电子健康记录：原则、应用与伦理

玻尔百科

核心要点

电子健康记录（EHR）提供了患者健康的纵向、整体视图，这与以机构为中心的电子病历（EMR）不同。
将EHR数据用于研究的次级用途功能强大，但必须考虑到固有的偏倚，如选择偏倚、信息性删失和数据集偏移。
可计算表型和目标试验模拟等方法利用EHR数据来加速临床试验的招募并生成真实世界的证据。
使用EHR的主动监测系统比传统的被动报告能更有效地进行药物安全（药物警戒）和传染病监测。
EHR数据的巨大力量要求建立一个以隐私、同意和信任为中心的强大伦理框架，以防止伤害并维护公众信心。

引言

电子健康记录（Electronic Health Record, EHR）的演进已远不止是纸质图表的简单数字化替代品。它代表了我们捕获、管理和利用健康信息方式的根本性转变，不仅有望改善个体患者的护理，还有望从数百万人的集体经验中解锁前所未有的洞见。然而，要实现这一潜力，需要应对一个极其复杂的局面，从数据互操作性的技术细微差别到临床数据中嵌入的微妙偏倚。本文旨在为这一旅程提供指引。第一章“原则与机制”将解构EHR，探讨其核心组成部分、健康数据的性质以及确保数据质量、隐私和安全的挑战。随后的“应用与跨学科联系”将揭示这些数据非凡的“第二生命”，展示它如何革新临床研究、公共卫生监测和生物医学发现，同时也提出了我们必须解决的关键伦理问题。

原则与机制

要真正理解电子健康记录，我们不能将其视为一份静态的数字文档，而应看作一个生机勃勃的生态系统。它是一个由人、流程和技术组成的系统，旨在捕获、管理和使用信息。与任何生态系统一样，它有其自身的内部逻辑、自身的节奏，以及自身美丽而时而令人沮SEE的复杂性。我们探寻其原则的旅程将是一个层层剥茧的过程，从最基本的定义开始，深入到我们试图利用这些信息进行治疗和学习时出现的深层挑战。

个人的记录，群体的系统

让我们从一个简单的问题开始：患者在本地医生办公室的病历与他们一生的综合健康记录之间有什么区别？答案揭示了三个关键概念之间的根本区别：电子病历（Electronic Medical Record, EMR）、电子健康记录（Electronic Health Record, EHR）和个人健康记录（Personal Health Record, PHR）。

想象一下，你的健康信息是一个故事。电子病历（EMR）就像这个故事中的一个章节，由一位作者——比如你的主治医生或某家特定医院——撰写和持有。它是旧式纸质病历的数字版本。它包含了你在该单一组织内就诊的记录、检测结果和诊断。它为该诊所的内部工作流程进行了优化，帮助他们进行文档记录、下达医嘱和管理结果。它的边界就是该机构的围墙。

而电子健康记录（EHR）则是完整的传记。它的目标是收集你健康故事的所有章节，这些章节由参与你护理的所有不同作者——你的家庭医生、急诊室医生、专科医生、实验室、药房——撰写，并将它们汇编成一个单一、连贯、纵向的叙述，伴随你穿越时间和跨越不同的医疗环境。为了实现这一点，EHR必须建立在互操作性的原则之上：即不同系统能够使用同一种语言进行交流。仅仅交换数据是不够的；系统必须能够一致地解释数据并安全地使用它。这就是EHR中“H”的含义——一个关于你“健康”（Health）的整体视图，而不仅仅是在某个地点的“医疗”（Medical）事件。

最后，个人健康记录（PHR）是你的自传。它是你健康故事中由你整理和控制的部分。它可能通过患者门户网站连接到你医生的EHR，也可能是一个独立的应用程序，你在其中追踪自己的健康数据。其决定性特征是患者控制权。

这种区分并非仅仅是语义上的。从EMR到EHR的转变代表了理念上的根本转变：从为机构设计的记录转变为为患者设计的记录，这种记录能够在一个碎片化的医疗体系中实现护理的连续性，并解锁从整个人群数据中学习的潜力。

