CN101727534B - 一种患者文档调阅授权控制方法及其系统 - Google Patents

Abstract

本发明公开了一种患者文档调阅授权控制方法及其系统，属于计算机软件技术领域。本发明的方法为：首先对患者文档进行分类，并根据医务人员的角色设置其对文档的访问权限和为该医务人员颁发相应数字证书；然后患者对自己的文档进行签名，同时设置医务人员的诊疗活动参与角色及其访问时间；最后系统根据医务人员角色、医务人员诊疗活动参与角色和访问时间确定该医务人员的文档调阅权限。本发明的系统包括医务人员证书注册机构、患者证书注册机构、证书授权机构、安全服务接口、访问控制模块、文档调阅客户端和文档库服务器。与现有技术相比，本发明即保护了患者个人隐私信息和医疗单位知识产权，又便于医务人员方便的使用患者文档。

Description

一种患者文档调阅授权控制方法及其系统

技术领域

本发明涉及一种文档访问方法，特别涉及一种患者文档调阅授权控制方法及其系统，属于计算机软件技术领域。

背景技术

随着国家医疗卫生体制改革的深化，区域协同医疗正逐步得到广大医务工作者的认可和支持，在区域系统医疗服务中必然会大量发生患者电子诊疗信息(文档)交叉调阅的情况，因此如何妥善管理患者诊疗文档，控制患者个人隐私散布范围，保护医疗卫生机构技术机密和知识产权成为亟待解决的技术问题。

目前患者诊疗文档多采用手工管理模式，将患者诊疗文档按级分类，相关领导签字后，医务人员领取使用。信息化诊疗文档管理多采用简单授权密码方式管理调阅。这样很难保证同时保护患者个人隐私和医疗机构知识产权且方便医务人员使用患者诊疗文档的需要。

发明内容

本发明的目的在于提供一种患者文档调阅授权控制方法及其系统，用于解决保护患者个人隐私兼顾保护医疗机构知识产权且方便医务人员使用患者诊疗文档的需要。

本发明的文档调阅授权控制系统，包括角色证书注册机构、证书授权机构、安全服务接口、访问控制模块、文档调阅客户端和文档库服务器。角色证书注册机构、证书授权机构、文档库服务器以网络形式连接、文档调阅客户端通过局域网或公网与文档库服务器连接，系统访问控制模块安装在文档库服务器，系统安全服务接口安装在文档调阅客户端、文档库服务器等所有需要验证访问者调阅权限的计算机系统。

本发明的技术方案为：

一种患者文档调阅授权控制方法，其步骤为：

1)对患者文档进行分类，设置每个患者文档的技术保密等级和患者隐私保密等级；

2)根据医务人员角色，设置该角色医务人员所能调阅的患者文档技术保密等级；

3)根据医务人员角色为该角色医务人员分发相应数字证书；

4)患者对自身的患者文档进行数字签名，并设置医务人员的诊疗活动参与角色；

5)根据医务人员的诊疗活动参与角色，设置该诊疗活动参与角色医务人员所能调阅的患者文档患者隐私保密等级；

6)系统根据医务人员数字证书中的角色和其诊疗活动参与角色确定该医务人员对患者文档的调阅权限。

所述技术保密等级分为：绝密、机密、秘密、和普通文档；所述患者隐私保密等级分为：严格限制级、限制级、一般；所述医务人员包括：医生、护士、检验人员、管理人员、统计分析人员。

