基于隱私保護的經(jīng)濟統(tǒng)計信息發(fā)布

[摘 要] 目前我國在經(jīng)濟統(tǒng)計信息的隱私保護方面還做得不夠。主要表現(xiàn)為：信息發(fā)布時存在損失，丟掉了一些重要信息，不能很好地反映原有的涵義；信息共享時沒有對統(tǒng)計數(shù)據(jù)進行隱私保護，存在隱私泄露。本文從用戶對查詢結(jié)果要求準確這一前提出發(fā)，提出一種基于交互的序列表發(fā)布模型，保證敏感信息不泄露，同時又能最大程度地減少經(jīng)濟統(tǒng)計信息的損失。實驗結(jié)果表明，該模型對于大數(shù)據(jù)集的隱私具有較好的保護，丟失的重要信息少，能夠滿足經(jīng)濟統(tǒng)計信息發(fā)布的需要。

[關(guān)鍵詞] 統(tǒng)計數(shù)據(jù)； 隱私保護； 敏感信息； 序列表

[中圖分類號] C816； F222； TP311 [文獻標識碼] A [文章編號] 1673 - 0194（2013）03- 0078- 03

1 引 言

21世紀以來，隨著信息技術(shù)的進步和互聯(lián)網(wǎng)的廣泛應(yīng)用，信息共享已成為人們?nèi)粘９ぷ鳌⑸詈蛯W(xué)習(xí)中的普遍行為。政府部門、社會團體和個人的統(tǒng)計信息大量涌現(xiàn)，信息數(shù)據(jù)收集的種類和數(shù)量呈指數(shù)級增長。與此同時，國家和有關(guān)部門制定了有關(guān)信息安全的法規(guī)及相關(guān)制度，輿論媒體對統(tǒng)計數(shù)據(jù)的關(guān)注度和要求也越來越高，但有關(guān)國民經(jīng)濟的各種統(tǒng)計數(shù)據(jù)因存在虛假和泄露隱私受到質(zhì)疑的情況卻時有發(fā)生。大量的隱私數(shù)據(jù)發(fā)布和共享已經(jīng)對隱私和信息安全構(gòu)成威脅，隱私數(shù)據(jù)的泄露已成為急待解決的問題[1]。如何保證隱私數(shù)據(jù)在發(fā)布或使用時不被對應(yīng)到特定人和特定部門已成為一個研究熱點。

統(tǒng)計信息通過分析統(tǒng)計數(shù)據(jù)得到，統(tǒng)計數(shù)據(jù)按屬性可分為4類：① 能直接識別個體身份信息的顯式標志符（EID），如身份證號、姓名、社會保險代碼等；② 有助識別個體信息身份的準標志符（QID），如一些組合屬性；③ 敏感屬性（SA），即隱私信息；④ 非敏感屬性（NSA），即非上述3類的其他屬性。本文所述的隱私保護主要是指對統(tǒng)計數(shù)據(jù)中個人敏感信息的安全保護，是防止不法分子對個人敏感信息非法竊取的私有信息保護[2]。隱私攻擊者除了能訪問發(fā)布的統(tǒng)計數(shù)據(jù)表外，還可能通過文獻資料、技術(shù)文檔等獲得發(fā)布的統(tǒng)計數(shù)據(jù)表中所采用的隱私模型和實現(xiàn)算法等。我們假定攻擊者可能獲得的數(shù)據(jù)信息統(tǒng)稱為背景知識。通常攻擊者都是從背景知識中獲得目標對象的QID屬性（如出生日期、性別、出生地、郵政編碼等）。

用戶對經(jīng)濟統(tǒng)計數(shù)據(jù)的第一要求是查詢結(jié)果必須準確。從這個前提出發(fā)，本文提出一種基于交互的序列表發(fā)布模型，它能保證敏感信息不泄露，同時又能最大程度地減少統(tǒng)計數(shù)據(jù)的信息損失，提高統(tǒng)計數(shù)據(jù)的效用。實驗結(jié)果表明，該模型對于大數(shù)據(jù)集的隱私能很好地進行保護，而且丟失的重要信息少，能夠滿足統(tǒng)計數(shù)據(jù)發(fā)布的需要。

