(57)【要約】  第２の当事者から第１の当事者によって受信されたデータを正当性検証する方法であって、データは、１つまたは複数の計量デバイスによって記録されたデータユニットの集計合計値を備え、方法は、第１の当事者で、第２の当事者からデータユニットの集計合計値と、各計量デバイスがその読み取り値をそれに報告したメッセージアグリゲータからデータユニットの暗号化された集計合計値とを受信することと、集計合計値は、第２の当事者に関連する暗号化鍵を使用して暗号化され、暗号化鍵を使用して第２の当事者から受信されたデータユニットの合計値を暗号化することと、第２の当事者から受信されたデータユニットの合計値の暗号化の結果を、メッセージアグリゲータから受信された暗号化された集計合計値と比較することと、を備える。【選択図】図２
2017527192.tif 000002
【特許請求の範囲】
【請求項１】
１つまたは複数の計量デバイスから２つ以上の第３者にデータを配布する方法であって、
前記１つまたは複数の計量デバイスでデータのユニットを記録することと、
それぞれの暗号化されたメッセージを形成するために、データの各ユニットを暗号化することと、前記暗号化は、前記第３者のうちの第１の１つに関連する暗号化鍵を使用して実行され、
前記暗号化されたメッセージを、メッセージアグリゲータに送ることと、
前記メッセージアグリゲータで、データの前記ユニットの暗号化された合計値を形成するために、前記暗号化されたメッセージを集計することと、
データの前記ユニットの前記暗号化された合計値を、前記メッセージアグリゲータから前記第３者のうちの前記第１の１つと前記第３者のうちの第２の１つとに送ることと、
前記暗号化鍵を使用して、前記第３者のうちの前記第１の１つで、前記メッセージアグリゲータから受信された前記暗号化された合計値を復号することと、これによって前記第３者のうちの前記第１の１つで、データの前記ユニットの前記合計値を取得し、
データの前記ユニットの前記復号された合計値を、前記第３者のうちの前記第１の１つから前記第３者のうちの前記第２の１つに送ることと、
前記第３者のうちの前記第２の１つで、前記第３者のうちの前記第１の１つから受信されたデータの前記ユニットの前記合計値を暗号化することと、前記暗号化は、前記暗号化鍵を使用することによって実行され、
前記第３者のうちの前記第１の１つから前記第３者のうちの前記第２の１つによって受信されたデータの前記ユニットの前記合計値の正当性を検証するために、前記第３者のうちの前記第２の１つで、前記第３者のうちの前記第１の１つから受信されたデータの前記ユニットの前記合計値の暗号化の結果を、前記メッセージアグリゲータから受信された前記暗号化された合計値と比較することと、
を備える、方法。
【請求項２】
前記計量デバイスは、１つまたは複数のタイムインターバル中に特定のユーティリティの使用量の範囲を示すユーティリティデータを記録するように構成されたユーティリティメータである、請求項１に記載の方法。
【請求項３】
ユーティリティデータの各ユニットは、タイムインターバル中に消費された電気の測定値を備える、請求項２に記載の方法。
【請求項４】
前記暗号化鍵は、前記第３者のうちの前記第１の１つの準同形公開鍵／秘密鍵対の一部を形成する公開準同形鍵であり、ここにおいて、前記第３者のうちの前記第１の１つは、データの前記ユニットの前記合計値を復号するために前記準同形秘密鍵を使用する、請求項１に記載の方法。
【請求項５】
データの前記ユニットを暗号化する時に、データの前記ユニットは、乱数の形の検証ナンスにセキュアに束縛され、
ここにおいて、データの前記ユニットの前記合計値を復号する際に、前記第３者のうちの前記第１の１つは、前記検証ナンスを回復し、前記ナンスをデータの前記ユニットの前記復号された合計値と一緒に前記第３者のうちの前記第２の１つに送る
請求項１に記載の方法。
【請求項６】
前記第３者のうちの前記第１の１つは、電力グリッド(electrical power grid)の分配網オペレータを備え、前記分配網オペレータは、前記電力グリッドの地域内で負荷管理を実行するように構成され、
前記第３者のうちの前記第２の１つは、ユーティリティサービスプロバイダを備え、前記ユーティリティサービスプロバイダは、前記ユーティリティメータが配置される場所に電気を供給する責任を負う会社である
請求項３に記載の方法。
【請求項７】
前記第３者は、複数の異なるユーティリティサービスプロバイダを含み、
暗号化されたメッセージを前記メッセージアグリゲータに送る時に、各ユーティリティメータは、さらに、前記ユーティリティメータが配置される前記場所に電気を供給する責任を負う前記ユーティリティサービスプロバイダの表示を前記メッセージアグリゲータに送る
請求項６に記載の方法。
【請求項８】
前記メッセージアグリゲータは、各ユーティリティサービスプロバイダについて、別々の暗号化された合計値を生成し、ここにおいて、それぞれのユーティリティサービスプロバイダのために生成される前記暗号化された合計値は、そのユーティリティサービスプロバイダによって供給される場所に配置されたユーティリティメータから受信されたユーティリティデータの前記ユニットの暗号化された合計値を備える、請求項７に記載の方法。
【請求項９】
前記メッセージアグリゲータは、前記分配網オペレータに、前記暗号化された合計値のうちの各１つを送り、さらに、前記それぞれのユーティリティサービスプロバイダに、前記暗号化された合計値のうちの各１つを送り、
前記分配網オペレータは、前記メッセージアグリゲータから受信された前記暗号化された合計値のうちの各１つを復号し、前記それぞれのユーティリティサービスプロバイダに各復号された合計値を送り、
前記ユーティリティサービスプロバイダのうちの各１つは、前記分配網オペレータから受信されたユーティリティデータの前記ユニットの前記合計値の正当性を検証するために、前記分配網オペレータから受信されたユーティリティデータの前記ユニットの前記合計値を前記メッセージアグリゲータから受信された前記暗号化された合計値と比較する
請求項８に記載の方法。
【請求項１０】
前記第３者は、複数の異なる分配網オペレータおよびユーティリティサービスプロバイダを含み、各分配網オペレータは、前記電力グリッドのそれぞれの地域内で負荷管理を実行するように構成され、各分配網オペレータは、それ自体の準同形公開鍵／秘密鍵対を有し、
各ユーティリティメータは、前記それぞれのユーティリティメータが配置される前記グリッドの前記地域内で負荷管理の責任を負う分配網オペレータに属する前記準同形公開鍵を使用して、そのユーティリティデータの暗号化を実行し、その分配網オペレータの表示を前記メッセージアグリゲータに送り、
前記分配網オペレータのうちの各１つについて、前記メッセージアグリゲータは、前記それぞれの分配網オペレータの前記準同形公開鍵を用いて暗号化された、暗号化された合計値のそれぞれのセットを生成し、ここにおいて、各セット内で、前記暗号化された合計値のうちの各１つは、前記ユーティリティサービスプロバイダのうちのそれぞれの１つによって供給される場所に配置されたユーティリティメータから受信されたユーティリティデータの前記ユニットの暗号化された合計値を備える
請求項７から９のいずれか一項に記載の方法。
【請求項１１】
前記メッセージアグリゲータは、そのそれぞれの分配網オペレータに、暗号化された合計値の各セットを送り、各ユーティリティサービスプロバイダに、そのそれぞれのユーティリティサービスプロバイダによって供給される場所に配置されたユーティリティメータから受信されたユーティリティデータのユニットの暗号化された合計値である前記暗号化された合計値のうちの各１つを送る、請求項１０に記載の方法。
【請求項１２】
各分配網オペレータは、前記メッセージアグリゲータから受信された前記暗号化された合計値のうちの各１つを復号し、前記それぞれのユーティリティサービスプロバイダに各復号された合計値を送り、
ユーティリティサービスプロバイダがそれぞれの分配網オペレータから受信する暗号化された各合計値について、前記ユーティリティサービスプロバイダは、前記分配網オペレータから受信されたユーティリティデータの前記ユニットの前記合計値の正当性を検証するために、前記それぞれの分配網オペレータの前記準同形公開鍵を用いて前記合計値を暗号化し、その結果を前記メッセージアグリゲータから受信された前記暗号化された合計値と比較する
請求項１１に記載の方法。
【請求項１３】
前記計量デバイスから前記メッセージアグリゲータに前記暗号化されたメッセージを送る際に、前記暗号化されたメッセージは、前記計量デバイスと前記メッセージアグリゲータとの間で共有される暗号化鍵を使用してさらに暗号化される、先行する請求項のいずれか一項に記載の方法。
【請求項１４】
第２の当事者から第１の当事者によって受信されたデータを正当性検証する方法であって、前記データは、１つまたは複数の計量デバイスによって記録されたデータのユニットの集計合計値を備え、前記方法は、
前記第１の当事者で、前記第２の当事者からデータのユニットの前記集計合計値を受信することと、
前記第１の当事者で、各計量デバイスがその読み取り値を報告したメッセージアグリゲータから、データの前記ユニットの暗号化された集計合計値を受信することと、前記集計合計値は、前記第２の当事者に関連する暗号化鍵を使用して暗号化され、
前記暗号化鍵を使用して、前記第２の当事者から受信された前記データの前記ユニットの前記合計値を暗号化することと、
前記第１の当事者で、前記第２の当事者から受信されたデータの前記ユニットの前記集計合計値の正当性を検証するために、前記第２の当事者から受信されたデータの前記ユニットの前記合計値の暗号化の結果を、前記メッセージアグリゲータから受信された前記暗号化された集計合計値と比較することと、
を備える、方法。
【請求項１５】
前記第１の当事者は、ユーティリティサービスプロバイダであり、
前記第２の当事者は、ユーティリティ供給インフラストラクチャの分配網オペレータであり、前記分配網オペレータは、地理的地域にまたがって前記ユーティリティの配布を管理するように構成される、
データの前記ユニットは、前記地域内に配置された１つまたは複数のユーティリティメータによって記録されたユーティリティデータを備え、ユーティリティデータの各ユニットは、タイムインターバル中のユーティリティの使用の範囲を示す
請求項１４に記載の方法。
【請求項１６】
１つまたは複数の場所でのユーティリティ消費を報告する方法であって、
メッセージアグリゲータで、複数のユーティリティメータのうちの各１つから暗号化されたメッセージを受信することと、各メッセージは、タイムインターバル中のユーティリティの使用の範囲を示すユーティリティデータのユニットを暗号化し、
前記複数のユーティリティメータのうちの各１つから、前記ユーティリティメータが配置される地理的地域にまたがって前記ユーティリティの配布を管理する責任を負う分配網オペレータの表示を受信することと、
前記複数のユーティリティメータのうちの各１つから、前記ユーティリティメータが配置される前記場所に前記ユーティリティを供給する責任を負うユーティリティサービスプロバイダの表示を受信することと、
前記分配網オペレータのうちの各１つについて、
暗号化された合計値のそれぞれのセットを生成することと、ここにおいて、各セット内で、各暗号化された合計値は、前記ユーティリティサービスプロバイダのうちのそれぞれの１つによって供給される場所に配置されたユーティリティメータから受信されたユーティリティデータの前記ユニットの暗号化された合計値を備え、前記暗号化は、前記それぞれの分配網オペレータに関連する暗号化鍵を使用して実行され、
前記それぞれの分配網オペレータに暗号化された合計値の各セットを送ることと、
各ユーティリティサービスプロバイダに、そのそれぞれのユーティリティサービスプロバイダによって供給される場所に配置されたユーティリティメータから受信されたユーティリティデータのユニットの暗号化された合計値である、前記暗号化された合計値のうちの各１つを送ることと、
を備える、方法。
【請求項１７】
前記ユーティリティは、電気であり、前記分配網オペレータは、電力グリッドのそれぞれの地域内で負荷管理を実行するように構成される、請求項１５または１６に記載の方法。
【請求項１８】
前記方法の前記ステップは、複数のタイムインターバルのうちの各１つについて繰り返される、先行する請求項のいずれか一項に記載の方法。
【請求項１９】
各タイムインターバルは、持続時間において３０分以下である、請求項１８に記載の方法。
【請求項２０】
場所でのユーティリティの使用量を監視するユーティリティメータであって、
ユーティリティ使用量の読み取り値をログ記録するためのアカウントレジスタを備え、
前記ユーティリティメータは、予め決定されたインターバルで前記アカウントレジスタに新しい読み取り値を書き込むように構成され、
ここにおいて、前記ユーティリティメータは、新しい読み取り値が前記アカウントレジスタに書き込まれる前記インターバルを変更するように構成可能であり、
前記ユーティリティメータは、ユーザの供給業者会社によって送られた任意の要求に対してそのアカウントレジスタからの前記読み取り値を用いて応答するように構成され、
ここにおいて、前記ユーティリティメータは、前記ユーザによって送られたコマンドで、前記アカウントレジスタに新しい読み取り値を書き込み、前記供給業者会社に通知を送るように構成可能である、
