面向用電數(shù)據(jù)的周期敏感度差分隱私保護(hù)方法

高 琦，李紅嬌

上海電力大學(xué) 計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院，上海 200090

1 引言

智能電網(wǎng)將傳統(tǒng)電網(wǎng)系統(tǒng)與先進(jìn)的信息通信技術(shù)（如高級(jí)量測體系）相結(jié)合，能夠提供更高的可靠性、靈活性、可持續(xù)性及安全性，被視為下一代電網(wǎng)發(fā)展的重要趨勢之一[1-3]。智能電表作為系統(tǒng)中的傳感器及量測點(diǎn)，是智能電網(wǎng)的重要組成部分，它允許用戶通過其監(jiān)測、跟蹤用戶用電，并且能夠向電力公司的負(fù)荷管理、線路規(guī)劃、生產(chǎn)優(yōu)化、識(shí)別非技術(shù)損失（例如電力盜竊）等功能提供可靠的數(shù)據(jù)支持[1-2，4]。

但是在智能電網(wǎng)應(yīng)用中，采集用戶用電數(shù)據(jù)可能會(huì)對用戶隱私構(gòu)成嚴(yán)重威脅。在實(shí)際的應(yīng)用中，用戶用電數(shù)據(jù)可能被攻擊者用于推斷在家的成員數(shù)量、設(shè)備的使用情況、日?；顒?dòng)時(shí)間甚至生活方式等私人信息[1-3，5]。

圖1 所示為某個(gè)用戶一周的用電軌跡。該系統(tǒng)共有1 個(gè)總表和3 個(gè)分表，記錄的是有功能耗值。圖1 較為直觀地展示了用戶用電數(shù)據(jù)集的數(shù)據(jù)特性，即數(shù)據(jù)存在比較明顯的周期性和稀疏性。

為了保護(hù)用戶用電數(shù)據(jù)的隱私，眾多科研人員提出了許多隱私保護(hù)方案，主要方法包括：聚合加密[1-2，4，6]、隨機(jī)擾動(dòng)[5-9]及泛化匿名[10]。在這三種隱私保護(hù)方案中，隨機(jī)擾動(dòng)方案對數(shù)據(jù)統(tǒng)計(jì)特性的影響較小，能夠保證較好的數(shù)據(jù)可用性。而在眾多的隨機(jī)擾動(dòng)方法中，差分隱私機(jī)制[11]以嚴(yán)格的數(shù)學(xué)公式定義了隱私保護(hù)水平和量化評估方法，無論攻擊者擁有多少背景知識(shí)，都能保證隱私保護(hù)強(qiáng)度。因此差分隱私迅速取代傳統(tǒng)隱私保護(hù)方法的地位，成為了當(dāng)前隱私保護(hù)研究的熱點(diǎn)。

圖1 某個(gè)家庭一周的用戶用電軌跡

由于智能電表用戶用電數(shù)據(jù)集存在多維數(shù)據(jù)的稀疏問題和數(shù)據(jù)相關(guān)性導(dǎo)致的隱私泄露問題，現(xiàn)有的面向時(shí)序數(shù)據(jù)的差分隱私保護(hù)方法在用戶用電數(shù)據(jù)上的可用性并不強(qiáng)，主要問題如下：

（1）發(fā)布數(shù)據(jù)集的可用性較低。由于用戶用電數(shù)據(jù)序列的統(tǒng)計(jì)特性受到用戶用電行為模式的嚴(yán)重影響，數(shù)據(jù)間存在較為明顯的差異，全局敏感度通常較大。Chen等人首次提出了能夠滿足相關(guān)性數(shù)據(jù)的組差分隱私DER機(jī)制[12]，DER機(jī)制實(shí)現(xiàn)了在k條記錄相關(guān)時(shí)的組差分隱私，但該機(jī)制對數(shù)據(jù)統(tǒng)計(jì)特性的破壞較大，可用性不高。Zhu等人提出的相關(guān)性敏感度[13]將記錄之間的關(guān)聯(lián)程度與全局敏感度相結(jié)合，對相關(guān)性較弱的數(shù)據(jù)集上的大規(guī)模查詢有較好的效果，但數(shù)據(jù)相關(guān)性越強(qiáng)，全局敏感度越高，相關(guān)敏感度就越大。Wang 等人在CLM 算法[14-15]中實(shí)現(xiàn)了基于全局敏感度的相關(guān)性Laplace機(jī)制，實(shí)現(xiàn)了原數(shù)據(jù)序列與噪聲序列的不可區(qū)分性，使得攻擊者無法進(jìn)行濾波攻擊。為了實(shí)現(xiàn)方法[12-15]設(shè)計(jì)的差分隱私保護(hù)強(qiáng)度，算法在原始用電數(shù)據(jù)中添加了過多的噪聲，使得發(fā)布數(shù)據(jù)的可用性不高。

