基于區(qū)塊鏈的植入物追溯系統(tǒng)的設(shè)計與應(yīng)用

楊莉，勞穎謙，歐霏霏，鐘薇，樊敬文

香港大學(xué)深圳醫(yī)院 a. 醫(yī)療物料采購部；b. 財務(wù)部；c. 外科，廣東 深圳 518053

引言

植入物，也稱植入器械[1]，一般價格較為昂貴，因其會在患者體內(nèi)長時間與機體組織相互作用，風(fēng)險性和不良事件發(fā)生率較高，對其質(zhì)量安全的管理也成為醫(yī)療機構(gòu)和廣大患者重視的問題[2]。

植入物追溯是對植入物從生產(chǎn)、流通、使用整個生命周期的所有信息進行跟蹤監(jiān)控[3]，實現(xiàn)來源可查、去向可追、責(zé)任可究[4]，可以有效地控制和解決植入物質(zhì)量安全問題。目前植入物追溯系統(tǒng)有幾點不足：① 存儲的數(shù)據(jù)信息不完整，患者無法得到植入物全面的生產(chǎn)流通信息及醫(yī)療使用信息[5]；② 各類數(shù)據(jù)信息難以共享互通，各機構(gòu)之間缺乏合理的互信機制和分享機制，容易形成“信息孤島”，一方面如果一旦發(fā)生植入物不良事件，大多數(shù)醫(yī)院難以第一時間追溯到該植入物的相關(guān)信息，由此帶來的管理和醫(yī)療安全問題日益嚴(yán)峻[6]，另一方面在異地就醫(yī)和醫(yī)保報銷時，絕大部分患者都難以隨身攜帶準(zhǔn)確全面的植入物材料信息和醫(yī)療信息，患者須通過兩地奔波、復(fù)雜繁復(fù)的醫(yī)療行政流程才能得到，影響患者的就醫(yī)體驗感[7]；③ 數(shù)據(jù)信息的私密性無法保證，植入物供應(yīng)鏈相關(guān)參與者與患者查詢會得到相同的信息，容易造成個人信息泄露[8]。

區(qū)塊鏈技術(shù)的出現(xiàn)可以很好地解決目前植入物追溯系統(tǒng)存在的存儲信息不完整、共享共通以及信息私密性等問題。首先，區(qū)塊鏈技術(shù)的去中心化和分布式存儲特性可保證數(shù)據(jù)信息的公開透明性和數(shù)據(jù)流的完整可靠性[9]，提高患者對植入物的知情度，增加患者對醫(yī)療機構(gòu)和企業(yè)的信任度，促進醫(yī)患和諧發(fā)展。其次，區(qū)塊鏈技術(shù)的分布式共享賬本可以實現(xiàn)數(shù)據(jù)在不同公司、醫(yī)療機構(gòu)和患者之間快速、高效、安全地進行共享和流通，有效減少醫(yī)療數(shù)據(jù)調(diào)用流程中的人工處理環(huán)節(jié)[10]，讓數(shù)據(jù)多走路、患者少跑腿。區(qū)塊鏈還可以讓患者擁有個人信息的控制權(quán)，其他用戶需要通過患者授權(quán)才能讀取個人信息，有效保護患者隱私安全[11]。

1 基于區(qū)塊鏈的植入物追溯系統(tǒng)需求分析

圖1展示的是植入物追溯工作流程。植入物追溯工作的主要參與者（即系統(tǒng)使用者）有生產(chǎn)廠家、經(jīng)銷商、醫(yī)院及患者，各參與者功能需求如下。

圖1 植入物追溯工作流程圖

（1）生產(chǎn)廠家需求：首先要對生產(chǎn)所需的原材料信息進行登記，當(dāng)植入物投入批量生產(chǎn)后，還需要詳細登記生產(chǎn)、加工、包裝、質(zhì)檢和倉儲等過程信息。生產(chǎn)完成后的每個植入物都有自己的獨特身份，也就是唯一標(biāo)識[12]，生產(chǎn)廠家也要對唯一標(biāo)識進行登記和綁定，最后植入物貼碼出廠。

（2）經(jīng)銷商需求：植入物出廠后進入運輸分銷階段，由各級經(jīng)銷商構(gòu)成的分銷網(wǎng)絡(luò)負(fù)責(zé)向醫(yī)院供應(yīng)植入物，經(jīng)銷商們需要把庫存信息和銷售信息錄入系統(tǒng)中。另外，在運輸過程中還會產(chǎn)生物流信息，例如物流訂單信息、物流轉(zhuǎn)運信息等，這些信息也需要進行登記和管理。

