[論文レビュー] Google COVID-19 Search Trends Symptoms Dataset: Anonymization Process Description (version 1.0)

Shailesh Bavadekar, Andrew M. Dai+28 more|arXiv (Cornell University)|Sep 2, 2020

Privacy-Preserving Technologies in Data参考文献 2被引用数 16

ひとこと要約

この論文は、Google COVID-19検索トレンド症状データセットの匿名化プロセスを詳細に説明しており、個人の検索プライバシーを保護しながら、約400の症状について複数の地理的・時間的粒度で集計済み・正規化済みの検索件数トレンドを公開するために、$\epsilon = 1.68$ の$\epsilon$-微分プライバシーを用いている。この手法は微分プライバシーとポストプロセッシングを組み合わせ、データの有用性と信頼性を確保しており、匿名化されたデータの品質に基づいて、日次と週次粒度の間で動的に選択する。

ABSTRACT

This report describes the aggregation and anonymization process applied to the initial version of COVID-19 Search Trends symptoms dataset (published at https://goo.gle/covid19symptomdataset on September 2, 2020), a publicly available dataset that shows aggregated, anonymized trends in Google searches for symptoms (and some related topics). The anonymization process is designed to protect the daily symptom search activity of every user with $\varepsilon$-differential privacy for $\varepsilon$ = 1.68.

研究の動機と目的

• 個人のユーザーデータを露呈させることなく、COVID-19症状関連の集計済みGoogle検索トレンドを公開するプライバシー保護手法を開発すること。
• 各ユーザーの症状検索行動が、$\epsilon = 1.68$ の正式な微分プライバシー保証のもとで保護されることを保証すること。
• 匿名化されたデータの信頼性に基づいて、日次と週次の時間的粒度の間で動的に選択することで、データの有用性を維持すること。
• 追加のプライバシー予算を消費せずに、ノイズによる高い不確実性を示す信頼性の低い指標を削除すること。
• 研究者や公衆衛生専門家がパンデミック期の症状検索パターンを研究できるように、スケーラブルで公開可能なデータセットを提供すること。

提案手法

• データセットは微分プライバシーを用いて構築されており、ラプラスノイズが生の症状および正規化カウントに追加され、$\epsilon = 1.68$ の$\epsilon$-微分プライバシーが保証される。
• 生の症状および正規化カウントは、まず寄与制限（contribution bounding）によりバウンディングされ、個々の影響力を出力に制限する。
• 匿名化されたカウント $A$（症状）および $B$（正規化）を用いて、$c \cdot \max\{(A/B), 0\}$ の式により正規化検索件数が計算される。ここで $c$ は地域固有のスケーリング要因である。
• 匿名化された $A$ および $B$ から信頼区間 $[l, r]$ を計算し、真の比率 $a^*/b^*$ が観測された比率の25%以内に存在する確率が50%以上であるかを評価する。
• 信頼区間が観測された比率 $A/B$ から $\pm 25\%$ の範囲に収まらない場合、指標はドロップされ、追加のプライバシー予算を消費せずに信頼性が保証される。
• 日次と週次の粒度の決定は、匿名化された正規化カウントを用いて、検索件数の高い地域を順位付けし、直近20地域のローリング多数決ルールを適用して外れ値の影響を防ぐ。

実験結果

リサーチクエスチョン

• RQ1 大規模な検索トレンドデータを、正式なプライバシー保証のもとで個人のプライバシーを保護しながら公開する方法は何か？
• RQ2 異なる時間的粒度で症状検索トレンドを公開する際、データの有用性とプライバシーの最適なバランスはどのように達成できるか？
• RQ3 ノイズによって生じる高い不確実性を示す信頼性の低いデータポイントは、プライバシーを損なわずにどのように特定・削除できるか？
• RQ4 日次と週次の解像度の決定が追加のプライバシー予算を消費しない仕組みは何か？
• RQ5 解釈可能性と公衆衛生研究における利用可能性を維持したまま、時系列検索データに微分プライバシーを適用する方法は何か？

主な発見

• 匿名化プロセスは $\epsilon = 1.68$ の$\epsilon$-微分プライバシーを達成しており、個人ユーザーのプライバシーを強く保証している。
• 匿名化されたデータ品質に基づいて、日次と週次の時間的粒度を動的に選択しており、日次指標の半数以上が信頼性がないと判断された場合には週次解像度を優先する。
• 400種類の症状（せき、発熱、呼吸困難など）が、国、州、郡などの複数の地理的レベルでカバーされており、最小地域サイズは3km²である。
• 信頼区間に基づく信頼性チェックにより、真の値から25%以内に収まる確率が50%以上の指標のみが公開され、データの信頼性が向上している。
• 粒度の決定プロセスは、すべて匿名化されたデータのみを用いるため、初期の $\epsilon = 1.68$ を超えて追加のプライバシー予算が消費されない。
• スケーリング要因 $c$ は、主にノイズのあるカウントから計算され、地域ごとに固定されるため、将来的なリリースで正規化スケールが100を超える場合でもプライバシーコストが発生しない。