健康数据的剖析

如果说EHR是一部传记，那么它是由多种不同的“方言”写成的。并非所有的健康数据都是生而平等的；不同的数据流具有不同的特性，以适应其各自的目的。我们可以从三个关键维度来区分它们：数据粒度（细节的层次）、时效性（报告的速度）和主要目的。

考虑来自更广泛的健康信息系统（Health Information System, HIS）的三个例子，EHR是其中的一部分：

EHR数据： 这是最详细的数据，具有高粒度。它以近乎实时（ $\Delta t \approx 0$ ）的方式捕获丰富的、患者级别的临床信息——你的生命体征、医生的笔记、药物的具体剂量。其主要目的是在床边或诊室支持即时的、个体的临床护理。它就像你临床就诊过程的高清、逐帧视频。
疾病监测数据： 当公共卫生机构追踪疫情时，他们不需要你完整的人生故事。他们需要一个标准化的、最小化的数据集——你的症状、你的位置、你是否曾暴露——并且他们需要快速得到它。这些数据仍然是基于病例的，但粒度比完整的EHR要低。时效性至关重要，报告延迟 $\Delta t$ 以小时或天为单位。其目的是快速检测和应对公共卫生威胁。它是卫生系统的突发新闻警报。
常规健康信息： 卫生部为了规划目的，需要知道上个月某个地区有多少儿童接种了疫苗。这些信息的粒度非常低；它是一个汇总计数。它的时效性很慢，通常有 $\Delta t \approx 30$ 天的延迟。其目的不是个体护理或应急响应，而是项目管理、资源分配和绩效监控。它是卫生系统的月度财务报告。

理解这个分类体系揭示了，EHR尽管功能强大，但它只是更庞大的健康信息交响乐中的一件乐器。

运动中的信息：护理的闭环

存放在数据库中的数据是惰性的。只有当它在人与系统之间流动以辅助决策时，其价值才能实现。EHR是这种信息流的循环系统，在药物管理方面这一点尤为关键。

医疗保健中一个典型而危险的失误是，医生认为患者正在服用的药物清单与患者实际正在服用的药物不匹配。旨在防止这种情况发生的过程称为用药核对，它完美地阐释了EHR的一个核心原则：闭环管理（closed-loop management）。

把它想象成空中交通管制。管制塔仅仅发出一个指令是不够的。飞行员必须复述指令以确认已正确听到，并且管制塔的雷达必须随后确认飞机确实改变了航向。任何疏漏都是不可想象的。药物管理也必须如此。

一个安全的用药核对过程是一个结构化的“比较-验证-解决”循环，它将药物清单视为一个有状态的对象，从就诊前状态 $S_{t_0}$ 转变为经过验证的就诊后状态 $S_{t_1}$ 。这需要一系列的信息流，每一个都是这个闭环中不可或缺的部分：

患者到EHR： 患者报告他们实际正在服用的药物，包括非处方药和补充剂——这些信息在别处无从获取。
处方医生到药房： 医生开具新的、修改的，以及——至关重要的——停用的医嘱，并附带明确的“取消”信息。我们不能简单地从没有续开处方就推断药物已停止。
药房到EHR： 药房发回确认信息：药物是否已配发？是否有替代？这关闭了循环，确认了操作已执行。
EHR到患者： 最终核对好的清单交还给患者。

这个过程取决于在三个维度上实现高数据质量：准确性（清单是否正确？）、完整性（是否包含所有内容？）和时效性（它在当下是否是最新？）。它还要求严格的溯源性（provenance）：对清单的每一次更改都必须能够追溯到特定的来源、时间和背景。

同时，信息必须流动以确保安全，但它也必须受到保护。最小权限原则是信息安全的基石，也是像HIPAA这样的隐私法规的要求，它规定用户只应有权访问执行其任务所严格必需的数据对象。当一位住院医生开具药物时，他们需要看到患者的过敏史（ $d_A$ ）、肾功能（例如， $d_R$ ）和潜在的药物相互作用（例如， $d_I$ ）。然而，他们并不需要看到患者完整的精神病史。设计一个安全的EHR需要在两者之间进行精巧的平衡：创建足够宽的信息通道以保障安全高效的护理，但又要足够窄以保护患者隐私。

