《IEEE Access》：Decoupling Governance From Consensus: An Anchor-Only Architecture for EHDS Based on eIDAS 2.0
编辑推荐：
欧洲健康数据空间（EHDS）需要可互操作且安全的基础设施，能够支持跨境健康数据交换，同时与《通用数据保护条例》（GDPR）保持一致。现有基于分布式账本技术（DLT）的方法仍以账本为中心，将治理逻辑与共识执行耦合，导致非确定性可扩展性、高计算开销以及与GDPR原
欧洲健康数据空间（EHDS）需要可互操作且安全的基础设施，能够支持跨境健康数据交换，同时与《通用数据保护条例》（GDPR）保持一致。现有基于分布式账本技术（DLT）的方法仍以账本为中心，将治理逻辑与共识执行耦合，导致非确定性可扩展性、高计算开销以及与GDPR原则（如数据最小化和被遗忘权）的结构性冲突。本文提出了机器可读治理（MRG）锚定专用架构，一种联邦式且基础设施无关的模型，将治理语义从区块链执行中解耦。利用eIDAS 2.0组件——去中心化标识符（DIDs）和可验证凭证（VCs）——该架构将身份验证、策略评估和目的绑定访问控制外化到在网络边缘运行的链下去中心化代理。区块链被降级为被动语义锚定层，仅记录由确定性规范化（RFC 8785）导出的固定大小32字节密码学承诺。研究人员在8节点Hyperledger Besu联盟上实现了概念验证（PoC），并在跨境医疗条件下进行了评估。完整的智能合约OrganicGovernanceRegistry.sol、ABI、部署脚本、工作负载生成器、原始基准数据和Besu配置已在https://github.com/evaristocpqd/ehds-mrg.git上公开发布。实验结果表明，相对于最坏情况纯Solidity链上验证基线（从链上约2500?ms降至链下约2.5?ms；基线的选择及其局限性在第V-A节中明确讨论），密码学处理延迟降低了三个数量级，在2000请求/小时的负载下DID解析延迟低于100?ms，每次锚定交易的gas消耗恒定在64,960单位，且与治理决策的复杂性无关。
论文解读文章
**研究背景与问题**
欧洲健康数据空间（EHDS）作为欧盟战略倡议，旨在实现成员间跨境健康数据的安全、可互操作交换，涵盖初级和次级使用，并须严格符合《通用数据保护条例》（GDPR）对数据保护、主权的严格要求。现有基于分布式账本技术（DLT）的方法主要以账本为中心，将访问控制逻辑和策略评估嵌入智能合约，导致治理语义与共识执行的紧密耦合。这种设计引发三个核心挑战：第一，区块链的不可变性与GDPR的更正权和删除权相冲突；第二，链上执行复杂属性基访问控制（ABAC）策略产生高计算开销，导致延迟增加、交易成本上升和状态膨胀；第三，无法保证确定性可扩展性，不适合延迟敏感的临床工作流。与此同时，eIDAS 2.0框架通过去中心化标识符（DIDs）和可验证凭证（VCs）实现了去中心化信任范式，使身份验证和属性验证可独立于区块链执行。因此，研究人员提出一种能够解耦治理语义与区块链共识的架构，以同时满足治理表达性、隐私合规和确定性可扩展性。
**研究内容与结论**
本文提出并评估了机器可读治理（MRG）锚定专用架构，一种联邦式且基础设施无关的模型，其核心贡献在于严格分离治理语义与区块链执行。身份验证、策略评估和目的绑定访问控制由网络边缘的去中心化代理完全在链下执行，区块链仅作为最小化语义锚定层，记录固定大小（32字节）的密码学承诺。研究人员在8节点Hyperledger Besu联盟上实现了概念验证（PoC），基于葡萄牙Santo António大学医院中心的参数和BLOCKCHAIN.PT联盟的基础设施指南，评估了跨境访问请求、目的绑定授权和高频审计日志场景。实验结果表明：密码学签名验证延迟从链上纯Solidity Ed25519的约2500?ms降至链下ACA-Py代理的约2.5?ms（降低三个数量级）；在2000请求/小时的负载下，DID解析延迟滚动均值86.9?ms，99百分位160.1?ms，低于200?ms阈值；事件驱动的数据平面同步延迟均值26.5?ms；每次锚定交易的gas消耗恒定64,960单位；链上记录足迹为192字节（含32字节承诺哈希），较存储完整OIDC4VP载荷的基线减少92.5%，且不含任何个人健康信息或可识别身份信息。该研究发表在《IEEE Access》。
