为了分析之前的工作，我们首先收集并分析了用于电子健康数据互操作性的知名医疗保健标准。在分析标准后，我们使用术语“区块链”和“访问或数据共享或访问控制”以及“医疗保健”在IEEE Xplore, Wiley在线图书馆，ScienceDirect和MDPI中检索了与区块链相关的现有医疗保健研究。结果确定了IEEE Xplore的501篇论文，Wiley在线图书馆的943篇文章，ScienceDirect的2599篇文章，MDPI的24219篇文章。为了选择合适的研究，我们根据这些结果添加了一些过滤器(即发表于2018年至2022年，被≥5家期刊引用)。我们还审查了论文的摘要和标题。在这些工作的基础上，我们最终选择了9篇论文(即，IEEE Xplore: n= 4,44%;威利在线图书馆:n=2, 22%;ScienceDirect: n= 2,22%;MDPI: n=1, 11%)。

此外，我们在谷歌Scholar中使用“医疗保健研究平台”和“临床研究平台”检索了2015 - 2022年的医疗保健研究平台。结果显示，每个关键词分别约有84.9万篇和148万篇论文。为了确定合适的研究，我们还回顾了摘要和标题。特别地，我们检查了每个研究中的安全解决方案，最终选择了6篇论文。本节详细分析了通过这些过程确定的研究。

长期以来，由于互操作性问题，例如表示方式(如词汇表和术语)、设备和数据格式的差异，电子健康数据仅限于在医疗保健提供者之间共享和访问。这些问题目前使卫生保健提供者难以确保对患者的护理连续性或分析卫生保健中的电子卫生数据。因此，许多医疗保健组织正在发布医疗保健中电子健康数据的互操作性标准。临床文件架构[ 15是由Health Level 7 (HL7)设计的用于临床文档交换的基于xml的标记标准。CDA规定了用于医疗保健系统之间交互的临床文档的结构和语义。CDA的核心是易于交换临床文件并使其可读。然而，基于cda的文档有使其复杂和困难的缺点。出于这个原因，CDA已经扩展为改进了复杂性和互操作性的统一CDA。快速医疗保健互操作性资源(FHIR) [ 16是一个标准，以确保卫生保健系统或服务的互操作性也是由HL7开发的。FHIR改进了以前开发的HL7版本2和3的局限性(例如，实现复杂性和结构化数据模型)，以使医疗信息交换更容易。此外，它是基于表征状态传输体系结构开发的，因此很容易为移动电话、可穿戴设备和平板电脑以外的设备实现医疗服务。因此，FHIR是目前医疗保健中最流行的电子健康数据互操作性标准之一。观察性医疗结果伙伴关系(OMOP)通用数据模型(CDM) [ 17是由观察性健康数据科学和信息学管理的电子健康数据模型的开放社区标准。OMOP CDM通过构建数据模型和观测数据内容，解决了eHealth的互操作性问题。OMOP CDM对eHealth数据进行结构化，以提供公共数据模型，并通过OMOP将其转换为公共表示，以提供公共物理和逻辑互操作性模型。当通过OMOP CDM设计医疗保健数据库时，它可以使用标准化的分析工具，并帮助系统地分析电子医疗数据。它还提高了联合研究的效率。医学数码影像及通讯[ 18是医学成像(如磁共振成像、计算机断层扫描和x射线)互操作性的数据格式标准。DICOM定义了医学成像的格式，使各种成像设备捕获的医学图像可以传输和交换。DICOM通常通过图片存档和通信系统进行存储、处理和传输，目前在医疗保健领域最为人所知。跨企业文件共享[ 19]是集成医疗保健企业于2004年开发的电子健康数据的集成概要文件。特别是，XDS可以共享各种基于标准的临床文档，如HL7 CDA、通用字符串和二进制数据。换句话说，XDS代表一种全面和通用的技术。除了上述标准之外，许多卫生保健组织正在为电子卫生数据的互操作性制定各种标准。我们认为这些标准并不能提供电子卫生数据的完美互操作性，但在不久的将来仍可得到解决。因此，eHealth数据的互操作性是卫生保健研究平台的主要需求，但不是本研究的主要重点。

