CN102419810B - 一种高可信度电子病历证明方法 - Google Patents

Abstract

本发明公开了一种高可信度电子病历证明方法，用户通过客户端进行注册和登录后即可进行证明服务，具体为：登记--用户向服务器提交电子病历哈希值；服务器生成登记证明书发送至客户端；验证--服务器将重新计算的电子病历哈希值、重新计算的超级哈希值与登记证明书记载的对应信息进行比对并将结果发送至客户端；系统可靠性证明--系统定期计算集约了期间内所有超级哈希值的期间哈希总值并公布，公证机构对此进行公证；验证时重新计算期间哈希总值并与之前经过公证并公布的期间哈希总值进行比对；根据比对结果，判定系统是否可靠运行。本方法不仅能够证明某电子病历的原本性，而且还能对系统本身的可信性进行验证，安全高效。

Description

一种高可信度电子病历证明方法

技术领域

本发明属于信息安全技术领域，具体涉及在线登记、验证电子病历是否被篡改的证明方法。

背景技术

随着中国信息化进程的推进，卫生部2010年启动了开展电子病历试点的工作，2011年卫生部办公厅又发出了《关于推进以电子病历为核心医院信息化建设试点工作的通知》，要求着眼于深化医药卫生体制改革，开展以电子病历为核心的医院信息化建设试点工作，以促进医院信息系统建设，提高医院信息化管理水平。最高人民法院颁布的《关于民事诉讼证据的若干规定》中规定：由医疗纠纷引起的诉讼案件,应“由医疗机构就医疗行为与损害结果之间不存在因果关系及不存在医疗过错承担举证责任”。可以想见，随着电子病历的普及，出现医患纠纷的场合，电子病历不可避免地需要作为关键证据进入纠纷解决程序。而《中华人民共和国侵权责任法》第五十八条规定：患者有损害，因下列情形之一的，推定医疗机构有过错：（三）伪造、篡改或者销毁病历资料。由于电子病历极易篡改且不留痕迹，因此，为了满足最佳证据规则的要求，不仅需要对电子病历进行妥善保管和运用，确保其具有原件价值，还需要证明某一电子病历在某一时间点确已存在,且自该时间点起没有篡改，以证明电子病历具有原本性（或称原件价值，下同），从而为权利保护和纠纷解决提供可靠的证据。

使用单向Hash函数生成某电子数据的数字摘要信息后存储下来，通过日后重新生成该电子数据的数字摘要信息（也称数字指纹或哈希值），再与之前所存储的信息进行比较可以检查该电子数据是否发生变化，从而实现电子数据完整性检验——如果数字摘要信息不完全相同，则数据已发生变化，否则数据没有变化。基于该技术，如果再融入时间戳技术即可证明某一电子病历在某一时间点确已存在，且自该时间点起没有篡改。

哈希技术和时间戳技术本身已经比较成熟，但数据原始性、真实性成立或完整性检验方法成立的条件是数字摘要信息由中立的可信赖的一方持有，或能可通过其他手段证明其可靠性。目前国内外尚无完整的稳定的技术方案保证这一条件的实现。

国内目前只有北京时间联合信任技术服务有限公司提供的可信时间戳服务，但该项服务采用的相关技术方案没有实现数据原始性、真实性成立或完整性检验方法成立的条件。如其提供的时间戳证书所载条目过于简单，且无外部监督机制，因此当内部人员对时间戳证书本身进行篡改时无法验证，因此该项服务的可信性无法证明。

目前国内的电子病历由医疗机构的管理系统自身采取部分技术手段、加入监管模块来证明其真实性。实际上电子病历管理系统中的系统管理超级用户或脱离管理系统约束的直接数据访问都有可能篡改电子病历，在发生医疗纠纷时电子病历的证明效力较差，缺乏电子病历真实性的连续证明能力和外在验证的机制，且医疗机构具有“同时担任运动员和裁判员”的矛盾，其可信度受到质疑。

所以，目前还缺乏可靠的电子病历真实性证明方法。

发明内容

    针对现有技术存在的上述不足，本发明的目的是提供一种安全高效的由第三方从技术上证明电子病历具有原本性的证明方法。本方法不仅能够证明某一份电子病历自提交其哈希值于电子病历证明服务中心保存时起内容是否被篡改，而且通过对登记证明过程的新颖设计和外部监督机制还能对系统本身的可信性进行验证。

本发明的技术方案是这样实现的：一种高可信度电子病历证明方法，本证明方法的基础是建立由服务器和客户端构成的证明服务系统，用户通过客户端进行注册和登录后即可进行电子病历证明服务，具体证明过程为：

