ES2643266T3 - Un método para proporcionar protección de la privacidad en sistemas de control de la iluminación en red - Google Patents

Abstract

Un método para proteger la privacidad de un individuo en un espacio en el que se tiene la capacidad de recoger datos y almacenarlos mediante un sistema de control de iluminación (900), siendo el sistema de control de iluminación uno de entre un sistema de control de iluminación central y un sistema de control de iluminación en red, comprendiendo el método: presentar al individuo un menú mediante el que el individuo puede seleccionar varios ajustes de privacidad que atañen a dichos datos, incluyendo los ajustes de privacidad si los datos pueden asociarse o no con el individuo; registrar una o más selecciones de dichos ajustes de privacidad realizados por el individuo; y recoger los datos de acuerdo con las selecciones registradas.

Description

5

10

15

20

25

30

35

40

45

50

55

60

65

DESCRIPCION

Un metodo para proporcionar proteccion de la privacidad en sistemas de control de la iluminacion en red

La presente solicitud se refiere al campo de los sistemas de gestion de la luz y mas particularmente a un metodo y sistema para proteger la privacidad de usuarios de sistemas de control de iluminacion y que les permita personalizar sus ajustes de privacidad, mientras se impacta mmimamente en la capacidad para realizar una Gestion Total de la Luz usando el Sistema de Control de Iluminacion en Red (NLCS, del ingles “Networked Lighting Control System”).

Es de interes para ocupantes de edificios, administradores de edificios, operadores de la iluminacion exterior, operadores de luz de aparcamientos y en general a proveedores de Servicios de Gestion Total de la Luz (TLMS, del ingles “Total Light Management Services”) tanto en entornos interiores como exteriores.

Un sistema NLCS es un componente esencial de soluciones y servicios de gestion total de la luz que generen ahorros de energfa a los usuarios finales y fuentes potenciales de ahorros reiterados para los operadores. Los NLCS adquieren y procesan las lecturas de sensores que siguen los datos de localizacion de los usuarios, sus preferencias y parametros del sistema en una base de datos. Algunos elementos de estos datos tienen implicaciones de privacidad. Por ejemplo, los datos del sensor de ocupacion de una oficina privada pueden usarse para deducir cuanto tiempo emplea un trabajador dado en su oficina. Esto tiene implicaciones en la ley laboral y antidiscriminacion. Los cuerpos de seguridad pueden reclamar como prueba datos de ocupacion. Los datos de ocupacion podnan usarse contra una organizacion (por ejemplo, “Los empleados de la agencia gubernamental XYZ emplean menos de 4 horas en sus despachos, desperdiciando el dinero de los contribuyentes”). El almacenamiento de los ajustes de luz para un individuo de vision defectuosa de una forma identificable podna violar la privacidad del usuario.

Otro ejemplo que implica problemas de privacidad se refiere al campo de la terapia por luz. La terapia por luz es un tratamiento potencial para varias enfermedades tales como depresion y trastornos producidos por el estres postraumatico. Se podna concebir un NLCS para una instalacion sanitaria en donde se ajustan las luces de acuerdo con la prescripcion del terapeuta por luz. De ese modo, los ajustes de luz podnan vincularse a registros de salud del paciente. En estos escenarios, el proveedor del servicio de NLCS podna considerarse responsable si se usan incorrectamente los datos.

Otro ejemplo mas se refiere a una configuracion exterior en la que detectores de movimiento montados en farolas en la proximidad al hogar, de un individuo, trabajo u otra area que sea supervisada pueden proporcionar informacion de localizacion con relacion al individuo. A modo de ejemplo, podna deducirse estadfsticamente cuando sale o llega una persona a su hogar mediante el uso de datos correlacionados obtenidos a partir de las farolas proximas en su calle. Tal como se usa en el presente documento el termino “hogar” quiere decir cualquier tipo de estructura en la que pueda residir un usuario: como tal, pero sin limitarse a, un apartamento, casa adosada, bloque o vivienda unifamiliar. Si esos datos se correlacionan adicionalmente con la hora del dfa, pueden usarse para estipular con precision relativamente alta, un comportamiento repetitivo, tal como cuando sale a trabajar o vuelve a casa por la noche. Adicionalmente, cuando los horarios de las farolas se correlacionan con otros datos de tiempos, tales como los tiempos de los telefonos y datos de geolocalizacion, se podna deducir exactamente en el momento que pasa una persona por una farola en su coche si estaba hablando o escribiendo mientras conduda. Aunque la recogida de dichos datos puede tener una finalidad legftima, puede requerirse la obtencion del consentimiento de la persona que es monitorizada para cumplir con las leyes de privacidad en muchas jurisdicciones.

Deben incorporarse consideraciones sobre la privacidad de los usuarios finales (y del administrador del sistema) dentro de los NLCS para hacer que cumplan con leyes y normas y para cumplir con diversos codigos y reglas de privacidad de compares que respetan la privacidad de clientes y socios comerciales. El cumplimiento con la privacidad promovera la adopcion de TLMS comercialmente.

La eficiencia de la energfa y el confort de los ocupantes son los impulsores principales para la gestion total de la luz. El control integrado de luces artificiales y persianas motorizadas en un Sistema de Control de Iluminacion en Red (NLCS) es importante para el uso optimo de la luz natural y la luz artificial en la consecucion de estos objetivos.

