[論文レビュー] Context-Aware Local Differential Privacy

Jayadev Acharya, Keith Bonawitz+3 more|arXiv (Cornell University)|Oct 31, 2019

Privacy-Preserving Technologies in Data参考文献 33被引用数 5

ひとこと要約

本稿は、データの感受性に応じてプライバシー予算を可変にする文脈に配慮した局所的微分プライバシー（LDP）フレームワークを導入し、分布推定における有効性を向上させる。二値ドメインでは、普遍的に最適なプライバシティゼーション方式を提供する。$k$-値ドメインでは、ブロック構造型およびハイ・ローLDPモデルを提案し、文脈に配慮したLDPが古典的LDPに比べて標本複雑性を低減し、特に位置情報とウェブ閲覧履歴の応用において精度を向上させることを示す。

ABSTRACT

Local differential privacy (LDP) is a strong notion of privacy for individual users that often comes at the expense of a significant drop in utility. The classical definition of LDP assumes that all elements in the data domain are equally sensitive. However, in many applications, some symbols are more sensitive than others. This work proposes a context-aware framework of local differential privacy that allows a privacy designer to incorporate the application's context into the privacy definition. For binary data domains, we provide a universally optimal privatization scheme and highlight its connections to Warner's randomized response (RR) and Mangat's improved response. Motivated by geolocation and web search applications, for $k$-ary data domains, we consider two special cases of context-aware LDP: block-structured LDP and high-low LDP. We study discrete distribution estimation and provide communication-efficient, sample-optimal schemes and information-theoretic lower bounds for both models. We show that using contextual information can require fewer samples than classical LDP to achieve the same accuracy.

研究の動機と目的

• 古典的局所的微分プライバシー（LDP）は、すべてのデータ要素を同等の感受性として扱うが、これは高い有効性コストを伴うため、これを是正すること。
• アプリケーション固有の文脈（例：データの感受性や構造）に応じてプライバシーパラメータを変化させることを可能にする、文脈に配慮したLDPの統合的フレームワークの構築。
• ブロック構造型LDPとハイ・ローLDPという2つの実用的モデルにおける、プライバシティゼーションおよび推定スキームの標本複雑性と通信効率を同定すること。
• 文脈的情報を統合することで、与えられた推定精度を達成するための標本数を古典的LDPに比べて削減できることを実証すること。

提案手法

• 各ドメイン要素ペアごとにプライバシー損失バウンドを定義する一般化された文脈に配慮したLDPの定義を提案し、任意の感受性レベルを許容する。
• 二値ドメインでは、ウォーナーのランダム化反応とマンガットの改善反応の間を補間する普遍的に最適なプライバシティゼーション機構を導出する。
• データドメインをブロックに分割し、ブロック内での同一性のみを保護するブロック構造型LDPを導入する。位置情報やインカウンセイドデータへの応用を想定する。
• 感受性のある要素の一部のみを保護するハイ・ローLDPを導入する。ウェブ閲覧で感受性と非感受性のURLが混在する状況に適している。
• 両モデルにおける通信および計算効率の良いプライバシティゼーションおよび推定スキームを設計し、標本複雑性に関する理論的保証を提供する。
• 情報理論的下界とカイ二乗距離解析を用いて、文脈に配慮したLDP下での推定誤差のタイトな境界を確立する。

実験結果

リサーチクエスチョン

• RQ1 文脈に配慮したLDPフレームワークは、データの感受性を活用することで、古典的LDPに比べて分布推定の標本複雑性を低減できるか？
• RQ2 文脈に配慮したLDP下での二値ドメインにおける最適プライバシティゼーション機構は何か？ また、ウォーナーの反応やマンガットの反応といった既存手法とどのように関係するか？
• RQ3 ブロック構造型LDPは、都市内の正確な位置情報のみを隠す必要がある位置情報応用において、どのように有効性を向上させるか？
• RQ4 感受性のある要素の一部のみが保護対象であるハイ・ローLDP下での分布推定の理論的標本複雑性は何か？
• RQ5 実世界のデータセット（例：Gowallaのチェックイン）では、文脈に配慮したLDPが古典的LDPに比べてどれほど有効性の向上を示すか？

主な発見

• 二値ドメインでは、提案された普遍的に最適なプライバシティゼーション方式が、プライバシーと有効性の最良のトレードオフを達成し、ウォーナーの反応とマンガットの反応の両方を一般化する。
• ブロック構造型LDPでは、$k$-値分布推定における標本複雑性が古典的LDPに比べて顕著に低減され、特にブロック数$m$が増加するほど顕著になる。
• $k=1000$, $\varepsilon=1$, $m=100$ の合成実験では、ブロック構造型LDPが$d_{TV}$誤差0.082を達成したのに対し、古典的LDPでは0.591であった。
• Gowallaデータセット（$43,750$個の場所）では、ブロック構造型LDPが、$m_1=25, m_2=70$ の条件下で、$d_{TV}$誤差を古典的LDPの0.591から0.082に削減した。
• 理論的解析により、ブロック構造型LDP下での標本複雑性は$\Theta\left(\frac{\sum k_i^2}{\alpha^2 \varepsilon^2}\right)$にスケーリングするが、ブロックが小さい場合、古典的LDPの$\Theta\left(\frac{k^2}{\alpha^2 \varepsilon^2}\right)$よりも低くなることが示された。
• 実験により、ブロック数（つまり、細分化の程度）を増やすことで推定精度が向上することが確認され、文脈に配慮したLDPの理論的利点が裏付けられた。