54、隐私保护机制与度量方法解析

隐私保护机制与度量方法解析

1. 函数的不透明性

在隐私保护的相关概念中，函数的不透明性是重要的一部分。对于一个视图 ⟨F, I, K⟩，存在两种不透明性：
- 图像不透明性 ：当函数 s : M →A 满足 I = ∅ 时，该函数对于视图 ⟨F, I, K⟩ 是图像不透明的。这意味着无法断言任何 a ∈A 是函数 s 的有效输出，这是实现不可观测性所必需的。还有一种稍弱的图像不透明性，即图像值不透明性，此时对手可能知道 I，但对于给定的 m ∈M，不知道函数 s 的实际图像值 a ∈A，这可以理解为会话级别的发送者匿名性。
- 核不透明性 ：若函数 s : M →A 满足 K = ∅，则它对于视图 ⟨F, I, K⟩ 是核不透明的。也就是说，不能断言存在任何 m′ ≠ m ∈M 使得 s(m) = s(m′)，或者存在任何不同于给定 m ∈M 的输入值 m′ 被映射到相同的输出值 s(m)。

2. 相关工作

在系统规范和匿名性属性规范的协调方面，Hughes 和 Shmatikov 强调函数视图可用于两者之间的协调，系统规范通常用进程代数定义，而匿名性属性规范常用某种逻辑定义。后续 Halpern 和 O’Neill 指出，虽然函数视图优雅且有用，但并非协调所必需，因为所有规范都可以通过语义特征来完成。

3. 持久数据与统计数据库中的隐私问题

在个人数据记录数据库的隐私问题上，早在 20 世纪 80 年代德国的人口普查讨论中就进行了大规模的探讨。个人数据记录包含三种类型的数据：
|数据类型|描述|示例|
| ----