健康数据匿名化工具比较研究：以斯洛文尼亚学童心肺健康与通勤模式数据为例

本刊推荐：为解决开放科学中个人数据共享的匿名化难题，研究人员开展了一项针对健康研究数据的匿名化工具比较研究。通过对比ARX、SDV和SynDiffix三种工具在斯洛文尼亚学童心肺健康(CRF)与通勤模式数据集(N=713)上的表现，发现SynDiffix和ARX能较好支持原始研究的科学结论，而SDV存在显著偏差。该研究为开放科学场景下匿名化工具的选择提供了实证依据，对促进数据共享具有重要意义。

　　

在开放科学蓬勃发展的今天，数据共享已成为推动科研进步的重要引擎。然而，当涉及包含个人信息的敏感数据时，研究人员便面临着一个棘手的两难困境：既要遵循FAIR原则（可查找、可访问、可互操作、可重用）促进数据共享，又要严格遵守日益严格且多样的法律框架，保护个人隐私。特别是在医学和公共卫生研究领域，许多极具价值的数据集因包含个人健康信息而无法自由共享，这极大地限制了二次分析和科学验证的机会。

传统的匿名化方法往往需要针对每个数据发布进行单独且耗人工的调整，以在隐私保护和数据效用之间找到平衡。近年来，随着技术的进步，新一代数据匿名化工具不断涌现，包括基于K-匿名性及其变体的经典方法，以及基于人工智能合成数据生成技术的新方法。然而，这些工具在实际科学研究中的表现如何？它们能否在保护隐私的同时，保留原始数据的科学结论？对于非专业人士来说，使用这些工具的难度如何？这些问题仍然缺乏系统的评估。

为了解决这些问题，来自德国马克斯·普朗克软件系统研究所、柏林卫生研究所和卢布尔雅那大学体育学院的研究团队开展了一项创新性研究。他们选择了一项具有挑战性的健康研究作为基准——针对斯洛文尼亚学童心肺健康与通勤模式关联性的研究，系统地评估了三种主流匿名化工具（ARX、SDV和SynDiffix）在实际科研场景中的表现。这项研究最近发表在《Scientific Data》期刊上，为开放科学中的数据共享提供了重要实践指导。

研究人员采用了几种关键技术方法开展本研究。他们选择了斯洛文尼亚全国范围内713名12-15岁学童的伪匿名化数据集，包含心肺健康指标（通过20米往返跑测试估算VO₂max）、通勤模式（步行、车轮工具、公共交通或汽车）和通勤距离等信息。研究比较了三种匿名化工具：ARX使用K-匿名性（K=2）方法，通过聚类和泛化技术保护数据；SDV使用CTGAN（条件表格生成对抗网络）生成合成数据；SynDiffix采用基于回归树的多表方法，结合聚合、抑制和噪声添加机制。评估框架包括数据质量效用分析（比较描述性统计、交叉表、回归系数和预测区间）、隐私风险评估（使用Anonymeter工具测量属性推断风险）和使用负担评估（数据生成和分析的难易程度）。

数据集比较

研究首先比较了三种工具生成的匿名化数据与原始数据在描述性统计方面的差异。结果显示，SDV生成的数据在五个变量中有四个显示出统计学显著差异（p值<0.001），特别是在通勤距离方面存在巨大偏差，表明其合成数据生成存在根本性缺陷。相比之下，ARX和SynDiffix生成的数据在描述性统计方面与原始数据没有显著差异。

通勤模式和距离的再现

在再现通勤模式和距离的交叉表分析中，SynDiffix表现最佳，几乎完美复制了原始数据的计数和百分比，只有一个记录存在偏差。ARX显示了最多18个偏差，而SDV则出现了高达179个不同的通勤模式计数差异，严重高估或低估了主动通勤（步行和车轮工具）的频率。

在通勤距离方面，SDV同样表现不佳，在大多数表格单元格中严重高估或低估了距离数据（包括集中趋势和变异性）。SynDiffix和ARX表现较好，但在一些低频单元格中仍存在较大误差。原始研究中关于主动通勤组（步行、车轮工具）通常住在学校附近的描述在SynDiffix和ARX中得到支持，但在SDV中则不成立。

