SAIL 威尔士人群链接数据 — 全民覆盖换掉了 5.5% 应答率

SAIL Databank 的全名是 Secure Anonymised Information Linkage Databank，直译过来是「安全匿名信息链接数据库」。它不是一个可以下载的压缩包，而是威尔士的一套国家级数据基础设施：把全科诊疗、住院、急诊、癌症登记、死亡登记、社会照护、教育这些日常运行中自然产生的行政记录，用同一个匿名编号在个体层面串起来，再把整串数据锁在一间受控的远程分析环境里。

它常被拿来和 UK Biobank 对照，但这个对照经常被讲错。UK Biobank 是深度换代表性：五十万人、上千项测量、生物样本与影像俱全，可受邀人群里只有约百分之五点五真正参加，参与者系统性偏健康、偏年长、偏社会经济条件较好。SAIL 是代表性换深度：覆盖威尔士约三百万常住人口，几乎全民，但字段只有行政记录能给的那几十项，没有生物标志物，没有影像，也没有问卷式的细致暴露。两者不是谁更好，而是回答不同的问题。

第三个需要先讲清的点是访问方式。SAIL 的数据不出安全屋，研究者拿到的是一个远程桌面，代码在里面跑，结果经小型数字抑制后才允许带出。这个设计让「全人群的敏感数据可以被研究」成为现实，代价是任何需要把个体级数据搬到本地做实验的流程，在这里都走不通。一屏速览见下表。

维度	内容
官方名称	SAIL Databank（Secure Anonymised Information Linkage Databank）
中文定位	威尔士国家级人群链接数据平台 / 可信研究环境
维护机构	Swansea University 的 SAIL 团队，2006 年起步
可信第三方	Digital Health and Care Wales（负责去标识与发放匿名编号）
覆盖范围	威尔士全部常住人口，口径约三百万
核心机制	ALF 匿名链接字段 + RALF 居住地匿名链接字段
数据形态	多源行政记录，保持各自原始粒度，项目内自行 join
访问方式	远程桌面进入 SAIL Gateway，数据不可导出
结果出口	仅聚合统计，须过小型数字抑制
审查主体	独立的信息治理审查组（IGRP）
官方口径周期	约十二周出决定，需额外数据所有者批准时更长
收费模式	非营利，成本回收，三档费率
认证	ISO 27001（2015 年起）+ 英国统计局认证（2019 年起）
是否可下载	否，任何情况下都不提供原始行下载
许可性质	数据使用协议，非开源许可
最适合的问题	全人群层面的暴露—结局关联、政策评估、卫生服务研究

§1 它要解决的具体麻烦

1.1 你要的不是更大的样本，是没被筛过的样本

大部分队列研究在招募那一刻就已经改变了研究对象。愿意填四十页问卷、愿意抽血、愿意连续七天戴加速度计的人，本身就不是随机的人。当邀请名单覆盖九百多万人而真正到场的是五十万时，剩下的八百多万人没有消失，他们只是没被记下来。任何以这批到场者为基础的关联估计，实际上是在回答「在愿意参加大型队列研究的人群里，这个关联成立吗」。

这个麻烦在流行病学里有个正式名字：自选择偏差。它的麻烦之处在于方向可预测、幅度不可知。可以确定的是参与者更健康、更少吸烟、更少肥胖，但没法确定这些差异会把某个具体的风险比推高还是压低多少。更麻烦的是，当研究问题本身与「健康意识」相关时——比如体力活动与心血管结局、饮食模式与代谢病——这个偏差恰好作用在核心变量上。

SAIL 的解法不是做得更深，而是把招募这一步整个绕开。它不邀请任何人，用的是 NHS 与地方政府在提供服务时本来就留下的记录。所有在威尔士注册了全科医生的人都在里面，包括从不参加任何研究的人、住在最贫困地区的人、语言不通的新移民。这些人恰恰是队列研究最难招到、也最需要被纳入的那一部分。

代价随之而来，而且同样明确：行政记录里没有的东西，SAIL 也不会有。没有血压测量的标准化流程，没有空腹血糖，没有基因型，没有 MRI。它能告诉你在某年某月某日这个人在某家医院被诊断了什么、开了什么药、住了几天，但不能告诉你他的低密度脂蛋白是多少。这就是「深度与代表性」这条轴的两端，任何选型都必须先在这条轴上定位自己。

1.2 三条常见的错误期待

第一条错误期待是把它当作一个数据包。听说 SAIL 覆盖三百万人口，第一反应常是「那我能拿到多大的样本」。答案是一个也拿不到。SAIL 交付的是分析环境的使用权，不是数据文件。凡是流程里含「下载到本地」「导进自己的 Jupyter」这类环节的方案，在 SAIL 上都不成立。

第二条错误期待是把它当作 UK Biobank 的平替。这两个资源在字段表上确实有重叠——都有住院记录、都有死亡登记、都有人口学信息——于是很容易产生「既然 SAIL 人更多还更全，那用 SAIL 就行」的判断。这个判断在需要生物测量的场景下会直接失败。SAIL 里没有一个生物标志物字段，也没有任何影像。拿它去做「某蛋白水平与某结局」的研究，会发现连暴露变量都不存在。

第三条错误期待是把它当作即时可用的服务。SAIL 不是 API，也不是注册就能用的沙箱。申请是两阶段的：先与平台团队做范围讨论，确认研究问题与平台能力匹配，再进入信息治理审查。官方口径是约十二周拿到独立审查组的决定，若涉及需要额外批准的数据源则更长。把 SAIL 排进一个三个月的冲刺计划，通常会在第一周就发现排不进去。

1.3 它能给到的与给不到的

你的需求	它给的	够不够
全人群层面的暴露—结局关联	覆盖全威尔士常住人口的事件级记录	够，这正是它的主场
极其罕见的结局（发病率万分之一以下）	三百万人口基数下的自然累积病例	够，且比任何招募型队列更完整
健康不平等与贫困梯度研究	居住地小面积单元与多重剥夺指数可链接	够，贫困分层是行政数据的强项
政策或服务改版前后的效果评估	改版前后的连续事件流，无需重新招募	够，且能直接对比同一批人
生物标志物与机制的因果推断	无任何生物测量字段	不够，必须换资源
影像、基因组、组学	平台上可容纳，但默认数据集里没有	不够，需另行申请或自带数据
标准化问卷式的细致暴露	只有零散记录下来的行为与生活信息	大部分场景不够
个体级数据的本地建模	只能远程操作，不可导出	不够，架构上不可能
快速原型与探索式分析	需先过范围讨论与治理审查	不够，节奏不匹配

1.4 你的处境与它能帮到的事

你的处境	它能帮你什么	下一步该做什么
手上有一个 UK Biobank 里显著、但你想知道在普通人群里是否也成立的关联	提供一个没有自选择偏差的独立人群做外部验证	先确认暴露与结局在行政记录里都有可用的编码代理
你要评估一项威尔士本地政策（如某项筛查或照护改革）的效果	提供改版前后同一批人的连续记录	先与平台做范围讨论，确认时间窗与数据源覆盖
你的结局极罕见，招募型队列攒不够病例	用全人群基数直接累积病例	确认该结局的登记覆盖是否完整，漏登会直接压低分母
你在做健康不平等，需要最贫困分位的人群	全人群口径下最贫困分位不会被招募偏差稀释	确认地理链接能落到你需要的空间粒度
你要做的是生物标志物与机制的因果链	给不了，字段层面就没有这类变量	改走 UK Biobank 或其他带生物样本的资源
你的团队习惯在本地 Jupyter 上迭代模型	只能远程桌面内运行，无法本地调参	先评估远程环境的算力与工作流是否能承受
你需要在两个月内出结果	官方口径十二周出决定，之后还要建队列	要么提前启动申请，要么换资源

