[论文解读] ProvAbs: model, policy, and tooling for abstracting PROV graphs

Paolo Missier, Jeremy Bryans+3 more|arXiv (Cornell University)|Jun 8, 2014

Scientific Computing and Data Management参考文献 10被引用 8

一句话总结

本文提出了ProvAbs，一种用于通过将敏感或复杂节点分组为更高层次抽象来抽象PROV溯源图的模型与工具，同时保持图的有效性。该方法结合了形式化的溯源抽象模型（PAM）与一种策略语言，为节点分配敏感度和效用值，实现基于接收方权限级别的受控披露，并在ProvAbs工具中实现了该方法，支持交互式策略实验与剩余效用度量。

ABSTRACT

Provenance metadata can be valuable in data sharing settings, where it can be used to help data consumers form judgements regarding the reliability of the data produced by third parties. However, some parts of provenance may be sensitive, requiring access control, or they may need to be simplified for the intended audience. Both these issues can be addressed by a single mechanism for creating abstractions over provenance, coupled with a policy model to drive the abstraction. Such mechanism, which we refer to as abstraction by grouping, simultaneously achieves partial disclosure of provenance, and facilitates its consumption. In this paper we introduce a formal foundation for this type of abstraction, grounded in the W3C PROV model; describe the associated policy model; and briefly present its implementation, the Provabs tool for interactive experimentation with policies and abstractions.

研究动机与目标

• 为应对数据共享中溯源复杂性与机密性管理的挑战，通过抽象敏感或详细溯源信息来实现。
• 开发一种正式模型，通过引入将一组节点替换为抽象节点的Group操作符，实现安全且有效的PROV图抽象。
• 设计一种策略语言，使溯源所有者能够基于敏感度指定应被抽象的节点，支持基于信任的访问控制。
• 使用ProvAbs工具实现并评估该方法，支持交互式策略定义与抽象溯源图的可视化。
• 通过剩余效用度量，量化披露控制与信息效用损失之间的权衡。

提出的方法

• 溯源抽象模型（PAM）引入了一个正式的Group操作符，将有效PROV图PG中的节点集V_gr替换为单个抽象节点，通过凸性约束保持图的有效性并避免引入新环路。
• 策略模型基于用户定义的规则为每个节点v分配一个敏感度值s(v, pol)，使用PROV-N图上的路径表达式与过滤器识别需抽象的节点。
• 为每个接收方分配一个权限级别cl；敏感度值s(v, pol) > cl的节点将被选中进行分组，实现基于信任的访问控制。
• 策略语言使用正则路径表达式的简化片段，包含如descendantOf等操作符，以及对节点属性（如data.Status ≥ Secret）的过滤条件。
• 为节点分配效用值u(n)以衡量其证据重要性，剩余效用RU_V通过原始图中保留效用与总效用的比值计算得出。
• ProvAbs工具使用Neo4J进行图存储，通过Cypher查询执行策略评估，可视化敏感度值（通过彩色节点表示）与抽象后的溯源图，并输出剩余效用。

实验结果

研究问题

• RQ1 如何在保持结构有效性的同时，通过抽象减少复杂性并保护敏感信息，实现溯源图的有效抽象？
• RQ2 何种形式化模型与策略语言能够实现细粒度、基于信任的溯源元数据披露？
• RQ3 如何在溯源抽象中定量度量信息披露与效用损失之间的权衡？
• RQ4 基于策略的抽象机制在去除敏感或冗余细节的同时，能在多大程度上保留关键的溯源关系？
• RQ5 ProvAbs工具在支持交互式探索抽象策略及其结果方面有多高效？

主要发现

• Group操作符成功地将一组节点抽象为单个抽象节点，同时保持PROV图的有效性，确保未引入新环路或无效关系。
• 策略语言通过路径表达式与基于属性的过滤器，实现了对抽象节点的精确选择，敏感度值基于分类与结构条件分配。
• 剩余效用度量RU_V量化了抽象后可用信息的损失，值越高表示证据内容的保留程度越好。
• ProvAbs工具成功支持交互式策略定义、敏感度水平可视化（通过彩色节点表示）以及输出剩余效用的抽象溯源图生成。
• 该方法通过分组高敏感度节点实现了溯源信息的受控披露，结果取决于接收方权限级别与策略配置。
• 该方法在保密性保护的情报信息交换用例中得到验证，证明了其在现实世界数据共享场景中的实际适用性。