[論文レビュー] Calibrating Data to Sensitivity in Private Data Analysis

Davide Proserpio, Sharon Goldberg+1 more|arXiv (Cornell University)|Mar 15, 2012

Privacy-Preserving Technologies in Data被引用数 30

ひとこと要約

この論文では、ノイズの大きさを増やすのではなく、重み付きデータセットにおける感受性の高いレコードの重みを低減することで、正確性を向上させる、微分プライバシー対応データ分析プラットフォームwPINQを紹介する。グラフにおける高次数ノードに特に注目した非一様な重みスケーリングにより、最悪ケースのノイズスケーリングを上回る正確性を達成し、ソーシャルネットワークやグラフモチーフの正確なプライバシー保護分析を可能にする。

ABSTRACT

We present an approach to differentially private computation in which one does not scale up the magnitude of noise for challenging queries, but rather scales down the contributions of challenging records. While scaling down all records uniformly is equivalent to scaling up the noise magnitude, we show that scaling records non-uniformly can result in substantially higher accuracy by bypassing the worst-case requirements of differential privacy for the noise magnitudes. This paper details the data analysis platform wPINQ, which generalizes the Privacy Integrated Query (PINQ) to weighted datasets. Using a few simple operators (including a non-uniformly scaling Join operator) wPINQ can reproduce (and improve) several recent results on graph analysis and introduce new generalizations (e.g., counting triangles with given degrees). We also show how to integrate probabilistic inference techniques to synthesize datasets respecting more complicated (and less easily interpreted) measurements.

研究の動機と目的

• グラフ解析において、単一のエッジがクエリ出力を著しく変化させる可能性があるため、最悪ケースの感受性バインドによって引き起こされる高いノイズオーバーヘッドに対処すること。
• PINQ や Airavat のような既存のプライバシー保護プラットフォームは一様なノイズスケーリングに依存しており、複雑なグラフクエリで困難をきたすという制限を克服すること。
• 重み付きデータセットと一般演算（非一様ジョインやグループバイなど）をサポートする、宣言的でSQLに類似した言語（wPINQ）を開発すること。
• インクリメンタルMCMC推論を用いて、自動的にプライバシー証明と合成データセット生成を実現し、アナリストの使いやすさと正しさを向上させること。
• データ依存の重みスケーリングが、最悪ケースの感受性バインドを回避し、一様なノイズスケーリングやレコード破棄よりも高い正確性を達成できることを示すこと。

提案手法

• 重み付きデータセットを、レコードに実数値の重複度を許容することで、多重集合の一般化として導入し、感受性に対する細かな制御を可能にする。
• 高感受性レコード（例：高次数ノードに接続するエッジ）の寄与を抑えるために、非一様な重みスケーリングを適用し、全体の感受性を低減する。
• 重み付きジョインやグループバイなどの演算子を備えた宣言的言語wPINQを設計し、微分プライバシー保証を維持したまま複雑なグラフクエリを可能にする。
• インクリメンタル計算を活用し、wPINQの測定値と一致するデータセットを合成するMCMCベースの確率的推論エンジンを実装する。
• 例として、三角形の重みを $1/\max\{d_a, d_b, d_c\}$ に設定することで、入力エッジごとの総影響が有界になるように重みをキャリブレーションする。
• 重み付き変換の安定性を用いて形式的にプライバシーを証明し、最悪ケースの感受性バインドに依存せずに微分プライバシーを保証する。

実験結果

リサーチクエスチョン

• RQ1 重み付きデータセットにおけるデータ依存の重みスケーリングは、プライバシーを損なわせることなく、微分プライバシー解析におけるノイズ要件を低減できるか？
• RQ2 wPINQのような宣言的言語が、三角形カウントやモチーフカウントなどの複雑なグラフクエリを、エンドツーエンドの微分プライバシー保証を維持した上でどのようにサポートできるか？
• RQ3 重み付きデータセットは、従来のノイズスケーリング手法に比べて、グラフ解析においてどの程度正確性を向上させられるか？
• RQ4 インクリメンタルMCMC推論を用いて、wPINQにおける複雑で非一様な測定値を尊重する合成データセットを自動生成できるか？
• RQ5 wPINQのアプローチは、スムーズ感受性やレコードトリミングといった既存手法と比較して、正確性とプライバシー保証の面でどの程度優れているか？

主な発見

• wPINQは、ノイズを増幅するのではなく感受性の高いレコードの重みを低減することで、定数次数のグラフにおいて従来の微分プライバシー手法よりも顕著に高い正確性を達成する。
• 三角形カウントにおいて、各三角形の重みを $1/\max\{d_a, d_b, d_c\}$ に設定することで、エッジ1つあたりの総重み変化が定数に抑えられ、$O(|V|)$ のノイズスケーリングを回避する定数オーダーのノイズが可能になる。
• プラットフォームは、度数分布や共同度数分布のプライベート計算といった、先行研究の結果を正確に再現し、さらに向上させた。
• wPINQは、特定の次数を持つ三角形のプライベートカウントやモチーフ解析といった、従来のシステムではネイティブにサポートされていなかった新機能を実現できる。
• wPINQのインクリメンタルMCMC推論エンジンは、複雑な測定値と一致するデータセットを効率的に合成し、従来は手動設計が必要だったプロセスを自動化する。
• wPINQのアプローチは、スムーズ感受性やレコード破棄の欠点を避け、データを保持したまま影響を選択的に低減することで、正確性とプライバシーの間の滑らかなトレードオフを実現する。