CN105659238A

CN105659238A - 用于患者数据交换系统的数据驱动模式

Info

Publication number: CN105659238A
Application number: CN201480057443.2A
Authority: CN
Inventors: T·D·帕菲尔; W·C·哈丁
Original assignee: Medtronic Inc
Current assignee: Medtronic Inc
Priority date: 2013-08-21
Filing date: 2014-08-21
Publication date: 2016-06-08
Anticipated expiration: 2034-08-21
Also published as: EP3036668A1; CN105659238B; WO2015027077A1; US20150058627A1; US9467450B2; US20170098041A1; US10147502B2

Abstract

一种患者数据交换系统包括至少一个设备。这些设备中的每一个设备均实现接口。当该患者数据交换系统中的设备发布患者数据时，该设备生成封装该患者数据的元数据包络。该元数据包络符合限定该元数据包络的可允许的元数据属性的模式。当该患者数据交换系统中的设备接收到符合该模式的元数据包络时，该设备至少部分地基于该元数据包络的元数据属性来确定特定的患者数据处置策略以应用于由该元数据包络封装的患者数据。在一些实例中，该元数据属性指示要求来自授权服务的授权来访问由该元数据包络封装的该患者数据。

Description

用于患者数据交换系统的数据驱动模式

本申请要求2013年8月21日提交的美国临时专利申请第61/868,461号的权益，其全部内容通过引用结合在此。

背景技术

目前存在许多异构系统用于收集、处理并分析与医疗患者相关联的数据(即，患者数据)。传统的信息技术(IT)系统可以被建立以生成数据、通过限定的安全通道(专有的或以其他方式)将该数据传递至接收方的生态系统以用于进一步的处理、分析和交换。这些复杂系统在其生存周期之上可能难以管理和维持。例如，技术可能演进并且可能被引入到具有不确定结果的新生态系统中。此外，部分地由于适用于患者数据的变化的和可变的法规，这些系统可能是复杂的。例如，在没有来自患者的特定的类型的同意的情况下，特定类型的患者数据不可以与特定的个体或实体共享。此外，这种法规可以规定患者数据必须被如何存储。同时，患者和研究者可能想要能够访问患者数据。例如，患者可能想要能够访问其医疗档案并在其移动计算设备上搜索结果。此外，当今只有有限的“安全性”被应用于数据层。例如，当数据遍历网络系统(如，互联网)时，在各点/部件(例如，网络、防火墙、网关、存储设备)处可能存在加密术的变化类型(EAS、Blowfish、DES等)和级别(AES的密钥值可以是128位、512位等)。

发明内容

本公开描述了可以简化用于收集、处理并分析患者数据的系统的多项技术。本公开的这些技术可以通过封装来将多个元数据属性置于患者数据上。这些元数据属性可以包括安全性模式(schema)属性和隐私模式属性。换言之，患者数据可以被封装在元数据包络内，该元数据包络具有由模式指定的特定属性。元数据包络可以由系统设计师指定。模式可以指示元数据包络的可允许的元数据属性。元数据包络可以是在逻辑上封装另一数据集的数据集。

以这种方式封装患者数据可以使患者数据自身稳健、可复原且更可靠。患者数据可以即使在“休眠”(“atrest”)时(即，当在存储中时)保持被封装在元数据包络内。这可以与仅当通过一个或多个计算机网络(例如，网络空间)传输患者数据时才添加安全层的系统形成对照。将患者数据封装在符合这种模式的元数据包络中可以添加附加的安全层和隐私层，尽可能地接近患者数据，从而添加保护和逻辑来确保即使患者数据被泄漏到患者数据旨在保留于其中的安全系统外部，患者数据超出其预期用途仍是安全的。

本公开的这些技术可以改善患者结果。根据本公开的一项或多项示例技术，可以执行由根据标准设备数据模式来建立的简单的发布者-订阅者数据交换构成的数据驱动系统模型。该数据驱动系统模型可以包括例如原生安全属性和隐私属性，所述原生安全属性和隐私属性使得更安全、强健的数据交换环境能够轻松地适配于涌现的技术、创新产品和服务。

尽管本公开的这些技术是参照患者数据来描述的，并且一般地是参照医疗保健设置来描述的，但是本公开的这些技术不必受限于此。相反，本公开的技术可以适用于其他类型的数据，并且适用于其他类型的设置，诸如，政府数据、军事数据、工业数据、商业数据等。

一方面，本公开描述了一种用于交换患者数据的系统。该系统包括实现接口的至少一个设备。当接口接收到符合限定元数据包络的每一个可允许的元数据属性的模式的元数据包络时，接口至少部分地基于接收到的元数据包络的第一元数据属性，从该接口被配置成应用的多个可用的患者数据处置策略中确定特定的患者数据处置策略。这些可用的患者数据处置策略中的每一个可用的患者数据处置策略都规定处置患者数据的不同方式。此外，该接口参照在所接收到的元数据包络内封装的特定的患者数据集来应用特定的患者数据处置策略。当该特定的患者数据处置策略指示要求接收授权以便访问特定的患者数据集时，接口请求从由接收到的元数据包络的第二元数据属性标识的授权服务来接收对访问特定的患者数据集的授权。

另一方面，本公开描述了一种处置患者数据的方法。该方法包括以下步骤：在由设备实现的接口处，接收封装了与患者相关联的特定的患者数据集的元数据包络。该元数据包络符合限定了该元数据包络的每一个可允许的元数据属性的模式。该方法还包括以下步骤：由接口至少部分地基于接收到的元数据包络的第一元数据属性，从接口被配置成应用的多个可用的患者数据处置策略中确定特定的患者数据处置策略。这些可用的患者数据处置策略中的每一个可用患者数据处置策略都规定处置患者数据的不同方式。此外，该方法包括以下步骤：由接口参照特定的患者数据集来应用特定的患者数据处置策略。该方法还包括以下步骤：当特定的患者数据处置策略指示要求接收授权以便访问特定的患者数据集时，由接口从由接收到的元数据包络的第二元数据属性标识的授权服务请求对访问特定的患者数据集的授权。

又一方面，本公开描述了一种计算机可读数据存储介质(例如，非瞬态计算机可读数据存储介质)，此计算机可读存储介质具有存储在其上的指令，当执行这些指令时，这些指令将由设备实现的接口配置成接收元数据包络，此元数据包络封装了与患者相关联的特定的患者数据集。该元数据包络符合限定了该元数据包络的每一个可允许的元数据属性的模式；至少部分地基于接收到的元数据包络的第一元数据属性，从该接口被配置成应用的多个可用的患者数据处置策略中确定特定的患者数据处置策略。这些可用的患者数据处置策略中的每一个可用患者数据处置策略都规定处置患者数据的不同方式。这些指令还将接口配置成：参照特定的患者数据集来应用特定的患者数据处置策略。这些指令配置接口，使得当特定的患者数据处置策略指示要求接收授权以便访问特定的患者数据集时，接口请求从由接收到的元数据包络的第二元数据属性标识的授权服务来接收对访问特定的患者数据集的授权。

在以下附图和说明书中阐述了这些技术的一个或多个示例的细节。通过说明书、附图和权利要求书，这些技术的其他特征、目的和优点将是显而易见的。

附图说明

图1是概念图，展示了根据本公开的一项或多项技术的示例设备数据交换环境。

图2是临床数据标准协会的研究数据表格模型的示例逻辑描绘。

图3是示例趋势耦合矩阵。

图4是列举了关键利益相关者和使用信息技术(设备数据)的概念收益的示例“构想图”。

图5是关键技术/解决方案的示例“快照”，关键技术/解决方案可能已经在组织和组织内的关键技术/解决方案的位置处得其所。

图6展示了发布者-订阅者模型的示例逻辑系统架构，并且包括在用标准模式封装数据的这两个实体之间进行的样本数据交易/交换。

图7是示例图，以表示作为有待交换的数据的订阅者和发布者比较重要的元数据的类型的样本。

图8是概念图，展示了临床数据标准协会的研究数据表格模型的示例扩展。

图9A是概念图，展示了根据本公开的一项或多项技术的示例成本/收益分析。

图9B是概念图，展示了根据本公开的一项或多项技术的示例成本/收益分析。

图9C是概念图，展示了根据本公开的一项或多项技术的示例成本/收益分析。

图9D是概念图，展示了根据本公开的一项或多项技术的示例成本/收益分析。

图10是概念框图，展示了计算机系统的示例配置。

图11是流程图，展示了根据本公开的一项或多项示例技术的订阅者接口的示例操作。

具体实施方式

一种患者数据交换系统可以包括至少一个设备(例如，多个设备)。患者数据交换系统中的这些设备可以包括可植入医疗设备、针对可植入医疗设备的设备编程器(即，编程器设备)、个人计算机、移动计算设备、服务器计算设备和/或其他类型的计算设备。患者数据交换系统中的这些设备可以交换患者数据。这种患者数据可以包括关于患者的数据。例如，患者数据可以包括从患者那里收集来的临床研究数据。在另一个示例中，患者数据可以包括电子医疗档案或电子健康档案。在另一个示例中，患者数据可以包括关于患者的保险记录。在又另一个示例中，患者数据可以包括关于患者的处方药物数据。

