想象街角有一家“百年秘方面馆”。老板的汤底配方是祖传机密，可总有几个“卧底吃货”扮成客人来偷尝，想靠多喝几碗反推出秘方。老板想了个巧招：每碗面出锅前，悄悄撒上一撮“保密料”——这撮料让面的味道和秘方之间永远隔着一层纱，卧底们再怎么能吃，也尝不出那味关键调料到底放了几克。可麻烦随之而来：料放多了，客人嫌难吃；料放少了，卧底一口就露馅；每碗面本身的浓淡还不一样，一季的保密料又是限量供应的。如何用有限的保密料，让每一碗面既好吃又守得住秘密？这正是差分隐私训练中最核心的“噪声调优”问题。本文就带你以面馆老板的视角，从噪声的种类、预算的管理、成本的裁剪、美味的权衡，到整条做面流水线的落地心法，一步步学会给 AI 模型“撒料”的手艺。

岗位关联

掌握噪声调优是差分隐私机器学习工程落地的核心调参能力，它直接决定隐私保护与模型精度的最终平衡质量，是你从“会跑 DP-SGD”迈向“能上生产环境”的关键一跃。

目录
  1. 可视化演示
  2. 噪声基础原理
  3. 隐私预算管理
  4. 梯度裁剪术
  5. 噪声精度权衡
  6. DP-SGD实践
  7. 调优心法策略
  8. AI 应用场景
  9. Python 演示
  10. 常见误区
  11. 面试题

可视化演示

通过隐私-精度权衡曲线、层间噪声分配和隐私预算调度三个模式，展示差分隐私训练中噪声调优的核心策略。

本节配有交互动效（进入视口后自动加载，约 3KB）。

隐私-精度权衡曲线 隐私预算ε越大，模型精度越高但隐私保护越弱 ε趋近0时隐私最强但模型几乎不可用，需找到平衡点 Accuracy = f(ε), Privacy = g(ε), ε* = argmax Tradeoff 噪声调优的核心是在精度和隐私间找到最优操作点

噪声基础原理

面馆后厨有两款保密料：一款叫“猛料”，撒下去立刻让味觉产生剧烈扰动，尖峰毕露；另一款叫“绵料”，口感柔和但持久弥散。在差分隐私的世界里，它们对应着两大噪声机制——拉普拉斯噪声与高斯噪声。

差分隐私的核心思想是：在查询结果上加入适度的随机噪声，让攻击者无论怎么反复查询，都无法判断某个特定样本是否存在于训练集中。就像卧底吃货无论喝多少碗加了猛料的面汤，都说不清汤里到底有没有那一味“见手青”。

先看拉普拉斯机制。它适合回答数值型查询（如均值、计数），公式为：

这里的 Δf 是全局灵敏度——若数据集中替换一个样本，查询结果最多变化多少。灵敏度高，意味着“汤底本身很冲”，保密料必须加得更多才能盖住味道。高斯机制则更适合深度学习中的梯度聚合，它的噪声分布平缓，配合 (ε, δ)-差分隐私定义，允许一个极小的 δ 作为“意外泄露”的边界。理解了这两种料，你便知道：选哪款保密料，取决于你做的“面”是什么类型。

M(D)=f(D)+Lap(Δfϵ)\displaystyle \mathcal{M}(D) = f(D) + \text{Lap}\left(\frac{\Delta f}{\epsilon}\right)
  1. 查询结果 f(D)在真实数据集上执行查询得到的原始结果，比如“这批用户的平均年龄”。
    f(D)\displaystyle f(D)
  2. 拉普拉斯噪声 Lap(Δf/ε)从拉普拉斯分布中采样的随机数，其尺度由灵敏度与隐私预算共同决定。
    Lap(Δfϵ)\displaystyle \text{Lap}\left(\frac{\Delta f}{\epsilon}\right)
  3. 加噪输出 M(D)将原始结果与噪声相加，得到对外发布的“模糊版本”。
    M(D)=f(D)+Lap(Δfϵ)\displaystyle \mathcal{M}(D) = f(D) + \text{Lap}\left(\frac{\Delta f}{\epsilon}\right)

隐私预算管理

老板的保密料是季度限量的，这一季总共只有一罐。用完了，就只能眼睁睁看着卧底来尝面。在差分隐私里，这罐“料”就是隐私预算 ε——一个总开关，ε 越小，保护越强，但精度受害越大。

