Pr [M (D) \in S] \leq e^{ε} Pr [M (D^{'}) \in S]

差分プライバシー

Differential privacy

2010年の国勢調査の表から、9700万人分の記録が組み直せた。

データに1人が入っても抜けても、答えの出る確率はe^ε倍までしか変わらない。集計に雑音を足して1人を隠す強さを、εという1つの数で測る定義。

年代: 2006年
習う: 大3以上・情報科学・プライバシー保護
レベル: 大学(例題 5 問)
人物: シンシア・ドワーク、フランク・マクシェリー、コビ・ニッシム、アダム・スミス
作成日: 2026-11-02
更新日: 2026-11-02
執筆・監修: 佐々木航

情報科学数学社会学法学

逸話

引き算で戻る1人

40人のクラスの平均点が62.5点と貼り出された。翌週に1人が転校すると、残る39人の平均点は62.0点。転校した生徒の点は、この2つの数から出る。40人の合計2500点から39人の合計2418点を引けば、82点である。

どちらの発表にも、個人の点は1つも載っていない。

それでも、集計を2つ並べるだけで1人分の記録が戻ってくる。名前を消しても、表にまとめても、数字どうしの関係は残るからだ。

同じことが、国の規模で起きていた。米国国勢調査局は2010年の国勢調査で、180種類の表に、合わせて1500億を超える統計値を公表した。多くは、センサスブロックと呼ばれる最小の区画ごとに出した値である。住民が1人しかいない区画もある。

夕方の住宅地を上から見下ろすと、道路に囲まれた小さな区画がいくつも並んでいる(画像生成 AI で描いたイメージ) — 米国の国勢調査は、住民が1人だけのこともある区画ごとに値を公表してきた画像生成AIで描いたイメージ

国勢調査局のジョン・アボウドらは、そのうち34種類の表だけを使い、区画、性別、年齢、人種、ヒスパニック系かどうかの5項目を持つ記録を1人ずつ組み直した。2023年12月の報告によると、全区画の70%、9700万人が住む区画では、すべての記録が正しく組み直せたことを、攻撃者が公表された数字だけで確認できる。そうした区画で、人種や民族が区画の多数派と異なる340万人については、回答を95%の精度で言い当てられた。

表にせず、名前だけを外した記録も守りきれない。2006年10月2日、オンラインのDVDレンタルで最大手だったNetflixは、映画を薦める仕組みを改良したチームに100万ドルを払う懸賞を始めた。参加者に配ったのは、約48万人の利用者がつけた1億件あまりの評価である。よくある質問のページでNetflixは、顧客を特定する情報はすべて取り除き、「残っているのは評価と日付だけだ」と答えていた。

夜の居間の低い机に、郵送のDVDの封筒と、映画の一覧が光るノートパソコンが置かれている(画像生成 AI で描いたイメージ) — 2006年、Netflixは名前を外した約48万人分の映画の評価を、懸賞のために公開した画像生成AIで描いたイメージ

テキサス大学オースティン校のアルビンド・ナラヤナンとヴィタリー・シュマティコフは、同じ月のうちに最初の分析をarXivに公開し、2008年に学会で発表した。結果は、Netflixの答えと食い違った。ある利用者が見た映画を8本、評価と日付つきで知っていれば、2本がまったくの誤りで日付が14日ずれていても、99%の記録を1人に絞り込める。IMDbという映画のサイトで評価を公開していた数十人と突き合わせると、2人分の記録がNetflixのデータから見つかった。

では、集計を出しながら1人を隠すには、何を約束すればよいのだろうか。

起源

加わっても損をしない約束

答えの手前には、もっと強い目標があった。1977年、統計学者ダレニウスは、統計データベースに求める性質として「データベースに触れても、触れなかったときに分からないことは、個人について何も分からない」ことを挙げた。

