基于关系替换的儿童保护接报记录去标识化方法（DI-REBAR）

《Frontiers in Digital Health》：De-identification of child protection intake reports using relationship-based replacement (DI-REBAR)

　　

背景： 儿童保护接触记录以儿童保护接报报告的形式被记录，详细描述了疑似面临伤害风险的儿童、通知人的担忧、涉嫌责任人以及其他细节。由于这些叙述性报告基于文本且包含极其敏感的内容，因此尚未用于统计报告和研究目的。将情境化去标识化方法应用于儿童保护叙事，为外部研究人员进行大规模自动化分析提供了可能性，同时保留了数据隐私和关系含义。 数据： 本研究使用了南澳大利亚州儿童保护部随机选取的10,000份接报报告。从中随机抽取并人工审核标注了共300份（200份开发集，100份评估集）。 方法： 研究人员设计并实现了一个名为“基于关系替换的去标识化”（De-Identification via Relationship-Based Replacement, DI-REBAR）的情境保留去标识化流程，应用于10,000份报告，同时保留了所提及个体之间的已知关系。共选择了七种间接标识符（日期、时间、学校、早教中心、医院、监狱、敏感参考编号）和三种直接标识符（姓名、地址、电话号码）进行去标识化。研究人员临时创建了一个关系表，用于映射个体及其与目标儿童的关系，并对直接标识符进行了替换。间接标识符则通过列表替换和正则表达式进行替换。 结果： DI-REBAR评估结果显示，在十个标识符类别中（监狱除外），九个类别的宏观精确率（macro precision）大于0.98，召回率（recall）大于0.88，F1分数（F1-Score）大于0.92。每个标识符的精确率范围为0.74至1.00，召回率范围为0.61至1.00，F1分数范围为0.66至1.00。地址、电话号码和日期在精确率、召回率和F1分数方面表现最佳（均大于0.98）。 结论： 这是澳大利亚首个在保留关系信息的同时自动对敏感儿童保护数据进行去标识化的研究，使得外部研究人员能够在数据保管人控制的环境中进行大规模文本分析。该方法可应用于其他依赖非结构化数据的领域，如法院文件和警方报告。然而，仍需人工审查以确保不泄露可识别信息。

论文解读文章

一、研究背景与问题

世界卫生组织（World Health Organization, WHO）估计，全球2至17岁儿童中有超过50%（约10亿）曾经历过某种形式的虐待。在澳大利亚，16至24岁的年轻人中有40.2%报告遭受过多种类型的虐待或忽视。南澳大利亚州的出生队列数据显示，到10岁时，每三名儿童中就有一名曾被报告至儿童保护机构。南澳大利亚州儿童保护部（Department for Child Protection, DCP）每年平均处理约87,000起涉及疑似儿童虐待和安全问题的通知，并以非结构化的叙事性文本——即儿童接报报告——的形式记录每起通知的详细信息。尽管这些报告包含了丰富的背景和关系信息（如家庭互动和动态关系），对于理解儿童保护问题至关重要，但由于其高度敏感性及纯文本形式，这些数据一直未能被用于统计报告和研究目的。现有的隐私法规（如澳大利亚《1988年隐私法》等）要求在共享和分析敏感数据前必须进行去标识化处理。传统的人工编辑方式对于海量文档而言不切实际，而现有的去标识化方法（如匿名化、假名化或涂黑）虽然能保护识别信息，但无法保留叙述性数据中的关系和方向性语境，从而限制了其在分析中的可用性。因此，亟需一种能够将敏感叙事转化为保留语境的去标识化数据管道，以便用于计算文本分析。

二、研究方法与关键技术

研究人员从南澳大利亚州DCP获取了10,000份随机选取的家庭内儿童保护接报报告（2022年7月1日至2024年6月30日期间，涉及非土著儿童）。数据在南澳DCP办公室内的离线笔记本电脑上进行本地访问和处理，所有操作均在Python环境中完成，未使用云服务或第三方平台。从10,000份报告中随机抽取300份（200份开发集，100份评估集）进行人工标注和评估。研究采用的主要技术方法包括：

