想象你是某高档小区的物业经理。市规划局想要一份住户统计表——年龄分布、收入层级、户型比例、养宠情况——用来做片区规划。可每一行记录背后都是一个真实住户，直接交出去，等于把张三的隐私贴在公示栏上。这时来了一位聪明的“信息管家”。他不慌不忙，先画出一张“住户关系家谱”：年龄影响收入，收入影响户型，户型影响是否养宠；然后给每一格的统计数字撒上一层“隐私盐粒”，让外人只看得见整体轮廓、看不清单个颗粒；最后照着这张加了盐的家谱，批量克隆出一批“虚拟住户”。规划局拿到了想要的整体面貌，真实住户毫发无伤。这一套流程，就是今天要讲的 PrivBayes 方法。

岗位关联

学会 PrivBayes，你就掌握了“数据照常发布、隐私滴水不漏”的合成数据配方——这是数据科学家面对合规审查时的硬通货，也是隐私工程团队搭建数据产品的基础能力。

目录
  1. 可视化演示
  2. 隐私保护背景
  3. 贝叶斯网络基础
  4. 差分隐私机制
  5. 核心算法流程
  6. 隐私效用权衡
  7. 合成质量评估
  8. AI 应用场景
  9. Python 演示
  10. 常见误区
  11. 面试题

可视化演示

PrivBayes是一种结合贝叶斯网络和差分隐私的合成数据生成方法，能在保护隐私的同时保留数据的统计特征。本文... 切换模式查看不同维度。

本节配有交互动效（进入视口后自动加载，约 3KB）。

PrivBa：核心原理 动态展示关键流程与数据流动 交互控件调节参数实时渲染 f(x) = transform(x) 核心概念的可视化呈现

隐私保护背景

物业经理第一反应可能是：把姓名、门牌号删掉再交上去不就完了？可惜没这么简单。规划局要的“年龄+收入+户型”三项，恰恰是最危险的三件套——把这些准标识符交叉起来，再对照公开的购房记录、招聘薪资，往往就能锁定具体是哪一个家庭。原始表的每一行都像一根精确的指纹，哪怕擦掉名字，指纹还在。

传统脱敏手段，比如把年龄改成年龄段、把收入模糊成区间，本质是给表格“打马赛克”。马赛克能拖慢攻击者，却不能给出任何数学保证：外部数据一多，马赛克还是能被“人肉”拼回去。这就好比给照片贴了层磨砂膜，可只要膜太薄，凑近看依然能认出五官。

差分隐私换了一条完全不同的思路：不再费劲“删除信息”，而是给统计输出本身撒上校准过的噪声，并给出一个可证明的隐私上界。用数学语言说，假如把“某个人在不在场”看成两个平行世界，那么两个世界跑同一个随机机制 M 后，输出落在任意集合 S 里的概率之比不能超过 e 的 ε 次方：

回到物业的比喻：差分隐私不是说“把住户信息藏起来”，而是说“给统计结果撒盐，撒到外人只能看见轮廓”。撒多少盐、怎么撒得均匀，正是 PrivBayes 要解决的核心问题。

P[M(D)∈S]≤eε×P[M(D′)∈S]\displaystyle P\left[M(D)\in S\right]\le e^{\varepsilon}\times P\left[M(D')\in S\right]
这条不等式是说：无论张三在不在表里，外人看到的统计结果几乎一样，于是“猜张三在不在”这件事变得极其困难。
  1. 相邻数据集 D 与 D'只差一条记录的两张表，代表“某个人在不在场”两种平行世界。
    D=D′∪{一条记录}\displaystyle D= D'\cup\{\text{一条记录}\}
  2. 随机机制 M加噪声后输出查询结果的算法，也就是“管家端菜”的那个动作。
    M:数据集→统计输出\displaystyle M: \text{数据集}\to \text{统计输出}
  3. 输出集合 S任意一组可能的输出值，比如“收入分布落在某个区间”。
    S⊆所有可能输出\displaystyle S\subseteq \text{所有可能输出}
  4. 不等式与 e^ε两个世界的输出概率最多相差 e^ε 倍，ε 越小，攻击者越难分辨某个人是否在场。ε 就是我们今天反复提到的“隐私预算”。

