💻 computer science

X-NegoBox: An Explainable Privacy-Budget Negotiation Framework for Secure Peer-to-Peer Energy Data Exchange

X-NegoBox ist ein erklärbares Framework, das den sicheren Peer-to-Peer-Austausch von Energiedaten ermöglicht, indem es Prosumer-Daten lokal durch ein autonomes Protokoll zur Verhandlung von Privatsphärenbudgets und eine erklärbare Vereinbarungsschicht verwaltet, um den Schutz der Privatsphäre bedarfsgerecht mit den Handelsanforderungen in Einklang zu bringen und gleichzeitig transparente Entscheidungsrechtfertigungen bereitzustellen.

Ursprüngliche Autoren: Poushali Sengupta, Sabita Maharjan, Frank Eliassen, Yan Zhang

Veröffentlicht 2026-04-28

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Poushali Sengupta, Sabita Maharjan, Frank Eliassen, Yan Zhang

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Ihre Daten zum Energieverbrauch zu Hause (wie Ihre Smart-Meter-Werte) sind eine Schatzkiste, gefüllt mit wertvollen Geheimnissen über Ihren Alltag: wann Sie aufwachen, welche Geräte Sie nutzen und wann Sie zu Hause sind. In der modernen Energiewelt möchten Nachbarn und Energieunternehmen Gegenstände aus dieser Kiste leihen, um das Netz auszugleichen oder Energie zu handeln.

Das Herausgeben der gesamten Kiste ist jedoch gefährlich – es könnte Ihre privaten Gewohnheiten offenlegen. Traditionelle Systeme sind wie ein Türsteher mit einem starreren Regelwerk: „Kein Eintritt, es sei denn, Sie haben ein spezifisches Abzeichen", oder „Wir geben Ihnen nur ein unscharfes Foto, egal wer fragt." Das ist frustrierend, weil es sich nicht anpasst, wer fragt oder warum.

X-NegoBox ist ein neues, intelligenteres System, das wie ein diplomatischer Verhandlungsführer für Ihre Daten fungiert. So funktioniert es, aufgeschlüsselt in einfache Konzepte:

1. Die Private DataBox: Ihr sicherer Tresor

Anstatt Ihre Rohdaten herauszusenden, bewahren Sie sie in einem sicheren, verschlossenen Tresor direkt in Ihrem Zuhause auf (genannt „Private DataBox").

Die Regel: „Führen Sie Code aus, nicht Daten."
Die Analogie: Stellen Sie sich einen Koch (den Datenanfragenden) vor, der Ihre Suppe probieren möchte, um zu sehen, ob sie Salz braucht. Anstatt Ihre Suppe in seine Küche zu schicken, sendet er seine eigene Rezeptkarte in Ihre Küche. Ihr Tresor kocht die Suppe innerhalb des Tresors, fügt ein wenig „Rauschen" hinzu (wie eine Prise Salz, die den genauen Geschmack verschleiert) und sendet nur den endgültigen Geschmack an den Koch zurück. Der Koch sieht niemals Ihre tatsächlichen Zutaten oder die rohe Suppe.

2. Der Verhandlungsführer (APBNP): Der intelligente Türsteher

Wenn jemand auf Ihre Daten zugreifen möchte, schreitet ein intelligenter Roboter namens APBNP (Autonomous Privacy-Budget Negotiation Protocol) ein. Er sagt nicht einfach nur „Ja" oder „Nein". Er verhandelt basierend auf vier Faktoren:

Vertrauen: Kennen Sie diese Person? Waren sie schon einmal gute Nachbarn? (Hoher Vertrauensgrad = mehr Datenzugriff).
Empfindlichkeit: Wie privat sind die Daten? (Die Kenntnis Ihres genauen Geräteverbrauchs ist riskanter als die Kenntnis Ihrer gesamten Monatsrechnung).
Zweck: Warum brauchen sie es? (Die Reparatur des Stromnetzes ist ein guter Grund; das Erraten Ihrer Lebensgewohnheiten ist ein schlechter Grund).
Das Budget: Sie haben ein begrenztes „Datenschutz-Budget" (wie eine Währung). Jedes Mal, wenn Sie Daten teilen, geben Sie etwas davon aus. Der Verhandlungsführer prüft, ob noch genug übrig ist.

