5 * Technische Details

5.1 * Konzept

5.1.1 Allgemeines Modell für die Krebsregistrierung

Da ein Patient in der Regel im Verlauf von Diagnose, Therapie und Nachsorge mit mehreren verschiedenen Ärzten Kontakt hat, die allesamt meldeberechtigt sind, sind im epidemiologischen Krebsregister auch mehrere Meldungen zur selben Tumorerkrankung zu erwarten.

Modelliert man diesen Sachverhalt für ein Entity-Relationship-Diagramm (ER-Diagramm), so ergibt sich zwischen den Entitäten 'Tumor' und 'Meldung' eine Beziehung vom Typ 1:n. Da ferner ein Patient im Laufe seines Lebens an mehreren Tumoren erkranken kann, ergibt sich im Modell eine weitere 1:n-Beziehung zwischen den Entitäten 'Person' und 'Tumor', so daß insgesamt eine Hierarchie dieser drei Entitäten besteht (siehe Abbildung 3). In Worten ausgedrückt: ein Patient kann an 1 bis n Tumoren erkranken, jeder dieser Tumore kann 1 bis n-mal gemeldet werden (n kann in beiden Zusammenhängen für unterschiedliche Zahlen stehen). Daraus ergibt sich eine Hierarchie patienten-, tumor- und meldungsbezogener Information.

Meldungsbezogene Information charakterisiert eine Meldung und kann sogar zwischen mehreren Meldungen zur selben Erkrankung desselben Patienten differieren. Meldungsbezogen sind demnach alle Originalangaben des Meldebogens zum Patienten und seiner Erkrankung sowie die administrativen Daten des Meldevorgangs. Tumorbezogene Information sind die Angaben zur Erkrankung, z. B. das Datum der Diagnosenstellung, der Diagnosecode nach ICD-10 oder das Stadium der Erkrankung. Aufgrund der Mehrfachmeldungen liegen sie n-mal im Register vor, müssen aber nicht zwangsläufig übereinstimmen. Tumorbezogene Information sind demnach nicht die Originalangaben des Meldebogens, sondern die aus allen Meldebögen extrahierte beste Information zur gleichen Erkrankung. In der Praxis kann sich die tumorbezogene Information beispielsweise zusammensetzen aus der Originalangabe des Pathologen zur Tumorhistologie und den Originalangaben des Hausarztes zum derzeit ausgeübten Beruf. Die patientenbezogene Information wie z. B. das Geburtsdatum oder das Geschlecht des Patienten wird aus allen Originalangaben aller Meldebögen zum Patienten selektiert. Die patientenbezogene Information charakterisiert den Patienten, ist also unabhängig von der Erkrankung.

Die Auftrennung des Krebsregisters in eine Vertrauensstelle und eine Registerstelle, wobei jeder Stelle spezifische Arbeitsprozesse zugeordnet sind, verlangt die Anpassung des allgemeinen Modells mit zwei getrennten ER-Diagrammen, deren Entitäten und ihre Beziehungen untereinander bereits im konzeptuellen Schritt getrennt voneinander analysiert werden müssen. Die ER-Diagramme werden in der sogenannten (1,c,m)-Notation entwickelt.

5.2 * Vertrauensstelle

1. Die Datenbank der Vertrauensstelle ist eine temporäre Sammelstelle für Meldungen, bis diese in der Registerstelle einem Patienten zugeordnet werden konnten. Die Vertrauensstelle hat deshalb nicht die Möglichkeit zu entscheiden, ob die gerade erfaßte Meldung oder Todesbescheinigung zu einem dem Register bereits bekannten Patienten gehört.
2. Der gemeinsame Meldebogen für das epidemiologische Krebsregister und die Nachsorge wird auch mit einem gemeinsamen Erfassungsprogramm erfaßt und erst nach der Eingabe getrennt. In der Vertrauensstelle wird somit auch nachsorgespezifische Information erfaßt, die nicht an die Registerstelle des Krebsregisters weitergegeben wird.
3. Auf dem Meldebogen ist auch Raum für Angaben zum Tod des Patienten. Diese Sterbeinformation wird separat betrachtet, da sie nur für einen geringen Anteil aller Meldungen vorliegt.
4. In der Vertrauensstelle werden diejenigen Todesbescheinigungen und Obduktionsscheine erfaßt, auf denen eine Tumorerkrankung als Grundleiden oder Begleiterkrankung eingetragen ist.

