差分隐私的实际应用列表

本文是差分隐私实际部署的列表，以及它们的隐私参数。有一天，我们可能会有一个正式的 Epsilon 注册表，但在那之前……

首先，一些说明。

• 主列表仅包括具有公开记录的隐私参数值的项目，包括关于隐私单元是什么的信息。不发布此信息但提及使用 DP 的项目在末尾列出。
• 除非另有说明，所有用例使用中央 DP。
• 列表按发布数据的组织的字母顺序排序。
• 当项目使用开源差分隐私工具时，我添加了指向它的链接。
• 我还在本文末尾添加了一些注意事项和总体评论。

如果你想添加或更正某些内容，请告诉我！ 我的联系信息在本页底部。

• Apple
• Facebook
  • Full URLs 数据集
  • Movement Range Maps
• Google
  • Community Mobility Reports
  • Environmental Insights Explorer
  • Gboard 下一词预测模型
  • Gboard 词汇外词发现
  • Search Trends Symptoms 数据集
  • Shopping
  • Trends
  • Urban mobility data
  • Vaccination Search Insights
• 以色列卫生部
• LinkedIn
  • Audience Engagements API
  • Labor Market Insights
  • 种族/民族估计
• Microsoft
  • 全球受害者-加害者合成数据集
  • Windows 中的遥测数据收集
  • 美国宽带覆盖数据集
• OhmConnect
• 美国人口普查局
  • County Business Patterns
  • 2020 年十年一度的人口普查
  • OnTheMap
  • Post-Secondary Employment Outcomes
• 维基媒体基金会
  • 页面浏览统计
  • 编辑统计
• 其他部署
• 注意事项和评论
  • 比较项目
  • 什么是用户？
  • 替换 vs 添加/删除
  • 零集中差分隐私
  • 数字精度

Apple

Apple 使用本地 DP 从运行 iOS 或 macOS 的终端用户设备收集一些数据。该过程记录在高级概述文档和详细论文中。所有使用 \(\varepsilon\)-DP，隐私参数的值如下所述，隐私单元为用户-天。

• QuickType 建议 学习足够多用户输入的先前未知的词，使用 \(\varepsilon=16\)。
• Emoji 建议 计算哪些 emoji 在用户中最受欢迎，使用 \(\varepsilon=4\)。
• 查找提示 收集有关 iOS 搜索建议所采取操作的数据。（我想是这样。这不是很明确。）它使用 \(\varepsilon=8\)。
• Health 类型使用 估计 HealthKit 应用中最常用哪些健康类型，使用 \(\varepsilon=2\)。
• Safari 耗能域名 和 Safari 崩溃域名 收集有关 Web 域名的数据：哪些域名最可能导致高能耗或崩溃。两个功能使用 \(\varepsilon=8\) 的公共预算。
• Safari 自动播放意图检测 收集有关自动播放带声音视频的网站的数据，关于用户更可能静音还是继续播放视频。它使用 \(\varepsilon=16\)。

记录的隐私单元是每个数据收集事件。设备每天发送有限数量的此类事件：我已将所有保证转换为使用用户-天作为隐私单元。Apple 还进行了一些去标识化和混洗（参见论文第 3.2.2 节）。考虑这一点可能会导致更严格的中央 DP 保证。

Facebook

Full URLs 数据集

Full URLs 数据集 提供有关 Facebook 上分享的网页的用户交互数据。隐私单元是每个单独操作：例如可以是"Alice 分享了 URL foo.com"或"Bob 查看了包含 URL bar.org 的帖子"。对于每种类型的操作，选择隐私参数以用 \((\varepsilon,\delta)\)-DP 保护 99% 的用户，其中 \(\varepsilon=0.41\) 且 \(\delta=10^{-5}\)。跨所有指标，96.6% 的用户受到 \((\varepsilon,\delta)\)-DP 的保护，其中 \(\varepsilon=1.69\) 且 \(\delta=10^{-5}\)。

在幕后，这使用 \(\rho\)-零集中 DP，对于每种操作类型，\(\rho=0.0052\) 保护 99% 的用户，总体 \(\rho=0.0728\) 保护 96.6% 的用户。请注意，第一个 \(\rho\) 到 \((\varepsilon,\delta)\)-DP 的转换使用了此页面的转换器，但第二个 \(\varepsilon\) 是直接从机制获得的，因此比使用转换公式得到的值更小。

