周末你拍了一张很满意的旅行自拍，准备发朋友圈。可你并不想让每个路过的陌生人都看清你的脸。于是你打开修图软件，拖出一个“模糊强度”的滑杆：往左拉，照片清晰，熟人一眼认出你，但隐私几乎裸奔；往右拉，照片糊成一团色块，谁都不认识，可这张照片的分享意义也荡然无存。差分隐私，正是数据世界里那把“模糊滤镜”。而我们要聊的差分隐私参数选择——ε（epsilon）与 δ（delta）——就是滑杆上的两个刻度：ε 决定滤镜开多大，δ 允许你在极个别角度下接受一点点“意外走光”。调好这组参数，数据科学家才能在“保护个人隐私”和“让数据真正有用”之间，找到那个恰到好处的平衡点。

岗位关联

差分隐私参数选择是隐私计算落地的“临门一脚”：参数定得好，产品既合规又好用；参数定得糟，要么泄露隐私，要么数据废掉。掌握 ε、δ 的权衡方法，是 AI 从业者进入数据合规赛道的核心技能。

目录
  1. 可视化演示
  2. 隐私预算 ε：模糊滤镜的强度旋钮
  3. 松弛参数 δ：那万分之一的“意外清晰”
  4. 数据敏感度：照片的底片“锐度”
  5. 噪声机制选择：马赛克还是高斯模糊
  6. 查询与预算分配：九宫格的滤镜预算
  7. 下游任务精度：照片要派什么用场
  8. 实践参数建议：修图师的经验值
  9. AI 应用场景
  10. Python 演示
  11. 常见误区
  12. 面试题

可视化演示

展示epsilon隐私效用权衡、delta松弛概率上界、拉普拉斯机制噪声添加三阶段交互探索。

本节配有交互动效（进入视口后自动加载，约 3KB）。

epsilon隐私效用权衡 epsilon越小隐私保护越强 噪声量与1/epsilon成正比 效用随噪声增大而下降 noise ~ Lap(Δf/ε) epsilon控制隐私与效用的核心权衡

隐私预算 ε：模糊滤镜的强度旋钮

你拍了一张清晰的旅行自拍，想发到社交平台又不想让陌生人看清面容。你打开修图软件，把“模糊强度”从 0 调到 100：0 等于没保护，100 照片变成色块，谁也认不出，但也彻底失去了分享的意义。差分隐私里的 ε 就是这个旋钮的刻度——它决定了你给数据结果加多少“隐私模糊”。

ε（epsilon）被称为隐私预算，它刻画了攻击者从输出结果中“分辨出某条记录是否存在”的难度上界。ε 越小，加入的保护噪声越大，隐私风险越低；ε 越大，噪声越小，真实信息保留得越多。你可以把 ε 理解为“查询结果中携带的个人信息浓度”：浓度越低，越安全，但也越难用。

形式化地说，随机算法 M 满足 ε-差分隐私，当且仅当对任意相邻数据集 D 和 D'（只差一条记录）以及任意输出集合 S，都有以下不等式成立：

调滤镜时旋钮越往左拉（ε 越小），脸越糊；你发布照片时对“朋友还能认出我吗”的期望，决定了旋钮的位置。差分隐私中，“我能容忍多少噪声混入查询结果”就是你对 ε 的期待。

Pr⁡[M(D)∈S]≤eε⋅Pr⁡[M(D′)∈S]\displaystyle \Pr[\mathcal{M}(D) \in S] \le e^{\varepsilon} \cdot \Pr[\mathcal{M}(D') \in S]
这个公式的意思是：无论某条记录在不在数据集中，查询结果的概率分布都几乎一样。ε 越小，两个分布越接近，攻击者越难判断“你”是否在数据集里。
  1. 识别相邻数据集 D 与 D'D 和 D' 是仅相差一条记录的两个数据集，攻击者的目标正是判断“某条记录是否在数据集中”。
    M(D) 与 M(D′)\displaystyle \mathcal{M}(D) \text{ 与 } \mathcal{M}(D')
  2. 理解输出概率对任意输出集合 S，分别计算算法在 D 和 D' 上输出结果落入 S 的概率。
    Pr⁡[M(D)∈S]\displaystyle \Pr[\mathcal{M}(D) \in S]
  3. 用 e^ε 控制比值两个概率的比值不超过 e^ε，ε 越小比值越接近 1，说明两条邻近数据集的输出几乎不可区分。
    Pr⁡[M(D)∈S]Pr⁡[M(D′)∈S]≤eε\displaystyle \frac{\Pr[\mathcal{M}(D) \in S]}{\Pr[\mathcal{M}(D') \in S]} \le e^{\varepsilon}
  4. 整体不等式把比值关系改写成乘法形式，就是 ε-DP 的标准定义。
    Pr⁡[M(D)∈S]≤eε⋅Pr⁡[M(D′)∈S]\displaystyle \Pr[\mathcal{M}(D) \in S] \le e^{\varepsilon} \cdot \Pr[\mathcal{M}(D') \in S]

