特表 2023-519510 車両生成データを収集及び管理する方法及びシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2023-05-11

(54)【発明の名称】車両生成データを収集及び管理する方法及びシステム

(51)【国際特許分類】

   G08G 1/00 20060101AFI20230501BHJP

   G08G 1/09 20060101ALI20230501BHJP

   G06Q 50/26 20120101ALI20230501BHJP

   G16Y 10/75 20200101ALI20230501BHJP

   G16Y 10/40 20200101ALI20230501BHJP

   G16Y 40/10 20200101ALI20230501BHJP

【ＦＩ】

G08G1/00 D

G08G1/09 F

G06Q50/26 300

G16Y10/75

G16Y10/40

G16Y40/10

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2022552671

(86)(22)【出願日】2021-02-26

(85)【翻訳文提出日】2022-09-01

(86)【国際出願番号】 KR2021002435

(87)【国際公開番号】W WO2021177670

(87)【国際公開日】2021-09-10

(31)【優先権主張番号】10-2020-0027455

(32)【優先日】2020-03-04

(33)【優先権主張国・地域又は機関】KR

(31)【優先権主張番号】10-2021-0025820

(32)【優先日】2021-02-25

(33)【優先権主張国・地域又は機関】KR

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＷＣＤＭＡ

２．ブルートゥース

(71)【出願人】

【識別番号】591251636

【氏名又は名称】現代自動車株式会社

【氏名又は名称原語表記】ＨＹＵＮＤＡＩ ＭＯＴＯＲ ＣＯＭＰＡＮＹ

【住所又は居所原語表記】１２， Ｈｅｏｌｌｅｕｎｇ－ｒｏ， Ｓｅｏｃｈｏ－ｇｕ， Ｓｅｏｕｌ， Ｒｅｐｕｂｌｉｃ ｏｆ Ｋｏｒｅａ

(71)【出願人】

【識別番号】500518050

【氏名又は名称】起亞株式会社

【氏名又は名称原語表記】ＫＩＡ ＣＯＲＰＯＲＡＴＩＯＮ

【住所又は居所原語表記】１２， Ｈｅｏｌｌｅｕｎｇ－ｒｏ， Ｓｅｏｃｈｏ－ｇｕ， Ｓｅｏｕｌ， Ｒｅｐｕｂｌｉｃ ｏｆ Ｋｏｒｅａ

(74)【代理人】

【識別番号】100120031

【弁理士】

【氏名又は名称】宮嶋 学

(74)【代理人】

【識別番号】100127465

【弁理士】

【氏名又は名称】堀田 幸裕

(74)【代理人】

【識別番号】100107582

【弁理士】

【氏名又は名称】関根 毅

(72)【発明者】

【氏名】パク、スンウク

(72)【発明者】

【氏名】イム、ファピョン

【テーマコード（参考）】

5H181

5L049

【Ｆターム（参考）】

5H181AA01

5H181BB04

5H181BB13

5H181BB15

5H181FF10

5H181FF13

5H181LL01

5H181LL04

5H181LL09

5H181MB01

5H181MC05

5L049CC36

(57)【要約】

多数の車両から車両生成データを収集及び管理する一元化したクラウドストレージシステムを開示する。提案したシステムで、各車両で記録したＥＤＲ／ＤＳＳＡＤデータは、第三者が関連車両を識別や追跡することを可能にする車両識別情報（ＶＩＩ）から分離されたまま、リンクデータと共にネットワーク上のデータベースに保存して管理される。リンクデータは、車両識別情報及びソルトに基づいて暗号学的に生成して再構成される。したがって、データベースからソルトを削除することによって、車両識別情報と関連のＥＤＲ／ＤＳＳＡＤデータ間の関連性を排除することができる。

【特許請求の範囲】

【請求項1】

車両から車両生成データを収集及び管理する、ネットワーク上の少なくとも１つのサーバによって実行される方法であって、
車両からイベントレポートメッセージとインタラクションレポートメッセージを受信するステップ ‐前記イベントレポートメッセージは、車両識別情報及び前記車両のイベントデータレコーダによって保存されたイベントデータを含み、前記インタラクションレポートメッセージは、前記車両識別情報及び前記車両の自律走行システムとドライバーとの間のインタラクションを表すインタラクションデータを含む‐と、
前記車両識別情報とソルト（salt）からリンクデータを生成するステップと、
前記車両識別情報と前記ソルトを第１のデータベースに保存するステップ、及び、
前記イベントデータと前記リンクデータを第２データベースに保存し、前記インタラクションデータと前記リンクデータを第３データベースに保存するステップと、を含む、方法。

【請求項2】

さらに、前記車両識別情報及び前記イベントデータとの間の関連性と、前記車両識別情報及び前記インタラクションデータとの間の関連性とを除去することが要求される場合、前記第１のデータベースから前記車両識別情報又は前記ソルトを削除するステップを含む、請求項１に記載の方法。

【請求項3】

さらに、前記車両の車両保有者によって設定された有効期間が経過したことに応答し、前記イベントデータ及び前記インタラクションデータを前記第２のデータベース及び前記第３のデータベースに保持し、前記車両の車両識別情報又は前記ソルトを前記第１のデータベースから削除するステップを含む、請求項１に記載の方法。

【請求項4】

さらに、前記車両の車両保有者から、前記車両識別情報、前記イベントデータ、及び前記インタラクションデータのうちの少なくとも１つの削除を要請する要請メッセージを受信するステップ、及び、
前記要請メッセージの受信に応答し、前記車両識別情報、前記リンクデータ、前記イベントデータ、及び前記インタラクションデータのうちの少なくとも１つを関連のデータベースから削除するステップと、を含む、請求項１に記載の方法。

【請求項5】

さらに、前記第１のデータベースから前記車両識別情報又は前記ソルトを削除する場合に、前記第２のデータベース及び前記第３のデータベースに保存した関連のイベントデータ及びインタラクションデータに対する利用権限のセキュリティレベルを緩和するステップを含む、請求項２ないし請求項４のうちのいずれか一項に記載の方法。

【請求項6】

セキュリティレベルが緩和されていないイベントデータ又はインタラクションデータは、前記第１のデータベースに保存した関連の車両識別情報及びソルトから再構成したリンクデータに基づいて前記第２のデータベース又は前記第３のデータベースから検索し、
セキュリティレベルが緩和されたイベントデータ又はインタラクションデータは、前記再構成したリンクデータなしで、前記第２のデータベース又は前記第３のデータベースから直接検索することが許容されることを特徴とする、請求項５に記載の方法。

【請求項7】

前記リンクデータは、
前記車両識別情報と前記ソルトに対して一方向ハッシュ関数を適用して生成されることを特徴とする、請求項１に記載の方法。

【請求項8】

前記車両識別情報は、車両識別番号（vehicle identification number、ＶＩＮ）であり、前記リンクデータは、前記車両識別番号と前記ソルトから生成した前記車両識別番号との非形式化されたバージョンであることを特徴とする、請求項１に記載の方法。

