Privacy-Preserving Data Publishing in Process Mining
流程挖掘旨在基于事件数据提供对实际流程的洞察。这些数据通常由信息系统记录，并广泛提供。然而，它们通常包含敏感的私人信息，应该负责任地进行分析。因此，进程挖掘中的隐私问题最近受到了更多的关注。隐私保护技术显然需要修改原始数据，但同时，它们应该保持数据效用。数据的隐私保护转换可能会导致不正确或误导性的分析结果。因此，需要设计新的基础设施来发布隐私感知事件数据，其目的是提供关于事件数据上的隐私相关变换的元数据，而不泄露隐私保护技术或受保护信息的细节。在本文中，我们提供了正式的定义，主要的匿名化操作，在过程挖掘中使用的隐私模型。这些用于创建用于记录隐私元数据的基础设施。我们提倡在实践中提出的隐私元数据的XES标准的隐私扩展和一般的数据结构的事件数据，而不是在标准的事件日志的形式设计。
2021-01-04 cs.CR cs.DB
Preserving Individual Privacy in Serial Data Publishing
虽然以前的隐私保护串行数据发布的工作考虑的情况下，敏感值可能会持续多个数据发布，我们发现，没有以前的工作提供了足够的保护敏感值，可以随时间变化，这应该是更常见的情况。在这项工作中，我们建议研究这种瞬态敏感值的隐私保证，我们称之为全球保证。我们正式定义的问题，实现这一保证，并得出这个问题的一些理论性质。我们发现，在数据匿名化中使用的匿名组的大小是一个关键因素，在保护个人隐私的连续出版物。我们提出了两种策略的匿名化目标在最小化的平均组大小和最大组大小。最后，我们在一个医疗数据集上进行了实验，结果表明，我们的方法是高效的，也产生了非常高实用性的已发布数据。
2009-03-04 cs.CR cs.DB
PRIPEL: Privacy-Preserving Event Log Publishing Including Contextual Information
事件日志根据已执行的活动及其执行上下文捕获业务流程的执行。由于日志包含有关过程中涉及的个人的潜在敏感信息，因此在发布之前应对其进行预处理，以保护个人隐私。然而，用于这种预处理的现有技术仅限于过程的控制流，而忽略了上下文信息，诸如属性值和持续时间。因此，这排除了任何形式的涉及背景因素的过程分析。为了弥合这一差距，我们引入PRIPEL，一个隐私感知事件日志发布框架。与现有的工作相比，PRIPEL采取了一个根本不同的角度，并确保在个别情况下，而不是完整的日志的水平隐私。通过这种方式，上下文信息以及长尾流程行为被保留，这使得能够应用丰富的流程分析技术。我们证明了我们的框架的可行性与现实世界的事件日志的案例研究。
2020-06-23 cs.DB cs.SE
PrivDPR: Synthetic Graph Publishing with Deep PageRank under Differential Privacy
本文提出PrivDPR，一种基于深度PageRank的差分隐私合成图发布方法，通过向特定权重梯度加噪并利用权重归一化缓解高敏感性与隐私预算分割问题，实验证明其在多个图结构属性上保持高效用。
2025-01-04 cs.CR cs.DB
Slicing: A New Approach to Privacy Preserving Data Publishing
已经设计了几种匿名化技术，例如泛化和桶化，用于隐私保护微数据发布。最近的研究表明，泛化丢失了大量的信息，特别是对于高维数据。另一方面，桶化并不阻止成员身份泄露，也不适用于在准识别属性和敏感属性之间没有明确区分的数据。在本文中，我们提出了一种新的技术，称为切片，分区的数据水平和垂直。我们表明，切片保存更好的数据实用性比泛化，可用于成员披露保护。切片的另一个重要优点是它可以处理高维数据。我们展示了如何切片可以用于属性披露保护，并开发了一个有效的算法来计算切片数据，遵守l-多样性的要求。我们的工作负载实验证实，切片保留更好的实用性比泛化，是更有效的比桶化的工作负载涉及敏感属性。我们的实验还表明，切片可以用来防止成员披露。
2009-09-12 cs.CR cs.DB
Privacy Aspects of Provenance Queries
