隐私计算+区块链：教育数据伦理研究的新视角*

2023-09-21 08:44林小红耿雨歌曹晓明

现代教育技术 2023年9期

张君林小红耿雨歌曹晓明

张君林小红耿雨歌曹晓明[通讯作者]

（深圳大学教育学部，广东深圳 518060）

随着教育大数据快速发展，研究者对数据伦理问题的关注日益增加。为有效解决当前教育数据伦理问题，文章从教育数据全生命周期视角，对各数据主体及其关系进行了分析。研究发现，当前教育数据伦理的关键问题是数据所有者与数据使用者的利益冲突问题。为解决此问题，文章构建了“隐私计算+区块链”技术体系，并将隐私计算的三个技术方向——联邦学习、安全多方计算、可信执行环境分别与区块链技术相结合，介绍了“隐私计算+区块链”的技术实现逻辑，并总结了该技术体系可解决的教育数据伦理问题。这一新研究视角，可应对新型的教育数据伦理问题，从而促进教育数据社会和谐、长久发展。

教育数据伦理；隐私计算；区块链；教育大数据

随着教育信息化的快速发展，教育数据挖掘成为研究热点[1]。教育大数据作为教育领域的生产要素与基础战略性资源，可支持个性化学习资源推荐、学生数字画像等智能教育应用。教育大数据虽然促进了教育数字化的快速建设以及人工智能与教育的深度融合，但也引发了教育数据隐私伦理挑战。由于网络的全面覆盖，教育数据隐私范围扩大，大数据技术打破了数据在时间和空间的界限，导致隐私保护变得更加困难[2]。同时，数据的公开、共享、挖掘及商业化可能导致隐私泄露，加剧了数据伦理问题的严重性。2022年，联合国教科文组织发布《谨防数据泄露：保护学习者隐私与安全》报告，强调在教育数字化过程中要重视教育数据隐私与安全问题[3]。而保护教育数据隐私的主要途径，是制度层面立法保护和技术层面实施保护[4]：立法可构建伦理准则，落实教育数据责任与权力边界，促使数据使用者道德自律；技术则通过加密、匿名等方法保障教育数据隐私。不同于立法保护和规范约束依赖数据使用者主观遵守，技术解决方案具有中立性，不受个人和社会观念的影响，可以客观、独立地起到隐私保护作用[5]。基于此，本研究通过构建新型技术体系“隐私计算+区块链”保障教育数据隐私安全，解决教育数据伦理问题。

一教育数据伦理的研究现状

本研究的数据来源于“中国知网”和“Web of Science”，关键词为“教育数据隐私（Education Data Privacy）”“学生隐私（Student Privacy）”“教育数据伦理（Ethics of Educational Data）”“教育数据安全（Education Data Security）”，期刊范围限定为北大核心、CSSCI、SSCI、SCI期刊，检索时间设为2013年1月至2022年12月，共检索到中文文献159篇、英文文献533篇。通过阅读标题、关键词与摘要，本研究删除书籍、会议、通知等类型的文章，最终得到符合研究要求的中文文献98篇、英文文献199篇。

本研究利用折线图和CiteSpace，分别从时间、内容两个维度对国内外有关“教育数据伦理”的研究成果进行整理分析：①时间方面，近10年国内外教育数据伦理相关文献统计如图1所示。文献统计结果显示，2017年以前，国内、国外在教育数据伦理方面的研究都比较少；自2017年起，国内相关研究数量呈上升趋势，尽管2021年有所下滑，但2022年相关研究数量又重新增多，而国外相关研究数量自2018年起一直呈上升趋势。②内容方面，国内、国外高频关键词的共现频次聚类图谱分别如图2、图3所示。在CiteSpace软件设置界面，本研究将网络节点类型设为“关键词”，年度区间设为2013～2022年，时间切片设为1，引用频次最高值设为TopN=50，之后按上述数据处理条件运行CiteSpace 6.1软件，绘制了教育数据伦理相关研究高频关键词的共现频次聚类图谱，关键词节点的大小表示对应主题出现的频次高低。据统计，国内、国外关键词的节点分别为143个、276个，节点间连线分别为310条、714条，节点间密度分别为0.0305、0.0188，可见国内外教育数据伦理研究的主题范围较为广泛，且分支较多。另外，图2、图3显示，国内研究以智慧教育、教育数据为主，同时关注隐私保护、安全解决方案等内容。例如，刘三女牙等[6]从利益、价值等角度研究教育数据伦理问题，张誉元等[7]从教育数据生命周期视阈探讨数据伦理问题的解决方法。而国外研究内容相对均衡，学习分析比较热门，精神健康、学生隐私等亦受重视。例如，Rosenberg等[8]发现学生使用社交媒体（Facebook）可能存在学生隐私信息泄露的伦理问题，Brown等[9]分析了151份与学生信息隐私相关的政策。

