HRV 是“匿名数据”吗？——心率波动与再识别风险
删除姓名和电子邮件地址后，心率变异性（HRV）就会成为匿名健康数据吗？使用公开数据进行的内部复核显示，在 202 名候选者中，来自同一记录的不同 HRV 片段可能被链接起来。片段划分方式等实现细节未公开。
但这并不意味着“任何人都能用 Apple Watch 验证身份”或“HRV 可以代替指纹”。该结果是在同一测量会话内，从封闭候选集合中查找得到的；研究没有确认在不同日期或不同设备间也能追踪同一个人。另一项跨越睡眠和清醒状态的内部模型验证也失败了。
研究定位
本页介绍的是使用已公开数据进行的未经同行评审的内部二次分析。它不是对 Apple Watch 直接采集数据的验证，也不代表医疗器械、认证产品或 Feelmo 本身的临床性能。
这项研究考察了什么？
HRV 概括的是相邻心搏间隔的变化。它在健康产品中有时会与睡眠或恢复一起显示，但并不直接测量这些状态。年龄、体型、心脏的自主神经调节、呼吸、姿势、生活习惯和测量条件等都会影响 HRV，因此其中也可能包含同一个人相对稳定的特征。
研究考察了下面这个问题：
能否使用基于 HRV 衍生信息的研究比较方法，在候选者中链接来自同一静息 ECG 记录的不同片段？
这不是解锁密码的身份认证实验，而是检验匿名记录片段能否互相链接的同一记录内可链接性实验。它讨论的是比推断姓名更早一步的问题。
数据与方法
Paper 3 整体汇总了 6 个公开队列（Autonomic Aging、Fitbit PMData、MMASH、Fantasia、MIT-BIH Normal Sinus Rhythm、CinC 2018）中 1,227 人的记录。数据包括静息 ECG、步行时 RR 间期、睡眠相关记录和长期可穿戴设备记录。
研究生成多种 HRV 衍生信息，并按参与者划分数据，避免同一个人的记录同时混入训练组和评估组。
公开复核使用 Autonomic Aging 队列。在从训练中留出的 211 人中，分析了满足预设资格条件的 202 人。虽然使用了同一记录的不同片段，但具体划分、筛选和比较规则未公开。
研究比较使用 HRV 衍生信息。“top-5”表示正确答案出现在给出的 5 名候选者之中的比例。特征设计、片段构建、质量与筛选条件、预处理和比较公式等实现细节均未公开。因此，第三方无法完整复现同一分析，这也是研究局限之一。
主要结果
| 评估 | 实测结果 | 随机排序概率 | 95% Wilson 区间 |
|---|---|---|---|
| top-1 | 62 / 202（30.69%） | 0.50% | 24.74–37.36% |
| top-5 | 112 / 202（55.45%） | 2.48% | 48.55–62.13% |
| top-10 | 133 / 202（65.84%） | 4.95% | 59.06–72.03% |
将比较方向反转的敏感性分析中，top-5 也为 55.94%。研究进行了 20,000 次仅打乱正确配对关系的检验。在这一重复次数下，单侧 p 值的最小报告单位为 0.00005。公开汇总文件没有记录达到或超过观测值的重复次数，因此仅凭该文件无法重新计算观测 p 值。
在固定 202 名候选者、只重新抽取查询对象的 bootstrap 分析中，top-5 的条件 95% 区间为 48.51–61.88%，接近 Wilson 区间。不过，这两个区间都不是对未来用户或实际使用性能的保证。
重要的失败结果——跨越睡眠与清醒时，方法并没有同样奏效
Paper 3 中另一个未经同行评审的模型，没有达到“个人特征能跨越睡眠与清醒状态保持”的预设评估条件。该模型不能与上述比较流程直接对比。在同时具有两种状态记录的 15 名 MMASH 参与者中，结果如下：
- 用睡眠记录注册、用清醒记录匹配：top-5 56.13%
- 用清醒记录注册、用睡眠记录匹配：top-5 42.99%
结果没有达到预先设定的内部标准。标准的具体数值和判定规则未公开。睡眠与清醒状态之间，呼吸、姿势、活动以及对心率的神经调节等多种条件都会变化。因此，本结果没有确认跨状态仍稳定的可链接性，也不能据此声称存在永远不变的“心率指纹”。
top-5 准确率不等于“认证准确率”