【請求項9】

前記リンクデータは、
前記車両の車両識別番号（ＶＩＮ）の一部ディジット（digit）とソルト（salt）の連接に対して一方向ハッシュ関数を適用してハッシュ値を生成し、前記車両識別番号の一部ディジットを前記ハッシュ値に置き換えて生成した前記車両識別番号の非識別化されたバージョンであることを特徴とする、請求項１に記載の方法。

【請求項10】

前記一部ディジットは、
少なくとも生産シリアル番号を含むことを特徴とする請求項９に記載の方法。

【請求項11】

車両から車両生成データを収集及び管理する、ネットワーク上の少なくとも１つのサーバによって具現されるクラウドストレージシステムとして、
車両からイベントレポートメッセージとインタラクションレポートメッセージを受信するための手段 ‐前記イベントレポートメッセージは、車両識別情報及び前記車両のイベントデータレコーダによって保存されたイベントデータを含み、前記インタラクションレポートメッセージは、前記車両識別情報及び前記車両の自律走行システムとドライバーとの間のインタラクションを示すインタラクションデータを含む‐と、
前記車両識別情報とソルト（salt）からリンクデータを生成するための手段と、
前記車両識別情報と前記ソルトを第１のデータベースに保存するための手段、及び、
前記イベントデータと前記リンクデータを第２のデータベースに保存し、前記インタラクションデータと前記リンクデータを第３のデータベースに保存するための手段と、を含む、クラウドストレージシステム。

【請求項12】

さらに、前記車両識別情報及び前記イベントデータ間の関連性と、前記車両識別情報及び前記インタラクションデータ間の関連性を排除することが要求される場合に、前記第１データベースから前記車両識別情報又は前記ソルトを削除するための手段を含む、請求項１１に記載のクラウドストレージシステム。

【請求項13】

さらに、前記車両の車両保有者によって設定された有効期間が経過したことに応答し、前記イベントデータ及び前記インタラクションデータを前記第２データベース及び前記第３データベースに保持し、前記車両の車両識別情報又は前記ソルトを前記第１のデータベースから削除するための手段を含む、請求項１１に記載のクラウドストレージシステム。

【請求項14】

さらに、前記車両の車両保有者から前記車両識別情報、前記イベントデータ、及び前記インタラクションデータのうちの少なくとも１つの削除を要請する要請メッセージを受信するための手段、及び、
前記要請メッセージの受信に応答し、前記車両識別情報、前記リンクデータ、前記イベントデータ、及び前記インタラクションデータのうちの少なくとも１つを関連のデータベースから削除するための手段を含む、請求項９に記載のクラウドストレージシステム。

【請求項15】

前記第１のデータベースから前記車両識別情報又は前記ソルトを削除する場合に、前記第２のデータベース及び前記第３のデータベースに保存した関連のイベントデータ及びインタラクションデータに対する利用権限のセキュリティレベルが緩和されることを特徴とする、請求項１２ないし請求項１４のうちのいずれか一項に記載のクラウドストレージシステム。

【請求項16】

セキュリティレベルが緩和されていないイベントデータ又はインタラクションデータは、前記第１のデータベースに保存した関連の車両識別情報及びソルトから再構成したリンクデータに基づいて前記第２のデータベース又は前記第３のデータベースから検索され、
セキュリティレベルが緩和されたイベントデータ又はインタラクションデータは、前記再構成したリンクデータなしで、前記第２のデータベース又は前記第３のデータベースから直接検索することを許容されることを特徴とする、請求項１５に記載のクラウドストレージシステム。

【請求項17】

前記リンクデータは、
前記車両識別情報と前記ソルトに対して一方向ハッシュ関数を適用して生成されることを特徴とする、請求項１１に記載のクラウドストレージシステム。

【請求項18】

前記車両識別情報は、車両識別番号（vehicle identification number、ＶＩＮ）であり、前記リンクデータは、前記車両識別番号と前記ソルトから生成された前記車両識別番号の非形式化されたバージョンであることを特徴とする、請求項１１に記載のクラウドストレージシステム。

【請求項19】

前記リンクデータは、
前記車両の車両識別番号（ＶＩＮ）の一部ディジット（digit）とソルト（salt）の連接に対して一方向ハッシュ関数を適用してハッシュ値を生成し、前記車両識別番号の一部ディジットを前記ハッシュ値に置き換えて生成した車両識別番号の非識別化されたバージョンであることを特徴とする、請求項１１に記載のクラウドストレージシステム。

【請求項20】

前記一部のディジットは、
少なくとも生産シリアル番号を含むことを特徴とする請求項１９に記載のクラウドストレージシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、多数の車両で生成したデータを収集及び管理することに関する。

【背景技術】

【0002】

この部分に記載した内容は単に本発明に関する背景情報を提供するだけで、従来技術を構成するものではない。

【0003】

イベントデータレコーダ（Event Data Recorder、ＥＤＲ）は、事故等を検出し、その時点の前後所定時間内の車両の走行状態やドライバーによる操作等に関する情報を記憶するように構成する。速度、シートベルト状態、及びエアバッグ展開状態を含むいろんなパラメータは、フォレンジック調査の過程で復旧できるように保存される。

【0004】

フォレンジック調査は、一般に、車両の診断リンクコネクタ（diagnostic link connector）（例えば、ＯＢＤ － ＩＩポート）を介して、又はイベントデータレコーダのデータメモリを物理的に抽出してデータを読み出すことによって行われる。イベントデータレコーダ内のデータは、誤った読み取り技術によって破損又は変更される可能性があり、保存後に悪意を持って操作又は削除される可能性があり、保存したデータに関する無欠性が完全に保証されるとは限らない。

【0005】

ＡＤＡＳ（Advanced Driver Assistance Systems）や自律走行機能の適用が拡大するにつれ、イベントデータレコーダで従来記録するＥＤＲデータの他に、ＡＤＡＳ又は自律走行機能の動作状態、センサ入力に対する車両システムの判断などを示す追加のデータは、このような事故原因の適切な究明に役立つ。

【0006】

情報通信技術が発展するにつれ、このような車両生成データはネットワーク上のデータサーバに多様な形態で収集され、様々なサービスプロバイダに提供される。データサーバに収集される一部の情報は、個人のプライバシーの側面でデリケートな情報である場合がある。このようなデータサーバで、個人情報に関する実質的な統制と販売権限が運営者にあったため、個人は多くのリスクを負担しなければならなかった。

【0007】

さらに、欧州の一般個人情報保護法（General Data Protection Regulation、ＧＤＰＲ）などの個人情報保護に関する法案が施行されることにより、このような法律の枠内で車両生成データを効率的に収集及び活用できるシステムの導入が要求される。

【発明の概要】

【発明が解決しようとする課題】

【0008】

本開示は、通信機能を有する車両のデータ保存システムと車両生成データを収集及び管理するクラウドストレージシステムの一般的な概念を提示する。この概念は、車両内のデータ保存の限界を克服し、車両生成データへのユーザアクセスを最大化することに焦点を当てている。本開示は、特に、クラウドシステムにて個人のプライバシーを保護するデータ保存及び管理スキームを提示する。

