[论文解读] Local Private Hypothesis Testing: Chi-Square Tests

Marco Gaboardi, Ryan Rogers|arXiv (Cornell University)|Sep 21, 2017

Privacy-Preserving Technologies in Data参考文献 2被引用 19

一句话总结

本文提出了一种基于三种不同扰动机制的本地差分隐私卡方拟合优度检验与独立性检验：拉普拉斯/高斯噪声、指数机制和比特翻转。研究证明，在原假设下，检验统计量收敛于卡方分布，从而实现精确的 I 类错误控制。实验结果表明，性能因数据维度和隐私预算而异，不同机制在不同场景下表现更优。

ABSTRACT

The local model for differential privacy is emerging as the reference model for practical applications collecting and sharing sensitive information while satisfying strong privacy guarantees. In the local model, there is no trusted entity which is allowed to have each individual's raw data as is assumed in the traditional curator model for differential privacy. So, individuals' data are usually perturbed before sharing them. We explore the design of private hypothesis tests in the local model, where each data entry is perturbed to ensure the privacy of each participant. Specifically, we analyze locally private chi-square tests for goodness of fit and independence testing, which have been studied in the traditional, curator model for differential privacy.

研究动机与目标

• 在不存在可信中心的本地差分隐私模型中，为类别数据设计私有假设检验，其中每位用户自行扰动其数据。
• 通过构建在原假设下收敛于卡方分布的检验统计量，确保 I 类错误控制在显著性水平 α 以内。
• 开发既满足统计有效性又满足本地差分隐私（LDP）的拟合优度检验与独立性检验。
• 比较不同扰动机制——噪声注入、指数机制和比特翻转——在不同数据维度和隐私参数下的统计功效。
• 提供一个可在实际应用（如浏览器和移动设备数据收集）中使用的本地模型下卡方检验设计框架。

提出的方法

• 提出 LocalNoiseGOF、LocalExpGOF 和 LocalBitFlipGOF 用于拟合优度检验，分别采用拉普拉斯/高斯噪声、指数机制和比特翻转这三种本地隐私机制。
• 构建在原假设下渐近服从卡方分布的检验统计量，从而可通过标准卡方分位数选择临界值。
• 对于独立性检验，将该框架扩展至列联表，使用类似的扰动机制：LocalNoiseIND、LocalExpIND 和 LocalBitFlipIND。
• 使用非中心卡方分布对备择假设下的检验统计量进行建模，以支持功效分析。
• 采用隐私分析证明每项检验均满足 ϵ-本地差分隐私，确保个体层面的隐私保障。
• 通过具有受控依赖结构的合成数据，实证评估不同数据维度（r,c）、隐私预算（ϵ ∈ {1,2,4}）和扰动机制下的检验功效。

实验结果

研究问题

• RQ1 能否设计出本地私有卡方检验，使其在原假设下检验统计量收敛于卡方分布，从而实现有效的 I 类错误控制？
• RQ2 不同的本地隐私机制（拉普拉斯噪声、指数机制和比特翻转）如何影响私有假设检验的统计功效？
• RQ3 数据维度、隐私预算 ϵ 与最优扰动机制选择之间存在何种关系，以最大化检验功效？
• RQ4 该框架能否从拟合优度检验扩展至本地模型下的独立性检验，同时保持统计有效性与隐私保障？
• RQ5 检验统计量的非中心参数与备择假设下检验功效之间存在何种关系？

主要发现

• LocalNoiseGOF、LocalExpGOF 和 LocalBitFlipGOF 的检验统计量在原假设下收敛于卡方分布，从而可实现精确的临界值选择，确保 I 类错误控制。
• 在高维数据中，LocalBitFlipGOF 和 LocalExpIND 表现更优，尤其在 (r,c) = (10,4) 时，得益于更高的噪声效率。
• 当 (r,c) = (2,2) 时，LocalExpIND 和 LocalBitFlipIND 的功效相近，其中 LocalBitFlipIND 在某些隐私设置下略占优势。
• 每项检验的功效与备择假设下检验统计量的非中心参数直接相关，该参数取决于数据分布与隐私机制。
• 无单一机制在所有场景下占优：LocalExpGOF 在低维设置且 ϵ 适中时表现最佳，而 LocalBitFlipGOF 在高维或高隐私场景下更优。
• 实证结果证实，所提检验的 I 类错误保持在名义显著性水平 α 以内，验证了其在本地差分隐私下的统计正确性。