CN111629340B - 一种可保护隐私的人员接触状况追踪方法和系统 - Google Patents

Abstract

本申请涉及公共卫生技术领域，公开了一种可保护隐私的人员接触状况追踪方法，包括在需要监测的区域内部署如上所述的可保护隐私的人员接触状况追踪系统，并向区域内所有人员发放具有近场通信功能的便携式追踪设备。在发生公共卫生事件确认疑似病例后，回收疑似病例的便携式追踪设备。使用读写器读取便携式追踪设备内记录的其他便携式追踪设备唯一ID，若存在其他便携式追踪设备的唯一ID，则生成唯一ID列表。根据所述唯一ID列表，利用唯一ID作为索引，在服务器的数据库中逐一查询唯一ID对应的可追踪信息，进而确定接触人群列表。

Description

一种可保护隐私的人员接触状况追踪方法和系统

技术领域

本发明涉及公共卫生技术领域的传染病防控体系中追踪与特定人员有接触史的人群的技术，并具体涉及一种可保护隐私的人员接触状况追踪方法和系统。

背景技术

随着交通工具便捷程度的提高，经贸活动日益发达，一国之内各个区域之间以及国际上国家与国家、地区间人口、货物的流动相较于之前变得更为频繁， 人员、物资的这种大范围快速交流也使得传染性疾病在全球流行和扩散蔓延的态势愈发严峻。例如，最近20年，在全球范围内先后爆发过甲型H1N1流感、HIV、 疟疾、环孢子虫病、霍乱、病毒性出血热、传染性海绵样脑病、登革热、耐药性痢疾、Zika病毒等传染病。

2003 年全球发生SARS疫情后，WHO以及我国卫生系统对传染病的突发预警和快速应对有了更高的要求，相关的卫生信息系统建设进程明显加快且更加规范。卫生检疫风险管理的规范化、流程化和信息化得以建立和提高。 经历了2003年的非典和2005年的高致病性禽流感的疫情之后，我国传染病防控机制已较为完善。因此2009年甲型H1N1流感爆发时，我国传染病防控系统采取了积极措施，例如根据甲型H1N1流感的流行特点，对所有来自疫区国家的旅客进行流行病学调查，对没有发热症状但咽喉部不适的旅客采集鼻咽拭子标本进行检测，这些改进明显提高了甲型H1N1流感病例的检出率和截获率。2020年在我国境内出现新的疫情之后，我国政府迅速采取得当措施，在短时间内限制了疫情的进一步扩散。上述这些工作的经验证明，准确及时地发现感染人群从而尽快切断传染链条是阻止疫情扩散十分必要而且有效的手段。当某地出现疫情病人时，如何确定与该病人有过较为密切接触的人群从而对这些人群使用必要的生化手段进行检测以判断其是否被感染是控制疫情扩散工作中的重要一环。

现有技术中目前已知的发现可疑潜在病例的方法包括医学巡查、体温监测或人员自主申报等方式。例如，当某地出现可疑病例或者确诊病例后，通过对该病例的口头询问，结合对其拥有的具有行程记录功能的电子设备（例如具有GPS定位功能的手机）所记录的历史行程，确定其大致活动范围，并通过媒体公告、追踪划定范围内留下行程记录的手机所有人等方式确定可能与该病例有接触的人群。这种方式虽然有效，但是存在一定缺陷。首先，为避免遗漏可能的潜在病例，需要投入大量资源查找分析潜在接触人群；其次，通过上述分析后划定的人群范围一般可能远远超出实际有传染风险的人群范围，因而总体检测成本高。由于这种追踪方式有赖于确诊病例对自身行程的回忆的可靠性，有可能遗漏某些与其有接触的人群，因而可靠性并不稳定。而且，这种追踪方式无疑必须掌握确诊病例大致活动范围内一定时间段中所有出现过的人的行程，可能有侵犯被调查人员隐私的风险。

现有技术中存在基于GPS信息的流行病学信息采集方法。例如，在申请号为CN201110147566.3的中国专利申请中公开了一种基于谷歌地图的信息采集方法。其通过谷歌地图、GPS系统、移动通信、网络技术辅助现场处置人员、医生、实验室人员、专家和行政人员的交流，可对现场调查人员进行定位，能够提高信息采集效率。

在申请号为201811282809.2的中国专利申请中公开了一种疾控与出行信息互联的防控方法，包括调取本地染病病例历史数据和影响疾病传染源生存的环境因素组成，拟合网格风险图；确定新发感染者为传染源，并获得所述新发感染者发病前一段时间内的出行信息；对所述出行信息进行分类筛选，并挖掘可能驻留点，并和空间路网数据结合，对可能驻留点进行语义化；将可能驻留点和风险图进行对比，从而得出主要的可疑点，作为高概率发生点；采用关联规则挖掘算法或者字串模式挖掘算法对运动模式进行挖掘，从而预测可能的传播趋势；根据上述结果对高风险区域进行干预。该方法有赖于GPS信息获取轨迹，因而无法保障被调查对象的隐私。该方法是一种基于概率的预测模型，所确定的高风险区域是有较高概率发生传染的区域，因而其是否能够真实地覆盖所有实际应调查区域取决于算法模型的有效性。当发生传染性较高的疫情时，不一定能够达到防控目标的要求。

在申请号为201880068419.7的中国专利申请中，公开了一种使用实时定位系统和下一代测序在健康护理机构中预测、预防和控制感染传播的技术方案，使用跟踪标签的位置来计算至少一个感染节点在地图上的路径，其中，感染节点具有非零感染可能性；计算沿着所述路径在所述地图上的感染区；针对接触所述感染区的每个节点，调整所述接触节点的感染可能性，并且当所述接触节点的更新后的感染可能性满足感染准则时，将所述接触节点指定为感染节点。该方案有赖于实时定位和地图数据，并且跟踪标签必须与实时定位系统保持通信，因而无法保障被调查对象的隐私并且部署和使用成本高昂。