在深度学习的多轮训练中，每一轮迭代都会消耗一点预算。如何记账？答案是顺序组合定理：

有了总账本，聪明的老板会讲究分配节奏：前期模型处于“粗学”阶段，对噪声不敏感，可以多放料（消耗较多预算）；后期进入精细调优，需要更干净的梯度，便少放料。业界常用的“预热-衰减”调度正是这个思路。此外，DP-SGD 每一步的隐私消耗并非简单线性叠加，工程上依赖 RDP（Rényi 差分隐私）会计工具做精确追踪，让老板随时能查看“余额”。预算管理的第一原则是：账必须记清楚，超支一次，整季的保密承诺就作废了。

ϵtotal=∑t=1Tϵt\displaystyle \epsilon_{\text{total}} = \sum_{t=1}^{T} \epsilon_t
  1. 单轮预算 ε_t第 t 轮迭代所消耗的隐私预算份额。
    ϵt\displaystyle \epsilon_t
  2. 求和记号 Σ把每一轮的消耗逐一累加起来，得到总的预算开销。
    ∑t=1Tϵt\displaystyle \sum_{t=1}^{T} \epsilon_t

梯度裁剪术

有些客人口味奇重，吃碗面非要往里加一整罐辣油。如果不加限制，整锅汤都会被这种极端口味带偏，保密料的投放逻辑也就乱了。为此，面馆立下规矩：任何一碗面的调料分量，不得超过 C 克——这就是梯度裁剪。

在 DP-SGD 中，每个样本的梯度先被算出，然后计算其 L2 范数，若范数超过裁剪阈值 C，就按比例缩小到 C；若未超过，则保持不变。裁剪的数学操作是：

高明的面馆还会用自适应裁剪：不写死 C，而是观察当前一批梯度的范数分布（如取中位数或 90 分位数），动态调整 C，让裁剪阈值自动收窄到合适区间。裁剪阈值设得太紧，信息损失大；设得太松，单样本影响力失控、隐私变差。把控好这一勺的“分量上限”，后续加噪声才有的放矢。

gˉi=gimax⁡(1,∥gi∥2C)\displaystyle \bar{g}_i = \frac{g_i}{\max\left(1, \frac{\|g_i\|_2}{C}\right)}
  1. 样本梯度 g_i第 i 个样本在反向传播中计算出的梯度向量。
    gi\displaystyle g_i
  2. L2 范数 ‖g_i‖₂梯度的欧几里得长度，度量“这勺调料有多冲”。
    ∥gi∥2\displaystyle \|g_i\|_2
  3. 超限判断分母当范数超过阈值 C 时，分母大于 1，梯度被压缩；否则分母为 1，梯度原样保留。
    max⁡(1,∥gi∥2C)\displaystyle \max\left(1, \frac{\|g_i\|_2}{C}\right)
  4. 裁剪结果 ḡ_i最终用于聚合的安全梯度。
    gˉi\displaystyle \bar{g}_i

噪声精度权衡

保密料是盐，少了防不住卧底，多了毁掉整碗面。噪声与精度的矛盾，本质是信噪比之争：梯度中的噪声越大，“有效信号”所占比例越低，模型更新方向越偏，最终精度自然下滑。

这一权衡可以浓缩在 DP-SGD 的一步更新公式中：

批量大小在这里扮演“双面人”：batch 越大，平均梯度越稳，同等噪声下信噪比越高；但采样率 q 同步变大，每步隐私消耗也变大，为了守住总 ε 又得调大 σ。实践中的常见技巧是适当调大学习率，让模型更新“跑得比噪声快一点”，或者采用余弦退火。经验上，σ 小于 0.5 时精度损失可控，超过 1 后精度会显著滑坡——像极了盐放多了之后，试吃师皱起的眉头。

