数据可以是社会进步的强大力量，帮助我们最重要的机构改善他们如何为他们的社区服务。随着城市，医院和交通系统找到新的方式来了解人们需要什么，他们发现了改变他们今天的工作机会，并找到未来的令人兴奋的想法。
数据只有在社会有信任和信心的情况下才能对社会有益，在这里我们都面临挑战。现在，你可以使用数据的更多的目的，人们不只是问谁是持有信息，以及它是否被安全地保存 - 他们还需要更多的保证，正是正在做什么。
在这种情况下，可审计性成为越来越重要的美德。任何完善的数字工具都已经记录了它如何使用数据，并且能够在挑战时显示和证明这些日志。但是，更强大和安全的我们可以使审计过程，更容易建立真正的信心，如何在实践中使用数据。
想象一个服务，可以提供数据保证每个个人数据的情况发生，没有伪造或遗漏的可能性。想象一下，该系统的内部工作能够被实时检查，以确保数据只被使用，因为它应该是。想象一下，支持这种功能的基础设施可以作为开源免费提供，因此世界上任何组织都可以实现自己的版本，如果他们想。
这个项目的工作标题是“可验证的数据审计”，我们非常高兴能够分享更多有关我们计划构建的细节！
DeepMind运行状况的可验证数据审计
在今年年中，我们将开始为DeepMind Health建立可验证数据审核，我们致力于为医疗服务提供可帮助临床医生预测，诊断和预防严重疾病的技术 - 这是DeepMind部署任务的关键部分技术的社会效益。
鉴于健康数据的敏感性，我们一直认为，我们应该瞄准与治疗一样创新，因为我们与技术本身。我们已经邀请对DeepMind Health进行额外监督，任命一组未付费的独立审核员，负责审核我们的医疗保健工作，委托审核，并发布年度报告及其调查结果。
我们认为可验证数据审核是对这一审查的有力补充，为我们的合作医院提供了一个额外的实时和完全证明的机制，以检查我们如何处理数据。我们认为这种方法在健康方面将特别有用，因为个人医疗数据的敏感性和每次与数据相互作用的需要被适当授权并符合患者同意的规则。例如，持有健康数据的组织不能简单地决定开始对用于提供护理的患者记录进行研究，或者对于某些其他未经批准的使用重新使用研究数据集。换句话说：它不只是存储数据的地方，它正在做的是计数。我们希望首次实时地验证和审核。
那么，它将如何工作？我们为医院合作伙伴提供数据处理器，这意味着我们的角色是在其指导下提供安全的数据服务，医院保持完全控制。现在，无论何时我们的系统接收或触摸该数据，我们都将创建该交互的日志，如果需要，可以稍后审核。
通过可验证数据审核，我们将进一步发展。每次与数据进行任何互动时，我们都将开始向特殊数字分类帐添加条目。该条目将记录已经使用了特定数据的事实，以及为什么 - 例如，针对NHS国家算法检查血液测试数据以检测可能的急性肾损伤的原因。
分类帐和其中的条目将共享一些blockchain的属性，这是比特币和其他项目背后的想法。像区块链一样，分类帐将是附加的，因此一旦添加了数据使用的记录，它就不能被擦除。和区块链一样，分类帐将使第三方能够验证没有人篡改任何条目。
但它也不同于区块链在几个重要的方式。区块链是分散的，所以任何分类帐的验证是由广泛的参与者之间的协商一致决定的。为了防止滥用，大多数区块链要求参与者重复执行复杂的计算，具有巨大的相关成本（根据一些估计，区块链参与者的总能量使用可以与塞浦路斯的功耗一样多）。当涉及到卫生服务时，这是没有必要的，因为我们已经有可靠的机构，如医院或国家机构，可以依靠验证分类帐的完整性，避免区块链的一些浪费。
