AccordHK · Blog

AccordHK · 实践笔记

【科技·未来】手机应用追踪接触者:科技公司比政府更重视隐私?

苹果与Google罕见地合作开发新冠肺炎接触者追踪系统,却引发了隐私保护与公共卫生数据需求之间的争论。本文介绍手机追踪的原理和局限,并分析各国选择分散式或集中式系统的原因。

Stock photo
Photo: Pexels

重点摘要

手机追踪可以协助人工追踪接触者,但无法取代人工工作和充足的检测。2020年5月,苹果与Google主张通过分散式匹配保护隐私,部分政府则选择集中式系统,希望收集更多数据,了解病毒传播。

两大科技巨头苹果(Apple)和Google上个月罕见地携手合作,宣布将共同开发追踪新冠肺炎患者接触者的手机应用,帮助尽早发现并阻断病毒传播,以便尽快解除社交限制、恢复经济。虽然不少国家支持这一做法,但更罕见的是,也有国家认为,两家公司过于重视隐私保护,牺牲了对抗疫重要数据的收集。手机究竟如何追踪病毒传播?面对疫情,隐私保护是否应该寸步不让?

苹果创始人乔布斯(Steve Jobs)生前发现Google正在开发与iOS竞争的智能手机平台时,曾扬言要对其发动“热核战争”。如今,面对席卷全球的新冠肺炎疫情,两大科技巨头放下了十多年来的“私怨”,于4月初宣布共同开发追踪冠状病毒传播的系统。

两家公司在联合声明中表示:“苹果及Google的全体员工相信,当前正是最需要我们携手合作的关键时刻,只有这样,我们才能解决全球最迫切的问题。”

要控制疫情,追踪传染病确诊患者到访过的每个地点和接触过的每个人,是一项重要手段。根据世界卫生组织(WHO)的指引,感染者应列出接触者名单,“努力查明名单上的每一位接触者,并告知其接触情况”。纽约州州长科莫(Andrew Cuomo)在上月底的记者会上估计,该州每10万人至少需要30名追踪人员,因此将雇用多达17,000名接触者追踪人员。他形容,这将是一支“追踪者大军”。

协助“追踪者大军”

不过,牛津大学学者分析指出,人工追踪接触者“太慢”,而且在大流行期间,很难扩大到足够的规模:“病毒传播太快,无法靠人工追踪接触者来控制,但如果这一过程更快、更有效、规模更大,就有可能控制……症状出现后,接触者追踪仅仅延迟半天,结果就可能天差地别,决定疫情是得到控制,还是卷土重来。”全球多个国家正将手机追踪应用视为更快、更大规模查找患者接触者的工具。正如美国波士顿儿童医院流行病学家兼首席创新官John Brownstein所说:“一般而言,过去的接触者追踪涉及大量人工操作。我们必须扩大公共卫生团队,而这项新技术可以减轻许多负担。”

苹果和Google计划采用的追踪方式是:运行相同或兼容应用的手机,通过蓝牙发送和接收基于密码学的“密钥”。当两部手机在一定距离内持续停留一段时间,例如在两米以内停留10分钟,就会交换密钥。虽然蓝牙本身无法直接测量距离,但可以根据信号强弱估算两部手机的接近程度,信号越强,代表接触距离越近。假设某人确诊新冠肺炎,并同意在手机应用中上报病情,其匿名用户编码就会上传至系统的中央数据库。其他用户的应用会自动定期与数据库核对,判断用户是否接触过患者,并发出通知,让用户尽快自行隔离或接受检测。

近年来,科技巨头因隐私保护不力而饱受批评和处罚,因此苹果和Google这次格外谨慎。按照其方案,个人接触记录保存在手机上,中央数据库只掌握哪些匿名身份已被确诊。此外,苹果和Google将先于本月发布应用程序编程接口(API),让各国公共卫生机构据此开发的追踪应用能够在Android和iOS设备之间互通运行。随后几个月,两家公司会将追踪功能分别直接整合到手机操作系统中,让用户无需通过应用就能收到通知。

两家公司表示,无意自行开发追踪应用,也不会从中收集任何数据;出于隐私考虑,在开发者请求获取位置数据之前,不会授予相关权限;同时承诺,追踪应用不会无限期运行,疫情受控后将停止支持。Google和苹果甚至将最初称为“接触者追踪”的应用,改称为“暴露通知”(exposure notification)应用,将功能定位从大规模监控转向更强调对个人的提醒。