这张表的关键在于左列写的是处境而不是特性。同一个平台，对「我有个关联需要外推」的人是刚需，对「我要跑一个图像分割模型」的人则完全没有用。定位错了，后面的所有评估都是浪费。

1.5 一句话判断

如果你的问题需要代表性，它是英国境内最接近「整群人」的资源之一；如果你的问题需要深度，它一项也给不了。选型的第一步不是看它有多大，而是先确认你的暴露变量在行政记录里有没有编码代理。

1.6 不适合谁：四条边界

第一类：需要生物测量作为核心暴露或核心结局的研究。 这是最硬的边界。SAIL 默认数据集里没有标准化的身高体重、血压、血脂、血糖，也没有生物样本。某些数据源会零星记录检验结果，但覆盖与标准化程度随机构而变，把它当作主要暴露变量会引入大量缺失，且缺失不是随机的——做过检查的人本身就是被临床指征筛过的。这类研究应该去 UK Biobank，或者去带检验结果的结构化电子病历库。

第二类：把建模流程建立在个体级数据可导出前提上的团队。 这不是权限问题，是架构问题。SAIL 的设计前提就是数据不出安全屋，任何导出都要过审查。如果你的流程依赖「把数据拉进本地特征工程管线」「用自家 GPU 集群训练」「在多轮实验间快速切换本地缓存」，迁移到远程桌面会带来数量级的工作流改造。不改造就上，最常见的结局是项目中期发现实验做不动。

第三类：研究范围不在威尔士的人群。 覆盖是地域性的。一个在英格兰确诊、搬到威尔士的人，在威尔士的记录从迁入那天才开始；一个从威尔士搬去苏格兰的人，随访在迁出那一刻就断了。做全国性迁移研究、或者以英格兰人群为主体的问题，需要的是能跨辖区链接的资源，或者多国联邦式方案。

第四类：把 SAIL 当作快速探索工具的人。 它的两阶段申请、独立审查、安全研究者培训，全部是为了让人在看不到个体身份的前提下做严肃研究。这套流程对严肃研究是保护，对探索性分析是成本。若你的真实需求是「先看看数据长什么样再决定做什么」，它会在你想看的那一刻拦住你。

§2 数据构成与规格

2.1 它不是一张表，是一组保持原样的源数据

理解 SAIL 的关键在于放弃「一个数据集一张表」的直觉。平台里放的是一批各自独立采集、各自保持原始粒度的源数据集：全科诊疗事件一个源，住院与急诊一个源，癌症登记一个源，死亡登记一个源，社会照护一个源，教育一个源。它们的字段结构互不相同，编码体系互不相同，覆盖的时间窗也互不相同。

研究者要做的是在自己的项目里，按研究问题把其中若干源 join 起来，形成一个分析队列。这个队列是项目内生成的一次性产物，不是平台预置的成品。所以「SAIL 有多少条记录」这个问题本身就不太成立——不同源的数据量差着数量级，加总没有意义。

这带来一个很实际的后果：数据字典不是一个，而是一组。每个源数据源都有自己的说明文档，官方把它们分散在元数据门户与「Data Explained」系列报告里，后者专门讲某个行政数据源该怎么用、坑在哪里。

层面	内容	由谁维护
物理层	由 SeRP 平台与高性能计算支撑的存储与计算资源	SAIL 技术团队
链接层	匿名链接字段 ALF-E 与居住地字段 RALF	可信第三方生成，SAIL 加密
源数据层	各行政数据源按原始粒度存放	各数据所有者
元数据层	通过 HDR UK 与 ADR UK 目录对外披露	SAIL + 外部目录
项目层	研究者自建的分析队列	研究者本人

2.2 字段与记录的完整字典

下表按「这个字段是干什么用的」组织，而不是按物理表组织。因为跨源之后，字段的物理归属会变，但用途不变。

字段类别	典型字段	粒度	用途	可得性
个人匿名编号	ALF（去标识后）、ALF-E（再加密后）	个体	跨源链接的唯一钥匙	平台内始终可见
居住地匿名编号	RALF	地址单元	同住者识别、家庭层级分析	平台内始终可见
时间锚	出生周、事件日期	周 / 日	队列对齐、时间序列	出生信息精确到周
性别	性别编码	个体	分层与标准化	完整
空间标识	小面积单元（约一千五百人规模）	地理单元	贫困分层、城乡分类	只至此粒度
全科诊疗	就诊日期、诊断编码、处方	事件	基层就医、慢病管理	依赖注册与就诊
住院与急诊	入院出院日、诊断、操作	事件	重症与手术	覆盖较完整
癌症登记	部位、形态学、诊断日	事件	肿瘤结局	登记制度支撑
死亡登记	死亡日、死因	事件	生存分析终点	官方登记
社会照护	服务类型、起止	事件	弱势人群研究	依赖地方政府上报
教育	入学、学业表现、特殊教育需求	事件 / 学期	儿童发展结局	教育与卫生跨域链接
孕产与出生	出生记录、母婴关联	事件	生命历程研究	核心数据集支撑
剥夺指数	多重剥夺指数分位	地理单元	社会经济分层	可派生

有两点值得单独说明。第一，出生信息只精确到周而不是日，这不是数据缺失，而是刻意的隐私设计——精确出生日与地理单元组合起来会大幅提高重识别风险。第二，「小面积单元」这个粒度是隐私与可用性之间的折中：它足够细到能分出贫困梯度，又粗到不能定位到户。

2.3 一条记录的完整解剖

一条记录在 SAIL 里的样子，与它在源系统里的样子不同。源系统里它带着姓名、地址、NHS 号码；进入 SAIL 之后这些都不在了，只剩一串匿名编号加上事件本身。下面的结构是示意，不代表任何真实个体。

#-- SAIL 平台内可分析的事件（示意）
{
  "ALF_E": "a1b2c3d4e5f6a7b8",
  "week_of_birth": "1956-W23",
  "sex_code": "1",
  "lsoa_code": "W01000000",
  "event_type": "inpatient_admission",
  "admission_date": "2019-03-14",
  "discharge_date": "2019-03-21",
  "primary_diagnosis_code": "I50",
  "procedure_codes": ["X401"],
  "provider_code": "provider_reference"
}

从原始形态到图中这一步之间发生了四件事：人口学分量送到可信第三方去标识并发放 ALF；临床事件分量单独进入 SAIL；两边按 ALF 重新拼接；拼接完成后 ALF 再加密一层变成 ALF-E，跨源链接一律用 ALF-E。

拼接完成后剩下的人口学信息只有四项：ALF、出生周、性别编码、居住地小面积单元。不是「大部分保留」，而是只剩这四项。这解释了为什么 SAIL 做不了需要精细人口学特征的调整——教育年限、收入、职业在这里要么没有，要么只能用地理解释。

2.4 主要源数据与可获得性对照

源数据类别	采集方	事件粒度	覆盖特征	官网披露程度
全科诊疗	基层诊所	每次接触	注册即覆盖，但只记实际就诊	元数据门户可查
住院与急诊	医院	每次住院 / 就诊	医院内发生即记录	元数据门户可查
癌症登记	登记机构	每次诊断	法定登记，覆盖较好	元数据门户可查
死亡登记	登记机构	每次死亡	法定登记，覆盖完整	元数据门户可查
社会照护	地方政府	每段服务	依赖上报口径	需专门说明
教育	教育部门	学期 / 学年	在校人群	跨域链接需额外批准
孕产与出生	儿童健康数据库	每次出生	2011 年后出生的儿童全量	有专门的队列说明

这张表传递的核心信息是覆盖的异质性。死亡登记几乎是完备的，因为它由法律规定；全科诊疗覆盖所有人但只记录实际发生的接触；社会照护与教育依赖各自部门的上报与授权，口径最不稳定。做多源研究时，分母必须按源分别定义，不能用一个人口数通吃。