患者数据交换系统中的每个设备可以充当发布者和/或订阅者。患者数据交换系统中充当发布者的每个设备可以实现发布者接口。患者数据交换系统中充当订阅者的每个设备可以实现订阅者接口。在此上下文中，“接口”可以是硬件和/或软件结构，该结构可以充当软件和/或硬件之间的交互点。

当设备充当发布者时，该设备可以接收、存储和/或生成有待保护的数据(即，受保护的数据)。受保护的数据可以被加密并且可以包括患者数据。此外，当设备正准备传输受保护的信息时，由设备实现的发布者接口可以生成封装受保护的数据的元数据包络。在受保护的数据包括患者数据的一些示例中，由元数据包络封装的患者数据可以涉及或者可以基于一位或多位患者。在一些示例中，患者数据包括临床研究数据，如在临床研究过程中所生成的数据。元数据包络可以包括与受保护的数据相关联的元数据。发布者接口可以传输或存储该元数据包络。患者数据交换系统中的设备的订阅者接口可以接收封装受保护的数据的元数据包络。在一些示例中，订阅者接口可以是现有软件应用(如web浏览器应用或PDF阅读器)的插件或扩展。

元数据包络可以符合一种模式。换言之，该模式可以限定元数据包络的内容的格式。该模式可以指示元数据包络的可允许的元数据属性。换言之，如果模式指示元数据属性是可允许的，那么元数据属性是可允许的元数据属性符合该模式的元数据包络不可以包括不被模式允许的元数据属性。例如，模式可以要求元数据包络包括各个属性。这些元数据属性中的每个属性都可以包括特定的数据类型。根据本公开的一项或多项技术，元数据包络的这些元数据属性可以指定如何对待由元数据包络封装的受保护的数据。当订阅者接口接收符合该模式的元数据包络时，订阅者接口可以至少部分地基于元数据包络的元数据属性来确定如何处置由元数据包络封装的受保护的数据。例如，元数据包络的元数据属性可以指示将特定的患者数据处置策略应用于由元数据包络封装的患者数据。因此，根据本公开的一项或多项技术，患者数据可以是一个或多个策略基于其可以基于执行模式属性被执行/生效的声明性数据片。患者数据处置策略可以是指示将以哪种方式处置患者数据的策略。在本示例中，订阅者接口可以基于元数据属性确定特定的患者数据处置策略，并且可以关于由元数据包络封装的患者数据应用特定的患者数据处置策略。

例如，元数据包络的元数据属性可以指定将根据特定的策略(例如，政府法规、组织特定的规则、工业标准等)处置由元数据包络封装的患者数据。换言之，元数据属性可以指示适用于特定的患者数据集的政府法规。在一些示例中，元数据属性可以指示可适用的政府法规的标识符(例如，索引)。在本示例中，接收元数据包络的订阅者接口可以根据特定的策略来处理和/或存储由元数据包络封装的患者数据。适用于患者数据的示例政府法规包括与美国健康保险携带和责任法案(HIPAA)相关联的法规。在另一示例中，元数据属性可以指定由元数据包络封装的患者数据属于特定的类。在本示例中，特定的策略可以适用于属于特定的类的患者数据。在本示例中，订阅者接口可以根据特定的策略来处理和/或存储患者数据。此外，在本示例中，如果特定的策略被更新，那么在不修改患者数据或其元数据包络的情况下可以修改订阅者接口，从而使得订阅者接口根据更新的策略来处理和/或存储患者数据。

在一个示例中，订阅者接口可以接收封装了与患者相关联的特定的患者数据集的元数据包络。该元数据包络可以符合限定了该元数据包络的每个可允许的元数据属性的模式。此外，在本示例中，订阅者接口可以至少部分地基于所接收的元数据包络的第一元数据属性从接口被配置以应用的多个可用患者数据处置策略中确定特定的患者数据处置策略。这些可用患者数据处置策略中的每个可用患者数据处置策略可以规定处置患者数据的不同方式。在本示例中，订阅者接口可以关于特定的患者数据集应用特定的患者数据处置策略。

当特定的患者数据处置策略指示需要授权以便访问特定的患者数据集时，订阅者接口可以请求来自由所接收到的元数据包络的第二元数据属性所标识的授权服务的授权以访问特定的患者数据集。在此上下文中，授权可以是确认正在试图访问特定的患者数据集的实体被授权以访问特定的患者数据集的动作。在一些示例中，当接口向授权服务提供以下证据时该接口接收该授权以访问该特定的患者数据集：该接口被配置为使得该接口不以加密或非加密形式在该元数据包络之外传输该特定的患者数据集并且不以非加密形式生成该特定的患者数据集的在该接口终止之后持续的多个副本。换言之，仅当该接口向该授权服务提供以下证据时该接口接收该授权以访问该特定的患者数据集：该接口被配置为使得该接口不以加密或非加密形式在该元数据包络之外传输该特定的患者数据集并且不以非加密形式生成该特定的患者数据集的在该接口终止之后持续的多个副本。在一些示例中，远程计算设备提供授权服务。在一些这种示例中，订阅者接口可以经由一个或多个通信网络(如互联网)将请求发送至授权服务。在其他示例中，计算设备的实现订阅者接口的单元提供授权服务。

在另一个示例中，该模式可以指定允许元数据包络以包括对授权服务进行标识的安全性属性。在本示例中，授权服务可以向被授权以访问受保护的数据的订阅者接口提供针对受保护的数据的解密密钥。授权订阅者接口可以使用针对受保护的数据的解密密钥来解密受保护的数据。此外，在本示例中，如果授权服务能够证实订阅者接口满足特定的标准，那么授权服务可以仅向订阅者接口提供解密密钥。授权服务可以确定订阅者接口是否是可信软件。此外，在本示例中，授权服务可以追踪授权请求。

在一些示例中，如果订阅者接口满足以下要求则授权服务可以仅向订阅者接口提供对患者数据的访问(例如，提供解密密钥)：订阅者接口不以在元数据包络之外的加密或非加密形式传输受保护的数据并且不以在订阅者接口终止之后持续的非加密形式生成受保护的数据的多个副本。在本示例中，授权服务可能需要订阅者接口满足这个要求的证据。在一些这种示例中，证据可以包括根据加密密钥加密的授权数据。在这类示例中，用于从该授权服务到该接口接收用于特定的患者数据集的解密密钥的要求可以是授权服务能够成功地解密授权数据。

在另一个示例中，受保护的数据可以包括患者数据，并且模式可以指定元数据包络被允许包括隐私属性，该隐私属性提供关于由患者给出的共享患者数据的同意的信息。例如，元数据属性可以指示由患者给出的关于共享特定的患者数据集的同意类型。在另一个示例中，元数据属性可以指示国家，在该国家由患者给出关于共享特定的患者数据集的同意。在本示例中，如果发布者接口接收针对患者数据的请求，那么该发布者接口可以至少部分地基于隐私属性确定是否响应该请求提供元数据包络。类似地，如果订阅者接口接收元数据包络，那么订阅者接口可以基于隐私属性确定是否接受元数据包络。如果订阅者接口并不接受元数据包络，那么订阅者接口可以删除元数据包络以及由元数据包络封装的受保护的数据。例如，订阅者接口可以基于特定的患者数据处置策略确定是否删除特定的患者数据集。在本示例中，订阅者接口可以基于该确定来删除特定的患者数据集。

以此方式，处置患者数据交换系统中的受保护的数据的每个单元的方式可以由封装受保护的数据的元数据包络的这些属性来管理。这可以消除针对不同类型的患者数据对复杂的异构系统的需要。相反，所有受保护的数据可以根据封装受保护的数据的元数据包络的这些属性由同一组发布者接口和订阅者接口处置。因此，尽管不同类型的受保护的(或不受保护的)数据在患者数据交换系统中被不同地处置，发布者接口和订阅者接口可以以相同的方式来确定如何处置特定的受保护的(或不受保护的)数据片。

此外，发布者接口和订阅者接口可以处置符合不同模式的元数据包络。在一些示例中，发布者接口和订阅者接口可以交换模式以使得能够扩展患者数据交换系统中的元数据包络的类型。

如以上所指示的，许多医疗设备及其解决方案是异构的、耦合的且复杂的系统，该系统收集、处理并分析来自可植入设备的数据以便经由映射到治疗方法的算法管理患者的病情。在美国，由食品和药物管理署(FDA)调节和控制这些解决方案。由于新的信息技术(IT)涌现并且被引入到消费者市场，用户可能需要准备好对数字数据的访问。目前的系统可以是围绕用于解决分散的健康难题的技术被建立或被设计的，然而它们不是关于这些技术创造、存储和/或共享的数据的可及性进行设计的。可能存在机会针对所有的可植入医疗设备数据(或来自企业或组织的所有可植入医疗设备)限定标准的数据模式。所产生的标准可以使得改进的方法能够与其他可植入医疗设备共享并交换设备数据并且扩展至局部地、区域地或全球地托管的外部数据域(例如，电子健康记录系统、健康信息技术、国家健康护理系统等)。此标准可以包括一组集中于信息安全和隐私的模式属性。这种方式可以形成用于健康数据交换的以数据为中心的安全的发布者与订阅者系统模型的基础以简化当前的复杂系统。

