Capítulo 3 — Proposta de contribuição original
Mapa da aula
Aula 03 publicada. Mapa, exemplo, EX015.
flowchart TD
N0["3.1 Hipóteses"]
N1["3.2 A generalização como linha de base"]
N2["3.3 Escolhendo a configuração de base"]
N3["3.4 Os planejadores como juízes da utilidade"]
N4["Laboratório — Generalização e supressão para k = 5"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX015"]
Desenho lógico
flowchart LR
N0["3.1 Hipóteses"]
N1["3.2 A generalização como linha de base"]
N2["3.3 Escolhendo a configuração de base"]
N3["3.4 Os planejadores como juízes da utilidade"]
N4["Laboratório — Generalização e supressão para k = 5"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX015"]
[3.1 Hipóteses]
|
v
[3.2 A generalização como linha de base]
|
v
[3.3 Escolhendo a configuração de base]
|
v
[3.4 Os planejadores como juízes da utilidade]
|
v
[Laboratório — Generalização e supressão para k = 5]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX015]
Objetivos de aprendizagem
Você vai (1) escrever um projeto de doutorado com hipóteses e critérios; (2) generalizar registros até alcançar o k-anonimato; (3) explicar o custo de utilidade da generalização.
3.1 Hipóteses
Ines enuncia duas hipóteses. H1: uma publicação diferencialmente privada de contagens de origem e destino com épsilon igual a um produz um risco de vinculação medido menor do que um arquivo de viagens k-anonimizado com k igual a cinco. H2: os planejadores aceitarão as contagens diferencialmente privadas para decisões de quadro de horários com esse épsilon, o que se define como pelo menos dois de três planejadores avaliando-as como utilizáveis. Cada hipótese tem um critério mensurável e um limiar declarado antes que os dados existam. O Prof. Aaltonen pede que ela justifique os dois limiares por escrito, e ela o faz citando a prática atual de planejamento da autoridade e a tolerância de erro que os planejadores já aceitam nas pesquisas manuais.
3.2 A generalização como linha de base
Para construir uma linha de base justa, Ines precisa produzir um arquivo k-anônimo que um curador de dados competente de fato publicaria. Ela generaliza as zonas em blocos e os anos de nascimento em faixas, e todo passageiro que ainda fique em um grupo menor que cinco é suprimido. O laboratório testa quatro configurações sobre 20.000 passageiros sintéticos. Os valores exatos suprimiriam todos os registros; blocos de duas zonas com faixas de cinco anos ainda suprimem 51,4%; blocos de quatro zonas com faixas de cinco anos suprimem apenas 0,1%; e blocos de oito zonas com faixas de dez anos não suprimem nenhum. Cada passo que elimina a supressão também borra os lugares por onde as pessoas de fato se deslocam.
3.3 Escolhendo a configuração de base
Ines escolhe como linha de base os blocos de quatro zonas com faixas de cinco anos, porque essa configuração suprime apenas 24 de 20.000 passageiros e mantém 1.400 classes. A configuração mais grosseira, de oito zonas, não suprime nada, mas funde bairros distintos que os planejadores precisam distinguir. Ela registra a escolha e o motivo no protocolo, porque uma linha de base fraca faria a privacidade diferencial parecer melhor do que é. Isso segue a recomendação da NIST SP 800-188 de que as escolhas de desidentificação sejam documentadas e justificadas para a publicação pretendida, de modo que os revisores possam verificar se a comparação foi justa.
3.4 Os planejadores como juízes da utilidade
A utilidade costuma ser medida apenas como erro numérico, mas a hipótese H2 de Ines consulta as pessoas que usam os dados. Três planejadores da Valemont receberão o mesmo conjunto de tabelas de viagens, produzidas pelos dois métodos, sem identificação, e avaliarão se poderiam usar cada uma em uma decisão de quadro de horários. Ines também informará o erro absoluto médio, para que os leitores possam comparar seu resultado com outros estudos. Ela explica no projeto que combinar um julgamento humano com uma métrica numérica torna o estudo mais relevante para a decisão real da autoridade sobre que tipo de dado publicar.
