[论文解读] Differentially Private Chi-Squared Hypothesis Testing: Goodness of Fit and Independence Testing

Marco Gaboardi, Hyun Woo Lim+2 more|arXiv (Cornell University)|Feb 7, 2016

Privacy-Preserving Technologies in Data参考文献 21被引用 41

一句话总结

本文提出了一种用于分类数据拟合优度与独立性检验的差分隐私卡方检验，通过注入噪声的统计量实现严格的显著性水平控制。该研究引入了蒙特卡洛方法与渐近方法，能够在保持目标显著性水平的同时，仅需适度增加样本量，便实现接近经典检验的统计功效，尤其在拉普拉斯噪声下表现更优。

ABSTRACT

Hypothesis testing is a useful statistical tool in determining whether a given model should be rejected based on a sample from the population. Sample data may contain sensitive information about individuals, such as medical information. Thus it is important to design statistical tests that guarantee the privacy of subjects in the data. In this work, we study hypothesis testing subject to differential privacy, specifically chi-squared tests for goodness of fit for multinomial data and independence between two categorical variables. We propose new tests for goodness of fit and independence testing that like the classical versions can be used to determine whether a given model should be rejected or not, and that additionally can ensure differential privacy. We give both Monte Carlo based hypothesis tests as well as hypothesis tests that more closely follow the classical chi-squared goodness of fit test and the Pearson chi-squared test for independence. Crucially, our tests account for the distribution of the noise that is injected to ensure privacy in determining significance. We show that these tests can be used to achieve desired significance levels, in sharp contrast to direct applications of classical tests to differentially private contingency tables which can result in wildly varying significance levels. Moreover, we study the statistical power of these tests. We empirically show that to achieve the same level of power as the classical non-private tests our new tests need only a relatively modest increase in sample size.

研究动机与目标

• 解决在保护个体隐私的同时对敏感分类数据进行有效假设检验的挑战。
• 克服经典卡方检验在应用于差分隐私化列联表时因显著性水平不可预测而失效的问题。
• 开发新型假设检验方法，考虑为差分隐私添加的噪声分布，确保第一类错误控制。
• 在增加噪声的前提下，实现接近经典非私有检验的统计功效，最小化样本量膨胀。
• 提供计算高效的渐近检验与稳健的蒙特卡洛替代方法，以支持实际部署。

提出的方法

• 向多项分布或列联表数据的观测频数注入拉普拉斯或高斯噪声，以确保差分隐私。
• 通过将标准公式应用于噪声频数，构建差分隐私卡方统计量。
• 对于蒙特卡洛检验（MCGOF 与 MCIndep），在原假设下使用噪声数据模拟零分布，以计算 p 值。
• 对于渐近检验（PrivGOF 与 PrivIndep），推导出私有卡方统计量的渐近分布，其为独立的自由度为 1 的卡方分布的线性组合。
• 使用 R 语言中的 'CompQuadForm' 包结合 Imhof 方法，计算渐近分布的临界值与 p 值。
• 采用两步最大似然估计（2MLE）程序，从私有频数中估计参数，尤其适用于单元格频数较小的情况。

实验结果

研究问题

• RQ1 当在列联表中加入噪声时，差分隐私卡方检验能否维持目标显著性水平（1−α）？
• RQ2 在相同隐私预算下，差分隐私检验的统计功效与经典非私有检验相比如何？
• RQ3 噪声类型（拉普拉斯 vs. 高斯）对私有假设检验性能有何影响？
• RQ4 能否有效利用私有卡方统计量的渐近近似进行显著性检验，并实现严格的误差控制？
• RQ5 为使私有检验达到与经典检验相同的统计功效，需要额外增加多少样本量？

主要发现

• 所提出的蒙特卡洛与渐近检验（MCGOF、PrivGOF、MCIndep、PrivIndep）在差分隐私条件下仍能实现接近目标显著性水平 1−α 的显著性水平。
• 在使用拉普拉斯噪声时，仅需增加少于 3,000 个样本，即可实现与经典检验相当的统计功效，显著优于预期的 1/ε 膨胀。
• 由于在相同隐私预算（ε,δ）下方差更高，高斯噪声导致的统计功效低于拉普拉斯噪声。
• 在小样本量（例如 n=100）下，所有私有检验在 1,000 次试验中均未能拒绝原假设，这与经典检验行为一致，归因于单元格频数过低。
• 在原假设下，私有卡方统计量的渐近分布为独立 χ²(1) 变量的线性组合，从而可高效计算临界值。
• 在 R 中使用 Imhof 方法对正态分布二次型的尾部概率进行估计，可实现对渐近检验的准确且高效的 p 值计算。