(57)【要約】      （修正有）【課題】スマートメータリング・データを匿名にするための装置および方法を提供する。【解決手段】家庭や企業のような測定対象のエネルギー消費設備におけるエネルギー消費量データを取得し、取得エネルギー消費量データをユーティリティ・プロバイダーが許容する態様でスクランブル処理することによって匿名化し、匿名化されたエネルギー消費量データをユーティリティ・プロバイダーに報告する装置及び方法。該装置は、スマートメーターあるいはその一部を構成してもよい。【選択図】図１
2011244441.tif 000002
【特許請求の範囲】
【請求項１】
ユーティリティ・プロバイダーによって提供されるユーティリティの消費量に関する消費量データを取得するための入力部と、
変更後消費量データを出力するための出力部と、
前記変更後消費量データからの取得消費量データの偏差が所定の閾値を超過する場合に、前記変更後消費量データが前記取得消費量データに収束し始めるように前記取得消費量データに基づいて前記変更後消費量データを生成するように構成されたプロセッサーと、を具備する装置。
【請求項２】
前記プロセッサーは、ある時点では、変更後消費量データがユーティリティの消費量を過大に表わし、他の時点では、ユーティリティの消費量を過小に表し、所定時点又は所定期間が終了した時点では、ユーティリティの消費量を正確に表わすように前記変更後消費量データを計算するよう構成される請求項１記載の装置。
【請求項３】
前記プロセッサーは、前記変更後消費量データが前記消費量データに向かって収束するように、１つ以上の次の変更後消費量データ点を生成するのに使用される変更係数を、以前の取得消費量データ点及び以前に計算された消費量データ点に基づいて決定するよう構成される請求項１記載の装置。
【請求項４】
前記プロセッサーは、幾つかの取得消費量データ点に基づいて前記変更後消費量データを決定するよう構成され、
前記取得消費量データ点は、単一の又はいくつかの計測装置により連続して取得された消費量データ点、あるいは、いくつかの計測装置によって実質的に同時に取得された消費量データ点である、請求項１記載の装置。
【請求項５】
前記プロセッサーは、オーバーライド・コマンドの受信に従い、消費量データの変更を停止し、未変更の消費量データを出力するよう構成される請求項１記載の装置。
【請求項６】
前記プロセッサーは、過去の取得消費量データを記憶し、記憶データを前記出力部に供給するコマンドの受信に従い、前記記憶した過去の取得消費量データを出力するよう構成される請求項１記載の装置。
【請求項７】
ユーティリティ・プロバイダーによって提供されるユーティリティの消費量に関する消費量データを匿名化する方法であって、
入力部を通じて前記消費量データを取得すること、
変更後消費量データの前記取得消費量データからの偏差が所定の閾値を超過する場合に、前記変更後消費量データが前記取得消費量データに向けて収束し始めるように前記取得消費量データに基づいて前記変更後消費量データを生成するためにプロセッサーを使用すること、
前記変更後消費量データを出力すること、
を含む方法。
【請求項８】
前記プロセッサーを使用することは、ある時点では、前記変更後消費量データがユーティリティの消費量を過大に表わし、他の時点では、ユーティリティの消費量を過小に表し、所定時点又は所定期間が終了した時点では、ユーティリティの消費量は正確に表わすように、前記取得消費量データに基づいて前記変更後消費量データを生成すること、を含む請求項７記載の方法。
【請求項９】
オーバーライド・コマンドの受信に従い、未変更の取得消費量データを出力すること、をさらに含む請求項７記載の方法。
【請求項１０】
過去の消費量データを記憶すること、
過去の消費量データを出力するコマンドの受信に従い、前記過去の消費量データを出力すること、をさらに含む請求項７記載の方法。
【請求項１１】
ユーティリティ・プロバイダーによって提供されるユーティリティの消費量に関する消費量データを匿名化にする方法であって、
消費量データを取得すること、
以前の取得消費量データ点及び以前に生成された変更後消費量データ点に基づいて、前記変更後消費量データが前記取得消費量データに向かって収束するよう１つ以上の次の変更後消費量データ点の生成に使用される変更係数を決定するためにプロセッサーを使用すること、
前記取得消費量データ及び前記変更係数に基づいて、１つ以上の次の変更後消費量データ点を生成するためにプロセッサーを使用すること、
前記生成された１つ以上の次の変更後消費量データ点を出力すること、
を含む方法。
【請求項１２】
オーバーライド・コマンドの受信に従い、未変更の取得消費量データを出力すること、をさらに含む請求項１１記載の方法。
【請求項１３】
過去の消費量データを記憶すること、
過去の消費量データを出力するコマンドの受信に従い、前記過去の消費量データを出力すること、
を含む請求項１１記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、スマートメータリング・データを匿名にするための装置および方法に関する。
【背景技術】
【０００２】
スマートグリッドの技術的課題が持ち上がっている。スマートグリッドが取り得る形の論議は、ＩＥＥＥ  Ｐｏｗｅｒ  ａｎｄ  Ｅｎｅｒｇｙ  Ｍａｇａｚｉｎｅ，７（２）：５２−６２、２００９のＡ．Ｉｐａｋｃｈｉ  ａｎｄ  Ｆ．ＡｌｂｕｙｅｈによるＧｒｉｄ  ｏｆ  ｔｈｅ  ｆｕｔｕｒｅ（将来のグリッド）に見られ得る。スマートグリッドは、それ自体で多数のサブシステムを統一するシステムと見られ得る。スマートグリッドはさらに、電力および制御システム、電気通信および情報技術システムといった多数の工学技術を融合させる。
【０００３】
スマートグリッドは、持続可能な経済的で確実な電力供給を効率的に提供するためにスマートグリッドの構成要素の機能を知的に統合して最適化すると考えられる。スマートグリッドは、改善されたグリッド接続性、最適化された消費者電力供給または電力蓄積、改善された消費者サービス、環境影響の管理、および供給の信頼性と安全性との高められたレベルといった広範囲の新サービスを提供するために監視、制御、通信および自己回復技術と共に、製品とサービスとを使用できる。
【０００４】
スマートグリッドはさらに、双方向通信ネットワークによってスマートグリッド構成要素を相互接続するという点において一般（レガシーな）グリッドとは異なる。この双方向接続は、エネルギー供給業者と顧客とが必要であれば対話方式および／またはリアルタイム方式で情報を交換することを可能にする。この種の情報交換は、負荷削減、消費管理、分配エネルギー蓄積（例えば電気自動車における）、および分配エネルギー発生（例えば再生可能資源からの）といった特徴をサポートできる。
【０００５】
スマートグリッドはさらに、自動化されたメーター読み取り（ＡＭＲ）のための高度計測インフラストラクチャ（ＡＭＩ）を使用できる。高度計測インフラストラクチャにおけるスマートメーターの役割は極めて重要である。通常は電気メーターであるがガス、水および／または熱の消費を計測するデバイスといった他の計測デバイスも組み込み得るスマートメーターは、従来のメーターより遥かに詳細に電力消費を測定する。さらに、将来のスマートメーターは、収集された情報を第三者に、特に該当の公共事業（電気、ガス、水道）の供給業者、すなわち電力供給業者に伝達する能力を持つであろうことが期待される。
【０００６】
スマートグリッド・データと高度計測データとの情報セキュリティは、最重要である。スマートグリッド・セキュリティを実現して分析することは、特に攻撃によって、また高度計測データの損傷によって引き起こされ得る潜在的損傷の尺度を考えるときに、やりがいのある仕事である。スマートグリッドの危険と脆弱性との区分は、Ｎａｔｉｏｎａｌ  Ｉｎｓｔｉｔｕｔｅ  ｏｆ  Ｓｔａｎｄａｒｄｓ  ａｎｄ  Ｔｅｃｈｎｏｌｏｇｙ（ＮＩＳＴ）によって発行されている（Ａ．Ｌｅｅ  ａｎｄ  Ｔ．Ｂｒｅｗｅｒ，“Ｓｍａｒｔ  ｇｒｉｄ  Ｃｙｂｅｒ  Ｓｅｃｕｒｉｔｙ  Ｓｔｒａｔｅｇｙ  ａｎｄ  Ｒｅｑｕｉｒｅｍｅｎｔｓ（スマートグリッド・サイバーセキュリティ戦略および要件）．Ｔｅｃｈｎｉｃａｌ  Ｒｅｐｏｒｔ  ＤＲＡＦＴ”ＮＩＳＴＩＲ７６２８、Ｔｈｅ  Ｃｙｂｅｒ  Ｓｅｃｕｒｉｔｙ  Ｃｏｏｒｄｉｎａｔｉｏｎ  Ｔａｓｋ  Ｇｒｏｏｐ，  Ａｄｖａｎｃｅｄ  Ｓｅｃｕｒｉｔｙ  Ａｃｃｅｌｅｒａｔｉｏｎ  Ｐｒｏｊｅｃｔ，  Ｎａｔｉｏｎａｌ  Ｉｎｓｔｉｔｕｔｅ  ｏｆ  Ｔｅｃｈｎｏｌｏｇｙ，  Ｓｅｐｔｅｍｂｅｒ  ２００９を参照のこと）。さらに高度計測インフラストラクチャ・セキュリティ要件の包括的仕様は、ＯｐｅｎＳＧ（“ＡＭＩ  Ｓｙｓｔｅｍ  Ｓｅｃｕｒｉｔｙ  Ｒｅｑｕｉｒｅｍｅｎｔｓ”（ＡＭＩシステムセキュリティ要件），  Ｔｅｃｈｎｉｃａｌ  Ｒｅｐｏｒｔ  ＡＭＩ−ＳＥＣ  ＴＦ，  ＯｐｅｎＳＧ，Ｄｅｃｅｍｂｅｒ  ２００８）によって発行されている。
