JP5175952B2 - データ送信装置及び方法 - Google Patents

Description

本発明は、スマートグリッドにおける最終消費設備のプライバシー保護に関する。特に、本発明は、スマートグリッドの制御に必要な、匿名化エネルギー消費量情報の提供に関する。

歴史的にみて、各国の電気的なグリッドは少数の中央発電機（つまり発電所）が国または地域の電気生産のすべてを行い、ケーブル及び変電所の大規模なネットワークを通じてエンドユーザーに電気を配電する「ブロードキャスト」グリッドである。このモデルはうまくいっているが、様々な理由から配電網を改良する必要性が高まっている。これを受けて、政府及び関係するステイクホルダーは、将来の配電網すなわち「スマートグリッド」の開発に著しい努力をしている。そのようなシステムには固有の複雑さがあることから、新しいグリッドの開発には、技術開発、標準規格、ポリシー及び規制活動においてかなりの労力が必要となるであろう。スマートメータリングは、スマートグリッドの将来ビジョンの重要な要素である。

スマートメーターは、従来のメーターよりさらに多くの詳細なエネルギー消費量を測定する先進的メーター（通常は電気メーターであるが、ガスメーター、水道メーター及びヒートメーターに統合され、または一体となって作動するものでもよい。）である。将来のスマートメーターは、モニタリング及び課金の目的でローカルユーティリティに上記情報を伝達するかもしれない。スマートメーターは、将来の「スマートホーム」内でいくつかの電気器具及び機器と通信する可能性もある。スマートメーターは、電力会社、電力配電網、あるいは既存の配電インフラストラクチャーに取って変わるものと予想される広域スマートグリッドに対し、自動的かつ要求される時刻間隔で正確な測定値を提供することが期待される。上記測定値の想定される頻度は、数（１〜５）分おき程度に高くなりうることから、そのようなデータの入手可能性及び処理に関して重大なプライバシー論争がもたらされる（例えば、ワシントン・ポストによって公表された関連報道記事を参照されたい：ｈｔｔｐ：／／ｖｏｉｃｅｓ．ｗａｓｈｉｎｇｔｏｎｐｏｓｔ．ｃｏｍ／ｓｅｃｕｒｉｔｙｆｉｘ／２００９／１１／ｅｘｐｅｒｔｓ＿ｓｍａｒｔ＿ｇｒｉｄ＿ｐｏｓｅｓ＿ｐｒｉｖａ．ｈｔｍｌにて入手可能）。そのようなエネルギー使用量の詳細な情報は、世帯における日々のエネルギー使用パターンをあらわにし、ある時刻にどのような種類の機器あるいは電気器具が使用されたかということまで明らかにすることができる。その例をＥ．Ｌ．Ｑｕｉｎｎ，”Ｐｒｉｖａｃｙ ａｎｄ ｔｈｅ Ｎｅｗ Ｅｎｅｒｇｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ”，Ｆｅｂｒｕａｒｙ ２００９ （ｈｔｔｐ：／／ｐａｐｅｒｓ．ｓｓｒｎ．ｃｏｍ／ｓｏｌ３／ｐａｐｅｒｓ．ｃｆｍ？ａｂｓｔｒａｃｔ＿ｉｄ＝１３７０７３１にて入手可能）から引用して図１に示す。Ｑｕｉｎｎ氏は、これらプライバシーに対する懸念についてさらなる検討を行っている。Ｒ．Ｓｔａｌｌｍａｎ，”Ｉｓ ｄｉｇｉｔａｌ ｉｎｃｌｕｓｉｏｎ ａ ｇｏｏｄ ｔｈｉｎｇ？ Ｈｏｗ ｃａｎ ｗｅ ｍａｋｅ ｓｕｒｅ ｉｔ ｉｓ？，”ＩＥＥＥ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｍａｇａｚｉｎｅ，ｖｏｌ．４８，ｐｐ．１１２−１１８，Ｆｅｂｒｕａｒｙ ２０１０においては、別の有用な検討がなされている。

本発明の態様によれば、データ収集装置と、ユーティリティ配電所に接続され、該ユーティリティ配電所によりユーティリティが供給される複数の最終消費設備とを包含するシステムが提供される。最終消費設備の各々は、該配電所により供給されたユーティリティの消費量を測定するように構成された計測装置を含む。計測装置は、匿名固有ＩＤ（アノニマス・ユニークＩＤ）を用いてデータ収集装置に消費量データを報告するように構成される。匿名ＩＤの使用は、ネットワーク運用者またはユーティリティ・プロバイダーが消費量データを利用可能であるとともに当該データはいかなる特定の物理的計測装置にも結び付けられず、計測装置の所有者または運用者のプライバシーが侵害されないことを保証する。データ収集装置はＩＤを記憶し、前記記憶されたＩＤを持つ消費量データのみを受理するように構成される。このことは、該受信した消費量データは、データ収集装置に以前に登録されたソースからのものであるとして信頼できることを保証する。

最終消費設備は、建物または住宅であったり、建物または住宅内に提供または設置されるものであったり、建物または住宅の一部分であったり、建物または住宅の一部分内に提供または設置されるものであったり、世帯または一世帯における一部分の形態であったり、スマートメーターを使用して個別にモニターできるその他の電力消費単位であったりする。

