JP2015524984A - ネットワーク照明制御システムにおけるプライバシーの保護を提供する方法 - Google Patents

Abstract

個人がモニタリングされている領域に関連する収集データの様々なプライバシー設定を当該個人が決定できるようにする、ネットワーク照明制御システムに使用される方法及び対応するシステムが開示される。様々な設定は、当該個人による収集可能／不可能な特定タイプのデータの選択、収集されたデータに当該個人がリンク可能であるかどうか、データが使用可能である目的を制限することを含む。

Description

本願は、光源管理システムの分野に係り、より具体的には、照明制御システムのユーザのプライバシーを保護し、ユーザがユーザのプライバシー設定をカスタマイズできるようにする一方で、ネットワーク照明制御システム（ＮＬＣＳ）を使用して全体的光源管理を行う能力に与える影響を最小限にする方法及びシステムに係る。これは、建物の居住者、建物の管理業者、街灯の運営管理業者、駐車場の光源の運営管理業者、並びに、一般に、屋内及び屋外環境の両方における全体的光源管理サービス（ＴＬＭＳ）の提供業者には興味深い。

ＮＬＣＳシステムは、エンドユーザに対しエネルギー節約を生成し、また、運営管理業者に対し経常的な収入の可能性を生成する全体的光源管理ソリューション及びサービスに不可欠な構成要素である。ＮＬＣＳは、ユーザの場所データを追跡するセンサ読出し値、ユーザの選好及びデータベース内のシステムパラメータを取得して処理する。これらのデータの要素は、プライバシーと関連性がある。例えばプライベートオフィスからの占有状態センサデータは、所与の従業員が自分のオフィス内で過ごした時間量を推定するために使用することができる。これは、雇用法及び差別禁止と関連性を有する。法執行機関が、占有状態データを要求することができる。占有状態データは、組織に不利になるように使用されうる（例えば「連邦政府関連機関ＸＹＺの従業員は、４時間未満しか在席せず、納税者の資金を無駄にしている」）。視覚障害のある個人の光源設定を、特定可能な方法で記憶することは、ユーザのプライバシーの権利を侵害する恐れがある。

プライバシー問題が関与する別の例は、光療法の分野に関する。光療法は、鬱病及び心的外傷後ストレス障害といった様々な疾患の可能性のある治療である。光療法士の処方に従って光源が設定されるヘルスケア施設用のＮＬＣＳが考えられる。したがって、光源設定は、患者の健康記録に関連付けられていることがある。これらのシナリオでは、ＮＬＣＳのサービスプロバイダは、データが不正使用された場合に、責任が問われることになる。

更に別の例は、個人の自宅、職場又はモニタリングされる他の領域の付近の街灯に取付けられた動き検出器が、個人に関する場所情報を提供することができる屋外設定に関連する。一例として、ある人が自宅をいつ出たり入ったりするのかを、その人の道にある隣接する街灯から得られる相関データを使用して、統計的に推定することができる。本明細書において使用されるように、「自宅」との用語は、次に限定されないが、アパート、タウンハウス、コンドミニアム又は一家族用住宅といったユーザが居住する任意の種類の構造体を含むことを意図している。当該データが更に、時刻と関連付けられると、いつ働きに出るか、夜、いつ自宅に戻るかといった反復する行動を比較的高精度に示すために使用することができる。更に、街灯のタイムスタンプが、携帯電話の時刻及び地理位置情報データといった他のタイムスタンプされたデータと相関されると、ある人が車で街灯をいつ通過したか、運転中に携帯電話機で話をしていたか又はメールを打っていたかどうかを正確に推定することができる。このようなデータの収集は、合法的な目的があるが、多くの司法管轄におけるプライバシー法に準拠するために、モニタリングされる人の同意を得ることが必要である。

法及び規制に準拠しているように、並びに、顧客及びビジネスパートナーのプライバシーを尊重する様々な企業のプライバシーコード及びルールに準拠するために、ＮＬＣＳには、エンドユーザ（及びシステム管理者）のプライバシーに関する配慮が組み込まれなければならない。プライバシーコンプライアンスは、市場におけるＴＬＭＳの採用を促進するであろう。

エネルギー効率及び居住者の快適さが、全体的光源管理を推し進める要素である。ネットワーク照明制御システム（ＮＬＣＳ）における人工光源及び電動ブラインドの統合制御は、これらの目標を達成する際の自然光及び人工光の最適使用に重要である。

フィリップス・リサーチ・ノースアメリカ社によって、フィリップス社のセンサ、光源、調光安定器、ネットワークインフラストラクチャ、ユーザインターフェース及びソムフィ社の電動ブラインドを含むハイブリッド統合照明及び日光制御（ＩＬＤＣ）システムが開発されている。このような従来の統合照明及び窓被覆システムでは、通常、建物全体の配備を可能とするために、ゾーン内のセンサ及びアクチュエータ間に無線接続が、ゾーン間に有線接続がある（したがって、「ハイブリッド」である）。なお、このようなＩＬＤＣシステムは、ＴＬＭＳ及び具体的にはＮＬＣＳのほんの一例である。

