Android Açık Kaynak Projesi'nde (AOSP) uygulanması amaçlanan bu teknik açıklayıcı, Cihaz Üzerinde Kişiselleştirme'nin (ODP) arkasındaki motivasyonu, geliştirilmesine rehberlik eden tasarım ilkelerini, gizlilik yoluyla gizlilik modelini ve doğrulanabilir şekilde gizli bir deneyim sağlamaya nasıl yardımcı olduğunu ele almaktadır.
Bunu, veri erişim modelini basitleştirerek ve güvenlik sınırının dışına çıkan tüm kullanıcı verilerinin (kullanıcı, benimseyen, model_örneği) düzeyinde farklı gizlilik sağlayarak (bu belgede bazen kullanıcı düzeyinde olarak kısaltılır) gerçekleştirmeyi planlıyoruz.
Son kullanıcıların cihazlarından olası son kullanıcı verilerinin çıkışıyla ilgili tüm kodlar açık kaynaklı olacak ve harici kuruluşlar tarafından doğrulanabilecektir. Önerimizin ilk aşamalarında, cihaz üzerinde kişiselleştirme fırsatlarını kolaylaştıran bir platform için ilgi uyandırmayı ve geri bildirim toplamayı amaçlıyoruz. Gizlilik uzmanları, veri analistleri ve güvenlik uygulayıcıları gibi paydaşları bizimle etkileşime geçmeye davet ediyoruz.
Görsel
Cihaz Üzerinde Kişiselleştirme, son kullanıcıların bilgilerini etkileşimde bulunmadıkları işletmelerden korumak için tasarlanmıştır. İşletmeler, son kullanıcılar için ürün ve hizmetlerini özelleştirmeye devam edebilir (örneğin, uygun şekilde anonimleştirilmiş ve farklı gizlilik içeren makine öğrenimi modellerini kullanarak) ancak işletme ile son kullanıcı arasında doğrudan etkileşimler olmadığı sürece son kullanıcı için yapılan özelleştirmeleri tam olarak göremez (bu, yalnızca işletme sahibi tarafından oluşturulan özelleştirme kuralına değil, aynı zamanda bireysel son kullanıcı tercihine de bağlıdır). Bir işletme makine öğrenimi modelleri veya istatistiksel analizler üretiyorsa ODP, uygun diferansiyel gizlilik mekanizmaları kullanılarak bunların düzgün şekilde anonimleştirilmesini sağlamaya çalışır.
Şu anki planımız, aşağıdaki özellikleri ve işlevleri kapsayan ODP'yi birden fazla aşamada incelemektir. Ayrıca, ilgilenen tarafları bu keşfi daha da ileriye taşıyacak ek özellikler veya iş akışları önermeye davet ediyoruz:
- Tüm iş mantığının yer aldığı ve yürütüldüğü, çok sayıda son kullanıcı sinyalinin korumalı alana girmesine izin veren ancak çıkışları sınırlayan bir korumalı alan ortamı.
Aşağıdaki öğeler için uçtan uca şifrelenmiş veri depoları:
- Kullanıcı kontrolleri ve kullanıcıyla ilgili diğer veriler. Bu, son kullanıcı tarafından sağlanan veya işletmeler tarafından toplanıp çıkarılan veriler olabilir. Ayrıca, geçerlilik süresi (TTL) kontrolleri, silme politikaları, gizlilik politikaları ve daha fazlasını da içerebilir.
- İşletme yapılandırmaları. ODP, bu verileri sıkıştırmak veya karartmak için algoritmalar sağlar.
- İşleme sonuçları Bu sonuçlar şunlar olabilir:
- İşlemenin sonraki aşamalarında giriş olarak kullanılır.
- Uygun diferansiyel gizlilik mekanizmalarına göre gürültü eklenir ve uygun uç noktalara yüklenir.
- Uygun merkezi diferansiyel gizlilik mekanizmalarıyla açık kaynaklı iş yüklerini çalıştıran güvenilir yürütme ortamlarına (TEE) güvenilir yükleme akışı kullanılarak yüklenir.
- Son kullanıcılara gösterilir.
API'ler şu amaçlarla tasarlanmıştır:
- 2(a) güncellemesini toplu veya artımlı olarak yapın.
