X-NegoBox: An Explainable Privacy-Budget Negotiation Framework for Secure Peer-to-Peer Energy Data Exchange

1. Declaração do Problema

A descentralização dos sistemas energéticos modernos transformou os consumidores em prosumidores que trocam dados granulares de energia (por exemplo, curvas de carga, geração de PV, uso de eletrodomésticos) para negociação peer-to-peer (P2P), resposta à demanda e previsão. No entanto, esses dados revelam padrões sensíveis do domicílio (ocupação, estilo de vida, rotinas), criando riscos significativos de privacidade.

Limitações das Soluções Existentes:

• Políticas Estáticas: Mecanismos atuais dependem de controles de acesso fixos ou orçamentos de Privacidade Diferencial (DP) predeterminados. Eles carecem de adaptabilidade à sensibilidade variável dos dados, à intenção do solicitante ou aos níveis de confiança.
• Falta de Transparência: Prosumidores raramente recebem explicações sobre por que uma solicitação de dados é aceita, rejeitada ou modificada, corroendo a confiança.
• Exposição de Dados: Muitas abordagens exigem que dados brutos saiam do controle do usuário ou dependam de "salas limpas" centralizadas, aumentando a superfície de ataque.
• Rigidez: Orçamentos DP fixos levam ao esgotamento prematuro do orçamento (bloqueando o compartilhamento útil de dados) ou a vazamentos excessivos de privacidade.

2. Metodologia: O Framework X-NegoBox

O X-NegoBox é um framework distribuído que permite orçamentação de privacidade adaptativa e tomada de decisão transparente, mantendo os dados brutos confinados localmente. Ele opera sob o paradigma "Executar Código, Não Dados".

Componentes da Arquitetura Central

1. Private DataBox: Um enclave de computação local (no domicílio ou na borda) onde residem os dados brutos. Ele impõe restrições de privacidade e garante que os dados brutos nunca saiam da caixa.
2. Protocolo Autônomo de Negociação de Orçamento de Privacidade (APBNP): O motor central que calcula dinamicamente um orçamento DP ótimo ($\epsilon^*$) para cada solicitação.
   • Entradas: Sensibilidade do recurso ($S_x$), confiança do solicitante ($T_{ij}$), compatibilidade do propósito declarado ($P(p)$) e orçamento cumulativo restante ($H_j$).
   • Otimização: Resolve para $\epsilon^*$ maximizando uma pontuação de utilidade-risco:
     $$\epsilon^* = \arg \max_{\epsilon} \left( \lambda_1 U(\epsilon) - \lambda_2 R(\epsilon) + \lambda_3 T_{ij} + \lambda_4 P(p) - \lambda_5 C(\epsilon) \right)$$
   • Resultados:
     • Aprovação: Se $\epsilon^*$ se encaixar nas restrições.
     • Contraproposta: Se a solicitação for muito sensível, o APBNP propõe modificações (por exemplo, menor resolução temporal, duração mais curta) para encontrar um $\epsilon^*$ viável.
     • Rejeição: Se nenhuma configuração viável existir.
3. Camada de Acordo Explicável (X-Contract): Gera explicações legíveis por humanos e máquinas para cada decisão (aprovação, rejeição ou contraproposta). Traduz pontuações técnicas (sensibilidade, confiança, orçamento) em fundamentos acionáveis (por exemplo, "Rejeitado devido à alta sensibilidade ao nível de eletrodomésticos e baixo orçamento restante").
4. Sandbox de Execução Segura:
   • O código do solicitante é validado e executado dentro do DataBox.
   • O sistema aplica ruído DP ($\tilde{y} = y + \text{Ruído}(\epsilon^*, S_x)$) à saída antes da liberação.
   • Previne ataques de canal lateral, injeção de código e exfiltração de dados não autorizada.
5. Compartilhamento Secreto de Limiar (TSS): Usado para autorização. Uma chave de assinatura é dividida entre $n$ nós; pelo menos $k$ nós devem cooperar para reconstruir a chave e autorizar a liberação de saídas sanitizadas, prevenindo divulgação unilateral.

Mecanismos de Pontuação Chave

• Sensibilidade do Recurso ($S_x$): Agrega pesos de risco dos recursos solicitados (por exemplo, localização = 1.0, uso de eletrodomésticos = 0.7, carga agregada = 0.2).
• Pontuação de Confiança ($T_{ij}$): Baseada no sucesso histórico de contratos, qualidade da saída e alinhamento com o propósito declarado.
• Compatibilidade de Propósito ($P(p)$): Uma pontuação estática (0–1) baseada na necessidade regulatória (por exemplo, Cobrança = 1.0, Perfilamento Comportamental = 0.1).