区块链具有许多优点(如数据完整性、去中心化和可编程智能合约)，因此许多研究领域一直在尝试使用它。特别是，区块链已被广泛用于解决eHealth数据的完整性、可伸缩性和共享问题。然而，此外，由于隐私和安全问题，电子健康数据需要安全机制，如访问控制、加密和身份验证。因此，许多研究通常将这些安全机制与区块链一起使用。 表1展示了这些研究和HBDP的优缺点。杨等[ 20.]提出了一种架构，可以在现有的医疗保健系统中使用区块链。体系结构使用两个智能契约(即摘要契约和记录关系契约)记录了所有的选择、插入、删除等操作，以保证数据记录的完整性。该体系结构还通过访问控制列表执行访问控制。马丁等[ 21提出了一个基于区块链、以患者为中心的PHR管理系统。系统使用可信任的oracle执行代理重加密来安全地共享PHRs。此外，该系统使用声誉系统来跟踪神谕者的行为，并给出一个评级分数来识别行为不当的神谕者。因此，该系统可以让他们安全地获取、存储和共享医疗数据。张等[ 22]提出了基于区块链的临床数据共享架构。该体系结构使用FHIR标准和区块链来解决临床数据互操作性问题，称为FHIRChain。FHIRChain有助于实现医生之间的协同临床决策。它还允许在无信任和去中心化的环境中共享临床数据，并通过智能合约进行审计。沙纳兹等[ 23为使用智能合约的emr设计了基于角色的访问控制(RBAC)框架。他们专注于通过链下扩展机制解决区块链的可扩展性问题。

唐华等[ 24]提出了一个基于权限的系统架构，可以使用区块链共享eHealth数据。在此架构中，患者可以通过客户端应用程序加入区块链网络，并通过链码在区块链网络上更新他们的eHealth数据。他们还可以授予或撤销临床医生和研究人员使用其电子健康数据的许可。总之，该架构实现了以患者为中心的电子健康数据共享。费格罗亚等[ 25]为医疗保健射频识别系统的安全性使用了基于属性的访问控制。他们专注于使用区块链解决系统问题，如可伸缩性、同步和单点故障。最终，该系统提供了从合适位置使用医疗资产的访问控制。达拉米等[ 26]设计了一个名为MedChain的基于区块链的EMR管理系统。他们使用权威证明改进了阻塞时间和系统性能。他们还使用基于时间的智能合约来保护电子病历的隐私和监控。简而言之，它们使用身份验证技术、哈希函数和代理重新加密提供了安全的环境、数据完整性、可审计性和可访问性。考尔等人[ 27]提出了基于区块链的存储，用于安全共享和查询eHealth数据。考虑到非结构化eHealth数据，存储使用CouchDB。并将EMRs存储在区块链的下链和散列中，以保证EMRs的完整性，提高存储效率。郭等[ 28]提出了基于云的远程医疗系统的多权威ABE方案。特别是，该方案使用区块链保护电子健康数据(例如诊断意见)的完整性。此外，该方案易于更新和撤销访问策略。

大多数研究[ 20.- 28]只关注区块链，以确保医院之间安全共享和电子健康数据的完整性。它们通常通过区块链提到可追溯性和问责制，但它们并不代表监测和问责制的方法。但是，应该提供这些方法来确保安全的环境。在开放环境下的卫生保健研究平台中，问责制尤其重要。基于这些原因，与其他研究不同，HBDP侧重于描述基于区块链的检测方法，以确保问责。另外，在HBDP中，即使导出了eHealth数据，也不能保证数据的可用性，只能在HBDP中解密使用。如前所述，这项研究首次关注在开放环境中安全使用电子健康数据的问责制。

由于大数据分析技术的快速发展，在医疗保健研究中使用电子健康数据可以从根本上改善医疗保健。出于这个原因，一些研究提出了医疗保健研究平台，可用于使用电子健康数据进行研究。在本节中，我们将重点回顾这些研究平台的安全角度的文献。欧扎丁等[ 29]提出了一个数据仓库的设计，这是一个医疗保健研究和分析数据基础设施解决方案(HRADIS)。HRADIS侧重于用于集成不同电子卫生数据以提高卫生保健效率的基础设施。HRADIS包括用于RBAC的帐户管理框架，用于一些电子健康数据。伦恩等[ 30.]提出了一个基于云的数字健康研究平台，用于国家纵向队列研究。该平台收集和管理性少数和性别少数成年人的电子健康数据。在该平台中，所有微服务都在子网内，使用虚拟私有云，eHealth数据静态加密后安全存储在MySQL DB中。此外，平台采用开放的编程接口授权、基于SMS文本消息的双因素认证和日志服务来识别恶意用户，确保eHealth数据的安全性。阿什法克等[ 31]描述了瑞典哈兰的区域卫生保健信息平台。该平台基本上在瑞典法规和关于患者数据的GDPR范围内运行。在该平台上，只能通过区域IT防火墙保护的内部客户端访问eHealth数据。客户只能在瑞典伦理审查委员会批准的医疗保健项目中使用相关研究人员。特别是，该平台提供匿名的eHealth数据以确保隐私。康德等人[ 32]提出了一个基于开源的研究平台，以支持临床和转化研究，ITCBio。ITCBio平台支持角色和访问管理工具，以促进研究合作并确保安全。它还提供动态同意，使患者和研究人员之间能够进行持续和灵活的沟通。德摩尔等[ 33]描述了一个可扩展和可适应的平台，用于电子健康数据系统和临床研究系统的互操作性。他们还详细介绍了基于许多安全相关标准的安全体系结构。特别是，该体系结构支持各种安全解决方案，如身份管理和凭据委托。琼斯等人[ 34]提出了安全匿名信息链接数据库，该数据库确保了物理、技术和程序控制。安全匿名信息链接数据库提供加密通信，并防止电子健康数据被传输到用户设备之外。它还通过用户凭证和2因素身份验证令牌执行用户身份验证。