所提出的方式可以利用项目来限定包括安全性和隐私部件的样本数据模式。这可以是重要的，因为：

由于临床研究的性质，临床工作习惯于使用新的解决方案并且善于接受调查新的数据提议。

临床数据现今被存储在IT系统中并且与其他系统交互操作。

临床数据用于帮助PDA提交。

临床数据用于质量和保证。

这种方式可以提供真实世界演练。在系统模型被绘制并与临床领域的其他专家共享之后，可以创建数据流和系统集成的思维导图。这些模型可用来更好地理解可以在哪里以及如何跨多个变化的策略领域详察并废止数据模式标准。也就是，可以不必修改或重新设计系统解决方案以支持关于对所描述的数据的访问、交换或使用的策略变化。相反，改变系统内的策略引擎可以使得策略引擎顺应经修改的或新近限定的法规。

在本公开中，贯穿健康护理生态系统使用发布者-订阅者系统模型研制并演示了一种用于交换设备数据的模型。这种模型可以通过创建并执行标准的数据模式而被推进，该标准数据模式封装使模型更有回弹力且安全的内容。这种努力可以为许多其他数据驱动的、域特定的用于无缝地且安全地访问复杂的“及时”系统内的数据的模式奠定基础。

信息技术正在向前发展。因此，消费者会变得更加忙于建立由复合应用、系统和设备构成的个人解决方案以支持信息(例如，金融、个人、社会、医疗等)的交换从而改善他们的生活。一个组织可以考虑其设备(具体地，这些设备所生成的有价值的数据)是如何在这个改良的自动化和数据处理/分析环境中起作用的。在一些示例中，组织的角色的一个可能的解释如下：

愿景——使用发布者-订阅者模型将使用时间过长且难以维护的复杂的系统逐渐发展成简单、安全且高效的结构。医疗设备和传统的信息技术(IT)系统可以汇聚。例如，包括传感器和遥测装置的医疗设备正在成熟起来并且产生信息(数据)，该信息(数据)有可能降低健康护理成本、提供更高质量的护理并且是被进行数据挖掘以提供健康护理系统反馈和分析从而改善患者治疗效果的数据。

目标——用具有本地安全属性和隐私属性的标准模式来使医疗设备数据标准化。这种标准化可以形成基础以产生由基础发布者和订阅者系统模型组成的简单的构件块用于信息交换。本公开的范围和结果可以论证愿景可行性并调查研究替代方案。

原因——发布者-订阅者模型可以是简单的系统，该系统可以被扩展以建立更复杂的数据交换模型并且最终提高决策人平衡风险和回报的能力。重要数据的流动可以使得矫正信息系统能够以最高质量和值进行分析、测量并响应。此外，此分析可以标识间隙、提供接下来的步骤并且建议关于如何收集更多数据并细化测量结果以针对改善的治疗效果确定度量的选项。

方式——用临床项目进行可行性测试，以对针对FDA提交的数据进行标准化并包括安全和隐私(这可能不是临床项目的主要意图)从而改善数据交换控制。所获得的经验可以加强以上提及的愿景和/或标识用于减少健康护理数据交换的复杂性的其他机会以改善患者治疗效果。

本公开的这些技术可以使组织准备好对其角色进行重新估计——从仅仅作为医疗设备制造商到数据授权，发布针对全球健康护理生态系统的至关重要且有价值的信息。更具体地，本公开的一项或多项技术可以针对所有其设备(传感器和遥测装置)限定设备数据模式的标准数据中心集。在一些示例中，如图1所展示的，本公开的一项或多项技术可以建议数据模式并对有效、安全且高度可交换的数据环境包含局部的、区域的和全球健康信息系统(HIS)的可行性进行论证。

图1是概念图，展示了根据本公开的一项或多项技术的示例设备数据交换环境。在图1的示例中，存在四个明显的数据域，在这些数据域中对数据进行创造和/或修改、交换或存储。这些域包括人类数据域10、编程器数据域12、个人设备数据域14和云端数据域16。这些域中的每个域自身可以是由许多数字部件(例如，计算端点、服务器、操作系统、数据库、联网设备、标准协议等)构成的复杂系统的概念模型。在一些示例中，这些高级域中的每个域都可以是从一个域到另一个域的数据的发布者和/或订阅者。在这些域的每个域中的设备可以实现本公开的发布者接口和/或订阅者接口。

人类数据域10可以包括生成、记录并对从患者那里感测到的数据起作用的可植入/可穿戴式设备(例如，起搏器、胰岛素泵、传感器、药泵、神经刺激器等)的传统位置。此数据(即，设备数据)对用来通过贯穿疾病的生命周期提供改进的治疗方法来管理并提高患者的生活质量的算法而言可能是重要的。此设备数据可能是重要的、敏感的，并且在临床试验的有价值信息期间(如在受控科研期间)将可能证明引入的新产品/疗法/技术的功效和安全性，从而针对人类用途监督管理实体的批准——例如，通过FDA监督管理批准董事会。设备数据的值可能暗示需要确保设备数据的完整性、机密性和可用性。当今，此数据以及其正管理的相应病情可以是完整的数据集，该数据集不与其他人类数据域设备(例如，与胰岛素泵共享信息的起搏器)进行接口连接。尽管图1示出了人，这个人并不形成本公开的这些技术的一部分。

在本文件中稍后概述的标准数据模式可以使得能够在本体内从设备到设备的进行新的数据交换。例如，此通信信道可以改善治疗反应时间、更早标识合并症状态并减少患者医院探视。

出于维护、管理和数据采集的目的，编程器数据域12可以包括控制器，该控制器使用专用通信链路以创造到可植入设备的安全通道。如在图1的示例中所示的，编程器数据域12中的设备可以将程序数据发送至人类数据域10中的设备。程序数据可以包括到人类数据域10中的编程设备的数据。此外，如在图1的示例中所示的，编程器数据域12中的设备可以经由发布者接口和订阅者接口与在人类数据域10和云端数据域16中的设备交换数据(例如，健康数据、设备数据等)。对数据模式的标准化可以使得编程器模型(例如，用于编程医疗设备的编程器)被设计有运行标准操作系统的普通的现货硬件。例如，这个硬件以及该硬件的坚固的操作系统可以用来托管虚拟机解决方案(类似于现今使用的硬件等效解决方案，然而，所有软件组件可能都已经被封装在虚拟化层中)。这种解决方案可以减少编程器成本，并且可以使得多个编程器选项成为可能。

个人设备数据域14可以包括消费者信息技术产品普及的领域和患者即时数据访问期望的汇聚。例如，个人设备数据域14可以包括移动电话、个人计算机、平板计算机、膝上计算机、可穿戴式计算设备以及由患者使用的其他类型的计算设备。在图1的示例中，个人设备数据域14中的设备还可以经由发布者接口和订阅者接口与在人类数据域10中的设备和在云端数据域16中的设备交换数据。也就是，在一些示例中，可以实现患者的期待：其医疗信息可以在任何时候、任何地点并且由其具有访问权的或者从消费者电子设备提供商买来的任何设备访问。以下各项提供了关于系统部件的这些类型的一些指导：美国食品与药品管理署，“http://www.fda.gov/MedicalDevices/ProductsandMedicalProcedures/GeneralHospitalDevicesandSupplies/MedicalDeviceDataSystems/default.htm”、可从http://www.fda.gov/MedicalDevices/ProductsandMedicalProcedures/GeneralHospitalDevicesandSupplies/MedicalDeviceDataSystems/default.htm获得的美国卫生及公共服务部，19042011.[在线]。然而，遵守这些法规是设备制造商的责任。在与新的、动态的、几乎不受个人设备控制的环境相对，受控的和管理良好的环境中可能难以遵守这些法规。标准数据模式模型可以提供机会来建立即时法系统，其中，接口可以控制可审计的、安全的并顺应当今的法规和设备的数据流。此外，这种模块性可以使得系统针对未来的变化更有回弹力。

云端数据域16可以包括传统互联网资源、数据存储库、服务提供商(例如，承保人、个人健康档案、医院电子医疗档案、付款人等)以及接口连接并交换由设备生成的数据的应用。如在图1的示例中所示的，云端数据域16中的设备可以经由发布者接口和订阅者接口与在编程器数据域12中的设备和在个人设备数据域14中的设备交换数据(例如，健康数据)。这可以由网络控制进一步细化，该网络控制将云端数据域分区成三种类型：局部内联网(仅内部的数据交换)、区域内联网(仅跨地理位置和政治边界的私有的数据交换)以及互联网自身。

标准数据模式模型可以提供多个信息层(封装)，这些信息层(封装)提供尽可能接近数据源的如隐私和安全性的附加上下文。这种封装的结果可能是数据坚固化、回弹性以及交换数据的可靠性。为了对此提供支持，一种使用发布者-订阅者模型的不同方法进一步简化了设备数据交换的复杂性。可以通过创建分类法、将上下文添加至被从发布者交换至订阅者的数据的模式而启用这个方法。传统的系统可以被建立以生成数据、通过限定的安全通道(专有的或以其他方式)将该数据传递至接收方的生态系统以用于进一步处理、分析和交换。这可能难以在限定的系统及其部件的生命周期期间进行管理和维护(即，技术可以演进并被引入到具有不确定结果的生态系统中)。此外，当数据遍历这些系统时，强加于数据上的唯一的“安全性”是在各点/部件(例如，网络、防火墙、网关、存储设备等)处的变化类型(EAS、Blowfish、DES等)和级别(AES的密钥值可以是128位、512位等)的加密术。

