Procedimiento para generar datos de peaje anonimizados respecto a la ubicación (T) a partir de lasgrabaciones de ubicación (pi) de un aparato de vehículo (1),

que realiza las grabaciones de ubicación, con unaidentificación única (OID) en un sistema de peaje viario, con los siguientes pasos:

enviar (4) las grabaciones de ubicación (pi) con al menos una identificación de emisor (RID), distinta ala identificación (OID), del aparato de vehículo (1) a un servidor de cálculo de peaje (5),

calcular (6) datos de peaje anonimizados respecto a la ubicación (T) a partir de las grabaciones deubicación (pi) y borrar a continuación las grabaciones de ubicación (pi) en el servidor de cálculo depeaje (5), finalizando el borrado en cualquier caso de forma periódica en un período de tiempopredefinido respectivamente,

en el aparato de vehículo (1): después de expirar el período de tiempo predefinido (11) que se hamencionado, liberar (12) la identificación (OID), perteneciente a la identificación de emisor (RID),desde el aparato de vehículo (1) para asignar los datos de peaje anonimizados respecto a la ubicación(T) de esta identificación de emisor (RID) a la identificación correspondiente (OID).

Procedimiento y dispositivo para generar datos de peaje anonimizados respecto a la ubicación

La presente invención se refiere a un procedimiento para generar datos de peaje anonimizados respecto a la ubicación a partir de las grabaciones de ubicación de un aparato de vehículo, que realiza las grabaciones de ubicación, con una identificación única en un sistema de peaje viario. La invención se refiere además a un servidor de cálculo de peaje y a un aparato de vehículo para la ejecución de este procedimiento.

Los aparatos de vehículo para sistemas de peaje viario se identifican también como "onboard units" u OBUs (unidades de a bordo) . En la actualidad existen dos realizaciones distintas de OBUs que pueden determinar y grabar automáticamente su posición, por ejemplo, mediante receptores de navegación por satélite: Los llamados OBUs "thick client" (cliente pesado) calculan datos de peaje anonimizados respecto a la ubicación sobre la base de mapas de peaje almacenados a partir de sus grabaciones de ubicación y los envían a una central del sistema de peaje viario, por ejemplo, a través de una red de telefonía móvil, lo que requiere una distribución costosa de los mapas de peaje a los OBUs y una alta capacidad de cálculo en los OBUs. A diferencia de esto, los llamados OBUs "thin client" (cliente liviano) no evalúan automáticamente sus grabaciones de ubicación, sino que las envían en estado "bruto" a la central que lleva a cabo el cotejo de mapas de peaje ("map matching") para generar datos de peaje a partir de esto. Por tanto, los OBUs "thin client" tienen una construcción esencialmente más simple y económica, pero son cuestionables desde el punto de vista de la protección de datos, porque la central del sistema de peaje viario conoce todas las grabaciones de ubicación ("perfil de movimiento") de un OBU, incluyendo su permanencia en lugares no sujetos a peaje.

Por consiguiente, el documento WO 2008/000227 ya propuso enviar las grabaciones de ubicación de un OBU "thin client" con una identificación de emisor anonimizada a un servidor de cálculo de peaje especial que ejecuta el "map matching" y reenvía al OBU los datos de peaje anonimizados respecto a la ubicación que el OBU transmite a continuación a la central. En este sistema resulta difícil controlar el cumplimiento de las obligaciones relativas a la protección de datos debido a la estructura arbitraria del servidor de cálculo de peaje. Además, esta solución genera un tráfico de datos adicional en el sistema de peaje viario.

Del documento WO 2009/001303 A1 es conocido que la central espere una confirmación de borrado del servidor de cálculo de peaje antes de asignar los datos de peaje anonimizados respecto a la ubicación, que se han recibido del servidor de cálculo de peaje, a una identidad de usuario recibida del OBU, lo que priva al OBU del derecho de disposición sobre la divulgación del OBU-ID (identificación de OBU) e implica el peligro de que la seguridad de los datos se vea comprometida.

La invención tiene el objetivo de eliminar las desventajas del estado de la técnica y crear especialmente un procedimiento para generar datos de peaje para OBUs "thin client", que garantice una protección de datos mejorada

o una mayor confidencialidad para el usuario. Este objetivo se consigue mediante un procedimiento con las características de la reivindicación 1.

La invención se basa en un concepto, completamente nuevo y sorprendentemente simple, para la implementación de la protección de datos a nivel próximo a hardware ("privacy by design", privacidad en el diseño) : El OBU espera un período de tiempo con el fin de darle al servidor de cálculo de peaje suficiente tiempo para elaborar los datos de peaje y borrar las grabaciones de ubicación de base. A continuación el OBU puede revelar sin peligro su identidad o identificación, porque en el sistema ya no hay grabaciones de ubicación que permitan sacar conclusiones sobre el perfil de movimiento del OBU.

