[論文レビュー] The 2020 Census Disclosure Avoidance System TopDown Algorithm

John M. Abowd, Robert Ashmead+12 more|arXiv (Cornell University)|Apr 19, 2022

Census and Population Estimation被引用数 7

ひとこと要約

本論文は、2020年米国国勢調査において個人のプライバシーを保護しながらデータの有用性を保つために使用された、差分プライバシーに基づく開示回避システム「TopDown Algorithm (TDA)」を提示する。TDAはゼロ集中差分プライバシー（zCDP）を適用して国勢調査データにノイズを加え、政策で定義されたインヴァリアント（不変量）をプライバシー会計から除外することで、特定の統計がプライバシー損失の計算に含まれないようにし、最終的にマイクロデータ詳細ファイル（MDF）を後処理によって生成することで、レディストリクティングデータに使用されるデータを提供する。このプロセスにより、定量的なプライバシー損失と高い統計的整合性を両立する。

ABSTRACT

The Census TopDown Algorithm (TDA) is a disclosure avoidance system using differential privacy for privacy-loss accounting. The algorithm ingests the final, edited version of the 2020 Census data and the final tabulation geographic definitions. The algorithm then creates noisy versions of key queries on the data, referred to as measurements, using zero-Concentrated Differential Privacy. Another key aspect of the TDA are invariants, statistics that the Census Bureau has determined, as matter of policy, to exclude from the privacy-loss accounting. The TDA post-processes the measurements together with the invariants to produce a Microdata Detail File (MDF) that contains one record for each person and one record for each housing unit enumerated in the 2020 Census. The MDF is passed to the 2020 Census tabulation system to produce the 2020 Census Redistricting Data (P.L. 94-171) Summary File. This paper describes the mathematics and testing of the TDA for this purpose.

研究の動機と目的

• スケーラブルでプライバシーを守る手法を、厳格な機密性基準を満たしながら、詳細な国勢調査マイクロデータを公開することを目的とする。
• すべてのデータ公開においてプライバシー損失を定量的かつ制御可能な枠組みとして実装する差分プライバシーのフレームワークを構築し、特にレディストリクティングや連邦資金配分といった高リスクな応用分野に適応することを目的とする。
• 特定の重要な集計（インヴァリアント）をプライバシー会計から除外することで、統計的正確性を維持するシステムを設計することを目的とする。
• 最終的なレディストリクティングデータ製品（P.L. 94-171）が、割譲や立法的レディストリクティングに必要な有用性を保ちつつ、個人レベルのデータを保護することを目的とする。
• 国家規模のデータ公開に適した、形式的検証済みで数学的に厳密な開示回避システムを提供することを目的とする。

提案手法

• TopDown Algorithm (TDA) は、最終的かつ編集済みの2020年国勢調査データと地理的定義を入力とし、ゼロ集中差分プライバシー（zCDP）を用いてノイズののった測定値を計算する。
• アルゴリズムは、州、郡、ブロックなどの地理的レベルを対象とした階層的なクエリ構造を用い、各クエリは人口統計および住宅関連変数のマージナルカウントである。
• 各レコードがクエリ出力に与える影響を制限するために、係数 $ c_{ij} $ と感度制御 $ d_{ijk} $ を用いた重み付けシステムを採用する。
• プライバシー損失は $ \rho $-zCDP パrameter を用いて計算され、$ \rho = \frac{1}{\psi^2} $ と定義され、すべてのデータ摂動に対してプライバシー損失が有界であることを保証する。
• 政策で重要な統計とされるインヴァリアントは正確な値を保ち、プライバシー損失会計から除外されるため、出力においても真の値が維持される。
• 後処理によりノイズののった測定値とインヴァリアントを統合し、最終的な2020年レディストリクティングデータ（P.L. 94-171）要約ファイルとして使用されるマイクロデータ詳細ファイル（MDF）を生成する。

実験結果

リサーチクエスチョン

• RQ1 差分プライバシーを、米国全土の個人レベルの国勢調査データを保護しつつ、レディストリクティングおよび資金配分に必要なデータ有用性を維持するようにスケーラブルに適用する方法は何か？
• RQ2 複雑で多次元的な国勢調査データに差分プライバシー機構を適用する際、プライバシー損失とデータ有用性の最適なバランスは何か？
• RQ3 政策で定義されたインヴァリアントを、プライバシー保証に影響を与えることなく、差分プライバシーシステムに形式的に統合する方法は何か？
• RQ4 TDAがすべての可能なデータ摂動において、有界なプライバシー損失を維持するための数学的およびアルゴリズム的技術は何か？
• RQ5 地理的クエリの階層的構造が、TDAにおける感度とノイズ割り当てに与える影響は何か？

主な発見

• TDAは、$ \rho = \frac{1}{\psi^2} $ のプライバシー予算を達成しており、$ \psi $ はすべてのクエリにわたる有界なゼロ集中差分プライバシーを保証するようにキャリブレーションされている。
• アルゴリズムにより、1つのレコードの変更が、いかなるクエリマージナルにおいても最大2つのセルに影響を及ぼすことが保証され、感度が制限され、正確なノイズキャリブレーションが可能になる。
• インヴァリアントをプライバシー会計から除外することで、合計人口数などの重要な統計の正確な値が維持され、特に重要な応用分野におけるデータ有用性が顕著に向上した。
• 後処理ステップにより、ノイズののった測定値とインヴァリアントが適切に統合され、一貫性があり正確なマイクロデータ詳細ファイル（MDF）が生成された。
• 2010年のレディストリクティングデータを用いた広範なチューニングとテストにより、TDAが厳格なプライバシー基準を満たしつつ、受け入れ可能なデータ有用性を維持することが確認された。
• 本システムは大規模に実装され、信頼できるキュレーター・モデルにおける差分プライバシーの最大規模の生産環境での利用の1つとなった。