g~=1∣B∣(∑i∈Bgˉi+N(0,σ2C2I))\displaystyle \tilde{g} = \frac{1}{|\mathcal{B}|}\left(\sum_{i\in\mathcal{B}}\bar{g}_i + \mathcal{N}(0, \sigma^2 C^2 \mathbf{I})\right)
  1. 裁剪梯度求平均将批次内所有裁剪后的样本梯度取平均，得到“干净的平均方向”。
    1∣B∣∑i∈Bgˉi\displaystyle \frac{1}{|\mathcal{B}|}\sum_{i\in\mathcal{B}}\bar{g}_i
  2. 高斯噪声项在平均梯度上添加尺度为 σC 的独立高斯噪声，σ 是噪声乘子，C 是裁剪阈值。
    N(0,σ2C2I)\displaystyle \mathcal{N}(0, \sigma^2 C^2 \mathbf{I})
  3. 加噪更新方向将噪声叠加进平均梯度，得到最终实际用于参数更新的方向。
    g~=1∣B∣(∑i∈Bgˉi+N(0,σ2C2I))\displaystyle \tilde{g} = \frac{1}{|\mathcal{B}|}\left(\sum_{i\in\mathcal{B}}\bar{g}_i + \mathcal{N}(0, \sigma^2 C^2 \mathbf{I})\right)

DP-SGD实践

有经验的老板会把做面流程标准化：选食材、切配、煮面、调味、出锅。DP-SGD 也是一条标准流水线：先随机采样一个 mini-batch，对每个样本单独计算梯度并裁剪，将裁剪后的梯度求平均，再注入高斯噪声，最后用加噪后的梯度更新模型参数。

这条流水线上，噪声注入的时机是固定的——只在梯度聚合之后、参数更新之前加噪，而不是每个环节都撒料。整个 DP-SGD 的超参数（噪声乘子 σ、裁剪阈值 C、学习率、批量大小、训练轮数）互相牵制，共同决定隐私预算与最终精度。为了在这张网中理出头绪，业界常用的直觉公式是：

工程落地时，并不会手算这个式子——Opacus（PyTorch）和 TensorFlow Privacy 等隐私分析工具会自动用 RDP 会计精确追踪每一步的预算消耗，并在训练中途报告当前已用 ε。这就像后厨的电子秤和仪表盘，让老板随时知道保密料还剩多少、面做到第几步。

σ≈qTlog⁡(1/δ)ϵ\displaystyle \sigma \approx \frac{q\sqrt{T\log(1/\delta)}}{\epsilon}
  1. 采样率 qmini-batch 大小占整个数据集的百分比，q 越大每步“看见”的数据越多。
    q\displaystyle q
  2. 累积风险项 √(T log(1/δ))迭代轮次越多、允许的失败概率 δ 越小，累积风险越高，所需噪声越大。
    Tlog⁡(1/δ)\displaystyle \sqrt{T\log(1/\delta)}
  3. 隐私预算 ε预算越紧张（ε 越小），每步能加的噪声越多，σ 越大。
    qTlog⁡(1/δ)ϵ\displaystyle \frac{q\sqrt{T\log(1/\delta)}}{\epsilon}

调优心法策略

老面馆真正的绝活不是那一勺保密料放多少克，而是多年沉淀的做面心法——先看客人口味，再定调料策略。

调优的第一步是“基准对照”：先跑一个不加任何噪声的普通模型，记录正常的损失下降曲线和最终精度。第二步，在相同结构上开启 DP-SGD，从较小的噪声起步，逐步增大，观察精度掉到不可接受之前的“临界点”，这个临界点附近就是隐私保护最强的可用配置。

系统化的调参顺序非常关键：先固定裁剪阈值 C——观察第一批梯度范数的分布，取其中位数或 90 分位数作为初值；再调整噪声乘子 σ——用验证集评估信噪比是否可接受；最后微调学习率和调度策略。噪声较大时，可以采用衰减调度：

调优并非一蹴而就：要多跑几次不同随机种子，检查精度方差——方差过大往往说明噪声过强或学习率不匹配。工程部署上还要给预算留出安全余量，并实时监控已消耗的 ε，避免训练还没结束预算就已告罄。好的噪声调优，就像老师傅调味：不是死记配方，而是眼观六路、随机应变。

σt=σ0⋅γt\displaystyle \sigma_t = \sigma_0 \cdot \gamma^t
  1. 初始噪声 σ₀训练刚开始时设置的噪声尺度，此时模型还在粗学阶段，可以容忍较大噪声。
    σ0\displaystyle \sigma_0
  2. 衰减因子 γ^tγ 是小于 1 的常数，随着训练轮次 t 增加，噪声等比缩小。
    γt\displaystyle \gamma^t
  3. 第 t 轮噪声 σ_t训练后期噪声变小，让精细调优阶段拥有更干净的梯度。
    σt=σ0⋅γt\displaystyle \sigma_t = \sigma_0 \cdot \gamma^t

