[論文レビュー] Towards Practical Differential Privacy for SQL Queries

Noah M. Johnson, Joseph P. Near+1 more|arXiv (Cornell University)|Jun 28, 2017

Privacy-Preserving Technologies in Data参考文献 31被引用数 26

ひとこと要約

本論文では、一般の等結合を含む複雑なSQLクエリに対して実用的な微分プライバシーを可能にする、局所感度の新しい効率的近似であるエラスティック感度を紹介する。著者らは、実世界のSQLワークロードに対してわずか0.03%のパフォーマンスオーバーヘッドで微分プライバシーを強制するエンドツーエンドのシステムFlexを実装し、大規模な実データセットから得た9,862件の実クエリにおいて高い実用性を示した。

ABSTRACT

Differential privacy promises to enable general data analytics while protecting individual privacy, but existing differential privacy mechanisms do not support the wide variety of features and databases used in real-world SQL-based analytics systems. This paper presents the first practical approach for differential privacy of SQL queries. Using 8.1 million real-world queries, we conduct an empirical study to determine the requirements for practical differential privacy, and discuss limitations of previous approaches in light of these requirements. To meet these requirements we propose elastic sensitivity, a novel method for approximating the local sensitivity of queries with general equijoins. We prove that elastic sensitivity is an upper bound on local sensitivity and can therefore be used to enforce differential privacy using any local sensitivity-based mechanism. We build FLEX, a practical end-to-end system to enforce differential privacy for SQL queries using elastic sensitivity. We demonstrate that FLEX is compatible with any existing database, can enforce differential privacy for real-world SQL queries, and incurs negligible (0.03%) performance overhead.

研究の動機と目的

• 実世界のデータベースにおける汎用SQLアナリティクスにおける実用的微分プライバシーのギャップを埋める。
• 810万件の実世界SQLクエリの実証的分析に基づき、微分プライバシーシステムに必要な主要な要件を同定する。
• SQLにおける複雑な等結合をサポートする、スケーラブルで効率的な局所感度の近似手法を設計する。
• 下位のデータベースを変更せずに標準SQLクエリに対して微分プライバシーを強制するエンドツーエンドのシステムFlexを構築・評価する。
• 多様な実世界の統計クエリにおける微分プライバシーの実用性とパフォーマンスへの影響を実証的に評価する。

提案手法

• エラスティック感度は、局所感度の妥当な上界として提案され、任意の局所感度に基づく微分プライバシー手法と併用可能である。
• この手法は、クエリ構造と事前に計算されたデータベースメトリクスのみを用いて感度を計算し、クエリごとの高コストな再計算を回避する。
• エラスティック感度は、単一タプルの摂動によるクエリ出力の最大変化をモデル化することで、一般の等結合をサポートする。
• Flexは、SQLクエリを傍受し、感度バウンドに基づいてノイズを注入し、微分プライバシーが保証された結果を返すミドルウェア層にエラスティック感度を統合している。
• このシステムは、下位のDBMSを変更せずに任意の既存のSQLデータベースと互換性を持つように設計されている。
• 微分プライバシーを保証するために、ノイズはエラスティック感度値にスケーリングされたラプラスメカニズムを用いる。

実験結果

リサーチクエスチョン

• RQ1 実世界のSQLクエリの主な特徴は何か？ それが実用的微分プライバシーシステムの設計にどのように影響を与えるか？
• RQ2 等結合を含む複雑なSQLクエリに対して、局所感度の効率的近似を計算できるか？
• RQ3 実世界のワークロードにおいて、微分プライバシーはクエリの実用性とパフォーマンスにどのように影響を与えるか？
• RQ4 下位のデータベースを変更せずに、標準SQLクエリに対して微分プライバシーを強制できるシステムは構築可能か？
• RQ5 実世界のワークロードにおいて、スケールアップした状態で微分プライバシーを強制する際のパフォーマンスオーバーヘッドはどの程度か？

主な発見

• 810万件の実世界クエリの実証的調査から、先行研究では代表的でないクエリが使用されていたことが判明し、実用的システムのための新たな設計要件が不可欠であることが示された。
• エラスティック感度は、局所感度の有効な上界であることが証明されており、任意の局所感度ベースの手法と組み合わせることで、形式的な微分プライバシー保証が得られる。
• Flexは、実世界の統計クエリ9,862件に対して、わずか0.03%のパフォーマンスオーバーヘッドで微分プライバシーを成功裏に強制した。
• 特に集計対象の母集団サイズが大きいクエリにおいて、高い実用性を達成しており、実ワークロードにおける微分プライバシーの最初の大規模評価としての意義を持つ。
• エラスティック感度は、クエリごとのデータベーススキャンや複雑な事前処理を必要とせず、効率的な感度計算を可能にする。
• 本手法は、Uber社が社内データ分析に採用しており、生産環境での実用性が裏付けられている。