CN116114025A

CN116114025A - 敏感信息的安全存储和检索

Info

Publication number: CN116114025A
Application number: CN202180056367.3A
Authority: CN
Inventors: P·A·冈萨雷斯塞万提斯; M·S·兰达瓦; J·F·波萨斯特雷维诺; S·A·米塞尔; I·皮诺卡塔道; S·A·迈尔斯; 张东升; S·阿哈迈德; 姜政君; Y·L·塞拉; A·H·杰迪迪
Original assignee: Apple Inc
Current assignee: Apple Inc
Priority date: 2020-08-12
Filing date: 2021-08-06
Publication date: 2023-05-12
Also published as: EP4196989A1; US12079370B2; US11790113B2; US20240037274A1; US20220052847A1; WO2022035699A1

Abstract

一种用户设备可与跟保健机构相关联的电子健康记录(EHR)系统共享加密的健康数据。可与EHR系统共享识别健康数据的一部分的唯一数据标识符和密码密钥。可与服务提供方共享加密的健康数据和唯一数据标识符。为了访问健康数据，EHR系统可通过唯一数据标识符查询服务提供方。

Description

敏感信息的安全存储和检索

相关申请的交叉引用

本申请要求于2021年6月9日提交的美国非临时申请序列号17/343,358的权益，该美国非临时专利申请要求于2020年8月12日提交的美国临时申请序列号63/064,811的优先权，该申请据此全文以引用方式并入本文用于所有目的。

背景技术

近年来，已经取得了允许用户从远程电子健康记录(EHR)系统将健康数据下载到其移动用户设备的进步。例如，用户可使用其智能电话来连接到EHR系统的端点并且下载其临床健康记录的副本。

发明内容

根据一些具体实施，一种方法可包括：由移动用户设备使用多个密码密钥对与该移动用户设备的用户账户相关联的健康数据进行加密；使用多节点数据存储结构在该移动用户设备上存储该加密的健康数据，其中该多节点数据结构的每个节点由唯一数据标识符识别；向根据该多节点数据存储结构存储该加密的健康数据的服务提供方发送该加密的健康数据，该唯一数据标识符识别该多节点数据存储结构的至少一个节点；接收对要接收该健康数据的至少一部分的保健机构的选择；以及至少部分地基于该选择，向与该保健机构相关联的电子健康记录系统发送该多个密码密钥中的至少一个密码密钥和对应于该多节点存储结构的数据标识符，该电子健康记录系统能够使用该至少一个密码密钥和该数据标识符来访问和解密来自该服务提供方的该健康数据的该部分。

根据一些具体实施，一种移动用户设备可包括：一个或多个存储器；和一个或多个处理器，该一个或多个处理器可通信地耦接到该一个或多个存储器，被配置为：向根据多节点数据存储结构存储加密的健康数据的服务提供方发送该加密的健康数据，该加密的健康数据根据该多节点数据存储结构的第一版本存储在该移动用户设备上；接收对要接收该健康数据的至少一部分的保健机构的选择；以及至少部分地基于该选择，向与该保健机构相关联的电子健康记录系统发送密码密钥和识别该多节点存储结构的该第一版本的存储节点的数据标识符，该电子健康记录系统能够使用该密码密钥和该数据标识符来访问和解密由该服务提供方存储在该存储节点处的该部分健康数据。

根据一些具体实施，一种方法可包括：从移动用户设备接收上载请求，该上载请求包括加密的健康记录数据和对应于该加密的健康记录数据的唯一数据标识符的集合；根据该唯一数据标识符的集合将该加密的健康记录数据存储在安全存储装置中；从与保健机构相关联的电子健康记录系统接收查询，该查询包括该唯一数据标识符的集合中的至少一个唯一数据标识符；使用该至少一个唯一数据标识符从该安全存储装置检索该加密的健康记录数据；以及发送该加密的健康记录数据以供该保健机构系统的该电子健康记录系统查看。

根据一些具体实施，一种方法可包括：根据配置文件生成多节点数据结构的数据节点，该数据节点由第一唯一数据标识符识别并且使用第一密码密钥来进行加密，该数据节点包括健康数据；根据该配置文件生成该多节点数据结构的类别节点，该类别节点包括该第一唯一数据标识符和该第一密码密钥，该类别节点由第二唯一数据标识符识别并且使用第二密码密钥来进行加密；根据该配置文件生成该多节点数据结构的机构节点，该机构节点包括该第二唯一数据标识符和该第二密码密钥，该机构节点由第三唯一数据标识符识别并且使用第三密码密钥来进行加密；以及与服务提供方共享该数据节点、该类别节点和该机构节点。

附图说明

图1示出了根据至少一个示例的示出用于与电子健康记录系统共享来自用户设备的健康数据的示例性过程的框图和流程图。

图2示出了根据至少一个示例的示出用于使得能够与电子健康记录系统共享来自用户设备的健康数据的示例性架构或系统的框图。

图3示出了根据至少一个示例的用于管理来自用户设备的健康数据与电子健康记录系统的共享的用户界面。

图4示出了根据至少一个示例的用于查看共享健康数据的用户界面。

图5示出了根据至少一个示例的示出用于与电子健康记录系统共享来自用户设备的健康数据的示例性系统和示例性过程的框图。

图6示出了根据至少一个示例的示出用于存储和共享健康数据的多节点数据存储结构的框图。

图7示出了根据至少一个示例的示出用于存储和共享健康数据的多节点数据存储结构的框图。

图8示出了根据至少一个示例的示出用于存储和共享健康数据的多节点数据存储结构的框图。

图9示出了根据至少一个示例的示出用于与电子健康记录系统共享来自用户设备的健康数据的示例性过程的流程图。

图10示出了根据至少一个示例的示出用于与电子健康记录系统共享来自用户设备的健康数据的示例性过程的流程图。

图11示出了根据至少一个示例的示出用于使用临床医生用户设备的仪表板和/或应用程序来查看健康记录数据的示例性过程的流程图。

图12示出了根据至少一个示例的示出用于生成用于存储和共享健康数据的多节点数据存储结构的示例性过程的框图。

图13示出了根据至少一个示例的描绘用于实现本文描述的技术的示例性架构的简化框图。

具体实施方式

在以下描述中，将描述各种示例。为了解释的目的，阐述了很多具体配置和细节以便提供对示例的彻底理解。但是，对本领域的技术人员也将显而易见的是，一些示例可在没有这些具体细节的情况下被实施。此外，可省略或简化熟知的特征部以防止对本文所述的示例造成混淆。

本公开的示例尤其涉及健康数据共享平台，该健康数据共享平台包括允许用户使敏感健康数据的部分可供保健机构的用户查询的方法、系统、设备和计算机可读介质。健康数据可能先前已从相同或不同保健机构下载到用户设备，由用户设备生成或在用户设备处输入，和/或从一个或多个附属设备(例如，智能手表、可穿戴设备)收集。

用户设备用作健康数据的真实源。从用户设备发送的任何健康数据被存储在多节点数据存储结构中，其中每个节点和对应数据元素使用唯一密码密钥来加密。本文所描述的健康数据共享平台以概括方式提供了包括端到端加密的供用户与第三方(例如，保健机构)安全地共享其健康数据的机制，该概括方式节省带宽并优化存储容量和存储访问，并且确保共享用户的数据隐私和身份隐私。该机制附加地确保数据被认证给共享用户并且使得能够由保健机构的授权用户进行查询。由于用于存储健康数据的数据结构和本文描述的唯一共享布置，查询被优化，从而导致客户端和服务器比使用不同平台来查询健康数据的其他设备更高效地操作。在一些示例中，本文所描述的技术可使得能够在不与保健机构相关联并且不代表用户生成健康数据的用户(例如，家庭成员、护理者等)之间共享健康数据。

如本文详细描述的，为了维持数据安全性，用户设备而非远程服务器使用密码密钥信息来加密健康数据并且生成数据标识符信息。为了附加地维持数据安全性，用户设备与保健机构的EHR系统共享密码密钥信息和数据标识符信息，但不会共享实际健康数据。替代地，用户设备与可被信任用来安全地存储信息的基于云的服务提供方共享加密的健康数据以及数据标识符信息，但不会共享密码密钥信息。为了查看健康数据，EHR系统的基于web的应用程序使用数据标识符信息来查询基于云的服务提供方。因为EHR系统还包括密码密钥信息，所以使得基于web的应用程序能够对健康数据的部分进行解密。健康数据仅存储在托管web应用程序的用户设备上的存储器中，使得当会话结束时，数据不再持续。这有助于维持数据隐私和数据安全性。另外，因为基于云的服务提供方不具有密码密钥信息，所以它不能够解密和查看任何健康数据。考虑到这一点以及还使用多个密码密钥来存储健康数据以对多节点数据存储结构进行加密，基于云的服务提供方将不能够识别健康数据所属的用户。因此，保护了用户隐私。

现在转到特定示例，保健机构处的正在治疗患者的心脏科医生可能对查看患者的心率数据(例如，某个历史时段的数据)感兴趣，该心率数据已经由患者的智能手表收集并且与患者的智能电话共享。患者可使用其智能电话上的应用程序来搜索和识别心脏科医生所属的保健机构(例如，“区医院”)。患者可选择与区医院共享健康数据的选项。如果先前未加密，则此时，智能电话可查询存储在设备上的健康数据以识别并加密相关部分。例如，智能电话可参考配置文件以识别要加密哪个数据(例如，数据类型、范围、类别)。智能电话然后可使用多个密码密钥来加密所识别的数据，其中每个密钥对应于多节点数据存储结构中的表示健康数据的数据节点或数据元素，并且生成对应于每个数据节点和数据元素的唯一数据标识符。智能电话与基于云的服务提供方共享加密数据和唯一数据标识符，该基于云的服务提供方安全地存储数据。智能电话还将至少一个密码密钥(例如，对应于保健机构的根节点的密钥)和唯一数据标识符发送到与区医院相关联的EHR系统。当数据可供心脏科医生查看时，可在查看患者记录时将链接放置在EHR应用程序的用户界面视图中。EHR应用程序可以是由心脏科医生用来执行所有EHR相关任务(例如，录入笔记、编写处方、查看健康记录)的相同应用程序。通过选择链接，EHR应用程序向基于云的服务提供方发送查询以请求由唯一数据标识符识别的健康数据。作为响应，基于云的服务提供方将对应数据发送到EHR应用程序并且EHR应用程序使用根密码密钥来对根节点进行解密，这使得EHR应用程序能够访问唯一标识符和密码密钥并且对剩余节点进行解密以及查看相关信息。