所述数字证书采用x509.V3格式，且包括一角色扩展项；所述角色扩展项的角色信息为文本形式。

所述数字证书的分发方法为：

1)医务人员注册服务器将提交的医务人员个人资料发送到证书授权服务器；所述个人资料包括：角色、姓名、性别、专业、技术职务、学术头衔、外聘专家标志等

2)证书授权服务器对该医务人员的资料进行审核和证书签发；

3)证书授权服务器查询证书存储失效数据库，判断证书签发是否有效；

4)如果有效，则证书授权服务器将证书发放到医务人员注册服务器；

5)医务人员注册服务器批准签名，生成公、私钥并将其存储到USBKEY中；

6)医务人员注册服务器从USBKEY中导出并存储公钥，同时将证书存储到所述USBKEY中；

7)将所述USBKEY分发给该医务人员。

所述医务人员的诊疗活动参与角色包括：主管医师、主治医师、住院医师、一般参与者、参与专家。

所述患者设置医务人员的诊疗活动参与角色的同时，设置相应诊疗活动参与角色的访问时间和访问的文档种类。

所述方法中，患者通过自己的数字证书或者患者指定代理人的数字证书设置所述医务人员的诊疗活动参与角色及其相应的访问时间、访问的文档种类。

一种患者文档调阅授权控制系统，其包括医务人员证书注册机构、患者证书注册机构、证书授权机构、安全服务接口、访问控制模块、文档调阅客户端和文档库服务器；

所述医务人员证书注册机构、患者证书注册机构、证书授权机构、文档库服务器以网络形式连接；

所述文档调阅客户端通过局域网或公网与所述文档库服务器连接；

所述安全服务接口位于所述文档调阅客户端和文档库服务器，用于验证访问者数字证书的有效性，并提取有效数字证书的角色信息给所述访问控制模块；

所述访问控制模块位于所述文档库服务器，用于根据用户数字证书的角色类别和该用户的诊疗活动参与角色，确定该用户拥有的患者文档调阅权限；

所述文档库服务器用于对患者文档进行分类，设置每个患者文档的技术保密等级和患者隐私保密等级，同时设置每一医务人员角色所能调阅的患者文档技术保密等级以及每一医务人员诊疗活动参与角色所能调阅的患者文档患者隐私保密等级；

所述医务人员证书注册机构用于注册医务人员的个人资料；

所述患者证书注册机构用于患者对自身的患者文档进行数字签名，并设置医务人员的诊疗活动参与角色；

所述证书授权机构用于根据医务人员的个人资料签发数字证书；

所述文档调阅客户端用于为访问者提供访问入口。

所述数字证书采用x509.V3格式，且包括一角色扩展项；所述角色扩展项的角色信息为文本形式。

所述患者证书注册机构还可用于患者设置医务人员诊疗活动参与角色的访问时间和访问的文档种类。

本发明的积极效果为：

通过对患者诊疗文档的分类和患者医疗活动参与者角色的划分，由医疗机构和患者按需要分别赋予医疗卫生人员相应的角色身份，共同保护患者个人隐私信息和医疗单位知识产权，且便于医疗卫生人员方便的使用患者诊疗文档。

附图说明：

图1安全访问控制整体结构；

图2本发明的方法流程图；

图3CA、RA证书发放流程；

图4基于角色的访问控制模型；

图5MCS的体系结构图；

图6证书管理的逻辑结构图；

图7本发明的具体应用流程图。

具体实施方式

一、患者文档的分类

患者医疗文档的保密等级分类按照便于管理和控制的原则执行，分类按技术保密和信息隐私两种方式同时划分，平行使用。

1、技术保密等级

技术保密方式主要目的用以保护医院的技术秘密和经营管理秘密，其中患者医疗文档可划分为绝密、机密、秘密和普通资料。其中绝密为涉及医院核心技术机密的文档，机密为涉及医院重要技术机密的文档，秘密为涉及医院技术秘密的文档，普通资料为无保密技术含量的文档。

多数患者的医疗文档为普通资料等级，允许医疗、管理人员使用；秘密级文档允许有涉密权限的医疗、管理人员使用；机密级文档允许有涉猎重要权限的医疗、管理人员使用；绝密级文档只允许进行核心技术秘密研究的医疗、管理人员使用。

2、信息隐私保密等级

信息隐私保密方式主要是根据文档的信息内容确定保密等级，以保护患者隐私和重要公共卫生信息，其中各类文档可划分为严格限制级、限制级、一般资料。其中严格限制级为涉及患者隐私或严重公共卫生信息秘密的文档，限制级为涉及患者一般隐私或一般公共卫生信息秘密的文档，一般资料指不包含患者诊疗信息和其它隐私的文档。

