安全港的国家网络:苏格兰的观点gydF4y2Ba

简介gydF4y2Ba

背景gydF4y2Ba

电子健康记录(EHRs)是在个人在医疗保健机构接受护理时定期收集的数据。电子病历通常包含病史、诊断、用药、过敏、免疫、其他治疗和实验室结果的记录[gydF4y2Ba1gydF4y2Ba］．记录可以在不同的环境中生成(例如，初级保健设施，如诊所和保健中心，以及二级保健设施，如医院和急救中心)。虽然电子病历的主要目的是改善对患者的直接护理，但它们也有一些被称为其他目的gydF4y2Ba二次使用gydF4y2Ba或gydF4y2Ba重用gydF4y2Ba［gydF4y2Ba2gydF4y2Ba］．在研究中使用电子病历数据就是其中一种次级用途[gydF4y2Ba3.gydF4y2Ba，gydF4y2Ba4gydF4y2Ba］．gydF4y2Ba

安全港是安全的环境，已广泛用于支持访问电子病历进行研究，同时保护患者的身份和隐私[gydF4y2Ba5gydF4y2Ba，gydF4y2Ba6gydF4y2Ba］．Lea等人描述了英国范围内法尔研究所合作的4个避风港[gydF4y2Ba5gydF4y2Ba]并且发现它们有不同的过程、控制和环境。在苏格兰，已经建立了一个由5个安全港组成的网络，以支持电子病历的重用，在过去的十年中，研究人员能够大规模地访问数据[gydF4y2Ba6gydF4y2Ba］．gydF4y2Ba

苏格兰安全港网络在支持研究方面非常成功。在过去的5年里，该网络支持了1000项研究。有少量的研究和创新项目(例如，数字诊断人工智能研究工业中心[gydF4y2Ba7gydF4y2Ba]及苏格兰研究资料[gydF4y2Ba8gydF4y2Ba)，这是跨安全港的合作。然而，大多数研究项目都是由一个“安全港”完成的。每个安全港维护和控制对从其地理区域收集的EHR数据的访问，因此对这些数据集有详细的了解。苏格兰的例外是国家安全港(电子数据研究和创新服务[eDRIS])，它拥有国家级的数据集。研究人员通常只能获取苏格兰水平上收集的具有高队列覆盖率的全国持有数据的广度，或者本地临床数据的深度，其中包含关于区域安全港的个人或实体的更详细信息。gydF4y2Ba

该网络内每个安全港的代表定期举行会议，并由苏格兰政府首席科学家办公室支持和主持。安全港合作开发和分享最佳实践。该网络主要是通过向研究人员收取服务费用，在成本回收的基础上提供资金，一些避风港也得到了国家卫生服务(NHS)苏格兰研究与发展基金的一些核心支持。gydF4y2Ba

本研究对每个Safe Haven的基础设施、操作和特征进行了分析，并评估了这些因素如何影响支持多个Safe Haven项目的互操作性和技术选项。我们介绍了苏格兰的避风港如何保护隐私，并促进了EHR数据的重用。gydF4y2Ba

什么是避风港?gydF4y2Ba

概述gydF4y2Ba

安全港已发展成为一套流程，用于支持研究人员以精简和安全的方式访问敏感数据，同时维护患者机密[gydF4y2Ba5gydF4y2Ba，gydF4y2Ba9gydF4y2Ba，gydF4y2Ba10gydF4y2Ba］．这个词gydF4y2Ba安全gydF4y2Ba还gydF4y2Ba广泛使用，但对不同的人和在不同的语境中有不同的含义。巴顿等[gydF4y2Ba11gydF4y2Ba]详细描述了这个词的起源和演变。避风港的定义如下:gydF4y2Ba

一个储存库，其中有用但可能敏感的数据可以安全地保存在适合目的并根据所维护数据的性质适当定制的治理和信息系统下，并可由从事对生物医学、卫生和/或卫生保健系统持续发展有贡献的工作和研究的合法用户访问和利用。gydF4y2Ba

关于健康数据、其他安全港或类似基础设施[gydF4y2Ba5gydF4y2Ba，gydF4y2Ba11gydF4y2Ba]全国性存在[gydF4y2Ba12gydF4y2Ba-gydF4y2Ba14gydF4y2Ba]及国际[gydF4y2Ba15gydF4y2Ba-gydF4y2Ba17gydF4y2Ba］．Kavianpour等[gydF4y2Ba18gydF4y2Ba]根据对20个英国国家和国际安全避风港的采访，提供了可信研究环境的回顾。本文提供了苏格兰避风港的观点，并基于作者的直接经验。gydF4y2Ba

图1gydF4y2Ba为苏格兰避风港的结构提供了一个模型。我们已经确定，苏格兰避风港主要提供以下部分所述的服务。gydF4y2Ba

‎gydF4y2Ba 查看此图gydF4y2Ba

数据处理器和数据存储库管理gydF4y2Ba

这涉及到安全处理和链接来自多个来源的数据，以及可能托管或管理纵向数据(关于个人或实体的详细信息，如病情、入院情况和处方数据)。苏格兰安全港也可以提供一个功能gydF4y2Ba受信任的第三方gydF4y2Ba［gydF4y2Ba6gydF4y2Ba，gydF4y2Ba19gydF4y2Ba］．它们可以支持角色中的可识别信息的链接gydF4y2Ba索引器gydF4y2Ba而且gydF4y2Ba链接器gydF4y2Ba(详细定义见gydF4y2Ba数据链接gydF4y2Ba部分)是分开的，因此没有任何一个组织或个人可以看到另一个组织的可识别数据与其描述性数据相关联[gydF4y2Ba20.gydF4y2Ba，gydF4y2Ba21gydF4y2Ba］．安全港作为数据处理器[gydF4y2Ba6gydF4y2Ba]，并与每个数据控制者(Safe Havens也可以是数据控制者)达成协议，以确保活动被集中记录、监控和审计[gydF4y2Ba6gydF4y2Ba］．gydF4y2Ba

