GDP / f-DP / FPR–FNR トレードオフ:（ε,δ）から μ への橋渡し

(ε,δ)-DP → ρ-zCDP → μ-GDP と FPR-FNR トレードオフ関数

GDP / f-DP / FPR–FNR トレードオフ:（ε,δ）から μ への橋渡し

技術解説ページ（モードA）。本ページは REPORT.md §2.1・§2.5 から参照される補助資料である。図ラベルは英語、本文は日本語。数式は最小限に留め、直感を優先する。事実は出典タグ [n]（本ページ末尾の対応表参照）、筆者の補足解釈は 🔎 で示す。

1. なぜ単一の (ε,δ) でなく「曲線」で見るのか

差分プライバシー（DP）は本来、機構の出力が任意の 1 レコードの有無に対して区別しにくいことを保証する[G2]。この「区別しにくさ」は、本質的には仮説検定の難しさである。「対象レコードが入っていたか（in）／いなかったか（out）」を当てる検定をどれだけ失敗させられるか、という問いに帰着する。

検定の性能は 1 つの数では表せない。偽陽性率 FPR（α） と 偽陰性率 FNR（β） の間にはトレードオフがあり、片方を下げれば他方が上がる。単一の (ε,δ) 値はこのトレードオフ曲線の「一点」あるいは粗い包絡しか与えず、不完全または誤解を招く結論につながりうる[G7]。そこで本手法は、プライバシーを FPR–FNR トレードオフ曲線全体として測る[G1]。

🔎 直感: 監査とは「実装に対する最良の攻撃」を試み、その攻撃の (FPR, FNR) が理論上どこまで良くなりうるかの境界に届くかを見る作業である。境界に届くほど監査は tight（緩みがない）。

2. DP の 3 つの見方と相互関係

本手法が同じ曲線上に並べる DP 概念は 3 つである[G1]:

2.1 (ε,δ)-DP（近似 DP）

任意の隣接データセット x, x' と任意の出力集合 S について、Pr[M(x)∈S] ≤ e^ε · Pr[M(x')∈S] + δ を満たす[G2]。失敗確率 δ を許して純粋 DP を緩めたもの。最も広く使われる「報告用」パラメータ。

2.2 ρ-zCDP（zero-Concentrated DP）

Rényi ダイバージェンス D_α でプライバシーを特徴づけ、ガウス機構の合成を tight に解析できる[G3]。ρ-zCDP ⇒ 任意の δ>0 で (ρ + 2√(ρ log(1/δ)), δ)-DP という変換を持つ[G3]。MST/AIM は内部で入力 (ε,δ) を Canonne ら [G20] の変換で ρ-zCDP に直し、その ρ を予算として消費する[G1]。

2.3 μ-GDP（Gaussian Differential Privacy）

仮説検定（f-DP）の視点に立ち、機構のトレードオフ関数をガウス曲線で下から押さえる[G19]。単一パラメータ μ が「平均が μ だけ離れた 2 つの標準正規分布をどれだけ見分けにくいか」を表す。μ が小さいほど強いプライバシー（見分けにくい）。

これら 3 つの関係（本手法が依拠する定理）: - zCDP → DP: ρ-zCDP なら任意の δ で (ρ + 2√(ρ log(1/δ)), δ)-DP[G3]。 - zCDP → GDP: ガウス機構（またはその合成）が ρ-zCDP なら、μ = √(2ρ) で μ-GDP[G19]。 - GDP → DP: μ-GDP であることは、すべての ε≥0 について (ε, δ(ε))-DP であることと同値[G19]。

🔎 要点: MST/AIM は「ガウス機構のみ」を使う制限構成では、内部の ρ から μ = √(2ρ) が直接定まる。これを本手法は理論目標 implied μ と呼ぶ[G1]。

3. トレードオフ関数 T と G_μ、そして Neyman-Pearson

2 つの分布 P, Q（ここでは M(x) と M(x')）に対し、トレードオフ関数 T(P,Q)(α) は「FPR を α 以下に抑えたときに達成可能な最小の FNR」を返す[G19]。Neyman–Pearson の補題により、この最小値は尤度比検定で達成される[G19]。

μ-GDP の基準曲線は、標準正規 N(0,1) と平均ずれ N(μ,1) のトレードオフ関数

G_μ = T( N(0,1), N(μ,1) )

であり[G19]、機構 M が μ-GDP とは「すべての隣接 x,x' で T(M(x),M(x'))(α) ≥ G_μ(α)（曲線が G_μ より上）」を意味する[G19]。

任意の MIA は必ず FPR + FNR ≥ 1 − （達成可能な最大 advantage） の制約、より基本的には α ≤ β 型の関係に縛られる。重要なのは、どんな攻撃も理論トレードオフ境界を超えられない点である[G19]。監査はこの境界に経験的に「どこまで近づけるか」を測る。

3.1 経験的 (FPR, FNR) から μ への点推定

攻撃分類器の test 上の (FPR, FNR) から、GDP のトレードオフ曲線を逆に解いて点推定

μ̂ = Φ⁻¹(1 − FPR) − Φ⁻¹(FNR)

を得る（Φ は標準正規 CDF）[G_code]。これは「観測された検定性能を G_μ に当てはめたときの μ」に相当する。

4. (ε,δ) ↔ μ の変換（2 つの経路）

本手法の図では、同じ (ε,δ)=(1,10⁻²) を μ に直す経路が 2 つ現れ、値が一致しないことが重要なポイントである[G1]:

  1. accounting path（内部経路, implied μ）: (ε,δ) → ρ-zCDP（Canonne 変換[G20]）→ μ=√(2ρ)。これが MST/AIM が実際に消費する予算に対応する。μ ≈ 0.45[G1]。
  2. 直接変換（direct）: (ε,δ) を GDP→DP の関係式
δ(ε,μ) = Φ(−ε/μ + μ/2) − e^ε · Φ(−ε/μ − μ/2)

を μ について数値的に逆解き（例: brentq）して得る[G_code][G19]。こちらはより大きい μ（弱いプライバシー）を与える[G1]。

両者の差は、中間の zCDP ステップで使う (ε,δ)→ρ 変換が数値安定だが保守的[G20]であることに由来する。結果として内部経路は同じ入力 (ε,δ) に対しわずかに強いプライバシー（小さい μ）を強制し、同じ予算での有用性をいくらか犠牲にしうる[G1]。

🔎 監査上の含意: 経験的曲線が どちらの理論線に一致するかが診断になる。本手法では経験的曲線が accounting path（implied μ）の側に沿う、すなわち実装が自身のプライバシー解析と整合（tight）していることが主結果である[G1]。

5. まとめ（このページの主張）

出典対応表（本ページ）

本ページの出典タグ（[G1] など）はこの表の各項目へリンクする。末尾の「REPORT の [Rn]」は本体レポートの References の対応番号。