第08章 公共卫生事件与社会安全事件中的空间分析

本章导读

四类突发事件中，公共卫生事件与社会安全事件是最不像“灾害”的两类：没有清晰的地理边界，没有可遥感识别的受灾范围，也很难用一张淹没图或一条断裂带来描述。但它们同样是高度空间化的问题——传染病沿人的流动路径扩散，踩踏发生在特定的空间瓶颈，大型活动的风险集中在出入口和时间切片上。不同的是，这里的主角不是“灾害体”，而是“人”。这个共同点带来两个必然后果：方法上必须处理个体与群体的尺度转换，制度上必须处理个人信息的保护边界。本章先讲公共卫生的三类稳定方法（时空聚集探测、流动网络分析、医疗资源可达性），并明确指出“方法成熟不等于结论可靠”：报告数不等于感染数，检测能力差异会扭曲空间分布，无症状比例未知会影响聚集判断。再讲社会安全的建模难点——人群行为无法用物理方程描述，仿真结果对参数高度敏感，因此正确用法是比较方案而不是预测结果。最后落到合规硬约束：紧急情况例外豁免的是同意与及时告知，不是全部义务；目的限定、最小必要、分级授权、留痕审计、事后删除五条红线在应急状态下依然成立。

学习目标

读完本章，你应当能够：

• 说明“对象是人不是地”如何同时决定方法选择与合规要求，并各举一例；
• 解释报告数、检测能力、无症状比例三个因素如何扭曲疫情的空间分布，写出每条在成果中的标注方式；
• 区分医疗资源可达性分析中“距离”与“时间”两种口径的适用条件，说明床位、医护、设备三类资源为何需要不同的可达性口径；
• 用密度、流动、瓶颈三个变量描述踩踏风险评估框架，并说明哪一项数据最难获取；
• 说明大型活动安保中“时间切片”与“通道预留”的空间设计作用，指出分区管控的三条可审查规则；
• 复述个人信息保护法在应急场景下的例外范围，写出五条在任何情况下都成立的处理红线。

四类突发事件中，公共卫生事件与社会安全事件是最不像“灾害”的两类。它们没有清晰的地理边界，没有可以遥感识别的受灾范围，也很难用一张淹没图或一条断裂带来描述。但它们同样是高度空间化的问题：传染病沿人的流动路径扩散，踩踏发生在特定的空间瓶颈，大型活动的风险集中在出入口和时间切片上。不同的是，这里的主角不是“灾害体”，而是“人”。

本章讨论 GIS 在这两类事件中的实际作用。8.1 至 8.3 处理公共卫生事件，从空间维度、时空分析到医疗资源可达性；8.4 至 8.6 处理社会安全事件，从空间特征、人群密度到大型活动安保；8.7 专门讨论个人位置信息的合规边界，这一节是本章不可省略的部分，也是这两类场景最容易出事的地方。

需要先说明一个基本判断：这两类事件的空间分析，技术难度并不高于自然灾害，但制度约束远高于自然灾害。公共卫生事件的数据主体是个人，社会安全事件的数据涉及公共安全，二者的采集、使用、共享都受到严格限制。任何跳过合规讨论、直接谈“数据越多越准”的方案，在实践中都不可持续。

8.1 公共卫生事件的空间维度

公共卫生事件的空间分析对象不是“灾害体”，而是“人、时间、地点”构成的三元组。自然灾害的 GIS 处理一个台风、一条洪水淹没带、一片火场，这些对象有明确的物理边界，可以被遥感观测、被模型推演。传染病没有这样的实体，它的“灾害体”是传播过程本身，在空间上表现为人与人、人与场所之间的接触关系。因此分析的基本单元不是地块，而是“谁、在什么时间、出现在什么地点”。

8.1.1 四类空间要素

空间要素可以归为四类。第一类是传染源，包括患者、病原携带者、动物宿主和环境污染物。前两者在空间上是点，而且必须是脱敏之后的点；动物宿主和污染物可能是面，例如某类畜禽的养殖带、某段被污染的水体。第二类是传播链，包括人传人、人物人、人环境人三种基本路径。不同路径对应的空间尺度完全不同：飞沫传播的有效距离有限，空气传播可以充满整个房间并通过通风系统扩散到其他区域，接触传播则表现为一张跨越城市的物流或人员网络。第三类是人口流动，通勤、客运、返乡、旅游把人从一个地方带到另一个地方，也把局部事件放大为区域事件。第四类是医疗资源，包括医院、床位、重症监护能力、检测能力和转运能力，它们决定了事件能被多快识别、多快收治。

