CN1765143A - 移动台定位服务的增强型用户隐私 - Google Patents

Abstract

一种方法和装置，用于增强的对移动设备位置信息的用户控制。本方法和装置在移动台内提供对隐私策略的用户控制，隐私策略监督对定位信息请求的响应。在一个示例性的实施方式中，移动台包括隐私引擎、位置确定模块和用户界面。隐私引擎是一个软件模块，其控制移动台对定位请求的响应。优选地，隐私引擎包括隐私策略，其可由移动台用户通过无线下载、用户界面，或者诸如个人计算机、个人数字助理或膝上型计算机本地连接设备的方式进行更改。有利地，隐私引擎或隐私策略可通过无线数据网络或诸如蓝牙、红外连接、通用串行总线等其它数据连接的方式下载至移动台。

Description

移动台定位服务的增强型用户隐私

相关申请的交叉引用

本申请要求对未决美国临时申请No.60/447,563以及美国临时申请No.60/490,765的优先权，在此通过参考引入其全部，其中美国临时申请No.60/447,563是在2003年2月14日提交的，名为“EnhancedUser Privacy for Mobile Station Location Services”，美国临时申请No.60/490,765是在2003年7月28日提交的。

技术领域

本发明涉及移动设备定位服务领域，尤其涉及对定位请求响应的隐私策略的增强型用户控制。

背景技术

对于无线通信提供商来说，移动电话和无线数字通信设备(在下文中合称为移动台)的定位服务(“LoCation Service”，缩写为LCS)是一种越来越重要的商业领域。这种重要性反映在LCS标准和功能规范的建立上。三个示例性的LCS参考文献为：在2002年6月发布的第三代合作伙伴项目(3GPP)技术规范组(TSG)业务和系统方面LCS功能阶段2(SA2)描述版本6(3GPP TS 23.271V6.0.0)；2002年8月19-23日于加拿大多伦多举行的3GPP TSG-SA2#26会议的技术文档(TD)S2-022360，以及在2003年3月发布的第三代合作伙伴项目(3GPP)技术规范组(TSG)服务和系统方面LCS功能阶段2(SA2)描述版本6(3GPP TS 23.271V6.3.0)。在下文中，分别将这些参考称为3GPP-R1、3GPP-R2和3GPP-R3。

参考3GPP-R1和3GPP-R3描述了整个LCS系统的功能模型，包括涉及用户隐私的部分。参考3GPP-R2描述了称为隐私配置注册器(PPR)的网元，其维护用户的LCS隐私信息，并有利于相应的隐私功能。这些引入的参考文献提供了对涉及LCS和相关的LCS隐私操作的最新技术和标准的概述。依照这些参考文献向用户提供LCS的多种方法和装置已为通信领域普通的技术人员所了解。

一种已知的用于在无线通信系统中确定移动台定位的有利方法利用了全球定位系统(GPS)。在移动台中包括GPS设备(或者更加一般地，包括位置确定模块，或者“PDM”)提供了非常精确的位置确定能力。当PDM作为移动台内提供精确定位信息的主要装置使用时，服务提供商网络必须在接收到对精确定位的请求时联系移动台。用于在移动台中使用诸如GPS的PDM实现定位服务功能的方法和装置已为无线通信领域普通的技术人员所熟知。使用GPS实现LCS功能的手持设备目前已经可用。M.Moeglein和N.F.Krasner在1998年9月15-18目的Institute ofNavigation(ION)GPS 1998Proceedings，第333-344页发表的文章“An Introduction to SnapTrack^TMServer-AidedGPS Technology”中描述了一种用于移动台的示例性GPS系统。描述了适用于移动台的GPS系统的最近专利申请是L.Sheynblat和N.F.Krasner于2002年5月2日提交名为“Method and Apparatus forMeasurement Processing of Satellite Positioning System(SPS)Signals”的美国专利申请20020050944。

不利的是，在现有LCS隐私方法中，用户隐私是由提供服务的网络管理的，使用现有的LCS隐私方法对隐私策略信息进行用户控制是非常有限且不灵活的。例如，在某些示例性的现有技术LCS隐私方法中，服务提供商定义各种请求者客户等级，当用户发起服务时，建立基于这些等级的用户隐私配置，例如上述的PPR。依照这些LCS隐私方法，隐私配置指定不受限访问用户定位的特定请求者等级，以及其它访问受到限制的请求者等级。例如，这种限制可包括自动拒绝到特定的受限等级的LCS信息。这些限制还可包括要求通知用户以及(可选地)用户准许来自特定受限等级的请求者的LCS访问请求。在这些示例性的现有技术系统中，只可能通过更改提供商和用户之间的服务协议来实现对隐私配置的更改。如果用户定位主要是由驻留在移动台内的PDM确定的，则通过使PDM不工作来实现附加的更改选项。虽然这个选项通过使用户能够阻止精确的位置信息的取回来增强隐私，但是这个方法的有效性非常有限，这是因为它阻止了所有请求者等级的精确定位取回，直至PDM再次工作。

本公开涉及一种用于在移动台内进行LCS隐私管理的方法和装置。本公开使移动台用户可进行方便而灵活的LCS控制。

发明内容

本公开涉及一种方法和装置，用于提供无线移动台的地理定位，尤其涉及多种方法和装置，用于提供对隐私策略的增强型用户控制，其中隐私策略监督对定位信息请求的响应。在下文中，将这些请求称为定位请求，或者等效地称为位置请求。

