CN106537875A

CN106537875A - 用于车辆的隐私保护网关

Info

Publication number: CN106537875A
Application number: CN201580042192.5A
Authority: CN
Inventors: T.魏登费勒; A.费德林; T.劳特巴赫
Original assignee: Telefonaktiebolaget LM Ericsson AB
Current assignee: Telefonaktiebolaget LM Ericsson AB
Priority date: 2014-08-06
Filing date: 2015-08-04
Publication date: 2017-03-22
Anticipated expiration: 2035-08-04
Also published as: WO2016020393A1; US20170230797A1; CN106537875B; EP2983381B1; US11432108B2; EP2983381A1

Abstract

本发明涉及一种用于处理由隐私网关（100）经由移动通信网络（20）从车辆（10）接收的车辆消息的数据分组的方法。该方法包括以下步骤。接收由车辆（10）传送的车辆消息。标识车辆消息的数据分组中的源IP地址。由移动通信网络（20）的位置收集实体（50）的IP地址替换车辆消息的数据分组中的源IP地址。所述移动通信网络收集多个车辆（10）的位置信息，从而导致具有包含位置收集实体的IP地址作为源IP地址的修改数据分组的修改车辆消息。然后，将修改车辆消息传送给服务提供实体（40），服务提供实体（40）配置成为所述多个车辆提供位置相关服务。

Description

用于车辆的隐私保护网关

技术领域

本发明涉及一种用于处理由隐私网关经由移动通信网络从车辆接收的车辆消息的数据分组的方法，并且涉及该隐私网关。此外，本发明涉及计算机程序、包含所述计算机程序的计算机程序产品和载体。

背景技术

在由ETSI（ES 202 663）提出的智能运输系统（ITS）5 GHz（ITS-G5）系统中，车辆使用WiFi（802.11p）发送包括含有位置特定信息的消息的数据。在以下ITS规范中定义了所述消息：

CAM基本规范（EN 302637-2 v1.3.0）

DENM基本规范（EN 302637-3 v1.2.0）。

传送的数据的性质并不需要标识发送者（即，发送车辆），也不期望使该标识成为可能。恰恰相反，意图保护发送者的身份，并且这是高优先级。为了在传送来自汽车应用的地理位置相关数据时维持最高级别的隐私，期望尽可能多地将内容和元数据分离。

在ITS-G5系统中，将这些消息作为WiFi广播进行发送。只通过用于对消息进行签名的假名证书来标识消息的发送者。这只有在使得接收者能够验证消息是由系统的授权参与者发送时才是必需的。假名证书被定期交换。这避免监听经过车辆的传送的攻击者反复地可标识车辆。

目前，所做的调查不仅对于使用WiFi广播来获得来自汽车应用的数据，还对于使用IPv6单播的移动数据网络（3G、LTE等）。作为这些调查的一部分，引入包含服务提供商（SP）的后端体系结构。SP充当中央实例以便经由移动数据网络从车辆接收消息。在从汽车应用接收地理位置相关数据之后，SP对它们进行处理，并基于处理的结果提供服务。作为服务的供应的一部分，SP可联系车辆以便为它们提供信息，例如路况或天气信息。

基于WiFi广播的ITS-G5解决方案需要一定的市场渗透以便适当地运作。这触发了使用移动数据网络作为如ITS-G5中规定的消息的补充传输的想法。但是，不能将ITS-G5的广播概念立即转换到使用移动数据网络的IP网络。这是因为，在移动数据网络中，用户设备（UE）/移动电话不能并且不打算广播有效负载。

UE在移动数据网络上使用单播连接进行数据通信。使用单播的一个问题是车辆的隐私，车辆的隐私在车辆使用永久发送者IP地址发送它的位置数据时受到损害，如同IPv6的情况。即使没有对消息的实际（加密）内容的访问，仅仅通过查看相关数据流的元数据（即，IPv6地址），它也使得互联网上的窃听者能够至少确定特定车辆是否正在传送数据（即，是否正在移动）。

给定足够数据点，可为该IP地址创建业务模式。这又使得推断订户的真实生活身份成为可能。

发明内容

因此，存在能够使用移动通信网络来传送车辆的位置信息，同时确保不能标识车辆或传送UE的身份的需要。

通过独立权利要求的特征来满足该需要。从属权利要求中描述了进一步的方面。

提供一种用于处理由隐私网关经由移动通信网络从车辆接收的车辆消息的数据分组的方法。在隐私网关处接收由车辆传送的车辆消息。此外，标识车辆消息的数据分组的源IP地址，并由收集多个车辆的位置信息的移动通信网络的位置收集实体的IP地址替换车辆消息的数据分组中的源IP地址，从而导致具有包含位置收集实体的IP地址作为源IP地址的修改数据分组的修改车辆消息。此外，将修改车辆消息传送给服务提供实体，服务提供实体配置成为所述多个车辆提供位置相关服务。