Abbildung 4: ER-Diagramm für die Vertrauensstelle

Außer den Daten der Meldung werden in der Vertrauensstelle die Daten des Melders (Entität 'Arzt') vorgehalten, die zwar ebenfalls auf dem Meldebogen angegeben sind, aber nur bei der ersten Meldung dieses Melders erfaßt werden. Die Beziehung zwischen den Entitäten 'Meldung' und 'Arzt' ist 1:mc, da zu einem aktuellen Zustand der temporären Datenbank der Vertrauensstelle nicht zu jedem erfaßten Arzt auch zugeordnete Meldungen gespeichert sein müssen. Jeder Arzt ist einer Institution zugeordnet (z. B. Krankenhausabteilung, Praxis, pathologisches Institut, Gesundheitsamt), während aus derselben Institution mehrere Ärzte melden können. Diese sind allerdings möglicherweise durch eigene Telefonnummern (für Rückfragen) oder eigene Bankverbindungen (für die Vergütung der Meldung) charakterisiert. Bei der Beobachtung des Meldeverhaltens ist jedoch die Entität 'Institution' wichtig. Ausnahmsweise kann ein Arzt auch zwei Institutionen zugeordnet sein (z. B. Belegarzt im Krankenhaus mit eigener Praxis). Solche doppelten Meldeaktivitäten desselben Arztes kann das Krebsregister nicht systematisch erkennen, so daß im ER-Diagramm eine 1:m-Beziehung modelliert wurde.

Das ER-Diagramm der Vertrauensstelle wurde in eine relationale Datenbank umgesetzt, wobei sich für jede Entität des Diagramms eine Relation der Datenbank ergab. Primärschlüssel der Relationen 'Meldung', 'Nachsorge' und 'Sterbefall' wurde eine fortlaufende Nummer der Meldung, die sich aus einer fünfstelligen laufenden Nummer eines Eingangsjahres, dem vierstelligen Eingangsjahr und einer Prüfziffer zusammensetzt. Sie wird vom Erfassungsprogramm generiert. Auch die Todesbescheinigungen und Obduktionsscheine erhalten eine fortlaufende Nummer aus diesem Mechanismus. Eine Institution wird über eine vierstellige Ziffer identifiziert, der Primärschlüssel der Relation 'Arzt' setzt sich aus dem Primärschlüssel der zugeordneten Institution und einer zweistelligen laufenden Nummer des meldenden Arztes zusammen. Die Attributierung der Relationen stimmt mit einer Ausnahme für Vertrauensstelle und Registerstelle überein. In der Relation 'Meldung' der Vertrauensstelle sind die Attribute Nachname, Vorname, Geburtsname, früherer Name, Straße, Postleitzahl, Wohnort, Geburtsdatum und Diagnosedatum enthalten. Vor der Übertragung in die Registerstelle werden diese zu den sogenannten Kontrollnummern chiffriert (siehe 5.3) und die Attribute Geburtsmonat, Geburtsjahr, Diagnosemonat, Diagnosejahr, Alter zum Zeitpunkt der Diagnosenstellung in Monaten und die Gemeindekennziffer generiert.