2.5 与同类资源的字段差异

维度	SAIL 威尔士	UK Biobank	一般医院电子病历库
覆盖逻辑	全人群，服务时自然产生	自愿参加，邀请后到场	单中心或少数中心的就诊人群
规模口径	约三百万	约五十万	数十万至数百万次就诊
应答率问题	不存在招募环节	约百分之五点五	无招募，但有就诊选择性
生物测量	基本没有	上千项，核心优势	有一部分，标准化程度参差
影像与组学	无默认数据	有，且为重要组成	部分有影像
纵向随访	随服务自动延续	依赖随访调查与记录链接	依赖是否回访
数据出口	安全屋内分析，不可导出	申请后可在获批环境内使用	各机构政策不同
主要偏差	编码质量、就诊行为、地域限制	自选择、健康志愿者效应	就诊人群选择、单中心外推
最适合的问题	人群层面的关联与政策评估	机制、生物标志物、多组学	临床流程与院内结局

把这张表和上一节的字段字典放在一起看，会得到一个不太直觉的结论：SAIL 在「有多少变量」这一栏全面落后，但在「分母是否代表真实人群」这一栏全面领先。选型的本质是在这两栏之间做交易，而不是在总分上做比较。

§3 匿名链接：它凭什么能拿到全人群数据

3.1 三方的分工是这个设计的地基

SAIL 能拿到全人群的敏感数据，靠的不是强加密，而是组织上的责任切分。链路有三个角色：数据所有者、可信第三方（Digital Health and Care Wales）与平台本身。数据在所有者出口处就被拆成两半：人口学分量送往可信第三方，临床事件分量直接送进 SAIL。可信第三方持有「身份到匿名编号」的映射，SAIL 持有「匿名编号到事件」的映射，各自只有半张图，要还原身份需两方配合，而治理上禁止这样做。

3.2 ALF 与 RALF：一个人和一个地址

匿名链接字段有两种。ALF 为人分配，用来在个体层面跨源链接；RALF 为居住地分配，用来识别同一住所、构建家庭或 household 层级。两者的区别看似细微，实际决定了能做什么类型的研究。

ALF 让「这个人在这家医院住了院、又在那家诊所开了药」可分析；RALF 让「住在这个地址的几个人之间有什么关联」可分析，比如同住的儿童与成人、多代同住家庭。两个字段都为链接而存在，不为识别而存在——在不同源之间保持一致所以 join 成立，不携带语义所以泄露也不能指向个人。链接能力与识别能力由此解耦。

3.3 ALF-E：为什么还要多加密一层

官方把 ALF-E 称作「额外的安全层」，实际作用是把链接钥匙从平台级压到实例级。若全平台共用一套 ALF，任何一次泄露都可能让不同项目的数据被横向拼接；ALF-E 在载入时重新生成，泄露一次只能得到本项目视角下的编号。对研究者而言影响为零，join 写的仍是这一列，但这层设计决定了平台能对外承诺什么。

3.4 数据不出屋，不是政策是架构

有的机构是政策上不允许导出、技术上做得到；SAIL 是把导出路径本身设计成不通。官方工具页的原话是：访问控制确保研究者只能查看数据，而不能把数据提取出去。机制是远程桌面：连进虚拟机，里面装了 SQL 工具、R、SPSS、Office，文件存在虚拟机内，会话结束不同步回本地。后果是本地与远端成了两套环境，编辑器、版本控制、缓存都要重新配置，很多团队会低估这一段的成本。

#-- 访问链路的四个环节（示意，非可执行配置）
1. 研究者本机  ——远程桌面协议——  SAIL Gateway 虚拟机
2. 虚拟机内    ——本地连接——      SeRP 平台上的数据存储
3. 分析在虚拟机内完成，结果留在虚拟机内
4. 需要带出的结果  ——小型数字抑制审查——  导出

3.5 小型数字抑制：为什么你拿回来的表会有空单元格

结果导出前的最后一道关是小型数字抑制。规则的核心是：任何可能反推到个体的聚合数字都要处理掉。如果某个单元格里的人数太少，它就会被抑制、置空、或与相邻单元格合并。

这对做机器学习的人是个真问题。模型评估常需要细分层指标，比如某罕见亚组上的召回率，而这个亚组若只有十几个人，指标要么被抑制要么算不出来。更麻烦的是抑制本身也泄露信息——某行被抑制，至少说明这一格低于阈值。所以评估指标的设计要前置：粗粒度总体指标几乎总能带出，细粒度分层要提前沟通。

环节	谁在做	对研究者的影响
数据拆分	数据所有者	无感
去标识与编号	可信第三方	无感
ALF 再加密	SAIL 载入流程	join 时用 ALF-E 列
分析	研究者本人	全部在远程桌面内
结果抑制	平台审核	细粒度指标可能带不出
导出	平台审核	只有聚合结果

§4 代表性：它真正值钱的地方

4.1 全人群分母意味着什么

统计推断最容易错的不是模型，是分母。同一个绝对数放在不同分母下会得出相反的结论。算「某年威尔士多少人因某病住院」时，分子来自住院记录，分母是当年常住人口，两个数字都不是抽样的，算出的率可直接与官方统计对照。而在招募型队列里，分子与分母都来自同一批志愿者，算出的率只能解释为「在这批人里的率」。时间序列上差别更明显：政策改版前后的率可以直接比，因为分母定义一致；招募型队列两次调查之间可能换了一批人，前后比较就掺进了人群构成的变动。

4.2 自选择偏差到底有多大

自选择偏差的幅度有据可查。UK Biobank 的对照分析显示，受邀的四十到六十九岁人群里只有约百分之五点五参加，参与者更年长、女性更多、居住地社会经济条件更好；与一般人群相比，参与者更少肥胖、更少吸烟、更少每日饮酒、自报疾病更少。更直观的一组数字是全因死亡率与肿瘤发病率：七十到七十四岁组里，男性的全因死亡率比同年龄一般人群低约四成六，女性低约五成五。

这不是说 UK Biobank 的数据有问题，而是说它的分母不是「人群」。以它为样本的关联研究，估计的是「在健康意识较强的人群里」的关联。若这个关联在不同人群中异质——比如贫困对健康的边际影响在最贫困分位最大——队列里的估计就会系统性偏小。

SAIL 没有这个问题，因为它没有招募。它的偏差换成了另一种：就诊行为偏差。一个人是否在记录里出现，取决于他是否注册了全科医生、是否去看过病。这在绝大多数情况下等于「是否常住」，但确实会系统性漏掉一部分人：短期居住者、无固定住所者、拒绝注册者。这些人的健康结局往往最差，所以 SAIL 的偏差方向与 UK Biobank 相反——它可能轻微低估最边缘人群的健康风险。

4.3 一个反例：SAIL 也不是万能的对照

把 SAIL 当作「真实人群」的默认标准也会出错。行政记录里的变量由临床与行政动机驱动，不是研究动机驱动。一个人被记录为「抑郁」，取决于他是否就诊、医生是否编码、编码体系那一年如何定义，任一环节变化都会改变分子而不改变分母。这在跨年份比较里会致命：体系升级、筛查引入、指南改变都会让某年诊断率突然跳升，把它解释为疾病负担上升就是错的。

所以正确的位置是：SAIL 提供的是代表性良好的分母与真实的服务利用记录，但「这个人有没有病」这件事，在行政数据里始终是一个由编码代理的、带噪声的近似。用它做分母是强项，用它做暴露定义要谨慎。

4.4 案例：UK Biobank 与 SAIL 对同一个关联给出两套答案

设想一个具体的研究问题：体力活动水平与某慢性病发病风险的关联。这个关联在文献里有大量报道，但如果只看招募型队列，会有一个说不清的地方——体力活动水平本身是自报的，而愿意认真填自报问卷的人，往往也更有健康意识。

