7.4 医疗基因与政务数据共享
7.4 医疗基因与政务数据共享
本节摘要：医疗与政务是数据敏感度的天花板：病历、基因、公民档案。本节拆解联合统计、基因组关联分析、跨部门核验三类落地形态，指出它们与金融场景的关键差异——数据量小、单条极敏感、一次性协作多，并给出对应的方案调参。
定位：本节解决什么
医疗数据的特点与金融相反：金融机构是"海量低敏流水"，医疗机构是"少量高敏样本"——一份基因序列终身不可更换，泄露的损害不可逆。政务数据则是"高敏加跨部门壁垒"：公安、医保、民政、税务各自守着一座数据孤岛，协作需求真实存在，行政壁垒比技术壁垒更厚。这两类场景的共同点是样本量往往不大（一家医院的队列研究几千到几万例），因此性能反而不是主要矛盾——安全可信度、方案可解释性、与合规框架的衔接才是。MPC 在这里的使用逻辑随之改变：不计成本地拉满安全档位，把"数学保证"写进方案文本。
核心概念：三类落地形态
联合统计（政务高频形态）。 场景：统计部门要跨部门算总和、均值、分位数（如低收入群体交叉识别），各方明细绝不能互见。方案极简：明细以加法分享进协议，求和零通信，均值与方差用少量乘法，分位数用布尔电路比较排序。数据量万级时全程秒级，广域网也毫无压力。基因组关联分析（医疗标杆）。 场景：多家研究机构联合验证某个基因位点与疾病的关联（卡方检验、逻辑回归），原始序列按法规禁止出境出所。基因组数据的特殊处理在于编码：单条序列数十亿碱基对，直接上协议不现实，行业做法是先在本地提取位点特征（是否携带变异等二值特征），特征矩阵以定点分享进 SPDZ 类协议做统计检验。规模数千样本乘数万位点时，乘法次数在亿级，局域网分钟级、广域网十来分钟量级——对科研协作完全可用。跨部门核验（政务高频形态）。 场景：救助资格审核要核对申请人是否在多个部门有车产、社保、商事登记，属于"多条件存在性比对"，隐私求交加布尔阈值电路的标准组合；公民侧的隐私保护（核验行为本身不留痕）可再加零知识证明层。
图：医疗与政务的三个落地形态
动手演练：联合卡方检验的最小算路
K = 1 << 64 SCALE = 1 << 20 def share(x): from secrets import randbelow s = randbelow(K) return s, (x - s) % K # 两家机构各自的位点特征：病例组携带数与对照组携带数（列联表 a b c d 的份额） a = share(int(0.31 * 5000 * SCALE)) # 甲机构病例携带 b = share(int(0.22 * 5000 * SCALE)) # 甲机构对照携带 c = share(int(0.29 * 5000 * SCALE)) # 乙机构病例携带 d = share(int(0.21 * 5000 * SCALE)) # 乙机构对照携带 # 联合列联表求和（零通信）后开放 四个格子 A = sum((a[0], c[0])) % K + sum((a[1], c[1])) % K B = sum((b[0], d[0])) % K + sum((b[1], d[1])) % K print(int(A / SCALE), int(B / SCALE)) # 联合携带率：病例 3000 对照 2150 # 卡方统计量与显著性判断在开放后的公开数字上完成 或继续留在密域内比较阈值
会话输出联合列联表的两个格子数。可见统计计算本身很简单，工程重心全部落在"份额怎么管、校验怎么做、结果给谁"——这正是本场景区别于金融场景的气质。
工程实践要点
伦理审查先行：技术方案进伦理委员会或数据主管部门的评审时，第 5 章的仿真范式语言（"协议泄露的信息不超出结果本身"）加上五要素方案文本，是跨专业沟通的最有效载体。特征提取是隐形泄露面：本地提取哪些特征、特征熵多高，需要单独论证——"本地算完再进 MPC"不等于"本地环节无泄露"。样本对齐用 PSI 打底：多机构队列研究第一步是对齐同一患者在各机构的记录（去重），这正是 7.2 节隐私求交的主场。
💡 关键直觉：在医疗与政务场景，MPC 卖的不是性能，是"可写进红头文件与伦理批件的数学保证"。把安全定义翻译成监管语言的能力，和技术能力一样值钱。
本节要点：样本小敏感高决定了安全优先于性能；三类形态统计、关联、核验各有标准骨架；方案文本的五要素是过审钥匙。下一节看最公开的舞台——区块链。
伦理评审的问答准备
医疗与政务场景的评审问答集中在四个问题，提前准备好答案能显著提速。问题一：数据真的没出机构吗？ 回答要具体到部署图：协议节点部署在各自机房，出域的只有加密份额与消息，附网络抓包审计方式。问题二：结果会不会间接泄露个体？ 回答输出粒度设计：聚合到队列级、加差分噪声（8.3 节）、小单元格抑制规则，逐条对应。问题三：技术方案凭什么可信？ 回答分层：协议有公开文献与安全证明（引 5.3 节仿真范式），实现经第三方审计，运行有留痕可复查——三行分别是理论、实现、运行三层证据。问题四：出了泄露事故责任怎么算？ 回答指向边界声明（8.4 节模板）与合同责任条款，技术上的检出与存证机制（5.2 节）作为追责依据。
四个问题的共同气质：评审者要的不是密码学名词，而是"可核验的承诺"。把每一条技术性质翻译成一条可核验动作，是通过评审的通用技巧——这门翻译手艺在 1.3 节的选型表里埋过伏笔，在这里正式登场。
数据要素视角下的政务 MPC
政务场景有一个金融与医疗都没有的特殊背景：数据要素流通政策。把 MPC 放进这个背景里，它的角色会更清晰。政策口径反复强调"原始数据不出域、数据可用不可见"——这句表述与 MPC 的能力定义几乎逐字对应，因此政务项目里 MPC 方案在政策合规性上天然占优，常被用作"数据要素交易场所""公共数据授权运营"等试点的技术底座。
但政策东风也带来新的命题。计量与定价：数据被"可用不可见"地使用了，用了一次算多少量、怎么计费——MPC 协议的执行日志恰好是天然的计量凭据，这给了协议审计功能新的商业含义。权属与存证：谁的数据参与了哪次计算、产生了哪个结果，需要可仲裁的存证——多方签注与链上锚定（7.5 节）在这里从可选变成刚需。跨区域互认：各省试点的技术口径不一，互联互通标准的推进会让"标准兼容性"成为政务选型的一票否决项。
这三条命题都还在演进，但方向已经清晰：政务 MPC 的竞争正在从"能不能算"转向"算得可不可信、可不可计量、可不可互联互通"。关注这个转变的团队，会把协议日志设计、多方存证、标准兼容当成一等公民投入——技术圈的慢变量，往往就是商业圈的快变量。