CN116157850A - 用于收集并管理车辆生成的数据的方法和*** - Google Patents

Abstract

一种车辆的数据记录***，包括：第一数据记录器，记录表示在行驶期间驾驶员和车辆的自动驾驶***之间发生的带时间戳的交互的多条交互数据；以及第二数据记录器，记录表示在预定事件发生前后的预定时间段内车辆状态的事件数据。车辆的数据记录***根据预定的时间表将多条交互数据上传到远程服务器，并且响应于事件的发生与事件数据一起或在事件数据之后将主交互数据上传到远程服务器，主交互数据是在靠近事件发生时间点记录的至少一条交互数据。

Description

用于收集并管理车辆生成的数据的方法和***

技术领域

本公开涉及收集并管理车辆生成的数据。

背景技术

本部分中的陈述仅提供与本公开有关的背景信息但不一定构成现有技术。

事件数据记录器(EDR)被配置为检测事故或此类事件并且存储在事件前后的预定时间内的关于车辆的驾驶状态或驾驶员操作等的信息。存储包括速度、安全带状态和安全气囊展开状态的至少几个参数以在取证调查期间进行恢复。

通常使用例如车载诊断(OBD)-II端口的车辆诊断链路连接器，或通过物理提取EDR数据存储器并从中读取数据来执行取证调查。EDR中的数据容易因读取技术故障而损坏或改变，并且在存储之后可能被恶意篡改或删除，这体现出保证所存储数据的完全数据完整性的难度。

随着ADAS(高级驾驶辅助***)或自动驾驶功能的应用扩展，识别在事故发生时在自动驾驶***和驾驶员之间谁在控制车辆可能有助于正确调查事故原因。

发明内容

技术问题

随着信息通信技术的发展，车辆生成数据可以通过网络上的数据服务器以各种形式被收集并被提供给各种服务供应商。本公开提出具有通信功能的车辆的数据记录***和收集并管理车辆生成的数据的云存储***的一般概念。该概念的重点是克服车载数据存储的局限性，并最大限度地提高用户对车辆生成的数据的访问。

本公开特别提出用于在车辆***中发送(或上传)交互数据和事件数据的技术，该车辆***包括第一数据记录器和第二数据记录器，第一数据记录器记录表示在行驶时在车辆的自动驾驶***和驾驶员之间发生的带时间戳的交互的多个交互数据，第二数据记录器记录表示在诸如碰撞事故的事件发生前后的预定时间内车辆的状态的事件数据。

技术方案

根据本公开的一方面的车辆的数据记录***包括：通信装置，被配置使所述车辆与远程服务器之间能够进行通信；第一数据记录器，被配置为记录表示在行驶时在所述车辆的自动驾驶***和驾驶员之间发生的带时间戳的交互的多个交互数据；以及第二数据记录器，被配置为记录表示在预定事件发生前后的预定时间内车辆的状态的事件数据。通信装置可以进一步被配置为根据预定的时间表将多个交互数据上传到远程服务器，并且响应于所述事件的发生与所述事件数据一起或在所述事件数据之后将主交互数据上传到所述远程服务器，所述主交互数据是在靠近事件发生时间点记录的至少一个交互数据。

根据本公开的一方面，提供一种由车辆的包括第一数据记录器和第二数据记录器的数据记录***执行的方法。该方法包括：由所述第一数据记录器记录表示在行驶时在车辆的自动驾驶***和驾驶员之间发生的带时间戳的交互的多个交互数据；并且根据预定的时间表将所述多个交互数据上传到远程服务器。另外，该方法包括：响应于预定事件的发生，由第二数据记录器记录表示在预定事件发生前后的预定时间内车辆状态的事件数据；识别主交互数据，所述主交互数据是在靠近事件发生时间点记录的至少一个交互数据；与所述事件数据一起或在所述事件数据之后将所述主交互数据上传到所述远程服务器。

所述数据记录***和所述方法的实施例可以进一步包括以下特征中的一个或多个。

在一些实施例中，所述主交互数据可以用于识别在所述事件发生时正在控制车辆的主体。

在一些实施例中，所述多个交互数据中的每一个可以是表示交互类型的带时间戳的数据。

在一些实施例中，所述交互类型可以包括改变所述自动驾驶***的状态、由所述自动驾驶***开始和结束最小风险策略(MRM)以及将驾驶任务的控制权交给所述驾驶员。另外，在一些实施例中，交互类型可以进一步包括触发所述第一数据记录器的记录的事件的发生和不触发所述第一数据记录器的记录的轻微事件的发生。

在一些实施例中，所述多个交互数据可以以数据格式来表示，所述数据格式包括定义了表示交互类型的类型标志的类型字段、定义了表示交互原因的数据的原因字段、定义了表示交互发生日期的数据的日期字段以及定义了表示交互发生时间的数据的时间戳字段。

有益效果

根据本公开的技术，自动驾驶车辆可以尽可能成功地将在靠近诸如碰撞事故的事件发生时间点记录的交互数据上传到云存储***20，而不会对自动驾驶车辆的V2X通信造成过多负担。在没有事件发生的正常行驶过程中，可以调度交互数据的上传任务，以便不影响或减少自动驾驶的V2X通信资源。