しかし2006年、マイクロソフト・リサーチのシンシア・ドワークは、この目標を暗号の安全性の定義にならって書き表すと、達成できないことを示した。モニ・ナオールと共同で得た結果である。論文には、こんな例が出てくる。攻撃者は「テリー・グロスは、リトアニア人女性の平均より2インチ低い」と知っている。そこへ国籍ごとに女性の平均身長が公表されると、グロスの身長は分かってしまう。グロスがデータベースに入っていなくても、である。

シンシア・ドワーク20世紀後半から活躍差分プライバシーをその名で初めて定義した計算機科学者

そこでドワークは、約束の中身を変えた。データベースに加わっても加わらなくても、どんな結果も、小さな倍率の範囲で同じくらいの確率で起きる。悪い結果が起きることまでは防げないが、その原因が本人のデータの有無になることはない。ドワークは国際会議ICALPに載った論文で、これを差分プライバシーと名づけ、次の形で定義した。

Pr [M (D) \in S] \leq e^{ε} Pr [M (D^{'}) \in S]

$D$ と $D^{'}$ は1人分だけ異なるデータベース、 $M$ は雑音を含めて集計する仕組み、 $S$ は答えの集合を表す。 $ε$ （イプシロン）が小さいほど、2つの確率は近い。名前はマイケル・シュローダーの提案だった。定義そのものはフランク・マクシェリーとの共同の成果だと、ドワークは論文の謝辞に書いている。

道具は、その数年前からそろい始めていた。出発点は、ディヌールとコビ・ニッシムが2003年に出した結果である。データベースの好きな部分集合について「条件に合う人は何人か」を問い、少し雑音を足した答えを返す仕組みがあるとする。問いの数に制限がなければ、雑音が人数 $n$ に比例するほど大きくないかぎり、攻撃者はデータベースをほぼそのまま組み直せる。計算時間が多項式に限られた攻撃者が相手でも、雑音が $n$ より小さい桁なら防げない。アボウドらは報告の中で、2010年の国勢調査で組み直した結果を、2人が予言した再構成を統計機関が主要な統計で大規模に示した初めての例と位置づけた。

コビ・ニッシム21世紀に活躍雑音が小さいと記録が組み直されることを示し、定義を共に作った

ニッシムは2006年、ドワーク、マクシェリー、アダム・スミスとともに、暗号理論の国際会議TCCで論文「Calibrating Noise to Sensitivity in Private Data Analysis」を発表した。1人の記録が変わったときに集計がどれだけ動くかを感度と呼び、その感度に合わせてラプラス分布の雑音を足せば、上の不等式が成り立つ。この段階では、同じ性質を $ε$ -識別不能性と呼び、人数 $n$ が決まった行の並びから1行を入れ替えた組を比べていた。

隣り合うデータベースの決め方には、2つの流儀がある。ドワークはICALPの論文で「多くて1つの要素が異なるデータ集合」を比べた。4人は2016年、Journal of Privacy and Confidentialityに載せた改訂版で、1人を足すか抜くかで隣り合う定義に改めた。入れ替えは「抜いて足す」の2歩にあたる。だから、足し引きで隣を決めて $ε$ を満たす仕組みも、入れ替えで隣を決めれば保証は $2 ε$ になる。同じ $ε$ という数字でも、どちらの流儀で数えたかで保証の強さが変わる。

2017年、4人はこの論文でゲーデル賞を受けた。欧州理論計算機科学協会とACMの理論計算部会が、理論計算機科学で優れた論文に毎年贈る賞である。

途中の計算

密度の比がe^εで頭打ちになる

雑音の幅は、集計の感度で決まる。隣り合うデータベースの組をすべて調べ、集計の答え $f$ が動く幅の最大を $Δ f$ と書く。

Δ f = D, D^{'} max f (D) - f (D^{'})

クラスの平均点で考える。人数 $n$ を公表し、1人の答案を差し替えた表どうしを隣とすると、1人の点が0点から100点のどこに変わっても、平均は $100/ n$ 点までしか動かない。20人なら $Δ f = 5$ 点だ。この幅は、表に誰の点が並んでいても変わらない。集計の式と、点数がとりうる範囲だけで決まる。