Die Magie: Wenn die Anfrage zu riskant ist, lehnt der Verhandlungsführer sie nicht einfach ab. Er sagt: „Ich kann Ihnen keine Details im 5-Minuten-Takt geben, aber ich kann Ihnen 1-Stunden-Durchschnitte geben," oder „Ich kann Ihnen diese Daten heute nicht geben, aber nächste Woche." Dies wird als Gegenangebot bezeichnet.

3. Der Erklärer (X-Contract): Der „Warum"-Button

Eines der größten Probleme bei aktuellen Systemen ist, dass Sie nie wissen, warum eine Anfrage abgelehnt wurde. X-NegoBox behebt dies mit einer Schicht namens X-Contract.

Die Analogie: Denken Sie daran wie an einen Beleg, der eine Transaktion erklärt. Wenn eine Anfrage abgelehnt wird, gibt das System eine klare, für Menschen lesbare Notiz aus: „Ihre Anfrage wurde abgelehnt, weil die Daten für einen neuen Nachbarn zu sensibel sind und Sie nur noch 10 % Ihres Datenschutz-Budgets übrig haben."
Wenn sie genehmigt wird, erklärt es: „Genehmigt, weil Sie diesem Nachbarn vertrauen und der Zweck für das Netz essenziell ist."
Dies schafft Vertrauen, weil Sie nicht im Ungewissen gelassen werden.

4. Das Sicherheitsteam (Threshold Secret Sharing)

Selbst nachdem ein Deal geschlossen wurde, stellt das System sicher, dass keine einzelne Person betrügen kann.

Die Analogie: Stellen Sie sich einen Bankschließfach vor, das drei verschiedene Schlüssel erfordert, die von drei verschiedenen Personen gehalten werden, um geöffnet zu werden. Selbst wenn eine Person bestochen oder gehackt wird, bleibt der Tresor verschlossen. In X-NegoBox wird der „Schlüssel" zur Freigabe der endgültigen Daten aufgeteilt. Er öffnet sich nur, wenn genügend vertrauenswürdige Teile zustimmen, wodurch verhindert wird, dass ein einzelner Akteur Ihre Daten stiehlt.

Was haben sie herausgefunden?

Die Forscher testeten dieses System mit echten Energiedaten aus verschiedenen Städten und simulierten Szenarien mit 100 Haushalten.

Bessere Erfolgsquote: Im Gegensatz zu alten Systemen, die zu oft „Nein" sagen, fand X-NegoBox in 60 % bis 87 % der Fälle einen Weg, „Ja" (oder „Ja, aber mit Änderungen") zu sagen, je nach Situation.
Datenschutz: Es verhinderte erfolgreich Datenschutzlecks, indem sichergestellt wurde, dass das „Datenschutz-Budget" nicht zu schnell aufgebraucht wurde.
Geschwindigkeit: Die Verhandlung erfolgt in Millisekunden, schnell genug für den Echtzeit-Einsatz auf normalen Haushaltsgeräten.

Zusammenfassung:
X-NegoBox verwandelt das Datenteilungs-Spiel von einem starren „Alles-oder-nichts"-Spiel in ein flexibles Gespräch. Es hält Ihre Rohdaten in Ihrem Zuhause verschlossen, verhandelt das beste Geschäft basierend auf Vertrauen und Zweck, erklärt seine Entscheidungen klar und stellt sicher, dass selbst wenn das System angegriffen wird, Ihre Geheimnisse sicher bleiben.

1. Problemstellung

Die Dezentralisierung moderner Energiesysteme hat Verbraucher zu Prosumern transformiert, die granulare Energiedaten (z. B. Lastprofile, PV-Erzeugung, Geräteverbrauch) für Peer-to-Peer-Handel (P2P), Lastmanagement und Prognosen austauschen. Diese Daten enthüllen jedoch sensible Haushaltsmuster (Belegung, Lebensstil, Routinen) und schaffen erhebliche Privatsphärenrisiken.

Einschränkungen bestehender Lösungen:

Statische Richtlinien: Aktuelle Mechanismen verlassen sich auf feste Zugriffskontrollen oder vorbestimmte Differential-Privacy (DP)-Budgets. Ihnen fehlt die Anpassungsfähigkeit an variierende Datensensitivität, Absichten des Anfragenden oder Vertrauenslevel.
Mangelnde Transparenz: Prosumer erhalten selten Erklärungen, warum eine Datenanfrage angenommen, abgelehnt oder modifiziert wurde, was das Vertrauen untergräbt.
Datenschutzverletzung: Viele Ansätze erfordern, dass Rohdaten die Kontrolle des Nutzers verlassen, oder verlassen sich auf zentrale „Clean Rooms", was die Angriffsfläche vergrößert.
Steifheit: Feste DP-Budgets führen entweder zur vorzeitigen Erschöpfung des Budgets (Blockierung nützlicher Datenteilung) oder zu übermäßiger Privatsphärenpreisgabe.

