医院信息系统“趴窝”后，应急处理不是想象中那么简单

来源：HIT专家网      作者：龚晨

近日，上海某大型三甲医院多个院区的信息系统发生不同程度故障，其中一个院区的情况较为突出，急诊、发热门诊等多个科室不能正常开展诊疗服务，故障持续约2个多小时。

照说从定位故障到解决问题，最后将老服务器的数据和应用切换到新服务器重启运行，整套流程仅用时2小时，该医院的应急响应水平已可称高效。

但仍有群众提出疑问：“系统‘趴窝’了，医院除了让患者等待或离开，是否还有备用系统或紧急应对措施？看病救急可耽误不起！”

面对同一问题，专业人士和民众的“体感”大不相同。那么医院信息系统故障的应急处理，到底难在哪里？

不怕系统断，就怕数据丢

在解放军总医院医学大数据中心原主任薛万国看来，医院信息系统故障的应急处理，之所以不像民众认为的“启用备用系统”那样简单，是因为存在“数据继承性”的问题。

当前，医院对信息系统的依赖程度日益加深，各诊疗环节之间的串联与协同都极度依赖数据的流转。比如，医生开单后，后续的检查检验、收费、药房等环节都会收到信息，以确保患者就医过程的质量与效率。即使医院部署了备用系统，在系统故障时能快速启用，但如果不能确保业务数据的有效继承与环节接续，也依然无法快速恢复至正常的业务秩序。

因此，医院信息系统故障应急最大的难点是数据继承。对于医院信息部门而言，“不怕系统断，就怕数据丢”。一旦发生系统故障并导致数据丢失，解决问题的时间周期就会很长。

而导致医院信息系统故障的原因多种多样，除停电、水灾、火灾、地震等不可抗力因素外，硬件故障、软件故障、人为操作引发的故障、病毒攻击导致的故障等，最值得医院信息部门警惕与关注。

其中，硬件故障相对容易处理。当前硬件冗余技术较为成熟，许多医院引入双机、热备等容灾方案，多数情况下，IT硬件的单点故障不会对医院正常运行造成太大影响。不过，如果信息部门疏于备机维护，备机先于主机故障，或备机年限较长难以长期稳定运行，当主机故障切换至备机时，可能导致更多连锁故障。

在软件故障中，数据库相关故障较为常见、且易继而引发大面积故障。除网络攻击、勒索病毒等恶意行为外，很多没有主观恶意的人为误操作，也可能对系统造成破坏。

比如，操作人员“手滑”误删重要数据表，或是未经测试将有问题的代码更新到系统，都可能导致系统瘫痪和数据丢失。又如，一些配置不当的网络安全防护策略，也可能引起意料之外的系统故障。

“目前医疗机构有多少系统故障是硬件引起的，多少是软件引起的，多少是人为操作引起的？行业还缺乏量化统计。”薛万国指出，不同原因导致的系统故障，恢复难度是不一样的：硬件故障相对好处理一些，软件或人为因素、病毒攻击导致的故障，恢复难度将大幅提升。

此外，医院信息系统配置复杂且互联互通，牵一发而动全身，一处故障可能引发全院范围的系统运行不稳定，这也导致故障查找更加困难。

另一个值得警惕的问题是，当前部分医院信息系统有过度设计、过度配置的倾向，这也为系统故障查找与排除制造了障碍，有时甚至“难以查出原因”，必须等待厂商处理，从而进一步拉长了故障解决的时间。薛万国认为：“越简单越可靠，这一系统设计的原则是需要坚持的。”

单机版应急未必管用

当医院信息系统遇到长时间故障时，“转向手工流程”是医院应急预案的常见措施，但会遇到以下问题：（1）离开业务系统辅助，医生手工开方的准确性和效率难以保证；（2）收费环节成流程堵点，积压大量患者排队等候；（3）系统恢复后的数据补录非常困难，特别是在账目合并、库存管理等方面。

为此，有医疗机构基于单机版应用开展了实战。2022年10月1日，北京友谊医院的HIS存储设备更换工作按计划正式开始，更换过程用时约5个半小时，HIS和与HIS相关的信息系统暂停服务。在这场“有准备的医院信息系统应急实战”中，普通急诊、儿科急诊、发热门诊通过启用应急单机版应用，支持诊疗业务平稳开展。

不过，北京友谊医院信息中心主任王力华认为，“计划停机”和“突发故障”之间存在很大区别。如遇突发障碍，上述单机版应用可能依然存在困难。

如：在业务衔接性方面，单机版应用很难与第三方应用集成，无法串联起完整的业务链条。仅靠某几个环节的单机应用，很难走完就诊全程。

在日常运维方面，单机版应用需要定期更新，才能与医院业务流程与字典数据（特别是物价字典）保持同步，且安装在PC端的应用经常会出现图标不见了、目录被删除等问题，维护工作量较大。

在用户体验方面，单机版应用与原HIS系统在界面或功能上或多或少有所差异，即使医院定期开展演习，在突然启动的情况下，医护人员的适应依然需要时间，很可能出现“等各环节都适应了，系统故障也解决了”的现象。此外，单机版应用一般情况下可支持自费，医保患者后续须自行报销，患者接受度也不高。