各ユーザのワークステーションは、対応するセンサ、サーモスタット、窓用ブラインド及び付属品に関連付けられて、パーソナライズされた統合制御が可能にされている。通常、これらの制御部は、手動モード及び自動モードの両方で操作される。自動モードでは、システムは、ユーザ選好を、センサの読出し値（占有状態及び光レベル）と組み合わせ、電動ブラインド及び電気光源の統合制御を介して、自然光を獲得する。人工光源は、占有状態及び光センサを使用して、調整される。空間が占有されている場合、ブラインドが、不快（グレア）にならない程度まで開けられ、日光が入れられる。更に、光源は、全体の照明がユーザの要件に合うようなレベルに調光される。

これらの様々なパラメータに関連するデータは、中央ロケーションにおいて収集される。したがって、上記のプライバシーに関する懸念事項を踏まえると、各個別ユーザに、当該ユーザに関連しているデータがどのように収集され、使用されるのかに関して選択肢を提供する必要がある。

本発明は、照明システムのユーザの上記のプライバシーに関する懸念事項に対処する。本発明の一態様では、個人に関連するデータの収集及び記憶する内容及び方法は、関与する個人によって設定されるオプションによって、変更することができる。現在の（又は動作）センサのデータが、ＮＬＣＳによって、全体的光源管理のために使用される。したがって、システムの動作効率は、これらのプライバシー選択によって影響を受けない。影響を受けるのは、問題解決又はシステム性能若しくはサービス品質の向上のために、記憶されたデータが、後で処理される方法である。

以下の詳細な説明において、限定ではなく説明を目的として、特定の詳細を開示する代表的な実施形態が、請求項に係る発明の十分な理解を提供するために、説明される。しかし、本開示を利用できる当業者には、本明細書に開示される特定の詳細から逸脱する本教示による他の実施形態も、添付の請求項の範囲内にあることは明らかであろう。更に、周知の装置及び方法の説明は、代表的な実施形態の説明を曖昧としないために、省略される。これらの方法及び装置は、当然ながら、請求項に係る発明の範囲内である。例えば、本明細書に開示される方法及び装置の態様は、照明制御パネルにおける使用と共に及びその使用に特に適したように説明される。しかし、本明細書に説明される方法及び装置の１つ以上の態様は、照明制御システム内に設置されてもよいパーソナルコンピュータ、タブレット、押しボタン式コントローラ、スマートホン、ボイス又はジェスチャ認識コントローラ、窓周辺の装飾部コントローラ、サーモスタット及び／又は換気システムといった他の制御製品といった他の構成においても実施されてもよい。

本発明のこれらの及び他の例示的な特徴、態様及び利点は、添付図面と共に以下の詳細な説明からより明らかとなろう。

図１は、従来の統合照明及び窓被覆システムを示す。 図２は、従来の統合照明及び窓被覆システムの概略図を示す。 図３は、プライバシー通知選択用のサンプルユーザインターフェースを示す。 図４は、プライバシー選好を選択するためのサンプルユーザインターフェースを示す。 図５は、非特定化されたデータ要素を選択するためのサンプルユーザインターフェースを示す。 図６は、データを使用可能な目的を選択するためのサンプルユーザインターフェースを示す。 図７は、オプトインデータ要素を選択するためのサンプルユーザインターフェースを示す。 図８は、本発明の一実施形態を説明するフローチャートを示す。 図９は、屋内、即ち、オフィス環境において本発明を実施するための例示的なシステムアーキテクチャ及びコンポーネントを示す。 図１０は、屋外環境において本発明を実施するための例示的なシステムアーキテクチャ及びコンポーネントを示す。

なお、これらの図面は、本発明の概念を説明することのみを目的とし、本発明の制限の定義を意図していない。当然ながら、同じ参照符号は、場合によっては必要に応じて参照文字が補足されるが、対応する部分を特定するように全体を通して使用されている。

既存の照明制御及び遮光システムは、通常、独立して動作し、したがって、あまり最適ではないエネルギー効率につながり、ユーザに不都合をもたらす。人工光源及び電動ブラインドの統合制御は、自然光及び人工光源の最適使用を提供する一方で、ユーザの快適さ及び生産性を高める。

図１は、従来のＩＬＤＣシステム１００を示し、このシステムでは、各ユーザのワークステーション又はゾーンは、パーソナライズされた統合制御を可能とするために、対応するセンサ、窓用ブラインド及び付属品に関連付けられている。システムは、ユーザ選好をセンサ読出し値（占有状態及び光レベル）と組み合わせ、電動ブラインド及び電気光源の統合制御を介して、自然光を獲得する。

各ワークステーション又はゾーン１１０、１２０は、動きセンサ１３０及び／又は電動ブラインド１４０を組み込んでもよい。更に、周囲光レベルをモニタリングする光センサ１５０が含まれてもよい。

動きセンサ（占有状態センサ）１３０は、上記したように、動きを検出して、光源１６０を起動する。更に、ブラインド１４０は、ブラインドの高さ及び水平軸に対するブラインドの角度を制御するコマンドを受信することができる。

各ワークステーション又はゾーンは更に、対応するワークステーションをモニタリングし、少なくとも、電動ブラインドに制御信号を提供する制御センサ１７０を含む。制御センサ１７０は、ネットワーク１７５を介して、サーバ１８５及びコンピュータ１９０によって表される中央制御システム１８０と通信する。制御ユニット１７０から得られる情報は更に、図１の実施形態では、ＭｙＳＱＬデータベース１９５と示される永久記憶媒体上に記憶される。

