[論文レビュー] Differentially Private Continual Release of Graph Statistics

Shuang Song, Susan J. Little+3 more|arXiv (Cornell University)|Sep 7, 2018

Privacy-Preserving Technologies in Data参考文献 17被引用数 15

ひとこと要約

本稿では、動的ネットワークにおけるグラフ統計の段階的でプライバシー保護されたリリースメカニズムを提案する。ノード次数の公開された上界を活用することで、差分列の感度を低く保つ。生の統計ではなく、変化量にのみノイズを適用するため、特に実世界および合成ネットワークにおける次数分布や部分グラフカウントにおいて、ベースライン手法に比べて顕著に優れたプライバシー・ユーティリティトレードオフを達成する。

ABSTRACT

Motivated by understanding the dynamics of sensitive social networks over time, we consider the problem of continual release of statistics in a network that arrives online, while preserving privacy of its participants. For our privacy notion, we use differential privacy -- the gold standard in privacy for statistical data analysis. The main challenge in this problem is maintaining a good privacy-utility tradeoff; naive solutions that compose across time, as well as solutions suited to tabular data either lead to poor utility or do not directly apply. In this work, we show that if there is a publicly known upper bound on the maximum degree of any node in the entire network sequence, then we can release many common graph statistics such as degree distributions and subgraph counts continually with a better privacy-accuracy tradeoff. Code available at https://bitbucket.org/shs037/graphprivacycode

研究の動機と目的

• ノードとエッジがオンラインで到着する動的ネットワークから、次数分布や部分グラフカウントなどのグラフ統計を継続的かつプライバシー保護された形でリリースすることを可能にすること。
• 進化するネットワーク構造に直面しても、強いプライバシー（ノード微分プライバシー）を維持しつつ、高いユーティリティを確保することの挑戦に応えること。
• オンライングラフ設定において、既存ノードに接続する新しいエッジを考慮しない従来の表形式データ手法の限界を克服すること。
• 公開された最大次数の上限が与えられている場合、差分列の感度が長さに依存せず低く保たれることを示し、正確なノイズ追加が可能になること。

提案手法

• 連続する時刻間でのグラフ統計の増分変化を定義する「差分列」の概念を導入し、感度を低減すること。
• ノード次数の既知の上界がある場合、差分列のグローバル感度が長さに依存せず有界であり、その値が一定であることを証明すること。
• 有界感度に比例したノイズスケーリングを用いて、差分列にラプラス機構を適用し、ノード微分プライバシーを保証すること。
• 主に2つのアルゴリズムを用いる：Compose-D-bounded（直接的に次数上限を用いる）およびCompose-projection（高次ノードを投影して感度を低減する）。
• 各時刻でノイズを加えた差分の累積和を用いて、プライベート統計を再構築することで、強力なプライバシー保証のもとで継続的リリースを実現すること。
• 実世界および合成データセット上で手法を実装・評価し、生の統計に直接微分プライバシーを適用するか、全列にわたるグローバル感度を用いるベースラインと比較すること。

実験結果

リサーチクエスチョン

• RQ1 動的ネットワークにおけるノード次数の有界性を活用することで、グラフ統計の段階的リリースにおいて、プライバシー・ユーティリティトレードオフを改善できるか？
• RQ2 既知の最大次数制約下で、グラフ統計の差分列の感度はどのように振る舞い、効率的な微分プライバシー機構の設計に利用可能か？
• RQ3 提案手法は、次数分布や部分グラフカウントのユーティリティにおいて、ナーブな合成や生の統計に直接微分プライバシーを適用する手法に比べて優れているか？
• RQ4 高次ノードが存在する状況において、射影法の選択や直接感度推定の方法が、手法の性能にどの程度影響を及えるか？
• RQ5 ネットワークサイズの増大および時間の経過に伴い、再構築された統計における誤差蓄積の観点から、手法のスケーラビリティはどの程度か？

主な発見

• 次数分布や部分グラフカウントといった一般的なグラフ統計の差分列の感度は、公開された最大次数の上限にのみ依存し、列の長さとは無関係であるため、効率的なノイズ追加が可能である。
• Compose-D-boundedおよびCompose-projectionの両手法とも、生の統計に直接微分プライバシーを適用するか、全列にわたるグローバル感度を用いるベースラインに比べ、顕著に高いユーティリティを達成している。
• 実世界のデータセット（例：HIV感染伝播ネットワーク）および合成スケールフリー・ネットワークにおいて、さまざまなプライバシーパラメータ下で、提案手法はベースラインに比べて統計の誤差を最大50％まで低減している。
• 再構築された統計における誤差の標準偏差はO(√t)の速度で増加するが、これはナーブな合成法で見られるO(T)の増加に比べて著しく遅い。
• ネットワークが時間とともに成長しても、強力なノード微分プライバシーの保証を維持しながら、正確で継続的なグラフ統計のリリースを可能としている。
• 理論的分析により、差分列のグローバル感度がD（有向グラフではDin + Dout）で有界であることが確認されており、制御されたノイズを用いたラプラス機構の適用が可能であることが示された。