通过洗牌放大：基于匿名性从本地到中心差分隐私

敏感统计数据通常在用户集合中收集，并随时间进行重复报告收集。例如，用户私人偏好或软件使用情况的趋势可通过此类报告进行监控。我们研究本地差分隐私 (LDP) 模型下此类统计的收集，并描述一种隐私代价关于用户值变化次数为多对数级的算法。更基本地——基于用户报告的匿名性——我们还展示了从差分隐私的中心模型来看，我们 LDP 算法的隐私代价实际上可以低得多。我们通过一种新颖且通用的隐私放大技术表明，任何满足 $\varepsilon$-本地差分隐私的置换不变算法将满足 $(O(\varepsilon \sqrt{\log(1/\delta)/n}), \delta)$-中心差分隐私。由此，我们解释了 LDP 协议的高噪声和 $\sqrt{n}$ 开销是它们在中心模型中隐私性强得多的结果。作为一个实际推论，我们的结果表明，若干基于 LDP 的工业部署的隐私代价可能远低于其宣称的 $\varepsilon$ 所指示的水平——至少在报告被匿名化的情况下。