可信数据空间技术架构解读：从政策文件到功能组成
以国家数据局技术文件为依据拆解可信数据空间服务平台、连接器、数字合约与使用控制的功能架构
2025 年国家数据局围绕可信数据空间发布技术文件后，企业需要掌握的不是“又一套数据平台”，而是一套明确的功能架构：服务平台负责登记、发现与合约管理，接入连接器负责把数据方与使用方安全接入，数字合约把流通规则写成可执行约定，使用控制在数据使用过程中持续执行策略并留痕。隐私计算则是让“数据不出域”与“联合计算”同时成立的技术选型层。
一、政策与事实依据
2025 年 4 月，国家数据局发布可信数据空间相关技术文件，对可信数据空间的功能架构与技术要求作出规范，可查阅国家数据局网站的发布页与同批发布的技术架构类文件。在此之前，国家数据局已于 2024 年底印发《可信数据空间发展行动计划（2024—2028 年）》，部署可信数据空间的创新发展与应用试点工作。对企业架构团队而言，这批文件的意义在于给出了统一的功能拆解口径，使“可信数据空间到底由什么组成”从概念讨论收敛为可对标的架构清单。
二、功能架构拆解：服务平台 + 接入连接器 + 数字合约 + 使用控制
可信数据空间服务平台
公共服务层，承载数据资源登记与目录、供需对接、合约管理、计量计费、审计追溯与安全保障等公共能力。关键定位：平台管理的是“数据流通关系”——谁登记了什么、谁可以找什么、按什么规则流通、流通实际发生了什么——而不是集中汇聚各方原始数据。这一区分决定了架构边界：平台可以重在治理与规则，数据本身应留在提供方域内。
接入连接器
数据提供方与数据使用方接入可信数据空间的标准化组件，承担身份认证与接入、数据可用性管控、连接与交互、使用过程监控等职责。连接器把“数据不出域”从原则变成可实施的技术约束：数据仍在各方域内，连接器在交互点执行授权校验与策略执行，是数据侧的控制面载体。
数字合约
以电子形式约定流通双方或多方的标的、范围、用途、期限、计费与违约责任。数字合约的价值在于“机器可执行”：合约条款被翻译为连接器与使用控制可直接执行的策略——允许访问什么、允许调用多少次、允许使用多久。若合约条款无法映射为可执行参数，合约就退化为文档，无法支撑规模化流通。
使用控制
数据使用过程中的策略执行与留痕，包括访问控制、用量计量、超限阻断、行为审计与取证。与传统数据安全的区别在于管控点从“边界式”转向“过程式”：数据不在己方手里，也要保证用途、用量、期限符合合约约定。
四者关系可以概括为：服务平台产生“关系与规则”（登记、匹配、合约），接入连接器把规则部署到数据侧执行，数字合约是规则的载体，使用控制是规则的运行时。
数栈·多模态数据智能平台
袋鼠云面向 AI 时代打造的多模态数据智能平台，一站式覆盖数据存算、开发、治理、资产、服务与指标、分析、AI 应用，构建可见、可用、可管、可理解的私域数据底座。
三、隐私计算技术选型路线
在“数据不出域、可用不可见”的目标下，主流三类技术是安全多方计算（MPC）、联邦学习（FL）与可信执行环境（TEE）。按工程维度对比：
- 安全假设：MPC 基于密码学协议；FL 基于加密参数交换与可信聚合；TEE 基于硬件隔离与远程证明。
- 性能特征：MPC 通信开销随参与方数量与计算复杂度增长，适合中小规模的精确计算；FL 适合大规模机器学习训练，但迭代轮次多、周期长；TEE 计算性能接近明文，但依赖特定硬件与证明链。
- 数据暴露程度：MPC 与 FL 下原始数据不出域，仅中间参数参与交换；TEE 下原始数据可进入可信执行环境，但不离开硬件信任边界。
- 适用计算形态：联合风控、联合统计类精确计算适合 MPC 或 TEE；联合建模适合 FL；通用查询类联合分析适合 TEE 或与 MPC 结合的方案。
- 运维复杂度：TEE 需要管理硬件与镜像；MPC 需要多方协议对齐与网络互通；FL 需要任务编排与参数治理。
选型顺序：先明确数据是否允许离开域，再明确计算形态（精确统计 / SQL 查询 / 模型训练），再看性能与参与方数量，最后评估合规审计要求（留痕、可验证）。三类技术并不互斥，同一批数据的不同用途往往需要不同技术路线，试点落地中常见 MPC 或 TEE 承担精确计算、FL 承担建模场景的组合范式。
可信数据空间
支撑跨主体数据安全协作，让原始数据不出域、数据价值可流通、使用过程可管可审。
四、落地含义
- 架构上要把“流通关系管理”与“数据计算”分离：平台不汇聚数据，计算发生在数据侧或可信执行环境中。
- 连接器选型要关注其策略执行能力与审计留痕能力，而不只是数据传输能力。
- 数字合约要能落到策略：合约条款与访问控制、用量计费参数之间需要有明确映射。
- 隐私计算选型应按场景而非按技术热度决策，并在架构文档中写明每个场景的安全假设与运维成本。
在工程落地层面，以袋鼠云可信数据空间方案为例：它基于隐私计算与可信流通机制，结合身份认证、授权管理、数字合约、计量计费和审计追踪机制，原始数据保留在各方域内，通过安全多方计算、联邦学习、可信执行环境等方式参与联合计算，平台记录数据来源、授权范围、计算任务、调用结果和使用行为，适用于金融联合风控、政务数据开放、港航协同、科研协作、央国企数据共享等场景。
五、落地检查清单
- 内部盘点：哪些数据流通需求已经明确（场景、参与方、用途、期限）。
- 按服务平台、接入连接器、数字合约、使用控制四块给出当前能力缺口。
- 为每个场景标注数据暴露形态，列出隐私计算候选技术并按计算形态筛选。
- 检查数字合约条款能否映射为可执行策略（访问范围、用量、期限、计费）。
- 明确审计留痕要求：数据来源、授权范围、计算任务、调用结果、使用行为五类记录是否齐备。
- 试点先选参与方少、用途边界清晰的场景，验证端到端链路后再扩面。
监控建议：对使用控制事件（超限、越权尝试、异常调用频次）建立告警，并把审计记录纳入例行安全审查；架构复盘时优先核对“合约—策略—留痕”三者是否对得上，而不是先看平台功能数量。