多项研究[ 29- 34提出了使用电子健康数据的医疗保健研究平台。然而，大多数研究都集中在高效的研究环境上。一些研究也没有详细描述安全解决方案，尽管电子健康数据的安全性和隐私性是医疗保健研究平台的主要考虑因素。此外，正如前面在背景部分提到的，电子健康数据主体仍然关注电子健康数据的安全性和隐私性。因此，有必要研究一个更安全的医疗保健研究平台，保证电子健康数据的可用性，同时关注其安全性和隐私性。下一节将提出一个安全的、可扩展的卫生保健合作研究平台，称为HBDP。

卫生保健研究平台应正确理解和减轻安全威胁，以提供安全的分析环境。本节首先确定了医疗保健研究平台的潜在安全威胁。然后，我们定义了减轻这些威胁的sr。

在医疗保健研究平台上，可能会出现滥用和非法导出电子健康数据等各种安全威胁。然而，我们发现医疗保健领域的知名安全威胁是对医疗保健研究平台的威胁。换句话说，平台上可能会发生许多威胁，但我们明确地将重点放在可能频繁发生的威胁上。中概述了主要安全威胁的详细描述 文本框2．

一个开放环境中的协作式医疗研究平台应该满足不同的sr，从而减轻多种类型的安全威胁。然而，在本研究中，我们只关注了3个sr，这3个sr与基于上述识别的威胁的安全医疗保健研究平台的访问控制问责制高度相关。有关特别指标的详细描述载于 文本框3．

HBDP使用ABE对电子健康数据进行隐私和访问控制。特别是，即使内部人员泄露数据，也可以通过列级加密来确保eHealth数据的私密性。该平台还使用智能合约在区块链中记录用户活动(例如登录和解密)。因此，区块链允许平台管理员识别非法用户并进行适当的跟踪和监控。换句话说，区块链作为一个实时的分布式日志系统运行，并确保记录的用户活动的完整性和不可否认性。在本节中，为了介绍HBDP，我们首先解释框架中的假设和主要组件。然后我们详细描述了HBDP的各个阶段。

为了描述HBDP的框架和场景，我们首先定义了一些假设。特别地，我们提出了关于HBDP没有涵盖的其他sr(例如，安全通信、去身份识别、完整性和可用性)的假设。详细的假设概述于 文本框4．

我们提出了一个安全的医疗保健研究合作平台，以确保电子健康数据的隐私和安全，称为HBDP。 图2展示了我们提出的HBDP框架的简要概述。我们提出的框架有三个主要组成部分:用户、HBDP和区块链网络。中概述了主要组件的详细描述 文本框5．

为了演示和证明HBDP的可行性，我们实现了基于软件开发生命周期的框架的主要组件。软件开发生命周期通常配置为需求分析、设计、实现、测试和发展步骤。按照这些步骤，我们首先确定了SRs(请参阅卫生保健研究平台的安全威胁和需求部分中的SRs)。其次，这些组件是基于3个已确定的sr(即访问控制、存储的电子健康数据加密和问责制)设计的。第三，我们实现了这些组件。 文本框6详细显示配置和实现环境的规范。我们配置了区块链网络来检测非法用户，并配置了云环境来在HBDP中创建可扩展、协作和安全的环境。特别地，我们使用开源云操作系统OpenStack (Open Infrastructure Foundation)构建了云环境，然后使用基于Python的Flask框架(Python Software Foundation)开发了web服务器[ 42］．我们还开发了用于用户认证的Android应用程序，用于检测和监控非法用户的安全代理，以及用于记录和管理用户活动的链码。第四，通过结果部分中的案例研究，使用HBDP的安全分析对组件进行测试。最后，在讨论部分对组件进行分析，以评估它们。

