隐私预算eps/delta

可视化演示

展示差分隐私中ε和δ参数如何控制隐私保护强度、隐私预算的组合定理，以及多阶段训练中的预算分配策略。

隐私预算基础概念

你第一次走进“隐私银行”开户时，柜员递来一份《保密承诺书》。上面写着：无论谁来查询，银行保证他无法在输出结果中准确认出任何一个储户。可这句话太空了——到底“无法认出”到什么程度？合同上真正有约束力的，是两个冷冰冰的数字：ε 和 δ。ε 是“泄密额度”，像你每个月给孩子的零花钱，有上限；δ 是“保险瑕疵”，指保险柜系统本身有极小概率发生灾难性故障，让上面的承诺一夜作废。

这两个数字共同出现在差分隐私的正式定义里。设想一对“双胞胎数据集” D₁ 和 D₂：它们只差一条记录——比如 1000 份病历里，只有张先生的记录不同。银行用某个随机算法 $\mathcal{M}$ 回答查询。定义要求：对任意可能的输出集合 $S$，算法在 D₁ 上输出落在 $S$ 里的概率，至多是 D₂ 上的 $e^{\varepsilon}$ 倍，再加上一个微小的 $\delta$。

回到开户那一刻：柜员把《保密承诺书》念给你听时，你真正该关注的，就是 ε 这位“额度管理员”和 δ 这位“保险精算师”。之后每一次查询，都像是在这份合同上盖章扣款，直到额度耗尽。

敏感度分析

银行给每笔查询定“手续费”之前，得先回答一个问题：这笔查询有多“挑人”？同样是统计，“全体患者的平均血压”谁也对不上号，便宜；“张先生上个月住院了吗”简直是指名道姓，贵。贵不贵，取决于如果把数据集里一个人的记录换掉，查询结果最多会变多少——这个变化的极限，就是敏感度，记作 $\Delta f$。

先明确“换掉一个人”的数学说法。两个数据集 $D_1$ 和 $D_2$ 如果互为相邻数据集（只相差一条记录），那么对任意查询函数 $f$，敏感度就是它在所有相邻数据集对上输出差异的最大值：

现在你再听柜员报价就有数了：平均类查询的敏感度是 $1/n$（n 为样本数），人越多越便宜；计数查询敏感度恒为 1，永远一个价。敏感度越高，手续费越贵，后面要花的 ε 越多——所以聪明的银行会劝你把“指名道姓”的查询改成“群体平均”，把贵的问题翻译成便宜的问题。

噪声机制

柜员收了手续费，就得干事。但银行从不说真话——它总在真答案上“念得含糊一点”，这就是噪声机制：把答案悄悄扰动一下，让你知道个大概，却永远抠不出某个具体的人。马赛克糊多厚？由敏感度 Δf 和这笔查询分到的 ε 共同决定。

最经典的是拉普拉斯机制：在真答案上加一个服从拉普拉斯分布的随机数，噪声尺度正好是 $\Delta f / \varepsilon$。它满足纯 (ε, 0)-差分隐私，适合计数、求和等 L1 敏感度场景：

拉普拉斯是“纯马赛克”，但它有个兄弟叫高斯机制，噪声服从正态分布，尺度 $\sigma = \Delta f \cdot \sqrt{2\ln(1.25/\delta)} / \varepsilon$。高斯分布算不出 $\delta = 0$ 的严格承诺，所以它必须搭配一个正数 δ 使用——这正是 (ε, δ)-差分隐私存在的意义。此外还有指数机制，用于在离散选项里“带偏好地随机挑一个”，比如挑选推荐商品时既照顾效用又不泄露个人口味。三种机制共用同一本账：花多少 ε，就糊多厚的马赛克。

组合性质

一个季度里，分析师不会只来一次。他可能周一查平均血压、周二查患病比例、周三查通勤距离……银行得回答一个扎心的问题：这么多笔查询加在一起，隐私承诺还成立吗？答案是“成立，但额度要记账”。串行组合定理说：对同一份数据依次做 k 次互不影响的查询，总预算直接相加，每一笔都在同一张额度卡上扣款：

不过银行也有个“免单”条款：并行组合定理。如果把数据拆成互不重叠的几组，分别回答关于各组的查询，那么总隐私消耗只由单组里最贵的一次决定，而不是各组相加——因为任何人只可能“暴露”在恰好一组数据里。这就好比把钱分装在几个独立口袋里，每个口袋各花各的，互不牵连。实际工程里，训练集的批次切分、联邦学习的分片用户，都在悄悄利用并行组合省预算。

预算分配策略

既然总预算有限，怎么花就成了理财问题。最朴素也最稳的策略是均匀分配：总共 ε_total，k 笔查询，每笔分到：

均匀分配之外，还有自适应分配：训练早期模型还没学会，噪声大点无所谓；后期收敛阶段需要精细更新，就多分点额度、少加点噪声。这就像学期初省着花、考试周多买咖啡的理财法。但理财一定有代价：预算与效果的权衡是隐私保护的永恒主题——ε 给得越多，噪声越小、模型越准，但隐私承诺越弱；ε 压得越低，隐私越漂亮，模型可能直接“糊到没法用”。