【０００７】
プライバシーに対する計測データの危険性は、広く論じられてきた（例えばWashington  Post（http://voices.washingtonpost.com/securityfix/2009/11/experts smart grid poses priva.html）によるSmart  Grid News.com  (http://www.smartgridnews.com/artman/publish/industry/The Dangers of Meter Data Part 1.html)によって発行された記事、http://information-security-resources.com/2009/11/15/fifteen-more-smart-grid-privacy-concernsにおいて発行されたもう１つの記事、およびＱｕｉｎｎ（http:/.papers.ssrn,com/sol3/papers.cfm?abstract id=1370731において利用可能な“Ｐｒｉｖａｃｙ  ａｎｄ  ｔｈｅ  Ｎｅｗ  Ｅｎｅｒｇｙ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ”（プライバシーおよび新エネルギーインフラストラクチャ））による論文、およびＰ．ＭｃＤａｎｉｅｌ, ａｎｄ  Ｓ．ＭｃＬａｕｇｈｉｎ，（“Ｓｅｃｕｒｉｔｙ  ａｎｄ  Ｐｒｉｖａｃｙ  Ｃｈａｌｌｅｎｇｅｓ  ｉｎ  ｔｈｅ  Ｓｍａｔ  Ｇｒｉｄ”（スマートグリッドにおけるセキュリティおよびプライバシーの課題）、ＩＥＥＥ  Ｓｅｃｕｒｉｔｙ  ＆  Ｐｒｉｖａｃｙ，７５−７７，２００９）を参照すること）。Ｑｕｉｎｎは、一旦プライベートな行動が電力使用情報を伴って他人に開示されると、高機能メーターインフラは家庭内での行動への窓口を与えることになるであろうと論じている。家庭のエネルギー使用に関するますます詳細なデータが公益業者（utilities）に流れ込んで行くにつれて、この生データから収集され得る情報の精細度と品質は増加しつつある。Ｑｕｉｎｎはさらに、最新の分析技法が電気使用プロファイルに基づいて、家庭内の個別器具の使用を識別し、また予見可能な将来において、誰がどのようにして、何時、これらの家庭用器具を動作させたかを正確に特定できるであろうと論じている。例えば居住者が何時、シャワーを浴びてテレビを見て、夜、就寝するかを認識することが可能になり得る。スマートメータリングに関係するプライバシーの脅威は、スマートメータリングでは、工業規模で収集した個人データを分析し、照合できてしまうことである。
【０００８】
ユーザーのプライバシーに対する脅威にもかかわらず、下記のために、より詳細な電力使用情報が必要とされるであろうことが予想される：
−需要応答機能と持続可能負荷管理とを可能にするため、
−再生可能資源からの可変入力を収容するため、
−需要重視の管理によって自覚と社会的圧力とを介して顧客行動を促進するため。
【０００９】
スマートメーターによって取得されるデータの精度は大きく変わり得る。太陽光波スマートサブメーターは例えば（http://www.solarwave.ie/HowitWorks.himを参照のこと）既定事項（デフォルト）として１５分間隔で電力消費を計測するが、データを毎分とることも可能である。
【００１０】
スマートメーターによって生成され、これに続いて公益事業会社に供給され得る電力プロファイルの処理から収集され得る情報は現在、不侵入性（non-intrusive）器具負荷モニタ（ＮＡＬＭ）の使用によって実証され得る（例えばＣ．Ｌａｕｇｈｍａｎ  ｅｔ  ａｌ．  “Ａｄｖａｎｃｅｄ  Ｎｏｎｉｎｔｒｕｓｉｖｅ  Ｍｏｎｉｔｏｒｉｎｇ  ｏｆ  Ｅｌｅｃｔｒｉｃ  Ｌｏａｄｓ”(電気負荷の高度不侵入性監視)，  ＩＥＥＥ  Ｐｏｗｅｒ  ａｎｄ  Ｅｎｅｒｇｙ，５６，Ｍａｒｃｈ／Ａｐｒｉｌ  ２００３を参照のこと）。不侵入性器具負荷モニタは、器具モデルを構築するために使用され得る。器具モデルは、オン／オフモデルと有限状態機械モデルという２つの基本タイプに分けられ得る。それから器具モデルは、例えばＧ．Ｗ．Ｈａｒｔの“Ｎｏｎｉｎｔｒｕｓｉｖｅ  Ａｐｐｌｉａｎｃｅ  Ｌｏａｄ  Ｍｏｎｉｔｏｒｉｎｇ”（不侵入性器具負荷監視），８０  Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ＩＥＥＥ  １８７０，  １８７１−７２，  Ｄｅｃｅｍｂｅｒ  １９９２によって示されているように，器具挙動を追跡するために使用され得る。
【００１１】
家庭の電力特性を分析する処理の更なる例は、ＵＳ２００９／００４５８０４に開示されている。この文書は、各個別の電力消費デバイスに関連したエネルギー消費を分離して識別するために電力メーター信号を構成負荷に分解するように構成された埋込み分解モジュールを含む電力メーターを開示している。
【００１２】
さらに、例えばＨ．Ｙ．Ｌａｍ  ＆  Ｗ．Ｋ．Ｌｅｅの“Ａ  Ｎｏｖｅｌ  Ｍｅｔｈｏｄ  ｔｏ  Ｃｏｎｓｔｒｕｃｔ  Ｔａｘｏｎｏｍｙ  ｏｆ  Ｅｌｅｃｔｒｉｃａｌ  Ａｐｐｌｉａｎｃｅｓ  Ｂａｓｅｄ  ｏｎ  Ｌｏａｄ  Ｓｉｇｎａｔｕｒｅｓ”（負荷特性に基づく電気器具の分類法を構築するための新規な方法），５３  ＩＥＥＥ  Ｔｒａｎｓａｃｔｉｏｎｓ  Ｏｎ  Ｃｏｎｓｕｍｅｒ  Ｅｌｅｃｔｒｏｎｉｃｓ  ６５３，２００７によって示されているように、器具ライブラリーと検出アルゴリズムとの構築と維持の研究の豊富な進行中の構想（line）が存在する。例として図１および２は、示されているように多量の個人情報が抽出され得る家庭に関する２つの特性負荷プロファイル（signature load profile）を示す。
【００１３】
家庭の電力プロファイルが総計されたときでも、研究者は総計された負荷情報の雑音内から９０％以上の精度で洗濯機、食器洗浄器および温水器の使用を特定できることを示している（人工ニューラルネットワーク(神経回路網)の使用によって）（例えばＡ．Ｐｒｕｄｅｎｚｉ，“Ａ  Ｎｅｕｒｏｎ  Ｎｅｔｓ  Ｂａｓｅｄ  Ｐｒｏｃｅｄｕｒｅ  ｆｏｒ  Ｉｄｅｎｔｉｆｙｉｎｇ  Ｄｏｍｅｓｔｉｃ  Ａｐｐｌｉａｎｃｅ  Ｐａｔｅｒｎ−ｏｆ−Ｕｓｅ  ｆｒｏｍ  Ｅｎｅｒｇｙ  Ｒｅｃｏｒｄｉｎｇｓ  ａｔ  Ｍｅｔｅｒ  Ｐａｎｅｌ”（メーターパネルにおけるエネルギー記録から屋内電気器具の使用パターンを識別するための神経回路網に基づく手順），ＩＥＥＥ  Ｐｏｗｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ  Ｓｏｃｉｅｔｙ  Ｗｉｎｔｅｒ  Ｍｅｅｔｉｎｇ  ９４１，  ９４２  ｃｏｌ．１，２００２を参照のこと）。
【００１４】
プライバシーに対する懸念の全範囲は、まだ十分に理解されていない。プライバシー脅威の良好なリストは、Ｒｅｂｅｃｃａ  Ｈｅｒｏｌｄによって（ＮＩＳＴから）与えられており、またhttp://www.privacyguidance.com/files/SmartGrid PrivacyHeroldOct2009.pdfにおいて見出だされ得る。これらの考えは、ＮＩＳＴ専門家からの報告書“Ｔｈｅ  ｍａｊｏｒ  ｂｅｎｅｆｉｔ  ｐｒｏｖｉｄｅｄ  ｂｙ  ｔｈｅ  Ｓｍａｒｔ  Ｇｒｉｄ，ｉ．ｅ．ｔｈｅ  ａｂｉｌｉｔｙ  ｔｏ  ｇｅｔ  ｒｉｃｈｅｒ  ｄａｔａ  ｔｏ  ａｎｄ  ｆｒｏｍ  ｃｕｓｔｏｍｅｒ  ｍｅｔｅｒｓ  ａｎｄ  ｏｔｈｅｒ  ｅｌｅｃｔｒｉｃ  ｄｅｖｉｃｅｓ，  ｉｓ  ａｌｓｏ  ｉｔｓ  Ａｃｈｉｌｌｅｓ’  ｈｅｅｌ  ｆｒｏｍ  ａ  ｐｒｉｖａｃｙ  ｖｉｅｗｐｏｉｎｔ”（スマートグリッドによって供給される主な利益は、すなわち顧客メーターと他の電気デバイスとに、および、とから、より豊富なデータを取得する能力は、プライバシーの観点からアキレスのかかとでもある）にきちんと要約されている。
【００１５】
スマートメーター・データを保護する現在の技術は、例えばユーティリティ・プロバイダーにおいてこのデータを管理している領域における政策設定および施行に集中している。
【発明の概要】
【００１６】
本発明の一の態様によれば、ユーティリティ・プロバイダーによって提供されるユーティリティの消費量に関する消費量データを取得するための入力部と、変更後消費量データを出力するための出力部と、を含む装置が提供される。この装置は、取得消費量データと、消費量データを匿名化するための記憶規則とに基づいて変更後消費量データを生成するよう構成されたプロセッサーをさらに含む。該装置には、ユーティリティ・プロバイダーあるいは装置のユーザーが、記憶規則を設定し、変更し、及び／又は削除できるようにするための入力部を設けてもよい（これは更なる入力部であってもよい）。
