CN104871170A - 隐私察觉的相机和设备状态指示器系统 - Google Patents

Abstract

提供了一种隐私指示器，其示出传感器数据是否正以私有或非私有模式进行处理。当传感器数据仅用于本地控制设备时，它可以处于私有模式，这可以通过将隐私指示器设置为第一颜色来示出。当传感器数据正被发送到远程站点时，它可以处于非私有模式，这可以通过将隐私指示器设置为第二颜色来示出。通过依照隐私策略来处理命令，可以确定隐私模式，隐私策略确定命令是否在隐私白名单、黑名单、灰名单上或者不存在于隐私命令库中。非私有命令可被阻挡。

Description

隐私察觉的相机和设备状态指示器系统

背景技术

Web相机、数字相机、麦克风或者其它数字记录设备已经变得普遍，尤其是在人们的家中。通常，这样的设备被用于参与与远程位置的数字通信。允许姿势或语音命令识别的软件可以链接到这些设备。在这样的系统中，可能期望具有收听或接收视频馈送以监控姿势或语音命令的环境的设备。然而，用户可能难以确定什么时候系统处于这一监控状态中或者什么时候它在有效传达或存储信息。

一些现有系统包括指示输入设备是否通电的指示器。例如，如果设备通电，LED可以照明并且向用户指示设备打开。然而，这样的指示器不能示出什么时候符合隐私策略(例如，仅在内部使用数据)使用正由输入设备收集的数据，或者是否正在没有系统用户授权的情况下向远程站点发送日期。

发明内容

根据公开主题的实施方式，可以接收用于访问由传感器生成的数据的命令。命令可以被确定为是不被隐私策略许可的。基于这一确定，可以改变隐私指示器的状态。

在实施方式中，可以接收用于访问由传感器生成的、或者从诸如相机之类的传感器提供的数据生成的数据的命令。命令可以与已知命令库进行比较。已知命令库可以是基于生成的数据的命令的数据库。命令可以被确定为不匹配已知命令库。基于这一确定，可以改变诸如LED之类的隐私指示器的状态。

提供了一种系统，其包括传感器、用于存储已知命令库的计算机可读存储、以及处理器。处理器可以连接到计算机可读存储。它可以被配置为接收用于访问由传感器生成的数据的命令。处理器可以比较命令与已知命令库，并且确定命令不匹配已知命令库。基于这一确定，处理器可以改变隐私指示器的状态。

在实施方式中，可以接收隐私模式以及用于访问由传感器生成的数据的命令。命令可以与已知命令库进行比较。命令可以被确定为不匹配已知命令库。基于确定命令不匹配已知命令库，可以阻止命令访问传感器数据。

可以接收用于访问由用户生成的数据的命令。命令可以被确定为是与应用相关联。可以验证与应用相关联的数字签名。基于与应用相关联的数字签名的验证，数字签名可以被确定为是无效的。命令可以被确定为是与隐私策略不兼容的，基于确定数字签名是无效的以及命令与隐私策略不兼容，可以改变隐私指示器的状态。

公开主题的附加特征、优点和实施方式可以从考虑以下详细描述、附图和权利要求来阐明或显而易见。而且，要理解的是，前面的概述和以下详细描述两者都是示例性的，并且旨在于提供进一步的解释，而不限制权利要求的范围。

附图说明

其被包括以提供对公开主题的进一步理解的附图被并入本说明书并构成本说明书的一部分。附图还图示公开主题的实施方式并连同详细描述一起用于解释本公开主题的实施方式的原理。比起对公开主题和可以实践它的各种方式的基本理解可能必要的，没有试图更详细地示出结构细节。

图1示出根据公开主题的实施方式的计算机。

图2示出根据公开主题的实施方式的网络配置。

图3是用于改变隐私指示器的状态的处理的示例。

图4A是具有通电/断电指示器和隐私指示器的相机传感器的示例。图4B是具有以一种颜色照明的隐私指示器的相机传感器的示例。图4C是具有由于传感器的隐私状态的改变而以不同颜色照明的隐私指示器的图4B所示相机传感器的示例。

图5是用于响应于命令与已知命令库的比较而改变隐私指示器的状态的示例处理。

图6是用于根据被提供的相机数据的类型来更新隐私指示器的状态的示例信息流。

图7示出可以如何处理传感器数据以改变隐私指示器的状态。

图8A示出由多个消费者使用的相机传感器。图8A中的消费者正在利用来自相机传感器的姿势数据。隐私指示器示出隐私安全状态。

图8B示出由多个消费者使用的相机传感器。对于图8B中的消费者之一，视频通信程序正在访问图像数据。隐私模块已经改变了隐私指示器的状态，以反映系统现在处于私有状态。

具体实施方式

本文中提供诸如灯之类的安全隐私指示器。指示器可以向用户传达系统处于当前隐私状态。控制隐私灯的隐私模块可以通过将其并入作为未暴露于终端用户的软件代码的受保护部分的部件而得到保护。例如，控制隐私指示器的软件可以是系统内核的部件，也就是，用户不能访问确定指示器的状态的逻辑的地方。控制隐私状态逻辑的内核模块可以表现为相机驱动器。它可以分布作为操作系统的一部分。

