医院医疗设备数据安全治理：基于扎根理论的数据生命周期与治理矩阵方案

摘要

本方案基于扎根理论，提出一个矩阵式工作流程，将数据生命周期的六个阶段与六个治理领域相对应，以审计和改进医院医疗设备的数据安全。该方案依据来自14家医院的证据、实物资料以及48次利益相关者访谈，生成热图和优先行动项，用于持续改进治理工作。

摘要

本文基于定性证据，描述了一种可复现的医院医疗设备数据安全治理方案。2024年8月至10月期间，我们对中国S市14家三级公立医院的48名利益相关者进行了半结构化访谈。采用扎根理论程序（Strauss与Corbin的开放性编码、主轴编码和选择性编码）对访谈转录文本进行分析，共获得360个参考点、149个初始概念、39个类别、27个主类别和7个核心类别。在中华人民共和国国家卫生健康委员会安全与质量管理议程的基础上，结合SQ（I SPORT）矩阵逻辑作为组织框架，我们基于扎根理论构建了医疗设备数据安全审计与追踪协议（M-ATSSPD）。该协议通过一个矩阵将数据生命周期的六个阶段（采集、传输、存储、共享、处理和处置）与六个治理领域（组织与人员、元数据、合规与政策、监控与审计、事件响应和技术工具）相对应。协议明确了评分基准（0–3分）、证据映射规则以及热图可视化方法，用于识别高风险单元格，优先采取纠正措施，并在无需依赖供应商的情况下支持持续改进。此外，该协议还定义了单元格层级的责任归属和文档要求，以加强跨部门协作、合规准备和事件应对能力，并为在其他公立医院环境中的推广应用提供指导。

引言

随着医院信息化的加速和智慧医疗的兴起，医疗设备日益实现网络化和互联互通，使得设备生成的数据成为临床决策和医院运营的核心资产¹。这些数据可能包括个人身份信息、设备运行日志以及诊断输出，如生理参数、影像对象和治疗记录，与患者隐私和医疗质量密切相关²。涉及此类数据的安全事件可能直接影响患者安全和对临床服务的信任³。

尽管关注度日益增加，但仍存在诸多挑战。在医疗物联网（IoMT）环境中，外部入侵和未经授权的内部信息泄露仍是主要的 breaches 模式⁴。当设备缺乏健全的验证机制时，数据完整性可能十分脆弱，记录易遭篡改，进而误导诊断与治疗⁵。不同厂商的异构生态系统以及不一致的安全标准，使设备与系统之间的安全数据交换变得复杂⁶。老旧设备通常在超出安全维护周期后继续运行，无法及时接收安全补丁⁷。人为因素，包括安全意识薄弱和操作失误，进一步加剧了组织的脆弱性⁸。默认凭据、未加密通信以及薄弱的访问控制扩大了攻击面⁹。医疗机构可能更重视功能而非安全性，且缺乏专门的安全治....

方案

1. 伦理审批和知情同意程序

1. 在招募前须获得机构审查委员会的批准。
2. 向每位参与者提供一份信息表，说明研究目的、录音程序、保密保护措施以及退出权利，并在进行任何访谈前获取书面知情同意。
3. 仅在获得明确许可后方可录音。
4. 对录音进行逐字转录，并通过删除姓名、电话号码和特定场所的身份标识信息对转录文本进行去标识化处理。
5. 将音频文件、转录文本和同意书存储在具有基于角色访问控制权限的受控访问存储库中。
6. 不得收集患者层面的临床数据，所有操作均须遵循《赫尔辛基宣言》的规定。

2. 准备工作 1 —— 范围、团队与证据材料

1. 通过列出所包含的设备类别、连接的系统以及参与的部门，明确评估范围。
2. 绘制设备与系统之间的数据流概览图，展示数据来源、传输链路、存储端点、处理节点、共享接口以及处置路径。
3. 组建一个跨职能团队，成员包括临床工程、信息技术或安全、合规或法律、采购或招标部门，以及具有代表性的临床科室。
4. 使用责任分配矩阵（RACI）明确职责分工，并记录每个治理领域和生命周期阶段的责任人。
5. 建立证据文件登记册，并定义所需的文件类型A至I：A类为政策文件和标准操作规程；B类为访问控制列表和角色定义；C....

结果

基于扎根理论，整合文献筛选结果与访谈语料库的证据，构建了影响医院医疗设备数据安全因素的模型。研究进行了三级编码（开放性编码、主轴编码和选择性编码），分析流程总结如下³⁰。

开放编码
源文本逐行进行分析，保留逐字措辞以确保意义和语境的完整性。将意义单元编码为子节点，并在定性分析环境中按层级归入父节点。跨访谈及筛选文献中语义相似的片段被整合，最终形成85个初始概念和15个初步类别（a1-a15），详见表1。在将访谈语料与中英文文献编码整合后，最终数据集包含149个初始概念、39个类别和360个参考点（表1）。为增强可追溯性，补充表1中提供了各初步类别的代表性逐字引文及其对应的编码标签。

主轴编码
主轴编码通过明确条件、行动/互动及结果，分析了各类别之间的关系，并将其整合为更高层次的主题。中层节点经过迭.......

