员工心理测评的匿名化，最容易出错的地方不在隐没了姓名，而在忽略了部门这类分组字段本身就能反推到个人。不少机构以为去掉工号和姓名就叫匿名，结果一张按部门拆分的心理状态热力图，照样能把某个人认出来。
问题出在 k-匿名这个概念上。k-匿名的意思是，任何一条记录在一组准标识符上，至少要和另外 k-1 条无法区分——同一个部门、同一个年龄段、同一个职级的人，至少凑够 k 个，别人才没法凭这几个字段锁定到具体某人。真正能泄露身份的，常常不是姓名，而是这些看似无害的分组字段叠加起来。
k-匿名没做好，最典型的场景就是小部门。一个只有三个人的团队，热力图上显示这个部门高焦虑占比很高，管理者对着组织架构一看就知道是谁——因为这一格背后能对应的人本来就没几个。部门越小，k 值越低，一格颜色就越接近在指名道姓。再叠上性别、工龄、职级做交叉筛选，哪怕大部门也能被切成很小的子群，同样能反推。
更隐蔽的是多次查询拼接。单看一张部门热力图也许还算安全，可一旦允许按不同维度反复出图——这次按部门、下次按职级、再按入职年份——把几张图交叉比对，就能层层缩小范围，最后逼近到个人。这类差分式的反推，靠单张图的脱敏根本挡不住。
还有一类反推来自罕见属性。哪怕部门够大，只要某个人的身份组合足够特殊——比如全公司唯一一位某语种翻译、某个稀有岗位——他在任何一张按岗位或技能切分的图里都是独一份，人数再多也保护不了这种离群个体。给这类少见取值单独设保护，或干脆并入更大的类别，才不至于让一个字段就把人暴露。
要让部门热力真正匿名，得在展示层做几件事。设一个最小组人数门槛，某一格背后人数低于这个门槛就不出具体比例，只显示样本过少不展示，这是 k-匿名最直接的落地。避免把过多准标识符放在一起做交叉筛选，维度越多、颗粒越细，越容易反推。对可能被反复查询拼接的场景，要限制出图的维度组合，而不是敞开让人任意切。
光在界面上隐藏还不够，导出的文件同样要遵守同一套门槛——界面上被合并的小格，导出时不能又还原成明细，否则前面的保护等于白做。橙星云在做员工测评的群体看板时，就是按最小样本量控制每一格是否展示，人数不足的分组直接聚合到上一层，宁可粗一点，也不让某一格细到能对上具体某个人。匿名化的目标从来不是把名字藏起来，而是让任何一种切法都还原不出这说的就是他。做不到这一点，热力图越精细，反而越危险。