図２は、ＩＬＤＣシステムの統合側面の更なる詳細を示す。この場合、占領（占有状態）センサ１３０及びグレア制御フォトセンサ２０５が、統合コントローラ２１０に信号を提供する。占有状態センサ１３０は、上記したように、動きが検出されると信号を提供する。グレア制御フォトセンサは、作業空間に入るグレア又は日光のレベルに関する信号を提供する。設定点２２０は、フォトセンサ２３０の出力が比較される基準点を提供する。設定点２２０からの偏差が、ユーザの全体の照明ニーズを満たすために、自然光と組み合わせて必要である照明システム１６０からの人工光量を導出するために推定される。つまり、人工光源は、占有状態センサ１３０並びに光センサ１５０及び／又はフォトセンサ２３０を使用して調整される。人工光源は、作業空間に人がいない場合は、オフにされる。作業空間が占有されている場合は、ブラインド１４０は、日光が不快感（グレア）を引き起こさない程度まで開けられ、日光が入れられる。人工光源は、人工光及び自然光の組み合わせがユーザの要件に合うように調光される。

統合コントローラ２１０は、設定点２２０、占有状態センサ１３０、フォトセンサ２３０及びグレア制御センサ２０５からの入力を受信して、窓の被覆（即ち、スラットのカットオフ角、窓の被覆高さ等）を調節することによって、人工光量及び自然光量の設定を決定する。フォトセンサ２３０は、作業空間における光のレベルをモニタリングし、当該情報を、フィードバックとして、統合コントローラ２１０に提供する。

ブラインドの位置の決定において、開ループブラインド高さ及びスラット角制御アルゴリズムが、ＩＬＤＣシステムにおいて実施される。当該アルゴリズムは、ブラインドモータを使用して、ブラインド高さ及びスラット角を定期的に適応させて、グレアを回避し、日光の獲得（daylight harvesting）を可能にする。「カットオフ角」、及び、「カットオフ高さ」は、緯度、経度、窓の向き、日付、現地時間及びスラットの幾何学形状といった要素に基づいて計算される。ブラインドスラットのカットオフ角（その角度を超えてスラットを通り抜ける直接放射線はない当該角度として定義される）を計算するアルゴリズムの一例は、A. Tzempelikosによる「The Impact of Venetian Blind Geometry and Tilt Angle on View, Direct Light Transmission and Interior Illuminance」（ソーラーエナジー（Solar Energy）誌、第８２巻、第１２号、１１７２−１１９１頁、２００８年１２月）に見出される。この内容は、参照することにより、本明細書に組み込まれたものとする。

上記したように、図１のＭｙＳＱＬデータベース１９５は、デバイスタイプ、それらの場所、ユーザ認証情報、ユーザ選好及び他のシステムパラメータを含む各ゾーンの構成情報を記憶できる。当該データベースは更に、幾つかのシステム性能及び動作測定基準のリアルタイムモニタリング情報を含むデータを記録するためにも使用される。ＭｙＳＱＬは、システムのコミッショニング時におけるシステムパラメータで構成されている。システム構成パラメータの例は、ユーザ認証情報、ゾーンコントローラのＩＰアドレス、デバイスタイプ、及び、デバイスとユーザとの間の関連性を含む。

ＮＬＣＳシステムでは、ＭｙＳＱＬデータベース１９５又は同様のデータベース内に記憶される性能及び動作データは、ユーザ、ネットワーク管理業者及び施設マネジャに、システム状態をリアルタイム表示することを可能にする。更に、記憶されているデータは、使用パターン、エネルギー節約、故障モード、配光及び占有状態パターンのオフライン分析のために利用することもできる。

現代の照明制御システムでは、センサ（例えば動き）及びアクチュエータ（例えば光源）は、システム性能をパーソナライズ化するために、個々のユーザに関連付けられている。ユーザは、システム挙動を左右する自分の選好を、ユーザインターフェースを介して入力できる。センサ読出し値、ユーザ選好及びシステムパラメータは、データベース内に記憶される。

ＮＬＣＳにおけるセンサ読出し値及びユーザ選好は、プライバシー及びセキュリティと関連性がある。建物の居住者は、自分の作業場所における合理的なプライバシー予測を有する。欧州連合では、個人を特定するために使用できる占有状態測定値を処理するシステムに関し、規制上の要件がある。そのような規制には、個人を特定可能なデータが収集される前にインフォームドコンセントが必要であること、及び、個人のデータの処理に関して、当該個人が提供業者から情報を要求する権利（データを「忘れる」権利を含む）が含まれる。