讨论

本方案将医院医疗设备数据安全治理操作化为一个可追溯、基于证据的工作流程，将扎根理论的输出结果与一个6×6成熟度矩阵以及一个行动与验证循环相连接。SQ（M-ATSSPD）矩阵是通过将访谈和文献证据整合为稳定类别，并将其转化为生命周期阶段（采购、传输、存储、共享、处理和处置）及治理领域（组织与人员、元数据、合规与政策、监控与审计、事件响应和管理工具）而得出的。该逻辑与基于屏障的安全思维以及医疗治理中采用的持续改进方法相兼容，并与医院运营中使用的国家质量与安全管理框架相一致³⁵。

在实际应用中，若干关键操作在很大程度上决定了该方案是否能够产生可重复、可用于决策的输出结果。在评分前，应通过收集、索引和版本化相关证据材料来保持证据管理的严谨性，确保成熟度判断基于可审计的记录，而非主观感知。早期应对编码人员进行校准，并保留裁决规则和决策日志，以确保类别构建及类别向矩阵的转换过程可被审查。应采用明确的0-3分评分锚定点，并设定证据阈值，要求“充分”和“优化”等级的评分必须同时具备文件化控制证据（如政策/标准操作程序）以及至少一项可操作的执行证明（如.......

材料

本文使用的材料清单

姓名	公司	目录编号	评论
定性分析软件（MAXQDA 24）	VERBI Software GmbH（德国柏林）	不适用（基于许可证；订单/序列号见发票）	用于文献内容分析与编码；导出代码本、已编码片段、备忘录，并附版本号归档。
统计计算软件（R v4.3.2）	R 统计计算基金会（奥地利维也纳）	不适用（开源）	用于计算 Cohen’s κ、Wilson 置信区间及统计比较；归档脚本与输出结果。
R 软件包 “irr”（κ 计算）	综合 R 存档网络（CRAN）	不适用（开源）	用于计算 Cohen’s κ（例如 kappa2）；记录所用软件包版本。
电子表格软件（Microsoft Excel / Microsoft 365 Excel）	微软公司（美国华盛顿州雷德蒙德）	不适用（基于许可证）	用于加权评分公式和条件格式热图；归档工作簿及规则设置。
参考文献管理软件（任选其一：EndNote 或 Zotero）	科睿唯安（EndNote）/ Zotero	不适用（基于许可证/开源）	用于导出引文及去重；归档去重日志。
中国知网（CNKI）	CNKI（清华同方）	不适用（在线订阅）	文献检索数据库；在检索日志中记录确切查询语句、筛选条件及导出格式。
IEEE Xplore	IEEE	不适用（在线订阅）	文献检索数据库；在检索日志中记录确切查询语句、筛选条件及导出格式。
混合方法质量评价工具（MMAT，2018 版）	MMAT 作者（Hong 等）	不适用	用于混合方法研究的质量评价；归档已完成的评价表格。
CASP 定性研究评价清单（使用最新版本）	批判性评价技能计划（CASP）	不适用	用于纯定性研究的质量评价清单；归档已完成的评价表格。
安全、受访问控制的存储库（加密存储）	机构 IT 部门 / 合规云平台 / 本地部署	不适用	存储音频、转录文本、知情同意书、脚本、矩阵、热图及审计追踪，按角色分配权限。
录音设备（数字录音机或智能手机）	任何等效设备	不适用	在获得许可的前提下录制访谈；若使用特定设备，可选择性注明型号。
计算机工作站	任何等效设备	不适用	用于编码、评分、分析和归档。
转录工具/流程	任何等效工具/流程	不适用	逐字转录并去标识化；确保流程安全。
去标识化标签模板	自行准备	不适用	用于在转录文本中移除标识信息的标准标签。
受试者信息表 + 知情同意书	自行准备	不适用	用于获取知情同意并保障保密性。
筛选表格模板	自行准备	不适用	记录纳入/排除决定及其理由。
证据材料登记表	自行准备	不适用	登记材料（A–I），包括编号、负责人、日期和存放位置。
矩阵工作簿模板（6 × 6）	自行准备（电子表格）	不适用	包含指标、权重、公式、单元格得分及文档字段。
热图规则集文档	自行准备（导出/截图）	不适用	存储条件格式阈值和绝对可比性设置。
行动登记表模板	自行准备	不适用	记录优先处理的单元格、负责人、截止日期、验证指标及结项证据。
编码决策日志 + 版本化代码本	自行准备 / 导出	不适用	记录保留/合并/拆分决策，以及裁决后的代码本版本信息。
分析追溯包	自行准备 / 导出	不适用	包含已编码摘录、备忘录、图表，以实现可追溯的扎根理论透明性。