（3）醫(yī)院需求：使用階段是產(chǎn)品流通中與患者聯(lián)系最為緊密的環(huán)節(jié)。醫(yī)院首先要登記植入物的采購貨源信息。另外在手術(shù)后，醫(yī)院不僅要提供植入物的使用信息，還需通過身份驗證將這些信息與患者的個人信息和診療信息相關(guān)聯(lián)，例如將植入物唯一標(biāo)識與患者診療號碼、手術(shù)名稱、手術(shù)時間信息等登記并綁定在一起。

（4）患者需求：患者最關(guān)心的就是植入物質(zhì)量是否合格，知情度越高則信任度越高[13]。追溯系統(tǒng)中各環(huán)節(jié)信息對患者公開透明，患者的需求是隨時通過系統(tǒng)或查詢終端對植入物供應(yīng)鏈過程的所有信息進行查詢。另外，患者還需要直接控制自己的隱私數(shù)據(jù)，比如將植入物使用信息等加密之后把密鑰交給患者，患者可以對其他用戶的數(shù)據(jù)閱讀請求進行驗證[14]。

通過需求梳理可明確基于區(qū)塊鏈的植入物追溯系統(tǒng)需要實現(xiàn)的功能模塊，具體植入物追溯系統(tǒng)跨職能業(yè)務(wù)流程如圖2所示。

圖2 植入物追溯系統(tǒng)跨職能業(yè)務(wù)流程圖

2 系統(tǒng)設(shè)計

2.1 總體設(shè)計思路

根據(jù)工信部指導(dǎo)發(fā)布的《中國區(qū)塊鏈技術(shù)和應(yīng)用發(fā)展白皮書（2016）》的解釋：區(qū)塊鏈?zhǔn)且环N按照時間順序?qū)?shù)據(jù)區(qū)塊以順序相連的方式組合成的一種鏈?zhǔn)綌?shù)據(jù)結(jié)構(gòu)，并以密碼學(xué)方式保證的不可篡改和不可偽造的分布式共享賬本[15]。植入物從原材料加工生產(chǎn)到最后使用到患者身上，基本可以看作是一個以時間為順序的流程化的過程，區(qū)塊鏈內(nèi)信息同樣也是按時間順序排序并且可實時追溯的，兩者剛好完美契合[16]。由于所有交易都記錄在分布式共享賬本，而區(qū)塊鏈中的每個節(jié)點都保存了交易記錄，因此很容易立即驗證植入物、生產(chǎn)廠家和供應(yīng)商的來源，實現(xiàn)植入物快速和準(zhǔn)確的追溯[17]。系統(tǒng)的總體設(shè)計思路如下。

（1）每個植入物產(chǎn)品出廠時包裝上會有唯一的標(biāo)識，在植入物流通到生產(chǎn)廠家、經(jīng)銷商和醫(yī)院時，以植入物唯一標(biāo)識為鍵，在各自的客戶端用經(jīng)過內(nèi)部認(rèn)證的用戶賬號分別將植入物的生產(chǎn)信息、分銷信息及使用信息上傳集成到區(qū)塊鏈。植入物流通過程中的每個參與者都可以對植入物的過程信息進行實時記錄更新，保證數(shù)據(jù)流的可靠性與完整性，供患者自身、醫(yī)院及供應(yīng)鏈其他參與方訪問。

（2）在植入物供應(yīng)鏈各環(huán)節(jié)部署一系列節(jié)點，各節(jié)點通過客戶端將數(shù)據(jù)保存并集成至區(qū)塊鏈。當(dāng)數(shù)據(jù)信息集成在區(qū)塊鏈后，各節(jié)點的數(shù)據(jù)幾乎是實時更新的，患者異地就醫(yī)或轉(zhuǎn)診時，植入物使用記錄、醫(yī)療記錄等信息能快速同步到就診醫(yī)院的數(shù)據(jù)庫供接診醫(yī)護人員查閱，這些數(shù)據(jù)在醫(yī)療體系內(nèi)的流轉(zhuǎn)可以大幅減少文書和醫(yī)院行政工作，實現(xiàn)信息數(shù)據(jù)的共享互通，使醫(yī)療系統(tǒng)更為智能。

