既懂看病又懂保密：合规级医疗智能体的架构设计

引言：从大语言模型向“合规级”智能体的范式跃迁

到2025年，全球产生的数据量预计将超过180泽字节（ZB），其中医疗保健领域的数据贡献量占据了三分之一以上。然而，由于传统信息系统效率低下、数据孤岛林立以及多模态数据处理能力的匮乏，目前仅有约3%的医疗数据在临床实践中得到了有效利用。与此同时，医学知识的更新周期已急剧缩短至73天，特别是在肿瘤学、心脏病学和神经病学等复杂学科领域，这导致了严重的临床医生认知超载与医疗系统碎片化。在此宏观背景下，医疗人工智能（AI）的发展正在经历一次深刻的范式跃迁：从仅能执行单一预测任务（如医学影像分类）的“狭义AI”和仅能生成自然语言对话的“生成式AI”，向具备自主规划、长期记忆、工具调用、多步推理以及环境交互能力的“智能体AI（Agentic AI）”演进。

医疗智能体不仅能够“读懂”患者的长篇电子病历（EHR），还能作为虚拟“医生搭档”，自主导航复杂的医保交互式语音应答（IVR）系统、安排就诊、调阅医学知识图谱并生成初步的多学科诊疗规划。然而，医疗健康是一个知识密集、决策高度复杂且容错率极低的领域。当人工智能从被动的“辅助分析工具”转变为“具备一定自主执行权的数字协作者”时，其安全风险与合规挑战呈指数级上升。在受高度监管的医疗环境中，大语言模型（LLM）固有的“幻觉（Hallucination）”不再仅仅是输出质量缺陷，而是严重的合规风险与法律责任源泉。如果一个智能体捏造了医疗建议、虚构了医保政策，或者在推理过程中意外泄露了受保护的健康信息（PHI），将直接导致极其严重的医疗事故与合规惩罚。

因此，现代合规级医疗智能体的开发不再是一个纯粹的算法训练问题，而是一个深度的社会技术系统（Sociotechnical Systems）工程问题。必须在系统设计的底层架构（Day-0）中，就将隐私保护、数据加密、权限隔离与决策可解释性内建于其中。“合规”不再是系统部署后的一张“勾选清单”，而是驱动整个智能体生态架构设计的核心先决条件。本文将系统性地剖析合规级医疗智能体的多层架构蓝图，深入探讨大语言模型与医疗知识图谱的深度耦合机制、基于机密计算与可信执行环境（TEE）的硬件级安全基座、差分隐私在效用与隐私权衡中的应用，以及基于“代码化策略（Policy-as-Code）”的动态数据治理框架。

全球医疗人工智能监管图谱与架构映射

合规级架构的设计绝非放之四海而皆准，必须深度嵌入各国各地区截然不同的监管要求体系之中。不同司法管辖区对数据主权、隐私边界、算法透明度以及医疗器械软件（SaMD）的定义存在显著差异。理解并映射这些差异化法规，是制定全球化医疗AI部署战略的前提，同时也直接决定了智能体在数据层和模型层的架构选型。

全球三大主要司法管辖区的监管框架及其对智能体架构的影响呈现出高度的复杂性。在美国，合规的核心支柱是《健康保险隐私及责任法案》（HIPAA）、美国食品药品监督管理局（FDA）的临床决策支持（CDS）指南，以及《21世纪治愈法案》中的信息拦截禁令。HIPAA要求任何处理电子受保护健康信息（ePHI）的第三方供应商必须签署商业伙伴协议（BAA），并实施严格的行政、物理和技术保障措施。此外，FDA的CDS指南在“辅助临床医生判断的AI”与“替代临床医生判断的自主决策AI”之间划定了严格的界限。若智能体越界进入完全自主决策，将面临高等级医疗器械监管。因此，美国的医疗智能体架构通常强制要求“人类在环（Human-in-the-Loop, HITL）”机制，以确保系统处于辅助决策地位。

在欧洲，《通用数据保护条例》（GDPR）与近期生效的《欧盟人工智能法案》（EU AI Act）构成了全球最严苛的隐私与AI监管双轨制。GDPR强调数据最小化、合法的处理依据、透明度，以及数据主体的“被遗忘权”。这要求智能体架构必须具备精确的数据追踪与删除能力，这在传统的“黑盒”大模型中极难实现。《人工智能法案》则采用基于风险的分类方法，医疗AI通常被界定为“高风险系统”，要求对其数据流、算法偏见、人工监督机制以及上市后监控进行全面审计，违规者将面临高达3500万欧元或全球年营业额7%的巨额罚款。

