隱私計算+區塊鏈：教育數據倫理研究的新視角*

2023-09-21 08:44:30林小紅耿雨歌曹曉明

現代教育技術 2023年9期

關鍵詞：教育

張君林小紅耿雨歌曹曉明

張君林小紅耿雨歌曹曉明[通訊作者]

（深圳大學教育學部，廣東深圳 518060）

隨著教育大數據快速發展，研究者對數據倫理問題的關注日益增加。為有效解決當前教育數據倫理問題，文章從教育數據全生命周期視角，對各數據主體及其關系進行了分析。研究發現，當前教育數據倫理的關鍵問題是數據所有者與數據使用者的利益沖突問題。為解決此問題，文章構建了“隱私計算+區塊鏈”技術體系，并將隱私計算的三個技術方向——聯邦學習、安全多方計算、可信執行環境分別與區塊鏈技術相結合，介紹了“隱私計算+區塊鏈”的技術實現邏輯，并總結了該技術體系可解決的教育數據倫理問題。這一新研究視角，可應對新型的教育數據倫理問題，從而促進教育數據社會和諧、長久發展。

教育數據倫理；隱私計算；區塊鏈；教育大數據

隨著教育信息化的快速發展，教育數據挖掘成為研究熱點[1]。教育大數據作為教育領域的生產要素與基礎戰略性資源，可支持個性化學習資源推薦、學生數字畫像等智能教育應用。教育大數據雖然促進了教育數字化的快速建設以及人工智能與教育的深度融合，但也引發了教育數據隱私倫理挑戰。由于網絡的全面覆蓋，教育數據隱私范圍擴大，大數據技術打破了數據在時間和空間的界限，導致隱私保護變得更加困難[2]。同時，數據的公開、共享、挖掘及商業化可能導致隱私泄露，加劇了數據倫理問題的嚴重性。2022年，聯合國教科文組織發布《謹防數據泄露：保護學習者隱私與安全》報告，強調在教育數字化過程中要重視教育數據隱私與安全問題[3]。而保護教育數據隱私的主要途徑，是制度層面立法保護和技術層面實施保護[4]：立法可構建倫理準則，落實教育數據責任與權力邊界，促使數據使用者道德自律；技術則通過加密、匿名等方法保障教育數據隱私。不同于立法保護和規范約束依賴數據使用者主觀遵守，技術解決方案具有中立性，不受個人和社會觀念的影響，可以客觀、獨立地起到隱私保護作用[5]。基于此，本研究通過構建新型技術體系“隱私計算+區塊鏈”保障教育數據隱私安全，解決教育數據倫理問題。

一教育數據倫理的研究現狀

本研究的數據來源于“中國知網”和“Web of Science”，關鍵詞為“教育數據隱私（Education Data Privacy）”“學生隱私（Student Privacy）”“教育數據倫理（Ethics of Educational Data）”“教育數據安全（Education Data Security）”，期刊范圍限定為北大核心、CSSCI、SSCI、SCI期刊，檢索時間設為2013年1月至2022年12月，共檢索到中文文獻159篇、英文文獻533篇。通過閱讀標題、關鍵詞與摘要，本研究刪除書籍、會議、通知等類型的文章，最終得到符合研究要求的中文文獻98篇、英文文獻199篇。

本研究利用折線圖和CiteSpace，分別從時間、內容兩個維度對國內外有關“教育數據倫理”的研究成果進行整理分析：①時間方面，近10年國內外教育數據倫理相關文獻統計如圖1所示。文獻統計結果顯示，2017年以前，國內、國外在教育數據倫理方面的研究都比較少；自2017年起，國內相關研究數量呈上升趨勢，盡管2021年有所下滑，但2022年相關研究數量又重新增多，而國外相關研究數量自2018年起一直呈上升趨勢。②內容方面，國內、國外高頻關鍵詞的共現頻次聚類圖譜分別如圖2、圖3所示。在CiteSpace軟件設置界面，本研究將網絡節點類型設為“關鍵詞”，年度區間設為2013～2022年，時間切片設為1，引用頻次最高值設為TopN=50，之后按上述數據處理條件運行CiteSpace 6.1軟件，繪制了教育數據倫理相關研究高頻關鍵詞的共現頻次聚類圖譜，關鍵詞節點的大小表示對應主題出現的頻次高低。據統計，國內、國外關鍵詞的節點分別為143個、276個，節點間連線分別為310條、714條，節點間密度分別為0.0305、0.0188，可見國內外教育數據倫理研究的主題范圍較為廣泛，且分支較多。另外，圖2、圖3顯示，國內研究以智慧教育、教育數據為主，同時關注隱私保護、安全解決方案等內容。例如，劉三女牙等[6]從利益、價值等角度研究教育數據倫理問題，張譽元等[7]從教育數據生命周期視閾探討數據倫理問題的解決方法。而國外研究內容相對均衡，學習分析比較熱門，精神健康、學生隱私等亦受重視。例如，Rosenberg等[8]發現學生使用社交媒體（Facebook）可能存在學生隱私信息泄露的倫理問題，Brown等[9]分析了151份與學生信息隱私相關的政策。

