基于云安全的医疗数据信息平台架构与网络通信方法研究

田凯元

（1.天津大学，天津 300011；2.天津市职业病防治院，天津 300011）

我国是世界上劳动人口最多的国家，劳动人口占我国总人口约60%，庞大的劳动人口存在大量的职业病情，对于职业病相关的数据合理采集、保存与利用，对于确保劳动者的身体健康，促进我国经济稳定增长具有重要意义。

在5G 与物联网蓬勃发展的背景下，医疗机构借助电子设备传输例如电子病历等医疗数据。电子病历通常存储在私有数据库中，患者的相关数据分散在各个医院系统中，因此患者无法向医生提供详细、专业、细致的历史医疗记录。而作为医院，则希望获取患者过往的历史病例，以充分了解病程。但患者的病历资料中包含了大量不宜公开的个人隐私信息，因此，设计合理的医疗数据共享系统具有重要意义。

基于上述问题，针对医学信息共享进行了进一步研究，医疗数据信息平台的设计必须将患者的隐私保护放在首位。区块链由于其具有开放性与可验证性等特征，尤其符合医疗数据共享网络的设计原则。此外，区块链的分散性，可以有效避免频繁的网络请求和响应所带来的性能限制。

1 医疗区块链构建

该数据结构的目标用户包括医院、患者本身及任何医疗保健提供者、云服务或其他指定人员[1]。这些实体在区块链上均由不对称密钥对的公共部分表示[2]，每个医院均有唯一的UID，该UID 在发布前经过散列以防止数据泄露[3]。

图1 区块链结构

如图1 所示，每个区块由两个主要类别的数据元素组成，块头元素提供了建立区块链的顺序和完整性所需的重要元数据。这些包括诸如先前块的哈希以及唯一的块标识符[4]、时间戳和块的总大小等数据。块数据的另一个主要类别为交易元素。

1.1 交易处理流程

交易元素的处理方式如下：假设患者P在医院H接受放射线检查，结果数据为X[5]，并且需要与保健医生D共享这些数据。数据传输交易的顺序如图2所示。

图2 中，定义Ka与分别为参与者a 的公钥和私钥[6]，而则表示根据私钥产生的消息μ。图2 流程可分为以下最小步骤集：

图2 交易顺序示例

1）定义源[7]。此步骤通过将公钥链接到统一资源定位符（URL）来建立医学成像数据的来源[8]。

2）定义检查[9]。此步骤设定具有特定唯一标识符UID 的医疗数据创建者和患者作为放射检查的所有者，存储在区块链中的元组为{KH,{KP,KH,Hash。此双重签名的交易可类比为带有患者和医院代表签名的文件[10]，医院将共同签署患者的数据请求，并广播数据传输交易以纳入区块链。

3）允许访问[11]。此步骤允许放射线检查的资料所有者授权另一方从源端点URL 检索所有者的医疗数据[12]。在图2 给出的流程中，患者P 签署了一项对D 医生授权的交易[13]，区块链中包含已签名的元组

患者在亲自与医生核实秘钥后发布了该数据传输的请求交易[14]。在上述方式彼此取消匿名后，患者可以授予适当人员的访问权限，保健医生即可将任何接收到的医疗数据与正确的病历号相关联[15]。

1.2 数据传输

本次的医疗区块链上未存储任何医学数据；交易链仅代表允许访问每个研究的关键所有者的列表。实际的医疗数据传输要求医疗数据接收者，将签名请求发送到数据源的URL 端点。

医疗数据源公共密钥和哈希研究UID 包含了请求的必要元素。医生在某时刻发出了数据传输请求D，收到此类请求后，医疗数据源会验证签名是否正确，检查UID 是否指定了其自身的公钥。确认散列的UID 对应于其预先为患者发布的一项医疗数据，并通过区块链确认患者已授予请求者访问这些医疗数据的权限。若满足所有标准，则源返回包含医疗数据的ITI-43 响应。请求和响应均通过传输层安全链路传输，以防止窃听。

1.3 数据验证

在医学数据分享中，必须考虑块创建和验证的过程[16]。基于分布式共识的验证系统优势在于，可以为参与者分配最小的计算和能源负担。此属性对于医疗数据分享平台至关重要，因为在本次的医疗区块链上未提供内在价值或稀缺性的标记，以减少医疗信息共享的成本。为替代稀缺性驱动方式，文中开发了阻止块生产者进行恶意或无贡献行为的激励措施，该方法类似于加密货币权益证明系统中的绑定验证器。在该结构中，只有建立保证金的节点才可以参与链扩展，且任何行为异常的节点均被迫放弃运算。在此系统中，产生最多的块并不具备特殊的优势，但模块选择不生成块时会受到惩罚。

