Этические аспекты и проблемы безопасности пассивного беспроводного мониторинга в персонализированной медицине и нейрореабилитации

Современный этап развития здравоохранения характеризуется смещением фокуса от стационарного лечения к персонализированной предиктивной медицине, ключевым требованием которой является непрерывный амбулаторный мониторинг физиологических показателей. Реализацию этой парадигмы обеспечивают прорывные технологии бесконтактного зондирования, среди которых особое место занимает Wi-Fi Sensing. Используя повсеместно развернутую инфраструктуру сетей IEEE 802.11, данный метод позволяет с высокой точностью детектировать микровибрации, вызванные дыханием, сердцебиением и кинематикой движений человека [1]. Применение Wi-Fi Sensing в нейрореабилитации принципиально меняет подход к восстановлению пациентов после цереброваскулярных событий и спинальных травм: технология обеспечивает объективный контроль моторного прогресса, автоматическое детектирование эпизодов падений и верификацию правильности выполнения упражнений в естественной для пациента среде [2, 3].

Однако та самая неинвазивность и автономность, которые составляют главное преимущество Wi-Fi Sensing перед носимыми устройствами (трекерами, датчиками, которые пациент может произвольно деактивировать), одновременно порождают беспрецедентные этические вызовы. Пассивный, фоновый характер сбора данных нивелирует возможность непосредственного контроля со стороны

2026;16(3):193–201.

наблюдаемого: пациент может не осознавать факт непрерывного мониторинга либо со временем утратить эту осведомленность. Более того, физическая природа распространения радиоволн делает технологию ненаправленной – в зону действия системы неизбежно попадают третьи лица (родственники, сиделки, посетители), чье информированное согласие на сбор данных не получено. Наибольшую озабоченность вызывает глубина проникновения в частную жизнь, которую обеспечивают современные методы анализа состояния канала (CSI). Обработка данных CSI алгоритмами глубокого обучения позволяет реконструировать не только факт движения или местоположение, но и поведенческие паттерны, эмоциональное состояние человека и, потенциально, содержание речи (за счет регистрации микровибраций, вызванных голосовым трактом) [4, 5]. Это качественно переводит данные Wi-Fi Sensing из категории анонимных метрик в разряд особо чувствительной информации, приравниваемой к биометрическим персональным данным, что требует принципиально иного уровня правовой и этической защиты.

Современное состояние исследований в области безопасности Wi-Fi Sensing характеризуется значительным дисбалансом. С одной стороны, детально изучены уязвимости и векторы атак, эксплуатирующие физический уровень сигнала [6–9]. С другой стороны, разрабатываются отдельные, точечные технические контрмеры [10–13]. Однако критически мало- изученной остаётся проблематика системного проектирования защиты, особенно в чувствительном контексте медицинских приложений, где требования безопасности должны быть сбалансированы с точностью мониторинга и этическими нормами.

ЦЕЛЬ ИССЛЕДОВАНИЯ : провести комплексный анализ этических аспектов и проблем безопасности применения пассивного беспроводного мониторинга (Wi-Fi Sensing) в персонализированной медицине и нейрореабилитации, систематизировать уязвимости и предложить математически обоснованный подход к выбору защитных контрмер, учитывающий как технические ограничения, так и этические императивы.

МАТЕРИАЛЫ И МЕТОДЫ

Исследование основано на трёх взаимодополняющих источниках. Во-первых, проведен систематический патентный анализ 14 253 документов из базы данных «Lens» за период 2020–2025 гг., по ключевым словам «Wi-Fi sensing» и «WLAN sensing», позволивший выявить технологические тренды и классифицировать методы мониторинга. Во-вторых, выполнен критический обзор современной научной литературы, включая ключевые работы по безопасности Wi-Fi Sensing [14], анализу этических аспектов пассивного мониторинга [15, 16] и систематические обзоры взаимодействий контрмер [17]. В-третьих, использован разработанный авторами математический аппарат оптимизационного выбора контрмер с учетом синергетических эффектов, детально изложенный в работе [18], который в данной статье применяется для концептуального обоснования предлагаемых протоколов безопасности. Такой комплексный подход обеспечивает методологическую строгость и позволяет интегрировать технические, этические и организационные аспекты проблемы.

