[論文レビュー] Differentially Private Release of Public Transport Data: The Opal Use Case

Hassan Jameel Asghar, Paul Tyler+1 more|arXiv (Cornell University)|May 16, 2017

Privacy-Preserving Technologies in Data参考文献 4被引用数 3

ひとこと要約

本論文では、シドニーのオパルスマートカードシステムからの公共交通機関データの微分プライバシー的公開を提示している。プライバシーを保ちつつ有用性を維持するように調整されたアルゴリズムを用い、輸送形態と日付のマージナルカウントに調整されたノイズを適用することで、14日間分のデータセットをε=8、δ≈10⁻⁶で公開した。これは、強力なプライバシー保証を提供するとともに、交通利用パターンの有意義な分析を可能にする。

ABSTRACT

This document describes the application of a differentially private algorithm to release public transport usage data from Transport for New South Wales (TfNSW), Australia. The data consists of two separate weeks of "tap-on/tap-off" data of individuals who used any of the four different modes of public transport from TfNSW: buses, light rail, train and ferries. These taps are recorded through the smart ticketing system, known as Opal, available in the state of New South Wales, Australia.

研究の動機と目的

• 個人のプライバシーを損なわず、オパルスマートカードシステムからの機微な公共交通機関利用データを公開すること。
• 研究者や政策立案者にとって有用であるように、高次元で現実世界の交通データを公開する課題に対処すること。
• 特に移動データに対して、実際の公共部門のデータ公開において微分プライバシーを実用的に適用する事例を示すこと。
• 異なるデータパーティションにわたるプライバシー予算の戦略的配分を通じて、プライバシー（ε, δ）とデータ有用性のバランスをとること。
• 再識別化のリスクを形式的なプライバシー保証によって防ぐことができる再利用可能でオープンなデータセットを提供すること。

提案手法

• オパルデータセットのマージナルカウントクエリに応答するために、スパースベクターテクニック（SVT）とノイズを加えた最大値を報告する（RNM）アルゴリズムを用いて微分プライバシーを適用した。
• 並列合成を促進し、有用性を向上させるために、輸送形態と日付に基づいて56個の互いに排他的なサブセットにデータセットを分割した。
• 6種類のクエリ（4つの片方向マージナルと2つの二方向マージナル）にわたるプライバシー予算を管理するため、逐次合成を用い、片方向クエリにはε=1、二方向クエリにはε=2を設定した。
• 合成後に全体のδ < 10⁻⁶となるよう、各パーティションごとにδ_j = 1/8,000,000 ≈ 2⁻²³を設定し、失敗確率を最小限に抑えた。
• ノイズを適用する前に、個人を特定する情報（例：個人識別子）をすべて削除し、匿名化された集計データのみを公開することを保証した。
• SBHアルゴリズムを用いて、境界付きの誤差確率で微分プライバシーを確保し、合成定理を用いてエンドツーエンドのプライバシーを証明した。

実験結果

リサーチクエスチョン

• RQ1 高次元の公共交通機関データを、個人のプライバシーを保ちつつ、分析的有用性を維持する形でどのように公開できるか。
• RQ2 片方向マージナルと二方向マージナルの異なるクエリタイプに、プライバシー予算（ε）を最適に配分する方法は何か。これによりプライバシーとデータ有用性のバランスがどのように取れるか。
• RQ3 実世界の大規模な公共交通機関データセットに対して、微分プライバシーを実用的に適用できるか。使いやすさを損なわずに行えるか。
• RQ4 実際の運用において非ゼロのδを使用する場合の影響は何か。また、強いプライバシー保証を得るために、δをどのように調整すべきか。
• RQ5 ノイズを注入する前に識別属性を削除することで、微分プライバシーの文脈において、プライバシーがどの程度強化されるか。

主な発見

• 最終的なデータセットは、合計でε=8、δ<10⁻⁶のプライバシー予算で公開された。これは8つのノイズ付きクエリの逐次合成によって達成された。
• 二方向マージナルクエリは片方向クエリよりも高いプライバシー予算（ε=2）が割り当てられており、これにより出力における非ゼロカウントの数が増加し、データの有用性が向上した。
• 各パーティションでδ≈2⁻²³を用いたことで、全体の失敗確率が10⁻⁶未満に抑えられ、実用的な文脈においてもプライバシー保証が強く保証された。
• データセットはオープンデータとして正常に公開され、個人を特定できる情報は一切保持されておらず、誤解を招くような異常値や合成行も存在しなかった。
• 本アプローチにより、実世界の高次元の移動データに微分プライバシーを効果的に適用でき、公共の研究や政策立案に意味のある有用性を持つことが実証された。
• 本プロジェクトは、公共交通機関システムにおけるプライバシー保護型データ共有の事例を確立し、形式的なプライバシー保証が実際の運用でも実現可能であることを示した。