数据的第二生命：希望与风险

EHR的真正革命不仅在于改善单个患者的护理，更在于创造一种资源，以便从数百万人的经验中学习。这就是数据的“第二生命”，它被汇总和分析用于比较效果研究（CER）、公共卫生监测和质量改进。这个信息池通常被称为真实世界数据（RWD）。

然而，将RWD用于研究并不像点击“导出”那么简单。EHR数据并非为研究而生；它是一个混乱、复杂的临床过程的副产品。这带来了挑战。例如，在一项研究中，必须选择一个数据源，而每种数据源都有其利弊权衡：

EHR提供了令人难以置信的临床丰富性——实验室结果、生命体征、医生笔记。但它们往往是碎片化的。来自一家医院的EHR是“不完整”的，因为它遗漏了患者在城里另一家医院接受的护理。
保险理赔数据在提供患者跨越不同提供者的完整纵向就诊图景方面要好得多，只要他们使用同一家保险公司。但理赔数据缺乏临床细节；它告诉你一项实验室检查做了，但没有结果。
疾病登记库是为特定疾病的研究而专门建立的。对于它们追踪的变量，可以有非常高质量、一致的数据。但它们通常从特定的学术中心招募患者，这造成了潜在的选择偏倚，限制了研究结果在普通人群中的普适性。

为了克服EHR的碎片化问题，研究人员开发了一种巧妙的解决方案：通用数据模型（CDM）。CDM就像一个通用翻译器。各个医院无需尝试汇集所有原始、敏感的患者数据——这是一场后勤和隐私的噩梦——而是将自己的数据转换成标准化的格式和结构。然后，研究人员可以将一个分析程序发送到每家医院，让它在防火墙后本地运行，然后只接收汇总的、匿名的结果。这针对的是数据质量中的一致性维度，使我们能够从多个来源中学习，同时保护隐私。

机器中的幽灵：理解偏倚

当我们使用RWD进行研究或训练人工智能模型时，我们必须成为侦探。我们不仅要理解我们能看到的数据，还要理解塑造这些数据的无形过程——即“机器中的幽灵”。我们拥有的数据并非现实的完美镜像；它是一个有偏倚且经过筛选的样本。这由数据生成过程（DGP）来描述。只有当选择过程 $S_s$ 被触发时，我们才能观察到个体的 $O_s$ 数据。

选择偏倚（Selection Bias）： EHR数据中最根本的偏倚是求医行为。记录只包含那些寻求过医疗服务的人的信息。年轻健康的人，或者那些在获取医疗服务方面存在障碍的人，被系统性地低估了。当我们从其他来源（如消费者可穿戴设备或社交媒体）添加数据时，我们又引入了其他偏倚。可穿戴设备用户往往更富有、更健康（“健康志愿者”偏倚），而社交媒体用户并非人口的随机样本。
信息性删失（Informative Censoring）： 这是一种更微妙但影响深远的偏倚。在一项研究中，一些患者被“删失”，意味着我们在研究结束前失去了他们的随访信息。标准的统计方法可以处理这种情况，但前提是删失是无信息的——也就是说，失访的原因与所研究的结局无关（形式上，事件时间 $T$ 与删失时间 $C$ 在给定测量因素 $X$ 的条件下是独立的，即 $T \perp C \mid X$ ）。但在现实世界中，删失通常是信息性的。患者的健康状况可能会恶化，导致他们搬到离专科医院更近的地方。这种迁移导致他们从原医院的EHR中被“删失”。但是，删失的原因（健康状况恶化）与他们发生不良结局的风险直接相关。如果我们不考虑这一点，我们实际上是在分析中有选择地移除了病情最重的患者，这可能使一种治疗看起来比实际更有效。
数据集偏移（Dataset Shift）： 世界不是静止的。一个用2022年数据训练的预测模型可能在2023年的数据上表现不佳。这被称为数据集偏移。它有几种类型。当患者群体发生变化时（ $P(X)$ 改变），会发生协变量偏移。当疾病的总体患病率发生变化时（ $P(Y)$ 改变），会发生先验偏移。最具挑战性的是概念偏移，即预测变量与结局之间的基本关系发生变化（ $P(Y|X)$ 改变），这可能是因为一种新的治疗方法已成为标准疗法。

