真源美术馆的库房里锁着一批镇馆名画：莫奈的睡莲、梵高的星空。每一幅画都极具研究价值，但原画一旦离开恒温恒湿的库房，就可能被剽窃细节。馆长想办一场“数字化巡展”，让全球研究者都能观察画作的“整体风格”，却不暴露任何一笔“私人笔触”。于是，美术馆成立了一个特殊的“临摹工作室”——这就是 DP 合成数据生成器：输入真实数据（原作），输出一份“神韵相似但笔触全新”的合成数据（仿品），并且整个交付过程要通过“隐私眼镜”（差分隐私）的检验。 故事的核心矛盾，是那副眼镜的模糊度旋钮。旋钮拧到“清晰”（隐私预算 ε 大），仿品精致逼真，但可能泄露原作笔触的秘密；旋钮拧到“模糊”（ε 小），隐私安全，但仿品可能糊成一团、失去研究价值。馆长要做的，就是挑画师、调旋钮、验仿品，最终把“可以放心展出”的合成数据交给全世界。这篇文章会带你认识三位画师（GAN、VAE、统计模型），学会调旋钮（隐私预算分配）、验仿品（质量评估），并参观几家知名工作室（PrivBayes、DPGM）。

岗位关联

对隐私计算工程师而言，掌握 DP 合成数据生成器意味着你能在“数据价值”与“隐私安全”之间精准走钢丝——这是数据合规时代最稀缺的能力之一。

目录
  1. 可视化演示
  2. 生成器概述
  3. 三类架构
  4. 隐私预算分配
  5. 质量评估
  6. 主流工具
  7. 对比区分
  8. 选型构建
  9. AI 应用场景
  10. Python 演示
  11. 常见误区
  12. 面试题

可视化演示

展示DP合成数据生成管线、隐私预算分配与组合机制、隐私效用权衡曲线，切换模式掌握差分隐私数据生成核心原理。

本节配有交互动效（进入视口后自动加载，约 3KB）。

DP合成数据生成管线架构 真实数据经差分隐私机制（噪声注入）处理后输入生成器（GAN/VAE/统计模型），输出满足DP保证的合成数据 生成器训练过程中每步消耗隐私预算(ε,δ)，梯度裁剪+高斯噪声确保单样本影响有界 real_data → clip+noise → generator → synthetic_data DP生成器通过噪声机制在数据生成全流程中提供可证明的隐私保护

生成器概述

美术馆的库房保管员最先反对“直接展出原画”的方案：原画（真实数据）上面每一笔都对应着一位真实画家（数据个体）的私密笔触，一旦展出，等于把所有个人信息打包送人。另一个方案是给原画打马赛克（直接扰动脱敏），但马赛克只遮住了局部，整体构图的规律（统计分布）已被破坏，而且现代技术完全有办法通过拼图还原（去标识化被证伪）。馆长的最终选择是成立“临摹工作室”——不搬原画、不打码，而是让画师学习画作的风格规律，再凭空创作一批新画。这就是 DP 合成数据生成器的核心思想。

形式化地说，一个 DP 合成数据生成器包含两个组件：生成模型（画师），负责学习真实数据的分布并采样出新样本；隐私保护机制（隐私眼镜），保证从训练到发布的整个过程都满足差分隐私。差分隐私的承诺用公式表达如下：

有了这副隐私眼镜的承诺，馆长终于可以把仿品放心挂上展墙：任何研究者拿着放大镜反复端详，都无法确认某幅仿品是否源自某位特定的真实画家。这正是 DP 合成数据生成器存在的根本价值——让数据可用，同时让个体不可见。