贝叶斯网络基础

信息管家要交出一份统计表，可他很快发现一个难题：如果要把年龄、收入、户型、养宠等十几个属性的所有组合都统计一遍，组合数量会呈指数爆炸，光表格就能摆满整个会议室。这就像要给全小区住户拍一张“全家族谱大合影”——每个人的位置、辈分、亲戚关系全画进去，画到天亮也画不完。

管家灵机一动：家谱根本不需要记录所有关系，只要抓住“关键传承线”就行。年龄影响收入，收入影响户型，户型影响养宠——每条线只记录“父辈给定时，子辈怎么分布”。这种用“关键传承线”压缩关系的方法，就是贝叶斯网络：一张有向无环图（谁指向谁）加上一堆条件概率表（每条线怎么分布）。

贝叶斯网络的核心价值在于把高维联合分布拆成一串低阶条件概率的乘积。记每个属性为 Xᵢ，它的父属性集合为 Parents(Xᵢ)，则：

贝叶斯网络就是信息管家手上的“家谱模板”：结构决定谁影响谁，条件概率表决定影响的程度。有了这张家谱，后面撒盐、克隆就都有了骨架。

P(X1,X2,…,Xn)=∏i=1nP(Xi∣Parents⁡(Xi))\displaystyle P(X_1,X_2,\dots,X_n)=\prod_{i=1}^{n}P\left(X_i\mid \operatorname{Parents}(X_i)\right)
这个式子说：一份几十维的“全家族谱”可以被拆成几十张“小代际合影”，信息量几乎不丢，体积却急剧缩小。
  1. 联合分布 P(X₁,…,Xₙ)描述 n 个属性同时取值的完整概率，组合数指数增长，像“全家族谱大合影”。
    P(X1,X2,…,Xn)\displaystyle P(X_1,X_2,\dots,X_n)
  2. 条件概率 P(Xᵢ ∣ Parents(Xᵢ))只看“父属性给定时，子属性如何分布”，例如给定年龄后，收入各档各占几成。
    P(收入∣年龄)\displaystyle P(\text{收入}\mid \text{年龄})
  3. 连乘符号 ∏把每条“代际关系”的条件概率乘起来，用低阶小表还原出高阶大联合分布。
    ∏i=1n\displaystyle \prod_{i=1}^{n}
  4. 父节点集合 Parents(Xᵢ)把全连接关系剪成稀疏依赖，只保留最要紧的几条关系线。
    Parents⁡(Xi)⊆{X1,…,Xi−1}\displaystyle \operatorname{Parents}(X_i)\subseteq\{X_1,\dots,X_{i-1}\}

差分隐私机制

管家准备撒盐了，但他没有随手抓一把，而是先研究了一道“菜的分量”：如果改动表格里的一个住户，某项统计数据最多会跳多少？这个“最多跳多少”在差分隐私里叫全局敏感度。比如统计“30 岁以下户数”，改动一行最多让结果变化 1，敏感度就是 1；而统计“平均收入”，改动一行可能让均值明显移动，敏感度就大得多。

撒盐的工具叫拉普拉斯机制：给查询结果加上一个服从拉普拉斯分布的随机噪声，噪声的“颗粒大小”由敏感度与隐私预算共同决定。敏感度越高，说明这道菜越精细、越容易泄露个体信息，就越要多撒盐；隐私预算 ε 越小，说明我们承诺的保护越强，同样要多撒盐。用公式表示，对任意查询 f：

