大數(shù)據(jù)處理和分析中的隱私保護(hù)研究綜述

任雪斌,楊新宇,楊樹(shù)森,張 海

(1.西安交通大學(xué) 電子與信息工程學(xué)院, 陜西 西安 710049;2.西安交通大學(xué) 數(shù)學(xué)與統(tǒng)計(jì)學(xué)院, 陜西 西安 710049;3.西北大學(xué) 數(shù)學(xué)學(xué)院,陜西 西安 710127)

隨著信息技術(shù),特別是互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、云計(jì)算等新技術(shù)的發(fā)展,人類社會(huì)已然進(jìn)入了大數(shù)據(jù)時(shí)代。據(jù)國(guó)際數(shù)據(jù)資訊(IDC)公司監(jiān)測(cè)統(tǒng)計(jì),全世界的數(shù)據(jù)量大約以每?jī)赡攴环乃俣仍鲩L(zhǎng)。預(yù)計(jì)到2020年,全球?qū)碛兄辽?5ZB的數(shù)據(jù)量。著名的管理和咨詢公司麥肯錫認(rèn)為“大數(shù)據(jù)已經(jīng)滲透到工業(yè)和商業(yè)領(lǐng)域的各個(gè)方面,成為影響生產(chǎn)的一個(gè)重要因素”。大數(shù)據(jù)正日益對(duì)全球生產(chǎn)、流通、分配、消費(fèi)活動(dòng)以及經(jīng)濟(jì)運(yùn)行機(jī)制、社會(huì)生活方式和國(guó)家治理能力產(chǎn)生強(qiáng)烈沖擊。

大數(shù)據(jù)蘊(yùn)含著現(xiàn)實(shí)世界中各個(gè)領(lǐng)域的碎片化信息,具有不可估量的潛在價(jià)值。隨著計(jì)算技術(shù)與分析方法的突破,分析和解讀這些大數(shù)據(jù)信息、挖掘其中的價(jià)值已成為可能。廣泛存在的大數(shù)據(jù)具有十分巨大的潛在價(jià)值:可以提供社會(huì)科學(xué)的方法論,支持基于數(shù)據(jù)的決策,助推管理科學(xué)與方法的革命;形成科學(xué)研究的新范式,支持基于數(shù)據(jù)的科學(xué)發(fā)現(xiàn),減少對(duì)精確模型與假設(shè)的依賴,使得過(guò)去不能解決的問(wèn)題變得可能解決;形成高新科技的新領(lǐng)域,推動(dòng)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、云計(jì)算、人工智能等行業(yè)的深化發(fā)展,形成大數(shù)據(jù)技術(shù)產(chǎn)業(yè);成為經(jīng)濟(jì)發(fā)展和社會(huì)進(jìn)步的新引擎,深刻影響全球生產(chǎn)、流通、分配與消費(fèi)模式,改變?nèi)祟惖乃季S、生產(chǎn)和生活方式,推動(dòng)社會(huì)變革和進(jìn)步。

對(duì)海量大數(shù)據(jù)的處理和分析給人們認(rèn)識(shí)自身和世界帶來(lái)便利、給人們的生產(chǎn)生活提供各種服務(wù)的同時(shí),也帶來(lái)了前所未有的隱私憂患。例如,互聯(lián)網(wǎng)上用戶個(gè)人資料、瀏覽痕跡、社交聯(lián)系很容易被記錄,物聯(lián)網(wǎng)下智能設(shè)備普遍集成了GPS、加速度、磁場(chǎng)、姿態(tài)、溫度、光線等各式傳感器,云計(jì)算環(huán)境下金融交易、電商數(shù)據(jù)統(tǒng)統(tǒng)被集中存儲(chǔ)。對(duì)這些敏感大數(shù)據(jù)的直接處理和分析,意味著人們的社交關(guān)系、喜好傾向、資產(chǎn)負(fù)債、日常行為、所處位置、周邊環(huán)境,甚至心跳、血壓等生理特征信息都可以成為被記錄和分析的數(shù)據(jù)[1]。這些關(guān)乎人自身或者環(huán)境的敏感信息如果被超出其目的地濫用或者在數(shù)據(jù)產(chǎn)生到消亡的生命周期內(nèi)無(wú)法得到有效保護(hù),都可能會(huì)造成隱私的暴露[2],給人們的生命財(cái)產(chǎn)安全帶來(lái)威脅。一方面,數(shù)據(jù)采集的便利性和高價(jià)值,極大地刺激了人們進(jìn)一步采集、存儲(chǔ)、循環(huán)利用個(gè)人數(shù)據(jù)的野心。另一方面,由于數(shù)據(jù)存儲(chǔ)成本的持續(xù)下降和數(shù)據(jù)分析工具的不斷發(fā)展,采集和存儲(chǔ)的數(shù)據(jù)量將爆發(fā)式地增長(zhǎng)。

大數(shù)據(jù)處理和分析中的隱私問(wèn)題會(huì)給各類數(shù)據(jù)提供者帶來(lái)潛在人身財(cái)產(chǎn)安全威脅,例如,已被證明可以通過(guò)用電大數(shù)據(jù)對(duì)住戶用電器使用情況進(jìn)行分析,從而分析用戶的行為隱私,其識(shí)別準(zhǔn)確率可以高達(dá)85%以上[3],用戶隱私一旦被不法分子掌握,后果不堪設(shè)想。也因此,隱私問(wèn)題還會(huì)引起民眾對(duì)各類大數(shù)據(jù)處理和分析系統(tǒng)安全性和合理性的懷疑,甚至造成民眾的抵觸心理,有很多組織和個(gè)人因?yàn)殡[私擔(dān)憂和相關(guān)問(wèn)題抵制各類大數(shù)據(jù)系統(tǒng)的建設(shè)[4],這無(wú)疑會(huì)阻礙大數(shù)據(jù)系統(tǒng)的建設(shè)實(shí)施和健康發(fā)展,妨礙大數(shù)據(jù)真正價(jià)值的發(fā)掘。因此,構(gòu)建具有隱私保護(hù)的大數(shù)據(jù)處理和分析算法在大數(shù)據(jù)時(shí)代具有強(qiáng)烈的緊迫性和嚴(yán)峻性。

