作者：黄锐
药品的质量安全问题关系着人民的身体健康和生命安全，我国一直采取强监管模式。从早期国家药品监督管理局（SDA）到现在的国家药品监督管理总局（NMPA，以下简称：国家药监局），我国已建成以政府监管为主的药品质量安全保障体系。虽然近年来药品质量形势总体趋好，但一些重大假药劣药事件却并未杜绝，例如：2006年的“齐二药”事件、 2012年的“铬超标胶囊”事件、2013年的“维 C 银翘片”事件、2016年的“山东疫苗案件”、2018年的“阿司匹林有点甜假药案”和“长春长生疫苗造假事件”等。
通过近年一些药品质量安全事件回顾分析，不难发现药品质量问题产生到暴露的过程，总是存在质量信息从离散到聚集、从黑盒到透明、从单方认知到多方共识的规律。即：质量安全问题信息一开始总是离散的、信息不对称的，但随时间推移不断外溢，最终被多方接收、达成共识并形成信息对称，如果可以改善或加速信息外溢速度，药品质量安全问题就可以在早期得到控制，从而减少重大质量事故的发生。本文提出的基于区块链的药品质量分布式状态协同模型，就是利用区块链技术在分布式环境下信息对称性优势，在药品的生产、经营、使用和监管等整个生命周期活动中，建立全局质量信息动态协同模型，防止药品质量问题演变成重大安全事故。
随着数字化技术进一步在企业管理、产品供应链、社会治理等全方位的落地践行。不难发现，任何单一数字化技术、单一实体很难构成全面的数字化管理环境。其根本原因在于大部分商业、社会管理实体依然是处于分散状态。传统中心化协调管理机制虽然在管理域内拥有效率、资源利用率等方面的显著优势，但却无法构建一个跨域、全周期、全产业链的连续协同能力。本文以药品质量管理为例，提出的分布式状态协同模型，本质上对于其他产品质量管理乃至分布式企业管理同样也有借鉴意义。在商业活动实践中，由于过度中心化存在行业垄断风险，因此在无法建立中心化协调机制的领域，同时又需要开展连续性、一致性、全周期协同任务的场景，分布式状态协同模型都将是最佳选择。
1. 我国药品质量管理存在的问题
1.1 药品供应链管理主体众多且分散
药品供应链主要分为生产、经营和使用三大管理域，分别代表：生产企业，批发和零售企业，医疗卫生机构等。根据国家药监局发布的2019年数据显示，全国共有原料药和制剂生产企业4529家，批发企业1.4万家，零售连锁企业6701家，零售连锁企业门店29万家，零售单体药店23.4万家。另根据国家统计局发布的2020年数据，全国各类医疗卫生机构共有100万余家。这都说明中国药品供应链参与主体众多，市场集中度不高。
1.2 药品质量信息在供应链内部与外部信息不对称
由于药品质量安全问题，总是发生在药品供应链的原材料供应、生产、经营和使用等各个分散管理域中，所以质量信息数据分散，数据的完整性也存在缺陷。例如：“山东非法经营疫苗案”是未经严格的冷链储存运输的问题，“长春长生疫苗案”则是出在生产环节问题。在这些案例中，产品质量的负面信息无论是主动造假还是管理失误，首先都会被利益相关方封闭在发生的环节里，阻碍质量信息的外溢。利益相关者并无动力主动公布质量安全事故，质量负面信息在供应链内部还是外部都会形成信息不对称。
1.3 静态防伪追溯对药品质量管理效果有限
防伪追溯的本质是将药品的出厂信息通过数字化编码，并结合条形码、二维码、RFID等识别技术实现“一物一码”产品信息识别和查询。目前药品市场使用最多的 “码上放心追溯码”为例，记录信息主要有20位追溯码、药品规格、生产日期、有效期、批次号和生产厂家等药品静态信息。防伪追溯只能识别出该物品是什么，但并不能获取药品质量的动态变化，近来发生的一系列药品质量安全问题都反应了该问题。例如：“山东非法经营疫苗案件”不合格冷链引起质量问题，“长春长生疫苗造假案”是生产工序造假问题，而阿司匹林“有点甜”特大假药事件，更是将产品造假方式从原有的假货无码、假货假码发展到假货真码的“高仿真”阶段。
