使用区块链技术缓解无家可归者服务获取和提供者之间数据交换的挑战:定性研究

简介

背景

根据奥斯汀结束社区无家可归联盟(ECHO)的数据，2016年奥斯汀有超过7100人无家可归，需要住房和其他支持性服务。1］．无家可归者获得住房的众多障碍之一是无法获得自己的文件，以及更换丢失或被盗文件所需的时间和金钱。客户端数据通常分布在服务提供者之间，当从多个来源访问数据时，会导致运行状况恶化和服务延迟。现有的数据库系统，如无家可归者管理信息系统(HMIS)，用于管理PEH的文档，缺乏与系统外不同文档格式和组织的互操作性，不利于客户拥有数据，不能保证数据的隐私和安全。

市长挑战赛由彭博慈善基金会赞助，旨在为城市领导人提供创新和可扩展的解决方案，以应对紧迫的地方挑战。德克萨斯州奥斯汀市是被选中的35个城市之一，在6个月的时间里对他们的想法进行原型和测试，并获得10万美元的赠款支持。通过戴尔医学院、奥斯汀市政府、奥斯汀特拉维斯县紧急医疗服务机构和社区组织之间的合作，开展了一项试点研究，测试首次使用区块链技术来验证身份并改善该国PEH获得服务的机会。

目标

来解决这些问题事务标识，我们之前建议使用分布式账本技术(DLT)或区块链技术，以提供经过验证的、不可变的服务交易身份和记录[2］．文献显示，在电子健康记录、公共卫生监测、疾病管理、基因组和生物医学数据以及临床试验中使用区块链进行数据控制的前景[3.-9］．区块链目前用于印度尼西亚农村、叙利亚难民营和肯尼亚的贫民窟，用于类似的身份管理应用程序。出生登记、免疫接种、卫生保健提供者访问和农业收成等关键生活事件被安全记录并保存在区块链上，为流离失所和边缘化的人们创建了一个不可更改、可访问和便携的身份。遵循这个模型，我们探索了true的使用经济的护照为无家可归者，为结束无家可归的目标而努力。我们选择这种技术作为解决方案，而不是其他存储和共享信息的方法(如数字钱包或关系数据库)，因为它的特性满足了我们用例的需求。我们继续进行这项研究，在这里，我们提供了我们对这种方法部署的测试结果。

区块链是一种用于多个编写者使用的共享数据库的技术，其中每个组织的条目必须经过验证，并且不能由外部方修改。当另一个实体需要来自一个实体的事务来提供服务或验证文档时，将事务存储在单个共享数据库中可以促进方便的信息交换。常规的共享数据库可以可靠地管理多个授权用户查看数据的权限。但是，在关系数据库系统中，各种实体更新和写入信息可能会导致不可恢复的错误。卫生和社会服务信息系统的维护涉及备份存储服务、恢复机制和更新信息[7］．在数据库服务器故障的情况下，整个系统都会受到影响，如果没有备份和存储信息，信息可能会丢失。集中式用户对主文件的所有权也将控制权交给了一方;因此，没有固有的防止数据被篡改的措施，数据的完整性也无法得到保证[10］．

区块链组织数据，以便通过链上实体的共识批准和记录安全交易[10，11]，提供比关系型共享数据库更好的错误检查和事务有效性[10-12］．区块链将数据分布在整个网络中，数据复制到链的每个节点[13］．每个节点安装起源区块或链中的第一个区块[10］．一组经过验证的事务被添加到一个新的块中，其中包含前一个块的文件附件、发送方、接收方、时间戳和加密散列[14］．哈希是一种单向加密函数，用于为每个用户生成公钥和私钥[15］．通过区块链发送的信息由用户的私钥保护，没有私钥就不能查看或修改[12，13］．为保护储存在区块链上的私人资料，或在出现安全漏洞时，数据会被加密且无法破译[14］．单个区块的哈希依赖于前一个区块的哈希，将事务锁定在一起[12，14］．修改一个区块中的数据将改变所有后续区块，使区块链成为不可变和权威的交易记录[10，12-14］．区块链还使用共识验证机制，用点对点协议取代可信任的第三方中介或手动离线对账过程，允许组织在没有单点故障或控制的情况下就提交的条目达成一致[10-12，16］．用户网络集体遵守先前商定的自动执行的规则，以验证交易的真实性和添加到链中的记录的顺序[12，16］．