在一个示例性的实施方式中，用于移动台的隐私控制系统包括隐私引擎、位置确定模块(PDM)和用户界面。隐私引擎是一个软件模块，其控制移动台对定位请求的响应。

隐私引擎进一步包括隐私策略。隐私策略包括隐私等级，用于对定位请求者及其相关联的定位请求进行分类，以及包括隐私规则，用于确定对每个隐私等级的定位请求的响应。

隐私等级是由定位请求者及应用的列表定义的。可基于标识信息，例如URL、Internet域、或者可由位置请求提供的其它数据，对位置请求者及应用进行单独指定，或者分组为不同的类别或类型。根据定位请求者对定位请求进行分类。因此，可以基于具有定位请求的信息，给定位请求分配隐私等级。隐私等级的示例包括，但不限于：对于未具体包括在任何其它等级中的未知的或未声明的定位请求应用和请求者身份的默认隐私等级；对于未具体包括在任何其它等级中的可信定位请求应用和请求者身份的默认隐私等级；以及用户指定等级，包括由URL或可以具有位置请求数据的其它识别数据标识的位置请求应用和请求者身份。

每个隐私等级具有一组相关联的隐私规则，用于确定隐私引擎对定位请求的响应。示例包括，但不限于：指定不受限访问的规则；对访问默认拒绝的规则；基于用户通知和所要求准许的访问规则；具有用户通知但没有所要求准许的访问规则；在用户所选时间段期间访问拒绝的规则；只在所定义的定位附近进行访问的规则等等。隐私策略、隐私等级和隐私规则确定隐私引擎如何响应于每个以及所有定位请求。

使用本发明的增强型用户隐私方法和装置，用户可有利地经由移动台的用户界面控制或更改对于特定移动台的隐私策略。在一个示例性的实施方式中，用户界面包括具有诸如针式、定点设备或小键盘等适当输入装置的用户界面。在本发明概念的另一个实施方式中，隐私策略是经由通过无线数据网络连接到移动台的网络应用控制的。在本发明方法的另一个实施方式中，隐私策略可由驻留在本地设备中的应用控制，本地设备例如膝上型计算机或个人数字助理，其中该设备可与移动台相连。

有利地，包括初始隐私策略的移动台的隐私引擎，可由移动台经由无线数据网络接收(即，下载)。

附图说明

图1是一个示例性的通信系统的框图，包括具有适用于本发明概念的隐私引擎的移动台。

图2A至2D表示一种示例性方法的流程图，用于在移动台和其它无线通信设备使用的定位服务应用中提供增强型用户隐私。

各个附图中同样的参考标号和名称指示同样的元件。

具体实施方式

贯穿本描述，为了说明本发明概念的用途和实现方式，对各实施方式及其变形进行了描述。应该将说明性的描述理解为本发明概念的表现示例，而不是对在此公开的概念范围的限制。

图1表示可适用于本发明概念的无线通信设备和无线通信系统的框图。如图1所示，一个示例性的实施方式包括移动台102，其包括用户界面106、无线网络通信模块112、应用块114、本地通信模块118、隐私引擎120、位置确定模块122和其它模块124。

如图1所示，在本发明概念的一个实施方式中，无线网络通信模块112提供移动台102和外部数据网络110之间的无线数据连接。外部数据网络110可包括各种网络系统。例如，在一个实施方式中，外部数据网络可包括无线服务提供商网络。作为另一个示例，外部数据网络可能是Internet服务提供商，其提供连接，以在移动台和Internet之间接收和发送数据。一般地，外部数据网络110包括任何能够使用无线通信向移动台发送数据以及从移动台接收数据的数据系统。如图1所示，无线网络通信模块112还可与应用块114和隐私引擎120连接。无线通信模块112从应用块114和隐私引擎120接收并发送数据。

在一个实施方式中，应用块114包括可能要求移动台位置估计的定位应用。这些定位应用可能驻留在MS中，其不需要与网络的相互作用，或者可能涉及与网络中定位服务器(例如，模块108)的相互作用，并由此作为定位客户。对于这个示例性的实施方式，应用块114还包括涉及移动台的网络数据通信和其它功能的其它应用。这种应用的示例包括，但不限于：电子邮件客户端、网络浏览器、ftp客户端，以及用于接收或下载数据、数据文件和软件指令到移动台102的其它软件应用。应用块114与无线通信模块112相连，以接收和发送数据，并因此与外部数据网络110进行通信。应用块114还可与用户界面106相连，以接收和发送用于用户操作以及与各种应用通信的数据。应用块114还可与隐私引擎120相连，以接收和发送数据。这些数据可包括定位请求和响应数据。这种数据还可包括所接收或下载的软件指令，以创建、更改和实现隐私引擎120的功能和能力。可选地，创建、更改或实现隐私引擎功能的数据可以是直接从无线通信模块112接收的，无线通信模块112也可与隐私引擎120相连，以接收和发送数据。作为另一种可选方案，创建、更改或实现隐私引擎功能的数据可能是由未示于图1中的移动台组件接收和执行的。这种组件为通信领域熟练的技术人员所熟知，例如，可包括专用集成电路(ASIC)、应用编程接口(API)、随机存取存储器(RAM)、只读存储器(ROM)等等。用于经由无线网络在移动台中下载及执行应用的示例性方法和系统由2002年12月5日公开的Lundblade等人申请的名为“SafeApplication Distribution and Execution in a Wireless Environment美国专利申请公开No.US 2002/0183056A1描述。

本地通信模块118提供一种装置，用于可选地在移动台102和外部本地应用模块116之间接收和发送数据。在一个实施方式中，外部本地应用模块116驻留在本地连接的设备中，例如，个人计算机、膝上型计算机或个人数字助理。模块118提供到本地连接的设备的连接。本地通信模块118还可选地与隐私引擎120相连，以接收和发送数据。这种数据可包括软件指令，其创建、更改和实现隐私引擎120的功能和能力。另外，这些数据可包括对于定位应用(要求定位数据的应用)的输入和输出数据，其中，定位应用运行于诸如膝上型计算机等经由红外、蓝牙、USB电缆或不同于无线通信模块112提供的网络连接的其它装置与MS相连的独立设备中。将这些定位数据路由至隐私引擎120有利于对本地应用定位请求的隐私管理，如下文所述。

如上所述，隐私引擎120与元件112、114和118相连，以接收和发送数据。隐私引擎120还与用户界面106、位置确定模块122和其它模块124相连，以接收和发送数据。隐私引擎120的功能和操作在下文进行描述。

