放疗医疗影像资料归档管理规定（2026修订）

放疗医疗影像资料归档管理规定（2026修订）第一章总则放射治疗影像资料不仅是医疗记录的载体，更是评估剂量投递准确性、追踪肿瘤退缩情况及应对医疗纠纷的法律基石。为确保放疗全流程数据的完整性、可追溯性与安全性，依据《中华人民共和国档案法》《电子病历应用管理规范（试行）》及IEC61217等国际标准，制定本规定。本规定适用于院内所有与放疗相关的影像数据生成、存储、调阅、备份及销毁环节。医疗影像归档管理必须遵循“一源一档、全程留痕、分级存储、异地容灾”的原则，杜绝因存储介质故障、人为误操作或网络攻击导致的数据丢失。第二章管理体制与职责清晰的责任划分是防止数据管理出现“真空地带”的关键，必须建立以放疗科主任为第一责任人，物理师、技师、IT工程师协同管理的RACI（Responsible,Accountable,Consulted,Informed）责任矩阵。放疗科主任职责：对影像资料的安全与完整负总责。动作：每年12月31日前签发下一年度的《影像数据归档与备份预算审批单》，确保存储扩容资金到位；每季度主持1次数据安全复盘会，审核数据丢失或未遂事件的整改报告。医学物理组职责：作为数据质量的“守门员”，负责归档数据的物理完整性校验。动作：每周一10:00前完成上一周所有新增RTPlan、RTDose、RTStructure数据的完整性核查；发现DICOMHeader信息缺失（如PatientID不匹配）时，必须在4小时内发起纠错流程。放疗技师组职责：是数据产生的源头，负责定位影像与治疗记录的即时上传。动作：每次定位CT扫描结束后10分钟内，必须将图像推送到PACS服务器并进行手动确认；治疗前必须验证图像与计划的一致性。医学信息科（IT）职责：保障存储基础设施的物理安全与网络通畅。动作：每日02:00自动执行增量备份，每周日03:00执行全量备份；监控机房温湿度（温度22℃±2℃，湿度50%±10%），超出阈值立即短信报警。第三章影像资料的采集与导入标准影像归档的质量取决于采集端的规范化，非标准的DICOM文件是后期剂量计算失败和靶区遗漏的主要诱因。必须严格控制采集参数与传输协议，确保数据在全生命周期内的语义一致性。采集设备参数规范CT模拟定位机：扫描层厚必须≤3mm（头部/SRS要求≤1.5mm），重建矩阵采用MR模拟定位：必须包含3DT1、T2及DWI序列，几何畸变率需控制在1mCBCT（锥形束CT）：必须包含kV与MV两种模式下的校正参数文件，采集后的图像必须自动重命名规则为StudyDate_PatientID_Site。DICOM-RT对象强制要求TPS（治疗计划系统）导出的归档包必须完整包含以下4个核心对象，缺一不可：RTStructureSet：包含GTV、CTV、PTV及所有危及器官（OAR）。RTPlan：包含机架角、床角、MLC叶片位置及控制点序列。RTDose：包含3D剂量分布矩阵，分辨率至少为2.5×RTImage：包含DRR（数字重建放射片）或射野验证片。校验机制：系统必须自动校验RTDose与RTPlan中的MU数是否一致，误差超过2%数据导入与清洗导入归档库前，系统必须自动清洗隐私标签。严禁将未脱敏的患者数据用于科研或教学。对于多中心转入的患者数据，必须进行坐标系一致性检查。优先采用DICOMStandardSOPInstanceUID进行匹配；若UID冲突，需由资深物理师手动逐层比对解剖结构，确认无误后方可覆盖原文件。第四章归档流程与时效影像归档的及时性直接决定了多模态融合（如PET-CT融合MRI）的精度，延迟归档往往导致位置配准误差超过临床许可范围。必须建立“当日事、当日毕”的归档闭环，确保治疗计划与影像源的时空对应关系不被打断。即时归档流程采集端：技师完成扫描后，点击“发送至归档”按钮。系统需在30秒内返回“接收成功”回执；若超过2分钟未回执，视为传输异常，必须立即启用应急USB物理拷贝。质控端：物理师在TPS中调用数据时，系统后台自动触发MD5校验。