3. 患者主数据管理

患者主数据管理（Patient Master Data Management，Patient MDM）是医疗机构实现跨系统、跨院区、跨时间维度患者身份统一的基石。其核心目标可以概括为一句话：让同一个人在所有业务系统中拥有同一个、可信的、可追溯的身份标识。围绕这一目标，需要解决四个相互关联的问题——唯一标识如何设计、患者索引如何组织、重复记录如何识别与合并、隐私与合规如何保障。

一、唯一标识设计：从业务号到主索引号

患者唯一标识（Patient Identifier，PID）是患者主数据的“锚点”。在实际系统中，患者往往同时拥有多个标识：院内患者号（如住院号、门诊号）、医保号、身份证号、电子健康卡号、区域健康档案号等。这些标识分属不同业务域，生命周期和覆盖范围各不相同。因此，唯一标识设计的关键不是“选一个号”，而是建立本地主标识 + 外部标识映射的双层结构。

本地主标识（Enterprise Patient ID，EPID）由主数据平台统一分配，通常采用不可变、无业务含义的代理键，例如“EPID + 12位序列号”或 UUID。它的特点是：一旦分配永不改变、不携带语义、不随业务系统变化。外部标识则通过交叉引用表（Cross Reference，XRef）与 EPID 建立多对一映射。例如某患者 EPID 为 EPID000000123456，其映射关系可能包括：HIS 患者号 00231456、医保号 3301**********1234、电子健康卡号 3301**********5678。当任一业务系统发起查询时，主数据平台先通过 XRef 定位 EPID，再返回统一视图。

二、患者索引：EMPI 的结构与匹配逻辑

患者索引通常以企业级患者主索引（Enterprise Master Patient Index，EMPI）的形式实现。EMPI 不是简单的患者表，而是一个带匹配引擎的身份服务。其内部至少包含三类数据：人口学属性（姓名、性别、出生日期、证件号、联系方式）、标识映射（各系统患者号与 EPID 的对应关系）、匹配证据（每次匹配的得分、规则、操作人和时间）。

EMPI 的匹配通常采用确定性匹配与概率匹配相结合的策略。确定性匹配依赖强标识，如身份证号完全一致、医保号完全一致，可直接判定为同一患者。概率匹配则对姓名、出生日期、性别、地址、电话等字段分别赋权，计算综合相似度得分。例如：姓名完全一致得 40 分，出生日期一致得 30 分，性别一致得 10 分，手机号一致得 20 分；总分超过阈值（如 85 分）自动合并，60～85 分进入人工复核队列，低于 60 分视为不同患者。实际权重需根据本院数据质量分布进行校准，不能照搬。

三、重复记录识别与合并：从发现到治理

重复记录（Duplicate）是患者主数据中最常见的质量问题。其产生原因包括：挂号时录入错误、不同系统各自建档、证件信息缺失、姓名同音不同字、跨院区就诊未带卡等。重复记录不仅影响患者安全（如过敏史、用药记录分散），还会导致统计口径失真和医保违规风险。

重复识别通常分两步走。第一步是候选集生成，通过阻塞（Blocking）策略缩小比较范围，例如按“姓名拼音首字母 + 出生年份”分桶，只在同一桶内进行两两比较，避免全量笛卡尔积。第二步是相似度计算与决策，即上文所述的加权评分。对于得分处于灰区（60～85 分）的记录，系统生成待复核任务，由病案室或患者服务人员人工判断。

合并操作必须遵循“保留主记录、挂接从记录、保留全部历史”的原则。具体来说：选择信息最完整、最近有业务活动的记录作为主记录（Survivorship），将其 EPID 保留；从记录的标识全部写入 XRef 并指向主 EPID；从记录的人口学字段不物理删除，而是标记为“已合并”并保留原始值，以便追溯和撤销。合并后，所有业务系统通过 EMPI 查询该患者时，返回的是统一视图，历史就诊记录按时间轴合并展示。

四、隐私保护与合规要求

患者主数据天然包含大量个人敏感信息，其处理必须满足《个人信息保护法》《数据安全法》《医疗卫生机构网络安全管理办法》以及电子病历应用水平分级评价等相关要求。核心原则包括：

• 最小必要：EMPI 中只采集与身份匹配直接相关的字段，不因“以后可能有用”而过度收集。例如地址精确到区县即可满足匹配需求，无需门牌号。
• 目的限制：患者主数据仅用于身份识别与医疗业务协同，不得用于商业营销或与医疗无关的分析。
• 访问控制：按角色分配查询权限。挂号员可查询基本身份信息，但过敏史、诊断等临床数据需通过业务系统授权访问；EMPI 本身不存储临床数据。
• 脱敏与展示：在非必要场景下，证件号、手机号等字段以掩码形式展示，如“3301**********1234”。
• 审计留痕：所有查询、匹配、合并、修改操作均记录日志，包括操作人、时间、IP、操作类型和影响范围，日志保存期限符合法规要求。

在技术实现上，建议对 EMPI 数据库中的敏感字段进行加密存储（如 AES-256），传输层使用 TLS 1.2 以上协议；对外提供身份服务时采用令牌化（Tokenization）方式，业务系统只拿到临时令牌而非真实 EPID，降低泄露风险。此外，应建立患者授权机制，患者有权查询自己的主索引信息、申请更正错误信息，并对合并操作提出异议。

五、落地检查要点

在实施患者主数据管理时，可用以下清单快速自检：EPID 是否与业务号解耦且不可变；XRef 是否覆盖全部业务系统标识；匹配阈值是否经过本地数据校准；灰区记录是否有明确的人工复核流程和时限；合并是否保留快照和审计日志；敏感字段是否加密且展示脱敏；患者是否有渠道查询和申诉。以上要点覆盖了唯一标识、索引、合并与合规四个维度，可作为项目验收和日常运营的参考依据。