严格限制级文档一般仅由患者私人医生或主治责任医生使用；限制级文档通常由与患者治疗相关的医卫人员使用；一般资料可由院内相关人员使用。

上述文档分类在日常工作中是并且的关系，如某位患者的资料是绝密级和严格限制级，显然在未获得患者本人特殊授权情况下就只能由能涉及核心机密的患者责任医师使用二、患者文档的分类授权和分时授权

患者文档使用授权包括类型授权和时段授权，用以控制患者文档的使用范围。

1、患者文档分类授权

患者文档一般由患者按相应医疗卫生角色予以授权(特殊情况下，患者可指定授权)，患者可对自己的责任医师、主治医师和医疗活动参与人员指定文档使用权限，保密等级可按严格限制级或限制级执行，默认情况下，上述人员使用患者文档的时限为患者就诊期间内。

患者文档的使用者同时会被文档管理机构按技术保密等级按相应医疗卫生角色予以授权。文档管理机构会按涉密等级对医疗卫生人员授权，不同保密等级的医卫人员可以使用相应技术保密等级的患者文档。

这两种文档分类授权是并行执行的，以保护患者和医疗机构自身的权益。

2、文档分时授权

分时授权主要由患者完成，以控制文档的散布面积。

1)默认授权

患者在就诊期间应与医院签署相应的保密协议，在该协议中应包含两种患者资料使用的授权时限：一是在患者就诊时限内参与患者治疗活动的医卫人员，可以按不同的信息保密等级使用患者文档；二是患者医疗机构可定时或永久按技术保密等级研究和使用患者诊疗文档。

2)临时授权

当主治医师需要调阅患者诊疗记录时，有可能需要患者临时授权。此时，患者可授权医师限时使用自己的某类或全部诊疗文档。

三、患者文档授权凭证的分发与流转使用过程

授权(Authorization)指确定参与会话的行为人拥有访问指定数据的权利。患者可以通过授权，使得医疗服务人员能够访问自己的诊疗文档。

我们认为公钥基础设施(Public Key Infrastructure，PKI)和基于角色的访问控制(Role-based Access Control，RBAC)结合是一种完善的解决方案。PKl的原理是基于公钥加密体制中密钥的非对称特性，由证书授权机构(Certificate Authority.CA)签发的“数字证书”来证明用户的身份和自己的公、私钥之间的对应关系.RBAC是对传统的访问控制机制自主型访问控制(Discretionary Access Control，DAC)和强制型访问控制(Mandatory AccessControl，MAC)的改进，它基于用户在系统中所起的作用设置其访问权限。与DAC相比，它以非自主性取代自主性访问授权，提高了系统的安全性；与MAC相比，它以角色控制取代用户控制，提高了系统的灵活性。

本发明的方法流程如图2所示。

1)分发医护人员数字证书和角色授权

医疗RA中心按照医护人员工作不同分别设置医生、护士、检验、管理等角色，每个角色可被赋予某一个保密等级，医疗RA根据角色数据库的规定确定医护人员的角色，并提交给CA封装在数字证书中。完成医护人员个人数字证书的分发。

2)患者授权

患者使用个人数字证书为自己的文档签名，以保证记录的原始性。在需要的时候用个人数字证书为主治医生和相关医护人员调阅自己的诊疗文案提供授权和授权时段。

系统将授权信息提交给患者RA管理中心。在患者RA的参与角色数据表中赋予某个或若干个医护人员为患者诊疗活动参与者角色身份(含时段限制)，角色身份包括主管医师、主治医师、住院医师、一般参与者、参与专家等等。

3)权限验证

系统访问控制模块根据使用者数字证书中的角色信息和医疗RA的资源访问控制列表(由文档分类决定)(Access Control List，ACL)确定访问者的使用权限。

