關於這份文件
這份文件記錄我們讀完花蓮縣政府 115 年度 65 歲以上長者假牙補助實施計畫、醫療院所申請假牙補助常見問答，以及 115 年說明會簡報之後，對這套流程的理解，還有每一個設計決定背後的理由。
頁面裡提到的診所名單、鄉鎮、補助態樣與金額，都是官方公告的真實資料。示範案件裡的長者姓名是虛構的範例名，畫面上也會標示為示範資料，不會跟真實個資混在一起。
現況與痛點
目前診所在申請補助時要做兩件事。第一件是在「花蓮縣政府社會處假牙補助申請暨核銷通報」這份 Google 表單登打申請人資料，包括姓名、出生日期、身分證號、聯絡方式、身分別、戶籍鄉鎮、性別、原住民身分、就診日期。第二件是把整份紙本診治計畫書寄到花蓮市府前路 17 號社會處福利科，同一批資料等於打了兩次。計畫書要附的照片還得先洗成 3×2 吋貼在表格上才能寄出。
這就是雙軌重工，也是這套系統要解決的第一個問題：讓診所一次登打就完成申請，不用打完表單還要再寄一次紙本。
現行時程基準
| 環節 | 現行做法 |
|---|---|
| 審查結果通知 | 送件後約 2 週，以書面通知診所與長者 |
| 核銷送件 | 每月 10 日前集中一次 |
| 審查 | 當月底完成 |
| 撥款 | 次月辦理核銷，次月底到再次月初入帳 |
| 審查會議 | 原則每週 1 至 2 次 |
115 年度預計補助 547 名長者，全縣 86 間健保特約牙科院所裡有 37 間同意公開資訊給民眾查詢。社會處負責這件事的承辦約 2 至 3 人，牙醫師公會的審查委員約 5 至 10 人，審查會議原則每週 1 至 2 次。案件量不算大，但每一案的文件量重，牽涉到跨年度的重複補助檢核，而且是身分證影本、福利身分、原住民身分、口腔醫療影像這類高敏感個資，系統要顧的是正確性與個資保護，不是效能。
流程對照
下面把現行紙本流程跟線上申辦流程並列比較，分成申請送件、審查核定、製作核銷三個階段。虛線加刪除線的方框，是這個環節在線上流程裡直接消失；藍色方框是交給系統自動完成、不用人工動手的部分。
現行紙本流程
線上申辦流程
現行紙本流程
線上申辦流程
現行紙本流程
線上申辦流程
我們怎麼設計：把退件原因變成即時檢核
這份清單不是我們自己想像的。115 年說明會簡報用了將近一半的篇幅在講常見退件錯誤，等於是社會處自己整理出來的行政成本清單。我們把清單上的每一條都做成送出前的即時檢核，這是這套系統最有價值的地方。
| 官方點名的常見錯誤 | 系統要怎麼擋 |
|---|---|
| 身分證影本模糊、裁切不完整、反光遮擋 | 上傳後即時偵測解析度與模糊度，不合格當場提示重拍 |
| 通訊地址填戶籍地但無人收信（長者住機構或子女家） | 地址欄位分「戶籍地」與「可收信地址」兩欄，並提示這個情境 |
| 原住民身分未勾選 | 必填且不給預設值，未選不能進下一步 |
| 只填缺牙部位，沒填計畫製作假牙牙位 | 牙位圖以四種顏色分別標記缺牙、計畫拔牙、固定假牙、活動假牙，未標製作部位不得送出 |
| 固定假牙申請顆數超過補助上限 | 依五年內已補助顆數自動算出剩餘可申請顆數並鎖上限 |
| 第一類、第二類身分別勾錯，導致金額與差額規定全錯 | 依申請人福利身分自動判定類別，並顯示兩種選擇的差異 |
| 口內照上顎、下顎貼反 | 上傳時分格指定，各格只收該部位，並顯示範例對照圖 |
| 照片模糊、失焦、光線不足 | 上傳時即時品質檢查 |
| 未戴假牙就拍術後照 | 術後照片分格說明並要求逐項確認 |
| 活動假牙案件缺石膏上蠟模照片 | 依申請項目動態決定必備照片清單，缺項不得送出 |
