基于地毯距离的用户级度量差分隐私

度量差分隐私（DP）提供了基于输入对之间距离的异构隐私保障。由于其能够捕捉许多应用（如位置数据）中自然的隐私语义，并且在实用性上优于标准差分隐私，故已广泛流行。然而，现有关于度量DP的工作主要聚焦于项目级设置，即每个用户仅报告单个数据项。更贴近实际的 setting 是用户级DP，即每个用户贡献多个数据项，隐私保护需在用户整个贡献的粒度上实现。本文着手研究用户级度量DP的一种自然定义。具体而言，我们采用地毯距离（$d_\textsf{EM}$）作为度量，以获得一种隐私保护机制，因其既捕捉用户数据变化的幅度，又捕捉其空间特征。本文作出三项主要技术贡献：第一，我们设计了两种基于 $d_\textsf{EM}$-DP 的新型机制，用于回答线性查询和项目级查询。其中，后者的分析涉及对隐私通过洗牌效应的推广，这可能独立具有研究价值。第二，我们提供了一种从通用无界到有界 $d_\textsf{EM}$-DP（数据集大小固定且公开）的黑盒化简方案，采用一种新型基于抽样的机制。第三，我们表明所提出的机制在特定类型的线性查询和频率估计方面，能够以可provable的方式显著优于用户级DP。