在中国，医疗智能体面临着数据安全与算法备案的双重强监管。国家药品监督管理局（NMPA）发布了多项涵盖医疗器械软件、网络安全、人工智能辅助诊断的指导原则与行业标准（如GB/T 42062）。NMPA要求AI软件必须从“文档合规”转向“全生命周期风险管理”，软件的任何核心算法变更都可能触发重新注册程序。《个人信息保护法》（PIPL）和《数据安全法》（DSL）对敏感医疗数据的本地化存储与跨境传输施加了严格限制。同时，中国网信办（CAC）牵头的《生成式人工智能服务管理暂行办法》与《互联网信息服务深度合成管理规定》要求算法模型必须完成备案，确保训练数据合法合规，输出内容必须符合社会主义核心价值观，并实施严格的实名认证与日志留存。

下表详细总结了三大区域监管框架对医疗智能体架构设计的具体影响：

面对这些复杂的监管环境，医疗企业在部署智能体时必须在部署架构上做出审慎选择。目前，行业内主要采用三种架构模式。对于处理极度敏感的计费记录、基因测序或需要规避任何形式外部数据流转的组织，本地化私有部署（On-Premise） 或 完全物理隔离（Air-Gapped） 是唯一符合要求的方法。这类“主权AI（Sovereign AI）”模式赋予了IT团队对硬件、网络和加密密钥的绝对控制权，但也意味着必须自行承担全部的运维成本与安全责任。对于需要弹性扩展和大规模临床并发处理的场景，私有云环境（Private Cloud / VPC） 配合严格的BAA协议成为了主流。在这种模式下，模型运行在公有云提供商（如AWS Bedrock、Azure OpenAI）分配的租户隔离环境中，明确约定禁止云厂商使用客户的医疗数据去训练其基础底座模型（Zero Data Retention Policies），从而在可扩展性与合规性之间取得了平衡。

合规级医疗智能体的六层模块化架构体系

将一个通用的大语言模型接入临床环境，并不等同于构建了一个医疗智能体。通用AI与医疗专属AI之间的核心鸿沟，不仅在于医学知识的深度，更在于数据接入的严谨性、流程的编排能力以及全链路的审计追踪。为了在保障患者隐私的前提下实现自主操作，业界已收敛出一种高度模块化的六层智能体架构体系。这六个层级自下而上、由内而外地协同工作，将原始的临床感知信号转化为合规的医疗干预行动。

1. 感知与输入层（Perception Layer）

感知层是智能体与物理和数字世界接触的第一道防线，其任务是将多模态的、嘈杂的原始数据转化为机器可读的结构化表征。在医疗场景中，这些输入信号极其复杂，涵盖了临床医生的语音记录、病历文本、来自重症监护室的连续生命体征数据（如CGM传感器时间序列），以及CT/MRI等高维医学影像。

在该层中，音频信号必须经过符合HIPAA标准的医疗级语音转文本（Speech-to-Text）引擎处理。医疗语境中的容错率极低，引擎必须具备极高的准确率以识别复杂的医学术语、药物名称及剂量，并支持精确的说话人分离（Speaker Diarization），以区分医生陈述与患者自述。更为关键的是，所有流入系统的数据必须在感知层即刻进行初始的脱敏扫描，明确标记敏感的健康信息（PHI），为后续的数据流转确立安全边界。

2. 上下文与记忆层（Contextual Layer）

医疗照护在时间上具有高度的连续性。上下文层的作用是跨越多个会话与就诊周期，维护患者特异性的健康记录、用药史与行为偏好，支持纵向个性化医疗。为了避免公有大模型通过用户输入进行记忆（从而引发长期隐私泄露），合规架构摒弃了依赖模型内部权重的记忆方式，转而采用检索增强生成（RAG）结合独立加密向量数据库的模式。

在这种架构下，当前对话的“短期记忆”与患者历史电子病历的“长期记忆”被物理隔离在医疗机构完全控制的数据库中，并受到高强度的静态加密（AES-256）保护。当智能体需要回忆特定的治疗反应时，它必须通过基于属性的访问控制（ABAC）策略，仅提取满足当前任务所需的“最小数据集”，严禁无差别地将患者全生命周期数据暴露给推理模型。