ユーティリティは、その消費量がモニターされる電力、ガス、水道あるいはその他のユーティリティとすることができる。

データ収集装置は、ユーティリティ配電所の一部であってもよい。ユーティリティ配電所は、該ユーティリティ配電所に接続された最終消費設備にユーティリティを供給する責を負う。スマートグリッドにおいて、配電所は、例えば需要側対応及び需要側マネジメント機能を引き受けることにより、最終消費設備へのユーティリティの配電を変更する積極的な措置を取ることができる。そのような措置は、配電所に接続された最終消費設備に関する消費量情報の入手可能性に依存する。そのような消費量情報の必要性は、上述したプライバシーへの脅威の問題を引き起こす。本発明は、要求された消費量データの匿名報告機能を備えることにより、そのような脅威を緩和する。この点に関し、すべてのメッセージが匿名ＩＤを持つので、匿名により消費量データを報告するすべてのメッセージが照合され、（例えば図１に示される家庭内負荷痕跡のような）データセットを成しうることに留意する。しかしながら、該メッセージ（ひいては該データセット）は、ＩＤの匿名性があることから、特定の物理的なソース／計測装置には結び付けられ得ない。このことは、データ収集装置、あるいはユーティリティ配電所のようなシステム内の別の装置が最終消費設備の匿名ＩＤを識別するのを可能にし、匿名ＩＤを伴う受信消費量データから生成された負荷痕跡によって判断されることが、グリッド管理運用に参加しようとする最終消費設備の実際の身元を識別しない当該グリッド管理運用に適する対象になる。そのようなグリッド管理運用は、いずれも、運用の実施をもたらし、あるいは匿名ＩＤとともに当該運用への加入を要求するコマンドを、匿名ＩＤを伴う可能性のあるすべての計測装置にブロードキャストすることにより実施することができる。匿名ＩＤを伴う計測装置は、該コマンドまたは要求を受信し、それを実施することができるが、該メッセージを受け取る他の計測装置は、該コマンド／要求を単に無視することができる。

消費量データは、最終消費設備による消費量を正確に反映することができる。あるいは消費量データは、正確な消費量データに基づいているものの更なるプライバシー保護のために修正されたデータであってもよい。プライバシー保護増強のために消費量データを修正する方法が、発明者Ｇ．Ｋａｌｏｇｒｉｄｉｓ、Ｃ．Ｅｆｔｈｙｍｉｏｕ及びＭ．Ｓｏｏｒｉｙａｂａｎｄａｒａによる「Ｄｅｖｉｃｅ ａｎｄ Ｍｅｔｈｏｄ ｆｏｒ ａｎｏｎｙｍｉｓｉｎｇ ｓｍａｒｔ ｍｅｔｅｒｉｎｇ ｄａｔａ」と題した同時係属の英国特許出願に記載されている。

発明の別の態様によれば、データ収集装置と、ユーティリティ配電所に接続され、該ユーティリティ配電所によりユーティリティが供給される複数の最終消費設備と、を含むシステムが提供される。最終消費設備はそれぞれ、該配電所によって供給されたユーティリティの最終消費設備による消費量を測定するように構成された計測装置を含む。計測装置は、固有ＩＤを用いてデータ収集装置に消費量データを報告するように構成される。データ収集装置は、計測装置の固有ＩＤを記憶しており、該記憶されたＩＤのうちのいずれかに対応するＩＤを伴う消費量データのみを受け取るように構成される。データ収集装置は、関連付けられた計測装置について記憶された少なくとも２つのＩＤを識別するのに適した情報を含まない。

データ収集装置は、さらに、第三者機関からの要求により、該固有ＩＤを記憶するよう構成することができる。第三者機関は、データ収集装置への追加ＩＤの記憶を要求する資格を有する、信頼されている機関とすることができ、ユーティリティ・プロバイダーまたはユーティリティ・プロバイダーによる管理下または影響下の実体よりも計測装置のユーザーまたは所有者のプライバシーを厳格に保護することが期待される機関とすることができる。データ収集装置は、第三者機関から受信したメッセージを識別するための情報を記憶してもよい。データ収集装置は、例えば、第三者機関のＩＤならびに該第三者機関の公開鍵を記憶してもよい。そうすると、第三者機関の秘密鍵を使用して該第三者機関によりディジタル署名され、該第三者機関から受信したメッセージをデータ収集装置が認証し、当該メッセージのソースが該第三者機関であることを確認することができる。

システムは、ユーティリティ・プロバイダー及びユーティリティ配電網をさらに含んでもよく、これらはいずれも、計測装置がデータ収集装置のみならずユーティリティ・プロバイダー管理下のシステム全体に関して匿名となるように、データ収集装置に記憶された少なくとも２つの計測装置のＩＤをいずれかの計測装置に関連付けるための情報を記憶しない。

本発明の別の態様によれば、ユーティリティ配電所によって複数のエンドユーザーに提供されたユーティリティの消費量に関する消費量データを該複数のエンドユーザーが報告する方法が提供される。各エンドユーザーは、匿名固有ＩＤを持つ計測装置を具備する。該方法は、計測装置から匿名固有ＩＤとともに消費量データをデータ収集装置に送信すること、及び受信した匿名固有ＩＤに対応するＩＤをデータ収集装置が記憶しているかどうかをデータ収集装置内で照合することを含む。受信した匿名固有ＩＤに対応するＩＤをデータ収集装置が記憶している場合、データ収集装置は配電所に消費量データを提供する。

データ収集装置は、第三者機関からの追加固有ＩＤの記憶要求を受信し、該第三者機関は追加固有ＩＤの記憶を要求する資格を有する旨を示す情報を当該データ収集装置が記憶しているかを調べ、該第三者機関は該追加固有ＩＤの記憶を要求する資格を有する場合には、該追加固有ＩＤを記憶してもよい。