Un servidor de cálculo de peaje, especialmente adecuado para la invención, se caracteriza porque presenta un buffer para el almacenamiento de las grabaciones de ubicación y medios para el borrado periódico, con preferencia diario, al menos de las entradas más antiguas del buffer con el objetivo de garantizar el borrado de las grabaciones de ubicación.

Un aparato de vehículo, especialmente adecuado para la invención, se caracteriza por medios de liberación que después de expirar un período de tiempo predefinido envían la identificación de emisor mencionada con la identificación del aparato de vehículo y revelan de esta forma su identidad.

La invención garantiza así de un modo simple y transparente para el usuario y el operador del sistema una confidencialidad, condicionada por hardware, de los datos sensibles de grabación de ubicación. Las grabaciones de ubicación se guardan en la central sólo el tiempo necesario para su procesamiento y a continuación se borran automáticamente. Esto permite disipar cualquier duda relacionada con un seguimiento o una elaboración central de un perfil de movimiento de los aparatos de vehículo. Además, la invención no provoca un tráfico de datos elevado en el sistema de peaje viario.

La asignación de los datos de peaje anonimizados respecto a la ubicación a la identificación liberada por el aparato de vehículo se puede llevar a cabo tanto en el servidor de cálculo de peaje como en la central. Por consiguiente, otras variantes del procedimiento según la invención consisten en que la liberación mencionada se lleva a cabo al servidor de cálculo de peaje que asigna los datos de peaje anonimizados respecto a la ubicación a la identificación y los envía a una central del sistema de peaje; o en que la liberación mencionada se lleva a cabo a una central del sistema de peaje que recibe los datos de peaje anonimizados respecto a la ubicación del servidor de cálculo de peaje y los asigna a la identificación.

Si se desea, las grabaciones de ubicación en el servidor de cálculo de peaje se pueden codificar en cada realización antes del borrado con la clave pública de un sistema de archivo externo y enviar a éste. Un sistema de archivo de este tipo deberá gozar como un tipo de fiduciario o notario de una gran confianza por parte de todos los participantes, es decir, tanto de los usuarios como del operador del sistema, y en caso de litigio podrá ser consultado por cualquiera de las partes.

El envío y la liberación desde el aparato de vehículo se lleva a cabo preferentemente mediante una red de telefonía, con especial preferencia una red de telefonía móvil. De este modo se pueden usar, por ejemplo, OBUs "thin client" convencionales que están equipados con un transceptor DSRC (comunicación dedicada de corto alcance) o de telefonía móvil.

Según otra realización preferida de la invención, las grabaciones de ubicación de un aparato de vehículo se envían en paquetes de datos provistos en cada caso de las mismas identificaciones de emisor, lo que simplifica la evaluación, ya que el aparato de vehículo, después de esperar el período de tiempo o recibir la confirmación de borrado, tiene que revelar su identificación sólo respecto a una única identificación de emisor.

Las grabaciones de ubicación de un aparato de vehículo se pueden enviar alternativamente en paquetes de datos provistos de identificaciones de emisor variables. Esto permite aumentar la confidencialidad en la interfaz de transmisión.

Con preferencia, los paquetes de datos provistos de identificaciones de emisor variables están provistos adicionalmente de identificaciones de paquete encadenadas que permiten su asignación entre sí. De este modo, el aparato de vehículo necesita liberar su identificación sólo respecto a la identificación de emisor del último paquete de datos.

La identificación, con la que se identifica un aparato de vehículo, puede ser tanto una identificación del propio aparato de vehículo como una identificación asignada al usuario del aparato de vehículo, por ejemplo, una identificación de una cuenta de usuario para cobrar las tasas de peaje en el sistema de peaje viario.

La identificación de emisor usada para enviar las grabaciones de ubicación al servidor de cálculo de peaje puede ser tanto un valor aleatorio como un código seleccionable libremente por el usuario, lo que aumenta aún más la transparencia para el usuario.