1.4 以企业为单位的质量管理跨域协同能力不足
在传统的药品质量管理中，生产企业、经营企业和使用单位的质量信息主要是依赖供应链交易传递，即：药品供应链的相关企业，依据供应链上游到下游的产品交易实现质量信息单向的静态传递。而在整个产品全生命周期管理中，并不维护产品的跨域动态质量信息，下游企业的质量变化无法反馈到上游企业，上游企业的后发型质量问题无法及时更新到已交易或使用的产品信息中。由于影响药品质量的因素众多，并分散在药品的生产、经营和使用等全生命周期的各个环节中，以抽查为手段形成的监管质量状态Ss也只是在某一时刻下的一个局部状态。生产质量状态Sm、经营质量状态So、使用质量状态Su和监管质量状态Ss之间相互独立、互不影响，即：Sm≠So≠Su≠Ss ，因此缺乏全面质量管理的跨域动态协同能力。
2. 药品质量状态分布式协同模型构建
本文利用区块链技术在分布式环境下保证状态一致性的共识优势提出一种完全去中心化的药品产、销、用质量状态协同模型，即：基于区块链技术的药品分布式质量状态协同模型。如图1所示，在该模型中将药品生产企业、经营企业、使用单位和监管机构，抽象为协同对象，利用数字身份理论将相关企业、人员、设备整合到一个对等网络中，通过实用拜占庭容错协议保障协同对象的决策一致性；将药品在生产、经营、使用和监管中质量信息，抽象为全局质量协同状态，实现质量状态的跨域一致性，即：Sm=So=Su=Ss；将药品质量管理活动抽象为协同活动，实现在药品的采购、生产、仓储、销售、运输、使用和抽查等药品生命全周期内的质量管理活动协同一致性。
图1 基于区块链技术的药品质量分布式状态协同模型
2.1 利用分布式共识整合分散的供应链管理主体，改善供应链信息即时对称性
药品生产企业、经营企业、使用单位和监管机构是全面产品质量管理活动的协同主体，但长期以来药品供应链的参与者众多、市场集中度不高，致使开展全供应链的全面质量管理需要完全依赖国家药监局为主的第三方中心化认证、抽查、协调和监管机制。
本文利用区块链技术在管理主体分布式条件下的信息整合优势，通过分布式数字身份（分布式公钥基础设施DPKI）、开放性的P2P传输网络、实用拜占庭容错共识算法PBFT等工具，分别将药品供应链管理主体，供应链交易，药品质量管理协调活动等整合在高可信的区块链网络中，从而提高供应链药品质量状态的信息即时对称性和完整性。如图2所示：协同网络由生产企业M、经营企业O、使用单位U、监管机构S等多个节点构成，每个节点通过DPKI的数字身份分别接入人员、设备、企业或单位。多个节点间通过P2P网络通信进行协同任务广播，并在药品生产企业、经营企业和使用单位之间产生的供应链交易链之外，独立构建基于分布式共识机制的药品质量共识网络。
图2 基于区块链技术的药品质量分布式共识网络
注释：M、O、U、S代表的是药品供应链的企业或机构类型，由多家企业构成，并不是仅限于4个节点。
2.1.1 赋予供应链管理主体数字身份
在分布式药品供应链企业之间自主开展产品质量协同活动的首要条件是身份识别和认证。而以非对称加密技术为基础的分布式数字身份体系(DPKI)，则是在开放性全数字化环境下实现自动化安全交易的基础设施。本文基于比特币“公钥即身份”理论，利用DPKI对药品生产企业、经营企业、使用单位和监管机构这些管理主体中开展质量协同工作的人员、设备和企业赋予分布式数字身份，利用分布式数字身份网络交易认证的匿名、开放和高效的优势，实现药品供应链管理主体灵活、安全的协同活动。
