醫療數據中病種隱私的計量與分析

臧國全 賈瑞瑩

摘 要：[目的/意義]計量醫療數據中的病種隱私值，并基于人口統計變量對病種隱私進行敏感性分析，為醫療隱私保護和醫療數據利用提供基礎條件。[方法/過程]采用聯合分析法，計算患者對醫療數據保護服務每個屬性的邊際支付意愿，求得醫療數據中病種的隱私值，通過獨立樣本T檢驗和單因素方差分析，研究不同個體特征之間病種隱私的差異是否具有統計學意義。[結果/結論]基于訪談法的預調查結果，艾滋病隱私值為最高;采用聯合分析法和Logit模型，計量其他病種隱私值，結果顯示，降序排列隱私值較高的病種為精神疾病、傳染病（艾滋病除外）、惡性腫瘤、心臟與腦血管疾病;基于人口統計變量的隱私值分析顯示，性別、年齡、受教育程度3個變量下醫療數據中病種隱私差異具有顯著性，且男性高于女性，年齡段為41～65歲的人群高于其他年齡段人群，教育程度越高隱私越大。

關鍵詞：醫療數據;病種隱私;隱私計量;聯合分析

DOI：10.3969/j.issn.1008-0821.2020.05.019

〔中圖分類號〕G250.252 〔文獻標識碼〕A 〔文章編號〕1008-0821（2020）05-0161-08

Measurement and Analysis of Disease Privacy in Medical Data

Zang Guoquan1，2 Jia Ruiying1

（1.School of Information Management，Zhengzhou University，Zhengzhou 450000，China;

2.Institute of Data Science，Zhengzhou University，Zhengzhou 450000，China）

Abstract：[Purpose/Significance]Measuring the privacy value of the disease in medical data and sensitivity analysis of disease privacy based on demographic variables provide basic conditions for medical privacy protection and medical data utilization.[Method/Process]Using the method of conjoint analysis，the privacy values of the diseases in medical data were obtained by calculating the patients marginal willingness to pay for each attribute of medical data protection service.And independent sample T-test and one-way ANOVA were used to investigate whether the differences in disease privacy between different individual characteristics were statistically significant.[Result/Conclusion]Pre-survey results based on interviews showed that AIDS had the highest privacy value;using the method of conjoint analysis and Logit model to measure the privacy value of other diseases，the results showed that the diseases with higher privacy value in descending order were mental diseases，infectious diseases（except AIDS），malignant tumors，heart and cerebrovascular diseases;Privacy value analysis based on demographic variables showed that there were significant differences in disease privacy among three variables：gender，age and education level.Males were higher than females，adults were higher than other age groups，and the higher education level，the greater privacy.

Key words：medical data;disease privacy;privacy measurement;conjoint analysis

1 問題提出

醫療數據是健康醫療大數據的重要部分。醫療數據是醫療機構通過其醫療信息系統采集的患者就醫過程中產生的數據。中共中央、國務院印發的《“健康中國2030”規劃綱要》和《關于促進和規范健康醫療大數據應用發展的指導意見》（2016）[1-2]，將健康醫療大數據分3類：健康數據（亦稱院外數據）、醫療數據（亦稱院內數據）和基因數據。據CHIMA（中華醫院管理學會信息管理專業委員會）調查（2017），85%以上醫院已實施醫療信息系統，產生的醫療數據在整個健康醫療大數據中規模占比最大，采集最完善[3]。

Logit模型的選擇理由。根據Green P E等的研究，聯合分析中將配對比較數據與選擇概率模型聯系起來的參數估計方法有Logit模型和Probit模型，相比之下，Logit模型能夠保證全局的最大似然估計，逼近真實似然，而且Logit模型更簡單，應用更加廣泛[9]。

2.3 聯合分析法運用于本研究的適用性分析

聯合分析法最早用于模擬產品，以得出消費者的總體偏好，后又用于模擬服務，包括虛擬服務。本研究假設一個提供醫療數據保護的服務項目，應用聯合分析法，模擬醫療數據中病種信息保護的服務項目，分析患者對各病種信息保護的選擇偏好及支付意愿。故在方法上是適用的。

病種的隱私值具有相對性，是患者相對于其他病種而言的隱私認知相對程度。比如，一般認為，艾滋病的隱私值最高，是相對于其他病種的界定，但艾滋病的絕對隱私值到底是多少，沒有一個確切的數值。聯合分析法將各病種放在一起，患者通過比較各病種保護狀態的服務項目輪廓計算病種的隱私值，此時的隱私值是各病種之間的患者隱私認知的相對值。因此，聯合分析法能夠滿足病種隱私值計量的特質需要。