松弛参数 δ：那万分之一的“意外清晰”

你偶尔会遇到一种情况：照片某个刁钻角度、某种光线条件下，AI 竟然还原出了部分五官。这不是常态，但确实存在。你会问自己：这个“偶尔”的概率我能不能接受？δ 就是你为这个“偶尔”设定的上限。

严格的 ε-DP 要求任何情况下输出都不能泄露个体信息，代价是噪声非常大。(ε,δ)-DP 放了一条口子：允许以最多 δ 的概率出现隐私保护失效。换句话说，δ 是“打码失效的意外概率上界”，它让机制设计者可以用更温和的噪声换取实用性。

δ 的取值不能随心所欲。行业规范要求 δ 远小于 1/N，其中 N 是数据集的记录总数。如果 δ 接近 1/N，攻击者就有不小的概率通过“碰运气”识别出某个具体个体——就好比你接受了 10% 的照片可能完全没打码，这显然不能接受。

Pr⁡[M(D)∈S]≤eε⋅Pr⁡[M(D′)∈S]+δ\displaystyle \Pr[\mathcal{M}(D) \in S] \le e^{\varepsilon} \cdot \Pr[\mathcal{M}(D') \in S] + \delta
对比 ε-DP 的公式，唯一变化是右侧多了一个常数 δ。当 δ = 0 时，(ε,δ)-DP 就退化为严格的 ε-DP。
  1. 回顾 ε-DP 的严格约束不等式要求所有输出都必须满足比值约束，代价是噪声偏大。
    Pr⁡[M(D)∈S]≤eε⋅Pr⁡[M(D′)∈S]\displaystyle \Pr[\mathcal{M}(D) \in S] \le e^{\varepsilon} \cdot \Pr[\mathcal{M}(D') \in S]
  2. 加入松弛项 δ在不等式右侧加上非负常数 δ，允许输出分布存在至多 δ 的偏差。
    Pr⁡[M(D)∈S]≤eε⋅Pr⁡[M(D′)∈S]+δ\displaystyle \Pr[\mathcal{M}(D) \in S] \le e^{\varepsilon} \cdot \Pr[\mathcal{M}(D') \in S] + \delta
  3. 理解 (ε,δ)-DP 语义δ 越大，隐私保护失效的允许概率越高；当 δ 趋近于 0 时，近似差分隐私退化为严格差分隐私。
    lim⁡δ→0(ε,δ)-DP=ε-DP\displaystyle \lim_{\delta \to 0} (\varepsilon, \delta)\text{-DP} = \varepsilon\text{-DP}

数据敏感度：照片的底片“锐度”

同样是打码，一张 480p 的模糊旧照和一束 8K 高清写真，处理难度完全不同。高清写真哪怕只模糊一点，五官轮廓依然清晰可辨；旧照片随便一糊就什么也看不清。数据本身有多“锐利”，决定了你需要多重的滤镜。

差分隐私用敏感度衡量“相邻数据集中，查询结果最多会变化多少”。敏感度越高，单条记录对查询结果的影响越大，需要注入的噪声也越多。它是查询函数 f 和数据集邻域关系共同决定的固有属性，不是可以由你随意改小的旋钮，但可以通过预处理（比如截断极端值）来降低。

原图越清晰，滤镜就要开得越强；同样地，数据越“锐利”，ε 就要调得越小，或者用更大的噪声尺度来保护。比如年龄字段如果允许 0~120，敏感度就是 120；如果预处理截断为 0~90，敏感度就降到 90，噪声也更小。

