在乳腺癌临床试验中使用区块链进行数据验证和验证:监管沙盒

介绍

临床试验涉及大量的医学信息流，有必要确保临床数据的透明度和可追溯性。国际人用药品技术要求-良好临床规范协调委员会(ICH-GCP)为监测临床试验的进行提供指导，以验证报告的临床数据是否完整、准确，并有来源记录。制药和医疗器械行业的长期做法是频繁的现场访问和100%的现场源数据验证(SDV)，以确保源记录中捕获的数据正确地转移到病例报告表格中。据估计，由SDV进行临床试验监测，可消耗申办者一项临床试验全部预算的四分之一[1］．随着临床试验的复杂性和规模的增加，采用100% SDV方法变得越来越昂贵[2，3.］．对于试验监管机构，如美国食品和药物管理局(FDA)、欧盟的欧洲药品管理局(EMA)和日本的药品和医疗器械管理局(PMDA)来说，数据审计是一项挑战，因为没有简单而安全的方法来访问或查看复杂的数据。因此，过程改进是一个活跃的研究领域[4］．随着更多的参与方和更多的交流，人为错误的风险，无论是无意的还是恶意的，都会增加。先前的研究表明，17%的临床试验作者报告说，他们个人意识到研究中的故意捏造[5，6］．在诺华制药(Novartis Pharma)的一名员工在临床试验中存在不当行为的情况下，临床数据被操纵，将其不具备的高血压药物缬沙坦的特性(如预防中风)归因于该药物[7］．这些伪造的临床数据被用于该药物的广告宣传活动，而患者则根据不正确的信息开了药。针对临床试验中的不当行为，日本政府于2018年制定并实施了《临床试验法》[8］．它要求临床研究人员监督和保证质量，遵守实践标准，并管理利益冲突。

区块链正在成为不同领域安全数据控制的突破性技术。比特币是区块链作为一种广泛使用的数字货币的第一个应用[9］．最近，研究人员开始关注使用区块链方法来构建医疗系统的加密证明[10］．他们已经将区块链技术应用于各种医疗保健系统，并在医疗保健产品的供应链管理中有潜在的应用[11-13]、保险索偿处理[14]、电子健康档案及电子病历的管理[15-18]、临床试验方案的维护[19-21]、临床试验数据管理[22-25］．虽然区块链技术可以有很多应用，但区块链必须是针对特定问题的适当技术解决方案。如果没有数据篡改的动机，并且所有的作者都是可信的，那么区块链技术就没有必要了。另一方面，如果存在篡改数据的动机，并且使用可信第三方(如临床研究组织)的成本很高，那么使用区块链是有意义的[26］．由于临床试验中不端行为的频繁发生以及当前SDV实践对临床试验预算和时间的大量消耗，区块链是解决这些问题的合适技术应用于临床试验数据管理。

针对当前临床试验系统中存在的挑战，我们提出了一种解决方案，将区块链技术与客户端哈希链、加密协议、服务器健康检查功能等技术相结合，进行危害管理。该系统被用于日本国家癌症中心的一项临床试验，该试验调查了家庭高强度间歇训练对乳腺癌幸存者的影响。该项目是为了在日本内阁府的监管沙盒下演示使用区块链技术进行临床数据管理[27，28］．该沙箱允许组织申请演示和评估新技术，如区块链和物联网，而不受现有法规的约束。它同时为未来放松管制措施提供了可能性。在试验期间，我们于2019年8月23日在东京地区经历了亚马逊网络服务(AWS)云服务器的中断[29］．我们报告了区块链网络和健康检查功能的效果，该功能在危险的服务器关闭事件中实现了系统零停机和安全的临床数据注册。

方法

乳腺癌临床试验

进行了一项临床试验，研究以家庭为基础的高强度间歇训练对乳腺癌患者的干预效果。本研究为平行组、单盲随机对照试验。患者被随机分配到积极组，采用习惯b方案(高强度间歇训练，运动咨询和指导，使用信息和通信技术的家庭运动支持，以及可穿戴设备)或使用可穿戴设备进行常规治疗。

