医学研究数据传输:安全协作

《人类遗传资源管理条例》明确规定：中国人类遗传资源数据出境须经科技部审批，违规者面临最高100万元人民币罚款及刑事责任；《个人信息保护法》（PIPL）第38条则对所有涉及个人信息的跨境传输设有安全评估或标准合同要求。医学研究数据传输，意味着在遵守Common Rule（45 CFR 46）、HIPAA研究豁免、GDPR第89条科学研究保障措施，以及约束该研究的具体数据使用协议（DUA）的前提下，在学术医疗中心、协调中心、核心实验室与公共存储库之间传输去标识或有限数据集。文件体量从5 MB的REDCap导出到2 TB的基因组BAM归档，传输方式随之改变——基因组学用Globus，有限数据集用经IRB批准的安全门户，两者之间的临时病历审查用加密网络传输。

数据使用协议设定规则

在任何字节传输之前，机构间的DUA已规定了允许的内容。典型多机构研究DUA规定：

纳入的数据元素（日期偏移规则、邮政编码截断至3位、年龄上限89岁）
接收机构的存储要求（静态加密、访问控制）
传输方式（VPN上的SFTP、公钥认证的SCP、经批准的网络门户）
禁止再识别及小单元抑制规则
发布前的审查期
销毁日期与方法

当DUA规定"通过申办方指定的安全门户传输"时，即使你的机构Globus端点速度更快，也必须使用该门户。当DUA对方式未作规定时，回退至机构IRB批准的机制。不要在机构之间自创工作流。

研究中的去标识化层级

HIPAA认可三种类别：

完全去标识数据（45 CFR 164.514(b)）：安全港法（删除18个标识符）或专家认定法（统计意见证明重新识别风险极低）。去标识后脱离HIPAA管辖
有限数据集（45 CFR 164.514(e)）：删除大多数标识符，但保留日期和州级以下地理细节。需要数据使用协议。仍属PHI
带关联密钥编码数据，密钥保留在源机构：在源机构仍属PHI，但特定情况下接收机构的编码数据集可被认定为去标识

大多数多机构研究使用有限数据集。入院日期、地理区域、年龄（以岁计）均重要。传输工作流须将其视为受监管数据，而非可直接上传GitHub的开放科学数据集。

NIH数据管理与共享政策

自2023年1月起，NIH数据管理与共享政策（NOT-OD-21-013）要求每项资助研究提交数据管理计划（DMS）。计划需说明数据如何共享、在何处共享（dbGaP、NIMH数据档案库、国家睡眠研究资源等），以及何时共享。

对于基因组数据，dbGaP受控访问层级有特定传输要求：Aspera高速上传、机构预授权签署权限、双因素认证。对于临床试验数据，ClinicalStudyDataRequest.com和Vivli要求结构化元数据和特定文件格式。

若DMS计划规定"数据将在研究完成后12个月内通过Vivli共享"，传输工作流必须按时生成Vivli就绪的数据包，而非临时拼凑。

基因组规模：TB级数据在移动

全基因组测序BAM文件为50至200 GB，单名受试者短读FASTQs压缩后约80 GB。按队列规模乘算，每批分析需传输10至100 TB。网络传输工具无法胜任。可选方案：

Globus Connect：基于GridFTP的高性能数据传输，几乎所有NIH资助的研究计算中心均使用。在UChicago、Stanford、Broad、NIH Biowulf、NCI及大多数CTSA机构均有端点
Aspera（IBM）：基于UDP、带拥塞控制的传输，dbGaP、SRA及商业测序服务商使用
AWS Snowball Edge：80 TB物理设备，网络传输需数周时的备选方案
云对云传输：源端和目标端均在AWS S3或GCP Cloud Storage时，S3批量复制或Storage Transfer Service可在数小时内移动PB级数据