图1 2013～2022年国内外教育数据伦理相关文献统计

图2 国内高频关键词的共现频次聚类图谱（部分）

图3 国外高频关键词的共现频次聚类图谱（部分）

二教育数据伦理的关键问题分析

由于伦理问题指的是人与人、人与社会发生交互时存在的问题，故本研究关注教育数据所有者、教育数据使用者、教育数据社会三个主体之间的交互关系，从“教育数据所有者—教育数据使用者”与“教育数据所有者—教育数据使用者—教育数据社会”两个关系角度出发，研究由数据产生、数据存储、数据使用、数据销毁四个环节所构成的教育数据全生命周期中的关键伦理问题，结果如表1所示。

表1 教育数据伦理的关键问题

环节关系角度数据产生数据存储数据使用数据销毁 ①数据采集问题：数据是否授权采集、网页隐私政策“形式主义”；②设备信任问题①数据存储问题：数据允许存储时长、存储条件限制；②管理权限设计问题；③数据隐私安全问题①数据使用问题：数据是否可用以及可用场景、可用类型；②“算法歧视”与“算法黑箱”问题；③数据过度挖掘问题数据合法销毁问题：是否及时删除数据 ①校园反科技；②隐私倦怠①威胁数字身份；②侵犯人格权①成为算法囚徒；②人工智能恐惧现象侵犯隐私权

1 数据产生环节

数据产生环节主要涉及新教育数据的产生和采集。从“教育数据所有者—教育数据使用者”关系角度出发，存在的关键问题包括：①数据采集问题，即本环节中数据采集是否已获得授权同意以及是否侵犯数据所有权。现有教育类APP常常没有尽到对隐私政策的告知义务，对于学生用户点“同意”隐私政策有较强的诱导性，导致“数据授权”的有效性降低[10]。②设备信任问题。如果学生对隐私数据收集存在担忧，就容易出现非自我披露行为[11]，从而使得所采集的教育数据缺乏真实性。从“教育数据所有者—教育数据使用者—教育数据社会”关系角度来看，若数据未经授权使用者就随意采集，或所有者对数据采集的设备不够信任，可能会导致反科技现象，即数据所有者拒绝使用科技产品，违背现代数字社会的发展趋势；也可能会走向另一个极端，即数据所有者产生隐私倦怠[12]，主动放弃隐私保护。

2 数据存储环节

数据存储环节是对教育各类数据信息进行存储，并根据存储的数据类型将数据分为学生的个人信息数据、学习行为痕迹数据与机器智能推断数据[13]。从“教育数据所有者—教育数据使用者”关系角度出发，存在的关键问题包括：①数据存储问题。不同类型的数据在存储方式与存储时长上存在差异，如学生个人信息数据属于初级隐私信息，允许长期存储；而学习行为痕迹数据属于中级隐私信息，可要求以特征参数形式存储，而不是完整数据存储。②管理权限设计问题。数据存储中的管理权限设计必须科学合理，否则极易产生伦理风险。例如，在2021年珠海“净网2021”专项行动中，企业内部人员泄露了10万条学生信息。③数据隐私安全问题。数据存储应保障隐私安全，若隐私设计不充分，将会导致学生隐私泄露。例如，2022年的“学习通事件”超过1.7亿用户的隐私信息被泄露。从“教育数据所有者—教育数据使用者—教育数据社会”关系角度来看，由于网络中学生专属的“数字身份”包含大量个人信息，若隐私数据泄露，将严重威胁学生的数字身份，甚至侵犯其人格权[14]。

