[论文解读] Overlook: Differentially Private Exploratory Visualization for Big Data

Pratiksha Thaker, Mihai Budiu+3 more|arXiv (Cornell University)|Jun 22, 2020

Privacy-Preserving Technologies in Data被引用 8

一句话总结

Overlook 引入了一种虚拟概要机制，通过使用伪随机函数（PRF）增量计算噪声，实现了对大规模数据的交互式、差分隐私探索性可视化，消除了对昂贵预计算或存储的需求。其在保持与传统概要系统相当的准确性的同时，实现了低延迟查询性能，并支持数据管理员对隐私参数进行交互式调优。

ABSTRACT

Data exploration systems that provide differential privacy must manage a privacy budget that measures the amount of privacy lost across multiple queries. One effective strategy to manage the privacy budget is to compute a one-time private synopsis of the data, to which users can make an unlimited number of queries. However, existing systems using synopses are built for offline use cases, where a set of queries is known ahead of time and the system carefully optimizes a synopsis for it. The synopses that these systems build are costly to compute and may also be costly to store. We introduce Overlook, a system that enables private data exploration at interactive latencies for both data analysts and data curators. The key idea in Overlook is a virtual synopsis that can be evaluated incrementally, without extra space storage or expensive precomputation. Overlook simply executes queries using an existing engine, such as a SQL DBMS, and adds noise to their results. Because Overlook's synopses do not require costly precomputation or storage, data curators can also use Overlook to explore the impact of privacy parameters interactively. Overlook offers a rich visual query interface based on the open source Hillview system. Overlook achieves accuracy comparable to existing synopsis-based systems, while offering better performance and removing the need for extra storage.

研究动机与目标

• 为解决在大规模数据集的交互式探索性数据分析中管理差分隐私预算的挑战。
• 消除传统基于概要的系统在隐私数据探索中产生的高计算和存储成本。
• 使数据管理员能够交互式地调整隐私参数（例如 ε），并实时可视化其影响。
• 在无需修改现有基于 SQL 的查询引擎的前提下，支持交互式、隐私保护的可视化查询。
• 通过与熟悉的可视化界面集成，使差分隐私在现实世界的数据探索工作流中变得实用且易于使用。

提出的方法

• Overlook 使用一种虚拟概要数据结构，通过伪随机函数（PRF）表示噪声分布，避免存储实际的概要数据。
• 它基于分层直方图机制，使用 PRF 对每个查询结果按需计算噪声，确保差分隐私。
• 该系统作为现有 SQL DBMS 引擎与用户之间的拦截层，无需修改底层引擎即可向查询结果注入噪声。
• 对于多维查询，Overlook 利用分层划分机制，在数据维度上自适应地应用噪声，从而提高准确性。
• 虚拟概要使管理员能够交互式地调整隐私参数（例如 ε），并立即观察其对查询输出的影响。
• 它与开源的 Hillview 系统集成，为数据分析师提供功能丰富、具备隐私感知能力的可视化查询界面。

实验结果

研究问题

• RQ1 能否设计一种虚拟概要机制，实现在无需预计算或存储开销的前提下，实现交互式、差分隐私可视化？
• RQ2 如何使数据管理员能够实时交互式地探索隐私参数（例如 ε）对查询结果的影响？
• RQ3 虚拟概要在保持低延迟查询性能的同时，能在多大程度上实现与传统概要系统相当的准确性？
• RQ4 能否在现有基于 SQL 的分析引擎之上构建一个隐私保护的可视化系统，且仅需极少的修改？
• RQ5 使用伪随机函数生成噪声如何影响系统的准确性和隐私保障？

主要发现

• Overlook 实现了与传统概要系统（如 PrivateSQL）相当的准确性，且性能下降可忽略不计。
• 系统每查询仅增加 O(k) 的计算开销，其中 k 为输出元组数量（例如直方图桶数），因此适用于交互式使用。
• 数据管理员可交互式地调整隐私参数（例如 ε），并实时观察查询结果的变化，从而实现有效的隐私预算管理。
• 虚拟概要设计消除了昂贵的预计算和大容量存储需求，与原始数据查询相比，开销接近于零。
• 当最大计数约为可视化中垂直像素数的 2.3 倍时，ε = 1 的隐私水平可能与原始数据难以区分。
• 与现有 SQL 引擎及 Hillview 可视化界面的集成，使得该系统能够无缝融入现实世界的数据分析工作流。