HRV 是「匿名資料」嗎——心率變異與再識別風險
刪除姓名和電子郵件地址後，心率變異（HRV）就會成為匿名健康資料嗎？使用公開資料進行的內部再稽核顯示，從同一筆紀錄分出的 HRV 區段，可能在 202 名候選人中被連結起來。區段建立方式等實作細節不公開。
但這不代表「任何人都能透過 Apple Watch 驗證身分」或「HRV 可以取代指紋」。這項結果是在同一測量 session 內，從封閉的候選人集合中尋找配對；尚未確認跨日期或不同裝置是否仍能追蹤同一人。另一個跨越睡眠與清醒狀態的內部模型也未通過驗證。
研究定位
本頁說明的是使用既有公開資料進行的尚未經同儕審查之內部二次分析。這不是直接以 Apple Watch 蒐集資料的驗證，也不代表醫療器材、認證產品或 Feelmo 本身的臨床效能。
這項研究調查什麼？
HRV 是對每次心搏之間的間隔變化進行摘要。健康與身心照護產品有時會把它與睡眠或恢復連結顯示，但 HRV 並不直接測量這些狀態。年齡、體格、心臟的自律神經性調節、呼吸、姿勢、生活習慣與測量條件等影響會互相重疊，因此其中也可能包含在同一個人身上相對穩定的特徵。
研究因此檢驗以下問題：
使用 HRV 衍生資訊的研究用比較方法，能否在候選人中連結從同一筆靜息 ECG 紀錄切出的不同區段？
這不是用來解鎖密碼的身分驗證實驗，而是查看匿名紀錄片段能否互相連結的同一紀錄內可連結性實驗。它探討的是比直接猜出姓名的再識別更前一個階段。
資料與方法
Paper 3 全體整合了 6 個公開世代研究（Autonomic Aging、Fitbit PMData、MMASH、Fantasia、MIT-BIH Normal Sinus Rhythm、CinC 2018），共 1,227人。資料包含靜息 ECG、步行時的 RR 間隔、睡眠相關紀錄，以及長期穿戴裝置紀錄。
研究建立多種 HRV 衍生資訊，並以受試者為單位切分資料，避免同一人的紀錄同時混入訓練端與評估端。
公開用再稽核使用 Autonomic Aging 世代研究。在從訓練中保留的 211 人裡，納入符合預先適格條件的 202人。分析使用同一筆紀錄的不同區段，但具體分割、篩選與比較規則不公開。
研究用比較方法使用 HRV 衍生資訊。「top-5」表示正確對象出現在所列 5 名候選人內的比例。特徵設計、區段建立方式、品質與篩選條件、前處理、比較公式等實作細節不公開。因此，第三方無法完整重現相同分析，也是本研究的限制之一。
主要結果
| 評估 | 實測 | 隨機排序的機率 | 95% Wilson區間 |
|---|---|---|---|
| top-1 | 62 / 202（30.69%） | 0.50% | 24.74–37.36% |
| top-5 | 112 / 202（55.45%） | 2.48% | 48.55–62.13% |
| top-10 | 133 / 202（65.84%） | 4.95% | 59.06–72.03% |
在反轉比較方向的敏感度分析中，top-5 也是 55.94%。只打亂正確對應關係的檢定執行了 20,000 次。以此重複次數，單尾 p 值的最小報告單位為 0.00005。公開彙整檔沒有收錄等於或高於觀測值的重複次數，因此無法只靠該檔案重新計算觀測 p 值。
在固定 202 名候選人、只重新抽樣查詢對象的 bootstrap 中，top-5 的條件式 95% 區間為 48.51–61.88%，與 Wilson 區間接近。但兩者都不是對未來使用者或實際運用的效能保證。
重要的失敗結果——在睡眠與清醒間無法同樣運作
Paper 3 的另一個尚未經同儕審查之模型，未達到事先設定的評估條件，無法確認「個人特徵跨越睡眠與清醒後仍能保留」。該模型不能與上述比較方法直接相比。在同時具有兩種狀態的 MMASH 15 人資料中，結果如下：
- 以睡眠資料登錄、用清醒資料比對：top-5 56.13%
- 以清醒資料登錄、用睡眠資料比對：top-5 42.99%
結果未達事先設定的內部標準。標準的具體數值與判定規則不公開。睡眠與清醒之間，呼吸、姿勢、活動、心率的神經性調節等多項條件都會改變。這項結果未能確認跨狀態仍維持穩定的可連結性，也不能聲稱存在永遠不變的「心跳指紋」。
top-5 準確率不是「認證準確率」