8.1.2 三个尺度的选择

尺度选择是这类分析的第一个分岔口。微观尺度是场所、楼栋、病区，用的数据是流行病学调查和场所台账，回答的是“这个人去过哪里、接触过谁”。中观尺度是社区、街道、区县，用的数据是病例报告和人口数据，回答的是“哪一片的发病水平异常”。宏观尺度是省际、城市群，用的数据是客运和移动通信数据，回答的是“输入风险从哪里来”。三个尺度的方法、数据、精度都不同，混淆尺度的典型错误是用省级数据指导社区管控，或者用楼栋数据推断省级趋势。

与自然灾害相比，公共卫生事件的空间分析有三个本质差异。第一是数据主体，自然灾害的空间数据描述的是地块、水系、建筑，公共卫生的空间数据描述的是人，天然属于个人信息，受法律严格约束。第二是过程性质，自然灾害的范围在数小时内基本确定，传播过程则是持续演化的网络，今天的风险点和明天的风险点可能完全不同。第三是干预方式，自然灾害的干预是“让人避开危险区”，公共卫生的干预是“改变人的分布和行为”，隔离、限流、停课、错峰，全部是空间行为，但方向相反。

8.1.3 制度框架与数据边界

法律框架为这项工作划定了边界，也提供了依据。《中华人民共和国传染病防治法》于2025年修订，对疫情信息通报、监测预警和区域防控措施作出规定（2025-04-30 公布）。这意味着“分区分类”的防控措施有了明确的法律基础，同时也意味着谁能发布信息、发布什么内容、依据什么程序，都是有规定的。《突发公共卫生事件应急条例》于2024年6月28日修订，进一步明确了监测预警、应急处置和制度衔接的要求。上位法《中华人民共和国突发事件应对法》于2024年6月28日修订，2024年11月1日施行，对信息报送与发布、基层应急工作机制作出规定。三部法律法规叠加，构成了公共卫生事件空间信息使用的基本制度环境。

表8-1 公共卫生事件的三类空间尺度与分析任务

还需要强调一个容易被忽略的维度：时间。公共卫生事件的每一个病例都有多个时间戳——发病时间、就诊时间、检测时间、报告时间、转归时间。这些时间戳之间的差值，构成了数据延迟的主体。做趋势判断时，如果用的是报告时间，看到的“高峰”可能只是检测能力的集中释放；如果用发病时间，曲线更接近真实过程，但末端数据总是不完整的。成熟的做法是同时呈现两条曲线，并明确标注口径，而不是只给一条看起来很平滑的线。

边界在于，公共卫生事件的空间分析高度依赖数据的完整性，而数据完整性又受制于检测覆盖和报告制度。在检测能力不足的阶段，报告数远远低于真实感染数，此时任何基于报告数的空间聚集分析都可能得出错误结论。专业的态度是把“数据能说明什么、不能说明什么”写进每一张图，而不是让使用者自己去猜。

8.2 疫情时空分析与可视化

疫情地图最常见的错误，是把累计数画成面，再把面画成风险。一张按行政区填色的地图，颜色深浅通常反映的是累计病例数，而累计病例数同时受人口规模、检测强度、报告及时性和事件持续时间的影响。把它直接读成“这个区风险高”，是把四个变量压缩成了一个颜色，结论很容易误导。

8.2.1 三个基本量的区分

第一步是区分三个基本量：存量、增量、率。存量是某一时点的现有病例，反映医疗系统的即时压力；增量是单位时间的新增，反映传播速度；率是相对于人口基数的比值，反映风险水平。三者回答的问题不同，不能混用。地图上必须明确标注当前展示的是哪一个，色带的含义也要写清楚。实践中常见的错误是用累计数做区县排名，结果人口大区永远排在前列，与实际防控压力无关。

第二步是时间口径统一。前面提到的多个时间戳问题，在可视化阶段会直接表现为曲线形状的差异。除此之外还有截断问题：事件末期的数据总是不完整的，最后几天的曲线必然下降，这不是疫情好转，而是报告尚未补齐。处理办法是在图末标注“数据可能不完整”的区域，或者用虚线表示推断段。这个细节看起来琐碎，但它决定了决策者会不会误判拐点。

8.2.2 方法选择与尺度匹配

第三步是选择合适的方法。病例点图最直观，但在社区尺度上会直接暴露个人位置，必须聚合到最小统计单元之后才能发布。面域填色适合展示行政单元之间的差异，但受可变面元问题影响——同样的数据，按街道聚合与按区县聚合，可能得出方向相反的结论。核密度分析适合展示连续的空间聚集，但核带宽的选择会显著改变结果形态，带宽过大会把两个独立的聚集区连成一片，带宽过小会把一个聚集区拆成碎片。时空扫描统计可以同时考虑时间和空间两个维度，识别出“某地某时段”的异常聚集，比单纯的空间热点更贴近传播过程。

