CN107407569B

CN107407569B - 位置隐私

Info

Publication number: CN107407569B
Application number: CN201580077750.1A
Authority: CN
Inventors: D·比斯瓦斯; M·J·劳伦森; J·诺兰
Original assignee: Nokia Technologies Oy
Current assignee: Nokia Technologies Oy
Priority date: 2015-03-16
Filing date: 2015-03-16
Publication date: 2020-11-10
Anticipated expiration: 2035-03-16
Also published as: EP3271688B1; CN107407569A; US20180052001A1; US10401183B2; JP6483849B2; EP3271688A4; JP2018510341A; EP3271688A1; WO2016146879A1

Abstract

根据本发明的一个示例方面，提供一种装置，包括：至少一个接收器，其被配置为接收指定路线的起点(110)和终点(120)的路线指示；以及至少一个处理核心，其被配置为至少部分地基于路线指示和隐私偏好指示来确定多个候选路线(112、114)；以及针对多个候选路线中的每一者确定隐私开销路线(112P、114P)。

Description

位置隐私

技术领域

本发明涉及例如在共享自驾汽车的上下文中保护用户位置的机密性。

背景技术

无人驾驶汽车正在被测试和开发，这开启了它们将来广泛使用的可能性。无人驾驶汽车(也被称为自主驾驶汽车、自驾车或自动汽车)是能够履行传统汽车的主要运输能力的车辆。无人驾驶汽车能够在无需人工输入的情况下至少部分地感测其周围环境并根据交通规则和周围环境进行导航。

无人驾驶汽车可以被配置为像没有驾驶员的出租车一样行驶，因为乘客可以向汽车提供目的地地址，作为响应，该汽车可以规划到达目的地地址的路线并搭载乘客自行驾驶到目的地。例如，乘客可以用***支付行程，或者乘客可以是无人驾驶汽车共享协议的会员，在这种情况下，乘客可以按月付费。

客户数据可被分类为隐私，无人驾驶汽车的移动可能会泄露车内乘客的移动。具体而言，如果个体乘客能够被与特定行程关联，则行程的终点会泄露与乘客有关的私密信息。

在传统出租车中，人类驾驶员处理行程的端点，具体而言，驾驶员在无需在任何数字***中记录目的地地址的情况下驾驶到目的地地址。相比之下，由于无人驾驶汽车可能依赖于数字***来实现到目的地地址的导航，因此存在数字***按照设计或意外地记录目的地地址的风险。如果目的地地址被记录，则它们可能会例如经由用于支付行程的***详细信息被与乘客关联。

同样地，如果乘客命令无人驾驶汽车从行程起点来接自己，则该起点可能被记录在数字***中。由于无人驾驶汽车可能规划从起点开始到目的地的路线，因此也可能泄露行程起点处的乘客行踪。

发明内容

本发明由独立权利要求的特征限定。某些具体实施例在从属权利要求中限定。

根据本发明的第一方面，提供了一种装置，包括：至少一个接收器，其被配置为接收指定路线的起点和终点的路线指示，以及至少一个处理核心，其被配置为至少部分地基于所述路线指示和隐私偏好指示来确定多个候选路线，以及针对所述多个候选路线中的每一者确定隐私开销路线(privacy overhead route)。

所述第一方面的各个实施例可以包括以下带圆点列表中的至少一个特征：

●所述至少一个处理核心进一步被配置为针对每个隐私开销路线确定关联的时间开销和关联的燃料消耗开销中的至少一者。

●所述至少一个处理核心被配置为通过采用图遍历算法识别在所述路线指示中指定的所述起点开始并满足所述隐私偏好指示的路线来确定所述多个候选路线。

●所述隐私偏好指示与最小可能路径数相关联。

●所述多个候选路线包括至少一个第一路线，所述第一路线包括在所述路线指示中指定的所述终点以使得所述第一路线不在所述终点处结束。

●针对所述至少一个第一路线中的每一者，从所述终点延伸到所述第一路线的末端的路线包括所述隐私开销路线。

●所述多个候选路线包括不包含所述终点的至少一个第二路线。

●针对所述至少一个第二路线中的每一者，从所述第二路线的末端延伸到所述终点的路线包括所述隐私开销路线。

●所述至少一个处理核心被配置为至少部分地根据最大时间参数来确定所述多个候选路线。

根据本发明的第二方面，提供了一种方法，包括：接收指定路线的起点和终点的路线指示；至少部分地基于所述路线指示和隐私偏好指示来确定多个候选路线；以及针对所述多个候选路线中的每一者确定隐私开销路线。