用两套资源分别看，会得到两种互补的信息。在 UK Biobank 里，体力活动有客观加速度计的子样本，也有大量自报数据，能相对精细地刻画暴露强度与模式，但样本是筛选过的。在 SAIL 里，体力活动没有直接测量，只能通过间接代理——比如是否参加某类处方项目、是否有相关就诊记录——但分母是全人群的。

于是合理的做法不是二选一，而是分工：用 UK Biobank 估计暴露与结局之间的形状与强度，用 SAIL 检验这个关联在未筛选人群中是否仍然存在、方向是否一致。如果两边一致，结论的可信度大幅提升；如果不一致，差异本身就提示存在效应修饰，值得深挖。§4.4 的案例要说明的正是这一点：两个资源的对照关系不是替代关系，而是「内部效度」与「外部效度」的分工。

对照维度	UK Biobank 侧	SAIL 侧
暴露测量	自报 + 客观加速度计子样本	仅有间接代理
分母	志愿者，筛过	全人群
适合估计什么	暴露—结局的形状与剂量反应	关联在普通人群中是否成立
主要风险	自选择导致外推失效	暴露代理粗糙导致错分
结论用法	提供机制与形状	提供人群层面的可推广性

这张表也是 §4.4 的案例能被反复引用的原因：它把「深度 versus 代表性」这个抽象取舍，落到了「哪个资源负责哪一段推理」的具体分工上。后面凡是要判断某个研究该用哪个资源，都可以回到这张表。

§5 取数：你能做什么，不能做什么

5.1 没有 API，只有远程桌面

SAIL 没有对外提供的数据 API，无法用 curl 拿数据，也无法用 SDK 拉取。这里的「取数」指的是：获批之后连进远程桌面，在里面写查询，把结果算出来。常规数据集的流程是「下载 → 本地处理 → 上传结果」，可以并行、可以缓存、可以反复试错；SAIL 的流程是「申请 → 进入 → 内部处理 → 导出聚合结果」，串行且有审核节点。官方服务页提到的环境是 SeRP 平台加高性能计算，网关提供类似 Windows 的桌面，内置 SQL 工具、R、SPSS、Office，STATA 需单独授权。

能力	是否支持	说明
远程桌面分析	是	官方设计的主要使用方式
批处理作业 / 大规模计算	是	可申请算力加配
机器人与 NLP 类项目	是	官方明确支持，可申请加配算力
自带数据链接	是	需签数据存入协议
API 拉取	否	无对外数据接口
原始行导出	否	架构上不支持
结果导出	是	须过小型数字抑制
本地 GPU 训练	否	只能在远端环境内训练

5.2 申请是两阶段，不是一次提交

第一阶段是范围讨论。官方页面用大写字标注：必须先与平台团队把项目范围谈定并达成一致，再考虑申请经费、奖学金或学生项目。含义很直接——不要先写标书再找数据。第二阶段是信息治理审查：提交范围文档，在在线系统填独立审查组申请；若数据源需额外批准，还要补材料与变量级选择，平台团队代为沟通。

阶段	主要动作	大致周期	谁参与
前置沟通	讨论研究问题与平台适配性	数周，取决于沟通效率	研究者 + 平台团队
第一阶段：范围	形成范围文档，明确资源与成本	与项目申请并行	研究者 + 平台团队
安全培训	完成安全研究者培训或提供等效证明	项目启动前完成即可	研究者本人
第二阶段：治理	提交独立审查组申请	官方口径约十二周出决定	独立审查组
额外批准	数据所有者或认证机构审批	视数据源而定，可能更长	数据所有者
开展研究	申请远程访问，开始分析	视项目而定	研究者 + 平台

十二周这个数字是官方给的口径，且明确注明「需额外数据所有者批准时周期可能不同」。把它当成下限而不是承诺，规划时会更从容。

5.3 一个在安全屋内跑的最小查询

进入远程桌面后，最典型的第一步是看某个源在某个时间窗里的事件量。SQL 写法与任何数据仓库一样，区别只在表名与字段命名。

#-- 查看住院记录在指定年份的事件量与人数
#-- 表名与字段名以平台文档为准，此处用示意命名
SELECT
    COUNT(*)                         AS event_count,
    COUNT(DISTINCT alf_e)            AS person_count,
    MIN(admission_date)              AS first_event,
    MAX(admission_date)              AS last_event
FROM inpatient_episodes
WHERE admission_date >= DATE '2019-01-01'
  AND admission_date <  DATE '2020-01-01';

#-- 把住院记录与死亡登记按个人关联，算一年内的死亡比例
#-- 结果需通过小型数字抑制才能导出，人数小的分层会被置空
WITH index_admission AS (
    SELECT alf_e, MIN(admission_date) AS index_date
    FROM inpatient_episodes
    WHERE admission_date >= DATE '2019-01-01'
      AND admission_date <  DATE '2020-01-01'
    GROUP BY alf_e
)
SELECT
    CASE WHEN d.death_date IS NULL THEN 'alive'
         WHEN d.death_date <= i.index_date + INTERVAL '365' DAY THEN 'died_1y'
         ELSE 'died_later' END        AS status_1y,
    COUNT(*)                          AS person_count
FROM index_admission i
LEFT JOIN death_registrations d
       ON d.alf_e = i.alf_e
GROUP BY 1
ORDER BY 1;

#-- 在远端虚拟机的 Python 环境里读取查询结果并做基础核对
#-- 真实接入方式以平台提供的数据库驱动与凭据为准
import pandas as pd

#-- 结果通常在项目工作目录下以文件形式留存于虚拟机内
counts = pd.read_csv("project_output/inpatient_counts_2019.csv")

assert counts["person_count"].sum() > 0, "查询结果为空，先确认时间窗与表名"
print(counts.describe(include="all").T[["count", "mean", "max"]])

三段代码都在远端跑，都不产生可下载的个体级文件：第一段看规模，第二段做关联，第三段做核对。中间结果要带出去，都要过抑制审查。

5.4 空间链接：贫困分层怎么做

空间标识只到小面积单元，所以贫困分层靠外部索引表完成，数据里并没有直接带一个贫困指数列。典型做法是拿居住地单元编码匹配官方剥夺指数表，按分位切分。

#-- 用居住地单元编码匹配剥夺指数分位，得到按贫困分层的就诊量
#-- deprivation_lookup 为项目内导入的官方索引表，需事先申请导入权限
SELECT
    dl.wimd_quintile                 AS deprivation_quintile,
    COUNT(DISTINCT gp.alf_e)         AS registered_people,
    COUNT(*)                         AS gp_events
FROM gp_consultations gp
JOIN deprivation_lookup dl
  ON dl.lsoa_code = gp.lsoa_code
WHERE gp.consultation_date >= DATE '2022-01-01'
  AND gp.consultation_date <  DATE '2023-01-01'
GROUP BY dl.wimd_quintile
ORDER BY dl.wimd_quintile;

这段查询有两个前提：居住地单元编码在事件记录里可用（官方说明明确），剥夺指数表经申请导入而非自定义。写清是为了避免有人以为能在事件表里直接找到贫困指数。

5.5 时间对齐：行政数据里最难的一段

多源链接最麻烦的不是 join，是时间对齐。各源日期精度不同，有的到日有的只有年月；补录延迟也不同，某次就诊可能几个月后才入库。直接按日期相等 join 会静默丢掉大量本该匹配的事件。稳妥做法是先把各源降到共同粒度，再用区间逻辑匹配：判「事件月落在暴露窗口内」，而不是「事件日等于暴露日」。