（2）方法的計(jì)算開銷過大。Zhu 等人的CIM 機(jī)制[13]需要分析數(shù)據(jù)集中所有屬性相互之間的相關(guān)性，并生成維度等于數(shù)據(jù)集屬性個(gè)數(shù)的相關(guān)系數(shù)矩陣。Wang等人的CLM機(jī)制[14-15]需要計(jì)算整個(gè)序列的自相關(guān)函數(shù)，無論這個(gè)序列是否稀疏。數(shù)據(jù)的稀疏性會(huì)隨著用戶用電數(shù)據(jù)維度的增大而增大，大部分的隱私保護(hù)方法[12-15]沒有考慮到用電數(shù)據(jù)的稀疏性問題，計(jì)算開銷往往較大。

（3）方法的隱私保護(hù)強(qiáng)度達(dá)不到預(yù)期水平。根據(jù)Kifer 等人的研究[16]，當(dāng)數(shù)據(jù)存在相關(guān)性時(shí)，差分隱私方法可能達(dá)不到預(yù)期性能，會(huì)使得個(gè)人隱私受到侵害。在之后的研究中Kifer 等人提出了Pufferfish 機(jī)制[17]，雖然已經(jīng)將相關(guān)數(shù)據(jù)納入考量范圍，但是并不滿足差分隱私要求。根據(jù)Wang 等人的研究[14-15]，若數(shù)據(jù)集存在自相關(guān)性，攻擊者可以利用這種相關(guān)關(guān)系，采取濾波等手段濾除一部分獨(dú)立同分布（Independent and Identically Distributed，IID）噪聲，并以此提高攻擊成功率。因此對于用戶用電數(shù)據(jù)集，要想實(shí)現(xiàn)ε-差分隱私，向原數(shù)據(jù)添加IID-噪聲是不合適的。

這意味著，目前針對時(shí)序數(shù)據(jù)發(fā)布的差分隱私機(jī)制不適用于發(fā)布智能電表用戶的用電數(shù)據(jù)集。本文針對上述問題，提出了一種基于周期敏感度的差分隱私保護(hù)方法（Period Sensitivity Method，PSM）。本文將用戶用電數(shù)據(jù)序列分為數(shù)據(jù)較為稀疏的穩(wěn)定期序列和用電行為模式明顯的活躍期序列，并給出了2種差分隱私保護(hù)策略。具體地說，本文的貢獻(xiàn)主要有以下3點(diǎn)：

（1）提出周期敏感度，避免了使用全局敏感度導(dǎo)致噪聲過大的問題，對穩(wěn)定期序列采用平滑濾波，提高了數(shù)據(jù)的可用性。

（2）將用戶用電數(shù)據(jù)序列分為穩(wěn)定期序列和活躍期序列，能夠針對不同的數(shù)據(jù)特性采用不同的差分隱私保護(hù)策略。減少了稀疏數(shù)據(jù)中不必要的計(jì)算開銷，提高了執(zhí)行效率。

（3）對活躍期序列使用相關(guān)性隱私保護(hù)機(jī)制，減弱了濾波攻擊對隱私保護(hù)強(qiáng)度的影響，保證了差分隱私保護(hù)強(qiáng)度。

2 預(yù)備知識(shí)

差分隱私通過向數(shù)據(jù)集D中的每個(gè)數(shù)據(jù)項(xiàng)添加噪聲，來確保D中某個(gè)數(shù)據(jù)項(xiàng)的缺失對輸出結(jié)果的影響不明顯，有效地抵御了差分攻擊。

2.1 差分隱私

定義1（ε-差分隱私[11]）假設(shè)M是一個(gè)隨機(jī)算法，集合S是M輸出結(jié)果的任意子集，即S∈Range(M)，?D,D′ 是一對鄰近數(shù)據(jù)集，即 |DΔD′|=1，若算法M滿足：

則稱算法M滿足ε-差分隱私。其中，ε代表隱私預(yù)算，Pr(?)是概率密度函數(shù)。ε越小代表隨機(jī)算法M在D和D′上的輸出結(jié)果越相似，即隱私保護(hù)強(qiáng)度越強(qiáng)。在實(shí)際應(yīng)用中，數(shù)值型數(shù)據(jù)集通常使用Laplace 機(jī)制實(shí)現(xiàn)算法M的差分隱私。

定義2（Laplace 機(jī)制[18]）設(shè)有數(shù)據(jù)集D，給定查詢函數(shù)f:D→Rd,Rd表示f所映射的d維實(shí)數(shù)空間，函數(shù)f的敏感度為Δf。若方法M滿足：

