2、隐私计算基础：定义、技术分类与原理对比

在联合风控场景中，多家机构希望共享黑名单、欺诈特征、多头借贷指数等敏感数据，却又受制于《个人信息保护法》《数据安全法》以及商业机密约束。隐私计算（Privacy Computing）正是在“数据可用不可见”原则下，实现跨机构数据联合计算的技术集合。本章将系统梳理隐私计算的定义、五大主流技术分支（多方安全计算、联邦学习、可信执行环境、差分隐私、同态加密）的核心原理、优缺点及适用场景，为后续联合风控方案设计奠定技术选型基础。

2.1 隐私计算的定义与核心思想

隐私计算是指在保证数据提供方不泄露原始数据的前提下，对数据进行计算分析的一系列技术集合。其核心目标可概括为“数据可用不可见，数据不动模型动，计算过程可验证”。在联合风控中，这意味着银行、消金公司、互联网平台等参与方可以在不暴露各自黑名单、多头借贷记录、设备指纹等敏感信息的前提下，共同训练风控模型或执行联合查询。

从技术实现路径来看，隐私计算可分为密码学路径（如MPC、同态加密）、硬件路径（如TEE）、算法扰动路径（如差分隐私）以及分布式机器学习路径（如联邦学习）。不同路径在安全性假设、计算效率、通信开销和适用场景上差异显著。

2.2 五大核心技术原理与优缺点

2.2.1 多方安全计算（MPC）

核心原理：多方安全计算基于秘密共享（Secret Sharing）、混淆电路（Garbled Circuit）、不经意传输（Oblivious Transfer）等密码学协议，将数据拆分为多个随机份额分发给不同参与方，各方在本地对份额进行计算，最终通过交换中间结果重构最终输出。整个过程不暴露任何一方的原始份额。

2.2.2 联邦学习（FL）

核心原理：联邦学习采用“数据不动模型动”的分布式训练范式。各参与方在本地使用自有数据训练模型，仅上传模型梯度或参数（而非原始数据）至中心服务器或通过去中心化协议进行聚合更新。根据数据分布方式，可分为横向联邦（样本重叠少、特征重叠多）、纵向联邦（样本重叠多、特征重叠少）和联邦迁移学习。

2.2.3 可信执行环境（TEE）

核心原理：TEE基于CPU硬件级隔离技术（如Intel SGX、ARM TrustZone），在CPU内部构建一个隔离的“安全飞地”（Enclave）。数据在飞地内解密、计算、加密后再输出，操作系统、虚拟机监控器甚至物理机管理员都无法访问飞地内部数据。通过远程证明（Remote Attestation）机制，参与方可验证飞地代码的真实性与完整性。

2.2.4 差分隐私（DP）

核心原理：差分隐私通过在查询结果或训练过程中注入精心设计的随机噪声（如拉普拉斯噪声、高斯噪声），使得攻击者无法判断某个特定个体是否在数据集中。其数学定义保证了相邻数据集（仅相差一条记录）的输出分布差异被限制在ε范围内（ε为隐私预算，越小隐私保护越强）。

2.2.5 同态加密（HE）

核心原理：同态加密允许直接在密文上执行加法或乘法运算，解密后的结果与明文直接运算的结果一致。根据支持运算类型，分为部分同态（PHE，仅支持加法或乘法之一）、Somewhat同态（SWHE，支持有限次加乘）和全同态（FHE，支持任意次加乘）。

2.3 技术对比与选型决策框架

2.4 案例拆解：某消费金融公司联合反欺诈项目

背景与约束：某头部消费金融公司（机构A）与两家互联网平台（机构B、机构C）合作，希望整合三方数据构建更精准的反欺诈模型。机构A拥有丰富的贷后表现数据，机构B拥有设备指纹和社交关系数据，机构C拥有电商消费行为数据。三方均不愿泄露原始数据，且要求计算延迟低于500ms（在线推理场景）。

初始现象与目标：机构A原有模型AUC为0.72，欺诈召回率仅65%。引入外部数据后，目标是将AUC提升至0.78以上，欺诈召回率提升至75%以上，同时满足合规要求。

关键输入与参数：

• 数据规模：机构A约5000万用户，机构B约8000万用户（重叠约3000万），机构C约6000万用户（重叠约2500万）
• 特征维度：三方合计约120个特征，其中重叠特征约20个
• 延迟要求：在线推理P99 < 500ms
• 合规约束：数据不出域，需通过等保三级审计

分析判断过程：

1. 数据分布分析：三方用户重叠度较高（约40%-50%），属于典型的纵向联邦场景（样本对齐多、特征互补）。
2. 技术选型评估：若采用MPC进行特征交叉，120个特征的在线计算预计耗时2-3秒，无法满足500ms延迟要求；若采用TEE，需三方均部署SGX服务器，且需解决远程证明互信问题；若采用同态加密，性能完全不可行。
3. 最终方案：采用“纵向联邦学习 + TEE混合方案”。离线训练阶段使用纵向联邦学习（FATE框架），在线推理阶段将训练好的模型部署在机构A的TEE飞地内，机构B和机构C通过加密传输特征值至飞地完成推理。

实际操作步骤：

# 步骤1：样本对齐（PSI隐私集合求交）
# 使用RSA盲签名协议，三方共找到2800万重叠用户

# 步骤2：纵向联邦特征工程
# 机构B计算设备风险分（设备root/越狱、模拟器检测）
# 机构C计算消费行为异常分（夜间交易占比、退款率）
# 通过同态加密交换中间统计量，不泄露原始特征

# 步骤3：联邦模型训练（XGBoost + SecureBoost）
# 三方各自训练本地子树，仅交换梯度直方图
# 训练轮次：50轮，每轮通信耗时约3秒

# 步骤4：在线推理部署
# 模型转换为TEE可执行文件（Gramine/SGX）
# 机构B/C通过HTTPS + 国密SM4加密传输特征
# 飞地内完成推理，返回欺诈概率分数

结果对比：

风险与代价：

• 联邦训练阶段通信耗时较长（约25分钟/轮），需提前离线完成
• TEE部署需额外采购SGX服务器，成本增加约30万元/节点
• 三方联合调试耗时约3周，主要花在特征对齐和加密参数调优上

复盘经验：

2.5 常见误区与总结

误区一：隐私计算=安全。任何技术都有安全假设边界。MPC假设参与方不会合谋，TEE信任CPU厂商，DP存在隐私预算耗尽风险。在联合风控中，需明确威胁模型并设置多层防护。

误区二：隐私计算性能一定差。TEE的性能已接近明文计算，联邦学习在异步训练模式下也可满足准实时需求。关键在于场景匹配。

误区三：多种技术互斥。实际工程中，MPC+FL、TEE+DP、HE+MPC等混合方案越来越普遍。例如，联邦学习中的梯度聚合可叠加MPC安全聚合，TEE中的查询结果可叠加DP扰动后再输出。

误区四：忽略合规审计。隐私计算并非合规“免死金牌”，仍需通过数据安全影响评估（PIA）、等保测评等合规流程。建议在项目初期即引入法务和安全团队参与方案设计。