圖1 2013～2022年國內外教育數據倫理相關文獻統計

圖2 國內高頻關鍵詞的共現頻次聚類圖譜（部分）

圖3 國外高頻關鍵詞的共現頻次聚類圖譜（部分）

二教育數據倫理的關鍵問題分析

由于倫理問題指的是人與人、人與社會發生交互時存在的問題，故本研究關注教育數據所有者、教育數據使用者、教育數據社會三個主體之間的交互關系，從“教育數據所有者—教育數據使用者”與“教育數據所有者—教育數據使用者—教育數據社會”兩個關系角度出發，研究由數據產生、數據存儲、數據使用、數據銷毀四個環節所構成的教育數據全生命周期中的關鍵倫理問題，結果如表1所示。

表1 教育數據倫理的關鍵問題

環節關系角度數據產生數據存儲數據使用數據銷毀 ①數據采集問題：數據是否授權采集、網頁隱私政策“形式主義”；②設備信任問題①數據存儲問題：數據允許存儲時長、存儲條件限制；②管理權限設計問題；③數據隱私安全問題①數據使用問題：數據是否可用以及可用場景、可用類型；②“算法歧視”與“算法黑箱”問題；③數據過度挖掘問題數據合法銷毀問題：是否及時刪除數據 ①校園反科技；②隱私倦怠①威脅數字身份；②侵犯人格權①成為算法囚徒；②人工智能恐懼現象侵犯隱私權

1 數據產生環節

數據產生環節主要涉及新教育數據的產生和采集。從“教育數據所有者—教育數據使用者”關系角度出發，存在的關鍵問題包括：①數據采集問題，即本環節中數據采集是否已獲得授權同意以及是否侵犯數據所有權。現有教育類APP常常沒有盡到對隱私政策的告知義務，對于學生用戶點“同意”隱私政策有較強的誘導性，導致“數據授權”的有效性降低[10]。②設備信任問題。如果學生對隱私數據收集存在擔憂，就容易出現非自我披露行為[11]，從而使得所采集的教育數據缺乏真實性。從“教育數據所有者—教育數據使用者—教育數據社會”關系角度來看，若數據未經授權使用者就隨意采集，或所有者對數據采集的設備不夠信任，可能會導致反科技現象，即數據所有者拒絕使用科技產品，違背現代數字社會的發展趨勢；也可能會走向另一個極端，即數據所有者產生隱私倦怠[12]，主動放棄隱私保護。

2 數據存儲環節

數據存儲環節是對教育各類數據信息進行存儲，并根據存儲的數據類型將數據分為學生的個人信息數據、學習行為痕跡數據與機器智能推斷數據[13]。從“教育數據所有者—教育數據使用者”關系角度出發，存在的關鍵問題包括：①數據存儲問題。不同類型的數據在存儲方式與存儲時長上存在差異，如學生個人信息數據屬于初級隱私信息，允許長期存儲；而學習行為痕跡數據屬于中級隱私信息，可要求以特征參數形式存儲，而不是完整數據存儲。②管理權限設計問題。數據存儲中的管理權限設計必須科學合理，否則極易產生倫理風險。例如，在2021年珠海“凈網2021”專項行動中，企業內部人員泄露了10萬條學生信息。③數據隱私安全問題。數據存儲應保障隱私安全，若隱私設計不充分，將會導致學生隱私泄露。例如，2022年的“學習通事件”超過1.7億用戶的隱私信息被泄露。從“教育數據所有者—教育數據使用者—教育數據社會”關系角度來看，由于網絡中學生專屬的“數字身份”包含大量個人信息，若隱私數據泄露，將嚴重威脅學生的數字身份，甚至侵犯其人格權[14]。

