社交网络、智能手机、可穿戴设备和物联网(IoT)设备的出现，为大规模收集有关行为、生物和健康的个人数据提供了前所未有的途径。当考虑如何保护个人隐私时，这些技术的无处不在带来了新的挑战，有意无意地泄露敏感和可识别信息的可能性也在增加。

皮尤研究中心最近的一份报告发现，物理位置数据是最敏感的数据类型之一。 1];然而，超过1000个流行的智能手机应用程序跟踪精确的位置数据，其中一些将这些数据出售给第三方，用于定向广告或分析。 2］．授权应用程序收集位置数据的提示很少反映数据将如何使用，具体细节隐藏在应用程序的隐私政策中。尽管定位公司声称，收集的数据是用来分析总体模式，而不是个人身份，但员工和客户仍然可以访问原始数据，并可以在未经用户同意的情况下识别用户。主要的电信运营商出售用户的位置数据，记者们已经证明，这些数据可以转售给下游的一长串公司。这一数据生态系统缺乏监管，导致出现了销售用户位置数据的黑市[ 3.］．

一旦第三方收集用户数据，很难保证数据不被滥用或不当处理。2013年至2014年期间，剑桥分析公司为学术研究收集了Facebook用户的社交媒体数据，但后来将这些数据用于政治广告[ 4］．在过去10年里，重大数据泄露事件暴露了数十亿用户账户[ 5］．还有几例恶意应用程序在未经用户同意的情况下直接暴露私人信息[ 6］．监管措施，包括《一般资料保护规例》下的"被遗忘权"指示，旨在遏止这种趋势，以保护用户私隐[ 7］．

这些问题给生物医学研究人员的研究带来了困难，否则他们将受益于便捷、被动和纵向的数据收集方法，以识别新的生物标志物和开发数字疗法。需要一种开放和可信的方法与不可信的第三方共享数据，以确保(1)后继隐私，即个人数据不会在个人同意的研究之外共享;(2)数据仅用于研究的预定目的。

在本文中，我们回顾了个人数据隐私保护技术的现状，其动机是一个在医疗保健领域应用的位置共享用例。我们沿着几个轴比较了隐私保护技术，包括研究团队中所需的信任水平、技术的可泛化性和开放源码工具支持的可用性。我们的目的是提供一个实用的路线图，以帮助研究人员对敏感个人数据的利用和处理做出明智的决定。我们为位置共享示例用例提供了一个参考软件实现，使用了一种隐私保护技术。

智能手机的使用，特别是地理位置数据，对于一些医疗保健应用来说是非常重要的。位置数据已经被用于健康领域的各种应用，例如，监测行为和环境风险因素[ 8， 9]，以改善疾病管理和提供治疗[ 10]，并就药物滥用方面的公共卫生政策提供信息[ 11］．在一个代表性的例子中，研究人员发现，从全球定位系统(GPS;运动和地点)和手机使用(社会连接)与抑郁症的症状严重程度密切相关。智能手机工具的可用性为持续被动的评估提供了一个载体，有一天可能增强临床精神药理学目前的数据收集方法[ 12］．然而，需要强调的是，尽管地理位置数据对医疗保健研究很有价值，但它也是最基本敏感的个人信息之一。

特征工程是将原始数据转换为适合机器学习算法的表示的过程。例如，假设您正在构建一个系统，以预测在一个主要大都市地区的两个地点之间的驾驶时间。你得到的数据包含日期，一天的时间，以及前一年在两个地点之间的驾驶时间。原始日期数据(YYYY-MM-DD)不太可能对预测驾驶时间有用，但知道这一天是工作日还是周末可能非常有用。机器学习科学家可能会编写代码，如果日期是工作日返回true，如果是周末返回false。新设计的布尔特性， 工作日，编码了重要的领域知识——工作日和周末的交通模式不同——这可能提高机器学习模型预测的准确性。

从历史上看，特征工程一直是一个手工过程，基于机器学习科学家的经验和领域专业知识[ 13］．最近，从数据中自动学习特征表示的自动化系统，如稀疏编码和自动编码器，已经证明了作为深度学习模型基础的良好性能。在这里，我们描述了一个保护可识别数据隐私的特征工程框架，它适用于手动或自动的特征工程过程。

我们的方法是基于最小接触的前提;参与者应该只透露研究所需的最小数据，研究人员应该只收集研究所需的数据。分析管道的特征工程步骤提供了一个机会，通过将可识别的、敏感的或其他私有数据转换为可识别的或匿名的特征来限制暴露。这种特性工程的最小暴露方法创建了一个对参与者和研究人员都有利的框架。通过让研究人员公开难以获得原始的个人数据，参与者可能更愿意分享他们的数据，并为研究研究做出贡献。与此同时，取消对研究人员数据的访问可以减少用于维护安全数据服务器的资源，并限制个人识别信息的暴露，从而简化和加快研究工作。在 图1，我们说明了将原始数据和特征提取封装在一个安全的环境中的方法，从主要对底层特征感兴趣的研究人员那里移除了。