【００１７】
ユーティリティは、該ユーティリティの最終消費設備によって消費され得る。消費量データは、消費されたユーティリティの量を反映する。最終消費設備は、建物又は家屋であって、建物又は家屋内に装備又は設置されてもよく、あるいは建物又は家屋の一部分であって、建物又は家屋の一部分に装備又は設置されてもよく、あるいは世帯又は世帯の一部であってもよく、あるいはスマートメーターを使用して個々にモニターし得る他の電力消費単位であってもよい。
【００１８】
上記規則は、例えば、装置が動作可能な境界条件、あるいは（消費量データと変更後消費量データの間の許容される偏差の最大値のような）最大値を含んでもよい。これらの境界条件及び／又は最大値は、ユーティリティ・プロバイダーによって設定されてもよい。上記装置は、ユーティリティ・プロバイダーによる上記境界条件及び／又は最大値の設定、変更、及び／又は削除を、例えば承認ルーチンに従う場合にのみ受け付けるよう構成してもよい。装置に境界条件を伝えるデータ信号が、高周波数信号の形態でメイン電源接続に付加されてもよい。これは、特に消費されたユーティリティが電力である場合、高域フィルターを使用してメイン電源から抽出することができる。それに加えて、又はその代わりに、装置に境界条件を伝えるデータ信号が、（ケーブル、公衆電話網およびインターネットのような）他の有線ネットワーク、又は（ＷｉＦｉ、ＷｉＭａｘ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＺｉｇＢｅｅ、センサネットワークおよびセルラー・ネットワークのような）無線ネットワークによって伝達されてもよい。所定の閾値及び／又は収束係数が装置内に記憶され、ユーザー又はユーティリティ・プロバイダーの要請により変更されてもよい。
【００１９】
それに基づいて規則が作用する実際の動作パラメータは、最大値と同様のものであってもよく、ユーティリティ・プロバイダーによって指定された条件で規則が作用するように設定してもよい。ユーティリティ・プロバイダーによって規定された境界の範囲内で装置の所有者又はユーザーが独立してそのような動作パラメータを設定できるようにするための入力部を装置が持っていてもよい。これにより、装置のユーザー／所有者は、プライバシー保護の程度を指定することができ、規則／装置によって実現される消費量データの匿名化の程度を指定することができる。
【００２０】
例えば境界条件は、消費量データと変更後消費量データの間の偏差を、１つ又は所定の閾値を下回る範囲において許容する際の自由度を装置に与えるようなものでありえる。こうしてユーティリティ・プロバイダーは、（家屋又は世帯、企業、建物あるいは建物の一部のような）実体による電力消費が、ある程度の不確実性を持ちながらもリアリスティックに報告されることを保証することができる。装置は、このような不確実度を消費量データの匿名化に利用することができる。このことはそれ自身の権利において有利なことと認められ、本発明の別の態様に従い、ユーティリティ・プロバイダーによって提供されるユーティリティの消費量に関する消費量データを取得するための入力部と、変更後消費量データを出力するための出力部と、を含む装置が提供される。この装置は、消費量データの変更後消費量データからの偏差が所定の閾値を超過する場合に変更後消費量データが消費量データに収束し始めるように、取得消費量データに基づいて変更後消費量データを生成するよう構成されたプロセッサーを含む。
【００２１】
偏差の測定又は決定にはいくつかの異なる方法が想定される。例えば、消費量データと変更後消費量データの間の偏差を、単に、消費量と変更後消費量の間の差としてもよい。消費量及び変更後の消費量は、例えばモニタリング期間の開始時点からいくつかの測定サイクルの間に消費された量あるいは、変更後消費量データ点が計算される時点の直前の単一の測定時期に消費された消費量として測定又は表現してもよい。例えば、測定／モニタリング期間の開始からの期間、あるいは変更後消費量データ点が計算される時点の直前に先行する単一の測定時期にわたる特定期間における全消量の割合として偏差を相対的に表現してもよい。
【００２２】
装置は、消費量データと変更後消費量データの間の収束をもたらすように設計されたルーチンをアクティブにする境界／閾値を記憶するだけではない。その代わりに、あるいはまた、装置は、そのような収束をもたらすように設計されたルーチンの動作を管理する条件を記憶してもよい。これはそれ自身の権利において有利なことと認められ、本発明の別の態様によれば、ユーティリティ・プロバイダーによって提供されるユーティリティの消費量に関する消費量データを得るための入力部と、変更後消費量データを出力するための出力部と、を含む装置が提供される。この装置は、取得消費量データと装置に記憶された収束係数とに基づいて変更後消費量データを生成するよう構成されたプロセッサーをさらに含む。
【００２３】
上記装置のいずれについても、収束係数及び／又は上述した所定の閾値を受信するための入力部を含んでもよい。収束係数は、プロセッサーが消費量データと変更後消費量データの間の偏差を除去し、あるいは縮小しようとする態様で次の変更後消費量データ点を生成するための値としてもよい。
【００２４】
例えば、収束係数は、先行して報告され、あるいは直前に報告された変更後消費量データ点と比較した場合の、ユーティリティの消費量の報告における増加量又は減少量を規定することができる。
【００２５】
消費量データへの変更後消費量データの収束は比較的迅速なことが望ましいが、次の点についても想定される。すなわち、変更後消費量データは、特定の方法で消費量データを意図的に不正確に伝える。例えば、長期間にわたりユーティリティの消費量を過大に表現し、その後、それとは異なる方法で、例えばユーティリティの消費量を過小に表現して、消費量を意図的に不正確に伝える。このように消費量を不正確に伝えることにより、プライバシーを向上し、消費量データの匿名性を高めることができる。もちろん、所定期間にわたる実際の消費量が適切に判断されるように、消費量は、ある段階で正確に表現されることが望ましい。これはそれ自身の権利において有利なことと認められ、本発明の別の態様によれば、ユーティリティ・プロバイダーによって提供されるユーティリティの消費量に関する消費量データを取得するための入力部と、変更後消費量データを出力するための出力部と、取得消費量データに基づいて変更後消費量データを生成するよう構成されたプロセッサーと、含む装置が提供される。このプロセッサーは、装置の動作中のある時点では変更後消費量データがユーティリティの消費量を過大に表現し、他の時点ではユーティリティの消費量を過小に表現するように、変更後消費量データ点を計算するよう構成される。このプロセッサーは、さらに、所定時点又は所定期間が終了した時点でユーティリティの消費量が変更後消費量データによって正確に表現されるよう変更後消費量データを計算するように構成される。
【００２６】
該装置は、例えば上述したように所定の閾値を用いて収束が必要かどうかを判定し、収束が必要である、あるいは望ましいと判定された場合、そのような収束の実現のために求めるべき、あるいはインプリメントするべき変更係数を決定するよう構成してもよい。これはそれ自身の権利において有利なことと認められ、本発明の別の態様によれば、ユーティリティ・プロバイダーによって提供されるユーティリティの消費量に関する消費量データを取得するための入力部と、変更後消費量データを出力するための出力部と、を含む装置が提供される。この装置は、取得消費量データに基づいて変更後消費量データを生成するよう構成されたプロセッサーを含む。このプロセッサーは、変更後消費量データが消費量データに向かって収束するように、以前の取得消費量データ点と、以前に生成された消費量データ点とに基づいて、１つ以上の次の変更後消費量データ点の生成に使用される変更係数を決定するよう構成される。
【００２７】
変更係数を決定するにあたっては、プロセッサーが、許容される変更係数の最大値を用いるか否か、あるいは、変更後消費量データを以前に確立したレベルで維持するか否かを単に選択すればよい。実消費量データが以前に確立したレベルに向かってともかく収束しているならば、該レベルに変更後消費量データを維持することにより収束を実現することができることを理解されたい。暫くの間、以前に確立したレベルにデータを維持し、続いて、許容される変更係数の最大値を用いることには、消費量の小さな変化を変更後消費量データから簡単に除去できるという長所がある（しかしながら、消費量の（小さな）変化を生じさせた消費量イベントのタイプの分析に役立つ情報を明かしてしまうことになる。）。そして、電力消費の過大及び／又は過小報告は、実消費量データと変更後消費量データの間の任意の偏差から独立した所定変更係数を使用して修正される。そのような所定変更係数を使用することには、関連する消費量イベントを識別するための消費量ピーク、増加あるいは減少のエッジの外形に依存するデータ解析アルゴリズムを妨害するという長所がある。