4)权限撤销

当患者要求或患者在资源访问控制列表中指定限制时段到期时，患者RA管理中心撤销医护人员的患者诊疗活动参与者角色身份，医师文档调阅权限自行终止。

本系统包括：角色证书注册机构(Registration Authority，RA)，证书授权机构(CertificateAuthority，CA)，安全服务接口，访问控制模块和文档库服务器(图1)。角色证书注册机构、证书授权机构、文档库服务器以及文档调阅客户端以网络形式连接，系统访问控制模块安装在文档库服务器，系统安全服务接口安装在文档调阅客户端、文档库服务器等所有需要验证访问者调阅权限的计算机系统。

角色RA分为医务RA和病人RA两类，分别受理医护人员和病人的角色管理工作。两种RA均采用USBKEY存储安全证书。CA接收并处理各医务人员在医务RA的证书业务请求，并对用户数字证书进行包括更新、作废、验证、密钥、备份和归档等在内的管理。

安全服务接口为应用系统的安全功能开发提供了统一接口，它安装于文档调阅客户端(如医务工作站、护士工作站等)和共享文档服务器。访问控制模块能根据用户数字证书的角色类别，确定用户拥有的文档调阅权限。

文档库服务器的主要功能是存储和管理文档数据。在安全体系中主要用来验证CA发布的证书和存储失效证书列表(CRL)，并运行上述的访问控制模块和安全服务接口。

1、系统的安全策略

1)数字证书

医护人员和病人的数字证书均选用x509.V3格式(如表1所示)。

基于访问者的工作性质通过角色模型来实现访问控制策略，以防非法使用。角色作为数字证书的扩展项依赖CA的数字签名保证其真实性。数字签名USBKEY能够保证私钥在存储和使用的过程中绝对保密，因此是实施PKI时用户私钥的理想存储介质。

表1数字证书格式

 

格式的版本
	序列号
签发者名字
	证书主体名字
数字签名算法
	证书有效期
证书主体公钥
	签发者唯一标识
证书主体唯一标识
	文档调阅角色(**此项为扩展项**)
CA签名

图3表示本方案的医护人员数字证书的管理流程。医护人员的数字证书发放可按照医护人员工作角色的不同设置医生、护士、检验、管理等角色，每个角色可被赋予某一个保密等级，医护人员同时还可以被赋予为某个或若干个患者角色的诊疗活动参与者身份(含时段限制)。

具体工作过程为：

1)RA将提交的医务人员个人资料发送到CA；所述个人资料包括：角色、姓名、性别、专业、技术职务、学术头衔、外聘专家标志等信息

2)CA对该医务人员的资料进行审核和证书签发；

3)CA查询证书CRL数据库，判断证书签发是否有效；

4)如果有效，则CA将证书发放到RA；

5)RA批准签名，生成公、私钥并将其存储到USBKEY中；

6)RA从USBKEY中导出并存储公钥，同时将证书存储到所述USBKEY中；

7)将所述USBKEY分发给该医务人员。

2)访问控制模型

基于角色的访问控制模型如图4所示。角色RA根据角色数据库的规定确定医护人员的角色，并交给CA封装在数字证书中。系统访问控制模块根据访问者数字证书中的角色信息和资源访问控制列表(Access Control List，ACL)确定访问者的使用权限。

具体工作过程为：

●医院确定医护人员(访问者)工作角色；

●角色RA向CA提交角色信息，CA将其封装在医护人员数字证书中；

●患者诊疗文档生成时医疗机构确定其技术保密等级，患者确定其个人隐私保密等级(默认为限制级)，并将限制条件写入医护人员RA中的资源访问控制列表；

●患者在患者RA中修改参与角色数据表，赋予医护人员(访问者)诊疗活动参与角色；

●医护人员(访问者)获取患者诊疗文档时，首先验证证书是否有效；而后访问控制模块从证书中获取访问者的角色信息，并在患者RA中检查该访问者是否为该患者诊疗活动参与者，同时获取访问者在该患者诊疗活动中的角色信息；

●访问控制模块从ACL中获取该文档的控制信息；

●根据判断结果决定是否提供患者文档。

角色按照医务人员的工作内容采用面向对象的方法来定义。角色对象存储在文档服务器中。文档调阅系统的医务人员访问角色可分为医生、护士、检验、统计分析、管理等，并可通过维护角色定义数据库进行添加和删除。