类比到小区：菜越精细（敏感度高）、管家承诺的“模糊度”越强（ε 小），撒的盐就要越多、越厚。盐粒大小直接决定了后面合成数据的“糊”与“真”。

M(D)=f(D)+Lap(Δfε)\displaystyle M(D)=f(D)+\mathrm{Lap}\left(\frac{\Delta f}{\varepsilon}\right)
拉普拉斯噪声的尺度与敏感度成正比、与 ε 成反比：菜越“精细”、盐额越紧，撒的盐颗粒就越大。
  1. 查询 f(D)对数据集 D 求某个统计量，比如“各收入层户数”。
    f(D)=#{户∣收入=高}\displaystyle f(D)=\#\{\text{户}\mid \text{收入}=\text{高}\}
  2. 全局敏感度 Δf任意相邻两表（只差一行）查询结果的最大差值，即“改动一个住户，统计最多跳多少”。
    Δf=max⁡D,D′∣f(D)−f(D′)∣\displaystyle \Delta f=\max_{D,D'}\left|f(D)-f(D')\right|
  3. 拉普拉斯分布 Lap(b)以 0 为中心、尺度为 b 的对称噪声，尾巴厚，能按需“撒盐”。
    Lap(b)∼12be−∣x∣/b\displaystyle \mathrm{Lap}(b)\sim \frac{1}{2b}e^{-|x|/b}
  4. 尺度 Δf/ε敏感度越高、预算越紧，盐粒越大，个体信息的可辨识度越低。

核心算法流程

现在把四步串起来看。第一步，管家先画家谱：用互信息给候选关系线打分，选出最值得保留的几条“传承线”，这一步花掉一小部分隐私预算 ε₁，用的是指数机制。第二步，把剩下的预算 ε₂ 均分给每条关系线：家谱里有 k 个属性节点，就有 k−1 条相邻关系线，每条分到 εᵢ。第三步，给每张条件计数表逐格撒拉普拉斯盐粒，再归一化成“带噪条件概率表”。第四步，按家谱的拓扑序——先采年龄、再采收入、接着采户型、最后采养宠——逐属性采样出一批虚拟住户。

隐私预算的两段式分配是 PrivBayes 的灵魂：结构学习要花钱，分布加噪也要花钱，但总预算就一罐 ε。设结构学习花掉 ε₁，则每条关系线分到的预算为：

管家四步走完，一张“加了盐的家谱”就变成了源源不断的虚拟住户。规划局拿到的合成表，整体轮廓跟真实小区几乎一致，但没有任何一行能对应回真实的门牌号。

εi=ε−ε1k−1,c~(x,π)=c(x,π)+Lap(1εi)\displaystyle \varepsilon_i=\frac{\varepsilon-\varepsilon_1}{k-1},\qquad \widetilde{c}(x,\pi)=c(x,\pi)+\mathrm{Lap}\left(\frac{1}{\varepsilon_i}\right)
因为改动一行最多让某个计数格子变化 1，敏感度取 1，所以每个计数格子的噪声尺度是 1/εᵢ；加完噪再按行归一化，就得到可以采样的条件概率表。
  1. 总预算拆两块 ε₁ 与 ε₂ε₁ 用于结构学习（“买关系线”），ε−ε₁ 用于分布加噪。
    ε=ε1+(ε−ε1)\displaystyle \varepsilon=\varepsilon_1+(\varepsilon-\varepsilon_1)
  2. 均分 εᵢk 个属性组成一条链，有 k−1 条条件分布，每条公平分到一份预算。
    εi=ε−ε1k−1\displaystyle \varepsilon_i=\frac{\varepsilon-\varepsilon_1}{k-1}
  3. 计数加噪某个父值 π 下、子值 x 的真实计数 c(x,π)，加上尺度 1/εᵢ 的拉普拉斯噪声。
    c~(x,π)=c(x,π)+Lap(1εi)\displaystyle \widetilde{c}(x,\pi)=c(x,\pi)+\mathrm{Lap}\left(\frac{1}{\varepsilon_i}\right)
  4. 归一化采样加噪计数按行求和归一得 P̃(Xᵢ∣Πᵢ)，再沿拓扑序逐属性采样。
    P~(x∣π)=c~(x,π)∑x′c~(x′,π)\displaystyle \widetilde{P}(x\mid\pi)=\frac{\widetilde{c}(x,\pi)}{\sum_{x'}\widetilde{c}(x',\pi)}

