专栏

来源：HIT专家网    作者：陆国咪

基层妇保科科长的抱怨

近期走访某地的一家基层社区卫生服务中心妇保科，妇保科科长是一位资深的妇保医生，有30多年的从业经历。讲起妇保工作，尤其是信息化下的妇幼保健工作，一直在大吐苦水，一副深受其害的样子。这颠覆了我过去的认知，让我内心纠结万分。

她讲了自己一天要做的工作：作为医生，每天上午要出门诊，服务妇女姐妹，在门诊医生工作平台填写门诊电子病历、电子处方；下午则登录妇幼保健信息系统，将上午门诊服务对象的基本情况按要求填报，然后再填报纸质的母子健康手册，并将化验单、检查报告粘贴到手册上，还要填报孕产妇系统管理登记簿、产前登记簿、产前筛查登记簿、两癌筛查登记表等几十种各种各样的簿表，每天忙得不亦乐乎。

付出了这么多时间和精力，这些工作有什么意义？她也很茫然。她说：“一天之中，大概三分之一用于为老百姓看病，还有三分之二用于填报各种电子的、纸质的簿表，而大部分的簿表仅为应付一年一度的上级的各种检查和考核。”

后来我又走访了不同省份的几家社区卫生服务中心，情况大同小异，甚至更为严重。据了解，我国最基层的社区卫生服务站或村卫生室的医生，一年中要填报的各种纸质簿、表，最多达140种。在这繁重的填表工作负荷之下，随之而来的便是造假。这种造假既有来不及填报的胡编乱造，也有应付上级文件要求完成的各种“率”，若不造假，单靠村医和服务站医生根本难以完成。

信息化非但没减负，反而增负

我作为一个曾经的基层卫生行政管理者，并较长时期从事基层卫生信息化和区域卫生信息化的管理工作，对此感到十分吃惊和汗颜。我们的医疗卫生信息化建设，本来应该在优化流程、减轻基层医卫人员的工作压力、提高效率和工作质量，增强为老百姓服务的能力和水平上，发挥较大较好的作用，而现实却恰恰给基层医卫工作者增加了负担。

我们的基层医疗机构由于人员编制紧，尤其是作为网底的村卫生室和社区卫生服务站的社区责任医生，既要做基本医疗工作，又要从事公共卫生工作，本来一件事情可以一次性完成，由于信息系统不兼容，往往要做两次甚至做多次，且“手工+电脑”导致人力资源严重浪费，工作效率低下。

花费大量时间填报簿、表，使一些高学历人员对自己从事的行业产生价值误判，丧失对该行业的激情，影响从业人员的进修和提高。正像上文提到的妇保科长所说：“过去农村医疗条件不好的时候，我能为病人熟练接生，做一些常规的妇科手术，现在却在干高中生都能做的事情，郁闷啊！”

更为严重的问题是，由于数据来源多渠道、数据录入多人次和各种主客观因素的影响，造成数据质量不高，数据缺乏准确性、完整性、连续性，影响了行政决策和公共卫生部门的情况掌握，也影响了医学研究的科学性和准确性，使该领域后续开展大数据分析和人工智能研发带有先天性缺陷。

妇幼保健信息化建设的问题

在医疗卫生信息化发展到相当程度的今天，妇幼保健信息化建设应该同步推进。表层分析造成妇幼保健信息化存在的问题，主要有两个方面：

一是“烟囱”林立。我国公共卫生信息系统在基层医疗卫生机构部署较早，在当时对数据的采集、统计和疾病的预防起到了很大的作用，但由于历史和技术的局限，欠缺顶层设计，多个单位和部门根据自身的管理和业务需求自行开发、部署信息系统，互不兼容、重复交叉，形成了不少“烟囱”。基层医疗卫生信息化发展起来以后，由于隶属和业务关系，信息系统又没有得到有效整合，还是“两张皮”，两者互不关联、各自为政，信息不能交互和共享。业内人士不是没有看到这些问题，但可能由于“旧城改造”难、“新城建设”易，少有人下决心对妇幼保健信息系统进行改造和整合。

二是数据“孤岛”。各家单位和部门往往强调自己工作和部门的特殊性和安全性，擅筑“数据围墙”，不愿与区域平台进行对接，造成各医疗卫生机构间及相关部门间数据不能交互和共享，医卫之间、公共卫生内部之间、业务部门与管理部门之间、医卫部门与服务对象之间难以开展协同，导致服务对象全程、全生命周期管理数据出现断链。

（下篇预告：谋求基层妇幼保健信息化跨越式发展）

【作者简介】

陆国咪，中国卫生信息和健康医疗大数据学会理事、浙江省卫生信息学会基层卫生信息化专业委员会主任委员，长期从事区域卫生信息化和基层卫生信息化建设管理和研究工作，曾在《中国卫生信息管理》、《中国数字医学》、《中国公共卫生管理》、《中医药管理》等杂志发表多篇论文。

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：谭啸】

来源：HIT专家网   作者：广州医科大学附属第二医院 陆慧菁

【编者按】

自2018年国家卫生健康委员会颁布互联网医院相关政策以来，全国越来越多的省份正在加速推进公立医院互联网医院建设，互联网医院全面进入实战阶段。2019年4月23日，广东省首批22家互联网医院正式上线开展服务。在此，我们荣幸地邀请到广州医科大学附属第二医院信息科科长陆慧菁分别从“医患咨询”、“在线复诊”、“健康管理”等三方面，具体介绍互联网医院建设过程中的常见需求实现和主要问题对策，供广大同行借鉴参考。

很多人认为，互联网医院针对的是患者离院后或来院前与医生的交互，但实际上患者在住院期间更需要与医生沟通。这样的需求场景有很多，比如：患者表达不清，对医生查房时的询问无法表述清楚，家属下班到医院不一定能找到主诊医生沟通；患者在非查房时间忽然想起有病情需要报告，但主诊医生上手术台了；患者有多个家属需要了解病情，但没办法同时到场，又希望能一起沟通；患者好转后到社区，社区医生希望与主诊医生有沟通，有利于患者进一步康复。

鉴于以上需求，我院构思建立了“患者全周期健康管理平台”，以解决上述问题。

角色分类

根据平台应用场景，分为患者、本院医生、社区医生和课题医生四个应用端。从不同群体使用习惯考虑，四个应用端分别挂靠在不同的应用系统上（如图所示）。

因我院已经建立微信企业号，优先考虑医生端部署在微信企业号免去了重新安装App的麻烦。但在使用中发现，有不少角色并不在微信企业号里面，比如我院骨科合作一个骨质疏松患者长期追踪的课题，需要建立课题医生、社区医生及患者沟通专栏，课题医生是研究生，课题医生与社区医生都不是我院职工，无法使用微信企业号；另外，医院规培生、进修生、研究生等与患者接触，承担了很多与患者沟通的任务，微信企业号里也没有他们的角色。所以，需要采用App解决移动端的使用问题。传统的PC端依然有它的优势，可以边浏览患者资料，边与患者家属沟通。患者端可考虑应用医院微信服务号或者医院App。

根据患者不同时期设置应用模块

根据患者不同时期设置应用模块：院前、院中、社区康复、随访期。

1．院前，包括：监控自测、健康日记及医患互动三个功能，适合于所有人群，主要用于疾病预防。随着“健康中国”的倡导，越来越多的人们意识到平时身体数据指标的采集有利于疾病监测及预防，虽然目前主要还是患者主观录入数据，但相信5G的逐步推开，可穿戴设备自动采集数据将会受到青睐，上传健康数据，建立个人健康档案将成为趋势。

2．院中，包括：健康日记、医患互动（三方互动）、病史登记、健康教育、健康自测、用药提醒以及康复日记等功能。患者在入院后即可申请与主管医生建立医患沟通，并可以授权家属参与互动。与主管医生对病情作充分沟通和陈述，防止查房时短暂沟通对病情的遗漏，也可以在心理上对患者做更多的安抚。该模块需要与医院电子病历及医嘱系统做对接，患者可以享受到用药提醒、检查检验结果查询、根据诊断关注相应的健康教育等增值服务。

3．社区康复，包括：健康宣教、用药提醒、病史登记及医患互动。根据国家三级诊疗要求，患者后期康复应在社区完成。但因社区医疗水平与三级医院医疗水平差异较大，很多患者不愿意到社区康复。借助互联网技术，让患者在社区康复同样受到三级医院医疗质量监管，使患者更为放心。

4．随访期，包括：健康自测、健康日记、临床随访以及健康宣教。根据专科及疾病不同，设计专门的随访模板，用于追踪患者后续情况，主要针对慢性病的长期追踪。

使用过程中碰到的问题

利用互联网技术打破了时间和空间上的制约，能给患者提供全方位的延伸服务，患者体验感得到很大提升，但在使用过程中我们碰到了一些实际问题：

1．如何授权：考虑到很多患者行动不便或不宜告病情知等各种情况，我们建立了授权家属参与互动的功能，但在授权上出现了争议，最初考虑由主诊医生审核并通过，应用场景是主诊医生直接面对患者家属时审核通过身份，但实际操作时发现难度很大。后来修改为自动验证，家属需要录入住院登记的患者信息：身份证、姓名、科室、床号以及联系电话，完全匹配则绑定成功，不完全匹配则发送到主管医生，24小时没有通过则告知绑定失败。

2．授权时间设定：患者家属在患者离院后是否继续保持查阅患者信息？如果继续保持，是否需要患者本人授权？

3．医生参与度不高：在实施中发现除了课题组（课题经费及结题需要）外，其他科室的医生对医患沟通功能的参与度不高，患者更多只是使用手机端查询自己在住院期间的检查检验结果。毕竟该功能利用的是医生的碎片时间，医院对这块工作量的认可和激励机制决定了该项目的成败。

【小结】

通过建设基于互联网的患者全周期健康管理平台，为患者提供延伸服务的同时，也将大量扩展临床所需要的生活数据；跨机构间的患者健康档案数据的交换与共享，使不同级别医疗机构间实现分级诊疗，并能通过医医互动指导提升下级医疗机构的业务水平与服务能力；通过将院外数据交换到院内，丰富临床诊疗所需的数据来源，使数据更好地服务于临床诊疗过程，有助于病历资源的分析挖掘。

【作者简介】

陆慧菁，广州医科大学附属第二医院信息科科长，软件工程硕士，高级工程师。同时兼任广东省健康医疗大数据标准工作组组长、广东省医院协会医院信息化专业委员会副主任委员、广东省经济协会信息分会副会长。

【系列文章】

【陆慧菁专栏】互联网医院建设和运营的“坑”有哪些（医患咨询篇）

【陆慧菁专栏】解析互联网医院线上复诊功能的技术实现

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：谭啸】

来源：HIT专家网    作者：美创科技创始人、总经理 柳遵梁

静态数据生命周期

数据从生成到消亡有其自身特有的生命周期，我们称之为“数据生命周期”。

1．生成期

生成阶段包含Who（由谁生成）、When（生成时间）、Where（生成地点）以及How（如何生成）。显然，数据的生成无时不刻不在进行中，几乎无法通过人力进行干预。如果事先没有制定数据生成规则就会导致数据生成变得失控，从而严重影响数据使用的安全性。从数据安全的角度看，数据生成必须符合预期，任何非预期的数据生成都会严重影响数据安全。

2．活动期

数据生成之后可以被各种场景使用，包括查询、更新、聚合、复制等各种活动方式。不同数据的活动期周期差异度很大，但基本都体现为一定活动强度的曲线波动。活动期并不是任何数据都具有的，比如很多日志数据并不具有活动期，而是直接进入了归档期。任何数据的活动必须符合预期和规范，可以审查和追踪。

3．衰退期

当数据活动一段时间之后，数据的使用强度下跌，并开始进入逐步下跌的过程。衰退期往往经过多个阶梯式下跌阶段。进入衰退期后，数据活动日益减少，如果出现剧烈活动可能是非预期的，往往预示着数据价值的再发现或者数据安全性事件的发生。

4．归档期

当数据的访问进入非常稀疏的阶段，并且禁止数据被更新，该阶段被称为“归档期”。归档期的时间周期很漫长，往往依赖于法规遵循和归档成本的双重约束。数据存在着价值再发现的过程，归档期的数据可能存在再次进入活动期的可能性。归档的数据往往出现监视不足的问题，需要对归档数据进行周全的保护，并严格按照相关约束使用归档数据。

5．销毁期

当数据已经没有使用上的价值或者已经超越了法规监管的周期，这个时候数据需要被销毁，以降低成本和数据安全风险。从数据安全的角度看，销毁操作必须是符合预期的，不存在任何非预期的销毁操作。

动态数据生命周期

“数据安全能力成熟度模型”中还有另一种数据生命周期——动态数据生命周期，从数据处理的各个阶段来看待数据生命周期。其本质上是一种派生数据处理过程，只是借用了数据生命周期的概念而已。动态数据生命周期包含六个阶段：

• 数据采集：新的数据产生或者现有数据内容发生显著改变或者更新的阶段。对于组织而言，数据采集既包含组织内系统中生成的数据，也包含组织外采集的数据。
• 数据存储：非动态数据以任何数字格式进行物理存储的阶段。
• 数据传输：数据在组织内部从一个实体通过网络流动到另一个实体的过程。
• 数据处理：组织在内部针对动态数据进行的一系列活动的组合。
• 数据交换：数据经由组织与外部组织及个人产生交互的阶段。
• 数据销毁：利用物理或者技术手段，使数据永久或者临时性不可用的过程。

数据安全能力成熟度模型

“数据安全能力成熟度模型”从数据生命周期安全、数据安全能力和能力成熟度三个方面来构建。

• 数据生命周期安全维度：围绕数据生命周期过程，提炼大数据环境下，以数据为中心，针对数据生命周期各阶段的相关数据安全过程域体系；
• 数据安全能力维度：明确组织在各数据安全域所需具备的能力，包括制度流程、人员能力、组织建设和技术工具四个关键维度；
• 能力成熟度等级维度：基于CMM的分级标准，细化组织机构在各数据安全过程域中的5个级别的能力成熟度分级要求。

这里不对“数据安全能力成熟度模型”作赘述，大家可以参考相关文章来理解“数据安全能力成熟度模型”。

数据生命周期安全

无论是静态数据生命周期还是动态数据生命周期，其本质都在于以每条数据或者每个数据集合为观察对象，观察其在每一个活动阶段的行为和特征。“数据生命周期安全”则是从数据生命周期的观点出发，确保数据在数据生命周期的每个活动阶段的行为和特征都符合预期、符合数据本质。因此，数据生命周期为建设数据安全提供了一种方法论。

从数据生命周期安全角度出发，我们需要做以下几件事情：

1．认识数据

数据生命周期的基础在于认识数据，每条数据或者一个数据集合。在安全实践中，认识每条数据显然不具有可操作性，也没有太大的价值。基于分类的数据集合来认识数据是可以操作的，并能提供足够价值的数据认知。数据安全或者数据生命周期安全的绝大部分困难点都在于认识数据。

鉴于认识数据的复杂性，这里不展开论述。感兴趣的读者可参阅后续《数据治理驱动的数据安全》章节。

2．观察数据活动

数据的活动无非就是CRUD（Create创建、Retrieve查询、Update更新和Delete销毁），我们需要在整个过程中通过4W1H1R方法去观察和认知这些活动。

• What：针对活动的数据对象。
• When：什么时候做。
• Who：谁做的。
• Where：从哪里发起，在哪里做的。
• How：怎么样做的，比如SQL语句。
• Result：做的结果如何。

3．识别特征和违规

不同于传统网络安全的风险识别方法，数据生命周期安全则更多地从数据自身具备的特征来衡量数据的访问和使用特征，从自身的4W1H1R来特征化数据活动。当访问的认知不符合数据本身的4W1H1R行为特征，即可高度确定其可能是一个违规行为，也就是所谓的“知白守黑”。

4．贯穿数据生命周期的身份

数据生命周期改变了以往从环节的角度看问题的方式，从过程安全的角度看问题，需要一个贯穿每个环节的身份来关联各个环节，从而使数据生命周期是可认知的。

数据生命周期过程的安全考虑

这里以动态数据生命周期为例来说明在数据生命周期过程中的安全考虑点。

1．数据采集

采集的数据需要从两个方面来考虑：采集源和采集点数据流。

• 采集源：需要充分认证采集点是经过安全认证的，并且其采集行为是边界界定的。
• 采集点数据流：需要保证其采集的数据是合规的，在送入下一个生命周期节点的数据是合规的。大部分情况下采集数据流需要做匿名化和脱敏处理。

2．数据存储

动态数据生命周期中，很多场合下数据存储在非安全的网络环境中。加密是非安全环境存储的一个金标准或者最佳实践，在任何非安全网络中存储的数据都需要加密。事实上，安全的网络环境越来越少，加密在多数情况下应该成为数据存储的标配。

3．数据传输

数据传输的安全考虑和数据存储的考虑完全一样，在非安全网络中传输需要进行加密。特别是在穿越复杂的互联网环境和外部网络时，不仅要考虑网络层加密，还要考虑数据层加密。

4．数据处理

数据处理是数据生命周期的核心过程，确保数据被合适的人访问是数据处理安全的基本前提。访问控制和审计显然是数据处理环节必须要考虑的安全措施。

5．数据交换

无论是机构内还是机构外的数据交换，从安全的角度考虑，数据交换的本质和采集没有太大区别，其安全的基础控制是合规。特别是当数据交换到外部机构时，数据的控制权将交付到外部机构，安全措施将无法落实到位。这时，除了严格进行数据交换的身份验证之外，还需要保证数据内置的安全性，确保数据交换到外部机构，数据安全合规依然生效。数据内置的安全性的主要措施包括：匿名、脱敏、加密、水印。

6．数据销毁

数据销毁显然是一个有重大破坏性的行为，确认任何销毁都经过许可是至关重要的。

【作者简介】

柳遵梁，杭州美创科技有限公司创始人、总经理。毕业于中国人民解放军信息工程大学，中国（中关村）网络与信息安全产业联盟理事，中国信息协会信息安全专委会数据安全工作组组长。拥有二十年数据管理和信息安全从业经验，在通信、社保、医疗、金融等民生行行业积累了大量实践经验。具备长远战略眼光，准确把握技术发展趋势，持续创新，带领公司完成运维、服务、产品多次转型，均获得成功。目前公司已经完成全国布局，成为国内重要的数据安全管理综合供应商，个人著有《Oracle数据库性能优化方法论和最佳实践》书籍，多次发表学术文章。

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：谭啸】

来源：HIT专家网   作者：南京医科大学第二附属医院 柳明

近期，HIT专家网连续刊载了几篇关于医疗信息化人职业生涯的文章，引人入胜且若有所思，于是提笔写下自己的点滴感想与大家分享。

职业规划，这是高校毕业生走向社会之前的必备讲座之一。人生在世如沧海一粟，又如星河一点。职业规划这个词听起来很漫长，实际上弹指一挥间的威力就如同“灭霸”同学的一个响指。

物以类聚，人以群分。说实话，我们没有必要把职业规划上升到教科书式的谆谆教导，因为每个人潜意识里都有最真实的另一个自己。电脑里安装了金山毒霸的同志们应该看过这样一条鸡汤：“所谓的成功，就是以自己想要的方式过一生。”此语同样适用于职业生涯。话虽如此，不过我们还是需要识别自己，想清楚内心深处的自己究竟在想些什么。

HIT是Job，还是Work？

公立医院，体制内机构是也。初出茅庐的毕业生来到医院，满满的新鲜感、好奇心是常见状态，经历了半年到一年的过渡期后，你就能够注意到一些不一样的地方。如果发现它不对你的路、不是你的菜、给不了你天马行空自由驰骋的空间，那还是趁年轻换个地儿吧，毕竟越是往后，羁绊越多。

谈到医院，大部分人想到的是稳定、旱涝保收，不用出去拼命。如果你仅仅把HIT作为一份养家糊口的工作（Job），基本能够准点上下班，没问题，医院确实提供了这样的环境，专心做好自己的分内事，淡泊名利、与世无争。小结：这属于“领导让我做什么就做什么”，也属于“一眼就看到老年的自己”。

如果你将HIT视为职业（Work），可以向别人自豪地介绍自己在医院信息中心的工作，那就得持续进阶，把自己的角色从象牙塔里的大姑娘、小伙子转变为具备职业精神、职业能力的社会人。继续学习不能荒废，技术不能扯后腿，团队协同得学会。我之前写过工程师的修炼，此文就不赘述了。小结：这属于“认真对待职业是我的责任”。

HIT是事业

如果HIT已经“融入”你的血液，成为你毕生追求的事业（Career），那意味着你得有凤凰涅槃般的蜕变与升华，你得保持激情、充满斗志、矢志不渝、精益求精。攀上顶峰不膨胀，跌入低谷不怨天。你必须像美国队长那样坚韧，就算被击败也寻求重新出发；你不能像雷神那样泄气，遇见失败就一蹶不振；你要像钢铁侠那般为了团队牺牲自我；你的心理切勿像绿巨人那般一戳就爆。

将HIT作为事业的人是在追求马斯洛需求理论的最高一层：自我实现需求，那是一种荣誉与成就感。小结：这属于“没事儿也会自己找点事儿”。

青年HIT人的职业规划，可以借鉴国家的五年规划，以五年为一个周期，五年为一个节点，五年为一个目标。撇去鼠目寸光，抛开好高骛远，将人生奋斗的几十年分为青涩期、上升期、黄金期、稳重期。不忘初心，牢记使命，时常想想我们做HIT的目的，找到最适合自己的方向，进而一路向前！

