约安·昂古雷亚努（Ioan Ungurean）|奥维迪乌·约努特·格尔曼（Ovidiu Ionut Gherman）|亚历山德鲁·拉夫里奇（Alexandru Lavric）|米哈伊·迪米安（Mihai Dimian）
罗马尼亚苏恰瓦斯特凡大大学（Stefan cel Mare University of Suceava）计算机科学系
**摘要**
消费者可穿戴设备、医院消息系统、远程医疗平台以及云服务之间的数据碎片化现象阻碍了数据的及时重用，并增加了隐私风险。这些问题源于专有的遥测技术、过时的HL7v2消息格式、间歇性的家庭网络连接方式以及不一致的隐私协议执行机制。
**研究目标**
设计并评估一种以隐私为中心的微服务框架，该框架能够将异构医疗数据整合到Fast Healthcare Interoperability Resources (FHIR)标准中，同时在现实的网络条件下实现亚秒级的端到仪表板传输延迟。
**研究方法**
我们借鉴了安全软件开发生命周期的相关理念，遵循了“安全与隐私优先”的设计原则，将GDPR（通用数据保护条例）、EHDS（欧洲健康数据空间规定）及Zero Trust（零信任）框架中的要求整合到一个明确的威胁模型中。我们构建了基于Kubernetes的容器化服务，并通过设备绑定的X.509证书和相互TLS协议实施了零信任安全策略。我们还开发了一个可热插拔的适配层，将该框架支持的HL7v2/IEEE 11073及专有遥测数据转换为FHIR格式，并利用PostgreSQL数据库进行存储，同时确保数据在存储过程中具有行级安全性。性能测试通过50个并发的Android模拟器在Wi-Fi和4G网络环境下进行，模拟实际使用场景，并设置了5%的随机数据丢失率。测试指标包括数据处理时间、数据吞吐量、端到仪表板的传输延迟以及资源使用效率。安全性评估涵盖了凭证重放/克隆、注入攻击、横向权限 escalation以及流量型的DoS攻击等场景。
**研究结果**
从网络接口接收到数据到存储完毕的整个处理时间间隔保持在100毫秒以内（95百分位数）。在4G网络环境下（RTT约为75毫秒），数据吞吐延迟为132毫秒；在5%数据丢失率的模拟场景下，端到仪表板的传输延迟同样保持在可接受范围内。安全控制有效阻止了凭证重放/克隆行为，拦截了恶意SQL注入请求，实现了行级数据隔离，并在50,000次SYN请求的测试中降低了攻击率。这些结果属于初步验证，大规模临床应用仍需进行独立的安全性评估。最终形成的FHIR实现方案包含明确的威胁模型、设备绑定的身份验证机制、基于适配器的数据转换逻辑、行级数据隔离功能以及针对性的安全验证机制。
**结论**
这种基于零信任理念的微服务架构能够在不牺牲性能的前提下，提供符合EHDS规定的隐私保护机制和实时数据分析能力。本研究不仅提出了一种微服务框架，还提供了一种结构化的安全与隐私设计方法论及明确的威胁模型，可为类似的数字化医疗健康平台提供了参考依据。
**1. 引言**
可穿戴设备的普及、远程遥测技术的应用以及云托管的电子健康记录正在将临床护理转变为连续的数据流。然而，不同数据来源往往采用专有且结构各异的数据格式，这给数据的长期分析带来了挑战，也延迟了基于群体数据的决策过程。全球范围内的数字化健康策略与法规日益强调数据的安全性、互操作性及透明度（如WHO和欧洲健康数据空间的规定所示）。法律和伦理要求进一步加剧了数据共享的紧迫性。GDPR与EHDS法规要求严格保护数据隐私，而 recent 的网络攻击事件促使安全策略从传统的边界防护转向了零信任模型（例如NIST SP 800–207和CISA Zero Trust成熟度模型）。现有方案往往只能部分解决这些挑战，传统临床系统倾向于使用单体式后端架构，消费者服务提供商则侧重于维护封闭的生态系统，基于区块链的技术方案可能引入额外的延迟和处理开销（尤其在紧急医疗场景中）。虽然基于HL7 FHIR标准的医疗数据交换平台逐渐成为行业标准，但仍难以完全解决数据的语义异构性和安全问题。