【課題を解決するための手段】

【0009】

本開示の一態様によると、車両から車両生成データを収集及び管理するために、ネットワーク上の少なくとも１つのサーバによって実行される方法が提示される。前記方法は、車両からイベントレポートメッセージとインタラクションレポートメッセージを受信するステップを含む。前記イベントレポートメッセージは、車両識別情報及び前記車両のイベントデータレコーダによって保存したイベントデータを含み、前記インタラクションレポートメッセージは、前記車両識別情報及び前記車両の自律走行システムとドライバーとの間のインタラクションとを示すインタラクションデータを含む。前記方法は、さらに、前記車両識別情報とソルト（salt）からリンクデータを生成するステップと、前記車両識別情報と前記ソルトを第１のデータベースに保存するステップ、及び、前記イベントデータと前記リンクデータを第２のデータベースに保存し、前記インタラクションデータと前記リンクデータを第３のデータベースに保存するステップとを含む。

【0010】

前記方法の実施例は、さらに、下の特徴を１つ以上含む。

【0011】

一部の実施例で、前記方法は、さらに、前記車両識別情報及び前記イベントデータとの関連性と、前記車両識別情報及び前記インタラクションデータとの間の関連とを排除することが必要な場合に、前記第１のデータベースから前記車両識別情報又は前記ソルトを削除するステップを含む。

【0012】

一部の実施例で、前記方法は、さらに、前記車両の車両保有者によって設定された有効期間が経過したことに応答し、前記イベントデータ及び前記インタラクションデータを前記第１のデータベース及び前記第２のデータベースに保持し、前記車両の車両識別情報又は前記ソルトを前記第１のデータベースから削除するステップを含む。

【0013】

一部の実施例で、前記方法は、さらに、前記車両の車両保有者から前記車両識別情報、前記イベントデータ、及び前記インタラクションデータのうちの少なくとも１つの削除を要請する要請メッセージを受信するステップ、及び、前記要請メッセージの受信に応答し、前記車両識別情報、前記リンクデータ、前記イベントデータ、及び前記インタラクションデータのうちの少なくとも１つを関連したデータベースから削除するステップを含む。

【0014】

一部の実施例で、前記方法は、さらに、前記第１のデータベースから前記車両識別情報又は前記ソルトを削除する場合に、前記第２のデータベース及び前記第３のデータベースに保存した関連イベントデータ及びインタラクションデータに対する利用権限のセキュリティレベルを緩和するステップを含む。

【0015】

一部の実施例で、セキュリティレベルが緩和されていないイベントデータ又はインタラクションデータは、第１のデータベースに保存した関連車両識別情報及びソルトから再構成したリンクデータに基づいて前記第２のデータベース又は前記第３のデータベースから検索され、セキュリティレベルが緩和されたイベントデータ又はインタラクションデータは、前記再構成したリンクデータなしに、前記第２のデータベース又は前記第３のデータベースから直接検索することが許される。

【0016】

一部の実施例で、前記リンクデータは、前記車両識別情報と前記ソルトに関する一方向ハッシュ関数を適用して生成される。

【0017】

他の一部の実施例で、前記車両識別情報は車両識別番号（vehicle identification number、ＶＩＮ）であり、前記リンクデータは前記車両識別番号と前記ソルトから生成した前記車両識別番号の非識別化したバージョンである。前記車両識別番号の非識別化したバージョンは、前記車両の車両識別番号（ＶＩＮ）の一部のディジット（digit）とソルト（salt）の連接に対して一方向ハッシュ関数を適用してハッシュ値を生成し、前記一部のディジットを前記ハッシュ値に置き換えて生成される。

【0018】

本開示の一側面によると、車両から車両生成データを収集及び管理する、ネットワーク上の少なくとも１つのサーバによって具現されるクラウドストレージシステムを提示する。クラウドストレージシステムは、車両からイベントレポートメッセージとインタラクションレポートメッセージを受信するための手段を含む。前記イベントレポートメッセージは、車両識別情報及び前記車両のイベントデータレコーダによって保存されたイベントデータを含み、前記インタラクションレポートメッセージは、前記車両識別情報及び前記車両の自律走行システムとドライバーとの間のインタラクションを示すインタラクションデータを含む。前記クラウドストレージシステムは、さらに、前記車両識別情報とソルト（salt）からリンクデータを生成するための手段と、前記車両識別情報と前記ソルトを第１のデータベースに保存するための手段、及び、前記イベントデータと前記リンクデータを第２のデータベースに保存し、前記インタラクションデータと前記リンクデータを第３のデータベースに保存するための手段を含む。

【発明の効果】

【0019】

車両からＥＤＲ／ＤＳＳＡＤデータを収集し管理する一元化したシステムは、車両のデータレコーダが保存空間の制約から解放されるようにする。例えば、イベントデータレコーダは、従来よりも多くのトリガ条件を使用して従来では無視された軽微な事故に関連するＥＤＲデータも収集するように設計されることができ、イベントの事後分析をより容易にできるより多様なデータエレメント（例えば、イベントの前後に得られたレーダ／ライダデータ、Ｖ２Ｘメッセージなど）を収集するように設計されることができる。

【0020】

個人や機関は、一元化したシステムから興味のあるＥＤＲ／ＤＳＳＡＤデータを適時に容易に取得できる。さらに、信頼できるネットワーク上の保存所に保存したＥＤＲ／ＤＳＳＡＤデータは、そのデータの無欠性保証が要求されるフォレンジック調査に有用である。ＥＤＲデータとＤＳＳＡＤデータは相互補完的であり、特にＤＳＳＡＤデータは衝突時に車両を制御していた主体を確認するのに有用である。

【0021】

提案した一元化したシステムで、各車両に記録したＥＤＲ／ＤＳＳＡＤデータは、第三者が関連車両を識別又は追跡できるようにする車両識別情報（ＶＩＩ）から分離されたまま、リンクデータと共にネットワーク上のデータベースに保存して管理する。リンクデータは、ＶＩＩデータベースに保存した車両識別情報及びソルトに基づいて暗号学的に（再）生成されることができる。したがって、ＶＩＩデータベースから車両識別情報あるいはソルトを削除することにより、車両識別情報に関連するＥＤＲ／ＤＳＳＡＤデータ間の関連性を排除することができる。

【図面の簡単な説明】

【0022】

【図1】本発明の一実施例に係る、車両からイベントデータを収集し管理する一元化したシステムを図式に示す図である。

【図2】本発明の一実施例に係る、車両識別情報（ＶＩＩ）、ＥＤＲデータ、及びＤＳＳＡＤデータをデータベースに分離保存する例示的な方法を示す概念図である。

【図3】車両識別番号ＶＩＮの詳細事項を説明する図である。

【図4】本発明の一実施例に係る、車両識別番号（ＶＩＮ）の非識別化したバージョン及びこれによって識別されるＥＤＲの一例を示す。

【図5】本発明の一実施例に係る、クラウドストレージシステムが特定の車両に関するＥＤＲ／ＤＳＳＡＤデータを照会し提供する例示的な方法を示す概念図である。

【図6】本発明の一実施例に係る、クラウドストレージシステムが車両保有者の要請に応じてＶＩＩ／ＥＤＲ／ＤＳＳＡＤデータを削除する例示的な方法を示す概念図である。

【図7】本発明の一実施例に係る、図１に示すシステムのＥＤＲデータ収集プロセスを例示するフローチャートである。

【発明を実施するための形態】

【0023】

以下で、本発明の一部の実施例を例示的な図面を通して詳しく説明する。各図面の構成要素に参照符号を付加するに際し、同一の構成要素に対しては、たとえ他の図面上に表示されても可能な限り同一の符号を有するようにしていることに留意したい。なお、本発明の説明にて、関連する公知の構成又は機能に関する具体的な説明が本発明の要旨を不明瞭にすると判断した場合には、その詳しい説明は省く。