附图说明

图1是根据本公开的实施例的用于收集并管理来自车辆的事件数据的集中***的示意图。

图2是示出能够被记录在车辆中的事件数据和交互数据之间的差异的概念图。

图3示出根据本公开的实施例的表示交互数据的示例性数据格式。

图4是示出根据本公开的实施例的车辆***记录和上传车辆生成的数据的方法的流程图。

图4示出根据本公开的实施例的车辆识别号(VIN)的去识别化版本和由此识别的EDR的示例。

图5A和图5B示出车辆在道路上行驶时可能发生的示例性场景和从车辆上传到云存储***的车辆生成的数据。

图6是示出根据本公开的实施例的将车辆识别信息(VII)、EDR数据和DSSAD数据分开存储在数据库中的示例性方法的概念图。

图7是用于说明车辆识别号(VIN)的细节的示图。

图8示出根据本公开的实施例的车辆识别号(VIN)的去识别化版本和由此识别的EDR的示例。

图9是示出根据本公开的实施例的云存储***查询和提供特定车辆的EDR/DSSAD数据的示例性方法的概念图。

图10是示出根据本公开的实施例的云存储***根据车主的请求删除VII/EDR/DSSAD数据的示例性方法的概念图。

具体实施方式

在下文中，将参照附图详细描述本公开的一些实施例。应当注意，在对各附图的元件添加附图标记时，即使相同的元件在不同的附图中示出，也尽可能地由相同的附图标记表示。此外，在描述本发明时，如果认为相关的已知配置和功能的详细描述可能会使本发明的要旨模糊，则省略对其的详细描述。

图1是示出根据本公开的一个实施例的用于从车辆收集并管理车辆生成的数据的集中***的示例的概念图。

***100包括设置在车辆中的车载数据记录***10和实施为网络上的服务器的云存储***20。实施云存储***20的服务器可以包括由车辆制造商运营的服务器、由独立于车辆制造商的运营商操作的服务器或者它们的组合。

车辆被配置为完全或部分地以自动驾驶模式运行，因此可以称为“自动驾驶车辆”。例如，自动驾驶***14可以从传感器***13接收信息，并且基于接收到的信息以自动化的方式执行一个或多个控制过程(例如，设置转向以避开检测到的障碍物)。

车辆可以是完全自动的或部分自动的。在部分自动车辆中，某些功能可以由驾驶员临时或持续手动控制。此外，部分自动车辆可以被配置为可在完全手动操作模式与部分自动操作和/或完全自动操作模式之间切换。

车载数据记录***10可以被配置为生成、记录或存储与车辆操作或驾驶员行为相关的各种类型的数据。车载数据记录***10包括两种类型的数据记录器：事件数据记录器(EDR)11和自动驾驶车辆的数据存储***(DSSAD)12。EDR 11和DSSAD 12出于不同目的记录车辆生成的数据。

EDR 11的目的是存储诸如碰撞事故或安全气囊展开的特定事件的车辆信息。EDR11的数据用于碰撞分析和重建。DSSAD 12的目的是记录驾驶员和自动驾驶***之间的所有预定的交互。即，如图2所示，EDR 11在发生诸如碰撞事故的事件时记录或存储相关数据，而DSSAD 12在行驶时记录或存储车辆与驾驶员之间的交互。通常以时间戳格式存储的DSSAD12的数据用于识别在特定时间点正在控制车辆的主体(驾驶员或自动驾驶***)。EDR 11的数据和DSSAD 12的数据在取证调查中相互补充使用，特别地，DSSAD 12的数据对识别在碰撞时控制车辆的主体是有用的。

EDR 11可以被配置为从安装在车辆上的各种传感器和/或电子控制单元(ECU)接收数据。EDR 11具有易失性存储器，该易失性存储器使数据临时存储一段时间同时持续更新。EDR 11可以对检测到一个或多个预定事件的发生进行响应以将在检测前后的预定时间内记录在易失性存储器中的数据存储在内部非易失性存储器中。特别地，这种事件可以是碰撞事故(traffic collision)。例如，可以在触发诸如安全气囊或安全带预紧装置的不可逆安全装置展开时检测到碰撞事故。还可以在发生超过预定阈值的加速/减速(例如，在大约150ms内8km/h或更高的速度变化)时，检测到碰撞事故。预定事件可以进一步包括车辆的主要功能发生故障。

EDR 11可以被配置为从诸如安全气囊控制单元(ACU)的电子控制单元接收通知事件发生的触发信号。EDR 11可以访问由传感器***13中包括的至少一个传感器测量的值。至少一个传感器可以被配置为检测车速/加速/减速/移动距离/地理位置等。EDR 11可以作为一个模块被包括在安全气囊控制单元(ACU)中。

EDR 11所记录和存储的数据可以是适合于分析碰撞事故的数据，诸如车辆动力学、驾驶员行为和车辆安全***的运行状态的数据。EDR 11可以被配置为将存储的数据(以下称为“EDR数据”或“事件数据”)提供给通信装置15，以便发送到云存储***20。在示例性实施例中，EDR 11可以被配置为在存储EDR数据之后立即提供给通信装置15，使得相关的EDR数据可以在事件发生之后无延迟地被发送到云存储***20。