时间问题	表现	处理方式
日期精度不同	有的源只有年月	降到共同粒度再匹配
补录延迟	事件在数月后才入库	设数据截止月，留缓冲期
跨年边界	12 月与次年 1 月被分到两段	用滚动窗口而非自然年
诊断日后移	编码在复诊时才补上	用首次编码日，不用发病日
迁出中断	搬家后随访断裂	以迁出日为删失点

5.6 结果导出：能带什么，不能带什么

导出的设计目标是：带出去的不能反推到个人。可以带的是总体计数与率、粗粒度分层、模型系数与置信区间；不能带的是行级记录、含个体标识的中间表、细分到个位数的亚组统计；中等粒度分层表需要逐项确认。

#-- 导出前的自查清单（在远端虚拟机内执行，不产生外部连接）
#-- 目的：确认待导出文件不含行级记录与过细的分层
python3 - <<'PY'
import csv
path = "project_output/summary_table.csv"
with open(path, newline="") as fh:
    rows = list(csv.DictReader(fh))
small = [r for r in rows if int(r["person_count"]) < 10]
print("总行数", len(rows))
print("低于抑制阈值的行数", len(small))
if small:
    print("须先抑制这些行再提交导出申请")
PY

脚本不复杂，意义在于把抑制检查前置。等导出申请被退回再改，一个来回就是几天。

§6 与库内条目的关系

6.1 关系图谱

SAIL 站在「人群代表性」这一端，与站在「测量深度」那一端的资源形成对照。它的直接对照对象是大型前瞻队列，近邻是其他行政数据链接平台与可信研究环境，下游是各类专病队列。

关系类型	对象	关系说明
直接对照	UK Biobank	深度换代表性 vs 代表性换深度，最常见的二选一
同类机制	其他国家的行政数据链接平台	机制类似，覆盖辖区不同
同类形态	其他可信研究环境	都是安全屋内分析，出口规则不同
数据来源	NHS 与威尔士政府各登记系统	SAIL 是链接层，不是采集层
下游产物	各类基于 SAIL 的专病队列	在平台内构建，不能单独下载
方法学近亲	全人群登记研究	同样以人口分母为卖点

理解这张图的关键是分清「链接层」与「采集层」：SAIL 不采集任何数据，只把别人采集的数据串起来并保护起来。所以它的能力上限由源数据决定，独特价值由链接与治理决定。

6.2 检索路径

按问题找资源，而不是按名字找资源。下面几条路径覆盖了最常见的几种起点。

你的起点	检索路径	落点
我有一个需要外推的关联	先查 UK Biobank 类队列，再查全人群链接平台	两套都拿，做内外对照
我要做政策评估	查行政数据链接平台 + 政策评估方法	SAIL 类资源
我要做罕见结局	查全人群登记与链接平台	优先看分母规模
我要做机制研究	查带生物样本与多组学的队列	UK Biobank 类资源
我要做健康不平等	查带地理分层与剥夺指数的资源	SAIL 类资源
我需要个体级数据本地建模	查开放下载或受控下载的资源	SAIL 不适用

用法是先定位问题的核心约束，再看哪些资源满足它。约束通常只有三个：分母是否代表人群、暴露是否测得够细、数据是否能带走。三者很难同时满足，必须排序。

§7 质量评估与局限性

7.0 阅读本节前的一个前置校正

在给 SAIL 打分之前，需要先校正一个常见的框架性错误：用「数据质量」这把单一的尺子去量它。这把尺子默认数据是拿来下载、清洗、建模的，于是「字段少」「缺失多」「不能本地处理」都会被记成扣分项。按这个框架，SAIL 会得到很低的分数，而这个分数毫无意义。

正确的框架是分成两把尺子。第一把量「测量质量」：变量测得准不准、编码一致不一致、覆盖完不完整。第二把量「推断有效性」：基于这批数据得出的结论能不能推广到目标人群。SAIL 在第一把尺子上中等偏下，在第二把尺子上是顶尖的。如果把两把尺子合成一个总分，就会得出「它不如 UK Biobank」这种看似合理实则误判的结论。

同样的误判也会反向发生：有人因为 SAIL 覆盖全人群，就认为它的测量质量也很高，于是拿行政编码当金标准去做暴露定义。这会在编码体系变动的那一年集中爆雷。所以本节的所有评分都要带着这个校正来读：分数不只是高低，还要看它量的是哪一把尺子。

7.1 五维评分

按 DAIMS 框架的五个维度打分，每项满分五分。分数反映的是「相对于它的设计目标」的表现，不是绝对水平。

维度	分数	判断依据
可发现性	4 / 5	元数据经 HDR UK 与 ADR UK 目录披露，说明文档成体系
可访问性	2 / 5	访问路径清晰但门槛高，需两阶段申请与独立审查
可用性	3 / 5	链接机制成熟，工具链齐全，但工作流需整体改造
互操作性	3 / 5	源间靠 ALF 统一链接，但各源编码体系仍不统一
可复用性	4 / 5	数据可长期重复使用，队列可在平台内反复重建

可访问性只有两分，这不是缺陷而是设计的必然：一个覆盖全人群的敏感数据平台，若把访问做得容易，它就不可能被允许存在。互操作性只有三分，是因为 ALF 解决了「能不能连」，没解决「连上之后编码对不对得上」——同一诊断在不同源里可能用不同编码体系，映射本身会引入误差，平台没有内置通用方案。

7.2 数据质量的两个实际短板

第一个短板是编码的时变性。编码体系升级、指南改变、筛查引入，都会让某一年某个诊断的记录量突然变化，而这是记录行为的变化，不是疾病负担的变化。

第二个短板是缺失的非随机性。行政数据里几乎没有真正的缺失值——字段总有值，只是这个值可能表示「未记录」而不是「没有」。两者在数据里长得一样，含义完全不同：一个人没有用药记录，可能因为没病，也可能因为药从别处开。

短板	机制	后果	缓解方式
编码时变	体系升级、指南改变	时间序列出现虚假跳变	分年建模，把编码版本作为协变量
缺失非随机	未记录与没有不可区分	暴露错分会偏	用阴性对照结局做敏感性分析
就诊行为偏差	不就诊者近乎隐形	最边缘人群被低估	用登记类数据补足分母
地域截断	迁出后随访中断	失访与迁移混淆	以迁出日为删失点
代理变量粗糙	无直接测量	效应估计向零偏	报告测量误差敏感性

7.3 已知的、可枚举的偏差

行政数据的好处之一是偏差来源已知，可以一条条列出来。§4.3 已经说明「记录到的病」不等于「真实的病」，下表进一步区分每条偏差的方向与可缓解程度。

偏差	方向	影响什么	可缓解吗
就诊行为选择	低估最边缘人群	健康不平等估计偏小	部分，用登记数据补分母
编码阈值	随诊断门槛变动	患病率时间序列	部分，分年建模
地理粒度粗	稀释空间异质性	小区域分析	不可缓解，粒度上限
出生信息按周	时间对齐误差	生命历程早期暴露	不可缓解，隐私设计
无生物测量	暴露代理粗糙	机制类问题	不可缓解，须换资源
迁出失访	与结局相关的删失	长期随访	部分，灵敏度分析
幸存者效应	病重者记录更多	暴露—结局关联	部分，用新发事件

其中三条是不可缓解的设计性限制：地理粒度、出生精度、无生物测量。它们不是质量问题，是隐私与成本的必然代价，立项阶段就该承认。

7.4 外部验证矩阵

验证类型	做法	能证明什么	局限
与官方统计对照	用 SAIL 算的率对比官方发布率	分母与登记覆盖是否可靠	只能验证双方都有的指标
与招募型队列对照	同一关联在两套资源里各算一次	关联的可推广性	暴露定义不一致会混淆结论
内部阴性对照	用一个理论上无关的结局做对照	是否存在系统性偏倚	阴性对照的选择有主观性
重复队列构建	不同团队独立建同一队列	流程的可复现性	平台内可复现，跨平台不行
政策前后对照	改版前后的自然实验	因果推断的外部效度	需处理同期其他变化

