差分プライバシーの原理（ノイズ機構とプライバシー予算）

解きたい問題：匿名化では個人が漏れる

統計データの公開には根深い矛盾があります。「平均年収」や「特定疾患の患者数」といった集計値は有用ですが、そこから特定個人の情報が逆算できてしまう。氏名を削る匿名化（k-匿名化など）は、外部データとの突き合わせ（リンケージ攻撃）で何度も破られてきました。決定的なのが差分攻撃です。「全社員の平均年収」と「自分以外の平均年収」の二つのクエリを比べれば、引き算で自分一人の年収が完全に復元できます。個々の出力がどれだけ「集計」されていても、複数の集計を組み合わせれば個人が露出するのです。

差分プライバシー（Differential Privacy, DP）が解くのはこの問題です。発想を転換し、「出力から個人を特定できない」を、ある一人がデータに含まれていても含まれていなくても、出力の確率分布がほとんど変わらないという性質として定義します。出力が誰か一人の有無にほぼ依存しないなら、出力を見ても「あの人がデータに居たか」は判別できない――これを攻撃者の計算能力や手持ちの外部知識に一切依存せず、確率の言葉だけで保証するのが DP の核心です。

ε-差分プライバシーの定義

DP の主役は**隣接データセット（neighboring datasets）**という概念です。データセット D と D' が、ちょうど一人分のレコードの追加・削除だけで違うとき、両者は隣接していると言います。あるアルゴリズム（機構）M が ε-差分プライバシーを満たすとは、すべての隣接 D, D' と、すべての出力集合 S について次が成り立つことです。

Pr[ M(D) ∈ S ]  ≤  e^ε × Pr[ M(D') ∈ S ]

つまり、隣接する二つのデータセットに対する出力確率の比が、どの出力をとっても e^ε 倍以内に収まる。D と D' の唯一の違いは「ある一人が居るか居ないか」なので、この不等式は一人の有無が出力分布を e^ε 倍以上には動かせないことを意味します。ε（プライバシー損失パラメータ、privacy budget）が小さいほど比が 1 に近づき、二つの分布が見分けられなくなる＝プライバシーが強くなります。

純粋な ε-DP は厳しい保証ですが、後述の Gaussian 機構など実用上は緩和した (ε, δ)-差分プライバシーも使われます。これは不等式に小さな加法項 δ を足したものです。

Pr[ M(D) ∈ S ]  ≤  e^ε × Pr[ M(D') ∈ S ]  +  δ

δ は「ε の保証が破れてしまう確率」の上限と解釈でき、ごく稀に大きな情報漏洩が起きうることを許容します。δ はデータセットの件数 n に対して 1/n より十分小さく（例えば δ < 1/n^2 のように）取るのが定石です。δ がレコード数の逆数より大きいと「数人分の生データをそのまま出力する」ような機構すら形式上 DP を満たしてしまい、保証が骨抜きになるためです。

感度とノイズ機構：Laplace と Gaussian

では、どうやって出力分布を「一人の有無に鈍感」にするのか。答えは真の集計値にランダムなノイズを足すことです。鍵となるのが感度（sensitivity）――一人分の違いが関数の出力を最大どれだけ動かすか、です。クエリ関数 f の感度は、すべての隣接 D, D' にわたる出力差の最大値で定義されます。

L1 感度  Δ1 f = max ‖ f(D) − f(D') ‖_1   （差の絶対値の総和の最大）
L2 感度  Δ2 f = max ‖ f(D) − f(D') ‖_2   （差のユークリッド距離の最大）

例えば「人数を数える」カウントクエリは、一人増減すれば結果が高々 1 変わるだけなので感度は 1 です。感度が大きい関数ほど一人の影響が大きく、それを覆い隠すにはより大きなノイズが要ります。これが DP の量的な核心で、機構は感度に比例した量のノイズを足します。

Laplace 機構は、真の値 f(D) に、スケール b = Δ1f / ε の Laplace 分布から引いたノイズを足すだけで、純粋 ε-DP を満たします。Laplace 分布の確率密度が exp(−|x|/b) に比例する形をしており、隣接データセット間で出力がずれても密度の比がちょうど e^ε で抑えられる――という数学的構造が、定義の不等式に直結するのがこの機構の美点です。例えば感度 1 のカウントに ε = 1 なら b = 1 のノイズを足します。