在2018年6个月的时间里，卫生保健部门区块链项目的规模扩大了两倍，有近150个项目筹集了6.6亿美元以上[ 14］．医疗保健和生物医学区块链最常见的功能是数据和数字资产的管理(38%)，其中包括身份管理、患者数据、卫生系统运行数据等[ 14］．这表明，区块链技术的一个更受欢迎的应用是围绕这样一种想法展开的:个人可能希望控制自己的数据，以此感觉自己的隐私和数据得到了更安全的保护。

区块链由独立计算机(节点)组成的分布式网络组成，这些计算机维护使用加密协议验证的不可变交易记录。区块链网络进一步被定义为公共网络、私有网络或联盟网络，具体取决于谁可以参与网络以及交易的验证方式。在公共区块链中，交易是经过验证的，并且是全球状态的 真理(分布式账本)由一个 不可靠的网络。一个 不可靠的网络是指具有共识协议的去中心化网络。共识协议通过公钥密码学、博弈论和加密经济学(数字货币)激励机制以及计算复杂性整合了发送方的真实性，以确保诚实的节点得到奖励，而不诚实的节点受到惩罚，以保持规范的真理。通过使每个交易都可审计和无许可，公共区块链确保了数据完整性、信任和可验证性。

区块链技术的进步支持部署基于规则的、自执行的软件代码，称为智能合约。智能合约通过充当预定义的仲裁者，消除了对中介体的需求。此外，当契约代码公开时，智能契约是不可变的和可公开验证的。智能合约与a的组合 不可靠的环境消除了对负责管理私有数据的可信第三方的需求。这些特性使得智能合约与本研究特别相关。

他们从原始GPS数据中计算汇总统计数据。例如，一天旅行的总距离，访问过的地点数量的变化，以及旅行半径。

他们将GPS数据与第三方地理空间信息系统相结合，以确定位置类型，如图书馆、健身房或礼拜堂或广泛的位置主题(例如，由人口普查数据定义的高犯罪率社区)。

使用地理定位功能的一些应用用例示例包括替换活动监控任务[ 8- 10， 47- 49，触发即时干预措施[ 10， 49， 50以及获得卫生服务的机会[ 11， 51］．纳入区块链的地理空间应用包括物联网设备的管理、众包数据收集和应急响应[ 52］．

参考 地理位置特征提取将在“结果”和“讨论”部分进行，以在实际用例中进行调查，同时评估保护隐私的不同方法。

研究的典型服务器端数据收集管道将从客户端应用程序中摄取原始参与者数据，并结合加密、访问控制、识别过程或其他一些方法，以确保原始数据不会不负责任地公开。这种方法很容易实现，并且可以让研究团队严格控制特性工程的流程。软件更新可以在服务器端进行，而不需要强迫用户更新客户端。然而，必须高度信任研究团队，因为在管道的几个阶段会暴露私人数据( 图2)．

部署在设备上维护原始数据并在本地执行特征提取的软件是另一种可行的隐私保护方法，在智能手机上收集数据时，它越来越成为黄金标准。将设备上的数据本地化以便只有参与者可以访问它，从而消除了第三方可能暴露、滥用或重新利用原始数据的风险，但这依赖于所安装软件的完整性( 图3)．

代理重加密(PRE)是公钥加密中的一种技术，它允许代理将加密数据的解密访问权从一方委托给另一方( 图4)．PRE的一个重要特征是代理不了解关于加密数据内容的任何信息。因此，它是一种强大的数据访问控制技术。

然而，由于数据访问控制没有提供后验隐私机制，PRE在隐私保护特征工程中的应用受到了限制。这仍然需要信任研究团队将安全和诚实地管理解密数据。

多方计算(MPC)是一类加密协议，它模拟由受信任方计算的计算，但在多个方之间分配信任( 图5)．MPC最适合于在聚合数据而不是单个参与者的数据上计算结果的特征工程问题。此外，MPC在(各方之间)的交流中受到指数级的影响，这限制了性能。

一些实现使用MPC协议处理私有数据共享，并试图通过支持分布式存储架构来进一步降低安全风险。然而，这些分布式系统通常在节点数量上受到限制，并由单个组织(即单个信任点)管理。理论上，单个信任点可以有一个议程，并对分布式网络中的每个节点施加一定程度的控制。但是，如果所有节点都由一个组织控制，那么该组织访问私有用户数据是可行的。

使用计算方的分布式网络背后的原则是没有单一的信任点，这是在检查区块链方法时将重新考虑的一个重要原则。

同态加密(HE)是一种加密形式，其中对加密数据的计算将产生与加密前对未加密数据的计算相同的结果。这可以形式化，如图所示 图6．高等教育有不同的方案，包括部分高等教育和完全高等教育;部分同态加密(PHE)是指可以对加密数据进行一种或多种操作并保持同态特性，而在处理完全同态加密(FHE)时可以进行任何任意的计算。从隐私保护的角度来看，HE是强大的，因为参与者可以保持对数据的专属所有权，但潜在地限制了特征提取的可行性( 图7)．