**2. 背景与相关研究**
过去十年中，HL7 FHIR已成为医疗数据安全交换的主要标准，超过70%的平台将其作为数据交换的规范模型和Web接口[8]。虽然近年来FHIR常与OMOP或openEHR框架结合使用[9][10]，但单独使用FHIR仍无法解决数据的语义异构性问题，仍需依赖适配器和术语规范[11]。基于Kubernetes的容器化技术为医疗数据平台提供了灵活的扩展能力和故障隔离机制[11][12]。然而，医疗领域的网络安全事件频发，推动了从传统边界防护向零信任模型的转变[13][14][15]。现有方案通常只能解决部分问题：传统系统依赖单体后端架构，消费者服务提供商偏好封闭的生态体系，而基于区块链的技术方案可能带来额外的延迟和处理开销（尤其是在紧急场景中）。
本文提出了一种以微服务为核心、注重隐私保护的框架，旨在同时满足以下四个关键需求：
1. 通过设备绑定的X.509证书、相互TLS（mTLS）通道及行级访问控制机制实现端到端的隐私与安全性保护；
2. 通过可热插拔的适配层将HL7v2、IEEE 11073及专有遥测数据转换为标准化的FHIR格式；
3. 基于Kubernetes的声明式编排能力实现系统的弹性扩展和故障隔离；
4. 提供统一的用户体验，使患者通过移动应用获取实时数据，而临床医生无需了解系统内部的具体模块结构。
我们选择基于可穿戴设备的远程监测技术作为研究案例，因其结合了高频异构遥测、对隐私敏感的长期数据采集需求以及近乎实时的数据分析能力。患者的智能手机充当数据收集端，将数据上传至云端。每条数据都带有OpenTelemetry元数据标签，以实现端到端的可追溯性[7]。
**3. 研究方法与系统架构**
该框架的设计遵循了“安全与隐私优先”的原则，参考了NIST SSDF、Microsoft SDL和OWASP SAMM等安全开发指南[24][25][26]。我们整合了GDPR、EHDS法规及Zero Trust框架中的安全要求，制定了详细的安全威胁模型。具体措施包括：
- 对所有传输和存储中的医疗数据实施端到端的保密性和完整性保护；
- 为边缘节点提供强力的设备绑定身份验证机制；
- 实施细粒度、可撤销的授权机制，确保用户权限与实际角色一致；
- 提供事件级别的审计能力。
**4. 性能与安全性评估**
性能测试通过50个并发Android模拟器在Wi-Fi和4G网络环境下进行，模拟实际使用场景，并设置5%的数据丢失率。评估指标包括数据处理时间、数据吞吐量、端到仪表板的传输延迟以及资源使用效率。安全性测试涵盖了凭证重放/克隆、注入攻击、权限升级等场景。
**5. 结论**
该框架实现了零信任架构下的FHIR数据交换，兼顾了隐私保护和实时数据分析需求，同时保证了系统的性能。此外，本研究还提供了一种结构化的安全与隐私设计方法论及明确的威胁模型，可指导类似的健康医疗平台建设。**整体架构和数据流**
所提出的框架采用分布式架构，主要由两个组成部分构成：客户端（也称为移动或边缘收集器）和服务器。客户端是安装在用户智能手机上的移动应用程序，而服务器则运行在云端。概念模型将患者的智能手机定位为一个受信任的边缘节点，负责在以身体为中心的设备与云端之间进行通信。该手机已具备操作系统原生功能，用于安全密钥存储、用户同意对话以及 opportunistic（此处可能为“机会主义”的误译，正确含义应为“根据网络状况灵活选择的”）网络选择；因此，它成为身份绑定自然的锚点。框架首次安装时，注册服务会生成一个 X.509 证书，其中的主体备用名称嵌入了设备标识符和患者的匿名处理方式。私钥由现代移动芯片组中的硬件支持密钥库保护；因此，提取私钥需要物理拆卸和直接读取内存，这是远程恶意软件无法实现的。
服务器组件使用 Python 开发，并分为多个模块（见图 2），每个模块都使用微服务技术运行在 Docker 容器中。这种方法允许模块之间的隔离、更高效的安全管理，以及快速部署补丁和更新，从而确保系统的长期稳健性。这些容器由 Kubernetes 进行管理。