- 2(b) maddesini periyodik olarak, toplu veya artımlı şekilde güncelleyin.
- Güvenilir toplama ortamlarında uygun gürültü mekanizmalarıyla 2(c) yükleyin. Bu tür sonuçlar, sonraki işleme turlarında 2(b) olabilir.
Zaman çizelgesi
Bu, beta sürümünde ODP'nin test edilmesi için geçerli olan kayıt planıdır. Zaman çizelgesinde değişiklik yapılabilir.
| Özellik | 2025'in 1. yarısı | 3. Çeyrek 2025 |
|---|---|---|
| Cihaz Üzerinde Eğitim + Çıkarım | Bu zaman aralığında pilot uygulama için olası seçenekleri görüşmek üzere Özel Korumalı Alan Ekibi ile iletişime geçin. | Uygun Android T+ cihazlarda kullanıma sunulmaya başlandı. |
Tasarım ilkeleri
ODP'nin dengelemeye çalıştığı üç temel unsur vardır: gizlilik, adalet ve fayda.
Gelişmiş gizlilik koruması için katmanlı veri modeli
ODP, Privacy by Design (Tasarımda Gizlilik) ilkesine uyar ve varsayılan olarak son kullanıcı gizliliğinin korunması için tasarlanmıştır.
ODP, kişiselleştirme işlemini son kullanıcının cihazına taşımayı değerlendiriyor. Bu yaklaşım, verileri mümkün olduğunca cihazda tutarak ve yalnızca gerektiğinde cihaz dışında işleyerek gizlilik ile fayda arasında denge kurar. ODP'nin odaklandığı noktalar:
- Son kullanıcı verilerinin cihazdan ayrıldığında bile cihaz kontrolü Hedefler, ODP tarafından yazılmış kodu çalıştıran genel bulut sağlayıcılar tarafından sunulan, onaylanmış güvenilir yürütme ortamları olmalıdır.
- Cihazdan ayrılan son kullanıcı verilerine ne olduğunu cihazın doğrulayabilmesi. ODP, kullanıcıları için cihazlar arası makine öğrenimi ve istatistiksel analizleri koordine etmek üzere Açık Kaynak, Birleşik Bilgi İşlem iş yükleri sağlar. Bir son kullanıcının cihazı, bu tür iş yüklerinin Güvenilir Yürütme Ortamları'nda değiştirilmeden yürütüldüğünü onaylar.
- Cihaz kontrollü/doğrulanabilir sınırın dışına çıkan çıkışların garantili teknik gizliliği (ör. toplama, gürültü, diferansiyel gizlilik).
Bu nedenle, kişiselleştirme cihaza özel olacaktır.
Ayrıca işletmelerin gizlilik önlemlerine de ihtiyacı vardır ve bu önlemler platform tarafından ele alınmalıdır. Bu, ham iş verilerinin kendi sunucularında tutulmasını gerektirir. ODP, bunu sağlamak için aşağıdaki veri modelini kullanır:
- Her bir ham veri kaynağı cihazda veya sunucu tarafında depolanır. Bu sayede yerel öğrenme ve çıkarım yapılabilir.
- Birden fazla veri kaynağında karar vermeyi kolaylaştırmak için algoritmalar sunacağız. Örneğin, iki farklı veri konumu arasında filtreleme veya çeşitli kaynaklarda eğitim ya da çıkarım gibi.
Bu bağlamda, bir işletme kulesi ve bir son kullanıcı kulesi olabilir:
Son kullanıcı kulesi, son kullanıcı tarafından sağlanan verilerden (örneğin, hesap bilgileri ve kontroller), son kullanıcının cihazıyla etkileşimleriyle ilgili toplanan verilerden ve işletme tarafından çıkarılan türetilmiş verilerden (örneğin, ilgi alanları ve tercihler) oluşur. Çıkarılan veriler, kullanıcıların doğrudan beyanlarını geçersiz kılmaz.
Karşılaştırma için, bulut merkezli bir altyapıda son kullanıcı kulesinden gelen tüm ham veriler işletmelerin sunucularına aktarılır. Buna karşılık, cihaza odaklı bir altyapıda son kullanıcı kulesinden gelen tüm ham veriler kaynağında kalırken işletmenin verileri sunucularda depolanmaya devam eder.