【作者简介】

柳明，八零后。浙江大学生物医学工程硕士，入选“十三五南京市卫生青年人才培养工程”，中国研究型医院学会医疗信息化分会青年委员，中国心胸血管麻醉学会医疗信息技术分会委员，中国老年医学学会智慧医疗技术与管理分会委员，南京卫生信息学会青年专业委员会副主任委员。

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：谭啸】

来源：HIT专家网    作者：秦皇岛市第一医院 王健

随着医院学科建设工作的开展和深入，学科建设、学科评价在医院的管理中日益重要。打造优质学科是医院发展的基础，是吸引人才、引导患者、打造品牌的核心竞争力。在同一区域规划内，行政主管部门进行医院学科横向评价时，往往沿用卫生统计常用报表的主要指标进行分析，例如：病床使用率、出院人次、门诊人次、平均住院日、次均费用、死亡率、药占比、药材占比等。但由于医院间管理各异、计算指标口径不一，造成直观数据指标缺乏横向对比参考，往往评价结论不能真实反映学科的客观情况。

DRGs（Diagnosis Related Groups）译作“疾病诊断相关分组”，主要特点是以病例的诊断和（或）操作，作为病例组合的基本依据，综合考虑了病例的个体特征如年龄、主要疾病、并发症和伴随病，将临床过程相近、费用消耗相似的病例分到同一个组（DRG）中。

利用DRGs的指标及特点，在秦皇岛地区六所二级医院（分别以A、B、C、D、E、F代替医院名称）尝试采用北京版DRGs分组器对专业学科进行横向评价。从近一年的评价效果看，参与医院对评价结果认可度高，评价结果可信。

基于DRGs展开三个维度的横向评价

下面以心血管内科专业为例，笔者将从服务能力、服务效率、医疗安全三个维度分享实践经验：

第一，服务能力维度主要包括总权重数、DRGs数量、病组数（CMI）三个指标。其中总权重数是综合考虑医院收治的患者数量和每个患者的病情严重程度，表示医院的总产出；DRGs数量表示的是医院的技术范围，可以直观的体现出医院收治病例所覆盖疾病类型的范围；CMI表示医院收治病例的平均难易程度。

对于心血管内科的服务能力（如图1），F医院总权重为4933.12，是六所医院中权重最高的，证明该院在心内科的产出也是最大的；C医院次之，总权重数为3727.27，总产出相对少一些；往后依次为A医院（2367.01）、E医院（2237.16）、B医院（2097.36）、D医院（1685.04），后四所医院的总产出相对差距不是很大。

对于六所医院中心血管内科的病组数分布：C医院的病组数最多，为147组，该院心血管内科覆盖的病种最广；次之是F医院的141组；其余依次为D医院109组、A医院97组、E医院89组、B医院85组（如图2）。

对于CMI指数，F医院的心血管内科的CMI值最高，为1.7。结合上述指标分析可见，该院心血管内科收治的患者不仅相对较多，同时危重症患者的数量也较多；次之是A医院的1.54；其余依次为E医院（1.38）、C医院（1.38）、B医院（1.28）、D医院（1.23）；D医院的CMI值最低，因此该院的心血管内科收治的患者相对较少，在心血管内科专业存在较大提升空间（如图3）。

第二，服务效率主要包括时间消耗指数和费用消耗指数，也就是收治同类病例的时间长短和费用高低。通过服务效率可以侧面评估诊疗过程中是否存在不合理的检查、用药以及收费等潜在风险。

费用和时间消耗指数通过散点图表示，散点图中通过x=1,y=1两条均线把图分为四个象限，其中第一象限的医院与其他医院相比，费用较高，住院时间较长；第二象限的医院费用虽然较低，但住院时间较长；第三象限的医院费用较低，住院时间较短；第四象限的医院住院时间虽然较短，但费用较高；位于第三象限的医院的服务效率最高，而第一象限的医院服务效率最低。

对于心血管内科的费用、时间消耗指数的分布是：A、C、D医院的心血管内科的服务效率是比较高的，这三所医院的心血管内科均位于第三象限；B医院的心血管内科的服务效率是最低的；E医院在心血管内科的治疗上，费用消耗的虽然低，但是住院时间却相对较长；F医院位于第四象限，住院时间短、费用高，结合该院CMI指数分析，由于该院收治患者人群中急危重症患者较多，符合该院实际情况（如图4）。

第三，医疗安全主要是通过低风险组死亡率体现的，低风险组死亡率指的是疾病本身导致死亡概率极低的病例死亡率，通过其可以直观的查看医院的临床过程是否出现问题。

低风险组死亡率主要通过柱状图来表示，通过分析发现，D医院的心血管内科死亡率是六所医院中最高的，达到0.25。因此，需要加强对该院心血管内科的管理，降低死亡率（如图5）。

六所医院的综合评价

1.指标评价

A医院在心血管内科的总产出在六所医院中占第三，病组数占第四，CMI占第二，低风险死亡率最低，费用/时间消耗指数在第三象限。由此可以看出，该院心血管内科专业运行良好，效率较高，但病组数较低，未来学科可扩展空间较大。

B医院总权重占第五，病组数第六，CMI第五，死亡率为第五，费用/时间消耗指数在第一象限。由此可以发现，B医院产出不高、病种覆盖范围窄、收治患者相对其他医院病情较轻，消耗的时间指数和费用指数较高。这说明该院心内科专业在行政管理及学科建设上都应高度重视，向着专业型及效率型发展，以打造良好人才梯队建设。

C医院产出第二，病组数最多，CMI第四，死亡率第三，费用/时间消耗指数在第三象限。由此可以得出，该院虽然产出高，病种覆盖广，但治疗疾病的难易程度不高。说明该院在本地区内承担的医疗救治任务较大，在本地心内科专业床位数较多。同时，也是在院患者较多、效率运行较好的医院。考虑CMI指数不高，说明收治患者病情较轻。从低风险死亡率来看，说明该院在临床或护理环节存在一定问题，需医院高度关注。

D医院总产出第六，病组数第三，CMI第六，死亡率最高，费用/时间消耗指数在第三象限。可以看出，该院在治疗心血管疾病耗费的时间和费用不高，心血管内科的产出较低，覆盖的病种类型较少，治疗疾病的难易程度最低。但低风险死亡率在几家医院中最高，说明该院学科建设应需统筹规划，从行政管理上进行赋能。

E医院总权重第四，病组数第五，CMI第三，死亡率第二，费用/时间消耗指数在第二象限。说明该院在运行效率上应引起管理者重视，需要扩大学科收治患者范围，以及提高危重症患者处置能力。

F医院总权重最高，病组数第二，CMI第一，死亡率第四，费用/时间消耗指数位于第四象限。F医院治疗心血管疾病的产出较大，覆盖的病种数较多，治疗疾病的难度最高、死亡率低，是本地区学科内综合实力较强的医院。

2.量化评价

从治疗范围、治疗难度、时间效率、费用效率、安全质量五个方面反映医院的总体绩效情况。首先需要对5个指数进行标准化加权处理，使各个指数的权重相等，然后按照下面的公式计算住院绩效的综合得分：

• 范围指数得分 a=病组数/病组数平均值；
• 治疗难度得分 b=4*CMI；
• 时间指数得分 c=1/时间消耗指数；
• 费用指数得分 d=1/费用消耗指数；
• 安全质量分数 e=(1-低风险死亡率)/2；
• 住院绩效综合得分=治疗难度得分+时间指数得分+费用指数得分+范围指数得分+安全指数得分（表1）。

表1：医院综合得分情况表

排名	医院	版本	治疗难度得分	时间指数得分	费用指数得分	范围指数得分	安全指数得分	总得分
1	F医院	北京版	4.76	0.49	0.21	1.2	0.5	7.16
2	E医院	北京版	4.64	0.41	0.23	0.92	0.5	6.7
3	A医院	北京版	4.2	0.52	0.26	1.21	0.5	6.69
4	B医院	北京版	4.44	0.47	0.23	1.03	0.5	6.67
5	C医院	北京版	3.84	0.58	0.31	1.16	0.5	6.39
6	D医院	北京版	3.84	0.56	0.27	1.08	0.5	5.89

从量化得分看，基本符合本地区心内科专业各医院的实际情况。在DRGs横向学科评价中，也可以根据地区的实际特点，适当调整总得分计算公式。学科评价一方面客观反映各医院学科发展情况，另一方面也为基于DRGs的医保支付提供了良好基础。

在DRGs评价过程中，由于只关注学科的收入维度，而未考虑成本方面的指标，所以未来在研究探索中，要结合医保的相关政策和成本维度，从更全面的角度去分析学科，为学科良性发展提供强有力的佐证。

“秦皇岛地区DRG非官方联盟”是由秦皇岛港口医院信息科周哲主任发起，联合燕山大学DRGs实验室共同成立的以研究为主的科研团体。在此，特别感谢赵海峰、李强、胡广利、白乐宁、蔡克科、田水清、杨志良、王常武、邱文举、石纯等专家的指导与建议。

【作者简介】

王健：1982年出生，燕山大学信息工程学院博士，主要研究方向为医院绩效评价模型及DRGs应用。自2007年入职秦皇岛市第一医院信息管理处，主要负责软件方向相关工作。承担河北省自然基金课题一项，主持河北省大学生创业基金两项；发表SCI论文两篇、EI论文两篇；国家发明专利一项、实用新型专利两项、软件著作权五项。兼任燕山大学软件集团医疗方向首席高级顾问。

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：孙鹏】

【编者按】

2019CHINC大会发布的《中国医疗人工智能发展报告》（2019）蓝皮书（以下简称：蓝皮书）是我国第一份系统的医疗AI研究报告。为了让广大同行进一步了解蓝皮书，《中国数字医学》杂志社授权HIT专家网摘编选登蓝皮书部分精彩内容。敬请广大读者关注。

来源：HIT专家网      供稿：《中国数字医学》杂志社

尽管目前人工智能在医疗健康领域还没有形成规模化、常态化的应用，而且还受到一些政策、 法律和伦理等方面的限制和约束，但不可否认的是，随着人工智能研究的深入，以及医疗资源匮乏弊端的显现，医疗人工智能应用将越来越广泛和深入，其产业也将越来越成熟。

AI在医疗健康领域的应用会越来越广泛

随着医疗健康信息化的快速发展， 医疗机构及各类医疗健康服务型企业会产生大量的医疗健康数据，包括医疗图像、电子病历、健康档案等，人工智能技术能够对这些医疗大数据进行语义分析和数据挖掘，并实现对部分疾病的早期预警或自动诊断。这些应用主要体现在九个细分领域，包括疾病筛查和预测、医院管理、健康管理、医学影像、电子病历/文献分析、虚拟助手、智能化医疗器械、新药发现、基因分析和解读。

医疗AI产品将正式被批准成为医疗器械

在美国，FDA（食品药品监督管理局）于2018年4月批准了世界上第一款人工智能医疗设备IDx-DR。11月19日，国内的乐普医疗自主研发的心电图人工智能自动分析诊断系统“AI－ECGPlatform”获得FDA注册批准，成为国内首项获得美国FDA批准的人工智能心电产品。截至目前，FDA已经批准了12个泛AI类医疗产品进入临床应用。

由于AI医疗器械初期需要大量高质量、已标注的医学数据进行模型训练和学习，而目前一方面高质量的数据因为各种原因难以获得，另一方面一些算法模型还不够准确，导致很多AI产品在实际应用中会产生误诊、错诊、漏诊等问题。著名的IBM Watson人工智能产品就因为错诊，开出不安全药物而不断受到质疑，美国得克萨斯大学MD安德森癌症中心这样的顶级医疗机构在投入6700万美元之后还是选择放弃该项目。

国家食品药品监督管理总局（CFDA）为了更好地规范国内发展迅速的智能辅助诊断产品，2017 年9月发布了新版《医疗器械分类目录》，2018年8月1日起开始施行。该新版目录新增了与人工智能辅助诊断相对应的类别，具体为对医学影像与病理图像的分析与处理。按照最新的分类规定，若诊断软件通过算法提供诊断建议，仅有辅助诊断功能，不直接给出诊断结论，则可申报二类医疗器械，如果对病变部位进行自动识别，并提供明确诊断提示，则按照第三类医疗器械管理。2018年11月19日，国家药品监督管理局医疗器械技术审评中心发出通知，公开向境内外征集生产人工智能医疗器械产品的企业信息，这表明其开始为我国AI医疗器械审批做准备。预计最晚到2020年，我国将会出现首批基于人工智能的医疗器械产品并应用于医疗诊断服务中。

如果各医疗人工智能公司要走医院采购这条路，那么获得国家药监局认证是必经之路，如果要认证三类医疗器械，那么大量真实的临床应用数据将会为公司的申请提供巨大的帮助。 为此，目前医疗器械人工智能产品第三方评测机构已经开始开展工作，包括构建智能产品评测数据库，建立智能产品评测标准和明确评测步骤等，以便为企业提供真实可靠的评测环境。

医疗智能化应用的监管将越来越规范和严格

由于医疗数据涉及患者本人的隐私，在道德伦理和法律层面上都属于非常敏感的问题。与其他领域的AI产品对比而言，医疗智能化产品及服务，尤其是诊断和治疗方面的产品和服务，对人类医生专家的决策势必会产生一定的影响，一旦出现判断失误，患者的生命健康会面临严重的威胁。

在美国，医疗器械根据其风险程度被划分为三类，其中第Ⅲ类为具有高风险的医疗器械，具体指拟用于支持或维持人类生命或预防人类健康受损，或可能导致潜在的不合理疾病或伤害风险的医疗器械。根据美国联邦法律，第Ⅲ类设备除需进行一般监管外，还需进行上市前审批（PMA）。但同时FDA也鼓励企业医疗AI产品进行更新迭代，为此它有着全新的加速审批通道。

国内监管部门对于利用人工智能技术提供诊断功能的审核则更为严格，《医疗器械分类目录》对医疗AI产品的界定是：若诊断软件通过其算法提供诊断建议，仅有辅助诊断功能不直接给出诊断结论，则按照二类医疗器械申报认证；如果对病变部位进行自动识别并提供明确诊断提示，则必须按照第三类医疗器械 进行临床试验认证管理。此外，原国家卫生计生委于2017年2月发布的《人工智能辅助诊断技术管理规范（2017年版）》和《人工智能辅助治疗技术管理体系规范（2017年版）》还对医疗机构及其医务人员应用AI辅助诊断和治疗提出了极具操作性的要求。

未来全球仍然需要推动医疗领域相关制度的制定和完善，各个国家和地区根据自身的法律法规和道德环境，加速制定关于人工智能产品的一系列制度标准，包括产品的开发、生产、评估和定价等各个方面。作为监管部门，当下的重点是制定一套科学、合理、明确的产品分类分级标准。

对AI理论和技术的研究将更加深入

人工智能技术发展迅猛，在很多研究项目上取得了一定的成果。然而，医疗卫生行业不同于其他行业，它对于实验结果的可信度、可解释性的要求还是很高的。例如，对医学影像进行基于深度学习的数据分析，尽管这类技术能够取得很高的准确率，但是模型本身属于“黑箱技术”导致其结果缺乏判断依据，人类医生和患者往往很难相信实验结果的可靠性，最后产品难以投入实际使用。另外，很多研究内容都是针对单病种或者少量病种的分类、检测，多病种任务的人工智能分析还需要算法的进一步提升，在保证模型实验精度的基础上提高其本身的泛化能力。就医疗领域的硬件设备而言，发展中国家与发达国家相比缺乏核心研发技术，创新能力十分薄弱，在人工智能的部署方面存在较大难度。

人工智能不仅是计算机科学的前沿，还是数学、软件工程、脑神经科学等学科的新方向，其在医学领域的未来发展需要计算机软硬件专家、医学专家和统计学家等的共同努力，需要进行跨学科、跨领域的通力合作。一方面，使用更为成熟的人工智能理论来提升各个系统模块的思维逻辑能力，让专家系统在尽可能复杂的环境下准确而又迅速地提供诊疗方案；另一方面，继续加强人工智能技术的实践，使其具备更强的学习、自组织、泛化及训练能力，加快从 “弱人工智能” 到“强人工智能”的转化（完）。

系列文章：

【中国数字医学专栏】医疗AI的起源和未来

【中国数字医学专栏】5个维度浅析我国医疗AI发展现状

【中国数字医学专栏】我国医疗AI面临五大挑战

相关链接：

《中国医疗人工智能发展报告》（2019）蓝皮书是由国家卫生健康委医院管理研究所、《中国数字医学》杂志社联合清华大学珠三角研究院、北京大学智慧城市研究中心、中山大学中山医学院以及国内知名三甲医院共同完成，由社会科学文献出版社出版，是我国医疗人工智能领域的第一份正式出版的系统研究报告。

国家卫生健康委医院管理研究所副所长、蓝皮书主编张旭东介绍，蓝皮书有三大特点：一是具有鲜明的中国特色，与我国医疗AI领域紧密结合，是AI在医疗领域研究成果的汇总，得到了清华大学珠三角研究院、北京大学、中国社科院、中山大学中山医学院、北京协和医院等单位的大力支持；二是经过了大量的调研，不是简单地罗列情况汇编，而是专家们经过调查的研究和心血；第三，蓝皮书是发展的，以后每年都会出版。

附购书链接：《中国医疗人工智能发展报告》（2019）蓝皮书

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：孙鹏】

来源：HIT专家网     作者：上海市第六人民医院计算机中心 郑西川

医院临床信息化进展飞速，一方面得益于国家利好政策频出，另一方面是医疗信息人努力的结果。HIT界高手迭出，三十六招、七十二式，CDR（临床数据中心）、电子病历系统评级等有形无形、高潮迭起。互联网医疗形势下的临床信息化，AI（人工智能）、CDSS（临床决策支持系统）、知识库等精彩纷呈。各种讨论，永远不缺导师，目前对于临床信息人工智能应用介绍，要么“添枝加叶”，要么引申杜撰，无可对证。但对于临床信息新应用的落地，总觉得临床信息化如深海逮鸟。

思维是为了行动，行动是为了结果。在医疗大数据、医学人工智能、互联网医疗、智慧医院等已成为时髦词汇的当下，对于临床信息化应用的落地，到底方法在哪里？

整合的轮回：集成平台突破不大

现实世界中的医院临床信息化狼多肉少、竞争激烈、弱肉强食，厂商角力，往往以力取胜，而后便坐地起价、占地为王。临床信息软件，四分五裂，医院信息科是弱势一方，谁也不敢得罪，总怕天塌地陷，弄出一场地震。

长时期以来，临床信息化中的医嘱、药品、感染控制、检查、检验信息化等各自孤立，医生护士各自忙碌。互联共享时代的资源有限，信息危机不断，要求抱团取暖、彼此互通，集成平台因此应运而生，标准化总线实现了不同系统信息交换。有了集成平台，临床信息交换共享解决了么？好像还有疑问。但医疗大数据、互联网医疗、临床信息的整合进入了新的轮回。

临床病人信息本来就是高维的，但软件是基于二维关系设计的。围绕病人医嘱处理，形成了CPOE（计算机化医生医嘱录入系统）。临床项目和价表的对照是核心，形成了临床信息处理的两条线。为了支持病历书写，先开发了类似Word的文书编辑器，互联网时代支持各种存储文件格式。近来，形势大变，二维空间已不能再满足病人信息处理的需要，于是在面、体、时空等多维空间下，病人随访、院外数据调用成为了常态，物联网使设备使信息数据采集更加方便，人联网也促进了人人之间的交流。所以，临床要求全程、全域病人健康数据共享、时空数据对比、可视化展现颠覆了临床信息化传统，医院临床信息化建设需要引入新思维、新工具。

知识是死的，思维是活的。互联网的奥妙在于它的虚拟性，借助它，普通人也能决胜千里。医院临床信息化整合共享的出路在于互联网医疗博弈，面对每个问题，临床、信息、管理各有各自的维度，在各种博弈中，主动换维就能提醒自我、催眠对方，“不按常理出牌”是博弈中的上乘功夫；基于各种评估体系，价值标准和目标，改变以往临床信息化玩法，是临床信息化成功的秘诀，除智商和情商外，维商成为临床信息工程师第三种能力。

互联网医疗打破临床信息化困局

思是智力水平，维是方向角度。困局下临床信息化需要转型，大量临床数据录入成为了临床信息系统满意度的痛点，繁杂的数据录入，消磨了医生的乐趣，成了医生的负担；使用EMR，医生和病人接触的时间收到了压缩，护理情况也大致如此。多年来的EMR成为了“食之无味、弃之可惜”的鸡肋。

临床信息化到底如何破局？转型不是创业，期望太高不易成功，临床手术是为了治病救人。推倒围墙，减少环节，实现EMR与 CDR的融合似乎成为趋势。一般来说，物联网与AI的引入，能为改变EMR现状助一臂之力，然而近年来形势并没有太大改观。于是，临床数据成为关注点，从临床数据采集到数据利用，再到实现闭环管理，业界目光再次聚焦于数据，临床数据共享、标准规范、互联互通、认证评价似乎已成了临床信息化建设主要方面。

毫无疑问，临床数据中心是临床信息化转型的基础；下一步，互联网医疗将成为临床信息化打破“困局”的推手。数据的归类，EMPI（患者主索引）、用户自助、搜索引擎、可视化等成为临床信息处理主要内容。各种数据集、标准化、共享以及测评认证仍在不断循环。数据、信息、知识、智慧，临床信息化不断演进。可以预言，随着临床信息互联互通互认和AI技术的应用，医疗行业将率先进入智慧时代。

临床信息化需要新生态，突破原有边界束缚，共荣共生。如火如荼的互联网医疗为临床信息化建设提供了新业态。临床信息化将进入整体进化、正向淘汰的时代。多元共生、虚实博弈，互联网的个性化、多元化正在给临床信息注入新的元素和动力。新旧博弈，赢者才是英雄。变革时代需要朋友，离开朋友做不了“盟主”。临床信息化呼唤团队意识，数据治理与团队协作也许是临床信息化建设方法论中的两个法宝。