3 數據使用環節

數據使用環節是通過交換或運算教育數據，來發揮大數據價值，這是教育數據倫理中所涉問題最復雜的環節。從“教育數據所有者—教育數據使用者”關系角度出發，存在的關鍵問題包括：①數據使用問題，主要探討“某類教育數據是否獲得授權使用”“可使用場景是僅限學生本人，或學校建設，還是其他校外場景”“可使用的數據類型為明文、摘要信息還是特征數據”。②“算法歧視”與“算法黑箱”問題。數據計算意味著需要運用算法進行公式運算，以學生綜合評價模型為例，假設“學生綜合成績=學業成績×50%+品德×25%+體育×10%+勞動×10%+音樂美術×5%”，可以看出該算法歧視擅長非學科學習的學生，強調“學業成績論成敗”。另外，不是所有人都了解該算法對“好學生”的定義，故存在黑箱問題。③數據過度挖掘問題。人工智能強大的計算能力可能挖掘出數據之間的深層隱私信息[15]，而這類信息很可能侵犯數據所有者的隱私權。對于“教育數據社會”，“算法黑箱”易導致社會認知被技術“操控”，成為算法“囚徒”[16]；而數據的過度挖掘，易引發公眾對人工智能的恐懼。

4 數據銷毀環節

數據銷毀環節可通過技術手段使數據消失且無法恢復。從“教育數據所有者—教育數據使用者”關系角度出發，存在數據是否合法銷毀的關鍵問題，即當學生想撤回數據授權同意時，數據是否被及時刪除。對于“教育數據社會”而言，若數據沒有及時被刪除，則侵犯數據隱私權，產生違法行為。

當前，教育數據倫理問題主要為教育數據所有者的數據擁有權與教育數據使用者的使用行為之間的利益沖突：在數據產生環節，表現為數據所有者是否開放數據采集，而使用者是否惡意引導數據開放；在數據存儲環節，表現為數據所有者是否允許存儲數據，而使用者是否能安全地存儲管理數據；在數據使用環節，表現為數據所有者是否允許數據使用，而使用者的數據計算是否侵害數據所有者的利益或隱私；在數據銷毀環節，表現為數據所有者是否能自主銷毀數據，而使用者是否依法刪除數據。可見，教育數據倫理問題主要為數據的權利與行為問題。目前，權利問題的解決以法律法規為主，輔以技術手段進行隱私保護；同時，政府大力推動教育數據開放[17]，力圖打破教育“數據孤島”，使權利問題不再成為教育大數據技術發展的主要障礙。但是，行為問題會反向導致權利問題出現異常，即學生的隱私信息如果一直被盜用，學生可能更傾向于選擇不授權數據。因此，如何正確使用教育數據，實現教育數據隱私保護與安全共享計算，是當前教育數據倫理的關鍵問題，也是限制教育大數據進一步發展的挑戰之一[18]。

三 “隱私計算+區塊鏈”技術體系的構建

1 隱私計算與區塊鏈技術的結合

傳統的教育數據隱私保護常采用信息安全技術（如差分隱私、加密技術等[19][20]），難以適應教育大數據和智能教育階段對教育數據保護與倫理安全的要求[21]。2021年教育部等六部門印發《關于推進教育新型基礎設施建設構建高質量教育支撐體系的指導意見》，提出將區塊鏈技術與教育基礎設施深度融合，發揮教育數據價值，推動教育數字化轉型[22]。作為新型的教育數據管理方式，區塊鏈技術可以重構教育數據隱私安全與倫理范式。區塊鏈起源于比特幣[23]，通過分布式結構和相關輔助技術，構建可信的基礎設施，具有去中心化、不可篡改、可追溯、公開透明等特點。當前，教育區塊鏈可以實現數據可信存儲，保障數據的真實性，常應用于學分銀行、教育評價等場景[24][25]。然而，教育數據在區塊鏈中需以公開、透明的形式存儲，面臨數據隱私安全問題[26]。此外，隨著教育數據的增多與區塊鏈技術的普及，教育區塊鏈數量逐漸上升，但不同區塊鏈之間難以實現安全的教育數據共享與計算，從而限制了大數據價值的發揮[27]。

隱私計算是指在數據計算的同時保障數據隱私安全的技術集合[28]，實現“數據可用不可見”，從而解決“數據孤島”問題。例如，李默妍[29]提出將聯邦學習與教育數據挖掘相結合，以解決多方數據挖掘的隱私問題；郭利明等[30]利用聯邦學習構建學生綜合素質評價的數據共享機制，打破教育數據壁壘。隱私計算可實現數據隱私安全交換與計算，最大程度地發揮教育數據價值，解決當前教育數據倫理的關鍵問題——如何在共享與計算教育數據時，保護數據隱私與安全[31]。