AI 应用场景

医疗影像的“保密面”

阶段：模型训练与隐私保护

解决的问题：医院影像数据涉及患者隐私，传统集中式训练存在数据泄露风险。引入差分隐私训练后，即使攻击者拿到最终模型权重，也无法反推任何单个患者的影像信息——正如每碗面都加了保密料，卧底尝得出好吃，却说不出秘方。

具体案例：某医疗 AI 公司训练糖尿病视网膜病变检测模型时，使用 DP-SGD 框架，设定隐私预算 ε=3.0、裁剪阈值 C=1.0、噪声乘子 σ=0.6，模型 AUC 从 0.94 降至 0.92，在医生可接受范围内取得了合规的“保密面”。

金融风控的“预算师”

阶段：数据合规与模型微调

解决的问题：银行交易流水是强敏感数据，监管要求训练模型必须满足差分隐私。通过隐私预算调度，把 ε 分成“粗训期 2.0 + 微调期 1.0”两段，既保证模型效果又守住合规红线，如同面馆分季使用限量保密料。

具体案例：某银行反欺诈团队在 DP-SGD 训练中引入自适应裁剪，将隐私预算的无效消耗降低 20%，同时保持信用卡欺诈识别模型在测试集上的 AUC 不降——省下的预算换来了更长的训练轮次。

推荐系统的“保密料配方”

阶段：个性化推荐与用户画像

解决的问题：推荐系统依赖用户行为日志，直接建模存在画像泄露风险。噪声调优让模型学到群体的共性偏好，而非记忆个体行为，实现“群体画像可见、个体轨迹不可辨”。

具体案例：某视频平台对用户观看历史做差分隐私训练，采用噪声衰减调度（σ 从 0.8 衰减到 0.3），在 3 轮训练中严格把控预算消耗，最终推荐点击率仅下降 2%，用户隐私保护等级显著提升。

Python 演示

python45 行
"""DP-SGD 噪声调优核心流程演示"""import numpy as np rng = np.random.default_rng(42)BATCH = 64DIM = 16  def make_batch_gradients(batch_size=BATCH, dim=DIM):    """模拟真实训练中某个 mini-batch 的每个样本梯度"""    grads = rng.normal(0, 0.5, size=(batch_size, dim))    n_out = max(1, batch_size // 10)    grads[:n_out] *= rng.uniform(3, 8, size=(n_out, dim))    return grads  def clip_gradient(grad, C):    """将单个样本梯度的 L2 范数裁剪到 C 以内"""    norm = np.linalg.norm(grad)    return grad * min(1.0, C / (norm + 1e-8)), norm  def dp_sgd_update(grads, C, sigma):    """裁剪 + 平均 + 高斯噪声，DP-SGD 核心更新"""    clipped = []    avg_norm = 0.0    for g in grads:        cg, norm = clip_gradient(g, C)        clipped.append(cg)        avg_norm += norm / len(grads)    avg_grad = np.mean(clipped, axis=0)    noise = rng.normal(0, sigma * C, size=avg_grad.shape)    return avg_grad + noise / len(grads), avg_norm  print(f"{'裁剪阈值':>6} {'噪声σ':>6} {'方向余弦':>10} {'平均范数':>10}")for C in [0.5, 1.0, 2.0]:    for sigma in [0.2, 0.8, 1.5]:        grads = make_batch_gradients()        dp_grad, avg_norm = dp_sgd_update(grads, C, sigma)        clean_grad = np.mean(grads, axis=0)        cos_sim = np.dot(dp_grad, clean_grad) / (            np.linalg.norm(dp_grad) * np.linalg.norm(clean_grad) + 1e-8        )        print(f"{C:>6.1f} {sigma:>6.1f} {cos_sim:>10.4f} {avg_norm:>10.4f}")
目的：用合成梯度模拟 DP-SGD 中“裁剪 → 平均 → 加噪”三步核心流程，对比不同裁剪阈值 C 与噪声乘子 σ 下，加噪梯度与真实梯度的方向相似度，直观展示噪声调优的权衡。
  1. grads[:n_out] *= rng.uniform(3, 8, size=(n_out, dim))模拟一批“离群客人”带来的超大梯度，考验裁剪机制能否把分量压回 C 以内。
  2. norm = np.linalg.norm(grad)计算梯度的 L2 范数，相当于“尝一下这勺料有多冲”。
  3. return grad * min(1.0, C / (norm + 1e-8)), norm超限就等比缩小，不超限保持原样，同时返回原始范数供统计。
  4. noise = rng.normal(0, sigma * C, size=avg_grad.shape)噪声的绝对尺度由 σ 与 C 共同决定，这正是裁剪阈值影响隐私的关键链条。
  5. cos_sim = np.dot(dp_grad, clean_grad) / ...用余弦相似度衡量加噪后的梯度方向与真实梯度方向的偏差，值越接近 1 说明“面越好吃”。