论文提到了两个额外的 DP 操作：

• 未被足够多用户分享的 URL（根据 DP 计数）被丢弃；
• 算法还以 DP 方式计算每种操作的第 99 百分位数。

它没有量化用于这两个操作的隐私预算。

Movement Range Maps

Movement Range Maps 量化了 COVID-19 大流行期间 Facebook 用户移动性的变化。有两个指标：用户每天移动多少，以及有多少人通常呆在家里。每个指标使用每日值 \(\varepsilon=1\)，因此总隐私预算为 \(\varepsilon=2\)，隐私单元为用户-天。

博客文章还提到省略了用户少于 300 人的区域。这个过程似乎不是以 DP 方式完成的。

Google

Community Mobility Reports

Community Mobility Reports 量化了 COVID-19 大流行期间移动模式的变化：有多少人去工作场所或特定类型的公共场所，以及人们在家呆了多长时间。每个指标每天使用 \(\varepsilon=0.44\)，每个用户每天最多贡献六个指标。因此，总隐私预算为 \(\varepsilon=2.64\)，隐私单元为用户-天。数据是使用 GoogleDP 进行差分隐私处理的。

论文还提到使用更多隐私预算来更新计算指标的方式。这个额外预算没有被精确量化。

Environmental Insights Explorer

Environmental Insights Explorer 报告有关人类移动性的聚合统计数据，按交通方式分类。它使用 \(\varepsilon\)-DP，其中 \(\varepsilon=2\)，隐私单元为用户-周。

Gboard 下一词预测模型

Google 使用联邦学习和 DP 为 Gboard（Android 的虚拟键盘应用）构建下一词预测模型。每个模型使用 \((\varepsilon,\delta)\)-DP，其中 \(\delta=10^{-5}\)，\(\varepsilon\) 根据语言在 \(0.69\) 和 \(10.61\) 之间变化。它们是使用 TensorFlow Federated 和 TensorFlow Privacy 训练的。

隐私保证使用 \(\rho\)-零集中 DP 报告，其中 \(\rho\) 对于某些模型在 \(0.25\) 和 \(1.86\) 之间变化，对于更新的模型在 \(0.014\) 和 \(0.15\) 之间变化。过去的模型专门针对西班牙语使用 \(\rho=0.81\)。

Gboard 词汇外词发现

Google 使用分布式 DP 来发现新词以添加到 Gboard（Android 的虚拟键盘应用）的词汇表中。他们使用 \(\varepsilon\)-DP 在本地模型中收集数据，其中 \(\varepsilon=10\)，这对应于中央 \((\varepsilon,\delta)\)-DP 保证 \(\varepsilon=0.32\) 和 \(\delta=10^{-10}\)。隐私单元是单个词；每个用户在 60 天内最多贡献 60 个词。

Search Trends Symptoms 数据集

Search Trends Symptoms 数据集 测量与各种症状相关的 Google 搜索量。它使用 \(\varepsilon=1.68\)，隐私单元为用户-天；发布是使用 GoogleDP 生成的。

Shopping

Google Shopping 使用差分隐私的产品页面浏览计数作为信号来优先爬取页面。它使用 \((\varepsilon,\delta)\)-DP，其中 \(\varepsilon=1\) 和 \(\delta=10^{-9}\)，隐私单元为用户-天。数据以流式方式由名为 DP-SQLP 的专有引擎生成。

Trends

Google Trends 使用差分隐私来选择主动在网站上显示哪些查询，例如作为趋势或相关查询。它使用 \((\varepsilon,\delta)\)-DP，其中 \(\varepsilon=2\) 和 \(\delta=10^{-10}\)，隐私单元为用户-查询。数据以流式方式使用 DP-SQLP 生成。

Urban mobility data

Google 与研究人员共享移动数据，使用 DP 对其进行匿名化。结果论文表示，此数据共享方案使用 \((\varepsilon,\delta)\)-DP，其中 \(\varepsilon=0.66\) 和 \(\delta=2.1\cdot10^{-29}\)。隐私单元是给定用户在一周内是否从一个位置到另一个位置出行；两个位置都是大小约 \(1.3\)km² 的固定区域。

