[논문 리뷰] Bayesian Data Synthesis and Disclosure Risk Quantification: An Application to the Consumer Expenditure Surveys

Jingchen Hu, Terrance D. Savitsky|arXiv (Cornell University)|2018. 09. 26.

Bayesian Methods and Mixture Models참고 문헌 23인용 수 8

한 줄 요약

이 논문은 미국 고용통계국의 소비지출 조사에서 응답자 수준의 지리적 데이터(군집 레이블)를 보호하기 위해 비모수 베이지안 합성기 두 종류—다항분포의 딜레트 프로세스 혼합모형(DPMPM)과 딜레트 프로세스 기반의 지역 모형(DP-areal)—을 제안한다. DPMPM은 더 높은 데이터 유용성을 유지하지만 더 큰 누출 위험을 수반하며, DP-areal 모형은 더 큰 스무딩을 통해 위험을 감소시킨다. 새로운 최소 및 최대 누출 위험 경계를 통해 기밀성-유용성 간 상호보완적 조건을 제공한다.

ABSTRACT

The release of synthetic data generated from a model estimated on the data helps statistical agencies disseminate respondent-level data with high utility and privacy protection. Motivated by the challenge of disseminating sensitive variables containing geographic information in the Consumer Expenditure Surveys (CE) at the U.S. Bureau of Labor Statistics, we propose two non-parametric Bayesian models as data synthesizers for the county identifier of each data record: a Bayesian latent class model and a Bayesian areal model. Both data synthesizers use Dirichlet Process priors to cluster observations of similar characteristics and allow borrowing information across observations. We develop innovative disclosure risks measures to quantify inherent risks in the confidential CE data and how those data risks are ameliorated by our proposed synthesizers. By creating a lower bound and an upper bound of disclosure risks under a minimum and a maximum disclosure risks scenarios respectively, our proposed inherent risks measures provide a range of acceptable disclosure risks for evaluating risks level in the synthetic datasets.

연구 동기 및 목표

• 소비지출 조사에서 응답자 수준의 지리적 데이터(군집 레이블)를 공개할 때 기밀성을 보장하면서도 문제를 해결하고자 한다.
• 유용성이 높고 누출 위험이 낮은 비모수 베이지안 모형을 개발하여 범주형 변수를 합성하고자 한다.
• 합성 데이터에서 기밀성 보호 평가에 활용할 수 있는 새로운 누출 위험 측정치—최소 및 최대 내재 위험—을 도입하고자 한다.
• 실제 위험 상황을 고려해 DPMPM과 DP-areal 합성기 간의 유용성 및 누출 위험 성능을 비교하고자 한다.
• 합성 데이터 공개 시 데이터 유용성과 기밀성 보호 간의 상호보완적 조건을 수량화하여 통계청의 의사결정 지원을 하고자 한다.

제안 방법

• 군집 레이블을 범주형 변수로 간주하고, 비모수적 혼합모형인 딜레트 프로세스 기반의 다항분포 혼합모형(DPMPM)을 사용하여 유사한 기록을 유연하게 군집화한다.
• 공동 특성(예: 연령, 소득, 성별)을 기반으로 군집 레이블 빈도를 모델링하는 비모수적 지역 모형(DP-areal)을 적용하며, 이는 딜레트 프로세스 사전확률을 사용한다.
• 지역적 희소성 문제를 다루기 위해 비모수적 사전확률을 적용하여 공간적 구조에 대한 가정을 피한다.
• 합성된 군집 레이블의 분포 유사도를 기반으로 지역적 유용성 측정치를 개발한다.
• 기존 기밀 데이터의 내재적 위험을 수량화하기 위해 누출 위험의 하한 및 상한 경계(최소 및 최대 시나리오)를 도입한다.
• 반복 샘플링(S=100회 반복)을 통해 누출 위험의 변동성을 평가하고, 여러 개의 합성 데이터셋 간 합성기 성능을 비교한다.

실험 결과

연구 질문

• RQ1 CE 조사의 민감한 범주형 변수(군집 레이블 등)에 대해 합성 데이터를 어떻게 생성할 수 있으며, 이때 데이터 유용성을 유지할 수 있는가?
• RQ2 기존 기밀 데이터 내에 내재된 누출 위험은 무엇이며, 합성기와는 독립적으로 이를 어떻게 수량화할 수 있는가?
• RQ3 DPMPM과 DP-areal 합성기 간의 유용성 및 누출 위험 측면에서의 성능 비교는 어떻게 이루어지는가?
• RQ4 비모수적 베이지안 모형은 공간 사전확률에 의존하지 않고도 희소한 지리적 데이터를 효과적으로 처리할 수 있는가?
• RQ5 스무딩이 합성 데이터에서 데이터 유용성과 기밀성 보호 간의 상호보완적 조건에 어떤 영향을 미치는가?

주요 결과

• DPMPM 합성기는 원본 군집 레이블 데이터의 분포적 특성을 더 정확히 유지하여 더 높은 유용성을 달성했다.
• DP-areal 합성기는 더 큰 스무딩 덕분에 더 낮은 누출 위험을 보였으며, 동일한 조건에서 평균 88.15건의 정확한 속성 누출이 발생한 반면, DPMPM은 115.25건이었다.
• 최대 누출 위험 시나리오에서 DP-areal 모델은 DPMPM 대비 23.5% 낮은 속성 누출 위험을 기록했다.
• 최소 누출 위험 경계는 47.25건의 정확한 속성 누출이며, 최대 경계는 175.33건으로, 수용 가능한 위험 수준의 명확한 범위를 제공했다.
• 그림 4b의 히스토그램 비교를 통해 DP-areal 모델의 누출 위험은 반복 샘플링 전반에 걸쳐 일관되게 낮게 유지됨을 확인했다.
• 본 연구는 내재된 데이터 위험(최소 및 최대 경계)이 합성기의 기밀성 향상 정도를 해석하는 데 필수적이며, 이를 통해 정보 기반의 공개 결정을 내릴 수 있음을 입증했다.