6.6.2 差分隐私保护模型