原始论文中没有明确给出隐私单元，这可能给人一种数据发布使用用户级隐私单元的印象。其他研究人员指出了这一点，之后原始作者发布了澄清，使隐私保证更加明确。

Vaccination Search Insights

Vaccination Search Insights 量化了与 COVID-19 疫苗接种相关的 Google 搜索趋势。它使用 \((\varepsilon,\delta)\)-DP，其中 \(\varepsilon=2.19\) 和 \(\delta=10^{-5}\)，隐私单元为用户-天；数据是使用 GoogleDP 生成的。

后来的博客文章表明，技术论文中提到的作为预处理的查询分类也是以 DP 方式完成的。此步骤涉及的隐私预算不公开，不计入报告的保证。此步骤的代码也是 GoogleDP 的一部分。

以色列卫生部

以色列卫生部发布了2014 年以色列活产婴儿的合成数据集（也有非官方的英文版本），使用 \(\varepsilon\)-DP，其中 \(\varepsilon=9.98\)，隐私单元为 singleton 出生（只有一个婴儿）。它使用了自定义代码，该代码重用了 OpenDP SmartNoise 和 Diffprivlib 的部分内容，并在此过程中修补了一些漏洞。数据发布记录在一份详尽的技术论文中。

LinkedIn

Audience Engagements API

Audience Engagements API 是本列表中唯一的交互式查询系统。它允许营销人员获取有关与他们的内容互动的 LinkedIn 用户的信息。每个查询返回 \((\varepsilon,\delta)\)-DP，其中 \(\varepsilon=0.15\) 和 \(\delta=10^{-10}\)，隐私单元为用户。每个分析师可以发送多个查询，但月度上限限制了数量：总 \((\varepsilon,\delta)\) 预算为 \(\varepsilon=34.9\) 和 \(\delta=7\cdot10^{-9}\)，隐私单元为用户-月-分析师。

系统还实现了额外的措施来防止平均攻击：每天加载新数据，并使用种子噪声，以便同一天的相同查询始终返回相同的答案。

Labor Market Insights

Labor Market Insights 测量人们在 LinkedIn 上更换职业的趋势。有三种类型的报告。

• 谁在招聘？ 列出招聘最多的公司。它使用 \((\varepsilon,\delta)\)-DP 来保护每个招聘事件（LinkedIn 用户更换他们的职业），其中 \(\varepsilon=14.4\) 和 \(\delta=1.2\cdot10^{-9}\)。
• 有哪些职位空缺？ 列举人们被招聘最多的职位名称。它也使用 \((\varepsilon,\delta)\)-DP 来保护每个招聘事件，其中 \(\varepsilon=14.4\) 和 \(\delta=1.2\cdot10^{-9}\)。
• 需要什么技能？ 列出上述工作最受欢迎的技能。它用 \(\varepsilon=0.3\) 和 \(\delta=3\cdot10^{-10}\) 保护单个用户在一个月内的技能信息。

这暗示了招聘事件的总 \(\varepsilon=28.8\) 和 \(\delta=2.4\cdot10^{-9}\)-DP，以及一个月内技能信息的 \(\varepsilon=0.3\) 和 \(\delta=3\cdot10^{-10}\)。然而，上述分析涉及许多细微差别。非常有可能以不同的方式解释论文。

1. 论文中列出的隐私参数要小三倍。然而，每份报告涵盖 3 个月的数据，并且报告每月发布：单个招聘事件将出现在三份不同的报告中。
2. 对于需要什么技能？，每份月度报告回顾 5 年的数据。因此，如果用户的技能数据在 5 年期间没有变化，总预算最终达到 \(\varepsilon=6\) 和 \(\delta=6\cdot10^{-9}\)。
3. 像我那样将 \(\varepsilon\) 和 \(\delta\) 值相加很简单，但只给出整体隐私预算的宽松界限。我们可能可以使用高级组合定理或其他隐私核算方法找到更严格的界限。
4. 论文还指出，数据集中 95% 的人在 3 个月期间最多有一个招聘事件。
5. 需要什么技能？报告还使用非 DP 预处理步骤。这使得技术上不可能提供精确的 DP 保证。

