先說結論
DICOM 檔案，醫院遞給你的光碟上那個 .dcm，不是 JPEG 那樣的影像格式。它是病歷格式，影像只是夾在裡面。畫素開始之前，檔案先馱著一個幾百條標籤的檔案頭，裡面照例寫著：患者全名、出生日期、性別、住院號；檢查的日期、時刻和描述；開單醫生；機構和裝置，細到序列號；還有一組獨一無二的識別符號，充當一路回到產生它們的影像庫的鑰匙。
影像亮在螢幕上的時候，這些一樣也看不見，也正因此被忘得乾乾淨淨。掃描就是病歷。請按它是的那份檔案對待它，別按它裝的那張圖對待它。
偏偏是這個檔案，為什麼傳得這麼隨手
陷阱在現實裡是這麼落地的：檢查完，病人拿到一張光碟或一個下載，想開啟，機器上什麼都打不開。DICOM 不是尋常軟體認得的格式。於是去搜「線上開啟 dcm 檔案」，搜出來的多半是個上傳框。片刻之後，一份完整的、帶著身份的病歷，姓名、出生日期、住院號、透著診斷意味的檢查描述，一樣不少，躺在了那天誰排名靠前誰家的伺服器上。
看看這個輪廓：又是證件照那一出。敏感檔案，一個卡殼的瞬間，一個搜尋引擎。只是這回的檔案敏感了兩層。護照漏的是你是誰；掃描漏的是你是誰，外加在查什麼。上傳的一般道理有自己的一頁；而這個檔案，是那套道理一滴佐料都不用加的那種。
在本地把檔案開啟，就是全部的藥方，這裡的 DICOM 檢視器就是做這個的：掃描本身，真正的窗寬窗位調節，一個資料夾重新碼回它的序列，毫米計的測量，檔案頭每條標籤都讀得到。而且什麼都不離開你的機器。分步的做法在開啟指南裡。
「名字我刪了」不等於去標識
下一個錯更細，出發點也更好：把最顯眼的標籤刪掉，就把掃描分享出去了。給要第二意見的服務，給研究者，給論壇。這有多不夠，標準自己說得毫不客氣。DICOM 內建的去標識配置列出了資料集敢稱去標識之前必須處理的標籤，一列就是幾百條，因為身份住的地方遠不止姓名那一格：
- 名字之外的直接標識：出生日期、患者號、檢查號、醫生和機構的名字。
- 鑰匙：蓋在每個檔案上的唯一識別符號。它們不說你是誰，卻對任何見過原件的系統說得分毫不差：你是哪一份病歷。
- 半個身份的線索：檢查的日期時刻、裝置型號和序列號、部位、患者年齡。單看模糊，湊齊就窄。
- 畫素本身：超音波等一些檢查方式把患者姓名直接燒進影像裡，那是任何標籤編輯都夠不著的地方。（匯出的圖片要處理這個，是畫素級塗抹的工作，不是後設資料工具的工作。）
所以這裡的檢視器帶著一塊麵板，逐條列出你的檔案裡有什麼在指認患者、指認得有多直接，就是按標準自己那份清單搭的。也所以這個檢視器只讀：它沒有一行寫 DICOM 檔案的程式碼，因為「已匿名化」這個承諾的門檻，遠比一個檢視器邁得過去的高。把這種承諾兌現一半的工具，比從不許諾的更糟。
把掃描當它本來就是的病歷來待
習慣從上面這些裡自己長出來：
- 在本地看。關了 Wi-Fi 還能運作的檢視器，這裡這個就是，已經證明了工作在哪裡做。光碟內建的檢視器，只要跑在你自己機器上，也行。
- 內容是正事時，走醫療渠道分享。把一次檢查送到另一家醫院，是個早就解決了的問題，背後是能被問責的基礎設施；而一封私人郵件夾著塞滿
.dcm的.zip，是你的病歷在各家郵件伺服器裡的一份副本，無限期。 - 真要分享檔案，先弄清裡面有什麼。把檔案頭和身份面板讀一遍，讓遞出去的東西是個決定，不是個意外。至於「規規矩矩的去標識」，把它當成影像機構按你要求應盡的服務，別當成自己現湊的一個勾選框。
- 記住光碟比事情活得久。下載資料夾裡那份副本、抽屜裡那張 CD，同樣是完整的病歷，和那份沒人記得刪過的證件掃描一個樣。
這些沒有一條說掃描永遠別分享。第二意見，本來就是副本存在的理由。要說的是：這個檔案是一份關於你的檔案，所以這組指南翻來覆去落到的那兩個問題，在這裡同樣是對的問題：交到誰手裡，以及這一交，究竟非交不可嗎。