政策
1.一种方法，其中基于计算机的系统处理敏感数据集并公布导出数据集，以使得隐私在所述导出数据集中得以保持，其中所述系统：
(a)生成一组规则，所述规则定义待应用于敏感或个人数据对象的隐私保护；
(b)使如隐私官等用户能够定义政策，所述政策是应用于一个或多个数据对象的一个或多个特定规则；
(c)使用户能够然后选择应用于特定数据对象的政策；以及
(d)执行所述政策并且将所述政策应用于特定数据对象。
2.如权利要求1所述的方法，所述方法在可缩放分布式系统中实现。
3.如权利要求1或2所述的方法，其中经由中央管理系统来定义政策。
4.如前述权利要求中任一项所述的方法，其中规则能够跨越不同政策再使用。
5.如前述权利要求中任一项所述的方法，其中每个规则囊括将对所述敏感数据集的一个或多个输入数据列执行的单个操作。
6.如前述权利要求中任一项所述的方法，其中一些规则是编写或掩盖下层输入值的“掩蔽”规则。
7.如前述权利要求中任一项所述的方法，其中一些规则是用代替实际数据值的生成令牌来替换所述下层输入值的“令牌化”规则。
8.如前述权利要求中任一项所述的方法，其中一些规则是降低所述下层输入值的精度的“一般化”规则。
9.如前述权利要求中任一项所述的方法，其中一些规则支持将数字水印包括在所述匿名数据中的“加水印”。
10.如前述权利要求9所述的方法，其中编码到所述匿名数据中的所述数字水印是数字或ID的已知概率分布。
11.如前述权利要求中任一项所述的方法，其中根据不同用例或用途的要求来选择不同政策。
12.如前述权利要求中任一项所述的方法，其中数据对象是具有多个行和列的表格。
13.如前述权利要求中任一项所述的方法，其中政策包括作用于或应用于表格中的一或多列的一个或多个特定规则。
14.如前述权利要求中任一项所述的方法，其中所述系统存储许多政策和/或概要的配置。
15.如前述权利要求14所述的方法，其中所述配置包括：如所述用户的角色等用户信息、每个数据对象的概要以及关于由所述用户创建的每个政策的信息。
16.如前述权利要求14或15所述的方法，其中所述系统存储审计日志，所述审计日志包括由用户创建的每个配置对象和所述配置的任何变化或更新。
17.如前述权利要求中任一项所述的方法，其中将政策设计成捕捉标准化格式的法规和/或道德隐私控制。
18.如前述权利要求中任一项所述的方法，其中所述系统支持具有针对同一概要的不同使用的多个政策。
19.如前述权利要求中任一项所述的方法，其中可通过使用兼容性政策来匿名化或以其他方式隐私保护符合给定概要的任何数据对象。
20.如前述权利要求18或19所述的方法，其中多个政策可变换同一概要以允许针对可能需要不同匿名化处理的不同下游顾客对输出进行自定义。
21.如前述权利要求中任一项所述的方法，其中政策是坚持充当与之兼容的用于数据处理的标准的配置对象。
22.如前述权利要求中任一项所述的方法，其中政策囊括对多个数据对象的处理随时间的再现性。
23.如前述权利要求中任一项所述的方法，其中政策可再使用以给予不同用例之间的一致性。
24.如前述权利要求中任一项所述的方法，其中不同的政策再使用相同规则中的一些规则以给予不同但相关的用例之间的一致性。
25.如前述权利要求中任一项所述的方法，其中政策提供单个的管理、查阅以及报告点。
26.如前述权利要求中任一项所述的方法，其中以集中方式来描述、管理以及创建政策，以经由单个用户友好界面为组织的隐私官提供以下各项中的一个或多个：哪些数据受保护和所用的方法的单独概述；添加新数据源的能力；将已经在组织中标准化的保护措施应用于多个数据源的能力；以集中式方式管理对整体配置的访问控制的能力；以一致的方式再使用现有令牌，以允许新数据结合或附加到已经处理过的数据的能力，包括如夜间数据加载等重复分批过程。
27.如前述权利要求中任一项所述的方法，其中所述系统在处理数据对象时将规则应用于列的每个值以实现政策。
28.如前述权利要求中任一项所述的方法，其中所述系统存储与关于以下各项的信息相关的元数据：已经运行的任务、经过处理的行的数目、应用于每列的所述规则以及所述列如何被扰动。
29.如前述权利要求中任一项所述的方法，其中任务涉及政策、环境以及与政策的概要兼容的数据对象。
30.如前述权利要求中任一项所述的方法，其中任务能够自动地运行或在计划时间运行。
31.如前述权利要求中任一项所述的方法，其中任务可运行一次以上，例如当更新政策时和/或当更新数据对象时。
32.如前述权利要求中任一项所述的方法，其中可通过用户界面来监控任务的进度。
33.如前述权利要求中任一项所述的方法，其中对于静止文件，所述系统将分布式计算过程提交到分布式存储或计算环境或群集计算框架，例如Apache Spark，因而利用所述环境或群集的并行处理能力以将规则应用于分布在极大输入数据上的列。
34.如前述权利要求中任一项所述的方法，其中对于流源，所述系统使用适当消息管道中的变换代理，以在消息的分量经由所述管道处理时对所述分量进行由政策的规则描述的所述变换
35.如前述权利要求中任一项所述的方法，其中由所述系统应用的隐私保护可一致，以使得每当在处理给定原始输入值时，应用给定政策始终产生相同的输出令牌，即使是在后续再运行中或在处理不同的数据对象时。
36.如前述权利要求中任一项所述的方法，其中由所述系统应用的隐私保护可不一致，以使得每当在处理给定原始输入值时，应用给定政策可以产生不同的输出令牌，即使是在后续再运行中或当处理相同对象时。
37.如前述权利要求中任一项所述的方法，其中规则被存储在一个或多个规则库中并且从所述一个或多个规则库共享。
38.如前述权利要求中任一项所述的方法，其中在定义新策略时，所述系统通过给可疑的所述数据源加上从外部元数据存储器获得的总结信息注释来帮助所述隐私官确定哪些规则将应用于数据对象，所述总结信息包括以下各项中的一个或多个：数据类型、数据分类、数据是否为识别的、数据是否为准识别的、敏感度、可见性/准许的受众、风险/暴露估计值、数据有效期以及访问控制要求。
39.如前述权利要求中任一项所述的方法，其中所述系统将针对不同类型的配置活动的访问许可分离成确定每个用户可以执行的动作的角色。
40.如前述权利要求中任一项所述的方法，其中所述角色及其相关联责任是以下各项中的一个或多个：(i)管理员；用于配置系统设置以及创建并编辑概要；(ii)作者，用于创建并编辑政策和任务；(iii)操作员，用于执行任务；(iv)调查者，用于执行反向令牌查找；(v)系统用户，用于经由API调用来调用任务和其他操作。
41.如前述权利要求中任一项所述的方法，其中在泄密的情况下，以及对于其他调查，所述系统通过允许识别用于生成特定输出数据对象的所述政策来支持所述过程，所述识别通过保持对所述政策的配置对象作出的改变的日志实现，使得当调查者需要确定哪个政策在文件产生时起作用时，可恢复相关的任务和政策。
42.如前述权利要求中任一项所述的方法，其中所述系统从分类系统获得规范，并且使用那个规范来选择适用的政策或规则。
43.如前述权利要求中任一项所述的方法，其中视定义数据敏感性或隐私的不同阶层的外部分类而定，将政策应用于数据对象。
44.如前述权利要求中任一项所述的方法，其中所述系统从所述数据对象提取元数据，并且
(a)接受数据对象作为输入；
(b)从元数据存储器查找所述数据对象元数据，并且所述系统传回所述数据对象的描述，所述描述包括每列的性质，例如数据类型、敏感性和/或受众；
(c)转而使用所述传回的描述来寻找用于每列的兼容规则；
(d)将所述兼容规则传回到所述用户，所述用户可反过来检验、选择或编辑所述兼容规则，或根据不同用例或用途的所述要求来定义新规则。
45.如前述权利要求中任一项所述的方法，其中所述系统对表格数据集进行操作，包括具有每行的变量数目或一些行的一些列的遗漏值的表格数据集。
