[論文レビュー] A program logic for union bounds

Gilles Barthe, Marco Gaboardi+3 more|arXiv (Cornell University)|Feb 18, 2016

Privacy-Preserving Technologies in Data参考文献 23被引用数 8

ひとこと要約

本稿では、特に微分プライバシー機構を対象として、結合確率に基づく軽量な確率的ホーア論理aHLを提案する。失敗事象を非確率的アサーションとして表現し、累積的失敗確率を数値インデックスで追跡することで、非インタラクティブおよびインタラクティブなアルゴリズムの両方について、正確な境界を伴う構成的・モジュラーな検証を可能にする。

ABSTRACT

We propose a probabilistic Hoare logic aHL based on the union bound, a tool from basic probability theory. While the union bound is simple, it is an extremely common tool for analyzing randomized algorithms. In formal verification terms, the union bound allows flexible and compositional reasoning over possible ways an algorithm may go wrong. It also enables a clean separation between reasoning about probabilities and reasoning about events, which are expressed as standard first-order formulas in our logic. Notably, assertions in our logic are non-probabilistic, even though we can conclude probabilistic facts from the judgments. Our logic can also prove accuracy properties for interactive programs, where the program must produce intermediate outputs as soon as pieces of the input arrive, rather than accessing the entire input at once. This setting also enables adaptivity, where later inputs may depend on earlier intermediate outputs. We show how to prove accuracy for several examples from the differential privacy literature, both interactive and non-interactive.

研究の動機と目的

• 確率的プログラムの正確性を検証する課題、特に従来の形式手法が複雑な確率的推論を必要とする微分プライバシー分野に対処すること。
• 非確率的アサーションを用いるが、結合確率を通じて確率的結果の推論を可能にする軽量なホーア論理の開発。
• 非インタラクティブおよびインタラクティブなプログラム、特に逐次的に入力が到着するたびに出力を生成する適応的およびストリーミング型アルゴリズムをサポートすること。
• 事象の指定（1階論理式として）と確率的推論の間に明確な分離を設けることで、検証におけるモularityと再利用性を高めること。
• 具体的な微分プライバシー機構の正確性特性を、非インタラクティブおよびインタラクティブな両設定で検証することで、論理の有効性を示すこと。

提案手法

• 論理aHLは、⊢β c : Φ ⟹ Ψ の形の判断を用いる。ここでβは、プログラムcが前提条件Φのもとで後件条件Ψを満たすための最大許容失敗確率を表す。
• 失敗を表す事象は、標準的な1階論理アサーション（例：x > 10）として表現され、論理に直接確率的アサーションを含めない。
• 結合確率が形式的にエンコードされている：n個の失敗事象の各々の確率が≤βiであれば、総合的失敗確率は≤∑βiに抑えられ、構成的推論が可能になる。
• 標準ホーア論理への健全な埋め込みは、βインデックスを変数として維持するゴーストコードをプログラムに挿入することで定義され、既存の検証ツールとの統合を可能にする。
• 論理は、非インタラクティブおよびインタラクティブな設定の両方で、ラプラス機構および他の微分プライバシー機構の正確性を検証するために適用されている。
• 各相互作用ステップを別々の検証タスクとして扱うことで、後続の入力が以前の出力に依存する適応的入力に対しても対応可能である。

実験結果

リサーチクエスチョン

• RQ1 結合確率に基づく軽量なホーア論理は、確率的プログラムの正確性について、モジュラかつ構成的に検証可能か？
• RQ2 非確率的アサーションを用いて、非インタラクティブおよびインタラクティブなプログラム構造の両方の確率的結果を推論することは可能か？
• RQ3 適応的およびストリーミング型のプログラム、すなわち入力の到着に応じて逐次的に出力を生成するプログラムを処理できるか？
• RQ4 結合確率は、インタラクティブおよび適応的行動を示すものも含め、微分プライバシー機構の正確性を検証するのに十分か？
• RQ5 ゴーストコードによる埋め込みにより、標準ホーア論理にaHLを統合でき、既存の検証インfraの再利用が可能か？

主な発見

• 論理aHLは、個々のノイズ成分における結合確率を用いて、失敗確率がβ未満に抑えられるように、ラプラス機構の正確性を正当に検証した。
• OMW（Oblivious Multiplicative Weighting）アルゴリズムに関しては、サンプリングとラプラスノイズの境界を結合確率で組み合わせることで、正確性がβ未満の確率で成立することを証明した。
• 論理はインタラクティブおよび適応的プログラムをサポートしており、入力の到着に応じて中間出力を生成するコンポonentのモジュラー検証を可能にした。
• 著者らは、非関係的論理を用いて、非インタラクティブおよびインタラクティブな微分プライバシー機構の両方について、正確性の形式的検証を初めて実施した。
• ゴーストコードによるaHLの標準ホーア論理への健全な埋め込みにより、既存の検証ツールおよびフレームワークとの互換性が確保された。
• 本手法は表現力と単純さのバランスを達成しており、複雑な確率的推論を回避しつつも、結合確率のような一般的な確率的推論パターンに対して効果的である。