Se ha desarrollado por Philips Research North America un sistema hfbrido de Control Integrado de Iluminacion y Luz de Dfa (ILDC, del ingles “Lighting and Daylight Control”) que comprende sensores Phillips, luces, balastos de regulacion, infraestructura en red, interfaces de usuario y persianas motorizadas Somfy. En dicho sistema integrado de iluminacion y cobertura de ventanas convencional existe tfpicamente conectividad inalambrica entre los sensores y actuadores dentro de la zona y conectividad por cable a traves de zonas (por ello “Idbrido”) para permitir un despliegue en todo el edificio. Debena observarse que dicho sistema ILDC es solo un ejemplo de un TLMS y un NLCS en particular.

Cada estacion de trabajo de usuario se asocia con sensores, termostatos, persianas y accesorios correspondientes para permitir un control integrado personalizado. Tfpicamente, estos controles pueden operarse tanto en modo manual como automatico. En un modo automatico, el sistema combina las preferencias del usuario con lecturas de

5

10

15

20

25

30

35

40

45

50

55

60

65

sensores (ocupacion y nivel de luz) para recoger la luz natural a traves de un control integrado de persianas motorizadas y luz electrica. Las luces artificiales se regulan usando sensores de ocupacion y luz. Si el espacio esta ocupado, las persianas se abren para permitir que entre la luz de dfa en un grado tal que no provoque incomodidad (deslumbramiento); mas aun, las luces se atenuan al nivel de modo que la iluminacion global cumpla con los requisitos del usuario.

Los datos relativos a todos estos parametros pueden recogerse en una localizacion central. En consecuencia, a la luz de las preocupaciones de privacidad explicadas anteriormente, existe una necesidad de proporcionar a cada usuario individual opciones sobre como pueden recogerse y utilizarse los datos relativos a el/ella.

El documento US 2012/040606 divulga un accesorio de iluminacion exterior que incluye al menos un primer balastro para proporcionar potencia de modo controlable a al menos una lampara para la iluminacion de un area exterior.

El documento US 2006/161394 divulga un metodo de mantenimiento de dispositivos que comprende: proporcionar una red de mantenimiento que incluye un emplazamiento de usuario y emplazamientos de servicio multi-dispositivo que proporciona mantenimiento a al menos un dispositivo objetivo en dicho emplazamiento de usuario; seleccionar, por un usuario, un grado de acceso a funciones de mantenimiento de dicho emplazamiento de servicio para al menos una informacion relativa al mantenimiento de dicho dispositivo objetivo y controlar dicho dispositivo objetivo para realizar tareas relativas al mantenimiento; y el ajuste de dicho grado de acceso.

El documento WO 2011/001320 divulga sistemas y metodos para la gestion de la interaccion con redes de iluminacion controlables.

La invencion actual se dirige a esas preocupaciones de privacidad del usuario del sistema de iluminacion. En un aspecto de la invencion, el contenido y metodo de agregacion y almacenamiento de datos con relacion a un individuo es cambiable por medio de opciones de ajuste por parte del individuo implicado. Los datos de sensores (u operacionales) actuales pueden y se usaran por el NLCS para finalidades de gestion de luz total. De ese modo, la eficiencia operacional del sistema no es afectada por estas elecciones de privacidad. Lo que se afecta es la forma en la que los datos almacenados podnan procesarse en un momento posterior para resolucion de problemas o mejoras en el rendimiento del sistema o de la calidad de servicio.

Aspectos de los metodos y aparatos divulgados en el presente documento se describen en conjunto con y particularmente adecuados para la utilizacion en un panel de control de iluminacion. Sin embargo, uno o mas aspectos de los metodos y aparatos descritos en el presente documento pueden implementarse en otras configuraciones tales como, por ejemplo, otros productos de control tales como ordenadores personales, tabletas, controladores de pulsadores, telefonos inteligentes, controladores de reconocimiento de voz o gestos, controles de tratamiento de ventanas, termostatos y/o sistemas de ventilacion que pueden instalarse en un sistema de control de iluminacion.

Los anteriores y otras caractensticas, aspectos y ventajas de ejemplo de la presente invencion seran mas evidentes a partir de la descripcion detallada a continuacion tomada en conjunto con los dibujos adjuntos, en los que:

La Figura 1 ilustra un sistema integrado convencional de iluminacion y cobertura de ventanas.

La Figura 2 ilustra un esquema de un sistema integrado convencional de iluminacion y cobertura de ventanas.

La Figura 3 ilustra una interfaz de usuario de muestra para seleccion de notas de privacidad.

La Figura 4 ilustra una interfaz de usuario de muestra para seleccion de preferencias de privacidad.

La Figura 5 ilustra una interfaz de usuario de muestra para la seleccion de elementos de datos despersonalizados.

La Figura 6 ilustra una interfaz de usuario de muestra para seleccion de la finalidad para la que pueden usarse los datos.

La Figura 7 ilustra una interfaz de usuario de muestra para seleccionar los elementos de datos incluidos.

La Figura 8 ilustra un diagrama de flujo que representa una realizacion de la invencion.

La Figura 9 ilustra la arquitectura y componentes de un sistema de ejemplo para implementar la invencion en un entorno de interior u oficina.

La Figura 10 ilustra la arquitectura y componentes de un sistema de ejemplo para implementar la invencion en un entorno exterior.

5

10

15

20

25

30

35

40

45

50

55

60

65

Se ha de entender que estos dibujos tienen solamente la finalidad de ilustrar los conceptos de la invencion y no estan dirigidos a una definicion de los Kmites de la invencion. Se apreciara que los mismos numeros de referencia, posiblemente suplementados con caracteres de referencia, donde sea apropiado, se han usado a todo lo largo para identificar las partes correspondientes.

Los sistemas de control de iluminacion y oscuridad funcionan tfpicamente de modo independiente, conduciendo de ese modo a una eficiencia de energfa suboptima y provocando molestias a los usuarios. El control integrado de las luces artificiales y persianas motorizadas proporciona el uso optimo de la luz natural y la luz artificial mientras se mejora el confort y productividad del usuario.