估計消費者對某一產品和服務支付意愿的方法有很多種。除聯合分析法外，常見的還有條件價值法（Contingent Valuation Method）和BDM機制（Becker-DeGroot-Marshak Mechanism）。條件價值法只適合于具有單個屬性的產品或服務，而病種信息保護服務涉及多重屬性，故條件價值法不適合本項研究[10]。BDM機制采用市場拍賣原理，競標者對拍賣物品出價，為獲取該物品，競標者需給出能夠承受的最高報價，即支付意愿，若拍賣成功，競標者以上述支付意愿購買拍賣物品;很明顯，BDM機制拍賣的是實際商品，且該商品存在現實市場，而本研究中的病種信息保護服務是一個虛擬市場的模擬產品，故BDM機制也不適合本項研究[11]。

3 研究方案

3.1 醫療數據保護服務的屬性

為了確定醫療數據保護服務的屬性，采用訪談法預調查，了解用戶更關注的病種類型。本研究在鄭州大學第一附屬醫院隨機訪談40名患者，開放性訪談問題是“如果一個機構提供醫療數據保護服務，你期望保護哪些病種信息以不被泄露使用？”。經過統計，艾滋病的出現頻率為100%，為了保證結果的有效性，將艾滋病的隱私等級設置為最高，且不納入聯合分析。其他調查結果中，患者給出的病種既有具體疾病名稱，又有一類疾病的類稱，為了方便研究，按照病種類型聚類，為了使研究具有可行性，僅選擇頻率排名前4的病種，結果為：精神疾病、傳染病（艾滋病除外）、惡性腫瘤、心臟與腦血管疾病，每類病種為醫療數據保護服務的屬性，每個屬性設置兩個水平，見表1。

3.2 調查方案

本項調查中，4個病種屬性均有2個層次，一個費用屬性有4個層次，醫療數據保護服務項目輪廓64個（24x4）。然而，將64個服務項目輪廓全部進行比較是不切實際的，因為比較次數太多會降

根據IBM Security和Ponemon Institute的一項調研[12]，連續8年來，健康醫療機構的患者健康醫療數據泄露損失最高，單個數據項丟失和被盜所產生的損失為408美元，幾乎是其他領域平均值148美元的3倍。如果從泄露損失中提取很小部分用于購買醫療數據保護服務，可大大降低產生的損失。所以，本研究采取損失金額的2%、4%和6%作為第5個屬性中的不同水平。

低受訪者對調查的注意力。為此，采用正交設計法，使用SPSS23.0中正交設計模塊，降低比較次數，選擇部分比較代替完全比較，去除明顯不合理服務項目輪廓（比如，前4個屬性的水平均為“保護狀態”，但第5個屬性的水平為0元），最終構建的7個服務項目輪廓見表2。

本研究的調查問卷分為兩部分：一是患者的人口統計學特征和所患病種;二是患者對所提供的兩兩匹配的醫療數據保護的服務項目輪廓的選擇（見表3調查樣表）。

3.3 調查對象來源

調查對象來自鄭州大學第一附屬醫院的住院患者，且至少患有上述4類疾病之一。調查樣本總數為453個，每類病種患者至少有100人。去除無效樣本，比如21次比較中選中的選擇項相同，或存在任一比較中不做選擇的，剩余有效樣本400個，且每類病種患者至少有100人，病種分布比較均勻。

4 結果與討論

4.1 樣本特征的描述

4.2 Logit模型的使用

應用SPSS的二元Logitistic分析工具，可得到醫療數據的保護服務項目各屬性的相關系數，見表5。

β值的涵義。Logit模型中，屬性的β值涵義是聯合分析中受訪者使用產品（服務）中的對應屬性所獲效用的程度描述，“1”表示效用最大，“0”表示無效用，負值表示屬性與效用之間負相關。針對本項研究，產品是醫療數據保護服務項目，屬性是病種，受訪者是患者，效用是患者使用該服務項目提供的保護該病種服務所獲得的收益。因此，表5中4個病種屬性的β值均為正值，表明患者使用病種保護服務均可獲得效用。β值越大，患者所獲效用越高，反之越低，由表5可知，精神疾病保護服務的效用最大，其他依次為傳染病（艾滋病除外）、惡性腫瘤、心臟與腦血管疾病的保護服務。支付費用屬性的β值為負值，表明患者從該屬性中獲得的是負效用。

Wald值的作用。用于Logit回歸模型中β值的顯著性檢驗，顯著性水平為0.05情況下的Wald統計量臨界值為3.481。從表5可知，5個屬性的Wald值均大于臨界值，表明5個屬性的β系數都在99.5%的置信水平下成立。

p值的作用。也用于β值的顯著性檢驗，p值小于0.01情況下β系數在99%的置信水平下成立。表5可知，5個屬性的p值均為0，表明5個屬性的β系數均通過p值檢驗。

4.3 病種隱私值的計量

根據Itsubo N等研究結果[13]，將上述得出各病種信息保護服務的β值除以愿意支付的醫療數據保護服務費用β值的相反值（因為服務費用β值為負值），即為患者對醫療數據保護服務項目各病種的邊際支付意愿，見表6。