现在转到附图，图1示出了根据至少一个示例的示出用于与电子健康记录系统共享来自用户设备的健康数据的过程100的框图102和流程图。

图102包括服务提供方104，该服务提供方是能够执行相对于服务提供方104所述的功能的计算设备(诸如可包括虚拟资源的一个或多个服务器计算机)的任何合适的组合。例如，服务提供方104可包括专用于处理共享健康数据的不同方面的一个或多个不同服务器和/或服务。通常，服务提供方104被配置为促进例如从用户设备106到电子健康记录(EHR)系统108的健康数据的单向共享。在一些示例中，服务提供方104可实现双向共享和/或从EHR系统108到用户设备106的单向共享。

图102还包括用户设备106，该用户设备是能够通过网络诸如互联网、蜂窝网络或任何其他合适的网络与其他电子设备通信的任何合适的电子用户设备。在一些示例中，用户设备106可以是智能电话或专用应用程序可以在其上操作(例如，健康应用程序)的其他用户设备。用户设备106与用户110相关联或以其他方式由用户操作。用户110是其健康数据是本说明书的主题的患者的示例。用户设备106可包括用于下载健康数据、增强和/或处理健康数据以及共享健康数据的健康数据应用程序(本说明书的主题)。

图102还包括EHR系统108。EHR系统108与至少一个保健机构相关联并且用于管理来自该机构的电子健康记录数据。在一些示例中，单个EHR系统108与多个保健机构相关联并且用于管理来自多个机构的电子健康记录数据。具体地，EHR系统108可以存储、组织和/或以其他方式管理由保健机构的医疗专业人员生成的健康记录数据。EHR系统108可以包括一个或多个网关，每个网关包括一个或多个端点以实现EHR系统108和其他电子设备之间的多个连接。在一些示例中，用户设备诸如用户设备106可以使用任何合适接口诸如网关应用程序编程接口(API)或经由包括图形用户界面的患者门户网站来与EHR系统108进行交互。网关API可以限定用于EHR系统108和用户设备106之间的通信的一组功能调用。

图1和图9至图12示出了根据至少几个示例的示出过程100、900、1000、1100和1200的示例性流程图。这些过程及本文所述的任何其他过程被示为逻辑流程图，其每个操作表示一系列能够在硬件、计算机指令或它们的组合中实现的操作。在计算机指令的上下文下，操作可表示存储在一个或多个非暂态计算机可读存储介质上的计算机可执行指令，这些计算机可执行指令由一个或多个处理器执行时执行所述操作。一般来讲，计算机可执行指令包括执行特定功能或实现特定数据类型的例程、程序、对象、部件、数据结构等。描述操作的顺序并非旨在被理解为限制，并且任何数量的所述操作均可按照任意顺序和/或平行组合以实现所述过程。

另外，本文所述的过程的一部分、任一者或全部可在一种或多种计算机系统的控制下执行，所述一种或多种计算机系统被配置为带有具体的可执行指令并且可实现为代码(例如，可执行指令、一种或多种计算机程序或一种或多种应用程序)，该代码由硬件或它们的组合在一种或多种处理器上共同执行。如上所述，代码可存储在非暂态计算机可读存储介质上，例如以计算机程序的形式存储，该计算机程序包括可由一种或多种处理器执行的多个指令。

过程100开始于框112，其中由用户设备106根据多节点数据存储结构114将健康数据116存储在用户设备112上。将参考图6至图8来描述多节点数据存储结构114的示例。健康数据116的示例可包括临床健康记录(例如，从EHR系统108和/或不同EHR系统的端点获得)、由用户设备106生成的数据(例如，来自用户设备106的传感器的传感器数据，用户设备106上的算法可处理健康数据以组织数据、做出预测和/或建议)、从附属设备获得的数据(例如，可穿戴监测设备可与用户设备106共享诸如心率数据或呼吸数据的传感器健康数据)以及任何其他合适的健康数据。

在一些示例中，可使用多节点数据存储结构114将健康数据116的全部存储在用户设备106上。在一些示例中，可使用多节点数据存储结构114来存储健康数据116的仅一部分。例如，可用于使用本文所描述的技术来共享的健康数据116可少于存储在用户设备106上的所有健康数据，例如，药物数据可用于共享，但诸如心电图数据的某些波形数据不可用于共享。在一些示例中，用户设备106可至少在被触发时根据多节点数据存储结构114存储健康数据116(例如，当用户110使用用户设备106来请求共享时，当从EHR系统108接收对共享的请求时，当可用于共享的数据被收集和/或接收时，诸如当与用户设备106共享记录在智能手表上的心率数据时，以及以任何其他合适的方式)。在一些示例中，在根据多节点数据存储结构114存储健康数据116之前，用户设备106可基于用户设备106的配置文件中的一组定义查询来查询健康数据116。这种查询可用于识别和检索由用户设备106存储的健康数据的特定部分。这些部分可对应于在配置文件中预定义的、从用户简档导出的、使用机器学习技术来预测的、或以任何其他合适方式获得的策展数据集。

在框118处，过程100包括用户设备106使用一个或多个密码密钥120(a)-120(N)来对健康数据116进行加密。例如，这可包括通过唯一密码密钥120对多节点数据存储结构114的每个节点进行加密，通过唯一密码密钥120对每个节点中的每个数据元素进行加密，或者通过唯一密码密钥120对每个数据类型和/或每个节点中的数据类别进行加密。在一些示例中，用户设备106还使用密码密钥120来创建唯一数据标识符122(a)-122(N)的集合。例如，散列算法可采用健康数据116和对应密码密钥120作为输入来创建表示输入健康数据116的唯一数据标识符122。在一些示例中，生成唯一数据标识符122可包括使用SHA散列算法(例如，SHA-256)或任何其他合适的散列算法来生成存储在由唯一数据标识符122识别的节点处的数F-EF239028

据(例如，输入健康数据116)的散列。在一些示例中，多节点数据存储结构114中的唯一数据标识符122的数量等于密码密钥120的数量。

在框124处，过程100包括用户设备106向服务提供方104发送加密的健康数据126和对应的唯一数据标识符122(a)-122(N)。在一些示例中，这可包括用户设备使用预定义的方法调用来发送加密的健康数据126。可在多节点数据存储结构114中捕获加密的健康数据126和唯一数据标识符122(a)-122(N)。因此，在一些示例中，框124包括向服务提供方104发送包括健康数据126的多节点数据存储结构114。服务提供方104可由与操作EHR系统108的实体分开的实体操作。在一些示例中，服务提供方104由提供用户设备106根据其操作的平台的相同实体操作。

在框128处，过程100包括用户设备106接收对要接收健康数据116的至少一部分的保健机构的选择。在一些示例中，这可包括用户110使用用户设备106处的用户界面以便从预先填充的保健机构列表中选择保健机构、在可用保健机构的数据库中搜索保健机构之后选择保健机构，以及以任何其他合适的方式进行选择。在一些示例中，用户设备106的用户界面使得能够选择用于以低于所有健康数据或来自一个机构的所有健康数据的粒度级别进行共享的数据。例如，用户110可选择要共享哪些类别的数据、要共享哪些数据类型的数据、针对该类别和/或数据类型要共享的日期范围等。

在框130处，过程100包括用户设备106向与保健机构相关联的EHR系统108发送密码密钥(例如，120(a))和唯一数据标识符(例如，122(a)-122(N))的集合。如本文别处所述，EHR系统108可被配置为使用唯一数据标识符122的集合以针对加密的健康数据126的部分查询服务提供方104。当EHR系统108接收到加密的健康数据126时，EHR系统108可使用密码密钥120以对加密的健康数据126进行解密。在一些示例中，用户设备106发送仅一个唯一数据标识符122(例如，根节点的标识符)。

图2示出了根据至少一个示例的示出用于使得能够与电子健康记录系统共享来自用户设备的健康数据的示例性架构或系统200的框图。系统200包括图1中介绍的几个元件。具体地，系统200包括服务提供方104、用户设备106(例如，一个或任何其他合适数量的用户设备)以及与保健机构202相关联的EHR系统108(例如，一个或任何其他合适数量的EHR系统)。适当地并如箭头所示，系统200的元件可以经由一个或多个合适的通信网络通信地耦接。例如，服务提供方104、用户设备106和EHR系统108可被配置为经由一个或多个网络彼此通信，如本文所描述的并且在本领域中是已知的。

从服务提供方104开始，服务提供方104包括提供方云服务器204和共享云服务器206。通常，提供方云服务器204包括一个或多个服务器计算机，其可以是虚拟的，并且被配置为机载保健机构以使得能够共享健康数据，管理保健机构(一旦被机载)的注册，并且进行保健机构202的EHR系统108的端点的测试以确保有关由服务提供方104提供的共享系统的正确操作。通常，共享云服务器206包括一个或多个服务器计算机，其可以是虚拟的，并且被配置为根据本文所描述的示例来管理健康数据的共享。具体地，共享云服务器206的不同元件管理共享的不同方面，包括用户设备106和EHR系统108的授权、数据检索等。

提供方云服务器204包括业务注册系统208、提供方服务210、提供方管理器212、提供方数据库214和测试工具216。业务注册系统208可以是被配置为收集、存储、更新和以其他方式管理业务位置(包括保健机构202的业务位置)的硬件和软件部件的任何合适集合。例如，业务注册系统208可以包括业务数据库218和订阅服务220以启用保健机构202的EHR系统108的订阅。当保健机构202被订阅并且处于活动状态时，可以允许用户设备106与EHR系统108共享健康数据并且连接到EHR系统108(例如，EHR系统108的网关)并从该EHR系统下载健康记录数据。

作为订阅和管理订阅的一部分，订阅服务220可以包括收集、存储、更新和以其他方式管理业务位置的功能。在一些示例中，订阅服务220提供一个或多个用户界面，保健机构202的授权用户可以通过该一个或多个用户界面输入有关其位置的信息。该信息可以包括地理信息(例如，地图上的实际地址和识别符)、图像信息(例如，徽标)、联系人信息(例如，业务、法律、技术)、以及与业务相关的任何其他信息。订阅服务220还可以被配置为基于接收的信息来创建和/或更新业务数据库218中的记录条目。例如，与保健机构202相关联的授权用户可以与订阅服务220共享业务信息。一旦已经共享并验证了该信息，就可以发布业务信息以供公众消费(例如，为搜索建立索引、在地图平台上可用、直接与用户共享)。

业务数据库218可以维护收集的业务信息以及由业务信息表示的实体之间的任何关系。在一些示例中，业务注册系统208可用于注册其他业务实体(不仅是保健机构202)。保健机构202的记录可被维持在业务数据库218和由提供方云服务器系统204维持的提供方数据库214两者中。在一些示例中，业务注册系统208以任何合适的方式与提供方共享云服务器206共享业务信息。