【0024】

図１は、本発明の一実施例に係る、車両から車両生成データを収集し管理する一元化したシステム（centralized system）を図式に示す図である。

【0025】

システム１００は、車両に設けられた車載データ記録システム（in-vehicle data recording system）１０と、ネットワーク上のサーバで具現するクラウドストレージシステム２０とを含む。クラウドストレージシステム２０を具現するサーバは、車両メーカーによって運用されるサーバあるいは車両メーカーとは独立した事業者によって運用されるサーバ、あるいはこれらの組み合わせを含む。

【0026】

車両は自律走行モードで完全にあるいは部分的に動作するように構成され、したがって「自律走行車両」と称する場合もある。例えば、自律走行システム１４は、センサシステム１３から情報を受信し、自動化した方式で、受信した情報に基づいて（例えば、検出した障害物を回避するために操舵を設定するなどのような）、1つ以上の制御プロセスを実行する。

【0027】

車両は完全に自律的又は部分的に自律的である。部分自律車両で、一部の機能は一時的あるいは持続的にドライバーによって手動で制御されることができる。さらに、部分自律車両は、完全手動動作モードと部分自律動作及び／又は完全自律動作モードとの間で切り替え自在に構成される。

【0028】

車載データ記録システム１０は、車両の運転やドライバーの行動に関連する多様な類型のデータを生成、記録、あるいは保存するように構成される。車載データ記録システム１０は、イベントデータレコーダ（Event Data Recorder、ＥＤＲ）１１と自律走行車両用のデータストレージシステム（Data Storage System for Automated Driving Vehicles、ＤＳＳＡＤ）１２の２つの類型のデータレコーダを備える。これらは、互いに異なる目的で車両生成データを記録する。

【0029】

ＥＤＲ１１の目的は、エアバッグ展開などの特定のイベントに関する車両情報を保存することである。ＥＤＲ１１のデータは衝突分析及び再構成に用いられる。ＤＳＳＡＤ１２の目的は、ドライバーと自律走行システムとの間の予め定義したすべての相互作用を記録することである。一般に、タイムスタンプ形式で保存するＤＳＳＡＤ１２のデータは、特定の時点で誰が車両を制御していたかを識別するために用いられる。ＥＤＲ１１のデータとＤＳＳＡＤ１２のデータはフォレンジック調査に相互補完的に使用され、特にＤＳＳＡＤ１２のデータは衝突時に車両を制御していた主体を確認するのに有用である。

【0030】

ＥＤＲ１１は、車両に搭載した各種センサ及び／又は電子制御ユニット（electronic control unit、ＥＣＵ）からデータを受信する。ＥＤＲ１１の揮発性メモリには、一定時間のデータが持続的にアップデートされて記録される。ＥＤＲ１１は、１つ以上の予め定義したイベントの発生を検出すると、その検出前後の所定時間内に揮発性メモリに記録したデータを内部の不揮発性メモリに保存するように設計される。そのようなイベントは特に衝突事故（traffic collision）であり得る。衝突事故は、例えば、エアバッグ又はプレテンションナ（pretensioner）などの不可逆安全装置の展開がトリガされたときに検出される。衝突事故はまた、予め定義した閾値を超える加減速（例えば、１５０ｍｓ内に８ｋｍ／ｈ以上の速度の変化）が発生したときに検出される場合もある。イベントは、車両の主な機能の故障をさらに含んでもよい。

【0031】

ＥＤＲ１１は、例えば、エアバッグ制御ユニット（airbag control unit、 ＡＣＵ）のような、電子制御ユニットからイベントの発生を知らせるトリガ信号を受信する場合がある。ＥＤＲ１１は、センサシステム１３に含まれる少なくとも１つのセンサによって測定された値にアクセス可能であってもよい。少なくとも１つのセンサは、車両の速度／加減速／移動距離／地理的位置などを感知するように設計される。ＥＤＲ１１は、エアバッグ制御ユニット（ＡＣＵ）内に１つのモジュールとして含まれてもよい。

【0032】

ＥＤＲ１１によって記録及び保存されるデータは、例えば、車両の動力学（dynamics）、ドライバーの行動、車両の安全システムの動作状態などのような衝突事故を分析するのに適したデータである。ＥＤＲ１１は、保存したデータ（以下、「ＥＤＲデータ」又は「イベントデータ」とも称する）をクラウドストレージシステム２０に伝送できるように、通信デバイス１５に提供することができる。

【0033】

自律走行システム１４は、ドライバーと自律走行システム１４との間の相互作用（interactions）を表すインタラクション信号を生成することができる。このようなインタラクション信号は、１つ以上の自律走行機能が現在アクティブであるか否かを示す信号を含む。例えば、自律走行システム１４は、アダプティブクルーズコントロール（Adaptive Cruise Control、ＡＣＣ）機能が現在アクティブであるか否かを示す信号を生成することができる。別の例として、自律走行システム１４は、車両の走行が現在手動ではなく完全に自動制御されているか否かを示す信号を生成してもよい。また、このようなインタラクション信号は、ドライバーへの走行タスクの制御を引き継ぐ（take-over）べきであることを指示する切換要請（transition demand）を示す信号、ドライバーへの走行タスクの制御が引き継がれた（take-over）ことを示す信号などをさらに含む。自律走行システム１４は、データバス（例えば、ＣＡＮバス、イーサネット（Ethernet）バスなど）を介してＤＳＳＡＤ１２にインタラクション信号を提供することができる。

【0034】

ＤＳＳＡＤ１２は、自律走行システム１４から受信したインタラクション信号に基づいてドライバーと自律走行システムとの間の相互作用を示すインタラクションデータを内部の不揮発性メモリに保存することができる。ＤＳＳＡＤ１２は、高度自律走行（highly-automated driving）システム（例えば、ＳＡＥレベル３、４、５分類）を備えた車両に搭載され、「運転を要請した主体」及び「実際に運転した主体」を明確にすることを目指すデータストレージシステムである。切替プロセスの間（すなわち、切替要求が発行された後にドライバーが実際に制御を引き継ぐまで）、「運転を要請した主体」及び「実際に運転した主体」は互いに異なる場合がある。

【0035】

インタラクションデータは、例えば、自律走行システムの状態(switched off, activated, transition demand, override)の変更、自律走行システムによる最小リスク起動(Minimal Risk Maneuver、ＭＲＭ)の開始及び終了、ドライバーへの走行タスクの制御引継ぎなどの特定のインタラクションイベントを表すタイムスタンプしたデータ要素を含む。ＤＳＳＡＤ１２は、保存したインタラクションデータ（以下、「ＤＳＳＡＤデータ」とも称する）をクラウドストレージシステム２０に伝送できるように、通信デバイス１５に提供する。

