测量-观察-重测：一种用于差分隐私探索性分析的交互范式

差分隐私 (DP) 有潜力在敏感数据上实现隐私保护分析，但要求分析者在查询间明智地花费有限的“隐私损失预算” $\epsilon$。然而，进行探索性分析的分析者事先并不知道所有查询，且很少具备 DP 专业知识。因此，他们在分析前指定各查询的 $\epsilon$ 分配的能力受到限制。为了支持分析者高效地花费 $\epsilon$，我们提出了一种新的交互分析范式，测量-观察-重测，其中分析者用有限的 $\epsilon$ “测量”数据库，观察估计值及其误差，并根据需要用更多的 $\epsilon$ 进行重测。我们在一个交互式可视化界面中实例化了该范式，允许分析者在总预算下花费递增的 $\epsilon$。为了观察分析者如何通过该界面与测量-观察-重测范式进行交互，我们进行了一项用户研究，将敏感数据参与者做出的 $\epsilon$ 分配和发现的效用，与面临相同决策任务的理性智能体预期的分配和发现进行比较。我们发现参与者能够相对成功地使用该工作流，包括使用能够最大化 $\epsilon$ 分配带来的可用效用的过半数的预算分配策略。他们相对于理性智能体的性能损失似乎更多是由其获取和报告信息的能力不足所驱动的，而非分配 $\epsilon$ 的能力不足。