医疗服务提供者之间的文件交换

国家卫生健康委员会已就医疗机构间数据交换发布系列指南，《网络安全法》（CSL）第42条明确禁止将医疗数据出售或以非法方式提供给他人。医疗机构间文件交换通过四条主渠道实现：基于S/MIME的安全消息传递（ONC的Direct项目）、符合《21世纪治愈法案》要求的FHIR API、经由Carequality或CommonWell的HIE查询式交换，以及不符合标准化管道的临时加密文件传输。医院、专科诊所、护理院和家庭医疗机构各处于这一连续体的不同位置，且大多数真实交换至少涉及两个渠道——用FHIR查询获取摘要，再用加密PDF传输完整手术记录或影像检查。

为何提供者间交换仍频繁失败

自2020年ONC《治愈法案》最终规则发布以来，互操作性已大幅改善，但日常摩擦依然存在。患者从A医院出院，次日上午出现在B诊所。诊所需要出院小结、用药对账单和CT报告。理想情况下，向A医院FHIR API发起查询可返回DocumentReference包和DiagnosticReport。实际上，CT报告是一份400 MB的DICOM研究，FHIR端点无法高效提供，而出院小结PDF存储在API不公开的附件字段中。

于是有人发传真，或刻录光盘，或以未加密附件发邮件并违反合规要求。

标准化交换管道与混乱现实之间的差距，正是大多数数据泄露事件的生存空间。

四条交换渠道在实践中的表现

安全消息传递（Direct）：使用DirectTrust认证HISP颁发证书的S/MIME over SMTP，推送式、异步，适合转诊和护理交接。Epic's Care Everywhere、Cerner/Oracle Health Millennium、athenahealth均支持Direct。附件大小通常受限于50至100 MB，取决于HISP。

FHIR API（基于ONC USCDI v3和HL7 FHIR R4规范）提供对结构化数据的查询式访问：状况、用药、过敏、检验、体征。适合机器可读交换，但对二进制附件支持有限。

HIE查询式交换经由Carequality或CommonWell Health Alliance，使用IHE XCA和XCPD规范进行跨机构文档查询，返回CDA文档有时附带文件。适合"查询该患者所有现有记录"的工作流。

临时加密传输处理其余情形——超出Direct限制的影像研究、法律文书、科研协作、带有数十个附件的转诊包。合规风险在此最为集中。

HIPAA技术保障措施在文件交换中的应用

45 CFR 164.312要求访问控制、审计控制、完整性控制与传输安全。对文件交换的具体要求：

• 访问控制（164.312(a)）：唯一用户标识与自动注销。共享的"frontdesk@clinic.com"收件箱接收患者记录不符合要求
• 审计控制（164.312(b)）：记录谁访问了什么——传输日志是其组成部分
• 完整性（164.312(c)）：检测不当篡改——传输文件的SHA-256哈希
• 传输安全（164.312(e)）：传输加密，TLS 1.3是实践基准

静态加密等"可寻址规范"在HHS OCR 2024年指引发出信号后，已从事实上的强制要求变为明确要求。

业务合作协议与供应商链

每个在交换过程中接触患者信息的供应商，均须按45 CFR 164.504(e)签署业务合作协议（BAA）。包括：

• 电子健康档案供应商（Epic、Cerner、Meditech）
• 路由Direct消息的HISP
• HIE（如为独立实体）
• 用于临时交换的文件传输平台
• 持有暂存数据的云存储

若诊所使用Dropbox Business存放患者文件，Dropbox会签署BAA——但仅限Advanced或Enterprise层级。消费版Dropbox和消费版Google Drive不会签署BAA。向放射科医生发送免费WeTransfer链接是HIPAA违规行为，免费层级未提供BAA。

转诊包：单次文件交换体量最大的类别

一份典型的心脏科转诊包为40至200 MB：

• 门诊就诊笔记（.pdf，每份500 KB至5 MB）
• 心电图描记（PDF或专有格式）
• 超声心动图报告及DICOM研究（50至300 MB）
• 检验与用药清单（CCD/CCDA）
• 既往导管术报告

DICOM文件使Direct消息传递不堪重负，传真则损失影像质量。含客户端加密和短期到期的安全网络链接可处理这一场景。大多数转诊协调员希望点击一次、拖入文件、发送链接——这套工作流配合 AES-256-GCM 和7天到期期限，无需发起新IT项目即可闭合转诊环路。

HexaTransfer恰好适合此类传输形态：拖入文件，在浏览器中加密，共享链接，设置口令。立即访问 https://hexatransfer.com 免费体验——无需注册，最大支持10 GB。

紧急与非工作时间传输

凌晨2点，社区急诊室将卒中患者转至区域卒中中心。患者抵达前，急诊室需要提供头部CT、POLST（预嘱治疗医嘱）和记录在案的代码状态。急诊护士有5分钟。

工作流必须在锁定的急诊室工作站上运行，无需安装任何程序，无需创建账号。这是医疗传输工具最严苛的筛选标准。若需要IT将新域名加入白名单，那工具在护士需要时根本不会存在。

预先批准的传输工具保存在医院"临床快捷方式"浏览器文件夹中可以使用。护士站张贴带URL的打印说明可以使用。复杂的SSO流程不可行。

急性期后护理协调

护理院、家庭医疗和临终关怀机构与急症医院持续交换文件。一份护理院入院出院包通常包括：

• 病史与体检（H&P）
• 出院小结
• 用药对账单
• 物理/职业治疗评估
• 当前伤口照片
• 代码状态与预立医疗指示

根据CMS参与条件和IMPACT法案，这些数据须在出院节点完成传递。许多护理院仍通过传真接收这些文件包，因为其电子健康档案（PointClickCare、MatrixCare）没有医院可以路由的Direct地址。发送至护理院监控收件箱的带下载链接的安全网络传输，是FHIR API成熟前的过渡方案。

跨州线的审计要求

各州医疗记录法律存在差异。跨州交换记录时，审计系统必须记录足以满足最严格制度要求的元数据。

最低审计字段：

1. 日期与时间（UTC及本地时间）
2. 发送方NPI及机构
3. 接收方NPI及机构
4. 患者标识符（审计日志中不含姓名）
5. 文件类型与大小
6. SHA-256哈希
7. 成功或失败
8. 法律依据（治疗、账单、运营、授权）

按照HIPAA规定，这些日志须保留至少6年，各州法律规定的保留期可能更长。

处理患者要求的传输

《21世纪治愈法案》信息封锁规则赋予患者将其记录定向发送至任何目的地的权利——另一家提供者、科研应用或个人健康记录系统。当患者说"请将我的病历发送给张医生"时，机构不能以与张医生使用的电子健康档案系统不兼容为由拒绝。

应急方案是以患者为中介的安全文件传输，或通过DocumentReference API调用实现患者定向传输。记录患者请求、发送数据包、记录传输。向ONC提出的信息封锁投诉的处理成本，远超十套传输工具。

使文件交换可持续运转

医疗文件交换在未来五年内不会统一到单一协议上。现实目标是分层工作流：Direct用于常规转诊和护理交接，FHIR用于结构化数据查询，HIE用于广泛的患者记录查找，加密临时传输用于其余一切。选择最低技术水平的用户在最糟糕的班次时刻也能操作的工具，并在需要它之前将工作流写入SOP。这是让患者安全流转于体系中的保障。