Recomendados
Recomendados
Más contenido relacionado
Más de Junpei Kawamoto
Más de Junpei Kawamoto (19)
Último
Último (9)
マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ
- 1. マルコフ過程を用いた 位置情報継続開示のための アドバーザリアルプライバシ 川本 淳平1, 佐久間 淳2 1筑波大学システム情報系 2筑波大学大学院システム情報工学研究科コンピュータサイエンス専攻
- 2. 移動履歴情報の収集と利用に関する期待 • GPS などから得られる移動履歴情報の利用 人口過密地帯だけではなく 過疎地であっても低コストでこれらの調査が可能 2013/7/22 現在通行可能な経路はどこか どの経路が良く利用されているか どの経路で良く事故（変化）が発生するか 変化点検出 頻出パタン発見 因果関係発見 カウント集計 基本 複雑 リアルタイムでの 事故（変化）発見 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 2
- 3. 移動履歴情報公開におけるプライバシ問題 • 解析のための移動履歴情報公開 • プライバシに配慮した情報公開が必要 • 誰がいつどこに居たのか？ • 誰と誰が同じ時間に同じ場所に居たのか？ etc. 2013/7/22 事業者 事業者 解析者 解析のための情報公開 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 3
- 4. 対象とするシステム • GPSなどから移動履歴を収集しヒストグラムを出力する • 時間ごとにその時点での滞在数ヒストグラムを出力 • 事業者（データ収集者）が満たすべきプライバシについて議論する 2013/7/22 事業者 解析者 π POI 人数 渋谷 15300 新宿 30000 t = 1 ππ POI 人数 渋谷 15200 新宿 30100 t = 2 POI 人数 渋谷 15000 新宿 30300 t = 3 公開 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 4
- 5. 関連研究：差分プライバシ1 • デファクトスタンダードなプライバシ定義 • ヒストグラムの集計に個人の情報が使われていると判断できる確率を制限 • ヒストグラムの各値にラプラス分布に従うノイズを付加 • すべてのデータを均等に扱いノイズを付加 • 差分プライバシはあらゆる攻撃に対するプライベート性を考える • 過疎地帯に対してはノイズの影響が無視できない 2013/7/22 5 [1] C.Dwork, F.McSherry, K.Nissim, A.Smith, “Calibrating noise to sensitivity in private data analysis”, Proc. of the Third Conference on Theory of Cryptography, pp. 265-284, 2006. ⎟⎟ ⎠ ⎞ ⎜⎜ ⎝ ⎛ − − φ µ φ || exp 2 1 x マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 過疎地域における ノイズ付加の結果
- 6. 関連研究：差分プライバシ1 • デファクトスタンダードなプライバシ定義 • ヒストグラムの集計に個人の情報が使われていると判断できる確率を制限 • ヒストグラムの各値にラプラス分布に従うノイズを付加 • すべてのデータを均等に扱いノイズを付加 • 差分プライバシはあらゆる攻撃に対するプライベート性を考える • 過疎地帯に対してはノイズの影響が無視できない 2013/7/22 6 [1] C.Dwork, F.McSherry, K.Nissim, A.Smith, “Calibrating noise to sensitivity in private data analysis”, Proc. of the Third Conference on Theory of Cryptography, pp. 265-284, 2006. ⎟⎟ ⎠ ⎞ ⎜⎜ ⎝ ⎛ − − φ µ φ || exp 2 1 x マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 攻撃者に仮定を与え差分プライバシより弱いが 利便性の高い出力を得るためのプライバシ定義を提案する 過疎地域における ノイズ付加の結果 vs.