现在转到提供方服务210。通常，提供方服务210可以验证EHR系统108，维护有关保健机构202和相关联EHR系统108的信息，使得能够搜索与EHR系统108相关联的保健机构202，以及管理用户设备108对EHR系统108的访问。提供方云服务器204可以在“云”中实现。提供方服务210还可以在提供方数据库214中维护有关保健机构202和相关联EHR系统108的信息，使得能够搜索与EHR系统108相关联的保健机构202，以及管理用户设备106对EHR系统108的访问。在一些示例中，用户设备106向提供方服务210发送搜索保健机构202的请求。提供方服务210处理这些请求并返回结果。在一些示例中，作为与EHR系统108中的一个EHR系统建立连接的一部分，用户设备106将向提供方服务210登记以确定与EHR系统108相关联的任何配置信息是否已经改变。可存储在提供方数据库214中的配置信息可以包括API信息、提供方标识符、状态指示符信息、以及和EHR系统108和/或与EHR系统108相关联的其他实体的配置相关的任何其他合适信息。

作为订阅保健机构202的一部分，测试工具216可以用于测试和/或以其他方式验证使用测试用户设备106的测试用户可以连接到EHR系统108并从该EHR系统下载数据。以这种方式，测试工具216可以模拟用户设备106中的一个用户设备可执行以连接到EHR系统108的动作。在一些示例中，测试工具216可以在首次订阅保健机构202时以及在初始订阅之后的其他时间测试该连接。例如，可以在满足某些条件时以及在任何其他情况下周期性测试连接。如果测试是肯定的，则可以更新与保健机构202相关联的提供方数据库214、EHR系统108和/或与EHR系统108相关联的网关中的状态指示符以反映EHR系统108或网关处于活动状态。如果测试是否定的，则可以更新状态指示符以反映EHR系统108是不活动的。当活动时，用户设备106可以能够连接到EHR系统108的网关。当不活动时，用户设备106可能无法连接到EHR系统108的网关。

提供方管理器212通常可由管理员或其他授权用户使用以管理提供方云服务器204的方面。

用户设备106可包括健康应用程序222和健康记录存储装置224。通常，用户设备106可以与不同的用户(例如，保健机构202的患者)相关联并由该用户操作。在功能上，健康应用程序222可以使得用户设备106能够与提供方云服务器204通信(例如，搜索保健机构202、获得关于保健机构202的配置信息、以及执行其他技术)、与保健机构202的EHR系统108通信(例如，下载包括电子健康记录和/或对电子健康记录的更新的数据包以及执行其他此类技术)并且与共享云服务器206通信以上载加密的健康数据并且执行本文所描述的其他技术。

共享云服务器206可包括设备认证服务226、数据存储引擎228、访问控制存储装置230、健康数据存储装置232、数据检索引擎234、资产引擎236和EHR认证服务238。通常，设备认证服务226用于认证用户设备106的用户以访问服务提供方104和/或EHR系统108。例如，设备认证服务226可使用双向认证或相互认证，诸如互联网密钥交换(IKE)、安全外壳(SSH)或传输层安全(TLS)。在使用TLS的示例中，客户端侧X.509证书可用于向服务器(例如，提供方共享云服务器206)认证客户端(例如，用户设备106)的身份，并且X.509证书可用于向客户端认证服务器。在一些示例中，相互认证可包括除证书之外或代替证书的用户名和密码的使用。在一些示例中，访问控制存储装置230可存储可由设备认证服务226使用的凭证数据。

数据存储引擎228可被配置为从用户设备106接收加密的健康数据并且将其存储在健康数据存储装置232中。例如，数据存储引擎228可包括一组方法调用以便与用户设备106通信并且存储加密的健康数据。可使用Blob应用程序编程接口(API)将加密的健康数据传递到健康数据存储装置232以将数据推送到健康数据存储装置。

访问控制存储装置230通常存储保健机构和/或提供方的凭证。作为当EHR系统108做出对健康数据存储装置232的请求时的一部分，访问控制存储装置230中的信息可由提供方管理器212访问。

如本文所介绍的，健康数据存储装置232可用于存储从用户设备106获得的加密的健康数据。数据检索引擎234可用于响应于来自提供仪表板242的临床医生用户设备240(例如，用户设备106的示例)的请求而从健康数据存储装置232检索加密的健康数据。例如，数据检索引擎234可使用Blob API以从健康数据存储装置232拉取数据。

资产引擎236被配置为管理共享云服务器206的资产。这可包括移除或以其他方式删除健康数据存储装置232中的旧或陈旧数据。在一些示例中，此类删除可以是垃圾收集例程的一部分，或者可由用户设备106请求或以其他方式指示。例如，用户设备可改变存储健康数据的方式，并且资产引擎236可在健康数据存储装置232中进行调整。

EHR认证服务238用于认证临床医生用户设备240和/或仪表板242。例如，EHR认证服务238可使用诸如OpenID的分散式认证协议来认证临床医生用户设备240和/或仪表板。

如本文所介绍的，临床医生用户设备240可由临床医生或其他授权用户操作以访问用户的健康数据。可由临床医生用户设备240呈现的仪表板242可以是应用程序诸如可经由临床医生用户设备240的web浏览器访问的web应用程序或可由临床医生用户设备240访问的任何其他合适的应用程序。在一些示例中，仪表板242可由EHR系统108托管并且可以是由临床医生用来访问由EHR系统108存储的电子健康记录的典型仪表板242。为了使得仪表板242能够查看来自服务提供方104的健康数据，如本文所描述的，仪表板242可被略微修改以包括链接、图标或其他图形元素，从而使得临床医生能够使用本文所描述的技术来看到加载到EHR中的健康数据。在一些示例中，EHR系统108与健康应用程序222通信以认证用户设备106的用户。此类通信可使用现有健康等级七国际标准(HL7)来进行，诸如描述用于交换电子健康记录的数据元素、数据格式和API的快速保健互通资源(FHIR)标准。在一些示例中，FHIR标准的开源具体实施(称为FHIR上的SMART(FHIR上的替代医疗应用，可重复使用技术))可以是适当的。

用户设备106可包括健康应用程序222和健康记录存储装置224。如本文所述，健康应用程序222可用于执行本文所描述的技术，诸如相对于流程图所述的那些。健康记录存储装置224可用于存储如本文所描述的共享的健康数据以及任何其他健康记录数据。

图3示出了根据至少一个示例的用于管理来自用户设备的健康数据与电子健康记录系统的共享的用户界面300。用户界面300被描绘在用户设备106的显示器上。一般而言，用户界面300可在用户设备106上的应用程序(诸如健康应用程序)内呈现。用户界面300可包括用于查看存储在用户设备上的所有健康数据的概要的概要图标306。例如，在健康应用程序内，用户可在用户设备106上查看和管理所有健康数据(例如，传感器健康数据、临床健康数据和任何其他数据)。在一些示例中，用户可通过选择搜索图标304来搜索可用的提供方/保健机构。这可使得用户能够针对由服务提供方104支持的保健机构进行关键字搜索、地理搜索等。在一些示例中，用户可搜索提供方数据库214和/或业务数据库218。

如所描绘的，用户界面300包括识别保健机构308“一般医疗保健”的信息。保健机构308可能已经使用相对于搜索图标304描述的搜索功能来进行定位。用户界面300包括共享所有健康数据的选项(按钮310的选择)和共享一些健康数据的选项(按钮312的选择)。共享所有健康数据可包括可用于共享的所有健康数据。共享一些健康数据可使得用户能够例如通过数据类型来选择要共享哪些数据。例如，用户可选择共享心率数据而不共享药物数据。

图4示出了根据至少一个示例的用于查看共享健康数据的用户界面400。用户界面400被描绘在针对正在治疗患者的临床医生的临床医生用户设备240的显示器上。例如，用户界面400可以是由EHR系统108提供的仪表板和/或web应用程序中的视图。用户界面400可用于查看使用EHR系统108来常规地存储和访问的健康记录数据。因此，用户界面400包括患者识别区域402。患者识别区域402包括有关患者“Justin Weaver”的人口统计和识别信息。用户界面400还包括菜单404，该菜单用于导航通过用于查看数据和/或执行与向患者施用护理相关的任务的不同视图。示例性视图包括住院患者概要、患者切换、订单、药物列表、任务列表、历史、过敏、诊断和问题、文档和报告、出院概要和患者信息。菜单404还可包括用于查看作为本申请的主题的健康数据的选项。该选项被标记为“独角兽健康”。

在图4所描绘的视图中，已经选择了独角兽健康选项408。因此，用户界面400可描绘包括跨独角兽健康视图的顶部延伸的类别选择器区域410的视图。类别选择器区域410中的类别表示可在独角兽健康视图内查看的不同数据类别和/或数据类型。例如，这些类别可包括查看全部选项卡、查看活动信息(例如，记录的步数、锻炼分钟、锻炼类型、整天站立、以及由用户设备106和/或附属设备记录的其他此类信息)的活动选项卡、生命体征信息(例如，体温、脉搏率、呼吸率、血压)、心脏信息(例如，心率信息)、呼吸信息、音频信息(例如，与保健交互有关的记录或将与临床医生共享的任何其他信息)和状况信息。

对类别选择器区域410中的类别中的一者的选择可致使患者数据区域412中的信息更新，其可包括一个或多个数据视图。每个数据视图可对应于不同数据类型。例如，第一数据视图可表示某个时间段的心率，第二数据视图可表示步数数据，第三数据视图可表示血压，第四数据视图可表示药物数据，并且第五数据视图可表示代谢面板。

图5示出了根据至少一个示例的示出用于与电子健康记录系统共享来自用户设备的健康数据的示例性系统502和示例性过程500的框图。具体地，图5描绘了系统502内的数据的端到端加密的方面。作为系统200的示例的系统502包括用户设备106、服务提供方104、EHR系统108和临床医生用户设备240，其可包括由EHR应用程序在其上呈现的仪表板。包括图5以通过系统502的元件以及在该元件之间图形地描绘密码密钥504(例如，密码密钥120)、健康数据506(例如，健康数据116)和唯一数据标识符508(例如，唯一数据标识符122)的流。

过程500在510处开始，其中用户设备106访问配置文件512以确定用于运行查询以识别健康数据506的查询信息，并且使用密码密钥504(例如，对称密钥)对所识别的数据进行加密。配置文件512可定义可使用本文所描述的技术来共享的不同数据类别、数据类型等。当被触发时，根据周期性时间表或以任何其他方式，用户设备106(例如，健康应用程序)可运行查询以识别可被识别、加密和共享的相关数据。可根据多节点数据存储结构来存储健康数据506中的至少一些。在一些示例中，一旦已经与保健机构共享数据，用户设备106就可通过对数据运行查询、识别差异以及共享新数据来周期性地更新数据。在一些示例中，用户设备106可共享所有数据，而不仅是旧与新之间的差异。