给定一个大数据库的查询结果，why-provenance可以用来计算这个数据库的必要部分，包括所谓的证人。如果该数据库包含个人数据，则隐私保护必须防止公布这些证人。这意味着在发布原始数据（出处）和保护这些数据（隐私）之间存在自然的利益冲突。在本文中，隐私超越了个人数据保护的概念。本文将隐私权的定义扩展为知识产权保护。如果起源信息不足以重建查询结果，则必须发布诸如证人或起源多项式之类的附加数据以保证可追溯性。然而，如果可以从原始数据库中导出（明显）多于所需的元组，则发布此出处信息可能会成为一个问题。在这一点上，已经有可能违反隐私策略，只要准标识符包含在该出处信息中。通过这张海报，我们指出了根本问题，并讨论了解决方案的初步建议。
2021-01-12 cs.DB
Simultaneous Discrimination Prevention and Privacy Protection in Data Publishing and Mining
数据采掘是一种越来越重要的技术，用于提取隐藏在大量数据中的有用知识。然而，社会上对数据采掘也有一些负面的看法，其中包括潜在的隐私侵犯和潜在的歧视。自动化的数据汇集和分类等数据采掘技术为自动化决策铺平了道路，如贷款授予/拒绝，保险费计算。如果训练数据集在性别、种族、宗教等歧视性属性方面存在偏见，那么可能会出现歧视性决策。在本论文的第一部分中，我们解决了歧视预防数据采掘，并提出了新的技术适用于直接或间接的歧视预防单独或同时。我们讨论如何清理训练数据集和外包数据集，以便将直接和/或间接的歧视性决策规则转换为合法（非歧视性）分类规则。在本文的第二部分，我们认为隐私和歧视风险应该一起处理。我们探讨隐私保护数据采掘和歧视预防之间的关系，在数据采掘设计能够同时解决这两个威胁的知识发现过程中的整体方法。作为这项工作的一部分，我们已经调查了第一次的歧视和隐私意识的频繁模式发现的问题，即从交易数据库中挖掘的模式的集合的净化，以这样的方式，既不侵犯隐私，也不歧视推断可以推断出的释放模式。此外，我们调查的歧视和隐私意识的数据发布的问题，即转换的数据，而不是模式，以同时实现隐私保护和歧视预防。
2013-06-28 cs.CR cs.DB
Privacy-Enhanced Database Synthesis for Benchmark Publishing (Technical Report)
本文提出基于和积网络的差分隐私数据库合成框架PrivBench，用于基准发布场景，在保护隐私的同时保持数据分布与查询运行时间的高保真度。
2025-04-10 cs.CR cs.DB
Privacy in Search Logs
搜索引擎公司收集“意图数据库”，即用户搜索查询的历史。这些搜索日志对研究人员来说是一座金矿。然而，搜索引擎公司为了不泄露敏感信息，对发布搜索日志持谨慎态度。在本文中，我们分析算法发布频繁的关键字，查询和点击的搜索日志。我们首先展示了如何实现$k$ -匿名的变体的方法容易受到主动攻击。然后，我们证明了更强的保证$ε$ -差分隐私，不幸的是，不提供任何效用，这个问题。然后，我们提出了一个算法ZEALOUS，并展示了如何设置其参数，以实现$(ε,δ)$ -概率隐私。我们还将我们对ZEALOUS的分析与Korolova等人[17]的分析进行了对比，后者实现了$(ε',δ')$不可解释性。我们的论文的结论是一个大型的实验研究，使用真实的应用程序，我们比较ZEALOUS和以前的工作，实现$k$ -匿名的搜索日志发布。我们的研究结果表明，ZEALOUS产生类似的效用$k-$匿名，而在同一时间实现更强的隐私保障。
2011-05-11 cs.DB cs.IR
Approximate DBSCAN under Differential Privacy
Hong Kong University of Science and Technology（香港科技大学）
本文在差分隐私下重新审视DBSCAN问题，提出基于跨度的DP-DBSCAN定义，设计线性时间算法并实现质量保证，同时验证了算法在合成和真实数据集上的性能。
2025-08-13 cs.CR cs.DB
Transparent Anonymization: Thwarting Adversaries Who Know the Algorithm