用户界面106向移动台用户提供一种装置，以从应用块114和隐私引擎120接收信息、向应用块114和隐私引擎120提供指令、以及运行包含于应用块114和隐私引擎120中的应用和功能。例如，用户界面106可包括图形用户界面和适当的输入装置，例如触摸屏、定点设备或小键盘。用户界面106还可包括发送和接收声音、语音命令的装置或者用于从与移动台102相连的软件模块、应用和数字设备接收信息、向与移动台102相连的软件模块、应用和数字设备提供指令以及运行与移动台102相连的软件模块、应用和数字设备的任何其它装置。

位置确定模块(PDM)122生成代表移动台102定位的数据。适当PDM的一个熟知示例使用全球定位系统(GPS)设备或方法。但是，当前的方法包括对能够向移动台102提供位置或定位数据的任何PDM的利用。例如，PDM可使用熟知的定位方法，例如，辅助GPS(AGPS)、高级前向链路三边测量(AFLT)、到达时间(TOA)、增强型观测时间差(E-OTD)、基于识别MS所运行的无线通信小区的定位(基于小区的定位)等等。这些方法已为通信领域熟练的技术人员所熟知，不需要在此进行描述。

其它模块框124代表用于实现或增加移动台功能的软件模块和硬件组件。例如，这些软件模块和硬件组件可包括专用集成电路(ASIC)、应用程序接口(API)、随机存取存储器(RAM)、只读存储器(ROM)、用户识别模块(SIM)或通用用户识别模块(USIM)、相机等等。虽然用于其它模块框124的连接未示于图1中，本领域熟练的技术人员可了解，其它模块框124中的模块和组件是如何按照功能所需在移动台内相连的。

仍然参照图1，在一个示例性的实施方式中，隐私管理服务器104包括软件应用，其与外部数据网络110相连，以接收和发送数据。隐私管理服务器104与外部数据网络110相连，以与无线网络通信模块112交换数据。隐私管理服务器104经由外部数据网络110和无线网络通信模块112与隐私引擎120进行通信。隐私管理服务器104可经由外部数据网络110和无线网络通信模块112从网络应用块114接收数据以及向其发送数据。在隐私管理服务器104、网络应用块114和隐私引擎120之间传送的数据可包括创建、更改和实现隐私引擎120功能或能力的软件指令。类似地，在隐私管理服务器104和隐私引擎120之间经由通信模块112传送的数据可包括创建、更改和实现隐私引擎120功能和能力的软件指令。一般地，在隐私管理服务器104和包括移动台102的元件之间传送的数据可用于在移动台102内创建、更改或实现有利于或涉及LCS和隐私管理的软件模块。

图1的定位请求应用块108代表经由外部数据网络110与移动台102相连以接收和发送数据的定位请求应用。定位请求应用108经由外部数据网络110和无线网络通信模块112与隐私引擎120相连，以接收和发送数据。定位请求应用块108和隐私引擎120之间的位置请求和位置回复数据的发送和接收在下文进行描述。

示例性的隐私策略

在一个示例性的实施方式中，隐私引擎120是一个软件模块，其执行各种操作，以控制移动台对定位信息请求的响应。在此，将这些请求称为定位请求，或者等效地称为位置请求。

隐私引擎进一步包括隐私策略。隐私策略是隐私引擎的一个组件，其包括隐私等级，用于对定位请求者及其相关联的定位请求进行分类，以及隐私规则，用于确定对每个隐私等级定位请求的响应。

隐私等级是由定位请求者及应用列表定义的。可基于标识信息，例如，URL、Internet域、或者可由位置请求提供的其它数据，对定位请求者及应用进行个别指定，或者分组为不同的类别或类型。根据定位请求者对定位请求进行分类。因此，可以基于具有定位请求的信息，给定位请求分配隐私等级。隐私等级的示例包括，但不限于：对于未具体包括在任何其它等级中的未知或未声明的定位请求应用和请求者身份的默认隐私等级；对于未具体包括在任何其它等级中的可信的定位请求应用和请求者身份的默认隐私等级；以及用户指定等级，包括由URL或可以具有位置请求数据的其它识别数据标识的位置请求应用和请求者身份。

每个隐私等级具有一组相关的隐私规则，用于确定隐私引擎对定位请求的响应。示例包括，但不限于：指定不受限访问的规则；指定访问默认拒绝的规则；基于用户通知和所要求的准许而指定访问的规则；利用用户通知但不利用所要求准许来指定访问的规则；指定在用户所选时间期间拒绝访问的规则；指定只在所定义的定位附近访问的规则；等等。隐私策略、所包括的隐私等级以及所包括的隐私规则确定了隐私引擎如何响应于每个以及所有定位请求。

示例性的初始化和软件更新方法

在本发明概念的一个示例性实施方式中，不具有用户隐私控制的移动台最初可以被提供有软件模块，以通过从网络服务器接收或下载数据，实现对移动台LCS的增强型用户隐私。用于安装和用来实现隐私引擎120(图1)的软件数据和指令，其包括初始隐私策略，可以经由无线通信模块112从网络服务器(例如，图1中的隐私管理服务器104，或未示出的其它网络服务器)接收或下载到移动台102。接收和安装所接收或下载的数据可由浏览器或网络应用模块114中的其它组件或者由包括在其它模块124中的组件来执行。用于经由无线网络连接将应用和软件模块接收或下载至移动台的方法已为无线通信领域熟练的技术人员所熟知。如上文所述，用于经由无线网络在移动台中下载及执行应用的示例性方法和系统由Lundblade的参考文献进行描述。在一个实施方式中，移动台包括一个软件平台，以助于将应用连接到移动台，例如由总部位于加利福尼亚，圣地亚哥的QUALCOMM公司开发的用于Wireless^TM的二进制运行环境(BREW)软件。