3 数据使用环节

数据使用环节是通过交换或运算教育数据，来发挥大数据价值，这是教育数据伦理中所涉问题最复杂的环节。从“教育数据所有者—教育数据使用者”关系角度出发，存在的关键问题包括：①数据使用问题，主要探讨“某类教育数据是否获得授权使用”“可使用场景是仅限学生本人，或学校建设，还是其他校外场景”“可使用的数据类型为明文、摘要信息还是特征数据”。②“算法歧视”与“算法黑箱”问题。数据计算意味着需要运用算法进行公式运算，以学生综合评价模型为例，假设“学生综合成绩=学业成绩×50%+品德×25%+体育×10%+劳动×10%+音乐美术×5%”，可以看出该算法歧视擅长非学科学习的学生，强调“学业成绩论成败”。另外，不是所有人都了解该算法对“好学生”的定义，故存在黑箱问题。③数据过度挖掘问题。人工智能强大的计算能力可能挖掘出数据之间的深层隐私信息[15]，而这类信息很可能侵犯数据所有者的隐私权。对于“教育数据社会”，“算法黑箱”易导致社会认知被技术“操控”，成为算法“囚徒”[16]；而数据的过度挖掘，易引发公众对人工智能的恐惧。

4 数据销毁环节

数据销毁环节可通过技术手段使数据消失且无法恢复。从“教育数据所有者—教育数据使用者”关系角度出发，存在数据是否合法销毁的关键问题，即当学生想撤回数据授权同意时，数据是否被及时删除。对于“教育数据社会”而言，若数据没有及时被删除，则侵犯数据隐私权，产生违法行为。

当前，教育数据伦理问题主要为教育数据所有者的数据拥有权与教育数据使用者的使用行为之间的利益冲突：在数据产生环节，表现为数据所有者是否开放数据采集，而使用者是否恶意引导数据开放；在数据存储环节，表现为数据所有者是否允许存储数据，而使用者是否能安全地存储管理数据；在数据使用环节，表现为数据所有者是否允许数据使用，而使用者的数据计算是否侵害数据所有者的利益或隐私；在数据销毁环节，表现为数据所有者是否能自主销毁数据，而使用者是否依法删除数据。可见，教育数据伦理问题主要为数据的权利与行为问题。目前，权利问题的解决以法律法规为主，辅以技术手段进行隐私保护；同时，政府大力推动教育数据开放[17]，力图打破教育“数据孤岛”，使权利问题不再成为教育大数据技术发展的主要障碍。但是，行为问题会反向导致权利问题出现异常，即学生的隐私信息如果一直被盗用，学生可能更倾向于选择不授权数据。因此，如何正确使用教育数据，实现教育数据隐私保护与安全共享计算，是当前教育数据伦理的关键问题，也是限制教育大数据进一步发展的挑战之一[18]。

三 “隐私计算+区块链”技术体系的构建

1 隐私计算与区块链技术的结合

传统的教育数据隐私保护常采用信息安全技术（如差分隐私、加密技术等[19][20]），难以适应教育大数据和智能教育阶段对教育数据保护与伦理安全的要求[21]。2021年教育部等六部门印发《关于推进教育新型基础设施建设构建高质量教育支撑体系的指导意见》，提出将区块链技术与教育基础设施深度融合，发挥教育数据价值，推动教育数字化转型[22]。作为新型的教育数据管理方式，区块链技术可以重构教育数据隐私安全与伦理范式。区块链起源于比特币[23]，通过分布式结构和相关辅助技术，构建可信的基础设施，具有去中心化、不可篡改、可追溯、公开透明等特点。当前，教育区块链可以实现数据可信存储，保障数据的真实性，常应用于学分银行、教育评价等场景[24][25]。然而，教育数据在区块链中需以公开、透明的形式存储，面临数据隐私安全问题[26]。此外，随着教育数据的增多与区块链技术的普及，教育区块链数量逐渐上升，但不同区块链之间难以实现安全的教育数据共享与计算，从而限制了大数据价值的发挥[27]。