根據上述分析，病種的邊際支付意愿即為病種的隱私值。因此，根據表6，精神疾病的隱私值最高，為30.81;其他依次為：傳染病（艾滋病除外）（29.90）、惡性腫瘤（23.95）、心臟與腦血管疾病（17.71）。

4.4 基于人口統計變量的隱私值分析

使用SPSS進行獨立樣本T檢驗和單因素方差分析，研究不同個體特征之間隱私值是否存在顯著差異。前者比較兩個分組個案，后者可比較多組樣本。本項研究中，收集4項人口統計學變量：性別、年齡、受教育程度、婚姻狀況，其中性別和婚姻狀況為兩分組樣本，適合獨立樣本T檢驗，年齡和受教育程度為多組樣本，適合單因素方差分析。基于上述隱私值計量方法，計算各個體特征下的隱私值，進行顯著性檢驗，結果顯示：婚姻變量下患者對不同病種隱私值不存在顯著差異，但其他3個變量下的差異顯著，故本節僅分析性別、年齡、受教育程度3個變量下的隱私值差異。

性別變量。該變量下患者對不同病種隱私值的獨立樣本T檢驗結果見表7。由于各病種隱私值的顯著性p值均小于標準值0.05，性別變量對每個病種隱私值均有顯著影響，且統計結果男性的隱私值均高于女性，可能原因是男性的事業心較強，更擔心所患疾病的泄露給自己事業帶來影響。

4.3 病種隱私值的計量

根據Itsubo N等研究結果[13]，將上述得出各病種信息保護服務的β值除以愿意支付的醫療數據保護服務費用β值的相反值（因為服務費用β值為負值），即為患者對醫療數據保護服務項目各病種的邊際支付意愿，見表6。

年齡變量。該變量下患者對不同病種隱私值的單因素方差分析結果見表8。由于各病種隱私值的顯著性p值也均小于標準值0.05，年齡變量對每個病種隱私值均有顯著影響，且統計結果為41～65歲的隱私值最高，18～40歲的次之，66歲以上最低，可能原因是年齡段為41～65歲的患者正值事業高峰期，更擔心所患疾病的泄露給自己事業帶來影響。

受教育程度變量。該變量下患者對不同病種隱私值的單因素方差分析結果見表9。由于各病種隱私值的顯著性p值同樣也均小于標準值0.05，受教育程度變量對每個病種隱私值均有顯著影響，且統計結果均為受教育程度越高，隱私值越高。可能原因是教育程度的提升不僅提高對隱私的認知程度，而且社會身份和工作地位也會提高，進而導致對隱私泄露更加敏感。 -font-family：宋體; mso-bidi-font-family：宋體'>病種隱私值的計量

根據Itsubo N等研究結果[13]，將上述得出各病種信息保護服務的β值除以愿意支付的醫療數據保護服務費用β值的相反值（因為服務費用β值為負值），即為患者對醫療數據保護服務項目各病種的邊際支付意愿，見表6。

5 結束語

本文采用聯合分析法結合Logit模型，計量醫療數據中主要病種的隱私值，除了可應用于醫療隱私識別和隱私保護外，本項研究還可應用于下述領域：

1）醫療數據保護服務潛在市場規模估計。步驟：一是依據本文研究過程，計算出單個患者對各單項病種保護的邊際支付意愿，得出單個患者對醫療數據保護服務項目提供各單項病種保護的經濟價值;二是匯總求和單個患者對各單項病種保護的邊際支付意愿，得出單個患者對提供醫療數據保護服務項目的經濟價值;三是采用隨機抽樣法，統計愿意使用醫療數據保護服務的患者比例，再依據醫療衛生部門記載的患者總數量，得出愿意使用醫療數據保護服務的患者規模;四是依據上述單個患者對提供醫療數據保護服務項目的經濟價值計量結果和愿意使用醫療數據保護服務的患者規模，估計醫療數據保護服務潛在市場規模。當然，目前還沒有形成成熟的醫療數據保護服務現實市場，但患者對該服務項目的需求是現實的，建立該項服務是必要的，本研究結果可以供服務提供者估計市場規模，分析投資可行性。

2）醫療數據泄露的賠償政策制定。隨著公民的隱私意識增強，醫療數據泄露訴訟案件不斷增加，但經濟賠償缺乏統一標準，甚至缺失一個賠償標準的計量方法，不同判例的計量方法不同，經濟賠償逐案確定。本項研究給出了醫療數據中各項病種的隱私值計量方法，也是各項病種的經濟價值計量方法，進而可以計量整個醫療數據的經濟價值，供醫療數據泄露的賠償政策制定參考。不可否認，目前我國醫療信息泄露的賠償乃至處罰力度相對于受害者感知的經濟價值而言是非常低的，因此構建一種具有科學依據的賠償制度，是廣大患者的需要，也是政府管理機構的職責。

3）差異化醫療數據的隱私保護。醫療數據保護需成本投入，由于醫療數據中不同病種的隱私值不同，患者對不同病種的隱私認知存在差異，采用同一高標準保護方案可能會造成資金浪費，但采用同一的寬松保護方案可能導致隱私泄露，因此醫療數據的差異化保護在所難免。差異化保護需要根據不同醫療數據制定不同的保護措施，制定保護措施的依據是醫療數據的隱私程度，醫療數據的隱私主要是由內含的各類病種隱私構成的，所以本研究可以為醫療數據差異化保護措施的制定提供基礎依據。

另外，本研究也存在一些局限性，主要表現在調查樣本上。首先，調查樣本的代表性沒有進行可信度檢驗，樣本數量的充足性也沒有論證，理想情況下，樣本數量應能代表實際全部，樣本的人口統計特征與實際全部患者的人口統計特征比較一致，只有這樣才能保證抽樣結果的可信任性。其次，調查樣本來源均為鄭州大學第一附屬醫院，而該院患者幾乎都來自河南省，河南省屬于我國中部，與東部相比經濟比較落后，但與西部相比經濟比較發達，一般來說，經濟越發達，人們的隱私保護意識越強，反之，隱私保護意識越弱，隱私保護意識與隱私值呈現正變關系，故經濟發展程度與隱私值相關，所以從地區維度，本研究僅限于河南省或擴大到中部地區的患者醫療隱私，不能代替其他地區。最后，不同國家的文化不同，對隱私也會產生影響，本研究的樣本均來自中國，故從文化維度，研究結果僅限于我國患者的醫療隱私。

參考文獻

[1]中共中央，國務院.“健康中國2030”規劃綱要[EB/OL].http：//www.xinhuanet.com //politics/2016-10/25/c_11197858 67.htm，2019-08-11.

[2]國務院辦公廳.關于促進和規范健康醫療大數據應用發展的指導意見[EB/OL].http：//www.gov.cn/zhengce/content/2016-06/24/content_5085091.htm，2019-08-11.

[3]CHIMA.2017-2018年度中國醫院信息化調查報告[EB/OL].https：//chima- 1256452791.cos.ap-beijing.myqcloud.com/CHIMA%20Report/2017-2018中國醫院信息化狀況調查報告.pdf，2019-08-11.

[4]APSN.Privacy in Big Data：An Investigation and Analysis[EB/OL].http：//www.apecpsn.org/ Documents/2018.pdf，2019-08-11.

[5]IBM，Ponemon.Cost of Data Breach Study in 2017：Global Overview[EB/OL].https：// www.ibm.com/report/2018.pdf，2019-07-16.

[6]IAPP.Privacy Leakage Survey in 2017[EB/OL].https：//iapp.org/resources/article/ the-privacy-leakage-survey/，2019-08-16.

[7]Luce R D，Tukey J W.Simultaneous Conjoint Measurement：A New Type of Fundamental Measurement[J].Journal of Mathematical Psychology，1964，1（1）：1-27.

[8]Sichtmann C，Wilken R，Diamantopoulos A.Estimating Willingness-to-Pay with Choice-based Conjoint Analysis-Can Consumer Characteristics Explain Variations in Accuracy？[J].British Journal of Management，2011，22（4）：628-645.

[9]Green P E，Srinivasan V.Conjoint Analysis in Consumer Research：Issues and Outlook[J].Journal of Consumer Research，2008，5（2）：103-123.

[10]Mackenzie，John.A Comparison of Contingent Preference Models[J].American Journal of Agricultural Economics，1993，75（3）：593.

[11]Yue C，Hall C R，Behe B K，et al.Are Consumers Willing to Pay More for Biodegradable Containers Than for Plastic Ones？Evidence from Hypothetical Conjoint Analysis and Nonhypothetical Experimental Auctions[R].2010.

[12]IBM，Ponemon.2019 Cost of a Data Breach Report[EB/OL].https：//www.ibm.com/security/data-breach，2019-07-16.

[13]Itsubo N，Sakagami M，Washida T，et al.Weighting Across Safeguard Subjects for LCIA Through the Application of Conjoint Analysis[J].The International Journal of Life Cycle Assessment，2014，9（3）：196-205.

（責任編輯：馬 卓）