D6 · 出版卷 22
敏感数据与负责任系统
遗产、个人、商业与环境敏感性
学习目标
学完本课，学习者应能围绕“遗产、个人、商业与环境敏感性”界定可辩护决策；区分观察、解释、假设、义务与决定；建立具有明确时空边界的因果途径；在不制造虚假精度的前提下使用数量证据；识别分配性与长期后果；为控制规定触发器和责任响应；并设计可独立复核的版本化证据包。
目标是可迁移的推理，而不是背诵某个法域、机构或运行程序。真实决定受现行法律、权利、许可、工程权限和专业复核约束时，学习者必须明确指出。本教程不给出通用阈值，也不授权任何现场活动、披露、设施或关闭结果。
决策背景
本课判断如何让环境和社会证据发挥作用，同时避免暴露个人、遗产、脆弱物种、商业权利或关键系统。开放不等于无限制访问。负责任系统按伤害、权利、用途、许可、精度、时间和聚合方式分类，再采用与约定用途相容的最小访问。
分析前先写决策契约。它应以匿名角色而非个人姓名标识责任，列出受影响系统、生命周期阶段、时空支撑、待核实的适用权限、证据截止日、替代方案、不确定性、依赖、不可逆选择和复核触发器。把分析能够支持的判断与无权批准的事项分开。边界若排除某条途径或某类受影响者，应记录理由和重新考虑所需证据。
核心概念：系统与边界
敏感性取决于情境。某普通监测点坐标可能无害，但神圣地点、受威胁种群或申诉人的坐标会造成伤害。多个单独无害字段组合后，也可能重新识别人员或位置。因此分类要考察内容、关联、受众、时点和可预见误用，而非只看文件格式。
把系统绘制成相互连接的对象，而不是平面问题清单。对每个对象询问：什么状态会改变、什么过程造成改变、传播多快、有哪些反馈、哪些观察能区分竞争解释。物理、生态、社会、法律与治理关系要保持连接，但不能假装一个学科可以替另一个学科作决定。
核心概念：途径与义务
负责任数据实践把用途限制、最小采集、合法或约定权限、知情条件、数据质量、访问控制、安全交换、保留、纠正、撤回、事件响应和可问责复用连接起来。元数据可实现可发现与互操作，而载荷仍受限制；很多证据类别都不适合“默认开放”。
义务与控制也有生命周期。记录其来源、原文、期望结果、受影响利益、责任角色、依赖、启动条件、证据、复核点和解除条件。不得把有条件承诺写成无条件结论，也不得把专业建议写成已批准要求。涉及权利或同意时，必须保留相应条件与授予权限。
定量推理
风险登记册可比较敏感度、暴露和后果，但序数乘积只是排序辅助。数量检查可包括唯一组合数、空间概化距离、群体大小阈值、访问频率、授权失败次数和保留年龄。阈值必须依据伤害模型解释，也不能保证匿名。
计算前声明系统边界、支撑、单位、时区、报告期、分母、缺失与删失数据处理、不确定性模型和舍入。原始值、调整值和模型值应并列比较，不得彼此覆盖。驱动因素存在依赖时，敏感性分析要联合改变合理取值。结果整齐并不能证明底层模型完整。
证据与不确定性
证据包括数据清单、用途与权限、同意或协议条件、许可、敏感性评估、数据流图、访问列表、加密或传输控制、审计事件、保留动作、质量事件、投诉和影响复核。既要测试正常使用，也要测试合理可预见的误用，并记录主动决定不采集的内容。
把证据分为直接观察、实验结果、派生值、模型输出、利益相关方或权利主体意见、要求、专家判断和假设，并附方法、日期、位置或群体支撑、质量状态、访问限制和血缘。置信度既要解释系统变异，也要解释知识不确定性。矛盾证据在经记录的决定解决或限定之前保持可见。
全生命周期控制
控制包括身份与分析分离、假名标识、降低精度、聚合、字段遮蔽、角色和属性访问、批准流程、限时链接、安全传输、离线保管、保留到期、删除验证、备份处理和事件响应。角色、用途、协议或风险变化时要重审访问。
控制记录应包含不希望发生的事件、因果途径、预防或缓解功能、绩效要求、领先与滞后指标、验证频率、触发器、即时响应、升级权限、恢复动作和有效性证据。控制要能承受气候、进度、人员、承包者、数据可用性和生命周期阶段的合理变化。只有监测点而无响应规则，只是在观察风险，并未控制风险。