在数据继承性方面，回传至HIS的单机版数据与正常数据存在差异，数据整合成本太高，影响后续统计、上报数据质量。

有医院CIO指出，单机版应用可能存在一些不可操作性。比如，“很多医院采用了虚拟桌面平台，甚至使用了瘦客户机模式。在网络瘫痪的情况下，根本无法启动单机模式。”

因此，正是存在上述数据继承性等多方面的难点，单机版应急在实际中可能面临“业务科室选择不用，宁愿等着系统恢复”的尴尬。

重视“救火”，更要“防火”

信息系统一旦停摆，不管采取何种应急预案，医院的工作效率都将出现断崖式的下降。这一方面充分说明了信息化对医院的价值所在，另一方面也凸显医院信息部门肩上的责任之重。

近年来，国内医院纷纷加大了对于业务连续性的保障力度，医院信息部门正在从多个方面提升全院应急响应水平。

1.先定应急目标，再定应急预案

应急要有目标。应急预案的可落地性，取决于目标设定的合理性；医院应急能力的高低，取决于目标管理的水平。

比如，医院可先设定“某类硬件故障须在30分钟内恢复”的应急目标；信息部门据此倒推在何种情况和条件下可实现这一目标，再制定对应的技术手段与恢复方案，并通过具体措施确保目标的可及性。薛万国提醒：笼统地将应急目标定为“在最短时间内恢复”，是不具备可操作性的。

不同医院的应急目标不同，采用的应急手段也有较大差异。医院信息部门有必要多了解一些应急手段可选项，才能根据不同目标制定符合实际的应急预案。

2.应急预案应分层设计并合理衔接

医院信息系统故障应急预案包括两个层面：第一层是“IT应急”，是指医院信息部门为应对医院信息系统突发故障所做的应急准备以及应急时的处置。IT应急方案由医院信息部门内部掌控，需对IT系统存在的风险点逐一摸查并制定SOP应急处置流程。

第二层是“业务应急”，这是涉及全院范围、各个业务环节的应急处理，难度大，非常考验全院的协同作战能力。业务应急方案则应由医院管理部门主导，信息部门配合拟定。

对于医院信息部门而言，理想情况是通过IT应急解决问题，毕竟上升到业务应急层面的代价很大。据了解，许多医院的应急方案规定，如超过30分钟未解决系统故障，将转入业务应急流程。但由于信息系统日益复杂，信息部门很难在短时间内判断故障原因和解决时间。

3.“防火”的意义大于“救火”

除做好应急预案，医院信息部门更重要的工作是保证信息系统的稳定性和业务连续性。

一方面，需要注重IT系统的预防性巡检，降低故障概率。北京大学肿瘤医院信息技术服务部主任衡反修认为，医院信息部门不能当系统的“救火队员”，更理想的状态是在“起火”前及时发现问题，防患于未然。因此，需要在日常工作中有计划地执行运维巡检，根据问题改进流程、解决问题，达到防微杜渐、避免出现“火情”的效果。

另一方面，医院需重视数据备份与容灾体系的建设投入。HIT专家网调查显示：二级医院建设数据备份与容灾体系的案例较少，缺少相关IT投入；三级医院虽然较为重视数据备份容灾，却存在“容而不备”等问题，未能充分发挥容灾备份作用。

灾备厂商近年来普遍加大对医疗行业的关注与投入力度，戴尔科技、联想、数存科技、英方数据等企业纷纷推出医疗行业数据备份与容灾解决方案，为医疗机构“不丢数据”提供兜底方案。

4.应急演练不能“走流程”

CHIMA于2023年发布的《医院信息中心核心制度范本（2023版）》建议：医院信息中心每半年组织一次信息系统各类故障应对处置演练，全面检验故障应急准备情况，培训提升故障处置技能。

应急演练是防止纸上谈兵的关键步骤。王力华提醒同仁：如果应急演练只是走流程，就达不到演练目的和效果。“北京友谊医院之所以在计划停机时使用单机版应用，就是为了达到实战演练的目的。”

“如果哪次演练之后同事说没问题，我会认为演练没有到位。”衡反修建议在日常演练中特别关注核心数据库、存储、集成平台等关键风险点的双机是否处于有效状态。

平战结合，未雨绸缪。医院不仅要坚持应急演练，而且每次演练都要以发现问题为目的，并在应急预案中加以完善。

（本文得到薛万国、衡反修、王力华、陈朝晖等多位专家指导，部分观点来源于HIT专家网及行业专业读者群，在此一并表示感谢！）

【医疗信息化企业资源对接意向调查】

HIT专家网坚持通过分享前瞻、实用的信息，努力搭建起医疗信息化用户和企业之间的专业交流桥梁。

如您希望对HIT专家网报道的企业产品技术方案做进一步了解，或有重要的需求反馈，请花1分钟填写问卷，我们将尽可能转达相关企业与您取得联系。

【责任编辑：晨曦 版式：金家潘】