Page 314 - 《软件学报》2026年第6期

陈毅飞 等: 安全可信的数据要素流通综述 2633

测的平台, 难以适用于跨组织、异构的分布式场景.
当前数据血缘技术主要分为侵入式和非侵入式两类. 侵入式方案溯源鲁棒性和可验证性强, 但可能带来数据
效用损失; 非侵入式方案对原始数据无损、部署灵活, 但依赖中心化平台或运行时分析, 难以适应跨域和动态环
境. 未来, 侵入式方案可探索可调控扰动强度和低损鲁棒标识, 以兼顾溯源能力和数据价值; 非侵入式方案可探索
跨平台和去中心化机制, 提升跨域流通环境下的血缘完整性验证能力.
4.6.3 隐私保护与可控溯源
数据溯源过程中, 隐私保护与溯源透明度存在矛盾. 一方面, 《中华人民共和国个人信息保护法》等法律法规
要求数据匿名化, 但可能导致溯源信息丢失; 另一方面, 完整的溯源记录又可能泄露敏感信息. 因此, 如何在隐私增
强技术下实现可控溯源, 成为平衡数据价值与安全的关键. 针对这一矛盾, 学界探索了隐私保护的数据溯源机制.
早期的隐私保护溯源机制主要通过密码学协议实现严格隐私保护. 例如, Li 等人 [86] 通过结合密码学承诺与不
经意传输将用户私钥嵌入数据, 仅授权实体能够提取解密, 实现隐私保护的溯源. Canovas Sanchez 等人 [95] 采用匿
名凭证和非交互式零知识证明, 既保护隐私信息, 又允许授权实体依法解密追溯. 这类方案能提供强有力的隐私安
全保障. 但由于保护策略静态预设, 灵活性不足, 难以适应复杂、动态的溯源需求.
一些研究探索了更为灵活的治理模式, 通过量化方式平衡隐私保护与溯源透明度. 例如 Deutch 等人 [146] 形式
化了溯源信息效用与查询隐私泄露的权衡, 提出溯源抽象化方法, 利用匿名技术评估隐私强度, 从而在数据可用性
与隐私保护之间找到最优平衡. 该模型首次对溯源效用和隐私泄露的权衡进行量化, 为理论研究提供了基础. 但该
类方案多基于静态、理想化假设, 在动态数据、多跳查询等复杂场景下支持有限, 实际应用较少.
总体来看, 隐私保护与可控溯源的治理正从静态、刚性走向动态、弹性权衡. 未来应围绕动态策略和最小披
露原则, 结合隐私-溯源权衡分析, 构建支持跨主体和多跳查询的可控溯源, 促进隐私保护与可控溯源深度融合.
4.6.4 小 结
本节分析了数据溯源阶段的 3 大可信挑战. 首先, 在元数据真实性保障方面, 现有技术分为基于密码学协议的
逻辑可信和依赖可信硬件的环境可信, 两者在信任基础、性能和部署灵活性上各具优劣, 未来有望通过融合实现
更优的安全性和适应性.
在数据血缘追踪上, 研究主要包括侵入式和非侵入式两种方式. 侵入式提升溯源鲁棒性, 但可能影响数据效用;
非侵入式对数据无损, 但受限于实现环境. 如何平衡鲁棒性和适用性是该领域的关键难题. 在隐私保护方面, 随着
溯源透明性与隐私矛盾加剧. 研究从静态、刚性的访问控制转向动态、可量化的隐私-效用权衡模型, 推动隐私保
护成为系统性、全局性的问题. 这种全流程的溯源体系, 既能支撑数据跨境流通中的合规审计, 也是解决数据交易
中确权与纠纷仲裁难题的关键手段.
总体来看, 数据溯源的可信保障正成为密码学、硬件安全、数据科学和治理理论等多领域交叉的研究前沿.
未来突破将依赖于在保障强安全性的同时, 实现高效、灵活、智能的协同溯源体系设计.
4.7 总 结
本节将数据采集、传输、存储、处理、发布和溯源这 6 个阶段的可信性挑战、现有技术方案及尚待解决问
题汇总于表 9. 在各阶段的可信技术中, 部分手段具备一定的溯源能力, 但仅用于本阶段自身, 不构成跨阶段的完
整溯源体系. 而本文所定义的溯源阶段是面向全链路的统一追踪, 与这些局部机制在范围与作用上均不同.

表 9 数据要素流通各阶段可信问题、现有研究工作以及待解决问题

流通阶段 问题 研究工作 技术路线 典型时间复杂度 待解决问题
大规模场景下受指纹稳定性与跨设
[106] 设备防伪造 PUF响应O(1)
采集设备可 备认证同步限制
数据 靠性 [107,108] 区块链信任评估 信任值计算O(1)+区块链O(共识)+ 受共识开销与设备行为暴露导致的
采集 信任值查询O(1) 隐私与性能瓶颈制约
采集数据真 [109] 数据校验 依赖校验方法, 通常为O(n), n为数 依赖专家经验, 跨场景适配性不足
实性 据长度