（3）患者的個人隱私信息數(shù)據(jù)通過密碼學(xué)原理加密保存，由患者自己掌控這個數(shù)據(jù)，區(qū)塊鏈其他用戶需經(jīng)患者驗證后方能查閱，即使泄露，沒有權(quán)限的人也無法解讀，有效保證了患者的隱私安全。

2.2 系統(tǒng)架構(gòu)

本研究所提出的基于區(qū)塊鏈的植入物追溯系統(tǒng)整體架構(gòu)包括區(qū)塊鏈底層平臺、應(yīng)用層和第三方系統(tǒng)三個部分，具體如圖3所示。

圖3 系統(tǒng)架構(gòu)模型

（1）區(qū)塊鏈底層平臺包括數(shù)據(jù)層、合約層和網(wǎng)絡(luò)層，它的功能是對數(shù)據(jù)采集部分采集到的植入物數(shù)據(jù)進行存儲，并通過合約層使各用戶與區(qū)塊鏈底層平臺進行交互。其中數(shù)據(jù)層是區(qū)塊鏈的核心部分，數(shù)據(jù)以區(qū)塊式的數(shù)據(jù)結(jié)構(gòu)永久儲存，區(qū)塊按時間順序?qū)⒅踩胛锪魍ㄟ^程中產(chǎn)生的數(shù)據(jù)加密后逐個生成并連接成鏈，每一個區(qū)塊記錄了各節(jié)點發(fā)生的所有交易信息[18]；合約層是系統(tǒng)的核心，封裝的是能夠?qū)崿F(xiàn)系統(tǒng)功能的智能合約[19]；網(wǎng)絡(luò)層是區(qū)塊鏈平臺信息通訊傳輸?shù)幕A(chǔ)，通常采用P2P技術(shù)組織各個網(wǎng)絡(luò)節(jié)點，確保同一網(wǎng)絡(luò)中的每臺計算機彼此對等，各個節(jié)點共同提供網(wǎng)絡(luò)服務(wù)，再通過傳播機制和數(shù)據(jù)驗證機制實現(xiàn)通信功能[20]。

（2）應(yīng)用層面向植入物流通過程中各個參與者，提供客戶端與區(qū)塊鏈底層平臺的交互界面，包括數(shù)據(jù)輸入接口和各種信息查詢?nèi)肟冢▓D3），實現(xiàn)其追溯業(yè)務(wù)需求，其中患者客戶端為植入物追溯查詢?nèi)肟凇?/p>

（3）第三方系統(tǒng)主要是指生產(chǎn)廠家、經(jīng)銷商和醫(yī)院的內(nèi)部系統(tǒng)，如生產(chǎn)廠家的生產(chǎn)管理系統(tǒng)，經(jīng)銷商的銷售及庫存管理系統(tǒng)，醫(yī)院的HERP系統(tǒng)、HIS系統(tǒng)、CIS系統(tǒng)等。第三方系統(tǒng)主要負(fù)責(zé)數(shù)據(jù)采集和共享，需要采集的數(shù)據(jù)包括植入物的生產(chǎn)信息、分銷及物流信息，以及采購及使用信息，具體分類如表1所示。

表1 采集數(shù)據(jù)的分類和來源

2.3 系統(tǒng)軟硬件基礎(chǔ)

植入物唯一標(biāo)識以條形碼、二維碼、RFID或NFC等作為載體，一物一碼（芯）錨定產(chǎn)品個體[21]，通過對接第三方系統(tǒng)、PDA或掃碼設(shè)備采集植入物各環(huán)節(jié)信息，采用中心化或多重簽名的公證人機制（Centralized or Multisig Notart Schemes）、側(cè)鏈/中繼模式（Sidechain/relays）、哈西鎖模式（Hash‐locking）進行跨鏈間的數(shù)據(jù)傳輸，并結(jié)合分布式私鑰控制技術(shù)和同構(gòu)多鏈結(jié)構(gòu)實現(xiàn)跨鏈數(shù)據(jù)交互與性能的提升。