圍繞敏感大數(shù)據(jù)的隱私保護(hù)這一主題,近年來(lái),我們對(duì)隱私保護(hù)的數(shù)據(jù)發(fā)布和分析算法進(jìn)行了大量研究。本文對(duì)數(shù)據(jù)隱私保護(hù)成果進(jìn)行了總結(jié),重點(diǎn)對(duì)隱私保護(hù)的發(fā)展、隱私度量標(biāo)準(zhǔn)和模型,相關(guān)研究現(xiàn)狀、挑戰(zhàn)及前景進(jìn)行重點(diǎn)闡述和分析,為后續(xù)研究人員提供參考和思路。

1 隱私保護(hù)技術(shù)手段

大數(shù)據(jù)隱私保護(hù)這一主題,伴隨著大數(shù)據(jù)處理和分析問(wèn)題的出現(xiàn),受到了學(xué)術(shù)界、工業(yè)界以及政界的廣泛關(guān)注,各界也投入了大量的精力對(duì)其進(jìn)行研究并積累了一定的研究成果,但是對(duì)于隱私問(wèn)題分析和保護(hù)的研究還處于初級(jí)階段,實(shí)際上,包括有關(guān)隱私本身的定義、危害和保護(hù)原則等問(wèn)題都尚處于發(fā)展階段,技術(shù)上隱私的形式化分析、量化衡量和保護(hù)方法更是發(fā)展較慢,很多相關(guān)研究都是借鑒傳統(tǒng)意義上小數(shù)據(jù)集的隱私保護(hù)策略。其研究主要還是針對(duì)靜態(tài)數(shù)據(jù)記錄的隱私性,因此其諸多隱私保護(hù)的基本概念、衡量指標(biāo)、保護(hù)原則都是由傳統(tǒng)數(shù)據(jù)庫(kù)中發(fā)展演變而來(lái)。因此,為了清晰地展現(xiàn)相關(guān)隱私保護(hù)技術(shù)的發(fā)展脈絡(luò),我們主要基于靜態(tài)數(shù)據(jù)庫(kù)介紹當(dāng)前隱私保護(hù)的研究現(xiàn)狀。隱私保護(hù)的現(xiàn)有研究按解決思路主要分為如下幾類:基于匿名的方法、基于加密的方法、基于干擾的方法、基于噪聲的方法和基于差分隱私的方法。

1.1 基于匿名技術(shù)的隱私保護(hù)

早期的很多隱私保護(hù)研究都采用基于匿名的方法來(lái)避免用戶身份被識(shí)別,而且初期的研究主要集中在靜態(tài)的數(shù)據(jù)庫(kù)中。較為常見(jiàn)的是避免身份泄露的K匿名(K-anonymity)[5]策略,其通過(guò)對(duì)準(zhǔn)標(biāo)識(shí)符進(jìn)行泛化后,將數(shù)據(jù)記錄分為多個(gè)等價(jià)類,而要求每個(gè)等價(jià)類中包括至少K條記錄,從而保證單條記錄被推測(cè)連接的概率小于1/K,從而提供隱私保證。然而K匿名并未保證等價(jià)類中記錄的多樣性,會(huì)造成等價(jià)類之間明顯的差異,從而使得攻擊者可以根據(jù)準(zhǔn)標(biāo)識(shí)符對(duì)目標(biāo)對(duì)象的取值特性進(jìn)行判定并獲取用戶隱私。為此,提出了L多樣性(L-diversity)[6]的模型,要求每個(gè)準(zhǔn)標(biāo)識(shí)符組中對(duì)應(yīng)的敏感屬性取值至少有L個(gè)代表性取值。針對(duì)L-多樣性中可能存在的偏斜攻擊問(wèn)題,又提出了T-鄰近(T-closeness)[7]的匿名隱私保護(hù)模型,要求每個(gè)準(zhǔn)標(biāo)識(shí)符組中敏感屬性的分布與整個(gè)數(shù)據(jù)集中敏感屬性取值分布接近,進(jìn)一步強(qiáng)化了隱私保護(hù)。

然而,匿名方法主要適用于參與者數(shù)量小,數(shù)據(jù)通過(guò)傳統(tǒng)訪問(wèn)控制方法得到嚴(yán)格保管的應(yīng)用中,一般使用于封閉的場(chǎng)景中,例如,嚴(yán)格的生理信息采集監(jiān)測(cè)等電子醫(yī)療感知場(chǎng)景。而對(duì)于大型數(shù)據(jù)共享的場(chǎng)景中,匿名化方法則存在較大的隱私暴露風(fēng)險(xiǎn)。已有研究表明,攻擊者能夠在背景知識(shí)的幫助下對(duì)匿名的數(shù)據(jù)集進(jìn)行連接匹配,發(fā)起“連接攻擊”,唯一地確定用戶身份,從而侵犯隱私,例如Narayanan A等人證明了大量數(shù)據(jù)集下可以有效地進(jìn)行反匿名和連接攻擊[8]。尤其是在智能感知系統(tǒng)這樣的大數(shù)據(jù)環(huán)境下,數(shù)據(jù)的屬性維度急劇增加,普通的匿名策略遭受連接攻擊的可能性也呈指數(shù)級(jí)增長(zhǎng)。

1.2 基于加密技術(shù)的隱私保護(hù)

加密技術(shù)一般可以提供可驗(yàn)證的網(wǎng)絡(luò)安全,因此在數(shù)據(jù)匯聚中也得到廣泛關(guān)注和研究。數(shù)據(jù)匯聚中常用的加密技術(shù)包括:多方安全計(jì)算[9]、同態(tài)加密、秘密共享[10]、承諾機(jī)制、零知識(shí)證明、區(qū)塊鏈技術(shù)等。多方安全計(jì)算與同態(tài)加密均適用于多方數(shù)據(jù)聚合過(guò)程中,可以保證在多用戶密文上進(jìn)行的操作有效映射到明文對(duì)應(yīng)的操作,從而在不揭露單個(gè)用戶記錄的基礎(chǔ)實(shí)現(xiàn)對(duì)數(shù)據(jù)整體操作。零知識(shí)證明則可以在不暴露具體記錄的情況下,提供相應(yīng)知識(shí)的證明,亦可用于隱私保護(hù)的相關(guān)機(jī)制設(shè)計(jì)中。區(qū)塊鏈?zhǔn)墙鼇?lái)較為熱門的技術(shù),其設(shè)計(jì)初衷和密碼學(xué)技術(shù)本身使之可以廣泛應(yīng)用于很多隱私保護(hù)問(wèn)題當(dāng)中。