回归系数统计显著性的再现

在线性回归模型的统计显著性分析中，ARX出现了3个不匹配（原始数据显著而匿名化数据不显著，或反之），SDV出现了8个不匹配，SynDiffix出现了5个不匹配。在预测VO₂max的原始模型中，常数项（截距）、性别和MVPA预测因子以及衍生的Car x Gender交互项在两个通勤方向上都统计显著。这也适用于SynDiffix和ARX模型中的所有参数，除了SynDiffix模型中的一个通勤方向的Car x Gender参数不显著。

值得注意的是，只有SDV方法提供了学校到家庭方向模型中Wheels x Males交互参数的估计。ARX和SynDiffix由于数据点太少而抑制了这些数据作为匿名化的一部分。

学童心肺健康分层的再现

在基图1的绘制中，男性儿童的点预测和预测区间在ARX和SynDiffix中与原始数据非常接近，但与SDV不匹配。女性儿童的原始统计数据与ARX最匹配，其次是SynDiffix，最后是SDV。SDV对男性和女性儿童给出了相似的结果，尽管在原始数据中它们明显分离。SDV在估计预测区间宽度方面也表现最差，尽管原始图中存在明显差异，但两者的区间宽度非常相似。

派生科学见解的比较

研究总结了每种匿名化方法产生与基准论文相同分析结论的能力。对于主要政策结论——应该针对使用被动交通但生活在步行或骑行通勤距离内的学童推广主动交通，ARX和SynDiffix支持这一结论，而SDV则会否定这一结论。

在描述性分析结果方面，ARX和SynDiffix支持所有六个观察结果，而SDV否定了其中四个。在线性回归分析方面，ARX和SynDiffix的表现稍逊，虽然没有任何陈述被否定，但约一半的陈述未得到支持。

隐私风险评估

使用Anonymeter工具进行的隐私风险评估显示，三种方法在所有情况下的风险得分（即使高置信度边界）都远低于0.5的强隐私风险阈值，表明它们都具有强大的隐私属性。

研究的讨论部分指出，本研究的三个工具中，SDV的数据质量较差，导致许多不正确的科学结论。ARX和SynDiffix的数据质量足够好，能提供明确价值。两者生成的数据都支持基准研究的主要结论（不应让 within 步行或骑行通勤距离的儿童使用汽车通勤），且没有得出错误结论。

关于研究人员负担，在数据生成方面，SynDiffix是最容易使用的，由于其简单性和缺乏配置需求。ARX需要专业知识来配置其支持的各种匿名化方法，以及大量配置工作来生成高质量的保护数据表。SDV比ARX更容易使用，因为它提供默认配置和代码模板，但仍需要决定使用哪种SDV工具，并配置数据类型。

在数据分析方面，SynDiffix给分析人员带来了额外负担，因为他们需要理解需要为不同的分析任务生成不同的表格。ARX和SDV都没有这种额外负担：生成的表格可以直接使用。

研究承认了一个主要局限性：它没有真正复制开放科学场景，分析人员具有事后优势，已经熟悉原始数据及其分析，只是复制了已经在原始数据上进行的分析。更现实的研究是将匿名化数据交给不熟悉数据的研究人员，让他们从头开始进行科学研究，然后用原始数据跟踪研究，不仅确定结果是否正确，还确定如果给定原始数据，他们是否会以不同方式进行分析。

另一个局限性是本研究仅基于一个数据集和分析。作为未来工作，在不同数据集上进行额外的科学研究将有价值，理想情况下由分别处理原始数据和匿名化数据的独立团队进行。探索其他匿名化方法或这些方法的不同参数设置也将有价值。

这项研究的重要意义在于它为开放科学中数据匿名化工具的选择提供了实证依据。研究表明，对于小型健康研究数据集，基于K-匿名性的方法（如ARX）和基于回归树的多表方法（如SynDiffix）能够在不牺牲科学结论有效性的前提下保护个人隐私。这不仅促进了敏感研究数据的共享和重用，也为未来开发更加高效和用户友好的匿名化工具指明了方向。随着开放科学的不断发展，这类研究将为平衡数据共享与隐私保护提供重要技术支持，最终推动科学研究的进步和公共卫生政策的制定。