自动驾驶***14可以被配置为生成表示驾驶员和自动驾驶***14之间的交互的交互信号。这些交互信号可以包括表示一个或多个自动驾驶功能当前是否启用的信号。例如，自动驾驶***14可以生成表示诸如自适应巡航控制(ACC)功能或自动车道保持***(ALKS)的特定功能当前是否启用的信号。再例如，自动驾驶***14可以生成表示车辆的驾驶当前是否被完全自动控制而不是被手动控制的信号。另外，这些交互信号可以进一步包括表示指示需要将驾驶任务的控制权交给驾驶员的转换要求的信号以及指示已经将驾驶任务的控制权交给驾驶员的信号。自动驾驶***14可以经由数据总线(例如，CAN总线、以太网总线等)向DSSAD 12提供交互信号。

DSSAD 12可以基于从自动驾驶***14接收的交互信号，将表示驾驶员和自动驾驶***之间的交互的交互数据存储在内部非易失性存储器中。DSSAD 12安装在配备有高度自动驾驶***(例如，分类为SAE等级3、4、5)的车辆上，并且是旨在明确“被请求进行驾驶的主体”和“实际驾驶的主体”的数据存储***。在转换过程中(即，在发出转换要求之后，直到驾驶员实际接管控制权)，“被请求进行驾驶的主体”和“实际驾驶的主体”可能彼此不同。

交互数据(在下文中，也可以称为“DSSAD数据”)可以包括带时间戳的数据元素，带时间戳的数据元素表示诸如以下的特定交互：改变自动驾驶***的状态(关闭(switchedoff)、启用(activated)、转换要求(transition demand)、超控(override))、由自动驾驶***开始和结束最小风险策略(MRM)和将驾驶任务的控制权交给驾驶员。在一些实施例中，交互可以进一步包括触发EDR 11记录的事件的发生和不触发EDR 11记录的轻微事件的发生。

如图3所示，交互数据可以有四个字段，包括类型字段、原因字段、日期字段和时间戳字段。类型字段是定义了表示诸如转换要求或最小风险策略的驾驶员和***之间的交互类型的类型标志。原因字段是定义了表示在类型字段中指定的交互的发生原因的数据的字段。原因字段可以是可选字段。在日期字段中，例如以年/月/日格式定义了表示在类型字段中指定的交互发生的日期的数据。在时间戳字段中，例如以时/分/秒格式定义了表示在类型字段中指定的交互发生时间的数据。

DSSAD 12可以将存储的交互数据提供给通信装置15(根据预定的时间表或响应于通信装置15的请求)以便其被发送到云存储***20。

在一些其他实施例中，交互数据可以被周期性地上传到云存储***20。例如，可以安排DSSAD 12每6小时或12小时，或者每天或每周执行交互数据的上传过程。当车辆的点火开关(ignition)进入开启(on)状态时，DSSAD 12可以判断从最后一次上传的时间点开始是否已经经过上传周期。当判断已经经过上传周期时，DSSAD 12可以启动上传过程。在一些其他实施例中，DSSAD 12可以被配置为每当车辆的点火开关进入开启状态时启动用于将交互数据发送到云存储***20的上传过程。在另一些实施例中，当DSSAD 12的内部存储器件中的空闲存储空间的百分比达到阈值时，DSSAD 12可以被配置为执行上传过程以将交互数据发送到云存储***20。如此，与事件数据(即，EDR数据)不同，在相当长的一段时间内积累的交互数据被上传到云存储***20，而不是每当交互发生时被上传。

通信装置15可以是具有将车辆的内部网络连接到外部通信网络的有线或无线通信功能的电子设备。通信装置15例如可以是远程信息处理单元(TMU)或***OBD-II端口的有线/无线加密狗。例如，通信装置15可以包括能够进行诸如GSM/WCDMA/LTE/5G的蜂窝通信或诸如WLAN、c-V2X、WAVE、DSRC和蓝牙的短距离无线通信的无线收发器。

当从DSSAD 12接收到DSSAD数据时，通信装置15可以生成交互报告消息。通信装置15可以经由通信网络向云存储***20发送交互报告消息。交互报告消息可以包括车辆识别信息(VII)和从DSSAD 12接收到的DSSAD数据。

通信装置15可以被配置为在从EDR 11接收到EDR数据时生成事件报告消息。通信装置15可以被配置为经由通信网络向云存储***20发送事件报告消息。事件报告消息可以包括车辆识别信息(VII)和从EDR 11接收到的EDR数据。

在典型的实施例中，VII可以是车辆识别号(VIN)，车辆识别号(VIN)是车辆制造商分配给各个车辆的由数字和字母组成的17数位唯一标识符。可选地，VII可以是车辆登记号(或车牌信息)、通信装置15使用的用于通信的唯一标识符、分配给车辆的用于V2X通信的(长期或短期)证书等。报告消息可以进一步包括发生事件或交互的地理位置。

