去标识化
Parent: ai_keywords
去标识化（De-identification）
核心定义
去标识化是指在保留数据医学研究与分析价值的前提下，通过技术手段移除或模糊化数据中能直接或间接识别个体身份的标识符（如姓名、身份证号、精确地址、医疗影像中的面部特征等），使数据不可再被关联至特定患者。在神经科学领域，它必须平衡高精度数据（如EEG/脑电信号、高分辨MRI）的可用性与患者隐私保护，尤其需抵御“重识别攻击”。
关键技术点
- 规则/统计匿名化：依据 HIPAA Safe Harbor 或 GDPR 指南，系统性移除18类直接标识符，并对罕见病或特殊脑区特征（如术后改变）进行统计扰动（如对年龄、病灶体积进行k-匿名性处理，确保同一分组内至少k个患者特征一致）。
- 差分隐私（Differential Privacy, DP）：通过向统计查询结果（如脑网络连接强度均值、癫痫发作频次）注入可控噪声（如Laplace噪声），使攻击者无法通过对比去标识数据集与外部公共知识推断某个体是否存在。此方法对神经电生理时间序列分析尤具挑战，需平衡噪声与信号完整性。
- 神经影像特异性去标识：针对MRI/CT等体积影像，采用颅骨剥离（Skull Stripping） 去除面部软组织、面部重建消除算法（Face Reconstruction Removal） 删除面部三维轮廓，并使用非刚性配准变形轻微扭曲头部几何特征，使其无法与库中照片进行形态学比对，同时保留脑实质解剖细节。
- 合成数据生成：利用生成对抗网络（GAN）或变分自编码器（VAE）生成与原始患者数据（如癫痫发作期EEG、帕金森病步态压力图）统计分布一致的合成数据，从根源上避免身份关联。
医学/神经科学应用场景：脑卒中多中心MRI研究
在首都医科大学参与的全国脑卒中多中心研究中，需汇集数千例急性期MRI（扩散加权成像、MR血管成像）。由于不同医院DICOM头文件、扫描序列参数及面容信息均含潜在标识，去标识化按以下流程执行：
- 元数据清洗：自动解析DICOM字段，删除患者姓名、医院ID、研究ID，并对扫描时间进行随机偏移（±3天）。
- 影像去面部：使用基于U-Net的颅骨剥离模型，精确移除T2加权像上的面部软组织，再对颅内灰白质边界进行形态小幅度扭曲，确保无法通过面部重建库（如PittFace）进行重识别。
- 差分隐私查询：在分析病灶侧向性（左侧/右侧）、NIHSS评分与病灶体积相关性时，基于DP发布分组统计结果（ε=1.0），使研究者能获取可靠神经功能预后模型，而无法逆向推导个体病灶形态。此方案已通过首都医科大学伦理委员会审批，成功实现跨机构数据共享同时规避HIPAA侵权风险。