ＮＬＣＳにおけるセンサ測定値のプライバシー及びセキュリティと関連性のある幾つかの例を、以下に述べる。
・プライベートオフィスからの占有状態センサデータは、所与の従業員が自分のオフィスにいた時間量を推定するのに使用されうる。これは、雇用法及び差別禁止との関連性を有する。
・占有状態データは、従業員である居住者に不利になるように雇用主によって使用されうる（例えば警備員が、長時間にわたって又は特定の出来事の間、在席していなかった）。
・配偶者が、離婚手続きのために占有状態データを要求しうる。
・ＦＢＩ、即ち、法執行機関が、占有状態データ（例えば携帯電話機、ＥＺ Ｐａｓｓ料金所記録）を要求しうる。
・占有状態データは、組織に不利になるように使用されうる（例えば、「連邦政府関連機関ＸＹＺの従業員は、４時間未満しか在席せず、納税者の資金を無駄にしている」）。
・リアルタイム占有状態データは、組織的な攻撃を開始するために悪意のある組織によって利用されうる（例えば、ｘｙｚ将官はこの時間、自室にいるということ、又は、建物が９０％占有されていることは、標的としての価値を上げてしまう）。
・照明システムは、個人ユーザに対してパーソナライズ化されうる。視覚障害を有する人は、より多くの光源が必要となる場合がある。データベース内に視覚障害の情報を、特定可能な方法で記憶することは、ユーザのプライバシーの権利を侵害しうる。
・鬱病及び心的外傷後ストレス障害に苦しむ患者には、光療法は推奨される療法である。養護施設、病院又は精神療養施設では、光設定が、患者の状態に合わせられる。光療法士の処方に従って光源が設定されている精神科病棟用の照明制御システムが想到できる。この場合、所与の部屋における設定は、患者の健康記録に関連付けられる。
・街路の場所／動き情報は、強盗を計画的に行うために悪意のあるユーザによって使用されうる。当該情報は更に、動きを内密に追跡するか又は動きの過去の履歴を求めるために法執行機関によって使用されうる。

更に、多くの施設において、ＮＬＣＳシステムは、第三者システムと連動する。一例として、フィリップス社とソムフィ社とは、統合照明及び電動ブラインドソリューションを開発及び市販するために提携している。この場合、フィリップス社のシステムが、部屋占有状態情報を、ソムフィ社のシステムに提供する。議論の余地はあるにしても、データが不正使用された場合には、恐らく、フィリップス社が責任を問われることになる。したがって、ネットワーク照明システムのセキュリティとユーザのプライバシーとを守る方法を開発することが重要である。

オンライン行動追跡のための数多くのプロトコル及び方法（クッキー等）が提案されている、又は、ウェブブラウザ及びウェブアプリケーションに使用されている。何が追跡又は記録されるかに関してユーザが制御できるように、幾つかのプライバシー保護プロトコル及び方法（マイクロソフト社及びモジラ社からのＰ３Ｐ、「追跡禁止（Do-not-track）」プロトコル等）が提案又は配備されている。
・Ｐ３Ｐポリシー及びプロトコルは、特定可能な情報について次の目的を挙げている。
・<current/> データが提供された活動の完了及びサポート：
・<admin/> ウェブサイト及びシステム管理：
・<develop/> 研究及び開発：
・<tailoring/> １回限りのテーラリング：
・<pseudo-analysis/> 匿名分析：
・<pseudo-decision/> 匿名決定：
・<individual-analysis/> 個別分析：
・<individual-decision/> 個別決定：
・<contact/> サービス又は製品のマーケティングのためのビジターに連絡：
・<historical/> 過去の保存：
・<telemarketing/> サービス又は製品のマーケティングのためのビジターに電話を介して連絡：
・<other-purpose/> ストリング </other-purpose> 他の使用：

各タイプの目的（「current」以外）は、次の任意選択の属性、即ち、「必須」を有する。

当該属性は、次の値を取ることができる：
常時：目的は常に求められる。ユーザは、ユーザのデータのこの使用に関してオプトイン又はオプトアウトすることができない。これは、必須属性がない場合のデフォルトである。
オプトイン：データは、ユーザが肯定的にこの使用を要求した場合にのみ、この目的に使用される。
オプトアウト：データは、ユーザがこの方法で当該データが使用されないことを要求しない限り、この目的に使用される。

本発明の一態様では、個人のパーソナルプライバシーの選好は、（Ｐ３Ｐといった）既存のプロトコルの拡張であってもよい。本発明の様々な実施形態において、ＮＬＣＳは、照明システムがウェブアプリケーションとして操作されモニタリングされるウェブベースのアプリケーションであると想定される。エンドユーザは、そのようなシステムへのある程度のアクセスが許可される。例えば、エンドユーザのプライバシー選好を設定する又はエンドユーザの作業空間における照明をより明るくすること（又は暗くすること）を要求することができる。更なる実施形態では、ユーザの、自身のブラウザに関する（Ｐ３Ｐ設定といった）パーソナルプライバシー設定は、ユーザがログインした時に、自動的にアップロードされる。したがって、一例として、プライバシー設定変更はユーザのブラウザ（又はフェイスブック若しくは他の）プライバシー設定から決定されるので、ユーザは、具体的に当該プライバシー設定変更を要求する必要がない。