发明内容

针对现有技术中的不足，本发明提供了一种可保护隐私的人员接触状况追踪方法和系统。

为解决上述技术问题，本发明通过以下方案来实现：

一种可保护隐私的人员接触状况追踪系统，包括：分发给所有被监测人员携带的多个便携式追踪设备，用于读写便携式追踪设备的多个读写器和至少一个服务器，读写器通过通信网络与服务器进行通信，便携式追踪设备不与服务器直接通信，其特征在于：每一便携式追踪设备包括近场通信收发器、控制器和存储器，每一便携式追踪设备被分配有区别于其他设备的唯一ID，便携式追踪设备之间通过近场通信技术通信连接，当两便携式追踪设备之间的等效距离小于预定的等效距离阈值Dt或者接收功率大于接收功率阈值Pt时，所述两便携式追踪设备之间建立近场通信连接，并在所述两便携式追踪设备自身的非易失性存储器中至少存储对方的唯一ID和等效距离或接收功率；读写器用于在向被监测人员发放便携式追踪设备时根据被监测人员的可追踪信息产生便携式追踪设备的唯一ID，将唯一ID以及等效距离阈值Dt或接收功率阈值Pt写入被发放的便携式追踪设备自身的非易失存储器中，并通过通信网络将被发放的便携式追踪设备的唯一ID与接受该便携式追踪设备的被监测人员的可追踪信息传送到服务器中；服务器，包括数据库，用于保存各个读写器上传的被发放的便携式追踪设备的唯一ID与接受该便携式追踪设备的被监测人员的可追踪信息。

所述可保护隐私的人员接触状况追踪系统还包括多个打标器，打标器被设置于通过流行病学调查发现的疾病传播高风险设施处，每个打标器具有唯一ID，打标器具备近场通信功能，其射频发射功率高于便携式追踪设备，当便携式追踪设备接收到的打标器信号功率大于接收功率阈值Pt或便携式追踪设备与打标器的等效距离小于等效距离阈值Dt时，便携式追踪设备记录打标器的唯一ID和打标时间；当打标器接收的便携式追踪设备信号功率高于打标器接收功率阈值Pt2时，打标器记录便携式追踪设备的唯一ID和时间，打标器通过通信网络与服务器进行通信，将记录的便携式追踪设备的唯一ID和时间传送到服务器，并由服务器将其存储到数据库中。

在本发明中等效距离根据接收到的信号的功率确定，近场通信可以用蓝牙技术例如蓝牙4.0实现。便携式追踪设备可以是专门制造的电子设备，也可以在具有近场通信功能的手机上实现。

根据本发明的实施例, 读写器通过便携式追踪设备的近场通信收发器将唯一ID以及等效距离阈值Dt或接收功率阈值Pt写入被发放的便携式追踪设备自身的非易失存储器中。在另外的实施例中,便携式追踪设备还包括用于和读写器连接的I/O接口，读写器通过便携式追踪设备所述I/O接口将唯一ID以及等效距离阈值Dt或接收功率阈值Pt写入被发放的便携式追踪设备自身的非易失存储器中。即读写器可通过有线和/或无线的方式与便携式追踪设备连接，读写便携式追踪设备，以便对便携式追踪设备的工作参数进行配置，或者读取其配置参数和或记录的数据。

在部属打标器的系统中，打标器的唯一ID和便携式追踪设备的唯一ID的有效长度不同，因此只需要判断唯一ID的长度即可判断其属于打标器还是其他便携式追踪设备。

一种可保护隐私的人员接触状况追踪方法，包括在需要监测的区域内部署如上所述的可保护隐私的人员接触状况追踪系统，并向区域内所有人员发放便携式追踪设备。在发生公共卫生事件确认疑似病例后，回收疑似病例的便携式追踪设备。使用读写器读取便携式追踪设备内记录的其他便携式追踪设备唯一ID，若存在其他便携式追踪设备的唯一ID，则生成唯一ID列表。根据所述唯一ID列表，利用唯一ID作为索引，在服务器的数据库中逐一查询唯一ID对应的可追踪信息，进而确定接触人群列表。

如果根据流行病学调查需要，需要进一步追踪与接触人群列表中的人员有过接触的人群，则回收接触列表中人员的便携式追踪设备，并使用读写器读取便携式追踪设备内记录的其他便携式追踪设备唯一ID，若存在其他便携式追踪设备的唯一ID，则生成唯一ID列表，利用唯一ID作为索引，在服务器的数据库中逐一查询唯一ID对应的可追踪信息，进而确定次级接触人群列表。

如果所部属的接触状况追踪系统中具有部属于人员密集且环境易于传播疾病的场所处的打标器，则识别便携式追踪设备内是否记录了打标器唯一ID；如果存在打标器唯一ID，则根据便携式追踪设备记录的打标器唯一ID从服务器读取所述打标器的打标记录；根据所述便携式追踪设备中记录的打标时间获取打标时间前后指定时间范围内打标器记录的所有便携式追踪设备的唯一ID，利用唯一ID作为索引，在服务器的数据库中逐一查询各唯一ID对应的可追踪信息，进而确定间接接触人群列表。

本发明的突出的特点是：使用具备近场通信功能例如蓝牙的便携式追踪设备作为对人群进行标记和追踪的基础设施，无需借助于任何现有的3G、4G无线通信网络、WI-FI等无线接入方式或者GPS等卫星定位系统对便携式追踪设备的地理位置进行追踪，即不依靠确定便携式追踪设备的准确位置追踪其对应人员的行程轨迹。所述便携式追踪设备在其持有者离开其家庭、办公室等相对固定的场所进入例如超市、剧院或者交通设施等公共场所时，能够记录与其临近的其他便携式追踪设备的唯一ID，因而能够准确记录与便携式追踪设备持有者在空间、时间上存在重叠的其他持有者有哪些。通过进一步在卫生间、游泳馆等病原体可能存活较长时间的场所设置额外的打标器，能够将时间上并非同时达到上述场所的便携式追踪设备持有者关联起来。因此，当需要追踪与某个便携式追踪设备持有者有过接触的人群时，只要读取其便携式追踪设备内记录的其他人的便携式追踪设备ID，即可获取与其有过近距离接触的所有人员和/或与其先后访问过特定产所的所有人员，形成待检人员集合。必要时根据防控需要，可以再读取第一步筛选出的待检人员集合内人员所拥有的便携式追踪设备内记录的其他人的便携式追踪设备ID，从而扩大待检人员集合。