匿名ＩＤを備える計測装置の各々は、第２の固有ＩＤをさらに備えることができる。この第２の固有ＩＤは、ユーティリティ・プロバイダーあるいはその管理下のシステムの任意の部分が、第２の固有ＩＤとともに受け取ったデータを物理的な装置に自由に結び付けることができるように、匿名でなくてもよい。このように、例えば課金目的のために、帰属可能な態様でデータを送信することができるとともに、他の場合では、グリッド制御を支援するために計測装置により匿名データを送信することができる。（第１のＩＤを使用して）匿名化されたデータの送信は、グリッド運用者あるいはユーティリティ・プロバイダーによって規定されるのであるが、恐らく頻繁に要求されるであろうことを理解されたい。グリッド制御の目的では消費量データを数分おきに受信することが要求されるものと想定される。対照的に、他の目的（例えば課金）に必要なデータは恐らく頻繁に必要とされないであろうから、第２のＩＤとともに送信するデータは、第１のＩＤとともに送信するデータほど頻繁には送信されない。これは、その特有の要求に効果があるものと認められた。本発明のさらに別の態様に従って、ユーティリティの消費量を測定し、測定された消費量を通信チャネルを介して第三者機関に報告するよう構成された計測装置が提供される。該計測装置は２つの固有ＩＤを含み、第２のＩＤを用いて消費量データを送信する場合よりも定期的に第１のＩＤを用いることによって、通信チャネルを介し消費量データを送信するように構成される。第１のＩＤを用いる頻繁なデータ送信は、自動的になされてもよい。第２のＩＤを用いる、より定期的でないデータの送信は、自動的になされてもよく、あるいはそのようなデータの要求を受信したときになされてもよい。計測装置は、スマート電力量計あるいはホームゲートウェイであってもよい。

本発明の別の態様によれば、ユーティリティの消費量を測定するための装置内で実行される測定方法が提供される。該方法は、測定データを取得すること、及び第２のＩＤを用いて該測定データを送信する場合よりも規則的に第１のＩＤを用いることにより、該測定データを通信チャネルを介して送信することを含む。

本発明の別の態様によれば、物理的計測装置に結び付けられる１つ以上のＩＤと、いかなる物理的計測装置にも結び付けられない複数のＩＤとを記憶する装置が提供される。該装置は、データ及び送信者ＩＤを含むメッセージを受信するための入力を備える。該装置は、受信した送信者ＩＤを、記憶ＩＤと比較し、該受信した送信者ＩＤが、一の物理的計測装置に結び付けられる記憶ＩＤと一致する場合には、第１の通信チャネルに受信データを供給し、該受信した送信者ＩＤが、一の物理的計測装置には結び付けられない記憶ＩＤと一致する場合には、第２の通信チャネルに受信データを供給するように構成される。実施には、第１の通信チャネルは、多数の最終消費設備に接続され、上述した態様で匿名消費量データを用いるグリッド制御を支援するユーティリティ配電所と通信するために確立される通信チャネルとすることができる。第２の通信チャネルは、使用時にユーティリティ・プロバイダー、または課金のような管理上のプロセスに対処するためにユーティリティ・プロバイダーによって設置された実体と通信するために確立される通信チャネルとすることができる。もちろん、これらの通信チャネルは、同じ物理チャネルによって運用される論理チャネルであってもよい。

該装置は、信頼されている第三者機関を識別する情報をさらに記憶してもよい。該装置は、受信した追加ＩＤの記憶要求が、該記憶情報により識別されるとおり信頼されている機関からのものであるかを調べ、当該ＩＤの記憶要求は信頼されている機関から受信したものであると判定した場合には、該追加ＩＤを記憶するように構成することができる。

本発明は、上述のシステム、方法、及び装置に限定されないことを理解されたい。本発明は、これらのシステム及び装置を設定し、構成することにも及ぶ。したがって、本発明の別の態様によれば、計測装置、データ収集装置、及び信頼されている第三者機関を含むシステムにおいて匿名計測設備を構成する方法が提供される。該方法は、計測装置が、匿名計測設備の構成のための要求を送信することを含む。該要求は、計測装置の匿名固有ＩＤを含む。第三者機関は、該要求を受信すると、該ＩＤを伴った計測装置は、匿名計測データを送信する資格を有するかを調べ、該ＩＤを伴った計測装置は、匿名計測データを送信する資格を有する場合には、匿名計測において使用される、該ＩＤに対するパーミッションを含むメッセージを送信する。該メッセージを受信すると、データ収集装置は、当該第三者機関は匿名計測設備を使用するためのパーミッションを計測装置に提供する資格があるかを調べる。該第三者機関がパーミッションを提供する資格を有するならば、データ収集装置は該ＩＤを記憶する。

本発明の別の態様によれば、計測装置を含むシステムにおける匿名計測の構成を開始する方法が提供される。該方法は、計測装置内で実行され、計測装置のＩＤを用いてシステム内のデータ送信に関与することと、ランダム長の待機期間の終了の後に、計測装置の追加ＩＤを含む要求を送信することとを含み、該要求は、該計測装置の追加ＩＤを用いる匿名計測に該計測装置が参加するためのパーミッションの要求である。

該計測装置の要求の送信は、該計測装置の追加ＩＤを明らかにする。要求の送信を前のデータ送信に関連させることが可能な形で要求の送信が前のデータ送信に続く場合、該要求が信頼されている第三者機関に送られる場合でも、ユーティリティ・プロバイダーが、計測装置の追加ＩＤに該計測装置に当初送信されたＩＤを関連付けることが可能である。計測装置で開始されたランダム待機期間は、そのような相関のあらゆる分析が成功する可能性を減らす。

本発明の別の態様によれば、計測装置のＩＤを用いてデータ送信に参加し、ランダム長の待機期間の終了後に追加ＩＤを用いる匿名計測に計測装置が参加するためのパーミッションの要求を送信するように構成された計測装置が提供される。該要求は、該追加ＩＤを含む。

本発明の別の態様によれば、ユーティリティの消費量を匿名で報告する方法が提供される。該方法は、計測装置において実行され、匿名ＩＤを用いて消費量データの送信を開始するためのメッセージを受信すること、及びランダム長の待機期間の終了の後に、消費量の報告を開始することを含む。本発明の別の態様によれば、匿名ＩＤを用いて消費量データの送信を開始するためのメッセージの受信に応じて、匿名ＩＤを用いて消費量データの送信を開始するように構成された計測装置が提供される。その後にランダム長の待機期間が終了すると、該消費量データの送信が開始される。