如上所述，车辆在事件发生之后无延迟地上传相关的事件数据(EDR数据)，另一方面，车辆根据预定的时间表上传在一定时间段内积累的交互数据，而不是每当交互发生时上传相关的交互数据(DSSAD数据)。换言之，每当互动发生时，相关的交互数据(DSSAD数据)不会无延迟地上传到云存储***20。

在这样的上传方法中，上传用于识别在诸如碰撞事故的事件发生时正在控制车辆的主体的交互数据的时间点可以在事件发生后经过相当长的时间之后，并且在那个时间点，车辆可能无法尝试上传交互数据(即DSSAD数据)(例如，由于车辆起火、淹水、车辆报废等)。

更频繁地上传交互数据可能是一种解决方案(solution)，但上传任务频繁占用通信链路可能不适合持续需要与其他车辆或基础设施进行V2X通信的自动驾驶车辆。

因此，需要一种在不对自动驾驶车辆的V2X通信造成过多负担的情况下尽可能成功地将在靠近碰撞事故发生时间点记录的交互数据上传到云存储***20的方法。

根据本公开的优选实施例，当从EDR 11接收到EDR数据时(或响应于触发EDR 11记录的事件的发生)，通信装置15可以获取在靠近事件发生时间点记录的至少一个交互数据(以下简称“主交互数据”)。例如，通信装置15可以请求将主交互数据传递到DSSAD 12。然后通信装置15可以与EDR数据的发送一起或在EDR数据的发送之后将主交互数据发送到云存储***20。这里，主交互数据可以是在事件发生之前一定时间段内记录的最近的交互数据，也可以是在事件发生之前记录的预定数量的最近的交互数据。

云存储***20是收集并管理来自多个车辆的EDR数据和DSSAD数据的由网络上的服务器实现的数据管理***。

云存储***20可以从多个车辆接收事件报告消息和交互报告消息。对于从车辆接收到的报告消息，云存储***20将能够使第三方识别或跟踪相关车辆或相关个人的车辆识别信息(VII)与EDR/DSSAD数据分开，以便车辆识别信息(VII)和EDR/DSSAD数据可以分开存储在不同的数据库中。

如稍后将参照图6描述的，记录在每个车辆中的EDR/DSSAD数据与能够使第三方识别或跟踪相关车辆的车辆识别信息(VII)分开，并与链接数据一起存储在网络上的数据库中并被管理。可以基于存储在VII数据库中的车辆识别信息和随机数(salt)以加密方式(重新)生成链接数据。因此，通过从VII数据库中删除车辆识别信息或随机数，可以去除车辆识别信息与相关的EDR/DSSAD数据之间的关联性。

响应于想要使用EDR/DSSAD数据的用户的请求，云存储***20可以提供未识别出特定车辆或个人的匿名EDR/DSSAD数据，或者提供识别出特定车辆或个人的EDR/DSSAD数据。用户可以是想要使用EDR/DSSAD数据的车主、驾驶员、保险公司、政府机构、研究人员或车辆制造商。对于已识别出特定车辆或个人的EDR/DSSAD数据，除非法院命令、搜查证和/或其他适用法律法规另有授权，否则云存储***20只需提供给相关车主授权的调查人员或其他用户。

这种集中***可以使车辆数据记录器摆脱存储空间的限制。例如，事件数据记录器可以被设计为使用比常规更多的触发条件来收集与先前被忽视的轻微事件相关的EDR数据，并且可以被设计为收集可以进一步促进事件的事后分析的更广泛的数据元素(例如，在事件前后获得的雷达/激光雷达数据，V2X消息等)。

个人或机构可以方便地从集中***及时获取感兴趣的EDR/DSSAD数据。另外，受信任网络上的存储器件中存储的EDR/DSSAD数据可能对需要确保数据完整性的取证调查有用。EDR数据和DSSAD数据是互补的。特别地，DSSAD数据对识别碰撞时正在控制车辆的主体有用。

云存储***20可以被实施为包括服务管理器21、规则/策略管理器23、存储库协调器25、云接口27和数据存储库29。数据存储库29可以由至少一个数据服务器来实施。

服务管理器21是功能实体，其收集并管理来自车辆的EDR/DSSAD数据，并向用户提供未识别出特定车辆或个人的匿名EDR/DSSAD数据或识别出特定车辆或个人的EDR/DSSAD数据。规则/策略管理器23是用于管理数据存储库29中存储的用户配置文件(userprofile)和隐私政策的功能实体。存储库协调器25是功能实体，其用于将EDR数据、DSSAD数据和VII数据分开存储在数据存储库29的数据库中，并从数据存储库29的数据库检索EDR数据、DSSAD数据和VII数据。云接口27是作为云存储***20的网关的功能实体。

数据存储库29具有记录用户配置文件、隐私政策、VII数据、EDR数据和DSSAD数据的数据库。用户配置文件包括已订阅云存储***20的个人、团体或组织的订阅信息。隐私政策包括应用于每个车辆的EDR/DSSAD数据的收集和管理过程的一组隐私规则。

规则/策略管理器23可以被配置为从车主接收对从车主的车辆收集的个人数据(VII/EDR/DSSAD数据)的隐私选项的设置，并根据接收到的对隐私选项的设置来生成待应用于个人数据的收集、管理和使用的一组隐私规则(即隐私政策)。

