点对点联系追踪:隐私保护智能手机应用程序的开发

简介

2019年新型冠状病毒病(COVID-19)全球大流行是一场紧迫的公共卫生危机。根据Ferguson等人进行的流行病学建模[1]，美国和英国在选择公共卫生应对措施方面都面临两难。一方面，这些模型预测了严重的后果，包括高死亡率，如果让病毒在没有任何干预或应对的情况下自行发展。然而，作者得出结论，采取疾病抑制策略后的最佳结果可能需要对日常生活进行重大改变，包括在疫苗可用之前对整个人群保持社交距离。这种干预可能会导致重大的经济损失。Ferguson和同事[1)指出，智能手机联系人追踪应用程序等技术解决方案可能为他们提出的严厉措施提供替代方案。

接触者追踪是通过人群追踪感染潜在传播途径的过程，目的是隔离那些可能接触过的人并减少进一步传播。不同形式的接触者追踪已用于多种疾病，包括结核病、艾滋病毒和埃博拉感染[2，3.］．基于智能手机的接触者追踪是限制疾病传播的可行解决方案;然而，这样的应用程序在隐私方面存在重大问题。

最近发生的事件，如Equifax安全漏洞和剑桥分析公司关于通过Facebook收集数据的争议，突出了对个人数据使用的隐私问题的担忧。这些问题在卫生保健环境中尤其相关[4-6］．现有的接触追踪应用程序通常依赖于收集个人数据，如时间戳位置，以确定接触风险[3.］．位置数据是高度个人化的，上文所述的隐私问题在位置数据方面尤为突出[7］．此外，位置只是接触的一个代理，由于数据中的噪声，基于位置对接触的推断可能并不总是准确的[8］．

隐私和其他目标之间的平衡当然是有争议的，但在接触追踪应用程序的情况下，还有一个额外的问题。正如我们将在本研究中演示的那样，接触追踪应用程序的功效取决于它的采用率。即使是那些可能不会优先考虑隐私的人，也应该担心一款被许多人认为侵犯隐私的联系人追踪应用程序的效果。如果有足够多的人口出于隐私考虑而不参与，这种干预可能对大流行的结果影响有限。

我们提出了一种使用智能手机应用程序追踪联系人而不使用位置数据的新方法。这个应用程序的目标是提供一个有效的联系人跟踪机制，而不损害用户隐私。

方法

追踪可能传播途径的新建议

我们的方法的核心是一个数据结构，我们称之为传输图．传输图由节点组成，节点表示接触点个体之间，和有向边，分别表示传播媒介在接触点之间。每当个体参与一个接触点时，从个体的先前接触点到当前接触点的传播图中添加一个传播向量。因此，传输图是个体之间相互作用的网络。在该图中，每个节点(接触点)代表两个或多个个体在特定时间和地点之间的物理相互作用，在此期间微生物制剂可能从一个个体传播到另一个个体。值得注意的是，图中没有表示个人的实体，位置信息从未在此数据结构中进行编码。传输图的这些属性是其隐私保护性质的基础。

传输图中的每个接触点(节点)可以处于以下两种状态之一:积极的状态或状态未知．状态为阳性的接触点是指有一个或多个参与接触的个人在相互作用时感染呈阳性的接触点。状态未知的接触点仅仅是一个没有被标记为积极状态的接触点;目前尚不清楚是否有参与研究的个体在相互作用时呈疾病阳性。状态为正和状态为未知只是图的内部状态。正如我们将演示的那样，它们不同于将显示给最终用户的实际状态。

利用传输图的简单数据结构，可能的传播途径可以确定任何给定的目标接触点。可能的传输路径定义为从状态正节点到给定目标节点的路径。换句话说，传播路径是一个传播媒介的序列，可以从报告的接触点携带微生物剂。对于任何给定的目标节点，可能有0、1或多个可能的传输路径。中提供了简单传输图的说明图1．

