1. ePRO工程全景与核心挑战

患者报告结局（Patient-Reported Outcome，PRO）是指直接来自患者本人、未经临床医生或研究者解释或修改的、关于其健康状况的报告。这个定义的关键在于"直接"与"未经解释"：一旦由医生代为填写、由家属转述，或由研究者在访谈中引导归纳，它就不再是PRO，而变成了临床医生报告结局（ClinRO）或观察者报告结局（ObsRO）。理解这条边界，是ePRO工程一切设计决策的起点。

电子化患者报告结局（electronic PRO，ePRO）则是把PRO的采集载体从纸张迁移到电子终端——智能手机、平板、专用手持设备、交互式语音应答系统（IVRS）或网页端。载体变了，但PRO的本质约束没有变：数据必须忠实反映患者当下的主观体验。ePRO工程要做的，是在"忠实"之上再叠加三个工程属性：可溯源、可合规、可扩展。

从纸质到电子化：演进不是简单搬家

纸质PRO的采集链条是：研究者发放量表→患者手写填答→回收→人工录入EDC→数据清理。这条链条上有几个天然弱点：填答时间无法客观确证（患者可能提前填或事后补填）、条目漏答难以实时拦截、字迹与涂改引入转录错误、双录入核对成本高。电子化最初的目标就是消除转录环节，但很快人们发现，ePRO带来的不只是"少录一遍"。

电子化真正改变的是数据产生的时间与上下文。设备可以记录精确到秒的填答时间戳、每次进入和退出表单的时刻、条目级修改轨迹、离线缓存与同步事件。这些元数据让"患者是否在访视窗口内、是否在服药后规定时间点完成填答"从推测变成可验证。代价是：工程复杂度从"一张纸"上升到"终端+应用+传输+后台+审计"的完整链路。

三大场景，三套工程约束

同样是"让患者用手机填量表"，放在不同场景里，工程优先级完全不同。

临床研究场景的第一约束是合规与可稽查。以一项多中心III期试验为例，方案规定某量表须在给药后2小时±30分钟窗口内完成。ePRO系统必须做到：到点推送提醒、窗口外填答被标记为方案偏离、每次填答生成不可篡改的审计记录。这里的典型参数是"窗口容差"和"审计字段完整性"——前者决定提醒策略，后者决定稽查时能否自证。工程上通常要求审计日志包含操作者、操作时间、操作类型、旧值、新值、原因，且日志本身不可被应用层删除。

真实世界研究场景的第一约束是规模与依从性。一项覆盖5000名患者的RWS，采集周期12个月，每日一次日记卡。此时系统面对的是：设备型号数百种、网络环境不稳定、患者中途换机、依从性从第1个月的85%衰减到第6个月的约60%（示例假设值，用于说明衰减趋势）。工程重点转向离线优先架构、增量同步、断点续填，以及用提醒策略和激励设计对抗衰减。数据质量不再靠现场监查保证，而要靠前端校验规则和后台异常检测。

患者护理场景的第一约束是时效与可用性。肿瘤患者居家报告症状，若评分越过预设阈值（如疼痛NRS≥7），系统应在数分钟内通知护理团队。这里的关键不是审计追踪的完备性，而是从填答到预警的端到端延迟和误报/漏报的平衡。界面设计也要让步于可用性：大字号、少层级、语音辅助，否则老年患者根本填不完。

三个工程目标如何落地

可溯源意味着任何一条数据都能回答"谁、何时、在什么设备上、以什么版本、填了什么、改过什么"。实现上，每条记录携带患者ID、设备指纹、应用版本、量表版本、填答开始与提交时间戳、条目级修改历史。离线填答还要记录本地时间与同步时间两个时间戳，并明确以哪个为准——通常以设备本地时间为填答时间，同步时间仅用于传输审计，但设备时间被篡改时需有检测机制。

可合规意味着系统设计要能映射到具体法规条款。以21 CFR Part 11为例，核心是电子记录与电子签名的可信性：系统访问控制、审计追踪、记录保留、签名与记录绑定。工程上对应的是角色权限矩阵、审计日志表结构、数据保留策略、以及签名环节的二次认证。合规不是最后补的文档，而是从数据模型设计阶段就要落进去的字段和约束。

可扩展意味着新增一个量表、新增一个语言版本、新增一类终端，不需要重写核心链路。这要求量表以配置化方式定义（条目、选项、跳转逻辑、计分规则与展示分离），传输层与业务层解耦，后台规则引擎可插拔。一个实用的判断标准是：如果新增一份10条目的量表需要改代码而非改配置，扩展性就不达标。

回到最根本的一点：ePRO工程的对象不是"一个App"，而是一条从患者主观体验到可稽查数据的可信链路。链路上任何一环的偷工减料，都会在数据质量或合规审查时暴露出来。明确这一点，后面的技术选择才有统一的判断标准。