本公开的这些技术可以经由对数据(例如，受保护的数据)的封装来强加内容属性(例如，安全性和隐私属性)，从而使得数据自身文件、可恢复且更可靠而不是被建立以在网络空间中在数据历程上添加多个安全性层的系统。这种数据模式可以添加附加安全层(再次尽可能地接近数据)，在数据级别添加保护以确保：如果被泄漏到该数据旨在保留于其中的安全系统之外，数据在数据的预期用途之外是安全的。随着从每个发布者-订阅者接口(例如，软件或硬件策略引擎)进行的数据交换决定添加附加的防御层，更多封装围绕有待共享的内容，并且所产生的数据模型可以概念上类似于俄罗斯套娃的模型。

本公开的以下部分描述了所使用的示例工具以及由这些方法组合的结果以论证组织包含具有设备数据驱动策略的信息技术从而针对所有组织设备和解决方案限定标准的数据模式。此目标可以支持由发布者与订阅者之间的简单数据交换构成的生态系统的愿景，由此通过大量的监督管理和顺从减少数据流复杂性和挑战。由于高价值的设备数据贯穿健康护理信息技术生态系统的交换，这些结果可以是更好的患者治疗效果。

为了实现具有分立的发布者和订阅者来协调并交换数据的简单、安全并且高效的健康护理生态系统，可以限定通用的共享数据标准。在内部临床数据标准化项目中所标识的临床工作领导者可以被任命去调查研究这种模式标准。临床工作和临床研究可能习惯着眼于新的解决方案、它们引入的这些挑战，并且可能善于接受这个提出的新的数据策略的调查研究。此外，由临床团队维护的数据可能已经被储藏在全球IT解决方案中。

该项目的示例目的是利用针对所有的临床试验的工业标准数据模型来改进FDA提交进程。高德纳有限公司(IT研究和咨询团体)刊出过概括了成本节省和临床试验中的相应区域的论文，其中，数据标准化可以使针对FDA提交的活动流线化。高德纳公司的建议是使用临床数据交换标准联盟有限公司(CDISC)的研究数据表格模型(SDTM)版本1.2。

表1-“用CDISC标准流线化的临床研究活动”展现了从临床记录数据交换、存储、分析等的数据模式标准化中受益的进程区。

表1

在表1中，斜体文本指示可以用标准进行流线化的临床研究活动。从高德纳公司的研究中，大多数的成本节省(包括改进的FDA提交)是等同于减少了八个月的临床研究成就的进程优化处理。

图2是CDISCSDTM的示例逻辑描绘。SDTM数据模型是基于临床研究记录的，其中，每个记录表示受测者(即，参与者/患者)观察，并且包括以下部件模式层级：

·类——限定了本研究的六个顶级群组。

·域——提供在本研究内的受测者的标准细节的类的子类别。

·变量——保留在本研究观察中收集的细节数据的属性角色。

重要但不成功的观察是隐私或安全性未被构建到此模型中。然而，SDTM已经针对要求进一步增强的工业通过特殊目的类向此模型中构建了一种用于扩展该标准的方法。为了提高质量、完整性以及临床数据的值，SDTM模式被扩展为包括两个新域。隐私域和安全域经由这些特殊目的类而被包括在内并且包含新的变量和属性，稍后在本公开中对其进行描述。

一种利用本公开的一项或多项技术的方式贯穿一个组织是双重的：

1.组织的临床部分可以使临床数据集中于数据仓库中，但使用新的数据模型。此数据流可以包括被提出作为用于简化复杂系统的长期愿景的简单的发布者-订阅者模型。数据仓库可以包括集线器，在该集线器处，数据可以与其他内部系统或外部系统进行交换用于进一步处理(例如，FDA提交、电子健康记录系统等)。

2.使用SDTM消费临床数据可能已经是基于工业标准(像可扩展标记语言(XML))并且被放入良定义的数据仓库系统中。

此手段可以转化为简单低风险的机会以在所提出的概念上获得知识和可行性。如果针对组织的项目对最初的项目目标呈现任何负面影响，那么可以轻易地搁置该项目并且可以在更适当的时间重新访问所提出的安全性和隐私附加。

针对所有设备数据限定标准的数据模式(例如，限定标准属性的分类法以描述生成的、存储的和共享的内容)会是重要的。这是因为数据的安全性和数据的交换对于确保质量、安全性以及使用数据为将来的创新建立基础可能是最重要的。由于以上呈现的这些趋势显露出来，设备数据可能受制于由因特尔的首席信息安全官马可勒姆-哈金斯(MalcolmHawkins)声明的五条数据定律：

1.信息自由律：人们是社交的并且将谈论、公布并共享信息。信息技术的消费化将仅增加这种风险。

2.代码出错律：绝对不存在控制硬件的100％无错的软件或固件控制硬件这种东西。

3.服务常在律：一直开启并且连接的装置使得进程和代码不断地运行并且在所需要的改变期间由攻击者、进程错误或错误配置利用。

4.用户点击律：人们自然地相信并且通过点击按钮、web链接或任何消息框提示而被带入恶意的、无害的或善意的活动中。

5.安全特性可攻击律：安全性工具、进程和策略可以就像软件和硬件一样被利用。这意味着以上的规章2、3和4同样适用于在各防御层处的安全性测量。

看起来恒定不变的是用户、应用和系统之间的信息交换，其被建立以在复杂的数据系统内聚集并管理数据。为了改善信息从容器到容器的受控制的交换，在被传送的数据上的控制可以被应用。也就是，在数据级别可以将安全性(或像隐私的其他控制)“烧制进入”信息技术数据交换的设计中。被建立以交换设备数据“元数据标准”的分立的发布者-订阅者系统可以能够应用新的策略、细化控制并在其接口处提供粒度记录以帮助减少以上威胁的影响。

从现状到数据授权(即，在订阅者的生态系统中的数据发布者)的演变可以通过针对改善的数据交换实现限定的设备数据模式而开始。使用像趋势耦合矩阵、构想图和技术空间映射的新工具可以工作以再次加强对设备数据分类标准的需要从而进行更好的内部数据交换，这当数据在系统之外被共享时也可以使顾客受益并且改善患者治疗效果。

图3是示例趋势耦合矩阵。在顶行对面列举的是多个大趋势，这些大趋势可以或可以不扰乱组织现今可以实现的这些技术(在第一列中列举的那些技术)的改进。趋势耦合矩阵可以论证并突显信息技术(设备数据)在全球健康护理生态系统上的影响，在该生态系统内组织的医疗设备和服务参与了。更具体地，趋势耦合矩阵可以论证并突显组织的设备数据是如何无缝地、安全地并用解决的隐私担忧与其他IT系统(例如，消费化、健康护理系统、移动性和超前的技术)进行交换的。

在图3的示例中，信息技术(设备数据)可以是强制性技术并且可以在跨收集、存储或传输数据的所有设备的这些策略中被追踪以进一步处理和/或决策。此练习的结果是加强与附加能量消耗有关的担忧以便存储、传输并维护与互联网的不变的连接性(即，增加的移动性)用于发送/接收设备数据。实现信息技术(设备数据)标准的进一步下游效应可能导致延长其用户的生命并且有可能增加健康护理的总成本。然而，在其他健康护理相关的节省(例如，库存管理、复诊、急诊)上的信息技术(设备数据)的净结果可以导致节省中的净提高。

图4是列举了关键利益相关者和使用信息技术(设备数据)的概念收益的示例“构想图”。这些利益相关者(即，患者、提供商和付款人)以及所概述的乐观收益针对稍后在此部分中讨论的不确定性可以具有重要性。然而，这可以是针对进一步细化和详细财务分析的开始。

图5是关键技术/解决方案的示例“快照”，其可能已经在组织和组织内的关键技术/解决方案的位置处得其所。在这个组织中，看起来在用于支持组织的核心业务和传统的企业IT业务的工具内存在朝向信息和数学科学的趋势。也就是，可以利用由内部IT组织使用并共享的数据以改进流程以及在设备制造/生命科学解决方案中使用的工具从而降低成本、提高质量并且提高销售新产品的速度(调用所提供的临床示例)。随着组织的业务成熟，IT系统的消费化和商业化可以继续。互联网可以由于更依赖于数据交换而变得更加普遍，而组织的设备数据(例如，设备“传感器”)可以对提高的效率、洞察力以及技术和产品的进一步改进而言变得日益重要。如果数据可以被存储、被传送并且以标准的、无缝的且可信赖的方式在组织的IT系统内被呈现，那么数据可以被扩展至外部系统——例如，健康IT系统。

所产生的数据标准(即，限定的设备模式)可以使得改进的方法能够与在本体内的其他可植入医疗设备共享并交换此数据，并且创造新的治疗机会、外部健康IT生态系统，并且还给予组织能力以控制确保监督管理和顺从的数据流。附加的结果可以是治疗顺从和来自其他设备数据显色的并发症检测的证明(仅举几例)。

信息技术(设备数据)对于以上概述的组织的使命而言可以是重要的。这些工具已经演示了信息技术(设备数据)的汇聚以及其在组织的技术中的用途以及与行业趋势的合并效果。之前的部分可以传达实现标准设备数据模式的益处和回报。本公开的以下部分提供与本公开的这些技术相关的附加的注意事项。

