[論文レビュー] Dynamic Differential Privacy for Location based Applications.

Yonghui Xiao, Li Xiong|arXiv (Cornell University)|Oct 22, 2014

Privacy-Preserving Technologies in Data参考文献 40被引用数 4

ひとこと要約

本稿では、動的ロケーションデータにおける時間的相関を扱うために$δ$-ロケーションセットベースの微分プライバシーを導入し、感度ハルと平面等方的機構（PIM）を提案する。PIMは微分プライバシーの制約下で誤差を最小化することで最適なユーティリティを達成する。実験により、PIMはベースライン手法に比べて顕著に優れたデータユーティリティを示す。

ABSTRACT

Concerns on location privacy frequently arise with the rapid development of GPS enabled devices and location-based applications. While spatial transformation techniques such as location perturbation or generalization have been studied extensively, most techniques rely on syntactic privacy models without rigorous privacy guarantee. Many of them only consider static scenarios or perturb the location at single timestamps without considering temporal correlations of a moving user's locations, and hence are vulnerable to various inference attacks. While differential privacy has been accepted as a standard for privacy protection, applying differential privacy in location based applications presents new challenges, as the protection needs to be enforced on the fly for a single user and needs to incorporate temporal correlations between a user's locations. In this paper, we propose a systematic solution to preserve location privacy with rigorous privacy guarantee. First, we propose a new definition, $\delta$-location set based differential privacy, to account for the temporal correlations in location data. Second, we show that the well known $\ell_1$-norm sensitivity fails to capture the geometric sensitivity in multidimensional space and propose a new notion, sensitivity hull, based on which the error of differential privacy is bounded. Third, to obtain the optimal utility we present a planar isotropic mechanism (PIM) for location perturbation, which is the first mechanism achieving the lower bound of differential privacy. Experiments on real-world datasets also demonstrate that PIM significantly outperforms baseline approaches in data utility.

研究の動機と目的

• 動的ロケーションデータにおける時間的相関を考慮しない静的・構文的プライバシーモデルの限界を是正すること。
• 時間的順序に従ったユーザー移動を反映する新しい微分プライバシー定義を形式化することで、リアルタイムでストリーミングされるロケーションデータに対する厳密なプライバシー保証を提供すること。
• $µ_1$-ノルム感度が多次元空間で不十分である問題を克服するため、感度ハルと呼ばれる幾何的感度概念を導入すること。
• 微分プライバシーを満たす条件下で誤差を最小化する最適な摂動機構を設計し、理論的下限に達すること。
• 実世界のデータセットを用いて提案手法の有効性を実証的に検証し、従来手法に比べて優れたデータユーティリティを示すこと。

提案手法

• 時間的経過に伴うユーザー軌跡の相関を考慮するため、$δ$-ロケーションセットベースの微分プライバシーという新しいプライバシー定義を提案する。
• ユーザーのデータ変更によって生じるロケーションセットの最大変化を捉える幾何的構造である感度ハルを導入し、多次元空間における効果のない$µ_1$-ノルム感度の代わりに用いる。
• 平面に一様にノイズを分散させるという新しい摂動技術である平面等方的機構（PIM）を設計し、微分プライバシーの制約を満たしつつ誤差を最小化する。
• PIMが多次元ロケーション設定における微分プライバシーの理論的誤差下限に達することを証明し、ユーティリティにおいて最適であることを示す。
• 感度ハルを用いてPIM機構の誤差を束縛することで、新しい定義のもとでの厳密なプライバシー保証を実現する。
• 実世界のGPSデータセットを用いてユーティリティを評価し、同一のプライバシー予算のもとでPIMをベースライン手法と比較する。

実験結果

リサーチクエスチョン

• RQ1 動的で時間的相関を持つロケーションデータに対して、微分プライバシーをどのように適合させ、強固なプライバシー保証を維持できるか？
• RQ2 標準的な$µ_1$-ノルム感度がなぜ多次元ロケーション空間における感度を正しくモデル化できないのか？
• RQ3 感度ハルと呼ばれる幾何的感度測度は、微分プライバシー下でのロケーションデータの真の感度をより良く捉えられるか？
• RQ4 多次元微分プライバシーにおけるロケーションデータの理論的誤差下限に達する摂動機構は存在するか？
• RQ5 同等のプライバシー制約下で、提案手法は従来手法に比べてデータユーティリティにおいてどのように優れているか？

主な発見

• 感度ハルは、多次元ロケーションデータにおける$µ_1$-ノルムよりもより正確で幾何学的に意味のある感度測定を提供する。
• 平面等方的機構（PIM）は、ロケーション摂動における微分プライバシーの理論的誤差下限に達しており、ユーティリティにおいて最適である。
• 実世界のGPSデータセットにおいて、PIMはベースライン手法に比べて顕著に優れたデータユーティリティを示し、実用的優位性を確認した。
• $δ$-ロケーションセットベースの微分プライバシー定義は、ユーザー移動の時間的相関を効果的に捉えており、より強固で現実的なプライバシー保証を可能にする。
• 感度ハルにより、幾何的誤推定によるプライバシー予算の過大評価を回避する tighter な誤差束縛が可能になった。
• 実験結果により、PIMは厳しいプライバシー制約下でも高いデータユーティリティを維持できており、精度と耐性の両面で従来の手法を上回っていることが確認された。