[論文レビュー] Multi-Party Privacy-Preserving Record Linkage using Bloom Filters

Dinusha Vatsalan, Peter Christen|arXiv (Cornell University)|Dec 28, 2016

Data Quality and Management参考文献 24被引用数 6

ひとこと要約

本稿では、ブームフィルタと分散型セキュア合計を用いて、複数の参加者間でプライバシーを守りながら記録連携を実行するスケーラブルなプロトコルを提案する。このプロトコルは、生データを露呈せずに類似度スコアを計算でき、半誠実モデル下で強いプライバシー保証を達成する。通信複雑度は線形であり、大規模な有権者登録データベースを用いた評価で、高い連携品質と低い漏洩リスクを確認した。

ABSTRACT

Privacy-preserving record linkage (PPRL), the problem of identifying records that correspond to the same real-world entity across several data sources held by different parties without revealing any sensitive information about these records, is increasingly being required in many real-world application areas. Examples range from public health surveillance to crime and fraud detection, and national security. Various techniques have been developed to tackle the problem of PPRL, with the majority of them considering linking data from only two sources. However, in many real-world applications data from more than two sources need to be linked. In this paper we propose a viable solution for multi-party PPRL using two efficient privacy techniques: Bloom filter encoding and distributed secure summation. Our proposed protocol efficiently identifies matching sets of records held by all data sources that have a similarity above a certain minimum threshold. While being efficient, our protocol is also secure under the semi-honest adversary model in that no party can learn any sensitive information about any other parties' data, but all parties learn which of their records have a high similarity with records held by the other parties. We evaluate our protocol on a large real voter registration database showing the scalability, linkage quality, and privacy of our approach.

研究の動機と目的

• 医療、不正検出、国家セキュリティ分野でますます求められる、2つを超えるデータソース間でのプライバシー保護型記録連携（PPRL）の課題に対処すること。
• 参加者数が増加するに従い指数関数的に増加する候補レコード集合の数に起因する、多パーティPPRLにおけるスケーラビリティのボトルネックを克服すること。
• すべての参加者が互いのデータに関する機微な情報を学習できないようにしつつ、類似度の高いレコード集合を同定可能にするプライバシー保護を確保すること。
• ブームフィルタ符号化とセキュア合計を用いることで、従来の2者間またはベースラインの多パーティ手法と比較して、効率性を向上させ、通信オーバーヘッドを低減すること。

提案手法

• 各参加者のデータから準識別子をブームフィルタで符号化し、プライバシーを保持したまま効率的な近似マッチングを可能にする。
• 分散型セキュア合計を用いて、すべての参加者のブームフィルタにわたる1ビットの合計値および共通1ビットの合計値を、プライバシーを守った形で計算する。
• 合計された1ビット数と共通1ビット数を用いて、レコード集合間のダイス係数類似度を計算し、個々のデータを露呈せずに近似マッチングを実現する。
• 類似度がしきい値を超えるレコード集合のみを比較対象とすることで、候補マッチの数を削減し、効率性を向上させる。
• 1名の参加者（または外部機関）が類似度スコアを計算・配布することで、各参加者のローカル計算と通信量を最小限に抑える。
• 誤検出を低減するためのフィルタリングステップ（MPAM-F）を統合し、性能の著しい低下を伴わずに正確性を向上させる。

実験結果

リサーチクエスチョン

• RQ1 参加者数が2つを超えて増加する状況において、多パーティプライバシー保護型記録連携をどのようにスケーラブルに実現できるか。
• RQ2 ブームフィルタ符号化と分散型セキュア合計を組み合わせることで、複数参加者間で正確かつプライベートに類似度計算を実現できるか。
• RQ3 データの破損（例：20–40％の変更）が、多パーティPPRL環境下での連携品質に与える影響は何か。
• RQ4 参加者数の増加が、ブームフィルタベースのPPRLプロトコルにおける漏洩リスクに与える影響は何か。
• RQ5 通信複雑度、プライバシー、連携正確性の観点から、提案手法が既存のベースラインを上回るか。

主な発見

• 提案手法は、参加者数に対して線形の通信複雑度を達成しており、大規模な多パーティ連携においてスケーラブルであることが確認された。
• NCVR-10,000データセットにおいて、汚損していないデータではF1スコアが高く（0.9以上）維持され、優れた連携品質を示した。
• 20％および40％のデータ汚損が加わった場合、F1スコアは著しく低下したが、フィルタリング変種（MPAM-F）は、誤検出を低減することでMPAMと同等の性能を維持した。
• Laiらのベースライン手法は、正確なマッチングに依存しているため、汚損データでは著しく性能が低下したが、提案手法は近似マッチングをサポートしており、優れた耐性を示した。
• 漏洩リスク（DR指標で測定）は、参加者数の増加に伴い低下した。これは、短いブームフィルタセグメントにより、グローバルなレコードマッチ数が増加し、疑わしさの確率が低下したためである。
• 提案手法では、参加者数の増加に伴いメモリ使用量が減少したが、通信量と実行時間の複雑度はわずかに増加した。これに対して、ベースライン手法はスケーリングが著しく悪化した。