46.如前述权利要求中任一项所述的方法，其中所述系统对保持空白和/或遗漏值的表格数据集进行操作。
47.如前述权利要求中任一项所述的方法，其中所述系统与分布式存储与计算环境整合。
48.如前述权利要求中任一项所述的方法，其中所述系统被安装在“边缘节点”上，所述边缘节点意味着不是群集节点中的一个，但是和所述群集在同一网络上并且可通过网络界面与所述群集互动的主机。
49.如前述权利要求中任一项所述的方法，其中将概要模型化为一组已命名表格，每个已命名表格由值的一组命名列组成
50.如前述权利要求中任一项所述的方法，其中数据集支持以下数据类型中的一个或多个：字符串、数值数据、日期或如阵列或地图等复杂结构。
51.如前述权利要求中任一项所述的方法，其中所述系统将如阵列或地图等所述复杂结构转换成一组普通列。
52.如前述权利要求51所述的方法，其中在地图情况下，所述系统根据可能密钥来创建一列。
53.如前述权利要求51所述的方法，其中在阵列情况下，所述系统根据所述阵列中的索引来创建一列。
54.一种云计算构架，所述云计算构架实现上文定义的计算机实现的方法。
令牌化
55.一种方法，其中基于计算机的系统实现针对包括分离节点的分布式存储与计算环境或群集中的大数据集的一致令牌化，其中一致令牌化包括令牌生成阶段和模糊化阶段，并且其中令牌生成为每个相异输入值创建唯一令牌，所述方法包括以下步骤：
(a)生成用代替实际数据值的生成令牌替换所述下层输入值的一组“令牌化”规则；
(b)使得如隐私官等用户能够定义政策，所述政策包括应用于一个或多个数据列的一个或多个特定令牌化规则；
(c)使得用户能够接着选择应用于特定数据对象的政策；以及
(d)对特定的数据对象执行所述策略。
56.如前述权利要求55所述的方法，其中输入文件和令牌保险库均被拆分到多个节点上；所述方法因而包括以下令牌生成步骤：
(i)节点废弃先前已被令牌化的任何重复输入值；然后
(ii)在每个节点处，生成随机令牌并将其指派给每个未废弃的输入值；
(iii)在每个节点处，将所述输入值和保险库值映射“反转”并且围绕所述群集混洗所述映射以根据令牌对所述映射分组；
(iv)在每个节点处，对于具有映射到令牌的单个输入值的每个令牌，这次配对结束并且被留存到令牌保险库中；
(v)检查所有所述节点，并且对于具有映射到令牌的多于一个输入值的每个令牌，然后为赢家指派那些输入值中的一个，所述令牌与所述赢家的配对被留存到所述令牌保险库，并且对未被指派令牌的所述输入值重复步骤(ii)到(vi)，直到每个相异输入值被指派唯一令牌。
57.一种方法，其中基于计算机的系统实现针对分布式存储与计算环境或群集中的大数据集的一致令牌化，其中令牌保险库被用于用包括分离节点的群集中的令牌替换输入值；其中一致令牌化包括令牌生成阶段和模糊化阶段，所述方法包括以下模糊化步骤：
(i)每个节点确定存在于输入文件的节点部分上的相异值的集合；
(ii)每个节点从每个相异值创建由所述值和节点ID组成的对；
(iii)混洗来自步骤(ii)的(值，id)对和来自所述令牌保险库的(值，令牌)对，使得具有相同值的元素驻存在同一节点上；
(iv)每个节点通过附加根据所述组的(值，令牌)对中的所述值所映射到的所述令牌而从每个(值，id)对创建(值，id，令牌)元组，从而产生一组(值，id，令牌)元组；
(v)将每个(值，id，令牌)元组混洗到对应于元组的id值的节点；
(vi)每个节点使用其具有的所述(值，id，令牌)元组以处理原始文件并用令牌替换值。
58.如前述权利要求57所述的方法，所述方法将与权利要求55或56中所定义的令牌化方法组合。
59.如前述权利要求55到58中任一项所述的方法，其中跨越不同数据集一致性地应用令牌化。
60.如前述权利要求55到59中任一项所述的方法，所述方法可缩放并且在可缩放分布式系统中实现。
61.如前述权利要求55到60中任一项所述的方法，其中每个相异的下层输入值映射到仅一个唯一的生成令牌。
62.如前述权利要求55到61中任一项所述的方法，其中所述数据集过大而不能将所述输入的全部内容或所述保险库或映射表的全部内容保持在单个主机上的存储器中，因此需要分布式存储与计算环境
63.如前述权利要求55到62中任一项所述的方法，其中令牌保险库存储定义待应用于敏感或个人数据列的所述隐私保护的规则的数据。
64.如前述权利要求55到63中任一项所述的方法，其中最终用户定义策略，所述策略是应用于一个或多个数据对象的一个或多个特定规则。
65.如前述权利要求55到64中任一项所述的方法，其中令牌化包括添加数字水印到所述被令牌化的列值。
66.一种实现针对包括分离节点的分布式存储与计算环境或群集中的大数据集的一致令牌化的方法，其中令牌化用生成的令牌替换下层输入值，并且输入文件和令牌保险库均被拆分到多个节点上；
所述方法包括以下步骤：(i)使用将从给定输入值衍生的值作为种子的伪随机数生成器(PRNG)生成用于所述输入值的所述令牌。
67.如前述权利要求66所述的方法，其中每个相异的下层输入值映射到仅一个唯一的生成令牌。
68.如前述权利要求66所述的方法，其中所述随机数生成器通过以下操作将从所述输入值导出的值作为种子：(i)使用例如来自所述顾客的KMS的密钥对所述输入值加密；(ii)将所得密文分解成多个N字节块并将所述块一起进行XOR，从而产生被用作所述PRNG的所述种子的最终N字节块，其中N是播种所述PRNG所需的字节的数目；(iii)使用所述规则的所述标识符(例如，通过将所述标识符与自身连接，直到所述标识符达到合适大小)导出用于加密密码的初始化向量，使得出现在不同规则中的相同输入值将产生不同种子。
69.如前述权利要求66到68所述的方法，其中除所述保险库外，还维持单独的“碰撞”映射。
70.如前述权利要求69所述的方法，其中如果两个不同输入生成导致产生相同令牌的种子，则将所述两个不同输入中的一个添加到所述碰撞映射并使用非种子PRNG为所述输入指派非导出值。
71.如前述权利要求70所述的方法，其中这个碰撞映射被完整地发送到每个节点。
72.如前述权利要求71所述的方法，其中每个节点在为输入请求令牌时咨询这个映射：
如果所述输入出现在所述映射中，则传回来自所述映射的所述令牌；否则，使用所述密文种子化的PRNG来导出令牌。
73.如前述权利要求69所述的方法，其中所述整个碰撞映射在所述模糊化过程期间被发送到每个节点，并且每个节点可独立地处理其数据，不需要围绕所述群集混洗数据。
74.如前述权利要求66到73所述的方法，其中所述PRNG用于创建随机令牌的随机化算法中，所述随机化算法例如从预定义列表选择随机元素的过程。
75.如前述权利要求66到74所述的方法，其中令牌化包括添加数字水印到所述被令牌化的列。
76.如前述权利要求66到75所述的方法，所述方法可缩放并且在可缩放分布式系统中实现。
一般化
77.一种方法，其中基于计算机的系统处理敏感数据集并公布导出数据集，以使得通过将数据值一般化到较笼统值，隐私在所述导出数据集中得以保持，所述一般化通过变换数据表中的列来实现，以使得所述导出数据集达到所需阶层的k匿名和l多样性；
(a)其中所述系统接受关于哪些列要一般化(“准识别列”)的配置信息，并且(b)其中选择所述配置信息以根据不同用例或用途的所述要求来最佳化所述导出数据集的实用性。
78.如前述权利要求77所述的方法，其中用户确定的配置信息定义用于一个或多个准识别列的所述经一般化的参数。
79.如前述权利要求78所述的方法，其中所述用户确定的配置信息定义用于一个或多个准识别列的分辨率或精度或失真。
80.如前述权利要求77到79所述的方法，其中被最佳化或最大化的所述“实用性”涉及所述数据中保持了多少有价值的关系，或所述准标识符与兴趣变量之间的关系保持的程度。
81.如前述权利要求80所述的方法，其中所述系统测量或计算所述敏感数据集与所述导出数据集之间的所述失真。