根据本文中公开的实施方式，可以通过监控传感器的活动来检测系统隐私状态的改变。如果来自传感器的数据正被用于生成其存在于用于控制目的的命令数据库中的命令(诸如姿势命令、语音命令等)，则系统可以被认为是处于私有状态。另一方面，如果来自传感器的数据(诸如图像或声音)正被例如传输到远程位置、存储或存储或传输到未验证的存储器或目的地，则系统可以被确定为处于非私有状态。在私有状态中，隐私模块可以使隐私指示器保持在无效(“私有”)状态。在其处于这一状态的同时，隐私模块还可以有效阻止数据的传输或存储。然而，如果隐私模块检测到诸如相机之类的传感器已开始传输或存储数据(例如，通过用户激活视频通信软件)，则隐私指示器状态可以被改变为有效(“非私有”)。例如，相机上的隐私灯可以照明，以向用户用信号通知相机未在向远程位置(例如，除相机连接到的计算机之外的计算机)传输它接收的数据。在一些情况下，试图从传感器连接到的设备复制传感器数据也可以被标识为非私有命令。例如，试图向插入到包含Web相机的笔记本电脑中的USB闪存盘复制传感器数据可以使得Web相机上的隐私指示器指示非私有状态。一旦确定数据不再被传输或存储到未验证的目的地或存储器，隐私指示器可以改变为不照明。

本公开主题的实施方式可以实现在各种部件和网络架构中，并且利用各种部件和网络架构来使用。图1是适合于本公开主题的实施方式的示例计算机20。计算机20包括总线21，总线21互连计算机20的主要部件，诸如中央处理器24、存储器27(通常为RAM，但是其还可以包括ROM、闪速RAM等)、输入/输出控制器28、诸如经由显示适配器的显示屏幕之类的用户显示器22、其可以包括一个或多个控制器和诸如键盘、鼠标等之类的关联用户输入设备并且可以紧密耦合至I/O控制器28的用户输入接口26、诸如硬盘驱动、闪速存储、光纤通道网络、SAN设备、SCSI设备等之类的固定存储23、以及操作为控制和接收光盘、闪存盘等的可移除介质部件25。

总线21允许在中央处理器24和存储器27之间的数据通信，如先前提到的，存储器27可包括只读存储器(ROM)或闪速存储器(两者均未示出)以及随机存取存储器(RAM)(未示出)。RAM通常是操作系统和应用程序被加载到其中的主存储器。除其他代码，ROM或闪速存储器可以包含基本输入输出系统(BIOS)，基本输入输出系统(BIOS)控制诸如与外围部件的交互之类的基本硬件操作。驻留计算机20的应用通常存储在诸如硬盘驱动(例如固定存储23)、光驱，软盘或其它存储介质25之类的计算机可读介质上，并且经由诸如硬盘驱动(例如固定存储23)、光驱，软盘或其它存储介质25之类的计算机可读介质来访问。

固定存储23可以与计算机20集成，或者可以是分立的并且通过其它接口访问。网络接口29可以提供经由电话链路到远程服务器、经由因特网服务提供商(ISP)到因特网的直接连接，或者经由直接网络链路到远程服务器、经由POP(存在点)或其它技术到因特网的直接连接。网络接口29可以使用包括数字蜂窝电话连接、蜂窝数字分组数据(CDPD)连接、数字卫星数据连接等的无线技术来提供这样的连接。例如，网络接口29可以允许计算机经由一个或多个局域网、广域网或其它网络与其它计算机进行通信，如图2所示。

许多其它设备或部件(未示出)可以以相似的方式连接(例如文档扫描仪、数字相机等)。相反地，图1所示的所有部件不需要都存在以实践本公开。部件可以以与所示方式不同的方式来互连。诸如图1所示计算机之类的计算机的操作本领域很容易知道，并且本申请中未详细讨论。用于实现本公开的代码可以存储在诸如存储器27、固定存储23、可移除介质25中的一个或多个之类的计算机可读存储介质中，或者存储在远程存储位置。

图2示出根据公开主题的实施方式的示例网络布置。诸如本地计算机、智能电话、平板计算设备等之类的一个或多个客户端10、11可以经由一个或多个网络7连接到其他设备。网络可以是本地网络、广域网、因特网、或者一个或多个任何其它适合的通信网络，并且可以实现在包括有线和/或无线网络的任何适合平台上。客户端可以与一个或多个服务器13和/或数据库15通信。设备可以由客户端10、11直接访问，或者一个或多个其他设备可以提供中介访问，诸如其中服务器13提供对数据库15中存储的资源的访问。客户端10、11还可以访问远程平台17或者由远程平台17提供的服务，诸如云计算布置和服务。远程平台17可以包括一个或多个服务器13和/或数据库15。

