基于从由传感器输出的信号提取的特征来检测事件的计算设备所执行的示例性方法的流程图。

图8是示例性计算设备。

具体实施方式

现在参考附图对关于隐私保护传感器装置的各种技术进行描述，其中相似的参考数字自始至终被用来指代相似的元素。在下面的描述中，为了解释的目的，许多具体的细节被阐述，以便提供对于一个或多个方面的深入理解。但是，这样的(一个或多个)方面可以在没有这些具体细节的情况下被实现，这可能是显而易见的。在其它情况下，熟知的结构和设备以框图的形式被示出，以便促进描述一个或多个方面。进一步，将被理解的是，被描述为由单个的系统部件所实施的功能可以由多个部件实施。类似地，例如单个的部件可以被配置为执行被描述为由多个部件所实施的功能。

此外，术语“或者”旨在包含意味着包含性的(inclusive)“或者”，而不是排他性的(exclusive)“或者”。也就是说，除非另有规定，或者从上下文可以清楚得到，短语“X使用A或B”旨在意味着任何自然的包含的排列。也就是说，短语“X使用A或B”由任何以下的情况来满足：X使用A；X使用B；或X使用A和B两者。此外，除非另有规定或者从上下文可以清楚得到是单数形式，否则在本申请和所附的权利要求中被使用的冠词“一”和“一个”将直接被解释为意味着“一个或多个”。

此外，在本文中使用的术语“部件”和“系统”旨在包含计算机可读数据存储，其被配置具有当被处理器执行时使得某些功能被执行的计算机可执行指令。计算机可执行指令可以包括例行程序(routine)、功能等。因此，还将被理解的是，部件或系统可以本地化在单个的设备上或分布在多个设备上。进一步，如在本文中所使用的，术语“示例性”旨在意味着充当某物的说明或示例，并且不旨在指示优选。

现在参考图1，图示了在其中人的隐私受到关注的示例性环境100。因此，环境100可以是家庭中的房间、一般的家庭、会议室、办公室、医院或在其中的人察觉到隐私权的其它区域。在环境100中，第一个人102和第二个人104被示出正在与彼此谈话。在环境100是家庭的情况下，第一个人102和第二个人104可能期望他们的谈话和相关联的动作保持是私人的(例如，仅仅保持在第一个人102和第二个人104之间)。环境100包括隐私保护传感器装置106，其将在本文中被称为传感器装置106。通常，传感器装置106被配置为生成可以被用来在环境100中检测期望被检测到的事件的发生的数据，诸如孩子哭，大声呼救、闯入到环境100、特别的词语的说出、特别的手势的执行等。然而，传感器装置106的操作期望地不与第一个人102和第二个人104所持有的隐私概念相反。

如将在下文中更加详细描述的，传感器装置106可以包括传感器，诸如摄像机、麦克风、惯性传感器、光传感器、温度计等，其中该传感器可以输出指示与环境100有关的参数的信号，诸如由第一个人102执行的动作、由第二个104人说出的词语等。因此，该信号可以包括第一个人102和/或第二个人104认为是私人的内容。为了解释的目的，传感器装置106的传感器被描述成麦克风；然而，将被理解的是，本文中描述的方面不限于麦克风。

在传感器装置106中的麦克风被配置为输出指示在环境中的音频的信号，其可以包括在第一个人102和第二个人104之间的谈话。传感器装置106还包括可以从由麦克风输出的信号来提取特征的电路装置，该特征可以被用来检测期望被检测到的事件的发生，但它不能被用来重建由麦克风输出的原始信号(或检测第一个人102和/或第二个人不期望被检测到的事件)。例如，从由麦克风输出的信号提取的特征可以包括不足以允许谈话的语义被(例如，机器翻译系统)理解的信息，可以包括不足以允许讲话者的身份被确定(例如，由语音识别系统)的信息等。在示例中，期望被检测到的事件可以是孩子哭；因此，特征集合可以从由麦克风输出的信号中被提取，其中该特征集合包括可以使得计算机实现的检测系统能够检测到孩子正在哭的信息，但是该特征集合包括不足以使得计算机实现的机器翻译系统能够执行对于所说的词语的语义理解的信息(例如)。不是为了检测期望被检测到的事件的目的而从由麦克风输出的信号提取的特征被立即丢弃。

