It does what it says on the tin: safe synthetic data from coarsened margins

Sintesi Tecnica: Dati Sintetici da Margini Coarsened (Raggruppati)

Definizione del Problema
Il documento affronta la sfida di ampliare l'accesso ai dati amministrativi sensibili in possesso delle Agenzie Nazionali di Statistica (NSA), mantenendo rigorosamente la privacy individuale. Gli attuali metodi per la creazione di Dati Completamente Sintetici (FSD) si affidano spesso a complessi modelli di machine learning che mancano di trasparenza riguardo a quali relazioni tra le variabili vengano preservate. Inoltre, vi è un crescente consenso sul fatto che i dati sintetici generati da dati reali possano comunque presentare rischi di divulgazione, specialmente se il processo di generazione non è rigorosamente controllato. Sebbene gli Ambienti di Ricerca Protetti (TRE) offrano una soluzione sicura, essi sono spesso difficili da accedere, ostacolano il lavoro collaborativo e rallentano la pianificazione della ricerca e lo sviluppo del codice. Gli esistenti approcci a bassa fedeltà (che preservano solo le distribuzioni univariate) sono insufficienti per la pianificazione della ricerca o l'insegnamento, mentre i metodi ad alta fedeltà spesso non forniscono una garanzia certa che i dati siano privi di rischio di divulgazione.

Metodologia
L'autore propone un metodo per generare dati sintetici (SD) che assicuri due vantaggi primari: la trasparenza riguardo alle relazioni preservate e la garanzia che i dati derivino da informazioni già giudicate prive di rischio di divulgazione. Il processo prevede le seguenti fasi:

1. Curatela dei Dati e Controllo della Divulgazione (SDC): I dati originali di Verità Fondamentale (GT) vengono elaborati per applicare le misure standard di SDC (ad es. top-coding, bottom-coding, combinazione di piccole categorie).
2. Definizione dei Margini: Vengono selezionate tabelle marginali specifiche (tabulazioni incrociate di variabili) per definire le relazioni da mantenere nei dati sintetici. Il documento suggerisce di iniziare con tutti i margini a due vie.
3. Coarsening (Raggruppamento) e Aggiustamento: Per garantire che i margini stessi non siano divulgativi, i conteggi nelle tabelle sono sottoposti a un processo di "coarsening". Tutti i conteggi delle celle sono aggiustati in multipli di un limite di divulgazione specifico (ad es. 10). I conteggi inferiori al limite sono arrotondati per eccesso al limite stesso, e successivi aggiustamenti vengono effettuati per garantire che i conteggi totali nei margini rimangano coerenti con la dimensione del campione originale (o siano aggiustati tramite una sottrazione fissa per minimizzare la deviazione). Questo passaggio garantisce che, anche se i margini venissero pubblicati, nessun individuo possa essere identificato tramite differenziazione o sottrazione.
4. Iterative Proportional Fitting (IPF): I margini aggiustati e raggruppati vengono utilizzati come vincoli per l'algoritmo Iterative Proportional Fitting (IPF). Questo algoritmo genera una distribuzione di probabilità congiunta che meglio si adatta ai margini specificati.
5. Sintesi: Uno o più dataset sintetici vengono generati campionando dalla distribuzione multinomiale definita dalle proporzioni ottenute tramite l'IPF.

Contributi Chiave

• Trasparenza: A differenza dei metodi di sintesi basati su machine learning "black box", questo approccio definisce esplicitamente quali relazioni tra le variabili (margini) vengono preservate. L'utente sa esattamente quali strutture vengono mantenute.
• Privacy Garantita: Il metodo garantisce che i dati sintetici derivino da margini che sono già stati elaborati per soddisfare specifici standard di controllo della divulgazione. Raggruppando i conteggi in multipl로 del limite di divulgazione, il rischio di re-identificazione tramite differenziazione delle tabelle viene mitigato.
• Flusso di Lavoro Pratico: Il documento fornisce un flusso di lavoro concreto e passo dopo passo per la creazione di tali dati, illustrato utilizzando i dati del censimento del 1901 della Scozia. Dimostra che l'algoritmo IPF può convergere anche quando i margini aggiustati sono tecnicamente incompatibili a causa del processo di arrotondamento/raggruppamento.

Risultati
Il metodo è stato testato utilizzando 11 variabili dal censimento della Scozia del 1901 (51.064 record). Sono state generate e confrontate tre versioni di dati sintetici rispetto alla Verità Fondamentale (GT):

1. Controllo della Divulgazione: Piccole celle sostituite con un valore fisso (9).
2. Coarsened (Raggruppati): Conteggi arrotondati a multipli di 10.
3. Coarsened e Aggiustati: Conteggi raggruppati e ulteriormente aggiustati per allineare i totali alla dimensione del campione originale.

• Metriche di Utilità: L'utilità è stata misurata utilizzando lo Standardized Propensity Score Mean Square Error (SpMSE). Tutti i metodi hanno prodotto valori SpMSE ben al di sotto della soglia di 10 (dove valori >10 indicano differenze maggiori). Il metodo "Coarsened e Adjusted" ha prodotto i valori SpMSE più bassi, indicando la più alta fedeltà alla struttura dei dati originali.
• Fitting del Modello: Modelli di regressione logistica per predire l'impiego domestico di servitori sono stati applicati sia alla GT che ai dati sintetici. I risultati, inclusi i segni dei coefficienti e le sovrapposizioni degli intervalli di confidenza (media 68%), sono stati coerenti tra entrambi i dataset.
• Convergenza: L'algoritmo IPF è riuscito a convergere nonostante l'incompatibilità introdotta dai passaggi di raggruppamento e aggiustamento.

Significatività e Rivendicazioni
Il documento pone questo lavoro come un esercizio di "prova di concetto" piuttosto che come una soluzione definitiva per tutte le esigenze di dati sintetici. L'autore sostiene che questo metodo offre un approccio conservativo, trasparente e computazionalmente fattibile per generare dati sintetici che possano essere rilasciati in sicurezza al di fuori degli Ambienti di Ricerca Protetti.

La significatività risiede nel facilitare:

• Pianificazione della Ricerca: Permettere ai ricercatori di comprendere le strutture delle variabili e formulare piani prima di accedere agli ambienti sicuri.
• Insegnamento: Creare dataset per l'addestramento dei ricercatori sulle strutture dei dati senza esporre dati sensibili reali.
• Sviluppo del Codice: Consentire la scrittura e il debugging del codice di analisi prima dell'accesso alla GT.

Il documento riconosce i limiti, come la memoria computazionale richiesta per le tabulazioni incrociate ad alta dimensionalità (l'esempio richiedeva circa 50 milioni di celle) e il rischio teorico che algoritmi potenti possano invertire il processo di decodifica dei margini raggruppati. Tuttavia, sostiene che la trasparenza del metodo e la validazione preventiva della sicurezza dei margini sorgente rendano questo un approccio alternativo valido agli attuali metodi ad alto rischio o a bassa utilità. L'autore nota che il metodo condivide somiglianze con il lavoro del gruppo di Manchester, ma sottolinea il suo specifico focus sul raggruppamento dei margini come meccanismo di controllo della divulgazione.