【作者简介】

郑西川，上海交通大学附属第六人民医院计算机中心主任、教授级高工。上海交通大学医学院生物医学工程专业硕士研究生导师，苏州大学放射医学与公共卫生学院生物医学工程专业硕士研究生导师。中国医院协会信息管理专业委员会 （CHIMA）委员；中国医药信息学会（CMIA）委员；上海市医院协会信息管理专业委员会委员；中国医药信息学会上海分会常委；中国生物医药技术协会医药信息分会常委；《医疗卫生装备》杂志特约审稿专家。

研究方向：①基于PACS电子病历的临床信息共享；②HL7/XML电子转诊相关技术及应用研究；③ 区域临床信息共享及协同医疗信息技术研究；④数字化医院的相关标准及实现技术。近年来，先后承担上海市“十一五”重大科技项目、上海市科委自然科学基金项目、上海市经济信息委信息化专项基金以及院级课题多项。发表论文40余篇。

想加入HIT专家网专业交流群？请添加“HIT专家网”小助手微信好友后提交你的申请哦

（请注明姓名、单位名称、职务、主管技术或产品领域，以便有针对性加群交流）

【责任编辑：孙鹏】

来源：HIT专家网     作者：广州医科大学附属第二医院 陆慧菁

【编者按】

自2018年国家卫生健康委员会颁布互联网医院相关政策以来，全国越来越多的省份正在加速推进公立医院互联网医院建设，互联网医院全面进入实战阶段。2019年4月23日，广东省首批22家互联网医院正式上线开展服务。在此，我们荣幸地邀请到广州医科大学附属第二医院信息科科长陆慧菁分别从“医患咨询”、“在线复诊”、“健康管理”等三方面，具体介绍互联网医院建设过程中的常见需求实现和主要问题对策，供广大同行借鉴参考。

接上篇：【陆慧菁专栏】互联网医院建设和运营的“坑”有哪些（医患咨询篇）

本文将继续阐述互联网医院建设内容，主要讲述线上复诊部分。互联网医院业务中对处方的要求比较高，其中，《互联网诊疗管理办法（试行）》及《互联网医院管理办法（试行）》里都有提到：

1.互联网诊疗活动开展诊疗为部分常见病、慢性病复诊；

2.患者在实体医疗机构明确诊断为某种或某几种常见病、慢性病后，可针对相同诊断进行复诊；

3.在线开具的处方必须有医师电子签名，药师审核；

4.不得开具麻醉药品、精神药品等特殊管理药品的处方；

针对以上规定，医院在建设互联网医院线上复诊功能时，应作出以下考虑：

1.建立互联网医疗病种库，由医务部门筛选符合国家要求结合自身医院实际需求的诊断目录；

2.患者必须在过往就诊记录中有该医院互联网医疗病种库中相应的诊断方可使用线上复诊功能；

3.在线处方需要经过前置审方，通过合理用药系统规则库初步审方，凡是超过预警级别处方需要药师人工处理；

4.建立互联网药品目录，医生只能开目录内药品。

除了政策性考虑以外，系统建设还需要考虑以下内容：

1.医生端的选择：PC端或手机端。

（1）使用医院原有医生工作站为基础，增加互联网诊疗模块或手机端实现互联网诊疗。前后两者差异可以从以下几方面对比：工作量的差异：《互联网诊疗管理办法（试行）》规定，医师需要掌握患者病历资料后才可在线开具处方。在原有的医生工作站上增加线上慢病复诊，医生能利用医生工作站查询到患者全部就诊信息，只需要嵌套一个视频交互软件即可完成改造，开发工作量较少；手机端实现互联网诊疗针对处方部分则需要对接医院信息系统，开发专门的浏览患者既往病历、处方、诊断等信息的功能，开发量较大，医生使用手机边查询、边视频回复患者从操作便利性来说不如台式机。

（2）设备配备的差异：采用医生工作站同时做互联网诊疗，需要增加声卡、话筒等外设；采用手机端可无需增加任何设备（假设医生使用自己的智能手机）。

2.访问方式的选择：预约制或非预约制。

虽然互联网诊疗上没有明确规定线上复诊需要视频交互，但线上复诊需要下诊断、开处方，为了慎重起见，采用医生排班制，医生主动发起视频，问诊后才能确定维持诊断并开具处方更符合诊疗安全。

（1）预约制模式：患者可以提前网上预约时段，由医生在预约时段内发起访问。采用此种模式医生可提前知道待诊人数，但在使用中发现该模式会因为患者不在线导致多次呼叫无人应答。

（2）非预约模式：只公布医生在线时间，不做预约。患者当天发起访问，直接插入等待队列。医生根据等待队列逐个访问，患者能看到等待人数。此模式医生发起视频命中率高。

对于刚开始线上复诊的医院，复诊患者不多，建议采用预约制模式，有患者预约该时段，医生才需要打开在线接诊，不会造成资源浪费。

3.处方外配的模式选择

医生开具处方后，患者可选择到院取药或快递到家，采用的都是医院药房库存，在此不做讨论。以下只对处方外配部分的几种情况做说明：

（1）直接发送PDF：医生针对医院药品目录开出药品，完成电子签名及药师审方后，生成PDF并有时间戳，患者可自行挑选药店或药品平台上传处方，人工核对处方库存满足确定缴费配送。这种模式对医院改造量最少，无需对应药品，与患者线下拿处方外出买药相似。缺点是医院药品目录与药店或药品平台不一致时会导致处方外配失败。

（2）与医院药品目录做对照表：各加盟药品配送的药品配送平台（或药店），需要与医院药品目录做对照表，系统自动匹配满足处方药品品种和数量的药品配送平台（或药店）推荐给患者选择，患者根据推荐选择药品配送平台（或药店）并支付相关费用。

（3）选定药店后直接使用药店药品目录：患者在就医前先选择药品配送平台（或者药店），医生直接在药品配送平台（或者药店）的药品目录下开处方。该模式医院无需做对照表，但医生在不同药店目录上选择适合患者药品，因为不是医生平时用惯的药物品牌，药品规格剂量、含量需要仔细核对，容易有差错风险。

互联网医院在线复诊与咨询建设及使用都有着较大差异，不再是利用医生碎片化时间回复患者提问，而是直接使用互联网技术面对面沟通。因为牵涉到下诊断、开处方，医生与患者必须通过充分沟通，方可完成整个诊疗过程。该功能应该定位为本院复诊患者，并且最好找自己的主诊医生完成线上复诊。

另外，给大家几个小提醒：微信小程序不支持网页跳转，如果想使用小程序作为互联网医院入口的小伙伴们要注意啦；最后，如果碰到在线上复诊预约缴费后却亲身来到医院找医生看病的患者，也要想想该怎么处理（未完，待续）。

【作者简介】

陆慧菁，广州医科大学附属第二医院信息科科长，软件工程硕士，高级工程师。同时兼任广东省健康医疗大数据标准工作组组长、广东省医院协会医院信息化专业委员会副主任委员、广东省经济协会信息分会副会长。

想加入HIT专家网专业交流群？请添加“HIT专家网”小助手微信好友后提交你的申请哦

（请注明姓名、单位名称、职务、主管技术或产品领域，以便有针对性加群交流）

【责任编辑：孙鹏】

【编者按】

为满足国家卫健委相关评级要求，是否需要更换医院核心业务系统，能否征询有关专家的看法？近来，HIT专家网编辑部经常收到一些地区医院CIO咨询这一问题。原解放军总医院计算机室主任任连仲先生为此专门撰稿，回应业界关切。

来源：HIT专家网      作者：任连仲

在HIT专家网上已见多人提出：信息系统已经不能支持医院新的业务发展要求，以什么样的路线改造升级？如果弃旧换新，应该如何选出适合的系统？近来，国家卫健委又提出今后全国各级医疗机构电子病历系统应用水平分级评价要分别达到三级、四级等具体进度要求，可谓时间紧、任务重。很多医院要达到这一要求还有不小差距。凡此种种，医院CIO应该怎么办？很多医院信息化建设，似乎又走到了多条岔路口。

对于这类问题，在此提出个人一点见解，抛砖引玉，供医院信息化同行们讨论、参考。

第一种情况，该换坚决换。如果现在的信息系统要想达到电子病历应用等级3级还有较大困难，建议果断作出决定，弃旧换新。

第二种情况，定制化升级。如果医院有能力做出完整的发展规划，且具有足够的技术力量与商家一起共同参与各项业务的技术实现，实际上就是信息系统的设计由甲方主导，可以选择目前比较盛行的“定制化”的实现路线。这种实现模式的基本特征是：“你提要求，我来做”，你要什么我都能做到。

其实，这种“定制化”模式，就是以足够多的“功能构件”来实现甲方提出的要求。以医院的优势，采用这种路线，完全可以达到医院要求和期望。而且，系统开发完成之后，医院可以驾驭自如，可以自主实现继续扩展，自主实现不断的功能“涌现”。如果能与乙方达成协议，甚至还可以获得某种程度的知识产权。

第三种情况，依赖供应商。如果医院自身不具备前述条件——没有能力制定既满足当前需要又能支持长远发展的信息化建设规划，又没有足够技术实力全程参与“系统搭建”，那就必须做好这样的准备：遇到问题时需请供应商帮助；要做功能扩展时，涉及如何扩展、如何连接，更必须系统供应商支持。总之，医院将摆脱不了供应商的“保驾护航”。为此，医院必须做好长期承担系统运维保障费用的准备，一般随着信息化的不断发展，这种费用会逐年增加。因为医院自己不掌握系统的架构，不熟悉系统的脉络，对技术细节更是摸不着头脑。

现实情况是，大多数医院还是希望直接从市场上选购产品。就目前的反映，很多医院又都遇到这样的问题：如何选出最好的系统？依据什么标准选择？这确实是一大问题。

靠商家的宣传材料？显然不行。因为，就目前来看，各家的介绍材料都不够细；靠销售人员的说词？也不行，因为，不少企业的销售前台与技术实现的后台尚未完全达到一致；靠甲方的详细要求与乙方的承诺做一一对照？就大多数情况来说，也不一定达到预想目标。

到底怎么办？我的建议是，到系统供应商研发基地或样板医院应用现场做实地考察。考察什么？在此冒昧地提出如下十个方面考察重点，可能有失偏颇，供借鉴参考：

第一，在满足当前需求的前提下，必须追求对医院长久发展的支持能力。这是一个根本性要求，是医院的最大利益所在。这一目标的实现，主要依靠四大要素：

（1）系统的层级结构和应用架构设计；

（2）良好的基础数据结构及完整规范的数据字典设计；

（3）符合业务实际的系统集成策略和集成手段；

（4）良好的“用户体验”设计。

第二，全面考察系统集成策略的合理性及集成规范设计。

第三，全面考察系统中数据链的完整性和数据提取的方便性。

第四，认真考察系统对运行条件变化的应变能力。

第五，认真考察电子病历系统应用等级达到何种程度。

第六，全面体验各项业务操作的简捷、方便以及较快的响应。

第七，考察医疗质量的保障和监督措施。

第八，对医学研究的支持。

第九，有完整的安装和使用说明，有系统调整维护手册。

第十，系统的性能价格比。

这些考核，暂时给不出能被广泛认可的量化指标，但确可用于考察指引。

考察时，只凭一般的介绍不行，靠给定菜单操作也远不够。我认为，选择新系统如同谈恋爱，只看颜值不深知品德就“领证结婚”，风险太大。对欲购系统必须实地考察、测试和比较才能做出选择。

我建议，系统选型，要做好两类测试：第一类，查阅各种设计文档，考察设计的合理性和严谨性；第二类，就上述方方面面考察内容，设计若干测试用例，实地测试（不要忘记，测试环境中必须具有足以说明问题的数据）。这里举出一些测试用例，以供参考。

【例1】考察价格或诊疗项目调整。观察调整操作流程的简明性及合理性，与其类似的还有医保项目及其分摊比例的调整。一般来说，对于这类调整，医院的业务人员可以按照操作规程自己执行，而不需改动程序。

【例2】考察病人相关数据的查询调阅。如：给定条件的医嘱、物品消耗、费用消耗等，要重点考察调阅过程的简捷程度及数据的完整程度。

【例3】考察电子病历系统应用评级。按照国家卫健委《电子病历系统应用水平分级评价标准（试行）》，在不加任何补充措施情况下所能达到的等级。我认为，至少要达到4级。实际上，一套好的架构和基础数据，加上高水平的功能设计，不需增加其他措施系统，就能够达到更高等级。

【例4】考察常用业务。以常用的业务（如：医嘱下达、医嘱执行、门诊就诊等）考察其执行过程、数据记录、智能程度，数据链有无断点。在不加额外手段（如HRP之类）情况下，考察系统能否实现人财物的精细化管理。

【例5】考察医生工作站。拟定一个或几个病情比较复杂的病人的诊断和治疗。考察信息调阅的方便快捷、信息的展示、必要的提示、处置的记录、病历的记录等。

【例6】考察常规报表。选择常规报表，考察其自动生成的程度。

【例7】考察一个专业系统的连接。有可能的话，带上一个有代表性的专业应用系统，当场连接，考察其系统集成规范、操作过程、数据存储、数据融合、调阅速度等。

【例8】考察系统纠错能力。设置“违规操作”，检验系统的纠错能力及报警信息。

以上只是部分举例，不代表考察一个系统的全面性。我认为，全面深入考察，无论是哪一类系统、是大系统还是小系统，都十分必要。选好新系统，对效能价值、经济利益，无论怎么说都不为过。这样做，对信息化主管个人能力也是个极有价值的挑战。认真学一学“系统学”的知识，做一番准备，十分值得。

其实，做这样的案例准备和实地考察并非难事，对于已经熟悉医院业务、已经具有一定信息系统建设和运营管理经验的信息主管，都有能力胜任，就看对待此事的认真程度。

这样的挑选策略和方法，于人于己都有重大好处。对行业的发展也会有良好的促进作用，会让那些滥竽充数的产品无处藏躲，也让那些凑合、马虎的作风得以纠正，更让那些对用户全面负责、设计工作严谨的医疗IT企业和个人能够脱颖而出。

想加入HIT专家网专业交流群？请添加“HIT专家网”小助手微信好友后提交你的申请哦

（请注明姓名、单位名称、职务、主管技术或产品领域，以便有针对性加群交流）

【责任编辑：孙鹏】

来源：HIT专家网    作者：南京都昌信息科技有限公司 袁永福

越来越多的跨医院组织，比如大型医疗集团，提出了文档数据互联互通的需求，包括跨机构电子病历文档和电子病历模板共享。未来，这种需求可能会越来越多。因此，设计一种中立的通用的电子病历文档格式标准，就成为一项势在必行的基础性的工作。

回顾过去，立足现在，面向未来，笔者设计了一类通用电子病历文件格式标准。未来的集群分布式电子病历系统，将实现该标准或类似标准（该标准的完整内容附后）。

设计总则及设计思路

1．遵循已有国际及行业标准，规范。这就要求设计者眼界比较高，具有国际视野。标准的规划应该是大胆设想，小心求证。一些技术点即使业界尚未实现，但能带来可预见的先进性，也应该明确的规划出来，为未来预留发展空间。

2．标准应该市场中立。一般是市场主要参与者（包括甲乙双方）相互权衡后得出的长期稳定结果，需要集思广益，协调好各方利益。

3．熟悉电子病历行业应用。标准制定出来是服务于具体的医院业务工作，其条款能落地实现，应该同时兼顾高瞻远瞩和务实落地。

标准内容设计

第一，病历文档采用XML格式。这点目前各方大体达成共识。

不过一些公司虽然内部可能采用XML格式，但是存储为私有加密格式，这是想要绑架用户。不符合本标准的目的。

第二，采用XSD来描述XML格式。

一些组织试图用word文档来描述XML规范。并举例XML片段代码来说明XML内容。这是一种不可靠的做法，容易遗漏内容、产生歧义，而且不能自动检查XML文档。

本标准采用XSD来描述XML规范。XSD是w3c制定的国际标准，专门用于精确的、无歧义的描述XML格式，而且能用于自动检查XML文档。为此，本标准包含了八千多行XSD代码，精确定义了病历文档XML结构的所有细节。

第三，版式文档规范。

电子病历文档首先是一种版式文档，也就是用一个可视化的文档，在不同的设备、不同厂家的软件中显示和打印结果应该是高度相似的。而且可以设置字体、颜色、上下标、边框，等等。对此，首先联想到的是W3C-CSS3国际标准。为此，本标准参考W3C-CSS3国际标准，制定了电子病历文档版式属性清单。基于这个标准属性清单，就能做到精确定义病历文档版式，实现文档版式上的互联互通。

第四，结构化文档元素。

电子病历文档是结构化文档，一个文档由多个文档元素组成，文档元素分为很多类型，还能层层套嵌,。

第五，文档元素编程接口。

结构化文档元素还提供编程接口供二次开发。为此业界应该参考W3C-DOM国际标准，制定EMR-DOM（电子病历文档对象模型），列出文档元素编程接口规范。

第六，电子病历业务需求。

电子病历文档还要满足电子病历业务需求。对此本标准也做了相关规定。比如制定医学公式行业规范，把行业中所有的医学公式的图形结构及意义描述清楚；比如月经史，牙位图，胎心图等等。

第七，电子病历智能文档。

为了满足日益复杂多变的业务需求，很多开发商被迫频繁修改主程序，这让很多开发商疲于奔命，医院也未必满意。

这些问题其根源在于计算能力过于中心化。电子病历系统中所有的业务逻辑全部在电子病历主程序内完成，使得修改主程序源代码会一发而动全身。

在此本标准借鉴了5G里的边缘计算的理念，规划出电子病历智能文档技术。也就是在文档中嵌入脚本代码，让一部分医院业务逻辑在文档内部完成，使得文档具有一定的自主智能，而不是简单的存储病历业务数据。这样来缓解计算能力过于中心化的问题，减少开发和维护工作量，提高响应速度。

电子病历智能文档首先借鉴了5G边缘计算的理念，基于电子病历文档对象模型，编程语法采用ECMA262国际标准的一个子集，同时也借鉴了JQuery的语法。是一系列技术的综合体现。是未来电子病历系统中的核心技术之一。

第八，电子签名。

电子签名是电子病历的一个重要应用点。本标准设计对此进行了专门规定，主要有：

1.电子签名验证数据内嵌入病历XML文件中，让文档具有一定的自我验证能力。实现了电子病历文档全生命周期的安全认证，堵住了现行系统中的一些安全漏洞。并为跨医疗机构的电子签名互认打下基础。

2.多重局部签名。在目前，电子签名是将电子病历文档作为一个二进制数据包整体进行签名操作，一个文档只有一个签名。而本标准中规划了局部签名技术。也就是对文档的部分，比如一个输入域，一个单元格，表格行进行单独的签名。这样一个文档包含了多个电子签名。比如手术知情同意书包含了医生和患者两个签名。护理记录单包含了几十处护士的签名等。多重局部签名让电子签名管理更精细。

第九，敏感数据保护。

在医疗AI应用中，由于存在敏感数据泄露的风险，使得医院很不愿意跟AI公司分享真实病历数据，这严重束缚了整个AI行业的发展。

为此，应特别规划出敏感数据透明保护技术。从根本上来防止医疗敏感数据泄露的安全风险。让医院无后顾之忧而更有意愿来提供真实病历数据用于大数据的应用，从而解放整个医疗AI行业的生产力。

【小结】

面向未来的电子病历系统需要做出很多技术突破。其中就包括底层技术标准的突破。

通过建立行业标准的方式来从根本上解决病历文档互联互通等深层次问题，这不仅仅是技术手段的突破，更是战略思维的开拓。从IT角度来进一步解放医院的生产力，让医院的信息化投资价值最大化。

附完整内容下载：

《通用电子病历文件格式标准设计方案》

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：孙鹏】

【编者按】

医疗信息化建设最主要的任务是规划、设计、开发以及部署医疗信息系统。如何开发设计性能良好的医疗信息系统，对于提高医院临床科室的工作效率和医疗信息化工作水平而言至关重要。

在本系列文章中，笔者将围绕“如何开发性能良好的医疗系统软件”这一主题，并结合自身工作经历，分别从软件系统架构设计、程序开发设计、数据库设计开发、项目管理、典型案例等几个方面分享和总结相关经验和教训。

来源：HIT专家网       作者：华中科技大学同济医学院附属同济医院 吴坤

接上篇：【吴坤专栏】如何开发高性能医疗信息系统（程序设计篇之一）

在上一篇文章中，笔者结合自身实践，就如何开发高性能医疗软件所需要遵循的规范和法则做了概括性介绍。与互联网等其他行业相比，医疗业务有其自身特点：一方面并发量不高，大多数软件应用在内网，对互联网公开环境安全性要求不高，或者说安全性要求更多体现在其他方面；另一方面是内外环境变化快，医疗行业政策趋势和医疗机构本身处于一个快速变化的环境中，医疗软件需要具备强大的拓展性和适应性，能够适应内外环境变化。

所以根据医疗业务特性，在开发医疗软件时，不需要设计太过先进和复杂的系统架构，而是要设计具备良好拓展性和适应性的软件。在系统设计时，运用好设计模式，是设计出良好拓展性和适应性软件的有效方法。因此，从本篇章开始，笔者将主要介绍设计模式相关知识，以及在医疗软件系统设计中的运用。