隐私引擎120(仍然参考图1)的软件更新和更改、隐私策略以及其它移动台软件模块和组件也可以从网络服务器接收或下载，如上所述。特别是，用户(或获得准许可这样做的其他实体)可使用无线网络连接更新隐私策略。可选地，用户还可使用用户界面106更新隐私策略。在另一个可供选择的实施方式中，用户可通过使用经由本地通信模块118连接的外部本地应用(如外部本地应用块116所示)输入数据来更新隐私策略。在另一个可供选择的实施方式中，用户可使用可移动数据存储设备(未示于图1中)输入用户指定隐私策略数据。用户指定隐私策略数据包括可根据移动台用户的要求或偏好进行选择、更改或创建的隐私等级和隐私规则。在本发明概念的一个有利实施方式中，移动台102由制造商或服务提供商提供，其具有包括通用隐私策略的初始或默认隐私引擎。之后，通用隐私策略由用户通过下列方法中的一个或多个进行定制，以包括用户指定隐私等级和隐私规则：1)从网络下载用户指定隐私策略数据；2)使用用户界面输入用户指定隐私策略；3)使用本地连接设备中的外部本地应用，以输入用户指定隐私策略数据；或者，4)使用可移动数据存储设备，以输入预先存储的用户指定隐私策略数据。诸如用户识别模块、通用用户识别模块或可移动识别模块的可移动数据存储设备的一个示例性实现方式在下文中描述。

增强型用户隐私控制操作的示例性方法

图2(a)-2(d)说明在移动台LCS中使用的增强用户隐私的示例性方法的统一流程图。图2(a)和图2(b)之间的流程连接由单元214、220、230和232代表。同样地，图2(a)和图2(c)之间的流程连接由单元202、208和223代表。图2(b)和图2(c)之间的流程连接由单元258代表。图2(b)和图2(d)之间的流程连接由单元214和246代表。图2(c)和图2(d)之间的流程连接由单元246代表。

图2(a)中的单元202代表一种状态，在这个状态期间，隐私引擎120(图1)等待接收对定位数据信息的请求(也就是位置请求)。在步骤204中，隐私引擎120经由上文中参照图1描述的数据连接接收位置请求。关于这个示例性的实现方式，位置请求数据可包括下列信息中的任何一个：1)网络地址和位置请求应用的类型；2)请求者类别(例如，紧急服务、商务服务、个人)；3)请求者身份(如果可用的话)；4)用于请求者身份验证的码字或数字证书；5)请求的服务质量(QoS)。通信领域熟练的技术人员显然可了解，本发明教导的范围包含对其它类型位置请求数据的使用，例如，地理区域信息、用户信息、请求者信息、坐标系统等，正如可以在实现其它实施方式中所需的。

再次参照图2(a)，在步骤206中，将位置请求计数器初始化为零值。零值代表只接收到一个位置请求的情况。如果正在处理第一位置请求的同时，接收到随后的位置请求，则位置请求计数器进行累加和递减，如下文所述。位置请求计数器的目的在于，进行多个并发位置请求的管理。

元208代表来自图2(c)的流程连接。如下所述，只要正在处理先前位置请求的同时接收到随后的位置请求，就经由流程连接208，由本发明方法在图2(c)的步骤286之后的步骤处理位置请求数据。

在步骤210中，隐私引擎120(图1)调用所选的隐私策略，其为在步骤204期间(或经由单元208)接收到的位置请求分配了隐私等级。如上所述，隐私策略包括一个列表，用于给位置请求分配隐私等级，以及隐私规则，其用于基于所分配的隐私等级进行决策。

再次参照图1，隐私引擎120可有选择地调用应用模块114、其它模块124或未示于附图中的移动台模块和组件，以执行对位置请求数据的分类。例如，可调用网络应用，以验证数字证书数据。

再次参照图2(a)，在步骤212中，估计位置请求数据，以确定位置请求是否是紧急服务请求。依照通常的法定要求，紧急服务请求应该优先于隐私策略，并且应该尽量迅速地向请求者返回位置数据。对于紧急服务请求，本方法经由流程连接214进入步骤256(图2(b))，以跳过隐私策略，并加速响应。对于非紧急请求，本方法进入步骤216。

在步骤216中，估计位置请求数据，以确定是否存在必须优先于隐私策略的其它要求。例如，某些国家可能要求对来自执法或其它政府机构的请求给与优先。如果要求优先，则本方法经由流程连接214进入步骤256，以加速处理。如果没有要求优先，则本方法进入步骤218。

再次参照图2(a)，在步骤218中，隐私引擎120(图1)调用隐私策略，以基于与分配给该请求的隐私等级相关联的规则，确定是否应该拒绝该位置请求。可以基于多个准则确定对请求位置信息的拒绝。在第一示例中，拒绝该请求可能因为请求者是商务实体，而分配给商务实体的隐私等级指定自动的拒绝。在第二示例中，拒绝该请求可能是因为请求者身份是私有个人，其已经处于具有指定自动拒绝的规则的隐私等级。在第三示例中，拒绝该请求可能是因为位置请求数据不包括证实请求者身份的数字证书或密码，而对于这个类别的默认隐私等级包括指定自动拒绝的规则。在第四示例中，用户可能已经选择指定那些涉及紧急服务的位置请求之外的所有位置请求处于一个隐私等级，这个隐私等级指定在特定时间期间里自动拒绝。无线通信领域熟练的技术人员显然可了解，本发明教导的范围内包含许多其它示例。

如果在步骤218进行的决策拒绝该位置请求，则不计算位置，而且本方法进入步骤222，在那里，向定位请求应用发送服务拒绝消息。如下所述，更详细地参考图2(b)流程图的描述，也可在图2(b)的步骤238或242之后，经由流程连接220实施步骤222。在步骤222之后，本发明方法经由过程流程连接223进入图2(c)的步骤282。如同将在下文中详细说明的，本方法在返回到空闲状态处理步骤202或者执行进一步处理的步骤之前，在步骤282中检查位置请求计数器，以确定是否有额外的位置请求在排队等待。