参与者的资格标准为:(1)女性，诊断时年龄在20 - 59岁之间;(2)诊断为ⅰ期至ⅱ期乳腺癌，目前术后治疗2 ~ 13个月;(3)除激素治疗外，无需肿瘤化疗;(4)具有良好的日语读写能力;(5)通过智能手机完成电子患者报告结果问卷的能力;(六)患者本人书面同意参加试验;(7)目前每周进行两次不超过30分钟的中等强度运动(总共60分钟)。

研究人员提供了计算机生成的随机分配。使用生成的帐户，参与者在临床试验期间使用的应用程序内容被自动分配到习惯b计划或对照组。当参与者第一次去医院时，在签署知情同意书后，她被随机分配到干预组，要么接受b习惯项目，要么像往常一样使用可穿戴设备进行治疗。一个独立的数据中心提供计算机生成的随机分配作为应用程序的登录帐户。根据分配顺序，参与者在试验期间使用的应用程序内容被自动分配到习惯b程序或对照组。

该研究获得了日本国立癌症中心机构审查委员会的伦理批准，并在大学医院医学信息网络临床试验登记处注册[UMIN000036400]。参与者提供书面知情同意参加研究。该研究于2019年5月开始，目前仍在进行中。30.］．

数据管理系统体系结构

收集临床试验数据的数据管理系统由客户端智能手机、中继服务器和区块链网络(图1）.中继服务器和区块链网络建立在东京地区的AWS上。我们使用被广泛使用的开源区块链平台Hyperledger Fabric v1.0 (Linux Foundation)来运营区块链网络。在流行的部署配置中，Hyperledger Fabric的吞吐量超过每秒3500笔交易[31］．

‎ 查看此图

从患者智能手机收集的数据通过中继服务器发送到区块链网络。我们使用三个中继服务器，应用程序在客户端设备认证后随机选择两个中继服务器发送数据。客户端应用程序包含一个身份验证密钥，中继服务器验证该密钥，以便中继服务器只接受来自该应用程序的临床试验访问。中继服务器还使用Firebase身份验证验证应用程序的帐户。客户机和中继服务器之间的这些通信使用https进行加密。通过部署中继服务器并将区块链软件开发工具包设置为仅追加模式，中继服务器将接收到的数据发送到区块链网络。从中继服务器发送到区块链网络的数据使用Hyperledger Fabric的身份验证协议进行加密。通过对列出的中继代理配置互联网协议地址限制，保护包含临床试验数据的区块链网络免受外部网络的恶意攻击。区块链网络由三个组织组成，每个组织包含两个验证对等体。中继服务器、区块链网络组织和区块链网络节点的每个标识和密码由SUSMED Inc .和日本国家癌症中心的两个独立部门管理[22］．

我们已经将区块链网络配置为跨越AWS中的多个可用区(az)。每个AZ由一个或多个数据中心组成，具有独立的电源、散热、组网等功能，保证系统的容错能力。我们还使用Amazon EC2 Auto Scaling Service实现了定期健康检查功能。即使实例变得不健康，该函数也会继续维护固定数量的实例。如果实例变得不健康，则组将终止该不健康的实例，并启动另一个实例来替换它。

为了提高系统持久性和防止数据丢失，我们在系统中配置了两种队列。该移动应用程序在发送之前将临床数据放入队列，然后将消息解除队列并发送，然后从队列中删除数据。如果中继服务器不可用，则发送进程失败，数据在队列中保持可用，直到中继服务器处理它。另一个队列位于中继服务器系统中，该队列使用AWS简单队列服务(SQS)进行配置。当中继服务器系统接收到临床数据时，数据进入队列。在中继服务器系统中，EC2实例负责脱队列并将消息发送到区块链网络。数据被区块链网络成功处理后从队列中删除。否则，数据将在队列中保持可用，直到发送进程成功或SQS保留期到期。在本系统中，我们将SQS保留期设置为7天。这样，如果出现故障，我们有7天的时间来恢复区块链网络。

使用智能手机收集数据

全球身体活动问卷是一份调查身体活动水平的国际标准化问卷[32-34］．对癌症复发的恐惧程度以“对复发的担忧”量表的整体恐惧指数评分来评估[35，36］．抑郁症的评估采用患者健康问卷- 9 [37］．疲劳程度由癌症疲劳量表评估。睡眠由雅典失眠症量表评估[38］．生活质素的评估采用EuroQol五维度问卷[39，40］．上面列出的所有数据都以JavaScript Object Notation格式存储在数据库中。