S1---登记 

S11：用户通过客户端向服务器提交电子病历哈希值a；

S12：服务器将该电子病历哈希值a和接收到的其他哈希值采用树结构一起进行哈希聚集，生成若干根哈希，每个根哈希生成时获取不同的树序列号；

S13：构建时序哈希链，将上步所得若干根哈希、当前时间片T的时间以及前一时间片的超级哈希值SHV(T-1)一起计算当前时间片超级哈希值SHV(T)；

S14：该超级哈希值SHV(T)和所述电子病历哈希值a一起存储于服务器中；

S15：服务器生成带有电子戳和时间标签的电子病历登记证明书并发送至客户端，电子病历登记证明书上的信息包括所述电子病历哈希值a、其他哈希值、根哈希和前一时间片的超级哈希值SHV(T-1)；

S2---验证

S21：用户通过客户端向服务器提交验证请求并提交重新计算的电子病历哈希值a’；

S22：服务器比较电子病历登记证明书记载的电子病历哈希值a和重新计算的电子病历哈希值a’，如果两者不相同，表明电子病历已经篡改，转步骤S25；否则，进行下一步；

S23：客户端将电子病历登记证明书中记载的原电子病历哈希值a由重新计算的电子病历哈希值a’代替后再与电子病历登记证明书中其它相关哈希值计算得到新的超级哈希值SHV(t’)，将该新的超级哈希值SHV(t’)发送到服务器；

S24:服务器将该新的超级哈希值SHV(t’)与之前保存的超级哈希值SHV(T)进行比对；如果SHV(t’)与SHV(T)相同，则表明该电子病历自登记时起没有被篡改，从登记时刻起已经存在；反之，则表明该电子病历已经被篡改；

S25：生成包含电子病历是否被篡改结论的验证结果证明书并发送至客户端。

本证明方法还包括对证明服务系统自身运行可靠性进行证明的过程，系统可靠性证明过程为：

S31:系统定期（如每隔一周）计算集约了期间内所有超级哈希值的期间哈希总值（周哈希总值），公证机构到场对此进行公证,并把包含期间哈希总值的公证结果向外界公布（实际操作时，是发布在运营本系统的公司网站上）；

S32:事后需要证明系统运行可靠性时，重新计算期间哈希总值，将其与之前经过公证并公布的期间哈希总值进行比对；根据比对结果，判定系统是否可靠运行；

S33：如两者结果相同，则系统运行可靠，具有可信性；否则，系统运行不可靠。系统存在不当操作，某些数据存在变化，相关结论不足为凭。

本方法不仅能够证明某一份电子病历自登记到验证这段时间是否有篡改，并且通过特别的技术设计确保证明结论可信性相当高，因为有验证需要的客户其登记证书上不光记载了自己的哈希值，同时也记载了其他（伙伴）哈希值、根哈希和前一时间片的超级哈希值SHV(T-1)，就算篡改了自己的电子病历，但要一起篡改其它哈希值是非常困难的，即作假难度大。另外与自己哈希值相关的当前时间片的超级哈希值SHV(T)在后面的客户登记证书上有体现，如果篡改自己的电子病历，会引起重新计算的超级哈希值SHV(T)与后面客户登记证书上记载的超级哈希值SHV(T)不相同，而要修改后面客户登记证书上记载的超级哈希值SHV(T)更加困难，因为通常不知道后面的客户是谁。一旦结论为电子病历没有被篡改，即说明自提交电子病历哈希值于电子病历证明服务系统保存时起该电子病历确实存在，之后内容也没有被篡改，从而确保电子病历的原件价值。

由于上述证明过程主要是由服务系统自身完成的，为了使服务系统自身对外具有高的可靠性，以免因为自身原因使人对证明结论产生怀疑，本发明利用外部监督机制还实现了对系统本身的可信性进行验证，验证时通过定期公证和公布期间哈希总值的方式，使这种验证的可信性也非常高。

附图说明

图1为本发明所述系统的系统架构图。

图2为本发明所述系统的功能模块图。

图3为本发明所述系统的服务流程图。

图4为本发明所述系统的登记服务模块流程图。

图5为本发明所述系统的验证服务模块流程图。

图6为本发明所述系统的可信性证明模块流程图。

具体实施方式

下面结合附图对本发明进行详细说明。

本发明通过提供电子病历哈希值登记服务和验证服务来证明某用户提交哈希值的电子病历自某一时刻起确实存在，之后没有被篡改。同时通过系统运行可信性证明来表明系统自身的安全可靠性。本证明方法的基础是建立由服务器和若干客户端构成的证明服务系统，用户通过各自的客户端进行注册和登录后即可进行电子病历证明服务。