实际调参时，业界有个经验区间可参考：常规统计查询常用 ε 在 0.1 到 1 之间；DP 模型训练常在 1 到 10 之间；若 ε 超过 10，隐私保护基本名存实亡，需要重新审视方案设计。δ 则一般设成小于 $1/N$（N 为样本数），比如 $10^{-5}$ 量级，确保“单个人被兜底暴露”的概率小于随机猜中他的概率。

工程实践应用

把上面的理论搬进模型训练，主角自然登场：DP-SGD（差分隐私随机梯度下降）。传统训练里，模型每看一批数据就更新一次参数，几十万次更新里任何一次都可能泄露训练样本；DP-SGD 给这个过程装了一条“自动取款 + 马赛克流水线”：先给每个样本的梯度戴上面具（裁剪），再往聚合梯度里统一倒噪声（加噪），最后在隐私账本上记一笔（会计）。

第 t 轮迭代的更新梯度约等于：

每完成一轮，隐私会计就把本轮消耗的 ε 累加进总账，用强化组合（如 Rényi DP）算出比朴素相加更紧的累计界，让训练几千轮后总额度仍在可接受范围。于是，隐私银行的全套业务在训练闭环里跑通了：裁剪是控制敏感度，加噪是掩盖个体，会计是记账限额——三者缺一不可。

AI 应用场景

Python 演示

import mathimport random  def lap_sample(scale):    """生成服从 Laplace(0, scale) 的随机噪声"""    v = 1.0 - random.random()    u = random.random()    return -scale * math.copysign(1.0, u - 0.5) * math.log(v)  def gauss_sample(sigma):    """生成服从 N(0, sigma^2) 的随机噪声"""    return random.gauss(0.0, sigma)  class PrivacyBudget:    """隐私账本：记录已消耗的 eps，超出总预算则拒绝查询"""     def __init__(self, total_eps, delta=0.01):        self.total_eps = total_eps        self.delta = delta        self.spent_eps = 0.0        self.query_count = 0     def spend(self, eps, query_name):        if self.spent_eps + eps > self.total_eps:            raise RuntimeError(                "预算不足：已用 %.3f，想用 %.3f，总额 %.3f"                % (self.spent_eps, eps, self.total_eps)            )        self.spent_eps += eps        self.query_count += 1        return self.spent_eps  def laplace_query(budget, data, sensitivity, eps, query_name):    """用拉普拉斯机制回答一次统计并扣除预算"""    budget.spend(eps, query_name)    true_value = sum(data) / len(data)    return true_value + lap_sample(sensitivity / eps)  def gauss_query(budget, data, sensitivity, eps, query_name):    """用高斯机制回答一次统计并扣除预算"""    budget.spend(eps, query_name)    true_value = sum(data) / len(data)    sigma = sensitivity * math.sqrt(2.0 * math.log(1.25 / budget.delta)) / eps    return true_value + gauss_sample(sigma)  def main():    random.seed(42)    data = [1 if random.random() < 0.3 else 0 for _ in range(1000)]    budget = PrivacyBudget(total_eps=1.0, delta=1e-5)    eps_each = 0.2    queries = ["平均收入", "患病比例", "居住面积", "通勤距离", "运动时长", "睡眠小时"]    for i, name in enumerate(queries):        try:            answer = laplace_query(budget, data, 0.001, eps_each, name)        except RuntimeError as exc:            print("第 %d 笔查询 %s 被拒绝：%s" % (i + 1, name, exc))            break        print(            "第 %d 笔查询 %s：答案为 %.4f，已用预算 %.3f / %.3f"            % (i + 1, name, answer, budget.spent_eps, budget.total_eps)        )    return 0  if __name__ == "__main__":    main()

1. class PrivacyBudget:定义隐私账本类，spent_eps 记录已消耗额度，总余额由 total_eps 硬约束。
2. budget.spend(eps, query_name)每次查询前先检查余额，够则记账，不够则抛异常拒绝，体现“预算只减不增”。
3. lap_sample(sensitivity / eps)生成尺度为 Δf/ε 的拉普拉斯噪声，敏感度越高或单笔 ε 越小，马赛克越厚。
4. def gauss_query(...)高斯机制示例，σ 由 ε、δ 联合反推：δ 设置得越小，ln(1.25/δ) 越大，噪声越大。
5. data = [1 if random.random() < 0.3 else 0 ...]模拟 1000 位“储户”的敏感属性，mean 查询的敏感度正好是 1/1000。
6. except RuntimeError as exc:捕获预算不足异常，打印拒绝原因，模拟真实平台上“超限即熔断”的工程行为。

常见误区

面试题