Δf=max⁡D,D′∥f(D)−f(D′)∥1\displaystyle \Delta f = \max_{D, D'} \| f(D) - f(D') \|_1
Δf 表示全局敏感度：遍历所有相邻数据集对，求查询结果的 L1 距离最大值。它是噪声机制的“底噪放大器”——敏感度翻倍，噪声也要翻倍。
  1. 定义相邻集合约束D 与 D' 是相邻数据集（只差一条记录），max 遍历所有可能的相邻数据集对。
    max⁡D,D′\displaystyle \max_{D, D'}
  2. 计算输出差异对每一对相邻数据集，计算查询结果向量之间的 L1 距离。
    ∥f(D)−f(D′)∥1\displaystyle \| f(D) - f(D') \|_1
  3. 取最大差距为敏感度全局敏感度是相邻数据集上查询结果变化的最大上界，它直接决定噪声的“底噪”大小。
    Δf\displaystyle \Delta f

噪声机制选择：马赛克还是高斯模糊

打码有两种常见做法：马赛克（把像素区域涂成粗大方块）和高斯模糊（整体柔化边缘）。马赛克保护形状，模糊保护细节。差分隐私也有两种主流加噪工具：拉普拉斯机制和高斯机制。

拉普拉斯机制在查询结果上叠加服从拉普拉斯分布的噪声，直接实现 ε-DP；高斯机制叠加高斯噪声，实现 (ε,δ)-DP。两者都要求噪声尺度与敏感度成正比、与 ε 成反比。先看拉普拉斯机制的噪声尺度：

高斯机制的噪声标准差为：

拉普拉斯机制简单、严格，但噪声尾部厚重，适合数值型统计查询；高斯机制噪声性质温和，在深度学习场景中天然与梯度扰动结合，但必须接受 δ 的存在。选马赛克还是高斯模糊？取决于你更怕什么类型的泄露，以及你愿不愿意用“极小概率意外”换取更温和、更实用的模糊效果。

b=Δfε\displaystyle b = \frac{\Delta f}{\varepsilon}
σ=Δf2ln⁡(1.25/δ)ε\displaystyle \sigma = \frac{\Delta f \sqrt{2\ln(1.25/\delta)}}{\varepsilon}
b 是拉普拉斯分布的尺度参数，σ 是高斯分布的标准差。两者都遵循“敏感度越大噪声越大、ε 越小噪声越大”的直觉，只是高斯机制多了一个由 δ 决定的对数项。
  1. 取敏感度敏感度 Δf 是查询结果的最大变化幅度，它给噪声定下“底噪”。
    Δf\displaystyle \Delta f
  2. 除以隐私预算ε 越小，噪声尺度 b 越大，隐私保护越强；拉普拉斯机制对应严格的 ε-DP。
    b=Δfε\displaystyle b = \frac{\Delta f}{\varepsilon}
  3. 叠加拉普拉斯噪声输出在真实查询结果上加上位置参数为 0、尺度为 b 的拉普拉斯噪声。
    f^(D)=f(D)+Lap(b)\displaystyle \hat{f}(D) = f(D) + \mathrm{Lap}(b)
  4. 计算高斯噪声中的 δ 项高斯机制需要同时指定 ε 和 δ，δ 越小，所需噪声越大。
    2ln⁡(1.25/δ)\displaystyle \sqrt{2\ln(1.25/\delta)}
  5. 按公式计算 σ分母是 ε，δ 出现在对数项内部，δ 增大时 σ 减小。
    σ=Δf2ln⁡(1.25/δ)ε\displaystyle \sigma = \frac{\Delta f \sqrt{2\ln(1.25/\delta)}}{\varepsilon}
  6. 叠加高斯噪声输出噪声服从均值为 0、标准差为 σ 的正态分布，用于 (ε,δ)-DP。
    f^(D)=f(D)+N(0,σ2)\displaystyle \hat{f}(D) = f(D) + \mathcal{N}(0, \sigma^2)

查询与预算分配：九宫格的滤镜预算

你准备发一组九宫格自拍，每张都要打码。手里的“模糊预算”有限：如果每张都开到最大强度，九张拼起来的信息泄露风险依然很大；如果每张只用一点点，等于没保护。怎么分配？这是摄影里的预算管理，也是差分隐私中的预算管理。

差分隐私有两条核心组合性质。顺序组合：对同一数据集依次执行 k 次 ε_i-DP 查询，总隐私预算为各次之和。并行组合：把数据集切成不重叠的块分别查询，总预算取子查询中的最大值。顺序组合意味着查询次数越多，预算消耗越快，隐私保护整体越弱。