【0036】

ＤＳＳＡＤデータは、タイムスタンプ（Timestamp）、タイムフラグ、及び発生原因フィールドを含む３つのフィールドを有する。タイムスタンプフィールドは、ドライバーとシステムの間で特定の相互作用が発生した時間を示す。ＤＳＳＡＤデータには、その目的上、高精度のタイムスタンプが要求される。タイプフラグフィールドは、切換要求あるいは最小リスク起動などのようなドライバーとシステムとの間の相互作用の類型を示すフィールドである。発生原因フィールドは、相互作用が発生した原因を示すフィールドである。発生原因フィールドは選択的フィールド（optional field）である。

【0037】

通信デバイス１５は、車両内部ネットワークを外部の通信ネットワークにつなぐ有線又は無線通信機能を有する電子機器である。通信デバイス１５は、例えば、テレマティックスユニット（Telematics Unit、ＴＭＵ）、ＯＢＤ－ＩＩポートにプラグされる有無線ドングルである。通信デバイス１５は、例えば、ＧＳＭ／ＷＣＤＭＡ／ＬＴＥ／５Ｇなどのようなセルラー通信、又はＷＬＡＮ、ｃ－Ｖ２Ｘ、ＷＡＶＥ、ＤＳＲＣ、ブルートゥースなどのような短距離無線通信が可能な無線トランシーバを含むように構成されてもよい。

【0038】

通信デバイス１５は、ＥＤＲ１１からＥＤＲデータが受信されると、イベントレポートメッセージを生成する。通信デバイス１５は、通信ネットワークを介してクラウドストレージシステム２０に、イベントレポートメッセージを伝送する。イベントレポートメッセージは、車両識別情報（Vehicle Identifiable Information、ＶＩＩ）とＥＤＲ１１から受信したＥＤＲデータを含む。典型的な実施例で、車両識別情報ＶＩＩは、車両メーカーが個別の車両に割り当てる数字と文字からなる１７桁（１７digits）の固有識別子である車両識別番号（vehicle identification number、ＶＩＮ）である。あるいは、車両識別情報は、車両登録番号（license plate information）、通信デバイス１５が通信に用いる固有識別子、Ｖ２Ｘ通信のために車両に割り当てた（長期もしくは短期）証明書等であってもよい。イベントレポートメッセージは、イベントが発生した地理的位置、日付、時刻などの追加情報をさらに含んでもよい。

【0039】

通信デバイス１５は、ＤＳＳＡＤ１２からＤＳＳＡＤデータが受信されると、インタラクションレポートメッセージを生成する。通信デバイス１５は、通信ネットワークを介してクラウドストレージシステム２０にインタラクションレポートメッセージを伝送する。インタラクションレポートメッセージは、車両識別情報ＶＩＩとＤＳＳＡＤ１２から受信したＤＳＳＡＤデータを含む。

【0040】

クラウドストレージシステム２０は、多数の車両からＥＤＲデータとＤＳＳＡＤデータを収集及び管理する、ネットワーク上のサーバに具現される、データ管理システムである。

【0041】

クラウドストレージシステム２０は、多数の車両からイベントレポートメッセージとインタラクションレポートメッセージを受信する。クラウドストレージシステム２０は、車両から受信したリポートメッセージに対し、第三者が関連された車両又は関連の個人を識別したり追跡したりできるようにする車両識別情報（ＶＩＩ）をＥＤＲ／ＤＳＳＡＤデータから分離し、車両識別情報（ＶＩＩ）とＥＤＲ／ＤＳＳＡＤデータをそれぞれ異なるデータベースに保存する。

【0042】

クラウドストレージシステム２０は、ＥＤＲ／ＤＳＳＡＤデータを利用しようとする利用者３０の要請に応じ、特定の車両や個人が識別されない匿名化されたＥＤＲ／ＤＳＳＡＤデータを提供したり、特定の車両や個人が識別されたＥＤＲ／ＤＳＳＡＤデータを提供したりする。利用者３０は、ＥＤＲ／ＤＳＳＡＤデータを活用したい車両所有者、ドライバー、保険会社、政府機関、研究者、車両メーカーなどであってもよい。クラウドストレージシステム２０は、裁判所命令（court order）、捜査令状及び／又は他の適用可能な法律及び規制によって他に承認されない限り、特定の車両や個人が識別されたＥＤＲ／ＤＳＳＡＤデータに対し、関連車両保有者によって許可した調査者又は他の利用者に限り提供しなければならない。

【0043】

クラウドストレージシステム２０は、サービスマネージャ２１、ルール／ポリシーマネージャ２３、保存所コーディネータ２５、クラウドインターフェース２７、及びデータ保存所２９を含んで具現される。データ保存所２９は、少なくとも１つのデータサーバによって具現される。

【0044】

サービスマネージャ２１は、車両からＥＤＲ／ＤＳＳＡＤデータを収集及び管理し、ユーザに特定の車両又は個人が特定されない匿名化したＥＤＲ／ＤＳＳＡＤデータを提供したり、特定の車両又は個人が識別したＥＤＲ／ＤＳＳＡＤデータを提供したりする機能的エンティティである。ルール／ポリシーマネージャ２３は、データ保存所２９に保存したユーザプロファイル、及びプライバシーポリシーを管理する機能的エンティティである。保存所コーディネータ２５は、ＥＤＲデータ、ＤＳＳＡＤデータ及びＶＩＩデータをデータ保存所２９のデータベースに分離保存し、データ保存所２９のデータベースからＥＤＲデータ、ＤＳＳＡＤデータ及びＶＩＩデータを検索する機能を実行する機能的エンティティである。クラウドインターフェース２７は、クラウドストレージシステム２０のゲートウェイ（gateway）として動作する機能的エンティティである。

【0045】

データ保存所２９は、ユーザプロファイル、プライバシーポリシー、ＶＩＩデータ、ＥＤＲデータ、及びＤＳＳＡＤデータを記録したデータベースを有する。ユーザプロファイルは、クラウドストレージシステム２０に加入した個人、団体、あるいは機関の加入情報を含む。プライバシーポリシーは、各車両のＥＤＲ／ＤＳＳＡＤデータの収集及び管理プロセスに適用されるプライバシールールのセットを含む。

【0046】

ルール／ポリシーマネージャ２３は、車両保有者から、自分の車両から収集される個人データ（ＶＩＩ／ＥＤＲ／ＤＳＳＡＤデータ）に対するプライバシーオプションに関する設定を受信し、受信したプライバシーオプション設定に従って個人データの収集、管理及び利用に対して適用するプライバシールールのセット（すなわち、プライバシーポリシー）を生成する。

【0047】

図２を参照して、クラウドストレージシステム２０が車両から受信したレポートメッセージに含まれる車両識別情報（ＶＩＩ）、ＥＤＲデータ、及びＤＳＳＡＤデータをデータベースに分離保存する例示的な方法を説明する。

【0048】

クラウドインターフェース２７は、車両とセキュリティチャネルを介してイベントレポートメッセージあるいはインタラクションレポートメッセージを受信する。各レポートメッセージは、ＥＤＲデータと車両識別情報（ＶＩＩ）を含む、又はＤＳＳＡＤデータと車両識別情報（ＶＩＩ）を含む。