若校验码不匹配，系统提示“数据文件损坏”，物理师应拒绝使用该数据，并通知IT提取冷备数据恢复。定期归档整理每周五17:00后，系统自动执行“孤岛文件扫描”。凡是超过48小时未关联任何患者ID的影像文件，自动移入“待审核隔离区”。每月5日前，档案管理员需生成上月《影像归档完整性报告》，重点列明未归档、归档失败及重复文件清单。例外场景处理网络中断：当院内核心交换机故障导致PACS不可用时，立即启用本地工作站缓存模式。网络恢复后，必须在上行链路通畅的1小时内，通过DICOMC-STORESOP自动上传全部缓存数据，并人工比对文件数量。紧急急救患者：对于需立即治疗的急诊患者，允许先执行治疗（使用机器本地缓存影像），但必须在治疗结束后24小时内补全所有归档手续及纸质审批单。第五章存储介质与安全防护海量医疗数据的长期保存不能依赖单一介质，必须构建“在线-近线-离线”的三级混合存储架构，以平衡读取速度与成本效益。存储环境的物理安全与逻辑加密是防止数据泄露的最后一道防线。分级存储策略在线存储：保存最近3年的临床活跃数据。采用全闪存阵列（All-FlashArray），IOPS≥100,000近线存储：保存3年至15年的历史数据。采用大容量NL-SAS硬盘存储柜，数据压缩比不低于2:1。离线存储：保存15年以上的永久档案。采用LTO-9磁带库或蓝光归档系统，每3年进行一次介质倒带维护，防止磁粉粘连。存储环境物理要求机房必须配备FM200气体灭火系统（严禁使用水喷淋，水汽会导致服务器短路报废）。供电系统必须配备UPS不间断电源，续航能力≥2小时；双路市电输入，自动切换时间<防雷接地电阻必须<1数据逻辑安全所有归档数据必须开启AES-256位静态加密。密钥管理采用“密钥分离”策略，即加密密钥与被加密数据存储于不同物理服务器上。数据库访问权限必须基于RBAC（基于角色的访问控制）。严禁使用共享账号（如admin/admin），所有操作员必须使用UKey+动态口令双因素认证登录。第六章查阅、调阅与外传管理影像数据的流动意味着风险的扩散，每一次非本机的调阅都必须被视为潜在的安全事件进行管控。既不能因噎废食阻碍临床科研，也不能敞开大门导致患者隐私通过社交软件外泄。内部调阅权限放疗医生：拥有本组患者所有影像的读写权限，可进行窗宽窗位调整、标注与测量。禁止导出原始DICOM文件到个人终端。物理师：拥有全科室影像的读取权限及结构集编辑权限，用于剂量验证。外院进修医生：仅拥有通过申请审批后的“脱敏影像”只读权限，有效期≤1外传流程与脱敏外传条件：仅限于转诊放疗、多学科会诊（MDT）或司法鉴定三种情形。严禁因患者个人要求或家属查阅而直接提供原始DICOM光盘。脱敏动作：外传数据必须使用专用工具移除DICOMTag中的(0010,0010)PatientName、(0010,0020)PatientID、(0010,0040)PatientAddress等17个敏感字段，替换为随机生成的StudyUID。载体管理：必须使用一次性写录光盘（DVD-R/BD-R），盘面采用热敏打印机标注唯一编号。严禁使用U盘（极易携带病毒且数据易被篡改）。水印与审计追踪所有在阅片工作站显示的影像，必须叠加不可见的数字水印（Digimarc）。若发生手机拍照泄露事件，可通过提取照片中的水印信息溯源到具体的工号、时间与IP地址。系统必须记录每一次“导出”“打印”“刻录”操作，日志保存期不少于5年。审计日志不得被篡改，必须采用WORM（WriteOnceReadMany）技术存储。第七章数据备份与灾难恢复备份不是简单的“复制粘贴”，而是针对勒索病毒、勒索软件、火灾、地震等灾难性场景的系统防御工程。必须遵循“备份-恢复-演练”的闭环逻辑，无法恢复的备份等于零备份。备份策略（3-2-1原则）3份副本：1份生产数据+1份本地备份+1份异地备份。2种介质：磁盘阵列（用于快照）+磁带或对象存储（用于长期保存）。1份离线：异地备份数据必须与生产网络物理隔离（Air-Gapped），防止勒索病毒横向加密备份文件。