（1）登记服务。根据电子病历原件计算哈希值，将哈希值发送至证明服务器，接受证明服务器返还的电子病历原件登记证明书，将原始电子病历和其证明书一同保管。通过登记服务可以确定电子病历原件存在的时刻，赋予电子病历原件安全身份标识号码。

（2）验证服务。根据电子病历原件再次计算哈希值，将再次计算的哈希值与电子病历证明书记载的哈希值进行比对，如相同，则重新计算根哈希值和超级哈希值发送至服务器，服务器进行超级哈希值比对,用户从服务器接受比对结果。通过验证服务可以证明某一电子病历原件是否被篡改以及存在时刻。

（3）系统可信性证明。为保证系统的可信性，定期公证系统运行情况。具体方式是，系统定期（如每隔一周）计算集约了期间内所有超级哈希值的期间哈希总值（周哈希总值），公证机构到场进行公证,并把公证结果（包含周哈希总值）发布在运营本系统的公司网站上。在系统通过比对超级哈希值得出数据未被篡改的场合，法院等机构有可能要求运营本系统的公司证明服务器运行过程中不存在不当操作，这时，相关公司可以将用户发送哈希值这一周的超级哈希值的全部记录以及周哈希总值（公司网站上公布的公证结果）提交给法院，便可以证明没有不当操作行为，从而证明系统的可信性。

本发明涉及用户、服务商、公证机关三个方面的主体。服务商向用户提供电子病历证明服务，公证机关通过对系统运行情况进行定期公证的方式，为系统可信性证明提供具有可采性的证据。服务系统包括安装有客户软件和中间件的客户端C、服务端A和实现信息交互的可靠通信信道N。系统架构见图1。

为了安全、高效地实现上述证明服务，本发明所设计的证明服务系统提供如下功能模块，见图2（系统服务功能模块图），根据该图可以从功能的角度理解服务系统。

用户管理模块U，用于实现用户信息的登记、注册，约定用户身份认证方法及其必要的附属信息，以及其他实现服务的管理功能，主要包括用户注册、用户更新、用户服务协议管理、用户身份认证等子模块，根据不同类别用户及特殊需求提供个性化用户服务；

电子病历登记模块B，接收用户提交的电子数据或哈希值，安全存储相关数据，和其他哈希值一起进行哈希聚集，融入具有不可预测性的公开信息，并和前期哈希值共同构建时序哈希链，并安全存储，依据用户服务协议，加入时间标签，生成带有电子戳的电子病历登记证明书，主要包括安全存储、哈希聚集、时序哈希链构建、证明书生成等子模块；

电子病历验证模块V，根据用户提交的验证请求、哈希值、证明书，对具有电子签名的证明书先调用数字签名及验证模块进行解密，对相关哈希值进行比对；进一步与系统中存储的电子病历哈希值进行比对，重构局部哈希树，并重构某一时间范围内的时序哈希链，与所公开的超级哈希值进行比对，生成验证结论证明书，必要时附加服务机构的可靠电子签名；主要包括快速查找、局部哈希树重构、时序哈希链重构、验证结论证明书生成等子模块；

系统可信性证明模块M，系统定期（如每隔一周）计算集约了期间内所有超级哈希值的期间哈希总值（周哈希总值），公证机构到场进行公证,并把公证结果（包含周哈希总值）发布在运营本系统的公司网站上；

加解密及通信模块E，从应用服务的层次对发送数据进行加密，进行数据发送和接收，并在接收到数据后进行解密，实现客户端和服务端之间信息的保密交换，确保用户使用电子病历证明服务的过程不被非法监视，主要包括数据加密模块、数据解密模块、数据发送模块、数据接收模块。

