HRV는 정말 ‘익명 데이터’일까 — 심박 변동과 재식별 위험

이름과 이메일 주소를 지우면 심박변이도(HRV)는 익명의 건강 데이터가 될까요? 공개 데이터를 사용한 내부 재감사에서는 같은 기록에서 나눈 HRV 구간을 202명의 후보 안에서 연결할 가능성이 나타났습니다. 구간을 만드는 방법과 같은 구현 세부 사항은 공개하지 않습니다.

다만 이것은 “Apple Watch만으로 누구나 본인 확인을 할 수 있다”거나 “지문을 대신할 수 있다”는 뜻이 아닙니다. 같은 측정 세션 안의 제한된 후보 중에서 찾은 결과이며, 다른 날이나 다른 기기에서도 같은 사람을 추적할 수 있는지는 확인하지 않았습니다. 수면과 각성 상태를 잇는 별도의 내부 모델 검증도 실패했습니다.

무엇을 조사한 연구인가요?

HRV는 박동과 박동 사이 간격의 변화를 요약한 값입니다. 웰니스 분야에서는 수면이나 회복과 관련해 표시되기도 하지만, 그런 상태를 직접 측정하는 값은 아닙니다. 나이, 체격, 심장에 대한 자율신경 조절, 호흡, 자세, 생활 습관, 측정 조건 등의 영향이 겹치므로, 같은 사람에게 비교적 안정적으로 나타나는 특징도 포함될 수 있습니다.

연구에서는 다음 질문을 살펴봤습니다.

같은 안정 시 ECG 기록에서 나눈 구간을 HRV 유래 정보를 쓰는 연구용 비교로 후보자 가운데 연결할 수 있는가?

이는 비밀번호를 해제하는 본인 인증 실험이 아니라, 익명화된 기록 조각끼리 연결되는지를 보는 동일 기록 내 연결 가능성 실험입니다. 이름까지 알아내는 재식별보다 한 단계 앞선 질문입니다.

데이터와 방법

Paper 3 전체에서는 6개 공개 코호트(Autonomic Aging, Fitbit PMData, MMASH, Fantasia, MIT-BIH Normal Sinus Rhythm, CinC 2018)의 1,227명 기록을 모았습니다. 데이터에는 안정 시 ECG, 걷는 동안의 RR 간격, 수면 관련 기록, 장기간 웨어러블 기록이 포함됩니다.

여러 HRV 유래 정보를 만들고, 같은 사람의 기록이 학습 쪽과 평가 쪽에 섞이지 않도록 참가자 단위로 데이터를 나눴습니다.

공개 재감사에는 Autonomic Aging 코호트를 사용했습니다. 학습에서 보류한 211명 중 사전에 정한 적격 조건을 충족한 202명을 분석했습니다. 같은 기록의 서로 다른 구간을 썼지만, 구체적인 분할·선별·비교 규칙은 공개하지 않습니다.

연구용 비교에는 HRV 유래 정보를 사용했습니다. “top-5”는 제시된 5명의 후보 중 어딘가에 정답이 포함된 비율입니다. 특징 설계, 구간 생성, 품질·선별 조건, 전처리, 비교식 등 구현 세부 사항은 공개하지 않습니다. 따라서 제3자가 같은 분석을 완전히 재현할 수 없다는 점도 연구의 한계입니다.

주요 결과

평가	관측값	무작위 순위 확률	95% Wilson 구간
top-1	62 / 202(30.69%)	0.50%	24.74–37.36%
top-5	112 / 202(55.45%)	2.48%	48.55–62.13%
top-10	133 / 202(65.84%)	4.95%	59.06–72.03%

비교 방향을 반대로 한 민감도 분석에서도 top-5는 **55.94%**였습니다. 정답 대응만 바꾸는 검정을 20,000회 수행했습니다. 이 반복 횟수에서 단측 p값의 최소 보고 단위는 0.00005입니다. 공개 집계 파일에는 관측값 이상이 나온 반복 횟수가 들어 있지 않으므로, 그 파일만으로 관측 p값을 다시 계산할 수는 없습니다.

후보 202명은 고정하고 질의 대상만 다시 뽑은 부트스트랩에서도 top-5의 조건부 95% 구간은 **48.51–61.88%**로 Wilson 구간과 비슷했습니다. 그러나 어느 구간도 미래 사용자나 실제 운용 성능을 보장하지 않습니다.

중요한 실패 결과 — 수면과 각성 사이에서는 같은 방식으로 작동하지 않았습니다

Paper 3의 또 다른 동료평가 전 모델은 “수면과 각성 상태가 달라도 개인 특성이 유지된다”는 사전 평가 조건을 충족하지 못했습니다. 이 모델과 위 비교 절차는 직접 비교할 수 없습니다. 두 상태의 기록이 모두 있는 MMASH 참가자 15명에서는 다음 결과가 나왔습니다.

• 수면 기록으로 등록하고 각성 기록을 대조: top-5 56.13%
• 각성 기록으로 등록하고 수면 기록을 대조: top-5 42.99%

사전에 정한 내부 기준에 이르지 못했습니다. 기준의 구체적인 값과 판정 규칙은 공개하지 않습니다. 수면과 각성 사이에는 호흡, 자세, 활동, 심박에 대한 신경 조절 등 여러 조건이 달라집니다. 이 결과로는 상태가 달라도 안정적인 연결 가능성을 확인할 수 없습니다. 언제나 변하지 않는 “심박 지문”이 있다고 말할 수도 없습니다.