在示例性环境100中，传感器装置106可以包括收发器，并且可以向无线接入点108发送混淆信号。混淆信号基于由麦克风输出并且包括从由麦克风输出的信号中提取的(潜在地压缩的和/或编码的)特征。虽然被示出为在环境100中，但是将被理解的是无线接入点108可以在环境100外部(例如，无线接入点108可以是蜂窝天线)。无线接入点108然后可以将混淆信号传输到被配置为执行基于云的服务的计算设备110，其中基于云的服务正在基于从接入点108所接收的混淆信号来检测期望被检测到的事件是否已经发生。继续利用上文提出的示例，计算设备110可以被配置为分析混淆信号并且基于这样的分析来确定孩子是否正在哭。

当计算设备110检测期望被检测到的事件的发生时，在示例性实施例中，计算设备110可以将输出信号传输到在环境100中的接入点108。输出信号可以标识在环境100中被配置为当期望被检测到的事件已经发生时通知人(例如，第一个人102或第二个人104)的特别的通知设备112。无线接入点108可以然后将输出信号传输到通知设备112，其可以产生通知该人期望被检测到的事件的发生已经被检测到的输出。通知设备112可以是或包括警报、计算设备(诸如移动电话、平板(板)计算设备、膝上型计算设备、可穿戴计算设备等)、电视、游戏控制台、或被配置为向该人通知该事件已被检测到的其它设备。在没有与传统的家庭传感器相关联的隐私关注的情况下，第一个人102和/或第二个人104通过被通知事件的发生而得到好处。

如在另一个示例性实施例中示出的，云服务110可以被配置为将输出信号输出到外部通知设备114。这个实施例可以特别地很好地适合于将在环境100的时间的发生告知在环境100外面的人。例如，如果环境100是老年人和/或多病的人的家，传感器装置106可以与检测跌倒和/或求助呼叫相连。计算设备110可以基于由传感器装置106输出的混淆信号来检测这样的事件，而且可以将输出信号传输到可以与医院、警察、远程的看管人等相关联的外部通知设备114。

在另一个示例性实施例中，传感器装置106可以将信号传输到由传感器装置106的所有者所指定的计算设备(诸如在环境100中的计算设备)，而不是将混淆信号传输到计算设备110。这样的计算设备可以被配置为基于混淆信号来检测期望被检测到的事件的发生。

现在阐述在其中传感器装置106特别地很好的适合的应用。然而，将被理解的是，本文中提出的示例性应用不是旨在限制、而是被提出以说明对应于传感器装置106的各种优势。该传感器装置106可以包括生成指示在环境100中的音频的信号。传感器装置106可以被包括在设备中或与设备相关联，该设备被配置为响应于接收来自人的语音命令而向该人提供多媒体内容。设备可以因此是电视、机顶盒、流媒体设备、游戏控制台等。在这个示例中，期望检测的事件是人已经提出了语音命令，并且输出信号使得内容被呈现给人，由此向该人通知该事件已经被检测。

语音命令可以是预定义的，并且在传感器装置106中的电路装置可以被配置为从由在传感器装置106中的麦克风输出的信号提取特征，其中计算设备110可以基于所提取的特征来确定该人是否已经陈述所说的话。但是该特征不能被用来重新产生由麦克风输出的原始信号，并且可以包括不足以标识陈述该口语话语的人的信息。在另一个示例中，从由麦克风输出的信号中所提取的特征可以包括不足以标识当该人已经说出了预定义的语音命令之外的词语的信息。因此，人102和/或人104可以与电视、游戏控制台、以及彼此交互，而不用害怕传感器装置106保留或传输由麦克风输出的清晰的(未经混淆的)信号。