則M滿足ε-差分隱私。

2.2 自相關(guān)函數(shù)

?時(shí)刻t1,t2,X(t)表示隨機(jī)信號(hào)，自相關(guān)函數(shù)描述了X(t1)和X(t2)之間的關(guān)聯(lián)程度。

定義3（自相關(guān)函數(shù)[15]）假設(shè)X(t)表示某個(gè)實(shí)隨機(jī)信號(hào)，X(t)在t1,t2的自相關(guān)函數(shù)RXX(t1,t2)定義為：

其中，x1,x2∈X(t),?(?)表示概率密度函數(shù)。

當(dāng)X(t)是穩(wěn)定隨機(jī)信號(hào)時(shí)，X(t)的統(tǒng)計(jì)特性與時(shí)間起點(diǎn)無關(guān)，令t2=t1+τ,則?(x1,x2;t1,t2)=?(x1,x2;τ)。令穩(wěn)定隨機(jī)信號(hào)的自相關(guān)函數(shù)的自變量為時(shí)間間隔τ，記為RXX(τ)。

用戶用電序列主要由時(shí)間和用戶用電值組成，分解出的活躍期序列在短時(shí)間內(nèi)的用電數(shù)值之間的關(guān)聯(lián)性較強(qiáng)。因此，活躍期序列可視為短時(shí)穩(wěn)定過程，即可使用自相關(guān)函數(shù)表示序列的自相關(guān)性。

2.3 序列不可區(qū)分性

當(dāng)噪聲序列與原序列的自相關(guān)函數(shù)相同時(shí)，攻擊者無法利用掌握的相關(guān)性背景知識(shí)濾除噪聲，也就無法識(shí)別原始序列與噪聲序列，即實(shí)現(xiàn)了無條件的隱私保護(hù)。

定義4（序列不可區(qū)分性[14-15]） 假設(shè)RXX(τ)與RZ(τ)分別是原始序列X與噪聲序列Z的自相關(guān)函數(shù)，若RZ(τ)=RXX(τ)，則原始序列與噪聲序列滿足序列不可區(qū)分性。攻擊者無法利用原始序列的自相關(guān)信息發(fā)動(dòng)攻擊。

定理1[14-15]當(dāng)發(fā)布序列與原始序列的自相關(guān)函數(shù)滿足序列不可區(qū)分性時(shí)，發(fā)布序列滿足ε-差分隱私。與原始差分隱私相比，相同隱私保護(hù)強(qiáng)度下，噪聲規(guī)模不會(huì)擴(kuò)大。

2.4 CLM濾波器

Wang等人設(shè)計(jì)的CLM濾波器[14-15]能夠使IID-Gauss噪聲Gi(i=1,2,3,4 )通過后成為相關(guān)性Gauss 噪聲(i=1,2,3,4 )，使得由生成的相關(guān)性Laplace噪聲序列Z滿足與原始序列X的不可區(qū)分性。

定理2[14-15]若Gi'(i=1,2,3,4 )的自相關(guān)函數(shù)RG′(τ)滿足：

則噪聲序列Z與原始序列X的自相關(guān)函數(shù)滿足RZ(τ)=RXX(τ)。

定理3[14-15]以N0表示Gi( )i=1,2,3,4 的功率譜密度，若濾波器的沖激響應(yīng)h(τ)滿足：

3 基于周期敏感度的差分隱私保護(hù)方法

由于用戶用電數(shù)據(jù)受到用戶用電行為模式的影響，存在較為明顯的周期性，并且根據(jù)是否包含用戶用電行為模式，可將一個(gè)周期序列片段分為穩(wěn)定期序列或活躍期序列，并給出了兩種隱私保護(hù)策略。

穩(wěn)定期序列值在某個(gè)常數(shù)附近波動(dòng)，此時(shí)電器大多以低功率自行運(yùn)轉(zhuǎn)，或是處于關(guān)閉狀態(tài)，用戶用電行為不明顯。活躍期指的是用戶用電行為較為明顯，用電數(shù)據(jù)波動(dòng)較大的時(shí)期，此時(shí)的用電數(shù)據(jù)包含了用戶的用電行為模式，需要不被破壞的隱私保護(hù)策略。

本文假設(shè)數(shù)據(jù)集D∈RT×Rn,D的第i維序列表示為表示Di的穩(wěn)定期用電序列集，長度為表示Di的活躍期用電序列集，長度為顯然，。

3.1 周期敏感度

由于穩(wěn)定期與活躍期的隱私保護(hù)方法有所不同，本文實(shí)際上使用了兩種周期敏感度。當(dāng)X,X′∈{Xstb} 時(shí)，得到穩(wěn)定期的周期敏感度PS(f)=PSstb；當(dāng)X,X′∈{Xact} 時(shí)，得到活躍期的周期敏感度PS(f)=PSact。