La Figura 1 ilustra un sistema ILDC 100 convencional en el que, cada estacion de trabajo o zona del usuario se asocia con sensores correspondientes, persianas y accesorios para permitir un control integrado personalizado. El sistema combina las preferencias del usuario con lecturas de sensores (ocupacion y nivel de luz) para recoger la luz natural a traves del control integrado de persianas motorizadas y luz electrica.

Cada estacion o zona de trabajo 110, 120 puede incorporar sensores de movimiento 130 y/o persianas motorizadas 140. Ademas, pueden incluirse sensores de luz 150, que supervisan los niveles de luz ambiente.

Los sensores de movimiento (sensores de ocupacion) 130 detectan el movimiento, tal como se ha descrito previamente, activando las luces 160. Ademas, las persianas 140 tienen la capacidad de recibir ordenes para controlar la altura de la persiana y el angulo de la persiana con respecto a un eje horizontal.

Cada estacion o zona de trabajo incluye adicionalmente sensores de control 170 que supervisan la estacion de trabajo correspondiente y proporcionan senales de control a al menos las persianas motorizadas. Los sensores de control 170 estan en comunicacion, a traves de una red 175, con un sistema de control centralizado 180 que puede representarse por el servidor 185 y el ordenador 190. La informacion obtenida desde las unidades de control 170 puede almacenarse adicionalmente en medios de almacenamiento permanentes, representados como la base de datos MySQL 195 en la realizacion de la Figura 1.

La Figura 2 ilustra con detalle adicional el aspecto integrado del sistema ILDC. En este caso, el sensor ocupacional (ocupacion) 130 y el fotosensor de control de deslumbramiento 205 proporcionan senales al controlador integrado 210. El sensor de ocupacion 130, como se ha explicado, proporciona una senal cuando se detecta movimiento. El fotosensor de control de deslumbramiento proporciona senales con relacion a un nivel de deslumbramiento o de luz solar que esta entrando en el espacio de trabajo. El punto de consigna 220 proporciona un punto de referencia contra el que se compara la salida del fotosensor 230. Se deduce la desviacion respecto al punto de consigna 220 para deducir la cantidad de luz artificial que es necesaria desde el sistema de iluminacion 160, en combinacion con la luz natural, para satisfacer las necesidades de iluminacion global del usuario. Esto es las luces artificiales se regulan usando el sensor de ocupacion 130 y los sensores de luz 150 y/o fotosensor 230. Las luces artificiales se apagan cuando el espacio esta vacfo. Cuando el espacio esta ocupado, las persianas 140 se abren para permitir la entrada de la luz de dfa en un grado tal que la luz de dfa no provoque molestias (deslumbramiento). La luz artificial se atenua de modo que la combinacion de luz artificial y luz natural cumpla con los requisitos del usuario.

El controlador integrado 210 recibe entradas desde el punto de consigna 220, el sensor de ocupacion 130, fotosensor 230 y sensor de control de deslumbramiento 205 para determinar los ajustes para la cantidad de luz artificial y cantidad de luz natural mediante el ajuste de la cobertura de las ventanas (por ejemplo, angulo lfmite de las laminas, altura de cobertura de la ventana, etc.). El fotosensor 230 supervisa el nivel de luz en el espacio de trabajo y proporciona esta informacion, como una realimentacion, al controlador integrado 210.

En la determinacion de las posiciones de las persianas, se implementa un algoritmo de control de la altura de la persiana en bucle abierto y control del angulo de lamas en el sistema ILDC. Usando un motor de persiana, los algoritmos adaptan la altura de la persiana y el angulo de lamas periodicamente para evitar deslumbramientos y permitir una recogida de la luz de dfa. Se calculan un “angulo lfmite” y una “altura lfmite” basandose en factores tales como la latitud, longitud, orientacion de la ventana, fecha, hora local y geometna de la lama. Como un ejemplo del algoritmo para el calculo del angulo lfmite (definido como el angulo mas alla del que no se transmite radiacion directa a traves de las lamas) para lamas de persianas puede hallarse en “The Impact of Venetian Blind Geometry and Tilt Angle on View, Direct Light Transmission and Interior Illuminance”, A. Tzempelikos, Solar Energy, vol. 82, n.° 12, pags. 1172-1191, diciembre de 2008.

Como se ha observado anteriormente, la base de datos MySQL 195 de la Figura 1 permite el almacenamiento de la informacion de configuracion para cada zona —incluyendo tipos de dispositivos y su localizacion, credenciales del usuario, preferencias del usuario y otros parametros del sistema—. Tambien se usa para registro de datos que contienen informacion de supervision en tiempo real de varias metricas de rendimiento del sistema y operacionales. MySQL se configura con parametros del sistema en el momento de la puesta en servicio del sistema. Ejemplos de parametros de configuracion del sistema incluyen credenciales de usuario, direcciones IP de los controladores de zona, tipos de dispositivos y asociaciones entre dispositivos y usuarios.

5

10

15

20

25

30

35

40

45

50

55

60

65

En un sistema NLCS los datos de rendimiento y operacionales almacenados en MySQL 195 o bases de datos similares permiten la visualizacion en tiempo real del estado del sistema a los usuarios, administradores de la red y gestores de la instalacion. Adicionalmente, los datos almacenados pueden aprovecharse para analisis fuera de lmea de patrones de uso, ahorros de energfa, modos de fallo, distribuciones de luz y patrones de ocupacion.