所述第二方面的各个实施例可以包括与关于所述第一方面列出的上述带圆点列表中的特征相对应的至少一个特征。

根据本发明的第三方面，提供了一种装置，包括：存储器接口，其被配置为访问存储在存储器中的加密密钥，以及至少一个处理核心，其被配置为：确定包括节点标识符序列的优选路线；使用所述装置的包含在所述加密密钥中的私钥对每个所述节点标识符进行加密，以获取加密节点标识符序列；接收第二加密节点标识符序列；以及执行所述节点标识符序列与所述第二加密节点标识符序列之间的安全比较。

所述第三方面的各个实施例可以包括以下带圆点列表中的至少一个特征：

●所述至少一个处理核心进一步被配置为导致在所述节点标识符序列和所述第二加密节点标识符序列之间传输共享节点标识符。

●所述至少一个处理核心进一步被配置为接收与所述第二加密节点标识符序列关联的公钥，以及至少部分地基于所接收的公钥来执行所述安全比较。

●所述至少一个处理核心进一步被配置为至少部分地基于所述安全比较来确定以下至少一项：在所述优选路线与由所述第二加密节点标识符序列限定的路线之间共享的第一路线段的长度、未在所述优选路线与由所述第二加密节点标识符序列限定的路线之间共享的第二路线段的长度、以及用户进入和离开沿着基于所述优选路线和由所述第二加密节点标识符序列限定的路线的复合路线移动的车辆的序列。

●所述至少一个处理核心进一步被配置为导致传输所述加密节点标识符序列。

根据本发明的第四方面，提供了一种方法，包括：确定包括节点标识符序列的优选路线；使用装置的私钥对每个所述节点标识符进行加密以获取加密节点标识符序列；将所述加密节点标识符序列提供给网络节点；接收第二加密节点标识符序列；以及执行所述节点标识符序列与所述第二加密节点标识符序列之间的安全比较。

所述第四方面的各个实施例可以包括与关于所述第三方面列出的上述带圆点列表中的特征相对应的至少一个特征。

根据本发明的第五方面，提供了一种装置，包括：用于接收指定路线的起点和终点的路线指示的部件；用于至少部分地基于所述路线指示和隐私偏好指示来确定多个候选路线的部件；以及用于针对所述多个候选路线中的每一者确定隐私开销路线的部件。

根据本发明的第六方面，提供了一种装置，包括：用于确定包括节点标识符序列的优选路线的部件；用于使用所述装置的私钥对每个所述节点标识符进行加密以获取加密节点标识符序列的部件；用于将所述加密节点标识符序列提供给网络节点的部件；用于接收第二加密节点标识符序列的部件；以及用于执行所述节点标识符序列与所述第二加密节点标识符序列之间的安全比较的部件。

根据本发明的第七方面，提供了一种存储有一组计算机可读指令的非临时性计算机可读介质，当由至少一个处理器执行时，所述计算机可读指令导致装置至少：接收指定路线的起点和终点的路线指示；至少部分地基于所述路线指示和隐私偏好指示来确定多个候选路线；以及针对所述多个候选路线中的每一者确定隐私开销路线。

根据本发明的第八方面，提供了一种存储有一组计算机可读指令的非临时性计算机可读介质，当由至少一个处理器执行时，所述计算机可读指令导致装置至少：确定包括节点标识符序列的优选路线；使用所述装置的私钥对每个所述节点标识符进行加密以获取加密节点标识符序列；将所述加密节点标识符序列提供给网络节点；接收第二加密节点标识符序列；以及执行所述节点标识符序列与所述第二加密节点标识符序列之间的安全比较。

