EP4078422A1 - Procédé d'anonymisation d'une base de données et produit programme ordinateur associé - Google Patents

Procédé d'anonymisation d'une base de données et produit programme ordinateur associé

Info

Publication number
EP4078422A1
EP4078422A1 EP20824272.7A EP20824272A EP4078422A1 EP 4078422 A1 EP4078422 A1 EP 4078422A1 EP 20824272 A EP20824272 A EP 20824272A EP 4078422 A1 EP4078422 A1 EP 4078422A1
Authority
EP
European Patent Office
Prior art keywords
distribution
anonymized
anonymization
individuals
database
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP20824272.7A
Other languages
German (de)
English (en)
Inventor
Vincent THOUVENOT
Stéphane Lorin
Thibaut DUBOIS
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
HITACHI RAIL GTS FRANCE SAS
Original Assignee
Thales SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Thales SA filed Critical Thales SA
Publication of EP4078422A1 publication Critical patent/EP4078422A1/fr
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G06F21/6254—Protecting personal data, e.g. for financial or medical purposes by anonymising data, e.g. decorrelating personal data from the owner's identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/42—Anonymization, e.g. involving pseudonyms

Definitions

  • TITLE Process for anonymizing a database and associated computer program product
  • the present invention relates to a method of anonymizing a database respecting differential confidentiality assumptions.
  • the present invention also relates to a computer program product comprising software instructions which, when executed by a computer, implement such an anonymization method.
  • the database comprises in particular spatio-temporal data relating to a plurality of individuals.
  • These spatio-temporal data are, for example, ticketing data comprising times and places of validation of users in a transport network, in particular rail.
  • These data are collected, for example, from subscription cards made up of a smart card communicating with a fixed validation terminal, in particular by means of RFID (for “Radio Frequency Identification”) or NFC (for “Radio Frequency Identification”) technologies. 'English Near Field Communication').
  • the subject of the invention is a method for anonymizing a database, the database comprising spatio-temporal data relating to a plurality of individuals, the method comprising at least the following steps: - Aggregation of the data in order to define at least one distribution of presence representative of the number of individuals belonging to a category of interest and present at a place of interest during a given time interval;
  • the anonymization process comprises one or more of the following characteristics, taken in isolation or in any technically possible combination:
  • the method further comprises a step of comparing the presence distribution and the anonymized distribution on the basis of at least one criterion for evaluating the adequacy between the two distributions;
  • the comparison step is carried out on the basis of at least two evaluation criteria including at least one absolute evaluation criterion and at least one relative evaluation criterion;
  • the method further comprises a step of verifying the anonymization of the anonymized function by calculating the probability of being able to isolate an individual from among the plurality of individuals from the anonymized distribution;
  • the method comprises a reiteration of the steps of the method when at least one of the following conditions is met: at least one evaluation criterion is not met and the probability of being able to isolate an individual is greater than a predetermined threshold;
  • the method further comprises a step of providing data relating to the anonymized distribution to the plurality of individuals;
  • the presence distribution projection step is performed by a discrete Fourier transform or by a discrete cosine transform
  • the place of interest is a station of a public transport network
  • the category of interest is the socio-professional group of each individual.
  • Figure 1 is a schematic representation of an electronic assembly suitable for implementing an anonymization process according to the invention.
  • Figure 2 is a flowchart of an anonymization process according to the invention.
  • the electronic assembly 10 comprises at least a database 12, a preprocessing module 14, a processing module 16 and a postprocessing module 18
  • the database 12 is suitable for storing a plurality of data.
  • Each data is spatio-temporal data relating to an individual.
  • a spatio-temporal datum is a datum relating to the geographical position of the individual at a given temporal instant.
  • the database 12 includes, for example, ticketing data comprising times and places of validation of users in a transport network, in particular rail.
  • the database 12 comprises, for example, data comprising times and places of validation of employees or visitors in a building of a company.
  • the database 12 is external to the electronic assembly 10.
  • the preprocessing module 14 is able to receive data from the database 12, to process said data in order to obtain at least one distribution of data, as will be explained subsequently, and to transmit the or each distribution to the processing module 16.
  • the processing module 16 is able to receive the or each distribution from the preprocessing module 14, to process these distributions in order to obtain at least one anonymized distribution, as will also be explained later, and to transmit the or each distribution anonymized to the post-processing module 18.
  • the post-processing module 18 is suitable for receiving the or each anonymized distribution from the processing module 16 and for processing these anonymized distributions as will also be explained below, and for transmitting these data to an external database. 20.
  • the preprocessing module 14, the processing module 16 and the postprocessing module 18 each take the form of an independent computer further comprising at least one processor and one memory.
  • the aforementioned modules are at least partially in the form of programmable logic circuits of FPGA type (standing for “Field-Programmable Gâte Array”) and / or software stored in the memory of the computer and executable. by the processor thereof.
  • the preprocessing module 14, the processing module 16 and the postprocessing module 18 alternatively take the form of a single computer.
  • the database 12 comprises spatio-temporal data relating to a plurality of individuals collected previously, for example in a transport network.
  • the anonymization process comprises an initial step of aggregating 100 data from the database 12.
  • the preprocessing module 14 receives the data from the database 12 and processes them in order to define at least one presence distribution.
  • Distribution is understood to mean a statistical distribution associating a given event with its frequency of occurrence.
  • An example of a distribution gives the number of users who have passed through a certain station every half hour or the number of students who have been in a specific area of the city comprising several stations over a defined time slot.