2. Methodik: Das X-NegoBox-Framework

X-NegoBox ist ein verteiltes Framework, das adaptive Privatsphärenbudgetierung und transparente Entscheidungsfindung ermöglicht, während Rohdaten lokal confined bleiben. Es operiert nach dem Paradigma „Code ausführen, nicht Daten".

Kernarchitektur-Komponenten

Private DataBox: Ein lokaler Berechnungs-Enclave (im Haushalt oder am Edge), in dem Rohdaten verbleiben. Sie erzwingt Privatsphärenbeschränkungen und stellt sicher, dass Rohdaten die Box niemals verlassen.
Autonomes Privatsphären-Budget-Verhandlungsprotokoll (APBNP): Die Kernengine, die für jede Anfrage dynamisch ein optimales DP-Budget ( $\epsilon^*$ $ϵ^{*}$ ) berechnet.
- Eingaben: Featuresensitivität ( $S_x$ ), Vertrauen des Anfragenden ( $T_{ij}$ ), deklarierte Zweckkompatibilität ( $P(p)$ ) und verbleibendes kumulatives Budget ( $H_j$ ).
- Optimierung: Löst nach $\epsilon^*$ durch Maximierung eines Nutzen-Risiko-Scores:
  $\epsilon^* = \arg \max_{\epsilon} \left( \lambda_1 U(\epsilon) - \lambda_2 R(\epsilon) + \lambda_3 T_{ij} + \lambda_4 P(p) - \lambda_5 C(\epsilon) \right)$
- Ergebnisse:
  - Genehmigung: Wenn $\epsilon^*$ den Beschränkungen entspricht.
  - Gegenangebot: Wenn die Anfrage zu sensibel ist, schlägt APBNP Modifikationen vor (z. B. niedrigere zeitliche Auflösung, kürzere Dauer), um ein machbares $\epsilon^*$ zu finden.
  - Ablehnung: Wenn keine machbare Konfiguration existiert.
Erklärbare Einigungsschicht (X-Contract): Generiert für jede Entscheidung (Genehmigung, Ablehnung oder Gegenangebot) menschen- und maschinenlesbare Erklärungen. Sie übersetzt technische Scores (Sensitivität, Vertrauen, Budget) in handlungsrelevante Begründungen (z. B. „Abgelehnt aufgrund hoher Sensitivität auf Geräteebene und geringen verbleibenden Budgets").
Sichere Ausführungssandbox:
- Der Code des Anfragenden wird validiert und innerhalb der DataBox ausgeführt.
- Das System wendet DP-Rauschen ( $\tilde{y} = y + \text{Noise}(\epsilon^*, S_x)$ ) auf die Ausgabe vor der Freigabe an.
- Verhindert Side-Channel-Angriffe, Code-Injection und unbefugte Datenexfiltration.
Schwellenwert-Geheimnis-Sharing (TSS): Wird zur Autorisierung verwendet. Ein Signierschlüssel wird auf $n$ Knoten verteilt; mindestens $k$ Knoten müssen zusammenarbeiten, um den Schlüssel wiederherzustellen und die Freigabe bereinigter Ausgaben zu autorisieren, was eine einseitige Offenlegung verhindert.

Wichtige Bewertungsmechanismen

Featuresensitivität ( $S_x$ ): Aggregiert Risikogewichte angeforderter Features (z. B. Standort = 1,0, Geräteverbrauch = 0,7, aggregierte Last = 0,2).
Vertrauensscore ( $T_{ij}$ ): Basierend auf historischem Vertragserfolg, Ausgabequalität und Übereinstimmung mit dem deklarierten Zweck.
Zweckkompatibilität ( $P(p)$ ): Ein statischer Score (0–1) basierend auf regulatorischer Notwendigkeit (z. B. Abrechnung = 1,0, Verhaltensprofilierung = 0,1).

