2.2. Luồng đánh giá — tách bạch phần tất định và phần AI

Người dùng hoàn thành khảo sát ba bước, dữ liệu đi qua chuỗi tám node:

intake → red_flag_detector → risk_scoring_engine → rag_retriever
      → screening_recommender → output_guardrail → hitl_interrupt → emit_result

Điểm thiết kế quan trọng nhất là ranh giới giữa việc AI làm và việc AI không được làm:

Nhờ vậy, con số nguy cơ hoàn toàn tất định và giải thích được, còn AI chỉ đảm nhận phần diễn giải sang ngôn ngữ tự nhiên — nơi sai sót không dẫn tới sai lệch định lượng.

2.3. Chấm điểm nguy cơ minh bạch

Điểm nguy cơ cho từng loại ung thư được tính bằng công thức thuần:

1. Điểm nền theo tuổi và giới tính — tra bảng ngưỡng riêng cho từng loại ung thư.
2. Cộng thêm theo từng yếu tố nguy cơ — tiền sử gia đình (có điều chỉnh theo tuổi phát hiện), hút thuốc tính theo gói-năm, mức độ rượu bia, BMI, tiền sử polyp, tình trạng viêm gan B, thói quen ăn uống.
3. Lưu lại phần phân rã ngay tại thời điểm chấm — mỗi yếu tố đóng góp bao nhiêu điểm được ghi kèm hồ sơ.

Người dùng nhìn thấy được chính xác vì sao mình nhận điểm đó, thay vì một con số từ hộp đen. Cùng một hàm chấm điểm được tái sử dụng cho tính năng mô phỏng và cho việc chấm lại khi có dữ liệu mới — không tồn tại bản sao công thức nào chạy song song rồi lệch nhau theo thời gian.

Điểm này là thang ưu tiên tầm soát 0–100, không phải xác suất mắc bệnh — một phân biệt được thực thi ở cả tầng dữ liệu lẫn tầng hiển thị.

2.4. Truy xuất có trích dẫn (RAG)

Cơ sở tri thức gồm 27 tài liệu guideline thật đã crawl từ ACS, USPSTF và Bộ Y tế, phân bố theo năm loại ung thư trong phạm vi.

• Phân đoạn: cắt theo tiêu đề mục, mỗi đoạn 500–800 token, chồng lấn 80 token để không cắt ngang ý.
• Tìm kiếm lai: kết hợp độ tương đồng vector với xếp hạng từ khoá (ts_rank), lọc theo loại ung thư trước khi xếp hạng, lấy 3–5 đoạn liên quan nhất.
• Định danh trích dẫn: chuẩn {Nguồn}_{LoạiUngThư}_Screening_v{năm}#p{trang}, ví dụ USPSTF_Breast_Screening_v2024#p10 — truy ngược được tới đúng trang tài liệu gốc.

Hai lớp chặn nội dung không có căn cứ:

• Lớp sau khi sinh: nếu câu trả lời mang ngôn ngữ khuyến nghị tầm soát nhưng không kèm trích dẫn nào, toàn bộ nội dung bị thay bằng câu an toàn cố định: "Không thể tư vấn trường hợp này, vui lòng liên hệ bác sĩ".
• Lớp chặn từ câu hỏi: nếu người dùng hỏi về loại ung thư nằm ngoài năm loại có tài liệu, hệ thống từ chối ngay mà không phụ thuộc vào việc AI trả lời thế nào.

Lớp thứ hai được bổ sung sau khi kiểm thử thực tế phát hiện lớp thứ nhất có thể bị lọt: khi hỏi về ung thư cổ tử cung (ngoài phạm vi), mô hình tạo ra hướng dẫn tầm soát đầy đủ không có nguồn nào, dùng cách diễn đạt không khớp với mẫu đang dò.

2.5. Các lớp an toàn

Quyền phủ quyết tuyệt đối của phát hiện dấu hiệu cảnh báo. Việc quét dấu hiệu nguy hiểm chạy trên câu chữ thô người dùng nhập, trước mọi bước khác, và không có cấu hình nào tắt được. Khi phát hiện, hệ thống tạo hồ sơ khẩn cấp đưa lên đầu hàng đợi bác sĩ và thông báo người giám hộ ngay lập tức — kể cả với tài khoản người phụ thuộc vốn phải qua bước người giám hộ duyệt.

Bắt buộc bác sĩ xác nhận. Mọi mức độ khuyến nghị trừ "chưa cần tầm soát" đều dừng lại chờ bác sĩ duyệt. Trong thời gian chờ, người dùng thấy dữ liệu tự khai và điểm nguy cơ của chính mình, nhưng phần diễn giải của AI bị che. Trạng thái luồng lưu bằng Postgres checkpointer nên có thể dừng và chạy tiếp qua nhiều phiên, kể cả sau khi máy chủ khởi động lại.