通过使用位置收集实体的IP地址替换发送车辆的IP地址，通过窃听互联网上朝向服务提供实体/服务提供商的通信来跟踪车辆变得不可能。此外，该替换禁止从移动通信网络的外部与车辆直接通信。车辆向外部世界的通信将在移动通信网络内部在隐私网关中终接。然后，在用位置收集实体的IP地址替代车辆的源IP地址之后，隐私网关能将接收的车辆消息转发给服务提供实体。源地址的交换具有从服务提供实体到车辆的直接返回通信不可能的效果。为了替代该损失，部署了位置收集实体（下文中又称为地理使能器）。当位置收集实体或地理使能器收集车辆的位置信息时，位置收集实体允许服务提供实体通过它的位置（即，服务提供实体在消息中接收的位置）对车辆进行寻址。服务提供实体可通过利用它作为车辆消息的一部分接收的源IP地址到达对应的位置收集实体。然后，位置收集实体基于车辆的位置将该信息转发给车辆。如上所述，该IP地址不再是发送消息的车辆的源IP地址，而是用位置收集实体的IP地址替代该IP地址。

此外，本发明涉及配置成如上所述处理车辆的数据分组的对应隐私网关，该隐私网关包括配置成接收由车辆发送的车辆消息的接收器。此外，提供数据处理单元，它配置成标识车辆消息的数据分组中的源IP地址，并配置成用收集多个车辆的位置信息的移动通信网络的位置收集实体的IP地址替换车辆的数据分组中的源IP地址。这导致具有包含位置收集实体的IP地址作为源IP地址的修改数据分组的修改车辆消息。传送器将修改车辆消息传送给服务提供实体，服务提供实体配置成为所述多个车辆提供位置相关服务。

此外，本发明涉及一种包含指令的计算机程序，所述指令在至少一个控制单元上执行时使得所述至少一个控制单元进行上述用于处理数据分组的方法。此外，提供了包括所述计算机程序的计算机程序产品和包含所述计算机程序的载体。

附图说明

根据结合附图给出的实施例的以下描述，本发明的以上和其它需要、特征和优点将变得显而易见。

图1是系统的示意性体系结构图，其中经由移动通信网络将位置信息从车辆传送到服务提供商，其中保持了车辆的隐私。

图2是包含由图1中示出的不同实体进行的不同步骤的流程图，其中在车辆将位置信息提供给服务提供实体时保持了车辆的隐私。

图3示出在图1中示出的不同实体之间的消息交换，其中将基于位置的信息发送给服务提供实体，服务提供实体将位置消息提供给车辆。

图4示出当从未经证明的车辆接收消息时在不同实体之间的消息交换。

图5是图1中示出的隐私网关的示意图，该隐私网关通过替换的源IP地址将车辆数据转发给服务提供实体。

图6示出指示在将车辆消息转发给服务提供实体时由图5的隐私网关进行的主要步骤的流程图。

具体实施方式

在下文中，将参考附图更详细地解释根据本发明的实施例的概念。

图1示出系统的高级体系结构图，其中将诸如车辆的位置和速度向量或车辆的任何其它信息的车辆相关信息传送给服务提供实体/服务提供商（SP）40。服务提供商连接至公共互联网或私有网络，并预期从诸如图1所示的车辆10的车辆接收消息。此外，给出地理位置消息传递系统。从该系统，图1中示出地理使能器或位置收集实体50。位置收集实体50连接至互联网或私有网络。它从互联网或私有网络接收消息以便进一步分发，这在图1中标记为“反向信道”。此外，位置收集实体50连接至移动数据网络或移动通信网络20（3G、LTE（长期演进）或其它）。位置收集实体50使用移动网络20来允许车辆为地理位置消息传递服务进行注册。车辆10连接至移动通信网络20。车辆中的智能业务系统基于内部或外部刺激生成消息。举例来说，由于特定天气或路况，或者因为定期重复的消息的某个内部计时器到期，生成消息。取决于消息的类型，称为车辆消息的这些消息可能包含诸如车辆的位置的地理位置信息。根据ITS-G5标准或其它过程，用证书对消息进行数字签名。车辆中的移动实体接收消息，并通过网络20使用与服务提供商40的目的地的单播连接来传输所述消息。此外，连接的车辆10在某个点向包括位置收集实体50的地理位置消息传递系统进行注册。