Cihaz Üzerinde Kişiselleştirme, yalnızca onaylanmış ve açık kaynaklı kodun, daha gizli çıkış kanalları kullanarak TEE'lerde son kullanıcılarla ilgili olabilecek verileri işlemesini sağlayarak her iki dünyanın en iyi özelliklerini bir araya getirir.
Adil çözümler için kapsayıcı kamu katılımı
ODP, çeşitli bir ekosistemdeki tüm katılımcılar için dengeli bir ortam sağlamayı amaçlar. Farklı hizmetler ve ürünler sunan çeşitli aktörlerden oluşan bu ekosistemin karmaşıklığının farkındayız.
ODP, yeniliği teşvik etmek için geliştiriciler ve temsil ettikleri işletmeler tarafından uygulanabilecek API'ler sunar. Cihaz üzerinde kişiselleştirme, yayınları yönetirken, izleme, geliştirici araçları ve geri bildirim araçları kullanırken bu uygulamaların sorunsuz bir şekilde entegre edilmesini sağlar. Cihaz Üzerinde Kişiselleştirme herhangi bir somut iş mantığı oluşturmaz. Bunun yerine, yaratıcılık için bir katalizör görevi görür.
ODP zaman içinde daha fazla algoritma sunabilir. Doğru özellik düzeyini belirlemek ve her katılımcı işletme için makul bir cihaz kaynağı sınırı oluşturmak amacıyla ekosistemle işbirliği yapmak çok önemlidir. Yeni kullanım alanlarını tanımamıza ve önceliklendirmemize yardımcı olacak ekosistem geri bildirimlerini bekliyoruz.
Daha iyi kullanıcı deneyimleri için geliştirici yardımcı programı
Tüm etkinlikler cihaz düzeyinde yerel olarak kaydedildiğinden ODP ile etkinlik verilerinde kayıp veya gözlem gecikmesi olmaz. Birleştirme hatası yok ve tüm etkinlikler belirli bir cihazla ilişkilendirilmiş. Sonuç olarak, gözlemlenen tüm etkinlikler kullanıcının etkileşimlerini yansıtan kronolojik bir sıra oluşturur.
Bu basitleştirilmiş süreç, verileri birleştirme veya yeniden düzenleme ihtiyacını ortadan kaldırarak kullanıcı verilerine neredeyse gerçek zamanlı ve kayıpsız erişim sağlar. Bu da son kullanıcıların veriye dayalı ürün ve hizmetlerle etkileşim kurarken algıladıkları faydayı artırabilir. Bu sayede memnuniyet düzeyleri yükselebilir ve daha anlamlı deneyimler yaşanabilir. ODP ile işletmeler, kullanıcılarının ihtiyaçlarına etkili bir şekilde uyum sağlayabilir.
Gizlilik modeli: gizlilik yoluyla gizlilik
Aşağıdaki bölümlerde, bu gizlilik analizinin temeli olarak tüketici-üretici modeli ve hesaplama ortamı gizliliğinin çıkış doğruluğuyla karşılaştırılması ele alınmaktadır.
Bu gizlilik analizinin temelinde tüketici-üretici modeli yer alır.
Gizlilik yoluyla gizliliğin gizlilik güvencelerini incelemek için tüketici-üretici modelini kullanacağız. Bu modeldeki hesaplamalar, düğümler ve alt grafiklerden oluşan yönlendirilmiş döngüsüz grafik (DAG) içindeki düğümler olarak gösterilir. Her hesaplama düğümü üç bileşenden oluşur: tüketilen girişler, üretilen çıkışlar ve girişleri çıkışlarla eşleyen hesaplama.
Bu modelde gizlilik koruması üç bileşenin tümü için geçerlidir:
- Giriş gizliliği Düğümlerin iki tür girişi olabilir. Bir giriş, önceki bir düğüm tarafından oluşturulmuşsa bu düğümün çıkış gizliliği garantilerini zaten içerir. Aksi takdirde, girişler politika motoru kullanılarak veri girişi politikalarını temizlemelidir.
- Çıkış gizliliği. Çıktının, diferansiyel gizlilik (DP) tarafından sağlananlar gibi gizli hale getirilmesi gerekebilir.