在514处，过程500包括用户设备106将现在加密的健康数据506和唯一数据标识符508上载到服务提供方104。加密的健康数据被识别为516。唯一数据标识符508是针对多节点数据存储结构(例如，114)的数据节点中的至少一者的查找ID。在一些示例中，唯一数据标识符508识别多节点数据存储结构的根数据节点，其可使得能够识别对应分支节点。

在一些示例中，过程500(例如，作为框514的一部分)可包括服务提供方104匿名地认证上载健康数据506的用户设备106。此类认证可包括认证用户设备106具有被批准上载到服务提供方104的类型(例如，来自特定制造商的用户设备、特定型号的用户设备、操作特定操作系统的用户设备、操作特定版本的操作系统的用户设备、操作特定应用程序的用户设备、以及任何其他区分类型)。例如，用户设备106可提供可由服务提供方用来认证用户设备106的匿名化凭证、签名或其他信息元素。如本文所描述的，服务提供方104可以隐私保护方式存储健康数据506，该隐私保护方式防止服务提供方104能够导出健康数据所属的用户的身份。因此，用户设备106的认证可以确保操作用户设备106的用户的身份对服务提供方104隐瞒的方式执行。

在一些示例中，认证用户设备106以确保其是有效设备可包括用户设备106向服务提供方104提供设备标识符，并且服务提供方104检查设备标识符在授权设备的列表上。在一些示例中，认证用户设备106可包括用户设备106向服务提供方104提供令牌或其他此类信息元素，并且服务提供方104使用该令牌来确认设备106的真实性。

在518处，过程500包括用户设备106通过密码密钥504和唯一数据标识符508来存储/更新EHR系统108上的文档参考文件520。在一些示例中，该信息可使用由EHR系统108提供的一个或多个API来发送到EHR系统108。一旦被接收，EHR系统108将密码密钥504和唯一数据标识符508彼此相关联地存储。

在522处，过程500包括临床医生用户设备240例如通过使用与EHR系统108的文档参考文件520相关联的API从EHR系统108检索密码密钥504和唯一数据标识符508。通过密码密钥504和唯一数据标识符508，在524处，临床医生用户设备240可通过向服务提供方104提供唯一数据标识符508来检索由唯一数据标识符508标识的加密数据节点。作为响应，服务提供方104检索与加密数据节点相关联的数据并且将其发送回临床医生用户设备240。

在一些示例中，临床医生用户设备240还提供用于由服务提供方104认证的令牌(例如，OpenID令牌)或其他认证信息。在一些示例中，对使用临床医生用户设备240的实际临床医生的认证可以是EHR系统108或与服务提供方104分开的其他内部系统的责任。换句话说，服务提供方104可以保健机构级别进行认证(例如，确认临床医生用户设备240和/或仪表板属于已知且可信的保健机构)，而不一定以用户级别进行认证(例如，操作临床医生用户设备204的临床医生被授权查看健康数据)。总之，在526处，过程500包括临床医生用户设备240使用密码密钥504对健康数据506进行解密。

图6示出了根据至少一个示例的示出用于存储来自用户设备的健康数据并且与电子健康记录系统共享该健康数据的多节点数据存储结构600的框图。多节点数据存储结构600是多节点数据存储结构114的示例。多节点数据存储结构600包括多个节点，该多个节点包括机构节点602(a)(例如，根节点)、类别节点604(a)和606(b)以及数据节点608(a)-608(d)。类别节点604和数据节点608可被认为是分支节点。

机构节点602(a)与保健机构610(a)相关联。这是已经与其共享健康数据的保健机构。因此，在图3的示例中，保健机构将是一般医疗保健。机构节点602(a)通过密钥0进行加密并且由唯一数据标识符UID 0唯一地识别。

机构节点602(a)包括由直接对应于类别节点604(a)和606(b)的一个或多个类别(例如，药物和心率)组织的数据。对于每个类别节点604，机构节点602(a)存储唯一数据标识符(例如，UID 1和UID 2)和密钥(例如，密钥1和密钥2)。如图5所描述的，当用户期望与保健机构610(a)共享由多节点数据存储结构600表示的数据时，与保健机构共享密钥0和UID0。这使得保健机构能够识别机构节点602(a)并且对节点的内容进行解密以获得UID 1和UID 2以及对应的密钥1和2。

如图所示，每个类别节点604由其UID唯一地识别并且通过其密钥进行加密。例如，类别节点604(a)由UID 1识别并且通过密钥1进行加密。药物类别节点604(a)识别针对其由多节点数据存储结构600存储数据类型“药物”的数据的一个或多个数据范围。例如，药物类别节点604(a)识别数据节点606(a)(例如，由UID 3识别并通过密钥3进行加密的药物范围1)和数据节点606(b)(例如，由UID 4识别并通过密钥4进行加密的药物范围2)。心率类别节点604(b)类似地识别针对其由多节点数据存储结构600存储数据类型“心率”的数据的数据范围。例如，心率类别节点604(b)识别数据节点606(c)(例如，由UID 5识别并通过密钥5进行加密的心率范围1)和数据节点606(d)(例如，由UID 6识别并通过密钥6进行加密的心率范围2)。来自数据节点606的数据用于填充用户界面400中的患者数据区域412中的数据视图。

每个数据节点606用于存储对应数据类型的数据的采样范围和采样频率。例如，数据节点606(c)的心率范围1可对应于每周采样的一个月的数据价值。数据节点606(d)的心率范围2可对应于每天或甚至更频繁采样的一周的数据价值。不同范围的值可由数据节点606存储。当然，不同的采样范围和采样频率是可能的，例如年、月、季度、周、天、小时、分钟、秒。在一些示例中，数据范围由一个或多个临床医生预定义，其在一些示例中可对应于保健标准测量(例如，其可以是在每30分钟采样的每日时段内查看心率以识别每日峰值和谷值的标准)。

配置文件608(例如，配置文件512)用于生成多节点数据存储结构600。配置文件608可定义要与采样范围和采样频率的不同组合一起收集的每个医疗类别。用户设备106可在其收集和加密多节点数据存储结构600时引用配置文件608。

为了生成多节点数据存储结构600，用户设备106可通过收集和同步数据节点606的数据来开始。数据节点606和类别节点604可以只要它们被生成就与服务提供方104同步和/或可以某个不同频率进行排队和同步。队列可通过大小(例如，只要五mb的数据准备好，就发送其)、通过节点数量(例如，只要五个节点准备好，就发送其)或以任何其他合适的方式定义。机构节点602(a)可在所有其他节点已经被同步之后被同步。

多节点数据存储结构600图形地表示节点之间的关系，但不应被视为限制。例如，节点被示为通过虚线“连接”。虽然较低节点(例如，根节点)确实引用多节点数据存储结构600中的较高节点，但数据结构实际上并不维持直接在节点之间的关联。因此，如果一个节点由恶意用户获得，则该用户将不能获得其他节点。

图7示出了根据至少一个示例的示出将新共享机构添加到多节点数据存储结构600的框图。例如，如果用户决定与新保健机构共享其健康数据，则可为新保健机构创建新机构节点602(b)。新机构节点602(b)识别每个类别节点604(a)和604(b)，包括其自身的唯一标识符(例如，UID7)，并且通过其自身的密钥7来进行加密。在该示例中，由于新机构节点602(b)包括类别节点的密钥信息和唯一标识符信息，因此与保健机构610(b)共享UID 7和密钥7使得保健机构能够识别和解密机构节点602(b)，然后识别和解密类别节点604，并且然后识别和解密数据节点606。

图8示出了根据至少一个示例的示出将新数据附加到多节点数据存储结构600的框图。在该示例中，将对应于心率数据的新范围的新数据节点606(e)添加到多节点数据存储结构600。因为这一点，生成新类别节点604(c)，其包括来自类别节点604(b)的旧数据节点信息和来自新数据节点606(e)的数据节点信息。因为这一点，生成新机构节点602(c)，其包括来自类别节点604(a)的旧类别节点信息和来自新类别节点604(c)的新类别节点信息。可从多节点数据存储结构600中删除旧机构节点602(a)和旧类别节点604(b)。

图9示出了根据至少一个示例的示出用于与电子健康记录系统共享来自用户设备的健康数据的示例性过程900的流程图。过程900可由用户设备106(图1)的健康应用程序222(图2)执行。

过程900在框902处开始，其中用户设备106对与移动用户设备的用户账户相关联的健康数据进行加密。在一些示例中，可使用多个密码密钥来执行对健康数据进行加密。在一些示例中，对健康数据进行加密可包括使用多个密码密钥中的唯一密码密钥对多节点存储结构的每个节点进行加密。

健康数据可包括临床健康记录数据、传感器数据和/或任何其他合适类型的健康数据。在一些示例中，该临床健康记录数据是从电子健康记录系统或从与不同保健机构相关联的不同健康记录系统接收的。在一些示例中，传感器数据由移动用户设备的传感器生成，或者从与移动用户设备相关联的不同用户设备(例如，附属设备诸如手表、可穿戴监视器)接收传感器数据。在一些示例中，健康数据的第一部分由移动用户设备从电子健康记录系统获得，并且健康数据的第二部分由移动用户设备从与不同保健机构相关联的不同电子健康记录系统获得。在一些示例中，健康数据被组织成多个类别。在该示例中，多节点数据存储结构可包括表示保健机构的根节点和与多个类别中的每个类别对应的多个分支节点。

在框904处，过程900包括用户设备106使用多节点数据存储结构(例如，图6)将加密的健康数据存储在用户设备106上。在该示例中，多节点数据结构的每个节点可由唯一数据标识符识别。

在框906处，过程900包括用户设备106向服务提供方发送加密的健康数据，该服务提供方根据多节点数据存储结构存储加密的健康数据。在该示例中，唯一数据标识符可识别多节点数据存储结构的至少一个节点。例如，唯一数据标识符可识别多节点数据存储结构的机构节点。

在框908处，过程900包括用户设备106接收对要接收健康数据的至少一部分的保健机构的选择。例如，这可包括经由用户设备106的用户界面(例如，图3)接收选择。在一些示例中，框902-906响应于接收对保健机构的选择。选择可表示与保健机构共享健康数据的部分的请求。

在框910处，过程900包括向与保健机构相关联的电子健康记录系统发送多个密码密钥中的至少一个密码密钥和对应于多节点存储结构的唯一数据标识符，电子健康记录系统能够使用至少一个密码密钥和唯一数据标识符来访问和解密来自服务提供方服务器的健康数据的部分。在一些示例中，唯一数据标识符对于保健机构是唯一的。

