HRVは「匿名データ」なのか――心拍のゆらぎと再識別リスク

名前やメールアドレスを消せば、心拍変動（HRV）は匿名の健康データになるのでしょうか。公開データを使った内部再監査では、同じ記録から切り出した隣接するHRV区間を、202人の候補内で結び付けられる可能性が示されました。

ただし、これは「Apple Watchから誰でも本人確認できる」「指紋の代わりになる」という意味ではありません。同じ測定セッション内の閉じた候補から探した結果であり、別の日や別端末でも本人を追えることは確かめていません。睡眠と覚醒をまたぐ別の内部モデルの検証も失敗しています。

研究の位置づけ

本ページは、公開された既存データを用いた未査読の内部二次解析の解説です。Apple Watchで直接収集したデータの検証ではなく、医療機器・認証製品・Feelmo自体の臨床性能を示すものでもありません。

何を調べた研究か

HRVは、一拍ごとの間隔の変化を要約したものです。一般には睡眠や回復、自律神経の状態を見るウェルネス指標として使われます。しかし、年齢、体格、心臓と自律神経の特性、生活習慣などの影響が重なるため、同じ人に比較的安定して現れる「癖」も含む可能性があります。

そこで、研究では次の問いを確かめました。

同じ安静時ECG記録の前半に近いHRV特徴を手がかりに、直後の区間を、候補者の中から結び付けられるか。

これはパスコードを解除する本人認証の実験ではなく、匿名化された記録断片が結び付くかを見る同一記録内リンク可能性の実験です。氏名まで当てる再識別より一段手前の問いです。

データと方法

Paper 3全体では、6つの公開コホート（Autonomic Aging、Fitbit PMData、MMASH、Fantasia、MIT-BIH Normal Sinus Rhythm、CinC 2018）から、1,227人、26,821窓をまとめました。「窓」は、連続する心拍を解析しやすい長さに区切った一区間です。データには、安静時ECG、歩行中のRR間隔、睡眠に関係する記録、長期間のウェアラブル記録が含まれます。

各窓から30次元のHRV特徴を作り、被験者単位で学習858人・検証122人・テスト247人に分けました。同じ人の窓が学習とテストに混ざらないようにするためです。

公開用の再監査にはAutonomic Agingコホートを使いました。学習から保留した211人のうち、重ならない300拍区間を2つ以上作れた 202人 を対象とし、1区間目だけを登録、直後の2区間目だけを問い合わせにしました。9人は1区間しかなく除外しました。

今回はAIモデルをテストデータへ学習させていません。学習データだけで固定した基準で30種類の特徴をそろえ、2区間の近さをコサイン類似度で比べる単純な距離ベースラインです。問い合わせ区間を本人の登録データへ混ぜないため、以前より厳しい評価です。「top-5」は、示された5人の候補のどこかに正解が入った割合です。

主な結果

評価実測無作為順位の確率95% Wilson区間
top-162 / 202（30.69%）0.50%24.74–37.36%
top-5112 / 202（55.45%）2.48%48.55–62.13%
top-10133 / 202（65.84%）4.95%59.06–72.03%

1区間目と2区間目を逆にした感度分析でも、top-5は 55.94% でした。正解の対応だけを20,000回入れ替える検定では、観測されたtop-5以上になる片側p値は 0.00005以下でした。したがって、この固定した同一記録内の条件では、単なる無作為順位よりリンクしやすいといえます。

候補202人を固定したまま問い合わせ人だけを再抽出するブートストラップでも、top-5の条件付き95%区間は 48.51–61.88% で、Wilson区間と近い結果でした。ただし、どちらも将来の利用者や実運用に対する性能保証ではありません。

以前の81.10%は公開用の主要値から撤回しました

以前の内部集計では、保留211人のtop-5を81.10%としていました。しかし、個人データを保護するために中間埋め込みを削除した現在の公開可能資料だけでは計算経路を完全に再現できません。さらにコード監査で、問い合わせ窓を本人の中心値から除く近似計算が正しくなく、ブートストラップにも同じ人を別候補として競合させる問題が見つかりました。そこで旧点推定と旧区間の両方を撤回し、自己混入のない単純な方法で再計算した上表へ差し替えました。高い数字を残すことより、追跡できる数字を優先します。

重要な失敗結果――睡眠と覚醒では同じように働かなかった

Paper 3の別の未査読モデルで設定した8つの仮説群のうち、F5「睡眠と覚醒をまたいでも本人らしさが保たれる」は失敗しました。このモデルと上の単純な距離ベースラインは直接比較できません。両方の状態があるMMASHの15人では、次の結果でした。