它是在候選人已確定的封閉集合內，正確對象包含於 5 名候選人的比例。研究沒有評估拒絕未知人物的能力、防範冒用的強度或錯誤接受率，因此不能與安全產品的身分驗證效能相比。
關於 Apple Watch：已知與未知
本研究沒有直接驗證 Apple Watch。6 個世代研究包含 ECG、RR 間隔、睡眠相關紀錄、Fitbit 長期紀錄等不同蒐集條件，但沒有以同一套流程前瞻性蒐集的 Apple Watch 資料。
因此，不能改述成以下說法：
- 「Apple Watch 的 HRV 能高準確度辨識本人」
- 「可以用 Apple Watch 做生物辨識」
- 「Feelmo 正在透過心跳辨識使用者」
Apple Watch 的光學感測器、取樣時機、體動造成的缺失與 OS 端處理都可能影響結果。若要了解直接效能，需要進行 Apple Watch 專屬的前瞻性驗證，並統一裝置、姿勢與時段。
為什麼這對隱私很重要？
即使可連結性不是 100%，仍可能構成問題。若先從紀錄片段縮小候選範圍，再與睡眠時間、年齡、活動紀錄、位置資訊等其他資料結合，候選範圍可能進一步縮小。但僅憑本次的 55.45%，無法斷定在不同日期或不同裝置上真的能縮小候選範圍。
這項結果至少支持以下預防原則：
- 不要只因刪除姓名，就把細緻的 RR 間隔或 HRV 特徵認定為「匿名」
- 不只原始心搏間隔，特徵向量與 AI embedding 也應視為可能具有識別性的健康資料
- 只儲存必要的期間與粒度，不再需要時就刪除
- 盡可能在裝置端處理，將伺服器傳送與第三方分享降到最低
- 公開研究時，不要直接發放個人 embedding、最近鄰表格或可供比對的時間序列
- 在資料共享協議中加入禁止比對與再識別的條件
如何反映在 Feelmo 的設計中？
Feelmo 將 HRV 與睡眠等身體資料視為可能與本人連結的敏感資料，而不只是用來顯示的數字。預設是在裝置內處理與儲存，不會自動傳送到服務提供者的伺服器。詳情請參閱資料與隱私。
本研究並不支持「用 HRV 猜出本人」的功能。恰恰相反，它支持的設計原則是：資訊越能被分析，就越應避免傳到外部，而是在使用者自己的裝置內發揮作用。
限制與下一步驗證
- 這是尚未經同儕審查的內部二次分析，需要由獨立研究者重現
- 各公開世代研究的感測器、測量環境與前處理不同
- 主要數值來自同一筆靜息 ECG 紀錄的不同區段，無法證明特徵可持續到不同日期
- 保留的 211 人中，有 9 人不符合預先適格條件而被排除。具體篩選條件不公開
- 公開世代研究之間的導程等資料取得方式不同，可能影響結果
- 另一項內部評估也未達標準，未顯示跨越睡眠與清醒的狀態不變性
- 這是封閉集合的 top-5，並未評估實際運用的身分驗證
- 沒有直接以 Apple Watch 驗證
- 未來需要 Apple Watch 專屬的前瞻性資料、外部世代研究、按狀態分層評估，以及包含未知人物的開放集合評估
研究資料
- 公開用再稽核：不含個人資訊的彙整 JSON。不包含個人 ID、個別排序、特徵、前處理程式碼與比較步驟
- 內部分析：Paper 3（尚未經同儕審查、尚未公開）。不公開特徵設計、品質條件、前處理、比較公式、個人層級陣列或中間產物
- 分析規模：6 個世代研究、1,227 人
- 公開用主要數值：Autonomic Aging 保留的 211 人中，202 人符合適格條件；同一紀錄內 top-5 為 55.45%（112/202）
- 主要資料：Schumann A, Bär KJ. Autonomic Aging. 論文 doi:10.1038/s41597-022-01202-y・資料 doi:10.13026/2hsy-t491
- 狀態資料：Rossi A, et al. A Public Dataset of 24-h Multi-Levels Psycho-Physiological Responses in Young Healthy Adults. Data. 2020;5(4):91. doi:10.3390/data5040091・MMASH v1.0.0 doi:10.13026/cerq-fc86
- 研究狀態：尚未經同儕審查；使用公開資料進行的內部二次分析
※ 這項內部研究並未驗證 Feelmo App 的有效性。