本发明不需要获取被追踪人员的行程轨迹，使用的便携式追踪设备内除了保存能够唯一确定佩戴者身份的便携式追踪设备ID信息以外，仅记录与其临近的其他便携式追踪设备ID或者打标器信息。由于无需访问网络和保存行程信息等敏感信息，因而即使便携式追踪设备遗失，他人也无法从中获取所有者的个人信息，因而能够保障佩戴者的隐私。

附图说明

图1是根据本发明实施例的具有追踪功能的便携式追踪设备及其所包含的标签模块的结构框图。

图2是根据本发明实施例的便携式追踪设备中的存储器的逻辑分区示意图。

图3是根据本发明实施例的便携式追踪设备中的数据记录格式示意图。

图4是根据本发明另一实施例的人员接触状况追踪系统的框图。

图5是根据本发明另一实施例的人员接触状况追踪系统的框图。

图6是部署图4所示系统的流程图。

图7是部署图5所示系统的流程图。

图8是根据本发明实施例的人员接触状况追踪方法的流程图。

具体实施方式

下面根据具体实施例描述本发明的可保护隐私的人员接触状况追踪方法和系统。在本发明中，便携式追踪设备指示专门定制的电子设备或者在现有的具有近场通信及数据处理功能的便携式装置上通过运行软件指令实现本发明功能的电子设备。

图1是根据本发明实施例的具有追踪功能的便携式追踪设备100及其所包含的标签模块的结构框图。便携式追踪设备100可以是专门设计的用于追踪接触人群的电子设备，其可被设计为便于人们携带和使用的各种形式，例如可以使可穿戴设备的形式，如手环，也可以是卡片形式。根据本发明实施例，便携式追踪设备100包含近场通信收发器104、控制器106、存储器108和电源112。便携式追踪设备100上还包括作为系统定时基准的晶体振荡器（未示出）。电源112用于向单元104-108供电。电源112可以为电池，例如常规的纽扣电池或者现有技术中已知的便于便携式追踪设备小型化的其他形态和类型的电池。由于对单元104-108的供电并非本发明的贡献，在此不再详细描述。

近场通信收发器104是有源单元，由电源112供电。在控制器106控制下，近场通信收发器104每隔时间t1通过天线104a向周围环境空间定期地发射无线电信号，并从周围空间接收其他的便携式追踪设备发射的无线电信号。近场通信收发器104处于发射和接收信号状态的时间窗口长度为t2。即近场通信收发器104工作的周期为T=t1+t2。在t1时间内，近场通信收发器104不工作以节省功耗。例如，t1为500毫秒，t2为100毫秒。t1越大，则处于休眠状态的时间越长，便携式追踪设备100的功耗较低，在同样电池供电条件下能够工作更长时间而无需更换电池。然而，考虑许多情况下人员处于运动状态，t1过大将会因近场通信收发器104处于休眠状态而无法监测到处于周边较近距离内的其他便携式追踪设备100的存在。在t2时间内，近场通信收发器104处于发射和接收状态。其既可以以单工方式工作，也可以以双工方式工作。例如，近场通信收发器104可以先处于发射状态t2/2时间，再处于接收状态t2/2时间。休眠状态下，可以切断电源112的供电。

由于所有便携式追踪设备100所包含的近场通信收发器104具有大致相同的发射功率，通过检测接收到的近场信号的功率强度能够大致确定接收端与发射端的距离。在现有技术中，由于接收到的信号功率受到障碍物、接收和发射端相对空间位置灯多种因素的影响，根据功率强度所计算出的距离值具有一定误差，因而本领域技术人员通常不会选择通过检测功率强度进行测距的方案。然而，本发明所要解决的问题是确定人群之间是否发生较近距离的相互接触，因此所关注的实质上不是准确确定发生接触的人员之间的接触距离，而是判定人员之间是否发生过可能导致疾病传播的较近距离的接触。事实上，由于疾病传播的发生受多种因素的印象，即使距离相同，也因接触时现场环境、人员状态不同而有不同的传播后果，因而无需准确确定接触距离。因此，通过由控制器106检测接收到的信号功率，并把信号功率超过设定阈值Pt的发射端作为接收端的密切接触者，即可记录与作为接收端的便携式追踪设备100有过密切接触的人员。或者也可以由控制器106将接收到的信号功率的转化为等效的距离D，并把小于阈值距离Dt的发射端作为接收端的密切接触者。需要说明的是，由于追踪密切接触者时通常不关注距离较远的人群，因此可将近场通信收发器104的发射功率设置得较低，这样只有较近范围内的便携式追踪设备100才能被其他便携式追踪设备检测到，从而可以节约能源，延长便携式追踪设备100续航时间。

具体来说，当接收端的便携式追踪设备100的控制器106确定通过近场通信收发器104接收到的其他便携式追踪设备100发射的信号功率大于设定阈值Pt或折算的有效距离小于阈值距离Dt时，通过近场通信收发器104与所述发射端的便携式追踪设备100建立无线连接，接收其发射的数据，并由控制器106所述数据为发射端便携式追踪设备100的唯一ID。所有便携式追踪设备100均具有独特的唯一ID，用于和其他便携式追踪设备100进行区分。所属唯一ID存储在存储器108内。发射端和接收端是相对的，即作为接收端的便携式追踪设备100既接收其他便携式追踪设备100发射的唯一ID，也会将自身的唯一ID发射给其他便携式追踪设备100。也就是说，当任意两个持有便携式追踪设备100的人足够接近时，其携带的便携式追踪设备100将把对方的便携式追踪设备唯一ID记录下来，存储在自身的存储器108内。存储器108内既存储自身的唯一ID，也存储与其接近到设定程度（以接收功率阈值或者等效距离衡量）的其他便携式追踪设备的唯一ID。