綜上，盡管通過“隱私計算”可以實現數據隱私保護與安全共享計算，但如果共享交換的數據本身為假數據或低價值數據，那么就無法保障計算可信、不能發揮數據價值。另外，盡管區塊鏈可以保障數據可信，且存儲常為高價值數據。但在數據存儲方面，區塊鏈上的數據皆為明文，而當前匿名存儲技術發展還不成熟，存在隱私泄露風險[32]；在數據計算方面，由于區塊鏈存儲空間有限，在鏈上進行大規模計算會導致網絡共識性能和虛擬執行空間不足，故單純依靠區塊鏈無法實現實時高效的計算。而將隱私計算與區塊鏈技術相結合，可以實現鏈上鏈下同步計算，既可提高區塊鏈的數據計算能力，又可實現高價值數據的安全交換，從而發揮“1+1>2”的效果，有效解決教育數據倫理問題。

2 “隱私計算+區塊鏈”技術體系的設計

“隱私計算+區塊鏈”技術體系以區塊鏈為教育數據庫的技術基礎，存儲與共享交換教育數據，保障數據的真實性與價值；同時，以隱私計算邏輯為計算方法，保障教育數據隱私的安全，有效發揮教育大數據的價值。“隱私計算+區塊鏈”技術體系的架構設計如圖4所示，其中數據產生層與數據存儲層主要解決數據可信問題，保障數據不被竊取或篡改，且通過數據審計防止低價值數據上傳至區塊鏈，是有效發揮教育數據價值的前提；數據使用層通過隱私計算（聯邦學習和安全多方計算）解決“數據孤島”問題，是實現教育數據共享、發揮其價值的關鍵；數據應用層實現教育數據應用與銷毀，是發揮數據價值、實現成果輸出的最終環節。

圖4 “隱私計算+區塊鏈”技術體系的架構設計

圖5 “聯邦學習+區塊鏈”的實現流程（以構建學生數據模型為例）

3 “隱私計算+區塊鏈”的技術實現邏輯

由于隱私計算常被分為聯邦學習、安全多方計算與可信執行環境三個技術方向[33]，因此本研究將從教育應用案例的角度，介紹“隱私計算+區塊鏈”的技術實現邏輯。

（1）基于聯邦學習與區塊鏈的學生數據模型構建

“聯邦學習”由Google提出[34]，通過機器學習的分布式框架，各教育數據方無需交換原始數據，只需提供數據特征與模型相關參數，就能構建人工智能模型，打破“數據孤島”，發揮教育數據價值。區塊鏈也是分布式結構，其通過多節點間的“共識算法”保障教育數據的一致性，從而保證教育數據的真實性。聯邦學習與區塊鏈相輔相成[35]，助力構建高價值教育數據模型。

以構建學生數據模型為例，“聯邦學習+區塊鏈”的實現流程如圖5所示。首先，將某學生小學、初中、高中的教育數據都加入同一條區塊鏈中，利用區塊鏈的共識算法保障學生數據不可篡改。然后，從區塊鏈中分別提取該學生小學、初中、高中的在校數據模型。為保障數據隱私，將在加密狀態下對齊學生用戶樣本，確認共有用戶，同時不暴露其他學生的信息。該學生的三個階段數據模型并不是直接融合，而是以“模型特征參數”的密文形式參與模型運算，構建“學生數據模型”。最后，模型對密文參數解密后進行聯合計算，將產生的新模型參數返回給各方數據模型，各模型根據得到的參數更新自身模型。因此，聯邦學習不僅可實現多方數據模型構建，還可更新各教育數據方本地的數據模型參數，實現多方教育數據交換的價值。

（2）基于安全多方計算與區塊鏈的教育政務數據報表輸出

“安全多方計算”是由姚期智院士[36]提出的概念，是指通過聯合多方數據庫共同計算目標函數，實現數據本地計算，數據擁有方對數據的使用具有控制權，從而保障數據安全。但該技術只能保障計算過程的數據隱私安全，無法保障數據的真實性。而通過將安全多方計算與區塊鏈技術相結合，可以保障數據的真實性。該技術可應用于多參與方且對數據真實性要求高的場景，如構建終身評價體系、教育政務數據報表輸出等。