82.如前述权利要求77到81所述的方法，所述方法可缩放并且在可缩放分布式系统中实现。
83.如前述权利要求77到82所述的方法，其中所述用户手动地一般化一或多个准识别列。
84.如前述权利要求77到83所述的方法，其中所述系统使用全局记录，使得变换跨越所述表格中的行一致。
85.如前述权利要求77到84所述的方法，其中所述用户定义导致特定的k和/或l多样性的所述配置。
86.如前述权利要求77到85所述的方法，其中所述用户手动地定义k匿名和l多样性的所需阶层。
87.如前述权利要求77到86所述的方法，其中通过抑制在经过手动一般化之后未实现所述用户定义的k匿名和l多样性的所述群集来实现k匿名和l多样性。
88.如前述权利要求77到82所述的方法，其中所述系统实现自动化一般化，执行“自上而下”专用化以实现可调谐以控制每个准标识符的所述失真的k和l。
89.如前述权利要求77到88所述的方法，其中所述系统接受针对每个表格的“k”和针对每个敏感列的“l”的用户确定值
90.如前述权利要求77到89所述的方法，其中一般化的所述过程规定所述导出数据集中的一个或多个准识别列的固定、最大或最小分辨率。
91.如前述权利要求77到90所述的方法，其中所述配置信息包括一或多列的优先次序。
92.如前述权利要求77到91所述的方法，其中所述系统选择准标识符列的一般化的阶层，以使得与所述优先列具有强关系的所述准标识符列被一般化地较少。
93.如权利要求77到92所述的方法，其中，对于数值列，所述用户可配置所述系统应尝试实现的分辨率，或输入所述系统稍后在其一般化时使用的任意数值区间。
94.如前述权利要求77到93所述的方法，其中对于日期列，所述系统可将默认或自定义的日期层次一般化为数值，或应用所述默认或自定义的日期层次。
95.如前述权利要求77到93所述的方法，其中对于类别列，所述用户定义用于所述类别列的层次，并且通过按所述用户定义的层次组织所述值来进行所述一般化；并且所述列可以通过在所述用户定义的层次中上升而变得更一般化。
96.如前述权利要求77到95所述的方法，其中所述系统自动地一般化所述敏感数据集中的所述数据的一些或全部，使得所述导出数据集实现所述所需层次的k匿名和/或l多样性，并且其中所述系统使用“自上而下”过程，其中每个准识别属性在被完全一般化后开始，然后被反复地专用化。
97.如前述权利要求77到96所述的方法，其中所述系统使用局部和非全局记录，使得所述变换不需要跨越所述表格中的行一致。
98.如前述权利要求77到97所述的方法，其中所述系统使用“自上而下”过程实现针对如Apache Spark等分布式存储与计算环境或群集计算框架中的大数据集的一般化，在所述“自上而下”过程中，每个准识别属性在被完全一般化后开始，然后被反复地专用化；并且其中所述系统构造树型数据结构，其中所述树中的每个节点含有(1)一组数据集行和(2)所述准标识符列中的每一个的值。
99.如前述权利要求98所述的方法，其中使用以下的五步过程：
(1)从含有全部所述数据集行的初始节点开始。在这个节点中，全部所述准标识符具有完全一般化的值。
(2)根据所述准标识符中的每一个将所述节点“拆分”，以产生多组候选子代。
(3)评估子节点的每个候选组以确定：(a)所述子节点是否“有效”，意味着符合所述配置的K和L多样性阈值；和(b)关于所述配置的“兴趣”列的“信息增益”。
(4)选择具有最高信息增益的有效子节点的所述组并将所述有效子节点添加到所述树。
(5)在每个子节点上重复所述过程，直到不可能在不违反k或l的情况下进一步拆分。
100.如前述权利要求77到99所述的方法，其中所述系统使用混合式方法，其中所述用户能够手动地一般化一个或多个准识别列，然后所述系统自动地一般化所述敏感数据集中的所述数据的一些或全部，使得所述导出数据集实现所述所需阶层的k匿名和/或l多样性；
并且其中所述系统使用“自上而下”过程，其中每个准识别属性在被完全一般化后开始，然后被反复地专用化。
101.如前述权利要求100所述的方法，其中手动一般化意味着最终用户手动地一般化准识别列，并且全局地记录变量。
102.如前述权利要求100或101所述的方法，其中自动一般化意味着所述系统自动地一般化准识别列，并且所述系统使用所述自上而下方法和变量的所述局部记录。
103.如前述权利要求77到102所述的方法，其中应用于所述敏感数据集的隐私保护可表示在策略中。
104.如前述权利要求77到103所述的方法，其中对包括分离群集节点的分布式存储与计算环境或群集中的大数据集执行所述方法。
105.一种包括预处理步骤的方法，所述预处理步骤例如通过分析描述领地的地图的shapefile来分析地图，并且产生平面图，在所述平面图中，节点是位置领地并且在所述领地邻接的情况下，节点之间存在边缘；
其中所述系统查找所述平面图中的具有小于k个记录的节点，并且将那些节点中的每一个与相邻节点中的一个合并，然后重复这个过程，直到所有节点满足k匿名。
106.如前述权利要求105所述的方法，其中合并可以通过以下非排他性列表的方法中的一个或多个方法进行：与人口最多的相邻节点合并、与人口最少的相邻节点合并、与具有最长共同边界的相邻节点合并、与将产生具有最小面积的组合对的相邻节点合并，与相邻节点合并，以使得所述组合对具有最小直径，或与最符合这些因素的加权组合的相邻节点合并。
107.如前述权利要求77到106所述的方法，其中所述系统利于对自上而下专用化的细粒度控制以实现k和l，包括用于每个准标识符列的可配置策略，以便使数据失真减到最少。
可提供此数据失真的量化和可视化。
108.一种方法，其中基于计算机的系统处理敏感数据集并公布导出数据集，以使得通过将数据值一般化到较笼统值，隐私在所述导出数据集中得以保持，所述一般化通过变换数据表中的列来实现，以使得所述导出数据集达到所需阶层的k匿名和l多样性；
其中(a)所述系统接受关于哪些列要一般化(“准识别列”)和关于每个准识别列的相关联配置参数的用户确定的配置信息，其中所述配置参数包括所需分辨率、零的精度或失真、所述导出数据集中的一个多个准识别列；并且
(b)所述系统使用“自上而下”过程，其中每个准识别属性在被完全一般化后开始，然后被反复地专用化。
109.如前述权利要求108所述的方法，其中所述所需分辨率是以下各项中的一个：固定分辨率、最大分辨率或最小分辨率。
110.如前述权利要求108到109所述的方法，其中所述系统优先处理使与用户确定的“兴趣列”具有强关系的准识别列的所述数据失真减到最小。
111.如前述权利要求108到110所述的方法，其中所述方法可缩放并且在可缩放分布式系统中实现。
112.如前述权利要求108到111所述的方法，其中所述系统自动地一般化所述敏感数据集中的所述数据的一些或全部，使得所述导出数据集实现所述所需阶层的k匿名和/或l多样性，并且其中所述系统使用“自上而下”过程，其中每个准识别属性在被完全一般化后开始，然后被反复地专用化。
113.如前述权利要求108到112所述的方法，其中所述系统使用“自上而下”过程实现针对如Apache Spark等分布式存储与计算环境或群集计算框架中的大数据集的一般化，在所述“自上而下”过程中，每个准识别属性在被完全一般化后开始，然后被反复地专用化；并且其中所述系统构造树型数据结构，其中所述树中的每个节点含有(1)一组数据集行和(2)所述准标识符列中的每一个的值。
114.如前述权利要求113所述的方法，其中使用如下的五步过程：
(1)从含有全部所述数据集行的初始节点开始。在这个节点中，全部所述准标识符具有完全一般化的值。
(2)根据所述准标识符中的每一个将所述节点“拆分”，以产生多组候选子代。
(3)评估子节点的每个候选组以确定：(a)所述子节点是否“有效”，意味着符合所述配置的K和L多样性阈值；和(b)关于所述配置的“兴趣”列的“信息增益”。