之前的部分是针对组织的设备数据实现标准模式的非常积极的成果和结果。然而，组织需要在最低限度上利用此新方法——即，针对设备数据的标准模式的实现来解决以下挑战：

·需要开发新的流程和要求：当今的程序和设备方法要求改变、更新和工具更新。

·监督管理和顺从——例如，FDA分支或针对产品的提交及其数据流的新流程。也就是，将要求组织维持更多的数据更长的一段时间吗？

·由于健康技术改进并且进一步能够作为人类传感器，这些健康技术可以与其他IT服务(像用于位置监控和个人追踪(例如，国家的或其他的)的GPS)相组合。政府可以采取措施以确保数据在其生命周期之上被正确地使用、控制和管理。

·生成计划和流程以确保“最差情况”场景被缓和(例如，假如元数据被盗用会怎样？)。

·组织是否为了更大的好处而发布/共享此数据的匿名版本或子集？

·假设此标准设备数据模式被行业采用——CDISC已经花了13年来成熟并且当今不是行业广泛的。此外，这个标准是否将支持具有简单发布者-订阅者系统模型采用的复杂生态系统的更大的愿景？

这不是详尽的列表和区域，其可以通过实现在本项目的后面部分中限定的这些推荐被进一步细化。

图6展示了发布者-订阅者模型的示例逻辑系统架构，并且包括在用标准模式封装数据的这两个实体之间进行的样本数据交易/交换。该标准数据模式展示仅论证了在这个部分中稍后概述的安全性和隐私密钥值对，但是可以包括有待限定的任何属性集。

发布者-订阅者模型可以是用于建立更高阶且更复杂的生态系统的基础的双方交易数据交换系统。接口(硬件或软件)可以被设计以根据交换的数据理解、解释并执行多个功能。更具体地，接口可以包括策略引擎，策略引擎开启由封装在共享信息中的上下文元数据评估的数据交换。这可以转化为更加自适应的系统，因为接口为由其他发布者-订阅者部件构成的并且由数据驱动的更高阶的系统添加了反馈。此外，由于数据需要改变或发布者-订阅者部件的生态系统受破坏性技术(例如，新的规章、法规、预期数据用途、恶意参与者或协议和设备)影响，这些接口或模式被修改以满足这些新的挑战。此文件的其他部分关于此模型的这些部件提供更多细节。

图6还概述了发布者与订阅者之间的简单交易的示例序列。该模型演示了数据被共享然而也在休息时(即，在发布者或订阅者容器中)、在传输中被保护的概念以及由于封装的元数据的附加保护(即，围绕可以描述更多安全性和更好隐私属性的数据创建策略的模式)。此封装创建了另一个信息层，该信息层被贴标签于数据上并且被强制超出原始发布权限。以下提供了关于在图6中展示的发布者与订阅者之间的数据交换的顺序的附加细节。

·发布者——此系统部件是数据的授权源。发布者可以是(但非限制地)

以下各项的任一项：

o设备——例如，生成内容的计算机、移动电话、可植入硬件、传感器等。

o存储容器——例如，存储由设备生成的内容的结构化或非结构化二进制大数据块(例如，数据库、文件或RAW)的硬件设备。

o应用程序——通过算法和程序创造内容的一款软件。

人类可以是数据的发布者(作者、所有者和创造者)，但是出于本公开的目的不被包括为分立的部件。这是因为人类的数据/内容是经由人类接口设备(例如，键盘、鼠标、麦克风、触摸屏、传感器等)从人类手动地传送到发布者的。此包含可以改变为新的接口，该接口将认知数据直接地传送至成熟的计算系统(例如，网络空间)。

·接口1——此系统部件可以是硬件或者软件实体，该实体帮助从订阅者请求数据。该接口包括用于请求读取、解释、记录并经由策略开启有待发送至订阅者的内容的合适交换(例如，压缩和发送)的协议。接口1可以是发布者接口的实例。

·传送的数据——此系统部件可以表示用于执行对发布者与订阅者之间协商的数字内容的传输的各种介质。数据可以经由互联网或内联网(即，像经由TCP/IP协议的LAN/WAN的物理基础设施)、USB密钥、CD/DVDROM等被传送。

·接口2——此系统部件可以是硬件或者软件实体，该实体帮助从订阅者向发布者进行请求。该接口包括用于获得、读取、解释、记录并经由策略开启来自发布者的内容的合适交换(例如，接收和解压)的协议。接口2可以是订阅者接口的实例。

·订阅者——此系统部件是从授权源(发布者)请求有价值的数据的实体。订阅者可以是(但非限制地)以下各项的任一项：

o应用程序——通过算法和程序自动请求内容的软件。

人类可以是此系统模型内的订阅者，但是不被包括在本公开的这些技术中，因为人类对数据的消费是经由传统的方法，如打印、显示和视频或音频格式。由于技术推进提供直接进入人类大脑的信息，对这个数据传送的监视可以由物理访问控制来决定。

以下描述了图6中在发布者与订阅者之间的简单交易的序列图。该模型论证了当数据与封装的策略(例如，安全性和隐私)进行交换时数据被共享、然而在休息时和在传输中被保护的概念。

1.获得数据——订阅者从发布者请求数据。

2.获得信任——接口1接收请求。

3.信任——接口1通过标准认证方法建立与订阅者的信任。

3.1否-结束——如果不信任则终止交易。

3.2是——获得数据——如果信任则对数据进行授权。

4.数据——数据被访问并被捆绑。

5.应用标准模式——发送——用限定的模式封装捆绑的数据并将其发送至接口2(订阅者)。

6.内容现在在订阅者的控制之中，但是可能直到标准模式的声明满足策略才可被访问的。例如，在图示中，该模式要求授权令牌来解密内容以查看数据。

7.获得授权令牌以查看数据——当订阅者安装内容时，强制订阅者从发布者(注意这可以是第三方标识提供商)获得授权令牌。

8.获得信任——接口1接收请求。

9.信任——接口1通过标准认证方法建立与订阅者的信任。

9.1否-结束——如果不信任则终止交易。

9.2是——获得访问令牌——如果信任则进行授权令牌请求。

访问令牌——根据订阅者和内容的元数据属性创造授权令牌。

10.发送——访问令牌被发送至数据被制作的接口(即，接口1)。

11.访问令牌——接口2接收访问令牌。

12.用于访问数据的使用访问令牌——接口2评估元数据的状况、将访问令牌施加于内容上并且正确地解密内容并查看从遵守策略的发布者请求的数据。

以下的表2是论证了这个新的系统模型相比于现在的没有标准数据模式封装方法的系统的益处的优势、劣势、机会和威胁(SWOT)分析。

表2

由于威胁在现今的现有方法(系统设计和模型)之间保持为相同，这些剩余的项针对本公开的这些技术可以成为区分者。以下的表3指示修复在发布者-订阅者模型和标准设备数据模式中呈现的潜在劣势的解决方案。

表3

发布者-订阅者模型可以被利用以使表示模拟临床试验的样本使用案例成为模范。该使用案例的目的是描述在保护临床试验数据的数据存储(发布者)与组织(订阅者)之间需要交换什么数据。

图7是示例图，以表示作为有待交换的数据的订阅者和发布者比较重要的元数据的类型的样本。完整的元数据模式可以由设备数据工程师、IT数据和系统工程师两者创建，并且可以在周期基础上被管理和维护以确保该模式是高效的、有效的并且仍然如预期地执行。发布数据仓库的愿景可以鼓励数据工程师联盟从而为了功效积极地测量元数据模式。

再次，一个示例目标是尽可能地接近数据源在有待交换的数据上进行控制。出于根据本公开的一项或多项技术的总组织临床项目的目的，关注点在于图7的示例中突显的隐私和安全性属性上。

包含安全属性和隐私属性可以使得数据尽可能有抵抗力且有回弹力以便在开放但又受监督管理的生态系统中进行交换。以下是所提出的要求列表(元数据密钥和值对)，该要求列表针对有待被添加至CDISCSDTM的隐私和安全性域制定出特定的变量/属性：

1.在临床试验期间提高安全性、隐私和设备数据的值。

o标识针对临床数据的技术防护。

■例如，机密性、完整性、AuthN/Z——参见3.以下的安全性细节

■目的——为数据添加固有值。

o改进针对临床数据的技术防护。

■例如，数据所要求的法规＝HIPAA/HITECH防护

■目的——顺应和管治。

2.尽量接近程序编写为数据添加逻辑和上下文以确保适当的预期用途和共享。这发生在收集或其他数据交换时：

o确保所收集的数据的同意。

■例如，是或否。

■目的——受测者是否提供针对数据策略的同意？

o标识针对所收集的数据获得的实际同意类型。

■例如，出售、发布、BI/BA。

o知道同意的国家。

■例如，ISO3166–US＝840。

■目的——用于映射“什么”发布者或订阅者能够处理这种交换的数据的附加规则。

o了解同意被给出的日期以及同意的EOL。

■例如，开始＝％日期％，生命末期＝％算法％。

■目的——映射于“多久”的数据保持，发布者或订阅者到结束日期时可以用交换的数据做“什么”。

3.提高所收集的数据的安全性。

o对数据进行分类。

■例如，对被交换的特定数据进行分类。

■目的——域中心的属性标记到达和来自发布者或订阅者的数据的交换。

o实现用于对数据进行认证和授权的能力。

■例如，标识并访问控制——来自个人和来自设备两方面。

■目的——记录对关于发布者和/或订阅者交换的数据的失败的和成功的访问。

o实现对休息中的数据进行加密的能力。

■例如，是或否。

■目的——数据交换是否需要对休息中的数据进行加密？

o限定休息中的加密的类型。

■例如，ISO/IEC18033和18033-3:2010。

■目的——指定密文和密文长度。

o实现对传输或运动中的数据进行加密的能力。

■例如，是或否。

■目的——数据交换是否需要对传输中的数据进行加密。

o限定用于交换的加密的类型。

■例如，ISO/IEC18033和18033-3:2010。

■目的——指定密文和密文长度。

包括这些推荐的模式属性可以通过扩展如在图8中所示的“特殊目的”类别变换当前的SDTM(例如，图2的SDTM)。换言之，图8是展示了CDISCSDTM的示例扩展的概念图。