一个公共区块链是完全去中心化的，交易依赖于大多数节点的共识。在一个私人区块链，用户通过区块链的所有者的权限被授予访问权限[10］．对于个人身份记录等敏感数据，私有区块链限制了授权用户的交易可见性，并由于更大的用户和事务控制而促进了可伸缩性[12］．私有区块链只是部分去中心化的，因为节点仅限于具有不同访问程度和共享权限的可信用户。如果出现冲突或安全漏洞，系统可以从任何用户和时间戳中恢复[10］．唯一的安全问题是，大多数节点可以串通重写链，因为有一个部分集中的机构控制链中的节点。然而，在一个许可的系统中，用户不太可能旨在违反区块链的不可变性，因为他们是使用区块链来实现组织或个人利益的受信任实体[12，16-18］．

由于不统一的数据格式和存储方法，服务提供者之间缺乏互操作性[13］．区块链创建了一个可访问的和权威的分类账的不同文档类型，作为一种方法，存储和收集信息从多个独立的系统[6］．区块链外数据存储可以集成为大文件或各种格式的广泛数据存储，并可扩展，以包括更大的健康和社会服务生态系统。区块链还可以用于促进应用程序编程接口(api)的通信，api可以以标准化格式重新构造、聚合和合并来自各种来源的数据。基于区块链的API模型允许在系统之间进行分散和权威的数据交换、用户身份识别、经过验证的交易历史和交易合法性证明[19］．

在这项研究中，我们描述了使用区块链解决方案进行试点测试的结果，以减轻目前无家可归者在服务获取和提供商之间数据交换方面的挑战。区块链在各种卫生保健环境中的潜力已在几项研究中得到检验[3.，4，6-9，14，20.，21］．然而，这些研究本质上是理论研究，据我们所知，没有发表的研究检验了区块链在现实生活中的可行性、有效性或表现。在这项研究中，我们使用了一个私有的、经过许可的区块链系统来安全存储和传输文档，并计划集成了用于系统间数据访问和从遗留数据库传输的API。这种模式还允许个人通过上传官方文件和与选定的组织共享自己或供应商上传的记录来访问和控制自己的数据。我们在这项研究中的方法旨在增加机构、动机和控制，同时减少无家可归者的服务障碍，并为服务提供者提供更完整和准确的信息。

方法

生成可测试的假设

德克萨斯州奥斯汀市是由彭博慈善基金会赞助的2018年市长挑战赛评选出的35个城市之一。竞赛旨在为城市领导人提供创新和可扩展的解决方案，以应对当地的紧迫挑战。在市长挑战赛中选出的每一个冠军城市都要在6个月的时间里对他们的想法进行原型测试。通过戴尔医学院、奥斯汀市技术创新办公室、奥斯汀特拉维斯县紧急医疗服务机构和社区组织之间的合作，开展了一项试点研究，测试使用区块链技术来验证无家可归者的身份。

参加市长挑战赛需要一系列步骤来设计和实施测试。首先，我们确定了理念背后的假设，这是涉众参与所必需的。我们发现，为了成功实现我们的解决方案，必须测试并证明以下一组假设是有效的(参见文本框1):(1)我们的原型平台将适用于奥斯汀的PEH， (2) PEH将能够了解其功能并同意参与这样的系统，(3)提供商将能够访问和信任平台上的信息，(4)区块链技术对于管理PEH的身份至关重要，(5)数据的隐私和机密性将得到保护，(6)服务交付将得到便利，(7)通过在平台上共享治理，以标准化的方式共享数据，将提高组织间的效率。在确定如何测试和评估这些假设之后，我们根据现实生活中的发现、用户反馈和对我们想法的不断发展的理解，开发和修改原型和测试。在原型测试中，我们使用了现有的区块链技术平台，该平台已在美国境外实施，用于管理难民身份。

其次，我们确定了构成基于区块链技术的平台的适当测试的标记(参见表1)．为了有效，该平台需要允许个人通过创建帐户进入系统。他们需要能够上传文档，然后与他人共享这些文档，并控制哪些文档与哪些其他参与者共享。服务提供者需要能够额外地执行事务，特别是身份验证事务，并彼此共享信息。所有这些操作和信息片段都需要被记录和可用，根据用户控制的权限进行不同的访问，并保持安全保护和不可更改。整个系统需要易于用户理解。