本発明は、個別の照明システムユーザのプライバシー権利を保護する一方で、ＮＬＣＳの全体の機能は維持するシステム及び方法を提供する。つまり、本発明では、データを収集し記憶する内容及び方法は、個々のユーザによって変更可能である。本発明の様々な実施形態では、現在の（又は動作）センサのデータが、ＮＬＣＳによって、全体的光源管理のために使用され、また、引き続き使用される。したがって、システムの動作効率は、これらのプライバシー選択によって影響を受けない。影響を受けるのは、問題解決又はシステム性能若しくはサービス品質の向上のために、記憶されたデータが、後で処理される方法である。つまり、データは、分析のために利用可能ではあるが、当該データは、個別のユーザが、以下に説明されるようにプライバシーに関する制限を行使した場合に、当該個別のユーザに関連付けることができない。

以下に説明されるように、本発明は、ユーザが、様々なプライバシーに関するオプションを行使することを可能にすることについて、複数の方法を検討する。本発明の一実施形態では、また、図３に示されるように、ユーザが承諾する（３２０）又は拒否する（３３０）ために、適切なプライバシーに関する通知３１０が表示される。ユーザは、先に進む前に選択するように要求される。

ユーザが「承認する」オプションを選択した場合、様々なプライバシーに関するオプションをユーザに提示する追加のＧＵＩインターフェースが表示される。図４は、「オプトアウト」４１０、「非特定化を選択」４２０、「制限使用を選択」４３０及び「オプトイン」４４０の選択肢を表示する例示的なＧＵＩメニュを示す。

なお、本発明の様々な実施形態では、これらの選択メニュは、システムの初期配備時、新しい居住者がゾーン内に入ってきたとき、定期的に、又は、プライバシーポリシーが変更されたときに表示される。更に、図３に例示されるＧＵＩ画面は任意選択であることを想定する。つまり、ユーザには、図４に例示されるＧＵＩ画面がすぐに提示されてもよい。これにより、ユーザは、利用可能なプライバシーに関するオプションを選択又は拒絶することにおいて積極的な行動を取ることが求められる。これらのオプションは、以下に、より詳細に説明される。

「オプトアウト」選択肢４１０：
この選択肢は、照明システムによって収集された任意の特定可能なデータからユーザがオプトアウトすることを可能にする。つまり、この選択によって、プライバシーに関する慎重に扱うべきデータ要素（例えば占有状態、動き、光レベル、温度等）のロギングが無効にされる。したがって、システムは、オプトアウトされたデータ要素を記憶しない。

「非特定化の選択」選択肢４２０：
このオプションの選択によって、図５に例示されるＧＵＩメニュがユーザに提示される。選択されたデータ要素のそれぞれについて、データは、個別のユーザに関連付けられない方法で記憶され、これにより、ユーザのプライバシーが保護される。システムは、要求されたプライバシーを提供するが、依然として、統計分析のためのデータ要素の有用性を保つ。本発明の様々な実施形態は、１つ以上の以下の機能を行うことによって、この特徴を実現する。
−プライバシーに関する慎重に扱うべき情報を記憶するデータベーステーブルから主キーを外す（例えば、占有状態センサのＩＤを占有状態ログテーブルに記憶しない）。
−屋外照明の場合、街灯の地理位置又は街灯のＩＤを記憶しない。
−ユーザＩＤ、部屋ＩＤ、占有状態センサＩＤ等のダミー値を記憶する（例えば、各ユーザについて、毎日、無作為に選ばれたハンドルネームを使用する）。この方法は、個別のユーザデータが、関与しているユーザを特定することなく、統計分析に使用されることを可能にする。
−日時フィールドにオフセットされた将来値を使用する。
−複数のユーザからのデータを組み合わせて、データを匿名化する。
−複数のセンサからのデータ（例えば、「ＯＲ」占有状態情報）を組み合わせて、情報によって、ユーザに追跡できないようにする。

本発明の追加の実施形態は、統計分析のためのデータ要素の有用性を制限することによって（即ち、一部の情報は失われる）、要求されたプライバシーを提供する。本発明のこの実施形態は、１つ以上の以下の機能を行うことによって、この特徴を実現する。
−時間に基づいた平均化を使用する（例えば、数日間に亘って動いた平均値のみを記憶する）。
−ある確率的雑音を使用してデータを無作為化する（即ち、スプリアスデータ）。

「制限使用の選択」選択肢４３０：
このオプションの選択によって、図６に例示されるＧＵＩメニュがユーザに提示される。当該ＧＵＩメニュは、収集されたデータが使用可能な目的（例えば、研究及び開発、システム性能分析、エネルギー監査、１回限りのテーラリング、傾向分析、デバッギング、パーソナライズ化等）を挙げる。

「オプトイン」選択肢４４０：
このオプションの選択によって、図７に例示されるＧＵＩメニュがユーザに提示される。これにより、ユーザには、収集プロセスにおいて利用可能な様々なデータ要素をオプトインする選択肢が提供される。つまり、ユーザは、システムによって収集されるデータの種類についての制御が与えられる。システムは、選択されたオプトインデータ要素しか記憶しない。

本発明の更なる実施形態では、ユーザは、様々なオプションを選択可能となる前に、ログインするか、そうでなければ、ユーザ自身を証明する必要がある。更に、個人は、当該個人に割り当てられた特定の部屋又はオフィス空間に対してこれらの選択をすることに限定される。中央サーバ又はデータベースは、パスワード、作業空間割り当て及び上記の特徴を実施するために必要な他のデータを管理する。更なる実施形態では、この中央ロケーションは更に、ユーザが、企業方針又は行政法に反する選択を（不注意で又は意図的に）行うことを防ぐ。したがって、一例として、ユーザは、「当該ユーザ」のオフィス空間に関するデータの記録の選択は、当該空間を共有する任意の及びすべての従業員も当該選択をしなければ、行わない。