此外，提供隐私保护（PP）或简称为隐私网关100，它连接至移动通信网络20的Gi、SGi或类似接口。此外，网关100直接或间接地连接至服务提供商40所连接到的私有网络或互联网。此外，隐私网关100还连接至能够排除、注册、处理移动数据网络用户和/或在移动数据网络用户上施加限制的移动通信网络的反欺诈安全系统（未示出）、用户数据管理（未示出）和/或移动网络中的任何其它系统。在系统启动时、在配置期间或任何其它时间，经由通过地理位置系统、网关100本身或第三方执行的某个特殊过程或任何其它合适的过程，网关100接收位置收集实体50的互联网地址或它在私有网络中的地址。在该地址发生任何变化时，通过上述方式或任何其它合适的过程进一步更新网关100。以相同方式，在系统启动时、在配置期间或任何时间，经由通过网关100本身、通过服务提供商40或通过第三方执行的某个特殊过程，为网关100提供一个或多个服务提供商40的IP地址。移动通信网络20经由Gi、SGi或类似接口将由车辆10的UE发送的所选消息转发给网关100。选择基于允许将其它业务与智能运输数据业务分离的准则，例如目的地IP地址、APN（接入点名称）、用证书签名的消息、或类似准则或其组合。由车辆10发送的车辆消息被分组网关30接收，基于诸如目的地IP地址、APN或用某个证书签名的消息的上述准则将车辆消息从所述分组网关30转发给隐私网关100。

图2概述了通过图1中示出的一些实体进行的步骤。如步骤S20所示，车辆（即，车辆的移动网络装置）将签名的消息传送或转发给移动网络，其中在步骤S21中，分组网关30将签名的消息转发给隐私网关100。在接收到消息时，网关100验证目的地IP地址是否是网关100已知的服务提供商的IP地址之一（步骤S22）。如果情况不是这样，那么隐私网关100通知网络的反欺诈系统或任何其它类似系统关于该事实并丢弃该消息。此外，如步骤S30中所指示的，将车辆列入黑名单，阻止或丢弃或忽视来自车辆以及到车辆的当前消息和所有进一步的消息以及通信。列入黑名单和引起的消息阻止或丢弃通过通知网络20的反欺诈系统或独立操作的反欺诈系统关于该事件来执行。但是，如果在步骤22中隐私网关100确定消息被适当地签名，则它用位置收集实体50的已知IP地址替换接收的车辆消息中的源IP地址（步骤S23）。此外，如步骤S24中所指示，网关100可将用于对车辆签名的证书传送到位置收集实体50。位置收集实体可使用该证书在稍后将从服务提供商接收的包含证书的消息转发给对应车辆。在步骤S25中，将修改的消息传送给服务提供商40，在修改的消息中，用位置收集实体的IP地址替换车辆中的移动电话的源IP地址。

在使用如UDP（通用数据协议）的协议的情况下，无需通过隐私网关100进行另外的协议处理。

在使用如TCP（传输控制协议）的协议的情况下，由于TCP的特性，需要一些另外的处理。车辆的TCP连接在网关100中适当终接（网关100充当目的地服务提供商的代理），从而声称具有目的地服务提供商的IP地址。此外，隐私网关100涉及位置收集实体50的帮助来向服务提供商40转发TCP分组（图中未示出）。位置收集实体50代表车辆处理与朝向服务提供商的TCP相关联的状态消息。它在代表网关100将消息转发给服务提供商时设立朝向服务提供商的TCP连接。这确保朝向服务提供商的TCP连接的源地址是位置收集实体50的IP地址。

一旦经由互联网或私有网络接收消息，服务提供商40验证消息的源IP地址是否是位置收集实体的已知IP地址。如果不是，那么服务提供商放弃该消息。此外，如果经由TCP连接传输消息，并且源IP地址不是已知位置收集实体的IP地址，那么服务提供商丢弃TCP连接。在这两种情况下，服务提供商都可将攻击IP地址添加到它自己的防火墙，以便阻止来自该未知地址的进一步尝试。