更一般地，本公开主题的各种实施方式可以包括计算机实现的处理以及用于实践那些处理的装置，或者以计算机实现的处理以及用于实践那些处理的装置的形式来实现。实施方式还可以以具有计算机程序代码的计算机程序产品的形式来实现，计算机程序代码包含实现在诸如软盘、CD-ROM、硬盘驱动、USB(通用串行总线)驱动或者任何其它机器可读存储介质之类的非瞬态和/或有形介质中的指令，其中，当计算机程序代码加载到计算机中并由计算机执行时，计算机变为用于实践公开主题的实施方式的装置。实施方式还可以以例如无论存储在存储介质中、加载到计算机中和/或由计算机执行、还是通过一些传输介质(诸如通过电接线或线缆，通过光纤光学，或经由电磁辐射)传输的计算机程序代码的形式来实现，其中当计算机程序代码加载到计算机中并由计算机执行时，计算机变为用于实践公开主题的实施方式的装置。当实现在通用微处理器上时，计算机程序代码段将微处理器配置为创建具体逻辑电路。在一些配置中，在计算机可读存储介质上存储的计算机可读指令集可以通过通用处理器来实现，其可以将通用处理器或包含通用处理器的设备变换成被配置为实现或执行指令的专用设备。实施方式可以使用硬件来实现，硬件可以包括诸如通用微处理器之类的处理器、和/或以硬件和/或固件实现根据公开主题的实施方式的所有或部分技术的专用集成电路(ASIC)。处理器可耦合到存储器，诸如RAM、ROM、闪速存储器、硬盘、或者有能力存储电子信息的任何其他设备。存储器可以存储适于由处理器执行以执行根据公开主题的实施方式的技术的指令。

用于访问由传感器生成的数据的命令可以被接收。传感器可以包括例如麦克风、相机、红外传感器、运动传感器、光传感器或者GPS设备。其它传感器可以与本文公开的一个或多个实施方式兼容。传感器可以用于连续或周期性地扫描环境，也就是，数据可以由传感器在延长的时间段内生成。例如，相机可以扫描房间，其被放置在该房间中作为姿势控制系统或者采用面部识别技术的安全系统的部件。

命令的示例包括而不限于姿势、音频信号(例如语音命令)、面部识别、或者诸如眨眼模式、眨眼、微笑、点头或回头之类的面部响应。例如，姿势识别可以通过提取和分析从传感器接收的相机数据来执行。在一些实例中，单个图像帧可能足以识别姿势。例如，用户可以向监控器举起她一只手的手掌，这可以表示用户想要当前程序或视频停止或暂停。面朝屏幕的手掌可以被捕获在单个图像帧中。在其它情况下，可能需要图像序列来辨别姿势。例如，用户可以在监控器前面做出右向左的刷页运动，以用信号通知用户想要浏览在线相册中的下一页图片。因为涉及运动，可能需要将多个帧拼接在一起(例如，作为序列)以确定刷页运动。在生成可能姿势时，可以执行后续分析以确定姿势是否可识别或被赋予给定功能。技术人员会知道用于从相机数据提取姿势信息的技术。在这些示例中的每个示例中，诸如由相机收集的数据之类的传感器数据可以被访问以生成姿势数据，该姿势数据可以匹配或者可以不匹配姿势数据库中的具有赋予功能的姿势。因而，可以从传感器数据生成诸如用于翻转web相册或使视频停止播放之类的命令。

命令可以包括对象检测或与人的面部或身体无关的其它姿势。例如，用户可以将苏打罐(soda can)举在预定位置，这使得相机扫描产品，并且如果可以从图像中搜集到产品的身份，则打开针对产品的web页面。命令还可以涉及用于执行远程设备上的软件的与诸如键盘或鼠标之类的第三方设备的用户交互。例如，用户可以使用鼠标(例如第三方设备)开始膝上型计算机(例如远程设备)上的视频通信软件。用于激活视频通信软件的命令可能需要访问相机和麦克风数据。因而，根据本文公开的实施方式可以访问不止一个传感器的数据。命令可以包括已知命令的序列。例如，用户可以按顺序执行多个姿势，诸如执行挥手并且然后指向监控器，或者用户可以指向监控器并且说出“开”。单独命令可被组合以形成与单独命令本身完全不同的命令。例如，指向屏幕可以具有分配给它的第一功能，并且说出词语“开”可以具有分配给它的第二个功能。指向监控器和说出词语“开”的组合可以使得第三功能发生。

如图3所示，命令可以被接收(310)。命令可以被处理以确定它是私有命令还是非私有命令(例如隐私状态)(320)。例如，可以确定命令被隐私策略许可、命令在私有类型命令的列表上等。例如，诸如笔记本电脑之类的设备上的麦克风可以持续开着，以准备好每当用户讲出语音命令时来接收语音命令。例如，用户可以发出诸如“打开电视”之类的语音命令。语音命令可被识别为用于打开电视的命令。系统可确定用于打开电视的本地处理命令不会造成显著危险，或者对于用户的隐私是低威胁的。

可以确定命令不被隐私策略许可、命令不在私有类型命令的列表上等。例如，用户可以开始访问由相机提供的数据以将其传输到远程位置或存储的视频通信软件。当从应用接收到用于开始软件的命令或者用于访问相机数据的命令时，其可被确定为非私有命令或活动。

可以确定命令的隐私状态的另一方法是检查与命令或命令集相关联的数字签名，或者检查隐私状态(例如，通过验证应用的数字签名、应用的类型、或者命令与其相关联的应用的模式)。如果命令或命令集的(或者发出命令的应用的)数字签名被验证为有效，则系统可以将隐私状态设置为“私有”。系统可以通过存储与应用、应用的类型、应用的模式、命令或命令集相关联的一个或多个数字证书来验证签名。证书可以以隐私密钥环来存储，或者可以存储为已知命令库的一部分。