定義5（穩(wěn)定期敏感度）有一對臨近序列X和X′，f為查詢函數(shù)，?f:X→Rd，則f的穩(wěn)定期敏感度為：

定義6（活躍期敏感度）有一對臨近序列X和X′，f為查詢函數(shù)，?f:X→Rd，則f的活躍期敏感度為：

與Dwork 提出的全局敏感度GS[11]相比，GS是刪除數(shù)據(jù)集D中任一記錄時(shí)對查詢造成的最大改變量，PS則是刪除某段序列X中的任一記錄時(shí)造成的最大改變量，顯然PS≤GS。根據(jù)定義2，當(dāng)添加的噪聲時(shí)，方法滿足ε-差分隱私。

3.2 由Gauss噪聲生成Laplace噪聲

Rastogi 和 Nath 的研究[19]給出了由 Gauss 信號(hào)生成Laplace信號(hào)的方法，本文推導(dǎo)出了由Gauss噪聲生成特定的Laplace噪聲時(shí)需要滿足的條件。

定理4設(shè)有IID-Gauss隨機(jī)變量Yi，i∈{ }1,2,3,4 ，若要使Z～Lap( )λ,即E( )Z =0,。

證明令等價(jià)于Z2～Lap( )λ。

3.3 PSM方法流程

本文提出了面向智能電表用戶用電數(shù)據(jù)保護(hù)的PSM方法，具體如下。

根據(jù)穩(wěn)定期序列值與活躍期序列值的統(tǒng)計(jì)特性差異較大的特點(diǎn)，本文設(shè)計(jì)了分界判定算法，用來尋找穩(wěn)定期序列與活躍期序列的分界點(diǎn)，并判定分解出的序列屬于哪種序列集。假設(shè)X={x1,x2,…,xn} 為待分解用戶用電序列，X中的最大值為xmax，最小值為xmin，均值為；L用來存儲(chǔ)將要分解出的序列值，令m表示超過時(shí)間跨度σ所能包含的最少序列數(shù)量。

若步驟5和步驟6中新加入的序列片段與序列集中的前一個(gè)序列片段的時(shí)間戳是連續(xù)的，則將這兩個(gè)序列片段按照時(shí)間戳歸為一個(gè)序列片段。

顯然δ∈( 0,1] ，δ設(shè)置得越小說明xl與xj+m+1的相對差值越小，xl和xj+m+1屬于同一種序列集的概率就越大，誤分解的概率就越大，可能將某段序列劃分到另一種序列集中，使得方法在分解序列時(shí)的敏感度增大。σ設(shè)置得過大可能導(dǎo)致無法準(zhǔn)確區(qū)分穩(wěn)定期序列和活躍期序列，造成方法的敏感度提升。當(dāng)δ取最大值，即δ=1 時(shí)，只有L中出現(xiàn)xmax值，且以xmin為分界點(diǎn)時(shí)，Demc(?)才能分解序列，這時(shí)周期敏感度大概率接近全局敏感度。

考慮到用戶用電行為及智能電表的采樣頻率不同，界定閾值δ和分段間隔σ要由從業(yè)人員根據(jù)數(shù)據(jù)集的具體情況設(shè)定。

由于穩(wěn)定期序列中的大部分?jǐn)?shù)據(jù)是電器待機(jī)或者關(guān)機(jī)時(shí)記錄的，受到用戶用電行為的影響較小，數(shù)據(jù)相關(guān)性不強(qiáng)，可看作獨(dú)立分布的數(shù)據(jù)。活躍期序列集在時(shí)間上間斷，但是序列集中的用電行為連續(xù)，用電行為模式不會(huì)受到太大影響，可將整個(gè)活躍期序列集看作一個(gè)連續(xù)序列。因此，穩(wěn)定期序列與活躍期序列在重要性和相關(guān)性上存在較大差異，不適合使用同一種隱私保護(hù)策略，所以PSM 對穩(wěn)定期序列和活躍期序列采取不同的隱私保護(hù)方法。

假設(shè)穩(wěn)定期序列集{Xstb}={Xi|i=1,2,…,k} ，其中表示查詢函數(shù)f在鄰接穩(wěn)定期序列Xi和Xi'上的周期敏感度。

其中，若Z～Lap(λ) ，則E(Z)=0，D(Z)=2λ2。

由于{Xact} 中是用電行為連續(xù)的序列片段，序列片段之間的相關(guān)性較強(qiáng)，可將{Xact} 視為長度為Tact的時(shí)間序列。

算法4活躍期用電序列發(fā)布算法DPact(X)

