Bölgesel Sağlık Bilgi Değişimi

Problem

Bölgesel bir sağlık otoritesi, 4 milyon hasta için 40 hastane ve 600 klinik işletiyor. Sekiz farklı elektronik sağlık kaydı (EHR) sistemi HL7 v2 mesajı, FHIR ya da yalnızca CSV ve PDF dosyası üretiyor. Bir hastanedeki klinisyen başka hastanenin geçmişini göremiyor. Yeni bir yasa ortak hasta özeti ve vatandaşın yönettiği rıza şartını koşuyor. Hastaların yaklaşık %15’inin ulusal kimliği yok. Hacim günde yaklaşık 20 milyon mesaj ve hiçbir mesaj kaybolmamalı.

Yaklaşım

Tasarımı iki kısıt belirliyor: sekiz heterojen kaynak ve toplu okumalar dahil her okumada geçerli olması gereken rıza. Tasarım ham mesajı değiştirmeden saklıyor, tek bir kanonik FHIR R4 modeline dönüştürüyor, kimlikleri geri alınabilir biçimde bağlıyor ve rızayı okuma anında politika olarak uyguluyor. Her EHR için bir Apache Camel adaptörü ham mesajı Kafka’ya yazıyor. Adaptör, göndericiye yalnızca Kafka yazımı onayladıktan sonra yanıt veriyor.

Mimari

• Alım: HL7 v2, FHIR ve dosya için Camel adaptörleri. Kafka anahtarı kaynak ve kayıt numarası; böylece hasta başına sıra korunuyor.
• Kanonik depo: dönüşüm servisi FHIR profillerine eşliyor ve idempotent işlemlerle PostgreSQL üzerindeki HAPI FHIR’a yazıyor. Ham bayt Object Lock’lu Ceph’te kalıyor.
• Kimlik: Splink olasılıksal eşleştirmesi bir bağlantı tablosunu besliyor; birleştirme geri alınabilen bir satır.
• Erişim: SMART on FHIR için Keycloak, tek kapı olarak APISIX, rıza için Open Policy Agent.
• Denetim ve araştırma: her okuma immudb’de bir denetim olayı oluyor. Bir Flink işi veriyi üniversite için kimliksizleştiriyor.

Kararlar ve ödünleşimler

• Rıza FHIR sunucusunun içinde değil, OPA’da. Tek politika paketi geçitte, FHIR arama interceptor’ında ve Flink araştırma işinde çalışmalı. HAPI’ye gömülü yetki araştırma hattı için yeniden yazılırdı. OPA yalnızca izin ya da ret değil, filtre döndürüyor; toplu dışa aktarım kayıt kayıt süzülüyor. Bedeli, işletilecek bir bileşen daha. Rıza yalnızca API’de uygulansaydı HAPI’nin kendi interceptor’ı yeterdi.
• Eşleştirme yanlış negatife yatkın. 0,99 ve üstü skor otomatik bağlanıyor. 0,85 ile 0,99 arası kayıtlar bir insanı bekliyor. Yanlış birleşme başka bir hastanın alerjisini özete taşır. Yanlış negatif eksik geçmiş demek; bu zaten bugünkü durum. Bedeli bir inceleme kuyruğu. Gerçek zamanlı ulusal kimlik sorgusu olasılıksal payı küçültürdü.
• Hasta özeti yazma anında önceden hesaplanıyor. Tek okuma p95’i 500 ms’nin altında tutuyor; soğuk yol sekiz FHIR araması ister. Bedeli, her değişimde yeniden hesaplama ve önbellek geçersiz kılma. Rıza değişince önbellekteki özet saniyeler içinde siliniyor. Anahtar rıza sürümünü taşıdığı için eski sürüm hiç isabet etmiyor.
• Acil erişim engellenmiyor. “Camı kır” erişimi gerekçe, 48 saat içinde gizlilik görevlisi incelemesi ve haftalık gözden geçirme istiyor; hasta da uygulamada görüyor. Engellemek hasta güvenliğini bozar. Kaydetmemek güveni bozar. Bedeli, denetimin sonradan yapılması.
• Ham baytı sakla, tekrar oynat; hastaneden yeniden isteme. Adaptör onayı ancak Kafka commit’inden sonra gönderiyor. Ham mesaj Kafka’da 30 gün, Ceph’te on yıl duruyor. Dönüşümde hata çıkarsa adaptörü düzeltip tekrar oynatıyorum. Yazımlar kaynak tanımlayıcısıyla koşullu güncelleme olduğu için tekrar güvenli. Bedeli depolama.
• Aktif-aktif değil, sıcak yedek. Aktif-aktif PostgreSQL çoklu master yazımı ister ve FHIR sürümleme mantığını zorlar. Akış replikasyonlu sıcak yedek, iki saatlik kurtarma hedefini karşılıyor ve çok daha basit. Bedeli küçük bir pencere: onaylanmış ama henüz kopyalanmamış mesajlar, mesaj kimliği aralığıyla vendor’dan yeniden isteniyor.

Yeniden ele alacaklarım

• Vendor teslim davranışı. Beş HL7 v2 vendor’ı gerçekten onayı bekleyip yeniden deniyor mu, yoksa gönderip unutuyor mu? Kayıpsızlık garantisi ve mesaj kimliğiyle yeniden istek buna bağlı.
• Ulusal kimlik kayıt servisi. Gerçek zamanlı sorgu var mı, hangi hizmet seviyesiyle? Yoksa eşleştirme tamamen olasılıksal kalır.
• Hassas veri kategorileri. Yasa ruh sağlığı, cinsel sağlık ve genetik dışında hangi kategorileri tanımlıyor? FHIR güvenlik etiketlerine eşleme klinik onay ister.
• Rıza varsayılanı. Opt-out ya da opt-in mimariyi değiştirmez; ama ilk gün davranışını ve iletişimi belirler.

Sonuç notları (tasarım varsayımları, ölçüm değil)

Bu bir tasarım çalışmasıdır, çalışan bir sistem değildir. Çıktı: dört sayfalık diyagram seti, tek sayfalık beyaz tahta sürümü ve 15 sayfalık Türkçe PDF. Saniyede ortalama yaklaşık 230 mesaj gibi kapasite rakamları, kata metnindeki sayılardan yapılmış aritmetiktir; ölçüm değildir.

Kaynaklar

• Mimari PDF (Türkçe, 15 sayfa).
• draw.io diyagramları (İngilizce etiketler): dört sayfalık set ve 30 dakikalık tek sayfa sürüm.