驯服猛兽：动态世界中的治理

鉴于这些巨大的复杂性，我们如何才能安全地部署基于RWD训练的人工智能驱动的临床决策支持（CDS）工具？一个预测患者再入院风险的模型是一个关乎安全的设备。它不能被部署后就置之不理。答案在于稳健、持续的模型治理。

一个健全的治理计划就像航天飞行的任务控制中心。它包括：

多指标监控： 仅仅监控模型的整体准确性或区分度（例如，AUROC）是不够的。必须持续追踪其校准度（其预测的概率是否正确？）及其在不同子群体（例如，按种族、性别、年龄）中的表现，以确保它不会变得不公平。
源感知监控： 系统必须监控其输入数据流的健康状况。它应能检测出医院是否更改了其实验室单位，理赔数据的延迟时间是否增加，或者某个登记库是否更改了其纳入标准。这有助于诊断模型可能失效的原因。
统计上合理的触发器： 重新训练不应是自动的。它应该由统计上显著且具有实际意义的性能下降来触发，使用预先设定的阈值。
优雅降级和回滚： 最重要的是，必须有一个预先制定的计划，以应对模型性能变得不可接受时的情况。这可能包括优雅降级（例如，切换到不依赖于延迟数据源的更简单版本的模型）或完全回滚到先前验证过的版本，所有这些都应伴随着对临床医生的明确沟通。

从简单的数字图表到由安全和统计原则治理的学习型健康系统的旅程是漫长而复杂的。但是，通过理解这些核心原则和机制，我们可以开始领会到手中掌握着一个人的故事所带来的巨大力量和重大责任。

应用与跨学科联系

在我们之前的讨论中，我们剖析了电子健康记录（EHR）的结构，将其理解为患者在医疗保健系统中旅程的数字编年史。我们视其为诊断、药物、实验室结果和临床记录的结构化集合。但这些数据的生命并未随着个体患者的护理而终结。其真正的力量，其隐藏的美，只有当它汇入数百万其他记录的巨大合唱中时才得以显现。在本章中，我们将探索EHR数据非凡的第二生命——一段从私人记录到集体智慧源泉的旅程，它正在重塑临床研究、公共卫生以及我们对疾病的基本理解。

锐化临床研究的镜头

随机对照试验（RCT）是临床证据的黄金标准，它是一个用以分离治疗效果的优美而简单的理念。但进行一项RCT是一项艰巨的任务，通常耗时且成本惊人。一个重大的障碍仅仅是找到合适的患者参与。想象一下，一项针对新糖尿病药物的试验，要求患者在过去一年内有特定诊断，血糖水平达到某一数值，并且没有肾病史。在过去，这意味着临床医生要手动筛选堆积如山的纸质病历，这个过程类似于在一个没有卡片目录的图书馆里寻找几本特定的书。

今天，EHR提供了那个目录。通过将复杂的临床入选标准转化为正式的、结构化的查询——这个过程被称为创建可计算表型——研究人员可以在几分钟内扫描数百万份记录，以确定一个潜在合格的患者池。这个查询不是简单的关键词搜索；它是一个精确的逻辑陈述，结合了诊断（如SNOMED CT）、实验室检查（LOINC）和药物（RxNorm）的标准化代码以及时间限制。其结果是一个以数学精度向数据库提出的查询：“请告诉我这家医院所有18岁以上，在过去12个月内有2型糖尿病诊断记录，过去6个月内糖化血红蛋白（HbA1c）结果大于 $8\%$ ，并且任何时候都没有终末期肾病诊断的独立患者数量。”。这种能力极大地加速了临床试验的可行性评估和招募，让科学能够更快地前进。

但是，如果一项完整的随机试验不可行，比如因为罕见病或伦理原因，该怎么办？在这里，EHR提供了一个更大胆的可能性：从真实世界数据中构建一个虚拟的“对照组”。对于一种在单臂试验（所有人都接受治疗）中测试的新癌症疗法，我们如何知道观察到的生存率是否比使用旧的标准疗法所发生的情况更好？答案在于一种巧妙而严谨的方法论，称为目标试验模拟。我们使用EHR来寻找一个过去本可以有资格参加该试验（相同疾病、相同分期、相同突变状态如BRCA1/2）但由于历史或其他原因接受了标准疗法的患者队列。