【0049】

保存所コーディネータ２５は、互いに異なるデータベースに保存されるＥＤＲ／ＤＳＳＡＤデータと車両識別情報ＶＩＩとの間の関連性を維持するためのリンクデータを生成する。リンクデータは、車両識別情報とランダムに生成した値（以下「ソルト」と称する）に、少なくとも部分的に基づいて生成される。しかしながら、リンクデータは、それ自体として車両や個人を識別することを可能にするいかなる意味のある情報も含まない。

【0050】

保存所コーディネータ２５は、各レポートメッセージに含まれる情報を２つのデータセットに分割する。第１のデータセットはＥＤＲ／ＤＳＳＡＤデータを含むが、車両識別情報（ＶＩＩ）を含まず、第２のデータセットは車両識別情報（ＶＩＩ）を含むが、ＥＤＲ／ＤＳＳＡＤデータを含まない。すなわち、関連の車両や個人を識別又は追跡することを可能にする車両識別番号（ＶＩＮ）又は他の任意の固有データがＥＤＲ／ＤＳＳＡＤデータから分離される。

【0051】

保存所コーディネータ２５は、リンクデータを追加した第１のデータセット（すなわち、リンクデータとＥＤＲ／ＤＳＳＡＤデータ）をＥＤＲ／ＤＳＳＡＤデータベースに保存する。保存所コーディネータ２５は、ソルトを追加した第２のデータセット（すなわち、ソルトと車両識別情報）をＶＩＩデータベースに保存する。

【0052】

リンクデータは、車両識別情報に少なくとも部分的に基づいて生成した仮名識別子（pseudonymous identifier）である。一部の実施例で、仮名識別子は、車両識別情報ＶＩＩに対して一方向ハッシュ関数（one-way hash function）を適用して生成される。一方向ハッシュ関数は、生成した仮名識別子から車両識別情報あるいは他の有用な情報を抽出することを不可能とする。好ましくは、仮名識別子は、車両識別情報とソルト（salt）の連接（concatenation）に対して一方向ハッシュ関数を適用して生成される。仮名識別子の生成に用いられるソルトは、関連する車両識別情報と共にＶＩＩデータベースに保存される。ここで、一方向ハッシュ関数を一例として説明したが、仮名識別子を生成する他の種類の暗号学的アルゴリズムを用いてもよい。

【0053】

一部の実施例で、リンクデータは、車両識別番号（vehicle identification number、ＶＩＮ）の非識別化されたバージョンであってもよい。上述したように、車両識別番号（ＶＩＮ）は、車両メーカーが個別の車両に割り当てる数字と文字からなる１７桁（１７digits）の固有識別子である。車両識別番号（ＶＩＮ）の非識別化したバージョンは、少なくとも製造シリアル番号を含む一部のディジットが暗号学的に非識別化されたものである。

【0054】

以下に説明するように、車両識別番号（ＶＩＮ）の各桁は特定の目的を有する。

【0055】

図３は、車両識別番号（ＶＩＮ）の細部事項を説明する図である。

【0056】

世界のメーカーの識別子（World Manufacturer identifier）又はＷＭＩコードとして知られているＶＩＮの最初の３桁は、車両を製造した会社とその場所に関する情報を提供する。

【0057】

ＶＩＮの最初の桁は、車両が製造された国を表す。この桁は文字又は数字である。例えば、最初の桁である「１」、「４」又は「５」は、原産地を米国として識別する。カナダは「２」、「３」はメキシコ、「６」はオーストラリア、「Ａ」は南アフリカ、「Ｊ」は日本、「Ｌ」は中国、「Ｋ」は韓国である。

【0058】

ＶＩＮの２番目の桁は車両メーカーを表すが、製造元を正確にデコードするには、最初の桁（原産国を表す）と対をなさなければならない。例えば、「１Ｃ」で始まるＶＩＮはアメリカでクライスラーによって製造された車両を識別する反面、「ＡＣ」で始まるＶＩＮは南アフリカでヒョンダイによって製造された車両を識別する。

【0059】

３番目の文字は、車両の種類（vehicle type）又は製造部門（manufacturing division）を表す。「ＷＶ１」で始まるＶＩＮを考えると、「Ｗ」はドイツを製造国として表し、「Ｖ」はメーカーとしてフォルクスワーゲンを指す。「１」は、フォルクスワーゲンの商用車（commercial vehicle）を意味する。フォルクスワーゲンのバス又はバンのＶＩＮは「ＷＶ２」で始まり、フォルクスワーゲントラックのＶＩＮは「ＷＶ３」で始まる。

【0060】

ＶＩＮの４番目から８番目の桁は車両記述子セクション（Vehicle Descriptor Section、ＶＤＳ）を構成し、車体スタイル、エンジンタイプ、モデル、シリーズなどの車両特徴（vehicle features）を表す。各メーカーは独自の方式でこの５桁のフィールドを使用する。

【0061】

９番目の桁は、無効なＶＩＮを識別するためのＶＩＮの点検数字である。この数字は、最初の８桁と最後の８桁に対する数値（numeric values）を用いて数学式によって決定される。

【0062】

ＶＩＮの１０番目から１７番目の桁は、車両識別子セクション（Vehicle Identifier Section、ＶＩＳ）として知られている。これらは特定の車両についてもっと詳しい説明を提供する。

【0063】

１０番目の文字は車両のモデル年式を示す。ＢからＹまでの文字は１９８１年から２０００年の間のモデルに該当する。ＶＩＮはＩ、Ｏ、Ｑ、Ｕ、又はＺを使用しない。２００１年から２００９年の間には文字の代わりに１から９までの数字が使用された。２０１０年にＡから始まり、アルファベットは２０３０年まで続く。２０００年以降のモデル年式は次のとおりである。Ｙ = ２０００、１ = ２００１、２ = ２００２、３ = ２００３、…、９ = ２００９、Ａ = ２０１０、Ｂ = ２０１１、Ｃ = ２０１２、… Ｋ = ２０１９、Ｌ = ２０２０。

【0064】

１１番目の桁は車両を組み立てる製造工場を示す。各車両メーカーは独自の工場コードセットを有する。最後の６桁（１２番目から１７番目の桁）は、車両の生産シリアル番号（serial number）を表す。

【0065】

保存所コーディネータ２５は、車両識別番号（ＶＩＮ）を解析してシリアル番号（serial number）を抽出し、ソルトとシリアル番号（serial number）の連接（concatenation）に一方向ハッシュ関数を適用してハッシュ値を生成する。保存所コーディネータ２５は、ＶＩＮのシリアル番号を生成したハッシュ値に置き換え、車両識別番号ＶＩＮの非識別化したバージョンを生成する。すなわち、車両識別番号ＶＩＮの非識別化したバージョンは、隠された（masked）製造シリアル番号を有する。

【0066】

図４は、車両識別番号（ＶＩＮ）の非識別化したバージョンの一例を示す。車両識別番号（ＶＩＮ）の非識別化したバージョンで、製造シリアル番号を除く残りの桁（digits）は平文であるため、多数の車両から収集したＥＤＲデータについての意味のある統計分析を可能にする。例えば、「北米で生産された２０１８年式アバンテモデル」の車両で生成したＥＤＲデータを分析することが可能である。

