2. 患者分层与风险管理的数据基础

患者分层与风险管理的结论是否可信，首先不取决于模型算法，而取决于数据底座是否完整、一致、可追溯。一个典型的分层平台往往同时接入四类数据：医院电子病历（EMR）、区域居民健康档案（EHR）、随访/慢病管理记录、医保结算数据。它们分别回答“诊疗过程发生了什么”“长期健康状况如何”“管理干预是否落实”“费用与就医行为如何”，只有把它们对齐到同一个患者主索引上，风险分层才有意义。

一、四类数据源的特征与接入方式

电子病历以就诊为粒度，包含患者基本信息、诊断（ICD-10）、检验检查、医嘱、手术、出院小结等，通常通过医院集成平台或视图/接口以增量方式抽取。健康档案以人为粒度，包含既往史、家族史、生活方式、建档体检、慢病随访，多来自基层卫生信息系统。随访数据是过程性数据，记录血压、血糖、用药依从性、随访方式与失访情况，更新频率高但结构化程度参差。医保数据以结算为粒度，包含就诊类型、费用明细、报销比例、药品与诊疗项目编码，能反映真实就医与用药行为，但临床细节有限。

接入层建议采用“贴源—缓冲—标准”三层：贴源层保留原始字段与抽取时间戳，缓冲层做去重与主索引匹配，标准层输出统一模型。增量抽取常用时间戳或日志位点方式，例如按 update_time 拉取当日变更；对无稳定时间戳的系统，可用主键比对或全量快照加差异计算。接入时必须记录来源系统、抽取批次、数据版本，为后续追溯和问题定位留痕。

二、清洗：从原始记录到可用记录

清洗解决的是“脏、重、缺、错”四类问题。去重方面，同一患者在不同系统可能有多个标识，需要建立患者主索引（EMPI），常用规则是身份证号精确匹配优先，其次为姓名+性别+出生日期+手机号的模糊匹配，并设置人工复核队列。缺失值不能一律填充，应区分“未采集”“不适用”“未知”，例如随访血压为空可能是未测量，也可能是未录入，处理策略不同。

异常值需要结合临床范围判断。以收缩压为例，合理范围可设为 60–260 mmHg，超出者标记为可疑而非直接删除；对 0 值、负值、明显单位错误（如把 120 记录为 12.0）应进入质控清单。时间逻辑同样重要：出院日期早于入院日期、随访日期早于建档日期，都属于必须拦截的逻辑错误。清洗结果应输出质量指标，如字段完整率、主索引匹配率、异常值占比，作为数据可用性的判断依据。

三、标准化：让不同来源说同一种语言

标准化包括术语、编码、单位和时间口径四个层面。诊断统一映射到 ICD-10，药品映射到国家医保药品编码或 ATC，检验项目映射到 LOINC 或院内标准项目字典，手术映射到 ICD-9-CM-3。单位需统一到临床常用口径，如血糖统一为 mmol/L，血压统一为 mmHg，体重统一为 kg。时间口径要明确：就诊时间以入院时间还是结算时间为准，随访时间以计划时间还是实际执行时间为准，必须在数据字典中固定，否则同一指标在不同报表中会不一致。

标准化不是一次性工作，而是持续维护的映射工程。建议为每个源系统建立映射表，记录源编码、标准编码、映射方式（精确/模糊/人工）、生效时间与维护人。当源系统升级或新增项目时，映射表同步更新，避免“新数据进不来、老数据对不上”。

四、隐私合规：不是最后一步，而是贯穿全程

多源数据接入天然涉及敏感个人信息。合规的核心不是“能不能用”，而是“在什么范围内、以什么方式、由谁使用”。实践中应遵循最小必要原则：只采集分层所需字段，能聚合就不取明细，能脱敏就不留原始标识。患者主索引中的身份证号、手机号等直接标识应加密存储或仅保留哈希值，分析环境使用假名化 ID。

访问控制要分级：原始数据仅限授权数据管理员在受控环境操作，分析人员使用脱敏后的宽表，外部共享只提供聚合统计结果。所有查询、导出、模型训练数据生成都应记录操作日志，包括操作人、时间、数据范围、用途。若涉及跨机构数据共享，必须有明确的授权依据、用途限定和有效期，不能以“科研需要”笼统覆盖。

五、一个可执行的数据质量检查示例

假设某区域平台接入 3 家医院 EMR、1 套基层健康档案、1 套随访系统和 1 套医保结算数据，日增量约 12 万条。可在标准层落地如下检查规则，并输出每日质量报告：

这些指标不是一次性验收，而是每日运行、按周复盘。当某家医院诊断完整率连续下降，应回溯到该院接口字段是否变更；当随访异常值突然升高，可能是新上线设备单位不一致。数据治理的价值，正在于把这类问题在进入模型之前就暴露出来。

综上，电子病历、健康档案、随访和医保四类数据各有粒度与盲区，接入要留痕、清洗要分类、标准化要持续维护、隐私合规要贯穿始终。只有把这条链路做扎实，患者分层与风险管理平台才具备可信的数据基础。