基于区块链的积极辅助生活同意平台:建模研究和概念框架

简介

背景

社会目前正步入一个无处不在的智能技术时代，包括移动和可穿戴产品、便携式传感器以及各种物联网(IoT)解决方案[1］．此类智能技术的例子包括智能手机、智能手表、无线血压计、无线秤、智能恒温器和智能家居等[2-4］．这些设备的采用率很高;例如，2016年，76%的加拿大人拥有智能手机[5］．这些设备已经成为一种标准，甚至在发展中国家也很普遍;例如，在巴西，57%的人口使用智能手机。6]，而在阿根廷，使用智能手机的人口比例与此相似，即52% [7］．根据最近对全球4个地区的11个发展中国家的调查，这些国家中有53%的人口可以使用智能手机上网[8］．可穿戴市场也经历了快速增长:全球智能手表用户数量从2014年的500万增长到2017年的7500万[9］．仅健身可穿戴设备市场，包括健身手环、智能服装和眼镜(如智能眼镜)等设备，在加拿大就有大约400万用户，收入为2.9亿加元(2.2亿美元)[10］．

这些技术具有嵌入式传感器，可以持续而轻松地监测用户的健康状况[11]通过收集生命体征数据[12]、环境变量[13，14]，以及行为指标，如在房子里的运动[1］．对收集到的数据进行分析，可以对个人和人群的健康状况有新的认识[15］．

积极的辅助生活

物联网技术和连接设备可以极大改善和支持的领域之一是主动辅助生活(AAL) [16]，定义为“所有连接到互联网，能够收集和交换数据，并用于健康监测或改善个人日常生活的技术、设备和可穿戴设备”[17］．AAL技术的主要目标是帮助人们进行日常生活活动，使他们过上更好、更安全、更富有成效的生活，同时最大限度地减少受伤和可避免的死亡风险[1，17］．因此，AAL技术通常用于支持弱势群体和老年人[1，17］．

由于全球年龄分布向老年人口转移，AAL变得越来越重要。预计到2050年，除拉丁美洲、加勒比和亚洲大部分地区外，所有发展中国家的中位数年龄将至少达到40岁[18］．以加拿大为例，10年后，每4个人中就有一个人的年龄超过65岁[19］．

妥善和适当地老龄化要求老年人口尽可能地独立、安全和健康[1，17］．然而，随着年龄的增长，老年人的健康状况会逐渐下降，更有可能出现某种损伤，这使得留在家里成为一项艰巨的任务[20.］．虽然辅助技术长期以来一直被用于帮助老年人进行日常活动[20.]，直到最近，人们才意识到创新的连接设备在监测健康和支持就地老化方面的好处。它们的传感功能可以提供健康支持、实时数据收集以及紧急情况的检测或预警。例如，每年有四分之一的老年人摔倒，仅在美国每年就有27,000名老年人死亡[21］．这些技术如何支持老年人的另一个例子是智能温度计，如果温度上升到危险水平，它会为房子降温，防止老年人中暑。1］．

在当前的技术领域，控制所有这些数据的访问和同意仍然是一个巨大的挑战[18，22-26］．

知情同意

知情同意的定义是"个人对医疗干预或参与研究的自主授权" [18］．研究和治疗中的有效知情同意包括以下最低要求[18，27]:

1. 能力:定义为执行一项任务的能力
2. 理解:定义为充分披露与情况有关的信息
3. 自愿:定义为在没有任何强迫的情况下参与活动，并意识到可能的结果。

视乎个案，同意管理程序可能会出现额外的复杂性;例如，使用AAL系统的老年人倾向于与照顾者、同居者和法定监护人互动。智能恒温器等AAL技术将从他们所处环境中的每个人收集数据。因此，照顾者、同居者和法定监护人也必须同意收集和使用资料[18，23］．

此外，AAL技术对有认知障碍的人，包括老年人和痴呆症患者有显著的好处[18］．关于这些人群是否能够根据上述原则提供有效的知情同意，出现了一个微妙的伦理考虑[18］．一种解决方案是滚动知情同意，即数据收集者在评估个人的精神能力时，反复提供有关同意的信息[18，28］．尽管滚动知情同意在研究环境中可能工作得很好，但在实践中，由于从设备收集的数据的高复杂性、速率和量，在AAL系统的实际部署中可能无法实现。

如果被收集数据的个人不能给予有效的知情同意，则可能需要替代决策者代表他们作出健康决定[29］．sdm可以是家庭成员、照顾者、法定监护人或任何被授权为个人或与个人一起做出健康决定的人。