流动网络分析是宏观尺度的核心方法。把城市看作节点，把客运班次看作边，可以在疫情早期识别出输入风险较高的节点，为口岸和交通枢纽的防控提供依据。这类分析的关键不是算法，而是数据的时效性和完整性：班次数据滞后一周，结论就失去了意义。移动通信数据可以提供更细的人口流动图景，但它属于个人信息的范畴，使用条件严格，详见8.7。

8.2.3 分区设计与发布伦理

防控分区的空间设计是方法落地的最后一环。分区的基本逻辑是把病例分布、传播链完整性、人口密度和场所类型四个因素叠加，划出不同管控强度的区域。这里的技术难点不在于划定，而在于边界的可执行性：一条沿着河流划定的边界很好执行，一条穿过居民小区的边界则很难。因此实际操作中，分区边界往往要沿道路、围墙、行政区界做规整化处理，牺牲一点精确性换取可执行性。

表8-2 疫情时空分析的常用方法与适用条件

可视化的伦理问题需要单独说。一张精确到小区的疫情地图，在信息层面上是“风险提示”，在社会层面上可能变成“标签”。被标注的区域会遭遇实际的歧视——租房被拒、员工被辞、货物被拒收。这类后果不会出现在技术评估里，但它是真实发生的。因此发布粒度应当遵循“够用即可”的原则：能支撑防控决策的最小粒度，而不是技术上能做到的最大粒度。

边界有三条。第一，报告数不等于感染数，检测能力不足时二者差距很大，任何基于报告数的空间分析都要附带这个说明。第二，无症状感染者的比例未知且随时间变化，会系统性影响聚集性判断。第三，跨区域的传播链还原依赖各地数据口径一致，而现实中各地的报告标准、检测策略、统计时段都可能不同，直接拼接会得出虚假的传播路径。

8.3 医疗资源可达性与应急调配

医疗资源可达性分析的价值，在于识别“时间上的孤岛”，而不是画几个服务圈。所谓时间上的孤岛，是指那些地理上看起来不远、但实际到达需要绕行很久的区域——被铁路或河流分割的片区、山区乡镇、交通管制期间的封控区。这些区域在直线距离的覆盖图上往往显示为“已覆盖”，在真实的转运时间上却是空白。

8.3.1 四种可达性方法

方法上有四种常用工具，各有适用场景。最近设施点分析回答“最近的医院在哪里、多远”，关键在于用路网距离而不是直线距离，并且要区分不同等级的设施——最近的社区医院未必能处理重症。两步移动搜索法同时考虑供给和需求，能够识别“医院多但人更多”的供需失衡区域，比单纯的距离分析更接近实际。等时圈分析给出“多长时间能到达的范围”，适合做规划层面的覆盖评估。供需比分析则把床位、医生、设备与人口对应起来，适合做资源配置的宏观判断。

8.3.2 能力分层与分级诊疗

分析对象要分层。第一层是救治能力，包括定点医院、重症监护床位、负压病房，这一层决定了重症患者能不能被收治。第二层是筛查能力，包括发热门诊、检测点，这一层决定了病例能不能被及时发现。第三层是转运能力，包括救护车、负压转运车、转运人员，这一层决定了患者能不能从发现地到达救治地。第四层是支撑能力，包括血站、药品储备、防护物资。四层能力在空间上的分布往往不匹配：救治能力强的地方筛查能力未必强，筛查点密集的地方转运能力可能不足。

分级诊疗的空间表达是这套分析的中观应用。基层机构负责首诊和筛查，二级机构负责常见病和轻症，三级机构负责重症，形成一个有层级的网络。这个网络的空间合理性，取决于转诊路径是否顺畅、基层机构的服务半径是否合适、上级机构是否被轻症挤占。GIS 在这里能做的是把“层级”和“距离”放在一起看，识别出那些“离三级医院很近所以基层没人去”的区域，以及“离任何机构都很远”的区域。

8.3.3 临时设施选址与转运

临时设施的选址是应急阶段的核心问题。方舱医院、临时检测点、集中隔离点的选址，本质上是约束满足问题，而不是最优中心问题。约束条件包括：场地条件（大空间、通风良好、上下水齐全、污水可独立收集）、交通条件（救护车能进出、不与居民出行流线交叉）、环境条件（与居民区保持适当距离、考虑主导风向）、保障条件（供电、通信、安保、垃圾清运）。这些条件往往互相冲突，可行的选址通常只剩下少数几个备选点，此时分析的重点是“排除不可行”，而不是“计算最优”。