我们还可以通过替换区块链的链部分，并使用树状结构来提高效率（如果您想了解更多关于Merkle树的信息，一个好的开始的地方将是来自英国政府数字服务）。整体效果是相同的。每次我们向分类帐添加一个条目时，我们将生成一个称为“加密散列”的值。此散列进程是特殊的，因为它不仅汇总最新条目，而且还总结分类帐中的所有先前值。这使得实际上不可能有人回去并静静地改变其中一个条目，因为这不仅将改变该条目的哈希值，而且改变整个树的哈希值。
简单来说，你可以认为它有点像Jenga游戏的最后一步。你可以尝试轻轻地拿起或移动其中一件 - 但是由于整体结构，这将最终产生一个大的噪音！
所以，现在我们有一个改进版的谦卑的审计日志：一个完全可信的，高效的分类帐，我们知道捕获所有与数据的交互，这可以由一个信誉良好的第三方在医疗保健社区验证。我们该怎么办？
简短的答案是：大大提高这些记录的审计方式。我们将建立一个专门的在线界面，授权我们合作医院的工作人员可以用来实时检查DeepMind Health的数据使用的审计跟踪。它将允许连续验证我们的系统正常工作，并使我们的合作伙伴能够轻松地查询分类帐以检查特定类型的数据使用。我们还希望我们的合作伙伴能够运行自动查询，有效地设置在任何异常情况下触发的警报。而且，及时，我们甚至可以让我们的合作伙伴选择允许他人检查我们的数据处理，例如个别患者或患者组。
未来的技术挑战
建设这将是一个重大的任务，但考虑到这个问题的重要性，我们认为这是值得的。现在，三大技术挑战脱颖而出。
无盲点。为了证明这是值得信赖的，数据使用不可能在没有登录分类帐的情况下发生，否则，概念就会分崩离析。除了设计日志以记录与数据的任何交互的时间，性质和目的之外，我们还希望能够证明没有其他软件在后台秘密地与数据交互。除了在分类帐中记录每个数据交互之外，我们还需要使用正式的方法以及专家的代码和数据中心审计，以证明数据中心中的每个软件的每个数据访问都由这些日志。我们还对确保这些系统运行的硬件的可靠性的努力感兴趣 - 计算机科学研究的积极主题！
不同组的不同用法。核心实施将是一个接口，以允许我们的合作医院可证实地实时检查，我们只使用病人数据的核准目的。如果这些合作伙伴希望将这种能力扩展到其他人，例如患者或患者团体，则需要解决复杂的设计问题。
日志条目的长列表对许多患者可能不是有用的，并且一些人可能更喜欢阅读统一视图或者依赖于可信中介。同样，患者组可能没有权限查看识别的数据，这意味着允许我们的合作伙伴提供某种形式的系统范围的信息，例如，是否已经在特定数据集上运行机器学习算法 - 没有无意地揭示患者数据。
有关如何提供已验证的访问子集或数据摘要的技术详细信息，请参阅我们将使用的开源Trillian项目，并解释其工作原理。
分散的数据和日志，没有差距。在英国没有单一的患者识别信息数据库，因此护理过程涉及数据在医疗保健提供者，IT系统，甚至患者控制的服务（如可穿戴设备）之间来回传输。有很多工作要使这些系统可互操作（我们的移动产品，Streams，构建为可互操作的标准），使他们可以一起安全工作。这些标准也应包括可审计性，以避免数据在从一个系统传递到另一个系统时变得不可复制的缺陷，这将有所帮助。
这并不意味着像DeepMind这样的数据处理器应该可以看到来自其他系统的数据或审计日志。日志应该保持分散，就像数据本身一样。审计的互操作性只是提供额外的保证，这些数据不会被篡改，因为它在系统之间传播。
这是一个重大的技术挑战，但我们认为应该是可能的。具体来说，有一个新的开放标准的医疗互操作性称为FHIR，可以扩展到包括可审计性在有用的方式。
建筑在开放
我们希望能够在今年晚些时候实现这些的第一部分，并计划博客我们的进展和我们遇到的挑战，我们去。我们认识到这是非常困难的，最艰巨的挑战绝不是技术上的挑战。我们希望通过分享我们的流程和公开记录我们的陷阱，我们将能够与尽可能多的人合作并获得反馈，并增加这种基础设施在医疗保健和医疗保健领域更广泛使用的机会，甚至可以超越。