  • the presence distribution is therefore representative of the number of individuals belonging to a category of interest and present at a place of interest during a given time interval.
  • the category of interest is advantageously the socio-professional group of each individual.
  • the socio-professional group is for example defined by the nomenclature defined in France by the National Institute of Statistics of Economic Studies (INSEE) or in Europe by the European Socioeconomic Classification ("European Socioeconomic Classification" in English) making it possible to classify the different trades. It is thus possible to aggregate individuals by categories such as students, unemployed, managers, workers, etc.
  • the category of interest is, for example, the age of individuals.
  • the category of interest defines whether the individuals using the transport network are locals or tourists.
  • the category of interest defines a geographic area of residence of network users, such as, for example, the department. It is understood that as a variant, no category of interest can be considered, the aggregates then being made over the entire population.
  • the place of interest is advantageously a station of a public transport network.
  • the place of interest is a district of a city with several stations.
  • the place of interest is the front door of a business building.
  • the time interval given is advantageously less than 1 hour, in particular less than 30 minutes, in particular less than 15 minutes in order to obtain sufficiently precise information.
  • the preprocessing module 14 transmits the presence distribution (s) to the processing module 16.
  • the anonymization process comprises a step 110 of projecting the presence distribution in a base of predetermined functions.
  • the processing module 16 determines a decomposition of the presence distribution in said base in order to obtain at least one coefficient in said base.
  • the projection of the presence distribution is performed by a discrete Fourier transform or by a discrete cosine transform.
  • Said coefficients are here equal to the different values of S (k).
  • the anonymization process comprises a step 120 of adding digital noise to the or each a coefficient associated with the presence distribution.
  • digital noise is meant a modification of a coefficient by a small deviation from the initial value of the coefficient.
  • the ratio between the digital noise and the initial value of the coefficient is such that the noisy data respects a differential confidentiality property as defined beforehand by the user.
  • the digital noise advantageously has the form of a Gaussian or Laplacian function.
  • the processing module 16 thus applies a digital noise to the or to each coefficient in order to obtain at least one noisy coefficient.
  • the anonymization method comprises a step of reconstructing 130 an anonymized distribution from the or each noisy coefficient.
  • the processing module 16 applies the inverse function associated with the transformation used to calculate the coefficients.
  • the values of the anonymized distribution are here equal to the different values of s (n).
  • An anonymized distribution is thus obtained, different from the initial presence distribution but where the loss of information between the two distributions is limited.
  • the processing module 6 transmits the anonymized distribution to the post-processing module 18.
  • the anonymization method comprises an optional step 140 of comparing the presence distribution and the anonymized distribution on the basis of at least one criterion for evaluating the 'adequacy between the two distributions.
  • the evaluation criterion is a statistical criterion making it possible to measure the variability of the values between the two distributions.
  • Each evaluation criterion is associated with a predetermined threshold value making it possible to determine whether the two distributions are considered to be in adequacy or not, that is to say if the loss of information between the two distributions is considered acceptable.
  • This evaluation criterion is for example an absolute evaluation criterion measuring an absolute numerical difference between the distributions such as for example the root mean square difference.
  • this evaluation criterion is for example a relative evaluation criterion measuring a deviation relative to the initial value of the data of the initial presence distribution, such as “Mean Average Percentage Error” (MAPE or Absolute Percentage Error). average in French) thresholded.
  • MME Mel Average Percentage Error
  • the post-processing module 18 performs the comparison from at least two evaluation criteria including at least one absolute evaluation criterion and at least one relative evaluation criterion.
  • the method further comprises an optional step 150 of verifying the anonymization of the anonymized function.
  • the post-processing module 18 calculates the probability of being able to isolate an individual among the plurality of individuals from the anonymized distribution.
  • the post-processing module 18 checks whether the evaluation criteria or criteria are met. The post-processing module 18 further checks whether the probability of being able to isolate an individual is greater than a predetermined threshold.
  • the anonymization process then comprises a reiteration 160 of steps 110 to 130 of the process when at least one of the following conditions is met: at least one evaluation criterion is not met; and
  • the probability of being able to isolate an individual is greater than a predetermined threshold.
  • the adding step 120 is performed with less digital noise in order to obtain an anonymized distribution closer to the initial presence distribution.
  • the addition step 120 is performed with greater digital noise in order to obtain an anonymized distribution further from the initial presence distribution and thus to guarantee confidentiality of the individuals. more important.
  • the method comprises an optional step of making available 170 data relating to the anonymized distribution to the plurality of individuals.
  • the post-processing module 18 sends the anonymized distribution to the external database 20.
  • users of the transport network can then have access to various statistics on the use of a station or a train line in order to adapt their journey accordingly.
  • the distribution is anonymized, there is no risk to the confidentiality of the personal data of each individual.
  • the invention makes it possible to obtain more precise anonymous spatio-temporal data distributions.
  • the invention allows by means of the added digital noise to make the distributions anonymous by slightly modifying these distributions while ensuring that the loss of information is acceptable.
  • the invention makes it possible to find a good compromise between minimizing the loss of information and the anonymization of distributions.
  • the invention allows a more relevant and complete use of data from the database, in particular to manage the transport network, while guaranteeing the confidentiality of its individuals.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Medical Informatics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

