《Frontiers in Sensors》：Privacy-enhancing technologies for next-generation miniaturised biosensors: towards equitable deployment in low- and middle-income countries
编辑推荐：
生物传感器（biosensors）的快速微型化，包括可穿戴健康监测器、即时检验（point-of-care diagnostics）和社区尺度环境传感，已使中低收入国家（Low- and Middle-Income Countries, LMICs）范围内的健
生物传感器（biosensors）的快速微型化，包括可穿戴健康监测器、即时检验（point-of-care diagnostics）和社区尺度环境传感，已使中低收入国家（Low- and Middle-Income Countries, LMICs）范围内的健康数据收集以快速增加且更加分散的规模开展。LMICs中采用规模的上升，归因于这些技术变得更加可行、便携并面向低资源部署。然而，为保护这些数据而开发的隐私增强技术（Privacy-Enhancing Technologies, PETs）是在高收入、高算力情境中设计和验证的。本视角文章认为，若不为LMICs部署下一代微型生物传感器而重新思考PET设计议程，可能加剧现有健康不平等。当前PET实施与LMIC生物传感器部署面临三类结构性错配：安全多方计算（secure multiparty computation, MPC）和同态加密（homomorphic encryption, HE）的计算开销超出低功耗边缘设备的资源包络；当数据集小、不平衡或难以建模时——这些条件在LMIC生物传感器队列中普遍存在——差分隐私（differential privacy, DP）可能不成比例地降低代表性不足人群的模型效用；而在生物传感器推广加速最快的司法辖区，监管—技术转化仍不发达。研究人员提出围绕三项设计原则进行再定向：计算比例性（computational proportionality；使PET选择匹配硬件约束）、公平感知隐私预算（equity-aware privacy budgeting；按人群代表性校准差分隐私参数）和社区数据主权（community data sovereignty；将本地治理架构嵌入联邦生物传感器网络）。研究人员识别出五个优先研究问题，以LMIC视角重新框定该领域的开放挑战。目标并非警示不要部署生物传感器，而是确保隐私保护设计（privacy-by-design）嵌入下一代传感系统，同时考虑资源受限卫生系统中的采用挑战和更广泛数字化转型。
研究背景与问题：LMICs承担全球疾病负担的较大份额，同时受资源和基础设施约束；传染病、孕产妇和新生儿死亡负担持续存在，非传染性疾病（NCDs）长期管理需求快速增长，诊断需求常超过可用能力。社区尺度生物传感可把诊断和监测能力延伸到传统实验室和医院之外。早期部署既显示可行性也显示约束：Garbern et al.在Rwanda对42例疑似脓毒症患者进行可穿戴监测，心率与呼吸率同人工记录高度一致，超过97%数据可用，但约29%患者报告技术或实践困难；Page et al.在Sierra Leone对急性拉沙热住院患者进行连续生理监测，受传感器粘附、蓝牙和蜂窝连接、环境条件及临床流程影响，最终81.3%连续生理数据因质量原因被排除，每台设备约US$170且不含配套Android手机。由此，生物传感器部署可行性不能仅由国民收入分类推断，还取决于传感平台、临床环境、连接与电力基础设施、实施支持，以及卫生系统解释和利用数据的能力。问题在于：微型生物传感器产生连续、高分辨率、生物学上私密的健康信息，数据生成后的治理未获充分关注；现有风险分析多描述高收入监管环境中的潜在风险，而非LMIC部署系统中的实际发生率；PETs在高收入、高算力、代表性良好的数据上设计并基准测试，直接导入LMICs并非标准化技术部署，而涉及资源受限卫生系统的数字化转型、组织能力、监管执行与社区信任。因此，研究人员开展本视角文章，旨在防止部署下一代微型生物传感器时因不重思PET设计议程而加剧健康不平等，结论是需以计算比例性、公平感知隐私预算和社区数据主权再定向PET设计，并识别五个优先研究问题；其意义在于把隐私保护设计嵌入下一代传感系统，以支持公平、可持续和可信的健康传感。