分析平台gydF4y2Ba

分析平台是一种高度安全、高性能的计算环境，使研究人员能够安全地分析数据，而不需要将行级去标识的数据离开环境(只能导出聚合级结果)。实施严格的治理和控制，确保分析平台的数据安全。gydF4y2Ba

研究支持gydF4y2Ba

Safe Haven协调员为研究人员导航数据需求和权限环境提供支持，并提供一个审查机制，以分享从一个项目到下一个项目的经验教训。一些苏格兰避风港为分析提供了支持。内部安全港数据科学家可以帮助研究小组进行统计分析。gydF4y2Ba

这个词gydF4y2Ba安全的避风港gydF4y2Ba这里定义为综合了前面提到的服务的总体服务:数据处理器和数据存储库、分析平台和研究支持。gydF4y2Ba

苏格兰安全港遵循gydF4y2Ba五个保险箱gydF4y2Ba值得信赖的研究环境原则——安全的人、安全的项目、安全的环境、安全的数据、安全的输出[gydF4y2Ba14gydF4y2Ba-如英国健康数据研究绿皮书中所述[gydF4y2Ba14gydF4y2Ba］．gydF4y2Ba

苏格兰联邦安全港网络gydF4y2Ba

在苏格兰运营的5个安全港网络均经苏格兰政府认可，每个安全港均遵守苏格兰安全港宪章[gydF4y2Ba6gydF4y2Ba］．每个都提供3种服务，这些服务在gydF4y2Ba什么是避风港gydF4y2Ba？节，具有不同的数据访问程序(需要获得必要的本地治理批准)，应用于不同的数据源并具有不同的标准操作程序。gydF4y2Ba

有4个区域性避风港和1个全国性避风港。在苏格兰政府首席科学家办公室的支持下，NHS的每个研发节点都有一个区域安全港[gydF4y2Ba22gydF4y2Ba］．它们由每个研究和开发节点内的NHS董事会之间的伙伴关系提供，并与该地区的一所领先大学合作。无论避风港的主要联系机构是NHS委员会还是大学，不同地区的避风港(gydF4y2Ba表1gydF4y2Ba)．eDRIS [gydF4y2Ba23gydF4y2Ba]，隶属苏格兰公共卫生署[gydF4y2Ba24gydF4y2Ba]，委任爱丁堡并行计算中心(EPCC) [gydF4y2Ba25gydF4y2Ba]，爱丁堡大学，提供国家安全港。格兰坪数据安全港[gydF4y2Ba26gydF4y2Ba，阿伯丁大学和NHS格兰扁之间的合作，是格兰扁地区的安全港，包括阿伯丁市，阿伯丁郡和马里。卫生资讯中心[gydF4y2Ba27gydF4y2Ba邓迪大学的研究中心覆盖了泰赛德和法夫地区。格拉斯哥[gydF4y2Ba28gydF4y2Ba]及Lothian或DataLoch安全港[gydF4y2Ba29gydF4y2Ba，gydF4y2Ba30.gydF4y2Ba由NHS领导，覆盖苏格兰西部、爱丁堡和东南部地区，并分别与格拉斯哥大学和爱丁堡大学合作。gydF4y2Ba

苏格兰NHS数据来源gydF4y2Ba

概述gydF4y2Ba

苏格兰拥有单一的医疗保健提供者(苏格兰国民保健署)和世界领先的从出生到死亡的全国健康相关数据资产。在高层总结中，国家安全港可以直接获得卫生行政数据，在苏格兰国家一级收集了高队列覆盖率的数据，区域安全港可以直接从临床系统获得更详细的卫生数据。区域安全港可以与当地数据保管人密切合作，这使他们能够方便地访问通常不持有的其他数据源(例如，其他健康数据、教育数据或警察数据)。由于不同的访问流程和治理批准，访问这些其他数据源可能需要额外的时间。gydF4y2Ba

苏格兰研究数据计划[gydF4y2Ba32gydF4y2Ba]的建立是为了简化和支持对全国各地相连的卫生和行政数据集的访问。gydF4y2Ba

NHS国家级数据gydF4y2Ba

公共卫生服务系统收集国家一级的国民保健服务[gydF4y2Ba33gydF4y2Ba]和行政数据，以提供卫生信息、卫生情报、统计服务和建议，支持国民保健制度不断提高卫生和护理质量，并促进强有力的规划和决策。这些数据集可以在国家安全港访问。苏格兰各地的每个卫生局定期向小灵通提供其可识别管理数据子集的更新。PHS对此进行了标准化，以便在几个国家数据库中创建同质数据。这些数据包括苏格兰发病率记录(SMRs)和社区分发的处方。SMR数据涵盖了几个不同的数据集，如SMR00(医院门诊)、SMR01(急性住院入院)、SMR02(孕产妇)、SMR04(精神病患者返回)、SMR06(癌症登记)、SMR11(新生儿)和SMR25(药物滥用)。苏格兰国家档案局(NRS)记录出生、婚姻和死亡。gydF4y2Ba

处方数据通过两种不同的方式在全国范围内收集。透过电子药房系统[gydF4y2Ba34gydF4y2Ba]，由全科医生开出的处方可直接载入系统。长期存在的数据捕获验证和定价付费系统[gydF4y2Ba35gydF4y2Ba)在苏格兰被用于获取决定社区药房报酬的配药数据。的gydF4y2Ba有水印的gydF4y2Ba处方从全科医生到患者，然后到药房，然后每月收集并转移到数据捕获验证和定价或PHS进行自动化处理[gydF4y2Ba36gydF4y2Ba］．gydF4y2Ba

区域NHS数据gydF4y2Ba

各区域安全避难所都从小保健服务中心的国家标准化数据集(如SMR和处方数据)中接收子集数据，其中仅包括居民或在相关委员会内接受保健的患者。他们还可以获得在当地临床系统中捕获的、但没有在国家层面收集的深度表型数据。例如，他们可以获得以下数据:微生物学、病毒学、实验室测试、中风和超声心动图。不同安全港之间可用的本地数据的类型和级别不同。在苏格兰，每个人都有一个社区健康指数(CHI)号码[gydF4y2Ba37gydF4y2Ba]当他们第一次接触卫生服务时。在他们的整个健康史中，这尽可能地保留在他们的电子病历中。区域安全港使用CHIs将数据集与其区域内全国捕获的人口记录联系起来。gydF4y2Ba

研究数据gydF4y2Ba

除了未经同意访问常规收集的行政或临床记录外，国家和区域安全港还可以托管或管理研究人员从临床试验和患者问卷等许多来源收集的经同意的数据集。与常规收集的电子病历相比，研究数据通常涵盖更窄的范围，但提供了关于个人的更详细的信息。研究队列的参与者是志愿者，他们在研究开始时就同意了伦理道德批准的数据访问规则。例如，苏格兰一代[gydF4y2Ba38gydF4y2Ba是一个人类生物样本和数据的资源，可用于医学研究，为苏格兰及其人民的健康、社会和经济利益创造基于基因知识的更有效的治疗方法。另一个例子是苏格兰卫生研究登记册[gydF4y2Ba39gydF4y2Ba]队列，其中>28万人同意并被招募，以便在常规测试后对任何剩余血液样本进行基因分型，并将其应用于对其健康数据的研究[gydF4y2Ba39gydF4y2Ba］．gydF4y2Ba

区域性安全港也有针对特定疾病的研究数据[gydF4y2Ba40gydF4y2Ba-gydF4y2Ba45gydF4y2Ba］．这些研究中的数据可以从一系列来源收集:临床数据、患者调查和常规收集的EHR数据。gydF4y2Ba

一些疾病登记处最初是在区域一级建立的，但后来在全国范围内推广。例如，苏格兰护理信息-糖尿病(SCI-Diabetes) [gydF4y2Ba46gydF4y2Ba疾病登记是通过整理和链接从泰赛德地区定期收集的数据而形成的。它后来发展成为一个全国性的资源，现在收集患者报告的结果数据。SCI-Diabetes收集的数据用于临床护理。从SCI-Diabetes中摘录的内容也可以在区域或国家安全港的研究研究的基础上进行联系。gydF4y2Ba

安全港可以将研究数据与常规收集的行政或临床记录联系起来，并在分析平台中提供对合并数据的访问(以不确定的形式)。gydF4y2Ba

苏格兰避风港gydF4y2Ba

概述gydF4y2Ba

每个苏格兰安全港都有其数据存储库托管在NHS网络上(gydF4y2Ba表1gydF4y2Ba)，但国家安全港(Safe Haven)除外，它也在EPCC内的安全大学环境中保存一些数据。安全港与多个数据控制者签订了数据共享协议，并定期从他们那里接收新数据。gydF4y2Ba

所有安全港都承诺采用基于分析平台的数据访问方法。每个避风港要么建立了一个分析平台，要么可以使用一个分析平台。gydF4y2Ba

安全港在实现上述3项主要服务的方式上存在差异。gydF4y2Ba表1gydF4y2Ba总结了每个苏格兰的避风港在下一节中，我们将详细讨论安全港及其常见部署特性。gydF4y2Ba

数据治理和工作流gydF4y2Ba

治理批准步骤查看项目的各个方面，如道德规范、同行评审、资金来源、公共利益和对项目的遵守gydF4y2Ba五个保险箱gydF4y2Ba，详见gydF4y2Ba什么是避风港?gydF4y2Ba部分。各个Safe haven的治理审批流程各不相同。即使对于相同的Safe Haven，不同的项目也可能需要不同的治理审批过程来满足不同的数据控制者。然而，在分析平台中访问数据的标准未识别项目的治理过程是相对简化的。每个避风港都有一个授权的治理机构或委员会，如图所示gydF4y2Ba表1gydF4y2Ba它的速度相对较快，包括来自赞助商、伦理、非专业成员和NHS董事会的代表，以简化治理过程。对于DaSH安全港，使用本地数据的本地研究人员的项目可以通过北节点隐私咨询委员会的流程获得治理批准。HIC安全港gydF4y2Ba标准项目gydF4y2Ba(在分析平台内，经批准的学术研究人员对未识别的数据进行分析，该活动由同行评审的研究拨款资助)由全面治理批准覆盖。受支持的标准项目列表将提供给相关的治理委员会作为信息，而不是在研究开始之前请求批准每个项目。对于Lothian或DataLoch，在分析平台中涉及未识别数据的项目可以通过其本地数据访问委员会流程获得治理批准，其中包括委托Caldicott审查。gydF4y2Ba

大多数Safe Haven对项目请求的响应都遵循一套标准流程(例如，在学术研究的分析平台中提供未识别的链接数据)。在特殊情况下，一些项目需要不同的模型，并且需要证明这些例外是合理的，以获得治理批准。例外的例子包括准备好的项目数据没有放置在分析平台中，以及项目数据具有一些可识别的信息。gydF4y2Ba

要在数据存储库中处理可识别的EHR数据，Safe Haven的工作人员要么是NHS员工，要么拥有荣誉NHS合同。所有安全港都对团队进行了基于规则的隔离，指定了那些能够访问和不能访问可识别数据的团队。每个“安全港”只有少数人可以访问NHS网络并查看可识别的数据。其他数据源(如政府生成的管理数据或研究机构生成的研究数据)可以链接到电子病历。该链接由安全港数据链接团队执行，然后链接的数据集托管在分析平台上，供批准的研究人员或调查人员访问。在每个阶段，都有一个监督步骤，以确保正确地遵循所有程序，并且没有意外的可识别数据被发布。gydF4y2Ba

数据请求的项目工作流在Safe Haven网络中是一致的，如图所示gydF4y2Ba图2gydF4y2Ba．在第一步中，Safe Haven团队运行研究可行性查询，以确定研究主题所需的数据。一旦资金和治理到位，就会进行数据链接(根据需要)。从NHS网络中提取的数据在被发布到分析平台之前被去识别、验证和评估以进行披露。链接和去识别的细节在gydF4y2Ba数据链接gydF4y2Ba而且gydF4y2Ba数据DeidentificationgydF4y2Ba部分。一节gydF4y2Ba分析平台中的数据格式gydF4y2Ba提供分析平台支持和数据支持的讨论。每个安全港的存档过程和每个安全港的数据存储库的基础结构在gydF4y2Ba数据存储库基础设施gydF4y2Ba部分。gydF4y2Ba

‎gydF4y2Ba 查看此图gydF4y2Ba

数据发现和元数据gydF4y2Ba

研究可行性分析和数据发现仍然是一个人工过程，涉及研究人员和Safe Haven团队之间的讨论。在项目规划阶段，研究人员通过电子邮件或电话联系相关的Safe Haven。数据发现和研究可行性通过文件交换或面对面会议进行。苏格兰的安全港要求召开会议，以了解每项研究的要求，并指导治理过程。研究可行性由Safe Haven根据研究者或研究者定义的要求(例如，数据中年龄为>岁65岁且定期使用胰岛素处方的糖尿病患者人数)生成队列或子队列规模的总人数，从而进行研究。gydF4y2Ba

研究人员通常指定一个表型或公共表型算法，以确定他们研究的正确队列。如gydF4y2Ba表1gydF4y2Ba，在5个安全港之间没有共同的标准程序来捕获和重用表型算法。然而，DataLoch也使用CALIBER表型库[gydF4y2Ba47gydF4y2Ba]，而格拉斯哥安全港使用了一套本地矩阵文件存储表型算法，基于标准或已发表的方法，这些方法已由临床医生进行了质量检查。由于eDRIS主要使用国际疾病及相关健康问题统计分类(ICD)标准处理国家数据集[gydF4y2Ba48gydF4y2Ba]，它通常与研究人员就ICD代码达成一致，并使用代码和研究人员给出的任何日期或其他约束进行队列构建。其余的安全港- hic和dash -通常依赖于研究人员自己定义队列，其中研究人员可以选择表型定义(例如，CALIBER表型或ICD编码)。队列识别有时是研究人员和Safe Haven团队之间的迭代过程，其中应用了数据约束，观察对队列大小的影响，并调整约束以优化队列。gydF4y2Ba

在国家一级，小灵通编制了国家数据目录[gydF4y2Ba49gydF4y2Ba]作为苏格兰卫生和社会保健数据集的单一确定信息资源，以协助队列发现。gydF4y2Ba

元数据提供与安全港数据集关联的语义。从区域安全港获得的元数据和数据来源的可见性有限。大多数“安全港”都在网上列出其易于访问的数据库名称[gydF4y2Ba24gydF4y2Ba，gydF4y2Ba26gydF4y2Ba，gydF4y2Ba28gydF4y2Ba-gydF4y2Ba30.gydF4y2Ba，gydF4y2Ba49gydF4y2Ba，gydF4y2Ba50gydF4y2Ba]并为研究人员提供最常访问的数据集的简要概述。HIC和eDRIS都将其元数据和数据集添加到健康数据研究创新网关[gydF4y2Ba51gydF4y2Ba］．在苏格兰的整个医疗保健系统中，电子病历数据存储没有共同的结构。由于只有有限数量的数据科学家和分析师有处理NHS数据的经验，缺乏元数据和数据来源的可见性可能会导致数据科学家和分析师对可用数据的理解存在差距。一些Safe Havens只会在对项目需求有初步了解之后才会发布详细的元数据。有多个计划，都是内部的[gydF4y2Ba7gydF4y2Ba，gydF4y2Ba52gydF4y2Ba]和外部[gydF4y2Ba8gydF4y2Ba，gydF4y2Ba51gydF4y2Ba]，旨在提高苏格兰安全港网络内元数据的可见性。gydF4y2Ba