RPO/RTO指标：恢复点目标（RPO）≤24小时（即最多丢失一天数据）；恢复时间目标（RTO）≤恢复演练机制桌面推演：每季度进行1次。模拟机房断电、数据库损坏场景，核对应急预案联系人有效性及备件库物资（如硬盘、光模块）充足率。实战演练：每年至少进行1次。由IT部门随机抽取5套已归档病例，在独立测试环境中进行完整的数据恢复与加载验证。验证标准：恢复后的DICOM文件必须通过dcmdump语法检查，且在TPS中计算得到的DVH曲线与原计划误差<0.5异常处置勒索病毒感染：发现终端出现加密勒索弹窗时，操作员必须立即拔除网线（物理断网），严禁重启服务器（破坏内存中的取证线索）。启动I级响应，在1小时内切换至异地灾备中心运行。数据逻辑错误：如发现某天所有RTPlan的剂量都异常偏低，应优先利用快照技术（Snapshots）回滚至错误发生前的时间点，而非重建数据库。第八章资料的保存期限与销毁医疗影像资料的销毁涉及法律合规与环保双重责任，必须建立严格的审批与监销制度。保存期限的设定不仅要满足最低红线，更要兼顾未来的科研复用价值。保存期限住院患者放疗资料：保存期限≥30门诊患者放疗资料：保存期限≥15科研影像数据：经伦理委员会批准的科研项目数据，在项目结题后需继续保存10年。重点患者数据：涉及医疗纠纷、司法鉴定或重大突发公共卫生事件的影像资料，应实施永久保存（提升至WORM存储层级）。销毁流程申请：档案管理员每季度初梳理已过保存期限且无科研保留价值的清单，提交《影像资料销毁申请表》，列明患者数量、数据容量及销毁理由。审批：须经放疗科主任、医务处签字批准后方可执行。严禁未经审批擅自删除过期数据。执行：磁带/光盘：使用工业级消磁机进行消磁（磁场强度≥4000Oe），随后进行物理粉碎（颗粒直径<硬盘：执行NIST800-88Clear（覆写）或Purge（消磁）标准，严禁简单的“格式化”或“删除文件”操作（数据极易恢复）。监销：销毁过程必须有医务处专员在场监销，并填写《影像资料销毁记录表》，拍照存档。误删补救即使审批销毁，也应在备份介质上保留“可恢复期”（30天）。若在销毁后30天内发现临床或法律需求，必须立即从冷备中恢复。第九章监督检查与考核没有考核的管理是无效管理，必须将数据归档质量纳入科室绩效考核体系，用数据指标驱动行为的规范化。检查的重点在于发现流程漏洞而非单纯惩罚个人。考核指标体系归档及时率：扫描后24小时内完成归档的比例。目标值≥99.5数据完整率：RTPlan/Structure/Dose/Image四要素齐全的病例比例。目标值100%备份成功率：自动备份任务成功的次数/总计划次数。目标值100%隐私合规率：外传影像脱敏合格率。目标值100%违规分级处理一般违规（如归档延迟24-48小时）：对责任人进行书面警示，并参加补培。严重违规（如未脱敏外传导致隐私泄露、未备份导致数据丢失）：取消当年评优资格，暂停授权3个月。重大违规（如恶意删除数据、篡改影像导致医疗事故）：移交医务处处理，触犯法律的移交司法机关。持续改进（PDCA）每月召开质量控制会，分析上月归档错误案例。若发现同一错误重复发生3次以上，视为系统性流程缺陷，必须在5个工作日内修订相关SOP并重新培训。第十章附则本规定自2026年X月X日起施行，原《放疗影像资料管理办法（2021版）》同时废止。本规定解释权归医务处与放疗科共同所有。本规定未尽事宜，参照国家卫生健康委员会最新相关规定执行。附件A：放疗影像归档完整性自查表（样表）检查项检查内容标准检查结果(√/×)备注基本信息PatientID/Name与HIS系统一致StudyDate/Time与扫描记录一致模态检查CTSimulator层厚≤3mMRSimulator畸变校准通过DICOM-RTRTStructureSetGTV/CTV/PTV/OAR齐全RTPlanMU数与处方一致RTDose覆盖95%PTV传输状态传输完整性MD5校验通过签名确认物理师签字日期：2026--附件B：影像资料外传审批单（样表）申请日期2026