5.1.3 * Registerstelle

1. In der Registerstelle wird beim Zusammenführen der Meldungsdatensätze entschieden, ob eine Meldung zu einem dem Register bereits gemeldeten Patienten gehört.
2. In der Registerstelle werden Meldungsdatensätze mit Datensätzen von Todesbescheinigungen und Obduktionsscheine zusammengeführt. Da möglicherweise auch bereits auf der Meldung Angaben zum Tod des Patienten gemacht wurden, kann es sein, daß das Register aus verschiedenen Datenquellen Kenntnis über den Tod des Patienten erhält.
3. In manchen Fällen hat das Krebsregister Angaben zur Erkrankung des Patienten allein über Todesbescheinigung oder Obduktionsschein erhalten (DCO-Fälle). Das heißt, es gibt zur Erkrankung des Patienten keinen Meldungsdatensatz sondern ausschließlich einen Datensatz einer Todesbescheinigung oder eines Obduktionsscheins.

Abbildung 5: ER-Diagramm für die Registerstelle

Das ER-Diagramm der Registerstelle wurde in ein relationales Datenbankschema umgesetzt. Hierbei wurden die Entitäten 'Tumor', 'Meldung', 'Arzt', 'Institution' und 'Sterbemeldung' zu Relationen, die Entitäten 'Person' und 'Sterbeinfo' wurden in eine gemeinsame Relation 'Person' umgesetzt. Grund hierfür war, daß aufgrund der Speicherung von Krebspatienten über mehrere Jahrzehnte zu dem größeren Anteil der Personen auch Angaben über deren Versterben vorliegen.

Tabelle 1 verdeutlicht die Verweisstruktur und die Zusammenhänge der Relationen in der Datenbank. Für jede Relation werden die Primärschlüssel und die Fremdschlüssel dargestellt. Die Primärschlüssel der Relationen 'Person' und 'Tumor' werden als laufende Nummern in der Registerstelle generiert, die Ausprägungen der Primärschlüssel der anderen Relationen wurden bereits in der Vertrauensstelle erzeugt.

Bei der Attributierung muß für jedes epidemiologische Merkmal entschieden werden, ob es personenbezogen, tumorbezogen oder meldungsbezogen ist. Grundlegend ergibt sich folgende Einteilung:

• personenbezogen: zeit- und erkrankungsunabhängige Angaben, Angaben zum Tod des Patienten
• tumorbezogen: erkrankungsabhängige Angaben, zeitlich veränderliche personenbezogene Angaben
• meldungsbezogen: Originalangaben zur Person und Tumor, administrative Daten zur Meldung

Aus dem Datenbankschema ausgeklammert sind die chiffrierten Personendaten. Auf deren Verarbeitung und Speicherung wird in 5.3 eingegangen. Die aus den Personendaten gebildeten Kontrollnummern sind meldungsbezogen, da sie nach der Löschung der Meldung in der Vertrauensstelle unveränderlich sind.

Bei der Umsetzung des ER-Diagramms in eine relationale Datenbank wurde darauf geachtet, die Datenbank für Routineanfragen so zu gestalten, daß diese mit einfachen SQL-Anfragen vor allem ohne Kenntnisse von speziellem "Insider"-Wissen über die Datendefinition und -haltung zu beantworten sind. Personen-, tumor- und meldungsbezogene Anfragen sind über jeweils eine einzige Relation möglich.

Die Erfahrungen der Pilotphase haben gezeigt, daß die Wahl, die Datenhaltung der Registerstelle in einem relationalen Datenmodell abzubilden, als gelungen betrachtet werden kann. Die Eindeutigkeit der Primärschlüssel erlaubt gleichzeitig die häufig benötigte Zählung von sowohl Personen als auch Tumorerkrankungen oder Meldungen. Die Normalisierung wahrt durch die Redundanzfreiheit die Konsistenz der Datenbank, ohne daß in diesem speziellen Anwendungsfall die oft im Rahmen der Normalisierung auftretende Unübersichtlichkeit der Datenbankstruktur eingetreten ist. Dies zeichnete sich aufgrund der 1:n-Beziehungen bereits bei der Entwicklung des allgemeinen Modells (vergl. 5.1.1) ab. Die Datenbankkonsistenz wird ferner durch referentielle Integritäten unterstützt, so kann z. B. die Meldequelle einer Meldung nicht "verloren" gehen. Die Umsetzung der Verarbeitung von Meldungen auf Basis der Datenbankschemata wird in 5.2 beschrieben.