足す雑音は、尺度 $b$ のラプラス分布 $Lap (b)$ から引く。密度は $h (y) = \frac{1}{2 b} e^{- ∣ y ∣/ b}$ で、平均0、標準偏差 $2 b$ の左右対称な山になる。答えを $M (D) = f (D) + Y$ としたときに不等式が成り立つ筋道は、次の7歩で追える。

答えの密度を書く
$p_{D} (t) = \frac{1}{2 b} e^{- ∣ t - f (D) ∣/ b}$
隣のデータベースの密度も同じ形で書く
$p_{D^{'}} (t) = \frac{1}{2 b} e^{- ∣ t - f (D^{'}) ∣/ b}$
2つの密度は同じ形の山で、中心がf(D)とf(D′)にずれているだけである。
比をとると係数 $\frac{1}{2 b}$ が消える
$\frac{p _{D} ( t )}{p _{D^{'}} ( t )} = exp (\frac{∣ t - f ( D ^{'} ) ∣ - ∣ t - f ( D ) ∣}{b})$
三角不等式で指数の分子を抑える
$∣ t - f (D^{'}) ∣ - ∣ t - f (D) ∣ \leq ∣ f (D) - f (D^{'}) ∣$
密度の比の対数は、答えtがf(D′)より小さい側とf(D)より大きい側で平らになり、±εの線を越えない。
感度の定義を使う
$∣ f (D) - f (D^{'}) ∣ \leq Δ f$
尺度を $b = Δ f / ε$ に決める
$\frac{p _{D} ( t )}{p _{D^{'}} ( t )} \leq e^{Δ f / b} = e^{ε}$
答えの集合 $S$ で積分する
$Pr [M (D) \in S] = \int_{S} p_{D} (t) d t \leq e^{ε} Pr [M (D^{'}) \in S]$

つまずきやすいのは手順4だ。答え $t$ が2つの中心の外側にあれば、指数の分子はちょうど $\pm ∣ f (D) - f (D^{'}) ∣$ になり、答えがどれほど遠くに出ても比はそれ以上大きくならない。ところが、正規分布の雑音ではこうはいかない。密度が $e^{- t^{2}}$ の形で落ちるため、2つの山の比は裾へ行くほど限りなく大きくなる。純粋な $ε$ の保証は、ここで崩れる。

たとえば20人のクラスで $ε = 1$ なら $b = 5$ 点で、答えの標準偏差は $2 \times 5 \approx 7.07$ 点になる。40人なら感度が半分になり、同じ $ε$ でもぶれは3.54点に縮む。

証明

攻撃者の確信はe^ε倍までしか動かない

では、この不等式は「誰が入っているか」を本当に隠すのだろうか。ベイズの定理で、攻撃者の確信がどう動くかを追う。

攻撃者には最悪の知識を許す。Aさん以外の記録はすべて知っていて、残る疑いは、データベースが隣り合う $D$ と $D^{'}$ のどちらかだけとする。足し引きの流儀なら、 $D$ はAさんの記録がある表、 $D^{'}$ はない表だ。答えを見る前の確信を $Pr [D] = q$ 、公表された答えを $y$ と置く。

ベイズの定理で事後の確率を書く
$Pr [D ∣ y] = \frac{q p _{D} ( y )}{q p _{D} ( y ) + ( 1 - q ) p _{D^{'}} ( y )}$
$D^{'}$ についても同じ式を書き、比をとってオッズにする
$\frac{Pr [ D ∣ y ]}{Pr [ D ^{'} ∣ y ]} = \frac{q}{1 - q} \cdot \frac{p _{D} ( y )}{p _{D^{'}} ( y )}$
差分プライバシーの不等式を、 $D$ と $D^{'}$ を入れ替えた向きにも使う
$e^{- ε} \leq \frac{p _{D} ( y )}{p _{D^{'}} ( y )} \leq e^{ε}$
事後のオッズを事前のオッズで挟む
$e^{- ε} \frac{q}{1 - q} \leq \frac{Pr [ D ∣ y ]}{Pr [ D ^{'} ∣ y ]} \leq e^{ε} \frac{q}{1 - q}$
事前が五分五分（ $q = 1/2$ ）なら、確率に戻して上限が出る
$Pr [D ∣ y] \leq \frac{e ^{ε}}{1 + e ^{ε}}$

