1. 融合工程导论
隐私计算与数据治理原本是两条相对独立的技术路线。隐私计算关注“数据可用不可见”，通过多方安全计算、联邦学习、可信执行环境、差分隐私等密码学与系统手段，让数据在不泄露原始明文的前提下参与计算；数据治理关注“数据可管可控可追溯”，通过元数据、数据标准、质量规则、权限策略、生命周期管理等手段，让数据资产在组织内被规范地使用。当两者被放进同一个工程体系时，问题就不再是“选哪种隐私计算技术”或“建哪套治理制度”，而是如何让治理规则可被计算系统执行，让隐私计算过程可被治理体系审计。
一、融合的动因：从“合规可用”到“可运营的数据流通”
推动融合的第一层动因来自合规压力。个人信息保护法、数据安全法以及行业监管要求，使数据跨主体流通必须回答三个问题：数据是谁的、能用来做什么、做完之后如何证明没有越界。传统治理以制度和台账回答这些问题，但面对联邦学习、多方安全计算这类“数据不动模型动”的场景，台账无法描述一次计算任务中实际读取了哪些字段、经过哪些算子、输出了什么。隐私计算提供了技术上的最小必要与可验证性，但若缺少治理侧的字段级授权、用途绑定和审计留痕，技术能力就无法转化为合规证据。
第二层动因来自数据要素流通的经济性。数据只有被多主体联合使用才能释放更大价值，而联合使用的前提是参与方对“我的数据不会被对方拿走”有稳定预期。这种预期不能只靠合同，还需要工程上可验证的执行边界。治理体系负责定义“谁在什么用途下可以参与什么计算”，隐私计算负责在运行时强制执行这些约束。两者融合后，数据流通从一次性审批走向可配置、可计量、可复用的运营模式。
二、融合的边界：哪些事归治理，哪些事归隐私计算
融合不等于合并。清晰的边界是工程可落地的前提。数据治理侧负责策略的定义与生命周期：数据分类分级、字段敏感标签、主体授权、用途与目的限制、保留期限、审计要求、责任归属。隐私计算侧负责策略的执行与证明：任务编排、算子选择、密态计算、访问控制的技术实现、计算过程日志、结果披露控制。二者通过一个关键接口衔接——策略的可执行化。治理侧输出的策略必须能被翻译成计算侧可校验的约束，例如“字段A仅可用于风控评分，且输出不得包含原始值”，在计算侧应表现为字段白名单、算子限制和输出脱敏规则的组合。
三、核心挑战：四个必须正面回答的工程问题
挑战一：策略与执行的语义鸿沟。治理策略通常用自然语言或表格描述，而计算系统需要结构化、可判定的约束。同一句“仅用于联合建模”，在不同任务中可能对应不同的字段范围、样本范围和输出形式。若不做语义对齐，策略就会在执行时被放宽或误判。
挑战二：跨主体的信任与责任划分。多方计算中，每个参与方都既是数据提供方又是计算参与方。当结果异常或发生泄露时，需要能定位到具体环节。这要求计算过程产生可验证的日志，并与治理侧的授权记录关联，形成责任链。
挑战三：性能与合规的平衡。密态计算带来显著开销，字段级授权和审计留痕也会增加延迟。工程上需要在任务编排阶段就区分敏感级别，对高敏字段采用强隐私算子，对低敏字段采用轻量控制，而不是对所有数据统一套用最重方案。
挑战四：异构系统的互操作。不同厂商的隐私计算平台、不同组织的数据治理工具之间缺乏统一接口。融合工程需要定义策略描述、任务元数据、审计事件的交换格式，否则每接入一个新参与方都要重新开发。
四、工程化目标：把融合做成可交付的系统能力
融合工程的最终目标不是写出一份制度文件，也不是部署一套隐私计算平台，而是形成四项可交付的系统能力。
第一，策略可执行。治理侧的分类分级、授权、用途限制能够被自动编译为计算侧可校验的约束，减少人工翻译带来的偏差。例如，将“身份证号仅可用于身份核验，不可用于模型训练”编译为字段级白名单与算子黑名单的组合规则。
第二，执行可审计。每一次跨主体计算都产生结构化审计事件，包含任务标识、参与方、使用字段、算子类型、输出摘要和授权依据。审计事件与治理侧的授权记录通过任务标识关联，形成可追溯的证据链。
第三，边界可验证。参与方能够在计算前后验证对方是否遵守了约定约束。这既包括技术层面的证明（如零知识证明、可信执行环境远程认证），也包括治理层面的对账（如字段使用清单与授权清单比对）。
第四，能力可复用。策略模板、算子组件、审计格式、接入适配器能够沉淀为组织级资产，使新参与方接入时只需配置差异部分，而不是从头开发。
五、全课任务地图
围绕上述目标，本课程后续内容将沿四条主线展开。第一条主线是治理基础，建立分类分级、元数据、授权模型和审计框架，为策略可执行提供输入。第二条主线是隐私计算技术，覆盖多方安全计算、联邦学习、可信执行环境和差分隐私的工程适用条件与选型依据。第三条主线是融合机制，重点解决策略编译、任务元数据交换、审计事件关联和跨平台互操作。第四条主线是工程实践，通过场景化案例完成从需求分析、方案设计、参数配置到结果验证的完整闭环。
四条主线并非线性顺序，而是围绕“策略—执行—证据—复用”的循环迭代推进。学习者在每一章都应关注三个问题：这一层解决了融合中的哪个具体问题？它的输入和输出分别是什么？它如何与相邻层衔接？带着这三个问题进入后续章节，才能把分散的知识点组织成可落地的工程能力。