【００２８】
プロセッサーによって決定される変更係数は、消費量データに基づくその過去及び／又は現在の消費量データであって、過去の変更後消費量データ及び／又は過去の／現在の消費量データからの、過去の変更後消費量データの偏差に基づいて得てもよい。
【００２９】
上記の装置は、いずれも、電気エネルギーの消費量を測定するためのスマートメーターであってもよく、あるいは、そのようなスマートメーターの内部に組込まれるものとしてよい。スマート電気メーターは、例えば毎分、あるいはそれ以上の頻度の一定間隔での電力消費を自動的に測定し、例えば図１および図２に示すような家庭内負荷痕跡の形でユーティリティ・プロバイダーに消費された電力量を報告する装置である。本発明の装置は、上述したいずれかの方法によって標準的なスマートメーターの動作を変更し得るものであって、変更後の家庭内負荷痕跡の形で変更後消費量データがユーティリティ・プロバイダーに報告されることを可能にする。しかしながら、本発明は電気スマートメータリングに限定されず、ユーティリティ・プロバイダーに消費量を報告するよう構成されるフィードバック・メカニズムを含み、上述した原理によるプライバシー保護機構を備えるメーターによって、ガスや水道のような他のユーティリティが測定されることも想定している。スマートメーターはユーティリティ消費システムをモニタリングしてもよい。そのようなシステムは、パワーサプライを通じて供給された電力の最終消費設備であったり、、建物又は家屋であったり、建物又は家屋内に装備又は設置されるものであったり、建物又は家屋の一部分であったり、建物又は家屋の一部に装備／設置されるものであったり、、世帯又は世帯の一部を形成するものであったり、スマートメーターを使用して個々にモニターされ得る他のパワー消費単位であったりする。また一方、本発明は、スマートメーターそれ自体に限定されないことを理解されたい。エネルギー消費システムとスマートメーターの間に設けられるように構成された装置についても本発明に包含される。そのような装置は、例えば、スマートメーターのデータ検出入力部における変更後電力消費データを提供するように、スマートメーターのデータ検出入力部と電力消費システムとの間に提供される。この場合、スマートメーターは、上記装置の存在に気づかずに、あたかもそれが実質消費データであるかのように、変更後消費量データを報告することができる。
【００３０】
プロセッサーはいくつかの消費量データ点に基づいて変更後消費量データを決定するよう構成することができる。消費量データ点は、単一の計測装置によってシーケンシャルに得られ、又は並列して動作するいくつかの計測装置によって得られた消費量データ点とすることができる。消費量データ点を、いくつかの計測装置によって実質的に同時に得られた消費量データ点とすることもできる。
【００３１】
消費量データ点がいくつかの計測装置によって得られる場合、同時に出力されるすべての変更後消費量データ点の和が、変更後消費量データ点が基づいているすべての消費量データ点の和に対応するように、変更後消費量データを生成するようコントローラーを構成してもよい。この場合、消費量データ点がすべて同時に得られているならば、変更後消費量データ点によってユーティリティ・プロバイダーに報告される全電力消費は、最初の電力消費点によってユーティリティ・プロバイダーに報告されていたであろう全電力消費と同じである。この場合、ユーティリティ・プロバイダーは、最初に消費量データを取得／提供した計測装置によって共同で測定される電力消費実体（例えば建物、世帯、企業）のグループから正確な消費量データを受信する。またその際、測定された実体のプライバシーを上述した方法によって保護するように、測定された実体の各々の負荷痕跡を変更してもよい。
【００３２】
変更後消費量データ点の基本を形成する消費量データ点が、いくつかの標本化データ点について、いくつかの計測装置によって得られているならば、各々測定された消費実体のすべての変更後消費量データ点の和が、測定された消費実体についてすべて決定された消費量データ点の和に対応し、任意の時点のすべての変更後消費量データ点の和が、すべての時点で測定された消費量データ点の和に対応するように、変更後消費量データを計算することができる。
【００３３】
該装置は、オーバーライド・コマンドの受信に従い、消費量データを変更するのを停止し、その代わりに、未変更の消費量データの出力に進むよう構成してもよい。そのようなオーバーライド・コマンドは、例えば、ユーティリティ・プロバイダーによって使用され、運用される電力グリッドに関連して該ユーティリティ・プロバイダーが要求する時点でユーティリティ・プロバイダーから受信され得るものであって、適切な運用を保証すべくユーティリティ・プロバイダーが、正確で未変更の消費量データを得るためのものである。該装置は、装置のユーザー又は所有者に任意のオーバーライトイベントを通知するための通知機構を含んでもよい。
【００３４】
該装置は、さらに、過去の消費量データを記憶し、過去の消費量データを出力部に供給するコマンドの受信に従い、過去の消費量データを出力するように構成されてもよい。
【００３５】
本発明は、データがユーティリティ・プロバイダーに達する前に、スマートメーター（またそれらのユーザー）が自らのプライバシー保護スキームを強化できるようにする。本発明は（将来の）スマートメータリング標準規格に対応するようにインプリメントすることができる。
【００３６】
本発明の別の態様によれば、ユーティリティ・プロバイダーによって提供されるユーティリティの消費量に関する消費量データを匿名化する方法が提供される。この方法は、消費量データを匿名化するための規則を格納すること、入力部を通じて消費量データを取得すること、消費量データと規則とに基づいて変更後消費量データを生成するためにプロセッサーを使用すること、生成された変更後消費量データを出力すること、を含む。消費量データの変更は、所望の度合いの匿名化をもたらす。匿名化のための規則は、ユーティリティ・プロバイダーまたはユーザーから受信してもよい。
【００３７】
本発明の別の態様によれば、ユーティリティ・プロバイダーによって提供されるユーティリティの消費量に関する消費量データを匿名化する方法であって、入力部を通じて消費量データを取得すること、消費量データの変更後消費量データからの偏差が所定の閾値を超過するならば変更後消費量データが消費量データに収束し始めるように、消費量データに基づいて変更後消費量データを生成するためにプロセッサーを使用すること、変更後消費量データを出力すること、を含む方法が提供される。
【００３８】
本発明の別の態様によれば、ユーティリティ・プロバイダーによって提供されるユーティリティの消費量に関する消費量データを匿名化する方法が提供される。この方法は、入力部を通じて消費量データを取得すること、消費量データと記憶している収束係数とに基づいて変更後消費量データを生成するためにプロセッサーを使用すること、変更後消費量データを出力すること、を含む。
【００３９】
本発明の別の態様によれば、ユーティリティ・プロバイダーによって提供されるユーティリティの消費量に関する消費量データを匿名化する方法が提供される。この方法は、入力部を通じて消費量データを取得すること、ある時点では変更後消費量データがユーティリティの消費量を過大に表現し、他の時点ではユーティリティの消費量を過小に表現し、所定時点又は所定期間が終了した時点でユーティリティの消費量を正確に表現するように、消費量データに基づいて変更後消費量データを生成するためにプロセッサーを使用すること、を含む。この方法は、変更後消費量データを出力することをさらに含む。
【００４０】
本発明の別の態様によれば、ユーティリティ・プロバイダーによって提供されるユーティリティの消費量に関する消費量データを匿名化する方法が提供される。この方法は、消費量データを取得すること、変更後消費量データが消費量データに向かって収束するように、以前の取得消費量データ点と以前に生成された変更後消費量データ点とに基づいて、１つ以上の次の変更後消費量データ点の生成に使用される変更係数を決定するためにプロセッサーを使用すること、を含む。この方法は、消費量データと変更係数とに基づいて１つ以上の次の変更後消費量データ点を生成するためにプロセッサーを使用すること、１つ以上の生成された次の変更後消費量データ点を出力すること、をさらに含む。
【００４１】
