[論文レビュー] Bayesian and Frequentist Semantics for Common Variations of Differential Privacy: Applications to the 2020 Census

Daniel Kifer, John M. Abowd+6 more|arXiv (Cornell University)|Sep 7, 2022

Privacy-Preserving Technologies in Data被引用数 10

ひとこと要約

本稿は、2020年米国国勢調査の選挙区再編データに適用された5つの主要な微分的プライバシーの亜種—純粋、近似的、Rényi、ゼロ集中、およびf-微分的プライバシー—について、包括的な意味解釈を提供する。プライバシー損失パラメータの解釈性を向上させるために、確率的境界付き微分的プライバシー（pbdp）を導入し、頻度主義的仮説検定とベイズ的事後分布対事後分布比較を通じてプライバシー保証をフレームする。さらに、Rényiおよびゼロ集中DPの新しいベイズ的意味解釈を提供し、実世界のデータ公開における、カスタマイズ可能で細分化されたプライバシー保証を可能にする。

ABSTRACT

The purpose of this paper is to guide interpretation of the semantic privacy guarantees for some of the major variations of differential privacy, which include pure, approximate, Rényi, zero-concentrated, and $f$ differential privacy. We interpret privacy-loss accounting parameters, frequentist semantics, and Bayesian semantics (including new results). The driving application is the interpretation of the confidentiality protections for the 2020 Census Public Law 94-171 Redistricting Data Summary File released August 12, 2021, which, for the first time, were produced with formal privacy guarantees.

研究の動機と目的

• 2020年国勢調査で使用された主要な微分的プライバシー亜種の統計的意味解釈を明確化し、政策立案および技術的意思決定を支援すること。
• 近似的微分的プライバシーにおけるδパラメータの広範な誤解を是正するため、確率的境界付き微分的プライバシー（pbdp）を導入すること。
• 純粋、近似的、Rényi、ゼロ集中、およびf-微分的プライバシーのプライバシー損失パラメータを、頻度主義的およびベイズ的視点から統一的かつ解釈可能にすること。
• 特に2020年国勢調査の選挙区再編データを対象として、事後分布対事後分布比較を用いた、実世界のデータ公開におけるプライバシー保証の評価フレームワークを提供すること。

提案手法

• f-微分的プライバシーの再パラメータ化として、プライバシー損失パラメータの解釈性を向上させる確率的境界付き微分的プライバシー（pbdp）を提案する。
• プライバシー損失確率変数（PLRV）の観点からプライバシー保証を分析し、尤度比検定および頻度主義的仮説検定と結びつける。
• プライバシーの評価にベイズ的事後分布対事後分布比較を適用し、一般知識とプライバシー侵害を混同する誤った事前分布対事後分布比較を回避する。
• Rényiおよびゼロ集中微分的プライバシーのための新しいベイズ的意味解釈を導出し、これらがpbdpとどのように関連するかを示し、事後分布比の変化に上限を与える。
• 理論的プライバシー意味解釈を実世界の実装に根ざさせるために、2020年国勢調査の開示回避システム（DAS）を生産環境として用いる。
• 純粋、近似的、Rényi、zCDP、およびf-DPの複数のプライバシー定義を統合し、細分化可能で文脈特化型のプライバシー保証を可能にする整合的フレームワークを構築する。

実験結果

リサーチクエスチョン

• RQ1 異なる微分的プライバシー亜種のプライバシー損失パラメータは、政策および統計的文脈においてどのように意味的に解釈できるか？
• RQ2 特に仮説検定における第一種および第二種の誤りのトレードオフという観点から、微分的プライバシー定義の頻度主義的含意は何か？
• RQ3 ベイズ的事後分布対事後分布比較は、従来の事前分布対事後分布比較に比べて、どのようにより洗練されたプライバシー保証を提供するか？
• RQ4 近的微分的プライバシーにおけるδパラメータの役割は何か？なぜそれがしばしば誤解されるのか？
• RQ5 確率的境界付き微分的プライバシー（pbdp）は、標準的な近的DPに比べて、なぜより解釈可能な代替手段として機能するのか？

主な発見

• 本稿は、f-微分的プライバシーの再パラメータ化としての確率的境界付き微分的プライバシー（pbdp）を導入し、標準的な(ε,δ)-DPに比べて、より解釈可能なプライバシー損失パラメータを提供する。
• Rényiおよびゼロ集中微分的プライバシーのための新しいベイズ的意味解釈を導出し、実際の攻撃者事後分布を想定した場合に、これら定義が意味的な事後分布対事後分布プライバシー保証を提供することを示した。
• プライバシー損失確率変数（PLRV）フレームワークにより、微分的プライバシーと頻度主義的仮説検定の直接的な接続が可能となり、プライバシーパラメータが第一種および第二種の誤りのトレードオフを制御することを示した。
• 本研究は、異なるプライバシー定義が相互に交換可能ではないこと、および包括的なプライバシー意味解釈を実現するには、純粋、近的、Rényi、zCDP、およびf-DPの組み合わせが必要であることを示した。
• 2020年国勢調査の選挙区再編データの公開は、これらの定義の適切な組み合わせにより、細分化されたプライバシー保証を達成しており、pbdpは近的DPにおけるδのより透明な代替手段を提供している。
• 本稿は、事後分布対事後分布比較に基づくベイズ的プライバシー意味解釈が、事前分布対事後分布比較の落とし穴を回避し、個人のプライバシーリスクをより正確に評価可能であることを示した。