HRVは「匿名データ」なのか――心拍のゆらぎと再識別リスク

名前やメールアドレスを消せば、心拍変動（HRV）は匿名の健康データになるのでしょうか。公開データを使った内部再監査では、同じ記録から分けたHRV区間を、202人の候補内で結び付けられる可能性が示されました。区間の作り方などの実装詳細は公開していません。

ただし、これは「Apple Watchから誰でも本人確認できる」「指紋の代わりになる」という意味ではありません。同じ測定セッション内の閉じた候補から探した結果であり、別の日や別端末でも本人を追えることは確かめていません。睡眠と覚醒をまたぐ別の内部モデルの検証も失敗しています。

何を調べた研究か

HRVは、一拍ごとの間隔の変化を要約したものです。ウェルネス分野では睡眠や回復と関連づけて表示されることがありますが、それらを直接測る値ではありません。年齢、体格、心臓への自律神経性調節、呼吸、姿勢、生活習慣、測定条件などの影響が重なるため、同じ人に比較的安定して現れる特徴も含む可能性があります。

そこで、研究では次の問いを確かめました。

同じ安静時ECG記録から分けた区間を、HRV由来情報を使う研究用比較で候補者の中から結び付けられるか。

これはパスコードを解除する本人認証の実験ではなく、匿名化された記録断片が結び付くかを見る同一記録内リンク可能性の実験です。氏名まで当てる再識別より一段手前の問いです。

データと方法

Paper 3全体では、6つの公開コホート（Autonomic Aging、Fitbit PMData、MMASH、Fantasia、MIT-BIH Normal Sinus Rhythm、CinC 2018）から、1,227人の記録をまとめました。データには、安静時ECG、歩行中のRR間隔、睡眠に関係する記録、長期間のウェアラブル記録が含まれます。

複数のHRV由来情報を作り、同じ人の記録が学習側と評価側に混ざらないよう、被験者単位でデータを分けました。

公開用の再監査にはAutonomic Agingコホートを使いました。学習から保留した211人のうち、事前の適格条件を満たした 202人 を対象としました。同じ記録の別区間を使いましたが、具体的な分割・選別・比較規則は公開していません。

研究用の比較はHRV由来情報を使いました。「top-5」は、示された5人の候補のどこかに正解が入った割合です。特徴設計、区間の作り方、品質・選別条件、前処理、比較式などの実装詳細は公開していません。このため、第三者が同じ解析を完全再現できない点も研究上の限界です。

主な結果

評価	実測	無作為順位の確率	95% Wilson区間
top-1	62 / 202（30.69%）	0.50%	24.74–37.36%
top-5	112 / 202（55.45%）	2.48%	48.55–62.13%
top-10	133 / 202（65.84%）	4.95%	59.06–72.03%

比較方向を逆にした感度分析でも、top-5は 55.94% でした。正解の対応だけを入れ替える検定は20,000回行いました。この反復数での片側p値の最小報告単位は 0.00005 です。公開集計ファイルには観測値以上となった反復数を収録していないため、そのファイルだけから観測p値を再計算することはできません。

候補202人を固定したまま問い合わせ人だけを再抽出するブートストラップでも、top-5の条件付き95%区間は 48.51–61.88% で、Wilson区間と近い結果でした。ただし、どちらも将来の利用者や実運用に対する性能保証ではありません。

重要な失敗結果――睡眠と覚醒では同じように働かなかった

Paper 3の別の未査読モデルでは、「睡眠と覚醒をまたいでも本人らしさが保たれる」という事前の評価条件を満たしませんでした。このモデルと上の比較手順は直接比較できません。両方の状態があるMMASHの15人では、次の結果でした。

• 睡眠で登録し、覚醒時を照合：top-5 56.13%
• 覚醒時で登録し、睡眠を照合：top-5 42.99%

事前に定めた内部基準に届きませんでした。基準の具体値と判定規則は公開していません。睡眠と覚醒では、呼吸、姿勢、活動、心拍への神経性調節など複数の条件が変わります。この結果からは、状態をまたいでも安定するリンク可能性を確認できません。いつでも変わらない「心拍の指紋」があるとも言えません。