3.4 算法分析

3.4.1 隱私保護(hù)強(qiáng)度

根據(jù)差分隱私并行組合特性[20]，PSM方法的隱私保護(hù)強(qiáng)度由各段用電序列上最差的隱私保護(hù)強(qiáng)度決定。

定理5（差分隱私的并行組合特性）設(shè)數(shù)據(jù)集D被劃分為n個(gè)不相交子集D={D1,D2,…,Dn} ，有n個(gè)隨機(jī)算法Ai(i=1,2,…,n)，其中Ai在Di上滿足εi-差分隱私，則{Ai} (i=1,2,…,n)的組合算法滿足差分隱私。

PSM 方法處理的是原數(shù)據(jù)集劃分成的互不相交的穩(wěn)定期序列和活躍期序列，因此可以直接使用定理5分析PSM 方法的隱私性。PSM 方法只在DPstb(X)生成IID-噪聲和DPact(X)生成相關(guān)噪聲時(shí)消耗隱私預(yù)算，若給定隱私預(yù)算ε，只需證明DPstb(X)和DPact(X)在互不相交的用電序列上的隱私消耗沒有超出ε，就證明PSM滿足ε-差分隱私。

定理6（后處理[21]） 設(shè)算法M:D→ Rd是滿足ε-差分隱私的隨機(jī)函數(shù)，?f:Rd→R'd是一個(gè)隨機(jī)映射函數(shù)，Rd和R'd表示2個(gè)d維實(shí)數(shù)空間，則二者的復(fù)合映射函數(shù)也滿足ε-差分隱私。

對于DPstb( )X，根據(jù)定理6，對算法輸出的映射操作不影響隱私性，因此平滑操作不會(huì)降低隱私保護(hù)強(qiáng)度。根據(jù)定義2[18]，若生成IID-噪聲的幅度不超過λ=則DPstb( )X在各段穩(wěn)定期序列上的隱私消耗εi≤ε。因此，PSM 要求DPstb( )X生成的IID-噪聲的幅度最大值為，此時(shí)DPstb( )X的隱私消耗不超過ε，即DPstb( )X滿足ε-差分隱私。

對于DPact(X)，當(dāng)生成的Gauss噪聲的幅度不超過則Gauss噪聲通過特定濾波器之后得到的相關(guān)噪聲滿足序列不可區(qū)分性，因此由定理1[14-15]，DPact(X)的隱私消耗不超過ε，即DPact(X)滿足ε-差分隱私。

綜上所述，由于穩(wěn)定期序列與活躍期序列互不相交，根據(jù)定理5 的差分隱私的并行組合特性，PSM 方法滿足ε-差分隱私。

3.4.2 算法可靠性

PSM 方法較好地解決了獨(dú)立噪聲容易被濾除的問題，不會(huì)因?yàn)楣粽叩臑V波攻擊泄露用戶的用電行為模式敏感信息。PSM 將用戶用電數(shù)據(jù)分解為穩(wěn)定期序列和活躍期序列。穩(wěn)定期序列包含的隱私信息較少，數(shù)據(jù)相關(guān)性不強(qiáng)，可看作獨(dú)立分布數(shù)據(jù)，PSM在穩(wěn)定期序列中添加IID-噪聲?；钴S期序列在時(shí)間上不連續(xù)，但在用電行為上連續(xù)，PSM根據(jù)活躍期序列的自相關(guān)性，添加與活躍期序列的自相關(guān)函數(shù)相同的相關(guān)性噪聲，能夠抵御濾波攻擊。由于攻擊者擁有的是用戶整體的相關(guān)性背景知識(shí)，若攻擊者沒有得到具體的序列分解情況，則不能準(zhǔn)確地濾除噪聲。即使攻擊者得到序列分解細(xì)節(jié)，也只能濾除穩(wěn)定期序列上的IID-噪聲。由于活躍期序列與相關(guān)性噪聲的自相關(guān)函數(shù)相同，濾波器無法濾除活躍期序列上的噪聲。因此，即使在序列分解細(xì)節(jié)泄露的前提下，PSM仍能保證用戶的用電行為模式不被泄露。

4 實(shí)驗(yàn)與分析

4.1 實(shí)驗(yàn)配置與數(shù)據(jù)集

實(shí) 驗(yàn) 環(huán) 境 為 Intel?CoreTMi5-7300HQ 2.50 GHz Windows 10 系統(tǒng)，8 GB 內(nèi)存。每個(gè)實(shí)驗(yàn)在每個(gè)數(shù)據(jù)集上分別運(yùn)行20 次，并取平均值。本文提出的方法在以下兩個(gè)真實(shí)數(shù)據(jù)集中進(jìn)行了測試。