接口与数据
从一个受治理来源设计公开、共享和受限视图，不能把敏感值复制到失控文件。元数据可以说明数据集存在、保管角色、质量和申请路径，而不泄露受保护内容。派生模型也要复核敏感性，因为预测可能重建受限位置或属性。
最低交换契约规定标识、几何或群体支撑、必要时的坐标与垂直参照、时间基准、单位、词汇、空值语义、方法、不确定性、质量状态、敏感性、许可或使用条件、版本和校验值。原始证据要保存，转换要可复现。仪表板、地图或报告只是受控证据的视图，不能成为唯一留存记录。
综合检查点
只有另一位复核者能沿着“决定和受影响利益—遗产、个人、商业与环境敏感性—证据—不确定性—替代方案—控制—残余义务”完整追踪时，本课检查点才通过。每项声称有效的控制都必须有可检验它的观察，每项重要观察都必须有事先约定的响应路径。
综合时问四个问题：什么新信息会改变结论？谁承受结果、谁有权限？哪次生命周期交接可能丢失证据或义务？控制成功后还剩什么？如果答案藏在叙述中，继续推进前应转为受控记录。
合成算例
某合成数据集组合了监测坐标、稀有物种观察、匿名申诉主题和土地进入备注。每张表单看风险较低，但用日期与位置连接后可识别一户家庭和一处敏感栖息地。学习者要设计用途专属视图，概化几何，抑制稀疏组合，记录授权申请路径并保留科学血缘。
这些数字和标签均为合成教学材料，并且故意不完整。应按声明基准重新计算，显示任何残差，并在选择动作前提出至少两个合理解释；同时标明哪些证据可区分这些解释。示例数量、触发值和验收语言不得移植到真实工作。
实践任务
按内容、权利、许可、伤害、空间精度、时间和受众分类一个虚构生命周期数据集。绘制数据流，最小化字段，定义三种访问视图，设置复核与保留触发器，测试一次关联识别攻击，规划事件响应，并说明合法研究者如何申请受控访问。
提交物还应包括一页决策声明、数据字典、假设登记册、替代解释、控制表和变更日志。同行应能定位每项输入并质疑每个条件步骤。若依赖未具名规则、私人谈话、无法解释的分数或不能追溯到版本化证据的图，任务即未完成。
常见失误
常见失误包括把有用等同公开，在约定用途前先采集，在导出中保留精确位置，认为去掉姓名即可防止重识别，对混合字段只设文件级权限，遗漏备份和派生模型，无限期保留，按职位自动授权，以及目录本身就泄露敏感事实。
另一类贯穿各课的失误是“机构叙事”：文字暗示某个具名机构、个人或网站拥有、背书或提供本教程及其结论。还有“场址仿真”，即虚构案例看似真实矿区，借来的参数因此显得权威。案例必须明确为合成，角色匿名，外部名称只在资料来源中出现，任何真实应用都依赖当前本地证据和权限。
本课小结
负责任系统在防止可预见伤害的同时保留用途、血缘和复核能力。它把敏感性视为情境化且动态的，最小化采集、分离视图、约束复用、审计访问，并把纠正、撤回、保留和事件处理置于与技术质量同等的位置。
持久的产出不是一个外观确定的最终分数，而是一条可复核链：目的、受影响系统、证据、不确定性、替代方案、决定、控制、职责和剩余义务。该链必须能够更新，而不抹去早期状态。
复习题
- 围绕“遗产、个人、商业与环境敏感性”需要怎样的边界与决策契约？
- 哪些观察可以区分两个最合理的因果解释？
- 哪些数量能够守恒或协调，哪些判断不能压缩成分数？
- 缺失观察为何不同于确认不存在或数值为零？
- 哪项控制具有最早的有效触发器，触发后采取什么动作？
- 哪些证据与义务必须跨越下一次生命周期交接？
- 如何沟通残余后果，同时不暗示批准或确定性？
资料与延伸阅读
- 可发现、可获取、可互操作、可复用原则, 用于识别当前概念与复核问题的公开资料；真实决定必须另行核对适用性。
- 原住民数据治理关怀原则, 用于识别当前概念与复核问题的公开资料；真实决定必须另行核对适用性。
- 《联合国土著人民权利宣言》, 用于识别当前概念与复核问题的公开资料；真实决定必须另行核对适用性。
- 《开放科学建议书》, 用于识别当前概念与复核问题的公开资料；真实决定必须另行核对适用性。