En un sistema de control de iluminacion moderno, los sensores (por ejemplo, de movimiento) y actuadores (por ejemplo, luces) se vinculan a usuarios individuales para personalizar el rendimiento del sistema. Los usuarios pueden introducir sus preferencias a traves de las interfaces de usuario que dirigen el comportamiento del sistema. Las lecturas de sensores, preferencias de usuario y parametros del sistema se almacenan en una base de datos.

Las lecturas de sensores y preferencias del usuario en un NLCS tienen implicaciones de privacidad y seguridad. Los ocupantes del edificio tienen una expectativa razonable sobre la privacidad en su lugar de trabajo. En la Union Europea hay requisitos normativos sobre los sistemas que procesan las mediciones de ocupacion que puedan usarse para identificar a individuos. Dicha normativa incluye el requisito de un Consentimiento Informado antes de que se recojan los datos personalmente identificables y el derecho de un individuo a solicitar informacion del proveedor tal como el procesamiento de sus datos personales, incluyendo el derecho al “olvido” de los datos.

Se listan a continuacion algunos ejemplos de implicaciones de privacidad y seguridad de mediciones de sensores en un NLCS.

• Pueden usarse datos del sensor de ocupacion de una oficina privada para deducir cuanto tiempo emplea un trabajador de oficina dado en su oficina —esto tiene implicaciones en las leyes laborales y antidiscriminacion—.

• Pueden usarse datos de ocupacion por un empleador contra el ocupante empleado (por ejemplo, un guarda que estuvo fuera de su despacho durante un tiempo prolongado o durante un evento espedfico).

• Un(a) esposo(a) puede requerir datos de ocupacion para procesos judiciales de divorcio.

• El FBI, fuerzas de seguridad pueden requerir datos de ocupacion (como telefono celular, registros de paso por peaje).

• Los datos de ocupacion podnan usarse contra una organizacion (por ejemplo “Los empleados de la agencia gubernamental XYZ emplean menos de 4 horas en sus despachos, desperdiciando el dinero de los contribuyentes”).

• Los datos de ocupacion en tiempo real pueden aprovecharse por entidades maliciosas para montar un ataque coordinado (por ejemplo, el General zyz esta en su oficina en este momento, o el edificio esta ocupado al 90 % lo que le convierte en un objetivo de alto valor).

• Los sistemas de iluminacion pueden personalizarse para usuarios individuales. Un usuario de vision defectuosa podna requerir mas luz. El almacenamiento de informacion sobre impedimentos en la vision en la base de datos en una forma identificable podna violar los derechos de privacidad del usuario.

• La terapia por luz es un tratamiento recomendado para pacientes que sufren de depresion o trastornos postraumaticos. En una enfermena, hospital o instalacion de salud mental los ajustes de luz podnan personalizarse para las condiciones de los pacientes. Se podna concebir un sistema de control de iluminacion para una sala psiquiatrica en la que la luz se ajusta de acuerdo con la prescripcion de un terapeuta por luz. En este caso los ajustes en una habitacion dada podnan vincularse a los registros de salud del paciente.

• La informacion de localizacion de calle/movimiento puede usarse por usuarios maliciosos para organizar un robo. Podna usarse tambien por las fuerzas de seguridad para subrepticiamente seguir el movimiento o determinar el historico de movimientos anteriores.

Adicionalmente, en muchas instalaciones, los sistemas NLCS se interrelacionan con sistemas de terceros. A modo de ejemplo, Phillips y Somfy se han asociado para desarrollar y comercializar soluciones integradas de iluminacion y persianas motorizadas. En este caso, el sistema de Phillips proporciona la informacion del estado de ocupacion de la habitacion al sistema de Somfy. Se podna mantener que Phillips podna considerarse responsable si se usan incorrectamente los datos. Por ello, es crucial desarrollar metodos para proteger la seguridad de los sistemas de iluminacion en red y la privacidad de los usuarios.

Se han propuesto o estan en uso muchos protocolos y metodos (cookies, etc.) para el seguimiento del comportamiento en lmea por parte de navegadores y aplicaciones web. Se han propuesto o se han desplegado varios protocolos y metodos de proteccion de la privacidad (P3P, protocolos “Do-not-track” (No seguir) de Microsoft y Mozilla, etc.) para permitir a los usuarios controlar lo que se esta siguiendo o registrando.

5

10

15

20

25

30

35

40

45

50

55

60

65

La polttica y el protocolo P3P lista las siguientes finalidades para la informacion identifiable:

<current/> Finalizacion y soporte de la actividad para la que se proporcionaron los datos:

<admin/> Administracion del sitio web y sistema:

<develop/> Investigacion y desarrollo:

<tailoring/> Adaptacion de una vez:

<pseudo-analysis/> Analisis por pseudonimo:

<pseudo-decision/> Decision por pseudonimo:

<individual-analysis/> Analisis individual:

<individual-decision/> Decision individual

<contact/> Visitantes de contacto para comercializacion de servicios o productos:

<historical/> Preservacion historica:

<telemarketing/> Visitantes de contacto para comercializacion de productos o servicios via telefonica: <other-purpose> cadena </other-purpose> Otros usos:

Cada tipo de finalidad (con la excepcion de la actual) puede tener el siguiente atributo opcional:

Requerido

El atributo puede tomar los siguientes valores:

siempre: la finalidad se requiere siempre; los usuarios pueden incluir o excluir este uso de sus datos. Este es el valor por omision cuando no esta presente el atributo requerido.

incluir: los datos pueden usarse para esta finalidad solamente cuando el usuario solicita afirmativamente este uso

excluir: los datos pueden usarse para esta finalidad a menos que el usuario solicite que no se use en esta forma.