5.2 * Realisierung

Die Datenhaltung im beschriebenen relationalen Modell stellt weitgehend die Konsistenz und Pflegbarkeit der Daten sicher. Die praktische Umsetzung erfordert weitere Maßnahmen, um die erforderliche Datenqualität zu erreichen sowie angenehmes und ergonomische Arbeiten zu ermöglichen. Auf zwei Werkzeuge soll hier näher eingegangen werden.

5.2.1 * Qualitätssicherung durch Plausibilitätsprüfungen

Bei der Übertragung der Daten vom Meldebogen in den PC können durch Ablese-, Codier- oder Eingabefehler in den etwa 35 erfaßten Merkmalen sehr viele Meldungen verfälscht werden. Die geeignete und vollständige Prüfung der Daten bei der Erfassung bei den EDV-Meldern kann nicht vorausgesetzt werden, daher stellen sich für die Übernahme der Daten in die Datenbank des Registers grundsätzlich die gleichen Prüfanforderungen. Die Prüfungen unterscheiden sich nur im Zeitpunkt der Anwendung, womit sich jedoch das Vorgehen bei der Prüfung unterscheidet. Bei der manuellen Eingabe kann direkt bei der Erfassung eines Attributes eine Reaktion durch Sperren der Eingabe oder eine Warnung erfolgen, bei im Batchbetrieb hinzugefügten EDV-Meldungen müssen Fehlerlisten erstellt werden.

Das entwickelte Programm zur Plausibilitätsprüfung erfüllt folgende Anforderungen:

• Wartbarkeit und Erweiterbarkeit der Prüfungen aufgrund neuen Wissens oder neuer Erfahrungen,
• Anpassung der Prüfungen bei Schlüsselwechsel (z. B. ICD, ICD-O),
• abgestufte Reaktion auf Fehler (Verhindern der Speicherung) oder Warnung bei ungewöhnlichen Merkmalskombinationen,
• Anpassung an verschiedene Arbeitsprozesse mit unterschiedlichen Anforderungen bezüglich der Feldkombinationen der geprüften Felder,
• Prüfung auf Übereinstimmung mit den Werten in Ausprägungslisten,
• Konfiguration für Online- und Batchbetrieb.

Die Datenbank besteht aus zwei Tabellen:

Tabelle "Gruppen"

Tabelle "Prüfungen"

Prüfung aus Gruppe 16: Ein Chorionkarzinom (9100/3) in der Plazenta (C58) entsteht nur im Alter zwischen 15 und 45 Jahren.
Prüfung für Gruppe 18: Eine bösartige Neubildung des Uterus (C54-C55) im Alter unter 5 Jahren ist unwahrscheinlich.

Abbildung 6: Regeleditor: Ein Karzinom an weiblichen Geschlechtsorganen (ICD erste drei Stellen des ICD zwischen C51 und C58) bei Geschlecht männlich (1) soll als Fehler erkannt werden.

Das System zur Plausibilitätsprüfung ist seit Mitte 1996 im Krebsregister in mehreren Programmen im Einsatz und hat sich sehr gut bewährt.

5.2.2 * Meldungszuordnung

Im Krebsregister Rheinland-Pfalz wurden daher Verfahren und Werkzeuge für eine qualitativ gute und einfach handhabbare Meldungszuordnung entwickelt.

Abgleich der Meldungen

Abbildung 7: Anwendung von Automatch

Neue Meldungen aus der Vertrauensstelle werden regelmäßig in die Datenbank der Registerstelle übertragen und mit dem Status "Neu" gekennzeichnet. Für die Automatch-Läufe werden alle relevanten Attribute in zwei Textdateien - abhängig vom Status ("Neu" - alle anderen) - übertragen.