本发明整体流程如图3所示，系统实现包括以下步骤：

S1：用户注册，若用户未在系统中注册，先提交相关证明材料，填写相关用户资料，协商双方服务约定，由用户管理模块实现；用户可在必要时更新注册资料； 

S2：依据服务约定，用户安装客户端，医疗机构等电子病历用户安装管理中间件软件、在电子病历系统中添加病历证明功能菜单或触发按钮；如已准备好客户端，可直接进入S3； 

S3：用户登录（或系统自动登录，建立安全连接），服务端确认用户身份；

S4：利用电子病历证明服务系统之登记服务功能，如用户需要暂停服务转S7，否则重复S4；

S5：利用电子病历证明服务系统之验证服务功能，如用户需要暂停服务转S7，否则重复S5；

S6：启用电子病历证明服务之可信性证明功能；

S7：退出服务。

进一步，上述步骤S2中客户端部署的功能模块包括：

用户管理模块Uc，实现部分用户管理信息录入、用户身份认证信息获取或录入；

电子病历登记服务模块Bc，调用单向哈希函数生成电子数据哈希值，发送电子病历哈希值，存储电子病历登记证明书；

电子病历验证服务模块Vc，对电子病历进行哈希处理，利用相关哈希值、根哈希和对应时刻的超级哈希，提交用户的验证请求、超级哈希等相关信息，获得验证结论证明书等；

加解密及通信模块Ec，从应用服务的层次对发送数据进行加密，进行数据发送和接收，并在接收到数据后进行解密，实现客户端与服务端之间信息的保密交换，确保用户使用电子病历证明服务的过程不被非法监视，主要包括数据加密模块、数据解密模块、数据发送模块、数据接收模块；以及哈希函数运算模块。

进一步，所述步骤S2中服务端A部署的功能模块有：

用户管理模块Ua，用于实现用户信息的登记、注册，约定用户身份认证方法及其必要的附属信息，以及其他实现服务的管理功能，主要包括用户注册、用户更新、用户服务协议管理、用户身份认证等子模块，根据不同类别用户及特殊需求提供个性化用户服务；

电子病历登记服务模块Ba，接收用户提交的电子病历哈希值，安全存储相关数据，和其他哈希值一起进行哈希聚集，并和前期哈希值共同构建时序哈希链，并安全存储，依据用户服务协议，加入时间标签，生成电子病历登记证明书，主要包括安全存储、哈希聚集、哈希链构建、证明书生成等子模块；其中安全存储模块，安全地存储用户电子病历，分时段存储所有相关哈希值，采取数据安全措施保证存储系统可靠性备份，证书签名；

电子病历验证服务模块Va，根据用户提交的验证请求相关信息，调用数字签名及验证模块进行解密，对相关哈希值进行比对；进一步与系统中存储的超级哈希值进行比对，生成验证结论证明书，附加服务机构的可靠电子签名及可视化电子公章等；

加解密及通信模块Ea，从应用服务的层次对发送数据进行加密，进行数据发送和接收，并在接收到数据后进行解密，实现客户端和服务端之间信息的保密交换，确保用户使用电子病历证明服务的过程不被非法监视，主要包括数据加密模块、数据解密模块、数据发送模块、数据接收模块；

证书签名及验证模块Da，对证书相关信息哈希值实现签名，即使用服务商私钥进行加密，用服务商公钥对证书中加密哈希值进行解密并调用哈希函数将相关信息生成哈希值进行比对，主要包括证书签名、签名解密等子模块。

其他模块主要有哈希函数运算、系统运行信息获取与发布模块。

进一步，可靠通信信道N根据业务的需要可以是加密的互联网应用连接、基于专门建立的VPN通道或者专用连接。

进一步，所述步骤S4中登记服务如图4所示，主要包括如下步骤：

S41：用户通过客户端中间件提交电子病历哈希值a；

S42：服务端安全存储相关数据；

S43：服务端将该客户哈希值a和接收到的其他哈希值一起进行哈希聚集，生成根哈希；依据业务需求系统实现时采用并行处理，可在当前时间片生成多个根哈希，每个根哈希生成时获取了不同的树序列号；

S44：构建时序哈希链，将S43所得若干根哈希、当前时间片T的时间以及前一时间片的超级哈希值SHV(T-1)一起计算当前时间片超级哈希值SHV(T)；

S45：和步骤S42涉及的相关数据一起安全存储；

S46：依据用户服务协议，加入时间标签，生成带时间戳的电子病历登记证明书；电子病历登记证明书上的信息包括所述电子病历哈希值a、其他哈希值、根哈希和前一时间片的超级哈希值SHV(T-1)；

S47：把登记证明书发送至客户端。

进一步，所述步骤S5中验证服务如图5所示，主要包括如下步骤：

S51：用户通过客户端向服务器提交验证请求并提交重新计算的电子病历哈希值a’；比较用户证明书中保存的哈希值a和重新计算的电子病历的哈希值a’，如果两者不相同，则表明电子病历已经篡改，验证程序不再进行，转S54；否则，进行下一步；

S52：客户端将电子病历登记证明书中记载的原电子病历哈希值a由重新计算的电子病历哈希值a’代替后再与电子病历登记证明书中其它相关哈希值计算得到新的超级哈希值SHV(t’)，将该新的超级哈希值SHV(t’)发送到服务器；