此外，传感器装置106可以特别地很好地适合于与家庭安全有关的使用。因此，在传感器装置106中的电路装置可以被配置为从由麦克风的输出的信号中提取特征，其中这样的特征可以被分析以确定窗口破裂的声音是否发生。然而，在这样的实施例中，所提取的特征包括不足以允许机器翻译系统重建在第一个人102和第二个人104之间的私下地举行的谈话。在类似的应用中，传感器装置106可以与远程病人监控有关而被使用，在那里期望检测诸如跌倒、呼救等的事件的发生。与其它的应用一样，在传感器装置106中的电路装置提取包括足够使得计算机实现的检测系统检测期望被检测到的事件的发生的信息，而所提取的特征包括不足以允许原始的麦克风信号被重建或机器翻译系统标识所说的词语的信息。

现在参考图2，图示了传感器装置106的功能框图。传感器装置106包括麦克风202，麦克风202被配置为检测环境100中的声学振动并且输出代表这样的振动的信号。根据示例，传感器装置106可以被包括在防篡改壳体中，该防篡改壳体可以被配置为当遭受篡改时损坏麦克风202。

传感器装置106附加地包括接收由麦克风202输出的信号以及从中提取特征的某些特征的提取电路装置204，其中特征可以由计算设备(例如计算设备)用于检测期望被检测到的事件。特征提取电路装置204与麦克风202紧密地耦合，其中紧密耦合被采取以防止恶意硬件黑客在由特征提取电路装置204接收到的信号之前试图拦截或以其它方式获得由麦克风202输出的信号。因此，麦克风202和特征提取电路装置204一起被集成在传感器装置106中。在示例性实施例中，麦克风202和特征提取电路装置204可以共同位于半导体芯片上。因此，麦克风202可以是被嵌入在包括特征提取电路装置204的硅芯片中的微电机系统(MEMS)麦克风。在这样的配置中，在由麦克风202输出的信号到达特征提取电路之前试图提取这样的信号的硬件黑客可能彻底地损伤传感器装置106，致使麦克风202不可使用。

在示例性实施例中，特征提取电路装置204可以是专用集成电路(ASIC)或在其已经被组装之后就不可以重新配置的其它预先配置的电路。在这样的实施例中，没有可以被黑客攻击的软件。因此，不用害怕恶意黑客将修改软件以使得特征提取电路装置204提取附加的特征或不能丢弃期望被丢弃的特征。在另一个实施例中，其中的传感器装置106的拥有者认为可以配置的益处大于软件破解的风险，特征提取电路装置204可以被实现在现场可编程门阵列(FPGA)、通用的处理器等中。特征提取电路装置204的输出可以是混淆信号。在另一个示例性实施例中，加密电路装置可以被使用以对由特征提取电路装置204提取的特征进行加密。

此外，在示例性实施例中，特征提取电路装置204可以被配置为在时间上“模糊(fuzz)”信号中的数据，使得截获该信号的实体将难以基于其中的时间模式来对该信号内容进行解码。在这样的实施例中，特征提取电路204可以被配置具有用于分析所提取的特征所必需的、指示时间精度的信息，并且特征提取电路装置204可以修改对应于所提取的特征的时序，以允许在对信号中所编码的事件的时间特征进行“模糊”的同时进行事件检测。在另一个示例中，特征提取电路装置204可以加密所提取的特征，并且将时间戳分配给相应的数据分组。接受方应用可以然后解密所提取的特征。在又一个示例中，处理所提取的特征的电路或应用可以时常针对所提取的特征而轮询传感器装置106。也可以想到用于在时间上混淆特征的其它技术。

传感器装置106进一步可选地包括可以基于由特征提取电路装置204所输出的特征而执行事件检测的特征处理电路装置206(例如，而不是执行事件检测的计算设备110)。在一些实施例中，可能期望事件检测发生在本地的传感器装置106处，诸如当这样做更经济时、当针对传感器装置106在其中被使用的应用的与网络相关联的延迟是不可接受时，等等。根据示例，特征处理电路装置206可以与特征提取电路装置204以及麦克风202共同位于硅衬底上。