基于加密的技術(shù),雖然可以提供可驗(yàn)證的數(shù)據(jù)安全,但是仍然具有應(yīng)用的局限性。通常,加密操作將會(huì)導(dǎo)致較大的計(jì)算開(kāi)銷和能量消耗,給很多資源受限的分布式感知設(shè)備帶來(lái)很大負(fù)載,而且加密策略通常受限于某個(gè)具體的技術(shù),不同的數(shù)據(jù)和不同的應(yīng)用可能需要新的加密策略。最重要的是,加密策略通常僅僅保護(hù)了數(shù)據(jù)的機(jī)密性,而非真正意義的隱私。一方面,普通的信道加密策略事實(shí)上僅僅保證了數(shù)據(jù)傳輸?shù)臋C(jī)密性,可以抵御竊聽(tīng)者的竊聽(tīng)攻擊,但是數(shù)據(jù)最終仍會(huì)被解密接收并被傳遞到后續(xù)的數(shù)據(jù)處理環(huán)節(jié),例如,系統(tǒng)中不良的操作人員以及后續(xù)分析中的第三方用戶都可能訪問(wèn)到解碼后的明文,使得用戶的隱私面臨極高的暴露風(fēng)險(xiǎn)；另一方面,即使保證僅僅有統(tǒng)計(jì)數(shù)據(jù)結(jié)果被接收,在多樣化的數(shù)據(jù)處理和分析系統(tǒng)中,仍然不能有效保證用戶的隱私安全。最常見(jiàn)的就是差異攻擊方式[11],例如,數(shù)據(jù)分析過(guò)程中通過(guò)上述加密技術(shù)很容易準(zhǔn)確得到N個(gè)用戶數(shù)據(jù)的統(tǒng)計(jì)查詢結(jié)果,同理,N+1個(gè)用戶的統(tǒng)計(jì)查詢結(jié)果同樣也能獲得,通過(guò)比較這兩者間的差異,可以得到對(duì)第N+1個(gè)用戶數(shù)據(jù)有效推測(cè),不能真正意義上保護(hù)用戶隱私。

1.3 基于噪聲技術(shù)的隱私保護(hù)

基于噪聲的保護(hù)技術(shù),通過(guò)注入隨機(jī)噪聲來(lái)保護(hù)用戶隱私,同時(shí)會(huì)使得數(shù)據(jù)失真,因此需要實(shí)現(xiàn)隱私和數(shù)據(jù)效用的折衷。該方法同樣具有開(kāi)銷小,效率高等特點(diǎn),而且更為靈活。此外,很多噪聲方法以分布式的方式在用戶原始數(shù)據(jù)上進(jìn)行操作,能夠有效從源頭上保證用戶數(shù)據(jù)的隱私性。常見(jiàn)的隨機(jī)噪聲包括加和性噪聲、乘性噪聲和旋轉(zhuǎn)噪聲。例如,Agrawal等人首先提出將加和性噪聲用于隱私保護(hù)的數(shù)據(jù)挖掘中[12],Kim J等人則提出使用乘性噪聲隱藏連續(xù)數(shù)據(jù)[13], Liu K等人則進(jìn)一步提出將乘性噪聲應(yīng)用于分布式數(shù)據(jù)挖掘中保護(hù)隱私[14]。Bohli J M等人證明了分布式節(jié)點(diǎn)通過(guò)添加同參數(shù)的高斯分布噪聲通過(guò)中心極限定理可以保證噪聲在數(shù)據(jù)匯聚后互相抵消到一個(gè)期望為零方差有限的誤差變量,從而保證誤差有限[15]。Lin H Y等人具體設(shè)計(jì)了一個(gè)智能儀表系統(tǒng)中的隱私保護(hù)機(jī)制,該機(jī)制通過(guò)向智能儀表系統(tǒng)中數(shù)據(jù)添加獨(dú)立的高斯噪聲以達(dá)到負(fù)載監(jiān)控的目的[16]。為了去除噪聲在關(guān)鍵計(jì)費(fèi)中的誤差,作者還引入了加密策略來(lái)二次消解誤差,但是會(huì)導(dǎo)致大的計(jì)算開(kāi)銷和負(fù)載。

1.4 基于差分隱私的隱私保護(hù)

早期噪聲保護(hù)方法的研究出發(fā)點(diǎn)還只是實(shí)現(xiàn)直觀的隱私效用折衷,從一定程度上并未形成有效的隱私保護(hù)范式和數(shù)學(xué)證明。為此,近來(lái)由著名學(xué)者Dwork C提出的差分隱私(differential privacy)有效解決了此問(wèn)題[17]。差分隱私保護(hù)可以保證,在數(shù)據(jù)集中添加或刪除一條數(shù)據(jù)不會(huì)影響到查詢輸出結(jié)果,即無(wú)論特定個(gè)體記錄是否在數(shù)據(jù)集中,對(duì)該數(shù)據(jù)集的任意計(jì)算分析或查詢的結(jié)果在形式上不可區(qū)分因此,即使在最壞情況下,攻擊者已知除一條記錄之外的所有敏感數(shù)據(jù),仍可以保證這一條記錄的敏感信息不會(huì)被泄露。差分隱私,是一個(gè)具有數(shù)學(xué)可推導(dǎo)和可驗(yàn)證的隱私范式,其保證相鄰數(shù)據(jù)集在數(shù)據(jù)匯聚函數(shù)的輸出結(jié)果非常相似甚至無(wú)法有效區(qū)分,從而防止攻擊者通過(guò)操縱匯聚結(jié)果來(lái)推測(cè)單個(gè)數(shù)據(jù),以達(dá)到保護(hù)用戶隱私的目的[18-19]。差分隱私可以通過(guò)拉普拉斯機(jī)制[18]、指數(shù)機(jī)制[20]和幾何機(jī)制[21]等實(shí)現(xiàn)，較常見(jiàn)是通過(guò)拉普拉斯機(jī)制給匯聚結(jié)果添加根據(jù)全局敏感度校準(zhǔn)后的拉普拉斯噪聲實(shí)現(xiàn)差分隱私[18],其中全局敏感度反映了數(shù)據(jù)集中單個(gè)數(shù)據(jù)對(duì)數(shù)據(jù)分析結(jié)果能產(chǎn)生的最大差異。

