4. 患者主索引与统一身份服务

在医院患者服务一体化平台中，患者身份是所有业务的前置条件。挂号、缴费、报告查询、住院办理、随访、互联网医院、健康档案调阅，每一个环节都要回答同一个问题：“当前操作对应的是哪一位真实患者？”如果这个问题没有统一答案，就会出现同一患者多份档案、不同系统各认一张卡、家属代查越权、线上账号与院内档案对不上等连锁问题。统一患者身份服务的核心，就是建立以EMPI（Enterprise Master Patient Index，企业级患者主索引）为权威源的身份治理体系，把实名认证、多卡融合、亲属关系和账号体系收敛到同一套服务接口之下。

一、EMPI与患者主索引：身份服务的权威底座

EMPI不是一张简单的患者表，而是一套“主索引+交叉索引+合并管理”的机制。主索引保存患者的权威标识与核心人口学信息，例如主索引号（EMPIID）、姓名、性别、出生日期、证件类型与证件号、手机号、医保号等；交叉索引则记录各业务系统内部的患者ID与EMPIID的映射关系，例如HIS的PATIENT_ID、LIS的样本登记号、互联网医院的账号ID。这样，当某个系统传入自己的患者ID时，身份服务能通过交叉索引定位到唯一EMPIID，再返回权威信息。

主索引的生成通常采用“先匹配、后新建”的策略。匹配时使用确定性匹配与概率匹配结合：证件号、医保号等强标识完全一致可直接判定为同一人；姓名+性别+出生日期+手机号等组合则用于辅助判断。若匹配到唯一候选，则复用已有EMPIID；若匹配到多个候选，进入人工合并队列；若完全无候选，才创建新主索引。合并时不能物理删除旧记录，而应保留“合并前ID→合并后ID”的映射，保证历史业务可追溯。

二、实名认证：从“能挂号”到“可信身份”

实名认证解决的是“这个账号背后是不是真实存在的本人”。院内场景通常分三个层次：第一层是证件实名，采集身份证、护照等证件信息，通过OCR识别并校验证件号规则；第二层是生物核身，在关键业务（如互联网首诊、医保在线结算、报告代查）中调用人脸识别，与公安或权威库比对；第三层是手机号三要素认证，即姓名、身份证号、手机号一致。三层不必每次全开，而应按业务风险分级：普通预约挂号可只做证件实名，在线复诊和代查报告则必须叠加人脸核身。

认证结果要落成可复用的身份凭证，而不是每次重新认证。建议在身份服务中维护“认证等级”字段，例如L0未认证、L1证件认证、L2人脸核身、L3医保在线认证。业务系统根据自身风险要求声明所需等级，身份服务返回当前等级并决定是否放行。这样既避免重复采集，也让认证策略可审计、可追溯。

三、多卡融合：一张主索引挂多张卡

患者手里往往同时有就诊卡、医保卡、电子健康卡、院内二维码、互联网医院虚拟卡。多卡融合不是把卡注销，而是把每张卡作为EMPIID的一个“卡标识”登记到交叉索引中。关键字段包括：卡类型、卡号、发卡机构、绑定时间、绑定状态、解绑时间。当患者用任意一张卡发起业务时，身份服务先按卡类型+卡号查到EMPIID，再返回主索引信息。

融合时要处理两类冲突：一是同一张卡被绑定到不同EMPIID，通常由冒用或录入错误导致，应触发告警并进入人工核查；二是同一患者重复绑卡，应允许保留多张有效卡，但设置一张“默认卡”用于展示和结算。示例参数可参考：卡状态分为“有效、挂失、解绑、冻结”四种；默认卡唯一；解绑不删除记录，只置状态并记录操作人。

四、亲属关系与账号体系：解决“代家人办事”

亲属关系是患者服务中最容易被忽视、却最容易出问题的部分。老人、儿童、孕产妇、失能患者往往由家属代办。身份服务需要建立“关系+授权”模型：关系描述“谁是谁的谁”，例如父亲、母亲、子女、配偶、监护人；授权描述“能做什么、做到什么时候”，例如可代挂号、可查报告、可缴费、授权有效期至某日。关系本身不等于授权，必须显式授权后才可操作。

账号体系则负责登录与凭证。建议采用“账号—身份—关系”三层结构：账号是登录凭证（手机号、微信OpenID、院内工号），身份是EMPIID对应的患者，关系是账号与患者之间的绑定。一个账号可以绑定多个患者（本人+家属），但同一时刻只能有一个“当前操作身份”。切换身份时，系统应重新校验授权范围和有效期，避免越权访问。

五、统一身份服务的接口与落地建议

统一身份服务对外应提供一组稳定接口，而不是让各系统直连EMPI数据库。典型接口包括：matchPatient（传入证件号/手机号/姓名等，返回候选EMPIID与匹配分值）、getPatientByCard（按卡类型+卡号返回主索引）、registerPatient（新建主索引并返回EMPIID）、mergePatient（合并重复主索引，保留映射）、bindCard（绑定卡标识）、bindRelation（建立亲属关系与授权）、switchIdentity（切换当前操作身份并返回授权范围）。所有接口应记录调用方、时间、入参摘要和结果，便于审计与排障。

落地时建议先做三件事：第一，梳理现有各系统的患者ID与卡类型，建立交叉索引初始映射；第二，制定匹配与合并规则，明确哪些字段强匹配、哪些进入人工队列；第三，把实名认证等级和亲属授权规则写入接口契约，让业务系统按需声明。这样，EMPI才不是一张静态表，而是真正支撑一体化患者服务的动态身份底座。