已经提出了许多泛化技术用于隐私保护数据发布。然而，大多数现有技术都隐含地假设对手对数据发布者所采用的匿名化算法知之甚少。因此，它们无法防范利用匿名化机制的各种特征的隐私攻击。本文为上述问题提供了一个实用的解决方案。首先，我们提出了一个分析模型，用于评估披露风险，当对手知道一切在匿名化过程中，除了敏感值。基于此模型，我们开发了一个隐私原则，透明的l-多样性，这确保了隐私保护，对这样强大的对手。我们确定了三种算法，实现透明的l-多样性，并通过大量的实验与真实数据验证其有效性和效率。
2010-03-26 cs.DB
Injecting Uncertainty in Graphs for Identity Obfuscation
如今，社交网络应用程序收集的数据为构建新颖的服务创造了迷人的机会，并扩大了我们对社会结构及其动态的理解。不幸的是，由于隐私问题，发布社交网络图表被认为是一种不明智的做法。为了缓解这个问题，已经提出了几种匿名化方法，旨在降低发布数据的隐私泄露风险，同时仍然允许分析它们并得出相关结论。在本文中，我们介绍了一种新的匿名化方法，该方法基于在社交图中注入不确定性并发布由此产生的不确定图。虽然现有的方法通过完全添加或删除边缘来混淆图数据，但我们建议使用更细粒度的扰动来部分添加或删除边缘：这样，我们可以在数据中进行更小的更改，从而保持更高的实用性。我们在真实网络上的实验证实，在相同的身份混淆水平下，我们的方法比现有的发布标准图的随机方法提供了更高的有用性。
2012-08-21 cs.DB
Anonymization with Worst-Case Distribution-Based Background Knowledge
背景知识是隐私保护数据发布中的一个重要因素。基于分布的背景知识是背景知识中研究得最多的一种。然而，据我们所知，有没有现有的工作考虑在最坏的情况下，基于分布的背景知识，我们的意思是，对手有准确的知识，根据一些元组属性的敏感值的分布。考虑这种最坏的情况是必要的，因为我们不能忽视任何违约的可能性。在本文中，我们提出了一个算法，匿名数据集，以保护个人隐私，考虑到这个背景知识。我们证明了我们提出的算法生成的匿名数据集保护个人隐私。我们的实证研究表明，我们的方法保留了较高的效用，同时公布的数据。
2009-09-07 cs.CR cs.DB
Can the Utility of Anonymized Data be used for Privacy Breaches?
基于组的匿名化是隐私保护数据发布中研究最广泛的方法。这包括k-匿名性，l-多样性和t-封闭性，仅举几例。本文的目的是提出一个基本问题，目前的群体为基础的方法的隐私暴露。这一点在过去被忽视了。基于组的匿名化方法基本上将每个单独的记录隐藏在组后面，以保护数据隐私。如果没有适当的匿名化，模式实际上可以从发布的数据中获得，并被对手用来侵犯个人隐私。例如，从发布的医疗记录中，如果可以导出诸如来自某些国家的人很少患有某种疾病的模式，则可以使用该信息来暗示匿名组中的其他人与这种疾病的联系具有更高的可能性。我们把从已发布的数据中得到的模式称为前景知识。这是在对比的背景知识，对手可能会从其他渠道获得的研究在以前的一些工作。最后，我们通过实验表明，攻击是现实的隐私基准数据集下，传统的基于组的匿名化方法。
2009-05-12 cs.DB
Differentially Private Aggregated Mobility Data Publication Using Moving Characteristics
随着智能手机和定位应用的快速发展，位置隐私越来越受到人们的关注。直觉上，人们普遍认为，可以通过发布聚合的移动数据来保护位置隐私，例如某个时间某个区域中的用户数量。然而，最近的一次攻击表明，这些聚合的移动数据可以用来恢复个人轨迹。在本文中，我们首先提出了两个不同的私人基本方案的聚合移动数据发布，即直接扰动和阈值扰动，保护用户的位置隐私，特别是抵抗轨迹恢复攻击。然后，研究了移动用户的移动特性，根据移动用户的移动特性，将两种基本方案结合起来，设计了一种改进方案--静态混合扰动方案。由于静态混合扰动只适用于静态数据，这是完全可用的发布前，我们进一步调整静态混合扰动相结合的线性回归，并产生另一种改进方案称为动态混合扰动。动态混合扰动也适用于动态数据，动态数据在发布期间动态生成。隐私分析表明，所提出的方案实现了差分隐私。在模拟数据集和真实数据集上的大量实验表明，所有提出的方案都能很好地抵抗轨迹恢复攻击，改进方案的性能明显优于基本方案。
