💻 computer science

X-NegoBox: An Explainable Privacy-Budget Negotiation Framework for Secure Peer-to-Peer Energy Data Exchange

X-NegoBox is een verklaarbaar raamwerk dat een beveiligde peer-to-peer-uitwisseling van energiedata mogelijk maakt door prosumerdata lokaal te beheren via een autonoom protocol voor onderhandeling over privacybudgetten en een verklaarbare overeenkomstslaag, waarmee privacybescherming en handelsbehoeften adaptief in evenwicht worden gebracht terwijl transparante motiveringen voor beslissingen worden geboden.

Oorspronkelijke auteurs: Poushali Sengupta, Sabita Maharjan, Frank Eliassen, Yan Zhang

Gepubliceerd 2026-04-28

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Poushali Sengupta, Sabita Maharjan, Frank Eliassen, Yan Zhang

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je huishoudelijke energiedata (zoals je slimme meterstanden) een schatkist is vol waardevolle geheimen over je dagelijks leven: wanneer je opstaat, welke apparaten je gebruikt en wanneer je thuis bent. In de moderne energiewereld willen buren en energieleveranciers items uit deze kist lenen om het net in balans te houden of energie te verhandelen.

Het overhandigen van de hele kist is echter gevaarlijk; het kan je privégewoonten onthullen. Traditionele systemen zijn als een portier met een strenge regelbundel: "Geen toegang tenzij je een specifiek badge hebt," of "Wij geven je alleen een wazige foto, ongeacht wie er vraagt." Dit is frustrerend omdat het niet aanpast aan wie er vraagt of waarom.

X-NegoBox is een nieuw, slimmer systeem dat fungeert als een diplomatieke onderhandelaar voor je data. Hieronder wordt uitgelegd hoe het werkt, opgesplitst in eenvoudige concepten:

1. De Private DataBox: Je Veilige Kluis

In plaats van je ruwe data naar buiten te sturen, bewaar je deze in een veilige, vergrendelde kluis direct in je huis (een "Private DataBox").

De Regel: "Voer code uit, geen data."
De Analogie: Stel je voor dat een chef-kok (de data-aanvrager) je soep wil proeven om te zien of er zout bij moet. In plaats van je soep naar hun keuken te sturen, sturen ze hun eigen receptkaart naar jouw keuken. Je kluis kookt de soep binnen de kluis, voegt een beetje "ruis" toe (zoals een snufje zout dat de exacte smaak verbergt), en stuurt alleen de eindproef terug naar de chef. De chef ziet nooit je echte ingrediënten of de ruwe soep.

2. De Onderhandelaar (APBNP): De Slimme Portier

Wanneer iemand toegang tot je data wil, stapt een slimme robot genaamd APBNP (Autonomous Privacy-Budget Negotiation Protocol) in. Het zegt niet zomaar "Ja" of "Nee". Het onderhandelt op basis van vier dingen:

Vertrouwen: Ken ik deze persoon? Hebben ze zich in het verleden als goede buren gedragen? (Hoog vertrouwen = meer data-toegang).
Gevoeligheid: Hoe privé is de data? (Het weten van je exacte apparaatgebruik is riskanter dan het weten van je totale maandelijkse rekening).
Doel: Waarom hebben ze het nodig? (Het repareren van het elektriciteitsnet is een goede reden; het raden van je levensstijlgewoonten is een slechte reden).
Het Budget: Je hebt een beperkt "privacy-budget" (zoals een valuta). Elke keer als je data deelt, besteed je er een deel van. De onderhandelaar controleert of je er nog genoeg van over hebt.

De Magie: Als het verzoek te riskant is, wijst de onderhandelaar het niet zomaar af. Het zegt: "Ik kan je geen details van 5 minuten geven, maar ik kan wel gemiddelden van 1 uur geven," of "Ik kan je deze data vandaag niet geven, maar wel volgende week." Dit heet een tegenbod.