这张矩阵的价值在于它提示了一个做法：不要把 SAIL 的结论当作终点，而要把「与另一套资源对照」当作标准动作。§4.4 的案例给出的正是这样一个可复用的范式。凡是有对照条件的研究，多算一遍的成本远低于结论出错的风险。

7.5 它为何能持续：靠公共资金与治理信誉活着

一个覆盖全人群、不卖数据、按成本回收运营的平台靠什么维持？两条腿：公共资金与治理信誉。官方定价页说明，核心数据的采集、载入与链接由健康与照护研究威尔士以及经济与社会研究理事会部分资助，中央团队成本由这些资金覆盖，项目只承担剩余部分——这解释了它为何按成本而非市场价收费。

更关键的是治理信誉。数据所有者愿意交出数据，前提是相信治理不会被绕过；ISO 27001 认证与英国统计局认证是这份信任的可核查凭证。一旦出一次严重泄露，数据所有者可随时停止供数。所以可持续性不取决于用户多少，而取决于公共资金是否继续、治理是否始终经得起审查——这也是申请流程显得繁琐的原因，繁琐本身是它生存逻辑的一部分。

§8 生态位与历史沿革

8.1 从一间研究单元到一个国家级平台

2006 年 11 月，健康信息研究单元在斯旺西成立，由健康与照护研究威尔士提供核心资助。2007 年做了试点，用住院数据、当地全科数据与地方政府社会服务数据，在斯旺西周边跑通了整条链路。

试点阶段最有价值的产出不是数据，而是治理模型：安全的数据传输、可靠的记录匹配、可识别数据的匿名化与加密、披露控制、访问控制、对提案与结果的审查、外部信息治理验证。这套原则此后基本没变，变的是规模。

年份	事件	意义
2006	研究单元成立	平台的组织起点
2007	斯旺西周边试点	治理模型成型
2011	上线远程访问	从现场使用转向全球远程
2015	数据科学大楼启用	物理设施与认证同步到位
2019	获英国统计局认证	治理信誉的官方背书
近年	参与联邦式研究探索	从单辖区走向跨环境协作

8.2 2011 年那次转向为什么重要

2011 年之前数据只能现场访问，使用者必须到斯旺西坐在指定机器前分析。用户一多，物理座位就成了瓶颈。远程网关上线后，数据可以在世界任何地方被安全访问，并因此吸引了更多用户与投资。这一步把 SAIL 从一个地方性设施变成了可被国际团队使用的平台，同时也让培训与监督成本上升——安全研究者培训因此成为必经环节。

8.3 它在英国数据版图里的位置

英国的数据基础设施是分层的：大型前瞻队列负责深度，行政数据链接平台负责覆盖，可信研究环境负责安全访问。SAIL 是后两者的交叉点。这个定位决定了分工：做机制研究的人去队列，做政策评估与人群监测的人来链接平台，而环境层两者共享。

层级	代表形态	主要贡献
采集层	医院、诊所、登记机构	产生原始记录
链接层	行政数据链接平台	把记录串成个人时间线
环境层	可信研究环境	让敏感数据可以被安全分析
协作层	联邦式研究	让多个环境协同而不搬数据

8.4 联邦化：下一步的形态

不同可信研究环境各自受不同法律、伦理与治理框架约束，把数据合到一起分析很难，于是出现了「分析移动到数据侧」的联邦模式。SAIL 参与的相关项目目标是明确联邦研究如何合法安全运作、提供实操指南、并向公众解释。对研究者的现实意义是：短期内不要指望一个入口查遍英国，官方措辞是这一方向「正在发展」。

§9 使用指引

9.1 三种角色的路径

角色一：流行病学与卫生服务研究者。 最匹配平台的强项。路径是先用元数据门户确认暴露与结局都有编码代理，再与平台做范围讨论并准备安全培训；分析阶段的重心在队列定义与时间对齐，而非模型选择。

角色二：政策评估团队。 起点是政策时间点与受影响人群。先确认改版前后数据覆盖是否一致，再确认同期有没有其他变化；评估设计要写进范围文档，因为它决定了需要哪些数据源。

角色三：做机器学习的研究者。 最容易低估迁移成本。先把工作流拆成训练与评估两段，确认两段都能在远程桌面内完成，再确认算力加配够不够，最后把评估指标的分层粒度降到确定能导出的水平。做不到就先去 §5.6 看导出边界再做决定。

角色	首要确认	常见卡点	建议动作
流行病学研究者	暴露与结局是否有编码代理	编码时变导致时间序列不可比	提前拉编码版本表
政策评估团队	政策时间点与数据窗口对齐	同期其他变化混入	设计阴性对照
机器学习研究者	训练与评估能否全在远端	分层指标无法导出	提前沟通披露规则
学生与早期研究者	导师是否有获批项目	独立申请周期长	依托已有项目
临床团队	临床问题是否能落到行政编码	临床细节不足	与流行病学同事合作

9.2 一条最短的可用流程

从「有个问题」到「拿到第一批结果」，最短路径大致如下。用脚本形式把动作串起来，是为了让步骤可见；每一步的实际操作都在平台侧完成。

#-- 第一步：立项前自查（本地即可完成，不接触数据）
#-- 目的：确认问题的核心约束是代表性、深度，还是数据可带走
cat > project_brief.md <<'EOF'
研究问题：某暴露与某结局在全人群层面的关联是否成立
核心约束：需要代表性分母（是） / 需要生物测量（否） / 需要本地数据（否）
目标人群：威尔士常住人口
暴露的行政代理：全科就诊记录中的相关编码
结局的行政代理：住院记录中的相关诊断编码
对照组设想：同期未暴露人群
EOF
echo "自查完成，进入平台沟通"

#-- 第二步：与平台做范围讨论后，整理提交材料清单
#-- 材料以平台在线系统要求为准，此处只列结构
mkdir -p application
printf '%s\n' "范围文档" "研究问题陈述" "数据源清单与变量级选择" "安全研究者培训证明" > application/checklist.txt
cat application/checklist.txt

#-- 第三步：获批后，在远程桌面内建立最小分析队列并核对规模
#-- 只做规模核对，不做推断，便于尽早发现数据源不匹配
SELECT
    COUNT(DISTINCT alf_e)  AS cohort_size,
    MIN(index_date)        AS cohort_start,
    MAX(index_date)        AS cohort_end
FROM (
    SELECT alf_e, MIN(admission_date) AS index_date
    FROM inpatient_episodes
    WHERE admission_date >= DATE '2020-01-01'
      AND admission_date <  DATE '2021-01-01'
    GROUP BY alf_e
) cohort;

三步之间的间隔以周计而非以小时计。想清楚这一点，就不会在第一步之后就急着写建模代码。

9.3 引用方式

发表时通常需声明数据来源、说明审批路径并引用平台方法学文献。措辞模板由平台提供，不同数据源可能另有致谢要求；提交前建议按 §5.2 的审批编号核对一遍。

需要声明的项	典型内容	来源
数据来源	数据由 SAIL Databank 提供	平台要求
审批信息	项目已获独立审查组批准，含项目编号	平台要求
数据所有者	涉及额外批准的数据源需致谢	数据所有者要求
方法学引用	引用平台的链接与治理文献	平台建议
局限说明	行政数据的编码与覆盖限制	学术惯例