2019-08-10 cs.CR cs.DB
DPCube: Differentially Private Histogram Release through Multidimensional Partitioning
差分隐私是在隐私保护数据分析或发布中保护个人隐私的一个强有力的概念。在本文中，我们研究了问题的差异私人直方图释放随机工作负载。我们研究了两种多维划分策略，包括：1）用于释放等宽单元直方图的基于基线单元的划分策略，以及2）用于释放v-最优直方图的基于创新的2阶段kd树的划分策略。我们正式分析的实用程序发布的直方图和量化的错误回答线性查询，如计数查询。我们正式表征的输入数据，这将保证算法的最优性的属性。最后，我们实现和实验评估几个应用程序使用发布的直方图，包括计数查询，分类，并阻止记录链接，并显示我们的方法的好处。
2012-02-24 cs.DB
The Boundary Between Privacy and Utility in Data Anonymization
我们考虑了数据发布中的隐私问题：给定一个包含敏感信息的关系I，将其“匿名化”以获得视图V，使得一方面攻击者无法从V学习任何敏感信息，另一方面合法用户可以使用V来计算I上的有用统计信息。这些是相互冲突的目标。我们使用从文献中现有的隐私定义导出的隐私定义，其将给定元组t的先验概率Pr（t）与后验概率Pr（t）相关联|V），并提出了一个新颖的和相当实用的定义的效用。我们的主要结果如下。表示n为I的大小，m为从中提取I的域的大小（即n < m），则：当先验概率为Pr（t）= Omega（n/sqrt（m））时，对于某个t，不存在有用的匿名化算法，而当Pr（t）= O（n/m）时，对于所有元组t，则我们给出了一个既私密又有用的具体匿名化算法。我们的算法与文献中深入研究的k-匿名化算法有很大的不同，并且是基于对I的随机删除和插入。
2006-12-21 cs.DB
Privacy-Aware Data Cleaning-as-a-Service (Extended Version)
数据清理是企业普遍存在的问题，因为他们试图从数据中获得价值。网络和云计算技术的最新进展推动了称为数据库即服务的新计算范例，其中数据管理任务被外包给大型服务提供商。在本文中，我们考虑一种数据清理即服务模型，该模型允许客户端与托管精选数据和敏感数据的数据清理提供商进行交互。我们介绍PACAS：隐私感知数据清洗即服务模型，其促进具有对数据的客户端查询请求的各方之间的交互，以及使用根据数据敏感度计算价格的数据定价方案的服务提供者。我们提出了新的扩展模型来定义广义的数据修复，混淆敏感数据，允许客户端和服务提供商之间的数据共享。我们提出了一个新的语义距离度量来量化这种修复的效用，我们重新定义了广义值存在下的一致性概念。PACAS模型使用（X，Y，L）-匿名，扩展了现有的数据发布技术，以考虑数据中的语义，同时保护敏感值。我们对真实数据的评估表明，PACAS保障语义相关的敏感值，并提供较低的修复错误相比，现有的隐私意识的清洁技术。
2020-08-02 cs.DB
Privately Answering Queries on Skewed Data via Per Record Differential Privacy
针对偏态数据隐私发布问题，提出每条记录零集中差分隐私（PzCDP）形式化方法及相应机制，通过使隐私损失依赖于记录值，有效克服标准DP在重尾统计发布中的困难。
2024-12-18 cs.CR cs.DB
Privacy-Preserving Mechanisms for Parametric Survival Analysis with Weibull Distribution
