差分隐私聚合引擎
对聚合查询注入可控噪声，默认 ε=1.0；把 ε 调到 0.5 可提升保护强度，但小样本（<500 行）误差会明显放大，建议按分组基数动态设 ε。
这是一个网页样式设计参考
磨砂玻璃 · 环形放射 · 未来愿景版式
未来愿景 · 智能隐私空间
让每一次数据挖掘，都在磨砂玻璃的柔光里被温柔守护
未来五年，用户对数据可视化与隐私边界的期待将同时升级。Privora 用大数据分析把「可见」与「不可见」分开：对外呈现趋势与洞察，对内以差分隐私与字段级脱敏守住个体。你在看板里看到的，是被计算过的安全真相。
0%
敏感字段识别准确率（内测样本 12 万行）
- 查询响应 P95 < 320ms
- 看板首屏渲染 < 1.2s
设计母题
环形放射代表数据的涟漪扩散，中心标语代表以人为核心的隐私边界。磨砂玻璃把两者叠在一起：看得见趋势，看不清个体。
Capabilities
六个能力模块，撑起一座时尚前沿的智能隐私空间
按角色切换查看：决策者关心结论，分析师关心口径，工程师关心链路。以下参数均来自标准部署基线，可据此做容量与成本估算。
字段级脱敏与掩码
手机号保留前 3 后 4、身份证只留出生年份与校验位；支持哈希盐轮换（建议 90 天一次），并记录脱敏前后行数比对，误差应为 0。
玻璃分层看板
半透明卡片 + backdrop-filter 分三层景深：概览层、维度层、明细层。单屏建议不超过 7 个视觉焦点，超出的指标下沉到二级抽屉。
实时指标流
Kafka 入湖到看板可见端到端延迟基线 3.5s；大促前把窗口从 5 分钟缩到 1 分钟，成本约上升 22%，需提前评估分区与内存。
权限与审计追踪
行级权限 + 列级权限双层控制，任一查询都落审计日志（谁、何时、查了哪些字段）。建议日志保留 180 天，导出操作单独加二次确认。
响应式设计适配
看板在 1440 / 1024 / 640 / 375 四档断点重排：桌面 4 列、平板 2 列、手机单列。图表卡片统一 16:10 容器，避免加载时布局跳动。
Scenarios
四个落地场景：把大数据分析变成可执行决策
每个场景都给出可核对的量化目标，便于立项时写进验收标准，而不是停留在概念演示。
零售：用户分群与留存
用 RFM + 行为序列做分群，敏感字段全程脱敏；运营只看群体画像，不看个体明细。
目标：复购率 +6pp，圈人耗时从 2 天降到 15 分钟
金融：实时风控看板
交易流 1 分钟窗口聚合，异常分超过阈值即触发告警；规则与模型结论并列展示，便于复核。
目标：异常召回 92%，误报率压到 8% 以内
医疗科研：合规统计
科研队列统计默认只出聚合值，样本小于 500 的分组自动隐藏，避免反推个体。
目标：统计口径一次通过伦理审查，返工次数 ≤ 1 次
运营：驾驶舱日报
晨会前自动生成日报，核心 5 个指标自动高亮，其余下沉；支持一键导出脱敏版 PDF。
目标：日报制作人力从 3 人时降到 10 分钟
Workflow
四步走完：从数据接入到合规可视化上线
标准实施周期 2–4 周，按下面节奏推进可把返工控制在一次以内。
STEP 01
资产盘点与分级
梳理数据源清单，按「可公开 / 内部 / 敏感 / 高敏」四级打标。建议先覆盖 Top 20 张核心表，占分析价值约 80%。
产出：字段分类表周期：3–5 天
STEP 02
脱敏规则与隐私策略配置
为高敏字段配掩码/哈希/泛化规则，设定 ε 与最小分组基数（建议 500）。先在小样本上跑对照，核对行数与分布偏差。
产出：策略配置文件偏差：<1%
STEP 03
看板建模与玻璃分层设计
按概览 / 维度 / 明细三层组织指标，先定指标口径字典再动手画图，避免同名字段口径打架。
产出：指标字典 + 看板原型周期：5–8 天
STEP 04
权限开通、审计与灰度发布
按角色开权限，先给 1 个小组灰度 1 周，观察查询日志与性能，再全量放开。
产出：上线报告灰度：1 周
Plans
三档服务，按数据规模与合规强度选
价格为参考区间，实际按数据源数量、看板页数与私有化程度核算。