Apple Watch에 대해 알게 된 것과 알 수 없는 것

이 연구는 Apple Watch를 직접 검증하지 않았습니다. 6개 코호트에는 ECG, RR 간격, 수면 관련 기록, Fitbit 유래 장기 기록 등 서로 다른 수집 조건이 포함됐지만, 동일한 프로토콜로 Apple Watch에서 전향적으로 모은 데이터는 없습니다.

따라서 다음과 같이 바꿔 말할 수 없습니다.

• “Apple Watch HRV라면 높은 정확도로 본인을 알 수 있다”
• “Apple Watch로 생체 인증을 할 수 있다”
• “Feelmo가 심박으로 사용자를 식별한다”

Apple Watch에서는 광학 센서, 샘플링 시점, 움직임에 따른 결측, OS 처리 등이 결과에 영향을 줍니다. 직접적인 성능을 알려면 기기·자세·시간대를 맞춘 Apple Watch 전용 전향적 검증이 필요합니다.

개인정보 보호 측면에서 왜 중요한가요?

연결 가능성이 100%가 아니어도 문제가 될 수 있습니다. 기록 조각으로 후보를 좁히고 수면 시각, 나이, 활동 기록, 위치 정보 같은 다른 정보와 결합하면 후보를 더 줄일 수 있기 때문입니다. 다만 이번 55.45%만으로 다른 날이나 다른 기기에서도 실제로 후보를 좁힐 수 있다고 결론 내릴 수는 없습니다.

이 결과에서는 적어도 다음과 같은 예방 원칙을 도출할 수 있습니다.

• 이름을 지운 것만으로 세밀한 RR 간격이나 HRV 특징을 “익명”이라고 단정하지 않기
• 원시 심박 간격뿐 아니라 특징 벡터와 AI 임베딩도 식별 가능성이 있는 건강 데이터로 다루기
• 필요한 기간과 정밀도만 저장하고 더 이상 필요하지 않으면 삭제하기
• 가능한 한 기기 안에서 처리하고 서버 전송과 제3자 공유를 최소화하기
• 연구 공개 시 개인별 임베딩, 최근접 표, 서로 대조할 수 있는 시계열을 그대로 배포하지 않기
• 데이터 공유 계약에 대조·재식별 금지 조건을 포함하기

Feelmo 설계에는 어떻게 반영하나요?

Feelmo는 HRV와 수면 같은 신체 데이터를 단순한 표시 숫자가 아니라 개인과 연결될 수 있는 민감한 데이터로 다룹니다. 기본적으로 기기 안에서 처리·저장하며 제공자의 서버로 자동 전송하지 않습니다. 자세한 내용은 데이터와 개인정보 보호를 확인하세요.

이 연구가 뒷받침하는 것은 “HRV로 본인을 맞히는 기능”이 아닙니다. 오히려 분석할 수 있는 정보일수록 외부로 보내지 않고 사용자 기기 안에서 유용하게 쓴다는 설계 원칙입니다.

한계와 다음 검증

• 동료평가 전 내부 2차 분석으로 독립 연구자의 재현이 필요합니다
• 공개 코호트마다 센서, 측정 환경, 전처리가 다릅니다
• 주요 값은 같은 안정 시 ECG 기록의 서로 다른 구간에서 나온 것으로, 다른 날에도 지속된다는 뜻이 아닙니다
• 보류한 211명 중 9명은 사전 적격 조건을 충족하지 않아 제외했습니다. 구체적인 선별 조건은 공개하지 않습니다
• 공개 코호트 사이에는 ECG 유도 등 수집 방법 차이가 있어 결과에 영향을 줬을 수 있습니다
• 다른 내부 평가도 기준에 이르지 못해 수면·각성 상태를 넘는 불변성은 확인되지 않았습니다
• 폐쇄 집합 top-5이며 실제 운용의 본인 인증을 평가하지 않았습니다
• Apple Watch로 직접 검증하지 않았습니다
• 앞으로는 Apple Watch 전용 전향적 데이터, 외부 코호트, 상태별 평가, 모르는 사람을 포함한 개방 집합 평가가 필요합니다

연구 자료

• 공개 재감사: 개인정보를 포함하지 않는 집계 JSON. 개인 ID, 개인별 순위, 특징량, 전처리 코드, 비교 절차는 포함하지 않습니다
• 내부 분석: Paper 3(동료평가 전·일반 공개 전). 특징 설계, 품질 조건, 전처리, 비교식, 개인 단위 배열과 중간 산출물은 공개하지 않습니다
• 분석 규모: 6개 코호트, 1,227명
• 공개 주요 값: Autonomic Aging 보류군 211명 중 적격 조건을 충족한 202명. 동일 기록 내 top-5 55.45%(112/202)
• 주요 데이터: Schumann A, Bär KJ. Autonomic Aging. 논문 doi:10.1038/s41597-022-01202-y · 데이터 doi:10.13026/2hsy-t491
• 상태별 데이터: Rossi A, et al. A Public Dataset of 24-h Multi-Levels Psycho-Physiological Responses in Young Healthy Adults. Data. 2020;5(4):91. doi:10.3390/data5040091 · MMASH v1.0.0 doi:10.13026/cerq-fc86
• 연구 상태: 동료평가 전, 공개 데이터의 내부 2차 분석

※ 이 내부 연구는 Feelmo 앱의 효과를 검증한 것이 아닙니다.