差分隱私因?yàn)槠鋰?yán)格的數(shù)學(xué)證明和靈活的組合特性,目前受到越來(lái)越多的關(guān)注,并逐步成為數(shù)據(jù)隱私保護(hù)的事實(shí)標(biāo)準(zhǔn),被廣泛應(yīng)用于各類數(shù)據(jù)分析和數(shù)據(jù)挖掘的隱私保護(hù)應(yīng)用中。因此,本文將重點(diǎn)以差分隱私為主要隱私保護(hù)理論和技術(shù)基礎(chǔ),對(duì)大數(shù)據(jù)處理和分析中的隱私保護(hù)技術(shù)進(jìn)行總結(jié)分析。

2 差分隱私

差分隱私[17]給定相鄰數(shù)據(jù)集D和D′,二者互相之間至多相差一條記錄,即|DΔD′|≤1。給定一個(gè)隱私算法A,Range(A)為A的取值范圍,若算法A在數(shù)據(jù)集D和D′上任意輸出結(jié)果范圍S(其中,S?Range(A))滿足下列不等式,則算法A滿足ε-差分隱私,且其隱私性可以用參數(shù)ε進(jìn)行衡量:

Pr[A(D)∈S]≤eεPr[A(D′)∈S]

其中,概率Pr[·]由算法A的隨機(jī)性控制,也表示隱私被披露的風(fēng)險(xiǎn);隱私預(yù)算參數(shù)ε表示隱私保護(hù)程度,ε越小隱私保護(hù)程度越高。由定義也可看出,差分隱私實(shí)際上限制了單個(gè)記錄對(duì)算法A輸出的影響,使得單個(gè)用戶記錄的差異導(dǎo)致的輸出影響非常小以至于使得攻擊者無(wú)法在兩個(gè)相鄰數(shù)據(jù)集合之間具有辨別優(yōu)勢(shì)。另外,還可以看出,要實(shí)現(xiàn)差分隱私的有效保護(hù),還必須依賴隨機(jī)算法A,一方面,算法A的輸出具有一定的模糊性來(lái)保護(hù)隱私,另一方面,算法A還需要保證輸出范圍的精確性,也即數(shù)據(jù)的效用性。通常,實(shí)現(xiàn)差分隱私保護(hù)的算法A需要噪聲機(jī)制的實(shí)現(xiàn)。

敏感度(sensitivity) 為了達(dá)到差分隱私,標(biāo)準(zhǔn)的方法就是給正確的輸出結(jié)果中添加噪聲。基本思想是使用添加的噪聲來(lái)隱藏當(dāng)數(shù)據(jù)集中單個(gè)記錄改變時(shí),輸出結(jié)果之間的差異。因此,添加噪聲的規(guī)模取決于輸出函數(shù)的敏感度,即就是在最多有一個(gè)數(shù)據(jù)記錄不同的數(shù)據(jù)集之間數(shù)據(jù)結(jié)果的最大差異[18]。分為全局敏感度和局部敏感度,定義如下。

定義1(全局敏感度) 對(duì)于給定的查詢函數(shù)f:Dn→Rd,f的Lp全局敏感度定義為

其中,數(shù)據(jù)集D和D′之間至多相差一條記錄。

定理1對(duì)于任意的f:D→Rd,當(dāng)λ=Δf/ε時(shí),添加滿足拉普拉斯分布Lap(λ)的機(jī)制的輸出結(jié)果滿足ε-差分隱私[17]。

組合理論(composition theorem) 隱私保護(hù)機(jī)制面對(duì)復(fù)雜的應(yīng)用場(chǎng)景和多樣的查詢時(shí)需要組合地使用差分隱私保護(hù)機(jī)制。差分隱私的組合性質(zhì)可以用來(lái)分析差分隱私保護(hù)機(jī)制在不同組合方法下的性能變化情況。其中,差分隱私有兩個(gè)重要的組合性質(zhì)[18]。

定理3順序組合(sequential composition)假設(shè)每一個(gè)算法Agi提供εi-差分隱私,則數(shù)據(jù)庫(kù)D上的順序的Agi算法提供∑εi-差分隱私[18]。

定理4并行組合(parallel composition)假設(shè)每一個(gè)算法Agi提供εi-差分隱私,則一系列不相交數(shù)據(jù)集Di上的算法序列Agi提供εi-差分隱私[18]。

除了以上基本的差分隱私模型外,在針對(duì)連續(xù)動(dòng)態(tài)數(shù)據(jù)的場(chǎng)景中還包括事件級(jí)隱私和用戶級(jí)隱私的高級(jí)模型,以及針對(duì)內(nèi)部攻擊而提出的泛隱私模型[22]。

1) 事件級(jí)隱私(event-level privacy):事件級(jí)隱私保證在連續(xù)監(jiān)測(cè)的情景中,若干時(shí)間點(diǎn)上某個(gè)事件是否發(fā)生的隱私,從而保護(hù)某個(gè)單一事件不被攻擊者猜測(cè)到。

2) 用戶級(jí)隱私(user-level privacy):用戶級(jí)隱私保證在連續(xù)監(jiān)測(cè)的情景中,由某個(gè)用戶導(dǎo)致發(fā)生的一系列事件的隱私都得到保護(hù),從而使得攻擊者甚至無(wú)法推知某個(gè)用戶是否參與到了系統(tǒng)中。相對(duì)事件級(jí)隱私,用戶級(jí)隱私具有更好的隱私保護(hù)。

3) 泛隱私模型(pan privacy):針對(duì)隱私計(jì)算過(guò)程中可能產(chǎn)生的中間結(jié)果和內(nèi)部過(guò)程本身所帶來(lái)的隱私性,泛隱私模型提出同時(shí)使得計(jì)算的內(nèi)部狀態(tài)和外部輸出都保證隱私性。

3 基于差分隱私的大數(shù)據(jù)隱私保護(hù)算法研究

大數(shù)據(jù)隱私保護(hù)是指針對(duì)敏感性數(shù)據(jù),設(shè)計(jì)滿足差分隱私的敏感大數(shù)據(jù)發(fā)布和分析算法,以保護(hù)數(shù)據(jù)中個(gè)體的隱私而實(shí)現(xiàn)對(duì)大數(shù)據(jù)整體效用性的獲取[23-24]。大數(shù)據(jù)隱私保護(hù)的典型發(fā)布任務(wù)包括:直方圖、流數(shù)據(jù)、圖數(shù)據(jù)和軌跡數(shù)據(jù)的發(fā)布機(jī)制;大數(shù)據(jù)隱私保護(hù)的典型分析任務(wù)包括:聚類算法、判別分析及網(wǎng)絡(luò)數(shù)據(jù)的結(jié)構(gòu)學(xué)習(xí)等。接下來(lái),本文重點(diǎn)對(duì)一些典型的基于差分隱私的數(shù)據(jù)發(fā)布任務(wù)與數(shù)據(jù)分析任務(wù)進(jìn)行梳理總結(jié)。