传感器装置106也包括向接入点108传输由特征提取电路204输出的混淆信号的收发器208。收发器208可以被配置为Wi-Fi无线电芯片、蓝牙芯片、可以发射光信号的光发射器、声发射器等。当传感器装置包括特征处理电路装置206时，该收发器208可以被配置为将输出信号传输到通知设备112和/或外部通知设备114。传感器装置106也可以可选地包括与特征处理电路装置206通信的硬件指示器210，其中硬件指示器210指示特征处理电路装置206已经检测到事件的发生。例如，硬件指示器210可以是发光二极管(LED)，当特征处理电路装置206已经基于由特征提取电路装置204输出的混淆信号检测到事件的发生时，该发光二极管(LED)发出光信号。在另一个示例中，硬件指示器210可以是扬声器，当期望被检测到的事件的发生被检测到时，该扬声器输出音频信号。仍然在又一个示例中，硬件指示器210可以使得传感器装置106振动。

在另一个示例性实施例中，传感器装置106可以是多模式传感器装置。虽然没有示出，特征提取电路装置204可以包括多个不同的特征提取电路，其中每个电路对应于传感器装置106的相应的不同工作模式(以及相应的不同的期望被检测到的事件)。例如，在第一操作模式中，传感器装置106可以被配置为促进检测会话的语义。在第二操作模式中，传感器装置106可以被配置为当特殊的人说话时促进检测(例如，标识讲话者)。在第三种操作模式中，传感器装置106可以被配置为促进当孩子离开家庭中的“安全区”时促进检测。也可以想到其它模式，并且上文所提出的仅作为示例。

为了允许用户切换传感器装置106的操作模式，传感器装置106可以可选地包括接口212，其可以是按钮、点击轮、滑块等。传感器装置106的用户可以通过与接口212交互来选择传感器装置106的操作模式的期望的模式。可选地被包括的模式选择器电路214可以基于用户与接口212的交互(例如，由用户选择的操作模式)来在特征提取电路装置204中选择特征提取电路。例如，模式选择器电路214可以在当第一个操作模式被选择时将由麦克风输出的信号引导到第一特征提取电路(同时防止其它特征选择电路接收这样的信号)、在当第二操作模式被选择时将由麦克风输出的信号引导到第二特征提取电路(同时防止其它特征选择电路接收这样的信号)，等等。

在示例中，接口212可以是按钮，并且人可以按这样的按钮以选择第一操作模式。传感器装置因此使得生成可以由机器翻译系统使用于检测人类语言的语义的混淆信号，但是该混淆信号包括不足以使得语音识别系统能够标识说话者的身份或使得计算机实现的检测系统能够检测孩子的哭声的信息。用户可以随后再次选择按钮，使得传感器装置106的操作模式改变到第二模式。因此，可以确定该传感器装置106是多模式的。

传感器装置106可以进一步可选地包括消息生成器216，其能够生成用于提供到计算设备(用于最终由人消耗)的消息。消息生成器216可以与特征处理电路装置206进行通信，并且可以从特征处理电路装置206接收特殊的事件已经被传感器装置106检测到的指示。消息生成器216可以然后生成将被传输到将被通知事件的发生的人的计算设备的消息。例如，消息生成器216可以生成文本消息，并且收发器208可以被配置为将文本消息传输到该人的特定的移动设备。在另一个示例中，消息生成器216可以生成电子邮件、语音消息或其它合适的通知。

现在参考图3，图示了示例性计算设备300，其可以被配置为基于所接收的由传感器装置106输出的混淆信号来检测期望被检测到的事件的发生。例如，计算设备300可以是计算设备110。在另一个示例中，计算设备300可以是位于环境100中的计算设备(例如桌面计算设备、游戏控制台、平板计算设备、可穿戴设备等)。计算设备300包括(例如，直接地或通过接入点108的方式)接收由传感器装置106输出的混淆信号的信号接收器部件302。计算设备300进一步包括接收混淆信号并且被配置为基于混淆信号来确定预定义的事件是否已经发生的事件检测器部件304。可以由事件检测器部件304检测到的示例性的事件包括例如老人是否已经跌倒或需要帮助、孩子是否呆在房子的特殊的区域、窃贼是否试图闯入房子等。其它示例性事件已经在上文中被注意到。计算设备300进一步包括可以在当事件检测器部件304基于由信号接收器部件302接收的混淆信号检测到事件已经发生时输出信号的输出部件306。例如，输出部件306可以向通知设备112和/或外部通知设备114传输指示事件已发生的信号。