En un aspecto de la presente invencion, las preferencias de privacidad personales de un individuo podnan ser una extension de un protocolo existente (como P3P). En varias realizaciones de la invencion, se concibe que el NLCS sea una aplicacion basada en la web en donde el sistema de iluminacion es operado y supervisado como una aplicacion web. Se permite a los usuarios algun nivel de acceso a dicho sistema —por ejemplo, al ajuste de sus preferencias de privacidad o solicitar que la iluminacion en su espacio de trabajo sea mas brillante (o atenuada)—. En realizaciones adicionales, unos ajustes de privacidad personales del usuario (tales como los ajustes P3P) en su navegador pueden subirse automaticamente cuando el/ella se registra. De ese modo, a modo de ejemplo, el usuario no necesita solicitar espedficamente cambios en los ajustes de privacidad dado que se determinan a partir de los ajustes de privacidad de su navegador (o Facebook u otro).

La presente invencion proporciona un sistema y metodos para la proteccion de los derechos de privacidad de los usuarios de sistemas de iluminacion individual mientras mantiene la funcionalidad global del NLCS. Esto es, en la presente invencion, se permite que se modifique por los usuarios individuales el contenido y metodo de agregar y almacenar datos. En varias realizaciones de la invencion, los datos de sensores actuales (u operacionales) pueden y continuaran usandose por el NLCS para finalidades de gestion total de la luz. De ese modo la eficiencia operacional del sistema no queda afectada por estas elecciones de privacidad. Lo que queda afectado es la forma en la que los datos almacenados podnan procesarse en un momento posterior para resolucion de problemas o mejoras en el rendimiento del sistema o de la calidad de servicio. Esto es, los datos estan disponibles para el analisis, pero esos datos no pueden asociarse con un usuario individual si este ha invocado restricciones de privacidad tal como se describe a continuacion.

Como se describe a continuacion, la invencion actual contempla una pluralidad de metodos en la forma de permitir a un usuario invocar varias opciones de privacidad. En una realizacion de la invencion y tal como se representa en la Figura 3, se visualiza un aviso de polftica de privacidad 310 apropiado para que el usuario lo acepte 320 o rechace 330. Se solicita al usuario realizar una seleccion antes de proceder adicionalmente.

5

10

15

20

25

30

35

40

45

50

55

60

65

En el caso de que el usuario seleccione la accion Aceptar, se visualiza una interfaz GUI adicional que presenta varias opciones de privacidad del usuario. La Figura 4 ilustra un menu de GUI de ejemplo que visualiza las selecciones “Excluir” 410, “Despersonalizar” 420, “Uso restringido” 430 y “Incluir” 440.

Debena observarse que en diversas realizaciones de la invencion estos menus de seleccion se visualizan tras el despliegue inicial del sistema, con un nuevo ocupante moviendose en la zona, periodicamente, o cuando se cambia la polttica de privacidad. Adicionalmente, se contempla que la pantalla de la GUI ejemplificada en la Figura 3 sea opcional. Esto es, se presentana inmediatamente a un usuario la pantalla de la gUi ejemplificada en la Figura 4, requiriendole de ese modo que tome una accion afirmativa en la seleccion o rechazo de las opciones de privacidad disponibles. Estas opciones se explicaran ahora con mayor detalle:

Seleccion “Excluir” 410:

Esta seleccion permite al usuario optar por excluir cualquier recogida de datos identificables por el sistema de iluminacion. Esto es, esta solucion da como resultado la inhabilitacion del registro de elementos de datos sensibles de privacidad (tales como ocupacion, movimiento, nivel de luz, temperatura, etc.). En consecuencia, el sistema no almacenara los elementos de datos excluidos.

Seleccion “Despersonalizar” 420:

La seleccion de esta opcion da como resultado que se presente al usuario un menu de la GUI ejemplificado por la Figura 5. Para cada uno de los elementos de datos seleccionados, los datos se almacenan de modo que no puedan vincularse a un usuario individual protegiendo de ese modo la privacidad del usuario. El sistema podna proporcionar la privacidad requerida preservando aun la utilidad de los elementos de datos para analisis estadfsticos. Varias realizaciones de la invencion consiguen esta caractenstica realizando una o mas de las siguientes funciones:

- Eliminar las claves primarias de las tablas de las bases de datos que almacenan informacion sensible de privacidad (por ejemplo, no almacenan el ID del sensor de ocupacion en la tabla de registro de ocupacion);

- En el caso de iluminacion exterior, no almacenar la geolocalizacion de la farola o el ID de la farola;

- Almacenar valores ficticios para el ID de usuario, ID de estancia, ID el sensor de ocupacion, etc. (por ejemplo, usar un seudonimo aleatorizado para cada usuario cada dfa). Este metodo permite que se usen los datos individuales del usuario para analisis estadfsticos sin identificar al (a los) usuario(s) involucrado(s);

- Usar valores desplazados a futuro para los campos de fecha y hora;

- Combinar datos de multiples usuarios de modo que los datos se convierten en anonimos; y

- Combinar datos de multiples sensores (por ejemplo, informacion de ocupacion “O”) de modo que la

informacion no pueda trazarse hacia los usuarios

Realizaciones adicionales de la invencion proporcionan la privacidad solicitada al coste de limitar la utilidad de los elementos de datos para analisis estadfsticos (es decir, se pierde parte de la informacion). Estas realizaciones de la

invencion consiguen esta caractenstica mediante la realizacion de una o mas de las siguientes funciones:

- usar el promediado basado en el tiempo (por ejemplo, almacenar solamente promedios de movimiento a lo largo de muchos dfas); y,

- aleatorizar los datos con algun ruido estocastico (es decir, datos espurios).

