多层 PII 检测引擎技术白皮书

Argus Gateway 的核心差异化技术 — 基于开源 argus-redact 构建的四层级联 PII 检测引擎。在保持亚毫秒级基线延迟的同时，实现 44 种 PIPL canonical PII 类型的全面覆盖。全程本地部署，数据零出境。

1. 为什么需要四层

业界常见的 PII 检测方案采用"正则 + NER"两层架构，存在三个结构性缺陷：

请求文本 │ ▼ ┌──────────────────────────────────────────────────────┐ │ L1 正则层 < 5ms │ │ 26 种结构化 PII + 校验算法 (MOD11/Luhn/MOD31) │ │ 确定性匹配，零假阴性 │ ├──────────────────────────────────────────────────────┤ │ L1b 证据评分层 < 5ms │ │ 中文人名候选 → ±20 字符上下文窗口 → 多信号加权评分 │ │ 阈值 0.8：确认 / 推迟到 L2 │ ├──────────────────────────────────────────────────────┤ │ L2 NER 层 20-100ms │ │ chinese-roberta-wwm-ext 微调 (CLUENER + MSRA NER) │ │ 8 种语义 PII：人名 / 地址 / 组织 / 年龄 / 日期... │ ├──────────────────────────────────────────────────────┤ │ L3 语义层 500ms-2s │ │ 本地 Ollama (Qwen2.5:3b) — 13 种隐含 PII │ │ 仅 mode=auto + L2 检出 ≥1 + Ollama 可用时触发 │ └──────────────────────────────────────────────────────┘ │ ▼ 脱敏文本 + 还原密钥

2. L1b 证据评分 — 核心创新

L1b 是 Argus Gateway 区别于所有竞品的核心创新层。对每个中文人名候选，在 ±20 字符上下文窗口内收集多个弱信号：

信号	权重	示例
上下文前缀	+0.6	"客户张三" / "我叫张三"
尊称后缀	+0.5	"张三先生" / "张三教授"
PII 后缀	+0.5	"张三的手机号"
PII 临近 (≤50字符)	+0.5	同段有手机号 / 身份证号
PII 临近 (51-150字符)	+0.3	不同段有其他 PII

最终置信度 = min(基础分 + Σ证据权重, 1.0)。≥ 0.8 确认为人名；< 0.8 推迟到 L2 NER。附加机制：负面词典过滤 / 吞噬检测 / 意图感知阈值 / 助词剥离。

3. 44 种 PII 类型覆盖

层级	类型数	延迟	代表性类型
L1 正则	26	< 5ms	手机号 / 身份证 / 邮箱 / 银行卡 / 护照 / IBAN / 信用卡 / 车牌 / IP / MAC
L2 NER	8	20-100ms	中文人名 / 英文人名 / 地址 / 医院 / 出生日期 / 年龄 / 国籍 / 民族
L3 语义	13	500ms-2s	性别 / 宗教 / 政治 / 犯罪 / 薪资 / 诊断 / 用药 / 生物特征 / 未成年人

其中 14 种中国特有 PII（身份证 18 位 / 15 位 / 护照 / 军官证 / 港澳台通行证 / 社保卡 / 驾驶证 / 居住证 / 户口簿 / 出生医学证明 / 统一社会信用代码 / 车牌 / 银行卡）是核心差异化。

4. 合规 Profile

5. 性能基线

全路径代理延迟（含认证/限流/脱敏/转发/还原/审计）：p50 = 15.6ms, p95 = 20.6ms, p99 = 24.1ms (fast 模式, aarch64 Cortex-A76)。

6. 横向对比

Profile	激活类型	覆盖法规	典型客户
default	12 种	基础直接标识符	通用
pipl	38 种	《个人信息保护法》含敏感个人信息	中国企业
gdpr	28 种	GDPR 含特殊类别 (Art.9)	欧盟业务
hipaa	13 种	HIPAA PHI 标识符	医疗健康

模式	1KB 延迟	吞吐 (CPU)	硬件要求
fast (L1+L1b)	< 1ms	~200 req/s	1 核 / 512MB
ner (L1+L1b+L2)	20-25ms	~50 req/s	2 核 / 2GB
auto (全四层)	500ms-1s	~5 req/s	4 核 / 8GB

维度	Argus Gateway	AISIX	LiteLLM	Presidio	OpenAI Moderation
检测层数	4 层	2 层	2 层	2 层	1 层
中文人名误判控制	L1b 证据评分	未公开	无	无	无
隐含 PII	L3 本地 LLM	无	无	无	部分 (Cloud)
中文 PII	14 种特有	未声明	英文	英文	英文
数据位置	全部本地	本地	本地/Cloud	本地	Cloud
代理性能	~5ms	<1ms (Rust)	~10ms	~15ms	N/A

性能说明：Argus Gateway 在代理延迟上不如 AISIX（Rust 结构性优势），但差异化在 PII 检测深度 — L1b 证据评分和 L3 本地 LLM 是竞品结构性缺失的能力。