转运路径的规划要考虑三个变量。第一是时间窗，不同病情的可承受转运时间不同。第二是路权，救护车在拥堵路段的实际通行速度远低于自由流速度。第三是交接，跨市转运需要在边界处完成患者、资料、设备的交接，交接点的设置直接影响总时长。把这三个变量放进网络分析，得到的才是可执行的转运方案，而不是一条最短路径。

表8-3 医疗资源空间配置的核心分析任务

边界在于，医疗资源的“数量”不等于“能力”。一张床位能不能收治重症，取决于有没有相应的设备、药品和医护人员，而这些信息往往不在床位统计里。转运能力同样如此，车辆数量是分子，但真正决定转运效率的是司机、医护、消杀和接收端的周转速度。分析如果只停留在数量层面，结论会偏乐观。

8.4 社会安全事件的空间特征

社会安全事件的空间分析对象是“人群与场所的关系”，核心变量是密度、流向和目标。它与自然灾害的最大区别在于：自然灾害的风险源在外部，社会安全事件的风险源往往就在人群本身——拥挤、恐慌、冲突、失序，这些现象在空间上有明确的触发条件，但很难用物理模型描述。

8.4.1 五类场所空间

按场所类型划分，主要有五类空间。第一类是大型群众性活动场所，体育场、会展中心、演出场地，特征是人群高度集中、时间高度确定、出入口有限。第二类是人员密集的日常场所，车站、机场、商圈、景区、学校、医院，特征是人群持续流动、峰值可预测但不精确。第三类是重点部位，特征是单点失效后果严重，具体对象不在本报告讨论范围。第四类是临时性聚集，特征是自发形成、缺乏预案、空间条件不可控。第五类是网络空间与现实空间的耦合场景，线上动员、线下聚集，这类事件的空间预判难度最高。

《大型群众性活动安全管理条例》为社会安全事件的空间管理提供了一个明确的制度支点。该条例为国务院令第505号，2007年10月1日施行，规定1000人以上的活动需要申请安全许可并提交安保方案。这个门槛的意义在于，它把“空间分析”从可选项变成了许可流程中的一个环节：预计参加人数、场地条件、疏散通道、应急措施，都必须写进方案。反过来说，1000人以下的活动不受此条例约束，而这恰恰是空间管理最容易缺位的地带。

8.4.2 六项要素与六类数据

社会安全事件的空间要素可以拆成六项。第一是场地边界，包括围墙、围栏、水马、警戒带，它决定了人群能被引导到哪个范围。第二是出入口，包括数量、宽度、位置、开启方向，它是人流进出的唯一通道，也是最主要的瓶颈。第三是内部通道，包括主通道、支路、楼梯、连廊，它决定了人群在场地内的分布均衡性。第四是瓶颈点，包括检票口、安检门、楼梯口、天桥、地下通道汇流处，这些位置的单位时间通过能力决定了整体的流动效率。第五是应急通道，包括救援车辆进出通道、人员疏散通道、医疗点通道，它必须在设计阶段就预留，事中无法临时开辟。第六是周边环境，包括路网、地铁站、公交站、停车场，它决定了人群到达和离开的方式。

数据来源有六类，各有明显的偏差。票务数据能给出总量和座位分布，但只覆盖有票人员。闸机计数能给出进出流量，但只覆盖经过闸机的人。视频分析能给出密度估计，但在遮挡、逆光、夜间条件下误差明显。移动通信数据能给出宏观聚集趋势，但粒度粗且受合规约束。无人机航拍能给出俯视全景，但受空域管理和天气限制。人工计数最可靠，但成本高、不可持续。没有任何单一数据源足够，必须做多源融合，并对每一类数据的偏差有清晰认识。

表8-4 人群聚集风险的空间要素与数据来源

8.4.3 模型化程度与现实边界

社会安全事件的模型化程度低于自然灾害，这一点必须承认。洪水淹没可以用水动力学方程描述，人群行为不能。现有的模型——无论是社会力模型还是元胞自动机——都是对行为的简化，参数需要靠观测标定，而观测本身在真实场景中很难获得。因此这类分析的正确用法是“比较方案”而不是“预测结果”：比较两种出入口配置哪种更快疏散，比较三条引导路线哪条更少交叉，而不是断言“多少分钟内一定能疏散完毕”。

8.5 人群密度与踩踏风险评估

踩踏风险的本质是密度、流动与瓶颈三者的乘积，而不是人数。十万人在开阔场地分散活动，风险很低；三千人挤在一条狭窄通道里，风险极高。人数只提供了分子，密度才反映真实的拥挤程度，而流动方向和瓶颈位置决定了风险会不会在某个点突然放大。