**数据采集**
数据采集是机会主义的：心跳进程会轮询活跃的可穿戴设备会话，将带有时间戳的读数和元数据打包成紧凑的协议缓冲区消息，并通过 TLS 1.3 协议发送。在连接暂时丢失的情况下，消息会被缓冲在加密的本地缓存中，待连接恢复后再次尝试发送。当数据包跨越云环境的边界后，API 网关会终止 TLS 会话，验证证书链，并附加上下文信息（包括网关自身的信任等级），然后再将消息转发到内部网络。绕过 API 网关的流量会被 Calico 网络策略 [27] 拒绝。接下来的环节是协议适配器池，每个适配器包含编译器模块，用于将特定厂商的编码转换为中间规范格式。适配器镜像存储在专用注册表中，并由准入控制器强制执行签名验证。适配器以非根容器形式运行，拥有只读的根文件系统以及声明性映射规则，将所有遥测数据严格视为数据，从而降低远程代码执行的风险。
**处理流程**
规范化的消息进入提取-转换-加载（ETL）阶段，在这里它们会经历模式对齐、单位统一和质量检查。时间间隔会触发插值规则，重复的时间戳会触发完整性检查，生理上不可能的值会触发隔离状态，直到进行临床裁决。转换后的结果是一条与存储模式兼容的关系行。PostgreSQL 通过预处理语句接收这条行，从而防止注入攻击，这条行会根据患者的匿名标识符和被授权处理该患者的临床团队继承访问控制策略。ETL 质量控制逻辑采用多层视角处理医疗数据清洗，结合模式检查、单位统一、重复/时间戳检测、合理性范围以及不一致记录的隔离；基于图的处理被视为未来工作，用于溯源和互操作性分析 [22]、[23]。
**分析**
同时，事件流可以用于可选的分析（例如警报、汇总、推理）。授权范围沿着数据链路传播，确保分析模块仅访问允许的部分，临床医生在同一安全网页仪表板中查看分析结果。
**可观测性**
可观测性机制包括：sidecar 容器暴露 Prometheus 指标和 OpenTelemetry 跟踪数据，便于操作人员定位性能瓶颈，并将失败的授权尝试与负责的服务和策略关联起来。
**PKI 架构和证书生命周期**
除了初始颁发外，公钥基础设施（PKI）还负责边缘设备和内部服务的证书更新和撤销。离线的根 CA 代理两个中间 CA：一个负责边缘证书，另一个负责 Kubernetes 集群内的服务。内部证书通过 cert-manager 自动颁发和更新，而边缘证书则通过注册服务进行配置。每个边缘证书的生命周期较短，在过期前会使用相同的认证流程进行更新。丢失或退役的设备会被标记为已被撤销，并将撤销列表传播到 API 网关；来自这些设备的新连接会被拒绝。智能手机与注册端点之间的初始信任关系通过带外配对步骤建立（例如扫描临床门户颁发的 QR 代码），将设备与患者的匿名身份和正确的 CA 链接起来。
**实现和实验评估**
参考实现运行在配备 8 个 vCPU、32 GB RAM 和 1 TB 存储空间的私有 OpenStack 云中的虚拟机上。Kubernetes 1.30 负责容器编排，Calico 网络策略和 cert-manager 负责内部证书的颁发；容器镜像在部署前会扫描已知漏洞。
**移动收集器**
移动收集器针对最新版本的 Android 系统，将密钥存储在硬件支持的密钥库中，并使用 Google Play Integrity 认证机制将设备与颁发的 X.509 证书绑定，并在身份账本中记录随机数。虽然参考实现使用了这种特定于 Android 的机制，但该框架并不受此限制：其他边缘节点（例如 iOS 应用程序、医院管理的网关或专用的家庭中心）也可以通过相同的 PKI 使用平台特定的认证或医疗提供者的手动审核来注册 X.509 证书。
**性能测试**
性能测试关注两个方面：在持续负载下的吞吐量和对抗短暂蜂窝网络中断的韧性。为了生成负载，测试工具会重放记录的可穿戴设备会话数据，包括心率、SpO2、单导联心电图、血压、步数和睡眠阶段信息。每个合成患者档案模拟了真实世界中的采样频率：每秒一次高分辨率信号测量，每 30 秒一次睡眠阶段分类的汇总数据包。50 个并发的移动模拟器（每个包含一个无头 Android 容器和轻量级遥测生成器）使收集器服务达到饱和状态。
