医疗风险的信息技术：电子病历、CDS、数据安全（风险项、控制、审计）

医疗风险的信息技术：电子病历、CDS、数据安全（风险项、控制、审计）本文档提供：表2三域风险项判定表；表3电子病历系统可用性与操作风险判定表；表4CDS警报治理指标与阈值表；表5数据安全审计日志字段与留存判定表；表6三域综合风险等级判定表；表7失败项排查表；示例1四次转折完整示例；表9决策规则表与矛盾权衡段；表10三套场景检查项增减表；表11来源与时效核对表。2026-11-07表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、三域各查哪几列：风险项、控制、审计一眼定位表2三域风险项判定表锁定电子病历、CDS、数据安全三域的取数位置和判定条件二、电子病历：可用性、操作锁定与质控预警看哪几个数表3电子病历系统可用性与操作风险判定表判定系统可用性、时限锁定和质控预警的实际状态三、CDS：警报接受率跌破多少就要动手改表4CDS警报治理指标与阈值表用firingrate、actionrate、overriderate三个数判定警报是否该抑制或重设计四、数据安全：审计日志记什么、留多久、谁在看表5数据安全审计日志字段与留存判定表核对日志字段完整性、不可篡改性和留存期限五、三域合成为一个等级：哪一域把整体拉红表6三域综合风险等级判定表按三域结果取最高档并给出放行、限制或暂停六、哪一环断了：七个检查点的排查顺序表7失败项排查表从日志、警报报表和停机记录定位断点七、四次转折的完整示例：CDS覆盖率高但override率92%示例1四次转折完整示例示范“指标好看、风险仍在”的识别链条八、五条决策规则和一处矛盾：CDS抑制与数据审计日志留存争存储表9决策规则表与矛盾权衡段给出存储与安全冲突时的执行规则九、完整版、精简版、极简版：监控项和审计深度实际增减表10三套场景检查项增减表按场景选择监控范围和日志审计深度十、来源与时效核对：标签对应的验证动作表11来源与时效核对表核对标签对应的事实层级和验证动作按第一列在正文找对应那节，按第二列判断这节有没有读者要的东西，按第三列判断这节是否对应读者当前卡住的位置。一、三域各查哪几列：风险项、控制、审计一眼定位医疗IT风险评审开始时，信息科负责人手里有三份材料：电子病历系统运行月报、CDS警报治理报表、安全审计日志抽样。表2把三域压成三行，每行给出风险项判定、现有控制措施和审计取数位置。三行里任何一行判定为“红色”，整体风险等级不得填“低”。表2三域风险项判定表域风险项判定（打开哪张表哪一行）现有控制措施审计取数位置红色信号（示例）判定人电子病历表3第3行：近90天非计划停机次数与时长冗余架构、724Access类停机只读方案、备份恢复演练停机记录与恢复演练报告非计划停机>2次或单次>4小时某信息科负责人CDS表4第4行：整体override率与actionrate集中化CDS治理委员会、生命周期管理CDS警报报表与override日志override率>90%且actionrate<10%某临床信息学负责人数据安全表5第3行：审计日志字段完整率与不可篡改性日志集中存储、只追加写入、访问权限最小化日志抽样与访问审计报告字段完整率<95%或日志可被普通管理员修改某安全负责人表2第2行电子病历的风险项落在“停机次数和时长”上，而不是“系统是否上线”。冗余架构和停机只读方案是标准控制，但控制是否有效，看的是停机记录和恢复演练报告有没有数值，不是看采购合同里写了什么。表2第3行CDS的红色信号“override率>90%且actionrate<10%”来自CDS治理实践中的常见阈值：override率超过90%意味着绝大多数警报被关闭，actionrate低于10%意味着警报几乎没有改变临床行为。表2第4行数据安全的红色信号“字段完整率<95%或日志可被普通管理员修改”，对应审计日志的基本要求：日志必须不可篡改，且关键字段齐全。成品块：输入取表2第2行“电子病历”；动作打开表3第3行核近90天非计划停机次数与时长；输出表2第5列填“停机2次，累计5.5小时”；判定非计划停机>2次或单次>4小时，填“红色信号触发”。二、电子病历：可用性、操作锁定与质控预警看哪几个数电子病历的风险不在“功能多不多”，在“该锁的时候锁不锁、该预警的时候预警不预警、停机时还能不能读到关键信息”。