差分隐私

差分隐私要求：把任何一个人的记录换掉后，观察者看到某个输出的可能性都不会剧烈改变。于是观察者很难仅从发布结果判断这条记录究竟是哪一个值，甚至是否以相邻约定所描述的方式出现。保护对象是单条记录的边际影响，不是把数据中的所有总体规律都隐藏起来。

$\epsilon$ 越小，相邻输入的输出分布越接近；它不是“泄漏了 $\epsilon$ bit”的直接换算。$\delta$ 也不是普通算法失败概率：它允许隐私比较在一小部分概率质量上失去纯 DP 的乘法控制，实践中常要求它远小于目标人群规模的倒数，并结合保护单位与威胁模型说明取值理由；这项设计要求不是定义中的固定阈值。

灵敏度把这个分布条件变成可操作的噪声尺度。查询在最坏相邻数据集间最多移动多少，噪声就必须有足够宽度掩盖这次移动；样本量增大后，均值的单点影响会下降，而未限制值域的查询仍可能被一个极端值任意拉远。

bit 计数与均值 ​

例如数据是 $m$ 个 bit，发布总和 $f(S)=\sum _i{S}_i$。替换一条记录最多改变 1，因此加入尺度 $1/\epsilon$ 的 Laplace 噪声即可保护计数。发布均值时灵敏度为 $1/m$，噪声随样本量缩小；若值域不先限制在 $[0,1]$，均值查询的全局灵敏度可能无界，公式便没有可用尺度。

信任与观察边界 ​

中央 DP 假设可信机制接触原始数据后只发布私有输出；本地 DP 要求每位用户在发送前先随机化记录，通常为同等统计精度付出更多样本。shuffle、pan-privacy 和 continual observation 又改变观察者能看到的中间状态。只写“使用 DP”而不说明信任边界，无法判断定义覆盖了数据库、客户端还是持续日志。

DP 对任意辅助信息保持其相邻分布比较，但不会修复输入收集、访问控制、实现侧信道或输出语义本身的问题。若发布的统计量在业务上已经唯一确定某个人，机制必须靠噪声和参数承担这项风险；哈希标识符或删除姓名并不自动满足 DP。

后处理、组合与群体差异 ​

若 $A$ 满足 $(\epsilon ,\delta )$-DP，任何不再访问原数据的随机后处理 $g(A(S))$ 保持相同参数。攻击者把输出转换、筛选、与公开信息拼接，都不能让两分布比原先更可区分；但若 $g$ 再读取私有数据，它已不是后处理。

依次运行机制会累积隐私损失。若第 $i$ 轮对每个公开历史下的条件机制都有 $({\epsilon }_i,{\delta }_i)$ 保证，最基本的自适应顺序组合把 $({\epsilon }_i,{\delta }_i)$ 相加为 $(\sum _i{\epsilon }_i,\sum _i{\delta }_i)$；高级组合、Rényi DP 或 privacy accountant 可以在额外结构下给出更紧预算。不能把每轮单独安全理解成无限轮仍用同一预算，也不能在交互结束后只挑“最好看”的一轮而忽略此前输出。

群体差异会放大参数：若两数据集相差 $k$ 条记录，可沿邻接链反复应用定义，纯 DP 的乘法因子增长为 $e^{k\epsilon }$。DP 保护单条记录的边际影响，不承诺整个群体模式、总体均值或由许多人共同决定的事实保持秘密。

从隐私稳定性到泛化 ​

差分隐私也不等于泛化。它最初是隐私定义；输出分布对单条样本稳定，又能作为控制自适应过拟合的充分条件。这个额外统计结论及其样本量和失败概率见差分隐私蕴含泛化理路差分隐私蕴含泛化Differential privacy implies generalization · Differential privacy and generalization · 隐私稳定性泛化把相邻数据集上的差分隐私稳定性转化为自适应选择统计量的高概率泛化保证。，不能反向写进 DP 的定义。

高斯发布与统一预算 ​

若查询按二范数衡量相邻移动，Gaussian 机制理路Gaussian 隐私机制Gaussian mechanism for differential privacy用 L2 全局灵敏度校准球形高斯噪声，并通过一维隐私损失计算近似差分隐私参数。可将多维密度比归结为一个正态投影，再计算满足目标参数的噪声尺度。多轮高斯发布还可用零集中 DP理路零集中差分隐私Zero-concentrated differential privacy · zCDP对所有 Rényi 阶数使用统一线性上界，以一个可相加的参数描述隐私损失集中性。保存所有 Rényi 阶数的一条线性包络，先相加，再统一转换为最终的 $(\epsilon ,\delta )$。这些是机制与核算的具体选择，均保留本页声明的邻接关系与完整发布范围。