图2是存储器108的存储空间划分的示意图。存储器108是非易失性存储器，例如flash。存储器108内的存储空间在逻辑上被分为两部分，即存储空间1和存储器2。存储空间1的容量较小，存储空间2的容量较大。便携式追踪设备100的自身的唯一ID被存储在存储空间1中。存储空间1还可用于存储其他涉及便携式追踪设备100的管理信息的数据，例如制造时间、制造厂商、自身唯一ID的写入时间、被授权写入的部门等等。存储空间2用于存储近距离接触到的其他便携式追踪设备的唯一ID以及与接触状况相关的信息，例如功率，等效距离等。各个近距离接触相关的信息被以记录的形式逐一存储在存储空间2内。存储空间1和存储空间2是同一存储器件，例如flash存储器上的不同逻辑分区，或者存储空间1和存储空间2甚至可以是不同的存储器件。

便携式追踪设备100自身的唯一ID可以在制造时写入，此时存储空间1可以由只读存储器ROM构成。便携式追踪设备100自身的唯一ID也可以在将便携式追踪设备100分发给用户时写入。不同的写入方式将会影响建立所述唯一ID与用户的可追踪信息之间的映射关系的方式。例如，如果存储空间1是ROM只读，则所有信息在制造时写入且无法更改。使用便携式追踪设备100时，需要在后台数据库记录唯一ID及使用具有该唯一ID的便携式追踪设备的用户的可追踪信息，从而能够确定所述唯一ID被分配给了哪个用户。如果存储空间1可读写，则可以在分发便携式追踪设备100时根据用户的可追踪信息产生一个唯一ID，将其写入存储空间1，并将唯一ID与用户的可追踪信息存储到数据库中，以建立便携式追踪设备100与其用户的映射关系。用户的可追踪信息例如可以包括用户的身份证号、住址、工作地点等信息。现有技术中存在多种根据用户的可追踪信息产生便携式追踪设备的唯一ID的方式。例如，可通过对用户的身份证号计算哈希值作为其使用的便携式追踪设备的唯一ID。也可以对身份证号码及住址、工作地点信息计算哈希值作为其使用的便携式追踪设备的唯一ID。由于在存储空间1中不直接写入便携式追踪设备100使用者的可追踪信息，因此即使便携式追踪设备遗失的情况下，一般未被授权访问后台数据库的人员能够读取便携式追踪设备100的存储器108内的信息，或者与其近距离接触过的便携式追踪设备的唯一ID，但无法确认其身份及行程路径或者接触历史，从而保障了用户隐私。另一方面，后台数据库中仅存储所有便携式追踪设备唯一ID以及拥有该便携式追踪设备的用户的可追踪信息，但不存储各便携式追踪设备彼此接触的数据，因此虽然后台数据库的管理员能够知晓特定用户持有的便携式追踪设备唯一ID是什么，但无法获知其与其他哪些持有便携式追踪设备的用户接触过，因而也保障了用户隐私。也就是说，由于所有接触信息都是以便携式追踪设备唯一ID的形式存储在便携式追踪设备存储器内，不涉及例如GPS坐标等可用于重建行程轨迹的信息，因此除非发生疾病防控事件时，从特定便携式追踪设备的持有人处回收所述便携式追踪设备并读取其中存储的其他便携式追踪设备唯一ID，并依据后台服务器上存储的便携式追踪设备唯一ID与便携式追踪设备的用户的可追踪信息的映射关系确定该持有人的接触对象以外，任何人或者管理结构不能随意地掌握便携式追踪设备使用者的接触历史，从而在技术上保障了便携式追踪设备使用者的隐私。

存在至少两种将便携式追踪设备的唯一ID写入存储器108的存储空间1的方式。根据本发明实施例，在第一种方式中，便携式追踪设备100还可以包括一个I/O接口（图中未示出），用于将控制器和便携式追踪设备读写器（未示出）相连，通过控制器106将唯一ID写入存储空间1。在第二种方式中，则通过收发器104与便携式追踪设备读写器无线连接，读写器将唯一ID数据发送给收发器104，进而通过控制器106写入存储器108的存储空间1中。上述两种写入方式都是本领域技术人员根据现有技术容易实现的常规设计。

在使用中，当如图1所示的一个便携式追踪设备A与另一便携式追踪设备B彼此之间的距离足够接近，例如便携式追踪设备A接收到的信号功率大于设定阈值Pt或折算的有效距离小于阈值距离Dt时，便携式追踪设备A和B之间建立通信连接，便携式追踪设备A和B互为发射接收端进行数据交换，并由控制器106执行将接收到的需要保存的数据存储在存储器108内的存储空间2中，并将累计写入的记录数量也存储在存储空间2中。数据在存储空间2内以记录的形式逐条保存，所述数据记录的格式如图3所示，至少包括以下字段：区域标识字段，用于存储和标识部署和使用便携式追踪设备100的区域。唯一ID字段，用于存储对方便携式追踪设备的唯一ID。功率字段，用于存储确认建立通信连接时的接收功率。尽管可能存在误差，但是接收功率字段存储的功率值可以作为两个便携式追踪设备之间接近程度的参考值。例如，当生化检测能力有限时，可以根据上述功率值对潜在感染对象的接近程度排序，优先对功率值高（相当于距离近）的对象进行检测。其他字段，用于存储其他相关信息，例如在能够获取时间信息的情况下，可以把时间信息存储在该字段。上述字段的长度可根据需要设置。例如区域标识字段为16位，唯一ID字段为32位，功率字段为16位，其他字段64位。本领域技术人员知道，字段的设置和宽度可根据存储信息的需求设置，以上仅为举例而非限制。例如，如果需要部署便携式追踪设备进行人群追踪的区域内有大量人口，则可以扩大唯一ID字段宽度，从而确保每一个人均可具有不重复的唯一ID。