ユーティリティメータ。
【発明の詳細な説明】
【技術分野】
【０００１】
本明細書で説明される実施形態は、１つまたは複数の計量デバイスから２つ以上の第３者へデータを配布する方法に関する。
【背景技術】
【０００２】
スマートメータは、従来のメータよりはるかに詳細に１つまたは複数のユーティリティ（通常は電気であるが、たとえばガス、水、熱、電話／インターネット、ケーブルテレビジョンまたは衛星テレビジョンなどでもある）の使用量を測定するための高度なメータである。将来の「スマートハウス」では、そのようなメータが、家庭内の複数の機器およびデバイスと通信し、監視と請求書送付との両方のために、使用量情報をユーティリティ会社に戻す通信をすると考えられている。いくつかの場合に、たとえばスマートメータが電力消費量を測定するのに使用される場合に、メータは、使用量情報を電力グリッド（送電網（power grid））オペレータに通信することもできる。ユーザが、彼らのスマートメータを使用して送電網オペレータおよびエネルギ供給業者と相互に作用し、データを交換する能力は、世界の電気供給網を改善し、グリッドが運営される効率を高めるための重要な潜在能力を提供する。
【０００３】
電力消費の監視を例にとると、スマートメータが、たとえば３０分という短いタイムスロット中にそのユーザの電力消費データを測定し、スロットごとに正確なメータ読み取り値（メータリーディング（meter reading））を記憶することが予想される。タイムスロットごとのそのようなデータへのアクセスを有することは、ユーザが、彼らの電力消費とコストとをよりよく知ることを可能にすると同時に、オペレータは、グリッドをより効率的に管理でき、供給業者は、彼らの顧客の需要をより正確に予測できるようになる。将来に、これらのタイムスロットは、より短くされ得、これは、そのようなデータの可用性と処理とに関する重要なプライバシ問題を提起し、そのような詳細なエネルギ使用情報は、たとえば、ある世帯の日常のエネルギ使用パターンをあらわにし、どの種類のデバイスまたは機器が任意の所与の時に使用中であったのかを外部当事者が推定することを可能にする可能性がある。したがって、そのような機密データを許可されないアクセスから保護することが重要である。
【０００４】
ユーティリティデータがそのような短いインターバルで獲得される場合に、そのデータが特定の消費者に関係付けられることを防がれることを保証するために、複数の解決策が提案された。通常、これらの解決策は、データ匿名化またはデータ集計に頼る。しかし、そのような方式は、すべてのユーザの集計された計量データの単一の受領者だけがあることを前提とする。自由化された電力市場では、ユーザの異なる集合の集計されたデータにアクセスする必要がある多数のエンティティ（たとえば、グリッドオペレータ、供給業者）がある。ここで、ユーザの使用量データを保護する従来の解決策は、同一の計量データが異なるエンティティへの送出のために複数回暗号化されることを必要とし、多重受領者システムの計算オーバーヘッドと通信オーバーヘッドとを増加させるので、非効率的である。
【０００５】
本発明の実施形態が、これから、添付図面を参照して例として説明される。
【図面の簡単な説明】
【０００６】
【図１】１つまたは複数のユーティリティメータから第３者へのユーティリティデータの配布にかかわるエンティティの概略を示す図。
【図２】一実施形態による、１つまたは複数のユーティリティメータから複数の第３者にユーティリティデータを配布する方法を示す図。
【図３】一実施形態による、１つまたは複数のユーティリティメータから複数の第３者にユーティリティデータを配布するシステムインフラストラクチャを示す図。
【図４】一実施形態による、１つまたは複数のユーティリティメータから複数の第３者にユーティリティデータを配布する方法を示す図。
【図５】一実施形態による、ユーティリティデータを記録するユーティリティメータの概略を示す図。
【図６】一実施形態による、１つまたは複数のユーティリティメータから複数の第３者にユーティリティデータを配布するステップを示す流れ図。
【図７】一実施形態による、ユーティリティデータを記録し、報告する時にユーティリティメータによって実行されるステップを示す流れ図。
【図８】一実施形態による、ユーティリティデータを記録し、報告する時にユーティリティメータによって実行される動作の概略を示す図。
【図９】一実施形態による、複数の第３者にユーティリティデータを配布する時にデータ通信会社によって実行されるステップを示す流れ図。
【図１０】一実施形態による、複数の第３者にユーティリティデータを配布する時にデータ通信会社によって実行される動作の概略を示す図。
【図１１】一実施形態による、データ通信会社からのユーティリティデータの受信時に分配網オペレータによって実行されるステップを示す流れ図。
【図１２】一実施形態による、データ通信会社からのユーティリティデータの受信時に分配網オペレータによって実行される動作の概略を示す図。
【図１３】一実施形態による、データ通信会社および分配網オペレータからのユーティリティデータの受信時にユーティリティサービスプロバイダによって実行されるステップを示す流れ図。
【図１４】一実施形態による、データ通信会社および分配網オペレータからのユーティリティデータの受信時にユーティリティサービスプロバイダによって実行される動作の概略を示す図。
【図１５】一実施形態による、分配網オペレータからのユーティリティデータの受信時に送信システムオペレータによって実行されるステップを示す流れ図。
【図１６】一実施形態による、分配網オペレータからのユーティリティデータの受信時に送信システムオペレータによって実行される動作の概略を示す図。
【図１７】一実施形態による、ユーティリティメータ内でアカウンティングレジスタ更新のレートを変更する時に実行されるステップを示す流れ図。
【図１８】一実施形態による、ユーザによって開始されたユーティリティメータ内でのアカウンティングレジスタ更新中に実行されるステップを示す流れ図。
【図１９】一実施形態による、ユーザによって開始されたアカウンティングレジスタ更新中にユーティリティメータで実行されるステップを示す流れ図。
【図２０】一実施形態による、アカウンティングレジスタ更新中にユーティリティメータによって実行される動作の概略を示す図。
【図２１】一実施形態による、アカウンティングレジスタ更新中にユーティリティメータで実行されるステップを示す流れ図。
【図２２】一実施形態による、アカウンティングレジスタ更新中にユーティリティメータによって実行される動作の概略を示す図。
【図２３】一実施形態による、ユーティリティサービスプロバイダを切り替える時に実行されるステップを示す流れ図。
【発明を実施するための形態】
【０００７】
第１の実施形態によれば、１つまたは複数の計量デバイスから２つ以上の第３者にデータを配布する方法であって、
前記１つまたは複数の計量デバイスで複数のデータユニットを記録することと、
各データユニットを、それぞれの暗号化されたメッセージを形成するために、暗号化することと、前記暗号化は、前記第３者のうちの第１の１つに関連する暗号化鍵を使用して実行され、
前記暗号化されたメッセージをメッセージアグリゲータに送ることと、
前記メッセージアグリゲータで、暗号化されたデータユニットの合計値（ｓｕｍ）を形成するために、前記暗号化されたメッセージを集計することと、
前記暗号化されたデータユニットの合計値を、前記メッセージアグリゲータから前記第３者のうちの前記第１の１つと前記第３者のうちの第２の１つとに送ることと、
前記暗号化鍵を使用して、前記第３者のうちの前記第１の１つで、前記メッセージアグリゲータから受信された前記暗号化された合計値を復号することと、これによって前記第３者のうちの前記第１の１つで前記データユニットの前記合計値を取得し、
前記データユニットの前記復号された合計値を、前記第３者のうちの前記第１の１つから前記第３者のうちの前記第２の１つに送ることと、
前記第３者のうちの前記第２の１つで、前記第３者のうちの前記第１の１つから受信された前記データユニットの前記合計値を暗号化することと、前記暗号化は、前記暗号化鍵を使用することによって実行され、
前記第３者のうちの前記第１の１つから前記第３者のうちの前記第２の１つによって受信された前記データユニットの前記合計値の正当性を検証するために、前記第３者のうちの前記第２の１つで、前記第３者のうちの前記第１の１つから受信された前記データユニットの前記合計値の暗号化の結果を、前記メッセージアグリゲータから受信された前記暗号化された合計値と比較することと、
を備える、方法が提供される。
【０００８】
いくつかの実施形態では、計量デバイスは、１つまたは複数のタイムインターバル中に特定のユーティリティの使用量の範囲を示すユーティリティデータを記録するように構成されたユーティリティメータである。ユーティリティデータの各ユニットは、タイムインターバル中に消費された電気の測定値を備えることができる。ユーティリティデータの各ユニットは、熱消費および／またはガス消費の測定値、および／またはある場所（site）に供給された水の測定値を備えることができる。
【０００９】
暗号化鍵は、第３者のうちの第１の１つの準同形（homomorphic）公開鍵／秘密鍵対の一部を形成する公開準同形鍵とされ得る。第３者のうちの第１の１つは、データユニットの合計値を復号するのに準同形秘密鍵を使用することができる。
【００１０】
いくつかの実施形態では、データユニットを暗号化する時に、データユニットは、乱数の形の検証ナンスにセキュアに束縛される。データユニットの合計値を復号する際に、第３者のうちの第１の１つは、検証ナンスを回復し（recover）、ナンスをデータユニットの復号された合計値と一緒に第３者のうちの第２の１つに送ることができる。
【００１１】
いくつかの実施形態では、第３者のうちの第１の１つは、電力送電網（電力グリッドelectrical power grid）の分配網（distribution network）オペレータを備え、分配網オペレータは、送電網（power grid）の地域内で負荷管理を実行するように構成される。いくつかの実施形態では、第３者のうちの第２の１つは、ユーティリティサービスプロバイダを備え、ユーティリティサービスプロバイダは、ユーティリティメータが配置される場所（サイト（site））に電気を供給する責任を負う会社である。
【００１２】
いくつかの実施形態では、第３者は、複数の異なるユーティリティサービスプロバイダを含む。暗号化されたメッセージをメッセージアグリゲータに送る時に、各ユーティリティメータは、ユーティリティメータが配置される場所に電気を供給する責任を負うユーティリティサービスプロバイダの表示をもメッセージアグリゲータに送ることができる。メッセージアグリゲータは、ユーティリティサービスプロバイダごとに別々の暗号化された合計値（sum）を生成することができ、ここにおいて、それぞれのユーティリティサービスプロバイダのために生成される暗号化された合計値は、そのユーティリティサービスプロバイダによって供給される場所に配置されたユーティリティメータから受信されたユーティリティデータのユニットの暗号化された合計値を備える。メッセージアグリゲータは、分配網オペレータに暗号化された合計値のうちの各１つを送り、それぞれのユーティリティサービスプロバイダに暗号化された合計値のうちの各１つをさらに送ることができる。分配網オペレータは、メッセージアグリゲータから受信された暗号化された合計値のうちの各１つを復号し、それぞれのユーティリティサービスプロバイダに各復号された合計値を送ることができる。ユーティリティサービスプロバイダのうちの各１つは、分配網オペレータから受信されたユーティリティデータのユニットの合計値の正当性を検証するために、分配網オペレータから受信されたユーティリティデータのユニットの合計値をメッセージアグリゲータから受信された暗号化された合計値と比較することができる。
【００１３】
いくつかの実施形態では、第３者は、複数の異なる分配網オペレータとユーティリティサービスプロバイダとを含み、各分配網オペレータは、分配網のそれぞれの地域内で負荷管理を実行するように構成され、各分配網オペレータは、それ自体の準同形公開鍵／秘密鍵対を有する。各ユーティリティメータは、それぞれのユーティリティメータが配置されるグリッドの地域内で負荷管理の責任を負う分配網オペレータに属する準同形公開鍵を使用してそのユーティリティデータの暗号化を実行し、その分配網オペレータの表示をメッセージアグリゲータに送ることができる。
【００１４】
