[論文レビュー] Google COVID-19 Vaccination Search Insights: Anonymization Process Description

Shailesh Bavadekar, Adam Boulanger+23 more|arXiv (Cornell University)|Jul 2, 2021

Privacy-Preserving Technologies in Data参考文献 3被引用数 8

ひとこと要約

本論文では、個人の検索プライバシーを保証しながらも、有益な集計的傾向を維持するための微分プライバシーに基づく匿名化プロセスについて説明している。この手法は、$(\varepsilon,\delta)$-微分プライバシーを用い、$\varepsilon=2.19$ および $\delta=10^{-5}$ として適用され、カウントの正規化、信頼性の低いデータポイントの除外、および利用可能性を高めるためのスケーリングが行われ、その結果、米国の地理的地域におけるワクチン接種関連の検索傾向に関する公開可能でプライバシー保護されたデータセットが得られた。

ABSTRACT

This report describes the aggregation and anonymization process applied to the COVID-19 Vaccination Search Insights (published at http://goo.gle/covid19vaccinationinsights), a publicly available dataset showing aggregated and anonymized trends in Google searches related to COVID-19 vaccination. The applied anonymization techniques protect every user's daily search activity related to COVID-19 vaccinations with $(\varepsilon, δ)$-differential privacy for $\varepsilon = 2.19$ and $δ= 10^{-5}$.

研究の動機と目的

• 公衆衛生研究者や機関が、タイムリーで地域限定的かつプライバシー保護された形で、COVID-19ワクチン接種への関心に関するデータを入手できるようにすること。
• 集計された検索データに形式的な微分プライバシーの保証を適用することで、個々のユーザーの検索プライバシーを保護すること。
• 信頼性のフィルタリングと正規化を通じてノイズの影響を最小限に抑えることで、データの有用性を確保すること。
• 標準化されたスケーリングにより、地域間および時間的比較が可能となる検索傾向の可視化を可能にすること。
• 複数の地理的およびトピック的粒度において、プライバシー予算を慎重に管理することで、データの正確性とプライバシーを同時に維持すること。

提案手法

• データセットは、元のGoogle検索クエリから得られ、半教師あり機械学習モデルを用いて3つのトピック的カテゴリ（接種意思、安全性および副作用、その他のもの）に分類される。
• 地域およびカテゴリごとの元のカウントは、$(\varepsilon,\delta)$-微分プライバシーを満たすためにガウスノイズで摂動される。ここで $\varepsilon=2.19$ および $\delta=10^{-5}$ である。
• 各地域の合計検索ボリュームで割ることで、相対的な人気度を確率的指標として正規化される。
• 低カウントによる高い不確実性により、正規化された比の信頼区間が、少なくとも80％の確率でノイズを含む推定値から15％以内に収まらないデータポイントは、信頼性がないとされ除外される。
• 2021年1月から5月までの間に3つ以下のデータポイントしか得られない極度にデータが希少な地域は、最終データセットから除外される。
• 正規化された値は、すべての地域および時間における最大観測値が100に設定されるようにスケーリングされ、時間、地域、カテゴリ間の相対的比較が保持される。

実験結果

リサーチクエスチョン

• RQ1 大規模な検索傾向データを、個人のユーザーのプライバシーを損なわず公開する方法は何か？
• RQ2 ユーザー個別のデータを保護しつつ、公衆衛生研究に有用なデータを保つために、どの程度の微分プライバシー予算が適切か？
• RQ3 ノイズが加えられた微分プライバシーのデータを、信頼性があり解釈可能な信号だけを保持するようにフィルタリングする方法は何か？
• RQ4 匿名化された検索傾向において、地域間および時間的比較可能性を保つために、どのような正規化およびスケーリング技術が有効か？
• RQ5 小さな地理的地域におけるデータの希少性は、プライバシーまたは有用性を損なわずどのように対処できるか？

主な発見

• 匿名化プロセスにより、正式な$(\varepsilon,\delta)$-微分プライバシーの保証を用いて、個人の検索行動が適切に保護された。ここで $\varepsilon=2.19$ および $\delta=10^{-5}$ である。
• 微分プライバシーのノイズを追加した後、信頼性の閾値に基づき80％のデータポイントが保持され、残りは高い不確実性のため除外された。
• 2021年1月から5月にかけて3つ以下のデータポイントしか得られない地域は、極度のデータの希少性のため除外された。これにより、低流量地域のノイズが低減された。
• 合計検索ボリュームによる正規化により、検索の人気度の確率的解釈が可能となり、時間および地域間での有効な比較が可能になった。
• 正規化された値を最大値が100になるようにスケーリングすることで、すべての地理的レベルおよびカテゴリにおいて一貫した可視化と解釈が可能になった。
• 最終的なデータセットは、個人データが露出することなく、プライバシー保護が確保された一方で、スケーリングやフィルタリングのステップにはプライバシー予算が消費されていないため、公衆衛生研究に有用なデータを保持している。