存储设备、远程设备或远程服务(例如云服务)也可以数字签名。例如，在向驱动存储传感器数据之前，系统可以验证与USB闪存盘相关联的数字签名，并且可以验证向闪存盘存储传感器数据与隐私策略兼容。系统还可以被配置为基于诸如访问来自仅麦克风的数据(没有视频)的视频通信应用、仅向USB闪存盘存储数据的家庭安全应用等之类的预定配置来设置隐私指示器。在前述示例中，每个软件和/或硬件部件(例如视频通信应用、麦克风等)可以与可由系统验证的数字签名相关联。设备或服务还可以使授权被移除。例如，用户可能决定出售当前具有有效数字签名的USB闪存盘。用户可以撤销用于闪存盘存储或访问来自用户的传感器数据的授权。在撤销用于用户的系统的授权之后，如果闪存盘试图访问传感器数据，则隐私指示器将反映非私有状态。

远程服务可以存储传感器数据，并且相似地，连接到传感器的设备可以存储传感器数据，前提是这一者或两者如上面描述的被验证。导致非私有状态的存储引用和传感器数据传输可以涉及不受信任的存储器或目的地。确定存储器或目的地是否受信任可以通过咨询其可以包括受信任存储器或目的地的数据库的隐私策略来执行。受信任的存储器或目的地可以特定于一个或多个应用或应用类型。每个存储器和目的的可以与其可以被验证的数字签名相关联。

回到图3，根据接收到的命令是私有还是非私有的以及指示器的当前状态被确定为是什么，可以改变隐私指示器的状态。如果接收到的命令被确定为是非私有的或不许可的(320)，则可以确定隐私指示器的状态(330)。如果隐私指示器被确定为处于私有状态(330)，则指示器可以被改变为反映非私有状态(340)。如果隐私指示器被确定为处于非私有状态(330)，则该状态可以保持处于其当前状态(350)。如果命令被确定为是私有或隐私许可的(320)，则可以确定隐私指示器的状态(360)。如果隐私指示器被确定为处于非私有状态(360)，则隐私指示器可以被改变为反映私有状态(370)。如果隐私指示器被确定为处于私有状态(360)，则隐私指示器可以保持处于其当前状态(380)。

隐私指示器可以包括例如灯、LED、系统托盘通知、可听见的声音或触觉反馈。图4A示出具有开/关指示器410、相机420和隐私指示器430的相机。当相机420通电时，开/关指示器410可以照明。隐私指示器430可以是诸如LED之类的灯。根据本文中公开的实施方式中的任何实施方式，隐私指示器430可以被激活或去激活。在一些配置中，如图4B和图4C所示，隐私指示器440可以一直照明。颜色可以用于指示不同的隐私状态。例如，图4B示出绿颜色的隐私指示器440，其可以向用户用信号通知用户处于私有状态，例如相机正在收集的信息未被存储、或传输到连接到传感器(例如相机)或与传感器相同网络的设备，或者未被存储或传输到未验证的目的地或存储器。图4C示出红颜色的隐私指示器440，其可以用信号通知用户正被记录或者另一设备可能正在访问相机数据。隐私指示器可以是传感器的部件，例如如图4A-4C所示的相机上的LED，或者它可以是独立的设备。它还可以以软件来执行，诸如系统托盘通知。在一些配置中，可以使隐私指示器以不同模式闪烁，以示出不同隐私状态。例如，LED隐私指示器的连续照明可以指示传感器处于私有状态，而闪烁的LED可以指示传感器处于非私有状态。

隐私指示器可以具有第一次运行传感器时、第一次安装用于传感器的诸如驱动器之类的软件时、或者第一次激活传感器连接到的设备时建立的初始状态。例如，在被连接到用户的计算设备并且安装相机驱动器或传感器操作所需要的软件时，Web相机可以设置LED隐私指示器的初始状态。初始状态还可以与相机驱动器的安装并发地建立或在其后建立。例如，相机驱动器安装本身可以设置传感器的初始状态。在一些配置中，传感器第一次用于例如姿势识别时，可以根据隐私策略做出关于命令是否是许可的确定。可以根据这一确定的结果来设置指示器。初始状态可以指示传感器生成的数据未被存储在永久存储中，或者未被传输到远程实体，例如未被传输到与传感器是其一部分或直接连接到的设备物理上分立的设备或者远程网络上的设备。

隐私指示器的初始状态可以被设置为用于指示隐私状态的特定颜色。隐私指示器的光可以被设置为绿色，以指示系统正以私有模式进行操作，或者隐私指示器可以被设置为红色，以指示系统正以非私有模式进行操作。例如，绿光可以指示正被接收的、涉及传感器数据的命令在隐私兼容命令的列表上。只要正被处理的命令是隐私兼容的，隐私指示器保持绿色。当处理不在隐私兼容命令列表上的命令时，隐私指示器可以改变为示出红色，以反映系统处于非私有状态。

在实施方式中，用于访问传感器生成的数据的命令可以在510处被接收。如早前描述的，用于访问数据的命令可以源自例如由诸如相机之类的传感器检测到的姿势，或者它可以源自计算设备上执行的软件。在520处可以将命令与已知命令库进行比较。