在测试我们的假设之前，我们与无家可归的人群进行了初步接触，以确定他们的需求和担忧。在12个月期间，每两周举行一次两小时的会议。与会者包括奥斯汀市的20名无家可归者，以及来自奥斯汀市创新办公室的1至2名工作人员，他们定期与无家可归者进行互动。无家可归的参与者每月轮换一次，以包括更大的人口子集，每个参与者的时间报酬为每小时20美元。会议包括开放式问题，涉及那些有无家可归经历的人在日常生活中面临的困难，与服务提供者互动，维护文件，填写申请。

基于这些讨论和我们收到的对问题的回答表2，我们开发了一个文档列表，这些文档对于测试我们的解决方案最有用。图1列出了文档类型和组织类型，并给出了重新获得特定文档的难度。这一数字让人了解到无家可归者需要什么才能证明自己的身份，以获得服务，特别是那些提供医疗保健和潜在住房的服务。

可以看出，核实身份所需的文件因各类组织而异。然而，每个组织都需要一个带有照片的官方身份证件;然而，约三分之一的客户在首次进入系统时缺乏这种基本身份证件。替换带照片的ID是一项耗时的工作。大约一半出席会议的用户没有保险卡，这是许多组织所要求的。但是，查看整个图，可以清楚地看到，管理身份涉及管理众多服务组织中的大量身份文档。

由于一些假设有重叠的方面，我们在下面的子组中描述了我们测试所有7个假设的方法。

‎ 查看此图

测试假设1和5:平台的可用性和安全性

我们在2018年6月14日和2018年7月13日的两次会议中测试了关于现有私有、许可的区块链平台的可行性以及数据的安全性和隐私性的假设1和5。在第一个会话中，我们的测试计划是让无家可归的客户端建立一个帐户，将文档上传到区块链上，拒绝来自某个组织的连接请求，接受来自某个组织的连接请求，并参与客户端与2个服务提供商之间的三方交易。所有测试都是由平台提供商工作人员、我们的团队成员和2名无家可归的人进行的。在与无家可归的参与者进行测试之前，我们的团队成员创建了模拟提供者帐户。对于我们的第二个测试会话，我们修改了用户界面，以便帐户配置文件包含用户的图片和姓名，以及一般配置文件信息、身份文件、医疗文件和家属或紧急联系人的类别。

测试假设2:用户参与和对技术的理解

我们在2个快闪资源诊所测试了我们关于用户参与的假设(假设2)，在那里无家可归者可以获得多种健康、社会和其他服务干预。我们的团队由8名市政府官员和5名个人组成，共采访了34名无家可归的居民。在34名无家可归的居民中，15人同意参与，11人表示有兴趣，当有更多的信息和工作平台时，8人要么拒绝参与，要么没有完成讨论。

与会者有机会就一项旨在安全存储和共享文档的技术进行讨论并提供反馈。在我们与无家可归的参与者的讨论中，我们使用了我们平台的3个不同的原型，这些原型与现实生活中的DLT平台的保真度不断提高。在最低层次上，为了以非技术的方式解释DLT的概念，我们使用带锁和钥匙的几个日志创建了平台的原型(图2)．每个日志代表用户或服务提供者的记录。在DLT中，当一个文档(或其他记录)被写入日志或上传到区块链上时，在被授予权限之前，个人网络中的其他用户都无法看到其内容，即使他们知道分类账(或链上的区块)中存在一个现有条目。在我们的测试类比中，授予权限由打开特定物理日志的锁的密钥表示。我们还演示了分布式数据存储，从用户的日志中撕下一张纸，并将这些纸分散到代表不同机构的桶中。在此场景中，当使用许可访问文档时，各个片段将被重新组装。

为了提高原型的保真度，我们接下来展示了带有示例交易的平台原型的屏幕截图，然后，在最高保真级别上，展示了带有上传数据的移动电话上的数字原型。这两个原型用于进一步解释技术和平台概念。基于静态截图的原型显示了不同类型文件的预期类别(例如，身份、居住地、医疗概况、工作经历、教育程度和子女/首选联系人)。我们还展示了提供者请求查看用户数据的权限的屏幕截图，接受并给予提供者查看特定文档的权限，以及显示与提供者共享文档的事务历史。