分配網オペレータのうちの各１つについて、メッセージアグリゲータは、それぞれの分配網オペレータの準同形公開鍵を用いて暗号化された、暗号化された合計値のそれぞれのセットを生成することができる。各セット内で、暗号化された合計値のうちの各１つは、ユーティリティサービスプロバイダのうちのそれぞれの１つによって供給される場所に配置されたユーティリティメータから受信されたユーティリティデータのユニットの暗号化された合計値を備えることができる。いくつかの実施形態では、メッセージアグリゲータは、そのそれぞれの分配網オペレータに暗号化された合計値の各セットを送り、各ユーティリティサービスプロバイダによって供給される場所に配置されたユーティリティメータから受信されたユーティリティデータのユニットの暗号化された合計値である、暗号化された合計値のうちの各１つをそのそれぞれのユーティリティサービスプロバイダに送る。各分配網オペレータは、メッセージアグリゲータから受信された暗号化された合計値のうちの各１つを復号し、それぞれのユーティリティサービスプロバイダに各復号された合計値を送ることができる。ユーティリティサービスプロバイダがそれぞれの分配網オペレータから受信する暗号化された合計値ごとに、ユーティリティサービスプロバイダは、分配網オペレータから受信されたユーティリティデータのユニットの合計値の正当性を検証するために、それぞれの分配網オペレータの準同形公開鍵を用いて合計値を暗号化し、その結果をメッセージアグリゲータから受信された暗号化された合計値と比較することができる。
【００１５】
いくつかの実施形態では、計量デバイスからメッセージアグリゲータに暗号化されたメッセージを送る際に、暗号化されたメッセージは、計量デバイスとメッセージアグリゲータとの間で共有される暗号化鍵を使用してさらに暗号化される。
【００１６】
第２の実施形態によれば、第２の当事者（party）から第１の当事者（party）によって受信されたデータを正当性検査する方法であって、データは、１つまたは複数の計量デバイスによって記録されたデータユニットの集計合計値（aggregate sum）を備え、方法は、
前記第１の当事者で、前記第２の当事者からデータユニットの集計合計値を受信することと、
前記第１の当事者で、各計量デバイスがその読み取り値（リーディング）を報告したメッセージアグリゲータからデータユニットの暗号化された集計合計値を受信することと、前記集計合計値は、前記第２の当事者に関連する暗号化鍵を使用して暗号化され、
前記暗号化鍵を使用して、前記第２の当事者から受信された前記データユニットの前記合計値を暗号化することと、
前記第１の当事者で、前記第２の当事者から受信された前記データユニットの前記集計合計値の正当性を検証するために、前記第２の当事者から受信された前記データユニットの前記合計値の暗号化の結果を前記メッセージアグリゲータから受信された前記暗号化された集計合計値と比較することと、
を備える、方法が提供される。
【００１７】
いくつかの実施形態では、第１の当事者は、ユーティリティサービスプロバイダであり、第２の当事者は、ユーティリティ供給インフラストラクチャの分配網オペレータであり、分配網オペレータは、地理的地域にまたがってユーティリティの分配を管理するように構成される。データユニットは、前記地域内に配置された１つまたは複数のユーティリティメータによって記録されたユーティリティデータを備えることができ、ユーティリティデータの各ユニットは、タイムインターバル中のユーティリティの使用の範囲を示す。
【００１８】
第３の実施形態によれば、１つまたは複数の場所でのユーティリティ消費を報告する方法であって、
メッセージアグリゲータで、複数のユーティリティメータのうちの各１つから暗号化されたメッセージを受信することと、各メッセージは、タイムインターバル中のユーティリティの使用の範囲を示すユーティリティデータのユニットを暗号化し、
前記複数のユーティリティメータのうちの各１つから、前記ユーティリティメータが配置される地理的地域にまたがってユーティリティの分配を管理する責任を負う分配網オペレータの表示を受信することと、
前記複数のユーティリティメータのうちの各１つから、ユーティリティメータが配置される場所にユーティリティを供給する責任を負うユーティリティサービスプロバイダの表示を受信することと、
前記分配網オペレータのうちの各１つについて、
暗号化された合計値のそれぞれのセットを生成することと、ここにおいて、各セット内で、各暗号化された合計値は、前記ユーティリティサービスプロバイダのうちのそれぞれの１つによって供給される場所に配置されたユーティリティメータから受信されたユーティリティデータの前記ユニットの暗号化された合計値を備え、暗号化は、それぞれの分配網オペレータに関連する暗号化鍵を使用して実行され、
それぞれの分配網オペレータに、暗号化された合計値の各セットを送ることと、
各ユーティリティサービスプロバイダに、そのそれぞれのユーティリティサービスプロバイダによって供給される場所に配置されたユーティリティメータから受信されたユーティリティデータのユニットの暗号化された合計値である、前記暗号化された合計値のうちの各１つを送ることと、
を備える、方法が提供される。
【００１９】
いくつかの実施形態では、ユーティリティは、電気であり、分配網オペレータは、送電網のそれぞれの地域内で負荷管理を実行するように構成される。
【００２０】
上記の実施形態のうちの任意の１つにおいて、方法のステップは、複数のタイムインターバルのうちの各１つについて繰り返され得る。各タイムインターバルは、持続時間において３０分以下とされ得る。
【００２１】
第４の実施形態によれば、ある場所でのユーティリティの使用量を監視するユーティリティメータが提供され、当該ユーティリティメータは、ユーティリティ使用量の読み取り値を記録するアカウントレジスタを備え、
前記ユーティリティメータは、予め定められたインターバルに、アカウントレジスタに新しい読み取り値を書き込むように構成され、
ここにおいて、前記ユーティリティメータは、新しい読み取り値がアカウントレジスタに書き込まれるインターバルを変更するように構成可能であり、
前記ユーティリティメータは、ユーザの供給業者会社によって送られた任意の要求に対してそのアカウントレジスタからの読み取り値を用いて応答するように構成され、
ここにおいて、前記ユーティリティメータは、ユーザによって送られたコマンドで、アカウントレジスタに新しい読み取り値を書き込み、供給業者会社に通知を送るように構成可能である。
【００２２】
一実施形態による方法は、図１と図２とを参照して説明される。図１は、グループＰｔｏグループＱとの、データソースの２つのグループ（これは、たとえばユーティリティメータを表すと理解され得る）がある例を示し、各グループは、総計ｎ個とｗ個とのデータノード／ジェネレータをそれぞれ含む。各データノード、例えばｐｉは、数値メッセージ、たとえば、特定のユーティリティの使用量を示すデータを含むｍpi、を生成する。データノードは、任意の外部の当事者（party）がその個々のメッセージの内容へのアクセスを得ることを望まない。
【００２３】
この例では、各グループ内のノードによって生成されたメッセージの集計合計値すなわち
Σｍpi、およびΣｍqiを知ることを望む単一のデータユーザＵ１がある。データユーザＵ１は、準同形(homomorphic)公開鍵／秘密鍵対を有し、準同形公開鍵／秘密鍵は、それぞれｈｐｋU1およびｈｓｋU1と表される。
【００２４】
正直であるが奇妙な（ｈｏｎｅｓｔ−ｂｕｔ−ｃｕｒｉｏｕｓ）第３者（ＴＰ）は、データソースとデータユーザＵ１との間に位置付けられる。ＴＰは、プロトコル仕様に従うが、データノードによって生成された個々のメッセージの内容またはメッセージの合計値を見出すことを試みる可能性がある。
【００２５】
図１に示された例では、各ノードは、メッセージの暗号文を生成するために、データユーザＵ１の準同形公開鍵の使用によってそのメッセージを暗号化し、たとえば、ノードｐ1によって生成されるｍp1について、Ｃ（ｍp1）＝Ｅｎｃ（ｍp1、ｒp1, ｈｐｋU1）を行い、ここで、ｒp1は、暗号化で使用される乱数である。その後、ノードは、暗号文Ｃ（ｍp1）をＴＰに送る。
【００２６】
ｈｏｎｅｓｔ−ｂｕｔ−ｃｕｒｉｏｕｓ  ＴＰは、データノードから受信された暗号化されたメッセージを集計するメッセージアグリゲータとして働く１つまたは複数のデータ集信器を含む。ＴＰの各データ集信器は、それに接続されたデータノードからすべての暗号文を受信し、集計された暗号文を生成するためにすべての受信された暗号文を乗算する（multiply）。ここで、Ｐａｉｌｌｉｅｒ暗号系（cryptosystem）が利用され、このＰａｉｌｌｉｅｒ暗号系は、準同形特性を有し、すなわち、ｘ個のメッセージの暗号文の乗算は、メッセージの合計値の暗号文をもたらし、たとえば、Ｃ（ｍ１）．Ｃ（ｍ２）＝Ｃ（ｍ１＋ｍ２）である。第１のデータ集信器は、グループＰのノードから暗号文を受信し、当該ノードのグループのために第１の集計された暗号文Ｃ（Σｍpi）＝ΠＣ（ｍpi）を生成する。第２のデータ集信器は、同様に、グループＱのノードのために集計された暗号文Ｃ（Σｍqi）を生成する。その後、２つの集計された暗号文は、それぞれのデータ集信器からデータベースに送られ、データユーザＵ１に転送される。
【００２７】
データユーザＵ１は、データベースから両方の集計された暗号文を受信し、その準同形秘密鍵を使用して両方の暗号文を復号し、たとえば、Σｍpi＝Ｄｅｃ（Ｃ（Σｍpi）, ｈｓｋU1）を行って、各グループ内のデータノードによって生成されたすべてのメッセージの合計値を入手する。
【００２８】
上で概要を示されたステップに従うことによって、外部当事者の誰もが、データノードによって生成された任意の個々のメッセージの内容にアクセスできないことを保証することが可能である。ＴＰは、メッセージの暗号文のみを用いて動作するので、メッセージまたはメッセージの合計値のいずれへのアクセスをも入手することができないが、データユーザＵ１は、集計されたデータ（すなわち、ノードの特定のグループによって生成されたメッセージの合計値）へのアクセスを得ることができるが、個々のメッセージ自体へのアクセスを得ることはできない。
【００２９】
ここで、図２に示されているように、複数の受信者（データユーザ）Ｕ１およびＵ２がある場合を検討したい。データユーザＵ２は、グループＱ内のノードによって生成されたメッセージの合計値すなわちΣｍqiを知ることを望むが、Ｕ１が、そのデータの正しい（truthful）レポートを必ず提供すると信頼してはいない。１つの可能性（図２には図示せず）は、グループＱ内のすべてのデータノードについて、データユーザＵ２の準同形公開鍵を用いてそのメッセージを暗号化することであり、たとえば、各ノードは、暗号化されたメッセージＣ（ｍq1）＝Ｅｎｃ（ｍq1、ｒq1, ｈｐｋU2）を生成することができ、ここで、ｒq1は、暗号化で使用される乱数であり、ｈｐｋU2は、第２のデータユーザＵ２の準同形公開鍵を表す。その後、ノードは、その暗号文をＴＰに送り、ＴＰは、集計された暗号文を計算し、これをデータユーザＵ２に送る。データユーザＵ２は、その準同形秘密鍵ｈｓｋU2を使用することによって集計された暗号文を復号し、メッセージの合計値Σｍqi＝Ｄｅｃ（Ｃ（Σｍqi）, ｈsｋU2）を得る。
【００３０】
上の方法を使用することによって、データユーザＵ２は、データユーザＵ１に頼らずに、グループＱ内のデータノードによって生成されたすべてのメッセージの合計値を入手することができる。しかし、データユーザＵ１とデータユーザＵ２との両方が、グループＱ内のノードによって生成されたメッセージの合計値を受信するために、グループＱ内の各ノードが、同一のメッセージの２つの暗号文すなわち、Ｕ１の準同形公開鍵を使用する第１の暗号文とＵ２の準同形公開鍵を使用する第２の暗号文とを生成しなければならない（同一のことが、グループＰ内の各ノードにもあてはまる）ので、この方法は非効率的である。各ノードが、２つの暗号文をＴＰにも送らなければならず、ＴＰが、追加の暗号文集計を実行することを要求されるという結果になる。計算オーバーヘッドは、データユーザの数が増加する時にかなり増加し、ｎ個のデータユーザが、同じ数のメッセージの合計値を知ることを望み、これらのデータユーザがお互いを信頼しない場合には、各データノードは、同一のメッセージの全部でｎ個の暗号文を生成し（毎回異なるデータユーザの準同形公開鍵を使用して）、そのｎ個の暗号文をＴＰに送らなければならない。その後、ＴＰは、ｎ個の集計された暗号文を計算しなければならない。
【００３１】
複数のデータユーザ／受信者を扱う時の増加したオーバーヘッドのこの問題に対処するために、本明細書で説明される実施形態は、上で説明されたものとは異なるステップのセットを実施する。
【００３２】
図２を参照すると、例の実施形態では、方法は、単一の受信者の場合に関して上で説明されたもの（図１参照）と同様のステップから始まる。すなわち、各グループＰおよびＱ内の各データノードは、データユーザのうちの１つ、たとえばＵ１の準同形公開鍵を使用して１回だけそのメッセージを暗号化し、暗号文をＴＰに送る。ＴＰは、両方の集計された暗号文Ｃ（Σｍpi）およびＣ（Σｍqi）を計算し、それらの両方をデータユーザＵ１に送る。また、ＴＰは、グループＱからのメッセージの集計された暗号文Ｃ（Σｍqi）をデータユーザＵ２に送る。Ｕ２が、対応する準同形秘密鍵（すなわち、データユーザＵ１に属する鍵）を知らないので、集計された暗号文Ｃ（Σｍqi）を復号できないことが理解される。
【００３３】