在数据共享上下文中，当加密的数据向量本身就是一个有趣的特征时，HE可能适合于用于特征提取的特定用例。当不需要来自个别参与者的特征时，还可以更广泛地适用于保护隐私的特征提取，并且可以在加密域中聚合数据。然而，在目前的状态下，HE的适用性并不适合通用特征工程，它取决于数据的性质和特征提取的性质。例如，从GPS坐标解析位置类型是不可计算的，而是查找函数的结果。他不会为这种计划效力的。

采用HE的另一个主要障碍是处理加密数据的计算复杂度增加，导致处理时间非常长。PHE无法实现复杂的计算，FHE的计算性能非常低[ 17］．这使得除了最简单的操作外，所有使用HE的操作都不切实际。

零知识证明(ZKP)是一种密码学方法 验证说服一个 验证器在不透露任何潜在数据的情况下，判断某个数学命题是真还是假。zkp内置了隐私保护功能，使其成为处理私有数据的强大方法。

根据需要证明的两种命题，zkp可以进一步分类 零知识:关于事实的陈述(例如，参与者的GPS坐标对应于 医院)和关于知识的陈述(例如，参与者的GPS坐标是已知的)[ 19］．后者是知识的ZKP，是ZKP最常见的应用，即标识和身份验证(例如，密码身份验证)。然而，在特性工程的上下文中，前者是提取相关元数据的问题类型。

ZKP概念与中描述的最小暴露框架密切相关 图1．为了解决地理位置特征提取用例，数据管道如图所示 图8可以实现。

由于zkp更广泛地对应于各种各样的技术，因此很难将其概括地推荐给一般的特征提取问题，而应该在具体情况的基础上对它们进行评估。此外，一些常见的挑战包括实现和计算复杂性。有时，它们仍然需要可信的第三方来证明一项声明[ 58］．我们认为，zkp具有作为隐私保护协议构建模块的潜力，但目前是一个活跃的研究领域[ 59而不是一个实用的、可访问的实现工具。

私有和联盟区块链网络通常通过创建由高度信任的实体管理的访问控制来限制谁可以参与网络。通常，还包括附加规则来创建权限系统，控制哪些节点可以验证事务，并使事务数据对相关方私有。最后一个原因在以隐私为中心的数据共享环境中特别有吸引力，但它的代价是信任私有网络的维护者。然而，使公共区块链如此吸引人的相同特征——由加密经济激励保护的无信任、去中心化的网络状态——在私有区块链中缺失，并在 图10．

公共区块链上的智能合约是小型、模块化的软件，一旦部署到网络上就无法更改。这对于隐私保护软件来说是一个有利的特性，因为智能合约的用户可以保证他们的数据总是以相同的方式处理。当智能合约代码公开时，部署的智能合约的功能是可验证的。

然而，当考虑传统的公共区块链(如以太坊)进行数据共享时，第一个重要的承认应该是，上传到公共区块链的输入数据是公开可见的和永久记录的。这使得所有的资金发送人和接收人、所有的交易数据以及每个合同变量的状态对任何观察者都是可见的，如 图11．

一种说法是，区块链提供了隐私，因为数据交易的发起者和接收者只通过一个随机生成的账户地址来描述。因此，如果参与者为每笔交易生成新地址，则匿名是可能的。然而，网络追踪器已经表明，通过分析交易可以让用户去匿名化。 64]，在某些敏感数据(如GPS坐标)的情况下，通过与可用的其他结构化数据(例如来自社交媒体)进行比较，有可能重新识别大量用户[ 33， 55- 57］．

将zkp与公共区块链合并的诱惑力在于，在保持区块链的好处的同时支持数据隐私:没有单点信任和交易的不可变性。该技术的一个吸引公众注意的实现是能够隐藏加密货币交易的来源、目的地和金额[ 18， 34， 35］．

在区块链上扩展zkp以包括智能合约逻辑的想法将是保护隐私、不可信应用程序的强大催化剂。一个叫Hawk的区块链提案[ 33使用zkp来验证交易，并在链下执行私有智能合约。不幸的是，Hawk不能保证后隐性，因为它依赖最低信任的管理器，在交易过程中不会泄露敏感数据，但在交易完成后也不能提供保证。此外，霍克的论文还没有变成一个可用的软件版本。同样，也没有详细说明以太坊上的私有智能合约是否以及何时在不久的将来可用。

在区块链上下文中，ZKP计算复杂度的限制被加强了，这要求在分布式规模上部署该技术。区块链上的ZKPs是一个活跃的研究领域，使得在此背景下的私有数据共享和特性工程暂时无法访问。使用zkp与区块链智能合约共享GPS坐标数据的应用程序还需要等待技术的发展。

为了鼓励更少的数据孤岛，混合tee和区块链智能合约的平台正在出现。这种方法具有模块化、不可变软件和隔离计算环境的优点，因此数据管道是透明和安全的。该技术在 图12．

然而，这种方法仍然取决于底层TEE硬件的安全性及其漏洞。包含区块链和tee的平台是新技术，本质上是实验性的，因此潜在的安全威胁仍有待发现。

这种方法还提供了实现的实用性和可访问性方面的好处。Oasis ( 32和谜机[ 36项目是开发人员友好的，发布文档、教程和测试网，用于开发和部署应用程序。