3. De Verklarer (X-Contract): De "Waarom"-knop

Een van de grootste problemen met huidige systemen is dat je nooit weet waarom een verzoek werd afgewezen. X-NegoBox lost dit op met een laag genaamd X-Contract.

De Analogie: Denk eraan als een bon die een transactie uitlegt. Als een verzoek wordt geweigerd, geeft het systeem je een duidelijke, menselijk leesbare notitie: "Uw verzoek is afgewezen omdat de data te gevoelig is voor een nieuwe buur, en u heeft slechts 10% van uw privacy-budget over."
Als het wordt goedgekeurd, legt het uit: "Goedgekeurd omdat u deze buur vertrouwt, en het doel essentieel is voor het net."
Dit bouwt vertrouwen op omdat je niet in het donker hoeft te gissen.

4. Het Veiligheidsteam (Drempelgeheimdeling)

Zelfs nadat een deal is gesloten, zorgt het systeem ervoor dat geen enkele persoon kan bedriegen.

De Analogie: Stel je een bankkluis voor die drie verschillende sleutels vereist, in handen van drie verschillende personen, om te openen. Zelfs als één persoon omgekocht wordt of gehackt wordt, blijft de kluis gesloten. In X-NegoBox wordt de "sleutel" om de uiteindelijke data vrij te geven opgesplitst. Het opent alleen als genoeg vertrouwde onderdelen akkoord gaan, waardoor voorkomen wordt dat een enkele slechte actor je data steelt.

Wat Vonden Ze?

De onderzoekers testten dit systeem met echte energiedata uit verschillende steden en gesimuleerde scenario's met 100 huishoudens.

Beter Succespercentage: In tegenstelling tot oude systemen die te vaak "Nee" zeggen, vond X-NegoBox een manier om 60% tot 87% van de tijd "Ja" te zeggen (of "Ja, maar met aanpassingen"), afhankelijk van de situatie.
Privacybescherming: Het voorkwam succesvol privacylekken door ervoor te zorgen dat het "privacy-budget" niet te snel werd uitgegeven.
Snelheid: De onderhandeling gebeurt in milliseconden, snel genoeg voor realtime gebruik op reguliere huishoudelijke apparaten.

Samenvattend:
X-NegoBox verandert datadelen van een star "alles-of-niets" spel in een flexibel gesprek. Het houdt je ruwe data vergrendeld in je huis, onderhandelt over de beste deal op basis van vertrouwen en doel, legt zijn beslissingen duidelijk uit, en zorgt ervoor dat zelfs als het systeem onder aanval staat, je geheimen veilig blijven.

1. Probleemstelling

De decentralisatie van moderne energiesystemen heeft consumenten getransformeerd tot prosumers die gedetailleerde energiedata (bijvoorbeeld lastprofielen, PV-productie, apparaatgebruik) uitwisselen voor peer-to-peer (P2P)-handel, vraagrespons en prognoses. Deze data onthult echter gevoelige huishoudelijke patronen (bewoning, levensstijl, routines), wat aanzienlijke privacyrisico's creëert.

Beperkingen van bestaande oplossingen:

Statische beleidsregels: Huidige mechanismen vertrouwen op vaste toegangscontroles of vooraf bepaalde Differential Privacy (DP)-budgetten. Ze missen aanpassingsvermogen aan variërende datasensitiviteit, de intentie van de requester of vertrouwensniveaus.
Gebrek aan transparantie: Prosumers ontvangen zelden uitleg waarom een dataverzoek wordt geaccepteerd, afgewezen of gewijzigd, wat het vertrouwen ondermijnt.
Data-expositie: Veel benaderingen vereisen dat ruwe data de controle van de gebruiker verlaat of vertrouwen op gecentraliseerde "clean rooms", wat het aanvalsoppervlak vergroot.
Stijfheid: Vaste DP-budgetten leiden tot ofwel voortijdige uitputting van het budget (wat nuttige datadeling blokkeert) ofwel excessieve privacylekken.