- Bilgi işlem ortamı gizliliği. Hesaplama, güvenli bir şekilde kapatılmış bir ortamda yapılmalıdır. Böylece, bir düğümdeki ara durumlara kimsenin erişememesi sağlanır. Bunu sağlayan teknolojiler arasında birleştirilmiş bilgi işlem (FC), donanıma dayalı güvenilir yürütme ortamları (TEE), güvenli çok taraflı bilgi işlem (sMPC), homomorfik şifreleme (HPE) ve daha fazlası yer alır. Gizlilik yoluyla gizlilik korumalarının, ara durumları ve gizlilik sınırından çıkan tüm çıktıları koruduğunu, ancak bu çıktıların yine de diferansiyel gizlilik mekanizmalarıyla korunması gerektiğini belirtmekte fayda var. Gerekli iki talep şunlardır:
- Ortamların gizliliği, yalnızca belirtilen çıkışların ortamdan ayrılmasını sağlar ve
- Doğruluk: Çıkış gizliliği taleplerinin giriş gizliliği taleplerinden doğru şekilde çıkarılmasını sağlar. Sağlamlık, gizlilik özelliğinin DAG'de yayılmasına olanak tanır.
Özel bir sistem, giriş gizliliğini, bilgi işlem ortamının gizliliğini ve çıkış gizliliğini korur. Ancak, daha fazla işlem gizli bilgi işlem ortamında mühürlenerek Diferansiyel Gizlilik mekanizmalarının uygulama sayısı azaltılabilir.
Bu modelin iki temel avantajı vardır. Öncelikle, büyük ve küçük çoğu sistem DAG olarak gösterilebilir. İkincisi, DP'nin İşlem Sonrası [Bölüm 2.1] ve kompozisyon Farklı Gizliliğin Karmaşıklığı'ndaki Lemma 2.4 özellikleri, bir grafiğin tamamı için (en kötü durumdaki) gizlilik ve doğruluk arasındaki dengeyi analiz etmeye yönelik güçlü araçlar sunar:
- Sonraki işleme, bir miktar gizlileştirildikten sonra orijinal veriler tekrar kullanılmadığı takdirde bu miktarın "gizliliğinin kaldırılamayacağını" garanti eder. Bir düğümün tüm girişleri gizli olduğu sürece, hesaplamalarından bağımsız olarak çıkışı da gizlidir.
- Gelişmiş Bileşim, her grafik bölümü DP ise genel grafiğin de DP olmasını garanti eder. Bu sayede, bir grafiğin nihai çıkışının ε ve δ değerleri yaklaşık olarak ε√κ ile sınırlandırılır. Bu, bir grafiğin κ birimi olduğu ve her birimin çıkışının (ε, δ)-DP olduğu varsayılarak yapılır.
Bu iki özellik, her düğüm için iki tasarım ilkesine dönüşür:
- Özellik 1 (İşlem Sonrası) Bir düğümün girişlerinin tümü DP ise çıkışı DP olur. Bu özellik, düğümde yürütülen rastgele iş mantığını barındırır ve işletmelerin "gizli soslarını" destekler.
- Bir düğümün girişlerinin tümü DP değilse çıkışı DP uyumlu hale getirilmelidir. Özellik 2 (Gelişmiş Bileşimden) Bir hesaplama düğümü, Güvenilir Yürütme Ortamları'nda çalışan ve açık kaynaklı, cihaz üzerinde kişiselleştirme tarafından sağlanan iş yüklerini ve yapılandırmaları yürüten bir düğümse daha sıkı DP sınırları mümkündür. Aksi takdirde, cihaz üzerinde kişiselleştirme için en kötü durumdaki DP sınırları kullanılması gerekebilir. Kaynak kısıtlamaları nedeniyle, başlangıçta herkese açık bulut sağlayıcı tarafından sunulan güvenilir yürütme ortamlarına öncelik verilecektir.
Hesaplama ortamı gizliliği ve çıkış doğruluğu
Bu nedenle, Cihaz Üzerinde Kişiselleştirme bundan sonra gizli bilgi işlem ortamlarının güvenliğini artırmaya ve ara durumların erişilemez kalmasını sağlamaya odaklanacaktır. Mühürleme olarak bilinen bu güvenlik süreci, alt grafik düzeyinde uygulanacak ve birden fazla düğümün birlikte DP'ye uygun hale getirilmesine olanak tanıyacak. Bu, daha önce bahsedilen 1. mülk ve 2. mülk'ün alt grafik düzeyinde geçerli olduğu anlamına gelir.