以下、添付図面を参照しながら、本発明の実施形態を、例でしかないものとして説明する。
図１は、１分のタイムベースで記録された既知の家庭内負荷痕跡の例を示す図 図２は、電力配電網及び関連するスマートメータリング・データ構造を示す図 図３は、スマートメーター内のＩＤ構造を示す図 図４は、スマートメーターのクライアント及び匿名データプロファイルを設定するためのメッセージフロー図 図５は、スマートメーターとユーティリティ・プロバイダーの間の低頻度測定データ交換示す図 図６は、スマートメーターとデータ収集装置の間の高頻度測定データ交換を示す図

図２は、配電変電所１３０を介して多数の最終消費設備１２０に電気を配電するユーティリティ／電気プロバイダー１１０を含む配電網１００の一部を示す。配電変電所は配電コントローラー１４０を含む。最終消費設備は、ユーティリティの消費が独立して測定される、任意の種類の家屋又は建物、あるいは家屋又は建物の一部とすることができ、個人所有の自宅あるいは所有物あるいは商業資産であってもよい。最終消費設備１２０は、個別に電気を消費しやすい多数の電気消費装置１５０を含む。最終消費設備１２０は、スマートメーター１６０も含む。家屋の住民すなわち最終消費設備１２０のユーザーのプライバシーに対する危険とともに、標準スマートメーターの機能は、上述のとおりである。図２に示されるスマートメーター１６０は標準スマートメーターではなく、上述したように、２つの異なる頻度で消費量データを送信するように構成されている。図３を参照しながら、スマートメーター１６０のアーキテクチャについて詳細に説明する。

スマートメーター１６０は、２つの論理データ送信チャンネル１８０及び１９０を介してデータ収集装置１７０に接続される。これらのチャネルを確立する１つの方法は、スマートメーター１６０とデータ収集装置１７０の間の単一の無線リンクを使用することである。データ収集装置１７０は、グリッド管理目的ではスマートメーター１６０に対して局所的であって、ユーティリティ・プロバイダー１１０、ネットワーク運用者、あるいは他の関係機関に対し、集計した測定データを送信する。上述したように、上記データは集計され、該データのメッセージ送信の一部を成すＩＤに関連付けられる。１つの論理データ送信チャネル１８０は、低頻度消費量データの送信のために確立されて使用され、他の論理チャネル１９０は、匿名高頻度消費量データの送信のために確立されて使用される。データ収集装置１７０は、データチャネル２００を通してユーティリティ・プロバイダー１１０に接続されており、該データチャネル２００を通して、使用料請求、アカウント管理、あるいは関係づけられるデータを必要とする何らかの目的のために、低頻度データがユーティリティ・プロバイダーに転送される。またデータ収集装置は、データチャネル２１０を通して配電変電所にも接続される。データチャネル２１０は、スマートメーター１６０から受信した匿名高頻度データを配電変電所１３０に転送するのに用いられる。これにより、配電変電所１３０及び配電コントローラー１４０は、高頻度データをグリッド負荷管理またはそのような高頻度測定データを必要とする他の運用の基準として利用することができる。

図２から分かるように、個々のスマートメーター１６０が無線リンクを介して隣接するスマートメーター１６０に接続され、無線メッシュネットワークを構成することができる。この無線メッシュネットワークは、データ収集装置１７０に接続するには遠すぎるスマートメーター１６０を、データ収集装置１７０の近くに位置するスマートメーター１６０を介して間接的に、データ収集装置１７０に接続する。スマートメーター１６０は、他のスマートメーター１６０から受信した消費量データを伴うメッセージをデータ収集装置１７０に転送し、該データ収集装置から遠隔のスマートメーター１６０にコマンドを転送する。

低頻度データチャネル１８０／２００及び高頻度データチャネル１９０／２１０それぞれを確立できるようにするため、スマートメーター１６０は、各チャネルに１つずつ、２つの異なるＩＤを含む。一実施形態に係るスマートメーター１６０のアーキテクチャにおける核心部分を図３に詳細に示す。図から分かるように、スマートメーター１６０は、ハードウェアコード化されたＩＤデータ３００及びソフトウェアコード化されたＩＤデータ３１０を備える。ハードウェアコード化ＩＤデータ３００は、ソフトウェアコード化ＩＤデータ３１０内のクライアント・データプロファイル３４０に関連付けられる個人スマートメーター・プロファイルＰＩＳＭ３２０を含む。また、ハードウェアコード化ＩＤデータ３００は、ソフトウェアコード化ＩＤデータ３１０内の匿名データプロファイル３５０に関連付けられる匿名スマートメーター・プロファイルＡＮＳＭ３３０を含む。

ＰＩＳＭ３２０は、証明書ＰＩＳＭ．ＣＥＲＴ３６０及び秘密鍵３７０を含む。ＰＩＳＭ証明書３６０は、低頻度ＩＤ ＬＦＩＤ、ＰＩＳＭ公開鍵、及び該ＰＩＳＭ証明書を発行した証明機関に関する情報を含む。ＡＮＳＭ３３０は証明書ＡＮＳＭ．ＣＥＲＴ３８０及び秘密鍵３９０を含む。ＡＮＳＭ証明書３８０は、高頻度ＩＤ ＨＦＩＤ、ＡＮＳＭ公開鍵、及び該ＡＮＳＭ証明書を発行した証明機関に関する情報を含む。高頻度ＩＤ ＨＦＩＤが一貫して匿名であるための唯一の方法は、それがユーティリティ・プロバイダー１１０またはスマートメーターの設置者に知られないようにすることである。これは、例えば、スマートメーター１６０によって送信されるすべてのＨＦＩＤ関連の計測メッセージに使用されるＨＦＩＤをハードコーディングすることでスマートメーター１６０の内部にＨＦＩＤを「隠す」ことにより実現することができる。ＬＦＩＤ及びＨＦＩＤは双方とも、ＩＥＥＥ８０２．ｘデバイスのＭＡＣアドレスが固有であるのと同様、スマートメーター１６０に固有である。２つのＩＤのうちの一方、すなわち低頻度ＩＤ ＬＦＩＤは、スマートメーター１６０の調達中及び設置中のいずれの期間においても、ユーティリティ・プロバイダー１１０に対して可視である。高頻度ＩＤ及びその低頻度ＩＤへのリンクを承知している唯一の機関は、スマートメーター１６０の製造業者、及び製造業者から信任され、エスクローサービスを運用する任意の機関である。