L'invention concerne un procédé d'anonymisation d'une base de données (12), la base de données (12) comprenant des données spatio-temporelles relatives à une pluralité d'individus, le procédé comprenant au moins les étapes suivantes : - agrégation des données afin de définir au moins une distribution de présence représentative du nombre d'individus appartenant à une catégorie d'intérêt et présents à un endroit d'intérêt pendant un intervalle de temps donné; - projection de la distribution de présence dans une base de fonctions prédéterminées afin d'associer la distribution de présence à au moins un coefficient dans ladite base; - ajout d'un bruit numérique au ou à chaque un coefficient associé à la distribution de présence afin d'obtenir au moins un coefficient bruité; et - reconstruction d'une distribution anonymisée à partir du ou de chaque coefficient bruité.

Description

TITRE : Procédé d’anonymisation d’une base de données et produit programme ordinateur associé
La présente invention concerne un procédé d’anonymisation d’une base de données respectant des hypothèses de confidentialité différentielle.
La présente invention concerne également un produit programme ordinateur comprenant des instructions logicielles qui, lorsqu’elles sont exécutées par un ordinateur, mettent en œuvre un tel procédé d’anonymisation.
La base de données comprend en particulier des données spatio-temporelles relatives à une pluralité d’individus.
Ces données spatio-temporelles sont par exemple des données billettiques comprenant des instants et des lieux de validation d’usagers dans un réseau de transport, notamment ferroviaire. Ces données sont recueillies par exemple à partir des cartes d’abonnements constituées d’une carte à puce communiquant avec une borne de validation fixe, notamment au moyen des technologies RFID (de l’anglais « Radio Frequency Identification ») ou NFC (de l’anglais « Near Field Communication »).
Ces données permettent le suivi des usagers dans le temps et dans l’espace par l’exploitant du réseau ferroviaire afin d’optimiser la circulation des véhicules ferroviaires.
Toutefois, ces données sont des données personnelles des usagers qu’il est nécessaire de protéger. En particulier, il est important qu’il ne soit pas possible d’isoler un individu à partir des données recueillies afin de connaître par exemple ses trajets quotidiens.
A cet effet, il est connu d’agréger ces données agrégées à grande échelle afin d’obtenir une anonymisation de ces données. Par exemple, il ne sera uniquement fourni le nombre de voyageurs quotidien passant par une certaine gare ou une évolution globale de l’affluence sur le réseau de transport complet en fonction de l’heure dans la journée.
Il s’en suit donc une perte importante d’informations dans la base de données et ainsi les utilisations de ces données, par exemple pour l’optimisation du réseau de transport, sont limitées.
Il existe donc un besoin pour un procédé d’anonymisation d’une base de données comprenant des données spatio-temporelles permettant une perte d’informations moindre tout en assurant l’anonymat des individus associés aux données spatio-temporelles.
A cet effet, l’invention a pour objet un procédé d’anonymisation d’une base de données, la base de données comprenant des données spatio-temporelles relatives à une pluralité d’individus, le procédé comprenant au moins les étapes suivantes : - agrégation des données afin de définir au moins une distribution de présence représentative du nombre d’individus appartenant à une catégorie d’intérêt et présents à un endroit d’intérêt pendant un intervalle de temps donné ;
- projection de la distribution de présence dans une base de fonctions prédéterminées afin d’associer la distribution de présence à au moins un coefficient dans ladite base ;
- ajout d’un bruit numérique au ou à chaque un coefficient associé à la distribution de présence afin d’obtenir au moins un coefficient bruité ; et
- reconstruction d’une distribution anonymisée à partir du ou de chaque coefficient bruité.
Suivant d’autres aspects avantageux de l’invention, le procédé d’anonymisation comprend une ou plusieurs des caractéristiques suivantes, prise(s) isolément ou suivant toutes les combinaisons techniquement possibles :
- le procédé comprend en outre une étape de comparaison de la distribution de présence et de la distribution anonymisée à partir d’au moins un critère d’évaluation de l’adéquation entre les deux distributions ;
- l’étape de comparaison est effectuée à partir d’au moins deux critères d’évaluation dont au moins un critère d’évaluation absolu et au moins un critère d’évaluation relatif ;