図８は、本発明の例示的な実施形態を示す。ステップ８１２〜８１８において、システムの「初めての使用」であるのかどうか（ステップ８１２）、「新しいユーザ」であるのかどうか（ステップ８１４）、「改定されたプライバシーポリシー」であるのかどうか（ステップ８１６）及び「プライバシー選好を見直す時期」であるのかどうか（ステップ８１８）に関する決定がなされる。これらの基準のうちのいずれかにおいて「イエス」である場合、当該方法は、ステップ８２０に進み、「プライバシーに関する通知を表示する」が起きる。

ステップ８２２において、ユーザは、プライバシー選好を選択するように要求される。次に、システムは、ユーザがどの最初の選択がされたか、即ち、「オプトアウト」（ステップ８２４）、「非特定化」（ステップ８３０）、「制限使用」（ステップ８３８）、又は、「オプトイン」（ステップ８５０）が選択されたかを決定する。これらの選択肢は、図４のアイテム４１０〜４４０に対応する。「オプトアウト」（ステップ８２４）が選択される場合、システムは、オプトアウト選好が記録され、タイムスタンプが押されるステップ８２６に進む。ステップ８２８において、システムは、プライバシーに関する慎重に扱うべきデータ要素のロギングを無効にすることによって要求された機能を実行する。

「非特定化」（ステップ８３０）が選択される場合、システムは、選択メニュをユーザに提示し（ステップ８３２）、続いて行われる選択は、記録され、タイムスタンプが押される（ステップ８３４）。ステップ８３６において、システムは、選択されたユーザ選好に従ってデータ要素を非特定化することによって要求された機能を実行する。

同様に、「制限使用」（ステップ８３８）が選択される場合、システムは、選択メニュをユーザに提示し（ステップ８４０）、続いて行われる選択は、記録され、タイムスタンプが押される（ステップ８４２）。ステップ８４８において、システムは、データ要素の許可されていない使用は阻止することによって、要求された機能を実行する。

「オプトイン」（ステップ８５０）が選択される場合、システムは、選択メニュをユーザに提示し（ステップ８５２）、続いて行われる選択は、記録され、タイムスタンプが押される（ステップ８５４）。ステップ８５６において、システムは、オプトインされたデータのロギングを有効にする一方で、残りのプライバシーに関する慎重に扱うべきデータ要素のロギングを無効にすることによって、要求された機能を実行する。

図９は、本明細書に示されている例示的な処理において説明されるように本発明の原理を実施するシステム９００を示す。この例示的なシステムの実施形態９００において、入力データが、複数のゾーン９１０、９１２から受信される。この入力データは、１つ以上の占有状態センサ９１６、フォトセンサ９１８及びサーモスタット９２２から得られる。図１及び図２に同様に示されているように、統合コントローラ９２６が、各ゾーン内に位置付けられ、これらの入力データアイテムを利用して、各ゾーン内にある１つ以上の照明器具９１４及び電動ブラインド９２０を制御する。ゾーン１には、１つのランプトップコンピュータ９２４と１つのワークステーション９２８が存在する一方で、ゾーン２には、２つのワークステーションが存在する。本発明は、各ゾーンにおいて、オフィス環境において妥当に予測される任意の数の上記のようなデバイスがあってもよいので、上記には限定されない。更に、図示されるように、スマートホン９３０及びタブレット／コントロールパネル９３２といった追加の入力デバイスが、本発明によって想定される。これらのデバイスは、いずれも、建物管理システム（ＢＭＳ）コンピュータ９６０と通信するために、無線又は有線ＬＡＮ及びゲートウェイ９５０を介して、リンクできる。したがって、このようなデバイスは、いずれも、上記のとおりに、プライバシーに関する設定のユーザ選択を提供する機能を有する。当然ながら、システムは、プライバシーに関する当該設定／変更の前に、デバイスの適切な構成及び適切なユーザ制御セキュリティが実装されていることを必要とする。

このように、１人以上のユーザについて、ユーザプライバシーオプションが選択されると、システムは、これらの選択に従って、データを、データベース９４０内に記録する。このデータベースは、建物管理システムコンピュータ９６０が、ＮＬＣＳ分野においては周知である分析及びレポートを含め、様々な分析及びレポートを生成するために、後にアクセス可能である。

なお、図９では、イーサネット（登録商標）ＬＡＮ９３４として示されているが、代替実施形態は、例えばＩＳＡ、ＰＣＩ、ＰＣＭＣＩＡバスである遠隔及び有線ネットワークの他の周知のコンポーネント、回路、回路カード又は他のデバイスの１つ以上の内部接続、並びに、これらの及び他の通信媒体の一部及び組み合わせを含んでもよい。