在一些配置中，命令库可以保持在被保护不能通过终端用户或通过执行软件而访问的设备的计算机可读存储或存储器中。受保护的库可以指的是不可以通过以下方式篡改的命令库或软件代码：例如更改命令、添加命令、删除命令、创建用于在接收到命令时在设备上执行分立机器可读代码的触发事件、或者替换库的一个或多个部件或整个库。已知命令库可以指的是基于传感器生成的数据的命令数据库。例如，相机可以主动地观察用于姿势识别或运动激活的系统的区域。当相机处于扫描状态(例如早前提到的第一水平)时由相机提供的图像可以用于生成姿势数据，可以将该姿势数据与已知命令库进行比较。例如，挥手姿势可以关联于针对通过面部识别标识的特定用户将灯打开至指定强度。相机可以提供缓存在计算设备上的图像序列。缓冲可以发生在受保护的存储或存储器中。处理器可以分析图像序列，以标识手并且以确定正由手势发出什么命令(如果有的话)。在530处，命令可以被确定为不匹配已知命令库。例如，命令库可以包含将表示诸如挥手之类的姿势的模式或序列，并且该姿势可以具有诸如用于将灯打开至指定强度之类的分配给它的命令。

在一些配置中，比较命令与已知命令库可以包括验证与命令相关联的数字签名。不匹配已知命令库的数字签名可以指的是确定与命令相关联的数字签名无效。例如，可以授权云服务访问来自一个或多个传感器的视频或音频数据。隐私指示器将保持在私有状态，或者改变以反映私有状态。然而，如果远程服务没有数字签名，则可以改变隐私指示器以使用户警觉非私有状态。

命令库可以包含不会危害用户的隐私的命令。例如，指示系统打开灯、激活游戏控制台、滚动web页面、开始web浏览器、设置闹钟、运行洗衣房或厨房用具上的程序或者改变信道的姿势可以被视为不侵犯用户的隐私。在这个意义上，命令库充当隐私命令白名单。同样地，命令库可以包括其是非私有的命令。以这一方式，同一或分立命令库充当隐私命令黑名单。同样地，如果命令被包括在灰名单隐私命令库中，则命令可以被灰名单列出，例如暂时被阻挡。如果某些后续命令被接收或者事件发生，则可以执行灰名单列出的命令。例如，命令可以被灰名单列出(暂时被阻挡)，可以向用户显示警告，并且如果用户指示应该执行命令(例如，给出用于经由标识应用从相机发送视频数据的许可)，则可以执行命令。

对哪些命令可能侵犯用户的隐私的确定可以由制造商、用户来确定，或者可以基于一个或多个规则。例如，规则可以要求针对以下活动的相机的任何使用可以被视为不许可的或非私有的：允许访问相机数据，使得这使得数据被本地存储、被传输或存储到未连接到用户的网络的设备、或者被存储或传输到未验证的存储器或目的地。根据隐私策略，另一规则可以指定执行视频聊天程序是不许可的或非私有的。

在一些实例中，相机可以持续开着。用户可以向相机举起玩具。由相机提供的、包含举起玩具的用户的图像序列可以被分析并且被确定为是用于针对玩具的产品搜索的命令。在一些实例中，产品搜索可以导致玩具的制造商的web页面被打开。在这样的实例中，命令是用于标识由用户举起的产品的请求，并且可以被视为隐私策略许可的，和/或可以存在于已知“私有”命令库中。因而，已知命令库不限于姿势识别。此处和上面讨论的其它命令可以存在于库中，诸如开始或激活其可以不危害用户的隐私的软件(诸如纸牌游戏)，读取QR码并且打开与其有关的web页面，或者基于面部识别的命令。

基于确定命令不匹配已知命令库，在540处可以改变隐私指示器的状态。隐私指示器可以从一个状态切换至另一状态，诸如从无效切换至有效，或者从一种颜色改变为另一种颜色。如上面描述的，隐私指示器可以涉及向用户提供的、向用户通知平台或与平台相关联的一个或多个传感器的隐私状态的任何指示。在一些实例中，用户可以接收诸如系统托盘通知之类的基于软件的通知(隐私状态已改变)。在一些配置中，可以使用多个隐私指示器。例如，当用户的隐私不再是私有的时，相机上的灯可以从绿色改变为红色。用户还可以接收指示非私有状态的系统托盘通知。例如，如果激活视频聊天软件，则以下通知可以出现在相机连接到的计算设备上：相机现在正允许由存储和/或传输相机的数据的应用或者由未连接到与相机相同的网络的远程设备或相机连接到的设备访问它的数据。一旦视频通信应用或视频聊天会话已经结束，则用户可以接收用于指示系统再次处于私有状态的系统托盘通知。相机上的隐私指示器还可以从红色改变为绿色，以反映私有状态。

在实施方式中，命令可以被阻挡。例如，用户可请求保持特定隐私状态。在一些实例中，可以通过诸如相机之类的传感器上的物理开关来接收请求。还可以通过从传感器接收的软件输入或输入来做出请求。例如，用户可以通过姿势用信号通知用户想要相机保持私有状态。用于使传感器以非私有方式向未验证的存储器或目的地存储或传输数据的任何后续命令可以被阻挡。例如，用于开始视频聊天应用的命令可以被阻挡，或者可以拒绝应用访问相机和/或麦克风数据。阻挡可以包括阻止应用将传感器数据存储或传输到例如未在相同网络上或者连接到传感器的远程位置或设备。在一些实例中，可以接收用于保持私有状态的命令。在请求之后，恶意程序可以试图访问传感器数据，这可以使得隐私指示器改变以指示非私有状态。可以阻挡恶意程序的请求。