3 系統(tǒng)使用效果

以1次植入物追溯查詢?yōu)槔脩舻卿浛蛻舳税l(fā)起查詢請求，客戶端對登錄的用戶賬戶進行認(rèn)證并發(fā)送服務(wù)器請求，服務(wù)器端在接收請求后會調(diào)用區(qū)塊鏈平臺模塊進行數(shù)據(jù)查詢。為了保證數(shù)據(jù)的隱私性，使患者的個人信息不被泄露，不同身份的用戶請求將獲得不同的數(shù)據(jù)信息，得到不同的查詢結(jié)果，然后服務(wù)器端會把處理得到的植入物溯源信息數(shù)據(jù)返回到客戶端，將查詢結(jié)果顯示給用戶。下面對不同用戶的使用效果進行舉例。

3.1 患者使用效果

如果用戶為患者，手術(shù)后患者登錄追溯查詢?nèi)肟冢ɡ玑t(yī)院微信公眾號‐患者服務(wù)模塊），賬戶認(rèn)證通過后即可進行追溯查詢，輸入植入物唯一標(biāo)識后可查詢到植入物從生產(chǎn)到使用各個階段的溯源信息，具體數(shù)據(jù)如圖4所示。無論患者在任何地方接受醫(yī)學(xué)治療，患者的植入物信息和相關(guān)醫(yī)療記錄都可以通過網(wǎng)絡(luò)進行訪問和查詢，隨著時間的推移，各參與方將繼續(xù)增加這些記錄并集成至區(qū)塊鏈中，便于有價值信息的共享互通。

圖4 植入物追溯查詢結(jié)果顯示界面

3.2 經(jīng)銷商使用效果

如果用戶賬戶被認(rèn)證為經(jīng)銷商，則該用戶將不能獲得植入物的使用信息和患者的個人信息（只有通過患者有效授權(quán)后方可閱讀），而查詢得到的是植入物的生產(chǎn)流通信息，具體數(shù)據(jù)如圖5所示。

圖5 植入物生產(chǎn)流通信息查詢結(jié)果顯示界面

3.3 患者個人信息查閱授權(quán)

本研究結(jié)合區(qū)塊鏈的特性設(shè)置公鑰和私鑰，私鑰和公鑰均通過非對稱加密算法對數(shù)據(jù)進行加密，且一個公鑰對應(yīng)一個私鑰。如果用其中一個公鑰加密數(shù)據(jù)，則只有對應(yīng)的那個私鑰才可以解密[22]。當(dāng)?shù)谌接脩粽埱笞x取患者個人信息時，患者通過患者私鑰獲取賬戶權(quán)限，若患者同意授權(quán)，則系統(tǒng)將用患者私鑰解密后的個人信息用指定第三方用戶的公鑰加密，然后調(diào)用區(qū)塊鏈平臺向指定的第三方用戶賬戶發(fā)送加密的患者個人信息，指定的第三方用戶賬戶自動同步患者個人信息區(qū)塊數(shù)據(jù)，并用第三方用戶的私鑰解密患者個人信息進行查閱[23]，見圖6?；颊呶词跈?quán)時，則第三方用戶讀取的為不可破解的加密數(shù)據(jù)，因此該系統(tǒng)能夠保證患者的隱私安全，避免個人信息外泄?；颊邆€人信息查閱授權(quán)界面如圖7所示。

圖6 患者個人信息授權(quán)示意圖

圖7 患者個人信息授權(quán)界面

3.4 系統(tǒng)測試情況

為確保穩(wěn)定可靠運行，對基于區(qū)塊鏈的植入物追溯系統(tǒng)進行了功能測試和性能測試。主要業(yè)務(wù)模塊功能測試結(jié)果如表2所示。系統(tǒng)性能測試主要針對患者追溯查詢的響應(yīng)時間，具體響應(yīng)時間處于動態(tài)變化中，與查詢命令發(fā)出時刻的網(wǎng)絡(luò)速率有關(guān)。以其中50次查詢結(jié)果為例，平均響應(yīng)時間為43 ms，符合網(wǎng)絡(luò)時延要求。當(dāng)患者進行植入物溯源信息查詢時，測試結(jié)果顯示界面不會出現(xiàn)卡頓或崩潰，可以獲得較好的用戶體驗。

