[논문 리뷰] Google COVID-19 Community Mobility Reports: Anonymization Process Description (version 1.1)

Ahmet Aktay, Shailesh Bavadekar외 22명|arXiv (Cornell University)|2020. 04. 08.

Data-Driven Disease Surveillance인용 수 158

한 줄 요약

이 논문은 Google의 COVID-19 커뮤니티 모빌리티 리포트를 생성하는 데 사용된 익명화 및 차등 프라이버시 방법을 다루며, 노이즈 추가, 기여 한도, 베이스라인 설정 및 데이터 신뢰도 필터를 포함합니다.

ABSTRACT

This document describes the aggregation and anonymization process applied to the initial version of Google COVID-19 Community Mobility Reports (published at http://google.com/covid19/mobility on April 2, 2020), a publicly available resource intended to help public health authorities understand what has changed in response to work-from-home, shelter-in-place, and other recommended policies aimed at flattening the curve of the COVID-19 pandemic. Our anonymization process is designed to ensure that no personal data, including an individual's location, movement, or contacts, can be derived from the resulting metrics. The high-level description of the procedure is as follows: we first generate a set of anonymized metrics from the data of Google users who opted in to Location History. Then, we compute percentage changes of these metrics from a baseline based on the historical part of the anonymized metrics. We then discard a subset which does not meet our bar for statistical reliability, and release the rest publicly in a format that compares the result to the private baseline.

연구 동기 및 목표

• Location History 데이터로 익명화된 지표가 어떻게 생성되는지 설명합니다.
• 차등 프라이버시 메커니즘과 사용된 노이즈 스케일을 설명합니다.
• 게시된 지표에 대한 데이터 신뢰성 기준 및 지역 규모 제약을 정의합니다.
• 베이스라인 계산 및 백분율 변화 보고를 설명합니다.
• 시간에 따른 정확도 및 프라이버시 예산 관리 업데이트를 논의합니다.

제안 방법

• Laplace 노이즈를 각 지표 수치 및 기간에 추가하기 위해 오픈 소스 차등 프라이버시 라이브러리를 사용합니다.
• 일일당 지리적 수준별로 사용자의 기여를 최대 네 개의 (카테고리, 위치) 쌍으로 제한합니다.
• 일일 지표와 베이스라인 지표를 차등 프라이버시로 계산한 뒤, 베이스라인 대비 변화율을 게시합니다.
• 3 km^2 미만의 지역 또는 노이즈가 많은 사용자 수가 100 미만인 지표는 폐기합니다.
• 월요일-일치 요일의 고정 5주 간 베이스라인을 계산하고 해당 요일의 DP 지표의 중앙값을 사용합니다.
• 프라이버시 보장을 통해 비공신뢰 메트릭 필터를 제공하여 ±10 퍼센트포인트를 넘는 큰 오차 위험이 있는 변화를 억제합니다.

실험 결과

연구 질문

• RQ1 구글은 개인 정보를 보호하면서 어떻게 집계된 이동성 지표를 게시할 수 있는가?
• RQ2 다양한 지리적 세분성에 대해 사용되는 노이즈 스케일, 프라이버시 매개변수 및 사용자당 기여 한도는 무엇인가?
• RQ3 백분율 변화 보고에 대한 베이스라인은 어떻게 구성되고 적용되는가?
• RQ4 지표를 게시할 만큼 신뢰할 수 있는지 결정하는 기준은 무엇인가?

주요 결과

• 다양한 세분성 수준(국가/지역, 최상위 구분, 더 고해상도 지역)에서 Laplace 노이즈를 사용한 차등 프라이버시로 메트릭이 생성된다.
• 개인당 기여를 하루에 지리적 수준별로 최대 4개의 카테고리-위치 쌍으로 제한하여 프라이버시 위험을 완화한다.
• 3 km^2 미만의 지역 또는 노이즈가 많은 카운트가 100 미만인 경우 프라이버시 및 데이터 품질을 보존하기 위해 폐기된다.
• 베이스라인 계산은 요일 매칭이 있는 고정 5주 창을 사용하고, 그 날들의 DP 지표 중앙값을 사용한다.
• 신뢰할 수 없는 메트릭 필터는 97.5% 신뢰 구간이 큰 오차 위험을 시사하는 변화를 억제한다 (>5% 전체).
• 해당 접근 방식은 ε-차등 프라이버시이며 δ = 0인 것으로 설명된 지표들에 대해 적용된다.