2. 数据流通场景与安全需求分析

数据只有流动起来才能产生价值，但流动的每一步都在改变数据的暴露面。跨组织数据共享、数据交易、联邦协作这三类典型场景，参与方数量、数据是否离开原始持有方、信任关系强弱各不相同，因此它们对机密性、完整性、可用性、可控性与可审计性的要求权重也完全不同。本节先拆解三类场景的数据流向与信任边界，再逐项分析五类安全需求在其中的具体含义与落地要点。

三类典型场景的数据流向与信任边界

跨组织数据共享通常发生在政务、医疗、金融等机构之间，一方作为数据提供方，把原始数据或脱敏后的数据交付给使用方。数据一旦离开提供方的物理边界，就进入使用方的管理域，提供方对其后续流转基本失去直接控制。这类场景的信任关系多为“有限信任”，往往依赖合同、协议与合规审计来约束。

数据交易引入了交易平台这一第三方角色，数据从卖方经平台撮合后交付买方。平台可能只做撮合不接触数据，也可能承担托管、加工、定价等职能。参与方包括卖方、买方、平台，甚至还有评估机构，信任关系最复杂，且涉及经济利益，数据被复制、转售、超范围使用的动机最强。

联邦协作则不同，原始数据不出本地，各参与方只交换模型参数、梯度或中间计算结果。数据在物理上始终留在本地域，但参数本身可能携带隐私信息，存在被反演、推断的风险。这类场景的信任关系介于前两者之间，参与方既合作又互相防范。

五类安全需求在场景中的差异化落地

机密性关注数据不被未授权方获取。跨组织共享中，机密性主要靠脱敏、加密传输与访问控制实现，例如对身份证号采用保留格式加密，使共享数据仍可用于统计分析但无法还原原始值。数据交易中，机密性要求更高，因为买方可能试图复制转售，需要结合数字水印、使用次数限制、可信执行环境等手段。联邦协作中，机密性焦点从原始数据转向参数，需防范梯度反演攻击，常用差分隐私、安全聚合来加固。

完整性确保数据在传输、存储、使用过程中未被篡改。三类场景都要求完整性，但验证方式不同。跨组织共享可用哈希校验与数字签名，接收方比对摘要即可确认数据未被改动。数据交易中，平台需对数据产品做完整性存证，买方收货后校验，防止卖方交付与描述不符的数据。联邦协作中，完整性体现为参数更新的正确性，需要防范恶意参与方投毒，可通过鲁棒聚合算法或参数签名来识别异常更新。

可用性指授权方在需要时能正常访问数据。跨组织共享的可用性风险来自提供方单点故障或接口限流，需要设计冗余副本与降级策略。数据交易的可用性还涉及平台服务连续性，一旦平台宕机，交易与交付都会中断。联邦协作的可用性取决于各参与方是否按时上线参与训练，需要容忍部分节点掉线，例如设置最小参与方阈值。

可控性是数据流通中最容易被忽视却最关键的需求，核心是数据“可用不可滥”。跨组织共享中，可控性通过数据使用协议、目的限制、期限控制来实现，例如约定数据仅用于科研、三个月后销毁。数据交易中，可控性要求对数据使用范围、次数、衍生品进行约束，可借助智能合约或数据沙箱，让买方只能在受控环境中计算而不能导出原始数据。联邦协作中，可控性体现为对参数交换频率、精度、范围的限制，防止通过多轮交互推断出敏感信息。

可审计性要求数据流通的全过程可追溯、可举证。跨组织共享需记录谁在何时访问了哪些数据、用于什么目的。数据交易需记录挂牌、撮合、交付、结算的完整链路，便于纠纷时定责。联邦协作需记录每轮参与方、参数版本、聚合结果，确保训练过程可复现、可追责。可审计性通常依赖日志、区块链存证或第三方审计接口来实现。

需求识别与优先级判断

面对一个具体的数据流通项目，可以先回答三个问题来定位需求重心：数据是否离开原始持有方？参与方之间是否存在利益冲突？流通结果是否需要向监管或第三方举证？如果数据离开持有方且存在利益冲突，机密性与可控性应优先；如果需要举证，可审计性必须前置设计；如果参与方多且网络不稳定，可用性需要重点保障。

以某医疗数据交易为例，卖方为医院，买方为科研机构，平台负责撮合。医院最关心患者隐私不被泄露，因此机密性权重最高；科研机构关心数据真实可用，完整性权重高；平台需要留存交易凭证以备监管检查，可审计性权重高。据此，方案设计时应优先采用去标识化加可信执行环境保障机密性，用哈希存证保障完整性，用区块链记录交易链路保障可审计性，而不是平均用力。

需求识别完成后，还需要把每项需求转化为可验证的指标。例如机密性可转化为“原始数据不出域率100%”“重识别风险低于阈值”；完整性可转化为“校验通过率100%”；可控性可转化为“超范围使用拦截率100%”。只有指标可测量，安全设计才能被验证和持续改进。