Seleccion “Uso restringido” 430:

La seleccion de esta opcion da como resultado que se presente al usuario un menu de la GUI ejemplificada por la Figura 6 que lista las finalidades para las que pueden usarse los datos recogidos (por ejemplo, investigacion y desarrollo, analisis de rendimiento del sistema, auditona de energfa, personalizacion de una vez, analisis de tendencia, depuracion, personalizacion, etc.)

Seleccion “Incluir” 440:

La seleccion de esta opcion da como resultado que se presente al usuario un menu de la GUI ejemplificado en la Figura 7 mediante lo que se le ofrece una eleccion para incluir varios elementos de datos disponibles en el proceso de recogida. Esto es, se le da el control al usuario sobre los tipos de datos recogidos por el sistema —el sistema solo almacenara los elementos de datos a incluir seleccionados—.

En realizaciones adicionales de la invencion, se requiere a un usuario registrarse o autenticarse en otra forma a sf mismo antes de que tenga la capacidad de seleccionar diversas opciones. Adicionalmente, un individuo estana limitado a la realizacion de estas selecciones con respecto a la estancia espedfica o espacio de oficina que se le ha asignado. Un servidor central o base de datos mantendna contrasenas, asignaciones de espacio de trabajo y otros

5

10

15

20

25

30

35

40

45

50

55

60

65

datos que se requieren para implementar estas caractensticas. En realizaciones adicionales esta localizacion central tambien impedina que los usuarios realicen selecciones (involuntariamente, o en otra forma) que sean contrarias a la polttica corporativa o a las normas legales. Asf, a modo de ejemplo, un usuario no puede elegir el registro de datos relativos a “su” espacio de oficina a menos que todos y cada uno de los trabajadores que comparten ese espacio tambien realicen esa eleccion.

La Figura 8 ilustra una realizacion de ejemplo de la presente invencion. En los bloques 812 - 818, se realiza la determinacion de si es un “Uso por primera vez” del sistema (bloque 812), un “Nuevo usuario” (bloque 814), “Polftica de privacidad revisada” (bloque 816) y “Momento de revisar las preferencias de privacidad” (bloque 818). Si “sr a cualquiera de estos criterios, el metodo prosigue en el bloque 820 en donde tiene lugar una “Visualizacion del aviso de privacidad”.

El bloque 822 solicita entonces al usuario seleccionar sus preferencias de privacidad. El sistema determina entonces que seleccion inicial realiza el usuario: “Excluir” (bloque 824), “Despersonalizar” (bloque 830), “Uso restringido” (bloque 838) o “Incluir” (bloque 850). Estas elecciones corresponden a los apartados 410-440 de la Figura 4. En el caso de que la seleccion fuera “Excluir” (bloque 824), el sistema prosigue al bloque 826 en donde se registran y se marca la fecha de las preferencias excluidas. En el bloque 828 el sistema realiza entonces la funcion solicitada mediante la inhabilitacion del registro de los elementos de datos sensibles a la privacidad.

En el caso de que la seleccion fuera “Despersonalizar” (bloque 830), el sistema presenta un menu de seleccion al usuario (bloque 832) y las selecciones posteriores se registran y marca la fecha (bloque 834). En el bloque 836 el sistema realiza entonces la funcion solicitada mediante la despersonalizacion de los elementos de datos de acuerdo con las preferencias del usuario seleccionadas.

De modo similar, en el caso de que la seleccion fuera “Uso restringido” (bloque 838), el sistema presenta un menu de seleccion al usuario (bloque 840) y las selecciones posteriores se registran y marcan la fecha (bloque 842). En el bloque 848 el sistema realiza entonces la funcion solicitada mediante el bloqueo del uso no autorizado de elementos de datos.

En el caso de que la seleccion fuera “Incluir” (bloque 850), el sistema presenta un menu de seleccion al usuario (bloque 852) y las selecciones posteriores se registran y se marca la fecha (bloque 854). En el bloque 856 el sistema realiza entonces la funcion solicitada mediante la habilitacion del registro de los datos incluidos mientras se inhabilita el registro de los elementos de datos sensibles a la privacidad restantes.

La Figura 9 ilustra un sistema 900 para implementar los principios de la invencion tal como se representa en el procesamiento de ejemplo mostrado en el presente documento. En esta realizacion del sistema de ejemplo 900, los datos de entrada se reciben desde una pluralidad de Zonas 910, 912. Estos datos de entrada se obtienen a partir de uno o mas sensores de ocupacion 916, fotosensores 918 y termostatos 922. Como se ilustra de modo similar en las Figuras 1 y 2, se localiza un controlador integrado 926 en cada zona para utilizar estos apartados de datos de entrada para controlar uno o mas accesorios de iluminacion 914 y persianas motorizadas 920 localizadas en cada zona. La Zona 1 representa la presencia de un unico ordenador portatil 924 y una estacion de trabajo 928 mientras que la zona 2 representa que estan presentes dos estaciones de trabajo. La invencion no esta limitada a esto dado que puede esperarse razonablemente que cualquier numero de dichos dispositivos pueda estar presente en un entorno de oficina en cada zona. Adicionalmente, como se ha ilustrado, se contemplan por la invencion dispositivos de entrada adicionales tales como un telefono inteligente 930 y un panel de control/tableta 932. Cualquiera y todos de dichos dispositivos tienen la capacidad de ser enlazados a traves de una LAN y Pasarela 950 inalambrica o cableada para comunicar con el ordenador del Sistema de Gestion del Edificio (BMS) 960. En consecuencia, cualquiera de dichos dispositivos tiene la capacidad de proporcionar la seleccion del usuario de ajustes de privacidad tal como se ha descrito anteriormente. Naturalmente, el sistema requiere la configuracion apropiada de los dispositivos y que se implemente la seguridad de control de usuario apropiada previamente a dichos ajustes/cambios de los ajustes de privacidad.