在一些示例中，唯一数据标识符可以是由移动用户设备维持并且对应于多节点存储结构的多个唯一数据标识符中的第一唯一数据标识符。在该示例中，多个唯一数据标识符中的各个个体唯一数据标识符与特定保健机构、健康数据的特定类别、或与健康数据的相应类别对应的预定义数据范围中的至少一者相关联。

在一些示例中，多个密码密钥中的各个个体密码密钥与特定保健机构、健康数据的特定类别、或与健康数据的相应类别对应的预定义范围中的至少一者相关联。

在一些示例中，过程900可包括接收识别健康数据的类别的信息作为用户输入，以及至少部分地基于类别来确定健康数据的部分。

图10示出了根据至少一个示例的示出用于与电子健康记录系统共享来自用户设备的健康数据的示例性过程1000的流程图。过程1000可由服务提供方104(图1和图2)执行。

过程1000开始于框1002，其中服务提供方104从移动用户设备接收上载请求。上载请求可包括加密的健康记录数据和对应于加密的健康记录数据的唯一数据标识符的集合。

在框1004处，过程1000包括服务提供方104根据唯一数据标识符的集合来存储加密的健康记录数据。这可包括将加密的健康记录数据存储在服务提供方104的安全存储装置中。

在框1006处，过程1000包括服务提供方104从与保健机构相关联的电子健康记录系统接收查询。查询可包括唯一数据标识符的集合中的至少一个唯一存储标识符。

在框1008处，过程1000包括服务提供方104检索加密的健康记录数据。查询还可包括用于对加密的健康记录数据的至少一部分进行加密的密码密钥。例如，密码密钥可对应于多节点数据存储结构的机构节点，其中机构节点表示保健机构。

在框1010处，过程1000包括服务提供方104发送加密的健康记录数据以用于在保健机构系统的电子健康记录系统处查看。这可包括发送健康记录数据以用于在临床医生用户设备的仪表板处查看，如本文在图4中描述的。在一些示例中，发送加密的健康记录数据以用于在电子健康记录系统处查看可包括发送加密的健康记录数据而不发送用于对加密的健康记录数据进行解密的密码密钥。在健康记录数据与服务提供方104同步之前，密码密钥可能已经用于最初对健康记录数据进行加密(例如，由用户设备106)。

图11示出了根据至少一个示例的示出用于使用临床医生用户设备的仪表板和/或应用程序来查看健康记录数据的示例性过程1100的流程图。过程1100可由EHR系统108(图1)的仪表板242(图2)执行，如由临床医生用户设备240(图2)执行的那样。

过程1100开始于框1102，其中仪表板242接收查看健康记录数据的请求。例如，临床医生可访问用户界面(诸如用户界面400)以查看患者的健康记录数据。可经由用户界面400接收请求。

在框1104处，过程1100包括仪表板242至少部分地基于请求向服务提供方(例如，服务提供方104)发送查询。查询可包括特定于保健机构的唯一数据标识符。唯一数据标识符可识别特定于患者的多节点数据存储结构中的节点。

在框1106处，过程1100包括仪表板242接收健康记录数据以用于查看。健康记录数据可以一定方式接收在仪表板内，使得数据被存储在临床医生用户设备240的存储器中并且在观看会话结束之后不持续。以这种方式，保护了患者的数据。

图12示出了根据至少一个示例的示出用于生成用于存储和共享健康数据的多节点数据存储结构的示例性过程1200的框图。过程1200可由用户设备106(图1)的健康应用程序222(图2)执行。

过程1200开始于框1202，其中用户设备106根据配置文件生成多节点数据存储结构的数据节点。多节点数据存储结构是多节点数据存储结构600的示例并且配置文件是配置文件608的示例。数据节点可以是第一唯一数据标识符并且使用第一密码密钥来进行加密。在一些示例中，多节点数据结构可供其他系统用来查询由多节点表示的健康数据。

在框1204处，过程1200包括用户设备106根据配置文件生成多节点数据结构的类别节点。类别节点可包括第一唯一数据标识符和第一密码密钥。类别节点可由第二唯一数据标识符识别并且使用第二密码密钥来进行加密。

在框1206处，过程1200包括用户设备106根据配置文件生成多节点数据结构的机构节点。机构节点可包括第二唯一数据标识符和第二密码密钥。机构节点可由第三唯一数据标识符识别并且使用第三密码密钥来进行加密。

在框1208处，过程1200包括用户设备106与服务提供方共享数据节点、类别节点和机构节点。

在一些示例中，过程1200还可包括用户设备106至少部分地基于配置文件动态地生成查询集合。在该示例中，根据配置文件生成数据节点可包括执行查询集合中的至少一个查询以收集健康数据集合来填充数据节点。配置文件可识别对应于健康数据集合的一个或多个所需范围。

在一些示例中，过程1200还可包括用户设备106确定生成数据节点、生成类别节点和生成机构节点中的每一者都成功。在该示例中，过程1200还可包括用户设备106在确定生成数据节点、生成类别节点和生成机构节点成功之后，向与保健机构相关联的电子健康记录系统发送第三唯一数据标识符和第三密码密钥。第三密码密钥和第三唯一数据标识符可对应于表示与保健机构共享的数据的机构节点。

在一些示例中，过程1200还可包括接收与保健机构共享健康数据的请求，响应于该请求而向与保健机构相关联的电子健康记录系统发送第三唯一数据标识符和第三密码密钥。在一些示例中，向电子健康记录系统发送第三唯一数据标识符和第三密码密钥可包括在不包括其他唯一数据标识符或其他密码密钥的情况下进行发送。在一些示例中，第三唯一数据标识符可包括表示包括第二唯一数据标识符和第二密码密钥的机构节点的数据的散列。在一些示例中，过程1200还可包括通过对表示第二唯一数据标识符和第二密码密钥的数据进行散列来生成第三唯一数据标识符。

在一些示例中，机构节点可以是第一机构节点。在该示例中，过程1200可包括根据配置文件生成多节点数据结构的第二机构节点。第二机构节点可包括第二唯一数据标识符和第二密码密钥。第二机构节点可由第四唯一标识符识别并且使用第四密码密钥来进行加密。

在一些示例中，机构节点可以是第一机构节点，类别节点可以是第一类别节点，并且数据节点可以是第一数据节点。在该示例中，过程1200可包括根据配置文件生成多节点数据结构的第二数据节点。第二数据节点可由第四唯一标识符识别并且使用第四密码密钥来进行加密。过程1200还可包括根据配置文件生成多节点数据结构的第二类别节点。第二类别节点可包括：(i)第一唯一数据标识符；(ii)第一密码密钥；(iii)第四唯一标识符；和(iv)第四密码密钥。第二类别节点可由第五数据标识符识别并且使用第五密码密钥来进行加密。过程1200还可包括根据配置文件生成多节点数据结构的第二机构节点。第二机构节点可包括：(i)第二唯一数据标识符；(ii)第二密码密钥；(iii)第五数据标识符；和(iv)第五密码密钥。第二机构节点可由第六唯一数据标识符识别并且使用第六密码密钥来进行加密。

在一些示例中，过程1200还可包括删除第一机构节点和第一类别节点。在一些示例中，过程1200还可包括向服务提供方发送删除请求以从服务提供方的存储装置中删除第一机构节点和第一类别节点。

在一些示例中，与服务提供方共享数据节点、类别节点和机构节点可包括在同步机构节点之前将数据节点、类别节点和机构节点与服务提供方计算机同步。在一些示例中，同步数据节点和类别节点在同步机构节点之前发生。

在一些示例中，数据节点可以是第一数据节点。过程1200还可包括根据配置文件生成第二数据节点。第二数据节点可由第五唯一数据标识符识别并且使用第五密码密钥来进行加密。在该示例中，类别节点还包括第五唯一数据标识符和第五密码密钥。

图13示出了根据至少一个示例的示例性架构或环境1300，该示例性架构或环境被配置为实施本文描述的技术。在一些示例中，示例性架构1300可被进一步配置为使得用户设备1306和服务提供方计算机1302能够共享信息。服务提供方计算机1302是服务提供方104和EHR系统108的示例。用户设备1306是用户设备106和240的示例。在一些示例中，设备可经由一种或多种网络1308(例如，经由蓝牙、WiFi、互联网)连接。在一些示例中，服务提供方计算机1302可以被配置为实现本文中参考用户设备1306描述的技术中的至少一些，反之亦然。

在一些示例中，网络1308可包括许多不同类型的网络中的任一种或组合，诸如有线网络、互联网、无线网络、蜂窝网络、卫星网络、其他专用网络和/或公共网络或者它们的任意组合。虽然所示出的示例表示经由网络1308访问服务提供方计算机1302的用户设备1306，但是所述技术可同样应用于用户设备1306通过固定电话、经由公用电话亭或以任何其他方式与服务提供方计算机1302进行交互的实例。还需要指出，所述技术可应用于其他客户端/服务器布置(例如，机顶盒)中以及非客户端/服务器布置(例如，本地存储的应用程序、对等配置)中。

如上所述，用户设备1306可为任何类型的计算设备，诸如但不限于移动电话、智能电话、个人数字助理(PDA)、膝上型计算机、台式计算机、瘦客户端设备、平板电脑、可穿戴设备(诸如智能手表)等。在一些示例中，用户设备1306可经由网络1308或经由其他网络连接与服务提供方计算机1302进行通信。

在一种例示性配置中，用户设备1306可包括至少一个存储器1314和处理单元(或处理器)1316。处理器1316可根据适当情况在硬件、计算机可执行指令、固件或它们的组合中实现。处理器1316的计算机可执行指令或固件具体实施包括以任何合适的编程语言编写的计算机可执行指令或机器可执行指令，以执行所述的各种功能。用户设备1306还可包括用于提供和/或记录与用户设备1306相关联的地理位置信息的地理位置设备(例如，全球定位系统(GPS)设备等)。

存储器1314可存储能够在处理器1316上加载和执行的程序指令以及在执行这些程序期间生成的数据。根据用户设备1306的配置和类型，存储器1314可为易失性存储器(诸如随机存取存储器(RAM))和/或非易失性存储器(诸如只读存储器(ROM)、闪存存储器等)。用户设备1306还可包括附加可移除存储装置和/或不可移除存储装置1326，包括但不限于磁存储装置、光盘和/或磁带存储装置。磁盘驱动器及其相关联的非暂态计算机可读介质可为计算设备提供计算机可读指令、数据结构、程序模块及其他数据的非易失性存储装置。在一些具体实施中，存储器1314可包括多种不同类型的存储器，诸如静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)或ROM。虽然本文所述的易失性存储器可以被称为RAM，但是从主机和/或电源拔下后将不会保留其中所存储的数据的任何易失性存储器都是适当的。