分布式数字身份作为药品全生命周期质量管理的准入前提，是建立基于供应链多态多中心协同认证的技术先决条件，分布式数字身份管理对药品产业链细粒度的质量协同活动提供了数字化安全保障。
2.1.2 P2P网络建立供应链管理主体之间的数据交换
药品质量安全问题的发生总是离散分散在供应链的原材料供应、药品生产、经营和使用等各个管理域中，质量信息不可避免的通过供应链交易由上游向下游、由内向外传递。为避免造假企业利用中心化的数据管控弊端，故意阻断质量信息的外溢或捏造虚假质量信息，从而制造信息不对称态势。本文采用基于区块链技术的P2P交易形态，实现质量信息的不可阻断扩散，在无中心化平台的协调下，产品质量信号在生产企业、销售企业、物流企业、使用单位和政府监管中低成本、安全的传递，从而优化药品质量信息的对称性。同时，作为高质量企业，也乐于将自身产品的质量优势向信息不对称方传递，以避免出现逆向选择。
2.1.3 利用分布式共识协议，建立分散供应链管理主体之间的决策一致性
在分布式供应链管理主体之间建立一致性协同活动需要获取大多数参与主体的决策共识，决策共识一直以来是限制分布式环境下多元主体协同运作的关键。传统供应链管理中主要依靠建立第三方的中心化协调中心，统一多元主体的决策。但在药品全生命周期的质量管理中的现实环境中，协同决策至少被分隔在生产、经营和使用三个相对独立的管理域，无法实现全局统一。
本文采用PBFT（实用拜占庭容错机制）作为分布式共识算法，以保障供应链分散实体间协同动作的一致性和防篡改能力。PBFT可实现f=(n-1)/3（n是供应链参与共识的总节点数）的容错数，并可有效防止见证方恶意造假。药品供应链中的原料企业、生产企业、物流企业、销售企业、使用单位、药品检验机构和监管机构等，作为药品全生命周期质量控制的协同方和共识节点，利用少数服从多数原则，共同维护药品在生产、经营和使用过程中质量控制信息一致性。
2.2 利用质量状态有向无环图，实现跨域无缝质量跟踪
药品分布式质量协同是一种状态驱动协同的数据模型，其中药品全局状态即是协同元素，主要包含：观测状态和协同状态两类。在区块链协同网络的每个节点中都包含一个全局质量状态，全局质量状态受分布式共识算法保障，使各个节点中状态始终保持一致性，即状态：Sm = So = Su = Ss。药品质量安全事故一旦发生会改变药品的物理或化学观测状态，观测状态驱动协同活动，通过协同活动更新协同状态。观测状态和协同状态是由一些列子状态构成，利用子状态的依赖关系建立状态的有向无环图（DAG），可在分布式环境下灵活高效的实现状态真实性验证。如图3所示，观测状态由生产状态、经营状态和使用状态构成。使用状态依赖经营状态；经营状态依赖生产状态等。协同状态则由上市状态、停止状态、召回状态、销毁状态和注销状态构成。销毁状态依赖召回状态；召回状态依赖停止状态；注销状态依赖停止状态；停止状态依赖上市状态等。
图3 药品全局质量状态结构图
2.2.1 药品观测状态
药品的观测状态是通过人工或设备对药品的物理或化学特性进行观测并与药品注册证书中的质量属性进行对比，并对异常状态进行转化。开展观测的人员与设备需要利用数字身份注册到分布式质量共识网络的相关节点中，以实现自动化的质量状态观测与转化。由于观测状态覆盖药品生产、经营、使用等跨域的全生命周期，本文采用基于药品的危害分析和关键控制点（HACCP）方法建立观测状态，分别将生产、经营和使用拆分为更细维度的质量子状态拓扑关系，可编制子状态相互依赖、影响和验证的有向无环图（DAG）。可在生产、经营和使用过程中实现质量状态变化的连续性预判和监控。