在探讨设计模式的应用之前，首先对设计模式相关背景做简单介绍。我们知道，生产任何商品都有一套完整的流程和步骤。以构建房屋为例，建筑设计师首先会根据房屋用户的需求设计出方案蓝图，然后建筑工程师再按照流程一步步完成房屋的建造工作。在此过程中，设计师和工程师都是按照一定的流程和方案来完成各自工作，最终建成设计优美、结构合理的建筑，我们可以把他们所遵循的这套流程和方法称为设计模式。试想，如果没有设计模式作为指导，那么建造出的房屋可能会出现高低不齐、空间不均，难以承受任何“风吹草动”。

设计模式是人们在长期实践中总结出来的经验和方法论。同样，在软件设计领域也存在相应的软件设计模式。可以说，软件设计模式是大量软件开发人员经过相当长时间的试验后，所总结出来的解决软件开发过程中的一般问题的解决方案，也代表了最佳软件设计实践。在软件设计时，软件工程师如果遵循和依照合理的设计模式来开发，往往能起到事半功倍的效果，可以很好地设计出性能高、拓展性好的软件。

根据具体应用场景和所需要解决的问题，软件设计模式大致可分为三大类23种，具体分类如下：

单例模式

单例模式的定义：程序中一个类只有一个实例，且该类能自行创建这个实例。

从定义可看出单例模式有以下几个特点：

   （1）单例类只有一个实例对象；

   （2）该单例对象必须由单例类自行创建；

   （3）单例类对外提供一个访问该单例的全局访问方法。

单例模式的结构：

单例模式结构图很好地描述了单例模式的实现方法。通常，对于程序中普通类而言，其构造方法是公有的，外部类可通过“new 构造函数()”生成多个实例。但是，如果将类的构造函数设为私有的，外部类就无法调用该构造函数，也就无法生成多个实例。单例模式正是运用这一特点，在类内部自身定义一个静态私有实例，并向外提供一个静态的公有函数用于创建或获取该静态私有实例。

单例模式有几种典型的应用场景：

（1）应用程序中，某类只要求生成一个对象的时候，如科室主任、患者基本信息等。

（2）当对象需要被共享的场合。由于单例模式只允许创建一个对象，共享该对象可以节省内存，并加快对象访问速度。如 Web 中的配置对象、数据库的连接池等。

（3）某个类需要频繁实例化和频繁的销毁，如多线程的线程池、网络连接池等。

原型模式

原型模式的定义：用一个已经创建的实例作为原型，通过复制该原型对象来创建一个和原型相同或相似的新对象。

用这种方式无需了解对象创建的具体细节，对象的创建过程非常高效。

原型模式的结构：

抽象原型类中定义了“clone()”方法，具体原型类实现了该方法，该方法定义了创建对象的具体细节，外部访问类需要创建对象是，直接调用具体原型对象的“clone()”方法即能实现对象的创建。

原型模式的应用场景：

（1）对象之间相同或相似，只有个别的属性不同。

（2）对象的创建过程比较麻烦，但复制过程比较简单。

工厂方法模式

工厂方法模式的定义：定义一个创建产品对象的工厂接口，将产品对象的实际创建工作推迟到具体工厂实现类当中，实现了创建型模式中的“创建与使用相分离”的特点。

主要优点：

（1）用户只需要知道具体工厂的名称就可得到所要的产品，无须知道产品的具体创建过程；

（2）在系统增加新的产品时，只需要添加具体产品类和对应的具体工厂类，无需对已存在的工厂类进行修改，满足开闭原则；

主要缺点：每增加一个产品就要增加一个具体产品类和一个对应的具体工厂类，随着产品类和工厂类数量的增加，系统复杂度也将随之增大。

抽象工厂模式

抽象工厂模式的定义：提供一个创建一组相关或相互依赖对象的接口，且访问类无须指定所要产品的具体类就能得到同族的不同等级的产品的模式结构。

抽象工厂模式是工厂方法模式的升级版本，工厂方法模式只生产一个等级类别的产品，而抽象工厂模式可生产多个等级多个类别的产品。

结构图如下：

从结构图可看出，抽象工厂模式是围绕一个超级工厂创建其他工厂，其他工厂再创建各自类别的产品。

抽象工厂模式除具有工厂方法模式的优点外，还具有如下优点：

（1）可以在类的内部对产品族中相关联的多等级产品共同管理，而不必专门引入多个新的类来进行管理。

（2）当增加一个新的产品族时，不需要修改已存在的产品相关的程序代码，满足开闭原则。

缺点：当产品族中需要增加一个新的产品时，所有的工厂类都需要进行修改。

应用场景：

（1）当需要创建的对象是一系列相互关联或相互依赖的产品族时，如医院系统内部不同数据库的访问连接、不同系统中的患者信息等。

（2）系统中有多个产品族，但每次只使用其中的某一族产品。

（3）系统中提供了产品的类库，且所有产品的接口相同，客户端不依赖产品实例的创建细节和内部结构。

建造者模式

建造者模式的定义：指将一个复杂对象的构造与它的表示分离，使同样的构建过程可以创建不同的表示，这样的设计模式被称为建造者模式。它是将一个复杂的对象分解为多个简单的对象，然后一步一步构建而成。它将变与不变相分离，即产品的组成部分是不变的，但每一部分可灵活选择。

结构图如下：

从结构图可看出，每个具体的建造类实现各自的产品组装工作，每个步骤自行定义，非常灵活。

主要优点：

（1）各个具体的建造者相互独立，有利于系统的扩展。

（2）客户端不必知道产品内部组成的细节，便于控制细节风险。

主要缺点：

（1）产品的组成部分必须相同，限制了其使用范围。

（2）如果产品的内部变化复杂，该模式会增加很多的建造者类。

建造者模式创建的是复杂对象，其产品的各个部分经常面临着剧烈变化，但将它们组合在一起的算法逻辑却相对稳定，所以通常适用于如下场景：

 （1）创建的对象较复杂，由多个部件构成。各部件面临着复杂的变化，但构件间的建造顺序是稳定的。

（2）创建复杂对象的算法逻辑独立于该对象的组成部分以及它们的装配方式，即产品的构建过程和最终的表示是独立与具体产品的。

创建型设计模式的应用案例

创建型设计模式在医疗软件系统中有很多应用场景，本文通过一个抽象工厂模式的应用事例，介绍创建型设计模式在医疗软件系统中的应用。

医院内与患者相关的数据信息常常分布存在不同的数据库中，这是由于医院因业务不同通常会采购不同公司的软件产品。比如，医院有门诊、住院、检验、检查等不同软件系统，这些系统采用的数据库和相关技术可能也不相同。但是在日常业务中，对于数据的操作却非常类似。比如，通过ID号查询患者相关信息，以及写入或者修改数据信息等。

对于上述应用场景，可以运用工厂方法模式来构建相应类，实现数据库的“连接生成”和“访问操作”相分离，也就是创建型模式中类的“创建”和“使用”相分离。

如上图所示，首先抽象出一个数据库访问操作类IAccessDb，其内部封装了数据库操作方法：通过患者id查找信息和数据修改方法“getInformationById(String id)”和“executeSql(String sql)”。InpatientDd、OutpatientDb和LabDb为住院、门诊和检验系统数据库访问操作类，分别继承和实现了IAccessDb中的方法，以实现对各自系统数据的访问操作。

同时，设置一个抽象类DbAccessFactory，其内部封装了一个数据库访问操作类生成方法：createDbAccess()、InpatientDbFactory、OutpatientDbFactory和LabDbFactory为具体的工厂类，继承并实现DbAccessFactory类中的方法。在程序实现时，根据需要，可通过生成相应的工厂类来生成需要的数据连接操作类，以隔离不同数据库差异带来的问题。

【作者简介】

吴坤，计算机专业硕士，华中科技大学同济医学院附属同济医院信息中心软件工程师。专业计算机程序员，医疗信息技术推广者，积极参与社会活动，热衷于以信息技术提高医疗行业服务质量和改善患者就医体验。

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：孙鹏】

【编者按】本文作者解放军总医院医疗大数据中心主任薛万国，曾担任解放军总医院计算机室主任。针对工作重心的转变，薛万国主任应邀简要总结了信息中心和医疗大数据中心的异同点。

来源：HIT专家网    作者：薛万国

关于医院信息中心与医疗大数据中心的工作异同点，其实都与创造价值有关。

都要创造价值

对于传统医疗服务方式而言，医院信息化和医疗大数据工作都是创新的途径，都是希望通过新技术应用对既有业务进行改造和创新，由此来创造价值。

IT是医疗领域的外来力量，最终一定要给医疗和管理带来新的价值，否则没有立足之地。

一定要找到大数据不可或缺的价值

从医院信息化建设到医疗数据利用，不同点在于，创造价值的方式和价值的内涵不同。如今，医院信息化的价值很容易体现，比如要做便民服务，开展预约、在线支付，效果立竿见影。

但在医院信息化建设起步阶段，并不是这样的。我刚来医院的那些年，经常会被人问：“你们计算机室在干什么？”现在再不会有人问这样的问题了，因为信息化已经形成了效益，大家已经完全接受了信息化的概念，并认为信息化是不可或缺的。

目前，大数据的价值与医院信息化早期阶段类似，没人觉得离不开大数据。大家都认为大数据是金矿，但问题在于是否挖到金子了，如何让临床和管理离不开大数据，目前还处在摸索的阶段。

大数据应用要形成闭环，产生直接价值

大数据要产生价值，有很多方向，诸如质量管理、科研、辅助诊断等。哪个方向更能带来价值，什么样的运作模式能形成生产线和价值链条，能源源不断地产生价值，形成常态化运行？

比如，我们帮临床做研究，这虽然能体现数据的价值，但我们考虑更多的是，如何把科研成果转化到临床业务和管理业务上去，这样才能更直接地体现出大数据的价值。大数据应用最终要形成闭环，从临床中来，最后回到信息系统中去，直接作用于业务过程。比如：某个疾病的鉴别诊断模型效果不错，要把模型植入到临床工作站中去；再比如：我们基于8万例输血病例，建立了红细胞输注量个性化预测评估模型，准确率接近90%，并已将该模型嵌入医生工作站，实现医生输血申请的智能化管控。

这样的案例还是太少。需要我们不断地探索和反思。如果发现哪个方向有比较好的应用前景，我们就会把更多的力量投入到那个方向上，促使它尽快落地。

总结来看，我们做信息化建设的时候不会纠结于价值，因为信息化踏出的每一步，都能看到价值，信息化纠结的是系统别出问题。但做大数据不是这样，要通过观察和总结，不断地对价值进行反思。

当然，现阶段大数据中心主任的连续性压力没CIO那么大。系统不用7×24小时运转，数据不需要实时在线。从这个角度来说，压力暂时小了。但新的压力主要来自如何开挖好数据这座“金矿”，以持续创造出价值。

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：谭啸】

【编者按】

2019CHINC大会发布的《中国医疗人工智能发展报告》（2019）蓝皮书（以下简称：蓝皮书）是我国第一份系统的医疗AI研究报告。为了让广大同行进一步了解蓝皮书，《中国数字医学》杂志社授权HIT专家网摘编选登蓝皮书部分精彩内容。敬请广大读者关注。

来源：HIT专家网      供稿：《中国数字医学》杂志社

政策与监管的挑战

2017年7月，国务院发布《国务院关于印发新一代人工智能发展规划的通知》，人工智能上升为国家战略，国家对医疗人工智能的发展提出了更高要求。国家的医疗人工智能发展 要求包括提出医学大数据、医学信息化、智能医学等多个方面的具体应用需求，对医疗人工智能基础研究的政策支持，以及对大健康、老龄化等方面的医疗人工智能应用的大力支持。

基于以上纲领性文件，针对医疗人工智能的发展提出具体落实行动，将成为相关部门政策制定的重点，预计将发布一大批具体的推进方略，下大力气促进医疗人工智能领域的发展与提升。2018年以来，围绕医疗人工智能发展的重点政策领域包括：满足民营医院的设备需求，鼓励各级医院采购国产高端医疗设备；着力构建大数据云端医疗数据库，推动医学大数据的开发与落地，大力加强医疗信息化基础建设；鼓励民间资本投资远程医疗和第三方检验中心，全面推进分级诊疗的落地；大力发展网络医学影像平台、高端影像设备、第三方影像中心、大力推进影像信息化等。

技术和人才的挑战

据相关研究，医疗人工智能处在人工智能热潮的中心地位，有非常快的发展速度。医疗人工智能的技术和人才水平高，有可能尽快实现产业化，相关原因包括：第一，医疗人工智能研究机构与国内的各大医院合作开展了科学研究、临床实验、产业转化等工作；第二，医疗人工智能的研究机构众多，包括科研单位、高校、大企业、创业企业等，造就了一大批奋战在一线的医疗人工智能科研机构；第三，医疗人工智能有较好的投资盈利预期，得到资本方面的追捧；第四，医疗人工智能是人工智能应用的热门领域，在多种维度的医学图像识别领域，拥有丰富的技术和设备等资源。

医疗人工智能的快速发展来自迅速增长的医学大数据规模、快速提高的GPU速度和医疗人工智能理论基础的飞跃，决定于医疗人工智能的算法、算力、数据等关键技术因素。其中，深度卷积神经网络非常适用于医疗人工智能的临床场景。通过卷积神经网络方法，深度学习就能从医学影像中找出许多非常繁杂且不可能详尽描述的医学影像特征。

我国医疗人工智能应用的最热门领域是医学影像，数据取决于医学设备的人工智能应用程度，其核心是芯片技术。当前人工智能芯片的技术路径主要有三种类型：一是美国谷歌等企业布局的基于专用处理器ASIC架构的人工智能芯片；二是美国英伟达等企业布局的基于GPU架构的人工智能芯片；三是美国英特尔等企业布局的基于GPU架构的人工智能芯片。

现阶段，医疗健康领域已经成功使用了CPU、GPU、ASIC等人工智能芯片，使医疗器械更加智能化，极大地提高了医生们的工作效率和工作质量，大大方便了患者的就诊与治疗。  

数据库建设的挑战

医疗人工智能的大发展推动健康大数据时代的来临，全球医疗数据呈现爆炸式增长的趋势。医疗健康行业的数据量非常大，建设中的三个“国家医学数据中心”的量级都在EP级别，单个患者的医疗全过程数据也达到TB级别。

在医疗人工智能领域，获取和标注高质量的医学影像数据有非常大的难度，具体表现在三方面：一是医学影像数据的前处理和标注的代价巨大；二是医学影像数据获取的代价巨大。三是我国幅员辽阔、人口众多，基层医院和研究型医院的差异巨大。医疗人工智能算法和软件的泛化能力面临巨大的挑战。

政府、医院等各方面需要携手合作，解决获取医学影像数据代价巨大的问题。从政府层面来讲，由国家卫健委牵头的国家健康医疗大数据中心正在修建之中，预计建成以后数据储量为1000ZB。国家健康医疗大数据中心的构成方式为 “一个国家中心，三个国家队”，即该中心包括中国健康医疗大数据股份有限公司、中国健康医疗大数据产业发展集团公司和中国健康医疗大数据科技发展集团公司三个主体。国家健康医疗大数据中心的数据中心包括华东数据中心、华北数据中心、东北数据中心、西南数据中心和各省市级中心，其中各省市级中心的设置地点包括宁波、山东、四川、江西、辽宁、广东、贵州、甘肃、安徽、黑龙江、 云南、内蒙古、陕西。国家健康医疗大数据中心的建设将极大推动我国医疗人工智能事业的迅速发展。

商业模式与运营的挑战

医疗人工智能企业如何获得利润？这是社会各方面，包括政府部门、投资机构、医疗人工智能企业、医院、医疗人工智能运营机构共同关注的问题。

随着医疗人工智能的不断发展，多款医疗人工智能产品已经开发出来，包括基于眼底照片的糖尿病筛查、基于薄层CT的肺部结节筛查等。这些医疗人工智能产品即将获得国家许可， 其走向市场可能的商业途径主要包括两个方面：

第一，将医疗人工智能产品出售给大型运营机构，包括政府部门、投资机构、医疗人工智能企业、医院、医疗人工智能运营机构，实现盈利；

第二，与第三方运营机构，包括政府部门、投资机构、医疗人工智能企业、各级医院、医疗人工智能运营机构合作，实现盈利。

法律与伦理的挑战

（1）成果转化周期长、难度大

针对医疗人工智能产品的审评与注册问题，2014年2月，原国家食品药品监督管理总局发布《创新医疗器械特别审批程序（试行）》（食药监械管〔2014〕13号），对符合相关规定的创新医疗器械设置快速审批通道。

（2）医疗人工智能数据保护

医疗人工智能软件需要大量使用数据，包括训练数据和患者临床的数据。在美国，医疗人工智能产品需要符合《隐私法案》及HIPAA的规定。但是，我国尚未出台相关法律，医疗人工智能的数据保护工作还没有法律规定可以规范。关于医疗人工智能软件牵涉的患者临床数据的安全保障规定，可以参考我国颁布的《网络安全法》第四十一条和第六十四条。

（3）法律法规滞后，监管无法可依

医疗人工智能产品的注册、使用、监管等法律法规正在制定之中，有待完善。为加强医疗器械产品注册工作的管理、指导和技术审评工作，原国家食品药品监督管理总局制定了相应医疗人工智能产品的注册指导原则。国家卫生健康委、国家发改委、工信部等机构也在积极调研、起草和制定医疗人工智能产品的使用、监管等法律法规，确保医疗人工智能造福于民。

（4）医疗人工智能的知识产权判定

在我国现有的法律体系中，医疗人工智能的知识产权还难以清晰判定。我国的知识产权判定依据的主要法律是《著作权法实施条例》，尚没有对医疗人工智能的知识产权的判定做出详细规定，在实践操作中有相当大的难度。

（下期专栏预告：医疗AI前景展望与预测分析）

相关链接：

《中国医疗人工智能发展报告》（2019）蓝皮书是由国家卫生健康委医院管理研究所、《中国数字医学》杂志社联合清华大学珠三角研究院、北京大学智慧城市研究中心、中山大学中山医学院以及国内知名三甲医院共同完成，由社会科学文献出版社出版，是我国医疗人工智能领域的第一份正式出版的系统研究报告。

国家卫生健康委医院管理研究所副所长、蓝皮书主编张旭东介绍，蓝皮书有三大特点：一是具有鲜明的中国特色，与我国医疗AI领域紧密结合，是AI在医疗领域研究成果的汇总，得到了清华大学珠三角研究院、北京大学、中国社科院、中山大学中山医学院、北京协和医院等单位的大力支持；二是经过了大量的调研，不是简单地罗列情况汇编，而是专家们经过调查的研究和心血；第三，蓝皮书是发展的，以后每年都会出版。

附购书链接：《中国医疗人工智能发展报告》（2019）蓝皮书

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：孙鹏】

【编者按】对于“医疗机构医疗大数据平台”及其相关概念，如集成平台、“临床数据中心”、CDR等，很多人对其内涵和外延没有清晰的认识。为此，特邀CHIMA副主任委员、解放军总医院医疗大数据中心主任薛万国对上述概念进行辨析。本系列文章将分三期连载，敬请读者朋友关注。

来源：HIT专家网    作者：薛万国

医疗大数据平台建成什么模样，不是“一刀切”的，要根据医院开展数据服务的范围和类型，去选择符合自己需要的各种功能应用，类似搭积木，也需要量体裁衣。

Hadoop不是医疗大数据平台的“标配”

医疗行业大数据的特点并不见得是“大”。实际工作中，真正围绕某一病种做数据研究时，一般样本数只有几千例，能达到一万例就不得了，有时还有几百例的。

医疗行业大数据的特点，首先是“宽”，数据的种类多，即便是同一种类型的数据也有很多种细分，结构不一样；其次，医疗大数据的质量很重要，要追求数据的质量和完整性。

技术是为应用和需求服务的，什么样的应用决定什么样的技术。要围绕技术特点去构建技术平台，而不是单纯追求“潮流时尚”。医院在构建大数据平台时，一定要因地制宜地选用技术。

我们真正在用数据的时候就会发现，医疗行业大数据其实大多是“小数据”，数据需要清洗、整理、增删改，而Hadoop恰恰在这方面是弱点。传统技术的生态环境非常好，各种各样的工具非常齐全，而且都能互相连接起来。而大数据技术的生态没有传统技术那么成熟，如果采用它，这时候不但得不到好处，反而把用户自己的手脚捆住了。所以在选用技术的时候，不能简单地把Hadoop搬过来就行，更不要一窝蜂地盲从。一说大数据就必须是Hadoop，这也是误解。

当然，也不能简单地否定Hadoop，它有自己的用武之地。Hadoop适合用在哪些地方呢？比如：科研检索的随机性很大，不是按照预设好的路径，而传统的关系型数据库是通过索引的办法来提高性能，不可能提前设定所有检索条件。针对这种随机的检索，关系型数据库的性能就没有那么好，可以用大数据技术。

但是，即使在随机检索这种情况下，也不一定非要用Hadoop。因为还有其他办法可以很好地解决问题，比如ES（Elastic Search，分布式全文搜索引擎）、列数据库等，都能非常好地满足需求。

我们中心到现在还没有用到Hadoop，还没有觉得必须要用它。一般情况下，在不追求性能的时候，我们用关系型数据库也能做得很好。因为很多搜索对时效性的要求并不高，我们更关注的是对建模、处理等其他工具能否支撑得很好。

根据所要开展的大数据服务来选用技术

搭建大数据平台，要根据所开展的数据服务的范围、类别来选用技术。

比如，如果医院只是开展一般的临床病例的检索、分析、日常查询、统计分析，那就需要检索系统、专病库系统，再加上SPSS分析建模的软件就够了。如果医院想做人工智能，那就需要GPU，需要深度学习的框架和工具。如果医院想做深度的结构化，要用病历文本训练模型，也需要深度学习的框架。如果医院要做组学处理、精准医学，就需要相应的组学平台和工具。