| 醫師未簽章或申請人未簽名 | 送出前檢核簽章欄位 |
| 術前預先請申請人簽術後照片頁 | 術後頁在術前階段鎖定，不可簽署 |
| 核銷收據第一類與第二類混合開立 | 核銷批次自動依類別分組，各組產生一張收據 |
| 二人以上未附清冊、印花稅票未蓋章註銷 | 批次送出檢核 |
其中幾條特別做成畫面示範
口內照上顎、下顎貼反
上傳時系統就分好上顎格與下顎格，各格只收對應角度的照片，並附拍攝角度示意圖對照。上下顎貼反這件事在上傳當下就被擋下，不用等審查時才發現。
只填缺牙位置，沒填製作牙位
上顎
下顎
缺牙位置跟計畫製作假牙的牙位，是牙位圖上兩種不同的標記，顏色與圖樣都不一樣。只標了缺牙、沒標製作部位，送出前檢核會擋下，逼診所把兩件事都標完整。
固定假牙申請顆數超過補助上限
示範：這位長者五年內已補助 6 顆固定假牙，系統自動算出還能申請 4 顆，診所在這個案件最多只能填到 4 顆，超過系統不給送出。
幾個關鍵的設計決定與理由
以下幾項是這套系統裡，我們認為對承辦人最有感的設計決定。每一項都寫清楚問題是什麼、我們怎麼做、對承辦人的意義是什麼。
為什麼申請由診所發起，不是讓長者自己線上申請
- 問題是什麼
- 如果讓長者自己在網路上填表送件，會有兩個問題。辦法規定申請必須先經醫師評估並擬具診治計畫書，沒有醫師這一關案件根本不成立；口內咬合面照片也需要專業角度跟工具才拍得出來，長者自己拿手機拍不可能通過審查。
- 我們怎麼做
- 系統的主要操作者是診所端，長者只需要帶身分證與健保卡去看牙醫，剩下的登打、拍照、送件都由診所完成。民眾端只做資格判斷、要準備什麼、找診所、查進度，不做送件。
- 對承辦人的意義
- 系統的角色是讓診所少做一次登打，不是把工作丟給不熟悉線上系統的長者，也不會做出跟辦法規定牴觸的流程。
為什麼照片要保留原始檔
- 問題是什麼
- 如果只存壓縮過的審查版照片，日後萬一發生申復、追繳或訴訟，沒有辦法證明送件當時的影像內容原本長什麼樣子。
- 我們怎麼做
- 全臉照與口內照除了另外產生一份審查用的版本，原始檔一律保留，並記錄每個檔案的雜湊值、格式、尺寸、上傳者與上傳時間。
- 對承辦人的意義
- 未來如果案件被質疑，系統拿得出原始證據，不是只有一張被壓縮過、可能被質疑失真的照片。
為什麼 X 光影像完全不壓縮
- 問題是什麼
- X 光片的判讀依據是灰階細節，重新轉檔成一般的圖片格式，會同時損失灰階資訊跟設備輸出的原始資訊。
- 我們怎麼做
- X 光影像設備輸出什麼格式就存什麼格式，不重新轉碼。畫面上要預覽時另外產生一份預覽檔，原始檔獨立保存不受影響。
- 對承辦人的意義
- 委員審查看到的 X 光影像，跟診所設備當初拍出來的是同一份資料，不會因為系統的處理而失真。
為什麼進度查詢不用身分證字號
- 問題是什麼
- 身分證字號加生日這兩項資料在台灣已經大量外洩，生日透過其他管道也不難推測。如果查詢用這兩項，任何人都可以批次亂試，確認某位長者是不是申請了補助，甚至推測他是不是低收入戶。
- 我們怎麼做
- 進度查詢改用診所送件時產生的一組查詢碼，加上出生年月日，這組查詢碼由診所印給長者放在收執聯留存。查詢頁只顯示粗粒度狀態，不顯示診斷內容或福利類別。
- 對承辦人的意義
- 長者本人或家屬拿著收執聯就查得到進度，但沒有人可以憑空亂猜身分證字號去查別人的案件。
為什麼額度與預算要用帳本記錄，不是在案件上存一個數字
- 問題是什麼