- 7. 提案プライバシのアイデア • 差分プライバシはあらゆる遷移について隠していた • 自明な遷移については隠さなくては良いと考える 2013/7/22 こちらへ曲がる 行き止まり 開発途中 A この向きに進んできた人のほとんどは B C D 攻撃者が, 時刻 t に攻撃対象が A にいることを知っているなら， 「時刻 t+1 で B に移動する」 場合は秘匿しなくて良いと仮定する マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 7
- 8. 提案プライバシのアイデア • 自明・非自明な遷移を表現するためにマルコフ過程を導入 • マルコフ遷移確率から推測可能なこと以上の情報を 出力ヒストグラムが与えなければ安全 • アドバーザリアルプライバシ2 を利用する • 出力情報が攻撃者に与える情報を制限するプライバシのフレームワーク 2013/7/22 0.5 0.5 0.1 0.9 マルコフ過程 渋谷 駒場 [2] V.Rastogi, M.Hay, G.Miklau, D.Suciu, “Relationship Privacy: Output Perturbation for Queries with Joins”, Proc. of the ACM Symposium on Principles of Database Systems, pp.107-116, 2009. 自明： 渋谷に居る人はあまり移動しない 非自明： 渋谷から駒場に移動した レアケースゆえプライバシを考慮する マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 8 公開情報
- 9. アドバーザリアルプライバシ • 定義 • ある事象 X が起こると攻撃者が推測する確信度 p(X) • 出力情報 O を観測した場合の攻撃者の確信度 p(X | O) • p(X | O) ≦ eε p(X) が成り立つとき ε-アドバーザリアルプライベートという • X や O を適用する問題に合わせて設計する必要がある • X は時刻 t における攻撃対象が POI lj にいること: Xt = lj • O は出力ヒストグラム π(t) • 確信度の導出アルゴリズム p • 攻撃者の能力とプライバシの保護しやすさはトレードオフ関係にある • ユースケース別に攻撃者のクラスを導入し確信度の導出アルゴリズムを定義 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 9 攻撃者の設計が提案の一つ
- 10. 攻撃者のクラス • MK クラス • 時刻 t における攻撃対象の滞在 POI を推測 • 攻撃に利用できる情報 • マルコフ過程と時刻 t までに公開されたヒストグラム • APK クラス • 時刻 t における攻撃対象の滞在 POI を推測 • 攻撃に利用できる情報 • マルコフ過程と時刻 t までに公開されたヒストグラム • 時刻 t-1 に攻撃対象が滞在していた POI • BP クラス • 時刻 t に公開されたヒストグラムを元に 攻撃対象の時刻 t-1 における滞在POIを推測 • 攻撃に利用できる情報 • マルコフ過程と時刻 t までに公開されたヒストグラム • 時刻 t-1 に攻撃対象が滞在していた POI 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 10
- 11. 攻撃者のクラス • MK クラス • 時刻 t における攻撃対象の滞在 POI を推測 • 攻撃に利用できる情報 • マルコフ過程と時刻 t までに公開されたヒストグラム • APK クラス • 時刻 t における攻撃対象の滞在 POI を推測 • 攻撃に利用できる情報 • マルコフ過程と時刻 t までに公開されたヒストグラム • 時刻 t-1 に攻撃対象が滞在していた POI • BP クラス • 時刻 t に公開されたヒストグラムを元に 攻撃対象の時刻 t-1 における滞在POIを推測 • 攻撃に利用できる情報 • マルコフ過程と時刻 t までに公開されたヒストグラム • 時刻 t-1 に攻撃対象が滞在していた POI 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 11 定理： APK クラスと BP クラスは等価 （APKクラスに対してアドバーザリアルプライベートであれば BP クラスに対してもアドバーザリアルプライベート）
- 12. APK クラス攻撃者の推測 • 出力情報を観測する前の推測確信度 • • 出力情報を観測した後の推測確信度 • • このクラスに対する ε-アドバーザリアルプライベートの定義 • ∀li, lj, 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 12 p(Xt = lj | Xt−1 = li,(π(t −1)t P)t ,π(t −1);P) p(Xt = lj | Xt−1 = li,π(t),π(t −1);P) 過去に公開されたヒストグラムとマルコフ過程による推測 p(Xt = lj | Xt−1 = li,π(t),π(t −1);P) p(Xt = lj | Xt−1 = li,(π(t −1)t P)t ,π(t −1);P) ≤ eε
- 13. プライベートなヒストグラムの導出問題 • 出力ヒストグラムのロス • 本来のヒストグラム π0(t) が アドバーザリアルプライベートなヒストグラム π(t) として出力されたとする • プライベートな出力ヒストグラムの導出問題 • minimize loss(π(t), π0(t)) • s.t. ∀li, lj, • 論文ではヒューリスティックなアルゴリズムを提案 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 13 loss(π(t),π0 (t))= π(t)−π0 (t) 2 p(Xt = lj | Xt−1 = li,π(t),π(t −1);P) p(Xt = lj | Xt−1 = li,(π(t −1)t P)t ,π(t −1);P) ≤ eε
- 14. 高階マルコフ過程の利用 • ここまで１階マルコフ過程を想定 • 出力は POI 別滞在人数のヒストグラム • 高階マルコフ過程を用いることで パスのカウントを出力することができる • 高階マルコフ過程は変数変換で１階マルコフとして表現可能 • 長さ 2 のパスに対するカウントを出力 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 14 0.5 0.5 0.1 0.9 マルコフ過程 渋谷 駒場 2階マルコフ過程の例 渋谷→原宿 原宿→代々木 原宿→表参道 渋谷→表参道
- 15. 高階マルコフ過程の利用 • ここまで１階マルコフ過程を想定 • 出力は POI 別滞在人数のヒストグラム • 高階マルコフ過程を用いることで パスのカウントを出力することができる • 高階マルコフ過程は変数変換で１階マルコフとして表現可能 • 長さ 2 のパスに対するカウントを出力 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 15 0.5 0.5 0.1 0.9 マルコフ過程 渋谷 駒場 2階マルコフ過程の例 渋谷→原宿 原宿→代々木 原宿→表参道 渋谷→表参道 提案プライバシ定義は任意の n グラムパスに対するカウントを 継続的に出力する問題に利用することができる
