Gaussian 隐私机制

高维输出看似需要同时控制许多方向，实际密度比只依赖噪声在相邻差向量 $v$ 上的投影。垂直于 $v$ 的分量在平方距离之差中抵消，所以核算归结为一维正态尾部。

高斯尾部始终存在。只要某对相邻查询值不同，$L$ 就有无界的正尾部，任何有限 $\epsilon$ 都不能对每个输出保证密度比界。因此存在非零相邻查询差的 Gaussian 机制只能给近似 DP；加大 $\sigma$ 是缩小超额概率质量，而非创造一个硬截断。

有界均值怎样确定噪声 ​

取固定大小 $n=100$ 的数据，每条 $x_i\in [0,1]$，相邻定义为替换一条。均值 $f(D)=n^{-1}\sum _i{x}_i$ 的灵敏度为 $1/100$：一次替换最多把一个 $0$ 换成 $1$，这个界确实可达到。

若取 $\epsilon =0.5,\delta ={10}^{-6}$，上式给 $\sigma >0.106$，可选 $0.107$。噪声标准差是一次记录替换造成的最大均值变化（$0.01$）的约 $10.7$ 倍；小 $\delta$ 并不意味着发布值几乎精确。把结果截到 $[0,1]$ 是不再读原数据的后处理，保持隐私，但会在端点附近引入偏差。

若同时发布 $d$ 个坐标均值且每条记录属于 $[0,1{]}^d$，同一记录可使所有坐标一起变化，故 ${\mathrm{\Delta }}_2=\sqrt{d}/n$。逐坐标只看到 $1/n$ 就仍用一维噪声尺度，会漏掉联合输出中的最坏移动。

哪些改动需要重新证明 ​

未裁剪的实数均值可有无界灵敏度，有限高斯噪声无法直接套用上述定理。数据依赖地选择 $\sigma$ 也会泄露信息，除非选择过程本身受到保护。固定非球形协方差可按其逆矩阵诱导的距离校准，但不能只检查各坐标方差。

多轮发布时，逐次计算尾概率再简单累加可能较松。Gaussian 机制在Rényi DP公理库Rényi 差分隐私Renyi differential privacy · RDP以 Rényi 散度控制隐私损失的指数矩，使同一阶数的自适应组合预算可加。下有精确的阶数预算 $\alpha {\mathrm{\Delta }}_2^2/(2{\sigma }^2)$；它将同一条密度比计算改写为矩母函数，适合先组合再转回 $(\epsilon ,\delta )$。

实际校准可对精确 ${\delta }_a(\epsilon )$ 以 $\sigma$ 做二分搜索。保持“下端噪声不够、上端噪声足够”的区间不变量，每次取中点并计算两个正态尾部；若初始区间宽度为 $W$，目标宽度为 $0<\eta <W$，需要 $\lceil {\log }_2(W/\eta )\rceil$ 次评估；构造初始区间与每次尾概率的数值求值成本另计。极小尾概率应使用稳定的 log-CDF 数值实现，不能将浮点下溢的零当成严格隐私证书。