以下，参照图4，将描述由车辆***记录并上传车辆生成的数据的方法，该车辆***可以是图1所示的车载数据记录***10。

车辆***可以包括第一数据记录器和第二数据记录器。第一数据记录器可以是自动驾驶车辆的数据存储***(DSSAD)，而第二数据记录器可以是事件数据记录器(EDR)。

车辆***使用第一数据记录器记录表示在行驶时在车辆的自动驾驶***和驾驶员之间发生的带时间戳的交互的多个交互数据(S410)。车辆***根据预定的时间表将多个交互数据上传到远程服务器(S420)。

交互数据可以是表示交互类型的带时间戳的数据。交互类型可以包括改变自动驾驶***的状态、由自动驾驶***开始和结束最小风险策略(MRM)以及将驾驶任务的控制权交给驾驶员。

交互数据可以以预定的数据格式来表示，该数据格式包括定义了表示交互类型的类型标志的类型字段、定义了表示交互原因的数据的原因字段、定义了表示交互发生日期的数据的日期字段以及定义了表示交互发生时间的数据的时间戳字段。

交互类型可以进一步包括触发第二数据记录器的记录的事件的发生和不触发第二数据记录器的记录的轻微事件的发生。因此，特定交互数据可以具有定义了表示触发或不触发第二数据记录器的记录的事件的发生或发生类型的数据的类型字段。

响应于预定事件的发生，车辆***使用第二数据记录器记录表示在事件发生前后的预定时间内车辆状态的事件数据(S430)。另外，车辆***识别作为在靠近事件发生时间点记录的至少一个交互数据的“主交互数据”(S440)，并与事件数据一起或者在上传事件数据之后将识别的主交互数据上传到远程服务器(S450)。在取证调查中，主交互数据可以用于识别在事件发生时正在控制车辆的主体。

图5A和图5B示出在安装有自动车道保持***(ALKS)的车辆在道路上行驶时可能发生的示例性场景中上传到云存储***20的车辆生成的数据。

自动车道保持***(ALKS)是类似于智能巡航控制的功能，它控制车辆在高速公路上或在类似道路环境中的横向和纵向运动，以使车辆在没有驾驶员干预的情况下保持在车道上行驶。换言之，驾驶员在ALKS运行时不再需要握住方向盘或集中注意力。然而，当根据情况ALKS提出转换要求时，需要采取措施确保驾驶员在设定的时间内重新获得控制权。因此，为了安全控制转换，ALKS需要监控驾驶员的行为。

在图5A所示的场景中，在时间点(e)发生了触发EDR 11记录的事件(即，碰撞事故)。当ALKS被激活时，车辆从(a)开始将关于在行驶期间发生的ALKS和驾驶员之间的交互的DSSAD数据上传到云存储***20。另外，车辆将在时间点(e)发生的事件的EDR数据上传到云存储***20。基于DSSAD数据和EDR数据的分析表明如下情况。

因为驾驶员在10:19:10激活了ALKS，所以ALKS接管了车辆的控制权。在1分50秒之后，天气恶化使得ALKS要求驾驶员转移车辆控制权，但驾驶员没有响应。ALKS在10:22:00自动启动MRM。碰撞发生在10:22:30。

因此，可以通过EDR/DSSAD数据分析来检查事故发生时的情况。特别地，基于云的数据记录器***根据预定的数据发送策略将EDR/DSSAD数据发送到云存储***20，从而减少了在事故之后对车辆进行物理访问和进行信息收集的常规工作。

在图5B所示的场景中，在时间点(c)发生了与自行车轻微碰撞的事故，该事故没有达到触发EDR 11记录的程度。当ALKS被激活时，车辆从(a)开始将关于在行驶期间发生的ALKS和驾驶员之间的交互的DSSAD数据上传到云存储***20。基于DSSAD数据的分析使得可以重建如下的时间序列情况。

ALKS于07:10:00由驾驶员激活。15秒后，由于发生驾驶员直接操纵方向盘的超控，ALKS被停用。车辆与自行车在07:10:16发生碰撞。

在这种场景下，碰撞对车辆的影响可以忽略不计，因此不满足EDR触发条件，因而没有收集到相关的EDR数据。然而，由于DSSAD数据被上传到云存储***20，因此可以容易地模拟和分析详细的事故情况。

参照图6，描述了云存储***20将从车辆接收的报告消息中包括的车辆识别信息(VII)、EDR数据和DSSAD数据分开存储在数据库中的示例性方法。

云接口27可以通过安全信道从车辆接收事件报告消息或交互报告消息。每个报告消息可以包括EDR数据和车辆识别信息(VII)或者可以包括DSSAD数据和车辆识别信息(VII)。

存储库协调器25可以生成用于维持将存储在不同的数据库中的EDR/DSSAD数据和车辆识别信息(VII)之间的关联性的链接数据。可以至少部分地基于车辆识别信息(VII)和随机生成的值(以下称为“随机数”)来生成链接数据。然而，链接数据本身不包括任何识别车辆或个人的有意义的信息。