如果盲目使用大数据技术，可能一上来就把自己绑死了。大数据应用与传统医院信息化不一样，它在数据分析阶段，不追求数据唯一，数据可以有不同的副本，以多种形式存在。在检索系统里，是一种存在方式；在分析的时候，有另外一种存在方式。当然，原始数据是统一的，出自同一个源头，然后在不同的场景下以不同的形式组织起来。就像不同的场合穿不同的衣服一样，正装、睡衣、运动装都有，各取所需，而不是只有一套。

（下期预告：从CIO到CDO，不变的是创造价值）

【系列文章】

【CHIMA专栏】谈医疗大数据平台及相关概念（1）：从服务角度读懂医疗大数据平台

【CHIMA专栏】谈医疗大数据平台及相关概念（2）：对临床数据中心、CDR、电子病历系统的常见误读

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：谭啸】

【编者按】

医疗信息化建设最主要的任务是规划、设计、开发以及部署医疗信息系统。如何开发设计性能良好的医疗信息系统，对于提高医院临床科室的工作效率和医疗信息化工作水平而言至关重要。

在本系列文章中，笔者将围绕“如何开发性能良好的医疗系统软件”这一主题，并结合自身工作经历，分别从软件系统架构设计、程序开发设计、数据库设计开发、项目管理、典型案例等几个方面分享和总结相关经验和教训。

来源：HIT专家网       作者：华中科技大学同济医学院附属同济医院 吴坤

接上篇：如何开发高性能医疗信息系统（系统架构篇）

在软件产品生成过程中，程序设计属于产品的制造过程，程序设计和开发的好坏直接关系着产品质量好坏。这类似于工业化生产过程中的车间产品制造加工过程，工人师傅的操作、技能以及生产流程等具体细节，都直接影响着产品质量。

在当前“互联网+”背景下，BAT等互联网公司掌握着最先进的软件生产技术，这些公司业务软件系统承受着巨大业务量，比如在每年“双11”期间，淘宝网业务访问并发量数以亿计，远远超过了高性能，甚至达到了超性能。所以，本系列文章在撰写过程中，参考了互联网公司的相关技术。笔者希望医疗软件公司和医疗机构在技术上能向互联网公司看齐，所开发的医疗业务软件能达到互联网应用程序水平，兼具高性能和良好的用户体验。

在软件设计时，特别是对于大规模企业级软件的设计，遵循既定的设计法则，往往总能起到意想不到的效果。因此，软件工程师在开发设计程序时，注重规范和法则往往是开发高质量高性能软件的基础和保障，本篇文章主要探讨软件设计六大法则的应用（由于笔者日常工作主要基于J2EE相关技术开发医疗软件系统，因此本系列文章很多内容主要基于Java面向对象设计）。

单一职责原则

简单来讲，单一职责原则就是一个类只负责一项职责功能。如果一个类T负责实现两个不同的功能P1和P2，当P1需求发生变化而要修改类T时，有可能导致功能P2出现故障，而避免出现这一问题的方法就是遵循单一职责原则。

但在遵循单一职责法则时，会存在功能扩散问题。比如，原先类T实现功能P，后来出现了新的需求变动，功能P被细分为P1和P2，类T也就要随之划分为T1和T2，此时通过修改类T的程序代码来实现这一变化很复杂。在功能不断拓散到无法控制时，就需要对程序进行代码重构。

总体而言，遵循单一职责设计程序，能带来三点益处：

一是明显降低程序类的复杂度，一个类只负责一项职责，其逻辑要比负责多项职责功能简单得多；

二是提高类的可读性，提高系统的可维护性；

三是降低变更引起的风险。如果单一职责原则遵守得好，当修改某一功能时，可显著降低对其他功能的影响。

里氏替换原则

里氏替换原则的定义：所有引用基类的地方必须能透明地引用子类对象。

从定义可看出，里氏替换原则解决的是子类父类继承的问题。医生类T1实现开医嘱功能P1，现在需要对功能P1进行拓展，比如有的医生除了需要“开立医嘱”外，还需要“撰写检查报告”。拓展后的功能P由“开立医嘱”P1功能和“撰写检查报告”功能P2组成，拓展所得的新功能P由医生类T1的子类T2来实现。子类T2在实现新功能P的同时，可能会导致原有功能P1出现问题。

要解决这一问题，就需要遵循里氏替换法则，在设计实现子类T2时，通过新增功能“撰写检查报告”，而不是直接拓展父类T1中“开立医嘱”功能来实现。类T2中继承父类T1中“开立医嘱”功能方法，并新增“撰写检查报告”功能方法，父类中原有“开立医嘱”功能方法并没有发生任何变化（直接继承）。

过度使用继承会带来很多问题，比如带来程序侵入性，导致程序的可移植性降低，增加对象间的耦合性。如果一个类被其他的类所继承，当这个类需要修改时，必须考虑到所有的子类，而且修改父类后，所有涉及到子类的功能都有可能发生问题。对于父类中已经实现好的方法，实际上是一种规范和契约，虽然不强制要求之类严格遵循（子类可重写这些方法），但是如果子类对父类中已实现的方法随意进行修改，就可能造成整个继承体系紊乱。

避免上述问题的方法就是遵循里氏替换法则，当使用继承时，除添加新的方法完成新增功能外，尽量不要重写父类的方法，也尽量不要重载父类的方法。即子类可以扩展父类的功能，但不能改变父类原有的功能。

里氏替换原则包含以下4层含义：

（1）子类可以实现父类的抽象方法，但不能覆盖父类的非抽象方法。

（2）子类中可以增加自己特有的方法。

（3）当子类的方法重载父类的方法时，方法的前置条件（即方法的形参）要比父类方法的输入参数更宽松。例如父类方法参数为INT（数据类型），子类方法参数设置为FLOAT（浮点型数据类型）或者DOUBLE类型（双精度浮点型）。

（4）当子类的方法实现父类的抽象方法时，方法的后置条件（即方法的返回值）要比父类更严格。比如，父类中方法返回FLOAT类型值，子类中返回FLOAT、INT类型值，而不能返回DOUBLE类型值。

在软件开发时遵循里氏替换法则，可以降低程序出错的概率。

依赖倒转原则

依赖倒转原则的定义：高层模块不应该依赖低层模块，二者都应该依赖抽象；抽象不应该依赖细节；细节应该依赖抽象。

依赖倒转最主要的思想是面向抽象编程，而不是面向实现编程。这是因为相对于细节的多变性，抽象的东西要稳定得多。以抽象为基础搭建起来的架构比以细节为基础搭建起来的架构要稳定的多。在面向对象语言中，抽象通常指接口或者抽象类，细节就是具体的实现类，使用接口或者抽象类的目的是制定好规范和契约，而不去涉及任何具体的操作，把展现细节的任务交给他们的实现类去完成。

在实际程序开发时，一般做到如下几点即可：

（1）每个类尽量提供抽象类或接口，或者两者都有；

（2）变量的声明类型尽量是抽象类或接口；

（3）使用继承时遵循里氏替换原则；

（4）任何一个类尽量不要派生于具体实现类。

比如，在系统内部设计一个支付结算类（Payment），该类包含了一个方法支付费用（Pay()），可以将该类设计成抽象接口，然后通过实现该接口来设计具体的现金支付类、银联卡支付类等。因此，每新增一种支付方式，只需通过实现该接口方法设计一个新的支付方式类即可。

接口隔离原则

接口隔离法则的定义：一个类不应该依赖它不需要的接口；一个类对另一个类的依赖应该建立在最小的接口上。

接口隔离原则所表达的含义是在程序设计时尽量建立单一接口，不要建立庞大臃肿的接口，尽量细化接口，接口中的方法尽量少。也就是说，要为各个类建立专用的接口，而不要试图建立一个很庞大的接口供所有依赖它的类去实现调用。

比如，医院财务部门存在窗口结算员、账务审核人员、会计做账人员等工作人员，相应有结算员类、财务审核员类、会计员类。其中，结算员类有收费、退费、查看费用明细等功能，财务审核员类有对账、财务审核等功能，会计员类有会计做账功能。在进行程序设计时，应该为每一个类设计专用接口，而不是设计一个综合接口让所有类去实现。

上图实现了将一个庞大的接口变更为3个专用接口，所采用的就是接口隔离原则。在程序设计中，依赖几个专用的接口要比依赖一个综合的接口更灵活。因为接口是设计时对外部设定的“契约”，通过分散定义多个接口，可以预防外来变更的扩散，提高系统的灵活性和可维护性。

迪米特原则

迪米特原则也叫最少知识原则。简单来讲，就是一个类对自己依赖的类“知道”得越少越好。对于被依赖的类，无论逻辑多么复杂，都尽量将逻辑封装在类的内部，对外除了提供的Public方法，不要暴露任何信息。

遵循迪米特原则可以避免与非直接依赖的类通信，降低类之间的耦合性。但如果需要通信，必然要通过一个“中介”类来发生联系。比如，医院不同科室部门员工不能直接通信，需要一个“中介”类实现不同科室部门员工类之间的联系。但是过度遵循迪米特原则，可能会使程序中产生大量“中介”类，导致系统过于复杂。因此，在程序开发时，遵循迪米特法则要反复权衡，既要降低类之间耦合，也要兼顾到程序简洁性。

开闭原则

开闭原则很容易理解：一个软件实体如类、模块和函数应该对扩展开放，对修改关闭。当软件需要变化时，尽量通过扩展软件实体的行为来实现变化，而不是通过修改已有的程序代码来实现。

在软件的生命周期内，因为变化、升级和维护等原因需要对软件原有代码进行修改时，可能引入错误带来BUG，也可能需要对整个软件进行代码重构。应对这一问题的方法就是遵循开闭原则。开闭原则是面向对象设计中最基本的原则，用于指导设计开发出稳定灵活的系统。深入对比可以发现，开闭原则与前面几项原则有重合之处。

其实，开闭原则本身就是所有设计原则的基础，其他五项原则或多或少都含有开闭原则的思想。遵循前面五项设计法则，也就间接遵循了开闭原则。前面五项原则最核心的思想就是用抽象构建框架，用实现来扩展细节：单一职责原则告诉我们实现类要职责单一；里氏替换原则告诉我们不要破坏继承体系；依赖倒置原则告诉我们要面向接口编程；接口隔离原则告诉我们在设计接口的时候要精简单一；迪米特法则告诉我们要降低耦合。而开闭原则是总纲，告诉我们要对扩展开放，对修改关闭。

开发设计程序，首先要有指导思想和设计法则，遵循法则做事或许不能完全保证开发出功能完善、性能优越的软件，因为软件系统开发还包括算法、数据库、项目管理等很多方面的因素。但是遵循一定的设计法则，能保证少走弯路。就笔者工作经验而言，医疗系统软件有其自身应用场景，适当遵循设计法则将大有裨益。当然，对于经验丰富的工程师而言，可以根据自身需要灵活运用。

【作者简介】

吴坤，计算机专业硕士，华中科技大学同济医学院附属同济医院信息中心软件工程师。专业计算机程序员，医疗信息技术推广者，积极参与社会活动，热衷于以信息技术提高医疗行业服务质量和改善患者就医体验。

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友后提交你的申请哦

（请注明姓名、单位名称、职务、主管技术或产品领域，以便有针对性加群）

【责任编辑：孙鹏】

编者按：自2018年国家卫生健康委员会颁布互联网医院相关政策以来，全国越来越多的省份正在加速推进公立医院互联网医院建设，互联网医院全面进入实战阶段。2019年4月23日，广东省首批22家互联网医院正式上线开展服务。在此，我们荣幸地邀请到广州医科大学附属第二医院信息科科长陆慧菁分别从“医患咨询”、“在线复诊”、“健康管理”等三方面，具体介绍互联网医院建设过程中的常见需求实现和主要问题对策，供广大同行借鉴参考。

来源：HIT专家网    作者：陆慧菁

随着医改政策的推行，国家鼓励医院探索“互联网+医疗健康”新的发展模式。2018年4月，国办发[2018]26号《关于促进“互联网+医疗健康”发展的意见》，首次将“互联网+医疗健康”写入政策，支持建设互联网医院，鼓励积极发展“互联网+”医疗服务。2018年9月，国家卫生健康委、国家中医药管理局联合发布了《关于印发互联网诊疗管理办法（试行）等3个文件的通知》。各省需根据文件要求建立互联网监管平台，并鼓励实体医院同时申报互联网医院。

2019年4月23日，广东省互联网医疗服务监管平台全面启用，我院作为广东省第一批互联网医院正式上线。由于监管平台由各省自建，接入方式和监管内容都有所不同，故不在此论述监管平台接入。本文主要从互联网医院的平台建设、运营问题以及如何改进三个方面谈一下体会。

搭建互联网医院平台需考虑的问题

1．自建或使用公共平台：自建平台关键不在建，而在于运营，医院需要考虑建立运营负责部门，该部门负责组织医生培训、医生排班，还要考虑激励措施、抓医疗质量等，大医院从品牌考虑一般都会考虑自建。如果医院资源有限，又想相应国家号召，可以考虑加入公司已建设的公共平台。

2．患者端建立互联网医院APP或微信服务号：如果医院已有APP实现预约挂号、缴费等功能，可直接增加互联网医院模块。对于没有独立APP的医院，建议使用微信和支付宝，同时加载互联网模块。

3．医生端采用APP或微信企业号：我院原来已经有医生APP，已实现病历及检查检验结果查询等功能，直接在系统上增加互联网模块，医生不需要再重复安装。如果医院已有微信企业号作为OA、物资申领、院内消息推送等，可以把互联网医院医生端挂接在微信企业号。选择哪种模式主要考虑推广和管理方便。

4．是否收费，收费标准和收费模式（按次、按时间段）：收费标准各医院自行设置，不在此讨论，但收费模式可以分按次、按时间段以及按提问个数（如：6个问题一组收费）三种。

5．患者是否需要绑定资料才可以使用：国家对于互联网医疗有明确规定，咨询可以是初诊患者，但慢病处方必须是复诊病人。为了能更精准地给予咨询回复，建议患者绑定资料后方可使用。

互联网医院平台的基本功能

医院互联网医疗平台须具备如下几个基本功能：

1.患者必须阅读并同意须知；

2.提供指定医生咨询和非指定医生两种模式（抢答模式）：适合于急需回复的患者，只针对问题，不挑医生；

3.提供语音、图片、视频上传，为咨询提供更多依据；

4.医生回复后收到公众号的消息提醒；

5.首次回复时间与提问时间间隔大于指定值的咨询，目前时间间隔范围设置为24小时；

6.开设追问与重新发起咨询功能，可便捷地向咨询过的医生发起再次咨询；

7.各种统计，按科室、医生、时间段等不同维度，主要用于医院内部绩效管理。

互联网医院运营中出现的问题

1．如何界定一次咨询完毕：因为咨询利用的是医生的碎片时间，因此医患互动交流与传统的面对面一次性提问不同。患者可能提问几个小时后医生才有回复。虽然双方都有消息推送，但不一定及时看到，就算及时看到也未必能及时处理。系统把结束主动权赋予医患双方，但双方都不愿意主动结束。

问题一：

A医生：本来聊得好好的，我以为他已经问完了，就按了结束，结果患者觉得我故意结束直接给差评，能否系统自动判断凡是看到“谢谢、再见”等字眼就提醒对方可以结束？

问题二：

B患者：我觉得医生说得不错，但我按医生说的做不知道是否有效，所以想着先不结束，一会可能还要问。

问题三：

C医生：患者一开始是问家里大宝的情况，之后又继续问二宝的情况，再后来三宝的问题也来了。

由此导致的结果：医生认为既然系统设置了24小时，那么我就在系统快到时间再回复，免得病人问个不停；患者对医生回复不及时产生不满意。

2.不收费引起的问题：因为不收费，患者同一个问题同时问多个医生，看谁最快回复，造成医疗资源浪费；医生之间对同一个问题回复内容有偏差，患者不知道该信谁，更容易导致另一种投诉。

如何改进互联网医院运营？

针对运营过程中出现的问题，我们对医患咨询模块进行了改良，并增加了如下一些相应功能：

1.查看医生列表：按回复率和职称排序，回复率大于50%则显示高回复率；

2.医生可设置在线状态：患者端查看医生列表时，离线的医生头像显示为灰色，离线时患者无法发起咨询；

3.如医生未回复，每6小时提醒一次，最多三次；

4.医生回复患者24小时后，患者未回复，自动结束该次咨询，结束前一小时对患者推送微信提醒；

5.对咨询内容文本进行相似度校验，提供医生问题浏览，如果无需回复，则可以关闭；

6.采用推文形式，每周推送医生介绍，部分医生采用排班制，仿照网红直播模式在规定时间接受咨询；

7.建立敏感词汇库，自动查验双方对话，规范咨询行为；

8.开启咨询收费，先交费后咨询；

9.退费场景：（1）患者发起咨询后，在医生未回复之前，患者取消订单，此时系统主动退费，并通知患者；（2）医生过期未回复的咨询或医生拒绝的咨询，过期或拒绝后系统主动退费，并通知患者；（3）订单结束后，患者若对收费有异议，提出退费申请后，若后台控制台审核通过，则发起退费，并通知患者。

互联网医院内涵丰富，能打破时间和空间限制，为患者提供更多的医疗服务。在尝试了咨询服务后，我们也完成了慢病管理，包括院前、院中、院后全流程管理以及家庭、社区联动和处方外配，下一篇将详细论述。

【作者简介】

陆慧菁，广州医科大学附属第二医院信息科科长，软件工程硕士，高级工程师。同时兼任广东省健康医疗大数据标准工作组组长、广东省医院协会医院信息化专业委员会副主任委员、广东省经济协会信息分会副会长。

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友后提交你的申请哦

（请注明姓名、单位名称、职务、主管技术或产品领域，以便有针对性加群）

【责任编辑：谭啸】

【编者按】对于“医疗机构医疗大数据平台”及其相关概念，如集成平台、“临床数据中心”、CDR等，很多人对其内涵和外延没有清晰的认识。为此，特邀CHIMA副主任委员、解放军总医院医疗大数据中心主任薛万国对上述概念进行辨析。本系列文章将分三期连载，敬请读者朋友关注。

来源：HIT专家网    作者：薛万国

临床数据中心≠CDR

其实二者起源并不同。临床数据中心，最初来源于CDR（Clinical Data Repository，临床数据资源库），而CDR实际上来源于电子病历系统，因为电子病历系统首先要把数据汇集到一起。在电子病历系统应用水平分级评价中，到五级时一定要实现数据集中，以支撑临床的业务应用，比如医生能看到病人的所有资料、能基于数据做一些临床辅助决策。

但在我国医疗信息化早期，电子病历系统或医生工作站没有考虑统一的CDR模型，没有考虑到数据集成。后来为了弥补这个缺陷，我们做了外挂式的CDR以实现数据集成，并在CDR之上做了360视图，医生可以看到病人的所有信息。虽然医生工作站或原有的电子病历系统看不到所有的数据，但是通过这种外挂式的CDR，间接地解决了病人信息的全视角浏览的问题，但这种方式终归不是电子病历的本意。

总结来讲，CDR的本意应该是电子病历系统的一个构件，是电子病历系统的核心，电子病历系统的功能应该以CDR为中心来建设。从合理的架构上来讲，CDR与电子病历系统应该是紧耦合、一体化的。但由于医疗信息化早期时一些电子病历系统做得不好，所以不得不在后来采用外挂式CDR进行集成。而CDR往往是第三方来提供，电子病历系统、医生工作站都不是CDR厂商开发的，所以就通过360视图来展现。这就导致了现在大家都把这种打补丁的方式当成了标准的方式，认为电子病历系统就应该有一个第三方CDR，并且提供360视图。这其实是一个误解。

360视图原本是医生工作站本身就应该有的，应该是一体化的，不应该是外挂的。如果我们今天再去设计系统，决不能容忍它是外挂的，因为外挂的系统没办法对数据进行紧耦合，很难在医生工作站中进行深度的直接利用。

集成平台和CDR之间相互独立，没有必然联系

前几年，谈到电子病历系统时一定会讲三样东西：集成平台、CDR和BI。我曾经开玩笑地称之为“电子病历三件套”。其实这三者之间没有必然的联系，但却很容易把它们混为一谈。

集成平台像是搭一座桥或建一条路，解决互联互通的问题；而CDR就像个仓库，是存数据的地方，二者完全独立。医院没有建集成平台同样可以建CDR，没有CDR也可以建集成平台。使用了集成平台，但交换的数据没有在应用系统中落地实施集中管理，也不会有CDR。只有把各种应用产生的数据收集起来，才去考虑建CDR。所以，要避免把集成平台和CDR混为一谈，认为集成平台就是CDR，或者集成平台必须有CDR。这也是误解。

那么，CDR与BI是什么关系呢？CDR首先是支撑电子病历系统日常的临床业务，医生要调阅病人的病历，是以患者个体为关注对象。CDR的目的，首先不是面对群体分析，而是以个体为中心，去支撑医生日常诊疗业务。

BI的本质是数据二次利用，通常要围绕某个主题进行数据重构。为了数据挖掘方便，要逐层挖掘，要有维度表、事实表，往往要把数据进行重构。而且BI很少会直接基于CDR去挖掘，因为CDR性能上受不了，功能上也无法支撑。

拨开迷雾，看清临床数据中心

临床数据中心到底指的是什么呢？是原来的CDR，还是面向大数据分析又建了一个数据中心？

经常有人问：“我们医院已经有了临床数据中心，要不要建大数据平台？”遇到这样的问题，要先问清楚他所说的临床数据中心到底是什么。是电子病历系统中支持日常业务的CDR，还是面向分析和数据利用、把数据重组后进行二次利用的“CDR”。