AAL数据的隐私

尽管对技术用户、医疗保健提供者和医疗保健系统都有好处，但需要解决的一个主要挑战是患者生成的健康数据的隐私。尽管物联网设备允许对健康数据进行连续和零工作量的监控，但它们也增加了数据收集点的复杂性，并使其更难确定究竟收集什么、为什么收集以及如何收集数据。当我们考虑AAL技术的背景时，这尤其麻烦:老年人是传统上不具备先进技术知识的弱势群体[16，23，30.，31］．

使用AAL技术的老年人群由于数据处理不当而面临安全和隐私侵犯的高风险，其中不当处理的特征是使用与用户同意的数据不同的数据。老年人(以及一般的技术用户)必须知道他们在任何时候都同意什么，以及如何管理他们的同意。此外，许多技术只允许二进制用户同意收集所有数据或不收集数据。用户无法选择他们可以给予或撤销哪些健康变量的同意。

区块链

数据所有权、安全性、匿名性和隐私都是复杂的话题，正如上文所示，获取越来越先进的数据收集、使用和披露方法的同意所面临的挑战，需要新的解决方案来解决不完善的同意程序，以保护个人安全。一个可能的解决方案是使用区块链。

这项技术可以被视为由被称为块的数据结构组成的分布式账本，配备了加密技术，在由点对点计算机网络操作时实现各方之间的信任[1，32］．每台计算机在网络上形成一个独立的节点，并维护分类帐的副本，该副本定期更新，以确保它与其他副本保持一致。

区块链可以是私有的，也可以是公共的，这取决于它的预期应用程序。公共区块链对任何希望浏览其内容或参与网络的人开放[33］．公共区块链是最著名的区块链应用程序，因为大多数加密货币利用其特性来实现可信的货币交易，而不需要可信的第三方。相比之下，一个许可的或私有的区块链只允许授权的用户浏览其内容或参与网络[34］．这种类型的区块链解决方案适用于敏感或高度规范的信息管理环境，例如医疗保健数据。

当两个或多个用户希望在他们之间交易信息时，区块链网络接收事务。来自用户的事务被广播到网络，验证，并由网络节点分组到一个块，称为矿工［35，36］．区块链的事务是建模为表示真实流程和对象的数据结构。例如，一个交易可以被建模为代表货币交易[37];汽车所有权的转让[38];业务对象的当前状态[39];或者，在我们的框架中，患者知情同意的现状。

发送到分类帐的交易是安全和私密的，不需要可信的第三方，因为区块链的用户在将交易发送到分类帐时不使用个人身份信息作为凭据[1，32］．他们使用加密所有权证明等技术，其中每个用户提交给账本的每笔交易都有一个私钥和公钥对[40］．

发送方使用私钥签署交易，生成唯一的签名并将其与交易信息一起发送到网络中接收方的公钥。每个新的区块链交易都被广播到网络上的所有矿工，他们同时验证交易，以证明发送方的私钥所有权，并验证交易内容是否有效。例如在比特币的区块链中[35]，所有交易都会检查发送方的私钥所有权，以确保发送方有足够的资金(比特币)来发送交易。

矿工利用发送方的公钥来验证交易的签名是否有效。如果签名无效，则表明发送方的原始签名是错误的或被篡改的，导致网络拒绝交易。所有权证明方法防止交易在添加到区块链之前被损坏或篡改[34］．

交易验证后，矿工将它们分组在一个区块中;然而，在将其添加到区块链之前，他们必须完成一项被称为挖掘的任务[37］．挖矿是一个过程，在这个过程中，矿工们竞相为一个新区块创建一个唯一的哈希字符串。

新生成的块哈希在其组合中包含最近添加的区块链的唯一哈希。区块哈希的链接创建了一个加密遗产，使区块链能够篡改其信息历史。例如，如果攻击者想要改变区块号50中包含的交易信息，而来自网络的矿工目前正在处理区块号100，攻击者必须生成区块号50之后的所有区块的唯一哈希，直到它们到达链的末端，并在网络的所有其他矿工完成对区块号100的工作之前生成区块号100的唯一哈希。这种类型的攻击要成功，就需要单个矿工的大量处理能力。更准确地说，一个矿工必须产生比整个网络更强的处理能力才能获得成功。因此，这些类型的攻击是不可能的[41，42］．

在典型的加密货币区块链解决方案中，比如比特币，矿工们会竞争完成一个区块的挖矿，因为获胜者会因为完成任务而获得奖励。这个过程被称为工作量证明[35)，它的主要缺点之一是保持网络运行所需的大量电力。较新的区块链解决方案，如以太坊，利用了现代验证过程，如权威证明。在此过程中，与其浪费计算能力来验证和散列区块，还可以使用凭据或任何其他有关矿工的事实来接受有效或无效的新区块。