常见误区

误区保护隐私嘛，噪声使劲加，反正模型多训练几轮就能找回精度。

正解噪声过大时，梯度方向被完全淹没，模型可能长时间不收敛，甚至损失一路飙升。噪声调优的本质是在“保密强度”和“模型可用性”之间找平衡点，而不是单方面堆噪声。就像盐放太多，这碗面已经没法端上桌了。

为何常见：直觉上把“噪声 = 保护”当作线性关系，忽略了噪声对梯度信号的破坏是剧烈的、非线性的。

误区C 设成 1 还是 10 无所谓，反正后面还要加噪声，噪声会兜底。

正解C 既决定了单个样本对模型更新的最大影响，又直接决定了噪声的绝对尺度（σC）。C 设太大，隐私保证变弱；设太小，大量梯度被粗暴压缩，信息严重丢失。正确做法是先观察梯度范数分布，再取中位数或 90 分位数作为初始 C。

为何常见：裁剪看起来只是一个简单的“截断”操作，初学者容易低估它对隐私分析公式和模型精度的双重影响。

误区先跑着看，ε 超了就超了，模型效果好才是硬道理。

正解ε 一旦耗尽，差分隐私保证即告失效，之前计算的所有隐私声明全部作废。在真实业务中，这不仅是技术事故，还可能触发监管违规和法律风险。预算管理是硬约束，不是软指标，必须在训练前把总预算分配好。

为何常见：很多人把隐私预算理解成“可调整的参数”，而没意识到它是整个差分隐私框架的承诺边界。

误区噪声已经足够打乱梯度，不裁剪应该也能保护隐私，还能省一道工序。

正解如果不裁剪，个别极端样本的梯度可达普通样本的几十倍，平均梯度被它们主导，而灵敏度也随之上限失控。此时为了保证隐私，噪声必须按最大值来设，预算消耗会急剧膨胀。裁剪的本质是用可控的信息损失，换取噪声投放的效率和确定性。

为何常见：把裁剪误以为是训练技巧，而不是 DP-SGD 数学保证中不可分割的一环。

误区σ 和 ε 是简单的反比关系，减半 σ 就能让隐私保护翻倍。

正解在 RDP/隐私会计框架下，σ 与 ε 的关系是非线性的，还耦合了采样率、迭代次数和 δ。企图在脑中心算换算，很容易在真实部署中要么过度保护浪费精度，要么保护不足突破红线。必须使用 Opacus 等工具进行精确隐私核算。

为何常见：单步高斯机制的尺度公式给初学者留下了“线性可换算”的错误印象，忽略了多步组合与采样的复杂性。

面试题

Q1. 差分隐私中隐私预算 ε 指的是什么？

单选题 · easy

  • A.计算资源总量预算
  • B.噪声注入总量
  • C.数据集大小限制
  • D.隐私保护强度上限← 正确答案

答案：D。ε 是隐私保护强度的度量，ε 越小表示攻击者越难推断单个样本是否存在，保护越强。它不是计算预算、噪声总量或数据规模限制。就像面馆的保密料越少，卧底越难尝出秘方。