- le procédé comprend en outre une étape de vérification de l’anonymisation de la fonction anonymisée par calcul de la probabilité de pouvoir isoler un individu parmi la pluralité d’individus à partir de la distribution anonymisée ;
- le procédé comprend une réitération des étapes du procédé lorsqu’au moins l’une des conditions suivantes est respectée : au moins un critère d’évaluation n’est pas respecté et la probabilité de pouvoir isoler un individu est supérieure à un seuil prédéterminé ;
- le procédé comprend en outre une étape de mise à disposition de données relatives à la distribution anonymisée à la pluralité d’individus ;
- l’étape de projection de la distribution de présence est effectuée par une transformation de Fourier discrète ou par une transformée en cosinus discrète ;
- l’endroit d’intérêt est une gare d’un réseau de transport public ; et
- la catégorie d’intérêt est le groupe socioprofessionnel de chaque individu.
L’invention a également pour objet un produit programme d'ordinateur comportant des instructions logicielles qui, lorsqu’elles sont exécutées par un ordinateur, mettent en œuvre un procédé d’anonymisation tel que défini précédemment. Ces caractéristiques et avantages de l’invention apparaîtront à la lecture de la description qui va suivre, donnée uniquement à titre d’exemple non limitatif, et faite en référence aux dessins annexés, sur lesquels :
- [Fig 1] la figure 1 est une représentation schématique d’un ensemble électronique propre à mettre en œuvre un procédé d’anonymisation selon l’invention; et
- [Fig 2] la figure 2 est un organigramme d’un procédé d’anonymisation selon l’invention.
Un ensemble électronique 10 est représenté sur la figure 1. L’ensemble électronique 10 comprend au moins une base de données 12, un module de prétraitement 14, un module de traitement 16 et un module de post-traitement 18
La base de données 12 est propre à stocker une pluralité de données. Chaque donnée est une donnée spatio-temporelle relative à un individu. Une donnée spatio- temporelle est une donnée relative à la position géographique de l’individu à un instant temporel donné.
La base de données 12 comprend par exemple des données billettiques comprenant des instants et des lieux de validation d’usagers dans un réseau de transport, notamment ferroviaire. En variante, la base de données 12 comprend par exemple des données comprenant des instants et des lieux de validations d’employés ou de visiteurs dans un bâtiment d’une entreprise.
En variante, la base de données 12 est extérieure à l’ensemble électronique 10.
Comme visible sur la figure 1 , le module de prétraitement 14 est propre à recevoir des données de la base de données 12, à traiter lesdites données afin d’obtenir au moins une distribution de données, comme cela sera expliqué par la suite, et à transmettre la ou chaque distribution au module de traitement 16.
Le module de traitement 16 est propre à recevoir la ou chaque distribution de la part du module de prétraitement 14, à traiter ces distributions afin d’obtenir au moins une distribution anonymisée, comme cela sera également expliqué par la suite, et à transmettre la ou chaque distribution anonymisée au module de post-traitement 18.
Le module de post-traitement 18 est propre à recevoir la ou chaque distribution anonymisées de la part du module de traitement 16 et à traiter ces distributions anonymisées comme cela sera également expliqué par la suite, et à transmettre ces données à une base de données extérieure 20.
Selon un exemple de réalisation, le module de prétraitement 14, le module de traitement 16 et le module de post-traitement 18 se présentent chacun sous la forme d’un calculateur indépendant comprenant en outre au moins un processeur et une mémoire. En variante ou en complément, les modules précités se présentent au moins partiellement sous la forme de circuits logiques programmables de type FPGA (de l’anglais « Field- Programmable Gâte Array ») et/ou de logiciels stockés dans la mémoire du calculateur et exécutables par le processeur de celui-ci. L’homme du métier comprendra que le module de prétraitement 14, le module de traitement 16 et le module de post-traitement 18 se présentent en variante sous la forme d’un calculateur unique.
Un procédé d’anonymisation sera désormais expliqué en référence à la figure 2 présentant un organigramme de ses étapes.
Initialement, la base de données 12 comprend des données spatio-temporelles relatives à une pluralité d’individus récoltées antérieurement, par exemple dans un réseau de transport.
Le procédé d’anonymisation comprend une étape initiale d’agrégation 100 des données de la base de données 12.