$ε = 1$ なら、五分五分だった推測は、どんな答えを見ても73.1%を超えない。 $ε = 0.1$ なら上限は52.5%どまりで、ほぼ五分五分のまま。 $ε = ln 3 \approx 1.1$ なら、ちょうど75%になる。

手順4の両端には、答え $y$ も、攻撃者が知っているほかの記録も入っていない。つまり、攻撃者がほかの全員の記録を握っていても、どんな答えが出ても、確信はこの幅に閉じこめられる。4人は2016年の改訂版の付録で、差分プライバシーが「攻撃者が知らない部分について、事後の確率が事前の確率の $e^{\pm ε}$ 倍に収まる」性質と同じであることを証明した。

隠せないものもある。改訂版が挙げる例では、喫煙者だと知られているアリスについて、喫煙と肺の病気に強い関係があると研究で分かれば、攻撃者はアリスの危険が高いと推し量れる。ただ、その結論はアリスのデータが入っていてもいなくても同じように出る。差分プライバシーが止めるのは、1人のデータが入っているかどうかに由来する推測だけだ。家族のように $k$ 人をまとめて隠したいときの保証は、 $k ε$ 。

応用

国勢調査とキーボードが選んだε

問いを重ねると、 $ε$ は足し算で増える。最初の例のように平均点を2回公表した場合、答えが2つそろう確率の比は、1回ずつの比を掛けた値で抑えられる。

\frac{Pr [ M _{1} ( D ) = a _{1} , M _{2} ( D ) = a _{2} ]}{Pr [ M _{1} ( D ^{'} ) = a _{1} , M _{2} ( D ^{'} ) = a _{2} ]} \leq e^{ε_{1}} e^{ε_{2}} = e^{ε_{1} + ε_{2}}

雑音を独立に引けば、 $k$ 回の問いは合わせて $ε_{1} + \dots + ε_{k}$ の差分プライバシーを満たす。改訂版では、これを単純な合成定理として示し、2回目の問いを1回目の答えを見てから選んでも成り立つとした。だから $ε$ は、使えば減る「予算」と呼ばれる。

米国の2020年国勢調査では、公表する表を作る前に、TopDownアルゴリズムで雑音を足した。国勢調査局の技術文書によると、初期の試験版はラプラス分布を整数にした両側幾何分布で雑音を作っていたが、精度を比べた結果、離散ガウス分布に替えた。ガウス分布では純粋な $ε$ の保証が出ないので、予算はゼロ集中差分プライバシー（zCDP）の $ρ$ で数えた。2つの分布で比の対数をとり、答えについて平均すると、カルバック・ライブラー情報量（相対エントロピー）になる。シャノンのエントロピーの仲間の量だ。zCDPは、それを一般化したレニー・ダイバージェンスを $ρ α$ 以下に抑える定義である。

選挙区の区割りに使う2021年の表には、 $ρ = 2.63$ の予算を配った。内訳は、人についての表に2.56、住宅の表に0.07である。2021年6月9日の発表では、予算を $ε$ で示し、人のデータに17.14、住宅のデータに2.47、合わせて $ε = 19.61$ とした。技術文書によると、公表用の $ε$ は $δ = 1 0^{- 10}$ で換算し、人と住宅の値を足したものである。 $δ$ は、純粋な $ε$ の保証が破れる分の大きさを表す。ただし技術文書には、 $ρ$ の保護をこの1組の $(ε, δ)$ だけで分析すると「非常に不完全な分析」になる、という注意書きがある。

勘定の外に置いた数もあった。州ごとの人口と、区画ごとに数えた住宅や施設の数、施設の種類は、雑音を足さずに公表した。州の人口が変わらないので、隣り合うデータベースは1人の記録を入れ替えた組と決めた。国勢調査局は発表文で、2010年までの方法は今日の計算技術の前で「再識別の攻撃に効かなくなった」と説明している。