依据HACCP分析，本文将药品生产、经营和使用过程中最敏感的控制点设为：工艺制定、工序进展、订单、运输、仓储、检验、疗效跟踪、不良反应记录等8个关键状态，状态之间存在有向无环的拓扑关系。①工艺制定，通过对药品生产的工艺制定进行状态跟踪，以发现潜在质量隐患。②工序进展，通过对药品生产的实际工序进展状态进行跟踪，以及时发现生产质量问题。③订单，通过对药品批发和零售的订单状态跟踪，以发现药品的流向和追溯证明。④运输，通过对物流运输状态的跟踪，以发现药品在运输环境的状态变化。⑤仓储，通过对生产、经营、使用过程中的药品存储状态跟踪，以及时发现药品质量恶化信号。⑥检验，通过对药品自检、第三方检验和药监局抽检状态跟踪，以及时向外扩散药品的质量状态信号。⑦疗效跟踪，通过对药品在使用单位的疗效状态跟踪，为药品研发机构和生产厂家提供质量改进数据。⑧不良反应记录，通过对药品在使用单位的不良反应跟踪，以及时发现药品临床缺陷和副作用，并为下一步改进提供数据。
2.2.2 药品协同状态
药品的协同状态是观测状态在生产、经营和使用等管理域中发生质量状态转化后，自动驱动供应链企业、医疗机构和监管机构等共同开展协同活动的过程状态。协同状态之间存在关联影响关系，可由一种状态迁移到另一种状态，配合协同活动最终驱动药品生产、经营、使用等跨域的协同一体化响应。在实际应用中，协同状态可依据药品安全问题的响应过程，自行编制。
依据《中华人民共和国药品管理法》对上市后药品管理细则要求，本文将协同状态设计为正常上市状态、紧急停止状态、召回状态、销毁状态和药品注销状态等5个协同状态，状态之间存在有向无环的拓扑关系，且可以进行更细化的定义。①正常上市状态，是药品上市后维持的正常状态，该状态表明药品正在正常生产、经营和使用。②紧急停止状态，是在药品观测状态出现重大转化，并影响药品的使用安全后，由国家药监局下达的全供应链紧急停止生产、经营和使用的全网协同状态。③召回状态，是根据《药品召回管理办法》对已上市的缺陷药品进行统一回收和消除的要求，记录药品召回过程的状态数据，可分为三级召回。④销毁状态，是对于需要销毁的缺陷药品，需要在药品监督管理部门或者公证部门监督下进行无害化销毁的结果。⑤药品注销状态，是对药品注册证书自动到期、持有人主动注销或药监局强制注销的结果。
2.3 利用智能合约实现状态协同活动，优化供应链质量状态的跨域协同能力
依据2019年发布的新修订版的《中华人民共和国药品管理法》要求，药品上市许可持有人、生产企业、经营企业和医疗机构需要共同履行药品上市后的质量、疗效、不良反应等问题的处置、紧急停止、召回等责任。但由于药品全生命周期的质量管理是一种跨生产、经营和使用等多管理域的分布式协同活动，需要以协同对象已达成共识的质量状态为中心，开展可持续的同步协作，协同过程还需防止数据篡改和恶意造假等违法现象。
目前，以国家药监局为主的第三方机构，行使的是药品抽查、认证、监督等行政权利，并不承担药品供应链跨域质量协同的日常管理任务。所以，在分布式供应链跨域环境下实现任务协同的难点主要是无法建立一个第三方的中心化协调平台，用于统一协调跨域管理主体间的任务执行。分布式跨域协同需要一种不依赖中心化组织即可实现在多个参与方之间建立实时任务多方自动化同步、消息通知和一致性校验的机制。为此，本文采用区块链智能合约作为协同活动的调度、执行引擎。智能合约在以太坊中，是一个可以编程的、基于以太坊虚拟机（Ethereum Virtual Machine EVM）、具备图灵完备性的分布式开发、测试、运行引擎，本文也采用一套类似EVM的智能合约开发、部署、运行引擎。