P[M(D1)∈S]≤eε×P[M(D2)∈S]\displaystyle P[\mathcal{M}(D_1) \in S] \le e^{\varepsilon} \times P[\mathcal{M}(D_2) \in S]
通俗理解：无论原始数据里有没有某个人，机制输出的结果几乎一模一样——这就是“不可区分性”承诺。
  1. 机制 M（隐私眼镜）$\mathcal{M}$ 是数据发布机制，对应画师戴着隐私眼镜的整个临摹流程，它把真实画作转化为可对外展示的仿品。
    M:D→O\displaystyle \mathcal{M}: \mathcal{D} \rightarrow \mathcal{O}
  2. 相邻数据集 $D_1, D_2$（两张只差一人的名册）它们除了某一条记录之外完全相同，对应“某位画家是否在参展名单里”的两种假设。
    D1=D2∪{r},∣D1ΔD2∣=1\displaystyle D_1 = D_2 \cup \{r\}, \quad |D_1 \Delta D_2| = 1
  3. 输出集合 S（仿品的任意特征）S 是机制所有可能输出结果的集合，比如“仿品中蓝色像素占比超过 30%”这个事件。
    S⊆Range(M)\displaystyle S \subseteq \text{Range}(\mathcal{M})
  4. 隐私预算 ε（模糊度旋钮）ε 是隐私保护强度的度量，ε 越小，镜片越模糊，公式右侧越接近 1，两部画作越不可区分；ε 越大，仿品越精细，隐私风险也越高。
    ε≥0\displaystyle \varepsilon \ge 0

三类架构

临摹工作室招进了三位风格迥异的画师。第一位是“对抗派”画师（GAN），他身边永远跟着一个验伪师：仿制者每画一幅，验伪师就挑刺打假，两人互相逼对方进步。第二位是“理解派”画师（VAE），他看画时先在脑中把画面压缩成一段抽象描述（潜向量），再凭这段描述重新展开作画，训练目标是“重画得越像越好”且“描述别太啰嗦”。第三位是“统计派”画师（统计模型），他不打草稿，而是统计画作的色彩频率、构图条件概率，然后用这些统计规律机械地批量产出画作。

三位画师中，对抗派最有戏剧性，也最难驾驭。GAN 的训练是一场“造假与打假”的博弈：生成器 G 是仿制画师，判别器 D 是验伪师。G 的目标是让 D 认不出仿品，D 的目标是火眼金睛识破一切仿品。这个过程写成数学目标函数：

三位画师各有所长：对抗派能描绘复杂精细的画面，但训练“内耗”大、需要消耗更多隐私预算；理解派擅长捕捉全局结构，细节容易模糊；统计派对规整的表格型“肖像画”效率最高、理论风险最可控。馆长心里清楚——没有全能的画师，只有匹配需求的画师。

min⁡Gmax⁡DV(D,G)=Ex∼pdata[log⁡D(x)]+Ez∼pz[log⁡(1−D(G(z)))]\displaystyle \min_{G} \max_{D} V(D,G) = \mathbb{E}_{x \sim p_{data}}[\log D(x)] + \mathbb{E}_{z \sim p_z}[\log(1 - D(G(z)))]
通俗理解：造假者想最小化“D 认出真画的把握”，验伪师想最大化自己识破伪作的能力，两人在对抗中一同变强，最终 G 能画出以假乱真的作品。
  1. 生成器 G 与判别器 D（造假画师与验伪师）G 把随机噪声向量 $z$ 变成一幅仿品画，D 负责判断输入是真画还是仿品。
    G:z→x^,D:x→[0,1]\displaystyle G: z \rightarrow \hat{x}, \quad D: x \rightarrow [0,1]
  2. min-max 博弈（两人的拔河赛）外层 $\min_G$ 表示 G 想让整个目标值变小，内层 $\max_D$ 表示 D 想让目标值变大，纳什均衡点就是 G 的“以假乱真”状态。
    min⁡Gmax⁡DV(D,G)\displaystyle \min_{G} \max_{D} V(D,G)
  3. $\mathbb{E}_{x \sim p_{data}}[\log D(x)]$（对真画验真的期望）从真实数据分布中采样真画，D 应该给出接近 1 的高分，这一项鼓励 D 认出真品。
    Ex∼pdata[log⁡D(x)]\displaystyle \mathbb{E}_{x \sim p_{data}}[\log D(x)]
  4. $\mathbb{E}_{z \sim p_z}[\log(1 - D(G(z)))]$（对伪画打假的期望）从噪声分布中采样 z 生成仿品，D 应该给出接近 0 的低分，这一项逼迫 G 提升画技。
    Ez∼pz[log⁡(1−D(G(z)))]\displaystyle \mathbb{E}_{z \sim p_z}[\log(1 - D(G(z)))]

隐私预算分配

隐私眼镜上不止一个旋钮，而是一排旋钮——画师临摹时，每一笔（每一次模型更新）都在消耗“清晰度配额”。如果馆长把总配额一次性全拧到最大，画到一半配额就花光了，后面的笔触只能全凭想象（噪声爆炸）；如果一开始拧得过小，仿品从一开始就模糊不清。所以“预算分配”本质上是一门精打细算的预算管理学。

