4. 直接标识符与准标识符识别

在医学影像数据治理中，匿名化工作的第一步不是删除，而是识别。只有准确判断哪些数据元素能够直接指向特定个体、哪些元素组合后可能重新识别个体，才能设计出既满足隐私保护要求、又不破坏影像临床可用性的处理策略。DICOM 标准将患者信息分散在文件元信息（File Meta Information）和数据集（Dataset）两个层次中，前者包含媒体存储 SOP 类 UID、传输语法等，后者才是标识信息的主要藏身之处。本节围绕直接标识符与准标识符的识别展开，重点覆盖 DICOM 标签中的姓名、ID、日期、机构、设备信息，以及影像像素中可能嵌入的标识信息。

直接标识符：单独即可锁定个体

直接标识符是指单独一项就足以唯一确定某个自然人的数据元素。在 DICOM 数据集中，最典型的直接标识符包括以下几类：

• 患者姓名（PatientName, 0010,0010）：通常以 PN（Person Name）值表示，包含姓氏、名字、中间名、前缀、后缀等五个组件，组件之间用等号分隔。例如 Zhang^San^^Dr.^ 表示姓张、名三、头衔 Dr.。姓名一旦泄露，结合公开信息即可直接定位个人。
• 患者 ID（PatientID, 0010,0020）：医院内部的患者唯一编号，通常与 HIS/RIS 系统中的主索引对应。即使姓名被替换，只要 PatientID 保留，仍可通过院内系统反查患者身份。
• 其他患者标识（OtherPatientIDs, 0010,1000）：如医保号、身份证号、病案号等，同样具有直接指向性。
• 检查号与访问号（AccessionNumber, 0008,0050）：虽然本身是检查流程编号，但在医院信息系统中往往与患者绑定，属于准直接标识符。

识别直接标识符时，不能只看标签名称，还要检查其值是否为空、是否为占位符（如 ANONYMOUS、UNKNOWN）、是否被私有标签覆盖。有些设备厂商会将患者姓名写入私有标签，例如某些超声设备在 (0011,0010) 等私有位置重复存储姓名，如果只按标准标签清理，就会遗漏。

准标识符：组合后可能重新识别

准标识符是指单独看不足以确定个体，但多项组合后可能唯一识别个体的数据元素。DICOM 中的准标识符范围很广，主要包括：

• 日期与时间类：患者出生日期（PatientBirthDate, 0010,0030）、检查日期（StudyDate, 0008,0020）、检查时间（StudyTime, 0008,0030）、序列日期时间（SeriesDate/Time）、采集日期时间（AcquisitionDateTime, 0008,002A）等。出生日期结合性别、邮编等，可高概率锁定个体；检查日期则可能暴露患者在某时间段内接受过特定检查。
• 机构与科室信息：机构名称（InstitutionName, 0008,0080）、机构地址（InstitutionAddress, 0008,0081）、科室名称（InstitutionalDepartmentName, 0008,1040）、转诊医生姓名（ReferringPhysicianName, 0008,0090）、操作员姓名（OperatorsName, 0008,1070）、主治医生姓名（PerformingPhysicianName, 0008,1050）等。这些信息不仅涉及患者隐私，还可能涉及医务人员隐私。
• 设备信息：设备序列号（DeviceSerialNumber, 0018,1000）、制造商（Manufacturer, 0008,0070）、制造商型号（ManufacturerModelName, 0008,1090）、软件版本（SoftwareVersions, 0018,1020）、站点名称（StationName, 0008,1010）等。设备序列号具有全球唯一性，结合检查日期可追踪到具体检查室和操作时段。
• 人口学信息：患者性别（PatientSex, 0010,0040）、患者年龄（PatientAge, 0010,1010）、患者体重（PatientWeight, 0010,1030）、患者身高（PatientSize, 0010,1020）等。年龄、性别、体重的组合在特定人群中可能具有较高区分度。
• 检查描述与协议：检查描述（StudyDescription, 0008,1030）、序列描述（SeriesDescription, 0008,103E）、协议名称（ProtocolName, 0018,1030）等，可能包含特殊检查项目名称，间接暴露患者病情。

准标识符的识别难点在于“组合效应”。例如，一个 35 岁女性、体重 50 kg、在某三甲医院于 2024 年 3 月 15 日接受乳腺 MRI 检查，这组信息在特定区域内可能唯一指向某位患者。因此，匿名化策略不能只关注单个标签，而应评估标签集合的联合区分度。

像素中嵌入的标识信息

DICOM 标签清理完成后，影像像素本身仍可能携带标识信息。最常见的是“烧录注释”（Burned-in Annotation），即设备在生成图像时将患者姓名、ID、检查日期、机构名称等直接绘制在像素矩阵上。超声、核医学、部分 X 光设备尤其常见。这类信息不会出现在标准标签中，只能通过像素分析发现。

识别像素嵌入信息的方法包括：一是使用 OCR 工具对图像边缘区域进行文字检测，重点关注四角与顶部区域；二是检查 Overlay 层数据（标签组 60xx），其中 (60xx,3000) 为叠加层数据，可能以位图形式存储文字；三是分析私有像素数据，部分厂商将患者信息编码在私有序列中。对于波形数据（如 ECG），还需检查波形注释通道中是否嵌入标识。

处理像素嵌入信息时，不能简单删除整个像素区域，否则可能破坏诊断信息。合理策略包括：对文字区域进行像素擦除并填充背景色、使用区域遮罩覆盖、或在保证诊断区域完整的前提下重绘边缘。处理完成后，应再次运行 OCR 验证，确认无残留文字。

识别流程与检查要点

实际工程中，建议按以下顺序执行识别：首先解析 DICOM 文件元信息，获取传输语法和 SOP 类 UID；然后遍历数据集中的所有标准标签，按直接标识符、准标识符分类标记；接着检查私有标签，特别是厂商私有块中的重复信息；最后对像素数据进行 OCR 和 Overlay 分析。识别结果应形成清单，记录每个标签的 VR、VM、值示例、标识类型和处理建议。

识别工作的输出应是一份可执行的标签清单，明确每个标签的标识类型、风险等级和处理方式。这份清单将直接指导后续的匿名化脚本编写和验证测试。只有识别全面，匿名化才能既保护隐私，又保留影像的临床与科研价值。