子抽样隐私放大

比较 $D$ 和 $D\cup \{x\}$。可以让两边对共有记录使用完全相同的随机币；只有新增记录 $x$ 可能造成差异。以 $1-q$ 的概率它未被抽中，两边运行机制的输入完全一样；以 $q$ 的概率它被抽中，才需要使用原机制的隐私保证。

观察者看不到这枚参与随机币，因而面对的是混合分布，而非先获知用户被抽中后再看输出。隐藏的混合是放大的来源。

两个方向的事件比较 ​

令 $Q$ 为没有 $x$ 时的输出分布，$R$ 为对共有样本抽样后必定加入 $x$ 的输出分布。对共有记录耦合同一组随机币，原机制的逐相邻保证在取平均后给出

新增输入的输出分布是 $P=(1-q)Q+qR$。记 $A=1-q+q{e}^{\epsilon }$、$B=1-q+q{e}^{-\epsilon }$。第一个方向立即有 $P(E)\le AQ(E)+q\delta$。第二个方向由 $R(E)\ge e^{-\epsilon }(Q(E)-\delta )$ 得

最后一步用了 $AB\ge 1$ 和 $B\ge e^{-\epsilon }>0$。于是纯 DP 与近似 DP 都由同一个双向计算得到 ${\epsilon }^{\prime }=\log A$、${\delta }^{\prime }=q\delta$，无需把 $\delta$ 解释成一枚独立的失败随机币。

设原机制为 $(1,{10}^{-6})$-DP，$q=0.1$，则

粗略乘法 $q\epsilon =0.1$ 比正确值小，不能当作保守保证。只有在 $\epsilon$ 很小时，$e^{\epsilon }-1\approx \epsilon$ 才得到一阶近似 ${\epsilon }^{\prime }\approx q\epsilon$。

若同时公开“用户 $x$ 被抽中了”，观察者可以对该事件作条件化公理库条件概率Conditional probability在已知正概率事件发生后，把交集概率重新规范到该事件内部。，未抽中所贡献的共同分布便消失。特别是在增删邻接下，某个身份出现在名单中的事件在一侧概率为 $q$，另一侧为零，单这份名单就要求 $\delta \ge q$。因此抽样名单不能不加说明地列入公开日志。

$q=0$ 时没有记录进入机制，两输入分布一致；$q=1$ 时恢复原预算。一个用户若拥有多条记录，应先明确保护单位；独立抽记录并不等于以同一概率抽用户。

在私有随机梯度下降公理库差分隐私随机梯度下降DP-SGD · Differentially private SGD逐样本裁剪、抽样与高斯扰动组成的训练算法，并将实际采样规则和全部训练轮次纳入隐私核算。中，每轮重新独立抽样后对裁剪梯度加噪声，可以逐轮使用放大，再组合所有轮次。实现中的 shuffle 后分批不等于独立 Poisson 抽样，核算器与采样器必须匹配。