РЕЗУЛЬТАТЫ

Для системного представления взаимосвязи между выявленными этическими проблемами, техническими уязвимостями и предлагаемыми подходами к их разрешению на рисунке 1 представлена концептуальная рамка проведенного исследования.

Представленная концептуальная рамка задает структуру дальнейшего анализа. В соответствии с ней исследование разворачивается в три последовательных этапа. На первом этапе рассматриваются этические риски, возникающие при интеграции Wi-Fi Sensing в нейрореабилитационную практику – именно они создают фундаментальные ограничения, требующие разрешения еще до перехода к техническим аспектам защиты.

Протокол этически

ответственно

I о

применения Wi-Fi Sensing в нейрореабил итации

Рисунок 1. Концептуальная рамка исследования: баланс между возможностями Wi-Fi Sensing в нейрореабилитации и этическими рисками и угрозами безопасности

Figure 1. Conceptual framework of the study: balancing the capabilities of Wi-Fi Sensing in neurorehabilitation against ethical risks and security threats

Проблема информированного согласия и приватности третьих лиц

Традиционная биоэтическая модель информированного согласия, лежащая в основе любых медицинских вмешательств, базируется на презумпции осознанного и добровольного участия пациента. Она требует, чтобы субъект был полностью осведомлен о факте, характере, целях и потенциальных рисках сбора данных. В случае с технологией Wi-Fi Sensing данная модель вступает в фундаментальное противоречие с технической природой самого метода. Сбор данных здесь носит пассивный (фоновый) характер и не требует от пациента совершения каких-либо активных действий, что нивелирует возможность постоянного напоминания о работающей системе.

Как демонстрируют патентные исследования [19, 20], современные системы Wi-Fi Sensing способны не просто фиксировать присутствие человека в помещении, но и детектировать его жесты, определять местоположение и идентифицировать поведенческие паттерны без какого-либо взаимодействия с субъектом и, что критически важно, без его ведома. Это создает ситуацию, которую можно охарактеризовать как «эрозию осведомленности»: даже если первоначальное согласие было получено, пациент в силу когнитивных особенностей (особенно актуально для нейрореабилитации) или обыденности обстановки может утратить понимание того, что его действия в каждый момент времени подвергаются анализу. Подобное положение дел прямо нарушает принцип постоянной информированности, являющийся краеугольным камнем этичной медицинской практики.

Еще более сложный и пока не имеющий однозначного нормативного решения аспект – это защита данных третьих лиц. Радиосигнал стандарта IEEE 802.11 не обладает свойством направленности и избирательности. Любое лицо, находящееся в зоне покрытия сети (член семьи, сиделка, социальный работник или случайный гость) неизбежно становится источником данных. В отличие от видеонаблюдения, где возможно «размытие» лиц, технически изолировать из многолучевой картины сигнала данные, относящиеся исключительно к идентифицированному пациенту, не затрагивая приватность окружающих, крайне сложно, а зачастую и невозможно без потери критически важной клинической информации.

Более того, сама технология может быть использована для углубленного анализа социальных взаимодействий без согласия участников. Патент [21] описывает методику оценки контактов между людьми на основе анализа переключений между точками доступа и реконструкции маршрутов перемещения. Применение подобного инструментария в домаш- них условиях, где разворачивается система реабилитации, потенциально позволяет составлять карты социальных связей пациента и его окружения, что представляет собой недопустимое вторжение в частную жизнь как самого пациента, так и всех посещающих его лиц.

Таким образом, пассивная природа Wi-Fi Sensing вступает в прямой конфликт с базовыми принципами биоэтики и требует не просто адаптации существующих процедур согласия, но и разработки принципиально новых технико-юридических механизмов, обеспечивающих как постоянную осведомленность пациента, так и защиту прав третьих лиц, непреднамеренно попадающих в зону мониторинга.

Уязвимость биометрических шаблонов и риск реидентификации

Если проблема информированного согласия касается этической стороны сбора данных, то вопрос биометрической идентификации затрагивает фундаментальные основы информационной безопасности и создает долгосрочные риски для пациента, выходящие далеко за пределы конкретного курса реабилитации.