上の記述では消費量データの変更に注目している。上の記述において、変更後のデータとはユーティリティ・プロバイダーのような第三機関に報告されるデータである。また一方で、消費量データは、一定時間フレーム中にユーティリティによって最終消費設備に提供されるユーティリティの量を反映するデータであるとして理解される。この量は、時間フレーム中に最終消費設備によって消費されたユーティリティの実際量と異なってもよい。例えば、最終消費設備の消費量の一部がユーティリティの格納のための格納装置によって満たされることが想定される。そのような格納装置は、問題の時間フレーム中に消費量を充足するために使用されてもよい。その結果、消費量の充足した部分は、ユーティリティ・プロバイダーに報告されないだろう。その後、格納装置は、後の時間フレーム中に再度、充電されてもよい。最終消費設備内の蓄積エネルギーを別の経路に切り替える（re-routing）ためのシステムが本願の発明者、Ｇ．  ＫａｌｏｇｒｉｄｉｓおよびＣ．Ｅｆｔｈｙｍｉｏｕによる「Apparatus and Method for Privacy-Driven Moderation of Metering Data」と題する、本譲受人による同時係属の特許出願において提案されている。この同時係属の特許出願は、その全体が参照により本明細書に組込まれる。データ変更／スクランブル化の上記方法は、消費量データを変更するための上記のデータ変更方法が同時係属の特許出願のシステムとともに使用される場合、この同時係属の特許出願のシステム内の実際のユーティリティ使用量に関係なく、該システムに提供されるユーティリティの量を反映する消費量データに作用することを理解されたい。
【図面の簡単な説明】
【００４２】
【図１】図１は、１分のタイムベースで記録された家庭内負荷痕跡を示す図である。
【図２】図２は、個々の機器イベントによる世帯の負荷痕跡の階段状変化を示す図である。
【図３】図３は、プライバシー機能を向上させたスマートメーターのアーキテクチャを示す図である。
【図４】図４は、スクランブルアルゴリズムのフローチャートを示す図である。
【図５】図５は、スクランブルシステムのフローチャートを示す図である。
【図６】図６は、図７乃至図１４に示す結果を生じたシミュレーションへの入力として用いられた図１の家庭内負荷痕跡の再構成を示す図である。
【図７】図７は、図６の家庭内負荷痕跡ならびにその２０分移動平均を示す図である。
【図８】図８は、図６の家庭内負荷痕跡及び図４に示されるスクランブルアルゴリズム適用後の同負荷痕跡を示す図である。
【図９】図９は、図８の４００〜７００分の時間窓を詳細に示す図である。
【図１０】図１０は、図８の７００〜１０００分の時間窓を詳細に示す図である。
【図１１】図１１は、図８の１０００〜１３００分の時間窓を詳細に示す図である。
【図１２】図１２は、図６の家庭内負荷痕跡ならびに５分、１０分、及び２０分の移動平均アルゴリズムの適用により生成されたそれぞれの曲線を示す図である。
【図１３】図１３は、図６の家庭内負荷痕跡ならびに５０％の不規則変動を伴う２０分の移動平均アルゴリズムの適用により生成された曲線を示す図である。
【図１４】図１４は、ａ）ステップ変更スクランブルアルゴリズム及びｂ）２０分移動平均スクランブルアルゴリズムを用いることによる、実測値Ｒ（ｔ）からのスクランブルアルゴリズム測定値Ａ（ｔ）の偏差率を示す図である。
【発明を実施するための形態】
【００４３】
以下、本発明の実施形態を一例として説明する。図３は、本発明の実施形態によりプライバシー機能を向上させたスマートメーター３００のアーキテクチャを示す。スマートメーター３００は、電力消費量測定のための計測機構３１０を含む。計測機構については、スマートメーターならびに標準的な電力計の技術において良く知られており、本出願では詳細に述べない。スマートメーター３００は、スマートメーターからユーティリティへの通信インタフェース３２０をさらに含む。この種の通信インタフェース３２０についても、標準的なスマートメーターにおいて良く知られている。通信インタフェース３２０は、ユーティリティ・プロバイダーのような第三機関とのデータ通信を容易にする。そのようなデータ通信は、図１および図２に示されるような負荷痕跡を与えるメータリング・データの、スマートメーターから第三機関への送信、ならびに第三機関からのコマンドの受信を含み得る。関連するコマンドとしては、建物（より一般には最終消費設備）内のエネルギー蓄積装置に、スマートメーターによって測定されるグリッド・エネルギーを記憶するためのコマンド、又は、そのような蓄積エネルギーをグリッドが利用可能にするためのコマンドを含み得る。
【００４４】
また一方、標準的なスマートメーターにおいて、計測機構は、直接、通信インタフェースと通信する。これは図３のスマートメーター３００の場合とは異なる。スマートメーター３００では、計測機構３１０はプライバシー・スクランブラー３３０を介して通信インタフェース３２０と通信する。プライバシー・スクランブラー３３０は、計測機構３１０から計測／消費量データを取得し、以下で詳細に説明する方法でデータを変更し、変更後の計測／消費量データを通信インタフェース３２０に送る。さらに、プライバシー・スクランブラー３３０は、オリジナルの計測／消費量データとともにそのアクティビティのログをデータ記録データベース３４０に記憶し、必要であれば変更後消費量データについても記憶するように構成される。オリジナルの消費量データは、各データエントリにタイムスタンプを対応付けて記憶してもよい。このデータは、ユーザーにより設定され、又はユーティリティ・プロバイダーによって定められた期間にわたって記憶され得る。
【００４５】
また、プライバシー・スクランブラー３３０は、オリジナルの消費量データを提供するコマンドを許可された実体から受信した場合、例えばユーティリティ・プロバイダーのような第三機関又はスマートメーター３００のユーザー／所有者から通信インタフェース３２０を通じて受信した場合に、計測機構３１０から受信したものをリアルタイムで、あるいは、データベース３４０に記憶されたものを通信インタフェース３２０に送るように構成される。オリジナルの消費量データがスマートメーター３００の外部に提供されると、スマートメーター３００のユーザー／所有者にはそのことが通知される。
【００４６】
スマートメーター３００は、ユーザーが入力または変更が可能なユーザー・プライバシー設定を記憶するメモリ３５０を含む。ユーザー・プライバシー設定は、プライバシー・スクランブラー３３０がアクティブにされたときのスクランブル動作を管理する。ユーザー・プライバシー設定は、後に詳しく説明するが、測定されたデータを変更する際にユーザーが使用することを望むスクランブル係数を含み得る。スマートメーター３００は、ユーザー制御及びオーバーライド・インターフェース３６０のような個別のユーザー・インターフェースを通じて、メモリ３５０に記憶するユーザー・プライバシー設定を受信するように構成してもよい。ユーザー制御及びオーバーライド・インターフェース３６０は、例えばボタンあるいはタッチ・スクリーンを含む簡素なユーザー・インターフェースとすることができる。その代わりに、又はそれに加えて、ユーザー制御及びオーバーライド・インターフェース３６０は、ユーザーが制御可能なスマートメーター３００の外部装置と通信するための、無線通信インタフェースのような通信インタフェースを含んでもよく、インプリメント又は記憶のためにユーザー制御及びオーバーライド・コマンドを受信する際のネットワークへの接続を容易化することができる。ユーティリティからの制御及びオーバーライド・コマンドを受信するためのインタフェース３７０もまた提供される。インタフェース３６０及び３７０は、ともにセキュアアクセス制御で動作する。さらなるメモリ又はメモリセクション３８０は、望まれる場合に、スマートメーター３００がピア（近隣）スマートメーターとスクランブル処理を調整する方法を管理する規則を記憶する。メモリまたはメモリセクション３８０は、スクランブル処理の調整のためのピア／近隣スマートメーターとの通信を容易化する通信インタフェースと通信可能に接続してもよい。一時的スクランブル機構３９０は、要求に応じて時間的なスマートメータリング・データのスクランブル処理を指揮し、空間スクランブル機構４００は、要求に応じて協働するスマートメーターのグループによるスマートメータリング・データのスクランブル処理を指揮する。通知システム４１０は、あるプライバシー設定が適用された時間窓や、オーバーライド制御のような、発生した特定のイベントなど、プライバシー・スクランブラー３３０の重要なアクティビティのログを維持する。通知システム４１０は、有益な目的のため、あるいは入力及び／又は他のアクションを促すため、必要に応じてユーザーに警告を出すように構成される。
【００４７】
図４及び表１で提供されるコードを参照しながら、一時的スクランブル機構の動作を詳細に説明する。本実施形態のスマートメーター３００は、規則的な時間間隔Δｔでユーティリティへメータリング・データを送ることが要求される。またスマートメーター３００は、規則的な時間間隔Ｔ（ただしＴ＞Δｔ）でユーティリティへ正確なスマートメータリング・データを送ることが要求される。一実施形態において、スマートメーター３００がユーティリティ・プロバイダーに送る消費量データとは、積算電力計測定値のことを指す。このようなデータは、ｋＷｈの単位で表現することができる。