（1）ECO[22]。ECO（Electricity Consumption & Occupancy）數(shù)據(jù)集搜集了6個(gè)瑞士家庭8個(gè)月的用戶用電數(shù)據(jù)。每個(gè)用戶的數(shù)據(jù)集包含3 個(gè)大項(xiàng)：智能電表數(shù)據(jù)、智能插座數(shù)據(jù)和房間入住數(shù)據(jù)。數(shù)據(jù)以1 Hz的頻率采集，并以“-1”表示缺失值。6個(gè)用戶的智能電表數(shù)據(jù)集分別包含16個(gè)屬性值，但智能插座數(shù)據(jù)集各不相同，房間入住數(shù)據(jù)是一個(gè)Bool 型數(shù)據(jù)集?？紤]數(shù)據(jù)缺失率，本文選擇對用戶01、02 和05 數(shù)據(jù)覆蓋率在98%以上的有功用電屬性進(jìn)行實(shí)驗(yàn)。具體地說，本文取3個(gè)用戶智能電表數(shù)據(jù)集中的三相有功之和、有功相位1、有功相位2、有功相位3；用戶01 的智能插座數(shù)據(jù)集中的01、02、05、07；用戶02 的智能插座數(shù)據(jù)集中的04、10、11；用戶05的智能插座數(shù)據(jù)集中的03進(jìn)行實(shí)驗(yàn)。本文取缺失值前一周相同時(shí)刻的數(shù)據(jù)，采用均值替換法補(bǔ)齊缺失值。

（2）HPC[23]。HPC（Household Power Consumption）數(shù)據(jù)集來自于UCI Machine Learning Repository，記錄了一個(gè)位于法國Sceaux的家庭，在2006年12月至2010年11 月（47 個(gè)月）期間，以每分鐘一次的采樣頻率收集的2 075 259個(gè)測量值。每條測量值包含7個(gè)屬性值，本文選擇了數(shù)據(jù)集中的總有功消耗值（kW/min）、有功用電子表1（W/h）、有功用電子表2（W/h）和有功用電子表3（W/h）進(jìn)行實(shí)驗(yàn)測試。數(shù)據(jù)集以“?”表示缺失值，同樣取缺失值前一周相同時(shí)刻的數(shù)據(jù)，利用均值替換法補(bǔ)齊缺失值。

實(shí)驗(yàn)中選取的數(shù)據(jù)集實(shí)際上相當(dāng)于4 個(gè)智能電表用戶的用電軌跡數(shù)據(jù)集，不過ECO 數(shù)據(jù)集的采樣頻率更高，用電軌跡的相關(guān)性更強(qiáng)。本文對這4個(gè)用戶用電軌跡數(shù)據(jù)集進(jìn)行長度為1 000 的隨機(jī)線性查詢集Q。查詢結(jié)果的準(zhǔn)確度以平均絕對誤差（MAE）衡量，定義如下：

MAE越大數(shù)據(jù)可用性越差。

4.2 PSM參數(shù)評估

為了評估界定閾值δ和時(shí)間跨度σ對PSM可用性的影響，本節(jié)通過實(shí)驗(yàn)分別驗(yàn)證了不同參數(shù)條件下PSM可用性的大小，并進(jìn)行了相應(yīng)的理論分析。

4.2.1 界定閾值δ 評估

在PSM 方法中，δ是控制分界判定算法準(zhǔn)確度的參數(shù)，本文通過實(shí)驗(yàn)檢驗(yàn)了δ對PSM 方法可用性的影響。實(shí)驗(yàn)設(shè)置δ的范圍是0.1～1，增量為0.1。實(shí)驗(yàn)中設(shè)置隱私預(yù)算ε=1，時(shí)間跨度σ=20 min ，本文參考Eibl等人的實(shí)驗(yàn)[24]，將滑動(dòng)窗口長度設(shè)為η=20。

如圖2所示，PSM的MAE呈現(xiàn)出了一種先降后升的趨勢。開始的時(shí)候，δ的增大顯然對PSM 起到了提高可用性的作用，MAE持續(xù)減小直到δ超過某個(gè)閾值，方法的MAE才會(huì)增大。例如在圖2（a）中，MAE在δ=0.7 之前一直保持下降的趨勢，并且在δ=0.7 時(shí)，MAE得到最小值1.9。在之后隨著δ的增加，MAE也隨之增大，并在δ=1.0 時(shí)得到最大值MAE=2.351。相同的趨勢在圖2（b）、（c）和（d）中可以觀察到。