九宫格里，你想让朋友看清的那张（例如有纪念意义的合照）用最轻的码，其余凑数照片用重码——预算倾斜，收益最大。实际系统中，工程师用“隐私会计”逐次记账：联邦学习每轮训练消耗一点 ε，累计到上限就停止，确保总预算不超支。

εtotal=∑i=1kεi\displaystyle \varepsilon_{\text{total}} = \sum_{i=1}^{k} \varepsilon_i
顺序组合是“每次查询都在消耗同一份隐私”的数学表达。查一次用 ε=1，再查一次还是 ε=1，合计就是 ε=2——隐私损失不是零，而是会累积。
  1. 累计每次查询的预算对同一数据集依次执行 k 次查询，每次消耗 ε_i。
    ∑i=1kεi\displaystyle \sum_{i=1}^{k} \varepsilon_i
  2. 总预算为累加和总隐私预算等于各次预算之和，这是顺序组合性质的核心结论。
    εtotal=∑i=1kεi\displaystyle \varepsilon_{\text{total}} = \sum_{i=1}^{k} \varepsilon_i
  3. 与并行组合对比当数据集被分成互不重叠的块时，总预算取各块预算的最大值而非累加值。
    εtotal=max⁡iεi\displaystyle \varepsilon_{\text{total}} = \max_{i} \varepsilon_i

下游任务精度：照片要派什么用场

一张糊得只剩色块的照片，拿去当证件照肯定不行，但当作社交平台的模糊背景完全没问题。滤镜强度合不合适，取决于照片的用途。差分隐私的参数选择也一样：ε 定多大，取决于下游任务对精度的要求。

ε 小则噪声大，统计结果误差必然增大。对“平台总用户数”这种大数量级计数，噪声相对可忽略；对“某个细分人群比例”这种小数值查询，同样的噪声可能让结果完全失真。工程上常用信噪比来评估可用性：

训练机器学习模型时，通常需要相对小的 ε 才能保证模型精度不崩溃；发布统计报表时，可以容忍稍大的噪声。稳妥的做法是先用模拟数据预估误差，再倒推 ε 的下限——你的自拍是当证件照用还是当背景板用？用途决定模糊上限，任务精度要求倒逼差分隐私参数的下限。

SNR=∣f(D)∣Δf/ε\displaystyle \mathrm{SNR} = \frac{|f(D)|}{\Delta f / \varepsilon}
SNR 是真实信号幅度与噪声尺度的比值。比值越小，发布数据的误差越大，越没有使用价值。信噪比低于某个阈值时，参数就必须回调。
  1. 确定信号幅度真实查询结果 |f(D)| 是我们想发布的“信号”。
    ∣f(D)∣\displaystyle |f(D)|
  2. 估计噪声尺度噪声尺度约为 Δf/ε，ε 越小噪声越大。
    Δf/ε\displaystyle \Delta f / \varepsilon
  3. 定义信噪比两者之比反映了发布数据的可用性，比值太小说明结果不可信。
    SNR=∣f(D)∣Δf/ε\displaystyle \mathrm{SNR} = \frac{|f(D)|}{\Delta f / \varepsilon}

实践参数建议：修图师的经验值

职业修图师不会每次从头调参数，而是先给一组经验值：人像美颜一般用半径 8~12 的柔焦，风景照用另一套预设。差分隐私也有行业实践积累的经验参数。

实践中没有万能参数，但有公认的经验区间和验证方法。ε 常见区间是 0.1~10：敏感医疗数据取 0.1~1，一般统计发布取 1~4，探索性数据分析可放宽到 5~10。δ 一般取不超过 1/N 或 1/N²，当 N 很大时常用 1e-5 到 1e-9。两个参数必须联动调整，不能只看其中一个。

技术展开来看，行业参考标准很有价值：Google 的 RAPPOR 本地差分隐私系统使用 ε≈1~4；2020 年美国人口普查把总隐私预算 ε≈17 拆分到全国各地理层级。调参验证通常分四步：第一步估算敏感度；第二步根据机制公式计算噪声尺度；第三步用模拟数据跑下游任务测误差；第四步若误差超限，在隐私与精度之间反复微调。

修图师最终会查看照片在屏幕上的实际效果决定是否微调；数据工程师也应当用真实下游任务的误差报表来验收自己的参数选择。记住：没有一组参数是万能的，但“估算敏感度 → 按公式加噪 → 用任务验证 → 微调迭代”这个流程，是每个从业者都能依赖的修图台。