Chốt chặn ngôn ngữ. Mọi đầu ra hướng tới người dùng đều đi qua bộ kiểm tra cụm từ cấm — không có ngôn ngữ chẩn đoán, không kê đơn, không khẳng định chắc chắn. Disclaimer xuất hiện bắt buộc trên mọi màn hình kết quả.

Bảo vệ dữ liệu cá nhân. Toàn bộ thông tin định danh được ẩn danh trước khi ghi log; tham chiếu người dùng trong bảng log là mã giả danh. Phạm vi truy cập được giới hạn theo cơ sở y tế: bác sĩ chỉ đọc được hồ sơ bệnh nhân thuộc cơ sở mình.

2.6. Hệ sinh thái B2B nhà thuốc ↔ bệnh viện

Dược sĩ ghi nhận đơn thuốc và triệu chứng ngay tại quầy. Dữ liệu này trở thành nền theo dõi sức khoẻ hàng ngày, đi qua đúng bộ kiểm tra an toàn như dữ liệu khảo sát — không có ngoại lệ cho nguồn dữ liệu mới. Khi hệ thống nhận thấy dấu hiệu cần tầm soát, AI đề xuất và giữ tạm một khung giờ khám, nhưng lịch chỉ được chốt khi chính người dùng bấm xác nhận. Việc bác sĩ duyệt mức độ nguy cơ không đồng nghĩa với chốt lịch thay người dùng.

2.7. Phân quyền theo năm vai trò

Vai trò lễ tân minh hoạ nguyên tắc thiết kế phạm vi dữ liệu: họ cần biết khám gì để xếp phòng và chọn bác sĩ thay thế đúng chuyên khoa, nhưng không cần biết ca đó đáng lo tới mức nào — đó là thông tin lâm sàng thuộc về bác sĩ.

2.8. Các tính năng đồng hành sau kết quả

• Nhắc tái tầm soát leo thang ba nấc. Mốc tái khám trích từ chính đoạn guideline đã dùng để viết khuyến nghị; không nêu mốc cụ thể thì lùi về bảng chu kỳ theo mức độ, không suy đoán. Im lặng kéo dài thì nhắc kèm khung giờ trống cụ thể, cuối cùng thông báo người thân qua email.
• Học viện tầm soát. Bài học cá nhân hoá theo loại ung thư có nguy cơ cao nhất của từng người, sinh từ đoạn guideline đã truy xuất và bắt buộc kèm trích dẫn. Dựng trên chính đường xử lý hội thoại sẵn có để tự động thừa hưởng toàn bộ lớp an toàn, thay vì mở một cửa vào mới có thể quên nối.
• Mô phỏng thay đổi lối sống. Người dùng bật/tắt các yếu tố thay đổi được (hút thuốc, rượu bia, BMI, chế độ ăn) và xem điểm nguy cơ biến động, chạy lại đúng công thức thật của hệ thống.
• Bảng phân tích vận hành. Tổng hợp phần phân rã điểm lên cấp dân số để trả lời câu hỏi yếu tố nào đang đẩy nguy cơ nhiều nhất, kèm phễu duyệt và thời gian phản hồi trung bình của bác sĩ. Toàn bộ là số liệu tổng hợp, không chứa thông tin định danh.

3. Tính khả thi

3.1. Hệ thống đã chạy thật

Đây không phải bản mô phỏng hay nguyên mẫu giao diện. Hệ thống đang vận hành trên hạ tầng thật:

• Frontend: Next.js triển khai trên Vercel
• Backend: FastAPI đóng gói Docker, triển khai trên Railway
• Cơ sở dữ liệu: PostgreSQL 16 + pgvector quản lý bởi Neon
• Gửi email: Brevo HTTP API (đã gửi thật, không phải ghi log giả lập)

Toàn bộ luồng nghiệp vụ — từ khảo sát, chấm điểm, truy xuất guideline, bác sĩ duyệt, tới đặt lịch và nhắc tái khám — đều thao tác được trực tiếp trên bản triển khai.

3.2. Bằng chứng chất lượng

Cách tiếp cận kiểm thử tập trung vào khoá bất biến, không chỉ khoá hành vi. Ví dụ: có một bài kiểm thử liệt kê mọi đường tạo hồ sơ trong hệ thống và bắt buộc từng đường phải chạy bước quét dấu hiệu cảnh báo — thêm một cửa vào mới mà quên nối lớp an toàn sẽ làm bài kiểm thử đó thất bại ngay.

Một số lỗi nghiêm trọng nhất chỉ lộ ra khi chạy trên môi trường thật, không lộ ra trong kiểm thử đơn vị. Ba ví dụ tiêu biểu đã được vá:

• Bước quét dấu hiệu cảnh báo nằm sau bước người giám hộ duyệt — nghĩa là nếu người giám hộ từ chối, tín hiệu khẩn cấp của trẻ em hoặc người già biến mất vĩnh viễn.
• Bác sĩ ở cơ sở khác đọc được hồ sơ bệnh nhân không thuộc phạm vi mình — đường đọc và đường ghi khi đó dùng hai luật phân quyền khác nhau.
• Chức năng nhắc tái tầm soát chỉ đổi trạng thái thành "đã gửi" mà chưa bao giờ gọi tới bộ gửi email — trạng thái nói dối trong nhiều tháng.