隐私计算是指在数据计算的同时保障数据隐私安全的技术集合[28]，实现“数据可用不可见”，从而解决“数据孤岛”问题。例如，李默妍[29]提出将联邦学习与教育数据挖掘相结合，以解决多方数据挖掘的隐私问题；郭利明等[30]利用联邦学习构建学生综合素质评价的数据共享机制，打破教育数据壁垒。隐私计算可实现数据隐私安全交换与计算，最大程度地发挥教育数据价值，解决当前教育数据伦理的关键问题——如何在共享与计算教育数据时，保护数据隐私与安全[31]。

综上，尽管通过“隐私计算”可以实现数据隐私保护与安全共享计算，但如果共享交换的数据本身为假数据或低价值数据，那么就无法保障计算可信、不能发挥数据价值。另外，尽管区块链可以保障数据可信，且存储常为高价值数据。但在数据存储方面，区块链上的数据皆为明文，而当前匿名存储技术发展还不成熟，存在隐私泄露风险[32]；在数据计算方面，由于区块链存储空间有限，在链上进行大规模计算会导致网络共识性能和虚拟执行空间不足，故单纯依靠区块链无法实现实时高效的计算。而将隐私计算与区块链技术相结合，可以实现链上链下同步计算，既可提高区块链的数据计算能力，又可实现高价值数据的安全交换，从而发挥“1+1>2”的效果，有效解决教育数据伦理问题。

2 “隐私计算+区块链”技术体系的设计

“隐私计算+区块链”技术体系以区块链为教育数据库的技术基础，存储与共享交换教育数据，保障数据的真实性与价值；同时，以隐私计算逻辑为计算方法，保障教育数据隐私的安全，有效发挥教育大数据的价值。“隐私计算+区块链”技术体系的架构设计如图4所示，其中数据产生层与数据存储层主要解决数据可信问题，保障数据不被窃取或篡改，且通过数据审计防止低价值数据上传至区块链，是有效发挥教育数据价值的前提；数据使用层通过隐私计算（联邦学习和安全多方计算）解决“数据孤岛”问题，是实现教育数据共享、发挥其价值的关键；数据应用层实现教育数据应用与销毁，是发挥数据价值、实现成果输出的最终环节。

图4 “隐私计算+区块链”技术体系的架构设计

图5 “联邦学习+区块链”的实现流程（以构建学生数据模型为例）

3 “隐私计算+区块链”的技术实现逻辑

由于隐私计算常被分为联邦学习、安全多方计算与可信执行环境三个技术方向[33]，因此本研究将从教育应用案例的角度，介绍“隐私计算+区块链”的技术实现逻辑。

（1）基于联邦学习与区块链的学生数据模型构建

“联邦学习”由Google提出[34]，通过机器学习的分布式框架，各教育数据方无需交换原始数据，只需提供数据特征与模型相关参数，就能构建人工智能模型，打破“数据孤岛”，发挥教育数据价值。区块链也是分布式结构，其通过多节点间的“共识算法”保障教育数据的一致性，从而保证教育数据的真实性。联邦学习与区块链相辅相成[35]，助力构建高价值教育数据模型。

以构建学生数据模型为例，“联邦学习+区块链”的实现流程如图5所示。首先，将某学生小学、初中、高中的教育数据都加入同一条区块链中，利用区块链的共识算法保障学生数据不可篡改。然后，从区块链中分别提取该学生小学、初中、高中的在校数据模型。为保障数据隐私，将在加密状态下对齐学生用户样本，确认共有用户，同时不暴露其他学生的信息。该学生的三个阶段数据模型并不是直接融合，而是以“模型特征参数”的密文形式参与模型运算，构建“学生数据模型”。最后，模型对密文参数解密后进行联合计算，将产生的新模型参数返回给各方数据模型，各模型根据得到的参数更新自身模型。因此，联邦学习不仅可实现多方数据模型构建，还可更新各教育数据方本地的数据模型参数，实现多方教育数据交换的价值。

（2）基于安全多方计算与区块链的教育政务数据报表输出

“安全多方计算”是由姚期智院士[36]提出的概念，是指通过联合多方数据库共同计算目标函数，实现数据本地计算，数据拥有方对数据的使用具有控制权，从而保障数据安全。但该技术只能保障计算过程的数据隐私安全，无法保障数据的真实性。而通过将安全多方计算与区块链技术相结合，可以保障数据的真实性。该技术可应用于多参与方且对数据真实性要求高的场景，如构建终身评价体系、教育政务数据报表输出等。

