37、结合差分隐私和互信息分析工作流中的信息泄露

结合差分隐私和互信息分析工作流中的信息泄露

1. 引言

随着企业收集和分析数据能力的提升，数据收集和处理过程中的隐私问题也日益凸显。以往的研究主要集中在构建或分析使数据分析方法或程序输出具有隐私保护功能的机制，同时尽可能保证准确性。然而，在企业环境中，业务流程是由人类和计算机执行的复杂任务组成的。因此，我们需要一种方法来组合单个任务提供的隐私保证，并分析向不同方发布信息或应用隐私增强技术的一系列操作。

不同的隐私增强技术需要用不同的度量来描述，并且在任务组合时，这些度量的表现和提供的保证也有所不同。本文将分析工作流，即任务的顺序/并行组合，其中一个任务的输出可能作为另一个任务的输入。工作流能够方便地捕捉业务流程中的数据流动。工作流的输入是隐私敏感的数据，而输出则会披露给某些实体。我们希望在已知单个任务信息流动度量的情况下，测量从工作流输入到输出的敏感信息泄露量。

例如，一个理论上的早期预警系统（EWS）用于定位大城市中的重大事件。该系统通过收集城市中移动电话的位置和移动信息来确定事件发生的地点。为了增强隐私保护，会在数据中添加噪声。从添加噪声的数据中，系统可以找到大多数手机远离的震中，并将其位置精确到城市街区报告给快速响应人员。同时，执法部门可能对震中附近手机的异常情况感兴趣，例如通过其近期通话记录来确定。这里，添加噪声的效果最好用差分隐私来描述，而将位置投影到城市街区以及将通话记录投影到分类器则更适合用香农熵和相关概念来描述。

我们的分析方法接收每个任务从输入到输出的信息流动描述，以及任务组合的图结构。信息流动可以通过多种方式进行描述，分析将为所有任务推导出基于互信息的信息流动约束，然后应用最大流算法来推导全局信息泄露的上界。

2. 相