**测试结果**
跟踪日志显示，在稳定的 Wi-Fi 连接下，从网络接口到数据存储完成的平均时间小于 100 毫秒（p95 值）。当接入网络切换到第四代蜂窝链接（保持 75 毫秒的 RTT 时，数据摄入延迟略有上升，达到 132 毫秒，仍在 150 毫秒的设计预算范围内。在 5% 的随机数据包丢失模型下，传输 RTT 上升到 99 毫秒，而从设备到仪表板的延迟达到 167 毫秒，仍低于 200 毫秒的可用性阈值 [28]、[29]。收集器能持续处理 8800 条消息/秒，在连接恢复后的补丁阶段甚至超过了 9000 条消息/秒。为了量化吞吐量，我们测量了序列化协议缓冲区消息的大小。平均每条消息（包括时间戳和遥测元数据）大约为 160 字节。以每秒 8800 条消息的持续速率计算，相当于大约 1.4 MB/s 的遥测数据量，或应用层大约 11.3 Mbit/s 的上行流量。这些值在当代宽带和 4G/5G 上行链路的容量范围内，同时还能留有足够的空间用于协议开销和控制流量。假设每个患者每秒大约有一条协议缓冲区消息，那么 8800 条消息/秒的持续速率相当于大约同时监控 8,800 名患者。这表明，在典型的区域部署中，收集器容量不太可能成为主要瓶颈；相反，下游分析和长期存储预计会成为资源规划的关键因素。
我们选择了 4G 蜂窝网络配置，因为在许多地区，4G 仍然是家庭患者的主导连接方式，因此代表了远程监控的保守、最坏情况的现实基准。预计原生 5G 部署将进一步减少往返时间和端到仪表板的延迟；将评估扩展到 5G 场景是未来的工作内容。
**安全性**
没有遥测记录丢失，因为收集器缓冲区使用单调序列计数器来保证数据的严格排序和完整保留。集群没有接近资源饱和状态：在高峰期，CPU 使用率保持在 54%，RAM 使用率稳定在 33%，为算法重新训练任务留下了充足的空间。总体而言，描述性结果表明处理延迟低于 100 毫秒，端到仪表板的延迟低于 200 毫秒，吞吐量持续为 8,800 条消息/秒，资源使用情况适中，尽管这些值应被视为针对特定测试平台的，而非普遍适用。
**安全性测试**
安全性测试基于威胁模型：凭证重放/克隆攻击针对 A1/A2，注入攻击针对 A4，水平权限提升攻击针对 A3，SYN 洪水攻击针对 A1。凭证重放/克隆测试使用了来自不同手机的证书身份或指纹。由于客户端无法证明拥有相应的私钥，且 Google Play Integrity 认证哈希与身份账本不匹配，相互 TLS 握手失败。注入攻击尝试在传感器数据包中插入结构化查询语言（Structured Query Language）；然而，预处理语句会丢弃恶意片段，审计日志会记录警告而不影响系统状态。水平权限提升场景利用已认证的临床医生查询患者超出分配的权限范围；行级策略会拦截请求并返回空结果集，同时记录违规尝试。大量 DoS 模拟向入口方向发送了 50,000 个异常的 SYN 数据包。在非欺骗测试配置中，入口控制能在 3 秒内减少观察到的请求速率。SYN 洪水攻击仅作为示例性的可用性测试。由于源地址可以被伪造，因此仅依赖源 IP 地址拦截并不是一种可靠的防护措施；生产环境应启用 SYN cookie、调整 TCP 队列，并为面向互联网的服务使用上游过滤或 DDoS 清洗 [30]。这些发现应被视为对参考实现的具体验证，而不是所有实际部署环境中的普遍稳健性的证据。
**用户体验**
用户体验测试涉及五名临床医生，他们在模拟病房巡视中评估了界面。我们与这些医生进行了简短的形式性会议，以完善界面布局和工作流程；标准化可用性问卷和更大样本量是未来的工作内容。图 3 显示了所提出框架的图形用户界面，包括临床医生在模拟病房巡视期间使用的交互式仪表板，用于查看接近实时的生命体征趋势并优先处理患者，同时确保数据保密。
**隐私和数据治理**
隐私被视为主要的设计目标。设备绑定的证书、相互 TLS 协议、硬件支持的密钥存储、行级数据库政策和只追加的审计日志共同提供了来源认证、数据保密性、最小权限访问和可追踪的责任机制。授权引擎编码了细粒度的同意规则（例如基因组或心理健康数据），证书撤销会在大约一分钟内触发可视化服务中缓存数据的异步清除。
**跨境传输**
跨境传输仅限于具有 GDPR 合规性决定的司法管辖区；否则，网关使用标准合同条款 [32]，并使用接收方的公钥对数据包进行额外加密。数据主体权利（如更正和删除）作为 API 端点暴露出来，这些接口协调存储和分析组件之间的删除操作。