- 補助案件會遇到跨年度、補正、取消、追回、部分撥款這些情況，如果只在案件上存一個剩餘額度的欄位，或是每次都重新加總一遍，遇到這些情況遲早會算錯。而且如果兩位承辦同時核定最後一筆預算，兩邊都看到還有餘額，會一起核准出超過預算的金額。
- 我們怎麼做
- 額度跟預算都改用只能新增、不能覆寫的帳本，記錄每一筆保留、核定、撥款、釋放、追回、調整，需要金額時用帳本加總算出來，並且預算扣減在資料庫交易裡鎖定水位，避免同時核定造成超額。
- 對承辦人的意義
- 不管案件經過多少次補正或跨了幾個年度，額度跟預算的數字都對得起稽核，不會因為系統本身的算法而算錯帳。
為什麼診所不能用一個共用帳號
- 問題是什麼
- 診所實務上是櫃檯人員、助理、醫師都會操作系統，如果全部共用一個帳號，事後想知道某個動作是誰做的會查不出來，出了問題也沒辦法追責。
- 我們怎麼做
- 一個診所是一個機構帳戶，底下可以掛多個個人帳號，分成院所管理員、送件人員、負責醫師三種角色。牽涉醫療專業內容跟請款聲明的動作要由負責醫師確認，人員離職由院所管理員自行停權，不用等機關處理。
- 對承辦人的意義
- 每一筆操作都查得到是誰做的，這是稽核軌跡能不能成立的基本條件。
資料安全與個資保護
這套系統存的是身分證影本、福利身分、原住民身分、口腔醫療影像跟補助紀錄，這些資料組合起來可以精確指向特定個人，屬於高敏感個資，設計上要比照醫療資訊處理，不能只說資料有加密就算合規。
存取控制
每個人一個帳號，不共用；全面啟用兩階段驗證。診所只看得到自己的案件，委員只看得到被派到的案件，承辦依業務權限操作，維運廠商預設看不到案件內容。帳號由機關或公會核驗身分後開通，不開放自行註冊，委員的權限每年重新確認一次。下載原始附件或批次匯出這類高風險操作，要再驗證一次身分才能執行。
檔案保護
所有檔案存放在私有的物件儲存空間，不開放公開讀取。檔名跟網址不含姓名或身分證字號。提供給診所或委員的檔案連結是短效的，過期就失效，並且設定不讓瀏覽器快取。
稽核軌跡
誰看過、誰下載過、誰上傳或替換了附件、誰做了資格判定或派案、誰核定了金額，全部留紀錄，而且一般管理員無法修改或刪除這些紀錄。
批次匯出的管控
這是個資外洩風險最高的地方，因為一次匯出可能就是幾百筆資料。匯出前要登記用途，匯出的檔案加上浮水印，設定下載到期時間，並且留下下載紀錄。
上線前要做的事
個資風險評估、弱點掃描、滲透測試、備份還原演練，這幾項要編進時程跟預算，不是等上線以後才補做。
資料保存與備份
- 資料庫每天自動備份，並且支援回到某個時間點還原。
- 檔案採版本控管，補正時不會覆蓋原檔，每一版都保留，並且記錄是誰在什麼時候、因為什麼原因修改的。
- 每個原始檔都會計算 SHA-256 雜湊值，可以用來證明檔案內容從送出當時到現在沒有被竄改過。
- 資料庫跟檔案都放在 Google Cloud 台灣彰化區，備援也留在台灣境內，不做跨國複寫。這是考量政府部門對個資出境的敏感度做的決定，境外雲端在稽核時常常會是被質疑的點。
老實講一句
視覺設計的依據
主色跟字體不是憑感覺挑的，是實際擷取花蓮縣政府官網跟社會處子站的樣式取得色票。社會處是這個計畫的主辦單位，橘色系對長者的辨識度也比較高，所以系統主色用社會處橘，縣府官網主站的藍當次要色跟連結色。標題字體用思源宋體，因為縣府官網的標題實際上就是用思源宋體，沿用能立刻帶出公文的質感。
色票對照表
社會處主色
#f98b3a
系統主色
來源：花蓮縣政府社會處官網子站
主色深階
#a85d25
強調文字
來源：社會處官網深橘階
主色最深階
#ab4900
標題強調
來源：社會處官網深橘階
縣府主色
#2678c9
連結、次要動作