区块链技术使用工作量证明和权威证明来帮助网络实现共识。在所有的共识方法中，当网络中的大多数节点同意区块有效并将其添加到它们的本地副本时，账本就会达成共识。当网络中的第一个矿工完成对区块的挖掘时，共识过程就开始了。它首先将新区块添加到其分类账副本中，然后将新区块广播到其邻近节点。每个接收到这个新块的节点都会验证唯一的块散列是否有效，如果有效，则将该块添加到其分类账副本中。然后，节点按照与矿工相同的方式广播新块。这个过程不断重复，直到部分或全部网络与当前区块一致为止。一些区块链解决方案定义，当超过50%的网络同意一个区块时，就实现了共识。有大量的区块链解决方案提供不同类型的共识机制。至于我们在下一节中详细介绍的框架，我们使用了超账本结构(HF) [38]以利用可插拔的共识特性，该特性允许共识模型的未来更改。这个特性对于我们的框架来说非常重要，因为我们不能实例化一个不能适应未来规则的应用程序。关于HF共识机制的更多细节在结果部分。

本文探讨了医疗保健同意管理区块链平台的创建，特别是在AAL的背景下。我们讨论了由Gorenflo等人开发的用于识别区块链用例的通用方法[43]，并将该方法应用于AAL技术的同意管理。通过将同意管理确定为区块链的主要用例，我们扩展了Bublitz等人以前所做的工作[1]，源自他们用于监视活动的通用软件架构，这是AAL同意管理中区块链的概念框架。为了开发这个提议的概念框架，我们研究了哪种区块链技术是最适合的。在下面的部分中，我们将讨论识别信任问题和软件架构的方法，它们是我们工作的基础。接下来，我们将介绍我们的框架，并解释它与相关工作的不同之处。

方法

映射信任问题

戈伦弗洛等[43定义了一种基于信任关系识别的识别区块链用例的通用方法。这种稳健的方法包括以下与本文相关的连续步骤:

1. 确定当事人并信任他们之间的关系。如果一段关系不具备实现该关系目标所需的信任水平，则应将其标记为信任问题。
2. 设计一个最小的区块链系统来解决信任问题。
3. 如果存在新的区块链系统，则将现有系统的其余部分迁移到新的区块链系统。

在本研究中，我们遵循这种方法，与AAL专家协商，对AAL技术领域的数据收集的同意管理过程进行建模，形成了中所示的图表图1．

‎ 查看此图

框架开发

一旦确定了信任问题，我们就开始研究以区块链为重点的概念框架，以减轻这些问题。该框架基于Bublitz等人创建的用于监测和监视活动的通用框架架构[1]以满足物联网系统创建和使用的大部分需求。体系结构的主要层，如图2［1]，分别是设备、网络、数据、应用程序和隐私、安全性和完整性。

‎ 查看此图

结果

同意管理的信任图

中的信任关系图图1遵循国际电工委员会或系统委员会积极辅助生活的命名法[1，17，44］．已确定的信任问题在信任图中包含的箭头上以红色突出显示。

AAL护理接受者(或非正式护理助理，非专业护理人员)使用AAL技术。这些用户需要管理他们对技术制造商或所有者、AAL服务提供商以及从技术中收集数据的任何第三方应用程序(代表为研究或个人应用程序)收集和使用数据的同意。AAL护理接受者与由研究或个人应用程序和AAL服务提供商组成的实体之间产生信任问题，因为这些实体可能以不同于同意的方式使用收集的数据。这些实体与监管法案之间的另一个信任问题，如个人信息保护和电子文件法案(PIPEDA;(加拿大)、《健康保险携带与责任法案》(HIPAA;在美国)，以及通用数据保护条例(GDPR;在欧盟(eu))中，对个人数据收集进行监管的主要理由是，根据现行立法，实体可能非法使用数据，从而侵犯了用户的权利。

该图清楚地展示了在同意管理过程中没有必要的信任级别的关系。区块链技术可以提供一个不可更改的、有时间戳的同意日志，使这个过程对所有参与的人都更加透明。这一点极为重要，因为传统上的同意管理存在许多缺点和不当行为[45，而不遵循正确的同意程序可能会导致悲剧性的后果。例如，2016年，法国BIA 10-2474药物的试验试验导致一名参与者死亡，另外5人住院，团结和卫生部长将这一事件列为"我国前所未有的异常严重事件" [46］．初步调查显示，在1名患者中发现重大神经系统影响后，研究人员没有获得其他参与者的再次同意，允许他们继续进行试验，尽管他们的安全存在明显的危险[46］．如果研究人员使用像这里提议的平台，他们与参与者关于同意管理的所有互动都将被记录为时间戳，这使得研究人员很难不获得再次同意，因为这种不当行为很容易被审计。