生存分析研究了直到感兴趣的事件发生的时间的统计特性。它通常用于研究医学治疗的有效性或人口的寿命。然而，生存分析可能会泄露数据集中个体的机密信息。最先进的技术在发布结果时应用ad-hoc隐私保护机制来保护隐私。这些技术通常发布经过消毒和随机化的答案，这些答案承诺保护数据集中的个人隐私，但没有提供任何正式的隐私保护机制。在本文中，我们提出了私人机制的参数生存分析与威布尔分布。我们证明，我们提出的机制实现了差分隐私，一个强大的和严格的定义的隐私保护。我们的机制利用本地敏感性的属性，精心设计的效用函数，使我们能够发布高精度的威布尔分布的参数。我们的实验研究表明，我们的机制可以发布有用的答案，并在真实数据集上优于其他差异隐私技术。
2017-08-25 cs.CR cs.DB
Improving Suppression to Reduce Disclosure Risk and Enhance Data Utility
在隐私保护数据发布中，已经开发了各种隐私模型，用于在敏感的个人级别数据集上采用匿名化操作，以便发布数据以供公众访问，同时保护数据集中个人的隐私。然而，在保护隐私和数据效用之间总是存在权衡;我们对机密数据集进行的更改越多，以降低披露风险，数据丢失的信息就越多，保留的数据效用就越小。最佳隐私技术是一种能够产生具有最小披露风险和最大数据效用的数据集的技术。在本文中，我们提出了一种改进的抑制方法，它降低了披露风险，提高了数据效用的目标是最高风险的记录，并保持其他记录的完整性。我们已经通过在真实世界的机密数据集上的实验证明了我们方法的有效性。
2019-01-08 cs.CR cs.DB
Group-Based Privacy Preservation Techniques for Process Mining
流程挖掘技术有助于使用事件数据改进流程。这种数据在信息系统中广泛存在。然而，它们通常包含高度敏感信息。例如，保健信息系统记录事件数据，过程挖掘技术可以利用该事件数据来改进治疗过程、减少患者的等待时间、提高资源生产率等。然而，记录的事件数据包括与治疗活动相关的高度敏感信息。负责任的流程挖掘应该提供关于底层流程的见解，但同时，它不应该泄露敏感信息。在本文中，我们讨论了直接应用现有的众所周知的基于组的隐私保护技术的挑战，例如，k-匿名性、l-多样性等。我们提供了正式的攻击模型的定义，并介绍了一个有效的基于组的隐私保护技术的进程挖掘。我们的技术涵盖了流程挖掘的主要视角，包括控制流、时间、案例和组织视角。所提出的技术提供了可解释和可调整的参数来处理不同的隐私方面。我们采用现实生活中的事件数据，并评估数据效用和结果效用，以显示隐私保护技术的有效性。我们还比较了这种方法与其他基于组的隐私保护事件数据发布的方法。
2021-05-25 cs.CR cs.DB
Unique in the Smart Grid -The Privacy Cost of Fine-Grained Electrical Consumption Data
通过智能电表收集电力消耗时间序列随着雄心勃勃的全国智能电网计划而增长。这些数据既高度敏感又非常有价值：关于个人数据的强有力的法律保护它，而关于开放数据的法律旨在在保护隐私的数据发布过程后将其公开。在这项工作中，我们研究了大规模现实生活中的细粒度电力消耗时间序列的独特性，并显示其与隐私威胁的联系。我们的研究结果表明，在这样的数据集的唯一性率高得令人担忧。特别是，我们表明，知道5个连续的电力措施可以重新识别平均超过90%的家庭在我们的250万半小时电力时间序列数据集。此外，即使数据严重退化，唯一性仍然很高。例如，当数据四舍五入到最接近的100瓦时，知道7个连续的电力测量可以重新识别平均超过40%的家庭（相同的数据集）。我们还研究了唯一性与熵、唯一性与耗电量、耗电量与温度之间的关系，表明它们之间有很强的相关性。
2022-11-14 cs.CR cs.DB
Composition Attacks and Auxiliary Information in Data Privacy