表3按四个子项给出可观察的判定条件和取数位置。第3行“非计划停机”的合格条件写“近90天非计划停机≤1次且单次≤2小时，恢复演练每半年≥1次且有报告编号”。第4行“时限锁定”的合格条件写“超时未完成记录的系统锁定率100%，锁定日志可查”。表3电子病历系统可用性与操作风险判定表子项取数位置判定条件本期值（示例）红色信号控制措施回填列非计划停机停机记录与恢复演练报告≤1次/90天且单次≤2小时2次，单次最长3.5小时次数>2或单次>4小时停机预案编号与演练日期时限锁定病历系统锁定日志超时未完成记录锁定率100%锁定率100%，日志可查锁定率<100%或无日志锁定规则版本号质控预警质控预警记录预警触发后有处置记录的比例≥90%触发120条，处置98条，81.7%处置率<70%预警规则清单与处置责任人停机只读可用性停机期间访问记录停机期间关键信息可读比例≥90%可读比例92%<80%只读方案名称与最近测试日期表3第2行“时限锁定”的判定条件直接对应电子病历书写时限的强制机制：入院记录24小时内完成、首次病程记录8小时内完成、上级医师查房记录超72小时系统提醒并最终锁定。锁定率100%是合格线，锁定日志是审计取数位置。第3行“质控预警”的处置率81.7%落在“关注”区间，未到红色，但说明预警触发后有一部分没有被响应。第4行“停机只读可用性”的合格条件是停机期间关键信息可读比例≥90%，冗余架构和只读方案的价值落在这个比例上，而不是落在架构描述上。成品块：输入取表3第2行“非计划停机”；动作核近90天停机记录与恢复演练报告；输出表3第4列填“2次，单次最长3.5小时”；判定次数>2或单次>4小时，填“红色信号触发，回填停机预案编号”。三、CDS：警报接受率跌破多少就要动手改CDS的风险不是“有没有警报”，是“警报有没有改变临床行为”。一个覆盖率>90%的CDS系统，如果override率超过90%、actionrate低于10%，它在流程上存在，但在临床上近乎无效。表4用三个指标判定CDS是否处于需要抑制或重设计的区间：firingrate（警报触发率）、actionrate（警报后临床行为改变率）、overriderate（警报被关闭且未改变行为的比例）。CDS治理委员会的标准动作是：firingrate高、actionrate低、overriderate高的警报，进入“抑制或重设计”评审，而不是继续叠加新警报。表4CDS警报治理指标与阈值表指标取数位置计算方式绿色黄色红色本期值（示例）警报触发率（firingrate）CDS警报报表触发警报数÷相关医嘱或操作数≤15%16%—30%>30%22%行为改变率（actionrate）CDS警报与后续医嘱日志警报后行为改变数÷触发数≥30%15%—29%<15%8%关闭率（overriderate）CDSoverride日志关闭且未改变行为数÷触发数≤70%71%—89%≥90%92%警报负担每临床医生每班次警报数总触发数÷临床医生班次数≤2021—40>4035表4第5行“本期值”的组合是CDS治理中最典型的需要干预的形态：触发率22%在黄色区间，actionrate8%落在红色区间，overriderate92%落在红色区间。行动不是“再培训医生认真看警报”，而是按CDS生命周期管理，对该警报做抑制、按FiveRights重设计，或直接停用。PennStateHealth的多医院CDS治理实践显示，一个脓毒症警报最初“触发量高、可行动性低”，经过FiveRights框架重设计（整合power-plan、优化触发逻辑、增加抑制规则）后，警报数量减少但可行动性提高，临床响应和结局随之改善。表4第4行“警报负担”的红色阈值>40，来自警报疲劳研究的常见观察：每班次超过40条警报时，临床医生对单条警报的注意力显著下降。这一行不直接触发抑制，但它是override率升高的先行指标，进入CDS治理委员会的常规报表。成品块：输入取表4第5行本期值actionrate8%、overriderate92%；动作按表4阈值判档；输出表4第7列填“actionrate红色、overriderate红色”；判定override率≥90%且actionrate<15%，填“进入CDS治理委员会评审，动作：抑制或重设计”。四、数据安全：审计日志记什么、留多久、谁在看数据安全审计的合格判定不能停在“有日志”。