‎ 查看此图

智能手机应用

我们开发了一个概念验证智能手机应用程序，使用传输图数据结构来实现点对点接触跟踪。应用程序代码是开源的，在GitHub上公开可用[9］．

在当前的原型中，用户被分配到两个风险级别之一:标准或较高。如果用户最近有任何可能的传播途径接触点，则认为其风险等级较高，否则为标准风险等级。“近期”是指一段预定的时间，在这段时间内，可能已经接触过病毒的人应该采取额外的预防措施，我们称之为安全期．根据世界卫生组织(世卫组织)推荐的隔离与确诊COVID-19患者有过接触的个人的方案，我们在当前版本的应用程序中将这一时间设置为14天[10］．

可能的传输路径也可以分配最大长度这限制了报告的单一诊断可能会提高其他用户的风险水平的程度。例如，最大长度为1意味着只有与感染者直接接触的个人才会被指定为高风险级别。在当前应用中，传输路径的最大长度被设置为3。

当用户收到并报告诊断结果时，假定感染在诊断之前已经存在了一段时间。应用程序将确定在此时间之前发生的最早接触点，并相应地报告给服务器。假定用户已被感染的时间是另一个参数(诊断的延迟)，可根据数据和专家意见进行调整。根据上述世卫组织议定书，目前设置为2天。

仿真模型

接触者追踪的严格数学模型以前在文献中已经描述过，我们在这里不打算复制它们[11，12］．相反，我们开发了一种低保真的计算机模拟模型，通过个人在时间接触点的相互作用促进疾病传播，允许我们在这里提出的传播图结构的显式建模。有了这种疾病传播模型，我们可以比较有和没有我们所描述的点对点接触追踪的爆发轨迹。这样一个模型，虽然不是为了描述真实世界的轨迹，但允许演示我们提议的可行性，并提供了一个基本的机制来比较各种场景和应用程序参数，例如采用率，应用程序估计的诊断延迟，以及应用程序使用的安全期。该模型是用R (R Foundation for Statistical Computing)编程语言编写的，源代码可在GitHub上公开访问[9］．此外，还为模型提供了一个公共的、基于web的接口[13］．

该模型基于易感、感染和康复流行病学模型，[14，15]在那里，每个人都被认为是一个易受影响，受感染的,或恢复州。然而，与许多模型不同的是，图中的节点是接触点，而不是个人。这种格式明确地捕捉了疾病随时间的传播，并且可以将接触点分层排列，以可视化随时间的传播，类似于中的插图图1．个体可以在每个单位时间移动到一个新的接触点，形成从之前到当前接触点的有向边。个人也可以避免在任何时间点处于接触点，以模拟家庭隔离。

从感染到意识到感染的时间(诊断的延迟)是模型的一个参数。同样，个人也在受感染的州按一段时间传染期模型参数。个人可在同一时间点的同一接触地点相互传播疾病传输速度参数。

当联系人跟踪被启用时，会生成一个单独的图形，其中仅包含使用点对点联系人跟踪应用程序的个人可用的信息。这个图形就是我们描述过的传输图。在模拟开始时，每个人被指定为采用应用程序(参与)或不采用应用程式(弃权)，根据模型参数采用率)．采用该应用程序的个人除了标准行为模式外，还将执行三个附加操作:(1)参与的个人将在全球范围内最早的接触点，将他们的感染诊断记录在传播图上估计诊断延迟(模型参数);(2)这些个体将记录他们所有的接触点和接触点之间的运动到图表上;(3)如果状态为阳性的接触点与最近的接触点之间存在路径，则参与的个体将自我隔离，其中“最近的”定义为条例规定的时间范围内的接触点安全期参数。

因此，我们的模型允许比较使用和不使用接触追踪应用程序的模拟，以及人口中不同的采用率。

结果

智能手机应用

在当前的应用原型中，有三个主要的用户流程:创建接触点(在用户界面中称为“检查点”)、检查风险级别和报告积极状态。中提供了这些用户流的图表图2．

‎ 查看此图

要创建检查点，用户可以托管一个新的检查点，也可以加入一个现有的检查点。检查点的主机将获得一个QR(快速响应)代码，该代码显示在该用户的屏幕上;其他用户可通过扫描二维码进入检查站。创建和加入检查点是应用程序用户的频繁活动;理想情况下，应该为可能发生疾病传播的任何聚集或交互创建一个检查点，所有参与聚集或交互的人都应该加入检查点。因此，不仅为朋友之间的互动设置了检查点，还为餐馆和杂货店等公共场所的聚会设置了检查点。在公共聚集场所，可在入口处提供带有检查站二维码的设备供用户扫描。