暗い大きな講堂の奥の舞台に、話す人が小さな影として立ち、大きな画面が客席を照らしている(画像生成 AI で描いたイメージ) — 2016年6月、AppleはWWDCの基調講演で、差分プライバシーを使うと発表した画像生成AIで描いたイメージ

Appleは、集める側も生の値を見ない局所型を選んだ。2016年6月のWWDCの基調講演で採用を発表し、iOS 10とmacOS Sierraで使い始めた。端末の中で値に雑音を足してから送り、サーバーは大勢から届いた値を平均して傾向だけを読む。利用者が端末の解析情報を共有すると選んだときだけ動き、集めたデータを残すのは最長3か月である。公開資料に載る1回の提供あたりの $ε$ は、次のとおり。

用途	1回の提供のε	1日に送る数
編集した健康データの種類	2	1回まで
絵文字の候補	4	1回
調べものの候補（Lookup Hints）	4	2回まで
Safariで電力を多く使うサイトと落ちるサイト	4	Safari全体で2回まで
QuickTypeの入力候補	8	2回
Safariの自動再生の判断	8	Safari全体で2回まで

では、これらの数字はどのくらいの強さなのか。手順5の上限に入れると見えてくる。1回の提供について五分五分の推測が動ける上限は、 $ε = 2$ で88.1%、4で98.2%、8で99.97%になる。合成定理をそのまま当てはめれば、QuickTypeは1日で $8 \times 2 = 16$ に達する。もっとも、Appleは記録から識別子とIPアドレスを外し、用途ごとに分けて保存して、同じ人の記録どうしを結びつけないとしている。

五分五分だった推測が、εの答え1回でどこまで動けるかの上限e^ε/（1 + e^ε）。εが4を超えると、上限は98%より上に張りつく。

外からの検証もある。2017年、ジュン・タンらの研究チームはmacOS Sierra（10.12）のプログラムを解析した。1件ごとの $ε$ は1か2だったが、最初に発表された4つの用途を合わせると、1日に最大16になる。しかも予算は毎日戻るので、損失は16に日数を掛けた分までふくらみうると報告した。Appleの資料の値とは、調べた版も数え方も違う。それでも、どちらの数字も、1回ごとの $ε$ と合わせた $ε$ を分けて読まないと、意味を取り違える。

例題と解説

εを手で動かす

例題 1基本人数を数える問いに雑音を足す

条件に合う人の数を答える集計（感度1）に、 $ε = 0.5$ のラプラス雑音を足す。

（1）雑音の尺度 $b$ と標準偏差を求めよ。

（2）答えが真の値から5人以上ずれる確率はいくらか。

解説を見る

（1） $b = Δ f / ε = 1/0.5 = 2$ で、標準偏差は $2 \times 2 \approx 2.83$ 人である。

（2） $t > 0$ について $Pr [Y \geq t] = \frac{1}{2} e^{- t / b}$ なので、両側を合わせて次のとおり。

Pr [∣ Y ∣ \geq 5] = e^{- 5/2} \approx 0.082

およそ12回に1回、5人以上ずれる。

例題 2基本人数で変わる平均点のぶれ

点数は0〜100点で、人数 $n$ は公表する。 $ε = 1$ で平均点を出すとき、40人と10人のクラスで答えの標準偏差を比べよ。

解説を見る

40人では $Δ f = 100/40 = 2.5$ 点、 $b = 2.5$ 点で、標準偏差は $2 \times 2.5 \approx 3.54$ 点になる。10人では $Δ f = 10$ 点で、標準偏差は $2 \times 10 \approx 14.1$ 点。人数が4分の1になると、同じ $ε$ でもぶれは4倍になる。

例題 3入試まとめて聞くか、分けて聞くか

感度 $Δ f$ の同じ集計を、 $ε = 0.1$ ずつの雑音で10回公表し、10個の答えを平均する。全体の $ε$ と、平均の標準偏差を求め、 $ε = 1$ で1回だけ公表した場合と比べよ。

