差分隐私下通用最优机制的不可能性

最近，Ghosh、Roughgarden 和 Sundararajan [STOC 2009] 引入了通用效用最大化隐私机制的概念。这些机制能够同时为一大类信息消费者保证最优效用，同时保持差分隐私 [Dwork、McSherry、Nissim 和 Smith，TCC 2006]。Ghosh 等人令人惊讶地证明了一个案例，其中存在这样一种通用最优的差分隐私机制，即当信息消费者是贝叶斯时。这一结果最近被 Gupte 和 Sundararajan [PODS 2010] 扩展到风险规避型消费者。这两个正面结果都涉及（近似）计算单个计数查询（即，给定人群中满足特定属性的个体数量）的机制，而我们工作的起点是尝试将这些结果扩展到类似设置，例如具有非二元个体值的求和查询、直方图以及两个（或更多）计数查询。然而，我们表明，对于所有这些查询，无论是贝叶斯消费者还是风险规避型消费者，通用最优机制都不存在。对于贝叶斯情况，我们进一步给出了那些允许通用最优机制的函数的刻画，表明通用最优机制本质上仅存在于（单个）计数查询。我们证明的核心是用查询函数 $f$ 的隐私约束图 $G_f$ 来表示它，该图的边对应于将 $f$ 应用于相邻数据库所得的值。