以教育政務數據報表輸出為例，“安全多方計算+區塊鏈”的實現流程如圖6所示。在無可信第三方、數據存儲不發生遷移的情況下，想要輸出教育政務數據報表，需要各教育單位分別從區塊鏈節點中獲取數據，并參與目標函數f(x)計算，計算過程中更新的教育政務數據和相關數據存儲于區塊節點。每個節點只能獲取函數的計算結果（如教育單位A只能獲取綜合的教育政務數據報表，而不能直接獲取教育單位B的明文政務數據），以保障多教育數據參與方的數據隱私安全。安全多方計算在一定程度上可以解決各數據方由于擔憂數據或計算結果被竊取而不參與數據聯合計算的問題，有助于實現教育數據互聯互通。而區塊鏈可以保障在安全多方計算的全過程中實時進行節點的數據存證與計算存證，從而保障數據不被篡改。

圖6 “安全多方計算+區塊鏈”的實現流程（以教育政務數據報表輸出為例）

（3）基于可信執行環境與區塊鏈的教育數據商業交易

可信執行環境常通過可信硬件（如ARM TrustZone、Intel SGX等）構建可信安全的硬件環境[37]，其環境內部分為可信執行環境和普通執行環境。這兩個環境是獨立分開的，擁有各自的硬件設備和計算空間，無授權不能訪問，以從硬件隔離層面保證數據的隱私和安全。由于可信硬件的成本相較于普通硬件更昂貴，因此僅建議在隱私風險較高的教育數據場景中使用可信執行環境。可信執行環境同樣無法保障數據來源真實可信，僅能保障數據在硬件環境中不被竊取與篡改，而將其與區塊鏈技術相結合，可有效解決這一問題。其中，區塊鏈主要負責數據存儲、數據認證等工作，而可信執行環境負責隱私風險高、易被攻擊的數據交易或數據計算工作。

以教育數據商業交易為例，“可信執行環境+區塊鏈”的實現流程如圖7所示。首先，由教育數據使用方提出數據需求，并請求交易。在找到教育數據提供方后，數據需經過區塊鏈認證是否真實。之后，在可信執行環境完成教育數據交易，以防止數據泄露侵犯隱私權，或外泄教育數據提供方的數據商業機密。最后，經過區塊鏈認證數據的真實性后，教育數據提供方將交易數據加密，并上傳至可信執行環境等待交易；數據使用方需在限定時間內支付費用，完成交易，并將交易記錄上傳區塊鏈存證，數據使用方便可獲得密鑰，獲取其所購買的教育數據。

四 “隱私計算+區塊鏈”技術體系支持教育數據倫理問題的解決

“隱私計算+區塊鏈”技術體系的主要功能，是實現數據的可信計算與隱私計算。為梳理該技術體系可解決的教育數據倫理問題，本研究從教育數據全生命周期（數據產生→數據存儲→數據使用→數據銷毀）角度，呈現“隱私計算+區塊鏈”技術體系的運行機制，如圖8所示。依托此運行機制，“隱私計算+區塊鏈”技術體系可解決的教育數據倫理問題如表2所示。

表2 “隱私計算+區塊鏈”技術體系可解決的教育數據倫理問題

環節運行步驟可解決的教育數據倫理問題數據產生①建立教育區塊鏈構建教育數據共同體，保障數據可信，從源頭解決教育數據產生與存儲的倫理問題，從而緩解校園反科技、隱私倦怠等極端現象 ②數據采集保證教育數據采集過程隱私安全，數據不受竊取或篡改 ③數據脫敏教育數據隱私存儲，解決數據隱私安全問題數據存儲④數據審計實現教育數據計算價值第一步，不存儲低價值數據 ⑤數據上鏈實現教育數據計算價值第二步，保障教育數據可信、不被篡改數據使用⑥鏈上計算（可信交易）保障教育數據在交換、計算過程中全過程信息的真實可信 ⑦鏈下計算（隱私計算）實現多教育數據方之間安全交換與隱私計算，發揮教育數據價值數據銷毀⑧數據資產轉移尊重教育數據所有者的權利，及時刪除需要銷毀的數據

教育大數據常來源于各類智能教學終端設備，如電腦、攝像頭、麥克風等。不同的設備可獲取不同類型的教育數據，包括學習行為數據、人臉數據、聲音數據等。“隱私計算+區塊鏈”技術體系為實現數據的可信計算與隱私計算，經歷了以下四個環節、八個運行步驟：