存储库协调器25可以将每个报告消息中包括的信息分成两个数据集。第一数据集包括EDR/DSSAD数据但不包括车辆识别信息(VII)，而第二数据集包括车辆识别信息(VII)但不包括EDR/DSSAD数据。换言之，能够识别或跟踪相关车辆或个人的车辆识别号(VIN)或者任何其他唯一数据与EDR/DSSAD数据分开。

存储库协调器25可以将添加了链接数据的第一数据集(即，链接数据和EDR/DSSAD数据)存储在EDR/DSSAD数据库中。存储库协调器25可以将添加了随机数的第二数据集(即，随机数和VII)存储在VII数据库中。

链接数据可以是至少部分地基于车辆识别信息(VII)生成的假名标识符(pseudonymous identifier)。在一些实施例中，可以通过将单向哈希函数(one-way hashfunction)应用于车辆识别信息(VII)来生成假名标识符。单向哈希函数使得无法从假名标识符中提取车辆识别信息(VII)或其他有用信息。优选地，可以通过将单向哈希函数应用于车辆识别信息(VII)和随机数的连结(concatenation)来生成假名标识符。用于生成假名标识符的随机数可以与相关的车辆识别信息(VII)一起存储在VII数据库中。这里，作为示例已经描述了单向哈希函数，但是可以使用用于生成假名标识符的其他类型的加密算法。

在一些实施例中，链接数据可以是车辆识别号(VIN)的去标识化版本。如上所述，车辆识别号(VIN)是车辆制造商分配给各个车辆的由数字和字母组成的17数位唯一标识符。可以通过对包括生产序列号的原始车辆识别号(VIN)的至少一些数位进行加密去标识化来生成车辆识别号(VIN)的去标识化版本。

如下所述，车辆识别号(VIN)中的每个数位都有特定的用途。

图7是用于说明车辆识别号(VIN)的细节的示图。

称为世界制造商标识符(WMI)或WMI代码的VIN的前三个数位提供有关车辆制造商和制造车辆的地理位置的信息。

VIN的第一数位表示制造车辆的国家。该数位可以是字母或数字。例如，第一数位中的“1”、“4”或“5”表示原产国为美国。“2”表示加拿大，“3”表示墨西哥，“6”表示澳大利亚，“A”表示南非，“J”表示日本，“L”表示中国，“K”表示韩国。

VIN的第二数位表示车辆制造商，但应与第一数位(表示制造国)配对以准确解码制造商。例如，以“1C”开头的VIN表示美国克莱斯勒生产的车辆，以“AC”开头的VIN表示南非现代生产的车辆。

第三数位表示车辆类型或制造部门。在以“WV1”开头的VIN中，“W”表示德国是制造国，而“V”表示大众汽车是制造商。“1”表示大众的商用车。大众公共汽车或货车的VIN以“WV2”开头，大众卡车的VIN以“WV3”开头。

VIN的第四到第八数位构成车辆描述符部分(VDS)，表示车辆特征，例如车身样式、引擎类型、型号和系列。每个制造商都以自己的方式使用这五数位的字段。

第九数位是用于识别无效VIN的校验数字。这个数字是由前八位和后八位的数值根据数学公式确定的。

VIN的第十到第十七数位称为车辆标识符部分(VIS)。这些提供了对特定车辆的更详细的描述。

第十数位表示车辆的型号年份。B到Y的字母对应于1981年到2000年之间的型号。VIN不使用I、O、Q、U或Z。2001年至2009年，使用1到9的数字代替字母。2010年至2030年使用英文字母，从A开始。2000年及以后的型号年份如下：Y＝2000，1＝2001，2＝2002，3＝2003，……，9＝2009，A＝2010，B＝2011，C＝2012，……，K＝2019，L＝2020。

第十一数位表示组装车辆的组装厂。每个VM都有自己的一组工厂代码。最后六个数位(从第十二数位到第十七数位)表示车辆的生产序列号。

存储库协调器25解析VIN以提取序列号，并将单向哈希函数应用于随机数和序列号的连结以生成哈希值。存储库协调器25可以通过用生成的哈希值替换VIN的序列号来生成VIN的去标识化版本。换言之，去识别化版本的VIN可以有隐藏的生产序列号。

图8示出车辆识别号(VIN)的去标识化版本的示例。在去识别化版本的车辆识别号(VIN)中，生产序列号以外的数位是纯文本，因此可以对从多个车辆收集的EDR数据进行有意义的统计分析。例如，可以分析“北美生产的2018悦动(Avante)型号”的车辆生成的EDR数据。

另一方面，就生产数量非常小的型号而言，诸如车辆的型号、系列和型号年份的信息可以实现对车辆或相关车主的跟踪。因此，就这种型号而言，可以进一步对作为车辆标识符部分(VIS)的车辆识别号(VIN)的第十至第十七数位和作为车辆描述符部分(VDS)的车辆识别号(VIN)的第四到第八数位中的至少一部分执行类似于对生产序列号执行的去标识化过程的过程。