3. 认知与规划层（Predictive & Cognitive Layer）

这是智能体的核心“大脑”，主要由大语言模型或多模态基础模型驱动。该层负责意图识别、复杂临床推理、世界建模以及规划干预措施。与单一的文本生成不同，医疗智能体在此层展现出强大的规划（Planning）能力。当面对复杂的肿瘤病例或重症患者时，智能体能够将宏大的“诊断疾病”目标分解为可执行的步骤链（如分析既往史、核对禁忌症、申请靶向化验）。

为了确保推理过程不偏离临床路径，现代认知层通常采用“多智能体辩论（Multi-agent debate）”机制，模拟人类多学科会诊（MDT）。放射智能体、药剂智能体和外科智能体可以基于同一患者数据独立推理并互相交叉验证。同时，通过与知识图谱的深度绑定，认知层能够构建预测模型（World Modeling），模拟不同治疗方案的演进轨迹，将前瞻性的智能引入照护规划中。

4. 执行与编排层（Execution & Orchestration Layer）

执行层将虚拟的推理转化为真实的行动。在这一层，智能体利用工具调用（Tool-calling）能力与外部医疗系统交互。FHIR（快速医疗保健互操作性资源）API在此发挥了关键作用，它为智能体提供了标准化的接口，使其能够安全地读取患者数据、向EHR回写结构化病历、通过医保系统自动处理事先授权，或向患者发送用药提醒。

编排引擎在执行层充当“交通管制员”与“安全守门人”的双重角色。它协调多个底层API的调用顺序，并在执行任何可能改变患者医疗状态的动作前进行逻辑校验。当智能体的推理置信度低于预设阈值，或者任务涉及高度敏感的临床诊断和复杂的患者安抚时，编排引擎将立即挂起自动化流程，强制触发“人类在环（Human-in-the-Loop, HITL）”机制，将决策权与会话上下文平滑移交给人类医护人员。

5. 应用与交互层（Application Layer）

该层定义了人类用户与智能体系统交互的端点，包括医生使用的临床辅助决策（CDSS）界面、用于分诊的语音AI接线员，以及远程患者监控仪表盘。合规要求该层必须实现高度的透明度：患者必须明确知晓自己正在与AI沟通，系统需提供清晰易懂的隐私同意协议与数据退出（Opt-out）选项。

6. 安全、合规与治理层（Security & Compliance Layer）

这是一个贯穿上述五层的“垂直包裹层”，是合规级医疗智能体的核心灵魂。它通过持续身份验证、动态数据脱敏、基于零信任的访问控制以及不可变审计日志，全方位监控智能体的行为。当智能体执行操作时，合规层会自动验证其数字身份签名、追踪其数据检索来源，并对推理路径进行指纹存证，从而满足SOX、HIPAA及相关法规对于可解释性和监管溯源的严苛要求。

认知层的技术突破：大语言模型与知识图谱的深度耦合

大语言模型展现出了前所未有的上下文理解与零样本（Zero-shot）泛化能力，但其本质上是基于概率的下一个词汇预测引擎。这种概率特性在处理事实性要求极高的医疗临床推理时，容易引发“幻觉”，造成不可估量的合规风险。为了从根本上压制幻觉并提供可验证的推理依据，将确定性的医疗知识图谱（Knowledge Graphs, KGs）与LLM进行深度耦合，已成为合规级诊断推理架构的技术标配。

近年来，诸如medIKAL和DR.KNOWS（Diagnostic Reasoning Knowledge Graph System）等框架代表了这种融合技术的最新前沿。电子病历由于其复杂性和冗余性，往往对诊断推理构成干扰。medIKAL框架通过一种类似残差网络（Residual Network）的创新方法，将LLM生成的初步诊断结果与知识图谱的图搜索结果进行深度融合。该系统根据医疗记录中实体的语义类型，动态分配加权重要性，从而实现对候选疾病在知识图谱内的精确空间定位，并通过基于路径的重排序算法不断提纯诊断建议。