2 隱私保護模型

為了解決隱私保護問題，國內(nèi)外研究者提出了很多方法，這些方法主要有：① 匿名保護。為了保護個人信息，在數(shù)據(jù)發(fā)布時，對能夠直接標識個人身份的標識符進行刪除或加密。② 擾亂、隨機化數(shù)據(jù)技術(shù)。通過對數(shù)據(jù)的隨機化處理，增加數(shù)據(jù)“噪聲”，使得數(shù)據(jù)不再反映真實的世界，從而無法被濫用而侵犯個人隱私。當然，關(guān)鍵的技術(shù)是要從處理后的數(shù)據(jù)中獲得有效的分析結(jié)果。③ 分布式的隱私保護技術(shù)。雙方或多方進行數(shù)據(jù)分析挖掘時，由于某種原因，參與者不愿將數(shù)據(jù)與他人共享而只愿共享數(shù)據(jù)分析挖掘結(jié)果。這需要運用密碼學(xué)技術(shù)來解決實際的隱私問題。如安全兩方或多方計算問題等。④ k-匿名技術(shù)。它要求在公布后的數(shù)據(jù)中保留一定數(shù)量的個體特征，從而防止匿名處理后的數(shù)據(jù)被鏈接攻擊，造成個人隱私泄露。

研究者們根據(jù)隱私保護方法建立了很多隱私信息保護發(fā)布模型，如k-匿名模型[3]、L-多樣性模型[4]、t-closness框架[5]和個性化匿名模型[6]等。這些隱私保護模型都是針對可能存在隱私泄露建立的。

3 基于統(tǒng)計應(yīng)用的交互序列發(fā)布模型及算法

3.1 序列發(fā)布模型

隱私保護模型實際是利用好的數(shù)據(jù)發(fā)布方法來保護隱私，使用最多的算法是泛化或有損連接（降低QID和SA兩者之間的聯(lián)系）[7]。在一些統(tǒng)計分析中，需要進行聯(lián)合查詢，用戶對統(tǒng)計數(shù)據(jù)進行查詢最重要的要求是查詢結(jié)果準確，這樣發(fā)布的數(shù)據(jù)才有較高的應(yīng)用價值。而匿名化技術(shù)將發(fā)布的數(shù)據(jù)表中涉及個體的標志屬性刪除了，因此降低了QID屬性和SA之間的聯(lián)系，無法得到用戶關(guān)心的準確查詢結(jié)果。在對應(yīng)用查詢的實際需求和大量實際數(shù)據(jù)集的QID屬性的統(tǒng)計中發(fā)現(xiàn)，應(yīng)用查詢中所涉及的QID屬性數(shù)目一般只有3個左右，而原始數(shù)據(jù)集中一般都存在大量滿足匿名要求的數(shù)據(jù)記錄，且所占比例跟QID的數(shù)目存在密切的關(guān)系。例如一個人口統(tǒng)計的實際數(shù)據(jù)集共有14 種屬性，記錄約4萬條，其中QID的全部組合數(shù)目為9。在k-匿名模型中，當k = 20，QID數(shù)目為3時，其平均滿足k-匿名的記錄比例可高達85%，而QID數(shù)目為全部組合時滿足k-匿名的記錄比例只有5%左右；當k = 2，QID數(shù)目為全部組合時，滿足k-匿名的記錄比例只有40%左右。由此可見，如果將所有的QID屬性捆綁在一起進行匿名，必然會導(dǎo)致大量記錄的QID屬性和SA被割斷。

本文提出一種基于用戶應(yīng)用查詢的序列發(fā)布模型，將滿足k-匿名的記錄按照QID數(shù)目由高到低分成一組序列表進行發(fā)布。首先發(fā)布屬性包含了全部QID組合和SA的記錄，然后將QID數(shù)減少一個，發(fā)布屬性包含QID組合和SA的剩余記錄。如此類推，直到最后QID的數(shù)目減少為3，再將這些剩余記錄按照屬性為3個QID和SA泛化發(fā)布，從而提高泛化表的查準率。