根据本发明的第九方面，提供了一种计算机程序，其被配置为导致执行根据所述第二或第四方面所述的方法。

工业实用性

至少一些实施例发现在保护用户隐私(例如位置隐私)中的工业应用。

附图说明

图1是示出根据本发明的至少一些实施例的路线的示例图；

图2A示出了展示路线不确定性的路线；

图2B示出了根据本发明的至少一些实施例的路线；

图3示出了能够支持本发明的至少一些实施例的示例装置；

图4示出了根据本发明的至少一些实施例的信令；

图5是根据本发明的至少一些实施例的第一方法的第一流程图；以及

图6是根据本发明的至少一些实施例的第二方法的第二流程图。

具体实施方式

通过将隐私开销路线与由无人驾驶汽车采取的路线进行关联，可以改善乘客的位置隐私性。隐私开销路线的影响可以被量化，以便在隐私和时间之间，和/或隐私和燃料消耗或价格之间达成平衡。在至少两名乘客之间同时共享无人驾驶汽车的情况下，可以在设计汽车采取的路线时考虑乘客的隐私偏好。例如，具有最高隐私偏好的乘客可以在最后下车，这样，其他乘客便无法看到其目的地。

图1是示出根据本发明的至少一些实施例的路线的示例图。基础地图用实线绘制。相交的实线表示道路交叉口。该地图包括一个环岛，从中分出五条道路。例如，地图可能对应于城市的一部分。虽然为了便于解释本发明的特征，所示的地图极为简单，但是应当理解，本发明的实施例可以同样地应用于具有更多数量的道路、交叉路口、环岛和/或其它特征的更复杂的地图。例如，在某些地图中，一部分道路可能是单向的，使得汽车沿着它们朝一个方向行驶且不能反向行驶。

图1的地图标记有起点110和终点120。例如，起点110和终点120可以由用户提供给无人驾驶汽车管理程序。此类管理程序可以被布置为在无人驾驶汽车的计算机中或在乘客的计算机(例如乘客的智能电话或平板计算机)中运行。在无人驾驶汽车由车队运营商或另一方拥有的情况下，起点和终点可以作为路线指示的一部分被提供给管理程序，路线指示可选地还包括其他路线信息。路线指示可以包括的另外的路线信息的示例包括隐私偏好指示符、期望的最大时间参数、以及隐私影响阈值。隐私偏好指示符可以提供用户希望在何种程度上保护其位置隐私的指示。期望的最大时间参数可以提供可用于行程的最大时间，即，无人驾驶汽车选择的任何路线的持续时间都应被估计为短于由期望的最大时间参数指示的时间。隐私影响阈值可以指示通过实现由隐私偏好指示符指示的隐私偏好所产生的最大可接受开销(就时间、燃料消耗以及成本中的至少一者而言)。

隐私偏好指示符可以包括路线不确定性指示，或者可以通过应用映射，从隐私偏好指示符获取路线不确定性指示。一般而言，路线不确定性指示可以指示除了作为路线的一部分经过的道路之外，从路线中包括的交叉路口和/或环岛延伸出的多条道路。因此，例如，当简单路线经由与四条分支道路的恰好一个交叉点从起点继续到终点时，与该路线关联的路线不确定性为4。将结合图2A和图2B更详细地解释路线不确定性。

作为对起点110和终点120的响应，无人驾驶汽车管理程序可以确定候选路线，例如路线112和路线114。路线112包括隐私开销路线112P。路线114包括隐私开销路线114P。路线112和114都满足隐私偏好指示符，这意味着路线112和路线114都具有比与隐私偏好指示符关联的路线不确定性指示符更高的路线不确定性。在所示示例中，路线112和路线114都经过终点120。其它候选路线不一定经过终点120，例如，候选路线可以在距离终点120几个街区处结束。在这种情况下，乘客可能走路或以其它方式走完剩余距离，在这种情况下，剩余的距离被认为是隐私开销路线。

隐私开销路线用于隐藏终点120。例如，无人驾驶汽车可以在终点120处放下乘客、行驶路线的剩余部分(即隐私开销路线)、然后开始再次发送其位置。这样，无人驾驶汽车在调度***、预约应用或其它管理***中出现在与终点120相距一定距离处。如果隐私开销路线在具有大量交叉点的区域中结束，则可以以较短的隐私开销路线隐藏终点120的位置。

图2A示出了展示路线不确定性的路线。起点210和终点240经由交叉点220和230连接。交叉点220具有三个分支道路，交叉点230具有两个分支道路。因此，路线{210、220、230、240}总共具有为3+(2-1)＝4的路线不确定性。减去1，因为沿着从节点220分支的道路之一遇到另一节点230。可以认为，在这种情况下存在从240到240的四条替代路线。替代路线在图2A中用箭头示出。应当理解，路线不确定性也可以通过其它方式限定，并且本发明不限于此处所描述的路线不确定性的限定。相反，当以满足路线不确定性条件的方式确定候选路线时，可以等同地使用其它限定路线不确定性的方式。

