# Proposal · 患者匹配最小可行版（synthetic example）

> 这是一个合成示例，**所有姓名 / 身份证 / 手机号均为占位**。
> 用于演示 MedHarness 12 步 SOP 端到端跑通。

---

## 业务诉求

医院 / SaaS 内常见任务：根据姓名 + 身份证 + 手机号 + 病案号判断"同一患者"。
要求：
- 错配率 < 0.5%（高安全场景）
- 单条匹配 < 200ms
- 全程不留原始 PHI 痕迹

## 用户故事

> 作为运营，我希望批量导入 1000 条患者记录时，系统能自动合并同人不同来源的数据，
> 而不要求我手动 review，但每次合并必须可审计。

## 不在范围

- ❌ 跨医院主数据管理（HIE）
- ❌ 模糊匹配（仅精确匹配 + 容忍轻微 typo）
- ❌ 跨境数据传输

## 合规边界

- 数据分级：L4（高敏 PHI）
- 模型 allowlist：仅本地脱敏模型 + 私有 LLM（编码 / Review）；公共 API 禁用
- 审计：每次匹配落 `mcp-audit-log`，含原文哈希 + 匹配决策 + 模型 ID
- WORM 保留：6 年

## 关键设计取舍

| 项 | 选择 | 理由 |
|---|---|---|
| 匹配算法 | 精确 + 容差（Levenshtein ≤ 2） | 高安全场景拒绝模糊 |
| PHI 入参 | 必须先经 `phi-desensitize` | 永不裸入 |
| 决策模型 | 私有 Qwen 32B | 不出境 |
| 审计粒度 | 每条记录哈希 | 可重放 |

## 成功指标

- Verify 一次过 ≥ 75%
- 错配率 < 0.5%（用合成验证集 5000 条）
- PHI 漏出 0
- 审计包可重放 100%

## 关联

- 上层 change：N/A（这是 MVP 示例）
- 下层依赖：fields.yml `cn_id` / `cn_phone` / `cn_mrn`
