医疗文档结构化：可用不可见怎么做

医疗文档结构化，指的是把病历、检查报告与研究资料转成可检索、可分析的结构化数据，同时保证身份信息不出域。它的核心原则常被概括成「可用不可见」：医学内容可以用于分析与统计，但不与具体个人绑定。这条原则听起来简单，落到工程上是存储与权限的重新划分

为什么医疗文档必须分域

• 内容与身份的价值不同：诊断与检查结果用于分析时不需要知道是谁，身份信息只在诊疗环节需要。
• 泄露后果不同：一份不带身份的检查报告被看到，与一份带姓名与联系方式的病历被看到，性质完全不同。
• 使用场景不同：科研与统计分析要的是整体分布，诊疗要的是具体某个人，两者的权限要求并不一致。

分域的意义在于，让「谁需要什么」成为设计的前提。如果两段信息始终绑在一起存储，那么任何一次分析都会顺带接触到身份信息，风险无法通过流程控制来收敛。

落地方式：分离与替换

• 标识替换：姓名、证件号、联系方式与住址替换为内部编号之后，再进入分析链路。
• 内容保留：诊断、用药、检查值与时间等医学内容保留原样，这是分析价值所在。
• 映射单独保管：编号与原身份的对应关系单独存放，不与分析数据放在同一个库里。
• 访问留痕：调用映射关系的每一次操作都记录时间、人员与用途。

需要注意的是，去掉姓名不等于无法识别。出生日期、就诊时间与罕见病种的组合，可能本身就足以定位到个人。因此替换之后还要评估组合风险，必要时对时间等信息做粗化处理。

谁能看到什么

• 临床使用：按科室与岗位授权，服务诊疗需要。
• 科研与统计：只接触去标识数据，且需说明用途与期限。
• 管理与运营：只看聚合结果，不接触个案明细。
• 运维与技术人员：原则上不接触内容明文，排查问题走脱敏环境。

与一般文档解析的差别

普通文档解析的目标是尽可能还原信息，医疗场景要先做减法：哪些字段必须保留、哪些必须先剥离，是解析之前就要定下来的。顺序反过来 —— 先解析再考虑脱敏 —— 会让敏感信息在中间环节留下副本，清理成本远高于一开始就不落盘。

边界

医疗数据是否属于敏感个人信息、需要履行哪些义务、保留多久，应当由合规与法务根据实际用途确认，技术侧负责把结论落到存储与权限上，不替业务做合规判断。涉及未成年人、精神类与其他特殊情形时，要求还会不同，不宜套用统一方案。

验收口径

• 分析链路里看不到可直接定位到个人的字段。
• 身份与编号的映射关系单独存放，访问有记录。
• 非授权角色无法接触到个案明细，实测有效。
• 数据保留期限有明确规定，到期后有实际清理动作。