解説を見る

合成定理で、全体は $0.1 \times 10 = 1$ である。1回ずつの標準偏差は $2 Δ f /0.1 = 102 Δ f$ で、独立な10個を平均すると $10$ で割れる。

\frac{10 2 Δ f}{10} = 20 Δ f \approx 4.47 Δ f

1回だけ公表すると $2 Δ f \approx 1.41 Δ f$ で済む。つまり、同じ予算を10回に分けると、ぶれは $10 \approx 3.16$ 倍に増える。

例題 4大学事前の確信が低いとき

攻撃者は、Aさんの記録が入っている確率を10%と見ている。 $ε = ln 3$ の仕組みの答えを1つ見たあと、その確率はどの範囲に入るか。

解説を見る

事前のオッズは $0.1/0.9 = 1/9$ である。 $e^{ε} = 3$ なので、事後のオッズは $1/27$ から $1/3$ のあいだに入る。確率に戻すと次のとおり。

\frac{1/27}{1 + 1/27} = \frac{1}{28} \approx 3.6%, \frac{1/3}{1 + 1/3} = 25%

10%の疑いは、答えしだいで3.6%から25%のあいだを動く。

例題 5大学硬貨の無作為回答とAppleの反転

（1）「はい」か「いいえ」の秘密の答えを、確率 $p$ （ $p > 1/2$ ）でそのまま、 $1 - p$ で反対にして送る。ちょうど $ε$ -差分プライバシーになる $p$ を求めよ。また $ε = ln 3$ で1,000人に送ってもらい、「はい」が400件だった。本当に「はい」の人の割合を推定せよ。

（2）Appleの資料によると、値をハッシュで1か所だけが1の列（ワンホット）に直したあと、各桁を $1/ (1 + e^{ε /2})$ の確率で反転させる。 $ε = 4$ のときの反転の確率を求め、指数が $ε /2$ である理由を説明せよ。

解説を見る

（1）本当の答えが「はい」と「いいえ」のとき、同じ返事が出る確率の比は $p / (1 - p)$ である。これを $e^{ε}$ にすればよいので、 $p = e^{ε} / (1 + e^{ε})$ 。 $ε = ln 3$ なら $p = 3/4$ になる。本当の割合を $π$ とすると、「はい」の返事の割合は $\frac{3}{4} π + \frac{1}{4} (1 - π)$ なので、次の式が立つ。

\frac{1}{4} + \frac{1}{2} π = 0.4 ⟹ π = 0.3

推定は30%である。

（2） $1/ (1 + e^{2}) \approx 0.119$ 。値が1つ違うと、1が立つ位置が1か所から別の1か所へ移るので、列は2桁で食い違う。1桁ごとの確率の比が $e^{ε /2}$ なら、2桁で $e^{ε /2} \times e^{ε /2} = e^{ε}$ になる。

図示

重なりで見るεの強さ

ε = 0.5、1、3で、感度Δfだけ中心がずれた2つのラプラス分布。斜線の重なりは78%、61%、22%で、εが大きいほど2つの山を見分けやすい。

重なりの面積は、 $e^{- ε /2}$ で計算できる。2つの山を真ん中で分けると、左側では右の山の裾が、右側では左の山の裾が低いほうに回る。どちらの側も面積は $\frac{1}{2} e^{- Δ f / (2 b)}$ で、 $b = Δ f / ε$ を入れて足せば $e^{- ε /2}$ になる。真ん中で分けて「高いほうの山から出た」と答える攻撃者の正答率は $1 - \frac{1}{2} e^{- ε /2}$ で、 $ε = 1$ なら69.7%である。上限の73.1%より低いのは、手順5の上限が「攻撃者にいちばん有利な答えが出たとき」の値だからだ。