1. 1.
   基于正则表达式（Regular Expression, Regex）的模式匹配：用于从PDF转换后的JSON格式文本中识别各类标识符，如姓名、地址、电话号码、日期和时间格式等。
2. 2.
   基于关系的替换（Relationship-Based Replacement）：利用报告中“家庭网络”和“涉嫌施害者”等结构化部分的个人信息及其与目标儿童的关系，创建一个临时的关系表。该表将不同名称变体映射到同一人物，并将其替换为描述其角色的标签（例如，将“John Doe”替换为“[父亲/涉嫌施害者]”）。
3. 3.
   基于列表的替换（List-Based Replacement）：针对学校、早教中心、医院和监狱等间接标识符，研究人员使用来自政府官方网站的官方注册名单进行匹配，并将匹配到的实体替换为其所属类别标签（例如，将“示例高中”替换为“[学校]”）。
4. 4.
   基线日期偏移（Baseline Date Offset）：将所有日期相对于报告的基准日期进行偏移替换（例如，将具体日期替换为“[报告日]”或“[报告日+2]”），以保留时间顺序上下文。

三、研究结果

3.1 总体性能

在100份评估集上，DI-REBAR在九个标识符类别（监狱除外）上表现出良好的宏观性能：宏观精确率（macro precision）大于0.98，宏观召回率（macro recall）大于0.88，宏观F1分数（macro F1-Score）大于0.92。各标识符的具体性能范围如下：精确率为0.74至1.00，召回率为0.61至1.00，F1分数为0.66至1.00。

3.2 直接标识符（姓名、地址、电话号码）

姓名、地址和电话号码作为具有最高再识别风险的直接标识符，在评估集中表现出持续的高召回率（0.92至1.00），表明风险缓解措施有效。姓名的F1分数为0.96，地址和电话号码的F1分数均为1.00。

3.3 间接标识符（日期、时间、学校、早教中心、医院、敏感参考编号）

日期和时间的F1分数分别为1.00和0.97。学校的F1分数为0.91。敏感参考编号的F1分数为0.98。早教中心和医院的F1分数相对较低，分别为0.76和0.77，这主要归因于它们在报告中出现的频率低且句法变异较大，导致召回率偏低（分别为0.61和0.62）。

3.4 错误分析

研究人员发现，误报（false positives）比漏报（false negatives）更可接受，因为过度掩码不会增加再识别风险。姓名错误主要源于非标准命名结构（如同名同姓）、昵称、拼写错误以及未出现在结构化数据中的姓名。地址和电话号码的错误极少。日期和时间的错误主要是不完整或非标准格式。早教中心、学校和医院的错误主要源于报告作者使用了与官方名单不同的名称、缩写或拼写错误。

四、讨论与结论

讨论总结：

研究人员指出，基于正则表达式的方法结合结构化数据，实现了可解释、可复现且计算高效的去标识化流程。与机器学习或大型语言模型相比，这种方法避免了“黑箱”问题和潜在的隐私风险。关系型替换确保了事件中的人物角色得以保留，这对于区分家庭暴力和儿童虐待等语义相似但性质不同的事件至关重要。研究的局限性包括：对预定义句法模式的依赖可能导致无法识别拼写错误和非标准表述；未进行正式的再识别风险评估（如k-匿名性）；评估样本量有限，尤其对于低频标识符；以及单一人工标注可能引入偏差。此外，该方法依赖于文档中存在结构化的人员关系信息，这在其他类型的文档中可能不适用。未来研究方向包括：改进数据录入阶段的结构化字段（如添加昵称字段），探索本地部署的大语言模型以提高识别灵活性，以及在可行的情况下引入独立评估者。

研究结论：

研究人员开发了一种新颖的情境感知去标识化算法（DI-REBAR），该算法基于300份随机选取的儿童保护接报报告进行开发，并成功应用于10,000份报告，使其能够在受控环境下供外部研究人员进行大规模计算文本分析。尽管仍需要人工验证以确保所有潜在的可识别信息已被移除，但本研究证明了在极端敏感的儿童保护数据上实施情境保留去标识化方法的可行性。通过结合基于关系的替换、基于列表的替换和高级正则表达式，该方法在去除直接和间接标识符的同时，保留了未来文本分析所需的叙事结构。研究结果表明，半自动化的、情境感知的去标识化管道能够促进对敏感儿童保护接报报告进行符合伦理的研究，而这些报告原本将无法访问或缺乏上下文信息。该方法的核心概念可适用于类似的数据，如法院文件和警方报告，前提是这些文档遵循相同的结构化关系信息格式。