图4-图5图示了涉及隐私保护传感器的构建和使用的示例性方法。虽然该方法被示出并且被描述成是在序列中执行的一系列动作，但是将被理解和领会的是该方法不被该序列的顺序所限制。例如，一些动作可以以不同于在本文中被描述的顺序而发生。另外，一个动作可以与另一个动作同时发生。进一步地，在一些实例中，并不是所有的动作都被要求以实现本文中描述的方法。

此外，本文中所描述的动作可以是可以由一个或多个处理器实现和/或被存储在计算机可读介质或媒介上的计算机可执行指令。计算机可执行指令可以包括例行程序、子例行程序、程序、执行的线程等。此外，方法的动作的结果可以被存储在计算机可读介质中、显示在显示设备上等。

参考图4，图示了促进构建隐私保护传感器装置的示例性方法400。方法400开始于402，并且在404，传感器与特征提取电路一起被集成。例如，传感器和特征提取电路装置可以一起被包括在集成集成电路中(例如，单个芯片可以包括传感器和特征提取电路装置)。在406，集成电路被耦合到无线收发器。在另一个示例性实施例中，无线收发器也可以包括在集成电路中，从而它与传感器和特征提取电路装置一起被集成。在408，集成电路(以及可选地无线收发器)被封装在防篡改的壳体中。如上文所述，特征提取电路装置被配置为从传感器信号中提取某些特征集合，其中这样的特征可以被使用以检测事件，但不能被用来重建原始信号(由此保持在位置处的人的隐私，在该处隐私保护传感器被部署)。在示例性实施例中，可以从该信号中提取的特征包括除了相位信息(其可以在口语语言中指示词语)的特征。另一个示例中，韵律特征(诸如音高和子带能量)可以从由麦克风输出的信号中提取，而该信号中的其余被丢弃。方法400在410处完成。

现在转向图5，图示了促进混淆信号的生成和传输的示例性方法500。混淆信号包括从由传感器输出的信号中提取的特征，其中由传感器输出的原始信号不能通过该混淆信号的使用而被重建。方法500开始于502，并且在504，例如使用与特征提取电路装置一起被嵌入在硅中的麦克风来捕获音频。在506，从由传感器输出的信号中提取特征。在508，特征被传输到无线接入点(例如，由混淆信号形成的特征)。随后，混淆信号可以被传输到由云服务使用的计算设备以检测在其中部署隐私保护传感器的环境中的事件的发生。方法500在510完成。

现在参考图6，阐述了可以由隐私保护传感器装置执行的示例性方法600。方法600开始于602，并且在604，传感器装置中的传感器生成指示包括传感器装置的环境的参数的信号。例如，信号可以是视频信号(包括多个图像)、音频信号、温度信号等。

在606处，从由传感器生成的信号中提取特征集合。如上文所指示的，特征集合可以被使用以检测事件，但不能用于重建上文所述的信号。进一步，该特征集合可以被用来检测事件，但可以包含不足以允许对于期望检测的事件的检测的信息。此外，用于提取特征的电路装置可以与传感器紧密集成。

在608，响应于特征集合从信号被提取而丢弃信号(使得只有该信号的特征集合保留)。例如，该传感器装置可以包括缓冲器，该缓冲器可以被用来保持一个或多个帧。特征提取电路装置可以从缓冲器的内容中提取特征，并且可以利用最新的一个帧或多个帧来更新缓冲器。因此，恶意的硬件黑客不能够通过解构该传感器装置来取回或再创建原始信号。

在610，传感器装置被配置为对在608处所提取的特征进行分析。例如，传感器装置可以包括事件检测电路装置，其被配置为对所提取的特征进行分析并且基于该特征来确定(该传感器装置被配置为检测的)事件是否已经发生。在612，确定事件是否已经被检测到。当事件未被检测到时，方法600返回到604。当事件被检测到时，在614指示事件已经被检测到的数据被输出。该数据可以是被传输到计算设备的音频信号、视觉信号等。