實(shí)驗(yàn)結(jié)果驗(yàn)證了在3.3節(jié)對界定閾值δ的分析。δ越小，序列被誤分解的概率就越高，方法在序列上的敏感度會(huì)相應(yīng)提升；δ太大時(shí)，分界判定函數(shù)不能準(zhǔn)確地分解出序列，造成穩(wěn)定期序列與活躍期序列的混雜，方法在序列上的敏感度更接近于原始的全局敏感度。由于噪聲的量級(jí)與方法的敏感度成正比，而MAE與方法的敏感度成反比，所以圖2中的MAE會(huì)呈現(xiàn)出先下降然后快速增長的趨勢。

4.2.2 時(shí)間跨度σ 評估

在PSM 方法中，σ是控制分界判定算法分段長度的參數(shù)，本文通過實(shí)驗(yàn)檢驗(yàn)了σ對PSM方法可用性的影響。實(shí)驗(yàn)設(shè)置σ的范圍是10～60 min，增量為10 min。實(shí)驗(yàn)中設(shè)置隱私預(yù)算ε=1，界定閾值δ=0.7，滑動(dòng)窗口長度η=20。

如圖3所示，PSM的MAE呈現(xiàn)出了一種先降后升的趨勢。隨著時(shí)間跨度σ的增大，MAE先是減小，當(dāng)σ超過某個(gè)閾值時(shí)，MAE就會(huì)逐漸增大。例如在圖3（a）中，MAE在σ=10 min 時(shí)的MAE=2.065,當(dāng)σ=20 min時(shí)MAE減小為1.900。在之后MAE逐漸增大，并且在σ=60 min 時(shí)，MAE=2.438。相同的趨勢在圖3（b）、（c）和（d）中可以觀察到。

圖2 界定閾值δ 對PSM可用性的影響

圖3 時(shí)間跨度σ 對PSM可用性的影響

實(shí)驗(yàn)結(jié)果表明σ不是越小越好，若σ設(shè)置得過小，數(shù)據(jù)的可用性會(huì)變差。這是因?yàn)樵诜€(wěn)定期序列與活躍期序列交界的地方，數(shù)據(jù)的波動(dòng)往往較大，如果σ設(shè)置得太短，可能會(huì)造成誤分解。而誤分解會(huì)提高敏感度，這也是圖3 中MAE在σ=20 min 時(shí)比在σ=10 min 時(shí)小的原因。由于分解出的序列長度與σ成正比，σ設(shè)置得太長時(shí)分界判定算法無法準(zhǔn)確地分解出序列，穩(wěn)定期序列與活躍期序列混雜在一起，方法在序列上的敏感度會(huì)接近全局敏感度，這也是σ超過某個(gè)閾值后MAE逐漸增大的原因。

4.3 PSM性能評估

為了評估PSM 方法的性能，本節(jié)將PSM 方法的數(shù)據(jù)可用性及計(jì)算復(fù)雜度與當(dāng)前性能最優(yōu)的相關(guān)性差分隱私保護(hù)方法CLM機(jī)制[14-15]進(jìn)行對比。

4.3.1 可用性評估

實(shí)驗(yàn)設(shè)置隱私預(yù)算ε的范圍是0.1～1，增量為0.1。實(shí)驗(yàn)中設(shè)置界定閾值δ=0.7，時(shí)間跨度σ=20 min ，滑動(dòng)窗口長度η=20。

如圖4所示，PSM方法在所有用戶用電數(shù)據(jù)集上都比CLM 機(jī)制擁有更低的MAE，意味著PSM 擁有更好的數(shù)據(jù)可用性。由于ECO數(shù)據(jù)集的用電數(shù)據(jù)序列的相關(guān)性更強(qiáng)，因此圖4（d）的MAE相比會(huì)小一些。在圖4（a）中，當(dāng)ε=0.3 時(shí)，PSM 的MAE=6.625 ，而 CLM 的MAE=8.075 ，方法提升了 21.9%；當(dāng)ε=1 時(shí)，PSM 的MAE=1.9，而CLM的MAE=2.488，方法提升了30.9%。相似的情況可以在圖4（b）、（c）和（d）中觀察到。這是因?yàn)镸AE的大小取決于方法向原數(shù)據(jù)集中添加的噪聲的量的大小，而噪聲的量級(jí)正比于Laplace 分布中的尺度參數(shù)λ。根據(jù)定義2，當(dāng)ε固定時(shí)，敏感度越小，噪聲的量級(jí)越小。即敏感度越小，MAE越小。

圖4 PSM與CLM的可用性對比

一般來說，隨機(jī)擾動(dòng)保護(hù)方法的可用性與添加的噪聲規(guī)模成反比，添加的噪聲越多，方法的可用性越差。對于周期敏感度PS與全局敏感度GS,PS是某段序列中的任一條記錄被刪除時(shí)的最大影響值，有PS≤GS，噪聲規(guī)模由參數(shù)決定，因此與CLM機(jī)制相比，相同的隱私保護(hù)強(qiáng)度ε下，PSM向原數(shù)據(jù)集中引入的噪聲更少，可用性更好。并且DPstb(X)對穩(wěn)定期加噪序列進(jìn)行了平滑處理，進(jìn)一步改善了方法的可用性。所以PSM的MAE更小。