研究项目受益于熟悉NHS数据的临床调查人员或在项目团队中有过Safe Haven项目工作经验的数据科学家和分析师。这些人可以帮助确定哪些数据是可用的，并为参与项目的数据科学家和分析师提供建议和支持。大多数安全港项目通常需要一个合适的发起人，具有相关的专业知识，负责项目的启动和管理，并支持项目作为道德保障。gydF4y2Ba

一旦项目获得资助和批准，所有5个避风港都为研究项目提供实地一级的元数据，并提供数据摘要供分析。然而，可行性讨论一般会在gydF4y2Ba概念上的gydF4y2Ba的水平。例如，队列定义可能涉及空腹血糖限制。安全港团队将确认这样的约束是可能的，而不透露精确的字段。为了避免偏见，并让研究人员清楚地表达他们需要什么，什么是可用的，这gydF4y2Ba概念上的gydF4y2Ba-级别的可行性可能相当有限。对于所请求的数据提取也是如此(例如，提供BMI而不是身高和体重)。然而，数据提取和交付通常是在现场级，并提供现场级元数据以确保研究人员能够执行他们的分析。gydF4y2Ba

表1gydF4y2Ba显示eDRIS在其网站元数据中提供元数据细节(类似于Cribsheet [gydF4y2Ba53gydF4y2Ba)，研究人员可以使用它来定义他们在申请数据访问时所需的字段。使用区域安全港的研究人员还可以将此元数据信息用于区域安全港为其区域子集持有的国家标准化数据集(例如，SMR数据)。没有一个安全港提供非基于字段的元数据，比如通过本体。gydF4y2Ba

在交付项目数据时，eDRIS Safe Haven不向用户提供定制的元数据。DaSH和HIC Safe Havens有一个标准的工作流和交付格式，用于向每个项目提供特定于项目的元数据。在Glasgow和Lothian或Dataloch安全港中，为项目提供了所有可用的元数据和来源信息。没有使用标准格式，因此，包含的信息因项目而异。gydF4y2Ba

Safe Havens有不同的方法在其数据存储库中存储关于数据集的元数据。对于eDRIS, PHS更新和维护国家数据目录，其中包含国家数据集的所有元数据。HIC Safe Haven使用内部开源软件工具，称为研究数据管理平台(RDMP) [gydF4y2Ba19gydF4y2Ba]，以便将数据导入服务器。RDMP为导入的数据集生成格式一致的元数据。Lothian或DataLoch安全港提供gydF4y2Ba数据字典gydF4y2Ba，其中包括关系数据库管理系统(RDBMS)中所有数据集的元数据。格拉斯哥安全港和DaSH安全港有内部文档空间，用于托管各种数据源提供的元数据和来源，由工作人员手动输入和更新。苏格兰安全港网络缺乏标准程序，导致不同数据集的可用元数据各不相同。经过高度处理的数据集(经过提取、转换和加载(ETL)过程)具有附加的字段参数和规则。这些数据集具有丰富的元数据。然而，大多数临床数据本质上是质量不稳定的，覆盖面较差，字段不一致和缺失。数据集元数据通常不会通知用户原始数据中的数据可变性或质量问题。gydF4y2Ba

数据链接gydF4y2Ba

概述gydF4y2Ba

为了回答许多研究问题，需要数据链接来丰富关于已定义队列的信息。一些安全港项目涉及将NHS数据与非NHS数据连接起来。gydF4y2Ba图3gydF4y2Ba说明了苏格兰安全港网络的索引和链接服务。gydF4y2Ba

根据数据联动的指导原则[gydF4y2Ba21gydF4y2Ba，索引器的定义如下:gydF4y2Ba

从一个或多个数据控制者接收个人数据并确定每个数据集中哪些记录与同一个人(或实体)相关的个人(或团体)。索引器为每个个体(或实体)创建一个唯一的引用，并创建一个相应的键，以允许连接来自不同数据源的数据。gydF4y2Ba

因此，索引服务[gydF4y2Ba21gydF4y2Ba]返回每个人的唯一标识符，给定一个识别信息的输入数据集(如姓名、地址、出生日期和其他操作标识符，如CHI编号)。与多个数据集关联的标识符之间的关系由索引服务维护。索引服务不具有与任何个人有关的描述性数据(也称为有效载荷数据，例如，个人的住院信息)的可见性。gydF4y2Ba

链接器或链接服务定义如下:“从数据控制器接收数据集并使用索引器创建的键将它们链接在一起的个人(或主体)”[gydF4y2Ba21gydF4y2Ba］．gydF4y2Ba

通过这种方式，只有来自索引器服务的输出标识符被暴露给链接器;只有链接服务和研究人员才能看到链接数据[gydF4y2Ba20.gydF4y2Ba］．gydF4y2Ba