データユーザＵ１は、その準同形秘密鍵を使用し、メッセージの集計された合計値ΣｍpiおよびΣｍqiを得る。Ｐａｉｌｌｉｅｒ暗号系によれば、メッセージｍと、その暗号文Ｃ（ｍ）と、準同形秘密鍵ｈｓｋとを与えられれば、ｍの暗号化に使用された、Ｃ（ｍ）に組み込まれた乱数ｒは、回復され得る。したがって、データユーザＵ１は、その準同形秘密鍵を使用して、集計された暗号文Ｃ（Σｍqi）内に組み込まれた乱数Πｒiを回復することができる、すなわち、Πrqi＝Ｒｎｒ（Σｍqi, Ｃ（Σｍqi）, ｈｓｋU1）である。これに続いて、第１のデータユーザＵ１は、セキュアで、かつ認証された通信チャネルを介して、メッセージの合計値Σｍqiと乱数ΠrqiとをデータユーザＵ２に送る。データユーザＵ２は、受信されたデータアイテムΣｍqiとΠrqiとを使用して、Ｕ１の準同形公開鍵を使用してメッセージの合計値の暗号文Ｃ´（Σｍqi）を生成する。それを行うことによって、データユーザＵ２は、データユーザＵ１から受信されたメッセージの合計値Σｍqiが正しいかどうかを、計算された暗号文Ｃ´（Σｍqi）が第２のデータユーザＵ２がＴＰから受信した暗号文Ｃ（Σｍqi）と同じであるかどうかをチェックすることによって検証することができる。
【００３４】
上で説明された方法ステップは、電気が送電網を介してユーザの家庭／会社などに供給される「スマート計量システムアーキテクチャ」の文脈で実施され得る。そのようなシステムの例は、図３と図４とを参照して説明される。以下の説明は、電気の消費に関するが、本明細書で説明される実施形態は、異なるタイプのユーティリティ（熱、ガス、水など）が、たとえば供給インフラストラクチャを管理するために監視され、報告されている場合に同等に適用可能であることを理解されたい。
【００３５】
以下は、システムのエンティティを記述するための頭字語のリストを提供するものである。
【００３６】
・送信システムオペレータ（ＴＳＯ）  電気送電網を管理する１つのＴＳＯがあり、これは、グリッド全体のバランスをとる責任を負う。
【００３７】
・分配網オペレータ（ＤＮＯ）  グリッド内の分配網全体をカバーするＮｄ個のＤＮＯがある。各ＤＮＯは、その地域内の電気分配網を管理し、維持する。
【００３８】
・供給業者（Ｓ）  それぞれがその顧客に電気を供給する責任を負うＮｓ個の供給業者がある。ある供給業者によってサービスされる顧客は、グリッドにまたがる異なる地域内に配置され得る。
【００３９】
・ユーザ（Ｕ）  これは、電気を要求し、消費し、消費された電気に関してその供給業者に支払う人である。
【００４０】
・スマートメータ（ＳＭ）  １タイムスロットＴｎベースで、そのユーザの電気使用量を測定する高度な計量デバイス。
【００４１】
・インホームディスプレイ（ＩＨＤ）  ＳＭにリンクされ、ＳＭユーザの地所内に配置されたデバイス。ＩＨＤは、計量データにアクセスし、これを更新し、他のエンティティと共有するために、そのユーザによって使用される。
【００４２】
・データ通信会社（ＤＣＣ）  ＤＣＣは、ユーザのＳＭとその供給業者とグリッドオペレータとの間でデータを収集し、通信する。
【００４３】
・ネットワーキングファシリティ  ネットワーキングファシリティは、ビルディングエリアネットワーク（ＢＡＮ）と、ネイバーフッドエリアネットワーク（ＮＡＮ：neighbourhood area network）と、広域ネットワーク（ＷＡＮ）とからなる階層ネットワーク構造を介してユーザのＳＭをＤＣＣに接続する。各ＢＡＮは、複数のローカルＳＭからデータを収集し（および集計し）、そのデータをそのローカルＮＡＮに転送するゲートウェイ（ＢＧ）を有する。同様に、各ＮＡＮは、複数のローカルＢＧからデータを収集し（および集計し）、そのデータをそのローカルＷＡＮに転送するゲートウェイ（ＮＧ）を有し、各ＷＡＮゲートウェイ（ＷＧ）は、そのすべてのローカルＮＧからデータを収集し（および集計し）、これをＤＣＣに転送する。
【００４４】
操作目的（たとえば、発電および分配網制御、グリッドバランシングなど）に使用される計量データが、特定のユーザに帰属されるべきものである必要がないことを理解されたい。集計されたデータは、データが認証され得、特定の地域（分配網オペレータ）と供給業者とにセキュアに結び付けられ得る場合に、十分であり得る。集計されたデータは、グリッド内の電力品質問題または需要応答問題に対する近リアルタイム応答を可能にするために、高い頻度ですなわち１分／５分おきに収集される。
【００４５】
請求書送付またはアカウント管理目的に使用される計量データは、特定のユーザおよび／または供給業者のアカウント保有者に帰属される（attributable to）べきものである、すなわち、セキュアにアタッチされる必要がある。帰属（attributable）計量データは、低い頻度ですなわち毎月／毎四半期およびオンデマンドで、たとえば料金表の変更時に収集されることだけを必要とする。
【００４６】
図３は、それぞれのスマートメータから（１つまたは複数の）供給業者へ、帰属（低頻度）計量データを送り、供給業者と分配網オペレータと送信システムオペレータとに集計された高頻度計量データを送る通信経路を示す。図からわかるように、スマートメータは、ローカルゲートウェイを通過する２つの論理データ伝送チャネルを介してデータ通信会社に接続される。一方の論理データ伝送チャネル３０１は、特定のユーザに帰属する（低頻度）計量データの伝送のために確立され、使用され、他方の論理チャネル３０３は、高頻度の集計された計量データの伝送に使用される。
【００４７】
データ通信会社ＤＣＣは、データチャネル３０５を介して各供給業者に接続され、このデータチャネル３０５を介して、特定のユーザに帰属する（低頻度）計量データが、送り状作成、アカウント管理、または帰属データがそれに関して要求される任意の他の目的のために、対応する供給業者に転送される。
【００４８】
データ通信会社ＤＣＣは、別のデータチャネル３０７を介して各分配網オペレータにさらに接続される。このチャネルは、各分配網オペレータが、その地域内のグリッド負荷管理、供給業者ごとの分配網使用料金の公平な計算、またはそのような高頻度データを要求する任意の他の動作の基礎として高頻度の集計された計量データを使用できるようにするために、分配網オペレータに高頻度の供給業者ベースの集計された計量データを転送するのに使用される。
【００４９】
各分配網オペレータは、高頻度の地域ベースの集計された計量データを供給業者に転送するのに使用されるさらなるデータチャネル３０９を介して各供給業者に接続され、その結果、各供給業者は、そのようなデータを、その顧客の電気需要をより正確に予測すること（インバランスペナルティ（imbalance penalty）を受けることを回避するため）と、各分配網オペレータに正確な分配網使用料金を支払うことと、そのような高頻度のデータを必要とする任意の他の動作とのために、使用できる。
【００５０】
さらに、高頻度の地域ベースの集計された計量データを各供給業者に転送するに使用される、データ通信会社と各供給業者との間のさらなるデータチャネル３１１があり、このデータチャネルにより、各供給業者が、そのようなデータを、各分配網オペレータから受信されたデータの正しさを検証するのに使用できるようになる。また、これらの地域内のすべてのユーザの高頻度の集計された計量データが送信システムオペレータへ転送される、各分配網オペレータと送信システムオペレータとの間のデータチャネル３１３があり、このデータチャネルにより、送信システムオペレータは、これらデータを、グリッドおよび送電線全体の管理と、グリッドのバランスをとることと、そのような高頻度のデータを必要とする任意の他の動作のための基礎として、使用できるようになる。
【００５１】
図４は、一実施形態による、スマート計量システムのアーキテクチャを示す。システム内の各エンティティ（ＳＭと、ゲートウェイと、ＤＮＯと、ＴＳＯと、ＤＣＣと、供給業者と）は、暗号公開鍵／秘密鍵対を有し、公開鍵および秘密鍵は、それぞれＰＫおよびＳＫと表される。各ＤＮＯは、準同形公開鍵／秘密鍵対を有し、準同形公開鍵および準同形秘密鍵は、それぞれＨＰＫおよびＨＳＫと表される。各エンティティの公開鍵ＰＫ／ＨＰＫは、デジタル証明書（ＣＥＲＴ）の使用によって信頼される第３者（ＴＴＰ）によって証明される。各エンティティの証明書は、この特定のエンティティのアイデンティティ（ＩＤ）と公開鍵ＰＫ／ＨＰＫとを含む。
【００５２】
各ＳＭは、製造プロセス中にそのデジタル証明書ＣＥＲＴSMと秘密鍵ＳＫSMとを装備される。秘密鍵ＳＫSMは、秘密に保たれ、改竄防止（tamper-proof）が施されている。各ＳＭは、そのユーザの契約された供給業者と、ＳＭのインストールの時のＤＣＣ、ローカルＤＮＯ、およびローカルＢＧとのデジタル証明書をも装備される。したがって、図４を参照すると、各スマートメータＳＭは、その地域分配網オペレータのＩＤ（ＩＤDNOj）とＳＭユーザによって契約された供給会社のＩＤ（ＩＤSu）とを所有する。
【００５３】
各ゲートウェイ（集信器）は、そのローカルＳＭ（またはゲートウェイ）のデジタル証明書を装備される。ＤＣＣは、グリッド内のすべてのインストールされたＳＭのデジタル証明書を有する。各ユーザは、彼／彼女の地所内に配置され、ユーザのＳＭと対にされたＩＨＤデバイスを有する。スマートメータは、常に同期化される。
【００５４】
図４を参照すると、以下の要件がセットされている。
【００５５】
まず、ＤＮＯおよび供給業者のそれぞれは、それらの属性を所有するＳＭによって生成されたメッセージの合計値（sum）すなわち、それぞれΣi∈{DNOj}ｍiとΣi∈{Su}ｍiとを知ることを望む。さらに、各ＤＮＯは、その運営の地域内に配置され、特定の供給会社によって供給されるＳＭによって生成されたメッセージの合計値、たとえば
【００５６】
【数１】
2017527192.tif 000003
【００５７】
を知ることを望む。
【００５８】
同様に、各供給業者は、特定の地域に配置された顧客のＳＭによって生成されたメッセージの合計値、たとえば
【００５９】
【数２】
2017527192.tif 000004
【００６０】
を知ることを望む。
【００６１】
送信システムオペレータＴＳＯは、グリッド全体内のすべてのＳＭによって生成されたメッセージの合計値すなわち
【００６２】
【数３】
2017527192.tif 000005
【００６３】
を知ることを望む。
【００６４】
重要なことに、それぞれのＤＮＯは、その競争者（他のＤＮＯ）とどのデータを共有することも望まない。同様に、それぞれの供給業者は、その競争者（他の供給業者）とデータを共有することを望まない。それぞれのスマートメータユーザは、そのＳＭによって生成された個々のメッセージをどのエンティティと共有することも望まない。
【００６５】
ＴＳＯおよびＤＮＯは、お互いを信頼するが、ＤＮＯおよび供給業者は、お互いを信頼しない。中央ノードは、ｈｏｎｅｓｔ−ｂｕｔ−ｃｕｒｉｏｕｓエンティティである。
【００６６】
上の要件は、一実施形態による方法を実施することによって満足され得る。各スマートメータＳＭは、その地域ＤＮＯの準同形公開鍵を使用してそのメッセージを暗号化し、たとえば、Ｃ（ｍ1）＝Ｅｎｃ（ｍ1，ｒ1，ｈｐｋDNOj）を行う。その後、スマートメータは、暗号文（ＳＭの属性すなわちＩＤDNOjとＩＤSuとをアタッチされる）をその地域データ集信器（ローカルゲートウェイ）に送る。
【００６７】
データ集信器は、属性ベースのデータ集計を実行する、すなわち、同一の属性をアタッチされた暗号文が、単一の集計された暗号文に集計される（
【００６８】
【数４】
2017527192.tif 000006
【００６９】
）。集信器は、Ｎｄ  ｘ  Ｎｓ個の集計された暗号文を生成する（やはり対応するＩＤDNOjとＩＤSuとをアタッチされる）。いくつかの場合に、データ集信器（ローカルゲートウェイ）は、１つの地域（１つのＤＮＯによって運営される）内に配置されたスマートメータだけからデータを収集することができる。その場合に、データ集信器は、供給業者ベースのデータ集計を実行し（暗号文にアタッチされたＩＤSuだけに基づいて集計し）、したがって、Ｎｓ個の集計された暗号文を生成する。
【００７０】
集計プロセスが終わった後に、集信器は、集計された暗号文を中央ノードに送る。中央ノードのデータ集信器は、属性ベースの（地域供給業者ベースの）データ集計を実行する、すなわち、同一の属性をアタッチされた受信された集計された暗号文が、単一の集計された暗号文にもう一度集計される（
【００７１】
【数５】
2017527192.tif 000007
【００７２】
）。集信器は、Ｎｄ  ｘ  Ｎｓ個の集計された暗号文（やはり対応するＩＤDNOjとＩＤSuとをアタッチされる）を生成する。これらの暗号文は、中央ノードのデータベースに送られる。
【００７３】
次に、中央ノードは、ＤＮＯと供給業者とへの選択的暗号文配布を実行する。各ＤＮＯ、たとえばＤＮＯｊは、その運営の地域内に配置されたすべてのＳＭからの地域供給業者ベースの集計された暗号文、すなわち
【００７４】
【数６】
2017527192.tif 000008
【００７５】
を受信する。同様に、各供給業者、たとえばＳｕは、その顧客のすべてのＳＭからの供給業者地域ベースの集計された暗号文すなわち
【００７６】
【数７】
2017527192.tif 000009
【００７７】
を受信する。
【００７８】
その後、各ＤＮＯ、たとえばＤＮＯｊは、以下のステップを実行する。
【００７９】
ＤＮＯは、その準同形秘密鍵を使用して、受信された集計された暗号文
【００８０】
【数８】
2017527192.tif 000010
【００８１】
を復号して、地域供給業者ベースの集計されたメッセージ
【００８２】
【数９】
2017527192.tif 000011
【００８３】