数据源发站(数据的发布者)负责生成上下文、数据模式确定以及属性规格。此模式信息在交换时经由行业标准(例如，RESTFULAPIs或WSDL)被共享并且提供具有附加含义和封装的数据。更具体地，数据从发布者至订阅者经由它们的接口被共享：

·元数据被读取和/或起作用。

·附加的元数据可以或可以不被应用。

·与元数据相关的规则或策略和其正描述的数据以及由这些交换驱动的事件可以被记录、被强制执行。

最终，随着IT系统改变并变得更集成于健康护理生态系统中，规章和策略可以继续演进。如针对临床研究所提出的，利用设备数据模式的标准组可以安置组织以反应、覆盖并关注于更安全地交换其数据并且顺应隐私担忧。这个改进的信息交换可以提高能力、速度、对数据转换的控制、分析以及进入IT系统的反馈以支持组织的使命并提高患者的治疗效果。

回顾一些发现：

·IT变得更加普遍(例如，消费化)并且日益取决于降低的成本、提高的效率以及健康护理生态系统的功效。如今建立的用于托管、交换并控制数据(包括设备数据)的信息系统逐渐地复杂、对恒定变化不能转变并且易受增加的风险的攻击。

·设备数据是有价值的资产。由于其在IT系统内部并且与构成健康护理环境的外部IT系统进行共享，此资产日益变得价值重大。

·使用在结合了安全性和隐私属性的标准设备数据模式上建立的发布者-订阅者数据交换的数据驱动系统模型最佳地安置了该组织以支持其使命并改善患者治疗效果。

以下是针对组织推荐的短期策略(表4)和长期策略(表5)：

表4

表5

本公开的这些技术可以被扩展至其他数字数据域：金融、军事、能量等。随着更多的域被映射，新的任务项可以被限定以用针对每个域的唯一的元数据将这些结果概括至数据域标准的周期表中，这使得在未来的云宇宙中更高阶的数据交换成为可能。

针对数据的风险是什么？风险的定义＝威胁×脆弱性×结果×概率

针对数据安全性的威胁是：

·可信赖的善意的内部人员——雇员、合作伙伴、立约人和可信赖的人员。

·可信赖的恶意的内部人员——不满的雇员、合作伙伴、立约人或人员。

·攻击者——利用任何内部人员或简单地自我引导以获得对你的数据的未经授权的访问的不可信赖的第三方实体(例如，黑客、民族国家、有组织的犯罪集团等)。

注意：这些都是人类。解决方案是或者培训、教育或者免职(例如，通过技术)。

针对数据的脆弱性是：

·工作流程——过时的和/或曾经暴露安全数据的程序。

·数据对其自身无回弹力——如果被损坏或被破坏其不可以被信赖。

·数据对上下文无意识——例如，数据不知道它是重要的或有价值的，它只是存在着。例如，系统管理员可以访问数据以执行维护任务但是不知道该数据的意义。然而，访问同一数据的非管理员(理解该数据表示什么)现在可以或者执行任务、进行决策或者出于好的或坏的意图进行任何其他动作。

·数据不被保护——被放置在容易访问并打开的位置中。

注意：数据像小孩——到18岁，那些养育、保护并照顾的父母(在数据的情况中，这可以包括框架、进程和支撑系统)相信他们通过从他们的经验中复制/改进已经教育并造就了有回弹力、有能力并且有责任的正发挥作用的成年人来帮助社会向前进步。

图10是根据本公开的一项或多项技术的计算机系统的示例配置的框图。在图10的示例中，计算机系统包括计算设备500和一个或多个其他计算设备。根据本公开的这些技术，计算设备500可以是数据交换系统中的计算设备。例如，图10的计算设备500可以实现图6的发布者、订阅者、接口1或接口2。此外，图10的计算设备500可以实现图1的类数据域10、编程器数据域12、个人设备数据域14和云端数据域16中的这些设备中的一个或多个。

计算设备500是处理信息的物理设备。在图10的示例中，计算设备500包括数据存储系统502、存储器504、辅助存储器系统506、处理系统508、输入接口510、显示接口512、通信接口514和一个或多个通信介质516。通信介质516使得处理系统508、输入接口510、显示接口512、通信接口514、存储器504以及第二存储系统506之间的数据通信成为可能。计算设备500可以包括除了在图10的示例中所示的那些之外的部件。此外，一些计算设备不包括在图10的示例中示出的这些部件中的所有。

一种计算机可读介质可以是处理系统可以从其中读取数据的介质。计算机可读介质可以包括计算机存储介质和通信介质。计算机存储介质可以包括存储用于后续检索的数据的物理设备。计算机存储介质不是瞬态的。例如，计算机存储介质不排他地包括传播信号。计算机存储介质可以包括易失性存储介质和非易失性存储介质。计算机存储介质的示例类型可以包括随机存取存储器(RAM)单元、只读存储器(ROM)设备、固态存储器设备、光学磁盘(例如，光碟、DVD、蓝光光碟等)、磁盘驱动器、电可擦除编程只读存储器(EEPROM)、可编程只读存储器(PROM)、磁带驱动器、磁盘以及存储用于后续检索的数据的其他类型的设备。通信介质可以包括在其之上一个设备可以将数据传达至另一个设备的介质。通信介质的示例类型可以包括通信网络、通信线缆、无线通信链路、通信总线和在其之上一个设备能够将数据传达至另一个设备的其他介质。

数据存储系统502可以是存储用于后续检索的数据的系统。在图10的示例中，数据存储系统502包括存储器504和第二存储系统506。存储器504和第二存储系统506可以存储用于后续检索的数据。在图10的示例中，存储器504存储计算机可执行指令518和程序数据520。第二存储器系统506存储计算机可执行指令522和程序数据524。物理地，存储器504和第二存储器系统506可以各自包括一个或多个计算机存储介质。

处理系统508耦合至存储系统502。处理系统508可以从数据存储系统502中读取计算机可执行指令并执行这些计算机可执行指令。由处理系统508执行计算机可执行指令可以配置和/或导致计算设备500来执行由计算机可执行指令指示的这些动作。例如，由处理系统508执行计算机可执行指令可以配置和/或导致计算设备500来提供基础输入/输出系统、操作系统、系统程序、应用程序或者可以配置和/或导致计算设备500来提供其他功能性。

处理系统508可以从一个或多个计算机可读介质中读取计算机可执行指令。例如，处理系统508可以读取并执行存储在存储器504和第二存储系统506上的计算机可执行指令518和522。

处理系统508可以包括一个或多个处理单元526。处理单元526可以包括执行计算机可执行指令的物理设备。处理单元526可以包括执行计算机可执行指令的各种类型的物理设备。例如，处理单元526中的一个或多个单元可以包括微处理器、在微处理器内的处理核、数字信号处理器、图形处理单元或者执行计算机可执行指令的其他类型的物理设备。

输入接口510可以使得计算设备500能够接收来自输入设备528的输入。输入设备528可以包括接收来自用户的输入的设备。输入设备528可以包括接收来自用户的输入的各种类型的设备。例如，输入设备528可以包括键盘、触摸屏、鼠标、麦克风、小键盘、操纵杆、脑机接口设备或者接收来自用户的输入的其他类型的设备。在一些示例中，输入设备528被集成于计算设备500的外壳中。在其他示例中，输入设备528在计算设备500的外壳外部。

显示接口512可以使得计算设备500能够在显示设备530上显示输出。显示设备530可以是显示输出的设备。显示设备的示例类型包括监视器、触摸屏、显示屏、电视机以及显示输出的其他类型的设备。在一些示例中，显示设备530被集成于计算设备500的外壳中。在其他示例中，显示设备530在计算设备500的外壳外部。

通信接口514可以使得计算设备500能够在一个或多个通信介质之上发送和接收数据。通信接口514可以包括各种类型的设备。例如，通信接口514可以包括网络接口卡(NIC)、无线网络适配器、通用串行总线(USB)端口或使得计算设备500能够在一个或多个通信介质之上发送和接收数据的其他类型的设备。

