《Array》：Decentralized, secure and privacy-preserving sharing of health data: A survey and future directions
编辑推荐：
安全且隐私保护的健康数据共享是现代和未来医疗系统的关键需求。集中式架构由于固有风险（包括缺乏透明性和用户控制有限）常常不足。该综述考察了在电子健康记录（EHRs）和医疗物联网（IoMT）生态快速增长的驱动下，从集中式健康数据平台向去中心化、安全且隐私保护的健康
安全且隐私保护的健康数据共享是现代和未来医疗系统的关键需求。集中式架构由于固有风险（包括缺乏透明性和用户控制有限）常常不足。该综述考察了在电子健康记录（EHRs）和医疗物联网（IoMT）生态快速增长的驱动下，从集中式健康数据平台向去中心化、安全且隐私保护的健康数据共享的持续转变。研究人员将最先进方法分类为数据共享、可审计性和访问控制框架；隐私保护分析与学习框架；以及去中心化身份、同意和凭证管理框架。对每个类别，研究人员深入分析代表性系统，概述其架构、安全机制及其局限性。研究人员分析使能技术，如分布式账本、智能合约、去中心化存储、隐私增强技术（PETs）以及隐私保护分析与学习机制，如何组合以在不集中化原始患者数据的情况下实现机密性和完整性。除比较代表性系统外，该综述识别关键采用障碍，包括计算和通信开销、与遗留基础设施的互操作性、可用性、密钥管理、治理与信任启动，以及符合法规的同意与撤销。论文最后识别开放研究空白，并概述开发可部署去中心化健康数据生态的可操作未来方向。
研究背景：医疗数字化显著增加了电子健康记录（EHRs）、可穿戴设备与医疗物联网（IoMT）所产生和交换的健康数据规模与多样性，跨机构协作需要及时、准确的信息共享。健康数据高度敏感且多维，涉及人口学、纵向病史、行政与财务信息；其安全与伦理使用在数据规模扩大和跨机构共享常态化下更具挑战。通用数据保护条例（GDPR）、健康保险流通与责任法案（HIPAA）、网络与信息安全指令（NIS2）以及欧洲健康数据空间（EHDS）等法规强化了同意管理、数据最小化、问责和可验证访问控制要求，数字主权也日益重要。传统智能医疗部署多依赖集中式架构，但集中式模型将信任与风险集中于单一管理域，易成为高价值攻击目标并形成单点故障，且存在隐私与安全暴露、可扩展性受限、时效性访问受限、互操作性约束和用户控制不足等问题。大规模泄露报告进一步凸显其系统性脆弱性。因此，研究人员开展该综述，以分析去中心化健康数据共享的架构、隐私与安全特征，识别研究挑战、开放问题与未来方向。
关键技术与方法（不超过250字）：该文为综述，采用功能导向分类法，将文献按主导系统功能分为数据共享/可审计性/访问控制、隐私保护分析/学习、去中心化身份/同意/凭证管理三类；比较架构、信任假设、数据放置、身份与访问控制、隐私安全机制和部署限制；分析分布式账本、智能合约、去中心化存储、隐私增强技术（PETs）、联邦学习（FL）与联邦分析（FA）等使能技术的组合；归纳跨领域挑战并提出未来方向。该文未开展实证性能基准比较，未涉及样本队列来源；后量子密码影响不在主要范围。
研究结果：
集中式与去中心化模型：通过比较集中式单仓库流程与去中心化点对点交换、分布式治理和同意驱动访问，原文指出集中式模型便于统一标准和分析但风险集中、单点故障和用户自主性受限；去中心化模型可分散存储、计算或控制，降低单点控制依赖并增强透明性和韧性，但仍面临攻击、可用性、协调复杂性和运营成本，且去中心化并不必然消除信任与治理负担。MyHealth MyData、MiPasa、CommonPass 与欧洲区块链服务基础设施（EBSI）等用例展示了患者控制EHR、公共卫生数据聚合、COVID-19凭证和跨境护理中的多技术组合。