El procedimiento de la invención es adecuado... [Seguir leyendo]

1. Procedimiento para generar datos de peaje anonimizados respecto a la ubicación (T) a partir de las grabaciones de ubicación (pi) de un aparato de vehículo (1) , que realiza las grabaciones de ubicación, con una identificación única (OID) en un sistema de peaje viario, con los siguientes pasos:

enviar (4) las grabaciones de ubicación (pi) con al menos una identificación de emisor (RID) , distinta a la identificación (OID) , del aparato de vehículo (1) a un servidor de cálculo de peaje (5) , calcular (6) datos de peaje anonimizados respecto a la ubicación (T) a partir de las grabaciones de ubicación (pi) y borrar a continuación las grabaciones de ubicación (pi) en el servidor de cálculo de peaje (5) , finalizando el borrado en cualquier caso de forma periódica en un período de tiempo predefinido respectivamente, en el aparato de vehículo (1) : después de expirar el período de tiempo predefinido (11) que se ha mencionado, liberar (12) la identificación (OID) , perteneciente a la identificación de emisor (RID) , desde el aparato de vehículo (1) para asignar los datos de peaje anonimizados respecto a la ubicación

(T) de esta identificación de emisor (RID) a la identificación correspondiente (OID) .

2. Procedimiento según la reivindicación 1, caracterizado porque la liberación mencionada (12) se lleva a cabo para el servidor de cálculo de peaje (5) que asigna (13) los datos de peaje anonimizados respecto a la ubicación (T) a la identificación (OID) y los envía a una central (2) del sistema de peaje.

3. Procedimiento según la reivindicación 1, caracterizado porque la liberación mencionada (12) se lleva a cabo para una central (2) del sistema de peaje que recibe los datos de peaje anonimizados respecto a la ubicación

(T) del servidor de cálculo de peaje (5) y los asigna a la identificación (OID) .

4. Procedimiento según una de las reivindicaciones 1 a 3, caracterizado porque las grabaciones de ubicación (pi) en el servidor de cálculo de peaje (5) se codifican antes del borrado con la clave pública de un sistema de archivo externo (9) y se envían a éste.

5. Procedimiento según una de las reivindicaciones 1 a 4, caracterizado porque el envío (4) y la liberación (12) se lleva a cabo desde el aparato de vehículo (1) mediante una red de telefonía, preferentemente una red de telefonía móvil.

6. Procedimiento según una de las reivindicaciones 1 a 5, caracterizado porque las grabaciones de ubicación (pi) de un aparato de vehículo (1) se envían en paquetes de datos (3) provistos en cada caso de las mismas identificaciones de emisor (RID) .

7. Procedimiento según una de las reivindicaciones 1 a 5, caracterizado porque las grabaciones de ubicación (pi) de un aparato de vehículo se envían en paquetes de datos (3) provistos de identificaciones de emisor variables (RIDi) .

8. Procedimiento según la reivindicación 7, caracterizado porque los paquetes de datos (3) están provistos de identificaciones de paquete encadenadas (Pi) que permiten su asignación entre sí, liberándose (12) la identificación (OID) sólo respecto a la identificación de emisor (RIDi) del último paquete de datos (3) .

9. Procedimiento según una de las reivindicaciones 1 a 8, caracterizado porque la identificación mencionada (OID) es una identificación de aparato de vehículo o de cuenta de usuario.

10. Procedimiento según una de las reivindicaciones 1 a 9, caracterizado porque la identificación de emisor (RID) es un valor aleatorio o un código seleccionable por el usuario.

11. Servidor de cálculo de peaje (5) para la ejecución del procedimiento según una de las reivindicaciones 1 a 10, configurado para la recepción de grabaciones de ubicación (pi) y el cálculo de datos de peaje anonimizados respecto a la ubicación (T) a partir de las dichas grabaciones, caracterizado por un buffer (7) para el almacenamiento de las grabaciones de ubicación (pi) y medios para el borrado periódico, con preferencia diario, al menos de las entradas más antiguas del buffer (7) respectivamente en el mismo período de tiempo predefinido.

12. Aparato de vehículo (1) , que realiza grabaciones de ubicación, con una identificación (OID) , para la ejecución del procedimiento según una de las reivindicaciones 1 a 10, configurado para el envío (4) de sus grabaciones de ubicación (pi) con al menos una identificación de emisor (RID) distinta a la identificación (OID) , caracterizado por medios de liberación que después de expirar un período de tiempo predefinido (11) envían la identificación de emisor (RID) mencionada con su identificación (OID) .

REFERENCIAS CITADAS EN LA DESCRIPCIÓN

Esta lista de referencias citadas por el solicitante es únicamente para la comodidad del lector. No forma parte del documento de la patente europea. A pesar del cuidado tenido en la recopilación de las referencias, no se pueden 5 excluir errores u omisiones y la EPO niega toda responsabilidad en este sentido.

Documentos de patente citados en la descripción 10 • WO 2008000227 A [0003] • WO 2009001303 A1 [0004]