DR.KNOWS模型则更进一步，构建了从非结构化文本到符号化推理的端到端管线。在其架构中，系统首先通过命名实体识别锁定病历中的关键概念，并提取具有概念唯一标识符（CUI）的医学实体。随后，系统基于SNOMED CT和统一医学语言系统（UMLS）构建子图。为了理解医学实体的深层语境，DR.KNOWS引入了专门针对生物医学预训练的SapBERT模型进行节点编码。为了捕获节点间的拓扑交互，系统使用“堆叠图同构网络（Stack Graph Isomorphism Network, SGIN）”对上下文表示进行更新，并基于词频-逆文档频率（TF-IDF）赋予核心病症更高的权重，同时抑制无关的修饰信息。

在路径排序阶段，DR.KNOWS利用多头注意力（MultiAttn）和三线性注意力（TriAttn）机制，评估图谱中每一条多跳路径与患者实际临床背景的逻辑对齐度（包括推断、矛盾或中立等逻辑关系）。最终筛选出的Top-N高度相关路径将被转换为结构化提示词（例如采用“→”符号链接概念与关系的结构化格式），注入到T5或ChatGPT等基础大模型中，引导其生成不仅准确而且高度对齐临床标准的诊断建议。

这种从纯概率生成向“知识增强推理”的转变，具有重大的合规意义。根据欧盟AI法案及中国NMPA的监管要求，高风险医疗AI系统必须具备“可解释性”。通过显式提取KG中的知识路径，LLM的每一次医学判断都可以直接追溯到具体的医学本体库来源。这不仅建立起了从“算法黑箱”到“白盒推理”的透明度桥梁，还确保了智能体能够进行自我反思与纠错，从而大幅降低由于模型幻觉带来的合规敞口与医疗伤害风险。

底层计算安全：机密计算（Confidential Computing）与可信执行环境

医疗AI的核心资产是汇聚了巨量敏感PHI的患者数据集，以及医疗机构耗费重金训练或微调的专有大模型权重。当这些工作负载部署于云端或分布式数据中心时，传统的安全机制显得捉襟见肘。标准架构能够利用TLS加密传输中的数据，利用AES加密存储在磁盘上的数据；但是，当GPU或CPU开始执行大模型的矩阵乘法运算时，这些数据必须被解密并以明文形式驻留在显存（VRAM）或内存中。对于云服务商的Hypervisor、底层管理守护进程或是能够接触物理机的恶意内部人员而言，直接从VRAM中读取明文模型权重与患者提示词是一条无需破解密码即可窃取机密的捷径。

为了弥合这一致命的合规漏洞，机密计算（Confidential Computing）已成为受高度监管行业部署智能体的战略性基础设施。机密计算由机密计算联盟（CCC）主导推进，其核心在于通过基于硬件的“可信执行环境（TEE）”保护“使用中的数据（Data in Use）”。

在医疗AI硬件生态中，NVIDIA H100与H200系列GPU率先在硅片级别集成了机密计算功能。当开启该模式后，GPU内部及其与支持虚拟机的CPU之间建立起了基于硬件强加密的隔离飞地（Enclave）。在这块飞地内运行的代码和数据，即便是拥有最高系统权限的底层操作系统管理员或云基础设施控制面也绝对无法访问或篡改。机密计算带来的性能开销通常控制在5%至15%的范围内，相对于其提供的安全性而言是完全可以接受的。

更加关键的是，机密计算提供了“远程证明（Remote Attestation）”机制。医疗机构可以在将任何PHI或专有模型上传到云端之前，通过密码学凭证独立验证云端硬件是否为正版且未受损的TEE环境。这使得医疗系统能够在公有云上建立起与本地数据中心等效的安全边界，使得私有LLM推理、医疗数据净室（Data Clean Rooms）内多方协作训练等应用成为可能，从而在符合全球最严苛的隐私法规的同时，充分利用云端的海量算力。

隐私与效用的博弈：差分隐私与联邦学习的深度整合

在跨国界、跨机构的医疗研究中，如何打破数据孤岛共同训练高性能AI，同时又不违反HIPAA或GDPR的数据共享禁令，是行业的长期痛点。联邦学习（Federated Learning, FL）为此提供了基础架构方案。联邦学习的核心思想是“数据不动模型动”：患者原始数据始终保留在各医院本地，仅将本地训练更新后的模型梯度（Gradients）参数进行加密后传输至中央服务器进行安全聚合（Secure Aggregation）。

