[论文解读] Tumult Analytics: a robust, easy-to-use, scalable, and expressive framework for differential privacy

Skye Berghel, Philip Bohannon+11 more|arXiv (Cornell University)|Dec 8, 2022

Privacy-Preserving Technologies in Data被引用 7

一句话总结

Tumult Analytics 是一个 Python 框架，为敏感数据集应用差分隐私提供了强大、可扩展且用户友好的接口。基于可扩展的 Tumult Core 基础架构构建，它通过模块化的度量、转换和隐私会计机制，实现了端到端的隐私保障，支持复杂的操作（如私有连接）以及先进的隐私概念（如 zCDP 和自定义邻近关系）。

ABSTRACT

In this short paper, we outline the design of Tumult Analytics, a Python framework for differential privacy used at institutions such as the U.S. Census Bureau, the Wikimedia Foundation, or the Internal Revenue Service.

研究动机与目标

• 设计一个框架，使数据科学家无需掌握隐私理论或高等数学知识，也能应用差分隐私。
• 通过将隐私会计和稳定性推理直接嵌入计算流水线，确保强大的端到端隐私保障。
• 通过确保性能和资源使用与非私有分析相当，支持现实世界的大规模数据工作负载。
• 在不进行架构重构的前提下，支持新隐私概念（如 zCDP、Rényi DP）、新操作符（如私有连接）和新会计方法的可扩展性。
• 解决现有开源 DP 框架的局限性，如可扩展性差、缺乏端到端隐私证明以及可扩展性不足。

提出的方法

• Tumult Core 作为隐私基础，通过输入度量、输出度量和隐私函数对度量进行建模，将差分隐私推广至标准定义之外的通用形式。
• 转换操作（如过滤、映射、连接）通过关联输入与输出距离的稳定性函数进行建模，支持组合推理。
• 隐私和稳定性属性在流水线中通过归纳方式组合，支持对包含私有连接和自定义邻近关系的复杂查询实现端到端隐私证明。
• 该框架支持多种隐私概念，包括标准 DP、zCDP 和近似 DP，并支持对新变体的可扩展会计。
• Tumult Analytics 提供高层级、Pythonic 的 API 抽象 Tumult Core，使用户能够以极少的隐私特定代码编写查询，如“按邮政编码计算平均收入”。
• 通过一种新颖的表集度量方法实现私有连接，使连接操作的隐私分析正确无误，且无需依赖隐私 ID。

实验结果

研究问题

• RQ1 如何设计一个差分隐私框架，使其在保持对非专家用户友好性的同时，兼具高度表达性和形式化可验证性？
• RQ2 模块化框架能否在解耦隐私关键逻辑与数据处理的同时，确保端到端的隐私保障？
• RQ3 如何在组合式隐私会计系统中正式支持复杂操作（如私有连接）？
• RQ4 哪些架构选择能够实现对新隐私概念（如 zCDP、Rényi DP）和新操作符的可扩展性，同时不破坏向后兼容性？
• RQ5 该框架在大规模场景下的性能和资源使用情况，与非私有分析以及其它开源 DP 库相比如何？

主要发现

• Tumult Analytics 使数据科学家能够使用高层级 Python API 在大规模数据集上执行差分隐私分析，而无需掌握差分隐私理论知识。
• 该框架通过 Tumult Core 中的组合推理实现端到端隐私保障，即使在涉及私有连接和自定义邻近关系的复杂流水线中也能确保正确性。
• Tumult Core 对隐私函数和度量的抽象机制，使得无需架构更改即可支持多种隐私概念（包括 zCDP 和近似 DP）。
• 该框架已在包括美国人口普查局、国税局和维基媒体基金会在内的机构中成功投入生产，用于真实工作负载，如私有 SQL 查询和聚合报告。
• Tumult Analytics 在可扩展性方面优于现有框架（如 OpenDP 和 diffprivlib），因为它基于 Spark 构建，避免了内存处理的限制。
• 可扩展性通过在数周内添加对 zCDP 和私有连接的支持得到验证，而 GoogleDP 或 PipelineDP 则需要深度修改才能扩展。