核心使能技术：通过分层综述，原文将技术组织为去中心化信任、身份与访问管理，去中心化存储，隐私增强技术，以及隐私保护分析与模型训练。分布式账本技术（DLTs）与区块链提供防篡改记录和审计性，但不可变性与GDPR删除权存在张力，链上元数据仍可泄露信息；智能合约可自动化访问控制和审计；自我主权身份（SSI）、去中心化标识符（DIDs）和可验证凭证（VCs）支持用户中心身份、选择性披露和同意导向共享，但依赖钱包安全、撤销、发行者治理和跨域信任。IPFS和Solid Pods等去中心化存储可降低链上存储压力，但存在可用性、删除和与遗留系统互操作问题。同态加密（HE）、零知识证明（ZKPs）、安全多方计算（SMPC）、差分隐私（DP）和可信执行环境（TEE）分别提供加密计算、最小披露验证、联合计算、输出隐私和硬件隔离执行，但均有开销或信任假设。联邦学习（FL）与联邦分析（FA）支持数据本地化协作，但FL本身不提供形式隐私保证，需与DP、安全聚合和密码保护结合。
数据共享、可审计性与访问控制框架：通过比较代表性框架，原文指出区块链赋能系统可增强透明性、可审计性和访问控制，常结合属性基加密（ABE）、代理重加密（PRE）、零知识证明、IPFS和TEE等；但其共同局限包括缺乏动态同意与访问撤销、中心化信任锚残留、可扩展性和计算开销、链下存储删除困难以及多机制叠加带来的集成风险。
隐私保护分析与学习框架：通过综述FA与区块链辅助FL框架，原文指出FA可在不集中原始数据下进行统计分析和因果推断，常结合DP、SMPC和HE；FL支持多机构协同训练并保持数据本地性，混合区块链FL可增强审计和协调。但原文强调这些方法存在隐私-效用权衡、异构数据统计有效性、隐私预算治理、通信开销、投毒与女巫攻击、模型泄露、患者同意不足和可扩展性评估不足等问题。
去中心化身份、同意与凭证管理框架：通过比较SSI/DID/VC框架，原文指出此类方法可强化患者自主权、选择性披露、凭证验证和同意治理，并可与个人数据存储、数字钱包、智能合约和零知识证明结合。但其局限包括残余中心化组件、与遗留EHR和EHDS等法规对齐不足、凭证撤销与状态检查、钱包恢复与紧急访问、跨域发行者信任、治理复杂性和大规模可扩展性未充分验证。
研究挑战与开放问题：通过归纳跨领域问题，原文指出加密载荷并不消除元数据泄露和链接风险；动态同意、撤销和策略演化在规模化下困难；密钥生命周期与信任锚治理复杂；与遗留EHR及跨域语义互操作困难；真实临床负载下的性能、可扩展性和成本仍待验证。类别特定问题包括可审计性与不可变日志的隐私张力、链下存储可用性与删除、组件复杂累积、FA/FL中的异质性与统计有效性、隐私预算和下游泄露、学习循环中的投毒/女巫/合谋，以及患者管理身份可用性、凭证生命周期和跨域监管对齐。
未来方向：通过开放问题分析，原文提出选择性可审计性、将动态同意与策略演化作为一等系统原语、可验证且低摩擦的撤销生命周期原语，以及经验证、稳健和高效的隐私保护分析学习协议栈；并强调标准化评估方法、威胁模型检查表和异质性感知有效性测试。
讨论与结论：原文讨论强调，去中心化往往转移而非消除信任和运营负担：机密性风险从存储转向元数据暴露，治理从机构转向密钥与凭证生命周期，可扩展性约束从单服务器转向多参与方编排。作者 Noshaba Naeem 与 Mohsen Toorani 在结论中翻译如下：该文提供了关于去中心化、安全且隐私保护的健康数据共享框架的全面概述，针对集中式医疗系统在法规和可扩展性要求下的局限。通过将现有解决方案分类为数据共享、可审计性和访问控制框架；隐私保护分析和学习框架；以及去中心化身份、同意和凭证管理框架，文章强调了其架构设计、密码学基础和安全与性能权衡。分析表明，区块链赋能系统增强透明性和可审计性；面向分析的框架在不暴露原始数据的情况下支持协作洞见生成；基于SSI/DID的身份方法加强以患者为中心的控制和同意管理，但没有任何单一范式完全满足真实医疗环境中互操作性、可扩展性、法规合规性和可用性的综合需求。仍存在若干挑战，包括先进密码技术带来的计算和通信开销、与遗留医疗系统的互操作性差距、跨司法辖区的碎片化治理，以及去中心化身份和密钥管理中的可用性障碍。该综述优先进行架构和密码分析，而未系统比较所有综述框架的实证性能基准，因为许多被综述研究报告不可比较或不可复现。此外，后量子密码的快速演变及其对去中心化健康数据共享方案长期安全的影响不在本综述主要范围内，是后续工作的重要方向。未来技术研究应关注将SSI与隐私保护分析、可扩展密码执行和与医疗数据标准一致的标准化互操作性层集成的混合架构。解决这些挑战对于实现韧性和伦理基础的去中心化医疗数据生态至关重要。
