医学影像传输:完整技术指南

《个人信息保护法》（PIPL）将医学影像中的患者数据列为敏感个人信息，处理须获得单独同意并采取强化技术措施。医学影像传输将DICOM、NIFTI及厂商专有放射学格式在PACS系统、转诊医师、专科医生与患者之间转移——通常经由DICOMweb（WADO-RS、STOW-RS、QIDO-RS）、IHE XDS-I、直接SFTP或基于网络的加密上传。一项心脏CT检查体量在500 MB至2 GB之间，一张病理全切片影像可达4 GB，科研fMRI数据集每名受试者可超过40 GB。正确的传输方案取决于文件体量、目标类型，以及接收端是否原生支持DICOM格式。

DICOM、NIFTI：传输前先认清格式

在选择传输方式前，先了解格式本质。DICOM（医学数字成像与通信）将像素数据与元数据标签封装在一起——患者姓名存于（0010,0010）、检查UID存于（0020,000D）、成像模态存于（0008,0060）。典型MRI检查是包含数百个.dcm文件的文件夹，每个文件对应一个切层。NIFTI（.nii或.nii.gz）是科研神经影像的标准格式，将整个体积数据压缩为单个文件。GE Advantage Workstation导出或Siemens syngo.via文件等厂商专有格式有时以.tar存档发送，需由DICOM查看器解包。

各模态体量参考：

胸部X光：10至30 MB
头部CT：50至200 MB
腹部MRI：300 MB至1 GB
含电影序列的心脏MRI：500 MB至2 GB
病理全切片（.svs、.ndpi）：每张切片1至4 GB
fMRI单个任务组块：500 MB至2 GB；完整研究：10至40 GB

传输工具的选型应以你将发送的最大文件为基准，而非平均值。

DICOMweb：现代线路协议

DICOMweb在DICOM PS3.18中定义，以HTTP取代旧版DIMSE协议。三项核心服务：

STOW-RS：通过POST将DICOM实例以multipart/related格式提交至/studies
WADO-RS：通过GET /studies/{StudyInstanceUID} 检索影像
QIDO-RS：使用查询参数搜索检查与序列

DICOMweb运行于 TLS 1.3，并与OAuth 2.0 Bearer令牌配合良好，这正是Orthanc、dcm4chee、Ambra Health等现代PACS支持它的原因。若两端系统均支持DICOMweb且已配置网关，则无需额外的传输工具。

DICOMweb不可用时的替代方案

大多数实际传输发生在没有共享网关的系统之间：社区医院向三级转诊中心发送创伤扫描，患者携带外院MRI前往专科医生，或研究机构向数据协调中心发送fMRI数据。此时的选择：

SFTP（RFC 4253 with OpenSSH）：适合已知端点之间的定期传输，但审计UX较弱
IHE XDS-I.b：跨机构影像互操作性规范，用于Carequality等HIE，部署成本高
基于网络的加密上传：临时或一次性传输的实用选择，尤其适合患者参与的场景
物理介质：刻录IHE PDI规范的CD仍偶有发生，但随着光驱消失已快速淡出

传输前的去标识化

DICOM标头充满患者个人信息。DICOM标准PS3.15附件E定义的基本去标识化规范列出了400多个需要删除、替换或清空的标签。常见错误：

遗漏像素数据中的烧录注释——这些内容需要OCR识别与遮盖，不能仅靠修改标签解决
忘记（0009,xxxx）范围内厂商私有标签中存储的扫描仪序列号
保留了检查实例UID，攻击者若持有原始记录便可重新关联

根据《个人信息保护法》（PIPL），科研数据需要去标识化加 TLS 加 AES-256-GCM 静态加密作为基准。依据HIPAA治疗豁免，在治疗医生之间传输的临床数据不要求去标识化，但仍须加密。

压缩、传输语法与带宽

DICOM文件可以不压缩（隐式VR小端序，传输语法UID 1.2.840.10008.1.2）或使用JPEG 2000无损（1.2.840.10008.1.2.4.90）、JPEG-LS、RLE进行存储。无损压缩CT数据通常节省50%至60%。有损压缩在医疗法律层面风险极高——许多放射科对诊断用途完全禁止。

病理全切片影像使用JPEG 2000或较新的DICOM补充145分块技术可显著减小传输体量。fMRI数据使用gzip压缩NIFTI（.nii.gz）是标准做法，可缩小3至5倍。

百兆对称宽带下，2 GB心脏MRI在线速下约需3分钟；上行10 Mbps的机构需要30分钟。提前规划，或选择支持断点续传的传输服务。

患者主导的传输场景

一种日益增多的工作流：患者坐在专科医生诊室，递上USB存储设备或患者门户登录信息，医生导入影像。信息封锁规则赋予患者这一权利，涵盖实体须支持这一途径。

此路径需要非技术型患者也能使用的传输方法：一个患者可以拖入文件、在客户端以口令加密、然后将口令短信发给诊所的网页表单。无需账号，无需IT工单。HexaTransfer符合此模式——客户端 AES-256-GCM、可共享链接、口令带外传递。立即访问 https://hexatransfer.com 免费体验——无需注册，最大支持10 GB。

远程放射学的监管链

vRad、Nighthawk等远程放射学机构依赖每小时均须可追溯的传输管道。要点：

SHA-256哈希在发送PACS记录，并在读片工作站验证
包含检查号和读片放射科医生ID的带时间戳事件日志
传输日志保留期限符合各地医疗记录法规要求（通常为患者末次就诊后7至10年，儿科记录更长）
收到确认后自动清除传输暂存区，防止暂存服务器成为影子归档库

网络传输的体量上限

多数基于网络的传输服务单次限制在2至10 GB。超出上限时的选择：

拆分为逻辑单元：按一次访视、一种模态、一个序列分批传输
物理运输：AWS Snowball Edge容量80 TB；加密LUKS或VeraCrypt移动硬盘配合隔夜快递适用于临时大批量场景
专用链路：Direct Connect、ExpressRoute或院内VPN适用于频繁高流量传输

在承诺时间节点前，先确认传输上限。

与PACS集成而不干扰读片

核心原则：不要破坏放射科医生的工作列表。若传输流程接触PACS，须通过暂存节点路由（Orthanc或dcm4chee作为DICOM路由器表现良好），确保生产PACS只接收经过验证的检查。为进入的传输标记独特的AE称谓，在技师完成质控前显示于独立工作列表。

出站传输方面，PACS中的一键"发送至外部"操作可将加密流程与放射科医生隔离——这正是他们所需要的。他们拖入检查，工具完成加密，对端临床医生收到链接。

传输后的验证与交接

每次传输后，验证：

文件数量吻合（.dcm文件数量或NIFTI体积数）
存档的SHA-256哈希在发送方与接收方一致
至少有一张影像在接收端查看器中成功打开
元数据未损坏——患者姓名、检查日期、检查号均可读

在传输记录中记录验证结果。"我们已发送"不构成抗辩；"我们已发送并确认字节级完整性"才是。医学影像传输传递的不只是字节，而是关系到患者护理决策的诊断记录——有时在分钟内就需要决策。