Zur Erkennung der zu einer Person gehörenden Meldungen werden nacheinander acht Durchläufe mit unterschiedlichen Blockvariablen durchgeführt. Blockvariablen sind Merkmale, nach denen die Meldungen vor dem Vergleich sortiert werden. Anschließend werden nur Datensätze verglichen, die in diesen Blockvariablen übereinstimmen. Es sind mehrere Durchläufe nötig, um auch zusammengehörende Datensätze zu finden, die in einer der Blockvariablen nicht übereinstimmen. In jedem Durchlauf werden zunächst die neuen Meldungen auf Duplikate geprüft ("Unduplicate"), dann werden die neuen Meldungen mit den alten Daten abgeglichen ("Matchlauf"). Die Ergebnisse aus "Unduplicate" und Matchlauf mit jeweils identischen Blockvariablen werden zusammengeführt; im Anschluß daran erfolgt die manuelle Nachbearbeitung der Gruppen potentiell zusammengehörender Datensätze (Matchgruppen) im Nachbearbeitungssystem.

Nachbearbeitung

Erstellen der Nachbearbeitungs-Datenbank

Abbildung 8: Erstellung der Nachbearbeitungsdatenbank

• Die Gruppenzuordnungen der acht Unduplicate- und der acht Matchläufe von Automatch werden in einer Datei zusammengefaßt.
• Aus dem gesamten Datenbestand werden alle Datensätze selektiert und zu den Matchgruppen hinzugefügt, die mit mindestens einem der Datensätze der Gruppe schon zusammengeführt wurden (gleiche Personen-ID).
• Alle für die Entscheidung zur Zusammenführung von Person oder Tumor relevanten Daten der Matchgruppen werden aus der Registerdatenbank in eine Matchdatenbank übertragen. Zur besseren Handhabung werden anstelle der Kontrollnummern (chiffriert, 33 Zeichen Länge) innerhalb jeder Gruppe Pseudoausprägungen (A, B, C, ...) erstellt. Hierbei werden für alle Vor- und alle Nachnamenskomponenten die Pseudoausprägungen gemeinsam erstellt, so daß auch eine Verdrehung der Bestandteile oder eine unterschiedliche Zuordnung bei Geburtsname oder früherer Name erkennbar sind.

Abbildung 9: Erzeugen von Pseudoausprägungen

Bearbeitung im Meldungszuordnungsprogramm

Personenzuordnung

In der Meldungstabelle kennzeichnet ein farbiges Symbol in der Spalte "Person" alle schon zugeordneten Datensätze, ein Symbol in gleicher Farbe markiert den zugehörigen Datensatz in der Tabelle "Beste Information Person".

Tumorzuordnung

Abbildung 10: Alle Meldungen sind einer Person zugeordnet. Meldungen 1 und 3 betreffen einen Tumor, Meldungen 2 und 4 sind zur Zuordnung zu einen zweiten Tumor markiert.

Die Zuordnung mehrerer Meldungen zu einem Tumor erfolgt in ähnlicher Weise wie die Personenzuordnung und erstellt einen Datensatz in der Tabelle "Beste Information zum Tumor". Hier kann eine Best-Of-Regel lauten, daß vermutlich die Information zu einem Tumor vom Pathologen präziser sein wird als die Einweisungsdiagnose des Hausarztes. Auch hier werden eindeutige Ausprägungen automatisch in den Best-Of-Datensatz übernommen, nicht eindeutige Werte können durch Doppelklicken übernommen werden. In einigen Feldern kann in den Best-Of-Informationen zum Tumor auch ein Editieren nötig sein. Zur Vermeidung von Fehlern bei der manuellen Eingabe von Werten greift das Programm auf eine Plausibilitäten-Datenbank zu und verhindert die Eingabe bei Plausibilitätsfehlern.

Kann bei einer Meldung oder einer Gruppe von Meldungen keine Entscheidung über die Zuordnung getroffen werden, dann besteht die Möglichkeit der Eingabe von Notizen zur späteren Bearbeitung oder zur Weitergabe an die Vertrauensstelle, welche die Meldung überprüfen oder durch Nachfrage beim meldenden Arzt korrigieren kann.