图9展示了我们的实现和主要组件之间的交互的概述。如前所述，我们的实现是一个概念验证，用于演示HBDP实现的特性。

在医疗保健研究平台上，云环境不仅以软件即服务的形式提供各种大数据分析工具，还提供研究人员可以协作的环境。云环境还提供可伸缩性和开放环境。

图10展示了HBDP的一些页面。 图10A是当用户通过输入注册用户ID和密码成功登录时显示的页面。成功登录的用户可以随时访问该平台并下载可在中所示页面上使用的eHealth数据 图10B。

我们还开发了一个Android应用程序，使用指纹认证和实时位置信息。特别地，我们使用了Firebase (Firebase Inc) [ 43用来给安卓应用发送消息。 图11显示了实现的应用程序的一些页面 图11A，应用程序在平台上执行用户注册和设备注册。此外, 图11B为设备注册指纹认证和实时位置信息。最后, 图11当用户希望使用加密的eHealth数据时，C显示指纹身份验证请求。

此外，我们使用OpenABE库(Zeutro)来执行eHealth数据的加密和解密。电子健康数据是匿名的，来自韩国疾病控制和预防机构的公开数据。数据来自韩国国民健康与营养调查，包括身份证、性别、年龄、地区和收入。特别是，我们将实现中的敏感列定义为年龄和地区。 图12显示平台上每个阶段的eHealth数据。 图12A显示安全代理在平台上存储eHealth数据时使用列级加密。此外，当用户下载eHealth数据时，在使用存储在平台上的用户属性对列级加密的eHealth数据进行完全加密后，将提供这些数据，如所示 图12b .最后, 图12C显示解密的eHealth数据，平台上的授权用户可以使用这些数据。

通常，区块链中的块是由哈希值标识的，并且这些块是连接的，因为它们具有前一个块的哈希值。换句话说，除非所有参与者的区块都被修改，否则更改是不可能的。因此，在平台上，私有的区块链被用作分散的持久日志记录系统。我们使用Hyperledger Fabric (Linux基金会)构建了区块链网络，并设计了一个负责任的智能合约。 图13显示一个网页，用于检测使用分布式账本的非法用户(即，未经身份验证和未经授权的用户)。此页面帮助平台管理员搜索特定的用户活动，并在出现安全威胁时识别参与者并对其做出响应。简而言之，我们实现的分布式账本为HBDP提供了问责制和不可抵赖性。

除了上述安全威胁之外，在开放环境中的医疗保健研究平台上还可能出现许多安全威胁(例如，电子健康数据的误用和滥用)。因此，一个安全的医疗保健研究平台必须能够检测和跟踪威胁。本小节描述如何在开放环境中通过HBDP上的分布式账本检测两种典型的安全威胁——未经身份验证和未经授权的用户。此外，我们还提出了通过监控和访问控制过程检测其他安全威胁的可能性。

未经身份验证的用户尝试的最常见的攻击之一是暴力攻击。因此，在这个场景中，我们假设一个未经身份验证的用户通过窃取用户ID不断尝试登录(即对HBDP发起暴力攻击)。 图14显示检测平台上未经身份验证的用户的序列。下面几段将详细解释这个案例研究。

攻击者首先窃取HBDP上使用的用户ID，然后连接到平台，输入窃取的用户ID和随机密码。接收用户ID和密码的安全代理从用户DB中检索用户信息，并执行基于密码的用户身份验证。之后，安全代理请求区块链对等体将登录结果记录在分布式账本中。区块链对等体通过执行智能合约记录登录结果，并将记录的结果发送给安全代理。安全代理接收到记录的结果，然后通知攻击者登录失败。攻击者接收到失败的登录结果，然后不断尝试使用被盗用户ID的随机密码登录。如果重复上述顺序，并且登录失败2次以上，则安全代理将阻止该用户ID。此外，安全代理请求指纹认证以解除对注册到HBDP的设备的用户ID的封锁。因此，平台用户将能够识别出有人试图非法登录。此外，安全代理将这些尝试转发给平台管理员，以帮助他们根据分布式账本详细分析非法登录尝试。

可以从HBDP下载的eHealth数据取决于用户所在的部门和职位。因此，未经授权的用户有可能从授权用户接收加密的eHealth数据。因此，我们假设未经授权的eHealth数据用户希望使用非法共享或泄露的eHealth数据。 图15显示检测非法共享eHealth数据的程序。以下各段将详细说明。