隐私效用权衡

盐放多少合适？这是整个 PrivBayes 最微妙的平衡。盐放太少，个体颗粒清晰可见，隐私形同虚设；盐放太多，整张统计表糊成一团，规划局拿去也没法用。ε 就是那罐盐的总量：ε 越大，承诺的保护越弱，噪声越小，数据越“真”；ε 越小，保护越强，噪声越大，数据越“糊”。

除了 ε，还有一个隐藏的旋钮：家谱的粗细 k，即每个属性允许有几个父节点。k 越大，家谱表达的关系越丰富，但条件概率表也越大，每个格子分到的盐被摊薄，整张表反而更糊；k 太小，家谱太简陋，关键相关性又表达不出来。噪声标准差恰好刻画了这个矛盾：

管家心里有杆秤：盐罐（ε）是合规承诺给定的，能调的是家谱粗细（k）。把 k 控制在小数值，等于只保留最粗壮的几根关系线，让每一根都撒够盐——这就是隐私与效用的可用性边界。

σ=2εi=2 (k−1)ε−ε1\displaystyle \sigma=\frac{\sqrt{2}}{\varepsilon_i}=\frac{\sqrt{2}\,(k-1)}{\varepsilon-\varepsilon_1}
关系线越多（k 越大），每条线分到的预算越少，噪声标准差越大；所以 PrivBayes 把 k 限制在 3 左右的小常数，让“表达力”和“噪声量”同时可控。
  1. 常数 √2来自拉普拉斯分布的方差 2b²，当噪声尺度 b=1/εᵢ 时，标准差就是 √2/εᵢ。
    σ=Var(Lap(1εi))=2εi\displaystyle \sigma=\sqrt{\mathrm{Var}\left(\mathrm{Lap}\left(\frac{1}{\varepsilon_i}\right)\right)}=\frac{\sqrt{2}}{\varepsilon_i}
  2. 与 εᵢ 反比每条关系线分到的预算越少，噪声标准差越大，条件表越糊。
    εi↓ ⇒ σ↑\displaystyle \varepsilon_i\downarrow\ \Rightarrow\ \sigma\uparrow
  3. k−1 在分子链越长，每份预算被摊薄得越厉害，整体噪声被放大。
    σ=2 (k−1)ε−ε1\displaystyle \sigma=\frac{\sqrt{2}\,(k-1)}{\varepsilon-\varepsilon_1}
  4. 实用结论k 取小常数 3 左右，既能保留“年龄→收入→户型”这类主干关系，又不会让盐被摊薄到失效。

合成质量评估

虚拟住户交上去之后，规划局怎么验收？他们不能逐户敲门核对——那等于重新泄露隐私。合理的验收方式是“看轮廓”：把合成表的整体面貌和原始表的整体面貌放在一起比一比，看年龄结构像不像、收入层级差多少、户型与养宠的交叉关系还在不在。

常用的评估手段有三类。一是统计特征保真：逐个属性对比原始与合成的直方图，看比例是否接近；二是分布差异度量：不只比单属性，还要比交叉表、条件分布，用 L1 距离或 KL 散度给出一个量化分数；三是下游任务验证：在合成数据上训练一个模型，拿到真实数据上测准确率，看“信息有没有被噪声洗掉”。其中 L1 距离最直观：

对物业来说，验收标准只有一句话：加盐之后不糊味。边际分布对得上、关键交叉关系还在、下游任务不掉链子，这张“加盐合影”就算合格——这也是 PrivBayes 在真实工程里被反复检验的三条准则。

