放疗计划系统日常备份维护规范

放疗计划系统日常备份维护规范1总则医疗数据是放射治疗的核心资产，而备份机制是抵御勒索病毒、硬件故障、人为误操作及自然灾害的最后一道防线。本规范旨在通过标准化的流程与技术约束，确保放疗计划系统（TPS）中的患者影像、轮廓、计划及剂量数据具备完整性与可恢复性。任何备份策略的制定与执行，都必须以满足业务连续性需求（RTO）和数据丢失容忍度（RPO）为唯一基准，而非单纯的技术堆砌。1.1适用范围本规范适用于医院放疗科及信息科所有涉及TPS数据备份、存储、恢复及验证的操作人员与管理人员。涵盖系统包括但不限于：Eclipse、Pinnacle、Monaco、RayStation等主流治疗计划系统及其配套的DICOM服务器、数据库服务器。1.2核心指标定义RTO（恢复时间目标）：关键业务系统在故障发生后，必须恢复到正常业务状态的最大可接受时长。本规范设定TPS核心数据库RTO≤4RPO（恢复点目标）：业务系统所允许的数据丢失最大量。本规范设定患者计划数据RPO≤24WORM（WriteOnceReadMany）：备份介质必须具备“一次写入多次读取”特性，防止数据被篡改。2职责分工备份维护不是单一部门的技术作业，而是跨部门协同的责任体系。明确的职责划分是确保备份任务不漏项、故障不推诿的前提。2.1医学物理组责任主体：数据完整性的最终确认者。主要职责：每月随机抽取5例已备份患者数据，在测试环境中进行加载与剂量计算复核。在TPS升级或配置变更前，发起系统级全量备份申请。定义备份优先级：当前治疗中患者>历史治疗患者>教学计划数据。2.2信息科（IT）运维组责任主体：备份策略的执行者与基础设施保障者。主要职责：编写并维护备份脚本（Python/PowerShell/Bash），配置Cron或TaskScheduler任务。监控存储介质健康度（SMART属性、磁带机磨损状态），确保存储空间余量≥20处理备份任务报错，确保每日08:30前完成前一日备份日志的审查。2.3科室主任责任主体：资源审批与重大决策者。主要职责：审批年度备份预算（硬盘采购、磁带库维保、云存储费用）。在发生数据灾难时，决定是否启动DR（灾备）切换流程。3备份策略与技术选型策略设计必须在存储成本、恢复速度和数据可靠性之间找到平衡点，盲目追求全量备份会导致资源耗尽，而过度依赖增量备份则会拉长恢复时间。3.1备份类型与频率遵循“全量+增量”的混合策略，严格执行以下时间表：备份类型执行时间保留周期内容范围介质要求全量备份每周六02:004周（1个月）数据库全库+DICOM仓库+配置文件磁带（LTO）+异地NAS增量备份每日至02:007天过去24小时变更的数据块/二进日志本地NAS差异备份每日12:00（午间）1天仅当日08:00-12:00新增计划本地SSD缓冲区3.2存储架构：3-2-1原则落地为应对单一故障点，必须严格遵守3-2-1备份黄金法则，并结合实际场景扩展：3份数据副本：1份生产数据+1份本地备份+1份异地备份。2种介质类型：优先：使用企业级NAS（RAID6阵列）作为热备，支持快速文件级恢复。次选：使用LTO-8或LTO-9磁带作为冷备，防御勒索病毒加密。严禁：将备份文件与操作系统或数据库文件存放在同一物理硬盘的同一分区。1份异地副本：通过VPN或专线，每日03:30将加密后的备份包同步至医院分院机房或云端对象存储（S3兼容）。3.3数据库专项备份逻辑TPS数据库（如SQLServer、Oracle、PostgreSQL）的备份需关注事务日志的连续性：动作机理：数据库文件处于持续打开锁定状态，直接复制.mdf或.dbf文件会导致数据库损坏。必须调用数据库引擎的原生API（如SQLCMD或pg_dump）生成一致性备份文件。执行步骤：截断日志：每日02:00执行BACKUPLOG...WITHTRUNCATE_ONLY，防止日志文件膨胀占满磁盘。导出脚本：对于配置型数据（如机器参数、模型数据），优先导出为SQL脚本而非二进制文件，便于跨版本恢复。校验完整性：备份完成后，立即执行RESTOREVERIFYONLY命令，确认备份集可读。4日常备份执行流程标准化的执行流程是消除人为遗漏、确保备份一致性的唯一途径。所有操作必须具备可追溯的日志记录。4.1前置检查（每日01:55）在备份任务触发前5分钟，系统自动执行健康检查：磁盘空间检查：若目标盘剩余空间<500GB，立即清理超过30天的增量备份文件，并发送告警邮件至admin@。服务状态检查：检测TPS相关服务（如EclipseService、DICOMReceiver）是否处于“运行”状态。若服务停止，优先尝试启动服务；若启动失败，终止备份并记录“服务异常”。网络链路检查：Ping异地网关，延迟需<20ms，丢包率=0。