2. 临床数据标准与法规约束

临床研究分析数据流水线不是一条“把数据从A搬到B”的普通ETL链路。它同时受两股力量约束：一股来自数据标准，规定数据长什么样、字段叫什么、值从哪来；另一股来自法规与合规，规定谁能改数据、改动如何留痕、受试者隐私如何保护。标准决定流水线的“形状”，法规决定流水线的“边界”。理解这两股力量，才能设计出既跑得通、又经得起稽查和审计的流水线。

一、CDISC标准：流水线的数据契约

CDISC为临床数据定义了从采集到分析的分层模型。流水线设计中最关键的是SDTM与ADaM两层。

SDTM（Study Data Tabulation Model）是提交层标准，按“域”组织数据，例如DM（人口学）、AE（不良事件）、LB（实验室检查）、VS（生命体征）、EX（暴露）。每个域有固定的变量名、角色（标识符、主题变量、时间变量、修饰变量）和受控术语。SDTM的核心原则是“一记录一观测”，不做复杂派生，尽量贴近原始采集。流水线在SDTM层的任务，是把EDC、实验室、中心读片等来源数据映射到标准域，并完成受控术语转换，例如把“男/男性/M”统一为CDISC CT中的“M”。

ADaM（Analysis Data Model）是分析层标准，面向统计分析的“一个分析一个数据集”。ADSL是受试者水平分析数据集，BDS是基本数据结构，用于疗效和安全性分析。ADaM允许并鼓励派生，但要求派生逻辑可追溯、可复现。流水线在ADaM层的任务，是基于SDTM和外部数据（如随机化、PK参数）生成分析变量，例如人群标志（SAFFL、ITTFL）、基线值（BASE）、变化值（CHG）、分析时间窗（AVISIT）。

两层之间不是简单复制，而是“可追溯的派生”。SDTM到ADaM的映射关系、派生规则、所用受控术语版本，都应作为流水线的元数据固化下来。当标准版本从SDTM IG 3.2升级到3.3时，流水线应能通过元数据切换而非重写代码来适配。

二、ICH E6(R2) GCP：质量源于设计

ICH E6(R2)是GCP的核心文件，2016年修订后引入“质量源于设计”和“风险比例化”理念。对流水线的直接影响是：关键质量要素必须在设计阶段定义，而不是在数据出来后再检查。例如，主要疗效终点的派生规则、缺失值处理策略、分析人群定义，都应在流水线设计文档中明确，并对应到可验证的检查点。

实操上，这意味着流水线不能只做“转换”，还要内置数据质量检查。例如在ADaM生成后自动运行检查：ADSL中SAFFL=Y的受试者是否都接受了至少一剂研究药物；BDS中基线值是否唯一；AVAL是否在合理范围内。这些检查规则应作为流水线的一部分版本化管理，而不是散落在个人脚本中。

三、21 CFR Part 11：电子记录与电子签名

Part 11规定，当电子记录替代纸质记录时，必须满足可追溯、可归属、可审计的要求。对流水线的具体约束包括：

• 审计追踪：任何对数据的修改都必须记录操作者、时间戳、修改前后值、修改原因。流水线中的手工干预点（如映射规则调整、异常值处理）必须留痕。
• 权限控制：数据采集、转换、审核、锁定应角色分离。流水线应通过身份认证和授权机制，确保只有授权人员能触发特定操作。
• 电子签名：关键节点（如数据库锁定、分析数据集冻结）需要电子签名，签名与记录绑定，不可否认。
• 系统验证：流水线本身作为电子系统，需要经过验证，证明其按预期运行且能防止未授权访问。

工程实现上，常见做法是把流水线拆分为“可自动执行”和“需人工审批”两类步骤。自动步骤记录运行日志和输入输出哈希；人工审批步骤通过工作流引擎记录审批人、时间和意见。所有日志集中存储，且不可被普通用户删除。

四、GDPR与HIPAA：隐私保护的工程化

GDPR适用于欧盟受试者，HIPAA适用于美国受保护健康信息。两者共同的核心是数据最小化和目的限制：流水线只应处理分析所需的最少字段，且不得将数据用于原始知情同意之外的目的。

具体到流水线设计，需要处理几个关键点：

• 去标识化与假名化：直接标识符（姓名、身份证号、联系方式）不应进入分析数据集。受试者标识应使用研究编号，且研究编号与真实身份的对应表由独立系统管理，不随分析数据流转。
• 日期处理：GDPR和HIPAA对日期偏移有不同要求。常见做法是保留相对日期（相对于随机化日或首次给药日），而将绝对日期在分析数据集中移除或泛化。
• 跨境传输：若流水线涉及跨区域数据汇聚，需确认传输机制符合GDPR的充分性认定或标准合同条款。
• 访问日志：谁在何时访问了哪些受试者的数据，必须可审计。这与Part 11的审计追踪要求可以共用同一套日志基础设施。

五、标准与法规如何共同塑造流水线架构

把上述要求落到架构上，可以归纳为四条设计原则：

第一，元数据驱动。SDTM和ADaM的映射规则、受控术语版本、派生逻辑都应存储在元数据仓库中，流水线引擎读取元数据执行转换。这样标准升级时只需更新元数据，不必改动核心代码。

第二，分层隔离。原始层、SDTM层、ADaM层物理或逻辑隔离。原始层保留完整审计追踪和访问控制；SDTM层做标准化；ADaM层做分析派生。每层有独立的验证规则和发布流程。

第三，可追溯链。从ADaM的每一个派生变量，都能反向追溯到SDTM源变量和原始采集字段。这不仅是CDISC的要求，也是GCP和Part 11对数据可靠性的要求。实现方式可以是为每个派生变量记录“源数据集、源变量、派生规则、执行时间、执行人”。

第四，合规检查自动化。把Part 11的审计追踪、GDPR的数据最小化、GCP的质量检查转化为可自动运行的检查项。例如：每次流水线运行后自动扫描输出数据集，确认无直接标识符字段、确认所有修改都有审计记录、确认关键派生变量无缺失。

总结来说，CDISC定义了流水线的“数据语法”，GCP、Part 11、GDPR和HIPAA定义了流水线的“合规语法”。前者让数据可被监管机构接受，后者让数据可被信任。流水线工程师的任务，是把这两套语法同时编码进系统设计，而不是在提交前临时补救。