Данные CSI не являются анонимными метриками. Благодаря высокой разрешающей способности современных методов машинного обучения, они трансформируются в уникальные биометрические шаблоны, пригодные для однозначной идентификации личности. В работе [22] убедительно продемонстрировано, что публично доступные датасеты Wi-Fi Sensing, используемые для обучения моделей распознавания активности, содержат латентную информацию о приватных атрибутах пользователей. При атаке с использованием специально разработанной глубокой нейросетевой архитектуры из этих данных могут быть извлечены такие характеристики, как рост, вес и пол субъекта. Точность идентификации личности по индивидуальным паттернам походки составляет 95,4%. Данный результат имеет принципиальное значение для медицинских приложений. Пациент, проходящий курс нейрореабилитации после инсульта, генерирует уникальный «поведенческий отпечаток» – биомеханический профиль своей походки, который система Wi-Fi Sensing использует для отслеживания прогресса восстановления. Однако этот же профиль, будучи однажды сформированным и сохраненным в базе данных, превращается в высокоточный биометрический идентификатор.

Это порождает как минимум две группы критических рисков:

• 1 . Межконтекстная реидентификация. Биометрический профиль, созданный в медицинском учреждении, может быть использован для идентификации того же лица в иных, немедицинских контекстах (в системе «умного офиса», торговом центре или

• жилом комплексе), где развернуты аналогичные системы мониторинга.

• 2 . Долгосрочная компрометация. Утечка базы данных реабилитационного центра ставит под удар не только текущую, но и будущую приватность пациента. Скомпрометированный шаблон походки делает индивида уязвимым для любой системы, использующей Wi-Fi Sensing, на протяжении всей его жизни.

Автономия пациента и психологический дистресс

В нейрореабилитации, где успех восстановления напрямую зависит от мотивации и активной вовлеченности пациента, пассивный тотальный мониторинг способен дать обратный эффект. Осознание того, что система неотвратимо фиксирует каждое движение (или бездействие), порождает феномен «цифрового паноптикума»: пациент находится в состоянии хронической тревоги, начиная «работать на датчики», а не на естественное восстановление.

Не менее разрушителен риск «стигматизации через данные». Алгоритмы машинного обучения, ориентированные на поиск отклонений, интерпретируют любое действие пациента через призму болезни – тремор, брадикинезию, асимметрию. Даже при объективных успехах система продолжает «видеть» только патологию, формируя у пациента «выученную беспомощность» и закрепляя «роль пациента».

Анализ угроз безопасности в системах

Wi-Fi Sensing

Современные исследования в области безопасности Wi-Fi Sensing [14] формируют четкую двумерную таксономию, разделяющую атаки по характеру воздействия на систему.

Активные атаки предполагают непосредственное вмешательство в процесс зондирования с целью искажения результатов или нарушения функционирования системы. Злоумышленник здесь выступает как активный агент, модифицирующий среду распространения сигнала или сами данные. К данному классу относятся: атаки на передатчик (для обмана глубоких нейросетевых моделей, лежащих в основе распознавания [6]); атаки на приемник (например, игнорирование присутствия человека или создание «фантомных» объектов [7, 23]); атаки на канал (использование метаповерхностей [24] или полнодуплексных устройств [14] для создания искусственных многолучевых искажений, маскирующих присутствие нарушителя или имитирующих несуществующую активность).

Пассивные атаки, напротив, ориентированы на скрытое извлечение информации без внесения изменений в работу системы. Злоумышленник выступает как «невидимый наблюдатель», перехватывающий и анализирующий сигналы. Наибольшую угрозу представляют: перехват и реконструкция пе- ремещений (восстановление траектории передвижения людей в помещении, определение факта их присутствия и даже характер выполняемых действий [8, 9, 25]); идентификация личности и извлечение приватных атрибутов (идентификация человека по походке, а также определение его роста, веса и пола [17]); мониторинг социальных взаимодействий (реконструирование контактов между людьми и составление карты их социальных связей без согласия участников [21]).

Уязвимости на физическом уровне

Фундаментальная возможность пассивного мониторинга, реализуемая через анализ искажений радиосигнала – параметров его мощности (RSSI), состояния канала CSI и времени пролета (ToF/TDoA), одновременно формирует поверхность уязвимостей данной технологии.

Анализ патентных решений [26–29] позволил систематизировать уязвимости в зависимости от используемого метода анализа сигнала: RSSI-методы уязвимы к перехвату и реконструкции перемещений [25, 30] (могут быть использованы для определения факта присутствия человека в помещении [31]); CSI-методы наиболее информативны, но и наиболее уязвимы (позволяют восстанавливать не только местоположение, но и действия, жесты, витальные показатели [3, 32, 33], уязвимы к атакам на модели машинного обучения [7, 23]); ToF/TDoA-методы используются для точного позиционирования [34, 35] (уязвимы к атакам на временные метки и синхронизацию).