L1=12∑x∣P^(x)−P~(x)∣\displaystyle \mathrm{L1}=\frac{1}{2}\sum_{x}\left|\hat{P}(x)-\widetilde{P}(x)\right|
L1 距离把两张分布的差距压到 0 到 1 之间：0 表示轮廓完全一致，数值越小，合成数据越能顶替原始数据。
  1. P̂(x) 与 P̃(x)同一属性取值 x 在原始表与合成表中的比例，比如“高收入户占比”。
    P^(x)=原始表中 x 的频数n,P~(x)=合成表中 x 的频数n\displaystyle \hat{P}(x)=\frac{\text{原始表中 }x\text{ 的频数}}{n},\quad \widetilde{P}(x)=\frac{\text{合成表中 }x\text{ 的频数}}{n}
  2. 绝对差 |·|逐点比较两分布差多少，取绝对值避免正负相消。
    ∣P^(x)−P~(x)∣\displaystyle \left|\hat{P}(x)-\widetilde{P}(x)\right|
  3. 求和 Σ把所有取值上的差距累加，得到总偏移量。
    ∑x∈X\displaystyle \sum_{x\in \mathcal{X}}
  4. 系数 ½把范围归一化到 [0,1]，0 表示轮廓一致，1 表示完全无关。
    0≤L1≤1\displaystyle 0\le \mathrm{L1}\le 1

AI 应用场景

跨机构联合建模前的数据共享

阶段：数据准备与合规发布

解决的问题：银行想与外部风控公司共建反欺诈模型，但客户明细受《个人信息保护法》约束不能出域。传统做法是签保密协议加脱敏，审计成本高、剩余风险大。用 PrivBayes 生成合成客户表，既保留“收入×逾期率”等关键关系，又自带差分隐私保证。

具体案例：某消费金融公司与征信实验室合作，用 ε=1.0 的 PrivBayes 生成 20 万行合成客户数据，风控模型 AUC 仅下降约 2%，而任何单条记录都无法被追溯到真实用户。

医疗科研数据开放

阶段：数据开放与科研协作

解决的问题：医院积累了电子病历（诊断、用药、年龄、地区），科研机构想挖掘疾病关联却拿不到原始数据。PrivBayes 输出合成病历，保留“年龄→并发症→用药”的依赖链，同时满足 HIPAA 等合规要求。

具体案例：一家三甲医院对 5 万份糖尿病病历运行 PrivBayes，将合成数据集公开在科研平台，药物联合使用模式的边际分布 L1 距离小于 0.02，论文复现不再触碰患者隐私。

面向开发者的测试沙箱数据

阶段：数据供给与产品研发

解决的问题：SaaS 厂商不能把生产库拷给外包或第三方开发者调接口，需要一份“长得像生产”的模拟数据。用 PrivBayes 生成合成数据作为测试集，接口联调时统计口径一致，且无隐私负担。