图2B示出根据本发明的至少一些实施例的路线。在图2B中，起点为250，终点为260。在图2B的***中，无人驾驶汽车管理程序确定满足隐私偏好指示的三条候选路线：路线{250、280、260、270}、路线{250、260、270}以及路线{250、290、260、270}。在这些路线中的每一者中，分段{260、270}是隐私开销路线。

在确定候选路线时，基础地图可以被认为是可以通过图遍历算法(例如深度优先搜索算法)遍历的无向图。在图中，边可以对应于道路，节点可以对应于道路的开始和结束。节点还可以对应于地图的交叉点和环岛。候选路线集合可以对应于图遍历的输出，该输出进一步通过与隐私偏好指示关联的路线不确定性准则被过滤。

一旦识别了候选路线，就可以估计隐私开销。对于每个候选路线，可确定关联的隐私开销。隐私开销可反映仅将乘客从起点送到终点之外的额外工作。可能识别两种情况，首先是候选路线经过终点的情况，其次是候选路线不经过终点的情况。在第一种情况下，隐私开销与隐私开销路线关联，即乘客在终点下车之后无人驾驶汽车空驶的路线部分。在第二种情况下，隐私开销是由从路线的末端到终点的行驶引起的。开销也可能由隐私开销路线之外的候选路线部分引起，因为在隐私开销路线之前的该候选路线部分不一定是最快或最短的路线。

时间开销(即关于经过时间的开销)表示超出在无人驾驶汽车从起点行驶到终点时必然经过的时间长度之外的时间长度。例如，首先可以例如基于一般交通状况和/或沿着包含在最快路线中的道路的期望行驶时间来估计起点和终点之间的最快路线。因此，例如可以考虑速度限制。一旦确立了覆盖最快路线所需的时间，该时间便可以被从与每个候选路线关联的行驶时间中减去以获得时间开销。与候选路线关联的行驶时间可以包括无人驾驶汽车从开始到结束驶完该候选路线所花费的时间长度，其中包括路线的隐私开销部分。对于不经过终点的候选路线，与这些候选路线关联的行驶时间包括乘客从候选路线的开始行驶到候选路线的结束所花费的时间。

可以通过将候选路线所关联的燃料消耗与最短路径路线的燃料消耗相比较来获得该候选路线的燃料消耗开销。在候选路线包括隐私开销路线的情况下，燃料消耗开销被预见为正，即，预期燃料消耗将高于使用最短路径路线时的燃料消耗。另一方面，在候选路线不经过终点的情况下，由于这些候选路线不连接起点与终点，因此可能出现候选路线短于最短路径路线的情况。因此，燃料消耗开销可能为负，因为与选择最短路径路线的情况相反，实际上可能节省燃料。在某些情况下，可能向乘客收取与所覆盖的距离和/或所消耗的燃料成比例的费用，在这些情况下，燃料消耗开销意味着成本开销。

一旦确定了开销，便可以选择候选路线之一。该选择可以基于预定准则，例如最大时间参数、优化燃料消耗和/或在考虑隐私偏好指示符的同时最小化时间。在一些实施例中，可以将路线子集呈现给用户以进行最终选择。例如，子集可以包括三条最有利的路线。一旦选择完成，无人驾驶汽车便可以沿选定路线运送乘客。

在无人驾驶汽车中的乘客多于一名的情况下，无人驾驶汽车管理程序可使得乘客能够安全地比较路线。例如，每名乘客可以编辑优选路线，例如使用如上所述的过程，或简单地选择最短路线。每名乘客也可以应用隐私偏好指示符。为了简单起见，在下文中，描述针对两名乘客的情况的过程。

在第一阶段，两名乘客编辑他们的优选路线，每个优选路线包括乘客A的节点标识符序列{s₁,s₂,...,s_n}_A和乘客B的节点标识符序列{s₁,s₂,...,s_n}_B。假设两条路线都有n个节点，但是通常它们当然可以具有不同长度。