Como se ha descrito anteriormente, una vez se seleccionan las opciones de privacidad de usuario por uno o mas usuarios, el sistema registra datos de acuerdo con esas selecciones en la base de datos 940. Esta base de datos es posteriormente accesible por parte del ordenador del Sistema de Gestion del Edificio 960 para generar diversos analisis e informes para incluir aquellos que son bien conocidos en el campo del NLCS.

Debena observarse que, aunque se ha representado como una LAN Ethernet 934 en la Figura 9, realizaciones alternativas pueden incluir otros componentes bien conocidos de redes de comunicacion remotas y por cable, por ejemplo, ISA, PCI, bus PCMCIA, una o mas conexiones internas de circuitos, tarjetas de circuito u otros dispositivos, asf como partes y combinaciones de estos y otros medios de comunicacion.

El portatil 924, estacion de trabajo 928, telefono inteligente 930 y tableta/panel de control 932 pueden ser representativos de un calculador portatil, sistema de procesamiento de finalidad especial o finalidad general, ordenador de sobremesa, ordenador portatil, ordenador de mano, o dispositivo asistente digital personal (PDA), etc., asf como partes o combinaciones de estos y otros dispositivos que pueden realizar las operaciones ilustradas.

5

10

15

20

25

30

35

40

45

50

El ordenador 960 puede ser una unidad de procesamiento central (CPU) o hardware/software dedicado, tal como un PAL, ASIC, FPGA, operativos para ejecutar codigos de instruccion de ordenador o una combinacion de codigos y operaciones logicas. En una realizacion, el procesador 960 puede incluir codigo que, cuando se ejecuta por el procesador, realiza las operaciones ilustradas en el presente documento. El codigo puede estar contenido en la memoria del procesador, puede leerse o descargarse de un medio de memoria tal como un CD-ROM o disco flexible, puede proporcionarse mediante un dispositivo de entrada manual, tal como un teclado o una entrada tactil, o puede leerse desde un medio magnetico u optico a traves de una de las entradas externas 970. Debena observarse que, en realizaciones adicionales de la invencion, estas entradas externas 970 podnan incluir tambien senales relacionadas con el tiempo atmosferico y/o senales de Internet o sistemas de terceros (por ejemplo, senales de respuesta a peticiones).

Como reconocera un experto en la materia, los terminos procesador, sistema de procesamiento, ordenador o sistema informatico pueden representar una o mas unidades de procesamiento en comunicacion con una o mas unidades de memoria y otros dispositivos, por ejemplo, perifericos, conectados electronicamente a y en comunicacion con la al menos una unidad de procesamiento. Adicionalmente, los dispositivos ilustrados pueden estar conectados electronicamente a una o mas unidades de procesamiento a traves de buses internos, por ejemplo, serie, paralelo, bus ISA, bus de micro-canal, bus PCI, bus PCMCIA, USB, etc., o una o mas conexiones internas de circuitos, tarjetas de circuito u otros dispositivos, asf como partes y combinaciones de estos y otros medios de comunicacion, o una red externa, por ejemplo, Internet e intranet. En otras realizaciones, el hardware del circuito puede usarse en lugar de, o en combinacion con, instrucciones de software para implementar la invencion. Por ejemplo, los elementos ilustrados en el presente documento pueden implementarse tambien como elementos de hardware discretos o pueden integrarse en una unica unidad.

Como se entendera, las operaciones ilustradas pueden realizarse secuencialmente o en paralelo usando diferentes procesadores para determinar valores espedficos. El sistema de procesamiento 710 puede recibir adicionalmente o transmitir datos sobre una o mas conexiones de red desde un servidor o servidores a traves de, por ejemplo, una red de comunicaciones informatica global tales como Internet, Internet, una red de area amplia (WAN), una red de area metropolitana (MAN), una red de area local (LAN), un sistema de difusion terrestre, una red por cable, una red por satelite, una red inalambrica, o una red telefonica (POTS), asf como partes o combinaciones de estos y otros tipos de redes. Como se apreciara, la red 934 puede comprender tambien redes internas o una o mas conexiones internas de circuitos, tarjetas de circuito u otros dispositivos, asf como partes y combinaciones de estos y otros medios de comunicacion o una red externa, por ejemplo, Internet e intranet.

La Figura 10 es un diagrama de bloques de un sistema de iluminacion exterior que usa farolas que contienen diversos sensores de acuerdo con una realizacion adicional de la presente invencion. Con referencia a la Figura 10, el sistema incluye unidades de iluminacion 12-1 a 12-n instaladas en una pluralidad de farolas 10-1 a 10-n. De acuerdo con la presente invencion, cada una de las unidades de iluminacion 12-1 a 12-n incluye uno o mas elementos de iluminacion y uno o mas sensores para supervisar su area de instalacion. En una realizacion alternativa, los sensores no necesitan estar integrados en la unidad de iluminacion, sino por el contrario ser otros dispositivos inalambricos o cableados en el TLMS que pueden comunicar con una o mas unidades de iluminacion y/o con un gestor de la iluminacion 18. En realizaciones adicionales, las unidades de iluminacion no siempre tienen que comunicar directamente con un servidor local 14 —esto es, pueden formar tambien una red en malla, en la que las unidades de iluminacion usan otras unidades de iluminacion proximas para comunicar con el servidor local 14—.