Существующие контрмеры и их ограничения

В ответ на угрозы разрабатываются различные контрмеры, которые можно классифицировать следующим образом:

• -    активная защита (самой системой): обфускация канала с помощью метаповерхностей [10]; манипуляция CSI для искажения информации о местоположении [11]; контролируемое «зашумливание» сигнала; федеративное обучение [35–37].

• -    пассивная защита (обеспечивается внешними сторонами): криптографическое шифрование в облаке [12]; алгоритмы анонимизации [13]; протоколы аутентификации [38, 39].

Однако существующие подходы защиты имеют существенные ограничения. Они разрабатываются изолированно, без учёта системного контекста и возможных взаимодействий между контрмерами. Как отмечается в работе [17], большинство исследований фиксируют лишь антагонизмы между мерами безопасности, но не учитывают потенциальную синергию, которая может привести к сверхаддитивному повышению уровня защиты. Для преодоления этого разрыва автором ранее был разработан специализированный математический аппарат, детально изложенный в работе [40]. В рамках данной статьи приводится его концептуальное описание, необходимое для понимания предлагаемого подхода к проектированию защищенных медицинских систем.

Моделирование угроз и контрмер

Пусть задано множество угроз T ={ t 1 , t 2 ,…, t N } и множество потенциальных контрмер C ={ c 1 , c 2 , … , c M } . Для каждой угрозы t i вычисляется интегральный показатель риска:

Riski = Damagei • Probabilityi • Coveragei, где Damagei – потенциальный ущерб (с учетом конфиденциальности, целостности и доступности), Probabilityi – вероятность реализации (оцениваемая по технической сложности, доступности оборудования и требуемой квалификации атакующего), а Coveragei∈[0;1] – доля системы, подверженная угрозе.

Каждая контрмера c j характеризуется вектором эффективности Eff j (оценка покрытия угроз, технологической зрелости и сложности обхода) и вектором стоимости Cost j , включающим финансовые затраты, влияние на производительность и сложность эксплуатации. Эффективность контрмеры c j против конкретной угрозы t i задается матрицей E = [ e ij ].

Учет синергетических эффектов

Ключевой научной новизной предложенного подхода является введение матрицы синергии

S=[sjk]m×m, sjk∈[–1;1], где положительные значения соответствуют взаимному усилению контрмер (синергии), а отрицательные – их конфликту (антагонизму). Интегральный коэффициент синергии учитывает четыре компонента: функциональную синергию (взаимное усиление функциональных возможностей); синергию покрытия (расширение множества защищаемых угроз); ресурсную синергию (экономию при совместном использовании инфраструктуры); информационную синергию (обмен полезны- ми данными между контрмерами).

С учетом синергии эффективность контрмеры cj набор

против угрозы t i при включении в C^* пересчитывается как:

Оптимизационная задача и алгоритм решения

Целевая функция формулируется как максимизация общего уровня безопасности с учетом синергетических эффектов при соблюдении системы ограничений:

при ограничениях:

У Costf^m< Budget

- бюджетном: ^yec          “ ^max;

П Cosf^rt > Perf_min

• -    по производительности:                   ;

• -    по покрытию критических угроз;

• -    по совместимости контрмер: S jk > 0 min для всех пар в наборе.

Для решения задачи разработан алгоритм на основе модифицированной жадной стратегии, который последовательно добавляет контрмеры с максимальным отношением прироста эффективности к стоимости, проверяет выполнение всех ограничений и исключает из рассмотрения контрмеры, несовместимые с уже выбранными. Детальное описание алгоритма, включая блок-схему и анализ вычислительной сложности [40].

Для наглядного представления взаимосвязи между ключевыми параметрами построена трехмерная модель зависимости остаточного риска от бюджета и требований к производительности (рис. 2).

Модель демонстрирует фундаментальный компромисс, лежащий в основе проектирования защищенных систем Wi-Fi Sensing: стремление обеспечить высокую производительность при минимальном бюджете закономерно ведет к существенному остаточному риску. Для ответственных медицинских приложений оптимальная стратегия защиты должна формироваться на основе количественного анализа всей поверхности решений, а не интуитивного выбора изолированных контрмер.