Apple Watchについて、分かったことと分からないこと

この研究はApple Watchを直接検証していません。6コホートにはECG、RR間隔、睡眠関連記録、Fitbit由来の長期記録など異なる取得条件が含まれますが、Apple Watchから前向きに集めた同一プロトコルのデータはありません。

そのため、次のような言い換えはできません。

• 「Apple WatchのHRVなら高い精度で本人が分かる」
• 「Apple Watchから生体認証ができる」
• 「Feelmoが利用者を心拍で識別している」

Apple Watchでは光学センサー、サンプリングのタイミング、体動による欠測、OS側の処理などが結果に影響します。直接の性能を知るには、端末・姿勢・時間帯をそろえたApple Watch固有の前向き検証が必要です。

なぜプライバシー上は重要なのか

リンク可能性は100%でなくても問題になり得ます。記録断片から候補を絞り、睡眠時刻、年齢、活動記録、位置情報など別の情報と組み合わせれば、候補をさらに狭められる可能性があるからです。ただし、今回の55.45%だけから、別日・別端末で実際に候補を絞れるとは結論できません。

この結果から、少なくとも次の予防原則が導かれます。

• 氏名を消しただけの細かなRR間隔やHRV特徴を「匿名」と決めつけない
• 生の心拍間隔だけでなく、特徴ベクトルやAIの埋め込みも識別性のある健康データとして扱う
• 必要な期間・粒度だけを保存し、不要になれば削除する
• 可能な限り端末内で処理し、サーバー送信や第三者共有を最小限にする
• 研究公開では個人別の埋め込み、最近傍表、照合可能な時系列をそのまま配布しない
• データ共有契約に、照合・再識別をしない条件を含める

Feelmoの設計にどう反映するか

FeelmoはHRVや睡眠のような身体データを、単なる表示用の数字ではなく、本人と結び付き得るセンシティブなデータとして扱います。既定では端末内で処理・保存し、提供者のサーバーへ自動送信しません。詳しい扱いはデータとプライバシーをご覧ください。

この研究が支えるのは「HRVで本人を当てる機能」ではありません。むしろ逆に、解析できる情報ほど外へ出さず、本人の端末の中で役立てるという設計原則です。

限界と次の検証

• 未査読の内部二次解析であり、独立研究者による再現が必要です
• 公開コホートごとにセンサー、計測環境、前処理が異なります
• 主要値は同じ安静時ECG記録の別区間であり、別日への持続性を示しません
• 保留211人のうち9人は事前の適格条件を満たさず除外しました。具体的な選別条件は公開していません
• 公開コホート間には記録誘導など取得方法の違いがあり、結果へ影響した可能性があります
• 別の内部評価も基準に届かず、睡眠・覚醒をまたぐ状態不変性は示されていません
• 閉集合top-5であり、実運用の本人認証を評価していません
• Apple Watchでは直接検証していません
• 今後はApple Watch固有の前向きデータ、外部コホート、状態別評価、未知人物を含む開集合評価が必要です

研究資料

• 公開用再監査：個人情報を含まない集計JSON。個人ID、個人別順位、特徴量、前処理コード、比較手順は含みません
• 内部解析：Paper 3（未査読・一般公開前）。特徴設計、品質条件、前処理、比較式、個人単位の配列や中間生成物は公開しません
• 解析規模：6コホート、1,227人
• 公開用主要値：Autonomic Agingの保留211人中、適格条件を満たした202人。同一記録内top-5 55.45%（112/202）
• 主要データ：Schumann A, Bär KJ. Autonomic Aging. 論文 doi:10.1038/s41597-022-01202-y・データ doi:10.13026/2hsy-t491
• 状態別データ：Rossi A, et al. A Public Dataset of 24-h Multi-Levels Psycho-Physiological Responses in Young Healthy Adults. Data. 2020;5(4):91. doi:10.3390/data5040091・MMASH v1.0.0 doi:10.13026/cerq-fc86
• 研究状態：未査読、公開データの内部二次解析

※ この内部研究は、Feelmoアプリの有効性を検証したものではありません。