返回图2(a)，如果在决策步骤218中确定不应该拒绝该请求，则在步骤224中调用隐私策略，以确定是否要求用户通知。如果在步骤224中确定不要求用户通知，则本发明方法经由流程连接230进入图2(b)的步骤250，以进行进一步的处理。这在下面关于图2(b)的描述中进行更详细的说明。

如果在步骤224中确定要求用户通知，则在步骤226中，经由用户界面106(图1)向用户传送通知。用户界面106可利用声音、图像、振动或其它装置提醒用户位置请求已被准许，并且可能使用图形、文本或音频显示或其它表达方式传送涉及位置请求的信息，例如请求者类别、请求者身份和/或所请求的QoS。

在步骤228中，隐私引擎120调用隐私策略，以确定除用户通知之外，位置请求是否要求用户响应。如果否，则本发明方法经由流程连接230进入图2(b)的步骤250，以进行进一步的处理。如果要求用户响应，则在步骤232中启动对用户响应的定时等待。

图2(b)是统一流程图图2(a)-图2(c)的继续，从步骤232(对用户响应的定时等待)开始。步骤234、236和238代表可能终止步骤232中定时等待时段的可能事件。步骤240代表可能发生在步骤232中定时等待时段中的事件。

如果步骤232中的用户响应的定时等待是由步骤234中所代表的用户接受请求事件终止的，则将位置请求数据传送至步骤250，以进行进一步的处理。

如果步骤232中的用户响应定时等待是由步骤236所代表的超时事件终止的，而没有用户响应，则将位置请求数据传送至步骤242，本方法进入步骤242，以进行进一步的处理。步骤242调用隐私策略，以确定缺少用户响应是否要求拒绝。如果缺少用户响应要求拒绝，则本发明方法经由流程连接220进入步骤222(示于图2(a))。如果缺少用户响应不要求拒绝，则本方法进入步骤250，以进行进一步的处理。

如果步骤232中的用户响应定时等待是由步骤238所代表的事件(用户拒绝请求)终止的，则本发明方法经由流程连接220进入步骤222，其示于图2(a)中。

如图2(b)所示，如果在步骤232的定时等待期间接收到新位置请求，也就是，步骤240所代表的事件(可能在等待期间有新位置请求到达)发生于用户响应定时等待终止之前，则传送隐私引擎120(图1)接收的新位置请求数据，并且本方法进入步骤244。

仍然参照图2(b)，在步骤244中，估计新位置请求，以确定该请求是否是紧急服务请求。对于紧急服务请求，本方法经由流程连接246进入步骤288(图2(d))。在步骤288中，位置请求计数器进行累加，而且本方法进入步骤290。在步骤290中，暂停对先前位置请求的处理，并将其置于队列中，等待随后的处理，正如下文所述。在另一个实施方式中(未示出)，本方法可能在步骤290中改为中止对先前位置请求的处理。在又一个实施方式中(未示出)，提供装置使PD模块122(图1)能够处理多个同时发生的请求。在步骤290之后，本方法经由流程连接214进入步骤256(图2(b))，以加速对紧急服务请求的处理。如果新请求不是紧急请求，则本方法直接从步骤244进入步骤248(图(2b))。

在步骤248中，位置请求计数器进行累加。然后本方法进入步骤260，并将新位置请求数据传送至队列。在步骤260中，本方法将新位置请求数据置于数据队列中。完成步骤260之后，本发明方法返回步骤232，并等待来自用户的响应。在可供选择的实施方式中，可在步骤248之前插入并实现附加的步骤，以决策是否应该拒绝新位置请求，而不是进行排队。在这些实施方式中，如果增加的步骤可导致效率的全面改善，则拒绝不被接受的请求是有利的。在一个示例中，立即拒绝规定不可接受的QoS的请求，而不是将其置于队列中。

如图2(b)所示，可从步骤234、242或(经由流程连接230)步骤228(图2(a))进入步骤250。在步骤250中，将指定QoS的位置请求数据与应用于当前位置请求的隐私规则进行比较。为了描述示例性的实现方式，QoS可能代表要返回给定位请求应用的位置数据的精确性。位置数据可包括纬度和经度坐标数据，连同代表位置估计精确性的QoS数据。如果由位置请求数据指定的QoS与应用于当前位置请求的隐私规则所指定的限制一致，则本方法进入步骤256。如果位置请求数据指定的QoS与隐私策略的限制不一致，则在步骤256中进行进一步处理之前，在步骤252中更改QoS数据，以使其一致。阐明QoS规范的目的和用途的进一步说明将在下文描述的示例性的应用部分中给出。

在步骤256中，本方法激活PD模块122(图1)，以依照位置请求数据和当前的隐私策略规范取回位置数据。如上文所述，当接收到紧急或其它隐私优先请求时，本方法可在步骤212、216(图2(a))或步骤290(图2(d))之后，经由流程连接214实现步骤256。然后，本方法进入步骤258。在步骤258中，本方法执行对PDM 122响应的定时等待。

图2(c)是统一流程图图2的继续，从步骤258(图2(b))的定时等待(对PDM响应的定时等待)开始。步骤262和步骤264代表可能终止步骤258中定时等待时段的事件。步骤266还代表可能发生在步骤258中定时等待时段期间的事件。在下文中更详细地描述这些步骤。

如图2(c)所示，如果步骤258中对PDM响应的定时等待由步骤262所代表的事件终止，也就是，如果PDM 122响应于隐私引擎120(图1)，则本方法从步骤262进入决策步骤270。如果步骤258的定时等待“超时”，也就是，其由步骤264所代表的事件(超时)所终止，则本方法从步骤264进入步骤272，并向定位请求应用发送错误消息。在可供选择的实施方式中(未示出)，可发送预先存储的位置信息，代替错误消息。在步骤272之后，本方法进入步骤282，以检查新位置请求队列中未决的位置请求。