**讨论、局限性和未来工作**
在测试的场景中，结果表明强大的隐私控制可以与亚秒级反馈共存，为所提出的参考实现提供了良好的性能-安全权衡。弹性扩展使平台能够吸收突然的负载峰值，同时提供与新兴 EHDS 技术和监管目标一致的参考实现，包括多站点和跨境部署。相同的架构模式也可适用于慢性病监测、家庭医疗服务、康复、分散式临床试验、救护车遥测、老年护理、职业健康和公共卫生监督，具体需根据领域进行验证。
**主要假设和要求**
主要假设包括可信的注册流程、硬件保护的密钥、及时的证书撤销、正确配置的同意/角色政策以及经过临床审查的数据质量规则。主要经验教训表明，边缘缓冲、适配器隔离、行级政策和分布式跟踪对于该架构至关重要。在生产使用之前，系统需要更广泛的设备验证、独立的渗透测试、标准化的可用性评估、DDoS 防护措施以及临床治理审查。
**研究的局限性和未来工作**
本研究存在若干局限性。评估使用了一种智能手表模型（Samsung Galaxy Watch 7），可用性评估仅限于五名医生在非标准化环境中的体验，且 PostgreSQL 存储仅针对时间序列数据进行了评估。将经验验证扩展到更广泛的消费者和医疗级设备是未来的工作内容。 petabyte 级别的影像存档可能需要分层存储，将像素数据移动到对象存储，同时保持元数据的关系结构。此外，当前的分析系统只是一个占位符，它生成风险评分，但不提供可解释性或公平性评估，这些问题在临床部署之前必须得到解决。计划的改进主要集中在三个领域：保密计算试点，用于在硬件隔离环境中执行敏感的数据转换；自动化的FHIR映射，以便小型医院更容易集成旧版的HL7-v2消息；以及一个联邦学习编排器，该编排器可以在本地基因组数据上训练疾病预测模型，同时仅共享加密的模型更新。
7. 结论
本文描述了一个以隐私为中心的微服务框架，该框架能够整合来自不同来源的医疗信息，同时满足对互操作性、可扩展性和数据保护的现代需求。通过零信任原则、容器隔离和声明式编排，该平台在不牺牲健康数据严格保密要求的前提下实现了出色的灵活性。使用消费级可穿戴设备和模拟临床负载进行的实证验证表明，在普通硬件上可以实现亚秒级的端到仪表板延迟和数千条消息的吞吐量。潜在的受益者包括患者、临床医生、医院IT团队、开发人员、研究人员、监管机构和数字健康领域的中小企业。他们可以从更清晰的隐私控制、可重用的架构模式和可复制的验证步骤中获益。我们的结果支持在测试场景中实现安全、互操作且以患者为中心的分析的可行性，而大规模的临床部署仍是未来的工作。未来的工作将分阶段进行：短期内，进行更广泛的设备和可用性验证；中期，进行独立的安全测试、SYN-cookie/DDoS加固验证以及受控的多站点试点；长期内，发展保密计算、联邦学习、自动化的FHIR映射以及受管理的基因人工智能辅助隐私工具，如同意解释、审计日志总结、FHIR映射协助和隐私规则检查 [33] [34]。
CRediT作者贡献声明
Ioan Ungurean：撰写——原始草稿、可视化、软件、方法论、调查、数据 curatorial 工作、概念化。
Ovidiu Ionut Gherman：撰写——审阅与编辑、可视化、软件、方法论、调查、形式化分析、数据 curatorial 工作。
Alexandru Lavric：撰写——审阅与编辑、验证、监督、调查、形式化分析。
Mihai Dimian：撰写——审阅与编辑、验证、监督、资源获取、资金筹集、形式化分析。
伦理批准和参与同意
本研究仅涉及与志愿临床医生的可用性和性能测试；没有涉及患者，也没有收集或处理任何个人健康数据。性能测试完全使用合成数据进行。所有参与者在参与前都提供了书面知情同意书。
资金支持
这项研究由罗马尼亚研究、创新和数字化部通过国家恢复和韧性计划、欧盟NextGenerationEU项目“基于人工智能的个性化健康和基因组学库，用于分析COVID-19患者的长期影响（AI-PHGL-COVID）”资助，合同编号760073/23.05.2023，代码285/30.11.2022，第三支柱，C9组件，投资8。
打赏
