寓話
黒く塗られた氏名と摂動を加えた総帳
銀号は一年の帳簿を城の学者に渡し、消費の変化を研究してもらうことにした。経理係はまず氏名、住所、印鑑を黒く塗りつぶし、年齢、街区、金額、日付だけを残した。店主はこれで安全だと思った。何しろ最も目立つ身元情報が見えないのだから。
学者は帳簿を受け取るとすぐに一指摘した：東街の七十六歳の銅細工師が端午の前日に三百斤の銅を買っており、城内で条件に合うのは一人だけ。名前は塗りつぶされていたが、人はなお復元できる。経理係はこれで、目立つフィールドを隠しても最も露骨な識別しか防げないと知った。
二度目に、経理係は街区を粗くし、年齢を区分し、まれな取引を統合した。個人はより識別されにくくなったが、学者が「全城の高齢者は端午前に消費が増えたか」と問うと、結果は依然として極端な小集団に左右されうる。覆い布は厚くなったが、統計的な問いには個人の影が残る。
老統計師は別のやり方を示した。毎回学者は集計に関する質問だけを許され、銀号は原始帳簿を渡さない。回答時には総数に少しの制御された撹乱を加え、同じ種類の質問を繰り返し追及することも制限する。ある個人が帳簿にいるかどうかを、外部の者が安定してその生活軌跡まで推し戻せてはならない。
経理係は数が不正確になることを心配した。老統計師は言った。保護が強くなるほど細部はぼやける。しかし設計が適切なら、大きな傾向は見え、個人は逆算されにくい。第一の門は露出フィールドを減らすこと、第二の門は答え自体がどれだけ漏れるかを制御することだ。
銀号は後に二つの門を分けた。資料を提出する前はまず直接的な身元を隠して露出を減らし、統計を公表する時は集計、撹乱、クエリのルールで逆推測のリスクを下げる。二つの門は同時に使えるが、互いに偽装することはできない。
名前を隠すのは帳簿のページに布をかけるようなもの、統計を保護するのは問いに答える時に各人が残す影を制御することだ。一方は元のページ上の目立つ印を扱い、他方は答えから個人を逆算する能力を扱う。
後に学者が同じ街の消費変化を連続して詳しく尋ねようとしたとき、銀号は一問一答で開放するのではなく、これらの質問が合わさって特定の個人に迫らないかを検査した。経理係はそこで理解した。リスクは一枚の帳簿のページに隠れているだけでなく、多くの一見普通の回答からゆっくり浮かび上がることもあるのだ。