Weiterbearbeitung

Erfahrungen

Ausblick

5.3 * Kontrollnummern und Chiffrierung

Die neu eingegangenen Datensätze werden anhand der Kontrollnummern und einiger im Klartext vorliegender Merkmale wie Geschlecht, Wohnort, Geburtsmonat und -jahr mit dem in der Registerstelle vorhandenen Bestand abgeglichen.

5.3.1 * Vertrauensstelle

Abbildung 11: Namenszerlegung und Standardisierung

Abbildung 12: Phonetischer Code

Jedes dieser Attribute wird zuerst mit dem Einwegverfahren MD5, dann mit dem symmetrischen IDEA-Verfahren chiffriert. (Für Einzelheiten der verwendeten Chiffrierverfahren wird auf die kryptographische Literatur verwiesen, z. B. [10].) Ebenso wird mit dem Geburtstag und dem DDR-Namenscode verfahren. Außerdem werden die Kontrollnummern, die im Krebsregister Baden-Württemberg verwendet werden, erzeugt. So ergeben sich die Kontrollnummern im "Abgleichformat" ("Linkage Format"), in dieser Form kann mit den Kontrollnummern abgeglichen werden. Der DDR-Code und die Kontrollnummern aus Baden-Württemberg wurden aufgenommen, um Abgleiche mit dem Altbestand des gemeinsamen Krebsregisters der neuen Bundesländer und mit dem Krebsregister Baden-Württemberg zu ermöglichen.

Die Attribute, aus denen die Kontrollnummern erzeugt werden, sind in Tabelle 4 aufgeführt.

Das oben beschriebene Verfahren entspricht den Empfehlungen, die aufbauend auf Untersuchungen im Krebsregister Rheinland-Pfalz gemeinsam mit einer Arbeitsgruppe in Oldenburg erarbeitet [1] wurden. So wird gewährleistet, daß ein Abgleich zwischen verschiedenen Bundesländern und mit der Dachdokumentation Krebs am Robert-Koch-Institut möglich ist.

Für Studien oder spezielle Nachfragen muß es grundsätzlich möglich bleiben, die Identitätsdaten im Klartext wiederherzustellen. Um dies zu erreichen, werden die gesamten Identitätsdaten mit einem asymmetrischen Verfahren chiffriert. Bei asymmetrischer Chiffrierung werden zwei Schlüssel eingesetzt, einer zum Verschlüsseln, einer zum Entschlüsseln. Der Schlüssel zum Entschlüsseln wird außerhalb des Krebsregisters beim Daten- und Informationszentrum Rheinland-Pfalz hinterlegt, so daß nur in definierten Ausnahmefällen und unter Kontrolle Identitätsdaten dechiffriert werden können.

Das im Krebsregister Rheinland-Pfalz eingesetzte asymmetrische Verfahren ist eine hybride IDEA-RSA-Chiffrierung. Dabei werden die Identitätsdaten mit dem symmetrischen IDEA-Verfahren chiffriert, der hierfür je Sitzung nach einem Zufallsverfahren erzeugte IDEA-Schlüssel wird mit dem "öffentlichen" Schlüssel RSA-chiffriert und mit den chiffrierten Identitätsdaten abgelegt. Die konkrete Umsetzung beruht auf dem Programm PGP (Pretty Good Privacy, Philip Zimmermann).

Abbildung 13: Chiffrierung im Krebsregister

5.3.2 * Registerstelle

Wenn neue Meldungen aus der Vertrauensstelle mit dem Bestand in der Registerstelle abgeglichen werden sollen, wird die letzte IDEA-Chiffrierung rückgängig gemacht. Die Kontrollnummern stehen dann für die Dauer des Abgleichs im "Abgleichformat" zur Verfügung.

Das ganze Chiffrierverfahren ist in Abbildung 13 illustriert.

5.3.3 * Sicherheitsaspekte

Seitenanfang

vorheriges Kapitel

nächstes Kapitel

Bericht Inhaltsverzeichnis

Startseite