[論文レビュー] Topology of Privacy: Lattice Structures and Information Bubbles for Inference and Obfuscation

Michael Erdmann|arXiv (Cornell University)|Dec 12, 2017

Privacy-Preserving Technologies in Data参考文献 20被引用数 6

ひとこと要約

本稿は、個人と属性の間の関係から導出されるラティス構造および単体複体を用いて、プライバシーをモデル化する位相的枠組みを提案する。Dowkerの定理とホモロジー論を適用することで、プライバシー損失を位相的崩壊として特徴付け、属性および関連プライバシーの保持に重要な不変量として等方性および球面的穴を同定する。動的推論およびごまかし戦略への応用が示される。

ABSTRACT

Information has intrinsic geometric and topological structure, arising from relative relationships beyond absolute values or types. For instance, the fact that two people share a meal describes a relationship independent of the meal's ingredients. Multiple such relationships give rise to relations and their lattices. Lattices have topology. That topology informs the ways in which information may be observed, hidden, inferred, and dissembled. Dowker's Theorem establishes a homotopy equivalence between two simplicial complexes derived from a relation. From a privacy perspective, one complex describes individuals with common attributes, the other describes attributes shared by individuals. The homotopy equivalence produces a lattice. An element in the lattice consists of two components, one being a set of individuals, the other being a set of attributes. The lattice operations join and meet each amount to set intersection in one component and set union followed by a potentially privacy-puncturing inference in the other component. Privacy loss appears as simplicial collapse of free faces. Such collapse is local, but the property of fully preserving both attribute and association privacy requires a global condition: a particular kind of spherical hole. By looking at the link of an identifiable individual in its encompassing Dowker complex, one can characterize that individual's attribute privacy via another sphere condition. Even when long-term attribute privacy is impossible, homology provides lower bounds on how an individual may defer identification, when that individual has control over how to reveal attributes. Intuitively, the idea is to first reveal information that could otherwise be inferred. This last result highlights privacy as a dynamic process. Privacy loss may be cast as gradient flow. Harmonic flow for privacy preservation may be fertile ground for future research.

研究の動機と目的

• ラティス構造および単体複体構造を用いて、関係データの位相的性質としてプライバシーを形式化すること。
• Dowker複体における位相的崩壊としてのプライバシー損失の発現様式を理解すること。
• 特に球面的穴を用いたホモロジー的条件により、個人およびグループの属性プライバシーを特徴付けること。
• ラティスに基づく推論制御を用いて、識別を遅らせる動的属性公開戦略を開発すること。
• 組合せ的プライバシー枠組み内に、確率的センシングおよびセンサーノイズをモデル化すること。

提案手法

• 二項関係 R から、共通する属性を持つ個人の集合と、共通する個人を持つ属性の集合の両方の単体複体を構築する。
• Dowkerの定理を適用して、二つの複体の間のホモトピー同値を確立し、ラティス構造を持つ共通コアを明らかにする。
• 自由面の崩壊としてプライバシー損失をモデル化し、完全なプライバシー保護にはグローバルな球面的穴条件が必要であることを示す。
• Dowker複体における個人のリンクを用いて、球面条件による属性プライバシーを定義し、グループへと一般化する。
• 等方性を、ラティス構造が一様に見える位相的条件として定義し、時間の経過とともに収縮し、プライバシーに穴をあける可能性があることを示す。
• posetの鎖に従って属性公開順序を定義し、識別の遅延を図る。ホモロジーはプライバシー持続時間の下界を提供する。

実験結果

リサーチクエスチョン

• RQ1 ラティス構造および単体複体は、関係データにおけるプライバシーの位相をどのようにモデル化できるか？
• RQ2 自由面の削除などの位相的崩壊（例：自由面の削除）は、推論攻撃におけるプライバシー損失とどのように対応するか？
• RQ3 特に球面的穴という位相的条件は、属性および関連プライバシーの保持をどのように保証するか？
• RQ4 属性公開の順序は識別の遅延にどのように利用可能か？また、ホモロジーはプライバシー持続時間の定量化にどのような役割を果たすか？
• RQ5 確率的センサ観測は、組合せ的プライバシー枠組みにどのようにマッピングされるか？また、重心単体分割は不確実性をモデル化するために果たす役割は何か？

主な発見

• プライバシー損失は、Dowker複体における自由面の崩壊として位相的に特徴付けられ、完全なプライバシー保護にはグローバルな球面的穴条件が必要である。
• 個人の属性プライバシーは、Dowker複体におけるその個人のリンクが球面とホモトピー同値である場合に保持され、高次元球面条件を用いてグループへと一般化される。
• Dowker複体のホモロジーは、長期的なプライバシーが達成できない場合でも、個人を特定するのに必要なステップ数の下界を提供する。
• 推論による単体の崩壊は局所的であるが、属性および関連プライバシーの両方を保護するには、グローバルな位相的条件が必要であり、具体的には球面的穴の存在である。
• 個人と属性の間のガロア接続におけるラティス構造により、動的ごまかし戦略が可能となり、識別を遅らせる情報的公開シーケンスが可能になる。
• 確率的センサ観測は、属性単体の重心単体分割を用いてモデル化でき、不確実性領域は空単体にマッピングされ、結果として得られる意思決定空間は単体の境界の第一重心単体分割と同型である。