通过区块链平台的同意管理，用户能够实时监控和管理他们的同意，并进行细粒度的可变控制，例如，对收集某些类型的数据给予知情同意，但不收集其他类型的数据，或随时撤销他们的同意。这符合隐私法规，例如GDPR的数据保护设计和用户随时删除数据的权利[47］．此信息将不可更改地存储在区块链中，并可由所有获得许可的实体访问。用户还可以确保这些表格得到了审查伦理委员会的批准和密码签署，以确保研究人员没有隐瞒任何信息。

数据收集者也将受益于为确保在整个数据收集过程中明确记录和审计道德和法律要求而采取的措施。

区块链的一个功能叫做智能合约[1]也可以用来改善同意管理流程。智能合约可以被视为编码的合约协议，由于区块链是一个不可变的分类账，写入软件并嵌入区块链的合约条款将始终保证这些条款的履行[1］．例如，智能合约可用于将sdm绑定到个人，或检查同意过程是否符合不同地区的不同隐私法规。最终，使用区块链技术，将更容易获得、跟踪和更新知情同意。

区块链:HF

HF [48平台被选为区块链的基础技术，因为它提供了实现我们提议的概念框架目标的工具(文本框1)．HF是一个开源的、经过许可的分布式账本技术(DLT)平台[38，49在企业环境中使用。所有企业交互都在一个称为超账本网络(hyperledger fabric network, HFN)的专用网络环境中执行。HFN提供区块链服务，使客户端应用程序和网络管理员可以与HFN交互，提出新的事务并查询区块链。在HFN背景下，一个财团[50]由2个或2个以上在HFN上需要相互交易业务的组织组成。

在HF中，一个组织[51是一个逻辑驱动的成员群体，可以代表大公司或小公司。每个HFN组织都由称为对等体的成员组成[52］．对等点负责托管账本、智能合约、处理账本的更改、不同组织(通道)之间的通信，以及管理来自应用程序的外部请求。背书peer负责对来自客户端的交易建议执行智能合约，在将其添加到账本之前验证其有效性。提交peer是一个成员，他保留了账本的副本，没有任何智能合约，这意味着这样做是为了保留账本的多个副本，以避免单点故障。排序对等点和组织[53]负责保持频道参与者之间的通信声音;但是，这些组件超出了本文的范围。

通过创建和使用通信通道，组织可以在HFN上相互通信。通信通道是一个联盟中所有或部分组织成员的私有通信环境。新机构可透过可信会员服务提供者(MSP)登记加入HFN [54]，负责签发和验证证书以及用户身份验证。

HFN联盟组织之间的业务交易行为存储在分类帐中。分类账存储业务对象的当前状态和历史状态。为了保持业务对象，当前状态HF使用一个称为世界状态[55]，这将在本文后面进行解释。为了存储业务对象的事务历史，HF使用了区块链数据结构[38］．区块链结构和世界状态使分类帐能够保存业务对象状态的不可变历史(区块链)，并提供对单个业务对象的最新状态的快速访问。

HFN的参与者通过遵循考虑分配给智能合约的背书策略的交易流程来达成共识[56］．这意味着，只有当一个联盟的所有或一部分认可交易的同行批准交易时，交易才能被接受到分类账中。HFN中的智能合约是一种合约的软件表示，它管理着改变业务对象状态的流程。在HF中，智能合约被打包成一个名为链码的结构，该结构由多个智能合约组成。每个链码被部署到一个HFN通道，并分配给它一个背书策略。背书表示哪些组织必须签署交易，以便该交易被接受并添加到分类帐中。

来自HF的事务流依赖于网络成员的身份验证。所有交易首先作为提案发送到网络，需要得到智能合约政策中包括的所有HFN组织的认可。提案使用生成唯一签名的用户的加密凭证进行签名。

HFN的背书机构核实交易的几个因素:(1)格式良好的交易提案，(2)提案是否重复，(3)与MSP核对[54(4)然后MSP验证提案提交者的身份是否有权限在该通道中执行操作。

输入参数被输入到链代码中，链代码将在当前世界状态下执行。结果在链码执行后与对等签名一起返回给客户端作为提议响应。最后，客户机检查来自对等体的响应，如果所有必要的签名都有效，则创建事务。

客户端应用程序将事务广播给订购服务。反过来，该服务创建有序的事务块，并将它们发送给通道的对等点。每个对等体在将区块添加到账本之前验证区块交易和签名。HF并不是唯一能够提供必要的基础设施来实例化我们的概念框架的合适平台。例如，以太坊[57是区块链解决方案，通过区块链网络为分布式应用程序提供全面支持。即使以太坊的主网络是公共的，这对于医疗保健领域并不理想，但它可以实例化到私有网络环境中，从而符合当前概念框架的隐私和访问控制要求。我们指的是Modum [58]作为应用于以太坊的供应链管理系统实现的示例。Modum使制药公司能够通过使用智能合约来验证医疗产品生命周期内的传感器数据，从而监控医疗产品的温度和湿度。