控制器106负责控制便携式追踪设备100的总体操作。控制器106将接收到的数据写入存储器108中。当便携式追踪设备100与读写器连接进行便携式追踪设备100的初始配置时，控制器106将属于该便携式追踪设备的唯一ID写入存储空间1。当便携式追踪设备100与其他便携式追踪设备通过收发器104连接并通信时，控制器106将接收的数据写入存储空间2。控制器106内具有易失性随机访问存储器(RAM)。当便携式追踪设备100上电启动或从休眠状态恢复时，控制器106从存储器108读取自身的唯一ID，并读取存储空间2中最近写入的m个（m为正整数，可依据便携式追踪设备100的使用地域的人口密度设置，或者可以根据近场通信收发器104同时支持的连接数量设置，例如可以将m设置为4、6、8、10等）唯一ID的记录，将其存放在RAM中。若存储空间2中的记录数量少于m个，则全部读取。

当便携式追踪设备100与其他便携式追踪设备建立连接并获取其他便携式追踪设备的唯一ID时,将与RAM中的m个便携式追踪设备唯一ID进行比较以确定是否重复。RAM中的这m个唯一ID的记录代表最近与其建立过连接因而曾经在物理上足够接近的便携式追踪设备。如果重复，则控制器106将不把刚接收到的唯一ID写入存储器108中，因为在最近的m个记录中出现过的唯一ID意味着两个便携式追踪设备的持有人可能处于比较近的距离，因而只要保持一条记录即可实现接触情况的追踪，没有必要产生额外的记录占用存储空间。例如，在办公室或者运行时间较长的交通工具如火车车厢内的乘客之间座位相对规定，在旅行途中长时间处于同一空间内，只要保持一条记录即可实现追踪目的。如果新接收到的唯一ID不是最近m个被记录的唯一ID之一，则认为产生了新的需要记录的接触，由控制器106将新接收到的唯一ID写入存储器108内，同时将RAM内的唯一ID的记录更新，将新接收到的唯一ID作为最近的唯一ID，并检查RAM内唯一ID的数量是否已经为m个，若原来已有m个记录，则删除其中最早的唯一ID，以保持RAM内仍有m个记录。若记录数量少于m个，则只增加新的唯一ID记录而不删除RAM中的原有记录。

在根据图1到图3中描述的实施例中，便携式追踪设备100被描述为专门制造的硬件设备。然而，本领域技术人员知道，根据上述实施例公开内容的教导，便携式追踪设备100可以利用现有的硬件平台上实现而无需单独制造。例如，在具有近场通信（NFC）功能的智能手机上，可以利用其近场通信模块实现近场通信收发器，利用手机内置存储器的一部分来实现存储器108，利用手机处理器实现控制器106的控制和读写功能，利用手机电池作为电源112，并利用手机的外设接口例如USB接口作为IO接口，或者利用手机的通信能力从网络获取配置数据直接写入存储器而无需通过USB接口。因此，对于拥有智能手机的人群来说，便携式追踪设备100的功能可以被在用户的手机上配置实现而无需单独携带。

根据本发明的另一个实施例，便携式追踪设备100还可以包括一个天线及休眠状态检测单元102，用于当便携式追踪设备100未检测到新的接触对象时将其置于休眠状态以降低功耗，从而提高便携式追踪设备100的续航时间。检测单元102包括计数器C1、定时器1、定时器2、强制唤醒模块102c以及控制上述部件的逻辑控制电路。

天线及休眠状态检测单元102的工作方式如下。当控制器106正常工作时，天线及休眠状态检测单元102每隔时间T0从控制器106存储唯一ID记录的RAM区域获取最新一个唯一ID，并与前次获取的唯一ID进行比较，以检测是否出现了新的接触对象被记录。如果与前次ID相同，表示未出现新的接触对象，因而未更新唯一ID记录，这说明便携式追踪设备持有人有可能处于周边人员相对固定的环境，此时计数器C1的计数值增加1。如果与前次ID不同，表示出现新的接触对象，将计数器C1清零，重新计数。若计数器C1计满达到计数值NC1，则意味着连续在NC1*T0时间内都未出现新的接触对象，则天线及休眠状态检测单元102将计数器C1清零，启动定时器1，并使104-106单元进入休眠状态。定时器1的定时周期为T1，因而104-106单元休眠时间为T1。当定时器1到期后，并不直接使104-106单元解除休眠状态，而是启动定时器2。定时器2的定时周期T2，T2<T1。天线及休眠状态检测单元102在定时器2启动后到T2/2的时间内从天线102a向外发射信号，在T2/2到T2时间内检测是否从天线102a接收到近场通信的射频信号。若在定时器2到期之前未检测到信号，则说明该便携式追踪设备周围没有其他便携式追踪设备或其他便携式追踪设备都处于休眠状态，则再次启动定时器1，并在定时器1到期后重复上述步骤。若在定时器2到期前，检测到其他便携式追踪设备100发射的射频信号，则天线及休眠状态检测单元102使104-106单元脱离休眠状态进入正常工作模式，并且天线及休眠状态检测单元102开始每隔时间T0从控制器106存储唯一ID记录的RAM区域获取最新一个唯一ID的步骤。天线及休眠状态检测单元102的上述工作模式使得便携式追踪设备100的携带者处于周围人群相对固定的环境时，各个便携式追踪设备100处于休眠状态的时间比便携式追踪设备100的携带者处于周围人群变化较快的环境时更长，从而既能节约功耗，也不至于因强制休眠而未能记录某些接触对象。天线及休眠状态检测单元102还可以包括一个强制唤醒模块102c,其功能是检测从天线102a接收到的射频信号功率，当其超过阈值Pw时，立刻强制将处于休眠状态的控制器、收发器和存储器唤醒，使其进入正常工作状态。