如图2(c)所示，如果在步骤258期间发生新位置请求，则本方法进入步骤266(可能在等待期间有新位置请求到达)。在步骤266中，隐私引擎120(图1)接收新位置请求数据。在接下来的步骤268中，估计新位置请求，以确定该请求是否是紧急服务请求。对于紧急服务请求，本方法经由流程连接246进入步骤288(图2(d))，以进行随后的处理步骤，如在上文所述。如果新请求不是紧急请求，则本方法直接从步骤268进入步骤274。

在步骤274中，本方法对位置请求计数器进行累加。在接下来的步骤278中，本方法将新位置请求置于数据队列中。完成步骤278之后，本方法返回步骤258，以继续执行对PDM响应的定时等待。

当由PDM 122响应于隐私引擎120(图1)中断步骤258中的定时等待时，本方法从步骤258进入步骤262，如图2(c)所示。在步骤262中，将PDM数据从步骤262中的PDM 122传送至隐私引擎120。PDM数据包括位置坐标数据和QoS数据。在步骤270中，将指定QoS的PDM数据与涉及当前位置请求隐私等级的隐私规则进行比较。为了描述示例性的实现方式，QoS可能代表要返回给定位请求应用的PDM位置坐标数据的估计的精确性。例如，PDM数据可包括纬度和经度数据，连同代表位置估计精确性的QoS数据。如果PDM数据的QoS与涉及当前位置请求隐私等级的隐私规则所指定的限制一致，则本方法进入步骤280，以进行进一步的处理。如果PDM数据指定的QoS与当时的隐私策略限制不一致，则在步骤276中更改QoS数据，以使其一致。在步骤276对位置估计进行重新格式化之后，本方法进入步骤280。对QoS规范的目的和用途的更详细的说明将在下面的示例性的应用部分中提供。

在步骤280中，将PDM数据发送至定位请求应用。然后，本方法进入步骤282，在那里，查询位置请求计数器，以确定是否有新位置请求是未决的。如果计数器的值被确定为零，指示目前没有未决的请求，则本方法返回等待状态202(图2(a))。如果计数器的值是大于零的整数，则本方法进入步骤284。在步骤284中，从新位置请求数据队列中取回新位置请求数据。

然后，本方法进入步骤286，在那里，位置请求计数器进行递减。然后本方法(经由流程连接208)进入步骤210(图2(a))，以进一步处理新位置请求数据。

示例性的应用

在本发明教导的典型应用中，可以定义多个用户可配置的隐私等级及属于其的特性或规则。如上面参照图1所述，可经由隐私引擎120和用户界面106、隐私管理服务器104(或未示于附图中的其它网络服务器)或外部本地应用116之间的数据连接实现用户可配置性。希望只允许由安全手段对隐私引擎120和隐私策略进行配置和更改。通过示例的方式，安全手段可包括各种方法和装置，用于提供安全的数字通信、密码使用、数字证书以及其它熟知的身份验证和鉴权方法。

隐私等级可包括，但不限于下列类型：

1.对于未具体包括在任何其它等级中的未知的或未声明的(也就是不可信的)定位请求应用和请求者身份的默认隐私等级；

2.对于未具体包括在任何其它等级中的可信定位请求应用和请求者身份的默认隐私等级；

3.包括定位请求应用和请求者身份的用户指定等级。

每个隐私等级可包括，但不限于下列隐私规则：

1.默认的接受或拒绝、或者基于指定限制的接受的规范；

2.用户通知要求的规范：

2.a绝对要求或不要求的用户通知，基于所要求QoS的通知(例如，用户指定，对于精确性大于10米以上的位置估计要求通知。因此，如果位置请求数据指定位置估计的QoS具有5米的精确性，则将通知用户)，以及

2.b基于请求是周期性的还是在需要时启动的通知；

2.c基于发生时间的通知，例如一天中的某时、一周中的某天、日期或者类似的时间相关限制。

3.用于用户通知的显示模式规范(例如，图形用户界面中的弹出图标、音调、音乐或其它声音通知、振动通知等)，以及要显示的信息(如果有的话)；

4.涉及周期性请求的通知要求的规范，例如，明确通知是对于每个周期性请求要求的，还是只是对于周期性序列中的第一个请求要求的；

5.要提交的QoS或位置估计精确性规范(例如，隐私策略等级可能只准许邮政编码精确性、或只准许在大于指定距离半径以内的精确性)；

6.用户未响应于通知情况下的默认处理规范(例如，当用户未响应于通知时允许还是不允许该请求，例如，这个通知可能是一个自动在几秒钟之后消失的带有或不带有“OK”按钮的弹出窗口)；

7.基于移动台位置或日期时间的多种规则配置规范。(例如，用户可建立一种规则，更改或禁止来自特定定位或在特定日期时间的响应。)

在本发明概念的一个实施方式中，移动台102(图1)可包括用户识别模块(SIM)、通用用户识别模块(USIM)或可移动用户识别模块(RUIM)。SIM、USIM和RUIM设备是用于移动台的可移动存储组件，其能够保证对用户指定信息的安全存储。如前面参照图1所述，SIM、USIM或RUIM设备可包括在其它模块框112中。在这个示例性的实施方式中，用户特定隐私策略数据存储在SIM、USIM或RUIM设备中。设备可与隐私引擎120相连(在图1中未示出连接)，并将用户特定隐私策略数据发送至隐私引擎120，以实现在上文中所述的隐私引擎120的操作。还从隐私引擎接收用户特定隐私策略数据，以进行存储。这在最初接收隐私策略数据，以由SIM、USIM和或RUIM设备存储时，以及在改变或更新该数据时发生。当将SIM、USIM或RUIM从移动台120中除去时，有利地，用户特定隐私策略信息则可从隐私引擎120中自动删除。将SIM、USIM或RUIM设备用于移动台中用户特定数据的可移动存储，这已为通信领域熟练的技术人员所熟知。SIM设备的实现标准在2001年6月发布的第三代合作伙伴项目(3GPP)技术规范(TS)组终端、用户识别模块应用编程接口(SIMAPI)阶段1的版本1999(3GPP TS 02.19V8.0.0)的参考文献中描述。因此，在此通过参考将其的全部引入本申请，作为涉及SIM设备实现的教导。对于本领域熟练的技术人员为显而易见的是，本教导包括各种实施方式，其中，可在移动台中包括其它可移动存储设备(例如智能卡或记忆棒)，并将其连同隐私引擎一起使用，以存储用户特定隐私策略数据。