日志必须字段完整、不可篡改、留存期限达标、有人定期审阅。表5按四个子项给出判定条件。第2行“字段完整性”要求审计记录至少包含日期时间（精确到秒）、用户ID、用户名、被访问患者标识、访问来源（IP或设备名）、访问内容六类字段。第3行“不可篡改性”要求日志存储为只追加写入，普通管理员无法修改或删除。第4行“留存期限”按HIPAA要求，患者信息相关审计日志留存至少6年；涉及违规或泄露事件的日志，从事件确认日起至少留存6年。表5数据安全审计日志字段与留存判定表子项取数位置合格条件本期值（示例）不合格形态控制措施回填列字段完整性审计日志抽样六类字段完整率≥95%完整率88%，缺“访问内容”字段完整率<95%日志模板版本与补全日期不可篡改性日志存储配置只追加写入，普通管理员无修改权限日志存储允许管理员删除日志可被普通管理员修改不可篡改存储方案名称留存期限日志归档策略患者信息日志≥6年；事件日志自确认日≥6年在线4周，归档18个月患者信息日志<6年留存策略版本与生效日期审阅记录审计报告与审阅日志每月至少1次日志审阅且有审阅记录近3个月审阅记录2次，缺1个月连续2个月无审阅记录审阅责任人与频率表5第4行“留存期限”的本期值“在线4周、归档18个月”与HIPAA的6年要求存在明显差距。UCLAHealth的审计标准写得很清楚：系统日志在线保留至少4周、归档至少18个月；一旦确认违规或安全泄露，相关日志从事件日起至少保留6年。患者信息审计日志的留存基线是6年，不是18个月。表5第5行“审阅记录”的合格条件是每月至少1次审阅，这一行对应NISTSP800-66Rev.2中“信息系统活动审阅”的控制要求：审计日志需要被定期审阅，而不是只被存储。成品块：输入取表5第3行“留存期限”；动作核日志归档策略与患者信息日志的实际留存年限；输出表5第4列填“在线4周，归档18个月，未达6年”；判定患者信息日志留存<6年，填“不合格，回填留存策略版本与整改日期”。五、三域合成为一个等级：哪一域把整体拉红表6把电子病历、CDS、数据安全三域的判定结果压成一个综合等级。三域各自的“红/黄/绿”判定来自表3、表4、表5的对应行，综合等级取三域中的最高档。表6三域综合风险等级判定表域表3/表4/表5判定结果（示例）档位综合等级取最高档动作电子病历停机单次3.5小时，黄色；锁定率100%，绿色黄色—回填停机预案编号，下次演练缩短恢复时间CDSactionrate8%，overriderate92%，红色红色红色该警报进入抑制或重设计评审，评审前暂停叠加新警报数据安全留存18个月，字段完整率88%，红色红色红色留存策略整改至6年，补全“访问内容”字段综合等级三域取最高档—红色暂停新增CDS警报上线，先处置红色项表6第5列综合等级为“红色”时，动作不是“全面暂停所有IT项目”，而是暂停与红色项同类的新增动作：CDS红色时暂停新增警报上线，数据安全红色时暂停涉及患者信息的新系统接入，直到红色项回到黄色或绿色。综合等级为“黄色”的，限制性放行，写明限制条件；为“绿色”的，进入常规月度监控。成品块：输入取表6第3行CDS红色、表6第4行数据安全红色；动作按三域取最高档；输出表6第5列填“红色”；判定至少两域为红色，填“暂停新增CDS警报上线，优先处置CDS和数据安全红色项”。六、哪一环断了：七个检查点的排查顺序综合等级为红色、或某一域指标突然恶化时，按表7排查。第一检查点直接打开CDS警报报表的override日志，查override率的分母是否包含了“未触发但被手动忽略”的记录。表7失败项排查表检查点打开哪个记录查什么常见失败形态换哪条路完成标志第一检查点CDSoverride日志override率分母与分子口径分母只算“已触发”不算“手动忽略”回表4按统一定义重算override率有可复算口径第二检查点CDS治理委员会纪要该警报是否经过生命周期评审纪要有“讨论”无“抑制/重设计/停用”结论回表4补评审结论与责任人评审结论三选一有记录第三检查点审计日志抽样六类字段是否完整“访问内容”字段为空或填内部代码无对照表回表5补字段映射六类字段完整率≥95%第四检查点日志存储配置是否只追加写入配置允许管理员删除或修改日志回表5更换存储方案普通管理员无修改权限第五检查点日志归档策略患者信息日志留存年限策略写“18个月”且无6年条款回表5补6年留存条款留存策略含6年第六检查点停机恢复演练报告演练是否覆盖只读模式报告只有“系统恢复”无“只读可用性”测试回表3补只读测试演练报告含只读可用比例第七检查点审计审阅记录每月审阅是否连续审阅记录连续两个月缺失回表5补审阅记录近3个月审阅≥3次表7第一检查点的失败形态在CDS治理中很常见：override率的计算把“医生直接在医嘱界面忽略未弹出的提示”排除在分子之外，结果override率被低估。