証明書名が示す通り、また上述した通り、ＰＩＳＭ３２０及びクライアント・データプロファイル３４０は、（通信チャネル１８０及び２００を介して）低頻度で、かつ、ユーティリティ・プロバイダー１１０がスマートメーターの低頻度ＩＤ ＬＦＩＤを使用して当該スマートメーター１６０を識別できる形でデータを伝えるために用いられる。ＡＮＳＭ３３０及び匿名データプロファイル３５０は、（通信チャネル１９０及び２１０を介して）高頻度でデータを伝えるために用いられる。高頻度データ送信では、データ収集装置１７０及びユーティリティ・プロバイダー１１０がスマートメーター１６０に対応付けることのできない高頻度ＩＤが用いられる。このように、高頻度データ送信では、高頻度データ送信の開始元であるスマートメーター１６０がユーティリティ・プロバイダー１１０により識別されることが妨げられる。以下、データ収集装置１７０を介してスマートメーター１６０、配電変電所１３０、及びユーティリティ・プロバイダー１１０の間で通信チャネルを形成する一つの方法について説明する。ＣＤＰ設定プロセスと題した次節では、課金目的、または関係する消費量データを必要とする他の目的で消費量データを報告するためのデータパスを設定する例を説明する。次に、ＡＤＰ設定プロセスと題した節では、グリッド制御、または高頻度データの受信が役に立つ他の目的で消費量データを匿名報告するためのデータパスを設定する例を説明する。これら両プロセスを図２及び図４を参照しながら説明する。

ＣＤＰ設定プロセス
最終消費設備１２０を配電網１００に接続する場合、最終消費設備１２０の所有者は、ユーティリティ・プロバイダー１１０に対し、接続についての申し込みをすることができる。この申し込み４００は、ユーティリティ・プロバイダー１１０がクライアントを識別するために必要な情報のすべてを含むであろう。

そしてステップ４１０において、ユーティリティ・プロバイダー１１０は、クライアントのスマートメーター１６０を含む最終消費設備１２０に関連付けられるデータ収集装置１７０にメッセージを送信する。このメッセージ４１０は、クライアント及び個人ＳＭプロファイル証明書（Personally Identifiable SM Profile Certificate：ＰＩＳＭ．ＣＥＲＴ）を識別するためのクライアント情報を含む。ＰＩＳＭ．ＣＥＲＴは、上述したＬＦＩＤを含む。データ収集装置１７０が、渦中のスマートメーター１６０からデータを収集する正しいデータ収集装置１７０であるならば、ステップ４２０において、データ収集装置１７０は、当該適正なデータ収集装置に対し渦中のスマートメーター１６０から接触があったことを確認するために、自身の証明書ＡＧＧ．ＣＥＲＴをユーティリティ・プロバイダー１１０に返す。ステップ４３０では、電力配電回路網（ＰＤＮｅｔ）が適切な配電変電所１３０を選択することを可能にするために、ＡＧＧ．ＣＥＲＴ及びＰＩＳＭ．ＣＥＲＴが電力配電回路網に送られる。このように、各スマートメーター１６０は、該スマートメーターにより計測される最終消費設備１２０への電力を供給する配電変電所１３０に対応付けられる。そのような対応付けは、配電変電所がグリッド制御測定を実行する責務を負うような構成において必要である。そのような測定は、データ収集装置１７０で受信された家庭内負荷痕跡が、複数の最終消費設備１２０のうちのいずれからのものであるかを、最終消費設備１２０に電力を供給している配電変電所が知っている場合に限り、実行することができる。いずれにせよ、配電サブステーション１７０は多数の最終消費設備１２０に対して電力を供給することに留意されたい。（以下でより詳細に述べるが）２つ以上のこれら最終消費設備１２０のスマートメーター１６０が匿名で消費量データを送信する場合、データ収集装置１７０と配電変電所１３０のどちらも、受信した消費量データを特定の最終消費設備１２０／スマートメーター１６０にはっきりと結び付けることはできない。ステップ４４０では、検証のために、電力配電回路網が自身の証明書（ＰＤＮ．ＣＥＲＴ）によって応答する。