【００４８】
最初のステップ４１０では、スクランブルプログラムが、例えば、ユーティリティ・プロバイダーから（例えば図３のインタフェース３７０を介して）、あるいはユーザーから（例えば図３のインタフェース３６０を介して）オーバーライド・コマンドを受信したかをチェックする。オーバーライド・コマンドを受信した旨が判定された場合には、スクランブルアルゴリズムは、ステップ４３０を経て、（少なくとも、オーバーライド・コマンドがもはや適用されなくなるまでの当分の間）終了する。ステップ４３０において、ユーザーには（通知システム４１０を通じて）オーバーライドについて通知がなされ、計測機構３１０によって取得された実時間計測値が通信インタフェース３２０を通じてユーティリティに報告される。オーバーライド・コマンドを受信していない場合には、ステップ４４０において、スマートメーターの動作基準となる期間が０にセットされる。この初期化ステップ４４０は、期間Ｔの始点を定めるものであって、上述したように、該期間の終了時までに、正確なエネルギー消費量が報告されることが必要である。その後、タイマーｔが期間Ｔの終了に達するまで、スクランブル方法が繰り返される。この終了基準はステップ４５０でチェックされる。
【００４９】
このスクランブル方法は、ユーザーのプライバシーを維持し保護する態様でデータを匿名化するために電力消費データにスクランブルをかけることが意図されるが、報告されたデータ／変更後消費量データ（これは、初期化時点ｔ＝０から現在時点ｔまで、測定された実体によって消費されたエネルギー量の変更後の値をユーティリティ・プロバイダーに提供する。）と、測定消費量データとの間の偏差が最大値以内になることが望ましい。同様に、実測定データからの報告データの偏差が、例えば実測値の割合として表現される特定の範囲内であることが望ましい。測定された消費量データと、報告された変更後消費量データとの間の偏差を所定の境界内に維持することにより、ユーティリティ・プロバイダーによるネットワーク／送電網の運用について、少なくとも既知で所定の不確実性の程度までは、ユーティリティ・プロバイダーへスマートメーター３００によって提供される変更後消費量データのことを、該ユーティリティ・プロバイダーが信頼できることが保証される。
【００５０】
以下、変更後消費量データをＡ（ｔ）と呼ぶ。変更後消費量データＡ（ｔ）は、期間Ｔの開始ｔ＝０から現時点ｔまでにスマートメーター３００が消費したものとして報告されたエネルギー量を示す。以前の変更後消費量データ値Ａ（ｔ−１）と現在の変更後消費量データ値Ａ（ｔ）との間の差異のことを、変更後消費量の差分値ｄＡ（ｔ）＝Ａ（ｔ）−Ａ（ｔ−１）と呼ぶ。変更後消費量の差分値は、時間点ｔ−１から時間点ｔまでにおける期間Δｔで消費されたものとして報告されるエネルギー量に相当する。
【００５１】
以下では、実際の／測定された消費量データのことをＲ（ｔ）と呼ぶ。消費量データＲ（ｔ）は、期間Ｔの開始ｔ＝０から現時点ｔまでに消費されたエネルギー量を示す。以前の消費量データ値Ｒ（ｔ−１）と現在の消費データ値Ｒ（ｔ）との間の差異のことを、消費量差分値ｄＲ（ｔ）＝Ｒ（ｔ）−Ｒ（ｔ−１）と呼ぶ。消費量差分値ｄＲ（ｔ）は、時間点ｔ−１から時間点ｔまでにおける期間Δｔ中に消費されたエネルギー量に相当する。
【００５２】
上述した境界条件は、次のように表現することができる：
｜ｄＡ（ｔ）−ｄＲ（ｔ）｜＜Ｍ
ここで、Ｍは、電力会社によって許容され、またはユーザーによって設定される測定偏差係数の最大値である。
【００５３】
この境界条件は、時間点ｔ−１から時間点ｔまでの期間Δｔにおいて報告されたエネルギー消費量の偏差を、この期間中のエネルギー消費量の実際量からＭ未満に制限する。Ｍは、表１のアルゴリズムに示すように定義され、変更後消費量データと実消費量データの間の偏差が１０％以上である場合には、変更後の家庭内負荷痕跡が、実際の／測定された家庭内負荷痕跡から過度に相違すると考えられる。
【００５４】
場合測定された／実際の差分消費量データと報告／変更された差分消費量データの偏差が時間点ｔ−１から時間点ｔまでにおける期間Δｔの実消費量データの割合として表現されるならば、境界条件は次のように表現することができる：
｜ｄＡ（ｔ）−ｄＲ（ｔ）｜／ｄＲ（ｔ）＜ＭＦ
ここで、ＭＦは、電力会社によって許容され、あるいはユーザーによって設定された測定偏差係数の最大値である。
【００５５】
測定された消費量データの値Ｒ（ｔ）および変更後消費量データの値Ａ（ｔ）がともに収束する場合あるいはそれらが過度に離れていない場合、収束を行うためのステップは必要ではない。図４のアルゴリズムは、ステップ４６０においてこの基準をチェックする。このステップの詳細は、表１の関数ＣｈｅｃｋＣｏｎｖｅｒｇｅｎｃｅから分かる。
【００５６】
この関数は最初のステップで、以前に報告された変更後消費量データ点Ａ（ｔ−１）の、以前に測定された実消費量データＲ（ｔ−１）からの偏差率Ａｂｓ（Ｒ（ｔ−１）−Ａ（ｔ−１））／Ｒ（ｔ）が１０％未満（ＭＦ＝０．１）であるかをチェックする。これにあてはまる場合、時間点ｔ−１から時間点ｔまでにおける当期Δｔ中のエネルギー消費量ｄＲ（ｔ）と、時間点ｔ−２から時間点ｔ−１までの前期Δｔ中に消費されたものとして報告されたエネルギー量ｄＡ（ｔ−１）との差分率Ａｂｓ（ｄＲ（ｔ）−ｄＡ（ｔ−１））／ｄＲ（ｔ）が１０％未満（ＳＦ＝０．１）であるならば、アルゴリズムは、測定され報告された差分消費量データが十分に収束するものとみなす。それでも存在し得るこれらの２つの痕跡曲線の小さな偏差は修正する必要はない。実際、修正されない任意のそのような偏差は、消費量データの匿名化にとって興味深い。
【００５７】
補正が必要でない場合、時間点ｔ−１と時間点ｔの間の期間Δｔについて測定された消費エネルギー量ｄＲ（ｔ）＝Ｒ（ｔ）−Ｒ（ｔ−１）は、以前の変更後消費量の値Ａ（ｔ−１）に基づく新たな変更後消費量値Ａ（ｔ）の生成に使用される。これは、ステップ４７０において関数Ｃａｌｉｂｒａｔｅにより以下により行われる：
Ａ（ｔ）＝Ｒ（ｔ）−Ｒ（ｔ−１）＋Ａ（ｔ−１）
この場合、報告された家庭内負荷痕跡の現在の部分が、単純に、実際の／測定された家庭内負荷痕跡の現在の部分と平行して伸びることを理解されたい。
【００５８】
ステップ４６０において、関数ＣｈｅｃｋＣｏｎｖｅｒｇｅｎｃｅで定義された収束基準を満たさない場合、変更後の家庭内負荷痕跡の全体（つまり、期間［０，ｔ］内の変更後の消費エネルギーのトータル量）の、実際の家庭内負荷痕跡の全体（つまり、期間［０，ｔ］内の実際の消費エネルギーのトータル量）への収束を改善するために、ステップ４８０〜５４０が実行される。第一のステップ、すなわちステップ４８０において、（表１の関数ＣｈｅｃｋＮｅｇＤｉｖｅｒｇを用いて）以前に報告された消費量値Ａ（ｔ−１）が以前に測定された消費量値Ｒ（ｔ−１）より小さいか否かを判定する。言いかえれば、ステップ４８０は、最後に報告された変更後の値がエネルギー消費の実際量を過小に表すかをチェックする。これにあてはまる場合、さらにステップ４９０では、表１の関数ＣｈｅｃｋＮｅｇＤｉｆｆＤｉｖを呼び出すことにより、（時間点ｔ−１と時間点ｔの間の）当期Δｔのエネルギー消費量ｄＲ（ｔ）が、（時間点ｔ−１と時間点ｔの間の）前期Δｔ中に消費されたものとして報告されたエネルギー量ｄＡ（ｔ−１）を超過するかを検討する。これに該当する場合には、消費されたエネルギー量を過小報告することは悪化と認められ、補正する必要がある。この補正は、ステップ５００において表１に詳述した関数ＩｎｃｒｅａｓｅＤｉｆｆを呼び出すことにより実現される。このルーチンでは、消費されたものとして次回に報告される変更後のエネルギー量ｄＡ（ｔ）を消費されたものとして以前に報告されたエネルギー量ｄＡ（ｔ−１）より大きくする。この報告量を増加させるために用いる係数はＳＲであり、表１のアルゴリズムにおいて０．１と定義されている。このように関数ＩｎｃｒｅａｓｅＤｉｆｆは、（時間点ｔ−２と時間点ｔ−１の間の）前期Δｔと比較した場合、（時間点ｔ−１と時間点ｔの間の）当期Δｔ中に消費されたものとして報告されるエネルギー量の１０％の増加をもたらす。
【００５９】
（時間点ｔ−１と時間点ｔの間の）当期Δｔ中に消費された報告エネルギー量がこのように増加しても、報告される実際の消費量データは必ずしも収束しないことを理解されたい。例えば、実際のエネルギー消費に激増（これは洗濯機または湯沸かし器のような大きなエネルギー消費機器の稼働によって引き起こされるかもしれない）が生じた場合、消費したものとして報告されるエネルギー量の１０％の増加は、実際の消費量データと報告された消費量データとの間の収束を引き起こさないであろう。また一方、突然のエネルギー消費が短期間である場合、実際の家庭内負荷痕跡曲線は、単に消費量スパイクを含み、自動的に、短時間遅れたのち、変更後の家庭内負荷痕跡に接近することとなる。この場合、図４のアルゴリズムによって、エネルギー消費イベントが上手く偽装される。エネルギー消費イベントがより長い持続時間を持つ場合、消費されたものとして報告されるエネルギー量の連続する１０％の増加は、２つの痕跡曲線の収束を引き起こす。後者の場合、家庭内負荷痕跡曲線内の特有のエッジは、ぼかされるか平滑化される。これにより、そのようなエッジが検知されて特定のエネルギー消費機器の使用に対応付けられるのを困難化することができることを理解されたい。
