本地差分隐私模型

本地隐私将信任需求前移：原始值尚未上传，就已经被随机化。服务器被攻破后，攻击者拿到的是受保护的消息，而非可重新读取的原始数据库。这一优势依赖客户端正确运行，也依赖实际发送的所有字段都纳入分析。

代价来自噪声的加入时机。中央机制可以先平均许多记录，再对一个平均值加噪声；本地机制必须在每个人尚未与别人平均之前掩盖其记录，因此噪声较难相互抵消到相同精度。

同一均值任务的两种误差尺度 ​

取整数 $n\ge 1$ 和 $\epsilon >0$，估计 $n$ 个 bit 的均值。中央模型下，经验均值的替换灵敏度为 $1/n$；Laplace 机制的隐私噪声标准差为 $\sqrt{2}/(n\epsilon )$。

本地模型可用随机化回答公理库随机化回答Randomized response用本地二元随机信道保护单次回答，并通过反演报告比例得到无偏总体估计。：用户以 $p=e^{\epsilon }/(1+e^{\epsilon })$ 报真值，服务器反演报告均值。固定原始 bit 后，仅随机化造成的方差为

当 $\epsilon$ 小时，标准差约为 $1/(\epsilon \sqrt{n})$。取 $n={10}^4,\epsilon =0.5$，中央附加噪声标准差约 $0.000283$，本地附加噪声标准差约 $0.0198$。这比较的是对固定数据均值的额外扰动；若目标是外部总体均值，两边还应加上抽样误差。

加密传输为什么没有替代这个条件 ​

若客户端只把原始值加密发送，持有解密钥匙的服务器仍能恢复原值。传输加密保护途中窃听者，本地 DP 的比较对象则包括得到协议消息的收集者；应先说明攻击者持有什么信息，再判断保证是否成立。

同样，报告被随机化却同时发送原始用户类别、精确时间或可恢复的辅助字段时，应把这些字段加入联合输出重新核验。一个安全字段无法替其他字段承担隐私责任。

本地随机化器满足逐输入约束，因此对任何输入先验都适用；但它不保证观察者完全不知道用户记录。若先验本来极度偏向某个值，观察者在收到消息后仍可能很有把握。保证约束的是消息额外带来的似然比，而非禁止所有推断。

设计本地协议通常分三步：先固定保护单位与消息全貌，再证明随机化信道的最大似然比，最后推导反演估计的误差。若用户将一条记录拆成多个字段分别发送，应组合这些消息；若希望获得更好精度，则需改变协议、增加样本或采用不同信任模型，并清楚说明新增假设。