シミュレーション

20人の平均点に雑音を足す

架空の20人のクラスで、2つの表から雑音つきの平均点を6,000回ずつ乱数で引き、ヒストグラムにしている。表AはAさんの答案のまま、表BはAさんの答案を白紙（0点）に差し替えた表だ。実線と破線は理論の密度を表す。2種類の斜線が重なって網目になった所は、どちらの表から出た答えか見分けられない。 $ε$ を小さくすると網目が広がり、読み出しの標準偏差 $2 Δ f / ε$ も大きくなる。上から落ちる矢印は表Aから公表された答えだ。それを見た攻撃者が、事前を五分五分としてベイズの定理で出す「表Aである確率」は、 $ε$ で決まる上限を越えない。

人数を公表する前提では、Aさんを抜くと人数が19人に変わり、それだけで抜けたことが分かる。だから比べる相手は、Aさんの答案を白紙に差し替えた20人の表になる。2020年の国勢調査で、州の人口を変えずに1人の記録を入れ替える定義をとったのと同じ考え方だ。Aさんの点を下げると2つの山は近づき、0点で完全に重なる。100点なら、平均の差がちょうど $Δ f$ の、最悪の組である。最初の設定（20人、 $ε = 1$ 、90点）では、真ん中で分けて当てる割合の理論値は68.1%で、引いた答えで数えた値も68%前後に収まる。

広がる学問

雑音で守る学問

社会学 答えにくい質問を調査するとき、回答者に硬貨を投げてもらうなどして答えを確率的に反転させる無作為回答法を使う。1965年にウォーナーが提案した方法で、2016年の改訂版では、これを $ε = ln \frac{p}{1 - p}$ の差分プライバシーとして読み直している。区画ごとの人口を細かく出す国勢調査の表にも、同じ予算の考え方が使われた。
法学法律が求める「個人を特定できない」という水準を、数学の保証と突き合わせるときに使う。2018年、ニッシムらは、教育記録を守る米国の法律FERPAが求める保護を、攻撃者が生徒の非公開の情報を当てるゲームとして書き直した。そのうえで、差分プライバシーの仕組みがこの要件を満たすことを示している。
情報科学 機械学習のモデルが、学習に使った1人分のデータを覚えて漏らさないようにするとき、学習の各段階で雑音を足し、合成で $ε$ を積み上げる。2016年にアバディらが示した方法では、1件ごとに勾配の大きさを上限 $C$ で切りそろえて感度を抑え、平均にガウス分布の雑音を足す。
数学仮説検定の言葉で読むと、 $ε$ は検出力の上限になる。2010年にワッサーマンとジョウが示した形では、有意水準 $α$ のどんな検定も、検出力 $1 - β$ が $e^{ε} α$ を超えない。1人のデータを見分けたい検定にとって、でたらめに当てるより有利になれる倍率は $e^{ε}$ が限界だ。