(4)选择具有最高信息增益的有效子节点的所述组并将所述有效子节点添加到所述树。
(5)在每个子节点上重复所述过程，直到不可能在不违反k或l的情况下进一步拆分。
115.如前述权利要求77到114所述的方法，其中自上而下专用化实现局部记录而不是全局记录以给出细粒度一般化，使得变换不需要跨越所述表格中的行一致，尽管所述变换可跨越所述表格中的行一致。
116.如前述权利要求77到115所述的方法，其中所述系统通过关于l多样性检查子节点的每个可能组来保证l多样性，并且在拆分可导致非l多样性节点的情况下不进行所述拆分。
117.如前述权利要求77到116所述的方法，其中所述系统分析接下来专用化(或“拆分”)哪个准标识符以作为所述一般化过程的部分，并且使得所述用户能够选择数值中点拆分策略或数值中值拆分策略。
118.如前述权利要求77到117所述的方法，其中所述系统提供类别列一般化，具有树中的一般字符串或正则表达式的直接匹配，并且所述系统根据相关项的树型结构层次进行一般化，其中通过使用直接匹配或正则表达式，所述层次中的叶节点部分地匹配列中的文本，即在所述叶节点使用压缩表示的情况下。
119.如前述权利要求77到118所述的方法，其中所述系统提供“全能性”替换，其中预处理步骤检查列中的每个值是否匹配所述层次中的叶节点，并且如果未发现匹配，则用“全能性”值替换所述值。
120.如前述权利要求77到119所述的方法，其中所述系统如下所述地处置导出列：用户确定列是从另一列导出，或预处理步骤检查一列是否从另一列导出(例如出生日期和年龄)，如果是，则仅一列被一般化，而另一列将从所述经一般化的列重新计算。
121.如权利要求77到120所述的方法，其中所述系统突出显示异常值记录，然后询问用户其是否想要抑制这些记录。
122.如前述权利要求77到121所述的方法，其中所述系统通过优先抑制所述准标识符的单变量或结合分布中的异常值而将一般化与异常值记录的抑制组合以作为在使失真减到最小的同时实现k的手段，所述异常值的分辨率保持具有最高优先级，这样导致更好的最终分辨率。
123.如权利要求122所述的方法，其中所述系统优先抑制是所述准标识符中的异常值的行，所述异常值的分辨率保持具有最高优先级，这样导致更好的最终分辨率。
124.如权利要求123所述的方法，其中所述异常值在所述准标识符的所述单变量和/或结合分布中。
125.如前述权利要求77到124所述的方法，其中所述系统提供可视化和失真测量。
126.如权利要求125所述的方法，其中所述系统显示已应用的所述一般化规则和每列的所得数据失真。
127.如前述权利要求125到126所述的方法，其中所述系统提供用于评估由所述匿名化引起的改变的工具，其中经一般化的列的直方图上面覆盖了表示初始列的直方图。
128.如前述权利要求77到127所述的方法，其中所述系统输出图形地表示群集的大小和计数群集大小泡式图，其中每个点对应于根据其准标识符值分组的记录的群集，并且所述点的面积与所述群集的大小成比例。
129.一种方法，其中基于计算机的系统处理敏感数据集并公布导出数据集，以使得通过将数据值一般化到较笼统值，隐私在所述导出数据集中得以保持，所述一般化使用“自上而下”过程，其中每个准识别属性在被完全一般化后开始，然后被反复地专用化；
并且其中所述系统接受定义与准识别列的关系应保持的任何“兴趣列”的用户确定的配置信息，并且所述系统接受类别或数值数据的零、一个或多个兴趣列的定义。
130.如前述权利要求129所述的方法，其中所述系统如下所述地处置数值兴趣列：如果所选择的优先列是数值的，则将所述值自动地存储到离散范围或直条中，并且所述信息增益计算是基于所得的类别。数值包括日期或经过时间。
131.如前述权利要求129到130所述的方法，其中所述系统如下所述地处置包括数值列与类别列的组合的几个兴趣列：如果几列被所述用户标记为引起兴趣的，则所述系统将连接每行的所有那些列的值，并且将所得值视为这个记录的兴趣值。
132.如前述权利要求129到131所述的方法，其中所述系统如下所述地处置“无”兴趣列：如果所述用户未选择兴趣列，则所述系统使拆分在所述准识别列当中均匀地交替，并且对于每一轮拆分，选择不同列进行拆分。
133.如前述权利要求129到131所述的方法，其中所述系统如下所述地处置“无”兴趣列：在每一轮拆分中，所述系统随机地选择准标识符列进行拆分。
134.一种方法，其中基于计算机的系统处理敏感数据集并公布导出数据集，以使得通过将数据值一般化到较笼统值，隐私在所述导出数据集中得以保持，所述一般化使用“自上而下”过程，其中每个准识别属性在被完全一般化后开始，然后被反复地专用化；
其中所述系统使得所述导出数据集能够实现所需阶层的k匿名和l多样性。
135.如权利要求134所述的方法，其中所述系统使用“自上而下”过程实现针对如Apache Spark等分布式存储与计算环境或群集计算框架中的大数据集的一般化，在所述“自上而下”过程中，每个准识别属性在被完全一般化后开始，然后被反复地专用化；并且其中所述系统构造树型数据结构，其中所述树中的每个节点含有(1)一组数据集行和(2)所述准标识符列中的每一个的值；
136.如权利要求135所述的方法，其中使用如下的五步过程：
(1)从含有全部所述数据集行的初始节点开始。在这个节点中，全部所述准标识符具有完全一般化的值。
(2)根据所述准标识符中的每一个将所述节点“拆分”，以产生多组候选子代。
(3)评估子节点的每个候选组以确定：(a)所述子节点是否“有效”，意味着符合所述配置的K和L多样性阈值；和(b)关于所述配置的“兴趣”列的“信息增益”。
(4)选择具有最高信息增益的有效子节点的所述组并将所述有效子节点添加到所述树。
(5)在每个子节点上重复所述过程，直到不可能在不违反k或l的情况下进一步拆分。
137.如前述权利要求88到136所述的方法，其中所述系统通过提供子节点的部分重组以允许再拆分来改进实用性。
138.如权利要求137所述的方法，其中将子节点部分地重组，然后进一步拆分以实现进一步专用化；并且将无效的子代类别与其他无效类别并在必要时与有效类别组合以便形成有效类别；并且这些组合类别与父类别被指派相同值，因而不能被进一步拆分；进一步拆分同胞节点，从而实现进一步专用化；并且当执行此重组时，所述类别在层次类别的情况下首先最小地组合并且在数值类别的情况下与邻近类别组合(以便形成连续区间)。
139.如前述权利要求77到136所述的方法，其中所述系统提供“先行信息增益”能力。
140.如权利要求139所述的方法，其中，当所述系统分析接下来专用化(或“拆分”)哪个准标识符以作为所述一般化过程的部分时，所述系统通过提前候选拆分的多个(例如两个或三个或更多)阶段来计算所述信息增益，以拣取与这些多个阶段中的最高信息增益相关联的下一次候选拆分。
141.如前述权利要求77到140所述的方法，其中所述系统提供最小化NULL的影响(所述项包括遗漏值/空白)。
142.如权利要求141所述的方法，其中连续列中的NULL被特别地处置如下：在每个节点处，所述系统标注所述节点是否含有NULL并将此维持在被称作N的变量中；如果所述节点中有多于k个NULL，则所述节点将所述NULL拆分成一个子节点而将非NULL拆分成另一子节点，分别标记N＝真和N＝假；并且如果存在少于k个NULL，则正常地拆分所述非NULL而将所述NULL与所述子代中的一个合并，并且这个子节点被标记N＝真而其余部分被标记N＝假；然后针对进一步拆分重复所述过程，以确保仅一个最终节点拥有可以是NULL的值。
143.一种方法，其中基于计算机的系统处理敏感数据集并公布导出数据集，以使得通过将数据值一般化到较笼统值，隐私在所述导出数据集中得以保持；
其中所述系统使得所述导出数据集能够实现所需阶层的k匿名和l多样性；
并且被配置成防止披露非类别数据类型的敏感属性。