一定要把CDR与面向大数据利用的数据中心区分开。如果是支持日常业务的、支持联机业务处理的，其数据组织方式是不一样的，就不会用到Hadoop、并行处理等技术。

（未完待续，下期预告：搭建医疗大数据平台需要量体裁衣）

【系列文章】

【CHIMA专栏】谈医疗大数据平台及相关概念（1）：从服务角度读懂医疗大数据平台

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：谭啸】

来源：HIT专家网   作者：天津市肿瘤医院  郝尚永

近日，某医院信息科主任给我打来电话，主要吐槽某个软件项目的项目经理，管理能力和协调能力都太差，导致项目进行困难，进度已经大大延期，还需要多长时间才能收尾尚未可知。

经过讨论和分析，我们认为这个项目无法顺利完成，不单单是项目经理的能力问题，销售经理当初的很多不切实际的售前过度承诺，也是非常重要的因素。

产生过度承诺的原因

在很多软件公司中，销售和实施是“两张皮”，分属不同的部门。销售经理只负责售前签单，项目的实施和服务由实施部门负责，由项目经理具体组织实施工作。由此就会产生一个非常现实的问题，也是医院经常遇到的问题：销售经理为了追求业绩签下合同，给了医院过多的承诺，导致许多承诺是超出系统范围根本无法实现，或者是超出时间或价格底线的。

还有一种情况，销售经理给医院的承诺并没有写入到合同中，而只是口头上的承诺，原本只是为了应付医院的，但医院却一定是认真的，到了实施的某个时间，医院把这个口头承诺提出来的时候，项目经理傻眼了，因为往往这个时候发现这类需求又是一个“不可能的任务”，或是短时间不能解决的任务。

这种无法快速满足需求的售前承诺就是“过度承诺”，很容易抬高医院对软件公司的期望，而一旦承诺与实施脱节、不能兑现或者无法短时间兑现，反而会损害公司的诚信，加剧医院的不满，导致项目陷入难产的境地。

软件项目与硬件项目不同，软件的详细需求往往看不见、摸不着，也缺乏明确的参数去衡量软件开发能力。软件的开发和运行受到很多实际情况的制约，而且很多个性化需求是初始软件不能满足的。同一家公司的软件，在每个医院的功能需求都是有差别的。

的确，一个实力雄厚的软件公司是可以通过二次开发和客户化，提出适应医院个性化需求的解决方案。但是，客户化开发需要做的工作和时间，医院往往并不清楚——工作量有多大、由谁来完成、费用是多少、需要多长时间、需要医院如何配合等等。如果销售经理对这类问题谈得过深过细，很有可能影响签单。因此，许多情况下这些问题被有意回避，为项目实施埋下了“地雷或炸弹”。

过度承诺举例

从承诺的方式来说，一般会有如下几种过度承诺：

1.资源承诺

举例：“我保证派10个工程师参加项目组，而且可以保证至少有2个人是驻场实施的。”

实际情况：工程师同时要负责3个项目，两周都不见得能来医院一次。驻场工程师是刚毕业参加工作的，对软件和医院需求都不了解。

2.能力承诺

举例：“我保证工程师都有资深的项目经验和开发能力。”

实际情况：能力有限，开发的查询报表当出现特殊情况时就报表不平；项目经验是几个小项目的经验，感觉是到本院来练手的。

3.价格承诺

举例：“我保证价格已经是最低了，我们是拿贵院作为标杆和样板，不为挣钱。”

实际情况：这个数据接口的开发是不包括在项目合同中的，需要单独增加接口费才能做。

4.范围承诺

举例：“我保证这个功能是可以实现的，绝对没有问题。”

实际情况：这个功能我们公司在别的医院确实实现了，但你们医院的设备不一样，还需要想别的办法；这个功能在合同里是不包括的，需要单独再增加费用和时间。

5.进度承诺

举例：“我保证这个项目可以在1个月之内完成。”

实际情况：项目没完成是因为你们医院科室配合度不够；医保要求1号必须接口升级，我们开发需要先忙医保接口，这个功能需求要往后排期。

6.服务承诺

举例：“我保证安排多次培训直至所有人学会操作。”

实际情况：只有集中教室大课授课，不能到科室单独培训。

医院如何应对过度承诺？

1.将销售经理列为项目实施的必须成员，负责协调资源，避免销售经理过度承诺后不承担责任。

2.将项目合同尽可能细化，明确双方的权利、义务及具体要求，明确项目验收的条件和标准。

3.充分做好项目调研和需求分析，详尽列明需求，包括功能需求、界面需求等，把需求说明书作为附件。

4.说明现状情况，避免厂商以医院的现状不支持为借口。

5.明确售后服务内容，例如培训、缺陷修复、系统备份、升级、各种文档资料等。

6.注意需求变更的风险，在合同中明确需求变更的范围、要求、流程和时限。

7.分阶段交付产品、增加项目监控的频度和力度，多运用可行的办法保证软件质量，避免二次返工。

8.把甲方有权选择项目经理和工程师人选写入合同，要求公司提供项目经理和工程师的简历资料进行筛选。

9.科学制定项目进度表，充分考虑现实情况，做好组织和协调。

10.建立周例会和项目周报制度，并及时向双方领导进行通报，获取上层领导的支持。

【系列文章】

【郝尚永专栏】那些年我们一起踩过的“坑”：吐槽医疗软件开发商之数据库设计

【作者简介】

郝尚永：现任天津医科大学肿瘤医院（天津市肿瘤医院）总务处副处长、高级工程师，2008年6月至2018年10月任计算机网络中心主任。2000年6月毕业于天津大学管理信息系统专业，2012年6月取得天津大学软件工程硕士学位。自2000年7月参加工作一直从事医院信息系统规划构建、设计开发、运维服务、信息管理等工作。

兼任中国医院协会信息管理专业委员会委员、中国卫生信息学会电子病历与医院信息化专业委员会委员、中国医学装备学会数字医疗技术分会委员、中国研究型医院学会医疗和临床科研大数据应用专业委员会委员、天津市卫生信息学会常务理事、天津市卫生健康信息化建设专家等多项学术兼职。

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友后提交你的申请哦

（请注明姓名、单位名称、职务、主管技术或产品领域，以便有针对性加群）

【责任编辑：谭啸】

来源：HIT专家网   作者：美创科技创始人、总经理 柳遵梁

在万物互联时代，全球数据量与日俱增，人们在探究数据价值的同时也打开了数据安全这个潘多拉魔盒。

为什么传统网络安全在数据安全时代开始失效？

虽然已经部署了周全的网络安全措施，但数据安全事件依然不断发生。步入数据安全时代，那些原先有效的安全措施开始失效甚至于无效，这个世界究竟发生了什么变化？

1.日益普及的互联网业务

互联网的飞速发展打破了常规的时间、空间限制，使我们可以服务的人群变得无限多。当然，互联网带来无限多客户的同时也带来了无限多的黑客。在海量的黑客面前，任何细微漏洞都可以被捕获，导致安全风险被无限放大。特别是两个基本假设的成立让我们无所适从：

（1）任何应用程序都会存在漏洞；

（2）黑客总是比用户更早地发现漏洞。

2.肆意泛滥的社交网络

伴随着移动互联网的兴起，社交网络有了新的颠覆性转变。从电子邮件到QQ、微博、微信等，彻底打通了内外部网络，网络边界变得越来越模糊。每个人在社交网络上都存在大量的“最熟悉的陌生人”，他们可以利用我们的信赖轻而易举地进入我们的网络。

3.无限提高的数据价值

从网络安全到数据安全转变的根本原因是数据价值的无限提高。在很多机构，数据已经成为其核心财富甚至是最大财富，甚至有“抢银行不如抢数据”的说法。在数据财富无限快速放大的过程中，数据财富的管理并没有发生本质的变化，基本处于裸奔状态。因此，那些缺乏保护的数据财富在不断诱惑企业的员工、合作伙伴犯错，不断诱惑黑客来攫取。

在现实生活中，我们不会把海量现金放在客厅、广场等公共场合，我们总是小心翼翼地为这些财富施加众多的保护措施，或者委托给更加专业的信用机构（如银行）进行保管。然而，我们现在对于数据财富的处理方式，无异于是把它放在客厅里，甚至是广场上。在数据世界里，我们尚未发现类似于银行之类的机构来保障我们的数据财富安全。

4.数字世界和现实世界的镜像

随着数据价值的凸显，特别是人工智能的兴起，我们正在把现实社会发生的一切进行数字化和数据化。可以预见，在不远的将来，数据世界很快就会成为现实世界的一个投影或镜像，现实生活中的抢劫、杀人等犯罪行为会映射为数字世界中的“数据破坏”。

从可信任验证体系走向“零信任”安全体系

1.可信任验证和零信任体系并存的生活

人们大部分时间生活在可信任验证体系中，每个人可以自由处理自身拥有的财富以及其他物资。比如：我花钱买了个茶杯，可以用来喝茶，也可以用来喝咖啡，或者把它闲置起来，或者干脆作为垃圾处理掉，我拥有处理这个茶杯的权利。在大部分生活场景下，我们都采用类似方式来处理财富、物资甚至关系。

但是，当财富或者物资的影响力大到一定程度时，我们往往需要采用另一种形式来处理。比如：价值连城的古董，虽然你花钱购买了它，但是你并没有权利随意将它打碎；山林绿化，虽然山和林都是你的，但是你并没有自由砍伐权。可见，当涉及到大宗利益和公共利益的时候，往往是另一种机制在发挥作用：零信任机制。比如战略情报、重大选举、法律规章制订、多重鉴权（权限审批）等，都是基于零信任体系的运行机制，其前提假设就是没有人可以被天然信任。

2.传统IT系统中的可信任验证体系

传统IT系统（如操作系统、数据库以及其他各类信息化系统）几乎都严格遵循了类似生活中可信任验证的安全设计理念：每个人对于自己所拥有的一切具有任意处置权。比如：在Oracle数据库中，Schema账户对于存储在Schema下的所有对象拥有任意处置权，可以任意查询、更新、删除和清除。DBA账户作为整个数据库的拥有者，对数据库的所有对象具有任意处置权。

这种处置理论看似正确，细思极恐，你会发现这种处置方式非常“荒唐”，在很大程度上依赖于人性，即遵纪守法的自觉性等。DBA只是一个管理数据库的人，而不是处置数据的人。正如一个仓库管理员，仅仅只是负责仓库的清洁、温湿度、安全等事宜，而对于仓库中的谷物、物资等并不具有处置权。而Schema账户则类似于一个仓库，数据和代码只是需要一个仓库存放而已，仓库管理员不应该对放置在仓库中的物资具有任意处置权。

虽然这套基于传统账户的安全体系在相对可信任的内网环境具有很好的生存空间，但是在本质上存在着概念混淆。这套体系很容易混淆了账户和身份的区别，账户只是信息系统的一个登录凭证和引用凭证，而身份则是现实生活中的人，两者之间基本上是割裂的。在真实的数据库实践中，账户更多的仅仅是作为数据库对象存储的容器，而不是作为身份。这种混淆最终使生活中可信任验证体系中的核心身份模糊化。现代网络环境中的身份安全性越来越差，这种模糊性最终导致了传统网络安全体系的不可延续。

3.走向零信任安全体系

走向零信任安全体系主要受到两个方面的推动：

（1）互联网、移动互联网和社交网络已经把世界上的每一个人都联系在一起，突破了时间和空间的限制，网络边界变得越来越模糊，实际上已经不存在安全的网络。因此，以账户为基础的安全体系无以为继，需要把账户转变为身份才可以在这种网络中安全生存。

（2）现实生活中涉及巨大价值或巨大公共利益时，往往通过零信任体系而不是通过可信任体系来解决。数据的价值今非昔比，近几年其价值在不断放大，数据的托管性和多面性总会涉及众多的公共利益。参照现实模型，零信任安全体系可以作为最恰当的数据安全体系架构。

“零信任”安全体系的四个基本原则

当数据构成我们的财富和核心竞争力时，传统的可信任体系面临巨大挑战，无法满足用户数据安全的需求。我们需要构建零信任体系，以管理战略情报的思维来管理数据。

零信任安全（或零信任网络、零信任架构、零信任）最早由约翰·金德维格（John Kindervag）在2010年提出。而美创科技也在2010年并行地提出了零信任安全体系并加以实践，是全球最早的零信任安全体系架构构建者和实践者。美创科技在多年的零信任实践中形成了系列的零信任安全体系的基本原则和实践原则。

在零信任安全体系构建中，美创科技遵循四个基本原则：

1.灯下黑

不会被发现就意味着不会被攻击，纵然我们的业务和系统充满着各种各样的安全漏洞。比如隐形战机的速度慢、防御差，但是受到攻击的几率不高。灯下黑放弃了传统的对抗思路，让我们在黑客扫荡式的互联网攻击中免疫。

2.与狼共舞、带毒生存

在网络边界模糊的今天，假定我们的网络总是被攻破，网络内部总是会存在“坏人”，我们需要在一个充满“坏人”的网络环境中确保关键资产不会受到破坏和泄露，确保关键业务不会受到影响。

3.不阻断、无安全

入侵者或破坏者往往只需几秒到几分钟就可以对关键资产和关键业务造成破坏和影响。除了极个别专业机构之外，绝大部分机构都无法对入侵做出快速响应。即使机构具有这个快速响应能力，其巨大的快速响应成本也是绝大部分机构所无法承受的。我们需要在事件发生之前阻断事件的发生，在无须部署快速响应能力之下做到最大安全。

4.知白守黑

如何识别“坏人”一直是传统网络安全的核心命题，我们通过日积月累的“坏人库”来勾画各种“坏人”的特征。遗憾的是海量的“坏人”特征依然无法更好地帮助我们识别出可能的“坏人”。知白守黑从另一个角度去看待“坏人”，我们不去勾画“坏人”的特征，而是去勾画“好人”的特征，不符合“好人”特征的就是“坏人”。从业务的角度来看，“坏人”的特征是无法穷尽的，而“好人”的特征在特定场景下是可以穷尽的，知白守黑可以更好地保障数据安全和业务安全。

零信任安全体系的实践原则

1.从保护目标开始，知道保护什么才谈得上安全。

很难想象，在连保护目标都不知道的情况下如何保证安全性。当你不知道保护目标的时候或者保护目标虽然知道但是不可描述的时候，你只能竭力去识别可能的“坏人”，你只能进行面面俱到的通用防护，或者对于臆想中的攻击进行场景式防御。

数据安全不同于网络安全，它定义了一个明确的保护目标：数据。每一份数据都有其固有的特征和行为，我们可以围绕着这些固有的特征和行为来构建保护和防御体系。

2.保护要由内而外，不是由外而内。

当我们明确定义了数据是保护目标时，由内而外的保护就成为我们自然的选择。越靠近数据的地方，保护措施就越健壮，这是一个常识性认知。由内而外的层层保护都本着相同的目的——更加有效地保护数据安全。

3.以身份为基础而不是以账户为基础。

定义数据本身访问的时候，并非以账户为基础。账户仅仅是一个信息化符号，是访问数据库、业务、操作系统等的一个凭证，但并非是访问数据的凭证。我们总是尽可能以接近于人的真实身份来定义数据的访问，定义某个人或者某个身份可以访问特定的数据。或者定义特定的数据可以被特定的代表身份的规则所访问。

4.知白守黑，从正常行为和特征来推断安全。

当我们明确了保护目标的数据时，发现访问数据的正常行为是可以被定义和穷尽的。因此，所有在穷尽的访问定义列表之外的访问都是不合规、不安全的。而且，通过对于历史访问行为的学习，可以刻画出正常访问的特征，不符合正常访问特征的访问行为都是不合规的、不安全的。

5.消除特权账户。

消除特权账户是零信任安全体系建设的前提条件。引进多方联动监督制约机制，是零信任安全的基础。

【作者简介】

柳遵梁，杭州美创科技有限公司创始人、总经理。毕业于中国人民解放军信息工程大学，中国（中关村）网络与信息安全产业联盟理事，中国信息协会信息安全专委会数据安全工作组组长。拥有二十年数据管理和信息安全从业经验，在通信、社保、医疗、金融等民生行行业积累了大量实践经验。具备长远战略眼光，准确把握技术发展趋势，持续创新，带领公司完成运维、服务、产品多次转型，均获得成功。目前公司已经完成全国布局，成为国内重要的数据安全管理综合供应商，个人著有《Oracle数据库性能优化方法论和最佳实践》书籍，多次发表学术文章。

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：谭啸】

来源：HIT专家网      供稿：《中国数字医学》杂志社

【编者按】2019CHINC大会发布的《中国医疗人工智能发展报告》（2019）蓝皮书（以下简称：蓝皮书）是我国第一份系统的医疗AI研究报告。为了让广大同行进一步了解蓝皮书，《中国数字医学》杂志社授权HIT专家网摘编选登蓝皮书部分精彩内容。敬请广大读者关注。

接上篇：《医疗AI的起源和未来》

政策现状

2015年以来，我国出台的涉及医疗人工智能的主要政策文件有《国务院关于积极推进“互联网＋”行动的指导意见》（2015年7月）、《中华人民共和国国民经济和社会发展第十三个五年规划纲要》（2016年3月16日）、《国务院办公厅关于促进和规范健康医疗大数据应用发展的指导意见》（2016年6月）。此外，《“十三五”国家科技创新规划》（2016年7月）、《智能硬件产业创新发展专项行动（2016～2018年）》、《“十三五”国家战略性新兴产业发展规划》、《“互联网＋”人工智能三年行动实施方案》等相关文件，都有关于人工智能在医疗健康领域应用的内容。

2017年，“人工智能”首次被写入我国的政府工作报告，并上升为国家重要战略。同年７月，国务院发布《国务院关于印发新一代人工智能发展规划的通知》，各省份相继出台当地人工智能发展规划。12月14日，工业和信息化部发布《促进新一代人工智能产业发展三年行动计划（2018～2020年）》，具体落实规划内容。

2018年４月，《国务院办公厅关于促进“互联网＋医疗健康”发展的意见》等文件的发布推动医疗人工智能研究和应用进入高潮。全国各省份积极响应国家政策号召，发布了多项与医疗人工智能应用相关的政策文件，截至2018年10月，各省份医疗人工智能政策发布数量达到峰值。

通过各地区政策发布数量可以看出，华东和华北地区医疗人工智能发展较快。华东地区以长三角为依托，以江苏、上海和浙江为代表，该地区经济发展实力强大，技术创新资源雄厚，为医疗人工智能的发展提供了有利条件。华北地区以京津冀为依托，这里拥有众多科研机构、科研院校和创新创业园区，会集了大量高科技人才。京津冀地区利用其独有的知识资源优势，带动人工智能在医疗健康产业中的发展。

临床应用研究现状

根据相关机构的研究报告，近两年，我国“人工智能+医疗”市场规模快速增长，获得投融资的医疗人工智能创业企业数量和资金量上升。然而，我国医疗机构应用人工智能技术的态度和现状如何，尚缺乏数据。

本书以国家卫健委网站公布的二级以上医疗机构目录为依据，通过抽样调查（共发放问卷300份，最终收回有效问卷213份）发现：

①我国各级医疗机构对于人工智能的应用表现出积极的态度，并对利用人工智能提升诊疗水平寄予厚望，但在医疗人工智能实质性投入方面，大部分仍呈观望态势；

②医疗人工智能技术应用水平呈现明显的区域差异，表现为我国三级医院人工智能技术应用程度远高于二级医院，人工智能应用和建设程度呈现区域阶梯状，即东部＞中部＞西部，基层医院和偏远地区医疗机构在医疗人工智能应用方面尚处于落后状态；

③在已有的临床应用研究中，自然语言处理技术应用程度最高，结构化数据补充成为其主要用途，影像辅助诊断技术中CT、肿瘤应用范围最广，技术成熟度最好，辅助诊断方向是医院最为关注的应用领域；

④由于在标准制定、产品落地等方面存在短板以及复合型人才短缺，医院的人工智能应用和建设主要采用“拿来主义”模式，希望用产品购买的方式直接获得医疗人工智能应用的成熟产品。

学科发展和技术现状

在科技产出方面，近10年我国医疗人工智能领域中文科技论文发文量逐年快速增长，说明医疗人工智能是我国学者重点关注的研究领域。通过医疗人工智能领域中文科技论文的学科分布情况可以看出，我国医疗人工智能领域中文科技论文涉及的主要学科包括生物医学工程、自动化技术、临床医学、肿瘤学和计算机软件及计算机应用等。

我国医疗人工智能领域外文科技论文产出在2008～2016年呈现线性增长趋势，截至2017年，我国医疗人工智能领域外文科技论文产出累计达到34655篇。发文量排名前５的机构为中国科学院、上海交通大学、浙江大学、清华大学和香港中文大学。医疗人工智能领域外文科技论文涉及的学科主要为计算机科学、数学计算生物学、工程、数学、放射学、核医学等，其中在计算机科学领域发表的科技论文数量最多，为32359篇，放射学、核医学等医学图像处理领域的发文量为18480篇。此外，医疗人工智能科技文献也出现在生物化学、分子生物学、细胞生物学、遗传学、肿瘤等医学学科中。

近10年来， 医疗人工智能领域的专利申请和专利公开都呈现逐年增长的趋势，2017年的专利数量和申请人数都有较大幅度增长，能够确定当前该技术领域正处于技术成长期阶段。其中，广东、江苏、北京、上海和浙江的医疗人工智能相关专利申请量都在200项以上，说明这五个省市是医疗人工智能领域技术研发的核心区域，其中广东省的专利申请量更高达453项，居全国首位。