适合于这个框架实例化的区块链平台还有IBM区块链平台[59]，多链私有区块链[60]、九头蛇链[61]， BigchainDB [62］．值得一提的是，使用这些技术将需要对HFN进行一些更改[63框架的组件。

文本框1包含映射到HF属性的解决方案的最低要求，为其他区块链平台实例化框架提供了一个检查表。

AAL中区块链同意平台概念框架

如前所述，概念框架的主要目标是允许大量的智能设备由不同的医疗保健利益相关者使用的数据，同时提供信任、安全和隐私。图3说明概念框架组件，每个服务和医疗保健数据域对应一个组件。所有涉众要么被映射到一个HF组织，要么是通过同意管理平台的web应用程序与框架交互的最终用户。每一方格图3表示不同的框架组件，每个组件映射需要与平台交互以完成框架实例化的服务、应用程序、参与者和基础设施。

‎ 查看此图

例如，数据消费者组件与同意管理平台组件交互，以创建AAL患者的知情同意请求。数据生产者组件必须与同意管理平台组件交互，以向数据消费者授予知情同意，并将同意注册到账本中。同意管理平台组件与RESTful (representational state transfer)服务组件交互，将事务发送到分类帐。RESTful服务组件充当平台前端应用程序和HFN组件之间的中间件。

最后，数据保管人组件与同意管理平台交互，以确保数据消费者在共享患者数据之前已在区块链中注册了适当的知情同意。

的安全模型部分将详细讨论和解释平台安全方面的内容(图3)，以及利用HF的哪些特性来支持框架的目标。

安全模型

如在图3，概念框架建立在HFN之上;因此，组织与其客户之间的所有通信都通过最先进的身份验证方法(如x509证书和非对称密钥对)实现安全[38］．我们从HF的架构中导出了我们的安全模型，因为它提供了访问分类帐所需的加密证书和密钥。

同意管理平台应用采用高频订购服务[53访问HFN。HF应用程序绑定到一个组织，每当一个应用程序发送一个新事务时，网络在接受事务之前会验证该组织和用户的凭据。如果HF应用程序的凭据有效，则可以将事务提交到分类帐。

所有发送到账本的交易都事先由加密访问控制警卫检查，这确保只有授权用户才能访问HFN。链码用于确保所有交易都由必要的背书机构签署和验证。对于每个组织背书，在将交易添加到账本之前，都会使用数字签名来提供数据真实性。如果背书机构拒绝应用程序用户的真实性，那么该交易将不会被插入到账本中。

加密认证机制被HF的MSP特征所简化。54］．MSP抽象了发布、验证和证明用户和组织身份所涉及的复杂性。MSP被配置为具有唯一标识和管理这些标识的规则。HFN利用用户的身份来控制对账本的访问。例如，具有客户端类型身份只能在网络上进行交易，而不是类型身份同行允许向分类账背书或提交交易。

数据使用者组件

数据使用者组件代表了出于各种不同原因(如远程患者监控(RPM))而对使用数据感兴趣的利益相关者[64-67］．要获取卫生保健数据，获得参与者的知情同意对于保护所有参与者至关重要，确保制定安全和合乎道德的程序也至关重要[18，22，24，45］．该框架通过与HFN组件交互的数据消费者提供了这样的交互。还必须解释为数据消费者收集的数据可以是实时的，也可以是历史的。这意味着参与者的安全级别和意识需求可能不同，从而迫使使用更严格的网络策略和基于数据特征的智能合约。

数据生成器组件

数据生产者组件由在概念框架范围内提供医疗保健数据的利益攸关方组成[37，68］．收集的数据可以来自被动监测或主动监测[69］．前者涉及持续或定期发送到云端的数据(例如，智能恒温器)，后者是需要数据生产者采取行动的数据类型(例如，临床检查)[69］．任何来自数据消费者的主动数据使用请求都必须得到数据生产者的同意，数据消费者才能访问它。当数据生产者与同意管理平台交互并明确地向数据消费者授予同意时，即给予同意。同意管理平台负责创建交易并将其发送给HFN。如果事务是有效的，并且得到了所有适当的对等点的认可，那么该事务将被存储到分类账中，并更新世界状态。