如图4所示，智能合约将会部署到药品生产、经营、使用和监管等多个管理域，通过分布式共识算法保证智能合约的分布式一致性和防篡改。在智能合约中通过编码实现协同活动的自动化调用和运行，协同活动定义为：上市、紧急停止、召回、注销等。通过观测状态的变化事件，触发智能合约的运行，智能合约根据编码编排的协同规则，触发相应协同活动运行，并在智能合约原子性、一致性、隔离性等特性保障下更新协同状态。协同状态将通过P2P数据广播和分布式共识机制自动化在多个管理域节点中实现一致性同步，从而达到跨域质量协同目的。
图4 基于智能合约的状态协同图
采用区块链智能合约作为药品生产企业、经营企业、使用单位、监管机构等跨域质量状态协同引擎，是将区块链技术在分布式环境下的数据一致性、防篡改、自动化程度高等优势，应用在药品全面质量管理的跨域协同的一种尝试，通过在药品产业管理域间建立决策共治的自组织形态，从而优化药品供应链质量状态的跨域协同能力。
2.4 利用区块链网络节点的对等性，优化药品监管结构
在过去的“十三五”阶段，虽然我国市场监管以“双随机、一公开”为基本手段、重点监管为补充、信用监管为基础的监管机制初步建立。但从治理层面仍然表现为原子式单向治理模式，即：政府-企业的政府治理，企业被动接受政府监管，加剧了信息不对称、不完全和治理的延迟性。如图5所示，在药品监管的原子式单向治理模式中，监管机构采用抽查为主要管理手段，而药品的质量状态分布在多个管理域中，由上至下的分散抽查具有高成本、低效率和事后治理的缺点。本文采用的区块链分布式状态协同网络是一种对等网络（Peer-to-peer networking），网络节点没有主次之分，通过任一节点即可获得全网共识的药品全局质量状态。配合智能合约技术可实时监控药品全局质量状态的变化，出现异常自动化告警，监管规则可根据药品不同，编写自定义合约，同时满足监管的实时性、完整性和规则灵活性的要求。
图5 药品质量对等网络共治图
Laffont和Tirole在二层委托-代理模型基础上，提出委托人-监督者-代理人的三层委托代理模型(Principal-Monitor-Agent Model，PMA模型)，其中监管机构为监督者，立法机构为委托人，企业为代理人。而在网络化共治模式下，利用PBFT共识算法可随机选举网络监管节点，可形成动态、多元监督者，即：监督者并不只有监管机构，而是包括药品生产域、经营域、使用域等多元主体，进一步优化药品市场监管的公正性、公平性和信息透明性。
结语
本文提出的基于区块链技术的药品质量分布式状态协同模型，是利用区块链技术在网络对等、分布式协同、全局状态一致性、信息对称等方面的优势，将药品的生产、经营、使用和监管等多个跨域管理实体，整合在以药品全局质量状态为中心的协同网络中。并将药品质量管理的HACCP嵌入到全局观测状态中，通过人工或设备对药品的物理、化学特性进行观测并与药品注册证书中的质量属性进行对比，对观测异常状态自动协调各管理实体开展跨域紧急停止、召回、销毁和注销等协同活动，并最终更新药品质量的全局协同状态。从而实现药品在生产、经营、使用和监管过程中的质量跨域协同管理能力。同时，本文也是作为全方位、多层次、立体化监管体系的一部分，可实现事前事中事后全链条全领域质量监管，通过优化监管网络结构将政府-企业的原子式单向治理模式向网络化共治体系过渡，进一步优化市场监管的提高公正性、公平性和信息透明性。
