[논문 리뷰] The 2020 Census Disclosure Avoidance System TopDown Algorithm

John M. Abowd, Robert Ashmead외 12명|arXiv (Cornell University)|2022. 04. 19.

Census and Population Estimation인용 수 7

한 줄 요약

이 논문은 개인의 개인정보를 보호하면서 데이터 유용성을 유지하기 위해 2020년 미국 인구 조사에서 사용된 차별적 비공개 방지 시스템인 토프다운 알고리즘(TDA)을 제시한다. TDA는 노이즈 측정을 생성하기 위해 제로-집중된 차별적 비밀보장(zero-Concentrated Differential Privacy)을 적용하고, 정책에서 정의한 불변성(invariants)을 포함하여 일부 통계를 비밀보장 회계에서 제외하며, 최종적으로 마이크로데이터 세부 파일(MDF)을 생성하기 위해 후처리를 수행함으로써, 정량적인 손실과 높은 통계 정밀도를 확보한다.

ABSTRACT

The Census TopDown Algorithm (TDA) is a disclosure avoidance system using differential privacy for privacy-loss accounting. The algorithm ingests the final, edited version of the 2020 Census data and the final tabulation geographic definitions. The algorithm then creates noisy versions of key queries on the data, referred to as measurements, using zero-Concentrated Differential Privacy. Another key aspect of the TDA are invariants, statistics that the Census Bureau has determined, as matter of policy, to exclude from the privacy-loss accounting. The TDA post-processes the measurements together with the invariants to produce a Microdata Detail File (MDF) that contains one record for each person and one record for each housing unit enumerated in the 2020 Census. The MDF is passed to the 2020 Census tabulation system to produce the 2020 Census Redistricting Data (P.L. 94-171) Summary File. This paper describes the mathematics and testing of the TDA for this purpose.

연구 동기 및 목표

• 엄격한 기밀성 기준을 충족하면서도 스케일링 가능한, 세부 인구 조사 마이크로데이터를 공개하는 개인정보 보호 방법을 개발하기 위해.
• 특히 의회 선거구 조정 및 연방 재정 지원 배분과 같은 고위험 응용 분야를 위해, 모든 데이터 공개에 걸쳐 비밀보장 손실을 정량화하고 통제할 수 있는 차별적 비밀보장 프레임워크를 구현하기 위해.
• 특정 핵심 통계(불변성)를 비밀보장 회계에서 제외함으로써 통계 정확도를 유지하는 시스템을 설계하기 위해.
• 최종적으로 의회 선거구 조정용 데이터 제품(P.L. 94-171)이 인구 분할 및 입법 선거구 조정에 유용성을 유지하면서도 개인 수준의 데이터를 보호하기 위해.
• 국가 규모의 데이터 공개에 적합한 공식적으로 검증된, 수학적으로 엄밀한 비공개 방지 시스템을 제공하기 위해.

제안 방법

• 톱다운 알고리즘(TDA)은 최종 수정된 2020년 인구 조사 데이터와 지리적 정의를 입력으로 받아, 제로-집중된 차별적 비밀보장(zCDP)을 사용하여 노이즈 측정을 계산한다.
• 알고리즘은 지리적 수준(예: 주, 카운티, 블록)을 가로질러 계층적 쿼리 구조를 적용하며, 각 쿼리는 인구 및 주거 변수에 대한 마진 계수이다.
• 모든 기록이 쿼리 출력에 미치는 영향을 제한하기 위해 가중치 체계를 사용하며, 계수 $ c_{ij} $ 와 민감도 제어 $ d_{ijk} $ 를 적용한다.
• TDA는 $ \rho $-zCDP 파라미터를 사용하여 비밀보장 손실을 계산하며, $ \rho = \frac{1}{\psi^2} $ 로 설정되어 모든 데이터 왜곡에 대해 유한한 비밀보장 손실을 보장한다.
• 정책적으로 중요한 것으로 간주되는 불변성 통계는 정확한 상태를 유지하며 비밀보장 손실 회계에서 제외되어 출력에서 진짜 값을 유지한다.
• 후처리 단계에서는 노이즈 측정과 불변성을 결합하여 마이크로데이터 세부 파일(MDF)을 생성하며, 이는 최종 2020년 선거구 조정 데이터(P.L. 94-171) 요약 파일을 제작하는 데 사용된다.

실험 결과

연구 질문

• RQ1 전체 미국 인구에 걸쳐 개인 수준의 인구 조사 데이터를 보호하면서도, 선거구 조정 및 자금 배분에 필요한 데이터 유용성을 유지하기 위해 차별적 비밀보장을 어떻게 스케일링할 수 있는가?
• RQ2 복잡하고 다차원적인 인구 조사 데이터에 대해 차별적 비밀보장 메커니즘을 적용할 때, 비밀보장 손실과 데이터 유용성 사이의 최적의 균형은 무엇인가?
• RQ3 정책적으로 정의된 불변성을 차별적 비밀보장 시스템에 공식적으로 통합할 수 있는 방법은 무엇이며, 이로 인해 비밀보장 보장을 손상시키지 않는가?
• RQ4 톱다운 알고리즘(TDA)이 모든 가능한 데이터 왜곡에 걸쳐 유한한 비밀보장 손실을 유지하는 데 보장하기 위해 필요한 수학적 및 알고리즘적 기법은 무엇인가?
• RQ5 지리적 쿼리의 계층적 구조가 TDA에서 민감도와 노이즈 할당에 어떻게 영향을 미치는가?

주요 결과

• TDA는 $ \rho = \frac{1}{\psi^2} $ 의 비밀보장 예산을 달성하며, $ \psi $ 는 모든 쿼리에 걸쳐 제로-집중된 차별적 비밀보장이 유한하게 유지되도록 校정된다.
• 알고리즘은 한 기록의 변경이 어떤 쿼리 마진에서도 최대 두 개의 셀에 영향을 주도록 보장하여 민감도를 제한하고 정밀한 노이즈 校정이 가능하게 한다.
• 불변성을 비밀보장 회계에서 제외함으로써, 총 인구 수와 같은 핵심 통계의 정확한 값을 유지함으로써 중요한 응용 분야의 유용성을 크게 향상시킨다.
• 후처리 단계는 노이즈 측정과 불변성을 성공적으로 융합하여 일관되고 정확한 마이크로데이터 세부 파일(MDF)을 생성한다.
• 2010년 선거구 조정 데이터를 활용한 광범위한 튜닝 및 테스트를 통해 TDA가 엄격한 비밀보장 기준을 충족하면서도 수용 가능한 유용성을 유지하는 것으로 확인되었다.
• 이 시스템은 대규모로 성공적으로 구현되었으며, 신뢰할 수 있는 캘리브레이터 모델에서 차별적 비밀보장을 적용한 가장 큰 생산적 사례 중 하나로 기록되었다.