**关键技术方法**
研究人员使用了以下主要关键技术方法：基于eIDAS 2.0的去中心化标识符（DIDs）和可验证凭证（VCs）体系，通过通用解析器和ACA-Py代理在链下完成身份验证；机器可读治理（MRG）引擎在链下执行ABAC策略评估和目的验证，采用JSON规范化方案（RFC 8785）和SHA-256生成确定性32字节承诺哈希；Hyperledger Besu联盟（8节点，IBFT 2.0共识）作为语义锚定层，仅运行固定逻辑的智能合约OrganicGovernanceRegistry.sol；数据共享存储库（DSR）实例化为符合SMART on FHIR标准的FHIR服务器，通过事件驱动订阅锚定事件实现数据释放。实验环境来源于CHU Santo António和BLOCKCHAIN.PT联盟。
**研究结果**
**A. 计算解耦与基线选择**
研究人员以纯Solidity Ed25519链上验证（Hyperledger Besu，Berlin硬分叉）为最坏情况基线，测得平均延迟2500?ms（σ=150?ms）。链下ACA-Py代理验证平均延迟2.5?ms（σ=0.3?ms），实现三个数量级的改善，证明了将密码学验证外化到共识层之外的结构性优势。
**B. 跨境负载下的可扩展性与网络稳定性**
在2000请求/小时的OIDC4VP压力测试中，DID解析延迟稳定，滚动均值86.9?ms，99百分位160.1?ms，低于200?ms目标SLA。在IBFT 2.0配置（区块周期1秒，容错阈值f=2）下，锚定交易在约1–2秒内最终确认。代理层无共享可变状态，具有近线性吞吐量扩展的理论特性。故障注入实验中，DID解析器临时不可用导致最大回退时间低于8秒。
**C. 事件驱动数据平面同步**
DSR通过基于事件驱动的PubSub机制同步授权决策与数据释放。平均事件传播延迟（从区块链到FHIR服务器）为26.5?ms（中位数24.9?ms），95%事件在44.3?ms内处理，所有模拟事件低于100?ms。
**D. 确定性复杂度与Gas成本稳定性**
每次锚定交易的gas消耗恒定64,960单位，低于65,000阈值。细粒度分析显示：SSTORE操作占40,000 gas（61.6%），基础执行17,680 gas（27.2%），CALLDATA 4,810 gas（7.4%），LOG事件2,470 gas（3.8%）。交易成本仅与gas价格线性相关，不受治理复杂性影响。
**E. 账本级数据最小化**
链上记录固定为192字节（含32字节承诺哈希），相比存储完整OIDC4VP载荷（>2560字节）的基线减少92.5%。承诺哈希通过RFC 8785规范化和SHA-256生成，不含任何个人健康信息或可识别身份信息。账本层因此支持GDPR的数据最小化、目的限制和存储限制原则，并结构性支持被遗忘权，因为不可变账本中无可逆或直接可识别数据。
**F. 结果综合**
实验验证了MRG锚定专用架构的账本层面属性：目的绑定治理（P1）通过确定性链下评估和密码学承诺实现；确定性链上锚定（P2）通过消除链上计算、确保恒定成本执行和稳定每交易延迟实现；账本级数据最小化（P3）通过锚定专用设计结构性实现。
**G. 安全与威胁模型**
账本层实现零个人健康信息/可识别身份信息暴露。残余风险包括：元数据链接性（需链下日志访问控制和每记录加盐）、确定性哈希字典攻击（推荐每记录加盐和HMAC）、重放攻击（智能合约强制record_id唯一性）、DID解析器妥协（在代理层固定可信签发者密钥）、代理或DSR被攻陷（仅授权代理修饰符和独立加密）、同意撤销和凭证撤销（VC层撤销列表）、跨交易关联（需批处理和去中心化凭证方案）。研究人员未声称消除所有风险，而是明确定义了账本层保证与链下组件需补充控制的边界。
**总结与讨论**
论文结论部分翻译如下：
在EHDS内实现跨境健康数据交换面临根本性系统挑战：在保持与GDPR隐私保证一致的同时实现互操作性和可扩展性。本文提出并评估了MRG锚定专用架构，一种联邦式且基础设施无关的模型，在eIDAS 2.0身份基础设施支持下将治理语义外化到网络边缘。核心贡献在于控制平面（治理）与数据平面（临床数据）的显式分离。治理逻辑通过确定性MRG在链下执行，区块链被限制为最小化语义锚定角色。在此范围解释内，该设计实现了目的绑定访问控制（P1）、确定性链上锚定（P2）和账本级数据最小化（P3）。实验评估确认了在所评估跨境工作负载下的亚秒级延迟、每交易64,960 gas的恒定成本锚定、以及相对于以账本为中心基线的92.5%结构性链上足迹减少，且账本上无个人健康信息/可识别身份信息记录。与先前工作相比，本期刊投稿扩展了会议论文（IEEE SmartBlock4Health, 2025）的概念，提供了形式化四层架构、完整开源PoC实现、经验性性能评估和全面威胁模型。从监管视角，该架构在范围假设下提供账本层数据最小化并结构性支持被遗忘权。本文中声称的所有GDPR保证严格适用于账本层；链下组件仍受完整GDPR义务约束，需通过适当技术和组织措施解决。