144.如权利要求143所述的方法，其中一般化使用“自上而下”过程，其中每个准识别属性在被完全一般化后开始，然后被反复地专用化。
145.如前述权利要求77到144所述的方法，其中所述系统允许防御数值变量的敏感属性披露。
146.如权利要求145所述的方法，其中通过以下方法中的一个来保护敏感连续变量免于敏感属性披露：
·使所述变量离散成多个直条，并且需要l多样性，就好象所述变量是类别变量；
·需要每个匿名集合中的敏感列中的最小范围；
·按升序对所述值排序并计算百分位数，然后需要一个百分位数(例如百分之二十)处的值与另一百分位数(例如百分之八十)处的值之间的最小差；
·需要每个匿名集合中的最小值的反累积分布函数(CDF)与最大值的反CDF之间的最小差；或
·所述以上要求的组合。
147.如前述权利要求145到146所述的方法，其中数值变量包括日期和时间以及经过时间。
148.如前述权利要求77到147所述的方法，其中所述系统通过取得位置或兴趣点的用户提供列表来防御位置一般化中的敏感属性披露，并且确保每个经一般化的位置区域至少含有最小数目个位置或兴趣点。
149.一种方法，其中可缩放的以分布式计算机为基础的系统处理敏感数据集并公布导出数据集，以使得通过将数据值一般化到较笼统值，隐私在所述导出数据集中得以保持，所述一般化使用“自上而下”过程，其中每个准识别属性在被完全一般化后开始，然后被反复地专用化；
其中所述系统使得所述导出数据集能够实现所需阶层的k匿名和l多样性；
并且其中所述系统构造树型数据结构，使得拆分在分布式环境中发生，然后在局部继续。
150.如权利要求149所述的方法，其中所述系统使用“自上而下”过程实现针对如Apache Spark等分布式存储与计算环境或群集计算框架中的大数据集的一般化，在所述“自上而下”过程中，每个准识别属性在被完全一般化后开始，然后被反复地专用化；并且其中所述系统构造树型数据结构，其中所述树中的每个节点含有(1)一组数据集行和(2)所述准标识符列中的每一个的值。
151.如权利要求150所述的方法，其中使用如下的五步过程：
(1)从含有全部所述数据集行的初始节点开始。在这个节点中，全部所述准标识符具有完全一般化的值。
(2)根据所述准标识符中的每一个将所述节点“拆分”，以产生多组候选子代。
(3)评估子节点的每个候选组以确定：(a)所述子节点是否“有效”，意味着符合所述配置的K和L多样性阈值；和(b)关于所述配置的“兴趣”列的“信息增益”。
(4)选择具有最高信息增益的有效子节点的所述组并将所述有效子节点添加到所述树。
(5)在每个子节点上重复所述过程，直到不可能在不违反k或l的情况下进一步拆分。
152.如权利要求149到151所述的方法，所述方法在可缩放分布式系统中实现。
153.如前述权利要求77到152所述的方法，其中所述系统在某个点之后提供从分布式计算模型移位到局部计算模型；并且在工作负载适合某个存储器大小时到达所述点。
154.如权利要求153所述的方法，其中所述系统执行节点的分布式拆分，直到所述系统计算叶节点的数据可适合单个过程的存储器，并且在那个点处，所述系统停止拆分所述节点并继续拆分仍然过大的那些节点，直到所述系统到达所述叶节点中的每一个可适合单个过程的存储器的点。
155.如权利要求154所述的方法，其中当到达所述叶节点中的每一个可适合单个过程的存储器的所述点时，所述树中的每个叶节点被指派ID，并且将所述数据集重新分割成和叶节点一样多的分区，从而基于含有分区的所述叶节点的所述ID而将多行指派给所述分区；并且在重新分割之后，将每个节点的数据移到其自身的分区，使得所述系统接着“局部地”运行相同的自上而下专用化，即，所述自上而下过程可局部地对所述机器中的一个上的数据继续进行，其中所述分区的所有数据被保持在局部存储器中。
156.如前述权利要求77到155所述的方法，其中所述系统提供子采样以改进性能：如果所述数据集不适合群集存储器，则所述系统取得不适合群集存储器的所述数据的的子样本并且使用所述子样本计算到所述“重新分割点”的所述拆分。
157.如前述权利要求77到156所述的方法，其中所述系统提供自上而下专用化以实现局部记录而不是全局记录；这支持并行处理，因为所述专用化使对节点之间的协调的需要减少，并且使得所述变换不需要跨越所述表格中的行一致。
158.如前述权利要求77到157所述的方法，其中所述系统支持动态拆分，或将连续变量拆分成动态数目个子区间，其中所述用户配置子代的最大数目M，并且所述系统使用q-准识别属性的数目和k-k匿名参数自动地计算子代的数目。
159.如前述权利要求77到158所述的方法，其中所述系统提供限定执行时间或提前停止，从而使得所述用户能够提前停止所述专用化算法并输出更隐私但具有较低分辨率的数据。
160.如权利要求159所述的方法，其中所述系统报告通过所述算法达到的当前专用化下的当前平均群集大小。
161.一种方法，其中基于计算机的系统处理流数据敏感数据集并公布导出数据集，以使得通过将数据值一般化到较笼统值，隐私在所述导出数据集中得以保持；
其中所述系统允许所述导出数据集实现所需阶层的k匿名。
162.如权利要求161所述的方法，其中所述流数据是以下各项中的一种：微批次数据或事件流数据。
163.如权利要求161到162所述的方法，其中所述系统最佳化“等待时间-实用性”，其控制其控制程序在公布记录之前要等待的时间。
164.如权利要求163所述的方法，其中所述系统关于等待时间，即在所述记录被匿名化之前要等待多久，和最小失真最佳化。
165.如权利要求164所述的方法，其中在必须将每个数据之一般化时还不知道所有数据值的情况下，所述系统保证流数据上的k匿名和l多样性，并且所述系统支持可配置“等待时间-实用性”参数，所述参数控制程序在公布记录之前要等待的时间。
166.如权利要求165所述的方法，其中所述过程如下：
(a)在所保持的所述记录当中找出形成最佳或近似最佳群集的k-1个其他记录，其中“最佳”被定义为最低总失真，并且通过尝试所有组合来识别所述最佳群集，或可经由算法来识别所述近似最佳群集，所述算法进行如下：从大小为1的由时间用尽的记录组成的群集开始；将记录添加到所述群集，从而产生具有最小总失真的群集；继续这样添加记录，直到达到大小为k的群集；
(b)然后测量记录的这个群集对总体一般化是否有帮助；并且为了此测量，将所述记录中的每一个在新群集中可具有的总失真与在现有群集当中最佳地拆分情况下的总失真进行比较；并且如果所述新群集的创建有帮助，则一般化并公布所述k个记录；否则，找出针对时间用尽的所述记录的最佳现有群集，将所述最佳现有群集相应地一般化，然后仅公布这个记录。
原始数据的自动隐私分析和指导性政策设置
167.一种方法，其中基于计算机的系统自动地(i)检测敏感或识别数据；(ii)应用或建议定义将应用于敏感或识别数据的隐私保护的政策规则；并且(iii)匿名化或另外隐私保护敏感或识别数据；
并且其中敏感或个人数据检测的结果影响并改进政策规则和/或匿名化/隐私保护过程的设计或选择；并且政策规则和/或匿名化/隐私保护过程的所述设计或选择影响并改进敏感或个人数据检测的所述结果。
168.如权利要求167所述的方法，其中所述系统用于自动地检测输入数据集的可能敏感、准识别或识别列并且用于配置所述输入数据集的所述匿名化；
其中(a)所述输入数据集的所述可能敏感、准识别或识别列的所述检测在所述输入数据集的所述配置方面和/或在识别要匿名化的新数据集方面给予用户帮助；并且(b)所述用户对所述输入数据集的所述匿名化的所述配置有助于可能敏感、准识别或识别列的所述检测。
169.如前述权利要求167到168所述的方法，其中所述系统基于所述数据和关于所述数据的元数据以及政策管理用户活动和匿名化活动来识别并且分类敏感数据，所述敏感数据包括标识符、准标识符以及敏感值。