【0067】

一方、ごく少数しか生産されていないモデルの場合には、モデル、シリーズ、車両のモデル年式などの情報が関連する車両や所有者を追跡することができる。したがって、このようなモデルに対しては、車両識別子セクション（ＶＩＳ）である車両識別番号（ＶＩＮ）の１０番から１７番目の桁と車両記述子セクション（ＶＤＳ）である車両識別番号（ＶＩＮ）の４番目から８番目の桁のうちの少なくとも一部に対しても、製造シリアル番号に対して行われた非識別処理と類似の処理が行なわれ得る。

【0068】

リンクデータ（特に仮名識別子）自体は、車両や個人を識別するためのいかなる意味の情報を含まないが、リンクデータは、ＶＩＩデータベースに保存した車両識別情報及びソルトに基づいて暗号学的に再構成される。したがって、ＶＩＩデータベースからＥＤＲ／ＤＳＳＡＤデータベースの方向に車両識別情報（ＶＩＩ）とＥＤＲ／ＤＳＳＡＤデータの関連性を追跡することができるが、その逆方向では追跡は不可能である。一部の具現例で、ＥＤＲ／ＤＳＳＡＤデータベースのオペレータは、ＶＩＩデータベースを含むクラウドストレージシステム２０の他の機能要素のオペレータから独立したサービス事業者であることに留意したい。この具現例で、ＶＩＩデータベースが安全に管理される限り、そのような独立したサービス事業者は、車両保有者のプライバシーに関するリスクをほぼ無しにＥＤＲ／ＤＳＳＡＤデータを利用又は配布することができる。

【0069】

さらに、ＶＩＩデータベースからリンクデータを再構成するために用いられる車両識別情報又はソルトを削除することによって、車両識別情報に関連するＥＤＲ／ＤＳＳＡＤデータ間の関連性を排除することもできる。保存所コーディネータ２５は、車両識別情報及びＥＤＥ／ＤＳＳＡＤデータの間の関連性を排除することを求められた場合、ＥＤＲ／ＤＳＳＡＤデータを関連のデータベースでそのまま保持するが、ＶＩＩデータベースから車両識別情報又はソルトを削除することができる。これは、ＶＩＩデータベースとＥＤＲ／ＤＳＳＡＤデータベースのオペレーティング主体が互いに異なる場合に有用である。

【0070】

図５を参照し、クラウドストレージシステム２０が特定の車両に関するＥＤＲ／ＤＳＳＡＤデータを照会して提供する例示的な方法を説明する。

【0071】

セキュリティチャネルを介して特定の車両についてのＥＤＲ／ＤＳＳＡＤデータを要請するデータ要請メッセージを受信すると、クラウドインターフェース２７は、要請者がデータ主体である車両保有者であるか正当な権限を有する第三者であるかを認証する。データ要請メッセージは、認証情報と特定の車両のＶＩＩを含む。認証が成功すると、保存所コーディネータ２５は、ＶＩＩデータベースを照会し、車両のＶＩＩと共に保存したソルトを取得する。保存所コーディネータ２５は、ＶＩＩとソルトからリンクデータを再構成する。保存所コーディネータ２５は、リンクデータを用い、ＥＤＲデータベース及びＤＳＳＡＤデータベースからそれぞれＥＤＲデータ及びＤＳＳＡＤデータを検索する。保存所コーディネータは、データ要請とそれに応じた照会タスクに関するログを記録し、要請者に見つかったＥＤＲデータ及びＤＳＳＡＤデータに応答する。

【0072】

ＧＤＰＲなどの個人情報保護に関するほとんどの規定は、データ主体がデータの利用、管理、及び処分を制御する権利を保有することを保証する。このために、クラウドストレージシステム２０は、各車両からＥＤＲ／ＤＳＳＡＤデータを収集及び管理するプロセスに対して適用されるプライバシールールのセットを含むプライバシーポリシーを確立する。

【0073】

ルール／ポリシーマネージャ２３は、車両保有者がＥＤＲ／ＤＳＳＡＤデータに対して適用する１つ以上のプライバシーオプションを選択することができるグラフィカルユーザインタフェースを提供するウェブサーバを運用する。クラウドストレージシステム２０の規則／ポリシーマネージャ２３は、車両保有者からその車両のＥＤＲ／ＤＳＳＡＤデータに対するプライバシーオプションの選択を受信する。プライバシーオプションの選択は、車両保有者がクラウドストレージシステム２０に加入するとき、又は自分の車両を登録するとき、あるいは登録後の任意の時点で行われてもよい。選択可能な例示的なプライバシーオプションを並べる。

【0074】

- オプトアウト（opt-out）：車両保有者が自分の車両から収集することを許可しない１つ以上のデータエレメントを特定できるオプション
- オプトイン（opt-in）：車両保有者が自分の車両から収集することを許可する１つ以上のデータエレメントを特定するオプション
- 制限された使用（restricted use）：車両保有者が自分の車両から収集されたデータを使用することが許可される目的と期間を制限するオプション
- 非識別化（de-identification）：車両保有者が自分の車両からデータを収集することは許可するが、車両や個人との関連関係を除去した状態で第三者によって用いられることを許可するオプション

【0075】

ルール／ポリシーマネージャ２３は、車両保有者によって行われた選択（又はプライバシーオプション）に従い、前記車両のＥＤＲ／ＤＳＳＡＤデータに対して適用するプライバシールールのセットを生成し、プライバシーポリシー関連のデータベースに保存する。プライバシールールのセットは、エクステンシブル マークアップ ランゲージ（Extensible Markup Language、XML）などのマークアップ言語（markup language）として定義することができる。

【0076】

クラウドストレージシステム２０に加入した後も、車両保有者はクラウドストレージシステムに個人データ（ＶＩＩ／ＥＤＲ／ＤＳＳＡＤデータ）の削除を要請する権利を有し、その要請に応じてクラウドストレージシステム２０は過度な遅滞なく個人データを削除する義務を負う。

【0077】

図６を参照して、クラウドストレージシステム２０が車両保有者の要請に従ってＶＩＩ／ＥＤＲ／ＤＳＳＡＤデータを削除する例示的な方法を説明する。

【0078】

セキュリティチャネルを介して車両生成データの削除を要求する削除要請メッセージを受信すると、クラウドインターフェース２７は、要請者がデータ主体である車両保有者であるか否かを認証する。削除要請メッセージは、認証情報に関連する車両のＶＩＩを含む。認証が成功すると、保存所コーディネータ２５は、ＶＩＩデータベースを照会し、車両のＶＩＩと共に保存したソルトを取得する。保存所コーディネータ２５は、ＶＩＩとソルトからリンクデータを再構成する。保存所コーディネータ２５は、リンクデータを用いてＥＤＲデータベース及びＤＳＳＡＤデータベースからそれぞれＥＤＲデータ及びＤＳＳＡＤデータを検索し、リンクデータに対応するＥＤＲ／ＤＳＳＡＤデータを削除する。保存所コーディネータは、削除要請及びそれによる削除タスクに関するログを記録し、要請者にその実行結果を応答する。