3.1 基于差分隱私的大數(shù)據(jù)發(fā)布

直方圖是反映數(shù)據(jù)分布特性的重要統(tǒng)計(jì)信息, 差分隱私的直方圖發(fā)布旨在隱藏直方圖每個(gè)桶上的頻率, 其主要問(wèn)題在于進(jìn)行長(zhǎng)范圍查詢時(shí)的過(guò)量累計(jì)噪聲。 為此, Hay等人[25]提出Boost1方法并利用一致性約束對(duì)發(fā)布結(jié)果進(jìn)行約束推理的后置技術(shù)提升最終發(fā)布結(jié)果的準(zhǔn)確性。 而Xu等人[26]同時(shí)提出NoiseFirst和StructureFirst兩種方法。 前者先對(duì)直方圖添加噪聲后利用動(dòng)態(tài)規(guī)劃技術(shù)合并近鄰相似的桶并最小化重構(gòu)目標(biāo)函數(shù)； 而后者則先合并原始等寬直方圖中近鄰相似的桶以減小查詢敏感度后添加噪聲。 與StructureFirs類似, 先對(duì)直方圖自身結(jié)構(gòu)進(jìn)行重新組織的方法還有Boost2[25]和P-HPartitionb[27], 前者利用mary樹(shù)重新組織和構(gòu)造直方圖的敏感性； 而后者[27]利用層次聚類自適應(yīng)地對(duì)桶進(jìn)行分割直到最優(yōu)的合并桶個(gè)數(shù)。此外,文獻(xiàn)[28]使用基于小波的Privelet方法對(duì)原始等寬直方圖進(jìn)行轉(zhuǎn)換,文獻(xiàn)[29]采用傅里葉變換有損壓縮直方圖。整體上,現(xiàn)有研究仍然著眼于小數(shù)據(jù)集的單一或較低維度直方圖發(fā)布,如何在大數(shù)據(jù)處理中,對(duì)多維甚至高維直方圖進(jìn)行滿足差分隱私的準(zhǔn)確性發(fā)布仍是未來(lái)重要的研究問(wèn)題。

流式數(shù)據(jù)發(fā)布的主要問(wèn)題在于如何開(kāi)采利用流中數(shù)據(jù)的相關(guān)性減小隱私預(yù)算的消耗。文獻(xiàn)[30]利用二叉樹(shù)結(jié)構(gòu)方法，文獻(xiàn)[31]提出權(quán)重衰減發(fā)布方法，文獻(xiàn)[32]提出DMFDA算法研究流數(shù)據(jù)的發(fā)布;文獻(xiàn)[33]針對(duì){0,1}數(shù)據(jù)流提出了級(jí)聯(lián)緩沖計(jì)數(shù)器算法以自適應(yīng)地根據(jù)數(shù)據(jù)中“1”的出現(xiàn)頻率來(lái)決定流更新發(fā)布的時(shí)機(jī)以減小隱私預(yù)算消耗。文獻(xiàn)[34]提出了FAST機(jī)制,利用PID控制算法來(lái)自適應(yīng)更新差分隱私保護(hù)后數(shù)據(jù)流的結(jié)果并利用卡爾曼濾波對(duì)流數(shù)據(jù)效用性進(jìn)一步進(jìn)行提升。早期的流數(shù)據(jù)隱私保護(hù)主要關(guān)注于事件級(jí)隱私,即僅保護(hù)某個(gè)時(shí)間點(diǎn)事件是否發(fā)生,而卻無(wú)法保護(hù)某個(gè)用戶在多個(gè)事件中的用戶級(jí)隱私,尤其是無(wú)限數(shù)據(jù)流。為此,文獻(xiàn)[35]提出了新的ω-事件隱私的概念以保證無(wú)限流中ω長(zhǎng)度的窗口內(nèi)的任何事件序列的隱私,并設(shè)計(jì)了相應(yīng)的隱私預(yù)算分配方案。而針對(duì)多維數(shù)據(jù)流間的相關(guān)性,文獻(xiàn)[36]提出了基于時(shí)空關(guān)系的實(shí)時(shí)數(shù)據(jù)流發(fā)布隱私保護(hù)機(jī)制RescueDP,其主要結(jié)合了FAST和ω-事件隱私的概念,并利用了多維數(shù)據(jù)流間的相似性進(jìn)行動(dòng)態(tài)分組以降低小數(shù)值維度的擾動(dòng)噪聲。目前,流數(shù)據(jù)發(fā)布中的隱私保護(hù)仍停留在對(duì)簡(jiǎn)單同質(zhì)數(shù)據(jù)流的處理,對(duì)于更為復(fù)雜的高維異質(zhì)數(shù)據(jù)流的隱私保護(hù)也存在著相當(dāng)?shù)碾y度。