8.5.1 密度：从人数到拥挤度

密度是第一个核心指标。业内通常按每平方米的人数划分若干等级，从可以自由行走，到行走受限，再到无法自主移动，最后到出现挤压伤害。等级的具体数值在不同文献和标准中略有差异，但规律是一致的：密度上升到某个临界点之后，个体的移动自由被完全剥夺，人群像流体一样被整体推动，此时任何局部的跌倒都会引发连锁。这个临界状态的出现不是渐进的，而是突变的，这也是踩踏事故往往在几分钟内恶化的原因。

密度的测量方法各有优劣。视频人数估计是当前最常用的手段，通过人头检测或人群密度回归给出估计值，优点是不需要额外设备，缺点是遮挡严重时低估明显，逆光和夜间误差更大。闸机计数精确，但只覆盖经过闸机的入口，场内密度仍要靠推算。票务数据给出总量，无法反映空间分布。移动通信数据可以给出宏观趋势，但空间粒度通常到基站覆盖范围，无法定位到具体通道。因此实际系统中往往采用“总量靠票务、流量靠闸机、分布靠视频、校核靠人工”的组合。

8.5.2 瓶颈识别与疏散仿真

瓶颈识别是第二个核心工作。瓶颈不等于窄，而是“通过能力小于到达流量”的位置。常见的瓶颈包括：出入口、检票口、安检门、楼梯上下口、天桥、地下通道的汇合处、通道转弯处、以及任何因为摆摊、护栏、指示牌而被人为收窄的位置。瓶颈的空间特征可以通过“单位时间通过量”与“上游到达量”的比值来识别，比值持续大于一时，排队会不断累积，风险随之上升。

疏散仿真是第三个工具，也是最容易被误用的工具。主流方法包括社会力模型、元胞自动机和格子气模型，它们的共同点是：把每个人抽象为一个有期望速度、有避让行为的粒子，通过求解相互作用来模拟整体运动。问题在于，这些模型的输出对参数高度敏感——期望速度提高一点，疏散时间显著缩短；身体半径设大一点，瓶颈处的堵塞提前出现。因此仿真结果不能作为单一结论使用，必须做敏感性分析，给出一个区间而不是一个数值。

8.5.3 室内外一体化与时间维度

与 GIS 结合时，室内外一体化是技术难点。室外有成熟的路网模型，室内没有。要做完整的疏散分析，需要建立室内空间模型，包括楼层、房间、门、楼梯、走廊的拓扑关系，并把它们与室外的出入口、道路、集散广场连接起来。这项工作的工程量很大，而大型场馆的室内图纸往往与实际情况存在差异，改造之后没有及时更新。因此室内模型的维护成本，常常是这类系统能否长期使用的决定性因素。

时间维度同样关键。人群不是均匀到达的，进场有高峰，散场有更集中的高峰。散场风险高于进场，原因有三：一是人的疲劳和注意力下降，二是离开的意愿强烈导致不服从引导，三是与周边交通的叠加——地铁限流、道路拥堵、停车出场，会把场馆内的压力转移到场馆外。因此疏散方案必须覆盖“最后一公里”，而不只是场馆大门以内。

边界有三条。第一，仿真的可信度取决于参数标定，而真实场景的参数极难获得，因此仿真适合比较方案，不适合预测精确时间。第二，视频密度估计在极端拥挤时失效——人挤人时连人头都看不见，此时只能靠总量推算加经验判断。第三，任何关于具体安保力量配置的内容都不属于公开讨论范围，本章只讨论空间逻辑与评估方法。

8.6 大型群众性活动的空间安保

大型群众性活动的空间工作，可以概括为三件事：分区分流、时间切片、通道预留。这三件事听起来朴素，但它们是安保方案中唯二可以事先验证的部分——其余的要素，比如现场指挥、应急处置、力量调配，都只能在演练中检验。

8.6.1 分区分流与时间切片

分区分流的空间逻辑是“层层过滤、逐级疏导”。通常把场地划分为若干层次：核心区是活动主体所在，控制最严；控制区是持证人员活动范围；缓冲区是普通观众的主要活动区；外围疏导区是场外的人流集散和交通组织范围。分区的目的不是隔离，而是让人流在进入核心区之前，已经在缓冲区内完成了分流和减速。分区边界的设置要与实际的物理隔离设施对应，图纸上画一条线、现场没有围栏，这个分区就是无效的。

时间切片是第二个关键。一场活动的风险分布极不均匀：进场时段人流集中但目的明确、方向一致，风险相对可控；活动期间人群静止，风险主要来自设施和环境；散场时段风险最高，因为人流在短时间内集中释放，且与周边交通、天气、夜间视线叠加。成熟的做法是把三个时段分别做空间方案：进场用多入口分流和蛇形排队控制到达速率，活动期间用通道巡查和密度监测控制场内状态，散场用分批放行和外围交通管制控制释放速率。