差分隐私有一个简单而残酷的组合定理：串行组合定理。如果画师分 k 个步骤作画，每个步骤分别消耗 $\varepsilon_1, \varepsilon_2, \dots, \varepsilon_k$，那么整幅画的隐私保证是这些预算之和。换言之，隐私眼镜的模糊度不会因为你分步骤就“打折”，风险会逐笔累积：

聪明的馆长会反过来利用这条定理：既然总预算是 k 份之和，那就把预算切成细小的份额分配给每一步（如每轮训练只分 0.01），保证“细水长流”。同时，他会尽量压缩训练轮次、简化模型结构，从源头上减小 k。这就是预算分配的平衡艺术——预算给多了怕泄漏，给少了怕画糊，分配不均则两头落空。

εtotal=∑i=1kεi\displaystyle \varepsilon_{total} = \sum_{i=1}^{k} \varepsilon_i
通俗理解：总泄露风险不是平均分摊，而是每一笔开销简单相加——就像你带了一周的伙食费，每天花多少都会从总额里扣，花完就没了。
  1. 单步预算 $\varepsilon_i$第 i 步（如某一轮梯度更新、某一个属性的统计）消耗的隐私预算，对应画师某一笔耗费的“清晰度”。
    εi≥0,i=1,2,…,k\displaystyle \varepsilon_i \ge 0, \quad i = 1, 2, \dots, k
  2. 总步数 k整个生成流程被切分的步骤数量，训练轮次越多、网络层越深，k 越大，预算消耗越快。
    k∈N+\displaystyle k \in \mathbb{N}^+
  3. 总预算 $\varepsilon_{total}$所有步骤的隐私风险上界之和。它决定了外部观察者最终能从仿品中推断出多少原作信息。
    εtotal=ε1+ε2+⋯+εk\displaystyle \varepsilon_{total} = \varepsilon_1 + \varepsilon_2 + \cdots + \varepsilon_k

质量评估

仿品画好之后，不能直接挂上展墙，必须先过“品鉴委员会”的验收。委员会有三项考核：第一项是相似性——仿品的构图分布和原作像不像？色彩频率是否接近？第二项是可用性——研究者拿到仿品，能否完成原本想做的研究（比如训练一个画作分类模型）？第三项是隐私风险——请来最厉害的鉴画专家，能否从仿品中反推出某位真实画家的独有笔触（成员推断攻击）？

相似性度量是最直观的一道关卡。假设我们把画作的某个特征（比如色调值）离散成 m 个区间，统计仿品和原作在每个区间上的频率，然后计算二者的平均绝对偏差：

品鉴委员会的最终结论从来不是单项打分，而是三项综合——相似性高但可用性差，仿品中看不中用；可用性高但风险高，仿品随时可能“泄露原作机密”。实践中常以“下游任务精度 + 成员推断攻击成功率”双指标验收，只有三项考核全部通过，仿品才有资格贴上“可安全展示”的标签。

Err=1m∑j=1m∣p^j−qj∣\displaystyle \text{Err} = \frac{1}{m} \sum_{j=1}^{m} \left| \hat{p}_j - q_j \right|
通俗理解：就像比对两幅画在同一网格里的颜色占比，偏差越小，仿品在统计意义上越“神似”。
  1. 合成频率 $\hat{p}_j$合成数据中特征值落在第 j 个区间的比例，对应仿品里第 j 种色调出现的频率。
    p^j=1nsyn∑i=1nsynI[xisyn∈binj]\displaystyle \hat{p}_j = \frac{1}{n_{syn}} \sum_{i=1}^{n_{syn}} \mathbb{I}[x_i^{syn} \in \text{bin}_j]
  2. 真实频率 $q_j$真实数据中同样区间的频率，对应原作中该色调出现的频率。
    qj=1nreal∑i=1nrealI[xireal∈binj]\displaystyle q_j = \frac{1}{n_{real}} \sum_{i=1}^{n_{real}} \mathbb{I}[x_i^{real} \in \text{bin}_j]
  3. 区间数目 m（色卡格数）特征被切分的区间数，m 越大度量越精细，但单个区间的统计噪声也越大。
    m∈N+\displaystyle m \in \mathbb{N}^+
  4. 平均绝对偏差 Err（整体走样程度）所有区间偏差的均值，Err 越小，分布越接近，仿品越合格。
    Err∈[0,2]\displaystyle \text{Err} \in [0, 2]