3)患者授权策略

由于患者的数量很大且具有较强的流动性。患者授权策略应该有效地满足管理患者数字证书和授权方式且便于医生获取需要的权限。

●患者分类

在医院就诊的居民可能是本区域内辖区居民，也可能是外来居民。本地居民在本区域内建有居民健康档案，拥有个人保管的数字证书。外来居民则没有。为此要将居民分为三类：第一类为正常的社区常住居民，他们建有区域社区居民健康档案，且由区域CA认证中心颁发个人数字证书；第二类也为社区常住居民，他们建有区域社区居民健康档案，但没有个人数字证书，如新生儿、未成年人等；第三类为外来就诊患者。这三类患者在个人诊疗记录的安全授权方式上是不相同的。

●患者授权

第一类居民可以使用个人数字证书为自己的当前就诊记录签名，以保证记录的原始性。他们还需要用个人数字证书赋予参与自己就诊活动的医护人员为自己就诊活动的参与者角色，为主治医生调阅自己的个人健康档案提供授权。

第二类居民需要指定就诊代理人，且代理人必须是第一类居民。第二类居民使用代理人的个人数字证书完成就诊签名和共享文档调阅授权。

对第三类居民不提供共享文档服务，在他们就诊的医院可以为其建立电子病历，但在原始诊疗记录中只提供医生的数字签名。

2、系统构成

按照软件系统构件化的思想，将整个安全系统分为证书管理、安全应用接口和系统整体安全化3个部分实现，其中每个部分可以进一步细化为一个或几个子系统。

1)证书管理

作为管理和发布数字证书的平台，Windows2000的MCS(微软证书管理系统)的体系结构见图5。可通过定制策略模块、退出模块等来改变CA的证书管理方式。

为了满足对证书申请和角色扩展项的处理，对MCS的策略模块进行了新的定制。加入了对申请人、提交人信息、有效期限的审核，并将有关的角色信息以文本的形式加入到证书的扩展项。

RA管理界面采用Web方式实现(图6)，IE浏览器自带的Xenroll控件提供了证书的方法接口。

2)安全服务接口(安全模块)

安全模块按实现位置可分为医务工作站模块和文档服务器模块。医务工作站模块在医务工作站上实现，具有数字签名、签名验证、对称和非对称加解密以及读取证书等多种功能。在接口的设计方面尽量与CryptAPI统一，以便日后的功能扩展。文档服务器模块在文档库服务器上分证书处理和访问控制两个子模块实现。证书处理根据证书CRL数据库检验证书的有效性，通过后从证书中提取该证书的角色信息送往访问控制子模块。访问控制子模块根据资源ACL监控每个访问连接的资源请求。实现时为了减少对ACL表的访问，访问控制子模块内为每个访问连接建立一个其角色所对应的权限对象。权限对象的每个属性反映了与它相对应连接的资源权限，它随连接的建立而建立，随连接的断开而释放。

3.本发明的具体应用流程

如图7所示为本发明的一个具体应用流程，在医护人员RA、患者RA上已经有了医护人员的角色信息，患者文档也已经按医院和患者的要求进行了技术和信息分类的基础上的访问控制实施过程：

1.首先医护人员登录调阅系统，完成身份验证；

2、系统从医务RA上获取该医务人员的身份角色，自动赋予角色拥有的技术保密权限；

3、医务人员申请调阅患者文档；

4、系统从资源访问控制列表获取该文档的控制条件(如属于哪位患者、信息保密等级、技术保密等级等)；

5、系统从患者RA上获取该医务人员充当的患者诊疗活动参与角色及角色权限信息(如主治、住院、其他参与者、特别指定者等)；

6、系统判断该医务人员是否拥有调阅给文档的权限；

7、根据判断结果决定是否提供患者文档。

Claims (10)