  • 睡眠で登録し、覚醒時を照合：top-5 56.13%
  • 覚醒時で登録し、睡眠を照合：top-5 42.99%

事前に定めた70%の基準に届きませんでした。睡眠と覚醒では、呼吸、姿勢、活動、自律神経のバランスが変わります。したがって、この研究が示すのは状態に影響される再識別可能性であり、いつでも変わらない「心拍の指紋」ではありません。

top-5精度は「認証精度」ではありません

候補者が決まっている閉集合で、正解が5候補に含まれる割合です。知らない人を拒否する能力、なりすましへの強さ、誤受入率などを評価していないため、セキュリティ製品の本人認証性能とは比較できません。

Apple Watchについて、分かったことと分からないこと

この研究はApple Watchを直接検証していません。6コホートにはECG、RR間隔、睡眠関連記録、Fitbit由来の長期記録など異なる取得条件が含まれますが、Apple Watchから前向きに集めた同一プロトコルのデータはありません。

そのため、次のような言い換えはできません。

  • 「Apple WatchのHRVなら81.10%で本人が分かる」
  • 「Apple Watchから生体認証ができる」
  • 「Feelmoが利用者を心拍で識別している」

Apple Watchでは光学センサー、サンプリングのタイミング、体動による欠測、OS側の処理などが結果に影響します。直接の性能を知るには、端末・姿勢・時間帯をそろえたApple Watch固有の前向き検証が必要です。

なぜプライバシー上は重要なのか

リンク可能性は100%でなくても問題になり得ます。記録断片から候補を絞り、睡眠時刻、年齢、活動記録、位置情報など別の情報と組み合わせれば、候補をさらに狭められる可能性があるからです。ただし、今回の55.45%だけから、別日・別端末で実際に候補を絞れるとは結論できません。

この結果から、少なくとも次の予防原則が導かれます。

  • 氏名を消しただけの細かなRR間隔やHRV特徴を「匿名」と決めつけない
  • 生の心拍間隔だけでなく、特徴ベクトルやAIの埋め込みも識別性のある健康データとして扱う
  • 必要な期間・粒度だけを保存し、不要になれば削除する
  • 可能な限り端末内で処理し、サーバー送信や第三者共有を最小限にする
  • 研究公開では個人別の埋め込み、最近傍表、照合可能な時系列をそのまま配布しない
  • データ共有契約に、照合・再識別をしない条件を含める

Feelmoの設計にどう反映するか

FeelmoはHRVや睡眠のような身体データを、単なる表示用の数字ではなく、本人と結び付き得るセンシティブなデータとして扱います。既定では端末内で処理・保存し、提供者のサーバーへ自動送信しません。詳しい扱いはデータとプライバシーをご覧ください。

この研究が支えるのは「HRVで本人を当てる機能」ではありません。むしろ逆に、解析できる情報ほど外へ出さず、本人の端末の中で役立てるという設計原則です。

限界と次の検証

  • 未査読の内部二次解析であり、独立研究者による再現が必要です
  • 公開コホートごとにセンサー、計測環境、前処理が異なります
  • 主要値は同じ安静時ECG記録の隣接区間であり、別日への持続性を示しません
  • 202人は2区間以上を作れた人だけで、保留211人のうち9人を除外しています
  • 二誘導記録では既存のPaper 3特徴量がECG1を使っており、原論文のlead IIと異なる点が限界です
  • F5が失敗しており、睡眠・覚醒をまたぐ状態不変性は示されていません
  • 閉集合top-5であり、実運用の本人認証を評価していません
  • Apple Watchでは直接検証していません
  • 今後はApple Watch固有の前向きデータ、外部コホート、状態別評価、未知人物を含む開集合評価が必要です

研究資料

  • 公開用再監査：集計JSON・再計算コード。個人ID、個人別順位、中間埋め込みは含みません
  • 内部解析：Paper 3（未査読・一般公開前）。再識別につながり得る個人単位の配列や中間生成物を除去し、履歴を含むプライバシー監査が終わるまでリポジトリを公開しません
  • 解析規模：6コホート、1,227人、26,821窓
  • 公開用主要値：Autonomic Agingの保留211人中、2区間以上ある202人。同一記録内top-5 55.45%（112/202）
  • 主要データ：Schumann A, Bär KJ. Autonomic Aging. 論文 doi:10.1038/s41597-022-01202-y・データ doi:10.13026/2hsy-t491
  • 状態別データ：Rossi A, et al. A Public Dataset of 24-h Multi-Levels Psycho-Physiological Responses in Young Healthy Adults. Data. 2020;5(4):91. doi:10.3390/data5040091・MMASH v1.0.0 doi:10.13026/cerq-fc86
  • 研究状態：未査読、公開データの内部二次解析

※ この内部研究は、Feelmoアプリの有効性を検証したものではありません。

Apple Watchの睡眠・心拍・HRVを、毎朝わかりやすく。FeelmoをApp Storeで見る

最終更新: