基于電子檔案的數(shù)字化成分獻(xiàn)血系統(tǒng)構(gòu)建與應(yīng)用

□ 馮晴FENG Qing 李春燕LI Chun-yan 陳永斌CHEN Yong-bin 王艷虹WANG Yan-hong黃穎HUANG Ying 徐燁彪XU Ye-biao 孔長虹KONG Chang-hong 胡偉HU Wei

既往成分獻(xiàn)血時需要獻(xiàn)血者填寫紙質(zhì)《獻(xiàn)血者知情同意及健康狀況征詢表》，包括個人信息，獻(xiàn)血前健康狀況自我評估并在知情同意書上簽名確認(rèn)。體檢崗記錄體格檢查信息，檢驗(yàn)崗記錄獻(xiàn)血前血液篩查數(shù)據(jù)，采集崗記錄采血情況，整個獻(xiàn)血過程需要手工記錄的數(shù)據(jù)和簽名的環(huán)節(jié)至少有幾十處，紙質(zhì)登記存檔不僅效率低下，而且在內(nèi)審和外審中，常出現(xiàn)記錄不規(guī)范的情況，極大地影響了獻(xiàn)血記錄檔案的規(guī)范性和有效性[1]。

獻(xiàn)血記錄是維護(hù)獻(xiàn)血者、受血者和采供血機(jī)構(gòu)三方權(quán)益的重要依據(jù)，是涉血醫(yī)療糾紛中重要的法律依據(jù)[2]。盡管在2010年血站質(zhì)量管理規(guī)范中已經(jīng)對電子簽名和數(shù)據(jù)電文進(jìn)行了相關(guān)的規(guī)定，但采供血機(jī)構(gòu)仍然以保存紙質(zhì)獻(xiàn)血記錄為主。隨著獻(xiàn)血記錄的逐年增多，保存、查閱和整理記錄成為采供血機(jī)構(gòu)面臨的大問題，部分血站將超十年保存期限的紙質(zhì)獻(xiàn)血記錄進(jìn)行掃描，以PDF電子文檔形式保存，銷毀原始紙質(zhì)獻(xiàn)血記錄以減輕保存壓力，但這種處理會面臨諸多風(fēng)險，PDF形式的獻(xiàn)血記錄并不具備法律效應(yīng)，僅可方便查閱[3]。因此建立無紙化的數(shù)字成分獻(xiàn)血流程，在實(shí)現(xiàn)成分獻(xiàn)血全過程的電子化記錄和可靠的電子簽名，保障成分獻(xiàn)血全過程可追溯性，保障數(shù)據(jù)和簽名的合法性和有效性等方面均具有重大意義。

我中心已于2018年完成了成分獻(xiàn)血智能化信息管理系統(tǒng)(blood management information system，BMIS)的研發(fā)與構(gòu)建[4]，并于2020年開始研發(fā)基于數(shù)字證書的電子簽名，建立成分獻(xiàn)血電子檔案，構(gòu)建成分獻(xiàn)血全流程數(shù)字化系統(tǒng)，新系統(tǒng)于2021年4月上線運(yùn)行。

構(gòu)建成分獻(xiàn)血無紙化流程

1.無紙化獻(xiàn)血登記。獻(xiàn)血者通過自助機(jī)、支付寶或微信小程序進(jìn)行成分獻(xiàn)血登記，完成獻(xiàn)血前自我健康評估和新冠肺炎相關(guān)健康評估。自助機(jī)采用二代身份證進(jìn)行身份認(rèn)證，支付寶和微信采用手機(jī)實(shí)名身份認(rèn)證。在線完成獻(xiàn)血登記后，成分獻(xiàn)血智能化信息管理系統(tǒng)自動生成ISBT128唯一性獻(xiàn)血編號，登記信息自動推送至一般檢查環(huán)節(jié)。

2.無紙化健康征詢。獻(xiàn)血者通過刷臉或身份證閱讀器進(jìn)行實(shí)名認(rèn)證，身份認(rèn)證后工作人員可在線對獻(xiàn)血者既往史進(jìn)行查詢，并將健康征詢表和新冠肺炎相關(guān)征詢表推送至電子簽名板，與獻(xiàn)血者進(jìn)行逐條溝通。獻(xiàn)血者確認(rèn)無誤后在電子簽名板進(jìn)行電子簽名確認(rèn)。

3.無紙化一般檢查。工作人員可在線錄入身高、體重、血壓和脈搏等檢查信息，符合獻(xiàn)血要求的獻(xiàn)血者信息推送至獻(xiàn)血前檢測環(huán)節(jié)。

4.無紙化獻(xiàn)血前檢測。通過刷臉或身份證閱讀器進(jìn)行身份認(rèn)證，在線讀取一般檢查合格獻(xiàn)血者信息，實(shí)時打印獻(xiàn)血前檢測預(yù)標(biāo)簽，完成標(biāo)本采集和獻(xiàn)血前檢測。血液檢測數(shù)據(jù)通過設(shè)備監(jiān)控平臺自動導(dǎo)入，符合獻(xiàn)血要求的獻(xiàn)血者信息將被推送至獻(xiàn)血前審核環(huán)節(jié)。

5.無紙化獻(xiàn)血審核。工作人員對獻(xiàn)血者健康征詢、一般檢查和獻(xiàn)血前檢測結(jié)果進(jìn)行在線分析和評估，評估合格的獻(xiàn)血者信息將被推送至采集環(huán)節(jié)。

6.無紙化采集。使用手持終端(PDA)對獻(xiàn)血者身份和獻(xiàn)血審核信息進(jìn)行核對，通過PDA將獻(xiàn)血量確認(rèn)信息推送至電子簽名板，獻(xiàn)血者在電子簽名板確認(rèn)并完成電子簽名。耗材安裝、標(biāo)本貼簽核對、熱合均通過PDA進(jìn)行計算機(jī)核查并導(dǎo)入BMIS。血細(xì)胞分離機(jī)采集數(shù)據(jù)通過血細(xì)胞分離機(jī)監(jiān)控平臺自動導(dǎo)入BMIS。

7.電子獻(xiàn)血證生成。根據(jù)血細(xì)胞分離機(jī)采集預(yù)計值自動換算獻(xiàn)血量并生成電子獻(xiàn)血證，電子獻(xiàn)血證可查看本次獻(xiàn)血記錄以及歷次本地和全國各采供血機(jī)構(gòu)獻(xiàn)血記錄。

8.無紙化記錄修改。獻(xiàn)血量修改可通過PDA發(fā)起，獻(xiàn)血者在電子簽名板重新確認(rèn)并完成電子簽名。一般檢查、獻(xiàn)血前檢測和采集數(shù)據(jù)通過BIS修改，修改前數(shù)據(jù)保留在登記表，修改后數(shù)據(jù)顯示在數(shù)據(jù)修改欄中。

實(shí)現(xiàn)成分獻(xiàn)血數(shù)字證書電子簽名

1.電子簽名技術(shù)路徑。電子簽名系統(tǒng)包括內(nèi)網(wǎng)的BMIS電子簽名發(fā)起系統(tǒng)，外網(wǎng)緩沖區(qū)域(DMZ)的電子簽名前置交換系統(tǒng)，外網(wǎng)電子認(rèn)證服務(wù)系統(tǒng)和國家授時中心。

2.電子簽名設(shè)備和網(wǎng)絡(luò)。電子簽名設(shè)備為電子簽名板，通過無線網(wǎng)連接BMIS。每個電子簽名板有唯一碼與PC或PDA進(jìn)行一對一綁定，確保PC或PDA發(fā)起的簽名信息發(fā)送至指定的電子簽名板，電子簽名板的簽名信息再準(zhǔn)確返回至PC或PDA。電子簽名板故障時可以解除綁定重新更換。

3.獻(xiàn)血者電子簽名。PC或PDA將需要電子簽名的文件推送至電子簽名板，獻(xiàn)血者電子簽名完成后實(shí)時頒發(fā)由國家認(rèn)可的第三方證書認(rèn)證機(jī)構(gòu)(CA)的數(shù)字證書，并將簽名后的PDF文件返回PC或PDA，工作人員對獻(xiàn)血者電子簽名確認(rèn)后可進(jìn)入下一環(huán)節(jié)。如簽名失敗，簽名不規(guī)范或簽名信息沒有返回均不能進(jìn)入下一環(huán)節(jié)，以確保獻(xiàn)血者簽名的規(guī)范性和完整性。

4.醫(yī)護(hù)人員電子簽名。每個工作人員的簽名筆跡固化成印章，采用用戶名加密碼方式登錄血液管理系統(tǒng)，每次操作時調(diào)取簽名印章并生成CA數(shù)字證書。

構(gòu)建成分獻(xiàn)血電子檔案

1.成分獻(xiàn)血電子記錄。獻(xiàn)血前健康征詢、知情同意書、獻(xiàn)血者及工作人員電子簽名生成一份健康征詢PDF文檔；新冠肺炎相關(guān)征詢表生成一份健康征詢PDF文檔；獻(xiàn)血者個人信息、獻(xiàn)血前檢查記錄、采血記錄、修改記錄，獻(xiàn)血者及工作人員電子簽名生成一份獻(xiàn)血記錄PDF文檔。PDF文檔可隨時調(diào)閱查詢。

2.數(shù)字證書記錄。獻(xiàn)血者或工作人員每次的電子簽名均生成一份電子簽名取證報告，包括電子簽名的文件名稱、簽署人身份信息和簽署時間、數(shù)字證書編號和時間戳、電子數(shù)據(jù)區(qū)塊鏈保全和查驗(yàn)結(jié)果等，以確保電子記錄和電子簽名未被修改，并可隨時調(diào)閱查詢。

成效

1.數(shù)字化獻(xiàn)血實(shí)施后數(shù)據(jù)修改和漏填比例降低。將成分獻(xiàn)血無紙化流程實(shí)施前3個月(2021年1—3月)的紙質(zhì)記錄與成分獻(xiàn)血無紙化流程實(shí)施后3個月(2021年4—6月)的電子記錄的數(shù)據(jù)修改情況進(jìn)行比較，紙質(zhì)記錄存在修改和漏填的有308份，比例為3.93%，電子記錄存在修改和漏填的有18份，比例為0.22%，實(shí)施前后比較差異有統(tǒng)計學(xué)意義(p＜0.01)，見表1。

表1 成分獻(xiàn)血紙質(zhì)記錄與電子記錄數(shù)據(jù)修改及漏填比較

2.數(shù)字化獻(xiàn)血實(shí)施后工作人員漏簽名比例降低。2021年1—3月紙質(zhì)記錄共有149份工作人員漏簽名，比例為1.90%，2021年4—6月電子記錄僅有4份漏簽名，比例為0.05%，實(shí)施前后比較差異有統(tǒng)計學(xué)意義(p＜0.01)，見表2。

表2 成分獻(xiàn)血紙質(zhì)記錄與電子記錄工作人員漏簽名比較

3.數(shù)字化獻(xiàn)血實(shí)施后獻(xiàn)血者電子簽名失敗詳情分析。共13份電子記錄出現(xiàn)獻(xiàn)血者電子簽名失敗，其中簽名推送和簽名接收失敗分別為2份和9份，獻(xiàn)血者簽名不全2份，見表3。