2 系统安全性分析

该系统中的信息均有可能涉及到患者的隐私，因此本节主要论证系统的安全性。只有在用户满足访问协议时，服务器才会向用户开放数据访问接口。本次的系统安全性验证前提如下：用户的私钥不会以任何形式泄露，恶意攻击者无法复制用户的私钥。

医疗区块链的加密方法如表1 所示。定义用户为A，分布式记账服务器为B，审核服务器为S，恶意攻击者为C，访问密钥为K。医疗信息用户签名消息可由表示，用户使用Ka加密得到消息，C(A)表示恶意攻击者C 的伪装攻击消息。

表1 医疗数据信息的区块链加密方法

场景1，如式（1）所示。

若不具备身份凭证的非法用户尝试访问分类帐，则无法浏览签名数据集合以及加密处理过的摘要信息。

场景2，如式（2）～（4）所示。

在场景2 中，恶意攻击者截断了医疗数据所有者发送的消息并执行重播攻击。恶意攻击者C 成功欺骗了分布式记账服务器B，导致B 将C 视为A。恶意攻击者C 获取了医疗区块链访问权限，但攻击者C 仅获得一条加密信息。由于缺少用户的专属私钥，难以获取加密信息的具体内容，如式（5）～（8）所示。

即使攻击者想要向其发送虚假病人信息，由于缺乏信息，其行为将被判断为虚假信息分类帐服务器的身份验证信息。下面分析系统的整体安全性，其总体可以分为两个认证阶段，设置系统中A 是用户客户端，B 是分类帐服务器，K 为公钥，m 为签名消息。

场景3 中认证阶段工作如式（13）所示。

认证服务器接受阶段如式（14）所示。

3 系统结果展示

3.1 系统安全性测试

由上文所述的3 种场景可知，该系统可以抵御身份伪装、重播攻击、绑定攻击等，统计结果如表2所示。

表2 系统阻挡攻击统计

医疗数据信息区块链是医用数据信息共享平台的核心与技术实施载体，其主要的作用是确保共享平台的完整性和可靠性，具有篡改拒止机制及开放验证机制，从而保证系统信息的安全。即使恶意攻击者成功更改系统的部分信息，系统也会迅速对其进行纠正。

攻击者可能会尝试向验证服务器提交大量请求，通过引起网络拥塞影响服务器的正常验证工作。该系统的验证服务器完全依靠数据签名来验证位置客户端的请求合法性。系统的节点也可能受到攻击、崩溃，甚至伤害系统的完整性。共识机制和背书者的选举机制可以确保系统的稳定性，从而确保攻击不会造成重大损失，这是保护患者隐私的一种有效方法。

该系统与其他医疗数据信息平台的比较结果如表3 所示。结果表明，该方案既可做到数据保密，又可实现安全运行。

表3 系统对比实验

3.2 系统效率测试

该系统出于对数据安全性的综合考虑，虽然产生了更多的数据量，但数据处理效率却有显著提高。该文将系统与一些新的云安全设计思路进行比较，例如MedRec 和Medshare。随着访问次数的增加，MedRec 使用的时间更少。结果表明，该系统的数据检索效率显著提高，如表4 所示。

当用户数较少时，原始的搜索方法还可以迅速找到相关信息。但随着用户数量的增加，医疗区块链相对于原始方法的优势变得越来越明显，系统可以直接指导用户找到相应的区块，即使有效信息的比例较小，也不会限制效率。

表4 服务器检索延迟

当备份服务器向平台发送添加新的区块申请时，平台会将上传方案由实时传输改为备用传输。由于医疗数据信息发出请求的时间节点相对集中，若传输方式为实时上传，则会对验证服务器提出较为苛刻的要求或导致数据拥塞。为避免上述情况的发生，提高系统的稳定性，进行了服务器数据流实验，实验结果如表5 所示。

表5 服务器数据流实验

异步上载数据可以减少系统负载的突然变化，大幅度降低了系统数据拥塞的概率。通过实验验证与分析，该方案可以有效避免验证服务器的高负载情况，减少了数据拥塞发生的可能。

与基于CP-ABE 的访问控制相比，该系统的策略更为合适。原因如下：CP-ABE 方案中的吊销成本过大而不能被忽略。除了需要执行加密操作外，当需要添加新补丁时，还需要更改所有分类帐。该系统的信息处理策略可以避免这些问题的出现。

4 结束语

该文提出了一种基于区块链的医疗信息平台的设计方案，通过设计区块链访问控制协议和区块链加密技术，可以保证用户数据中的私密性。区块链仅包括请求信息，不包括敏感的医疗信息，可防止医疗数据的泄露。利用区块链技术，该方案医疗区块链成功解决了大规模的医疗数据管理与共享问题。患者可以通过本系统访问存储在不同医院数据系统的职业病相关医疗数据，不受地域与时间的限制。经过患者授权的区块链数据可以协助主治医生对患者的职业病史进行全方位的了解，有效提高了患者与医疗工作人员之间的沟通效率，具有良好的应用前景。