表2 主要模塊業(yè)務(wù)功能測試表

關(guān)于系統(tǒng)的安全性方面，本系統(tǒng)基于密碼學(xué)原理對信息進行加密，從而實現(xiàn)區(qū)塊鏈的不可篡改性和隱私信息安全性。同時，本系統(tǒng)采用分布式賬本進行存儲，當(dāng)賬本被惡意修改時，由于數(shù)據(jù)區(qū)塊組合成鏈?zhǔn)浇Y(jié)構(gòu)，當(dāng)某一節(jié)點的區(qū)塊內(nèi)容改變，節(jié)點間的連接也將斷開，這樣系統(tǒng)就可以在定時監(jiān)測時發(fā)現(xiàn)某個節(jié)點的區(qū)塊發(fā)生了改變，并通過共識算法來重新達成共識，將區(qū)塊廣播給有問題的節(jié)點進行修改，從而避免了賬本內(nèi)容被他人修改的情況[24]。

4 討論

2015年常巧玲[25]提出的一種針對骨科植入物的條形碼管理追溯系統(tǒng)，此系統(tǒng)可及時記錄植入物的采購、使用、出庫、收費等信息，確保植入物在使用后可追溯。2016年曹鴻靜等[26]提出一種基于掌上電腦、二維條碼、無線網(wǎng)絡(luò)系統(tǒng)構(gòu)建的質(zhì)量追溯系統(tǒng)，此系統(tǒng)可實現(xiàn)植入物回收、清點、清洗、消毒、包裝、滅菌、存儲、發(fā)放和使用的無縫閉環(huán)管理。以上關(guān)于植入物的追溯系統(tǒng)都有自己的優(yōu)勢，但這些系統(tǒng)大多屬于醫(yī)院內(nèi)部使用的管理系統(tǒng)，數(shù)據(jù)的存儲和使用等僅限于醫(yī)院的相關(guān)業(yè)務(wù)管理人員，難以同時滿足信息全面、共享互通和信息私密性等要求。

結(jié)合區(qū)塊鏈的技術(shù)優(yōu)勢和目前植入物追溯系統(tǒng)的不足，本研究從植入物的實際應(yīng)用場景出發(fā)，提出了一個基于區(qū)塊鏈的植入物追溯系統(tǒng)，系統(tǒng)模塊包括植入物生產(chǎn)廠家、經(jīng)銷商、醫(yī)院和患者客戶端程序，涵蓋了植入物生產(chǎn)加工、物流運輸、使用收費等過程的主要功能?；颊咄ㄟ^登錄客戶端輸入植入物唯一標(biāo)識進行查詢，可得到植入物生產(chǎn)、流通及使用等全過程準(zhǔn)確及完整的溯源信息，驗證了設(shè)計方案的可行性與有效性。該系統(tǒng)操作簡單便捷，同時借助區(qū)塊鏈技術(shù)特性，使該系統(tǒng)有如下創(chuàng)新：該系統(tǒng)將區(qū)塊鏈技術(shù)與植入物唯一標(biāo)識相結(jié)合，解決了傳統(tǒng)植入物追溯系統(tǒng)存在的存儲信息不全面、互聯(lián)互通等問題，在保證信息真實、可靠、完整的前提下實現(xiàn)植入物追溯。同時利用密碼學(xué)原理對患者隱私信息加密保存，并由患者負(fù)責(zé)掌控信息查閱請求，有效保證了患者的隱私安全。

5 結(jié)論

區(qū)塊鏈技術(shù)與追溯技術(shù)的結(jié)合應(yīng)用，進一步完善了植入物追溯系統(tǒng)的性能[27]，利用區(qū)塊鏈技術(shù)特點保證植入物數(shù)據(jù)的可靠性，實現(xiàn)植入物的全過程可追溯，且可追溯到鏈上的每一個參與者，打通供應(yīng)鏈各環(huán)節(jié)的信息孤島，提高信息的透明度，讓患者擁有其植入物的全面信息，幫助醫(yī)患雙方提高信任，為遠程醫(yī)療、異地就醫(yī)和轉(zhuǎn)診醫(yī)療提供基礎(chǔ)。

隨著醫(yī)療器械唯一標(biāo)識應(yīng)用范圍的不斷擴大，基于區(qū)塊鏈的追溯系統(tǒng)可以由植入物推廣至更多的醫(yī)用耗材、器械甚至藥品上，以提高生產(chǎn)企業(yè)、流通企業(yè)和醫(yī)療機構(gòu)醫(yī)療器械的質(zhì)量安全管理水平，確?；颊叩氖褂冒踩?，為醫(yī)療衛(wèi)生事業(yè)的良好發(fā)展提供更有利的保障[28]。