[논문 리뷰] Differential Privacy: An Estimation Theory-Based Method for Choosing Epsilon

Maurizio Naldi, Giuseppe D’Acquisto|arXiv (Cornell University)|2015. 10. 04.

Privacy-Preserving Technologies in Data인용 수 20

한 줄 요약

이 논문은 차별적 비밀 보장의 비밀 보장 매개변수 𝜖을 선택하기 위한 새로운 방법을 제안한다. 이 방법은 유의미한 통계적 개념인 신뢰구간 폭(w)과 신뢰수준(p)을 기반으로 하여, 이와 관련된 라플라스 노이즈의 스케일 매개변수 𝜆과의 관계를 통해 𝜖를 설정할 수 있도록 한다. 이로써 연구자들은 원하는 정확도와 비밀 보장 간의 상호 조정을 바탕으로 𝜖를 설정할 수 있으며, 핵심 결과로는 주어진 진짜 수량 c에 대해 𝜖 = −ln(1−p)/(w·c)라는 공식을 도출한다.

ABSTRACT

Differential privacy is achieved by the introduction of Laplacian noise in the response to a query, establishing a precise trade-off between the level of differential privacy and the accuracy of the database response (via the amount of noise introduced). However, the amount of noise to add is typically defined through the scale parameter of the Laplace distribution, whose use may not be so intuitive. In this paper we propose to use two parameters instead, related to the notion of interval estimation, which provide a more intuitive picture of how precisely the true output of a counting query may be gauged from the noise-polluted one (hence, how much the individual's privacy is protected).

연구 동기 및 목표

• 차별적 비밀 보장에서 비밀 보장 매개변수 𝜖를 선택하는 데 있어 직관적인 지침이 부족한 문제를 해결하기 위해.
• 비직관적인 라플라스 스케일 매개변수 𝜆을 대체하여 이해하기 쉬운 통계적 매개변수인 신뢰구간 폭(w)과 신뢰수준(p)을 사용하기 위해.
• 실제 정확도와 비밀 보장 요구사항을 반영하는 원칙적인, 추정 이론 기반의 𝜖 결정 방법을 제공하기 위해.
• 연구자들이 추정 오차의 허용 범위와 노이즈가 포함된 결과에 대한 신뢰도를 바탕으로 𝜖를 설정할 수 있도록 하기 위해.

제안 방법

• 이 방법은 차별적 비밀 보장을 간격 추정의 관점에서 기술하며, 진짜 수량 c가 확률 p로 [ĉ−wc, ĉ+wc] 범위 내에서 추정됨을 나타낸다.
• 라플라스 노이즈의 누적분포함수를 사용하여 p = 1 − e^(−𝜆wc)라는 관계를 유도함으로써, 신뢰수준을 노이즈 스케일 𝜆과 상대적 간격 폭 w와 연결한다.
• 그러한 방식으로 비밀 보장 매개변수 𝜖는 𝜖 = 𝜆 = −ln(1−p)/(w·c)로 유도되며, 이는 𝜖가 이해하기 쉬운 통계적 매개변수와 명시적으로 연결됨을 의미한다.
• 이 접근법은 𝜖를 임의적이거나 히ュ리스틱한 값이 아닌, 원하는 정확도(w)와 신뢰도(p)에 기반해 선택할 수 있도록 한다.
• 이 방법은 등𝜖 곡선과 역관계 플롯을 통해 검증되었으며, 고정된 w와 p에서 진짜 수량 c가 증가함에 따라 𝜖가 감소해야 함을 보여준다.

실험 결과

연구 질문

• RQ1 차별적 비밀 보장의 매개변수 𝜖를 어떻게 선택할 수 있을까? 이 선택은 통계적 추정에 기반한 직관적인 방법이 되어야 한다.
• RQ2 라플라스 노이즈 스케일 매개변수 𝜆과 이해하기 쉬운 통계적 매개변수인 신뢰구간 폭과 신뢰수준 사이의 관계는 무엇인가?
• RQ3 요청된 정밀도(즉, 𝜖)는 카운팅 쿼리의 진짜 값에 따라 어떻게 달라지는가?
• RQ4 간격 추정을 사용하여 정확도와 비밀 보장의 요구사항을 반영하는 원칙적인 𝜖 설정 방법을 정의할 수 있는가?

주요 결과

• 논문은 비밀 보장 매개변수에 대해 닫힌 형태의 수식을 유도한다: 𝜖 = −ln(1−p)/(w·c)로, 이는 주어진 진짜 수량 c에 대해 신뢰수준 p와 상대적 간격 폭 w와의 직접적인 연결을 보여준다.
• 진짜 수량 c = 100일 때, 20%의 신뢰구간(즉, w = 0.2)과 80%의 신뢰수준(p = 0.8)을 갖는다면 𝜖 = 0.08이 되며, 이는 이 방법의 구체적인 적용 사례를 보여준다.
• 이 방법은 진짜 수량 c가 증가함에 따라 𝜖가 감소해야 하며(즉, 더 많은 노이즈가 추가되어야 함) 동일한 상대적 추정 정밀도를 유지함을 보여준다.
• 𝜖와 매개변수 w 및 p 사이의 관계는 역관계이며 비선형적이며, 더 높은 비밀 보장(낮은 𝜖)을 위해서는 더 큰 w 또는 더 높은 p가 필요하다.
• 이 방법은 0.1이나 ln(2)와 같은 임의적이거나 히ュ리스틱한 𝜖 값의 선택 대신, 통계적 추정 이론에 기반한 명확하고 이해하기 쉬운 대안을 제공한다.