根据本公开的一些示例，通信接口514可以接收或发送元数据包络，该元数据包络符合限定了该元数据包络的每个可允许的元数据属性的模式。响应于通信接口514接收元数据包络，处理系统508可以至少部分地基于所接收的元数据包络的第一元数据属性从接口被配置以应用的多个可用患者数据处置策略中确定特定的患者数据处置策略。这些可用患者数据处置策略中的每个可用患者数据处置策略规定了处置患者数据的不同方式。此外，处理系统508关于在所接收到的元数据包络内封装的特定的患者数据集应用特定的患者数据处置策略。当特定的患者数据处置策略指示需要授权以便访问特定的患者数据集时，处理系统508可以经由通信接口514请求来自由所接收到的元数据包络的第二元数据属性标识的授权服务的授权以访问特定的患者数据集。在一些示例中，当处理系统508执行存储在计算机可读数据存储介质上的计算机可执行指令518和/或522时，处理系统508可以执行这些动作。

图11是流程图，展示了根据本公开的一项或多项示例技术的订阅者接口的示例操作。在图11的示例中，由设备实现的订阅者接口可以接收封装了与患者相关联的特定的患者数据集的元数据包络(600)。该元数据包络可以符合限定了该元数据包络的每个可允许的元数据属性的模式。此外，订阅者接口可以至少部分地基于所接收的元数据包络的第一元数据属性从接口被配置以应用的多个可用患者数据处置策略中确定特定的患者数据处置策略(602)。在一些示例中，在订阅者接口处预先配置该多个可用患者数据处置策略。在一些这种示例中，每个对应的可用患者数据处置策略具有相应的索引。在一些这种示例中，第一元数据属性可以指定对应于特定患者数据处置策略的索引。这些可用患者数据处置策略中的每个可用患者数据处置策略可以规定处置患者数据的不同方式。例如，这些患者数据处置策略中的一个或多个患者数据处置策略可以要求在特定的时间量已经过去之后删除患者数据。在另一个示例中，这些患者数据处置策略中的一个或多个患者数据处置策略可以指示只有具有特定凭证的人才可以访问患者数据。在另一个示例中，这些患者数据处置策略中的一个或多个患者数据处置策略可以指示订阅者接口不应该具有患者数据并且患者数据应该因此被删除。此外，订阅者接口可以关于特定的患者数据集应用特定的患者数据处置策略(604)。

此外，订阅者接口可以确定特定的患者数据处置策略是否指示需要授权以便访问特定的患者数据集(606)。当特定的患者数据处置策略指示需要接收授权以便访问特定的患者数据集时(606的“是”)，订阅者接口可以请求来自由所接收到的元数据包络的第二元数据属性标识的授权服务的授权以访问特定的患者数据集(608)。随后，订阅者接口可以或可以不接收用于访问特定患者数据集的授权(609)。在一些示例中，如图11的示例，当特定的患者处置策略指示不需要授权以便访问特定的患者数据集时(即，606的“否”)，订阅者接口不请求用于访问特定的患者数据集的授权(610)。此外，在特定的患者处置策略指示需要授权以便访问特定的患者数据集的一些示例中，订阅者接口可以执行一些其他动作，如直接访问特定的患者数据集。

以下段落描述了本公开的这些技术的各个示例。

示例1。一种用于交换患者数据的系统，该系统包括：实现接口的至少一个设备，其中，当接口接收到符合限定该元数据包络的每一个可允许的元数据属性的模式的元数据包络时：接口至少部分地基于接收到的元数据包络的第一元数据属性，从接口被配置成应用的多个可用的患者数据处置策略中确定特定的患者数据处置策略，其中，这些可用的患者数据处置策略中的每一个患者数据处置策略都规定处置患者数据的不同方式；并且接口参照在接收到的元数据包络内封装的特定的患者数据集来应用特定的患者数据处置策略，其中，当特定的患者数据处置策略指示要求接收授权以便访问特定的患者数据集时，接口请求从由接收到的元数据包络的第二元数据属性标识的授权服务接收对访问特定的患者数据集的授权。

示例2。如示例1所述的系统，其中，该至少一个设备包括至少一个可植入医疗设备。

示例3。如示例1或2所述的系统，其中，该至少一个设备包括用于可植入医疗设备的至少一个编程器设备。

示例4。如示例1至3中的任一项所述的系统，其中，仅当接口将以下证据提供给授权服务时，该接口才接收到对访问特定的患者数据集的授权：该接口配置成使得接口不以加密或非加密形式在元数据包络外部传输特定的患者数据集，并且该接口不以非加密形式生成在接口的终止之后持续的特定的患者数据集的副本。

示例5。如示例4所述的系统，其中：证据包括根据加密密钥来加密的授权数据，并且从该授权服务到该接口接收用于该特定的患者数据集的解密密钥的要求是：授权服务能够成功地解密该授权数据。

示例6。如示例1至5中的任一项所述的系统，其中，该特定的患者数据集包括临床研究数据。

示例7。如示例1至6中的任一项所述的系统，其中，该第一元数据属性指示适用于特定的患者数据集的政府法规。

示例8。如示例1至7中的任一项所述的系统，其中，元数据包络的第一元数据属性或附加的元数据属性指示由患者给出的、关于共享特定的患者数据集的同意类型。

示例9。如示例1至8中的任一项所述的系统，其中，元数据包络的第一元数据属性或附加的元数据属性指示其中由患者给出了关于共享特定的患者数据集的同意的国家。

示例10。如示例1至9中的任一项所述的系统，其中，接口进一步配置以：基于特定的患者数据处置策略来确定是否将删除特定的患者数据集；并且基于该确定来删除特定的患者数据集。

示例11。如示例1至10中的任一项所述的系统，其中，该元数据包络包括第三元数据属性，该第三元数据属性指示应用于特定的患者数据集的加密类型。

示例12。如示例1至11中的任一项所述的系统，其中，该元数据包络包括第三元数据属性，该第三元数据属性指示特定的患者数据集的源。

示例13。如示例1至12中的任一项所述的系统，其中：特定的患者数据集是第一患者数据集，并且元数据包络是第一元数据包络，并且当接口发布第二患者数据集时，该接口将第二患者数据集封装在包括一个或多个元数据属性的第二元数据包络内，其中，该第二元数据包络符合模式。

示例14。如示例1至13中的任一项所述的系统，其中，该模式是研究数据表格模型的扩展。

示例15。一种处置(例如，交换)患者数据的方法，该方法包括以下步骤：在由设备实现的接口处接收封装了与患者相关联的特定的患者数据集的元数据包络，其中，该元数据包络符合限定了该元数据包络的每一个可允许的元数据属性的模式；由该接口至少部分地基于接收到的元数据包络的第一元数据属性，从该接口被配置成应用的多个可用的患者数据处置策略中确定特定的患者数据处置策略，其中，这些可用的患者数据处置策略中的每一个可用的患者数据处置策略都规定处置患者数据的不同方式；并且由该接口参照特定的患者数据集来应用特定的患者数据处置策略，其中，当特定的患者数据处置策略指示要求接收授权以便访问特定的患者数据集时，由该接口请求从由接收到的元数据包络的第二元数据属性标识的授权服务接收对访问特定的患者数据集的授权。

示例16。如示例15所述的方法，其中，该设备是可植入医疗设备。

示例17。如示例15或16所述的方法，其中，该设备是用于可植入医疗设备的编程器设备。

示例18。如示例15至17中的任一项所述的方法，其中，仅当接口将以下证据提供给授权服务时，该接口才接收到对访问特定的患者数据集的授权：该接口配置为使得接口不以加密或非加密形式在元数据包络外部传输特定的患者数据集，并且该接口不以非加密形式生成在接口的终止之后持续的特定的患者数据集的副本。

示例19。如示例18所述的方法，其中：证据包括根据加密密钥来加密的授权数据，并且从该授权服务到该接口接收用于该特定的患者数据集的解密密钥的要求是：授权服务能够成功地解密该授权数据。

示例20。如示例15至19中的任一项所述的方法，其中，该特定的患者数据集包括临床研究数据。

示例21。如示例15至20中的任一项所述的方法，其中，该第一元数据属性指示适用于特定的患者数据集的政府法规。

示例22。如示例15至21中的任一项所述的方法，其中，元数据包络的第一元数据属性或附加的元数据属性指示由患者给出的、关于共享特定的患者数据集的同意类型。

示例23。如示例15至22中的任一项所述的方法，其中，元数据包络的第一元数据属性或附加的元数据属性指示其中由患者给出了关于共享特定的患者数据集的同意的国家。

示例24。如示例15至23中的任一项所述的系统，其中，接口进一步配置以：基于特定的患者数据处置策略来确定是否将删除特定的患者数据集；并且基于该确定来删除特定的患者数据集。

示例25。如示例15至24中的任一项所述的方法，其中，该元数据包络包括第三元数据属性，该第三元数据属性指示应用于该特定的患者数据集的加密类型。

示例26。如示例15至25中的任一项所述的方法，其中，该元数据包络包括第三元数据属性，该第三元数据属性指示特定的患者数据集的源。

示例27。如示例15至26中的任一项所述的方法，其中，该模式是研究数据表格模型的扩展。

示例28。一种计算机可读数据存储介质，此计算机可读数据存储介质具有存储于其上的指令，当执行这些指令时，这些指令将由设备实现的接口配置成：接收封装了与患者相关联的特定的患者数据集的元数据包络，其中，该元数据包络符合限定了该元数据包络的每一个可允许的元数据属性的模式；至少部分地基于接收到的元数据包络的第一元数据属性，从该接口被配置成应用的多个可用的患者数据处置策略中确定特定的患者数据处置策略，其中，这些可用的患者数据处置策略中的每一个可用患者数据处置策略都规定处置患者数据的不同方式；以及参照特定的患者数据集来应用特定的患者数据处置策略，其中，当特定的患者数据处置策略指示要求接收授权以便访问特定的患者数据集时，请求从由接收到的元数据包络的第二元数据属性标识的授权服务来接收对访问特定的患者数据集的授权。