En particulier, le module de prétraitement 14 reçoit les données de la base de données 12 et les traite afin de définir au moins une distribution de présence.
On entend par distribution, une distribution statistique associant un évènement donné à sa fréquence d’apparition. Un exemple de distribution donne le nombre d’usagers ayant transité par une certaine gare toutes les demi-heures ou encore le nombre d’étudiants ayant été dans une zone précise de la ville comprenant plusieurs gares sur une plage horaire définie.
La distribution de présence est donc représentative du nombre d’individus appartenant à une catégorie d’intérêt et présents à un endroit d’intérêt pendant un intervalle de temps donné.
La catégorie d’intérêt est avantageusement le groupe socioprofessionnel de chaque individu. Le groupe socio professionnel est par exemple défini par la nomenclature définie en France par l’Institut National de la Statistique des Etudes Economiques (INSEE) ou en Europe par la Nomenclature Socio-économique Européenne (« European Socioeconomic Classification » en anglais) permettant de classer les différents métiers. Il est ainsi possible d’agréger les individus par catégories telles que étudiants, chômeurs, cadres, ouvriers, etc.
En variante, la catégorie d’intérêt est par exemple l’âge des individus.
En variante encore, la catégorie d’intérêt définit si les individus utilisant le réseau de transport sont des locaux ou des touristes.
En variante encore, la catégorie d’intérêt définit une zone géographique d’habitation des usagers du réseau, tel que par exemple, le département. Il est entendu qu’en variante, aucune catégorie d’intérêt peut être considérée, les agrégats se faisant alors sur l’ensemble de la population.
L’endroit d’intérêt est avantageusement une gare d’un réseau de transport public.
Il est ainsi possible d’agréger le nombre d’individus passant par cette gare pendant un intervalle de temps donné.
En variante, l’endroit d’intérêt est un quartier d’une ville comprenant plusieurs gares.
En variante encore, l’endroit d’intérêt est la porte d’entrée d’un bâtiment d’une entreprise.
L’intervalle de temps donné est avantageusement inférieur à 1 heure, notamment inférieur à 30 minutes, en particulier inférieur à 15 minutes afin d’obtenir des informations suffisamment précises.
A la fin de l’étape d’agrégation 100, le module de prétraitement 14 transmet la ou les distributions de présence au module de traitement 16.
Puis, le procédé d’anonymisation comprend une étape de projection 110 de la distribution de présence dans une base de fonctions prédéterminées.
En particulier, le module de traitement 16 détermine une décomposition de la distribution de présence dans ladite base afin d’obtenir au moins un coefficient dans ladite base.
Avantageusement, la projection de la distribution de présence est effectuée par une transformation de Fourier discrète ou par une transformée en cosinus discrète.
En particulier, de manière connue en soi, pour un signal s de N échantillons, la transformée de Fourier discrète est égale à :
[Math
Lesdits coefficients sont ici égaux aux différentes valeurs de S(k).
Puis, le procédé d’anonymisation comprend une étape d’ajout 120 d’un bruit numérique au ou à chaque un coefficient associé à la distribution de présence.
On entend par bruit numérique une modification d’un coefficient d’un écart faible relativement à la valeur initiale du coefficient. En particulier, le rapport entre le bruit numérique et la valeur initiale du coefficient est tel que les données bruitées respectent une propriété de confidentialité différentielle telle que définie au préalable par l’utilisateur.
Le bruit numérique présente avantageusement la forme d’une fonction gaussienne ou laplacienne.
Le module de traitement 16 applique ainsi un bruit numérique au ou à chaque coefficient afin d’obtenir au moins un coefficient bruité. Puis, le procédé d’anonymisation comprend une étape de reconstruction 130 d’une distribution anonymisée à partir du ou de chaque coefficient bruité.
En particulier, le module de traitement 16 applique la fonction inverse associée à la transformation utilisée pour calculer les coefficients.
En particulier, de manière connue en soi, pour un signal s de N échantillons, la transformée de Fourier discrète inverse est égale à :
[Math
Les valeurs de la distribution anonymisée sont ici égales aux différentes valeurs de s(n).
Il est ainsi obtenu une distribution anonymisée, différente de la distribution de présence initiale mais dont la perte d’information entre les deux distributions est limitée.