以教育政务数据报表输出为例，“安全多方计算+区块链”的实现流程如图6所示。在无可信第三方、数据存储不发生迁移的情况下，想要输出教育政务数据报表，需要各教育单位分别从区块链节点中获取数据，并参与目标函数f(x)计算，计算过程中更新的教育政务数据和相关数据存储于区块节点。每个节点只能获取函数的计算结果（如教育单位A只能获取综合的教育政务数据报表，而不能直接获取教育单位B的明文政务数据），以保障多教育数据参与方的数据隐私安全。安全多方计算在一定程度上可以解决各数据方由于担忧数据或计算结果被窃取而不参与数据联合计算的问题，有助于实现教育数据互联互通。而区块链可以保障在安全多方计算的全过程中实时进行节点的数据存证与计算存证，从而保障数据不被篡改。

图6 “安全多方计算+区块链”的实现流程（以教育政务数据报表输出为例）

（3）基于可信执行环境与区块链的教育数据商业交易

可信执行环境常通过可信硬件（如ARM TrustZone、Intel SGX等）构建可信安全的硬件环境[37]，其环境内部分为可信执行环境和普通执行环境。这两个环境是独立分开的，拥有各自的硬件设备和计算空间，无授权不能访问，以从硬件隔离层面保证数据的隐私和安全。由于可信硬件的成本相较于普通硬件更昂贵，因此仅建议在隐私风险较高的教育数据场景中使用可信执行环境。可信执行环境同样无法保障数据来源真实可信，仅能保障数据在硬件环境中不被窃取与篡改，而将其与区块链技术相结合，可有效解决这一问题。其中，区块链主要负责数据存储、数据认证等工作，而可信执行环境负责隐私风险高、易被攻击的数据交易或数据计算工作。

以教育数据商业交易为例，“可信执行环境+区块链”的实现流程如图7所示。首先，由教育数据使用方提出数据需求，并请求交易。在找到教育数据提供方后，数据需经过区块链认证是否真实。之后，在可信执行环境完成教育数据交易，以防止数据泄露侵犯隐私权，或外泄教育数据提供方的数据商业机密。最后，经过区块链认证数据的真实性后，教育数据提供方将交易数据加密，并上传至可信执行环境等待交易；数据使用方需在限定时间内支付费用，完成交易，并将交易记录上传区块链存证，数据使用方便可获得密钥，获取其所购买的教育数据。

四 “隐私计算+区块链”技术体系支持教育数据伦理问题的解决

“隐私计算+区块链”技术体系的主要功能，是实现数据的可信计算与隐私计算。为梳理该技术体系可解决的教育数据伦理问题，本研究从教育数据全生命周期（数据产生→数据存储→数据使用→数据销毁）角度，呈现“隐私计算+区块链”技术体系的运行机制，如图8所示。依托此运行机制，“隐私计算+区块链”技术体系可解决的教育数据伦理问题如表2所示。

表2 “隐私计算+区块链”技术体系可解决的教育数据伦理问题

环节运行步骤可解决的教育数据伦理问题数据产生①建立教育区块链构建教育数据共同体，保障数据可信，从源头解决教育数据产生与存储的伦理问题，从而缓解校园反科技、隐私倦怠等极端现象 ②数据采集保证教育数据采集过程隐私安全，数据不受窃取或篡改 ③数据脱敏教育数据隐私存储，解决数据隐私安全问题数据存储④数据审计实现教育数据计算价值第一步，不存储低价值数据 ⑤数据上链实现教育数据计算价值第二步，保障教育数据可信、不被篡改数据使用⑥链上计算（可信交易）保障教育数据在交换、计算过程中全过程信息的真实可信 ⑦链下计算（隐私计算）实现多教育数据方之间安全交换与隐私计算，发挥教育数据价值数据销毁⑧数据资产转移尊重教育数据所有者的权利，及时删除需要销毁的数据

教育大数据常来源于各类智能教学终端设备，如电脑、摄像头、麦克风等。不同的设备可获取不同类型的教育数据，包括学习行为数据、人脸数据、声音数据等。“隐私计算+区块链”技术体系为实现数据的可信计算与隐私计算，经历了以下四个环节、八个运行步骤：