PAIN POINTS · 行业痛点数据交付不是 yes 或 no 的问题一位数据提供方负责人跟我们说我们不是不想开放数据是不敢。给出去一次万一泄露就是重大事故不给业务方天天堵门。 另一位数据运营方负责人更直接我们现在的状态是——要么不给要么全给中间没有缓冲带。要么不给要么全给某市卫健委手握全市就诊数据保险公司想做核保风控。给全量合规过不了。给脱敏版保险公司说脱敏到连病种编码都模糊掉了模型训出来全是噪声。最后变成拉锯战——不给业务停摆给风险自担。合规通过了业务用不上某省政务数据空间花了三个月走完合规审批结果交付的数据集里身份证号变 ************1234诊断编码只保留到章。合作方苦笑这不是数据是数据残骸。想给低敏的但建一套就要重新立项某数据集团想把非敏感统计数据开放给生态合作方做 BI 报表但现有平台只支持沙箱内分析要对外发 API 还得另起一套系统、重新立项、重新评审。为了开放一点低敏数据要搭一套新基础设施。跨级数据要联合分析没人会拼医保局有高敏诊疗记录、卫健委有中敏就诊明细、地方系统有低敏统计报表。三方数据要联合分析传统做法是各自导出、线下传文件、人工对齐。每一步都是泄露风险谁对齐、谁负责永远扯不清。数据交付从来不是 yes/no 的问题而是一个按敏感度分流的工程问题。SOLUTION · 解法把数据出门切成五段路星环可信数据空间的核心思路——连接器是入口按数据敏感度自动分流到 5 种交付方式。不是全给或不给而是该走哪级走哪级。核心方案5 级分流一览不敏感/低敏API 网关 Midgard鉴权加密流控访问控制全量审计 适用场景数据服务接口、BI报表、开放门户低敏文件交付加密传输访问控制水印溯源阅后即焚 适用场景脱敏数据集、统计报告、合规数据包中敏数据沙箱 Sandbox加密访问合约驱动密态存储 适用场景联合分析建模、产品开发、跨机构协作高敏隐私计算 P²C数据不出本地域联邦学习MPC差分隐私 适用场景跨机构联合建模、高敏字段统计跨级协作混合组合方案按字段路由统一策略同一空间内跨级协作。低敏字段走 API、中敏字段进沙箱、高敏字段走联邦——自动拆分无需人工判断。 适用场景医保四方协作、金融跨部门、政务跨级ARCHITECTURE · 五级分流路径数据敏感度由低到高交付通道精准匹配▼不敏感/低敏公开/统计→API 安全网关 Midgard鉴权 · 加密 · 流控 · 访问控制 · 全量审计▼低敏脱敏/统计→文件交付加密传输 · 访问控制 · 水印溯源 · 阅后即焚▼中敏商业机密→数据沙箱 Sandbox加密访问 · 合约驱动 · 密态存储▼高敏核心隐私→隐私计算 Sophon P²C数据不出域 · 联邦学习/MPC · 差分隐私▼跨级多种分级数据→混合组合方案按字段分级路由 · 统一策略引擎自动拆分 · 跨级审计对账⚙️ 自动路由原理系统对接 Defensor 分类分级结果字段级敏感度自动关联交付通道——无需人工判断无需人工切换。COMPARISON · 对比为什么传统方案给不出去维度传统方案星环方案交付方式单一沙箱或单一 API敏感度不匹配5 种方式按敏感度自动路由跨级协作各级数据各管各的无法联合同一空间内跨级协作字段级分流路由配置人工判断人工切换接 Defensor 分类分级结果自动关联提供方控制力给出去就脱手持续控制 全量审计 到期回收合规成本每类数据单独立项、单独评审一套平台五种出口统一审计传统方案是全给或不给的二选一星环方案是按敏感度自动分流的工程解。TECH DETAILS · 技术亮点每一级交付方式都有硬功夫01API 网关 Midgard低敏数据高效输出不是简单的开个接口而是全链路可控的数据服务工厂。OAuth2 API Key 双向证书鉴权QPS 限流、并发数限制、调用配额多维管控IP 白名单 时间窗口 字段级权限每次调用记录请求参数、返回条数、耗时、调用方身份永久留存。某市气象局将区域降雨量统计通过 Midgard 开放给农业保险公司BI 系统每天凌晨自动调用 API 获取数据全程无需人工干预调用日志自动归档备监管抽查。02文件交付可控可追溯的一次性数据包适合离线使用场景但绝不是发完就不管。国密 SM4 加密下载链接一次性有效文件内嵌隐形水印泄露后可溯源到具体下载人设置有效期到期自动删除超出下载次数自动封禁链接。某科研机构申请2024 年度病种分布统计报告医保局通过文件交付下发 PDFExcel 组合包文件带水印7 天后链接失效全程可追溯。03数据沙箱中敏数据可入不可出网络隔离 合约驱动 密态存储 受控环境。ODRL 合约自动编译为执行策略谁能在沙箱里做什么机器说了算沙箱内数据存储在 KunDB 密态库即使被攻破拿到的也是密文关键操作全程审计任何数据导出请求需多方审批。