2. Methodologie: Het X-NegoBox-kader

X-NegoBox is een gedistribueerd kader dat adaptief privacybudgetteren en transparante besluitvorming mogelijk maakt, terwijl ruwe data lokaal blijft. Het werkt volgens het "Run Code, Not Data"-paradigma.

Kernarchitectuurcomponenten

Private DataBox: Een lokaal rekenenclave (in het huishouden of aan de rand) waar de ruwe data resideert. Het handhaaft privacybeperkingen en zorgt ervoor dat ruwe data de box nooit verlaat.
Autonoom Protocol voor Privacy-Budgetonderhandeling (APBNP): De kernmotor die dynamisch een optimaal DP-budget ( $\epsilon^*$ $ϵ^{*}$ ) berekent voor elk verzoek.
- Invoer: Sensitiviteit van kenmerken ( $S_x$ ), vertrouwen van de requester ( $T_{ij}$ ), verklaarde doelmatigheid ( $P(p)$ ) en resterend cumulatief budget ( $H_j$ ).
- Optimalisatie: Oplossing voor $\epsilon^*$ door een nut-risicoscore te maximaliseren:
  $\epsilon^* = \arg \max_{\epsilon} \left( \lambda_1 U(\epsilon) - \lambda_2 R(\epsilon) + \lambda_3 T_{ij} + \lambda_4 P(p) - \lambda_5 C(\epsilon) \right)$
- Resultaten:
  - Goedkeuring: Als $\epsilon^*$ binnen de beperkingen past.
  - Tegenbod: Als het verzoek te gevoelig is, stelt APBNP wijzigingen voor (bijvoorbeeld lagere temporele resolutie, kortere duur) om een haalbaar $\epsilon^*$ te vinden.
  - Afwijzing: Als er geen haalbare configuratie bestaat.
Uitlegbaar Overeenkomstlaag (X-Contract): Genereert mens- en machineleesbare uitleg voor elke beslissing (goedkeuring, afwijzing of tegenbod). Het vertaalt technische scores (sensitiviteit, vertrouwen, budget) naar actievaardige redenen (bijvoorbeeld "Afgewezen vanwege hoge sensitiviteit op apparaatniveau en een laag resterend budget").
Veilige Uitvoeringsomgeving (Sandbox):
- Requester-code wordt gevalideerd en uitgevoerd binnen de DataBox.
- Het systeem past DP-ruis toe ( $\tilde{y} = y + \text{Noise}(\epsilon^*, S_x)$ ) op de output voordat deze vrijgegeven wordt.
- Voorkomt side-channel-aanvallen, code-injectie en ongeautoriseerde data-exfiltratie.
Threshold Secret Sharing (TSS): Wordt gebruikt voor autorisatie. Een ondertekeningskey wordt verdeeld over $n$ knooppunten; minstens $k$ knooppunten moeten samenwerken om de key te reconstrueren en de vrijgave van gesanitized outputs te autoriseren, wat eenzijdige openbaarmaking voorkomt.

Belangrijke Scoremechanismen

Sensitiviteit van Kenmerken ( $S_x$ ): Aggregeert risicogewichten van aangevraagde kenmerken (bijvoorbeeld locatie = 1.0, apparaatgebruik = 0.7, geaggregeerde last = 0.2).
Vertrouwensscore ( $T_{ij}$ ): Gebaseerd op historische contractsucces, outputkwaliteit en uitlijning met het verklaarde doel.
Doelmatigheid ( $P(p)$ ): Een statische score (0–1) gebaseerd op wettelijke noodzaak (bijvoorbeeld Facturatie = 1.0, Gedragsprofielering = 0.1).