【００６０】
関数ＣｈｅｃｋＮｅｇＤｉｆｆがステップ４９０でＦＡＬＳＥを返す場合、消費されたエネルギー量を過小報告することは、（時間点ｔ−１とｔの間の）現在の期間Δｔ中に消費されたエネルギー量ｄＲ（ｔ）の変化によって自動的に改善／縮小されると考えられる。この場合、（時間点ｔ−１とｔの間の）現在の期間Δｔ中に消費されたエネルギー量ｄＡ（ｔ）が、（時間点ｔ−２とｔ−１の間の）以前の期間Δｔ中に消費されたものとして報告されたエネルギー量ｄＡ（ｔ−１）と同じであるとして報告することにより、実際の／測定された消費量データ、および報告／変更された消費量データの収束を容易化することができる。これは、表１に詳述し、図４のステップ５１０で呼び出される関数Ｍａｉｎｔａｉｎによって実現される。
【００６１】
ここで、消費されたものとして最後に報告されたエネルギー量Ａ（ｔ−１）が消費された実際のエネルギー量Ｒ（ｔ−１）より小さいかどうかのステップ４８０の判定に戻ると、実際に消費されたエネルギー量Ｒ（ｔ−１）が、消費されたものとして最後に報告されたエネルギー量Ａ（ｔ−１）より大きくないことを関数ＣｈｅｃｋＮｅｇＤｉｖｅｒｇが判定した場合、すなわち、消費されたものとして報告されたエネルギー量が、実際の消費エネルギー量を過大に表すならば、関数ＣｈｅｃｋＮｅｇＤｉｆｆＤｉｖが今回もステップ５２０で呼び出される。上述したように、関数ＣｈｅｃｋＮｅｇＤｉｆｆＤｉｖは、（時間点ｔ−１とｔの間の）当期Δｔ中のエネルギー消費量ｄＲ（ｔ）が、（時間点ｔ−２とｔ−１の間の）前期Δｔに消費されたものとして報告されたエネルギー量ｄＡ（ｔ−１）を超えるかをチェックする。これに該当する場合、（時間点ｔ−１とｔの間の）現在の期間Δｔについて報告された消費エネルギー量ｄＡ（ｔ）を、（時間点ｔ−２とｔ−１の間の）以前の期間中に消費されたものとして報告されたエネルギー量ｄＡ（ｔ−１）のレベルに維持することは、実際の／測定された消費量データと、報告され／変更された消費量データの収束を自動的にもたらし得る。この場合、関数Ｍａｉｎｔａｉｎが今回はステップ５３０で再び呼び出される。
【００６２】
ステップ５２０で関数ＣｈｅｃｋＮｅｇＤｉｆｆＤｉｖによって判定されるとおり、（時間点ｔ−１とｔの間の）当期Δｔ中のエネルギー消費量ｄＲ（ｔ）が、消費されたものとして報告されたエネルギー量ｄＡ（ｔ−１）を超過する場合、消費エネルギー量を過大報告することは悪化と認められ、補正する必要がある。この補正は、表１に詳述した関数ＤｅｃｒｅａｓｅＤｉｆｆによってステップ５４０で実現される。関数ＤｅｃｒｅａｓｅＤｉｆｆは、消費されたものとして報告されるエネルギー量を、定義された係数ＳＦによって削減する。（時間点ｔ−１とｔの間の）現在期間Δｔにわたり報告されるエネルギー消費の表１のアルゴリズムによる削減は、したがって１０％である。そのような削減は、エネルギー消費量が急激に低下した場合、報告される消費量データの、実際の／測定された消費量データとの収束を必ずしも引き起こさないかもしれないことを再度、理解されたい。しかしながら、これらの場合、低下の後に消費されたエネルギー量が激しく変動しないならば、関数ＤｅｃｒｅａｓｅＤｉｆｆを連続して呼出すことにより収束は達成されるであろう。エネルギー消費の一時的低下は平滑化され、また、収束は、実際の電力消費量における増加の繰り返しによって達成される。
【００６３】
時間ｔは、ステップ４７０、５００、５１０、５３０および５４０のいずれかが行われた後、及び必要に応じて適当な待機期間の後に、期間Δｔ増加される。期間Ｔの終了に達したことがステップ４５０で判定されると、期間Ｔで消費されたものとして報告されるエネルギー量Ａ（Ｔ）は、消費された実エネルギー量Ｒ（Ｔ）に一致しなければならない。この要求を満たすように、値Ａ（Ｔ）は表１に詳述した関数Ａｄｊｕｓｔを使用してステップ５６０で調整される。
【００６４】
上記から、実施形態のアルゴリズムは、報告され／変更後の消費量データの収束、及び実際の／測定された消費量データの収束を引き起こすことを求めることを理解されたい。２つの数の間の偏差は、実際の電力消費量の変化によって自動的に作成される。表１のアルゴリズムは、２つの数の間の偏差が補正を保証することができるほど十分に大きいかどうかチェックすること（ステップ４６０）、及び、単に安定した電力消費を報告することで収束を達成できるように電力消費が推移しているかをチェックすることにより（ＦＡＬＳＥを返すステップ４９０及びＴＲＵＥを返すステップ５２０）、所望の収束を達成する。
【００６５】
上述したが、再度ここで簡潔に述べると、補正がステップ４６０で保証されないと認められる場合、報告される電力消費は、単に実際の電力消費量を追跡するように設定され、この場合、当面は小さな差異が存在し得る。（ステップ４９０及び５２０において）実際の電力消費量が、エネルギー消費の過小報告あるいは過大報告を自動的に改正し得るものと判定された場合、最後の期間Δｔに消費されたものとして報告されるエネルギー量は、最後の期間Δｔに先行する期間Δｔに消費されたものとして報告されたものと同じに設定される。（ステップ４９０及び５２０において）エネルギー消費の大きな過大報告あるいは過小報告が、エネルギー消費の現在の推移によって改正されないであろうことが判定された場合、エネルギー消費を過大報告または過小報告する量は、上述した方法によって削減される。
【００６６】
上記の例では、図４のステップ４８０〜５４０に関して上述した収束アルゴリズムをアクティブにする１０％の偏差制限を課し、必要に応じて、報告される消費エネルギー量の１０％の変化を引き起こす係数ＳＦおよびＭＦが設定されることを理解されたい。係数ＭＦは、報告される消費量データと実際の消費量データの間の偏差について、許容される変動幅を定義する。この変動幅はユーティリティ・プロバイダーによって定義されてもよく、そのような定義が無い場合（またはユーザーがより狭い変動幅を好む場合）には、スマートメーターのユーザー／所有者によって設定されてもよい。ＭＦ＝０．１という値は、適切なアルゴリズムをインプリメントする１つの方法の実例のために表１のアルゴリズムで提供されるものに過ぎないこと、本発明はこの値の使用に決して限定されるものではないことを理解されたい。係数ＳＦは、２つの数の間の収束の迅速さを決定する。ＳＦ＝０．１という値は、適切なアルゴリズムをインプリメントする１つの方法の実例のために表１のアルゴリズムで提供されるものに過ぎないこと、本発明はこの値の使用に決して限定されるものではないことも理解されたい。ＳＦとＭＦの一方又は両方を増加すると、計量精度は犠牲となるがプライバシー保護を増強することができる。
【００６７】
達成されたプライバシー保護のレベルは、さまざまな方法で測定することができる。例えば、プライバシーは、標準ＮＡＬＭアルゴリズムを使用して評価することができる。あるいは、ｄＡ（ｔ）がｄＲ（ｔ）から異なる度合を比較することによってプライバシーを評価することができる。プライバシー保護の評価のために使用される厳密な方法は、本発明にとって重要ではなく、種々の応用およびユーザー・プライバシー要求ごとに相違してもよい。
【表１】
2011244441.tif 000003
【００６８】
図５は、図４に示したようなスクランブルアルゴリズムを組込むことができるスクランブルシステムを示す。最初のステップ６００において、システムは、オーバーライト・コマンドがあるかどうかをチェックする。図４のアルゴリズムがインプリメントされる場合、ステップ６００は図４のステップ４２０に対応する。オーバーライト・コマンドをシステムが受信した場合には、該オーバーライト・コマンドとともに受信したコマンドがステップ６１０で実行される。図４のスクランブルアルゴリズムが図５のシステムにインプリメントされるならば、このステップ６１０は、図４に示したステップ４３０に対応させることができる。実行コマンドとしては、プライバシー・スクランブラーの動作パラメータ（例えば図３のメモリ３５０または３８０に格納されるパラメータ）を変更するコマンド、履歴データを送信させるコマンド、実時間計測データを送信させるコマンドを含んでもよい。
【００６９】
