馮霄鵬，夏俊杰，章 峰，孫 曄（. 北京電信規(guī)劃設(shè)計院有限公司，北京 00044；. 中國聯(lián)通智能城市研究院，北京 00044）

0 引言

2013年9月，信息化和工業(yè)部在《信息化發(fā)展規(guī)劃》中，提出創(chuàng)立全面的電子病案和居民健康檔案，通過開展衛(wèi)生信息化區(qū)域試點，最終實現(xiàn)醫(yī)療服務(wù)、公共衛(wèi)生服務(wù)等的數(shù)據(jù)共享和互通有無。在當下，隨著信息化建設(shè)的快速發(fā)展，北上廣深等一線城市信息化的不斷展開，信息化工具已經(jīng)融入了醫(yī)院管理的各個方面，其中包括醫(yī)院的信息系統(tǒng)、遠程診療系統(tǒng)、藥品管理系統(tǒng)以及辦公自動化系統(tǒng)。但是，很多地方的中小醫(yī)院的信息化建設(shè)還是相當落后，甚至有不少的二級醫(yī)院仍舊處在傳統(tǒng)的信息化狀態(tài)，沒有實現(xiàn)信息化管理，工作效率極其低下。我國提出了醫(yī)療聯(lián)合體的醫(yī)改方案，來合理配置區(qū)域醫(yī)療資源，提高區(qū)域內(nèi)的醫(yī)療服務(wù)效率。但是，目前國內(nèi)主流的醫(yī)療機構(gòu)都是公立醫(yī)療資源，所以大部分醫(yī)聯(lián)體都是由政府出面強行進行整合，存在著各種問題亟待解決。

a）醫(yī)聯(lián)體中的各個醫(yī)院數(shù)據(jù)沒有及時同步，存在明顯的信息不對稱和較高的數(shù)據(jù)冗余。病人的信息無法及時同步，容易造成人力物力的浪費，使得醫(yī)療衛(wèi)生服務(wù)碎片化。

b）國內(nèi)的醫(yī)療一般都是由相關(guān)機構(gòu)進行監(jiān)管，缺乏來自患者的真實意見。并且，監(jiān)管中存在灰色地帶，部分環(huán)節(jié)無法得到直接的監(jiān)管。

c）隨著越來越多的設(shè)備接入到互聯(lián)網(wǎng)中，信息安全問題日益突出，醫(yī)療行業(yè)的數(shù)據(jù)維護成本開始增加。

針對現(xiàn)有的醫(yī)聯(lián)體存在的問題，本文提出基于聯(lián)盟鏈的可信醫(yī)聯(lián)體應(yīng)用，通過聯(lián)盟鏈技術(shù)帶來的去中心化、數(shù)據(jù)一致性、不可篡改、可追溯、共同維護等特性，對醫(yī)聯(lián)體中的數(shù)據(jù)進行加密，實現(xiàn)可信高效的數(shù)據(jù)共享，提高數(shù)據(jù)安全性，保證操作的可追溯、可審計，醫(yī)聯(lián)體中的設(shè)備共同維護全部的醫(yī)療數(shù)據(jù)，提高數(shù)據(jù)的透明度，減少醫(yī)患糾紛。

1 區(qū)塊鏈技術(shù)

自2008年起，比特幣開始出現(xiàn)并蓬勃發(fā)展，區(qū)塊鏈技術(shù)開始進入人們的視野，引起了極大的關(guān)注?，F(xiàn)在各國都紛紛進行區(qū)塊鏈的投資研發(fā)，區(qū)塊鏈已經(jīng)進入?yún)^(qū)塊鏈3.0時代。狹義的區(qū)塊鏈是一種時序數(shù)據(jù)區(qū)塊，相互連接組成一種鏈式結(jié)構(gòu)，用密碼學方式來確保分布式賬本的不可篡改和不可偽造。廣義的區(qū)塊鏈技術(shù)是利用塊鏈式數(shù)據(jù)結(jié)構(gòu)來驗證與存儲數(shù)據(jù)，利用分布式節(jié)點共識算法來生成和更新數(shù)據(jù)，利用密碼學的方式保證數(shù)據(jù)傳輸和訪問的安全，利用由自動化腳本代碼組成的智能合約來編程和操作數(shù)據(jù)的一種全新的分布式基礎(chǔ)架構(gòu)與計算范式。區(qū)塊鏈技術(shù)具有去中心化、追蹤溯源、不可篡改、可編程和集體維護等特性。有5種應(yīng)用模式，即公有鏈（Public block?chain）、聯(lián)盟鏈（Consortium blockchain）、私有鏈（Pri?vate blockchain）、混合鏈（Hybrid blockchain）和許可鏈（Permissioned blockchain）。

一般來說，區(qū)塊鏈系統(tǒng)由數(shù)據(jù)層、網(wǎng)絡(luò)層、共識層、合約層和應(yīng)用層5部分組成。區(qū)塊鏈架構(gòu)如圖1所示。

在區(qū)塊鏈系統(tǒng)中，最底層的原始數(shù)據(jù)需要進一步加工才能存儲到區(qū)塊之中。底層數(shù)據(jù)最根本的是信息記錄，其他的數(shù)據(jù)只是為了對信息記錄進行封裝。該過程涉及哈希算法、Merkle樹和時間戳等技術(shù)。

網(wǎng)絡(luò)層封裝了區(qū)塊鏈的組網(wǎng)模式、消息傳播協(xié)議、數(shù)據(jù)驗證機制等要素。在設(shè)定的消息傳播協(xié)議與數(shù)據(jù)驗證機制下，能夠讓區(qū)塊鏈中的所有節(jié)點或者是大部分節(jié)點都能夠參與到區(qū)塊數(shù)據(jù)的驗證與記賬過程中，當大部分節(jié)點對區(qū)塊數(shù)據(jù)校驗成功后，區(qū)塊數(shù)據(jù)才能記入?yún)^(qū)塊中。

圖1 區(qū)塊鏈架構(gòu)

共識機制是為了保證分布式賬本的所有節(jié)點所存儲信息的準確性與一致性而設(shè)計的一套機制，就像社會系統(tǒng)中“民主”和“集中”的對立關(guān)系，決策權(quán)越分散的系統(tǒng)達成共識的效率就越低，但是系統(tǒng)的滿意度和穩(wěn)定性會越高；反之，決策權(quán)越集中的系統(tǒng)越容易達成共識，但是整個系統(tǒng)的滿意度和穩(wěn)定性也就會降低。共識機制的設(shè)計主要是由業(yè)務(wù)與性能的需求決定的，從PoW到PoS再到DPoS和Paxos以及各種拜占庭容錯算法，共識機制不斷創(chuàng)新，區(qū)塊鏈平臺性能也得到大幅提升。

合約層主要封裝了區(qū)塊鏈系統(tǒng)運行中需要的各類腳本代碼、算法以及由此生成的更為復雜的智能合約。數(shù)據(jù)、網(wǎng)絡(luò)和共識這三層可作為區(qū)塊鏈底層，分別承擔數(shù)據(jù)表示、數(shù)據(jù)傳播和數(shù)據(jù)驗證，合約層是建立在區(qū)塊鏈底層之上的邏輯、算法或者說是規(guī)則策略，從而實現(xiàn)區(qū)塊鏈系統(tǒng)靈活編程和操作數(shù)據(jù)等功能。

合約層的一個相關(guān)概念就是智能合約。智能合約是20世紀90年代由Nick Szabo提出的，幾乎與互聯(lián)網(wǎng)同齡。那個年代由于缺少可信的執(zhí)行環(huán)境，智能合約并沒有被應(yīng)用到實際產(chǎn)業(yè)中，自比特幣誕生后，人們認識到比特幣的底層技術(shù)區(qū)塊鏈可以為智能合約提供可信的執(zhí)行環(huán)境。一個成功的案例就是，以太坊看到了區(qū)塊鏈和智能合約的契合點，發(fā)布以太幣，打造以太坊平臺。智能合約的運行機制如圖2所示。

區(qū)塊鏈技術(shù)的出現(xiàn)，為可信醫(yī)聯(lián)體的架構(gòu)提供了技術(shù)基礎(chǔ)，可以更加高效地促進醫(yī)聯(lián)體的發(fā)展與合作。

圖2 智能合約的運行機制

2 可信醫(yī)聯(lián)體

2.1 整體架構(gòu)

為了更好地整合醫(yī)療資源，提高服務(wù)效率，實現(xiàn)分級診療。醫(yī)聯(lián)體中涉及到大型醫(yī)院、基層醫(yī)療衛(wèi)生機構(gòu)、藥品企業(yè)、監(jiān)管部門等多個部門，且各部門之間是相互平等的，不應(yīng)存在中心化節(jié)點。因此，本文將醫(yī)聯(lián)體中涉及到的多個部門設(shè)置稱為聯(lián)盟鏈中的各個節(jié)點，參與到聯(lián)盟鏈中，構(gòu)成一條醫(yī)聯(lián)體聯(lián)盟鏈，具體架構(gòu)如圖3所示。

圖3 可信醫(yī)聯(lián)體架構(gòu)

圖3中的數(shù)據(jù)映射功能主要是將已有的數(shù)據(jù)庫中的內(nèi)容，映射上傳到聯(lián)盟鏈中，同時也負責將聯(lián)盟鏈中的數(shù)據(jù)通過數(shù)據(jù)映射存儲到數(shù)據(jù)庫中。

基于聯(lián)盟鏈的可信醫(yī)聯(lián)體應(yīng)用的整體功能架構(gòu)如圖4所示，底層的運行環(huán)境是通過云上的容器服務(wù)實現(xiàn)快速部署，結(jié)合本地服務(wù)器的現(xiàn)有計算資源，最大程度降低整個醫(yī)聯(lián)體聯(lián)盟鏈的建設(shè)成本，更加快速地構(gòu)建可信醫(yī)聯(lián)體，更快地投入應(yīng)用。

2.2 功能設(shè)計

圖4 功能架構(gòu)

為了更好地統(tǒng)籌管理整個可信醫(yī)聯(lián)體聯(lián)盟鏈，每一個聯(lián)盟鏈中的用戶都將在注冊信息后，獲取到一個全局唯一的層次化的ID，比如北京A醫(yī)院的B部門的C員工，身份編號為0123，系統(tǒng)將自動為其生成一個唯一的ID：CN.A.B.C.0123。每一位注冊的新員工都將由聯(lián)盟鏈生成的唯一的公私鑰來進行用戶身份的認證，確保聯(lián)盟鏈中記錄的對應(yīng)操作、相關(guān)數(shù)據(jù)都是真實有效的。

2.2.1 數(shù)據(jù)共享

醫(yī)聯(lián)體中的人員利用自己的私鑰信息登錄到醫(yī)聯(lián)體聯(lián)盟鏈后，通過聯(lián)盟鏈數(shù)據(jù)上傳合約上傳患者的信息，在聯(lián)盟鏈中構(gòu)建患者的健康檔案。上傳數(shù)據(jù)的時候，需要人員的私鑰信息對上傳的數(shù)據(jù)進行簽名，同時聯(lián)盟鏈還將根據(jù)操作人員的ID自動生成該檔案信息的來源組織，確保整個患者健康檔案的真實可信。

因為醫(yī)聯(lián)體中存在的不同的機構(gòu)組織，不同的機構(gòu)組織負責不同的業(yè)務(wù)數(shù)據(jù)，所以醫(yī)聯(lián)體聯(lián)盟鏈為不同的機構(gòu)組織設(shè)置不同的數(shù)據(jù)通道，避免機構(gòu)組織、不同職責的負責人訪問不屬于自身業(yè)務(wù)范圍的數(shù)據(jù)，增加醫(yī)聯(lián)體聯(lián)盟鏈中的安全性與數(shù)據(jù)隱私性。

醫(yī)聯(lián)體中醫(yī)院的專家需要獲取患者的病例或者健康檔案的時候，需要使用自身的私鑰進行合約驗證，驗證通過后才可以向醫(yī)聯(lián)體聯(lián)盟鏈發(fā)起數(shù)據(jù)請求。聯(lián)盟鏈將獲取到的患者檔案通過申請者的公鑰信息加密，然后進行傳輸，申請者通過使用自身的私鑰對加密信息進行解密，獲取到相關(guān)的信息。具體流程如圖5所示。