在本公开中所描述的这些技术可以至少部分地在硬件、软件、固件或其任何组合中实现。例如，所描述的技术的各方面可以在一个或多个处理器中实现，包括一个或多个微处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程序门阵列(FPGA)或任何其他等效的集成或分立逻辑电路以及这类部件的任何组合。术语“处理器”或“处理电路”通常可以指前述逻辑电路中的任何电路(单独地或与其他逻辑电路组合)，或者任何其他等效电路。包括硬件的控制单元也可以执行本公开的一项或多项技术。

这类硬件、软件和固件可以在同一设备内或在多个分开的设备内实现以支持在本公开中所描述的各项技术。此外，所描述的单元、模块或部件中的任一项可以被实现为在一起或单独地作为分立但彼此协作的逻辑设备。将不同的特征描绘成模块或单元旨在突显不同的功能方面并且不是必然地暗示这类模块或单元必须由单独的硬件、固件或软件部件实现。而是，与一个或多个模块或单元相关联的功能性可以由单独的硬件、固件或软件部件执行或者集成在共同的或单独的硬件、固件或软件部件内。

在本公开中所描述的这些技术还可以被嵌入或被编码至计算机可读介质中，如包含多条指令的计算机可读存储介质。被嵌入或被编码至计算机可读介质(包括计算机可读存储介质)中的指令可以如当被包括或被编码至计算机可读存储介质中的指令由一个或多个处理器执行时导致一个或多个可编程处理器或其他处理器来实现在此所描述的一项或多项技术。计算机可读存储介质可以包括随机存取存储器(RAM)、只读存储器(ROM)、可编程只读存储器(PROM)、可擦除可编程只读存储器(EPROM)、电可擦可编程只读存储器(EEPROM)、闪存、硬盘、光盘ROM(CD-ROM)、软盘、磁带盒、磁介质、光介质或其他计算机可读介质。在一些示例中，制品可以包括一个或多个计算机可读存储介质。

已经描述了各个实施例。这些或其他示例落入所附权利要求书的范围之内。

Claims

1.一种用于交换患者数据的系统，所述系统包括：

实现接口的至少一个设备，其中，当所述接口接收到符合限定了元数据包络的每一个可允许的元数据属性的模式的元数据包络：

所述接口至少部分地基于所述接收到的元数据包络的第一元数据属性，从所述接口被配置成应用的多个可用的患者数据处置策略中确定特定的患者数据处置策略，其中，所述可用的患者数据处置策略中的每一个可用患者数据处置策略都规定处置患者数据的不同方式；并且

所述接口参照封装在所述接收到的元数据内的特定的患者数据集来应用所述特定的患者数据处置策略，其中，当所述特定的患者数据处置策略指示要求接收授权以便访问所述特定的患者数据集时，所述接口请求从由所述接收到的元数据包络的第二元数据属性标识的授权服务接收对访问所述特定的患者数据集的授权。

2.如权利要求1所述的系统，其中，所述至少一个设备包括至少一个可植入医疗设备。

3.如权利要求1或2所述的系统，其中，所述至少一个设备包括用于可植入医疗设备的至少一个编程器设备。

4.如权利要求1至3中的任一项所述的系统，其中，仅当所述接口将以下证据提供给所述授权服务时，所述接口才接收到对访问所述特定的患者数据集的所述授权：所述接口配置为使得所述接口不以加密或非加密形式在所述元数据包络外部传输所述特定的患者数据集，并且所述接口不以非加密形式生成在所述接口的终止之后持续的所述特定的患者数据集的副本。

5.如权利要求4所述的系统，其中：

所述证据包括根据加密密钥来加密的授权数据，并且

从所述授权服务到所述接口接收用于所述特定的患者数据集的解密密钥的要求是：所述授权服务能够成功地解密所述授权数据。

6.如权利要求1至5中的任一项所述的系统，其中，所述特定的患者数据集包括临床研究数据。

7.如权利要求1至6中的任一项所述的系统，其中，所述第一元数据属性指示适用于所述特定的患者数据集的政府法规。

8.如权利要求1至7中的任一项所述的系统，其中，所述第一元数据属性指示由患者给出的、关于共享所述特定的患者数据集的同意类型。

9.如权利要求1至8中的任一项所述的系统，其中，所述第一元数据属性指示在其中由患者给出了关于共享所述特定的患者数据集的同意的国家。

10.如权利要求1至9中的任一项所述的系统，其中，所述接口进一步配置以：

基于所述特定的患者数据处置策略来确定是否将删除所述特定的患者数据集；并且

基于所述确定来删除所述特定的患者数据集。

11.如权利要求1至10中的任一项所述的系统，其中，所述元数据包络包括第三元数据属性，所述第三元数据属性指示应用于所述特定的患者数据集的加密类型。

12.如权利要求1至11中的任一项所述的系统，其中，所述元数据包络包括第三元数据属性，所述第三元数据属性指示所述特定的患者数据集的源。

13.如权利要求1至12中的任一项所述的系统，其中：

所述特定的患者数据集是第一患者数据集，并且所述元数据包络是第一元数据包络，并且

当所述接口发布第二患者数据集时，所述接口将所述第二患者数据集封装在包括一个或多个元数据属性的第二元数据包络内，其中，所述第二元数据包络符合所述模式。

14.如权利要求1至13中的任一项所述的系统，其中，所述模式是研究数据表格模型的扩展。

15.一种处置患者数据的方法，所述方法包括：

在由设备实现的接口处接收元数据包络，所述元数据包络封装与患者相关联的特定的患者数据集，其中，所述元数据包络符合限定所述元数据包络的每一个可允许的元数据属性的模式；

由所述接口至少部分地基于所述接收到的元数据包络的第一元数据属性，从所述接口被配置成应用的多个可用的患者数据处置策略中确定特定的患者数据处置策略，其中，所述可用的患者数据处置策略中的每一个可用的患者数据处置策略都规定处置患者数据的不同方式；并且

由所述接口参照所述特定的患者数据集来应用所述特定的患者数据处置策略；

其中，当所述特定的患者数据处置策略指示要求接收授权以便访问所述特定的患者数据集时，由所述接口从由所述接收到的元数据包络的第二元数据属性标识的授权服务请求接收对访问所述特定的患者数据集的授权。

16.如权利要求15所述的方法，其中，所述设备是可植入医疗设备。

17.如权利要求15或16所述的方法，其中，所述设备是用于可植入医疗设备的编程器设备。

18.如权利要求15至17中任一项所述的方法，其中，仅当所述接口将以下证据提供给所述授权服务时，所述接口才接收到对访问所述特定的患者数据集的所述授权：所述接口配置为使得所述接口不以加密或非加密形式在所述元数据包络外部传输所述特定的患者数据集，并且所述接口不以非加密形式生成所述接口的终止之后持续的所述特定的患者数据集的副本。

19.如权利要求18所述的方法，其中，

所述证据包括根据加密密钥来加密的授权数据，并且

20.如权利要求15至19中的任一项所述的方法，其中，所述特定的患者数据集包括临床研究数据。

21.如权利要求15至20中的任一项所述的方法，其中，所述第一元数据属性指示适用于所述特定的患者数据集的政府法规。

22.如权利要求15至21中的任一项所述的方法，其中，所述第一元数据属性指示由患者给出的、关于共享所述特定的患者数据集的同意类型。

23.如权利要求15至22中的任一项所述的方法，其中，所述第一元数据属性指示在其中由患者给出了关于共享所述特定的患者数据集的同意的国家。

24.如权利要求15至23中的任一项所述的方法，其中，所述接口进一步配置以：

基于所述确定来删除所述特定的患者数据集。

25.如权利要求15至24中的任一项所述的方法，其中，所述元数据包络包括第三元数据属性，所述第三元数据属性指示应用于所述特定的患者数据集的加密类型。

26.如权利要求15至25中的任一项所述的方法，其中，所述元数据包络包括第三元数据属性，所述第三元数据属性指示所述特定的患者数据集的源。

27.如权利要求15至26中的任一项所述的方法，其中，所述模式是研究数据表格模型的扩展。

28.一种计算机可读数据存储介质，具有存储在其上的指令，当执行所述指令时，所述指令将由设备实现的接口配置成：

接收元数据包络，所述元数据包络封装与患者相关联的特定的患者数据集，其中，所述元数据包络符合限定所述元数据包络的每一个可允许的元数据属性的模式；

至少部分地基于所述接收到的元数据包络的第一元数据属性，从所述接口被配置成应用的多个可用的患者数据处置策略中确定特定的患者数据处置策略，其中，所述可用的患者数据处置策略中的每一个可用的患者数据处置策略都规定处置患者数据的不同方式；并且

参照所述特定的患者数据集来应用所述特定的患者数据处置策略；

其中，当所述特定的患者数据处置策略指示要求接收授权以便访问所述特定的患者数据集时，请求从由所述接收到的元数据包络的第二元数据属性标识的授权服务接收对访问所述特定的患者数据集的授权。