先说结论
DICOM 文件，医院递给你的光盘上那个 .dcm，不是 JPEG 那样的图像格式。它是病历格式，图像只是夹在里面。像素开始之前，文件先驮着一个几百条标签的文件头，里面照例写着：患者全名、出生日期、性别、住院号；检查的日期、时刻和描述；开单医生；机构和设备，细到序列号；还有一组独一无二的标识符，充当一路回到生成它们的影像库的钥匙。
图像亮在屏幕上的时候，这些一样也看不见，也正因此被忘得干干净净。扫描就是病历。请按它是的那份文件对待它，别按它装的那张图对待它。
偏偏是这个文件，为什么传得这么随手
陷阱在现实里是这么落地的：检查完，病人拿到一张光盘或一个下载，想打开，机器上什么都打不开。DICOM 不是寻常软件认得的格式。于是去搜“在线打开 dcm 文件”，搜出来的多半是个上传框。片刻之后，一份完整的、带着身份的病历，姓名、出生日期、住院号、透着诊断意味的检查描述，一样不少，躺在了那天谁排名靠前谁家的服务器上。
看看这个轮廓：又是证件照那一出。敏感文件，一个卡壳的瞬间，一个搜索引擎。只是这回的文件敏感了两层。护照漏的是你是谁；扫描漏的是你是谁，外加在查什么。上传的一般道理有自己的一页；而这个文件，是那套道理一滴佐料都不用加的那种。
在本地把文件打开，就是全部的药方，这里的 DICOM 查看器就是干这个的：扫描本身，真正的窗宽窗位调节，一个文件夹重新码回它的序列，毫米计的测量，文件头每条标签都读得到。而且什么都不离开你的机器。分步的做法在打开指南里。
“名字我删了”不等于去标识
下一个错更细，出发点也更好：把最显眼的标签删掉，就把扫描分享出去了。给要第二意见的服务，给研究者，给论坛。这有多不够，标准自己说得毫不客气。DICOM 自带的去标识配置列出了数据集敢称去标识之前必须处理的标签，一列就是几百条，因为身份住的地方远不止姓名那一格：
- 名字之外的直接标识：出生日期、患者号、检查号、医生和机构的名字。
- 钥匙：盖在每个文件上的唯一标识符。它们不说你是谁，却对任何见过原件的系统说得分毫不差：你是哪一份病历。
- 半个身份的线索：检查的日期时刻、设备型号和序列号、部位、患者年龄。单看模糊，凑齐就窄。
- 像素本身：超声等一些检查方式把患者姓名直接烧进图像里，那是任何标签编辑都够不着的地方。（导出的图片要处理这个，是像素级涂抹的活，不是元数据工具的活。）
所以这里的查看器带着一块面板，逐条列出你的文件里有什么在指认患者、指认得有多直接，就是按标准自己那份清单搭的。也所以这个查看器只读：它没有一行写 DICOM 文件的代码，因为“已匿名化”这个承诺的门槛，远比一个查看器迈得过去的高。把这种承诺兑现一半的工具，比从不许诺的更糟。
把扫描当它本来就是的病历来待
习惯从上面这些里自己长出来：
- 在本地看。关了 Wi-Fi 还能干活的查看器，这里这个就是，已经证明了活儿在哪儿干。光盘自带的查看器，只要跑在你自己机器上，也行。
- 内容是正事时，走医疗渠道分享。把一次检查送到另一家医院，是个早就解决了的问题，背后是能被问责的基础设施；而一封私人邮件夹着塞满
.dcm的.zip，是你的病历在各家邮件服务器里的一份副本，无限期。 - 真要分享文件，先弄清里面有什么。把文件头和身份面板读一遍，让递出去的东西是个决定，不是个意外。至于“规规矩矩的去标识”，把它当成影像机构按你要求应尽的服务，别当成自己现凑的一个勾选框。
- 记住光盘比事情活得久。下载文件夹里那份副本、抽屉里那张 CD，同样是完整的病历，和那份没人记得删过的证件扫描一个样。
这些没有一条说扫描永远别分享。第二意见，本来就是副本存在的理由。要说的是：这个文件是一份关于你的文件，所以这组指南翻来覆去落到的那两个问题，在这儿同样是对的问题：交到谁手里，以及这一交，究竟非交不可吗。