[論文レビュー] Chorus: Differential Privacy via Query Rewriting.

Noah M. Johnson, Joseph P. Near+2 more|arXiv (Cornell University)|Sep 20, 2018

Privacy-Preserving Technologies in Data参考文献 66被引用数 12

ひとこと要約

Chorusは、データベースやクエリを変更せずに、SQLクエリ実行に直接微分プライバシーを統合する画期的なシステムである。クエリを再書き換えしてプライバシー保護メカニズムを埋め込むことで、自動的なプライバシー保護を実現する。93.9%の実世界の統計クエリをサポートし、数億件のレコードまでスケーリング可能で、Uberで日常的な生産環境分析に導入され、GDPR準拠を満たしている。

ABSTRACT

We present Chorus, a system with a novel architecture for providing differential privacy for statistical SQL queries. The key to our approach is to embed a differential privacy mechanism into the query before execution so the query automatically enforces differential privacy on its output. Chorus is compatible with any SQL database that supports standard math functions, requires no user modifications to the database or queries, and simultaneously supports many differential privacy mechanisms. To the best of our knowledge, no existing system provides these capabilities. We demonstrate our approach using four general-purpose differential privacy mechanisms. In the first evaluation of its kind, we use Chorus to evaluate these four mechanisms on real-world queries and data. The results demonstrate that our approach supports 93.9% of statistical queries in our corpus, integrates with a production DBMS without any modifications, and scales to hundreds of millions of records. Chorus is currently being deployed at Uber for its internal analytics tasks. Chorus represents a significant part of the company's GDPR compliance efforts, and can provide both differential privacy and access control enforcement. In this capacity, Chorus processes more than 10,000 queries per day.

研究の動機と目的

• 基盤となるデータベースやユーザークエリを変更せずに、統計SQLクエリに対してエンドツーエンドの微分プライバシーを提供すること。
• 標準のSQL実行パイプラインに微分プライバシー機構をシームレスに統合できるシステムアーキテクチャを設計すること。
• 実世界の生産環境スケールの設定において、複数の汎用的微分プライバシー機構を評価・比較すること。
• 強力なプライバシー保証を伴いながら、大規模な分析ワークロードに微分プライバシーを生産環境で導入できること。

提案手法

• Chorusは実行時にSQLクエリを再書き換えし、微分プライバシー機構を埋め込むことで、プライバシー保護を自動的に実行する。
• システムは、Laplace、Gaussian、その他のメカニズムを、設定可能なクエリ再書き換えを通じて複数サポートする。
• 数学的に妥当なメカニズムを用いてクエリレベルでノイズを注入することで、プライバシー保証を実現する。これらのメカニズムは標準SQL関数と互換性がある。
• アーキテクチャは、既存のDBMSと完全に互換性があり、データベースエンジンやユーザークエリの変更を一切必要としない。
• Chorusは生産環境のデータベースと統合され、微分プライバシーとアクセス制御を同時に強制する。
• システムはクエリの意味論を保持しつつ、形式的なプライバシー会計を通じて微分プライバシーを保証する方法でクエリを処理する。

実験結果

リサーチクエスチョン

• RQ1 データベースやクエリを変更せずに、標準のSQLクエリ処理に微分プライバシーをシームレスに統合できるか？
• RQ2 クエリ再書き換えは、多様な実世界の統計クエリにわたり、微分プライバシーを実現するためにどれほど有効か？
• RQ3 クエリ実行時に微分プライバシーを強制するシステムの性能とスケーラビリティはいかがなものか？
• RQ4 実世界のデータとワークロードにおいて、異なる微分プライバシー機構は実際どのように性能を発揮するか？
• RQ5 強力なプライバシー保証とアクセス制御を伴いながら、このようなシステムを大規模な生産環境に展開できるか？

主な発見

• Chorusは、評価対象のコロナスに含まれる統計クエリの93.9%を正常にサポートし、広範な適用可能性を示した。
• システムは、データベースやクエリ言語を変更せずに、生産用途に適したDBMSと統合可能である。
• Chorusは数億件のレコードを処理できるスケーラビリティを備えており、大規模分析に実現可能であることを証明した。
• 現在、Uberで導入されており、1日10,000件以上のクエリを内部分析とGDPR準拠のために処理している。
• Chorusは、統合的で透明な方法で微分プライバシーとアクセス制御の両方を実現している。
• 本研究は、実世界のクエリとデータを用いた生産環境で複数の微分プライバシー機構を評価した最初の試みである。