3. Hauptbeiträge

Erklärbare autonome Verhandlung: Ein Framework, das Prosumern ermöglicht, Privatsphärenbudgets dynamisch mit transparenten Begründungen zu verhandeln und statische Richtlinien zu ersetzen.
APBNP-Protokoll: Ein Optimierungsalgorithmus, der pro-Anfrage DP-Budgets basierend auf einem mehrfaktoriellen Bewertungssystem (Sensitivität, Vertrauen, Zweck, Kosten) zuweist.
X-Contract-Schicht: Ein dediziertes Modul zur Generierung interpretierbarer Erklärungen für Vertragsentscheidungen, das Vertrauen und regulatorische Compliance stärkt.
Sichere „Code ausführen, nicht Daten"-Sandbox: Eine lokale Ausführungsumgebung, die Code validiert, DP durchsetzt und sicherstellt, dass Rohdaten niemals die Kontrolle des Prosumers verlassen.
Umfassende Evaluation: Validierung an realistischen Energiemarkt-Workloads, die verbesserten Privatsphärenschutz und Akzeptanzraten demonstrieren.

4. Experimentelle Ergebnisse

Das Framework wurde mit realen Datensätzen (UCI Household, DE/FR/IT nationale Lasten) und synthetischen Smart-Grid-Simulationen (100 Prosumer) evaluiert.

Akzeptanzstabilität: Über 48 Szenarien mit verschiedenen Datensätzen und Verhandlungsmustern hinweg blieb die mittlere Akzeptanzrate stabil bei ~60% ( $\sigma = 0,013$ ). Dies zeigt, dass das System „Alles-oder-Nichts"-Verhalten vermeidet und sich gut an Datenheterogenität anpasst.
Effizienz des Privatsphärenbudgets:
- Im Vergleich zu einer festen- $\epsilon$ -Basislinie (die Budgets nach ~80 Anfragen erschöpfte) ermöglichte APBNP eine langfristige Teilung.
- In einer Simulation mit 100 Prosumern erreichte das System eine Akzeptanzrate von 87,49% mit einem verbleibenden Durchschnittsbudget von 0,765 pro Prosumer, was beweist, dass es Privatsphärenressourcen nicht vorzeitig erschöpft.
Budgetsensitivität:
- Knappheitsregime ( $\epsilon_0 \le 2$ ): Hohe Ablehnungsraten zum Schutz der Privatsphäre.
- Stabiles Regime ( $4 \le \epsilon_0 \le 7$ ): Die Akzeptanz sättigt sich nahe 99%.
- Überschussregime ( $\epsilon_0 \ge 8$ ): Die Akzeptanz erreicht 100%, was abnehmende Grenzerträge bei der Erhöhung der Budgets über einen bestimmten Punkt hinaus zeigt.
Leistungs-Overhead:
- Verhandlungszeit: 0,32 ms pro Anfrage.
- Generierung von Erklärungen: 0,006 ms.
- Sandbox-Ausführungs-Overhead: ~121% relativ, aber absolute Zeit < 0,02 ms, was es für den Echtzeit-Einsatz am Edge geeignet macht.
Robustheit: Erklärungen blieben stabil (97,25% unverändert), selbst wenn Eingabescores um ±5% gestört wurden.

5. Bedeutung und Auswirkung

Vertrauensbildung: Durch die Bereitstellung klarer, handlungsrelevanter Erklärungen für Datenteilungsentscheidungen adressiert X-NegoBox das „Black-Box"-Problem in privatsphäreschützenden Systemen und fördert die Teilnahme von Prosumern.
Adaptive Privatsphäre: Geht über starre, einheitliche DP-Budgets hinaus hin zu einem kontextbewussten Modell, das Nutzen und Risiko basierend darauf ausbalanciert, wer fragt, was sie wollen und warum.
Skalierbarkeit: Der geringe Rechen-Overhead und das lokale Ausführungsmodell machen es für den Einsatz auf ressourcenbeschränkten Edge-Geräten (z. B. intelligente Zähler, Home-Gateways) machbar.
Regulatorische Compliance: Die Erklärbarkeitsschicht und Audit-Logs unterstützen die Einhaltung von Vorschriften wie der DSGVO, die Transparenz bei automatisierten Entscheidungsfindungen erfordern.
Zukunft von P2P-Energie: Ermöglicht den sicheren, granulareren Datenaustausch, der für fortschrittlichen P2P-Energiehandel und Netzbalancierung notwendig ist, ohne die Haushaltsprivatsphäre zu gefährden.

Zusammenfassend überbrückt X-NegoBox erfolgreich die Lücke zwischen dem Bedarf an granularer Energiedaten und dem Imperativ des Privatsphärenschutzes und bietet eine skalierbare, erklärbare und adaptive Lösung für die zukünftige dezentrale Energielandschaft.