隐私是数据发布的一个越来越重要的方面。然而，关于隐私的推理充满了陷阱。其中最重要的是辅助信息（也称为外部知识、背景知识或辅助信息），对手从其他渠道（如网络、公共记录或领域知识）收集这些信息。本文探讨了如何在面对丰富的，现实的辅助信息来源的原因隐私。具体来说，我们调查了当前匿名化方案在保护隐私方面的有效性，当多个组织独立发布重叠人群的匿名数据时。1.我们调查组合攻击，其中对手使用独立的匿名发布违反隐私。我们解释了为什么最近提出的模型有限的辅助信息无法捕捉组合攻击。我们的实验表明，即使是一个简单的组合攻击的实例可以在实践中侵犯隐私，目前提出的技术的一大类。这个类包括k-匿名和几个最近的变体。2.从更积极的方面来看，某些基于随机化的隐私概念（如差分隐私）可证明可以抵抗组合攻击，事实上，可以抵抗任意边信息的使用。这种阻力使匿名方案的独立设计成为可能，而不需要显式地跟踪其他版本。我们给出了这一性质的精确表达式，并证明了一类重要的差分隐私松弛也满足这一性质。这显著地扩大了已知的能够实现模块化设计的协议的类别。
2008-03-31 cs.CR cs.DB
SoK: Chasing Accuracy and Privacy, and Catching Both in Differentially Private Histogram Publication
直方图和合成数据在数据分析中是至关重要的。然而，研究人员已经表明，即使是直方图等聚合数据，不包含明显的敏感属性，也可能导致隐私泄露。为了实现数据分析，需要一个强有力的隐私概念，以避免意外侵犯隐私的风险。这种强烈的隐私概念是差分隐私，这是一种统计隐私概念，使隐私泄露可以量化。关于差分隐私的警告是，虽然它对隐私有很强的保证，但隐私是以准确性为代价的。尽管这种权衡是采用差分隐私的一个核心和重要问题，但在文献中关于提供对权衡的理解以及如何适当地解决它存在差距。通过系统的文献综述（SLR），我们调查的国家的最先进的准确性提高差异隐私算法的直方图和合成数据发布。我们的贡献是双重的：1）我们识别直方图和合成数据的差分隐私领域的贡献中的趋势和联系，以及2）我们通过将不同维度具体化以提高准确性来提供对隐私/准确性权衡挑战的理解。因此，我们将这些想法与彼此和外部工作相关联，并将其定位和可视化，并解构每个算法以分别检查构建块，目的是确定每个技术/方法的准确性改进目标。因此，这种知识的系统化（SoK）提供了对在哪些维度以及如何在不牺牲隐私的情况下追求准确性改进的理解。
2020-09-21 cs.CR cs.DB
Frequency-based Randomization for Guaranteeing Differential Privacy in Spatial Trajectories
随着GPS设备的普及，大量的轨迹数据被不断收集，各种基于位置的服务也被开发出来，极大地造福了我们的日常生活。然而，发布的轨迹也带来了对个人隐私的严重关注，最近的一些研究表明，空间轨迹中存在个人身份信息。由于在隐私保护和效用保存之间进行权衡，轨迹匿名化是不平凡的。此外，恢复攻击还没有得到很好的研究，在目前的文献。为了解决这些问题，我们提出了一个基于频率的随机化模型，具有严格的差分隐私保证轨迹数据发布。特别是，我们引入了两个随机机制，通过注入拉普拉斯噪声来扰动轨迹中重要位置的局部/全局频率分布。我们设计了一个分层索引以及一个新的搜索算法，以支持有效的轨迹修改，确保修改后的轨迹满足扰动分布，而不损害隐私保证或数据效用。在真实轨迹数据集上进行的大量实验验证了该方法在抵抗个体重识别和恢复攻击的同时保持了期望的数据效用以及在实践中的可行性。
2022-07-08 cs.CR cs.DB
Privacy Preserving Social Network Publication Against Mutual Friend Attacks
出于研究目的发布社交网络数据引起了对个人隐私的严重关注。针对不同的攻击模式，有许多隐私保护方案。在本文中，我们介绍了一种新的隐私攻击模型，并称之为一个共同的朋友攻击。在这个模型中，对手可以通过使用他们共同的朋友数量来重新识别一对朋友。为了解决这个问题，我们提出了一个新的匿名概念，称为k-NMF匿名，即，k-匿名的共同朋友的数量，这确保存在至少k-1个其他朋友对在图中共享相同数量的共同朋友。我们设计算法来实现的k-NMF匿名性，同时保持原始的顶点集的意义上，我们允许偶尔添加，但没有删除的顶点。此外，我们给出了一个算法，以确保除了k-NMF匿名的k-度匿名。在真实数据集上的实验结果表明，该方法能够有效地保护社交网络的隐私和实用性，抵御共同好友攻击.
2013-10-11 cs.CR cs.DB cs.SI