在苏格兰，国家医疗服务体系维持CHI。这是一个患者标识符，它连接了一个唯一的数字、患者的出生日期和他们的性别。在苏格兰出生或第一次与NHS接触时分配CHI号码[gydF4y2Ba37gydF4y2Ba］．将健康数据与两个数据集都包含CHI编号的其他数据链接起来非常简单。所有4个区域安全港在使用任一软件工具准备数据放置在分析平台时都会这样做(例如HIC使用RDMP [gydF4y2Ba19gydF4y2Ba)或RDBMS用户界面。gydF4y2Ba

国家安全港eDRIS建立了数据索引和连接程序[gydF4y2Ba31gydF4y2Ba］．输入标识符是个人标识符，输出标识符是匿名ID。eDRIS仅从具有匿名id的提供者接收数据，并充当链接器，将集成的数据放置到安全的环境中。gydF4y2Ba

‎gydF4y2Ba 查看此图gydF4y2Ba

气播种gydF4y2Ba

当链接到没有CHI编号但具有其他标识符的源数据集时，索引团队将使用gydF4y2Ba概率性匹配gydF4y2Ba对着人口的脊梁。与CHI相关的是，人口脊柱[gydF4y2Ba31gydF4y2Ba]包含苏格兰所有与苏格兰国民医疗服务体系有联系的个人的个人标识符。将源数据集与种群脊柱相匹配的过程称为gydF4y2Ba气播种gydF4y2Ba．最近在区域社会护理系统中植入CHI就是一个例子。在引入CHI索引之前，CHI播种对电子病历的历史数据分析也很重要。在苏格兰，有两个团队使用概率匹配提供国家级的CHI播种:NRS索引团队和小灵通CHI链接团队(CHILI)。当一个研究项目只需要NHS数据时，索引将由CHILI进行。gydF4y2Ba

eDRIS和洛锡安安全港都依赖于NRS或CHILI进行CHI播种。DaSH Safe Haven通过NRS Scotland的索引团队提供CHI种子;只有当他们有特定的个人标识符时，比如病人的名字，他们才会自己做，而且数据集只包括一小部分格兰比亚当地的病人记录(大约500人)。格拉斯哥和HIC安全港有一个更成熟的概率匹配程序开发和通常执行CHI播种自己。HIC已与地方当局合作，将他们的非健康数据植入CHI种子，以便能够将其与健康数据联系起来。gydF4y2Ba

数据DeidentificationgydF4y2Ba

在安全港将数据提供给研究人员访问的分析平台之前，进行身份去识别。去识别将数据集中可以识别个体的信息替换为该个体的研究标识符(ID)，这是特定于该研究的，或稀释标识符以去除其个体性质。在链接的、未识别的数据集中，各个数据源的研究ID是相同的，使研究人员能够链接这些数据源，并了解哪些数据对应于该研究中的同一个人，但不知道他们的身份。这也意味着未识别的id对于该项目是唯一的，因此，同一个人在不同的项目中将拥有不同的id。gydF4y2Ba

一般来说，安全港对可识别的数据字段应用一致的规则。可以根据定制的项目需求、治理批准和各种数据集定制去识别规则。标识符的处理取决于项目遵循数据最小化原则的具体理由[gydF4y2Ba21gydF4y2Ba］．例如，可以将出生日期处理为该月的第一天，或者将其替换为gydF4y2Ba年龄gydF4y2Ba，如果认为分析不需要，可以将其删除。邮政编码可替换为贫困分数或苏格兰多重贫困等级指数[gydF4y2Ba54gydF4y2Ba]，也可以从数据中删除。对于包括个人体重和身高在内的生物特征数据，Safe Havens通常会将这些值划分为一个范围。每个安全港遵循标准的操作程序，以重现性，一致性和减少错误。根据欧盟《一般数据保护条例》的规定，苏格兰安全港是数据控制者，并对其本地数据单独负责。苏格兰安全港已获苏格兰政府和国际标准化组织27001认证[gydF4y2Ba55gydF4y2Ba，gydF4y2Ba56gydF4y2Ba]的共同资讯保安标准。苏格兰安全港网络尚未采用跨网络风险再识别指标[gydF4y2Ba57gydF4y2Ba-gydF4y2Ba59gydF4y2Ba］．的gydF4y2Ba五个保险箱gydF4y2Ba原则(gydF4y2Ba14gydF4y2Ba安全的人，安全的项目，安全的设置，安全的数据，安全的输出，确保再识别的风险非常低。gydF4y2Ba

所有“安全港”组织都表示，识别临床报告和其他包含免费文本的文件很有挑战性，这些文件通常包含电话号码和姓名等个人标识符。当他们不确定某个领域可以安全发布时，安全港经常会将整个领域排除在研究摘录之外。数字诊断人工智能研究工业中心[gydF4y2Ba7gydF4y2Ba)使用gydF4y2Ba隐藏在显而易见的地方gydF4y2Ba图像上可识别数据的技术。eDRIS开发了从处方信息系统的剂量说明中删除个人识别信息的算法(这些算法还可以提取剂量单位和频率等结构化信息)。作为苏格兰医学影像服务的一部分[gydF4y2Ba60gydF4y2Ba]和图片[gydF4y2Ba61gydF4y2Ba]的研究工作正在进行中，从放射科医生根据他们的发现撰写的文本中去识别和创建元数据。它使用自然语言处理和CogStack框架[gydF4y2Ba62gydF4y2Ba］．gydF4y2Ba