在当前的应用程序原型中，用户可以通过打开应用程序来检查自己的风险水平。“暴露”选项卡显示用户的风险水平，表示是否已经识别出任何可能的传播途径。此外，当用户具有较高的风险级别时，在其他选项卡的屏幕顶部显示一个横幅，以突出此信息。该应用程序目前以30秒为间隔实现轮询，以便在应用程序打开时从服务器检索更新的风险级别。该应用程序的未来版本可能会实现推送通知，这样当用户的风险水平上升时就会收到提醒。

要报告诊断，用户可以按下“暴露”选项卡中的按钮。在通知服务器之前，会提示他们确认此操作。应用程序不存储与此操作相关的任何状态更改;这牺牲了良好的可用性设计，但它不保留任何自我报告诊断的记录，从而增强了用户健康数据的安全性和隐私性。

仿真模型

我们的仿真模型在不同的采用水平下所产生的仿真的比较图3．我们的研究结果表明，采用率是此类应用程序可能对疫情范围产生影响的关键。从视觉上看，即使采用25%，与不采用相比，也能在一定程度上抑制感染曲线。然而，在较高的采用水平上，观察到疫情轨迹有了更实质性的改善。

‎ 查看此图

讨论

信息访问

对于我们提出的智能手机应用程序，一个关键的概念是信息的存储和访问。在当前的原型中，如上所述的所有传输图数据都存储在集中管理的服务器上。重要的是，不需要用户注册，也不收集个人信息;因此，服务器上的数据是匿名的。智能手机应用程序的用户只能访问他们自己的检查点，以及是否有任何可能的传输路径到这些检查点。中提供了一个假设的疾病传播场景的说明，以及相应的传播图和服务器和每个用户可用的信息图4．

‎ 查看此图

点对点设计

这款应用的另一个重要特点是它的点对点特性。传统的接触追踪应用程序通常依赖于一个中央实体来监控个人、他们的感染状态和他们的位置[3.，16］．我们的建议不要求或使用这些实体。相反，无论是在创建接触点还是报告诊断方面，个人都依赖于同龄人的共同参与。为了限制通过虚假报告操纵系统，我们引入了一个中央系统，对确诊的用户管理确认码;这个系统将很快被描述。为此目的引入了一个集中系统，因为这样的系统提供了可能确认诊断的唯一机制。尽管如此，只有确认码的生成是集中的。用户交互的网络仍然是点对点和匿名的。

隐私、可用性和用户采用

用户采用是任何接触追踪应用程序成功的关键因素。我们的模拟结果表明，如果参与度不高，感染将继续通过不使用应用程序的人在人群中传播，干预的效果将有限。值得强调的是，在某些国家(如美国)，隐私问题可能是采用的重大障碍[17］．位置跟踪是一种数据收集，可能会让很多人不敢使用应用程序。18]特别是当这些数据由政府机构收集或与政府机构共享时[17］．通过不请求访问位置数据，我们的应用程序避免了这一潜在的障碍。

另一个经常被忽视的进入障碍是用户注册。通过用户注册，我们简单地指创建一个使用基于web的服务的帐户的过程，通常通过提供电子邮件地址和密码。有些人会避免这样做，因为他们担心泄露自己的电子邮件地址或其他个人信息，如姓名或家庭地址。对另一些人来说，这一过程将成为一个障碍，仅仅是因为这一过程带来的不便。19］．无论激励因素是什么，用户注册都可能在决定用户采用方面发挥作用。我们的应用程序缺乏用户注册过程，可以期望提高采用率。