未经授权的用户首先以错误的方式从授权用户获取加密的eHealth数据。非法用户登录HBDP后，上传非法共享的eHealth数据供登录平台后使用。接收eHealth数据的安全代理从用户DB中获取用户信息，并向注册的设备请求指纹认证。非法用户进行指纹认证。如果认证成功，设备将实时位置信息和签名一起发送给安全代理。然后，安全代理在验证签名后，使用接收到的属性和实时位置解密eHealth数据。但是，由于未授权用户的属性与用于加密eHealth数据的用户属性不匹配，因此eHealth数据解密失败。安全代理请求将解密结果记录在分布式账本上，然后在将未授权用户的活动记录在账本上后通知未授权用户解密失败。如果重复上述顺序并且解密再次失败，则安全代理将阻止用户ID。安全代理还将这些尝试发送给平台管理员，以帮助他们根据分类帐详细分析非法使用尝试。

在我们的实现中，可以检测和阻止各种安全威胁，以及未经身份验证和未经授权的用户。例如，即使攻击者试图通过窃取用户的ID和密码来解密eHealth数据，由于指纹认证失败，解密也是不可能的。此外，即使通过操作设备成功进行指纹验证，由于实时位置信息不正确，也无法解密。换句话说，HBDP确保了eHealth数据的安全性和隐私性。此外，由于所有用户在HBDP上的活动都记录在分布式账本中，平台管理员可以通过定期监控发现非法用户。特别是，即使要使用泄露的数据，也应该根据使用阶段在HBDP上对它们进行解密。因此，管理员可以通过监控发现这种行为。最后，即使恶意用户泄露，HBDP也不能通过列级加密确保eHealth数据的有用性。总之，HBDP可以为研究人员提供一个开放和安全的环境，在其中有效地分析电子健康数据。

我们的主要概念是为医疗保健提出一个安全的研究平台，并检测使用分布式账本的非法用户。对于这个概念，我们在前一节中介绍了案例研究。然而，性能是证明系统效率的一个重要因素，因此我们将在本节简要介绍并描述实现的HBDP的性能评估。

为了测量平均时间，我们执行了10轮加密和解密，改变行数和敏感列，如 文本框7．

图16显示每敏感列数对应的行数的平均加密和解密时间。 图16A显示基于行数的平均列级加密时间。在 图16A，如果最大行数为200,000，敏感列数为5，则最大平均时间约为10分钟。此外, 图16B显示用户从平台下载eHealth数据时，行数变化与每个加密敏感列数量变化的平均完全加密时间(请参阅下载阶段部分)。值得注意的是，由于这项工作对行进行加密，加密的敏感列的数量不会对完整加密时间产生很大影响。换句话说，加密时间不会随着加密敏感列数量的增加而显著增加。 图16C显示用户在HBDP上使用eHealth数据时的平均完全解密时间，包括行数与每个加密敏感列数的列级解密时间(请参阅使用阶段部分)。由于此工作执行两次解密，与完全加密相比，所需的解密时间显著增加。如果最大行数为200,000，敏感列数为5，则平均时间约为27分钟，因此对于实际情况，HBDP有一定的使用限制。但是，我们相信有几种方法可以解决这个问题。下面的小节将详细讨论这些方法。

私有的区块链是一个分布式日志系统，用于检测HBDP上的非法用户。因此，我们没有评估区块和查询时间，只关注区块链特性提供的可问责性和不可抵赖性。因此，在本节中，使用Hyperledger Caliper (Linux Foundation)来评估设计的智能合约的写入和读取时间[ 44］．我们首先在区块链网络的分类帐上执行了5轮写入事务，每轮有1000个事务，速率分别为每秒100、150、200、250和300个事务(TPS)，如图所示 文本框8．然后，我们以100、150、200、250和300 TPS的速率向分类帐的区块链网络执行5轮读取交易，在写入100笔交易后，每轮读取1000笔交易。特别是，此时，我们假设平台管理员搜索了100条以前用户活动的记录。

图17而且 图18显示执行的平均延迟和吞吐量。在 图17A, 1Org和1Peer在写模式下，300tps的时延<3秒，这比其他网络的时延要低得多。相反，具有1Peer写模式的1Org比其他网络具有更高的吞吐量(大约150 TPS)，如图所示 图18a .带1Peer的1Org在读模式下的平均延迟约为14秒，吞吐量约为300 TPS中的63 TPS，如图所示 图17B和 图18B.对于处于读模式的2Orgs和2Peers，在300 TPS中，平均延迟和吞吐量分别达到大约19秒和47 TPS。结果表明，许多组织和对等体在读写模式下都达到了高时延和低吞吐量，因此在写模式下，时延和吞吐量成反比。