[论文解读] $k^{τ,ε}$-anonymity: Towards Privacy-Preserving Publishing of Spatiotemporal Trajectory Data

Marco Gramaglia, Marco Fiore+2 more|arXiv (Cornell University)|Jan 9, 2017

Privacy-Preserving Technologies in Data参考文献 21被引用 8

一句话总结

本文提出了 $k^{ au, ho}$-匿名性，一种针对时空轨迹数据的新隐私准则，可抵御概率攻击和记录链接攻击。作者提出了 kte-hide 算法，通过在时间和空间上泛化轨迹以满足该准则，在真实世界数据集上实现了强隐私保护与高数据可用性的平衡。

ABSTRACT

Mobile network operators can track subscribers via passive or active monitoring of device locations. The recorded trajectories offer an unprecedented outlook on the activities of large user populations, which enables developing new networking solutions and services, and scaling up studies across research disciplines. Yet, the disclosure of individual trajectories raises significant privacy concerns: thus, these data are often protected by restrictive non-disclosure agreements that limit their availability and impede potential usages. In this paper, we contribute to the development of technical solutions to the problem of privacy-preserving publishing of spatiotemporal trajectories of mobile subscribers. We propose an algorithm that generalizes the data so that they satisfy $k^{τ,ε}$-anonymity, an original privacy criterion that thwarts attacks on trajectories. Evaluations with real-world datasets demonstrate that our algorithm attains its objective while retaining a substantial level of accuracy in the data. Our work is a step forward in the direction of open, privacy-preserving datasets of spatiotemporal trajectories.

研究动机与目标

• 为解决移动运营商收集的时空轨迹缺乏有效的隐私保护发布方案的问题。
• 识别并形式化与不规则采样、长时间跨度用户轨迹相关的特定威胁，包括概率攻击和记录链接攻击。
• 设计一种隐私模型，考虑轨迹数据中的时间与空间邻近性，超越传统 $k$-匿名性。
• 设计一种实用的匿名化算法，在确保 $k^{\tau,\rho}$-匿名性的同时保持数据可用性。
• 在真实世界数据集上评估该方法，证明其在强隐私保证下仍能有效保持精度。

提出的方法

• 提出 $k^{\tau,\rho}$-匿名性作为隐私准则，要求每个轨迹在时间窗口 $\tau$ 和空间半径 $\epsilon$ 内与至少 $k-1$ 个其他轨迹不可区分。
• 设计 k-merge 算法，通过基于时间与空间邻近性的相似轨迹合并来泛化轨迹，最小化数据失真。
• 实现 kte-hide 作为实用化处理流程，应用自适应阈值的 k-merge 算法，以平衡隐私与可用性。
• 采用时间与空间感知的泛化策略，尊重人类移动模式的自然聚类特性，尤其是在高峰时段。
• 对低活跃度时段（如夜间）应用抑制机制，以减少隐私泄露，同时避免过度的数据损失。
• 将匿名化过程形式化为约束优化问题，以最小化信息损失，同时满足 $k^{\tau,\rho}$-匿名性要求。

实验结果

研究问题

• RQ1 当传统 $k$-匿名性因轨迹唯一性而失效时，如何在时空轨迹数据中实现隐私保护？
• RQ2 对真实世界移动运营商轨迹数据集而言，最相关的攻击模型是什么？如何对其进行形式化建模？
• RQ3 能否将广义的 $k$-匿名性模型扩展以考虑不规则采样轨迹中的时间与空间相关性？
• RQ4 在实现强隐私保证的同时，匿名化过程中可多大程度地保持数据可用性？
• RQ5 所提方法在不同时间段模式与移动行为下的性能表现如何？

主要发现

• kte-hide 算法在真实世界移动运营商数据集上实现了 $k^{\tau,\rho}$-匿名性，同时保持了较高的时空精度，尤其在白天人类活动最频繁时表现更优。
• 由于白天轨迹聚类更紧密，该方法在白天保持了更好的精度。
• 时间粒度对精度影响较小，尽管夜间有轻微提升，归因于采样率降低和抑制机制的使用。
• 该算法通过确保每个轨迹在 $\tau$ 时间窗口和 $\epsilon$ 空间半径内与至少 $k-1$ 个其他轨迹不可区分，有效抵抗了重识别攻击。
• 该方法通过避免轨迹碎片化、扰动或虚构数据注入，优于现有方法，在数据可用性保持方面表现更优。
• 评估结果表明，kte-hide 在隐私与可用性之间实现了良好平衡，适用于隐私保护数据发布的实际部署。