を取得する。ＤＮＯは、受信された集計された暗号文のそれぞれに組み込まれた乱数を回復する
【００８４】
【数１０】
2017527192.tif 000012
【００８５】
。供給業者ごとに、ＤＮＯｊは、供給業者に関する集計された暗号文（ＣDNOj,Su）から抽出された集計されたデータと乱数とを含むメッセージすなわち
【００８６】
【数１１】
2017527192.tif 000013
【００８７】
を構成し、そのメッセージをセキュアで認証された通信チャネルを介して供給業者に送る。ＤＮＯは、その運営の地域内に配置されたすべてのＳＭの集計されたメッセージを得るために供給業者ベースの集計されたデータのすべての合計する（sum）、すなわち
【００８８】
【数１２】
2017527192.tif 000014
【００８９】
を行い、その結果をセキュアで認証された通信チャネルを介して送信システムオペレータＴＳＯに送る。
【００９０】
各供給業者は、以下のステップを実行する。
【００９１】
供給業者は、供給業者の顧客のＳＭから送られたメッセージの供給業者地域ベースの集計された暗号文を含む中央ノードによって送られたメッセージ（すなわち、
【００９２】
【数１３】
2017527192.tif 000015
【００９３】
）を受信する。供給業者は、各ＤＮＯ、たとえばＤＮＯｊから、集計されたデータと乱数とを含むメッセージ
【００９４】
【数１４】
2017527192.tif 000016
【００９５】
をも受信する。供給業者は、暗号文（Ｃ’DNOj,Su)を得るために、受信された乱数
【００９６】
【数１５】
2017527192.tif 000017
【００９７】
と対応するＤＮＯの準同形公開鍵とを使用して、受信された集計されたメッセージ
【００９８】
【数１６】
2017527192.tif 000018
【００９９】
を暗号化する。その後、供給業者は、計算された暗号文（Ｃ’DNOj,Su)が中央ノードから受信された暗号文（ＣDNOj,Su)と同一であるかどうかをチェックすることによって、ＤＮＯのそれぞれ、たとえばＤＮＯｊから受信された集計されたメッセージの正しさを検証する。検証された後に、供給業者は、その顧客のすべてのＳＭの集計されたメッセージを入手するために、地域ベースの集計されたメッセージのすべてを合計する、すなわち、
【０１００】
【数１７】
2017527192.tif 000019
【０１０１】
を行う。
【０１０２】
その間に、送信システムオペレータは、ＤＮＯによって送られたすべての地域ベースの集計されたメッセージを受信し、グリッド内のすべてのＳＭの集計されたメッセージを得るためにそれらを合計する、すなわち、
【０１０３】
【数１８】
2017527192.tif 000020
【０１０４】
を行う。
【０１０５】
本実施形態による送電網内で使用されるステップのハイレベルな説明が、これから図５〜図１６を参照して説明される。
【０１０６】
図５は、上で説明されたアーキテクチャ内で使用されるスマートメータの概略を示す。図示されているように、スマートメータは、微細な粒度を有する計量データを記憶するのに使用される標準的なオペレーショナルレジスタ（operational register）（ＲＥＧ．ＯＰ1〜ＲＥＧ．ＯＰNr）だけを有するのではなく、アカウンティング目的に使用される計量データの記憶専用のアカウンティングレジスタ（ＲＥＧ．ＡＣＣ）を有する。アカウンティングレジスタＲＥＧ．ＡＣＣ上に記憶されるデータは、スマートメータの所有者またはスマートメータがインストールされる地所内の住人に帰属され、束縛される必要がある。
【０１０７】
計量ユニットは、ユーザの電力（電気）消費を監視し、読み取り（リーディングreading）タイムスロットＴｎにメータ読み取り値ＭＲｎを作る。微細な粒度を有するメータ読み取り値ＭＲｎおよびタイムスロットＴｎは、スマートメータのストレージユニット内に配置されたオペレーショナルレジスタＲＥＧ．ＯＰ1〜ＲＥＧ．ＯＰNr上に記憶される。各タイムスロットＴｎに、オペレーショナルレジスタの内容が更新される、すなわち、ＲＥＧ．ＯＰiの内容が、ＲＥＧ．ＯＰi+1にシフトされ、最新のＭＲｎ、Ｔｎデータは、第１のオペレーショナルレジスタＲＥＧ．ＯＰ1上に記憶される。この形で、オペレーショナルレジスタＲＥＧ．ＯＰ1は、常に最新のＭＲｎ、Ｔｎデータを記憶し、オペレーショナルレジスタＲＥＧ．ＯＰNrは、スマートメータ上で入手可能な最も古いＭＲｎ、Ｔｎデータを記憶する。
【０１０８】
アカウンティングレジスタＲＥＧ．ＡＣＣは、第１のオペレーショナルレジスタＲＥＧ．ＯＰ1からのメータ読み取り値ＭＲｎとタイムスロットＴｎとを用いて定期的に更新される。アカウンティングレジスタ更新レート（ＲＥＧ．ＡＣＣ  ＵＲ）は、設計によって小さい値にセットされ（たとえば、毎月１回）、アプリケーションソフトウェア内に組み込まれる。アカウンティングレジスタＲＥＧ．ＡＣＣ上に記憶されたメータ読み取り値ＭＲｎおよびタイムスロットＴｎは、スマートメータ（ユーザ）に帰属される（attributable）べきものであり、請求書送付目的とアカウンティング目的とに使用される。このセットアップは、ユーザの契約された供給業者が、デフォルトで少なくとも毎月１回、最新の帰属メータ読み取り値（attributable meter readings）にアクセスできることを保証する。しかし、ユーザが、最新のメータ読み取り値へのより頻繁なアクセスを供給業者に提供することを望む場合には、彼／彼女は、彼／彼女が新しい契約に署名する時またはその後に、アカウンティングレジスタＲＥＧ．ＡＣＣの更新レートの増加を要求することができ、したがって、アプリケーションソフトウェア内のアカウンティングレジスタの更新レートＲＥＧ．ＡＣＣ  ＵＲは、増加され得る。
【０１０９】
スマートメータのストレージユニット上には、スマートメータの秘密鍵も記憶される。３つの秘密鍵すなわち、スマートメータとそのインホームディスプレイデバイスとの間でのみ共有される対称鍵ＫIHDと、スマートメータとそのローカルビルディングエリアネットワークゲートウェイとの間で共有される対称鍵ＫBGと、スマートメータの秘密署名鍵ＳＫSMとがある。
【０１１０】
スマートメータのストレージユニット上には、地域分配網オペレータの証明書ＣＥＲＴDNOと、データ通信会社の証明書ＣＥＲＴDCCと、ユーザの契約された供給業者の証明書ＣＥＲＴSと、地域ビルディングエリアネットワークゲートウェイの証明書ＣＥＲＴBGと、スマートメータ自体の証明書ＣＥＲＴSMも記憶される。
【０１１１】
これらの鍵および証明書は、以下のプロトコルを実行するのに使用される。
【０１１２】
・消費データレポート生成  そのようなレポートは、グリッドオペレータと供給業者とへの高頻度の集計されたデータ報告に使用される。
【０１１３】
・メータリーディングレポート生成  そのようなレポートは、ユーザへの高頻度の計量データ報告に使用される。
【０１１４】
・帰属メータリーディングレポート生成  そのようなレポートは、供給業者への（低頻度の）帰属計量データ報告に使用される。
【０１１５】
・アカウンティングレジスタ更新  そのような更新は、供給業者によって読み取られ得る、新しい帰属計量データをリリースする。
【０１１６】
これらのプロトコルのいずれかの実行は、通信ハブユニットを介してそれぞれの受信者に送られる、暗号化され証明されたデータ（メッセージ）をもたらす。機密データが、平文でスマートメータから出ることはない。
【０１１７】
図６は、高頻度の集計された計量データをグリッドオペレータと供給業者とに報告する時に、スマートメータとスマートシステムアーキテクチャ内の他のエンティティとの間で実行される動作と送られるメッセージとの流れ図である。これらの動作は、各Ｔｎタイムスロットに実行される。
【０１１８】
図６に示されているように、各スマートメータＳＭｉは、暗号化され署名された消費データレポートＭSMi｜｜ＳｉｇSMi（ＭSMi）を生成し、レポートをそのローカルビルディングエリアネットワークゲートウェイに送る。レポートは、２つのデータアイテムすなわち、１）スマートメータユーザの暗号化された電力（電気）消費データ（準同形暗号化技法の使用を用いて生成される）、それとアタッチされる、２）ユーザの契約された供給業者のアイデンティティ、を含む。これらのデータアイテムの両方が、スマートメータとそのローカルビルディングエリアネットワークゲートウェイとの間で共有される対称鍵を使用して、さらに保護され（暗号化され）得る。
【０１１９】
図７は、スマートメータで暗号化され署名された消費データレポートを生成し、ローカルビルディングエリアネットワークゲートウェイにレポートを送る、上記のステップの流れ図を示す。図８は、スマートメータで暗号化され署名された消費データレポートを生成し、ローカルビルディングエリアネットワークゲートウェイにレポートを送る、上記のステップの概略を示す。
【０１２０】
図７を参照すると、ステップＳ７０１では、スマートメータが、タイムインターバルＴｎにメータ読み取り値（リーディング）ＭＲｎをモニターし、オペレーショナルレジスタＲＥＧ．ＯＰ1〜ＲＥＧ．ＯＰNr上に｛ＭＲｎ，Ｔｎ｝対を記憶する。ステップＳ７０２では、スマートメータが、最後のタイムインターバル中のスマートメータユーザの電力（電気）消費データすなわちＥＣＤｎ＝ＭＲｎ−ＭＲｎ-1を計算するために、オペレーショナルレジスタから現在のタイムインターバルのメータ読み取り値ＭＲｎと前のタイムインターバルのメータ読み取り値ＭＲｎ-1とにアクセスする。
【０１２１】
ステップＳ７０３では、スマートメータが、準同形暗号化プロセスのために要求される乱数Ｒｎを生成する。その後、スマートメータは、オペレータの証明書ＣＥＲＴDNOjから、その地域分配網オペレータの準同形公開暗号化鍵ＨＰＫDNOjにアクセスする（ステップＳ７０４）。ステップＳ７０５では、スマートメータが、ローカル分配網オペレータの準同形公開暗号化鍵ＨＰＫDNOjと乱数Ｒｎとを用いて電力消費データＥＣＤｎを暗号化する。このステップの結果は、暗号化された消費データＣSMiである。対応する準同形秘密復号鍵の所有者すなわちＤＮＯｊだけが、暗号化された消費データＣSMiを復号することができる。このステップは、ＤＣＣ、他の地域のオペレータ、供給業者、および外部エンティティなどの許可されない（unauthorised）エンティティによる受動攻撃に抵抗するために行われる。
【０１２２】
次に、スマートメータは、供給業者の証明書ＣＥＲＴSuから、そのユーザの契約された電気供給業者のアイデンティティＩＤSuにアクセスする（ステップＳ７０６）。スマートメータは、暗号化された電気消費データＣSMiにそのユーザの契約された供給業者のアイデンティティＩＤSuを連結する、すなわち、｛ＩＤSu｜｜ＣSMi｝（ステップＳ７０７）。ステップＳ７０８では、スマートメータが、対称ゲートウェイ鍵ＫBGにアクセスする。対称ゲートウェイ鍵ＫBGは、ローカルビルディングエリアネットワークゲートウェイとこのゲートウェイに接続されたすべてのスマートメータとの間で共有されるが、他のエンティティには秘密であり、推測がむずかしい。スマートメータは、暗号化された電気消費データとそのユーザの契約された供給業者のアイデンティティ｛ＩＤSu｜｜ＣSMi｝とを、対称ゲートウェイ鍵ＫBGの使用によって暗号化する（ステップＳ７０９）。このステップの結果は、二重に暗号化された電力消費データCSMiである。このステップは、１）許可されないエンティティ（すなわち、ユーザの契約された供給業者を知ることを望む任意の盗聴するエンティティと、２）許可されたエンティティ（すなわち、個々のユーザの微細な粒度の消費データを知ることを望む盗聴する地域分配網オペレータ）とによる受動攻撃に抵抗するために行われる。このステップが、ユーザの契約された供給業者を任意の盗聴するエンティティから隠すことによって、ユーザの消費データの余分な保護と追加のユーザプライバシ保護とを提供することに留意されたい。
【０１２３】
ステップＳ７１０では、スマートメータが、その秘密署名鍵ＳＫSMiにアクセスする。この鍵ＳＫSMiは、スマートメータのみによって知られ、他のエンティティと共有はされない。スマートメータは、その秘密署名鍵ＳＫSMiを用いて、二重に暗号化された消費データに対する署名を生成する（ステップＳ７１１）。このステップは、任意のエンティティによる能動攻撃に抵抗するために行われる。最後に、ステップＳ７１２では、スマートメータが、二重に暗号化され署名された電力消費データを通信ネットワークを介してそのローカルビルディングエリアネットワークゲートウェイに送る。
【０１２４】
図６に戻ると、各ビルディングエリアネットワークゲートウェイＢＧｉは、そのすべての接続された（子）スマートメータから暗号化され署名されたレポートを受信し、レポートの真正性を検証し、供給業者ベースのデータ集計を実行する。言い換えると、同一の供給業者アイデンティティをアタッチされた暗号化された電力消費データが、単一の集計された暗号文に集計され、この単一の集計された暗号文も、同一の供給業者アイデンティティをアタッチされる（集計は、個々の暗号文を乗算することによって行われる）。最後に、ビルディングエリアネットワークゲートウェイは、それぞれが対応する供給業者のアイデンティティをアタッチされたＮｓ個の集計された暗号文を生成し、単一のメッセージＭBGiを構成するためにこれらの集計された暗号文を連結し、メッセージに対する署名ＳｉｇBGi（ＭBGi）を生成し、両方のアイテムＭBGi｜｜ＳｉｇBGi（ＭBGi）をそのローカルネイバーフッドエリアネットワークゲートウェイに送る。メッセージＭBGiが、ビルディングエリアネットワークゲートウェイとそのローカルネイバーフッドエリアネットワークゲートウェイとの間で共有される対称鍵を使用してさらに保護（暗号化）されることも可能である。