产业现状

向300多家医疗人工智能企业发出调查问卷，回收有效调查问卷45份。调查发现，超过75％的企业处于融资的不同阶段，只有25%的企业不需要融资，因此资本是现阶段行业发展的重要推动力。调查中，2018年有12家企业累计融资金额1亿～10亿元，而2016年基本融资金额最多只达到千万元级，可以看出资本持续看好医疗人工智能行业的发展，整体投资处在加速阶段。目前医疗人工智能应用按场景可分为医学影像、辅助诊疗、虚拟助理、健康管理、智慧医院等。

当前阻碍医疗人工智能发展的因素中企业选择最多的五个因素是：缺少医疗人工智能复合型人才、医学数据标注及共享困难、缺少多病种病症的国家标准数据库进行模型验证、商业模式及各方权责不明确、缺少合作的医疗机构。超过50%的企业表示其产品已经在全国数十家甚至上百家医疗机构进行临床研究，由于产品认证的问题，大部分应用都是服务科研，即使应用于临床也只是给医生诊断提供参考。

社会认知和伦理现状

采用问卷调查法，随机调查了224个城市的2500位不同年龄、职业人群，了解我国民众对医疗人工智能的认知现状。目前，民众对人工智能在医疗领域的影响力感受度偏低，但对医疗人工智能持支持态度的占比达到78.44%，整体抱有相当大的期待。民众认为人工智能在医疗领域应用的最大优点是提高诊断效率，但对智能仪器应变能力也存在担心。医学影像是民众最能接受的人工智能医疗应用领域。大多数人认为医疗人工智能未来的发展趋势是医疗人工智能与传统模式相结合。

我国尚未出台医疗人工智能应用的伦理性的相关文件。根据关于我国居民对人工智能的伦理认知的调查，当医生和人工智能的诊疗意见不一致时，更多人选择相信医生。超过半数的人认为现阶段不可以赋予人工智能医生法律主体资格，并认为当人工智能技术造成医疗损害时，应厘清医生与设计者、制造者、人工智能等各方的责任，让相关责任方承担应尽的责任。

（下期专栏预告：医疗AI所面临的问题和挑战）

相关链接：

《中国医疗人工智能发展报告》（2019）蓝皮书是由国家卫生健康委医院管理研究所、《中国数字医学》杂志社联合清华大学珠三角研究院、北京大学智慧城市研究中心、中山大学中山医学院以及国内知名三甲医院共同完成，由社会科学文献出版社出版，是我国医疗人工智能领域的第一份正式出版的系统研究报告。

国家卫生健康委医院管理研究所副所长、蓝皮书主编张旭东介绍，蓝皮书有三大特点：一是具有鲜明的中国特色，与我国医疗AI领域紧密结合，是AI在医疗领域研究成果的汇总，得到了清华大学珠三角研究院、北京大学、中国社科院、中山大学中山医学院、北京协和医院等单位的大力支持；二是经过了大量的调研，不是简单地罗列情况汇编，而是专家们经过调查的研究和心血；第三，蓝皮书是发展的，以后每年都会出版。

附购书链接：《中国医疗人工智能发展报告》（2019）蓝皮书

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：孙鹏】

【开栏语】本文作者朱杰先生是医疗信息化领域的一名老兵，既有传统医疗信息系统的从业经历，也有医疗健康大数据的职业履历。从今天开始，朱杰在HIT专家网开设专栏，围绕业界关心的医疗健康大数据话题展开讨论。敬请关注。

来源：HIT专家网    作者：朱杰

上大学的时候读亚当斯密的《国富论》，深感通篇文字晦涩不堪。当看到亚当斯密冷冷地说“我们的晚餐并非来自屠宰商、酿酒师和面包师的恩惠，而是来自他们对自身利益的关切”，顿时觉得老爷子理智得有些冷酷。很多年之后，发现亚当斯密还写过《道德情操论》，详细阐述了人类社会得以维系是以同情心为基础的道德体系的作用，一如孟子所说：恻隐之心人皆有之。作为一个十八世纪的学者，亚当斯密能够同时对道德的巨大作用及其在社会经济形态中表现出的局限性分析得丝丝入扣，是我们很多现代人都做不到的。

这种两面性和局限性在医学领域则以另外一种形式呈现出来。

医学的双层三角关系

医学在其发展的初期，更多地体现出其非经济学的一面，范仲淹说：“不为良相便为良医”。或者能经天纬地，治理整个国家；或者能悬壶济世，拯救黎民苍生。医生与患者之间、与医馆之间的关系更像是协作关系，而非买卖关系。

到了现代社会，医疗健康的格局变得更复杂：先是工业化将药品、器械、设备行业提升为医疗健康行业的重要参与者；接着是城市化将医疗保险机构独立出来，作为行业的主要支付者；最后是政府从安全、有效、伦理、合规、公平的角度将医疗健康行业变成一个强监管行业。

内层的患者、医生、医院“小三角”关系更多地承载着“医者仁心”的传统价值观；而在外层，政府、保险、药厂（其实还包括医疗设备和器械生产商）的“大三角”中则更多在卫生经济学层面进行着博弈。

在“医疗卫生行业是不是要市场化”、“目前是过度市场化还是市场化不足”之类的争论中，很多基本逻辑迷失就是不能承认上述的双层三角关系，尤其是不能分辨内层的伦理因素和外层的经济驱动之间的本质不同。

虽然最近几年的诺贝尔化学奖基本上都发给了医学技术突破（不用担心，诺贝尔医学奖还是发给医学成就的），现代社会的医学内核不断在与外层技术经济的互动中碰撞前行。在医疗改革中我们也引入“三医联动”的概念，强调外层机制对医疗内核的强大影响力，以及部分医改问题应当着力在外层解决。

医学经典的《希波克拉底誓言》是“小三角”范围内起作用的内层价值，药品福利管理（PBM）是“大三角”范围内起作用的外层价值。我们不会用《希波克拉底誓言》去要求制药企业，也不会有患者在具体处方制剂选型上和医生坐地谈判，这是正常人的逻辑。

医疗大数据的双层价值转化

对于医疗大数据来说，经过四年多风口浪尖的洗礼，越来越多的人开始问数据价值如何转化？我想说的是：“求仁得仁。”您问的是医疗价值转化，还是商业价值转化？

对于前者，大家讨论的是如何帮助医疗机构高效运行，如何帮助医生准确决策，如何支持患者积极治疗；对于后者，我们对大数据的期望是如何让医保基金使用少一些跑冒滴漏，如何让药品在研发、生产、审核、配送等环节中少一些等待浪费。

在内环和外环，医疗大数据的应用场景正在逐渐落实，并在局部已经取得了成效，比如IBM的沃森，在生成肿瘤治疗方案这个场景上还是有价值的。但是求仁得仁，不要太指望一个内环的大数据产品或者解决方案能够在商业上大红大紫。如果真的能成功，一定是医疗服务的内核出了大问题，比如：莆田系的互联网广告，据说也是个不错的数据产品呢。

投资人的钱是要有商业回报的，如果各位已经用投资人的钱启动了医疗健康大数据项目，那么务必把价值兑现这件事情放在外环。如果您做的是病种风险分析，请考虑医疗健康保险的风险控制和产品定价应用；如果您做的是可穿戴设备物联网采集，请关注如何用自动采集的生命体征数据建立一个促进参保患者处方依从性，进而降低保费的带病参保产品；如果您关注的是环境数据与疾病谱变化相关分析，那么您的数据模型商业价值可能在相关药品的医保目录定价和适应症范围调整；如果您的算法能够发现大量人群的药品敏感性分布，那么在药品上市后的真实世界研究中将大有作为。

400年前亚当斯密老爷子已经左手《国富论》、右手《道德情操论》，左右互搏清醒冷峻而不失温存地建立了现代经济学。今天，我们分析医疗健康大数据资源与价值兑现的时候，不妨内环讲情怀、外环讲回报，在一个更大的格局中践行自己的初心。

（下期预告：技术选型到业务转型：大数据能力模型）

【作者简介】

朱杰：北京医渡云技术有限公司高级产品总监。2002年毕业于北京大学光华管理学院工商管理硕士，曾任泰达国际心血管病医院CIO，通用电气（中国）医疗集团集成信息产品部亚洲区产品经理，北京嘉和美康信息技术有限公司副总经理、市场部总经理。

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：谭啸】

【编者按】对于“医疗机构医疗大数据平台”及其相关概念，如集成平台、“临床数据中心”、CDR等，很多人对其内涵和外延没有清晰的认识。为此，特邀CHIMA副主任委员、解放军总医院医疗大数据中心主任薛万国对上述概念进行辨析。本系列文章将分三期连载，敬请读者朋友关注。

来源：HIT专家网    作者：薛万国

医疗信息化行业不缺概念，不断有新概念出现。但是，新概念出来之后，往往它的内涵和外延都不十分清晰。在很多情况下，我们在说同一个概念或术语的时候，每个人心里想的是不一样的。

对于“医疗机构医疗大数据平台”及其相关概念，如集成平台、“临床数据中心”、CDR等，同样可能存在这样的困惑。所以，有必要对这些概念的内涵做一些探究。

平台即服务

什么是平台？我想，简单地说，平台就是服务。IT平台或者非IT平台，都是如此。

例如，计算机操作系统是平台，管理所有硬件资源，为上层应用提供一系列的调用服务，比如文件管理、CPU和内存的调度服务等；集成平台提供围绕集成的一系列服务，包括：接口、消息的路由分发、缓存、格式的转换等。

在非IT平台中，比如孵化平台，为企业提供各种公共服务。所以，平台即服务。

医疗大数据平台是个很大的概念，与集成平台不一样。集成平台是功能和内涵都相对明确的一个系统，但医疗大数据平台的概念和内涵，需要进一步辨析。

狭义层面：医疗大数据平台是个庞大的工具和系统的集合

医疗大数据平台，可以看作是围绕医疗大数据利用的全过程而提供的服务。它的内涵很多，包括数据采集、整合、处理、建模分析、展现等，平台要围绕这些环节提供所需的服务。

与集成平台相比，医疗大数据平台的功能谱系更为广泛。比如，数据分析要用SPSS、可视化分析等服务；前期数据的整合、预处理等，还包括要做数据的转换，能把非结构化数据抽取出一些结构化的特征；如果需要处理影像、组学等数据的话，医疗大数据平台还要有影像数据处理服务，基因数据的拼接、比对等能力；另外，数据处理要用SQL，建模要用R语言，深度学习要用谷歌的TensorFlow等。这些都是医疗大数据平台应该提供的服务。

所以，医疗大数据平台提供的服务内涵很复杂。医疗大数据平台不是一个系统，更不是某个单一厂商的产品，而是一组开展医疗数据利用的工具的广泛集合。

要避免把大数据平台简单化为一个“项目”、一个“系统”。医疗大数据平台怎么建设和选型？是不是买一个“大数据平台”就行了？当然不是。大数据平台的建设是个复杂的过程，需要涵盖的内容很多，涉及的技术也很多，不能指望一次性投入买个系统就建起来了。

《医疗机构医疗大数据平台建设指南》一书中所说的“医疗大数据平台”更多的是狭义的技术层面。在狭义层面上要认识到，它是庞大的工具和系统的组合，内容十分丰富，不会是单一厂商提供的单一系统。

 “医疗大数据平台”与“医院信息系统”的概念有点相似。我们很难说“医院信息系统”就是一个“系统”，宏观上，它是一个系统；但微观上，它实际上是个异构的、多元的、由几十个甚至上百个厂商产品构成的系统。

广义层面：医疗大数据平台包括技术和人工

从广义来讲，医疗大数据平台与医院信息系统的软件又不一样。医院信息系统软件建起来，用户去用就好了，医院信息系统的业务是日常不停运转的；而大数据的利用形式是数据研究，是围绕某一临床或管理问题的数据研究，这类研究都是个案型的，需要专业人员的 个性化服务。

归根到底，大数据的利用是一种服务能力。除了在技术层面上要有支撑应用活动的各类工具外，还要有非常重要的一个内容——人工服务。人工服务也是平台的一部分，否则开展不了相关业务。

所以，从广义上来讲，医疗大数据平台至少包括两个层面：技术和人员，二者缺一不可。

（未完待续，下期预告：关于临床数据中心、CDR、电子病历系统的常见误读）

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友

（请务必注明姓名、单位名称、职务、主管技术或产品领域等实名信息）

【责任编辑：谭啸】

来源：HIT专家网      记者：朱小兵

自2017年底以来，勒索病毒就萦绕在中国医院的上空。一些医院中招的坏消息，让更多大型公立医院瞪大了眼睛。“守土”有责的医院CIO们，不打算做待宰的羔羊。

7月4日至6日，2019年中国医院协会信息网络大会（CHIMA2019）在厦门举行。北京数字认证股份有限公司（简称：数字认证）在这场浩如烟海的HIT业界交流盛会中，首次提出了具有现实意义的新主张——“零信任”环境下建设医院网络可信体系。医院迫切需要从网络安全的底层着手，提升医疗行业对密码技术的认知和重视，加速推动国产密码在医疗行业的应用，从而构建起可信的医院网络体系，应对“零信任”环境的安全挑战。

以密码为基石，建立网络安全空间可信体系

在7月5日下午举行的“新医疗新场景、新需求新安全”卫星会上，多位来自国家相关主管部门的安全专家、医疗信息主管围绕日益严峻的医院网络安全形势热烈交流。

CHIMA主任委员王才有致辞时说，医院网络安全的需求正在改变。新医改政策、健康中国战略，对于医疗服务提出了全方位、全周期的目标，健康医疗数据大量产生、存储、利用的环境更加多元和开放，催生新的安全问题和需求，传统以“防、堵、查”为主的网络安全手段不足以应对今天的挑战。

国家密码管理局商用密码管理办公室副主任霍炜认为，在网络空间保持医疗行业这个子系统的安全，具有现实意义。密码在传统上主要用于加密，其实密码在网络空间安全方面的作用在于安全认证。目前包括医疗在内的很多传统行业，对于密码的远远认知不够。密码具有保密性、真实性、完整性、不可否认性，是保障网络安全的关键手段。我国国产密钥已经十分成熟，具备超强加密能力。医疗行业应以国产密码为基石，构建“互联网+医疗健康”时代医院网络安全空间的可信体系。只有利用密码才能真正实现可靠的电子签名，并作为有效的法律证明。“互联网催生了健康医疗新业态。新兴信息技术的应用是一把双刃剑，用得好是强健机体，用不好就是恶性肿瘤。如果没有密码支撑网络安全，医学人工智能的机器学习数据一旦被恶意篡改，智慧医疗就会变身智能杀手。”霍炜说。

2019年5月，网络安全等级保护制度2.0标准正式发布，正式实施时间为2019年12月1日。公安部信息安全等级保护评估中心副主任毕马宁认为，现在是医疗行业大发展的拐点，医疗场景的未来趋势是多元全面态势感知、跨域动态分级诊疗，由此带来网络可信体系的挑战。网络安全等保的基础是密码，基于密码的网络信任支撑网络安全信任，构建可信网络空间。密码构筑了网络身份，“零信任”不是不信任，而是建立可信任的根。网络安全等级保护制度以网络安全法为法律支撑，强调了密码技术在可信计算、可信验证、身份鉴别、数据保护等方面的重要作用。网络信任建设不仅仅是密码基础设施建设，而是与网络服务中各个实体及信息系统紧密相关。网络信任以密码技术为根，保障等保2.0可信环境。身份认证、授权管理、责任认定、数据保护是网络信息体系的核心体现。立足网络空间安全，面向需求，可以基于密码建立有效、方便的网络信任服务，来保障网络安全的可信、可控、可追溯，推进应用安全发展。

密码如此重要，但医疗行业对密码、数字认证的体系认知还须大力普及。北京天坛医院信息中心主任王韬说：“现在看来，医院现在数据有密码保护的太少了，按照最新网络安全等级保护三级以上的要求，主要的数据都要做密码保护。医疗行业离要求的差距还是很大。”

国家卫健委统计信息中心标准处处长李岳峰介绍，医院要通过互联互通成熟度测评，必须通过网络安全三级等保；要通过互联互通成熟度测评5级，就必须有可靠电子签名应用。他透露国家卫健委统计信息中心正在加紧制订两项标准：一是医学电子文档的数字签名的技术规范，二是基于电子病历的数字签名的应用规范，力争在2019年下半年发布。

“零信任”环境下医院网络可信体系建设思路

近年来，数字认证深耕医疗行业，获得行业日益广泛的认可。数字认证董事长詹榜华首次亲临CHIMA大会现场，阐述“零信任”环境下的医院网络可信体系建设思路。

“医院正在走出围墙，医疗业务场景发生了重大变化。2009年，数字认证刚刚进入医疗行业时，网络安全还是以医院为主体，并且假设医院网络安全的前提，是与互联网物理隔绝的。那时候，网络安全是边界保护为主。只要保护好边界，墙里面都是好人、自己人。对内部用户做简单的访问权限就好，访问控制的粒度很粗。这种思路下的网络安全手段，拿到今天的开放网络环境、更加丰富多元的医疗业务场景，比如网上问诊、分级诊疗、远程会诊甚至手术治疗、医生多点执业等，已经很不匹配。很多的安全事故，都是因为医院外部人员享受了内部人员的权利。”詹榜华说。

据介绍，“零信任”的概念最早在2010年被提出，用以描述尝试连接网络的任何用户和任何设备都被当成不可信对象处理的一种安全模型。该模型突出身份认证管理，而不以网络位置来作为用户访问权限的基础。2013年，谷歌率先推动“零信任”环境下的员工访问策略。这家互联网巨头员工遍布全球，所有员工对企业应用的访问连接都要进行加密。

詹榜华介绍，“零信任”的思路是不做信任假设，但不停地采取身份识别和验证，因为安全是动态的过程。基于这样的验证建立“零信任”时代的安全策略——从以网络边界防护、以边界控制为核心，转向了以身份管理、身份控制为中心的安全策略，需要以密码技术重构网络安全边界和信任。

詹榜华认为，“零信任”时代网络无边界，医疗机构信任危机加剧。因此，必须基于密码全面构建医疗机构网络可信体系，提升实体（包括人、设备和机构）身份信任水平，由此保障医疗服务参与主体身份及行为，实现全程可管、可控、可追溯。

电子签名究竟是不是医院的“刚需”

正如霍炜主任所强调的，“只有利用密码才能真正实现可靠的电子签名，并作为有效的法律证明”，可靠电子签名在医院的应用日益广泛的驱动力究竟是什么？显然是规范诊疗业务过程，实现电子病历、医疗文书的真实可信、全程追溯和有效监管。

北京协和医院信息管理处处长朱卫国副教授介绍，实施电子签名之后，该院“三宝”之一的病案得到了延伸和丰富：门诊病历原先病案室只能存建有大病历的病案，未建大病历的门诊病历仅保存在病人手里的；现在病人手里的那份病案也会在医院保留下来。这无疑扩大了传统意义上的病案的范畴。朱卫国处长还透露，电子签名的手段也在不断创新，医生十分繁忙，传统的UKey介质容易遗失；如今北京协和医院正在联合数字认证开发基于手机的电子签名应用，以及基于人脸识别方式的电子签名应用。

首都医科大学附属宣武医院信息中心主任梁志刚介绍，该院开展电子病历系统和无纸化建设的一个重要前提是，确保医疗文书的医学价值和法律价值，即合法、可信。“医院不能因为技术的问题，而忽略了法律的风险。所以，我们对电子病历和电子签名有很强的业务需求，我们坚信无纸化是医院发展的必然趋势。”梁志刚举例说，现在北京市在推电子病历共享工程，那么一份病历到底是不是合法、可信，在业务协同上就变得十分重要。“推行无纸化、电子签名，对于医院而言不是带来明显的经济效益，而是质量和安全。”梁志刚强调。

中国医科大学附属盛京医院信息中心主任全宇始终坚信，医院推行无纸化、电子签名，完全是为了诊疗业务规范化的需要。初期可能会遭到一些医务人员的抵触，但是从长期看，这是医院自觉推动诊疗规范的必由之路，既有利于提高医疗机构临床水平和诊疗质量，又有利于保护医患双方的合法权益。“如果医院一把手认为诊疗业务必须规范化，那电子签名就是刚需。”全宇说。

北京天坛医院最早在电子签名应用方面“吃螃蟹”。王韬主任回忆说：“2003年，当时医院的机打病历特别多，但是病人出院时，大夫都不签字，机打病历资料直接装袋。但这是有问题的，万一哪里有改动真是说不清楚。因为有这些痛点问题，所以才想到，怎么找一个好的办法来把这个问题解决掉。”他坦言，最初对于电子签名、数字认证的体系的了解并不深入，只是基于“把电子化签名做得真一些”这样一个朴素的想法。“到今天，电子签名是不是刚需，已经不用讨论了。刚才毕马宁教授已经说了，三级医院的所有数字必须可信化，这是底线。”王韬说。

10年前，第一次全国电子病历系统的会在沈阳举行，詹榜华作为唯一的IT企业代表做报告。10年过去，从最初对医疗行业的“直觉”敏感，通过不断向行业用户学习甚至联合医院开发创新，詹榜华坚信，一个更为巨大的“零信任”时代医院网络可信体系建设机遇，正扑面而来。

附视频直播回看地址：

CHIMA2019-数字认证“新医疗新场景、新需求新安全”卫星会-视频直播回看

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友后提交你的申请哦

（请注明姓名、单位名称、职务、主管技术或产品领域，以便有针对性加群）

【责任编辑：孙鹏】

【编者按】医疗信息化建设最主要的任务是规划、设计、开发以及部署医疗信息系统。如何开发设计性能良好的医疗信息系统，对于提高医院临床科室的工作效率和医疗信息化工作水平而言至关重要。

