医院HIS系统运维管理细则

医院HIS系统运维管理细则一、第一章总则HIS（医院信息系统）是门诊挂号、收费、医嘱、药房、检验、住院管理等核心业务的中枢，其可用性直接决定医院能否正常接诊——HIS宕机30分钟意味着全院退回手工模式，宕机2小时则可能引发医疗秩序混乱与医疗安全事件。本细则的目的不是罗列运维常识，而是把「谁、在什么时间、按什么标准、做什么操作、出事怎么办」写清楚，使值班人员与系统管理员可以照单执行。1.1第一条适用范围本细则适用于本院HIS系统（含数据库服务器、应用服务器、前置机、收费/挂号/药房/护士站终端、院内网络及配套UPS）的日常运行维护、变更管理、故障处置、数据安全与应急管理工作。LIS、PACS、EMR等周边系统与本系统存在接口联动，其接口链路纳入本细则管理，各子系统内部运维参照各自规程执行。1.2第二条角色与职责角色人员配置核心职责汇报对象信息科负责人1名细则审定、重大变更审批、应急总指挥分管院长系统管理员2名（AB角）账号权限管理、系统参数配置、补丁与版本管理信息科负责人数据库管理员（DBA）1名（可由系统管理员兼任）数据库巡检、备份验证、性能调优、数据恢复信息科负责人运维值班员按7×24排班，每班1名值班期间巡检、故障受理、一线处置、记录当日AB角系统管理员网络管理员1名交换机/防火墙/无线网络维护、网络割接信息科负责人AB角制度要求：A角休假或离岗超过半天时，必须在离岗前完成交接并在《运维交接登记表》上签字，B角自动接管，严禁出现「系统管理员联系不上」的空档期。1.3第三条基本原则1.可用性优先：业务高峰时段（7:30–11:30、14:00–17:00）严禁进行任何影响业务的变更操作。2.变更留痕：任何配置修改必须先在测试环境验证、再经审批、后实施、终归档，无记录的修改视同违规操作。3.数据零丢失底线：核心交易数据备份可恢复性验证每周不少于1次，恢复点目标（RPO）≤15分钟，恢复时间目标（RTO）≤2小时。4.故障分级响应：按第四章分级标准在判定级别后10分钟内启动对应处置流程。二、第二章日常巡检与监控巡检是发现隐患的第一道防线，其价值在于「早发现」，巡检记录同时是事后追溯定责与容量规划的数据来源。2.1第四条巡检频次与项目巡检对象频次关键检查项合格标准异常判据数据库服务器每日2次（8:00、16:00）CPU、内存、磁盘空间、数据库日志、会话数CPU<70%、磁盘使用率<80%、无ORA报错CPU持续>90%达15分钟；磁盘>85%；日志中出现checkpointincomplete应用服务器每日2次服务进程、连接池、响应时间全部服务运行中、挂号交易响应<2秒任一进程停止；响应>5秒核心交换机/防火墙每日1次端口状态、丢包率、CPU主干端口UP、丢包率<0.1%端口DOWN；丢包率>1%UPS及配电每日1次市电状态、电池电量、告警灯电池电量100%、无告警电池容量<80%或存在告警码数据备份作业每日8:30核对前夜任务备份日志、备份文件大小与完整性校验值备份成功且校验通过备份失败或文件较前日缩小>30%（异常信号）机房环境每日2次温度、湿度、烟感、空调温度18–27℃、湿度40%–60%温度>32℃或空调停机2.2第五条监控系统建设要求1.部署集中监控平台，对服务器、数据库、网络设备、核心业务服务（挂号、收费、医生站）设置自动探测，探测间隔不超过60秒。2.告警必须推送至运维值班员手机（短信或值班APP），不得只依赖邮件；核心告警（数据库停机、存储掉线）须同时电话通知AB角系统管理员。3.告警分级：一级告警（业务中断）须5分钟内响应；二级告警（性能劣化）30分钟内响应；三级告警（容量趋势预警）当班内评估并登记处置计划。4.监控平台自身不得与HIS业务网共用同一台服务器与同一电源回路，避免「业务和监控一起挂」。2.3第六条巡检记录值班员按《HIS日常巡检表》（附件一）逐项打勾并签名，不得提前批量签、不得由他人代签。