《Sensors》：IoT2Wallets: A Blockchain-Based Access Control and Consent-Auditing Architecture for Patient-Controlled Health IoT Data Integration
编辑推荐：
由物联网（Internet of Things, IoT）设备在机构边界之外产生的健康数据——消费级可穿戴设备和家庭临床监测器——扩大了未授权访问的攻击面，并使患者侧对数据共享的控制复杂化，这是传统中心化门控电子健康记录（Electronic Health R
由物联网（Internet of Things, IoT）设备在机构边界之外产生的健康数据——消费级可穿戴设备和家庭临床监测器——扩大了未授权访问的攻击面，并使患者侧对数据共享的控制复杂化，这是传统中心化门控电子健康记录（Electronic Health Record, EHR）架构无法解决的问题。GDPR和即将出台的欧洲健康数据空间（European Health Data Space, EHDS）等法规日益要求可审计、可撤销、患者控制的访问。本文提出IoT2Wallets，一种许可区块链访问控制和同意审计架构，结合去中心化标识符（Decentralized Identifiers, DIDs）、W3C可验证凭证，以及四节点Hyperledger Besu网络上运行IBFT 2.0共识（f = 1 of 4 nodes）的两个Solidity智能合约（ConsentManager和AccessLog）。研究人员定义了一个按STRIDE组织的威胁模型，描述了智能合约强制执行的缓解措施和尚未解决的威胁。该架构在患者控制和机构控制的同意场景中实现和评估，整合了来自帕金森病（Parkinson’s disease, PD）远程监测试点（18名患者，20名医疗专业评估者）的HL7 FHIR R4临床和可穿戴数据。在每种操作200次测试交易中，可验证凭证验证平均耗时95（SD 12）ms，端到端访问日志延迟平均3840（SD 490）ms，同意验证和撤销测试中观察到的失败为0/200（Wilson 95% CI上界≈1.8%），相对于独立维护的网关请求日志，访问日志保真度完整。研究人员讨论了所建立安全保证的范围和局限——是访问控制和可审计性，而非全面的密码学保护、形式验证或独立智能合约审计——并概述了生产部署前所需的加固工作。这些结果取决于当前实现，该实现仅经过内部代码审查；尚未进行独立智能合约审计或形式验证，这一缺失应被视为后续安全声明的主要限制，而非次要警告。此外，试点中所有四个账本节点均由研究团队运营，因此试点未测试使用区块链而非签名日志的多机构信任论点。
**研究背景与问题**：健康数据日益产生于传统访问控制架构所保护的机构边界之外。消费级可穿戴设备和家庭临床监测器产生连续生理和行为数据，这些数据最终必须到达机构系统，但设备与机构之间的路径很少受到与医院网络内产生数据相同的访问控制严格性。中心化EHR网关通常通过单一可信中介来中介此路径，这集中了风险：被入侵或配置错误的网关，或单方面行动的机构，可以授予、拒绝或静默更改访问，而没有独立可验证的记录，患者——产生数据的人——没有密码学机制来强制执行或审计数据共享条款。GDPR和即将出台的EHDS等法规日益要求患者对健康数据访问保持有意义、可审计、可撤销的控制，这从根本上是一个访问控制和审计日志记录要求，而不仅仅是数据管理要求。分布式账本技术被反复提出作为去中心化这种信任关系的方式，但现有文献要么仅在模拟中评估，要么省略系统威胁模型，要么不与HL7 FHIR等语义互操作性标准集成。这留下了一个开放的工程问题：能否构建一个许可区块链访问控制层，其（a）基于结构化、STRIDE组织、可审计的威胁模型；（b）与基于FHIR的临床数据原生集成；（c）不仅在延迟方面评估，而且在真实临床试点中评估其同意执行行为的正确性，而不仅仅在模拟中？
**研究开展与结论**：研究人员提出IoT2Wallets，一种结合DID、可验证凭证和两个专门构建的智能合约的访问控制和同意审计架构，在许可的Hyperledger Besu网络上运行，并针对STRIDE组织的威胁模型（系统级、单遍分析）和整合PD监测的可穿戴与机构健康IoT数据的临床试点进行评估。