圖數(shù)據(jù)的發(fā)布廣泛應(yīng)用于社交網(wǎng)絡(luò)分析中,其中社交用戶的隱私自然成為了參與者的重要關(guān)切。針對(duì)圖數(shù)據(jù)發(fā)布中的差分隱私研究,主要分為邊差分隱私和節(jié)點(diǎn)差分隱私。邊差分隱私保證發(fā)布結(jié)果不會(huì)泄露圖中是否包含某條邊。文獻(xiàn)[37]最先研究了在邊差分隱私的保證下計(jì)算社交網(wǎng)絡(luò)圖中的三角關(guān)系并提出利用局部敏感度來(lái)校準(zhǔn)子圖計(jì)數(shù)中的噪聲。文獻(xiàn)[38]等則在此基礎(chǔ)上進(jìn)一步研究了對(duì)ε差分隱私的K-三角計(jì)數(shù)和滿足(ε,δ)差分隱私的K-星型關(guān)系計(jì)數(shù)。文獻(xiàn)[39]指出原始圖相似的并具有特定統(tǒng)計(jì)特性的同構(gòu)圖可以用于發(fā)布對(duì)原始圖的準(zhǔn)確查詢,并利用指數(shù)機(jī)制來(lái)搜索大量原始子圖的同構(gòu)圖以發(fā)布子圖查詢。類似地,文獻(xiàn)[40]則使用基于密度的方法重構(gòu)原圖。節(jié)點(diǎn)差分隱私保證了單個(gè)節(jié)點(diǎn)是否在圖中的不可區(qū)分性,其比邊差分隱私的定義要更為嚴(yán)格,并且由單個(gè)節(jié)點(diǎn)改變?cè)斐傻拿舾卸韧ǔＥc圖的規(guī)模成正比。一般而言,許多統(tǒng)計(jì)查詢?cè)诠?jié)點(diǎn)度數(shù)比較小的圖中具有較小的敏感度,因此文獻(xiàn)[41-42]提出了將原始圖中超過(guò)給定度數(shù)門限的節(jié)點(diǎn)移除而轉(zhuǎn)化為一個(gè)低度數(shù)限定的新圖進(jìn)行發(fā)布實(shí)現(xiàn)節(jié)點(diǎn)差分隱私。文獻(xiàn)[43]研究了利用映射的思想并結(jié)合累積直方圖和直方圖合并的方法降低敏感度,從而在節(jié)點(diǎn)差分隱私的保證下發(fā)布圖中節(jié)點(diǎn)的度分布。文獻(xiàn)[44]則提出了節(jié)點(diǎn)差分隱私的迭代機(jī)制,利用遞歸的方法迭代返回任何類型子圖的差分隱私計(jì)數(shù)結(jié)果,然而該方法通常是NP-難問(wèn)題,實(shí)現(xiàn)高效的節(jié)點(diǎn)差分隱私仍然十分困難。

合成數(shù)據(jù)發(fā)布方法,不同于直接發(fā)布一大批隱私保護(hù)后的查詢結(jié)果,而是通過(guò)發(fā)布一個(gè)隱私保護(hù)后的近似數(shù)據(jù)集供大批量查詢。早期的研究將匿名泛化技術(shù)應(yīng)用到非交互環(huán)境下來(lái)實(shí)現(xiàn)差分隱私保護(hù),如文獻(xiàn)[45-46]利用決策樹(shù)構(gòu)建算法來(lái)實(shí)現(xiàn)差分隱私保護(hù)數(shù)據(jù)發(fā)布。文獻(xiàn)[47-48]則提出機(jī)器學(xué)習(xí)的過(guò)程可以用于數(shù)據(jù)集的發(fā)布,如文獻(xiàn)[47]提出了利用指數(shù)機(jī)制不斷搜索逼近在特定查詢集合上有較高查詢精度的合成數(shù)據(jù)集。文獻(xiàn)[49]則結(jié)合指數(shù)機(jī)制和乘性權(quán)重迭代的方式快速獲得近似最優(yōu)的合成數(shù)據(jù)集。文獻(xiàn)[50]提出了使用Copula函數(shù)對(duì)高維數(shù)據(jù)的聯(lián)合概率分布進(jìn)行擬合,不過(guò),Copula函數(shù)無(wú)法處理值域較小的屬性,從而限制了其實(shí)際應(yīng)用。而且,前述的方法都面臨算法復(fù)雜度高的問(wèn)題[51-52],指出時(shí)間開(kāi)銷通常和數(shù)據(jù)規(guī)模和查詢集合規(guī)模成指數(shù)增加,而且隨著屬性維度不斷增高,這些方法都存在著擴(kuò)展性差和低信噪比的問(wèn)題,從而嚴(yán)重影響高維數(shù)據(jù)直方圖發(fā)布的效用性,因而都難以處理高維數(shù)據(jù)集合的發(fā)布。為此,近來(lái)部分?jǐn)?shù)據(jù)合成發(fā)布工作致力于對(duì)高維數(shù)據(jù)進(jìn)行降維處理然后進(jìn)行發(fā)布,如文獻(xiàn)[51]提出了基于貝葉斯網(wǎng)絡(luò)建模的高維數(shù)據(jù)發(fā)布機(jī)制Privbayes,計(jì)算屬性和父屬性集的相關(guān)性從而建模出一個(gè)貝葉斯網(wǎng)絡(luò)來(lái)分析維間相關(guān)性并進(jìn)行降維處理。文獻(xiàn)[52]在Privbayes的基礎(chǔ)上,提出了根據(jù)概率分布來(lái)計(jì)算屬性維度中任意兩維之間基于互信息的相關(guān)性,并通過(guò)依賴圖和聯(lián)合樹(shù)等圖結(jié)構(gòu)來(lái)建模以確定相關(guān)性從而進(jìn)行降維然后發(fā)布。文獻(xiàn)[53]還提出了一種基于分布式多方計(jì)算的高維數(shù)據(jù)發(fā)布機(jī)制能夠從多個(gè)數(shù)據(jù)服務(wù)器上進(jìn)行聯(lián)合數(shù)據(jù)發(fā)布。進(jìn)一步,文獻(xiàn)[54]提出了一種滿足本地差分隱私的高維群智感知數(shù)據(jù)合成發(fā)布機(jī)制,有效解決了群智感知場(chǎng)景下參與節(jié)點(diǎn)對(duì)中心服務(wù)器隱私不信任的難題。以上工作雖可以勉強(qiáng)對(duì)高維數(shù)據(jù)進(jìn)行處理,但是效率仍然低下,通常會(huì)消耗大量的隱私預(yù)算,而且一般僅適用于列聯(lián)表查詢,對(duì)多種復(fù)雜查詢支持度并不好。因此,研究和設(shè)計(jì)大數(shù)據(jù)時(shí)代支持大量通用查詢的高效非交互隱私保護(hù)的高維數(shù)據(jù)發(fā)布機(jī)制仍面臨極大挑戰(zhàn)。