这并非简单的比较。在现实世界中接受新疗法的患者并非随机选择的。临床医生可能将其给予了更年轻、更健康的患者——一种被称为“适应症混杂”的偏倚。为了解决这个问题，我们使用像倾向性评分这样的统计工具。倾向性评分是指一个患者，在给定其特定特征（年龄、合并症、实验室值）的情况下，本会接受新治疗的概率。通过匹配具有相似倾向性评分的患者，或使用一种称为逆概率治疗加权的技术，我们可以创建一个“伪人群”，其中治疗组和对照组的特征是平衡的，就像在真正的随机试验中一样。当然，这种魔法并非完美。它只能解释我们能在EHR中测量的因素；“未测量混杂”的幽灵总是若隐若现。尽管如此，这种在之前没有对照的情况下建立一个合理比较对象的能力是一次意义深远的飞跃，使我们能够以前所未有的严谨性从观察性数据中获得因果洞见。

数字瞭望塔：保护公众健康

除了优化个别研究，EHR还为监测整个人群的健康状况创建了一座数字瞭望塔。这一点在药物安全领域，即药物警戒，表现得尤为明显。

历史上，监管机构通过一个缓慢、被动的过程来了解药物的危险副作用。一位眼光敏锐的临床医生可能会注意到一种奇怪的模式——几名使用新药的患者出现了某种罕见病症——并自愿向FDA的MedWatch项目等机构提交一份自发报告。这个系统对于检测新颖、意外的危害至关重要，但它饱受偏倚的困扰。首先，它依赖于有人注意到并花时间去报告。此外，报告可能受到公众宣传的影响。如果一则新闻报道引发了对某种药物与心脏病发作关联的担忧，医生们可能会变得更倾向于报告服用该药物的患者发生的心脏病发作。这种“恶名效应”可能引发报告风暴，使得该药物看起来比实际危险得多，因为是报告概率发生了变化，而不是潜在的风险。

主动监测系统，如FDA的Sentinel计划，代表了一种范式转变。通过连接数千万人的EHR和理赔数据，这些系统可以主动寻找关联，而不是被动等待。研究人员可以定义一个新使用某种药物的队列，定义一个比较组（比如，新使用一种较老的、类似药物的队列），并系统地追踪两组中不良事件的发生率。这提供了一个稳定的分母和一致的计数方法，从而可以计算出风险比，而这种风险比不易受到自发报告偏倚的影响。

然而，没有单一的数据源是万能药。每种数据源都有其优缺点。行政理赔数据在追踪处方是否被配药方面非常出色（完整性），但通常有30-90天的延迟（时效性），并且缺乏确认诊断所需的临床细节（有效性）。EHR提供极佳的时效性和丰富的临床细节，但通常只记录处方是否被开具，而不是是否被配取。疾病登记库，通过 painstakingly 收集和裁定每一个病例，提供最高的有效性，但速度慢且覆盖人群较小。现代药物流行病学的艺术在于智能地选择和组合这些不同的数据源，以获得关于药物安全最准确、最及时的图景。

这种“瞭望塔”概念自然地延伸到传染病暴发。我们在新闻上看到的流行曲线并非现实的直接照片；它们是通过我们监测系统镜头看到的扭曲反映。任何一天实验室确诊的病例数不仅取决于真实的新感染人数 $I(t)$ ，还取决于一系列人类行为和系统限制：生病者中决定寻求医疗服务的比例 $q(t)$ ，以及其中实际接受检测的比例 $r(t)$ 。如果公众意识激增或检测能力突然扩大，这些比例可能会急剧变化，导致观测曲线出现与疫情真实轨迹无关的急剧跳跃或下降。不同的数据流——实验室报告、EHR诊断代码、来自急诊室的症状监测数据——都以不同的方式被扭曲，各自讲述着故事的一部分。理解这些数据生成过程是正确解释监测数据并做出合理公共卫生决策的关键第一步。