分析平台中的数据格式gydF4y2Ba

一般来说，避风港对提供给研究人员的源数据很少进行更改，这些更改仅限于去识别过程。例如，没有试图通过诊断代码或药物代码的转换来协调数据，在纵向数据中发生了重大的版本控制。然而，一些安全港确实将派生数据添加到数据集。例如，在HIC中，这些数据派生和转换既可以应用于安全港内，也可以应用于提取未识别的研究数据集。这是使用RDMP完成的，RDMP是一种开放源代码的解决方案，允许自定义编码，或研究人员创建的统计包代码以可重复和可重复的方式执行。当研究人员要求时，DaSH Safe Haven可提供Charlson共病指数[gydF4y2Ba63gydF4y2Ba]和Tonelli码[gydF4y2Ba64gydF4y2Ba]以及ICD代码。虽然在数据提取和交付给分析平台时不应用数据标准，但对国家捕获的数据集执行标准。小灵通的一个团队与卫生委员会和系统供应商合作，以确保标准的使用(例如，SMR数据必须以商定的方式结构化，并使用商定的内容编码系统)。gydF4y2Ba

Safe Havens尽最大努力满足项目的要求。然而，在大多数分析平台上可用的软件是有限的(微软Office软件包，SPSS (IBM Corp .) [gydF4y2Ba65gydF4y2Ba]， Stata (StataCorp) [gydF4y2Ba66gydF4y2Ba]， SAS (SAS Institute, Inc) [gydF4y2Ba67gydF4y2Ba]，及R (R统计计算基础)[gydF4y2Ba68gydF4y2Ba])，因此，输出数据格式也仅限于R、Excel、SPSS或Stata文件。唯一的例外是最近推出的HIC混合、基于云的可扩展分析平台。这也包括软件开发、机器学习和人工智能开发的能力，包括Python [gydF4y2Ba69gydF4y2Ba]、矩阵实验室[gydF4y2Ba70gydF4y2Ba]，以及Jupyter notebook中的一套工具(Sagemaker实例)[gydF4y2Ba71gydF4y2Ba，例如TensorFlow。环境也得到了增强，以支持多组数据[gydF4y2Ba72gydF4y2Ba]通过管道分析，使用Plink等工具[gydF4y2Ba73gydF4y2Ba]和Nexflow [gydF4y2Ba74gydF4y2Ba]通过Amazon Web Services Batch进行资源调度[gydF4y2Ba75gydF4y2Ba］．分析平台提供图形处理单元和高性能计算能力。gydF4y2Ba

对于较大的项目，如果行数太多，无法用其他格式进行管理，HIC Safe Haven会在分析平台的RDBMS中提供数据，供研究人员使用。gydF4y2Ba

研究人员依靠避风港来归档原始数据和从分析中获得的数据产品，因为他们不允许从分析平台导出任何数据。一个研究项目可以存档5到30年，这取决于法规和研究人员或资助者的要求。归档通常使用分析平台基础设施进行。存储和保护大量数据可能会有巨大的成本，苏格兰安全港正在联合制定一项长期档案政策。gydF4y2Ba

数据存储库基础设施gydF4y2Ba

安全港在NHS网络上有他们的源EHRs，这些EHRs被转移到服务网络(队列建设和链接发生在那里;gydF4y2Ba图1gydF4y2Ba)。他们在NHS基础设施上创建队列和相关数据，然后数据通过连接、去识别和传输到分析平台或供研究人员访问的安全港功能。eDRIS是个例外，它的一些数据集由EPCC在大学环境中安全管理。gydF4y2Ba

这些数据存储库的基础设施和ETL过程在不同的避风港(gydF4y2Ba图4gydF4y2Ba)．gydF4y2Ba

‎gydF4y2Ba 查看此图gydF4y2Ba

如gydF4y2Ba表1gydF4y2Ba， eDRIS可访问85个国家NHS数据集;这些由小灵通更新和维护。有些数据集eDRIS不能常规访问;然而，对于已知的队列，他们可以从PHS内的其他团队请求数据。PHS内的数据管理团队在ETL之后使用R或SPSS(在遗留数据的情况下)执行质量保证。除了向eDRIS提供数据外，PHS内的其他团队还使用这些数据运行数百份不同的报告和出版物。gydF4y2Ba

HIC的数据存储库基础设施和NHS Tayside或Fife数据都在同一个数据中心内。HIC运行邓迪大学拥有和管理的服务器连接到NHS泰赛德网络，并从NHS泰赛德临床系统和PHS接收定期的数据馈电(涵盖泰赛德和法夫地区内的研究数据和患者的同意队列)。RDMP工具从提要中获取数据，并执行ETL来清理和转换数据，然后将这些数据存储在结构化数据库中。gydF4y2Ba

格拉斯哥安全港的数据存储库反映了一些日常数据系统的数据，这些数据由格拉斯哥国民医疗服务体系的商业智能和信息学维护。对于自定义的NHS数据或为研究项目收集的数据(例如，一些SMR，处方信息系统，所有审计数据，设备数据和试验数据)，格拉斯哥安全港的工作人员将自己进行ETL。gydF4y2Ba

位于NHS Lothian信息技术基础设施上的Lothian或DataLoch数据存储库使用存储的Python或SQL从PHS加载数据更新，并通过NHS Lothian内的商业智能和信息学加载来自本地临床系统的数据副本的数据提要。gydF4y2Ba