根据上述说明中提供的各个示例，通信领域普通的技术人员可认识到，这里本教导可广泛且普遍地应用于涉及LCS的个人隐私信息的用户控制和管理。

通信和计算机领域普通的技术人员还将认识到，可依照本教导使用明确实现任何这其中的实施方式的方法步骤的计算机可读介质。例如，可将上面参照图2(a)-图2(c)描述的本方法步骤实现为一系列计算机可执行指令，存储于计算机可读介质中。这种介质可包括，但不限于，RAM、ROM、EPROM、EEPROM、软盘、硬盘、CD-ROM等。本公开还包括综合为集成电路中的数字逻辑的任何前述实施方式的方法步骤，其中集成电路例如，现场可编程门阵列，或可编程逻辑阵列，或者可构造或更改以实现计算机程序指令的其它集成电路。

依照本教导的移动台102可包括，但不限于：无线电话、具有无线通信能力的个人数字助理、具有无线通信能力的膝上型计算机、以及经由无线连接进行个人通信的任何其它移动数字设备。

对本发明概念的多个实施方式已经进行了描述。但是，应该了解，可在不偏离在此公开的概念范围的前提下，进行各种更改。例如，可在软件或硬件、或硬件和软件组合的实施方式中执行本方法。作为另一个示例，应该了解，作为一个模块一部分描述的功能通常可等效地实现于另一个模块中。作为另一个示例，以特定顺序表示或描述的步骤或动作通常可以以不同的顺序实现，除了在包括特定步骤顺序的权利要求中描述的那些实施方式。

因此，可以了解，本发明概念并不为特定说明的实施方式所限，而是由附属权利要求的范围进行限制。该描述可提供相似特征的示例，如在权利要求中所述，但是，不应该认为这种相似的特征与权利要求中那些特征等同，除非这种标识是理解权利要求的范围所必需。在一些示例中，通过使用稍微不同的术语，来强调权利要求的特征和描述的特征之间预期的区别。

Claims (37)

1.一种用于在移动台中使用的隐私控制系统，其中该移动台与无线通信系统通信，以及，其中该隐私控制系统提供与该移动台相关联的地理定位信息，该系统包括：

a)隐私引擎，包括隐私策略组件，其中该隐私引擎接收涉及该移动台地理定位的定位请求；以及

b)位置确定模块(PDM)，用于与隐私引擎相连，并响应于该隐私引擎，其中该PDM向该隐私引擎提供对该移动台地理定位的估计；

其中，该隐私引擎从该PDM接收地理定位估计，并通过依照该隐私策略组件处理该定位估计和提供响应消息，来响应该位置请求。

2.根据权利要求1所述的隐私控制系统，其中该PDM根据下列方法中的一个或多个进行操作：全球定位系统(GPS)、辅助GPS、高级前向链路三边测量、到达时间、增强型观测时间差以及基于识别移动台所运行的无线通信小区的定位。

3.根据权利要求1所述的隐私控制系统，进一步包括无线网络通信模块，用于与该隐私引擎和该无线通信系统相连，其中将该无线网络通信模块配置为从该无线通信系统接收位置请求，并向该无线通信系统发送响应消息，以及进一步配置为从该无线通信系统接收数据和软件指令，并向该无线通信系统发送数据和软件指令。

4.根据权利要求3所述的隐私控制系统，其中该隐私引擎包括从该无线通信系统下载的软件。

5.根据权利要求3所述的隐私控制系统，其中用从该无线通信系统下载的软件升级来更改该隐私引擎。

6.根据权利要求3所述的隐私控制系统，其中该隐私策略包括从该无线通信系统下载的软件。

7.根据权利要求3所述的隐私控制系统，其中用从该无线通信系统下载的更新来更改隐私策略。

8.根据权利要求7所述的隐私控制系统，其中该更新包括用户特定隐私策略数据。

9.根据权利要求3所述的隐私控制系统，其中该定位请求是从与该无线通信系统相连的外部应用所接收的。

10.根据权利要求1所述的隐私控制系统，其中该定位请求是从在该移动台内执行的本地软件应用所接收的。

11.根据权利要求1所述的隐私控制系统，进一步包括与该隐私引擎和外部本地应用相连的本地通信模块，其中将该本地通信模块配置为从该外部本地应用接收该定位请求，并向该外部本地应用发送该响应消息，以及进一步配置为从该外部本地应用接收数据和软件指令，并向该外部本地应用发送数据和软件指令。

12.根据权利要求11所述的隐私控制系统，其中该隐私引擎包括从外部本地应用下载的软件。

13.根据权利要求11所述的隐私控制系统，其中通过从外部本地应用下载的软件指令利用软件升级来更改该隐私引擎。

14.根据权利要求11所述的隐私控制系统，其中该隐私策略包括从外部本地应用下载的软件。

15.根据权利要求11所述的隐私控制系统，其中利用从外部本地应用下载的更新来更改该隐私策略。

16.根据权利要求15所述的隐私控制系统，其中该更新包括用户特定隐私策略数据。

17.根据权利要求11所述的隐私控制系统，其中该定位请求是从外部本地应用接收的。

18.根据权利要求1所述的隐私控制系统，进一步包括与该隐私引擎相连的用户界面，其中将该用户界面配置为从用户接收输入，以及，其中该用户输入利用更新来更改该隐私策略。

19.根据权利要求18所述的隐私控制系统，其中该更新包括用户特定隐私策略数据。

20.根据权利要求18所述的隐私控制系统，其中该用户界面依照该隐私策略向该用户提供位置请求的通知，以及，其中将该用户界面配置为从该用户接收响应于该定位请求通知的响应。