いまの研究と事業

εを測り直す研究と製品

2023年トーマス・スタインケ、ミラド・ナスル、マシュー・ヤギエルスキ（Google）: 学習を1回走らせるだけで、機械学習の仕組みが名乗る $ε$ を監査する方法を示した。学習データに入れるか外すかを硬貨で決めた例を多数用意し、学習後に1件ずつ当てさせる。 $ε$ -差分プライバシーなら1件ごとの正答率は $e^{ε} / (e^{ε} + 1)$ を超えないので、当たった数を数えれば、 $ε$ の下限が分かる仕組みだ。CIFAR-10の画像分類では、途中の重みまで見られる条件で、理論上は $ε \leq 4$ の学習から、下限1.8を得た。（出典: Steinkeほか、arXiv:2305.08846）
2023年ジェン・シューらのチーム（Google）: キーボードアプリGboardで、次の語を予測する言語モデルを訓練した。端末の上で学ぶ連合学習に、差分プライバシーを組み合わせている。20を超えるモデルを、 $ρ$ -zCDPの $ρ$ を0.2〜2に収めて配信した。Gboardで次の語を予測するニューラルネットの言語モデルは、すべて差分プライバシーの保証つきになったという。学習の各回に足す雑音を合成して、全体の $ρ$ を積み上げる。（出典: Xuほか、arXiv:2305.18465）
2025年差分プライバシーの研究チーム（Apple）: 画像を作る機能Genmojiで、多くの人が使うプロンプトの言い回しを差分プライバシーで調べていると公表した。端末は、ある語の断片を見たかどうかを問われると、本当の信号か、乱数で選んだ別の信号を返す。その割合を調整し、同じ語を数百人が使って初めて見つかるようにしているという。端末ごとの答えを乱数でぼかす点は、例題5の無作為回答と同じ形である。（出典: Apple Machine Learning Research「Understanding Aggregate Trends for Apple Intelligence Using Differential Privacy」、2025年4月14日）
2026年伊藤伸介、寺田雅之、加藤駿典、松井秀俊（中央大学、NTTドコモ、統計センター、滋賀大学）: 令和2年国勢調査の個票データで、都道府県から基本単位区までの4段の集計表を作った。ラプラス雑音とzCDPのガウス雑音を同じ $ε$ にそろえて比べると、ガウス雑音が誤差で上回ったのは、 $δ$ を $1 0^{- 1}$ や $1 0^{- 2}$ のように大きくとったときだけだった。米国の2020年国勢調査では雑音を足す集計が60を超えたが、この実験では合成が4回で済んだ。著者らはこの差を理由に挙げている。（出典: 統計研究彙報第83号「国勢調査を対象にした差分プライバシーの実用性に関する検討」、2026年3月）

どの例も、 $ε$ を1つ決めて終わりにはしていない。何回の問いに配るか、どの定義で数えるか、外からどう確かめるかが、いまも研究の中心にある。

62.5点と62.0点の引き算に戻る。人数を公表する前提で、2つの平均をそれぞれ $ε = 0.5$ の仕組みで出していれば、合成して $ε = 1$ になる。転校した生徒の点について五分五分だった推測も、73.1%が上限になる。82点という数字は、引き算ではもう戻らない。

参考文献

C. Dwork, F. McSherry, K. Nissim, A. Smith, Calibrating Noise to Sensitivity in Private Data Analysis, Journal of Privacy and Confidentiality 7(3) (2016), 17-51. 初出はTCC 2006。
C. Dwork, Differential Privacy, ICALP 2006, Part II, 1-12.
J. M. Abowd et al., A Simulated Reconstruction and Reidentification Attack on the 2010 U.S. Census: Full Technical Report, U.S. Census Bureau, CES-23-63 (2023).
J. M. Abowd et al., The 2020 Census Disclosure Avoidance System TopDown Algorithm, U.S. Census Bureau (2022). 予算の発表はCensus Bureau Sets Key Parameters to Protect Privacy in 2020 Census Results（2021年6月9日）。
Apple, Differential Privacy Overview. Differential Privacy Team, Learning with Privacy at Scale, Apple Machine Learning Research (2017).
J. Tang, A. Korolova, X. Bai, X. Wang, X. Wang, Privacy Loss in Apple's Implementation of Differential Privacy on MacOS 10.12, arXiv:1709.02753 (2017).
A. Narayanan, V. Shmatikov, "Robust De-anonymization of Large Sparse Datasets", 2008 IEEE Symposium on Security and Privacy, 111-125. 最初の版はarXiv:cs/0610105。
EATCS, 2017 Gödel Prize.

差分プライバシー

引き算で戻る1人

加わっても損をしない約束

密度の比がe^εで頭打ちになる

攻撃者の確信はe^ε倍までしか動かない

国勢調査とキーボードが選んだε

εを手で動かす

例題 1基本人数を数える問いに雑音を足す

例題 2基本人数で変わる平均点のぶれ

例題 3入試まとめて聞くか、分けて聞くか

例題 4大学事前の確信が低いとき

例題 5大学硬貨の無作為回答とAppleの反転

重なりで見るεの強さ

20人の平均点に雑音を足す

雑音で守る学問

εを測り直す研究と製品

参考文献

タグ

同じタグを持つ公式

姉妹サイト