來源：花蓮縣政府官網主站
縣府深藍
#1e5e9e
標題與強調
來源：花蓮縣政府官網主站
縣府強調金
#fba811
提醒、待處理標示
來源：花蓮縣政府官網主站
主要文字
#1a1a1a
標題與主要文字
來源：通用中性色階
次要文字
#646464
說明與輔助文字
來源：通用中性色階
邊框
#b6b6b6
表格格線、卡片邊框
來源：通用中性色階
區塊底色
#f0f0f0
表頭底色、區塊背景
來源：通用中性色階
為什麼不用現成的圖示套件
全站沒有用通用的圖示套件，也沒有用任何現成的介面元件庫。牙位圖、拍攝角度示意、狀態標記、流程圖，全部依這個業務的實際需要重新畫成 SVG，因為通用圖示套件畫不出口內上顎照該怎麼拍、固定假牙顆數上限怎麼算這類業務特定的圖形。通用套件的線條圖示也是很多制式網站共通的外觀，容易讓人一眼看出是套版做出來的。
長者友善的設計
- 內文字級可以在中、大、特大之間切換。
- 對比度符合無障礙 AA 等級，縣府官網目前是 A 等級，我們做到 AA 是加分項。
- 每一頁只問一件事，不會一次塞一堆欄位。
- 電話號碼一律做成可以直接撥號的連結。
本次示範版的範圍與限制
這是要老實講清楚的部分，不誇大。
能操作的
所有畫面都能點，表單可以真的填寫，欄位驗證真的會跑，照片可以真的選檔並且在瀏覽器裡實際壓縮，資料存在你自己的瀏覽器裡，重新整理或關掉再打開都還在。
停在哪裡
只有「送到伺服器」這個動作沒有做。這個示範版沒有真實的資料庫，沒有真實的登入驗證，沒有簡訊或 email 通知，也沒有公文產出。
- 畫面上出現的預算數字，是用 547 人乘以第二類補助上限概算出來的示範數字，不是官方公布的實際年度預算金額。
- 跟原住民處計畫或秀林鄉公所補助之間的重複請領查核，示範版沒辦法自動執行，因為這需要跟原民處建立正式的資料交換機制，牽涉到名冊交換的方式跟個資交換的法源依據，這不是廠商自己能決定的事。
還需要跟社會處確認的事項
下面這 12 個問題，我們不應該自己認定答案，需要社會處正式解釋後才能寫進系統規則。列出來是想讓承辦人知道，我們是認真在讀這份計畫，不是隨便寫寫。
- 1.中止案件依 35%、70%、80% 比率給付的金額，要不要算進個人五年累計額度？
- 2.同一牙位已經取得相同補助項目的認定，包不包含這種按比率給付的中止案？
- 3.五年期間要從哪一天開始算？申請日、核定日、裝置完成日還是撥款日，需要統一，不能每個案子用不同基準。
- 4.核銷每月 10 日的截止日如果遇到假日，要提前還是順延？
- 5.系統送出的電子通知算不算正式送達？如果不算，系統只能當作提醒，正式通知仍須靠紙本公文。
- 6.用平板讓長者現場手寫的電子簽名，可不可以取代個資同意書要求的親筆簽名？
- 7.跟原住民處計畫、秀林鄉公所補助之間的重複請領查核，有沒有資料交換的管道？如果沒有 API 或共用資料庫，需要約定名冊怎麼交換、什麼時候查核、依據什麼個資交換的法源。
- 8.資料要保存多久、怎麼銷毀，需要機關的法制、主計、檔案管理跟社政業務單位一起確認。
- 9.資料不得出境是不是硬性規定？這會決定系統的備援怎麼設計、身分驗證服務要怎麼選。
- 10.紙本申請跟線上申請並行的過渡期怎麼處理？如果紙本案件完全不建立最低限度的索引，跨管道的五年額度檢核跟預算控管會失效。
- 11.一件案子需要幾位委員審查？委員意見不一致的時候怎麼處理，有沒有主席裁決或申復機制？
- 12.系統上線以後的維運責任邊界在哪裡？包括雲端帳號歸屬、原始碼交付、漏洞修補的時限、事件通報流程、每年度規則由誰更新。