然而，深入的学术研究揭示，单纯的参数共享并不能彻底消除隐私风险。复杂的机器学习模型具有强大的记忆能力，攻击者可以通过模型逆向攻击（Model Inversion）或成员推断攻击（Membership Inference），从共享的梯度中重建出敏感的原始训练样本。

为了提供严密的数学隐私保证，合规级架构在联邦学习中融合了差分隐私（Differential Privacy, DP）技术，特别是差分隐私随机梯度下降（DP-SGD）算法。DP-SGD通过在训练过程中对模型梯度进行裁剪（Clipping）并注入精心校准的拉普拉斯或高斯噪声，掩盖任何单一患者数据对最终模型参数的显著影响。

引入差分隐私不可避免地会引发“隐私-效用权衡（Privacy-Utility Trade-off）”难题。差分隐私的核心参数是隐私预算（$\epsilon$）。研究表明，当实施极其严格的隐私保护（$\epsilon \approx 1$）时，注入的过量噪声会导致医学影像分类等任务的诊断准确率大幅跳水；而在使用适度的隐私预算（如 $\epsilon \approx 10$）时，模型能在防御大多数攻击的同时保持临床可接受的高精度。

这一折衷机制在医学上还面临着深层次的算法伦理与公平性挑战。实证研究显示，差分隐私机制为了保护隐私而加入的噪声，往往会加剧模型对数据集中代表性不足群体（Underrepresented Subgroups，如特定年龄、性别或患有罕见合并症的患者）的性能退化，从而无意中放大了系统性医疗偏差。此外，大型语言模型在与检索外部数据库（RAG）结合时，还面临着“上下文泄露（Contextual Leakage）”的风险——即便移除了显性标识符，特定的病症与细节组合也足以使患者被重新识别。MedPriv-Bench等专业基准测试框架的建立，正是为了精确定量评估此类隐私泄露与临床问答实用性之间的复杂张力。在此背景下，采用人工智能动态资源调度、多方安全计算（SMPC）以及生成合成数据的多层隐私框架正在成为提升模型包容性与弹性的关键手段。

动态数据掩码与智能体零信任架构

发送前脱敏（Redact Before Sending）架构

对于处理受保护健康信息（PHI）的系统，如果依赖公有云大模型内置的安全过滤机制是极其危险的。因为在法律层面上，一旦包含患者社保号、病历号或详尽体征的明文提示词（Prompt）越过了企业网络边界到达第三方服务器，数据泄露事件即告发生。

为了彻底规避这一风险，合规级架构采用“发送前脱敏（Redact before sending）”设计模式。在提示词离开企业虚拟私有云（VPC）边界之前，架构会强制将其路由至一个内部托管的“动态脱敏网关（Redaction Layer）”。该网关利用专门训练的命名实体识别（NER）模型（如AWS Comprehend Medical或Philter），在毫秒级内识别出文本中的18类HIPAA标识符，并使用保形掩码（Format-Preserving Masking）或加密令牌（Tokenization）进行动态替换。

例如，当患者查询：“我的名字是张三，出生于1980年5月，我的社保号是1234，我的医保覆盖修美乐吗？”，脱敏网关会将其转译为：“我的名字是 [PERSON]，出生于 [DATE]，社保号是 [ID]，我的医保覆盖修美乐吗？”。由于外部大模型只接收并处理高阶语义元数据和任务相关的上下文，原始PHI从未离开过医疗机构的控制范围。当大模型生成回复后，网关会通过安全的令牌保险库（Token Vault）进行反向映射，将脱敏信息恢复为用户可读的自然语言，从而在不损失对话流畅度的前提下，构建了牢不可破的隐私护城河。

智能体零信任架构与代码化策略（Policy-as-Code）

随着AI系统决策的实时化与自治化，传统的由人类进行文档查阅和流程审批的治理模式彻底失效。合规治理必须从被动的合规文档转变为可执行的底层基础设施。这正是“代码化策略（Policy-as-Code）”理念重塑架构的核心所在。通过使用声明式策略语言（如Open Policy Agent的Rego语言或Cedar），安全团队能够将复杂的合规要求（如加密标准、最小化权限访问、跨区数据驻留等）编译为自动化执行的代码引擎。