AI 应用场景

苹果与谷歌的本地差分隐私

阶段：数据采集阶段

解决的问题：移动端收集用户输入习惯，直接上传明文会暴露个人隐私；传统匿名化（去标识化）已被证明可被重识别攻击。

具体案例：苹果在键盘联想、表情推荐等功能中使用本地差分隐私，在端侧对每条用户记录加噪后再上传，ε 设置在 1~4 之间。谷歌的 RAPPOR 系统以 ε≈4 收集 Chrome 浏览器的恶意网址报告。两者都在“收集有用统计信息”与“保护单个用户隐私”之间用 ε 找到了平衡点。

2020 美国人口普查的数据发布

阶段：数据发布阶段

解决的问题：普查数据需要在州、县、街区等数百个地理层级同时发布，传统统计披露控制无法抵御差分攻击。

具体案例：美国普查局采用差分隐私，将总隐私预算 ε≈17 按“每个公民被统计的次数”拆分到不同地理层级，配合后处理技术保证数据一致性，并在精度与隐私之间做了大量模拟验证。

医疗数据分析平台的查询接口

阶段：数据共享与建模阶段

解决的问题：医院电子病历数据要提供给科研团队，但患者隐私受 HIPAA 等法规约束，直接开放查询会造成隐私泄露。

具体案例：平台对聚合统计查询加拉普拉斯噪声，根据查询类型给每个 API Key 分配 ε 预算，用隐私会计追踪每个密钥的累计消耗，预算耗尽后自动拒绝查询，从而在支持科研的同时守住隐私底线。

Python 演示

python57 行
#!/usr/bin/env python3# -*- coding: utf-8 -*-"""DP parameter tuning demo: noise scale vs utility."""import mathimport random  def laplace_noise(scale):    """Sample from Laplace(0, scale) via inverse CDF."""    u = random.random() - 0.5    return -scale * math.copysign(1.0, u) * math.log(1 - 2 * abs(u))  def global_sensitivity(data):    """Sensitivity of a counting query is always 1."""    return 1  def noisy_count(data, epsilon):    """Add Laplace noise with scale = sensitivity / epsilon."""    b = global_sensitivity(data) / epsilon    return len(data) + laplace_noise(b)  def gaussian_sigma(epsilon, delta, sens=1.0):    """Standard deviation for Gaussian mechanism under (eps, delta)-DP."""    return sens * math.sqrt(2 * math.log(1.25 / delta)) / epsilon  def run_experiment(epsilon, data, rounds=1000):    """Run many noisy queries and report mean absolute error."""    errors = []    for _ in range(rounds):        noisy = noisy_count(data, epsilon)        errors.append(abs(noisy - len(data)))    return sum(errors) / len(errors)  def main():    data = [0] * 1000  # a counting query on 1000 records    print("true count:", len(data))    print("global sensitivity:", global_sensitivity(data))    print()    print("epsilon | laplace scale b | mean abs error")    for eps in [0.1, 0.5, 1.0, 2.0, 5.0, 10.0]:        b = global_sensitivity(data) / eps        err = run_experiment(eps, data)        print("%7.1f | %16.3f | %14.2f" % (eps, b, err))    print()    delta = 1e-5    for eps in [0.5, 1.0, 2.0]:        sigma = gaussian_sigma(eps, delta)        print("Gaussian eps=%.1f delta=%.0e -> sigma=%.2f" % (eps, delta, sigma))  if __name__ == "__main__":    main()
目的：演示不同 ε 取值下拉普拉斯噪声尺度、平均绝对误差的变化，以及高斯机制中 δ 对 σ 的影响。
  1. def laplace_noise(scale):用逆变换采样生成拉普拉斯噪声，scale 越大噪声越猛
  2. return -scale * math.copysign(1.0, u) * math.log(1 - 2 * abs(u))拉普拉斯分布的标准采样公式
  3. def global_sensitivity(data):计数查询的敏感度恒为 1，因为相邻数据集最多差一条记录
  4. b = global_sensitivity(data) / epsilon这就是噪声尺度 b = Δf/ε，ε 越小 b 越大
  5. noisy = noisy_count(data, epsilon)对真实计数加一次拉普拉斯噪声，模拟单次发布
  6. errors.append(abs(noisy - len(data)))记录噪声结果与真实值的绝对误差
  7. sigma = sens * math.sqrt(2 * math.log(1.25 / delta)) / epsilon高斯机制的 σ 计算公式，δ 越小 σ 越大
  8. for eps in [0.1, 0.5, 1.0, 2.0, 5.0, 10.0]:用一组典型 ε 值观察隐私与误差的权衡趋势

