2. 患者主索引与身份管理

患者主索引（Enterprise Master Patient Index，EMPI）是全生命周期管理平台的身份底座。它的核心任务不是“存一个患者表”，而是在多系统、多院区、多来源数据持续汇入的前提下，为同一个自然人维护一个稳定、唯一、可追溯的主标识，并把各业务系统中的局部标识挂接到这个主标识上。若 EMPI 设计不当，后续的随访、用药、检验、影像、费用数据都会出现“同一人分裂成多条记录”或“不同人被错误合并”的问题，且越晚修复代价越高。

EMPI 的数据结构与标识分层

EMPI 通常采用三层标识模型：主索引标识（EMPI ID）、来源系统标识（Source ID）与业务域标识。EMPI ID 由平台统一生成，一经分配不再变更，是跨系统关联的唯一锚点；来源系统标识记录该患者在 HIS、LIS、PACS、互联网医院、体检系统等各自系统中的本地 ID；业务域标识则包括住院号、门诊号、医保号、病案号等，用于业务查询与回溯。三者通过映射表关联，而不是把本地 ID 直接当作主键。

一个可落地的 EMPI 记录至少应包含：EMPI ID、姓名、性别、出生日期、证件类型与证件号（加密存储）、手机号（加密存储）、来源系统、来源标识、匹配状态、合并状态、创建时间、更新时间、操作人。其中匹配状态用于标记该记录是“已确认唯一”“待人工复核”还是“已合并”，合并状态则记录其是否为主记录、被合并到哪个 EMPI ID。

多源患者标识匹配

匹配的本质是判断两条记录是否指向同一自然人。工程上通常采用“确定性匹配 + 概率匹配”的组合策略。确定性匹配依赖强标识，例如证件类型与证件号完全一致、医保号一致，命中即可判定为同一人；概率匹配则对姓名、性别、出生日期、手机号等字段分别赋权，计算综合相似度得分。

一个常用的示例权重方案如下（仅作教学示例，实际权重需结合数据质量调优）：证件号一致权重 0.45，姓名完全一致 0.20，出生日期一致 0.15，手机号一致 0.10，性别一致 0.05，地址相似 0.05。若证件号缺失，则剩余字段权重按比例归一化。综合得分达到 0.95 以上可自动合并；0.70 至 0.95 进入人工复核队列；低于 0.70 则新建主索引。需要强调的是，姓名相同但证件号不同时，绝不能仅凭姓名合并，否则会把同名不同人错误归并。

匹配过程中还要处理“一人多卡”“一卡多人”等异常。例如同一手机号被多个患者使用，说明该手机号不具备强区分度，应降低其权重或标记为共享号码；同一患者在不同系统使用不同证件类型（身份证与护照），则需要建立证件别名表，把多种证件映射到同一自然人。

合并与拆分策略

合并是把两条或多条疑似同一人的记录归并到一个 EMPI ID 下。合并时必须保留“主记录—从记录”关系，从记录不删除，只标记为已合并并指向主记录，这样历史业务数据仍可回溯。合并操作应记录合并原因、操作人、时间与合并前快照，便于审计与回滚。

拆分则是合并的逆操作，用于纠正错误合并。拆分时不能简单删除映射，而要把从记录重新挂回独立 EMPI ID，并检查其关联的业务数据是否需要同步迁移。拆分往往比合并更危险，因为它可能影响已经基于合并结果生成的统计、随访和用药记录，因此必须设置审批与影响评估环节。

隐私保护与合规要求

EMPI 集中了患者最敏感的身份信息，隐私保护必须贯穿设计。证件号、手机号等直接标识符应加密存储，查询时按权限脱敏展示；匹配引擎内部可使用哈希值或令牌化（Tokenization）后的标识进行比对，避免明文在内存与日志中扩散。对外提供接口时，只返回 EMPI ID 与必要的业务字段，不返回完整证件号。

访问控制上应遵循最小必要原则：临床人员可查看其诊疗范围内患者的身份信息，科研人员只能使用去标识化后的数据集，运维人员访问生产数据需审批并全程审计。日志中不得记录完整证件号、手机号等敏感字段，匹配得分与候选集也应限制访问范围。

可执行的 EMPI 匹配与合并检查清单

实际落地时，建议先用历史数据做一轮匹配回放：统计自动合并、人工复核、新建主索引三类结果的比例，再抽样人工核对误合并与漏合并情况。若误合并率偏高，应提高自动合并阈值或增加强标识校验；若漏合并率偏高，则应调整字段权重或补充来源系统标识。EMPI 不是一次建成的静态表，而是需要持续监控、定期复核、随数据源变化而迭代的身份治理体系。