保全性を確保するために、上記メッセージ及び証明書のうちのいくつか又はすべてがそれぞれの秘密鍵で署名されてもよい。例えば、スマートメーター１６０は、ＰＩＳＭ秘密鍵３３０でＰＩＳＭに署名することができる。その後、ＰＩＳＭの保全性は、ＰＩＳＭ．ＣＥＲＴ ３６０を用いて検証することができる。ユーティリティは、（連結された）メッセージ｛Ｕ．ＣＥＲＴ｜｜ＣＬＩ｜｜ＰＩＳＭ．ＣＥＲＴ｜｜ＰＩＳＭ．Ｓｉｇｎａｔｕｒｅ｝（ただし、ＣＬＩはクライアント情報）に対し、ユーティリティ・プロバイダーの秘密鍵で署名することができ、該連結されたメッセージの保全性は、ユーティリティ・プロバイダーの証明書Ｕ．ＣＥＲＴを用いて検証することができる。問題のスマートメーター１６０を正常に登録するために必要な情報のすべてをユーティリティ・プロバイダー１１０が受信すると、ユーティリティ・プロバイダー１１０は、新たにセットアップされた、クライアント情報ＣＬＩ、ＰＩＳＭ．ＣＥＲＴ、ＡＧＧ．ＣＥＲＴ、Ｕ．ＣＥＲＴ、ＰＤＮ．ＣＥＲＴ及びコード（Ｕ．ｃｏｄｅ）を含むクライアント・データプロファイル（ＣＤＰ）を提供することにより、ステップ４５０においてスマートメーター１６０に応答する。スマートメーター１６０は、該スマートメーターでコードを入力するようにクライアント（あるいはスマートメーター１６０の設置者）に対して要求するよう構成される。必要なコードは、例えば郵送によって設置開始前にクライアントまたは設置者に伝えられたものとすることができる。クライアントにより入力されたコードは、当該設置が正真正銘の認可された者によって行われたことの確認のために、Ｕ．ｃｏｄｅと一致する必要がある。入力されたコードがＵ．ｃｏｄｅと一致する場合、スマートメーター１６０はステップ４６０においてユーティリティ・プロバイダー１１０にクライアント・データプロファイルを送信する。データの保全性を確保するために、再度、上記メッセージのすべてにそれぞれの送信者の秘密鍵で署名してもよいことを理解されたい。スマートメーター１６０が低頻度（及び非匿名の）データ報告機能を実行する場合、ユーティリティ・プロバイダー１１０がスマートメーター１６０を識別できるようにするために、クライアント・データプロファイルが報告データセットに付加される。

ＡＤＰ設定プロセス
クライアント・データプロファイルの設定プロセスが完了した後、クライアント・データプロファイルそれ自体は、検証のためにユーティリティ・プロバイダーの秘密鍵（Ｕ．ＰＲＩＶ）で署名され、ステップ４７０において第三者機関エスクロー・サービス・プロバイダーに送信される。その後、第三者機関エスクローサービスは、ステップ４８０及び４９０において、ユーティリティ・プロバイダー１１０を介してスマートメーター１６０に対しその匿名データプロファイルをセットアップするよう指示する。

匿名データプロファイル用の設定プロセスはステップ５００におけるランダム時間の遅延から始まる。その結果、ユーティリティ・プロバイダー１１０は、クライアント・データプロファイルと匿名データプロファイルとを容易に関連させることができない。このランダムな遅延が有効であるためには、次に続くユーティリティによるスマートメーター設定までの平均時間、ならびに、次に続くデータ収集装置によるスマートメーター設定までの平均時間と比較して、該遅延の平均時間間隔が大きくなくてはならない。遅延期間は、ランダムプロセスを使用してスマートメーター１６０によって決定される。例えば、スマートメーター１６０は、匿名データプロファイル設定プロセスが数日または数週間遅らせるべきであると決定してもよい。このランダム時間間隔は、頻繁であるが匿名であって、低頻度であるが帰属可能な上述の報告技術により提供される保安レベルを増すための難読化技術であると考えることができる。この遅延期間中であっても、スマートメーターが既に基礎的な計測機能を実行してもよいことを理解されたい。例えば、クライアント・データプロファイルが設定されたらすぐに最終消費設備がユーティリティ／電気を消費し始めることができるように、スマートメーターは非匿名で低頻度の消費量データ報告を開始してもよい。この間、高頻度報告機能は無効としてもよい。この場合、設定中のスマートメーター１６０に関する限り、グリッド運用者はグリッド制御のためのスマートメータリング・データを受信しない。

ランダム時間間隔５００が経過した後、ステップ５１０においてスマートメーター１６０はその匿名データプロファイルを作成する。匿名データプロファイルは、ＣＤＰ設定プロセス中に得られた匿名スマートメーター・プロファイル証明書（ＡＮＳＭ．ＣＥＲＴ）、ＡＧＧ．ＣＥＲＴ、Ｕ．ＣＥＲＴ及びＰＤＮ．ＣＥＲＴで構成される。その後、匿名データプロファイル及びクライアント・データプロトコルは、ステップ５２０でエスクローサービスに安全に送られる。この目的のために、匿名データプロファイル及びクライアント・データプロトコルは、匿名スマートメーター・プロファイル（ＡＮＳＭ．ＰＲＩＶ）の秘密鍵で署名され、エスクローサービスの公開鍵（ＥＳＣ．ＰＵＢ）で暗号化される。この署名はデータ保全性のために使用される。ＥＳＣだけが当該メッセージを（それぞれの秘密鍵により）解読することができるので、ＥＳＣ．ＰＵＢによる暗号化はメッセージを機密にすることができる。

ステップ５３０において自身のセキュリティーチェックを行なった後、受信した匿名データプロファイルとクライアント・データプロトコルの組合せを、エスクローサービスのＬＦＩＤ／ＨＦＩＤペアの期待値により認証するために、エスクローサービスは、検証のためにその秘密鍵（ＥＳＣ．ＰＲＩＶ）で署名されたエスクローサービスの証明書ＥＳＣ．ＣＥＲＴとともに匿名データプロファイルのコピーをステップ５４０においてアグリゲーターに送信する。エスクローサービスは、スマートメーター１６０の製造業者、あるいは、スマートメーターの製造業者から信頼された機関またはスマートメーター１６０が取り付けられた顧客から信頼された機関とすることができる。いずれの場合も、スマートメーター１６０のＬＦＩＤ／ＨＦＩＤペアはエスクローサービスに知られるところとなるであろう。従ってエスクローサービスは必要なチェックを行なうことができる。この時点において、データ収集装置１７０は、セキュリティが検証され、認証されたスマートメーター１６０が、ある時点からデータ収集装置１７０に高頻度測定データを送り始めるであろうことを知っており、該データをユーティリティ・プロバイダー１１０、配電網あるいは必要に応じて他の実体に転送する。