常见误区

误区我以为 ε 是“隐私保护强度”，那肯定越小越好。直接把 ε 设成 0.01 甚至 0.001，保护拉满，谁来查都查不到。

正解ε 过小会让噪声淹没真实数据。好比把照片糊成纯色块，谁也认不出，但照片也彻底失去意义。ε 的选择必须结合下游任务：计数查询和均值查询对噪声的容忍度完全不同。正确做法是从任务精度要求倒推 ε 下限，而不是盲目追求最小值。

为何常见：人直觉上认为“保护越强越好”，却忽略了数据存在的根本目的是被使用。差分隐私不是把数据锁进保险柜，而是让数据在可控风险下发挥价值。

误区δ 不就是“允许失败的概率”嘛，0.1 也就是 10%，看起来很小，应该没关系。

正解δ 必须远小于 1/N，N 是数据集记录总数。如果数据集有 1000 万条记录，δ=0.1 意味着允许 100 万条记录的隐私完全暴露——这相当于你接受了 10% 的照片完全没打码。通常要求 δ < 1/N，更严格时取 1/N²。

为何常见：δ 名字里带“松弛”，让人误以为可以随意放宽。实际上 δ 是隐私保护失效的概率上界，每放宽一点，就有实实在在的个体暴露风险。

误区既然差分隐私有两个旋钮，那我随便拧，比如 ε=5、δ=0.001，只要两个都“看着合理”就行。

正解在高斯机制下，给定 ε 和 δ，噪声标准差 σ 由公式唯一确定，不是任意组合都可用同一个机制实现。δ 越大，达到同样 ε 所需噪声越小，但隐私风险越高；两者是联动关系，必须一起设计。选机制时也要注意：拉普拉斯机制只依赖 ε 实现 ε-DP，高斯机制必须依赖 ε 和 δ 实现 (ε,δ)-DP。

为何常见：人容易把参数当成独立旋钮，而忽略它们在同一公式中的耦合。差分隐私的参数是“联合约束”，不是自由搭配。

误区我设 ε=1 后，对同一数据集查 10 次，每次都花 ε=1 的预算，反正每次查询都是独立保护。

正解顺序组合性质表明，总隐私预算是各次查询预算之和。查 10 次 ε=1，合计 ε=10，保护强度大幅下降。好比九宫格每张都只轻磨皮，拼起来还是能拼出清晰人脸。必须用隐私会计逐次记账，预算耗尽就停止查询。

为何常见：直觉上觉得“每次查询都加了独立噪声”，忽略了攻击者可以综合多次输出做差分分析。组合性质是差分隐私最反直觉也最重要的部分。

误区敏感度由数据集和查询函数决定，既然我用的查询函数固定了，敏感度就固定了，噪声大小只能听天由命。

正解敏感度确实是固有属性，但可以通过预处理改变。比如年龄查询原始范围 0~150，截断到 0~90 后敏感度就从 150 降到 90；数值求和可以把异常值截断到合理区间再求和。当然，这本质上是改写了查询函数 f，而不是“绕过”差分隐私。

为何常见：初学者容易把查询函数看成黑盒。实际上，敏感度估算和降敏处理是差分隐私工程实践中最常做的优化手段。

面试题

Q1. 差分隐私中，ε 越小会导致什么结果？

单选题 · easy

  • A.噪声变小，结果更精确
  • B.噪声变大，隐私保护更强← 正确答案
  • C.噪声不变，与 ε 无关
  • D.查询速度反而变快

答案：B。ε 是隐私预算，ε 越小意味着给查询结果注入的噪声尺度 b = Δf/ε 越大，隐私保护越强，但数据可用性越低。这就像模糊滤镜开得越大，脸越看不清，保护越好，但也越难被认出。