围绕大文件的小型配套文件——表型电子表格、质控报告、研究方案——可使用加密网络传输保持元数据管道流转，无需等待BAM上传完成。

中间层：REDCap、电子表格与病历审查

大多数研究数据传输并非基因组级别，而是40 MB的REDCap导出、15 MB去标识病历抽取电子表格、或200 MB去标识CT缩略图文件夹（用于AI验证研究）。加密网络传输能干净地覆盖这一范围。

要求：

AES-256-GCM加密，最好在客户端执行
TLS 1.3传输
链接到期（根据DUA设定7至30天）
含文件哈希和接收方IP的审计日志
口令传递渠道与链接传递渠道分开

HexaTransfer满足上述规格，采用零知识客户端加密。立即访问 https://hexatransfer.com 免费体验——无需注册，最大支持10 GB。将传输记录在研究项目档案夹中，包含日期、接收方、文件描述和哈希值。

GDPR第89条与国际研究合作

欧盟研究数据在GDPR第89条下有特定保障措施：与研究目的一致的去假名化、数据最小化和目的限制。欧盟机构向美国合作方传输数据时，EDPB《科学研究数据处理指南03/2020》适用。

非欧洲经济区跨境传输的补充措施：

密钥保留在欧盟机构的去假名化处理
客户端加密，确保传输提供商无法访问明文
合同层面禁止政府强制披露
记录在案的传输影响评估

英国《2018年数据保护法》设有特定研究条款，MHRA和HRA监管英国研究数据使用。瑞士FADP近似GDPR但有不同的跨境规则。不要假设一套流程适用所有欧洲合作方。

可复现数据包与开放科学

Nature、Science、The Lancet等期刊越来越要求在投稿时提供可复现数据包：代码、足以复现分析的去标识数据，以及环境规范（Docker容器、Singularity镜像、renv/conda锁定文件）。这类数据包通常为100 MB至10 GB。

向期刊投稿系统或Zenodo/Figshare/Dryad存储库传输时需要：

DOI分配以便引用
存储方的ORCID身份认证
许可证元数据（CC0、CC-BY或自定义DUA参考）
持久性存档格式（.tar.gz源代码树、.csv.gz而非.xlsx）

开放科学不等于未加密传输。它意味着存档后开放访问。向存储库传输的过程仍需要 TLS 1.3 和完整性验证。

研究诚信审查所需的审计追踪

超出IRB要求之外，研究诚信调查会发生。HHS研究诚信办公室典型年份处理40余项调查。若出现指控，调查人员将重建哪些人在哪个时间点访问了哪些数据。传输审计日志支撑这一重建。

NIH要求研究数据至少保留至最终项目报告后3年，特定项目期限更长，支持NDA的临床试验数据可延伸至25年以上。

日志字段：

UTC时间戳
发送方身份（经认证的机构账号）
接收方身份（经认证，而非通用邮箱）
文件SHA-256
IRB方案编号
DUA编号

协调中心与数据流映射

多机构研究通过数据协调中心（DCC）路由数据。DCC维护主数据集、开展质量控制、向分析核心和各研究机构分发派生数据集。传输流向：

研究机构→DCC：CRF数据和源文件PDF的加密上传
DCC→核心实验室：特定分析目标的派生数据集
DCC→各研究机构：包含机构基准数据的定期进展报告
DCC→存储库：发表时或按DMS计划提交的最终研究数据集

每条边都有各自的传输方式、DUA和审计要求。在研究启动前绘制流程图，当新核心加入时更新图表。

研究数据转变为监管数据的临界点

触发方案修订或SUSAR（疑似非预期严重不良反应）报告的临床试验读数，会将研究数据带入监管领域。此时，传输须在现有研究保护之外额外满足21 CFR Part 11。最优解是从一开始就让所有传输满足Part 11要求，无需在两种模式之间切换。

医学研究数据传输处于开放科学、监管合规与实际网络工程的交叉点。10 MB表型文件的合适工具与2 TB BAM文件的合适工具截然不同。构建一套分层工作流，将每次传输匹配至其适合的轨道，在DMS计划中记录，其余的便是认真执行。