2. 临床多组学数据来源与伦理合规
临床多组学项目的起点不是算法，而是数据从哪里来、以什么身份进入研究环境、又受到哪些规则约束。一个真实项目通常同时接入医院信息系统（HIS）、电子病历（EMR）、实验室信息系统（LIS）、影像归档系统（PACS）、测序平台、质谱平台以及随访/生物样本库系统。它们的数据形态、更新频率、标识符体系和合规边界各不相同，若在采集阶段不区分清楚，后续整合时极易出现“同一患者被拆成多个ID”或“同一ID混入不同患者”的严重问题。
一、数据来源的层次与接口特征
从工程视角看，临床多组学数据可分为四层：临床表型层（诊断、用药、检验、生命体征、随访结局）、组学层（WES/WGS/RNA-seq、甲基化、蛋白组、代谢组）、影像与病理层（DICOM、WSI 切片）、样本管理层（样本编号、采集时间、冻存位置、质控状态）。
HIS/EMR 通常通过视图、HL7 消息或 FHIR 接口导出，字段以患者主索引（EMPI）和就诊号为核心；LIS 提供检验结果及参考区间；测序平台输出 FASTQ/BAM/VCF 及样本 sheet；质谱平台输出原始谱图与定量矩阵。关键工程动作是建立样本-患者-就诊三元映射：样本编号（如 BIO-2024-0137）绑定患者研究ID（如 SUBJ-0082），再关联就诊流水号，避免用姓名或身份证号做连接键。
二、知情同意与去标识化
知情同意不是一张签字纸，而是决定数据可用范围的法律依据。同意书应明确：采集哪些组学类型、是否允许二次使用、是否允许共享给合作方、是否涉及遗传信息返还、保存期限与撤回机制。若同意范围仅限“本研究”，则不能直接用于商业合作或跨机构训练模型。
去标识化遵循 HIPAA 的 Safe Harbor 或 Expert Determination 两条路径。实操中常用做法是：删除 18 类直接标识符，将患者ID替换为随机研究ID，日期仅保留相对天数（如“入院后第3天”），并对罕见病、超高龄、特殊职业等准标识符做泛化处理。需要注意，基因组数据本身具有高度可识别性，仅删除姓名并不等于匿名化，因此应把基因型视为敏感标识信息，配合受控访问。
三、数据安全与法规要求
三大法规体系各有侧重：HIPAA 强调受保护健康信息（PHI）的去标识化与安全规则，适用于美国相关数据；GDPR 将基因数据列为特殊类别个人数据，要求合法性基础、数据最小化、跨境传输评估与数据主体权利；《个人信息保护法》将生物识别、医疗健康信息归为敏感个人信息，处理需单独同意并进行个人信息保护影响评估（PIA）。
工程落地时，安全措施应覆盖：传输层 TLS 1.2+、存储层 AES-256 加密、访问层基于角色的权限控制（RBAC）、操作层完整审计日志、共享层数据使用协议（DUA）与去标识化后再共享。跨境合作还需评估数据出境安全评估或标准合同备案要求。
四、数据合规检查清单（可直接使用）
以下清单按项目阶段组织，可作为启动前自查与归档依据。字段可根据机构伦理委员会要求调整。
| 阶段 | 检查项 | 判断标准 | 状态 |
|---|---|---|---|
| 立项 | 伦理批件与知情同意模板 | 批件在有效期内，同意范围覆盖拟采集组学类型 | □ |
| 立项 | 数据来源授权 | HIS/测序/质谱平台均有书面数据使用授权 | □ |
| 采集 | 标识符映射表 | 研究ID随机生成，映射表加密且与数据分离存储 | □ |
| 采集 | 日期偏移处理 | 绝对日期转为相对天数，保留时间间隔信息 | □ |
| 处理 | 准标识符泛化 | 年龄>89岁归并、罕见病编码泛化、地域粗化 | □ |
| 处理 | 基因组数据受控 | VCF/BAM 不进入公开共享目录，访问需审批 | □ |
| 存储 | 加密与备份 | 静态 AES-256，备份介质同样加密 | □ |
| 使用 | 权限分级 | 分析人员仅见去标识数据，管理员操作留痕 | □ |
| 共享 | DUA 与二次同意 | 合作方签署数据使用协议，超出原同意范围需重新审批 | □ |
| 归档 | 审计与销毁 | 访问日志保存≥6年，到期数据按约定销毁并记录 | □ |
完成上述检查后，项目才具备进入数据整合与建模阶段的基本条件。合规不是一次性动作，而是贯穿采集、处理、共享、归档的持续约束，建议在每次数据版本发布时同步更新合规状态记录。