在实施方式中，可以接收隐私模式。隐私模式可以指的是私有或非私有状态。例如，用户可以触动网络摄像机上的硬件开关，以指示相机连接到的设备和相机本身拒绝对相机的数据的访问，除了与隐私策略或已知命令库符合或者以其它方式被验证的那些应用、设备或服务。作为另一示例，用户可以在操作系统中做出选择，以使系统保持在私有状态。隐私模式可以基于例如单独的或成组的应用、应用的类型(例如通信软件、视频游戏软件、文字处理软件、照片编辑软件等)、一天中的时间、访问系统的用户、数据通信类型、数据通信目的地、存储器或传感器类型而是可配置的。例如，用户可以选择指导系统保持私有状态的隐私模式。用户可以发出用于执行web搜索的语音命令。包含搜索项的音频数据可以被传输到远程搜索服务。搜索服务可以经系统数字签名和验证。因此，音频数据可以利用搜索服务被传输和存储。如果远程搜索服务未经验证，则包含查询的音频数据不可以向搜索服务提供，而不管搜索服务可以如何短暂和暂时地存储查询。相似地，因为它可能针对该类型的传感器数据未经验证，相机数据不可以被传输或存储到搜索服务。因而，用户可以指定其可以以高度自定义方式(例如，具体应用或每个设备/软件)来调节传感器数据访问的隐私模式。

在设置隐私模式之后，传感器生成的命令可以与已知命令库进行比较并且被确定为不匹配。命令可以被存储到的命令目的地或存储器还可以与隐私策略进行比较，以确定命令是否与隐私策略兼容。命令可以被确定为不匹配已知命令库或者与隐私策略不兼容。基于确定命令不匹配已知命令库或者与隐私策略不兼容，可以阻止命令访问传感器数据。

图6示出用于改变隐私指示器的状态的示例处理。在一些配置中，传感器可以具有执行本文公开的实施方式的能力。在诸如图6中描绘的配置之类的其它配置中，传感器可以将其数据发送到其连接到的设备，并且该设备可以确定接收到的命令是否要求改变隐私指示器状态。在图6中以相机600的形式提供传感器。相机600具有相机镜头602、开/关指示器603以及隐私指示器601，每当相机600通电时开/关指示器603照明，隐私指示器601是当相机处于非私有状态时照明的LED。相机可以通过例如USB或者诸如蓝牙之类的一个或多个无线协议连接到设备。相机600可以向直接或间接连接到它的设备传输数据。用于相机600的驱动器可被安装在设备上，并且使相机数据可用于设备以生成用于图像或图像序列的数据。例如，相机驱动器可接收原始相机数据。数据可以是两种形式的。一种形式可以是，相机数据可以是隐私无关的，也就是，它可以包含姿势数据(例如命令)，如651所示。相机数据的另一种数据形式可以是隐私敏感的，也就是，它可以被存储、转发或传输到其可以危害用户的隐私的设备，如641所示。

对于数据是隐私无关的还是隐私敏感的确定可以使用设备的受保护的存储器来执行。受保护的存储器或存储661可以用于排除包含在其中的软件被终端用户或其它应用更改的可能性。例如，软件内核通常被保护免受更改，并且可以适合于执行本文公开的一个或多个实施方式所要求的分析和确定。内核可以负责设备硬件与应用的接口连接，并且管理硬件资源。受保护的存储器661可以具有隐私模块671，隐私模块671可以是系统内核的部件。隐私模块671可以确定接收到的相机数据641、651是否要求改变隐私指示器601状态。相机数据641、651可以在受保护的存储器661中缓存和分析以生成例如姿势数据，其可以与已知姿势命令库681进行比较。用于从相机图像数据或其序列生成姿势数据的技术对于技术人员是已知的。

图6描绘在受保护的存储器661之外的命令库681。在一些配置中，命令库681可以是受保护的存储器661的部件。命令数据库681可以利用生成的姿势数据(例如，来自传感器的图像或图像序列)进行查询并返回匹配者(如果有的话)。在一些配置中，命令数据库681还可以将姿势标识为隐私敏感的或隐私无关的。例如，隐私模块681可以确定指示设备激活视频聊天软件的姿势与命令数据库681中的命令匹配。命令数据库681还可以将这一姿势标识为用于对相机数据的隐私敏感访问的请求；在一些实例中，隐私模块671可以确定激活视频聊天软件的效应将不符合隐私策略或者将允许对相机数据的不许可访问。隐私模块671可改变隐私指示器的状态，以反映隐私敏感动作已被请求。

在一些配置中，隐私模块671可以确定从传感器600接收的命令(例如姿势)未能匹配数据库681中的已知姿势。如果没有检测到匹配，则姿势可被视为不被隐私模块671许可。隐私模块671可以将隐私指示器601从私有状态改变为非私有状态。随后，隐私指示器601可以恢复到私有状态，以反映命令不再请求或接收对相机数据的访问。例如，用于启动视频聊天会话的命令可以使得隐私指示器601照明。然而，一旦视频聊天会话已经结束，就可以关闭隐私指示器601，因为不再访问相机和麦克风数据。在一些情况下，如果其未能匹配已知命令库681中的命令，则可以阻挡命令。因而，命令可以引起其执行使得用户的隐私状态改变的程序的启动。在简洁的实例中，虽然命令本身可以停止存在，但是命令的效应(例如，开始视频聊天会话)可以持续更长的时间，并且可以使得隐私指示器保持在更改的状态，直到命令的效应停止(例如，聊天会话结束)。