CDS治理委员会评估的是firingrate、actionrate、overriderate三个数，三个数的分母必须一致，否则指标之间不可比。第二检查点要求评审结论是“抑制/重设计/停用”三选一，不是“已讨论”。成品块：输入取表7第2行第一检查点；动作打开CDSoverride日志核分母口径；输出表7第5列填“回表4按统一定义重算”；判定表7第6列“override率有可复算口径”成立，该失败项关闭。七、四次转折的完整示例：CDS覆盖率高但override率92%[示例案例，细节为合理设定]某三甲医院信息科在季度IT风险评审中面对一组数据：CDS对药物相互作用的覆盖率>90%，但该模块的override率为92%、actionrate为8%。电子病历系统近90天非计划停机2次、单次最长3.5小时。数据安全审计日志归档18个月、字段完整率88%。该案例的关键判断分叉集中在“覆盖率不等于有效性”、override率口径、日志留存合规差距、综合等级行动四处，四次转折的判断依据已穷尽。起点材料：表4actionrate8%、overriderate92%；表3停机2次、单次3.5小时；表5留存18个月、字段完整率88%。初步判断：覆盖率>90%说明CDS“做得不错”，停机2次在阈值内，数据安全“有日志就算合格”。综合等级初判“黄色”。第一次转折。信号：CDS覆盖率>90%，但override率92%。假设：覆盖率是CDS有效性的核心指标，override率高说明医生习惯不好，需要培训。试了什么：按表4核三个指标的组合，看到actionrate仅8%、overriderate92%；再核CDS治理文献，override率超过90%时，问题通常不在医生习惯，而在警报本身的可行动性——警报触发量大、与工作流不匹配、临床相关性低。新信息：覆盖率>90%只说明警报被部署了，不说明警报有用；第一轮“培训医生”的假设被推翻。换哪条路：该CDS模块进入表4红色档，触发CDS治理委员会的“抑制或重设计”评审，评审前暂停新增同类警报。第二次转折。信号：CDS红色判定后，按表7第一检查点核override率口径。假设：override率92%是准确值。试了什么：打开override日志，看到分子只统计了“弹出后被关闭”的记录，分母只统计了“系统判定为触发”的记录；医生在医嘱界面直接不响应、未触发弹窗的“手动忽略”记录既不在分子也不在分母。新信息：override率的分母和分子都漏了一类行为，真实override率可能更高；第二轮“92%是准确值”的假设被推翻。换哪条路：按统一定义重算override率，把“手动忽略未触发”纳入分子，重算后override率升至95%，红色判定不变，但评审时的数据基础更可靠。第三次转折。信号：CDS红色和override率重算完成后，转核数据安全。表5留存18个月，字段完整率88%。假设：18个月归档是行业常见做法，可以接受。试了什么：按表5第3行核HIPAA留存要求，患者信息审计日志留存至少6年，18个月明显不足；再核字段完整性，缺失的是“访问内容”字段，导致无法追溯“看了什么”。新信息：数据安全域不是“有日志”就合格，留存期限和字段完整性都有硬线；第三轮“18个月可接受”的假设被推翻。换哪条路：数据安全域改判红色，留存策略补6年条款，日志模板补“访问内容”字段映射。第四次转折。信号：CDS和数据安全均为红色，电子病历为黄色。假设：综合等级红色意味着所有IT项目暂停。试了什么：按表6核红色动作，看到红色对应的是“暂停与红色项同类的新增动作”，不是全面暂停；再核电子病历的黄色项，停机单次3.5小时未触发红色阈值（>4小时），但恢复演练报告缺少只读可用性测试。新信息：综合等级红色下的行动是分域的：CDS暂停新增警报，数据安全暂停新系统接入，电子病历补只读测试；第四轮“全面暂停”的假设被推翻。