种族/民族估计

LinkedIn 使用差分隐私作为估计用户种族和民族的系统的一部分，以帮助测量各种 AI 功能的算法偏差。它使用 \(\varepsilon\)-DP，其中 \(\varepsilon=4.5\)，隐私单元为用户。

Microsoft

全球受害者-加害者合成数据集

Microsoft 与国际移民组织合作发布了全球受害者-加害者合成数据集，提供有关贩运受害者和加害者的信息。发布使用 \((\varepsilon,\delta)\)-DP，其中 \(\varepsilon=12\) 和 \(\delta=5.8\cdot10^{-6}\)；隐私单元为原始数据集中的受害者。它使用自定义代码生成数据。

Windows 中的遥测数据收集

Microsoft 在 Windows 中收集遥测数据。用于获取用户花费多少时间使用特定应用的信息的过程使用本地 DP，其中 \(\varepsilon=1.672\)，隐私单元为用户-6-小时。

美国宽带覆盖数据集

美国宽带覆盖数据集 量化了美国各地能够访问高速互联网的用户百分比。它使用 \(\varepsilon\)-DP，其中 \(\varepsilon=0.2\)，隐私单元为用户。数据是使用 OpenDP SmartNoise 进行私有化的。

OhmConnect

Energy Differential Privacy 项目实现了智能电表数据的共享。在一个项目中，Recurve 帮助 OhmConnect 共享其虚拟电厂的数据。该项目使用 \((\varepsilon,\delta)\)-DP，其中 \(\varepsilon=4.72\) 和 \(\delta=5.06\cdot10^{-9}\)，隐私单元为用户。该项目同时使用自定义开源代码和 Google 的开源 DP 库。

技术论文中出现的隐私参数不同。核算使用抽样放大，抽样因子为 \(\eta=0.124\)。然而，论文将放大前的 \(\varepsilon_{orig}=6.8\) 转换为 \(\varepsilon=\eta\cdot\varepsilon_{orig}=0.843\)。正确的公式是 \(\varepsilon=\log\left(1+\mu\left(e^{\varepsilon_{orig}}-1\right)\right)\)（参见结果摘要中的定理 9），得到 \(\varepsilon=4.72\)。上面列出的 \(\delta\) 也被放大（使用 \(\delta=\mu\delta_{orig}\)），论文中报告的 \(\delta\) 则没有。

请注意，放大结果假设均匀随机有放回抽样。但论文还提到了分层抽样方法，这略有不同：目前还不清楚放大结果是否仍然适用。如果不是，那么隐私参数为 \(\varepsilon=6.8\) 和 \(\delta=4.08\cdot10^{-8}\)。

美国人口普查局

County Business Patterns

美国人口普查局为其 County Business Patterns 数据产品发布了演示表格，提供有关美国商业机构的信息。它使用差分隐私的一个变体，根据企业规模为企业提供不同的保证。例如，年工资总额为 100,000 美元、第一季度工资总额为 25,000 美元、拥有 4 名员工的企业将受到 \((\varepsilon,\delta)\)-DP 的保护，其中 \(\varepsilon=34.92\) 和 \(\delta=10^{-5}\)。该项目与 Tumult Labs 合作部署，使用 Tumult Analytics。

关于页面提到使用 \(\rho\)-零集中 DP，其中 \(\rho=12.058\)，这给出了上面的 \(\varepsilon\) 和 \(\delta\)。演示文稿提供了有关隐私单元的更多背景信息。底层隐私变体（每记录零集中差分隐私）的详细信息可以在这篇论文中找到。

2020 年十年一度的人口普查

2020 年人口普查 是一系列包含有关美国人口的人口统计信息的数据发布。每个发布都受到 \((\varepsilon,\delta)\)-DP 的保护，其中 \(\delta=10^{-5}\)，隐私单元为数据集中的人。