苹果和Google还对API的使用设置了一些限制,以提高追踪应用的效率,同时加强隐私保护。例如,只有政府卫生部门可以创建应用;使用应用以及向公共卫生部门分享检测结果之前,必须征得用户同意;数据也不得用于定向广告或执法。由于匹配在每个人的手机上完成,而非由中央系统处理,苹果和Google的做法也称为分散式(decentralised)追踪。

这种追踪方式本身也存在不足。新加坡接触者追踪应用TraceTogether的产品负责人Jason Bay提醒,自动追踪无法完全取代人工追踪。许多关键信息,例如接触时所处环境是否通风良好、是否正在与一群人唱歌,都无法由手机追踪应用自动获取。人工追踪人员还可以专门跟进没有智能手机的贫困人群或老年人,这些群体受到新冠肺炎的影响较大。此外,抗疫不能只靠追踪,如果没有足够的检测工具,追踪也难以奏效。以追踪应用自愿使用率全球最高、达到38%的冰岛为例,负责追踪工作的督察Gestur Pálmason认为,早期迅速开展检测和隔离,才是抗疫成功的主要原因。

在技术层面,蓝牙追踪的效果也受到不少质疑。美国卫生与公众服务部前国家卫生信息技术协调员Farzad Mostashari向科技媒体《The Verge》指出,应用可能产生大量接触误报:“如果我身处空旷地带,即使你距离我超过六英尺,我们的蓝牙也可能连接;隔着公寓墙壁,或者身处大楼不同楼层,也可能连接,并触发一次密切接触警报。”甚至把手机竖着而非平放在口袋里,也会明显改变蓝牙接收信号的功率。

英国剑桥大学安全工程学教授Ross Anderson对此表示认同,并补充:“问题在于,蓝牙并不是为无线电测距而设计的……它会受到你如何握持设备、是否戴着手套、是否下雨等因素影响。换言之,你会收到大量误报。”他警告,误报除了令人厌烦,还可能产生“狼来了”的后果,让一些用户逐渐忽略真正的警报。应用设计本身也面临难题:两人相距多近、接触持续多久,才算可能传播疾病的密切接触?标准过于宽泛会造成大量误报,过于严格则可能漏报。

分散式与集中式之争

美国卡内基梅隆大学新技术实验室负责人Swarun Kumar指出,可以通过同时收集和分析更多其他数据,解决蓝牙的准确性问题:“手机上还有其他传感器。例如,环境光传感器可以判断手机是否放在口袋或钱包里,从而提示信号可能受到遮挡。指南针和陀螺仪则可以判断手机的朝向。”

也有专家主张,收集手机定位数据比使用蓝牙更有用。美国麻省理工学院媒体实验室副教授Ramesh Raskar指出,“位置和背景信息对接触者追踪非常重要”。使用蓝牙,“你只会收到通知,却不知道发生了什么。接触是在你戴着口罩逛杂货店时发生的,还是在社交活动或咖啡店里发生的?”

综合全球卫星定位系统(GPS)、移动网络和Wi-Fi信号获得的位置数据,可以显示一个人在何时出现于何地。位置追踪可能无法准确告诉你曾与感染者靠得多近,但至少能确定你去过哪里,以及当时还有多少人同时与感染者接触。Raskar和华盛顿大学的学者正分别开展以位置数据为主的项目,仅上传感染者的匿名行动轨迹,以追踪疫情扩散。

不过,苹果和Google对API设置的限制,使政府无法利用这一接口自行建立集中式追踪应用,或收集地理位置数据的追踪应用。法国政府原本计划于今年6月推出与医疗系统“绑定”的手机追踪应用StopCovid,但法国数字事务部长Cédric O要求这些科技公司放宽隐私保护规定,并未成功。他在本月初接受电视采访时批评:“苹果本来可以帮助我们让它运行得更好。一家财务状况从未如此良好的公司,竟然没有帮助政府应对危机。我们会记住这一点。”