【０１２５】
各ネイバーフッド／広域ゲートウェイ、たとえばＮＧｉ／ＷＧｉは、それがそのローカルビルディング／ネイバーフッドエリアネットワークゲートウェイからメッセージを受信し、その暗号化され署名されたメッセージをそのローカルＷＧ／ＤＣＣに送ることを除いて、ビルディングエリアネットワークゲートウェイと同様の動作を実行する。
【０１２６】
ゲートウェイで実行されるこれらの供給業者ベースの集計動作が、スマートメータとデータ通信会社ＤＣＣとの間の通信オーバーヘッドを低減するために使用されることに留意されたい。いくつかの場合に、ゲートウェイは、スマートメータから暗号化された電気消費データを受信し、集計プロセスを全く実行せずに、そのデータをデータ通信会社ＤＣＣに転送することができる。
【０１２７】
図９は、データ通信会社によって実行されるステップの流れ図を示す。図１０は、上記のプロセス中にデータ通信会社によって実行される動作の概略を示す。
【０１２８】
図９を参照すると、データ通信会社ＤＣＣは、広域ネットワークゲートウェイ、たとえばＷＧｉによって送られた署名されたメッセージを受信する（ステップＳ９０１）。データ通信会社ＤＣＣは、ゲートウェイの証明書ＣＥＲＴWGiから広域ネットワークゲートウェイの公開検証鍵ＰＫWGiにアクセスする（ステップＳ９０２）。データ通信会社ＤＣＣは、ゲートウェイの公開検証鍵ＰＫWGiの使用によって、ゲートウェイによって送られたメッセージに対する署名を検証する（ステップＳ９０３）。データ通信会社ＤＣＣは、グリッド内の広域ネットワークゲートウェイのそれぞれについて、上で説明されたステップを繰り返す。
【０１２９】
ステップＳ９０４では、データ通信会社ＤＣＣが、ワイドビルディングエリアネットワークゲートウェイによって送られたメッセージ内に含まれる供給業者ベースの集計された暗号化された電気消費データを２回すなわち、第１にはこれらのデータがそこから来た地域（たとえば、ＩＤDNOj）に基づいて、したがってＮｄ個のグループを作成し（Ｎｄは、グリッド内のＤＮＯの個数）、第２にはアタッチされた供給業者アイデンティティ（たとえば、ＩＤSu）に基づいて、したがって各グループ内にＮｓ個のサブグループを作成して（Ｎｓは、グリッド内の供給業者の個数）、グループ化する。言い換えると、各地域（ＤＮＯ）について、Ｎｓ個のグループがあり、総計｛Ｎｄ  ｘ  Ｎｓ｝個のグループがもたらされる。
【０１３０】
ステップＳ９０５では、データ通信会社ＤＣＣが、グリッド内のすべてのユーザをカバーする地域供給業者ベースの集計され暗号化された電力消費データを形成するために、各グループ内のすべての供給業者ベースの集計され暗号化された消費データを集計する。言い換えると、この集計プロセスの後には、｛Ｎｄ  ｘ  Ｎｓ｝個の地域供給業者ベースの集計され暗号化された消費データがある。
【０１３１】
各分配網オペレータＤＮＯｊについて、データ通信会社ＤＣＣは、以下の動作を実行する。
【０１３２】
・単一のメッセージＭDCC,DNOjを構成するために、分配網オペレータによって運営される地域内に配置されたユーザの地域供給業者ベースの集計され暗号化された電力消費データを連結する（ステップＳ９０６）。
【０１３３】
・その秘密署名鍵ＳＫDCCにアクセスする（ステップＳ９０７）。
【０１３４】
・その秘密署名鍵ＳＫDCCを用いてメッセージに対する署名ＳｉｇDCC（ＭDCC,DNOj）を生成する（ステップＳ９０８）。
【０１３５】
・通信ネットワークを介して、分配網オペレータに、地域供給業者ベースの集計され暗号化された消費データを含む署名されたメッセージを送る（ステップＳ９０９）。
【０１３６】
各供給業者について、データ通信会社ＤＣＣは、以下の動作を実行する。
【０１３７】
・単一のメッセージＭDCC,Suを構成するために、供給業者に契約されたユーザの地域供給業者ベースの集計され暗号化された電力消費データを連結する（ステップＳ９１０）。
【０１３８】
・その秘密署名鍵ＳＫDCCにアクセスする（ステップＳ９１１）。
【０１３９】
・その秘密署名鍵ＳＫDCCの使用によってメッセージに対する署名ＳｉｇDCC（ＭDCC,Su）を生成する（ステップＳ９１２）。
【０１４０】
・通信ネットワークを介して、供給業者に、供給業者地域ベースの集計され暗号化された消費データを含む署名されたメッセージを送る（ステップＳ９１３）。
【０１４１】
図１１は、分配網オペレータによって実行されるステップの流れ図を示し、図１２は、分配網オペレータ内で実行される動作の概略を示す。
【０１４２】
図１１を参照すると、分配網オペレータ、たとえばＤＮＯｊは、データ通信会社ＤＣＣによって送られた署名されたメッセージを受信する（ステップＳ１１０１）。ステップＳ１１０２では、分配網オペレータが、データ通信会社の証明書ＣＥＲＴDCCからその会社の公開検証鍵ＰＫDCCにアクセスする。
【０１４３】
ステップＳ１１０３では、分配網オペレータが、データ通信会社ＤＣＣによって送られたメッセージに対する署名を、その会社の公開検証鍵ＰＫDCCの使用によって検証する。ステップＳ１１０４では、分配網オペレータが、その準同形秘密復号鍵ＨＳＫDNOjにアクセスする。分配網オペレータは、その運営の地域内に配置されたすべてのユーザの地域供給業者ベースの集計された電力消費データすなわち、
【０１４４】
【数１９】
2017527192.tif 000021
【０１４５】
を取得するために、その準同形秘密復号鍵ＨＳＫDNOjの使用によって、データ通信会社ＤＣＣによって送られたメッセージ内に含まれる地域供給業者ベースの集計され暗号化された消費データ、すなわち
【０１４６】
【数２０】
2017527192.tif 000022
【０１４７】
を復号する（ステップＳ１１０５）。
【０１４８】
分配網オペレータは、集計され暗号化された消費データすなわち
【０１４９】
【数２１】
2017527192.tif 000023
【０１５０】
のそれぞれに組み込まれた集計された乱数すなわち
【０１５１】
【数２２】
2017527192.tif 000024
【０１５２】
を、対応する集計された消費データすなわち
【０１５３】
【数２３】
2017527192.tif 000025
【０１５４】
とその準同形秘密復号鍵ＨＳＫDNOjとの使用によって、回復する（ステップＳ１１０６）。ステップＳ１１０７では、分配網オペレータが、地域供給業者ベースの集計された消費データと集計され暗号化されたデータ内に組み込まれた回復された集計された乱数とを記憶する。
【０１５５】
ステップＳ１１０８では、分配網オペレータが、その地域内の回復された地域供給業者ベースの集計された消費データを合計し、その地域内に配置されたすべてのユーザ（ユーザの契約された供給業者にかかわりなく）の集計された消費データすなわちＥＣＤDNOjを得、合計値を含むメッセージを構成する。
【０１５６】
次に、分配網オペレータは、ＴＳＯの証明書ＣＥＲＴTSOから、送信システムオペレータの公開暗号化鍵ＰＫTSOにアクセスする（ステップＳ１１０９）。ステップＳ１１１０では、分配網オペレータが、暗号化されたメッセージＭDNOj,TSOを形成するために、送信システムオペレータの公開暗号化鍵ＰＫTSOの使用によって、地域供給業者ベースの集計された消費データの合計値を含むメッセージを暗号化する。
【０１５７】
ステップＳ１１１１では、分配網オペレータが、その秘密署名鍵ＳＫDNOjにアクセスし、ステップＳ１１１２では、分配網オペレータが、その秘密署名鍵ＳＫDNOjの使用によってメッセージに対する署名ＳｉｇDNOj（ＭDNOj,TSO）を生成する。ステップＳ１１１３では、分配網オペレータが、暗号化された地域ベースの集計された消費データを含む署名されたメッセージを通信ネットワークを介して送信システムオペレータＴＳＯに送る。
【０１５８】
各供給業者、たとえばＳｕについて、分配網オペレータは、以下の動作を実行する。
【０１５９】
・単一のメッセージＭDNOj,Suを構成するために、供給業者に契約されたユーザの集計された消費データと、対応する集計され暗号化された消費データから回復された集計された乱数とを連結する、すなわち｛ＥＣＤDNOj,Su｜｜ＲDCC,DNOj,Su｝（ステップＳ１１１４）。
【０１６０】
・供給業者の証明書ＣＥＲＴSuから供給業者の公開暗号化鍵ＰＫSuにアクセスする（ステップＳ１１１５）。
【０１６１】
・供給業者の公開暗号化鍵ＰＫSuの使用によって、供給業者に契約されたユーザの集計された消費データと集計された乱数とを含むメッセージを暗号化する（ステップＳ１１１６）。
【０１６２】
・その秘密署名鍵ＳＫDNOjにアクセスする（ステップＳ１１１７）。
【０１６３】
・その秘密署名鍵ＳＫDNOjの使用によってメッセージに対する署名ＳｉｇDNOj（ＭDNOj,Su）を生成する（ステップＳ１１１８）。
【０１６４】
・供給業者に契約されたユーザの暗号化された集計された消費データと、集計された乱数とを含む署名されたメッセージを、通信ネットワークを介して供給業者に送る（ステップＳ１１１９）。
【０１６５】
図１３は、供給業者によって実行されるステップの流れ図を示す。図１４は、供給業者によって実行される動作の概略を示す。
【０１６６】
図１３を参照すると、供給業者、たとえばＳｕは、データ通信会社ＤＣＣによって送られた署名されたメッセージを受信する（ステップＳ１３０１）。ステップＳ１３０２では、供給業者は、データ通信会社の証明書ＣＥＲＴDCCからその会社の公開検証鍵ＰＫDCCにアクセスする。その後、供給業者は、データ通信会社の公開検証鍵ＰＫDCCの使用によってメッセージに対する署名を検証する（ステップＳ１３０３）。供給業者は、異なる地域に配置されたその顧客の供給業者地域ベースの集計され暗号化された消費データすなわちＣDCC,DNO1,Su，…，ＣDCC,DNONd,Suを得る（ステップＳ１３０４）。
【０１６７】
各分配網オペレータ、たとえばＤＮＯｊについて、供給業者は、以下の動作を実行する。
【０１６８】
・分配網オペレータＤＮＯｊによって送られた、暗号化され署名されたメッセージを受信する（ステップＳ１３０５）。
【０１６９】
・分配網オペレータの証明書ＣＥＲＴDNOjから、そのオペレータの公開検証鍵ＰＫDNOjにアクセスする（ステップＳ１３０６）。
【０１７０】
・分配網オペレータの公開検証鍵ＰＫDNOjの使用によって、メッセージに対する署名を検証する（ステップＳ１３０７）。
【０１７１】
・その秘密復号鍵ＳＫSuにアクセスする（ステップＳ１３０８）。
【０１７２】
・その秘密復号鍵ＳＫSuの使用によって、分配網オペレータによって送られたメッセージを復号し、分配網オペレータによって運営される地域内に配置されたその顧客の集計された電気消費データと、対応する集計された乱数、すなわち｛ＥＣＤDNOj,Su｜｜ＲDCC,DNOj,Su｝を得る（ステップＳ１３０９）。
【０１７３】
・分配網オペレータの準同形公開暗号化鍵ＨＰＫDNOjにアクセスする（ステップＳ１３１０）。
【０１７４】
・分配網オペレータの準同形公開暗号化鍵ＨＰＫDNOjと集計された乱数ＲDCC,DNOj,Suとの使用によって、回復された集計された電気消費データＥＣＤDNOj,Suを暗号化する（ステップＳ１３１１）。
【０１７５】
・ＤＣＣから受信されたものと、計算された集計され暗号化された電気消費データとが同一であるかどうかをチェックすることによって、ＤＮＯｊから受信された集計された電気消費データすなわちＥＣＤDNOj,Suの正しさを検証する（ステップＳ１３１２）。
【０１７６】
次に、ステップＳ１３１３では、供給業者は、分配網オペレータによって送られた地域供給業者ベースの集計された電気消費データすなわち｛ＥＣＤDNO1,Su，…，ＥＣＤDNONd,Su｝を合計し、そのすべての顧客（顧客が配置される地域にかかわりなく）の集計された電気消費データすなわちＥＣＤSuを得る。
【０１７７】
ステップＳ１３１４では、供給業者地域ベースの集計された電気消費データ｛ＥＣＤDNO1,Su，…，ＥＣＤDNONd,Su｝と、これらのデータの合計値ＥＣＤSuとが、供給業者によって記憶される。
【０１７８】
図１５は、送電網オペレータ（transmission network operator）ＴＳＯによって実行されるステップの流れ図を示す。図１６は、ＴＳＯによって実行される動作の概略を示す。
【０１７９】
図１５を参照すると、分配網オペレータ、たとえばＤＮＯｊごとに、送信システムオペレータＴＳＯは、以下の動作を実行する。
【０１８０】
・分配網オペレータＤＮＯｊによって送られた暗号化され署名されたメッセージを受信する（ステップＳ１５０１）。
【０１８１】
・分配網オペレータの証明書ＣＥＲＴDNOjからそのオペレータの公開検証鍵ＰＫDNOjにアクセスする（ステップＳ１５０２）。
【０１８２】
・分配網オペレータの公開検証鍵ＰＫDNOjの使用によってメッセージに対する署名を検証する（ステップＳ１５０３）。