Como se ilustra en la Figura 10, la red de comunicacion comprende la comunicacion con el gestor de la iluminacion 18 traves de un servidor local 14. Aunque la Figura 10 ilustra comunicaciones inalambricas con las unidades de iluminacion 12, se debena observar que la invencion no esta limitada a esta realizacion dado que se contemplan por la invencion otros tipos de comunicacion, para incluir los diversos medios de comunicacion descritos anteriormente con respecto a la Figura 9. Tras recoger los datos desde estos sensores, se transmiten al gestor de la iluminacion 18 en donde se marca la fecha y se almacenan con indexacion apropiada tal como su localizacion de origen.

Claims (15)

1. 5

   10

   15

   20

   25

   30

   35

   40

   45

   50

   55

   60

   65

   REIVINDICACIONES

   1. Un metodo para proteger la privacidad de un individuo en un espacio en el que se tiene la capacidad de recoger datos y almacenarlos mediante un sistema de control de iluminacion (900), siendo el sistema de control de iluminacion uno de entre un sistema de control de iluminacion central y un sistema de control de iluminacion en red, comprendiendo el metodo:

   presentar al individuo un menu mediante el que el individuo puede seleccionar varios ajustes de privacidad que atanen a dichos datos, incluyendo los ajustes de privacidad si los datos pueden asociarse o no con el individuo; registrar una o mas selecciones de dichos ajustes de privacidad realizados por el individuo; y recoger los datos de acuerdo con las selecciones registradas.
2. 2. El metodo de la reivindicacion 1 en el que el sistema de control de iluminacion es un sistema de Control Hfbrido Integrado de Control de Iluminacion y Luz de Dfa y los datos se refieren al espacio de trabajo del individuo (910).
3. 3. El metodo de la reivindicacion 1 en el que la etapa de recogida comprende la obtencion de informacion desde los dispositivos, consistiendo dichos dispositivos en una camara, una luz (914), un sensor, un balasto de regulacion, una interfaz de usuario, persianas motorizadas (920), y combinaciones de los mismos.
4. 4. El metodo de la reivindicacion 3 en el que dichos sensores se seleccionan de entre el grupo que consiste en un sensor de ocupacion (916), un detector de movimiento (130), un sensor de luz (918), un sensor termico, un sensor de temperatura, un sensor de humedad, y combinaciones de los mismos.
5. 5. El metodo de la reivindicacion 1 que comprende adicionalmente:

   notificar cualesquiera datos recogidos de acuerdo con las selecciones registradas.
6. 6. El metodo de la reivindicacion 2 en el que los ajustes de privacidad comprenden una opcion de “Excluir”, mediante la que el individuo puede especificar una o mas categonas de elementos de datos para las que no han de recogerse los datos asociados con su espacio de trabajo.
7. 7. El metodo de la reivindicacion 2 en el que los ajustes de privacidad comprenden una opcion de “Despersonalizar”, mediante la que el individuo puede especificar una o mas categonas de elementos de datos para las que se permite que se recojan los datos asociados con su espacio de trabajo, pero se tenga la incapacidad de que dichos datos recogidos puedan vincularse a su espacio de trabajo.
8. 8. El metodo de la reivindicacion 2 en el que los ajustes de privacidad comprenden una opcion de “Uso restringido”, mediante la que el individuo puede limitar para que finalidades se permite que se usen los datos recogidos asociados con su espacio de trabajo.
9. 9. El metodo de la reivindicacion 2 en el que los ajustes de privacidad comprenden una opcion de “Incluir”, mediante la que el individuo puede especificar una o mas categonas de elementos de datos para las que se permite que se recojan los datos asociados con su espacio de trabajo.
10. 10. Un sistema de control de iluminacion (900) que proporciona proteccion de la privacidad de un individuo en un area en la que pueden recogerse y almacenarse datos por parte del sistema de control de iluminacion, siendo el sistema de control de iluminacion uno de entre un sistema de control de iluminacion central y un sistema de control de iluminacion en red, comprendiendo el sistema:

    una pluralidad de dispositivos para los que pueden obtenerse datos relativos al area; una red para comunicacion de los datos a un ordenador (960);

    y caracterizado por que el sistema comprende:

    un medio para proporcionar al individuo un menu mediante el que pueda seleccionar varios ajustes de privacidad relativos a la recoleccion de datos, incluyendo los ajustes de privacidad si los datos pueden asociarse con el individuo o no, y transmitir dichos ajustes al ordenador; y

    una base de datos (940) asociada con el ordenador en la que los datos se recogen de acuerdo con dicha seleccion de dichos ajustes de privacidad.
11. 11. El sistema de la reivindicacion 10 en el que los dispositivos consisten en una camara, una luz (914), un sensor, un balasto de regulacion, una interfaz de usuario, persianas motorizadas (920), y combinaciones de los mismos.
12. 12. El sistema de la reivindicacion 11 en el que los sensores se seleccionan de entre el grupo que consiste en un sensor de ocupacion (916), un detector de movimiento (130), un sensor de luz (918), un sensor termico, un sensor de temperatura, un sensor de humedad y combinaciones de los mismos.
13. 13. El sistema de la reivindicacion 10 en el que el ordenador genera informes de datos recogidos de acuerdo con dichas selecciones.
14. 14. El sistema de la reivindicacion 10 en el que los medios para proporcionar se seleccionan dentro del grupo que 5 consiste en un sistema de procesamiento de finalidad especial o finalidad general, un ordenador de sobremesa

    (928), un ordenador portatil (924), un ordenador de mano, un asistente digital personal (PDA), un telefono inteligente (930), y combinaciones de los mismos.
15. 15. Un medio legible por ordenador, no transitorio que tiene almacenadas en el instrucciones para hacer que al 10 menos una unidad de procesamiento ejecute un metodo de acuerdo con la reivindicacion 1.