[論文レビュー] Evolutionary Algorithm for Graph Anonymization

Jordi Casas-Roma, Jordi Herrera‐Joancomartí+1 more|arXiv (Cornell University)|Oct 1, 2013

Privacy-Preserving Technologies in Data参考文献 8被引用数 7

ひとこと要約

本稿では、データ利用価値の損失を最小限に抑えるとともに $k$-次数匿名性を達成するためにグラフの辺を変更するための進化的アルゴリズム（EAGA）を提案する。進化的に次数列を最適化し、反復的な辺の入れ替えを適用することで、構造的変更を最小限に抑えながらグラフの構造を保持する。97.08%のエッジインターセクションを達成し、$k=5$以上では再特定リスクをゼロに低減する。

ABSTRACT

In recent years there has been a significant increase in the use of graphs as a tool for representing information. It is very important to preserve the privacy of users when one wants to publish this information, especially in the case of social graphs. In this case, it is essential to implement an anonymization process in the data in order to preserve users' privacy. In this paper we present an algorithm for graph anonymization, called Evolutionary Algorithm for Graph Anonymization (EAGA), based on edge modifications to preserve the k-anonymity model.

研究の動機と目的

• ノードの次数や近隣構造といった構造的属性がユーザーの再特定を可能にするグラフデータにおけるプライバシー漏洩を是正すること。
• 構造的歪みを最小限に抑えるために、グラフの辺を変更することで $k$-次数匿名性を達成する手法を開発すること。
• 次数列や中心性指標への変更を最小限に抑えることで、データ利用価値を保持すること。
• 実世界のグラフデータセットにおいて、プライバシー（$k$ の増加）とデータ利用価値（摂動の低減）のトレードオフを評価すること。

提案手法

• 各次数値が少なくとも $k$ 回以上出現するように、$k$-次数匿名性を満たす目標次数列を進化的に進化させる。
• 元の次数列と匿名化後の次数列の間の $L_1$ 距離を最小化することで、データ利用価値を保持する。
• 有効な $k$-匿名次数列が生成された後、反復的な辺の入れ替え操作を適用して、元のグラフを目標次数列に一致させる。
• 自己ループや多重辺を回避するように辺の入れ替えを実行し、グラフの構造的妥当性を保つ。
• $k$-匿名性の適合度と元の次数列からの偏差の最小化を両立するためのフィットネス関数を用いる。
• 収束するまで反復処理を継続し、摂動が小さい $k$-匿名グラフを生成する。

実験結果

リサーチクエスチョン

• RQ1 進化的アルゴリズムは、元のグラフからの構造的逸脱を最小限に抑える $k$-匿名次数列を効果的に生成できるか？
• RQ2 摂動の程度（エッジインターセクションや中心性の変化で測定）は、$k$-匿名性の値が上昇するにつれてどのように変化するか？
• RQ3 EAGAは、実世界のグラフにおいて、利用価値を保持しつつ、ユーザーの再特定リスクをどの程度低減できるか？
• RQ4 異なるグラフタイプ（例：社会的ネットワーク、共同ネットワーク）は、匿名化処理に対して、辺の変更数の観点でどのように反応するか？

主な発見

• 社会的ネットワークにおいて $k=2$ の場合、EAGAは94.87%のエッジインターセクションを達成したが、$k=5$ では79.49%に低下し、$k$ が高くなるにつれて構造的変更が顕著になった。
• 115ノードの共同ネットワークにおいて、$k=25$ でも93%以上のエッジが保持され、$k=19$ では96.25%が保持され、高い利用価値の維持が確認された。
• 中心性指標（媒介性、接近性、固有ベクトル中心性）は摂動が小さく、$k$ の増加に伴いRMS値がわずかに上昇したにとどまった。
• 直接再特定可能なノード数は $k=2$ でゼロとなり、$k=5$ ではすべてのノードが中程度のリスクに陥った。これは強力なプライバシー保護を示している。
• 2つのハブを持つ高次数共同ネットワークでは、中心ノードの変更コストが高いためEAGAは $k=2$ に留まったが、97.08%のエッジインターセクションと低い中心性歪みを維持した。
• $Cand_{\mathcal{H}_1}$ メトリクスにより、2番目のデータセットでは $k=11$、1番目のデータセットでは $k=5$ で再特定リスクが完全に除去されたことが確認され、再特定リスクに晒されているノードは存在しなかった。