NHS格兰扁区的健康情报团队每月更新DaSH安全港储存库。Lothian或DataLoch和DaSH Safe Haven都通过分离新旧数据来处理数据格式的变化。gydF4y2Ba

讨论gydF4y2Ba

主要研究结果gydF4y2Ba

概述gydF4y2Ba

苏格兰在实现电子病历重用方面有很多优势。有一个单一的NHS，患者被分配CHI号码，可以用来连接他们的整个病史。苏格兰安全港网络具有类似的架构，遵循苏格兰安全港宪章[gydF4y2Ba6gydF4y2Ba]，已获苏格兰政府和国际标准化组织27001认可[gydF4y2Ba55gydF4y2Ba，gydF4y2Ba56gydF4y2Ba]，是通用的资讯保安标准。每个区域“安全港”都有来自当地卫生委员会的丰富而深入的数据源，而全国“安全港”具有广泛的全人口观点，并与其他卫生和社会保健数据源密切联系。gydF4y2Ba

所有的安全港利用两个网络:(1)在大学管理网络内建立的分析平台和(2)主要在NHS网络上建立的数据存储库。源数据存储库、连接基础设施和分析平台的现有操作分离为增加跨国家和多个安全港项目的协作工作提供了坚实的基础。gydF4y2Ba

有一些障碍，如强调在gydF4y2Ba苏格兰避风港gydF4y2Ba部分，使多个safe Haven项目尽可能简化。以协调的方式解决这些问题将为在苏格兰建立一个安全港联邦系统铺平道路。这些改进的机会将在以下部分中描述。gydF4y2Ba

数据的可见性gydF4y2Ba

苏格兰数据的深度，由区域安全港托管(描述在gydF4y2Ba苏格兰NHS数据来源gydF4y2Ba节)，并没有被更广泛的社区广泛使用。这些数据集对每个区域的安全港来说都是独一无二的，很难达到一致的国家水平。与研究人员进行可行性互动，生成汇总数字，确定项目范围，并为工作提供报价，这些都是资源密集型的。许多对区域安全港的数据请求来自熟悉每个安全港使用的特定数据结构和术语的频繁用户。通过使区域数据更加可见和可访问，研究人员将能够更好地使用来自多个安全港的数据来运行项目。gydF4y2Ba

数据标准和通用数据模型gydF4y2Ba

如gydF4y2Ba表1gydF4y2Ba在美国，安全港接受使用任意数量标准的数据。由于处理效率的提高，可以有效地提高gydF4y2Ba创造与毁灭gydF4y2Ba安全港宪章规定的模型，以及研究人员通常更喜欢原始数据的事实，很少有人试图协调提取的数据，以便放置在分析平台上。如果观察性医疗结果伙伴关系等常见数据模型[gydF4y2Ba76gydF4y2Ba和i2b2星型模式[gydF4y2Ba77gydF4y2Ba]用于数据存储库或分析平台，那么多个“安全港”项目的负担就会减轻，对数据的操作访问也会更快、更可预测。gydF4y2Ba

治理gydF4y2Ba

在“安全港”网络中，对关联数据的访问是分散的，研究人员和医疗保健提供者必须与“安全港”合作，以获得当地、地区或国家数据控制者的批准。一般来说，数据治理在本地级别要容易得多。在苏格兰国家一级，通常需要向卫生和社会护理公共利益和隐私小组以及统计公共利益和隐私小组提交申请表。这是一个复杂的过程，可能需要大量的时间来审查和批准。gydF4y2Ba

凭借在支援需要不同本地和区域数据集的项目中所获得的经验和知识[gydF4y2Ba78gydF4y2Ba，gydF4y2Ba79gydF4y2Ba]，以及构建联邦网络的能力，我们建议在未来的研究中解决网络的以下方面:gydF4y2Ba

• 建立一种编目和管理元数据的共享方法将促进数据发现和研究的可行性。gydF4y2Ba
• 为了促进跨Safe Haven数据治理，Safe Haven应用程序接口规范的标准化将使研究人员更容易跨Safe Haven访问。gydF4y2Ba
• 在苏格兰，通过卫生和社会保健伙伴关系以及相关立法，明确将保健服务移交给地方机构。随着职能移交给各个卫生委员会，将区域现有数据联系起来将需要各组织加强合作并适当分享利益。gydF4y2Ba

结论gydF4y2Ba

苏格兰的安全港网络在过去5年里支持了1000多个项目，支撑了世界级的研究成果。它不仅为苏格兰带来了资助研究、就业机会和资金，而且还促进了与巴西和印度等许多国家的国际卫生研究。gydF4y2Ba

本文报告了对4个区域安全港和国家安全港的行动评估。我们比较了一组与苏格兰电子病历组成部分的数据相关的功能和服务。我们从以下几个方面描述了苏格兰安全港数据服务和功能的运行及其技术实现:(1)数据治理和工作流，(2)数据发现和元数据，(3)数据链接，(4)数据去识别，(5)分析平台，(6)数据存储库基础设施。所获得的结果应有助于苏格兰安全港将行动扩大到更大的群体和更多样化的数据，缩短时间，并更具成本效益地运作。更重要的是，这项工作确定了每个苏格兰安全港为建设国家联邦数据共享平台做出贡献所需的责任和工作。虽然这篇论文的重点是苏格兰各地的经验，但研究结果将对国家或国际感兴趣，以了解在临床和其他类型的研究中重复使用EHR数据所存在的挑战。gydF4y2Ba