区块链网络的数据注册

当参与者首次登录系统时，应用程序会生成一个秘密哈希密钥，并将其保存在客户端设备中，直到研究结束。客户端设备根据患者生成的数据和秘密哈希密钥以及之前使用SHA-256哈希算法的哈希值计算哈希值[22，41］．因此，客户端设备中的哈希值由链结构组成。哈希值也与临床数据一起在区块链网络中注册，以保证该值的抗篡改性，尽管秘密哈希密钥保存在客户端设备中，直到研究结束。收集到的数据和客户端哈希值通过中继服务器发送到区块链网络。我们使用三个中继服务器，应用程序在客户端设备认证后随机选择两个中继服务器发送数据。区块链网络的客户端节点被安置在中继服务器中，数据从中继服务器发送到区块链网络。交易通过以下流程被区块链网络验证和接受:

• 提案:交易从客户端应用程序发送到每个组织中的背书者
• 背书:每个背书者验证(1)交易提案格式良好，(2)尚未提交，(3)签名有效，(4)客户端被适当授权执行提议的操作，这在链码中描述。如果交易被验证，则执行链码并将带有签名的结果返回给客户端
• 提交:客户端验证来自组织的签名数量是否满足背书策略。如果满足，则将事务发送到排序服务，该服务按时间顺序对一系列事务进行排序并创建事务块
• 广播:将区块发送到所有节点
• 提交:如果每个区块都是格式良好且经过验证以满足背书策略，则该区块将被附加到每个节点的链中[22］

数据确认与验证

当参与者完成临床试验的数据输入时，需要验证所有发送到区块链网络的数据记录，以满足以下条件:

• 区块链网络已经接收到每个参与者所需的所有数据类型
• 每个参与者的所有数据记录作为客户端哈希链都是正确的
• 区块链网络从两个中继服务器接收每条记录的临床记录，记录是相同的

第一个条件意味着区块链网络已经接收到预计从客户端发送的所有记录。临床试验中有三种类型的记录。首先，客户机发送一条记录，表明已经生成了一个秘密散列密钥。当创建临床数据时，数据通过两个中继服务器发送到区块链网络。最后，当参与者完成临床试验时，客户端将秘密哈希密钥发送到区块链网络。

第二个条件验证注册到区块链网络的所有数据记录都被正确链接为客户端哈希链。我们将所有数据记录按其生成时间排序，并根据临床数据、保存在客户端设备中直到研究结束的秘密哈希密钥以及之前的哈希值生成哈希值。然后，我们将结果与已注册到区块链网络的哈希值进行比较。由于哈希函数输出相对于其输入的敏感性，更改数据将导致完全不同的哈希字符串。因此，我们可以确认这些哈希值是由保留秘密哈希密钥的客户端设备生成的。通过验证此条件，我们可以检测恶意攻击者是否使用散列值和窃取的临床数据伪造了临床数据。

最后一个条件的目的是确认中继服务器没有被黑客攻击。客户将其临床数据发送到从三个中继服务器中随机选择的两个中继服务器。如果恶意用户入侵中继服务器并从中继服务器发送一些数据，区块链网络将存储这些数据。为了检测欺诈访问并验证数据，我们需要确认所有临床数据是同时从两个中继服务器接收的，并且数据记录是相同的。

数据可用性

支持本研究结果的数据可根据通讯作者的合理要求提供。

结果

注册及转让

参与者通过互联网将应用下载到自己的智能手机上，使用研究者提供的账号登录系统。当参与者首次登录系统时，应用程序会生成一个秘密哈希密钥，并将其保存在客户端的设备中，直到研究结束。当参与者首次登入系统时，该帐户会被锁定，以防止被盗帐户或暴力攻击(图2）.