• 选区数据用于立法过程。它使用 \(\varepsilon=13.64\)，并使用自定义代码实现。
• 人口住房和特征文件（DHC）提供按地理分类的人口统计信息。它分为两部分："人员表"（DHCP，计数人员）使用 \(\varepsilon=19.46\)，"单位表"（DHCH，计数家庭）使用 \(\varepsilon=25.87\)。两者都使用自定义代码。
• 详细 DHC-A 提供更细粒度的种族和民族群体的人员分类。它使用 \(\varepsilon=49.21\)，并使用 Tumult Analytics 实现。
• 详细 DHC-B 提供按细粒度种族和民族群体的家庭分类。它使用 \(\varepsilon=45.68\)，并使用 Tumult Analytics 实现。
• 补充 DHC 结合了家庭的特征和居住在其中的人。它使用 \(\varepsilon=12.74\)，并使用 Tumult Analytics 实现。

这些数据发布分两步生成：首先，算法通过向聚合添加噪声来计算 DP 统计数据，然后执行复杂的后处理步骤以提高数据的实用性。美国人口普查局还发布噪声测量文件用于选区数据和人口住房和特征文件：这是第一阶段的 DP 输出，没有任何后处理。由于这与上述数据发布来自同一次运行，隐私预算不受这些额外发布的影响。

隐私核算使用 \(\rho\)-零集中 DP 完成。使用的隐私预算为：选区数据 的 \(\rho=2.63\)，DHCP 的 \(\rho=4.96\)，DHCH 的 \(\rho=7.7\)，详细 DHC-A 的 \(\rho=19.776\)，详细 DHC-B 的 \(\rho=17.79\)，以及补充 DHC 的 \(\rho=2.515\)。请注意，这些都使用替换一个 相邻关系，与使用添加或删除一个记录作为相邻关系的发布相比，这会膨胀隐私预算。

OnTheMap

OnTheMap 是 DP 的首个实际部署。它提供有关美国工人在哪里工作和在哪里居住的统计数据。此数据发布使用 \((\varepsilon,\delta)\)-DP，其中 \(\varepsilon=8.6\) 和 \(\delta=10^{-5}\)，隐私单元为数据集中的人，方法在这篇论文中有详细描述。

Post-Secondary Employment Outcomes

Post-Secondary Employment Outcomes 提供有关大学毕业生收入和就业的数据。技术文档提到两个使用 \(\varepsilon\)-DP 的统计数据，其中 \(\varepsilon=1.5\)，总隐私预算为 \(\varepsilon=3\)。隐私单元为数据集中的人，方法在这篇论文中有详细描述。

维基媒体基金会

页面浏览统计

维基媒体基金会在 Tumult Labs 的帮助下，发布了关于每天从每个国家访问每个维基百科页面的不同用户数量的统计数据。数据发布还涵盖了其他 维基媒体项目，并分为三个部分。

• 2015 年 7 月 1 日至 2017 年 2 月 8 日的数据受到 \(\varepsilon\)-DP 的保护，其中 \(\varepsilon=1\)，隐私单元为每天 300 次浏览。
• 2017 年 2 月 9 日至 2023 年 2 月 5 日的数据受到 \(\varepsilon\)-DP 的保护，其中 \(\varepsilon=1\)，隐私单元为每天 30 次浏览。
• 2023 年 2 月 6 日起的数据受到 \((\varepsilon,\delta)\)-DP 的保护，其中 \(\varepsilon=0.72\) 和 \(\delta=10^{-5}\)，隐私单元为用户-天。

数据发布使用 Tumult Analytics。技术论文解释了为什么在不同时期使用不同的隐私单元和隐私预算。

对于最近的数据，隐私核算使用 \(\rho\)-零集中 DP 完成，预算为 \(\rho=0.015\)。

编辑统计

维基媒体基金会在 Tumult Labs 的帮助下，发布关于维基百科和其他维基媒体项目上按项目和国家的编辑活动的统计数据。数据发布在两个不同的时间间隔进行。

• 一些数据每月发布，使用 \(\varepsilon\)-DP，其中 \(\varepsilon=2\)，隐私单元为编辑-项目-国家-月。
• 一些数据每周发布，也使用 \(\varepsilon\)-DP，其中 \(\varepsilon=2\)，隐私单元为编辑-项目-国家-周。
• 针对俄罗斯编辑的一次性发布使用 \(\varepsilon\)-DP，其中 \(\varepsilon=0.1\)，隐私单元为编辑-项目-国家-月。