Elbette nihai grafik çıkışı olan Çıkış 7, kompozisyona göre DP'lidir. Bu, bu grafik için toplamda 2 DP olacağı anlamına gelir. Sızdırmazlık kullanılmadığında ise toplamda 3 (yerel) DP olur.
Temel olarak, hesaplama ortamını güvence altına alarak ve saldırganların bir grafiğin veya alt grafiğin girişlerine ve ara durumlarına erişme fırsatlarını ortadan kaldırarak Merkezi DP'nin (yani kapalı bir ortamın çıkışı DP'ye uygundur) uygulanmasını sağlar. Bu da Yerel DP'ye (yani bireysel girişler DP'ye uygundur) kıyasla doğruluğu artırabilir. Bu ilke, FC'lerin, TEE'lerin, sMPC'lerin ve HPE'lerin gizlilik teknolojileri olarak değerlendirilmesinin temelini oluşturur. The Complexity of Differential Privacy (Diferansiyel Gizliliğin Karmaşıklığı) adlı yayının 10. Bölümüne bakın.
Bunun iyi ve pratik bir örneği, model eğitimi ve çıkarımdır. Aşağıdaki tartışmalarda (1) eğitim popülasyonu ile çıkarım popülasyonunun çakıştığı ve (2) hem özelliklerin hem de etiketlerin özel kullanıcı verilerini oluşturduğu varsayılmaktadır. DP'yi tüm girişlere uygulayabiliriz:
Cihaz Üzerinde Kişiselleştirme, kullanıcı etiketlerine ve özelliklerine yerel DP uygulayabilir. Bu yaklaşım, sunucunun yürütme ortamı veya iş mantığı üzerinde herhangi bir koşul getirmez.
Bu, mevcut cihaz üzerinde kişiselleştirme tasarımının işleyiş şeklidir.
Gizliliği doğrulanabilir
Cihaz Üzerinde Kişiselleştirme, gizliliğin doğrulanabilir olmasını hedefler. Kullanıcı cihazları dışında gerçekleşen olayların doğrulanmasına odaklanır. ODP, son kullanıcıların cihazlarından ayrılan verileri işleyen kodu yazar ve bu kodun, Gizli Bilgi İşlem Konsorsiyumu uyumlu, örnek yöneticisi ayrıcalıkları kaldırılmış bir sunucuda değiştirilmeden çalıştığını onaylamak için NIST'nin RFC 9334 Uzaktan Onaylama Prosedürleri (RATS) Mimarisi'ni kullanır. Bu kodlar açık kaynaklı olacak ve güven oluşturmak için şeffaf doğrulamaya olanak tanıyacak. Bu tür önlemler, kişilerin verilerinin korunduğuna dair güven duymasını sağlayabilir ve işletmeler, gizlilik güvencesinin güçlü temelleri üzerine itibar oluşturabilir.
Toplanan ve depolanan özel veri miktarını azaltmak, cihaz üzerinde kişiselleştirmenin bir diğer önemli yönüdür. Birleşik hesaplama ve diferansiyel gizlilik gibi teknolojileri benimseyerek bu ilkeye uyar. Böylece hassas kişisel bilgileri veya kimliği tanımlayabilecek bilgileri açığa çıkarmadan değerli veri kalıplarının ortaya çıkarılmasını sağlar.
Veri işleme ve paylaşmayla ilgili etkinlikleri kaydeden bir denetleme izi tutmak, doğrulanabilir gizliliğin bir diğer önemli yönüdür. Bu sayede, gizliliğe olan bağlılığımızı gösteren denetleme raporları oluşturulabilir ve güvenlik açıkları tespit edilebilir.
Tasarım ve uygulamaları sürekli olarak iyileştirmemize yardımcı olmak için gizlilik uzmanlarından, yetkililerden, sektörlerden ve bireylerden yapıcı işbirlikleri talep ediyoruz.
Aşağıdaki grafikte, Çeşitli Gizlilik'e göre cihazlar arası toplama ve gürültü ekleme için kod yolu gösterilmektedir.