在第二阶段，两名乘客对他们的优选路线进行加密。在一些实施例中，可以从加密中省略第一个节点和最后一个节点，即起点和终点。A和B都可以用其各自的私钥对其优选路线的中间节点进行加密，其中相应的公钥可以针对无人驾驶汽车调度***和/或其它潜在乘客公开或以其它方式可用。例如，用户可以将加密路线提交给调度***：{E(s₂),...,E(s_n-1)}_A和{E(s₂),....E(s_n-1)}_B。例如，可以以加密节点标识符序列的形式提供加密路线。

调度***通过向乘客B提供乘客A的加密路线或向乘客A提供乘客B的加密路线来共享加密路线。或者，乘客A和乘客B例如可以在没有调度方的情况下经由移动应用来交换加密路线。

在第三阶段，一旦拥有彼此的路线，乘客就可以安全地比较包含在路线中的节点。可以像在D.Biswas、S.Haller和F.Kerschbaum所著的出版物“Privacy-PreservingOutsourced Profiling(隐私保护外包分析，第七届IEEE电子商务技术国际会议CEC'052010，第136-143页，doi：10.1109/CEC.2010.39)”中所描述的那样执行安全比较。安全比较可以基于加密节点、未加密节点以及与用于对加密节点加密的私钥对应的公钥。为了执行比较，乘客可以针对包含在他们各自的优选路线中的每个节点导出比较令牌，并且将比较令牌与另一乘客的加密节点进行比较。可以使用进行比较的乘客的未加密节点和另一乘客的公钥来导出每个比较令牌。当加密和未加密节点是同一节点时，安全比较可以返回“是”，当不是同一节点时，可以返回“否”。

在第四阶段，可以提取包括乘客A和乘客B的优选路线中的共享节点的共享路线。基于对共享路线的了解，可以确定以下至少一项：路线的共享部分的距离、每个用户在车辆中单独行驶的距离、以及用户上车和下车的顺序。乘客可能在以下情况下单独乘坐无人驾驶汽车：在开始时其他乘客上车之前；在最后同行的乘客下车之后；或者在其他同行乘客已下车，更多的同行乘客上车之前。

当所讨论的乘客单独乘坐无人驾驶汽车时，可以基于与路段相关的路线不确定性向乘客提供所请求的隐私级别。在适当的情况下，可以基于隐私要求来选择乘客下车的顺序—例如，当两名乘客要去同一地区或郊区时，无人驾驶汽车可以首先使隐私要求较低的乘客下车，因为这样当另一乘客下车时，无人驾驶汽车内就不再留有任何人，并且没有人看到在哪里下车。

图3示出了能够支持本发明的至少一些实施例的示例装置。其中示出了设备300，设备300例如可以包括乘客的计算设备、无人驾驶汽车或调度***。在设备300中包括处理器310，处理器310例如可以包括单核或多核处理器，其中单核处理器包括一个处理核心，而多核处理器包括多于一个的处理核心。处理器310可以包括多于一个的处理器。处理核心例如可以包括由ARM Holdings制造的Cortex-A8处理核心或由Advanced Micro DevicesCorporation生产的Steamroller处理核心。处理器310可以包括至少一个QualcommSnapdragon、Intel Core、AMD Opteron和/或Intel Atom处理器。处理器310可以包括至少一个专用集成电路ASIC。处理器310可以包括至少一个现场可编程门阵列FPGA。处理器310可以是用于在设备300中执行方法步骤的部件。处理器310可以至少部分地由计算机指令来配置以执行动作。

设备300可以包括存储器320。存储器320可以包括随机存取存储器和/或永久性存储器。存储器320可以包括至少一个RAM芯片。存储器320例如可以包括固态、磁、光和/或全息存储器。存储器320可以至少部分地可由处理器310访问。存储器320可以是用于存储信息的部件。存储器320可以包括处理器310被配置执行的计算机指令。当被配置为使处理器310执行某些动作的计算机指令被存储在存储器320中，并且设备300整体被配置为使用来自存储器320的计算机指令在处理器310的指示下运行时，处理器310和/或其至少一个处理核心可被示为被配置为执行所述某些动作。存储器320可以至少部分地包含在处理器310中。存储器320可以至少部分地在设备300的外部，但是可以被设备300访问。

设备300可以包括发送器330。设备300可以包括接收器340。发送器330和接收器340可以被配置为分别根据至少一个蜂窝或非蜂窝标准来发送和接收信息。发送器330可以包括多于一个的发送器。接收器340可以包括多于一个的接收器。发送器330和/或接收器340可以被配置为根据例如全球移动通信***GSM、宽带码分多址WCDMA、长期演进LTE、IS-95、无线局域网WLAN、以太网和/或全球微波接入互操作性WiMAX等标准工作。