FAQ
上线前最常被问到的五个问题
答案尽量给到参数与阈值，方便你直接拿去和团队对齐。
脱敏之后数据还能支撑分析吗？
能。关键是分层：个体标识字段做掩码或哈希，用于关联；数值字段保留原值，只在聚合时注入差分隐私噪声。实测在 ε=1.0、分组基数 ≥ 500 时，群体趋势偏差通常小于 3%，足以支撑分群与归因分析，但不适合做单用户级别的精确回溯。
实时看板延迟能压到多少？
标准部署下，从事件入 Kafka 到看板可见的端到端延迟基线约 3.5 秒。若把聚合窗口从 5 分钟缩到 1 分钟，延迟可降到 1.8 秒左右，但计算成本约上升 22%。建议对核心 3–5 个指标开 1 分钟窗口，其余保留 5 分钟。
玻璃拟态看板会不会影响可读性和性能？
backdrop-filter 在低端安卓机上确实有开销。做法是：模糊半径控制在 14–20px、同屏模糊层不超过 6 个，并为不支持的浏览器提供纯色降级。文本与背景对比度保持 ≥ 4.5:1，关键数字用高亮色而非纯玻璃底。
权限如何做到既细又不难管？
用「角色模板 + 例外清单」：先定义 6–8 个角色模板（如分析师、运营、审计员），日常只分配模板；个别字段用例外清单单独开或关。这样权限变更走模板即可，审计时也只需核对例外项，管理成本可下降约一半。
怎么证明我们确实合规？
靠可追溯的记录链：字段分类表、脱敏策略版本、权限变更日志、查询审计日志四件套。建议审计日志保留 180 天并支持按人或按字段反查，导出行为单独留痕。每季度做一次抽样复核，抽 30 条查询验证权限是否与策略一致。
Checklist
六条可落地的隐私可视化清单
每条都带做法与阈值，照着做就能把「好看」变成「经得起查」。
1先定最小分组基数
- 把聚合展示的最小分组基数设为 500，低于该值自动隐藏或合并到「其他」。
- 对时间序列做同类约束：单日样本 < 100 时按周聚合展示。
- 避坑：只在 UI 层隐藏不够，须在查询层拦截，防止通过导出接口绕过。
2ε 值按场景分档
- 对外披露类报表 ε 取 0.5–0.8；内部运营看板取 1.0–1.5。
- 每次发布记录 ε 与噪声机制，形成版本号，便于复核。
- 避坑：多个低 ε 报表交叉比对可能反推，需限制同一人群的查询次数（建议单账号日 20 次上限）。
3指标口径先立字典
- 每个指标写清：分子分母、时间窗口、过滤条件、更新频率四项。
- 字典与看板同版本发布，改口径必须留变更说明与生效时间。
- 量化：口径类返工应控制在 ≤ 1 次，超过说明字典定义太粗。
4玻璃分层保持克制
- 单屏视觉焦点 ≤ 7 个，模糊层 ≤ 6 个，模糊半径 14–20px。
- 正文与玻璃底对比度 ≥ 4.5:1，关键数字用高亮色而非透明底。
- 为不支持 backdrop-filter 的环境准备纯色降级背景，保证可读性不塌。
5权限用模板 + 例外
- 定义 6–8 个角色模板，覆盖 90% 日常分配场景。
- 例外清单每季度清理一次，过期授权自动回收。
- 量化：权限变更平均耗时从 2 天压到 4 小时内。
6性能与体验留预算
- 看板首屏渲染目标 < 1.2s，查询 P95 < 320ms。
- 图片统一 16:10 容器 + object-fit:cover，避免布局跳动。
- 大数据量表格分页 50 行起步，超过 5000 行改为按需加载。
Voices
他们已经在未来的隐私空间里工作
来自零售、金融与医疗三个行业的真实反馈，均含可核对的指标。
「以前做用户分群要拉明细表，法务每次都拦。现在看板只给群体画像，圈人从 2 天缩到 15 分钟，复购率还涨了 6 个百分点。」
陈立零售集团 · 数据负责人
「风控看板把规则和模型结论并排展示，复核效率高很多。异常召回做到 92%，误报压到 8% 以下，值班同事终于不用天天救火了。」
沈妍金融机构 · 风控建模
「科研队列统计默认只出聚合值，小样本自动隐藏，伦理审查一次就过。唯一希望提升的是超大表格的导出速度，目前 5000 行大约 8 秒。」
周慕医疗科研机构 · 数据管理