2.2.2 權(quán)限控制

圖5 數(shù)據(jù)上鏈與獲取

為了進一步加強醫(yī)聯(lián)體中不同部門的信息安全等級，本文設(shè)計了不同的權(quán)限等級控制機制。不同科室的醫(yī)生和不同級別的專家具備不同的瀏覽權(quán)限，不同的機構(gòu)之間也有著不同的瀏覽權(quán)限，不同機構(gòu)組織的人員權(quán)限，由機構(gòu)組織根據(jù)職位、部門分發(fā)權(quán)限等級。本文設(shè)立了三級權(quán)限分級，具體分級如圖6所示。

圖6 權(quán)限分級

由于整套醫(yī)聯(lián)體聯(lián)盟鏈中存在監(jiān)管部門，且監(jiān)管部門處于最高的三級權(quán)限，負責審計醫(yī)聯(lián)體聯(lián)盟鏈中的全部數(shù)據(jù)。所以，本文在設(shè)計不同機構(gòu)部門在聯(lián)盟鏈中的數(shù)據(jù)通道、監(jiān)管部門最終的審計時，也將按照不同的機構(gòu)部門進行分類，分別記錄不同的操作、信息、數(shù)據(jù)，交由監(jiān)管組織進行審計，如圖7所示。

3 實驗分析

本文在Hyperledger的Fabric的基礎(chǔ)上，實現(xiàn)了醫(yī)聯(lián)體聯(lián)盟鏈底層平臺。本節(jié)針對實現(xiàn)的聯(lián)盟鏈平臺進行實驗測試。測試環(huán)境如表1所示。

圖7 監(jiān)管審計

表1 測試環(huán)境

3.1 高并發(fā)測試

在聯(lián)盟鏈平臺測試環(huán)境下，1 s內(nèi)發(fā)送5萬筆交易請求，交易包括不同的類型：身份認證、檔案查詢、信息提交等。在高并發(fā)的情況下，吞吐量達到2 235 tps。Orderer節(jié)點和Peer節(jié)點的內(nèi)存占比如圖8和圖9所示，從圖8和圖9中可以發(fā)現(xiàn)，整體的運行情況較為平穩(wěn)。

3.2 壓力測試

圖8 Orderer節(jié)點內(nèi)存運行

圖9 Peer節(jié)點內(nèi)存運行

在設(shè)置4個共識節(jié)點的情形下，我們設(shè)計了壓力測試，不停地發(fā)送交易，使壓力維持在較高的水平（未處理交易保持在1 000以上），且持續(xù)運行1 h。Orderer與Peer節(jié)點網(wǎng)絡(luò)消耗如圖10和圖11所示，從圖10和圖11可以發(fā)現(xiàn)，平臺在壓力測試的情況下仍然可以保證平穩(wěn)的效率。

本文針對醫(yī)聯(lián)體聯(lián)盟鏈中使用的SM2算法進行了測試，測試結(jié)果如表2所示。

圖10 Orderer節(jié)點網(wǎng)絡(luò)消耗

圖11 Peer節(jié)點網(wǎng)絡(luò)消耗

表2 SM2性能測試

上述測試表明，基于聯(lián)盟鏈的醫(yī)聯(lián)體應(yīng)用可以良好穩(wěn)定地運行，具備良好的安全控制，能夠滿足醫(yī)聯(lián)體的交易需求、安全需求，提高數(shù)據(jù)共享效率，減少運維成本，增加安全與透明程度。

4 總結(jié)

本文提出了基于聯(lián)盟鏈的可信醫(yī)聯(lián)體構(gòu)建方式，并且基礎(chǔ)平臺的測試數(shù)據(jù)較為理想，基本可以滿足醫(yī)聯(lián)體的日常事務(wù)處理效率，大大的提高了不同機構(gòu)之間的數(shù)據(jù)交換效率，提出的權(quán)限控制機制，則可以大大的提高不同業(yè)務(wù)部門的數(shù)據(jù)安全性以及透明程度，方便監(jiān)管部門的監(jiān)督、審計。