主流工具

市场上已经有不少成熟的“临摹工作室”，其中最出名的两家是 PrivBayes 和 DPGM。PrivBayes 是统计派的老师傅，主张“先建模、再生成”：他先把画作的构图规律提炼成一个贝叶斯网络（也就是一幅“规律骨架图”），再往每个条件分布里注入拉普拉斯噪声，最后按规律批量产出仿品。DPGM 则是深度派的新秀，他基于 GAN 的对抗框架训练生成器，能在高维复杂数据上画出更精细的仿品，但代价是需要消耗更多的隐私预算。

PrivBayes 的核心技法，是把高维的联合分布拆解成一串简单的条件分布来逐个学习。对 d 个属性，联合分布可以写成：

选工具就像选工作室：面对规整的表格型数据（肖像画），PrivBayes 稳妥高效，是默认首选；面对图像、文本这类高维复杂数据（大幅风景画），DPGM 更能保留细节，但你要准备更充裕的预算和更长的等待时间。工具没有绝对优劣，只有与数据形态的匹配度。

P(x1,x2,⋯ ,xd)=∏i=1dP(xi∣xπ(i))\displaystyle P(x_1, x_2, \cdots, x_d) = \prod_{i=1}^{d} P(x_i \mid x_{\pi(i)})
通俗理解：画整体风格太难，不如拆解成“给定天空颜色时，水面的颜色分布”这样的局部规律，一个个学、一个个加噪，再组装起来。
  1. 属性 $x_i$（画作的某个特征）比如色调、笔触粗细、构图比例，是数据表中的一列。
    xi∈Attributes\displaystyle x_i \in \text{Attributes}
  2. 父节点 $\pi(i)$（该特征的“前置条件”）$\pi(i)$ 表示第 i 个特征依赖的父特征，对应“水面颜色取决于天空颜色”这样的因果依赖。
    π(i)∈{1,2,…,d}∖{i}\displaystyle \pi(i) \in \{1, 2, \dots, d\} \setminus \{i\}
  3. 连乘符号 $\prod$（逐层装配）把所有条件分布乘起来，就还原出联合分布，对应把局部规律拼成整幅画的“风格模型”。
    ∏i=1dP(xi∣xπ(i))\displaystyle \prod_{i=1}^{d} P(x_i \mid x_{\pi(i)})
  4. 逐项加噪（每个局部规律都戴眼镜）每个条件分布都用一部分隐私预算加噪，加起来不超过总预算 $\varepsilon$，从而保证整幅画满足差分隐私。
    ∑i=1dεi≤ε\displaystyle \sum_{i=1}^{d} \varepsilon_i \le \varepsilon

对比区分

有人会问：工作室为什么非要戴“隐私眼镜”？直接找画师临摹一幅普通仿品（普通合成数据）不行吗？答案在于承诺的强度。普通合成数据只保证“看起来像”，不提供任何数学上的隐私保证——画师可能偷偷记住了某位真实画家的独特笔触（过拟合训练样本），导致仿品泄露个体信息而不自知。DP 合成数据则不同，它从机制上保证了“不可区分”，相当于给仿品盖了一枚官方认证的“安全印章”。

还有人会问：那不直接把真实数据加噪声（直接扰动输出）发布不就行了？直接扰动的问题在于破坏了数据的内在结构。真实数据是一个高维空间里的“画作群落”，简单加噪声就像往整幅画上泼洒颜料，群落边界被冲散，后续研究者无法做任何精细分析。而 DP 生成器是先学结构、再加噪、再采样，噪声只污染“统计规律”而不破坏“样本间的关联骨架”。

更进一步，DP 合成数据的噪声与预算之间有一条基本关系：

普通合成数据是“没有承诺的仿品”，直接扰动是“泼了颜料的原作”，而 DP 合成数据是“带着数学证明的定制仿品”。当合规审计追问'你凭什么保证隐私'时，只有 DP 生成器能掏出一张写满定理的证书。