从数据到发现：更广泛的科学T生态系统

EHR数据的影响力超越了流行病学和临床研究的传统界限，融入了生物医学发现的肌理之中。考虑药物重定位的挑战——为现有药物寻找新的治疗用途。这是一个有吸引力的策略，因为已获批的药物已经清除了安全性测试的主要障碍。

这种搜寻越来越依赖于连接庞大而多样的生物学数据库中的信息。我们生活在一个多模态数据的世界：我们有化学结构数据库（如DrugBank）、数千种药物如何改变细胞基因表达的文库（LINCS）、生物通路百科全书（Reactome）、遗传病目录（OMIM），以及至关重要的，真实世界临床数据存储库（EHR，如MIMIC-III数据库）。一位计算生物学家可能会注意到，药物A，根据其基因表达“特征”，似乎能够逆转疾病X的特征。这产生了一个假设。EHR随后成为最终的试验场。研究人员可以挖掘EHR数据，看看患有疾病X的患者，如果碰巧因为其他原因服用了药物A，他们的结局是否更好。EHR提供了从分子假设到人体层面证据的关键链接。

EHR对于研究罕见病也必不可少，因为为传统研究招募患者几乎是不可能的。为了找到患者，研究人员可以使用巧妙的算法扫描数百万份记录。然而，这引入了一个有趣的统计陷阱。想象你开发了一个算法来寻找一种患病率为 $0.1\%$ 的疾病。为了测试它，你使用一种称为“索引富集”的技术，创建一个验证集，其中大量过采样了可能的病例。在这个人为的高患病率样本中，你的算法可能会达到一个非常好的阳性预测值（PPV），比如说 $65\%$ 。但这种出色的表现是一种幻象。当你将相同的算法应用于普通人群时，同样的灵敏度和特异性将导致部署后的PPV急剧下降。由于健康个体的数量压倒性地多，PPV可能降至不到 $2\%$ 。这意味着你的算法每标记出100名患者，就有98个是假警报。这是贝叶斯定理带给我们的一个深刻而反直觉的教训：对于罕见事件，即使是高度准确的测试也可能具有令人失望的低PPV，这是设计筛查策略时的一个关键考虑因素。

伦理罗盘：信任的责任

伴随着这种观察、分析和预测的巨大力量而来的是同等巨大的责任。使用EHR数据迫使我们面对关于隐私、同意和公平的深刻伦理问题。科学不仅关乎我们能做什么，也关乎我们应该做什么。

考虑一项提议，将患者的EHR数据与他们“公开”的社交媒体帖子相关联，以预测用药依从性，而这一切都在他们不知情或未同意的情况下进行。可能会有这样的论点：帖子是公开的，数据将被“去识别化”。但这种推理是危险的简单化。首先，将一个公共角色与一个保密的医疗记录相关联的行为，粉碎了我们对情境隐私的合理期望。一个人在社交媒体上分享他们的生活，并不期望它会被医院的算法审视并与他们的健康状况相关联。

其次，“去识别化”往往是一种虚构。即使重新识别任何单个个体的概率很小，比如说 $p=0.01$ ，在大型数据集中，总风险也可能是巨大的。在一个 $100{,}000$ 名患者的队列中，我们预计会有 $100{,}000 \times 0.01 = 1000$ 人可被重新识别——这是一个重大的泄露。这导致了第三个也是最重要的危害：信任的侵蚀。患者与医疗保健系统之间的关系建立在信任的基础上。如果患者得知他们最敏感的数据被以他们从未预见或同意的方式使用，那种信任可能会被不可挽回地破坏。

《贝尔蒙报告》（Belmont Report）的伦理框架——尊重个人（要求同意）、有利（要求我们最小化伤害）和公正（要求公平分配负担和利益）——为我们提供了指引。一个机构审查委员会（IRB）必须权衡潜在的科学价值与这些风险。他们不仅要问一项研究在技术上是否可行，还要问它是否尊重那些数据使研究成为可能的个体的权利和福祉。数据驱动医学的未来不仅取决于我们算法的才华，更重要的是，取决于我们对伦理原则和维护公众信任的坚定承诺。我们正在编织的健康数字织锦是由个体生命的丝线制成的，我们必须以应有的谨慎来对待它。