3. Contribuições Principais

1. Negociação Autônoma Explicável: Um framework que permite aos prosumidores negociar orçamentos de privacidade dinamicamente com justificativas transparentes, substituindo políticas estáticas.
2. Protocolo APBNP: Um algoritmo de otimização que aloca orçamentos DP por solicitação com base em um sistema de pontuação multifatorial (sensibilidade, confiança, propósito, custo).
3. Camada X-Contract: Um módulo dedicado para gerar explicações interpretáveis para decisões contratuais, aumentando a confiança e a conformidade regulatória.
4. Sandbox Segura "Executar Código, Não Dados": Um ambiente de execução local que valida código, impõe DP e garante que dados brutos nunca saiam do controle do prosumidor.
5. Avaliação Abrangente: Validação em cargas de trabalho realistas de mercado de energia, demonstrando melhoria na preservação de privacidade e taxas de aceitação.

4. Resultados Experimentais

O framework foi avaliado usando conjuntos de dados do mundo real (UCI Household, cargas nacionais DE/FR/IT) e simulações sintéticas de redes inteligentes (100 prosumidores).

• Estabilidade de Aceitação: Em 48 cenários envolvendo diferentes conjuntos de dados e padrões de negociação, a taxa média de aceitação permaneceu estável em ~60% ($\sigma = 0.013$). Isso indica que o sistema evita o comportamento "tudo ou nada" e adapta-se bem à heterogeneidade dos dados.
• Eficiência do Orçamento de Privacidade:
  • Comparado a uma linha de base de $\epsilon$ fixo (que esgotou orçamentos após ~80 solicitações), o APBNP sustentou o compartilhamento de longo prazo.
  • Em uma simulação de 100 prosumidores, o sistema alcançou uma taxa de aceitação de 87,49% com um orçamento médio restante de 0,765 por prosumidor, provando que não esgota prematuramente os recursos de privacidade.
• Sensibilidade do Orçamento:
  • Regime de Escassez ($\epsilon_0 \le 2$): Altas taxas de rejeição para proteger a privacidade.
  • Regime Estável ($4 \le \epsilon_0 \le 7$): A aceitação satura perto de 99%.
  • Regime de Excedente ($\epsilon_0 \ge 8$): A aceitação atinge 100%, mostrando retornos decrescentes ao aumentar orçamentos além de um certo ponto.
• Sobrecarga de Desempenho:
  • Tempo de negociação: 0,32 ms por solicitação.
  • Geração de explicação: 0,006 ms.
  • Sobrecarga de execução da sandbox: ~121% relativa, mas tempo absoluto < 0,02 ms, tornando-a adequada para implantação em tempo real na borda.
• Robustez: As explicações permaneceram estáveis (97,25% inalteradas) mesmo quando as pontuações de entrada foram perturbadas por ±5%.

5. Significado e Impacto

• Construção de Confiança: Ao fornecer explicações claras e acionáveis para decisões de compartilhamento de dados, o X-NegoBox aborda o problema da "caixa preta" em sistemas de preservação de privacidade, incentivando a participação de prosumidores.
• Privacidade Adaptativa: Vai além de orçamentos DP rígidos e de tamanho único para um modelo consciente do contexto que equilibra utilidade e risco com base em quem está perguntando, o que eles querem e por quê.
• Escalabilidade: A baixa sobrecarga computacional e o modelo de execução local tornam viável a implantação em dispositivos de borda com recursos limitados (por exemplo, medidores inteligentes, gateways domésticos).
• Conformidade Regulatória: A camada de explicabilidade e os logs de auditoria apoiam a conformidade com regulamentos como o GDPR, que exigem transparência na tomada de decisão automatizada.
• Futuro da Energia P2P: Permite a troca segura e granular de dados necessária para negociação avançada de energia P2P e equilíbrio de rede sem comprometer a privacidade do domicílio.

Em conclusão, o X-NegoBox conecta com sucesso a lacuna entre a necessidade de dados energéticos granulares e o imperativo de proteção de privacidade, oferecendo uma solução escalável, explicável e adaptativa para a futura paisagem energética descentralizada.