在我们项目的这个阶段，高保真原型平台被用来演示通过该平台上传和查看驾照的图片。对于我们的用例，用于难民的原型平台根本没有进行任何修改。因此，我们的演示是在沙盒或封闭的非实时测试环境中执行的，以安全地对Web或软件项目进行实验。我们还决定使用示例文档进行进一步的测试，直到该技术完全配置并且没有错误为止。

通过参与同意书和开放式问题的定性反馈来衡量对指标的理解和接受程度。

‎ 查看此图

测试假设3、6和7:利益相关者参与和组织/数据标准

我们通过与奥斯汀市区社区法院、中央卫生部门和ECHO的代表进行访谈，测试了有关利益相关者参与和组织和数据标准的假设3、6和7，这些代表定期与PEH互动并提供服务(多媒体附件1)．我们首先向与会者解释了技术平台、其相关特性，以及我们测试其在解决医疗保健和社会服务的PEH身份管理方面的实用性的假设。每位代表都有机会对半结构化、便利的讨论作出答复。

结果

假设检验

在方法一节中可以清楚地看到，每种方法都测试了多个假设。因此，在适当的时候，我们注意哪些假设正在被测试。特别要注意的是，关于促进服务事务的数据可用性的假设6渗透到测试过程的大多数方面。这些假设列在文本框1，更详细的测试结果列于多媒体附件2．

假设1和5

在测试假设1和5时，我们的两个无家可归的参与者都能够建立一个用户帐户，接受连接请求，拒绝和接受提供者连接请求，并与提供者交换事务。中显示了具体的观察结果、遇到的困难以及它们与我们的项目和测试假设的相关性多媒体附录2而且3.．在第二阶段，通过对测试的修改，由于输入大量个人信息而产生的一些入职工作流在查找和分类文档类型方面创建了更精简的用户体验。然而，测试人员仍然遇到了一些挑战(多媒体附录2而且3.)，以补充先前在多媒体附件2关于平台特性和功能。一般来说，用户遇到的问题往往可以分为5类:信任自上传的文档、理解区块链概念、平台性能问题、对工作流的混淆和隐私问题。我们将在下面的讨论中回到这个问题。

总体而言，即使需要指导，平台上的用户也能够完成预期的任务，但有明确的问题需要解决。试图使用一个现有的平台来帮助难民，而不进行修改，并不能转化为与那些无家可归的人一起工作的用例。此外，隐私和安全确实对最终用户至关重要。

假设2和6

我们的测试结果表明，无家可归者能够理解这个平台及其潜在的好处，并且大多数人同意立即或稍后参与。来自PEH测试参与者的反馈包括需要在平台上验证和验证更广泛的文件，这导致我们考虑未来扩展的可能性，例如涉及州或联邦机构。我们还计划创建基准文件，为住房、残疾福利、补充营养援助计划(SNAP)、医疗、法院文件和保险等服务提供便利。每个基准文档都包含来自多个提供者的验证，以确保服务所需的文档已经获得并经过验证，从而提高服务提供者的效率，并改善无家可归的客户获得服务的机会。

假设3和6

结果显示，提供商将接受通过区块链平台共享的数据，但允许的文档保真度因组织而异。具体来说，被认为是认证文件的要求各不相同(见表3)．需要硬拷贝的交易包括雇佣文件、银行交易、社会保障和重要记录，如果不改变数据标准，这些都很难包括在内。医疗访问计划卡(当地健康保险卡)、SNAP申请文件和住房申请许可文件副本，可以轻松促进交易，而无需调整数据标准。

客户对组织间记录或文件的需求也各不相同。许多供应商保留了客户记录的内部数字副本，并在没有身份证明的情况下为无家可归者提供服务，因为针对这一人群的政策很灵活。对于社会保障、残疾福利、过渡性住房或康复服务来说，身份证明文件是不必要的，但缺乏身份证明文件可能会延误医院的医疗服务。这些供应商设想了分布式账本系统的作用，当客户不批准文件存储和时间敏感的文件时，例如需要证明居民身份的当前公用事业账单。在这些情况下，如果提供商员工知道哪些类型的文档是可用的，并且不需要查看额外的信息就可以轻松找到感兴趣的文档，则可以提高系统级的效率。