【0079】

車両保有者の削除要請は、ＶＩＩとＥＤＲ／ＤＳＳＡＤデータの中から削除しようとするデータに関する選択をさらに含んでもよい。車両保有者の選択に応じ、クラウドストレージシステム２０は、ＶＩＩとＥＤＲ／ＤＳＳＡＤデータをデータベースから選択的に削除してもよい。

【0080】

車両保有者は、車両や個人との連関関係が削除された状態でＥＤＲ／ＤＳＳＡＤデータを第三者によって使用されることを可能とするために、ＶＩＩ又はリンクデータのみの削除を要請してもよい。ＶＩＩ又はリンクデータのみが削除された場合、クラウドストレージシステム２０は、関連するＥＤＲ／ＤＳＳＡＤデータのプライバシールール（例えば、利用権限又はアクセス権限）に関するセキュリティレベルを緩和する。例えば、クラウドストレージシステム２０は、車両保有者が設定した使用目的や期間に対する制約なしに、ＶＩＩが削除されたＥＤＲ／ＤＳＳＡＤデータを保有し、研究目的で使用したり、第三者に提供したりしてもよい。したがって、セキュリティレベルが緩和されたイベントデータ又はインタラクションデータは、再構成したリンクデータなしで、前記第２のデータベース又は前記第３のデータベースから直接検索することが許容されたりもする。

【0081】

一部の実施例で、車両保有者が設定した有効期間が満了した場合、クラウドストレージシステム２０は、ＥＤＲ／ＤＳＳＡＤデータベースに関連するＥＤＲ／ＤＳＳＡＤデータをそのまま維持するが、ＶＩＩデータベースから関連する車両識別情報（ＶＩＩ）又はソルトを削除することもできる。したがって、車両保有者が設定した有効期間が満了した後であっても、ＥＤＲ／ＤＳＳＡＤデータは、ＶＩＩデータとの関連性を除去した状態で統計的な分析などに用いられてもよい。そのような場合でも、車両保有者の明示的な削除要請を受信すると、クラウドストレージシステム２０はＥＤＲ／ＤＳＳＡＤデータさえも削除しなければならない。他の一部の実施例で、車両保有者が設定した使用期間が満了した場合、クラウドストレージシステムは、関連するＶＩＩデータをそのまま保持するが、使用期間が満了したＥＤＲ／ＤＳＳＡＤデータのみを選択的に削除してもよい。

【0082】

下では、図７を参照し、図１に示すシステムにおけるＥＤＲデータを収集及び保存するプロセスを説明する。類似のプロセスがＤＳＳＡＤデータを収集及び保存するために実行されてもよい。

【0083】

図７は、図１に示すシステムのＥＤＲデータ収集プロセスを例示するフローチャートである。

【0084】

ステップＳ７０２にて、車載データ記録システム１０の通信デバイス１５は、ＥＤＲ１１を含む１つ以上のモジュール、ＥＣＵ、コンポーネント、プログラムなどからイベントデータを取得する。例えば、通信デバイス１５は、ＥＤＲ１１からイベント発生にトリガされて記録したＥＤＲデータを受信し、イベントが発生した地理的位置、日付、時刻などをさらに収集することができる。

【0085】

ステップＳ７０４にて、通信デバイス１５はイベントレポートメッセージを生成し、生成したイベントレポートメッセージをネットワーク上のクラウドストレージシステム２０に無線伝送する。イベントレポートメッセージは、ＥＤＲデータと車両識別情報を含む。イベントレポートメッセージは、イベントが発生した地理的位置、日付、時刻、車両モデル、製造年度、メーカーなどの追加情報をさらに含んでもよい。

【0086】

ステップＳ７０６にて、クラウドストレージシステム２０の保存所コーディネータ２５は、データ保存所２９のプライバシーポリシーに関連するデータベースから前記車両に関連するプライバシールールを取得する。プライバシールールにより、保存所コーディネータ２５は、車両から受信したイベントレポートメッセージから収集が許容された項目を抽出する、あるいは収集が許容されていないデータを除去するなどのイベントレポートメッセージに対する前処理（すなわち、データフィルタリング）を実行する。

【0087】

ステップＳ７０８にて、保存所コーディネータ２５は、前処理したイベントレポートメッセージに対し、互いに異なるデータベースに保存されるＥＤＲデータと車両識別情報ＶＩＩの間の関連性を維持するためのリンクデータを生成する。リンクデータは、車両識別情報とランダムに生成した値であるソルトに基づいて生成されてもよい。

【0088】

ステップＳ７１０にて、保存所コーディネータ２５は、車両識別情報とソルトを含む第１のデータセットをＶＩＩデータベースに保存する。さらに、保存所コーディネータ２５は、リンクデータを追加した第２のデータセットをイベントデータベースに保存する。

【0089】

ステップＳ７１２にて、クラウドストレージシステム２０は、イベントデータの保存の成功の如何を知らせる応答メッセージを車載データ記録システム１０に伝送する。

【0090】

上記の例示的な実施例は、多くの他の方式で具現できることを理解されたい。一部の具現で、本開示で説明した多様な方法、装置、サーバ、（サブ）システムは、プロセッサ、メモリ、ディスク、又は他の大容量ストレージ、通信インタフェース、入出力（Ｉ／Ｏ）デバイス及び他の周辺装置を有する少なくとも１つの汎用コンピュータによって具現してもよい。汎用コンピュータは、ソフトウェア命令語をプロセッサにロードした後に、本開示に説明した機能を実行するために命令を実行することによって上述の方法を実行する装置、サーバ、システムなどとして機能することができる。

【0091】

一方、本開示で説明した多様な方法は、１つ以上のプロセッサによって読み取って実行される非一時的記録媒体に保存した命令語で具現してもよい。非一時的記録媒体は、例えばコンピュータシステムによって読み取り可能な形態でデータが保存されるあらゆる種類の記録装置を含む。例えば、非一時的な記録媒体は、ＥＰＲＯＭ（erasable programmable read only memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）、フラッシュドライブ、光学ドライブ、磁気ハードドライブ、ソリッドステートドライブ（ＳＳＤ）などの記憶媒体を含む。

【0092】

以上の説明は、本実施例の技術思想を例示的に説明したものに過ぎず、本実施例が属する技術分野で通常の知識を有する者であれば、本実施例の本質的な特性から逸脱しない範囲で多様な修正及び変形が可能であろう。したがって、本実施例は、本実施例の技術思想を限定するものではなく説明するためのものであり、このような実施例によって本実施例の技術思想の範囲が限定されるものではない。本実施例の保護範囲は、特許請求の範囲によって解釈されるべきであり、それと同等の範囲内にあるすべての技術思想は、本実施例の権利範囲に含まれるものと解釈されるべきである。

【0093】

CROSS-REFERENCE TO RELATED APPLICATION
本特許出願は、本明細書にその全体が参考として含まれる、２０２０年０３月０４日付にて韓国に出願した特許出願番号第１０-２０２０-００２７４５５号及び２０２１年０２月２５日付にて韓国に出願した特許出願番号第１０-２０２１-００２５８２０号に対して優先権を主張する。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【国際調査報告】