信息科负责人每周一抽查上周巡检表，发现漏检或与监控数据矛盾的记录，当值人员在周会上说明原因；一个月内累计2次漏检的，暂停值班资格并重新培训考核。三、第三章变更与发布管理变更管理解决的核心矛盾是：医院业务全年无休，而系统升级补丁必然带来风险。任何「趁中午没人改一下」式的随意操作，是历史故障中占比最高的根因。3.1第七条变更分类与审批变更级别定义审批人实施窗口重大变更数据库版本升级、存储迁移、核心模块替换、网络架构调整信息科负责人审核，分管院长批准周五22:00后，须提前3个工作日公示一般变更应用补丁、参数调整、报表修改、终端软件更新信息科负责人批准工作日18:00–22:00微小变更终端重装、打印机配置、单个用户权限调整系统管理员批准并登记随时可做3.2第八条变更实施流程1.申请：填写《变更申请单》，写明变更内容、影响范围、回退方案、实施步骤与验证方法。无回退方案的变更申请一律退回。2.测试：重大与一般变更先在测试环境完整演练，测试环境数据库须使用生产库脱敏后近7日内的副本。3.通知：重大变更提前3个工作日书面通知医务科、护理部、财务科及门诊部，并公示具体停机窗口。4.实施与验证：变更完成后由申请人以外的第二人按验证清单核验挂号、收费、医嘱、发药四条主链路各1笔模拟交易。5.回退触发条件：验证不通过或实施超出窗口时间20分钟未完成且原因不明，立即执行回退，严禁「再试一试」拖延到业务高峰。6.归档：变更单连同测试记录、实施记录、验证记录在3个工作日内归档，保存期不少于3年。3.3第九条账号与权限管理1.权限最小化：按岗位角色授权，收费员不得有退费审核权，医生不得有药品库存修改权；权限调整必须经科室主任书面申请。2.账号实名：严禁共用账号，严禁在他人已登录的终端操作业务；离职、转岗人员账号由人事科通知信息科后24小时内停用。3.数据库超级管理员账号由DBA保管，密码每季度更换，使用时登记时间、事由与操作内容。4.每季度开展一次全院账号权限审计，输出《权限审计报告》，对连续90天未登录的账号予以冻结。四、第四章故障应急处置故障处置是本细则中约束最严的章节：故障早期的15分钟决定损失量级，处置流程的目标是「先恢复业务、后查找根因」，两级动作不得颠倒顺序执行而互相等待。4.1第十条故障分级级别判定标准启动权限处置时限一级（全院性）HIS主库宕机、应用服务器集群全部停止、核心网络中断导致挂号收费/医嘱执行全面不可用值班员直接启动，同时上报信息科负责人15分钟内报告分管院长；RTO2小时内恢复二级（区域性/局部）单个楼层或单个子系统（如药房发药、检验接口）不可用，其他区域正常值班员启动，30分钟内上报信息科负责人1小时内恢复或明确降级方案三级（单点）单台终端、单台打印机故障值班员处理2小时内解决或提供备用设备4.2第十一条一级故障处置流程1.判定（0–5分钟）：值班员通过监控平台+电话抽查2个门诊站点确认故障范围，判定级别后立即在运维群通报。2.先恢复（并行）：立即启动应急手工预案——门诊启用手工挂号单与纸质处方，收费启用应急备用终端（预装离线收费程序）或手工收费并补录；药房凭纸质处方发药并留底。3.定位（5–30分钟）：系统管理员按「先查数据库、再查应用、后查网络」顺序定位；DBA检查数据库实例、存储链路与归档日志。判断依据示例：数据库无监听→查监听服务与1521端口；监听正常但会话耗尽→查是否有异常SQL锁表。4.上报：信息科负责人15分钟内向分管院长电话报告，内容包括故障现象、影响范围、已采取措施、预计恢复时间；之后每30分钟滚动更新一次。5.恢复后动作：业务恢复后2小时内完成手工单据补录；48小时内出具《故障分析报告》，写明根因、演化链条、整改措施与责任人，提交院务会（或信息管理委员会）审议。6.