3.2 基于差分隱私的大數(shù)據(jù)分析

針對(duì)基于差分隱私的聚類分析,文獻(xiàn)[37]提出Sample-and-Aggregate框架實(shí)現(xiàn)了滿足(ε,δ)-差分隱私的PK-means算法。該方法先隨機(jī)將訓(xùn)練集分為若干個(gè)子集,在每個(gè)子集上運(yùn)行K-means算法,得到若干結(jié)果,后采用平滑敏感度方法輸出滿足差分隱私的聚類結(jié)果?；诖?文獻(xiàn)[55]在子空間聚類中引入Laplace和Exponential機(jī)制以實(shí)現(xiàn)差分隱私。文獻(xiàn)[56]采用Johnson-Lindenstrauss變換來(lái)保證子空間聚類算法的差分隱私。此外,對(duì)于高斯混合的聚類問(wèn)題常用EM算法實(shí)現(xiàn)。文獻(xiàn)[57]指出若混合模型的聯(lián)合分布滿足指數(shù)族,則EM算法的每次參數(shù)更新由充分統(tǒng)計(jì)量的期望(即矩)完全決定,且矩的敏感度有界,因此可在每次迭代中加入Laplace或Gaussian噪聲實(shí)現(xiàn)EM算法的差分隱私。針對(duì)大規(guī)模數(shù)據(jù),需要設(shè)計(jì)高效、可行算法。

對(duì)于一般線性回歸和Logistic回歸問(wèn)題,文獻(xiàn)[58]提出函數(shù)機(jī)制FM來(lái)實(shí)現(xiàn)差分隱私。任意連續(xù)可微的目標(biāo)函數(shù)均可寫(xiě)為多項(xiàng)式形式,FM通過(guò)擾動(dòng)多項(xiàng)式系數(shù)來(lái)實(shí)現(xiàn)隱私保護(hù);對(duì)正則化Logistic回歸和正則化SVM差分隱私可統(tǒng)一到經(jīng)驗(yàn)風(fēng)險(xiǎn)最下化(ERM)差分隱私框架下。文獻(xiàn)[59]通過(guò)輸出擾動(dòng)和目標(biāo)擾動(dòng)實(shí)現(xiàn)ERM差分隱私,輸出擾動(dòng)方法即在算法結(jié)果上添加服從Gamma分布的擾動(dòng),目標(biāo)擾動(dòng)方法即在優(yōu)化目標(biāo)中添加服從Gamma分布的噪聲,但兩種方法均要求強(qiáng)凸及可微,對(duì)于SVM不可微的Hinge損失可通過(guò)可微的損失函數(shù)來(lái)逼近?；诖?文獻(xiàn)[60]將ERM差分隱私擴(kuò)展到懲罰函數(shù)不可微的情形;對(duì)于核方法,文獻(xiàn)[61]提出對(duì)再生核希爾伯特空間(RKHS)上所有核函數(shù)均滿足的隱私Kernal SVM算法;對(duì)于決策樹(shù)的差分隱私,文獻(xiàn)[62]在SuLQ平臺(tái)開(kāi)發(fā)了第一個(gè)差分隱私?jīng)Q策樹(shù)算法,基于此,文獻(xiàn)[63]在屬性選擇過(guò)程中引入Exponential機(jī)制,文獻(xiàn)[64]提出隨機(jī)決策樹(shù)的隱私保護(hù)算法。對(duì)于在線學(xué)習(xí)的差分隱私,文獻(xiàn)[65]通過(guò)對(duì)敏感度有界的在線凸規(guī)劃(OCP)算法的每次迭代結(jié)果中添加Gaussian噪聲來(lái)達(dá)到隱私保護(hù)。針對(duì)分布式場(chǎng)景,通過(guò)對(duì)算法輸出結(jié)果擾動(dòng)實(shí)現(xiàn)差分隱私的Logistic回歸,進(jìn)一步,針對(duì)通信過(guò)程中可能的隱私泄露,通過(guò)對(duì)算法迭代過(guò)程加噪的方式提出了分布式Logistic變量擾動(dòng)算法。顯然,關(guān)于此領(lǐng)域隱私保護(hù)學(xué)習(xí)算法尚處于初始階段。

基于差分隱私的因果分析:因果分析的最典型總結(jié)是深度學(xué)習(xí)問(wèn)題及算法。文獻(xiàn)[66]通過(guò)將損失函數(shù)定義為不匹配訓(xùn)練集的懲罰,在深度學(xué)習(xí)算法中應(yīng)用目標(biāo)擾動(dòng)實(shí)現(xiàn)隱私保護(hù)。由于損失函數(shù)是非凸的,因此采用小批量隨機(jī)梯度下降算法,且在每步更新中加入噪聲。文獻(xiàn)[67]設(shè)計(jì)了一個(gè)分布式深度學(xué)習(xí)模型訓(xùn)練系統(tǒng),使多方共同學(xué)習(xí)一個(gè)精確的神經(jīng)網(wǎng)絡(luò)。并用隱私隨機(jī)梯度下降算法來(lái)實(shí)現(xiàn)(ε,δ)-差分隱私。文獻(xiàn)[68]擾動(dòng)了傳統(tǒng)的深度自動(dòng)編碼器的目標(biāo)函數(shù),并采用Laplace機(jī)制來(lái)實(shí)現(xiàn)滿足隱私保護(hù)的深度自動(dòng)編碼器算法。

基于差分隱私的隱變量分析:典型問(wèn)題如特征提取、降維表示、稀疏表示等。主成分分析(PCA)是常用的降維方法,即找到數(shù)據(jù)投影方差最大的k個(gè)正交方向。文獻(xiàn)[69]提出一個(gè)主成分分析的差分隱私機(jī)制。由于對(duì)稱矩陣A的第一特征向量v是使vTAv最大的單位長(zhǎng)度向量,該方法使用H(X,v)=vTAv作為Exponential機(jī)制中的得分函數(shù)從集合{v:vTv=1}中選擇第一特征向量,并通過(guò)迭代依次計(jì)算k個(gè)最大特征向量。不同于此,文獻(xiàn)[70]基于Exponential機(jī)制提出PPCA算法可同時(shí)選取k個(gè)最大特征向量。對(duì)于差分隱私下的特征提取問(wèn)題,文獻(xiàn)[71]基于Exponential機(jī)制提出一個(gè)滿足ε-差分隱私的特征選擇算法PrivateKD,但該方法要求特征均定性且每個(gè)特征取有限個(gè)值。

4 挑戰(zhàn)與展望

基于差分隱私的敏感大數(shù)據(jù)發(fā)布和分析問(wèn)題中的隱私保護(hù)具有重要的理論價(jià)值和現(xiàn)實(shí)意義,然而,現(xiàn)有的研究仍然主要面向?qū)傩跃S度較少的靜態(tài)小數(shù)據(jù)集,真正實(shí)現(xiàn)很多大數(shù)據(jù)處理和分析問(wèn)題中的隱私保護(hù)仍然面臨著不小挑戰(zhàn)。特別是,相對(duì)于傳統(tǒng)的數(shù)據(jù)處理和分析時(shí)代,在大數(shù)據(jù)時(shí)代,數(shù)據(jù)的體量、生成速度和數(shù)據(jù)維度等多個(gè)方面的大數(shù)據(jù)特性都將更為嚴(yán)重地威脅用戶的隱私,并帶來(lái)極大的隱私保護(hù)挑戰(zhàn),具體表現(xiàn)在以下3方面:

1) 數(shù)據(jù)體量大,是指大數(shù)據(jù)時(shí)代敏感數(shù)據(jù)的量級(jí)也隨之急劇增多,以社交化關(guān)系組織的人參與的社交網(wǎng)絡(luò)和以標(biāo)識(shí)到每個(gè)物體為目標(biāo)的物聯(lián)網(wǎng),使得所有人和物的信息都可能會(huì)被采集。隨著手機(jī)等日常生活設(shè)備逐步成為物聯(lián)網(wǎng)中最廣泛、最便利的感知終端,與個(gè)人息息相關(guān)的數(shù)據(jù)和信息被廣泛地感知和在線分享,造成有意識(shí)或無(wú)意識(shí)的隱私暴露[72]。例如,ACM CCS 2013上的文章[73]驗(yàn)證了智能手機(jī)中最低權(quán)限的公共資源都會(huì)暴露用戶的隱私,可用于追蹤和定位發(fā)現(xiàn)用戶。

2) 數(shù)據(jù)生成速度快,體現(xiàn)在大數(shù)據(jù)時(shí)代敏感數(shù)據(jù)在隨時(shí)間劇增和精度不斷提高造成全新的隱私威脅。如美國(guó)和歐洲部署的智能電表每6s采集一個(gè)實(shí)時(shí)讀數(shù),智能電表每天采集的數(shù)據(jù)的量和粒度遠(yuǎn)遠(yuǎn)超出傳統(tǒng)抄表信息的量和粒度,電器本身獨(dú)特的負(fù)載特征使得攻擊者可以通過(guò)電量消耗情況遠(yuǎn)程監(jiān)控住戶的電器使用規(guī)律,從而推測(cè)用戶的日常行為習(xí)慣、在家/外出等行為隱私[74-75]。

3) 數(shù)據(jù)的維度多并不斷拓寬會(huì)造成很多現(xiàn)有隱私保護(hù)技術(shù)的失效。在具有多屬性維的敏感數(shù)據(jù)處理和分析場(chǎng)景中,通過(guò)對(duì)多來(lái)源數(shù)據(jù)的內(nèi)容進(jìn)行交叉校驗(yàn),隱私攻擊者可以從中獲取異常豐富且難以隔離的信息繼而突破現(xiàn)有隱私保護(hù)策略(如告知許可、模糊化、匿名化)的藩籬。例如,匿名化方法對(duì)用戶的姓名、標(biāo)識(shí)、ID等敏感信息隱藏可以達(dá)到隱私保護(hù)的效果,然而隨著數(shù)據(jù)維度的增加,已有研究結(jié)果證明通過(guò)對(duì)多個(gè)非ID的屬性信息進(jìn)行關(guān)聯(lián)分析可以唯一地標(biāo)識(shí)單個(gè)用戶[8]。

可見(jiàn),對(duì)于敏感大數(shù)據(jù)的隱私保護(hù),仍然面臨諸多大數(shù)據(jù)時(shí)代的難點(diǎn)。同時(shí),這也表明敏感度大數(shù)據(jù)處理和分析中的隱私保護(hù)又具有廣闊的空間。因此,有必要針對(duì)大數(shù)據(jù)體量巨大、數(shù)據(jù)生成速度快和數(shù)據(jù)屬性維度高的特性,展開(kāi)真正適用于大數(shù)據(jù)時(shí)代的敏感大數(shù)據(jù)隱私保護(hù)技術(shù)的研究。

首先,針對(duì)敏感大數(shù)據(jù)規(guī)模體量大的特點(diǎn),可以考慮對(duì)數(shù)據(jù)分塊,以“分而治之”的思想對(duì)分塊的數(shù)據(jù)進(jìn)行并行化的隱私保護(hù)處理,在保證效用隱私均衡的前提下,達(dá)到提升隱私保護(hù)算法并行可擴(kuò)展的目的。其中,關(guān)鍵的問(wèn)題在于分塊的數(shù)據(jù)間如何進(jìn)行通信共享全局信息,保證隱私保護(hù)算法的準(zhǔn)確性。

其次,針對(duì)敏感大數(shù)據(jù)生成速度快的特點(diǎn),一方面可以考慮建立新的時(shí)序場(chǎng)景或者流場(chǎng)景的隱私保護(hù)模型,適當(dāng)放松差分隱私的強(qiáng)隱私保證要求。另一方面,可以對(duì)數(shù)據(jù)流進(jìn)行適當(dāng)?shù)牟蓸踊蝾A(yù)測(cè),降低隱私預(yù)算的快速消耗[76]。

此外,針對(duì)敏感大數(shù)據(jù)屬性維度高的特點(diǎn),可以考慮對(duì)數(shù)據(jù)模型的分塊降維,在盡可能不破壞數(shù)據(jù)原始特征的情況下,對(duì)數(shù)據(jù)進(jìn)行降維分組,從而在克服高維數(shù)據(jù)隱私保護(hù)算法過(guò)程的復(fù)雜性和低效用性問(wèn)題。

最后,包括隱私保護(hù)理論很多根本性的東西也需要進(jìn)一步研究,使之更為符合大數(shù)據(jù)時(shí)代多樣性的特點(diǎn)。例如,如何降低其統(tǒng)一隱私安全標(biāo)準(zhǔn),達(dá)到個(gè)性化隱私保護(hù);如何適應(yīng)數(shù)據(jù)中的異常點(diǎn)帶來(lái)的過(guò)大數(shù)據(jù)敏感性問(wèn)題。更重要的是,如何針對(duì)不同的應(yīng)用場(chǎng)景特性,例如,醫(yī)療大數(shù)據(jù)、生物信息大數(shù)據(jù)、社交網(wǎng)絡(luò)大數(shù)據(jù)、物聯(lián)網(wǎng)大數(shù)據(jù)等,建立起符合不同行業(yè)規(guī)范和處理分析需要的隱私保護(hù)算法及其應(yīng)用實(shí)現(xiàn)。