S53: 电子病历证明服务器接收到用户从客户端发来的超级哈希值SHV(t’)后将其与保存在服务器端的超级哈希值SHV(t)进行比对；如果SHV(t’)与SHV(t)相同，则表明该电子病历原件自登记时起没有被篡改，从登记时刻起其已经存在；如果SHV(t’)与SHV(t)不同，则表明该电子病历原件已经被篡改；

S54：生成验证结果证明书，结论为自某一时刻起某用户的相关文档内容无任何变化，具有原本性；或结论为某用户的相关文档内容已经被篡改，不具有原本性；

S55：把验证结果证明书发送至客户端；

进一步，所述步骤S6中可信性证明功能包括如下步骤，见图6：

S61:系统定期（如每隔一周）计算集约了期间内所有超级哈希值的期间哈希总值（周哈希总值），公证机构到场对此进行公证,并把包含期间哈希总值的公证结果向外界公布（实际操作时，是发布在运营本系统的公司网站上）；

S62: 如事后需要证明服务器运行可靠性，重新计算周哈希总值，将其与公布的周哈希总值（公司网站上公布的公证结果）进行比对；根据比对结果，判定系统是否可靠运行；

S63：如两者结果相同，则系统运行安全、可靠，具有可信性；否则，系统存在不当操作，某些数据存在变化，相关结论不足为凭。

进一步，所述步骤S46中电子病历登记证明书主要条目有：

文档登记日期与时间标签、文档安全身份标识号，文档哈希值及构建根哈希的若干连锁哈希值和前一时刻的超级哈希值、证书签发者(服务商)基本信息以及证书签发者对前述所有信息进行的电子签名。

本发明的上述实施例仅仅是为说明本发明所作的举例，而并非是对本发明的实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其他不同形式的变化和变动。这里无法对所有的实施方式予以穷举。凡是属于本发明的技术方案所引申出的显而易见的变化或变动仍处于本发明的保护范围之列。

Claims (2)

1.一种高可信度电子病历证明方法，本证明方法的基础是建立由服务器和客户端构成的证明服务系统，用户通过客户端进行注册和登录后即可进行电子病历证明服务，其特征在于：具体证明过程为：

S1---登记 

S11：用户通过客户端向服务器提交电子病历哈希值a；

S12：服务器将该电子病历哈希值a和接收到的其他哈希值采用树结构一起进行哈希聚集，生成若干根哈希，每个根哈希生成时获取不同的树序列号；

S13：构建时序哈希链，将上步所得若干根哈希、当前时间片T的时间以及前一时间片的超级哈希值SHV(T-1)一起计算当前时间片超级哈希值SHV(T)；

S14：该超级哈希值SHV(T)和所述电子病历哈希值a一起存储于服务器中；

S15：服务器生成带有电子戳和时间标签的电子病历登记证明书并发送至客户端，电子病历登记证明书上的信息包括所述电子病历哈希值a、其他哈希值、根哈希和前一时间片的超级哈希值SHV(T-1)；

S2---验证

S21：用户通过客户端向服务器提交验证请求并提交重新计算的电子病历哈希值a’；

S22：服务器比较电子病历登记证明书记载的电子病历哈希值a和重新计算的电子病历哈希值a’，如果两者不相同，表明电子病历已经篡改，转步骤S25；否则，进行下一步；

S23：客户端将电子病历登记证明书中记载的原电子病历哈希值a由重新计算的电子病历哈希值a’代替后再与电子病历登记证明书中其它相关哈希值计算得到新的超级哈希值SHV(t’)，将该新的超级哈希值SHV(t’)发送到服务器；

S24:服务器将该新的超级哈希值SHV(t’)与之前保存的超级哈希值SHV(T)进行比对；如果SHV(t’)与SHV(T)相同，则表明该电子病历自登记时起没有被篡改，从登记时刻起已经存在；反之，则表明该电子病历已经被篡改；

S25：生成包含电子病历是否被篡改结论的验证结果证明书并发送至客户端；

本证明方法还包括对证明服务系统自身运行可靠性进行证明的过程，系统可靠性证明过程为：

S31:系统定期计算集约了期间内所有超级哈希值的期间哈希总值，公证机构到场对此进行公证,并把包含期间哈希总值的公证结果向外界公布；

S32:事后需要证明系统运行可靠性时，重新计算期间哈希总值，将其与之前经过公证并公布的期间哈希总值进行比对；根据比对结果，判定系统是否可靠运行；

S33：如两者结果相同，则系统运行可靠；否则，系统运行不可靠。

2.根据权利要求1所述的高可信度电子病历证明方法，其特征在于：用户通过客户端向服务器发送数据或者服务器向客户端发送数据时进行加密处理，接收信息时再进行解密处理。

Images