几家医院想比较某项服务的等待时间，不愿也不能简单搬出明细记录。一个自然想法是各院自己算，只交平均值。但如果其中一组只有很少的人，或者反复改变筛选条件，汇总数字仍可能暴露不该被推断的个体信息。
应先确认公开数据能否回答问题，再考虑获批的数据协作环境。已有研究平台和隐私分析流程时，使用它们比新增网络层更直接。技术演示不应反过来成为使用真实病历的理由。
如果参与方认可有限试点，可以由每院维护固定统计函数，输入只允许预先批准的队列、时间窗口和指标，输出经过检查的聚合值。EasyNet 可以接出这些操作并保留调用线索；数据读取、统计计算和最终放行继续由各院负责。
跨机构调用身份要与批准用途绑定，不能开放任意查询条件。还需统一纳入规则和时间口径，否则连接成功只会让不可比的数字更快汇到一起。汇总方收到哪些字段、可保存多久、是否允许重复查询，都需要事先约定。
先用合成数据验证计算和结果传递，再专门测试小样本、重复请求和相邻筛选条件组合。输出审核、查询限制与隐私风险评估是需要建设的部分；把原始记录留在本地不自动完成匿名化，也不自动形成跨院信任。
只有当每院能解释自己批准了什么、汇总者能说明数字如何可比且没有越过允许范围，才值得讨论真实试点。若经过这些约束已无法回答研究问题，应重新设计问题，而不是通过扩大查询或返回明细绕开限制。
- 01
统一获批问题
同一队列定义与时间口径
- 02
各院执行审查
限定参数，不返回任意明细
- 03
检查后汇总
小样本与重复查询另行处理
小样本不能直接当普通均值返回
纯合成数据展示一个演示阈值，不是医院认可阈值或匿名化保证；重复查询与差分攻击不由此解决。
本地示例 · python
def demo_aggregate(waits, demo_min_count=5):
if len(waits) < demo_min_count:
return {"status": "withheld"}
return {"status": "review_required",
"count": len(waits),
"mean_minutes": sum(waits) / len(waits)}
assert demo_aggregate([10, 20]) == {"status": "withheld"}
print(demo_aggregate([10, 20, 15, 25, 30]))预期结果：两条样本不返回均值；五条样本均值为 20，但仍标为 review_required，不自动对外放行。
接入时的检查项
- 相同统计定义在各站点是否得到可比的测试结果。
- 小样本或越界查询是否被预定规则拦截。
- 汇总报告能否追到各机构批准的范围与数据版本。