A la fin de l’étape de reconstruction 130, le module de traitement 6 transmet la distribution anonymisée au module de post-traitement 18.
Afin de s’assurer que la perte d’information est bien limitée, le procédé d’anonymisation comprend une étape optionnelle de comparaison 140 de la distribution de présence et de la distribution anonymisée à partir d’au moins un critère d’évaluation de l’adéquation entre les deux distributions.
Le critère d’évaluation est un critère statistique permettant de mesurer la variabilité des valeurs entre les deux distributions. Chaque critère d’évaluation est associé à une valeur seuil prédéterminée permettant de déterminer si les deux distributions sont considérées comme étant en adéquation ou non, c’est-à-dire si la perte d’informations entre les deux distributions est considérée comme acceptable.
Ce critère d’évaluation est par exemple un critère d’évaluation absolu mesurant un écart numérique absolu entre les distributions tel que par exemple l’écart moyen quadratique.
En variante, ce critère d’évaluation est par exemple un critère d’évaluation relatif mesurant un écart rapporté à la valeur initiale des données de la distribution de présence initiale, tel que « Mean Average Percentage Error » (MAPE ou Pourcentage d’erreur absolu moyen en français) seuillé.
Dans un mode de réalisation avantageux, le module de post-traitement 18 effectue la comparaison à partir d’au moins deux critères d’évaluation dont au moins un critère d’évaluation absolu et au moins un critère d’évaluation relatif.
Afin de vérifier la confidentialité de la nouvelle distribution anonymisée, le procédé comprend en outre une étape optionnelle de vérification 150 de l’anonymisation de la fonction anonymisée. En particulier, le module de post-traitement 18 calcule la probabilité de pouvoir isoler un individu parmi la pluralité d’individus à partir de la distribution anonymisée.
Ce calcul est réalisé par des méthodes connues en soi notamment issues du domaine de la confidentialité différentielle.
A la suite de l’étape de comparaison 140 et de l’étape de vérification 150, le module de post-traitement 18 vérifie si le ou les critères d’évaluation sont respectés. Le module de post-traitement 18 vérifie en outre si la probabilité de pouvoir isoler un individu est supérieure à un seuil prédéterminé.
Le procédé d’anonymisation comprend alors une réitération 160 des étapes 110 à 130 du procédé lorsqu’au moins l’une des conditions suivantes est respectée : au moins un critère d’évaluation n’est pas respecté ; et
- la probabilité de pouvoir isoler un individu est supérieure à un seuil prédéterminé.
En particulier, si l’un des critères d’évaluation n’est pas respecté, l’étape d’ajout 120 est réalisée avec un bruit numérique moins important afin d’obtenir une distribution anonymisée plus proche de la distribution de présence initiale.
Si la probabilité de pouvoir isoler un individu est trop importante, l’étape d’ajout 120 est réalisée avec un bruit numérique plus important afin d’obtenir une distribution anonymisée plus éloignée de la distribution de présence initiale et ainsi de garantir une confidentialité des individus plus importante.
La ou les réitération(s) des étapes du procédé permettent ainsi de converger vers un compromis entre une perte d’informations limitée et une confidentialité suffisante garantie.
Enfin, le procédé comprend une étape optionnelle de mise à disposition 170 de données relatives à la distribution anonymisée à la pluralité d’individus.
En particulier, le module de post-traitement 18 envoie la distribution anonymisée à la base de données extérieure 20.
A titre d’exemple, les usagers du réseau de transport peuvent alors avoir accès à différentes statistiques sur la fréquentation d’une gare ou d’une ligne de train afin d’adapter leur trajet en fonction. La distribution étant anonymisée, il n’y a pas de risque pour la confidentialité des données personnelles de chaque individu.
On conçoit alors que la présente invention présente un certain nombre d’avantages.
En effet, l’invention permet d’obtenir des distributions de données spatio- temporelles anonymisées plus précises. En particulier, l’invention permet au moyen du bruit numérique ajouté de rendre les distributions anonymes en modifiant légèrement ces distributions tout en s’assurant que la perte d’informations est acceptable.
L’invention permet de trouver un bon compromis entre la minimisation de la perte d’informations et l’anonymisation des distributions.
Ainsi, l’invention permet une exploitation des données de la base de données plus pertinente et complète, notamment pour gérer le réseau de transport, tout en garantissant la confidentialité ses individus.

