差分プライバシー

山村の穀倉は毎月、各家の余剰穀物の総数を公表し、商隊が車馬を手配しやすくしていた。以前は村長が直接合計し、総数が個人を露呈しないと皆が信じていた。後に村には珍しい麦を育てる数戸だけが残った。ある家が収穫しては返却すると、公表された総数が明らかに跳ね、周囲はすぐにその家の収穫を推測した。村長はまず戸名を削除した。しかし数か月連続で総数を比較すると、誰が余分に一車売ったか、どの家が食糧難になりそうかを依然として推測できた。

ある算師が奇妙な方法を提案した。毎回公表前に、規則に従って少し塩を撒き、総数に制御された微小な偏りを持たせるのだ。

村人は報告書が不正確だと心配した。算師は説明した。単一の報告書はもはや特定の世帯が在場したかどうかを露呈しない。複数回のクエリも予算を消費し、無限に真実へ近づくことはできない。

穀倉は正確な元帳を保持し、対外統計結果にのみノイズを加え、クエリの回数、粒度、組み合わせ方を制限した。隊商は依然として大きな傾向を判断できるが、特定の家を絞り込むのは難しくなった。

後に誰かが故意に似た質問を繰り返し、差分から個人を掘り出そうとした。装置全体は予算を超えるクエリを拒否した。

糧倉が学んだのは「データを汚す」ことではなく、利用可能な統計と個人のプライバシーの間に数学的な境界を築き、一人の存在が答えを決めないようにすることだ。

算師は塩を撒くルールを村長に見せた。塩は勝手に撒いてはならない。今日は多め、明日は少なめというのも骰子盤に従わなければならない。さもなければ、外部の者は依然として規則性から真の数を推測できる。村長はそこで初めて知った。プライバシーの保護は曖昧さによるのではなく、証明可能な偏りによるのだ。

年末の分糧のとき、村は依然として内帳で正確に決済し、隊商、隣村、市には塩を加えた統計だけを渡した。皆は少しの明瞭さを犠牲にして、各家庭が糧の甕をすべての人の算盤にさらさずに済むようにした。村民はだからこそ本当の内帳を出し続ける気になった。公開帳が特定の一家の暮らしを単独で差し出すことはないと知っているからだ。この境界が統計を引き続き役立たせ、沈黙する人をなお守る。外の者は傾向を見、村民は余地を保つ。村長もだからこそ月報を出し続けられる。より安定。信頼できる。