表3 獻(xiàn)血者電子簽名失敗詳情分析

討論

醫(yī)療機(jī)構(gòu)作為數(shù)字化醫(yī)療改革的先鋒，電子病歷取代原有的紙質(zhì)病例已先行先試多年[5-6]，近年采用電子簽名技術(shù)保證電子病歷的真實(shí)性、可靠性和有效性又成為熱點(diǎn)研究方向，尤其是涉及患者知情同意的文書通過第三方電子認(rèn)證服務(wù)機(jī)構(gòu)頒發(fā)的數(shù)字證書以保證電子病歷內(nèi)容和醫(yī)患雙方電子簽名具有與紙質(zhì)文書同等的法律效應(yīng)已取得了很多成功的經(jīng)驗(yàn)[7-8]。獻(xiàn)血記錄作為采供血機(jī)構(gòu)最重要的法律文書，是規(guī)范執(zhí)業(yè)的重要依據(jù)，盡管現(xiàn)行法規(guī)要求獻(xiàn)血記錄至少保存十年，但由于輸血傳染病的追溯期遠(yuǎn)遠(yuǎn)大于十年，大部分采供血機(jī)構(gòu)對超過十年的獻(xiàn)血記錄仍進(jìn)行保存，隨著獻(xiàn)血記錄數(shù)量的不斷增加，暴露的問題日益突出。因此，建立無紙化的數(shù)字成分獻(xiàn)血流程，利用可靠的電子簽名技術(shù)實(shí)現(xiàn)成分獻(xiàn)血全過程記錄的電子化，探索符合法規(guī)要求的電子獻(xiàn)血檔案保存具有重大的現(xiàn)實(shí)意義。

目前國內(nèi)很多采供血機(jī)構(gòu)已實(shí)現(xiàn)了線上獻(xiàn)血登記，但仍需要登記完成后打印紙質(zhì)登記表，工作人員手工記錄體檢、獻(xiàn)血前檢測和采集等信息[9]。本中心2018年構(gòu)建BMIS已經(jīng)實(shí)現(xiàn)了無紙化獻(xiàn)血登記，健康征詢、一般檢查、獻(xiàn)血前檢測和獻(xiàn)血審核環(huán)節(jié)記錄的電子化，但由于缺少電子簽名系統(tǒng)，只能在獻(xiàn)血審核后打印紙質(zhì)登記表完成獻(xiàn)血者和工作人員的簽名。因此，獻(xiàn)血審核后的血液采集操作數(shù)據(jù)仍需要在打印的紙質(zhì)登記表上進(jìn)行手工填寫，包括采集的數(shù)據(jù)和獻(xiàn)血反應(yīng)記錄[10]，電子簽名系統(tǒng)構(gòu)建后實(shí)現(xiàn)了成分獻(xiàn)血全流程的無紙化操作，血液采集數(shù)據(jù)可從血細(xì)胞分離機(jī)監(jiān)控平臺自動導(dǎo)入BMIS。統(tǒng)計分析發(fā)現(xiàn)電子簽名系統(tǒng)上線前297份血液采集記錄存在誤填、漏填問題，無紙化后下降為8份，8份數(shù)據(jù)中5份由于分離機(jī)數(shù)據(jù)傳輸失敗后手工錄入數(shù)據(jù)錯誤，其余3份為PDA錄入數(shù)據(jù)錯誤。因此，電子簽名系統(tǒng)構(gòu)建后血液采集數(shù)據(jù)實(shí)現(xiàn)了電子化傳輸，無需手工填寫，大大降低誤填、漏填的幾率，顯著提升全流程數(shù)據(jù)的完整性和準(zhǔn)確性，同時可對數(shù)據(jù)修改進(jìn)行全過程的追溯。

工作人員紙質(zhì)記錄漏簽名和簽名不規(guī)范是以往獻(xiàn)血記錄中最常見的問題，因此工作人員每天會對前一日的獻(xiàn)血記錄進(jìn)行檢查，獻(xiàn)血檔案移交檔案室前再次進(jìn)行復(fù)核檢查。但即便如此，在獻(xiàn)血記錄歸檔保存后仍能發(fā)現(xiàn)有漏簽名的情況，為處置涉血醫(yī)療事故糾紛時埋下隱患，甚至可影響醫(yī)療機(jī)構(gòu)規(guī)范執(zhí)業(yè)的公信力[11]。電子簽名系統(tǒng)研發(fā)后工作人員采用用戶名加密碼方式登錄血液管理系統(tǒng)，每次操作系統(tǒng)均會自動調(diào)取工作人員簽名印章，且每次調(diào)取都生成國家授時中心的時間戳，確保工作人員簽名的安全性、可靠性和有效性。電子簽名系統(tǒng)啟用前3個月獻(xiàn)血記錄中有149份存在工作人員漏簽名，啟用后工作人員簽名失敗僅為4份，均為獻(xiàn)血者獻(xiàn)血量修改后工作人員簽名缺失，屬于系統(tǒng)缺陷，技術(shù)人員對該缺陷進(jìn)行了維護(hù)后此問題不再出現(xiàn)。