Noise∝Sensitivityε\displaystyle \text{Noise} \propto \frac{\text{Sensitivity}}{\varepsilon}
通俗理解：注入的噪声尺度与单条记录的影响幅度（敏感度）成正比，与隐私预算成反比——想的越清楚（ε 大），笔触泄露风险越高；越想保密（ε 小），画面越模糊。
  1. 敏感度 Sensitivity（一笔之差的影响）单条记录的变化对查询结果的最大影响幅度，对应“某位画家缺席时，整体统计数值最大波动”。
    Δ=max⁡D1,D2∥M(D1)−M(D2)∥1\displaystyle \Delta = \max_{D_1, D_2} \| M(D_1) - M(D_2) \|_1
  2. 隐私预算 ε（清晰度旋钮）分母上的 ε 越大，噪声越小，仿品越清晰；ε 越小，噪声越大，仿品越模糊。
    ε>0\displaystyle \varepsilon > 0
  3. 正比号 $\propto$（跷跷板关系）噪声和敏感度同涨同跌，和预算反向变动——这就是“隐私-效用权衡”的根源。
    Noise=Δε×const\displaystyle \text{Noise} = \frac{\Delta}{\varepsilon} \times \text{const}

选型构建

现在，馆长要把这套经验总结成一套可复制的流程。第一步是需求分析：这些画是给谁看的（数据用于什么下游任务）？画作是古典肖像（低维表格数据）还是现代抽象画（高维图像文本）？数据里最敏感的“笔触”是哪些列？这些问题决定了选哪类画师。第二步是工具选择：规整表格选统计派（PrivBayes 这类轻量工具），复杂高维选 GAN 派（DPGM），预算紧张就选直方图/统计模型这类“省钱”方案。

第三步是构建流程：定总预算 → 切分预算（分配给每个属性或每轮训练）→ 训练生成器 → 质量评估 → 发布合成数据。在发布之前，还有一个常被忽视的“免检”环节——后处理性质。对 DP 机制的输出做任何后处理（比如裁剪、缩放、特征工程），都不会带来额外的隐私泄露：

最后一条实践建议是：永远把“质量评估”做成自动化关卡，而不是凭感觉验收。把相似性指标、下游任务精度、成员推断攻击成功率写进 CI/CD 管道，每次数据发布前自动跑一遍。选了合适的画师、调好了眼镜旋钮、建好了验收流水线，DP 合成数据生成器才能真正成为数据共享时代的“放心工程”。

M′(D)=g(M(D))⇒M′ 满足 (ε,0)-DP\displaystyle \mathcal{M}'(D) = g(\mathcal{M}(D)) \Rightarrow \mathcal{M}' \text{ 满足 } (\varepsilon, 0)\text{-DP}
通俗理解：仿品画好后，无论你怎么装裱、裁剪、调色，都不会让原作笔触多泄露一分——因为隐私保证在临摹完成的那一刻就已经锁定了。
  1. DP 机制输出 $\mathcal{M}(D)$（初版仿品）生成器输出的带噪统计量或合成数据，已经满足差分隐私。
    M(D):满足 (ε,0)-DP\displaystyle \mathcal{M}(D): \text{满足 } (\varepsilon, 0)\text{-DP}
  2. 后处理函数 g（装裱师）任意确定的或随机的函数，比如聚类、归一化、特征筛选，都不需要再消耗隐私预算。
    g:O→O′\displaystyle g: \mathcal{O} \rightarrow \mathcal{O}'
  3. 后处理结果仍满足 DP（免检印章）$g(\mathcal{M}(D))$ 依然满足 $(\varepsilon, 0)$-DP，隐私等级不变——这是“免费”的隐私红利。
    (ε,0)-DP→后处理(ε,0)-DP\displaystyle (\varepsilon, 0)\text{-DP} \xrightarrow{\text{后处理}} (\varepsilon, 0)\text{-DP}

AI 应用场景

医疗科研数据共享

阶段：数据发布与合规共享

解决的问题：医院积累了大量患者诊疗记录，科研机构想要这些数据训练疾病预测模型，但直接共享会触犯患者隐私法规（如 HIPAA/GDPR）。传统方式是匿名化后发布，但研究表明匿名化数据可被重识别，医院因此宁愿“捂着数据”也不敢共享。

具体案例：某三甲医院使用 PrivBayes 风格的 DP 统计生成器，设置 ε=3 的隐私预算，对 10 万条糖尿病患者记录生成 20 万条合成数据，发布给合作高校。高校用合成数据训练的并发症预测模型，AUC 只比真实数据训练的模型低 4%，而成员推断攻击成功率被压制在随机猜测水平附近——医院终于敢把数据“挂上展墙”了。