这些数据集使用 Tumult Analytics 生成。

其他部署

这个列表几乎肯定是不完整的。同样，如果您想让我添加或更正某些内容，请随时联系我！

• Apple 使用差分隐私来学习标志性场景并改进 iOS 应用"回忆"和"地点"的关键照片选择。博客文章提到使用 \((\varepsilon,\delta)\)-DP，其中 \(\varepsilon=1\) 和 \(\delta=1.5\cdot10^{-7}\)，但未指定隐私单元。
• Apple 和 Google 的暴露通知框架有一个使用分布式 DP的分析组件。论文提到本地 \(\varepsilon=8\) 和相应的中央 \(\varepsilon\) 值，取决于参与用户数量和所选的中央 \(\delta\)。但是，它没有指定隐私单元、聚合数量或参与用户的最小数量。
• Brave 使用差分隐私通过分布式 DP收集使用分析。实现是公开的，因此原则上可以确定隐私参数，但它们没有在任何地方汇总，并且可能随时间变化。
• Google 提到在两个 Google Maps 功能中使用 DP：第一个量化公共场所白天的繁忙程度，第二个量化哪些餐厅的菜肴最受欢迎。它没有指定使用的隐私参数或生成数据的确切方法。
• Google 的 RAPPOR 过去用于在 Google Chrome 中使用本地 DP收集浏览信息。它现在已弃用。
• Google 提到使用 DP 和联邦学习来训练模型以改进 Android 上的文本选择和复制。该部署使用分布式 DP，提供与本地 DP类似的保证，并对对手有额外假设（对手必须是诚实但好奇的）。\(\varepsilon\) 的值被报告为"数百"，但未精确指定；隐私单元也未报告。
• Google 提到使用 DP 合成数据训练安全分类器；然后该分类器在移动设备上用于控制大型语言模型的输出。未报告隐私参数。
• LinkedIn 提到将 DP 用于帖子分析。\(\varepsilon\) 的值被报告为"数百"，但未精确指定；隐私单元也未报告。
• 美国国税局和美国教育部在 Tumult Labs 的帮助下，使用 DP 发布了大学毕业生收入摘要。数据使用 Tumult Analytics 生成并发布在大学记分卡网站上。该项目在这篇帖子中有概述，但未给出具体隐私参数。
• Microsoft 的 Assistive AI 自动建议在 Office 工具中回复消息。它提供 \((\varepsilon,\delta)\)-DP，其中 \(\varepsilon=4\) 和 \(\delta<10^{-7}\)，但未指定隐私单元是什么。
  • Microsoft 的一篇单独的博客文章表明，\(\varepsilon=4\) 的选择是跨差分隐私机器学习用例的政策标准，适用于每个用户在 6 个月期间的数据。
• Microsoft 还提到在 Workplace Analytics 中使用 DP：这允许经理查看其团队与工作场所工具交互的数据。未给出有关隐私参数的具体信息。
• Spectus 发布了一个仪表板，包含有关飓风 Irma 期间移动趋势的 DP 指标，该页面表明他们为其他自然灾害生成了类似的数据集。白皮书提到使用 OpenDP SmartNoise 生成四个 \(\varepsilon\)-DP 指标，总 \(\varepsilon=10\)；未指定隐私单元。
• 美国人口普查局发布网格化环境影响框架，一个结合人口统计数据和环境危害暴露数据的数据集。它受到噪声注入过程的保护，该过程深受差分隐私启发，但一些设计选择意味着该发布没有形式化的隐私保证。
• 美国人口普查局发布机会图集，一个关于经济流动性的数据集。技术描述提到该数据集受到 \(\varepsilon\)-DP 的保护，其中 \(\varepsilon=8\)，但也提到向统计数据添加正态分布噪声；这暗示一个非零的 \(\delta\) 值，但未报告这样的值。
• 美国人口普查局发布退伍军人就业结果，一个关于退伍军人劳动力市场结果的数据集。技术描述有关于所用机制的详细信息，并暗示隐私单元是数据中的个人，但未报告数值隐私参数。

还有（许多）其他公司和组织表示他们使用 DP 的例子。只有当他们指向特定项目或功能时，我才将它们添加到这里。

最后，许多科学论文报告了真实数据集上的实验结果。大多数没有提及系统是否已部署。我没有尝试列出这些。