[論文レビュー] $k^{τ,ε}$-anonymity: Towards Privacy-Preserving Publishing of Spatiotemporal Trajectory Data

Marco Gramaglia, Marco Fiore+2 more|arXiv (Cornell University)|Jan 9, 2017

Privacy-Preserving Technologies in Data参考文献 21被引用数 8

ひとこと要約

本稿では、確率的およびレコードリンク攻撃に対抗できる、空間時間的トラジェクトリーデータのための新しいプライバシー基準である $k^{ au, heta}$-アニミティを提案する。著者らは、時間的および空間的要因に基づいてトラジェクトリを一般化することで、基準を満たす kte-hide と呼ばれるアルゴリズムを導入し、実世界のデータセットにおいて高いデータ利用価値を維持した強力なプライバシー保護を実現した。

ABSTRACT

Mobile network operators can track subscribers via passive or active monitoring of device locations. The recorded trajectories offer an unprecedented outlook on the activities of large user populations, which enables developing new networking solutions and services, and scaling up studies across research disciplines. Yet, the disclosure of individual trajectories raises significant privacy concerns: thus, these data are often protected by restrictive non-disclosure agreements that limit their availability and impede potential usages. In this paper, we contribute to the development of technical solutions to the problem of privacy-preserving publishing of spatiotemporal trajectories of mobile subscribers. We propose an algorithm that generalizes the data so that they satisfy $k^{τ,ε}$-anonymity, an original privacy criterion that thwarts attacks on trajectories. Evaluations with real-world datasets demonstrate that our algorithm attains its objective while retaining a substantial level of accuracy in the data. Our work is a step forward in the direction of open, privacy-preserving datasets of spatiotemporal trajectories.

研究の動機と目的

• モバイル事業者が収集する空間時間的トラジェクトリのための有効なプライバシー保護データ公開ソリューションの不足に対処すること。
• 不規則にサンプリングされた長期間にわたるユーザーのトラジェクトリに特有の脅威、特に確率的およびレコードリンク攻撃を特定・形式化すること。
• 従来の $k$-アニミティを越えて、トラジェクトリデータにおける時間的および空間的近接性を考慮したプライバシーモデルの構築。
• $k^{\tau,\epsilon}$-アニミティを満たす一方でデータ利用価値を維持する実用的な一般化アルゴリズムの設計。
• 実世界のデータセットを用いた評価を通じて、強力なプライバシー保証のもとで精度をどのように維持できるかを実証すること。

提案手法

• 各トラジェクトリが時間窓 $\tau$ および空間半径 $\epsilon$ の範囲内で少なくとも $k-1$ 個の他のトラジェクトリと区別不能であることを要件とする $k^{\tau,\epsilon}$-アニミティを提案する。
• 時間的および空間的近接性に基づいて類似したトラジェクトリを統合することで、データ歪みを最小限に抑える k-merge アルゴリズムを設計する。
• プライバシーと利用価値のバランスを図るために、適応的閾値を用いて k-merge を適用する実用的パイプラインである kte-hide を実装する。
• 人間の移動パターンの自然なクラスタリングを尊重する、時間的および空間的認識のある一般化戦略を採用する。特にピーク時間帯に有効である。
• 活動が少ない時間帯（例：夜間）に対して抑制機構を適用し、プライバシー漏洩を低減しつつ、過剰なデータ損失を避ける。
• 情報損失を最小限に抑えつつ $k^{\tau,\epsilon}$-アニミティを満たす制約付き最適化問題として一般化プロセスを形式化する。

実験結果

リサーチクエスチョン

• RQ1 従来の $k$-アニミティがトラジェクトリの一意性のため失敗する状況において、空間時間的トラジェクトリーデータのプライバシーをどのように保護できるか。
• RQ2 実世界のモバイル事業者トラジェクトリーデータセットに最も関連する攻撃モデルは何か。また、それらを形式的にモデル化できるか。
• RQ3 不規則にサンプリングされたトラジェクトリにおいて、時間的および空間的相関を考慮した一般化 $k$-アニミティモデルを拡張可能か。
• RQ4 強いプライバシー保証のもとで、一般化の過程でどの程度データ利用価値を維持できるか。
• RQ5 本手法の性能は、時間帯のパターンや移動行動の違いによってどのように変化するか。

主な発見

• kte-hide アルゴリズムは、実世界のモバイル事業者データセット上で $k^{\tau,\epsilon}$-アニミティを達成しながらも、人間活動が最も顕著に現れる昼間に高い空間時間的精度を維持している。
• 人間活動が最も集中する昼間において、トラジェクトリのクラスタリングが強いため、精度がより良好に保たれている。
• 時間分解能の変更が精度に与える影響は小さいが、夜間ではサンプリングレートの低下と抑制処理のおかげでわずかな改善が見られる。
• 各トラジェクトリが $\tau$ と $\epsilon$ の範囲内で少なくとも $k-1$ 個の他のトラジェクトリと区別不能であることを保証することで、再識別攻撃に対して効果的に耐性を示している。
• トラジェクトリの断片化、ノイズ付加、架空データの挿入を避けることで、既存手法に比べて利用価値の保持が優れている。
• 評価結果から、kte-hide はプライバシーと利用価値のバランスを効果的に実現しており、プライバシー保護型データ公開の実世界への展開に適していることが示された。