‎ 查看此图

数据收集

在试用期间，参与者使用应用程序输入数据，数据通过中继服务器注册到区块链网络(图3）.在临床试验期间，秘密哈希密钥仅保存在客户端设备中。客户端应用程序根据医疗数据、秘密哈希密钥和使用SHA-256哈希算法的前一个哈希值计算哈希值。客户端哈希值也与临床数据一起发送到区块链网络。

‎ 查看此图

完成临床试验

当参与者完成临床试验时，应用将秘密哈希密钥发送到区块链网络，参与者的所有数据被注册到区块链网络(图4）.

‎ 查看此图

数据确认与验证

我们使用预先确定的方案验证和验证临床试验中收集的患者数据。对于FDA, EMA和PMDA等监管机构，自研究开始以来的完整交易历史可以随时获得精确的日志数据，审计过程可以快速完成，并且所有临床数据都得到保证或版本控制。23］．

区块链技术确保安全且防篡改的交易历史，从而使区块链网络提供完整性保护的数据存储和流程透明度[24］．然而，在注册到区块链网络中的数据库之前可能存在漏洞。数据可能被篡改，并可能发生模拟，从而损害数据的可靠性。为了防止冒充客户端，我们已经配置了该机制，以便在参与者首次登录系统时锁定帐户。客户端应用包含认证密钥，中继服务器检查该密钥，以便中继服务器只接受来自该应用的临床试验访问。通过对列出的中继服务器配置互联网协议地址限制，可以保护包含医疗数据的区块链网络免受外部攻击。这种配置使我们的系统高度安全。即使攻击者在冒充或未经授权访问中继服务器的情况下破坏了上述安全系统，我们也可以使用客户端哈希链函数验证和区分正确的数据。为了补充区块链网络的抗篡改能力，确保整个系统的可靠性，我们使用客户端哈希链和多个中继服务器对数据完整性进行了验证和验证。用户数据与客户端哈希链一起注册到区块链网络。 The app sends the user data and client hashchain to the blockchain network during the clinical trial. At the end of the trial, the app sends the secret hash key preserved in the client device to the blockchain network. Using the secret hash key, we verify the integrity of the data by calculating the hashchain retrospectively (图5）.用户数据和客户端哈希链从多个中继服务器发送到区块链网络。客户端应用程序将其临床数据发送到两个中继服务器，这两个中继服务器是从三个中继服务器中随机选择的。为了检测欺诈访问和验证从中继服务器发送的数据，将数据相互比较以确认记录是相同的(图6）.

‎ 查看此图

‎ 查看此图

为了评估验证，我们模拟和测试了通过欺诈性访问中继服务器进行的客户端模拟和数据伪造。即使攻击者试图通过冒充客户端设备来操纵数据，也可以保持数据的完整性(图7)或欺诈性地访问中继服务器(图8）.结果表明，我们提出的客户端哈希链和多个中继服务器的功能可以作为区块链网络抗篡改的补充，以确保整个系统的可靠性。

‎ 查看此图

‎ 查看此图

亚马逊网络服务中断事件中的数据完整性

在试用期间，我们于2019年8月23日在东京地区遇到了AWS云服务器的中断事件[29］．这导致AZ受影响区域的一些资源的EC2实例受损。由于数据中心中断，其中一个区块链网络节点关闭。由于区块链网络由三个组织组成，其中包含两个验证对等体，并且我们已经将区块链网络配置为跨越AWS中的多个az，因此冗余可以在事件期间保持系统的稳定运行。此外，我们使用Amazon EC2 Auto Scaling Service配置的定期运行状况检查功能会自动恢复健康数据中心中受影响的节点(图9）.我们已经确认在中断事件期间没有错误记录。

‎ 查看此图

即使区块链网络或中继服务器组件中的进一步实例发生故障，我们也能够防止数据丢失。在客户端智能手机应用程序和中继服务器中存在队列，队列保留临床数据，直到数据成功发送。当队列包含数据时，我们可以恢复受影响的系统。

