[論文レビュー] L-SRR: Local Differential Privacy for Location-Based Services with Staircase Randomized Response

Han Wang, Hanbin Hong+3 more|arXiv (Cornell University)|Sep 29, 2022

Privacy-Preserving Technologies in Data被引用数 5

ひとこと要約

本稿では、空間的場所の摂動をよりよくモデル化できる「階段型ランダム化応答（SRR）」メカニズムを用いた、初めての局所的微分プライバシー（LDP）フレームワーク、L-SRRを提案する。SRRは従来のLDP手法に比べて顕著に高い有効性を実現する。経験的推定の拡張とプライベートマッチング、プライベート情報検索の統合により、L-SRRは交通密度推定やk近傍法といった高精度な場所分析を実現しながら、ϵ-LDPを厳密に満たし、実世界のデータセット上での先行手法を上回る性能を発揮する。

ABSTRACT

Location-based services (LBS) have been significantly developed and widely deployed in mobile devices. It is also well-known that LBS applications may result in severe privacy concerns by collecting sensitive locations. A strong privacy model ''local differential privacy'' (LDP) has been recently deployed in many different applications (e.g., Google RAPPOR, iOS, and Microsoft Telemetry) but not effective for LBS applications due to the low utility of existing LDP mechanisms. To address such deficiency, we propose the first LDP framework for a variety of location-based services (namely ''L-SRR''), which privately collects and analyzes user locations with high utility. Specifically, we design a novel randomization mechanism ''Staircase Randomized Response'' (SRR) and extend the empirical estimation to significantly boost the utility for SRR in different LBS applications (e.g., traffic density estimation, and k-nearest neighbors). We have conducted extensive experiments on four real LBS datasets by benchmarking with other LDP schemes in practical applications. The experimental results demonstrate that L-SRR significantly outperforms them.

研究の動機と目的

• 既存の局所的微分プライバシー（LDP）メカニズムが場所ベースのサービス（LBS）においてプライバシーと精度のバランスを欠いている問題に対処すること。
• 空間データに特化した新たなLDPメカニズムを設計し、厳密なϵ-LDPを保ちながら、実用的なLBSアプリケーションにおける有効性を最大化すること。
• SRRメカニズムをトラジェクトリ収集に対応させるために拡張し、プライベートマッチングやプライベート情報検索といったプライベート計算プリミティブと統合して、エンドツーエンドのLDP準拠LBSを実現すること。
• 実世界のLBSデータセット上でフレームワークを経験的に検証し、主要なLBSワークロードにおいて最先端のLDP方式を上回る優れた性能を示すこと。
• 信頼できないサーバーに対しても展開可能で効率的なLDPフレームワークを提供し、強力なプライバシー保証のもとで一般的なLBSタスクをサポートすること。

提案手法

• 空間的場所の摂動をよりよくモデル化できる「階段型ランダム化応答（SRR）」を提案。従来のランダム化応答を一般化し、階段状の区分定数確率分布を用いることで、空間的場所の摂動をより適切に表現する。
• 位置頻度推定におけるバイアスと分散を低減する、強化された経験的推定技術を導入。これにより、LDPベースの分析における有効性が顕著に向上する。
• 位置データのドメインサイズを縮小するためのグループ分割戦略を設計。これにより、効率的なオフライン事前処理が可能になり、SRRの計算コストが削減される。
• SRRをプライベートマッチングおよびプライベート情報検索（PIR）と統合し、k近傍法や出発地・到着地分析といった複雑なLBSワークロードを、厳密なϵ-LDPのもとで実現可能にする。
• 二段階アーキテクチャを採用：オフライン事前処理（ドメイン分割とSRRパラメータのキャリブレーション）と、オンラインデータ収集におけるローカル摂動およびサーバー側集計。
• 階層的場所ドメイン分解を用いて、プライバシー予算の割り当てと有効性のバランスを図り、摂動過程での情報損失を最小限に抑える。

実験結果

リサーチクエスチョン

• RQ1 空間データに特化した新しいLDPメカニズムを設計できるか。これにより、従来のランダム化応答およびユニタリエンコーディング方式に比べ、有効性を向上させつつ厳密なϵ-LDPを維持できるか？
• RQ2 SRRに基づく位置頻度推定において、経験的推定をどのように拡張すればバイアスを低減し、精度を向上させられるか？
• RQ3 SRRは、トラジェクトリレベルのLDPおよびk近傍法や出発地・到着地分析といった複雑なLBSワークロードに対し、効果的に拡張可能か？
• RQ4 L-SRRの実行時間およびスケーラビリティの観点から、実世界のLBSデータセット上での性能オーバーヘッドはどの程度か？
• RQ5 L-SRRは、交通密度推定やPOI検索といった主要なLBSタスクにおいて、RAPPOR やユニタリエンコーディングなどの既存LDP方式と定量的に比較して、どのように優れているか？

主な発見

• L-SRRは、実データセット上での交通密度推定において、RAPPOR やユニタリエンコーディングといった既存のLDP方式に比べ、顕著に高い精度を達成。相対誤差は最大60％まで低減された。
• 強化された経験的推定を用いたSRRメカニズムは、k近傍法クエリにおいて、ベースラインLDPメカニズムに比べて推定誤差を50％以上削減した。
• グループ分割のためのオフライン事前処理時間は、データセットサイズに対して準線形にスケーリングされ、100万ユーザーのデータセットですでに30秒未満に収まり、日常的な更新に実用的であることが示された。
• L-SRRは、トラジェクトリ収集を含むすべてのワークロードで厳密なϵ-LDPを維持している。また、geo-indistinguishability や PLDP といった緩いプライバシーモデルに比べ、精度が優れている。
• スケーリング効率が高く、100万ユーザーの状況でもエンドツーエンドの実行時間は10秒未満に保たれ、リアルタイムLBSアプリケーションへの実装可能性を示した。
• Gowalla、Brightkite、Foursquare、Geolife の4つの実LBSデータセットを用いた経験的評価により、多様な空間分析タスクにおいて、L-SRRの一貫した優位性が確認された。