170.如前述权利要求167到169所述的方法，其中所述系统通过(i)通过分析数据和应用于所述数据的任何相关元数据而将所述数据分类为敏感、准识别或识别的来自动地处理所述数据；并且(ii)应用定义将应用于所述数据的所述隐私保护的政策规则；并且(iii)对所述数据进行匿名化或隐私保护。
171.如前述权利要求167到170所述的方法，其中所述系统将所述输入数据集的一或多列自动分类为敏感、准识别或识别列。
172.如前述权利要求167到171所述的方法，其中所述用户对所述匿名化的所述配置包括所述用户对规定应用于特定数据对象的所述隐私保护的政策的定义，其中政策是应用于一个或多个数据对象的一个或多个特定规则。
173.如前述权利要求167到172所述的方法，其中所述系统分析所述数据、所述元数据和/或与所述输入数据集相关的所述政策。
174.如前述权利要求173所述的方法，其中所述数据的所述分析是基于：
·列中的数据记录的格式和结构
·所述数据集中的所述数据的分布的特性
·数据出现所在的上下文
·不同数据集之间的关系
175.如前述权利要求167到174所述的方法，其中组织所述数据，以使得所述表格中的行对应于应当受保护免于重新识别的数据主题，并且对于每个表格中的每列，所述系统然后计算由所述列表示的属性是敏感的或直接或间接地含有所述数据主题的识别信息的概率。
176.如前述权利要求167到175所述的方法，其中所述系统维持公共数据集的数据库，然后在类似于一个或多个公共数据集的所述输入数据集中查找列。
177.如前述权利要求167到176所述的方法，其中所述系统从标识符的先前已知源取得值并找出那些源与所述系统为了可能标识符、可能准识别属性或可能的敏感个人信息的所述检测而分析的所述输入数据集之间的相似性，并且向创建政策的用户呈现所述政策。
178.如前述权利要求167到177所述的方法，其中当评估列是否可能是准识别列时，所述系统分析与现有已知的准识别列的相关性。
179.如前述权利要求167到178所述的方法，其中当评估列是否可能是识别列时，所述系统实现以下技术中的一种或多种：测量列的基数；对照与个人标识符相关联的名称的列表分析列名；从标识符的先前已知源取得值并找出那些源与可疑的新数据之间的相似性；
使用表示一般格式的图案的集合以识别标准标识符类型的存在；针对等于标记为识别的其他列中的值的子字符串，扫描非结构化列(例如，日志文件、聊天/电子邮件消息、通话记录或联系人)；并且所述系统将这些度量中的任一者与阈值进行比较，以确定是否通知所述用户所述新列可能是识别列。
180.如前述权利要求167到179所述的方法，其中所述系统访问作为标识符之实例的来源的令牌保险库以允许检测非结构化列中的实例，其中所述令牌保险库持久地存储每个原始输入值与其各自的唯一计算令牌之间的所有映射。
181.如前述权利要求167到180所述的方法，其中所述系统访问作为标识符之实例的来源的令牌保险库，以允许通过计算一列与另一列之间的重叠来检测结构化列中的实例。
182.如前述权利要求167到181所述的方法，其中所述系统使用如卡方统计测试和基于偏差的方法等非监管异常值检测技术来分析数据集，以突出显示异常值记录，然后询问用户其是否想要抑制这些记录。
183.如前述权利要求167到182所述的方法，其中所述系统分析关于所述变量的元数据：所述变量的名称、所述变量的来源、关于所述变量来自文件或来自外部元数据存储器的描述性数据、所述变量的更新日期、应用于所述数据的访问控制。
184.如前述权利要求167到183所述的方法，其中所述系统分析与所述敏感或个人数据相关联的元数据，所述元数据包括以下各项中的一个或多个：名称、其来源、关于所述变量来自文件或来自外部元数据存储器的描述性数据、所述变量的更新日期、应用于所述数据的访问控制。
185.如前述权利要求167到184所述的方法，其中所述系统编译并存储关于表格中的哪些列含有可能标识符、可能准识别属性以及可能的敏感个人信息的元数据。
186.如前述权利要求167到185所述的方法，其中所述系统从管理这个数据的用户行为学习。
187.如前述权利要求167到186所述的方法，其中所述系统分析数据在其他隐私政策中已如何分类和管理。
188.如前述权利要求167到187所述的方法，其中通过隐私政策中的对那个数据的分类，所述系统认为用户已指示的数据集与其他数据的相似性是敏感的。
189.如前述权利要求167到188所述的方法，其中所述系统读取元数据和自匿名化过程生成的数据沿袭信息，以便分辨敏感数据与相同结构的非常现实的匿名数据之间的差异。
190.如前述权利要求167到190所述的方法，其中准标识符已被发现，然后所述系统通过评估所述数据的所述k匿名来评估隐私风险。
191.如前述权利要求167到190所述的方法，其中所述系统通过(i)将数据分类为敏感、准识别或识别的来自动地处理所述数据，然后(ii)通过评估敏感、准识别或识别数据的所述k匿名来判定隐私风险。
192.如前述权利要求167到191所述的方法，其中所述系统评估隐私风险和数据敏感性通过匿名化降低的程度：所述系统自动地匿名化或另外隐私保护数据，然后评估隐私风险通过所述匿名化或隐私保护已经降低的程度。
193.如前述权利要求167到192所述的方法，其中将丰富输入提供到规则引擎或机器学习分类器。
194.如权利要求193所述的方法，其中所述系统使用机器学习方法或规则引擎来构建模型，所述模型可将未知列是敏感或非敏感的评分输出到用户。
195.如权利要求193所述的方法，其中所述系统使用机器学习方法或规则引擎来构建模型，所述模型可将未知列是识别或非识别或准识别或非准识别的评分输出到用户。
196.如权利要求193到195所述的方法，其中以下特征在机器学习过程中使用：可指示敏感度或列中的数据是识别或准识别的任何信息，例如：
·相异值的数目
·数值的均值、中值、众数、最小值、最大值以及方差
·值的类型(十进制、整数、字符串、日期)
·列名
·列名的长度
·列名的n-gram(其中下划线被视为字之间的中断)
·数据集的熵
·元数据
·策略
·任务
·数据沿袭
·结合所有以上各项
·标签
197.一种方法，其中基于计算机的系统自动地(i)检测敏感或个人数据；(ii)应用或建议定义将应用于敏感或个人数据的隐私保护的政策规则；并且(iii)匿名化或另外隐私保护敏感或个人数据；
并且其中所述系统基于所述敏感或个人数据来指导所述政策规则的配置或创建。
198.如权利要求197所述的方法，其中所述系统基于关于数据集得知的敏感度分类来提供默认政策配置，包括建议用于被识别为主标识符、准标识符或敏感字段的字段的适当动作。
199.如权利要求197或198所述的方法，其中所述系统通过考虑用于这个数据和/或用于相似数据的其他政策来通知政策配置。
200.如权利要求197到199所述的方法，其中所述系统在政策冲突的情况下警告所述用户方法的不一致性。
201.如权利要求197到199所述的方法，其中所述系统编译并存储关于表格中的哪些列含有可能标识符、可能准识别属性以及可能的敏感个人信息的元数据，并且向创建政策的用户呈现所述元数据，其中所述政策是定义待应用于敏感或个人数据对象的隐私保护的一个或多个特定规则，并且根据特定用例或用途的要求来选择特定政策。
202.如前述权利要求中任一项所述的方法，其中所述令牌化过程产生结构与初始字段相同的字段，并且所述一般化过程保持所述数据分布，以使得所述匿名数据看上去很像原始敏感数据。
203.一种软件系统，所述软件系统实现上文定义的计算机实现的方法。
204.一种数据集，所述数据集已使用上文定义的计算机实现的方法生成。
205.一种云计算构架，所述云计算构架实现上文定义的计算机实现的方法
PRIVITAR LENS