4.3.2 計(jì)算復(fù)雜度評估

由于PSM 和CLM 都屬于非交互式的差分隱私保護(hù)方法，因此計(jì)算復(fù)雜度與查詢集長度 ||Q等參數(shù)無關(guān)，只與待發(fā)布的數(shù)據(jù)集有關(guān)。因此，實(shí)驗(yàn)設(shè)置隱私預(yù)算ε=1，界定閾值δ=0.7，時(shí)間跨度σ=20 min，滑動(dòng)窗口長度η=20，計(jì)算復(fù)雜度以1 條查詢所用的平均運(yùn)行時(shí)間為衡量標(biāo)準(zhǔn)，平均運(yùn)行時(shí)間越長，計(jì)算復(fù)雜度越高。

圖5所示為PSM與CLM在各個(gè)數(shù)據(jù)集上的計(jì)算復(fù)雜度對比。顯然與CLM 相比，PSM 在4 名用戶用電數(shù)據(jù)集上的平均時(shí)間都更短，意味著PSM 的計(jì)算復(fù)雜度更低，運(yùn)行效率更高，這也側(cè)面印證了ECO的數(shù)據(jù)更加稀疏。例如在HPC 數(shù)據(jù)集上，PSM 的平均運(yùn)行時(shí)間為4.775 s，而CLM的平均運(yùn)行時(shí)間為5.615 s。由于ECO，01 和 ECO，02 的數(shù)據(jù)相比 ECO，05 更加稀疏，PSM 在ECO，05上的平均運(yùn)行時(shí)間相對更長，為3.626 s。

圖5 PSM和CLM的計(jì)算復(fù)雜度

當(dāng)運(yùn)行的數(shù)據(jù)集相同時(shí)，計(jì)算復(fù)雜度由方法需要計(jì)算的數(shù)據(jù)量決定，數(shù)據(jù)量越大，步驟越復(fù)雜，則計(jì)算復(fù)雜度越高。與CLM 機(jī)制相比，PSM 對穩(wěn)定期序列和活躍期序列施行不同保護(hù)策略，穩(wěn)定期序列采用計(jì)算復(fù)雜度較小的原始差分隱私機(jī)制，并減少了步驟較為復(fù)雜的DPact( )

X所需計(jì)算的數(shù)據(jù)量，只需要生成長度為Tact的相關(guān)噪聲，有效解決了數(shù)據(jù)集的稀疏問題，避免在稀疏數(shù)據(jù)上浪費(fèi)計(jì)算資源，改善了計(jì)算復(fù)雜度。而CLM 機(jī)制需要生成長度為T的相關(guān)噪聲。由于在用戶用電數(shù)據(jù)集中Tact＜T，因此PSM的計(jì)算復(fù)雜度更低。實(shí)驗(yàn)表明數(shù)據(jù)集越稀疏，PSM的計(jì)算復(fù)雜度越小，運(yùn)行速度越快。

5 結(jié)束語

由于現(xiàn)有的面向時(shí)序數(shù)據(jù)的差分隱私保護(hù)方法在用戶用電數(shù)據(jù)集上無法同時(shí)滿足隱私性和可用性要求，本文提出了滿足ε-差分隱私的面向智能電表用戶用電數(shù)據(jù)集的PSM方法。該方法將用電序列分解為穩(wěn)定期序列集和活躍期序列值，提出周期敏感度，并給出了兩種隱私保護(hù)策略。穩(wěn)定期序列由于隱私信息較少，方法以可用性為首要目標(biāo)，將加噪序列通過平滑濾波器，在不損失隱私保護(hù)強(qiáng)度的前提下提高數(shù)據(jù)可用性。活躍期序列由于包含用戶的用電行為模式，需要更為嚴(yán)密的隱私保護(hù)，方法在活躍期序列上以隱私性為首要目標(biāo)，向活躍期序列中添加與活躍期序列自相關(guān)函數(shù)相同的噪聲，有效防止濾波攻擊，能夠提供不被破壞的ε-差分隱私。方法在4 個(gè)真實(shí)的智能電表用戶用電數(shù)據(jù)集上進(jìn)行了實(shí)驗(yàn)檢測，結(jié)果表明在同等隱私保護(hù)強(qiáng)度下，PSM方法在智能電表用戶用電數(shù)據(jù)集上的可用性、計(jì)算復(fù)雜度和可靠性均優(yōu)于傳統(tǒng)的差分隱私保護(hù)方法。