📚 课程目录第2章临床研究数据生命周期与匿名化切入点

2. 临床研究数据生命周期与匿名化切入点

临床研究数据从受试者进入筛选流程开始，到最终归档并接受稽查，会经历多个形态完全不同的阶段。匿名化不是“最后统一做一次”的动作，而是需要在每个阶段判断：此刻数据里有哪些直接标识符、哪些准标识符、哪些是后续分析真正需要的字段，以及当前阶段允许保留到什么粒度。把匿名化理解为一次性的脱敏操作，往往会导致两个极端：要么过早破坏数据可用性，要么在锁库前才发现标识符已经散落在自由文本、日志和外部文件中，难以回收。

下面按数据形态的演变，逐段分析各阶段的匿名化需求与切入点。

受试者招募与筛选：标识符首次出现

招募阶段的数据通常存在于招募广告、电话筛查记录、筛选登记表或招募系统中。此时出现的直接标识符包括姓名、手机号、身份证号、住址、微信/邮箱等；准标识符包括出生日期、性别、邮编、就诊医院与科室。这一阶段的核心矛盾是：研究团队需要联系受试者安排访视，因此标识符必须可用，但又不应该让标识符进入研究数据库。

推荐做法是建立“筛选登记表”与“研究数据库”的物理或逻辑隔离。筛选登记表由授权人员单独保管，记录受试者联系方式与筛选编号的对应关系；研究数据库只接收筛选编号。筛选编号本身不应由身份证号、手机号等派生，避免通过编号反推。例如不要使用“手机号后四位+出生月日”这类可猜测规则，而应采用独立随机序列，如 S-2024-0001 形式，并在登记表中维护映射。

知情同意：匿名化边界的法律锚点

知情同意书是匿名化边界的依据。同意书中需要明确：数据将以何种程度去标识化、是否保留可重新识别的链接、是否允许未来用于其他研究、是否允许共享给第三方。如果同意书只写了“数据将匿名化处理”，却没有说明是否保留链接码，后续操作就缺乏依据。

从工程角度，知情同意阶段应产出两个关键信息：一是受试者是否同意数据去标识化后用于二次研究；二是是否允许保留可重新识别的密钥。这两个信息会直接决定后续是采用“可逆去标识化”还是“不可逆匿名化”。如果同意书未覆盖二次使用，即使技术上可以匿名化，也不能用于新研究。

数据采集与 EDC 录入：匿名化的主战场

数据采集阶段是匿名化需求最集中的环节。EDC 系统中的字段可分为三类：直接标识符字段、准标识符字段和分析必需字段。直接标识符字段（姓名、住院号、身份证号）原则上不应进入 EDC；如果必须录入，应使用研究编号替代。准标识符字段（出生日期、入组日期、中心编号）需要评估组合后的可识别性。

一个常见的工程做法是：在 EDC 中只保留“出生年份”而非完整出生日期，只保留“入组日期”而非具体到时分秒的访视时间。对于日期，可采用相对天数表示，例如以入组日为第 0 天，访视日期记为第 14 天、第 28 天。这样既保留时间间隔的分析价值，又消除绝对日期带来的可识别性。

自由文本字段是匿名化最容易遗漏的地方。不良事件描述、合并用药备注、手术记录中经常出现姓名、医院名称、具体地址。工程上应在 EDC 中设置自由文本字段的录入提示，并在数据清洗阶段增加针对自由文本的标识符扫描规则，例如匹配中文姓名模式、手机号模式、身份证号模式、医院名称词典。

注意：EDC 的稽查轨迹（audit trail）本身会记录操作者账号、IP、时间戳。这些信息属于系统层标识符，通常不随研究数据导出，但在共享数据库时需要确认稽查轨迹是否一并提供，避免通过操作者身份反推受试者。

数据清洗：准标识符的组合风险

数据清洗阶段会进行逻辑核查、离群值检查、编码映射。此时数据已经集中，准标识符的组合风险开始显现。例如“某中心 + 罕见病诊断 + 60 岁以上 + 特定用药”可能唯一锁定一名受试者。匿名化需求从“删除直接标识符”升级为“评估准标识符组合的唯一性”。

可操作的方法是计算每个准标识符组合的出现频次。若某组合频次为 1，则该记录在准标识符层面是唯一的，需要泛化或抑制。泛化包括：将年龄分段（60–69、70–79）、将中心合并为大区、将罕见诊断归入更宽类别。抑制则是直接删除该字段或该记录。选择泛化还是抑制，取决于分析是否仍需要该字段的精度。

锁库与归档：匿名化的最终确认

锁库意味着数据库冻结，不再接受修改。此时应执行一次完整的匿名化核查：确认所有直接标识符字段已删除或替换；确认准标识符组合的唯一性已降至可接受水平；确认自由文本已扫描；确认外部文件（如影像、PDF 报告、实验室原始单据）中的标识符已处理。归档时，研究数据与筛选登记表、密钥文件应分开存储，访问权限分离。

如果采用可逆去标识化，密钥文件必须单独加密保存，并明确销毁期限。如果采用不可逆匿名化，则应在锁库前完成所有链接码的删除，确保无法重新识别。

各阶段匿名化需求对照

阶段	主要数据形态	匿名化切入点	典型操作
受试者招募	联系方式、筛选记录	标识符隔离	独立随机筛选编号，登记表单独保管
知情同意	授权记录	边界定义	明确去标识化程度、二次使用授权、密钥保留
数据采集/EDC	CRF 字段、自由文本	字段级控制	直接标识符不入库，日期相对化，文本扫描
数据清洗	集中数据集	组合唯一性	准标识符频次检查，泛化或抑制
锁库/归档	冻结数据库	最终核查	标识符清零确认，密钥分离，销毁期限设定

实操示例：EDC 日期字段的相对化处理

假设某研究入组日期为 2024-03-15，受试者访视日期为 2024-04-12。若直接保留绝对日期，结合中心编号和罕见诊断可能锁定受试者。相对化处理如下：

入组日期（参考点）：2024-03-15
访视1日期：2024-04-12  →  相对天数 = 28
访视2日期：2024-05-10  →  相对天数 = 56
不良事件发生日期：2024-04-20  →  相对天数 = 36

导出字段：
  SUBJ_ID, VISIT, REL_DAY
  S-001, V1, 28
  S-001, V2, 56
  S-001, AE, 36

这样处理之后，绝对日期不再出现在分析数据集中，但时间间隔、访视窗口、事件发生顺序仍然完整保留。需要注意的是，入组日期本身也应从分析数据集中移除，仅保留在受控的密钥文件中，否则通过入组日期加相对天数仍可还原绝对日期。

判断匿名化是否到位，可以用一个简单测试：把数据集交给一个不了解研究背景的人，他能否通过现有字段组合唯一识别出某位受试者？如果答案是“能”，说明准标识符组合仍然过强，需要进一步泛化或抑制。

总结来看，临床研究数据生命周期的每个阶段都有其特定的匿名化切入点。招募阶段解决标识符隔离，知情同意阶段解决边界授权，采集阶段解决字段级控制，清洗阶段解决组合唯一性，锁库阶段解决最终核查与密钥管理。把匿名化需求嵌入每个阶段的操作规范，而不是留到锁库前集中处理，才能既保护受试者隐私，又保留数据的分析价值。