作为一种具体实施方法,为了降低便携式追踪设备功耗,提高便携式追踪设备续航时间,可以采用蓝牙低功耗技术(BLE)实现近场通信收发器104。BLE技术从一开始被面向超低功耗应用而设计，其采用可变连接时间间隔，从毫秒到秒量级可变，因为BLE技术采用快速连接，因此为降低功耗可以处于“非连接”状态，只有在必要时开启链路，并在数据通信完成后迅速关闭链路，因而适于本发明的应用场景，因为根据本发明，便携式追踪设备之间仅需彼此交换唯一ID和接收功率等少量数据。为了缩小便携式追踪设备体积，例如可以采用单模BLE方案实现近场通信，这样便携式追踪设备电源可以采用例如型号CR2032的3V钮扣电池，在这种供电条件下便携式追踪设备可以较长的续航时间。也可以其他类型的便携式追踪设备电源，上述例子仅仅是距离而非限制。除此，也可以使用双模BLE技术实现近场通信。在使用单模BLE方案的情况下，用于对便携式追踪设备进行参数配置的I/O接口可以采用通用输入输出接口（GPIO）实现。单模和双模BLE的具体硬件和协议均为现有技术，例如CN102883068A中公开了一种采用BLE技术的蓝牙报警系统。

下面参考图4描述根据本发明的可保护隐私的人员接触状况追踪系统400及其部署和追踪方法。如图4所示，根据本发明的追踪系统400包括服务器、读写器和n个便携式追踪设备100_1到便携式追踪设备100_n。n为发放给用户的便携式追踪设备数量。便携式追踪设备100_1到便携式追踪设备100_n都具有便携式追踪设备100的结构。

系统400部署和工作的过程如下。首先，需要设置系统服务器和便携式追踪设备读写器，如图6步骤602所示。服务器用于存储便携式追踪设备的唯一ID数据以及持有便携式追踪设备的用户的可追踪信息。读写器用于读写便携式追踪设备。在本发明的实施例中，读写器还可以具有配置便携式追踪设备参数的功能。例如，将判断是否属于密切接触情况的接收功率阈值或者等效距离阈值写入便携式追踪设备。

然后，向所有需要检测的目标人群分发便携式追踪设备，如图6步骤604所示。在将某一便携式追踪设备分发个特定人使用之前，需要在便携式追踪设备与使用该便携式追踪设备的特定人的可追踪信息之间建立唯一映射关系，赋予可标识该特定人的唯一ID。例如，可以根据所述特定人的可追踪信息生成唯一ID，并利用读写器（图中的读写器1或2其中之一）把该唯一ID写入便携式追踪设备的存储器中。例如可通过对用户的身份证号计算哈希值作为其使用的便携式追踪设备的唯一ID。也可以对身份证号码及住址、工作地点信息计算哈希值作为其使用的便携式追踪设备的唯一ID。便携式追踪设备的唯一ID与使用该便携式追踪设备的特定人的可追踪信息之间具有唯一映射关系以实现追踪。随后，读写器将唯一ID与特定人的可追踪信息之间的映射关系存储到服务器上。如果便携式追踪设备在出厂时已经在其内部存储器中固化了唯一ID（例如存储空间1为ROM），则在便携式追踪设备与使用该便携式追踪设备的特定人的可追踪信息之间建立唯一映射关系的操作实际上简化为将映射关系存储到服务器上。虽然图4中未示出，但是本领域技术人员应该知道，为执行根据所述特定人的可追踪信息生成唯一ID的操作和将数据存储到服务器上的操作，可以为读写器配置额外的计算能力，例如通过将读写器连接到PC上。

在所示实施例中，仅示出了一台服务器和两个读写器。但是这仅仅是作为例子而非对本发明的限制。本领域技术人员知道，可以根据系统部署的需要设置服务器和读写器的数量。当存在多个服务器时，这些服务器之间的数据是同步的。所述服务器可以设置在云端。

持有便携式追踪设备的人员在工作、生活、娱乐、社交等各种活动中可能与持有其他便携式追踪设备的人员发生较近距离的接触。根据流行病学专家依据特定疾病的防控要求所确定的人群之间密切接触距离RE的定义，可设置便携式追踪设备之间建立连接并彼此记录对方唯一ID的接收功率阈值Pt或者等效距离阈值Dt。最简单地，可以让Dt=RE。例如在使用蓝牙技术4.0的情况下，接收功率和等效距离之间的关系可以用经验公式近似地表示为：Dt = 10^(abs(Pt) – P1/ (10 * En))，其中“^算符”表示指数。其中P1/是与设备相隔一米时的信号强度，En是环境衰减因子。P1和En都是经验值，在批量制造便携式追踪设备设备时，P1和En需要反复试验与对照实际距离来确定。P1和En经验值的范围是P1为70，En为2。根据功率强度所计算出的距离值具有一定误差，因而本领域技术人员通常不会选择通过检测功率强度进行测距的方案。然而，本发明所要解决的问题是确定人群之间是否发生较近距离的相互接触，因此所关注的不是准确确定发生接触的人员之间的接触距离，而是判定人员之间是否发生过可能导致疾病传播的较近距离的接触。

以图4中持有便携式追踪设备100_1的人员为例，其周围等效半径RE范围之内的便携式追踪设备100_2和100_j属于密切接触范围，因而便携式追踪设备100_1将与便携式追踪设备100_2和便携式追踪设备100_j建立连接并将其唯一ID和实际的等效距离r1和r2存储在自身存储器内。同样，便携式追踪设备100_2和便携式追踪设备100_j也分别存储便携式追踪设备100_1的唯一ID及对饮的实际等效距离。便携式追踪设备100_i和便携式追踪设备100_n在等效半径RE范围之外，因此不被认为是需要记录的密切接触情况。需要说明的是，便携式追踪设备100_i是以智能手机平台实现的而非定制硬件。本领域技术人员知道，受天线方向和障碍物等多种因素的印象，实际上便携式追踪设备100_1周围属于密切接触区域的范围不会是图4中所示的理想的圆形。由于便携式追踪设备使用者处于运动之中，因此该区域的形状和覆盖范围也会变化。但是只要使用者之间物理上距离较近并且共同存在时间较长，将有较高几率在便携式追踪设备之间建立通信连接并记录彼此的唯一ID，这事实上也符合追踪需求，因为类似擦肩而过这样的接触一般不被认为具有较高传染风险，因而即使因接近瞬间处于便携式追踪设备盲区导致遗漏也不会影响追踪效果。