8.6.2 通道预留与周边交通

通道预留是最容易被牺牲的一环。救援通道、消防通道、医疗点通道，在方案阶段都会画出来，但在实际布置时，广告牌、摊位、临时厕所、护栏常常会占用这些空间。原因很现实：商业权益需要曝光位，观众体验需要服务设施，而通道是“平时用不上”的空间。解决办法不是靠自觉，而是把通道作为硬约束写进方案审查：通道净宽、转弯半径、回车场地、医疗点可达性，逐项核验，任何占用都必须重新审批。

周边交通组织决定了活动的外部风险。人群到达和离开的方式，直接决定了压力在什么位置释放。地铁站是最典型的瓶颈：一场活动结束，数千人同时涌向最近的地铁站，站厅和出入口会瞬间超过设计容量，必须限流。限流的位置、方式、持续时间，需要根据人流预测来设计，而不是临时决定。公交接驳、停车诱导、道路管制同样是空间设计问题，它们的共同目标是把人群“摊开”在更大的空间里，降低单点密度。

气象条件的耦合不能忽略。雷雨天气会影响露天场地的疏散效率，高温会增加中暑风险并降低人群的耐受度，大风会影响临时设施和舞台结构的稳定性。把气象预报纳入活动前的空间方案评估，是一个成本很低但收益很高的做法：一场预计有雷雨的活动，应当提前设计室内避雨点和相应的引导路线，而不是等雨来了再临时广播。

技术手段的作用是“看得见、算得出、传得快”。热力图和密度监测让指挥员看到场内状态，人流预测让组织者提前调整入口开放数量，视频和通信让现场与指挥中心保持同步。但技术不能替代方案：一套没有分区分流设计的场地，再多的摄像头也只能看到拥挤，不能解决拥挤。

8.6.3 合规边界与模板的局限

合规边界必须明确。本节讨论的是空间布局、人流组织、通道预留的原则和方法，不涉及任何具体的力量部署、点位设置、装备配置和行动编成。这类信息属于内部管理事项。公开报告能够提供的价值，是让管理者理解“空间设计如何影响安全”，而不是提供一份可以直接照搬的安保方案。

边界还有两条。第一，方案的空间部分经常被简化为一张平面图，缺少人流仿真和通道验证，导致纸面合理、现场失效。第二，大型活动的空间条件千差万别，体育场、会展中心、开放街区、山地景区的问题完全不同，任何通用模板都需要结合场地重新校核。

8.7 数据合规边界：个人位置信息的处理红线

公共卫生与社会安全是位置数据需求最强烈的两个场景，也是合规风险最高的两个场景。这两个判断并不矛盾：需求越强，越容易突破边界；后果越严重，越容易为突破边界找到理由。本节的态度是明确的——红线不能靠事后补授权，也不能靠“特殊情况”自我豁免。

8.7.1 例外条款的三层结构

先看法律框架。《中华人民共和国个人信息保护法》于2021年8月20日通过、2021年11月1日施行，确立了处理个人信息的基本规则。其中最容易被误读的，是突发事件紧急情况下的例外条款。这条规则的结构是三层：第一层是一般规则，处理个人信息应当具有合法性基础，取得个人同意是其中一种；第二层是例外，为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需，可以处理个人信息，不需取得同意；第三层是告知，紧急情况下为保护自然人生命健康和财产安全无法及时告知的，应当在紧急情况消除后及时告知。

三层结构合起来看，例外条款豁免的是“同意”和“及时告知”这两项程序性义务，而不是全部的实体性义务。目的限定、最小必要、安全保障、事后告知、到期删除，这些义务在紧急状态下依然存在。把例外条款理解为“紧急情况可以随便用”，是最常见也最危险的误读。实践中不少问题的根源，就是把“可以不经同意”直接等同于“可以不受约束”。

8.7.2 五条红线

第一条红线是目的限定与不得转用。为防控目的采集的位置数据，不能转用于商业营销、绩效考核、信用评价、社会面画像。这条看似不言自明，实际执行中很容易失守：一次防控采集的数据，在事件结束后被并入常住人口库；一套流调系统，在事件结束后被改造成社会治理平台。转用一旦发生，原始采集的合法性基础就消失了，后续所有处理都失去依据。

第二条红线是最小必要与降精度。能用户级聚合数据解决的问题，不用个体数据；能用格网统计解决的问题，不用精确点位；能保留短期的问题，不做长期留存。技术上有成熟的手段：空间泛化把精确坐标映射到统计单元，匿名化处理保证任一条记录都不能被唯一识别，假名化把身份标识替换为可撤销的代号，差分隐私在统计结果中加入受控噪声。这些手段都会损失一点精度，但绝大多数决策并不需要那个精度。