Рисунок 2. Трехмерная модель зависимости остаточного риска от бюджета и требований к производительности

Figure 2. A three-dimensional model of residual risk dependence on budget and performance requirements

ОБСУЖДЕНИЕ

Проведённое исследование показывает, что этические проблемы Wi-Fi Sensing в нейрореабилитации не могут рассматриваться в отрыве от технических аспектов безопасности. Высокая точность идентификации личности по данным CSI (95,4%) превращает медицинские данные в биометрические шаблоны, требующие особых мер защиты. Проблема «фонового согласия» усугубляется возможностью пассивного перехвата данных третьими лицами. Психологический дистресс пациентов может быть усилен недостаточной прозрачностью работы систем и отсутствием контроля над сбором данных.

Существующие подходы к защите Wi-Fi Sensing систем характеризуются фрагментарностью. Разработка изолированных контрмер без учёта их взаимодействия может приводить к двум негативным сценариям: перерасходу бюджета на внедрение конфликтующих мер или недооценке эффективности правильно скомбинированного набора решений. Представленный математический аппарат позволяет учитывать как синергетические, так и антагонистические эффекты.

Осознание фундаментальной взаимосвязи этических и технических аспектов, а также выявленная недостаточность изолированных контрмер подводят к необходимости разработки интегративного решения, которое переводит описанные принципы в конкретные, верифицируемые требования к проектированию и эксплуатации систем Wi-Fi Sensing в нейрореабилитации.

Протокол этически ответственного применения

Wi-Fi Sensing в нейрореабилитации

На основе полученных результатов предлагается протокол, включающий следующие требования:

• 1.    Информированное согласие с периодическим подтверждением. В связи с пассивным характером мониторинга необходимо внедрить механизмы регулярного напоминания пациенту о работающей системе (например, при помощи push-уведомлений). Протокол должен предусматривать возможность временной приостановки мониторинга по желанию пациента без потери данных за предыдущий период.

• 2.    Защита данных третьих лиц. При размещении системы в домашних условиях необходимо разработать механизмы, минимизирующие сбор данных о посетителях (например, детекция нескольких мобильных устройств для временного «зашумливания» сигнала в соответствующие периоды). Рекомендуется размещение предупреждающих знаков при входе в зону мониторинга.

• 3.    Технические меры защиты на физическом уровне. Обязательное использование шифрования CSI-данных, предпочтительно с обработкой на границе сети и передачей в облако только агрегированных результатов. Применение федеративного обучения для исключения передачи сырых данных.

• 4.    Этическая экспертиза алгоритмов. Недопустимо использование алгоритмов, классифицирующих эмоциональное состояние или производящих избыточную диагностику без явного запроса со стороны лечащего врача. Алгоритмы должны быть ориентированы на поддержку реабилитации, а не на тотальный контроль.

• 5.    Количественное обоснование выбора контрмер. Выбор средств защиты должен производиться на основе формального анализа с учётом бюджетных ограничений, требований к производительности и специфики медицинского учреждения. Предложенный математический аппарат может служить основой для такого обоснования.

ЗАКЛЮЧЕНИЕ

Проведенное исследование показало, что внедрение технологии Wi-Fi Sensing в нейрореабилитацию сопряжено с фундаментальным противоречием: ее ключевые преимущества, а именно пассивность, ненаправленность и высокая чувствительность – неотделимы от порождаемых ими этических рисков. Проблема «эрозии осведомленности» при информированном согласии, угроза приватности третьих лиц, необратимая компрометация биометрических шаблонов с точностью идентификации 95,4% и психологический дистресс в форме «цифрового паноптикума» требуют системного разрешения. При этом существующие подходы к защите носят фрагментарный характер: изолированные контрмеры разрабатываются без учета их взаимодействия, что ведет либо к перерасходу бюджета, либо к недооценке эффективности правильно скомбинированных решений.

Преодоление данного разрыва возможно через переход к системному проектированию безопасности на основе количественных моделей. Разработанный математический аппарат, учитывающий синергетические и антагонистические эффекты контрмер, в сочетании с предложенным протоколом этически ответственного применения создает методологическую основу для проектирования защищенных медицинских систем. Дальнейшие исследования должны быть направлены на клиническую валидацию предложенного подхода, создание стандартов сертификации, интегрирующих требования кибербезопасности и биоэтики.