【０１８３】
・その秘密復号鍵ＳＫTSOにアクセスする（ステップＳ１５０４）。
【０１８４】
・分配網オペレータによって送られたメッセージを、その秘密復号鍵ＳＫTSOの使用によって復号し、分配網オペレータによって運営される地域内に配置されたすべてのユーザの集計された電気消費データＥＣＤDNOjを得る（ステップＳ１５０５）。
【０１８５】
ステップＳ１５０６では、送電網オペレータ（transmission network operator）ＴＳＯは、分配網オペレータによって送られた集計された消費データすなわち｛ＥＣＤDNO1，…，ＥＣＤDNONd｝の合計し、グリッド内のユーザのすべての集計された消費データＥＣＤTSOを得る。ステップＳ１５０７では、地域ベースの集計された電力消費データ｛ＥＣＤDNO1，…，ＥＣＤDNONd｝とこれらのデータの合計値ＥＣＤTSOとが、ＴＳＯによって記憶される。
【０１８６】
要約すると、各供給業者、各分配網オペレータ、および送信システムオペレータは、それらのそれぞれのユーザの高頻度の集計された計量データだけを受信する。これらの集計された計量データは、需要管理、グリッドバランシング／管理、分配網使用料金計算、その他などの動作目的に十分でなければならない。これらのエンティティのいずれもが、個々のユーザの高頻度の計量データを入手しないので、ユーザのプライバシが保護される。さらに、高度な計量インフラストラクチャ内の通信オーバーヘッドは、使用される選択的集計と暗号文ベースのデータ検証方法とにより、大幅に低減される。
【０１８７】
ユーザのプライバシが、供給業者が高頻度インターバルで新しい帰属計量データにアクセスすることを防止することによって保護されることを保証すると同時に、それでも供給業者が供給業者によって要求される最小頻度（たとえば、毎月）で帰属計量データにアクセスすることを可能にする、スマートメータのさらなる実施形態が、これから説明される。
【０１８８】
本実施形態では、スマートメータは、この頻度（毎月１回）でそのアカウンティングレジスタＲＥＧ．ＡＣＣを強制的に更新するように、製造プロセス中に指定される。これは、アカウンティングレジスタ更新レートＲＥＧ．ＡＣＣ  ＵＲに１ヵ月をセットすることによって行われ得る。新しいスマートメータがインストールされ、そのアカウンティングレジスタＲＥＧ．ＡＣＣが初期メータ読み取り値（リーディング）によって更新された後に、契約された供給業者は、帰属計量データ報告の実行がユーザを巻き込まないので、少なくとも「毎月１回」新しい帰属メータ読み取り値へのアクセスを有することができることを保証される。「毎月１回」更新されるデータは、アカウンティング目的に十分であるはずだ。
【０１８９】
一部のユーザが、彼らの契約された供給業者に、新しい帰属計量データをより頻繁に提供することを望むことが可能である。これは、より高いアカウンティングレジスタ更新レートＲＥＧ．ＡＣＣ  ＵＲを要求し、したがって、供給業者がＲＥＧ．ＡＣＣから新しい帰属計量データをより頻繁に引き出すことを可能にすることによって、行われ得る。
【０１９０】
図１７は、本実施形態による、アカウンティングレジスタ更新レートＲＥＧ．ＡＣＣ  ＵＲ変更中の動作とメッセージとを示す。
【０１９１】
ユーザおよび彼／彼女の契約された供給業者Ｓは、セキュア通信チャネルを確立する（たとえば、標準的なセキュリティプロトコルを使用してインターネットを介して、または電話を介して）。チャネルのイニシエータは、当事者のいずれともされ得る。
【０１９２】
ユーザは、確立された通信チャネルを介して供給業者Ｓに新しいアカウンティングレジスタ更新レートＲＥＧ．ＡＣＣ  ＵＲの要求を送る。
【０１９３】
今後は、すべてのメッセージが、高度な計量インフラストラクチャを介して送られる。メッセージは、意図された受信者の公開暗号鍵の使用によって暗号化され、メッセージオリジネータの秘密署名鍵の使用によって署名される。
【０１９４】
供給業者Ｓは、データ通信会社ＤＣＣにメッセージを送る。このメッセージは、ユーザスマートメータのＩＤ  ＩＤSMと、ユーザによって要求された新しいアカウンティングレジスタ更新レートｎｅｗ  ＲＥＧ．ＡＣＣ  ＵＲとを含む。
【０１９５】
データ通信会社ＤＣＣは、供給業者Ｓによって送られたメッセージを受信し、ユニークなユーザコードＵ．ｃｏｄｅを生成する。
【０１９６】
データ通信会社ＤＣＣは、ユーザのインホームディスプレイデバイスＩＨＤにメッセージを送る（ユーザのスマートメータを介して）。このメッセージは、ユーザコードＵ．ｃｏｄｅと新しいアカウンティングレジスタ更新レートｎｅｗ  ＲＥＧ．ＡＣＣ  ＵＲとを含む。
【０１９７】
ユーザのインホームディスプレイデバイスＩＨＤは、データ通信会社ＤＣＣによって送られたメッセージを受信し、メッセージ内に含まれる情報を表示する。
【０１９８】
ユーザは、インホームディスプレイデバイスＩＨＤ上に表示された情報が正しいかどうかをチェックし、新しいまたは既に確立されたセキュア通信チャネルを介して供給業者ＳにユーザコードＵ．ｃｏｄｅを送る。
【０１９９】
供給業者Ｓは、ユーザによって送られたメッセージを受信し、ユーザコードＵ．ｃｏｄｅを得、そのコードをデータ通信会社ＤＣＣに転送する。
【０２００】
データ通信会社ＤＣＣは、供給業者Ｓによって送られたユーザコードＵ．ｃｏｄｅを受信し、そのコードをデータ通信会社ＤＣＣによってユーザに送られた元のユーザコードと比較することによって、そのコードを検証する。
【０２０１】
データ通信会社ＤＣＣは、ユーザのスマートメータのアプリケーションソフトウェアに更新を送る。更新は、新しいアカウンティングレジスタ更新レートｎｅｗ  ＲＥＧ．ＡＣＣ  ＵＲを含む。
【０２０２】
スマートメータは、新しいアカウンティングレジスタ更新レートｎｅｗ  ＲＥＧ．ＡＣＣ  ＵＲを用いて、そのソフトウェアアプリケーションを更新する。その後、スマートメータは、更新の確認応答Ａｃｋ．Ｕｐｄをデータ通信会社ＤＣＣに送る。
【０２０３】
データ通信会社ＤＣＣは、更新の確認応答Ａｃｋ．Ｕｐｄを、供給業者ＳとユーザのインホームディスプレイＩＨＤとに転送する。供給業者Ｓが、ユーザのアカウンティングレジスタ更新レートＲＥＧ．ＡＣＣ  ＵＲ（すなわち、ＲＥＧ．ＡＣＣ更新スケジュール）を知っているので、スマートメータが、スケジューリングされたＲＥＧ．ＡＣＣ更新が発生する時に供給業者Ｓに通知を送る必要は全くない。
【０２０４】
時々（料金表／アカウント保有者の変化が発生する時）、供給業者Ｓは、オンデマンドで（すなわち、スケジュール外の時に）新しい帰属計量データにアクセスしなければならず、そのようなアクセスは、必ずユーザによって承認されなければならない。したがって、そのような１回限りのＲＥＧ．ＡＣＣ更新は、ユーザによって、彼／彼女のインホームディスプレイデバイスＩＨＤを使用することによって開始され得る。また、そのような更新が発生する時に、供給業者Ｓは、スケジュール外のＲＥＧ．ＡＣＣ更新について通知されなければならない。そのような更新が、事前にセットされた定期的なＲＥＧ．ＡＣＣ更新スケジュールに影響しないことに留意されたい。
【０２０５】
図１８は、１回限りのＲＥＧ．ＡＣＣ更新中の動作と送られるメッセージとを示す。ユーザは、彼／彼女の自宅に配置されたインホームディスプレイデバイスＩＨＤのメニュー上で対応するオプションを選択することによって、１回限りのＲＥＧ．ＡＣＣ更新を開始する。このオプションは、ユーザ名／パスワード保護もされ得る。インホームディスプレイデバイスＩＨＤは、１回限りのＲＥＧ．ＡＣＣ更新コマンドＣｏｍｍ．Ｕｐｄを生成し、これをスマートメータに送る前に、暗号化し、完全性保護する（対称鍵ＫIHDを用いて）。スマートメータは、更新コマンドＣｏｍｍ．Ｕｐｄを受信し、検証する。その後、スマートメータは、そのアカウンティングレジスタを更新し、１回限りのＲＥＧ．ＡＣＣ更新の暗号化され署名された通知を供給業者Ｓに送る。
【０２０６】
１回限りのＲＥＧ．ＡＣＣ更新中にスマートメータによって実行される動作の流れ図および概略図が、それぞれ図１９と図２０とに示されている。
【０２０７】
実際のアカウンティングレジスタ更新中にスマートによって実行される動作の流れ図および概略図が、それぞれ図２１と図２２とに示されている。要約すると、スマートメータのレジスタのこのアレンジメントおよび設計によってセットされるＲＥＧ．ＡＧＧ更新は、
・供給業者が、ユーザとは独立に毎月１回そのユーザの帰属計量データへのアクセスを有することができ、
・供給業者がユーザの帰属計量データに毎月１回より低い頻度でアクセスできないので、ユーザのプライバシが保護される
ことを保証する。
【０２０８】
しかし、このアレンジメントは、各ユーザがアカウンティングレジスタの更新レートを選択し、したがって彼／彼女自身のプライバシを管理することをも可能にする。
【０２０９】
これは、ユーザが、アカウンティングレジスタの１回限りの（オンデマンドの）更新を行い、そのような更新に関して供給業者に知らせることをも可能にする。
【０２１０】
図１９は、スマートメータユーザによって開始されたアカウンティングレジスタ更新中にスマートメータによって実行される動作の流れ図を示す。
【０２１１】
ステップＳ１９０１では、スマートメータが、ユーザの自宅の内部に配置されたインホームディスプレイデバイスＩＨＤを使用してユーザによって送られた暗号化された更新コマンドと暗号化されたコマンドの鍵付きハッシュメッセージ認証コード、すなわち｛ＣIHD｜｜ＨKIHD（ＣIHD）｝を受信する。ステップＳ１９０２では、スマートメータが、それがインホームディスプレイデバイスＩＨＤと共有する対称鍵ＫIHDにアクセスする。
【０２１２】
ステップＳ１９０３では、スマートメータが、対称鍵ＫIHDの使用によって、暗号化されたコマンドの鍵付きハッシュ（keyed-hash）メッセージ認証コードを計算する。ステップＳ１９０４では、スマートメータが、受信された鍵付きハッシュメッセージ認証コードと計算された鍵付きハッシュメッセージ認証コードとを比較することによって、暗号化されたコマンドの完全性（integrity）を検証する。スマートメータは、対称鍵ＫIHDにアクセスし（ステップＳ１９０５）、対称鍵ＫIHDの使用によって暗号化されたコマンドを復号する（ステップＳ１９０６）。ステップＳ１９０７では、スマートメータは、そのアカウンティングレジスタを更新する（更新に含まれるステップのさらなる詳細は、図２１と図２２とに示されている）。
【０２１３】
ステップＳ１９０８では、スマートメータが、更新の通知を生成する。ステップＳ１９０９では、スマートメータが、そのユーザの契約された供給業者の公開暗号化鍵ＰＫSにアクセスする。ステップＳ１９１０では、スマートメータが、供給業者の公開暗号化鍵ＰＫSの使用によって、更新の通知を暗号化する。次に、スマートメータは、その秘密署名鍵ＳＫSMにアクセスし（ステップＳ１９１２）、暗号化された通知に署名する。その後、スマートメータは、暗号化され署名された通知を通信ネットワークを介して供給業者に送る（ステップＳ１９１３）。
【０２１４】
図２０は、スマートメータユーザによってまたはスマートメータアプリケーションソフトウェアによって開始されたアカウンティングレジスタ更新中にスマートメータによって実行される動作の概略図を示す。
【０２１５】
アカウンティングレジスタ更新ユニットは、スマートメータの復号ユニットまたはアプリケーションソフトウェアユニットからの、アカウンティングレジスタの更新レートが組み込まれた更新コマンドＣｏｍｍ．Ｕｐｄを入力としてとり、更新を実行する。コマンドＣｏｍｍ．Ｕｐｄが、対称復号ユニットから来る場合には、これは、更新がユーザによって開始され（スケジューリングされた更新ではない）、ユーザの供給業者Ｓが、この更新について知らされなければならないことを意味する。したがって、スマートメータは、更新通知Ｎｏｔｉｆ．Ｕｐｄを生成し、供給業者の公開暗号化鍵を用いてこれを暗号化し、その秘密署名鍵を用いてこれに署名し、暗号化され署名された通知を供給業者に送る。
【０２１６】
更新コマンドＣｏｍｍ．Ｕｐｄがアプリケーションソフトウェアユニットから来る場合には、これは、その更新が、ユーザと供給業者Ｓとの間で合意されたスケジューリングされた更新の一部であることを意味する。したがって、スマートメータが更新通知を生成する必要はない。図２１および図２２は、アカウンティングレジスタ更新中にスマートメータによって実行される動作の流れ図と概略図とをそれぞれ示す。スマートメータは、最も最近のデータが記憶される第１のオペレーショナルレジスタＲＥＧ．ＯＰ1上に記憶されたメータ読み取り値ＭＲｎとタイムインターバルＴｎとにアクセスする。メータのデジタル署名ユニットは、メータ読み取り値ＭＲｎとタイムインターバルＴｎとを入力としてとり、ストレージからアクセスされるスマートメータの秘密署名鍵ＳＫSMを使用して、それらに対する署名ＳｉｇｓM（ＭＲｎ，Ｔｎ）を生成する。
【０２１７】
スマートメータは、アカウンティングレジスタＲＥＧ．ＡＣＣの古い内容を、メータ読み取り値ＭＲｎとタイムインターバルＴｎとこの両方のアイテムに対する署名ＳｉｇSM（ＭＲｎ，Ｔｎ）とに置換する。したがって、アカウンティングレジスタＲＥＧ．ＡＣＣは、Ｄａｔａ＝｛ＭＲｎ｜｜Ｔｎ｜｜ＳｉｇSMi（ＭＲｎ｜｜Ｔｎ）｝というデータを記憶する。
【０２１８】