严禁事项：严禁在未确认数据库存储状态的情况下反复重启数据库（存储掉线状态下重启可能导致数据文件损坏，使可恢复故障演变为数据灾难）；此场景的正确做法是先由DBA确认存储多路径状态与日志，确认后再操作。4.3第十二条数据故障与恢复1.误删除/误修改业务数据：DBA立即将相关表空间置于只读保护，从最近全备+归档日志恢复到临时实例比对，确认差异后按审批过的脚本修复；严禁直接在生产库上凭记忆手工改数。2.存储级灾难：启用异地/异地机房备份数据重建，按RPO15分钟、RTO2小时目标执行；恢复完成后由医务科、财务科抽验各20笔交易数据与原始凭证核对一致后方可开放业务。3.勒索病毒入侵判定：出现文件扩展名异常改写、共享目录批量加密、杀毒软件被静默——立即物理断开该网段与核心交换的连接（拔线，而非依赖软件禁用），全院终端下发离线病毒库查杀，严禁支付赎金，按《网络安全事件报告管理办法》要求时限向属地卫生健康与网信部门报告。4.4第十三条应急演练每半年组织1次全流程应急演练（切换至备用数据库或手工预案跑通挂号—收费—发药全链路），演练前不预先通知具体时间（提前公示窗口期即可），演练后一周内输出改进项清单并逐项销项。演练记录保存3年。五、第五章数据安全与备份5.1第十四条备份策略1.核心数据库：每日0:00全量备份，每15分钟归档日志备份；备份保留30天，每月末备份另存保留1年。2.备份存放：本地磁盘+NAS/磁带双介质；每月将1份备份介质送至异地存放点（与主院区直线距离不少于5公里，可利用分院或签订协议的对口机构）。3.备份验证：每周五对最近全备执行恢复演练至临时实例，验证成功标准为业务表可查询、模拟交易可写入；验证失败当日内重做备份并排查备份链路。4.备份作业失败属于二级告警：当日必须补做成功，连续2天失败升级为一级事件上报信息科负责人。5.2第十五条网络与终端安全1.HIS业务网与互联网逻辑隔离，办公终端禁止同时接入业务网与外网；确需数据的，经网闸或人工介质摆渡并登记。2.U盘等移动介质统一编号、登记发放，接入业务终端前须在专用查毒机上检验。3.终端统一安装桌面管控与杀毒客户端，病毒库每周至少更新2次；信息科每月抽查不少于10台终端的补丁与客户端状态。4.数据库操作审计日志保留不少于180天，重点审计批量查询患者信息、非工作时段的大数据量导出行为。六、第六章培训、考核与附则6.1第十六条培训1.新入职运维人员须完成不少于40学时的带教（含数据库基础、应急处置、巡检实操），考核合格方可独立值班。2.每年组织1次临床科室手工应急预案培训，覆盖挂号、收费、药房、护士站重点岗位，培训签到与考核成绩存档。6.2第十七条考核与追责1.值班漏检、变更未审批、瞒报故障，按院内绩效考核办法扣减相应分值。2.因违规操作（如未经审批变更、未按回退流程执行）造成业务中断或数据损失的，按情节追究直接责任人及审批人责任；构成违法的移交有关部门。3.本细则由信息科负责解释，自发布之日起施行，每年评估修订1次。附件一：HIS日常巡检表（样表）序号检查项标准上午8:00结果下午16:00结果异常处理记录1数据库CPU使用率<70%2数据库磁盘使用率<80%3数据库错误日志无报错4应用服务进程全部运行5挂号响应时间<2秒6核心交换端口全部UP7UPS状态无告警、电量100%8机房温湿度18–27℃/40%–60%9前夜备份作业成功且校验通过—10空调运行正常值班员签名：________日期：________附件二：应急联络通讯录（样表）角色姓名值班手机住宅电话备注信息科负责人张某某138******—一级故障总指挥系统管理员A角李某某139******—系统管理员B角（兼DBA）王某某137******—网络管理员刘某某136******—分管院长陈某某135******—经信息科负责人上报设备厂商800热线—**-****—7×24，合同号见维保档案机房动力值班室—内线**—市电/空调故障首报点附件三：变更申请单（样表）项