206.一种由用于查询数据库的隐私保持查询系统实现的方法，在所述查询系统中设置有用于配置所述查询系统的单个接入点，并且其中所述系统的隐私控制由数据持有者从这个单个接入点配置，并且其中所述数据集由数据分析师从这个单个接入点查询。
207.如权利要求206所述的方法，其中所述系统阻止对原始数据集的访问，但允许隐私保持聚集查询和计算，并且使用差分隐私算法来降低或防止敏感信息的识别或披露的风险
208.如权利要求206到207所述的方法，其中所述系统在其运行时可配置。
209.如权利要求206到208所述的方法，其中所述数据持有者具有控制、审计和/或监控所述查询系统的所有活动的能力。
210.如权利要求206到209所述的方法，其中所述数据持有者能够在所述系统在运行时批准或拒绝被分类为恶意的查询。
211.如权利要求206到210所述的方法，其中所述数据持有者的图形用户界面被实现为软件应用程序。
212.如权利要求206到211所述的方法，其中所述数据分析师的图形用户界面被实现为软件应用程序。
213.一种方法，其中隐私保持查询系统接收从现有数据集创建新数据集的查询，并且其中分析师能够查询所述新数据集和所述旧数据集两者。
214.如权利要求213所述的方法，其中所述新数据集的所述创建并不传回任何查询结果而且不暴露任何所述初始数据。
215.如权利要求213到214所述的方法，其中所述新数据集中的输出行值是所述输入行中的一个或多个值的变换、组合或任意函数(即“特征”)，并且所述过程被称作“特征提取”。
216.如权利要求213到215所述的方法，其中所述新数据集是所述初始数据集的扩展(例如以逻辑方式添加新列)并且所述新数据集与所述初始数据集共享所有隐私性质。
217.如权利要求216所述的方法，其中所述隐私性质是以下各项中的一个或多个：总隐私预算、剩余隐私预算、预算速率限制、查询速率限制。
218.如权利要求213到217所述的方法，其中所述数据集含有时间序列数据。
219.如权利要求213到218所述的方法，其中所述特征提取函数以特定个体的每行的列表作为输入，并且输出一行特征。
220.如权利要求219所述的方法，其中存在与所述时间序列数据相关联的定义将应用于添加到关于这个数据的查询的噪声的乘法因子的性质；并且当关于从所述时间序列数据提取的所述特征进行查询时，这个因子不适用。
221.一种由用于查询数据库的隐私保持查询系统实现的方法，其中构造具有用户可配置以匹配初始数据集的性质的虚设数据集，并且其中不同阶层的性质与增加的隐私风险相关联。
222.如权利要求221所述的方法，其中每个阶层释放比先前阶层多的信息片段。
223.如权利要求221或222所述的方法，其中以下各项中的一个或多个适用：
(a)阶层释放一或多列的遗漏值的比例。
(b)阶层释放一或多列的NULL值的比例。
(c)阶层释放一个或多个连续列的范围。
(d)阶层释放一个或多个整数列的范围。
(e)阶层释放一个或多个类别列的常用选项。
(f)阶层释放一个或多个类别列的所有选项。
(g)阶层释放一或多列的单变量分布，其中值计数用来表示类别变量的分布，并且具有特定数目个直条的直方图(可由所述数据持有者配置)用来表示连续变量的分布。
224.如权利要求221到223所述的方法，其中分析混合式连续/类别列，并且将高于可配置阈值的值计数处置为类别的，而将其余值计数处置为连续的。
225.如权利要求221到224所述的方法，其中分析师能够在不使用任何隐私预算的情况下查询所述虚设数据集。
226.如权利要求221到225所述的方法，其中分析师能够查看行。
227.如权利要求221到226所述的方法，其中所述虚设数据集可下载到另一源或系统上。
228.如权利要求206到226所述的方法，其中将恶意查询的基于规则的检测与到查询结果的噪声添加组合。
229.如权利要求228所述的方法，其中在预处理阶段中实现检测。
230.如权利要求228到229所述的方法，其中在检测中自动地通知数据持有者。
231.如权利要求230所述的方法，其中所述数据持有者能够查看所述查询。
232.如权利要求228到231所述的方法，其中所述系统基于隐私配置而将查询分类为恶意的或良性的。
233.如权利要求228到231所述的方法，其中所述系统能够修改恶意查询，以使得所述恶意查询传回隐私保持结果。
234.如权利要求228到233所述的方法，其中所述系统能够运行一个或多个额外查询，以便检测恶意查询。
235.如权利要求228到234所述的方法，其中所述系统传回具有与所述查询和/或所述噪声添加相关的元数据的所述查询结果。
236.一种差分隐私方法，其中由隐私保持查询系统报告的应答在或近似在真应答的百分数或其他测量内；
并且其中，分析师通过规定那个定义的百分比或其他测量来规定所需要的分辨率，所述隐私保持查询系统接着自动地生成所述应答到那个定义的百分比或其他测量。
237.如权利要求236所述的方法，其中所述系统支持将所述所需要的分辨率规定为置信区间或表示为所述真应答的百分数的置信区间。
238.如权利要求237所述的方法，其中如果所需要的置信区间是针对平均查询规定，则所述系统花费一定“隐私预算”来获得待平均的记录的近似计数，并且使用这个计数将置信区间转换到预算并用那个预算来运行所述平均查询。
239.如权利要求236到238所述的方法，所述系统报告所述报告应答在所述定义的百分比或其他测量内的所述百分数机会或其他测量。
240.如权利要求236到239所述的方法，其中所述系统花费一些“隐私预算”以得到所述真应答的近似值，接着使用这个近似值来计算导致所述所需要的分辨率要花费的预算的近似量，并且用那个预算量来重新运行所述查询。
241.如权利要求236到240所述的方法，其中使用拉普拉斯或高斯CDF累积分布函数将置信区间转换到预算。
242.一种由针对平均查询(例如SQL“AVERAGE”查询)的隐私保持查询系统实现的方法，在将噪声添加到查询结果的情况下并且在不知道精确计数的情况下，并且其中计算近似计数，然后使和的噪声分布除以这个计算的近似值以得到所述平均值的噪声分布的近似。
243.如权利要求242所述的方法，其中通过使用隐私预算的量来计算所述近似计数。
244.如权利要求242到243所述的方法，所述方法包括向最终用户显示所述平均值的所述噪声分布的所述近似的步骤。
245.一种由隐私保持查询系统实现的方法，其中数据集列被分类成“公共”或“私有”类别。
246.如权利要求245所述的方法，其中所述数据集列的分类由用户执行。
247.如权利要求245到246所述的方法，其中查询经过预处理以确定所述查询是否仅关心公共列；如果所述查询仅关心被确定为公共的列，则无噪声被添加到查询结果，因而不使用隐私预算并且不应用其他隐私保护。
248.如权利要求245到247所述的方法，其中公共列不含有隐私风险。
249.一种由隐私保持查询系统实现的方法，其中一般化在预处理阶段中在进行中应用于查询。
250.如权利要求249所述的方法，其中所述预处理阶段使用筛选器的组合来更改查询。
251.一种由隐私保持查询系统实现的方法，其中用户界面用图形描绘随时间变化的信息泄露。
252.如权利要求251所述的方法，所述方法以实时方式实现。
253.一种由隐私保持查询系统实现的方法，其中计算如时间序列数据集等数据集中的对应于单个人员的行的最大数目，并且在所应用的乘法因子中使用这个数目以增大添加到所有查询的噪声的度量值。
254.一种由隐私保持查询系统实现的方法，其中数据分析师所拥有的数据是可识别的，并且分析来自分析师的查询以确定所述查询是否仅与所述数据相关；并且如果所述查询仅与所述数据相关，则无隐私保护被应用于所述数据。
255.一种由隐私保持查询系统实现的方法，所述查询系统包括接收统计检验查询并输出与噪声添加组合的统计查询结果，并且其中不传回所述查询结果的计算中的中间值。
256.一种云计算构架，所述云计算构架实现上文在权利要求206到255中定义的隐私保护方法。