某药企在沙箱内分析医保诊疗数据做 RWE 研究只能用 SQLBook 和 VLab 做分析无法安装外部软件、无法访问互联网分析结果通过 Midgard API 动态脱敏后输出原始数据始终留在沙箱内。04隐私计算 Sophon P²C高敏数据可用不可见当数据敏感到连沙箱都不能进时隐私计算是最后一道防线。联邦学习让多方数据不出本地只交换加密梯度安全多方计算MPC让多方输入密文共同计算结果差分隐私在查询结果中加入可控噪声匿踪查询让双方互相不可见。某保险公司联合某医院训练术后复发风险预测模型医院高敏病历不出院、保险公司高敏保单不出公司双方仅交换加密梯度模型 AUC 达到 0.84但双方从未看到对方一条原始记录。SCENARIOS · 实战标杆案例某市医保数据可信流通某市医保局持有300 万 参保人就诊、结算、费用核心数据年新增亿级。需求方包括保险公司、药企、科研机构、地方医保系统但数据始终出不来——不是不想给是不知道怎么给才合规又能用。CASE医保数据五级分流落地从分类分级到跨级混合组合1分类分级2API网关3文件交付4数据沙箱5隐私计算场景1数据分类分级自动完成医保局通过 Defensor 数据分类分级平台自动扫描全库不敏感区域就诊人次统计、病种分布占比低敏脱敏后的就诊记录保留病种编码、费用区间中敏诊疗明细诊断编码、药品清单、费用明细高敏身份证号明文、手机号明文、家庭住址、银行卡号分类结果自动同步到可信数据空间的连接器作为分流依据。场景2低敏统计API网关地方医保调用地方医保系统需实时获取昨日全市就诊人次、费用总额、病种 TOP10做日报。通过 Midgard 开放 3 个标准接口• 鉴权双向证书 API Key• 流控每接口 QPS ≤ 100日调用上限 1 万次• 审计每次调用记录请求时间、返回条数、耗时永久存档⚡ 效果从每月要一次数据变成实时调用数据新鲜度从天级提升到分钟级。场景3脱敏报告文件交付科研机构某高校公共卫生学院申请2024 年度糖尿病就诊趋势分析报告。医保局分析师在沙箱内生成报告通过文件交付模块下发• 加密国密 SM4 加密 数字水印• 有效期30 天下载次数 3 次• 审计下载记录上链存证下载人、时间、IP⚡ 效果科研机构2 小时内拿到数据替代原先 2 周线下流程。场景4中敏明细数据沙箱药企RWE分析某药企需分析某新型降糖药在真实世界中的用药依从性。药企签署 ODRL 合约约定可用/禁止字段和操作限制进入沙箱使用 SQLBook 和 VLab 做分析。• SQL 网关实时拦截尝试SELECT patient_name时自动返回脱敏结果并记录审计日志• 高危 DDL 自动阻断CREATE TABLE AS SELECT *被秒级拦截• 分析结果通过 Midgard API 动态脱敏输出⚡ 效果药企在2 周内完成 RWE 分析报告替代原先 3 个月线下申请流程。场景5高敏隐私隐私计算保险联合建模某保险公司联合医保局训练重疾险核保风险评分模型。模型需高敏字段既往病史、手术记录、费用明细但原始数据不能出域。• 方案纵向联邦学习双方样本对齐、特征互补• 部署医保局本地节点 保险公司本地节点加密通道交换梯度• 合约约束仅允许训练评分模型训练轮数上限 100 轮模型输出仅为风险评分0-1 浮点数• 训练过程本地计算梯度 → Paillier 同态加密 → 安全聚合 → 更新全局模型⚡ 效果50 轮后模型收敛AUC 0.82高风险召回率75%。核保准确率提升18%定价周期从3 个月压缩至 2 周但医保局原始数据始终未出域。KEY METRICS · 关键数据 5 秒单次查询响应沙箱内跨源 JOIN2 小时文件交付速度替代原先 2 周线下流程2 周RWE 分析周期替代原先 3 个月线下申请0.82模型 AUC联邦学习核保风险模型18%核保准确率提升定价周期 3 月→2 周0数据出域量敏感数据始终不出域VALUE · 核心总结数据给了出去控制权没有交出去数据交付从来不是 yes/no 问题而是一个按敏感度分流的工程问题。星环可信数据空间的5 级交付方案让提供方在合规框架内放心开放该开放的、严控该严控的——既不被合规卡死也不让业务空等。为什么这能成立自动分流不是人工判断——Defensor 分类分级结果自动同步到连接器数据敏感度标签决定交付方式无需人工干预。统一审计不是散落各系统——无论走 API、文件、沙箱还是隐私计算所有操作日志汇入统一审计层监管来查 5 分钟出报告。持续控制不是一锤子买卖——API 随时降速封禁、文件到期自动失效、沙箱操作实时记录、隐私计算设置轮数上限。数据给了出去控制权没有交出去。精准匹配按数据敏感度自动路由合规与可用兼得持续可控提供方持续控制规则、审计、边界到期回收⚡即开即用5 种通道开箱即用不再每个场景重新立项让敢不敢给不再是选择题