假设4

为了适应一个新的系统(比如我们的平台)，组织工作流程中的潜在变化是另一个摩擦领域。由美国住房和城市发展部(HUD)提供的HMIS已经在全国广泛使用，作为一个中央数据库，秘密汇总无家可归者的数据和向这些人提供的住房供应。文档和id的副本可以通过HMIS存储，由HUD资助的组织必须使用HMIS保存客户数据。从服务提供者的角度来看，区块链对于当前未存储在HMIS数据库中的文档或用于客户个人使用以跟踪服务所需的未来约会和待处理文档最有用。这表明，区块链平台可能暂时与其他现有数据库或信息系统互补，增加了使用遗留系统难以建立的新功能。

假设5和6

技术方面的担忧包括不可磨灭和不可更改的客户端数据的隐私性和保密性，这种服务可能不会长期成功。服务提供者一致认为，这项技术对非无家可归者也有价值，但对于无家可归者是否能克服技术障碍，人们的看法不一。无家可归者中最弱势的群体很难保留一部手机，记住他们的电子邮件id和密码，这使得平台的访问和使用变得复杂。易用性和隐私/安全问题之间总是存在一定程度的紧张关系。然而，充分解决后者可能有助于为前者提供更实际的解决办法。PEH是否准备好克服使用该解决方案的任何具体要求，似乎取决于他们有多少问题通过使用这样的平台得到了有效解决。

假设7

对面试反馈的分析阐明了每个组织对明确定义的角色的要求。并不是所有的提供者都希望承担帐户创建、文档验证和解决事务或帐户合法性的责任或额外的工作流程。在组织之间共享个人健康信息和其他客户数据时，有关遵守《健康保险携带与责任法案》(HIPAA)的法律问题和担忧进一步限制了利益相关者的角色、参与和组织间效率。关于管理和管理角色的标准化流程的问题仍然没有解决。目前尚不清楚奥斯汀市是否有能力管理区块链平台，也不清楚该市是否有另一个组织拥有所有其他利益相关者和普通公民的能力和信任，包括PEH。

假设1和4

测试的结果表明，我们选择使用的平台缺乏我们特定用例所需要的核心功能和配置。用户体验非常耗时，而且对于帐户创建和数据共享等任务不直观，这可能会阻碍客户端和提供商对平台的理解、接受和采用。在保护隐私和机密性的同时，无法安全地共享已验证的数据;因此，区块链平台上的数据交易不能促进业务，也不能提高组织间的效率。在这个平台上共享和交易数据的性质是特定于小农和难民的原始用例，不适合我们安全地共享和存储文件的目的。由于项目的时间框架和预算，我们与平台提供商的合同限制了有限的修改，我们无法为我们的用例进行必要的更改来继续测试这个平台。考虑到这些发现，对两个平台用例等价性的假设4的测试是无效的。

讨论

主要研究结果

安全、快速、可靠地共享经过验证的健康和身份数据对于改善普通人群、特别是无家可归者等弱势群体的生活质量和健康结果至关重要。我们的项目测试了基于区块链的平台是否具有管理数据许可访问和分发的功能，同时使患者能够控制自己的记录。该研究还表明，在试验或大规模生产之前，需要解决建立和运行区块链系统的挑战。

虽然通过区块链可以更广泛和及时地获得健康和身份记录，但转移到新系统以及就提高效率和结果的最佳使用方法对专业人员和患者进行培训是有成本的。在服务不足的人群中，最初的采用取决于用户友好的界面和最终用户的体验，这些体验反映了不同程度的技术获取和能力。对区块链技术和用法的不熟悉也给服务提供商的采用带来了挑战。了解区块链技术的基本原则对于赋予系统信任、允许工作流更改、提高组织效率和防止额外验证授权文档的负担是必要的。参与区块链系统的机构还必须就可在区块链上存储或传输的数据大小达成一致，以使系统性能最大化[7，12］．

