[논문 리뷰] Differentially Private Data Analysis of Social Networks via Restricted Sensitivity

Jeremiah Blocki, Avrim Blum외 2명|arXiv (Cornell University)|2012. 08. 22.

Privacy-Preserving Technologies in Data참고 문헌 15인용 수 1

한 줄 요약

이 논문은 사회적 네트워크에서 최대 차수 k를 가진 그래프와 같은 데이터 구조에 대한 사전 지식을 활용하여 정확도를 향상시키는 차별적 비밀유지의 새로운 접근법인 제한된 민감도를 소개한다. 제한된 가설 클래스(예: 최대 차수 k인 그래프) 내에서 전역 민감도가 낮은 쿼리로 변환함으로써, 가설이 잘못되었더라도 여전히 기밀성을 유지하면서 더 정확한 비밀 유지 분석이 가능해진다.

ABSTRACT

We introduce the notion of restricted sensitivity as an alternative to global and smooth sensitivity to improve accuracy in differentially private data analysis. The definition of restricted sensitivity is similar to that of global sensitivity except that instead of quantifying over all possible datasets, we take advantage of any beliefs about the dataset that a querier may have, to quantify over a restricted class of datasets. Specifically, given a query f and a hypothesis H about the structure of a dataset D, we show generically how to transform f into a new query f_H whose global sensitivity (over all datasets including those that do not satisfy H) matches the restricted sensitivity of the query f. Moreover, if the belief of the querier is correct (i.e., D is in H) then f_H(D) = f(D). If the belief is incorrect, then f_H(D) may be inaccurate. We demonstrate the usefulness of this notion by considering the task of answering queries regarding social-networks, which we model as a combination of a graph and a labeling of its vertices. In particular, while our generic procedure is computationally inefficient, for the specific definition of H as graphs of bounded degree, we exhibit efficient ways of constructing f_H using different projection-based techniques. We then analyze two important query classes: subgraph counting queries (e.g., number of triangles) and local profile queries (e.g., number of people who know a spy and a computer-scientist who know each other). We demonstrate that the restricted sensitivity of such queries can be significantly lower than their smooth sensitivity. Thus, using restricted sensitivity we can maintain privacy whether or not D is in H, while providing more accurate results in the event that H holds true.

연구 동기 및 목표

• 높은 전역 민감도와 부드러운 민감도로 인해 과도한 노이즈가 발생하고 유티리티가 감소하는 차별적 비밀유지 분석에서의 사회적 네트워크 문제를 해결한다.
• 정점 차수의 제한과 같은 네트워크 구조에 대한 사전 지식을 통합함으로써 정확도를 향상시키되, 기밀성을 훼손하지 않는 프레임워크를 개발한다.
• 기본 데이터가 구조적 가정(예: 제한된 차수)을 만족할 경우 정확한 비밀 유지 쿼리 응답을 가능하게 하되, 가정이 참이 아니더라도 여전히 차별적 비밀유지를 유지한다.
• 특히 하위그래프 수세기 및 국소 프로파일 쿼리에 대해, 제한된 민감도 하에서 전역 민감도가 낮은 쿼리로 변환하는 효율적인 메커니즘을 설계한다.
• 자연스러운 사회적 네트워크 쿼리에 대해 제한된 민감도가 매끄러운 민감도보다 상당히 낮을 수 있음을 입증하여 실질적인 정확도 향상에 기여한다.

제안 방법

• 모든 가능한 데이터셋이 아닌 가설 클래스 H 내의 이웃 데이터셋에서 쿼리 출력의 최대 변화량으로 제한된 민감도를 정의한다.
• 임의의 쿼리 f를 fH로 변환하는 일반적인 변환 기법을 제안하며, 이는 D ∈ H일 경우 fH(D) = f(D)를 만족하지만, 모든 데이터셋에서 전역 민감도가 낮아진다.
• 특정 가설 Hk(제한된 차수 k)에 대해, 하위그래프 수세기 및 국소 프로파일 쿼리에 대해 효율적인 투영 기반 기법을 설계한다.
• 모 bord edge 및 정점 인접 모델을 사용하여 기밀성 보장을 정식화함으로써, D가 H를 만족하지 않더라도 차별적 비밀유지가 유지됨을 보장한다.
• 구조적 제약(예: 차수 제한)을 활용하여 쿼리의 제한된 민감도를 제한함으로써, 이보다 더 작은 민감도에 비례하는 노이즈 추가가 가능해진다.
• 일반적인 그래프를 가설 클래스 Hk로 효율적으로 매핑하는 방법을 구축하여, 이 메서드의 실용적 구현을 지원한다.

실험 결과

연구 질문

• RQ1 제한된 민감도를 사용하여 전역 민감도나 매끄러운 민감도 기반 메커니즘보다 상당히 더 정확한 차별적 비밀유지 메커니즘을 설계할 수 있는가?
• RQ2 사회적 네트워크에 대한 사전 구조적 믿음(예: 제한된 차수)을 얼마나 효과적으로 활용하여 민감도를 낮추고 정확도를 향상시킬 수 있는가?
• RQ3 가설 H가 잘못되었더라도 여전히 낮은 민감도를 유지하는 효율적인 차별적 비밀유지 쿼리 메커니즘을 구축할 수 있는가?
• RQ4 삼각형 수세기 및 국소 프로파일 쿼리와 같은 일반적인 사회적 네트워크 쿼리에 대해 제한된 민감도는 매끄러운 민감도와 어떻게 비교되는가?
• RQ5 일반적인 그래프를 가설 클래스 Hk로 투영하면서 민감도 범위를 유지하는 효율적이고 계산 가능성이 있는 매핑을 구성할 수 있는가?

주요 결과

• 최대 차수 k인 그래프에서 하위그래프 수세기 쿼리의 제한된 민감도는 엣지 및 정점 인접 모델 모두에서 tkt−1로 유계이며, 여기서 t는 하위그래프의 정점 수이다.
• 국소 프로파일 쿼리의 제한된 민감도는 정점 인접 모델에서 최대 2k + 1이며, 엣지 인접 모델에서는 k + 1이다. 이는 최악의 경우 O(n)인 매끄러운 민감도보다 상당히 낮다.
• 정점 인접 모델에서 국소 프로파일 쿼리의 제한된 민감도는 2k + 1로 유계이지만, 그 매끄러운 민감도는 n − 1까지 올라갈 수 있어 초다항적 간격을 보인다.
• 삼각형 수세기(하위그래프 수세기의 특수 케이스)의 경우 제한된 민감도는 최대 3k²이며, 쿼리의 최대 가능한 값인 nk²와 비교해도 상당한 노이즈 효율 향상을 보인다.
• 가설 Hk(제한된 차수)가 참일 경우, 이 메서드는 매끄러운 민감도 기반 메커니즘보다 더 높은 정확도를 달성하지만, Hk가 거짓일 경우에도 여전히 차별적 비밀유지를 유지한다.
• Hk에 대해 투영 기법을 사용하여 fH의 효율적 구성이 가능하므로, 일반적인 변환의 일반적인 비결정성에도 불구하고 실용적 구현이 가능해졌다.