9.4 一份立项前的自检清单

把前面几节的分散判断收成一张可以逐项打勾的清单。七项里只要有两项不过，就不必启动申请流程——申请本身要投入时间，而平台团队的第一句话就是先确认适配性。

检查项	通过标准	不过时的退路
暴露在行政记录里有编码代理	能说出用哪张表、哪类编码代表暴露	换用 UK Biobank 或专病登记
结局的登记覆盖足够完整	死亡与癌症类结局可直接用，其他需查说明	改用官方统计做分母校正
分析流程能在远程桌面内完成	训练与评估两段都不依赖本地数据	重新拆工作流，或换资源
研究人群主体在威尔士	迁入迁出不会带走主要随访	改用多辖区或联邦方案
能接受以周计的等待	项目周期留出三个月以上的余量	提前启动，或换开放资源
评估指标可粗化	关键结论不依赖个位数分层	前置沟通披露规则
团队有安全研究者培训的来源	已有等效证明或能安排培训	依托已获批项目挂靠

这张清单与附录 D 的决策树是配套的：决策树回答「该不该用它」，清单回答「用了之后能不能做成」。两者都过，剩下的才是技术细节。

§10 AI 使用声明

项目	说明
内容生成方式	由语言模型依据公开的官方页面与论文摘要起草
事实核验层级	规模与结构类数字取自官方页面；对照类数字取自论文摘要
未核验部分	各源数据源的具体字段清单未逐项核对，正文中已标注
数字处理原则	只写规模、结构、边界三类，不做分布统计
未做的事	未申请访问，未接触任何行级数据，未在安全屋内执行查询
代码块性质	均为示意性写法，字段名与表名以平台文档为准
立场声明	不对平台的治理效果与研究成果做独立评判
修订方式	官方口径变化时，以官方页面为准更新本文

常见误读（避坑清单）

说法	实际	证据
SAIL 可以像 CSV 一样下载全量数据	只能远程桌面内分析，行级数据不可导出	官方工具页：访问控制确保研究者只能查看而无法提取数据
SAIL 是 UK Biobank 的升级版，人更多更全	两者交换的是不同的东西，SAIL 没有生物测量	官方数据说明与隐私设计页均未列生物测量字段
覆盖三百万人口意味着样本量三百万	三百万是分母口径，项目队列按入选条件自建	平台内队列由研究者生成，非预置
匿名化之后就完全不能再识别	匿名化降低风险，重识别风险靠抑制规则管理	官方隐私设计页列了四层处理与额外加密
有 ALF 就能把不同项目的数据拼起来	平台内用再加密后的 ALF-E，泄露不能跨项目对齐	官方隐私设计页第四阶段说明
提交申请后十二周一定能开工	十二周是出决定的口径，之后还要建队列与配环境	官方申请页注明额外批准时周期可能不同
免费，公共资金覆盖全部成本	按成本回收收费，三档费率，未获批则不收费	官方定价页说明成本回收与非营利性质
可以先把数据带出来再慢慢看	导出前须过小型数字抑制，细粒度统计会被处理	官方工具页对导出控制的说明
行政数据里的诊断码等于临床诊断	编码依赖就诊行为与编码习惯，是带噪声的代理	论文摘要中多处使用「记录到的」比例而非真实患病率

FAQ

Q1：SAIL 的数据可以直接下载成 CSV 吗？
不能。SAIL 是可信研究环境，不是下载站。获批研究者通过远程桌面进入 SAIL Gateway，在虚拟机里用 SQL、R、Python 等工具分析数据；数据本身不允许导出，只能把通过小型数字抑制检查的聚合结果带出来。

Q2：SAIL 能替代 UK Biobank 吗？
不能互相替代，它们回答不同类型的问题。SAIL 覆盖威尔士全人群、没有自选择偏差，适合问关联在普通人群里是否成立；UK Biobank 有上千项测量与生物样本，适合问机制与生物标志物。选哪个取决于你的问题需要代表性还是需要深度。

Q3：外国人可以申请 SAIL 吗？
官方页面写明 SAIL Gateway 的设计目标是让获批研究者可以在世界任何地方远程访问，说明它并不限于英国机构。但申请材料、安全研究者培训与费用结构对不同机构类型有区别，实际可行性要与平台团队在立项前的沟通中确认。

Q4：控制组从哪里来？
从同一个人群里来。分母是真实的常住人口，所以对照组就是同一时期未暴露的那部分人，而不是另一批志愿者。「暴露组与对照组来自不同招募渠道」这个常见问题在这里不存在。

Q5：SAIL 的数据有多老？
官方主页称部分数据可回溯四分之一个世纪以上，历史页把 2006 年算作平台起点。两者不冲突：数据本身可以早于平台成立，因为行政记录在平台建立前就已产生。具体某个数据源能追到哪一年，要看该数据源自己的说明。

Q6：SAIL 收费吗？
收费，但不是商业定价。官方定价页说明平台以非营利方式运营，按成本回收模式收费，提供标准费率、公共部门费率与全经济成本费率三档。部分核心数据的采集与链接由公共资金补贴。若项目最终未获独立审查组批准，则不产生费用。

Q7：做机器学习的人能用 SAIL 训练模型吗？
能训练，但训练必须在安全屋内完成。官方工具页提到可针对项目申请算力与存储加配，并明确支持涉及人工智能、机器学习与自然语言处理的项目。真正的门槛在迭代节奏：每次调参都要在远程桌面里跑，拿不到本地数据做离线实验。

Q8：为什么不能把代码写在本地再上传？
可以，但有条件。官方说明研究者可申请导入非数据文件，比如语法脚本与参考文档。所以「本地写代码、上传脚本、远端运行」可行，不可行的是「本地拿数据、本地跑脚本」。

Q9：SAIL 里能做因果推断吗？
可以，且有一个别处少有的优势：政策或服务改版会自然形成前后对照，而前后是同一批人，比招募型队列里两次调查抽到不同的人更干净。但要处理同期其他变化与编码体系变动。

Q10：英国其他地区的人群在 SAIL 里吗？
不在，覆盖是威尔士的。英格兰、苏格兰、北爱尔兰有各自的体系，跨辖区研究需要其他方案，联邦式探索是方向但尚未成熟。做全国性研究要把辖区边界当作设计约束，而不是事后处理。

Q11：数据所有者不批怎么办？
数据所有者有独立的批准权，平台团队不能代替。常见的做法是在范围讨论阶段就确认目标数据源需要哪些额外批准，把这些节点排进时间表。如果某个数据源拿不到，退路是换用覆盖相近的替代源，而不是降低研究问题的严谨度。

Q12：如果我的研究问题在 SAIL 上做不了，最该先放弃什么？
先放弃「在本地做全部分析」这个习惯，其次才是研究问题。很多看似必须本地处理的需求，在远程环境里可以等效实现；真正做不了的，是必须依赖生物测量或精细人口学特征的问题。

术语表

术语	中文	含义
SAIL	安全匿名信息链接	威尔士国家级人群链接数据平台的名称
ALF	匿名链接字段	为个人分配的编号，用于跨源链接
ALF-E	加密匿名链接字段	ALF 再加密后的版本，平台内实际使用
RALF	居住地匿名链接字段	为地址单元分配的编号，用于家庭层级
TTP	可信第三方	负责去标识与发放编号的机构
TRE	可信研究环境	数据在其中被分析而不被带出的受控环境
SDE	安全数据环境	与 TRE 基本同义，英国政策语境常用
SeRP	安全电子研究平台	支撑远程访问与计算的技术平台
SAIL Gateway	SAIL 网关	研究者连入的远程桌面入口
IGRP	信息治理审查组	独立审查数据使用申请的机构
5 Safes	五安全模型	安全的人、项目、数据、环境、输出
ISO 27001	信息安全管理体系标准	平台持有的国际认证
自选择偏差	自选择偏差	是否参加研究本身与结局相关导致的偏差
健康志愿者效应	健康志愿者效应	志愿者系统性比一般人群更健康
LSOA	小面积单元	约一千五百人规模的地理统计单元
多重剥夺指数	多重剥夺指数	衡量地区贫困程度的官方复合指标
小型数字抑制	小型数字抑制	抑制过小计数以防反推个体的规则
编码代理	编码代理	用行政编码间接代表某个研究变量
阴性对照结局	阴性对照结局	理论上不应受暴露影响的结局，用于检测偏倚
删失	删失	随访因迁出或研究结束而中断
全经济成本	全经济成本	包含全部间接成本的定价口径
成本回收	成本回收	仅收回成本不盈利的收费模式
联邦式研究	联邦式研究	分析移动到数据侧、数据不移动的协作模式
数据存入协议	数据存入协议	自带数据链接时需签署的协议