Laboratório — Generalização e supressão para k = 5
# Generalise synthetic rider records until every class has k >= 5; report suppression and information loss.
import random
from collections import Counter
r = random.Random(7)
riders = [(r.randrange(40), r.randrange(40), r.randrange(1940, 2008)) for _ in range(20000)]
def gen(x, zw, yw):
return (x[0] // zw, x[1] // zw, x[2] // yw)
for zw, yw in [(1, 1), (2, 5), (4, 5), (8, 10)]:
keys = [gen(x, zw, yw) for x in riders]; c = Counter(keys)
small = sum(1 for k in keys if c[k] < 5)
print(f"zones/{zw:<2d} years/{yw:<2d} classes {len(c):6d} suppressed for k=5 {small:6d} ({small/len(keys):5.1%})")
Execute com python3 lab_kanon.py. Saída verificada:
zones/1 years/1 classes 18228 suppressed for k=5 20000 (100.0%)
zones/2 years/5 classes 5430 suppressed for k=5 10282 (51.4%)
zones/4 years/5 classes 1400 suppressed for k=5 24 ( 0.1%)
zones/8 years/10 classes 175 suppressed for k=5 0 ( 0.0%)
Exemplo resolvido
Ines enuncia H1 e H2 com limiares, generaliza registros sintéticos e escolhe blocos de quatro zonas com faixas de cinco anos como linha de base para k = 5: 1.400 classes e 24 passageiros suprimidos.
Caso sintético. Todos os números vêm da população sintética; a NIST SP 800-188 e Sweeney (2002) são reais.
Erros e limites
Três planejadores formam um painel pequeno; a aceitação é uma medida grosseira. A linha de base é uma escolha razoável entre várias.
Exercícios
- EX015 — Critérios da hipótese. O que torna H2 testável? Rubrica: 3 = um painel definido, uma avaliação definida e um limiar de dois em três fixado de antemão;; 2 = menciona um limiar;; 1 = repete a hipótese;; 0 = nenhuma.
- EX016 — Valores exatos. Por que publicar zonas e anos de nascimento exatos falha totalmente para k = 5? Rubrica: 3 = quase toda combinação é única, então todo registro fica em um grupo menor que cinco;; 2 = diz que muitos são únicos;; 1 = diz que é detalhado demais;; 0 = nenhuma.
- EX017 — Escolha da linha de base. Por que Ines prefere blocos de quatro zonas com faixas de cinco anos a blocos de oito zonas? Rubrica: 3 = suprime apenas 24 passageiros e mantém a geografia mais fina de que os planejadores precisam;; 2 = menciona apenas a supressão;; 1 = escolhe oito zonas;; 0 = nenhuma.
- EX018 — Perigo da linha de base fraca. O que acontece se a linha de base de k-anonimato for mal escolhida? Rubrica: 3 = a comparação favorece a privacidade diferencial e o resultado engana;; 2 = diz que os resultados mudam;; 1 = ignora a justiça da comparação;; 0 = nenhuma.
- EX019 — Avaliação às cegas. Por que as tabelas dos planejadores não têm identificação? Rubrica: 3 = para impedir que expectativas sobre qualquer dos métodos influenciem as avaliações;; 2 = diz que é mais justo;; 1 = omite o motivo;; 0 = nenhuma.
- EX020 — Duas medidas de utilidade. Por que informar tanto a aceitação dos planejadores quanto o erro absoluto médio? Rubrica: 3 = a aceitação mostra a utilidade real; o erro permite comparar com outros estudos;; 2 = cita uma;; 1 = diz que mais dados é melhor;; 0 = nenhuma.
Síntese
O capítulo 3 fixa hipóteses, uma linha de base justa de k-anonimato e um teste de utilidade em duas partes. O capítulo 4 pilota a publicação com privacidade diferencial.
Continue estudando — aula 03 (capítulo 03 de 08)
← Capítulo 02 · Índice das aulas · Capítulo 04 →
Continue para a próxima aula já escrita.