匿名データプロファイルがデータ収集装置１７０に通知されたことをエスクローサービスがステップ５５０でスマートメーターに１６０に通知した後、スマートメーター１６０は別のランダム時間インターバル５６０を導入する。このランダム時間遅延は、その匿名データプロファイルを作成する前にスマートメーター１６０によって使用される時間遅れ５００と類似している。その結果、データ収集装置１７０は匿名データプロファイルを特定のスマートメーター１６０と容易に関連付けることはできない。この第２のランダム間隔５６０が経過した後、ステップ５７０によって示されるように、スマートメーター１６０は高頻度測定データを送り始めることができる。スマートメーターからの高頻度測定メッセージ５７０の各々は、当該匿名データプロファイルを含んでいるだろう。

図４には示していないが、必要であれば、上述のすべてのメッセージがタイムスタンプ及び／又は保全性付加のための任意のノンス（過去に使用された数字）のメッセージを含んでいてもよい。

クライアント・データプロファイルを設定する上述の方法は、消費量データを匿名で送信することができない「通常の」スマートメーターを設定するプロセスときわめて類似していることを理解されたい。

上述のクライアント・データプロファイル及び匿名データプロファイルの設定に続いて、スマートメーター１６０はデータ収集装置１７０に消費量データを送信し始めることができる。本明細書では、２つの異なる送信形式を区別している。第１の送信形式は匿名データプロファイル及びＨＦＩＤを使用した高頻度消費量データの匿名送信に関する。該データ送信は、グリッド管理目的でユーティリティ・プロバイダー１１０／データ収集装置１７０により必要とされる程度で頻繁に（例えば毎分、５分ごと、１５分ごと）行われる。ユーティリティ・プロバイダー１１０及びデータ収集装置１７０はデータ送信を開始したスマートメーター１６０を識別することはできないが、いずれにせよ、該データ送信は、データ送信間で不変のデータプロファイルすなわち匿名データプロファイルに基づくことを理解されたい。これによりユーティリティ・プロバイダーは、以前に受信した高頻度匿名データ送信に、新たに受信した高頻度匿名データ送信を関連付けることができる。

第２のデータ送信形式は、ＬＦＩＤを使用し、各データ送信においてクライアント・データプロファイルを関連させる低頻度データ送信である。したがって該データ送信は、課金目的で必要となるように、データ送信を開始したスマートメーター１６０に関連付けされる。

グリッド管理目的でスマートメーターから受信するためにユーティリティ・プロバイダーが要求するデータ送信の頻度は、グリッド管理技術の洗練化とともに変化するであろうことが予期される。課金目的のデータ送信の頻度は、異なるユーティリティ・プロバイダー間で異なっていてもよい。したがって、ユーティリティ・プロバイダー１１０が低頻度データ送信を行っているスマートメーターと高頻度データ送信とを関連させるのを防ぐ頻度で低頻度データ送信が行なわれる限り、高頻度データ送信及び低頻度データ送信の頻度値は本発明の本質的要素ではないことを理解されたい。また、低頻度データ送信がユーティリティ・プロバイダー１１０による要求に応じてなされ得ることが想定される。そのような要求・レスポンスの方法６００を図５に示す。同図には、ユーティリティ・プロバイダー１１０が（低頻度）電力消費データの送信要求をスマートメーター１６０に送信することが示される。勿論、スマートメーター１６０は、スマートメーターの１６０のクライアント・データプロファイルを通じてユーティリティ・プロバイダー１１０に知られている。スマートメーターはそのクライアント・データプロファイルを使用して消費量データを送信することにより、この要求に応答する。図５に示されるように、ユーティリティ・プロバイダー１１０からの低頻度データ要求は、実際のところ、既定の時点で受信されなければならない、ということはない。しかしながら、スマートメーター１６０は、匿名データプロファイル及び関連する高頻度ＩＤすなわちＨＦＩＤの匿名性を保護するために、低頻度データの連続送信の際の最小期間を強制するように構成され得る。

匿名データプロファイルが設定され、（上述し、かつ図６のステップ７１０と７２０の間の時間インターバルによって示したとおり）適切なランダム時間インターバルが経つと、スマートメーター１６０は、高頻度データ送信の初期メータ指示量として乱数を選び、次に、図６のステップ７３０に示すように、データ収集装置１７０に頻繁に消費量データを送り始める。初期の報告値として乱数値を選択することにより、スマートメーター１６０から送信される低頻度のメーター指示量と高頻度のメーター指示量との間の相関をなくすことができる。

上記の議論では、グリッド管理の目的で高頻度匿名測定データを規定することに焦点を当てている。スマートメーター１６０は、クライアント・データプロファイルを用いた要求に応じて高頻度測定データを提供するように構成してもよい。この場合、高頻度測定データを、その出所であるスマートメーター１６０に結び付けることができる。スマートメーター・ユーザー／顧客に報酬を与えることができるかもしれない市場調査あるいは分析、及びメタデータ・プロダクトにユーザーが参加することを可能にするために、スマートメーター１６０は、そのようなデータ送信のオプションを提供してもよい。スマートメーター１６０は、ユーティリティ・プロバイダー１１０がスマートメーター１６０に結び付けられるような態様で高頻度データが送信されるようにする要求を受信すると、同意された量の高頻度データが、受信した要求に従って送信されることになっていることの確認をスマートメーター１６０のユーザー／所有者に要求することができる。そのような高頻度データは、上述したようなクライアント・データプロファイルあるいはユーザーの電子メールアカウントのような帰属可能な送信プロファイルを用いて要求を行っている第三者機関に送信され得る。非匿名で高頻度消費量データを送信することは、匿名データプロファイルＡＤＦの匿名性を損なうかも知れないことに留意されたい。従って、帰属可能な高頻度データの送信に続いて匿名化消費量データをスマートメーター１６０が送送信開始できるようにするには、問題のスマートメーター１６０に新たなＡＤＰをセットアップすることが必要である。