Üst düzey tasarım
Gizlilik, gizlilik yoluyla nasıl uygulanabilir? Genel olarak, ODP tarafından oluşturulan ve kapalı bir ortamda çalışan bir politika motoru, giriş ve çıkışlarının DP durumunu izlerken her düğümü/alt grafiği denetleyen temel bileşen olarak işlev görür:
- Politika motoru açısından cihazlar ve sunucular aynı şekilde değerlendirilir. Aynı politika motorunu çalıştıran cihazlar ve sunucular, politika motorları karşılıklı olarak onaylandıktan sonra mantıksal olarak aynı kabul edilir.
- Cihazlarda izolasyon, AOSP'nin izole edilmiş süreçleri (veya uzun vadede kullanılabilirlik arttığında pKVM) aracılığıyla sağlanır. Sunucularda izolasyon, "güvenilir bir tarafa" dayanır. Bu taraf, tercih edilen bir TEE ve diğer teknik mühürleme çözümleri, sözleşmeye dayalı bir anlaşma veya her ikisi olabilir.
Diğer bir deyişle, platform politikası motorunu yükleyen ve çalıştıran tüm kapalı ortamlar Güvenilir Bilgi İşlem Tabanımızın (TCB) bir parçası olarak kabul edilir. TCB ile veriler ek gürültü olmadan yayılabilir. Veriler TCB'den ayrıldığında DP uygulanmalıdır.
Cihaz Üzerinde Kişiselleştirme'nin üst düzey tasarımı, iki temel öğeyi etkili bir şekilde entegre eder:
- İş mantığı yürütme için eşleştirilmiş süreç mimarisi
- Veri girişi, çıkışı ve izin verilen işlemleri yönetmek için politikalar ve bir politika motoru.
Bu tutarlı tasarım, işletmelere güvenilir bir yürütme ortamında kendi kodlarını çalıştırabilecekleri ve uygun politika kontrollerinden geçmiş kullanıcı verilerine erişebilecekleri eşit bir oyun alanı sunar.
Aşağıdaki bölümlerde bu iki temel yön daha ayrıntılı olarak ele alınacaktır.
İş mantığı yürütme için eşleştirilmiş işlem mimarisi
Cihaz Üzerinde Kişiselleştirme, iş mantığı yürütülürken kullanıcı gizliliğini ve veri güvenliğini artırmak için AOSP'de eşleştirilmiş süreç mimarisini kullanır. Bu mimari şunlardan oluşur:
ManagingProcess. Bu işlem, IsolatedProcess'leri oluşturup yöneterek bunların süreç düzeyinde izole kalmasını sağlar. Bu süreçlerde erişim, izin verilenler listesine eklenmiş API'lerle sınırlıdır ve ağ veya disk izinleri yoktur. ManagingProcess, tüm işletme verilerinin, tüm son kullanıcı verilerinin toplanmasını ve işletme kodu için politikaların temizlenmesini yönetir. Ardından, bu verileri yürütülmek üzere IsolatedProcesses'e gönderir. Ayrıca, IsolatedProcess'ler ile system_server gibi diğer işlemler arasındaki etkileşime aracılık eder.
IsolatedProcess. Manifest dosyasında yalıtılmış olarak belirlenen (
isolatedprocess=true) bu işlem, ManagingProcess'ten işletme verilerini, politikaya uygun son kullanıcı verilerini ve işletme kodunu alır. Bu API'ler, işletme kodunun verileri ve politika onaylı son kullanıcı verileri üzerinde çalışmasına olanak tanır. IsolatedProcess, hem giriş hem de çıkış için yalnızca ManagingProcess ile iletişim kurar ve ek izin gerekmez.
Çift işlem mimarisi, işletmelerin iş mantıklarını veya kodlarını açık kaynaklı hale getirmelerini gerektirmeden son kullanıcı verilerinin gizlilik politikalarının bağımsız olarak doğrulanmasına olanak tanır. ManagingProcess, IsolatedProcesses'in bağımsızlığını korurken IsolatedProcesses de iş mantığını verimli bir şekilde yürütür. Bu mimari, kişiselleştirme sırasında kullanıcı gizliliğini korumak için daha güvenli ve verimli bir çözüm sunar.