设备300可以包括近场通信NFC收发器350。NFC收发器350可以支持至少一种NFC技术，例如NFC、Bluetooth、Wibree或类似技术。

设备300可以包括用户接口UI 360。UI 360可以包括显示器、键盘、触摸屏、被布置为通过使设备300振动来向用户发信号的振动器、扬声器以及麦克风中的至少一者。用户能够经由UI 360操作设备300，例如以便与无人驾驶汽车交互。

设备300可以包括或被布置为接受用户身份模块370。用户身份模块370例如可以包括可安装在设备300中的用户身份模块(SIM)卡。用户身份模块370可以包括识别设备300的用户的预订的信息。用户身份模块370可以包括可用于验证设备300的用户的身份和/或促进所传送的信息的加密以及针对经由设备300实现的通信向设备300的用户计费的加密信息。

处理器310可以配备有发送器，该发送器被布置为经由设备300内部的电线将来自处理器310的信息输出到包含在设备300中的其它设备。此类发送器可以包括串行总线发送器，其被配置为例如经由至少一根电线将信息输出到存储器320以存储在其中。作为串行总线的替代，发送器可以包括并行总线发送器。类似地，处理器310可以包括被布置为经由设备300内部的电线从包含在设备300中的其它设备将信息接收到处理器310中的接收器。此类接收器可以包括串行总线接收器，其被布置为例如经由至少一根电线从接收器340接收信息以在处理器310中进行处理。作为串行总线的替代，接收器可以包括并行总线接收器。

设备300可以包括图3中未示出的其它设备。例如，在设备300包括智能电话的情况下，其可以包括至少一个数字照相机。一些设备300可以包括后置照相机和前置照相机，其中后置照相机可以用于数字照相，前置照相机用于视频电话。设备300可以包括指纹传感器，其被布置为至少部分地验证设备300的用户的身份。在一些实施例中，设备300缺少至少一个上述设备。例如，一些设备300可能缺少NFC收发器350和/或用户身份模块370。

处理器310、存储器320、发送器330、接收器340、NFC收发器350，UI 360和/或用户身份模块370可以以多种不同的方式通过设备300内部的电线互连。例如，上述每个设备可以单独地连接到设备300内部的主总线，以允许设备交换信息。然而，如本领域的技术人员将理解的，这仅是一个示例，并且取决于实施例，在不脱离本发明的范围的情况下，可以选择至少两个上述互连设备的多种互连方式。

图4示出了根据本发明的至少一些实施例的信令。在垂直轴上，从左到右设置有乘客A、无人驾驶汽车调度方S、乘客B，以及最后是无人驾驶汽车V。在图中，时间从顶部向底部推移。乘客A和乘客B在此实际上分别指乘客A和乘客B的计算机程序。此类计算机程序可以被布置为在乘客的计算设备(诸如智能电话)上运行。

在阶段410，乘客A编辑他的优选路线，该优选路线包括节点标识符序列{s₁,s₂,...,s_n}_A。在阶段420，乘客A对包含在优选路线中的节点进行加密，从而产生上述加密节点标识符序列{E(s₂),...,E(s_n-1)}_A。起点和终点可以从阶段420中的加密节点序列中被排除。在阶段430，乘客A向调度方S提供加密节点标识符序列。

在阶段440、450和460，乘客B编辑他的优选路线，对包含在其优选路线中的节点标识符进行加密，并将加密节点标识符序列提供给调度方S。乘客B侧的阶段440、450和460类似于乘客A侧的阶段410、420和430。

在阶段470，调度方S可以确定共享行程的潜在乘客。例如可以至少部分地基于订户类别、城市或郊区级位置或其它合适的度量来执行此操作。在图4所示的示例中，在该阶段确定乘客A和乘客B可以潜在地共享行程。作为对阶段470的确定的响应，调度方S在阶段480向乘客A提供从乘客B处接收的加密节点序列。同样地，调度方S在阶段490向乘客B提供从乘客A处接收的加密节点序列。

一般来说，如果确定两名以上的一组乘客可能共享行程，则可以将该组中每名乘客的加密节点标识符提供给包含在该组中的每名乘客。例外的情况是每名乘客自己的路线，调度方无需告知这些路线，因为乘客已经知道自己的优选路线。