可移除及不可移除的存储器1314和附加的存储装置1326均为非暂态计算机可读存储介质的示例。例如，非暂态计算机可读存储介质可包括易失性或非易失性、可移除或不可移除介质，其通过任何方法或技术实现为用于存储信息诸如计算机可读指令、数据结构、程序模块或其他数据。存储器1314和附加的存储装置1326均为非暂态计算机存储介质的示例。可存在于用户设备1306中的附加类型的计算机存储介质可包括但不限于：相变RAM(PRAM)、SRAM、DRAM、RAM、ROM、电可擦除可编程只读存储器(EEPROM)、闪存存储器或其他存储器技术、光盘只读存储器(CD-ROM)、数字视频光盘(DVD)或其他光学存储装置、磁带盒、磁带、磁盘存储装置或其他磁存储设备，或者任何其他可用于存储所需信息并可被用户设备1306访问的介质。上述任意组合也应该包括在非暂态计算机可读存储介质的范围内。另选地，计算机可读通信介质可包括计算机可读指令、程序模块或在数据信号诸如载波或其他传输手段内传输的其他数据。然而，如本文所用，计算机可读存储介质不包括计算机可读通信介质。

用户设备1306还可包含通信连接1328，该通信连接允许用户设备1306经由网络1308与数据存储库、另一种计算设备或服务器、用户终端和/或其他设备进行通信。用户设备1306还可包括I/O设备1330，诸如键盘、鼠标、笔、语音输入设备、触摸屏输入设备、显示器、扬声器、打印机等。

更详细地转到存储器1314的内容，存储器1314可包括操作系统1313和/或用于实现本文所公开的特征的一个或多个应用程序或服务，诸如应用程序1311(例如，健康应用程序222、数字钱包、第三方应用程序、浏览器应用程序)。在一些示例中，应用程序1311可包括健康应用程序(例如，健康应用程序222)以执行如参考用户设备1306所描述的类似技术。类似地，参考服务提供方计算机1302所述的至少一些技术可由用户设备1306执行。

服务提供方计算机1302还可以是任何类型的计算设备，诸如但不限于虚拟或“云”计算资源的集合、远程服务器、移动电话、智能电话、PDA、膝上型计算机、台式计算机、瘦客户端设备、平板计算机、可穿戴设备、服务器计算机或虚拟机实例。在一些示例中，服务提供方计算机1302可经由网络1308或经由其他网络连接与用户设备1306进行通信。

在一种例示性配置中，服务提供方计算机1302可包括至少一个存储器1342和一个或多个处理单元(或处理器)1344。处理器1344可根据适当情况在硬件、计算机可执行指令、固件或它们的组合中实现。处理器1344的计算机可执行指令或固件具体实施包括以任何合适的编程语言编写的计算机可执行指令或机器可执行指令，以执行所述的各种功能。

存储器1342可存储能够在处理器1344上加载和执行的程序指令以及在执行这些程序期间生成的数据。根据服务提供方计算机1302的配置和类型，存储器1342可为易失性存储器(诸如RAM)和/或非易失性存储器(诸如ROM、闪存存储器等)。服务提供方计算机1302还可包括附加可移除存储装置和/或不可移除存储装置1346，包括但不限于磁存储装置、光盘和/或磁带存储装置。磁盘驱动器及其相关联的非暂态计算机可读介质可为计算设备提供计算机可读指令、数据结构、程序模块及其他数据的非易失性存储装置。在一些具体实施中，存储器1342可包括多种不同类型的存储器，诸如SRAM、DRAM或ROM。虽然本文所述的易失性存储器可以被称为RAM，但是从主机和/或电源拔下后将不会保留其中所存储的数据的任何易失性存储器都是适当的。可移除和不可移除的存储器1342和附加存储装置1346均为非暂态计算机可读存储介质的附加示例。

服务提供方计算机1302还可包含通信连接1348，该通信连接允许服务提供方计算机1302经由网络1308与数据存储库、另一种计算设备或服务器、用户终端和/或其他设备进行通信。服务提供方计算机1302还可包括I/O设备1350，诸如键盘、鼠标、笔、语音输入设备、触摸输入设备、显示器、扬声器、打印机等。

更详细地转到存储器1342的内容，存储器1342可包括操作系统1352和/或用于实现本文所公开的特征的一个或多个应用程序1341或服务，包括提供方服务210、提供方管理器212、订阅服务220、测试工具216、设备认证服务226、数据存储引擎228、数据检索引擎234、资产引擎236、EHR认证服务238和/或仪表板242。

在下文中，描述了另外的实施例，以促进理解本公开。

实施例1.在该实施例中，提供了一种计算机实现的方法，该方法包括：

由移动用户设备使用多个密码密钥对与该移动用户设备的用户账户相关联的健康数据进行加密；

使用多节点数据存储结构在该移动用户设备上存储该加密的健康数据，其中该多节点数据结构的每个节点由唯一数据标识符识别；

向根据该多节点数据存储结构存储该加密的健康数据的服务提供方发送该加密的健康数据，该唯一数据标识符识别该多节点数据存储结构的至少一个节点；

接收对要接收该健康数据的至少一部分的保健机构的选择；以及至少部分地基于该选择，向与该保健机构相关联的电子健康记录系统发送该多个密码密钥中的至少一个密码密钥和对应于该多节点存储结构的数据标识符，该电子健康记录系统能够使用该至少一个密码密钥和该数据标识符来访问和解密来自该服务提供方的该健康数据的该部分。

实施例2.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中对该健康数据进行加密、存储该加密的健康数据和发送该加密的健康数据响应于接收对该保健机构的该选择，该选择表示与该保健机构共享该健康数据的该部分的请求。

实施例3.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中对该健康数据进行加密包括使用该多个密码密钥中的唯一密码密钥对该多节点存储结构的每个节点进行加密。

实施例4.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该健康数据包括临床健康记录数据和传感器数据。

实施例5.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该临床健康记录数据是从该电子健康记录系统或从与不同保健机构相关联的不同健康记录系统接收的，并且该传感器数据是由该移动用户设备的传感器生成或从与该移动用户设备相关联的不同用户设备接收的。

实施例6.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该健康数据的第一部分由该移动用户设备从该电子健康记录系统获得。

实施例7.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中由该移动用户设备从与不同保健机构相关联的不同电子健康记录系统获得该健康数据的第二部分。

实施例8.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该健康数据被组织成多个类别，并且其中该多节点数据存储结构包括表示该保健机构的根节点和与该多个类别中的每个类别对应的多个分支节点。

实施例9.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，还包括：

接收识别该健康数据的类别的信息作为用户输入；以及

至少部分地基于该类别确定该健康数据的该部分。

实施例10.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该数据标识符对于该保健机构是唯一的。

实施例11.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该数据标识符是由该移动用户设备维持并且对应于该多节点存储结构的多个数据标识符中的第一数据标识符，并且其中该多个数据标识符中的各个个体数据标识符与特定保健机构、健康数据的特定类别、或与健康数据的相应类别对应的预定义数据范围中的至少一者相关联。

实施例12.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该多个密码密钥中的各个个体密码密钥与特定保健机构、健康数据的特定类别、或与健康数据的相应类别对应的预定义范围中的至少一者相关联。

实施例13.在本实施例中，提供了一种装置，该装置包括：

存储器，该存储器包括计算机可执行指令；和

一个或多个处理器，所述一个或多个处理器与存储器通信并被配置为访问存储器并执行计算机可执行指令以执行根据前述实施例中任一项所述的方法。

实施例14.在该实施例中，提供了包括计算机可执行指令的一种或多种计算机可读存储设备，该计算机可执行指令在由一个或多个处理器执行时使得该一个或多个处理器执行根据前述权利要求的权利要求中任一项所述的方法。

实施例15.在该实施例中，提供了一种移动用户设备，包括：

存储器，该存储器包括计算机可执行指令；和

处理器，所述处理器被配置为访问所述存储器并执行所述计算机

可执行指令以至少执行以下操作：

向根据多节点数据存储结构存储加密的健康数据的服务提供方发送该加密的健康数据，该加密的健康数据根据该多节点数据存储结构的第一版本存储在该移动用户设备上；

接收对要接收该健康数据的至少一部分的保健机构的选择；

以及

至少部分地基于该选择，向与该保健机构相关联的电子健康记录系统发送密码密钥和识别该多节点存储结构的该第一版本的存储节点的数据标识符，该电子健康记录系统能够使用该密码密钥和该数据标识符来访问和解密由该服务提供方存储在该存储节点处的该部分健康数据。

实施例16.在该实施例中，提供了前述或后续实施例中任一项的移动用户设备，其中该存储节点存储多个其他密码密钥和多个其他唯一数据标识符。

实施例17.在该实施例中，提供了前述或后续实施例中任一项的移动用户设备，其中该多个其他唯一数据标识符对应于健康数据的多个类别，该多个类别中的每个类别在该多节点数据存储结构的该第一版本和该第二版本中具有其自身节点。

实施例18.在该实施例中，提供了前述或后续实施例中任一项的移动用户设备，还包括显示器，并且其中该存储器包括附加计算机可执行指令，当由该处理器执行时，该附加计算机可执行指令提供用于呈现在该显示器处的用户界面，该用户界面呈现包括该保健机构的保健机构列表。

实施例19.在该实施例中，提供了前述或后续实施例中任一项的移动用户设备，其中接收该选择包括经由该用户界面接收从该保健机构列表中的对该保健机构的用户选择。

实施例20.在该实施例中，提供了前述或后续实施例中任一项的移动用户设备，其中该存储器包括附加计算机可执行指令，当由该处理器执行时，该附加计算机可执行指令在发送该加密的健康数据之前使用该密码密钥对该健康数据进行加密。

实施例21.在该实施例中，提供了前述或后续实施例中任一项的移动用户设备，其中向该电子健康记录系统发送该密码密钥包括向该电子健康记录系统发送该密码密钥而不与该服务提供方共享该密码密钥。

实施例22.在该实施例中，提供了一种计算机实现的方法，该方法包括：

从移动用户设备接收上载请求，该上载请求包括加密的健康记录数据和对应于该加密的健康记录数据的唯一数据标识符的集合；

根据该唯一数据标识符的集合将该加密的健康记录数据存储在安全存储装置中；

从与保健机构相关联的电子健康记录系统接收查询，该查询包括该唯一数据标识符的集合中的至少一个唯一数据标识符；

使用该至少一个唯一数据标识符从该安全存储装置检索该加密的健康记录数据；以及

发送该加密的健康记录数据以供该保健机构系统的该电子健康记录系统查看。

实施例23.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中发送该加密的健康记录数据以供该电子健康记录系统查看包括发送该加密的健康记录数据而不发送用于对该加密的健康记录数据进行解密的密码密钥。