若网络不通，仅执行本地备份，并在日志中标记“异地同步失败”。4.2备份作业执行（每日02:00-03:30）数据一致性冻结：对于不支持在线热备的旧版TPS组件，必须启用“维护模式”，暂停写入操作10~15分钟以进行快照（Snapshot），严禁在业务高峰期（08:00-17:00）执行冻结操作。传输加密：数据传输过程必须启用SMB3.0加密或SSHTunnel（SFTP），密钥长度≥256断点续传：使用rsync或类似工具支持断点续传，防止网络抖动导致100GB文件重新传输。4.3后置校验（每日03:30-04:00）备份生成不代表备份成功，必须通过校验闭环：文件大小比对：新生成的备份文件大小应与历史同类型文件大小处于同一数量级（如全量库通常在50GB±5GB）。若出现500KB的小文件，视为备份失败（可能是脚本报错生成了空文件）。哈希值校验：计算备份文件的MD5或SHA-256哈希值，并与传输后在异地端的哈希值比对。不一致则触发重传。日志归档：将当日备份执行日志重命名为backup_YYYYMMDD_success.log或backup_YYYYMMDD_failed.log，同步至日志服务器。5备份介质管理与异地容灾本地备份仅能防御逻辑错误，异地容灾才是应对火灾、水灾等物理性灾难的根本手段。介质管理需关注物理寿命与环境安全。5.1磁带介质管理（若适用）轮换策略：采用“祖父-父亲-儿子”轮换算法。子集（每日）：周一至周五，循环覆盖5盘磁带。父集（每周）：第1~4周，循环覆盖4盘磁带。祖父集（每月）：第1~12月，循环覆盖12盘磁带，并在每年1月进行永久归档（WORM锁定）。环境要求：磁带存放环境温度需控制在18±2∘5.2硬盘介质管理健康监测：每周运行一次SMART自检。若出现Reallocated_Sector_Ct（重映射扇区计数）>0或Current_Pending_Sector>0，必须立即更换硬盘，并迁移数据。寿命管理：机械硬盘（HDD）通电运行时间超过20,000小时（约2.3年）或SSD写入量（TBW）超过标称值的80%，应列入“计划更换清单”。6数据恢复演练与验证未经验证的备份等同于没有备份，定期演练是发现恢复逻辑缺陷的唯一方法。演练应覆盖操作系统故障、数据库损坏、文件误删等常见场景。6.1演练计划频率：每季度（Q1,Q2,Q3,Q4）末月的最后一个周五进行。范围：每次演练随机覆盖以下场景之一：场景A：单例患者计划文件误删恢复。场景B：TPS数据库崩溃，全库还原。场景C：物理服务器损坏，异地整机切换。6.2演练执行步骤环境隔离：必须在独立的测试服务器或虚拟机中进行，严禁在生产环境TPS上直接覆盖恢复。数据选取：从最近一次全量备份及随后的增量备份链中恢复。结果验证：启动TPS客户端，检查患者列表是否完整。随机打开3例患者，加载CT图像，检查ROI（感兴趣区）是否存在。重新计算剂量，与原计划剂量对比，偏差需<0.1%报告输出：演练结束后24小时内输出《备份恢复演练报告》，记录恢复耗时、数据偏差及遇到的问题。7故障应急响应应急响应的核心是在最短时间内评估损失并启动替代方案，而非纠结于故障根因。响应动作需根据故障严重程度分级执行。7.1故障分级Ⅰ级（灾难性）：生产服务器硬件损毁、机房火灾、勒索病毒感染导致所有数据不可用。判定标准：RAID阵列离线，且无备用节点；或文件扩展名被批量加密。响应动作：立即断开网络网线，防止病毒扩散。宣布进入“紧急停机模式”，暂停非急诊患者计划。启动异地DR环境，从最近的全量磁带/冷备中恢复数据。预计恢复时间：4~12小时。Ⅱ级（严重性）：数据库文件损坏，TPS无法启动，但操作系统及文件系统正常。判定标准：服务无法启动，事件查看器报错“数据库页撕裂”。响应动作：挂起当前损坏的数据库文件。在本地NAS上构建临时数据库实例。还原最近24小时内的全量备份+尾日志备份。预计恢复时间：1~2小时。Ⅲ级（一般性）：单个患者计划丢失或文件校验错误。判定标准：TPS报错“无法加载PlanFile”。响应动作：从增量备份归档中检索该特定文件。手动导入至TPS。预计恢复时间：10~30分钟。7.2常见异常处置备份文件损坏：若校验发现备份包损坏，立即向前追溯上一个可用版本，并检查磁盘坏道。若连续2天备份损坏，视为存储设备故障，需更换硬件。空间不足：若备份过程中因空间不足中断，优先清理临时文件（如系统临时目录、回收站），其次清理过期历史备份（保留策略之外的旧数据）。8附录8.1备份作业每日检查表检查项目检查内容合格标准异常处理方式任务状态昨日02:00定时任务是否成功ExitCode=0查看脚本日志，手动补备文件大小全量备份文件大小波动范围<10%检查磁盘空间，重新执行异地同步异地NAS文件哈希值MD5一