具体案例：某电商中台用 PrivBayes 生成订单、用户、商品三张合成表，让外部插件开发者本地联调推荐算法，联调通过率与真实数据沙箱基本持平。

Python 演示

python98 行
# -*- coding: utf-8 -*-# PrivBayes 简化版: 链式贝叶斯网络 + 拉普拉斯噪音生成合成数据import numpy as np  def laplace_mech(value, sensitivity, eps):    # 拉普拉斯机制: 给统计计数撒盐 (返回加噪后的非负计数)    noise = np.random.laplace(0, sensitivity / eps)    return max(value + noise, 0.0)  def fit_cpt(rows, parent_col, child_col, eps):    # 学习带噪条件概率表 P(child | parent)    parents = sorted(set(rows[:, parent_col]))    children = sorted(set(rows[:, child_col]))    cpt = {}    for pv in parents:        sub = rows[rows[:, parent_col] == pv]        counts = {cv: 0 for cv in children}        for cv in sub[:, child_col]:            counts[cv] += 1        noisy = {cv: laplace_mech(counts[cv], 1.0, eps) for cv in children}        total = sum(noisy.values())        cpt[pv] = {cv: noisy[cv] / total for cv in children}    return cpt  def sample_child(cpt, parent_value):    # 按条件概率表为某个父值采样一个子属性    cats = list(cpt[parent_value].keys())    probs = np.array([cpt[parent_value][c] for c in cats])    probs = probs / probs.sum()    return cats[int(np.random.choice(len(cats), p=probs))]  def gen_original(n):    # 生成 2000 条虚构住户记录: 年龄 -> 收入 -> 户型 -> 养宠    rng = np.random.RandomState(7)    age = rng.choice(["young", "mid", "old"], n, p=[0.45, 0.35, 0.20])    income, house, pet = [], [], []    for a in age:        if a == "young":            income.append(rng.choice(["low", "mid", "high"], p=[0.6, 0.3, 0.1]))        elif a == "mid":            income.append(rng.choice(["low", "mid", "high"], p=[0.2, 0.55, 0.25]))        else:            income.append(rng.choice(["low", "mid", "high"], p=[0.1, 0.4, 0.5]))    for i in income:        if i == "low":            house.append(rng.choice(["rent", "own"], p=[0.7, 0.3]))        else:            house.append(rng.choice(["rent", "own"], p=[0.3, 0.7]))    for h in house:        pet.append(rng.choice(["no", "yes"], p=[0.8, 0.2] if h == "rent" else [0.5, 0.5]))    return np.column_stack([age, income, house, pet])  def main():    np.random.seed(0)    eps_total = 1.0    eps1 = 0.3    eps2 = eps_total - eps1    k = 4    eps_each = eps2 / (k - 1)     real = gen_original(2000)    # 三条关系线各学一张带噪条件概率表    cpt1 = fit_cpt(real, 0, 1, eps_each)   # 收入 | 年龄    cpt2 = fit_cpt(real, 1, 2, eps_each)   # 户型 | 收入    cpt3 = fit_cpt(real, 2, 3, eps_each)   # 养宠 | 户型     n_syn = 2000    age_syn = np.random.choice(["young", "mid", "old"], n_syn, p=[0.45, 0.35, 0.20])    income_syn = [sample_child(cpt1, a) for a in age_syn]    house_syn = [sample_child(cpt2, i) for i in income_syn]    pet_syn = [sample_child(cpt3, h) for h in house_syn]    syn = np.column_stack([age_syn, income_syn, house_syn, pet_syn])     def freq(rows, col):        tbl = {}        for v in rows[:, col]:            tbl[v] = tbl.get(v, 0) + 1        return tbl     real_income = freq(real, 1)    syn_income = freq(syn, 1)    print("原始收入分布:", real_income)    print("合成收入分布:", syn_income)    l1_income = 0.5 * sum(abs(real_income[c] - syn_income.get(c, 0)) / 2000                          for c in real_income)    print("收入边际分布 L1 距离:", round(l1_income, 4))    l1_house = 0.5 * sum(abs(freq(real, 2)[c] - freq(syn, 2).get(c, 0)) / 2000                         for c in freq(real, 2))    print("户型边际分布 L1 距离:", round(l1_house, 4))  if __name__ == "__main__":    main()
目的：用简化版 PrivBayes 从 2000 条真实住户记录学习 3 条带噪条件概率表，再采样 2000 条合成记录，最后用 L1 距离检验合成数据与原数据在边际分布上的差距。
  1. noise = np.random.laplace(0, sensitivity / eps)撒盐核心一步：噪声尺度由敏感度与预算共同决定。
  2. return max(value + noise, 0.0)计数永远是正数，防止负数或小数概率。
  3. sub = rows[rows[:, parent_col] == pv]按父属性值切出子集，模拟“给定父辈看子辈”。
  4. cpt[pv] = {cv: noisy[cv] / total for cv in children}加噪计数归一化成条件概率表。
  5. eps_each = eps2 / (k - 1)隐私预算均分给 k−1 条关系线，对应文中的 εᵢ。
  6. syn = np.column_stack([age_syn, income_syn, house_syn, pet_syn])按拓扑序采样后拼成合成住户表。
  7. l1_income = 0.5 * sum(...)L1 距离评估两表轮廓差异，数值越小合成质量越高。