Q2. DP-SGD 中梯度裁剪的主要目的是什么？

单选题 · easy

  • A.防止梯度爆炸
  • B.加速模型收敛
  • C.限制单样本影响← 正确答案
  • D.减少内存占用

答案：C。裁剪把每个样本梯度的范数限制在 C 以内，从而限制单个样本对模型更新的最大影响，控制灵敏度。防止梯度爆炸是附带效应，但不是隐私场景下的核心目的。

Q3. 拉普拉斯机制的噪声尺度与灵敏度 Δf 和隐私预算 ε 的关系是？

单选题 · easy

  • A.正比于灵敏度乘以 ε
  • B.正比于灵敏度除以 ε← 正确答案
  • C.正比于 ε 除以灵敏度
  • D.灵敏度与噪声无关

答案：B。噪声尺度为 Δf/ε，灵敏度越高需要越大噪声，预算 ε 越大则可以加越少噪声。如同汤底越冲（灵敏度高）越得多放保密料，预算越宽松越可以少放。

Q4. 顺序组合定理指出 T 次查询消耗的总隐私预算为？

单选题 · mid

  • A.各次预算累计求和← 正确答案
  • B.各次预算的最大值
  • C.各次预算相乘之积
  • D.各次预算皆不相关

答案：A。顺序组合定理说明，多次查询的隐私预算累加，ε_total = Σε_t。这是“总账本”的基本记账规则——每一勺保密料都要算进总消耗。

Q5. 在 DP-SGD 中，若批量大小增大（采样率 q 增大），要保持总隐私预算 ε 不变，合理做法是？

单选题 · mid

  • A.减小噪声尺度 σ
  • B.保持噪声尺度不变
  • C.增大噪声尺度 σ← 正确答案
  • D.增大梯度裁剪阈值

答案：C。采样率 q 增大后，每一步“看见”的数据变多，单步隐私损耗变大。要守住总 ε，需要同步增大噪声尺度 σ 或减少迭代次数，否则预算会更快耗尽。

Q6. 设 DP-SGD 的近似关系为 σ ≈ q√(T log(1/δ))/ε。若 q 减半、T 翻倍、σ 增大 50%，则总隐私预算 ε 将如何变化？

单选题 · extreme

  • A.显著增大总预算
  • B.基本保持不变
  • C.显著减小总预算← 正确答案
  • D.完全无法判断

答案：C。ε ∝ q√T/σ。q 减半乘 0.5，T 翻倍乘 √2≈1.414，两者合计带来约 0.707 倍的缩放；σ 增大 50% 再除 1.5，总效应约为 0.47 倍，因此总预算显著减小。这说明噪声乘子 σ 对预算的控制力非常强。

Q7. DP-SGD 中噪声注入的时机是？

单选题 · mid

  • A.在数据输入阶段
  • B.在损失计算之前
  • C.梯度聚合后更新前← 正确答案
  • D.在模型预测阶段

答案：C。DP-SGD 的标准流程是采样 → 逐样本计算梯度 → 裁剪 → 求平均 → 在平均梯度上加高斯噪声 → 更新参数。噪声只在梯度聚合之后、参数更新之前注入，其他环节加噪既不高效也破坏学习过程。

Q8. 以下哪些策略可以在 DP-SGD 中有效控制隐私预算开销？

多选题 · mid

  • A.减少训练轮数← 正确答案
  • B.增大噪声尺度← 正确答案
  • C.增大裁剪阈值
  • D.增大批量大小

答案：AB。减少训练轮数直接减少累加次数，增大噪声 σ 让每步隐私损耗变小。裁剪阈值 C 增大反而会增加灵敏度、加大隐私损耗；批量增大会提升采样率，同样增加隐私开销。

Q9. 关于自适应裁剪，下列说法正确的是？

多选题 · hard

  • A.动态调整裁剪阈值← 正确答案
  • B.阈值自动收敛稳定← 正确答案
  • C.完全消除隐私开销
  • D.提升调参鲁棒性← 正确答案

答案：ABD。自适应裁剪根据梯度范数分布动态调整 C，让阈值在训练中自然收敛到合适区间，减少人工调参的脆弱性。但它不会消除隐私预算开销——裁剪改变的是信息保留效率，而非差分隐私的数学保证。

Q10. 若隐私预算 ε 从 1.0 增至 2.0（其他条件不变），拉普拉斯噪声的尺度将？

单选题 · mid

  • A.变为原来的两倍
  • B.减小为原来的一半← 正确答案
  • C.保持数值不变
  • D.变为原来的四倍

答案：B。拉普拉斯噪声尺度为 Δf/ε，ε 从 1.0 增至 2.0 使分母翻倍，噪声尺度减半。这意味着预算越宽松，需要投入的“保密料”就越少，模型精度也越容易保住。