数据保管人组件

数据保管人组件包含负责存储的医疗保健数据的利益相关者[70，71］．除了PIPEDA和HIPAA关于所有数据保管人必须遵守的安全和隐私标准的考虑因素外，他们必须仅在知情同意存在且尚未过期的情况下，才允许另一个利益相关者通过知情同意流程访问数据。值得一提的是，在某些情况下，数据消费者也可以是数据托管人，但必须以与前面提到的相同的方式获得知情同意。如果利益攸关方是数据保管人，从框架的整体角度来看，这并不意味着他们有权自由使用卫生保健数据[69］．在我们的框架中，数据保管人被表示为HFN组织，因此他们可以成为负责存储同意信息的渠道的一部分。因此，通过查询世界状态，他们可以验证给予数据消费者的同意是否有效。

HFN组件

HFN组件表示概念框架的所有涉众到HFN组织的映射。通过创建这个映射，可以创建能够与他们的账本和智能合约拥有私有通信通道的联盟。组织使用这些通道来查询、创建和更新存储在分类账中的知情同意状态事务。新的组织可以在任何时候添加到HFN;因此，框架体系结构中的组织是广义的。分类帐包含来自组织之间所有交易的历史数据，允许来自任何网络参与者的数据审计，从而确保信任作为设计的结果而发展。

由于HF的使用，设计带来的另一个特性是世界状态。世界状态拥有业务对象的当前值(在本例中为知情同意数据)。这对于我们的概念框架来说是必要的，因为查看存储在分类账中的所有交易以找到同意文件的最新状态将是昂贵且耗时的。在HF中，世界状态是一个NoSQL(无结构化查询语言)数据库，它存储键-值对作为每个状态的标识符。键值对可以是，例如patientID-researchID。每当这个密钥中的新事务存储到分类帐中时，存储在CouchDB中的键-值或对状态也将被更新。

最后，根据HF的当前版本，我们利用了Raft协议中的共识机制。Raft协议基于leader和follower模型，其中一个节点被选为leader，其余节点被选为follower。Raft协议也是一种崩溃容错服务，符合我们确保在任何时候都能访问患者同意信息的要求[72］．

数据审计器组件

数据审核员可以是代表PIPEDA和HIPAA等监管机构的任何组织。网络上的数据审核员非常重要，因为他们通过使用智能合约和背书策略确保法律法规在HFN中得到执行。通过成为HFN的参与者，并拥有适当利益通道(例如存储数据审核员管辖范围内信息的通道)中的同行的认可，数据审核员可以在需要时审核多个账本的信息。这种HF功能允许不同机构对知情同意管理过程进行审计，赋予概念框架适应新规则和政策的能力，新数据审核员添加到HFN可能会给联盟带来新的规则和政策。

另一种可能性是，数据审计人员通过创建策略，可以通过智能合约和网络策略强制事务满足一组需求。智能合约能够执行数据隐私和安全标准，防止侵犯隐私和滥用信息。通过数据审核员的主动性，可以增强知情同意过程，因为它可以持续验证同意的有效性。数据审核员可以作为其管辖下的组织所在渠道的成员或创始人，对过期或无效的同意信息采取行动。

同意管理平台组件

同意管理平台是一个基于web的平台，它将授予、撤销和管理同意处理所需的所有功能进行了分组。首先，为了防止利益相关者由于技术限制而无法访问，该框架建议使用任何设备都可以访问的响应式web应用程序。平台使用HF的NodeJS软件开发工具包(SDK) [73]从前端与HFN交互。不同的端点可用于控制仅允许某些类型的用户和组织的操作，例如，患者(数据生产者)可以选择SDM为他做决定，但不能像数据消费者那样创建同意请求。

患者可以登录到平台，浏览可用的数据消费者请求，并选择登记。例如，如果AAL患者希望由RPM中心监控，RPM中心作为数据消费者登录到平台并创建其患者接受的同意请求。AAL患者可以通过平台的web应用程序向RPM中心表示同意。在此过程中，创建一个事务并向HFN提出，如果接受，则存储在分类帐中。这确保事务中的所有利益相关者现在都拥有当前同意状态的副本，数据消费者可以开始从数据保管人那里收集患者数据。

同意管理平台还提供了允许患者撤销同意和更新同意的web界面。提供的另一个功能是，数据生产者可以选择为每个同意请求共享特定类型的数据。例如，RPM中心可能要求患者共享5种类型的数据。然而，如果患者愿意，他们可以选择只分享两种类型;尽管这使得数据消费者接收到的预期数据的预测性较差，但同时也增强了数据生产者的能力。这一过程确保了知情同意过程的问责制、安全性和透明度，有助于改进传统的获取同意的方法。

同意管理平台还可用于增强患者选择sdm的过程。患者可以要求某个用户成为他们的SDM。如果指定的SDM接受请求，则有关当选SDM的信息将存储到账本中，并供利益相关者使用。就像存储在账本中的知情同意状态一样，SDM状态也可以根据情况撤销或更新。这些功能可以帮助在AAL条件下的人们迅速选出值得信赖的sdm，而不必通过当前管理替代决策过程的官僚机构[74］．