Claims

REVENDICATIONS
1. Procédé d’anonymisation d’une base de données (12), la base de données (12) comprenant des données spatio-temporelles relatives à une pluralité d’individus, le procédé comprenant au moins les étapes suivantes :
- agrégation (100) des données afin de définir au moins une distribution de présence représentative du nombre d’individus appartenant à une catégorie d’intérêt et présents à un endroit d’intérêt pendant un intervalle de temps donné ;
- projection (110) de la distribution de présence dans une base de fonctions prédéterminées afin d’associer la distribution de présence à au moins un coefficient dans ladite base ;
- ajout (120) d’un bruit numérique au ou à chaque un coefficient associé à la distribution de présence afin d’obtenir au moins un coefficient bruité ; et
- reconstruction (130) d’une distribution anonymisée à partir du ou de chaque coefficient bruité.
2. Procédé d’anonymisation selon la revendication 1 , comprenant en outre une étape de comparaison (140) de la distribution de présence et de la distribution anonymisée à partir d’au moins un critère d’évaluation de l’adéquation entre les deux distributions.
3. Procédé d’anonymisation selon la revendication 2, dans lequel l’étape de comparaison (140) est effectuée à partir d’au moins deux critères d’évaluation dont au moins un critère d’évaluation absolu et au moins un critère d’évaluation relatif.
4. Procédé d’anonymisation selon l’une quelconque des revendications précédentes, comprenant en outre une étape de vérification (150) de l’anonymisation de la fonction anonymisée par calcul de la probabilité de pouvoir isoler un individu parmi la pluralité d’individus à partir de la distribution anonymisée.
5. Procédé d’anonymisation selon les revendications 2 et 4, comprenant une réitération (160) des étapes du procédé lorsqu’au moins l’une des conditions suivantes est respectée : au moins un critère d’évaluation n’est pas respecté ; et - la probabilité de pouvoir isoler un individu est supérieure à un seuil prédéterminé.
6. Procédé d’anonymisation selon l’une quelconque des revendications précédentes, comprenant en outre une étape de mise à disposition (170) de données relatives à la distribution anonymisée à la pluralité d’individus.
7. Procédé d’anonymisation selon l’une quelconque des revendications précédentes, dans lequel l’étape de projection (110) de la distribution de présence est effectuée par une transformation de Fourier discrète ou par une transformée en cosinus discrète.
8. Procédé d’anonymisation selon l’une quelconque des revendications précédentes, dans lequel l’endroit d’intérêt est une gare d’un réseau de transport public.
9. Procédé d’anonymisation selon l’une quelconque des revendications précédentes, dans lequel la catégorie d’intérêt est le groupe socioprofessionnel de chaque individu.
10. Produit programme ordinateur comprenant des instructions logicielles qui, lorsqu’elles sont exécutées par un ordinateur, mettent en œuvre un procédé d’anonymisation selon l’une quelconque des revendications 1 à 9.
EP20824272.7A 2019-12-19 2020-12-17 Procédé d'anonymisation d'une base de données et produit programme ordinateur associé Pending EP4078422A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR1914871A FR3105488B1 (fr) 2019-12-19 2019-12-19 Procede d'anonymisation d'une base de donnees et produit programme ordinateur associe
PCT/EP2020/086673 WO2021122918A1 (fr) 2019-12-19 2020-12-17 Procédé d'anonymisation d'une base de données et produit programme ordinateur associé

Publications (1)

Publication Number Publication Date
EP4078422A1 true EP4078422A1 (fr) 2022-10-26

Family

ID=71452300

Family Applications (1)