金融风控模型的内训数据扩充

阶段：模型训练数据准备

解决的问题：银行的反欺诈模型需要大量含欺诈标签的交易样本，但真实欺诈样本极度稀缺且高度敏感，无法交给外部建模团队或联邦学习伙伴。传统方法是少数类过采样（如 SMOTE），但生成样本缺乏隐私保证，且容易过拟合。

具体案例：某银行风控部门在内部搭建 DPGM 生成器，使用 ε=2 的预算训练一个 GAN 生成欺诈交易样本，再将合成样本与真实样本混合，用于训练 XGBoost 反欺诈模型。合成数据让欺诈样本量扩大 6 倍，模型召回率提升 13%，同时整个训练管线满足差分隐私——风控团队可以放心地把模型部署到对隐私敏感的线上环境。

智慧城市开放数据发布

阶段：数据开放与增值利用

解决的问题：市政府想开放交通流量、环境监测等数据，扶持创新创业，但开放原始数据可能暴露公民出行习惯，甚至被恶意者追踪特定个人。传统简单聚合统计（如日均值）损失了时空分布信息，且无法抵御差分攻击。

具体案例：某市大数据局采用“统计模型 + 后处理”的组合方案：先用 DP 直方图生成器发布带噪的时空流量分布，再应用后处理性质对合成数据做空间平滑和格式转换（无需额外预算）。开发者基于这些合成数据开发了拥堵预测小程序，同时市政府拿到了“训练数据满足 ε=1 差分隐私”的合规审计报告。

Python 演示

python56 行
import numpy as np  class DPHistogramGenerator:    """基于差分隐私直方图的合成数据生成器(简版统计模型)"""     def __init__(self, epsilon=1.0, feature_bins=20):        self.epsilon = epsilon        self.feature_bins = feature_bins        self._hist_list = []        self._range_list = []     def fit(self, X):        """统计每列分布并注入拉普拉斯噪声"""        n_features = X.shape[1]        for j in range(n_features):            col_min, col_max = X[:, j].min(), X[:, j].max()            self._range_list.append((col_min, col_max))            hist, _ = np.histogram(                X[:, j], bins=self.feature_bins, range=(col_min, col_max)            )            # 敏感度为2: 单条记录移动最多影响两个bin的计数            scale = 2.0 / self.epsilon            noisy = hist + np.random.laplace(0, scale, size=hist.shape)            noisy = np.clip(noisy, 0, None)            self._hist_list.append(noisy)        return self     def generate(self, n_samples):        """从加噪后的直方图分布中采样, 生成合成数据"""        out = np.zeros((n_samples, len(self._hist_list)))        for j, noisy_hist in enumerate(self._hist_list):            prob = noisy_hist / noisy_hist.sum()            bin_idx = np.random.choice(self.feature_bins, n_samples, p=prob)            low, high = self._range_list[j]            width = (high - low) / self.feature_bins            out[:, j] = low + (bin_idx + np.random.rand(n_samples)) * width        return out  def evaluate_similarity(X_real, X_syn):    """评估列均值相对误差"""    mean_real = X_real.mean(axis=0)    mean_syn = X_syn.mean(axis=0)    return np.mean(np.abs(mean_real - mean_syn) / (np.abs(mean_real) + 1e-8))  if __name__ == "__main__":    rng = np.random.default_rng(42)    X_real = rng.normal(loc=[50.0, 5.0], scale=[10.0, 2.0], size=(5000, 2))    gen = DPHistogramGenerator(epsilon=1.0, feature_bins=20)    gen.fit(X_real)    X_syn = gen.generate(5000)    err = evaluate_similarity(X_real, X_syn)    print("列均值相对误差: {:.4f}".format(err))    print("合成数据形状:", X_syn.shape)
目的：实现一个最简“统计派画师”——学习真实数据的分布（直方图），注入拉普拉斯噪声满足差分隐私，再从加噪分布中采样生成合成数据。
  1. hist, _ = np.histogram(...)统计每列数据的分布“构图规律”。
  2. scale = 2.0 / self.epsilon拉普拉斯噪声尺度=敏感度(2)/预算(ε)，旋钮越模糊噪得越狠。
  3. noisy = hist + np.random.laplace(0, scale, size=hist.shape)给统计规律戴眼镜。
  4. prob = noisy_hist / noisy_hist.sum()把加噪计数归一化成采样概率。
  5. np.random.choice(self.feature_bins, n_samples, p=prob)按概率采样，相当于画师按规律批量作画。
  6. evaluate_similarity(...)用列均值相对误差当“品鉴委员会”的粗筛指标。

