公有/私有工作流谱系视图的传播模型

我们研究了在包含“公有”和“私有”模块的工作流重复执行并展示谱系信息时，如何隐藏专有或私有模块功能的问题。我们的方法是使用“谱系视图”来在工作流的所有执行中隐藏精心选择的数据子集，以确保 G-隐私：对于每个私有模块和每个输入 x，给定工作流执行中的可见数据，该模块的输出 f(x) 与 G-1 个其他可能值无法区分。我们表明，仅通过组合各个私有模块的解决方案无法实现 G-隐私；数据隐藏还必须通过公有模块进行“传播”。随后，我们考察了必须隐藏多少额外数据以及何时可以安全地停止传播数据隐藏。答案强烈依赖于工作流拓扑以及公有模块对可见数据的行为。特别是，对于一类工作流（包括常见的树形和链式工作流），采用针对每个私有模块的私有解决方案，并辅以“上游 - 下游安全”的“公有闭包”，可确保 G-隐私。我们形式化地定义了这些概念，并证明了这些限制的必要性。我们还研究了最小化隐藏数据量的相关优化问题。