Application Number Title Priority Date Filing Date
EP20824272.7A Pending EP4078422A1 (fr) 2019-12-19 2020-12-17 Procédé d'anonymisation d'une base de données et produit programme ordinateur associé

Country Status (4)

Country Link
EP (1) EP4078422A1 (fr)
CN (1) CN114868125A (fr)
FR (1) FR3105488B1 (fr)
WO (1) WO2021122918A1 (fr)

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150033356A1 (en) * 2012-02-17 2015-01-29 Nec Corporation Anonymization device, anonymization method and computer readable medium

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8281121B2 (en) * 2010-05-13 2012-10-02 Microsoft Corporation Private aggregation of distributed time-series data
US20150286827A1 (en) * 2012-12-03 2015-10-08 Nadia Fawaz Method and apparatus for nearly optimal private convolution
CN108763947B (zh) * 2018-01-19 2020-07-07 北京交通大学 时间-空间型的轨迹大数据差分隐私保护方法
US11188678B2 (en) * 2018-05-09 2021-11-30 Fujitsu Limited Detection and prevention of privacy violation due to database release
CN109104696B (zh) * 2018-08-13 2020-10-02 安徽大学 一种基于差分隐私的移动用户的轨迹隐私保护方法及系统

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150033356A1 (en) * 2012-02-17 2015-01-29 Nec Corporation Anonymization device, anonymization method and computer readable medium

Also Published As

Publication number Publication date
CN114868125A (zh) 2022-08-05
FR3105488B1 (fr) 2021-11-26
WO2021122918A1 (fr) 2021-06-24
FR3105488A1 (fr) 2021-06-25

Similar Documents

Publication Publication Date Title
US20250045777A1 (en) Methods and systems for generating address score information
US10530877B2 (en) Method and system for cross channel in-car media consumption measurement and analysis using blockchain
US10621677B2 (en) Method and system for applying dynamic and adaptive testing techniques to a software system to improve selection of predictive models for personalizing user experiences in the software system
US20170178199A1 (en) Method and system for adaptively providing personalized marketing experiences to potential customers and users of a tax return preparation system
CN109614556B (zh) 访问路径预测、信息推送方法及装置
US20150111591A1 (en) Multifactorial optimization system and method
US20110040691A1 (en) System and method for verified presence marketplace
US20170039637A1 (en) Computer-implemented method, a system and computer program products for assessing the credit worthiness of a user
US20130275348A1 (en) System and methods for generating optimal post times for social networking sites
CN111105221A (zh) 用于对等网络上的车辆共享的系统和方法
WO2017116591A1 (fr) Procédé et système d'utilisation de données temporelles et/ou de données filtrées temporellement dans un système logiciel pour optimiser, améliorer et/ou modifier une génération d'expériences utilisateur personnalisées relatives à des utilisateurs d'un système de préparation de déclaration fiscale
CN112163963A (zh) 业务推荐方法、装置、计算机设备和存储介质
Braaksma et al. ``Re-make/Re-model'': Should big data change the modelling paradigm in official statistics?
US20240334159A1 (en) Systems and methods for using spatial and temporal analysis to associate data sources with mobile devices
Haenlein A social network analysis of customer-level revenue distribution
US11030631B1 (en) Method and system for generating user experience analytics models by unbiasing data samples to improve personalization of user experiences in a tax return preparation system
Jaisingh et al. Paving the way for intelligent transport systems (its) privacy implications of vehicle infotainment and telematics systems
US11416944B1 (en) Blockchain-based systems and methods for self-managed peer group insurance
WO2021122918A1 (fr) Procédé d'anonymisation d'une base de données et produit programme ordinateur associé
FR3048101A1 (fr) Procede et dispositif d'evaluation de la robustesse d'une anonymisation d'un jeu de donnees
Magdalena Silaen et al. Exploring the differences in types of commodities and delivery methods among online shoppers during the early stage of the COVID-19 pandemic
EP4118810A1 (fr) Procédé de détection d'un usage frauduleux ou abusif d'un service de téléphonie fourni par un opérateur de téléphonie
Blanchard et al. A highly granular temporary migration dataset derived from mobile phone data in Senegal
CN120821913B (zh) 一种基于云平台的会展商家实时信息推送方法及系统
CN119316473B (zh) 信息推送方法、装置、设备、介质和程序产品

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20220617

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
P01 Opt-out of the competence of the unified patent court (upc) registered

Effective date: 20230524

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20240822

RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: HITACHI RAIL GTS FRANCE SAS