在一些实例中，用户的手或身体可以做出不被识别为命令的运动。例如，如果用户从玻璃杯喝饮料，将玻璃杯举起到用户的嘴边的运动可以由相机驱动器接收作为相机数据。然而，该动作可以不与姿势相关联，因为用户的手或身体不在相对于玻璃杯的特定位置。相比之下，如果用户向传感器举起饮料，则它可以向相机用信号通知用户有兴趣让传感器收集关于用户正举着的对象的数据。例如通过分析模块可以执行对于什么构成命令的确定。分析模块可以是受保护的存储器661的部件。通过向白名单、黑名单、灰名单或混合隐私命令库提交查询，分析模块可以处理命令，以确定命令的状态。例如，命令可以是隐私兼容的、非隐私兼容的、或者经灰名单列出的。同样地，分析模块可以向命令(连同诸如传感器数据将要被发送到预期目的地、登录进入具有传感器的平台的用户的类型、一天中的时间等之类的其它输入一起)应用例如规则集的隐私策略。它还可以执行与传感器有关的其它功能，诸如改变相机的分辨率或者其它图像捕获设置。分析模块可以向隐私模块671发送数据。分析模块可以是姿势识别软件的部件，并且具有辨别姿势与背景运动或者人的非预期姿势的能力。分析模块可以确定人啜饮饮料不构成命令或姿势。然而，饮料向相机被举起可以是用于标识饮料产品的请求。从分析模块向隐私模块发送的命令可以将命令标识为产品查找请求。隐私模块671可搜索已知命令库，并确定产品查找请求是许可的、隐私无关的活动。在一些配置中，归因于分析模块或者由分析模块执行的功能可以由隐私模块671来执行。

图7示出用于改变隐私指示器的状态的进程树的示例。隐私指示器可以具有用于指示传感器处于私有状态的初始状态或默认状态。在私有状态中，由传感器传输的数据不可以随后被传输或存储到未验证的目的地或存储器。传感器驱动器软件可以从一个或多个传感器接收数据。该数据可以被视为命令。命令可以与隐私兼容命令数据库进行比较。如果命令不匹配，则命令可以被确定为是不被隐私模块许可的。隐私模块可以改变传感器的状态，以向用户指示传感器处于非私有状态。

图8A和图8B示出相机数据访问的三个示例。相机被示出具有一种颜色(例如绿色)的隐私指示器802、以及相机镜头804。三个不同消费者表示为计算机游戏810、视频通信程序815和电子节目指南820。在图8A中，位于受保护的存储器832中的隐私模块830可以接收计算机游戏810或电子节目指南820的请求，以接收姿势数据850。依照隐私策略或因为在已知命令库中找到姿势，隐私模块可以确定姿势数据是许可的。因而，隐私指示器可以保持在私有状态。系统可以继续检查正向计算机游戏810或电子节目指南820提供的相机数据的状态。

在图8B中，视频通信程序815可以接收图像数据840。隐私模块830可以检测图像数据840向视频通信程序815的传输，或者它可以已检测到用于开始或启动视频通信程序815的请求，并且确定这一动作侵犯隐私策略或者其在许可命令列表上不存在。它可以改变隐私指示器802以反映非私有状态(例如将隐私指示器改变为红颜色)，以使用户警觉用户的相机800可能正在记录或传输相机数据。

各种机制可以用于使传感器和传感器连接到的设备之间的数据连接安全。这样的连接可以指示传感器是设备的部件，传感器通过线缆物理连接到设备，或者传感器可以通过无线协议(例如蓝牙)连接到设备。传感器可以使用USB连接到设备。USB具有将设备的USB控制器连接到传感器上的端点的一个或多个管道。传感器中的端点数目可以由制造商确定。在主机控制器和传感器之间的管道可以是打开或关闭的。消息管道可用于更新传感器状态，并且流管道可以向设备的主机控制器传送传感器数据。一些传感器可以具有多个流管道。例如，Web相机可以具有利用分立流管道的麦克风和相机。每个管道可以单独控制。寻址端点和调节管道是技术从业者理解的。

隐私模块可以使用消息管道来更新或改变隐私指示器的状态。管道的端点可以由传感器的制造商确定，并且对它的访问由隐私模块控制。相似地，从传感器向设备的主机控制器传送数据的管道可以由隐私模块调节。在私有状态中，用户传输传感器数据的管道可以是打开的。如果隐私模块确定已经发出其可能与已知命令库不兼容的命令，则它可以改变传感器上的隐私指示器的状态，以使用户警觉，并且它可以关闭负责传输传感器数据的流管道。

在实施方式中，提供了一种系统，其包括传感器、用于存储已知命令库的计算机可读存储、以及处理器。处理器可以连接到计算机可读存储，并且被配置为接收用于访问传感器生成的数据的命令。它可以比较命令与已知命令库，并且确定命令是否匹配包含已知命令库的数据库中的任何条目。如早前描述的，已知命令库可以包含与隐私无关的或隐私兼容的功能一致的命令。如果命令不匹配库中的命令，则处理器可以根据当前示出的隐私指示器所在的状态来改变隐私指示器的状态(见图3)。