它表示在候选者已知的封闭集合中，正确答案落入 5 名候选者的比例。研究没有评估拒绝陌生人的能力、抵抗冒充的能力或错误接受率，因此不能与安全产品的身份认证性能比较。
关于 Apple Watch：我们知道什么、不知道什么？
这项研究没有直接验证 Apple Watch。6 个队列包含 ECG、RR 间期、睡眠相关记录和 Fitbit 衍生长期记录等不同采集条件，但没有使用统一方案前瞻性采集的 Apple Watch 数据。
因此，不能把结果改写成以下说法：
- “Apple Watch HRV 能高精度识别本人”
- “Apple Watch 可以进行生物特征认证”
- “Feelmo 会用心率识别用户”
对于 Apple Watch，光学传感器、采样时机、运动导致的数据缺失和操作系统处理都会影响结果。要了解直接性能，需要在设备、姿势和时段一致的条件下，对 Apple Watch 开展专门的前瞻性验证。
为什么这对隐私很重要？
即使可链接性不是 100%，也可能带来问题。记录片段可能先缩小候选范围，再与睡眠时间、年龄、活动记录、位置信息等其他数据结合，进一步缩小范围。不过，不能仅凭本次 55.45% 的结果，就断定在不同日期、不同设备之间也真的能缩小候选范围。
至少可以从结果中得到以下预防原则：
- 不要因为删除了姓名，就认定细粒度 RR 间期或 HRV 特征已经“匿名”
- 不仅原始心搏间隔，特征向量和 AI 嵌入也应作为可能具有可识别性的健康数据处理
- 只保留必要期限和粒度的数据，不再需要时删除
- 尽可能在设备端处理，减少服务器传输和第三方共享
- 发布研究数据时，不直接分发个人嵌入、最近邻表或可用于匹配的时间序列
- 在数据共享协议中加入禁止匹配和再识别的条款
如何反映到 Feelmo 的设计中？
Feelmo 不把 HRV 和睡眠等身体数据只看作显示用数字，而是视为可能与个人关联的敏感数据。默认在设备端处理和保存，不会自动发送到提供方服务器。详情请参阅数据与隐私。
这项研究支持的并不是“用 HRV 猜出本人”的功能。恰恰相反，它支持这样一项设计原则：信息越有分析价值，越应避免传到外部，而应在用户自己的设备上发挥作用。
局限与下一步验证
- 这是未经同行评审的内部二次分析，需要独立研究者复现
- 不同公开队列的传感器、测量环境和预处理不同
- 主要数值来自同一静息 ECG 记录的不同片段，不能说明特征能延续到不同日期
- 留出的 211 人中有 9 人因不满足预设资格条件而被排除。具体筛选条件未公开
- 不同公开队列之间存在 ECG 导联配置等采集差异，可能影响结果
- 另一项内部评估也未达标准，没有显示跨越睡眠和清醒状态的不变性
- 这是封闭集合 top-5 评估，不是对实际身份认证的评估
- 未直接使用 Apple Watch 验证
- 未来需要 Apple Watch 专用前瞻性数据、外部队列、分状态评估，以及包含未知人员的开放集合评估
研究资料
- 公开复核：不含个人信息的汇总 JSON。不含个人 ID、个人排名、特征、预处理代码或比较流程
- 内部分析：Paper 3（未经同行评审、尚未公开发布）。特征设计、质量条件、预处理、比较公式、个人级数组及中间产物均不公开
- 分析规模：6 个队列，1,227 人
- 公开主要结果：Autonomic Aging 留出组 211 人中，202 人满足资格条件。同一记录内 top-5 为 55.45%（112/202）
- 主要数据：Schumann A, Bär KJ. Autonomic Aging. 论文 doi:10.1038/s41597-022-01202-y · 数据 doi:10.13026/2hsy-t491
- 状态数据：Rossi A, et al. A Public Dataset of 24-h Multi-Levels Psycho-Physiological Responses in Young Healthy Adults. Data. 2020;5(4):91. doi:10.3390/data5040091 · MMASH v1.0.0 doi:10.13026/cerq-fc86
- 研究状态：未经同行评审，公开数据的内部二次分析
※ 这项内部研究没有验证 Feelmo 应用的有效性。