最后，代表性状态传输服务层负责管理对同意管理平台的适当访问，并在分类账中保存关于用户身份的元信息。如果需要任何其他功能，可以扩展概念框架以包含新的功能和组件。

Chaincode

该框架使用链码(智能合约)确保只有注册的应用程序才能将交易发送到分类帐，并且网络所需的组织只认可有效的交易。为部署到网络中的每个新链码定义一组背书策略。由于我们正在提出一个概念性框架，在我们研究的这个阶段，我们仍然没有可以由其他开发人员扩展的抽象契约。然而，在框架实例化部分，我们将解释我们的原型链代码的开发。

我们对chaincode的第一个实现将作为框架进一步增强的主题。在未来的工作中，我们将研究所有的契约和它们的共性，以创建抽象的契约，开发人员可以将这些契约实例化，以便使框架适用于其他领域。

框架实例化

为了举例说明如何使用HF实例化框架，图4显示了已开发的HFN的抽象。该联盟由4个组织组成，它们代表了允许系统中的所有利益相关者执行所需任务的最低要求。

‎ 查看此图

在我们的网络中，组成联盟的4个组织是数据生产者、数据审核员、数据消费者和一个数据保管人。该频道的成员，频道用户同意，有权访问包含知情同意信息的分类账。在给予任何新的同意并将其存储到区块链之前，通道的数据审核员成员必须同意并批准包含知情同意的事务(如中网络策略所述)图4)．数据托管人作为该通道的成员，如果交易有效并存储到分类账中，则知道数据审计员同意该同意。事务验证后，数据托管人被授权向数据消费者提供其医疗保健数据的访问权限，只要数据托管人遵守患者或SDM定义的限制。

数据审计员组织也是称为通道数据安全的不同通信通道的成员。该通道将要求网络成员负责确保数据保管人获得用户的适当同意，将其信息存储在其服务器上。最后，通信代理表示负责在最终用户和通信通道之间路由通信的组织。

我们使用HF的NodeJS SDK实现了负责验证、添加和查询患者知情同意和通道成员SDM状态的chaincode用户同意．通道的链码由2个合约定义:合约1 (C1)和合约2 (C2)。C1用于管理知情同意状态和管理替代决策者状态。C1确保知情同意交易的所有字段都存在并有效。C1检查患者和研究识别字段;传感器数量;而且，对于共享的每种类型的传感器，同意期限是有效的。的成员中管理SDM状态用户同意通道。C2检查SDM和患者识别、SDM有效性的开始和结束日期以及SDM-患者关系的当前状态。使用HF的NodeJS SDK实现C2的代码片段如下所示(文本框2)．

如果所有要求都成功，那么在执行链码后，组织将批准交易并将提案结果返回给发送方。在完成提案流程后，新的知情同意状态被添加到分类帐中。

讨论

加强同意管理

确保适当的知情同意是数据收集和使用的主要关注点[22，45］．我们提出的解决方案促进了不同利益攸关方共享健康数据，同时提高了透明度和信任度。我们的解决方案最大的优势在于，它是基于在同意管理过程中识别和减轻信任问题的系统流程开发的。43］．该框架最大限度地减少了中指出的所有信任问题图1通过提供一个虚拟空间来管理同意，由区块链支持，为数据所有者和收集者提供一个不可更改的、有时间戳的用户同意日志。因此，AAL护理接受者和非正式护理助理将更好地理解和控制他们与谁共享哪些数据，为了什么目的，以什么方式，以及在什么时间内共享。此外，如果AAL服务提供商或研究或个人应用程序将数据用于最初同意以外的目的，监管机构将更容易审计，因为他们将能够访问区块链的同意日志。

美国食品和药物管理局(FDA)在1977年至2009年的临床试验检查综述中报告称，28%的试验存在与同意书不足有关的缺陷[45］．2012年，FDA列举了与同意相关的主要缺陷，其中包括:未能获得知情同意;使用过期、不完整或未验证的表单;没有提供研究科目的表格副本;丢失的文件;以及在未经道德审查委员会批准的情况下手工修改文件[22］．我们的平台将提供一个安全、不变的虚拟空间，所有利益相关者(数据所有者、消费者和监管机构)将对整个过程具有完全的透明度和保证，使整个过程对所有参与者都更安全，并确保像BIA 10-2474审判这样的案件不会再次发生。

简而言之，拟议的概念框架试图概括卫生保健领域所有利益攸关方的同意管理过程，以便更清楚地了解同意管理过程可能的相互作用和功能，并最终提供更多的透明度。由Novitsky等人提出[18]，这是一个重要的特征，有助于解决同意管理过程中的低效问题，特别是对弱势群体而言。

