[论文解读] Dynamic Differential Privacy for Location based Applications.

Yonghui Xiao, Li Xiong|arXiv (Cornell University)|Oct 22, 2014

Privacy-Preserving Technologies in Data参考文献 40被引用 4

一句话总结

本文提出基于 $δ$-location set 的差分隐私以解决动态位置数据中的时间相关性问题，引入敏感度壳（sensitivity hull）与平面各向同性机制（PIM），通过在差分隐私约束下最小化误差，实现最优效用。实验表明，PIM 在数据效用方面显著优于基线方法。

ABSTRACT

Concerns on location privacy frequently arise with the rapid development of GPS enabled devices and location-based applications. While spatial transformation techniques such as location perturbation or generalization have been studied extensively, most techniques rely on syntactic privacy models without rigorous privacy guarantee. Many of them only consider static scenarios or perturb the location at single timestamps without considering temporal correlations of a moving user's locations, and hence are vulnerable to various inference attacks. While differential privacy has been accepted as a standard for privacy protection, applying differential privacy in location based applications presents new challenges, as the protection needs to be enforced on the fly for a single user and needs to incorporate temporal correlations between a user's locations. In this paper, we propose a systematic solution to preserve location privacy with rigorous privacy guarantee. First, we propose a new definition, $\delta$-location set based differential privacy, to account for the temporal correlations in location data. Second, we show that the well known $\ell_1$-norm sensitivity fails to capture the geometric sensitivity in multidimensional space and propose a new notion, sensitivity hull, based on which the error of differential privacy is bounded. Third, to obtain the optimal utility we present a planar isotropic mechanism (PIM) for location perturbation, which is the first mechanism achieving the lower bound of differential privacy. Experiments on real-world datasets also demonstrate that PIM significantly outperforms baseline approaches in data utility.

研究动机与目标

• 为解决静态、语法化的隐私模型在基于位置的应用中因未考虑用户移动的时间相关性而存在的局限性。
• 通过形式化一种专为时间序列位置数据设计的新差分隐私定义，为实时流式位置数据提供严格的隐私保障。
• 通过引入几何敏感度壳的概念，克服多维空间中 $µ_1$-范数敏感度的不足。
• 设计一种最优扰动机制，在满足差分隐私的前提下最小化误差，达到理论下界。
• 在真实世界数据集上对所提机制进行实证验证，证明其在现有方法中具有更优的数据效用。

提出的方法

• 提出基于 $δ$-location set 的差分隐私，一种新型隐私定义，通过考虑随时间变化的位置集合来建模用户轨迹中的时间相关性。
• 引入敏感度壳——一种几何构造，用于捕捉因用户数据修改而导致的位置集合最大可能变化，替代多维空间中无效的 $µ_1$-范数敏感度。
• 开发平面各向同性机制（PIM），一种新颖的扰动技术，通过在平面上均匀分布噪声，实现在满足新隐私定义下的最小误差。
• 证明 PIM 在多维位置设置下的差分隐私中达到误差的理论下界，使其在效用上达到最优。
• 利用敏感度壳来限制 PIM 机制的误差，确保在新定义下具有严格的隐私保障。
• 采用真实世界 GPS 数据集评估效用，将 PIM 与基线方法在相同的隐私预算下进行比较。

实验结果

研究问题

• RQ1 如何在保持强隐私保障的前提下，将差分隐私适配于具有时间相关性的动态位置数据？
• RQ2 为何标准的 $µ_1$-范数敏感度在多维位置空间中无法有效建模敏感度？
• RQ3 是否存在一种几何敏感度度量——敏感度壳——能更准确地捕捉差分隐私下位置数据的真实敏感度？
• RQ4 是否存在一种扰动机制，可在多维差分隐私的位置数据场景中达到误差的理论下界？
• RQ5 在相同隐私约束下，所提机制与现有方法相比，在数据效用方面表现如何？

主要发现

• 敏感度壳在多维位置数据中提供了比 $µ_1$-范数更准确且具有几何意义的敏感度度量。
• 平面各向同性机制（PIM）在位置扰动的差分隐私中达到误差的理论下界，使其在效用上达到最优。
• PIM 在真实世界 GPS 数据集上显著优于基线方法，在数据效用方面表现出实际优越性。
• 所提出的基于 $δ$-location set 的差分隐私定义能有效捕捉用户移动中的时间相关性，从而实现更强且更真实的隐私保障。
• 敏感度壳能够实现更紧致的误差界，防止因几何误估而导致隐私预算被过度放大。
• 实证结果证实，PIM 即使在严格的隐私约束下仍能保持高数据效用，在准确性和鲁棒性方面均优于现有机制。