血站業務電子記錄應用研究

—— 施 欣 郭 瑾 王鴻捷

1 研究背景

我國血站信息化建設起步于20世紀80年代末期，90年代中期隨著電腦和局域網的發展得以普及[1]。2006年《血站管理辦法》《血站質量管理規范》《血站實驗室質量管理規范》相繼發布，要求血站必須應用計算機管理采供血和相關服務過程。采供血過程信息化成為法規強制性要求[2]，這促進了血站信息化發展。

目前，血站信息化已進入相對成熟階段，但業務電子記錄應用緩慢，主要存在兩種現象：一是保持了繁多的書面手工記錄，這種記錄以手工填寫紙質記錄表單和手簽名方式生成，并轉化為紙質檔案保存，如獻血者獻血記錄等；二是保持了書面形式記錄，這種記錄以打印輸出的紙質記錄表單和手簽名方式生成，也被轉化為紙質檔案保存，如血液檢測(篩查)過程記錄、血液發放記錄等。

出現上述現象，與行業管理部門及業內人士對電子記錄的理解和血液管理信息系統的信任度直接相關[3-4]。究其原因有：第一，系統安全程度未達到業務管理要求和預期，在系統異地災備機制甚至系統備份機制尚未健全的情況下，一旦發生意外，數據記錄可能無法恢復；第二，不同版本系統的數據庫結構、數據代碼、數據格式等環節標準化程度低，導致系統升級后無法保證原系統數據的完整性和可追溯性；第三，缺乏電子記錄的行業指引；第四，對電子記錄的理解和認識不到位，如把血液管理信息系統中儲存的電子數據籠統地理解為血站的電子記錄，把信息系統的打印輸出添加手工簽名認作原始書面記錄，甚至認為只有書面形式的手工原始記錄經過電子轉化(如掃描)后的記錄才是電子記錄等。

基于此，本研究從電子記錄概念及內涵、法律效力出發，提出了血站業務記錄電子化的實施策略。

2 相關概念及內涵

2.1 記錄、業務記錄與電子記錄

記錄即寫入有形媒介并且能夠以可認知形式恢復的信息。紙質(書面)記錄的優點在于它能夠可靠地記錄相關信息,使之有據可查。

《血站質量管理規范》對業務記錄的要求為：記錄體系必須完整，應包括從獻血者篩選、登記到血液采集、檢測、制備、儲存、發放和運輸全過程，保證其可追溯?！堆緦嶒炇屹|量管理規范》還要求：建立和保持完整的血液檢測相關記錄，種類至少應包括標本登記、處理、保存、銷毀記錄，試劑管理及使用記錄，檢測過程和結果的原始記錄與分析記錄，質量控制記錄，設備運行、維護和校驗記錄，實驗室安全記錄，醫療廢棄物處理記錄等。

電子記錄是指文本、圖形、數據、音頻或其他數字形式的任意信息形式的組合，由計算機系統創建、修改、維護、存檔、檢索或分發，包括數據、電子郵件以及計算機服務器和終端設備儲存的任何電子文檔。在我國相關法規[5]中，還使用了“數據電文”這一概念。

從技術層面來看，血站在計算機系統中的信息都可以統稱為電子記錄。但由于采供血行業的特殊性，這些電子記錄只有符合其專業規范或標準時，才是真正意義上的業務電子記錄[6]。美國食品藥品監督管理局(Food and Drug Administration，FDA)在《21CFR-Part11 電子記錄和電子簽名的范圍和應用行業指南》中建議：對于現有法規要求保持的記錄，應事先決定是依賴電子記錄還是紙質記錄，并形成書面文件，如在標準操作規程或需求規格說明書中予以規定。

2.2 簽名與電子簽名

簽名即某人在某一書面文件上簽署自己的名字以表明對該文件承擔責任的行為。簽名的基本功能有二：一是確定一份文件的作者；二是證實該作者同意文件內容。簽名的另一項輔助性功能在于證明文件的完整性。

電子簽名是指數據電文中用于識別簽名人身份并表明簽名人認可其中內容的數據。電子簽名有如下特性：一是以電子形式出現；二是附著于電子記錄，可以作為電子記錄的組成部分，與電子記錄具有某種邏輯關系；三是必須能夠識別簽名人身份，并表明簽名人認可電子記錄內容。

3 電子記錄的法律效力

在應用電子記錄和電子簽名時，電子記錄和電子簽名能否達到與書面記錄和手工簽名同等的法律效力始終困擾著血站。盡管血站業務記錄已經出現在民事、政務和社會活動中，但血站管理者及行業監管部門對于業務電子記錄能否在涉及訴訟時作為證據被采信仍存在疑慮。

證據的可采性是保證證據法律效力的關鍵，證據必須具備真實性、關聯性和合法性(“三性標準”)，才能確保電子證據的可采性[7]。書面記錄、手簽名和原件構成了書面記錄效力判定的“三要件”。目前，國際上許多國家已經將電子證據作為一類獨立的證據，其證據效力判定基于“功能等同”規則，這種規則參照的是傳統書面記錄形式[8]。