使用图4所示的系统能够准确地记录一个便携式追踪设备携带者与其他便携式追踪设备携带者发生近距离接触的情况。然而图4系统只能对两个使用者同时出现在某一地域并彼此接近的情况进行记录，如果两个便携式追踪设备携带者先后到达过某一地点而非同时出现，则使用图4的系统无法追踪这种空间上发生重叠的情况，因为二者并未“接触”。但很多传染性疾病的传播途径复杂而多样，甚至医学界对于某些新出现的传染性疾病的传播途径短期内无法达成共识或者从科学角度做出实证，不“接触”也有可能传播。例如2019年年底在全球多地发生的冠状病毒的全部传播途径有哪些目前仍存在争议。但是根据对已发生的各种传染性疾病的流行病学调查的结果可以肯定的是人群聚集，温度湿度适宜的地点的环境中，病毒或者细菌能够在物体表面、空气中的悬浮颗粒上存活几十分钟到几十个小时乃至更长的时间，因此有必要对人群先后到达这些地点的情况进行追踪。

为解决图4系统只能对两个使用者同时出现在某一地域并彼此接近的情况进行追踪的问题，根据本发明的另一实施例公开了可保护隐私的人员接触状况追踪系统500及其部署和追踪方法。如图5所示，追踪系统500除了包括系统400的部件之外，还包括打标器1和打标器2。打标器被设置在根据流行病学调查发现的可能导致非人群直接接触传播的场所，例如公共卫生间、游泳池、KTV、餐馆等设施的入口处。在图5所示的系统500中显示了两个打标器，但是和读写器一样，系统500可以根据需要设置多个打标器。打标器数量的设置显然与追踪效果直接相关，打标器覆盖越密集，则追踪死角越小，但硬件投入成本越高。

打标器的构成和便携式追踪设备100类似，也具有唯一ID，但是打标器ID由系统管理方统一设置，与便携式追踪设备的唯一ID不同，打标器的唯一ID被保存在服务器中，并且可被通过例如读写器查询。打标器也包括近场通信收发器、控制器和存储器，不同之处在于收发器发射的信号功率远高于便携式追踪设备100的发射功率，参考图1可知,便携式追踪设备100可以具有强制唤醒模块102c,当天线102a接收到的信号的功率足够高时,其能够唤醒可能处于休眠状态的便携式追踪设备100，从而使这些便携式追踪设备将打标器的唯一ID及打标时间写入自身的存储器，并将自身的唯一ID传送给打标器，即便携式追踪设备被处于特定场所的打标器“打标”，并在打标器中留下便携式追踪设备的唯一ID及打标时间作为追踪记录。打标器对便携式追踪设备进行记录的接收功率阈值低于便携式追踪设备之间进行记录的功率阈值。如图5所示，打标器通过通信链接与服务器通信，能够将其记录的便携式追踪设备唯一ID传送到服务器进行保存。假设持有便携式追踪设备A的人员被确定为需要追踪的疑似病例，则通过读取便携式追踪设备A的唯一ID记录，能够追踪到其在某时刻tx访问过设施1，被打标器1记录。随后可以从后台数据库中读取时刻tx前后，打标器1所记录的便携式追踪设备唯一ID，例如读取打标器1所记录的tx-Δ到tx+Δ时间端内的所有便携式追踪设备ID，Δ的大小根据流行病学调查的需要确定，例如可以为2小时、4小时等等。通过这种方式，能够确定时间上先后访问过特定场所的人群。相应地，部署系统500时与部署系统400类似，但增加了设置打标器的步骤，如图7所示。

图8示出了当发生公共卫生事件后使用图4和图5所示的系统400或500进行人员接触情况追踪的方法。发生公共卫生事件以通过生化检测等手段发现了潜在病例为标志。在步骤804，回收疑似病例所携带的便携式追踪设备。在步骤806，使用读写器读取便携式追踪设备存储器，获取其接触记录。由于系统存在多个读写器，并且通过网络与服务器相连，因而可以在任一读写器处读写便携式追踪设备ID并上传数据。从便携式追踪设备存储器读出的数据包括所接触的其他便携式追踪设备的唯一ID以及表征接触接近程度的信号功率或者等效距离。在步骤808，把读取的接触记录与后台数据库进行比较以初步确定接触人群。利用接触记录中的唯一ID作为索引，从数据库中存储的唯一ID与使用者可追踪信息的映射关系查找唯一ID所属的人员，产生初级接触人群。在此过程中，可以利用便携式追踪设备中保存的时间信息排除时间上明显不可能被传播的人员。接着在步骤810，如果需要追踪次级接触者，及与初级接触者有过接触的人员，则回收初级接触者的便携式追踪设备，并执行步骤806和808以确定次级接触者人群。在步骤812，则判定是否追踪间接接触者，因打标器的唯一ID和便携式追踪设备的唯一ID产生/编写方式不同，例如虽然在便携式追踪设备内存储的空间相同，但是这两种唯一ID的有效长度不同，因此便于计算机设备或者人工判断所记录的唯一ID中是否包括属于打标器的唯一ID。如果系统中设置了打标器，并且便携式追踪设备中存在打标器唯一ID的记录，则可对时间上先后达到某处（间接接触）的人员进行追踪。若要获取间接接触者，在步骤814中，首先根据便携式追踪设备记录的打标器唯一ID从服务器读取所述打标器的打标记录，根据所述便携式追踪设备中记录的打标时间获取打标时间前后指定时间范围内打标器记录的所有便携式追踪设备唯一ID。之后使用这些便携式追踪设备唯一ID查询数据库获取待筛查人员。