在阶段4100，乘客A执行其在阶段480接收的加密节点标识符与包含在乘客A的优选路线中的节点标识符之间的安全比较。为了执行比较，乘客A可以针对包含在乘客A的优选路线中的每个节点标识符导出比较令牌，然后将比较令牌与乘客B的加密节点标识符进行比较。乘客A可以通过对包含在乘客A的优选路线中的未加密节点标识符使用乘客B的公钥来导出比较令牌。

在阶段4110，基于在阶段4100确定的要在乘客A的优选路线与乘客B的优选路线之间共享的至少一个节点标识符，通知调度方S由乘客A导出的路线细节。

在阶段4120，乘客B执行其在阶段490接收的加密节点标识符与包含在乘客B的优选路线中的节点标识符之间的安全比较。为了执行比较，乘客B可以针对包含在乘客B的优选路线中的每个节点标识符导出比较令牌，然后将比较令牌与乘客A的加密节点标识符进行比较。乘客B可以通过对包含在乘客B的优选路线中的未加密节点标识符使用乘客A的公钥来导出比较令牌。

在阶段4130，基于在阶段4120确定的要在乘客B的优选路线与乘客A的优选路线之间共享的至少一个节点标识符，通知调度方S由乘客B导出的路线细节。

在阶段4140，通知无人驾驶汽车V其要经过的路线，从而使能在乘客A和乘客B之间至少部分地共享该路线。

图5是根据本发明的至少一些实施例的第一方法的第一流程图。所示方法的各个阶段例如可以在乘客设备中执行，或者例如在乘客设备的控制设备或调度方设备中执行。

阶段510包括接收指定路线的起点和终点的路线指示。阶段520包括至少部分地基于所述路线指示和隐私偏好指示来确定多个候选路线。最后，阶段530包括针对所述多个候选路线中的每一者确定隐私开销路线。

图6是根据本发明的至少一些实施例的第二方法的第二流程图。所示方法的各个阶段例如可以在乘客设备中执行，或者在乘客设备的控制设备中执行。阶段610包括确定包括节点标识符序列的优选路线。阶段620包括使用装置的私钥对每个所述节点标识符进行加密以获取加密节点标识符序列。阶段630包括将所述加密节点标识符序列提供给网络节点。阶段640包括接收第二加密节点标识符序列。阶段640可以进一步包括获取诸如与第二加密节点标识符序列关联的公钥之类的公钥。最后，阶段650包括执行所述节点标识符序列与所述第二加密节点标识符序列之间的安全比较。该方法可以包括获取与所述第二加密节点标识符序列关联的公钥。该获取可以结合阶段640或结合另一阶段发生，甚至在阶段610之前发生。

应当理解，所公开的本发明的实施例不限于本文公开的特定结构、工艺步骤或材料，而是扩展到相关领域的普通技术人员认识的等同物。还应当理解，本文使用的术语仅用于描述特定实施例，而不是限制性的。

本说明书通篇对“一个实施例”或“实施例”的提及意味着结合该实施例描述的特定特征、结构或特性包含在本发明的至少一个实施例中。因此，贯穿本说明书的各个位置的短语“在一个实施例中”或“在实施例中”的出现不一定都指相同的实施例。

如本文所使用的，为方便起见，多个项目、结构元素、组成元素和/或材料可以呈现在公共列表中。但是，这些列表应该被解释为列表中的每个成员被单独标识为独立且唯一的成员。因此，除非另外指出，否则该列表的任何个别成员都不应仅基于与同一列表中任一其它成员位于同一组中而被视为该任一其它成员的事实上的等同物。此外，本发明的各种实施例和示例在此可以与其各种组件的替代物一起被提及。应当理解，此类实施例、示例和替代物不应被解释为彼此的事实上的等同物，而是被认为是本发明的单独和自主的表示。

此外，在一个或多个实施例中，所描述的特征、结构或特性可以以任何合适的或技术上可行的方式被组合。在下面的描述中，提供了许多具体细节，例如长度、宽度、形状等例子，以提供对本发明实施例的透彻理解。然而，相关领域的技术人员将认识到，可以在没有一个或多个具体细节的情况下，或者通过其它方法、组件、材料等实施本发明。在其它情况下，未详细示出或描述公知的结构、材料或操作以避免增加理解本发明的各方面的难度。

