[논문 리뷰] Tumult Analytics: a robust, easy-to-use, scalable, and expressive framework for differential privacy

Skye Berghel, Philip Bohannon외 11명|arXiv (Cornell University)|2022. 12. 08.

Privacy-Preserving Technologies in Data인용 수 7

한 줄 요약

Tumult Analytics는 민감한 데이터셋에 대한 차별적 프라이버시를 적용하기 위한 강력하고 확장성 있으며 사용자 친화적인 인터페이스를 제공하는 파이썬 프레임워크입니다. 확장 가능한 Tumult Core 기반으로 구축되어, 모듈화된 측정, 변환 및 프라이버시 회계를 통해 엔드 투 엔드 프라이버시 보장을 실현하며, 비공개 조인과 같은 복잡한 연산 및 zCDP, 사용자 정의 이웃 관계와 같은 고급 프라이버시 개념을 지원합니다.

ABSTRACT

In this short paper, we outline the design of Tumult Analytics, a Python framework for differential privacy used at institutions such as the U.S. Census Bureau, the Wikimedia Foundation, or the Internal Revenue Service.

연구 동기 및 목표

• 프라이버시 이론이나 고급 수학에 대한 전문 지식이 없어도 데이터 과학자들이 차별적 프라이버시를 적용할 수 있도록 프레임워크를 설계하는 것.
• 계산 파이프라인에 직접 프라이버시 회계와 안정성 추론을 통합하여 강력한 엔드 투 엔드 프라이버시 보장을 확보하는 것.
• 비공개 분석과 유사한 성능과 자원 사용을 확보하여 실제 대규모 데이터 워크로드를 지원하는 것.
• 새로운 프라이버시 개념(예: zCDP, Rényi DP), 연산자(예: 비공개 조인), 회계 방법을 아키텍처의 대대적인 개편 없이도 확장 가능하게 지원하는 것.
• 기존 오픈소스 DP 프레임워크의 한계를 해결하는 것, 예를 들어 확장성 부족, 엔드 투 엔드 프라이버시 증명 부재, 낮은 확장성 등

제안 방법

• Tumult Core는 프라이버시 기반을 담당하며, 입력 메트릭, 출력 측정치, 프라이버시 함수를 모델링하여 표준 정의를 초월한 차별적 프라이버시의 일반화를 가능하게 합니다.
• 변환(예: 필터, 맵, 조인)은 입력과 출력 거리 간의 관계를 기반으로 하는 안정성 함수로 모델링되어 복합적 추론이 가능합니다.
• 프라이버시 및 안정성 성질은 파이프라인 전반에 걸쳐 인도적으로 조합되어, 복잡한 쿼리에 대한 엔드 투 엔드 프라이버시 증명이 가능합니다.
• 표준 DP, zCDP, 약간의 DP 등 다양한 프라이버시 개념을 지원하며, 신규 변형에 대한 확장 가능한 회계 기능을 제공합니다.
• Tumult Core를 추상화한 고수준의 파이썬 인터페이스를 제공하여, 사용자가 '우편번호별 평균 소득'과 같은 쿼리를 최소한의 프라이버시 전용 코드로 작성할 수 있도록 합니다.
• 비공개 조인은 테이블 집합에 대한 새로운 메트릭을 통해 구현되어, 프라이버시 ID가 필요 없이도 조인 연산의 정확한 프라이버시 분석이 가능합니다.

실험 결과

연구 질문

• RQ1 어떻게 하면 표현력이 풍부하고 공식적으로 검증 가능한 동시에 비전문가 사용자에게도 접근 가능한 차별적 프라이버시 프레임워크를 설계할 수 있는가?
• RQ2 모듈화된 프레임워크는 프라이버시 핵심 로직을 데이터 처리에서 분리하면서도 엔드 투 엔드 프라이버시 보장을 보장할 수 있는가?
• RQ3 비공개 조인과 같은 복잡한 연산이 복합 프라이버시 회계 시스템 내에서 공식적으로 지원될 수 있는가?
• RQ4 어떤 아키텍처 선택이 새로운 프라이버시 개념(예: zCDP, Rényi DP)과 새로운 연산자에 대한 확장성을 제공하면서도 기존 호환성을 유지할 수 있는가?
• RQ5 프레임워크의 성능과 자원 사용량은 대규모 환경에서 비공개 분석 및 기타 오픈소스 DP 라이브러리와 비교해 어떻게 되는가?

주요 결과

• Tumult Analytics는 차별적 프라이버시 이론에 대한 전문 지식이 없이도 대규모 데이터셋에서 고수준의 파이썬 API를 사용해 차별적 프라이버시 분석을 수행할 수 있도록 합니다.
• Tumult Core에서의 복합적 추론을 통해 엔드 투 엔드 프라이버시 보장을 제공하여, 비공개 조인과 사용자 정의 이웃 관계를 포함한 복잡한 파이프라인에서도 정확성을 보장합니다.
• Tumult Core의 프라이버시 함수와 메트릭 추상화 덕분에 아키텍처 변경 없이도 zCDP 및 약간의 DP와 같은 다양한 프라이버시 개념을 지원할 수 있습니다.
• 실제로 미국 인구조정국, IRS, 위키미디어 재단 등 기관에서 생산 환경에 성공적으로 도입되어 비공개 SQL 쿼리 및 집계 보고서 등의 실무 워크로드를 처리했습니다.
• Tumult Analytics는 메모리 기반 처리의 한계를 피하는 스파크 기반 설계 덕분에 OpenDP 및 diffprivlib와 같은 기존 프레임워크보다 확장성에서 뛰어난 성능을 보입니다.
• zCDP 및 비공개 조인 지원을 추가하는 데서도 확장성의 유연함을 입증하였으며, 이는 GoogleDP나 PipelineDP가 확장하기 위해 깊이 있는 변경이 필요한 데 비해 수주 내로 완료되었습니다.