ステップ６２０では、通知システムが呼び出される。上述したように、通知システム４１０はオーバーライト動作をユーザーに通知する。ステップ６３０において、オーバーライド・コマンドは、システムにより受理されるか拒絶され得る。例えば、要求は、ユーティリティまたはユーザーから出された提案あるいは強制コマンドを含み得る。適切な信任状とともにユーティリティから出された強制コマンドは自動的に許可し、他のコマンドは例えばパスワードまたはＰＩＮによる手動の許可を要求してもよい。
【００７０】
オーバーライト・コマンドを受信していない場合、プライバシー・スクランブラー（例えば図３に示されるプライバシー・スクランブラー３３０）は、所望のスクランブルアルゴリズムをインプリメントするために必要なパラメータ群を得る。これらパラメータ群は、ユーザー・プライバシー設定３５０を含むメモリや、図３に示されるピア・スマートメーターｃｏｍｍｓ３８０に記憶してもよい。
【００７１】
ステップ６５０では、スクランブルが必要か判定される。この判定は、図４のステップ４６０でなされる判定に対応させることができる。スクランブル処理が必要な場合、所望のスクランブルアルゴリズムがステップ６６０において実行される。このスクランブルアルゴリズムは、図４に示されるステップ４７０乃至ステップ５４０を含むことができる。ステップ６７０において、変更／スクランブルされたデータは、第三機関／ユーティリティ・プロバイダーに送信され、実行されたアクションのログがステップ７００において記憶される。このログは、図３に示されるデータ記録データベース３４０に記憶してもよい。
【００７２】
スクランブル処理は必要でないことがステップ６５０で判定された場合、ステップ６８０においてこの判定についてユーザーに通知し、実時間データをステップ６９０において送信することができる。この点で図５のシステムは、図４のアルゴリズムと相違する。上述したように、図４のアルゴリズムでは、消費量データと変更後消費量データは十分に収束している、と判定した場合には、消費量データに一致し、すなわち収束させるように変更後消費量データには更なる変更がなされない。その代わり、変更された家庭内負荷痕跡が、単に、測定された家庭内負荷痕跡を追跡すればよい。これにより、２つの負荷痕跡間にあり得る少しの不一致は容認する（図４のステップ４７０で）。
【００７３】
上述した実施形態の記述は、単一のスマートメーターの動作に焦点を当てている。隣人のグループのような複数台のスマートメーターが協力動作することにより、さらなる利点を得ることができる。例えば、任意の所定時刻ｔにおいて、すべてのＲＸ（ｔ）の和が、すべてのＡＸ（ｔ）の和に等しくなるように、スマートメーター１乃至Ｇから得られた測定値のグループ｛Ｒ１（ｔ），Ｒ２（ｔ），…，ＲＧ（ｔ）｝を、変更後の消費量価値のグループ｛Ａ１（ｔ），Ａ２（ｔ），…，ＡＧ（ｔ）｝をなすように変更してもよい。これを原理とする空間スクランブル処理は、ピア・スマートメーターｃｏｍｍｓ３８０及び図３に示される空間スクランブル機構４００によって管理される。また、図４を参照して上述した一時的スクランブル機構と、ここで述べた空間スクランブル機構とを組み合わせて用いてもよい。空間スクランブル機構は、そのプライバシー利点とは別に、集約偏差をさらに削減できることから、スマートグリッド安定性及びパワーマネージメントの点で望ましいことが理解されるべきである。
【００７４】
図４のアルゴリズムのインプリメンテーション例
図６は、図１の家庭内負荷痕跡について、１分の時間間隔（Δｔ＝１分）で得られたデータ値を示している。図４および表１を参照して説明したアルゴリズムがこの負荷痕跡に適用され、５分、１０分、および２０分の平均化フィルターによる比較を行った。
【００７５】
２０分の平均化フィルターの結果を図６の実際の家庭内負荷痕跡上に重ね合わせて図７および図１２に示す。図４のスクランブルアルゴリズムの演算結果を、図６の実際の家庭内負荷痕跡上に重ね合わせて図８に示す。図９、図１０および図１１は、図８の部分を拡大して示すものであって、４００〜７００分（図９）、７００〜１０００分（図１０）、及び１０００〜１３００分（図１１）の各期間の詳細を示している。図８〜１１と図７の比較によれば、移動平均フィルターが、突然の／短いエネルギー消費イベントを平滑化／拡大化しつつ、測定された家庭内負荷痕跡を追跡していることが明らかである。また、移動平均アルゴリズムのリバースエンジニアリングの結果、第三機関は、平均化された家庭内負荷痕跡から実際の家庭内負荷痕跡を得ることができる。
【００７６】
対照的に、図４のアルゴリズムは、（ユーティリティ・プロバイダーによって要求され得るエネルギー消費量報告に対する信頼度に寄与することが意図されることから）必然的に、ある程度は常に実際の家庭内負荷痕跡を追跡するが、直接的には実際の電力消費量値に依存しない出力／変更値を提供する。この理由で、図４のアルゴリズムは、報告された家庭内負荷痕跡からの実際の家庭内負荷痕跡のリバースエンジニアリングの対象とならない。図８〜図１１から分かるように、
図４のアルゴリズムは、成功裡に電力消費ピークを隠しながらも、数分／期間Δｔの安定した報告レベルを維持する。この場合、実際のエネルギー消費レベルと変更後のエネルギー消費レベルの間の偏差は、許容できると考えられる。図９〜図１１から詳細に分かるように、これら平坦域を提供することにより、いくつかの小さな消費量スパイクを隠ぺいすることができる。
【００７７】
図１３は、移動平均フィルターのさらなる利用を示しており、点線は、移動平均フィルターの出力に重ね合わせられた５０％の不規則雑音を示している。追加された不規則雑音を含む移動平均フィルターはプライバシー保護を改善し、不規則雑音の追加の効果は潜在的に低域フィルターを使用して削除することができる。これは、リバースエンジニアリング可能な負荷痕跡を提供する。
【００７８】
図１４では、図４のアルゴリズムによって提供される収束と、２０分の移動平均フィルターによって提供される収束とを比較している。図１４から分かるように、図４のアルゴリズムによる収束は、移動平均アルゴリズムの収束に実質的に対応している。しかしながら、２０分の移動平均フィルター（図１４中の実線）が単純に家庭内負荷痕跡を追跡する一方、図４のアルゴリズムでは、使用エネルギーを相当に過小報告する期間と使用エネルギーを相当に過大報告する期間とを組み合わせている。したがって、２０分の移動平均アルゴリズムと比較した場合、図４のアルゴリズムは最高のプライバシー保護を提供する。図１４中の２本の曲線の実質的な一致は、移動平均アルゴリズム及び図４に示したアルゴリズムのどちらも、消費量データからの変更後消費量データの絶対偏差を許容することを示している。これにより、図４のアルゴリズムは、プライバシー保護を改善しつつ、ユーティリティ親和性を提供する。
【００７９】
ここで、図１０に戻り、また図４のアルゴリズムを参照すると、８２０分から８８０分までの間、実際の測定値差分が急激に増加し、その結果大きな偏差が発生していることから、変更後の／報告される消費曲線の値は、（毎時１０％）増加する。この増加は、図４のアルゴリズム／表１の関数ＩｎｃｒｅａｓｅＤｉｆｆを呼び出すことによりもたらされる。しかし、変更後の消費量痕跡が上昇するまでに、実消費痕跡は（８８０分のあたりで）低下している。変更後の消費量曲線がさらに増加する（すなわち不適当な統合差分の集約）のを止めるために、変更後の消費量曲線は表１の関数Ｍａｉｎｔａｉｎを使用して一定に保たれる。９１０分あたりで（偏差０）、正の偏差が蓄積したことにより、変更後の消費量曲線は（関数ＤｅｃｒｅａｓｅＤｉｆｆによって）減少に転じる。
【００８０】
本発明の実施形態を包含するように向上したスマートメーターについて上記の具体的な記述を行ったが、本発明は、それ自体が電力消費を測定し、該測定された電力消費データをスマートメーターに送る前に変更するように、標準的なスマートメーターの消費者サイドに設置される個別の装置として実施できることを理解されたい。この原理の装置は、スマートメーターからコマンドを受信し、正確な電力消費データを、そのようなデータの配送を正当に要求し得る第三機関に対してエクスポート／送信できるよう構成してもよい。
【図１】
2011244441.tif 000004
【図２】
2011244441.tif 000005
【図３】
2011244441.tif 000006
【図４】
2011244441.tif 000007
【図５】
2011244441.tif 000008
【図６】
2011244441.tif 000009
【図７】
2011244441.tif 000010
【図８】
2011244441.tif 000011
【図９】
2011244441.tif 000012
【図１０】
2011244441.tif 000013
【図１１】
2011244441.tif 000014
【図１２】
2011244441.tif 000015
【図１３】
2011244441.tif 000016
【図１４】
2011244441.tif 000017
【外国語明細書】
2011244441000001.pdf