链接数据(特别是假名标识符)本身不包括识别车辆或个人的任何有意义的信息，但可以基于VII数据库中存储的车辆识别信息(VII)和随机数以加密的方式重建链接数据。因此，可以从VII数据库到EDR/DSSAD数据库跟踪车辆识别信息(VII)和EDR/DSSAD数据之间的关联性，但是不能沿反向进行跟踪。注意，在一些实施例中，EDR/DSSAD数据库的运营者可以是独立于包括VII数据库的云存储***20的其他功能要素的运营者的服务供应商。在该实施例中，只要VII数据库得到安全管理，此类独立服务供应商就可以在对车主隐私几乎没有威胁的情况下使用或分发EDR/DSSAD数据。

此外，通过从VII数据库中删除用于重建链接数据的车辆识别信息或随机数，可以去除与车辆识别信息与相关的EDR/DSSAD数据之间的关联性。当需要去除车辆识别信息与EDR/DSSAD数据之间的关联性时，存储库协调器25在相关的数据库中保留EDR/DSSAD数据，但可以从VII数据库中删除车辆识别信息或随机数。当VII数据库和EDR/DSSAD数据库的运营实体彼此不同时，这可能十分有用。

参照图9，描述了云存储***20查询并提供特定车辆的EDR/DSSAD数据的示例性方法。

当通过安全信道接收到请求特定车辆的EDR/DSSAD数据的数据请求消息时，云接口27可以验证请求者是作为数据主体的车主还是具有合法权限的第三方。数据请求消息可以包括验证信息和特定车辆的VII。当验证成功时，存储库协调器25可以通过查询VII数据库获取与车辆的VII一起存储的随机数。存储库协调器25可以根据VII和随机数重建链接数据。存储库协调器25可以使用链接数据分别从EDR数据库和DSSAD数据库检索EDR数据和DSSAD数据。存储库协调器可以记录数据请求和随后的查询任务，并将EDR数据和DSSAD数据回复给请求者。

诸如GDPR的与隐私相关的大部分法规确保数据主体有权控制数据的使用、管理和处置。为此，云存储***20可以建立待应用于从每个车辆收集并管理EDR/DSSAD数据的过程的包括一组隐私规则的隐私政策。

规则/策略管理器23可以运营提供图形用户界面的网络服务器，车主可以通过该图形用户界面选择一个或多个隐私选项来应用EDR/DSSAD数据。云存储***20的规则/策略管理器23可以从车主接收用于车辆的EDR/DSSAD数据的隐私选项的选择。隐私选项的选择可以在车主订阅云存储***20或注册自己的车辆时，或者在注册之后的某个时间点进行。列出了可选的示例性隐私选项。

-选择退出(opt-out)：供车主指定不允许从车主的车辆收集的一个或多个数据元素的选项。

-选择加入(opt-in)：供车主指定允许从车主的车辆收集的一个或多个数据元素的选项。

-限制使用(restricted use)：供车主限制允许使用从车主的车辆收集的数据的目的和期限的选项。

-去识别化(de-identification)：供车主授权允许从车主的车辆收集数据，但去除与车辆或个人的任何关联以允许第三方使用数据的选项。

规则/策略管理器23可以根据车主的选择(或私有选项)生成适用于车辆的EDR/DSSAD数据的一组隐私规则，并将生成的一组隐私规则存储在隐私政策相关的数据库中。这组隐私规则可以用诸如可扩展标记语言(XML)的标记语言来定义。

即使在订阅云存储***20之后，车主也有权请求云存储***删除个人数据(VII/EDR/DSSAD数据)，并且响应于该请求，云存储***20承担立即删除个人数据义务。

参照图10，描述了云存储***20根据车主的请求删除VII/EDR/DSSAD数据的示例性方法。

当通过安全信道接收到请求删除车辆生成的数据的删除请求消息时，云接口27可以验证请求者是否是作为数据主体的车主。删除请求消息可以包括相关车辆的验证信息和VII。当验证成功时，存储库协调器25可以通过查询VII数据库来获取与车辆的VII一起存储的随机数。存储库协调器25可以根据VII和随机数重建链接数据。存储库协调器25可以使用链接数据分别从EDR数据库和DSSAD数据库检索EDR数据和DSSAD数据，并且删除与链接数据相对应的EDR/DSSAD数据。存储库协调器可以记录删除请求和相应的删除任务的日志，并将执行结果回应给请求者。

来自车主的删除请求可以进一步包括从VII和EDR/DSSAD数据中选择待删除的数据。在车主的选择下，云存储***20可以选择性地从数据库中删除VII和EDR/DSSAD数据。当仅删除VII时，云存储***20可以在相对较低的安全级别下管理相关的EDR/DSSAD数据。例如，云存储***20可以保留删除了VII的EDR/DSSAD数据，将其用于研究目的，或将其提供给第三方，而不受车主设定的使用目的或使用期限的限制。也就是说，对于删除了VII的EDR/DSSAD数据，可以相对降低使用权的安全级别。

在一些实施例中，当车主设置的有效期到期时，云存储***20可以将相关的EDR/DSSAD数据保留在EDR/DSSAD数据库中，但是可以从VII数据库中删除相关的VII或随机数。因此，即使在车主设定的有效期到期之后，EDR/DSSAD数据也可以在与VII数据无关联的情况下用于统计分析。即使在这种情况下，在从车主接收到明确的删除请求时，云存储***20也需要删除EDR/DSSAD数据。在一些其他实施例中，当车主设定的使用期限到期时，云存储***可以选择性地仅删除使用期限到期的EDR/DSSAD数据同时保留相关的VII数据。