Laplace 機構の例（感度 1 のカウントクエリ、ε = 0.5）:
  真の値        = 1000
  ノイズ b      = Δ1 / ε = 1 / 0.5 = 2
  公開値        = 1000 + Lap(0, 2)   # 期待値は 1000 のまま、揺らぎ ±数件

Gaussian 機構は L2 感度に比例した標準偏差 σ の正規ノイズを足し、(ε, δ)-DP を満たします。多数の数値を同時に出す（高次元の）クエリでは L2 感度が L1 感度より小さくなりやすく、Gaussian のほうが必要ノイズが小さくて済むため、機械学習の勾配にノイズを足す DP-SGD などで主流です。数値でなく「最も人気のカテゴリ」のような選択肢を返したいときは、各候補にスコアを与え exp(ε·score / 2Δ) に比例する確率で選ぶ指数機構を使います。

合成定理とプライバシー予算の枯渇

DP の最も実務的に重要な――そして厳しい――性質が**合成（composition）**です。同じデータに対して DP 機構を複数回適用すると、プライバシー損失が積み重なります。直感的には、ノイズ入りの答えを何度も得れば、ノイズ同士が平均化されて真の値が透けてくる。これを数式で抑えるのが合成定理です。

逐次合成（基本合成定理）:
  ε1-DP の機構と ε2-DP の機構を同じデータに適用すると、
  全体は (ε1 + ε2)-DP になる  → 予算は単純に足し算

並列合成:
  データを互いに素な部分に分割し、各部分に別々の機構を適用するなら、
  全体の ε は max(ε_i) で済む  → 重複しないデータには加算されない

ここからプライバシー予算（privacy budget）という運用概念が生まれます。データ保有者は総予算 ε_total（例えば 1.0）をあらかじめ決め、クエリごとに予算を消費していきます。各クエリで使う ε_i の合計が ε_total に達したら、それ以上のクエリには応答してはならない。応答すれば全体の ε が予算を超え、保証が崩れるからです。これがプライバシー予算の枯渇で、DP システムは「答えられる回数が有限」という本質的な制約を負います。これは実装の都合ではなく、差分攻撃が原理的に可能であることの裏返しです。

中央 DP とローカル DP

ノイズをどこで足すかで DP は二つのモデルに分かれます。これがプライバシーと精度のトレードオフを大きく左右します。

中央 DP は、信頼できる集計者（curator）が生データを集め、集計結果にノイズを一度だけ足して公開します。ノイズが全体で 1 回分で済むため精度が高い反面、集計者が生データを保持する間の漏洩リスクを負います。

ローカル DP（LDP） は、各ユーザーが自分の端末で、データを送信する前に自らノイズを足します。集計者の手元に届く時点ですでに撹乱されているため、集計者すら信頼する必要がないのが最大の利点です。古典的な実装がランダム化応答――「はい/いいえ」の質問にコインを投げ、表なら正直に、裏ならランダムに答える方式で、個人の真の回答は否認可能（plausible deniability）になりつつ、全体の割合は補正計算で推定できます。Apple や Google が端末からテレメトリを集めるのに採用しています。代償は精度で、n 人全員が独立にノイズを足すため、誤差は中央 DP のおおむね √n 倍に膨らみます。LDP で有用な統計を得るには莫大なユーザー数が要るのはこのためです。

まとめ

差分プライバシーは、「出力から個人を特定できない」をある一人の有無で出力分布がほとんど変わらないという性質に置き換え、攻撃者の能力や外部知識に一切依存せず確率の言葉だけで保証します。中核の ε は隣接データセットへの出力確率比 e^ε の上限で、小さいほど強い保護を意味し、(ε, δ)-DP は稀な漏洩を許す緩和版です。

実現手段は感度に比例したノイズの注入で、L1 感度に Laplace ノイズで純粋 ε-DP、L2 感度に Gaussian ノイズで (ε, δ)-DP を得ます。後処理不変性により DP 出力はいくら加工しても安全です。一方、合成定理によりクエリのたびにプライバシー損失が加算され、総予算 ε を使い切ると保証が消える――この予算の枯渇が DP 運用の本質的制約です。ノイズを端末で足すローカル DP は集計者への信頼を不要にする代わりに精度を大きく犠牲にします。同じ「見せずに使う」を別アプローチで追う技術として 準同型暗号と秘密計算（MPC）、根拠を見せずに正しさを示す ゼロ知識証明、確率と暗号プリミティブの土台は 暗号の基礎 と併せて押さえると、プライバシー保護技術の全体像がつかめます。