业务背景
肿瘤药「买赠型」患者援助项目（PAP，Patient Assistance Program）指患者购买一个疗程后，凭发票、处方与诊断证明申请赠药。
一个真实的项目规模大致是：漏斗 2000 人申请，约 50% 转化为入组患者，每人 24 次赠药循环，两年周期，累计服务约 5 万人次。
三个真正的难点
一、骗领
一盒肿瘤药动辄几千上万，骗领动机极强。我们在方案阶段梳理出至少六种手法：
| 手法 | 系统怎么防 |
|---|---|
| 假发票 | 发票代码 + 号码 + 金额校验，对接第三方查验接口 |
| 真票重复用 | 发票系统级唯一约束，一张票全项目只能核销一次，跨患者判重 |
| 假处方 | 处方真实性核验，或处方 + 病历佐证 |
| 过期处方 | 处方带有效期，每次循环必须匹配「本次购买」 |
| 拿他人发票 | 发票抬头与患者身份一致性校验 |
| 入组后违规 | 风险名单拦截，命中直接拒，不走补料 |
发票唯一性约束是整个防骗体系的地基。 一张发票一旦被任一患者核销过，永久入库，全项目范围判重，换手机号、换身份都无法绕过。
二、破例必须留痕
再严的规则也会遇到需要人工放行的情况。硬性拒绝会误伤真实患者，所以强制放行权限要给到所有审核员，而不是只有主管。
但放行是审计重点。系统必须自动记录谁、何时、为什么、原发票信息，不可删除、永久可查。
这一条在合同谈判时经常被忽略，但它直接决定系统能不能通过药企的合规审查。
三、通道分开关停
援助项目有生命周期：启动期、运行期、收缩期、收尾期。
到了收缩期，需要先关入组通道、后关赠药通道——不再进新人，但已入组的患者要按疗程继续领完。
如果做成一个开关，项目收缩时必然出问题：要么停了不该停的，要么该停的停不掉。
角色架构
五个角色，各自的能力边界必须划清：
| 角色 | 定位 | 系统能力 |
|---|---|---|
| 药企 | 出资方 | 只看报表，不碰明细 |
| 基金会 | 监管方 | 项目周期配置、援助规则、通道开关 |
| 运营团队 | 执行方 | 审核、发药任务、随访、风险名单 |
| 药房 | 发药方 | 接收任务、确认发药、回传发药照片 |
| 患者 | 申请方 | 填资料、上传材料、查进度 |
实现上是「一套后台 + 三套角色权限」（运营 / 基金会 / 药企），不拆三个物理系统。但对外描述时按三端分别讲，因为业务复杂度确实不同。
状态机设计
草稿 → 已提交 → 审核中 → 需补料 → 已重新提交（回到审核中）
↘ 已驳回（终态）
审核中 → 通过 → 待发药 → 发药中 → 已完成
↘ 拒绝（终态）
补料可多次循环。一期不设硬上限，因为现实中没人能一次交对材料，设上限只会把真实患者挡在门外。
报价结构
产研费（一次性） —— 按功能模块拆人天。核心成本集中在后端：发票判重引擎、状态机、三方接口对接、审计留痕。
这三块有一个共同特点：AI 提效有限、返工风险高。报价时必须单独立项，不能摊在平均值里。
服务费（按周期） —— 如包含运营服务，按人次阶梯结算。
这里有个容易算错的地方：入组 1000 人听起来不多，但每人 24 次赠药 + 24 次随访，两年是约 5 万人次。报价口径必须是人次，不能只盯入组人数。
方案阶段就钉死的三件事
- 赠药截止策略（统一截止 / 全部领完 / 按剩余周期折算）—— 药企定策略，系统做可配置，否则策略一调就是二开。
- 发药方式（院内 / 指定药房开端口）—— 决定要不要独立药房端。
- 数据合规口径 ——「身份证脱敏」在法律上是「去标识化」而非「匿名化」，脱敏后仍属个人信息，仍受《个人信息保护法》约束。不能向甲方承诺成「全量合规方案」，最终拍板的是甲方 DPO 或法务。