3. 拉普拉斯机制实战

拉普拉斯机制是差分隐私中最基础、也最常用的数值型机制。它的核心思想很直接：对一个数值查询函数 f，先计算它的全局敏感度 Δf，再向真实结果中加入服从拉普拉斯分布的噪声，噪声尺度由 Δf/ε 决定。本节不满足于公式推导，而是从工程实现角度出发，把敏感度计算、噪声采样、查询处理和实验观察串成一条可复现的链路。

一、先明确三个工程参数

在写代码之前，必须先把三个量定义清楚，否则实现很容易出错。

• 查询函数 f：输入数据集，输出一个实数向量。例如“统计某地区用户平均年龄”“计算某班级成绩总和”。
• 全局敏感度 Δf：对任意仅相差一条记录的相邻数据集 D 和 D'，Δf = max ||f(D) - f(D')||₁。它衡量的是“单条记录最多能把查询结果改变多少”。
• 隐私预算 ε：正实数，越小隐私保护越强，噪声越大。通常取 0.1、0.5、1.0 等。

拉普拉斯机制的输出为：M(D) = f(D) + Lap(Δf/ε)，其中 Lap(b) 表示尺度参数为 b 的拉普拉斯分布，概率密度为 p(x) = (1/2b)·exp(-|x|/b)。尺度 b = Δf/ε，方差为 2b²。这意味着 ε 减半，噪声标准差约增大到原来的 2 倍。

二、敏感度计算：不同查询差别很大

敏感度不是拍脑袋估的，而是由查询函数本身决定的。下面给出几个常见数值查询的敏感度，这是实现时最需要先确认的一步。

注意均值查询的敏感度是 U/n，因为单条记录对均值的影响被 n 稀释了。但工程上如果 n 本身也敏感，通常需要先对 n 做差分隐私计数，再对均值加噪，或者改用有界均值。求和查询的敏感度是 U，因为一条记录最多贡献 U。这些结论直接决定噪声尺度，写代码时必须先算对。

三、实现拉普拉斯机制

下面给出一个不依赖第三方差分隐私库的最小实现，便于理解每一步在做什么。代码使用 Python，仅依赖标准库和 NumPy。

import numpy as np

def laplace_noise(scale, size=None):
    """采样拉普拉斯噪声，scale = Δf / ε"""
    u = np.random.uniform(-0.5, 0.5, size)
    return -scale * np.sign(u) * np.log(1 - 2 * np.abs(u))

def laplace_mechanism(query_result, sensitivity, epsilon):
    """对数值查询结果加拉普拉斯噪声"""
    scale = sensitivity / epsilon
    noise = laplace_noise(scale, size=np.shape(query_result))
    return np.asarray(query_result) + noise, scale

# 示例：计数查询
true_count = 120
sens = 1.0
eps = 0.5
noisy_count, b = laplace_mechanism(true_count, sens, eps)
print(f"真实值={true_count}, 噪声尺度 b={b}, 发布值={noisy_count:.3f}")

这里用逆变换采样实现拉普拉斯分布：先取均匀分布 u ~ U(-0.5, 0.5)，再通过 -b·sign(u)·ln(1-2|u|) 得到拉普拉斯样本。这个公式在工程实现中很常见，避免了引入额外分布库。注意 np.sign(0)=0 的边界情况，实际使用时可以加一个极小扰动或直接使用 np.random.laplace。

四、实验：观察噪声尺度与隐私预算的关系

为了直观看到 ε 对噪声的影响，可以固定敏感度 Δf=1，分别取 ε=0.1、0.5、1.0、2.0，各重复采样 10000 次，统计噪声的均值和标准差。下面是一组示例实验的预期结果（数值为合理模拟，非实测）：

标准差的理论值为 √2·b。可以看到 ε 越小，b 越大，噪声标准差越大，发布值偏离真实值越远。但要注意：单次实验的噪声可能为正也可能为负，不能只看一次结果判断机制好坏，必须看分布。工程上通常用多次重复实验的均方误差（MSE）来评估：MSE = E[(M(D)-f(D))²] = 2b²。这个公式说明，ε 减半，MSE 变为原来的 4 倍。

五、处理数值查询时的工程要点

把机制用到真实查询上，还有几个容易踩坑的地方。

1. 先裁剪再计算敏感度：如果原始数据没有上界，敏感度可能是无穷大。例如求和查询，必须先约定每条记录取值范围 [0, U]，超出范围的要截断。这一步叫“有界化”，是差分隐私工程的前置条件。
2. 敏感度按 L1 范数计算：对于向量查询（如直方图），敏感度是各分量敏感度之和，而不是最大值。如果误用 L2 敏感度，会导致隐私保证不成立。
3. ε 的分配：如果一次任务要发布多个查询，总 ε 需要拆分。例如发布计数和求和两个查询，可以各分 ε/2，或者按敏感度比例分配。不能每个查询都用完整 ε，否则总隐私预算会超。
4. 数值稳定性：当 ε 很小时，b 很大，浮点运算可能溢出或精度下降。建议用对数域计算或使用高精度库。同时注意 np.random.laplace 在大尺度下的采样效率。

六、结果判读与验证

实现完成后，如何判断机制是否正确？可以从三个角度验证。

• 无偏性：拉普拉斯噪声均值为 0，所以 E[M(D)] = f(D)。多次实验的噪声均值应接近 0。
• 方差匹配：噪声标准差应接近 √2·Δf/ε。如果偏差过大，检查采样实现或敏感度是否算错。
• 隐私预算一致性：如果对同一数据集连续发布 k 次，总隐私消耗约为 k·ε（基本组合定理）。实验中可以固定 ε，观察多次发布后噪声是否仍满足预期尺度。

下面这张图把本节的核心链路串起来：从查询函数出发，经过敏感度计算，进入拉普拉斯机制，最终输出加噪结果，并反馈到实验观察中。图中同时标出了 ε 变化对噪声尺度的影响方向。

从图中可以看到，敏感度和隐私预算是两个独立输入，共同决定噪声尺度。工程实现时，先确认查询函数和敏感度，再根据业务隐私要求选择 ε，最后采样并发布。实验环节则通过重复采样验证噪声分布是否符合理论预期。如果发现标准差明显偏离 √2·Δf/ε，优先检查敏感度是否算错、采样实现是否有偏、以及 ε 是否被意外复用。

最后给出一个可直接复用的实验脚本片段，用于观察不同 ε 下的噪声分布。运行后打印每个 ε 对应的尺度、标准差和 MSE，便于与理论值对照。

import numpy as np

def experiment(sensitivity=1.0, epsilons=(0.1, 0.5, 1.0, 2.0), n=10000):
    for eps in epsilons:
        b = sensitivity / eps
        noise = np.random.laplace(0, b, n)
        print(f"ε={eps:<4} b={b:<6.2f} "
              f"mean={noise.mean():+.4f} "
              f"std={noise.std():.4f} "
              f"theory_std={np.sqrt(2)*b:.4f} "
              f"MSE={np.mean(noise**2):.4f}")

experiment()

这段代码直接使用 NumPy 的拉普拉斯采样，输出与理论值对照。实际工程中，如果查询结果是向量，只需把 size 设为向量形状，并对每个分量独立采样。注意：拉普拉斯机制对每个分量独立加噪时，总隐私预算仍然是 ε，因为敏感度按 L1 范数计算已经包含了各分量之和。这一点在实现直方图查询时尤其重要。