常见误区

误区很多人以为差分隐私是在数据库里随机篡改、删除或打乱一些记录，让攻击者“看不准”。

正解差分隐私加噪的对象是查询或统计结果，而不是原始记录本身。原始表可以安全存放，只有对外发布的统计数字才被撒上校准噪声；噪声尺度由敏感度与 ε 严格决定，并给出数学保证。比喻：盐是加在“端上桌的菜”（统计结果）里，不是加在“冰箱里的生肉”（原始表）上。

为何常见：常见演示图都把噪声画在数据点上，初学者因此误以为噪声在修改数据本身。

误区认为 ε 是“隐私预算”，预算越多，能做的保护措施越多，所以 ε 越大越安全。

正解ε 是隐私损失的上限，ε 越大代表允许的泄露越多、保护越弱；ε 越小保护越强，但噪声也越大、数据越糊。类比盐罐：盐额上限越高，允许菜越咸、越入味，但个体细节也更清晰。

为何常见：“预算大 = 能做更多事”的日常直觉与差分隐私中“预算 = 损失上限”的定义恰好相反。

误区以为只有撒盐环节消耗预算，画家谱（学习网络结构）是白送的，反正关系是数据里“自然长出来”的。

正解关系图谱本身也是从数据中学习的（基于互信息打分），结构同样携带个体信息，所以 PrivBayes 用指数机制花掉 ε₁ 来“购买”结构，剩余的 ε₂ 才用于条件分布加噪。

为何常见：初学者只把“加噪”视为隐私开销，忽略了“看数据学结构”这一步同样在窥探隐私。

误区认为逐属性直方图对得上，合成数据就算合格，于是用“每列独立统计加噪”也能交差。

正解逐属性独立统计会彻底破坏属性间的相关性，比如“年轻 + 租房 + 养宠”的交叉模式。PrivBayes 的价值正在于用贝叶斯网络保留这些联合关系；评估必须看交叉表、条件分布和下游任务效果。

为何常见：入门时习惯用单属性直方图观察数据，形成了“分布像 = 质量好”的错觉，忽略了相关性这一关键维度。

面试题

Q1. 差分隐私对数据保护的核心手段是什么？

单选题 · easy

  • A.删除全部姓名和身份证号
  • B.对统计输出加校准噪声← 正确答案
  • C.对数据库整体加密保存
  • D.随机丢弃百分之十的记录

答案：B。差分隐私不靠删除或加密原始记录，而是对统计输出（查询结果）加校准噪声，给出可证明的隐私上界。删除姓名会被链接攻击绕过，加密不影响发布统计，随机丢弃既损害数据又没有数学保证。就像给统计结果撒盐而不是给生肉上锁。

Q2. 在差分隐私中，ε 越小通常意味着什么？

单选题 · easy

  • A.隐私保护越弱且噪声越小
  • B.隐私保护越强且噪声越大← 正确答案
  • C.隐私保护越强且噪声越小
  • D.隐私保护越弱且噪声越大

答案：B。ε 是隐私损失的上限，ε 越小代表允许的泄露越少、保护越强，同时拉普拉斯噪声尺度 1/ε 越大，数据越糊。类比盐罐：盐额越紧，撒的盐粒越大，个体细节越模糊。

Q3. 拉普拉斯机制中噪声尺度由什么决定？

单选题 · mid

  • A.敏感度与隐私预算之比决定← 正确答案
  • B.数据集中记录的总行数决定
  • C.贝叶斯网络节点的个数
  • D.合成数据生成的速度快慢

答案：A。噪声尺度为 Δf/ε：全局敏感度越高或 ε 越小，噪声越大。记录行数影响的是统计精度而非噪声尺度；节点个数影响预算摊薄；生成速度与隐私无关。就像撒盐量由“菜的精细度”和“盐额”决定，与厨房大小无关。