獻(xiàn)血知情同意是追溯獻(xiàn)血過程的重要記錄，而獻(xiàn)血者簽名則是獻(xiàn)血知情同意的重要依據(jù)，要確保每一份獻(xiàn)血知情同意均由獻(xiàn)血者本人簽名確認(rèn)，因此獻(xiàn)血者簽名是電子簽名實(shí)施的重點(diǎn)也是難點(diǎn)。系統(tǒng)采用手寫電子簽名設(shè)備實(shí)現(xiàn)獻(xiàn)血者電子簽名，每次獻(xiàn)血者簽名后即時獲取數(shù)字證書，數(shù)字證書由國家數(shù)字證書認(rèn)證中心認(rèn)可的第三方數(shù)字認(rèn)證機(jī)構(gòu)頒發(fā)，每次簽名都生成國家授時中心的時間戳，確保獻(xiàn)血者簽名屬于獻(xiàn)血者專有，由獻(xiàn)血者控制，簽署后對電子簽名的任何改動都能夠被發(fā)現(xiàn)，也能夠發(fā)現(xiàn)對知情同意書內(nèi)容和形式的任何改動，確保電子簽名的真實(shí)性、可靠性和不可篡改性。在具體實(shí)施過程中獻(xiàn)血者知情同意和健康狀況征詢表、新冠肺炎健康征詢表，獻(xiàn)血量知情同意和獻(xiàn)血量修改均需要獻(xiàn)血者逐一簽名確認(rèn)以確保體現(xiàn)獻(xiàn)血者的真實(shí)獻(xiàn)血意愿和真實(shí)健康狀況[12]。此外，為確保獻(xiàn)血者電子簽名的不遺漏，每次電子簽名均設(shè)置了兩個關(guān)鍵控制點(diǎn)，一個是PC或PDA接收到電子簽名板的簽名成功信息，另一個是PC或PDA接收到工作人員對獻(xiàn)血者電子簽名規(guī)范性的確認(rèn)信息，包括簽名的清晰可辨性、與獻(xiàn)血登記表的姓名一致性。健康征詢環(huán)節(jié)電子簽名由PC發(fā)起到簽名板，簽名板與PC采用有線連接，總體比較穩(wěn)定可靠，電子簽名系統(tǒng)上線后的3個月健康征詢環(huán)節(jié)的獻(xiàn)血者簽名均無異常。13例獻(xiàn)血者電子簽名失敗均為獻(xiàn)血量知情同意確認(rèn)時出現(xiàn)的簽名問題，其中11例失敗是由于網(wǎng)絡(luò)不穩(wěn)定導(dǎo)致簽名信息推送或接收失敗，因此無線網(wǎng)絡(luò)信號的穩(wěn)定對獻(xiàn)血量電子簽名至關(guān)重要。另2例獻(xiàn)血者簽名不全主要是獻(xiàn)血者系統(tǒng)啟用初期工作人員操作不熟練引起，獻(xiàn)血者簽名不全但工作人員未仔細(xì)核對導(dǎo)致。13例獻(xiàn)血者電子簽名失敗后均由技術(shù)人員從后臺處理，重新發(fā)起簽名有效簽署完成。

數(shù)字化成分獻(xiàn)血系統(tǒng)構(gòu)建上線運(yùn)行至今已有半年余，實(shí)現(xiàn)了成分獻(xiàn)血全過程的無紙化運(yùn)行，為工作人員和獻(xiàn)血者帶來了極大的便利，有效提升了數(shù)據(jù)的準(zhǔn)確性、完整性，確保了成分獻(xiàn)血全過程的規(guī)范性和可追溯性。由于是運(yùn)行初期，電子簽名系統(tǒng)的穩(wěn)定性和工作人員操作的熟練性均有待進(jìn)一步完善和提升。