在本系列文章中，笔者将围绕“如何开发性能良好的医疗系统软件”这一主题，并结合自身工作经历，分别从软件系统架构设计、程序开发设计、数据库设计开发、项目管理、典型案例等几个方面分享和总结相关经验和教训。

来源：HIT专家网       作者：华中科技大学同济医学院附属同济医院 吴坤

目前市面上的医疗软件，CS和BS架构都占了相当部分。其中，CS架构主要是老牌医疗软件，而一些新面市的医疗软件主要以BS架构为主。笔者认为，从技术和医疗业务的特点来看，BS架构无疑具备优势，目前大量医疗软件都在从CS架构到BS架构更新换代。为此，本文讨论的内容主要以BS架构软件为主。

四类软件系统架构比较

在图一描述的系统架构中，应用程序服务器、文件服务器和数据库服务器都集中部署在一台服务器上。这一架构显然存在很多缺陷，整个系统所有应用都集中部署在一台服务器，拓展性差、极易引发单点故障，导致难以支撑高并发服务。这样的系统架构主要存在于业务简单、用户较少的小型企业或者企业内部门。因为这些机构的信息化资金投入有限，也没有较高的业务要求。

图二所描述的系统实现了分层架构。应用程序服务器、文件服务器、数据库服务器分别部属在不同服务器上，系统的拓展性和可管理性增强很多。当系统中存储文件和数据量增大时，只需拓展相应文件服务器和数据库服务器配置即可，应用服务器不需做相应变动。同样，如果系统应用性能需要提升时，可相应地对应用服务器进行拓展。不同服务器处理不同的服务，使得系统整体性能得到提高。但是，这一系统架构依然存在缺陷，一旦应用服务器、文件服务器或者数据库服务器三者任一服务器出现故障，系统即无法正常运行。

图三所描述的系统结构克服了图一和图二中系统结构缺陷，通过引入分布式缓存、CDN等技术，使得系统在性能、拓展性和可用性方面得到大幅提升。首先，数据库服务器和文件服务器组建为分布式服务器集群，不会出现单点故障。同时引入了分布式缓存，使大部分数据访问可在缓存服务器中读取，这极大减轻了数据库服务器的压力，使得系统具备高并发应对能力。另外，针对用户的区域分布特点，不同地理区域的用户访问量差异很大，通过CDN和反向代理技术可进一步提高用户请求的访问速度。而对于数据存储和访问，通过引入NoSql数据库服务器和搜索引擎服务器，进一步提高了数据访问速度。因此，图三所描述的系统架构，能很好地应对大规模高并发用户请求，特别适用于互联网公司业务。

图四中所描述的系统架构与图三相比，更为复杂，适用于超大型应用系统。对于这些应用系统而言，业务拆分越来越细，系统复杂度指数级增长，部署和维护也越来越困难。对于此类系统，将具有相同范畴的业务独立划分成独立的业务应用服务，每个应用维护各自应用服务器集群。分布式应用作为管理平台，调用各个业务应用来完成具体任务。分布式应用同样部署在分布式应用服务器集群，这样的架构能很好地应对超大规模的业务应用需求，比如淘宝、京东商城之类的大型互联网企业业务系统。

医疗信息系统架构设计需要结合实际

上文中，图一到图四分别描述了几种典型的企业信息系统架构，从单机版简单服务器架构到适用于大规模互联网应用的分布式应用服务器集群架构。那么，对于医疗机构而言，到底应该如何选择和设计应用架构，以更好地提高医疗应用系统性能，给临床医护人员带来更好的用户体验呢？

针对这一问题，首先需要分析一下医疗机构信息系统的应用背景。对于医疗机构日常业务而言，用户并发量不大，即使是超大型三甲医院，同时在线用户人数一般也不会超过五位数，这远低于大型互联网公司应用。而在数据信息访问上，例如患者病历信息、检查检验信息等，包括图片等非结构化信息和文字内容等结构化信息，响应时间长短对于繁忙的医护人员的使用体验而言至关重要。因此，医疗机构信息系统应该以安全性和降低响应时间为主，可不用过多考虑高并发的需求。

同时，就目前国内大部分医疗机构信息部门而言，人员和技术储备上远不及其他行业信息部门，一些先进技术的应用可能一时也难以很好落地和运行。从这一方面看，医疗机构在进行信息系统设计时，不宜太过复杂或太过追求先进技术。

综合考虑以上因素，笔者认为，可以设计一个这样的系统结构，如图五所示：

在系统架构设计时，没有采用CDN、反向代理等先进技术。同时，考虑多院区大型集团化医院的应用场景，设置了分布式缓存，以提高性能、降低数据库访问压力。而对于医疗业务高峰期的大量数据库读写任务，将数据库服务器设置成读写分离，主数据库服务器提供“写”任务，从数据库服务器提供“读”服务。在应用服务器集群端，通过合理的负载均衡策略来提高系统整体应用请求响应速度。

医疗机构信息系统架构设计工作是整个医疗信息系统建设中非常重要的一环。合理的系统架构不仅可以保障高业务响应性能和良好的用户体检，而且对于提高临床医疗业务工作效率和医疗信息化建设水平都能起到很好的推动作用。而与其他行业相比，医疗信息化有其特殊性，所以在系统架构选型时，需要根据自身因素合理地设计，不能一味追求高端技术，也不能太过简单落后。

在本文中，笔者结合了自身工作经验以及医疗行业的特殊背景，横向对比了其他行业信息系统架构。通过一个具体案例，就“如何设计性能良好的医疗系统架构”这一话题提出了一些实用建议，期待能与各位医院信息科工程师同道交流分享更多心得。

【作者简介】

吴坤，计算机专业硕士，华中科技大学同济医学院附属同济医院信息中心软件工程师。专业计算机程序员，医疗信息技术推广者，积极参与社会活动，热衷于以信息技术提高医疗行业服务质量和改善患者就医体验。

下期预告：《如何开发高性能医疗信息系统（程序设计篇）》

想加入HIT专家网专业交流群吗？请添加“HIT专家网”小助手微信好友后提交你的申请哦

（请注明姓名、单位名称、职务、主管技术或产品领域，以便有针对性加群）

【责任编辑：孙鹏】

来源：HIT专家网   作者：美创科技创始人、总经理 柳遵梁

依据Verizon数据泄露报告中对客观现状、数据分布和数据流动等方面综合分析，医疗行业数据安全的主要风险包括如下几个方面：

一、人的安全风险和对策

1．人的安全风险是医疗数据安全的最大风险

从Verizon报告可以看出医疗行业数据安全的特殊性：医疗行业是所有行业中唯一一个内部威胁大于外部威胁的行业，内部威胁占比60%，外部威胁占43%。总体来看，各行业平均攻击类型是：70%为外部威胁，30%为内部威胁。下图就数据泄露的几个主要行业做了对比，包括：医疗、金融、政府、信息服务、制造业、零售、酒店餐饮。

由于缺乏医疗行业的独立数据，我们以全行业数据来看威胁的构成。从全行业来看，在外部人员导致的泄漏事件中，62%都来自有组织的犯罪团伙；在内部威胁中，25.9%都跟企业系统管理员有关，终端用户占22.3%，医生或护士占11.5%，开发人员占5%。从这里可以看到很亮的数据：医生或者护士占11.5%。医生和护士只有在医疗行业才存在，也就是说，医生或护士造成的内部数据泄露事件在全行业中占据了11.5%的比例。

2．人具有复杂的情绪变化特征

在数字化的今天，当我们谈及数据，都会对其充满期待和憧憬。数据是永不生锈的资产，是新经济时代的原油，是黄金和财富，是一切生产的生产资料。当其成为重要资产、巨额财富的时候，现实生活中一切关于资产安全、财富安全的管理措施都可以成为数据安全领域的参照。

数据安全的本质是人的安全，只要人人都遵守规则和约束去访问数据，数据自然就安全了，但这只能是乌托邦色彩的梦想。我们每家机构和企业都制定了一系列的安全生产规章制度，这些规章制度无论针对人或者财物，最终都会作用在人身上。如果没有适当的技术实施手段，仅依赖于教育和培训，很难使流程和制度落地，数据安全最终也就会落空。

人既有复杂情绪变化的非理性，又有利益得失计算的理性。这种理性和非理性的交错让人的安全充满着巨大挑战。

3．医疗行业所面临的“人的风险”

众所周知，医疗数据单体价值过大是导致医疗行业内部威胁高达60%的基本因素。下面来看一下医疗行业数据泄露内部威胁的主要敞口：

（1）系统管理员和DBA

几乎在所有行业中，系统管理员和DBA（数据库管理员）都是内部数据的主要威胁，在医疗行业中也不例外。从Verizon报告中可以看出，在全行业调查中，高达26%的内部威胁是由于系统管理员和DBA造成的。而在国内医疗界，信息科也一直是漩涡之地，每次医疗数据泄露事件发生时，信息科总是会成为第一个怀疑对象。

（2）医生或者护士

从Verizon数据泄露调查报告来看，来自医生及护士的威胁可能远超于系统管理员。由于医疗数据的个体价值巨大，医生或者护士只需简单地获得权限之内的数据就可以获得巨大收益。但目前由于病案数据的交叉特征，几乎没有医院的业务系统可以实现基于患者授权查询病案数据的机制，因此医生及护士可以遍历所有患者数据。

（3）软件开发商和维护人员

在医疗行业，软件开发商的力量过于强大，甚至会让院方觉得医院数据不是自己的，而是归软件开发商所有。即使是一些顶级医院，医疗系统和数据的命脉都掌控在开发商手中。

（4）驻场服务人员

驻场服务人员的权限等同于DBA和系统管理员，同时因其不受医院管理和约束，更易受到外部诱惑而铤而走险。

（5）集体的无意识

相对来说，当前医院对于患者隐私保护的意识相对淡漠，这从核心隐私机密的纸质病案和处方可以被任意重新利用这个环节就可以看出。换句话说，有心人只要不断地在医院收集各种纸质垃圾，就可以获得想要的医疗数据。

4．如何防范人的安全风险

防范人的安全风险，本质上是保护好我们的员工和伙伴，降低他们接受诱惑的可能性，以避免其犯错。防范人的安全风险需要从两个方面加以努力：机制保证和技术保证。

（1）机制保证

机制保证的核心在于降低受到诱惑的机会，降低可能产生的侥幸心理。机制保证主要体现在两点：一是隔离诱惑，可以在很大程度上避免被动犯错，也可以大幅度提高主动犯错的难度。隔离诱惑的主要措施在于实现两点：最小权限和三权分立。特别是当涉及到高敏感数据和高风险操作访问时，建议建立工作流多级审批机制。

二是责任到人，模糊和共享会导致责任不清，从而助长侥幸心理。当机制可以确保任何行为都可以追溯到个人的时候，事件审计就可以产生巨大的威慑力，降低侥幸心理。

（2）技术保证

大部分机构都具有清晰的安全生产制度，但是能够在实践中落地的并不多。安全制度的落地不能依赖于培训和人的自觉性，需要在日常操作中进行技术规范。

• 确认人是真实的人，不是被盗用、伪造、共享的身份。只要可以确认访问数据的人是真实的，就为数据安全奠定了最为坚实的基础。为了确认人是真实的人，需要映射计算机身份和真实身份，并确保这种映射是不可假冒的。双因素或者多因素是确认人是真实的人的基本技术措施。
• 确认所做的事情是真实意愿的表达，不是被胁迫的。真实意愿的表达检测需要依赖于当事人日常行为特征的检测。
• 确认所作的事情是合乎规范的、已被授权的而非越权、合乎流程和控制。合乎规范可以从两个层面加以约束：被允许的操作以及正确的上下文环境。
• 确认风险操作或者所有操作是可审计和可追踪的，风险操作或者所有操作留痕是技术保证的一个基本措施，是增强威慑力和降低侥幸心理的基本技术保障。

二、开放网络环境风险和对策

医院网络具有开放网络的基本特征，具有很大的安全风险。开放网络使心怀叵测的人可以轻易接触和到达，就如同互联网一样，是一个不设防或者低设防的网络环境。

1．开放网络：可以轻易接触和到达的网络

医院提供的任何网络服务，我们都是可以轻易到达的。如：医生或者护士的工作终端、开放的自助服务工作终端、开放的互联网服务、开放的医院无线网络。总之，医院网络是存在太多接触点的开放网络，相对比较脆弱。

2．终端管控：让开放网络具有可识别身份

医院是相对开放的网络，就如同互联网是开放网络一样，是一种客观的存在。数据安全工作需要在这个客观的前提下进行。互联网如果不具备安全措施，就等于不设防的金库。医院网络如果不具备安全措施，就如同不具备任何安全措施的互联网。

医院网络终端不同于互联网网络终端，绝大部分互联网网络终端是独占的、非共享的，安全自我保障。而绝大部分医院网络终端则是共享的、非独占的、安全他人负责的。也就是说，终端工作者并不会关注安全问题，甚至会厌恶安全问题，这种场景必然导致的结果就是终端是不安全的。而在传统网络中，我们总是假设终端是安全的。医院开放网络的终端不安全性和传统网络终端安全的假设存在巨大裂缝，使医院网络安全面临巨大威胁。

终端管控是实现开放网络安全的有效手段，从安全的角度来看，主要实现两个目标：一是实现脱离于非安全终端的可识别身份和凭证，由于终端是不可信任的，这个时候网络和数据，特别是数据需要可信任的身份作为访问凭证。由于终端的不可信赖，这个凭证需要在终端之外提供，比如密码，指纹，key或者离线验证码等。

二是防止关键应用被注入和假冒。可通过应用程序访问终端数据，如果应用程序不可信赖，那数据就会处于非常危险的境地。

三、勒索病毒的威胁和对策

1．勒索病毒的威胁

勒索病毒是医疗安全的主要威胁。Verizon数据威胁报告显示，在医疗行业，高达85%的恶意软件面临勒索病毒威胁。Verizon报告特别强调，为了获得更多的收益，勒索者越来越倾向于企业级服务器，特别是数据库服务器，是核心勒索目标。基于Verizon报告我们可认为，只要成功防御了勒索病毒威胁，医疗数据外部安全风险就获得了相对安全。

勒索病毒对于医疗行业的威胁是全方位的：

（1）工作终端和自助服务终端，互联网接入和开放网络使医院工作终端极其容易受到勒索病毒的侵袭。

（2）数据库服务器，高价值的数据库服务器是勒索病毒威胁的主要目标，导致数据和业务的双重损失。

（3）应用服务器，它是勒索病毒威胁的主要入口之一，应用服务器被勒索可以导致医疗业务完全中断。

2．勒索病毒威胁的对策

勒索病毒可以从以下不同层次防御，但需要强调的是，由于勒索病毒的巨大威胁性，仅仅做常规性防御会置医疗机构于巨大的不可预测风险之中，在实践中不建议。执行系统防御和主动防御是防御勒索病毒威胁的必须组成部分，特别是主动防御。

（1）常规防御，并不只针对勒索病毒，其实是针对所有恶意软件的常规性安全措施。主要包括：

• 及时更新系统补丁，防止攻击者通过已知漏洞入侵系统；
• 弱口令检测和弱口令的定期变更，使用复杂密码；
• 关闭不必要的端口，比如445、139、3389等高危端口；
• 安装部署杀毒软件，检测和防御已知勒索病毒威胁；
• 安全教育，不上可疑网站，不接受可疑邮件，不随意接受社交文件；
• 安全教育，不用未经审核的应用和工具；
• 做好备份，特别注意备份不能与源文件存储在相同终端，最好是备份在不同操作系统之中，避免被勒索病毒一锅端。

（2）系统防御，围绕着勒索病毒和恶意软件的特点，依据入侵生命周期做系统化的常规性防御。

• 服务：关闭不必要的服务，关闭不必要的账户；
• 端口：禁止缺省端口，使服务端口区别于缺省端口；
• 账户：关闭缺省账户，不要设置共享账户；
• 密码：不追求密码复杂性，限定密码最小长度不小于16位；
• 诱饵：设置不可能被想到的密码，设置无法破解的密码，设置诱饵文件和数据；
• 漏洞：及时修复已知漏洞，特别是无需认证的漏洞；
• 溯源：禁止运行来自不可靠源头的应用程序，如需运行，必须经过明确许可；
• 底线：做好备份，特别注意备份不能存储在相同终端上，最好是备份在不同操作系统之中，避免被勒索病毒一锅端。

（3）主动防御，针对勒索病毒防御，最有效的还是部署专用的防勒索软件。当医疗行业85%的恶意软件攻击来自于勒索病毒的时候，针对性的主动防护应该成为必选项。主动防御不仅更加有效帮助用户达成防御目标，而且比常规防御和系统防御更加省心省力。

四、互联网和云医疗风险和对策

1．互联网和云医疗风险

云和互联网几乎是任何一家医疗机构都不可回避的话题，云和互联网的安全自然也就成为医疗机构的热门话题。对于医疗机构来说，云运营商会进行云上网络安全的服务覆盖，不需要过于忧虑。但是数据安全，对于云上医疗或者互联网医疗则是一个不可回避的核心命题。

在云医疗中，数据安全风险众多，我们主要考虑以下两个核心点：

（1）如何在不受信任和管控的基础设施中存储敏感数据？

（2）如何让无法控制的、拥有超级权限账户的云运营商运维人员（上帝之手）隔离业务数据？

2．云医疗的数据安全对策

（1）如何在不受信任和管控的基础设施中存储敏感数据？

答案只有两个：加密或者不存储敏感数据。原则上要求存储在云环境中的任何数据都需要进行加密存储和加密传输，任何需要进行开放式流转处理的数据都需要进行脱敏存储和传输。

（2）如何让无法控制的、拥有超级权限账户的云运营商运维人员（上帝之手）隔离业务数据？

存储级加密解决了在云环境中存储敏感数据的风险，但是依然无法隔离上帝之手接触和窥视业务数据。需要提供一种机制，禁止超级权限的DBA访问业务数据，从而保证云上数据安全性。

五、数据流动的风险和对策

1．数据畅流是数据价值的核心体现

数据作为和资金、原油、资产相似的生产资料，只有不断被使用才会产生价值，只有不断地流动才会让更多的人使用，只有让数据流动到可以产生更大价值的地方才能发挥数据的价值。医疗数据作为生活中最具价值的基础数据之一，具有不可避免的数据流动趋势。

不断流动的数据带来巨大价值的同时，也给数据安全带来了巨大的挑战。机构和企业对于流动中的数据控制力会越来越弱，不断流动的数据必然会流出数据的安全边界，传统基于静态目标保护的网络安全和数据安全保护措施在此场景下会不断弱化，甚至完全失效。解决好数据流动的安全问题是实现数据价值最大化的巨大挑战和先决条件。

2.数据流动涉及的主要风险

（1）敏感数据认知。不知道数据在哪里就不知道如何保护，不知道数据的分级分类就无法施加适当的保护。事实上我们每个用户都希望可以做到敏感数据分级分类，但是数据分级分类的巨大困难和成本总是让人望而却步。在缺乏敏感数据认知的数据安全措施下，具有其天生的脆弱性。

（2）数据流动到非授权目标，本质上属于一种误操作，在生活中经常发生，比如机密邮件发错了对象、文件发错了微信群等。

（3）身份盗用、假冒和验证绕过。身份是访问数据的凭证，身份被盗用意味着数据财富面临巨大风险。其中数据库中存在的广泛共享的账户和缺省账户是身份盗用的天然温床。身份盗用手段包括密码猜测和破解、身份伪造、撞库等。

（4）从非安全区直接访问敏感数据。大多数情况下，数据流动软件在网络边界具有较高的安全脆弱性。这种安全脆弱性很容易给数据流动带来伤害。

（5）数据流动到弱安全区域或者失控区域，这是数据流动安全的本质所在，是数据流动的自然目标和业务属性。

（6）运维端流动，是传统数据安全的主要构成部分，也是流动安全的巨大风险之一。

（7）终端业务包含敏感信息，和运维端流动一样，是传统的数据安全的一部分。

（8）数据的再次流动。当数据流动到非受控制区域的时候，很容易产生多次流动。而这个数据流动可能并非是数据流动者所期望的。

（9）数据泄露追踪。当数据泄露事件发生之后，数据提供方需要确定数据是哪个环节出去的，以实现事件追责。

3．数据流动安全风险的基本对策

数据流动安全的措施必须建立在两个基本假设之上：数据总是会趋向于流动到弱安全区域、流动的数据最终会失去控制。

从这两个基本假设出发，提出解决流动数据安全的基本思路：

（1）源端控制：流动的数据总是被脱敏的，无需关注安全；

（2）数据内置的安全性：和源断控制一致的，通过加密等手段实现内置安全性；

（3）建立审计检查机制：数据提供方可对数据利用方进行数据使用审计。

【作者简介】

柳遵梁，杭州美创科技有限公司创始人、总经理。毕业于中国人民解放军信息工程大学，中国（中关村）网络与信息安全产业联盟理事，中国信息协会信息安全专委会数据安全工作组组长。拥有二十年数据管理和信息安全从业经验，在通信、社保、医疗、金融等民生行行业积累了大量实践经验。具备长远战略眼光，准确把握技术发展趋势，持续创新，带领公司完成运维、服务、产品多次转型，均获得成功。目前公司已经完成全国布局，成为国内重要的数据安全管理综合供应商，个人著有《Oracle数据库性能优化方法论和最佳实践》书籍，多次发表学术文章。

想加入HIT专家网专业交流群？请添加“HIT专家网”小助手微信好友后提交你的申请哦

（请注明姓名、单位名称、职务、主管技术或产品领域，以便有针对性加群交流）

【责任编辑：谭啸】