ラップトップ９２４、ワークステーション９２８、スマートホン９３０及びタブレット／コントロールパネル９３２は、手持ち式の計算機、専用又は汎用処理システム、デスクトップコンピュータ、ラップトップコンピュータ、パームコンピュータ又は携帯情報端末（ＰＤＡ）デバイス等、並びに、これら及び他のデバイスの上記説明された動作を実行できる一部又は組み合わせを代表する。

コンピュータ９６０は、中央処理演算ユニット（ＣＰＵ）、又は、ＰＡＬ、ＡＳＩＣ、ＦＧＰＡといった、コンピュータ命令コード又はコード及び論理演算の組み合わせを実行するように動作可能な専用ハードウェア／ソフトウェアであってよい。一実施形態では、プロセッサ９６０は、プロセッサによって実行されると、本明細書において説明されるような動作を実行するコードを含む。コードは、プロセッサメモリ内に含まれていても、ＣＤ−ＲＯＭ又はフロッピー（登録商標）ディスクといったメモリ媒体から読み出される又はダウンロードされても、キーボード又はキーパッドエントリといった手動入力デバイスによって提供されても、外部入力部９７０のうちの１つを介して、磁気又は光媒体から読み出されてもよい。なお、本発明の更なる実施形態では、これらの外部入力部９７０は、天候に関する信号、及び／又は、インターネット若しくは第三者システムからの信号（例えば応答要求信号）も含む。

当業者であれば理解できるように、プロセッサ、処理システム、コンピュータ又はコンピュータシステムとの用語は、１つ以上のメモリユニット、又は、少なくとも１つの処理ユニットに電子的に接続され、当該処理ユニットと通信する他のデバイス（例えば周辺機器）と通信する１つ以上の処理ユニットを表す。更に、図示されているデバイスは、内部バス（例えばシリアルバス、パラレルバス、ＩＳＡバス、マイクロチャネルバス、ＰＣＩバス、ＰＣＭＣＩＡバス、ＵＳＢ等）、若しくは、回路、回路カード若しくは他のデバイスの１つ以上の内部接続を介して１つ以上の処理ユニットに、並びに、これらの及び他の通信媒体の一部及び組み合わせ又は外部ネットワーク（例えばインターネット及びイントラネット）に電子的に接続されている。他の実施形態において、ハードウェア回路が、本発明を実施するソフトウェア命令の代わりに、又は、当該命令と組み合わされて使用される。例えば、本明細書において説明されている要素は、別々のハードウェア要素として実施されても、単一ユニットに一体にされてもよい。

当然ながら、説明された動作は、特定値を求めるために、直列に実行されても、様々なプロセッサを使用して並列に実行されてもよい。処理システムは更に、例えばインターネット、イントラネット、ワイドエリアネットワーク（ＷＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、ローカルエリアネットワーク（ＬＡＮ）、地上放送システム、ケーブルネットワーク、衛星ネットワーク、ワイヤレスネットワーク又は電話ネットワークシステム（ＰＯＴＳ）といったグローバルコンピュータ通信ネットワーク、並びに、これらの及び他のタイプのネットワークの一部又は組み合わせを介して、１つ以上のサーバからの１つ以上のネットワーク接続を介して、データを送受信する。当然ながら、ネットワーク９３４は、内部ネットワーク、又は、回路、回路カード若しくは他のデバイスの１つ以上の内部接続、並びに、これらの及び他の通信媒体の一部及び組み合わせ、又は、インターネット及びイントラネットといった外部ネットワークを含んでもよい。

図１０は、本発明の更なる実施形態による、様々なセンサを含む街灯を使用した屋外照明システムのブロック図である。図１０を参照するに、システムは、複数の街灯１０−１乃至１０−ｎ内に設置される照明ユニット１２−１乃至１２−ｎを含む。本発明によれば、照明ユニット１２−１乃至１２−ｎは、それぞれ、１つ以上の照明要素と、その設置領域をモニタリングする１つ以上のセンサとを含む。代替実施形態では、センサは、照明ユニットに組み込まれている必要はなく、１つ以上の照明ユニット及び／又は照明マネジャ１８と通信可能であるＴＬＭＳ内の別の無線又は有線デバイスであってよい。更なる実施形態では、照明ユニットは、必ずしも、ローカルサーバ１４に直接的に通信しなくてもよい。つまり、照明ユニットは、メッシュネットワークを形成し、当該照明ユニットが隣接照明ユニットを使用して、ローカルサーバ１４と通信してもよい。

図１０に示されるように、通信ネットワークは、ローカルサーバ１４を介する照明マネジャ１８との通信を含む。図１０は、照明ユニット１２との無線通信を示すが、図９に関連して上記された様々な通信手段を包含するように、他のタイプの通信も本発明において想定されるので、本発明は、この実施形態に限定されない。データは、これらのセンサから収集されると、照明マネジャ１８に送信され、そこで、タイムスタンプが押され、そのデータの起源場所に関する適切なインデックスが付けられて記憶される。

本発明の好適な実施形態に適用されたものとして本発明の基本的な新規の特徴が示され、説明され、指摘されたが、当然ながら、説明された装置における様々な省略、置換及び変更が、開示されたデバイスの形態及び詳細、並びにその動作について、本発明の精神から逸脱することなく、当業者によってなされる。同じ結果を達成するように実質的に同じ方法で実質的に同じ機能を実行するこれらの要素のあらゆる組み合わせは、本発明の範囲内であることを、明確に意図している。１つの説明されている実施形態から別の実施形態への要素の置換も、当然に意図して、想定されている。例えば、本明細書において提示される任意の数値は、例示的に過ぎないとみなされるべきであり、発明として主張する主題の例を提供するものとして提示されている。したがって、添付の請求項に記載される本発明は、本明細書において提供される数値例によって制限されない。