关键技术方法（不超过250字）：作为Perspective文章，研究人员未开展原始实验，主要采用文献综合与批判性概念分析，整合LMIC生物传感器部署证据和PETs证据，构建按隐私保证强度与通信/计算成本映射PET可行性的概念框架，提出三项设计原则和五个优先研究问题。样本队列来源包括Rwanda 42例疑似脓毒症患者可穿戴监测、Sierra Leone急性拉沙热住院患者连续生理监测、城市污水线粒体DNA（mitochondrial DNA, mtDNA）研究及人口普查链接分析；不涉及试剂和培养、质粒构建操作步骤。
研究结果：
2.1 边缘可扩展性上限（The scalability ceiling at the edge）：通过整合MPC/HE计算通信开销、完全同态加密（fully homomorphic encryption, FHE）系统研究和受限可穿戴设备联邦学习（federated learning, FL）实证，得出MPC和HE通常超出低功耗边缘设备资源包络；FL较可行，但受设备异质性、能量约束、通信开销和安全负担限制，隐私、效率与准确性存在三元权衡，需面向受限硬件端设计FL。
2.2 差分隐私的公平悖论（The equity paradox of differential privacy）：通过DP公平性实证和人口普查链接分析，得出DP在小、不平衡、难建模或代表性不足人群中可能不成比例降低模型效用，且ε选择缺乏统一标准；LMIC稀疏数据放大该效应，需按亚组评估隐私预算，但现有研究不直接验证文中提出的公平感知隐私预算方法。
2.3 新数据模态与新社区级风险（New data modalities, new community-level risks）：通过污水mtDNA、环境生物传感网络和监管比较分析，得出社区尺度数据可揭示群体身份、遗传 ancestry、健康状态或疾病负担；k-匿名（k-anonymity）和DP在大群体假设下的充分性需语境评估；GDPR/HIPAA等框架不适用于相关辖区，本地等效法规尚处早期或缺失，且LMICs并非均质法律或基础设施环境。
3.1 计算比例性（Computational proportionality）：通过硬件约束分析，得出PET选择应匹配算力、电力可用性和连接性，倾向轻量噪声注入、量化梯度FL异步聚合和边缘合成数据预训练；可信执行环境（trusted execution environments, TEEs）可折中但仍有侧信道风险，需轻量且硬件无关的缓解措施。
3.2 公平感知隐私预算（Equity-aware privacy budgeting）：通过DP参数选择和群体隐私研究，得出DP参数应按部署人群校准，部署前在人群相关数据评估，小群体采用更保守预算，部署后跨人群评估准确性差异；社区级DP仍需研究。
3.3 社区数据主权（Community data sovereignty）：通过FL、多方可同态加密（multiparty homomorphic encryption, MHE）、合成数据和社区治理文献，得出技术去中心化不等于数据主权，需在设计阶段确定模型控制、聚合输出访问和跨机构共享决定；合成数据非天然隐私保护，需验证成员推断等风险；社区尺度传感挑战个体知情同意，需集体治理和参与式方法。
讨论部分总结：讨论提出五个优先问题，均非全新挑战，而是在LMIC资源受限情境中呈现新维度。4.1 低功耗和间歇连接设备上隐私保护生物传感的计算下限：需系统评估内存、能量、延迟和通信需求，区分技术有效与实际可部署。4.2 如何为小规模和代表性不足人群校准DP而不成比例损害模型性能：需按人群规模和代表性校准，并评估亚组准确性差异。4.3 当生物传感生成社区而非可识别个体信息时如何保护隐私：需形式化群体隐私保证和集体同意治理。5 LMIC卫生系统实施PET赋能生物传感器网络需要何种组织和治理能力：应采用数字化转型视角，考虑本地技术能力、机构治理和长期维护。5.1 隐私架构、数据主权和公众信任如何影响参与：信任影响参与，低参与或系统性不参与会产生不具代表性数据，影响临床有效性和公共卫生价值。
研究结论翻译：微型生物传感器不仅是诊断工具。确实，在社区尺度上它们是健康监测基础设施。在LMIC情境中以定制PETs部署这些下一代系统并非简单技术升级，而是LMIC卫生部的复杂数字旅程。PETs解决方案设计必须考虑资源受限环境的运营现实；因此挑战既是技术性的也是运营性的，需要匹配本地临床能力的解决方案。同样，LMICs中将最受部署影响的人群，正是历史上在健康数据系统如何设计、治理和货币化方面话语权最少的人群。在此情境中，隐私保护设计（privacy-by-design）不是技术上的锦上添花；它是公平、可持续和可信健康传感的前提。微型生物传感器与隐私增强技术的融合是全球数字健康中最具后果的设计机会之一。要在LMICs中做好，需要一项研究议程，既关注敏感性（sensitivity）和特异性（specificity），也同等关注公平和治理。
