基于云端的医疗数据安全存储与隐私保护计算协同框架

《Kuwait Journal of Science》：A cloud-based collaborative framework for secure medical data storage and privacy-preserving computation

　　

摘要专业翻译 安全的云存储可保护敏感的医疗记录免受未经授权的访问。云端密钥管理与基于角色的访问控制（Role-Based Access Control，RBAC）可确保医疗记录的安全。机密虚拟机（Confidential Virtual Machines，Confidential VMs）可在安全的云端计算过程中保护数据。审计日志（Audit Logging）与版本化存储（Versioned Storage）可加强可追溯性与数据恢复能力。该框架实现了可扩展的隐私保护医疗数据处理。

论文解读文章

一、研究背景与问题提出

随着云计算技术在医疗机构中的快速普及，医疗行业正经历从传统纸质记录向电子健康记录（Electronic Health Records，EHR）系统和云医疗服务的历史性转变。这一转变显著提升了医疗服务的可及性、远程监控能力、医疗协作效率以及医疗领域的数据管理效能。然而，医疗数据的高度敏感性使得其在云端存储和处理过程中面临严峻的安全挑战，医疗云安全由此成为多学科交叉的重要研究领域。

尽管已有大量研究致力于通过加密算法、访问控制方法、安全云基础设施和隐私保护计算等手段保障医疗数据安全，但现有方案普遍存在若干关键缺陷。第一，现有框架往往将加密、访问控制和隐私保护机制独立部署，导致安全管理碎片化，缺乏统一协调的安全架构。第二，加密密钥的安全管理支持有限，密钥的生成、存储、轮换和使用缺乏集中化、受控的管理机制。第三，医疗数据在云端计算过程中的保护措施不足，明文数据在计算阶段面临暴露风险。第四，云端操作的监控和可追溯性有限，难以满足审计和问责需求。第五，现有框架在大规模医疗数据管理方面的可扩展性不足。

针对上述问题，本研究旨在构建一个集成的云端协同框架，通过AES-256加密、谷歌云密钥管理服务（Google Cloud Key Management Service，Google Cloud KMS）、基于身份和访问管理（Identity and Access Management，IAM）的角色访问控制、机密虚拟机（Confidential VMs）、审计日志和版本化存储等安全组件的协同运作，实现医疗数据全生命周期的安全存储与隐私保护计算。

二、研究内容与核心贡献

研究人员提出了一种基于云端的协同框架，用于医疗数据的安全存储与隐私保护计算。该框架的独特之处在于将安全密钥管理、基于角色的访问控制、日志记录、机密虚拟机和安全重加密等安全功能整合于统一模型之中，并采用AES-256加密算法与谷歌云安全服务相结合的技术路线。

研究的主要贡献包括：描述了一种基于云端的协同系统，能够实现中国心脏病发作风险数据集的安全存储和隐私保护计算；实现了一套系统化的工作流程，涵盖数据收集、数据准备与去标识化、AES-256加密与密钥管理、云端存储、机密虚拟机中的隐私保护计算、重加密过程以及客户端访问控制；构建了融合AES-256加密、谷歌云存储（Google Cloud Storage，GCS）、谷歌云KMS、谷歌云IAM、机密虚拟机、审计日志、最小-最大归一化和密钥轮换等先进技术的安全体系；并基于加密能力、延迟、吞吐量、数据完整性、处理时间、存储容量、密钥管理有效性和资源利用效率等性能参数对框架进行了评估。

三、关键技术方法概述

研究人员采用了多项关键技术方法构建安全框架。数据预处理阶段采用均值插补（Mean Imputation）处理缺失值，Z-score方法检测并移除异常值，标签编码（Label Encoding）转换分类属性，最小-最大归一化（Min-Max Normalization）将数值特征缩放到统一范围，并采用k-匿名（k-Anonymity，k=5）技术实现数据去标识化。加密阶段采用AES-256-GCM（Galois/Counter Mode）认证加密算法，密钥由谷歌云KMS集中管理并支持定期轮换。云端架构整合了谷歌云存储（GCS）用于加密数据存储、谷歌云IAM实施基于角色的访问控制、机密虚拟机提供基于硬件支持的可信执行环境（Trusted Execution Environment，TEE）用于隐私保护计算，以及云审计日志（Cloud Audit Logging）实现操作监控与追溯。数据来源为中国心脏病发作风险数据集（heart_attack_china.csv），包含239,266条记录和28个特征列。

四、研究结果

数据预处理结果： 通过均值插补处理缺失值后，数据完整性比率从97.91%提升至100%，加密时间从0.79秒降至0.74秒，吞吐量从8,912条/秒提升至9,846条/秒。Z-score异常值移除（|Z|>3.0）共识别并移除了7,223条记录（占3.02%），在保持数据整体统计特征的同时排除了极端观测值。

AES-256加密模块： 采用AES-256-GCM模式，256位密钥长度，128位块大小，128位认证标签，96位随机初始化向量（IV），使用PyCryptodome v3.11加密库，密钥由谷歌云KMS管理，计算在基于AMD SEV的机密虚拟机TEE环境中执行，实现了机密性、完整性、认证性和防重放攻击等安全属性。

云端安全存储与访问控制： 加密医疗数据上传至GCS存储桶，通过IAM实施基于角色的访问控制策略，遵循最小权限原则。云审计日志记录所有存储活动，SHA-256哈希算法用于数据完整性验证。

隐私保护计算： 加密数据在机密虚拟机中通过KMS授权的密钥解密，硬件支持的TEE确保明文数据和中间计算结果免受主机操作系统、虚拟机监控器和未授权特权软件的访问。

安全重加密与版本化存储： 处理后的数据经AES-256再次加密后存储至GCS，启用对象版本化功能以保留历史版本，支持数据回滚和完整性维护。

威胁模型与安全验证： 针对内部特权滥用、未授权访问、数据篡改、密钥泄露和内存/虚拟机监控器攻击等威胁场景，分别通过IAM RBAC与审计日志、IAM认证与AES-256加密、SHA-256完整性验证、谷歌云KMS和机密虚拟机TEE等机制进行防护。

五、讨论与结论

该框架通过多层纵深防御模式协同运作多种安全技术，有效应对医疗数据生命周期中的各类攻击向量。AES-256-GCM认证加密配合每次加密操作使用唯一IV和认证标签，防止了密文重用和重放攻击。谷歌云IAM最小权限RBAC与审计日志限制了内部特权滥用，SHA-256完整性验证在数据处理前检测未授权更改，机密虚拟机提供硬件级隔离保护计算过程中的明文数据。

研究结论表明，该框架实现了AES-256加密、谷歌云KMS、IAM、机密虚拟机、审计日志和版本化云存储的集成统一安全架构，为协作式医疗数据管理提供了增强的机密性、安全密钥管理、认证访问、可信计算和可审计性。该框架适用于医院信息系统中的受保护患者记录管理、临床研究中敏感数据集的协作分析、远程医疗中的安全医疗信息传输以及医疗分析服务中的受保护云端计算等应用场景。