257.一种访问云托管资源的方法，所述方法包括实现上文在权利要求206到255中定义的隐私保护方法的步骤。
258.一种软件系统，所述软件系统实现上文在权利要求206到255中定义的隐私保护方法。
259.一种数据集，所述数据集已使用上文在权利要求206到255中定义的计算机实现的隐私保护方法生成。
260.一种云计算构架，所述云计算构架实现上文在权利要求206到255中定义的计算机实现的隐私保护方法。
PRIVITAR SECURELINK
261.一种安全地共享数据集的计算机实现的方法，所述数据集包括与每个个体相关联的信息和初始唯一ID，其中所述数据集来源于几个不同的数据共享者，并且将在隐匿或掩蔽所述初始唯一ID的同时与中心相关方或接受者共享；
其中每个贡献者对所述初始唯一ID加密并将其与相关联于每个个体的所述信息一起发送到中介者相关方；
所述中介者相关方执行确定性地但不可逆地将所述加密的初始唯一ID映射到经加密和掩盖的形式的同态加密操作，并且将那个经加密和掩盖的数据发送到中心或接受者相关方；
所述中心相关方(i)解密从所述中间相关方接收的所述经加密和掩盖的数据以生成一对一映射但不能用于恢复每个初始唯一ID的唯一ID，然后(ii)将来自每个贡献者的关于每个个体的所述信息结合在一起。
262.如权利要求261所述的方法，其中所述初始唯一ID在经加密后绝不会被明确地发送。
263.如权利要求261到262所述的方法，其中所述中介者相关方生成所述密文并将所述密文升到秘密随机数取幂密钥k次幂，以生成所述经加密和掩盖的形式，并且所述中心相关K
方解密这个密文以生成m ，其中m是所述初始唯一ID，并且决策迪菲-赫尔曼假设暗示对所述中心相关方来说，用加密方式难以用mK生成m。
264.如权利要求261到263所述的方法，其中所述中介者相关方利用ElGamal加密在取幂下同态的事实对所述密文进行这个操作。
265.如权利要求261到264所述的方法，其中所述中心相关方生成椭圆曲线参数集并与所有贡献者和所述中介者相关方共享所述椭圆曲线参数集；然后在所述中心相关方和所述中介者相关方处生成私钥与公钥对，并且与每个数据贡献者共享这些公钥；然后每个数据贡献者将每个初始唯一ID m转换成椭圆曲线上的点，并用两种公钥对所述点加密以生成多个点对；然后将这些经加密的点发送到所述中介者相关方以供用其私钥部分解密，并用所述秘密取幂密钥k掩盖。
266.如权利要求261到265所述的方法，其中密钥生成、加密以及解密操作是基于ElGamal加密系统。
267.如权利要求261到266所述的方法，其中所述中心相关方和中介者相关方用其私钥对其公钥签名并与所述贡献者共享这些签名，以证明所述相关方已遵守密钥生成协议。
268.如权利要求261到267所述的方法，其中所述方法消除对共享个体的唯一ID的要求，所述唯一ID还在一些或全部数据贡献者之间共享并且还被所述中心相关方使用。
269.如权利要求261到268所述的方法，其中个体具有多于一个的初始唯一ID，例如地址、电子邮件以及邮政编码。
270.如权利要求261到269所述的方法，其中个体的初始唯一ID被结合在一起。
271.如权利要求261到270所述的方法，其中使用如语音签名、数字化指纹、视网膜扫描或虹膜扫描等生物测定签名作为初始唯一ID。
272.如权利要求261到271所述的方法，其中初始唯一ID是多个标识符的组合，并且所述组合是标识符的唯一组合。
273.如权利要求261到272所述的方法，其中每个贡献者包括与发送到所述中介者的所述信息一起的概要或所述信息的结构描述，并且所述中介者能够使用来自每个贡献者的所述概要以识别所述数据中对应于所述初始唯一ID的列。
274.如权利要求261到273所述的方法，其中从每个贡献者发送到所述中介者的与每个个体相关联的所述信息是加密的。
275.如权利要求261到274所述的方法，其中将初始唯一ID存储在由贡献者保持的所述数据集中的列中。
276.如权利要求261到275所述的方法，其中每个贡献者使用个体的相同唯一ID，或具有共同标识符的多于一个初始唯一ID。
277.如权利要求261到276所述的方法，其中将结合在一起以用于来自每个贡献者的每个个体的所述信息匿名化或一般化到较笼统值以保持隐私，然后公布所述信息。
278.如权利要求261到277所述的方法，其中由基于计算机的系统进行的公开处理敏感数据集并公布导出数据集，以使得通过将数据值一般化到较笼统值，隐私在所述导出数据集中得以保持，所述一般化通过变换数据表中的列来实现。
279.如权利要求261到278所述的方法，其中所述系统使得用户能够(a)定义k匿名和/或l多样性的所述所需阶层，然后所述系统自动地一般化所述敏感数据集中的所述数据的一些或全部，使得所述导出数据集实现所述所需阶层的k匿名和/或l多样性，并且还使得所述用户能够(b)手动地配置如何一般化所述表格中的每列。
280.如权利要求261到279所述的方法，其中然后与所述贡献者中的一个或多个共享回去所述匿名化或一般化形式的数据。
281.如权利要求280所述的方法，其中所述共享回去由用于查询数据库的隐私保持查询系统进行，在所述查询系统中设置有用于配置所述查询系统的单个接入点，并且其中所述系统的隐私控制由数据持有者从这个单个接入点配置，并且其中所述数据集由数据分析师从这个单个接入点查询。
282.如权利要求261到281所述的方法，其中每个贡献者独立于所有其他贡献者并且不与其他贡献者共享个人信息。
283.如权利要求261到282所述的方法，其中每个贡献者是不同的银行或其他金融机构，并且所述数据集包括个人金融信息。
284.如权利要求261到282所述的方法，其中每个贡献者是医疗数据的不同持有者，并且所述数据集包括医疗信息。
285.如权利要求261到282所述的方法，其中每个贡献者是不同的电信服务提供者，并且所述数据集包括呼叫相关信息。
286.如权利要求261到282所述的方法，其中每个贡献者是不同的因特网服务提供者，并且所述数据集包括因特网或网络浏览相关信息。
287.如权利要求261到282所述的方法，其中每个贡献者是不同的社会网络，并且所述数据集包括社会网络相关信息。
288.如权利要求261到282所述的方法，其中每个贡献者保持多个个体的地理定位信息。
289.如权利要求261到282所述的方法，其中每个贡献者保持不同个体的敏感个人信息。
290.如权利要求261到289所述的方法，其中所述中心相关方是政府组织。
291.如权利要求261到290所述的方法，其中在不能够识别任何特定个体的情况下，所述中心相关方数据挖掘多个个体的所述信息。
292.如权利要求261到291所述的方法，其中所述中心相关方承担所述中介者相关方的角色。
293.如权利要求261到292所述的方法，所述方法以聚集形式提供所述数据集的表示，其中所述表示防止任何个体的任何初始唯一ID被重新生成。
294.如权利要求261到282所述的方法，其中所述表示还提供由所述数据集保持的特别关于健康、养老、金融或教育数据的信息的综合视图。
295.如权利要求261到294所述的方法，其中使用权利要求1到205的方法对所述结合数据集进行处理、匿名化或一般化。
296.如权利要求261到295所述的方法，其中使用权利要求206到260的方法使所述结合数据集可供隐私保持分析使用。
297.一种软件系统，所述软件系统实现上文在权利要求1到296中定义的计算机实现的方法。
298.一种数据集，所述数据集已使用上文在权利要求1到296中定义的计算机实现的方法生成。
299.一种云计算构架，所述云计算构架实现如上文在权利要求1到296中定义的的计算机实现的方法。
300.一种访问云托管资源的方法，所述方法包括实现如上文在权利要求1到296中定义的方法的步骤。