電子記錄符合書面形式的判定標準是指所含信息持續保持可以被調取和查閱的狀態。就一份電子文檔而言，只要能夠讓人閱讀、理解，即滿足該標準。其關鍵在于存儲介質沒有遭到破壞，并且調取、識別信息的系統被保留。但在實際業務活動中，對系統的保留較困難，導致電子記錄無法調取和閱讀。解決方案是：建立專門的電子記錄存檔系統，并采取文件固化技術對電子記錄的顯示形式進行固化。

同時，還必須確立如何使電子記錄歸屬于特定人的規則，可以通過經過電子認證(Certificate Authority，CA)的數字簽名解決這一問題。

此外，電子記錄原件屬性聚焦在兩個關鍵特性上：一是存儲介質可與存儲內容分離(傳輸和拷貝等)。電子記錄可以在不同存儲介質之間快速傳播，事實上其已經不再有“原件”概念，這給電子記錄的真實性證明增加了困難；二是可以實現更改不留痕。由于電子記錄對存儲介質具有依賴性，其存儲信息只能經過系統解碼才能顯示，這給電子記錄的完整性證明增加了難度。

目前，針對電子記錄原件屬性的判定，普遍采取的策略是：以信息系統和電子記錄的完整性推斷電子記錄的真實性，打破了電子記錄無法提供“原件”的屏障。完整性包括電子記錄本身的完整性和電子記錄所依托的計算機系統的完整性。電子記錄本身的完整性涉及形式上的完整性和內容上的完整性：形式上的完整性是指電子記錄必須保持生成之時的原狀，包括格式調整在內的任何更改都將視為完整性受到破壞；內容上的完整性是指電子記錄自形成之時起,其內容保持完整，未遭到非必要的添加或刪除。計算機系統完整性則有三層含義：一是計算機等存儲電子數據的系統處于正常運行狀態；二是電子數據產生于業務活動進行時或即后制作階段，不屬于為訴訟而專項制作或其生成受提供證據者主觀控制；三是記錄系統在正常運行狀態下對業務活動有完整記錄。

以上要件的實現都需要專業性較強的技術措施來提供支持，采取了必要安全技術措施的電子記錄可被認為等同于書面記錄，也就可被認定為有效證據。

4 應用建議

4.1 從法規層面規定血站業務記錄要求

相關管理部門需要根據《血站管理辦法》《血站質量管理規范》《血站實驗室質量管理規范》及其他相關法規要求，參照世界衛生組織(World Health Organization，WHO)《數據和記錄管理良好實踐指南(WHO TRS 996 Annex05)》，制定我國血站業務電子記錄管理規范，進一步明確血站業務記錄的范圍、內容、要素和書面格式，并參照其他行業標準制定血站業務電子記錄通用要求。食品行業標準《食品生產加工企業電子記錄通用要求(GB/T30644-2014)》以及美國《21CFR-Part11電子記錄和電子簽名》[9]和美國《FDA Part11電子記錄和電子簽名 范圍和應用指南》[10]都為我國血站實施電子記錄提供了參考。

4.2 制定血液管理信息系統數據標準

血站應制定電子記錄相關數據格式、代碼等標準，避免因數據遷移導致的數據不完整和不可追溯問題的發生。電子記錄的標準化是保證數據遷移完整性的路徑，只有建立統一的電子記錄數據標準，方能實現歷史記載業務電子數據的隨時可讀、可查、可用。目前，國內已有北京、浙江等地探索血液電子信息的標準化，建立了《血液管理信息指標代碼與數據結構(DB11/T486-2007)》《血液信息系統基本建設規范-第2部分-血站信息系統基本數據集(DB33/T 918.2—2014)》。

4.3 對血液管理信息系統進行全面確認

電子記錄應用的基礎是信息系統按照預期規則穩定運行。通過系統確認活動，可以保障血液管理信息系統的可用和安全。美國FDA《軟件確認的一般性原則》《采供血機構計算機系統用戶驗證指南》已被廣泛采納，中國輸血協會《血站信息系統確認指南(T/CSBT003-2019)》和上海地方標準《血站信息系統確認規范(DB31/T561-2011)》也可作為全面確認血站計算機系統的參考。

4.4 構建血站電子記錄管理系統

WHO《數據和記錄管理良好實踐指南》[11]建議：用于作為證據的業務數據和記錄必須保持其完整性，而完整性又體現為可歸屬性(Attributable)、易讀性(Legible)、同步性(Contemporaneous)、原始性(Original)和準確性(Accurate)，簡稱ALCOA規則。這與前述記錄證據效力判斷的“三性標準”一致。實現ALCOA規則最有效的方法是在現行血站管理信息系統基礎上，建立血站電子記錄管理系統，以PDF或OFD等格式將約定記錄的相關電子信息轉化成固化的原始電子記錄[12-14]，便于隨時檢索、存取、查閱和利用。

4.5 采用電子簽名的CA認證[15]

首先，應確定血站電子簽名的適用條件和采用的技術方案。其次，應嚴格配置用戶和密碼，并可在電子簽名中加入生物學屬性要素(如指紋)，以保證電子簽名的真實性[16]，有條件的血站還可采用CA認證。CA認證是指由第三方為血站的電子簽名相關各方提供真實性、可靠性驗證的服務活動。血站可遵從《衛生系統電子認證服務管理辦法(試行)》采用CA認證，以便為電子記錄的可采性提供保障。