现在参考图7，图示了可以由计算设备来执行的示例性方法700，该计算设备被配置为基于从由传感器输出的信号提取的特征来检测事件。方法700开始于702，并且在704从隐私保护的传感器装置接收混淆信号。如上文所述，混淆信号可以包括能够由计算设备用于确定特殊类型的事件(例如，孩子正在哭)是否已经发生的、从传感器信号提取的特征，同时特征不包括用于允许计算设备确定期望不被检测到的事件是否已经发生(例如，标识说话者)的足够的信息。在706、基于混淆信号中的特征，确定期望被检测到的事件是否已经在隐私保护装置的环境中发生。如果确定事件没有发生，那么方法700返回到704。如果在706确定事件已经发生，则在708处指示事件已经发生的信号被输出。例如，该信号可以被传输以向人通知该事件的发生、将事件记录在数据存储装置中(例如，以用于将来的分析)等。在另一个示例中，基于事件(例如，语音命令、手势…)的检测，媒体内容可以被展示给用户。

现在参考图8，图示了可以根据本文公开的系统和方法而被使用的示例性计算设备800的高级别的图示。例如，计算设备800可以被用在支持检测事件的发生、向用户呈现多媒体内容等的系统中。计算设备800包括执行存储在存储器804中的指令的至少一个处理器802。该指令可以是，例如用于实施被描述为由一个或多个部件所执行的功能的指令，或用于实现上文描述的一个或多个方法的指令。处理器802可以通过系统总线804的方式访问存储器806。除了存储可执行的指令之外，存储器804还可以存储特征、多媒体内容等。

计算设备800附加地包括可以通过系统总线806的方式而被处理器802访问的数据存储装置808。数据存储装置808可以包括可执行指令、特征、多媒体内容等。计算设备800还包括允许外部设备与计算设备800进行通信的输入接口810。例如，输入接口810可以被用来从外部计算机设备、从用户等接收指令。计算设备800还包括将计算设备800与一个或多个外部设备对接的输出接口812。例如，计算设备800可以通过输出接口812的方式显示文本、图像等。

可以预期经由输入接口810和输出接口812与计算设备800通信的外部设备可以被包括在提供与用户交互的基本上任何类型的用户接口的环境中。用户接口类型的示例包括图形用户接口、自然用户接口，等等。例如，图形用户接口可以从使用诸如键盘、鼠标、遥控器等(一个或多个)输入设备的用户接收输入并且在诸如显示器的输出设备上提供输出。进一步，自然用户接口可以使得用户能够以不受诸如键盘、鼠标、遥控器等输入设备施加的限制的方式而与计算设备800进行交互。相反，自然用户接口可以依靠语音识别、触摸和手写笔识别、在屏幕上以及邻近屏幕的手势识别、空中手势、头部和眼睛跟踪、语音和讲话、视觉、触摸、手势、机器智能，等等。

附加地，尽管被图示为单个的系统，将被理解的是计算设备800可以是分布式系统。因此，例如，多个设备可以通过网络连接的方式进行通信并且可以共同地执行被描述成由计算设备800执行的任务。

本文所描述的各种功能可以在硬件、软件或其任何组合中实现。如果在软件中实现，功能可以作为一条或多条指令或代码被存储在或被传输到计算机可读介质上。计算机可读介质包括计算机可读存储介质。计算机可读存储介质可以是可以由计算机访问的任何可用的存储介质。通过示例而不是限制的方式，这样的计算机可读存储介质可以包括RAM、ROM、EEPROM、CD-ROM或光盘存储装置、磁盘存储装置或其它存储装置、或可以被用来执行或存储以指令或数据结构的形式的期望的程序代码以及能够由计算机访问的任何其它媒介。本文中所使用的磁盘和光盘包括紧致盘(CD)、激光盘、光盘、数字通用光盘(DVD)、软盘、以及蓝光光盘(BD)，其中磁盘通常磁化地再生数据并且光盘通常使用激光器光学地再生数据。进一步地，传播的信号不包括在计算机可读存储介质的范围内。计算机可读介质还包括通信介质，通信介质包括促进将计算机程序从一个地方传输到另一个地方的任何媒介。例如，连接可以是通信介质。例如，如果使用同轴电缆、光缆、双绞线、数字订户线(DSL)、或无线技术(诸如红外、无线电、以及微波)从网站、服务器、或其它远程源传输软件，则同轴电缆、光缆、双绞线、DSL、或无线技术(诸如红外、无线电、以及微波)被包括在通信介质的定义中。上述的组合也应该被包括包含在计算机可读介质的范围内。