该框架还旨在充分利用HF的特性，对获取知情同意的过程进行稳健而复杂的控制。数据审核员就是这种目标的一个例子，他们可以在不遵守规则的情况下将不良行为者组织从网络中删除。

相关工作

几家公司探索了同意管理和区块链。然而，它们与我们的解决方案有很大不同。

Hu-manity。例如，该公司与IBM区块链合作开发了一款移动应用程序，帮助个人管理使用其个人和健康信息的许可。这款应用程序为用户的数字数据提供了一个标题，将其声明为用户的财产[75］．与我们提出的平台不同，该解决方案不将用户同意信息存储在区块链上。

另一家公司Bitfury正在为研究和医疗数据开发一个基于区块链的同意管理系统。这个解决方案更接近我们所设想的区块链平台。76，77］．学术界的解决方案也是如此，例如Benchoufi和Ravaud [26使用区块链提供有时间戳的临床试验同意日志。我们与这些作品的不同之处在于，我们不仅专注于物联网和AAL，以及临床和研究背景之外，还为用户提供了粒度变量控制，允许他们管理不同数据类型和时间段的同意(例如，用户1同意收集6月至7月之间的温度，但不同意收集他们的运动)。

一个有趣的相关解决方案是由麻省理工学院的研究人员开发的MedRec。与以前的工作不同，创建此解决方案不是为了改进同意管理流程，而是为了最大限度地减少电子健康记录(EHRs)之间的互操作性问题，同时提供患者完整病史的透明视图。MedRec使用智能合约对引用来自多个医疗数据源的医疗数据的元数据进行编码，其中包括关于数据所有权的信息。患者允许访问和共享数据[25］．在MedRec中，同意管理并不是一个明确的关注点，但它作为一种对医疗数据的访问控制形式出现。虽然我们的解决方案考虑了对数据的访问，但正如下面几节所描述的，我们将重点放在同意管理和在此过程中改善信任关系。此外，MedRec处理存储在临床系统和已经收集的医疗数据，而我们的平台处理实时、患者生成的健康数据，这些数据来自部署在现实世界中的传感器和AAL技术。虽然我们的解决方案不同于处理电子病历互操作性的解决方案，但在处理个人数据时，获得适当的知情同意始终是一个问题。我们提出的解决方案是一个可能的促进者，这样未来的健康数据共享解决方案就不需要开发工具来管理知情同意。

限制

这项工作的局限性包括缺乏我们提出的概念框架的实施和实际部署。因此，未来的工作将集中于开发一个支持区块链的同意管理平台。其他的限制包括这样一个事实:为了大规模地实施我们的体系结构，需要联邦和地区机构的参与来组成区块链中的参与节点。此外，数据收集者需要注册我们的平台，并允许与框架集成，以便用户能够给予适当的同意。鉴于该平台将提高数据收集者和所有者的透明度和法规合规性，利益相关者将从参与这样的平台中受益，确保他们的参与。这意味着，该平台的成功取决于几个政府和行业合作伙伴的合作，他们有兴趣改善当前的安全和隐私问题。

我们工作的另一个局限性是，框架的当前版本还不准备在数据保管人和消费者之间共享医疗保健数据。该平台是获取、管理和咨询知情同意和SDM信息的工具。保管人可以使用该平台确保数据消费者已从他们所要求的医疗保健数据所有者那里获得适当的知情同意。对于未来的工作，我们打算扩展我们的概念框架，以便能够在保管人和消费者之间提供数据代理。

结论

AAL技术有可能彻底改变老年人的衰老方式，将风险降至最低，并提高独立性。17］．然而，这必须与监控技术对隐私的影响一并考虑。17，18］．不幸的是，个人目前很难成功地管理他们对数据收集的同意。1］．区块链是一项新技术，提供不变性和去中心化，允许增加跨进程的透明度[1，32］．在这项工作中，我们对AAL技术同意管理过程中存在的信任问题进行了建模，并提出了一个基于区块链的概念框架来缓解识别出的信任问题。所提出的框架可应用于处理传感器数据的不同领域，如药品供应链[78-80]及环境监察[1］．该平台的实例化仍处于开发的早期阶段，但已经开发了一个全功能应用程序原型的第一个实现。该原型允许研究人员请求AAL患者的知情同意，每一个新的知情同意都被包装成一个交易并发送到HFN。在将新交易添加到账本之前，组织通过使用链码来验证和批准新交易。添加新块后，网络的参与者可以在共享患者的AAL数据之前查询分类帐以检查知情同意的有效性。最后，虽然我们的原型目前还不是开源的，但我们希望研究人员可以使用我们的框架来创建他们自己的区块链应用程序。