常见误区

误区我理解的 DP 合成数据，就是把真实数据的每一行加上一些随机噪声，再作为“合成数据”发布，这样既保护了隐私又保留了数据。

正解直接加噪声属于“输出扰动”，它会破坏变量之间的相关结构和样本间的联合分布，就像往整幅名画上泼颜料——画作的整体构图全毁了。DP 生成器是“先学分布、再加噪、再采样”：噪声加在统计规律上（如直方图、GAN 的梯度），采样过程会重新生成结构完整的新样本。仿品是重新画的，不是原画涂改的。

为何常见：因为最经典的差分隐私教学案例（拉普拉斯机制）确实是“查询结果加噪”，初学者容易把“加噪”等同于“差分隐私”的全部，忽略“生成式发布”这条完整的路线。

误区ε 是隐私保护水平，所以我应该把 ε 设得很大，这样每一笔都有充足的预算，生成的数据质量高，而且有差分隐私兜底，很安全。

正解恰恰相反，ε 越小越安全。ε 是“泄露风险的上限”——ε=0 时输出与输入完全无关（绝对安全但无用），ε=10 时机制几乎原样输出（仿品和原作几乎一样，隐私形同虚设）。实践经验里，ε 在 1~10 之间常见，具体取值取决于数据敏感度和法规要求。把 ε 调大是拿隐私换质量，不是在增强安全。

为何常见：直觉上“预算多=资源充足=更好”，但这里“预算”是允许泄露的额度，不是可用的资源——名字具有迷惑性。

误区只要最后都满足差分隐私，那用 GAN、VAE 还是统计模型生成的数据，质量应该都差不多，随便选一个就行。

正解架构差异天翻地覆。GAN 在高维图像、文本上能保留精细结构，但在表格数据上训练不稳定、预算消耗大；统计模型（PrivBayes）在低维表格数据上高效稳健，但对高维数据的建模能力弱；VAE 介于两者之间。此外，超参数、预算分配策略、训练轮次对最终质量的影响甚至超过架构选择——选型和调参同样关键。

为何常见：用户容易把“差分隐私”当成一个“质量认证章”，忽略它只是隐私属性；生成质量是另一个独立维度，需要单独评估和调优。

误区只要生成器声称满足差分隐私，我就放心把合成数据公开，不用再做什么隐私检查了。

正解差分隐私给出的是“数学上的上限”保证，但工程实现里处处是漏洞：隐私预算可能被错误累计、训练过程的日志可能泄露中间状态、发布多个合成数据集可能触发组合攻击、生成器可能记忆离群点。所以业界仍然要做成员推断攻击测试、预算审计和组合检查——正如画师戴了眼镜，策展人还要请独立鉴画师来验货。

为何常见：理论证明给人“绝对安全”的错觉，忽略了实现与部署的差距。安全是一个过程，不是一枚静态的印章。

误区我只要算一下合成数据和真实数据的均值、方差、相关系数差不多，就说明生成质量合格了。

正解分布相似只是入门指标。如果合成数据最终要训练模型，必须跑下游任务精度（如分类 AUC、回归 RMSE）对比；如果数据要公开发布，必须做成员推断攻击测试，确保攻击成功率贴近随机猜测。三者的权重因场景而异——“办画展”和“给学生临摹”对仿品的要求完全不同。