备选地或附加地，本文中所描述的功能可以至少部分地由一个或多个硬件逻辑部件执行。例如但不限于，可以被使用的说明性的硬件逻辑部件类型包括现场可编程门阵列(FPGA)、程序专用集成电路(ASIC)、程序专用标准产品(ASSP)、片上系统的系统(SOC)、复杂可编程逻辑器件(CPLD)，等等。

上文所描述的内容包括一个或多个实施例的示例。当然，为了描述前述提及的方面的目的，而描述上文中的设备或方法的每一个可以想象的修改和改变是不可能的，但是本领域的普通技术人员可以认识到，不同方面的许多进一步的修改和排列是可能的。因此，所描述的方面旨在包含落在所附的权利要求的精神和范围内的所有的这样的改变、修改、以及变型。此外，在这个意义上，术语“包含”在详细的说明或权利要求中被使用，这样的术语旨在被包含在与术语“包括”类似的方式，如当在权利要求中作为过渡词被使用的“包括”被解释的那样。

Claims (17)

1.一种隐私保护传感器装置，包括：

半导体芯片，所述半导体芯片包括：

传感器，其输出指示环境中的参数的信号；以及

特征提取电路装置，其与所述传感器被共同嵌入在所述半导体芯片中，所述特征提取电路装置被配置为：

接收所述信号；

从所述信号提取特征，其中所述特征未包括相位信息，并且进一步其中所述隐私保护传感器装置被配置为响应于所述特征提取电路装置从所述信号提取所述特征而立即丢弃所述信号；以及

输出所述特征，其中所述隐私保护传感器装置与被配置为检测所述环境中的第一语音事件的发生的第一事件检测系统通信，所述第一事件检测系统被配置为单独地基于从所述信号提取的所述特征来检测所述环境中的所述第一语音事件的发生，并且进一步其中被配置为检测第二语音事件的发生的第二事件检测系统不能单独地基于所述特征来检测所述第二语音事件，如果所述第一事件检测系统已经访问由所述传感器输出的所述信号，则所述第二语音事件将由所述第二事件检测系统能够检测。

2.根据权利要求1所述的隐私保护传感器装置，进一步包括封装所述半导体芯片的防篡改壳体。

3.根据权利要求1所述的隐私保护传感器装置，所述传感器是麦克风。

4.根据权利要求1所述的隐私保护传感器装置，进一步包括收发器，所述收发器被配置为接收由所述特征提取电路装置输出的所述特征并且输出包括所述特征的输出信号，其中运行所述第一事件检测系统的计算设备能够操作以接收由所述收发器输出的所述输出信号并且基于所述输出信号来检测所述第一语音事件。

5.根据权利要求1所述的隐私保护传感器装置，所述半导体芯片进一步包括：

第二特征提取电路装置，所述第二特征提取电路装置与所述传感器被共同嵌入在所述半导体芯片中，所述第二特征提取电路装置被配置为接收所述信号并且从所述信号提取第二特征，所述环境中的所述第二语音事件由所述第二事件检测系统单独地基于所述第二特征而能够检测，所述第一语音事件不能由所述第一事件检测系统单独地基于所述第二特征而检测；以及

模式选择器电路，所述模式选择器电路响应于接收到用户输入，将所述特征提取电路装置或所述第二特征提取电路装置中的一个与所述传感器耦合并且将所述特征提取电路装置或所述第二特征提取电路装置中的另一个与所述传感器去耦合。