开发时间和复杂性

开发智能手机应用程序的两个方面经常被低估，即开发时间和复杂性。复杂的软件不仅需要更长的开发时间，而且更容易出现故障;一个值得注意的例子是HealthCare.gov网站最初上线失败。20.］．COVID-19大流行是一场对时间敏感的公共卫生危机，任何用于应对这一危机的技术解决方案都需要以一种不仅快速而且稳健的方式开发。我们提出的智能手机应用程序，由于其简单的设计，可以迅速部署而不牺牲健壮性。此外，我们提议的应用程序最好是在政府实体的认可或指导下发布，特别是为了确认诊断，但它不需要其他设计所暗示的那种亲密的数据共享和协调。因此，政府机构的开销将是最小的。

操纵和欺诈

在该应用程序的第一次迭代中，没有任何机制来验证阳性诊断报告。因此，这个系统很容易被操纵。我们通过建立报告机制解决了这一问题确认诊断。为此，我们构建了一个概念验证管理系统，允许授权用户生成确认代码．授权用户可以是处理检测结果或向患者提供检测结果的卫生保健人员或实验室工作人员。这些确认码存储在服务器上的数据库中，授权人员可以以二维码的形式打印出来，发给诊断呈阳性的患者。该应用程序允许用户选择报告确认在这种情况下，用户会被提示扫描打印出来的二维码。二维码数据被发送到服务器，在那里根据数据库检查其有效性，然后标记为已赎回，这样它就不能被重复使用。在服务器的传输图中，关联的状态为阳性的接触点被标记为已确认。

此外，该应用程序的用户现在会得到一个设置，允许他们只依赖于确诊的诊断，在这种情况下，他们的风险水平仅基于确诊确认状态积极的接触点。启用此设置后，用户将免受欺诈性报告的侵害。因此，该应用程序可以在诊断确认的情况下使用，也可以在没有诊断确认的情况下使用，这取决于该应用程序是否在与卫生保健和检测机构协调生成确认代码的环境中使用。

需要注意的是，虽然此功能需要与管理或向患者提供测试的医疗保健机构进行协调，但在生成或存储这些确认代码时不会使用任何患者数据，这一点很重要。这些代码只是随机的字符序列，授权用户永远不会被提示或允许在系统中输入患者数据。因此，用户隐私不会因该特性的添加而受到损害。由于患者信息不是通过这个系统处理的，医疗保健或实验室工作人员可以通过分级特权系统获得自由授权。如果恶意用户进入系统，该用户只能通过报告错误的确诊诊断来操纵应用程序。

限制

我们建议的智能手机应用程序并非没有局限性和担忧。我们所确定的主要关注点与用户采用的主题直接相关。基于位置的流量检测算法的使用可能会为估计用户在接触点的位置提供更可靠的措施，但这种做法会带来许多潜在的隐私问题，一些用户可能会对跟踪他们实时位置的应用程序感到不舒服。特别是这款应用，用户无论何时与其他人聚会，都可以通过扫描二维码创建联络点。理想情况下，这不仅包括私人聚会，还包括在当地企业等公共场所的外出活动。为了方便更多人的接触点，当地企业可以允许顾客在进入时通过扫描二维码加入接触点。然而，随着时间的推移，用户可能会对这种行为感到厌倦，并选择停止或在一开始就被劝阻不参与。在正常情况下，这些障碍可能会让大多数用户望而却步;然而，由于大流行的巨大影响，用户可能会忽视这些不便，而采用其他更具侵入性的位置跟踪措施。

另一个问题是，无法确保确诊的诊断会通过该应用程序报告。尽管提供了匿名功能，但一些用户可能会觉得通过该应用程序报告这些信息不舒服。可以预料的是，由于疏忽或隐私问题，一部分用户不会报告他们确诊的诊断。然而，我们已经通过模拟证明，像我们这样的点对点接触追踪应用程序可以在没有100%参与的情况下有效。因此，只要有相当一部分用户通过应用程序进行了阳性诊断，我们就可以期望系统保持其有效性。

