基于置换模型的隐私保护数据发布的通用机密性与效用度量

用于隐私保护数据发布的匿名化，亦称统计披露控制（SDC），可在置换模型视角下审视。根据该模型，针对个体数据记录的任意 SDC 方法在功能上等价于一个置换步骤加一个噪声添加步骤，其中所添加的噪声是边缘性的，即不改变秩。在此，我们提出基于置换模型量化 SDC 方法所实现的数据机密性与效用的度量。我们区分两种隐私概念：在我们的工作中，匿名性指涉主体，因而主要针对记录再识别的保护；而机密性指涉对属性值免于属性披露的保护。因此，即便使用了事先确保某一匿名性水平的隐私模型，我们的机密性度量依然有用。效用度量是一种通用度量，可方便地与机密性度量进行权衡，因为它们均界于 0 和 1 之间。作为一个应用，我们比较了若干匿名化方法所实现的效用–机密性权衡，包括隐私模型（k-匿名与 $\epsilon$-差分隐私）以及未使用隐私模型的 SDC 方法（加性噪声、乘性噪声与合成数据）。