Estimation de trafic routier par filtre de Kalman d'ensemble sous contrainte de confidentialité différentielle

Le but de cette recherche est de proposer un algorithme numérique pour la publication en temps réel de certaines statistiques calculées à partir de données sensibles fournies par des utilisateurs. Afin de contrôler le gain possible d'information divulguée par ces statistiques sur les utilisateurs contributeurs, nous souhaitons que notre algorithme garantisse leur confidentialité différentielle, qui est une notion forte et formelle de la confidentialité. La confidentialité différentielle stipule que le gain d'information sur la participation d'un utilisateur individuel apporté par rapport à une connaissance préalable par la publication de données est borné. Cela signifie qu'il est impossible de savoir avec beaucoup de certitude si un utilisateur donné a participé à l'élaboration des données publiées, et cela pour tout utilisateur. L'anonymat des utilisateurs est donc garanti. Assurer un niveau de confidentialité différentielle se traduit généralement en dégradant les données, de manière maîtrisée. Le but de cette recherche est donc de proposer des mécanismes assurant la confidentialité différentielle et dégradant le moins possible les données. Nous supposons qu'un modèle dynamique stochastique expliquant la génération du jeu de données est disponible et à la disposition de tous, et nous cherchons à utiliser ses caractéristiques pour améliorer la qualité des données publiées. Nous appliquons l'estimateur développé à la problématique de l'estimation de trafic routier. Les usagers de la route envoient leurs données en franchissant des capteurs statiques sur la route ou en fournissant leurs traces GPS. Un mécanisme différentiellement privé publie l'état du trafic sous la forme d'une carte spatio-temporelle de densité. Ici la confidentialité différentielle garantit que l'étude de la carte publiée au cours du temps ne peut pas révéler des informations sensibles trop précises sur les trajets des utilisateurs de la route. Les mécanismes différentiellement confidentiels sont élaborés à base de filtres : filtre de Kalman étendu, filtre de Kalman d'ensemble, filtre à particules. Nous utilisons des jeux de données synthétiques et une certaine métrique pour comparer les différents filtres entre eux. Ensuite nous testons notre estimateur différentiellement confidentiel sur un jeu de données réelles, provenant du projet Mobile Century. Cette recherche a permis de proposer un mécanisme différentiellement confidentiel à base de filtre de Kalman d'ensemble pour l'estimation de trafic routier. De plus, le fait que cet algorithme garantisse également la confidentialité différentielle avec des mesures provenant de traces GPS permet d'étendre le champs d'application à un réseau routier beaucoup plus large puisque nous ne nous restreignons plus aux routes équipées de capteurs fixes.

Abstract

Road traffic estimation systems can rely nowadays on an increasing number and variety of sensors and data sources to provide better coverage and accuracy, from standard static detectors to, more recently, location traces obtained possibly from individual drivers' smartphones. Motivated by privacy concerns raised by such systems, this thesis discusses a methodology for estimating the macroscopic traffic state (density, velocity) along a road segment in real-time, while providing formal differential privacy guarantees to the individual drivers, a state-ofthe-art notion of privacy that protects against adversaries with arbitrary side-information. This translates to the inability for an adversary to make a better guess for the participation of a specific individual, with the use of differentially private data. Differential privacy provides formal proof that the relative information gain for the adversary, with publication of differentially private data, is bounded. Making data differentially private means randomizing in some way the data, thus making the published output less accurate. The goal of this research is to propose a numerical method to make private data differentially private for public release. Such methods are called differentially private mechanisms. The impact of the privacy constraint on estimation performance is mitigated by the use of a nonlinear model of the traffic dynamics, fused with the sensor measurements via an Ensemble Kalman Filter, a classical method for data assimilation. The differentially private mechanism is applied to a road traffic estimation problem Road users send their data when they cross static sensors (position, occupancy), and through their smartphones (position, speed). The differentially private mechanism publishes the density map that is usable by any third party app, and the privacy guarantees will follow. All the mechanisms are validated on synthetic data and tested on the Mobile Century dataset.