如果确定源IP地址是已知位置收集实体的IP地址，那么在S26中，服务提供商40继续检查是否用有效证书对消息适当地签名。如果在步骤S26中确定用正确证书对消息签名，那么服务提供商以提供假设它要提供的一个或多个服务所必需的任何方式处理修改的消息。

如果无论出于什么原因服务提供商想要为车辆或一组车辆提供信息，例如响应于接收的消息或出于其它原因提供服务信息，那么服务提供商使用之前接收的地理位置或位置来构造地理位置消息传递请求，其中应当通知对应车辆中的移动实体由服务提供商生成的信息（步骤S28）。然后，在步骤S29中，服务提供商使用它在修改的消息中作为源地址接收的位置收集实体的IP地址将请求转发给位置收集实体。位置收集实体知道不同车辆的位置，并且如果应当为位于某个地理位置中的车辆提供某个服务，那么位置收集实体将服务或消息转发给位于服务提供实体想要为其提供服务的区域中的对应车辆（步骤S29）。应了解，在诸如隐私网关或服务提供商的不同实体处进行的消息无需按照指示的次序进行。在不同实体内，可进行另一顺序的步骤。

图3示出通过图1的实施例中示出的一些组件进行的消息的一个特定流程。在步骤S30和S31中，消息交换以服务提供商和地理使能器或位置收集实体50向隐私网关100注册它们的相应IP地址开始。该注册过程只是一个示例，并且存在如何可以使隐私网关100知道这些IP地址的其它可能性。另一个可能性是在隐私网关100处的配置步骤。在某个时间点，在步骤S32中，车辆为了地理位置消息向位置收集实体50进行注册。在稍后的时间点，在步骤S33中，车辆发送匿名消息。尽管该消息中的目的地IP地址是服务提供商的IP地址，但是分组网关30检测到这是特定ITS业务。例如，该检测可基于用于发送消息的APN发生。一旦分组网关已确定消息需要特殊处理，它将消息转发给隐私网关（步骤S34）而不是转发给服务提供商。在步骤S35中，隐私网关100验证消息是否可接受，并且如果是，则将消息证书转发给位置收集实体50（步骤S36）。在步骤S37中，网关100用位置收集实体的IP地址替换消息中的源IP地址（即，车辆IP地址）（步骤S37）。然后，在步骤S38中，将具有替换后的IP地址的消息传送给服务提供商40（步骤S38）。在步骤S39中，服务提供商验证该消息，并根据提供服务所需的过程对它进行处理。在步骤S40中，服务提供商提取并存储位置收集实体的IP地址。如果在某个时间点，服务提供商可能决定需要为车辆或车辆集合提供一些信息，那么服务提供商生成位置瞄准消息，即，其中通过位置或区域或任何其它地理信息而不是通过IP地址来标识预期接收者的消息，并且在步骤S41中，将该消息传送给位置收集实体。服务提供商之前的确知道负责的位置收集实体的IP地址。然后，位置收集实体在步骤S42中确定预期的接收者，针对注册用户的位置检查目标位置并证明所述消息（步骤S43），并且然后经由分组网关30经由单播将消息转发给预期车辆移动实体（步骤S44和S45）。

图4示出当消息不能由隐私保护网关100验证时的示例。在步骤S50和S51中，经由分组网关30将车辆消息发送给隐私网关100，这些步骤对应于上面结合图3论述的步骤S33和S43。在步骤S52中，隐私网关100验证消息和消息源，并确定消息不是从授权车辆接收。然后，在步骤S53中，隐私网关通知反欺诈系统60关于该事实。在所示示例中，反欺诈系统60决定通过在步骤S54-S57中向分组网关、隐私网关、位置收集实体和车辆发送黑名单消息来执行广泛的将对应UE列入黑名单。

图5示出隐私网关100的示例性结构。隐私网关100包含包括传送器111和接收器112的输入-输出单元110。传送器用符号表示网关100将数据传送给其它实体并与其它实体通信的可能性，接收器112用符号表示从其它实体接收信息或数据的能力。提供负责如上所述车辆消息的修改的数据处理单元120。数据处理单元120用位置收集实体的IP地址替换车辆消息中的源IP地址，以便生成修改车辆消息的修改数据分组，然后使用传送器111将IP地址进一步传送给服务提供商。