实施例24.在本实施例中，提供了一种装置，该装置包括：

存储器，该存储器包括计算机可执行指令；和

一个或多个处理器，该一个或多个处理器与该存储器通信并且被配置为访问该存储器并且执行该计算机可执行指令以执行根据实施例22至23中任一项所述的方法。

实施例25.在该实施例中，提供了包括计算机可执行指令的一种或多种计算机可读存储设备，该计算机可执行指令在由一个或多个处理器执行时致使该一个或多个处理器执行根据实施例22至23中任一项所述的方法。

实施例26.在该实施例中，提供了一种计算机实现的方法，该方法包括：

根据配置文件生成多节点数据结构的数据节点，该数据节点由第一唯一数据标识符识别并且使用第一密码密钥来进行加密，该数据节点包括健康数据；

根据该配置文件生成该多节点数据结构的类别节点，该类别节点包括该第一唯一数据标识符和该第一密码密钥，该类别节点由第二唯一数据标识符识别并且使用第二密码密钥来进行加密；

根据该配置文件生成该多节点数据结构的机构节点，该机构节点包括该第二唯一数据标识符和该第二密码密钥，该机构节点由第三唯一数据标识符识别并且使用第三密码密钥来进行加密；以及

与服务提供方共享该数据节点、该类别节点和该机构节点。

实施例27.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该多节点数据结构可供其他系统用来查询由该多节点表示的健康数据。

实施例28.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，还包括至少部分地基于该配置文件来动态地生成查询集合，并且其中根据该配置文件生成该数据节点包括执行该查询集合中的至少一个查询以收集健康数据集合来填充该数据节点。

实施例29.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该配置文件识别对应于该健康数据集合的一个或多个所需范围。

实施例30.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，还包括确定生成该数据节点、生成该类别节点和生成该机构节点中的每一者成功。

实施例31.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，还包括在确定生成该数据节点、生成该类别节点和生成该机构节点中的每一者成功之后，向与保健机构相关联的电子健康记录系统发送该第三唯一数据标识符和该第三密码密钥。

实施例32.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，还包括：

接收与保健机构共享健康数据的请求；以及

响应于该请求，向与该保健机构相关联的电子健康记录系统发送该第三唯一数据标识符和该第三密码密钥。

实施例33.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中向该电子健康记录系统发送该第三唯一数据标识符和该第三密码密钥包括在不发送其他唯一数据标识符或其他密码密钥的情况下进行发送。

实施例34.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该第三唯一数据标识符包括表示包括该第二唯一数据标识符和该第二密码密钥的该机构节点的数据的散列。

实施例35.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，还包括通过对表示该第二唯一数据标识符和该第二密码密钥的数据进行散列来生成该第三唯一数据标识符。

实施例36.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该机构节点是第一机构节点，该方法还包括根据该配置文件生成该多节点数据结构的第二机构节点，该第二机构节点包括该第二唯一数据标识符和该第二密码密钥，该第二机构节点由第四唯一标识符识别并且使用第四密码密钥来进行加密。

实施例37.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该机构节点是第一机构节点，该类别节点是第一类别节点，并且该数据节点是第一数据节点，并且其中该方法还包括：

根据该配置文件生成该多节点数据结构的第二数据节点，该第二数据节点由第四唯一标识符识别并且使用第四密码密钥来进行加密；

根据该配置文件生成该多节点数据结构的第二类别节点，该第二类别节点包括(i)该第一唯一数据标识符、(ii)该第一密码密钥、(iii)该第四唯一标识符和(iv)该第四密码密钥，该第二类别节点由该第五数据标识符识别并且使用第五密码密钥来进行加密；以及

根据该配置文件生成该多节点数据结构的第二机构节点，该第二机构节点包括(i)该第二唯一数据标识符、(ii)该第二密码密钥、(iii)该第五数据标识符和(iv)该第五密码密钥，该第二机构节点由第六唯一数据标识符识别并且使用第六密码密钥来进行加密。

实施例38.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，还包括删除该第一机构节点和该第一类别节点。

实施例39.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，还包括向该服务提供方发送删除请求以从该服务提供方的存储装置中删除该第一机构节点和该第一类别节点。

实施例40.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中与该服务提供方共享该数据节点、该类别节点和该机构节点包括在同步该机构节点之前将该数据节点、该类别节点和该机构节点与该服务提供方计算机同步。

实施例41.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该数据节点和该类别节点的同步在该机构节点的同步之前发生。

实施例42.在该实施例中，提供了前述或后续实施例中任一项的计算机实现的方法，其中该数据节点是第一数据节点，并且其中该方法还包括根据该配置文件生成第二数据节点，该第二数据节点由第五唯一数据标识符识别并且使用第五密码密钥来进行加密，并且其中该类别节点还包括该第五唯一数据标识符和该第五密码密钥。

实施例43.在本实施例中，提供了一种装置，该装置包括：

存储器，该存储器包括计算机可执行指令；和

一个或多个处理器，该一个或多个处理器与该存储器通信并且被配置为访问该存储器并且执行该计算机可执行指令以执行根据实施例26至42中任一项所述的方法。

实施例44.在该实施例中，提供了包括计算机可执行指令的一种或多种计算机可读存储设备，该计算机可执行指令在由一个或多个处理器执行时致使该一个或多个处理器执行根据实施例26至42中任一项所述的方法。

可进一步在各种各样的操作环境中实施各种示例，在一些情况下，操作环境可包括可用于操作多个应用程序中的任一个应用程序的一个或多个用户计算机、计算设备或处理设备。用户设备或客户端设备可包括许多通用个人计算机中的任何一个，诸如运行标准操作系统的台式计算机或膝上型计算机，以及运行移动软件并能够支持多个联网协议和即时消息协议的蜂窝设备、无线设备和手持设备。此系统还可包括运行各种可商购获得的操作系统和用于目的诸如开发和数据库管理等的其他已知应用程序中的任何一者的多个工作站。这些设备还可包括其他电子设备，诸如虚拟终端、瘦客户端、游戏系统以及能够经由网络进行通信的其他设备。

大多数示例利用本领域技术人员熟悉的至少一个网络来支持使用各种商用协议(诸如TCP/IP、OSI、FTP、UPnP、NFS、CIFS和AppleTalk)中的任何协议的通信。网络可以是例如局域网、广域网、虚拟专用网络、互联网、内联网、外联网、公共交换电话网、红外网络、无线网络及其任何组合。

在利用网络服务器的示例中，网络服务器可运行各种服务器或中间层应用中的任何一者，包括HTTP服务器、FTP服务器、CGI服务器、数据服务器、Java服务器和业务应用服务器。服务器还能够执行程序或脚本以响应来自用户设备的请求，诸如通过执行一个或多个应用程序，该一个或多个应用程序可被实现为一个或多个脚本或用任何编程语言编写的程序，该编程语言诸如

C、C#或C++或任何脚本语言诸如Perl、Python或TCL以及它们的组合。服务器还可包括数据库服务器，包括但不限于可从

和

商购获得的那些。

环境可包括各种数据存储库和其他存储器和存储介质，如上所述。这些可驻留在各个位置，诸如在一个或多个计算机本地的存储介质上或者远离网络上的任何或全部计算机的存储介质上(和/或驻留在一个或多个计算机中)。在特定的一组示例中，信息可驻留在本领域的技术人员熟悉的存储区域网络(SAN)中。类似地，用于执行归属于计算机、服务器或其他网络设备的功能的任何必要文件可以根据需要本地存储以及/或者远程存储。在系统包括计算机化设备的情况下，每个此类设备可包括可经由总线电耦合的硬件元件，这些元件包括例如至少一个中央处理单元(CPU)、至少一个输入设备(例如，鼠标、键盘、控制器、触摸屏或键盘)和至少一个输出设备(例如，显示设备、打印机或扬声器)。此类系统还可包括一个或多个存储设备，诸如磁盘驱动器、光存储设备和固态存储设备诸如RAM或ROM，以及可移除媒体设备、存储卡、闪存卡，等等。

此类设备还可包括如上所述的计算机可读存储介质读取器、通信设备(例如，调制解调器、网卡(无线或有线)、红外通信设备)和工作存储器。计算机可读存储介质读取器可连接至或配置为接收表示远程、本地、固定和/或可移除的存储设备的非暂态计算机可读存储介质，以及用于临时和/或更永久地包含、存储、传输和检索计算机可读信息的存储介质。系统和各种设备通常还包括位于至少一个工作存储器设备内的多个软件应用程序、模块、服务或其他元件，包括操作系统和应用程序诸如客户端应用程序或浏览器。应当理解，另选的示例可具有上文所述的许多变型形式。例如，还可使用定制硬件，和/或可在硬件、软件(包括便携式软件，诸如小应用程序)或两者中实现特定元件。此外，可使用与其他计算设备诸如网络输入/输出设备的连接。

用于包含代码或代码的部分的非暂态存储介质和计算机可读介质可包括本领域中已知的或使用的任何适当的介质，包括存储介质，诸如但不限于易失性和非易失性、可移除和不可移除介质，这些介质可在任何方法或技术中实现以用于存储信息如计算机可读指令、数据结构、程序模块或其他数据，包括RAM、ROM、EEPROM、闪存存储器或其他存储器技术、CD-ROM、DVD或其他光学存储装置、磁带盒、磁带、磁盘存储装置或其他磁存储设备，或者可用于存储所需信息并可由系统设备访问的任何其他介质。至少部分地基于本文所提供的公开和教导内容，本领域的普通技术人员将理解用于实现各种示例的其他方式和/或方法。

相应地，说明书和附图应被视为具有例示性的而非限制性的意义。然而，显而易见的是，在不脱离权利要求中阐述的本公开的更广泛的实质和范围的情况下，可对其进行各种修改和改变。

其他变型形式在本公开的实质内。因此，尽管所公开的技术容易受到各种修改和另选构造的影响，但是其某些例示的示例在附图中示出并且已经在上文详细描述。然而，应当理解，并不旨在将本公开限制于所公开的特定形式，相反，其目的在于覆盖落入由所附权利要求所限定的本公开的实质和范围内的所有修改、另选构造和等同形式。