应当理解，上述示例性实施例可以以多种不同方式实施。在一些实施例中，本公开中描述的各种方法、装置、服务器、(子)***可以由具有处理器、存储器、磁盘或其他大容量存储器件、通信接口、输入/输出(I/O)装置和其他***装置的至少一个通用计算机实施。通用计算机可以作为适用于在处理器上加载软件指令的设备、服务器或***，然后运行指令以执行本公开中描述的功能，从而执行上述方法。

本公开中描述的各种方法可以用存储在非暂时性记录介质上的、可以由一个或多个处理器读取和执行的指令来实施。例如，非暂时性记录介质包括数据以计算机***可读的形式存储在其中的所有类型的记录装置。例如，非暂时性记录介质包括诸如可擦除可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM)、闪存驱动器、光驱、磁性硬盘驱动器和固态驱动器(SSD)的存储介质。

以上的描述只是示例性地描述了本实施例的技术思想，本领域技术人员在不脱离本实施例的本质特征的范围内可以进行各种修改和变形。因此，本实施例不是为了限制本实施例的技术思想，而是用于描述本实施例的技术思想，本实施例的技术思想不限于这些实施例。本实施例的保护范围应根据所附的权利要求书来解释，所有等同范围内的技术思想也应被解释为包括在本实施例的权利范围。

相关申请的交叉引用

本申请要求于2020年7月21日提交的申请号为10-2020-0090449的韩国专利申请和于2021年5月10日提交的申请号为10-2021-0060237的韩国专利申请的优先权。

Claims (12)

1.一种车辆的数据记录***，所述***包括：

通信装置，使所述车辆和远程服务器之间能够进行通信；

第一数据记录器，记录表示在行驶时在所述车辆的自动驾驶***和驾驶员之间发生的带时间戳的交互的多个交互数据；以及

第二数据记录器，记录表示在预定事件发生前后的预定时间内所述车辆的状态的事件数据，

其中所述通信装置进一步根据预定的时间表将所述多个交互数据上传到所述远程服务器，并且响应于所述事件的发生与所述事件数据一起或在所述事件数据之后将主交互数据上传到所述远程服务器，所述主交互数据是在靠近所述事件发生时间点记录的至少一个交互数据。

2.根据权利要求1所述的***，其中所述主交互数据用于识别在所述事件发生时正在控制所述车辆的主体。

3.根据权利要求1所述的***，其中所述多个交互数据中的每一个是表示交互类型的带时间戳的数据。

4.根据权利要求1所述的***，其中所述交互类型包括改变所述自动驾驶***的状态、由所述自动驾驶***开始和结束最小风险策略(MRM)以及将驾驶任务的控制权交给所述驾驶员。

5.根据权利要求4所述的***，其中所述交互类型进一步包括触发所述第一数据记录器的记录的事件的发生和不触发所述第一数据记录器的记录的轻微事件的发生。

6.根据权利要求1所述的***，其中所述多个交互数据以包括以下的数据格式来表示：定义了表示交互类型的类型标志的类型字段、定义了表示交互原因的数据的原因字段、定义了表示所述交互发生的日期的数据的日期字段以及定义了表示所述交互发生的时间的数据的时间戳字段。

7.一种由车辆的数据记录***执行的方法，所述数据记录***包括第一数据记录器和第二数据记录器，所述方法包括：

由所述第一数据记录器记录表示在行驶时在所述车辆的自动驾驶***和驾驶员之间发生的带时间戳的交互的多个交互数据；

根据预定的时间表将所述多个交互数据上传到远程服务器；

响应于预定事件的发生，由所述第二数据记录器记录表示在所述预定事件发生前后的预定时间内车辆状态的事件数据；

识别作为在靠近所述事件发生时间点记录的至少一个交互数据的主交互数据；并且

与所述事件数据一起或在所述事件数据之后将所述主交互数据上传到所述远程服务器。

8.根据权利要求7所述的方法，其中所述主交互数据用于识别在所述事件发生时正在控制所述车辆的主体。

9.根据权利要求7所述的方法，其中所述多个交互数据中的每一个是表示交互类型的带时间戳的数据。

10.根据权利要求7所述的方法，其中所述交互类型包括改变所述自动驾驶***的状态、由所述自动驾驶***开始和结束最小风险策略(MRM)以及将驾驶任务的控制权交给所述驾驶员。

11.根据权利要求10所述的方法，其中所述交互类型进一步包括触发所述第一数据记录器的记录的事件的发生和不触发所述第一数据记录器的记录的轻微事件的发生。

12.根据权利要求7所述的方法，其中所述多个交互数据以包括以下的数据格式来表示：定义了表示交互类型的类型标志的类型字段、定义了表示交互原因的数据的原因字段、定义了表示所述交互发生的日期的数据的日期字段以及定义了表示所述交互发生的时间的数据的时间戳字段。

Images