Q2. 在 (ε,δ)-DP 中，δ 代表什么？

单选题 · mid

  • A.噪声尺度的大小
  • B.隐私泄露的概率上界← 正确答案
  • C.数据集的敏感度
  • D.查询执行的次数

答案：B。δ 是隐私保护失效的概率上界，允许算法以最多 δ 的概率违反 ε-DP 约束。它像“打码意外失效”的小概率事件，必须远小于 1/N 才有实际保护意义。

Q3. 拉普拉斯机制的噪声尺度 b 的计算公式是？

单选题 · mid

  • A.b = Δf / ε← 正确答案
  • B.b = Δf × ε
  • C.b = ε / Δf
  • D.b = Δf + ε

答案：A。噪声尺度 b 等于敏感度 Δf 除以隐私预算 ε。敏感性越高、ε 越小，噪声就越大。注意是“敏感度除以 ε”，恰好与“ε 越小噪声越大”的直觉一致。

Q4. 关于 ε 和 δ，以下说法正确的有？

多选题 · mid

  • A.ε 越大隐私保护越弱← 正确答案
  • B.δ 越大隐私泄露风险越高← 正确答案
  • C.多次查询隐私预算会累计← 正确答案
  • D.敏感度越大所需噪声越大← 正确答案

答案：ABCD。四个选项都正确。ε 大意味着噪声小、保护弱；δ 大意味着失效概率高；顺序组合让多次查询的预算累计；敏感度作为“底噪放大器”，越大需要的噪声越大。它们共同构成参数选择的四维约束。

Q5. 高斯机制最适合以下哪种场景？

单选题 · mid

  • A.数值型输出且接受 (ε,δ)-DP 的场景← 正确答案
  • B.任何场景下都优先选用
  • C.只能用于不可数值化的数据
  • D.需要严格 ε-DP 时的首选

答案：A。高斯机制实现的是 (ε,δ)-DP，需要同时指定 ε 和 δ，适合数值型输出且能接受 δ 的应用，比如深度学习中的梯度扰动。拉普拉斯机制才是严格 ε-DP 的常用选择。

Q6. 数据集有 N 条记录，δ 的推荐取值应满足？

单选题 · hard

  • A.δ 应小于 1/N 且通常取 1/N² 更稳妥← 正确答案
  • B.δ 应大于 1/N，越大越好
  • C.δ 恒等于 0.5 即可
  • D.δ 与 N 完全没有关系

答案：A。δ 必须远小于 1/N，否则攻击者可以以不可忽略的概率“碰巧”识别出某个个体。常用标准是 δ < 1/N，严格场景取 1/N²。δ 的取值与数据集规模强相关。

Q7. 实际选择 ε 时需要综合考虑哪些因素？

多选题 · hard

  • A.查询的类型与频次← 正确答案
  • B.数据敏感度的大小← 正确答案
  • C.下游任务的精度要求← 正确答案
  • D.数据集包含的记录数← 正确答案

答案：ABCD。查询类型决定噪声容忍度，敏感度决定噪声底噪，下游精度要求决定 ε 下限，数据集规模影响 δ 的取值，进而影响高斯机制中 σ 的计算。参数选择是系统工程，四个因素缺一不可。

Q8. 对同一数据集顺序执行 k 次 ε-DP 查询，总隐私预算为？

单选题 · mid

  • A.k 倍的 ε← 正确答案
  • B.ε 除以 k
  • C.ε 的 k 次方
  • D.与 k 没有关系

答案：A。顺序组合性质指出，总预算等于各次预算之和，即 kε。这就像九宫格每张都打码，但拼在一起仍然汇总泄露。查询次数越多，预算消耗越快，隐私保护越弱。

Q9. 在高斯机制 σ 公式中，固定 ε 和 Δf，δ 增大时 σ 会如何变化？

单选题 · hard

  • A.σ 随之增大
  • B.σ 随之减小← 正确答案
  • C.σ 保持不变
  • D.σ 先增后减

答案：B。σ = Δf·√(2ln(1.25/δ))/ε，δ 增大时 ln(1.25/δ) 减小，σ 随之减小。这与直觉一致：你愿意接受更高的失效概率 δ，就可以用更小的噪声换取更好的数据可用性。

Q10. 以下哪些是差分隐私中常用的噪声机制？

多选题 · easy

  • A.拉普拉斯← 正确答案
  • B.高斯机制← 正确答案
  • C.指数机制← 正确答案
  • D.均匀机制

答案：ABC。拉普拉斯机制用于 ε-DP 数值输出，高斯机制用于 (ε,δ)-DP 数值输出，指数机制用于非数值型（如离散类别）输出。均匀机制不是标准差分隐私噪声机制，它的分布对隐私分析不友好。