第三条红线是分级授权与最小可见。不是所有参与防控的人都需要看到全部数据。指挥人员需要看汇总态势，流调人员需要看自己负责的病例，社区人员需要看本社区的范围，公众只需要看风险提示。按角色划分数据视图，按需授权、按事授权、到期回收，这是最基本的访问控制设计。技术上的常见错误是建一个大库、开一堆账号，靠制度约束代替系统约束——制度会松，系统不会。

第四条红线是留痕与审计。谁在什么时间、因为什么原因、查询了谁的数据，必须有记录且不可篡改。这既是对个人的保护，也是对查询者的保护：发生泄露时，能够快速定位范围、界定责任。审计日志本身也是敏感数据，需要同样的保护级别。

第五条红线是事后告知、删除与退出。紧急情况消除后，应当及时告知此前未能告知的个人，说明处理的目的、方式、范围；不再需要的数据应当删除或匿名化；临时开通的接口应当关闭；临时授予的权限应当回收；临时建立的系统应当明确后续处置方案。这一条在实践中被完成的比例最低，因为事件结束时，各方都在处理更紧迫的恢复工作，数据清理往往被搁置，然后就永远搁置了。

表8-5 个人位置信息处理的合规检查清单

8.7.3 敏感信息与错误做法

敏感个人信息的规则更严格。行踪轨迹、健康医疗信息属于敏感个人信息，处理这类信息需要特定的目的和充分的必要性，并采取严格保护措施。这意味着即便在紧急情况下，也不是所有位置数据都可以一视同仁地采集：能用户籍地址的不采集实时轨迹，能用基站级汇总的不采集连续定位，能用一次性的不采集连续的。技术方案设计阶段的每一个“顺手多采一点”，都会在事后变成合规负担。

实践中出现过的错误做法，值得逐一点明。第一类是把流调报告原文上网，报告里包含姓名、住址、工作单位、行程细节，一旦公开就无法撤回。第二类是把人员轨迹精确到楼栋门牌，在社区群里传播，名义是“提醒邻居注意”。第三类是把密接名单按小区公示，导致当事人被识别、被排斥。第四类是流调数据在部门之间以“工作需要”名义直接拷贝，没有协议、没有范围限定、没有销毁约定。这四类做法的共同问题，不是“泄露了一个名字”，而是把不可逆的个人信息永久留在了互联网上。

技术上完全可以在合规前提下完成绝大多数决策需求。疫情防控需要的核心信息是“哪一片发病水平异常”“医疗资源够不够”“人员流动从哪里来”，这些都可以用聚合到统计单元的数据回答。真正需要个体级数据的场景其实很窄：密接判定、转运调度、特殊人群保障。把这些场景限定在受控环境、授权人员、留痕操作的范围内，既能满足业务，也能守住边界。

8.7.4 持续义务与定期复核

最后要说清楚合规的性质：它不是一次性审批，而是持续义务。系统上线时做过评估，不等于运行中一直合规；事件期间合规，不等于事件结束后自动合规。数据会沉淀、权限会累积、接口会遗留，这些都是时间带来的风险。因此需要建立定期复核机制：每季度清理一次权限，每年做一次数据资产盘点，事件结束后一个月内完成专项清理。这些工作没有技术含量，但它们是红线能不能守住的真正保障。

8.8 典型实践与边界

从公开信息看，这两类事件的空间实践呈现出不同的成熟度。公共卫生领域的制度框架相对完整，《传染病防治法》2025年修订、《突发公共卫生事件应急条例》2024年修订、《突发事件应对法》2024年修订，三部法律法规把监测预警、信息通报、区域防控、应急处置的链条基本串起来了。技术侧的方法体系也比较成熟，时空聚集探测、流动网络分析、医疗资源可达性分析，都有相对稳定的方法论和工具链。

社会安全领域的制度建设同样有明确支点，《大型群众性活动安全管理条例》以1000人为门槛建立了安全许可制度。但技术侧的成熟度明显低于公共卫生：人群行为的建模能力有限，数据的敏感度更高，可共享的范围更窄，导致分析往往停留在态势展示和事后复盘，难以做到事前预测。

城市级的平台建设为这两类事件提供了一些共性支撑。住房和城乡建设部推进的城市安全风险综合监测预警试点已开展到第二批共15个试点城市，2025年5月全国现场推进会在上海召开，成都、长沙等城市依托平台实现“能监测、会预警、快处置”（住房和城乡建设部，2025-05）。需要说明的是，这类平台的监测对象以安全生产、城市生命线和自然灾害为主，人员密集场所的监测是其组成部分之一；公共卫生事件的专业监测，仍然主要依托卫生健康系统的专门体系。把不同体系的职责混为一谈，会导致响应时找不到责任主体。