贡献有三方面：（1）患者控制和机构控制同意治理共享共同智能合约和审计日志核心的访问控制架构；（2）围绕STRIDE框架组织的威胁模型，明确当前设计缓解的威胁和未解决的威胁；（3）在真实临床部署中对每种操作200次测试交易的同意验证正确性、访问日志保真度和延迟的实证评估。结论表明：该架构可在真实临床试点中部署，具有快速、正确的同意执行（95 ms验证延迟，200次测试交易中0/200观察到的失败）和完整的审计日志保真度。这些结果来自仅经过内部代码审查的实现；由于未进行独立智能合约审计或形式验证，它们表明同意执行在测试的案例中表现正确，而非合约没有可利用的缺陷。架构支持两种结构不同的同意治理模型——患者主权和机构主权——来自单一智能合约和审计日志核心。这些结果建立了访问控制架构的技术和功能可行性，明确了当前缓解哪些威胁以及不缓解哪些威胁，但不是全面的安全验证。
**关键技术方法**：研究在ISCTE-IUL机构内网的四节点Hyperledger Besu测试台上开展，运行IBFT 2.0共识，每个节点为8核CPU/16 GB RAM的Ubuntu 22.04系统并持有独立验证密钥；节点准入通过网络权限控制。链上仅写入同意条款、不透明资源引用与访问事件元数据，临床载荷保留在链下HAPI FHIR R4服务器。软件栈包括Solidity 0.8.x智能合约、did:ethr DID方法及W3C签名JSON-LD可验证凭证。患者钱包与临床医生网关接口使用HTTPS，内部流量未启用TLS，FHIR存储未静态加密。每种操作执行200次测试交易。临床试点纳入18例PD患者（11男7女；平均年龄64.3，SD 7.8岁；Hoehn和Yahr I–III期），每例佩戴临床睡眠活动监测器与Garmin Vívosmart 5智能手表（固件9.90）连续12晚，获得216患者-夜配对数据；并由20名医疗专业人员（8名神经科医生、7名护士、5名健康信息学专家）完成系统可用性量表（System Usability Scale, SUS）评估。
**研究结果**：**同意验证与撤销正确性**：所有200次同意验证交易在两个部署场景中均返回正确结果（0/200失败；Wilson 95% CI上界≈1.8%）。同意撤销在每个测试案例中均在一个区块确认时间内传播到网关，撤销后未释放任何FHIR资源；已达到配置到期时间的可验证凭证在所有到期后尝试中均被拒绝访问（观察到0失败）。场景2中基于角色的访问执行（角色：主治医生、病例管理员和研究护士）在所有60个测试案例中均正确，没有角色外请求被错误授予或角色内请求被错误拒绝的实例。**延迟**：测量显示，可验证凭证验证——门控每个访问请求的操作——平均95（SD 12）ms，完全在交互式临床使用可接受的范围内。链上同意确认和访问日志写入各约1.8秒，反映了IBFT 2.0下的区块确认时间，并主导了3840（SD 490）ms的端到端数据。平均与最大端到端延迟之间的差距（3840 ms对5210 ms）与区块链确认时间典型的右偏分布一致；本试点未进行完整的95th/99th百分位特征描述，未测量每秒交易数，也未对网关、中间件或账本进行并发或负载测试。**访问日志完整性**：链上访问日志在两个部署场景中相对于独立维护的网关请求日志显示出100%的事件捕获保真度：应用层记录的每个访问事件在许可账本上都有对应匹配条目，在场景1的216患者-夜数据或场景2的60个基于角色的测试案例中未观察到静默日志缺口。所有八种EHDS Annex II强制事件类型均在访问日志中捕获。应用层与账本层记录之间的这种端到端一致性是拒绝抵赖缓解所依赖的具体属性，并在整个试点中保持。**访问控制接口的可用性**：20名医疗专业评估者的平均SUS得分为71.4（SD 8.2），对应“良好”可用性，高于该工具通常引用的可接受性基准68。描述性探索性比较提示健康信息学专家的评分（平均76.2）略高于神经科医生（平均68.9）；由于亚组分别只有五名和八名受访者，本研究未有能力检验差异是否具有统计学意义，也未进行推断性检验。