换哪条路：表6动作列写“CDS警报评审；数据安全留存整改；电子病历补只读测试并回填演练报告”；综合等级维持红色，直到CDS和数据安全至少一域回到黄色。终点产出：CDS模块override率重算为95%，进入抑制/重设计评审；数据安全留存策略补6年条款，日志模板补“访问内容”字段；电子病历停机预案回填，下次演练增加只读可用性测试；综合等级红色，动作分域执行。表11案例变量表变量案例中情形如果变量不同处置变化CDSactionrate8%25%override率可能降至黄色，不触发抑制override率口径漏“手动忽略”口径完整重算步骤省去，红色判定仍成立日志留存18个月6年数据安全域不触发红色停机单次时长3.5小时5小时电子病历域升红色，综合等级动作增加停机整改override率口径与日志留存两项对综合等级的影响权重较高。案例成品块：输入取CDSactionrate8%/override92%、日志留存18个月/完整率88%；动作按表4、表5判档并按表7核口径；输出综合等级填“红色”；判定CDS与数据安全均为红色，填“分域处置：CDS抑制评审、数据安全留存整改、电子病历补只读测试”。八、五条决策规则和一处矛盾：CDS抑制与数据审计日志留存争存储表9列五条决策规则，覆盖CDS抑制、override率口径、日志留存、字段完整性、综合等级行动五个分叉点。表9决策规则表规则编号如果看到则执行判定失效时退路执行人完成标志I1CDSoverride率≥90%且actionrate<15%进入抑制或重设计评审，评审前暂停新增同类警报评审结论无法达成则先降触发频率某临床信息学负责人评审结论三选一有记录I2override率分母不含“手动忽略”按统一定义重算，分子分母口径一致口径争议则同时报告两套数值某CDS分析师重算口径有文档I3患者信息审计日志留存<6年补6年留存条款并迁移归档存储成本受限则冷归档+检索索引某安全负责人留存策略含6年I4审计日志字段完整率<95%补全缺失字段并更新日志模板供应商不支持则外挂审计中间件某安全负责人完整率≥95%I5综合等级红色分域处置红色项，暂停同类新增动作两域红色且一个月内未降档则上报院级委员会某信息科负责人至少一域回到黄色表9第2行I1直接处理CDS治理的核心决策：override率≥90%且actionrate<15%时，优先动作是抑制或重设计，不是培训。第4行I3处理日志留存与存储成本的冲突，退路是冷归档加检索索引，不是降低留存年限。矛盾陈述：CDS抑制需要保留至少6个月的警报触发和override日志，用于评审“该警报是否真的无效”；数据安全审计日志的6年留存要求又要求患者信息访问日志长期在线或可快速检索。两项要求落在同一套存储资源上，CDS评审要求的是“近期、高粒度、可快速查询”，审计留存要求的是“长期、不可篡改、可检索”。实质分析：两者争用的是同一存储池的“在线容量”和“检索性能”，但留存期限和访问模式不同。CDS评审日志可以在评审结束后降为摘要归档，审计日志需要原始记录长期留存[经验建议，因人参考]。权衡规则：审计日志的6年留存是合规底线，优先保障；CDS评审日志按“6个月高粒度在线+评审后摘要归档”处理，不占用审计日志的不可篡改长期存储。退路：存储资源不足时，CDS评审日志只保留“触发数、action数、override数”三个聚合值，原始事件日志在评审结束后30天降为归档。成品块：输入取表9第2行I1；动作核CDSoverride率与actionrate；输出评审结论填“抑制或重设计”；判定override率≥90%且actionrate<15%，填“评审前暂停新增同类警报”。九、完整版、精简版、极简版：监控项和审计深度实际增减对外交付或监管审查选完整版；院内IT风险月度评审选精简版；科室自查或个人学习选极简版。表10按版本列保留监控项、审计深度、删掉项和适用场景。表10三套场景检查项增减表版本保留监控项与审计深度删掉项底线项适用场景完整版表3四项；表4四项；表5五项；表6综合等级；表7七点排查无删除审计日志6年留存；CDSoverride率有可复算口径对外交付或监管审查精简版表3停机与锁定两项；表4actionrate与overriderate两项；表5留存与字段完整性两项表3质控预警、停机只读可用性；表4firingrate、警报负担；表5审阅记录；表7第五至第七检查点日志留存≥6年；CDSoverride率>90%触发评审