我们的研究表明，区块链可用于管理个人和健康数据，促进互操作性、患者对文档的控制，以及在保持数据隐私和安全的同时记录同意的文档访问。一个经过验证的、不可篡改的、去中心化的账本可以提高系统和交易的可信度，但不能保证从源头上没有伪造或错误。在没有手动内容验证程序的情况下，这些错误在区块链中一直存在[10，22，23］．我们的研究结果表明，私人的、基于许可的区块链可能适用于敏感的个人和健康信息，并具有监管准则和标准，以确保数据的适当使用。在获批准的系统中，参与机构须决定由谁负责开设新帐户[10］．个别用户亦可要求抹除其个人资料[11］．如果数据是受保护的健康信息(PHI)， HIPAA要求在未经授权的访问时删除它。当数据存储设备退役时，PHI也必须被销毁。只有当文档没有存储在区块链中时，才可以这样做。如果数据存储在区块链外的数据存储库或数据库中，则链中仍可能保留已删除数据的存在记录[24］．对于PHI的元数据是否被认为是PHI存在歧义[25]，但就HIPAA和数据隐私标准的应用提供法律咨询对于确保遵守监管框架至关重要[24，26］．对于私有的、部分集中的区块链，这些数据和使用标准存在潜在的限制。为达到合规性和供应商中立性，可能需要一个外部执行机构[12］．

限制

市长挑战项目的时间和预算限制了我们为用例完全修改平台的能力。我们无法开发一种终端用户体验，以促进无家可归的客户端采用，也无法在工作流、政策和数据共享协议方面进行更改，以实现区块链技术的最佳使用。我们原始平台的重大安全性和可用性问题阻碍了在实证环境中大规模实施。

需要进一步的研究来比较基于区块链技术的方法与其他替代方法的疗效和成本。虽然这里提出的研究显示了基于区块链的方法的潜力，但我们需要更好地理解其相对收益和成本。例如，奥斯汀市可以创建一个中央数据库，所有合作伙伴和合作者都同意将他们的数据添加到该数据库中。需要解决的问题是，是否所有参与者都将采用标准数据类型和城市拥有的集中式数据库。例如，经验表明，并非所有倡导组织或无家可归者都完全信任市政府。然而，这里的目的是展示基于区块链的方法是否可行，而不是解决相对有效性的问题。

与之前工作的比较

迄今为止，已有几项研究探索了区块链在解决卫生保健部门关键问题方面的潜在应用。这项研究展示了一种方法和严谨性，用于测试区块链是否可以用于安全地存储和跟踪经过验证的文档，促进客户端数据所有权，并通过促进基于权限的数据共享来提高互操作性。这项研究为未来的研究铺平了道路，详细介绍了成功和可扩展实施的具体组织、后勤和系统考虑因素。

结论

区块链可提供一种经同意访问已验证的个人和健康数据的方法，从而在不损害数据安全性或隐私的情况下提高互操作性[12，24］．现有的解决方案在大规模采用之前需要经过严格的测试。我们根据最终用户、PEH和服务提供商对要测试的重要方面的反馈制定了假设。我们积极地让这些团队使用现有的平台来测试假设，并发现由于平台的限制、试点中时间和资源的限制以及这种新技术的法律和合规性影响缺乏清晰度，许多假设无法得到验证。根据我们通过这项试点研究获得的经验，我们认为，使用区块链外数据湖或现有提供商数据库进行PHI存储，并系统地存储链上的健康记录索引和相关元数据，可以在遵守隐私和监管标准的同时管理访问和数据控制[24，27］．在区块链上保存有限的个人资料，可最大限度地提高交易速度和区块链系统的可扩展性[11，12，20.］．通过API，组织可以集成数据，并以可用的格式接收准确、更新的信息[19］．更快的实时数据可用性减少了服务延迟[10，11，28]并促进基于结果和疗效的协调卫生保健和专门治疗。将数据所有权和控制权转移给个人，可优化获得卫生和社会服务的机会，并通过有选择地与提供者或研究人员共享信息和数据，使患者参与自己的护理[29-31］．患者报告的可衡量结果和来自移动应用程序或人体传感器的数据也可以集成，为所有实时健康数据创建一个单一的接入点，并改善个性化医疗保健[12，13］．这些好处超过了区块链系统在采用、使用和投资方面的挑战。当前建议的应用和对区块链实施的持续研究对于制定具有成本效益的区块链运营战略至关重要，同时确保医疗保健生态系统的效率、数据隐私和可扩展性[24］．