附录 A：核心数字核对表

项	值	来源	来源层级
覆盖人口	约三百万（威尔士常住人口）	官方主页与公开说明	官方页面
平台起点	2006 年	官方历史页	官方页面
远程访问上线	2011 年	官方历史页	官方页面
数据回溯	四分之一个世纪以上	官方主页	官方页面
审查决定周期	约十二周	官方申请页	官方页面
认证	ISO 27001（2015）、英国统计局（2019）	官方认证页	官方页面
费率档位	三档	官方定价页	官方页面
地理粒度上限	小面积单元，约一千五百人	官方隐私设计页	官方页面
出生时间精度	周	官方隐私设计页	官方页面
UK Biobank 应答率	约百分之五点五	2017 年对照研究摘要	论文摘要
UK Biobank 受邀规模	约九百二十万	同上	论文摘要
死亡率差异	七十至七十四岁男性低约四成六	同上	论文摘要
某长期病队列规模	一百二十七万七千余人	2025 年队列简介摘要	论文摘要
某出生队列儿童记录	四十余万条	2024 年队列简介摘要	论文摘要
单个源数据源字段清单	未逐项核对	无	未核实

附录 B：数字的来源分层

第一层：官方页面。 覆盖人口、平台起点、远程访问上线年份、数据回溯年限、审查周期、认证年份、费率档位、地理粒度、出生精度、链接机制的四阶段说明。这些数字直接取自平台官网的公开页面，随官方口径变化而变化。

第二层：论文摘要。 对照资源的关键统计——受邀规模、应答率、参与者与一般人群的死亡率与肿瘤发病率差异——取自 2017 年发表的一项对照研究摘要。基于 SAIL 的具体队列规模取自近年的队列简介摘要，仅用作「平台能承载多大规模队列」的例证，不代表平台总量。

第三层：未核实。 单个源数据源的完整字段清单、各源数据覆盖的起止年份、数据总量（记录数或存储量）、活跃项目数、发表论文总数。这些信息分散在元数据门户与各数据所有者处，官方未在单一页面汇总，本次未逐项核对，正文中不作断言。

附录 C：完整参考文献

编号	文献	用途
1	SAIL Databank 官方主页，saildatabank.com	规模、回溯年限、认证、定位
2	SAIL Databank 历史页，about-us/our-history	2006 年起点、2011 年远程访问
3	SAIL Databank 隐私设计页，governance/privacy-by-design	四阶段匿名化与 ALF、RALF、ALF-E
4	SAIL Databank 申请页，data/apply-to-work-with-the-data	两阶段流程、约十二周口径
5	SAIL Databank 定价页，services/packages	三档费率与成本回收
6	SAIL Databank 工具与环境页，services/analytical-tools	SeRP、网关、软件与算力
7	SAIL Databank 认证页，governance/accreditations-trust	ISO 27001 与统计局认证
8	SAIL Databank 联邦页，governance/federation	联邦式研究的现状与目标
9	SAIL Databank 可信研究环境说明，about-us/what-is-a-tre	五安全模型
10	Fry 等，2017，Am J Epidemiol 186(9):1026-1034，doi 10.1093/aje/kwx246	UK Biobank 应答率与代表性对照
11	Osborne 等，2025，Int J Popul Data Sci 10(1):2465，doi 10.23889/ijpds.v10i1.2465	SAIL 平台内队列规模例证
12	Jones 等，2024，BMJ Open 14:e076711，doi 10.1136/bmjopen-2023-076711	出生队列与 ALF 链接说明
13	Hodges 等，2026，Int J Popul Data Sci 11(1):3798，doi 10.23889/ijpds.v11i1.3798	健康、社会照护与教育跨域链接例证

附录 D：选型决策树

判断顺序	问题	是	否
1	你的核心暴露或结局需要生物测量吗	直接排除 SAIL	进入第 2 步
2	你的研究人群主要在威尔士吗	进入第 3 步	考虑其他辖区或联邦方案
3	你的分析必须在本地环境完成吗	直接排除 SAIL	进入第 4 步
4	你能接受以周计的申请周期吗	进入第 5 步	换成开放下载资源
5	你的结局足够常见或有人口基数支撑吗	进入第 6 步	考虑专病登记
6	你能接受细粒度指标可能无法导出吗	立项，进入范围讨论	重新设计评估方案
7	同期还有别的数据集需要对照吗	规划内外对照	单资源也可，但需说明局限

附录 E：如果只记五件事

1. SAIL 是覆盖威尔士全人群的链接数据平台，规模约三百万，靠 ALF 匿名编号把健康、社会照护与教育记录串起来。
2. 它不提供下载，只能通过远程桌面在安全屋内分析，结果须过小型数字抑制才可导出。
3. 它与 UK Biobank 的取舍是「代表性」与「深度」——那边是五十万人、约百分之五点五应答率、上千项测量；这边是全人群、几十项行政字段。
4. 选型先看约束：需要代表性去找它，需要生物测量与影像去找队列，需要本地个体级数据则两者都不适用。
5. 申请是两阶段的，官方口径约十二周出决定，同时要把「远端工作流改造」的成本算进项目计划。

编辑说明

本文的核验方式为：访问平台官网的公开页面（主页、历史、隐私设计、申请、定价、工具、认证、联邦、可信研究环境说明），抓取正文后逐段比对；对照数据取自 Europe PMC 检索返回的论文摘要，只使用摘要中可读的事实陈述，未获取全文。时间为 2026 年 10 月。

未覆盖的内容包括：各源数据源的完整字段清单、数据覆盖的起止年份、平台数据总量、活跃项目数与论文总数、具体的许可条款全文、安全屋内的实际软件版本。这些要么分散在多个门户，要么需要访问权限，本次未展开。

关于表述口径：官方页面内部若存在两个说法（例如数据回溯年限与平台成立年份），本文并列呈现两个口径，不判断哪个正确。所有示意性的代码与数据结构仅用于说明机制，字段名与表名以平台文档为准。

---

相关数据集导航

以下为站内 AI-Ready 数据集百科中与本词条共享多个主题标签的相关数据集，按相关度降序排列：

• knhanes — 共享标签：公共卫生与流行病学 / 电子健康记录 / 流行病学
• framingham — 共享标签：公共卫生与流行病学 / 电子健康记录 / 流行病学
• ices-ontario — 共享标签：公共卫生与流行病学 / 电子健康记录 / 卫生服务研究
• hospital-onset-infection — 共享标签：公共卫生与流行病学 / 电子健康记录 / 流行病学
• healthdata-gov — 共享标签：公共卫生与流行病学 / 流行病学
• danish-npr — 共享标签：电子健康记录 / 流行病学
• nutrition5k — 共享标签：公共卫生与流行病学 / 流行病学
• gemini — 共享标签：公共卫生与流行病学 / 电子健康记录 / 卫生服务研究
• charls — 共享标签：公共卫生与流行病学 / 电子健康记录 / 流行病学
• qresearch — 共享标签：公共卫生与流行病学 / 电子健康记录 / 流行病学

导航说明：本章节由全站统一标签体系自动计算生成（标签重合度算法），双向可达；点击链接可跳转至对应数据集词条。