Q4. PrivBayes 中贝叶斯网络的核心作用是什么？

单选题 · mid

  • A.对原始记录做加密存储
  • B.压缩高维联合分布为条件表← 正确答案
  • C.去除重复与异常值的干扰
  • D.把连续属性离散化成分组

答案：B。贝叶斯网络用“有向无环图 + 条件概率表”把高维联合分布拆成低阶条件概率的乘积，避免组合爆炸并保留关键相关性。加密、去重、离散化都不是它的职责。就像家谱把“全家族谱大合影”压缩成几张“小代际合影”。

Q5. PrivBayes 中隐私预算 ε 的用途包括哪些？

多选题 · mid

  • A.购买贝叶斯网络的结构信息← 正确答案
  • B.为条件概率表计数加噪← 正确答案
  • C.提升数据采样生成的速度
  • D.增强合成表的存储安全性

答案：AB。ε 被拆成两块：ε₁ 用于结构学习（指数机制购买关系线），ε−ε₁ 均分给各条件分布用于计数加噪。采样速度和存储安全不消耗隐私预算。

Q6. 关于 PrivBayes 中父节点上限 k 的说法，正确的是？

单选题 · hard

  • A.k 越大噪声越能被分子母分摊
  • B.k 越大隐私预算的摊薄越严重← 正确答案
  • C.k 越小条件概率表体积越大
  • D.k 越大合成数据的相关性越弱

答案：B。k 越大，条件概率表越大，且每条关系线分到的预算（ε−ε₁)/(k−1) 越小，噪声整体放大，所以 PrivBayes 把 k 限制在 3 左右。k 越大相关性表达越强而非越弱；k 越小表体积越小。

Q7. 合成数据质量可以通过哪些方式评估？

多选题 · mid

  • A.比较边际分布直方图差异← 正确答案
  • B.比较联合分布交叉表差异← 正确答案
  • C.确认合成表与原始表相同
  • D.在下游模型上验证效果← 正确答案

答案：ABD。质量评估看轮廓是否一致：边际直方图、交叉表（联合分布）、下游任务效果都是常用手段。要求合成表与原始表相同反而意味着隐私泄露，且合成数据本就不追求逐行一致。

Q8. 为什么脱敏后的数据仍存在隐私泄露风险？

单选题 · hard

  • A.因为差分隐私会放大查询误差
  • B.因为准标识符可被外部表链接← 正确答案
  • C.因为贝叶斯网络表达能力太强
  • D.因为合成数据带有随机噪声

答案：B。删除姓名后，年龄、收入、户型等准标识符组合起来仍能通过外部公开表锁定个体，这就是链接攻击。差分隐私给出的正是对抗这种攻击的数学保证；查询误差和随机噪声不是泄露原因。

Q9. PrivBayes 生成合成数据的最后一步是什么？

单选题 · mid

  • A.从带噪条件概率表中按序采样← 正确答案
  • B.删除所有含缺失值的记录行
  • C.把条件概率表加密后存储
  • D.对合成结果做 SQL 查询测试

答案：A。四步流程为学结构、分预算、加噪条件表、按拓扑序采样。最后一步是从带噪条件概率表中逐属性采样出合成记录。删缺失值、加密表、SQL 测试都不是生成环节的必需步骤。

Q10. 与“逐属性独立统计加噪”相比，PrivBayes 的优势包括哪些？

多选题 · extreme

  • A.保留属性之间依赖的相关结构← 正确答案
  • B.显著降低各属性流失的信息量← 正确答案
  • C.完全不需要任何隐私预算开销
  • D.可保证合成数据与原始一致

答案：AB。PrivBayes 用贝叶斯网络保留属性间的依赖结构，避免逐属性独立统计导致的相关性破坏，从而降低信息流失。它仍需消耗预算，且合成数据追求“轮廓一致”而非“逐行一致”。