図２３は、ユーザがユーティリティ供給業者を切り替えることを選択する時に用いられる動作の流れ図を示す。ユーザは、ユーザがそれに切り替えることを望む供給業者ＳNewとのセキュア通信チャネルを確立する（たとえば、標準的なセキュリティプロトコルを使用してインターネットを介して、または電話を介して）。チャネルのイニシエータは、当事者のいずれともされ得る。ユーザは、確立されたセキュア通信チャネルを介して、名前Ｕ．ｎａｍｅ、住所Ｕ．ａｄｄｒｅｓｓ、その他などの彼／彼女の個人データを新しい供給業者ＳNewに送る。また、ユーザおよび新しい供給業者ＳNewは、契約期間、料金表、アカウンティングレジスタ更新レートＲＥＧ．ＡＣＣ  ＵＲ、その他など、契約の詳細について合意する。
【０２１９】
今後は、すべてのメッセージが、高度な計量インフラストラクチャを介して送られる。メッセージは、意図される受信者の公開暗号鍵の使用によって暗号化され、オリジネータの秘密署名鍵の使用によって署名される。
【０２２０】
新しい供給業者ＳNewは、データ通信会社ＤＣＣにメッセージを送る。このメッセージは、供給業者切替要求Ｓｗ．Ｒｅｑと、ユーザの住所Ｕ．ａｄｄｒｅｓｓと、ユーザと新しい供給業者ＳNewとの間で合意されたアカウンティングレジスタ更新レートＲＥＧ．ＡＣＣ  ＵＲとを含む。
【０２２１】
データ通信会社ＤＣＣは、新しい供給業者ＳNewによって送られたメッセージを受信し、ユーザの住所に基づいてユーザのスマートメータＳＭを識別し、ユニークなユーザコードＵ．ｃｏｄｅを生成する。
【０２２２】
データ通信会社ＤＣＣは、ユーザのインホームディスプレイデバイスＩＨＤにメッセージを送る（ユーザのスマートメータを介して）。このメッセージは、ユーザコードＵ．ｃｏｄｅと、新しい供給業者のアイデンティティＩＤSNewと、アカウンティングレジスタ更新レートＲＥＧ．ＡＣＣ  ＵＲとを含む。
【０２２３】
ユーザのインホームディスプレイデバイスＩＨＤは、データ通信会社ＤＣＣによって送られたメッセージを受信し、メッセージ内に含まれる情報を表示する。ユーザは、インホームディスプレイデバイスＩＨＤ上に表示された情報が正しいかどうかをチェックし、新しいまたは既に確立されたセキュア通信チャネルを介して新しい供給業者ＳNewにユーザコードＵ．ｃｏｄｅを送る。
【０２２４】
新しい供給業者ＳNewは、ユーザによって送られたメッセージを受信し、ユーザコードＵ．ｃｏｄｅを入手し、そのコードをデータ通信会社ＤＣＣに転送する。
【０２２５】
データ通信会社ＤＣＣは、新しい供給業者ＳNewによって送られたユーザコードＵ．ｃｏｄｅを受信し、そのコードをデータ通信会社ＤＣＣによってユーザに送られた元のユーザコードと比較することによって、そのコードを検証する。
【０２２６】
データ通信会社ＤＣＣは、新しい供給業者ＳNewと古い供給業者ＳOldとユーザのインホームディスプレイデバイスＩＨＤとに、スケジューリングされた切替の正確な日時Ｔｉｍｅ．Ｓｗなどのデータを含む、計画された切替に関する情報Ｉｎｆｏ．Ｓｗを送る。
【０２２７】
切替時刻Ｔｉｍｅ．Ｓｗには、ユーザのスマートメータが、そのオペレーショナルレジスタとアカウンティングレジスタとを更新する。古い供給業者ＳOldは、（最後の）帰属メータ読み取り値（リーディング）要求ＭＲ．Ｒｅｑをユーザのスマートメータに送る。
【０２２８】
スマートメータは、要求を受信し、検証し、帰属メータリーディングレポート生成を実行し、（最後の）帰属メータ読み取り値（リーディング）を古い供給業者ＳOldに送る。
【０２２９】
データ通信会社は、新しい供給業者の証明書ＣＥＲＴSNewと、ユーザのスマートメータのアプリケーションソフトウェアに対する更新（アップグレード）とを送る。当該更新（アップグレード）は、新しいアカウンティングレジスタ更新レートＲＥＧ．ＡＣＣ  ＵＲなどのデータを含む。スマートメータは、古い供給業者の証明書を新しい供給業者の証明書に置換する。また、スマートメータは、新しいアカウンティングレジスタ更新レートを用いてソフトウェアアプリケーションを更新する。その後、スマートメータは、切替の確認応答Ａｃｋ．Ｓｗをデータ通信会社ＤＣＣに送る。
【０２３０】
データ通信会社ＤＣＣは、切替の確認応答を受信し、これを新しい供給業者ＳNewに転送する。
【０２３１】
新しい供給業者ＳNewは、（最初の）帰属メータ読み取り値（リーディング）要求をスマートメータに送る。
【０２３２】
スマートメータは、要求を受信し、検証し（スマートメータが新しい供給業者の証明書を記憶しているので）、帰属メータリーディングレポート生成を実行し、（最初の）メータ読み取り値（古い供給業者ＳOldによって取得された最後のメータ読み取り値と同一である）を新しい供給業者ＳNewに送る。
【０２３３】
要約すると、ユーザのスマートメータ上に記憶された現在の供給業者の証明書だけが、新しい供給業者の証明書に置換される必要があるので、切替プロセスは、簡単であり、単純化される。スマートメータ内での暗号秘密鍵の変更は、要求されない。
【０２３４】
本明細書で説明される実施形態が、以下を含む複数の有用な特徴を提供することがわかる。
【０２３５】
・グリッドオペレータと供給業者とへの高頻度の集計された計量データ報告（たとえば、１５分おき）の提供。そのような報告は、グリッドオペレータと供給業者とにそれらのそれぞれのユーザの集計された消費データだけを提供するので、ユーザのプライバシが保護される。
【０２３６】
・スマートメータでの低減された計算コスト。各スマートメータは、各タイムスロットに１つのレポートだけを生成する必要があるが、それでも、レポート内に含まれる電気消費データは、３つの異なるエンティティすなわち、スマートメータの地域ＤＮＯと、ＳＭユーザの契約された供給業者と、ＴＳＯとに配送される（集計された形で）。
【０２３７】
・スケーラビリティ
○グリッド内のスマートメータの個数の増加は、ＢＧでの計算コストならびにＳＭとＢＧとの間の通信オーバーヘッドを線形に増加させるのみであるが、グリッドの他の部分に影響しない。
【０２３８】
○グリッド内の供給業者の個数の増加は、１）影響されないＢＧとＳＭとの間の部分とは別のグリッド内の通信オーバーヘッド、ならびに２）ＤＣＣと、各ＤＮＯと、各供給業者での計算コスト、を線形に増加させるが、ゲートウェイに対する無視できる影響を有する。
【０２３９】
・ユーザへの高頻度の計量データ報告（たとえば、１分おき）。そのような報告は、スマートメータと対応するインホームディスプレイデバイスとの間でのみ共有される秘密対称鍵の使用によって保護されるので、ユーザのプライバシが保護される。
【０２４０】
・設計による、供給業者のための新しい帰属されるべき計量データへの保証された「たまの」（たとえば、毎月１回）アクセス。スケジューリングされた帰属計量データ報告は、ユーザを巻き込まない、供給業者は、ユーザとは独立に帰属データにアクセスすることができる。
【０２４１】
・設計による、供給業者によって非常に頻繁に読まれることからのユーザの新しい帰属計量データの保護。
【０２４２】
・ユーザの帰属計量データの供給業者へのリリース、すなわち、スマートメータユーザが供給業者への彼／彼女の帰属計量データリリースの頻度に対して有する制御の度合の調整、したがって、彼／彼女に適用可能なプライバシ保護レベルの制御。
・ユーザの帰属計量データの供給業者へのオンデマンドでのリリース。
【０２４３】
・簡単な供給業者切替プロセス。ユーザのスマートメータまたはスマートメータ上の秘密鍵を交換する必要はなく、スマートメータ上で保持される現在の供給業者の証明書を新しい供給業者の証明書に置換することだけが必要である。
【０２４４】
さらに、このシステムは、新しい製品すなわち、ユーザが追加料金を払って選択することができる、設計による組み込まれたユーザプライバシ保護を有するスマートメータを作成する。
【０２４５】
本発明を使用する２つの考えられるシナリオが、ここで説明される。
【０２４６】
ａ）供給業者会社は、インストール中に顧客がそこから選択するためのスマートメータの選択を提供することができ、本発明の包含は、顧客に有利と考えられる。それを行うことによって、供給業者会社は、高い度合のプライバシを提供することによって、おそらくは新しい顧客を引き付けることができる。
【０２４７】
顧客は、本文書で説明される技術を組み込んだ特定ブランドのスマートメータのインストールを選択し、手配することができる。
【０２４８】
したがって、本明細書で説明される実施形態は、ｓｅｍｉ−ｔｒｕｓｔｅｄ（すなわち、ｈｏｎｅｓｔ−ｂｕｔ−ｃｕｒｉｏｕｓ）第３者の助けを得て、新規の暗号文ベースのデータ検証方法を使用する、同一データの多数の（お互いを信頼していない）受信者への集計されたデータのセキュアでプライバシを保護する配送方法を提供するのを助けることができる。諸実施形態は、以下のように要約されるセキュアでプライバシのバランスをとる供給業者適合可能な形で、異なるスマートグリッド当事者のための複数のサービスをサポートできるスマート計量システムをも提供する。
【０２４９】
・頻繁な集計される計量データが、グリッドオペレータと供給業者とに報告され、そのような集計されたデータは、需要側管理目的のために要求される。報告は、前述の新規の配送方法に基づく。そのようなデータの報告頻度は、毎分１回もの高さにすることができる。
【０２５０】
・頻繁な計量データが、ユーザに報告され、そのようなデータは、消費データアウェアネスなどの目的のためにユーザによって要求される。そのようなデータの報告頻度は、毎秒１回もの高さにすることができる。
【０２５１】
・帰属計量データ（attributable metering data）が、供給業者会社に報告され、そのような帰属データは、請求書送付およびアカウント管理などの目的のために供給業者によって要求される。ユーザのプライバシを保護するために、供給業者への新しい帰属計量データリリース頻度は、低い値、たとえば１ヵ月おきにセットされる。
【０２５２】
・帰属計量データリリース頻度調整。そのような調整は、ユーザが、供給業者によって要求される最低頻度（たとえば、１ヵ月）と技術的に可能な最高頻度との範囲内で、供給業者への彼／彼女の帰属計量データリリース頻度を制御することを可能にする。
【０２５３】
・供給業者へのオンデマンドでの帰属計量データリリース。供給業者へのそのような１回限りのデータリリースは、料金表／アカウント保有者の変化などの事象で要求される。
【０２５４】
・簡単な供給業者切替プロセス。ユーザの単純化された供給業者切替プロセスが、ユーザがよりしばしばプロバイダを切り替え、したがって彼らの電気コストを最小にするのを助けるために提案される。
【０２５５】
ある種の実施形態が説明されたが、これらの実施形態は、例としてのみ提示され、本発明の範囲を限定することは意図されていない。実際に、上で議論された実施形態が、ユーティリティデータの測定と配布とに関するが、本明細書で説明される実施形態が、たとえば温度、湿度、その他などの環境の特性を示すセンサデータを含む、他のタイプのデータにも適用可能であることを理解されたい。そのようなデータは、適当な計量デバイスによって記録され、ユーティリティデータに関して上で説明されたものと同一の方法を使用して、暗号化され、複数の受領者に配布され得る。本明細書で説明される新規の方法、デバイス、およびシステムは、様々な形で実施され得、さらに、本明細書で説明される方法およびシステムの形態における様々な省略、置換、および変更は、本発明の趣旨から逸脱せずに行われ得る。添付の特許請求の範囲およびその同等物は、本発明の範囲および趣旨に含まれるものとしてそのような形態または変更を包含することが意図されている。
【図１】
2017527192.tif 000026
【図２】
2017527192.tif 000027
【図３】
2017527192.tif 000028
【図４】
2017527192.tif 000029
【図５】
2017527192.tif 000030
【図６】
2017527192.tif 000031
【図７】
2017527192.tif 000032
【図８】
2017527192.tif 000033
【図９】
2017527192.tif 000034
【図１０】
2017527192.tif 000035
【図１１】
2017527192.tif 000036
【図１２】
2017527192.tif 000037
【図１３】
2017527192.tif 000038
【図１４】
2017527192.tif 000039
【図１５】
2017527192.tif 000040
【図１６】
2017527192.tif 000041
【図１７】
2017527192.tif 000042
【図１８】
2017527192.tif 000043
【図１９】
2017527192.tif 000044
【図２０】
2017527192.tif 000045
【図２１】
2017527192.tif 000046
【図２２】
2017527192.tif 000047
【図２３】
2017527192.tif 000048
【国際調査報告】
2017527192.tif 000049
2017527192.tif 000050
2017527192.tif 000051
2017527192.tif 000052
2017527192.tif 000053