Claims (20)

1. 中央照明制御システムによってデータが収集され、記憶されることが可能である空間における個人のプライバシーを保護する方法であって、
   個人が前記データに関する様々なプライバシー設定を選択できるメニュを当該個人に表示するステップと、
   個人によってなされた１つ以上の選択を記録するステップと、
   記録された選択に従って、前記データを収集するステップと、
   を含む、方法。
2. 前記中央照明制御システムは、ハイブリッド統合照明及び日光制御システムであり、前記データは、個人の作業空間に関連する、請求項１に記載の方法。
3. 前記収集するステップは、デバイスから情報を取得するステップを含み、前記デバイスは、カメラ、光源、センサ、調光安定器、ユーザインターフェース、電動ブラインド及びこれらの組み合わせからなる、請求項１に記載の方法。
4. 前記センサは、占有状態センサ、動き検出器、光センサ、熱センサ、温度センサ、湿度センサ及びこれらの組み合わせからなる群から選択される、請求項３に記載の方法。
5. 前記記録された選択に従って、任意の収集されたデータをレポートするステップを更に含む、請求項１に記載の方法。
6. 前記プライバシー設定は、「オプトアウト」オプションを含み、これにより、１つ以上のデータ要素カテゴリに対して、個人の作業空間に関連付けられているデータが収集されない、当該１つ以上のデータ要素カテゴリを当該個人が指定できる、請求項２に記載の方法。
7. 前記プライバシー設定は、「非特定化を選択」オプションを含み、これにより、１つ以上のデータ要素カテゴリに対して、個人の作業空間に関連付けられているデータは収集されることは許可されているが、収集されたデータは個人の作業空間にはリンクできない、当該１つ以上のデータ要素カテゴリを当該個人が指定できる、請求項２に記載の方法。
8. 前記プライバシー設定は、「制限使用を選択」オプションを含み、これにより、個人の作業空間に関連付けられている前記収集されたデータの使用が許可される目的を当該個人が制限できる、請求項２に記載の方法。
9. 前記プライバシー設定は、「オプトイン」オプションを含み、これにより、１つ以上のデータ要素カテゴリに対して、個人の作業空間に関連付けられているデータの収集が許可される、当該１つ以上のデータ要素カテゴリを当該個人が指定できる、請求項２に記載の方法。
10. 個人の選好に従って、ネットワーク照明制御システム（ＮＬＣＳ）によってデータが収集され、記憶されることが可能である領域における個人のプライバシーを保護する方法であって、
    個人が前記ネットワーク照明制御システムにログインしたときに、個人のプライバシー設定を、個人のブラウザ設定から自動的にアップロードするステップと、
    前記プライバシー設定を記録するステップと、
    前記プライバシー設定に従って、前記データを収集するステップと、
    を含む、方法。
11. 中央照明制御システムによってデータが収集され、記憶されることが可能である領域における個人のプライバシーの保護を提供する中央照明制御システムであって、
    前記領域に関連するデータを取得可能な複数のデバイスと、
    前記データを中央コンピュータに通信するネットワークと、
    個人が前記データの収集に関連する様々なプライバシー設定を選択できるメニュを当該個人に提供し、前記プライバシー設定を前記中央コンピュータに送信する手段と、
    前記中央コンピュータに関連付けられたデータベースと、
    を含み、
    前記データは、前記プライバシー選択に従って収集される、システム。
12. 前記複数のデバイスは、カメラ、光源、センサ、調光安定器、ユーザインターフェース、電動ブラインド及びこれらの組み合わせからなる、請求項１１に記載のシステム。
13. 前記センサは、占有状態センサ、動き検出器、光センサ、熱センサ、温度センサ、湿度センサ及びこれらの組み合わせからなる群から選択される、請求項１２に記載のシステム。
14. 前記中央コンピュータは、前記プライバシー選択に従って、収集データレポートを生成する、請求項１１に記載のシステム。
15. 前記提供する手段は、専用又は汎用処理システム、デスクトップコンピュータ、ラップトップコンピュータ、パームコンピュータ、携帯情報端末（ＰＤＡ）、スマートホン及びこれらの組み合わせからなる群から選択される、請求項１１に記載のシステム。
16. 請求項１に記載の方法を少なくとも１つの処理ユニットに実行させる命令が格納されているコンピュータ可読の非一時的媒体。
17. 前記中央照明制御システムは、屋外照明設備に関連する、請求項１に記載の方法。
18. 前記データは、個人の自宅に近接する１つ以上の屋外領域に関連する、請求項１７に記載の方法。
19. 前記データは、個人の作業空間に近接する１つ以上の屋外領域に関連する、請求項１７に記載の方法。
20. 前記複数のデバイスのうちの１つ以上のデバイスは、屋外照明ユニット内に配置されている、請求項１１に記載のシステム。