提供数据库130，数据库130中可存储不同信息片段，例如哪些服务提供商属于地理位置系统、关于反欺诈系统的信息以及如何联系它等等。提供控制单元140，它包括负责网关的操作的一个或多个处理器。控制单元尤其生成进行上面论述的涉及隐私网关100的步骤所需的命令。提供存储器150，它可以是只读存储器、闪速只读存储器、随机存取存储器、大容量存储设备、硬盘等。存储器包括具有指令的合适程序代码和计算机程序，所述指令通过控制单元执行以便实现网关100的上述功能性。应了解，图5中示出的结构只是示意性的，并且网关可实际上包括进一步的组件，图中为了清楚起见没有示出进一步的组件。此外，应了解，无需将不同的功能实体合并到如所示的分离实体中。不同功能实体中的一些实体可在单个实体中实现，或者可使用实体的另一种分离。此外，可通过硬件、软件、或硬件和软件的组合来合并这些实体。

根据上面描述的论述，可做出一些一般性结论。举例来说，当隐私网关100接收车辆消息时，检查隐私网关是否知道包含在IP数据分组中的服务提供实体40的目的地IP地址是服务提供实体的有效目的地IP地址。只有当知道目的地IP地址是有效目的地IP地址时，才替换源IP地址，并且生成修改的车辆消息并将它传送给服务提供实体。

这有助于确保只对服务提供实体生成已向服务提供实体注册并且是地理位置消息传递系统中的有效成员的消息。此外，隐私网关可确定是否从受信车辆接收到所接收的车辆消息。只有当从受信车辆接收所接收的车辆消息时，才生成修改的车辆消息并将它传送给服务提供实体。在另一种情况下，可丢弃接收的车辆消息。

如果隐私网关不知道包含在数据分组中的服务提供实体的目的地地址是服务提供实体的有效目的地IP地址，或者如果确定从非受信车辆接收所接收的车辆消息，那么可丢弃车辆消息的数据分组，并且发送者可被列入黑名单，意味着该车辆被列入黑名单，并且阻止/丢弃或忽视来自对应车辆以及到对应车辆的车辆消息和所有未来的消息以及通信。可通过通知反欺诈系统来执行列入黑名单和引起的消息阻止或丢弃。然后，该反欺诈系统可确定并执行一组活动以便将车辆中的对应移动电话列入黑名单。

此外，可以看到，在车辆数据离开移动通信网络之前的某个点，或者在移动通信网络中的不同点，端点（意思是车辆和服务提供商）之间的通信信道是分离的。车辆向外部世界的通信将在移动通信网络内部的节点（即，隐私保护网关100）中终接。当服务提供商接收消息时，它仍可通过验证消息的签名是在车辆处用有效证书创建来验证消息的真实性。隐私网关只将消息转发给它知道的服务提供商，即，在隐私网关100处用它们的目的地IP地址注册的服务提供商。不转发包含其它目的地地址的消息，并且可将发送实体列入黑名单。使用服务提供商的IP地址是用于确定IP分组是否需要特殊处理的一种方式。另一种可能性是为ITS服务指派特定接入点名称并经由该接入点将所有上行链路业务转发给隐私网关。

用不暴露发送车辆的身份的位置收集实体的IP地址替代发送车辆的IP地址的优点是，位于移动通信网络外部的任何一方将不能够将消息的内容与元数据（源IP地址）以及因此发送者的位置相关。这提高了隐私并进而导致消费者的高接受度。

在隐私网关处通过只将消息转发给已知的服务提供商进行的过滤通过不允许被发送给目标IP的业务而进一步保护了系统，所述目标IP不属于作为系统的一部分的服务提供商。通过APN或服务提供商目的地地址或两者来选择需要匿名处理的分组使得其它业务未被触及。隐私网关为服务提供商提供众所周知的消息源。服务提供商将只必须应对很少的隐私网关而不是大量车辆。此外，服务提供商将能够通过使用位置收集实体基于车辆的位置来对车辆进行寻址。

Claims

1.一种用于处理由隐私网关（100）经由移动通信网络（20）从车辆（10）接收的车辆消息的数据分组的方法，包括以下步骤：

-接收由所述车辆（10）传送的所述车辆消息；

-标识所述车辆消息的所述数据分组中的源IP地址；

-由收集多个车辆（10）的位置信息的所述移动通信网络（20）的位置收集实体（50）的IP地址替换所述车辆消息的所述数据分组中的所述源IP地址，从而导致具有包含所述位置收集实体的所述IP地址作为源IP地址的修改数据分组的修改车辆消息；