开放式反馈将审计日志可解释性——在不可变日志中扫描特定过去访问——确定为最常提出的担忧，这与审计日志内容（涉及信息泄露类别）对最终用户而言比同意检查的二元允许/拒绝结果更难解释相一致。
**讨论总结与研究结论**：讨论部分指出，围绕STRIDE组织威胁模型构建并原生集成HL7 FHIR的许可区块链访问控制层可在真实临床试点中部署，具有快速、正确的同意执行和完整审计日志保真度，但实现仅经过内部代码审查，独立审计与形式验证仍是生产部署前必要而非可选的前提。区块链同意账本的合理替代方案是更简单、集中托管、密码学签名的审计日志，可避免约1.8秒的链上确认延迟；研究人员采用许可区块链正是为消除机构单方面更改同意或访问历史的能力，但该论点仅在节点运营商真正独立时才成立。本试点中所有四个验证节点均由研究团队运营，因此试点支持同意执行、撤销和审计日志保真度等功能主张，但不支持区块链优于签名日志的信任论点；该论点仍是设计理由，需在多机构部署中测试。与先前工作比较，IoT2Wallets是所比较系统中唯一结合DID锚定身份层、明确STRIDE组织威胁模型和原生FHIR R4集成的临床试点实现，但威胁模型是系统级映射而非完整逐组件分解，比较应解读为报告实践差异而非优越安全保证的主张。局限性包括：智能合约未经独立安全审计和形式验证、未评估拒绝服务弹性、传输和存储级加密未统一执行、四节点测试台未进行超过每种操作200次交易的负载测试且未表征尾部延迟、钱包私钥泄露和恢复不在范围内、临床试点规模小（18名患者、20名评估者）且由招募能力而非功效计算决定。此外，撤销后保留的假名链上标识符和访问事件元数据是否构成GDPR下的“个人数据”仍是开放法律问题；未测量每秒交易数且未进行并发或负载测试；资源级同意粒度由设计支持但未单独评估。研究结论译文如下：本文提出IoT2Wallets，一种用于健康IoT数据的许可区块链访问控制和同意审计架构，围绕去中心化标识符、可验证凭证和两个专门构建的智能合约构建，并在真实临床试点中针对STRIDE组织的威胁模型进行评估。在每种操作200次测试交易中，该架构在同意验证和撤销测试中实现0/200观察到的失败、95（SD 12）ms的可验证凭证验证延迟、相对于独立维护请求日志的完整访问日志保真度，同时从单一智能合约核心支持两种结构不同的同意治理模型。20名医疗专业人员将所得接口评为良好可用性（SUS 71.4）。这些结果是在仅经过内部代码审查的合约上获得的；两个合约均未经过独立审计或形式验证，这是上述主张的最重要边界；所有四个账本节点均由研究团队运营，因此区块链优于签名日志的多机构信任论点未得到测试。这些发现仅限于记录的四节点机构测试台，不是外部性能基准，未表征并发或医院规模负载，不能推广到具有不同软件构建、网络条件、硬件或治理安排的部署。这些结果建立了访问控制架构的技术和功能可行性，并明确其当前缓解哪些威胁以及不缓解哪些威胁，但不是全面的安全验证。研究人员认为生产临床部署前必要的具体优先下一步是：（1）对ConsentManager和AccessLog智能合约进行独立第三方安全审计；（2）针对所识别STRIDE威胁对同意生命周期（发放、验证、撤销、到期）进行形式验证，最好通过符号协议分析工具；（3）对网关、中间件和FHIR服务器进行拒绝服务和资源耗尽测试；（4）在所有系统组件中统一传输和存储级加密；（5）在多患者、医院规模负载下表征尾部延迟（95th/99th百分位）的专门可扩展性评估；（6）解决私钥丢失或泄露的钱包密钥恢复机制。研究人员有意区分项目（1）和（2）：独立审计带来对抗性、专业化审查以发现已部署Solidity合约中充分记录的实施级漏洞，而形式验证将数学证明或反驳同意生命周期的特定安全属性，这是仅靠测试覆盖按构造只能在实际测试案例上支持的保证。研究人员在此列表中添加三项：（7）完整的逐组件、信任边界STRIDE分解，而非此处呈现的系统级、每类别单实例映射；（8）在现实多患者请求量下对网关、中间件和账本的吞吐量（每秒交易数）和并发/负载评估，以及已列出的尾部延迟表征；（9）专门隔离资源级同意粒度的评估，而非第3节测试的同意级验证、撤销和基于角色的访问。研究人员认为此处呈现的架构和威胁模型是此工作的可靠且临床试点的基础，并定义了一组具体、可证伪的下一步，而非完成的安全评估。