6.根据权利要求1所述的隐私保护传感器装置，进一步包括所述第一事件检测系统，所述第一事件检测系统被配置为响应于检测到所述第一语音事件的发生而输出检测信号。

7.根据权利要求6所述的隐私保护传感器装置，进一步包括硬件指示器，所述硬件指示器接收由所述第一事件检测系统装置输出的所述检测信号并且响应于接收到所述检测信号而发出人类能够感知的信号。

8.根据权利要求6所述的隐私保护传感器装置，所述第一事件检测系统包括特征处理电路装置，所述特征处理电路装置与所述传感器和所述特征提取电路装置被共同嵌入在所述半导体芯片中。

9.根据权利要求6所述的隐私保护传感器装置，进一步包括消息生成器，所述消息生成器被配置为接收由所述第一事件检测系统输出的所述检测信号，所述消息生成器被配置为生成指示所述环境中的所述第一语音事件的发生的人类能够感知的消息。

10.一种在隐私保护传感器装置处执行的方法，所述方法包括：

由传感器生成传感器信号，所述传感器信号指示所述隐私保护传感器装置被放置的环境的至少一个参数；

从所述传感器信号提取特征，所述特征未包括相位信息，所述特征被配置用于由第一事件检测系统使用以检测第一语音事件的发生，并且所述特征未被配置用于由第二事件检测系统使用以检测将由所述第二事件检测系统基于所述传感器信号能够检测的第二语音事件，其中从所述传感器信号提取所述特征的特征提取电路装置与所述传感器被共同嵌入在半导体芯片中；

响应于从所述传感器信号提取所述特征，立即丢弃所述传感器信号；以及

将混淆信号输出到所述第一事件检测系统，所述混淆信号包括所述特征，所述混淆信号未被配置用于由所述第二语音事件检测系统使用以检测所述第二语音事件。

11.根据权利要求10所述的方法，进一步包括：

在输出所述混淆信号之前加密所述特征，其中所述混淆信号包括经加密的所述特征。

12.根据权利要求10所述的方法，进一步包括：

分析所述混淆信号；以及

基于对所述混淆信号的所述分析来输出指示所述第一语音事件已经发生的信号。

13.根据权利要求10所述的方法，其中所述混淆信号包括标识将接收所述混淆信号的计算设备的数据，所述计算设备是运行所述第一事件检测系统的基于云的计算设备。

14.根据权利要求10所述的方法，进一步包括：

接收指示在第三语音事件在所述环境中发生时所述第三语音事件将被检测的用户输入；

响应于接收到所述用户输入，将所述传感器从所述特征提取电路装置通信地去耦合；

响应于接收到所述用户输入，将所述传感器与第二特征提取电路装置通信地耦合；以及

从所述传感器信号提取特征，所述特征被配置用于检测所述第三语音事件的发生，并且所述特征未被配置用于检测所述第二语音事件的发生，其中从所述传感器信号提取所述特征的所述第二特征提取电路装置与所述传感器被共同嵌入在所述半导体芯片中。

15.根据权利要求10所述的方法，所述传感器是麦克风。

16.根据权利要求10所述的方法，所述传感器是微电机系统麦克风。

17.一种隐私保护传感器装置，包括：

半导体芯片，所述半导体芯片包括：

麦克风，所述麦克风被配置为生成传感器信号，所述传感器信号指示所述隐私保护传感器装置被放置的环境的至少一个参数；以及

特征提取电路装置，所述特征提取电路装置与所述麦克风被共同嵌入在所述半导体芯片中，所述特征提取电路装置被配置为：

从所述传感器信号提取特征，所述特征未包括相位信息，

其中所述隐私保护传感器装置与事件检测系统通信，所述事件检测系统被配置为检测第一语音事件以及与所述第一语音事件不同的第二语音事件，所述事件检测系统被配置为单独地基于从所述传感器信号提取的所述特征来检测所述第一语音事件的发生，并且进一步其中所述事件检测系统不能基于从所述传感器信号提取的所述特征来检测所述第二语音事件，所述事件检测系统被配置为基于所述传感器信号来检测所述第二语音事件；

响应于从所述传感器信号提取所述特征，立即丢弃所述传感器信号；以及

将混淆信号输出到所述事件检测系统，所述混淆信号包括所述特征。