Aşağıdaki şekilde bu eşleştirilmiş işlem mimarisi gösterilmektedir.
Veri işlemleri için politikalar ve politika motorları
Cihaz Üzerinde Kişiselleştirme, platform ile iş mantığı arasında bir politika uygulama katmanı sunar. Amaç, son kullanıcı ve işletme kontrollerini merkezi ve uygulanabilir politika kararlarına eşleyen bir araç seti sağlamaktır. Bu politikalar daha sonra akışlar ve işletmeler genelinde kapsamlı ve güvenilir bir şekilde uygulanır.
Eşleştirilmiş işlem mimarisinde politika motoru, son kullanıcı ve işletme verilerinin giriş ve çıkışını denetleyerek ManagingProcess içinde yer alır. Ayrıca, izin verilen işlemler de IsolatedProcess'e sağlanır. Kapsam alanlarına örnek olarak son kullanıcı denetimlerine uyma, çocukları koruma, izin alınmadan veri paylaşımını önleme ve işletme gizliliği verilebilir.
Bu politika uygulama mimarisi, kullanılabilecek üç tür iş akışından oluşur:
- Güvenilir Yürütme Ortamı (TEE) iletişimleriyle yerel olarak başlatılan çevrimdışı iş akışları:
- Veri indirme akışları: güvenilir indirmeler
- Veri yükleme akışları: güvenilir işlemler
- Yerel olarak başlatılan online iş akışları:
- Gerçek zamanlı yayın akışları
- Çıkarım akışları
- Yerel olarak başlatılan çevrimdışı iş akışları:
- Optimizasyon akışları: Birleştirilmiş Öğrenme (FL) aracılığıyla uygulanan cihaz üzerinde model eğitimi
- Raporlama akışları: Birleştirilmiş Analytics (FA) aracılığıyla uygulanan cihazlar arası toplama
Aşağıdaki şekilde, mimari politikalar ve politika motorları açısından gösterilmektedir.
- İndirme: 1 -> 2 -> 4 -> 7 -> 10 -> 11 -> 3
- Yayın: 1 + 3 -> 4 -> 6 -> 9 -> 11 -> 3
- Optimizasyon: 2 (eğitim planı sağlar) -> 1 + 3 -> 4 -> 5 -> 8 -> 11 -> 2
- Raporlama: 3 (toplama planı sağlar) -> 1 + 3 -> 4 -> 5 -> 8 -> 11 -> 2
Genel olarak, cihaz üzerinde kişiselleştirme özelliğinin eşleştirilmiş işlem mimarisinde politika zorunluluğu katmanının ve politika motorunun kullanıma sunulması, gerekli verilere ve işlemlere kontrollü erişim sağlarken işletme mantığını yürütmek için izole edilmiş ve gizliliği koruyan bir ortam sunar.
Katmanlı API yüzeyleri
On-Device Personalization, ilgilenen işletmeler için katmanlı bir API mimarisi sunar. En üst katman, belirli kullanım alanları için oluşturulmuş uygulamalardan oluşur. Potansiyel işletmeler, verilerini bu uygulamalara bağlayabilir. Bu uygulamalar, Üst Katman API'leri olarak bilinir. Üst katman API'leri, orta katman API'leri üzerine kurulur.
Zamanla daha fazla üst katman API'si eklemeyi planlıyoruz. Belirli bir kullanım alanında üst katman API'si kullanılamadığında veya mevcut üst katman API'leri yeterince esnek olmadığında işletmeler, programlama temel öğeleri aracılığıyla güç ve esneklik sağlayan orta katman API'lerini doğrudan uygulayabilir.
Sonuç
Cihaz Üzerinde Kişiselleştirme, son kullanıcının gizlilik endişelerini ele alan uzun vadeli bir çözümle ilgili ilgi ve geri bildirim almak için geliştirilen, erken aşamadaki bir araştırma önerisidir. Bu çözümde, yüksek fayda sağlaması beklenen en yeni ve en iyi teknolojiler kullanılır.
ODP'nin ihtiyaçları karşıladığından ve endişeleri giderdiğinden emin olmak için gizlilik uzmanları, veri analistleri ve potansiyel son kullanıcılar gibi paydaşlarla etkileşim kurmak istiyoruz.