在描述所公开的示例的上下文中(特别是在下面的权利要求书的上下文中)使用术语“一”和“一个”和“该”以及类似的指示词将被解释为覆盖单数和复数，除非另有说明或与上下文明显矛盾。除非另外指出，否则术语“包含”、“具有”、“包括”和“含有”应被理解为开放性术语(即，意指“包括但不限于”)。术语“连接”被解释为即使有干预的东西，也被部分或全部地包含在内、附接或接合在一起。除非本文另有说明，否则本文中对数值范围的叙述仅仅旨在用作单独提及落入该范围内的每个单独值的简单方法，并且每个单独的值被并入说明书中，如同在本文中单独引用。本文描述的所有方法能够以任何合适的顺序执行，除非本文另有说明或以其他方式与上下文明显矛盾。除非另有声明，否则本文提供的任何和所有示例或示例性语言(例如，“诸如”)的使用仅仅旨在更好地说明本公开的示例，并且不会限制本公开的范围。说明书中的任何语言都不应被解释为指示任何未声明的元素对于本公开的实践是必不可少的。

除非另外特别说明，否则析取语言诸如短语“X、Y或Z中的至少一者”在上下文中被理解为通常用于呈现项目、术语等，其可以是X、Y或Z，或它们的任何组合(例如，X、Y和/或Z)。因此，此类析取语言通常不旨在并且不应该暗示某些示例要求X中的至少一个、Y中的至少一个或者Z中的至少一个均各自存在。

本文描述了本公开的优选示例，包括发明人已知的用于执行本公开的最佳模式。在阅读前面的描述之后，那些优选示例的变型形式对于本领域的普通技术人员来说可变得显而易见。发明人期望技术人员适当地采用此类变型形式，并且发明人旨在以不同于本文具体描述的方式来实践本公开。因此，如适用法律所允许的，本公开包括所附权利要求中记载的主题的所有修改和等同形式。此外，除非在本文中另外指出或者明显与上下文矛盾，否则本公开包含上述元素的所有可能变型形式的任何组合。

本文引用的所有参考文献，包括出版物、专利申请和专利，均据此以引用方式并入本文，正如每篇参考文献被单独且具体地指示为以引用方式并入并且在本文全文阐述。

如上所述，本技术的一个方面在于采集和使用得自各种来源的数据，以向用户的个人健康记录提供全面且完整的窗口。本公开预期，在一些实例中，这些所采集的数据可包括唯一地识别或可用于联系或定位特定人员的个人可识别信息(PII)数据。此类个人信息数据可包括人口统计数据、基于位置的数据、电话号码、电子邮件地址、推特ID、家庭地址、与用户的健康或健身等级相关的数据或记录(例如，生命体征测量、药物信息、锻炼信息)、出生日期、健康记录数据、或任何其他识别信息或个人或健康信息。

本公开认识到在本发明技术中使用此类个人信息数据可用于使用户受益。例如，个人信息数据可以用于提供对用户的个人健康记录的增强。此外，本公开还预期个人信息数据有益于用户的其他用途。例如，健康和健身数据可用于向用户的总体健康状况提供见解，或者可用作使用技术来追求健康目标的个人的积极反馈。

本公开设想负责采集、分析、公开、传输、存储或其他使用此类个人信息数据的实体将遵守既定的隐私政策和/或隐私实践。具体地，此类实体应当实行并坚持使用被公认为满足或超出对维护个人信息数据的隐私性和安全性的行业或政府要求的隐私政策和实践。此类政策应该能被用户方便地访问，并应随着数据的采集和/或使用变化而被更新。来自用户的个人信息应当被收集用于实体的合法且合理的用途，并且不在这些合法使用之外共享或出售。此外，应在收到用户知情同意后进行此类采集/共享。另外，此类实体应考虑采取任何必要步骤，保卫和保障对此类个人信息数据的访问，并确保有权访问个人信息数据的其他人遵守其隐私政策和流程。另外，这种实体可使其本身经受第三方评估以证明其遵守广泛接受的隐私政策和实践。另外，应当调整政策和实践，以便采集和/或访问的特定类型的个人信息数据，并适用于包括管辖范围的具体考虑的适用法律和标准。例如，在美国，对某些健康数据的收集或获取可能受联邦和/或州法律的管辖，诸如健康保险流通和责任法案(HIPAA)；而其他国家的健康数据可能受到其他法规和政策的约束并应相应处理。因此，在每个国家应为不同的个人数据类型保持不同的隐私实践。

不管前述情况如何，本公开还预期用户选择性地阻止使用或访问个人信息数据的实施方案。即本公开预期可提供硬件元件和/或软件元件，以防止或阻止对此类个人信息数据的访问。例如，就广告递送服务或与健康记录管理相关的其他服务而言，本发明技术可被配置为在注册服务期间或之后任何时候允许用户选择“选择加入”或“选择退出”参与对个人信息数据的收集。除了提供“选择加入”和“选择退出”选项外，本公开还设想提供与访问或使用个人信息相关的通知。例如，可在下载应用时向用户通知其个人信息数据将被访问，然后就在个人信息数据被应用访问之前再次提醒用户。

此外，本公开的目的是应管理和处理个人信息数据以最小化无意或未经授权访问或使用的风险。一旦不再需要数据，通过限制数据收集和删除数据可最小化风险。此外，并且当适用时，包括在某些健康相关应用程序中，数据去标识可用于保护用户的隐私。在适当的情况下，可以通过移除特定标识符(例如，出生日期)、控制存储的数据的量或特征(例如，在城市级而非地址级收集位置数据)、控制数据的存储方式(例如，在用户之间聚合数据)和/或其他方法来促进去标识。

因此，虽然本公开广泛地覆盖了使用个人信息数据来实现一个或多个各种所公开的实施方案，但本公开还预期各种实施方案也可在无需访问此类个人信息数据的情况下被实现。即，本发明技术的各种实施方案不会由于缺少此类个人信息数据的全部或一部分而无法正常进行。

Claims

1.一种计算机实现的方法，包括：

由移动用户设备使用多个密码密钥对与所述移动用户设备的用户账户相关联的健康数据进行加密；

使用多节点数据存储结构在所述移动用户设备上存储所加密的健康数据，其中所述多节点数据结构的每个节点由唯一数据标识符识别；

向根据所述多节点数据存储结构存储所加密的健康数据的服务提供方发送所加密的健康数据，所述唯一数据标识符识别所述多节点数据存储结构的至少一个节点；

接收对要接收所述健康数据的至少一部分的保健机构的选择；以及

至少部分地基于所述选择，向与所述保健机构相关联的电子健康记录系统发送所述多个密码密钥中的至少一个密码密钥和对应于所述多节点数据存储结构的数据标识符，所述电子健康记录系统能够使用所述至少一个密码密钥和所述数据标识符来访问和解密来自所述服务提供方的所述健康数据的所述部分。

2.根据权利要求1所述的计算机实现的方法，其中所述健康数据包括临床健康记录数据和传感器数据，并且其中所述临床健康记录数据是从所述电子健康记录系统或从与不同保健机构相关联的不同健康记录系统接收的，并且所述传感器数据是由所述移动用户设备的传感器生成或从与所述移动用户设备相关联的不同用户设备接收的。

3.根据权利要求1或2所述的计算机实现的方法，其中所述健康数据被组织成多个类别，并且其中所述多节点数据存储结构包括表示所述保健机构的根节点和与所述多个类别中的每个类别对应的多个分支节点。

4.根据权利要求1至3中任一项所述的计算机实现的方法，还包括：

接收识别所述健康数据的类别的信息作为用户输入；以及

至少部分地基于所述类别来确定所述健康数据的所述部分。

5.根据权利要求1至4中任一项所述的计算机实现的方法，其中所述数据标识符对于所述保健机构是唯一的，并且其中所述数据标识符是由所述移动用户设备维持并且对应于所述多节点数据存储结构的多个数据标识符中的第一数据标识符，并且其中所述多个数据标识符中的各个个体数据标识符与特定保健机构、健康数据的特定类别、或与健康数据的相应类别对应的预定义数据范围中的至少一者相关联。

6.根据权利要求1至5中任一项所述的计算机实现的方法，其中所述多个密码密钥中的各个个体密码密钥与特定保健机构、健康数据的特定类别、或与健康数据的相应类别对应的预定义范围中的至少一者相关联。

7.一种装置，包括：

存储器，所述存储器包括计算机可执行指令；和

一个或多个处理器，所述一个或多个处理器与所述存储器通信并被配置为访问所述存储器并执行所述计算机可执行指令，以至少：

使用多个密码密钥对与用户账户相关联的健康数据进行加密；

使用多节点数据存储结构来存储所加密的健康数据，其中所述多节点数据结构的每个节点由唯一数据标识符识别；

至少部分地基于所述选择，向与所述保健机构相关联的电子健康记录系统发送所述多个密码密钥中的至少一个密码密钥和对应于所述多节点数据存储结构的数据标识符，所述至少一个密码密钥和所述数据标识符被配置为使得所述电子健康记录系统能够使用所述至少一个密码密钥和所述数据标识符来访问和解密来自所述服务提供方的所述健康数据的所述部分。

8.根据权利要求7所述的装置，其中对所述健康数据进行加密、存储所加密的健康数据和发送所加密的健康数据响应于接收对所述保健机构的所述选择，所述选择表示与所述保健机构共享所述健康数据的所述部分的请求。

9.根据权利要求7或8所述的装置，其中对所述健康数据进行加密包括使用所述多个密码密钥中的唯一密码密钥对所述多节点数据存储结构的每个节点进行加密。

10.根据权利要求7至9中任一项所述的装置，其中所述健康数据包括临床健康记录数据和传感器数据，并且其中所述临床健康记录数据是从所述电子健康记录系统或从与不同保健机构相关联的不同健康记录系统接收的，并且所述传感器数据是由移动用户设备的传感器生成或从与所述移动用户设备相关联的不同用户设备接收的。

11.根据权利要求7至10中任一项所述的装置，其中所述健康数据的第一部分是由所述装置从所述电子健康记录系统获得的。

12.根据权利要求11所述的装置，其中所述健康数据的第二部分是由所述装置从与不同保健机构相关联的不同电子健康记录系统获得的。

13.一个或多个计算机可读存储设备，所述计算机可读存储设备包括计算机可执行指令，所述计算机可执行指令在由一个或多个处理器执行时使所述一个或多个处理器执行操作，所述操作包括：

使用多个密码密钥对与移动用户设备的用户账户相关联的健康数据进行加密；

14.根据权利要求13所述的一个或多个计算机可读存储设备，其中所述健康数据被组织成多个类别，并且其中所述多节点数据存储结构包括表示所述保健机构的根节点和与所述多个类别中的每个类别对应的多个分支节点。

15.根据权利要求13或14所述的一个或多个计算机可读存储设备，其中所述操作还包括：

接收识别所述健康数据的类别的信息作为用户输入；以及

至少部分地基于所述类别确定所述健康数据的所述部分。