《从试验台到舰船的过渡：美国海军部署 TIPPERS物联网平台的经验研究》

本文描述了九个不同机构与海军信息战中心研究人员之间的合作成果，在美国海军2019年三叉戟勇士演习的背景下，利用物联网（IoT）在海军舰艇上创建基于传感器的态势感知，部署、测试和展示隐私保护技术。在DARPA通过Brandeis项目的资助下，该团队建立了一个综合的物联网数据管理中间件，名为TIPPERS，通过设计支持隐私，并整合了各种隐私增强技术（PET），包括差分隐私、加密数据的计算和细粒度的策略。我们描述了TIPPERS的架构及其在创建智能舰船方面的应用，该舰船提供物联网支持的服务，如占用分析、跌倒检测、检测未经授权进入空间以及其他态势感知场景。我们描述了创建物联网空间的隐私影响，这些空间收集的数据可能包括个人数据（如位置），并分析了在这种情况下支持的PETs的隐私和效用之间的权衡。

TIPPERS物联网平台

TIPPERS是一个用于智能空间的新型传感器数据收集和管理系统，它结合了各种智能空间的应用。TIPPERS架构的一个关键设计特点是，它与空间、传感器和任务无关，允许它作为即插即用的技术来创建智能空间。此外，TIPPERS体现了一种隐私设计的架构，它能够整合不同的隐私增强技术（PET）。特别是，在DARPA Brandeis项目的背景下，各种PET已经被整合，包括安全计算、隐私政策和DP（关于这些PET的更多信息，见附录1（补充材料））。

TIPPERS设计

如图 1 所示，TIPPERS 架构包括几个决策，以支持设计隐私的目标。首先，TIPPERS通过在物联网设备的世界（即传感器、执行器、原始观测值等）和人的世界（即人、空间、现象等的互动）之间进行转换，提供底层传感器基础设施的抽象。该系统基于代表这两个世界的领域模型，使用户/开发者能够与高层次语义的概念进行互动。还包括基于本体的翻译算法，将高级用户请求（例如，"降低入住率大于75%的房间的温度"）转换成具体的底层设备基础设施上的行动。其主要优点是，它简化了智能应用的开发，并促进了它们在不同空间的可移植性，因为它们是建立在高级概念上，而不是建立在物联网设备上。其次，它简化了隐私策略的定义，因为用户可以专注于他们想要保护的东西（例如，"当我在工作时间与约翰在一个私人空间时，不要捕捉我的位置"）。TIPPERS使用这样的隐私策略来指导其数据收集、存储和共享行为。

图1：TIPPERS架构

作为实现这种将原始数据转化为更高层次的语义解释的机制，TIPPERS支持虚拟传感器，其中传感器数据流可用于创建这种推断的数据流。例如，虚拟传感器可以将连接数据（例如，来自WiFi AP的日志，包含关于哪些设备连接到它们的信息）转化为不同空间沿时间的占用情况。这使TIPPERS能够纳入进一步的PETs。例如，传感器数据流在传递给运营商时，可以洗掉个人身份信息（PII）。

最后，TIPPERS架构包含一个调解模块，将传感器数据适当地存储在相应的数据库/存储技术中（例如，允许使用不同的基础数据库系统）。这种调解包括三个部分，涉及TIPPERS模式、数据和查询与数据库系统之间的具体映射任务。这使得TIPPERS可以根据数据的特点、安全要求以及需要在数据上运行的查询类型，将数据存储在不同的系统中。利用这一功能，TIPPERS系统进一步包括安全的数据存储技术，可以维护加密的数据并对这些加密的数据进行计算。

在TIPPERS中集成隐私增强技术（PET）

TIPPERS支持两种方式将PETs整合到传感器数据管理中。首先，TIPPERS支持的虚拟传感器技术可以被利用来修改/扰乱与应用程序共享的传感器数据流。这种修改可以包括洗刷敏感数据（例如，从图像中删除人脸或从传感器数据中删除标识符），添加噪音，取消数据的链接等。使用虚拟传感器的一个很好的例子是整合PGS，使占用的数据流不同程度的私有化。

其次，TIPPERS支持系统和底层存储机制之间的调解。例如，TIPPERS与PULSAR支持的FSS和MPC技术，以及Jana支持的确定性加密、保序加密和基于秘密共享的技术进行调解。这样，TIPPERS可以被配置为在PULSAR中存储低级别的传感器数据（如WiFi连接），这样，插入可以是快速的，聚集（例如，占用水平）可以被快速确定。当政策取决于谁在一个特定的空间或有多少人在里面时，这对实时政策执行至关重要。相比之下，可能需要更复杂操作的数据（例如，结构化查询语言（SQL）连接操作，以结合传感器数据和元数据）可以存储在Jana中，它支持不同的加密技术，支持更完整的复杂SQL操作。

图2说明了TIPPERS中的数据流和在海军驱逐舰中部署的综合PET的样本，附录1（补充材料）对此有更详细的描述。