3. Belangrijkste Bijdragen

Uitlegbaar Autonoom Onderhandelen: Een kader dat prosumers toestaat om dynamisch privacybudgetten te onderhandelen met transparante rechtvaardigingen, ter vervanging van statische beleidsregels.
APBNP-protocol: Een optimalisatiealgoritme dat per-verzoek DP-budgetten toewijst op basis van een meerfactorenscoresysteem (sensitiviteit, vertrouwen, doel, kosten).
X-Contract-laag: Een speciale module voor het genereren van interpreteerbare uitleg voor contractbeslissingen, wat vertrouwen en naleving van regelgeving versterkt.
Veilige "Run Code, Not Data"-Sandbox: Een lokale uitvoeringsomgeving die code valideert, DP afdwingt en zorgt dat ruwe data nooit de controle van de prosumer verlaat.
Uitgebreide Evaluatie: Validatie op realistische energiemarktwerklasten die een verbeterde privacybehoud en acceptatiepercentages aantonen.

4. Experimentele Resultaten

Het kader werd geëvalueerd met behulp van real-world datasets (UCI Household, DE/FR/IT nationale lasten) en synthetische smart-grid-simulaties (100 prosumers).

Acceptatiestabiliteit: In 48 scenario's met verschillende datasets en onderhandelingspatronen bleef het gemiddelde acceptatiepercentage stabiel op ~60% ( $\sigma = 0.013$ ). Dit geeft aan dat het systeem "alles-of-niets"-gedrag vermijdt en zich goed aanpast aan dataheterogeniteit.
Efficiëntie van Privacybudget:
- In vergelijking met een vaste- $\epsilon$ -baseline (die budgetten na ~80 verzoeken leegde), handhaafde APBNP langetermijndeling.
- In een simulatie met 100 prosumers bereikte het systeem een acceptatiepercentage van 87,49% met een gemiddeld resterend budget van 0,765 per prosumer, wat bewijst dat het privacybronnen niet voortijdig uitput.
Budgetsensitiviteit:
- Schaarsteregime ( $\epsilon_0 \le 2$ ): Hoge afwijzingspercentages om privacy te beschermen.
- Stabiel Regime ( $4 \le \epsilon_0 \le 7$ ): Acceptatie verzadigt tot bijna 99%.
- Overvloedregime ( $\epsilon_0 \ge 8$ ): Acceptatie bereikt 100%, wat afnemende meeropbrengsten toont bij het verhogen van budgetten boven een bepaald punt.
Prestatie-Overhead:
- Onderhandelingsduur: 0,32 ms per verzoek.
- Uitleggeneratie: 0,006 ms.
- Sandbox-uitvoeringsoverhead: ~121% relatief, maar absolute tijd < 0,02 ms, wat het geschikt maakt voor real-time randdeployments.
Robuustheid: Uitleg bleef stabiel (97,25% onveranderd) zelfs wanneer invoerscores met ±5% werden verstoord.

5. Betekenis en Impact

Vertrouwenopbouw: Door duidelijke, actievaardige uitleg te geven voor data-deelbeslissingen, adresseert X-NegoBox het "black box"-probleem in privacybehoudende systemen, wat prosumerparticipatie aanmoedigt.
Adaptieve Privacy: Gaat voorbij aan rigide, één-maat-voor-alle DP-budgetten naar een contextbewust model dat nut en risico in evenwicht brengt op basis van wie er vraagt, wat ze willen en waarom.
Schaalbaarheid: De lage computatie-overhead en het lokale uitvoeringsmodel maken het haalbaar voor deploy op middelen-beperkte randapparaten (bijvoorbeeld slimme meters, thuisgateways).
Naleving van Regelgeving: De uitlegbaarheidslaag en auditlogs ondersteunen naleving van regelgeving zoals de AVG, die transparantie vereist in geautomatiseerde besluitvorming.
Toekomst van P2P-Energie: Maakt beveiligde, gedetailleerde data-uitwisseling mogelijk die noodzakelijk is voor geavanceerde P2P-energiehandel en netbalancering zonder de privacy van huishoudens te compromitteren.

Concluderend slaagt X-NegoBox erin de kloof te overbruggen tussen de behoefte aan gedetailleerde energiedata en de noodzaak van privacybescherming, en biedt het een schaalbare, uitlegbare en adaptieve oplossing voor het toekomstige decentrale energielandschap.