结合云安全联盟（CSA）倡导的“智能体零信任框架（Agentic Zero Trust）”，现代医疗智能体在架构上被剥夺了任何默认的系统信任。零信任范式在这个领域具体展开为三个核心维度的强制校验：

首先是“身份与范围认证（Identity）”。传统的基于API密钥的认证已不足以约束高度自治的智能体。每一个被实例化的多代理系统成员都必须拥有可溯源的加密凭证（如OAuth2/JWT），不仅要证明“它是谁”，更要明确限定其被赋予的业务目的与权限边界。

其次是“行为持续评估（Behavior）”。系统通过细粒度属性访问控制（ABAC）与基于语言模型的监督智能体（Policy-as-Prompt架构）对操作意图进行持续拦截与核查。例如，如果一个权限级别定义为“实习生（只读）”的行政分诊智能体，突然尝试发起调用“更改患者电子病历处方”的API，策略引擎会将其视为极高危异常行为，进行微秒级阻断并拉响系统警报。

最后是“双向数据治理（Data Governance）”。既防范针对智能体输入端的提示词注入（Prompt Injection）与越权诱导攻击，又严格监控智能体的输出，确保每一次决策结果的适当性与无害性。

行业先锋实践与可保性（Insurability）评估

理论上的合规架构目前正加速转化为医疗系统中的实际生产力。全球顶尖医疗机构正在通过严密的智能体编排，显著提升照护效率。

在美国，约翰·霍普金斯医院采用基于Azure的合规预测智能体系统后，能够更早识别病患体征恶化风险，大幅降低了并发症发生率和再入院率。梅奥诊所则运用AI智能体高效精准地将乳腺癌患者的临床特征与庞杂的临床试验注册库相匹配，显著提升了招募效率。

在中国，腾讯健康发布的“健康管理助手”智能体充当着数百万用户的“数字健康哨兵”，其依托的高标准合规底座，使得系统在深入分析体检和检验指标的同时，充分保障了个人敏感数据的安全。这一架构已在全国上万家各级医疗机构成功落地应用。华为联合复旦大学附属中山医院发布了“智慧医疗全球样板点”，基于底座模型成功部署了包括放射、质控等在内的6款合规级医疗智能体，促使影像科阅片效率激增50%，展示了多模态智能融合下的合规产能释放。百度亦凭借主动拥抱包括ISO 42001（人工智能管理体系）在内的国际认证，构建了具备机密隔离环境的算力平台，有效保障了科研机构在开展单细胞与DNA大模型测序等极密研究时，规避数据缓存与泄露的合规隐患。

值得注意的是，智能体架构的合规成熟度已开始直接影响企业的商业风险与经济成本。随着网络保险与AI责任险的发展，核保人不再依赖模糊的“道德原则指南”，而是转向基于组织技术架构是否达到“合规级可观测性”来定价保费。拥有防篡改审计追踪（基于C2PA等内容溯源标准）、版本化提示词控制、硬件级内存加密，以及具备由人类审查作为最后一道防线的智能体系统（如符合Tier 4/Tier 5治理级别），能够获得更为有利的风险承保，而缺乏这些“代码化策略”安全网的影子AI（Shadow AI）项目，将被保险市场视为不可承受的系统性风险。

结语

合规级医疗智能体的架构设计，本质上是一场在“数据效用最大化”与“隐私风险绝对最小化”之间的艰难系统工程平衡。在当前的法律法规与技术现实下，那些试图将消费级通用大模型或粗糙的RAG架构简单套用于高敏感医疗场景的企业，往往会在严酷的合规审计、隐私红线以及网络保险的高额账单前折戟沉沙。

医疗人工智能的纵深发展，不取决于千亿乃至万亿模型参数的无限堆叠，而在于其架构对于“复杂、多维域监管约束”的深层内化能力。这要求业界不仅需要持续精进联邦学习、差分隐私算法、知识图谱强化推理以及机密计算芯片等硬核科技，更需要大刀阔斧地推进“代码化策略”的普及运用。唯有确保所有自动化决策均有径可循、所有数据流通均经过动态脱敏过滤、所有智能体的行事逻辑都被牢牢锁定在人类价值观、医学伦理与法律法规的坚固护栏之内，人工智能才能真正褪去“黑盒实验”的标签，成长为不仅“懂看病”，而且绝对“懂保密”，值得医疗行业与全球患者托付信任的数字化医疗协作者。