1.一种患者文档调阅授权控制方法，其步骤为：

1)对患者文档进行分类，设置每个患者文档的技术保密等级和患者隐私保密等级；

2)根据医务人员角色，设置医务人员所能调阅的患者文档技术保密等级；

3)根据医务人员角色为该角色医务人员分发相应数字证书；

4)患者对自身的患者文档进行数字签名，并设置医务人员的诊疗活动参与角色；

5)根据医务人员的诊疗活动参与角色，设置该诊疗活动参与角色医务人员所能调阅的患者文档患者隐私保密等级；

6)系统根据医务人员数字证书中的角色和医务人员的诊疗活动参与角色确定该医务人员对患者文档的调阅权限。

2.如权利要求1所述的方法，其特征在于所述技术保密等级分为：绝密、机密、秘密、和普通文档；所述患者隐私保密等级分为：严格限制级、限制级、一般；所述医务人员包括：医生、护士、检验人员、管理人员、统计分析人员。

3.如权利要求2所述的方法，其特征在于所述数字证书采用x509.V3格式，且包括一角色扩展项；所述角色扩展项的角色信息为文本形式。

4.如权利要求3所述的方法，其特征在于所述数字证书的分发方法为：

1)医务人员注册服务器将提交的医务人员个人资料发送到证书授权服务器；所述个人资料包括：角色、姓名、性别、专业、技术职务、学术头衔、外聘专家；

2)证书授权服务器对该医务人员的资料进行审核和证书签发；

3)证书授权服务器查询证书存储失效数据库，判断证书签发是否有效；

4)如果有效，则证书授权服务器将证书发放到医务人员注册服务器；

5)医务人员注册服务器批准签名，生成公、私钥并将其存储到USBKEY中；

6)医务人员注册服务器从USBKEY中导出并存储公钥，同时将证书存储到所述USBKEY中；

7)将所述USBKEY分发给该医务人员。

5.如权利要求1所述的方法，其特征在于所述医务人员的诊疗活动参与角色包括：主管医师、主治医师、住院医师、一般参与者、参与专家。

6.如权利要求5所述的方法，其特征在于所述患者设置医务人员的诊疗活动参与角色的同时，设置相应诊疗活动参与角色的访问时间和访问的文档种类。

7.如权利要求6所述的方法，其特征在于患者通过自己的数字证书或者患者指定代理人的数字证书设置所述医务人员的诊疗活动参与角色及其相应的访问时间、访问的文档种类。

8.一种患者文档调阅授权控制系统，其包括医务人员证书注册机构、患者证书注册机构、证书授权机构、安全服务接口、访问控制模块、文档调阅客户端和文档库服务器；

所述医务人员证书注册机构、患者证书注册机构、证书授权机构、文档库服务器以网络形式连接；

所述文档调阅客户端通过局域网或公网与所述文档库服务器连接；

所述安全服务接口位于所述文档调阅客户端和文档库服务器，用于验证访问者数字证书的有效性，并提取有效数字证书的角色信息给所述访问控制模块；

所述访问控制模块位于所述文档库服务器，用于根据访问者数字证书的角色类别和用户的诊疗活动参与角色，确定该用户拥有的患者文档调阅权限；

所述文档库服务器用于对患者文档进行分类，设置每个患者文档的技术保密等级和患者隐私保密等级，同时设置每一医务人员角色所能调阅的患者文档技术保密等级以及每一医务人员诊疗活动参与角色所能调阅的患者文档患者隐私保密等级；

所述医务人员证书注册机构用于注册医务人员的个人资料；

所述患者证书注册机构用于患者对自身的患者文档进行数字签名，并设置医务人员的诊疗活动参与角色；

所述证书授权机构用于根据医务人员的个人资料签发数字证书；

所述文档调阅客户端用于为访问者提供访问入口。

9.如权利要求8所述的系统，其特征在于所述数字证书采用x509.V3格式，且包括一角色扩展项；所述角色扩展项的角色信息为文本形式。

10.如权利要求8所述的系统，其特征在于所述患者证书注册机构还能够用于患者设置医务人员诊疗活动参与角色的访问时间和访问的文档种类。

Images