寓言
被涂黑的姓名和加过扰动的总账
银号要把一年账目交给城中学者研究消费变化。账房先把姓名、住址和印鉴都涂黑，只留下年龄、街区、金额和日期。掌柜觉得这样就安全了，毕竟最显眼的身份都看不见。
学者刚拿到账册，便指出一条：东街七十六岁的铜匠，端午前一天买了三百斤铜，城里只有一个人符合。名字虽被涂掉，人仍能被拼回来。账房这才知道，遮住显眼字段，只能防最直白的识别。
第二次，账房把街区改粗，把年龄分段，少见交易合并。个人更难被认出，但学者问“全城老人端午前消费是否上升”时，结果仍可能被极端小群体左右。遮布变厚了，统计问题仍能留下个人影子。
老统计师给出另一种做法。每次学者只许问汇总问题，银号不交原始账册；回答时还会在总数里加一点受控扰动，并限制同一类问题反复追问。单个人在不在账里，不应让外人稳定推回他的生活轨迹。
账房担心数会不准。老统计师说，保护越强，细节越模糊；但若设计得当，大趋势仍能看见，个人却不容易被倒推出。第一种门是减少裸露字段，第二种门是控制答案本身泄露多少。
银号后来把两道门分开：交资料前先遮住直接身份，减少裸露；做统计发布时，再用汇总、扰动和查询规矩降低反推风险。两道门可以同时用，却不能互相冒充。
遮名字像给账页盖布，保护统计则是在答问题时控制每个人留下的影子。一个处理原始页上的显眼标记，一个处理别人从答案里倒推个人的能力。
后来学者想连续追问同一条街的消费变化，银号没有一问一答放开，而是检查这些问题合在一起会不会逼近某个人。账房这才明白，风险不只藏在一张账页里，也会从许多看似普通的回答里慢慢浮出。