[논문 리뷰] Differentially Private Continual Release of Graph Statistics

Shuang Song, Susan J. Little외 3명|arXiv (Cornell University)|2018. 09. 07.

Privacy-Preserving Technologies in Data참고 문헌 17인용 수 15

한 줄 요약

이 논문은 동적 네트워크에서 그래프 통계의 차별적(private) 지속적 공개 메커니즘을 제안하며, 노드의 차수에 대한 공개적으로 알려진 상한을 활용하여 차분 수열의 민감도를 낮추는 데 초점을 맞춘다. 원시 통계가 아닌 증분 변화에만 노이즈를 적용함으로써, 특히 실세계 및 합성 네트워크에서 차수 분포와 부분그래프 수와 같은 통계에 대해 기준선 방법에 비해 유의미하게 향상된 프라이버시-유용성 트레이드오프를 달성한다.

ABSTRACT

Motivated by understanding the dynamics of sensitive social networks over time, we consider the problem of continual release of statistics in a network that arrives online, while preserving privacy of its participants. For our privacy notion, we use differential privacy -- the gold standard in privacy for statistical data analysis. The main challenge in this problem is maintaining a good privacy-utility tradeoff; naive solutions that compose across time, as well as solutions suited to tabular data either lead to poor utility or do not directly apply. In this work, we show that if there is a publicly known upper bound on the maximum degree of any node in the entire network sequence, then we can release many common graph statistics such as degree distributions and subgraph counts continually with a better privacy-accuracy tradeoff. Code available at https://bitbucket.org/shs037/graphprivacycode

연구 동기 및 목표

• 노드와 간선이 온라인으로 도착하는 동적 네트워크에서 차수 분포와 부분그래프 수와 같은 그래프 통계를 지속적이고 프라이버시를 보장하는 방식으로 공개할 수 있도록 하는 것.
• 변화하는 네트워크 구조에 대비하여 강력한 프라이버시(노드 차별적 프라이버시)를 유지하면서도 높은 유용성을 확보하는 데 도전하는 것.
• 기존의 표 형태 데이터 방법의 한계를 극복하여, 온라인 그래프 환경에서 기존 노드에 연결되는 새로운 간선를 고려하지 않는다는 점.
• 공개적으로 알려진 최대 차수 상한이 존재할 경우, 차분 수열의 민감도가 길이에 영향을 받지 않고 낮게 유지됨을 보여주며, 이는 정확한 노이즈 추가를 가능하게 한다는 것.

제안 방법

• 연속적인 시간 단위 간 그래프 통계의 증분 변화를 정의하는 '차분 수열'의 개념을 도입하여 민감도를 감소시킨다.
• 노드의 차수에 대한 알려진 상한이 존재할 경우, 차분 수열의 전역 민감도가 유한하고 수열 길이에 독립적으로 유한함을 증명한다.
• 제한된 민감도에 비례하여 노이즈가 조정된 라플라스 메커니즘을 차분 수열에 적용함으로써 노드 차별적 프라이버시를 보장한다.
• 두 가지 주요 알고리즘을 사용한다: Compose-D-bounded(직접적으로 차수 상한을 사용) 및 Compose-projection(고차수 노드를 투영하여 민감도를 감소).
• 각 시간 단위에서 노이즈가 추가된 차분 수열의 누적합을 통해 비공개 통계를 재구성함으로써 강력한 프라이버시 보장을 확보한 지속적 공개를 가능하게 한다.
• 실세계 및 합성 데이터셋에서 방법을 구현하고 평가하며, 원시 통계에 직접 차별적 프라이버시를 적용하거나 전체 수열의 전역 민감도를 사용하는 기준선과 비교한다.

실험 결과

연구 질문

• RQ1 동적 네트워크에서 노드의 차수에 제한이 있을 경우, 이 정보를 활용하여 그래프 통계의 지속적 공개에서 더 나은 프라이버시-유용성 트레이드오프를 달성할 수 있는가?
• RQ2 알려진 최대 차수 제약 조건 하에서 그래프 통계의 차분 수열 민감도는 어떻게 행동하는가? 이는 효율적인 차별적 프라이버시 메커니즘 설계에 활용될 수 있는가?
• RQ3 제안된 방법은 차수 분포와 부분그래프 수에 대해 기준선의 간단한 복합 또는 원시 통계에 직접 차별적 프라이버시를 적용하는 것보다 유용성 측면에서 뛰어나게 성능을 발휘하는가?
• RQ4 고차수 노드가 존재할 경우, 투영 또는 직접 민감도 추정 방식의 선택이 방법의 성능에 얼마나 큰 영향을 미치는가?
• RQ5 네트워크 크기와 시간이 증가함에 따라 이 방법은 어떻게 스케일링되는가? 특히 재구성된 통계에서 오차 누적이 어떻게 발생하는가?

주요 결과

• 차수 분포와 부분그래프 수와 같은 일반적인 그래프 통계에 대해 차분 수열의 민감도는 수열 길이에 영향을 받지 않고 공개적으로 알려진 최대 차수 상한에만 의존하므로, 효율적인 노이즈 추가가 가능하다.
• Compose-D-bounded 및 Compose-projection 방법 모두 원시 통계에 직접 차별적 프라이버시를 적용하거나 전체 수열의 전역 민감도를 사용하는 기준선에 비해 상당히 높은 유용성을 달성한다.
• 실세계 데이터셋(예: HIV 전파 네트워크)과 합성 스케일프리 네트워크에서, 다양한 프라이버시 파rameter 하에서 기준선 대비 통계의 오차를 최대 50%까지 감소시킨다.
• 재구성된 통계의 오차 표준편차는 O(√t)로 증가하며, 이는 간단한 복합 방법에서 관찰되는 O(T) 증가보다 훨씬 느리다.
• 네트워크가 시간이 지남에 따라 커져도 강력한 노드 차별적 프라이버시 보장을 유지하면서 정확한 지속적 공개가 가능하다.
• 이론적 분석을 통해 차분 수열의 전역 민감도가 D(방향 그래프의 경우 Din + Dout)로 유한하게 제한됨을 확인하였으며, 이는 라플라스 메커니즘을 제어 가능한 노이즈로 적용하는 데 가능함을 입증한다.