出于解释的目的，已经参照具体实施方式描述了前述描述。然而，上面的说明性讨论并不旨在于是穷举式的或者将公开主题的实施方式限制于所公开的精确形式。鉴于以上教导，许多修改和变化是可能的。实施方式被选择和描述以便于解释公开主题的实施方式的原理以及它们的实际应用，从而使本领域其他技术人员能够利用那些实施方式以及如可以适于设想的特定用途的具有各种修改的各种实施方式。

Claims (31)

1.一种方法，包括：

接收用于访问由传感器生成的数据的命令；

确定所述命令不被隐私策略许可；以及

基于所述命令不被隐私策略许可的所述确定，改变隐私指示器的状态。

2.一种方法，包括：

接收用于访问由传感器生成的数据的命令；

比较所述命令与已知命令库；

确定所述命令不匹配所述已知命令库；以及

基于所述命令不匹配所述已知命令库的所述确定，改变隐私指示器的状态。

3.根据权利要求2所述的方法，其中所述命令与已知命令库的所述比较包括验证与所述命令相关联的数字签名。

4.根据权利要求3所述的方法，其中所述命令不匹配所述已知命令库的所述确定包括确定与所述命令相关联的所述数字签名是无效的。

5.根据权利要求2所述的方法，其中所述已知命令库包括基于由所述传感器生成的所述数据的命令的数据库。

6.根据权利要求2所述的方法，其中传感器从由麦克风、相机或GPS设备组成的组中选择。

7.根据权利要求2所述的方法，进一步包括激活所述传感器。

8.根据权利要求2所述的方法，进一步包括将所述隐私指示器设置为初始状态。

9.根据权利要求8所述的方法，其中所述初始状态指示由所述传感器生成的所述数据未被存储在永久存储中或者未被传输到远程实体。

10.根据权利要求2所述的方法，其中隐私指示器从由灯、LED、系统托盘通知、可听见的声音和触觉反馈组成的组中选择。

11.根据权利要求2所述的方法，其中改变所述隐私指示器的所述状态的步骤包括调制到LED的功率，从而使得LED闪烁。

12.根据权利要求2所述的方法，其中命令包括已知命令序列。

13.根据权利要求2所述的方法，进一步包括阻挡所述命令。

14.根据权利要求13所述的方法，其中阻挡包括阻止应用存储或传输传感器数据。

15.根据权利要求13所述的方法，进一步包括在成功阻挡所述命令时改变所述隐私指示器的所述状态。

16.一种系统，包括：

传感器；

用于存储已知命令库的计算机可读存储；

处理器，其中所述处理器连接到所述计算机可读存储并且被配置为：

接收用于访问由所述传感器生成的数据的命令；

比较所述命令与所述已知命令库；

确定所述命令不匹配所述已知命令库；以及

基于所述命令不匹配所述已知命令库的所述确定，改变隐私指示器的状态。

17.根据权利要求16所述的系统，其中所述命令与已知命令库的所述比较包括验证与所述命令相关联的数字签名。

18.根据权利要求3所述的方法，其中所述命令不匹配所述已知命令库的所述确定包括确定与所述命令相关联的所述数字签名是无效的。

19.根据权利要求16所述的系统，其中所述已知命令库包括基于由所述传感器生成的所述数据的命令的数据库。

20.根据权利要求16所述的系统，其中传感器从由麦克风、相机或GPS设备组成的组中选择。

21.根据权利要求16所述的系统，进一步包括激活所述传感器。

22.根据权利要求16所述的系统，进一步包括将所述隐私指示器设置为初始状态。

23.根据权利要求22所述的系统，其中所述初始状态指示由所述传感器生成的所述数据未被存储在永久存储中或者未被传输到远程实体。

24.根据权利要求16所述的系统，其中隐私指示器从由灯、LED、系统托盘通知、可听见的声音和触觉反馈组成的组中选择。

25.根据权利要求16所述的系统，其中改变所述隐私指示器的所述状态的步骤包括调制到LED的功率，从而使得LED闪烁。

26.根据权利要求16所述的系统，其中命令包括已知命令序列。

27.根据权利要求14所述的系统，进一步包括阻挡所述命令。

28.根据权利要求27所述的系统，其中阻挡包括阻止应用存储或传输传感器数据。

29.根据权利要求27所述的系统，进一步包括在成功阻挡所述命令时改变所述隐私指示器的所述状态。

30.一种方法，包括：

接收隐私模式；

接收用于访问由传感器生成的数据的命令；

比较所述命令与已知命令库；

确定所述命令不匹配所述已知命令库；以及

基于所述命令不匹配所述已知命令库的所述确定，阻止所述命令访问所述传感器数据。

31.一种方法，包括：

接收用于访问由用户生成的数据的命令；

确定所述命令与应用相关联；

验证与所述应用相关联的数字签名；

基于与所述应用相关联的所述数字签名的所述验证，确定所述数字签名是无效的；

确定所述命令与隐私策略不兼容；以及

基于所述数字签名是无效的和所述命令与隐私策略不兼容的所述确定，改变隐私指示器的状态。