因此,英国、法国、挪威、新加坡以及美国北达科他州等少数国家或地区,没有采用苹果和Google的方案,而是自行开发集中式(centralised)手机追踪应用。这样做的好处是,卫生部门可以自由收集蓝牙信息以外的用户数据。例如,英国国民医疗服务体系(NHS)的应用要求用户在首次打开时,输入邮政编码的前半部分;印度的应用则表示,除了蓝牙和定位数据,还会收集姓名、电话号码、性别,甚至是否吸烟,但不会公开这些资料。更重要的是,用户上报确诊后,这些接触记录和个人数据会一并上传至系统的中央数据库,由中央数据库统一识别并通知接触者。

NHS数字部门NHSX首席执行官Matthew Gould解释,收集到的接触事件信息,包括发生时间、信号强度、持续时间,以及正在收集的邮政编码,都有助于当局了解新冠疫情的传播。例如,他们希望利用这些数据,找出哪种接触方式最危险、导致传播的互动有何规律,以及一个人从接触感染者到上报症状,间隔了多长时间。Gould举例说,邮政编码可能揭示某个地区发生接触感染的情况,帮助医院和医疗系统提前准备,应对新一波疫情。

牛津大学流行病学专家兼NHSX顾问Christophe Fraser补充,通过集中式系统收集这些数据,可以进一步改进应用,更准确地通知潜在接触者:“其中一个好处是,随着科学证据不断积累,系统更容易接受审核,也能更快地作出相应调整。主要目的是通知感染风险最高的人群,而不是风险较低的人群。使用集中式系统,可能更容易做到这一点。”

因此,在选择追踪模式的问题上,目前形成了两大阵营:主流阵营采用苹果和Google的分散式追踪,因为这种模式更能保护隐私,已获得意大利、瑞士、爱尔兰、芬兰、奥地利、爱沙尼亚等多个国家支持;另一阵营则坚持集中式追踪。挪威于上月中旬推出的追踪应用Smittestopp同时收集蓝牙和位置数据。

不过,有些国家已经开始动摇,甚至转向另一阵营。截至上月中旬,德国仍支持名为“泛欧洲隐私保护接触者追踪”(PEPP-PT)的集中式追踪标准,但由于苹果拒绝配合,德国转而开发分散式追踪应用。原本采用集中式追踪的澳大利亚和哥伦比亚也即将改变方向。英国虽然正在南部的怀特岛(Isle of Wight)测试NHS开发的集中式追踪应用,但最近也为自己保留了另一种选择,同时聘请瑞士咨询公司Zühlke Engineering研究采用苹果和Google方案的可能性。Gould也向英国议会表示,不使用这两家科技巨头方案的决定并非不可逆转:“如果另一种方式能更有效地实现我们的目标,我们会改变……我想保证,我们不会仅仅因为已经开始走某条路线,就一直走下去。”

原文链接:https://bit.ly/2ATTdUL

常见问题

苹果与Google提出的系统如何通知可能接触过患者的人?

运行兼容应用的手机在一定距离内停留一段时间后,会通过蓝牙交换密钥。确诊用户同意上报病情后,其他用户的手机会与中央数据库核对,并向有相关接触记录的用户发送通知。

分散式追踪和集中式追踪有什么区别?

苹果与Google的分散式方案将接触记录保存在用户手机上,并在手机上完成匹配。集中式系统则在用户上报确诊后,上传接触记录和个人数据,由中央数据库统一识别并通知接触者。

为什么蓝牙追踪可能出现误报?

蓝牙信号强度不能直接测量距离,信号还可能穿过墙壁或连接不同楼层的手机。手机朝向、握持方式、是否戴手套以及是否下雨等因素,也可能影响信号,降低密切接触判断的准确性。

手机应用能取代人工追踪接触者吗?

文章指出,自动追踪无法完全取代人工追踪,因为应用不能获取通风情况、是否集体唱歌等重要背景信息。人工追踪还能覆盖没有智能手机的人群,而追踪要发挥作用,仍需要足够的检测工具。

为什么部分政府在2020年5月更倾向于集中式追踪?

集中式系统允许卫生部门收集更多信息,包括接触时间、信号强度、持续时间和邮政编码。支持者认为,这些数据可以帮助分析传播规律,让医疗系统提前做好准备,并提高通知的准确性。

更多 AccordHK 文章。

AccordHK

把下一步转化为实际行动。

与 AccordHK 探讨软件交付、人工智能工作流程或专题培训。

✆