-将所述修改车辆消息传送给服务提供实体（40），所述服务提供实体（40）配置成为所述多个车辆提供位置相关服务。

2.如权利要求1所述的方法，还包括以下步骤：检查所述隐私网关（100）是否知道包含在所述数据分组中的所述服务提供实体（40）的目的地IP地址是服务提供实体的有效目的地IP地址，其中只有当知道所述目的地IP地址是有效目的地IP地址时，才替换所述源IP地址，并且生成所述修改车辆消息并将其传送给所述服务提供实体（40）。

3.如权利要求1或2所述的方法，还包括以下步骤：确定是否从受信车辆接收所述接收的车辆消息，其中只有当从受信车辆接收所述接收的车辆消息时，才生成所述修改车辆消息并将其传送给所述服务提供实体（40）。

4.如权利要求3所述的方法，其中确定是否从受信车辆接收所述接收的车辆消息的步骤包括确定是否用有效证书对所述接收的车辆消息签名。

5.如权利要求4所述的方法，其中如果用有效证书对所述接收的车辆消息签名，则将所述证书传送给所述位置收集实体（50）。

6.如权利要求2或3中任一权利要求所述的方法，其中，如果所述隐私网关（100）不知道包含在所述数据分组中的所述服务提供实体（40）的所述目的地地址是服务提供实体的有效目的地IP地址，或者如果确定从非受信车辆接收所述接收的车辆消息，则丢弃所述车辆消息的所述数据分组。

7.如权利要求2或3中任一权利要求所述的方法，其中，如果所述隐私网关（100）不知道包含在所述数据分组中的所述服务提供实体（40）的所述目的地地址是服务提供实体的有效目的地IP地址，或者如果确定从非受信车辆接收所述接收的车辆消息，那么将所述车辆列入黑名单，并且阻止或丢弃或忽视来自该车辆（10）以及到该车辆（10）的所述车辆消息和所有进一步的车辆消息以及通信。

8.如权利要求7所述的方法，其中所述列入黑名单和引起的消息阻止/丢弃通过通知反欺诈系统关于所述事件来执行。

9.一种配置成处理在隐私网关处经由移动通信网络从车辆接收的车辆消息的数据分组的隐私网关（100），所述隐私网关包括：

-接收器（112），配置成接收由所述车辆（10）发送的所述车辆消息；

-数据处理单元（120），配置成标识所述车辆消息的所述数据分组中的源IP地址，并配置成用收集多个车辆（10）的位置信息的所述移动通信网络（20）的位置收集实体（50）的IP地址替换所述车辆消息的所述数据分组中的所述源IP地址，从而导致具有包含所述位置收集实体（50）的所述IP地址作为源IP地址的修改数据分组的修改车辆消息；

-传送器（111），配置成将所述修改车辆消息传送给服务提供实体（40），所述服务提供实体（40）配置成为多个车辆提供位置相关服务。

10.如权利要求9所述的隐私网关（100），还包括数据库（130），所述数据库（130）包含至少一个服务提供实体的至少一个目的地地址，其中所述数据处理单元（120）配置成检查包含在所述车辆消息的所述数据分组中的目的地地址是否作为服务提供实体（40）的有效目的地IP地址存储在所述数据库（130）中，其中只有当所述目的地地址作为有效目的地IP地址存储在所述数据库中时，所述数据处理单元（120）才替换所述车辆消息中的所述源IP地址，并将所述修改车辆消息传送给所述服务提供实体。

11.如权利要求9或10所述的隐私网关（100），其中所述数据处理单元（120）配置成确定是否从受信车辆接收所述接收的车辆消息，其中只有当所述数据处理单元确定从受信车辆接收所述接收的车辆消息时，所述数据处理单元（120）才生成所述修改车辆消息并将所述修改车辆消息传送给所述服务提供实体。

12.如权利要求11所述的隐私网关（100），其中为了确定是否从受信车辆接收所述接收的车辆消息，所述数据处理单元（120）确定是否用有效证书对所述接收的车辆消息签名。

13.如权利要求12所述的隐私网关，其中所述传送器（111）配置成在所述数据处理单元确定用有效证书对所述接收的车辆消息签名时将所述证书传送给所述位置收集实体（50）。

14.一种包含指令的计算机程序，所述指令当在至少一个控制单元（140）上执行时使得所述至少一个控制单元进行根据权利要求1-8中任一权利要求所述的方法。

15.一种计算机程序产品，包括根据权利要求14所述的计算机程序。

16.一种包含权利要求15的计算机程序的载体，其中所述载体是电子信号、光信号、无线电信号或磁带之一。