- 16. 評価実験 • 出力ヒストグラムを用いた解析タスクとして次の二つを設定 • 各 POI における滞在人数の変化点検出 • 事故や災害などによる人々の行動パタン変化の検出を想定 • 頻出パス抽出 • 主導線発見などを想定 • データセット • 人の流れプロジェクト3 東京都市圏（1998年) • 渋谷駅周辺 14 駅及び町田駅周辺 14 駅 • 比較的滞在人数の多い渋谷駅と 滞在人数が少ない古淵駅の結果について考察 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 16 [3] http://pflow.csis.u-tokyo.ac.jp/index-j.html
- 17. 評価実験: 滞在人数の変化点検出 • 実験設定 • 変化点検出プログラム: ChangeAnomalyDetection4 • 1分毎に各駅に滞在している人数を出力 • 比較手法として差分プライバシ(DP)のε = 1と100の二種類を選択 • 提案手法と差分プライバシは定義が異なり直接比較することは困難 • ε = 100 は差分プライバシの枠組みでほぼ何も保護しないレベルに緩和した設定 • DP-100 による解析結果と同等以上の性能が出れば 提案プライバシは効果的であると考えられる 2013/7/22 [4] http://cran.r-project.org/web/packages/ChangeAnomalyDetection/ メカニズム πππ 公開 人の流れ データ 変化点 検出器 1分間隔 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 17
- 18. 渋谷駅における滞在人数の変化 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 18 ほぼ等しい 人数が少ないところで エラーを含む Plain: 元データ AdvP: 提案手法 DP-1: DP (ε=1) DP-100: DP (ε=100)
- 19. 渋谷駅における変化点スコアの変化 • AdvP はラッシュ時に過剰なスコア • それ以外の誤検出は見られない • DP-1, DP-100 共に誤検出を含む • ほぼ何も保護しない DP-100 でさえ誤検出を含む 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 19 変化点スコア 変化点スコアの誤差 誤差は |(plainのスコア) – (各手法によるスコア)| で算出
- 20. 古淵駅における滞在人数の変化 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 20 ほぼ等しい 人数が少ないため ノイズの影響が大きい
- 21. 古淵駅における変化点スコアの変化 • AdvP はほぼ Plain に対する検出スコアと同じ値 • 誤検出がない • DP-1, DP-100 はラッシュ以外の誤検出が多い 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 21 変化点スコア 変化点スコアの誤差 誤差は |(plainのスコア) – (各手法によるスコア)| で算出
- 22. 評価実験：頻出パス抽出 • 実験設定 • 渋谷周辺・町田周辺の各地域で頻出パスのランキングを作成 • 位置情報の集約者は （パス，そのパスを通った人数）を出力 • 解析者は出力結果をソートしてランキングを作成 • 比較手法 • Chenらの差分プライバシを満たすアルゴリズム5 • 頻出パス抽出に特化したアルゴリズム • 稀なパスをあらかじめDBから削除することでノイズ付加量を削減 • 変化点検出と同様 DP-1(ε = 1) と DP-100 (ε = 100) を用意 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 22 [5] R.Chen, G.Acs, C.Castelluccia, “Differentially Private Sequential Data Publication via Variable-Length N- Grams,” Proc. of the 19th ACM Conference on Computer and Communications Security, pp.638-649, 2012.
- 23. 実験結果 • 評価尺度にはNDCG6を用いた • トップ k ランキングの善し悪しを評価（値が大きいほど正解に近い） 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 23 [6] K.Järvelin, J.Kekäläinen, ”IR evaluation methods for retrieving highly relevant documents,” Proc. of the 23rd Annual International ACM SIGIR Conference on Research and Development in Information Retrieval, pp.41-48, 2000. 良 悪 渋谷周辺 町田周辺
- 24. 実験結果 • 評価尺度にはNDCG6を用いた • トップ k ランキングの善し悪しを評価（値が大きいほど正解に近い） 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 24 [6] K.Järvelin, J.Kekäläinen, ”IR evaluation methods for retrieving highly relevant documents,” Proc. of the 23rd Annual International ACM SIGIR Conference on Research and Development in Information Retrieval, pp.41-48, 2000. 良 悪 渋谷周辺 町田周辺 • 提案手法・比較手法ともに正解ランキングとほぼ等しい頻出パスランキングを抽出 • 比較手法は稀なパスは削除済みのため抽出不可能 • 一方提案手法は稀なパスであっても抽出可能 • 提案手法はパスの出力に対しても有効
- 25. まとめと今後の課題 • 移動履歴情報公開のためのプライバシ定義 • 差分プライバシより弱いが利便性の高い出力を得るプライバシ定義 • 人々の行動にマルコフモデルを仮定したアドバーザリアルプライバシの提案 • 二つの解析タスクを用いた評価実験 • 変化点検出 • 提案プライバシは差分プライバシに比べて利便性の高いデータを出力 • 人口が多い地域，少ない地域共に利便性の高いデータを出力 • 頻出パス解析 • 正確な頻出パスランキングの計算が可能 • 既存手法と比べ提案手法は稀なパスも出力が可能 • 今後の課題 • 他の解析タスクへの利用 • 出力を異種データと結合した場合のプライバシ問題と利便性の調査 2013/7/22 マルコフ過程を用いた位置情報継続開示のためのアドバーザリアルプライバシ 25