3.3. Chi phí và khả năng duy trì

Kiến trúc được chọn để chạy được trong giới hạn của các gói miễn phí hoặc chi phí thấp:

• Vector store dùng chung instance PostgreSQL, không phát sinh dịch vụ riêng.
• Mô hình ngôn ngữ ở phân khúc chi phí thấp, chỉ dùng cho phần diễn giải — phần tính toán nặng đều là công thức thuần, không tốn token.
• Tác vụ định kỳ kích hoạt bằng cron bên ngoài thay vì bộ hẹn giờ trong tiến trình, để hoạt động đúng trên hạ tầng miễn phí vốn cho tiến trình ngủ khi không có lưu lượng.

3.4. Giới hạn cần nói rõ

• Module lịch hẹn tự xây nội bộ, phục vụ trình diễn — chưa tích hợp hệ thống đặt lịch thật (HIS) của bệnh viện.
• Phạm vi năm loại ung thư (vú, đại trực tràng, gan, phổi, dạ dày) tương ứng đúng với tài liệu guideline đã thu thập được. Ung thư cổ tử cung nằm ngoài phạm vi vì chưa có nguồn tài liệu nào — và hệ thống từ chối tư vấn thay vì suy đoán.
• Chưa qua thẩm định lâm sàng chính thức. Bảng ngưỡng chấm điểm xây dựng trên hướng dẫn công khai, cần hội đồng chuyên môn thẩm định trước khi dùng trong môi trường y tế thật.
• Tích hợp thiết bị đeo (Apple Health, Google Fit) đã hoãn sang giai đoạn sau.

4. Hướng phát triển

4.1. Ngắn hạn — củng cố nền tảng hiện có

• Mở rộng cơ sở tri thức sang các loại ung thư còn thiếu tài liệu, đặc biệt ung thư cổ tử cung — loại có ý nghĩa lớn với phụ nữ Việt Nam nhưng hiện chưa có nguồn guideline nào trong hệ thống.
• Thẩm định lâm sàng bảng ngưỡng chấm điểm với hội đồng chuyên môn, và hiệu chỉnh theo dữ liệu dịch tễ Việt Nam thay vì chỉ dựa trên hướng dẫn quốc tế.
• Đo lường hiệu quả thật: tỉ lệ người dùng thực sự đi tầm soát sau khi nhận khuyến nghị — chỉ số quan trọng hơn nhiều so với số lượt sử dụng.

4.2. Trung hạn — mở rộng hệ sinh thái

• Tích hợp hệ thống đặt lịch thật của bệnh viện thay cho module nội bộ hiện tại, để lịch hẹn trong ứng dụng là lịch hẹn thật.
• Mở rộng mạng lưới nhà thuốc, biến điểm chạm y tế thường xuyên nhất thành nguồn dữ liệu theo dõi liên tục có ý nghĩa.
• Tích hợp thiết bị đeo để bổ sung tín hiệu sức khoẻ khách quan bên cạnh dữ liệu tự khai.
• Kênh tiếp cận qua Zalo hoặc SMS cho nhóm người dùng lớn tuổi ít dùng ứng dụng — nhóm có nguy cơ ung thư cao nhất nhưng khả năng tiếp cận công nghệ thấp nhất.

4.3. Dài hạn — nâng chất lượng mô hình

• Vòng phản hồi từ bác sĩ: mỗi lần bác sĩ chỉnh sửa hoặc từ chối một khuyến nghị là một điểm dữ liệu để cải thiện chất lượng đầu ra. Hệ thống đã ghi nhận các quyết định này nhưng chưa khai thác thành vòng học.
• Theo dõi liên tục (Flow B): phần nền đã xây dựng nhưng tạm gộp khỏi phạm vi hiện tại — cho phép người dùng ghi nhận triệu chứng định kỳ và hệ thống phát hiện xu hướng bất thường theo thời gian.
• Phân tích dự báo ở cấp cơ sở y tế: từ dữ liệu tổng hợp đã có, dự báo nhu cầu tầm soát theo mùa và theo khu vực để cơ sở y tế chủ động bố trí nguồn lực.

4.4. Nguyên tắc không thay đổi khi mở rộng

Mọi hướng phát triển ở trên đều phải giữ nguyên ba ràng buộc gốc: không có khuyến nghị nào không kèm nguồn trích dẫn, không có kết quả nào tới người dùng mà chưa qua bác sĩ duyệt, và AI không quyết định thay người dùng hay thay bác sĩ. Mỗi tính năng mới là một cửa vào mới có thể vô tình bỏ qua các lớp an toàn — bài học đã trả giá bằng lỗi thật trong quá trình phát triển, và là lý do các tính năng mới đều được dựng trên chính đường xử lý sẵn có thay vì mở luồng riêng.