国际经验提供了一个组织层面的参照。ISO 22320:2018《安全与韧性 应急管理 事件管理指南》确立了统一指挥、协同、全灾种、风险管理、准备和信息管理等原则；美国联邦应急管理署在国家事件管理体系下设置了嵌入规划组的 GIS 单元，应急运行中心指南也明确了地理信息支撑的要求。这两个参照的共同点不是技术，而是组织位置——空间能力被放在指挥体系的规划环节，而不是作为一个独立的技术支持部门存在。这一点对公共卫生和社会安全同样适用：分析能力如果不在决策链条上，再准也没有用。

常见的失败原因可以归纳为五条。第一，数据孤岛，卫生健康、公安、交通、民政各有一套系统，事件发生时无法在短时间内拼出完整图景。第二，模型缺少验证，传染病模型的参数不可辨识，人群模型的参数难以标定，结论的置信度没有说明。第三，隐私顾虑导致数据不可得，转而使用粗糙的替代数据，却不说明替代带来的偏差。第四，社会安全事件的数据高度敏感，跨部门共享缺乏制度通道，实际协同靠个人关系维持。第五，把可视化当分析，热力图做得很好看，但无法回答“应该在哪里加开一个出口”这样的具体问题。

边界需要分两层说。第一层是能力边界：公共卫生的空间分析能识别聚集、评估资源、推演趋势，但不能替代流行病学调查，也不能替代临床判断；社会安全的空间分析能评估密度、识别瓶颈、比较方案，但不能预测个体的行为，也不能替代现场指挥。第二层是合规边界：这两类事件的数据都涉及个人，任何分析方案都必须先回答合法性问题，再回答技术问题。顺序反了，方案再精巧也不成立。

本章小结

公共卫生事件与社会安全事件的空间分析，共同点在于对象都是“人”，而不是“地”。这个共同点带来了两个后果：方法上必须处理个体与群体的尺度转换，制度上必须处理个人信息的保护边界。理解这两点，比掌握任何单一算法都重要。

公共卫生领域的方法体系相对成熟，时空聚集探测、流动网络分析、医疗资源可达性分析都有稳定的应用路径。但方法的成熟不等于结论的可靠：报告数不等于感染数，检测能力差异会扭曲空间分布，无症状比例未知会影响聚集判断。专业的态度是把数据的局限写进结论，而不是让图看起来更确定。

社会安全领域的难点在建模。人群行为无法用物理方程描述，仿真结果对参数高度敏感，因此这类分析的正确用法是比较方案而不是预测结果。密度、流动、瓶颈三个变量构成了风险评估的基本框架，而分区分流、时间切片、通道预留构成了空间设计的基本方法。这些方法朴素，但可验证、可审查，比复杂的模型更实用。

合规是这两类场景不可回避的前提。个人信息保护法确立的紧急情况例外，豁免的是同意和及时告知，不是全部义务。目的限定、最小必要、分级授权、留痕审计、事后删除，五条红线在紧急状态下依然成立。技术上完全可以在合规前提下完成绝大多数决策需求，关键在于把“够用即可”作为设计原则，而不是把“能采就采”作为默认选项。此外还要看能力放在什么位置：这两类事件的指挥中枢往往不是技术部门，而是防控指挥部或安保指挥部，GIS 若只在技术保障组里，产出就停留在图件和报表，进不了决策；只有当分析结论能直接回答“这一片要不要加严、这个口要不要加开、这支队伍往哪里调”，空间能力才真正进入指挥链。这一点与自然灾害领域相通，区别只在于：这里的每一个结论背后，都站着一个具体的、应当被保护的个人。

思考与练习

1. 某市出现聚集性病例，三个区报告数差异明显但检测量也差异明显。请设计一种方法把“检测量差异”从空间分布中剥离，并说明结果应如何标注不确定性。
2. 为“发热门诊布局优化”设计一套可达性指标，要求同时考虑人口暴露与就医时间，写出指标定义与数据来源。
3. 某跨年夜活动预计 8 万人参加，场地有四个主要出入口。请用密度—流动—瓶颈框架找出两个最可能的风险点，并给出空间设计上的缓解措施。
4. 在防疫与安保场景中，哪些数据可以“最小必要”地满足决策？请列一张数据清单，逐项标注用途、保存期限与脱敏方式。
5. 本章说 GIS 若只在技术保障组里，产出就停留在图件和报表。请写出两条把空间结论送进指挥链的具体做法。
6. 举一个“用复杂模型做人群仿真”反而不如“用简单规则做分区管控”的例子，说明判断依据。