为何常见：均值方差是最容易计算的统计量，且很多开源的生成器评估 demo 都只展示这些，让人误以为“看起来像”就等于“用起来好”。

面试题

Q1. DP 合成数据生成器的核心输出是什么？

单选题 · easy

  • A.对真实数据逐条打码后的副本
  • B.学习真实分布后生成的新数据← 正确答案
  • C.对原始数据加密后的密文
  • D.只含统计摘要的汇总报表

答案：B。生成器的输出是“学风格、造新画”——学习真实数据分布后采样生成的全新数据。A 是扰动方案，C 是加密方案，D 是普通统计发布，都不是生成式合成数据。

Q2. 差分隐私中隐私预算 ε 的作用是？

单选题 · easy

  • A.控制生成数据的数量大小
  • B.控制模型训练的步数
  • C.控制噪声与保护强度← 正确答案
  • D.控制神经网络的层数

答案：C。ε 是隐私眼镜的“模糊度旋钮”：ε 越小，注入噪声越大、隐私保护越强；ε 越大，噪声越小、数据越精确。它不控制数据量、训练步数或网络结构。

Q3. 下列哪些属于 DP 合成数据生成器的常见架构？

单选题 · easy

  • A.GAN 生成对抗网络← 正确答案
  • B.VAE 变分自编码器← 正确答案
  • C.贝叶斯统计模型← 正确答案
  • D.随机森林决策树

答案：ABC。三位画师对应三类架构：对抗派 GAN、理解派 VAE、统计派贝叶斯统计模型。随机森林是预测模型，不适合作生成器主干。

Q4. 在 GAN 的 min-max 博弈中，判别器 D 的目标是？

单选题 · mid

  • A.最小化生成样本的真实度
  • B.最大化区分真实与生成的能力← 正确答案
  • C.让生成样本骗过自己的识别
  • D.减少训练过程的隐私噪声

答案：B。D 是“验伪师”，目标是把真实样本和生成样本尽量分开；G 才是“造假者”，想骗过 D。两人对抗达到纳什均衡时，G 生成的仿品足以以假乱真。

Q5. 关于 PrivBayes，下列说法正确的有？

单选题 · hard

  • A.基于贝叶斯网络的统计模型← 正确答案
  • B.注入拉普拉斯噪声保护分布← 正确答案
  • C.适合处理低维表格数据← 正确答案
  • D.必须使用深度学习框架

答案：ABC。PrivBayes 是统计派画师：用贝叶斯网络分解联合分布，逐项加拉普拉斯噪声，适合表格数据。它不需要深度学习框架，D 错误。

Q6. 若生成器分 k 轮训练，每轮消耗 ε，根据串行组合定理，总隐私预算为？

单选题 · easy

  • A.隐私预算除以训练轮数
  • B.各轮预算之和为总预算← 正确答案
  • C.隐私预算的轮数次幂
  • D.总预算与每轮消耗无关

答案：B。串行组合定理是“简单相加”：总预算 = ε₁ + ε₂ + … + εₖ。所以训练轮次越多，预算消耗越快，这是“细水长流”式分配策略的理论依据。

Q7. 评估 DP 合成数据生成质量的维度包括？

单选题 · mid

  • A.分布相似性高低← 正确答案
  • B.下游任务可用率← 正确答案
  • C.成员推断攻击成功率← 正确答案
  • D.生成器模型层数

答案：ABC。品鉴委员会三项考核：分布相似度（像不像）、下游任务精度（用不用得）、成员推断成功率（险不险）。模型层数是超参数，不是质量评估维度。

Q8. DP 合成数据与普通合成数据的本质区别是？

单选题 · mid

  • A.前者使用了深度学习模型
  • B.前者提供可证明的隐私保证← 正确答案
  • C.前者生成的数据量更大
  • D.前者不包含任何数值列

答案：B。普通合成数据“看起来像”但不承诺隐私，可能因过拟合记忆个体信息；DP 合成数据从机制上满足差分隐私，能掏出一张数学证书。架构、数据量、数值列都不是本质区别。

Q9. 关于差分隐私的后处理性质，下列说法正确的是？

单选题 · hard

  • A.后处理会削弱隐私保护强度
  • B.后处理不会额外泄漏隐私信息← 正确答案
  • C.后处理只适用于图像数据
  • D.后处理可以完全取消差分隐私

答案：B。后处理性质是“免检印章”：对 DP 输出做任意函数变换，隐私等级只降不升（保证不会更差）。因此发布前可以放心做特征工程、格式转换，不用再消耗预算。

Q10. 选择 DP 合成数据生成器时应考虑哪些因素？

单选题 · hard

  • A.数据的维度与类型特征← 正确答案
  • B.可用隐私预算的大小← 正确答案
  • C.下游任务的具体需求← 正确答案
  • D.工具宣传的营销口号

答案：ABC。选画师要看画作类型（维度/类型）、眼镜配额（预算大小）和展出目的（下游任务）。营销口号不是技术决策依据，选型应基于数据形态、预算约束和任务指标的实测对比。