最后，应该指出的是，即使完全参与，个体之间相互作用的传播图也可能无法完全捕捉到所有可能的传播途径。例如，微生物剂可以通过邮寄的信封和包裹等物体的运输传播。此外，微生物可能停留在表面，从而在不同时间处于同一位置的个体之间转移。可以采取措施减轻这些传播途径。首先，物体和表面可以在相互作用之间消毒，以限制超出相互作用的传播。其次，接触点可以保持开放更长时间，以更准确地捕捉可能的传播途径。例如，杂货店可以通过允许顾客在进入时扫描二维码来提供联系点。这个接触点可以从开门时间一直开到关门时间，这样当天所有购物的顾客都可以注册到一个接触点，这反映了这样一个事实:早上被感染的购物者可以将微生物通过表面传播给下午出现的购物者。为了限制微生物从一天传播到另一天，商店可以在一天的关门时间到第二天的开门时间之间彻底消毒表面。

与相关工作比较

大多数联系人追踪和类似的监控应用程序严重依赖于收集私密的个人数据，而不是为了保护隐私而设计的。撰写本文时，美国流行的智能手机应用程序是HEALTHLYNKED COVID-19跟踪器。这个应用程序与我们的有两个基本的不同。首先，它不是一款接触者追踪应用程序。HEALTHLYNKED COVID-19追踪器的核心功能是一张地图，根据自我报告的数据和世卫组织确认的数据，广播COVID-19疑似病例、确诊病例和死亡病例的位置。仅凭这一数据不足以进行接触者追踪，这需要高度特异性地确定在诊断前一段时间内与感染者有过互动的个人。其次，HEALTHLYNKED COVID-19跟踪器要求访问用户位置，这引发了隐私问题。我们的点对点联系人跟踪应用程序能够执行详细的联系人跟踪，同时通过避免请求用户位置等个人数据来保护用户隐私。

据我们所知，之前只有一次尝试开发保护隐私的接触追踪应用程序。PrivateKit: Safe Paths是为了应对COVID-19大流行而开发的，是一种保护隐私的替代更具侵入性的应用程序。PrivateKit: Safe Paths依赖于位置数据，类似于其他联系人追踪应用程序;然而，它为用户数据提供了独特的保护，比如加密位置信息，这些信息只能在自愿的基础上，应政府官员的要求披露。

我们的应用在两个方面与PrivateKit: Safe Paths明显不同。首先，PrivateKit: Safe Paths试图保持用户位置数据的私密性和安全性，而我们的应用程序一开始就不收集这些数据，从而最大限度地降低风险，最大限度地提高用户的信心。其次，一旦报告了阳性诊断，PrivateKit: Safe Paths应用程序目前依赖于政府实体的干预，而我们的应用程序在这个意义上是点对点的，除了验证阳性诊断外，完全可以在没有任何中央实体干预的情况下运行。PrivateKit: Safe Paths和我们的点对点联系人追踪应用都追求类似的目标，但它们在保护隐私的复杂性和方法上有很大的不同。我们的应用程序在用户隐私、简单性和对集中式实体的依赖程度方面具有关键优势，这些因素可以在应对COVID-19大流行等公共卫生紧急情况时发挥关键作用。

最近的另一项进展是苹果发布了官方COVID-19应用程序。该应用程序是与疾病控制和预防中心协调开发的，为用户提供与大流行有关的资源和指导。特别是，它向用户提供了一份关于症状和最近接触情况的问卷，并就如何应对提供了指导，包括建议采取自我隔离和保持社交距离等措施，以及是否建议进行检测。对于iOS用户来说，这样的应用是一种有价值的资源，未来的迭代可能会包含我们在这里提出的应用功能。苹果的COVID-19应用程序还可以提供如何使用点对点接触追踪应用程序的指导。

结论

我们提出了一种新颖的点对点智能手机应用程序，用于联系人追踪，它不使用位置等个人数据，因此保护了用户隐私。我们已经开发了这款应用程序的原型，它是开源的，可以公开获取，同时还开发了一个计算机模拟模型，展示了我们的应用程序影响大流行过程的潜力。这种应用程序可能会应用于COVID-19大流行以及未来的其他情况，以实现极端隔离措施和疾病完全传播之间的中间地带。我们希望我们的提议能启发未来开发基于技术的联系人追踪解决方案，以保护用户隐私。未来的工作可能包括在真实设备上测试我们的应用程序，在真实或人为的大流行背景下，以及在我们的方法基础上进行增强。