讨论

主要研究结果

在本研究中，我们证明了使用区块链技术的数据管理系统可以可靠地保护医疗数据，并在临床试验中提供不可变且完全可追溯的审计跟踪。由于哈希函数的输出相对于输入的敏感性，临床数据的任何变化都会导致一个完全不同的哈希字符串。这个字符串将是下一个块哈希函数的输入，结果字符串将与数据修改之前的字符串完全不同。因此，可以通过简单地比较区块链的哈希值来检查基于区块链的数据管理系统中的数据完整性。验证完整性可以快速完成，因为监管机构只需要检查哈希字符串是否等价。因此，我们的系统可以改善临床试验数据的管理，增强对临床研究过程的信任，并减轻监管机构的负担[23］．虽然我们在区块链平台上使用了Hyperledger Fabric，但其他开源平台如Ethereum也可以应用[42，43］．此外，我们的系统还可以用于临床试验，通过PC或物联网等其他设备收集数据。

ICH-GCP为临床试验的监测行为提供指导，以验证报告的临床数据是否完整、准确，并由源记录解释。制药和医疗器械行业的代表必须经常访问医院，并通过SDV验证数据，以确认收集的医疗数据正确地转移到病例报告表格中。据报道，3期临床试验的总预算几乎有一半与gcp相关，而gcp相关成本的一半与SDV有关[1，3.］．在典型的3期试验中，目前SDV的总成本估计为9000万美元，这将被加到药物的价格中[3.］．随着临床试验规模和复杂性的增加，采用传统方法进行监测的成本变得越来越昂贵。EMA和FDA发布了最新的临床试验监测和监督指南。这两个机构都鼓励研究发起人实施远程和基于风险的监测[44，45］．虽然远程监测可能是传统SDV的一种有吸引力的替代方案，但一些研究表明，远程监测可能比传统监测更耗时，并且可能不足以作为SDV的完全替代方案[46］．另一种选择，基于风险的监测，在实施之前也需要进行风险评估，并且不会消除人眼验证数据的需要。相反，我们基于区块链的系统可以实现安全的数据管理，而无需在医疗实践中进行劳动密集型的监控操作。它可以大大降低人力资源成本和人为错误的风险。根据FDA 21 CFR第11部分的规定，用于临床试验管理的信息技术系统需要保持审计跟踪的永久性、防篡改和可验证性。临床研究区块链涉及一套有前途的技术，可以提高临床研究的数据完整性和效率。

这项研究是为了在日本内阁府监管沙盒的认证下，展示使用区块链技术进行临床数据管理。日本政府旨在通过内阁秘书处下的监管沙盒系统积极探索创新和颠覆性技术，以应对人口极度老龄化等挑战。[28］．日本社会正面临各种挑战，如国家公共卫生支出增加、对卫生保健服务的需求增加、缺乏适当的成本控制以及卫生保健工作者短缺。其中一些挑战正变得越来越严峻，最近的数据表明，日本的医疗保险支出正在增长[47］．通过监管沙盒示范收集的数据将用于监管改革的审议，这将有助于利用新技术和新商业模式创造创新的商业活动。

2019年8月23日，在临床试验期间，AWS东京地区发生了严重的云服务器服务中断。从互联网零售商、智能手机支付平台到游戏提供商，数千家公司受到影响，服务暂停。在事件期间，这些服务的客户无法访问他们自己的信息，并且丢失了在事件期间应该生成的数据。由于区块链网络的冗余，我们的系统在中断事件期间保持稳定运行，没有丢失临床试验参与者的数据。将区块链网络配置为跨越AWS中的多个数据中心，再加上使用Amazon EC2 Auto Scaling的健康检查系统，可以在数据中心严重中断后自动恢复区块链网络。我们系统的这些功能为患者数据的可用性提供了零停机时间，适合满足临床试验的要求。

限制

需要进一步的研究来验证该系统的可扩展性，以进行各种临床试验。虽然我们使用的Hyperledger Fabric平台的交易吞吐量远高于公共区块链，但在单个系统中进行多次临床试验等进一步研究可能会取得丰硕成果。通过多种设备收集的数据也应该进行测试，以传播虚拟临床试验。

结论

在我们的研究中，我们使用基于区块链的临床数据管理系统对乳腺癌进行了临床试验。数据通过协议验证，可追溯性得到保障。即使在云服务器服务严重中断的情况下，我们的系统也保持了临床试验数据的完整性。这项研究是日本内阁府作为监管沙盒项目进行的，将为未来放松管制措施提供可能性，从而实现有效的临床开发。