通过上述系统和方法，当发现疑似病例后，只要一读取该病例的便携式追踪设备所记录的信息，就能够迅速地确定其接触人群，而无需调取监控视频、手机GPS轨迹等数据，从而提高了追踪数据。由于便携式追踪设备仅记录接触历史而不记录行程轨迹，服务器中的数据库仅记录便携式追踪设备唯一ID与人员身份映射关系而不记录接触历史，因此便携式追踪设备使用者的隐私得到了最大保障。只有在发生公共卫生事件，便携式追踪设备使用者被作为疑似病例需要追踪时才由获得授权的管理部门回收便携式追踪设备、读取信息。除此之外，便携式追踪设备丢失或者管理部门中未经授权的工作人员均无法获得特定人员的接触历史。同时，由于不需要保持网络连接或提供GPS信息，便携式追踪设备的结构简单，成本较低，适于大规模向人群发放。

上述系统和追踪方法的成功有赖于一定区域内具有便携式追踪设备的人群的比例，因而在一定的行政区域内，通过向所有人发放便携式追踪设备能够使用无遗漏的追踪。所述行政区域的大小不是关键因素，重要的是能够向区域内具有流动性的人群发放便携式追踪设备。典型的使用场所例如岛屿、封闭管理的军营、大学、有疫情爆发可能的城市等等，通过向所有进入者发放便携式追踪设备并设置足够的打标器，能够对所有人员的接触情况进行记录。

以上所述仅为本发明的优选实施方式，并非因此限制本发明专利范围，凡是利用本发 明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其它相关的技术 领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种可保护隐私的人员接触状况追踪系统，包括：分发给所有被监测人员携带的多个便携式追踪设备，用于读写便携式追踪设备的多个读写器和至少一个服务器，读写器通过通信网络与服务器进行通信，便携式追踪设备不与服务器直接通信，其特征在于：

每一便携式追踪设备包括近场通信收发器、控制器和存储器，每一便携式追踪设备被分配有区别于其他设备的唯一ID，便携式追踪设备之间通过近场通信技术通信连接，当两便携式追踪设备之间的等效距离小于预定的等效距离阈值Dt或者接收功率大于接收功率阈值Pt时，所述两便携式追踪设备之间建立近场通信连接，并在所述两便携式追踪设备自身的非易失性存储器中至少存储对方的唯一ID和等效距离或接收功率；

读写器用于在向被监测人员发放便携式追踪设备时根据被监测人员的可追踪信息产生便携式追踪设备的唯一ID，将唯一ID以及等效距离阈值Dt或接收功率阈值Pt写入被发放的便携式追踪设备自身的非易失存储器中，并通过通信网络将被发放的便携式追踪设备的唯一ID与接受该便携式追踪设备的被监测人员的可追踪信息传送到服务器中；

服务器，包括数据库，用于保存各个读写器上传的被发放的便携式追踪设备的唯一ID与接受该便携式追踪设备的被监测人员的可追踪信息。

2.如权利要求1所述的系统，还包括多个打标器，打标器被设置于通过流行病学调查发现的疾病传播高风险设施处，每个打标器具有唯一ID，打标器具备近场通信功能，其射频发射功率高于便携式追踪设备，当便携式追踪设备接收到的打标器信号功率大于接收功率阈值Pt或便携式追踪设备与打标器的等效距离小于等效距离阈值Dt时，便携式追踪设备记录打标器的唯一ID和打标时间；当打标器接收的便携式追踪设备信号功率高于打标器接收功率阈值Pt2时，打标器记录便携式追踪设备的唯一ID和时间，打标器通过通信网络与服务器进行通信，将记录的便携式追踪设备的唯一ID和时间传送到服务器，并由服务器将其存储到数据库中。

3.如权利要求1或2所述的系统，读写器通过便携式追踪设备的近场通信收发器将唯一ID以及等效距离阈值Dt或接收功率阈值Pt写入被发放的便携式追踪设备自身的非易失存储器中。

4.如权利要求1或2所述的系统，便携式追踪设备还包括用于和读写器连接的I/O接口，读写器通过便携式追踪设备所述I/O接口将唯一ID以及等效距离阈值Dt或接收功率阈值Pt写入被发放的便携式追踪设备自身的非易失存储器中。

5.如权利要求1或2所述的系统，其中等效距离根据接收到的信号的功率确定。

6.如权利要求1-2其中之一所述的系统，所述近场通信通过蓝牙技术实现。

7.如权利要求2所述的系统，打标器的唯一ID和便携式追踪设备的唯一ID的有效长度不同。

8.一种可保护隐私的人员接触状况追踪方法，包括以下步骤：

在需要监测的区域内部署如权利要求1-7其中之一所述的可保护隐私的人员接触状况追踪系统，并向区域内人员发放便携式追踪设备；

在发生公共卫生事件确认疑似病例后，回收疑似病例的便携式追踪设备；

使用读写器读取便携式追踪设备内记录的其他便携式追踪设备唯一ID，若存在其他便携式追踪设备的唯一ID，则生成唯一ID列表；

根据所述唯一ID列表，利用唯一ID作为索引，在服务器的数据库中逐一查询唯一ID对应的可追踪信息，进而确定接触人群列表。

9.如权利要求8所述的方法，在确定接触人群列表之后，还包括以下步骤：

如果进一步追踪与接触人群列表中的人员有过接触的人群，则回收接触列表中人员的便携式追踪设备，并使用读写器读取便携式追踪设备内记录的其他便携式追踪设备唯一ID，若存在其他便携式追踪设备的唯一ID，则生成唯一ID列表，利用唯一ID作为索引，在服务器的数据库中逐一查询唯一ID对应的可追踪信息，进而确定次级接触人群列表。

10.如权利要求8所述的方法，在确定接触人群列表之后，还包括以下步骤：

识别便携式追踪设备内是否记录了打标器唯一ID；

如果存在打标器唯一ID，则根据便携式追踪设备记录的打标器唯一ID从服务器读取所述打标器的打标记录；

根据所述便携式追踪设备中记录的打标时间获取打标时间前后指定时间范围内打标器记录的所有佩件唯一ID，利用唯一ID作为索引，在服务器的数据库中逐一查询各唯一ID对应的可追踪信息，进而确定间接接触人群列表。

Images