虽然上述示例在一个或多个特定应用中例示了本发明的原理，但是对于本领域的普通技术人员来说显而易见的是，可以在不施加创新能力并且不脱离本发明的原理和概念的情况下，在实现的形式、使用和细节上做出多种修改。因此，除了下面所提出的权利要求之外，并不意图限制本发明。

Claims

1.一种用于保护隐私的装置，包括：

至少一个接收器，其被配置为接收指定路线的起点和终点的路线指示，以及

至少一个处理核心，其被配置为至少部分地基于所述路线指示和隐私偏好指示来确定多个候选路线，以及针对所述多个候选路线中的每一者确定连接所述路线的终点和候选路线的末端的隐私开销路线。

2.根据权利要求1所述的装置，其中所述至少一个处理核心进一步被配置为针对每个隐私开销路线确定关联的时间开销和关联的燃料消耗开销中的至少一者。

3.根据权利要求1或2所述的装置，其中所述至少一个处理核心被配置为通过采用图遍历算法识别在所述路线指示中指定的所述起点开始并满足所述隐私偏好指示的路线来确定所述多个候选路线。

4.根据权利要求1或2所述的装置，其中所述隐私偏好指示与最小可能路径数相关联。

5.根据权利要求1或2所述的装置，其中所述多个候选路线包括至少一个第一路线，所述第一路线包括在所述路线指示中指定的所述终点以使得所述第一路线不在所述终点处结束。

6.根据权利要求5所述的装置，其中针对所述至少一个第一路线中的每一者，从所述终点延伸到所述第一路线的末端的路线包括所述隐私开销路线。

7.根据权利要求1或2所述的装置，其中所述多个候选路线包括不包含所述终点的至少一个第二路线。

8.根据权利要求7所述的装置，其中针对所述至少一个第二路线中的每一者，从所述第二路线的末端延伸到所述终点的路线包括所述隐私开销路线。

9.根据权利要求1或2所述的装置，其中所述至少一个处理核心被配置为至少部分地根据最大时间参数来确定所述多个候选路线。

10.一种用于保护隐私的方法，包括：

接收指定路线的起点和终点的路线指示；

至少部分地基于所述路线指示和隐私偏好指示来确定多个候选路线；以及

针对所述多个候选路线中的每一者确定连接所述路线的终点和候选路线的末端的隐私开销路线。

11.根据权利要求10所述的方法，进一步包括针对每个隐私开销路线确定关联的时间开销和关联的燃料消耗开销中的至少一者。

12.根据权利要求10或11所述的方法，其中通过采用图遍历算法识别在所述路线指示中指定的所述起点开始并满足所述隐私偏好指示的路线来确定所述多个候选路线。

13.根据权利要求10或11所述的方法，其中所述隐私偏好指示与最小可能路径数相关联。

14.根据权利要求10或11所述的方法，其中所述多个候选路线包括至少一个第一路线，所述第一路线包括在所述路线指示中指定的所述终点以使得所述第一路线不在所述终点处结束。

15.根据权利要求14所述的方法，其中针对所述至少一个第一路线中的每一者，从所述终点延伸到所述第一路线的末端的路线包括所述隐私开销路线。

16.根据权利要求10或11所述的方法，其中所述多个候选路线包括不包含所述终点的至少一个第二路线。

17.根据权利要求16所述的方法，其中针对所述至少一个第二路线中的每一者，从所述第二路线的末端延伸到所述终点的路线包括所述隐私开销路线。

18.根据权利要求10或11所述的方法，其中至少部分地根据最大时间参数来确定所述多个候选路线。

19.一种用于保护隐私的装置，包括：

用于接收指定路线的起点和终点的路线指示的部件；

用于至少部分地基于所述路线指示和隐私偏好指示来确定多个候选路线的部件；以及

用于针对所述多个候选路线中的每一者确定连接所述路线的终点和候选路线的末端的隐私开销路线的部件。

20.一种存储有一组计算机可读指令集的非临时性计算机可读介质，当由至少一个处理器执行时，所述计算机可读指令集导致装置至少：

接收指定路线的起点和终点的路线指示；

21.根据权利要求20所述的非临时性计算机可读介质，其中，当由所述至少一个处理器执行时，所述计算机可读指令集进一步导致所述装置执行根据权利要求11至18至少一者所述的方法。