21.根据权利要求20所述的隐私控制系统，其中该隐私策略包括多个隐私等级，其中该隐私等级对该隐私引擎接收到的该定位请求进行分类，以及，其中该隐私策略进一步包括隐私规则，其确定对每个隐私等级定位请求的响应，以及，其中该隐私规则包括至少下列规则之一：

a)要求对定位请求默认接受或拒绝的规则；

b)要求对定位请求进行用户通知的规则；

c)基于所请求的服务质量要求进行用户通知的规则；

d)基于该定位请求是周期性的还是按需要发起的来要求进行用户通知的规则；

e)基于该定位请求发生时间要求进行用户通知的规则；

f)指定用于用户通知的显示模式的规则；

g)指定要提供的该定位估计精确性范围的规则；

h)要求在用户未响应用户通知的情况下，对响应消息进行默认处理的规则；以及

i)基于该移动台当前地理定位指定响应消息处理的规则。

22.根据权利要求1所述的隐私控制系统，进一步包括可移动数据存储设备，其中该可移动数据存储设备与该隐私引擎相连，以及，其中将该可移动数据存储设备配置为接收、存储和发送用户特定隐私策略数据。

23.根据权利要求22所述的隐私控制系统，其中该可移动数据存储设备包括用户识别模块设备。

24.根据权利要求22所述的隐私控制系统，其中该可移动数据存储设备包括通用用户识别模块设备。

25.根据权利要求22所述的隐私控制系统，其中该可移动数据存储设备包括可移动用户识别模块设备。

26.一种在移动台中提供对该移动台地理定位信息的隐私控制的方法，其中该移动台与无线通信系统通信，以及，其中该移动台包括隐私引擎，该隐私引擎包括软件指令，其中该隐私引擎软件指令还包括隐私策略指令，以及，其中该移动台进一步包括能够提供该移动台地理定位估计的位置确定模块(PDM)；该方法包括下列步骤：

a)接收对该移动台当前地理定位的定位请求；

b)依照该隐私引擎软件指令处理该定位请求；

c)获得该移动台的地理定位估计；

d)依照该定位请求、该隐私引擎软件指令和该隐私规则处理该定位估计；以及

e)提供响应于该定位请求、该隐私引擎软件指令、该定位估计和该隐私规则的响应消息。

27.根据权利要求26所述的隐私控制方法，其中处理该定位请求的步骤b)进一步包括通过跳过该隐私策略指令，以提供紧急响应消息来处理紧急定位请求的步骤。

28.根据权利要求27所述的隐私控制方法，其中处理该定位请求的步骤b)包括处理多个并发定位请求。

29.根据权利要求28所述的隐私控制方法，其中，当处理该紧急定位请求时，暂停对未决定位请求的处理。

30.根据权利要求26所述的隐私控制方法，进一步包括向用户通知定位请求的步骤。

31.根据权利要求30所述的隐私控制方法，其中该隐私策略指令包括隐私等级，用于对在该步骤a)期间接收到的该定位请求进行分类，以及，其中该隐私策略指令进一步包括隐私规则，用于确定对每个隐私等级定位请求的响应，以及，其中该隐私规则包括至少下列规则之一：

a)要求对定位请求默认接受或拒绝的规则；

b)要求对定位请求进行用户通知的规则；

c)基于所请求的服务质量要求进行用户通知的规则；

d)基于该定位请求是周期性的还是按需要发起的来要求进行用户通知的规则；

e)基于该定位请求发生时间要求进行用户通知的规则；

f)指定用于用户通知的显示模式的规则；

g)指定要提供的该定位估计精确性范围的规则；

h)要求在用户未响应用户通知的情况下，对响应消息进行默认处理的规则；以及

i)基于该移动台当前地理定位指定响应消息处理的规则。

32.一种在移动台中提供对该移动台地理定位信息隐私控制的装置，其中该移动台与无线通信系统进行通信，以及，其中该移动台包括隐私引擎，该隐私引擎包括软件指令，其中该隐私引擎软件指令还包括隐私策略指令，以及，其中该移动台进一步包括能够提供该移动台地理定位估计的位置确定模块(PDM)，本装置包括：

a)一种装置，用于接收对该移动台当前地理定位的定位请求；

b)一种装置，用于依照该隐私引擎软件指令处理该定位请求；

c)一种装置，用于获得该移动台的地理定位估计；

d)一种装置，用于依照该定位请求、该隐私引擎软件指令和该隐私规则处理该定位估计；以及

e)一种装置，用于响应于该定位请求、该隐私引擎软件指令、该定位估计和该隐私规则提供响应消息。

33.根据权利要求32所述的隐私控制装置，其中用于处理该定位请求的装置进一步包括一种装置，用于跳过该隐私策略指令，以处理紧急定位请求，并提供紧急响应消息。

34.根据权利要求33所述的隐私控制装置，其中该用于处理该定位请求的装置进一步包括一种装置，用于处理多个并发的定位请求。

35.根据权利要求34所述的隐私控制装置，其中，当处理该紧急定位请求时，暂停对未决定位请求的处理。

36.根据权利要求32所述的隐私控制装置，进一步包括一种装置，用于向用户通知定位请求。

37.根据权利要求36所述的隐私控制装置，其中该隐私策略包括隐私等级，用于对在步骤a)期间接收到的该定位请求进行分类，以及，其中该隐私策略进一步包括隐私规则，用于确定对每个隐私等级定位请求的响应，以及，其中该隐私规则包括至少下列规则之一：

a)要求对定位请求默认接受或拒绝的规则；

b)要求对定位请求进行用户通知的规则；

c)基于所请求的服务质量要求进行用户通知的规则；

d)基于该定位置请求是周期性的还是按需要发起的来要求进行用户通知的规则；

e)基于该定位置请求发生时间要求进行用户通知的规则；

f)指定用于用户通知的显示模式的规则；

g)指定要提供的该定位估计精确性范围的规则；

h)要求在用户未响应用户通知的情况下，对响应消息进行默认处理的规则；以及

i)基于该移动台当前地理定位指定响应消息处理的规则。

Images