またスマートメーター１６０は、裁判所のような高権威機関からの認可された要請に応じて、高頻度ＩＤ（ＨＦＩＤ）を含む匿名データプロファイルを公開するように構成してもよい。

本発明は上述した実施形態に限定されず、添付の請求項の精神及び範囲内に在り当業者にとって自明な変形を包含していることを理解されたい。

Claims (12)

1. データ収集装置と、ユーティリティ配電所に接続され、該ユーティリティ配電所によりユーティリティが供給される複数の最終消費設備とを具備し、
   最終消費設備はそれぞれ、前記配電所によって供給されたユーティリティの最終消費設備による消費量を測定するように構成された計測装置を具備し、
   前記計測装置は、
   高頻度ＩＤを用いて前記データ収集装置に消費量データを報告し、
   低頻度ＩＤを用いて前記データ収集装置に前記消費量データを報告するように構成され、
   前記高頻度ＩＤは、該高頻度ＩＤとともに前記計測装置によって報告された消費量データが特定の計測装置に対応付けられないように匿名であり、
   前記低頻度ＩＤとともに前記計測装置によって報告された消費量データは特定の計測装置に結び付けることが可能であり、
   前記データ収集装置は、前記高頻度ＩＤ及び前記低頻度ＩＤを格納し、前記格納されたＩＤを伴う消費量データのみを受理するように構成される、システム。
2. 前記データ収集装置は、第三者機関の要求に応じて前記高頻度ＩＤ及び前記低頻度ＩＤを記憶するように構成され、前記第三者機関から受信したメッセージを識別するための情報を記憶している、請求項１記載のシステム。
3. 前記データ収集装置は、受信した高頻度ＩＤに対応するＩＤを記憶しているかをチェックし、前記受信した高頻度ＩＤに対応するＩＤを記憶している場合には、前記配電所に前記消費量データを提供する、請求項１記載のシステム。
4. 信頼された第三者機関をさらに具備し、
   前記計測装置は、匿名の計測設備の構成のために、前記計測装置の高頻度ＩＤを含んだ要求を送信し、
   前記第三者機関は、前記要求を受信すると、前記要求について前記高頻度ＩＤを持つ計測装置は匿名計測データを送信する資格があるかをチェックし、前記要求について前記高頻度ＩＤを持つ計測装置は匿名計測データを送信する資格を有する場合には、前記高頻度ＩＤを匿名計測において使用するためのパーミッションを含むメッセージを送信し、
   前記データ収集装置は、前記メッセージを受信すると、前記計測装置が匿名の計測設備を使用するためのパーミッションを前記第三者機関が提供する資格を有するかをチェックし、前記第三者機関が前記パーミッションを提供する資格を有する場合には、前記高頻度ＩＤを格納する、請求項１記載のシステム。
5. 配電所によって供給されたユーティリティの最終消費設備による消費量を測定するように構成された計測装置であって、
   該計測装置は、高頻度ＩＤを用いてデータ収集装置に消費量データを報告し、低頻度ＩＤを用いて前記データ収集装置に前記消費量データを報告するように構成され、前記高頻度ＩＤは、該高頻度ＩＤとともに前記計測装置によって報告された消費量データを特定の計測装置に対応付けられないように匿名であり、前記低頻度ＩＤとともに前記計測装置によって報告された消費量データは特定の計測装置に対応付けることが可能である、計測装置。
6. 前記計測装置の前記低頻度ＩＤを用いるデータ送信に参加し、前記計測装置が高頻度ＩＤを用いる匿名計測に参加するためのパーミッションの要求をランダム長の待機期間の満了の後に送信するように構成された通信装置をさらに具備し、前記要求は前記高頻度ＩＤを含む、請求項５記載の装置。
7. 前記通信装置は、高頻度ＩＤを用いた消費量データ送信の開始のためのメッセージを受信し、ランダム長の待機期間の満了の後に、消費量の送信を開始するようにさらに構成される、請求項６記載の装置。
8. 前記通信装置は、前記高頻度ＩＤを用いた消費量データ送信の開始のためのメッセージを受信したのち、前記高頻度ＩＤを用いた消費量データの送信を開始し、ランダム長の後の待機期間の満了の後に、前記高頻度ＩＤを用いた消費量データの送信を開始するようにさらに構成される、請求項６記載の装置。
9. 前記消費量データは、通信チャネルを介して、前記低頻度ＩＤを用いた測定データよりも高い頻度で定期的に高頻度ＩＤを用いて送信された測定データである、請求項５に記載の装置。
10. 前記高頻度ＩＤ及び前記低頻度ＩＤは、２つの固有ＩＤである、請求項５記載の装置。
11. 物理的計測装置に結び付けられる１つ以上のＩＤと、どの物理的計測装置にも結び付けられない複数のＩＤとを記憶するデータ収集装置であって、
    前記データ収集装置は、データ及び送信者ＩＤを含むメッセージを受信するための入力をさらに具備し、
    受信した送信者ＩＤと、前記記憶しているＩＤとを比較し、
    前記受信した送信者ＩＤが、物理的計測装置に結び付けられる低頻度ＩＤに相当する場合には、第１の通信チャネルに前記受信データを供給し、
    前記受信した送信者ＩＤが、物理的計測装置に結び付けられない高頻度ＩＤに相当する場合には、第２の通信チャネルに前記受信データを供給するように構成される、データ収集装置。
12. 信頼された第三者機関を識別する情報をさらに具備し、
    前記データ収集装置は、前記高頻度ＩＤを記憶する旨について受信した要求が前記信頼された第三者機関からのものであるかどうかをチェックし、前記要求が前記信頼された第三者機関から受信したものであると判定された場合には、前記高頻度ＩＤを記憶するように構成される、請求項１１記載のデータ収集装置。

Images