[论文解读] Differentially Private Release of Public Transport Data: The Opal Use Case

Hassan Jameel Asghar, Paul Tyler+1 more|arXiv (Cornell University)|May 16, 2017

Privacy-Preserving Technologies in Data参考文献 4被引用 3

一句话总结

本文提出了一种针对悉尼Opal智能卡系统公共交通数据的差分隐私发布，采用定制化算法在保障隐私的同时维持数据效用。通过将带有校准噪声的边际计数在不同交通方式和日期上进行组合，作者发布了14天的数据集，ε=8且δ≈10⁻⁶，确保了强有力的隐私保障，同时支持对交通使用模式的有意义分析。

ABSTRACT

This document describes the application of a differentially private algorithm to release public transport usage data from Transport for New South Wales (TfNSW), Australia. The data consists of two separate weeks of "tap-on/tap-off" data of individuals who used any of the four different modes of public transport from TfNSW: buses, light rail, train and ferries. These taps are recorded through the smart ticketing system, known as Opal, available in the state of New South Wales, Australia.

研究动机与目标

• 在不损害个人隐私的前提下，实现对Opal智能卡系统敏感公共交通使用数据的公开发布。
• 解决在保留研究人员和政策制定者可用性的前提下，发布高维真实世界交通数据的挑战。
• 展示差分隐私在现实世界公共部门数据发布中的实际部署，特别是针对移动性数据。
• 通过在不同数据分区间战略性分配隐私预算，平衡隐私（ε, δ）与数据效用。
• 提供一个可重复使用的开放数据集，支持交通研究，同时通过正式的隐私保障防止重新识别。

提出的方法

• 应用差分隐私，使用稀疏向量技术（SVT）和报告噪声最大值（RNM）算法，回答Opal数据集上的边际计数查询。
• 根据交通方式和日期将数据集划分为56个互不相交的子集，以支持并行组合并提高效用。
• 使用顺序组合管理6类查询的隐私预算：4个单向边际查询和2个双向边际查询，单向查询ε=1，双向查询ε=2。
• 每个分区设置δ_j = 1/8,000,000 ≈ 2⁻²³，以确保组合后整体δ < 10⁻⁶，从而最小化失败概率。
• 在注入噪声前移除所有个人身份信息（如个体ID），确保仅发布匿名化聚合数据。
• 采用SBH算法以确保差分隐私且误差概率有界，并通过组合定理证明端到端的隐私保障。

实验结果

研究问题

• RQ1 如何以保护个人隐私的方式发布高维公共交通数据，同时保持其分析效用？
• RQ2 在不同类型的查询（单向与双向边际）之间，最优的隐私预算（ε）分配策略是什么，以实现隐私与数据效用的平衡？
• RQ3 差分隐私能否在不损害可用性的前提下，实际应用于大规模真实世界公共交通数据集？
• RQ4 在实践中使用非零δ会产生何种影响，如何校准该值以确保强有力的隐私保障？
• RQ5 在差分隐私背景下，于噪声注入前移除标识属性在多大程度上增强了隐私？

主要发现

• 最终数据集以总隐私预算ε=8和δ<10⁻⁶发布，通过8个噪声查询的顺序组合实现。
• 与单向查询（ε=1）相比，双向边际查询被分配了更高的隐私预算（ε=2），这提高了输出中非零计数的数量，增强了数据效用。
• 每个分区使用δ≈2⁻²³，确保整体失败概率低于10⁻⁶，使隐私保障在实践中具有鲁棒性。
• 数据集成功以开放数据形式发布，未保留任何可识别信息，且无异常或合成行可能误导用户。
• 该方法证明差分隐私可有效应用于真实世界高维移动性数据，在公共研究和政策制定中保持有意义的效用。
• 该项目为公共交通系统中的隐私保护数据共享建立了先例，表明正式的隐私保障在实践中是可行的。